iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 7篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟封鎖Windows PC和不安全的藍牙版FIDO金鑰的配對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於藍牙版本安全金鑰的安全性問題，微軟周二發出安全公告<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV190016" target="_blank">指出</a>，將封鎖有漏洞的藍牙（BLE）FIDO安全金鑰和Windows PC的配對。</p> <p>近日BLE版FIDO硬體安全金鑰爆發漏洞<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2102" target="_blank">CVE-2019-2102</a>。這項漏洞出自藍牙配對協定的組態錯誤。在BLE 規格中有一個長期金鑰（Long Term Key，LTK）示範樣本，如果BLE裝置採用此樣本來寫成LTK，理論上，位於藍牙裝置附近的攻擊者可以用他的裝置（手機或筆電）搶先用戶一步連接BLE金鑰來登入用戶帳戶，或是用其裝置冒充BLE金鑰來連上用戶的裝置，進一步在受害裝置上輸入指令或刪改資料。</p> <p>為此，微軟已經在周二（6月11日）釋出的每月例行安全更新中，封鎖問題產品與Windows的配對。</p> <p>CVE-2019-2102即是和上個月<a href="https://www.ithome.com.tw/news/130673" target="_blank">Titan藍牙版安全金鑰</a>發現的同一漏洞，促使Google回收並換新產品。受到該漏洞影響的產品，包括Google Titan藍牙版安全金鑰及中國廠商<a href="https://www.ftsafe.com/Products/FIDO" target="_blank">Feitian出品的MultiPass FIDO Security Key部份型號</a>。Google也在上周於<a href="https://source.android.com/security/bulletin/2019-06-01" target="_blank">Android更新</a>中修補了CVE-2019-2102。</p> <p>微軟建議用戶應儘速安裝6月的Windows安全更新，並隨時注意<a href="https://source.android.com/security/bulletin" target="_blank">Google Android</a>及<a href="https://www.ftsafe.com/replacement/" target="_blank">Feitian</a>的安全公告。</p> </div></div></div>
2019/6/12 15:30作者林妍溱https://www.ithome.com.tw/news/131229
Have I Been Pwned求售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創辦Have I Been Pwned（HIBP）網站的澳洲安全專家Troy Hunt本周正式對外說明，以他一己之力已無法支撐日益龐大的HIBP業務，決定<a href="https://www.troyhunt.com/project-svalbard-the-future-of-have-i-been-pwned/" target="_blank">發起Svalbard專案</a>（Project Svalbard），出售Have I Been Pwned。</p> <p>Hunt在2013年創立的HIBP蒐集了全球的資料外洩事件，使用者只要輸入自己的電子郵件帳號，就能得知自己所使用的服務曾否被駭，帳號資料是否外洩。迄今HIBP已存放了80億筆的外洩紀錄，並有300萬人訂閱了通知功能，以便在自己的帳號外洩時收到通知。</p> <p>Hunt表示，當初會設立這個網站，完全只是因為他好奇使用者究竟知不知道自己的帳號外洩了？或者他們的帳號其實還被外洩了好幾次？而且也許<a href="https://www.ithome.com.tw/article/131057" target="_blank">他們在其它的服務，也都採用同樣的帳號與密碼</a>。</p> <p>從沒沒無聞到現在，HIBP網站每天的不重覆造訪人數已超過15萬，若遇上重大外洩事件則可衝上1,000萬。</p> <p>而同時Hunt已開始感到筋疲力竭，並認為HIBP的成長需要更多的資源及更好的資金架構來支撐，不是他一個人就能辦到的，這使得他提出Svalbard專案，決定求售HIBP。</p> <p>Svalbard專案的名稱是取自挪威政府在斯瓦爾巴群島（Svalbard）上所建立的貯藏庫，此一貯藏庫專門儲存全世界的作物種子，因而又被稱為全球農業的「諾亞方舟」，Hunt認為不管是種子貯藏庫或HIBP都是為了人類的價值而存在，於是選用了同樣的名稱。</p> <p>即使是求售，Hunt也不打算放手HIBP，公布了6大承諾，包括未來HIBP仍將維持免費搜尋功能，他自己則打算成為收購的一部分繼續投入HIBP，計畫打造更多更聰明的功能，期望觸及更多的使用者，盡力改變消費者行為，讓全球組織都能因HIBP而受惠。</p> <p>現階段已有許多買家與Hunt接洽，但尚不確定HIBP花落誰家。</p> </div></div></div>
2019/6/12 16:05作者陳曉莉https://www.ithome.com.tw/news/131230
研究人員以RAMBleed攻擊，竊取存在記憶體中的機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有一群研究人員在本周揭露了基於<a href="https://www.ithome.com.tw/news/122928" target="_blank">Rowhammer</a>的新款攻擊技術<a href="https://rambleed.com/" target="_blank">RAMBleed</a>，相較於過去與Rowhammer相關的攻擊行動都是變更或寫入記憶體資訊，RAMBleed則是用來讀取記憶體資訊，例如2048位元的RSA金鑰。</p> <p>Rowhammer被視為動態隨機存取記憶體（DRAM）的設計漏洞，記憶體是由數列的記憶元（Cell）所組成，有鑑於記憶元的密度愈來愈高，當駭客鎖定所要攻擊的記憶體列時，只要重複造訪隔壁列的記憶元，就會造成記憶體控制電路的電壓波動，影響目標記憶體列，造成位元翻轉現象，例如將1變成0或0變成1，等於是允許駭客寫入或變更記憶體位元，最終可造成權限擴張等各種漏洞。</p> <p>由於Rowhammer所造成的位元翻轉具備資料相依性，例如當某個位元上方及下方的位元電荷是相反時，該位元便更容易翻轉，這使得駭客能夠推斷附近的位元值，於是研究人員發展出新的記憶體傳訊技術，以記錄翻轉位元的上下位元值，發動RAMBleed攻擊，而且這些位元可能屬於不同的程序，打破了由作業系統強制執行的隔離邊界。</p> <p>RAMBleed攻擊每秒大概可讀取3到4個位元，研究人員先是花了4個小時取得了足夠數量的2048位元RSA金鑰，再以Heninger-Shacham演算法恢復完整的RSA金鑰，但理論上RAMBleed可讀取存在於記憶體中的所有資料。</p> <p>RAMBleed攻擊是奠基在Rowhammer之上，因此所有受到Rowhammer影響的記憶體都難逃一劫，包括DDR3與啟用TRR的DDR4。之前已證實Rowhammer漏洞波及行動裝置及筆電，而這次研究人員則在桌上型電腦及啟用ECC的伺服器上，成功示範了RAMBleed。</p> <p>這群研究人員分別是來自密西根大學的Andrew Kwong與Daniel Genkin、奧地利格拉茨科技大學的Daniel Gruss ，以及澳洲阿德萊德大學的Yuval Yarom，他們已通知了英特爾、AMD、OpenSSH、微軟、英國及紅帽，也已取得CVE-2019-0174漏洞編號。</p> <p>研究人員建議，將記憶體升級到啟用TRR的DDR4將可減輕該漏洞所帶來的影響，儘管此一配置仍有機會被開採，但難度較高。</p> <p>不管是Rowhammer或RAMBleed攻擊目前看來都仍處學術研究階段，尚未發現實際的攻擊行動，只是<a href="http://www.theregister.co.uk/2019/06/11/rambleed_rowhammer_attack/" target="_blank">作者之一的Kwong向The Register表示</a>，從歷史來看，今日的學術研究很可能就會成為明天的問題。</p> <p>此一<a href="https://rambleed.com/" target="_blank">研究論文</a>名稱為《不必存取它們就能讀取記憶體位元》（Reading Bits in Memory Without Accessing Them），研究人員準備在明年5月舉行的IEEE安全暨隱私研討會（41st IEEE Symposium on Security and Privacy ）上正式發表。</p> </div></div></div>
2019/6/12 14:25作者陳曉莉https://www.ithome.com.tw/news/131222
蘋果、微軟合作改版iCloud for Windows app
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去Windows用戶經常抱怨在PC上使用iCloud很不方便，本周微軟與蘋果終於合作推出<a href="https://blogs.windows.com/windowsexperience/2019/06/11/apples-all-new-icloud-for-windows-app-now-available-in-the-microsoft-store/" target="_blank">新版iCloud for Windows app</a>。</p> <p>iCloud for Windows方便用戶在Windows 10 PC上使用iCloud 旗下功能包括Drive、Photos、Mail、Safari書籤、聯絡人、行事曆及提醒等等。但是微軟和蘋果作為兩大競爭廠商，舊版iCloud for Windows並不太好用。去年Windows 10 1809版剛釋出時，還傳出和PC上的iCloud軟體不相容而無法安裝的情形，後來雖然蘋果以更新版解決相容性問題，但還是有用戶反應同步速度太慢的問題，不論是從筆電上同步到iCloud，或是iCloud和多台裝置間。</p> <p>微軟指出，新版iCloud for Windows app中，新加入專為Windows 10設計的iCloud Drive功能，具備和微軟OneDrive Files On-Demand功能相同的Windows底層技術，讓使用者可以在行動裝置離線存取，以及快速在iOS上分享檔案。利用這款app，Windows 10用戶現在可以直接在檔案總管中存取iCloud Dirve檔案，或從檔案總管上分享檔案給他人，而所有檔案編輯也會同步到用戶所有裝置。當然，也可以用這款Windows app將檔案儲存在iCloud Drive上，之後以iOS裝置、Mac或從iCloud.com存取。</p> <p>iCloud for Windows即日起可<a href="https://www.microsoft.com/store/apps/9PKTQ5699M62?cid=blogicloud" target="_blank">在Microsoft Store上下載</a>。</p> </div></div></div>
2019/6/12 14:30作者林妍溱https://www.ithome.com.tw/news/131223
美國10個州提告以反對T-Mobile及Sprint合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國紐約州及加州等10個州，在6月11日向美國聯邦法院提出<a href="https://ag.ny.gov/sites/default/files/6.11.19_new_york_attorney_general_james_moves_to_block_t-mobile_and_sprint_megamerger.pdf" target="_blank">反壟斷訴訟</a>，希望法院阻止<a href="https://www.ithome.com.tw/news/122774" target="_blank">T-Mobile與Sprint的合併案</a>。</p> <p>紐約州檢察官Letitia James表示，T-Mobile與Sprint的合併，將會使得數百萬的美國人無法存取價格合理且可靠的無線服務，造成無可挽回的傷害，特別會影響全美的低收入戶及少數民族社區。</p> <p>加州的檢察官Xavier Becerra則說，就算T-Mobile與Sprint可能承諾未來會提供更好、更便宜或更快的服務，但證據卻不利於此，因為雙方的合併定會導致更少的選擇與更高的價格。</p> <p>這些州的擔憂其來有自，因為分屬美國第三大與第四大電信業者的T-Mobile與Sprint，為了與領頭的Verizon Wireless及AT&T競爭，通常以較低的費率、更大的覆蓋率及更好的品質來吸引消費者，美國四大電信業者的激烈競爭下，的確讓美國過去10年行動服務的平均價格下滑了28%。</p> <p>因此，允許T-Mobile與Sprint合併，等於是結束了替消費者帶來諸多好處的市場競爭情勢。</p> <p>雖然美國聯邦通訊委員會（FCC）的主席Ajit Pai及委員Brendan Carr已於5月下旬<a href="https://www.ithome.com.tw/news/130799" target="_blank">表達對此一合併案的支持</a>，但司法部的立場似乎與FCC不同，根據彭博社的報導，司法部希望美國電信市場能夠維持四強鼎立的局面，於是向T-Mobile及Sprint祭出了同意合併的條件，亦即希望它們能夠扶植第四家競爭對手，且外傳Amazon有意加入戰局。</p> <p>除了紐約州及加州之外，其它8個反對此一合併案的，還包括科羅拉多州、康乃狄克州、哥倫比亞特區、馬里蘭州、密西根州、密西西比州、維吉尼亞州及威斯康辛州。</p> </div></div></div>
2019/6/12 14:40作者陳曉莉https://www.ithome.com.tw/news/131224
Windows 10 20H1的官方ISO檔案出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://www.bleepingcomputer.com/news/microsoft/the-official-isos-for-windows-10-20h1-now-available/" target="_blank">釋出</a>了Windows 10 20H1 Build 18912的官方ISO檔案，讓測試人員可乾淨安裝預計在明年春天問世的新版Windows 10。</p> <p>微軟甫於<a href="https://www.ithome.com.tw/news/130801" target="_blank">今年5月釋出</a>代號為Windows 10 19H1的Windows 10 1903，預計下一個版本應該是在今年秋天出爐的Windows 10 19H2，不過，微軟迄今尚未釋出任何Windows 10 19H2的測試版，反而是在<a href="https://www.ithome.com.tw/news/128784" target="_blank">今年2月就開始預覽</a>明年上半年才會問世的Windows 10 20H1。</p> <p>外界猜測Windows 10 20H1是個大改版的Windows 10版本，而Windows 10 19H2則僅有小幅度的修改，因此不急著預覽。</p> <p>目前傳出的Windows 10 20H1新功能，包括整合Azure、允許所有程式都具備文字預測輸入能力，以及<a href="https://windowsreport.com/windows-10-update-bandwidth-limits/" target="_blank">可精確規定Windows Update能夠使用多少比例的頻寬</a>。</p> <p>微軟提供3種不同的Windows 10 Build 18912 ISO檔案供測試者下載，包括Insider Preview、Insider Preview Enterprise與Insider Preview China Home。</p> </div></div></div>
2019/6/12 15:05作者陳曉莉https://www.ithome.com.tw/news/131225
英特爾收購SDN及晶片新創業者Barefoot Networks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/editorials/intel-acquire-barefoot-networks/#gs.hurzvq" target="_blank">英特爾本周宣布收購網路設備晶片新創公司Barefoot Networks</a>，以吸引部署大型資料中心及網路設備商客戶。</p> <p>Barefoot Networks提供資料中心乙太網路交換機的晶片及軟體，專長在可程式化晶片能滿足超大規模（hyperscale）雲端對效能及彈性的需求。其旗艦級產品Tofino 的晶片原生支援p4語言，處理速度宣稱可到達6.5Tbps，此外其Capilano IDE提供模擬環境、除錯工具、編譯工具等。</p> <p>Barefoot產品主要和博通（Broadcom）競爭。英特爾指出，Barefoot在雲端網路架構、P4可程式化高速路徑（data path）、交換器晶片開發、P4組譯器、驅動程式軟體、網路遙測（telemetry）及運算網路有深厚經驗，該公司及團隊的加入，將有助補強英特爾雲端網路及基礎架構的實力。</p> <p>本收購案前三個月，<a href="https://www.ithome.com.tw/news/129294" target="_blank">Nvidia宣佈收購</a>資料中心晶片廠商Mellanox，當時傳出英特爾也有意角逐、但最終價格不敵Nvidia敗北。</p> <p>Barefoot是由前史丹佛大學教授Nick MeKeown於2013年創立，現任執行長Craig Barratt曾擔任Atheros執行長直到2011年這家公司被高通收購。Barratt之後還能掌理Alphabet網路子公司Google Fiber，直到2016年10月去職。</p> <p>Barefoot加入後將整合到英特爾資料中心事業群下，預計今年第三季完成。雙方未透露收購金額。</p> </div></div></div>
2019/6/12 11:20作者林妍溱https://www.ithome.com.tw/news/131215
Windows 10 1803支援今年11月到期，最快本月就會被要求升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在五月釋出May 2019 Update，即<a href="https://www.ithome.com.tw/news/130801" target="_blank">1903版更新</a>後，微軟周二<a href="https://support.microsoft.com/en-us/help/4506606/windows-10-version-1803-ending-nov-12-2019" target="_blank">宣</a><a href="http://support.microsoft.com/en-us/help/4506606/windows-10-version-1803-ending-nov-12-2019" target="_blank">布</a>1803版多個版本Windows 10更新的支援，也將在2019年11月到期。但用戶可能最早在本月，就會被要求升級到最新版本。</p> <p>根據微軟網頁，Windows 10 1803版支援期限到期日為今年11月12日，符合這個到期日者的版本包括家用（Home）、專業（Pro）、Pro for Workstation及IoT Core等。屆時上述版本就不會再獲得安全更新。</p> <p>另一方面，上個月1903版釋出時，微軟已預告在Windows 10裝置「支援到期前幾個月」，Windows Update就會開始自動啟動功能更新。因此微軟將從6月開始，更新執行1803和之前版本的Windows 10機器。<a href="https://www.ithome.com.tw/news/130248" target="_blank">要安裝1903版，用戶電腦最少需有32GB硬碟</a>。微軟說會啟用機器學習（Machine-Learning，ML）技術的部署流程，確保用戶升級順暢。</p> <p>至於企業、教育及IoT Enterprise版本還要再一年，即2020年11月服務支援才會到期。</p> </div></div></div>
2019/6/12 11:35作者林妍溱https://www.ithome.com.tw/news/131216
微軟為Power平臺加入AI建置工具，讓用戶以少量程式碼就能在企業App加入AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://powerapps.microsoft.com/en-us/blog/introducing-ai-builder-for-powerplatform/">微軟為PowerApps以及Microsoft Flow，加入人工智慧建置工具AI Builder</a>，讓用戶只要撰寫少量的程式碼，就能在應用程式中添加人工智慧功能。AI Builder現在提供幾種常見易用的人工智慧功能，像是物體偵測、二元分類或是文字分類等應用。</p> <p>Power平臺讓用戶只要撰寫少量的程式碼，就能簡單地分析資料、建構應用程式或是自動化商業流程，而現在微軟為PowerApps以及Microsoft Flow進一步加入人工智慧建置工具，讓非人工智慧專家，也能以少量的程式碼在應用程式或是自動化的工作流程中應用人工智慧，解決業務上日常任務。</p> <p>用戶可以在PowerApps Studio或是Microsoft Flow網站的導覽介面中開始使用AI Builder，AI Builder下有一個模型頁籤，可以讓用戶查看各機器學習模型的重要訊息，並且進行模型部署或是測試等操作。AI Builder現在提供了多種常用的人工智慧功能，包括二元分類、文字分類、物體偵測、名片讀取器以及表格處理。</p> <p>AI Builder支援的二元分類功能，可以讓用戶使用歷史資料訓練模型，以預測新進資料的分類，二元分類可用在幫助組織解決二選一的問題，回答是與否、真與假或是通過與失敗等問題。而物體偵測偵測功能也很直覺，就是能讓PowerApps打造出來的應用程式，擁有辨識照片中物體的能力，可應用在物流業有效地進行存貨管理等。</p> <p>文字分類功能則能依照用戶提供的歷史資料，標記出相對應的文字片段，微軟提到，這是自然語言處理的基本應用，可在文字上標記或是設定標籤，以進一步開發情感分析或是垃圾電子郵件檢測等應用，也能自動分類客戶的請求到相關單位。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Text-Classification-Detail-Page-1024x576.png" style="width: 600px;" /></p> <p>AI Builder可以從用戶標記的文字中學習，並處理儲存Power平臺資料來源CDS中的非結構化文字資料，並重新分配到組織特有的分類。用戶還可以將AI Builder、PowerApps以及Microsoft Flow綜合應用，就能自動化業務流程，也能用在訂閱用戶流失或是預測分析。</p> <p>AI Builder中還有一個好用的表格處理功能，可以辨識用戶提供的文件結構，並將資料從表格中擷取出來，可以處理包括稅務或是發票等表格。表格處理功能會從表格擷取出鍵值以及表格資料，用戶可以使用自己的文件訓練模型，以擷取需要的資料，微軟表示，用戶只需要5個訓練表格文件，就可以開始使用模型。</p> </div></div></div>
2019/6/12 10:40作者李建興https://www.ithome.com.tw/news/131202
微軟為Azure DevOps釋出Multi-Cherry-Pick擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓Azure DevOps開發者，可以更簡單地同時對多分支的應用提交，<a href="https://devblogs.microsoft.com/devops/improving-azure-devops-cherry-picking/">微軟釋出了PR Multi-Cherry-Pick擴充套件</a>，該套件是使用git Cherry-Pick指令，能夠自動應用程式碼變更到多個分支上。擴充套件Multi-Cherry-Pick的名稱來自git指令Cherry-Pick，這是用來接受一個或多個現有的提交（Commit），並將每個提交的更改當作新的提交，應用到不同的分支上的操作。</p> <p>Cherry-Pick指令使用時機很常發生，像是當某個開發人員提交並創建發布分支（Release Branch），而這個發布分支存在臭蟲，另一位開發人員為其創建修補程式分支，並提交了必要的更新，而為了確保其他分支不受這個臭蟲影響，就能使用Cherry-Pick指令，複製修補臭蟲的提交到其它分支上。</p> <p>Cherry-Pick的指令並不是剪下貼上，而是複製的概念，因此要Cherry-Pick到其他分支的提交，會經過計算，為目標分支產生一個新的提交，原本修補程式分支上的提交，會依然存在。微軟提到，Azure DevOps本來就有內建Cherry-Pick功能，用戶可以直接從瀏覽器中，選擇拉取請求提交到新的功能分支（Topic Branch）上，但是當同時要應用多個提交到多個分支上，同時還要開啟新的拉取請求，則這個過程會相當麻煩。</p> <p>因此微軟釋出了Multi-Cherry-Pick擴充套件，要來簡化這個過程，用戶可以一次Cherry-Pick拉取請求的提交到多個分支上，而對於用戶選擇的每個分支，系統都會創建應用更新後的功能分支，當用戶在功能介面中勾選拉取請求選項，則會對目標分支（Target Branch）開啟拉取請求。</p> <p>用戶安裝PR Multi-Cherry-Pick擴充套件之後，在上下文選單中現有的Cherry-Pick選項下，便會看到Multi-Cherry-Pick的選項。現在用戶從市集，就能安裝PR Multi-Cherry-Pick擴充套件，微軟提到，這個擴充套件是開源的，因此開發者可以在GitHub回饋或是提交功能請求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cherry-pick-context-menu.png" style="width: 429px;" /></p> </div></div></div>
2019/6/12 11:05作者李建興https://www.ithome.com.tw/news/131210
LINE搶攻純網銀大打資安牌和日本經驗，更要打造用戶導向的整合式金融犯罪平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著純網銀執照審查結果揭曉時間越來越近，三家申請業者近來也動作越來越大，紛紛出面揭露發展策略或各自主打特色來營造聲勢。像LINE近來就大力打資安牌和日本經驗。LINE Bank籌備處執行長黃以孟日前在一場國際金融犯罪防制研討會上，就揭露了LINE未來要打造整合式的金融犯罪管理平台，也將引進日本總部資安團隊經驗，以及在日本推動的多項金融新服務，例如日本個人信用評等服務。</p> <p>黃以孟表示，LINE曾調查消費者對純網銀的期待，除了需具備簡單、便利、樂趣之外，更重要的是安心與完整的服務。在安心的部分，消費者認為防制金融詐欺、個資保護等元素至關重要。在完整的部分，消費者想要的是一個金融平臺，具備生活金融、One App以及完全的體驗。</p> <p><strong style="font-size: 24px; color: rgb(0, 128, 0);">LINE Bank計畫打造金融犯罪整合管理平臺</strong></p> <p>黃以孟認為，反洗錢、反欺詐、交易監控、名單掃描等事情，不該獨立成各自的平臺運作，而是應該以整合的平臺設計來實現這件事。所以，LINE Bank計畫打造一個金融犯罪整合管理平臺，來提供風險案件的管理之用。</p> <p>LINE也首度公布了這個平臺的架構，以這個金融犯罪整合管理平臺為基礎，上一層同樣是一套各種分析模型的智能資料庫，來提供多種金融犯罪防範或風險控管需求，例如目前已揭露的反洗錢、反欺詐應用，黃以孟表示，這將是一個企業級風險案件管理平臺，可提供預警管理機制、調查處置、案件管理與呈現展示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3072(1).JPG" /></p> <p>最大關鍵是，黃以孟指出，「得要以單一客戶視角，來防治金融犯罪。」黃以孟強調，所有跟單一客戶相關的一連串過程，從客戶盡職調查、名單過濾、交易監控、交易報告，都得依單一客戶為視角，而不是以各別視角來看部分流程。「整合單一平臺才能提高防治金融犯罪的效率會，以最有限的資源，達到最大的目的。」</p> <p><strong style="color: rgb(0, 128, 0); font-size: 24px;">隨時掌握純網銀客戶行為，打造即時性的用戶風險評分機制</strong></p> <p>在純網銀風險管理機制上，他更提到，得建立靈活、多維的客戶風險評級，運用大量的外部風險資料並自訂風險因素。風險評級分為客戶身份、客戶行為、人際關係，黃以孟強調，客戶行為尤為關鍵，但有些金融機構並沒有把客戶行為納入客戶風險評級。他認為，要隨時掌握客戶行為，包括文檔狀態、帳戶行為、使用金融服務的通道等，並把這些行為即時反映到客戶的風險評級分數。而人際關係當中，則包含了客戶的受益人結構、鏈結關係等，這些關係都能協助銀行做進一步的判斷。</p> <p>此外，導入機器人自動化流程（RPA）也是LINE Bank的方向之一，黃以孟透露，透過自動化人工作業，能節省時間專注在風險管理上。他解釋，當企業內部需要採取行動時，還是得以人力搜集外部資料，判斷後再進行下一步的行動。若透過機器人做好初步搜集、篩選、判斷，去蕪存菁後的資料再呈現給決策者，決策者就能花更多時間在判斷上。</p> <p><span style="color:#008000;"><span style="font-size:24px;"><strong>藉助LINE生態圈強化異常活動</strong></span></span><strong style="color: rgb(0, 128, 0); font-size: 24px;">監控</strong><span style="color:#008000;"><span style="font-size:24px;"><strong>，用</strong></span></span><strong style="color: rgb(0, 128, 0); font-size: 24px;">AI</strong><span style="color:#008000;"><span style="font-size:24px;"><strong>比對異常帳戶與交易</strong></span></span></p> <p>黃以孟提到，不同於傳統銀行，純網銀是一家透過手機、網路提供金融服務的金融機構，所有系統架構，都得依照與傳統銀行不同的風險屬性來設計。他提到，若再以傳統銀行防制洗錢方式，來架構LINE Bank的防制洗錢系統，會格格不入，以致於無法達到反洗錢的目的。</p> <p>LINE Bank要做的是，透過LINE生態圈，強化異常活動監控。透過對帳戶與交易持續監控，以AI分析顧客過往行為、預期行為、客戶身份配對、分群剖析、關注分類，進而提高發現疑似洗錢與資恐交易的事件的精確度。</p> <p>他更指出，銀行得建立動態持續，且需涵蓋關聯性的反洗錢偵測，才能找出蛛絲馬跡。比如說，一位被銀行監控有可疑活動的客戶，不能只看這位客戶的交易就夠了，還得掌握與客戶有關聯性的人、公司的帳戶交易，進而深入追蹤與判斷。</p> <p><span style="font-size: 24px;"><span style="color: rgb(0, 128, 0);"><strong>LINE Pay已採用兩大日本總部資安技術和資源，未來將擴大到純網銀服務</strong></span></span></p> <p>LINE Bank未來若成立後，黃以孟提到，也將引進日本總部的資安防護能力，目前已在臺灣推出的LINE Pay已經率先採用日本資安資源。LINE全球資安中心團隊有近80人，除了在地監控外，更有跨國資源與環球情報，來防制網路犯罪行為，每日監控事件與情資數達3千500萬件，每日防禦攻擊數超過230件，每日與生態圈共同監控情資分享數超過4千件。</p> <p>面對日新月異的詐欺挑戰，黃以孟也揭露，LINE Bank 將會透過模型化詐欺偵測指標，來監測可疑的詐欺或舞弊。他提到，LINE本身已展出一套AI技術，是根據客戶的帳號類型、交易型態、帳戶之間的關聯，透過機器學習，掌握可疑的交易，以及可疑度又有多高？再進一步做後續的調查。</p> <p>而LINE目前，在金融相關的服務上，已經把這套技術應用在LINE Pay了，使用的成效，是過濾出許多可疑的交易行為，進而輔助相關人員調查，而不是在海量的案件中要一個個看。未來，LINE Bank也會大量採用這樣的技術，黃以孟表示。</p> <p>LINE近年挾2,100萬用戶優勢，大力打造一個單一生活入口平臺，來串接各種服務，更透過LINE Pay和LINE Point整合第三方服務或各類電商，來發展自己的生態圈。黃以孟認為：「LINE具備了實現金融場景的場域。」這將是LINE Bank在臺金融服務的主要市場，更進一步，黃以孟透露，未來透過開放API的方式，LINE Bank還將與外部金融機構、第三方服務提供者連結。目前LINE Bank已揭露的金融平臺願景圖中，包括了結合交通、旅遊、行動生活、購物與海外生活等項目。</p> <p>6月LINE更積極擴大自家電子支付在全球的布局，找來Visa合作，要將Visa數位支付卡整合進LINE的應用程式中，在全球5400萬家Visa合作店家中提供LINE數位支付，並將利用區塊鏈技術，打造新的金融服務。例如將推出用戶忠誠度整合計畫，以及新的海外旅遊支付功能。⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3086(1).JPG" /></p> <p> </p> </div></div></div>
2019/6/12 11:14作者李靜宜https://www.ithome.com.tw/news/131030
微軟深度學習攝影機上現在也能夠執行亞馬遜AWS訓練完的AI推論模型了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>去年，微軟在Build大會推出一款開發者專用的深度學習視訊攝影機套件（vision AI developer kit），讓開發者可以在上面執行AI推論，但前提是，只有微軟Azure雲端上訓練過的AI或ML模型能用，其他雲端環境大多不支援。因為只能在這臺攝影機上跑微軟的Azure IoT Edge邊緣運算軟體，並不能執行其他家的邊緣運算軟體。</p> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>但在11日舉行的亞洲CES活動上，我們也訪問到了負責幫微軟打造這臺AI攝影機的臺灣攝影機製造商華晶科技，該公司產品經營小組資深專案經理游志昇透露，現在使用亞馬遜AWS服務訓練完的ML模型，開發者也能夠部署到這臺攝影機上執行ML推論了。</p> <p>也就是說，以後在AWS訓練完的AI模型，直接就能透過AWS Greengrass邊緣運算軟體，來部署在這臺攝影機上執行ML推論，不需要轉換成適用Azure雲端服務環境的ML模型格式就能用，讓開發者可以快速部署，並在攝影機上啟用執行，來進行應用的開發及測試。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3326-001.JPG" style="width: 600px; height: 400px;" /></p> <p>微軟這臺深度學習攝影機自去年8～9月推出上市，直到今年5月初，華晶科技才完成對於AWS Greengrass邊緣運算服務的支援，待通過AWS認證就能用。雖然該攝影機售價與AWS深度學習攝影機DeepLens相近，但游志昇指出，在硬體上，因為使用了高通的AI引擎和晶片技術加速運算，透過這臺深度學習相機，一次可以同時偵測40個物體，他們現場也展示了利用這臺攝影機來就近偵測多人人臉和身體。</p> <p>不只幫微軟代工深度學習攝影機，近來積極搶攻影像AI的華晶科技，另外還自行開發一個AI BOX邊緣運算盒，有別於提供單臺攝影機所需的AI推論執行能力，透過這臺AI BOX，他表示，則是可以提供多臺攝影機同樣的AI推論能力，只須透過PoE乙太網路，將每臺攝影機拍攝下來的影像畫面傳到這臺BOX上，就可以直接在上面做運算處理，不需要更換攝影機，就可以進行AI推論。</p> <p>如果在同一個區網內，他表示，目前可以支援最多4路網路攝影機，來提供近端AI影像偵測的使用。現場也展示了利用這個邊緣運算盒，來進行人臉、人體輪廓的偵測，同樣也支援了微軟Azure IoT Edge與AWS Greengrass兩大邊緣運算服務。該AI BOX邊緣運算盒，預計將於今年Q3上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3328-001.JPG" style="width: 600px; height: 400px;" /></p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/6/11 20:56作者余至浩https://www.ithome.com.tw/news/131211
開放邊緣運算專案Akraino釋出第一個版本，提供10種應用藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lfedge.org/2019/06/06/akraino-edge-stack-issues-premier-release-sets-framework-to-enable-5g-iot-edge-application-ecosystem/">Linux基金會旗下的LF Edge計畫發布Akraino Edge Stack第一個版本R1</a>，Akraino Edge Stack專案的目的，是要用最佳化的開源軟體堆疊，支援邊緣運算系統與應用程式。現在由社群合作開發釋出的版本，包含了10個經過驗證能支援用於不同邊緣情境的藍圖（Blueprint），包括5G以及物聯網應用等。</p> <p>Akraino Edge Stack專案奠基於AT&T貢獻的程式碼，希望能標準化電信、網路系統以及物聯網閘道應用相似的概念。</p> <p>Akraino專案中現在總共有11個藍圖系列，其中包含19個正在開發的特定使用案例藍圖，而Akraino Edge Stack R1版本目前提供的10個經過驗證可用藍圖，支援了各種規模以及應用類別。像是針對最新的5G網路，Akraino提供了Radio Edge Cloud（REC）藍圖，支援電信等級的邊緣雲端平臺容器應用，使用接近即時的RAN智慧控制器，讓外部應用程式得以控制5G網路的各部分。</p> <p>另外，也有藍圖針對不同規模的邊緣雲端應用，整合邊緣雲端Integrated Edge Cloud（IEC）分為兩類，小規模以及中型規模邊緣，主要針對電信公司使用ARM處理器的裝置和架構，能讓用戶在網路邊緣，創建新的功能或是商業模式。針對高密度部署邊緣裝置的應用，Akraino也有StarlingX Far Edge Distributed Cloud，能讓用戶在商場、機場或是體育館這類能部署高密度邊緣裝置的地方，開發基於活動或是地點的增值服務。</p> <p>在大規模管理邊緣運算堆疊方面，Akraino提供了原生Kubernetes基礎設施供應存取邊緣藍圖，可以讓用戶在裸機或是公有雲，以一致的使用者體驗管理基礎架構與工作負載。現在社群將會繼續以迭代的方式更新Akraino Edge Stack R1，並會對基礎功能進行補強，而R2版本現在也已經進入計畫階段，未來除了將新增更多的藍圖之外，還會加入自動藍圖驗證工具，以及新的社群實驗室硬體等。</p> </div></div></div>
2019/6/11 17:20作者李建興https://www.ithome.com.tw/news/131197
2019年5月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自華為被美國政府點名，更進一步採取封殺的策略之後，軟體供應鏈的安全性，便受到高度的關注。其中，有關程式開發的安全，是軟體供應鏈中重要的環節。而在5月份的資安新聞裡，傳出不少這種開發環境的攻擊事件，不只是開發人員使用的多家Git代管平臺裡，傳出部分用戶的程式碼遭到駭客清空，並要求支付贖金，甚至，駭客攻擊多家大型防毒軟體業者得逞，再度傳出程式碼被竊。</p> <p>與這個月資安新聞相關的另一個關鍵議題，就是憑證遭到冒用的現象，以上述Git代管平臺用戶被駭的情形來說，並非網站的安全性不足，而是攻擊者透過開發人員無意間洩露出的憑證，得以存取這些使用者的帳號。這種接管帳號控制權（Take Over）的攻擊手法，使得網站管理者難以直接藉由現有的防護機制，得知攻擊事件的存在，成為現今網站資安的一大隱憂。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/130408">駭客鎖定Git用戶，清空儲存庫內容加以勒索</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0506-gitlab.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/130412">Jenkins外掛安全漏洞衍生密碼外洩與跨站攻擊風險</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/jenkins.jpg" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/130528">以小巧著稱的Alpine Linux，存放在 Docker Hub的映像檔出現根帳號漏洞</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0509-alpine_linux.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/130659">防毒軟體程式碼驚傳外洩，3大業者遭點名</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/43-2-Fxsmp.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/130646">Windows XP存在遠端桌面服務重大漏洞，微軟再度推出修補程式</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0514-windowscve-2019-0708.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/130651">英特爾處理器又有旁路攻擊漏洞，多家廠商提供修補程式</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/43-1-ZombileLoad.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/130824">荷蘭傳出在電信網路上發現華為暗藏後門</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/devolkskrant.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/130529">全球最大加密貨幣交易中心幣安遭駭</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0509-bi_an_.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/130653">日本Uniqlo與GU網路商店用戶遭受帳號填充攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0515-uniqlo.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://ithome.com.tw/news/130895">Asus WebStorage出包惹的禍！臺灣資安業者揭露：5個A級政府機關及地方政府於4月被植入Plead惡意程式</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/ao_yi_zhi_hui_1.png" style="width: 400px;" /></p> </div></div></div>
2019/6/11 17:28作者周峻佑https://www.ithome.com.tw/news/131204
研究：駭客在這9年來所開採的公開漏洞中，只有一半利用公開攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾名研究人員在本月初舉行的資訊安全經濟（Economics of Information Security）研討會中，<a href="https://weis2019.econinfosec.org/wp-content/uploads/sites/6/2019/05/WEIS_2019_paper_53.pdf" target="_blank">發表一項研究</a>，企圖探討企業修補漏洞的優先順序及效率，並指出在2009年至2018年的9年間，在全球被公開揭露的75,976個公開漏洞中（CVE），約有12.8%的漏洞出現公開的攻擊程式，但在實際的攻擊行動中，只有一半採納了這些公開攻擊程式。</p> <p>研究指出，大多數企業在修補漏洞的政策上都力求平衡，有些可能嘗試修補所有的漏洞，卻會造成缺乏效率的後果，有些則是優先修補少數的高風險漏洞，但後者則需要更好的攻擊預測與評估，而這即是目前不管是政府機關或私人企業都缺乏的能力。</p> <p>此一報告揭露了最近9年來被公開的漏洞、公開的漏洞攻擊程式，以及相關漏洞遭到實際開採的數據。</p> <p>根據統計，在這9年中所出現的7.6萬個漏洞中，約有9,700個漏洞的攻擊程式被公開，佔所有漏洞總數的12.8%，另一方面，在實際的攻擊行動中，被利用的漏洞為4,200個，佔所有漏洞的5%。</p> <p>不過，實際的攻擊並非總是利用公開的攻擊程式，分析顯示，這9,700個漏洞的公開攻擊程式只有2,100個被應用在實際攻擊中，代表駭客所開採的4,200個漏洞中，有一半的攻擊程式是自行打造的。</p> <p>研究人員想要表達的，是企業或政府不應只仰賴漏洞攻擊程式的曝光與否或CVSS分數來決定修補順序，因為在實際的攻擊行動中，駭客所開採的漏洞至少有一半是缺乏公開攻擊程式的，亦只有不到一半比例的CVSS分數高於9。</p> </div></div></div>
2019/6/11 17:30作者陳曉莉https://www.ithome.com.tw/news/131208
擔心計程車繞路？Google Maps正在測試繞路通知功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你搭上計程車的時候會習慣設定Google Maps嗎？<a href="https://www.androidpolice.com/2019/06/10/google-maps-keeps-you-safe-by-alerting-you-if-your-taxi-goes-off-route/" target="_blank">根據外電報導</a>，Google正在印度測試一項<a href="https://www.xda-developers.com/google-maps-taxi-goes-off-route/" target="_blank">新的Google Maps功能</a>，會在偏離原先設定的路線500公尺時跳出通知，這一來可以確保使用者的安全，二來也可避免司機繞路。</p> <p>要使用該功能仍然必須先在Google Maps上輸入起點與終點，之後按下螢幕下方的「保持安全」（Stay Safer）按鍵，之後就能與友人分享即時位置，或是在計程車偏離Google所設定路線500公尺時跳出通知。</p> <p>500公尺的範圍應該可以容許細微的差錯、司機的開車習慣或是足以繞過塞車的地段，但若超過500公尺，使用者可能就必須提高警覺。</p> <p>可惜的是這項功能目前似乎只出現在印度，尚無其它市場的用戶發現此一功能，也不確定Google是否或何時會將它擴大到其它市場。</p> </div></div></div>
2019/6/11 17:45作者陳曉莉https://www.ithome.com.tw/news/131209
Google的AI平臺筆記本開始支援R語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年Next大會中發布了一系列支援機器學習生命周期各階段的工具，其中包括了AI平臺筆記本，這是一個代管服務，供使用者以最新的資料科學與機器學習開發框架，創建JupyterLab執行個體服務，<a href="https://cloud.google.com/blog/products/ai-machine-learning/ai-platform-notebooks-now-supports-r-in-beta">現在Google宣布在AI平臺筆記本支援R語言</a>。</p> <p>R語言被廣泛用於資料科學上，擁有大量的開源函式庫，提供資料科學家許多現成的統計分析技術，像是Bioconductor函式庫能提供生物學家分析基因組資料，對於複雜的時間序列預測，也有預測套件可以使用ARIMA、ARMA與AR等模型，而且要將R用於深度學習模型，現在也沒問題，TensorFlow for R讓使用者以R作為介面操作TensorFlow核心API。</p> <p>而Google在其AI平臺筆記本支援R語言，用戶可以啟動網頁開發環境，並預安裝JupyterLab、IRkernel、xgboost、ggplot2、caret、rpy2以及其他熱門的R函式庫，而且AI平臺筆記本也與Google的其他服務包括BigQuery、Cloud Dataproc以及Cloud Dataflow整合，讓用戶可以直接操作資料，進行擷取、預處理、探索以及模型訓練與部署等各種工作。</p> <p>用戶可以在Google的AI平臺點選筆記本選項，並且在創建新的執行個體時選擇R 3.5.3，就能在AI平臺筆記本中使用R語言，用戶還可以使用CRAN套件託管服務在R控制臺中，安裝各種R函式庫。</p> </div></div></div>
2019/6/11 17:55作者李建興https://www.ithome.com.tw/news/131200
殭屍網路猛攻150萬臺RDP主機，全球皆有災情，臺灣遭駭主機也不少
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端桌面存取協定（RDP）的安全問題，近期屢屢受到矚目，最主要的威脅，莫過於微軟剛修補的BlueKeep漏洞（CVE-2019-0708），不少資安業者實做出概念性驗證（PoC）攻擊程式，也傳聞駭客開始鎖定這個漏洞發動攻擊，所幸目前為止尚未出現任何災情。</p> <p>不過，在各界聚焦在BlueKeep身上的同時，Morphus實驗室資安研究員Renato Marinho指出，近期還有一起必須重視的GoldBrute攻擊事件，殭屍網路鎖定全球150萬臺遠端桌面伺服器，進行大規模暴力破解密碼的行為。</p> <p>Renato Marinho指出，根據Shodan物聯網搜尋引擎，全球共可找到240萬臺公開遠端桌面伺服器功能的電腦。GoldBrute藉由自己彙整的伺服器名單，在短短的6個小時之內，探測了超過150萬臺啟用相關存取機制的電腦，換言之，GoldBrute擴散的速度算是相當快，而且Renato Marinho認為，這個攻擊的範圍還在急劇擴散當中。</p> <p>由於Morphus實驗室發現，這起攻擊事件裡所執行的惡意軟體裡，包含了名為GoldBrute的Java類別名稱，因而以此來稱呼這起事件。分析攻擊行徑，來源殭屍網路先會暴力破解受害遠端桌面連線主機的帳號和密碼，藉此取得Windows作業系統的存取權限，接著，會下載一個含有GoldBrute惡意軟體的ZIP檔案，植入受害主機中，並在網際網路上找尋新的攻擊目標。當GoldBrute找到80臺啟用遠端桌面連線功能的電腦時，便會向C&C中繼站回報這些電腦的IP位址。</p> <p>不只如此，C&C中繼站還會提供另一組新的IP位址名單，讓受害電腦執行遠端桌面連線的暴力密碼破解行為。Renato Marinho表示，針對每一個IP位址，受害電腦裡的GoldBrute機器人只會猜測一組帳號名稱和密碼，避免遭到遠端桌面伺服器鎖定而留下記錄。最終，被GoldBrute控制的受害電腦會將猜測密碼的結果，回報到C&C中繼站。</p> <p>在分析了GoldBrute的程式碼後，Morphus實驗室追蹤了C&C伺服器6個小時，總共出現了210萬個IP位址，經過濾後不重複者有1,596,571個。雖然Morphus實驗室並未進一步提供詳細的受害攻擊事件數據，但根據該公司製作的全球事件分布圖，GoldBrute廣泛在全球各地發動攻擊，出現最多起事件的是中國東北，而臺灣也出現不少災情。此外，美國的東岸和西岸，以及歐洲的英國和法國，同樣有許多受害者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/0 8QSLWyXSY18OR_qW.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0%208QSLWyXSY18OR_qW.png" style="width: 580px;" /></a></p> <blockquote><p>Morphus實驗室揭露了有關GoldBrute攻擊的分布情形，其中出現攻擊次數較多者，大致出現在東亞（中國東北、上海、臺灣等），以及西歐和北美等區域。</p> </blockquote> <h2><strong>搭配帳密猜測攻擊最為普遍</strong></h2> <p>雖然攻擊事件發生的原因，仍然有待進一步釐清，但是從這起事件中，我們還是可以看到，駭客鎖定遠端桌面連線存取機制，大肆發動攻擊的現象。縱使攻擊者已經在鑽研如何運用BlueKeep漏洞，然而根據另一家資安公司Bad Packets的分析，目前發動攻擊的手法還是以暴力破解密碼為主，占了絕大多數（96.6%），BlueKeep僅有3.4%，相形之下，使用者避免採用容易被猜到的密碼，還是能夠防範時下大多數的遠端桌面連線攻擊行為。因此，良好的密碼使用習慣，對於強化資訊安全仍然有所助益。</p> <p>不過，這樣的威脅態勢之下，並非代表存在BlueKeep漏洞的電腦，就不需要安裝修補程式。採用遠端桌面連線的企業或是個人使用者，還是要嚴陣以待，防範這種未來可能會被廣為運用的攻擊管道。</p> </div></div></div>
2019/6/11 17:06作者周峻佑https://www.ithome.com.tw/news/131203
【為何翟本喬離開Google回臺灣紮根？】系列(二)：責任
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/131196"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/di_ben_qiao_tai_da_dian_.jpg?itok=Xnk1VqMa" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-inline clearfix"><div class="field-label">圖片來源: </div><div class="field-items"><div class="field-item even"> 2010年翟本喬在台達電照片</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2010年3月，我在台達電的工作洽談定案了。月底我向在 Google 的老闆提出了辭呈，然後在4月1日發了一封信告知同事們。Google 有一個特別的傳統：重大事項的宣佈常常故意放在4月1日，讓人猜測到底是真是假。所以有幾十位同事是在回信跟我確認之後才敢跟我道別和祝賀。</p> <p>其中有一位台北辦公室的軟體高手，外號叫「六祖」，在回信中告訴我早在1994年就見過我。那時他還是高三的學生，我利用回台洽公的機會回母校演講，告訴學弟們電腦世界的諸多美景，而他也因此更堅定了走上軟體工程的路。後來他在 Google 台北表現得非常好，甚至能修掉怪傑 Jeff Dean 程式碼中暗藏多年的 bug，引起總部注意。多年前無意散播的種子，竟能開出如此鮮艷的花朵，我也與有榮焉。</p> <p>4月16日星期五，我在 Google 最後一天上班。工作事務早已移交完畢，個人物品也都已經搬回家。繳回了公司設備和識別證，背起個人的背包，最後一次走出我在 Google 的第八個、也是最後一個辦公室，回到冷清的家裡，開始行前的收拾，週末就飛回台灣準備報到。</p> <p>2004年 Google 股票上市，我除了把房貸還清之外，第一筆重大支出就是2005年幫媽媽買了一間小公寓，回台灣出差的時候就可以順便孝順一下。來來去去很多次之後，也就成了我的另一個家。所以加入台達的時候不像很多歸國學人要大費周章地一次把整個家搬完，這次只帶了兩個簡單的皮箱。</p> <p>4月19日在台達電第一天上班，到桃園（為什麼不在台北？很複雜，不要問。）行禮如儀完成人事程序，下午四點拿到筆電後到內湖瑞光路總部去跟鄭崇華董事長打招呼。出來後秘書說：「待會七點以前把明天策略會議要講的雲端策略簡報交給我。」</p> <p>我一陣錯愕：「可…可是…我剛剛才拿到筆電，現在連座位都還沒有。」</p> <p>秘書說：「好吧，那明早七點以前給我。」</p> <p>我心中OS：「果然是有效率的公司。」</p> <p>當然，我在回來的飛機上早有規畫，所以第二天早上還是交出了一份初步的報告。</p> <p>在台達電因為有長官的全力支持，我面臨的最大困難反而不是別人想像的內部制度問題，而是我當時對外的知名度不夠，號召力不足。畢竟我先前二十一年沒有在台灣業界工作，沒建立什麼人脈，而 Google 那段期間台灣業界對我的看法也是圏外人，回來只是談生意的。所以我一大部分的精力主要是花在說服別人台達電是真的可以做雲端，一方面要說服軟體人才加入，一方面要說服潛在客戶買單，一方面還要宣傳正確的雲端觀念，不要再落入硬體的窠臼。</p> <p>當時政府有一個「雲端運算產業發展指導小組」，鄭董事長也是受邀成員，開會時他就派我去。2010年9月3日第一次開會時，看到政府雲端運算產業發展方案計畫經費240億，其中150億拿來蓋資料中心，我立刻皺起了眉頭：這又是典型的蚊子館。雲端產業的最低階建設，最沒有利潤的，就是資料中心。幸好宏碁的王振堂董事長出言指正，舉例宏碁的 eDC 經營困難，靠找到一個好的大客戶才勉強可以獲利。（對，這個 eDC 就是當時張善政在管的那一個，而我也就是後來去拜訪 eDC 才有機會跟張善政認識的。）這筆預算是中華電信爭取到的，所以呂學錦董事長當然要辯護一下，說不會一次就蓋那麼大，會視實際需求逐步動用。當時主席是張進福政委，他出來打圓場，說王董事長一向有話直說，他也是好意提醒，請呂董事長不要介意。</p> <p>我這時舉手發言：我是台達電子的翟本喬，代表鄭崇華董事長來開會。我們鄭董事長一向也是有話直說的，我就遵照他的風格，提供一些意見給各位前輩參考。前面王董事長說的大客戶，他因為有保密協議不能說是誰，但全台灣業界都知道是 Google。很多人也知道 Google 的租約快要到期了，所以我相信中華電信是想爭取這個大客戶。但我可以告訴你，Google 接下來絶對是要自己蓋資料中心，不信你去看他們在全球各地的做法就知道了。所以我們現在還是不要浪費這筆錢比較好。</p> <p>當時與會的大老闆們對我這個敢亂講話的小伙子留下了相當深刻的印象。幾個星期後，雲端產業協會有個矽谷參訪團，我事先不知道所以沒有報名參加，但正好同一時間我參加了一個海外人才招募團也在矽谷，所以就碰到了。我和 Google 老同事聯絡了一下，就以雙重身份參加了參訪團在 Google 的會議。會中 Google 一位副總介紹了正在做的一些雲端計畫，而台灣三大電信的老闆們則是問到有沒有合作機會，Google 副總給了一個模糊的答案，說可以代理 Google Apps （現在的 G Suite）之類的。</p> <p>呂學錦正在思索該如何問得更明確，我就替他說了：請問 Google 會不會考慮把伺服器群組放在電信公司的機房？呂學錦很高興地回頭跟我說：對！我就是要問這個。</p> <p>這時台上 Google 副總斬鐵截釘地回答：Never!</p> <p>會後電信公司老闆們失落地走出來，我同情地說：我講你們不信，我只有讓 Google 的人親口告訴你們了。</p> <p>為了阻止政府亂花錢，我是不怕得罪人的。後來這筆預算真的就沒有動用了。</p> <p>2011年7月份，在台中靜宜大學有一場服務科學研究論壇，年初我受邀演講。我對服務科學本來是不懂的，但我猛然想到雲端運算的「XX即服務」模式，領悟到了應該要宣揚「雲端產業不是製造業，而是服務業」這件事，所以就答應了以《雲端運算中的服務理念》為題，做了一場演講，提出了這張我後來一直沿用的投影片：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B0%A1%E5%A0%B1_%E4%BE%86%E6%BA%90_%E7%BF%9F%E6%9C%AC%E5%96%AC.jpg" /></p> <p>這張投影片的三段會隨著台詞逐步顯示。我的台詞是：「不管 SaaS、PaaS、還是IaaS，重要的是後面這個 S - Service。所以我們雲端產業現在講 XaaS - Everything as a Service，就是不管什麼都要把它做成服務。講到這裡我就不得不佩服我們國父孫中山先生，他早在一百年前就說過這麼一句話：（顯示紅字）人生以服務為目的！」</p> <p>聽眾聽到這句話一定會大笑，留下深刻的印象，而我的目的就達到了。我要強調的是不能再以製造業的商業模式和成本結構來分析雲端產業，而期待台灣產業能成功轉型到雲端產業。</p> <p>但台灣高科技產業當時大部份賺錢的，還是電子製造業。台灣產業轉型的困難，來自於過去的成功包袱。過去成功地從紡織業轉型到電子業，又從電子業轉到電腦業，所以理所當然會認為可以再次轉型成功。但過去的轉型都是從製造業轉到製造業，只是製造不同的產品，骨子裡還是同一個商業模式。而這次不一樣了，是轉到服務業這個完全不同的商業模式。</p> <p>你有沒有想過：同樣是半導體業，為什麼台積電如日中天、稱霸全球；而 DRAM 則是兩兆雙星變流星？</p> <p>因為台積電是服務業（對，我到台積電演講的時候和他們的高級主管確認過了），而 DRAM 是製造業。台積電的服務是「把你的電路圖變成晶圓」，只不過交付服務成果的媒介是矽晶片，所以讓人以為他們是賣晶片的。</p> <p>2012年4月，第一次有機會在 TEDx Taipei 上台，我提出了建立雲端產業所需要的三大改變：使用者心態、開發者心態、和製造商心態。這也是在台達電引進了 IBM 的 NBD 程序之後，我得到的領悟。在台達電身為製造商的這一端，IBM 的顧問一直還是用製造業的角度來評估，進行五力/六力分析和 SWOT 等程序。這些程序沒有錯，但預設的商業模式是錯的，在錯誤的前提之下，也就很難得到正確的答案。而 NBD 這套方法，也只適用於大企業開發新產品時的評估，對新創形式的發展是不合適的。在鄭董事長準備退休的這個時刻，接班人為求一個上市公司的穩定發展，用這套方法來整理台達電當時五花八門的新事業，以對股東負責，其實也無可厚非；只不過那就不是我當初加入的台達電了。</p> <p>於是，在一年多 NBD 的折騰之後，台達電決定結束雲端部門。這對我個人沒有太大損失，但好不容易集結起來的軟體團隊如果散掉了，是非常可惜的。這兩年多一共招進來了近一百位人員，流失了一些之後還有65位。尤其是研發替代役的人員，有不少是因為聽了我這幾年散佈的理念而來的。如果我走了，台達沒有了雲端事業，而他們還要再待兩年半，去做不符合當年他們加入目的的工作，我也會感到愧疚。經過了一番掙扎之後，我帶著28位同仁，包括10位替代役，向台達電買下了我們研發的智慧財產權，成立了和沛科技。</p> <p>這就是翟本喬在台達電的故事。</p> </div></div></div>
2019/6/11 14:49作者翟本喬https://www.ithome.com.tw/guest-post/131196
提升帳號安全迫在眉睫，2018年帳號填充攻擊事件暴增逾300億次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年，我們常聽到許多資安專家呼籲，他們勸導使用者，應避免在多個網站服務裡，設置相同的使用者名稱和密碼，以免自身曝露於帳號填充攻擊（Credential Stuffing）的威脅。而這種攻擊態勢，如今可說是越演越烈，但背後的原因為何？Akamai於今年度資安報告裡，揭露有關的種種發現。</p> <p>Akamai指出，光是過去一年裡，駭客總共發動了超過300億次的帳號填充攻擊，從每天總計的數據來看，最嚴重的3天裡，一天之內就有超過2.5億次的攻擊，次數最多是發生在2018年10月27日，當天共發生接近3億次的異常存取事件；至於當中規模最大的攻擊事件，存取接近2億次。相較於2017年規模最大者1.33億次，2018這年駭客發動攻擊的規模，明顯比往年高出許多。</p> <p>雖然，Akamai並未公布駭客攻擊與正常存取次數的比例，但若是參考他們去年報告裡的資料，單是這樣的惡意存取行為，就占全部網站登錄次數的43%，大約接近一半。面對這樣的現象，不單是使用者須設法自保，對於網站經營者而言，面臨這種行為大量出現，勢必要妥善因應。</p> <p>為何駭客大肆進行帳號填充攻擊，且情況日益惡化？Akamai揭露他們的發現，原因包含：網站資料外洩的事件更加頻繁，以及現成的攻擊工具氾濫，使得作案的成本極低，甚至沒有任何技術門檻。</p> <h2><strong>多款自動化攻擊工具現身，使得攻擊門檻大幅降低</strong></h2> <p>針對網站資料外洩的態勢，Akamai在報告裡，提到今年年初時，遭到洩露的5個史上最大的帳號資料組合包，它們被稱為Collection#1到Collection#5，內容總計含有超過250億個電子郵件帳號與密碼。不過，光有大量的帳號資料外洩，還不足以讓人直接聯想駭客如何濫用資料。Akamai指出，帳號填充的攻擊工具，已發展成可隨手可得的整合包（AIO），部分能夠從網際網路上直接取得。</p> <p>舉例來說，SNIPR是最有代表性的攻擊工具整合包，因為，它同時鎖定了社群網站、串流媒體，以及遊戲平臺，作為主要目標。</p> <p>駭客不只透過公開的網頁提供SNIPR，Akamai的研究人員還發現：這些駭客在YouTube上傳一系列教學影片，從如何利用Google搜尋引擎，找出網站潛在的SQL注入漏洞開始；待觀看者看完，會播放另一段影片，解析滲透的執行步驟。</p> <p>同時，SNIPR的頻道會協助觀看者，下載電子郵件帳號和密碼對照表，並要求經由指定的代理伺服器，測試取得的帳號和密碼是否有效。換言之，就算新手駭客不懂相關技術，也能按照影片的教學，逐步發動攻擊，根據Akamai的研究，至少近9萬人觀看這些影片。</p> <p>至於駭客取得這項工具的成本，Akamai指出，SNIPR的零售價為20美元，其他整合包工具的開價也不高，還有另一款透過暗網推出的STORM，零售價約為52 美元。因此，基於上述的種種現象，帳號填充攻擊的威脅，未來只會更加普遍，所有人都必須採取有關的資安措施才行。</p> </div></div></div>
2019/6/11 15:51作者周峻佑https://www.ithome.com.tw/news/131199
Sophos：小心！駭客利用遠端存取把勒索軟體送到你家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多資安廠商都在年度報告裡，提到所謂的無檔案式（Fileless）攻擊，不少資安專家更一步，因駭客利用企業環境內的現成工具，將這種手法稱為就地取材（Living off the Land，LoL）。其中，企業內部普遍存在而遭到駭客大肆濫用的工具，一般會先被提及的是PowerShell。不過，遠端桌面存取協定（RDP）廣受攻擊者運用的現象，其實也相當需要加以防範，於6月4日舉行的Sophos全球巡迴研討會臺北場活動裡，Sophos技術經理林子涵特別提出他們的發現。</p> <p>林子涵指出，近年來許多企業資安防護的重點，可能聚焦在於因應勒索軟體上，使得這種攻擊的態勢稍微趨於緩和。但是，基於綁架企業的資料仍然有利可圖等因素，使得現在的勒索軟體攻擊事件裡，駭客鎖定企業為目標比例大幅攀升，而值得留意的是，在這種針對性的攻擊中，遠端桌面存取協定竟是攻擊者散播勒索軟體的主要途徑。</p> <p>在前面提到的遠端桌面存取協定之外，林子涵也表示，另外一款雖然在Windows作業系統沒有內建，但廣受管理者採用的遠端存取命令列工具PsExec，同樣成為時下攻擊者濫用的對象。因此，林子涵認為，企業應該要嚴加控管這種遠端存取的措施，甚至是在沒有使用的時候，停用相關功能。</p> <h2><strong>勒索軟體攻擊鎖定企業，遠端桌面存取竟成幫兇</strong></h2> <p>林子涵提到，縱使去年勒索軟體攻擊的事件數量，已經開始出現下降的情勢，但對於企業來說，還是存在一定程度的威脅。根據Sophos實驗室對於2,700名IT主管的訪查，半數以上的企業遭遇過勒索軟體攻擊，蒙受損失的金額中位數為13萬3千美元──這樣的金額相當於4輛轎車，對於許多公司而言也許不算龐大，相較於遭到勒索的資料重要性來說，就可能選擇支付贖金了事，使得歹徒有機可乘。</p> <p>這樣的現象使得駭客食髓之味，林子涵指出，去年在美國大肆爆發的勒索軟體SamSam，散布的管道就是遠端桌面存取協定，而且，這樣的現象還廣泛出現在其他的勒索軟體中，包含了BitPaymer、Ryuk、Dharma，以及GandCrab等，值得注意的是，其中GandCrab並非專門鎖定企業的勒索軟體，卻也同樣採用了這樣的滲透機制，顯示相關手法已是當今勒索軟體攻擊過程裡，極為普遍的做法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SamSam_Playbook_TW.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SamSam_Playbook_TW.png" style="width: 580px;" /></a></p> <blockquote><p>在2018年發動攻擊的勒索軟體中，不少都將遠端桌面連線協定（RDP）做為滲透的管道，而且多數是鎖定企業為勒索的對象。</p> </blockquote> <p>事實上，林子涵指出，這幾年來運用有關遠端存取措施的攻擊事件，其實有跡可循，在2017年底，繼WannaCry之後出現的變種NotPetya勒索軟體，其擴散的途徑，就是經由遠端執行工具PsExec，這是一款企業網管人員常用的命令列軟體。</p> <p>林子涵舉出微軟近期的重大修補事件，同樣突顯遠端桌面存取協定遭到濫用的嚴重性，那就是BlueKeep漏洞（CVE-2019-0708），該公司在WannaCry攻擊事件後，針對已經終止支援的Windows XP與Server 2003，二度提供修補軟體，原因就是避免類似WannaCry大規模擴散的情況發生。</p> </div></div></div>
2019/6/11 16:04作者周峻佑https://www.ithome.com.tw/news/131201
Maker Faire主辦媒體傳暫停營運、Oculus創辦人出手相助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創辦科學與電子DIY雜誌《MAKE》及推動自造者（Maker）風潮的<a href="https://makermedia.com" target="_blank">Maker Media</a>因不堪財務壓力關閉，所幸科技新貴Oculus創辦人之一Palmer Luckey及時出手相助。</p> <p>Maker Media舉辦的Maker Faire也是自造者界的一大盛事。第一屆Maker Faire於2006年在美國舊金山灣舉辦，而到2016年，全球舉行了將近200場Maker Faire，其中聖馬提歐（San Mateo）、紐約、羅馬及深圳的四場大型盛會更吸引了約10萬人參與，號稱是全球自造者運動力量及普及程度的最佳證明。</p> <p><a href="https://techcrunch.com/2019/06/07/make-magazine-maker-media-layoffs/" target="_blank">Techcrunch</a>於上周報導，Maker Media近日悄悄停止營運，員工也遭裁撤，原因是企業贊助經費大減。Maker Media執行長Dale Dougherty指出，15年來經營這本雜誌雖然很辛苦，但勉強撐得下去。不過今年企業贊助量大減，迫使該公司結束營運。例如微軟及Autodesk都不再贊助灣區的Maker Faire。</p> <p>Dougherty仍然希望能透過授權第三方舉行Maker Faire，以取得維持公司生存及網站營運的經費，他也將努力和銀行及金主們協調，希望有一天能東山再起。Maker Faire的募款活動周末也在<a href="https://www.gofundme.com/f/lets-save-maker-faire" target="_blank">GoFundMe</a>上線，預計募集10萬美元。</p> <p>報導一出後引來自造者界雪片般的支持。Oculus共同創辦人之一的科技新貴Palmer Luckey上周也透過推特表示<a href="https://twitter.com/PalmerLuckey/status/1137189237512499200" target="_blank">將贊助Maker Media</a>，他說他是Maker Faire的粉絲，而且從第一期就是MAKE雜誌的忠實讀者。</p> <p>Maker Media是否能順利重生目前不得而知，但Techcrunch報導，至少全球各地的授權Maker Faire將會繼續舉辦。</p> </div></div></div>
2019/6/11 14:10作者林妍溱https://www.ithome.com.tw/news/131193
Mozilla準備在今年推出付費版Firefox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla執行長Chris Beard近日接受德國媒體<a href="https://t3n.de/news/mozilla-ceo-chris-beard-anbieten-1168614/" target="_blank">t3n專訪時透露</a>，正準備推出付費版的Firefox瀏覽器，<a href="http://www.zdnet.com/article/mozilla-ceo-premium-version-of-firefox-coming-this-fall/" target="_blank">首個版本預計在今年10月出爐</a>。</p> <p>Beard是在t3n問及Firefox的營收來源時提到付費版Firefox，因為Beard批評微軟倒向Google的Chromium，造成權力集中，與開放及分散式網路的理念背道而馳，但另一方面，Firefox卻有9成的收入來自與搜尋引擎的合作，當中最大的合作對象就是Google。</p> <p>根據Beard的說法，Firefox在不同的市場採用不同的搜尋引擎，例如在俄羅斯採用Yandex，在中國採用百度，在許多國家採用Google，而光是收取搜尋引擎的授權費就佔了Firefox總營收的9成。</p> <p>於是t3n拋出了犀利的問題，質疑Firefox的生存既仰賴這些大型業者，卻又批評它們，才使得Beard吐露了付費版Firefox的計畫。</p> <p>Beard表示，原本免費的Firefox功能都將維持免費，用戶也能持續免費下載及使用標準版的Firefox，至於付費版則會提供更多的加值服務，像是安全的儲存空間或是高頻寬的VPN，並開放用戶每月訂閱。</p> <p>目前Mozilla尚在規畫付費版的功能，預計會在今年10月發布第一個版本。</p> </div></div></div>
2019/6/11 14:25作者陳曉莉https://www.ithome.com.tw/news/131195
協助重現AI研究，臉書發布內建18種預先訓練模型工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://pytorch.org/blog/towards-reproducible-research-with-pytorch-hub/">臉書發布協助重現機器學習研究的工具PyTorch Hub</a>，目前為測試版，透過簡單的API和工作流程，提供開發者基本的模型，來重現機器學習相關的研究，PyTorch Hub包含多種預先訓練的模型repository，這些模型是專為加速重現研究所設計，還支援Google的Colab和Papers With Code，且含有許多類型的模型，包含語音、自然語言處理、生成、視覺等類型的模型，其中有Google自然語言處理BERT模型、CNN熱門模型AlexNet，以及Nvidia的語音生成模型WaveGlow等18種模型。</p> <p>PyTorch團隊指出，重現其他研究的實驗是許多領域研究過程中不可或缺的一部分，當然與機器學習技術相關的研究更是如此，不過，許多機器學習技術相關的論文不是無法重現，就是難以重現，且研究論文的數量不斷地在增加，使得重現研究變的越來越重要，即使有些論文會附上訓練模型的程式碼，但還是有許多步驟需要開發者自行研究，PyTorch的目標就是要為研究打造高品質、簡單可重現的模型，協助開發者重現AI研究，促進新研究的發展。</p> </div></div></div>
2019/6/11 14:45作者何維涓https://www.ithome.com.tw/news/131189
FBI警告：不要以為HTTPS網站很安全，有些暗藏網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/media/2019/190610.aspx" target="_blank">美國聯邦調查局（FBI）最近警告</a>，雖然大家都以為基於HTTPS的網站及瀏覽器上鎖的符號，代表該站的流量是被加密的而能確保傳輸安全，但有愈來愈多的駭客利用人們對HTTPS的信賴執行<a href="https://www.ithome.com.tw/news/120509" target="_blank">網釣攻擊</a>。</p> <p>FBI表示，這些駭客的網釣手法通常是透過電子郵件將人們誘導到被誤認為安全的HTTPS網站，再伺機竊取使用者的機密資料。</p> <p>因此，使用者最好不要輕信電子郵件的名稱，應進一步追究電子郵件內容的意圖；假設收到了來自已知聯絡人的郵件，應該直接打電話或寄郵件予該名聯絡人，而非直接回信。</p> <p>此外，使用者亦因檢查郵件中所夾帶的網址名稱是否有異，例如以.com取代.gov之類的，也不要只因為所造訪的網站是基於HTTPS或有上鎖圖示就相信它，因為它可能根本只是駭客用來混淆視聽的手法罷了。</p> </div></div></div>
2019/6/11 15:15作者陳曉莉https://www.ithome.com.tw/news/131198
美國海關外包商系統遭駭，國內外旅客相片及車牌個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2019/06/10/cbp-data-breach/" target="_blank">Techcrunch</a>、<a href="https://www.theguardian.com/world/2019/jun/10/malicious-cyber-attack-exposes-travelers-photos-says-us-customs-agency" target="_blank">紐約時報</a>、<a href="https://www.theguardian.com/world/2019/jun/10/malicious-cyber-attack-exposes-travelers-photos-says-us-customs-agency" target="_blank">英國衛報</a>等國際媒體周一報導，美國海關的一家外包商遭網路攻擊，導致進出美國及外國旅客臉部及車牌相片遭駭客竊取。雖然官方表示資料尚未公開，但媒體判斷最嚴重情況下，可能已經被張貼到暗網上。</p> <p>美國海關暨邊境保衛局（Customs and Borders Protection，CBP）發佈聲明指出，它的一家外包商於5月31日遭遇「重大惡意網路攻擊」導致資料外洩，但目前還未見到有任何相片流至網際網路或暗網上。</p> <p>美國海關指出，原因出在這家外包商在違反規定及未知會或取得海關授權情況下，將CBP蒐集的旅客相片或車牌相片檔的複本，逕行傳送到公司網路上，之後外包商內部網路又在一次惡意網路攻擊下被入侵，才導致這起資料外洩事件。</p> <p>CBP已經將和此次事件有關的該外包商所有設備移除，並已通知國會及警方，且嚴密監控中。美國海關說CBP系統並未受影響，但不願說明有多少資料被竊、攻擊事件規模、或是有多少美國公民受影響，也不願透露外包商的名稱。</p> <p><a href="https://www.nytimes.com/aponline/2019/06/10/us/politics/ap-us-customs-traveler-data-breach.html" target="_blank">紐約時報</a>引述美國海關發言人指出，受影響人數在10萬以下以及大約1個半月期間經由數個車道進出某一美國邊境的車輛牌照。另外，車牌相片並無其他可辨認身分的資訊。</p> <p>英國媒體<a href="https://www.theregister.co.uk/2019/06/10/us_custom_border_patrol_contractor_hacked/" target="_blank">The Registers</a>則點名這家外包商是名為Perceptics的車牌辨識軟硬體商，該公司號稱其技術可利用監視器影像辨識往來車輛，產品廣泛用於美國的邊境及公路檢查哨。The Registers並<a href="https://www.theregister.co.uk/2019/05/23/perceptics_hacked_license_plate_recognition/" target="_blank">報導</a>，Perceptics的名字出現在於5月底駭客張貼於暗網上的一份文件上，可能是該公司所有IT資料被竊取後公佈暗網的結果。Perceptics 曾證實5月底被駭消息，但周一（6月10日）並未對美國海關資料外洩一事做出評論。</p> <p>此事也再度引發民權團體對美國海關推動的臉部辨識計畫的質疑。CBP今年啟動大規模部署<a href="https://www.ithome.com.tw/news/130161" target="_blank">「離境生物辨識」</a>（Biometric Exit）計畫，要在旅客登機前拍下照片，透過人臉辨識系統來比對旅客長相與簽證上的資料。CBP計畫在2023年以這套系統辨識97%的離境旅客。<a href="https://techcrunch.com/2019/06/10/cbp-data-breach/" target="_blank">美國公民自由聯盟（American Civil Liberties Union）相信</a>，防止美國公民臉部資料外洩最好方法，就是從一開始就不要蒐集和保留這些資料。</p> </div></div></div>
2019/6/11 13:30作者林妍溱https://www.ithome.com.tw/news/131190
新聞媒體聯盟：Google利用新聞內容賺進47億美元的年度營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代表北美2,000家媒體的新聞媒體聯盟（News Media Alliance）本周<a href="https://www.newsmediaalliance.org/release-new-study-google-revenue-from-news-publishers-content/" target="_blank">公布一項研究報告</a>，指出Google利用新聞媒體所產出的內容來帶動該站的流量與營收，估計在2018年替Google賺進47億美元，但卻未支付任何的報酬予媒體。</p> <p><a href="http://www.newsmediaalliance.org/wp-content/uploads/2019/06/Google-Benefit-from-News-Content-SUMMARY.pdf" target="_blank">根據該報告</a>，Google大量地利用新聞媒體內容，例如Google搜尋的結果頁中，新聞所佔比例從16%成長到40%，同時也建立Google News來集結各大媒體所生產的內容，現在Google News在美國的每月不重覆訪客已超越諸如紐約時報、CNN與赫芬頓郵報（Huffington Post）等知名內容</p> <p>此外，YouTube也愈來愈倚賴新聞內容，在美國有20%的新聞用戶是透過YouTube來觀看內容：Google在2015年推出的Accelerated Mobile Pages （AMP），鼓吹新聞網站建立符合AMP結構的內容，但卻是由Google代管。</p> <p>新聞媒體聯盟指責，Google企圖把使用者留在Google的生態體係，儘管利用新聞內容來提高流量或開發產品，在2018年替Google帶進47億美元的營收，卻未支付報酬予創造內容的新聞媒體。</p> <p>新聞媒體聯盟主席David Chavern表示，新聞媒體需要不斷地創造有品質的新聞，外界想要免費的資訊，但記者卻是要支薪的。</p> <p>Google在2018年的全年營收為1362億美元，47億美元對Google來說只是九牛一毛，卻只比全美新聞產業去年的網路廣告營收少了4億美元。</p> <p>新聞產業的生存空間受到Google或臉書等大型企業的擠壓，讓新聞媒體聯盟呼籲應立法替新聞出版業提供一個避風港，允許它們能夠與這些業者協商以達成一個更好的共同協議。美國眾議員David Cicilline已在今年4月提出《新聞競爭及保護法案》（The Journalism Competition & Preservation Act），希望能獲得國會的支持，以挽救瀕危的新聞產業。</p> </div></div></div>
2019/6/11 14:05作者陳曉莉https://www.ithome.com.tw/news/131191
Salesforce以157億美元收購視覺化BI業者Tableau
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周<a href="https://www.ithome.com.tw/news/131150" target="_blank">Google以26億美元買下分析工具Looker</a>後，<a href="https://investor.salesforce.com/press-releases/press-release-details/2019/Salesforce-Signs-Definitive-Agreement-to-Acquire-Tableau/default.aspx" target="_blank">Salesforce.com周一（6月10日）宣布</a>以全股票總值157億美元的天價，收購視覺化商業智慧（BI）工具業者Tableau。</p> <p>雙方已經達成協議，將以Tableau A類及B類普通股以1:1.103的比例、換成Salesforce.com普通股方式，或Tableau股價溢價42%達成收購。根據Salesforce 6月7日之前3天的成交量加權平均股價計算，金額總值為157億美元。本案已獲得兩家公司董事會通過，預計第三季完成收購。</p> <p>創立於2003年的<a href="https://www.tableau.com/about/blog/2019/6/blog-1-110508" target="_blank">Tableau</a>是知名的統計與經濟分析軟體，具備資料採礦及資料視覺化能力，強調以拖拉方式完成分析程序，並以視覺化互動介面方便製作分析圖表。Tableau客戶遍及8.6萬家公司，包括德國漢莎航空、嘉信集團（Charles Schwab）、百事可樂、聯想印度分公司等。</p> <p>Salesforce董事長暨共同CEO Marc Benioff指出，這項收購案將整合全球第一的CRM及全球第一的分析平台，Salesforce和Tableau的結合將可加速共同使命的實現….協助不同層級技能的用戶實現企業轉型。</p> <p>Tableau擁有完整產品線，涵括桌機、行動、伺服器、線上版本、嵌入式分析、資料管理及開發工具，有助於補強Salesforce的業務、行銷應用、CRM、AI分析產品，找出企業大量資料中隱而未現的關聯、模式、市場趨勢或是客戶喜好。</p> <p>本案也是Salesforce史上最大宗收購案。在此之前<a href="https://www.ithome.com.tw/news/106930" target="_blank">Salesforce也曾參與競購LinkedIn</a>，不過最後這家線上人力社交平台落入微軟之手。2018年Salesforce還以65億美元<a href="https://www.ithome.com.tw/news/121961" target="_blank">買下應用整合平台MuleSoft</a>，支援整合企業存放在雲端或本地部署的程式或資料。</p> <p>Salesforce之所以如此大手筆，分析師解釋，收購Tableau有助於Salesforce在商用市場上對抗微軟、SAP。事實上，就連Google、Amazon等雲端業者近年也積極強化分析工具或資料倉儲產品線，以吸引有大數據分析需求的企業。Google上周才宣佈以 26億美元全現金，收購資料分析新創公司Looker，並整合到Google Cloud旗下，成為該公司歷來第四大收購案。</p> </div></div></div>
2019/6/11 11:15作者林妍溱https://www.ithome.com.tw/news/131188
協助企業快速打造推薦模型，AWS推出即時個人化推薦服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.businesswire.com/news/home/20190610005788/en/AWS-Announces-General-Availability-Amazon-Personalize">AWS最近為企業開發者推出即時個人化推薦服務Amazon Personalize</a>，透過內部使用的機器學習技術，協助企業打造自家應用的推薦模型，企業不需要具備機器學習的經驗也能使用，<a href="https://aws.amazon.com/personalize/">該服務為AWS完全託管的服務</a>，提供企業所需的必要基礎設施，並管理整個機器學習模型的流程，包含處理資料、辨識特徵、篩選演算法、訓練、優化和生成結果，AWS指出，該即時個人化推薦服務能夠協助多種類型的應用開發變得更簡單，包含特定商品推薦、個人化搜尋結果、客製化個人行銷等，透過AWS的機器學習模型，訓練、優化和部署個人化的推薦功能。</p> <p>AWS用機器學習模型打造推薦和個人化服務已超過20年，但是要提供企業類似的技術並不容易，由於每個應用案例的多元性，無法有效地在跨多種應用案例中，提供企業單一的客製化演算法，每個應用案例都有自己的獨特性，像是影片、音樂、商品和新聞文章等，都需要獨特的資料集、演算法和優化方式，來產生最佳的結果，而AWS這次推出的Personalize服務是整合了AWS過去的機器學習經驗，提供跨產業應用案例的個人化推薦服務，將企業建置個人化模型的時間，從數個月減少至數天。</p> <p>企業只要提供自家應用的動態資料，像是頁面的瀏覽數、點擊數、註冊人數和購買等相關資料，搭配要推薦的項目庫存清單，像是音樂、影片、商品或是文章等，另外，企業也可以選擇性地提供用戶的其他訊息，像是年齡、地理位置等，Personalize服務會處理並檢視資料，辨識出有意義的數據，再從多個演算法中找出最適合的演算法，接著訓練和優化推薦模型，企業透過API就能取得個人化推薦結果，過程中所有的資料都為企業所有，AWS也會確保資料的隱私性。</p> </div></div></div>
2019/6/11 11:30作者何維涓https://www.ithome.com.tw/news/131187
資安一周第46期：Windows遠端桌面漏洞問題持續成焦點，呼籲用戶儘速修補BlueKeep漏洞，並有新RDP漏洞傳出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h1><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0606-0612一定要看的資安新聞</strong></h1> <p> </p> <h3><span style="color:#B22222;"><strong>＃系統安全　＃遠端桌面服務漏洞　＃Windows</strong></span></h3> <h2><strong>百萬臺系統曝險，美國安局呼籲舊版Windows用戶修補BlueKeep漏洞</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NSA_BlueKeep%E8%AD%A6%E5%91%8A_%E6%93%B7%E5%8F%96%E8%87%AANSA.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自NSA</span></p> <p>五月中微軟發布安全公告，警告舊版Windows遠端桌面服務（Remote Desktop Service，RDS）存在重大遠端程式碼執行漏洞BlueKeep，並且二度催促用戶升級。本周美國國安局（NSA）也罕見呼籲電腦用戶儘速安裝修補程式，同時，NSA也建議企業用戶封鎖防火牆、特別是面對網際網路的TCP Port 3389來封鎖RDP（remote desktop protocol）協定連線、開啟網路層驗證防止遠端程式碼執行、非必要時關閉遠端桌面服務。<a href="https://www.ithome.com.tw/news/131106"><span style="color:#808080;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃製程參數資料安全　＃營業祕密</strong></span></h3> <h2><strong>高科技業機臺代理商工程師涉竊取穩懋VCSEL生產製程參數，檢方偵結起訴</strong></h2> <p>位於臺灣的全球最大砷化鎵晶圓代工廠穩懋，發生VCSEL生產製程參數險遭設備代理商員工竊取事件，去年底經桃園地檢偵辦而曝光。由於VCSEL之產品可應用在3D顯示與人臉面部辨識，未來亦為5G應用的重要技術產品，若關鍵製程技術遭竊，將為臺灣高科技產業帶來重大損失，今年6月4日，桃園地方檢察署發布案件偵結公告，將依營業秘密法起訴原晶機臺設備代理商的李姓工程師與莊姓副理。</p> <p>這起事件發生在去年12月12日，根據桃園地檢署指出，機臺設備代理商原晶當日前往穩懋公司龜山廠，在維護Picosun公司的ALD-D03機臺過程，李姓工程師以預藏之記事本與筆，非法抄錄該機臺內的VCSEL製程參數，由於關鍵製程參數已被穩懋預先刪除，因此李嫌趁隙登入非再維護計畫內的ALD-D02機臺，接續抄錄，經穩懋工程師發覺有異後當場回報逮捕；調查單位隔日訊問原晶公司設備製程莊姓副理，認為他也涉犯此竊取營業秘密罪的嫌疑，並有事實足認為有逃亡、勾串證人之虞，當庭逮捕。<a href="https://www.tyc.moj.gov.tw/media/183104/1080604.pdf"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E6%A1%83%E5%9C%92%E5%9C%B0%E6%96%B9%E6%AA%A2%E5%AF%9F%E7%BD%B2%E6%A1%88%E4%BB%B6%E5%81%B5%E7%B5%90%E5%85%AC%E5%91%8A1080604(1).jpg" style="width: 600px;" /><br /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自桃園地方檢察署案件偵結公告108.06.04</span></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>＃國家資安產業推動計畫　</strong></span></h3> <h2><strong>科技部AI資安攻防競賽成果公布，首獎從缺</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965s%EF%BC%89%E7%A7%91%E6%8A%80%E5%A4%A7%E6%93%82%E5%8F%B02%2B%2BAI%E8%B3%87%E5%AE%89%E6%94%BB%E9%98%B2%E6%88%B0%E6%B1%BA%E8%B3%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%A7%91%E6%8A%80%E9%83%A8.jpg" style="width: 200px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／科技部</span></p> <p>為了鼓勵開發AI與提升物聯網安全，科技部在今年4月宣布舉辦「科技大擂台2：AI資安攻防戰」競賽，經過書面審查的初賽，到專家代表團評分的複賽，最終在本月9日進行決賽，由評審團依創投與業界標準，就參賽團隊之技術水準與市場潛力，進而推薦出首獎及二獎各1名。最終，由互聯安睿資通、安華聯網科技與杜浦數位安全進入決賽，其中杜浦數位安全的端點智能威脅鑑識平臺，成為這次活動最大贏家，獲頒二獎並領取獎金500萬元，但首獎從缺，2,000萬元最大獎無團隊領取。<a href="https://www.most.gov.tw/folksonomy/detail?subSite=main&article_uid=30d3f20d-2fd0-4b0e-b7ba-2ead02e0e651&menu_id=9aa56881-8df0-4eb6-a5a7-32a2f72826ff&l=CH&utm_source=rss"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資外洩　＃國泰航空</strong></span></h3> <h2><strong>報告：漏洞管理、資安措施不當，導致國泰航空950萬筆個資外洩</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%9C%8B%E6%B3%B0%E8%88%AA%E7%A9%BA%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9%E8%AA%BF%E6%9F%A5%E5%A0%B1%E5%91%8As_%E6%93%B7%E5%8F%96%E8%87%AAPCPD.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自PCPD</span></p> <p>國泰航空去年10月爆發系統遭駭、950萬名客戶個資外洩事件。上周香港隱私管理機關（PCPD）公布調查報告，揭露這是兩個駭客組織行動結合國泰航空多項資安措施不當及管理疏漏的結果。報告中指出，國泰航空總共有4個系統遭駭，包括飛行常客會員忠誠度系統、會員報表系統、網頁應用後端共享資料庫、以及一個讓亞洲萬里通會員兌換非航空回饋商品的資料庫，這些系統都是彼此分開而不相關。</p> <p>同時，香港政府歸納這起事件原因，涵括漏洞管理、安全技術疏失、資料治理不當等原因。例如，國泰航空一年才做一次漏洞掃瞄以致於未能及時發現漏洞；將網頁伺服器管理員管理介面曝露在網際網路，讓駭客得以有機可趁；對有IT系統權限的遠端用戶未實施多因素驗證導致憑證被竊。<a href="https://www.ithome.com.tw/news/131161"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃演算法安全　＃SHA-1　＃蘋果</strong></span></h3> <h2><strong>iOS 13、MacOS Catalina終止支援SHA-1雜湊演算法</strong></h2> <p>繼Google、微軟及Mozilla之後，蘋果最近也宣布，最新作業系統iOS 13及macOS 10.15（Catalina），也將不再支援SHA-1雜湊演算法。在蘋果網頁公布最新iOS及macOS對信任憑證的要求中，所有TLS伺服器憑證及發布的憑證認證機構（CA），都必須使用SHA-2雜湊演算法。預訂今年秋天釋出的行動和桌機作業系統，將不再信任SHA-1簽章的憑證，即不再支援使用SHA-1簽章產生的HTTPS連線。任何沒升級到SHA-2的TLS伺服器，新iPhone及Mac電腦連接這些伺服器時，將出現連線失敗、App無法執行、網頁無法經由Safari載入等問題。<a href="https://www.ithome.com.tw/news/131136"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃系統安全　＃遠端桌面服務漏洞　＃Windows</strong></span></h3> <h2><strong>Windows 10 RDP漏洞可讓駭客綁架連線</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BE%AE%E8%BB%9FWindows%20RDP%20can%20bypass_%E6%93%B7%E5%8F%96%E8%87%AA%E5%8D%A1%E5%85%A7%E5%9F%BA%E5%A4%A7%E5%AD%B8%E7%9A%84CERT%E5%8D%94%E5%90%8C%E4%B8%AD%E5%BF%83.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自KB.cert.org</span></p> <p>卡內基大學的CERT協同中心警告，新版本Windows 10的遠端桌面協定（RDP）出現漏洞，可能使遠端桌面連線遭攻擊者劫持。這個編號CVE-2019-9510的漏洞，出現在Windows 10 RDP用戶端使用網路層級驗證（NLA），由於Windows 10 1803和Server 2019之後的新版本中，NLA RDP連線的處理過程變更過，因而出現本漏洞。一旦網路異常導致RDP連線暫時中斷，等網路連線恢復、RDP重置時會回到未鎖定狀態，而非應有的驗證碼輸入視窗。不過，在研究人員通知微軟後，微軟評估未達風險層級，短期內也不打算修補。<a href="https://www.ithome.com.tw/news/131133"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3> <h2><strong>感染勒索軟體的巴爾的摩市，後續重建成本將近2千萬美元</strong></h2> <p>在今年5月初，美國馬里蘭州的巴爾的摩市（Baltimore City）遭到勒索軟體攻擊，該市的長官在一個月後公布善後結果，指出解決此一攻擊的成本最高可能達到1,800萬美元，其中的1,000萬美元是用來清除勒索軟體並更新軟硬體設備，即便如此，迄今巴爾的摩市的IT服務尚未完全恢復正常。</p> <p>雖然，駭客向巴爾的摩市勒索13個比特幣，依現有價格計算約為10萬美元。不過，該市的副參謀長Sheryl Goldstein表示，他們所收到的來自各聯邦機構的建議都是：不要付款。而且，就算支付了贖金，大概只有50%的機會能夠取回被壓縮的檔案，此外，長期來看該市還是要想辦法保護自己的IT架構。<a href="https://www.ithome.com.tw/news/131140"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃資料外洩　＃委外資料安全</strong></span></h3> <h2><strong>美國討債公司AMCA資料外洩，危及眾多醫療院所病患個資</strong></h2> <p>資安業者Gemini Advisory今年2月在黑市發現，駭客正在兜售20萬筆的支付卡資訊，追查之下發現相關資訊源自於，專替醫療診所追討病患欠費的American Medical Collection Agency（AMCA），因該公司內部系統遭駭，目前已導致近2千萬名合作病患的個資外洩。</p> <p>本周相繼傳出美國臨床診斷公司Quest Diagnostics與LabCorp都收到AMCA的通知，顯示這兩家醫療組織分別有1,190萬名病人及770萬名病人的資料外洩。而外界則擔心，AMCA的資料外洩事件恐波及更多的醫療院所，很快就會有其它的受害者浮上檯面。<span style="color: rgb(128, 128, 128);"><a href="https://www.ithome.com.tw/news/131139">更多內容</a></span><br /> </p> <h4><span style="color:#0099ff;"><strong>更多資安動態</strong></span><br /><a href="https://www.ithome.com.tw/news/131147">加密貨幣交易平臺Cryptohopper有山寨版，可竊取受害者資料</a><br /><a href="https://www.ithome.com.tw/news/131157">BGP路由洩露將歐洲行動流量導至中國電信</a><br /><a href="https://www.ithome.com.tw/news/131095">macOS安全專家公布蘋果最新作業系統的零時差漏洞</a><br /><a href="https://www.ithome.com.tw/news/131174">Elastic買下終端安全業者Endgame Stack</a><br /><a href="https://www.ithome.com.tw/news/131158">俄羅斯打算封鎖9家不聽話的VPN業者</a><br /><a href="https://www.ithome.com.tw/news/131110">被嵌入BeiTaAd廣告外掛的Android程式恐讓手機難以使用</a><br /><a href="https://www.ithome.com.tw/news/131109">0patch出面修補了Windows工作排程器漏洞</a><br /><a href="https://www.ithome.com.tw/article/131057">網站安全亮紅燈！帳號填充攻擊來勢洶洶</a></h4> </div></div></div>
2019/6/11 10:11作者羅正漢https://www.ithome.com.tw/news/131176
教AI踢足球！Google大腦開源足球遊戲增強學習環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2019/06/introducing-google-research-football.html">Google大腦在GitHub上開源了足球人工智慧研究專案Google Research Football</a>，這是一個研究增強學習的環境，目標是讓人工智慧代理掌握足球這項運動，能讓代理人控制遊戲中的足球運動員，學習互相傳球，或是進行防守等足球技巧。</p> <p>增強學習在人工智慧研究領域是熱門的技術，已經被用於解決許多複雜問題上，像是機器人或是自動駕駛等應用。而將增強學習用於遊戲中，能夠加速增強學習技術的發展，從較早期與人類對弈的AlphaGo，到更複雜的即時戰略遊戲並與人類對戰，像是OpenAI在遊戲Dota 2中開發OpenAI Five，與人類玩家打得平分秋色，以及近期Deepmind開發的人工智慧AlphaStar，在星海爭霸 2中慘電職業玩家。</p> <p>遊戲提供了安全且可重複的試驗環境，讓開發者快速的測試想法，而現在Google釋出的Research Football環境，則提供研究人員更有挑戰性的環境，Google提到，足球遊戲對於人工智慧是更有挑戰性的主題，因為足球需要在短期控制的能力、學習像是傳球之類的概念，和更困難的戰術之間取得平衡。</p> <p>Google Research Football環境由三個主要部分組成，包含了高度最佳化的遊戲引擎稱足球引擎（Football Engine），還有稱為足球基準（Football Benchmarks）的一系列具挑戰性的研究問題，以及足球學院（Football Academy）提供難度漸增的增強學習情境。Football Engine能根據兩支球隊的輸入動作，模擬完整的足球比賽，像是進球、犯規或是角球等各種情況，其採用最佳化的C++開發而成，可在一般的電腦上運作，使用六核心電腦運算，每天約可模擬球員移動2,500萬步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202019-06-05%20at%201_38_14%20PM.png" style="width: 600px;" /></p> <p>這個Football Engine能良好地支援增強學習訓練，讓代理人在不同的狀態中進行學習，這些狀態包括表達球員位置的語意等，並且為了讓研究人員研究隨機性對增強學習的影響，Football Engine預設啟用隨機模式，當然開發者也可以自行選用確定性模式進行實驗。Football Engine開箱即用，而且支援受廣泛使用的OpenAI Gym API。</p> <p>Google根據Football Engine的增強學習研究，提出了一系列基準問題，根據對手的實力不同，分為三個版本分別是簡單、終極以及困難。Google提供了兩種熱門的演算法DQN與IMPALA，讓開發人員作為參照，Google提到，簡單基準適合應用單一機器的演算法，而困難基準則是由分散式深度學習演算法來處理。</p> <p>足球學院提供各種難度的場景，讓研究人員實現新的研究想法，以測試更高階像是傳球的概念，並從難度逐漸提升的場景中學習，習得快速在球員間快速傳球的技巧，或是反擊等技巧，Google提到，在Google Research Football環境中，只要使用簡單的API，研究人員就能夠讓代理學習解決各種問題。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/--ZLpcuDy8cg/XPqSR94pTsI/AAAAAAAAEMw/kx7V--J0oMMiA1wxjlCvNna9TISsafANgCLcBGAs/s640/image9.gif" style="width: 300px;" /><img alt="" src="https://1.bp.blogspot.com/-TUBhhZ-HpQ4/XPqSRu7enTI/AAAAAAAAEMs/VBSMPbkOM4cXnJvTwX5fs9wQDC8iATYAACEwYBhgL/s640/image8.gif" style="width: 300px;" /></p> <p>Google Research Football環境提供了一個深度學習研究的環境，Google提到，開發人員可以把Football Benchmark以及Football Academy想像成互動環境中固定的一部分，待代理人獲得足夠訓練後，就能加入動態另一方進行對戰，適應對方的動態行動以及戰略，進行更有挑戰性的研究。</p> </div></div></div>
2019/6/11 10:55作者李建興https://www.ithome.com.tw/news/131178
Azure地圖提供MaaS讓企業為App整合公共運輸應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/announcing-mobility-service-for-azure-maps-sdks-updates-and-more/">微軟為Azure地圖服務加入了公共運輸服務（Mobility Service）</a>，讓企業能將公共運輸系統的資訊，加入到資產追蹤或是物聯網等應用程式當中，同時也更新了Azure地圖SDK，以及地圖繪製的制圖法和樣式。</p> <p>由於微軟去年與MaaS（Mobility as a Service）供應商Moovit合作，現在釋出合作成果，在Azure地圖中加入大眾運輸的轉乘資訊應用，應用程式可以透過Azure地圖存取公共運輸的資訊，並提供各種交通分析結果，包括共享自行車、機車與汽車等詳細訊息（下圖）。另外，公共運輸服務也能提供運輸趨勢分析，包括公共運輸乘客量、不同交通方式的成本以及益處，甚至路邊停車費用也能列入考量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/60b808d1-a8a4-4498-bd44-35c5374a20c3.png" style="width: 600px;" /></p> <p>公共運輸服務也支援旅行計畫，能為用戶提供最佳旅行模式建議，像是在都市中步行、騎自行車或是搭乘大眾運輸工具，並且能取得符合各種條件的路線，像是最少步行、最少轉乘，或是指定所需的出發與到達時間。</p> <p>而在新版本的Azure地圖網頁SDK，微軟加入了一個新的繪圖工具模組，讓使用者可以使用滑鼠或是觸碰的方式，在地圖上繪製點、線以及多邊形，也還加入了許多空間數學計算功能，可以計算多邊形區域，或是找出最近點或是線。</p> <p>在地圖樣式上，這個版本提供了一個全新的淺灰配色，讓用戶不只可以使用深灰主題，也能在較小對比的地圖上顯示自定義的資料，用戶可以同時在Azure地圖網頁SDK和Android SDK中，使用淺灰地圖配色。微軟也為地圖的人行道加入更多細節，改善了城市地區和公園的外觀。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fd8682b1-e8ad-4f32-b72f-7dd51c973d1c.png" style="width: 600px;" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/493f4c80-eeed-4f3d-a52a-9db1a0763e27.png" style="width: 600px;" /></p> </div></div></div>
2019/6/11 11:15作者李建興https://www.ithome.com.tw/news/131179
Azure機器學習服務正式推出時間序列預測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/build-more-accurate-forecasts-with-new-capabilities-in-automated-machine-learning/">微軟雲端機器學習服務，推出時間序列推薦新功能</a>，包括了新的預測函式、時間序列交叉驗證（Rolling Origin Cross Validation）以及時間視窗聚合功能等，除了能減少預測模型可能發生的誤差外，也套用新的模型特徵增加預測精準度。</p> <p>用戶在處理時間序列資料時，根據預測應用的情境不同，需要更縝密地考量資料的狀態，像是可能需要針對每個預測重新訓練模型，或是克服歷史資料存在斷層的狀況（下圖），而微軟新加入的預測函式，是一種檢索預測值的新方法，能夠解決以上的問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/f22189d0-2856-4972-b8ea-d2320f0727ce.png" style="width: 600px;" /></p> <p>物聯網的應用常會遇到訓練與預測資料存在差距的狀況，而使得訓練出來的模型變得不精準，微軟解釋，資料的變化應該反映在模型訓練上，但對於物聯網這類高頻率的應用，感測器的資料不斷變化，且受外部影響甚巨，因此即時重新訓練模型顯得不切實際。而新的預測函式則可以讓用戶新增近期預測上下文（Prediction Context），自動修正因資料斷層帶來的模型預測誤差，內插必要的訓練與預測上下文。</p> <p>在時間序列資料驗證上，微軟為用戶提供了時間序列交叉驗證功能，微軟表示，交叉驗證是量測和減少模型採樣錯誤的重要程序，但當資料進行分區（Partitioning）卻不考量時間因素，可能導致預測錯誤，因為在時間序列資料上，必須確保測試的資料僅能使用過去的值。</p> <p>而使用時間序列交叉驗證作為評估時間序列資料的機器學習標準方法，會使用一個原始時間點（Origin Time Point）切開訓練和驗證資料，藉由滑動原始時間點產生交叉驗證折疊，以確保資料正確的順序。時間序列交叉驗證會在預測功能中自動應用，用戶只需要傳遞訓練和驗證資料，以及想要進行交叉驗證的折數即可。</p> <p>時間序列推薦功能中，也增加了滯後（Lags）和時間視窗聚合以增加預測的精確度，在Azure機器學習服務中的自動化機器學習，用戶現在可以指定目標滯後作為模型的一種特徵，並設定資料滯後的時間區間長度。另外，用戶可能可以需要設定一個時間視窗，以聚合時間視窗中的數值，對於預測能源需求的這類應用特別有用，用戶可以將時間視窗設定為三天（下圖），將不同的影響因素都納入考量。微軟提到，滯後與累加功能，能提供額外的資料特徵，因此可在提升模型的準確性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03d6941-a7b8-4023-a4ab-d8f56751bfe4.png" style="width: 600px;" /></p> <p>針對銷售等容易受假日影響的預測應用，微軟新增了假日功能，系統可以在現存的資料集中，為每一個假日創建一個視窗，用於精確的預測假日對模型的影響，微軟表示，由於假日對於特定應用影響很大，行為模式甚至與平常日子完全不同，因此現在支援110個國家超過兩千個節日，用戶只要在時間序列設定中，輸入國家代碼，系統便會自動修正模型在假日中的行為。</p> </div></div></div>
2019/6/11 10:17作者李建興https://www.ithome.com.tw/news/131175
一窺臺廠2020伺服器產品布局
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的臺北國際電腦展剛落幕，根據共同主辦單位台北市電腦公會的資料，總共有1,685家廠商使用5,508個展位，來自171個國家、42,495名買主，比去年成長了0.5％，而在展覽空間上，因為南港二館新啟用的關係，展出面積也增加了10％。</p> <p>這段期間，也舉辦了許多大型研討會，像是COMPUTEX論壇、InnoVEX論壇、臺北5G國際高峰會，而且，AMD、Intel、微軟都在臺北國際會議中心舉辦了展前記者會、開場主題演講。場外，也有Arm、Nvidia、Qualcomm在附近的飯店召開展前記者會，同時，我們也看到其他廠商租借展覽空間或在自家公司的辦公室，以半公開或邀請制等方式招攬買主，前往現場了解近期或即將推出的產品與技術。</p> <p>今年我逛展的目標，仍是以資料中心基礎架構的解決方案為主，首先踏入的地方是臺北國際會議中心，跟去年一樣，這裡的1樓空間，有雲達（QCT）和緯穎（Wiwynn）等兩家伺服器廠商的展區，Intel也在這裡設置了物聯網解決方案展示區。可惜的是，AMD和Micron雖然也在2樓租了場地，卻並未對外開放參觀。</p> <p>今年這兩家伺服器廠商的重點，都在於網路方面的應用，例如，支援Intel第三季推出的OCP NIC 3.0乙太網路卡，以及適用於5G網路、邊緣運算與AI的伺服器，但總體來看，陳設的產品數量明顯比去年要少。</p> <p>例如，雲達展出了年初主推的新一代電信虛擬化架構解決方案，稱為Next Generation Central Office（NGCO），以及該公司去年推出的32埠400GbE交換器，也就是QuantaMesh T9032-IX9，以及80埠的100GbE交換器QuantaMesh T7080-IXA。</p> <p>至於緯穎，秀出他們最新開發出來的5G邊緣運算平臺EP100，以及去年發表、搭配16個Nvidia Tesla V100 GPU的HGX-2 System。</p> <p>該公司展區入口的中間，則展示了兩相浸沒式液冷技術的解決方案，相當引人注目。這當中結合了48V直流電供應、氟化電子液（Fluorinert electronic liquids），是他們與3M合作的產物，可用於符合OCP Tioga Pass標準的伺服器主機板，最大能支撐100臺2路伺服器的運算密度，提供更好的能源使用效率（亦即較低的PUE）。</p> <p>此外，同為緯創集團的啟碁科技（Wistron NeWeb Corporation，WNC），也在緯穎這裡擺設了產品，他們展示了32埠的400GbE交換器OSW12800，以及32埠的100GbE交換器OSW3200。</p> <p>而在南港展覽館的部份，我參觀了幾家伺服器廠商的區域，像是：營邦（AIC）、泰安（Tyan）、永擎（ASRock Rack）、華碩、Supermicro、技嘉等，網路設備廠商的部分，則是前往鈺登（Edgecore）的展區。</p> <p>以營邦為例，除了儲存伺服器的部份，他們特別設立專區，展現了進軍組合式基礎架構（Composable Infrastructure）的企圖心──以PCIe交換器為中心，讓伺服器連接具有支援EDSFF E1.S、NF1這類短板NVMe SSD的伺服器，以及容納多種PCIe裝置的外接機箱（Just Bunch of PCIe eXtension，JBOX）；同時，他們也有SmartNIC的解決方案，以及支援NGD System這類運算型儲存裝置的產品。</p> <p>在泰安的展區當中，最受矚目的莫過於Thunder SX TN76-B7102，這款2U、2路架構的GPU伺服器旁邊，特別標示了Nvidia EGX，呼應了Nvidia在這段期間發布的消息──EGX是Nvidia推動邊緣AI（AI at the edge）的加速運算平臺，下可含括Jetson Nano這樣的開發板，上可延伸到搭載Nvidia T4加速卡的伺服器，而泰安正是支援這項策略的廠商之一。同時，他們還有一款2U尺寸的JBOF，可支援100GbE網路的連接，內建2個控制器，相當特別。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">資料中心基礎架構</a></div><div class="field-item odd"><a href="/tags/computex">Computex</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E5%8C%97%E5%9C%8B%E9%9A%9B%E9%9B%BB%E8%85%A6%E5%B1%95">臺北國際電腦展</a></div></div></div>
2019/6/10 14:14作者李宗翰https://www.ithome.com.tw/voice/131163
Elastic買下終端安全業者Endgame Stack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造Elasticsearch文件導向資料庫的<a href="https://www.elastic.co/cn/blog/endgame-joins-forces-with-elastic" target="_blank">Elastic宣布</a>將以2.34億美元買下終端安全業者<a href="https://www.endgame.com/news/press-releases/elastic-announces-intent-acquire-endgame" target="_blank">Endgame Stack</a>。Elastic打算以股票及替Endgame Stack償還約1,400萬美元的債務，取得Endgame Stack的所有權，預計於今年第三財季完成交易。</p> <p>Endgame Stack主要開發終端保護平台，宣稱可用來取代防毒軟體、防開採、危害指標搜尋引擎等安全工具，以減少終端環境的複雜度及安全成本。</p> <p>Elastic則說，買下Endgame Stack將讓該公司可提供鎖定終端的全面解決方案，並整合到Elastic既有的安全資訊與事件管理（Security Information and Event Management，SIEM）平台上，藉由Endgame的終端保護（EPP）與終端檢測及響應（EDR）技術來強化企業終端的威脅防禦能力。</p> <p>此一交易已通過雙方董事會的核准，尚待監管機關及股東的同意。</p> </div></div></div>
2019/6/10 16:00作者陳曉莉https://www.ithome.com.tw/news/131174
微軟、杜克及史丹佛悄悄撤下人臉辨識資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦視覺暨隱私研究人員Adam Harvey最近揭露，<a href="http://megapixels.cc/datasets/" target="_blank">微軟、杜克大學及史丹佛大學已悄悄地撤下了原本採用了創用CC（Creative Commons）授權的人臉辨識資料庫</a>。</p> <p>其中，微軟在2016年上傳的MS Celeb號稱是全球最大的公開人臉辨識資料庫，存放了820萬張人臉照片；杜克大學的Duke MTMC則存放200萬張人臉；史丹佛大學的Brainwash則有約1.2萬張的人臉照片。</p> <p>外界猜測<a href="https://www.fastcompany.com/90360490/ms-celeb-microsoft-deletes-10m-faces-from-face-database" target="_blank">這些組織的舉動</a>與<a href="https://www.ft.com/content/cf19b956-60a2-11e9-b285-3acd5d43599e" target="_blank">金融時報在今年4月刊出的一篇報導有關</a>。當時Harvey在一個人臉辨識的資料庫中發現了朋友Jillian York的照片，York在電子前線基金會（Electronic Frontier Foundation，EFF）任職，而Harvey則是在美國政府研究組織Iarpa旗下的人臉辨識專案Janus中看到York的多張照片，包括York在不同時期所拍攝的照片，以及在YouTube影片中的人臉鏡頭。</p> <p>York說她並不知道自己的照片被收藏了，而且連10年前的照片都有。</p> <p>Harvey的分析則發現，此一委外建置的Janus人臉辨識資料庫蒐集了逾2萬張的人臉，平均每個人具備6張照片及3張從影片中擷取的照片，並採用CC授權，除了York之外，資料庫中至少還有3名EFF董事會成員、1名記者、1名科技作家及3名中東政治家，不過，沒有一個人曾被徵求同意，他們都不知道自己的照片被納入人臉資料庫了。</p> <p>CC授權為一網路版權協議，代表這些資料庫可被複製或使用，且同時支援學術與商業使用，等於是任何人都可存取。而不管是MS Celeb、Duke MTMC、Brainwash或Janus都可被用來訓練各種人臉辨識模型。</p> <p>不只是Janus專門蒐集名人的臉部資料，微軟的MS Celeb也是。</p> <p>微軟並未承認MS Celeb是因為該篇報導而被撤下，只表示那是個基於學術目的的網站，而原本負責的員工離職了，於是微軟便刪除了該資料庫。</p> <p>不過，就算這些人臉資料庫已被下架，但它們也許還躺在全球研究人員的硬碟裡，或者有朝一日仍然會在網路上曝光。</p> </div></div></div>
2019/6/10 14:50作者陳曉莉https://www.ithome.com.tw/news/131162
報導：臉書將禁止華為手機預載FB、WhatsApp與IG程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-huawei-tech-usa-facebook-exclusive/exclusive-facebook-suspends-app-pre-installs-on-huawei-phones-idUSKCN1T80D7" target="_blank">路透社</a>及美聯社近日相繼報導，臉書將禁止新的華為手機預載Facebook、WhatsApp與Instagram（IG）等行動程式。<a href="https://news.yahoo.com/facebook-stops-huawei-pre-installing-131620267.html" target="_blank">根據報導</a>，就算是既有的華為手機型號，只要尚未出廠，就不得預載上述3款臉書程式。</p> <p>不過，舉凡是持有已經預載上述程式的華為用戶，依然可以繼續使用並更新相關程式，此外，就算手機內沒有預載程式，新的華為手機用戶也能自行下載這3款程式。</p> <p>美國商務部在今年5月中將華為列入禁止出口名單（Entity List），禁止美國境內的業者出口任何技術或產品予華為，等於是切斷了華為的手機供應鏈。</p> <p>根據IDC今年第一季的調查，華為現為全球第二大手機製造商，市佔率為19%，僅次於三星的23.1%，領先蘋果的11.7%。在禁令生效之後，已傳出<a href="https://www.ithome.com.tw/news/130769" target="_blank">英特爾、高通、博通</a>及ARM等晶片業者都不再供貨給華為，<a href="https://www.ithome.com.tw/news/130724" target="_blank">Google亦中止</a>未來的華為手機取得Android、Play Store、Gmail及YouTube的授權，現在臉書則跟上了Google的腳步。</p> <p>目前看來這些禁令屬於企業與企業之間，華為無法再取得相關程式的預載授權，但購買華為手機的消費者則可自行下載。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/130772" target="_blank">商務部隨後發布了臨時通用許可</a>（Temporary General License），可確保華為在8月19日之前仍能取得來自美國企業的軟體更新與修補，但之後華為的前途未卜。</p> <p>為了迎戰美國的封鎖，<a href="https://www.ithome.com.tw/news/130802" target="_blank">華為對外透露</a>最快會在今年秋天推出自家的行動作業系統，除了可相容於所有的Android程式之外，也會打造自己的程式市集。</p> <p>然而，華為的舉動令Google更加擔憂。金融時報引述消息來源報導，Google正在遊說商務部讓Google能夠繼續與華為合作，因為Google擔心華為所打造的行動作業系統，將會比正統的Android含有更多的安全漏洞，使得華為的手機更易被入侵，特別是被中國政府入侵，反而會對美國國家安全帶來更大的威脅。</p> </div></div></div>
2019/6/10 12:20作者陳曉莉https://www.ithome.com.tw/news/131160
報告：漏洞管理、資安措施不當，導致國泰航空950萬筆個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/126623" target="_blank">國泰航空去年10月爆發系統遭駭</a>、950萬名客戶個資外洩事件。上周香港隱私管理機關<a href="https://www.pcpd.org.hk/english/news_events/media_statements/files/PCPD_Investigation_Report_R19_15281_E.pdf" target="_blank">公布調查報告</a>，揭露是兩個駭客組織行動結合國泰航空多項資安措施不當及管理疏漏的結果。</p> <p>去年10月國泰航空發出聲明指出，約有940萬名旅客的個資遭到外洩，涵蓋國籍、生日、香港居民身分證、信用卡號碼，以及部份台胞證資料。事後許多<a href="https://www.ithome.com.tw/news/126820" target="_blank">旅客投訴</a>指稱購買過機票的信用卡被盜刷。外界也批評國泰航空3月就得知此事，卻拖到10月才公布。</p> <p>上周香港個人資料私隱專員公署公布根據國泰航空內部報告為基礎做成的調查報告。國泰航空報告發現，這是兩次駭客攻擊的結果。首先，2014年10月中，第一個駭客組織在包含客戶個資的報表資料植入鍵盤惡意程式以竊取員工登入憑證。之後駭客再用偷來的憑證，透過VPN存取航空公司的IT系統，並且在其內網中橫向移動，再植入憑證傾倒（credential dumping）工具以取得網域憑證，這次行動在2018年3月底截止，但此時國泰航空都沒有發現。</p> <p>第二組駭客則發動了兩種型態攻擊。一是開採了面向網際網路的網頁伺服器上的一個漏洞，使其得以繞過驗證機制、取得管理員存取權限，並且可在IT系統上橫向移動、安裝惡意程式及安裝憑證竊取工具。這個漏洞其實從2007年就存在於國泰航空網頁伺服器，也曾經於2017年發生過非授權存取事件。這臺伺服器在2017年3月曾試圖升級，但因為和空中巴士手冊應用系統不相容而留在舊版本，也就用了有漏洞的網頁伺服器。</p> <p>國泰航空宣稱曾在同年3月做過漏洞掃瞄，但未能發現到該漏洞。另一方面，這家航空也說，網頁伺服器上的惡意程式和端點防護也未能偵測到惡意程式和工具程式，因為「沒有任何公開可用的驗證簽章」。</p> <p>第二組駭客另外還在2018年3月對內部網路發動暴力破解攻擊，導致500名員工無法存取自己的帳號，才終於發現入侵而展開調查。但是國泰航空坦承「未能發現有任何帳號已被破解」。最後，有41名員工憑證被竊，並以VPN存取網路，包括管理員、使用者、網頁和服務帳號，並在IT系統中橫向移動。</p> <p>國泰航空總共有4個系統遭駭，包括飛行常客會員忠誠度系統、會員報表系統、網頁應用後端共享資料庫、以及一個讓亞洲萬里通會員兌換非航空回饋商品的資料庫，這些系統都是彼此分開而不相關。</p> <p>香港政府歸納這起事件原因，涵括漏洞管理、安全技術疏失、資料治理不當等原因。首先，國泰航空一年才做一次漏洞掃瞄以致於未能及時發現漏洞；將網頁伺服器管理員管理介面曝露在網際網路，讓駭客得以有機可趁；對有IT系統權限的遠端用戶未實施多因素驗證導致憑證被竊。</p> <p>此外，國泰航空在資料中心搬移時也未加密資料備份檔，陷旅客個資於風險中；用戶資料分散儲存卻沒有統一管理，以致於無法在最快時間掌握被駭災情。研究人員並批評國泰航空緊覺性不足，2017年發生過非授權存取事件卻沒有記取教訓而未及早發現漏洞。主管機關還發現，國泰航空持有24萬名香港居民身分證的時間（13年）也超過規定時限（7年），增加旅客個資外洩的風險。</p> <p>這次國泰航空外洩的940萬筆資料中，所有用戶的姓名都曝光，還洩露了過半人士的航班編號與日期、職稱及電子郵件。其他資料還包括香港居民身分證24萬筆、港澳居民回鄉證及台胞證等證件31萬筆。此外，430筆信用卡號外洩，但其中403筆過期。</p> </div></div></div>
2019/6/10 12:50作者林妍溱https://www.ithome.com.tw/news/131161
BGP路由洩露將歐洲行動流量導至中國電信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.oracle.com/internetintelligence/large-european-routing-leak-sends-traffic-through-china-telecom" target="_blank">甲骨文（Oracle）的安全分析師Doug Madory</a>在6月6日觀察到另一起BGP路由洩露（Route Leak）的事件，把歐洲的行動流量導至中國電信（China Telecom）的架構上，不但繞了一大圈，還發現這類的錯誤通常只維繫幾分鐘就會被修正，這次卻<a href="https://arstechnica.com/information-technology/2019/06/bgp-mishap-sends-european-mobile-traffic-through-china-telecom-for-2-hours/" target="_blank">延續了兩小時</a>。</p> <p>ISP或Google等業者建立了數萬個自治系統（Autonomous System，AS）來連結全球網路，這些AS透過BGP協定所宣告的連結路徑來與其它AS交流。而根據網際網路工程任務組（Internet Engineering Task Force，IETF）的定義，BGP的路由洩露代表路由宣告的傳播超出了預期的範圍，違反傳送方、接收方或路徑中的AS所預期的政策，大部份是因錯誤配置所造成，但也可能是惡意行為，把流量導向其它路徑可能導致監聽、流量分析、過載或黑洞等後果。</p> <p>此事的發生是因由瑞士資料中心代管業者Safe Host所控制的AS21217，外洩了逾7萬個路由給中國電信位於德國的AS4134，中國電信隨之對外散播此一錯誤的路由內容，包括讓AS4134成為連接AS21217的最短路徑，使得原本不需經過AS4134的流量都必須透過該AS傳遞。</p> <p>由於偏離了原本的最短路徑，使得行動網路的流量出現擁塞或遺失的情況。出錯的<a href="https://twitter.com/swisscolo/status/1136935185096871936" target="_blank">Safe Host透過Twitter表示</a>，在這起BGP外洩的事件中，他們並未變更任何的配置，正與硬體供應商及中國電信連袂進行調查。</p> <p>Madory則說，此一意外除了透露出大家尚未解決BGP洩露問題之外，也彰顯了身為全球主要電信業者之一的中國電信依然未採用最基本的路由保障措施，該公司不但廣為傳播外洩的路由，也未能在事件發生時即時偵測與修復。</p> <p>中國電信被撻伐的原因之一，是該公司習慣不設防地直接接收與傳遞任何的BGP路徑宣告。此外，Madory表示，這類的路由洩露事件通常只會持續幾分鐘，但這次卻延續了兩小時，已足以降低全球的通訊能力。</p> </div></div></div>
2019/6/10 11:45作者陳曉莉https://www.ithome.com.tw/news/131157
俄羅斯打算封鎖9家不聽話的VNP業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門監督俄羅斯資訊通訊產業與大眾媒體的Roscomnadzor，在今年3月底要求境內的10家VPN業者介接俄羅斯聯邦政府資訊系統（FGIS），以於VPN服務中封鎖在俄羅斯遭禁的網站，然而根據俄羅斯通訊社<a href="https://www.interfax.ru/russia/664085" target="_blank">Interfax的報導</a>，只有1家VPN業者遵守Roscomnadzor的規定，使得Roscomnadzor計畫封鎖其它9家VPN業者。</p> <p>當初被Roscomnadzor點名的VPN業者包括NordVPN、ExpressVPN、TorGuard、IPVanish、VPN Unlimited、VyprVPN、Kaspersky Secure Connection、HideMyAss!、Hola VPN與OpenVPN。</p> <p>Roscomnadzor負責人Alexander Zharov向Interfax透露，在他們所通知的10家VPN業者中，只有卡巴斯基（Kaspersky Secure Connection）乖乖地介接FGIS，其它的業者不是沒有回應，就是在官網上公開表示不會遵循此一規定，而法律早就規定若不遵循即會被封鎖，因此他們即將採取行動，可望會在1個月內實施。</p> <p>外電分析指出，俄羅斯逐漸走向與中國一致的「防火長城」（Great Firewall）策略，未來還可能有過之而無不及，除了要求VPN業者介接FGIS之外，當地的Yandex、Sputnik、Mail.ru、Rambler及Google等搜尋引擎，也都在Roscomnadzor的要求下介接了FGIS，過濾了當地政府所封鎖的網站。</p> <p>此外，俄羅斯總統普丁（Vladimir Putin）亦於5月簽署了被稱為「主權網路」的No. 608767-7法案，允許Roscomnadzor建立一個得以封鎖外界網路的系統，<a href="https://gizmodo.com/russia-plans-to-block-major-vpns-as-next-step-in-closin-1835326332" target="_blank">讓俄羅斯脫離全球網路</a>，並傳出當地的ISP業者已經展開測試。</p> </div></div></div>
2019/6/10 11:50作者陳曉莉https://www.ithome.com.tw/news/131158
Amazon Ring自行將錄下的可疑人物影像公布聲稱要幫警察抓賊，引發爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下的智慧保全子公司Ring最近在臉書上刊登了一則<a href="https://www.facebook.com/watch/?v=2157318877904079" target="_blank">影片廣告</a>，畫面是由Ring的門鈴攝影機所拍下，廣告中出現的是疑似偷走客戶錢包的女竊賊，Ring希望居住在加州山景城的人們可以協助辨識，並向警方報案，但這樣的作法卻引起了爭議。</p> <p>其實山景城的警方也<a href="https://www.mountainview.gov/news/displaynews.asp?NewsID=1456&TargetID=9" target="_blank">張貼了公告</a>，提供了該名嫌犯的照片，宣稱失主在是5月22日遺失了放在車子裡的錢包，而且竊賊還企圖盜刷她的信用卡。</p> <p>攝影機所拍到的不是實際的行竊行為，而是一名行跡可疑的女子企圖拉開某部車的車門但未成功的影片。</p> <p>根據北美新聞媒體<a href="https://www.vice.com/en_us/article/pajm5z/amazon-home-surveillance-company-ring-law-enforcement-advertisements" target="_blank">Vice的報導</a>，山景城警方並未要求Ring協尋，而Ring則說，此一廣告是用來鼓勵社群協助警方找到嫌犯以確保社區的安全，已徵得用戶的同意，且該廣告只向居住在附近的使用者投放。</p> <p>不過，仍然有使用者質疑Ring此舉的合法性，例如將一個只是涉嫌而非被定罪的影片公諸於世，還可能波及那些只是長相類似的女子。</p> <p>Vice則批評，這分明只是Ring的行銷手法，而且Ring所打造的Neighbors程式也允許用戶互相或與警方分享監控內容，不論是Amazon的人臉辨識系統或是Ring，都是想藉由持續的監控狀態來安撫人們的恐懼，最終將造成人們對陌生人的不信任。</p> </div></div></div>
2019/6/10 12:05作者陳曉莉https://www.ithome.com.tw/news/131159
Google釋出Android Q第4測試版以及最終定案的開發者API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/06/android-q-beta-4-and-final-apis.html">Google發布了最新的Android Q測試版本</a>，這個版本包括了Pixel和Android Emulator的最新Android Q系統映像檔、最終API以及官方API 29 SDK，還有Android Studio的更新建置工具。不過，截至6月8日當天，Android Q第4測試版安裝出現問題，官方當時暫時停止OTA更新。</p> <p>Android Q提供一系列新的API，可供開發者為自己的應用程式加入不少新功能，以及額外的安全控制。在Android Q中，開發者可以利用新的API為應用程式加入可折疊裝置的支援，或是手勢導覽功能，而且由於Android原生支援了暗黑主題，因此開發者在應用程式也能更簡單地加入深色的介面。Android Q也提供新的網路連接API，讓應用程式更簡單地透過Wi-Fi管理IoT裝置，進行配置、下載和列印等工作。</p> <p>在多媒體方面，Android Q提供相機應用程式動態深度格式（Dynamic Depth Format，DDF），當相機在拍攝的時候，會以單獨的檔案儲存深度資料，因此應用程式可以同時請求JPG圖檔以及深度元資料（下圖），用作圖片後製。應用程式可以使用Android Q提供的AV1格式串流影片，並使用HDR10+支援高動態影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-06-08%20%E4%B8%8B%E5%8D%882_20_10.png" style="width: 600px;" /></p> <p>Google在前一個版本API 28中，提供了新的生物特徵辨識API BiometricPrompt，用於支援指紋身份認證功能，官方提到，所有開發者之前在應用程式中使用指紋辨識，或是其他生物特徵辨識方法，都應該盡快改用這個新的API，而且為了幫助開發者進行轉換，Google已經在AndroidX函式庫加入這個能向後相容的API BiometricPrompt。</p> <p>Google也提醒，現階段已經釋出了Android Q最終版本的API，由於這個版本有許多巨大的變化，開發者應該先進行測試，以確保應用程式的行為在預期之中，Android Q進行了一些隱私變更，像是新的位置授權方式以及背景活動的啟動限制等，而在新功能上，還有Scoped Storage與應用程式全螢幕的權限控制。開發者可以在Android Studio 3.4使用API 29 SDK和工具，或是直接下載Android Studio 3.5 Beta開發Android Q應用程式。</p> <p>而在發布Android Q第4測試版後，Google又在<a href="https://www.reddit.com/r/android_beta/comments/bx56nh/android_q_beta_4_now_available/">網路論壇Reddit</a>更新訊息，他們發現Android Q第4測試版在安裝和更新上有問題，因此暫停了所有Pixel裝置上的第4測試版OTA更新。</p> </div></div></div>
2019/6/10 09:20作者李建興https://www.ithome.com.tw/news/131151
Google正式推出第三代翻譯API，讓企業在地化專有名詞翻譯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/new-translate-api-capabilities-can-help-localization-experts-and-global-enterprises">Google釋出最新的第三代翻譯API正式版本</a>，這個版本強調在地化，讓企業可以根據需求，依特定的地區用詞或是品牌等專用名詞進行翻譯轉換，而新提供的批次操作，則讓用戶以單一操作將檔案翻譯成多語言，有效簡化翻譯流程。由於使用者的需求，Google改善第三代翻譯API的靈活性，用戶可以選擇使用自定義的模型以及預訓練模型。</p> <p>Google在2018年發布的AutoML服務，讓用戶不需要撰寫程式碼，就能夠建立機器學習模型，而其中的AutoML Translation能夠用來客製化翻譯機器學習模型，讓用戶建立自己的語言翻譯應用，但Google提到，AutoML Translation只能滿足部分客製化的需求，而翻譯API則能提供更精細的控制，現在這兩者更好地整合在一起。</p> <p>由於企業會在同一個翻譯專案中，使用客製化模型以及預訓練模型，將專案翻譯成不同的語言，因此Google簡化了模型切換的工作，第三代翻譯API讓用戶可以選擇使用翻譯API的傳統預訓練模型，或是AutoML自定義的模型進行翻譯，而企業能使用相同客戶端函式庫，簡化整體作業流程。</p> <p>另外，在第三代翻譯API中，使用者可以自定義特定名詞或是術語的翻譯，像是內容中的品牌名稱，或是國際企業的網頁在地化翻譯，用戶只需要為來源語言和目標語言，創建企業特定的名稱以及專有名詞對照表，並將這個檔案儲存至翻譯的專案中，當使用者發出翻譯請求，便能根據對照表中的特定字詞抽換翻譯結果，以符合企業需求。</p> <p>現在用戶也能同時翻譯儲存在Google雲端上大量的文字以及HTML檔案，批次翻譯操作，能讓使用者一次選擇多個檔案，使用多個模型將檔案翻譯成多種語言，Google表示，當使用者想將網頁內容翻譯成三種語言，則其中可以在特定語言使用AutoML自定義的模型，而其他語言選用預訓練模型，三種語言的翻譯結果最後會以HTML的形式儲存在雲端。</p> <p>目前第三代翻譯API提供企業每月前50萬個字免費翻譯，而Google也提供了第二代API轉換到第三代的指南，幫助使用者進行轉換。</p> </div></div></div>
2019/6/10 09:30作者李建興https://www.ithome.com.tw/news/131152
Chrome Enterprise 75提供版本回退機制，以應急解決應用程式不相容的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/admin-insider-whats-new-in-chrome-enterprise-release-75">新推出的Chrome Enterprise 75</a>增加了透明視圖，讓管理者能更清楚的查看用戶裝置，並且也讓Windows上的Chrome Enterprise能夠回退到較舊的版本。另外，Chrome Enterprise 75還提供了網頁遠端桌面功能，並且讓Chrome上的Linux應用程式得以使用VPN連接。</p> <p>為了幫助使用者，能夠清楚的掌握組織管理員設定的裝置系統配置，包括功能限制、擴充套件安裝以及印表機等設定，從Chrome Enterprise 73開始，Google允許使用者查看瀏覽器受管理的狀態，而在Chrome Enterprise 75中，更增加了透明度檢視圖（Transparency View），其提供報告功能，可以顯示用戶裝置和帳戶在企業環境中，受管理員控制的程度，為使用者羅列管理員可以查看的資料，以及強制安裝的擴充套件能夠存取的資料，以進一步增強使用者掌握瀏覽器和作業系統狀態的能力。</p> <p>在Windows上安裝的Chrome Enterprise版本，現在能夠往前回退，Google提到，部份時候由於關鍵應用程式的相容性以及工作流程問題，管理者需要將使用者的瀏覽器回退到較舊的版本，過去需要手動卸載新版本並重新安裝舊版本，但這過程繁鎖且容易出錯。為此，Google在Chrome Enterprise 75提供了更加自動化的回退機制，讓管理員進行更具針對性與控制性的回退動作，減少出錯的可能。</p> <p>管理員可以將瀏覽器回退到Chrome Enterprise 72或是更新的版本，但Google提醒，只有最新的版本才提供完整已知的安全性更新，因此這個回退機制只是一個應急的手段，應該謹慎使用。</p> <p>另外，Chrome Enterprise 75加入了強制重新註冊功能，過去裝置丟失或是被盜，從遠端抹除資料之後，如果之後還需要重新註冊到組織的網域中，需要在裝置中重新輸入憑證，從2019年6月開始，強制重新註冊功能將逐步釋出，新使用者與現存用戶，都會收到預設配置，讓託管的Chrome裝置在連接到網路後，不再需要使用者輸入憑證資料，就可以自動完成註冊程序。啟用強制重新註冊功能，管理者仍然可以要求使用者輸入憑證註冊裝置，而且還能阻止特定用戶的註冊。</p> <p>新的網頁遠端桌面Chrome Enterprise 75開始提供，使用者將可以使用到這個增強的遠端連線功能，更流暢的進行多螢幕操作，Google也預告即將加入檔案傳輸功能，而對管理者來說，可以控制用戶使用Chrome進行遠端存取其他電腦的權限。Google建議，在6月30日之後，所有的企業用戶都應該切換使用網頁遠端桌面。</p> <p>而Google在2019 I/O開發者大會上宣布，新版Chromebook可執行Linux，現在為強化了Linux應用的安全性，Google從Chrome Enterprise 75開始支援VPN，讓Linux應用程式得以使用Android或Chrome OS VPN的連接，也就是說所有的Linux虛擬機器網路流量，都會透過已經建立的VPN連接路由。</p> </div></div></div>
2019/6/10 09:40作者李建興https://www.ithome.com.tw/news/131153
報導：GSMA協會聲稱封鎖華為，會讓歐洲5G建設成本大增並拖延進度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-huawei-europe-gsma/europes-5g-to-cost-62-billion-more-if-chinese-vendors-banned-industry-idUSKCN1T80Y3" target="_blank">路透社</a>上周引用了據稱來自GSM協會（Groupe Speciale Mobile Association，GSMA）的產業分析報告，指出若全面禁止購買中國業者所生產的電信設備，將讓歐洲的5G建設成本增加550億歐元（約620億美元），也會讓5G部署延後18個月。但同一篇文章也引述了Nokia的看法，聲稱該結論並不正確。</p> <p>GSMA的分析應該是奠基在美國總統川普（Donald Trump）認為，華為等中國電信業者會遵循中國政府的指示，以在電信設備中嵌入後門或監控通訊，而持續地號召各國與電信業者封鎖華為的電信業務。</p> <p>代表750個電信業者的GSMA則擔心，對華為或中興的全面封鎖會造成嚴重的後果，特別是這兩家業者在歐盟市場的占有率超過40%。</p> <p>不過，華為在電信設備上的競爭廠商Nokia則說此一分析言過其實，該公司所提供的技術解決方案可直接將5G設備覆蓋在其它供應商的4G設備上，既降低了成本也減少了相關轉變的複雜度。</p> <p>此外，Nokia還說該公司的5G訂單數量已超越華為。根據華為的統計，目前該公司已在全球30個國家獲得46個5G商用合約。</p> <p>除了Nokia的反駁之外，路透社也提醒，據說華為是GSMA主要的支持者之一，暗示該報告的走向可能受到華為左右。</p> </div></div></div>
2019/6/10 09:45作者陳曉莉https://www.ithome.com.tw/news/131156
一周大事：iPad專用作業系統第三季問世。本土人臉辨識新突破！每秒偵測8千張面孔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>iPadOS即將問世！</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A3%9C%E5%9C%96_iPadOS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>在開發者大會WWDC 2019上，蘋果宣布將把iOS切分為二，獨立出專為iPad設計的作業系統iPadOS，改版主螢幕（Home Screen）畫面、支援多工、支援USB碟及SD卡，此外，還可能支援外接滑鼠。<a href="https://www.ithome.com.tw/news/131069" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>本土人臉辨識新突破！每秒偵測8千張面孔</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941%EF%BC%9A024_Comptuex%202019_TICC_%E4%B8%96%E8%B2%BF%E4%B8%80%E9%A4%A8_20190530_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">攝影_洪政偉</span></p> <p>臺灣除了有像訊連頂尖人臉辨識技術廠商，也有越來越多厲害的人臉辨識AI新創加入，而且技術一點都不輸國外。例如４年前成立、從事影像辨識的本土AI新創SkyREC（思凱睿克），就在今年的Computex大展上，公開展示自有人臉辨識技術在零售業的新應用，已經可以做到每秒同時能偵測、辨識8千張不同人臉，來找出哪些進店客人是VIP會員，或是不受店內歡迎的人物，而且準度依然維持在9成以上，甚至還能搭配魚眼鏡頭偵測身體動作，辨識男女動作、年齡。<a href="https://www.ithome.com.tw/news/131004" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>IoT新創打造區塊鏈能源交易平臺</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9ANextDrive.jpg" style="width: 500px;" /></strong></span></p> <p>臺灣IoT新創NextDrive（聯齊科技）在今年InnoVEX新創特展中，展出了全球最小的物聯網閘道器Cube。這顆Cube在2017年打入日本市場，不少日本家庭串接家中智慧電表，蒐集用電資訊的裝置，最近更獲得日本三大電力公司之一的中部電力青睞，成為電力服務的搭售產品。NextDrive希望能進一步從家庭走向社區，讓促成電力在鄰里之間流動。去年，NextDrive與臺灣分散式帳本技術新創BiiLabs宣布合作，要打造一個以IOTA為基礎的能源交易平臺，目前正在POC階段。<a href="https://www.ithome.com.tw/news/131026" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Nvidia計畫要推出醫療AI模型市集</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Marc%20Hamilton_%E6%94%9D%E5%BD%B1_%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">攝影_王若樸</span></p> <p>Nvidia解決方案架構暨工程副總裁 Marc Hamilton揭露今年度智慧醫療策略，除了鎖定醫療影像判讀（Medical Imaging）和探索新藥（Drug Discovery）兩大方向外，他更透露，去年9月釋出的醫療影像辨識模型訓練平臺Clara，將會增加醫療AI模型市集（AI Model Marketplace），可提供AI模型的買賣交易，來帶動更多特定目的AI模型的出現。<a href="https://www.ithome.com.tw/news/130998" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>北富銀如何用既有IT架構來支撐新應用</strong></span></p> <p>在面對FinTech的應用，北富銀舊有IT架構要如何建構新的應用與平臺，還能保持其彈性與穩定性，是一項挑戰。台北富邦銀行資訊長蕭明輝在一場活動中，揭露了自家作法。</p> <p>蕭明輝解釋，銀行傳統架構有三層式，分別是前臺、中臺、後臺。前臺主要處理顯示給客戶的使用者介面（UI），後臺是產品系統，中臺是作為彼此之間的串接。過去，銀行這樣的傳統系統架構不易輕易變動，而得分析交易量成長，來決定何時啟動採購作業來擴充系統。例如CPU使用量超過80％時，才會啟動採購。</p> <p>但，面臨FinTech的應用，尤其要推展新服務，過去靠採購來擴充的作法就遠遠來不及因應。蕭明輝指出，如北富銀旺紅包的行銷活動，有點類似電銷活動，會出現交易量突然爆衝的情況，風頭過了又回到原來的穩定交易量。</p> <p>「IT在配合新服務時面臨的衝擊是，不能像過去那樣評估交易量。」他坦言，即便業務面已有預定的交易量目標，傳統IT不可能為了一場行銷活動，事先規劃採購量。<a href="https://www.ithome.com.tw/news/130947" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>蘋果最新mac OS作業系統 Catalina亮相</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941%EF%BC%9AmacOS%20Catalina_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Apple.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_Apple</span></p> <p>蘋果在2019年開發者大會WWDC上發表了最新版本的macOS Catalina，目前為預覽版，預計在下個月提供公開測試版本，今年秋季推出，新版的作業系統Catalina為開發者增添許多新應用程式和功能，在最新的Catalina作業系統中，蘋果用Apple Music、Apple Podcast和Apple TV取代了iTunes，且全新的Sidecar功能可以讓用戶延伸Mac電腦畫面，將iPad當作第二個螢幕來使用，如此一來，用戶就能用iPad和Apple Pencil來操作Mac的應用程式，此外，蘋果也推出了聲控功能Voice Control，使用戶還能透過自己的聲音，完全控制Mac電腦。<a href="https://www.ithome.com.tw/news/131067" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>國產醫療用AI偵測腦波，輔助醫師診斷憂鬱症</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941%EF%BC%9A047_Comptuex%202019_TICC_%E4%B8%96%E8%B2%BF%E4%B8%80%E9%A4%A8_20190530_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">攝影_洪政偉</span></p> <p>現在大家在談的醫療AI，不再只是單純用在影像判讀疾病，甚至還想用它來解決更複雜的醫療診斷難題，其中一項就是針對一些難以分析、診斷的個人心理、生理上病症，如憂鬱症、阿茲海默症等，試圖透過AI找出這些病症的數據關鍵，也成為當前新的醫療AI研究領域。這正是宏智生醫科技專攻的醫療AI領域，他們在今年Computex大展上公開展示一套自行打造的AI腦波輔助診斷系統，利用百萬分之一的腦波細微電位變化，評估檢測憂鬱症的風險，雖然還在開發階段，但已能提供8成的診斷準確率，可輔助醫師判讀。<a href="https://ithome.com.tw/news/131024" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Line如何做資安？資安團隊首度對外揭露</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/line-%E8%B3%87%E5%AE%89-%E4%B8%BB%E5%9C%961.jpg" style="width: 500px;" /></strong></span></p> <p>在臺灣使用率超過8成人口的Line通訊軟體，是如何強化資安課題呢？在2019年的「Line與Intertrust資安高峰會」舉辦前夕，Line公司資安室室長林萬基（Mangi Leem）率領六位資安團隊成員，在東京接受臺灣媒體採訪，首度對外揭露Line如何應對資安挑戰與未來課題。<a href="https://www.ithome.com.tw/news/131029" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>G Suite全面部署Gmail機密模式</strong></span></p> <p>Google針對G Suite用戶正式部署Gmail機密模式，G Suite所有網域下的Gmail都將預設啟動機密模式，除非管理員關閉。<a href="https://www.ithome.com.tw/news/130986" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Salesforce開源以最新網頁標準打造的應用程式開發框架</strong></span></p> <p>Salesforce釋出自家打造的Lightning Web Components，這是一個使用近5年來最新網頁標準，所打造的JavaScript開發框架，開發者可以基於最新的開發範式以及最佳實作，開發自己的網頁應用程式。開發者可以在Lightning Web Components網站取得進一步的資訊。<a href="https://www.ithome.com.tw/news/130993" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>AWS正式推出託管Kafka串流服務MSK</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961(28).jpg" style="width: 500px;" /></strong></span></p> <p>AWS在re:Invent 2018大會上釋出託管Apache Kafka串流服務（Amazon Managed Streaming for Apache Kafka，MSK）的消息，現在已經脫離預覽階段推出正式服務。<a href="https://www.ithome.com.tw/news/131065" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>AWS推出自動萃取文件內容服務Textract</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Amazon%20Textract%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_AWS</span></p> <p>AWS推出自動萃取文件內容服務Textract，利用機器學習技術搭配光學字元辨識（OCR）技術，在表格和資料表等文件中，自動萃取文字和資料，像是名稱、編號等，過程中不需要經由人工審核或是制定特定的資料格式，也不需要具備機器學習的經驗，萃取出的文字能夠被用在打造智慧搜尋，協助企業在龐大的文件中找到相關的內容，也可以將這些資料儲存在資料庫中，輔助其他應用，像是會計、查帳等應用。<a href="https://www.ithome.com.tw/news/130978" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>美國得來速連鎖餐廳POS系統中毒</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_POS%E4%B8%AD%E6%AF%92.png" style="width: 500px;" /></p> <p>美國知名的得來速（drive-through）連鎖餐廳Checkers and Rally's，近日傳出有部份門市的端點銷售系統（Point of Sale）感染了病毒，讓駭客盜走了消費者的金融卡資訊，總計有102家門市受到影響。<a href="https://www.ithome.com.tw/news/131021" target="_blank">更多內容</a></p> </div></div></div>
2019/6/9 09:00未署名https://www.ithome.com.tw/news/131103
網站安全亮紅燈！帳號填充攻擊來勢洶洶
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/923-21-feng_mian_gu_shi_-1_open-2-960x420_gong_zuo_qu_yu_1.jpg?itok=4K4MUOBe" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期許多資安業者公布的年度報告裡，不約而同提到了帳號填充攻擊充斥的現象。這源自於網站使用者資料外洩事件頻傳，使得駭客得以利用這些資訊，大規模地冒用使用者身分，但網站管理者該如何因應？</p> </div></div></div>
2019/6/8 09:00作者周峻佑https://www.ithome.com.tw/article/131057
Google以26億美元收購資料分析新創Looker，創歷來第四大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四<a href="https://abc.xyz/investor/news/releases/2019/0606/" target="_blank">宣佈</a>斥資26億美元全現金，收購新竄起的資料分析新創公司<a href="https://looker.com/" target="_blank">Looker</a>，並整合到Google Cloud旗下，以提供更完整的雲端分析服務。本案也是Google歷來第四大收購案。</p> <p>Looker提供商業智慧（business intelligence, BI）、資料應用及嵌入式分析的整合平台，擁有GitHub、Fitbit、Kickstarter、Venmo及Twilio等知名企業客戶，而且和Google Cloud擁有350多家共同客戶，包括Buzzfeed、廣告集團WPP Essence、Yahoo!、媒體集團Hearst、家用太陽能板業者Sunrun等。<a href="https://venturebeat.com/2019/06/06/google-to-acquire-big-data-analytics-company-looker-for-2-6-billion/" target="_blank">Venturebeat報導</a>，Looker自創立以來已獲得3億美元投資，2017年Google母公司Alphabet旗下投資部門的Captial G還領投8150萬美元。</p> <p>本案是Google歷來第四大收購案，僅次於2012年收購Motorola Mobility的125億、2014年買Nest的32億及2007年收購DoubleClick的31億美元。</p> <p>Google Cloud部門執行長Thomas Kurian<a href="https://cloud.google.com/blog/topics/inside-google-cloud/expanding-our-platform-for-business-intelligence-and-embedded-analytics" target="_blank">指出</a>，Google Cloud現已提供即時整合、清洗、處理資料，以及高擴充性資料倉儲服務，企業使用Google BigQuery和Enterprise Data Warehouse來做業務分析，利用SQL查詢即時資料流、執行Hadoop與Spark叢集、以機器學習自動分類及產出資料預測。而且有愈來愈多企業，將自有資料中心的資料倉儲轉到Google Cloud雲端平台上以節省成本。</p> <p>Looker可補足Google Cloud兩大能力。首先，它讓企業可對所有資料源做一次一致化的業務量測值（business metrics）定義，可簡化資料查詢、同時維護一致化的計算定義，確保計算結果精準性。其次，Looker擁有橫跨BI應用、業務分析等專用解決方案，及可整合到商業決策中的嵌入式分析的完整產品線，因此有助於Google Cloud提供更完整的資料分析產品，從資料提取（ingestion）到結果視覺化，或將資料分析洞見整合到日常作業流程（workflow），還可提供適合特定產業的分析服務，包括零售業的供應鏈分析、娛樂媒體分析或醫療業分析等。</p> <p>Google 將把Looker進一步整合到Google Cloud Platform，但表示也將維持Looker多雲支援及和別家SaaS產品如Salesforce、Marketo、Zendesk及傳統資料源的整合能力，因此企業能持續使用現有資料中心、別家的公有雲服務平台及資料庫，包括Amazon Redshift、Microsoft Azure SQL、Snowflake、Oracle及Microsoft SQL Server或Teradata等，此外，Google Cloud的Analytics產品也會支援業界主要資料分析及視覺化工具。本案預計今年內完成收購。</p> <p>這也是Kurian去年底接掌Google Cloud以來第一宗大型收購案，在此之前Google Cloud僅在2016年以6.25億美元<a href="https://www.ithome.com.tw/news/108342" target="_blank">收購</a>API管理廠商Apigee。</p> </div></div></div>
2019/6/8 12:15作者林妍溱https://www.ithome.com.tw/news/131150
中國頒發4張5G商用執照，華為搶下其中2家企業的合作先機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國工業與信息化部周四（6月6日）<a href="http://www.miit.gov.cn/n1146290/n1146397/c6992938/content.html" target="_blank">宣佈頒發「第五代數字蜂窩移動通信業務」執照</a>，批准中國電信、中國移動、中國聯通以及中國廣播電視網路，共4家企業得經營5G業務。</p> <p>三家國營電信業者在去年底即獲得5G測試執照，這次的宣佈則比預訂的2020年時間，提早放行業者啟動商業運轉。工信部<a href="http://www.miit.gov.cn/n1146290/n4388791/c6987720/content.html" target="_blank">表示</a>，透過發放5G商用執照，中國進入5G商用元年。和美國明確反對華為、中興等中國企業介入其5G業務不同，工信部指出，在技術試驗階段，諾基亞、愛立信、高通與英特爾等外國企業已深度參與，而中國也「一如既往」歡迎中國內外企業，參與其5G網路建設和應用推廣。</p> <p>在美國商務部將華為列入禁止技術輸出的實體名單（Entity List）後，眾多晶片業者及Google等科技廠商、標準組織也跟進拒絕華為。不過歐洲如英國、德國對華為並不見得跟進美國抵制華為。華為也在周四<a href="http://www.gd.xinhuanet.com/newscenter/2019-06/07/c_1124593803.htm" target="_blank">宣佈</a>目前已在全球30個國家獲得46個5G商用合約，並即將出貨超過10萬個5G基地台。</p> <p>華為周四<a href="https://www.huawei.com/cn/press-events/news/2019/5/chinamediagroup-chinamobile-huawei-uhd-live-streaming-5g-sa-slices" target="_blank">宣佈</a>與中國央視總台、中國移動三方完成基於3GPP標準的5G網路首次測試。中國移動與華為基於5G標準（SA）網路，為央視建構專門用於4G影片直播的端到端網路切片。華為宣稱，測試驗證了即使在無線網路、傳輸網及核心網路等網路節點壅塞情況下，4K影片仍具有傳輸優先性而使畫質與流暢度不受影響。而在第一階段測試完成後，三方也將進行更多其他應用情境的測試。</p> </div></div></div>
2019/6/7 11:45作者林妍溱https://www.ithome.com.tw/news/131149
AI趨勢周報第87期：蘋果發表Core ML 3，可在裝置上執行機器學習運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0531～0606)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Core ML 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>蘋果發表Core ML 3，可在裝置上執行機器學習運算</strong></span></p> <p>蘋果於今年度WWDC大會上發表最新版iOS機器學習框架Core ML 3，不僅支援更多種即時機器學習模型的加速，也支援超過100層的類神經網路模型，更可以於裝置上執行機器學習運算。Core ML是蘋果2年前推出的機器學習框架，iOS開發者可藉此打造智慧手機App。蘋果指出，這次發表的第3版，可讓手機App使用先進的模型，來呈現更好的視覺理解、自然語言和語音體驗。更重要的是，開發者能透過「模型個人化」功能，在裝置上更新機器學習模型。</p> <p>同時，蘋果也推出Create ML，這是一款新的機器學習模型開發、訓練、部署App，使用者不需具備任何機器學習技能、也不需要寫任何程式，就能透過這款App來開發ML模型。此外，Create ML可以同時利用不同資料集來訓練多種模型。<a href="https://developer.apple.com/machine-learning/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202019-06-07%2011_43_32.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SwiftUI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發框架 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>蘋果推出SwiftUI開發框架和ARKit 3，提供新一代開發體驗</strong></span></p> <p>蘋果於今年WWDC大會上推出<a href="https://developer.apple.com/xcode/swiftui/">SwiftUI開發框架</a>，是一款直覺式UI框架，使用了簡單易懂的宣告式程式碼，可讓開發者打造複雜的UI應用程式。蘋果表示，SwiftUI提供許多自動化功能，包括版面配置、黑暗模式、可用性、由右至左的語言支援等。此外，藉由SwiftUI API，開發者可在蘋果的各種平臺上建置App，像是iOS iPadOS、macOS、watchOS和tvOS等平臺。</p> <p>而<a href="https://developer.apple.com/augmented-reality/arkit/">ARKit 3</a>是一套AR應用程式開發工具，透過動作捕捉（Motion Caputre）功能，開發者可將人物的動作整合至自己的App中；人物遮擋（People Occlusion）功能則能更自然地將AR場景至於人物身前或背後。此外，ARKit 3還可讓前鏡頭追蹤最多3個臉部，也支援多人協作開發。<a href="https://developer.apple.com/xcode/swiftui/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 深度學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像深度 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google以深度學習重建動態人物影片的深度資訊</strong></span></p> <p>Google發表了最新的電腦視覺研究，能透過深度學習來預測影片中人物與場景的深度資訊。Google表示，該研究是第一個能處理攝影機和物體同時移動的影片。研究員使用了2千支YouTube影片，皆為以手持攝影機拍攝人類各種靜止姿勢的影片，並以監督式學習來訓練模型，讓模型學習人類靜止的自然姿勢。由於整個場景都是靜止的，只有攝影機在移動，因此Google可取得整個場景精確的深度資訊。</p> <p>接著，Google將影片畫面中的人物遮罩、RGB圖像、省略人物影像的初始影片等三者，作為深度學習神經網路的輸入值，來產生深度圖（Depth Map），進一步預測人體型態和姿勢。該成果除了可處理相機與人物隨意運動的影片，找出人物和場景的深度值，也可為影片加入3D感知特效，也能進一步重置為立體的影片，或是做出搖擺攝影機的功能。<a href="https://ai.googleblog.com/2019/05/moving-camera-moving-people-deep.html">（詳全文）</a></p> <p><img alt="" src="https://2.bp.blogspot.com/-CotMQ8DsT-Y/XORkuhmLQtI/AAAAAAAAEIk/VfzxNYJFueQ0QzjLCbSIcOljDZLynexoACLcBGAs/s640/image4.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文件內容萃取 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Textract </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS正式推出自動萃取文件內容服務Textract </strong></span></p> <p>AWS推出自動萃取文件內容服務Textract，利用機器學習技術和光學字元辨識（OCR）技術，能自動萃取表格和表單等文件中的文字與數據，比如名稱、稅單上的身分證字號或是庫存報告中的產品SKU，這個過程不需要人工審核，也不需要制定特定的資料格式。</p> <p>進一步來說，Textract服務以API方式提供，使企業不需要具ML技術背景，就能使用。Textract API支援多種圖像格式，比如掃描檔、PDF、照片，企業還可以在資料庫和分析服務中使用該API，包含AWS的Elasticsearch服務、DynamoDB、Athena，還有其他機器學習服務，像是理解服務Comprehend、醫療資訊理解服務Comprehend Medical、翻譯服務Translate、ML自動建置和部署工具SageMaker。Textract服務目前在美國東部和西部地區、歐洲已推出，預計近期擴展到其他地區。<a href="https://aws.amazon.com/textract/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="210px" width="374px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="210px" src="https://www.youtube.com/embed/PHX7q4pMGbo" width="374px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大阪大學</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言處理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 牙齒矯正 </span></strong></span></p> <p><span style="font-size:22px;"><strong>大阪大學發表自然語言處理AI，來編寫病人牙齒矯正建議</strong></span></p> <p>大阪大學研究員日前發表一項研究，以自然語言處理（NLP）技術設計一套可以設計牙齒矯正建議的AI系統。研究員指出，牙科醫生通常花太多時間在書寫牙齒治療報告工作上，而大阪大學希望藉AI來改善這個問題，首先從牙尺矯正開始。</p> <p>為了訓練AI，研究員首先建立含有990個牙齒治療文件的資料集，根據每種牙齒矯正條件和問題，分為423類，並將文件中所有句子分割為單字，來作為訓練用的語料庫。而訓練好的AI系統，可從患者的就醫紀錄中萃取X光影像、牙齒3D模型以及診斷結果（按優先順序排列），並重新組織醫療紀錄中的每個條件，再交叉比對系統內建的400多種標籤。之後，系統會針對每個問題產生相關句子，以及優先治療的建議。<a href="https://arxiv.org/pdf/1905.13601.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">三總</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物聯網 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三總成立人工智慧暨物聯網發展中心，瞄準精準醫療</strong></span></p> <p>為轉型為AI醫院，三軍總醫院（簡稱三總）近日成立人工智慧暨物聯網發展中心，要利用物聯網裝置和資訊部門的AI技術，來發展各種醫療影像AI和醫療病歷判讀系統。</p> <p>目前，三總已自行研發出一套心電圖AI判讀系統，其中的AI模型是以院內數萬張心電圖來訓練而成，準確率達9成以上，可從患者心電圖波形來判別是否患有特定疾病。此外，三總也進行其他醫療影像AI研究，比如胸部X光AI判讀、眼底鏡AI判讀等。三總AI中心的另一個目標，則是要建置醫療病歷判讀AI，透過自然語言處理技術，來協助判讀如出院病歷摘要等文件。三總也表示，未來計畫於2021年成立國軍影像及分析中心，來整合全國軍醫院醫療影像，發展更多醫療AI應用。<a href="https://wwwv.tsgh.ndmctsgh.edu.tw/news/191/10065/25388/4230">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 強化學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 策略遊戲 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不同AI代理人也能互相合作！DeepMind成功訓練一支AI玩家隊伍來玩奪旗策略遊戲，表現與人相當</strong></span></p> <p>DeepMind最近發表強化學習應用新進展，訓練出一支能互相合作的AI玩家隊伍，能在複雜多人連線3D遊戲《雷神之鎚III競技場》中的奪旗競賽場景與人類玩家對戰，表現還不相上下。</p> <p>進一步來說，DeepMind首先利用45萬回合的奪旗場景來訓練一群AI玩家，雖然AI玩家一開始只是隨機行動，但經過一次次嘗試後，AI玩家學會互相合作、找出最佳策略，DeepMind研究員Wojciech Czarnecki甚至表示，這些AI玩家能適應擁有任意技能的隊友。而DeepMind所採用的強化學習，讓每個AI玩家都會學習自己的內部獎勵訊號，使AI產生各自的內部目標，此外，DeepMind也將AI玩家執行遊戲的時間區段，分為快、慢兩種，來改善AI使用記憶體和產生一致行動序列的能力，最終能組隊與人類玩家對戰。這項研究，顯示了多代理人（multi-agent）訓練在AI領域開發上的潛力。<a href="https://deepmind.com/blog/capture-the-flag-science/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/deepmind-live-cms-alt/documents/new_results_gameplay.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google地圖 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 餐點 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google地圖融入ML，使用者要找熱門餐點更容易</strong></span></p> <p>Google日前在地圖服務中，新增了熱門餐點的資訊，提供用戶點餐時的參考。該熱門餐點的功能利用了機器學習技術，將地圖服務中用戶提供的餐點名稱，與相關的圖片和評論配對，找出該餐廳最受歡迎的餐點。</p> <p>用戶查詢一家餐廳後，在餐廳的總覽頁面就能瀏覽熱門的菜單，點擊查看「更多」之後，還能針對每個推薦的餐點查看圖片和評論，若評論不是用預設的語言書寫，Google地圖也能翻譯評論，若用戶想為下一個來餐廳的人提供意見，只要拍下餐點照片，並寫上餐點名稱，就能夠讓其他用戶更了解該餐廳的餐點資訊。該功能目前已推出Android版本，iOS版本將於未來數個月推出。<a href="https://blog.google/products/maps/popular-dishes-feature-maps/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/GSB_PopularDishes_v5.gif" /></p> <p>圖片來源／蘋果、Google、AWS、DeepMind</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Google用新方法縮放網路模型，提高準確率卻不會犧牲效能</strong></p> <p><strong>2. WWDC：具備暗黑模式的iOS 13預覽版出爐，加強相機、照片與地圖程式功能</strong></p> <p><strong>3. Nvidia計畫於Clara AI平臺推出醫療AI模型市集</strong></p> <p>資料來源：iThome整理，2019年6月</p> </div></div></div>
2019/6/6 23:55作者王若樸https://www.ithome.com.tw/news/131146
微軟為Xamarin.Forms加入勾選方塊釋出4.1預先發布版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/xamarin/checkbox-xamarin-forms-4-1-0-pre-release/">微軟釋出Xamarin.Forms 4.1預先發布版本</a>，這個版本加入了勾選方塊（CheckBox），並且也增強了地圖功能，讓開發者得以在各平臺的原生地圖上操作資料樣板，微軟也提到，Xamarin.Forms在各平臺的支援越來越完整。Xamarin.Forms是微軟提供給.NET開發者，以C#在Visual Studio中建置原生Android、iOS以及UWP（Universal Windows Platform）等平臺的使用者介面開發工具。</p> <p>現在Xamarin.Forms 4.1.0為iOS、Android、UWP、MacOS以及WPF實作勾選方塊功能。開發者可以使用CheckBox標籤，並且透過使用IsChecked以及Color屬性，來設置勾選方塊的勾選狀態以及方塊顏色。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/xamarin/wp-content/uploads/sites/44/2019/06/android-checkbox.gif" style="width: 600px;" /></p> <p>微軟提到，他們在這麼多個平臺實作勾選方塊，是一種更專注滿足使用者需求的表現，過去部分功能可能只會在其中一種平臺出現，並被視為特定平臺的功能，不會在其他平臺支援，但現在他們更傾向在更多的平臺上實作新功能，以滿足開發者需求。</p> <p>Xamarin.Forms讓開發者可以打造平臺原生的應用程式，在地圖功能上也能夠使用平臺原生的地圖元件，而在Xamarin.Forms 4.1中加入了實用的增強功能。3.6版本加入了ItemsSource，讓開發者可以在地圖上根據綁定的屬性產生圖釘，而現在4.1中，開發者可以根據需要，利用樣板選擇器（Template Selector）選擇不同的資料樣板，更靈活地調整地圖顯示。另外，還加入了地圖點擊事件處理程序，只要訂閱MapClicked事件，就能取得使用者點擊的地方。</p> <p>Xamarin.Forms 4.1是剛發布不久<a href="https://devblogs.microsoft.com/xamarin/introducing-xamarin-forms-4-0-the-era-of-shell/">Xamarin.Forms 4.0</a>的次要版本更新，而Xamarin.Forms 4.0中的主要更新重點，是提供了介面殼層，提供開發者簡單的語法，以快速建立應用程式的彈出和頁籤選單，並在既有的導覽服務中，加入以URI為路由基礎的導覽服務。而在2.4版本開始為Android平臺加入的Android快速渲染器，能大幅減少渲染按鈕、圖像以及標籤需要的圖片群組資源，由於經過一段時間的試驗，發現這樣的形式有助於提升渲染效能，因此在4.0中預設啟用。</p> <p>過去Xamarin.Form的發展重點都放在Android和iOS上，但現在其他平臺也積極的發展，特別是在三星加入開發後，Tizen平臺支援增加了介面殼層、Visual以及Material渲染器，以命名控制字體大小和CollectionView等支援，功能完整程度逐漸追上Android和iOS，而UWP、macOS、WPF和GTK同樣也都有不少進展。</p> </div></div></div>
2019/6/7 11:10作者李建興https://www.ithome.com.tw/news/131143
Firefox開始支援CSS Grid Level 2子網格，能產生過去不可能出現的網格布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前還未在任何瀏覽器支援的<a href="https://hacks.mozilla.org/2019/06/css-grid-level-2-subgrid-is-coming-to-firefox/">CSS Grid Level 2的子網格（Subgrid）功能</a>，現在已經在Firefox中實作，Subgrid可以幫助開發者簡化使用CSS Grid建立複雜網頁布局的工作，甚至能夠開發過去無法出現的樣式。現在想嚐鮮的開發者，可以下載Firefox Nightly先行測試。</p> <p>在語法上Subgrid是grid-template-columns和grid-template-rows新的屬性關鍵字，以grid-template-columns為例，使用者原本可以在後面指定欄位的數量以及每個欄位大小，而現在還能直接指定為Subgrid，而這會讓grid-template-columns屬性使用父級Div元素所定義的欄位大小和數量。</p> <p>另外，Subgrid的功能也能讓開發者建置一些特殊的樣式，像是Subgrid預設繼承gap屬性，不過使用者也能以Subgrid的gap、row-gap或是column-gap屬性覆寫。而Subgrid的行名，將繼承自父網格，因此開發者可以使用主網格上的名稱，在Subgrid中定位物件。</p> <p>雖然Subgrid是一個小功能更新，對於使用網格布局的網頁開發人員，不會有學習上的困難，但是Subgrid的出現，卻讓過去難以實現的布局樣式成為可能，Mozilla舉例，像是過去卡片布局，卡片各有自己的頭中尾三部分，三部分都有不相等的內容，在過去標準的巢狀網格中，是無法讓每個網格的頭尾都對齊，因為每張卡上的網格都是獨立，卡片之間的列無法互相影響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacks-subgrid3.png" style="width: 655px; height: 316px;" /></p> <p>但現在grid-template-rows可以使用Subgrid屬性則解決了這個問題，由於列的定義由父級決定，因此每個卡片的尾部都在同一列，當其中有一卡片尾部比較高，則會讓同一列的所有卡片尾部跟著變高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacks-subgrid4.png" style="width: 655px; height: 387px;" /></p> <p>Mozilla也為Firefox中的DevTools加入對子網格的支援，開發者現在可以在DevTools中同時顯示多個網格，以方便理解網格互相的關係以及排列，尤其是與父網格對齊的狀況。</p> </div></div></div>
2019/6/7 11:10作者李建興https://www.ithome.com.tw/news/131145
Compute Engine新定價政策，長期穩定用戶能獲得更多議價空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/more-choice-less-complexity-new-compute-engine-pricing-options-on-tap" target="_blank">Google Compute Engine發布兩項雲端定價政策</a>，第一是<a href="https://techcrunch.com/2019/06/05/google-cloud-extends-its-committed-use-discounts-beyond-cpus/" target="_blank">擴展可使用承諾使用折扣（Committed-use Discount）</a>的資源類別，承諾長時間使用，用戶將最高獲得按需價格55％的折扣，另外，Compute Engine還提供預留預定系統，用戶可以在特定區域預留運算容量，以確保日後在需要時，能夠保證可以存取足夠的資源。</p> <p>當用戶的工作負載穩定可預測，就能選擇購買承諾使用合約，以獲得大幅度的折扣，而Google現在擴展其承諾使用折扣，折扣範圍擴及GPU、雲端TPU Pods以及本地端SSD，當用戶購買特定數量的這些運算資源，則可以最高獲得按需價格55％的折扣，用戶可以完全控制承諾使用折扣應用的執行個體類型以及區域。現在所有Compute Engine區域都已經支援，這項新擴展的承諾使用折扣計畫。</p> <p>另外，Compute Engine也支援容量預留計畫，用戶可以指定在特定區域，預留運算資源，以確保往後在特殊的時機，像是黑色星期五購物節或是災難恢復，有足夠的能力應付可能發生流量飆升的情況。用戶可以隨時創建或是刪除容量預留計畫，而Google表示，由於預留容量消耗的資源就像是一般虛擬機器，因此會自動適用承諾使用以及持續使用的折扣。</p> </div></div></div>
2019/6/7 10:25作者李建興https://www.ithome.com.tw/news/131142
FCC公布美國24GHz頻段29家得標者，T-Mobile與AT&T吃下最多授權覆蓋率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（FCC）本周公布了可應用在5G通訊的<a href="https://docs.fcc.gov/public/attachments/DA-19-485A2.pdf" target="_blank">24GHz頻段競標結果</a>，總計有29家業者得標，取得2,904個授權，總金額高達20億美元，大贏家則是T-Mobile與AT&T。</p> <p>FCC把全美切割成416個部分經濟區（Partial Economic Areas，PEA），每一個授權代表24GHz頻段中的100MHz範圍，每一個PEA大致有7個100MHz區塊。</p> <p>在得標的29家業者中，T-Mobile以8億美元標下了1,346個授權，這些授權分布在400個PEA中。居次的AT&T則是以9.8億美元標下831個授權，分布在383個PEA中。</p> <p>T-Mobile與AT&T所取得的授權覆蓋率分別達到96%與92%，意謂著這兩家業者都可在大多數的美國地區提供基於24GHz的5G服務。</p> <p>FCC同時還公布了去年底展開的<a href="https://docs.fcc.gov/public/attachments/DA-19-484A2.pdf" target="_blank">28GHz頻段競標結果</a>，在28GHz頻段上，FCC則切割出1,536個市場，每一個授權佔據425MHz範圍，一個市場則有兩個425MHz區塊。</p> <p>在28GHz頻段的競標中，有33個得標者贏走了2,965個授權，總得標金額為7億美元。大贏家則是Verizon，以5億美元贏得了863個市場的1,066個授權。</p> <p><a href="https://www.ithome.com.tw/news/130783" target="_blank">雖然有許多學者專家警告</a>，供5G網路使用的24GHz頻段與氣象學家用來觀察水蒸氣的23.8 GHz頻段太接近，可能會因此而干擾氣象預測的準確度，而要求FCC提出解決方案，儘管FCC已公布24GHz的競標結果，但尚未針對此事作出公開回應。</p> </div></div></div>
2019/6/7 10:40作者陳曉莉https://www.ithome.com.tw/news/131148
ES9非同步迭代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在JavaScript，ES6有Promise作為非同步處理的標準API，ES8加入async、await，便於以同步風格來撰寫非同步操作，隨著逐漸熟悉async、await，會遇上Symbol.iterator協定實作非同步迭代時的問題，為此ES9新增非同步迭代的語法。</p> <p><span style="font-size:28px;"><strong>ES6同步迭代協定、for-of</strong></span></p> <p>想認識ES9新增的非同步迭代相關語法，須從ES6定義的迭代協定開始認識，例如，對於字串、陣列或自訂群集等物件，開發者也許會想要迭代其內容，然而在ES6前並沒有一致的協定。</p> <p>ES6規範可迭代物件須具有Symbol.iterator特性，它參考至函式，函式執行過後會傳回迭代器，迭代器必須具有next方法，每次呼叫會傳回一個迭代器結果（IteratorResult）物件，特性需包含value與done，value是當次迭代值，done為表示迭代是否結束的布林值，當迭代結束時，value必須是undefined。</p> <p>開發者可以自行操作迭代器，在while中檢查迭代器結果物件的done值，以判斷是否結束迭代，不過，使用ES6的for-of來迭代會更為方便，例如，物件obj若具有Symbol.iterator協定，就可以用for(let v of obj) { console.log(v); }來迭代。</p> <p>那麼，Symbol.iterator特性參考的函式如何定義？自行實作函式時，傳回一個具有next方法的物件，而next方法實作中，要判斷當次迭代是否有結果，並傳回一個具有value與done特性的物件……由於這類的實現過於麻煩，因而ES6提供了產生器語法，可以透過function*與yield來定義函式，作為Symbol.iterator的特性，被yield的值成為結果物件value特性，done會是false，產生器函式return的話，value會是undefined，done會是true，因此實作上方便直覺。</p> <p>對於JavaScript的開發者來說，應是十分熟悉這些ES6基本特性，現在問題來了，如果迭代器的next方法中有非同步操作，該怎麼辦呢？ES6提供Promise作為非同步處理的標準API，因此可以用個別的Promise實例來包裹每次的非同步操作，也就是說，每次呼叫迭代器next方法時，結果物件的value特性會是Promise，在then方法指定的回呼函式中，才能取得結果物件，就迭代器的實作來說，並不直覺（可參考<a href="https://bit.ly/2J4JddY">https://bit.ly/2J4JddY</a>）。</p> <p>搭配for-of語法時，切記不能是for(let v of vertex1) { console.log(v); }這類操作，因v會是Promise，須進一步在then方法指定回呼函式，例如：</p> <pre><strong>for(let p of vertex1) {</strong> <strong>p.then(v => console.log(vo));</strong> <strong>}</strong></pre><p><span style="font-size:28px;"><strong>ES8的async、await</strong></span></p> <p>Promise模式是基於API層面的風格，在盛行了一段時間後，為了撰寫程式碼時，更方便與直覺，ES8新增了async、await作為語法層面的支援。async函式實作內容看來與一般函式無異，然而return的值會被包裝在Promise中，作為呼叫async函式後的傳回值，await必須在一個async函式中使用，await後接上一個Promise，會對Promise作解析，將resolve的值作為傳回值，解析未完成前會阻斷流程，因此，對於一個async函式foo，原本使用Promise的寫法若是foo().then(v => doSomething(v))，可以改寫為：</p> <pre><strong>async function main() {</strong> doSomething(await foo()); <strong>}</strong> <strong>main();</strong></pre><p>程式碼更為簡潔，風格看來也像是同步風格，閱讀時較為直覺，執行main()仍具有非同步的效果。不過，在逐漸熟悉async、await之後，想進一步套用到更多非同步情境時，就會遇上問題，例如，async函式實作中若有迭代流程時該怎麼辦呢？該怎麼return值？</p> <p>就結論而言，沒辦法直接使用async函式實作，必須如方才實作Symbol.iterator協定（可參考<a href="https://bit.ly/2VgUXkl">https://bit.ly/2VgUXkl</a>），至於搭配for-of迴圈的部份，可以用await來取代Promise的then，例如在一個async函式中，執行for(let p of vertex1) { console.log(await p); }。</p> <p>ES6的Symbol.iterator協定，就語義上來說，其實是同步迭代，只不過這邊被迫運用在非同步情境，而造成實作上的麻煩，閱讀程式碼時非同步的語義也不明確，因此，在ES9中，增加了非同步迭代協定、for-await-of相關語法。</p> <p><span style="font-size:28px;"><strong>ES9非同步迭代協定、for-await-of</strong></span></p> <p>ES6中透過function*與yield定義的函式，執行後傳回的是產生器，也就是Generator實例，具有Symbol.iterator特性以及next方法（因此也是個迭代器），如果在function*前加上async呢？</p> <p>到了ES9，允許這麼做，也可以在函式中yield值，函式執行後會傳回非同步產生器，也就是AsyncGenerator實例，具有Symbol.asyncIterator特性以及next方法，next方法傳回Promise，而不是具有value、done特性的結果物件。</p> <p>開發者可以試著只使用function*而不加上async，實作出具有與async function*相同效果的函式，這需要在function*內部包含一個function*，呼叫後者得到產生器後，進行迭代，並將next結果作為Promise的resolve值（可參考<a href="https://bit.ly/2VhM9dO">https://bit.ly/2VhM9dO</a>）。</p> <p>這會令人聯想到Python 3.3的yield from。在Python中，這是用來銜接產生器，以直接yield其結果的簡便語法，但yield from後來被Python廢棄，而ES9顯然記取這個經驗，直接新增Symbol.asyncIterator協定，相當於Python 3.6時新增的__aiter__協定。</p> <p>ES9中具有Symbol.asyncIterator協定的物件是「可非同步迭代的」，該特性參考的函式，使用async function*實作會更為方便直覺；只有Symbol.asyncIterator協定的物件，不能搭配for-of使用（這搭配的是Symbol.iterator協定），必須搭配ES9新增的for-await-of來使用，例如，若vertex2是可非同步迭代的物件（可參考<a href="https://bit.ly/2VjOk0K">https://bit.ly/2VjOk0K</a>），就可以在一個async函式中如下撰寫程式：</p> <pre><strong>for await (const x of vertex2) {</strong> <strong>console.log(x);</strong> <strong>}</strong></pre><p>有些談及for-await-of的文件中，會出現過於簡化的說明，通常是以一個promises陣列為例，談到for(const v of promises) { console.log(v); }無法取得結果，因為v是個Promise，必須得是for await(const v of promises) { console.log(v); }才能取得resolve後的值，就結論而言，這並不能說是錯，然而，千萬要記得的是，Symbol.iterator與Symbol.asyncIterator是不同的協定。</p> <p>promises陣列可以運作的原理在於，for-of語法只認Symbol.iterator協定，for-await-of可以使用Symbol.iterator與Symbol.asyncIterator協定，然而只有Symbol.asyncIterator協定的物件，不能用於for-of！</p> <p><span style="font-size:28px;"><strong>同步與非同步情境有所不同</strong></span></p> <p>如果想從更多程式碼來瞭解ES9非同步迭代的細節，可以參考〈ES2018: asynchronous iteration〉（<a href="https://bit.ly/2PRNsua">https://bit.ly/2PRNsua</a>），若開發者亦熟悉Python，從中可以看到Python中async for的影子。</p> <p>無論是Python或JavaScript，對於非同步迭代的發展過程的重點，都在於，非同步迭代並非只是語法上的不同，而是不同情境下使用不同的角色，才能在意圖上突顯目前是在進行同步或是非同步操作，雖然Promise搭配同步協定也可以解決事情，然而若執行環境支援，使用Symbol.asyncIterator協定、for-await-of，就程式意圖來說，會是更好的表示方式！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/es9">ES9</a></div><div class="field-item odd"><a href="/tags/javascript">JavaScript</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E5%90%8C%E6%AD%A5%E8%BF%AD%E4%BB%A3">非同步迭代</a></div></div></div>
2019/6/7 09:00作者林信良https://www.ithome.com.tw/voice/130817
【網站遭駭情勢日益惡化，助長利用外洩帳號密碼而成的自動化攻擊】帳號填充攻擊乘勢而起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大約在3年前，許多名人的社群網站帳號遭駭，引起軒然大波。其中不乏政治人物、知名藝人，以及知名的企業等，甚至是科技公司的執行長或創辦人，也身受其害──包含了臉書執行長Mark Zuckerberg、推特創辦人Jack Dorsey，以及Google執行長Sundar Pichai等。</p> <p>探究其原因，就是他們在多個社群網站裡，使用了相同的帳號和密碼。因此，駭客組織OurMine利用了LinkedIn於2012年外洩的使用者帳號資料後，不僅成功登入這些名人的臉書或推特帳號，而且還用被害人的帳號發文，嘲笑他們的資安意識不足。</p> <p>當時，所有的資安專家，都極力呼籲使用者必須自保，應該使用像是Have I Been Pwned（HIBP）網站，確認自己的帳號可能受到那些資料外洩事件影響，並落實在各個網站的帳號中，使用不同的密碼，以防範駭客以此手法取得我們在網站上的身分。而這種透過已經被駭網站所流出的帳號資料，嘗試登入另一個服務的手法，被稱為帳號填充攻擊（Credential Stuffing）。</p> <p>簡單來說，這種攻擊能夠奏效的原因，就是許多使用者會以相同的帳號和密碼，到處運用於不同的服務中，只要其中一個網站的使用者資料庫遭到外流，他們其他網站服務的帳號，駭客便能透過上述的手法，輕易取得帳號的控制權。</p> <p>時至今日，不光是使用者應該保護自己，面臨大規模資料外洩事件頻傳，導致駭客想要大量取得這種攻擊所需帳號資料，變得更加容易。</p> <p>根據Gemalto推出的2018上半年度報告，該年度的前6個月，就累計超過33億筆個資遭到外洩；而今年年初，提供HIBP查詢網站的資安研究員Troy Hunt，揭露了史上最大的資料外洩事件Collection#1，總計逾7.7億名用戶的個資被公開。</p> <p>這樣的情況，使得網站的經營者也開始倍感威脅，若是駭客在自家的網站上進行相關攻擊，非但會嚴重影響服務營運，一旦攻擊者得手，網站的安全性還可能遭到用戶質疑，導致公司的信譽大幅受損。雖然問題的根源，起因於使用者的密碼管理不當，但是網站經營者顯然已經無法坐視不管，勢必要正視這樣的問題並加以因應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CredentialStuffingAttack_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_F5.png" style="width: 250px;" /></p> <p><span style="color:#3399ff;"><strong>自動化執行是帳號填充攻擊常見做法</strong></span></p> <p><span style="color:#696969;"><strong>駭客所取得被駭網站的使用者帳號資料庫裡，往往包含了成千上萬筆資料，採用自動化的嘗試登入措施，也是帳號填充攻擊普遍存在的特性，因此，企業想要偵測出這種攻擊行為，能否識別登入請求是由機器人還是真實使用者發出，便成為關鍵。</strong>圖片來源／F5</span></p> <p><span style="font-size:28px;"><strong>資安專家再度強調帳號填充攻擊所帶來的威脅不容小覷</strong></span></p> <p>從去年中到今年初，許多資安廠商發表的年度報告裡，特別提到這種威脅的現象，其中，Akamai不僅專門針對這種攻擊手法推出報告，同時，他們也資助研究機構Ponemon Institute，調查亞太地區的情況。</p> <p>Akamai在自己的報告裡指出，於去年的5月到6月間，該公司總共在全球網路上，偵測到83億次由機器人執行的惡意登入行為，而且於1個小時內，每個殭屍網路平均發出30萬次這種登入請求。在這份報告中，Akamail也強調，駭客為了隱藏他們的帳號填充攻擊跡象，會採取登入頻率極低的策略進行。</p> <p>另一方面，由Ponemon Institute所做的訪查中，該公司調查了538位負責公司網站安全的亞太地區IT人員，高達86%的受訪者認為，合法使用者與帳號填充攻擊的登入行為難以區分，而表示相關攻擊行為不易察覺，或是遭到攻擊後難以恢復的IT人員，比例也都超過8成。</p> <p>至於帳號填充攻擊對公司所帶來的衝擊，受訪者普遍認為，主要有3大危機：首先，是網頁應用程式因大量攻擊連線而停止運作；其次，則是處置遭駭的使用者帳號，涵蓋了資安事件的調查，以及客服部門所增加的工作量；接著，對於公司長期帶來的影響，則是使用者的滿意度下降。</p> <p>在此同時，使用者疏於管理密碼的現象，依舊相當嚴重。F5指出，平均每4個人裡，就有3個會在多個網站採用相同的密碼。提供身分驗證系統業者SailPoint，去年也在有關使用者資安意識的調查裡，提出類似的看法，並指出2018年採用單一密碼的情況，遠比2014年要來得普遍，若是網站經營者還要寄望使用者自律，顯然是緣木求魚。</p> <p>但如果你以為濫用相同帳號和密碼組合的做法，只有一般使用者缺乏資安意識才會這麼做，那可就大錯特錯。根據去年Lastline公司在一場倫敦資安會議上，對於306位與會的資安人士進行調查，竟有45%的受訪者會在多個網站共用密碼。即使是這種投身於資訊安全的專業人士，還是可能會抱持投機的心理，採用這種密碼設置策略。</p> <p><span style="color:#3399ff;"><strong>密碼猜測攻擊手法演進的4種型態</strong></span></p> <p><span style="color:#696969;"><strong>攻擊者在嘗試猜測出帳號密碼，進而取得帳號控制權的方式，依據方法的精細程度，可區分成4種──從早期的暴力破解和字典攻擊，後來為了避免被受害單位察覺，並遭到系統鎖定，陸續出現了密碼潑灑與帳號填充攻擊手法。</strong>資料來源：ForceShield，iThome整理，2019年5月</span></p> <table align="center" border="1" style="width:600px;"><tbody><tr><td class="rtecenter" style="background-color: rgb(51, 51, 51); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>攻擊手法</strong></span></span></td> <td class="rtecenter" style="background-color: rgb(51, 51, 51); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>定義</strong></span></span></td> </tr><tr><td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>暴力破解（Brute Force）</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>使用所有可能的密碼組合，嘗試登入系統。</strong></span></span></td> </tr><tr><td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>字典攻擊（Dictionary Attack）</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>收集常見的密碼納入猜測字典，然後用來嘗試登入系統。</strong></span></span></td> </tr><tr><td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>密碼潑灑（Password Spraying）</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>只使用單一弱密碼，對所有帳號進行測試。</strong></span></span></td> </tr><tr><td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>帳號填充（Credential Stuffing）</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); width: 600px; border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>利用外洩帳號資料庫的密碼組合，嘗試登入系統。</strong></span></span></td> </tr></tbody></table><p> </p> <p><span style="font-size:28px;"><strong>藉由遭駭網站帳號資料搭配，密碼測試攻擊得手機率大幅增加</strong></span></p> <p>在論及帳號填充手法的前身，大多數人或許能夠想到的類似攻擊手法，就是暴力破解密碼（Brute Force），使用各種可能的密碼組合，嘗試登入系統。但從現在的角度來看，這種做法會在短時間內頻繁地大量存取網站，不僅會造成網站營運阻斷（DoS），同時攻擊也因密碼錯誤次數太多，容易被發現，而遭到網站系統封鎖。</p> <p>暴力破解密碼這種完全毫無頭緒的做法，要成功的機率其實並不高，因此，駭客便開始收集可能常被使用的密碼字串，縮小測試的範圍，也就是所謂的字典攻擊（Dictionary Attack）。</p> <p>不過，即使採取了密碼字典進行登入測試，攻擊者還是避免不了大量存取網站，而被封鎖的命運，於是，他們後來就再度調整，只使用其中一組簡易密碼的策略，嘗試登入不同的使用者帳號，這種做法稱為密碼潑灑（Password Spraying）。由於每個帳號只嘗試登入一次，不致觸發系統鎖定帳號的規則，因此不若前述2種手法會容易被發現，但實際上，這麼做還是盲目碰運氣，看看這個網站是否有人真的使用這組密碼。</p> <p>直到駭客留意到許多使用者會在多個網站服務裡，設定相同的帳號和密碼，較有效率的密碼猜測手法──帳號填充攻擊，也因應而生。與密碼潑灑相同的是，攻擊者不會重覆嘗試登入相同的帳號，但藉由被外洩的密碼字串，大幅增加得手機率。</p> <p>透過帳號填充攻擊的做法效果如何？防範自動化攻擊的Shape Security公司指出，根據他們的統計，駭客能得手帳號控制權的比例，大約是0.2%到3%不等，也就是平均每測試1,000個帳號，就至少會有2個帳號淪陷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/BLI2018H1v5b_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Gemalto.png" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>網站帳號資料遭駭事件頻傳，助長帳號填充攻擊蔓延</strong></span></p> <p><span style="color:#696969;"><strong>若要發動帳號填充攻擊，駭客首先要取得的工具，就是可用來填入的帳號和密碼。而根據Gemalto的統計，光是去年上半傳出遭到外洩的資料量，就多達33億筆之多，這種現象，使得駭客想要拿到已經洩露的帳號資料，變得更為容易。</strong>圖片來源／Gemalto</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/HIBP1905_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Have%20I%20Been%20Pwned.png" style="width: 250px;" /></span></p> <p><span style="color:#3399ff;"><strong>可供使用者查詢帳密安全狀態的網站</strong></span></p> <p><span style="color:#696969;"><strong>使用者想要得知自己帳號和密碼的安全性，是否在資料外洩事件中流出，Have I Been Pwned網站共收錄365個被駭網站、逾78億筆帳號，讓使用者輸入用來做為帳號的電子郵件信箱查詢。</strong>圖片來源／Have I Been Pwned</span></p> <p><span style="font-size:28px;"><strong>攻擊手法趨於隱密，找出異常存取情事極為不易</strong></span></p> <p>至於管理者要從何做起，才能攔截帳號填充攻擊呢？首先，站方應該試圖從找出這種嘗試登入的行為著手。然而，在帳號填充攻擊裡，駭客往往已經規避了現有的防範暴力破解機制。</p> <p>其中，為了避免帳號遭到鎖定，或是被站方發現異常登入的現象，攻擊者很可能針對網站的政策，採取減緩攻擊的措施。例如，某個網站在30分鐘內，使用者輸入5次錯誤的帳號和密碼之後，就會停止該名用戶存取，那麼駭客可能會改用每30分鐘嘗試4次的頻率，就能避免被判為異常。而現在，有些駭客甚至做到更為精細的攻擊手法──每個資料庫裡的帳號和密碼，只測試一次，而且還會逐次採用不同的IP位址，嘗試登入系統。</p> <p>在現行網站防護系統中所採取的保護措施，主要還是在指定的時間間隔之內，某個使用者帳號裡，輸入錯誤密碼的事件達到一定次數之後，將帳號暫時停用一段時間。然而，面臨上述的低頻率攻擊手法，即使攻擊者將所有使用者的帳號都嘗試登入過一輪，在這種防護政策之下，企業只會將其視為用戶不小心輸入錯誤密碼，而無從發現背後可能是大規模的猜測密碼行為。要是攻擊者剛好試出可用的帳號和密碼組合，系統更不會察覺有異。</p> <p>同時，這些防護機制攔截可能有害的登入來源對象，長期以來也是透過IP位址黑名單作為判斷依據。面臨駭客會不斷更換IP位址的做法，管理者若是單純倚靠黑名單的內容，不只會有新增不完的IP位址列表，一旦駭客使用了黑名單以外的IP位址做為跳板，這種識別措施形同虛設。</p> <p>過去對於使用者的環境探測，企業的目的首重於改善使用者瀏覽體驗，因此可能讀取瀏覽器的使用者代理字串（User Agent）內容，得知使用者所執行的瀏覽器、電腦的作業系統，以及偏好的語言等，若是攻擊者採用無介面（Headless）模式的瀏覽器，企業難以從上述的字串中得知這種情況，察覺登入請求是出自於自動化攻擊。</p> <p>考量到資安系統營運的成本等因素，企業監控使用者的對象，普遍是內部的員工，提供外部一般社會大眾能夠存取的的網頁應用程式，也難以要求執行嚴格的身分驗證流程，生怕影響使用者採用自家網站服務的意願，時至今日，還是不少網頁應用程式，並未提供雙因素驗證機制。基於這些已被駭客繞過的現行防護措施，企業想要偵測出帳號填充攻擊的行為，可說是難上加難。</p> <p><strong style="text-align: center; font-size: 28px;">仍有緩解相關攻擊的做法與原則，OWASP提出具體的對策</strong></p> <p>雖然這種猜測密碼的攻擊手法更加隱密，但拜駭客採用自動化填入大量帳號和密碼之賜，也不是全然沒有因應之道。長期專注於網頁應用程式安全的網路社群OWASP，便針對帳號填充攻擊的威脅，提出可以緩解的因應措施。依據這些方法的重要性，他們區隔成主要和次要（進階措施）等2種，不過，從實行的面向來看，我們也可以重新歸納為如何識別出機器人，以及防堵機器人自動化攻擊存取的方法。</p> <p>在偵測是否為機器人發出登入請求的做法上，OWASP建議，透過採集端點電腦的指紋（Fingerprint），從裝置所執行的瀏覽器、作業系統、螢幕解析度、滑鼠操作行為，以及端點電腦所在的地理位置等資訊，識別出是真實使用者或是機器人所為。</p> <p>而從防堵的角度來看，OWASP列出的做法又可以再加以區分為兩種，分別是防止自動化存取和事前預防的措施。為了杜絕機器人鎖定欄位的網頁程式碼段落，自動化填入帳號和密碼，就可能得以4登入系統，採用雙因素驗證或CAPTCHA人機驗證的機制，都有助於減緩網站受到這類攻擊的現象。此外，時下網站服務採用電子郵件信箱作為帳號名稱的情況相當普遍，容易讓使用者設定出完全相同的帳號和密碼情況發生，因此，在OWASP的建議事項裡，也認為網站帳號名稱的規則裡，企業應該捨棄使用電子郵件信箱的格式。</p> <p>至於在增加身分驗證流程的複雜程度之外，也有其他進階的保護措施，讓機器人難以重覆填入帳號和密碼，但又不會影響一般使用者操作的流程。那就是將網頁的部分或是全部程式碼，進行混淆，甚至有些防護措施的機制中，只要用戶端重新載入網頁，便又重新傳送再次處理過的程式碼，使得機器人想要在相同的網頁程式碼欄位中，填入帳號與密碼的位置，變得無從執行，而達到防範的效果。</p> <p>若是要從預防的角度下手，除了IP位址的黑名單之外，企業也可以收集外洩帳號的情資，及早發現可能處於被駭危機的使用者帳戶。</p> <p><span style="color: rgb(51, 153, 255);"><strong>OWASP建議網站緩解帳號填充攻擊的方式</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在防範帳號填充攻擊的做法上，OWASP提出了具體的建議措施，並依據可行性區分成主要和次要等2種，該單位也指出，部分措施與防治暴力猜測密碼的方法有交集之處，因此企業並非完全沒有防範帳號填充攻擊的能力。</strong></span></p> <table align="center" border="1" style="width: 600px;"><tbody><tr><td class="rtecenter" style="background-color: rgb(51, 51, 51); border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color: rgb(255, 255, 255);"><strong>重要性</strong></span></span></td> <td class="rtecenter" style="background-color: rgb(51, 51, 51); border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color: rgb(255, 255, 255);"><strong>可用的建議措施</strong></span></span></td> </tr><tr><td style="background-color: rgb(51, 153, 255); border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>主要作法</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); border-color: rgb(255, 255, 255);"> <p><span style="color:#FFFFFF;"><strong><span style="font-size:18px;">1. 採用多因素驗證<br /> 2. 使用CAPTCHA驗證<br /> 3. 封鎖IP位址黑名單<br /> 4. 採集裝置指紋<br /> 5. 棄用電子郵件信箱做為帳號名稱</span></strong></span></p> </td> </tr><tr><td style="background-color: rgb(51, 153, 255); border-color: rgb(255, 255, 255);"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong>次要做法</strong></span></span></td> <td style="background-color: rgb(51, 153, 255); border-color: rgb(255, 255, 255);"> <p><strong><span style="color:#FFFFFF;"><span style="font-size:18px;">1. 採用多重步驟登入程序<br /> 2. 封鎖無使用者介面（Headless）瀏覽器<br /> 3. 禁用已被駭的密碼<br /> 4. 出現異常存取時通知使用者</span></span></strong></p> </td> </tr></tbody></table><p><span style="font-size:28px;"><strong>資安廠商已有意識，但真正在商用產品納入相關防護者卻少之又少</strong></span></p> <p>上述由OWASP提出的各種做法，究竟要如何落實？或許，網站管理者可以從現有的防護措施中，加強網站存取的監控，或是採用雙因素驗證等措施，強化網站防護能力，而我們詢問開源軟體的專家，他們也提供了一些建議。</p> <p>我們也向企業級的資安廠商詢問，要求他們提出因應帳號填充攻擊的方法，詭異的是，許多廠商卻避而不談，只有少數業者真正將帳號填充攻擊視為重要的防護項目，且推出商用產品或是納為解決方案重要功能，令我們感到相當意外。面對這樣的局面，也使得企業無所適從，因為，就算想要採買能夠防禦帳號填充攻擊的資安產品，實際可選擇的廠牌並不多。</p> <p>因此，有關的資安業者應該要加緊腳步，趕快研發有關的防護機制，並實際在產品中提供這些功能，而非讓資安廠商的沉重呼籲成為紙上談兵，不能繼續讓企業網站的維護者只能採取東拼西湊的做法，自行想辦法土法煉鋼，打造出各種保護措施。</p> </div></div></div>
2019/6/7 09:00作者周峻佑https://www.ithome.com.tw/news/131019
【網站應用程式要防堵帳號填充攻擊，市面上已有解決方案可選】剖析因應帳號填充攻擊的3種可行做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳號填充攻擊的威力，為網站或是網頁應用程式的使用者帶來嚴重困擾，提供與維護相關服務的管理單位，也會同樣蒙受系統可遭到濫用的疑慮。雖然從網站管理的角度來看，並非業者的平臺本身不夠安全，導致遭到駭客入侵或是濫用，但是現實的問題在於，網站面臨帳號填充攻擊之後，不光是只有大量使用者遇害，網站的信譽也會大受打擊。</p> <p>基本上，帳號填充攻擊的定義，就是因為使用者往往會在不同的網站裡，採用相同的使用者名稱和密碼，導致駭客得以透過已經遭到外洩的帳號資料庫，嘗試登入，取得另一個服務帳號的權限。因此，在過去幾年，許多專家不斷呼籲，用戶應該要在各種網站服務裡，採用不同的帳號與密碼，以免駭客得手其中一個網站的帳號資料庫後，其他網站的身分也面臨帳號填充攻擊的威脅。</p> <p>雖然駭客企圖隱藏密碼猜測的攻擊行為，使得企業想要發現這種異常存取的徵兆，變得更加困難，然而，想要防範帳號填充攻擊，也不是全然沒有因應的的方法。若要了解必須採取的防護措施，近期由專精網頁應用程式安全的網路社群OWASP所提出的建議，就相當值得參考。從OWASP列出的做法裡，我們可大致區分成2種方向，也就是發現由機器人嘗試執行的行為，還有讓機器人無法自動化執行密碼測試的措施。</p> <p>要如何做到這些防護機制，我們勢必需要透過一些工具達成，在商用的解決方案裡，我們找到3款產品，同時也發現，這些產品提供了較為進階的防護能力，像是在端點電腦的地理位置偵測之外，採用更為精細的使用者環境偵測機制，使得識別請求登入來源判斷更為精確，或者是納入網頁程式碼混淆的技術，防止機器人在網頁上直接自動填入帳號和密碼等。</p> <p>在擁有能夠攔阻帳號填充攻擊的具體解決方案上，我們首先想到的，是網頁應用程式防火牆（WAF）。然而實際詢問專門提供相關產品的廠商，卻出乎我們的意料，僅有F5提供詳細的介紹，也具備因應這種攻擊的有關白皮書等文件，其產品的功能相當完整。至於其他的業者，有些表示旗下產品尚未具備相關功能，而其他則是不予回應。</p> <p>不只網頁應用程式防火牆，也有專門提供自動化攻擊防護的資安新創業者ForceShield，將他們的保護措施，運用於防範帳號填充攻擊上。此外，推出雲端服務存取控管閘道（CASB）的廠商裡，Forcepoint開始將產品相關的功能，延伸應用在偵測網站上的這種存取行為中。因此，從這次我們找到能運用於防範帳號填充攻擊的解決方案中，也可以看到3種不同型態的出發點──網頁應用程式防護、自動化攻擊防護，以及應用程式存取與權限的控管等，使得這些產品擁有各自獨特的風格。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/DynaShield_Dashboard_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ForceShield.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>監控機器人的登入行為並分析</strong></span></p> <p><span style="color:#696969;"><strong>針對帳號填充攻擊等進階網站威脅，ForceShield推出了DynaShield，讓企業能夠進行偵測及防範。在圖中DynaShield的儀表板裡，包含攻擊所出現的時間點走勢圖，統整出異常存取類型、來源IP位址，以及網站遭到大量存取的路徑排行，讓管理者快速掌握整體情勢。</strong>圖片來源／ForceShield</span></p> <p><span style="font-size:28px;"><strong>網頁應用程式防火牆內建有關防護</strong></span></p> <p>論及企業想要保護網站伺服器的安全，網頁應用程式防火牆可說是最為重要的防護措施之一，雖然不少廠商意識到這種威脅大肆蔓延，而紛紛在自己的部落格上呼籲要大家小心防備，但市面上眾多的解決方案裡，卻僅有F5等少數業者，開始針對帳號填充攻擊提供有關的保護措施。而論及功能的豐富程度，F5所推出的Advanced Web Application Firewall（Advanced WAF），可說是涵蓋面向相當完整的解決方案。</p> <p>針對帳號填充攻擊的防護機制而言，F5 Networks資深技術顧問許力仁表示，他們從4種層面提供防護，分別是內建防治相關攻擊的使用者登入政策、偵測存取的用戶是否為機器人、已遭到洩露的使用者帳號與密碼情資，還有用戶端的輸入的資料加密等。其中，最重要的工作，許力仁說，是如何識別出機器人在不斷嘗試登入系統的情形。</p> <p>由於是透過自動化的方式進行作業，機器人攻擊與使用者手動登入上，就有一些方法上的不同。例如，雖然都是透過瀏覽器開啟網頁，然後執行登入的行為，但若是由機器人進行帳號填充攻擊，用戶的環境裡就可能有些徵兆。</p> <p>其中最重要的偵測手法，便是該款應用程式防火牆接到網頁連線請求時，向使用者的瀏覽器注入JavaScript，要求驗證挑戰，瀏覽器便會回覆並重新傳送連線請求，這時，若是Advanced WAF收到的回應正確，就會將Cookie署名，並加上時間戳記與指紋，把已確認為合法的連線請求，傳送到後端的網站伺服器。</p> <p>若是由機器人自動化登入，攻擊者會利用Python等指令工具，呼叫瀏覽器執行，而瀏覽器的環境裡，便可能會被植入自動化擴充套件，像是iMacros或是Selenium，下達指令。由於一般使用者不會安裝這種型態的擴充套件，若是從用戶端瀏覽器環境裡發現，此次登入由機器人自動化執行的可能性就非常高。</p> <p>在上述的用戶端環境偵測之外，Advanced WAF也透過F5的雲端資料庫，比對存取網頁所使用的帳號和密碼，是否來自於已遭外洩的網站帳號資料庫，減緩帳號填充攻擊的情況。</p> <p>為了避免機器人自動化抓取網頁裡帳號和密碼的欄位，Advanced WAF納入了欄位混淆的手法，能在企業不用修改網頁的情況下，將這些欄位的參數，轉換成沒有意義的代號，再傳送到使用者的瀏覽器上，而且管理者能夠指定防火牆定時隨機更換，使得自動化攻擊行為更難以執行。</p> <p>而面臨使用者的電腦上，很可能遭到駭客植入側錄軟體，截錄用戶所輸入的帳號和密碼等資料，F5提供了網頁欄位加密的機制，避免使用者所輸入的內容，成為攻擊者可以拿來濫用的資料。</p> <p>至於市面上其他的網頁應用程式防火牆系統，還是有少部分的功能，能夠應用於偵測與防堵帳號填充攻擊的手法。像是博格讀書會創辦人X1就推薦了AWS所推出的解決方案，並透過以頻率為基準的政策（Rate-Based Rules），試圖從偵測疑似異常跡象，進行防範。而AWS WAF最值得採用的特點，在於能夠隨租即用，較能因應企業的需求快速調整。</p> <p><span style="font-size:28px;"><strong>從自動化攻擊流程的角度著手，防範網站遭到帳號資料填充行為</strong></span></p> <p>值得留意的是，不只是針對網頁應用程式防護的廠商，其他領域的資安業者，也開始意識到帳號填充攻擊所帶來的威脅，像是以防範機器人自動化攻擊起家的新創公司ForceShield，就針對網頁應用程式所面臨的相關威脅，推出了專屬防護系統DynaShield。</p> <p>ForceShield資安分析師賴婕芳指出，這款產品在因應自動化的帳號填充攻擊過程裡，充分運用了自家的動態幻象技術（Dynamic Transformation Technology），提供了對應的4大防護機制──首先，從端點電腦向網頁伺服器提出登入請求之際，進行偵測，判斷來者是一般使用者還是機器人；再者，則是因應登入頁面裡，特定程式碼內容，能讓機器人鎖定，用來自動化填入帳號和密碼，納入重新封裝網頁的混淆機制。</p> <p>而為了避免登入的過程裡，合法憑證遭到濫用，他們透過動態Token，防範駭客運用重放攻擊。在連線的過程裡，使用者在網頁上所輸入的資料，則是藉由加密措施，避免所謂的中間人攻擊（Man-in-the-middle，MITM）。</p> <p>其中，與帳號填充攻擊最為相關的部分，主要是識別請求登入的端點電腦真實身分，以及防治自動化填入的網頁程式碼混淆措施。針對針對使用者環境的指紋採集，該公司強調，他們運用超過16,000種特徵，包含瀏覽器的版本、執行的擴充套件、是否為採用無介面模式（Headless）的執行狀態等特徵，經彙整後，對使用者進行評分，進而判斷發出登入請求者的身分，是合法的使用者，抑或是機器人在進行反覆的密碼猜測行為。</p> <p>而在保護網頁的部分，ForceShield則是採取名為動態封裝的機制，混淆網頁程式碼，隱藏自動化攻擊過程裡，駭客可用來填充帳號與密碼的地方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ForcepointCASB_DashBoard_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%94%E5%8F%8B%E7%A7%91%E6%8A%80.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>從企業雲端服務的存取管控，延伸保護應用程式網站</strong></span></p> <p><span style="color:#696969;"><strong>Forcepoint將適用於雲端服務存取安全閘道（CASB）系統的應用層面，從管控企業採用的雲端服務，進一步納入企業的網頁應用程式。圖中的儀表板便先呈現各種偵測到的受到異常存取的帳號數量，包括暴利破解、帳號遭到接管，以及惡意存取等情況。</strong>圖片來源／達友科技</span></p> <p><span style="font-size:28px;"><strong>企業內部雲端服務存取控管平臺，也延伸防護範圍到網站上</strong></span></p> <p>其實所有的解決方案中，最出乎我們意料之外的，是雲端存取安全閘道系統型態的解決方案，也開始有廠商將產品的功能，應用到不同的領域上。例如，Forcepoint是其中少數開始這麼做的雲端存取安全閘道業者。</p> <p>Forcepoint代理商達友科技副總經理林皇興認為，雲端存取安全閘道這種型態的防護系統，發展出來的時間並不長，目前正處於受到企業認同並開始採用的階段，因此，只有Forcepoint等少數業者，開始這種藉由客製化的方式，讓企業使用這種防護系統來保護網站，不受異常存取攻擊的侵擾，大多數同類型業者還沒有提供這樣的延伸應用機制。</p> <p>基本上，雲端存取安全閘道系統所具備的功能，主要還是防範企業內部使用者可能因為操作不當，導致公司機密公開，或是不小心遭到刪除等不當存取的狀況，因此，相較於前述兩種型態的保護機制而言，雲端存取安全閘道還是偏向以電腦的地理位置與IP來源位置，來識別是否為異常存取的跡象，在管理介面的儀表板上，也以這些資訊來告知管理者，處於高度風險的帳號名單，疑似出現了大量不當存取的情況。</p> <p>另外，在雲端存取安全閘道系統的保護措施中，內建了分級權限控管功能，也是這種型態防護機制的一大特色。由於存取企業網頁應用程式的角色，除了一般使用者，通常還有具備較高權限的管理者或是維護廠商的帳號，一旦遭到帳號填充攻擊而被存取，影響的程度將更為嚴重。因此，公司可增加存取環境的限制，像是限定這類使用者只能從企業內部網路登入，甚至是電腦必須安裝指定的端點代理程式才能執行等要求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【降低攻擊者輕易控管帳號的機率，雙因素身分驗證是重要的措施】</strong></span><span style="font-size:28px;"><strong>善用免費工具，也能緩解帳號填充攻擊</strong></span></span></p> <p>如果企業想要防堵網站應用程式可能面臨帳號填充攻擊的隱憂，但還是暫時沒有預算能夠支應，還是有一些免費的解決方案，能夠協助管理者因應這種攻擊手法。在今年臺灣資安大會上，我們認識兩位透過開源工具強化企業資安的講者──耀達電腦技術總監鄭郁霖與博格讀書會創辦人X1，他們也推薦了一些免費解決方案，讓企業能夠加以運用。</p> <p>這些解決方案主要從兩種層面著手，包含了伺服器主機存取的防護，以及身分驗證機制的加強。對於前者，鄭郁霖和X1都一致建議，企業可使用Fail2Ban，攔截異常登入的事件。雖然Fail2Ban所防範的方向，主要是針對攻擊者暴力測試密碼的行為，然而企業若是配置相關組態得宜，仍然可以防堵部分帳號填充攻擊的情形。</p> <p>另外一個方向，則是應該在原本的帳號和密碼之外，導入雙因素驗證（2FA）的措施。由於許多應用系統都內建雙因素驗證的功能，但預設不會啟用。鄭郁霖表示，企業開啟有關功能之後，可以增加帳號填充攻擊的難度，避免有心人士取得了帳號與密碼，就能夠長驅直入，存取帳號內的使用者機密資料等，相較於在維運Linux伺服器廣泛運用的Fail2Ban，他認為採用雙因素的身分驗證機制，對於防範帳號填充攻擊的效果更為顯著。</p> <p>而在使用者的部分，人人都有智慧型手機的情況下，企業其實可善用動態密碼產生器（OTP）應用程式，來執行雙因素驗證。而這種App市面上已有不少選擇，最知名的軟體，應為Google Authenticator。</p> <p>如果企業想選擇開放原始碼軟體，進而減少對Google的依賴，鄭郁霖認為，可以選擇由紅帽維護的FreeOTP，同樣能產生驗證時所需的動態密碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fail2Ban_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_X1.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>透過Fail2Ban監控存取異常的行為</strong></span></p> <p><span style="color:#696969;"><strong>在防範伺服器遭到異常存取的做法上，耀達電腦技術總監鄭郁霖和博格讀書會創辦人X1都認為，Fail2ban是基本措施，這個防暴力測試密碼的工具，在管理Linux伺服器上幾乎可說是必備，對於帳號填充攻擊也有些許防堵的效果。</strong>圖片來源／X1</span></p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/FreeOTP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Red%20Hat.png" style="width: 250px;" /></span></p> <p><span style="color:#3399ff;"><strong>採用密碼產生器App執行雙因素驗證</strong></span></p> <p><span style="color:#696969;"><strong>網頁應用程式系統納入進階身分驗證機制後，帳號填充攻擊的門檻，便大幅增加。其中，最常見的做法，就是讓使用者在手機上執行動態密碼產生器，取得挑戰碼，而這類App市面上也有不少，若想採用開放原始碼的解決方案，使用者也可選擇安裝FreeOTP，產生動態密碼。</strong>圖片來源／Red Hat</span></p> </div></div></div>
2019/6/7 09:00作者周峻佑https://www.ithome.com.tw/news/131020
加密貨幣交易平台Cryptohopper有山寨版，可竊取受害者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號為Fumik0_的惡意程式研究人員最近<a href="https://twitter.com/fumik0_/status/1136233532983009281" target="_blank">發現了山寨版的加密貨幣交易平台Cryptohopper</a>，不小心造訪了<a href="https://www.cryptohopper.com/blog/237-cryptohopper-warns-for-phishing" target="_blank">假冒的Cryptohopper</a>就會被植入惡意程式，隨後駭客就能竊取受害者電腦上的瀏覽器cookies、歷史紀錄、付款資訊、登入憑證、加密貨幣錢包、瀏覽器的自動填入資訊，或是雙因素認證資料庫。</p> <p>Cryptohopper主要提供自動化的加密貨幣交易服務，然而Fumik0_近日卻發現了它的山寨版，除了網址不同之外，所使用的商標及排版都與Cryptohopper的官方網站一致，而一但不小心連至山寨版，它就會自動下載一個執行檔，執行的當下依然使用Cryptohopper的商標，但它實際上卻是支Vidar木馬。</p> <p>去年10月現身的<a href="https://fumik0.com/2018/12/24/lets-dig-into-vidar-an-arkei-copycat-forked-stealer-in-depth-analysis/" target="_blank">Vidar</a>是以C++撰寫，在黑市的價格為250美元到700美元之間，買家還可存取命令暨控制（C2）商店以產生自己的惡意程式碼。Vidar的功能包括搜尋特定文件、竊取瀏覽器cookie中的ID、竊取瀏覽器歷史紀錄、竊取加密貨幣錢包、自雙因素認證軟體中竊取資料、竊取傳訊軟體中的訊息，還可取得螢幕截圖。</p> <p>Fumik0_向BleepingComputer說明，當造訪山寨版Cryptohopper的受害者執行了Vidar之後，它會安裝兩個Qulab木馬，一個為採礦工具，另一個則可用來挾持剪貼簿。</p> <p>由於Vidar的能力非常強大，而且此一攻擊鎖定的是加密貨幣交易平台的用戶，判斷駭客的企圖在於竊取Cryptohopper憑證，以盜走受害者存放在Cryptohopper的加密貨幣。</p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-cryptocurrency-trading-site-pushes-crypto-stealing-malware/" target="_blank">BleepingComputer建議</a>使用者應特別留意所造訪網站的網址是否正確，在執行任何自網路上下載的檔案時最好先經防毒軟體的掃描。</p> </div></div></div>
2019/6/7 10:05作者陳曉莉https://www.ithome.com.tw/news/131147
Fintech周報第102期：邁向里程碑！全球近半數航運業者都能支援區塊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0601-0607</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Maersk </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> IBM </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 地中海航運 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 達飛海運 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">邁向里程碑！全球近半數航運業者都能支援區塊鏈</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">IBM與全球最大貨櫃船運業者快桅（Maersk）共同發布的航運區塊鏈平臺TradeLens，在5月28日宣布，全球第二、第四大航運業者，分別是地中海航運（MSC）、達飛海運（CMA CGM）加入此平臺。這也意味著全球近半數的航運集裝箱數據，都將在TradeLens上運行。這兩家航運業者，將在TradeLens網路運行區塊鏈節點，並參與共識以驗證交易、託管數據，扮演信任錨（Trust Anchors）或驗證者的關鍵角色，也將加入TradeLens顧問委員會，就中立性與開放標準提出建議。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">地中海航運與達飛海運的加入可謂是重大里程碑，將促進整個航運供應鏈對TradeLens提高信任，也代表著整個航運生態系的壯大。達飛海運集團IT與轉型執行副總裁Rajash Krishnamurthy表示，TradeLens區塊鏈網路已經證明來自供應鏈生態系統的參與者，可以獲得重要價值。地中海航運首席數位與資訊長AndréSimha則表示，數位化合作是集裝箱航運業發展的關鍵，TradeLens平臺具有巨大潛力，去刺激航運業數位化其供應鏈，並以共通標準建立合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">TradeLens表示，目前平臺上已有超過100名參與者，且每周已處理超過1千萬個航運事件與數千份文件，為托運人、承運人、貨運代理人、海關官員、港口局、內陸運輸提供商共同提供了可以建立信任的交易，在即時取得航運數據的過程中，也能確保數據隱私與機密性。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安永 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 葡萄酒溯源</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電商 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">亞洲最大酒窖用安永區塊鏈技術，打造葡萄酒電商區塊鏈平臺</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Ernst%20%26%20Young.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">四大會計事務所安永（Ernst & Young）於5月23日宣布，為一間名為Blockchain Wine Pte.的公司，以安永區塊鏈解決方案EY Ops Chain，打造葡萄酒電商區塊鏈平臺Tattoo，用來溯源與銷售葡萄酒。此平臺的葡萄酒商品來自各個國家，種類超過 5,000種。這間公司背後的母公司，是位於上海的羅斯福公館，也是亞洲最大的酒窖之一。Tattoo平臺用了以太坊ERC-721的代幣標準，代幣化每瓶葡萄酒。這類代幣為不可替代（Non-fungible tokens）的代幣，可以讓每瓶葡萄酒獨一無二。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在溯源部分，生產商、分銷商、物流供應商、保險營運商，乃至酒店、餐廳、顧客都能在Tattoo平臺上追蹤每瓶葡萄酒，只要掃描每瓶酒上的QR Code，即可得知這瓶葡萄酒出產的葡萄園名稱與位置、種植作物的肥料類型、加工方式，以及運輸過程與支付方式。根據安永指出，Tattoo平臺已為顧客提供超過1,100萬瓶的溯源葡萄酒。不只溯源，更能銷售，Tattoo平臺還能讓消費者向經銷商直接以代幣購買葡萄酒，並能追蹤貨物運送過程，包括監控倉儲狀態以及交易資訊等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台北富邦銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀CIO揭露如何靠既有IT架構也能支撐新應用</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/022_%E5%8F%B0%E5%8C%97%E5%AF%8C%E9%82%A6%E9%8A%80%E8%A1%8C_ATM%E7%9B%9C%E9%A0%98%E4%BA%8B%E4%BB%B6_20160719.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">台北富邦銀行資訊長蕭明輝揭露了自家在面對FinTech應用，如何以既有IT架構建構新應用與平臺，還能保持其彈性與穩定性。蕭明輝解釋，銀行傳統架構有三層式，分別是前臺、中臺、後臺，過去銀行的傳統系統架構不易變動，而得分析交易量成長，來決定何時啟動採購作業來擴充系統。但面臨FinTech，尤其要推展新服務，過去靠採購來擴充的作法就遠遠來不及因應。他指出，IT在配合新服務時面臨的衝擊是，不能像過去那樣評估交易量。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">北富銀的作法有兩點，一是基礎架構的資源，得保持快速且彈性的調整，他們是透過虛擬化讓資源能動態調整，充分運用。蕭明輝透露，北富銀目前在虛擬化的正式環境已達60％，測試環境則達85％。二是如何保留後臺的穩定。北富銀的策略是把後臺產品功能變更最小化，除了必要性的產品功能變更，他們把需要配合的彈性推往前臺去處理，讓IT能快速配合前臺調整使用者介面與客戶體驗。而前臺與後臺則是靠在中臺建立ESB（企業服務匯流排）進行串接。讓前臺不同通路進來的部分，用後臺同樣的服務來管，這樣一來後臺不用大幅度改變，便能維持穩定的服務。<strong><a href="https://www.ithome.com.tw/news/130947">（更多內容）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位信任 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">LINE Pay在日本已採用eKYC技術，LINE更組80人資安中心強化生態系資安能力</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_LINE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_LINE(1).jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">通訊軟體LINE與資料與隱私權管理科技公司Intertrust於5月29日在東京舉辦資安高峰會，深入探討數位身份與數位信任兩大議題，內容包含eKYC（電子化認識你的客戶）、信用評等、生物辨識等研究與應用。LINE將觸角延伸到AI、金融科技、區塊鏈及數位代幣， LINE表示，今年4月LINE Pay在日本啟用eKYC技術，讓日本用戶在手機上拍攝身份證明文件與臉部辨識後，就可使用LINE Pay轉帳。Intertrust也在會中提出以去中心化方式，開發身分數據管理系統，希望分散式的身份系統能成為未來數位信任的基礎設施。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">面對複雜的數位工具與網路環境，LINE在資安防護上開始有更多作為。去年底，LINE收購韓國網路資安顧問公司GrayHash，並且延攬旗下知名白帽駭客加入資安團隊，今年5月更將資安團隊組織重整，正式成立資安中心，設立系統安全、應用安全、隱私安全、資安開發、CSIRT等部門，全球共有將近80位資安中心成員。LINE表示，他們對內對外皆採取零信任策略，任何裝置或系統都不能輕易信任，以最低權限最嚴密的作法控管每一個環節。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈大學聯盟 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 學界 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全臺15所大學跨校成立臺灣區塊鏈大學聯盟</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%87%BA%E7%81%A3%E5%8D%80%E5%A1%8A%E9%8F%88%E5%A4%A7%E5%AD%B8%E8%81%AF%E7%9B%9F_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">全臺15間大學攜手成立臺灣區塊鏈大學聯盟。臺大、政大、清大、交大、臺科大、臺師大、成大、彰師大、北科大、淡江、長庚、輔仁、高科大、中國醫、東吳等大學區塊鏈研究社集結聯盟。各校聯盟成立後將對接各校資源，建置論壇、舉辦研討會與論文發表會、發行刊物及區塊鏈產業地圖、舉辦企業參訪、媒合企業及各校區塊鏈人才、推動區塊鏈國際交流等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，已有幾間大學的區塊鏈研究社展開對區塊鏈底層技術及應用的研究。例如，臺大致力解決效能、安全性、去中心化問題，自行打造公鏈OurChain，目前還在開發測試階段；政大則是注重研究以太坊應用；清大創立亞洲首個區塊鏈法律研究中心；成大的區塊鏈分散式帳本實驗室，則致力於研發行動履歷；臺科大是由副校長帶頭，將區塊鏈納入論文研究方向；高科大以區塊鏈技術解決長照人力資源應用；臺師大與彰師大合作，將成立首個基礎區塊鏈高中教室；長庚正研究將遺傳資訊片段上鏈，達成數據共享的經濟模型；中國醫透過區塊鏈技術研究中藥的品管及生產履歷等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NextDrive </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BiiLabs </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈能源交易 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">NextDrive要靠IOTA區塊鏈能源交易平臺，從家用電力管理走入社區電力交易市場</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣IoT新創NextDrive（聯齊科技）在今年InnoVEX新創特展中，展出了全球最小的物聯網閘道器Cube。這顆Cube在2017年打入日本市場，不少日本家庭串接家中智慧電表，蒐集用電資訊的裝置，最近更獲得日本三大電力公司之一的中部電力青睞，成為電力服務的搭售產品。NextDrive希望能進一步從家庭走向社區，讓促成電力在鄰里之間流動。去年，NextDrive與臺灣分散式帳本技術新創BiiLabs宣布合作，要打造一個以IOTA為基礎的能源交易平臺，目前正在驗證可行的使用場景。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">當家戶的電力，可以流通到其他有需求的家戶，就會產生多方交易，電力來源、計價與清算，都必須能清楚記錄。BiiLabs共同創辦人暨執行長朱宜振表示，要做到這類事情，首先要有三個要素。一是數位身分，才能將資產歸戶；二是需要加密貨幣；三則是要打開資料流動性，才能讓資料成為可交易的商品。這也是目前，NextDrive與BiiLabs新能源平臺所要實現的三項能力。<strong><a href="https://www.ithome.com.tw/news/131026">（更多內容）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：攝影／洪政偉、李靜宜；</span></span>TradeLens<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><span style="font-size: 14pt; vertical-align: top;">、</span></span>Ernst & Young<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><span style="font-size: 14pt;">、</span></span>LINE<br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br style="vertical-align: top;" /><br /><strong style="vertical-align: top; font-size: 14pt;">1. </strong><strong>台新銀行開始在內湖數位示範分行推出VIP人臉辨識迎賓服務<br /> 資料來源：iThome整理，2019年6月</strong></p> </div></div></div>
2019/6/6 16:15作者李靜宜https://www.ithome.com.tw/news/131141
美國討債公司AMCA資料外洩，危及眾多醫療院所病患個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="http://geminiadvisory.io/amca-largest-medical-breach/" target="_blank">Gemini Advisory</a>今年2月在黑市發現，駭客正在兜售20萬筆的支付卡資訊，追查之下發現相關資訊源自於，專替醫療診所追討病患欠費的American Medical Collection Agency（AMCA），本周相繼傳出美國臨床診斷公司Quest Diagnostics與LabCorp都收到AMCA的通知，顯示這兩家醫療組織分別有1,190萬名病人及770萬名病人的資料外洩，而外界則擔心，AMCA的資料外洩事件恐波及更多的醫療院所。</p> <p>AMCA宣稱每年可替全美的醫療院所處理超過10億美元的營收帳款，每月寄出144萬封催帳郵件，每天撥出35萬通電話，總計已協助清除逾2,500萬名客戶的債務。</p> <p><a href="http://newsroom.questdiagnostics.com/AMCADataSecurityIncident" target="_blank">Quest Diagnostics在聲明稿中指出</a>，AMCA坦承他們用來存放來自不同組織之個人資料的系統遭到未經授權的使用者存取，雖然Quest Diagnostics並未直接與AMCA合作，但承攬Quest Diagnostics業務的營收周期管理公司Optum360，又把催帳業務轉包給AMCA，而造成1,190萬名Quest Diagnostics病患的個資外洩。</p> <p>AMCA是在5月通知Optum360與Quest Diagnostics，Quest Diagnostics則在6月3日對外公告。</p> <p>接著另一臨床診斷公司LabCorp也在<a href="http://secfilings.nasdaq.com/filingFrameset.asp?FilingID=13474097&RcvdDate=6/4/2019&CoName=LABORATORY%20CORP%20OF%20AMERICA%20HOLDINGS&FormType=8-K&View=html" target="_blank">提交給美國證券交易委員會（SEC）的文件</a>中提到了同樣的意外，顯示LabCorp也是AMCA資料外洩事件的受害者之一，波及770萬LabCorp的病患資料，其中有20萬名病患的資料中含有支付卡資訊。</p> <p>根據LabCorp的描述，AMCA平台被入侵的時間點長達半年以上，約是在去年8月1日到今年的3月30日。</p> <p>這些健康醫療診所提供給AMCA的病患資料，通常包括姓名、生日、地址、電話、社會安全碼、服務日期與帳號資訊，若是與AMCA達成付款協議的病患，則會再額外具備支付卡資訊。</p> <p><a href="https://geminiadvisory.io/amca-largest-medical-breach/" target="_blank">Gemini Advisory指出</a>，該公司在3月1日便試圖與AMCA接洽，卻不得其門而入，於是當天就通報了聯邦執法機構。</p> <p>儘管並未取得AMCA的任何回應，但Gemini Advisory相信AMCA已經收到訊息，因為AMCA的支付入口網站在4月就已關閉，且停用了數周。</p> <p>外界認為AMCA此次的意外應不僅影響Quest Diagnostics與LabCorp，很快就會有其它的受害者浮上檯面。</p> </div></div></div>
2019/6/6 15:45作者陳曉莉https://www.ithome.com.tw/news/131139