iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 121篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 121 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象3 家

路透社2筆關係
日經中文網1筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

資安一周47期：Telegram創辦人指DDoS攻擊與香港反送中事件有關、駭客利用Google Calendar邀請功…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="field field-name-body field-type-text-with-summary field-label-hidden"> <div class="field-items"> <div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0613-0619 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家級攻擊＃反送中 #DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Telegram創辦人指DDoS攻擊與香港反送中事件有關</strong></h2> <p>加密傳訊服務Telegram在6月12日面臨DDoS攻擊，並影響全球用戶，Telegram創辦人Pavel Durov於6月13日表示，大多數攻擊的IP位址來自中國，從歷史來看，他們所經歷的所有國家級駭客DDoS攻擊行動，都與香港的政治抗議活動有關。</p> <p>香港人民在6月9日發起抗議《逃犯條例》的遊行活動。此條例簡化了嫌犯遣送流程，允許政府透過專案或特定協議，將嫌疑人移交他國，使得港人擔心，此舉將讓中國能夠任意自香港移交嫌犯至中國，因而抗議行動被稱為「反送中」，超過100萬名香港居民上街頭。</p> <p>由於Telegram在多次香港遊行中，廣受群眾使用，使得這項通訊服務成為駭客的頭號目標。Pavel Durov指出，這次由國家級駭客發動的攻擊，流量每秒達200至400Gb，而且時間點也與反送中行動相符。<a href="https://www.ithome.com.tw/news/131271"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-telegramddos.png" style="width: 400px;" /></p> <p>圖片來源：Pavel Durov</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃行事曆詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">駭客利用Google Calendar邀請功能發動網釣攻擊</strong></h2> <p>資安業者卡巴斯基發現新的網路釣魚手法，駭客利用的是手機版Google Calendar通知功能，以此騙取用戶信用卡卡號及重要個資。</p> <p>卡巴斯基研究人員指出，這招「行事曆詐騙」手法很有效。對於陌生人傳送的電子郵件和簡訊，大部分用戶已有戒心，但Calendar通知則前所未見。研究人員也表示，這種手法同時繞過Google的防護機制，因為它的垃圾郵件過濾引擎會將自家服務列為白名單。</p> <p>Google服務之間的高度整合，而遭到駭客濫用的情況，並非首例。過去駭客冒充受害者的友人，傳送Google Docs編輯請求的郵件，待受害者點選連結後，就會被引導到惡意網站，並騙取Gmail帳號和密碼。<a href="https://www.ithome.com.tw/news/131253"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃硬體漏洞攻擊＃DRAM</strong></h3> <h2><strong style="vertical-align: top;">研究人員發現新的DRAM漏洞攻擊手法</strong></h2> <p>近期針對處理器的硬體漏洞與攻擊手法不斷被揭露，而曾在2016年出現的動態隨機存取記憶體（DRAM）漏洞Rowhammer，現在有一群研究人員找到新的攻擊手法，並命名為RAMBleed。過去相關的攻擊行為是變更或寫入記憶體資訊，RAMBleed則是用來讀取當中的內容，例如2048位元的RSA金鑰。</p> <p>由於RAMBleed攻擊是奠基在Rowhammer之上，所有受到Rowhammer影響的記憶體，範圍包括DDR3與啟用TRR功能的DDR4。雖然還沒有遭到駭客濫用，不過，研究人員建議，用戶應該將記憶體升級具備TRR的DDR4，增加駭客攻擊的複雜程度。<a href="https://www.ithome.com.tw/news/131222"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-rambleed.png" style="width: 400px;" /></p> <p>圖片來源：RAMBleed</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃RCE</strong></span></h3> <h2><strong style="vertical-align: top;">Exim遠端指令執行漏洞影響數百萬伺服器</strong></h2> <p>全球近六成伺服器使用的郵件伺服器元件Exim，傳出重大漏洞，可讓駭客藉由遠端指令執行（RCE）的方式，以最高權限執行任意指令，而在發現一周後，多名研究人員已經偵測到攻擊行為，Linux伺服器成為重點目標。</p> <p>Exim是開源郵件傳輸代理程式（Mail Transfer Agent，MTA），廣泛用於全球郵件伺服器。根據統計，目前全球有約57%郵件伺服器使用Exim。</p> <p>本漏洞編號為CVE-2019-10149，CVSS v3.0版風險分數為9.8分，被列為重大風險，受影響版本，包括4.87到4.91版的Exim。Exim官方呼籲，用戶應升級到最新的4.92版。<a href="https://www.ithome.com.tw/news/131270"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-eximvul.png" style="width: 400px;" /></p> <p>圖片來源：Freddie Leeman</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃防禦措施</strong></span></h3> <h2><strong style="vertical-align: top;">針對已知漏洞發動攻擊，僅半數駭客使用公開工具</strong></h2> <p>幾名研究人員在本月初舉行的資訊安全經濟研討會（Economics of Information Security），發表研究結果，探討企業修補漏洞的策略，並指出在實際的攻擊行動裡，僅有一半駭客會採用已被公開的攻擊程式。</p> <p>根據統計，在近9年中所出現的7.6萬個漏洞中，約有9,700個的攻擊程式被公開，占所有漏洞總數的12.8%。攻擊行動中被利用的漏洞工具為4,200個，其中有2,100個是利用前述被公開的惡意軟體，換言之，半數的漏洞工具是駭客自行製造。</p> <p>研究人員認為，企業或政府不應只依據漏洞攻擊程式的曝光與否，來決定修補順序，因為在實際的攻擊行動中，駭客濫用的漏洞至少有一半是不公開的攻擊程式；再者，CVSS分數高低並非絕對，超過半數的漏洞攻擊，濫用的漏洞分數都在9分以下。<strong><a href="https://www.ithome.com.tw/news/131208">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃硬體漏洞＃Yubico</strong></span></h3> <h2><strong style="vertical-align: top;">Yubico的硬體Token裝置傳出有程式臭蟲，將免費換新</strong></h2> <p>正當業界力推無密碼輸入方案，使硬體Token接受程度增加，使得這些產品的安全性更受到重視。繼Google召回藍牙版Titan行動後，Yubico近期發出公告，表示旗下部分產品韌體的臭蟲，將召回市售產品並為用戶免費更換。</p> <p>受該漏洞影響的產品包括YubiKey FIPS、YubiKey Nano FIPS、YubiKey C FIPS，以及YubiKey C Nano FIPS。其他產品則不受影響。<a href="https://www.ithome.com.tw/news/131273"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃硬體漏洞＃特定行業攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">售至全球50個國家的醫療用輸液幫浦系統含遠端攻擊漏洞</strong></h2> <p>專攻醫療裝置領域的資安業者CyberMDX，揭露了醫療系統裡出現的資安漏洞。由醫療裝置製造商Becton, Dickinson and Company（BD）生產、用來控制輸液幫浦的Alaris閘道工作站裡，含有兩個安全漏洞，其中一個允許駭客直接關閉裝置、安裝惡意程式、竄改藥物的劑量或輸液速度。</p> <p>BD對外透露，Alaris閘道工作站已銷售至全球50個國家，其中有3個國家的出貨量多達2,000臺，有8個超過1,000臺，由於並未在美國銷售，迄今亦未接獲任何攻擊報告。<a href="https://www.ithome.com.tw/news/131306"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃帳號填充攻擊＃資安市場動態</strong></span></h3> <h2><strong style="vertical-align: top;">帳戶安全檢測網站Have I Been Pwned求售</strong></h2> <p>創辦Have I Been Pwned（HIBP）網站的澳洲安全專家Troy Hunt對外說明，以他一己之力已無法支撐日益龐大的業務，決定發起Svalbard專案，出售HIBP。</p> <p>即使是網站求售，Troy Hunt還是公布了數項承諾，包括未來HIBP仍將維持免費搜尋功能，他自己也會繼續投入網站維運的工作，並計畫打造更多更實用的功能，期望觸及更多的使用者，進而改變消費者行為，讓全球組織都能因HIBP而受惠。<a href="https://www.ithome.com.tw/news/131230"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃威脅情資共享</strong></span></h3> <h2><strong style="vertical-align: top;">金融資安資訊分享與分析中心服務將收費</strong></h2> <p>隨著我國金融機構近年來資安事件頻傳，金融資安資訊分享與分析中心（F-ISAC）將會更加廣泛受到運用。為了能讓該中心能持續經營，金管會正研議收費機制，減輕國庫負擔。</p> <p>根據立法院預算中心報告指出，F-ISAC由國家科學技術發展基金補助建置，並於2017年12月正式對外服務，而今年度的營運經費，由金管會公務預算支應，編列3,440萬元。雖然現在仍有政策性任務，不會向用戶收費，但金管會正在評估，讓F-ISAC未來朝收費制度發展，也可能走向民營化型態。<strong>詳全文</strong></p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/131249">Google讓Android手機也能提供iOS裝置用戶進階身分驗證</a><br /> ●<a href="https://www.ithome.com.tw/news/131229">微軟封鎖Windows PC和不安全的藍牙FIDO金鑰的配對</a><br /> ●<a href="https://www.ithome.com.tw/news/131254">新創端點防護業者CrowdStrike那斯達克掛牌，首日股價大漲70%</a><br /> ●<a href="https://www.ithome.com.tw/news/131311">駭客利用23款攻擊程式來散布新一代殭屍病毒Echobot</a><br /> ●<a href="https://www.ithome.com.tw/news/131326"><span class="field-content">Bitdefender與警方聯手釋出勒索軟體GandCrab最新版解密工具</span></a><br /> ●<a href="https://www.ithome.com.tw/news/131338">臉書加密貨幣系統Libra惹議，美國政府要求臉書暫停開發</a><br /> ●<a href="https://www.ithome.com.tw/news/131274">資安攻防新戰略MITRE ATT&CK</a></h3> </div> </div> </div> </div></div></div>
2019/6/19 17:39作者周峻佑https://www.ithome.com.tw/news/131347
Google釋出專門檢舉可疑網站的Chrome擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2019/06/new-chrome-protections-from-deception.html" target="_blank">Google在本周釋出</a>了專門供使用者檢舉可疑網站的<a href="https://chrome.google.com/webstore/detail/suspicious-site-reporter/jknemblkbdhdcpllfgbfekkdciegfboi" target="_blank">Chrome擴充程式Suspicious Site Reporter</a>，主要可協助Google改善Safe Browsing服務。</p> <p>Google在2007年發表的Safe Browsing為一黑名單服務，它蒐集各種高風險的網站，以提醒使用者及被入侵的網站，並提供公開API以供各家瀏覽器使用，因此，除了Chrome之外，包括Safari、Firefox、Vivaldi與GNOME Web也都受惠於Safe Browsing。</p> <p>此外，Google也將Safe Browsing嵌入自家的服務中，於是不論是搜尋、Gmail或Android用戶都會受到Safe Browsing的保護，且Google的廣告安全團隊也利用它來過濾廣告中所推廣的網站。</p> <p>Google表示，過去他們都是藉由自動分析搜尋引擎執行網路爬梳時所發現的網站，來建立危險清單，現在則希望透過使用者的協助來壯大Safe Browsing的能力。</p> <p>在安裝Suspicious Site Reporter之後，當使用者造訪了可疑網站時，就會看到一個檢舉圖示，並秀出該網站可疑之處，使用者按下檢舉就能通知Google展開進一步的評估。使用者的協助不只能保護Chrome用戶，亦能保護其它瀏覽器用戶。</p> </div></div></div>
2019/6/19 17:00作者陳曉莉https://www.ithome.com.tw/news/131346
MongoDB 4.2新版支援分散式交易，資料庫即服務MongoDB Atlas增加資料湖服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/blog/post/mongodb-42-previewed-at-mongodb-world">MongoDB在其開發者大會中發布了最新版本MongoDB 4.2</a>，其中重要的功能包括分散式交易（Distributed Transactions）以及客戶端欄位層級加密（Client Side Field Level Encryption），另外，<a href="https://www.mongodb.com/blog/post/mongodb-atlas-data-lake-debuts-at-mongodb-world">MongoDB的資料庫即服務也推出資料湖（Data Lake）</a>以及全文搜尋功能，並且與GCP深度整合。</p> <p>MongoDB 4.2基於4.0所提供的多文件（Multi-Document）ACID交易功能，建構更進階的分散式交易，這將允許交易在維持原子性的同時，跨MongoDB Atlas全球叢集工作，或是跨多個區域的大型分片部署操作，而當有交易在分片上提交失敗的時候，所有分片上相關的交易也都會終止。</p> <p>用戶可以使用跟過去相同的關聯式交易語法進行查詢，無須改變就能直接在擴展的叢集中使用，MongoDB 技術長Eliot Horowitz提到，MongoDB現在已經能支援大多數可預期的使用案例，從最基本的文件層級ACID保證，到現在能夠支援全球分散式雲端服務的交易。</p> <p>新版MongoDB也加強了安全功能，MongoDB目前提供了一系列安全功能，包括端到端加密以及高精細度的角色存取控制等，但為了符合新的安全法規，要求資料庫必須更安全地進行資料操作，資料庫儲存的加密資料，資料庫本身必須無法讀取，這些資料要在客戶端才能進行解密。</p> <p>為此，MongoDB 4.2現在提供客戶端欄位層級加密，伺服器無法獲得加密的機密金鑰資訊，所有加解密都是在驅動程式層級完成。當驅動程式收到寫入或是查詢命令包含加密欄位時，會從金鑰管理器中取得對應的金鑰，加密資料才傳送給伺服器。而當伺服器回傳結果，也是由已經持有金鑰的驅動程式負責解密。</p> <p>MongoDB解釋，金鑰儲存在資料庫之外，可以將金鑰與單筆記錄或是用戶綁定，這帶來刪除用戶加密訊息的便利性，只要刪除金鑰管理系統中的相關金鑰，就能有效刪除使用該金鑰加密的所有資料，而這也回過頭來提升了MongoDB Atlas等託管服務的安全性，因為資料不可能會在日誌、記憶體或是基礎架構等其他地方，以未加密的方式存在。</p> <p>另外，MongoDB開發者大會中的另一個亮點，便是推出新服務MongoDB Atlas Data Lake。Atlas Data Lake讓用戶可以使用MongoDB的查詢語言存取AWS S3服務中的JSON、BSON、CSV、TSV、Avro以及Parquet格式的資料。MongoDB提到，這些資料按需分析，不需要設置基礎設施，也不需要進行花費額外的時間進行轉換、預處理或是元資料的管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/datalake-litoozk4n1.png" style="width: 655px; height: 667px;" /></p> <p>用戶只需要將MongoDB Atlas Data Lake服務指向S3存儲桶就可以開始使用了，而且能夠使用和MongoDB Atlas操作叢集相同的使用者介面進行各項配置，Eliot Horowitz表示，在背後MongoDB Atlas使用了多個節點平性處理資料查詢，每個節點處理完各自的資料後，交由中央節點聚合、過濾或是排序等工作。未來這項功能還會支援Google與Azure的雲端儲存。</p> </div></div></div>
2019/6/19 16:30作者李建興https://www.ithome.com.tw/news/131343
GitHub買下程式審核公司Pull Panda
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2019-06-17-github-acquires-pull-panda/" target="_blank">GitHub本周宣布</a>買下成立才一年半的程式審核公司<a href="https://pullpanda.com/" target="_blank">Pull Panda</a>，雙方並未公布交易金額，但Pull Panda旗下的產品<a href="https://github.com/marketplace/pull-panda" target="_blank">未來都將整合到GitHub上並免費提供</a>。</p> <p>Pull Panda原本就專門打造供GitHub用戶所使用的程式審核工具，主要產品包括Pull Reminders、Pull Analytics與Pull Assigner。</p> <p>當中的Pull Reminders可用來接收即時的審核通知、評論、合併衝突或CI失敗等訊息，也能在Slack中下達/pullreminders指令來檢視所有的Pull請求，或是針對特定的Pull請求設定提醒時間表。</p> <p>Pull Analytics則能用來檢視陳舊、過期或過大的任務，還可列出團隊的貢獻排行榜，設定團隊目標及追蹤成果，以用來測量及改善團隊程序。</p> <p>Pull Assigner是個可自動化分配程式審核任務的工具，平衡每個人的工作量，也讓不同的任務有明確的負責人，還能傳遞知識以打造更融洽的合作文化。</p> <p>過去商業性開源專案使用上述工具是要付費的，7人以下團隊的每月費用為14美元，不過GitHub打算全面免費提供，初期GitHub用戶可藉由GitHub Marketplace免費使用Pull Panda，未來相關功能將會被直接整合到GitHub上。</p> </div></div></div>
2019/6/19 16:30作者陳曉莉https://www.ithome.com.tw/news/131344
Google投資10億美元灣區住宅計畫，以平抑當地高房價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年舊金山灣區吸引Google、微軟、蘋果、思科及Amazon等進駐，也帶來住房稀缺、房價及租金高漲問題，引發當地居民不滿。<a href="https://blog.google/inside-google/company-announcements/1-billion-investment-bay-area-housing/" target="_blank">Google周二宣</a>布10億美元住宅投資計畫，預計10年內興建2萬間住房協助當地居民。</p> <p>Google是舊金山灣區最大企業之一，該區目前最迫切而複雜的問題是新住宅供給不足，加上物價高漲，致使中間與低收入居民已經難有立足之地。而隨著Google在灣區，包括山景（Mountain View）市、舊金山、未來又要擴大進駐聖荷西及晴谷（Sunnyvale）市，<a href="https://www.ithome.com.tw/news/127588" target="_blank">Google已經投資</a>在當地興建住宅。今天Google執行長Sundar Pichai宣佈另一項10億美元的灣區住宅興建計畫，包括2018年在南灣興建了3000間住房。</p> <p>這個計畫分成三部份。首先，未來10年將把至少價值7.5億美元的Google現有規劃為辦公室或商業區的土地，轉為興建住宅之用。Google預期這至少可興建1.5萬單位新成屋提供灣區中及低收入的居民。其次將成立2.5億美元的投資基金，以鼓勵建商興建至少5000個單位的平價住宅。最後，奠基於現有舊金山街友協助及山景市低收入退伍軍人及家庭資助計畫之上，Google還將透過Google.org撥款5000萬美元以解決街友安置問題。</p> <p>接下來幾個月內Google將與地方市政府合作，以快速推動建商激勵計畫，以便儘快開工，並在未來幾年內完工並開放入住。</p> <p><a href="https://www.theverge.com/2019/6/18/18683827/google-silicon-valley-housing-crisis-1-billion-investment-sf-bay-area" target="_blank">也有媒體質疑</a>，這項計畫基本上是Google將土地租給建商，後者可能蓋屋來賣或出租，不確定Google是否有限制用途或住宅格局的規劃，例如可能蓋成鴿子籠。另外，10年時間變數太大，而在此期間Google還是會持續擴張，媒體擔心這些住房會不會到時又變成Google員工的住所，當地居民依然得不到好處。</p> </div></div></div>
2019/6/19 15:00作者林妍溱https://www.ithome.com.tw/news/131340
臉書：Libra背後的資產是它與現有加密貨幣之間最大的差異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（Facebook）在6月18日正式<a href="https://www.ithome.com.tw/news/131332" target="_blank">發表了Libra加密貨幣</a>，將它定位為全球性的數位原生貨幣。臉書指出，Libra背後的資產是它與現有加密貨幣之間最大的差異，其它還包括可用性、接受度及可替換性。</p> <p><a href="https://libra.org/zh-CN/white-paper/#the-libra-currency-and-reserve" target="_blank">Libra幣</a>建立在Libra區塊鏈（Libra Blockchain）的基礎上，並有基於真實資產的Libra儲備（Libra Reserve）作為擔保。不管是Libra幣、Libra區塊鏈或是Libra儲備都是由Libra協會（Libra Association）監管；Libra協會是個總部設於瑞士的獨立非營利會員組織，並由Libra協會理事會（Libra Association Council）負責管理。</p> <p>至於要進入Libra協會理事會並不那麼容易，理事會的成員必須要在Libra區塊鏈網路上擁有經濟權益，亦即擔任Libra區塊鏈的驗證者節點（Validator Node），臉書計畫在明年上半年網羅100個驗證者節點，每個節點的最低投資金額為1,000萬美元，本周臉書先行公布了28個驗證者節點，除了臉書剛設立、負責經營Libra的子公司Calibra之外，還<a href="https://libra.org/en-US/partners/" target="_blank">包括</a>Visa、Mastercard、Spotify、PayPal、Uber、Lyft與Vodafone等其它27家企業。</p> <p>Libra生態體系的架構已然超越現今任何一款加密貨幣，由此一架構所支撐的Libra幣的內、外性質，也都與現有的加密貨幣不同。</p> <p>臉書表示，Libra幣的目標是成為穩定的數位加密貨幣，將全部使用真實的資產儲備作為擔保，主要為低波動性的資產，例如由信譽良好的中央銀行所提供的現金或政府債券作為抵押，培養人們對Libra的信任，以相信該貨幣能夠長期保值。</p> <p>而這正是Libra幣與其它加密貨幣之間最大的差異。臉書指出，目前許多加密貨幣都缺乏基礎資產的支持，促使這些加密貨幣的主要用途一直圍繞在投機與投資上，不少人購買它們的目的，只是希望今後能以更高的價格出售，使得它們的價格經常發生劇大的變動。</p> <p>另一方面，Libra幣的儲備資產，則將由分布在全球各地且具投資級信用評價的托管機構持有，以確保資產的安全性與分散性。</p> <p>在奠定了穩定及信賴的基礎之後，臉書期望人們能夠利用Libra幣來進行日常的交易，從轉帳、購物到行動支付等。臉書創辦人祖克柏（Mark Zuckerberg）說，目前全球大約有10億人口沒有銀行帳號，但他們有手機。</p> <p>而有了資產儲備作為支撐，Libra幣也更容易兌換成其它貨幣，就像過去導入其它貨幣的方式一樣：確保該貨幣可以換取真實的資產。</p> <p>此外，Visa、Mastercard、PayPal與Uber等大型業者的<a href="https://www.cnbc.com/2019/06/18/the-difference-between-bitcoin-and-facebooks-libra.html" target="_blank">參與</a>，將有助於推動市場對Libra幣的接受度，而且Libra標榜低交易費用，也可望刺激人們的採用。</p> <p>總之，Libra幣繼承了加密貨幣在加密、安全及快速轉帳上的優點，並消除了加密貨幣的高揮發特性，只不過Libra目前正面臨各國中央銀行的檢驗與質疑，臉書對個人隱私的輕忽也再度被提及，更令人好奇的是，並沒有任何一家銀行成為Libra區塊鏈的驗證節點，且不管是蘋果、Amazon或Google也都沒有參與。</p> </div></div></div>
2019/6/19 15:15作者陳曉莉https://www.ithome.com.tw/news/131342
Firefox爆允許遠端程式碼執行的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2019-18/" target="_blank">Mozilla周二發佈</a>Firefox的安全公告，Firefox出現可讓駭客遠端執行惡意程式碼的重大漏洞，同時也發現網路上已有攻擊程式流傳，呼籲用戶儘速升級到最新版本。</p> <p>編號CVE-2019-11707的漏洞是由Google 抓蟲小組Project Zero研究人員Samuel Groß發現。它屬於一種類型混淆（Type confusion）漏洞，當攻擊者改造JavaScript物件，可能導致Array.pop發生類型混淆，而允許程式碼執行。一旦Firefox使用者被導向惡意網站，可能讓駭客得以遠端執行任意程式碼。</p> <p>這項漏洞被列為重大（critical）風險，影響Firefox及Firefox ESR版本瀏覽器。Mozilla並表示已經發現有攻擊程式開採這項漏洞發動精準攻擊。由於通報者還包括加密貨幣交易平台Coinbase的資安小組，可能表示這波駭客攻擊下手目標是加密貨幣持有者。</p> <p>Mozilla已經釋出最新Firefox 67.0.3及Firefox ESR 60.7.1修補本漏洞，呼籲用戶儘速升級到最新版本。</p> </div></div></div>
2019/6/19 15:40作者林妍溱https://www.ithome.com.tw/news/131341
加密貨幣系統Libra惹議，美國政府要求臉書暫停開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書周二（6月18日）<a href="https://www.ithome.com.tw/news/131332" target="_blank">公佈自有加密貨幣系統Libra</a>震撼數位經濟界，立即引發包括政界、主管機關對隱私、動搖貨幣制度等擔憂。</p> <p>透過內建於Facebook、Messenger及WhatsApp或第三方的電子錢包Calibra，使用者可以用Libra來買東西、匯款，或是在線上或在零售商店的兌換窗口買入或兌現Libra。而為了擴大Libra的生態體系，臉書還找來MasterCard、Visa、Coinbase、Uber、Lyft和Paypal等27家組織成立Libra協會（Libra Association）。臉書也成立同名為Calibra的子公司負責Libra的營運。</p> <p>臉書保證，Libra用戶資料會和臉書用戶資料分開保存，不會被拿來對Libra用戶發送廣告，此外也使用區塊鏈技術確保去中心化管理及資料完整性，也會引入防範詐欺或洗錢的流程與技術。儘管如此，Libra的推出仍然引發政界及民間質疑，臉書可能侵犯隱私及動搖現有貨幣制度。</p> <p>美國眾議院金融委員會主席Maxine Waters要求臉書高層到國會作證，同時主張臉書應停止Libra的開發，直到立法及主管機關審核通過。<a href="https://financialservices.house.gov/news/documentsingle.aspx?DocumentID=403943" target="_blank">Waters聲明指出</a>，臉書發布建立加密貨幣的計畫，藉此持續其無所限的擴張，將黑手伸入用戶的日常生活中。</p> <p>歐洲也表達其質疑。<a href="https://www.bloomberg.com/news/articles/2019-06-18/france-calls-for-central-bank-review-of-facebook-cryptocurrency" target="_blank">彭博報導</a>，歐洲議會德國籍議員Markus Ferber擔心，臉書挾其20億用戶可能變成「影子銀行」。此外，法國財政部長Bruno Le Maire相信Libra不應被視為可取代傳統貨幣，Libra變成主權貨幣這件事不會、也絕不能發生。他也要求G7國家的中央銀行主管，下個月針對隱私、洗錢和恐怖主義經濟發布報告。</p> <p>臉書方面則對質疑表達歡迎。<a href="https://www.reuters.com/article/us-facebook-crypto/facebook-reveals-libra-cryptocurrency-sparking-new-privacy-concerns-idUSKCN1TJ0TN" target="_blank">路透社引述</a>臉書區塊鏈部門副總裁Kevin Weil的說法，臉書希望藉由Libra的宣布，將全球主管機關齊聚一堂，期待能開啟正向的討論。</p> </div></div></div>
2019/6/19 13:25作者林妍溱https://www.ithome.com.tw/news/131338
ESET揭露可竊取Android手機一次性密碼的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.welivesecurity.com/2019/06/17/malware-google-permissions-2fa-bypass/" target="_blank">ESET近日揭露</a>了兩款Android惡意程式，可藉由取得「通知存取」（Notification access）權限來窺探裝置上所收到的通知，包括一次性密碼（One-time password，OTP）在內。</p> <p>ESET表示，<a href="https://www.ithome.com.tw/news/128274" target="_blank">自從Googe在今年1月限制</a>了Android程式存取簡訊（SMS）與通話紀錄（Call Log）權限的能力之後，那些專門竊取憑證的惡意程式就更難濫用這些權限來繞過基於簡訊的雙因素認證（two-factor authentication，2FA）機制了。</p> <p>不過，最近發現了兩款偽裝成土耳其加密貨幣交易平台BtcTurk的Android程式，卻是藉由通知存取權限來繞過基於簡訊的2FA機制。</p> <p>這兩款程式分別是BTCTurk Pro Beta與BtcTurk Pro Beta，名稱非常相近，只有大小寫的不同，且所使用的手法類似，但卻是由不同的開發人員所打造。</p> <p>在安裝了BTCTurk Pro Beta之後，它會先向使用者取得通知存取的權限，該權限允許行動程式讀取手機上所跳出的通知，包括來自其它程式的通知，還能關閉通知，或是點選通知上的按鍵。</p> <p>Google是自Android 4.3（Jelly Bean）開始提供通知存取權限，因此大約有9成的Android裝置都支援該權限。</p> <p>一旦使用者許可了該權限，隨之便會出現要使用者輸入BtcTurk憑證的假登入視窗，但在使用者輸入之後，它便推說暫時無法提供服務，但事實上卻已經將使用者的憑證傳送到駭客的伺服器上。</p> <p>再來該程式就會把手機螢幕上出現的通知都傳送到自己的伺服器上，包括利用簡訊或電子郵件傳送的OTP在內，由於它還可以關閉通知，或是將通知設為靜音，得以避免使用者察覺詐騙交易。</p> <p>ESET是在今年6月才發現這兩款惡意程式，也在它們各自的安裝數量都不到50的時候，就通知Google並將它們移除，資安專家建議使用加密貨幣或金融程式時，最好再三確認它來自官方網站，以軟體或硬體的OTP產生器，來取代以簡訊及郵件來傳送OTP，也不要隨意允許程式取得通知存取權限。</p> </div></div></div>
2019/6/19 12:15作者陳曉莉https://www.ithome.com.tw/news/131335
Plugin Vulnerabilities揭露臉書WordPress外掛的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門尋找WordPress外掛程式漏洞的Plugin Vulnerabilities，本周揭露了兩個臉書WordPress外掛程式的零時差漏洞，還公布概念性驗證攻擊程式，由於Plugin Vulnerabilities事前並未通知臉書，違反了安全社群的責任揭露共識，因而再度惹人非議。</p> <p>這兩個由臉書打造的WordPress外掛程式，分別是Facebook for WooCommerce與Messenger Customer Chat，前者可用來連結電子商務平台WooCommerce及臉書，安裝數量超過20萬；後者則是專門支援WordPress網站的Messenger通訊工具，約有2萬個WordPress網站安裝。</p> <p><a href="https://www.pluginvulnerabilities.com/2019/06/17/automattic-is-having-woocommerce-install-by-default-an-insecure-plugin-by-facebook/" target="_blank">Plugin Vulnerabilities表示</a>，Facebook for WooCommerce缺乏了預防跨站請求偽造（Cross-site Request Forgery，CSRF）的措施，使得駭客能夠發動CSFR攻擊；而<a href="https://www.pluginvulnerabilities.com/2019/06/17/facebooks-wordpress-plugin-messenger-customer-chat-contains-an-authenticated-settings-change-vulnerability/" target="_blank">Messenger Customer Chat除了也有同樣的CSRF漏洞之外</a>，還缺少限制訪客存取的檢查能力，將允許駭客關閉外掛程式的功能或玷污網站首頁。</p> <p>Plugin Vulnerabilities不只公布了漏洞細節，也公布相關漏洞的概念性驗證程式。但其實近來<a href="https://www.ithome.com.tw/news/129987" target="_blank">Plugin Vulnerabilities也曾發表</a>其它WordPress外掛程式的零時差漏洞，為的只是跟WordPress支援論壇（WordPress Support Forum）賭氣。</p> <p>Plugin Vulnerabilities批評WordPress支援論壇的版主胡亂刪除他的文章、聯手遮掩外掛程式的安全問題，只是WordPress支援論壇原本就禁止研究人員藉由該論壇公布安全漏洞，而是要求研究人員先以郵件通知WordPress團隊，再由WordPress團隊接洽外掛程式作者，而Plugin Vulnerabilities則無視禁令持續張貼漏洞消息，最後導致論壇帳號被封鎖。</p> <p>為了抗議被封殺，Plugin Vulnerabilities選擇在自己的部落格上公布外掛程式的詳細漏洞資訊，還附帶了概念性驗證攻擊程式。</p> <p>多數的<a href="https://threatpost.com/irked-researcher-discloses-facebook-wordpress-plugin-flaws/145771/" target="_blank">科技媒體認為</a>Plugin Vulnerabilities的作法並不恰當，不應只為了私人恩怨，就棄廣大WordPress用戶的安危而不顧。</p> </div></div></div>
2019/6/19 12:35作者陳曉莉https://www.ithome.com.tw/news/131336
Cloudflare發表「熵聯盟」分散式隨機數產生器開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路、緩解DDoS攻擊及網路安全服務的Cloudflare，在本周發表了<a href="https://www.cloudflare.com/leagueofentropy/" target="_blank">「熵聯盟」（League of Entropy）開源專案</a>，以提供一個可驗證的分散式隨機信標（Decentralized Randomness Beacon），並標榜能夠產生真正公正的隨機數。</p> <p>隨機數（random number，或稱亂數）通常是由一個裝置或軟體以不可預測的方式所產生，隨著對隨機數的需求漸增，美國國家標準與技術研究所（NIST）也打造了Randomness Beacons專案，可在固定的時間間隔內產生512位元的字串（約為155個數字）。</p> <p>然而，仰賴單一來源的隨機數產生器仍有被開採的風險，並出現可能會偏向於某方的不公正結果，使得Cloudflare與Protocol Labs研究人員Nicolas Gailly、智利大學、瑞士洛桑聯邦理工學院（EPFL）、資安業者Kudelski Security、及EPFL的兩名研究人員Philipp Jovanovic與Ludovic Barman共同組成了熵聯盟。</p> <p>「熵」是一個描述系統狀態的函數，可用來計算一個系統的失序現象或混亂程度，熵值愈高，代表愈混亂，愈低則愈有秩序。而「熵聯盟」的目的是為了讓隨機數更不可測，因此該聯盟的成員都貢獻了各自的高熵來源及相關系統以提供更隨機且無法預測的信標，並以每60秒的間隔產生能夠公開驗證的隨機數。</p> <p>當中有些來源挺有趣，例如<a href="https://blog.cloudflare.com/league-of-entropy/" target="_blank">Cloudflare</a>的高熵來源稱為<a href="https://blog.cloudflare.com/lavarand-in-production-the-nitty-gritty-technical-details/" target="_blank">LavaRand</a>系統，它是Cloudflare在舊金山辦公室大廳一面擺滿熔岩燈的牆，熔岩燈內部其實充滿了透明液體與半透明的蠟，由於兩者的密度不同，通電後受熱的蠟塊會融化並浮上水面，冷卻後又下沈，它的上下移動形成了光影的變化。而Cloudflare即把蠟的流動當作高熵來源，用來產生隨機數。</p> <p>或者是智利大學的Seismic Girl系統同時採納了5種不同的高熵來源，涵蓋智利的地震或搖動測量、地方廣播電台的串流、Twitter的貼文、以太坊區塊鏈的資料，以及隨機數產生卡。</p> <p>Protocol Labs的InterplanetaryRand系統，利用的則是環境噪音、Linux的偽隨機產生器（PRNG）與來自CPU的RdRand。</p> <p>熵聯盟專案奠基在drand分散式隨機信標架構上，Cloudflare表示，此一用來產生隨機數的全球伺服器網路，可確保萬一某些伺服器離線了，信標還是能夠透過其它仍可運作的伺服器來產生隨機數，或者就算某些伺服器或熵來源被入侵了，還有其它不可預測的熵來源可供使用。</p> <p>開源的熵聯盟專案可應用在選舉稽核上，像是隨機選取稽核選區，或可用在樂透的開獎上，也能應用在分散式帳本平台上的即時遊戲或賭博，不過，Cloudflare也提醒這是個開源且公開的隨機數產生服務，並不適合把它所產生的隨機數拿來作為私人金鑰。</p> <p><a href="https://www.cloudflare.com/leagueofentropy/" target="_blank">已經上線的熵聯盟專案</a>每60秒可產生一個512位元的隨機數，每天可產生1,440個隨機數。Cloudflare也歡迎其它組織或個人加入熵聯盟。</p> </div></div></div>
2019/6/19 13:00作者陳曉莉https://www.ithome.com.tw/news/131337
微軟新Android SDK管理工具能自動更新SDK與建置工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/xamarin/automatic-android-sdk-management/">Visual Studio 2019以及Visual Studio for Mac 2019現在都預設啟用Auto SDK（Automatic Android SDK Management）工具</a>，在開發者創建並配置完專案，會為開發者檢查開發Android所需要的工具，並自動安裝最新版本，確保開發者能以最新的SDK建置Android應用程式。</p> <p>開發Android應用程式需要許多的工具，以進行建置、部署和除錯工作，為了減輕開發者更新環境的麻煩，微軟在Visual Studio 2019中加入了新的自動Android SDK管理工具，能夠進行各項檢查，確保開發者的電腦安裝正確的工具，微軟提到，這能有效幫助開發者，創建與所有Android工具都相容的專案。</p> <p>當開發者建立新的Xamarin.Forms行動應用程式專案，於完成專案配置階段，Auto SDK工具便會啟動，檢查電腦中的Android SDK版本，當Auto SDK發現電腦使用舊的SDK版本，便會提示並幫助開發者下載最新的SDK以及相對應的建置工具版本。另外，當開發者想要讓舊專案支援最新的Android，只要改變目標框架（下圖），Auto SDK便會自動下載缺乏的元件，方便開發者編譯新的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-8.png" style="width: 247px;" /></p> <p>微軟最近以多種方式為各個語言的開發者，提供方便易用的開發環境設置工具。像是<a href="https://www.ithome.com.tw/news/130973">5月更新後的Windows 10，與Python更加緊密地結合</a>，除了微軟商店現提供由社群維護的Python 3.7套件外，當開發者在命令提示字元輸入python和python3指令，系統也會直接跳出商店Python 3.7套件下載頁面。</p> <p>而<a href="https://www.ithome.com.tw/news/131310">微軟也剛剛為Java開發者釋出專用的Visual Studio Code安裝程式</a>，開發者可以用來在電腦安裝全新的Java開發環境，該安裝程式會自動安裝JDK、Visual Studio Code和Java基本擴充套件。當開發者的系統已存在Visual Studio Code，該安裝程式也會檢查開發Java所缺少的元件，並引導開發者安裝。</p> </div></div></div>
2019/6/19 11:10作者李建興https://www.ithome.com.tw/news/131330
【不只幫助攻擊入侵行為的理解，更便於企業防禦評估】資安攻防新戰略MITRE ATT&CK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂知己知彼、百戰不殆，面對現今無法避免的針對性攻擊風險，要能夠了解自己並了解敵人，顯得越來越重要，不論是駭客攻擊手法分析與調查，以及網路威脅情報，都成為這幾年企業防護關注的焦點。不過，近一年來，出現了另一個APT防護必學的攻略，那就是以剖析攻擊面的資安框架MITRE ATT＆CK。</p> <p>因為，這個由MITRE提出的ATT＆CK，對於描述駭客攻擊戰術流程，提供了具體且通用的架構，能帶來相當大的幫助，可以讓資安產業與企業之間，能有更一致的標準，去溝通與理解已知攻擊者入侵行為可能帶來的安全風險。例如，對於駭客偷取密碼的行為描述，業界能有統一的標準去依循，並讓企業可以更容易從攻擊手法前後，檢視入侵過程與關連性。</p> <p>值得注意的是，對於ATT＆CK這樣的概念，或許多數國內企業還是感到有些陌生，但其實它已經被全球許多資安業者與專家看重，而這股風潮更是在今年迅速發酵。</p> <p>例如，今年3月初，在全球最大資安會議RSA Conference上最夯的話題，MITRE ATT＆CK就是其中之一，而國內在3月中舉行的臺灣資安大會上，我們也看到許多講者，都開始提及或探討這個資安框架。</p> <p>不僅如此，現在已經有資安業者，在他們的網路威脅情資或報告中，開始使用ATT＆CK來解釋威脅入侵階段的攻擊描述，甚至已經把這套框架視為是一種標準，也有資安專家提出建議，企業可以利用ATT&CK，來提升自己的防禦體系，當成評估的標準。</p> <p>在這樣的趨勢之下，未來ATT＆CK將有很大的機會，在資安領域獲得更廣泛的採用，不論是解析駭客攻擊行為，或是用於企業紅藍隊的攻防模擬演練，以及資安方案的評估等。因此，對於ATT＆CK這個新興的議題，勢必成為臺灣企業與資安產業，都值得參考與重視的新攻略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%94%BB%E9%98%B2%E6%96%B0%E6%88%B0%E7%95%A5ATT%26CK_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>MITRE ATT&CK風潮吹向臺灣，今年臺灣大型資安活動已有不少議程談論</strong></span></p> <p><strong><span style="color:#696969;">在臺灣資安大會另一場主題演講中，趨勢科技全球核心技術部資深協理張裕敏，在談關鍵基礎設施的安全議題時，特別介紹了MITRE提出的ICS ATT＆CK Matrix，並說明此矩陣已經針對工控環境攻擊方法與步驟系統化，區分為橫軸與縱軸呈現的戰略與手法。不過，他也指出，這不僅可以讓使用者與資安公司都受惠，但駭客其實也同樣能夠利用。</span></strong></p> <p><span style="font-size:28px;"><strong>對於駭客攻擊流程能有具體且一致的描述</strong></span></p> <p>回想過去，面對無孔不入的針對式攻擊，近年來多數資安業者已經不再強調傳統的事前預防，而是更重視侵入過程的主動偵測，以及資安事件處理，並且談論到資安韌性（Resilience）。這是因為，近年的資安事件，已經突顯出每個企業都一定會被入侵的事實，而解析駭客使用的攻擊戰略與手法，就變得相當重要。</p> <p>事實上，近年資安防護的重點已經更聚焦在網路威脅情報，以及攻擊狙殺鏈（Cyber Kill Chain）、駭客攻擊戰術流程（Tactics、Techniques與Procedures，TTP）的探討，目的也就是為了要更掌握敵人的身分、攻擊手法，才能更有效去因應與防範。</p> <p>其實，在各家資安業者釋出的網路威脅情資或報告中，已經可以看到各業者描述了駭客入侵過程與手法。包括像是駭客使用釣魚信件、取得電腦權限、提權、繞過端點防護、橫向擴散與偷取資料等一系列的過程，提供給企業當成掌握攻擊流程與防範的參考。只是，過去各家資安業者，其實都有各自一套定義與故事描述方式，去說明整個攻擊過程，而隨著ATT＆CK的出現，將開始改變這種各自表述的局勢。</p> <p>舉例來說，這個ATT＆CK提供的知識庫與模型，已經盤點了現行大型駭客組織，所使用的所有攻擊戰略與技術手法，並以系統性的歸納方式，整理成為一個通用的模型。而且，這個框架還在持續更新。</p> <p>在今年4月，ATT＆CK Enterprise框架已經提供新版。目前（6月中），在ATT＆CK Enterprise的框架之下，將入侵期間駭客使用的戰略，分為了12個階段，包括入侵初期、執行、持續潛伏、權限提升、防禦逃脫、憑證存取、發現、橫向移動、收集、命令與控制、滲出與衝擊。而在這12項戰略階段當中，目前總共歸納了244項不同的技術手法，進而整理成為，一個可以顯示所有階段攻擊手法的矩陣模型（ATT＆CK Matrix）。</p> <p>換言之，就是透過標準化、架構化的資訊，當資安業者在側寫一個駭客團體攻擊使用的戰術流程與詳細手法時，就能透過這樣的一張矩陣去呈現，相對來說，當各界要檢視攻擊入侵的全貌時，也可以變得更加直覺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E6%94%BB%E9%98%B2%E6%96%B0%E6%88%B0%E7%95%A5MITRE%20ATT%26CK.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>剖析攻擊方具體手法並整理為知識庫，今年上半已歸納244個不同技術</strong></span></p> <p><span style="color:#696969;"><strong>由MITRE提出的ATT&CK資安框架，逐漸已經變成大家所接納的一種標準。這套框架將駭客使用的攻擊戰略與技法，透過有系統性的整理與歸納，進而成為能夠幫助理解攻擊者具備能力的知識庫。</strong></span></p> <p><span style="font-size:28px;"><strong>有效幫助各界溝通入侵事件，並為企業防禦評估與攻防演練帶來幫助</strong></span></p> <p>為了幫助大家更容易理解，這個ATT＆CK矩陣是如何能夠帶來助益，我們簡單畫分成兩大面向，並透過一些例子來說明。</p> <p>第一個面向，是在複雜的攻擊流程概念溝通，以及威脅情資的報告提供與分析比較方面。例如，當我們要檢視APT3駭客團體的攻擊時，透過這個框架，可以很快看清入侵流程的脈絡，包括他們會使用的技術手法，以及這些技術所處的發展階段。</p> <p>特別的是，這對於網路威脅情資的報告呈現，有很大的助益。讓各界能有一個更通用的語言，來溝通攻擊入侵的事件，透過這種結構化且便於比較與分析威脅情報的方法，用一張矩陣就能展示其戰術與技術。不論是資安人員彼此之間的溝通，或是與企業之間的討論，都會變得較為容易。</p> <p>而且，即便是要分析兩個不同駭客組織是否有相似之處，過去不容易有比較基礎，現在也能利用矩陣做差異分析，像是針對APT3與APT29找出其攻擊行為差異，或是共通使用的技術。</p> <p>綜合來看，這不僅可以讓入侵手法描述能有一致標準，對於防守方彼此間的溝通更有幫助。</p> <p>第二個面向，是將有助於企業評估自己的防禦。透過ATT＆CK矩陣，不僅是是用來分析了解敵人，也能幫助了解自己，例如，從駭客攻擊的每個階段，以及當中可能會用到的技術手法，企業也就能夠依此檢視自己的防禦，是否能夠涵蓋到這些面向，進而可以做到資安成熟度的評估。</p> <p>因此，企業也可從駭客攻擊情境找出那些攻擊手法，是需要的優先級別處理或增強的防禦面；或是用於檢視導入的防禦設備、服務或機制，與之前評估時的防禦範圍有何不同。簡單來說，就是要能運用這樣的資安框架，了解自己的防禦需求。</p> <p>更進一步來看，還能有助於紅藍隊攻防模擬演練，因為這套資安框架更容易提供攻擊情境。</p> <p>舉例來說，企業可以設想一個攻擊情境，或是假設於之前APT團體的攻擊戰術，由於已經有了很具體的攻擊手法，因此企業可以利用自動化的攻擊模擬平臺（Automated Adversary Emulation），建立一套模擬紅隊的攻擊，進而藉此測試內部部署的資安產品或資安服務，是否能夠偵測到這些攻擊手法，並發出警告，也就是說，透過這樣的攻防模擬，將可以作為評估EDR產品，以及檢視自身防護需求的依據。</p> <p>事實上，MITRE自去年也已經發起了ATT&CK評估（ATT&CK Evaluations）的計畫，並且獲得一些資安業者的響應。在首次的評估計畫中，就有7家業者參與，包括Carbon Black、CounterTack、Crowdstrike、Endgame、微軟、RSA與SentinelOne，今年又有FireEye、Cybereason與Palo Alto Networks跟進。</p> <p>因此，隨著資安業界對於這項評估計畫的認可，最近，MITRE已經宣布要舉行第二回合的評估計畫，預計在8月中開始進行測試，而新評估計畫所套用的駭客團體攻擊行為，也將從之前的APT3，更換為APT29。</p> <p>無論如何，從這股ATT＆CK的應用浪潮來看，除了企業用於紅藍隊攻防演練，可以透過這樣的形式，對於資安業者而言，這也是能幫助他們向客戶驗證自身產品有效性的方法。而且，ATT＆CK的應用概念與範圍，其實不僅於此，像是簡單的剖析惡意程式行為，其實也能套用，而我們也看到MITRE有針對工控系統的攻擊入侵，提出一套名為ICS ATT&CK的矩陣，同樣也是將駭客在各戰略階段所使用的技術手法，做出系統性且具體的歸納。</p> <p class="rtecenter"><span style="color:#3366ff;"><span style="font-size:28px;"><strong>MITRE ATT＆CK小知識</strong></span></span></p> <p><span style="color:#8B4513;"><span style="font-size:20px;"><strong>＂根據MITRE的說明，ATT＆CK是基於現實世界觀測的對手戰術與技術知識庫。其中A為Adversarial，代表對抗性的攻擊者，兩個T是Tactics與Technical，分別代表對手採用的戰略與技術手法，而C與K則是Common knowledge，說明了這將是一個通用的知識庫。＂</strong></span></span></p> <p>關於這個由MITRE提出的ATT＆CK框架，首先，MITRE是美國聯邦政府資助的非營利組織，協助多項資安相關研究的進行，同時也負責CVE漏洞資料庫計畫的維運。</p> <p>對於ATT&CK框架這項研究計畫，是MITRE在2015年5月發起，最早他們是想把許多的APT攻擊事件統整起來，畢竟，不同資安業者對於每個駭客團體都有不同的稱呼與分析，而在處理的過程中，他們發現可以將每個駭客團體使用的技術手法，進一步的分類，例如，他們將每個攻擊方式，以較為簡短且通泛的說明來描述，並歸納到會使用該技術手法的戰略階段中。</p> <p>基本上，目前ATT&CK模型可以分為三大部分，分別是PRE-ATT&CK、Enterprise與Mobile。</p> <p>簡單來說，PRE-ATT&CK定義了駭客攻擊前置作業，目前畫分為15個戰略階段，而Enterprise是指具體的攻擊入侵過程，也是現在各界最主要討論的項目，當中並涵蓋Windows、Linux與macOS這三種系統平臺；至於Mobile則是針對行動平臺所發展，而其中的戰略與Enterprise有些相似，但還是存在一些差異。</p> <p>另外，在MITRE過去的簡報中，也有針對ICS的部分，但也可能官建基礎設施較為敏感，目前未列在ATT&CK官網上。</p> <p class="rtecenter"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color:#D3D3D3;"> 1 </span></span></strong><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131275" style="text-align: center;" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 2 </span></strong></span></a><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131276" target="_blank"><span style="text-align: center; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3 </span></strong></span></a></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131274
【駭客戰略定義更廣、偵測類別定義更細】快速認識ATT＆CK框架的最新變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於ATT＆CK框架的應用及發展，正開始成為各界關心資安人士的焦點，而這個像是百科全書的剖析駭客入侵技術知識庫，其實也還在持續演進的階段。</p> <p>為了推動ATT＆CK，近年MITRE做了很多努力，像是在這份知識庫中，對於現有入侵策略所採用的各式技術手法，都有詳細的介紹與說明，他們並提出了ATT＆CK矩陣，讓防守方可以更容易理解駭客的入侵過程。而且，每隔一段時間，就會將新的技術手法整入其中。目前看來，大約每3個月就會更新，讓這個框架能持續符合現實世界的攻擊態勢。</p> <p>值得注意的是，最近MITRE對於ATT＆CK Enterprise，以及ATT＆CK評估計畫，都有明顯的調整與改變。因此，接下來，我們將介紹ATT＆CK的基本概念與最新變化，同時也請熟悉ATT＆CK的資安業者與專家，來幫助我們更進一步理解與認識這個框架。</p> <p><span style="font-size:28px;"><strong>將戰略階段擴大至衝擊面，且歸納的不同攻擊手法增加至244個</strong></span></p> <p>首先，以ATT＆CK矩陣而言，簡單來說，它的呈現方式如同一份表格，矩陣中的第一列，也就是最上面一橫排，列出了定義的駭客攻擊戰略階段，由左至右表示攻擊階段的前後順序。而在每一個戰略階段之下，則是列出該階段可能使用的各式技術手法。</p> <p>例如，目前在ATT＆CK Enterprise中，將駭客在入侵駭客使用的戰略，畫分成12個階段：包括入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、防禦逃脫（Defense Evasion）、憑證存取（Credential Access）、發現（Discovery）、橫向移動（Lateral Movement）、收集（Collection）、命令與控制（Command and Control）、滲出（Exfiltration）與衝擊（Impact）。</p> <p>值得注意的是，去年只分成11個階段，今年多出最後一項「衝擊」，而且，還有倒數第二項與第三項的戰略順序也予以對調。</p> <p>對於新增的衝擊階段，奧義智慧共同創辦人叢培侃指出，他認為這是要完成整個風險計算公式，以更進一步將攻擊事件對企業本身的影響，也涵蓋在整體框架之內。</p> <p>而在這12項戰略階段當中，目前總共歸納了244個不同的技術手法，比起我們在年初看到的223項，又多了21項。當中，不僅是多了新階段所包含的14個項目，既有11個階段所包含的內容，也有一些調整與新增。</p> <p>特別的是，一些技術手法會用在不同戰略階段，因此，在ATT＆CK矩陣之下，若把每個階段下技術的數量相加，總和為314個，也比之前的291個要多。</p> <p>更進一步來看，其中駭客使用技術手法最多元的階段，是在持續潛伏與防禦逃脫方面，分別包含了59個與67個技術手法，相對來說，像是有些階段的技術就較少，僅有10個左右。</p> <p>對於這樣的現象，叢培侃提供了兩個觀點，首先，技術手法越多，也就代表越不容易防範，這也意味著，企業單位資安防護設施最容易被繞過，因此，能否從其他階段來觀測到整個攻擊行為，就是一種策略；另一個角度來看，若是各種駭客潛伏方式都能涵蓋，各種防禦逃脫方式都能監控到，也企業能在駭客必經路線設下重重關卡，同樣能觀測到攻擊行為的發生，及早反應。</p> <p>此外，從這些技術手法的分類來看，奧義智慧共同創辦人邱銘彰也提到，過去業界大家對於攻擊手法每個人講法不一樣，像是對於駭客偷取密碼的行為描述，大家可能習慣說Keylogger，還有像是偷密碼、截畫面、側錄等，現在則有了能被業界接受的標準用法，例如，ATT＆CK就將這類技術手法歸類為Input Capture，這也讓大家在描述同樣的行為時，能對應到通用的語言去溝通。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>借助自動化攻擊模擬平臺，企業可自行發起演練</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在MITRE舉行的ATT＆CK評估計畫之外，他們也提供了開源的自動化攻擊模擬平臺Caldera，將可以透過ATT＆CK建立攻擊情境，因此，企業能夠應用來執行紅藍隊的攻防演練與產品評估。</strong></span></p> <p><span style="font-size:28px;"><strong>評估計畫將偵測類型畫分更細，更有助於產品偵測能力的解析</strong></span></p> <p>另一方面，去年發起的ATT＆CK評估計畫，最近也有了新的進展。從首次計畫的進行來看，除了初期參與的7家業者，年初又有3家跟進，確實獲得更多資安業者響應，探究其主要原因，過去並沒有一個好的方式，去衡量EDR的偵測能力與覆蓋範圍，最近MITRE更是宣布將要啟動第二回合的評估計畫。</p> <p>對此計畫的轉變，叢培侃提供了他們的觀察與心得，他說，這是需要付費參加的計畫，先前的第一回合已經結束，因為較晚參與的業者多半較為有利，可以看到別人的問題並補強，等於是一邊開票、一邊投票的狀況。目前，第二回合預計在8月開始測試，並將套用俄羅斯駭客團體APT29的攻擊情境，而不是之前的中國駭客團體APT3。</p> <p>值得我們注意的是，MITRE在評估計畫的內容會有很大的變動。原本定義了6種主要偵測類別，以及3種子偵測類型。基本上，這部分就是企業在評估時的重要參考，可以了解產品在個技術手法的偵測能力。而在結果報告中，也可檢視分析人員提供的系統畫面截取，證明該攻擊行為的偵測。</p> <p>而新的評估計畫有大幅調整，雖然主要偵測類別仍是6種，但僅無偵測（None）、遙測（Telemetry）相同，其他調整為MSSP、General、Tactic與Technique，子類別更是細分為7種，包括：Alert、Correlated、Delayed、Host Interrogation、Residual Artifact、Configuration Change與Innovative。</p> <p>顯然，新評估計畫提出的偵測類別，區分得更細，等於是讓偵測能力可以有更好的程度畫分，例如，Delayed細分成兩個子類型，以提供有關事件延遲原因的更多資訊，幫助用戶更容易去評估，而MSSP偵測類別的新增，也相當引人注意，符合MDR服務興起的態勢。</p> <p>對此，叢培侃表示，最好的偵測能力表現，就是要達到Technique與Alert，而能自動發出警告；至於MSSP偵測類別的加入，不僅有助於評估產品面，同時也還評估後端分析人員的分析能力，考驗這邊的人員如何使用系統找出駭客攻擊行動，因為有時需要專家知識。</p> <p>更進一步來看，這也將反映出各家資安產品，在自動化程度的未來趨勢。叢培侃預期，業界會越來越重視自動化偵測警告，而邱銘彰也觀察到，一旦這種評估方法變成標準，將對舊型態產品開發商有很大的衝擊，因為改動成本太大，會因此拉開新舊業者的差距，另外，資安服務化也會變得越來越明顯。</p> <p>同樣地，達友科技副總經理林皇興也有類似看法。以第一回合的測試結果為例，他表示，對於每個技術手法，產品是只有遙測到，還是有辦法去知道前後情境，甚至能夠正確描述其特殊行為，才更具意義，而且，偵測也有即時與非即時的差別。同時，他也以CarbonBlack測試結果為例，強調即時分析、與不需人工過濾的重要性，應是未來這類資安產品發展的目標，而像是Sophos等業者，近期正併購與SOAR有關的公司，顯示不少業者都是朝此方向邁進。</p> <p>另外，從首次評估結果也可以看出，針對APT3所使用的各項技術手法，每個產品並非都能全部偵測到。但重要的是，如果能夠在整個攻擊流程裡面，某一地方偵測到或阻擋，事實上就能破壞整串攻擊行動。</p> <p>不過，可能基於中立的緣故，MITRE並未將這些偵測能力，量化成可以打分數的指標，但至少讓企業能有一個較為客觀的架構來檢視，自己對既有駭客攻擊手法的涵蓋率與偵測能力。</p> <p>最後值得一提的是，在ATT＆CK評估計畫之外，MITRE也提供了開源的自動化攻擊模擬平臺Caldera，將可以運用ATT＆CK的框架來做攻防演練。</p> <p>關於這一方面，OPSWAT亞太區副總經理林秉忠在年初接受我們採訪時，曾指出；市面上這類開源模擬平臺，已經不少，包括：Metta、APT Simulator、Red Team Automation、Invoke、Atomic Red Team、Infection Monkey、Blue Team Training Toolkit、DumpsterFire與AutoTTP等。而這些工具大部分都有支援ATT＆CK，有些甚至是因ATT＆CK框架而起。因此，企業也可以利用這樣的工具，來驗證業者產品的偵測能力，像是作為評估EDR產品的參考。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>新版ATT＆CK Enterprise，將攻擊戰略增加為12階段</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0926-cover-14531930.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1453,height=1930'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-cover-s.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在今年4月更新的ATT＆CK框架，開始將駭客使用的戰略擴大至衝擊面，而既有的技術手法內容也有一些調整與新增，例如，在圖中的黃色部分，就是技術手法項目有變動，而綠色部分則是這次新增。</strong><span style="color: rgb(105, 105, 105);">圖片來源／MITRE</span></p> <p>在ATT＆CK Enterprise矩陣的第一列，也就是最上面的橫排（圖中藍色區域），由左至右列出了駭客入侵攻擊的戰略階段，下方則是該階段的各式攻擊技術手法。其中持續潛伏與防禦逃脫的階段，駭客使用過的攻擊手法最多，因此也讓整個矩陣外觀的呈現，是一個容易往下擴張的表格形式。</p> <p>較特別的是，在今年4月的更新版本中，最後階段新增了衝擊的戰略，此外，命令與控制與滲出這兩個戰略的順序也被對調。而從整個矩陣來看，各階段下方累計呈現出314個技術手法，比之前291個更多，不過，一個手法可能會出現在不同階段，若扣掉重複的部分，目前ATT＆CK共區分出244個不同的技術手法。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>10家業者參與評估計畫，驗證產品入侵偵測能力，第二回合會將偵</strong></span><strong style="font-size: 28px;">測類別更細分為13項</strong></span></p> <p>在MITRE ATT＆CK框架之下，不僅有系統且具體的歸納出駭客的攻擊流程，MITRE還發起了ATT＆CK評估計畫，透過已經建立的既有駭客團體攻擊情境，來檢視端點防護產品的偵測能力，目前已有10家業者參與這樣的測試。最近，MITRE更是即將施行第二回合的評估計畫，預期將會有更多業者加入。</p> <p>在第一回合針對APT3所有技術手法的測試中，已經解析了各業者針對該攻擊情境，在每項技術手法的偵測能力，報告中也可看到證明偵測到這個攻擊行為的系統畫面截取。而在第二回合的評估計畫中，將以ATP29的攻擊來驗證，特別的是，MITRE為了讓偵測能力的表現，可以更具體且清楚，因此，將其定義的主要偵測類別與子類別，做出大幅度的調整。例如，在主要偵測類別並加入MSSP一項，在子類別更是增加到7項。</p> <p>更進一步來看，這對於企業與資安業者都有好處，將更容易理解企業的防禦或業者的產品，對於這些手法的涵蓋率有多廣，以及偵測能力的程度。而企業也可從企業自身環境來考量，需要優先補足或強化的部分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>在首次ATT&CK評估計畫之下，是以APT3作為攻擊情境，從評估結果中，可檢視各家產品，對於APT3使用各技術手法的偵測能力表現。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;"><strong>在即將展開的第二回合的ATT＆CK評估計畫中，除了將改以APT29為攻擊情境，MITRE並將偵測能力做出更細緻且具體的畫分。</strong>圖片來源／MITRE</span></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/131274" target="_blank"><strong style="text-align: center;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 1 </span></span></strong></a><span style="text-align: center;">　</span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#D3D3D3;"> 2 </span></strong></span><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131276" target="_blank"><span style="text-align: center; color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 3 </span></strong></span></a></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131275
【可助企業評估自我防禦，也是資安產業描述攻擊的共通架構】攻擊手法描述標準化，企業與產業都受益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年，MITRE ATT＆CK成為資安圈很夯的話題，不僅被認為可讓入侵手法描述有一致標準，同時也能在企業攻防演練，以及企業導入資安方案時的評估發揮作用。</p> <p>今年，我們看到臺灣一些資安業者，開始用ATT＆CK的概念，來跟企業溝通攻擊，在此次的專題製作過程中，我們也從資安相關業者與專家，得到一些更具體的經驗與觀察，讓我們可以更認識ATT＆CK框架的發展與價值。</p> <p><span style="font-size:28px;"><strong>最大價值就是EDR產品的評估</strong></span></p> <p>基本上，對於ATT＆CK Enterprise所歸納的各式技術手法細節，在資安領域已經被普遍認為，是可以協助端點偵測與反制系統（Endpoint Detection and Response，EDR）的評估，因為ATT＆CK的技術手法，其實能夠具體對應到產品規格，而從MITRE發起的相關評估計畫來看，也確實反映了這樣的態勢，已有10家資安業者參與。</p> <p>臺灣也有自主研發EDR的新創業者，奧義智慧就是一例，而在他們的眼中，ATT＆CK對企業與他們，將會帶來什麼樣的幫助？該公司共同創辦人邱銘彰表示，這其實也是因應了各方的需求，因為，不僅是企業需要評估這個產品，業者也要向企業證明產品的偵測能力，而ATT＆CK這樣結構化的驗證方法，就很有意義，能夠讓雙方都能好評估。</p> <p>不僅如此，在資安服務的紅隊演練也是如此。他舉例，由於厲害的業者很會攻擊，不厲害的業者則是亂打，因此，企業對於資安服務並沒有一個標準可以參照，這也就容易造成市場混亂。</p> <p>而在他們接觸企業用戶的經驗中，過去就常遇到企業不易評估的狀況。奧義智慧另一位創辦人叢培侃指出，現在企業擁有各式各樣的資安產品，但過去並沒有一套標準去評估要買什麼。因此，客戶在面對資安產品採購時，政府機關最常看到的是採最低標，也就是選擇價格最低者；一般企業則是承辦人要想出一個評估的方法去說服長官。而之前就有企業的要求，就是讓每間業者提供10隻病毒來測試，但是，用掃毒來檢視EDR完全是背道而馳的作法。他並指出，以現在ATT＆CK所分成的12個戰略階段而言，掃毒軟體大概也只是在第二個戰略階段Execution。</p> <p>現在，若是有了ATT&CK這樣的標準，企業其實就可以知道產品涵蓋到的層面。畢竟，每個單位對於自己的需求不同，有些單位可能已經買了很多產品，事實上只需要一小部分來補足現在的風險，若是沒有評估標準，企業就可能沒有把錢沒有花在刀口上。</p> <p>另外，隨著這個通用的框架興起，他們也將ATT＆CK融入到他們的產品。例如，在他們CyCarrier分析平臺的介面上，已經將系統偵測到的攻擊行為，對應到ATT＆CK框架的攻擊手法，而且，在他們提供的報告中，最後面也加入了ATT＆CK的項目，以便於使用者進行資安事件的評估，他們並預期未來相關業者都會跟進。同時，他們也透露參與新一輪ATT＆CK評估計畫的意願。</p> <p>關於這個評估計畫，在首輪測試第一個就響應MITRE的業者微軟，該公司資訊安全暨風險管理協理林宏嘉，他也期望更多業者通過這樣的測試，這樣將來在談攻擊時的落差就會比較小。例如，他提到這一兩年經驗，不是在幫大家「解毒」，而是「解讀」，因為要幫A與B廠商解讀他們的東西。現在，至少在跟別人談同一個事件時，會比較簡單，有一致性的語言，將能夠讓整個安全生態變得比較透明，且容易溝通，進而也讓企業接觸到更正確的資訊。</p> <p>特別的是，林宏嘉很認同ATT＆CK這樣的分類，因為他很習慣將每個動作拆得很清楚，甚至他還利用ATT＆CK矩陣來解讀惡意程式的行為。例如，過去資安業者稱有的惡意程式為後門、木馬，但他認為，過程與實質影響力更重要。</p> <p><span style="font-size:28px;"><strong>PRE-ATT&CK也值得企業重視</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89P5_%E6%94%BB%E5%AE%88%E6%A1%86%E6%9E%B6%E7%94%A8%E5%BE%97%E8%81%B0%E6%98%8E%E6%89%AD%E8%BD%89%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E6%96%B0%E6%80%9D%E7%B6%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8B%A4%E6%A5%AD%E7%9C%BE%E4%BF%A1.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>企業可運用ATT＆CK矩陣來確認攻擊情境與技術項目</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過攻防演練檢視企業自身的防禦，是現在越來越普遍的作法，而ATT＆CK矩陣將更容易幫助企業執行紅隊攻擊，特別是在攻擊情境的完整性上，進而幫助企業依據演練結果改善防護。</strong>圖片來源／勤業眾信</span></p> <p>對於ATT＆CK這樣的議題，提供資安顧問服務的勤業眾信，他們也看重這樣的概念，並同樣認為這是有助於溝通與攻防演練。</p> <p>因為，ATT＆CK對於溝通思維確實有很大改變。該公司風險諮詢服務副總經理林彥良表示，早期有許多的攻擊研究報告，但資訊其實相當分散，而現在討論就會使用框架，因為這有助於溝通。</p> <p>對此，該公司協理陳威棋也進一步說明。在他們協助企業的過程中，首先就是要幫助客戶建立應變的機制，第一件事就是要找人，這是指找到企業內部需要參與進來的人員；第二件事就是要制定應變框架甚至危機管理，在此過程中，就可以應用到ATT＆CK來執行攻防演練，以了解企業目前的防禦機制以及調查能力，或是在機制建置方面，也能用ATT＆CK做為參考的依據。而他們的一些日本客戶，其實也會在一開始，就要求執行資安成熟度的評估。</p> <p>對於有ATT＆CK，與沒有ATT＆CK的差異？陳威棋也解釋，以前他們在攻防演練測試，勤業本身也有一套定義與攻擊情境，但有的客戶或許不買單，而在有了ATT＆CK後，跟客戶討論將會更具體，特別是在整個攻擊鏈與手法上，只要客戶理解這個框架，其實就很方便溝通，也容易根據一些情境執行攻防演練。例如，他們使用Atomic Red Team的攻擊模擬工具，幫助攻防演練的執行。</p> <p>不過，他們對於全球採用ATT&CK的情形，則是有不同的觀察，林彥良指出，因為MITRE這樣的非營利組織背後還是美國國防部，中國雖有綠盟在應用ATT&CK，但未來可能會傾向發展出類似的架構，而歐洲也是。</p> <p>較特別的是，林彥良還指出，現在大家最常關注的是ATT＆CK Enterprise，但PRE-ATT&CK的部分，也是大家可以思考與關注的面向。例如，從外部蒐集的威脅資訊，像是員工電子郵件信箱暴露在外，或是帳號密碼被洩漏在外等，成為APT標的或可被用來撞庫。</p> <p>因為，這些駭客入侵前面階段的戰術手法與情蒐資訊，其實也很重要，而且他也指出，像是美國軍方等單位，也會將情報與安全維運拆分開來處理。</p> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/131274" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 1 </span></span></a></strong>　<a href="https://www.ithome.com.tw/news/131275" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2 </span></strong></span></a>　<span style="color:#FFFFFF;"><strong><span style="background-color:#D3D3D3;"> 3 </span></strong></span></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131276
臉書正式推出加密貨幣Libra，同步推專用電子錢包還創立智能合約新開發語言Move
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書執行長祖克柏在自己的<a href="https://www.facebook.com/zuck/posts/10107693323579671">臉書上宣布</a>，正式推出臉書加密貨幣Libra。目標是要打造出一個全球性的金融基礎架構，預計在2020年正式上線。臉書同時也成立了非營利的<a href="https://libra.org/en-US/">Libra協會</a>，來負責Libra加密貨幣的維運，目前已經有27個成員。臉書也同步發表了<a href="https://developers.libra.org/docs/assets/papers/the-libra-blockchain.pdf">Libra區塊鏈白皮書</a>。</p> <div class="media_embed" height="333px" width="500px"> <iframe allow="encrypted-media" allowtransparency="true" frameborder="0" height="333px" scrolling="no" src="https://www.facebook.com/plugins/post.php?href=https%3A%2F%2Fwww.facebook.com%2Fzuck%2Fposts%2F10107693323579671&width=500" style="border:none;overflow:hidden" width="500px"></iframe></div> <p> </p> <p>Libra採取穩定幣的設計，每天漲幅不會超過10％，也會對應到真實資產，但不是直接對應到實體貨幣，而是由Libra儲備機構負責持有與Libra加密貨幣對等的實體資產，每當產生一個Libra幣時，Libra儲備機構就會同時增加對等的資產，來確保加密貨幣的穩定。</p> <h3><strong>Libra電子錢包採實名制，用官方證件開戶</strong></h3> <p>早在今年F8大會，祖克柏就預告，日後要讓轉帳匯款，就像分享照片依樣簡單，臉書同步推出了Libra加密貨幣的電子錢包Calibra，可以提供類似分享照片一樣的Libra加密貨幣全球轉帳服務。就算沒有臉書或Whatapp帳號，使用者也可以透過官方身分證件來申請Calibra帳號，等於這是一個採取實名制或臉書帳號制的加密貨幣電子錢包。Calibra屬於臉書子公司但會獨立營運，已符合各國支付法規的要求。祖克柏強調，用戶提供給Calibra的個資，會和臉書的資料庫分別保存。</p> <p>Libra區塊鏈是一個去中心化可程式化的分散式資料庫，由負責節點來提供驗證。但要提供驗證節點的最低投資金額為1千萬美元，也將成為Libra協會成員。臉書是發起成員，在2019年將會主導協會發展。臉書旗下負責打造Libra電子錢包的Calibra平臺，將會成立一個Libra network，屆時，臉書將和其他協會成員的權限平等，來共同主導Libra區塊鏈的發展，包括Libra儲備機構的管理。</p> <h3><strong>2020正式上線，先推出Testnet測試鏈</strong></h3> <p>臉書也先釋出了一個Libra測試區塊鍊稱為Testnet，可供開發者在Libra在2020年正式上線前，先行試用和開發各種Libra智能合約應用。Libra區塊鏈透過Libra協定來進行交易的驗證，作為用戶端和驗證節點，以及驗證節點之間的傳輸協定。臉書還設計了全新的程式語言Move，可用來設計Libra交易腳本，這就是俗稱的區塊鍊智能合約，每一次的Libra交易都包含了一份交易腳本，來描述Libra幣如何易手。</p> <p>在共識機制上，Libra區塊鍊採用了拜占庭容錯共識演算法系列中的HotStuff共識演算法，再略作調整而發展出自己專屬的LibraBFT共識演算法，尤其強化了原有拜占庭容錯共識演算法安全不足之處。Libra白皮書強調，甚至所有節點同時當機重開，也不會影響LibraBFT演算法的運作。臉書還推出了Libra區塊鏈專用的新程式語言Move，可用來開發使用者自訂的智能合約。</p> <h3><strong>Libra雛形版本可達到每秒1千次交易</strong></h3> <p>臉書已經開源釋出了Libra區塊鏈的核心程式，可用來建立一個進行Libra交易的驗證節點，稱為Libra Core，採用Rust語言開發，並利用gRPC來設計內部通訊的服務。臉書估計，初版Libra協定的效能，每秒可進行1千次交易驗證（transaction），而一次交易的完整完成時間（finality time），從提出交易，到完成驗證，寫入帳本最長不超過10秒。實測出這個交易速度所用的驗證節點硬體規格，包括了標準商用CPU、搭配16TB SSD和40Mbps的網路頻寬，每次交易資料量在5KB的情況下。若硬體規格再提高，則可加快驗證節點間的交易速度。</p> <p>不過，臉書在Libra白皮書上強調，目前的Libra Core只是初步的雛形版本（prototype），主要用來驗證Libra可行，日後不論API或協定本身都還會再修改。</p> <h3><strong>Libra區塊鏈未來發展藍圖</strong></h3> <p>後續的Libra區塊鏈技術發展，也將可從Libra Core未來發展藍圖略窺一二，未來Libra Core將會發展出專屬的標準化共享支付位址、也將提供一套真實世界可上傳交易到驗證節點的API函式庫、功能模組上則會新增Libra幣追蹤機制，投資型權杖設計、冷錢包或多錢包設計，在資安架構上則要引進「信任運算基礎」（Trusted computing base）的作法，另外也將採用時間序列式儲存機制來汰換現有的協定緩衝區儲存機制（Protocol Buffer）。而在智能合約專用語言Move上，未來則將提供事件機制，強化本地端智能合約的開發和測試機制，也將提供版本功能，可用來管理版本和新舊交易腳本（也就智能合約）等。</p> <p> </p> </div></div></div>
2019/6/19 00:06作者王宏仁https://www.ithome.com.tw/news/131332
官方認證！美國國土安全部成功測試Bluekeep攻擊，呼籲企業儘快修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的電腦安裝Bluekeep修補程式了沒？繼美國國安局後，國土安全部周一<a href="https://www.us-cert.gov/ncas/alerts/AA19-168A" target="_blank">表示</a>已經成功開採舊版Windows的Bluekeep漏洞，呼籲企業及用戶儘速安裝修補程式。</p> <p>Bluekeep為正式編號CVE-2019-0708的漏洞，存在於XP到Windows 7、Server 2008到2013等舊版Windows的遠端桌面協定（remote desktop protocol）中，可使未授權攻擊者利用RDP連上目標系統，傳送惡意呼叫。成功開採者可於遠端執行任意程式碼、安裝惡意程式、讀取或刪改資料、或新開管理員權限帳號。安全專家評估Bluekeep為「可感染」（wormable），因為開採其漏洞的惡意程式可在其他漏洞裝置上自我繁殖、散布，而引發如WannaCry等級災難。<a href="https://support.microsoft.com/zh-tw/help/4500705/customer-guidance-for-cve-2019-0708" target="_blank">微軟五月底已緊急釋出修補程式。</a></p> <p>國土安全部旗下的網路安全基礎架構與安全署（Cybersecurity and Infrastructure Security Agency，CISA）周一表示，已經連同外部廠商成功實作遠端程式碼執行，證明Windows 2000的確曝險。</p> <p>CISA呼籲電腦用戶及管理員儘速安裝修補程式，或是關閉不必要的對外服務、封鎖防火牆的TCP port 3389並啟動網路層驗證（NLA）。</p> <p>在此之前，已有多家安全公司包括卡巴斯基、McAfee及CheckPoint，都已成功開發出Bluekeep的概念驗證攻擊程式。</p> <p>安全業者Errata Security統計，網路上還有超過92萬臺系統仍然還有BlueKeep漏洞，<a href="https://www.ithome.com.tw/news/131106" target="_blank">促使微軟及美國國安局不厭其煩加入呼籲行列</a>。 </p> </div></div></div>
2019/6/18 16:15作者林妍溱https://www.ithome.com.tw/news/131323
Bitdefender與警方聯手釋出勒索軟體GandCrab最新版解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender與<a href="https://www.europol.europa.eu/newsroom/news/just-released-fourth-decryption-tool-neutralises-latest-version-of-gandcrab-ransomware" target="_blank">國際警方</a>在本周聯手<a href="https://www.nomoreransom.org/en/decryption-tools.html#GetCrypt" target="_blank">釋出了GandCrab 5.2版的解密工具</a>，這是GandCrab勒索軟體的最新版，且由於<a href="https://www.ithome.com.tw/news/131042" target="_blank">GandCrab已於日前宣布退隱江湖</a>，因此，新版解密工具的釋出，等於宣告GandCrab時代的結束。</p> <p>2018年1月底現身的GandCrab是史上獲利最豐的勒索軟體，它與眾多的駭客結盟，由駭客負責發動攻擊並感染受害者，駭客可獲得6成的收入，並由GandCrab拆分4成，這也讓GandCrab快速成為勒索軟體市場上的龍頭老大，在2018年中奪下50%的市佔率，估計其全球受害者超過150萬人。</p> <p>GandCrab作者在退休之際，宣稱GandCrab在這一年多以來已創造逾20億美元的收入，作者群一年的收益也超過1.5億美元，並說會刪除所有的金鑰，無法再回復任何受害者的資料。</p> <p>不過，歐洲刑警組織（Europol）表示，他們在全球警方的通力合作，以及Bitdefender與McAfee等資安業者的支持下，已經關閉了GandCrab的運作，並釋出最新的GandCrab解密工具。</p> <p>根據BleepingComputer的說明，所有的勒索軟體都是採用某些形式的加密演算法，且這些演算法大多是安全的，能否被破解端看作者夠不夠縝密，有許多作者採用公鑰/私鑰系統，以公鑰來加密，再利用私鑰來解密，而私鑰則由駭客自行存放。</p> <p>因此，當執法機構破獲勒索軟體組織時，就能從所扣押的伺服器上找到解密金鑰，再把解密金鑰公諸於世，Bitdefender即是藉由這些金鑰來建立解密工具。否則，要提供勒索軟體的解密解決方案其實是很難的。</p> <p>總之，GandCrab作者賺飽宣布收山了，不會再有新版的GandCrab，且Bitdefender的解密工具可支援被GandCrab 1、GandCrab 4、GandCrab 5~ GandCrab 5.2等版本感染的受害者，代表GandCrab即將就此畫下句點。</p> <p>然而，市場上仍存在著不少勒索軟體，歐洲刑警組織建議，使用者應有備份的習慣、使用防毒軟體、不要自來路不明的地方下載程式或開啟郵件中的可疑檔案，而且萬一被勒索軟體感染也不要支付贖金。</p> </div></div></div>
2019/6/18 16:20作者陳曉莉https://www.ithome.com.tw/news/131326
不只Linux伺服器，Azure也被駭客鎖定Exim漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.technet.microsoft.com/msrc/2019/06/14/prevent-the-impact-of-a-linux-worm-by-updating-exim-cve-2019-10149/" target="_blank">微軟周一發出公告</a>，近日發現Exim郵件伺服器元件的遠端指令執行（RCE）漏洞，可能影響Azure上的Linux系統用戶。</p> <p>全球將近六成或數百萬臺主機使用的郵件伺服器元件Exim，<a href="https://www.ithome.com.tw/news/131270" target="_blank">本月再被發現有編號CVE-2019-10149</a>的遠端指令執行（Remote Command Execution，RCE）漏洞，可讓駭客以最高權限執行任意指令。受影響版本包括4.87 到4.91版的Exim。上周安全公司已經發現至少二波攻擊行動，包括會自我繁殖的蠕蟲，會移除Exim伺服器上的挖礦程式及任何防護工具，再安裝自己的挖礦程式，尤其鎖定Linux伺服器，包括RHEL、Ubuntu、Debian和Alpine Linux等。</p> <p>而透過VM在Azure上跑上述版本Exim元件的Linux郵件伺服器也會同樣受波及。微軟指出，該公司安全回應中心（MSRC）本周證實，開採Exim RCE漏洞的Linux蠕蟲鎖定Azure客戶。</p> <p>微軟指出，Azure 2017年曾加強垃圾郵件控管機制可限制蠕蟲擴散，例如只有特定訂閱類型才能從VM上寄出郵件，但是本身使用有漏洞Exim軟體的客戶仍無法倖免。Azure VM用戶應自行更新Linux作業系統中的Exim版本。</p> <p>暫時無法更新的用戶，可考慮透過設定網路安全群組（Network Security Groups，NSGs）來過濾或封鎖部份流量，這個方法可阻擋來自網際網路的蠕蟲或進階惡意程式。但微軟警告，如果企業的網路安全群組放行攻擊者的IP位址，則問題系統仍然可能遭遠端指令執行攻擊。最終極解決之道，仍是升級到Exim 4.92版。</p> </div></div></div>
2019/6/18 16:35作者林妍溱https://www.ithome.com.tw/news/131328
Netflix揭露FreeBSD與Linux核心漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md" target="_blank">Netflix的安全團隊在本周揭露位於FreeBSD與Linux核心的4個安全漏洞</a>，這些漏洞都涉及TCP網路，包括最小分段尺寸（Minimum Segment Size，MSS）與TCP選擇性確認（TCP Selective Acknowledgement，SACK），而其中最嚴重的CVE-2019-11477漏洞又被稱為SACK Panic，因為它允許駭客自遠端觸發核心錯誤（Kernel Panic）。</p> <p>駭客只要透過特製的SACK序列，就有可能引發整數溢位（Integer Overflow）漏洞，進而造成核心錯誤。CVE-2019-11477漏洞影響Linux 2.6.29及之前的版本。業者已釋出修補程式，或者Linux用戶也能簡單關閉SACK處理功能來緩解。</p> <p>CVE-2019-11478漏洞則允許駭客利用特製的SACK序列破壞TCP的重傳佇列，或是進一步開採這些破碎的佇列，造成SACK緩慢或資源的過度使用，影響Linux 4.15以前的版本。</p> <p>CVE-2019-5599也可以藉由特製SACK序列來破壞RACK send map，而造成SACK變慢，影響採用RACK TCP Stack的FreeBSD 12。</p> <p>至於所有版本的Linux則都含有CVE-2019-11479漏洞，它允許駭客強迫Linux核心把回應切成多個TCP區段，但每個區段只含有8位元的資料量，大幅增加了傳送同樣資料量的所需頻寬，同時還會額外耗損諸如CPU及NIC等資源，相當於阻斷服務攻擊。</p> <p>CVE-2019-11479也有簡單的緩解方式，亦即利用過濾機制來限制最小分段尺寸（Minimum Segment Size，MSS）所能採用的數值。</p> </div></div></div>
2019/6/18 16:45作者陳曉莉https://www.ithome.com.tw/news/131329
無人機內嵌電腦Manifold 2現在也可以部署容器化應用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://blog.ubuntu.com/2019/06/13/customisable-for-the-enterprise-the-next-generation-of-drones">無人機內嵌電腦Manifold 2也可以部署容器化應用了。其製造商DJI在第二版增加了對Linux作業系統Ubuntu的支援，現在可以直接使用Ubuntu的容器化應用程式</a>套件，也就是Snap套件的應用可以部署到無人機上了，這將讓Manifold 2獲得大幅自訂的能力，Canonical提到，Manifold 2是第一個支援Snap技術的無人飛行器電腦。</p> <p>Manifold是DJI的無人飛行器開發平臺，讓開發者可以自行開發各種應用程式，並安裝在DJI飛行器擴充托架上。而Manifold 2比前一代擁有更高的計算能力，更能支援人工智慧以及機器學習等複雜運算，且Manifold 2預安裝了Ubuntu，支援了CUDA、OpenCV和ROS等功能，企業能夠更容易地開發電腦視覺應用。</p> <p>也由於Manifold 2安裝Ubuntu，因此開發者也能方便地使用Snap套件，改變、更新以及擴充無人機的功能。Snap是Linux平臺上的容器化技術，可以把應用程式打包成套件，目的是讓要讓各種應用程式能夠跨雲端、桌面和物聯網等裝置部署，使用者也可以透過Snap商店，下載各種常用有的軟體。</p> <p>而Manifold 2有了Snap技術的加持，企業能夠把程式打包成Snap，在搭載Manifold 2的飛行器上部署容器應用，將其轉成各式功能的智慧裝置，進行複雜的運算或是進階的圖片影像處理應用，讓企業有辦法打造更多元的應用。</p> <p>Canonical提到，Snap提供高安全性和靈活性，無人機可以在工作空間直接接收自動更新，方便讓企業一次大規模管理整個機隊，Snap的回退機制，還能在套件發生問題的時候自動回退，確保開發者在研發新功能的時候，系統能維持安全可靠的運作品質。</p> </div></div></div>
2019/6/18 12:27作者李建興https://www.ithome.com.tw/news/131303
華為總裁：美國禁令導致營收減少300億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-huawei-tech-usa-revenue/huawei-says-u-s-ban-hurting-more-than-expected-to-wipe-30-billion-off-revenue-idUSKCN1TI0KL" target="_blank">路透社報導</a>，華為集團創辦人、總裁暨執行長任正非周一公開承認，美國方面的禁令超出華為預期，預料未來兩年公司營收可能減少300億美元。</p> <p>任正非周一在華為深圳總部的一場座談會上指出，今明兩年該公司營收大約會落在1000億美元左右，遠遠不及原先預期的1250億到1300億美元。此外，過去幾個月來華為智慧型手機海外出貨量已經下滑40%。</p> <p>這是五月華為被美國商務部列入技術輸出禁止名單後，華為官方首度給出量化評估。任正非指出，對於美國方面的抵制，華為是有所準備，但只是如機場為飛機加滿油的程度，而事情嚴重性超過他們一開始預期。華為沒有料到白宮方面的禁令引發的效應會如此全面，其元件供應遭斷絕、不得參與國際組織、許多大學院校中斷研究合作、他們也無法和使用這些元件的產業協會往來等。</p> <p>在美國官方禁令一出後，Google立即中止對華為的Android授權，使華為手機不得使用Gmail、Google地圖、Play Store等App。之後傳晶片業者包括英特爾、高通及ARM都相繼中斷供貨給華為。MicroSD、Wi-Fi、藍牙及JEDEC（Joint Electron Device Engineering Council，聯合電子裝置工程委員會）等產業協會也分別暫停華為會員資格，雖然這些組織不久後都恢復了華為的會籍。</p> <p>華為上周<a href="https://www.ithome.com.tw/news/131298" target="_blank">表示</a>首款折疊手機上市時間也將由6月延到9月。此外業界也在觀察，華為自有研發的鴻蒙作業系統，是否能如期於自稱的6到9個月內推出。</p> <p>任正非預期這波衝擊要到2021年才會恢復。但他說華為很堅強，不會被擊潰。雖然手機海外業務不振，但他說中國業務成長很快。</p> <p>5G產品是華為另一個營收火車頭。<a href="https://www.ithome.com.tw/news/131149" target="_blank">中國本月發出首批5G執照</a>，三家電信業者及中國廣播電視將開通5G業務，華為也取得了中國移動的標案。華為月初表示，目前已在全球30個國家獲得46個5G商用合約，即將出貨超過10萬個5G基地台。</p> </div></div></div>
2019/6/18 11:50作者林妍溱https://www.ithome.com.tw/news/131322
臉書開源體現AI平台AI Habitat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/open-sourcing-ai-habitat-an-simulation-platform-for-embodied-ai-research" target="_blank">臉書最近開源了體現AI（embodied AI）平台AI Habitat</a>，這是一個模擬平台，專供研究人員在逼真的3D環境中訓練諸如虛擬機器人等體現代理人，而且可結合同樣來自臉書的Replica，或是第三方的Gibson與Matterport3D等3D環境資料集。</p> <p>傳統的AI可思考、推理或解決抽象的問題，而體現AI則能移動，並與真實的世界進行實際的互動，有愈來愈多的研究人員相信，體現AI才是在未來能夠展示更多能力並輔助人類的AI技術，例如請機器人幫你拿放在樓上書桌上的手機，或者藉由一個配戴裝置協助視障人士駕馭不熟悉的地鐵系統。</p> <p><a href="https://aihabitat.org/?fbclid=IwAR0mZWyajs5wZMsuLBX8zVh1fCo79tXbp_-q3Ajbs-lHR7ysUyISFAr-HqE" target="_blank">AI Habitat平臺</a>是由Habitat-Sim、Habitat-API及Habitat Challenge等3個元件所組成，其中的Habitat-Sim是個3D模擬器，具備可配置的代理人、感應器，也能處理各種3D場景資料集，單執行緒即可達到數千FPS，若是在單個GPU上的多程序，則能超過1萬FPS。</p> <p>Habitat-API則是一個模組化的函式庫，以用來定義體現AI的任務，像是導航、聽從指令或回答問題；或是配置體現代理人，諸如實體形式、感應器或能力；還能訓練代理人或評測這些代理人的效能。而Habitat Challenge則是號召研究人員參與的挑戰賽，與傳統AI挑戰賽不同的是，它要求參賽者上傳不具預測功能的程式碼，並於一個全新的環境中測試代理人的反應。</p> <p>可用來搭配AI Habitat的<a href="https://github.com/facebookresearch/Replica-Dataset?fbclid=IwAR3muqQosTQ0t-sw8s7Sei3eq34lRKrA0dxLxV9pkmrWjnxOCEjDm361t00" target="_blank">Replica</a>則是一個3D環境重建資料集，主要蒐集了各種室內空間，標榜畫面有如照片般栩栩如生，目前的版本只有18個場景，包括不同格局及擺設的公寓、辦公室及房間等。</p> <p>臉書表示，AI Habitat是專為體現AI研究人員所開發的平台，也是一個較少依賴監督式學習所使用之大型註釋資料集的系統，若有愈多的研究人員採用AI Habitat，就能加快共同開發體現AI技術的速度，早日讓機器人符合人們對其角色的期待。 </p> </div></div></div>
2019/6/18 10:20作者陳曉莉https://www.ithome.com.tw/news/131318
研究：58項熱門開源專案中，有8成開發者的收入低於行業標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自巴西的開放源碼開發者<a href="https://staltz.com/software-below-the-poverty-line.html" target="_blank">André Staltz近日替開源社群發聲</a>，指出他調查了58項最熱門的開源專案，發現有8成開發人員的年收入低於行業標準。</p> <p>Staltz是在非營利專案贊助平臺Open Collective上選出58個最受歡迎的開源碼專案，找出它們的年收入，並在相對應的GitHub儲存庫上計算這些專案的星星數與全職的貢獻者人數。</p> <p>Staltz說，他原本樂觀地以為開源專案的貢獻者或維護者應該可以仰賴捐款過活，卻發現有81%的專案收入低於業界標準。</p> <p>根據StackOverflow的薪資調查，開發人員的年收入從4萬到10萬以上都有，於是Staltz將收入分為4個等級，6位數、落在業界標準內的5位數、未及業界標準的5位數，以及被美國官方列為貧窮等級的12,486美元。</p> <p>而在分析這58個開源專案的星星數量、團隊規模及年營收之後，發現只有兩個專案：Webpack與 Vue.js的維護人員年收入超過6位數（10萬美元），有50%專案的維護人員年收入落在貧窮線，31%低於業界標準，12%屬於業界標準。</p> <p>就算是非常熱門的專案，如 Prettier、Curl、 Jekyll或AVA，其開發人員的年收入也都算貧窮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-opensourcesalary-2.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">圖片來源：</span><a href="https://staltz.com/" style="color: black;"><span style="color:#696969;">André Staltz</span></a><span style="color:#696969;">，</span><a href="https://staltz.com/software-below-the-poverty-line.html"><span style="color:#696969;">https://staltz.com/software-below-the-poverty-line.html</span></a></strong></p> <p>Staltz歸納其原因為開源碼專案並未得到足夠的金援，這58個專案的年度總收入為250萬美元，中位數年薪為9,000美元，就算平均分配，年薪也只有22,000美元，都低於業界標準。</p> <p>其實<a href="https://www.ithome.com.tw/news/130876" target="_blank">GitHub已在今年公布了Sponsors計畫</a>，鼓勵外界以實際的金錢來援助開源專案，但因Sponsors才剛上線，又不若Open Collective透明，因此未被Staltz列入計算。</p> <p>Staltz還說，假如以75億美元買下GitHub的微軟真心想支持開源專案，應該可以捐個10億美元給開源專案，就算每年只捐150萬美元，都已足夠讓上述開源專案的開發人員年薪達業界標準；Staltz也呼籲那些仰賴開源專案打造私有軟體的企業，在賺錢之餘也應回饋開源社群。</p> </div></div></div>
2019/6/18 09:25作者陳曉莉https://www.ithome.com.tw/news/131312
微軟推出Java用VS Code安裝程式，能快速設定Java開發環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓開發者能夠方便地使用Visual Studio Code進行Java開發工作，<a href="https://devblogs.microsoft.com/visualstudio/announcing-visual-studio-code-java-installer/">微軟釋出特別的Visual Studio Code安裝程式</a>，能自動檢測開發環境，為開發者下載缺少元件，準備好Java的基本開發環境。微軟提到，開發者可以用這個安裝程式進行全新的安裝，也可以是現存環境的更新，快速地將Java加入到開發環境中。</p> <p>Java一直是熱門的語言，因此微軟也在其整合開發環境Visual Studio Code支援了各種Java擴充套件。讓開發者能夠使用習慣的工具或是框架，進行程式開發工作。不過，對於許多開發者來說，在Visual Studio Code上進行Java開發工作並不容易，微軟為此還是出了Java Extension Pack，提供了相關的擴充，包括步驟詳細的教學文件，要幫助開發者順利寫出第一行Java程式碼。</p> <p>不過這樣還不夠，微軟現在還為Visual Studio Code推出Java開發懶人包，開發者在下載了Java用Visual Studio Code安裝程式後，安裝程式會自動檢查開發者的系統，是否存在開發Java所需要的基本元件，包括JDK、Visual Studio Code和Java基本擴充套件，掃瞄完畢安裝程式會顯示結果報告，顯示系統缺少的元件，開發者只要按下安裝按鈕，程式便會從可信的來源下載這些元件。</p> <p>一旦安裝完成，開發者就可以直接開始撰寫並執行Java程式碼，微軟表示，使用這個Java用Visual Studio Code安裝程式，可以讓開發者在不到一分鐘的時間，撰寫出Java的Hello World程式。目前這個Java用Visual Studio Code安裝程式只支援Windows，Mac版本正在製作中。</p> </div></div></div>
2019/6/18 09:35作者李建興https://www.ithome.com.tw/news/131310
Container周報第103期:誤刪50節點K8s叢集為何3小時才能復原？Spotify揭自家事故幕後經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong><span style="color:#0000FF;">5/30~6/12重要Container新聞精選</span></strong></h3> <h3><strong><span style="color:#FF8C00;">#失敗經驗 #Spotify</span><br /> 誤刪50節點K8s叢集為何3小時才能復原？Spotify揭自家事故幕後經驗</strong></h3> <p>線上音樂串流服務Spotify一位基礎架構工程師David Xia，在今年歐洲KubeCon大會上分享了自家Kubernetes叢集一次意外事件。擁有上億用戶的Spotify，旗下開發者高達1千人，經常要在上萬臺VM上部署程式碼。Spotify主要使用了GCP雲端服務，在雲端容器服務GKE上擁有3套生產叢集，分別負責歐洲、亞洲和美國，每小時會自動備份一次。</p> <p>2018年11月時，有一次工程師為了測試GKE的新功能，新增了一個測試用的叢集，完成測試後，工程師要刪除這個測試叢集來節省資源，卻不小心刪除了負責美國區用戶的一個50節點的叢集。David眼看著刪除指令關閉了一個又一個節點，問遍同事如何緊急停止這個刪除指令，「完全沒辦法阻止，只能重建叢集。」他坦言，後來Spotify足足花了3.25小時才重建了這個叢集。</p> <p>為何這麼久？重建過程中，他才發現，叢集建立Scrips有臭蟲，參考文件的內容不完整也不盡正確，導致他們設計的叢集建立程式，無法反覆使用。一個月，Spotify試圖將防止誤刪叢集的做法，列入自家的開發管理規範中，並採用了基礎架構管理工具Terraform來避免叢集部署的意外，但是，這又引發了另一起事故。這次是要將兩個現成叢集合併成一個新的叢集時，建立新叢集時因為權限不夠而失敗，工程師後來擴充了權限後才能執行。儘管合併工作順利完成後，卻導致Terraform誤判叢集需要異動，而刪除了整個亞洲區叢集，甚至連美國區叢集也一起刪除。</p> <p>David表示，出錯難免，但失敗也要有因應計畫。後來，Spotify採取了3個因應對策，第一是執行K8s服務合併時，分批進行。第二是改變在K8s上登錄服務的作法，第三是建立K8s實例出錯時，可以快速由非K8s實例接手的備援機制。</p> <h3><strong><span style="color:#FFA07A;">#失敗經驗 #Datadog</span><br /> SRE注意，要小心Kubernetes常見十大類問題</strong></h3> <p>監控工具服務商Datadog兩位工程師Laurent Bernaille和Robert Boll在今年歐洲KubeCon分享了自家經驗中，管理Kubernetes常遇到的十種問題。Datadog投入Kubernetes專案超過2年多，自家服務也大力擁抱，最大規模的一個K8s叢集高達2千個節點，平均K8s叢集節點數也多有1,000～1,500之多。第一類問題是DNS管理問題，而且最常造成K8s事故的問題也多半是DNS問題。第二類常見問題則是任務啟動失敗而導致映像檔抓取失效。第三是kubectl命令列工具操作出錯。再者，應用程式Pod排程沒有考慮到新節點，Log檔10倍速度暴增塞滿儲存空間、大量副本和重製導致Pod失蹤、Cassandra叢集內有鬼（未預期的操作）、部署程序越來越慢、容器化過程出包、關超慢的Pod關閉過程（Termination）。他們提醒，要避免出錯得特別留意4件事，使用管理Pod的DaemonSet要小心，認清DNS管理向來很難，雲端基礎架構不見得很透明，最後則是容器不一定真的順利容器化了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8D%81%E5%A4%A7%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Datadog.jpg" /></p> <h3><strong><span style="color:#FFA07A;">#GKE #雲端排程</span><br /> Google正式推出雲端排程工作服務，GKE也能自動派工</strong></h3> <p>Google正式推出其雲端託管的排程工作（Cron Job）服務Cloud Scheduler，使用者可以用Cloud Scheduler來觸發任何批次、大資料或是雲端基礎設施操作，而且這個功能不只可以在GCP上使用，還能從用戶本地端或是第三方資料中心來觸發目標工作。包括GCP容器服務GKE、Compute Engine、Cloud Run以及Cloud Functions等多項GCP服務，甚至可以是在本機端應用程式，都可以透過Cloud Scheduler來自動派工。<a href="https://www.ithome.com.tw/news/126866">更多報導</a></p> <h3><strong><span style="color:#FFA07A;">#Fargate #基礎架構管理</span><br /> Pulumi開源基礎架構即程式碼框架Crosswalk，能簡化AWS各類部署工作</strong></h3> <p>基礎架構即程式碼供應商Pulumi開源了一個可用於部署AWS工作負載的框架Pulumi Crosswalk for AWS，提供基礎架構即程式碼元件，並內建AWS最佳實踐，幫助用戶根據需求，將應用程式部署到AWS上。可支援多種AWS服務，包括無伺服器服務Lambda和API Gateway，還有容器服務ECS以及Fargate，以及像是熱門的Kubernetes服務EKS、跨網路的VPC和SecurityGroups，而監控服務Cloudwatch Dashboards與Alarms等都有支援。由於Crosswalk的模塊建構在AWS的原生功能模組之上，用戶可以自由地使用高階元件，或是使用低階平臺原語，也能根據需求混合使用。<a href="https://ithome.com.tw/news/131235">更多報導</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Pulimi.png" /></p> <h3><strong><span style="color:#FFA500;">#DevOps #Git</span><br /> 強化Azure DevOps程式碼提交機制，微軟釋出Multi-Cherry-Pick擴充套件</strong></h3> <p>為了讓Azure DevOps開發者，可以更簡單地同時對多分支的應用提交，微軟釋出了PR Multi-Cherry-Pick擴充套件，該套件是使用git Cherry-Pick指令，能夠自動應用程式碼變更到多個分支上。擴充套件Multi-Cherry-Pick的名稱來自git指令Cherry-Pick，這是用來接受一個或多個現有的提交（Commit），並將每個提交的更改當作新的提交，應用到不同的分支上的操作。<a href="https://www.ithome.com.tw/news/131210">更多報導</a></p> <h3><strong><span style="color:#FFA07A;">#架構重構 #Kubernetes #IBM</span><br /> IBM花2年改用K8s重新打造自家雲端平臺，部署上萬內部應用的現代化IT新架構首度公開</strong></h3> <p>2年前，IBM展開了旗下雲端平臺產品的大整頓，不光只是重整品牌，還找來了20年前開發出IBM第一代SOA和Web產品的IBM Watson和雲端平臺首席架構師Andrew Hately，大力採用Docker、Kubernetes、Linux和Cloud Foundry，設計出全新的現代化IT架構。3年前，IBM開始研究跨雲管理架構，決定大力投入Kubernetes開源專案，2年前，IBM悄悄地展開了自家內部平臺的架構改造任務，甚至不惜重構自家雲端平臺，要將大部分的IBM軟體和雲端平臺，都搬上Kubernetes。IBM先從資料庫平臺開始著手改造，例如將天氣預測應用改部署到IBM雲上的Kubernetes環境中，後來更進一步擴大到所有的分析和AI產品，都轉而部署到Kubernetes環境上。Andrew Hately表示，去年終於完成了這個龐大的平臺重構計畫，除了用來管理基礎架構上運算、儲存和網路的控制臺程式，以及基礎架構的虛擬機器（VM）不是採用Kubernetes，IBM其餘的雲端服務，甚至內部所用的上萬支應用程式，幾乎全都搬上了Kubernetes。<a href="https://www.ithome.com.tw/people/131015">完整報導</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_IBM%E7%8F%BE%E4%BB%A3%E5%8C%96%E6%9E%B6%E6%A7%8B.png" /></p> <p>責任編輯／王宏仁</p> <p><span style="color:#0000FF;"><strong>更多Container動態</strong></span></p> <ul><li>紅帽和容器儲存新創聯盟，要打造K8s上的HCI平臺</li> <li>Information Builders分析軟體開始提供Docker映像檔安裝版本，方便用戶部署到公雲</li> </ul><p> ＠資料來源：iThome整理，2019年5月</p> </div></div></div>
2019/6/18 09:53作者王宏仁https://www.ithome.com.tw/news/131315
GPS失靈一個月？美國研究：將造成300億美元的損失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.rti.org/news/new-report-reveals-economic-benefits-private-sector-use-gps" target="_blank">RTI International近日公布</a>了一份由美國國家標準與技術研究院（The National Institute of Standards and Technology，NIST）所贊助的研究報告，雖然報告名稱為<a href="https://www.rti.org/sites/default/files/gps_finalreport.pdf" target="_blank">《全球定位系統的經濟利益》</a>（Economic Benefits of the Global Positioning System），卻也特別估計了萬一GPS失靈一個月，將造成美國至少300億美元的經濟損失。</p> <p>RTI表示，此次的研究是在美國商務部的要求下，新增了全球定位系統（GPS）故障一個月的損失估計，並未追究故障原因是來自異常氣候或惡意活動，但假設了全球的GPS都受到影響。</p> <p>其實GPS的故障有例可循，那是2016年時北韓針對南韓發動攻擊，持續6天干擾南韓的GPS，據稱有超過1,000架的飛機、逾700艘船隻及逾1,500個基地臺受到影響。</p> <p>美國有十個關鍵產業仰賴GPS，分別是農業、電力、金融、定位資訊服務（Location Based Services）、挖礦、海運、石油與天然氣、測量、電信及車載資通訊。</p> <p>根據該報告，從1983年到2017年，<a href="https://arstechnica.com/science/2019/06/study-finds-that-a-gps-outage-would-cost-1-billion-per-day/" target="_blank">GPS替上述十大產業帶來1.35兆美元的經濟利益，其中有約莫90%的利益是2010年之後才產生的</a>。且從產業別來看，電信業受益最大，因為GPS改善了無線網路的可靠性與頻寬，而帶來6,859億美元的經濟利益。</p> <p>至於假設GPS故障了30天，估計會造成美國302億美元到454億美元的損失，倘若正逢重要的農業栽種季節，那麼光是農業損失就可能高達151億美元，海運也受創頗重，估計損失104億美元，電信業則會損失98億美元。</p> <p>美國政府可能只是要粗略評估GPS被癱瘓的災損，因為直至今日，美國的GPS故障時間從未超過一天。</p> </div></div></div>
2019/6/18 09:55作者陳曉莉https://www.ithome.com.tw/news/131316
駭客利用23款攻擊程式來散布新一代殭屍病毒Echobot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當駭客在2016年公布了殭屍病毒Mirai的原始碼之後，資安業者即開始追蹤相關變種的動態，近日<a href="https://unit42.paloaltonetworks.com/new-mirai-variant-adds-8-new-exploits-targets-additional-iot-devices/" target="_blank">Palo Alto Networks</a>與<a href="https://blogs.akamai.com/sitr/2019/06/latest-echobot-26-infection-vectors.html" target="_blank">Akamai</a>相繼揭露，基於Mirai程式碼的新一代殭屍病毒Echobot正快速崛起中，而且開採能力超強，駭客已利用26種漏洞攻擊程式來散布Echobot。</p> <p>在2016年8月現身的Mirai病毒主要感染IP攝影機及家用路由器等物聯網裝置，最高峰時有超過30萬臺裝置感染了Mirai，成為分散式阻斷服務（DDoS）攻擊的大軍，法國網站代管業者OVH及DNS供應商Dyn，曾先後遭到Mirai殭屍網路的攻擊，然而，Mirai作者在10月就宣布退休，還公開釋出Mirai原始碼，之後即餘孽不斷。</p> <p>例如Echobot的攻擊程式碼明顯與Mirai相同，唯一的改變在於用來感染裝置的攻擊方法不同。</p> <p>原始版的Mirai入侵裝置的管道只是開採IoT裝置的預設密碼或薄弱密碼，但隨後的駭客卻將它發揚光大，利用攻擊程式來開採裝置漏洞以植入殭屍病毒。Palo Alto Networks今年6月初的分析顯示，Echobot已利用18種攻擊程式進行散布，但Akamai一周後就發現另一個Echobot變種支援26種攻擊程式。</p> <p>這些攻擊程式都是鎖定不同品牌的裝置與安全漏洞，以期擴大Echobot病毒感染範圍，涵蓋Asus、Belkin、Dell、D-Link、Linksys、RealTek、Netgear、Hootoo 、VMware或Oracle等，產品類別從NAS、路由器、伺服器到智慧家電等。</p> <p>Akamai研究人員Larry Cashdollar指出，駭客不僅開採IoT裝置韌體的安全漏洞，也開採Oracle WebLogic及VMware SD-WAN等企業系統的安全漏洞，還有些攻擊程式開採了10年前的安全漏洞，透露出這些漏洞很可能從未被修補過。</p> <p>Cashdollar提醒，殭屍病毒作者不斷想法設法地擴大病毒的感染率，從Echobot的例子可看出，駭客不只開採新漏洞，也會利用年久失修的舊漏洞，不管是製造商或使用者都應留心此一趨勢。</p> </div></div></div>
2019/6/18 08:35作者陳曉莉https://www.ithome.com.tw/news/131311
開源負載平衡器HAProxy 2.0釋出，支援更完善的動態配置功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.haproxy.com/blog/haproxy-2-0-and-beyond/">知名高效能開源負載平衡器HAProxy推出2.0版本</a>，全面支援現代的架構，包括OSI第七層的重試機制、監控應用Prometheus的支援，使用者還能使用開源遠端程式呼叫框架gRPC，也能以更多程式語言進行開發。HAProxy 2.0為一個長期支援版本。</p> <p>HAProxy 2.0是針對雲端和容器環境設計的版本，針對原生雲端應用程式的特性，服務會被不斷地創建與終結，應用程式需要不停地執行部署以及更新配置，為了減少使用者的工作，HAProxy 2.0提供了全新的Data Plane API，這是一個REST API能夠動態配置HAProxy。用戶現在可以動態地增加或是刪除前端、後端或是伺服器。</p> <p>官方提到，由於HAProxy原本內建Lua支援以及串流處理卸載引擎就已經提供能動態可擴充性，Data Plane API則往前推進，更全面地提供動態配置管理。Data Plane API支援交易（Transaction）特性，能同時應用多個變更，而且始終維持原子性。</p> <p>而從2017年就有用於Kubernetes的HAProxy Ingress Controller，現在HAProxy 2.0也加入了新版本，新的控制器為Kubernetes託管應用程式提供高效能的入口，不只支援TLS卸載、OSI第七層路由、速率限制以及白名單等功能，還可以透過ConfigMap資源進行配置，並支援用於儲存的TLS憑證的機密資料。</p> <p>官方在HAProxy 1.9加入了HTTP Representation（HTX），能夠為HTTP協定產生內部原生的表示式，而這項技術為HAProxy打下了良好的基礎，因此 2.0才能夠提供端到端HTTP/2、gRPC以及OSI第七層的重試機制。</p> <p>HAProxy 2.0全面支援gRPC，能夠處理雙向的資料串流、偵測gRPC訊息以及紀錄gRPC流量，官方提到，gRPC協定是一個現代高效能RPC框架，可以在任何的環境中執行，使用協定緩衝區就能將訊息序列化成為二進位格式，這會比使用JSON更加有效率。</p> <p>HAProxy 2.0的重點功能之一OSI第七層的重試機制，則是官方為減少系統故障時間，而加入的智慧應急機制，使用OSI第七層的重試機制，其他臺伺服器就可以從OSI第七層，重新嘗試執行失敗的HTTP請求，用戶可以使用指令設定重新嘗試的次數。而且現在HAProxy還具有自動效能分析的功能，當系統經歷平均1000微秒或是更長時間的延遲時，分析功能便會自動啟動，而當延遲重新回到低於990微秒的時候，效能分析功能就會自動關閉。</p> </div></div></div>
2019/6/18 09:00作者李建興https://www.ithome.com.tw/news/131309
微軟開始在Windows 10加入Linux核心供開發者測試WSL 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在5月初，宣布要在Windows Insiders版本內建Linux核心，這項更新已經來了，使用者可以在Windows build 18917中，開始使用到<a href="https://devblogs.microsoft.com/commandline/wsl-2-is-now-available-in-windows-insiders/">適用於Linux的Windows子系統WSL 2（Windows Subsystem for Linux 2）初始預覽版</a>。</p> <p>微軟的目標是讓WSL 2用起來的感覺跟WSL 1相同，但根據過去的使用情況以及需求，做出了不少改進，微軟提到，對使用者來說，現在釋出的WSL 2初始預覽版，比起來WSL 1，會有部分使用者體驗不同，但最主要的變更有兩項。</p> <p>過去在WSL 1中，微軟要求使用者把Linux檔案放置在磁碟C槽中，但這項規則在WSL 2不同，因為在講求效能的前提下，為了讓WSL 2能夠更快的取得檔案系統存取權限，因此微軟現在要求使用者把Linux檔案放在Linux根檔案系統中，並且同時微軟也讓Windows應用程式可以存取Linux根檔案系統，使得用戶可以更簡單地進行檔案轉移。</p> <p>另外，由於WSL 2進行了大幅度的架構變更，使用了虛擬化的技術，而微軟也仍在改善網路的支援，因此在目前這個WSL 2版本，使用者需要以動態IP存取Linux網路應用程式，微軟進一步解釋，由於WSL 2是在虛擬機器上執行，因此需要用該虛擬機器的IP位置，讓Windows存取Linux網路應用程式，反之，從Linux要存取Windows網路應用程式，也需要Windows主機的IP位置。微軟表示，他們未來會讓WSL 2可以直接使用localhost存取網路應用程式。</p> <p>在這個版本微軟還增加了幾個新的WSL命令，讓使用者可以更方便的控制或是查看WSL版本和Linux發布版本，像是wsl --set-version <Distro> <Version>可以用來指定Linux發布版本要使用WSL 2抑或是WSL 1，而wsl --shutdown指令則可以關閉執行Linux和WSL 2的輕量級公用程式虛擬機器，微軟解釋，基本上虛擬機器皆是自動控制，會在用戶需要的時候啟動，並在不需要的時候關閉，但可能存在部分情況用戶會想手動終止。</p> <p>WSL是微軟2016年推出的功能，要讓使用者可以在Windows上執行Linux的應用程式，以及Bash shell等命令列工具，微軟在今年推出了WSL 2，並首次把Linux核心直接擺進Windows中，接下來還會繼續在Windows Insiders中發布更新以及錯誤修正。</p> </div></div></div>
2019/6/17 15:00作者李建興https://www.ithome.com.tw/news/131281
售至全球50個國家的醫療用輸液幫浦含有遠端攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定醫療裝置的資安業者<a href="https://www.cybermdx.com/news/cybermdx-reports-vulnerabilities-allowing-attackers-to-commandeer-infusion-pumps" target="_blank">CyberMDX</a>，近日揭露了知名醫療裝置製造商Becton, Dickinson and Company（BD）所生產的、用來支撐輸液幫浦的Alaris閘道工作站（Alaris Gateway Workstation）含有兩個安全漏洞，<a href="https://www.bd.com/en-us/support/product-security-and-privacy/product-security-bulletins/alaris-gateway-workstation-unauthorized-firmware" target="_blank">其中一個漏洞</a>允許駭客直接關閉裝置、安裝惡意程式，甚至竄改藥物的劑量或輸液速度。</p> <p>醫療用輸液幫浦的用途非常廣泛，不管是液體治療、輸血、化療、透析或麻醉都得仰賴它，而Alaris閘道工作站則是這些幫浦的支架，以替幫浦供電，並具備連網能力，同時可支援多個輸液幫浦。</p> <p>不過，CyberMDX研究團隊的負責人Elad Luz發現Alaris閘道工作站含有嚴重的CVE-2019-10959漏洞，將允許駭客不需取得授權就能自遠端安裝山寨版的韌體更新，進而關閉工作站、破壞輸液幫浦的電力輸送、偽造輸液幫浦的狀態資訊，甚至是竄改藥物的劑量或輸液速度，等同於危及患者的生命。</p> <p>CVE-2019-10959被歸類為風險等級最高的CVSS v3 10.0漏洞，且美國國土安全部旗下的工業控制系統緊急應變小組（ICS-CERT）也已<a href="https://ics-cert.us-cert.gov/advisories/ICSMA-19-164-01" target="_blank">針對該漏洞發出警告</a>。</p> <p>另一個同樣藏匿在Alaris閘道工作站的<a href="https://www.bd.com/en-us/support/product-security-and-privacy/product-security-bulletins/alaris-gateway-workstation-web-browser-user-interface-lack-of-authentication-" target="_blank">安全漏洞</a>則是CVE-2019-10962，主要是其Web管理系統並未設計憑證機制，因此只要知道它的IP位址就能登入，而使得駭客能夠監控輸液幫浦的狀態、紀錄，變更閘道工作站的配置，或是重啟閘道工作站。</p> <p>BD在得知這兩個漏洞之後，已藉由韌體更新修補了它們，值得注意的是，有許多既有的韌體版本都含有這兩個漏洞，用戶應儘速更新。</p> <p>BD雖未公布受影響的裝置總數，但對外透露Alaris閘道工作站已售至全球50個國家，其中有3個國家的出貨量多達2,000台，8個超過1,000台，但並未在美國銷售，迄今亦未接獲任何攻擊報告。</p> </div></div></div>
2019/6/17 16:10作者陳曉莉https://www.ithome.com.tw/news/131306
AWS改變Amazon S3的SigV2棄用計畫，現有儲存桶仍可繼續使用SigV2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS原本宣布Amazon S3從6月24日開始，<a href="https://aws.amazon.com/tw/blogs/aws/amazon-s3-update-sigv2-deprecation-period-extended-modified/">停止支援舊的簽章方法Signature Version 2（SigV2），現在改變計畫</a>，雖然新的儲存桶不再支援SigV2，但現存的部分仍可繼續使用，並呼籲所有使用者更新舊的程式碼，修掉SigV2相關的部分改用SigV4。</p> <p>為了安全目的，Amazon S3 API所做的請求都必須經過簽章授權，而由於Amazon S3是AWS很早期就提供的服務，在2006年就對外釋出，因此其使用的簽名模型是SigV2，而在2012年的時候，AWS另外推出了更加靈活的簽章方法SigV4，並在2013年後，在所有區域都僅能使用SigV4。</p> <p>AWS解釋，較新的簽章方法使用獨立且專用的簽章金鑰，該金鑰只能用在特定服務、區域和時間，而這提供了額外防止金鑰重用的隔離保護，而除了安全性因素外，AWS內部的SigV4實作，能夠快取身份授權檢查結果，而這能減少延遲增加應用程式的彈性。</p> <p>在2018年的時候，AWS宣布了SigV2棄用的消息，要在2019年6月24日終結SigV2，但仍然收到許多延長SigV2支援時間的要求，因此現在AWS改變原定計畫，現存的儲存桶仍然可以繼續使用SigV2，但是新的儲存桶將不再支援SigV2簽章請求。</p> <p>雖然現在所有儲存桶都還是可以繼續使用SigV2，但是為了安全性和效率的因素，AWS仍然建議使用者進行更新，AWS也提到，更換應用程式的簽章方法，從SigV2轉換到SigV4的手續通常很簡單，僅需要更新SDK就好，部分情況下，以AWS Java、Node.js或是Python SDK使用預簽章的URL，開發者則需要稍微修改程式碼中的區域以及簽章版本，不過，凡是使用新版的AWS開發工具套件，就已經符合SigV4的要求。</p> </div></div></div>
2019/6/17 16:15作者李建興https://www.ithome.com.tw/news/131305
16歲研究人員發現Google對外網站XSS漏洞可駭入內部網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名16歲的安全研究人員今年稍早<a href="https://appio.dev/vulns/googleplex-com-blind-xss/" target="_blank">發現</a>，Google一個後台系統存在跨網站腳本程式（cross-site scripting，XSS）漏洞，一旦遭惡意人士開採可能用於攻擊Google員工或是竊取Google敏感資訊。所幸經通報後，Google已及時修補。</p> <p>專職網頁開發及Google漏洞賞金獵人的<a href="https://twitter.com/thomasorlita" target="_blank">Thomas Orlita</a>，今年稍早在Google名為Google Invoice Submission Portal的網站上發現這項漏洞。這個網站旨在提供第三方供應商上傳發票，它是代管在appspot.com的公開網域上，後者多半用於代管Google App Engine專案，而Google自有網站在開發階段也經常使用，不過在正式上線時會轉移到google.com或其他網域。本案可能是因為疏忽而直接在appspot.com上，出版了有漏洞的Invoice Upload的網站所致。</p> <p>Invoice Upload網站以文字表格要求供應商輸入電子郵件信件、發票編號、日期、檔案類型（Content Type），然後上傳發票的PDF檔，這種方式可以防止XSS攻擊。但研究人員發現，他可以在PDF檔案真正上傳前，將檔案副檔名由.pdf改成.html，將Content Type由application/pdf改為text/html。如此一來，Google網站即接收了XSS內容，而非應該有的PDF檔。</p> <p>數天後他得知在googleplex.com網域正在執行盲目式（blind，即未顯示錯誤訊息的）XSS。Google內部網站及app都是代管於這個網域上。欲登入該網域都會被導向Google公司的登入頁（稱為MOMA登入頁）。唯有Google員工才有權登入，需要輸入有效的google.com帳號進行驗證。</p> <p>也就是說，研究人員已經用XSS攻擊進入了Google內部網站。如果惡意人士在googleplex.com執行惡意JavaScript，則可能存取Google發票系統或其他敏感資訊。</p> <p>研究人員在2月通報Google。Google指出，Googleplex.com上的應用程式彼此獨立，即使cookie或憑證被竊，登入該網站的駭客或惡意程式也無法在Google網站間橫向移動。不過Google還是於3月底修補了這個問題，也不再把資料儲存到googleplex.com網站，而改儲存到storage.googleapis.com網址，後者用於儲存上傳的用戶資訊，但類似沙箱環境，就不再有XSS攻擊的風險。</p> </div></div></div>
2019/6/17 12:20作者林妍溱https://www.ithome.com.tw/news/131300
Chrome 76將讓第三方無法偵測無痕模式，預設關閉Flash
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在日前釋出的<a href="https://9to5google.com/2019/06/13/google-chrome-76-beta/" target="_blank">Chrome 76測試版</a>中，<a href="https://twitter.com/paul_irish/status/1138471166115368960" target="_blank">修補了無痕視窗模式（Incognito mode）遭到第三方偵測的問題</a>，且從Chrome 76起，<a href="https://www.chromium.org/flash-roadmap#TOC-Flash-Disabled-by-Default-Target:-Chrome-76---July-2019-" target="_blank">該瀏覽器的預設值就會關閉Flash</a>。</p> <p>無痕視窗模式主要供隱私瀏覽使用，因此它既不會紀錄使用者的瀏覽紀錄，也不會儲存使用者於表格中所輸入的內容，為了確保關閉無痕視窗時不會留下任何的檔案，過去Chrome於該模式中關閉了FileSystem API，卻有網站藉由偵測FileSystem API的存在於否，來判斷使用者是否藉由無痕視窗模式造訪，例如紐約時報或波士頓環球報。</p> <p>原因是這些線上媒體限制了讀者每月可免費閱讀的文章數量，一旦超過額度，就會要求讀者付費訂閱，它們根據瀏覽器上所存放的Cookie來辨別讀者的閱讀數量，但若讀者透過無痕視窗模式存取，就能每次都重頭計算，等於是毫無額度限制，於是當偵測到讀者採用無痕視窗模式時，就會直接拒絕存取。</p> <p>而<a href="https://www.theverge.com/2019/6/13/18678388/google-chrome-76-beta-dark-mode-incognito-flash-paywall" target="_blank">Chrome 76</a>則在無痕模式中啟用了FileSystem API，讓網站無法再透過FileSystem API存在與否，來推測使用者是否使用無痕模式。</p> <p>其實Google曾在Chrome 75 Canary版中測試此一機制，只是並未落實於Chrome 75正式版，這次它已出現在Chrome 76測試版中，而且是由Google Chrome開發人員Paul Irish主動公布，成真機率高。</p> <p>另一方面，自Chrome 76起，該瀏覽器的預設值將關閉Flash。從2016年底開始，Chrome便嘗試攔阻Flash內容，當使用者造訪基於Flash的網站時，會跳出選項並要求使用者主動啟用Flash，而Chrome 76則會完全封鎖Flash，不再跳出可執行Flash的選項。</p> <p>不過，使用者還是可變更設定，讓Chrome在遭遇Flash時可手動啟用。為配合Adobe即將在2020年底讓Flash退休的政策，預計於2020年12月出爐的Chrome 87，則會全面移除對Flash的支援。</p> <p>Chrome 76正式版可望在7月30日釋出。</p> </div></div></div>
2019/6/17 13:20作者陳曉莉https://www.ithome.com.tw/news/131302
有「中國那斯達克」之稱的上海科創板正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有「中國那斯達克」之稱的<a href="http://www.sse.com.cn/star/media/news/c/c_20190613_4838289.shtml" target="_blank">上海證券交易所科創板（STAR Market）</a>在6月13日正式開板了，該板主要服務中國的科技產業，包括晶片、IT或生物技術等，而科創板也是中國首個允許尚未獲利的企業公開發行股票的股市。</p> <p>根據<a href="http://edu.sse.com.cn/tib/" target="_blank">上海證券交易所的說明</a>，在科創板上市的企業可能在首次公開發行股票之前的前3個會計年度都未能連續獲利，或者是在公開發行時尚未獲利，也可能出現累計未彌補虧損等情形，因此，在該板上市的企業，上市後也許依然無法獲利、連續虧損或無法分配利潤。</p> <p>此外，在科創板首次公開發行的股票，上市的前5個交易日完全不設漲跌幅限制，之後才有20%的漲跌幅限制；且允許盤後固定價格交易，亦即收盤之後仍能根據收盤價進行交易。</p> <p>上海科創板從今年3月就開始接受上市申請，迄今已有超過120家企業申請於該板掛牌。</p> <p>中國證券交易委員會主席易會滿表示，該板將支持符合中國國家策略的企業，以於核心技術上取得突破，進而廣被市場接受，以達到強勁的成長力道。同時易會滿也呼籲投資人應以更理性的方式來投資該板企業，也應密切注意企業所披露的資訊，畢竟這些科技公司面臨更多的不確定性。</p> <p>外界認為上海科創板的誕生是因中國體認到自行發展科技技術的重要性，因而提供一個管道讓這些新創科技企業可藉由公開募資來加速發展。</p> </div></div></div>
2019/6/17 12:10作者陳曉莉https://www.ithome.com.tw/news/131299
微軟釋出最新.NET Core 3.0預覽版，更新能加速應用程式載入的R2R格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/announcing-net-core-3-0-preview-6/">微軟釋出了最新的.NET Core 3.0第6預覽版</a>，更新了能夠加速程式載入速度的ReadyToRun（R2R）格式，以及可以縮減應用程式大小的組譯連結（Assembly Linking）工具IL linker。</p> <p>.NET Core 3.0讓開發者可以把.NET Core用程式編譯成為R2R格式，以縮短啟動的時間，微軟提到，R2R是一種AOT（Ahead-Of-Time）編譯的形式，其二進位檔案能夠減少JIT在載入應用程式需要的工作量，藉以提高載入的效能。</p> <p>由於R2R二進位檔案包含了類似JIT所產生的原生碼，因此能夠減少JIT的工作給予執行緩衝空間，不過也因為R2R包含了一些中介語言程式碼，因此產生的檔案相對來說也比較大，是一個啟動效能與檔案大小的取捨。微軟給出了實驗資料，只包含中介語言的應用程式，檔案大小為150MB，記憶體使用量為69.1MB，而啟動時間為1.9秒，但使用ReadyToRun格式的相同應用程式，雖然檔案略大為156MB，但是記憶體使用量只有55.7MB，而且啟動速度只要1.3秒。</p> <p>不過目前R2R仍有許多限制，R2R現在僅支援自包含（Self-contained）應用程式，在之後的預覽版才會開始支援與框架相依的應用程式。.NET Core 3.0 SDK可以設定排除特定應用程式，以免被編譯成為R2R，微軟提到，部分應用程式不需要最佳化效能，不編譯成R2R反而比較省空間。</p> <p>.NET Core 3.0開始支持R2R，但R2R並不向後支援，因此較舊的.NET Core版本無法使用，另外，開發者只能編譯函式庫成R2R，以作為應用程式的一部分，目前還不能作為NuGet套件交付，微軟表示，這項功能要依使用者回饋決定是否要支援。而R2R現在也不支援跨平臺編譯，在Windows x64環境只能編譯Windows ARM32、ARM64以及x86映象檔，而在Linux x64只能編譯Linux ARM32和ARM64映像檔。</p> <p>除了R2R的更新，微軟提到，.NET Core 3.0還提供了一個特別組譯連結工具IL linker，可以透過分析中介語言並刪減用不到的組譯語言，確保自包含應用程式僅包含實際需要的程式碼，而這能夠顯著的降低某些應用程式的大小，微軟提到，通常小型控制臺應用程式可以減少最多，因為這些工具使用較小的框架子集，可以修剪的幅度比較大。微軟的實驗資料顯示，對於最基本helloworld應用程式，可以從原本的68MB減少到大約28MB。</p> <p>而使用映射或是相關動態功能的應用程式或框架，組譯連結工具的修剪工作通常會失敗，因為IL linker不認識這類動態行為，並且無法決定在Runtime的時候需要使用的框架類型。</p> <p>IL linker與ReadToRun編譯器可以用在同一個應用程式，微軟表示，正常情況是IL linker會讓應用程式變小，但是ReadyToRun編譯器又為讓應用程式變大，但是效能會大幅提升，開發者可以在各種配置中進行測試，了解這些工具選項產生的影響。</p> </div></div></div>
2019/6/17 11:30作者李建興https://www.ithome.com.tw/news/131288
博通：華為禁令、市場不確性將使今年營收減少20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片業者博通（Broadcom）上周五<a href="https://www.prnewswire.com/news-releases/broadcom-inc-announces-second-quarter-fiscal-year-2019-financial-results-quarterly-dividend-and-updated-guidance-300867484.html" target="_blank">公佈第2季財報</a>，同時博通預計包括美國實施的華為禁令及整體市場不明，將導致公司今年營收短少20億美元。</p> <p>根據博通的財報，今年第2季營收為55.2億美元，比上季減少4.7%，但較去年下滑10%。每股盈餘（EPS）為5.21美元。而在最主要晶片業務方面，則季減7%，年減10%。</p> <p>博通並指出，展望2019年，受到地緣政治的不確定性及該公司最大客戶之一的出口禁令影響所致，整體市場需求將放緩，今年營收預期為225億美元，較去年減少20億。周五（6月14日）博通發出黯淡前景預測後，公司股價一度大跌8.6%。</p> <p>雖然博通並未明說，但眾所周知這最大客戶之一指的就是華為。<a href="https://www.reuters.com/article/us-huawei-tech-usa-chipmakers-broadcom/broadcoms-2-billion-warning-rattles-global-chip-sector-idUSKCN1TF0O1" target="_blank">路透社報導</a>，高通業務去年進帳9億美元，佔博通總營收的4%。<a href="https://www.ithome.com.tw/news/130769" target="_blank">彭博</a>則估計佔到5.3</p> <p>分析師會議上博通執行長Hock Tan指出，幾個月來的美中貿易大戰引發市場不確定性，導致整體供應鏈緊縮而造成普遍性的訂單衰退。另一方面，在被問到華為禁令的影響時，博通執行長Hock Tan指出，預期會有非常劇烈影響，因為客戶不准許下單購買，而現在沒有明顯的替代方案。</p> <p>這消息也驗證美國商務部公佈華為禁令時業界的擔憂。華為佔英特爾、高通、等大型晶片業者營收比例在5%以下，但對美光、Lumentum、Qorvo等業者來說，華為的訂單意謂著10%以上的營收。禁止供貨給華為將直接重創這些廠商的生計。</p> <p>上周五（6月14日）博通悲觀展望，也拖累英特爾、AMD、智霖（Xilinx）及高通（Qualcomm）、意法半導體、英飛凌等公司股價分別下挫1.5%到3%。</p> <p>華為的電信設備產品也較競爭者愛立信及諾基亞便宜，因此上周電信產業協會<a href="https://www.ithome.com.tw/news/131156" target="_blank">GSMA發佈產業報告</a>，聲稱若全面禁止購買中國業者所生產的電信設備，將讓歐洲的5G建設成本增加550億歐元，也會使5G部署延後18個月。</p> </div></div></div>
2019/6/17 11:35作者林妍溱https://www.ithome.com.tw/news/131297
華為也將延後折疊手機上市時程到九月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在三星延後折疊手機上市時間之後，<a href="https://www.wsj.com/articles/huawei-postpones-launch-of-mate-x-foldable-phone-11560502468" target="_blank">華爾街日報</a>上周末報導，華為也將折疊手機上市時間由六月延後到九月，但該公司否認是因為Google中止Android授權的關係。</p> <p>華為企業溝通副總裁彭勇（Vincent Pang）上周在香港一場公開會議中談到折疊手機將延後的消息。<a href="https://www.cnbc.com/2019/06/14/huawei-will-delay-mate-x-foldable-phone-launch-until-september.html" target="_blank">CNBC</a>則引述華為發言人的說法，解釋華為正在和數家電信業者進行認證測試，以確保其Mate X上市後能順暢作業。</p> <p>三星和華為於二月間先後發表折疊手機，都預計在六月上市。但四月間三星手機Galaxy Fold在送給媒體測試後<a href="https://www.ithome.com.tw/news/130067" target="_blank">傳出多個硬體問題</a>，迫使三星<a href="https://www.ithome.com.tw/news/130171" target="_blank">宣佈</a>延後產品上市，但時程一直未確定。</p> <p>有鑒於三星的問題，華為表示，希望對其Mate X採取「更謹慎的態度」，不希望產品上市後為公司聲譽帶來不良影響。</p> <p>華為並否認延後上市是和Google中止Android授權有關。五月間美國商務部將華為<a href="https://www.ithome.com.tw/news/130723" target="_blank">列入技術輸出禁止名單</a>後隔天，Google即<a href="https://www.ithome.com.tw/news/130724" target="_blank">宣佈</a>中止Android對華為的授權，使市面上的華為手機不得使用Play Store或Gmail、Google Maps等App。一般預期這將對華為手機業務有極大影響。</p> <p>因應美國方面的防堵，華為也在數年前開始研發自有筆電及手機作業系統，名為「鴻蒙」。這個作業系統以Android開源版本為基礎，華為高層上個月<a href="https://www.ithome.com.tw/news/130802" target="_blank">表示</a>鴻蒙將於秋天問世，號稱將可跨筆電、手機、穿戴裝置及汽車等各種平台。</p> <p>彭勇指出，Google和Android自然是華為合作的首選，但如果外在環境不得不然，華為會在6到9個月內推出鴻蒙。</p> <p>路透社上周<a href="https://www.reuters.com/article/us-huawei-tech-peru/huawei-seeks-trademark-for-hongmeng-operating-system-in-peru-idUSKCN1TD2HN" target="_blank">報導</a>，華為已經在全球多個國家註冊鴻蒙的商標。</p> </div></div></div>
2019/6/17 11:55作者林妍溱https://www.ithome.com.tw/news/131298
IoT雙周報第65期：Amazon展現新一代送貨無人機Prime Air避障能力，不僅變更智慧，還能垂直飛行起降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>06/01~06/14精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞馬遜 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon新一代送貨無人機Prime Air亮相，不僅更聰明，還能垂直飛行起降</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(35).jpg" style="width: 600px; height: 466px;" /></p> <p>儘管亞馬遜在美國本土Prime Air送貨無人機業務處處碰壁，但仍不影響其對於先進無人機的開發腳步，該公司最近在AI大會re:MARS上揭露了最新版的送貨無人機Prime Air設計，首度加入混合的無人機設計，讓無人機在起飛和著陸時，能像直升機一樣垂直飛行，但能提供像飛機模式一樣地飛行效能和流線型設計。Amazon還採用多種感測器搭配多視角立體視覺演算法，來確保飛行安全，不僅可輕鬆避開像是煙囪的靜態物體，也能偵測滑翔傘或是直升機等這類型的動態物體。抵達目地降落時，無人機也能透過電腦視覺搭配AI演算法，找出沒有人、動物或是任何障礙物的小區域來降落。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Waymo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕卡車 </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準無人卡車商用市場，Waymo宣布重返亞利桑那州測試無人自駕卡車</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(2).jpeg" style="width: 600px; height: 400px;" /></p> <p>不像Uber中止自駕卡車的開發，在無人車商用遙遙領先的Waymo，現在更進一步將觸角延伸到商用自駕卡車，來擴大領先差距，該公司日前透過推特宣布，將重返亞利桑那州，繼續在鳳凰城高速公路上進行無人自駕卡車的測試。Waymo早從2017年就開始在美國幾大地區測試其自動駕駛卡車，包括亞利桑那州、舊金山及亞特蘭大等地，甚至在2018年3月更宣布將以自駕卡車為Google資料中心提供運輸服務。不過，自從這項計畫宣布後，該自駕卡車就一直處於停駛狀態，直到日前，Waymo才重新宣布恢復行駛。根據Waymo的說法，早期測試，多以蒐集該地區駕駛卡車的行駛數據，新一輪測試將會以更進階自駕卡車功能測試為主，未來該卡車將在鳳凰城地區高速公路進行路測，車上將會乘坐兩名安全駕駛員，必要時接手駕駛。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Linux基金會 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Linux基金會替旗下邊緣運算專案LF Edge釋出第一版軟體堆疊，強化電信、物聯網兩大邊緣運算應用</strong></span></p> <p>Linux基金會日前對於旗下邊緣運算專案LF Edge釋出了Akraino Edge Stack 1.0版，可用於電信、物聯網兩大邊緣運算應用場景。LF Edge是由Linux基金會今年1月發起、成立的邊緣運算新專案，最初是由原基金會的5大邊緣運算專案組成，包括Akraino Edge Stack、EdgeX Foundry、Project EVE 、Home Edge Project 以及Open Glossary of Edge Computing，旨在建立一個完全開放、彼此互通的邊緣運算開放框架，包含硬體、晶片與作業系統等。這次先是針對Akraino Edge Stack釋出第一版，用以支援電信、物聯網兩大邊緣運算應用，如新推出的Radio Edge Cloud功能，它是以容器搭建的一個電信級邊緣運算平臺，可以更智慧方式即時控制無線接取網路（RAN），來實作不同5G網路服務或邊緣功能。其他如ELIOT功能，則是可以支援物聯網閘道器、uCPE設備的邊緣運算節點，用於工業物聯網、智慧城市部署之用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G頻段 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FCC </span></strong></span></p> <p><span style="font-size:22px;"><strong>FCC公布美國24GHz的5G頻段得標者，T-Mobile與AT&T成最大贏家</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(4).png" style="width: 600px; height: 263px;" /></p> <p>美國聯邦通訊委員會（FCC）日前公布了可應用在5G通訊的24GHz頻段競標結果，T-Mobile與AT&T是大贏家，在總計29家得標業者中，T-Mobile以8億美元標下分布在400個PEA（部分經濟區）中的1,346個授權（每一個授權代表24GHz頻段中的100MHz範圍），AT&T居次，以9.8億美元標下831個授權，分布在383個PEA中。T-Mobile與AT&T所取得的授權覆蓋率分別達到96%與92%，意謂著這兩家業者都可以在大多數的美國地區提供基於24GHz的5G服務。至於更早就展開競標的28GHz頻段，FCC也一併宣布得標結果，大贏家則是Verizon，以5億美元贏得了863個市場的1,066個授權。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">LoRa聯盟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT通訊網路 </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRa聯盟釋出新的LoRaWAN認證測試工具，讓物聯網業者能先自行檢測來縮短LoRa裝置認證時程</strong></span></p> <p>LoRa物聯網聯盟日前推出一項LoRaWAN認證測試工具（LCTT），讓物聯網裝置製造商通過以預測試的方式，在自家生產工廠進行LoRa裝置測試和驗證設備，以符合該聯盟的裝置認證要求，LoRa聯盟執行長Donna Moore表示，LoRaWAN已經是業界的LPWAN通用標準，新推出的認證工具，可以有效縮短LoRa裝置驗證所需大量時間和測試成本，讓數百萬臺的LoRaWAN裝置得以快速部署與擴大規模。該聯盟表示，初期將先選在特定區域進行測試，未來數個月內也將開放給LoRa全體成員來使用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">電子紙 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LoRa網路 </span></strong></span></p> <p><span style="font-size:22px;"><strong>元太展示支援LoRa通訊網路的電子紙訊息發布系統，可以支援長距離且大範圍更新內容</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(43).jpg" style="width: 600px; height: 263px;" /></p> <p>在今年Computex大展期間，臺灣電子紙廠商元太科技（E Ink）展示了可支援低功耗物聯網網路LoRa的電子紙訊息發布系統，讓使用者可透過LoRa通訊網路，以長距離無線方式更新電子紙標籤上的訊息，利用LoRa的長距離、大範圍通訊特性，能夠穿透建築物，將更新訊息送到電子紙，要讓電子紙進入更多的產業應用，除了智慧零售，電子紙也可被應用在智慧交通、智慧醫療等，如打造智慧公車亭，以電子紙顯示公路路線或到站動態等。元太現場還展示運用NFC，手機只要輕觸電子紙就能快速更新上面的訊息。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IoT遙測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟釋出Azure Event Grid新版，不只強化IoT裝置遙測功能，還加入更複雜無伺服器應用能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(7).png" style="width: 600px; height: 295px;" /></p> <p>日前，微軟正式更新Azure Event Grid事件路由服務，強化對於自家物聯網服物IoT Hub整合，開始支援了裝置遙測（telemetry）功能，Azure Event Grid是微軟2年前推出的全管理的事件路由服務，用以簡化基於事件的無伺服器應用程式開發。新版Event Grid現在進一步支援裝置遙測事件，意謂著，開發者現在可以將IoT Hub的遙測事件發布到Event Grid中，藉由訂閱不同的IoT裝置遙測事件，搭配Azure Functions或是以觸發不同的無伺服器應用，該版也簡化了事件驅動架構，讓開發者可以建立更複雜的無伺服器應用程式，透過Event Domains功能，可讓使用者為每個Event Domains設置10萬個主題，進行事件發布的管理，打造更大規模的事件處理基礎架構。責任編輯⊙余至浩</p> <p>攝影／蘇文彬　圖片來源／微軟、亞馬遜、T-Mobile、Waymo</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.思科併購法國IoT安全及管理新創Sentryo，加強對工業物聯網異常及威脅檢測能力</strong></p> <p><strong><strong><strong>2.IDC調查：2019年Q1中國智慧喇叭出貨逾1,100萬臺，阿里巴巴、百度銷量併列第一</strong></strong></strong></p> <p><strong><strong><strong>3.Honeywell推出自家工業物聯網平臺Honeywell Forge，強化對於製造產線數據維運及安全管理</strong></strong></strong></p> <p><strong><strong><strong>4.IKEA聯手Ori Living打造機器人傢俱系統Rognan，能依居住者需求自動變換衣櫃、床組位置</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年6月</strong></strong></p> </div></div></div>
2019/6/17 09:51作者余至浩https://www.ithome.com.tw/news/131292
吳恩達Landing.AI在臺發表智慧製造新產品，靠攝影機即時追蹤作業員行為就能檢測產線組裝正確性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google Brain創辦人吳恩達成立的新創公司Landing.AI，最近來臺拓展市場，其副總裁王冬岩在臺發布了在智慧製造缺陷檢測（Defect Detection）的新解決方案，直接透過攝影機分析產線上操作員的行為，來判斷產品組裝的錯誤率。</p> <p>雖然Landing.AI是新創企業，但已經有許多企業導入其服務，包括鴻海也找上門合作。其提供的服務主要分為AI Solution解決方案、AI加速平臺（AI Acceleration Platform）、以及AI轉型平臺（AI Transformation Platform），企業可以依照需求來選擇合適的服務採用。</p> <p>如AI解決方案，提供企業在五種常見製造場景中運用的缺陷檢測技術，包括管線中氣液體的洩漏、微小顆粒的追蹤和偵測、表面工藝的瑕疵偵測、透過辨認幾何圖形來偵錯、以及不同微小零組件的分類。不同技術又適用於不同場景，例如微小顆粒常見於藥廠辨識藥物是否摻入雜質，而運用幾何圖形能查找組裝作業中錯置的零件等。</p> <p>除此之外，王冬岩也在臺發布缺陷檢測的新解決方案「人類行為訓練（Human Performance Coaching）」，可以用攝影機即時擷取生產線上作業員的行為，來判斷組裝過程中的行為是否正確，也能進一步得知每個作業員在各工序花費的時間、以及與前10%表現者平均效率的差距。</p> <h3><span style="color: rgb(255, 140, 0);">另推出多項輔助AI訓練工具，可靠GAN自動產生缺陷影像彌補不足資料</span></h3> <p>Landing.AI的還提供了提高缺陷檢測模型偵錯率的輔助工具，例如Smart Data技術，可利用生成對抗網路（GAN）搭配隨機擴充資料量的工具，王冬岩表示，可利用不到10張瑕疵影像，萃取其特徵值來生成大量仿製的資料，並以此來訓練缺陷偵測模型。他解釋，許多企業缺乏訓練用的瑕疵影像資料，例如某個顯示器製造大廠，蒐集了300萬張影像資料要建立瑕疵偵錯模型，但細問之下，其中瑕疵影像比例不到10%，又必須根據上百種瑕疵進行分類，最後才發現每一種特定瑕疵的影像數量都不多，不夠訓練模型。</p> <p>此外，AI加速平臺也提供了一個Live Defect框架來供企業更有效地定義資料缺陷。除了使用者可以標記舊有資料之外，也能隨著新缺陷的產生來增加標記資料，進而不斷優化模型。</p> <p>王冬岩表示，模型表現不好很常是因為缺陷的標記不精確，例如質檢員在標記影像時，時常遇到每個人針對同一張影像沒有共識的情形，就表示影像不能明確反映實物情形；此外，標記的工作量大，試想一個工廠生產幾百種零件，每一個零件每一面的每個缺陷都要標記，若沒有工具輔助標記，很難有效率的分類執行。「客觀基於事實來定義缺陷，是整個流程最重要的事。」</p> <h3><span style="color: rgb(255, 140, 0);">吳恩達提出</span><span style="color: rgb(255, 140, 0);">AI導入5大步驟，第一步是小專案實測，而不急著先定AI戰略</span></h3> <p>除了工具，Landing.AI也提供導入顧問服務，稱為AI轉型平臺，一次為期18-24個月。吳恩達根據自身的經驗，將企業導入AI的過程分為5個步驟，推出這項服務。</p> <p>王冬岩進一步說明，首先，是選定小的專案來執行，確保可以6-9個月見效，以建立企業應用AI的信心；第二，則是透過各種管道輔助企業招攬AI人才、建立團隊；第三，是提供公司高層與職員相關課程來學習，培養新的思維與觀念；第四，則是擬定企業的AI戰略，王冬岩指出，很多人誤認為擬定戰略應該是第一步，其實，企業剛接觸AI時，還沒做好準備，就算這時擬定戰略，未來也會不斷修正。最後，訂定長期戰略後，才是從內而外的導入和執行AI，目標是希望能改變整個市場對企業的定位與觀感。</p> </div></div></div>
2019/6/17 10:17作者翁芊儒https://www.ithome.com.tw/news/131248
用IoT持續讓產品幫你賺服務財
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>獲取新顧客的成本正不斷提高，愈來愈多網站要求對推薦連結付費，但或許更大的問題是，該如何在網路上進行差異化。你在網路上做的任何事，很容易被競爭對手竊取。你如何創造真正有創意、別處享受不到的體驗？</p> <p>未來四年，全球零售金額預計會再增加5兆美元。零售業還遠遠不到消亡的時候，只是需要改變遊戲規則。</p> <p><span style="font-size:28px;"><strong>顧客變心快時代</strong></span></p> <p>亞馬遜與沃爾瑪的競爭，常被視為是電商與傳統零售之爭，這是錯誤的二分法。關鍵不在產品，而在顧客優先，然後建立長期關係，翻轉遊戲規則。</p> <p>未來五年，如果你還是銷售產品給陌生人，很有可能無法再持續十年。如今所有品牌都必須認識它的顧客；不這麼做，注定失敗。事情就這麼簡單！</p> <p>現今的月訂閱服務已有極大改變。聰明的企業已體認到，想要留住訂戶，就必須專注於提供好的服務，而不是暗地裡耍些小手段，例如隱藏取消按鈕等。</p> <p>你不能只是針對某個產品收取月費、寄送產品，然後就以為大功告成。你必須徹底改變思考方式，你的心態必須改變，把顧客視為訂戶，是與你有互惠關係的長期夥伴。</p> <p>仔細觀察亞馬遜和蘋果，你會發現他們一切以顧客為優先。</p> <p>如今新一批訂閱制公司已然崛起，他們同樣採取以顧客為核心的新商業模式，並充分善用當前的數位管道，開始與顧客建立長期關係。</p> <p><span style="font-size:28px;"><strong>把一次買斷的產品，變成重複銷售的服務</strong></span></p> <p>Thync是一款以訂閱為主的穿戴式裝置，幫助你放鬆、提振心情，不需依賴化學藥物就能睡得安穩。</p> <p>計時治療公司（Chrono Therapeutics）透過皮膚貼片協助病人進行醫療診斷，自動調節用藥劑量與時機。</p> <p>來自法國的「感應地板」（FiM），可監控人們的移動模式，有效管理大樓的能源使用；在醫療機構，當有病患或資深長照老人在房內或走道上行走困難時，系統便會即時發出警訊。</p> <p>開拓重工推出連線解決方案，協助工地人員監控機器，還可針對可能需要檢修的機器，事先排定維修時間。</p> <p>全球製造商和代工廠如今都已體悟到，連網讓產品變成服務，他們的伺服器存在許多具發展潛力的加值服務。</p> <p>物聯網促使他們徹底改變思維，將產品視為整體系統，而非銷售給陌生人的單一物件。這些系統成為公司的核心競爭優勢，讓公司得以提供顧客真正需要的成果，而不只是一項產品；提供牛奶，而非母牛。</p> <p>過去五年，全球數千家製造業者默默的大規模投資感測器和網路連線，努力將感測器安裝在他們製造的產品內，包括門、椅子、管線、磁磚、窗戶、桌子、人行道、鋼筋、燈、鞋子、瓶子、輪胎、磚塊等等。</p> <p>預估2020年，將有超過10億個智慧電表、1億個連網燈泡、超過1.5億台4G連網汽車、2億間智慧房屋、數十億智慧服務、超過9,000萬個穿戴裝置。這些安裝了感測器的產品，將可蒐集和傳輸資料，而且是大量資料。</p> <p>這些產品會將資料傳送到中央伺服器，企業可透過分析平台找出固定模式，以及改進方法。物聯網讓實體世界數位化，並開發出價值數兆美元的商業創意。現在，我們正處於物聯網的第一個效能階段。但物聯網的目的不只是提升效能，而是開發更多可能。</p> <p>如果你銷售的產品（或經改良後）可蒐集某種資料，然後這世上有人發現這份資料有價值，那麼物聯網就能成為你的新營收來源。</p> <p>如果你銷售的實體產品受損或需檢修，你可運用物聯網提供遠端監控服務或預防性維修服務，同樣可創造新的營收來源；或是你讓消費者有能力自行監控和維護，如此可大幅提高產品的吸引力與價值。</p> <p>如果你銷售的服務可延伸擴展、取得更多資料，那也絕對會有市場。</p> <p>當所有物品都內建有數位元件，每項資產都有數位分身。實體世界開始甦醒！如何利用連線裝置產生的資訊去創造價值？這就是你該關注的焦點。</p> <p><span style="font-size:28px;"><strong>跳脫價格戰？以服務價值取勝！</strong></span></p> <p>在舊商業模式下，企業的目標是銷售產品，而且是大量的產品。行銷部門的工作就是專注在把商品「推」出去，以及把顧客「拉」進來。產品只不過是商品而已，真正有趣和有創意的部分在於銷售。如果買家不買單，還有更多的產品等著銷售。</p> <p>但現在情況不一樣了。品牌仍非常重要，但現在你是透過體驗而非廣告溝通品牌形象。推銷網飛電視劇最好的方法，就是讓觀眾主動追劇。時尚購物網站Stitch Fix擁有超過90名資料科學家，這些人的工作不是想廣告金句，而是找出方法，透過服務讓成長極大化。</p> <p>在新商業模式下，你必須以顧客為優先；訂閱服務的核心原則，就是建立一對一的關係。每個顧客都有個別的訂戶帳號，你可以追蹤這些帳號的交易紀錄，了解顧客消費習慣與更深刻的內在需求。這真的是個大金礦，你不需去其他地方尋求答案，所有答案就在眼前。</p> <p>在訂閱經濟中，訂價策略稍微複雜些，如何按需求訂價，將是你最強有力的銷售槓桿。</p> <p>你不再只能依靠猜測和削價競爭。你可以提供顧客有感的誘因，幫助訂戶從好到更好，再到最好。你可以透過靈活的訂價組合達到這個目標。</p> <p><span style="font-size:28px;"><strong>讓顧客為你偏心？交叉銷售創造驚喜！</strong></span></p> <p>過去，你透過以下方法創造成長：銷售更多產品、提高產品價格，或是降低成本。但現在，你必須採取三種新做法：獲取更多顧客、增加顧客價值、更長久留住顧客。</p> <p>訂閱制企業與其他企業的最大差異，就在於與顧客建立長期關係。強推額外服務或藉由繁複條款，限制人們取消訂閱的做法，只會讓人更想退訂。</p> <p>很多人容易混淆向上銷售與交叉銷售。向上銷售指的是銷售另一個包含更多服務組合（更昂貴）的版本，而交叉銷售則是銷售額外的服務，提供顧客更完整的解決方案。</p> <p>交叉銷售提供了企業創新所需動力。想要建立交叉銷售能力的訂閱制公司，必須持續增加新的服務、特色、功能或贈品，讓顧客從服務中獲取更多價值。</p> <p>數位智慧公司New Relic是一家成長快速的訂閱制企業，主要動能來自成功的交叉銷售策略。這家公司的服務全球聞名，深受開發人員喜愛。這群忠誠的粉絲就是他們經營事業的基礎。</p> <p>New Relic不會直接向領導階層行銷，而是直接與開發人員接觸，提供各種易於安裝的服務，以及有助顧客解決痛點的額外功能。他們按月推出新功能，任何開發人員只要支付少許費用就可試用新增服務，不需一開始就負擔過多費用。這種做法有效刺激了交叉銷售。</p> <p>訂閱服務提供持續性體驗，反映出完全不同的財務價值。你對服務投入愈多，回收就愈多。銷售之後，才是服務的開始。（摘自<a href="https://www.cwbook.com.tw/product/ProductAction.shtml?prodId=0000024676&utm_source=ec-buy&utm_medium=web&utm_campaign=ecweb-banner-訂閱經濟-180x180a-speci" target="_blank">《訂閱經濟》</a>第2、7、11、12章）</p> <p><span style="color:#3399ff;"><strong>訂閱經濟：如何用最強商業模式，開啟全新服務商機</strong></span></p> <p>左軒霆、蓋比．偉瑟特／著；吳凱琳／譯</p> <p>天下雜誌出版</p> <p>售價：420元</p> <p><span style="color:#3399ff;"><strong>作者簡介</strong></span></p> <p><strong>左軒霆（Tien Tzuo）</strong></p> <p>全球最大訂閱管理平台祖睿（Zuora）執行長暨共同創辦人，定期舉辦全球性的訂閱研討會，並在史丹佛商學院教授訂閱商業模式，是最早提出「訂閱經濟」一詞的人。畢業於史丹佛商學院，曾任Salesforce行銷長與策略長。</p> <p><strong>蓋比．偉瑟特（Gabe Weisert）</strong></p> <p>祖睿《訂閱》雜誌總編輯。</p> </div></div></div>
2019/6/16 09:00未署名https://www.ithome.com.tw/article/131219
一周大事：瞄準數位轉型市場，Salesforce砸重金收購知名BI軟體業者。GoldBrute殭屍網路猛攻百萬臺RDP…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>Salesforce以157億美元收購視覺化BI業者Tableau</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Salesforce_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tableau.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Tableau</span></p> <p>繼近期Google以26億美元買下分析工具Looker後，Salesforce.com也接著宣布以全股票總值157億美元的天價，收購視覺化商業智慧（BI）工具業者Tableau。創立於2003年的Tableau是知名的統計與經濟分析軟體，具備資料採礦及資料視覺化能力，強調以拖拉方式完成分析程序，並以視覺化互動介面方便製作分析圖表。</p> <p>Salesforce高層指出，這項收購案將整合全球第一的CRM及全球第一的資料分析平台，Salesforce和Tableau的結合將可加速共同使命的實現….協助不同層級技能的用戶實現企業轉型。<a href="https://ithome.com.tw/news/131188" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>殭屍網路猛攻150萬臺RDP主機，全球皆有災情，臺灣遭駭主機也不少</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/goldbrute_wide.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Morphus實驗室</span></p> <p>Morphus警告，名為GoldBrute攻擊事件，藉由殭屍網路鎖定全球150萬臺遠端桌面伺服器，進行大規模暴力破解密碼的行為。</p> <p>這起事件所執行的惡意軟體當中，包含了名為GoldBrute的Java類別名稱，因而以此來稱呼這起事件。分析其攻擊的行徑，來源殭屍網路，暴力破解帳號和密碼，藉此取得作業系統存取權限，接著，下載惡意軟體工具包，植入受害主機中，並且在網路上找尋新目標。當GoldBrute找到80臺電，便向C&C中繼站回報這些電腦的IP位址。不只如此，C&C中繼站得到前述的名單後，還會提供另一組新的IP位址名單，讓受害電腦鎖定遠端桌面連線，嘗試暴力密碼破解。</p> <p>Morphus表示，針對每一個IP位址，受害電腦裡的GoldBrute機器人，只會猜測一組帳號名稱和密碼，避免遭到遠端桌面伺服器鎖定而留下記錄。最終，被GoldBrute控制的受害電腦會將猜測密碼的結果，回報到C&C中繼站。<a href="https://ithome.com.tw/news/131203" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟、甲骨文簽定雲互通協議，Oracle應用也能跑在Azure上</strong></span></p> <p>在許多業務上水火不容的微軟與甲骨文宣佈雲端互通的合作協議，讓彼此的用戶能無礙在Microsoft Azure和Oracle Cloud兩個環境下搬移資料和作業，企業客戶甚至能將Oracle ERP及底層Oracle Database分別跑在Azure及Oracle Cloud上。<a href="https://www.ithome.com.tw/news/131123" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>LINE搶攻純網銀大打資安牌和日本經驗，更要打造用戶導向的整合式金融犯罪平臺</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3068.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">攝影_李靜宜</span></p> <p>隨著純網銀執照審查結果揭曉時間越來越近，三家申請業者近來也動作越來越大，紛紛出面揭露發展策略或各自主打特色來營造聲勢。像LINE近來就大力打資安牌和日本經驗。LINE Bank籌備處執行長黃以孟日前在一場國際金融犯罪防制研討會上，就揭露了LINE未來要打造整合式的金融犯罪管理平臺，也將引進日本總部資安團隊經驗，以及在日本推動的多項金融新服務，例如日本個人信用評等服務。<a href="https://www.ithome.com.tw/news/131030" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>強化端點安全布局，開源搜尋軟體Elastic買下端點安全業者Endgame</strong></span><strong style="font-size: 28px; text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Endgame.png" style="width: 250px; float: right; margin-left: 2px; margin-right: 2px;" /></strong></p> <p>打造Elasticsearch文件導向資料庫的Elastic宣布將以2.34億美元買下主打終端安全的資安業者Endgame。Elastic打算以股票及替Endgame償還約1,400萬美元的債務，取得Endgame的所有權，預計於今年第三財季完成交易。<a href="https://www.ithome.com.tw/news/131174" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Google以26億美元收購資料分析新創Looker，創歷來第四大</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Google%E8%B2%B7Looker_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Looker.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_ Looker</span></p> <p>Google斥資26億美元全現金，收購新竄起的資料分析新創公司Looker，並整合到Google Cloud旗下，以提供更完整的雲端分析服務。本案也是Google歷來第四大收購案。<a href="https://www.ithome.com.tw/news/131150" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google正式推出第三代翻譯API，讓企業在地化專有名詞翻譯</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Google%E7%BF%BB%E8%AD%AFAPI.jpg" style="width: 500px;" /></strong></span></p> <p>Google釋出最新的第三代翻譯API正式版本，這個版本強調在地化，讓企業可以根據需求，依特定的地區用詞或是品牌等專用名詞進行翻譯轉換，而新提供的批次操作，則讓用戶以單一操作將檔案翻譯成多語言，有效簡化翻譯流程。由於使用者的需求，Google改善第三代翻譯API的靈活性，用戶可以選擇使用自定義的模型以及預訓練模型。<a href="https://www.ithome.com.tw/news/131152" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Amazon推薦機制變雲端服務，AWS個人化即時推薦服務正式上線</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%8E%A8%E8%96%A6%E6%9C%8D%E5%8B%99_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_AWS</span></p> <p>AWS最近為企業開發者推出即時個人化推薦服務Amazon Personalize，該服務於去年11月的re：Invent大會中首次亮相，現在正式透過API的方式提供收費服務，目前於美國東部和西部地區、亞太地區的東京和新加坡，以及和歐盟地區推出，其他地區也會陸續推出服務，AWS指出，這是Amazon內部所用的機器學習技術，變成了一項對外提供的服務，可供企業在自家應用系統中也能快速建立推薦模型，就算企業沒有具備機器學習的經驗也能使用。<a href="https://www.ithome.com.tw/news/131187" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>共享車位服務在大臺北崛起，一個私有停車位也能做停車場生意</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9AUSPACE_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">攝影_李靜宜</span></p> <p>共享經濟帶來了龐大商機，不只共享汽車、共享單車等服務，現在更有共享車位服務崛起。由臺灣新創USPACE （悠勢科技），打造的共享車位媒合平臺，讓私人車位也能在不被使用的空檔，臨時出租給有停車需求的駕駛，不僅解決停車位不足、難找的問題，更為車位主帶來額外的收益。<a href="https://www.ithome.com.tw/news/131115" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Sohos：小心！駭客利用遠端存取把勒索軟體送到你家</strong></span></p> <p>根據Sophos實驗室對於2,700名IT主管的訪查，半數以上的企業遭遇過勒索軟體攻擊，蒙受損失的金額中位數為13萬3千美元，對於許多公司而言也許不算龐大，相較於遭到勒索的資料重要性來說，就可能選擇支付贖金了事，使得歹徒有機可乘。</p> <p>這樣的現象使得駭客食髓之味，Sophos指出，去年在美國大肆爆發的勒索軟體SamSam，散布的管道就是遠端桌面存取協定，而且，這樣的現象還廣泛出現在其他的勒索軟體中，包含了BitPaymer、Ryuk、Dharma，以及GandCrab等，值得注意的是，其中GandCrab並非專門鎖定企業的勒索軟體，卻也同樣採用了這樣的滲透機制，顯示相關手法已是當今勒索軟體攻擊過程裡，極為普遍的做法。<a href="https://www.ithome.com.tw/news/131201" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>微軟、杜克及史丹佛悄悄撤下人臉辨識資料庫</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E4%BA%BA%E8%87%89%E8%BE%A8%E8%AD%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_chuttersnap.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_chuttersnap</span></p> <p>電腦視覺暨隱私研究人員Adam Harvey最近揭露，微軟、杜克大學及史丹佛大學已悄悄地撤下了原本採用了創用CC（Creative Commons）授權的人臉辨識資料庫。外界猜測這些組織取得照片的方式可能不符合正當授權，是在未經當事者同意下，逕行在網路上蒐集照片或影片截圖，有侵犯個人隱私的問題。<a href="https://www.ithome.com.tw/news/131217" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Amazon發布最新版送貨無人機Prime Air，起飛降落時能垂直飛行</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Prime%20Air_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Amazon.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_ Amazon</span></p> <p>Amazon在AI大會re:MARS上揭露了最新版的送貨無人機Prime Air設計，Amazon一直以來的目標是打造一臺可以在30分鐘內，最多承載5磅包裹飛行長達15英里的全電動無人機，最新的送貨無人機設計針對效能、穩定度和安全性進行改善，特別的是，該無人機採用混合的設計，在起飛和著陸時能像直升機一樣垂直飛行，而在效能和流線型的設計上，則是像飛機一樣，還能在垂直飛行模式和飛機模式之間輕鬆轉換。<a href="https://www.ithome.com.tw/news/131132" target="_blank">更多內容</a></p> </div></div></div>
2019/6/15 09:00未署名https://www.ithome.com.tw/news/131217
用AI扭轉臺灣產業困境
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在我的領地中，你必須盡全力跑，才能維持在相同的位置。如果你想前進，就必須跑得比現在快兩倍！」這句出自《愛麗絲夢遊仙境》紅皇后的話，生物學者早在1970年代，就用以探討生物圈的演化競爭；1995年再被哈佛大學學者卡夫曼（Stuart Kauffman）拿來描述商業生態圈的動態競爭，稱為「紅皇后效應」（Red Queen Effect）。</p> <p><span style="font-size:28px;"><strong>歡迎來到倍速競爭的紅皇后領地！</strong></span></p> <p>紅皇后效應指的是，商業世界中的動態競爭，讓組織必須不斷加速學習，但前進的同時，市場淘汰機制也跟著加速，於是競爭不斷加遽。寫於一百五十多年前的童話故事，完全料中數位經濟時代企業面對的真實挑戰，也是橫亙台灣這二十年來產業發展的具體困境。</p> <p>在2012 年，人工智慧相關技術大突破後，這個情況更顯嚴峻。幾乎沒有人可以否認，人工智慧正在改變這個產業的遊戲規則；而無論我們有沒有察覺，願不願意接受，人類產業已經進入紅皇后的領地，若沒有不一樣的做法，努力跑再久頂多只能停留在原地。不跑呢？直接落隊，再也沒有機會。</p> <p><span style="font-size:28px;"><strong>人工智慧點燃新一波巨變</strong></span></p> <p>改變，從古至今沒有變，但是改變的速度愈來愈快，一點點慢下來的跡象都沒有。目前引爆人類社會巨大改變的主角，正是人工智慧（AI）。人工智慧經過逾五十年的發展與頓挫，終於在2010 年之後有重大突破。由於人工智慧能夠發展與應用的空間，絕對不小於網際網路、雲端運算及行動裝置，因此世界各大科技公司甚至政府，都大舉投入資源進行研究，很快就在技術上持續突破，而應用也遍地開花。</p> <p><span style="font-size:28px;"><strong>人才流失嚴重，產業元氣大傷</strong></span></p> <p>人才外流是攸關產業競爭力、國家發展的重要議題。根據全球人才社群網站LinkedIn統計，台灣外流最多的人才是軟體工程師。原因是過去幾十年來，大部分的人才都集中在半導體業跟製造業，一貫的思維是「買硬送軟」，軟體人才的待遇、舞台、升遷及培育相對不受重視，導致想找有經驗、有格局及視野的軟體大將，難度非常高。</p> <p>同時，台灣也缺乏做深度研發的環境。長期專注於製造代工，企業大部分只做D（development）不做R（research），但台灣人才沒有研究能力嗎？恰好相反！實情是，很多公司只讓大把的碩、博士擔任製程工程師，大多著重於產線運作、效能調校、降低成本這些漸進式研發工作，人才缺乏足以大開大闔、跳脫格局、發展潛能的舞台，礙於這些產業的研發局限，要升級更是難上加難。</p> <p>軟體跟硬體產業有很大的差異。在硬體產業，人員被指定在一個非常精確的位置上，資源、材料跟流程都是固定、有限的。但軟體產業從頭到尾所有的材料，就是「程式碼」，程式碼是無限的，變化無窮盡，可以寫出作業系統、商業網站，也可以寫出無人駕駛、人工智慧，端看軟體工程師被賦予的任務，以及他們本身的技術能力。正因變化無窮盡，而人類時間與能力有限，所以軟體產業的開放源碼精神十分活躍，互相交流與學習，期待能設計出更好的軟體，與硬體產業大不相同。</p> <p><span style="font-size:28px;"><strong>產業升級人才比資料、設備更關鍵</strong></span></p> <p>萬事起頭難，若要發展台灣的軟體價值，無論是軟體產業、以硬帶軟或軟硬整合都好，需要大批的軟體人才，而人才必須要有舞台可以發揮、有位置可以流動、有場合可以交流，有能者才有機會在其中醞釀養成。因此，技術交流平台的重要性不言而喻，但同時，也一直是台灣軟體生態環境中缺失的一塊。</p> <p>雖然政府及產業持續推廣，並投入大數據與人工智慧的應用發展，但多年來台灣軟體產業不振，軟體開發多以系統整合為主，缺乏做核心技術的高階工程師。同時，台灣也普遍缺乏技術交流的文化，同業遇到的問題，很可能有九成一模一樣，但大家習慣閉門造車，浪費許多資源與時間解決相同的問題。即使企業高層之間的確有策略交流，但在商場上落實策略的執行力也不可或缺，而執行力靠的還是人才養成與技術深耕。</p> <p>以資訊科技業而言，我們的新創大多不是技術創新，容易形成惡性競爭甚至被取代；加上長期鑽研製造代工，距離消費者與全球市場相當遙遠，能被世界看見的機率不高。服務產業則在地性質濃厚，不僅跨出台灣的難度高，又缺乏經營大型市場的經驗。</p> <p><a href="https://www.ithome.com.tw/article/128803" target="_blank">但是台灣真的沒有機會了嗎？其實不然，人工智慧時代來臨對我們而言，是巨大的挑戰，也是轉變的契機。</a></p> <p><span style="font-size:28px;"><strong>跨界學術人的社會觀察</strong></span></p> <p>2012 年後，人工智慧在各應用領域爆炸式的影響，在學術界的感受最深刻：每個月、每一季幾乎都可以看到國外新的技術進展，與各種最新應用。但是身在學術界，看到國內產官學研界的認知及動作，普遍落後先進國家，他國的進行式或過去式，在台灣卻是不知何時可實現的未來式，身為有著滿腔社會責任感的知識分子，怎麼可能不焦慮？</p> <p>但焦慮能有什麼幫助？我們缺乏的並不僅僅是創新不足。學術界、產業界都很認真地在做創新，也不時有亮眼之作。但我們真正缺乏的是各界之間的連結，學術界的新技術，似乎與產業界無關；產業界的需求，與學術界的選題似乎找不到太多關聯性；而政府的作為，大方向都是正確的，但落實到專案層次後經常就變了樣，可以填補當務之急，但解決不了產學界多年來的病灶。</p> <p>若企業只想要頭痛醫頭、腳痛醫腳，就算循著痛點走，題目一個一個解，真正的病根很可能根本不在痛點本身，而在於業務決策甚至商業模式。持續不斷進行產學合作，就可以幫助企業在紅皇后的領地中，跟得上時代的腳步？真的可以幫助<a href="https://www.ithome.com.tw/article/130649" target="_blank">台灣產業及時轉型</a>？於是，「跨界」的想法逐漸在我心中萌芽。</p> <p><span style="font-size:28px;"><strong>介接學術與產業，促成創新轉型</strong></span></p> <p>2017 年對我來說，是正式跨出學術界的一年；先前的所有跨界合作都像是熱身，為了這一年而準備。2017 年3 月，由中央研究院廖俊智院長與中研院院士、哈佛大學比爾蓋茲講座教授孔祥重為首，我們組成約十多人的團隊，協助超過十家台灣製造業，成功地以人工智慧解決迫切的製程問題，並確認培育人工智慧人才，對於產業的重要與急迫。</p> <p>在國票金控魏啟林董事長、益鼎創投邱德成董事長及許多先進的協助下，順利地取得台塑企業、奇美實業、英業達集團、義隆電子、聯發科技、友達光電等六家企業的贊助，就在2017 人工智慧年會上，由廖院長宣布成立台灣人工智慧學校，並於2018 年1月正式開學。</p> <p><span style="font-size:28px;"><strong>擔憂被取代，不如主動看見未來</strong></span></p> <p>如同已故知名科學家、未來學者阿瑪拉（Roy Charles Amara）所提出的阿瑪拉定律（Amara's Law）：「人們總是高估一項科技所帶來的短期效益，卻又低估它所造成的長期影響。」</p> <p>面對這一波人工智慧浪潮，很多人擔心工作會馬上被取代、甚至被電腦統治等言過其實的說法，卻忽略了人工智慧將如同過去的活版印刷、電力、網際網路及行動裝置一樣，影響每個人的工作及生活，沒有一個人能夠置身事外。</p> <p>所以，與其不求甚解跟著人云亦云、莫名憂慮，不如花點時間了解<a href="https://www.ithome.com.tw/article/129980" target="_blank">人工智慧</a>的發展現況、應用以及可能的影響，才能更加清楚未來究竟會往哪裡去。（摘錄整理自<a href="https://www.cwbook.com.tw/product/ProductAction.shtml?prodId=0000024825" target="_blank">《人工智慧在台灣》</a>）</p> <p><span style="color:#3399ff;"><strong>人工智慧在台灣：產業轉型的契機與挑戰</strong></span></p> <p>陳昇瑋、溫怡玲／著</p> <p>天下雜誌出版</p> <p>售價：420元</p> <p><strong style="color: rgb(51, 153, 255);">作者簡介</strong></p> <p><strong>陳昇瑋</strong></p> <p>台灣人工智慧學校執行長、玉山金融控股公司科技長、財團法人人工智慧科技基金會董事長暨執行長、財團法人科技生態發展公益基金會執行長、中央研究院資訊科學研究所研究員及資料洞察實驗室主持人，曾任台灣資料科學協會理事長。</p> <p><strong>溫怡玲</strong></p> <p>天下創新學院副總監。</p> </div></div></div>
2019/6/15 09:00未署名https://www.ithome.com.tw/article/131218
Google否認Chrome API的變遷是為了打擊廣告封鎖程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome在去年10月底公布Manifest V3草案，準備以Declarative Net Request API來取代Web Request API的內容封鎖功能，卻<a href="https://www.ithome.com.tw/news/128431" target="_blank">引起廣告封鎖程式開發商的反彈</a>，抨擊Google此舉是為了消滅廣告封鎖程式的生存空間，不過Google在本周<a href="https://gizmodo.com/google-no-of-course-were-not-slowly-killing-ad-block-1835495590" target="_blank">特地澄清</a>，此一變更將讓開發人員可打造更安全及更具效能的廣告封鎖程式。</p> <p>負責Chrome擴充程式開發人員關係的Simeon Vincent，<a href="http://blog.chromium.org/2019/06/web-request-and-declarative-net-request.html" target="_blank">詳細說明</a>了Web Request API與Declarative Net Request API的運作方式，試圖向外界解釋Google的立場。</p> <p>根據Vincent的說法，Web Request API會把一個網路請求的所有資料都送至擴充程式，包含個人照片或電子郵件等機密資料，再由擴充程式評估此一請求，並要求Chrome進行處理，如允許它、封鎖它或是修改後再傳送等，因此，Web Request API通常能夠存取及讀取使用者在網路上所做的所有事。</p> <p>對一個剛正的開發人員來說，Web Request API代表的是強大的功能，然而，惡意的開發人員也很容易利用它來存取使用者的機密資料。根據Google的統計，自2018年1月以來所發現的惡意擴充程式，就有42%使用Web Request API。</p> <p>至於Declarative Net Request API則有與Web Request API截然不同的作法，擴充程式必須先註冊各種規則，當Chrome遇見特定型態的請求時就能依照規則執行。</p> <p>Vincent指出，Declarative Net Request API同時保障了使用者的安全及隱私，還改善了效能。因為透過此API，Chrome再也不會向擴充程式揭露任何機密資料，瀏覽器不必再傳遞所有與該網路請求相關的資料予擴充程式，而只依照擴充程式所制定的規則行動，這意謂著開發人員依舊能夠封鎖特定內容，卻不用存取使用者的所有個人資訊。</p> <p>而且由於這些規則都是事先訂好的，並非於運行時處理，也減少了把所有資料傳送給擴充程式的成本，因此更能增進效能。</p> <p>雖然有些開發人員希望Google可以同時維持Declarative Net Request API及Web Request API的封鎖功能，但Vincent明白表示，Chrome團隊堅信若擴充程式的功能並不需要存取使用者的機密資料，就不該把這些電子郵件、照片、社交媒體內容或其它個人機密資料傳送給擴充程式。</p> <p>除了解釋Web Request API與Declarative Net Request API的差異之外，Chrome團隊亦宣布Net Request API規則的數量限制，從3萬增加到15萬，讓開發人員有更充裕的規則制定空間。</p> <p>這項改變，讓廣告或內容封鎖程式的開發人員必須重新調整程式的設計，開發Ghostery廣告及追蹤器封鎖程式的Jeremy Tillman<a href="https://www.wired.com/story/google-chrome-ad-blockers-extensions-api/" target="_blank">向Wired透露</a>，Declarative Net Request API本身並不是壞事，但如果它缺乏Web Requests API的彈性，還只是唯一選擇的時候，就是壞事了。</p> <p>目前Chrome團隊尚未確定Manifest V3正式版的出爐時間，除了企業版Chrome可繼續支援具封鎖功能的Web Request API之外，包括Opera與Vivaldi等基於Chromium的瀏覽器也宣布會繼續支援封鎖版的Web Request API。</p> </div></div></div>
2019/6/14 17:20作者陳曉莉https://www.ithome.com.tw/news/131284
AWS首度在臺北舉行自動駕駛迷你車比賽，吸引超過百位參加者，連學生和軟體工程師都來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>AWS舉辦的機器學習自動駕駛賽車聯盟競賽（AWS DeepRacer League）首度在台灣舉行，吸引了超過百位選手報名參加，此次比賽中交大學生表現亮眼，分別奪得第一與第三，第二名則是由趨勢科技的軟體工程師JasonLian拿下，而在倫敦巡迴虛擬聯賽中上榜的Taiwan-Taipei-CKSun，則是來自Qoobit的全端開發工程師孫振綸，這次在台北實體賽中排名24。</p> <p>選手參賽前，需先使用Amason SageMaker RL平臺，線上訓練增強學習（Reinforcement Learning）模型。AWS首席雲計算企業顧問張俠表示，即便是沒有強化學習專業背景的人員，也能藉由SageMaker平臺，讓AI的訓練流程變簡單，甚至可以直接選擇由AWS預先訓練好的三款模型，再選定賽道、給定參數就能訓練。「AWS要透過DeepRacer比賽，讓AI更簡單化與普及化。」</p> <p>而用來競賽的賽車，是AWS推出的縮小版四輪驅動車，為原比例的1/18，也內建了CPU以及深度學習攝影機DeepLens，來幫助模型快速對環境的變化作出反應，其外殼也有減振防撞的功效。這款賽車目前也還在預售階段，換句話說，尚未有參賽者能實地使用比賽用車來訓練模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_AWS%20DeepRacer_20190613.jpg" style="width: 600px;" /></p> <blockquote><p>張俠現場展示賽車的內部構造，上方白色立方盒子即為深度學習攝影機DeepLens。</p> </blockquote> <p>在訓練RL模型時，參賽者可以直接選用平臺上提供的模型進行訓練，分別是以中心線、不超過邊線、速度為主訓練出來的三款模型，但實際上仍有許多人選擇自己開發，根據賽車是否正確轉彎、是否超出賽道、是否蛇行等行為，來給定合適的獎勵與懲罰，也就是獎勵函數（Reward Function），給定的數值越精確，模型學習的能力就較強。JasonLian舉例，如果賽車在轉彎有切內側車道，就會給定較高的分數。</p> <p>寫好演算法後，接著選定賽道、設定動作空間（Action Space）的參數與訓練時間，再開始訓練模型。動作空間包括轉彎的角度與行進的速度，不同參數的組合會影響模型的表現，舉例來說，動作空間越大，探索的範圍較多，會導致模型較難找出規律來學習，訓練時間就要拉長，但也有更細微操控車子的優點。</p> <p>JasonLian表示，訓練時間長短也會影響到模型表現，太長可能會過適（overfit），太短可能無法有效學習，也由於強化學習的不可解釋性，讓參賽者必須藉由不斷調整參數、訓練的過程來優化模型。孫振綸也表示，過一段時間若發現模型的的表現停滯不前，可能已經達到極限，必須重新思考演算法的方向，才不會過度訓練。</p> <p>訓練好模型，就可以部署到賽車上參賽。每個參賽者有四分鐘時間，讓賽車在無人操控的情況下在跑道上繞圈，並要設法讓賽車取得有效的單圈迴圈；在單圈中，只要還有一個輪子壓白線就不算出界，單圈內最多可以出界三次，並以出界的位置為出發點接續進行比賽，超過三次就必須重跑。</p> <p>此外，比賽時模型已經不能更動，參賽者唯一可以設定的是賽車的速度（0-180km/hr），也不是越快越好，太快時過彎會有衝出跑道的風險；而實際賽道的環境又與訓練資料有所差異，會因光線種類不同（黃光或白光）、光影變化、或振動而影響輸入的影像，這些現實環境的變因無法被納入訓練過程，因此，現場比賽的分數除了靠實力，還要有些運氣的成分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/24_AWS%20DeepRacer_20190613.jpg" style="width: 600px;" /></p> <blockquote><p>比賽吸引了不少IT人參加，趨勢科技的軟體工程師JasonLian（圖右）也以個人身分來參賽。</p> </blockquote> <p>除了實體賽車賽，AWS也打造了虛擬賽車場，讓開發者可以將模型上傳參加聯賽。虛擬聯賽總共六場，目前倫敦巡迴賽已經結束，第二場東京巡迴賽正在舉行，且每15分鐘更新一次賽況；六場比賽均結束後，會以每位選手的總積分1000分扣除秒數，總排名前18名的選手可以參加世界盃。因此，在倫敦巡迴虛擬聯賽中奪得第四名的孫振綸，目前仍有取得世界盃選手資格的機會。</p> <p>孫振綸表示，這次實體賽中部署在賽車上的模型，是將虛擬賽使用的模型稍加訓練後就直接參賽，主要想測試不同場域對模型的影響，對於比賽結果也在預料之中，因為虛擬賽與實體賽的規則不同，虛擬賽中，只要賽車的其中兩個輪子超出白線，就要出局重來，而實體賽中的規範相對寬鬆，只要一個輪子壓在白線上就可以繼續行駛，而這也影響了實體賽的演算法可能要設計以中心線為主，而虛擬賽則以不超過邊線為主，應根據不同賽制有所調整。</p> <p>此外，孫振綸也提到，儘管AWS提供了強化學習模型的訓練平臺，但參加比賽的成本並不低，不論是使用AWS SageMaker平臺、線上訓練模型，或是提交模型參賽都要花錢，從虛擬賽到實體賽期間總共花費700美金，因此在資源有限的情況下，對於訓練模型或提交演算法等過程也會斟酌花費、有所取捨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20_AWS%20DeepRacer_20190613.jpg" style="width: 600px;" /></p> <blockquote><p>實體賽和線上虛擬賽的規則略有不同，只要一個輪子壓在白線上就可以繼續行駛，虛擬賽的AI模型還得修正才能有好表現。</p> </blockquote> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>2019 AWS DeepRacer冠軍盃將在12月於拉斯維加斯舉行，無論是6場世界巡迴虛擬賽總排名前18名、或是任何AWS高峰會舉辦的現場賽車競賽冠軍都能參加，目前實體賽的最好成績是日本<a href="mailto:sola@DNP">sola@DNP</a>的7.44秒，而臺灣比賽第一名成績則為8.734秒。</p> </div></div></div>
2019/6/14 17:26作者翁芊儒https://www.ithome.com.tw/news/131268
Visual Studio 2019 for Mac釋出8.1，現加入內聯燈泡提示功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-for-mac-version-8-1-is-now-available-and-a-preview-for-8-2/">微軟一次發布了Visual Studio 2019 for Mac 8.1正式版以及8.2的預覽版</a>，這兩個版本中都有大量的更新，在8.1中，微軟繼續擴充新編輯器的功能，以彌補新舊編輯器之間的功能差距，而8.2預覽版，則是改進了XAML的編輯功能，並且加入C# 8的預覽。</p> <p>微軟應開發者要求，在8.1版本強化了程式碼片段功能（Code Snippets），擴充程式碼自動完成功能，使開發者能更快速地進行開發工作。Visual Studio 2019 for Mac除了新增了許多內建的程式碼片段，也能透過使用IntelliSense，可以為專案增加像是屬性或是建構子等許多常用程式碼區塊，在偏好設定（Preferences）中的程式碼片段編輯器，開發者就能自行擴充需要的程式碼區塊。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/06/vs4mac-image1.gif" style="width: 600px;" /></p> <p>另外，Mac開發者現在可以在C#專案中使用內聯燈泡（Inline Lightbulb）的功能，以幫助最佳化程式碼和檢測錯誤，開發者只要點擊內聯燈泡建議的修復選項，就能快速地修復程式碼中的問題，微軟也提到，Visual Studio 2019 for Mac中的內聯燈泡功能，跟Visual Studio的Windows版本共享建議邏輯，因此分析跟支援都會是最新的。</p> <p>新版本還加入了新的程式碼操作控制，開發者可以在專案中跨檔案的拖拉程式碼，以快速地移動程式碼（下圖），而且也支援文件大綱（Document Outline）以及全新的移至行（Go to Line）功能。另外，微軟在這個版本還改進了效能以及穩定性，以及更新ASP.NET Core專案樣板。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/06/NavUpdates.gif" style="width: 600px;" /></p> <p>開發者只要將Visual Studio 2019 for Mac切換到預覽版頻道，就能搶先試用8.2版本的新功能。在這個版本，Visual Studio Mac版開始具備Windows版的C#編輯器，與XAML語言服務核心的XAML編輯功能，這些新元件包含更精確的IntelliSense以及更好的Linting功能，提升Mac開發者的XAML與AXML編輯體驗，微軟提到，新的XAML語言服務現在支援模糊比對、子字串比對以及駝峰式大小寫（CamelCase matching），能有效減少搜尋關鍵字的時間。</p> <p>從Visual Studio for Mac 8.1開始，新的編輯器支援Android布局和資源檔案編輯，使用者能在編輯Android布局的同時，就能查看即時的設計檢視圖（下圖），增加編輯Android XML的效率，微軟也提到，新編輯器會不停地更新，因此Android XML的編輯功能在8.2中也會持續改善，獲得最新的IntelliSense以及編輯器功能支援。微軟除了為Visual Studio持續更新.NET Core 3外，Visual Studio for Mac 8.2也新增支援最新的C# 8預覽。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/06/vs4mac-image3.png" style="width: 600px;" /></p> </div></div></div>
2019/6/14 17:30作者李建興https://www.ithome.com.tw/news/131287
報導：臉書即將發表加密貨幣，迎來Visa及Mastercard等重量級業者助陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/facebooks-new-cryptocurrency-gets-big-backers-11560463312" target="_blank">華爾街日報於本周引述消息來源報導</a>，臉書即將於下周發表自家的加密貨幣，且屆時將會宣布十多家重量級的合作夥伴，包括Visa、Mastercard 、PayPal、Uber，以及其它創投公司與電信業者。</p> <p>去年就傳出<a href="http://www.coindesk.com/report-uber-paypal-visa-to-back-facebooks-globalcoin-cryptocurrency" target="_blank">臉書有意發行加密貨幣</a>，並由曾擔任PayPal總裁、現負責臉書傳訊產品的David Marcus主導。根據外電報導，目前臉書加密貨幣團隊的人力已超過50人，而且會在6月18日正式發表。</p> <p><a href="https://www.coindesk.com/everything-we-know-about-facebooks-cryptocurrency" target="_blank">據稱此一專案名為Libra，加密貨幣名稱為GlobalCoin</a>，它將是個穩定幣且同時與多種貨幣籃（Currency Basket）掛鉤，如美元指數，由歐元、日幣、英鎊、加幣、瑞典克朗或瑞士法郎組合而成的貨幣籃，或是整合亞洲貨幣的貨幣籃，以減少貨幣波動的風險。</p> <p>臉書打算成立一獨立基金會來經營GlobalCoin，GlobalCoin可望具備100個節點，並邀請企業參與，認養每個節點的費用為1,000萬美元。</p> <p>儘管先前的報導指出GlobalCoin將率先被應用在WhatsApp上，著眼於印度市場提供匯款服務，未來也可應用在Facebook Messenger及Instagram等平台的交易，但從上述的架構來看，臉書對GlobalCoin的冀望應不僅如此，至少會結盟其它零售業者，讓用戶以GlobalCoin在不同的平台上交易，甚至如同GlobalCoin的名稱一樣，讓它成為一款可在全球各地流通的貨幣。</p> </div></div></div>
2019/6/14 15:40作者陳曉莉https://www.ithome.com.tw/news/131282
Yubico生產的USB安全金鑰裝置也傳臭蟲，將免費換新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當業界力推無密碼輸入方案，使硬體安全金鑰大行其道，也讓這些產品的安全性更為重要。繼Google二周前的召回行動後，USB安全金鑰裝置<a href="https://www.yubico.com/support/security-advisories/ysa-2019-02/" target="_blank">Yubico也在周四發出公告</a>，旗下一個系列產品韌體有臭蟲可能降低安全性，將召回市面產品並為用戶免費換新。</p> <p>Yubico指出，這個漏洞出在YubiKey FIPS系列上的韌體包括4.4.2及4.4.4（沒有4.4.3）版，造成硬體每次啟動後，YubiKey FIPS app使用的第一組隨機值的隨機性降低，以致降低金鑰的安全強度。</p> <p>該公司解釋，問題在當FIPS產品開機進行自我測試時，持有隨機值的緩衝區包含了一些可預測值，進而影響到加密作業，包括RSA金鑰、ECDSA簽章、橢圓曲線密碼（ECC）金鑰及ECC加密等。受影響的使用情境包括FIDO U2F（即硬體金鑰），而智慧卡、OpenPGP及OATH一次性密碼的安全性也可能被削弱。</p> <p>受該漏洞影響的產品包括YubiKey FIPS、YubiKey Nano FIPS、YubiKey C FIPS及YubiKey C Nano FIPS。其他產品則不受影響。</p> <p>Yubico也提供召回及免費換新服務。在電商網站或和Yubico直接購買到瑕疵產品的用戶，可上<a href="https://www.yubico.com/replaceorder/" target="_blank">網站</a>登記並申請換貨。而透過經銷商購得的用戶，則需和廠商聯絡。</p> <p>五月中Google也才因為藍牙版Titan爆出，可讓駭客冒名登入用戶Google帳號或連上受害者裝置的漏洞，而<a href="https://www.ithome.com.tw/news/130673" target="_blank">宣佈</a>免費為使用者換新。而出現相同漏洞的中國廠商Feitian（飛天誠信），也<a href="https://www.ftsafe.com/replacement/" target="_blank">宣佈</a>了舊換新行動。</p> </div></div></div>
2019/6/14 13:05作者林妍溱https://www.ithome.com.tw/news/131273
臺灣行動5G發展戰略首度揭露！行政院：將分4年砸兩百億元投入5G發展，目標要打造一個年產值500億元規模的臺灣5G產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院昨日（13日）正式揭露臺灣行動5G戰略布局，未來規劃投入比先前4G發展更多55億元，高達204億元的補助金，並將分4年來建立一個健全的臺灣5G應用基礎環境，還提出五大5G應用發展主軸和十大應用場域，目標2022年完成打造一個年產值高達500億元規模的臺灣5G產業。這項國家5G發展計畫的拍板定案，不僅是政府首度明訂出國家未來5G發展策略方向，也意味著，替臺灣行動5G商用發展跨出一大步。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap7(2).jpg" style="width: 600px; height: 450px;" /></p> <p>行政院本周對於「台灣5G行動計畫」正式拍板定案，宣誓臺灣要在2020年正式進入5G時代，為此，政府大動作宣布將大力投入5G產業發展，並於13日舉行的行政院院會會後針對該計畫有更完整的細節公布。</p> <p>根據這次通過的5G行動計畫，行政院決定將提撥新臺幣204.66億元，來扶植國內5G網路建設、應用服務開發、資安技術防護，以及相關法規調整與人才培育等諸多工作。</p> <p>因此，光是政府投入的補助金額，就比先前4G發展高出許多，政府5年前扶植4G發展時僅投入150億元，這次則是一舉提高到了204.66億元，而且期間也更長，從原先4G發展的3年期限，到了5G，增加到了4年，行政院科技會報辦公室執行秘書蔡志宏表示，看好的就是，5G時代的來臨，能夠加速驅動臺灣產業創新、轉型，同時替民眾帶來更便捷的智慧生活環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap8(2).jpg" style="width: 600px; height: 444px;" /></p> <p>在國家5G階段性目標上，蔡志宏表示，明年初步目標，將先以扶植5G應用新創團隊為主，以推動5G產業創新，目標是要一年內成立10家新創團隊，同時也要培育至少4,000名相關5G應用人才，來持續替5G產業助入新成長動能，「未來更大目標，是要在4年內，在臺灣打造一個年產值500億元規模的5G應用產業，更要讓臺灣成為全球產業信賴的供應鏈。」</p> <p>在具體作法上，行政院也提出了五大5G應用發展主軸，以及十大應用領域，做為未來推動5G產業應用發展的方向，其中應用發展主軸有5大，包括了創新應用發展環境、完備技術核心及資安防護、建立符合整體利益的5G頻譜規劃與釋照，以及調整法規來創造有利的5G發展環境。期盼要藉由這5大主軸，來加速5G商轉普及，以及催生5G垂直應用產業生態系與加速應用創新。另外，在10大應用領域上，未來也利用5G技術搭配不同產業的應用，如智慧醫療、智慧製造、智慧交通等，期望讓臺灣能夠成為世界級的5G應用實驗場域。</p> <p>在5G釋照方面，蔡志宏也透露，目前交通部已經完成第一類電信一覽表的預公告作業，他也轉述交通部長林佳龍的談話，說明幾天內就會報院核定，至於後續釋照作業，他則說，目前NCC已在積極辦理中，但並未提到切確釋照時間表。</p> <p>政府為何要大力扶植臺灣5G發展？蔡志宏解釋，因為5G具備有高速、大容量、低延遲的特性，可以在廣域應用和垂直應用領域，帶來許多嶄新的新應用，從智慧城市的8K高細膩的影音畫面呈現、到大型物聯網實驗，或是更多的垂直應用領域，如自駕車、遠距醫療、AR/VR，以及智慧工廠等。</p> <p>更重要的是，他表示，透過搭配臺灣通訊半導體的強項，將有助於提升臺灣數位競爭力，甚至也將帶動臺灣在AI、大數據以及雲端基礎建設的發展實力，更進一步驅動產業創新。另對於民眾來說，5G也是未來實現智慧生活的重要工具，可以享有5G帶來安全且便利的生活，他還提到，未來更有望借助5G來縮短城鄉差距。</p> <p>以臺灣電信產業來說，目前以中華電信和遠傳的5G發展腳步較快，他指出，現階段這兩大電信巨頭已分別與50多個廠商來合作，正積極為5商轉做準備。如中華電信今年將擴大5G實驗網，將測試場域擴大到臺北南港展覽2館、新北市林口新創園區等實際場域，更與聯合合作夥伴共同展示5G相關技術及產品服務。</p> <p> </p> <div class="media_embed" height="485px" width="595px"> <iframe allowfullscreen="" frameborder="0" height="485px" marginheight="0" marginwidth="0" scrolling="no" src="//www.slideshare.net/slideshow/embed_code/key/abJ6FpqfVxCyYA" style="border:1px solid #CCC; border-width:1px; margin-bottom:5px; max-width: 100%;" width="595px"></iframe><div height="485px" style="margin-bottom:5px" width="595px"><strong><a href="//www.slideshare.net/releaseey/5g-149370509" target="_blank" title="行政院會報告：科技部台灣5G行動計畫報告">行政院會報告：科技部台灣5G行動計畫報告</a> </strong> from <strong><a href="https://www.slideshare.net/releaseey" target="_blank">releaseey</a></strong></div> </div> <p> </p> <p> </p> </div></div></div>
2019/6/14 13:12作者余至浩https://www.ithome.com.tw/news/131272
Exim RCE漏洞影響數百萬伺服器，已有駭客發動攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球將近六成伺服器使用的郵件伺服器元件Exim再傳重大漏洞，可讓駭客以最高權限執行任意指令，而在發現一周後，研究人員已經發現至少二個團體已經發動攻擊，其中Linux伺服器用戶尤為重點目標。</p> <p>Exim是開源郵件傳輸代理程式（Mail Tansfer Agent，MTA），廣泛用於全球郵件伺服器上。根據<a href="http://www.securityspace.com/s_survey/data/man.201905/mxsurvey.html" target="_blank">統計</a>目前全球有大約57%，超過50萬臺郵件伺服器使用Exim，甚至有人<a href="https://www.shodan.io/report/uSLHrfCA" target="_blank">估計</a>高達370萬台。使用廣泛的Exim在<a href="https://www.ithome.com.tw/news/118753" target="_blank">2017年底</a>及<a href="https://blog.trendmicro.com.tw/?p=54817" target="_blank">去年三月</a>也先後成為駭客下手目標。</p> <p>安全廠商Qualys上周<a href="https://www.qualys.com/2019/06/05/cve-2019-10149/return-wizard-rce-exim.txt" target="_blank">警告</a>Exim存在編號CVE-2019-10149的遠端指令執行（Remote Command Execution，RCE）漏洞。該漏洞讓攻擊者可以execv()函數以根權限執行指令，無需引發記憶體毁損或ROP（Return-Oriented Programming），進而接管受害伺服器。</p> <p>本地端攻擊者或是在特定非預設組態下的遠端攻擊者可輕鬆開採這項漏洞。遠端攻擊者則需要連續和目標伺服器保持7天連線，並以每幾分鐘 1 byte的速度傳輸進行攻擊。但研究人員提醒，有鑒於Exim程式碼的複雜性，可能出現更快的攻擊方法。</p> <p>本漏洞的CVSS v3.0版風險分數為9.8分，被列為重大風險。受影響版本包括4.87 到4.91版的Exim。Exim管理組織也<a href="https://www.exim.org" target="_blank">呼籲</a>用戶應升級到最新版本4.92版。</p> <p>而在一周後，已經有安全研究人員發現網路上有攻擊程式。首先，獨立安全研究者Freddie Leeman<a href="https://twitter.com/freddieleeman/status/1137729455181500421" target="_blank">發現</a>針對CVE-2019-10149而來的第一個攻擊程式，出自一臺位在**<a href="http://173.212.214.137/s**">http://173.212.214.137/s**</a>的遭感染的主機。</p> <p>本周安全廠商又發現另一樁攻擊行動。Cyren 研究人員Magni Sigurðsson及安全廠商Cyberreason分別<a href="https://twitter.com/0xAmit/status/1139165487093420035" target="_blank">發現</a>，駭客傳送一個包含Envelope-From（532.MailFrom）程式碼的郵件、下載shell script目的在使用Exim伺服器上的私有金鑰，藉此開啟外部對這臺Exim伺服器的SSH連線，進而下載後門程式。Cyberreason研究人員Amit Serper並<a href="https://www.cybereason.com/blog/new-pervasive-worm-exploiting-linux-exim-server-vulnerability" target="_blank">發現</a>，第二波攻擊是一個自我繁殖的蠕蟲，在遠端執行指令完成後就啟動傳輸埠掃瞄，尋找其他感染目標，之後它會移除Exim伺服器上的挖礦程式及任何防護工具，再安裝自己的挖礦程式。</p> <p>第二波攻擊目標包括幾乎所有版本的Linux伺服器。<a href="https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10149" target="_blank">Red Hat Enterprise Linux</a>、<a href="https://security-tracker.debian.org/tracker/CVE-2019-10149" target="_blank">Debian</a>、<a href="https://www.suse.com/security/cve/CVE-2019-10149/" target="_blank">openSUSE</a>、<a href="https://usn.ubuntu.com/4010-1/" target="_blank">Ubuntu</a>也都各自發布緊急安全公告，呼籲用戶儘速升級到Exim 4.92版。</p> </div></div></div>
2019/6/14 12:25作者林妍溱https://www.ithome.com.tw/news/131270
Telegram創辦人：DDoS攻擊IP多半來自中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加密傳訊服務Telegram在6月12日宣布遭到DDoS攻擊並影響全球用戶，6月13日<a href="https://twitter.com/durov/status/1138942773430804480?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1138942773430804480%7Ctwgr%5E393039363b74776565745f6d65646961&ref_url=https%3A%2F%2Ftechcrunch.com%2F2019%2F06%2F12%2Ftelegram-faces-ddos-attack-in-china-again%2F" target="_blank">Telegram創辦人Pavel Durov更直說</a>，大多數的攻擊IP來自中國，從歷史來看，所有國家級駭客的DDoS攻擊行動都與香港的各種抗議活動同時發生，而這次也不例外。</p> <p>香港在今年6月9日晚間發起抗議《逃犯條例》的遊行活動，此一條例允許香港可透過專案或特定協議將嫌疑人移交至中國、台灣、澳門或其它地區，簡化了遣送流程，而香港擔心的是，《逃犯條例》將讓中國能夠任意自香港移交嫌犯至中國，使得這次的抗議行動又被稱為「反送中」，有超過100萬名香港居民走上街頭。</p> <p>由於Telegram標榜端對端加密，亦堅決捍衛用戶隱私，在多次的香港遊行中都被推薦使用以讓參與群眾互相聯繫，應是使得Telegram成為駭客頭號攻擊目標的原因。</p> <p>Durov表示，這些由國家級駭客發動的DDoS攻擊流量每秒多達200~400Gb，從以前的經驗來看，相關攻擊的時間點都與香港的抗議行動相符，此次也一樣。</p> <p>Telegram也曾在2015年遭受大規模的DDoS攻擊，當時亦正逢香港居民爭取民主的遊行活動，駭客鎖定Telegram亞太地區的伺服器叢集展開攻擊，造成東南亞及澳洲等地的用戶無法存取該服務，Telegram判斷攻擊者來自東亞，在此一攻擊結束之後，<a href="https://www.comparitech.com/privacy-security-tools/blockedinchina/telegram//" target="_blank">中國即封鎖了Telegram</a>。</p> </div></div></div>
2019/6/14 12:45作者陳曉莉https://www.ithome.com.tw/news/131271
華為手機在鎖定螢幕上顯示廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣告雖然是許多免費網站和app業者的營生之道，但在消費者花了大錢購買的手機上理應不會出現。不過媒體<a href="https://www.androidpolice.com/2019/06/13/huawei-apparently-decides-it-needs-more-bad-press-puts-ads-on-phone-lock-screens/" target="_blank">Android Police報導</a>最近華為卻首開先例，在數款手機的鎖定螢幕上顯示廣告。</p> <p>多位用戶周四在推特<a href="https://twitter.com/daverooney/status/1139165324992045061" target="_blank">抱怨</a>，他們的華為手機鎖定螢幕上無預警出現廣告。目前所有廣告都是來自Booking.com，疑似華為是將用戶設定啟用隨機風景桌布<a href="https://twitter.com/justicefingers/status/1138810699277328385" target="_blank">置換</a>成廣告。有用戶還<a href="https://twitter.com/justicefingers/status/1138810699277328385" target="_blank">懷疑</a>自己是不是不小心同意了哪個app的服務條款。</p> <p>報導指出，出現手機螢幕廣告的機種涵括P30 Pro、P20、P20 Lite、P20 Pro及Honor 10，但受影響的用戶則至少包括英國、荷蘭、愛爾蘭、挪威、德國和南非。</p> <p>不再看到這些廣告的唯一方法，是不再使用手機內建的輪播風景桌布，其實並不是太難。Amazon 也曾在降價促銷的Fire平板鎖定螢幕上顯示廣告，而且移除方法還比較麻煩。不過至少Amazon有事先聲明。</p> <p>華為也<a href="https://www.engadget.com/2019/06/13/huawei-smartphone-lock-screen-ads-booking/" target="_blank">對媒體表示</a>正在進行調查。</p> </div></div></div>
2019/6/14 09:55作者林妍溱https://www.ithome.com.tw/news/131269
IBM為資料科學平臺加入自動化AI開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2019-06-12-IBM-Adds-Automation-Capabilities-to-Watson-Studio-to-Aid-Data-Scientists-Speed-AI-Development">IBM為資料科學應用開發工具Watson Studio，加入一系列人工智慧的自動化功能AutoAI</a>，要幫資料科學家解決建置人工智慧應用的過程，所會遇到的瑣事，包括資料處理與預處理等工作，使其能專注在機器學習模型的設計和部署上。</p> <p>現在資料科學家可以在IBM Cloud上的Watson Studio，使用到這項人工智慧自動化工具。AutoAI能夠自動執行資料準備以及預處理，像是模型開發和特徵工程等工作，其超參數的最佳化功能，可以協助資料科學家建立機器學習模型，並內建梯度提升樹（Gradient Boosted Tree）等一系列適用於企業資料科學的模型類別，能幫助擴展機器學習實驗與部署過程。</p> <p>另外，AutoAI也支援IBM的神經網路合成（IBM Neural Networks Synthesis，NeuNetS）技術，IBM在2018年發布在NeuNetS預覽，並在今年進入公開測試的階段，NeuNetS能夠自動合成自定義的神經網路，目的同樣是用來加速深度學習網路模型的開發，NeuNetS讓用戶可以選擇為模型進行速度或是精確度上的最佳化，並即時的監看模型建置和訓練。</p> <p>IBM資料與人工智慧總經理Rob Thomas表示，資料基礎設施的複雜性，對技術資源稀缺的開發人員來說，可能是決定性的障礙，而Watson Studio現在提供的自動化功能，可以讓人工智慧應用程式的開發過程更加順暢，幫助使用者更快地建置機器學習模型以及進行實驗。AutoAI以及Watson機器學習功能可以關聯使用，以降低人工智慧周期中的各階段的障礙。</p> </div></div></div>
2019/6/14 08:45作者李建興https://www.ithome.com.tw/news/131266
最新Visual Studio 2019可以用Edge瀏覽器除錯JavaScript
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者現在可以在VisualStudio.com下載<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-version-16-2-preview-2/" target="_blank">最新Visual Studio 2019 16.2第二預覽版</a>，這個版本讓開發者可以使用Edge瀏覽器為JavaScript除錯，也改善了應用程式Installer命令列封裝功能。新版Visual Studio Installer也會在執行安裝前，主動偵測可用空間，當空間不足時，安裝程序便不會啟動。</p> <p>Visual Studio最新預覽版可以讓ASP.NET和ASP.NET Core專案，在微軟Edge Insider瀏覽器中為JavaScript除錯，開發者只要安裝瀏覽器，並在JavaScript程式碼中設置中斷點，就能開始除錯對話（Session），Visual Studio會開啟一個新的視窗，讓開發者逐步執行JavaScript程式碼。另外，Visual Studio也支援以命令列工具設定參數，用自定義的瀏覽器配置，像是私密瀏覽（Inprivate）參數進行除錯。</p> <p>在.NET的功能改進上，由於使用者強烈要求重新提供Sort Usings指令，希望與Remove Usings指令分開，因此微軟在最新Visual Studio 2019版本實現這項需求，用戶可以在選單編輯下的IntelliSense找到Sort Usings指令（下圖）。另外，也將Switch陳述式轉換成Switch表達式，微軟提醒，Switch表達式是C# 8.0的功能，因此用戶需要使用最新的C# 8.0版本才能使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/sortusings.png" style="width: 600px;" /></p> <p>而微軟也改善了應用程式Installer命令列封裝功能，更新Visual Studio 2019中Windows桌面專案的側載入命令封裝功能，特別是使用.appinstaller檔案配置，來接受自動更新的應用程式。</p> <p>微軟提到，過去Visual Studio提供三種不同的方法，用來配置.appinstaller檔案的HoursBetweenUpdateChecks更新設定，而在Visual Studio 2019 16.2第二預覽版中，微軟移除了使用Package Wizard或是定義建置屬性的方法，開發者可以簡單地定義，並將HoursBetweenUpdateChecks當作參數在命令列建置期間傳遞，進而簡化配置程序。</p> </div></div></div>
2019/6/14 08:55作者李建興https://www.ithome.com.tw/news/131267
容器將顛覆傳統企業儲存架構，也需要將儲存管理帶進容器
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在沒人理應用程式了，數據才重要。」Pure Storage全球技術長Alex McMullan直言，應用程式開發者已經不再管VM了，新的應用程式，大都是原生容器雲端應用程式，可以同時部署在內部資料中心、代管主機（Co-location），以及AWS、Azure等雲端環境，甚至也不需在乎是什麼架構，開發者更在意應用程式數據、應用程式狀態（Application State），如何進一步分析運用，不只用來推動企業數位轉型，甚至用這些數據分析創造新營收，發展出新的商業營運模式。</p> <p><span style="font-size:28px;"><strong>容器儲存新架構開始在企業儲存市場嶄露頭角</strong></span></p> <p>一般來說，儲存架構是跟隨著企業IT架構演進發展，從早期大型主機、Client/Server主從式架構、虛擬化到雲端架構，乃至於現在當紅的容器（Container）架構都是如此。隨著容器技術在IT系統部署與管理的應用上，已經日益普及，Alex McMullan表示，以容器架構，搭配持續性儲存特性的容器儲存（Container Storage）應用，也開始在企業儲存市場逐步嶄露頭角。</p> <p>不同於傳統VM（虛擬機）為主的儲存架構，Alex McMullan指出，容器儲存架構，因為具備有更快啟動速度、更高可擴充性，以及軟體式管理的特性，因此讓它短時間就獲得為數不少的儲存廠商的青睞，紛紛加入對於容器應用的支援行列，要讓容器應用程式，也能具備有跟企業儲存等級一般的高穩定、高可用的資料儲存設計。Pure Storge是其中一家。</p> <p>Pure Storge自2年前就開始搶進容器儲存市場，除了針對儲存陣列產品的作業系統平臺Purity//FA，率先支援Docker Persistent Volumes，讓快閃儲存陣列能夠延伸到容器化應用程式，來提供長期且穩定容器服務，隔年，還推出容器儲存即服務Pure Service Orchestrator，接下來，更整合了容器調度及管理工具Kubernetes，可支援多陣列的檔案（File）、區塊儲存（Block），讓本地容器環境也可導入儲存即服務，並可支援基於容器、微服務架構的應用程式。</p> <p>更重要的是，「透過容器儲存架構，也可以讓本地端和公有雲應用程式之間橋接或移轉更加平順，能夠用來滿足企業發展混合雲、多雲應用架構的需求。」Alex McMullan說。</p> <p><span style="font-size:28px;"><strong>容器天生到處移動的特性，衝擊傳統儲存架構</strong></span></p> <p>他也進一步補充，由於容器特性和儲存天生上就格格不入，因此許多現有的儲存傳輸介面或管理機制，難以適用於容器架構環境，例如，光纖儲存網路（Fiber Channel）、儲存分區（Storage Zoning）、遮罩（Masking）等，這些就不符合容器應用一直移動的特性，無法像容器應用一樣，隨時可以跟任何網路連接或讓資料到處移動。但是，容器儲存也帶來更大的挑戰。Alex McMullan就表示，不像傳統的IT儲存架構，在設計上，是針對固定在同一個地方的應用來進行監控，對於現在需要到處移動的容器為主的應用架構，「因為，根本不知道應用跑在哪裡，也不會知道資料存在哪，如何管理成了大問題。」他說。</p> <p>所以，對於企業來說，這些底層儲存基儲架構，也得要有能力能像容器一樣，能夠對應容器應用移動而跟著一起變動，才能夠讓這些容器應用程式獲得更高可用，以及服務高穩定性。</p> <p>又如一些老舊的應用程式，到現在仍不支援容器架構，例如銀行核心系統等，現在用的都還是10多年前大型主機，適用的都是過去的儲存方案，同樣不適合在新的容器儲存環境上執行。</p> <p>這些種種因素，也提高企業進入門檻，得先翻新IT架構，甚至還要採用新一代儲存技術，才有能力能夠應對劇烈變動的需求。Alex McMullan自己形容更貼切：「這就好比一位父親帶著自己女兒參加舞會，然後，讓已經上年紀的爸爸跟女兒的朋友一起跳舞。」也反映出，容器對於過去10多年儲存技術帶來的衝擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cio(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Pure Storage</span></p> <p><span style="font-size:28px;"><strong>容器技術將會是新一代儲存產品必備的技術</strong></span></p> <p>雖然，經過這些年的發展，容器技術已漸趨成熟，進到正式環境的大量應用部署階段，但是想要提供長期、穩定的容器應用服務，Alex McMullan指出，許多開發者現在最期待的是，就是可將更多一級儲存應用（Tier 1）管理功能帶進容器，包括快照（Snapshot）、加密（Encryption）、複製（Replication），以及異地備援（HA）等，讓使用者可以直接在容器應用執行環境中，就能獲得這些企業儲存管理上提供的高可用、高穩定，以及安全保護等機制。</p> <p>他表示，雖然這些都是傳統儲存管理常見功能，「但是隨著應用程式都變成了容器應用，開發者也意識到舊有的儲存管理對於容器應用的重要性，也想要在容器儲存架構下來使用。」他說。</p> <p>甚至，Alex McMullan堅信不疑地說：「容器將是儲存下一個階段的關鍵技術。」他說，因為容器應用，在設計上就是可以隨需擴展、迅速增長，並隨著工作負載執行狀況來動態調整規模，「這就是儲存未來要走的方向。」</p> <p>以Pure Storge作法為例，他表示，自幾年前，該公司開始讓自家企業儲存系統能夠支援容器，並且對於一些主要容器調度與管理平臺，如紅帽PaaS平臺Red Hat OpenShift或其他開放式自動化環境等，提供驗證設計、開放參考架構與全套工具，讓這些容器化儲存設備可以透過REST API介接方式相互溝通，來調度和管理儲存陣列資源，甚至更進一步引進當紅的容器叢集調度和管理工具Kubernetes，來提供支援容器化環境的持續性儲存環境。</p> <p><span style="font-size:28px;"><strong>容器調度及管理工具Kubernetes的出現，解決了大量容器管理難題</strong></span></p> <p>Alex McMullan指出，不像早期，容器主要以開發測試環境居多，這時需要管理的Docker Container個數不多，約1到5個左右，但是當進到正式環境之後，因應業務需求增長，單一應用程式最多可能需要開啟數十到上百個容器，管理起來就會很複雜。雖然市面上有推出一些容器叢集管理工具，如Docker Swarm等，能夠在多臺不同實體機器上執行和管理Docker容器，但終究還是無法管到上百到上千個容器規模。</p> <p>「Kubernetes的出現以後，才真正解決了大量容器管理難題。」他表示，尤其是，當這些容器需要使用很多不同類型的資源時，Kubernetes就可以發揮到很好的調度和管理作用。</p> <p>Kubernetes不只改變了容器應用規模擴充能力，他還指出，跟傳統IT架構相比，Kubernetes也更容易用於容器管理，例如Kubernetes允許容器應用程式可以定義為一個Pod（Kubernetes部署的最小組成單位），每個Pod可以封裝一個到多個應用容器，可以讓多個Container同時跑在同一個Pod裏面，以簡化容器的部署和管理工作。甚至也因為所有Container都在同一個Pod，所以也可以很容易共享應用程式使用的網路資源與通訊。</p> <p>不光只是Kubernetes，Alex McMullan認為，容器化儲存要能夠成為企業翻新IT架構採用的新一代儲存技術，容器技術的成熟是關鍵。Alex McMullan特別指出，安全性是容器還不如VM的地方，所以，現在企業的許多容器應用，都還是以在VM上執行容器應用居多，以便獲得更高的安全保護，這也阻礙了容器應用發展。</p> <p>他認為，只有當容器安全得到確保以後，用戶才可以從VM將容器拿出，讓容器可以真正獨立運用，不再靠VM，也有助於在容器應用架構加入更多不同儲存管理的機制。</p> <p>除了容器儲存的興起，Alex McMullan還觀察到另一個儲存應用型態，在過去幾年迅速萌牙，他表示，一些主要公有雲廠商和大型儲存業者，近年來都開始積極向混合雲儲存（Hybrid Cloud Storage）靠攏，想要透過混合雲儲存，來提供同時兼顧本地端與雲端儲存優點的儲存應用服務或產品，也讓混合雲儲存成為另一個跨雲儲存的新興儲存應用領域。</p> <p>但這也帶來本地端儲存與雲端儲存的管理挑戰。Alex McMullan指出，現在，企業許多的應用程式，甚至是關鍵核心系統，不再只是放在自己機房，而是選擇將這些系統搬上雲端，甚至部署在混合雲、多雲架構，藉此降低IT設備維護和營運管理成本，也加快新應用及服務的推出。</p> <p>但為了要讓這些應用程式可以橫跨不同異質環境執行，必須要讓底層儲存架構的資料可以互通，需要能同時管理本地端與雲端儲存，也成了儲存新挑戰。</p> <p>他強調，真正挑戰是，如何讓使用者用同一套方法，來管理單一應用程式裡的持續性資料（persistent data），既不用了解這些應用執行的地方、也不用管資料放在哪，甚至也不分是本地端、私有雲，或公有雲都能管。</p> <p><span style="font-size:28px;"><strong>新一代QLC快閃記憶體儲存技術，開始走進應用儲存市場</strong></span></p> <p>除了新興儲存技術和應用型態的出現之外，過去一年在儲存技術也有不少新突破或新進展。尤其是在以NAND快閃記憶體為主的高速儲存架構，Alex McMullan表示，近兩年，企業有很高採用比例，隨著新一代QLC快閃記憶體儲存技術，開始走進企業SSD儲存應用市場，他認為，未來將擴大企業採用比例與部署規模。</p> <p>雖然QLC快閃記憶體的可靠、穩定性及壽命不如既有TLC快閃記憶體，但他指出，QLC因為具備更低成本、更大容量的儲存特性，將有機會解決傳統SSD容量與價格的瓶頸。</p> <p>因應QLC NAND儲存晶片正式推出，他認為，接下來，將開始會有越來越多儲存廠商，相繼推出採用此晶片的儲存設備，除了提供的每GB儲存單位成本更低，還可容納更高的儲存容量，而且不只可用於資料備分、復原、歸檔等資料儲存，甚至可以提供做為更複雜的分析所用，如基因分析、精準醫療等。</p> <p>再者，在高速I/O介面上，他指出，以外接應用為主的NVMe-over-Fabrics（NVMeF）底層連接架構，近來在企業儲存應用市場逐漸普及，成為了企業外部儲存應用的主要連接標準，做為儲存設備與儲存設備之間資料交換的高速傳輸之用。</p> <p>最後，從儲存應用類型來看，Alex McMullan也提到，在物件儲存（Object Storage）的應用上，近期，也出現許多在密集型交易處理方面的應用，不再只是像以往多作為資料長期歸檔使用為主，又以亞馬遜AWS S3雲端儲存服務為代表，如Spark等大數據廠商也都有這方面的應用。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><strong>Pure Storage全球技術長Alex McMullan</strong></p> <p>學歷：英國利物浦大學電子工程碩士</p> <p>經歷：曾是一名英國航太資深工程師，負責開發飛機核心軟體，幾年後轉戰金融IT，先後任於瑞士銀行、巴克萊資本等大型金融機構，曾一手主導跨國金融集團基礎架構的整併與管理。2014年接下Pure Storage歐洲區技術長一職，4年後升任全球技術長，負責擬定該公司下一代儲存技術方向</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>Pure Storage</strong></p> <p>● 總部：加州Mountain View市</p> <p>● 成立時間：2009年</p> <p>● 主要業務：全快閃儲存系統、資料儲存軟、硬體</p> <p>● 網址：<a href="http://www.purestorage.com">www.purestorage.com</a></p> <p>● 創辦人：John Colgrove、John Hayes</p> <p>● 執行長：Charles Giancarlo</p> <p>● 員工數：約2,800人（2019年）</p> <p>● 年營收：約13.6億美元（2018年）</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司大事記 </span></strong></p> <p>● 2009年：Pure Storage成立（前身為Os76）</p> <p>● 2012年：第一代FlashArray儲存陣列產品FA-300推出上市</p> <p>● 2014年：推出免停機的升級架構儲存產品Evergreen Storage</p> <p>● 2015年：在紐約證券交易所掛牌上市、在臺設立Pure Storage服務據點、推出搭配FlashArray儲存陣列的雲端管理平臺Pure1</p> <p>● 2016年：推出兼具物件與檔案存取的刀鋒式快閃儲存設備FlashBlade</p> <p>● 2018年：發表具備可擴充AI能力的基礎架構方案AIRI、收購雲端軟體定義儲存StorReduce、容器儲存即服務Pure Service Orchestrator正式問世</p> <p>● 2019年：推出資料保護平臺ObjectEngine、併購雲端和檔案軟體商Compuverde，強化混合雲架構的檔案處理能力</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p1zhu_tu_tu_dang_bian_hao_2019.4.jpg" width="960" height="420" alt="" title="Pure Storage全球技術長Alex McMullan　(圖片來源／Pure Storage)" /></div></div></div>
2019/6/14 09:00作者余至浩https://www.ithome.com.tw/people/131164
資料經濟新模式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/924-feng_mian_gu_shi_-1_open-960x420.jpg?itok=jpaG3A8o" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟GDPR、各國個資法越來越嚴格，也將資料權還給了個人。但企業營運、決策仍需要大量顧客資料、行為特徵。日本出現了第一個企業營業資料和顧客資料的B2B資料共享聯盟，甚至出現了多家個資情報銀行，個人可以自己決定，要將個資賣給哪家企業用</p> </div></div></div>
2019/6/14 09:00作者王宏仁https://www.ithome.com.tw/article/131168
ES6後的重要特性
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就歷史角度來說，先有JavaScript語言，才有了ECMA-262規範，或稱ECMAScript，而有了規範之後，JavaScript角色就成了實作語言之一，實際上，JavaScript是個商標，原屬於Sun，後來Oracle收購Sun之後，JavaScript商標權目前由Oracle擁有，為了迴避商標問題，也有不少人開始直接以ECMAScript，來指稱JavaScript這門實作，特別是在ECMAScript 2015之後，多半用ES6來表示，以彰顯這門語言的重大變更。</p> <p>ES6非常成功，開發者應對當中特性有不少認識，實際上，從ES7起，ECMAScript採取頻繁、持續每年釋出新版本的方式，而新版包含當年已完成的新特性，常青瀏覽器與Node.js都會緊跟，針對新特性完成實作。若要認識這些特性以善加利用，網路搜尋而來的文件常過於混亂，甚至是過時資訊，〈ECMA-262〉又過於冗長，因此，最快方式的是查閱TC39的〈ECMAScript proposals〉。</p> <p>ECMA之下，有許多技術委員會（Technical Committees）與任務群組（Task Groups），其中的TC39，就是負責ECMAScript規範的技術委員會，語言的提案處理程序在〈The TC39 Process〉中，可以看到五個階段，而只有TC39成員可以建立階段0稻草人（Strawperson），此時純粹就是構想，未正式在TC39進行討論。</p> <p>實務開發者比較感興趣的，應是進入階段3的提案，這時的提案，幾乎確定會是未來正式規範的一部份，只待規範的一些文件完成、審校與核可，各大常青瀏覽器與Node.js，通常在此時也提供實作。</p> <p>提案可能會在階段3停留許久，例如，作為動態載入模組的import()函式，就是一個例子（然而目前瀏覽器確實已經支援），只有在提案來到階段4時，才會成為下個版本ES正式規範的一部份。如果想確認特性真正是出現在哪個版本，我們可以查閱〈Finished Proposals〉，看看當中的預計發布年份。</p> <p>例如，對於先前專欄<a href="https://www.ithome.com.tw/voice/127056" target="_blank">〈ES6後的規則表示式〉</a>以及<a href="https://ithome.com.tw/voice/130817" target="_blank">〈ES9非同步迭代〉</a>中談到的新特性，〈Finished Proposals〉的預計發布年份都是2018，也就是出現在ES9中；另外，發布於2017年ES8的async/await等，都是ES6之後值得留意、環境允許下加以使用的重大特性；而2016年ES7其實還新增了個指數運算子**，在一些數學運算場合的使用上，還頗為方便。</p> <p>就撰寫本文的時間點而言，下個ECMAScript版本會是ES10，從〈Finished Proposals〉預計發布年份為2019的相關特性，我們可以看到，多半是API的增強，其中有個語法層面的catch變更，若捕捉後不需要操作error實例，catch將不強制宣告名稱了。</p> <p><span style="font-size:28px;"><strong>目前階段3中的類別提案</strong></span></p> <p>2019年Google I/O大會中，V8團隊在〈What’s new in JavaScript〉（<a href="https://bit.ly/30WnStc">https://bit.ly/30WnStc</a>），談到不少ECMAScript未來新特性，多半是處於階段4或3的提案（少數是階段2的特性），若想跟上ECMAScript提案最近狀態，不妨看看。</p> <p>特別吸引我的地方在於，一些類別語法的增強，JavaScript自始至終就是基於原型的物件導向語言，對於熟悉基於類別的物件導向語言開發者而言，在面對JavaScript中物件的特性、方法查找與新增等處理時，往往難以掌握，因此，ES6加入類別語法，雖不改變ECMAScript基於原型的特性，但確實為熟悉基於類別的語言開發者，提供操作原型的捷徑。</p> <p>不過想當然爾，對JavaScript來說，加入類別語法是個冒險的舉動，所以，ES6在新增類別語法時是極為保守的。例如，必須在constructor中初始特性值，這就造成：子類別定要在constructor中，以super呼叫父constructor來初始父類中的特性；不提供私有特性或方法，不能有私有的get、set函式；只能定義static方法、但不能定義static特性等。</p> <p>幸而ECMAScript在類別語法的導入算是成功的，目前處於階段3的提案中，我們可見到大膽增加不少針對類別語法的增強，像是：可以在類別本體中建立特性並初始當中的值，若要定義私有特性，只需要在特性名稱前加上#，例如：</p> <pre><strong>class Foo {</strong> <strong>#value = 0;</strong> <strong>get value() { return this.#value; }</strong></pre><p>不單是特性，方法或get、set函式，也可以在名稱前加上#而成為私有，對於真的打算在類別中實現私有性的開發者而言，這應該是個福音。若想要建立static特性，可以在類別本體撰寫static value = 0這類語法；static特性或方法若要成為私有，同樣地在名稱前加上#就可以了。</p> <p><span style="font-size:28px;"><strong>階段3的其他提案</strong></span></p> <p>除了類別語法增強，階段3其他提案值得留意的部分，還有全域物件的取得、新的基本型態bigint，以及數字分隔符。數字分隔符這個看似不起眼的特性，但對於「1000000000000」，可寫為1_000_000_000_000，絕對有助於閱讀程式碼。</p> <p>在不同環境中，想取得全域物件，往往有不同的方式，例如，在瀏覽器中使用window，在Node.js中使用global，有些情況下需用Function('return this')()。如果想提供一個getGlobal函式（〈What’s new in JavaScript〉中已談到），可透過該函式來取得全域物件，卻難以有完美的方案，而現在階段3有個globalThis，將作為未來取得全域物件的關鍵字。</p> <p>階段3為ECMAScript增加了新基本型態bigint，這提醒了許多ECMAScript開發者常忽略的事實：ECMAScript中的數字，都是IEEE 754標準64位元浮點數，若只用來表示整數，安全的整數範圍，由正到負為9007199254740991至-9007199254740991（在ES6中，可以用Number上的MAX_SAFE_INTEGER與MIN_SAFE_INTEGER來取得），但處理到9007199254740992時並不安全，因為，若寫下9007199254740993，結果還是代表著9007199254740992。</p> <p>這代表著，在安全整數範圍外的整數，都是不可信任的，若要處理範圍外的整數，須依賴第三方程式庫。在目前階段3有個BigInt提案，撰寫整數時若最後加上個n，表示會是個bigint基本型態，因此，若處理9007199254740992n與9007199254740993n或更大的bigint時，它們都是安全整數了。</p> <p>現有與數字相關的運算子，都可以套用在bigint，不過bigint有著嚴格的型態要求，只有同為bigint的兩數才能進行運算，因為1+1n這類的運算會引發TypeError。如果想將number轉為bigint，必須使用BigInt函式；若要將bigint轉為number，可以使用Number函式，當然，要轉回number時需要注意，是否位於安全整數範圍之內。</p> <p>與現有API結合使用時，因為這些API的內部實現中，多半會有與number做運算的流程，因而呼叫後可能會產生TypeError，例如Math.round(1n)就會發生錯誤，所以，未來這類API，想必要有針對bigint的版本。</p> <p><span style="font-size:28px;"><strong>不是只有ES6</strong></span></p> <p>ES6確實是個重大變更，然而，自2015年發布以來，也過了好多年，或許相對來說，瀏覽器環境難以控制，因此，後續ES7到ES9的特性，較少為開發者著墨，實在很可惜。</p> <p>確實地，開發要務實，相容性是必須考量，不過，每次打算運用新特性時，就祭出相容性這面大旗又太過保守。因此，我們仍應設法認識新特性，在相對容易受控的場合，或者有工具或修補（polyfill）可以協助轉換處理相容性時，若能善加利用新特性，對於開發而言，會有莫大的助益。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/javascript">JavaScript</a></div><div class="field-item odd"><a href="/tags/es6">ES6</a></div><div class="field-item even"><a href="/tags/es9">ES9</a></div><div class="field-item odd"><a href="/tags/%E8%A6%8F%E5%89%87%E8%A1%A8%E7%A4%BA%E5%BC%8F">規則表示式</a></div><div class="field-item even"><a href="/tags/%E9%9D%9E%E5%90%8C%E6%AD%A5%E8%BF%AD%E4%BB%A3">非同步迭代</a></div></div></div>
2019/6/14 09:00作者林信良https://www.ithome.com.tw/voice/131169
臉書發表新的市調App，付費蒐集用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年1月撤下<a href="https://www.ithome.com.tw/news/128556" target="_blank">惹來爭議的市調程式Facebook Research VPN</a>之後，臉書本周再度發表新的付費市調程式<a href="https://newsroom.fb.com/news/2019/06/study-from-facebook/" target="_blank">Study from Facebook</a>。</p> <p>有別於Facebook Research VPN徵召13到35歲的用戶，而且監控用戶手機上的所有流量，<a href="https://techcrunch.com/2019/06/11/study-from-facebook/" target="_blank">Study from Facebook</a>只接受18歲以上的用戶參與，也列出了蒐集資訊的範圍。</p> <p>當使用者取得參加臉書市調的資格並下載Study from Facebook程式之後，臉書將會蒐集安裝在手機上的所有程式，參與者在這些程式上所消磨的時間，參與者的國別、裝置及網路類型，以及參與者正在使用的程式名稱與功能。</p> <p>臉書表示，市場調查可讓企業建置更符合使用者需求的產品，Study from Facebook是個以獎勵為基礎的市場研究計畫，代表所有的參與者都會得到補償，目前僅在美國及印度市場推出。臉書並未公布Study from Facebook的補償金額，但參與Facebook Research VPN的使用者每月可得到20美元。</p> <p>此外，臉書亦強調Study from Facebook將不會蒐集使用者的身分資料、密碼，或是照片、影片與訊息，也不會把相關調查資料出售給第三方或將它們用來進行目標廣告。</p> <p>看來Study from Facebook已經解決了之前Facebook Research VPN所惹出的爭議，包括Facebook Research VPN是透過蘋果專門替企業內部使用所打造的Enterprise Developer Certificate來發行，違反了蘋果的政策，或者是它徵求未成年人的參與，再加上它不僅可紀錄手機上的程式，還能解密流量，甚至要求使用者拍下Amazon訂單紀錄並回傳。</p> <p>只是有媒體戲稱，不管是Facebook Research VPN或Study from Facebook都是在鼓勵使用者出賣自己的隱私。</p> </div></div></div>
2019/6/13 17:05作者陳曉莉https://www.ithome.com.tw/news/131264
微軟釋出ML.NET 1.1，加入異常偵測演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由微軟研究院開發的機器學習框架ML.NET，在今年Build大會中推出了1.0正式版，現在<a href="https://devblogs.microsoft.com/dotnet/announcing-ml-net-1-1-and-model-builder-updates-machine-learning-for-net/">微軟再次更新框架提供的演算法推出ML.NET 1.1</a>，同時也更新了仍在預覽階段的ML.NET模型建置工具（Model Builder），新增問題分類樣板以及改進模型建置各步驟功能。</p> <p>ML.NET提供.NET開發人員簡單且熟悉的機器學習開發工具，以在應用程式中加入自定義的機器學習模型，建立情感分析、推薦以及圖像分類等應用。微軟在ML.NET 1.0中加入自動化機器學習AutoML功能，能自動決定使用於資料的演算法，幫助開發者快速建立機器學習模型。</p> <p>微軟在ML.NET 1.1中，為IDataview加入支援記憶體圖像類型，而IDataView是.NET生態系統各函式庫共享的類型。在之前的ML.NET版本中，當開發者在模型中處理圖像時，像是以TensorFlow或是ONNX模型為圖像評分時，開發者需要指定磁碟中的路徑，從檔案中載入圖像，但在ML.NET 1.1中，開發者可以使用記憶體中的圖像，並直接進行處理。</p> <p>Azure異常偵測團隊為ML.NET的時間序列NuGet套件，貢獻了一個名為SrCnnAnomalyDetection的異常偵測演算法，這個仍在預覽階段的演算法，使用了超高解析度的深度卷積網路，讓開發者應用來偵測各種異常事件，特別的是，這個演算不需要任何事先的訓練，可以開箱即用。另外，時間序列NuGet套件中，還提供全新的時間序列預測元件，讓開發者可以實作基於奇譜分析（Singular Spectrum Analysis，SSA）的時間序列預測分析模型，目前也正在預覽階段。</p> <p>而在ML.NET 1.0加入的模型建置工具，能夠為開發者在Visual Studio中，提供視覺化介面建置、訓練和客製化自定義機器學習模型，並支援自動化人工智慧功能，自動探索資料適用的機器學習演算法和設定。微軟持續更新這個模型建置工具，在ML.NET 1.1版本中，增加了新的問題分類樣板，讓開發者可以分類表格資料，其使用多重分類法，可以將資料分成三個以上的類別，適合的情境像是電子郵件分類或是GitHub問題等。</p> </div></div></div>
2019/6/13 17:10作者李建興https://www.ithome.com.tw/news/131265
全新Dropbox桌面應用程式能統一管理雲端平臺內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.dropbox.com/topics/product-tips/new-dropbox">Dropbox推出了全新的桌面應用程式</a>，連接各種雲端內容以及工具，讓用戶可以直接在應用程式中編輯Google Drive試算表，也能將檔案分享到Slack上。官方也強化了協作功能，使用者可以直接在Dropbox應用程式內，對檔案和資料夾下評論與註解。</p> <p>Dropbox新應用程式的設計概念，是為使用者連接各種內容、工具以及人們。使用者現在可以直接在Dropbox中創建、存取和共享雲端檔案，支援的平臺包含Google以及微軟，讓使用者可以進行創建Google簡報或是Office Word文件等操作。</p> <p class="rtecenter"><img alt="" src="https://aem.dropbox.com/cms/content/dam/dropbox/blog/files/2019/06/new-dropbox-google-sheets.gif" style="width: 600px;" /></p> <p>而且Dropbox不只可以儲存檔案，也能綜合管理傳統檔案跟雲端內容，使用者還能在Dropbox創建網頁捷徑，將維基百科的頁面以及新聞等任何網站捷徑儲存在Dropbox上。另外，使用者除了可以使用Windows和MacOS中的搜尋功能，尋找Dropbox資料夾中的檔案之外，現在Dropbox也提供了跨本機和雲端的統一搜尋功能，用戶可以用來搜尋傳統的檔案、雲端內容、捷徑，以及未下載到本機的檔案。</p> <p>除了與Salesforce、Adobe和Autodesk等服務整合，Dropbox新版開始支援Slack、Zoom和Atlassian。使用者可以直接在Dropbox中開啟Slack對話，無縫的將內容分享到Slack上。在支援視訊會議工作方面，使用者可以將Zoom以及日曆連接到Dropbox中，並在Zoom會議對話中分享Dropbox文件。官方也預告，使用者將能在Dropbox上，使用Atlassian工具管理專案。</p> <p>官方也強化了Dropbox協作功能，使用者可以在資料夾加入說明註解，而且也能對檔案直接進行評論。資料夾中上方的工作區域，可以用來羅列待辦事項，或是釘選重要的內容，並標記相關人士。共享工作的檔案活動，現在也更加透明清楚，新版Dropbox提供了活動瀏覽器，會列出團隊協作檔案的最新狀況，包括在Slack以及Zoom上的活動。</p> <p class="rtecenter"><img alt="" src="https://aem.dropbox.com/cms/content/dam/dropbox/blog/files/2019/06/new-dropbox-folder.gif" style="width: 600px;" /></p> </div></div></div>
2019/6/13 16:00作者李建興https://www.ithome.com.tw/news/131259