iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 24篇
近 7 天: 136篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 10:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 134 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Alphine Linux Docker映像檔，爆出根帳號無密碼登入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alpine Linux以輕巧著稱大受歡迎，但<a href="https://talosintelligence.com/vulnerability_reports/TALOS-2019-0782" target="_blank">思科安全人員發現</a>Alpine Linux Docker映像檔一個根帳號用戶密碼值為NULL的漏洞，允許攻擊者繞過密碼檢測存取系統。</p> <p>思科旗下Talos Lab研究人員發現，編號CVE-2019-5021的漏洞會使Alpine Linux Docker部署的系統，在根帳號密碼欄位接受以空白（即NULL值）登入，可能遭駭客劫持，其中又以面向Web的系統風險最高。</p> <p>這項漏洞曾在2015年發現並修補過，但在當年底一次迴歸測試中又陰錯陽差造成，導致3.3版以後包括Alpine Docker Edge的官方Alpine Linux Docker映像檔，都保留這個漏洞。</p> <p>思科研究人員表示，在該公司通報之前，就有人在GitHub上反映這項問題，但並未被Alpine Linux列為安全漏洞，也一直未解決。</p> <p>成功開採本漏洞需要服務或App使用Linux PAM（pluggable authentication module）或是使用系統Shadow檔作為驗證資料庫的機制。本漏洞在CVSS 3.0風險評分中被列為9.8分，滿分為10分。為免系統被不當存取，上述版本的用戶應儘速關閉根帳號。</p> <p>Alpine Linux的Docker映像檔僅5MB，遠小於其他Linux發行版，在<a href="https://hub.docker.com/_/alpine" target="_blank">Docker Hub</a>下載次數超過千萬。 </p> </div></div></div>
2019/5/9 15:40作者林妍溱https://www.ithome.com.tw/news/130528
全球最大加密貨幣交易中心Binance遭駭，遭盜走7,000個比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易中心<a href="https://binance.zendesk.com/hc/en-us/articles/360028031711-Binance-Security-Breach-Update" target="_blank">Binance在5月7日宣布</a>，駭客藉由一個安全漏洞取得了大量的用戶API金鑰、雙因素認證碼及其它資料，並一次領走7,000個比特幣，價值超過4,200萬美元。</p> <p>2017年成立的Binance是由加拿大籍的中國人趙長鵬所創立，它提供超過100種加密貨幣的交易，且從2018年以來，就是全球交易量最大的加密貨幣交易中心。</p> <p>趙長鵬（Changpang Zhao）表示，這是一起精心策畫的駭客行動，駭客使用了包括網釣、病毒或其它手法入侵了Binance，耐心等待最佳出手時機，透過多個看似獨立的帳號一次領走了7,000個比特幣。Binance一直到駭客盜走比特幣時，觸發了多個系統警報才發現。</p> <p>根據Binance的初步分析，駭客從逾40個帳號中領走了7,074個比特幣，目前仍在調查是否有其它帳號受到影響。Binance表示，駭客只盜走該站存放於熱錢包（hot wallet）中的比特幣，約佔該站所持有比特幣數量的2%。</p> <p>由於Binance從每次的交易手續費中，提取了10%作為使用者的安全資產基金（Secure Asset Fund for Users，SAFU），這次意外的損失金額也將從SAFU中提撥，而不損及用戶權益。</p> <p>這也讓Binance決定進行全面的安全稽核，估計將耗時一周，在這期間只允許交易，但將暫停存款及取款。</p> <p>有趣的是，<a href="https://twitter.com/cz_binance/status/1125996197343154176" target="_blank">趙長鵬曾經想過藉由「重組」比特幣區塊鏈</a>，撤銷駭客所盜走的比特幣來進行報復，所謂的重組即是透過51%攻擊來控制、排除或變更交易。<a href="https://thenextweb.com/hardfork/2019/05/08/binance-bitcoin-hack-blockchain-reorg-plan-erase/" target="_blank">但在與加密貨幣社群討論之後，認為此舉可能損及比特幣的聲譽</a>，造成比特幣網路與社群的分裂，而光是這兩件事所帶來的成本可能就超過4,000萬美元的損失，得不償失，因而作罷。</p> </div></div></div>
2019/5/9 16:00作者陳曉莉https://www.ithome.com.tw/news/130529
不只租用，共享電動滑板車新創Bird開始銷售新款滑板車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://shop.bird.co/index.html">美國共享電動滑板車新創Bird開始向消費者銷售新款的電動滑板車Bird One</a>，提供黑色、白色和玫瑰粉3種車身顏色，售價1,299美元，今天就能開始預購，預計今年夏天出貨。</p> <p>過去幾個月，Bird積極地試著抓住更多電動車的市場，4月在舊金山和巴賽隆納推出個人月租方案，讓用戶月繳24.99美元就能租借一臺電動滑板車，且不限騎乘次數，考量到有消費者可能會想自己擁有一臺電動滑板車，Bird現在也開始對外販售Bird One。</p> <p>除了這次向個別消費者販售電動滑板車之外，Bird早在去年11月就發布了Bird平臺，讓個人創業者向Bird購買滑板車後，能夠管理屬於自己的電動滑板車隊，客製成自己的品牌提供共享滑板車服務。</p> </div></div></div>
2019/5/9 16:15作者何維涓https://www.ithome.com.tw/news/130510
美國中情局也在暗網中設立官方網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cia.gov/news-information/press-releases-statements/2019-press-releases-statements/ciagov-over-tor.html" target="_blank">美國中央情報局（CIA）宣布已於Tor網路上設立官方網站</a>，以利任何人能夠匿名與該機構接洽。</p> <p>Tor的全名為The Onion Router（洋蔥路由器），為一開源的匿名通訊軟體，可透過散布在全球的逾7,000個志願節點傳遞流量，以閃避任何的追蹤或流量分析，目的是為了保障使用者隱私；只是，Tor後來也成為聚集各種非法交易的暗網（Dark Web）組成份子之一。</p> <p>CIA的公關負責人Brittany Bramell表示，該組織的全球任務需要個人從任何地方都能安全地造訪，建立洋蔥網站只是他們接觸人們的其中一個方式。</p> <p>CIA的洋蔥官網有著與正式官網CIA.gov同樣的內容，包括《世界概況》（The World Factbook）研究報告、檢舉頁面或人力招聘等。要造訪中情局的洋蔥官網必須先下載Tor瀏覽器，再輸入洋蔥官網網址ciadotgov4sjwlzihbbgxnqg3xiyrg7so2r2o3lt5wz5ypk4sxyjstad.onion。</p> </div></div></div>
2019/5/9 14:55作者陳曉莉https://www.ithome.com.tw/news/130518
臉書更新加密貨幣廣告政策，區塊鏈技術等特定內容將免審核
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.facebook.com/business/news/updating-our-ad-policies-for-financial-services-and-products/">臉書宣布更新針對區塊鏈、加密貨幣和金融產品及服務相關的廣告政策</a>，將縮小管制的範圍，與加密貨幣相關的區塊鏈技術、產業新聞、教育或是活動內容的廣告，將不再需要經過官方審核，就能直接上架。</p> <p>臉書上一次更新該政策是在去年6月，當時要求刊登加密貨幣相關產品及服務的廣告業者，需事先提出申請，經由臉書審核通過後，才能刊登該則廣告，不過，這次的更新只針對特定內容放寬，若是推廣加密貨幣的廣告，仍然要通過申請和審核過程。</p> <p>另外，臉書也宣布從6月5號起，將更新禁止金融產品和服務的政策，不再允許宣傳差價合約（CFDs）和複雜金融產品的廣告，這些商品因為複雜性高，常常會誤導觀看者，臉書也會持續禁止ICO和二元期權（binary options）的廣告。</p> </div></div></div>
2019/5/9 15:00作者何維涓https://www.ithome.com.tw/news/130506
美國參議員提出保護兒童遊戲法案，將禁止P2W及寶箱手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議員<a href="https://www.hawley.senate.gov/senator-hawley-introduce-legislation-banning-manipulative-video-game-features-aimed-children" target="_blank">Josh Hawley即將提出《保護兒童免受遊戲濫用法案》</a>（The Protecting Children from Abusive Games Act），準備禁止遊戲中常見的「付費以求得勝利」（Pay to Win，P2W）及「戰利品寶箱」（Loot Box）等賺錢的手法。</p> <p>此一新法案著眼於保護18歲以下的未成年人免受遊戲的金錢剝削，將規範那些鎖定18歲以下使用者的遊戲，或是允許未成年人從事微交易的遊戲。</p> <p>某些遊戲會提供一些付費服務或項目，以換取原本要花時間或心力才能賺取的優勢，許多玩家為了要贏得勝利，不惜花費重金，這些手法即被統稱為Pay to Win。戰利品寶箱的概念也類似，誘使玩家支付小額金錢購買寶箱，但寶箱的內容物是隨機的，先前<a href="https://www.ithome.com.tw/news/119884" target="_blank">蘋果還特別針對遊戲中的寶箱制定規則</a>。</p> <p>Hawley表示，社交網站及影音遊戲的目的都是為了要用戶成癮，吸引孩子們的注意，並從這些強迫性習慣中獲利，不管此一商業模式對科技產業帶來多少優勢，都不該成為剝削兒童的藉口。</p> <p>Hawley還以著名的Candy Crush為例，指出它雖為免費遊戲，卻提供要價149.99美元的配件，以增加玩家的生命次數，降低遊戲關卡的難度，甚至有24小時的無限生命，每年至少替母公司賺進20億美元的營收。</p> <p>總之，Hawley認為遊戲開發商應該要替這些刻意剝削兒童的手法承擔法律責任。</p> </div></div></div>
2019/5/9 15:10作者陳曉莉https://www.ithome.com.tw/news/130527
若5月底沒出貨，三星將自動取消Galaxy Fold訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>預購三星Galaxy Fold摺疊螢幕手機的消費者最近應該都收到了通知信函，三星於信中表示迄今尚無法確定Galaxy Fold的出貨日期，<a href="https://www.tizenhelp.com/customers-must-confirm-to-keep-galaxy-fold-orders-says-samsung/" target="_blank">倘若5月底前沒出貨，三星將會自動取消訂單，除非使用者主動要求保留訂單</a>。</p> <p>售價高達1,980美元的Galaxy Fold為全球首款摺疊螢幕手機，原本預計在今年4月底出貨，但率先取得該款手機進行評測的媒體卻發現<a href="https://www.ithome.com.tw/news/130067" target="_blank">它有設計上的瑕疵，很容易把螢幕弄壞</a>，使得三星<a href="https://www.ithome.com.tw/news/130171" target="_blank">緊急宣布</a>延後Galaxy Fold的上市時程。</p> <p>根據三星的說明，他們正努力改善Galaxy Fold以期符合消費者對三星的高標準期許，但目前仍無法確定出貨日期，更具體的出貨訊息要再幾周才會出爐。</p> <p>因此，消費者可以隨時在samsung.com上取消預購Galaxy Fold的訂單，而假如三星未在5月31日以前出貨，三星將會在5月31日自動取消訂單，除非消費者主動要求保留訂單。</p> </div></div></div>
2019/5/9 12:25作者陳曉莉https://www.ithome.com.tw/news/130504
Office 2016更新臭蟲引發當機，遭微軟緊急撤除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於5月7日釋出的版本KB4462238的Office 2016更新版，傳出會造成Office凍結無法運作的臭蟲問題，促使微軟緊急撤回。</p> <p><a href="https://support.microsoft.com/en-us/help/4462238/may-7-2019-update-for-office-2016-kb4462238" target="_blank">微軟網頁指出</a>，5月7日釋出的Office 2016更新版（KB4462238）一經安裝後，點入Office應用包括Word、PowerPoint、Excel或Outlook 中的超連結，就可能造成整個Office無法運作。</p> <p>所有以Microsoft Installer (.msi)安裝的Office永久版本都會受影響，包括Office Standard 2016、Office Professional Plus 2016及Office Professional，但本次更新及臭蟲不影響Office Click-to-Run版本，像是Office 365 Home。</p> <p>微軟已經撤下本次更新，並建議碰到這個狀況的用戶移除更新，等待修復好重新釋出的更新。</p> </div></div></div>
2019/5/9 12:30作者林妍溱https://www.ithome.com.tw/news/130505
新加坡通過打擊假新聞法案，引發打壓言論自由之虞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.channelnewsasia.com/news/videos/protection-from-online-falsehoods-and-manipulation-bill-passed-11515432" target="_blank">新加坡國會5月8日通過了引發爭議的打擊假新聞法案</a>，同時還排除防止打壓言論自由的修正條款。</p> <p>在2天的辯論後，新加坡立法局以72票贊成、9票反對，通過了《防止網路虛假與操弄法案》（Protection from Online Falsehoods and Manipulation Bill）。</p> <p>該法案開宗明義指出旨在防止假言論以電子通訊形式傳播，打擊傳播此類內容的網路帳號與提升網路政治廣告的透明度。法令禁止人民在星國內外散佈假消息，以免危害國家安全、公共健康、社會及經濟穩定性、總統與議員選舉及星國外交關係，激化不同族群的人民仇恨、打擊國人對政府信心，且政府有權可出手干預。違者可處以個人最高5萬元新加坡元或／及5年以下徒刑，但牽涉使用帳號或機器人軟體散佈假新聞者，最高可判10年徒刑。</p> <p>此外，若被認為提供假新聞散佈服務的平臺，如臉書、Google、推特，也將會因此吃上官司。</p> <p>本法案引發賦予行政部門打壓批評，讓總理絕對權力裁決什麼是假新聞，以及該做出什麼懲處的爭議。</p> <p>為避免變成打壓言論自由的工具，人士呼籲法案加入條文，確保本法案只針對假新聞或訊息，而不涵括對政府的意見、批評、宣言或是以表演手法表達時事看法的行為，並要求成立獨立委員會來監督行政部門。部份議員也提案要求修正法案，但也未獲支持。</p> <p>在法案通過後，<a href="https://www.channelnewsasia.com/news/singapore/parliament-quotes-on-protection-from-online-falsehoods-bill-11509944" target="_blank">媒體引述反對本法案的工人黨議員劉程強指出</a>，在某些狀況中，總理可以身兼球員和裁判角色，例如在大選中，難保出身執政黨的總理（李顯龍）不會為了勝選而操弄意見風向，散佈假新聞。</p> </div></div></div>
2019/5/9 12:40作者林妍溱https://www.ithome.com.tw/news/130507
Google Play更改App評分機制，加強用戶對最新版本評價的權重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://android-developers.googleblog.com/2019/05/whats-new-in-play.html">Google最近在I/O大會上宣布將更改Google Play商店的App評分計算機制</a>，不再使用累積分數的方式，而是會針對最近的評分給予較高的權重，來重新計算App評分，新評分機制在8月後才會於Google Play商店推出，不過開發者已經可在Google Play控制臺中預覽新評分方式。</p> <p>每天，開發者在Play控制臺回覆超過10萬則評論，且每一次更新App後，開發者發現用戶的評分平均會增加0.7個星等，有不少開發者向Google反應，希望App評分能夠反應最近版本App的價值，而不是一年前的版本，因此這次Google更新的評分計算方式，將更強調最近的評分星等，來真實反應最新版本App的評分。</p> <p>除了改變評分計算方式，Google也推出建議回覆的功能，來協助開發者回覆評論，當開發者要回覆用戶的評論之前，就可以看到系統根據評論內容自動產生的建議回覆，目前這項功能只支援英文，未來會支援更多語言。</p> <p>Google這次還針對Google Play商店推出許多新功能和工具，包含更新Android App Bundle、新增App內部測試共享功能internal app sharing、增強安全性、新增方便用戶更新App的in-app updates API ，以及在Play控制臺中加入多項分析工具，來協助開發者改善App。</p> </div></div></div>
2019/5/9 12:50作者何維涓https://www.ithome.com.tw/news/130502
Epson推出可接Android手機的AR眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.epson.com/news/moverio-bt-30c-smart-glasses" target="_blank">Epson公佈輕巧的AR眼鏡</a>Epson Moverio BT-30C，以USB-C線插在Android智慧型手機即可使用，擺脫傳輸線的牽制，售價499美元，<a href="https://longitudedevelopment.com/pages/pre-order" target="_blank">接受預購</a>，預計6月開賣。</p> <p>現有虛擬實境／擴充實境（VR/AR）裝置，不是像Google Cardboard很陽春地插個智慧型手機在紙盒中，就是得插在PC上，讓使用者無法自由走動。此外，笨重的頭戴式裝置設計也令使用者感到不舒服。Epson新推出的Moverio BT-30C則希望能解決這些問題。</p> <p>Moverio BT-30C不像之前版本還需要插上一個Android控制器，它提供USB Type-C傳輸線，使用者只要將之插到Android智慧手機即可使用，以存取Google Play下架的App和內容，當然也可以插到Windows PC上。Epson強調Moverio BT-30C是第一款完全行動化的AR眼鏡，適合在客廳玩遊戲或飛機上觀賞影片。</p> <p>造型上，Moverio BT-30C類似黑框眼鏡，採用高解析度的OLED大尺寸透明顯示器，除去了龐大的頭戴裝置的設計，讓使用者可以看到周遭環境。此外也強調輕巧舒適的鏡架適合長時間配戴，且可相容於有度數的鏡片。Epson也提供Moverio SDK，供開發商打造相容App和內容。</p> <p><a href="https://www.theverge.com/2019/5/8/18535912/epson-moverio-bt-30c-augmented-reality-glasses-announce-pricing-release-date" target="_blank">The Verge報導</a>，這隻AR眼鏡有3個顯示器，最高可同時載入3個App，使用者轉動頭部即可切換。報導也指出Moverio BT-30C高達95公克重量及僅23度的視野，似乎稍嫌不足。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/128941" target="_blank">微軟的第二代AR頭戴裝置HoloLens 2也在本周宣佈開發者版本</a>。一般版和開發者版本皆為3,500美元，預計今年夏天開賣。 </p> </div></div></div>
2019/5/9 13:00作者林妍溱https://www.ithome.com.tw/news/130508
美國又有兩個地方政府感染了勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.myhighplains.com/news/your-local-election-hq/3-viruses-affecting-potter-county-computer-system/1954467628" target="_blank">美國德州的波特郡（Potter County）才在4月下旬遭到勒索軟體攻擊</a>，迄今尚未完全復原，5月馬里蘭州的巴爾的摩市（Baltimore City）又傳出遭到勒索軟體攻擊，已關閉多數的伺服器，尚在評估受災規模。</p> <p>在遭到攻擊的當下，波特郡僅說政府系統感染了病毒，有些檔案被加密了，影響了政府的運作速度，一直到最近才證實是遭到勒索軟體入侵。現階段的波特郡約有500名員工。</p> <p>由於波特郡認為若支付贖金取回檔案的可能性只有1%，決定自行修復系統，但從遭到攻擊迄今已經過18天，波特郡仍只復原了部份系統，造成許多員工仍只能仰賴最傳統的紙筆來工作，而且不能上網。</p> <p>至於<a href="https://www.baltimoresun.com/news/maryland/politics/bs-md-ci-it-outage-20190507-story.html" target="_blank">剛被勒索軟體襲擊的巴爾的摩市</a>市長Jack Young則<a href="https://www.facebook.com/mayorbcyoung/posts/1819948024772635" target="_blank">直接在臉書上發表聲明</a>，證實該市的網路已被勒索軟體入侵，他們正在評估受災範圍，亦已關閉大多數的伺服器，但報案、火災、郵件快遞或311市民服務都可正常運作。</p> <p>不過，這已是巴爾的摩市第二次遭到勒索軟體攻擊。去年3月時，勒索軟體入侵了該市的電腦輔助調度系統，此一系統專門用來支援911或其它緊急電話服務，由於當時受災規模並不大，只花了17個小時就解決了，系統失效期間則用人力來進行調度。</p> </div></div></div>
2019/5/9 11:50作者陳曉莉https://www.ithome.com.tw/news/130503
Kotlin現成為Android開發優先語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/05/google-io-2019-empowering-developers-to-build-experiences-on-Android-Play.html">Google為增加開發者效率，對Android開發工具</a>除了加強開發語言Kotlin的重要性外，Android Jetpack函式庫也增加了更多新功能，而在去年發布的新APK格式Android App Bundle，其中動態功能模組與應用程式內更新，都已經進入穩定階段。</p> <p>現在Google力推的開發語言Kotlin，已經成為Android第一優先支援的語言，新的Jetpack API和功能都將先提供Kotlin版本，Google提到，Kotlin是開發者網路論壇Stack Overflow，連續兩年最受歡迎的語言，也是GitHub貢獻者成長最快速的語言之一，使用Kotlin開發Android應用程式，撰寫的程式碼更少，測試和維護也更輕鬆。</p> <p>同樣在去年推出，用來加速Android應用程式開發的Jetpack函式庫，也獲得許多重要更新。Google表示，Jetpack函式庫現在占Android應用程式開發的重要地位，前1,000個應用程式中有80％使用Jetpack函式庫。在這次Android Jetpack函式庫的更新上，Google強調了其中3項更新，CameraX函式庫、回應式UI工具包Jetpack Compose以及基礎架構元件。</p> <p>為幫助開發者輕鬆開發具豐富功能的相機應用程式，Jetpack加入開源的CameraX函式庫，提供跨裝置一致的相機功能支援，開發者不再需要維護特定裝置的配置，CameraX函式庫支援市面上將近90％的裝置，提供參與合作製造商的裝置，在光學變焦、散景、HDR和夜間模式的支援。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/QYkTXJ2TuiA" width="560px"></iframe></div> <p>Google也在Jetpack加入了回應式UI工具包Jetpack Compose，這是Google將回應式程式開發模型與Kotlin整合，所釋出的使用者介面開發工具，Jetpack Compose與現有的UI工具包相容，開發者可以直接存取Android與Jetpack API以混合並配對視圖（View），有興趣的開發者可以在AOSP上找到最新的程式碼。另外，在基礎架構元件方面，Google根據開發者的回饋做出一系列更新，讓Android應用程式更容易採用並發（Concurrency）技術，以LiveData與Lifecycles協同程式，支援一次性的非同步操作。</p> <p>在機器學習方面，Android Q中的神經網路API（NNAPI）也獲得重大更新，現在支援的運算子（Operators）數量從38個增加到90個，多數的應用程式不需要修改就能獲得加速，而且還加入了一個內省（Introspection）API，讓開發者得以完全控制硬體元件加速。Google也持續與上游硬體供應商像是聯發科與高通合作，大幅提升影像辨識的速度。</p> <p>Google還釋出了Android Studio 3.5測試版，其更新包括了更好的大型專案記憶體管理，以及較低的輸入延遲，程式碼檢查功能Lint、模擬器、建置工具也都獲得改善，Google還重新改寫了Instant Run並改名為Apply Changes，讓開發者能夠快速地查看程式碼在裝置上的變更。</p> <p>而在去年Google推出的Android App Bundle，減少應用程式容量以提升安裝量，其中動態功能模組已經從測試版轉為穩定版，開發者可以透過選擇部署的功能，縮減應用程式容量，除此之外，應用程式內更新功能也已經脫離測試成為正式版。</p> </div></div></div>
2019/5/9 12:00作者李建興https://www.ithome.com.tw/news/130500
Firebase為網頁應用程式提供效能監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://firebase.googleblog.com/2019/05/whats-new-Google-IO-2019.html">Google在I/O 2019中釋出了多項Firebase的更新</a>，除了可以監控網頁應用程式效能外，也更新了其Google Analytics受眾系統，讓使用者擁有更多手段鎖定目標受眾加以分析，另外，無伺服器NoSQL雲端資料庫Firestore，還增加了強大的集合群組（Collection Group）查詢功能。</p> <p>Firebase現在不只可以用來監控原生行動裝置的效能，現在還能用來監控網頁應用程式的效能，幫助開發人員了解其網頁應用程式，在實際環境運作的效能表現，Google提到，只要在網站中加上幾行程式碼，就能在效能監控儀表板，以視覺化的指標像是頁面載入速度和網路狀態，還有初次繪製頁面時間等高精度指標，以追蹤網頁應用程式的效能表現。</p> <p>效能監控儀表板可以讓使用者按國家地區，以及瀏覽器等不同屬性分類，了解用戶在執行網頁應用程式的效能，並幫助開發者快速鎖定問題。</p> <p>Google重新打造了Firebase的Google Analytics功能（Google Analytics for Firebase）的受眾系統，除了擁有新的介面之外，受眾建構器還提供序列、作用域、時間窗口以及成員持續時間等多種新功能，讓使用者能夠以各種屬性鎖定目標受眾，進行更深入地分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(5).png" style="width: 600px;" /></p> <p>穩定性追蹤工具Firebase Crashlytics，現在提供使用者更靈活的自訂能力，Crashlytics能夠即時對行動應用程式進行追蹤，幫助開發者了解影響應用程式穩定性的原因，Crashlytics提供速度警示（Velocity Alert）功能，當大比例用戶裝置運作出現問題時發出通知，不過由於應用程式差異過大，單一警報閾值並不適用所有情況，因此現在Google提供自定義速度警報，確保開發者收到有意義的穩定性通報。Crashlytics現在增加支援Unity和NDK。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(13).png" style="width: 500px;" /></p> <p>Firestore現在支援集合群組查詢，讓開發者得以搜尋所有同名集合的欄位，Google舉例，這個功能對於音樂應用程式相當有用，當資料儲存為雙層結構，第一層為藝術家，第二層為歌曲，Google提到，雖然這種資料結構能夠方便的在給定藝術家的情況，對歌曲進行查詢，但是卻無法跨藝術家對所有歌曲進行查詢，但是藉由新推出的集合群組查詢功能，就能簡單地對所有歌曲進行查詢，執行像是最長演奏時間的歌曲這類查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5(3).png" style="width: 600px;" /></p> </div></div></div>
2019/5/9 12:10作者李建興https://www.ithome.com.tw/news/130501
LG輕薄筆電大舉攻臺，17吋筆電重僅1.3公斤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">繼去年進攻國內筆電市場後，LG持續擴大旗下Gram系列筆電產品陣容，周三在臺發表了Gram Z990機型，仍維持了超輕薄的特色，其中17吋筆電重量只有1.34公斤，售價59,900元。</span></p> <p class="p1">LG是在去年3月首次引進Gram系列筆電到臺灣，首波推出Gram Z980筆電，共有14吋、15.6吋兩款螢幕規格，今年CES展，LG發表了全新的Z990機型，涵蓋14吋、15.6吋與17吋機種，本周三在臺正式發表。</p> <p class="p1"><span class="s1">新發表的Gram系列Z990筆電同樣強調了輕薄的特色，例如14吋筆電重量995公克，15.6吋機種重僅1099公克，更在15.6吋的機身中，運用窄邊框設計，提供17吋螢幕畫面，</span>而17吋筆電重量不到1.4公斤，<span class="s1">官方宣稱續航力可達19.5小時。</span></p> <p class="p1"><span class="s1">Z990筆電在電源鍵上整合了指紋辨識功能，確保使用者的身份安全，在筆電的耐用性上，均通過軍規MIL-STD-810G要求，包含沙塵、高溫、震動等耐用性測試。</span></p> <p class="p1"><span class="s1">通常在17吋筆電上，配備完整的連接埠，LG Gram的17吋機型也不例外，提供了3組UBS 3.1連接埠、一組HDMI、Micro SD讀卡機，以及一組Thunderbolt 3高速傳輸介面，可同時提供充電、傳輸及顯示功能，輸出畫面至兩臺4K螢幕。</span>Thunderbolt 3介面也在15.6吋高階機型中成為標準配備。</p> <p class="p1"><img alt="" src="https://s4.itho.me/sites/default/files/images/07(3).jpg" style="width: 600px; height: 399px;" /></p> <p class="p1"><span class="s1">筆電採用第八代英特爾Core處理器，17吋筆電採用了Intel Core i5-8265U處理器、Intel UHD Graphic 620繪圖晶片，預載Windows 10 Home作業系統，筆電內建8GB記憶體及512GB SSD，預留了記憶體、SSD額外擴充空間，換言之，最多可安裝兩顆SSD硬碟。</span></p> <p class="p1"><span class="s1">Gram系列14吋筆電售價為41,900元起，15.6吋機型依規格不同，可選擇搭載Core i5或進階的Core i7處理器，售價在43,900元到55,900元間。</span></p> </div></div></div>
2019/5/8 18:09作者蘇文彬https://www.ithome.com.tw/news/130499
美國能源部斥資打造第二款Exascale等級的超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從在去年6月<a href="https://www.ithome.com.tw/news/124399" target="_blank">重新奪下</a>睽違5年的全球超級電腦排行榜的龍頭寶座之後，美國似乎已立志不再讓出該位置，美國能源部先是在今年3月宣布將斥資5億美元<a href="https://www.ithome.com.tw/news/129441" target="_blank">由英特爾與Cray打造Exascale等級的超級電腦Aurora</a>，本周<a href="https://www.energy.gov/articles/us-department-energy-and-cray-deliver-record-setting-frontier-supercomputer-ornl" target="_blank">再度宣布</a>Cray與<a href="https://www.amd.com/en/press-releases/2019-05-07-amd-epyc-cpus-radeon-instinct-gpus-and-rocm-open-source-software-to-power" target="_blank">AMD</a>將攜手替能源部打造另一款Exascale等級的超級電腦Frontier，而且預算超過6億美元。</p> <p>美國超級電腦製造商Cray同時參與了Aurora與Frontier超級電腦的建置，只是合作夥伴分別是英特爾與AMD，此外，Aurora將被安置在阿貢國家實驗室（Argonne National Lab，ANL），Frontier則將由橡樹嶺國家實驗室（Oak Ridge National Laboratory，ORNL）所用，兩款超級電腦都預計在2021年遞交。</p> <p>阿貢與橡樹嶺都是能源部旗下的國家級實驗室，阿貢實驗室主要負責基礎科學的研究，從能源儲存、再生能源、環境的可持續性、超級運算到國家安全等，而橡樹嶺實驗室則專精在中子科學與核能的研究，一向是全球頂尖超級電腦的聚集地，匯聚了許多當代最強大的超級電腦，包括Jaguar、Titan，以及目前位居全球第一的Summit。</p> <p>Exascale等級的超級電腦，意謂著它至少具備1 exaflop/s的運算能力，每秒可執行的浮點運算次數為10的18次方。Aurora的運算能力可望達到1 exaflop/s，而Frontier的目標則是1.5 exaflop/s。</p> <p>美國能源部表示，Frontier的運算能力最高將可達到現今全球頂尖超級電腦的50倍，可協助研究人員在科學發現、能源保障、經濟競爭及國家安全等領域取得突破。在去年連續奪下兩屆超級電腦排行榜冠軍的Summit，則是由IBM與Nvidia所打造，它的理論效能為200 petaflop/s，大約是Frontier的13%。</p> <p>此外，Frontier是繼Summit之後的第二代的AI系統，也將具備新的深度學習、機器學習與資料分析能力，研究人員目前已在Summit上開發Exascale等級的各種應用，計畫2021年就能直接將它們轉移到Frontier。</p> </div></div></div>
2019/5/8 17:00作者陳曉莉https://www.ithome.com.tw/news/130498
LINE共同執行長慎重熩親自揭露，在臺投資加碼30億元聚焦3大方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通訊軟體LINE的共同執行長暨企業文化長慎重熩，今天（5/8）來臺說明LINE未來3年發展計畫與全球佈局，並宣布在LINE臺灣市場，加碼投資新臺幣30億元，聚焦3大領域，包括投資有潛力的外部夥伴、開發新服務與招募人才。</p> <p>慎重熩在今年2月與4月，分別接下LINE企業文化長（Chief WOW Officer）以及LINE共同執行長（Co-CEO）的重任，今天是他上任共同執行長後，海外首場媒體見面會，可見對臺灣市場相當重視。</p> <p>慎重熩其實也是LINE的原始開發者之一，在LINE的母公司，也就是韓國最大網際網路服務公司Naver，擔任過日本地區服務負責人，在日本拓展市場。他在Naver、LINE前後服務將近15年，擁有豐富的服務開發經驗，也要帶領LINE打造更多創新服務，並將事業版圖擴展到全球市場。</p> <p>LINE近期正在透過調整組織架構，為LINE的下一階段成長做準備。慎重熩指出，LINE在今年2月，正式導入「社內分社」的公司制度，而這也是LINE全球未來3年的戰略。除了現有的廣告、入口等核心事業，其他特別獨立發展的領域，如數位內容、O2O、金融科技、人工智慧、娛樂等，每個領域都要自成團隊，並擁有獨立決策權，藉由這樣的組織架構調整，強化決策速度與營運效率。也要讓全球各地的分社，都能以符合當地的文化，創造對當地用戶來說，最有價值的服務。</p> <p>而在LINE的全球事業發展上，包括了一開始的通訊軟體，後來延伸出內容服務、O2O/B2B，以及未來發展主力：金融科技與人工智慧。慎重熩強調，LINE不只是一個通訊軟體，而是要打造一個生活平臺，深度結合用戶生活中的每一環節。</p> <p>他們的策略是，要從臺灣作為推廣點，在臺灣先行推出各種創新服務，獲得成功後，再推廣至全球其他國家的市場。慎重熩提到，臺灣是開發服務與拓展到全球市場的最佳地點。</p> <p>他進一步舉例，像是LINE Today，是臺灣團隊研發的創新服務，目前已拓展至香港、泰國、印尼。而在LINE EC的部分，臺灣在全球也是以主導性的位置領導建立平臺，未來平臺完成後，也會拓展至全球市場。而LINE Pay在臺灣的用戶數共604萬人，也是領先全球其他國家的用戶。</p> <p><span style="font-size:24px;"><span style="color:#008000;"><strong>LINE加碼投資臺灣新臺幣30億元</strong></span></span></p> <p>「臺灣，等於LINE的未來藍圖」慎重熩說道，他更宣布LINE加碼投資臺灣新臺幣30億元，聚焦3大領域。這筆資金將會用在投資具有潛力的外部夥伴，包括新創團隊或是進行企業併購，也將特別關注人工智慧與金融科技等領域。不止如此，LINE還要在臺開發新服務，O2O的部分如電子商務相關的服務；在金融科技領域，則包含了LINE Pay、LINE Bank；在數位內容的新服務，則主要為LINE Music、LINE TV。此外，LINE也將持續在臺招募人才。</p> <p>慎重熩也指出，純網銀是LINE在臺對金融科技的起始點，在純網銀後，LINE已有階段性推出創新金融服務的規畫。他也舉例，像是家計簿的功能，可以成為個人金融資產的服務，或是可以導入各個不同投資的產品，或是讓這些創新服務與AI接軌。</p> <p><span style="font-size:24px;"><strong><span style="color:#008000;">臉書規畫打造加密貨幣支付服務，LINE如何因應?</span></strong></span></p> <p>外傳社交平臺臉書（Facebook）正與十幾家電子商務網站與金融企業商討，支援臉書打造的加密貨幣支付平臺服務，並打算將旗下WhatsApp、Messenger、Instagram這三個通訊平臺的基礎設施整合，讓用戶能進行跨平臺支付。擁有20億每月活躍用戶的臉書，一旦加入市場，將成為其他支付服務的強勁對手。</p> <p>而LINE透過平臺，串連起電子商務與支付，面臨臉書的威脅該如何因應？慎重熩認為，最終決定權是掌握在使用者手上，誰能提供更符合使用者生活的服務，就能被揀選，這部分也是LINE這兩三年努力的方向。</p> <p>臉書預計透過發行加密貨幣來串起代幣經濟，這也跟LINE推出的加密貨幣LINK，所要打造的LINK Ecosystem，有異曲同工之妙。但是，這整個LINK區塊鏈生態系似乎放慢了腳步？慎重熩解釋，不止考量到區塊鏈本身的技術，LINE也非常重視相對應的法治，所以，目前正在等待日本金融廳核發執照的階段。而在區塊鏈的技術上，也在不斷演進中，等到符合主管機關的要求後，就能迅速導入創新服務提供給用戶。</p> </div></div></div>
2019/5/8 17:19作者李靜宜https://www.ithome.com.tw/news/130490
Google力倡使用者隱私，YouTube、地圖與搜尋都將有無痕模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為可能是全球握有最多使用者資料的Google，在I/O大會上特別強調用戶隱私的重要性，也<a href="https://www.blog.google/technology/safety-security/privacy-everyone-io/" target="_blank">公布針對各平台或產品的隱私保護作法</a>，讓資料的掌控權回到使用者手上。</p> <p>過去幾年來，Google用戶只要登入Google帳號（Google Account）就能調整自己的隱私設定，為了方便用戶存取自己的Google帳號，Google原本在Gmail、Drive、通訊錄及Pay等服務的右上方嵌入了使用者的帳號圖示，一點選就能連結至Google帳號。</p> <p>從5月起，包括搜尋、地圖、YouTube、Chrome、Assistant及新聞服務也都將嵌入帳號圖示，讓人們能快速存取Google帳號。</p> <p>對於資料的刪除，Google甫於上周宣布要<a href="https://www.ithome.com.tw/news/130365" target="_blank">讓用戶自行決定Google可存放各種紀錄的期限</a>，如3個月或18個月，未來Google即會根據用戶的設定，自動刪除超過保留期限的資料。首個適用於該政策的是網路及程式活動（Web & App Activity），目前已上線，並預計於下個月延伸至位置歷史紀錄（Location History）。</p> <p>除了定期刪除的資料之外，Google也允許使用者直接於應用程式中立即刪除資料，不必再連至Google帳號，<a href="https://www.ithome.com.tw/news/126644" target="_blank">最先上線的是搜尋</a>，現在則將拓展至地圖、Assistant與YouTube。</p> <p>此外，無痕模式（Incognito mode）未來將不再是Chrome瀏覽器的專屬功能，今後Google也將在YouTube、地圖與搜尋服務上新增無痕模式，於該模式中進行的任何活動都不會被Google紀錄。</p> <p>儘管用來改善使用者經驗的機器學習必須參考大量的資料，不過Google在2017年發表了聯合學習（Federated Learning）手法：先把現有的模型下載到使用者裝置上，利用裝置上的資料改善模型，再將模型回傳至雲端，能夠將所有的個別資料保留在裝置上，維護用戶隱私。而Google所開發的鍵盤程式Gboard，即是利用聯合學習來改善用戶經驗。</p> <p>除了隱私之外，Google亦致力於保護用戶安全，例如建立了蒐集網站黑名單的Google Safe Browsing服務，並鼓勵用戶採用雙因素身分認證。自今年夏天起，Nest帳號的用戶將可選擇轉移到Google帳號，以享受Google帳號的多重保護，包括雙因素認證、在發現帳號有可疑行動時主動通知，還能執行帳號的安全檢查。</p> </div></div></div>
2019/5/8 15:20作者陳曉莉https://www.ithome.com.tw/news/130489
Waymo攜手Lyft首推自駕出租車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://medium.com/waymo/partnering-with-lyft-to-serve-more-riders-in-metro-phoenix-a9ce8709843e">Alphabet旗下的自駕車子公司Waymo最近宣布，與Lyft合作在美國鳳凰城都會區首推自駕出租車服務</a>，首波預計將在未來幾個月內，於Lyft叫車平臺部署10輛Waymo自駕車，提供該區域的Lyft用戶自駕出租車服務，另外，有鑒於可能許多人是第一次搭乘自駕車，一開始車輛上會有Waymo安全真人駕駛員陪同，確保乘客的安全和解決各種疑慮。</p> <p>Waymo在6個月前推出商用自駕車服務Waymo One，迄今已累積超過1,000名乘客，現在則是更進一步，將自駕出租車帶到叫車平臺上，現在鳳凰城都會區的Lyft用戶，在叫車平臺中可以直接看到Waymo自駕出租車的選項，Waymo也會在服務期間收集乘客回饋建議，用以改善服務。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/5/8 15:40作者何維涓https://www.ithome.com.tw/news/130485
Windows Hello獲FIDO 2認證，Windows 10即將可支援無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Windows-IT-Pro-Blog/Windows-Hello-FIDO2-certification-gets-you-closer-to/ba-p/534592" target="_blank">微軟宣布</a>Windows 10中的生物驗證技術Hello正式獲得FIDO 2認證，使8億多名Windows 10用戶進一步邁向無密碼登入的時代。</p> <p><a href="https://fidoalliance.org/microsoft-achieves-fido2-certification-for-windows-hello/" target="_blank">微軟和FIDO聯盟聯合宣告這個消息</a>，不過要從下一個Windows 10更新版，即1903版開始的Windows Hello才是FIDO 2認證的驗證軟體。微軟預計5月底正式釋出1903版更新。</p> <p>微軟指出，除了駭客，沒有人喜歡密碼，因為往往記不住。因此一般人會設定很容易猜到的密碼，反而給了駭客可趁之機。2015年推出的Windows Hello就是設計來讓使用者利用臉部、指紋、PIN碼或支援FIDO 2規格的裝置登入網頁，不需再用密碼。去年11月微軟就<a href="https://www.ithome.com.tw/news/127177" target="_blank">宣佈Windows 10開始支援FIDO 2</a>。</p> <p>微軟指出，積極和FIDO 2其他成員密切合作，使用戶可以無密碼登入支援FIDO 2驗證標準的網站。去年Google Chrome、Microsoft Edge與Mozilla Firefox等瀏覽器都承諾將支援FIDO2身分驗證規格。在取得FIDO 2認證後，從1903版開始，Mozilla Firefox用戶也可以FIDO 2安全金鑰或Hello，免密碼登入微軟帳號或其他支援FIDO 2的網站。而Chromium為核心的瀏覽器，包括Google、Opera以及開發中的新Microsoft Edge也很快會支援。</p> <p>微軟鼓勵企業或開發商及早開始規劃支援無密碼登入技術，如Windows Hello。</p> <p>在摒棄密碼的大趨勢下，<a href="https://www.ithome.com.tw/news/128975" target="_blank">Google也於今年初宣佈Android取得FIDO 2認證</a>，未來Android 7版本以上的手機就可以當雙因素驗證（2FA）的安全金鑰登入Google帳號。微軟也在上個月<a href="https://www.ithome.com.tw/news/130226" target="_blank">宣布從1903版起，桌機版Windows 10和Windows Server也將拿掉密碼過期政策</a>，使企業未來不需再定期變更密碼。</p> </div></div></div>
2019/5/8 15:50作者林妍溱https://www.ithome.com.tw/news/130493
Google為網站開發者新增「How-to」標籤，將內容轉為操作步驟幫網頁觸及目標人群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developers.googleblog.com/2019/05/Actions-on-Google-at-IO-2019.html">Google為網頁開發者和影片創作者推出How-to markup</a>，透過How-to標記，網頁開發者將能夠把網頁的內容，轉換為圖文並茂的操作步驟，顯示於Google搜尋的結果中，如此一來，網頁也能觸及更多目標人群。</p> <p>Google指出，人們每天到網路上詢問如何類型的問題，像是如何打領帶、如何修理水龍頭、如何安裝狗門等，這次新增的How-to標記工具，對網頁開發者和創作者而言，是個最輕便提升網頁瀏覽的方法之一，能夠為搜尋者提供有用的資訊。開發者只要利用HowTo結構化的數據，明確告訴Google網頁內容的操作步驟，還能顯示影片、圖像和文字，正確標記的頁面就能顯示在Google語音助理和搜尋的結果。</p> <p>此外，針對沒有經營網站的YouTube內容創作者，Google也推出了How-to影片模板，影片創作者不需要編寫任何程式碼，只需要為自己的影片上傳一個簡單的表格，表格包含標題、文字和時間戳，而剩下的將由Google處理，就能將解說的影片，在Google助理Smart Displays中，轉變成有互動性、逐步教學的內容。</p> </div></div></div>
2019/5/8 16:05作者何維涓https://www.ithome.com.tw/news/130488
Android Q釋出第三測試版，裝置將透過Google Play直接更新作業系統元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/05/whats-new-in-android-q-beta-3-more.html">Google最新行動裝置作業系統Android Q，在I/O大會中釋出了第三測試版</a>。Android Q的設計強調隱私與安全，能提升用戶的控制能力，並透明化應用程式收集和存取訊息的方式，重要更新包括新的<a href="https://www.ithome.com.tw/news/129421">追蹤位置權限政策</a>，以及從<a href="https://www.ithome.com.tw/news/129788">第二測試版</a>就釋出，<a href="https://www.ithome.com.tw/news/130306">用來限制應用程式外部儲存的Scoped Storage</a>。其他功能更新，還有對可折疊裝置的支援，以及支援多工的對話泡泡。</p> <p>在Android Q中，應用程式將無法在背景啟動，這可以避免應用程式突然彈出，並取得前臺焦點，另外，為了防止追蹤，Google限制了外部存取不可變裝置識別碼，包括裝置IMEI、序號或是類似的識別符號，而在裝置連接不同Wi-Fi網路，在特定條件下，Android Q會隨機產生Mac位置。</p> <p>Google還擴充了BiometricPrompt身份驗證框架，以支援系統等級的臉部等生物辨識技術，Android Q還有外顯與內隱身份驗證流程，外顯驗證需要用戶明確確認交易，而內顯流程則是應用被動式身份驗證資訊，無需用戶確認動作參與。Android Q開始增加對TLS 1.3的支援，Google提到，與TLS 1.2相比，TLS 1.3的安全連接速度提高40％，系統會在各API等級預設啟用TLS 1.3。</p> <p>Google還在Android Q中加入Mainline專案，能讓使用者裝置直接透過Google Play同步更新重要元件，Google也不再需要經過裝置製造商，就能直接更新作業系統內的特定元件。更新Mainline專案模組的方式與其他應用程式相同，直接由Google Play背景下載。</p> <p>Mainline專案帶來多項好處，對使用者來說，裝置可以即時擁有最新的安全更新，對製造商來說，他們可以專注在最佳化作業系統的其他部分，而不需要進行全面的系統更新，對應用程式開發者也有好處，Google希望透過Mainline專案提升平臺的一致性，降低應用程式開發與測試成本。</p> <p><a href="https://www.ithome.com.tw/news/128629">Google早前發表了在裝置上直接部署語音偵測模型</a>，現在這個即時轉譯語音的功能成熟，被放進了Android Q稱作Live Caption，這項新功能可以自動為手機上的媒體，即時地播放字幕，Google提到，字幕不只可以幫助人們跟上影片內容，也能幫助聽障人士獲取媒體內容。Live Caption可以為影片、Podcasting、音訊甚至是自製的媒體，產生即時字幕，而且由於這項功能是在裝置上模型執行，因此手機不需要連接網路即可使用。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/YL-8Xfx6S5o" width="560px"></iframe></div> <p>而Android Q上的應用程式，將能使用更多相機功能，包括使用動態深度圖像，提供模糊或是散景特效。另外，用戶千呼萬喚的黑暗主題，也總算在Android Q開始提供。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6(3).png" style="width: 600px;" /></p> </div></div></div>
2019/5/8 16:10作者李建興https://www.ithome.com.tw/news/130487
Google I/O 2019：Google智慧家庭品牌改名為Google Nest，宣佈10吋智慧顯示器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Google I/O 開發者大會上宣佈，<a href="https://twitter.com/googlenest" target="_blank">旗下智慧家庭產品品牌改為Google Nest</a>，將涵括Nest、Google Home、Chromecast、Wi-Fi產品在內。Google 同時宣佈10吋智慧顯示器Nest Hub Max，以及Nest Hub新增12個銷售地區。</p> <p>Google於2014年以32億美元收購由蘋果iPod設計者Tony Fadell創立的Nest，這家新創業者當時以溫控裝置被視為智慧家庭的明日之星。隔年Alphabet成立後，Nest被獨立出來成為Alphabet集團子公司。不過隨後Nest卻出現創新停滯的問題。2016年Fadell離開公司。<a href="https://www.ithome.com.tw/news/121235" target="_blank">去年初Nest再次被整合到Google組織之中</a>。</p> <p>Google指出，透過整合將實現以操作簡單、個人化資料、互連及隱私保護為核心的友善家庭（Homeful Home）。而隨著這次重新命名，Google Nest將整合原有分屬Google和Nest的智慧家庭產品，包括Nest的中央溫控設備、煙霧偵測器、連網攝影機Dropcam，及Google旗下的眾多產品，包括智慧喇叭Google Home、智慧顯示器Google Home Hub、Wi-Fi路由器Google Wi-Fi及Chromecast等。其中智慧顯示器Home Hub系列將改名為Nest Hub系列，其他則暫時沒有變動，但媒體猜測更名是遲早的事。</p> <p><span style="font-size:28px;"><strong>10吋版Nest Hub Max現身</strong></span></p> <p>Google還宣佈數星期前走漏消息的新款Nest Hub產品，在原本的7吋、無攝影機版本之外，<a href="https://www.blog.google/products/google-nest/hub-max-io/" target="_blank">新增加10吋Nest Hub Max</a>。Nest Hub Max售價230美元，而 Nest Hub價格則由150美元降為130美元。此外，Nest Hub銷售地區也擴大到加拿大、丹麥、瑞典、挪威、法國、德國、西班牙、義大利、荷蘭、印度、日本及新加坡等12國。</p> <p>一改Google Homb Hub沒有攝影機的缺陷，Nest Home Max終於加入前置攝影機。和所有Google產品一樣，Nest Hub Max也支援Google Assistant，提供新聞、每日行程或建議電視節目等。拜加入攝影機之賜，Nest Hub Max在本機上提供個人化臉部辨識登入Face Match、支援手勢辨識指令，並可啟動Duo視訊會議。Google強調Face Match使用本機上的機器學習功能，因此用戶臉部資料並不會上傳雲端。一旦攝影機開啟會有明顯的綠燈亮起，使用者也可以關閉攝影機及麥克風。</p> <p>同時間，Google Home系列也同步降價，原價129及399美元的Google Home、Google Home Max分別調降為99及299美元。</p> </div></div></div>
2019/5/8 14:30作者林妍溱https://www.ithome.com.tw/news/130480
Google發表中階Pixel 3a系列手機，售價14,500元新臺幣起跳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/pixel/io-pixel-3a/" target="_blank">Google一如傳聞地在本周舉行的Google I/O會議上發表了中階的Pixel 3a手機</a>，並有5.6吋的Pixel 3a與6吋的Pixel 3a XL可供選擇，前者的售價為14,500元新台幣（399美元），後者則是17,100元新台幣（479美元），包括台灣在內的多個市場即日起已開放購買。</p> <p><a href="https://store.google.com/magazine/compare_pixel" target="_blank">與高階的Pixel 3相較</a>，Pixel 3a系列採用相對低階的硬體規格，例如Pixel 3採用8核心的Qualcomm Snapdragon 845處理器，Pixel 3a則是8核心的Qualcomm Snapdragon 670處理器；可無線充電的Pixel 3採用玻璃材質，未具備無線充電功能的Pixel 3a則是聚碳酸酯機身；Pixel 3提供IPx8抗水等級，Pixel 3a則否。</p> <p>但Pixel 3a與Pixel 3在相機的規格上卻是相近的。它們的後置鏡頭皆支援1,220萬畫素與Dual Pixel 技術，最大光圈皆為ƒ/1.8，也有自動對焦及電子影像穩定技術，並支援縮時攝影。只是Pixel 3有兩個前置鏡頭，Pixel 3a只有一個。</p> <p>至於Pixel 3a與Pixel 3a XL唯一的差別只在於螢幕尺寸與重量，其它規格皆相同。它們都搭載Snapdragon 670處理器、4GB記憶體與64GB儲存空間，電池容量為3000 mAh，可支援快速充電，15分鐘的充電可支撐7小時的使用，充飽則可支撐30小時的使用。此外，Pixel 3a除了支援USB-C介面之外，還把3.5mm的耳機插孔加了回去。</p> <p>Pixel 3a與Pixel 3a XL提供黑、白、淡紫等3種顏色，但目前在台灣市場只供應黑、白兩色供消費者選購，相較於64GB的Pixel 3在台灣的售價高達27,700元，外界大多稱讚Pixel 3a物美價廉，主要的批評來自於它並未提供microSD插槽，無法擴充只有64GB的儲存空間。</p> </div></div></div>
2019/5/8 14:35作者陳曉莉https://www.ithome.com.tw/news/130481
Google Chrome將讓用戶可封鎖cookies、加入反網站指紋技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年I/O大會上，<a href="https://blog.chromium.org/2019/05/improving-privacy-and-security-on-web.html" target="_blank">Google宣布未來將強化Chrome瀏覽器的隱私防護</a>，包括讓用戶封鎖網站cookies以及防止網站蒐集瀏覽器數位指紋（fingerprint）的技術。</p> <p>過去30年來，網站利用cookies記憶使用者身份，以提升網站使用流暢性，像是用戶不用再輸入密碼，或是保留用戶偏好的網站設定及購物清單等。但是cookies也讓廣告商及網站得以追蹤用戶上網足跡及偏好，以便投放個人化廣告，這也形成長久以來的隱私疑慮，因為用戶無從得知有哪些資料被網站蒐集。為了提升透明度，Google未來幾個月內將導入多項變更，包括提升cookies使用的透明度、要求網站開發商清楚揭露跨網站cookies，以及加入反數位指紋技術。</p> <p>提升網站cookies的透明度，意指讓使用者可以清楚看到網站儲存了哪些cookies，並且可以很簡單地封鎖或刪除不想要的網站cookies。Google並未提供相關介面，表示正在進行多項調整，並在今年內陸續透過預覽版展示。</p> <p>目前Google正在修改cookies運作機制，目的在使網站開發商必須清楚說明哪些cookies跨網站執行及追蹤用戶。Google根據其發展的SameSite cookie屬性來建立這個機制，未來幾個月內，Chrome 就會要求開發商以這套機制來跨站存取cookies，這就能讓使用者可以刪掉所有cookies，但又能不影響網域cookies，以保留用戶的登入及偏好設定，同時讓瀏覽器清楚提供cookies是哪些網站丟的，就能讓用戶了解網站如何使用他們的資料，並做出決定。</p> <p>Google表示，這也有安全上的好處，可防止cookies遭到跨站注入及Spectre、跨站請求偽造（CSRF）等資料外洩攻擊。此外Google也宣布，最終將要求追蹤跨站cookies只能使用HTTP連線，以提高隱私防護。</p> <p>此外，隨著大動作防堵cookies措施，一些追蹤手法變得更隱密而難以偵測，這將使cookie控制的效果打折。這些手法利用用戶瀏覽器的獨有特徵，例如視窗大小、解析度來追蹤用戶，稱為數位指紋。Google表示，數位指紋是在未尊重用戶選擇下進行追蹤，因此Chrome計畫更積極限制數位指紋。方法之一是減少瀏覽器被動曝露以形成指紋，藉此偵測並干擾主動性指紋形成。</p> <p><a href="https://www.ithome.com.tw/news/130442" target="_blank">微軟在Build 2019大會上也宣</a><a href="http://www.ithome.com.tw/news/130442" target="_blank">布</a>讓新版Microsoft Edge 加入更多隱私工具，讓用戶能自行設定網路廣告追蹤的接受度或全部封鎖。此外，<a href="https://www.ithome.com.tw/news/129162" target="_blank">Mozilla新推出的Firefox 67</a>，也可封鎖數位指紋追蹤。</p> </div></div></div>
2019/5/8 14:45作者林妍溱https://www.ithome.com.tw/news/130482
Google機器學習開發套件新增3大測試版功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://firebase.googleblog.com/2019/05/whats-new-Google-IO-2019.html">Google宣布機器學習開發套件ML Kit新增3大測試版功能</a>，包含設備端翻譯API、物體偵測和追蹤API，以及AutoML Vision Edge，該機器學習套件去年在行動應用程式開發平臺Firebase中推出，要將機器學習技術帶到行動裝置端，提供行動裝置開發者易用的套件和一系列的API，就算開發者不熟悉ML技術，也可以在自家應用模型使用ML技術，上個月才新加入智慧回覆與語言辨識功能。</p> <p>設備端翻譯API提供與支援Google翻譯同款的離線模型，能夠在App中快速且動態翻譯58種語言的文字。物體偵測和追蹤API則是能夠在App中，即時定位並追蹤相機內最重要的物體。透過AutoML Vision Edge功能，開發者可以簡單地依照自己的需求，打造影像辨分類模型，像是打造出能夠分辨多種不同類型食物，或是動物的模型，只要將訓練資料上傳至Firebase平臺的控制臺，就能利用Google AutoML技術建立客製化的TensorFlow輕量版模型，在用戶的裝置端執行，若對於收集訓練資料有困難，也可以使用Google提供的開源App。</p> <p>Google也宣布Firebase平臺的效能監控功能支援網頁App，目前網頁版效能監控是測試版，讓網頁開發人員可以了解用戶真實的體驗，針對網頁的速度和表現進行修改。開發者只需要在網頁中加入幾行程式碼，效能監控面板會追蹤網頁指標並用視覺化的方式呈現，網頁指標包含頁面載入、網路統計數據等。</p> </div></div></div>
2019/5/8 15:00作者何維涓https://www.ithome.com.tw/news/130479
Google透露正在開發摺疊式手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Google在發布中階版Pixel 3a及Pixel 3a XL手機的同時，該公司手機部門主管也透露正在打造摺疊式手機，只是消費者可能短時間內還買不到。</p> <p><a href="https://www.cnet.com/news/google-is-already-working-on-a-foldable-pixel-phone/" target="_blank">CNET引述Pixel部門主管Mario Queiroz接受媒體訪問時說道</a>，Google正在測試摺疊式手機，但是並不打算急著推出。</p> <p>Queiroz指出，Google內部投入摺疊式手機已經好一段時間，但是他認為目前並沒有很適合的使用情境（use case）。他表示摺疊式手機創新性還不夠，例如螢幕應該要再大一點。此外，他也認為，現在設想的使用情境中，不一定非摺疊機種不可，因此它還是屬於「nice -to - have」的東西。</p> <p>目前Google的摺疊式手機專案進度如何，或是它的螢幕是怎麼個開、闔法，軟體如何運作等都不得而知。<a href="https://www.theverge.com/2019/3/14/18266257/google-folding-bending-screen-display-patent" target="_blank">不過三月間曾有媒體發現</a>Google曾經申請了項摺疊裝置的專利，有別於現有市面上三星（向內）或華為（向外）手機摺法，Google專利顯示為Z字型折法。不過這並不意謂Google手機最後就是長成這樣。這也表示期待摺疊款Pixel手機的用戶可能要再等上一段時日。</p> <p>三星要價1,980美元的Galaxy Fold手機原本預期4月底上市，<a href="https://www.ithome.com.tw/news/130067" target="_blank">但卻被測試的媒體發現</a>一下子就被玩壞，這也迫使三星緊急延後上市時程。</p> </div></div></div>
2019/5/8 15:00作者林妍溱https://www.ithome.com.tw/news/130483
Google更新AR開發平臺ARCore，助開發者打造更真實的AR體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developers.googleblog.com/2019/05/ARCore-IO19.html">Google在I/0大會上宣布針對AR開發平臺ARCore的擴增影像（Augmented Images）和光線評估（Light Estimation）功能進行更新</a>，使開發者可以打造出更有互動感和真實感的AR體驗，且為了讓所有人能夠更容易體驗AR，Google推出允許用戶直接在網頁中查看3D物體的新工具Scene Viewer。</p> <p>為了讓AR體驗變得更有真實感，必須處理真實世界物體不會維持靜態的事實，當用戶拿著相機對著2D影像時，像是海報，擴增影像API會將圖像轉為栩栩如生的影像，擴增影像功能這次的更新則是能夠同時追蹤移動中的多個影像，好讓開發者能夠創造動態、互動性質的AR遊戲。</p> <p>此外，為了提供AR體驗更真實的光線，Google在光線評估API中新增環境HDR模式，藉由單一個相機，利用機器學習技術來理解360度高動態範圍的照光，當啟用環境HDR模式時，虛擬的物體會像實體的物體一樣被照亮，就算是光源正在移動，真實的物體和虛擬的物體也能無縫地融合在一起。</p> <p>環境HDR模式提供開發者3個API來複製真實世界的光線，Main Directional Light是協助開發者將陰影放置在正確的方向，Ambient Spherical Harmonics則是幫助來自所有方向的周圍光線建模，HDR Cubemap是提供鏡面光和反射光。</p> </div></div></div>
2019/5/8 15:10作者何維涓https://www.ithome.com.tw/news/130484
Google將行動應用框架Flutter擴展至網頁、嵌入式裝置和桌機端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developers.googleblog.com/2019/05/Flutter-io19.html">Google在今年的I/O開發者大會上宣布將行動應用框架Flutter擴展到更多平臺</a>，包含網頁端、嵌入式裝置和桌機端，此舉是受到Google內部越來越依賴Flutter框架，以及Dart平臺能夠提供可攜帶式體驗的潛力所影響。</p> <p>過去以來，Flutter團隊的任務是為行動App開發者打造最佳的框架，Google認為行動App的開發已經成熟，但是需要改進，許多App開發者被迫在兩個行動平臺中重複開發同一個App，或是在跨平臺的框架中妥協，Flutter框架就是能夠讓開發者透過單一的程式庫，來打造跨平臺的App，現在則更進一步，將Flutter框架帶到網頁端、嵌入式裝置和桌機端。</p> <p>Google指出，一個高效能、可攜帶式的UI框架具有商業潛力，對新創業者來說，這樣的框架能夠打造出在行動端、網頁或是桌機，都用相同的App來接觸用戶的體驗，不需要考慮技術上的限制，而針對大型企業，用單一個程式庫提供所有用戶一樣的體驗，能夠節省開發App的複雜度和成本，進而改善App使用體驗的品質。</p> <p>Google將發布第一個Flutter網頁技術預覽版，這項技術還持續開發中，Google邀請早期試用者嘗試並提供回饋，而在行動端的Flutter框架也升級至1.5版，修改了來自數百萬個開發者的回饋建議，對桌機端的支援，Google則是發布了在Mac、Windows、Linux開發Flutter App的指引，嵌入式裝置方面，Google最近發布了直接在樹莓派上執行的展示範例，也提供embedding API在多個應用場景中使用。</p> </div></div></div>
2019/5/8 12:10作者何維涓https://www.ithome.com.tw/news/130475
【波士頓直擊】不畏Google、虛擬化龍頭VMware挑戰！紅帽找來微軟與IBM兩大執行長助陣，拉抬跨雲、混合雲戰略聲勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>【波士頓直擊】自去年IBM併購以來，紅帽今天（5/7）召開全球用戶大會，一如往年，同樣由該公司執行長Jim Whitehurst擔任第一天傍晚的開場壓軸，會中除了一樣有來自各產業最新上雲用戶案例分享外，這次更找來兩家合作夥伴對談，暢談開源的精神與理念，不過這次與他對談的來頭可不小，一位是IBM執行長Ginni Rometty，另一位則是微軟執行長Satya Nadella。兩人先後登臺，甚至，還未等Jim Whitehurst開口， Satya Nadella就自嘲說：「沒有想到會有（和你同臺）這一天」，Jim Whitehurst聽完也識趣的說:「每件事都有時間性，該來總是會來」，這段意外插曲，也惹得檯下觀眾一片笑聲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1918-001.JPG" style="width: 600px; height: 263px;" /></p> <p>今年有了這兩位雲端界重量極人物的加入，也替紅帽活動拉抬不少聲勢。儘管目前在混合雲競賽上，紅帽仍占上風，但是近來，也有像是Google、與虛擬化龍頭VMware正一步步進逼，例如，VMware不只與AWS聯手，前陣子，更借助母公司戴爾科技集團推出整合VMware與Dell EMC基礎架構的混合雲平臺Dell Technologies Cloud，來替VMware打造更完整的混合雲生態系，要逐步縮短與紅帽差距。</p> <p>不過，IBM執行長Ginni Rometty會親自站臺，並不讓人意外，因為去年底IBM才剛以稍低於整年營收，大約340億美元天價買下紅帽，會出席自家活動，也算合理，反倒是隻身出現在紅帽用戶大會上的微軟執行長Satya Nadella，才是跌破眾人眼鏡，即使活動與Build大會撞期，他硬是挪出空檔，千里迢迢前來替紅帽站臺，如果不說，還會誤以為兩家交情匪淺。尤其，對於大力擁抱開源的紅帽，與長年封閉前幾年才逐步開放的微軟，兩家公司王見王，也形成有趣的對比。</p> <p>但是直到活動尾聲，Jim Whitehurst才揭曉答案，一如先期預期，由Jim Whitehurst偕同Satya Nadella一同宣布，OpenShift on Azure服務（或稱Azure Red Hat OpenShift ）推出正式版。其實，早在去年紅帽高峰會上，紅帽就與微軟聯手，在Azure上發表OpenShift 容器管理服務，只不過當時只是私人預覽，一般企業並無法試用，但是隨著OpenShift on Azure正式GA後，對於企業來說，除了AWS以外，以後也可將OpenShift帶進Azure公有雲，幫助企業打造混合雲應用環境。不過，現階段，只有商用版OpenShift Container platform，與社群使用的OKD（前身為OpenShift Orign）可以部署在Azure公有雲上，其他版本還不行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1878-001.JPG" style="width: 600px; height: 400px;" /></p> <p>在與母公司執行長Ginni Rometty對談時，Jim Whitehurst不避會問到雙方完成交易之後的運作，Ginni Rometty則重申，未來交易完成後，將繼續保有紅帽開源文化精神，以及確保完整獨立營運，更重要的是，「持續擴大開源文化，與開放創新，是我們應當承擔的重要使命。」她這麼說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1871-001.JPG" style="width: 600px; height: 400px;" /></p> <p>在整場2小時的主題演講，Jim Whitehurst幾乎很少談論自家下一步混合雲具體戰略，甚至也沒有看到產品發表，只有在活動尾聲時，才介紹了新版Linux作業系統RHEL 8（Red Hat Enterprise Linux 8）的正式版推出。大多時候，Jim Whitehurst都把時間留給重要企業用戶，分享自家上雲、混合雲以及數位轉型經驗，並沒有因為被別人收購，或是公司換新Logo，就不再堅守原有立場，仍以用戶為中心的策略思維。</p> <p>今年有自不同產業代表上臺分享自家經驗，如美國石油巨頭ExxonMobil，就介紹自家導入容器平台（OpenShift）歷程，並由該公司Upstream數位轉型部門資料科學家Audrey Reznik親自傳授，在全球130多個開發團隊的的導入經驗。又如，新加坡最大商業銀行星展銀行（DBS Bank），該集團資訊長David Gledhill，也分享自家混合雲架構的實戰經驗，如何透過混合管理平臺加快應用交付速度，並改善用戶體驗。今年已經第二次來的德意志銀行則分享如何利用紅帽開源技術的最新經驗，來縮短應用交付周期，從原來的數個月，到現在只許幾周時間就完成應用迅速改版更新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1913-001.JPG" style="width: 600px; height: 400px;" /></p> <p>雖然，在今年主題演講上，Jim Whitehurst很少介紹自家產品，但是同一天，紅帽官網也有一些重要產品宣布，首先，就是RHEL 8走出Beta測試而邁入正式版。8.0版除了在先前測試版已知的功能，如應用程式串流，或是網頁式遠端管理功能(Web Console)，另外，還內含一個全新智慧管理機制（smart Management），這是一個在混合雲架構採用的自動化或自主管理方式，利用本地端系統管理的Red Hat Satellite，再搭配另一個雲端專管服務，來達到跨雲之間自動化管理，以降低複雜跨雲管理的需求。甚至也可加強用於資安漏洞、合規性與故障排除的管理。</p> <p>同天另一場全球媒體記者會上，紅帽RHEL商用部門總經理Stefanie Chiras也揭露更多使用數據，她表示，自2014年推出RHEL 7以來，已經獲得多達15,000家企業用戶採用。隨著RHEL 8正式版的推出，她也更加看好RHEL 8推出後的發展，以去年11月推出RHEL 8測試版為例，她表示，至今已有高達14,000次的下載，幾乎是之前RHEL 7 Beta下載量的好幾倍，「更重要的是，這些開發者試用後，大多都給予相當正面的評價。」她說</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1930.JPG" style="width: 600px; height: 400px;" /></p> <p>再者，Jim Whitehurst在稍早舉行一場全球媒體記者會上，已經正式發布了第4版OpenShift容器平臺，甚至隨後，在網路也已將找得到相關官方網頁，來介紹新版特色，根據該網頁說明，目前OpenShift 4.0推出的是開發者預覽版，在特色上，則是新增了許多以開發者與維運為中心的工具，來加速應用程式開發，也讓這些容器化應用更容易部署以及自動擴展，並且能達到全生命周期維護，另外也加強對於叢集容器或微服務的管理等。</p> <p>新版OpenShift 4另一大特色，就是開始支援對於無伺服器（Serverless）容器的管理，微軟同一天在自家Build大會宣布與紅帽在這方面有重大進展，已經能透過KEDA開源專案，採用基於Kubernetes的事件觸發，來自動完成資源調度與管理，讓Azure Functions無伺服器服務也能在Red Hat OpenShift容器平臺上執行，可以做為Azure 、混合雲、本地端管理，或是可用來實現雲端FaaS服務。不過目前還是開發者預覽版。</p> </div></div></div>
2019/5/8 13:18作者余至浩https://www.ithome.com.tw/news/130478
Dropbox發表冷儲存服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端儲存業者<a href="https://blogs.dropbox.com/tech/2019/05/how-we-optimized-magic-pocket-for-cold-storage/" target="_blank">Dropbox宣布即將採用新的冷儲存（Cold Storage）服務</a>，以用來儲存存取頻率較低的資料，並強調資料不論是存放在暖儲存（Warm Storage）或冷儲存，幾乎不會造成用戶的不便。</p> <p><a href="https://techcrunch.com/2019/05/06/dropbox-adds-cold-storage-layer-for-less-frequently-access-files/" target="_blank">Dropbox在2016年將基礎設施從AWS移回自家架構時，建立了Magic Pocket來容納數個Exabyte（EB）的龐大資料量</a>，迄今已有超過90%的用戶資料是存放在Magic Pocket上。有鑑於使用者存取新舊資料的頻率不同，現在Dropbox新建了冷儲存層，並將原來的Magic Pocket系統更名為暖儲存層。</p> <p>Dropbox指出，檔案剛被上傳時的幾個小時內存取頻率最高，之後的存取頻率便隨著時間而大幅下滑，這使得該站工程師認為若以同樣的方式儲存所有檔案並不合理，於是決定建立兩個不同的儲存層。</p> <p>其中的暖儲存層其實就是標準的Magic Pocket系統，具備高儲存密度與非常快速的網路連結，而冷儲存層也是基於同樣的硬體及網路，但藉由減少25%的磁碟使用量而能節省成本，卻不會犧牲可用性與續航力。</p> <p>Dropbox說明，當系統判斷資料變冷之後，就會於背景異步將資料轉移至冷儲存，儘管它的存取延遲可能會高於暖儲存層，但用戶幾乎難以辨識兩者的差別。</p> </div></div></div>
2019/5/8 11:40作者陳曉莉https://www.ithome.com.tw/news/130476
賽門鐵克：網路間諜組織Buckeye在影子掮客之前就利用了NSA的攻擊工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年8月時，一個自稱為「影子掮客」（The Shadow Brokers）的駭客組織，在網路上拍賣美國國安局（NSA）下轄網路攻擊組織「方程式」（Equation Group）所開發的攻擊工具，在當時掀起了軒然大波，然而，資安業者<a href="https://www.symantec.com/blogs/threat-intelligence/buckeye-windows-zero-day-exploit" target="_blank">賽門鐵克（Symantec）最近發現了新證據，指出網路間諜集團Buckeye早在2016年3月，就開始利用相關的攻擊程式</a>。</p> <p>從時間點來看，影子掮客是在2017年4月釋出包括DoublePulsar、FuzzBunch、EternalBlue及EternalSynergy等攻擊工具，隔月北韓駭客即利用DoublePulsar與EternalBlue來散布造成重大災情的WannaCry勒索軟體，但Buckeye早在2016年3月就以DoublePulsar發動攻擊了。</p> <p>迄今影子掮客的身分依然不明，外界揣測它來自俄羅斯，而所持有的攻擊工具則是向國安局的約聘人員所收購；至於<a href="https://www.zdnet.com/article/chinese-hackers-were-using-nsa-malware-a-year-before-shadow-brokers-leak/" target="_blank">Buckeye也被稱作APT3或Gothic Panda，是來自中國的網路間諜團隊</a>，自2009年開始活動，一直到2017年中被美國破獲。</p> <p>研究人員指出，2016年3月時，Buckeye便替後門程式DoublePulsar設計了專用的攻擊工具Bemstour，開採兩個微軟零時差漏洞CVE-2017-0143與CVE-2019-0703，並用它來攻擊香港及比利時，前者在2017年3月修補，後者則是一直到今年才修補。</p> <p>賽門鐵克並不確定Buckeye取得DoublePulsar的管道，但有鑑於Buckeye並未使用其它由影子掮客外洩的攻擊程式，讓研究人員猜測Buckeye很可能是發現了NSA在中國系統上所植入的DoublePulsar，秉持著「草船借箭」的精神重製了DoublePulsar，而比較不像是偷來或買來的。</p> </div></div></div>
2019/5/8 12:00作者陳曉莉https://www.ithome.com.tw/news/130477
Visual Studio Code現支援遠端Python開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在PyCon 2019大會中宣布，<a href="https://devblogs.microsoft.com/python/remote-python-development-in-visual-studio-code/">Visual Studio Code開始支援Python遠端開發</a>，開發人員可以使用三個擴充套件，在遠端也能獲得和本機端相同的開發體驗。這三個擴充套件分別是遠端容器、遠端SSH以及遠端WSL（Windows Subsystem for Linux），讓開發者在這三個相對應的環境進行遠端開發</p> <p>由於在Docker容器能方便地創建可重現的開發環境，無需在本地端電腦上安裝複雜的相依項目，因此成了熱門的開發方法，而這也可以讓新的團隊成員，安裝Docker並在Visual Studio Code中打開工作區以重現團隊開發環境。而遠端容器擴充套件則是使用開發容器（Dev Container）的概念，讓Visual Studio Code開發者無縫的在Docker容器開發環境中工作。</p> <p>開發容器由.devcontainer檔案夾中的檔案定義，Visual Studio Code會依據該資料夾檔案為工作區創建Docker環境，開發者可以使用Dockerfile創建單個容器，或以docker-compose.yml執行多個容器。開發者可以在遠端容器擴充套件中，選擇既存的.devcontainer資料夾，以現有開發容器定義創建開發容器，或是為工作區創建新的開發容器，微軟提供內建的Python定義，讓開發人員可以選擇使用Python 2/3，或是Miniconda等快速進行設定。</p> <p>當開發者開啟開發容器後，Visual Studio Code便會創建一個Docker映像檔，並安裝輕量級遠端伺服器，開發者便可以開始在遠端伺服器中進行開發，除此之外，開發者也可以將Visual Studio Code附加到任何一個正在執行的Docker容器中，而非從頭開始創建開發容器定義。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/5_AttachContainer.png" style="width: 446px;" /></p> <p>Python開發人員另一個常見的開發情境，是在遠端電腦執行開發環境，以存取特別的運算資源或是資料集，和遠端容器擴充套件一樣，開發者可以使用遠端SSH擴充套件，連接遠端工作區，開發者只要在擴充套件中輸入目標SSH主機就能進行連接，開發者也能配置SSH主機，供團隊其他成員連線使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6_ConfigureSSH.png" style="width: 624px;" /></p> <p>開發者還可以在遠端WSL工作區進行開發，使用遠端WSL擴充套件，便能讓開發者的Visual Studio Code UI在Ｗindows桌面環境上執行，而Visual Studio Code的遠端伺服器在Linux子系統中執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_NewWSLWindow(1).png" style="width: 600px;" /></p> </div></div></div>
2019/5/8 12:05作者李建興https://www.ithome.com.tw/news/130465
微軟正打造網頁版開發工具Visual Studio Online
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據開發者對IntelliCode以及Live Share的回饋，微軟進一步延伸遠端程式碼協作概念，即將推出三個能增加開發生產力的功能，分別是<a href="https://devblogs.microsoft.com/visualstudio/intelligent-productivity-and-collaboration-from-anywhere/">個人遠端開發、雲端開發環境配置，以及網頁版Visual Studio Online</a>。</p> <p>微軟提到，個人遠端開發這項功能，是他們釋出程式碼協作功能Live Share的時候，就收到的回饋建議，而遠端開發也的確有其優點，能在有別於部署應用程式的作業系統工作，可以讓開發者利用更高階的硬體進行開發，還能增加應用程式的可移植性。</p> <p>而在五月初，微軟已經為Visual Studio Code釋出了遠端開發擴充套件，讓本地端工具得以連到WSL（Windows Subsystem for Linux）、Docker容器或是SSH環境，執行完整的開發體驗，包括使用擴充套件、設定主題和除錯等，而現在微軟也對Visual Studio釋出遠端開發功能，支援的語言從C#和C++開始。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862136.jpg" style="width: 600px;" /></p> <p>另外，為了解決設定開發環境的麻煩事，微軟推出了完全雲端託管的按需開發環境，當開發者需要處理新專案的時候，將可以使用Visual Studio或Visual Studio Code連結雲端環境，啟動雲端開發環境，交由服務負責進行環境配置，這將幫助開發者以最短的時間開始程式碼編輯工作，還能快速的安裝相依項目。現在這個功能仍在私密預覽中，開發者還需要等一等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862216.jpg" style="width: 600px;" /></p> <p>現在微軟正在開發Visual Studio Online，以賦予開發者隨時隨地就能開發的靈活性，這是一個基於網頁的伴隨編輯器（Companion Editor），讓開發者在任何裝置的瀏覽器上，執行諸如快速編輯，或是查看團隊Live Share對話等工作。由於Visual Studio Online是基於Visual Studio Code開發，因此開發者能夠快速上手，而且還可以使用豐富的擴充套件，支援Visual Studio Code工作區與Visual Studio解決方案，此外，Visual Studio Online還會支援IntelliCode以及Live Share。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine1_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862254.jpg" style="width: 600px;" /></p> </div></div></div>
2019/5/8 11:00作者李建興https://www.ithome.com.tw/news/130464
新版Windows終端機可以自訂介面了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows的命令列工具不再黑黑醜醜，微軟在Build開發者大會上，宣布釋出全新開源全功能<a href="https://devblogs.microsoft.com/commandline/introducing-windows-terminal/">Windows終端機</a>（Terminal），這是一個現代高效的終端應用程式，可用來操作命令提示字元、PowerShell和WSLWindows Subsystem for Linux等殼層，將在今年夏天於Windows 10的Microsoft Store提供，但想嚐鮮的使用者，可以於<a href="https://github.com/Microsoft/Terminal">GitHub</a>中複製專案使用，目標在冬天時推出Windows終端機1.0。</p> <p>微軟終於為終端機加入了多頁籤功能，使用者現在可以開啟任意數量的分頁，每個分頁都可以連接到選擇的殼層或是應用程式，像是命令提示字元、PowerShell，也能在WSL執行Ubuntu、openSUSE以及Debian，甚至是透過SSH連接樹莓派也沒問題，微軟提到，這是使用者最常要求的終端機功能，他們在最新的終端機程式中實現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tab-menu.png" style="width: 600px;" /></p> <p>而使用者第一眼看到Windows終端機與過去的命令列工具最大的差異，還是在介面的變化，整體介面新穎許多，Windows終端機使用GPU加速的DirectWrite文字渲染引擎，因此可以顯示更多元的文字、字形和符號，包括了中日韓統一表意文、表情符號、Powerline字體、圖標以及程式開發合字（Ligature）等，而微軟也提供了全新開源字體，供使用者使用，微軟表示，新的文字渲染引擎渲染文字的速度，要比過去的控制臺GDI引擎還要快上許多。</p> <p>Windows終端機提供了許多配置選項，使用者可以對終端應用程式的外觀以及分頁進行控制，而這些配置會被以結構化文字檔案儲存，方便使用者或其他工具使用，Windows終端機允許多個配置文件存在，因此使用者可以為每個殼層、應用程式和工具創建多個配置文件，這些配置文件皆可以設定各自的字體樣式、大小與顏色主題，背景模糊與透明度等組合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/emojis.png" style="width: 600px;" /></p> <p>微軟說明之所以無法改進現有的Windows控制臺（Console），原因在於Windows控制臺需要對命令列工具和腳本等維持向後相容性，微軟已經對控制臺進行了部分的改進，但是無法在現有限制下，對使用者介面做出更多的改善，微軟認為，需要對控制臺架構進行破壞性改變，因此才重新打造了Windows終端機。</p> <p>Windows終端機與控制臺能同時共存，當使用者直接執行Cmd或PowerShell等其他應用，則會開啟傳統控制實例，而使用者也不需要擔心，Windows控制臺也將在未來幾十年持續發布，以支援現有的應用程式。</p> </div></div></div>
2019/5/8 11:13作者李建興https://www.ithome.com.tw/news/130461
華碩軟體更新伺服器竟成惡意後門派送幫兇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年3月底，一起關於<a href="https://www.ithome.com.tw/news/129590" target="_blank">華碩筆電的軟體供應鏈攻擊事件</a>，引起全球關注，不僅因為華碩為臺灣電腦設備大廠，也是全球前五大電腦品牌之一，擁有相當多的用戶，所以影響範圍廣大。</p> <p>揭露此事件的資安業者卡巴斯基，特別將此複雜的供應鏈攻擊，命名為「ShadowHammer」，並在他們蒐集的惡意程式樣本中，逆向找出寫死在程式碼的600筆MAC位置清單，也就是這次攻擊最可能鎖定的目標。而隨著事件的發現與曝光，也中斷了這次攻擊行動的繼續發展。</p> <p>不過，<a href="https://www.ithome.com.tw/news/129588" target="_blank">這次華碩更新伺服器遭入侵的事件</a>，已經讓臺灣的企業與用戶更感受到軟體供應鏈攻擊的威脅，同時，還引發企業對更新服務安全，以及數位簽章憑證安全的關注。因為近年來，已有多起軟體供應鏈攻擊，是與服務更新伺服器有關，而華碩也為此撤銷現行的程式碼簽章憑證，甚至他們又在4月13日公告，要將旗下的主機板、顯示卡、迷你電腦、工作站、伺服器等產品，執行多重性程式碼簽章憑證架構升級。</p> <p>若更深入探究下去，這樣的事件也再次引發各界對當今供應鏈的信任問題，以及在開發流程到<a href="https://www.ithome.com.tw/voice/129720" target="_blank">更新管理</a>的討論。</p> <p><span style="font-size:28px;"><strong>華碩本身非最終目標，但因此受影響用戶遍及全球</strong></span></p> <p>關於華碩軟體更新伺服器遭入侵一事，資安業者卡巴斯基先是在1月29日，確認這起涉及華碩Live Update服務的攻擊活動，並於隔日通知華碩，後來於3月25日曝光於媒體，當日晚間華碩也針對此事發表聲明。而根據卡巴斯基實驗室的調查結果顯示，駭客散布惡意更新的時間是在2018年6月到11月間，並指出被駭客偷偷改裝成木馬程式的華碩Live Update，因為使用了合法的數位簽章，所以不容易被察覺。</p> <p>值得注意的是，在這次事件中，從影響範圍上，可以分成2個不同層面來看，包括受此攻擊過程所影響到的用戶，以及這次供應鏈攻擊的主要目標。</p> <p>首先，根據卡巴斯基的調查，他們統計到有5萬7千名卡巴斯基用戶，下載並安裝了具有後門的華碩Live Update版本，同時他們還估計，在全球可能有超過一百萬的用戶受影響。</p> <p>這也看出供應鏈攻擊所影響的規模，相當廣大，畢竟華碩在全球多個國家都有銷售筆電，受波及的用戶非常多。</p> <p>在3月26日，另一家資安業者賽門鐵克也公布關於華碩軟體更新與供應鏈攻擊的調查，他們指出有1萬3千臺他們的用戶電腦，曾經被他們偵測到木馬程式的更新。特別的是，他們並從這些用戶的區域位置做出統計，其中，美國、澳洲、義大利佔比都在10%以上，接下來是法國、英國、加拿大、日本、德國、臺灣與瑞典，這也印證了受此事件影響的用戶遍及全球。</p> <p>關於可能的攻擊目標方面，根據卡巴斯基的說明，他們在1月底至3月期間，已經與多次與華碩討論此攻擊活動的發現，包括兩次面對面的電話會議，接著，卡巴斯基也在蒐集的230份惡意程式樣本中，發現600多個MAC位址清單，因此在3月8日將此新發現提供給華碩。</p> <p>而這樣的跡象也意謂著，這些裝置可能才是這次攻擊行動的主要目標，因為，每一筆MAC位址，也就代表一臺裝置使用的網路介面位址。簡單來說，駭客這次攻擊先是向華碩筆電用戶遞送惡意的更新程式，接著將進行第二階段的行動，就可能是要針對這些目標所在電腦，發動更進一步的攻擊。</p> <p>但隨著此一事件的曝光，相關攻擊行動也因此被中斷。對此，我們也詢問了卡巴斯基臺灣技術總監謝長軒，他表示，以現況來講，當時他們公布相關資訊時，就已經列出了入侵指標（Indicators of Compromise，IOC），當中包含IP位址、網域名稱，還有相關特徵等，在這樣的情資分享下，其他資安業者的解決方案可以套用這個IOC來偵測。</p> <p>同時，卡巴斯基也提供給一般用戶可識別ShadowHammer的工具程式，以及檢查自己是否為鎖定目標的MAC位置清單檢查網頁。而華碩也提供了一個名為ASDT的檢測程式，可幫助民眾檢查自己的Live Update工具程式，確認是否更新至最新版。</p> <p>而在此之前，是否有其他資安業者可能偵測到相關問題，並阻擋下來？像是透過木馬化的Live Update下載了其他惡意程式的活動。謝長軒表示，對於資安業者而言，每天有相當多的惡意攻擊發生，這些防護的機制大多是機器自動進行，在一些狀況下，才會以人為方式介入去調查。</p> <p>關於這次事件，謝長軒透露了更多的細節。他們在去年12月底接到客戶通知電腦有問題，在協助進行IR事件回應過程中，才發現惡意程式為何是透過合法的軟體而來。因此他們再從Hash值去比對，回頭找出第一次與最後一次看到此樣本的時間，以統計出他們客戶中受影響的數量。</p> <p>當然，為了要向他人說明這個合法的軟體有問題，謝長軒表示，這還必須要更深入的去分析該程式的內容，而卡巴斯基也在確認後，將此攻擊行動通知華碩，雙方並在後續進行多次此事件的討論。而對於通報這樣的動作，他表示，全球有400家大大小小的防毒業者，如果都無法發現異常而進一步調查，此供應鏈攻擊的潛伏期就會更長。</p> <p><span style="font-size:26px;"><strong>原本信賴的更新機制與數位簽章被濫用，成為事件中的安全焦點</strong></span></p> <p>在這次華碩事件中，更新伺服器與程式碼簽章憑證的安全防護問題，更是成為不可忽視的焦點。</p> <p>簡單來說，這個Live Update是華碩在自家筆電所附上的工具程式，主要是為了幫助使用者保護與增強設備安全，可透過這款工具，獲得自動且即時的軟體更新。例如，在網路上檢查華碩的更新伺服器，是否有系統適用的最新BIOS、韌體、驅動程式及工具程式等。</p> <p>但是，這種原本幫助改善系統安全的管道，如今卻被駭客利用成為散布惡意後門的工具。一旦用戶在更新伺服器受害期間下載更新，安裝了被攻擊者偷偷加料的更新程式，成為駭客傳送其他惡意程式的入口。由於這種用戶信賴的系統更新工具遭到濫用，又不易察覺，而被多方關注。</p> <p>不僅是更新伺服器的安全，還有程式碼簽章憑證問題受到議論，因為這個被注入後門的更新程式，也使用了華碩的程式碼簽章憑證。</p> <p>為何駭客要取得業者的程式碼簽章憑證？因為這可以避過既有的一些防護機制。例如，現有的基本資安防護機制會傾向相信此憑證資訊，認可該公司的這個軟體沒有被別人竄改過，是由簽章擁有人發布。但如果駭客取得簽章並幫加料的更新程式蓋章，等於幫自己加上一個合法的護身符，而能在對方信任的情況下，不受到攔阻。</p> <p>另外又衍生的狀況是，當華碩推出ASDT檢測工具時，國外資安研究人員GiuGiuseppe `N3mes1s`在推特上指出，該工具被微軟Windows Defender誤判為惡意程式，這樣的烏龍事件，其實也是受到程式碼簽章憑證的影響，因為已有一些資安公司，得知此數位簽章有冒用問題，因此先採不信任的態度，將之排除在白名單以外。</p> <p>對此，謝長軒也進一步說明，在他們通報華碩之後，後續雖然沒有發現新的惡意樣本，但在3月時，華碩新發布的軟體仍是使用有問題的程式碼簽署，因此他們提醒對方應盡快做出處理。而最簡單的動作，就是註銷駭客入侵冒用的數位簽章，至少各家安全業者就能在檢查簽章時，發出警告資訊，並要注意新的簽章憑證不會再次遭竊。</p> <p>同時，謝長軒也提到Blind Trust的議題，對於信任憑證這樣的機制，部分作法更為嚴謹的業者，不會單單只是依賴憑證檢查，還有其他的作法一起搭配，也會有人去介入調查分析的情況。但在目前市場現況下，簽章憑證仍是較普遍使用的一種方式，並且具有效率，未來要用什麼樣的機制來改善，將是挑戰。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/190322-shadowhammer-1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/190322-shadowhammer-1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 500px;" /></a></p> <p><span style="color:#3399ff;"><strong>駭客使用華碩的數位簽章而使得惡意更新難以被察覺</strong></span></p> <p><span style="color:#808080;"><strong>根據卡巴斯基的研究指出，這次事件中被注入惡意程式碼的華碩Live Update程式，使用了合法的數位簽章，因此難以被察覺。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/operation-shadowhammer-a-high-profile-supply-chain-attack-15_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png"><span style="color:#808080;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-shadowhammer-a-high-profile-supply-chain-attack-15_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 500px;" /></strong></span></a></p> <p><strong style="color: rgb(51, 153, 255);">面對駭客組織濫用憑證的威脅，卡巴斯基提醒華碩應註銷被入侵的憑證</strong></p> <p><span style="color:#808080;"><strong>根據卡巴斯基的研究指出，駭客可能竊取了華碩數位憑證的副本，或是濫用了華碩內部安裝憑證的系統，因此認為這些被入侵的憑證應該要被註銷。但是，在他們向華碩報告的一個月後（如同中顯示3月10日），他們發現華碩新發布的軟體仍使用被入侵的憑證來簽署，因此他們立即通知華碩，並提供相關證據。</strong></span></p> <p><span style="font-size:28px;"><strong>近期華碩大動作進行多項產品的程式碼簽章憑證升級</strong></span></p> <p>在華碩更新伺服器被駭事件傳出後，後續事件處理也是各界關心的焦點。</p> <p>在消息曝光後，華碩已在一日內對媒體發表正式聲明，指出有部份機臺搭載的Live Update版本遭駭客植入惡意程式碼，企圖對少數特定對象發動攻擊，他們強調，已對Live Update軟體升級了全新的多重驗證機制，同時提供ASDT檢查工具，並在當日晚間於官網發布相關公告，期望讓用戶能安心使用。</p> <p>後續，華碩則在官網的FAQ頁面增加相關說明，請用戶更新Live Update到V3.6.8以後的版本，來解決安全問題，這也終於讓用戶可以有更清楚的答案。</p> <p>只是，對於這次事件的影響範圍，該公司只有針對供應鏈攻擊的面向回應，表示受影響的數量為數百臺，但未公布從華碩更新伺服器下載木馬化Live Update的用戶數量。</p> <p>事隔半月後，華碩則是進一步解決程式碼簽章憑證所引發的問題，他們在4月13日發出相關公告，並說明影響的產品包含旗下主機板、顯示卡、迷你電腦、工作站、伺服器等。</p> <p>無論如何，這起事件也再次突顯業者程式碼簽章遭竊的後果與嚴重性，而這樣的狀況，也讓人想到去年臺灣兩家IT廠商D-Link與全景資訊，也被發現憑證遭竊與濫用的問題。接連不斷的事件，該如何防止這樣的事件再次上演，是企業必須重視的問題。</p> <p>更讓人震驚的是，即便是信譽良好的供應商業者，使用的數位簽章證書也可能遭受入侵與冒用，而這將引起其他軟體公司，乃至整個開發過程與更新環境的擔憂。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>華碩更新伺服器遭駭事件處理過程</strong></span></span></p> <p><strong>2019年1月29日</strong></p> <p>卡巴斯基發現遭入侵的ASUS Live Update工具程式</p> <p><strong>2019年1月30日</strong></p> <p>卡巴斯基將初步報告提供給華碩</p> <p><strong>2019年1月31日</strong></p> <p>雙方進行面對面的電話會議。華碩並提供最新版本的華碩Live Update程式給卡巴斯基，經過分析發現它並未受到感染。</p> <p><strong>2019年2月1日</strong></p> <p>華碩提供2018年的Live Update備份檔，經卡巴斯基分析後，發現沒有感染的狀況，並且使用不同的證書簽章。</p> <p><strong>2019年2月14日</strong></p> <p>雙方進行第二次面對面會談，並討論攻擊細節。</p> <p><strong>2019年2月20日</strong></p> <p>卡巴斯基再次提供有關攻擊的新發現細節</p> <p><strong>2019年3月8日</strong></p> <p>卡巴斯基向華碩提供了目標MAC地址列表的新發現</p> <p><strong>2019年3月26日</strong></p> <p>此事經科技媒體Motherboard報導曝光，卡巴斯基也同步揭露關於此次供應鏈攻擊「ShadowHammer」行動的相關資訊，並指出駭客散布惡意更新的時間是在2018年6月到11月間。華碩也於晚間對此發表相關聲明。</p> <p><strong>2019年4月8日</strong></p> <p>卡巴斯基提供一份關於對華碩攻擊調查的綜合報告。</p> <p><strong>2019年4月13日</strong></p> <p>華碩發布產品程式碼簽章憑證維護公告，將對旗下數項產品進行多重性程式碼簽章憑證架構升級，這些產品包括主機板、顯示卡、迷你電腦、工作站與伺服器等。同時，他們也提醒用戶，此項升級作業需撤銷現行的程式碼簽署憑證。</p> <p>資料來源：卡巴斯基、iThome整理，2019年5月</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130415
更新下載伺服器遭濫用事件頻傳，防禦思維也需要跟著轉變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="http://www.ithome.com.tw/news/129590" target="_blank">華碩的軟體更新伺服器遭駭</a>，這樣的問題是否有前例？事實上，這種更新機制遭駭客利用已經不是頭一遭。</p> <p>例如，2013年南韓防毒軟體業AhnLab遭APT攻擊一事，就是駭客透過更新伺服器這樣的正常管道，讓企業使用的資安工具變成派毒工具。</p> <p>不過當時的攻擊更為直接，駭客對企業派送惡意程式造成短時間內多間韓國銀行與電視臺遇害，導致使用該防毒的企業電腦與ATM受害，更影響了正常的金融交易運作，這也使得該國政府啟動國家危機管控機制。</p> <p>在臺灣，過去也有安裝下載伺服器遭入侵的案例，例如2014年底，臺灣遊戲代理商Garena的遊戲安裝檔遭到感染，該公司在網站上發出資訊安全公告，同時公司高層也透過公開聲明向玩家致歉，表達對此駭侵事件的重視與負責。</p> <p>從上述兩起關於更新、下載伺服器的受駭事件來看，早有前例可循，但類似狀況並未因此終止。</p> <p>在接下來幾年，又相繼傳出各種形式的滲透攻擊，不是直接從攻破企業防護，而是透過供應商的更新、部署，甚至是開發過程下手，進而威脅到使用這些應用或服務的企業，令人防不勝防。</p> <p>舉例來說，<a href="https://www.ithome.com.tw/article/99232" target="_blank">2015年的蘋果XcodeGhost事件</a>，駭客更是從App開發的環境下手，仿冒一個植入惡意程式碼的山寨版，並散布到中國雲端空間與論壇，讓使用的開發者，打造出的App都具有惡意程式，而這一事件也點出一個現象，那就是許多中國開發者在下載蘋果開發工具時，竟是選擇非官方來源的載點。</p> <p>不僅如此，駭客的下手面向與鎖定對象，都有很大不同與可能性。像是2017年駭客利用在烏克蘭知名的會計軟體，被用來散布勒索軟體NotPetya，不少資安業者更是認為，這是以癱瘓系統為目標的國家級攻擊行動，與前述南韓防毒軟體事件相同的是，駭客攻擊目標有相當明確的區域性。</p> <p>此外，在2017年還有像是知名網管工具Xshell 5、系統清理工具<a href="https://www.ithome.com.tw/news/116984" target="_blank">CCleaner</a>，這類全球都有不少企業用戶的軟體，也都曾經發現被入侵、假冒，而成為駭客散播惡意程式的管道，帶來廣大的影響，這也與此次華碩事件相同，受害的用戶遍及各地。</p> <p>甚至，還有些是鎖定產業上下游的事件，例如駭客從PC業者的合作伙伴下手，像是有研究人員揭露HP電腦的音效晶片驅動程式，內藏鍵盤側錄程式。此外，也有駭客假冒某PDF編輯軟體業者合作伙伴的伺服器，並透過特別的挾持手段，讓用戶安裝PDF軟體時原本要從合作伙伴下載MSI格式的字體包，變成連至駭客伺服器，用戶電腦因而被遞送挖礦程式。</p> <p>上述這些僅僅是部分案例而已，然而我們已經不難看出利用供應鏈的攻擊形式與範圍之廣，而且又難以察覺。</p> <p>在華碩的這次事件後，也再次讓整體產業，都更關注到更新伺服器與憑證的安全問題，更要提醒的是，儘管業者本身財物損失並不嚴重，但無形的商譽卻造成極大的破壞。</p> <p>而最關鍵的問題是，一旦更新伺服器與程式碼簽章憑證受駭，等於駭客就能藉由這樣的合法管道散布惡意威脅，不論是產品開發的公司或是產品用戶，該如何繼續信任這些產品的安全性？</p> <p>對此，面對用戶軟體服務更新有龐大需求的微軟，他們的資訊安全暨風險管理協理林宏嘉也提出他們的觀察。他強調這是一種攻擊邏輯的轉變，業者過去在意的是本身有沒有東西被偷，做好自身的防護，但現在也應該要轉變思維，或許業者本身不是價值標的物，但是駭客可以透過他們去擄獲到很多有價值的標的，因此，本身的防禦也要跟上。</p> <p>林宏嘉並表示，從犯罪的經濟體系來看，過去APT攻擊只是鎖定單一目標採各種針對性攻擊手法。現在駭客更在意的是經濟規模，而從這些軟體業者下手，可一次獲取到眾多的受害者，再來看誰適合成為目標，或者是先知道某群用戶使用的工具，然後搞清楚其產業鍊結構，再從周邊找出容易攻破的點。</p> <p>無論如何，未來這樣的網路威脅還可能會變得更氾濫。在今年初，我們也持續看到許多資安業者發布的2019網路安全預測，都在提醒供應鏈攻擊將是現在的主流。對於軟體開發商或自行開發應用程式的企業團隊而言，近年不斷在提倡安全軟體開發，但軟體部署與交付，以及後續軟體升級與維護的安全，也都不能像過去一樣輕忽。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>當軟體更新伺服器遭駭，使用這些軟體的企業與用戶該如何處置？</strong></span></span></p> <p>一般而言，更新服務的作用不外乎是功能增加強化與漏洞的修補，企業在考量升級穩定性之餘，通常都是信任這樣的更新機制，而這樣的管道一旦被入侵，不論系統、PC與軟體業者的更新服務，其實都將帶來同樣嚴重程度的風險，但涉及系統與底層的威脅層面，還是最令人憂心。</p> <p>在華碩這次傳出軟體更新伺服器遭入侵，讓用戶可能更新了具後門的華碩Live Update版本，事後用戶該如何因應？原則上，就是依照原廠提供的安全公告，將Live Update更新至最新且安全的版本，用戶事後能夠做的事情相當有限。另外，官方還建議若是確認自己受到影響，應備份重要資料並還原作業系統，同時定期更換密碼以保障用戶安全。</p> <p>但對於企業用戶而言，若是這種威脅事件不斷增加的情形下，是否對於這些更新機制也應抱持著零信任的態度？因為這類攻擊已經暴露了軟體更新機制的風險，儘管軟體供應鏈本身需要負相當大的責任，但用戶也可以進一步思考的是，若是不小心發生這樣的問題，該如何降低風險？</p> <p>例如，現有的防護機制是否能查出這樣的風險，是否要增強端點上的偵測與回應機制，或是做出更高要求的管控，以避免未經授權的程式執行。</p> <p>同時，企業要對自己本身的標的掌握度也要夠好，也就是要清楚知道一套軟體安裝在多少臺電腦上，內部總共安裝多少軟體及其更新狀態，即便問題發生也能快速清查影響範圍。而對於企業在內部近端架設的軟體更新主機，是否也應增設檢查的關卡，來減少威脅的發生，</p> <p>無論如何，在軟體供應鏈攻擊的威脅之下，除了供應商要保障本身服務的安全，但用戶與企業本身是否也該採取更嚴謹的做法，因為這已是現今無法迴避的挑戰。</p> <p><span style="color:#3399ff;"><span style="font-size:26px;"><strong>最近6年來軟體供應鏈相關攻擊事件</strong></span></span></p> <p><strong>2013年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2013%E5%B9%B43%E6%9C%88_1280px-AhnLab_svg.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#3399ff;"><strong>防毒業者、更新伺服器</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 韓國防毒軟體業AhnLab遭駭 </span></span></strong></p> <p>駭客控制該公司病毒碼更新伺服器，透過更新病毒檔這樣的正常管道，讓原本派送給企業用戶最新防毒定義檔的方式，變成直接對企業派送後門並傳遞惡意程式。而這次攻擊行動，直接造成多間韓國銀行與電視臺的電腦與ATM受害。</p> <p><strong>2014年11月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2014%E5%B9%B411%E6%9C%88_200X200_GARENA.jpg" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>遊戲代理商、下載伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 臺灣遊戲代理商Garena被入侵 </span></strong></span></p> <p>該公司的遊戲安裝檔伺服器遭駭客入侵，數位簽章也被竊取，影響英雄聯盟（LOL）等三款線上遊戲，導致2014年11月中旬到12月下旬之間，他們在官網供玩家下載的遊戲安裝檔遭感染惡意程式。而業者在12月底，也對外發出安全公告。</p> <p><strong>2015年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B49%E6%9C%88_1200x630bb.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>App開發工具</strong></span></p> <p><a href="http://www.ithome.com.tw/article/99232" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 蘋果XcodeGhost事件 </span></strong></span></a></p> <p>駭客從蘋果開發工具Xcode著手，從其官網下載正版並植入惡意程式碼，再將盜版藉由雲端空間與論壇散，導致用其開發的App都具有惡意程式。事件在2015年9月被揭露，影響App數量超過4千個，同時突顯中國開發者竟選擇非官方來源的載點的普遍現象。</p> <p><strong>2015年12月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B412%E6%9C%88%EF%B9%8DHP_logo_630x630.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>PC業者上下游</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> HP電腦音效卡內藏鍵盤側錄 </span></strong></span></p> <p>HP電腦在2017年5月被研究人員Modzero發現內含了側錄程式，問題出在IC設計業者Conexant所生產的音效晶片驅動程式，該研究人員並從檔案的metadata發現，該鍵盤測錄程式，至少在2015年聖誕節期間，就已存在於HP筆電上。</p> <p><strong>2017年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B43%E6%9C%88_225px-Flag_of_Ukraine_svg.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>會計軟體、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 烏克蘭會計軟體供應商遭入侵 </span></strong></span></p> <p>當地具有高市占率的會計軟體M.E.Doc，其供應商Intellect Service的更新伺服器在2017年3至6月間遭入侵多次，向其客戶與及其他外部網站散佈勒索軟體NotPetya，經烏克蘭警方在2017年7月破獲。值得注意的是，多數研究人員認為，NotPetya是國家支持的攻擊行動，而對象就是烏克蘭。</p> <p><strong>2017年7月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B47%E6%9C%88Xshell%205_.jpg" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>網管業者、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 網管工具軟體Xshell 5遭植入後門 </span></strong></span></p> <p>網管工具業者NetSarang遭入侵，他們旗下的Xshell軟體遭駭客修改了程式碼並嵌入惡意檔案，並使用了合法的數位簽章，來執行後門程式ShadowPad，幫助攻擊者私自蒐集目標裝置資料。卡巴斯基實驗室在2017年8月公布相關細節。</p> <p><strong>2017年8月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B48%E6%9C%88_CCleaner_logo_2013.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>系統清理工具、下載伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 系統清理工具CCleaner遭植入後門 </span></strong></span></p> <p>Ccleaner的官網下載被入侵，駭客入侵了Avast剛併購的Piriform公司下載伺服器，使得CCleaner 5.33的Windows版遭到感染，被植入二階段後門。這起事件經Cisco Talos在9月揭露，感染期間為一個月，當時，受感染的程式，已被下載兩百多萬次。</p> <p><strong>2018年1月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B41%E6%9C%88_PDF.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>軟體業者合作伙伴伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 某一PDF編輯器的合作伙伴伺服器遭入侵 </span></strong></span></p> <p>微軟在2018年7月揭露一起供應鏈攻擊事件，駭客建立仿冒PDF編輯器軟體之合作夥伴的伺服器，從該合作夥伴提供的字體包MSI檔案著手，注入惡意的虛擬貨幣挖礦程式碼。攻擊行動在1月到3月間，讓使用者下載並執行PDF編輯器時，會自動從假冒伺服器中安裝字體包。</p> <p><strong>2018年6月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B46%E6%9C%88_AsusLogo.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>PC業者、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 華碩筆電軟體更新主機遭入侵 </span></strong></span></p> <p>華碩的更新伺服器遭攻破，駭客偷偷藉由更新機制散布後門，這起事件在今年1月被卡巴斯基發現並通知華碩，並於三月曝光於媒體，而根據卡巴斯基的研究，散布惡意更新的時間是在2018年6月到11月這段期間，影響用戶數達百萬。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130417
【提升軟體更新服務的安全層級，不讓駭客有機可趁】從開發到更新的流程，都要落實安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這次<a href="https://www.ithome.com.tw/news/130417" target="_blank">華碩更新伺服器遭濫用所引起的安全問題</a>，讓軟體供應鏈攻擊的威脅再受重視，然而，本身提供軟體更新服務的企業，該如何面對這樣的風險？才能讓企業與用戶都能夠繼續信賴，成為各界關注焦點。</p> <p>在這次事件後，已經提醒了其他所有提供更新服務的業者，不能忽視這方面的安全。那麼，是否能有簡單的原則要能夠遵循？簡單而言，不論是在軟體更新檔案上線的流程，或是軟體更新檔案上傳伺服器後，都必須確認檔案的一致性，並要能做到即時的監控。</p> <p>對此，賽門鐵克首席顧問張士龍更指出3個重點面向：第一點是這次供應鏈攻擊所設涉及的部分，包括更新程式的安全管理，負責發布更新的主機安全防護，以及憑證的管理等；第二點是檔案派送方面一致性的檢測；第三個則是部署流程方面的各環節，也要有相對應的檢查與流程控管。而其中所有流程的安全控管，更是他所強調的部份。</p> <p>另外，近年在許多安全議題都提及的白名單機制，也能套用在這些開發相關的伺服器，以及更新伺服器上，協助做到較嚴格的管控。</p> <p>當然，這些安全管控不算新的概念，大型企業也應該都有實施資訊安全管理制度，因此是否能夠落實將是關鍵，或是企業根本沒有顧及這些方面，那麼現在就應該要有所重視。而從這次華碩的更新檔案被加料，以及數位簽章憑證遭濫用來看，對於其他提供更新下載服務的企業而言，同樣也該有所警惕。</p> <p><span style="font-size:28px;"><strong>正視軟體供應鏈攻擊的威脅，總共有5大攻擊面向必須要注意</strong></span></p> <p>深入探究下去，對於這次華碩更新主機遭駭的事件，其實許多資安專家也都提到了幾個需要注意面向，包括是在軟體開發的過程，以及發布與部署的環節，甚至後續的維運管理。畢竟，關於更新檔案被駭客植入惡意程式碼，是有可能發生在某一環節。</p> <p>其中，關於安全軟體發展生命週期（SSDLC）的重要性，近年各界已經不斷在呼籲，目的就是要避免駭客借道軟體漏洞著手破壞或加料，然而最後的部署維運階段，以及發布到自動更新服務這一部分，過往並未特別受到重視，如今卻可能成為被忽略的一個環節。更進一步來看，企業若要全面掌握可能發生問題的環節、盤點防護面向，設法認識攻擊者下手方向，就是最好的方式。</p> <p>根據美國國家反情報與安全中心（NCSC）的研究，他們在2017年10月公布了相關資料，多起軟體供應鏈攻擊案例之中，我們可將駭客下手的環節歸納為5個方面，包括軟體工具（開發工具、軟體開發套件）、內賊（開發者）、程式碼、Updates/Patch更新主機與下載主機。</p> <p>而在MITRE提出的ATT&CK知識庫中，也針對軟體供應鏈入侵手法而提出說明，這裡面提到，駭客能在供應鏈的任何階段入侵，不只是操縱開發工具、開發環境、原始碼程式庫，以及入侵更新、部署機制，也會藉由感染映像檔，修改版本替換，以及從分銷管道下手。</p> <p>更要注意的是，這些手法已不是概念是想像，而是真實的活動，有多家資安業者都在2019年的預測中，認為軟體供應鏈攻擊是相當顯著的威脅態勢，而在賽門鐵克最新的網路安全威脅報告（ISTR），更是指出2018 年的攻擊較往年增加了78%。而攻擊者之所以會選擇劫持軟體更新，就是一次能感染龐大的目標，是相當有效率的攻擊手法。</p> <p>無論如何，類似這樣的事件一定會繼續發生，已經成為軟體開發商與企業、一般消費者必須正視的問題，也是不得不面對的重大挑戰，因為既有信任的管道早已被打破，這也將是所有企業與資安界同樣要面對的難題。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130419
【涉及遠端派送與集中控管的應用軟體，都必須強化安全防護】不只更新管道，所有軟體派送方案也會被當成濫用目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/130415" target="_blank">當企業軟體更新服務被駭客盯上</a>，讓原本信任的管道成資安破口，而這次華碩更新主機遭駭事件，更讓企業憂心的是，是否還有其他過去信任的管道，也可能帶來同樣的風險。</p> <p>在這次議題中，多半是圍繞在軟體更新服務討論，但是，也有資安服務業者提出不同層面、但架構類似的問題，讓我們注意到更多的威脅面。例如，除了有更新服務會被濫用，駭客若要散布惡意程式，也可以在企業內部利用正常的軟體派送管道，像是任何有中央控制臺架構、具備軟體派送功能的系統。</p> <p>事實上，多年前已有資安專家提醒，憂心這些預設的信賴機制，也會是駭客下手的目標，不過我們較少看到這類事件被揭露。在這次報導過程中，我們找到經常協助企業進行資安事件處理的安碁資訊，該公司技術副總黃瓊瑩也以他們的經驗，說明這種威脅的實際存在。</p> <p><span style="font-size:28px;"><strong>除了連外上層管道，企業內部建置的軟體派送工具也面臨入侵風險</strong></span></p> <p>在2015年，已有類似的駭客攻擊手法，是在企業內網中啟動了假冒的防毒中控主機，會先向原本真正的防毒中控臺要求資訊，以取得註冊數與版本等相關參數，接下來再向用戶端程式發送封包，通知向新的主機報到，藉此派送惡意程式後再消失。黃瓊瑩表示，透過事後的調查分析，他們才發現這起事件的更新路徑有問題，同時也注意到軟體缺乏相應的下載檢查機制，甚至還發現駭客曾利用通知降版方式，來規避既有檢查的狀況。後續，防毒業者也對此改良防護機制，像是在產品部署註冊時，都會用公鑰架構來加密，讓上述假冒、掉包的方式無法進行，因此，在2016年後，已較少看到這樣的問題。</p> <p>但是，這樣的攻擊手法也不斷變化。在2018年他們又看到這樣的威脅，原因出在企業內部管理的問題，被駭客竊取相關的金鑰，使得駭客又可以原本的假冒方式來攻擊。另外，他們在2016年也發現有駭客是利用資產管理系統，來散布惡意程式。這也表示，入侵者相當清楚這些軟體的架構與溝通方式。</p> <p>對此，黃瓊瑩指出，以往企業都會重視AD伺服器的防護，但萬萬沒想到這些具有中控、遠端派送功能的系統，也能被駭客操弄。因此，在現行攻擊手法的轉變之下，他認為，不論是防毒中控臺、資產管理系統、更新主機，這些系統的防護層級，都應該要提升到如同AD伺服器防護，予以更嚴格的管理。</p> <p>更值得關注的是，黃瓊瑩還大膽預測下一波濫用的管道，很可能會是政府組態基準設定與檢測工具（GCB），這也意謂著政府組織要特別關注。</p> <p>此外，對於最近發生的更新伺服器主機遭駭事件，黃瓊瑩也強調伺服器本身金鑰防護的重要性，可多多利用HSM（Hardware Security Module）、IC卡，強化金鑰管理的安全。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130421
蘋果悄悄推出自製手遊，學巴菲特送報紙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近蘋果悄悄地推出了支援iOS的手機遊戲<a href="https://itunes.apple.com/us/app/warren-buffetts-paper-wizard/id1461432935" target="_blank">《Warren Buffett's Paper Wizard 》</a>（華倫巴菲特的報紙精靈），以向蘋果最大投資人之一的巴菲特致敬。</p> <p>其實該款遊戲的製造商為Wildlife Design, Inc，但版權歸蘋果所有，它是款免費遊戲，基於股神巴菲特童年的送報經驗所創造。巴菲特12歲時開始送報，騎著腳踏車在不同的路線分送不同的報紙，為了改善送報的效率，他訓練自己不必下車甚至不需停車，就能把報紙扔到對的門口或草坪，也會規畫送報路線，童年累積的經驗讓巴菲特把它當成遊戲，還在股東大會上舉辦丟報紙大賽。</p> <p><a href="https://thenextweb.com/apple/2019/05/06/apple-game-paper-wizard-warren-buffett/" target="_blank">《Warren Buffett's Paper Wizard 》遊戲</a>很簡單，就是一款可以訓練玩家丟報紙技術的遊戲，例如可以一邊閃避飛鳥或車輛，同時能夠準確地把報紙丟到訂戶家中，藉以賺取華倫幣，還會有等級不同的關卡。</p> <p>現年88歲的巴菲特曾多次公開表達對蘋果的喜愛，他是多元控股公司Berkshire Hathaway的最大股東，而Berkshire Hathaway則持有5%的蘋果股票。</p> <p>這應該是蘋果史上第二次推出手機遊戲，蘋果曾於2008年推出支援iPhone的《Texas Hold’em》（德州撲克》，售價為4.99美元，但已於2011年下架。</p> </div></div></div>
2019/5/7 17:20作者陳曉莉https://www.ithome.com.tw/news/130462
2019 Build開發者大會登場！微軟Azure平臺、Microsoft 365再成焦點，AI與協作能力大進化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【西雅圖現場直擊】微軟開發者大會BUILD 2019於今日（美西時間5月6日）開始連續三天舉行，針對會前即透露將為Azure平臺所發表的全新服務與開發技術，在今日上午的主題演講中都給出了更多的答案。</p> <p>在第一天的大會上，微軟執行長Satya Nadella不僅在主題演講談到微軟各平臺的最新發展，以及他們的願景，同時他並指出，在萬物連網與皆具備運算能力的時代下，信任是相當重要的一件事，而微軟也因此聚焦在隱私、網路安全以及負責任的AI這三大方面，期望提供開發者一個可信賴的平臺，這已是他近年不斷反覆強調的重點。</p> <p><strong>Azure平臺認知服務再進化，AI應用更廣泛</strong></p> <p>就微軟現在的布局來看，他們在平臺上的發展可分成四大側重面向，包括Azure、Microsoft 365、Dynamic 365與Gaming，而這次最多更新與吸睛的部分，就是在Azure與Microsoft 365這兩大面向。</p> <p>首先，從Azure平臺的發展來看，隨著AI技術的廣泛發展，微軟今年將之應用在Azure服務與功能的態勢也變得更為明顯。</p> <p>例如，在微軟推出已經3年的Azure認知服務中，Nadella介紹了當中的5大類別項目，分別是辨識（Vision）、語音（Speech）、語言（Language）、搜尋（Search）與決策（Decision）。值得我們關注的是，去年微軟即對認知服務推出更多新服務及功能，並聚焦在現場影像即時分析與強化Chatbot應用。在今年Azure服務的新重點上，不僅是讓其認知服務的能力更提升，並且也將在應用層面帶到建議與決策之用，可為用戶提供具體建議，方便用戶有效率作出決定。</p> <p>例如，在語音（Speech）類別項目之下，Nadella特別介紹了一項還處於預覽版的新服務──對話者辨識功能，從微軟現場同仁的示範，可以清楚看出當不同人輪流說話時，除了做到即時的語音轉文字（Speech-to-text），同時也能夠辨識出誰在發言。</p> <p>而且，所需要的硬體設備也比去年的示範時更簡單，現在桌面上只擺一臺Surface筆電，搭配Azure speech service就可以完成，而不像是之前展示時，硬體搭配的是一款具有360度鏡頭與矩陣麥克風的裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure認知服務中的語音（Speech）類別項目下，展示了一項預覽版的新功能，在語音轉換文字時還可辨識發言者身分，這也將讓會議記錄的工作更容易自動進行。</p> </blockquote> <p>另外值得一提的是，在認知服務當中，決策類別是近期新增的項目。主要是方便開發者透過API，迅速運用此一決策類型的服務，來打造可提供明智與有效決策建議的產品或應用程式。</p> <p>目前，微軟在決策類別下共提供了3個新的服務項目，分別是：內容審核（Content Moderator）、偵測異常（Anomaly Detector）與個人化（personalizer）服務。其中，內容審核的作用是，可針對圖像、文字與影片過濾不適當內容，並內建人工審核工具，可在人機共同作業下產生最佳的仲裁結果，而另外兩項還處於預覽版的階段，偵測異常剛推出不久，而個人化服務則是基於增強學習模型（Reinforcement Learning），再根據即時資訊提供建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2B）2019Build大會主題演講直擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></a></p> <blockquote><p>不僅如此，還有更多關於Azure方面的人工智慧應用，在另一場今日早上的主題演講中，微軟全球執行副總Scott Guthrie，他也是微軟雲端及人工智慧事業部負責人，談到Azure認知搜尋方面的新進展。例如，能夠幫助從結構化與非結構化的內容得到更深入的分析結果。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure機器學習的新特色中，Scott Guthrie還提到自動化機械學習演算法，以及將MLOps功能整合在去年下半發布的Azure DevOps中，同時其使用者介面更直覺，讓用戶能夠直接以拖曳方式建立ML模型。此外，還有硬體加速的支援，如FPGAs的硬體加速模型服務，以及在ONNX Runtime上支援NVIDIA TensorRT與Intel nGraph等。</p> </blockquote> <p>至於其他Azure方面的新進展，Nadella也提到Azure在零售業、農產生產、醫療、金融市場、電信的許多應用案例。他並以星巴克用上Azure平臺的各式技術來舉例，包括Azure AI、Azure IoT、Azure Sphere與Azure Block Chain Service等，他們認為，這些技術的應用搭配，將是打造一個更智慧化數位消費體驗的關鍵。</p> <p>再者，Azure服務下的Bot Framework與混合實境（MR）的應用，Nadella也從一些應用實例來說明，期許成為開發者打造新一代數位體驗的利器。</p> <p>無論如何，Azure技術的應用上已有幾個明確的目標，AI當是無庸置疑，其他還包括了 MR、IoT與區塊鏈，這些例子其實都是為了突顯微軟是從這幾個面向，要為開發者帶來更多的幫助。</p> <p><strong>Microsoft 365大進化，瀏覽器Edge提供IE模式與Fluid Framework最吸睛</strong></p> <p>在Microsoft 365的部分，在今年Build大會上的比重比往年要明顯提升許多。Nadella指出，現在Microsoft 365的主要構面包括了Windows、Office、瀏覽器Edge瀏覽器與協作工具Teams，值得關注的是，微軟將以Microsoft Graph知識圖譜技術為基礎，應用在整個Microsoft 365平臺之中。而且，Edge瀏覽器是Nadella這次所強調的重點。</p> <p>簡單來說，Microsoft Graph將可在資料存取安全的條件下，串連起機構組織內部的從屬關係、資訊與活動，進一步分析其中的關連性，幫助帶來員工作業與協作方式的改進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure平臺之外，Microsoft 365也成為今年一大焦點，在2019 Build開發者大會今日的主題演講中，其中又以Edge、Teams與Microsoft Graph最受注目。</p> </blockquote> <p>較為意想不到的是，Edge瀏覽器的全新功能首度揭露。提到Edge瀏覽器方面，大家首先想到的應該是去年底宣布將改採Chromium為核心的消息，在這次大會上，Nadella宣布了3個Edge瀏覽器上的全新功能，分別是IE模式、隱私工具與收藏（Collections）。</p> <p>其中的IE模式最引人注目，不僅是提供更好的網頁相容性，看起來這對於仍使用老舊IE的用戶而言是一項利多，讓企業可以在Edge瀏覽器上以IE模式，執行舊的Web應用。</p> <p>第二個功能是隱私保護工具，這裡主要分成三個保護等級，分別是無限制（Unrestricted）、平衡（Balanced）與嚴格（Strict），現場也展示了用戶透過網址前的鎖頭圖示，能夠檢視第三方追蹤的程度，像是允許與封鎖的數量。</p> <p>第三個是收藏功能，將提供更好的內容擷取與蒐集方式。在現場示範中，使用者可將不同網頁上的圖片、文字與其他元素，以拖曳方式收藏各式資訊到右側窗格之中，之後用戶要保留這些內容，可以匯出成Office文件（Excel、Word）或寄送電子郵件。看起來，這樣的功能與過去一些筆記軟體的瀏覽器外掛元件功能有點像，但好處在於將是內建的應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>強化協作能力是近年微軟不斷發展的一大焦點，在這次大會上微軟宣布了名為Fluid Framework的新技術架構，將讓未來Microsoft 365平臺的協作能力提升到新的境界。</p> </blockquote> <p>另一值得關注的新技術，是一個名為Fluid Framework的應用，根據微軟的說法，不論是在網頁或文件上的共同編輯，該技術將能打破傳統協作應用的隔閡。</p> <p>舉例來說，這項技術將可讓開發者應用在任何瀏覽器上，提供更方便的人與人協作，同時，為了展現Fluid的一些特性，現場也展示了使用者與AI的協作應用。例如，當使用者輸入一句英文時，示範畫面上的9個Word介面中，將可以看到在輸入時會自動即時翻譯成9種語言；另外，微軟也展示了這種模組化的協作式結構設計，例如，將Word中插入的表格內容，複製到不同的應用程式中，例如Teams的交談對話框中，使用者在Team對話框中仍然能使用表格常用排列方式篩選功能，而且，不論任一方編輯表格資料，都能同步即時更新，即使該資料寄送到Outlook中也一樣。</p> <p>其實，過去在Word內插入Excel表格時，我們也曾看過這樣的概念，但現在微軟透過Fluid的框架，讓這樣的應用可以適用的範圍可以更加廣泛，也讓未來的協作應用。</p> <p>此外，Nadella在大會現場也展現了對話式AI的願景，要讓所有工作、安排都能透過對話式AI來完成，而這將是他們未來所要朝向的重要目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>最後，Nadella也強調了協作工具Teams的重要性，整合了即時通訊、視訊會議與豐富的協作特性。最特別的是，微软還展示了一項Teams與3D業者Spatial應用的整合情境，讓使用者戴上微軟第2代混合實境頭戴裝置HoloLens 2之後，接著在Teams執行Spatial的應用，透過掃描QRcode的方式加入一個混合實境的空間，打造出不僅是炫麗且未來可能實現的協作應用情境。</p> </blockquote> </div></div></div>
2019/5/7 13:26作者羅正漢https://www.ithome.com.tw/news/130433
Build 2019：微軟將在今年夏天開源量子開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudblogs.microsoft.com/quantum/2019/05/06/new-plans-to-open-source-more-of-the-quantum-development-kit/" target="_blank">微軟在Build開發者大會上宣布</a>，將在今年夏天透過GitHub<a href="https://www.geekwire.com/2019/microsoft-will-open-source-parts-q-programming-language-behind-quantum-computing-strategy/" target="_blank">開源量子開發套件</a>（Quantum Development Kit），包括Q#程式語言編譯器及量子模擬器。</p> <p>微軟的量子開發套件含有Q#程式語言、Q#編譯器、Q#函式庫、量子模擬器、函式庫與範例等，微軟已於去年開源量子函式庫及範例，今年夏天則將開源Q#編譯器與量子模擬器。其中的編譯器，可將開發人員所撰寫的程式碼轉成電腦可讀取及執行的程式，模擬器則可用來測試各種量子應用程式。</p> <p>換句話說，微軟的量子開發套件將可支援不同階段的量子程式開發，從學習基本的量子概念、撰寫第一個量子程式，到提供真正的量子解決方案。</p> <p>目前微軟已與美國西北太平洋國家實驗室（PNNL）合作打造了化學函式庫，允許化學家模擬分子互動，或是探索量子演算法於該領域的實際應用。</p> <p>此外，微軟也建立Microsoft Quantum Networt，來召集對量子運算有興趣的個人或新創企業，其中的1QBit打算已在幾個月後貢獻兩個與化學研究有關的程式碼範例，其中之一鎖定變分量子本徵求解（Variational-Quantum-Eigensolver，VQE），另一個則可用來示範密度矩陣嵌入理論（Density Matrix Embedding Theory，DMET）。</p> <p>量子開發套件的開源，除了能夠吸引對量子運算有興趣的開發人員之外，也讓那些被規定要採用開源軟體的學術機構得以部署Q#。</p> <p>儘管大家相信量子運算將能帶來革命性的運算能力，但對於實現此一願景的時程表或殺手級應用尚無共識。</p> </div></div></div>
2019/5/7 16:20作者陳曉莉https://www.ithome.com.tw/news/130459
報告：iPhone XR電池續航力官方數值大灌水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國消費者團體近日公佈<a href="https://press.which.co.uk/whichpressreleases/apple-significantly-overstates-iphone-battery-life-compared-to-which-tests/" target="_blank">市面手機的測試報告</a>指出，蘋果過於誇大iPhone電池續航力的數據，有的機種甚至灌水50%。不過蘋果以測試結果無從比較為由予以駁斥。</p> <p>英國消費者監督機構Which?今年4月針對市面上5個品牌，包括iPhone、三星、HTC、Sony、Nokia的50多款手機進行充飽電後的連續通話時間測試。每個品牌最少測試6款手機，再將測試結果計算出平均通話時間，再與各廠商自行拿出的數據比較。</p> <p>在Which?測試的9隻iPhone手機中，全部都不及蘋果宣稱的通話時間。事實上，蘋果的數據比Which?測出的數據多了18%到51%。差最多的是iPhone XR，蘋果宣稱可以用25小時，但實際測試只有16小時32分鐘，差了51%。</p> <p>HTC也有些微名實不符的狀況。測試顯示電池可通話19.6小時，比HTC宣稱的20.5小時少了5%。</p> <p>有趣的是，其他三家廠商竟低估自己手機的續航力。Which?測得Sony手機平均通話時間為16小時，比Sony提供的12.6小時還高出21%。其中Sony Xperia Z5 Compact在測試中測得的通話時間達25小時52分，比它公開宣稱的17小時多出將近9小時。</p> <p>不過這家消費者監督組織並未說明其他測試因素，包括螢幕亮度、App使用、訊號大小或背景程式執行狀況等。</p> <p>對於此測試結果，僅兩家廠商做出回應。蘋果指出，自家產品經過嚴格測試，蘋果對其電池續航力的數據有信心。基於軟硬體的嚴密整合，iPhone具備智慧耗電管理功能，可最大化電池續航力。蘋果表示Which?並未公佈其測試方法，因此該公司無從比較兩項數據。</p> <p>HTC則表示其產品效能經過全面嚴格測試，設定及測試環境的誤差，可能導致HTC和Which?測試結果有些出入。</p> <p>蘋果一向很重視消費者單位做出的產品評測。2017 年底《消費者報導》（Consumer Report）針對新MacBook Pro測試，以電池續航力不穩定為由，首度做出不推薦的結論，引發蘋果的關切。在經過合作追查下<a href="https://www.ithome.com.tw/news/111097" target="_blank">找到原因</a>出在一項Safari瑕疵上。蘋果加以修補後，使該報導團隊在第二度測試中，出現一如蘋果宣稱的結果。 </p> </div></div></div>
2019/5/7 16:30作者林妍溱https://www.ithome.com.tw/news/130460
微軟預計明年底發布.NET 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://devblogs.microsoft.com/dotnet/introducing-net-5/">微軟近日宣布繼.NET Core 3.0 之後的下一個版本是.NET 5</a>，預計在2020年11月推出，2020年的上半年先推出第一波預覽版，而.NET 5將是.NET系列中最重要的版本，從此之後將會只有一個.NET，能夠支援Windows、Linux、macOS、iOS、Android、tvOS、watchOS和WebAssembly等，.NET 5也會新增.NET API、runtime和語言功能。</p> <p>從 .NET Core專案開始，微軟就已經在平臺中，加入了約5萬個.NET框架API，.NET 5利用.NET Core和Mono，建立了一個單一平臺，使開發者可以在任何地方，執行所有現代的.NET程式碼，統一執行行為和開發者的體驗。微軟指出，.NET 5將會是.NET重要的轉折，無論開發者建置的是哪一類型的應用程式，程式碼和專案檔案都會是相同的，每個應用程式都能夠使用相同的runtime、API和語言功能。</p> </div></div></div>
2019/5/7 16:50作者何維涓https://www.ithome.com.tw/news/130448
今夏Windows將開始內建Linux核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2014年Satya Nadella上任微軟執行長喊出的「微軟愛Linux」，看來不是口號而是真的深深愛上了，<a href="https://devblogs.microsoft.com/commandline/shipping-a-linux-kernel-with-windows/">微軟宣布從今年夏天的Windows Insiders版本，將開始內含Linux核心</a>，用來支援最新版本適用於Linux的Windows子系統（Windows Subsystem for Linux，WSL），微軟提到，這是Linux核心首次成為Windows的元件共同發布。</p> <p>WSL是微軟2016年推出的功能，讓開發者可以在Windows上執行GNU/Linux環境，包括Bash shell等命令列工具、公用程式甚至是X視窗系統等應用程式，WSL提供由微軟開發的Linux相容核心介面，開發者可以在其上執行GNU使用者空間，像是Ubuntu、openSUSE與Kali等Linux版本，而現在微軟乾脆直接讓Windows附帶Linux，並且同時發表了名為WSL 2的最新WSL架構。</p> <p>這個版本的Linux核心使用最新長期穩定版4.19，為確保WSL核心始終維持最新的版本，因此當新的Linux長期穩定版本釋出，微軟會對核心進行衍合（Rebase）。這個Linux核心使用來自Kernel.org的長期支援版本來源外，也應用許多微軟客製的補丁，目的是要縮短啟動時間、減少記憶體使用，以打造出小而輕量的WSL 2核心。</p> <p>微軟提到，他們現在聘用越來越多的Linux貢獻者，除了可以獲得更多的Linux技術支援外，他們也從上游直接對Linux做出更新，在使用Linux的過程同時對Linux做出貢獻。雖然微軟仍有多項針對核心的更新，尚未包含在這次使用的Linux核心中，但是會包含在未來使用的核心版本，微軟表示，維護下游的補丁不只增加複雜度，也並非開源社群的標準做法，因此他們傾向開發產品需要的補丁，並與社群合作整合上游程式碼。</p> <p>在安全性上，WSL核心微軟使用自家的CI/CD系統建置，並透過Windows Update提供更新服務，確保核心能夠持續維持最新穩定版本，免受Linux漏洞影響安全。WSL 2提供的內核是完全開源的，在Windows Insider版本中發布的WSL 2，也將會在GitHub釋出說明，有興趣的開發者甚至可以開發自己的核心。</p> </div></div></div>
2019/5/7 17:00作者李建興https://www.ithome.com.tw/news/130449
微軟靠Semantic Machines對話式AI技術，要讓Cortana更聰明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://blogs.microsoft.com/ai/microsoft-build-future-of-natural-language/">微軟最近在Build大會上展示智慧助理管理用戶行程的應用場景，並發布未來對話式AI的願景</a>，微軟的下一代智慧助理技術，將會利用去年收購的Semantic Machines公司，在對話AI和機器學習的技術，創造出能夠理解上下文、更加智慧化的對話式AI語音助理，該技術也會應用在更多微軟的產品和服務中，來增進對話體驗，這項技術將來也會在微軟Bot框架中推出。</p> <p>微軟認為，雖然現今的智慧語音助理有各式各樣的技能，能夠查看天氣預報、回報交通狀況和運動賽事，還能播放音樂、翻譯、算數、講笑話以及傳送訊息等，但是現今的語音助理無法用上下文意來協助用戶做決定，舉例來說，語音助理不會在安排戶外區的會議之前，先確認天氣預報。</p> <p>自然語言介面技術的目標是使人類與電腦，能夠用像人類之間對話的方式來溝通，微軟的自然語言介面就是要讓用戶可以用自然的方式表達，不需要理解AI語音助理是如何運作的，而現在的智慧語音助理，像是Cortana是用機器學習從用戶的指令中，理解用戶的意圖，再根據意圖，來觸發預先設定好的一系列動作。</p> <p>由於回應指令的規則是手動設計的，開發者必需針對每一個使用場景，預測所有會用到的技能，來為每個使用場景撰寫腳本，但人類能夠設想的應用場景和腳本有限，因此，這樣的方式限制了語音助理能處理的領域和功能。</p> <p>Semantic Machines的對話系統是使對話AI學習上下文和概念，將機器學習技術擴大使用，不僅針對意圖辨識，而是整個系統的運作，也就是系統可以從自身的資料中學習，該系統能夠學習如何將人類的詞語，與運算步驟連結，來執行用戶請求的任務，例如，系統會透過大量的文句範例，學習如何擷取運動比賽分數，此外，機器學習技術還能使系統從已知的內容，產生出新的內容，用更多方式來學習做更多事。</p> <p>另外，Semantic Machines的對話系統能夠記錄對話上下文，還能同時講話和聆聽，Semantic Machines稱之為full duplex capability。</p> </div></div></div>
2019/5/7 16:00作者何維涓https://www.ithome.com.tw/news/130447
亞洲大學和臺灣金融科技公司聯手，要用AI和區塊鏈打造國產應鏈金融平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">亞洲大學聯合臺灣金融科技公司正在研發一項國產的供應鏈金融信用分析技術Fusion$360，結合AI和區塊鏈技術，來分析供應鏈上下游業者，甚至是競爭對手的情報，來評估中小企業的信用風險，作為銀行徵信參考，進而提高這些中小企業借貸成功的機率。</p> <p dir="ltr">這項計畫主要推手亞洲大學大數據研究中心主任林蔚君表示：「在金融與科技結合的浪潮下，我們可以運用各式各樣的管道蒐集更多資訊，進一步做更好的徵信，讓更多人享有借貸的服務。」她強調，供應鏈金融是近兩年才興起的概念，雖然已有企業已經開始提供服務，但以區塊鏈及AI技術來實踐的案例不多，這也是亞大團隊與其他業者的不同之處。</p> <p dir="ltr">相較於大公司，中小型、林蔚君指出，小規模的企業通常因資訊不透明、缺乏信評基礎，導致銀行必須花更多時間與人力來辦理業務，自然會降低授信意願，而影響了其借貸額度。而中小微型企業無法取得授信，不僅會因資金周轉不順無法擴大投資，也容易選擇高利率的信用卡融資，來滿足短期周轉需求，長久以往不利於企業的經營與擴展。</p> <p dir="ltr">近兩年來，國外開始興起「供應鏈金融」服務，整合供應鏈資訊，設法將單間企業不可控的融資風險轉化成可控的風險。林蔚君也帶領的亞洲大學團隊，也運用<span style="color: rgb(84, 84, 84); font-family: arial, sans-serif; font-size: small;">灣金融科技公司</span>Fusion$360平臺的API管理系統APIM、區塊鏈及AI技術，來研究新的供應鏈信用分析方法。林蔚君表示：「我們要讓借貸真正落實大中小微型企業或個人，達到普惠金融的目的。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">整合上下游競合企業情報和第三方資料來訓練徵信AI模型</span></h3> <p dir="ltr">首先，研究團隊採用Fusion$360的APIM平臺，即時同步供應鏈上下游資訊，也利用此平臺提供的區塊鏈技術，來確保供應鏈中的商業票據、交易紀錄等資料不被篡改。</p> <p dir="ltr">研究團隊接著以自然語言處理技術，設計出供應鏈上下游關聯的輿情探勘技術，可以用來分析多種企業資料。林蔚君指出，不僅要用企業本身的財務報表來評估風險，還納入供應鏈上下游體系、競合企業的情報，包括中心廠的訂單與應收應付帳款、企業過往的交易紀錄、外部網站蒐集到的第三方資料等。</p> <p dir="ltr">蒐集了資料並標記後，研究團隊再利用機器學習進行供應鏈上下游關係與競合關係的預測，來建立一套供應鏈信評模型，用以分析中小企業的隱性經營績效與未來風險。此外，林蔚君指出，也透過區塊鏈認證的機制，讓AI模型產生的信評分析更可信。</p> <p dir="ltr">此研究目前使用了三組數據實際驗證，分別來自TEJ資料庫、國際銀行以及半導體零組件通路業者。例如某家半導體零組件通路業者近三年來、與15,000家客戶的交易資料，其中包括專利、部落格與公司負責人網絡等外部非結構化資料，並透過機器學習建構出上下游與競爭企業關係圖，以此強化信用評等，林蔚君指出，目前這個模型在預測企業違約（應付卻無付款）的準確率高達80%。</p> <p dir="ltr">另外，研究團隊也以TEJ資料庫中，近3000家上市上櫃公司、上下游競合企業的財務資料，來預測該企業下市下櫃的風險，準確率高達近95%。林蔚君說明，用供應鏈資訊來衡量，比傳統作法單看一家公司來衡量企業信用的作法，前者的效果可以更好。目前亞大研究團隊已經與三家中心廠及一間銀行簽訂MOU，目標要在明年成立新創公司，實際推動技術的應用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">亞大供應鏈金融服務打破生態系限制，要與國際同類服務區隔</span></h3> <p dir="ltr">目前國際已有不少供應鏈金融服務，包括隸屬阿里巴巴集團的螞蟻金服、鴻海旗下富金通與點融網共同推出的鴻海Chained Financed、以及上海的萬向供應鏈服務平台，不同企業提供融資服務的對象以及評估方式均有所差異。</p> <p dir="ltr">例如，螞蟻金服是針對阿里巴巴集團生態系內的企業提供服務，以電商平臺「淘寶」、金流平臺「支付寶」為核心，將企業在淘寶網上面的交易紀錄、是不是有準時交貨、服務的滿意度等，列為評估信用的指標；鴻海Chained Financed則是透過區塊鏈，提供鴻海體系內企業享有實時融資、低手續費、低利率、高度自動與無紙化的供應鏈金融服務，在企業需要融資的時候，可依據該公司與鴻海過往的合作經驗來強化他的信用評等。</p> <p>而萬向供應鏈服務平台則是結合星展銀行業務資源，專注於汽車供應鏈。平台以區塊鏈技術，將合約智能化，紀錄各級供應商之間的發票、物流等資訊，並以企業的應收帳款單據來融資借貸。</p> <p>林蔚君比少說明，上述案例的服務對象有其侷限性，螞蟻金服的客戶要有網購交易的紀錄，鴻海Chained Financed主要為上游企業服務，萬象則是以汽車供應鏈的廠商為主。而亞大的服務就是要打破生態體系的限制，以更多元的資料評估授信，讓更多企業受惠，未來也希望與純網銀合作，發展第三方供應鏈金融服務平臺。</p> </div></div></div>
2019/5/7 09:45作者翁芊儒https://www.ithome.com.tw/news/130434
MIT找出能使神經網路體積縮小的80/20分析法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.csail.mit.edu/news/smarter-training-neural-networks">麻省理工學院電腦科學和AI實驗室最近發表一篇縮小神經網路的論文</a>，能在不改變準確率的情況下，找出與最終結果預測相關的子網路，該子網路相比原本的神經網路小10倍，有時候子神經網路，甚至能夠比原本的網路更快做出預測。</p> <p>MIT指出，目前大部分的AI都建立在深度神經網路的預測結果上，而神經網路通常相當龐大，且需要大量的訓練資料集，訓練的過程也需要耗費數天的時間，硬體方面，也要搭配昂貴的GPU，甚至是需要客製化所需的硬體設備，但是，如果其實根本就不需要這麼龐大的神經網路呢？</p> <p>現在縮小神經網路所採取的方法，並非特別有效率，在找到成功的子網路之前，必須針對整個神經網路進行多次的訓練和修剪，但是MIT的教授Michael Carbin表示，若能夠準確地在原始的網路中，找出與最終預測相關聯的部分，科學家就有可能可以跳過這段昂貴的處理過程，找出這樣的關聯性，能夠省下數小時的工作，還能讓個別的開發者，更簡單地打造出有意義的模型，而不是只有大型科技企業才有能力辦到。</p> <p>MIT團隊將傳統的深度學習方法比喻成樂透，訓練大量的神經網路就像是試著盲目地買所有可能會中獎的票券，有沒有可能，在一開始就選擇中獎的號碼呢？為了測試所謂的「樂透票券假說」（lottery ticket hypothesis），並證明與最終預測結果相關的子神經網路確實存在，團隊首先透過常用的方法，從訓練網路中，將最低權重的連結修剪掉，透過去除不必要的連結，使得神經網路能夠在低功設備上執行，像是智慧型手機。</p> <p>這項實驗關鍵的創新想法在於，在神經網路訓練後修剪掉的連結，是不是再也不需要，為了測試這項假設，團隊試著再一次訓練同一個神經網路，但是這一次並沒有包含被修剪掉的連結，隨著修剪越來越多連結，團隊就能找出在不影響網路學習的情況下，可以刪除多少連結，團隊也針對許多不同的網路，重複這個過程上萬次，來找出與最終結果預測相關的子網路。下一步，MIT團隊計畫探索為什麼特定子網路對學習特別在行，並開發出找出這些子網路的有效方法。</p> </div></div></div>
2019/5/7 13:25作者何維涓https://www.ithome.com.tw/news/130444
臉書讓外包員工標註用戶貼文及相片，引發隱私爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-facebook-ai-focus/facebook-labels-posts-by-hand-posing-privacy-questions-idUSKCN1SC01T" target="_blank">路透社報導</a>，為了訓練人工智慧（AI）演算法，臉書從2014年起以數百名外包員工為臉書及Instagram (IG)用戶傳送的貼文、動態及相片加註標籤。此事也獲得臉書證實，但強調在服務條款中已經向用戶說明。</p> <p>報導指出，臉書從2014年就運用印度委外業者Wipro的人力，進行臉書及IG上的用戶貼文加註工作，投入人力高達260人。他們在檢視過用戶產出的文字和照片後，根據5種面向（dimensions）或類別，像是內容主題（如是自拍、食物或動物）、場合以及作者意圖等加標籤。</p> <p>報導引述多名曾在Wipro工作的消息人士指出，這些工作目的在了解用戶在臉書平台貼文的內容長期下來有什麼演變，以便臉書發展新功能。而在檢視這些內容過程中，這些外包員工也可以一睹臉書用戶的私生活，包括家族成員或度假生活。</p> <p>Wipro拒絕評論，不過臉書證實的確有這類專案。臉書表示，該公司一直有約200個內容標註的專案隨時在進行著，全球參與人數有數千名，Wipro只是其中一個。許多專案的目的是訓練臉書平台底層的AI演算法。</p> <p>報導引述臉書AI產品管理總監Nipun Mathur指出，為了提升AI能力，標註工作是不可或缺的一環。</p> <p>至於讓外包人力接觸用戶的私密內容，可能有侵害用戶隱私之嫌，不過臉書發言人說，臉書已經在服務約定條款中明白揭露，該公司會以用戶提供給臉書的資訊來改善服務，也說過程中可能會有其他服務業者參與。</p> <p>臉書並非唯一一個AI標註專案引發隱私爭議的大廠。<a href="https://www.ithome.com.tw/news/129934" target="_blank">近期彭博也報導</a>，為了訓練並提升Alexa的服務品質，Amazon雇用位於波士頓、哥斯大黎加、印度和羅馬尼亞等地的上千名員工，負責聽取並記錄智慧喇叭Echo產品用戶和人工智慧（AI）語音助理Alexa的對話。今年Amazon旗下的智慧門鈴部門Ring，也傳出允許烏克蘭研究中心人員自由存取全球各地用戶的影像資料。只是在名義上這些人力為臉書員工，而非外包員工。</p> </div></div></div>
2019/5/7 13:00作者林妍溱https://www.ithome.com.tw/news/130446
微軟新Edge整合IE模式、新增隱私工具、網頁圖文蒐集功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底微軟宣佈Edge採用Chromium為核心，終於在近期Build大會上，<a href="https://blogs.windows.com/msedgedev/2019/05/06/edge-chromium-build-2019-pwa-ie-mode-devtools/" target="_blank">介紹Windows 10新Microsoft Edge的主要功能特色</a>，包括整合Internet Explorer (IE)模式、新增隱私保護，及更方便從網頁蒐集並分享資訊的Collections功能。</p> <p>首先，因應部分企業應用程式或網頁仍使用舊Web技術，新Microsoft Edge將加入IE模式，讓企業可以在Edge下以IE環境跑舊Web應用。其實早在2015年Edge問世時就已經有IE模式，但是它會以個別瀏覽器形式開啟。而新Edge將整合IE 11的相容性，企業可以設定特定網站或app，並以Edge作為預設瀏覽器，在單一瀏覽器環境下跑新、舊app。微軟預告接下來的時間會再逐步公佈新Edge的部署和管理功能。</p> <p>而為了和Google Chrome區隔化，微軟還強打Microsoft Edge的隱私保護工具，讓用戶對自己資訊如何被蒐集擁有更多控制權。使用者將可在單一頁面上設定第三方單位的追蹤防護，包括不限（unrestricted）、平衡（balanced）和嚴格（strict）三個等級。不限是完全接受廣告追蹤，也意謂用戶看到的廣告最多，平衡限制只接受用戶造訪過的網站廣告，嚴格則是封鎖所有網站廣告。</p> <p>微軟解釋這項工具主要是針對網站廣告，因此媒體認為，新功能其實類似AdBlock Plus或Ghostery等廣告過濾工具。但微軟表示目前還在早期階段，之後也會有更具體的資訊。</p> <p>新Microsoft Edge還加入名為Collections的工具，以解決用戶造訪太多網站以致於開啟太多分頁或視窗，造成資訊一團亂的問題。運用雲端AI技術及直覺介面，Collections讓用戶將網頁上的圖片、文字段落或其他元素以拖拉方式集結起來，並可匯出到Word、Excel或是剪貼簿及電子郵件。微軟還計畫讓剪下來的元素連結回原始網頁。不過這項功能還在非常早期的開發階段，連目前預覽版也還沒加入。</p> <p>微軟強調，拜Chromium核心之賜，新Edge將可和最新Web標準相容，而新的開發工具也是以Chromium DevTools為底層打造，方便Web應用、網頁、漸進式網頁應用（PWA）或WebView app的開發與除錯，並確保跨Windows及macOS平臺的執行。</p> <p>此外，一如去年微軟<a href="https://www.ithome.com.tw/news/127590" target="_blank">承認</a>的，新Edge也能跑Google Chrome的外掛程式。</p> <p>微軟已經在上個月透過Dev和Canary通道<a href="https://www.microsoftedgeinsider.com/en-us/" target="_blank">釋出新Microsoft Edge開發者預覽版</a>，目前僅提供Windows 10 PC版本，不過可能很快就會有Windows 7版。不過<a href="https://www.zdnet.com/article/microsofts-chromium-based-edge-browser-will-get-these-new-features/" target="_blank">ZDNet指出</a>，目前沒有跡象顯示，這些新功能會提供給舊版Windows和Mac版本的Edge。</p> </div></div></div>
2019/5/7 11:25作者林妍溱https://www.ithome.com.tw/news/130442
微軟Word要用AI來幫你改作文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你覺得無法下筆成章，微軟在Build大會上<a href="https://blogs.microsoft.com/ai/microsoft-365-intelligent-workday-productivity/" target="_blank">宣佈</a>今年秋天線上版Word（Word Online）將加入一項名為Ideas in Word的人工智慧（AI）工具，可以幫你寫出一篇好文章。</p> <p>Ideas工具其實已經用於PowerPoint和Excel。Ideas in Word運用機器學習及Microsoft Graph的人工智慧技術協助使用者潤飾文章，以產出專業文件。首先，根據Graph的人工智慧能力，Ideas in Word可協助基本的文法、拼字校正或正確用詞、以及一些技術面的建議，如加標題、常用的縮寫名詞、估計文章閱讀所需時間、列出要點等。</p> <p>此外，Ideas in Word還運用深度學習技術，甚至可以提供文章寫作建議。這項技術是以機器學習來理解某個字所在的句子上下文，提供最常見的同義字，以強化文章的可讀性。微軟Office 部門今年稍早，也運用機器學習技術來強化同義字的優先排序，使試用者對Word 建議的同義字接受度增加一倍。</p> <p>Google也在去年為Google Docs<a href="https://www.grammarly.com/blog/google-docs-beta-chrome/" target="_blank">新增</a>類似的文法檢查技術Grammarly，並已逐步釋出給Chrome用戶。</p> </div></div></div>
2019/5/7 12:00作者林妍溱https://www.ithome.com.tw/news/130443
隨意銷售用戶位置，美國四大電信業者面臨集體訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，包括AT&T、Verizon、Sprint及T-Mobile等美國四大電信業者在上周各自面臨了集體訴訟，原因是它們任意將客戶資料出售給掮客、收債員，甚至是賞金獵人，違反了消費者保護法及相關的電信法令。</p> <p>這些電信業者所出售的與其說是資料，不如說是服務，因為它們允許買方利用電話號碼來追蹤特定人士的具體位置。</p> <p>賞金獵人在美國是個合法職業，專門追捕棄保潛逃的嫌犯，並可獲得一定的保釋金比例作為報酬。有了來自電信業者的服務，他們將更容易定位目標對象的位置，進而達成任務。</p> <p><a href="https://motherboard.vice.com/en_us/article/nepxbz/i-gave-a-bounty-hunter-300-dollars-located-phone-microbilt-zumigo-tmobile" target="_blank">Motherboard率先在今年1月揭露了這起電信醜聞</a>，該報付了300美元給一名有門路的賞金獵人，這名賞金獵人透過他的人脈及第三方平台查到了特定電話號碼的位置，並秀在Google Maps上，誤差約為500米。就算不是透過認識的人，該服務在黑市也買得到。</p> <p>電信業者並未直接參與相關服務的銷售，中間轉了好幾手。而上述業者也都向Motherboard坦承曾出售客戶的即時位置資料，只是現在都已終止。</p> <p>根據Z Law所提出的集體訴訟案，這些案子總計涉及了從2015年4月底到今年2月間，使用AT&T、Verizon、Sprint及T-Mobile服務的逾3億名客戶，他們將代表消費者向業者求償。</p> </div></div></div>
2019/5/7 10:25作者陳曉莉https://www.ithome.com.tw/news/130440
Verizon打算出售Tumblr，成人網站Pornhub有意接手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報甫於日前披露Verizon有意出售自Yahoo併購案所取得的微型部落格Tumblr，<a href="https://www.buzzfeednews.com/article/ryanhatesthis/pornhub-interested-in-buying-tumblr" target="_blank">加拿大成人網站Pornhub旋即表達強烈的收購意願</a>，引來一陣熱議。</p> <p>2007年成立的Tumblr定位為微型部落格及社交網站，它允許使用者張貼文字、照片、論述、連結、對話、音訊或影片，在2013年7月被Yahoo以11億美元的現金收購，<a href="https://www.ithome.com.tw/node/80455" target="_blank">當時Yahoo還承諾不會搞砸Tumblr</a>，無奈之後的Yahoo自身難保，Tumblr也隨著Yahoo與Verizon的收購案被納入Verizon麾下，目前的Tumblr代管了超過4億個部落格及逾1,700億篇的文章。</p> <p>根據華爾街日報的報導，Verizon打算出脫Tumblr，已在接觸各方買家。只是沒想到成人網站Pornhub副總裁Corey Price跳出表達對Tumblr的強烈興趣。</p> <p>其實Tumblr一直與成人內容有所連結，TechCrunch在2013年5月所做的調查即發現，Tumblr有22%的流量與成人內容有關，且當時該站所代管的部落格就有16.45%含有成人內容。</p> <p>在Yahoo接手Tumblr之後，曾努力整頓該站的成人內容，Verizon則在去年2月於Tumblr推出可過濾成人內容的安全模式，繼之於去年底大刀闊斧地禁止該站用戶張貼任何描繪性行為的圖片及影片。只是，Verizon最終還是因為Tumblr難以達到營收目標而決定將它脫手。</p> <p><a href="https://www.theverge.com/2019/5/2/18527177/verizon-seeking-tumblr-sale-rumor-blogging" target="_blank">Price向BuzzFeed News表示</a>，Tumblr是那些想要探索及表達性慾的人們的避風港，人們能夠透過Tumblr的庇護輕鬆地閱讀成人內容，他們一直對該平台不斷抑制色情社區的作法感到沮喪。</p> <p>Price還說，他們非常期待能夠買下Tumblr，讓該平台能夠重返它以往充滿NSFW（不適合在工作場合出現，Not Safe/Suitable For Work）內容的榮耀。</p> </div></div></div>
2019/5/7 11:00作者陳曉莉https://www.ithome.com.tw/news/130441
臉書打造包容性AI，拿掉影像辨識的有色眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們越來越倚重人工智慧解決關鍵任務，因此機器學習是否具備包容性（Inclusive），能夠良好兼容各種多元屬性，成了重要的課題，<a href="https://tech.fb.com/building-inclusive-ai-at-facebook/">臉書在研發其智慧視訊裝置Portal時，發現人工智慧進行影像辨識時，對膚色以及性別存在偏見</a>，因此發展出一個框架以打造具包容性的人工智慧，並擴大應用到內部其他專案中。</p> <p>臉書在F8大會分享了他們發展包容性人工智慧的歷程，事件就發生在臉書AR/VR技術業務主管Lade Obamehinti身上，該團隊在Portal早期測試階段，發現其人工智慧相機作出了出乎意料的判斷。由於Portal的相機會透過電腦視覺計算，根據人們在房間中的移動與分布，動態構圖找出最適合容納多個主體的視野，但是在某一次Lade Obamehinti說話且做出豐富的手勢，Portal的人工智慧並沒有焦點放在Lade Obamehinti這個明顯的興趣點上，而是將鏡頭聚焦在另一名白人男同事身上。</p> <p>Lade Obamehinti是來自奈及利亞的優秀女性，他發現，人工智慧模型之所以會對不同的人，做出不一樣的表現，部分原因在於用來訓練模型的資料集存在限制與缺陷，由於人類天性就會對事物進行分類，如果不加以控制，則會造成人工智慧系統出現偏差，而且還可能會放大人性負面的部分。為此臉書發展出一套包容性人工智慧開發程序，其提供人工智慧開發人員可依據的指南，幫助研究人員設計資料集、測量產品效能，以及測試包容性的系統。</p> <p>當臉書把包容性考慮進人工智慧的訓練時，發現原本訓練Portal智慧相機模型的資料集，膚色以及性別的樣本分布不均，而樣本偏差會使得訓練出來的人工智慧服務，不完全適用於真實世界，因此Portal團隊重新調整了資料集，使用更加平均的性別、年齡和膚色樣本，並在驗證以及訓練模型時，遵守包容性人工智慧指南，以最大程度降低Portal智慧相機模型可能出現的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_FireShot%20Capture%20325%20-%20Building%20inclusive%20AI%20at%20Facebook%20-%20techfbcom.png" style="width: 500px;" /></p> <p>Lade Obamehinti為臉書建立了一套程序，來描述包容性人工智慧，其包含使用者研究、演算法開發以及系統驗證，使用者研究用來分析產品功能在不同的人出現的各式回應，演算法則是關於資料集設計、訓練與評估，而系統驗證則專注於效能表現以及各項體驗上。在過去一年中，臉書內部開始將包容性人工智慧程序，導入到開發流程中，用來確保臉書與Instagram的照片濾鏡，在各式膚色與因素下都能良好運作，Messenger中的AR特效，在各種臉部形狀與膚色都能正確的表現。</p> <div class="media_embed" height="476px" width="275px"> <iframe allowfullscreen="true" allowtransparency="true" frameborder="0" height="476px" scrolling="no" src="https://www.facebook.com/plugins/video.php?href=https%3A%2F%2Fwww.facebook.com%2FTechAtFacebook%2Fvideos%2F1035456443319840%2F&show_text=0&width=275" style="border:none;overflow:hidden" width="275px"></iframe></div> <p>但臉書也提到，並非每種應用都能應用包容性流程，因為在某些領域上，整個行業都沒有足夠具代表性的資料集，為了解決這樣的問題，臉書正在推動建立全球使用者研究，將包容性人工智慧測試擴展到聲音上，臉書表示，聲音資料集需要考量方言、年紀以及其他更多的屬性，才足以建立能夠聽懂不同人們說話的人工智慧。</p> <p><a href="https://www.ithome.com.tw/news/113462">機器學習的包容性議題持續受到關注</a>，特別是當機器學習的應用影響人們權益或是生命時，像是去年美國警方開始使用AWS Rekognition的人臉辨識服務，<a href="https://www.ithome.com.tw/news/123370">美國公民自由聯盟（American Civil Liberties Union，ACLU）指稱系統存在辨識誤差，可能對無辜的人造成負面影響</a>。另外，Google與美國軍方合作的Maven計畫，以人工智慧辨識無人機拍攝的物體，並以導彈摧毀這些物件，<a href="https://www.ithome.com.tw/news/122292">電子前線基金會（Electronic Frontier Foundation，EFF）則表示，人工智慧仍處於難以控制的階段，可能造成不必要的傷害</a>。</p> <p>也越來越多的學者提出對於人工智慧的不信任，<a href="https://www.ithome.com.tw/news/128814">萊斯大學電腦科學副教授Genevera Allen發現，科學研究使用機器學習分析資料，但由於找到的模式只會存在於資料集，而非來自真實世界，將模式直接套用在真實世界，則會得到錯誤的結果</a>。而<a href="https://www.ithome.com.tw/news/126537">臺大資工所助理教授陳縕儂則提到，人工智慧之所以存在偏見，是因為人們存在意識偏見，人工智慧只是真實的學習人們提供給他們的資料</a>。</p> </div></div></div>
2019/5/7 11:05作者李建興https://www.ithome.com.tw/news/130430
JupyterHub 1.0提供SSL內部加密功能，確保分散式架構通訊安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群組用Jupyter Notebooks的JupyterHub終於釋出了1.0版本，支援SSL全面加密內部連線，還強化了身份驗證功能。</p> <p>JupyterHub是支援多使用者的Jupyter Notebooks伺服器解決方案，能為開發人員群組提供共同使用Jupyter Notebooks的服務。這次的更新，官方為JupyterHub加入了管理命名伺服器（Named Server）的使用者介面，由於JupyterHub每個使用者都可以擁有多個伺服器，因此JupyterHub 1.0加入了可以管理這些伺服器的使用者介面，使用者可以從JupyterHub首頁創建、啟動、停止與刪除伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_VozbyUHN9qTICXzQSKQvfw.png" style="width: 500px;" /></p> <p>在JupyterHub內部通訊方面，原本用於通訊的HTTP協定，在單機上能夠良好的運作，但官方提到，在分散式或是共享基礎設施的架構上，加密通訊會是更安全的選擇，因此JupyterHub 1.0使用者可以啟用SSL加密所有內部通訊。</p> <p>在身份驗證上，官方為JupyterHub 1.0新增檢查和刷新身份驗證功能。由於JupyterHub的身份驗證像是GitHub OAuth，通常由外部組織管理，而身份驗證狀態可用來留存憑證，但這些憑證可能會過期或是需要刷新，過去JupyterHub並未良好的支援這些功能，而官方現在於這個版本，為身份驗證訊息添加新的配置資訊，讓使用者能夠更好地控制身份驗證憑證的生命周期，例如c.Authenticator.auth_refresh_age能夠設定身份過期時間，c.Authenticator.refresh_pre_spawn則能強制在創建伺服器之前，刷新身份驗證憑證。</p> </div></div></div>
2019/5/7 11:10作者李建興https://www.ithome.com.tw/news/130432
面對層出不窮的低級錯誤
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在日常的工作環境裡面，很多我們認為是常識的基本行為認知，有很多人並不瞭解，也不會想去搞懂，一旦做錯了，別人還必須要花很多時間來告訴他為何要如此，但他下次還是有可能會做錯，從不知不覺到後知後覺的階段，需要一段時間，而要養成任何的小技能，通常都必須經歷這樣的過程。</p> <p>以系統管理而言，曾接觸Linux作業系統的人，必定會被告誡不要擅自使用「rm -rf」，因為會刪除指定路徑中的所有檔案，而在Windows作業系統的圖形管理介面當中，針對使用者要刪除本機電腦大量檔案的動作，會跳出警告視窗，要求使用者再次確認是否繼續（但如果是刪除NAS上的大量檔案，可能就不會有類似的提示），因此，想要降低不小心誤刪檔案的可能性，系統若能提供類似這樣的確認機制，就會多一些機會讓你思考是否要這麼做。（rm若搭配-i的參數，就能在刪除檔案之前，多一道提示用戶確認的步驟）。</p> <p>在電子郵件的寄送上，Gmail近年來添加了30秒內的「取消傳送」，可將不慎寄出的信件收回，也是讓人津津樂道的功能，在微軟的Exchange郵件伺服器系統，以及Outlook收信程式當中，也都提供傳送之後回收或取代電子郵件訊息的功能。當前流行的即時通訊應用裡面，也有許多App陸續開始提供收回已發訊息的機制，像是LINE（回收24小時內訊息）、Skype（回收1小時內訊息）。</p> <p>若是談到資料備份還原、系統的高可用性（HA）、檔案同步，現有的各種保護機制更是不勝枚舉，從作業系統到應用程式，從單機的個人電腦、智慧型手機，到伺服器、虛擬化、雲端服務，可說是應有盡有。在這些平臺剛開始崛起時，連帶的資料與系統保護措施，往往也跟著萌芽，造就了豐富的產品與廠牌選擇。</p> <p>不過，這些機制如果要奏效，事前仍需要知道它們具備的特性，有的要手動啟用相關功能，才能得到保障，有的則存在著使用時效的限制，若未及時取下、復原，最後終究還是回天乏術。</p> <p>無論如何，小心駛得萬年船，「凡事謹言慎行」雖然是老掉牙的教條規訓，卻是最言簡意賅的方式。每個會影響他人的舉動，我們都必須要謹慎看待，找出當下最適合採行的作法。因為，科技雖然帶來許多效率的提升，但往往大多數人把方便當隨便，而導致個人或企業的信譽受損，像是：不小心刪錯檔案，而丟失大量資料；或者是與顧客溝通該以面對面的方式或電話進行溝通，卻認為只須透過電子郵件與手機簡訊等書面方式進行，而讓對方覺得不受尊重。</p> <p>雖說「科技始終來自人性」，但諸如此類的低級錯誤，一直出現在我們的工作環境裡面，像是產品標錯價格、誤植字詞、寫出骯髒的程式碼等等。</p> <p>另一方面，若從市場需求來看，這些人為造成的問題，或許也都是另類的商機，因為我們已經越來越沒有時間和心力，去向這些人員爭論與解釋何謂正確的行為，或許就像中國文化大學推廣教育部資訊長<a href="https://www.ithome.com.tw/news/130082" target="_blank">陳仁偉所言，要做好DevOps安全</a>，終極的目標是要由架構層面進行「防呆」。如此一來，讓相關人等連觸犯錯誤的機會都沒有，這才是正本清源之道。</p> <p>談論至此，探討如何防呆，在當前這樣困頓的工作環境當中，的確比較務實，不過，我們又要為此付出多大代價呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div></div></div>
2019/5/7 09:00作者李宗翰https://www.ithome.com.tw/voice/130414
併後首場紅帽全球用戶大會將登場！握有開源多雲、混合雲競爭上風的紅帽，今年將端出什麼樣的牛肉？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【波士頓直擊】去年10月，IBM以破記錄340億美元天價，大舉收購開源軟體商紅帽，震撼IT圈，更成為史上最大宗開源商軟併購交易案，雖然這樁交易，預計今年下半年才完成。但也令各界十分好奇，併購後的紅帽，在7日即將登場的紅帽年度高峰會，究竟會在混合雲新策略布局上，將端出什麼樣的牛肉。</p> <p>向來以企業級Linux OS而聞名的開源商軟巨頭紅帽，近幾年，靠著以能通吃多雲、跨雲的OpenShift 容器平臺當作主力混合雲產品，在競爭激烈的混合雲市場打響名號。至今已經發行到3.11版的OpenShift，更是目前市面上少數已經相當成熟的混合雲產品，OpenShift更透過持續穩定改版更新，加強對於Kubernetes、混合雲新特色的支援，而獲得不少企業青睞，轉而擁抱混合雲架構。</p> <p>紅帽也趁勢與公有雲業者聯手，尤其是AWS、微軟、IBM等三大雲端巨頭，搶進不只雲端Linux作業系統，還是企業級雲端PaaS平臺的混合雲服務市場，推出了雲端版OpenShift，方便企業用戶以容器將應用程式打包，並透過OpenShift將各種容器化應用移轉到公有雲平臺上部署。要通吃實體伺服器、VM、私有雲，以及公有雲容器應用市場。</p> <p>紅帽在混合雲市場的競爭優勢，讓它近來更成為了連AWS、微軟等各大雲端業者都極力拉攏合作，以擴大自家混合雲聲勢的對象，甚至IBM更不惜砸大錢將它買下，看準了正是混合雲市場的龐大商機，正因為如此，在被併購之後，今年的紅帽高峰會，紅帽下一步混合雲動向，也就格外受人囑目，更將牽動未來一年全球多雲、混合雲市場競爭局勢的走向。</p> <p>而作為被併購後的第一場年度高峰會上，紅帽除了將在今年紅帽用戶大會上揭露自家混合雲新戰略之外，也將發表一系列混合雲產品重大更新，與新版企業版Linux軟體，包含RHEL 8、OpenShift 4容器平臺等。以OpenShift 4來說，從紅帽年初公布的OpenShift產品路線藍圖來看，就已經預告了即將推出的OpenShift 4軟體，將包含幾項重大更新與強化功能，首先是對於調度管理平臺Kubernetes的優化與功能強化，將支援到Kubernetes 1.12新版，其次，則是將加強與Red Hat容器目錄（ Container Catalog ）的整合機制，至於去年整併CoreOS技術，並以Red Hat CoreOS 之姿推出的紅帽容器OS，也將與新OpenShift有更全面性的整合，成為OpenShift的immutable Host主要選擇。</p> <p>另在自動化部署上，4.0版也有機會將在AWS環境上推出整套式的自動化部署及配置方案，能涵蓋硬體、作業系統、容器、到軟體應用等。並且也將加入OTA線上更新功能，方便用戶進行多個版本更新，以維持更新到官方最新版。</p> <p>除了OpenShift的重大更新之外，在線上版OpenShift服務方面，紅帽則也暗示了，將會與微軟展開更密切合作，而且還提前預告，今年將會由微軟執行長Satya Nadella親自為紅帽活動站台，將在大會第一天的主題演講上，與紅帽執行長Jim Whitehurst同臺，就雙方在混合雲合作上揭露更多的布局。</p> <p>外界普遍推測，兩家公司將會有更重要混合雲產品或合作宣布。而從之前公布OpenShift版本演進規劃，也可看出一些端倪。一來，Jim Whitehurst當天很可能會偕同Satya Nadella宣布OpenShift on Azure的正式版推出，二來，則是許多用戶期待的Windows容器支援，也有機會由兩家執行長，在這次大會上一同發布，正式將Windows容器帶進OpenShift容器平臺。如此一來，才足以解釋為何今年會由微軟執行長 Satya Nadella慎重親自到場參加，即使與遠在西雅圖舉行的微軟Build用戶大會撞期，都還千里迢迢從美西到美東、長途拔涉，甘願替紅帽場子站臺。</p> <p>其實，早在去年紅帽高峰會上，紅帽就與微軟聯手，推出了OpenShift on Azure服務，不過，起初，仍是私人預覽，到了今年的4.0版OpenShift發布，OpenShift on Azure也將一併推出正式版，這也意謂著，除了AWS，企業之後也能在Azure公有雲上部署OpenShift，打造屬於自己的混合雲應用環境。</p> <p>而開放讓OpenShift執行Windows容器，更是許多企業用戶相當期待OpenShift新版能加入的新功能，對於倚賴微軟Windows OS的企業，有了Windows容器的支援，也能用OpenShift同時管Linux容器與Windows容器，不用在各自管兩套環境，而是能使用與Linux容器管理同一套資源調度與管理方式，來管Windows容器，不論是部署或管理上也將更具彈性。只不過，按照原定規劃，OpenShift將會等到8、9月釋出的4.2版更新中，才會支援Windows容器的執行。</p> <p>另外，在企業版Linux OS更新上，RHEL 8也將走出Beta測試階段推出正式版，並且在自動化工具和維運管理、Kubernetes調度、現代化App開發流程，以及新興應用技術，如AI、邊緣運算、5G等，也將會有重要功能更新，或新產品推出。</p> <p>一如往年，今年紅帽也找來在各產業上的重要企業用戶，包含星展銀行、UPS、大眾汽車、BMW、軍機製造商Lockheed Martin等，分享自家使用開源技術上雲、混合雲與數位轉型經驗，除此之外，紅帽母公司IBM執行長Ginni Rometty也將到場參加第一天主題演講，與紅帽執行長Jim Whitehurst同臺，揭露兩家公司整併後的運作模式。此外，一連三天活動，更有超過400場議程，主題涵蓋混合雲基礎架構、Kubernetes與 Linux容器，到混合雲儲存以及功能即服務（FaaS）等。</p> <p>儘管目前在混合雲競賽上，紅帽仍占上風，但是近來，也有像是Google、與虛擬化龍頭VMware正一步步進逼，例如，VMware不只與AWS聯手，前陣子，更借助母公司戴爾科技集團推出整合VMware與Dell EMC基礎架構的混合雲平臺Dell Technologies Cloud，來替VMware打造更完整的混合雲生態系，來逐步縮短與紅帽差距，紅帽會要如何接招，外界都等著看。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/5/6 20:39作者余至浩https://www.ithome.com.tw/news/130410
Google更新Apigee擴充套件，支援雲端機器學習引擎等更多GCP服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/api-management/making-api-development-faster-with-new-apigee-extensions">Google的企業API管理平臺Apigee更新其擴充套件</a>，讓開發人員得以存取更多的GCP服務，新增加的服務包括Cloud Functions、Cloud Authentication、Cloud Data Loss Prevention、雲端機器學習引擎以及BigQuery服務。Apigee擴充套件能讓開發者方便存取GCP服務，加速企業API開發，並快速交付API產品。</p> <p>建構API產品的時候，開發人員通常需要連接各種雲端服務，並使用一系列ServiceCallout的組合，以及開箱即用的Apigee政策，以處理憑證和管理令牌等工作，才能存取雲端服務，但Google提到，這個過程容易出錯，不幸的是，使用Apigee建構的每個API代理，都需要執行這一相同的程序。</p> <p>因此Google提供Apigee擴充套件，減少配置和應用政策時，需要進行的重複且冗餘工作，簡化安全存取雲端服務的過程，API開發人員現在可以從政策列表中，選擇使用一級政策介面的必要服務，而一旦設定完成，雲端服務的政策，就可以在所有API代理中重複使用。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Apigee_Extensions.gif" style="width: 600px;" /></p> <p>另外，這次的更新，還增加Apigee擴充套件對Salesforce的支援，降低API開發人員存取Salesforce REST API的複雜度，讓企業能更簡單地使用Salesforce執行個體中的資料。</p> </div></div></div>
2019/5/6 16:00作者李建興https://www.ithome.com.tw/news/130418
Mozilla出包，憑證過期讓Firefox附加程式停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/" target="_blank">上周五（5月3日）凌晨有不少Firefox用戶發現既有的附加程式不能用</a>了，也無法安裝新的附加程式，原因是<a href="https://www.techspot.com/news/79937-expired-certificate-broke-all-firefox-add-ons.html" target="_blank">用來簽署Firefox附加程式的中間憑證過期了</a>。Firefox團隊趕忙進行修補，已於5月5日釋出了支援桌面的與Android的Firefox 66.0.4，替兩天的慌亂暫時畫下了句點。</p> <p>根據Firefox用戶所張貼的畫面，他們的附加程式是突然就不靈了，並跳出「該附加程式無法通過Firefox的使用驗證，已經被關閉」的警告，就算是重新安裝也無用，結果竟然只是Mozilla忘了中間憑證的截止日期，連帶讓仰賴該憑證的附加程式失效。</p> <p>這一個小失誤所釀成的災難也讓Firefox團隊的周末泡湯，他們先透過Firefox用來蒐集及使用資料的Studies系統發布小型的修補程式，雖然Studies的預設是啟用的，依然有許多用戶無法尋回附加程式；由於無法應付龐大的用戶抱怨與詢問，該團隊甚至暫時關閉官方部落格的留言功能；還必須阻擋用戶參考其他用戶所提供的緩解建議，因為它們可能跟官方所部署的修補程式相衝。</p> <p>雖然已經釋出Firefox 66.0.4以修復憑證問題，也重新啟用那些已被關閉的附加元件、主題、搜尋引擎及語言套件等，但Firefox團隊表示還有一些問題尚待解決，他們會儘快在5月6日以前解決它們。</p> </div></div></div>
2019/5/6 16:50作者陳曉莉https://www.ithome.com.tw/news/130426
Jenkins外掛存在安全漏洞，衍生密碼外洩或跨站攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nccgroup.trust/sg/about-us/newsroom-and-events/blogs/2019/may/story-of-a-hundred-vulnerable-jenkins-plugins/" target="_blank">安全研究人員發現</a>，100多隻Jenkins外掛程式存在安全漏洞，可能引發登入資料外洩或是跨網站攻擊等安全風險。</p> <p>Jenkins是一種支援開發、部署和自動化軟體開發的開源工具，可以外掛擴充以便提供Active Directory驗證或執行靜態程式分析、將組譯好的軟體複製到CIFS 網路檔案系統等重覆性作業。和Wordpress一樣，Jenkins在第三方開發商的投入下，現有上百種外掛。但NCC Group安全顧問Viktor Gazdag手動測試100多款Jenkins外掛後發現二大類漏洞，包括驗證資料以明碼儲存以及缺少權限檢查的跨網站請求偽造（cross site request forgery，CSRF），後者可能導致資料竊取以及伺服器端的請求偽造（Server-Side Request Forgery，SSRF）攻擊。</p> <p>其中又以第一類漏洞占最大宗。以明碼儲存的驗證資料包括使用者名稱、密碼、API金鑰或令牌，以及可用於Jenkins和外掛中的憑證。雖然Jenkins將密碼加密儲存成credentials.xml檔，但研究人員發現部份外掛開發商是儲存成外掛自己的.xml檔或是某項作業的config.xml檔，這些大部份都沒有加密。此外，部份用戶輸入驗證資料的Web form也洩露了密碼和令牌，也未使用正確的Jelly表格控制。但Jenkins的安全文件中並未提及這兩種檔案可能洩露資訊，更別提workspace資料匣也可能暫時儲存了敏感資訊。</p> <p>研究人員就發現，某個MQ外掛將密碼明碼儲存在外掛的自有設定檔中，AWS Code Build外掛則把加密金鑰明碼儲存在config.xml 。Publish Over Dropbox Plugin則在外掛設定中，將令牌大喇喇顯示於Web form中。</p> <p>其次為欠缺權限檢查的跨網站請求偽造（CSRF）漏洞。有些外掛讓使用者連接伺服器來測試驗證資料，這原本可根據使用者角色權限，強制執行POST呼叫，要求使用者提供CSRF令牌（Crumb）來確保伺服器安全性，但在本研究中卻發現部份外掛程式並未強制POST呼叫，使外掛程式可能遭遇CSRF攻擊。攻擊者可能利用CSRF惡意程式變更主機名稱，再誘騙管理員連上伺服器，利用被攻擊者接管的伺服器竊取登入資料。如研究人員就發現OpenStack Cloud Plugin有缺少權限檢查的CSRF漏洞問題。但這類漏洞還可能發展成伺服器端的請求偽造（SSRF）攻擊，藉由測試連線和攻擊者掌握的參數，進一步用來進行傳輸埠掃瞄、探查內部網路架構或暴力破解登入。</p> <p>為避免用戶資訊透過外掛洩露，研究人員呼籲外掛程式開發人員必須強制執行POST呼叫，以Jenkins.getInstance().checkPermission(Jenkins.ADMINISTER)檢查權限，並以Jenkins的Secret及Web form的密碼欄位來儲存登入資訊。</p> </div></div></div>
2019/5/6 15:05作者林妍溱https://www.ithome.com.tw/news/130412