iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 129篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 20:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

美國太空總署遭駭調查：駭客以Raspberry Pi作為跳板滲透NASA網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國太空總署（NASA）內部的監察長辦公室（Office of Inspector General，OIG），近日公布了NASA旗下噴氣推進實驗室（Jet Propulsion Laboratory，JPL）在2018年4月<a href="http://fortune.com/2019/06/20/hackers-raspberry-pi-computer-nasa/" target="_blank">被駭客入侵</a>，並盜走500MB重要資料的<a href="https://oig.nasa.gov/docs/IG-19-022.pdf" target="_blank">資安事件調查報告</a>，<a href="https://www.engadget.com/2019/06/20/nasa-jpl-cybersecurity-weaknesses/" target="_blank">指出</a>駭客是以一個Raspberry Pi裝置作為跳板，才得以進入該實驗室的網路。</p> <p>這個Raspberry Pi裝置應是該實驗室的人員把它連上JPL網路的，卻不巧替駭客助攻。這件事理應被禁止，因為任何要連上JPL的裝置都必須經過該實驗室資訊長的審核與批准。</p> <p>OIG進一步發現JPL的IT安全控制系統有許多缺失，例如它使用資訊科技安全資料庫（ITSDB）來追蹤及管理其網路上的硬體資產與應用程式，但該資料庫上的資產清單既不完整也不安全，而讓JPL無法有效地監控、舉報或回應安全意外。</p> <p>此外，用來控制特定任務的合作夥伴存取共享環境的JPL網路閘道機制，也沒有適當地發揮隔離的效用，無法確保這些使用者只能存取有權存取的系統與應用程式。</p> <p>根據調查，JPL的系統管理員並未在每次新增裝置時就將它輸入ITSDB，其中一個系統管理員坦承，他並沒有按照規定定期將新裝置輸入ITSDB，因為該資料庫的更新機制有時會出問題，然後後來他就忘了。</p> <p>資訊長會負責審核ITSDB上新增的裝置，但若未根本未被紀錄，JPL網路上就會出現許多幽靈裝置，例如遭到駭客利用的Raspberry Pi。</p> <p>藉由Raspberry Pi入侵JPL網路的駭客，在該網路上遊蕩了10個月而未被發現，總計自23個檔案中竊取了500MB的資料，其中有兩個檔案內含火星科學實驗室的《國際武器貿易條例》（International Traffic in Arms Regulations）資訊。</p> <p>此外，駭客還成功進入了3個JPL網路中的兩個，迫使NASA切斷許多與太空飛行有關的系統及JPL網路之間的連結，以保全深太空網路（Deep Space Network）資料的完整性。</p> </div></div></div>
2019/6/24 10:45作者陳曉莉https://www.ithome.com.tw/news/131423
北美最大信用合作社遭員工外洩290萬名會員資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於加拿大的北美地區最大信用合作社<a href="https://www.desjardins.com/ca/personal-information/index.jsp" target="_blank">Desjardins對外透露</a>，該公司有290萬名會員資料已<a href="https://www.cbc.ca/news/canada/montreal/desjardins-data-breach-1.5183297" target="_blank">遭外洩</a>，包含個人會員與企業會員。<a href="https://www.bleepingcomputer.com/news/security/desjardins-group-data-leak-exposes-info-of-29-million-members/" target="_blank">此次的外洩事件</a>並非由於網路攻擊，而是一名員工的惡意行為，Desjardins已開除了該員工。</p> <p>Desjardins是去年12月在加拿大拉瓦爾市警方的通知下，才知道會員資料已流落在外，進而與警方聯手展開調查，最後才發現是有一名員工擅自盜走了資料。</p> <p>自Desjardins外洩的資料涉及270萬名個人會員及17.3萬家企業會員，約佔Desjardins會員總數的4成。當中，外洩的個人會員資料包括姓名、生日、社會安全碼、地址、電話號碼、電子郵件帳號、金融習慣，以及所使用的Desjardins服務。</p> <p>外洩的企業會員資料則有企業名稱、企業地址、企業電話號碼、所有人姓名及其金融管理工具AccèsD Affaires的帳號等。</p> <p>不過，Desjardins強調會員的密碼、安全問題、PIN碼或金融卡號碼並未遭到外洩。</p> <p>Desjardins表示，這名員工背叛了雇主對他的信任，已予以開除。至於受到影響的會員則可獲得一年免費的信用監測服務，且在這幾個月以來尚未發現任何相關的詐欺案件。</p> </div></div></div>
2019/6/24 10:55作者陳曉莉https://www.ithome.com.tw/news/131427
【許世杰觀點】從臉書Libra的誕生看網路支付工具的演進與區塊鏈代幣的未來
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/guest-post/131426"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/qu_kuai_lian_yu_zhi_fu_tu_pian_lai_yuan_xu_shi_jie_.jpg?itok=tTzBZH8l" width="960" height="420" alt="" /></a></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-inline clearfix"><div class="field-label">圖片來源: </div><div class="field-items"><div class="field-item even">許世杰</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Facebook已經是一個跨國運行的社群媒體巨人。不過才十年的時間，有大量創新的商業模式與經濟活動不斷的在這個龐大的社群媒體平台上發生。但畢竟所有的資訊流動與商業模式，最後都要以「價值的儲存記錄與交換」來做為結尾，而這卻是Facebook一直沒有辦法插手的地方。</p> <p>所以，Facebook這麼多年來一直想要推出一種真正在Internet 上誕生與運行的，跟Internet 一樣沒有國界限制的，與智慧型手機一樣方便的，並且不受現有全球金融基礎建設羈絆的「支付工具」。這個支付工具不是只能用來交易Facebook上的數位服務，還應該可以支持電子商務，甚至是支持OMO 線下零售的各種創新應用。</p> <p>要實現這樣的願境，過去常用的幾種數位化支付方式，是遠遠不夠的。例如，類似線上遊戲公司點數的作法，Facebook也曾經短暫實驗了 Facebookcredit ，但很快就終止了。因為這樣的作法很難進行跨公司跨業的交換，也因此很難大規模延伸到線下的使用場景。又例如而 Paypal 或 Stripe 模式的作法，則有高度倚賴現有的銀行帳號或信用卡帳號的限制，在很多第三世界國家難以實現。至於WeChat 模式的方式更是有問題，因為這種完全依賴單一App 來做為支付媒介的方式，雖然在中國有效的替代了線下零售場景中的小額現金支付，但出了中國卻是完全行不通的。這也正是為什麼Facebook即使擁有比Wechat 規模還大的Messenger 與 WhatsApp ，卻不會像Line 一樣想去推出一個 WeChat 模式的支付錢包。</p> <h3><span style="color:#0000FF;"><strong>網路支付工具的核心挑戰</strong></span></h3> <p>更重要的，上述三種類型的網路支付，如果要放大到Facebook這種有數十億用戶的規模，會涉及要在單一公司儲存與管理大量暫存資金的問題。就各國金融監理機構的立場，為了避免系統性風險的出現，自然會希望加入許多的限制。例如，會希望以準銀行，甚至銀行的標準來看待這樣的支付機構。然而，這些重重的限制，其實也會扼殺一個好的網路支付工具所需要的「經濟規模」與「創新空間」。</p> <p>台灣的電子支付機構管理條例，就是最好的例子。當初花了三年的時間，在各方人馬呼籲，質疑，爭論，妥協之下的產物，結果是：所有依照這個條例申請設立的公司，二年多下來沒有一家能夠在市場上賺錢與擴大，更別說透過電子支付產業的蓬勃發展，支持與帶動更多的產業創新。</p> <p>綜合來說，<strong>不同立場與角度下，對網路支付工具有三個面向的需求</strong></p> <p>●消費者希望：申請容易，使用方便簡易，允許匿名，可以智慧型手機作或未來任何聯網裝置作為載具。</p> <p>●商家希望：開放多元，不依賴單一錢包，交易安全，操作簡易，而且低手續費。</p> <p>●政府希望：監理透明，降低集中度，不會因為單一個人，或單一公司的失誤，造成系統性的崩解與消費者權益的損害。</p> <p>在過去，這三個要素要一起實現幾乎是不可能的。但近五年來，區塊鏈技術與比特幣社會實驗的成功，為網路原生支付工具的未來發展帶來了全新的視野，也進一步引發了LIbra 這個以區塊鏈技術為基礎的「網路原生支付代幣」的誕生。</p> <h3><span style="color:#0000FF;"><strong>節點來源與數量：以區塊鏈建構支付平台的核心議題</strong></span></h3> <p>雖然本文假設讀者對區塊鏈已經有初步的認識，但既然Libra 是基於區塊鏈技術的支付型代幣。我們還是得先說明一下：到底以傳統資料庫來實施網路支付工具，和用區塊鏈技術來實施網路支付工具，最主要的不同是什麼？</p> <p>簡單的說，傳統的網路支付工具，只需要單一的資料庫就可以記錄每個帳號的餘額，以及買賣雙方的交易記錄。而區塊鏈則採用所謂「去中心化」或稱「分散式」的作法，將所有的帳戶餘額與交易記錄，重複存放在分布在世界各地的獨立服務器（稱為「節點」）所構成的網路來實現。</p> <p>正因為每個節點是獨立運作的，所以這些節點上面的資訊，理論上不可能完全一致。所以，以區塊鏈來建立支付系統的核心技術問題就是：如何讓這些獨立的節點一起判斷一筆交易是否有效？這也就是所謂「節點共識問題」：如果節點們對於某筆交易的有效性可達成多數決共識，就是一筆有效的交易。反之則否。</p> <p>達成共識所需的時間則與節點數量有關。這很像民主制度，參與決策的節點數量越多，弊端發生的機會越小，但達成共識所需的時間也越久。</p> <p>由於LIbra 是為了支付而設計，需要大規模滿足各種線上與線下的零售支付場景，這點很類似以往對國際信用卡系統的要求：每筆交易的處理時間必須以在十秒以內，而整個系統每秒鐘起碼要有同時處理一千筆交易的效能，應該是起碼的門檻。但是，目前絕大多數的區塊鏈平台是作不到的。</p> <p>關鍵在於目前為止已知的共識機制，如果參與驗證的節點數量太多，大概就很難達成這樣的效能要求。但是，節點數量如果太少，雖然效能可以更好，但就可能發生聯合作弊，或者被駭客攻擊或綁架的情況，也就失去了使用區塊鏈技術的意義。</p> <h3><span style="color:#0000FF;"><strong>Libra 最大的不同</strong></span></h3> <p>除了透過減少節點，並採用BFT 共識機制來來提高效能外，Libra 與Bitcoin 或 Ethereum 這種第一代的加密貨幣的最大不同在於：它能夠同時對多個主要的法定貨幣保持穩定的兌換匯率。</p> <p>因為Libra的設計從一開始就是以支付為目的，所以價值當然必須是穩定的。提供穩定價值的第一個條件，就是為每個被賣出的代幣，提供與購買價錢完全足額的價值擔保。但是，由於這些擔保用的資產，本身還是會有價值波動，所以Libra 除了現金存款外，也會混和多種幣別的短期低收益政府債券來實施。</p> <p>除了足額擔保之外，為了避免人為炒作代幣的價錢，造成代幣價格的波動，反過來不利於代幣在零售支付場景的使用。所以Libra 代幣的發行並沒有所謂的貨幣政策。簡單的說，就是發行量完全沒有限制。有多少人想買，就發行多少。正因為是足額擔保，所以無發行量限制也不會造成代幣貶值或者擠兌的危險。更重要的，一個沒有發行量限制的代幣，自然不會有人為的外部因素來操作或干擾價格。</p> <p>然而，問題來了，消費者要如何相信LIbra 代幣的發行者，會把消費者購買代幣時所支付的法幣，全數轉為對應的擔保資產，並且小心的管理它。</p> <h3><span style="color:#0000FF;"><strong>Libra Association 的角色</strong></span></h3> <p>Facebook對這個可能的質疑的解答，就是把 Libra 開源並送給一個非營利組織（叫Libra Association）來管理與營運，讓Libra Core 成為一種「許可制的公有鏈」。facebook還邀集了知名網路公司，創投，國際發卡組織，支付公司，非營利組織，甚至知名學府來成為Libra Association的創始會員。換句話說，Libra 找來這些知名的公司或機構，來集體為Libra 的「價值儲備」的有效性作背書保證。</p> <p>另一方面，這些創始會員剛好也同時成為Libra 所需的驗證節點。由於前面提到的效能上的理由，Libra 的驗證節點目前很難超過100個，所以Libra Association的創始會員在開始正式營運前，最多也只會有100家公司或法人機構。</p> <p>但正因為能參與的人少，所以Facebook也為Libra Association的創始會員資格，定下了很高的門檻。除了要有些錢外（一千萬美金會費，另外要自行負擔節點的建置與運作成本），還得有在所屬領域有足夠的代表性，聲譽，及影響力。例如，學術機構也可以成為創始會員，但台灣也只有台大能合乎門檻資格。</p> <p>簡單的說，Libra 由半開放式的基金會的成員來同時負責<strong>「代幣價值儲備的監督與執行」</strong>以及<strong>「可靠且無惡意的驗證節點」</strong>這兩件對「支付型代幣」而言最重要的工作。</p> <h3><span style="color:#0000FF;"><strong>跨國運行的多幣別穩定代幣</strong></span></h3> <p>Libra 不是「貨幣」也不是「虛擬貨幣」，甚至連準貨幣都談不上。因為它不像Bitcoin 或 Ethereum 獨立於現有任何法幣的發行基礎之外，而是完全要由使用者以原本國家發行的法幣來購買。所以說，它就只是「代幣」。使用者想買多少，就發行多少，也儲備多少。換句話說，不論Libra 的發行規模有多大，它都還是依賴法幣在運作，當然也不可能有取代法幣的能耐。</p> <p>講到這裡，我們不難發現，Libra 與先前我所介紹的「品牌代幣」幾乎完全是同一件事。（請參考<a href="https://www.facebook.com/notes/%E8%A8%B1%E4%B8%96%E6%9D%B0/%E5%8D%80%E5%A1%8A%E9%8F%88%E8%88%87brand-currency/10157769092660769/">區塊鏈與Brand Currency</a>）只是規模更大，而且還是跨國多幣別運行，所以無法依賴單一品牌公司的信譽來贏得消費者的信賴。而跨國運行的特性，則是 Libra 最大的亮點，</p> <p>舉例來說，假設某個第三世界國家的商人，用當地的100萬買入了Libra 。但幾個月後，該國的法幣因為金融危機大跌。這時候，因為跨國運行的特性，這個商人手上的 Libra 反而是保值的。這種特性，會讓Libra 在不少國家受到歡迎。因為持有 Libra 可以像持有當地法幣般，享有在日常生活中使用的便利，又可以享有持有強勢貨幣如美元的好處。對經常在多個國家從事跨國電子商務的用戶而言，直接持有Libra 也比混和持有本國貨幣與多個外幣便利。除了日常生活可用外，跨境交易也可以用，還可以減少在本國貨幣與外幣之間的頻繁兌換所造成的手續費損失。</p> <h3><span style="color:#0000FF;"><strong>潛在的危機：隱私與反洗錢的兩難</strong></span></h3> <p>但是，這種跨國使用零阻力的便利，也可能是 Libra 短期內最大的潛在危機。因為這踩到了不少國家的紅線。如同前面所說的，由於 Libra 不是貨幣，所以各國政府從財政與總體經濟面沒有反對Libra 的理由。但是，影響各國政府對跨國匯款的管理，尤其是影響反洗錢，則很有可能是某些國家（例如台灣）對 Libra 會持有戒心的主要原因。</p> <p>由於Libra 繼承了區塊鏈開放與開源的特性，消費者只要有帳號的連結網址，私鑰，與交易密碼，不見得需要透過Facebook旗下相關的 App 帳號也可以使用 Libra 代幣。這意味著消費者其實是可以匿名來使用已經購買的 Libra 代幣。然而，因為Libra 可以在甲地購買，跨國移轉到乙地，然後再兌換回乙地的法幣，而且整個程序幾乎可以在一分鐘內完成。如果允許匿名帳號來進行法幣的買賣，那麼目前傳統銀行所做的反洗錢措施，根本就完全失效。</p> <p>魚與熊掌兼顧的方式，就是限制購買或者兌換回法幣時，需要是實名制，而且只能透過授權的交易所進行。如此一來，與隱私有關的個資只會留在交易所，而平常的流動則可以是匿名的。只要交易所有做好個資的管理與保護，並且配合金融監理機關做好異常交易的監控，那其實是可以兼顧消費者隱私，與反恐反洗錢的要求。</p> <h3><span style="color:#0000FF;"><strong>智慧合約：零售與電商創新的新戰場</strong></span></h3> <p>回到文章的一開頭，我們提到了 Facebook的野心是去打造一個網路原生的，數位原生的，低手續費的，而且更利於商務創新的金融支付平台。而開啟創新之門的鑰匙，則是Move 這個為Libra打造的全新程式語言。</p> <p>如果說Libra Coin 代表了未來一種可跨國運作，有足額擔保的數位資產；那麼Move 就是用來描述這些數位資產如何進行交易的遊戲規則，也就是一般常說的智慧合約。二者加起來，就可以同時解決了所有的交易都會面臨的「成本」，「安全」，「效能」與「彈性」這四大問題。這對於許多勇於創新的新興品牌或小型電商而言，是非常有利的。</p> <p>也正因為有太多人會期待從 Libra 打造的全新基礎建設，去展開新的創新服務與新的遊戲規則，所以，我們很難預期 Libra 會得不到支持。既有的業者就像賽局理論上的囚犯，要不要加入這個戰場是兩難的選擇。</p> <h3><span style="color:#0000FF;"><strong>對區塊鏈產業的影響</strong></span></h3> <p>Libra 的出現對區塊鏈產業而言，有兩個面向的影響。</p> <p>對於原有「幣圈」的業者，尤其是眾多把「支付代幣」與「投資代幣」混為一談的ICO 而言，Libra 的出現無疑是正式宣告他們的死亡。其實，多數的ICO 把類似股票，公司債，和提貨券的概念混在同一個代幣機制去表達，原本就是非常有問題的設計。任何一個有起碼財務會計專業的經理人都知道，公司的可用資金應該有長期與短期的分別。最長期的是股東投資的「股本」，其次是借來的「公司債」，最短的是跟客戶的「預收貨款」。而任何一個認真營運的公司，都不會主動把這三種資金混和在一個籃子裡，除非一開始就有不良的企圖。但多數的ICO 代幣的設計，卻同時是個投資憑證，也是個提貨憑證。<u>這意味著，公司的ICO 越成功，財務的結構越不健康，代幣持有者也會越沒有保障。</u>當然，在瘋狂的金錢遊戲下，質疑的聲量會被淹沒。而當市場上充斥著一開始就意圖不良的代幣，正派的經營者就只好先迴避這個市場，而劣幣驅逐良幣的結果，也讓區塊鏈代幣快要與詐騙畫上等號。</p> <p>Libra 的出現可以有望讓「品牌代幣/支付型代幣」的概念，快速回到主流，並讓區塊鏈的應用進入良性競爭的循環。這對於一些致力於新型高效能公鏈平台研發的「鏈圈」業者而言，會是天上掉下來的利多。因為一定會有許多大型的通路品牌或者網路平台，一方面認同Libra 的概念，但又不願意加入Libra 的陣營。而自己又太過「傳產」，沒有足夠的科技能力。所以只好尋求與既有公鏈平台的策略合作，利用已經存在的公鏈平台，快速發行自己的支付型品牌代幣。</p> <p>所以，不論Libra 到底能多成功，這隻重量級的鯰魚所能引起的效應，已經是無庸置疑了。</p> <h3><span style="color:#0000FF;"><strong>One More Thing...</strong></span></h3> <p>講完了嗎? 不，故事才正要開始</p> <p>嚴格來說，到目前為止，包括 Libra 在內的各種「品牌代幣」應用，都還是「P2P掃碼轉帳」，而不是「營業場所支付」。就抽象的金流而言，這兩者沒有什麼不同。但對零售服務業的現場管理而言，這兩者是天差地遠。因為在人員繁雜與工作忙碌的營業現場，店員或工讀生不可能拿著公司或老闆的手機，來做為「即時確認」的工具。而如果各種POS 要和越來越多的品牌代幣整合，也會是很大的工程。而這也是像 TaiwanPay 這種低費率的轉帳支付工具，一直無法有效推展的原因。</p> <p>所以，小型商店或微型攤販，需要有輕量化的設備來與代幣支付的平台結合，讓不管是工讀生還是老阿公阿嬤，都不用訓練即可使用。而連鎖品牌的POS 則需要有簡便而且可規模化的系統整合方式，才有辦法全面性的收取代幣支付。至於方興未艾的各種販賣機與無人服務設備，則更需要有兼具彈性與成本的IOT模組，來做為依舊快速演進中的機器設備與各種代幣支付平台之間的橋樑。當Facebook的 Libra 帶動其他或競爭或合作的品牌代幣，快速推向全世界十幾個市場與二十幾億人口時，也就代表了無比龐大的市場機會。</p> <p>對於本來就擅長硬體，擅長國際貿易，也有足夠的軟體研發能力，只是不善常定義價值主張的台灣系統廠商而言，這些市場規模有數千萬台，甚至上億台的各種Edge Intelligent 末端設備，這當然更是千載難逢的新大陸</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%B1%E4%B8%96%E6%9D%B0%E5%89%96%E6%9E%90%E5%8D%80%E5%A1%8A%E9%8F%88%E6%94%AF%E4%BB%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20%E8%A8%B1%E4%B8%96%E6%9D%B0.jpg" /></p> <p>Using IOT and BlockChain to Implement Intelligent Retailing 是這張圖的標題，也是2019/6/27號我即將在上海財經大學主辦的「第五屆亞洲數字金融創新大會」其中一場的演講主題。這張圖我其實改了好幾年，這場演講後面的思維也準備了半年以上。就在出發前夕，Libra 的白皮書完全呼應我本來的看法，所以剛好用這篇文章與這張圖，代表過去五年的總結，同時也作為下個五年的起點。</p> <p>我們已經登上灘頭，但這片新大陸太大了，需要更多好手，要一起來拓展你的新領地了嗎？</p> </div></div></div>
2019/6/24 11:00作者許世杰https://www.ithome.com.tw/guest-post/131426
微軟釋出新Azure認知服務，開發者也可在App加入沈浸式閱讀功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/introducing-next-generation-reading-with-immersive-reader-a-new-azure-cognitive-service/">微軟推出Immersive Reader功能預覽</a>，開發者現在可以為應用程式更簡單地提供沈浸式閱讀功能，以多種形式幫助讀者了解文字的內容。Immersive Reader是一項Azure認知服務中語言類別的新服務，供開發者以API的方式嵌入在應用程式中，可以為使用者朗讀文字，或將文字翻譯成另一種語言的語音，也能突出顯示需要專注閱讀的文行，以強化使用者文字閱讀與理解。</p> <p>雖然識讀是一般人常用來吸收知識的方法之一，但是對於患有閱讀障礙、注意力不足過動症（ADHD）甚至視障人士等，皆難以透過閱讀獲取知識，又或是非母語人士，也可能在閱讀文本上充滿障礙，而微軟推出Immersive Reader功能，就是要以科技的方式，幫助上述人士克服這些問題。</p> <p>開發者不需要機器學習的專業知識，只要透過呼叫API的方式，就能使用Immersive Reader這項人工智慧服務，該服務主要特色是可以大聲的朗讀文本、翻譯，將書本中文字裡的知識，轉為語音的形式讓用戶吸收，也能以視覺效果幫助用戶集中注意力。</p> <p>而對使用者來說，Immersive Reader為全年齡以及各種能力的使用者，提供全面的閱讀增強體驗，使用者能夠透過Immersive Reader聽取應用程式中文本的語音，或將文字翻譯成特定的語言語音，也能在螢幕上重點標示特定文行以聚焦閱讀，還能以視覺化的方式描繪使用者圈選的字，以提供多感官學習。</p> <p>微軟在其18種應用程式，包括學習工具、Word以及Outlook等，原本就有提供沈浸式閱讀功能，而現在進一步以雲端服務的方式對外開放，支援全球超過60種語言。目前Immersive Reader預覽版免費對外提供，將在正式版公告定價。</p> </div></div></div>
2019/6/24 11:05作者李建興https://www.ithome.com.tw/news/131418
佛州Riviera Beach市遭勒索軟體攻擊，市議會表決同意支付60萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，美國佛羅里達州一個只有3.4萬個居民的小城市Riviera Beach在今年5月29日<a href="http://www.rivierabch.com/news/?FeedID=604" target="_blank">感染了勒索軟體</a>，該市的市議會在6月19日投票表決，<a href="https://apnews.com/0762caec21874fc09741abbdec0f78ab" target="_blank">決定支付65個比特幣（約63萬美元）的贖金予駭客</a>。</p> <p>此一意外源自於一名Riviera Beach市政府的員工開啟了電子郵件中所夾帶的惡意檔案，引狼入室的結果是勒索軟體加密了該市電腦系統上的重要檔案，造成該市的電子郵件系統完全無法使用，911的調度員無法將來電輸入電腦系統，連支付薪水給員工或承包商都只能開支票，而無法透過電腦轉帳。</p> <p>Riviera Beach市的發言人向美聯社透露，在發現感染勒索軟體之後，該市旋即向外部的資安顧問求救，而這些資安顧問都建議他們支付贖金。雖然他們也考慮到就算付了贖金也可能尋不回檔案，但目前看來別無選擇。</p> <p>不過，Riviera Beach市選擇支付贖金的原因之一，可能也包括該市的保險大約能承擔30萬美元。</p> <p>然而，不少資安專家卻認為Riviera Beach市的作法可能造成無法估計的後果，等同於鼓勵駭客鎖定那些重度仰賴電腦科技，卻缺乏相對應安全基礎設施的小型城市展開攻擊。事實上，仰賴科技的全球城市愈來愈多，但大多數都未具備足夠的網路安全知識或能力。</p> <p>勒索軟體攻擊對於安全資源不足的地方政府而言無疑是個兩難的議題。例如位於美國馬里蘭州、擁有60萬人口的巴爾的摩市（Baltimore City），在遭到勒索軟體攻擊之後，拒絕支付13個比特幣（約12萬美元）的勒索金額，但估計<a href="https://www.ithome.com.tw/news/131140" target="_blank">後續的清除與復原工程成本高達1,800萬美元</a>。</p> <p>根據FBI網路犯罪投資中心（IC3）在《2018年網路犯罪報告》（2018 Internet Crime Report ）中的統計，去年總計收到1,493起遭勒索軟體攻擊的投訴，損失金額為362萬美元，但此一損失的估計非常保守，並未計算商業、設備、薪資、檔案或緩解的損失成本，也有些受害者並未填寫損失金額。</p> </div></div></div>
2019/6/24 09:50作者陳曉莉https://www.ithome.com.tw/news/131422
程式碼託管服務Bitbucket為何選擇使用Rust開發專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式碼託管服務Bitbucket正在開發可處理來自各種感測器資料的裝置，並透過網頁以及行動應用程式，提供即時分析與智慧功能，而<a href="https://bitbucket.org/blog/why-rust">由Mozilla開發的開源系統程式語言Rust，成了Bitbucket的選擇</a>，雖然Rust的學習曲線不低，但是其記憶體安全的特性，以及不輸C++的效能，因此成為了Bitbucket的選擇。</p> <p>Bitbucket從效能、並行運算以及記憶體安全三方面來評估採用的程式語言。Bitbucket提到，要跨程式語言比較執行效能，通常是一件困難的工作，因為程式的效能跟開發人員選擇的演算法以及資料結構有很大的關係，因此通常很難比較，Bitbucket引用各語言比較基準（下圖），這跟普遍開發者的認知相符，Rust的效能表現與C++非常接近，並且比其他像是Lua或Python使用直譯器或是基於JIT的語言，執行效能好上許多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-06-21%20%E4%B8%8B%E5%8D%884_29_03.png" style="width: 600px;" /></p> <p>由於Bitbucket的裝置需要即時處理來自多個感測器的資料，因此程式的並行處理能力非常重要。Bitbucket使用的硬體裝置有4個核心，因此為了要充分使用CPU核心，程式語言本身必須支援多執行緒，而Rust內建對多執行緒的支援，其變數的所有權（Ownership）以及借出（Borrowing）規則，可以幫助開發者撰寫安全的並行運算程式碼。</p> <p>Bitbucket也強調了Rust的記憶體安全的重要性。雖然動態類型語言，提供開發者很大的靈活性，但是代價就是存在許多潛在錯誤，同時也犧牲了效能，靜態類型語言則比動態類型語更安全，在開發階段，開發者就能發現大部分的錯誤，編譯過的程式碼執行起來也會快上許多，而Rust的安全性更是超越其他靜態語言，Rust編譯器會嚴格檢查每個變數以及參照的記憶體位置，避免資料競爭以及未定義的行為。Bitbucket提到，Rust能夠避免所有並行以及記憶體安全的漏洞，記憶體安全是Rust的一大賣點。</p> <p>雖然Rust安全，但是其所有權以及借出的概念，也讓Rust比起Lua或Python更難以學習，但比起C++需要手動管理記憶體，Rust又提供了更多的功能以及抽象記憶體管理，讓Rust更像是高級的程式語言，Bitbucket因此認為，要開發低占用系統資源的高效能系統，比起C/C++，Rust是相對容易使用，而且沒有數十年技術債的最佳選擇。</p> </div></div></div>
2019/6/24 10:00作者李建興https://www.ithome.com.tw/news/131412
Stripe開源Ruby類型檢查工具Sorbet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由線上支付服務Stripe打造的程式語言<a href="https://sorbet.org/blog/2019/06/20/open-sourcing-sorbet">Ruby的類型檢查工具Sorbet，現在宣布開源</a>。由於Stripe中絕大多數的程式碼都是由Ruby撰寫而成，因此為了檢測程式碼中存在的類型不一致問題，造成潛在的安全性風險，歷經一年半開發了Sorbet，現在結束實驗階段並正式對外開源。</p> <p>開發者會在程式中定義變數的類型，以及函式回傳的類型，而在很多時候，開發者會撰寫出不連貫的程式碼，像是在字串類型變數使用Map方法，這樣的情況會讓程式發生異常，而在動態類型程式語言，這類錯誤需要在執行期間才會引發問題，類型檢查工具能夠分析程式碼，幫助開發者找出有問題的地方。</p> <p>由於Ruby擁有鬆散的語法以及猴子修補的特性，雖然可以讓開發者快速地拼湊出功能強大的應用程式，但是程式碼也會產生許多有疑義或是混亂的狀況，而Sorbet就是要用來解決這個問題，增加Ruby程式碼的穩定性以及清晰度。</p> <p>Stripe現在釋出的Sorbet專案包含了核心靜態檢查工具、創建Sorbet專案的工具，幫助開發者逐步採用Sorbet的工具，還有用於編寫類型註解的Runtime DSL，以及共享Ruby套件類型定義的中央儲存庫。</p> <p>Sorbet同時具有靜態和動態的類型檢查功能，開發者可以使用命令列工具操作Sorbet，靜態地分析專案，以找出程式碼中潛在的錯誤，另外，也能使用Sorbet Runtime工具，這是一個Ruby套件，能夠在程式碼執行時動態檢測類型。Stripe現在開源Sorbet，同時也呼籲開發者可以加入貢獻的行列，幫忙回報並且修補臭蟲。</p> </div></div></div>
2019/6/24 10:10作者李建興https://www.ithome.com.tw/news/131414
如何「看穿」駭客攻擊手法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假日若你到熱鬧的信義區廣場或淡水捷運站逛一逛，很容易會遇上一、兩個在街頭表演的魔術師，環繞著一圈觀眾，一邊驚訝於精彩的表演，另一邊又瞪大眼睛想找出破綻，是道具？手法？還是人群有內應？魔術師當然是拼命掩飾，尤其是自創的魔術，連私底下對朋友都秘而不宣。為什麼？江湖一點訣，講破就不稀奇！就像事先知道鋸床內藏了2個人，就不會覺得鋸刀斷人魔術有那麼神奇了。</p> <p>過去幾年猖獗的APT攻擊（Advanced Persistent Threat，進階持續性攻擊），也很像是令人眼花繚亂的魔術表演，層出不窮的漏洞和弱點、不斷演化的入侵工具和惡意程式，甚至組合多種手法，社交工程、偽裝正常程式、釣魚信件誘騙、長期潛伏觀察、暗中蒐羅弱點後，才發動一擊，過去習慣只靠一套多層式縱深防禦作法的企業，很難有效來因應「似乎是不可預知」的APT攻擊。</p> <p>許多資安公司都盡可能地累積各種攻擊災情，建立起一個又一個的API攻擊案例，試圖從中歸納經驗。</p> <p>但資安威脅的影響範圍越來越廣，從天上的人造衛星，地上的汽車，甚至到人體內的心律調整器都可能遭駭，選舉、醫院、銀行、船運的資安事件也時有所聞，萬物聯網後更是萬物皆可能遭駭。</p> <p>新興攻擊威脅和型態，也和過去有很大的改變，光是2018年，曝光的漏洞數量就多了224％，非檔案型惡意程式更是暴增10倍，1百萬次網路犯罪改用更難追蹤的加密貨幣謀利，7千萬筆雲端資料成了遭竊的新目標。</p> <p>攻擊手法成千上百種，無法全面防禦，怎麼辦？那就不用「擋」的防護策略，而是改用「阻斷」策略。若能即時阻止，截斷攻擊的進行，讓駭客攻擊無法完成，同樣也能降低影響和避免損失。</p> <p>但，企業往往難以察覺自己是否遭到駭客覬覦，甚至是否已被潛入，如何了解成千上百種駭客攻擊手法？就是MITRE ATT＆CK資安框架要回答的難題。這正是今年全球最大資安會議RSA上最夯的話題，也是今年臺灣資安大會許多講者必談的話題。</p> <p>這一個由美國非營利研究機構MITRE提出來的資安框架，用來描述駭客攻擊戰術的流程。MITRA分析了歷年來各資安公司公布的網路威脅情資或報告，找出這個ATT＆CK框架，將入侵期間駭客使用的戰略，分為了12個階段，包括入侵初期、執行、持續潛伏、權限提升、防禦逃脫、憑證存取、發現、橫向移動、收集、命令與控制、滲出與衝擊，總共歸納出了244項不同的技術手法，進而整理成為一個可以顯示所有階段攻擊手法的矩陣模型（ATT＆CK Matrix）。這就是讓企業有機會識破駭客攻擊手法的輔助關鍵。</p> <p>對企業來說，這是用來判斷駭客攻擊手法、分辨入侵流程的參考地圖，循線可以找出駭客攻擊的下一個目標，及早採取行動。這框架也可以是企業評估自我資安防護能力的檢查表。</p> <p>對產業而言，資安公司各自都有一套累積多年的駭客攻擊流程框架，但各自有不同的定義，彼此難以溝通或分享情資。這一套「共通」的攻擊手法框架，就像是一個關於駭客攻擊手法的共同語言，就能比較不同攻擊事件的差異，不同資安公司蒐集的情報也能放到同一個敘述架構，相互補齊對於攻擊樣貌的描述。</p> <p>這個攻擊流程框架還可以用來設計出不同的駭客攻擊情境，作為資安攻防演練的參考，或內部測試資安防護的模擬情境。MITRE去年更發起了一項ATT&CK評估（ATT&CK Evaluations）計畫，要用這個框架來評估資安產品因應駭客攻擊的能力，已有7家業者參與。</p> <p>MITRE ATT＆CK框架將駭客使用的攻擊戰略與技法，系統性地整理成一個知識庫，讓企業更有機會和能力，看穿駭客攻擊手法。</p> <p><strong>更多MITRE ATT＆CK攻擊框架的介紹，請看<a href="https://www.ithome.com.tw/article/131277"><span style="color:#F0FFFF;"><span style="background-color:#0000FF;">專題報導「防護APT攻擊的必學戰略：MITRE ATT&CK框架」</span></span></a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A">駭客攻擊</a></div><div class="field-item odd"><a href="/tags/apt%E6%94%BB%E6%93%8A">APT攻擊</a></div><div class="field-item even"><a href="/tags/mitre">MITRE</a></div><div class="field-item odd"><a href="/tags/%E6%94%BB%E6%93%8A%E6%A1%86%E6%9E%B6">攻擊框架</a></div></div></div>
2019/6/23 23:54作者王宏仁https://www.ithome.com.tw/voice/131279
為何上AWS架雲，而在Azure只賣混合雲軟體?COO揭露VMware多雲戰略差異化的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【寧波現場直擊】「就像把柏林圍牆推倒一樣，用戶不需在公有雲和本地端環境間，做抉擇了。」VMware營運長Sanjay Poonen在寧波自家大中華區CIO高峰論壇中，如此形容 VMware與AWS攜手推出的混合雲服務VMware Cloud on AWS。過去，VMware與AWS雙方為競爭對手，然而，在2017年，雙方通過VMware Cloud on AWS，打通了彼此私有雲與公有雲環境。</p> <p>繼與AWS合作推出VMware Cloud on AWS，VMware在今年4月底母公司Dell的年度大會上，再度宣布與公有雲業者的新合作項目，與三大公有雲之一的微軟，推出Azure VMware Solutions，強化混合雲產品的布局。該兩項混合雲服務有哪些區別，而VMware採取的戰略又是什麼， Sanjay Poonen揭露了細節。</p> <p>VMware Cloud on AWS採用VMware Cloud Foundation技術，整合了VMware的運算、儲存、網路，部署在專用的AWS彈性裸機基礎設施上，而Azure VMware Solutions則是建置在VMware Cloud Foundation上，將 VMware 工作負載部署到專用，且單一租用戶的Azure 裸機基礎結構上。此外，兩者皆整合了VMware虛擬化產品vSphere、儲存平臺vSAN和安全性平臺NSX，還有伺服器管理vCenter Server。</p> <p>Sanjay Poonen指出，Azure VMware Solutions與VMware Cloud on AWS兩者為相同的產品，因皆有VMware Cloud Foundation，所以提供的是相同的服務，他進一步表示，兩者間最大的差異是技術支援的負責方。</p> <p>Azure VMware Solutions供應項目受VMware驗證與支援，所以由微軟銷售，並提供用戶技術支援，換句話說，微軟是VMware Cloud供應商（VCPP），而VMware Cloud on AWS是由VMware直接提供技術支援，Sanjay Poonen強調，現階段，VMware Cloud on AWS是唯一一個，由VMware管理的雲端平臺。</p> <p>但是，因AWS沒有在臺灣落地，所以臺灣的VMware Cloud on AWS用戶例外。5月中旬時，VMware透過與臺灣在地業者合作，包含電信商、傳統系統整合廠商等，共12家業者，提供臺灣用戶VMware Cloud on AWS服務。當時，VMware在臺灣推出服務時，即表示，用戶如是透過VCPP取得該服務，則由VCPP提供技術支援。</p> <p>微軟則於5月初正式推出Azure VMware Solutions的第一個產品Azure VMware Solution by CloudSimple，現階段支援美國東部和西部Azure區域，近期該服務將拓展至西歐區域，目前已採用該服務的企業用戶，包含了服飾商Gap和食材供應商Dot Foods。微軟計畫今年下半年，推出該新服務的另一項產品Azure VMware Solution by Virtustream，微軟表示，提供多種Azure VMware Solutions是為了讓用戶有彈性和選擇。</p> <p>VMware Cloud on AWS與Azure VMware Solutions同為整合VMware資源的混合雲產品，卻以不同的方式推入市場，VMware採取的戰略又是什麼? Sanjay Poonen回溯3年前，VMware正在抉擇與何公有雲業者合作，最後決定先與AWS合作，推出VMware Cloud on AWS，他解釋，VMware是看中AWS在公有雲採用排名上，位居第一名，且VMware大部分的用戶都採用AWS，特別是美國市場的用戶。</p> <p>如果要在各公有雲上，都建置VMware Cloud，他直言，這需要花費許多工程人力和資源，所以VMware決定專注於單一公有雲，他強調，貫注全部精神才能發揮最大效益。</p> <p>不過，VMware將來是否會推出VMware on Azure或VMware on GCP，Sanjay Poonen表示，這是有可能的，但這不在現階段的計畫中，他再次強調，VMware要把精神都投注於單一雲端平臺，同時，也要確保商業模式不會傷害到其他雲端業者，以保持良好的夥伴關係。</p> <p>VMware Cloud on AWS從2017年中推出，至今約兩年半的時間，Sanjay Poonen表示，VMware開始看到其成果，未來如要在其他公有雲上，推出相同的服務，將借鏡此經驗，以了解哪些功能、設計可行，而哪些需要調整。</p> <p>待混合雲產品漸趨相似，VMware也將展開跨雲的工程，Sanjay Poonen表示，通過CI/CD，VMware將確保每個混合雲產品，都有完整的VMware 工具，他進一步指出，可能會有些延遲，而VMware Cloud on AWS可能會成為第一個，但隨著時間的推移，VMware將確保每個雲端業者都能一定程度上，因應跨雲的需求。</p> </div></div></div>
2019/6/22 10:34作者黃郁芸https://www.ithome.com.tw/news/131417
JavaScript陣列與群集
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在JavaScript當中，直到ES5為止，都只有陣列，到了ES6之後持續對陣列進行加強，並加入了ArrayBuffer、TypedArray等，在字典與集合方面，提供Map、WeakMap、Set、WeakSet等類型。因此，開發者應認識這些API特性，在適當場合善加利用，不過，需留意API之間的不一致。</p> <p><span style="font-size:28px;"><strong>熟悉又陌生的陣列</strong></span></p> <p>JavaScript的陣列，本質上就是物件，索引其實就是使用數字作為特性名稱，物件若以數字為特性名稱並加上length，就成了類陣列（Array-like）物件。</p> <p>若將物件的__proto__指定為Array.prototype，類陣列物件甚至會被instanceof視為Array實例，功能上，就差在無法依元素個數自行維護length值；在其他語言，陣列通常不被視為群集，然而在JavaScript中，由於Array.prototype定義了shift、unshift、push、pop等函式，使得陣列本身可以不只是陣列，也能作為列表（list）、堆疊（stack）來使用。</p> <p>另一方面，JavaScript本身具備函數式的風格，而在Array.prototype物件上，也定義了filter、map、reduce、some、every等具備函數式風格的函式，未來ES10也預計新增具備Monad概念的flatMap函式。若能善用這類函數式風格函式，不單是程式碼的可讀性，在效率上也可以有所改進。</p> <p>JavaScript開發者對於陣列，或許很熟悉，然而由於歷史性的原因，陣列使用上有不少的坑。最經典的就是sort函式，預設排序的順序，竟然是根據元素轉字串後的Unicode碼點（code point），而且排序結果是否穩定（Stable），一直都是依實作環境而定，由於大部份主流瀏覽器在實作上都採穩定排序，目前TC39中出現了提案，考慮將穩定排序納入規範之中（<a href="https://bit.ly/2QHnVEf">https://bit.ly/2QHnVEf</a>）。</p> <p>陣列API在處理NaN、undefined或空項目（empty item）時，也必須留意不一致的行為。indexOf、lastIndexOf無法處理NaN，因為它們使用===來比對元素，而NaN不等於NaN，陣列中若有NaN作為元素，這兩個函式無法找到它；ES6新增了findIndex，可以使用arr.findIndex(elem => elem !== elem)來尋找NaN，因為NaN是唯一不等於自身的值，另外，ES6新增的includes也可以處理NaN，若陣列arr中有NaN，arr.includes(NaN)會是true。</p> <p>對於陣列具有undefined與空項目的情況，不少開發者會混淆，例如，搞不清楚 [1, undefined, 3]與[1,,3]的差別。</p> <p>試著用1 in來測試看看兩者吧！前者確實有索引1的元素，後者沒有；實務開發上，應該避免陣列中出現空項目，因為API對空項目的處理方式並不一致，例如，filter、every等會跳過空項目，不會視為undefined傳入回呼函式，map雖然也不會傳入undefined，然而最後結果會保留空項目（而非undefined），join卻會將空項目視為undefined等。</p> <p><span style="font-size:28px;"><strong>處理位元組資料</strong></span></p> <p>使用XMLHttpRequest Level 1、Fetch API時，若要接受位元組資料，就會接觸到ArrayBuffer、TypedArray等介面。這些介面包含在ES6中，然而它們其實更早是WebGL規範的一部份，為了JavaScript與GPU之間位元組資料處理的需求而存在。</p> <p>真正用來儲存位元組資料的是ArrayBuffer，就真的只代表位元組資料，除了byteLength可以得知長度，slice方法能夠進行切割之外，沒什麼能做的。怎麼看待這組位元組資料，視開發者選擇哪個TypedArray而定，但TypedArray不是類型，只是一組類型的統稱，像是Int8Array、Uint8Array、Int16Array、Float32Array等，而這些是類陣列，然而也擁有與Array相似的函式，像是filter、map、forEach等。</p> <p>ArrayBuffer單純就代表著一組位元組，TypedArray才擁有操作位元組的觀點（View），一個ArrayBuffer不單只能有一個TypedArray觀點，TypedArray可以選定ArrayBuffer任何一個區段來操作，因此，一個ArrayBuffer實例，可以含有多種結構的資料，使用多個TypedArray來操作。</p> <p>如果需要更隨意地處理ArrayBuffer中的位元組資料，可以用DataView來看待ArrayBuffer，它提供getInt8、setFloat32等更靈活的方法，可以從指定索引處，以指定的觀點來設定與取得資料，如果需要確認ArrayBuffer採用的位元組順序（Endianness），是大端序（big-endian）或小端序（little-endian），我們也可以使用DataView，例如：</p> <pre> <strong>const littleEndian = (() => {</strong> <strong>const buffer = new ArrayBuffer(2);</strong> <strong>new DataView(buffer).setInt16(0, 256, true);</strong> <strong>return new Int16Array(buffer)[0] === 256;</strong> <strong>})();</strong></pre><p>主流瀏覽器與Node.js採用小端序，然而，網站回應的資料或許不是，如果上頭的程式片段略做修改，令buffer代表著接受到的位元組資料，就可以用來判斷回應資料的位元組順序。</p> <p><span style="font-size:28px;"><strong>字典與集合</strong></span></p> <p>JavaScript很長一段時間，沒有內建字典這類資料結構，原因或許在於其物件本身，本質上就是個鍵值複合體，搭配in、delete、[]等，也能達到字典的相關操作，只不過鍵只能是字串，因為JavaScript在相等性方面，並沒有像其他語言中，有equals、hashCode之類的協定，就算鍵只能是字串，也已經滿足許多場合時的字典操作需求。</p> <p>然而，物件終究不是字典類型，在ES6新增了Map，可以使用物件作為鍵，Map本身也可以進行迭代，在需要字典對應的場合時，ES6之後應該選擇Map而不是物件；另外，ES6也新增了Set，作為元素不得重複的集合操作時，使用上還算方便。</p> <p>不得重複，正是使用Map、Set時必須注意的。Map的鍵不得重複，Set的元素不得重複，那麼，開發者知道判定重複的標準是什麼嗎？因為歷史性的原因，JavaScript有四種相等性的判定方式，分別是抽象相等、嚴格相等、SameValue與SameValueZero演算，不同的API採用的相等性判斷，並不相同，這在先前專欄<a href="https://www.ithome.com.tw/voice/119821" target="_blank">〈ECMAScript 6相等演算〉</a>曾經討論，而Map、Set採用的是SameValueZero演算。</p> <p>談到Map、Set時，通常也會談到ES6新增的WeakMap、WeakSet，簡單來說，垃圾收集時，不會考慮物件是否被WeakMap作為鍵，或者是否為WeakSet的元素，只要物件沒有其他名稱參考著，就會回收物件，在一些場合可避免記憶體洩漏狀況。</p> <p>例如，若要建立與物件對應的資料，物件可作為Map的鍵，對應資料為值的部份，但須在物件不使用時，自行刪除Map中的鍵值，開發者一疏忽這點，就會發生記憶體洩漏，若用WeakMap可避免。</p> <p>在撰寫本文的這個時間點，TC39有個處於階段2的WeakRef提案（<a href="https://bit.ly/2MqtJDO">https://bit.ly/2MqtJDO</a>），當一個變數或特性參考至WeakRef實例時，並不會被計入參考計數，垃圾收集時，可以回收該物件，而其應用的場合之一，是可以將WeakRef實例作為Map的值，實現快取的功能。</p> <p><span style="font-size:28px;"><strong>留意API的不一致</strong></span></p> <p>判斷一門語言是否越來越成熟，從內建的群集API往往可見一斑。從這點來看，JavaScript確實朝著越來越成熟的道路前進，開發者應多加留意與善用。</p> <p>然而，JavaScript畢竟是從不成熟狀態逐步發展而來，由於歷史性的原因，有些特性令API在使用上，有著奇怪甚至不一致的結果。所以，開發者在使用前，應瞭解並測試API的行為確實符合所需，畢竟，與不一致為伍，也是使用JavaScript必要的課題！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/javascript">JavaScript</a></div></div></div>
2019/6/22 09:00作者林信良https://www.ithome.com.tw/voice/131221
臺灣多家網路平臺要聯手打擊不實消息，臉書、Google、Line早已啟動事實查核，聯手本地批踢踢等共擬自律準則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社群網絡平臺帶來海量資訊的同時，也提供了不實訊息滋長的溫床，然而，在民主國家中立法審查網站內容，可能有牴觸言論自由的疑慮，且網路無國界，也難以用一國法律來規範所有的網路平臺。為此，台北市電腦公會聯合Facebook、Google、Line、Yahoo奇摩及批踢踢實業坊等主要網路平臺，共同擬定「不實訊息防制業者自律實踐準則」，要透過自我約束，先法律一步在維護言論自由的同時，管制不實訊息的散布。</p> <p>「訂定法律，不見得對平臺發展有利，且法律也不一定能強制所有平臺遵守。」台北市電腦公會法務長黃益豐表示，業者願意實踐自律準則，除了履行社會責任，同時也是基於平臺發展的考量，若業者無法有效管制不實訊息的流通，政府可能就會立法介入，屆時研擬的法律不一定適用於各家業者，反而扼殺平臺的發展。因此，由業者主動發起自律，是比政府出面管制更好的解方。</p> <p>「不實訊息防制業者自律實踐準則」定義出不實訊息的三項要件，分別是一、具備惡意欺騙公眾或創造不當利益的意圖，二、有散播可驗證的錯誤事實或誤導性訊息的行為，三、造成有害民主政治健全運作、或危害公共安全的可能；此外，也訂定出各平臺在實踐過程中可以參酌的四大方向，包括建立不實訊息機制、提升政治廣告透明度、建立可信賴的監督機制、以及提升民眾識別不實訊息之能力等。</p> <p>黃益豐表示，由於定義不實訊息有其困難度，因此有與第三方事實查核組織合作的必要，也避免平臺被質疑是球員兼裁判；另外也希望針對政治性質的廣告，能夠顯示廣告投放者是誰、為什麼閱聽者會接收到這則廣告等訊息：而更重要的是提升民眾媒體素養，不只要教育，也要提供可以管道讓民眾主動查證。</p> <h3><span style="color:#FF8C00;">Line、Facebook、Google均已在臺啟動事實查核機制，未來更要透過教育提升民眾媒體素養</span></h3> <p>由於不同平臺推出的服務類型不同，各企業應依據自身產品服務與技術能力，來制定有效適用於自家平臺的辦法，而Line、Facebook、Google也在近一年中開始祭出相關措施。</p> <p>例如Line，在今年3月28日已經啟動數位當責計畫，不僅聯手「Cofacts真的假的」、「MyGoPen」、「台灣事實查核中心」及「蘭姆酒吐司」等4個民間組織推出「LINE謠言查證」官方帳號，預計月底上線，也在Line Today「公共事務」的分類話題內，由行政院串連旗下隸屬中央的35個部會，即時澄清和國安、民生、災防相關訊息，此外，Line Today也將設立「謠言破解」專區，匯集查核機構的即時查證，以及介接行政院「政院即時澄清專區」的澄清速報。</p> <p>未來，也要聯合教育部國教署與臺灣媒體觀察教育基金會，舉辦一系列媒體是讀宣導教育活動，提升閱聽眾的識讀與思辨能力，藉以防治不實訊息。</p> <p>Facebook本月19號在臺啟動第三方事實查證計畫，要與台灣事實查核中心合作，透過移除反社群守則的內容（Remove）、減少不實資訊在平臺散播的機會（Reduce）、提供廣告與粉專推薦的透明度（Inform），來遏止不實言論擴散。而具體作法，則是由台灣事實查核中心查核臉書上的公開貼文，包含超連結、原生影片、原生圖像、純文字貼文等內容，若為不實報導，臉書將會降低該內容在動態消息中的排序。</p> <p>除了不實消息的查核外，Facebook也在本月20號在臺灣召開第三屆亞太新聞素養工作小組會議，匯集亞太區超過40位新聞媒體業及民間團體等專家，共同探討如何打擊假消息，近一步推廣新聞素養。在這之前，臉書也從去年起就在臺推動新聞誠信計畫，資助媒觀基金會，展開網路媒體可信度研究，也曾在主流報章雜誌刊登整版廣告，向民眾進行打擊不實訊息的公民教育。</p> <p>Google自2016年，美國總統大選受假新聞操控、影響選舉結果後，就聯合第三方查證機構查核新聞，並在Google Search與Google News的新聞上顯示事實查核（fact check）標籤並附上查核的結果；而臺灣組織MyGoPen以及事實查核中心，也在今年一月與二月正式加入新聞內容的查核，透過提供多元意見，要將判斷的權力交付到閱聽者手中。此外，Google也在今年3月發表了Google Fact Check Explorer，針對網路上已經被各組織查核過的內容，提供搜尋引擎讓民眾快速簡易的再次查詢。</p> <p>而Google也持續以各種活動與課程來提升新聞從業者的專業素養，繼去年首次在臺啟動Google News Lab的事實查核訓練後，今年更擴大培訓，於6月初與臺灣事實查核中心合作舉辦為期三天的「深度事實查核培訓營」，近30位新聞媒體工作者受邀參加；今年4月，也與展翅協會合作，共同舉辦兒少上網安全及防制網路兒少性剝削教師研習營，跟老師分享如何從小培養孩童的數位公民素養，成為有能力正面回應以及處理網路危機的優良數位公民。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/6/21 21:43作者翁芊儒https://www.ithome.com.tw/news/131416
Container周報第104期：徵求百萬個K8s失敗經驗，德國時尚電商開發首席上Github共享犯錯經
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>6/13~6/19精選容器新聞</strong></span></p> <h3><strong><span style="color:#FFA500;">#失敗經驗、#Zalando</span><br /> 徵求百萬個K8s失敗經驗，德國時尚電商開發首席上Github共享犯錯經</strong></h3> <p>以鞋類和服飾為主的德國時尚電商Zalando，業務橫跨17個國家，每月瀏覽人數2.5億人次，活躍用戶超過2,600萬人。德國時尚電商開發團隊首席Henning Jacobs最近在KubeCon歐洲大會上，分享管理雲端Kubernetes叢集的種種失敗經驗。Zalando在AWS上部署了118個Kubernetes叢集，來支撐所有的電商平臺服務。他們也是Kubernetes的資深貢獻者，開源了超過47個元件。「許多叢集當機事件，都只有在實際上線後才會遇到。」他如數家珍地一一介紹了自己的失敗經歷。</p> <p>有些錯誤是來自使用者，例如有次大促銷時，結帳服務爆量，影響了他們用來負責K8s叢集內外流量負載平衡的Ingress控制器出錯，Zalando自己開發了一個HTTP路由工具Skipper，來和管理上百個不同K8s叢集的共享Ingress控制器串接，但因為遇到了4倍多的突然爆量請求，連線數過多導致Skipper記憶體不足而當機，連帶也影響到了Ingress，導致服務請求無法連線到K8s叢集，從顧客角度來看就像是網站當機一樣。另一次事件則是因CoreDNS的快取用光了系統記憶體，而拖累到叢集監控服務，還有次是管理工具太方便而容易出錯，etcdctl的刪除功能的參數預設是刪除特定範圍的資料，但若只是要刪除A和F兩項，卻往往不小心就刪除了從A到F中間的所有金鑰。或像EKS託管服務號稱可靠度有99.9%，但其實只有API Server達到這個SLA等級。</p> <p>這些導致K8s當機的問題或錯誤，可能來自各式各樣的情況，所以，Henning Jacobs決定發起一個<a href="https://github.com/hjacobs/kubernetes-failure-stories/commits/master">Github專案</a>來徵求大家上傳自己的失敗經驗，再共享給更多人，他希望有一天可以收集到百萬個K8s失敗經驗。</p> <h3><strong><span style="color:#FFA500;">#Kubernetes、#新版本</span><br /> 新版Kubernetes 1.15來了！一口氣強化25項功能，API擴充性是重點</strong></h3> <p>今年三月Kubernetes才剛釋出了1.14版，正式支援了Windows容器，6月19日，K8s專案又很快地推出了今年的第二次改版1.15新版，而且一口氣改善了25項功能，主要都是K8s核心API的擴充性改善為主，尤其是可以提供更客製化的資源管理機制，例如CustomResourceDefinitions現在可以自動轉換成到不同版本。其他更新，像容器儲存介面CSI也有不少改善，如可以進行Volume複製（Alpha版）了，而叢集生命周期機制上也有一些可靠度的強化機制，例如kubeadm有不少強化，現在可以用kubeadm 的join和init指令，來分配和管理K8s叢集的高可用性架構。<a href="https://www.ithome.com.tw/news/131379">更多報導</a></p> <h3><strong><span style="color:#FFA500;">#容器管理、#Facebook</span><br /> 臉書公開自家大規模容器管理平臺Tupperware，全球15座資料中心能視為單一機房來管</strong></h3> <p>臉書早從2011年就自行開發了一套大規模容器叢集管理平臺Tupperware，這套平臺就像是Google內部所用的Borg系統（也就是Kubernetes專案源自此平臺的設計架構和概念）一樣。臉書橫跨全球各地有15座資料中心，透過Tupperware可以視同一座資料中心來管理。Tupperware也採取了類似的容器技術，讓開發者可以用來打包應用程式的程式碼和相依性，再部署到伺服器上。臉書強調，Tupperware特別的是可以支援有態服務，另外也提供了一可以跨多資料中心管理容器叢集的單一管理介面，不過，不少功能則類似Kubernetes和Mesos，甚至如Tupperware的Scheduler排程服務，也可以對應到Kubernetes的排程服務。<a href="https://code.fb.com/data-center-engineering/tupperware/">更多介紹</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Tupperware_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Facebook.jpg" /></p> <h3><strong><span style="color:#FFA500;">#區塊鏈、#IBM</span><br /> IBM新版區塊鏈平臺開始支援Kubernetes部署</strong></h3> <p>IBM最近發布了新一代的區塊鏈平臺，除了區塊鏈相關功能之外，最大的特色是，這個版本可以支援多雲架構，甚至可以部署到企業自建的Kubernetes上。IBM區塊鏈服務採用Linux基金會的Hyperledger Fabric技術，可以支援多種區塊鏈技術，目前已經有約1,100個區塊鏈使用IBM區塊鏈平臺，其中只有1成的區塊鏈，已經是正式的服務。IBM區塊鏈技術副總裁Jerry Cuomo表示，支援Kubernetes將有助於加速更多使用IBM區塊鏈技術的企業部署自家的正式上線環境。IBM新版區塊鏈平臺也增加對開發工具的支援，可以整合到Visual Studio Code開發工具上，讓開發者用JavaScript、Java和Go語言來設計智能合約。</p> <h3><strong><span style="color:#FFA500;">#Snap、#無人機</span><br /> 無人機電腦Manifold 2現在也可以部署容器化應用了</strong></h3> <p>無人機內嵌電腦Manifold 2也可以部署容器化應用了。其製造商DJI在第二版增加了對Linux作業系統Ubuntu的支援，現在可以直接使用Ubuntu的容器化應用程式套件，也就是Snap套件的應用可以部署到無人機上了，這將讓Manifold 2獲得大幅自訂的能力，Canonical提到，Manifold 2是第一個支援Snap技術的無人飛行器電腦。Manifold 2有了Snap技術的加持，企業能夠把程式打包成Snap，在搭載Manifold 2的飛行器上部署容器應用，將其轉成各式功能的智慧裝置，進行複雜的運算或是進階的圖片影像處理應用，讓企業有辦法打造更多元的應用。<a href="https://www.ithome.com.tw/news/131303">更多報導</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E7%84%A1%E4%BA%BA%E6%A9%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canonical.jpg" /></p> <h3><strong><span style="color:#FFA500;">專案管理、程式碼分析</span><br /> GitHub買下程式碼審核公司Pull Panda</strong></h3> <p>最近GitHub宣布買下成立才一年半的程式碼審核公司Pull Panda，雙方並未公布交易金額，但Pull Panda旗下的產品未來都將整合到GitHub上並免費提供。<br /> Pull Panda原本就專門打造供GitHub用戶所使用的程式碼審核工具，主要產品包括Pull Reminders、Pull Analytics與Pull Assigner。Pull Reminders可用來接收即時的審核通知、評論、合併衝突或CI失敗等訊息，而Pull Analytics則能用來檢視陳舊、過期或過大的任務，還可列出團隊的貢獻排行榜，設定團隊目標及追蹤成果，以用來測量及改善團隊程序。最後一項Pull Assigner是個可自動化分配程式碼審核任務的工具，平衡每個人的工作量，也讓不同的任務有明確的負責人。<a href="https://www.ithome.com.tw/news/131344">更多報導</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_PullBanda.jpg" /> </p> <h3><strong><span style="color:#FFA500;">#EKS、#基礎架構自動部署</span><br /> Pulumi開源基礎架構即程式碼框架Crosswalk，能簡化AWS應用程式部署工作</strong></h3> <p>基礎架構即程式碼供應商Pulumi開源了一個可用於部署AWS工作負載的框架Pulumi Crosswalk for AWS，提供基礎架構即程式碼元件，並內建AWS最佳實踐，幫助用戶根據需求，將應用程式部署到AWS上。Crosswalk for AWS支援多種AWS服務，包括無伺服器服務Lambda和API Gateway，還有容器服務ECS以及Fargate，以及像是熱門的Kubernetes服務EKS、跨網路的VPC和SecurityGroups，而監控服務Cloudwatch Dashboards與Alarms等都有支援。<a href="https://www.ithome.com.tw/news/131235">更多報導</a></p> <p>責任編輯／王宏仁</p> <p><strong>更多Container動態</strong></p> <ul><li>軟開始在Windows 10加入Linux核心供開發者測試WSL 2</li> <li>Ubuntu 19.10停止支援i386架構</li> <li>微軟推出Java用VS Code安裝程式，能快速設定Java開發環境</li> </ul><p>＠資料來源：iThome整理，2019年6月</p> </div></div></div>
2019/6/21 16:09作者王宏仁https://www.ithome.com.tw/news/131408
Google證實將棄守Pixel平板電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.computerworld.com/article/3404206/googles-officially-done-making-its-own-tablets.html" target="_blank">Computer World</a>與<a href="https://www.businessinsider.com/google-will-stop-making-its-own-tablets-2019-6?op=1" target="_blank">Business Insider</a>的報導，Google已決定棄守自有品牌的Pixel平板電腦，並已向這兩家媒體證實此事。</p> <p>Google是在2015年以10.2吋的Pixel C踩進平板電腦市場，於2017年12月停止銷售Pixel C，<a href="https://www.ithome.com.tw/news/126347" target="_blank">再於去年10月推出繼任的Pixel Slate</a>。Pixel Slate是款採用Chrome OS與12.3吋螢幕的中高階平板電腦，最低規格的Pixel Slate售價為599美元。</p> <p>根據報導，Google是在本周舉行內部會議時，宣布終止兩個正在開發中的Pixel平板電腦專案，也決定將相關的人力與資源移轉到Pixelbook筆電部門。率先獲得此一消息的Computer World向Google求證時，Google很爽快地直接承認了。</p> <p>Google表示，既有的Pixel Slate依然可獲得應有的支援，截至2024年6月都能收到軟體更新。至於Pixel品牌的其它產品線，包括手機、筆電或配件都不會受到影響。</p> <p>其實全球平板電腦出貨量早就明顯萎縮，從2014年第四季首次出現衰退以來，迄今應已達到連續18季的下滑，等於是連續下滑了4年以上，已經到了市場研究機構都不太想按季公布平板出貨量的狀況，例如<a href="https://www.idc.com/getdoc.jsp?containerId=prUS44425918" target="_blank">IDC</a>最近一次公布的平板電腦市場數字為去年第三季的3,640萬臺。</p> <p>平板電腦的出貨量高峰出現在2014年的第三季，當時IDC估計該季的全球出貨量為5,380萬台。</p> <p>在去年第三季的平板電腦市場上，造成全球平板風潮的蘋果依然位居第一，市占率為26.6%，居次的三星占了14.6%，Amazon則以12%位居第三，Google並未擠進前五名。平板電腦市場的積弱不振，與Pixel平板的市佔率不高，或者都是Google決定退出平板電腦市場的原因。</p> </div></div></div>
2019/6/21 16:20作者陳曉莉https://www.ithome.com.tw/news/131410
AWS更新C5實例，推出更強的虛擬化實例以及裸機實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/now-available-new-c5-instance-sizes-and-bare-metal-instances/">AWS宣布更新其Amazon EC2中的C5實例系列</a>，擴充了新的C5虛擬化實例成員c5.12xlarge和c5.12xlarge，提供用戶運算能力更強大的實例選擇，另外，也增加了裸機實例c5.metal，讓用戶的作業系統可以直接在底層硬體執行。</p> <p>新的虛擬化C5實例有兩個規格c5.12xlarge和c5.12xlarge，都使用英特爾第二代Xeon可擴展處理器Cascade Lake，能以全核心Turbo加速技術，持續提供3.6GHz頻率的執行速度，以及最高單核心Turbo加速3.9GHz頻率，這個新的處理器還支援機器學習應用，使用一個名為英特爾深度學習加速（Intel Deep Learning Boost）技術，該功能應用AVX-512指令集，透過向量神經網路指令，深度學習框架能夠加速典型的機器學習運算，提升工作負載的推理效能。</p> <p>新的c5.12xlarge實例提供48個邏輯處理器、96 GiB記憶體、EBS最佳化頻寬7 Gbps，以及網路頻寬12 Gbps，另一個更高等級的規格c5.12xlarge，提供96個邏輯處理器、192GiB記憶體、EBS最佳化頻寬14 Gbps，而網路頻寬為25 Gbps。AWS提到，之前最大的C5實例是c5.18xlarge，具有72個邏輯處理器和144 GiB記憶體，而新增的c5.24xlarge整體提升了33％的可用運算資源，能更好地支援運算密集的任務。</p> <p>而除了AWS之前為Amazon EC2 M5、M5d與R5等釋出裸機實例，現在也為C5提供裸機實例c5.metal供使用者選擇。裸機的好處在於，讓作業系統可以在低層硬體上執行，直接存取處理器，擺脫巢狀虛擬化限制，或是當應用特別需要存取物理資源和低階硬體功能，例如虛擬化環境常無法完整支援的英特爾VT技術，用戶就能選擇使用裸機實例。裸機實例也可以與Elastic Load Balancing、Auto Scaling、Amazon CloudWatch和其他AWS服務一同整合使用。</p> <p>無論是c5.12xlarge與c5.24xlarge，抑或是c5.metal，都建構在AWS Nitro系統之上，且具備EBS的專用硬體加速器。新的C5實例在美東、美西、歐洲、亞洲的新加坡，以及雪梨等區域都已經上線。</p> </div></div></div>
2019/6/21 16:25作者李建興https://www.ithome.com.tw/news/131392
遭媒體踢爆Google Maps充斥數百萬假店家資訊，谷歌回應：將加強取締
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導Google Maps上有數百萬假冒或錯誤的店家資訊，成了坑殺消費者的陷阱，Google也表示會加強取締。</p> <p><a href="https://www.wsj.com/articles/google-maps-littered-with-fake-business-listings-harming-consumers-and-competitors-11561042283" target="_blank">華爾街日報調查報導</a>發現，Google Maps每個月新增上萬個假的店家資訊，估計總數高達1100萬則。這些詐欺資訊分成好幾種類型，有的是藉機向老實店家收費、競爭者冒充正牌店家以瓜分客戶，更多是黑心商店，他們多半是維修商、水電外包商或汽車拖吊業者，對發生緊急事件前來求助的消費者大敲竹槓。報導引述一名美國退休公職人員在Google Maps上找到一家黑心電腦維修業者，對方服務品質低劣，卻收取平均水準的將近2倍費用。</p> <p>Google回應將會加強取締經查證的假店家資訊。Google周四<a href="https://www.blog.google/products/maps/how-we-fight-fake-business-profiles-google-maps/" target="_blank">喊冤說</a>，他們透過自動化工具及用戶通報方式來糾出這些假店家，去年他們移除了300多萬則假店家資訊，超過九成在用戶接觸到前就已消失，其中85%是Google內部系統抓到，25萬家由用戶通報。Google去年並關閉了15萬個累犯的Google帳號，比2017年增加50%。</p> <p>Google今年又增加<a href="https://support.google.com/maps/answer/7084895?co=GENIE.Platform%3DDesktop&hl=en" target="_blank">用戶標示</a>及<a href="https://support.google.com/business/contact/business_redressal_form" target="_blank">通報</a>可疑店家資訊的管道，並在詐欺情形氾濫的類別中啟用更厲害的技術。此外，也提供合法店家<a href="https://support.google.com/business/answer/3038177?hl=en" target="_blank">正確登錄Google Maps</a>的規範以防被Google誤判。但Google表示Google Maps每個月用戶高達10億，總是有少數不肖業者處心積慮騙人，他們承認仍有不足，也承諾會持續加強。</p> </div></div></div>
2019/6/21 15:05作者林妍溱https://www.ithome.com.tw/news/131399
Firefox本周再傳零時差攻擊漏洞，可能鎖定加密貨幣用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox又要升級了！本周內，Mozilla<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2019-19/" target="_blank">第二度發佈Firefox零時差漏洞公告</a>，呼籲用戶升級到最新版本。而一周接連二起來自Coinbase通報的漏洞，顯示駭客可能鎖定加密貨幣用戶。</p> <p>最新公告編號CVE-2019-11708的漏洞為存在Prompt:Open IPC（Inter-process communication）訊息的沙箱逃逸（sandbox escape）漏洞。由於參數檢查不足，致非沙箱內的父行程開啟了由子行程選取的網頁內容，駭客只要竄改子行程即可發動攻擊。若結合Mozilla<a href="https://www.ithome.com.tw/news/131341" target="_blank">本周修補的CVE-2019-11707</a>類型混淆（Type confusion）漏洞，可使其在用戶電腦上執行任意程式碼，因而再度被列為重大（critical）風險。</p> <p>本周二個漏洞都是由加密貨幣交易平台Coinbase的安全部門通報，顯示駭客正在對加密貨幣用戶發動攻擊。</p> <p>如果你這兩天才因漏洞升級Firefox 67.0.3及ESR 60.7.1，Mozilla希望你再多動一次手，升級到Firefox 67.0.4及Firefox ESR 60.7.2版。</p> </div></div></div>
2019/6/21 15:30作者林妍溱https://www.ithome.com.tw/news/131403
GCP批發價買過頭反而貴，Google推出雲端批發價專用的用量報告，讓企業自行判斷是否買過頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GCP在6月初才更擴充了承諾使用折扣方案，不到2周，又連忙追加了一項新功能，<a href="https://cloud.google.com/blog/products/compute/new-report-shows-your-compute-engine-usage-and-commitments">承諾使用折扣分析報告測試版</a>，可查看承諾資源剩餘量，也能清楚顯示承諾使用占日常用量的比例，幫助用戶進行評估調整以節省成本。</p> <p>Google早在2年前，就推出了一種Compute Engine的承諾使用折扣方案，只要用戶保證購買一段時間（保證1年或3年）或用量，就可以打57折，來吸引用戶長期使用。這就像是一種雲端批發價的作法，但如何精打細算控制用量，才不會濫用而沒有省到錢，成了企業成本控管的課題。6月初，Google增加了可以使用批發價的產品類型，甚至連GPU、雲端TPU Pods以及本地端SSD都可以搭配計算，又再度提高了管控雲端成本的複雜度，所以，不到兩周，Google 連忙又追加了一項新功能，可以讓企業監控用量來估算成本，稱為承諾使用分析報告。</p> <p><a href="https://cloud.google.com/billing/docs/how-to/cud-analysis">用戶可以直接在控制臺存取承諾使用折扣分析報告</a>，分析報告會視覺化用戶承諾使用的用量，了解其採購方案的成本影響。分析報告在每種承諾資源類別的頁籤都會顯示總結資訊、長條圖以及總結表格，總結資訊主要顯示三個資訊，區域、啟動的承諾使用資源，以及整體承諾使用情況。</p> <p>區域資訊根據用戶設置的過濾條件而不同，當用戶瀏覽匯總資訊，則會顯示匯總區域數量，當只查看單一區域，便只會顯示區域名稱，而啟動的承諾使用資源則是顯示用戶購買的資源數量，並在第三項整題承諾使用情況，顯示用戶使用其購買資源的狀況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cud-analysis-summary-cards.png" style="width: 655px; height: 387px;" /></p> <p>長條圖繪製用戶的每日運算資源使用情況，將滑鼠懸停在每日長方形色塊上，便會顯示每日使用資源的詳細資訊，包括按需用量以及承諾用量。最下方的總結表格，則會根據選取的過濾條件匯總資訊，其中檢視使用成本連結，會詳細提供用戶使用成本的細節。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cud-analysis-filters.png" style="width: 655px; height: 307px;" /></p> <p>過濾條件可以讓用戶選擇以匯總的方式，抑或是僅顯示單一區域的報告，另外，用戶也能調整想要查看報告的時間範圍，以及各承諾資源類型的使用狀況，包括vCPU、RAM或是本地端SSD。分析報告除了可以讓用戶知道購買的承諾使用的資源使用狀況，還可以根據視覺化資訊，清楚的了解承諾用量占每日使用的比例，以評估增減承諾使用方案的比例，最佳化運算資源的成本。</p> </div></div></div>
2019/6/21 15:39作者李建興https://www.ithome.com.tw/news/131325
思科修補二項網路設備重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科周四公告修補二項網路設備漏洞，可讓攻擊者登入內部服務及取得根用戶權限，呼籲企業儘速升級軟體。</p> <p>公告的二項漏洞都是存在思科軟體定義網路產品線中。首先<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190619-dnac-bypass" target="_blank">CVE-2019-1848</a>發生在管理及指揮思科網路的產品數位網路架構中心（Cisco Digital Network, Architecture Center, DNA Center），漏洞起於DNA Center對於存取傳輸埠的限制不夠嚴格，攻擊者可將未經授權的網路裝置繞過驗證，而連上用於執行叢集服務的子網。成功開採這項漏洞者可直接存取內部服務。本漏洞影響Cisco DNA Center Software 1.3版本以前的軟體，在CVSS v3.0風險評分達9.3（滿分10分）。</p> <p>第二項漏洞編號<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190619-sdwan-privesca" target="_blank">CVE-2019-1625</a>，存在思科SD-WAN 產品的指令行介面中，問題出在授權管理不足。攻擊者可驗證登入目標裝置執行指令，進而取得權限升級。成功開採本漏洞可讓攻擊者以根用戶身份變更系統組態。這項漏洞的CVSS v3.0風險評分為7.8。本漏洞影響Cisco SD-WAN Solution 18.3.6以前版本及18.4.1、19.1.0版，雖然風險較低，但波及產品較多，包括vEdge 100、1000、2000、5000系列路由器、以及vBond Orchestrator Software、vManage Network Management Software、vSmart Controller Software等軟體。</p> <p>兩項漏洞皆無暫時緩解方法，思科已在最新版本DNA Center Software 1.3版和SD-WAN Solution 18.4.1版予以修補，也呼籲企業用戶儘速。</p> </div></div></div>
2019/6/21 15:40作者林妍溱https://www.ithome.com.tw/news/131405
Slack上市首日股價上飆48%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聊天協作程式<a href="https://www.cnbc.com/2019/06/20/slack-direct-listing-stock-begins-trading-on-new-york-stock-exchange.html" target="_blank">Slack在6月20日以26美元的發行價登上紐約股市（NYSE）</a>，在採用直接上市、沒有股票承銷商的烘托下，Slack上市首日飆漲了48.54%，以38.62美元作收，把Slack的市值推上194億美元，顯示出投資人對Slack的信心。Slack在NYSE的交易代號為WORK。</p> <p>根據Slack截至4月30日的第一季財報，該季創下1.34億美元的營收，但虧損了3,188萬美元，只是因為Slack仍處於快速成長階段，首季營收比去年同期增長66.6%，而受到投資人的青睞。</p> <p>另一方面，今年上半年Slack私下交易的最高價格為31.5美元，上市首日即重寫股價紀錄。</p> <p>美國媒體<a href="https://www.forbes.com/sites/alexkonrad/2019/06/20/the-slack-public-listings-surprise-winners-other-startup-ceos/#61d9caf043c2" target="_blank">《富比士》（Forbes）</a>稱讚Slack共同創辦人暨執行長Stewart Butterfield是位「籌款大師」，光是最近這幾年就替Slack籌募了12.7億美元的資金，且草創時不乏邀請許多科技公司的高階主管入股，包括LinkedIn執行長Jeff Weiner、Twitter共同創辦人Biz Stone、Stripe兩名共同創辦人Patrick Collison與John Collison、Yammer共同創辦人David Sacks，或是Path共同創辦人Dave Morin等。</p> <p>根據報導，這些早期的投資金額並不大，通常只落在2.5萬美元到10萬美元之間，多半是為了情義相挺。</p> <p>不過，Slack替他們帶來了豐厚的回報。若以6月20日190億美元的市值來計算，這些天使投資人已獲得了1,900倍的報酬。假設當初投資了2.5萬美元，現在則變成4,750萬美元。</p> <p>至於Butterfield本人則大概持有8.6%的Slack股票，代表他現在已經是個身價超過16億美元的大富翁了。</p> </div></div></div>
2019/6/21 16:00作者陳曉莉https://www.ithome.com.tw/news/131406
一周大事：臉書正式發表加密貨幣Libra。Windows Insiders版本終於內建Linux核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="font-size:28px;">臉書終於發表加密貨幣Libra，2020上半年正式上線，還創立智能合約新開發語言Move</span></strong></p> <p>臉書執行長祖克柏在自己的臉書上宣布，正式推出臉書加密貨幣Libra。目標是要打造出一個全球性的金融基礎架構，預計在2020年正式上線。臉書同時也成立了非營利的Libra協會，來負責Libra加密貨幣的維運，目前已經有27個成員。臉書也同步發表了Libra區塊鏈白皮書(包括中文版）。<a href="https://www.ithome.com.tw/news/131332" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></a><strong><a href="https://www.ithome.com.tw/news/131332" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">1</span></span></a></strong><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/news/131332" target="_blank"><span style="background-color:#3399ff;"> </span></a> <a href="https://www.ithome.com.tw/news/131364" target="_blank"><span style="background-color:#3399ff;"> <strong>2 </strong></span></a><strong> <a href="https://www.ithome.com.tw/news/131342" target="_blank"><span style="background-color:#3399ff;"> 3 </span></a> <a href="https://www.ithome.com.tw/news/131338" target="_blank"><span style="background-color:#3399ff;"> 4 </span></a> <span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/news/131377" target="_blank"> 5 </a></span> </strong></span><strong style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/news/131352" target="_blank"><span style="background-color: rgb(51, 153, 255);"> 6 </span></a></strong><span style="color:#FFFFFF;"><strong><span style="background-color:#FFFFFF;"> </span></strong></span></p> <p> </p> <p><strong><span style="font-size: 28px;">Win 10加入Linux核心供開發者測試WSL 2</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_WSL%202.png" style="width: 500px;" /></p> <p>微軟在5月初，宣布要在Windows Insiders版本內建Linux核心，這項承諾目前已經實現了，使用者可以在Windows build 18917，開始使用到適用於Linux的Windows子系統WSL 2（Windows Subsystem for Linux 2）初始預覽版。</p> <p>微軟提到，WSL 2初始預覽版，與WSL 1相比，會有部分使用者體驗不同。過去在WSL 1中，微軟要求使用者把Linux檔案放置在磁碟C槽中，但在講求效能的前提下，為了讓WSL 2能夠更快地取得檔案系統存取權限，微軟現在要求使用者把Linux檔案放在Linux根檔案系統中，同時微軟也讓Windows應用程式可以存取Linux根檔案系統，好讓用戶可以更簡單地進行檔案轉移。<a href="https://ithome.com.tw/news/131281" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">駭客利用26款攻擊程式來散布新一代殭屍病毒Echobot</span></strong></p> <p>當駭客在2016年公布了殭屍病毒Mirai的原始碼之後，資安業者即開始追蹤相關變種的動態，近日Palo Alto Networks與Akamai相繼揭露，基於Mirai程式碼的新一代殭屍病毒Echobot正快速崛起中，而且開採能力超強，駭客已利用26種漏洞攻擊程式來散布Echobot。<a href="https://www.ithome.com.tw/news/131311" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">不只Linux伺服器，Azure也被駭客鎖定Exim漏洞攻擊</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-exim-azure.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟發出公告，近日發現Exim郵件伺服器元件的遠端指令執行（RCE）漏洞，可能影響Azure上的Linux系統用戶。</p> <p>全球將近六成或數百萬臺主機使用的郵件伺服器元件Exim，本月再被發現有編號CVE-2019-10149的遠端指令執行（Remote Command Execution，RCE）漏洞，可讓駭客以最高權限執行任意指令。受影響版本包括4.87 到4.91版的Exim。安全公司已經發現至少二波攻擊行動，包括會自我繁殖的蠕蟲，會移除Exim伺服器上的挖礦程式及任何防護工具，再安裝自己的挖礦程式，尤其鎖定Linux伺服器，包括RHEL、Ubuntu、Debian和Alpine Linux等。<a href="https://www.ithome.com.tw/news/131328" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size: 28px;">美國國土安全部成功測試Bluekeep攻擊，呼籲企業儘快修補</span></strong></p> <p class="rtecenter"><strong><span style="font-size: 28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-bluekeep.png" style="width: 500px;" /></span></strong></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_CISA</span></p> <p>你的電腦安裝Bluekeep修補程式了沒？繼美國國安局後，國土安全部表示已經成功開採舊版Windows的Bluekeep漏洞，呼籲企業及用戶儘速安裝修補程式。<a href="https://www.ithome.com.tw/news/131323" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">Telegram創辦人：DDoS攻擊IP多半來自中國</span></strong></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-telegramddos.png" style="width: 500px;" /></span></strong></p> <p><span style="color:#696969;">圖片來源_翻攝自shorturl.at/hizBJ</span></p> <p>加密傳訊服務Telegram在6月12日宣布遭到DDoS攻擊並影響全球用戶，對此Telegram創辦人Pavel Durov更直言，大多數的攻擊IP來自中國，從歷史來看，所有國家級駭客的DDoS攻擊行動都與香港的各種抗議活動同時發生，而這次也不例外。<a href="https://www.ithome.com.tw/news/131271" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size: 28px;">資安攻防新戰略MITRE ATT&CK</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tu_1zi_an_gong_fang_xin_zhan_lue_attck_she_ying_luo_zheng_han_.jpg" style="width: 500px;" /></p> <p>所謂知己知彼、百戰不殆，面對現今無法避免的針對性攻擊風險，要能夠了解自己並了解敵人，顯得越來越重要，不論是駭客攻擊手法分析與調查，以及網路威脅情報，都成為這幾年企業防護關注的焦點。不過，近一年來，出現了另一個APT防護必學的攻略，那就是以剖析攻擊面的資安框架MITRE ATT＆CK。<a href="https://www.ithome.com.tw/news/131274" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">Android的2FA金鑰功能延伸到iOS裝置</span></strong></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0613-security_keys_android.png" style="width: 500px;" /></span></strong></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>今年4月Google讓Android手機也能當成雙因素驗證（2 Factor Authentication，2FA）或兩步驟（2 Step Verification，2SV）的裝置。最近Google進一步讓這項功能也可用在iPhone等iOS裝置上。<a href="https://www.ithome.com.tw/news/131249" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>吳恩達AI新創來臺推智慧製造，鎖定產線組裝品管</strong></span></p> <p class="rtecenter"><strong><span style="font-size: 28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/dsc_0640.jpg" style="width: 500px;" /></span></strong></p> <p><span style="color: rgb(105, 105, 105);">攝影_翁芊儒</span></p> <p>由Google Brain創辦人吳恩達成立的新創公司Landing.AI，最近來臺拓展市場，其副總裁王冬岩在臺發布了在智慧製造缺陷檢測（Defect Detection）的新解決方案，直接透過攝影機分析產線上操作員的行為，來判斷產品組裝的錯誤率。<a href="https://ithome.com.tw/news/131248" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">研究：58項熱門開源專案中，有8成開發者的收入低於行業標準</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0618-opensourcesalary.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_André Staltz</span></p> <p>來自巴西的開放源碼開發者André Staltz近日替開源社群發聲，指出他調查了58項最熱門的開源專案，發現有8成開發人員的年收入低於行業標準。</p> <p>Staltz是在非營利專案贊助平臺Open Collective上選出58個最受歡迎的開源碼專案，找出它們的年收入，並在相對應的GitHub儲存庫上計算這些專案的星星數與全職的貢獻者人數。<a href="https://ithome.com.tw/news/131312" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">Chrome 76將讓第三方無法偵測無痕模式，預設關閉Flash</span></strong></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-chrome76.png" style="width: 500px;" /></span></strong></p> <p>Google在Chrome 76測試版中，修補了無痕視窗模式（Incognito mode）遭到第三方偵測的問題，且從Chrome 76起，該瀏覽器的預設值就會關閉Flash。<a href="https://ithome.com.tw/news/131302" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">微軟釋出最新.NET Core 3.0預覽版，更新能加速應用程式載入的R2R格式</span></strong></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964__NET%20Core.png" style="width: 500px;" /></span></strong></p> <p>微軟釋出了最新的.NET Core 3.0第6預覽版，更新了能夠加速程式載入速度的ReadyToRun（R2R）格式，以及可以縮減應用程式大小的組譯連結（Assembly Linking）工具IL linker。<a href="https://ithome.com.tw/news/131288" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">微軟推出Java用VS Code安裝程式，能快速設定Java開發環境</span></strong></p> <p>為了讓開發者能夠方便地使用Visual Studio Code進行Java開發工作，微軟釋出特別的Visual Studio Code安裝程式，能自動檢測開發環境，為開發者下載缺少元件，準備好Java的基本開發環境。微軟提到，開發者可以用這個安裝程式進行全新的安裝，也可以是現存環境的更新，快速地將Java加入到開發環境中。<a href="https://ithome.com.tw/news/131310" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">2019年Meeker網路趨勢報告：上網人口超過全球人口數的一半，半數集中在亞太地區</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B6%B2%E8%B7%AF%E8%B6%A8%E5%8B%A2%E5%A0%B1%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bond%20Capital.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Bond Capital</span></p> <p>網路分析天后Mary Meeker在去年離開老東家Kleiner Perkins Caufield & Byers（KPCB）並創立Bond Capital之後，今年照常發表了2019年的網路趨勢報告《Internet Trends 2019》，指出網路人口數已達38億人，首度超越全球人口數的一半，而亞太地區就佔了53%。<a href="https://www.ithome.com.tw/news/131244" target="_blank">更多內容</a></p> </div></div></div>
2019/6/21 13:00未署名https://www.ithome.com.tw/news/131339
2015年中款MacBook Pro電池有過熱問題，蘋果主動召回免費更換電池
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（6月20日）主動<a href="https://support.apple.com/15-inch-macbook-pro-battery-recall" target="_blank">召回一批於2015年中到2017年初期間出貨的15吋MacBook Pro產品</a>，原因是發生電池過熱情形而有安全疑慮。</p> <p>受影響產品主要是2015年9月到2017年2月所售出的15吋Retina螢幕MacBook Pro。蘋果將針對這批產品免費更換電池。</p> <p>在Reddit上，從<a href="https://www.reddit.com/r/macbook/comments/4tzvr0/retina_macbook_pro_2015_overheating_problems/" target="_blank">2016</a>到<a href="https://www.reddit.com/r/macbookpro/comments/6dbf91/mid_2015_mbp_15inch_heating_on_slightly_heavy/" target="_blank">2017</a>年分別有15吋MacBook Pro用戶反映產品溫度過高問題。</p> <p>MacBook Pro用戶可以檢查自己的產品是否有MacBook Pro（Retina, 15-inch, Mid 2015）的標籤字樣，再於蘋果提供的<a href="https://support.apple.com/15-inch-macbook-pro-battery-recall" target="_blank">網頁</a>輸入產品序號判斷是否符合資格，並選擇當地的Apple Store或蘋果授權維修中心預約更換。</p> </div></div></div>
2019/6/21 12:30作者林妍溱https://www.ithome.com.tw/news/131385
拜iPhone所賜，蘋果成為全球第四大遊戲公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲情報研究機構<a href="https://newzoo.com/insights/articles/the-global-games-market-will-generate-152-1-billion-in-2019-as-the-u-s-overtakes-china-as-the-biggest-market/" target="_blank">Newzoo本周公布2019年的全球遊戲市場報告</a>，<a href="https://resources.newzoo.com/hubfs/Reports/2019_Free_Global_Game_Market_Report.pdf?__hstc=133451409.68ae87bb34c8740382eedc1f08c39673.1560999595061.1561011043426.1561016095676.3&__hssc=133451409.2.1561016095676" target="_blank">指出</a>今年遊戲市場將成長9.6%，達到1,521億美元的市場規模，美國將取代中國成為全球最大的遊戲市場，而蘋果則拜iPhone之賜，成為全球第四大遊戲公司，僅次於騰訊、Sony與微軟。</p> <p>根據估計，目前全球有超過25億名的遊戲玩家，估計今年遊戲市場規模將高達1,521億美元，其中，行動遊戲佔了685億美元（45%），遊戲機佔479億美元（31.5%），PC遊戲則佔357億美元（23.5%）。</p> <p>此外，美國將在今年取代中國成為全球最大的遊戲市場，其遊戲營收規模為368.7億美元，居次的中國為365.4億美元，排名第三的日本則僅有189.5億美元。台灣在Newzoo所調查的100個國家中排名第十七，去年台灣的遊戲支出為12.6億美元。</p> <p>Newzoo分析，這是因為中國凍結新遊戲的出版長達9個月，也採取各種規定來控管小孩使用裝置的時間，儘管目前已經解凍，但相關影響無法在短時間消散。</p> <p>根據Newzoo在去年針對全球各大公司的遊戲營收調查，騰訊以197億美元拔下頭籌，成為全球遊戲公司的龍頭老大，Sony以142億美元位居第二，排名第三的微軟為98億美元，蘋果則是95億美元。</p> <p>蘋果幾乎不發行遊戲，只是藉由所經營的App Store站上全球第四大遊戲公司，但不只是蘋果，擁有Google Play的谷歌也是排行榜上的第六名，去年創下65億美元的遊戲營收。不管是蘋果或是Google，都是藉由手機與行動程式市集的經營，成為遊戲領域中的佼佼者。</p> <p>這也許也是蘋果及Google準備擴大遊戲服務的原因。蘋果已於今年3月發表<a href="https://www.ithome.com.tw/news/129591" target="_blank">Apple Arcade服務</a>，它是個跨裝置的遊戲訂閱服務，準備蒐集超過100款獨家遊戲，預計於今年秋天上線；至於Google同樣也在3月發表了<a href="https://www.ithome.com.tw/news/129466" target="_blank">遊戲串流平台Stadia</a>，亦計畫在今年展開服務。</p> </div></div></div>
2019/6/21 11:05作者陳曉莉https://www.ithome.com.tw/news/131383
Google開源可在不危及隱私的狀態下分享機密資訊的Private Join and Compute
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://github.com/Google/private-join-and-compute" target="_blank">透過GitHub</a>開源了<a href="https://security.googleblog.com/2019/06/helping-organizations-do-more-without-collecting-more-data.html" target="_blank">Private Join and Compute</a>專案，<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/private_join_and_compute.pdf" target="_blank">該專案</a>允許不同的用戶分享機密資料，找出這些資料的共通處並計算出數量，而不曝露資料中的個人身分或資訊。</p> <p>Private Join and Compute結合了兩種可保護個人資料的加密技術，它們分別是Private set intersection（PSI）與Homomorphic encryption。前者允許兩方結合其加密資料集，然後找出這兩個資料集中具備同樣身分的資料；後者則可直接在加密資料上進行特定的計算，例如計算兩邊資料集中身分一致的數量，或者是與該身分有關的數值的總和。</p> <p>簡單地說，就是在雙方資料都加密的狀態下，仍可互相分享，比對兩者資料的相同處，計算出數據，而不必讓個人身分資料曝光，保障個人隱私。</p> <p>其實Google在今年2月推出的Chrome擴充程式<a href="https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html" target="_blank">Password Checkup</a>就採用了類似的技術。當安裝Password Checkup的Chrome用戶造訪網站並輸入用戶名稱及密碼時，Password Checkup就會將其與外洩的加密資料庫進行比對，假設察覺用戶於該站所輸入的密碼出現在資料庫時，便跳出警告。</p> <p>只不過Password Checkup僅仰賴PSI，而Private Join and Compute進一步強化了PSI，屬於新型態的安全多方運算技術。</p> <p>Google表示，Private Join and Compute將讓不同的組織能夠在不危及使用者隱私的狀態下合併資料，以找出更有價值的數據，將可應用在公共政策、企業的多元化與包容性、健康照護或汽車安全標準等領域，例如觀察用來預防疾病的新藥物，是否真能減少全國患者的發病率。</p> <p>開源Private Join and Compute除了可促進不同組織的資料分享之外，Google亦期望可藉此推動安全運算的概念。</p> </div></div></div>
2019/6/21 11:45作者陳曉莉https://www.ithome.com.tw/news/131384
Kubernetes 1.15釋出，強化可靠性與可擴充性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes釋出<a href="https://kubernetes.io/blog/2019/06/19/kubernetes-1-15-release-announcement/">最新的Kubernetes 1.15版本</a>，這個版本強調了持續性改進以及可擴充性，官方提到，現在多個特殊興趣小組（Special Interest Group，SIG）正在改善功能測試的範圍，以確保Kubernetes核心功能的穩定度以及可靠度，而在擴充性方面，這個版本加入了許多CRD（CustomResourceDefinitions）以及API。</p> <p>這個版本的Kubernetes改進了安裝、升級和配置的穩定性及可用性，優先修正了裸機工具以及長時間運作的高可用性用例中發現的臭蟲。Kubernetes叢集安裝以及設定工具kubeadm也獲得更新，高可用性功能現在已經進入Beta測試階段，用戶可以使用kubeadm init和kubeadm join指令設定，並且部署高可用性控制面板，官方也推出了全新的測試套件，以確保這些功能可以長時間保持穩定運作。</p> <p>官方繼續進行將樹內（In-Tree）儲存裝置套件搬遷到容器儲存介面（Container Storage Interface，CSI）的工作，對CSI和樹內儲存裝置套件所提供的功能進行奇偶校驗，包括重新調整大小以及內聯儲存裝置等，官方推出了儲存裝置複製（Volume Cloning）Alpha測試功能，讓使用者可以指定PVC（PersistentVolumeClaim）作為資料來源，當低層的儲存系統支援該功能時，則新儲存裝置將成為來源儲存裝置的複製。</p> <p>在擴充性方面，官方提到，新的更新圍繞在改進CRD的資料一致性以及原生行為上，現在使用者在與CustomResource抑或是Golang原生資源互動時，應該察覺不出之間的差異。官方延伸了這個想法，重新評估了CRD中基於OpenAPI驗證架構，並從1.15版本開始，系統將會根據結構性架構（Structural Schema）限制，一一檢查每個架構，這將強迫使CustomResource中的架構成為非多態性（Non-polymorphic），而官方也表示，未來會繼續在其他新的功能中，採用結構性架構限制。</p> <p>Kubernetes 1.15加入了許多測試功能。1.14版本支援了多個CRD版本，在1.15這些版本可以即時的相互轉換，就如同用戶過去使用的原生資源一樣，而CRD的轉換是使用Webhook實作的，官方提到，這個功能將CRD帶到了全新的階段，用戶可以真正用來打造CRD應用程式。</p> <p>另外，CustomResourceDefinitions的刪減功能也進入Beta測試階段，刪減功能可以自動刪除發送到Kubernetes API物件的未知欄位，而未知欄位指的是，那些沒有在OpenAPI驗證架構指定的欄位，官方提到，這是增加資料一致性以及安全性的功能。</p> </div></div></div>
2019/6/21 11:55作者李建興https://www.ithome.com.tw/news/131379
Google更新App Engine，Runtime記憶體容量再加倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/application-development/app-engine-second-generation-runtimes-now-get-double-the-memory-plus-go-112-and-php-73-now-generally-available">Google宣布為其App Engine的第二代Runtime執行個體，提供原本兩倍的記憶體</a>，並且也正式支援Go 1.12以及PHP 7.3。官方提到，給予App Engine第二代Runtime應用程式兩倍的記憶體，可以讓應用程式更輕鬆地載入語言函式庫，也能透過增加多程序或是多執行緒，進行垂直擴充以提升運算能力（Concurrency），這項更新用戶不需要支付額外費用。</p> <p>另外，在Google推出App Engine的第二代Runtime的同時，也宣布會更積極地支援各種開發語言，除了加入Node.js 10、PHP 7.2、Python 3.7和Ruby 2.5外，現在支援的語言版本，還多了Go 1.12和PHP 7.3。Google也提到，第二代Runtime可以跟新推出的無伺服器服務Cloud Run整合使用，Cloud Run讓用戶可以在現有GKE叢集或是以完全託管的方式，執行任何無狀態的容器應用程式。</p> </div></div></div>
2019/6/21 12:10作者李建興https://www.ithome.com.tw/news/131381
微軟釋出堡壘主機服務Azure Bastion，VM不用公共IP也能以RDP和SSH連接
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-preview-of-microsoft-azure-bastion/">微軟為Azure虛擬機器使用者提供堡壘主機（Bastion Host）服務Azure Bastion預覽</a>，用戶不需要因為想要使用遠端桌面協定（Remote Desktop Protocol，RDP）或是SSH連接，就將虛擬機器的IP位置暴露在公共網路，現在用戶可以透過Azure Bastion使用RDP和SSH操作虛擬機器。</p> <p>Azure Bastion是一個全新託管PaaS服務，提供堡壘主機即服務，用戶以瀏覽器並在Azure Portal上設定，無需管理網路安全政策，就能透過SSL無縫地使用RDP和SSH連接到虛擬機器。微軟表示，部署獨立專用的跳轉服務，通常需要進行手動操作，使用基於IaaS的特殊解決方案，像是RDS（Remote Desktop Services）閘道器、身份驗證配置、安全政策以及存取控制列表等，而使用Azure Bastion，則為用戶省去了這些繁瑣的設定與管理工作。</p> <p>目前預覽版Azure Bastion主要的功能，除了用戶可以直接在Azure Portal啟動Azure Bastion服務，讓用戶以SSL使用RDP和SSH連接，Azure虛擬機器不需要使用公共IP，以避免基礎設施暴露在公共網際網路外，網頁客戶端也會自動串流到用戶的本機端裝置，在連接埠442以SSL提供RDP和SSH對話，這將能夠簡單且安全的穿越企業防火牆，另外，Azure Bastion也強化了連接埠的保護，避免外部安全威脅掃描虛擬機器連接埠。</p> <p>微軟也預告，未來Azure Bastion會與Azure Active Directory整合，讓用戶使用SSO以及多因素身份驗證，而微軟也會支援原生RDP和SSH客戶端應用程式，在安全性上，他們會加入完整的錄影功能，方便管理者審核連線。</p> </div></div></div>
2019/6/21 12:15作者李建興https://www.ithome.com.tw/news/131382
防護APT攻擊的必學戰略：MITRE ATT&CK框架
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/925-feng_mian_gu_shi_-1_open-960_x_420.jpg?itok=CoKTHDul" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對當今無孔不入的駭客入侵行為，近年MITRE提出的ATT&CK框架，不只讓入侵手法描述有共通語言，也是企業攻防演練與評估EDR產品的利器，受到資安領域的極大重視，這次我們將從ATT&CK的基本概念到應用趨勢，幫助大家更快認識這項最新資安攻略。</p> <p> </p> </div></div></div>
2019/6/21 09:00作者羅正漢https://www.ithome.com.tw/article/131277
Fintech周報第104期：新光人壽上線行動身分識別服務，保戶可用手機門號線上申辦網路保險服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0615-0621</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新光人壽 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動身分識別服務 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新光人壽上線行動身分識別服務，保戶可用手機門號線上申辦網路保險服務</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">新光人壽宣布與臺灣網路認證公司（臺網公司）合作，於6月17日正式上線Mobile ID行動身分識別服務，搶先成為保險業首家導入此服務的壽險公司。新光人壽將把行動身分識別服務，應用在網路會員註冊機制。新光人壽的保戶，憑著手機門號，就能通過實名身分驗證，成為新光人壽網路會員，申辦網路保險服務，進行個人聯絡資料修改、保單內容變更、保單借款，以及線上理賠申請等網路服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">新光人壽數位服務發展部資深協理廖晨旭表示，新光人壽會與臺網公司合作，推出讓保戶透過手機進行實名認證，申辦網路保險服務。是由於民眾到電信門市申辦手機門號時，須本人持雙證件到門市申請，所以，新光也透過已能確認為本人身分的手機門號，進行保戶的身分識別後，保戶就不用再親自到新光人壽櫃檯辦理，或者是線上使用讀卡機認證了。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臉書 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣Libra </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臉書終於發表加密貨幣Libra，2020上半年正式上線</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%87%89%E6%9B%B8%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3Libra.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">臉書執行長祖克柏正式推出臉書加密貨幣Libra，目標是要打造出一個全球性的金融基礎架構，預計在2020年正式上線。臉書同時也成立了非營利的Libra協會，來負責Libra加密貨幣的維運，目前已經有27個成員。臉書更同步推出Libra加密貨幣的電子錢包Calibra，可提供Libra加密貨幣全球轉帳服務，就算沒有臉書或WhatsApp帳號，使用者也可以透過官方身分證件來申請Calibra帳號，等於這是一個採取實名制或臉書帳號制的加密貨幣電子錢包。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">Calibra屬於臉書子公司，但會獨立營運，也會遵守各國支付法規的要求。祖克柏強調，用戶提供給Calibra的個資，會和臉書的資料庫分別保存。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">Libra區塊鏈是一個去中心化可程式化的分散式資料庫，由負責節點來提供驗證。但要提供驗證節點的最低投資金額為1千萬美元，節點維運者也將成為Libra協會成員。臉書是發起成員，在2019年將會主導協會發展。臉書旗下負責打造Libra電子錢包的Calibra平臺，將會成立一個Libra network，屆時，臉書將和其他協會成員的權限平等，來共同主導Libra區塊鏈的發展，包括Libra儲備機構的管理。<strong><a href="https://www.ithome.com.tw/news/131332">（更多內容）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247); vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);">臉書Libra惹議 </span></strong><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 隱私 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 動搖貨幣制度 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臉書加密貨幣系統Libra惹議，美國政府要求臉書暫停開發</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_The%20House%20Committee%20on%20Financial%20Services.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臉書公布自有加密貨幣系統Libra震撼各界，立即引發包括政界、主管機關對隱私、動搖貨幣制度等擔憂。臉書保證，Libra用戶資料會和臉書用戶資料分開保存，不會被拿來對Libra用戶發送廣告，此外也使用區塊鏈技術，確保去中心化管理及資料完整性，也會引入防範詐欺或洗錢的流程與技術。儘管如此，Libra的推出仍然引發政界及民間質疑，臉書可能侵犯隱私及動搖現有貨幣制度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國眾議院金融委員會主席Maxine Waters要求臉書高層到國會作證，同時主張臉書應停止Libra的開發，直到立法及主管機關審核通過。Waters聲明指出，臉書發布建立加密貨幣的計畫，藉此持續其無所限的擴張，將黑手伸入用戶的日常生活中。歐洲也表達其質疑。彭博報導，歐洲議會德國籍議員Markus Ferber擔心，臉書挾其20億用戶可能變成「影子銀行」。此外，法國財政部長Bruno Le Maire相信Libra不應被視為可取代傳統貨幣，Libra變成主權貨幣這件事不會、也絕不能發生。他也要求G7國家的中央銀行主管，下個月針對隱私、洗錢和恐怖主義經濟發布報告。</span><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><a href="https://www.ithome.com.tw/news/131338">（更多內容）</a></strong><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 渣打集團 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FinTech策略 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">渣打揭露集團FinTech創新發展3策略</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%B8%A3%E6%89%93%E9%8A%80%E8%A1%8C%E7%B8%BD%E7%B6%93%E7%90%86_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%B8%A3%E6%89%93%E5%9C%8B%E9%9A%9B%E5%95%86%E6%A5%AD%E9%8A%80%E8%A1%8C.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">渣打國際商業銀行總經理林遠棟在一場自家舉辦的活動上，揭露了渣打集團在FinTech發展的三大策略，渣打集團也已投入資源發展與推動。林遠棟指出，策略一是突破傳統銀行做法，發展新的商業模式。二是投資新創產業及成立新創基金。三是導入FinTech科技，提升客戶滿意度及強化關係。他也提到渣打銀行在臺灣的動向，會跟隨集團這三大策略積極推動，並整合集團資源，提升在地金融服務數位化。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">林遠棟更說明了渣打銀行在臺推動三大策略的最新進程。包括了參股LINE Bank純網銀，並參與執照申請。在投資新創產業方面，渣打集團在今年3月推出FinTech Bridge，提供新創團體、投資者和創業加速器等聯繫的平臺。在導入FinTech科技方面，今年陸續成立渣打iWealth 數位旗艦、推出24小時線上外匯交易平臺。渣打同時也引進Jarvis數位平臺，整合品牌及產品服務，並運用資料整合分析，提供銀行人員銷售，以及提供客戶客制化的建議。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 虛擬貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 洗防法納管 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 自律組織 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">洗防法納管虛擬貨幣範圍出爐，鎖定加入2大國內自律組織業者，下半年預告子法後上路</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣在去年11月正式三讀通過了洗錢防制法第五條修正案，將虛擬通貨平臺及交易業務，正式納入洗錢防制的一環。然而，洗防法修正案三讀通過後已7個月，相關子法卻還沒訂定出來，以至於法令無法上路。根據聯合報報導，法務部與金管會，終於敲定了虛擬貨幣業者的納管範圍，將以加入自律組織的業者為納管對象，接著才會訂定子法，將在下半年預告子法後上路，正式將虛擬貨幣業者納入反洗錢管理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，國內有兩大虛擬貨幣自律組織，分別是「亞太區塊鏈產業自律聯盟」與「臺灣區塊鏈暨加密貨幣自律組織」，參與自律組織的約有近20家業者，包括了虛擬貨幣交易平臺業者、虛擬貨幣交易所等。只要是有加入這兩大自律組織的業者，都是納管對象，金管會也預計在今年下半年訂定相關子法，預告後即可上路。此外，超商雖可讓民眾在超商購買虛擬貨幣，但是替虛擬貨幣業者做代收付通路，所以，並不再直接納管範圍之內，未來，可以由虛擬貨幣業者自行管理並約束超商。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE Pay mini </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動支付收款機 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">LINE Pay mini行動支付收款機，開始在臺積極拓展使用據點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_LINE%20Pay%20mini_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">被稱為「小綠機」的LINE Pay mini行動支付收款機，在今年1月正式登臺後，5月起陸續開放商戶申請。LINE指出，推出至今，包括大台北地區多個商圈及多家連鎖品牌店舖，包括G2000、喫茶小舖與三元花園韓式餐廳等，已可利用LINE Pay mini結帳。6月下旬，LINE Pay mini更將進駐喜樂時代影城、台北萬豪酒店和金石堂書店。可以看到，LINE積極在臺拓展LINE Pay mini的使用據點。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">這臺LINE Pay mini行動支付收款機，讓商家可接受LINE Pay所有支付選項，消費者可以用LINE Pay綁定的信用卡、LINE Pay一卡通帳戶餘額、LINE Points點數，以及iPASS一卡通票卡等四種方式付款。由店員輸入金額後，消費者只要掃描QR code或感應票券，即可完成支付。此外，LINE Pay mini也支援NFC感應支付，消費者只要將手機靠近機臺即可付款。也由於這臺行動支付收款機只有430g，且體積輕巧，甚至不用插線即可使用，讓店員不再限於櫃臺結帳，而是可以到顧客桌邊進行結帳的動作。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：攝影／李靜宜；</span></span><span style="font-size: 14pt; vertical-align: top;">Facebook</span><span style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">、</span></span>Financial Svcs Cmte<span style="font-size: 14pt; vertical-align: top;">’s twitter、</span>渣打國際商業銀行</p> <p><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong style="font-size: 14pt; vertical-align: top;"> </strong><strong>新創Bincentive推出去中心化加密貨幣智能跟投平臺</strong><br /><strong style="font-size: 18.6667px;">2. <a href="https://www.ithome.com.tw/news/131299">有「中國那斯達克」之稱的上海科創板正式上線</a></strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2019年6月</strong></p> </div></div></div>
2019/6/20 18:56作者李靜宜https://www.ithome.com.tw/news/131380
Ubuntu 19.10停止支援i386架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/123123">去年5月，Ubuntu社群又再次激烈地討論要放棄支援i386硬體</a>，而終於現在這項決定成真了，<a href="https://lists.ubuntu.com/archives/ubuntu-devel-announce/2019-June/001261.html">Ubuntu工程團隊已經確認，從Ubuntu 19.10開始，將不會再支援i386的架構</a>，官方也不會再提供32位元的上游函式庫，但對於現存Ubuntu 18.04LTS的32位元用戶不受影響。</p> <p>過去Ubuntu社群已經多次討論終止支援i386架構這個議題，主要原因是，現在市面上已經難以買到支援Amd64（Intel64）的i386硬體，這個規格十分老舊，許多製造商在10年前就已經不再生產，再加上去年嚴重的<a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown">Meltdown漏洞，Ubuntu至今尚無法釋出x86 32位元的修補程式</a>。社群在2016年所做的決議是，當2018年Ubuntu在i386仍然可以安全地運作，那就能夠繼續支援，顯然這個前提在<a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SpectreAndMeltdown">Meltdown漏洞</a>出現後已經不成立。</p> <p>雖然不少人都贊成放棄支援i386架構，但社群中仍有不同的聲音，有成員提到Ubuntu放棄i386架構，將會對FPGA（Field Programmable Gate Array）相關產業產生重大的影響，而<a href="https://lists.ubuntu.com/archives/ubuntu-devel/2018-May/040348.html">Ubuntu社群重要成員Steve Langasek則回應</a>，Ubuntu 18.04用戶在2023年4月之前都能夠獲得安全性更新，Ubuntu 18.04也能以chroot或是容器的方式，在更新的Ubuntu版本上運作。</p> <p><a href="https://discourse.ubuntu.com/t/i386-architecture-will-be-dropped-starting-with-eoan-ubuntu-19-10/11263/2">官方建議</a>，那些只支援32位元的軟體，開發者可以把軟體發布成Ubuntu的容器化應用程式套件Snap，透過支援32位元的Runtime執行，就可在新的Ubuntu版本上執行。</p> <p>Steve Langasek再次在今年2月提到，由於64位元英特爾晶片執行32位元i386核心比起64位元核心，在安全性上弱非常多，因此他們不希望到了20.04 LTS還要支援i386架構，會在今年中期，要決定20.04 LTS方向時作出最終決定。為此官方先禁止了i386系統從18.04升級到18.10，以避免在18.10的9個月安全支援時間結束，用戶會處在缺乏安全更新的臨時版本中，而非擁有5年安全支援的長期支援版本18.04。</p> <p>現在時限已到，Ubuntu工程團隊已經確定，從Ubuntu 19.10開始以及未來的版本將不會支援i386架構，官方會從Ubuntu Eoan系列開始終止程序。Ubuntu在2017年開始停止供應32位元安裝映像檔，從那之後許多發行版以及軟體供應商都跟進開始停止支援i386架構，因此Ubuntu完全終止32位元支援也僅是時間問題，官方也提到，現在僅有1％的用戶執行32位元系統，要為這少數人維護i386架構，卻要付出很大的成本。</p> </div></div></div>
2019/6/20 17:10作者李建興https://www.ithome.com.tw/news/131372
Youtube傳因侵犯兒童隱私遭FTC調查，可能全數移除兒童影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/youtube-under-fire-considers-major-changes-to-kids-content-11560953721" target="_blank">華爾街日報報導</a>，因應美國政府的調查，Google高層考慮大幅更新兒童影片管理規則，甚至將YouTube主站所有以兒童為主角的影片全數移除、集中到YouTube Kids app中。</p> <p>此舉可能是因應YouTube影片面臨侵犯兒童隱私調查的結果。<a href="https://www.washingtonpost.com/technology/2019/06/19/facing-federal-investigation-youtube-is-considering-broad-changes-childrens-content/）及紐約報（https://www.nytimes.com/2019/06/19/technology/youtube-child-privacy.html" target="_blank">華盛頓郵報</a>本周三分別引述消息人士報導，美國聯邦交易委員會（FTC）從2015年起，接獲多起來自家長和消費者投訴YouTube影片侵犯未成年用戶隱私後<a href="http://www.commercialfreechildhood.org/sites/default/files/devel-generate/tiw/youtubecoppa.pdf" target="_blank">啟動調查</a>，如今調查已來到最後階段、即將完成。</p> <p>YouTube被投訴的重點包括YouTube違反美國兒童線上隱私法（Children's Online Privacy Act）不當蒐集未成年用戶的個資，以及將不適宜的內容顯示給這些用戶，例如在搜尋兒童專用影片時，Youtube竟然顯示成人、假訊息和有害內容。消息人士指出，調查公布後，FTC可能會對YouTube開罰。</p> <p>至本文刊出前，FTC對此事並未作出回應。</p> <p>有鑒於FTC近日針對臉書劍橋分析洩露8700萬名用戶個資可能重罰30到50億美元，YouTube的母公司Google也不敢怠慢。華爾街時報報導，Google高層正在商討改善之道，包括修改YouTube演算法、關閉接續播放影片的功能、甚至討論把所有以兒童為主角的影片由YouTube主站全數移除，搬到YouTube Kids上，不過YouTube方面表示許多都還只是構想而已。</p> <p>本月初YouTube已經加強把關，<a href="https://www.ithome.com.tw/news/131135" target="_blank">禁止</a>13歲以下兒童在缺乏成人的陪伴下進行直播以禁止兒童色情和剝削，並關閉了這些影片的留言功能，估計至少有數千萬個影片受到波及。</p> </div></div></div>
2019/6/20 16:05作者林妍溱https://www.ithome.com.tw/news/131376
美國參議院將召開臉書Libra聽證會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在臉書於6月18日盛大<a href="https://www.ithome.com.tw/news/131332" target="_blank">發表了Libra加密貨幣</a>之後，隔天美國參議院的銀行、住家與城市事務委員會（Banking, Housing and Urban Affairs）即<a href="https://www.banking.senate.gov/newsroom/majority/banking-committee-schedules-hearing-on-facebooks-cryptocurrency" target="_blank">宣布要召開聽證會</a>，以審查臉書的Libra與資料隱私問題，日期則訂在7月16日。</p> <p>其實銀行委員會早在華爾街日報於今年5月披露臉書的Libra專案之後，就曾去信<a href="https://www.banking.senate.gov/imo/media/doc/5.9.19%20Facebook%20Letter.pdf" target="_blank">要求臉書對此提出說明</a>，但據傳臉書直至今日都未回覆該信件。</p> <p>從此一信件的內容即可理解銀行委員會的擔憂，他們想釐清Libra專案對消費者保護及隱私的作法，也想知道臉書能否確認Libra符合所有法規的要求，以及臉書是否取得了個人的信用評等，以及如何避免違反《公平信用報告法案》（ Fair Credit Reporting Act）等。</p> <p>在臉書於本周公布了Libra專案之後，身為銀行委員會一員的<a href="https://twitter.com/SenSherrodBrown/status/1141039013916303361?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1141039013916303361&ref_url=https%3A%2F%2Fwww.theverge.com%2F2019%2F6%2F18%2F18683996%2Ffacebook-cryptocurrency-democrat-sherrod-brown-oversight-libra" target="_blank">參議員Sherrod Brown就說</a>，臉書的規模已經過大也太強大，更利用它的強大來開採使用者的資料，並未保護使用者隱私，他們無法允許臉書在未經監督下，經營高風險的新加密貨幣。</p> <p>除了參議會之外，美國眾議會金融服務委員會的主席 Maxine Waters，也因臉書過去在保護用戶隱私的風評太差而<a href="https://www.ithome.com.tw/news/131338" target="_blank">發表了聲明</a>，指出目前的加密貨幣市場缺乏可保護投資人、消費者與整體經濟的明確法律框架，監管機構應該認真看待因加密貨幣而衍生的交易風險、網路安全風險，以及對隱私及國家安全的影響。</p> <p>Waters還要求臉書應暫時開發Libra，直到國會與監管機構完成相關議題的審查，並說臉書高層應向美國眾議院金融服務委員會報告此事。</p> </div></div></div>
2019/6/20 16:30作者陳曉莉https://www.ithome.com.tw/news/131377
AI趨勢周報第89期：微軟PowerPoint新增AI工具Presenter Coach，化身你的簡報教練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0614～0620)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PowerPoint </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI工具 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟PowerPoint新增AI工具Presenter Coach，要當用戶的簡報教練</strong></span></p> <p>微軟近日推出PowerPoint AI新工具Presenter Coach，能針對用戶的簡報表現即時提供建議，讓用戶演講更完美。進一步來說，Presenter Coach提供用戶演練模式（Rehearsal mode），當用戶對著螢幕一張張簡報演練時，Presenter Coach會藉麥克風收音來分析用戶的說詞、語調和說話速度，要是出現太多語助詞，或是因緊張而說話速度太快，Presenter Coach就會馬上提醒用戶。此外，要是用戶對著簡報照本宣科，系統也會通知用戶改進。</p> <p>不只如此，Presenter Coach還可以分析演講的內容，來提供措辭建議，比如用戶說了Best man for the job，系統會提示該用法可能有性別歧視之意，應減少使用。當用戶演練結束時，Present Coach會產生一份報告，來告訴用戶什麼地方該改進。微軟表示，該工具預計於今年夏季上線。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/06/18/powerpoint-ai-upgrade-designer-major-milestone-1-billion-slides/?wt.mc_id=AID729583_QSG_SCL_347316&ocid=AID729583_QSG_SCL_347316&utm_source=youtube.com&utm_medium=referral">（詳全文）</a></p> <div class="media_embed" height="480px" width="853px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="480px" src="https://www.youtube.com/embed/Zx56ra4XtXM" width="853px"></iframe></div> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">MIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人感知 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAN </span></strong></span></p> <p><span style="font-size: 22px;"><strong>賦予機器人感知能力！MIT用GAN讓機器人靠觸覺來推測物體外觀</strong></span></p> <p>麻省理工學院近日發表新研究成果，利用對抗生成網路（GAN）訓練出一套AI系統，不只能從機器人接收到的觸覺訊號來推測物體影像，還可從接收到的影像訊號，來推測物體觸感。</p> <p>研究員首先採用KUKA機器人手臂，再加上一個自建的GelSight觸覺感測器，來收集觸覺訊號，系統再利用這些訊息，來理解視覺和觸覺訊息間的關係。為教導AI用觸覺來辨識物體，研究員利用VisGel資料庫中的1萬2千個、包含200個物體的視覺和觸覺影片，來訓練GAN模型。研究員指出，實驗結果發現，「我們的AI模型可以純粹藉由觸覺來預測物體與環境的相互作用。」也進一步強調，結合視覺和觸覺兩種感官，可增強機器人能力，並減少機器人在操縱和抓取物體任務時所需的資料。不過，目前該機器人只能辨識受控環境中的物體。研究員計畫建置更廣泛的資料集，讓機器人可在更多樣的環境中工作。<a href="https://www.csail.mit.edu/news/teaching-artificial-intelligence-connect-senses-vision-and-touch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Gelsight_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_MIT.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> STEAL </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia研究員發表STEAL，讓語義邊界預測更精準</strong></span></p> <p>來自Nvidia和多倫多大學的研究員日前設計了一個語義邊界預測的新框架STEAL（Semantically Thinned Edge Alignment Learning），可更精準地偵測和預測物體的起始邊界（也就是影像中物體邊緣的像素），能有效改善現有電腦視覺模型的推理，比如3D重建、圖像生成和物體偵測等類型，也有助於標記模型訓練資料。</p> <p>該研究的目標，是要藉由理解訓練時的標註噪音，來學習精準的語義邊界。於是，研究員設計了一個簡易的layer和loss，可用於現有的機器學習邊界偵測器。進一步來說，STEAL框架以主動對齊方法，在訓練期間對標註雜訊（Annotation noise）進行推理，並利用水平集方法，來從錯位標籤中學習，來達到預測物體邊界像素。<a href="https://nv-tlabs.github.io/STEAL/">（詳全文）</a></p> <p><img alt="" src="https://nv-tlabs.github.io/STEAL/resources/steal_video.mp4" /><img alt="" class="media-image img__fid__51187 img__view_mode__media_large attr__format__media_large" src="https://nv-tlabs.github.io/STEAL/resources/steal_video.mp4" /><a href="https://nv-tlabs.github.io/STEAL/resources/steal_video.mp4"><img alt="" src="https://nv-tlabs.github.io/STEAL/resources/steal_video.mp4" /><img alt="" src="https://nv-tlabs.github.io/STEAL/resources/intro.png" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自動開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料科學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM資料科學平臺新增自動化AI，甚至可自動優化參數</strong></span></p> <p>IBM資料科學應用開發工具Watson Studio最近新增了一系自動化功能AutoAI，可供資料科學家簡化AI應用的建置過程，包括資料處理與預處理等工作，使其能專注在機器學習模型的設計和部署上。</p> <p>該功能位於IBM Cloud上的Watson Studio，可自動執行如模型開發和特徵工程等工作；AutoAI的超參數最佳化功能，可協助資料科學家建立機器學習模型，並內建梯度提升樹等一系列適用於企業資料科學的模型類別。此外，AutoAI也支援IBM去年發布的神經網路合成（NeuNetS）技術；NeuNetS能自動合成自定義神經網路，除了能讓用戶選擇為模型進行速度或精確度最佳化，還可即時監看模型建置和訓練過程。<a href="https://www.ibm.com/cloud/watson-studio/autoai">（詳全文）</a></p> <div class="media_embed" height="399px" width="709px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="399px" src="https://www.youtube.com/embed/P-Wzhf36dTg" width="709px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臉書</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 具體化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI Habitat </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉書開源具體化AI平臺AI Habitat </strong></span></p> <p>臉書最近開源了具體化AI（embodied AI）平臺AI Habitat，為一套模擬平臺，供研究員在逼真的3D環境中訓練如虛擬機器人等具體代理人，而且可結合臉書Replica或第三方Gibson與Matterport3D等3D環境資料集。</p> <p>AI Habitat平臺由Habitat-Sim、Habitat-API及Habitat Challenge等3個元件所組成，其中Habitat-Sim是個3D模擬器，具備可配置的代理人、感應器，也能處理各種3D場景資料集，單執行緒即可達到數千FPS，若是在單個GPU上的多程序，則能超過1萬FPS。Habitat-API則是一個模組化的函式庫，用來定義具體化AI的任務，像是導航、聽從指令或回答問題等。而Habitat Challenge則是號召研究人員參與的挑戰賽，與傳統AI挑戰賽不同的是，它要求參賽者上傳不具預測功能的程式碼，並於一個全新的環境中測試代理人的反應。<a href="https://aihabitat.org/">（詳全文）</a></p> <p><img alt="" class="media-image img__fid__51188 img__view_mode__media_original attr__format__media_original" src="https://scontent.ftpe7-3.fna.fbcdn.net/v/t39.2365-6/64727526_194980668073714_1194321763819847680_n.png?_nc_cat=108&_nc_ht=scontent.ftpe7-3.fna&oh=3af579e07b4b16e6587eaf2f2440daa5&oe=5D8C0EB5" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 應用程式開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CUDA-X HPC </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia釋出高效能計算應用程式開發包</strong></span></p> <p>Nvidia為高效能電腦釋出複雜運算的開發包CUDA-X HPC，集結了一系列的函式庫、編譯器和API等，協助開發者打造多元高效能電腦應用。CUDA-X HPC以自家平行運算架構CUDA為基礎，其內有精密調校的內核，還包括用於線性代數、平行演算法、訊號與影像處理的GPU加速函式庫。</p> <p>Nvidia指出，CUDA-X HPC函式庫清單會時常進行延伸和微調，以利用混合精度運算等新演算法來創新內容。其中的線性代數函式庫包括了 BLAS、Math及SOLVER函式庫，讓開發者享有更多功能和彈性。而CUDA-X HPC中還有用來優化張量（cuTENSOR）的基礎函式庫、快速傅立葉變換（cuFFT）函式庫，以及用於影像和訊號處理的Nvidia GPU加速函式庫（NPP）、Nvidia平行演算法與資料結構函式庫Thrust等。此外，CUDA-X HPC還包含了Nvidia Nsight開發者工具，可提供GPU除錯和分析工具，來幫助開發者找出系統效能瓶頸。<a href="https://news.developer.nvidia.com/nvidia-announces-cuda-x-hpc/">（詳全文）</a></p> <p><img alt="" src="https://lh5.googleusercontent.com/TRfir7mn27fjIV4Hkar7pWPv_hKjiRHK5X_JsjnJg30XiBfpcj7VgLacrlADNqDxEpDbN_gy_tNEYZpkYg7nm4ibSb8ewzCMXL8a8igOpVZga5lsrmyOFZYUfRizKQiZm9gQYtCU" style="width: 974px; height: 402px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">微軟</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Power平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI工具 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Power平臺加入AI建置工具，只要少量程式碼就能在企業App新增AI功能</strong></span></p> <p>微軟在其PowerApps和Microsoft Flow中加入AI建置工具AI Builder，用戶只需撰寫少量程式碼，就能在應用程式中添加AI功能。進一步來說，用戶可在PowerApps Studio或Microsoft Flow網站的導覽介面中使用AI Builder，而其下的模型頁籤，可讓用戶查看各機器學習模型的重要訊息，或進行模型部署、測試等操作。AI Builder提供了多種常用的AI功能，包括二元分類、文字分類、物體偵測、名片讀取器以及表格處理。</p> <p>AI Builder還可從用戶標記的文字中學習，並處理儲存於Power平臺中的非結構化文字資料，並重新分配到組織特有的分類。用戶還可以將AI Builder、PowerApps以及Microsoft Flow綜合應用，就能自動化業務流程，也能用於訂閱用戶流失或是預測分析。<a href="https://docs.microsoft.com/en-us/ai-builder/overview">（詳全文）</a></p> <p>圖片來源／MIT、IBM、微軟、臉書</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 微軟釋出ML.NET 1.1，加入異常偵測演算法</strong></p> <p><strong>2. Nvidia發表開發自駕車軟體的超級電腦DGX SuperPOD </strong></p> <p><strong>3. 虎頭山創新園區開幕，車聯智駕和資安物聯網2大中心亮相</strong></p> <p>資料來源：iThome整理，2019年6月</p> </div></div></div>
2019/6/20 13:04作者王若樸https://www.ithome.com.tw/news/131363
美奧勒岡州健保署員工誤點網釣信件，害64萬人個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國奧勒岡州健保署（Department of Human Services，DHS）年初遭網釣攻擊，造成64.5萬名居民個資外洩。該部門本周三以郵件<a href="https://www.oregon.gov/DHS/DHSNEWS/NewsReleases/Notices%20mailed%20to%20645%2C000%20clients%20possibly%20impacted%20by%20data%20breach.pdf" target="_blank">通知</a>受影響的民眾。</p> <p>奧勒岡州健保署今年一月遭網釣攻擊，有9名員工不慎開啟郵件，點入郵件挾帶的惡意網站連結。這些員工於隔天起分別通報，健保署並在1月28日前確認所有受影響帳號並予以關閉。根據安全小組調查，雖然沒有惡意程式植入到員工桌機或筆電，但確認網釣攻擊已經造成資料外洩。</p> <p>在外部安全公司的協助下，奧勒岡州健保署調查從1月8日到28日，估計有200萬筆電子郵件及報告附件遭駭，影響64.5萬人。外洩資訊包括居民姓名、住家地址、生日、社會安全碼、案號、個人健康資訊和其他DHS計畫使用的資訊。其中外洩的個人健康資訊，包括健康保險可攜及責任法案（HIPAA）涵括的受保護健康資訊（Protected Health Information）。至於這些資訊是否被存取或遭非法使用則不得而知。</p> <p>奧勒岡州三月底曾<a href="https://www.oregon.gov/DHS/DHSNEWS/NewsReleases/Data-Breech-News%20Release-2019-03-21.pdf" target="_blank">公佈</a>此事，不過當時只估計有35萬。本周三（6月19日）的公告則是個別通知受影響的民眾，DHS並為這些民眾提供身份盜竊外洩監控服務及受害保險。</p> </div></div></div>
2019/6/20 15:50作者林妍溱https://www.ithome.com.tw/news/131373
甲骨文緊急修補已遭開採的WebLogic漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文在6月18日緊急修補了位於WebLogic Server的一個嚴重漏洞<a href="https://www.oracle.com/technetwork/security-advisory/alert-cve-2019-2729-5570780.html" target="_blank">CVE-2019-2729</a>，該漏洞允許駭客執行遠端程式攻擊，且已被開採，在總分10分的CVSS漏洞評分系統中高達9.8分，因而呼籲用戶儘快更新。</p> <p>根據甲骨文的說明，這是WebLogic Server Web Services藉由XMLDecoder所造成的反序列化漏洞，允許未經身分認證的駭客自遠端開採並執行任意程式。</p> <p>中國資安業者「知道創宇」（KnownSec）指出，他們已經分析並複製了此一漏洞，顯示出該漏洞繞過了甲骨文<a href="https://www.ithome.com.tw/news/130363" target="_blank">日前針對CVE-2019–2725漏洞所進行的修補</a>。CVE-2019–2725同樣也是存在於WebLogic Server的反序列漏洞，亦是先遭到駭客開採後才緊急修補。</p> <p><a href="https://isc.sans.edu/diary/rss/25050" target="_blank">SANS網路風暴中心（SANS ISC）則說</a>，甲骨文向來在修補這些反序列化漏洞時，都是採用黑名單作法，封鎖特定種類的反序列化，但這往往會形成貓捉老鼠的情況，使得這類的漏洞不斷出現。</p> <p>此一漏洞影響Oracle WebLogic Serve10.3.6.0.0、12.1.3.0.0與12.2.1.3.0版本。</p> </div></div></div>
2019/6/20 16:00作者陳曉莉https://www.ithome.com.tw/news/131374
微軟訓練AI推動Windows 10 1903版自動更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10 May 2019（1903版）正式釋出將近一個月，或許已經有用戶自主安裝更新了，不過微軟認為還不夠多。微軟<a href="https://docs.microsoft.com/zh-tw/windows/release-information/status-windows-10-1903" target="_blank">表示</a>將開始訓練機器學習（machine learning）技術，幫助1803版本以前的PC更新到最新版本。</p> <p>在今年五月底釋出至今，要手動啟用Windows Update設定並選擇「檢查更新」的用戶，才會下載和安裝Windows 1903。同時間微軟也說，為了提供PC用戶無縫隙的保障，將會在Windows 10支援屆滿前幾個月，提早發出更新通知。上周微軟已經<a href="https://www.ithome.com.tw/news/131216" target="_blank">預告</a>一年前釋出的1803版本的家用及專業（Pro）版本、Pro for Workstation及IoT Core即將於今年11月支援到期，最快會在本月發出通知。</p> <p>微軟說公司已經開始打造並訓練機器學習（machine learning）為基礎的部署流程，以幫助跑1803版本及舊版Windows的PC 更新到最新版本，確保裝置獲得最新版功能及安全更新。這也意謂著Windows電腦將啟動自動更新。</p> <p>不過針對有自己更新步調的企業用戶，<a href="https://twitter.com/WindowsUpdate/status/1141125011115134976" target="_blank">微軟表示</a>將會以企業政策為準，在符合政策之前不會主動執行功能更新。</p> <p>尷尬的是，根據微軟網頁，目前1903版還是不斷有些問題，包括Windows Sandbox啟動問題，使更新安裝期間語言設定會改變、以及在部份電腦發生app不相容、音效問題。此外，稍早發現1903版的藍牙、<a href="https://www.ithome.com.tw/news/130927" target="_blank">WiFi晶片驅動程式</a>及<a href="https://www.ithome.com.tw/news/130203" target="_blank">USB/外接硬碟</a>不相容問題也還在努力解決中，微軟預計六月會修好。</p> </div></div></div>
2019/6/20 13:20作者林妍溱https://www.ithome.com.tw/news/131365
三星：折疊手機Galaxy Fold即將問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星顯示器部門主管周四（6月20日）透露，首款折疊手機Galaxy Fold和螢幕有關的問題大致已經解決，即將推向市場。</p> <p>韓國媒體The Investors<a href="http://www.theinvestor.co.kr/view.php?ud=20190619000593&ACE_MAIN=2" target="_blank">報導</a>，三星顯示器事業群副總裁Kim Seong-cheol周三（6月19日）在一場公開活動的演說中指出，Galaxy Fold顯示器的問題「大致」排除，已準備好上市。</p> <p>他指出，顯示器將可充份發揮手機高速連網、智慧及沈浸式通訊的特色，並加速新機種的出現，是5G時代的要角。Galaxy Fold的螢幕主要由三星顯示器事業群供貨。</p> <p>但上市確切時程仍有待三星發佈官方消息。</p> <p>三星於四月宣佈售價1980美元的Galaxy Fold，原本預計領先同業，於四月底正式開賣折疊手機。不過卻在上市前一周<a href="https://www.ithome.com.tw/news/130171" target="_blank">傳出多起測試手機的螢幕問題</a>，包括顯示器下轉軸處有裂隙可能躲碎屑、螢幕折疊處出現折痕、螢幕閃爍等問題，迫使三星延後上市。</p> <p>本周另一家預備推出折疊手機的手機大廠華為也<a href="https://www.ithome.com.tw/news/131298" target="_blank">宣佈</a>，Mate X上市時間由六月延後到九月。該公司正在和電信業者進行認證測試，強調是為確保其後能順暢作業，不會損害公司名譽，因此決定延後Mate X上市時間，並否認延後上市原因與Google中止Android授權有關。</p> </div></div></div>
2019/6/20 13:40作者林妍溱https://www.ithome.com.tw/news/131367
Timescale推出全託管時間序列資料庫服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.timescale.com/timescale-cloud-first-fully-managed-time-series-database-service-runs-on-aws-gcp-azure/">開源時間序列關聯式資料庫TimescaleDB的供應商Timescale，發表託管雲端服務Timescale Cloud</a>，讓用戶可以不需要自己管理基礎設施，就能處理資料時間序列以及物聯網資料。Timescale Cloud提供完全託管的TimescaleDB的執行個體，提供高可用性、自動化監控和自動化備份等功能。</p> <p>TimescaleDB是一個開源時間序列資料庫，基於PostgreSQL開發而成，為快速資料擷取以及複雜查詢進行最佳化，TimescaleDB提供完全的SQL介面，就跟PostgreSQL 原本支援的原生SQL相同，因此也適用於PostgreSQL的工具以及客戶端軟體，只是額外提供了時間序列用的功能與API，包括插值、資料保留政策以及自動聚合等。</p> <p>企業時間序列和物聯網資料不斷的成長，日漸成長的工作負載對統一管理解決方案來說是一大負擔，Timescale現在把TimescaleDB擺上雲端，提供Timescale Cloud服務，目的就是要簡化擴展的工作，而且隨著應用的變化，企業可以更輕鬆地選擇跨區域部署以及搬遷工作負載。</p> <p>用戶只需要點擊滑鼠，就能簡單地在三大雲端供應商AWS、 Azure以及GCP，部署TimescaleDB執行個體，並能夠利用資料視覺化與監控應用程式Grafana，或是連接任何相容的第三方視覺化工具，像是Tableau、PowerBI以及Superset搭配使用。</p> <p>各雲端供應商也有為時間序列資料推出專有的服務，像是<a href="https://azure.microsoft.com/en-in/services/time-series-insights/">Azure Time Series Insights</a>，就是全託管的端到端時間序列資料解決方案，能夠即時處理並查詢來自物聯網的時間序列資料，也提供視覺化工具，供用戶探索收到的資料。</p> <p>AWS也在2018年推出時間序列資料庫<a href="https://aws.amazon.com/timestream/?nc1=h_ls">Amazon Timestream</a>，能用來儲存網頁點擊串流、物聯網感測器或是DevOps日誌服務等應用所產生的資料，AWS提到，Amazon Timestream並非關聯式資料庫，而是專為時間序列資料打造的資料庫，可以最佳化不同時間間隔的資料存放與擷取工作，同時還內建平滑、近似值和插值等分析功能。</p> </div></div></div>
2019/6/20 12:20作者李建興https://www.ithome.com.tw/news/131348
遭音樂資料庫Genius指控搜尋結果盜用該站歌詞，Google與歌詞供應商都喊冤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>音樂資料庫網站<a href="https://genius.com/9666461" target="_blank">Genius</a>近日<a href="https://www.wsj.com/articles/lyrics-site-genius-com-accuses-google-of-lifting-its-content-11560677400" target="_blank">向華爾街日報投訴</a>，Google搜尋結果頁面上One Box所呈現的歌詞，是來自Genius，但Google並未取得該站的授權，顯然是盜用了該站的歌詞，也盜走了該站的流量。不過，Google與其歌詞供應商<a href="https://lyricfind.com/index.php?id=316" target="_blank">LyricFind</a>已相繼出面駁斥Genius的說法。</p> <p>Google OneBox為Google搜尋結果頁上的功能，它以非常簡潔的介面提供可能最符合搜尋關鍵字的結果，像是天氣、航班、包裏追蹤、電影時刻表或歌詞等，以讓使用者直接在搜尋結果的第一頁就能找到所需的答案，不必再點選其它連結。</p> <p>至於Genius則號稱是音樂產業的百科全書，除了有專職的音樂編輯之外，音樂社群甚至是作者本人都會替音樂撰寫各種知識，從創作背景到歌詞說明等，每月訪客超過1億人。</p> <p>儘管Google OneBox上所出現的歌詞是很單純的文字，但Genius在該站的歌詞上秘密嵌入了浮水印，得以辨識相關歌詞來自該站，而華爾街日報也從Genius所提供的100筆歌詞樣本證實了此事。</p> <p>不過，根據Google的說法，該公司不僅付錢給音樂出版商以取得歌詞的展示權，由於這些音樂出版商經常沒有提供數位版歌詞，因此Google也付錢給提供數位版歌詞的第三方業者。</p> <p>Google強調，該公司並沒有去爬梳全球網站來蒐集歌詞，在Google OneBox上所看到的歌詞都是來自於數位版歌詞供應商。</p> <p>至於涉及此事的歌詞供應商LyricFind也具備音樂出版商或作者的授權，該公司團隊通常是自作者、音樂出版商、歌手或其它來源取得歌詞，再經過處理、校正與同步之後，才能匯入該公司的歌詞資料庫，先前就曾收到Genius的通知，指責LyricFind的資料庫中含有來自Genius的歌詞，使得LyricFind直接指示團隊不要再自Genius蒐集歌詞。</p> <p>但最近Genius又來抱怨了，LyricFind追查之下發現Genius所提出的那些歌詞案例，也都同時出現在許多其它的歌詞網站或服務上，理應是LyricFind不小心自這些網站蒐集到源自Genius的歌詞。</p> <p>LyricFind表示，他們曾向Genius提出要刪除所有源自該站的歌詞，但Genius毫無回應；且Genius所握有的100筆歌詞證據，也只佔LyricFind歌詞資料庫的千分之一。</p> <p>Genius把矛頭對準了Google，惟看起來Google並未侵犯任何版權，卻是有壟斷之嫌，畢竟如果在Google上查詢歌詞都能直接取得的話，提供歌詞服務的網站應該都很難生存了。<a href="https://blog.google/products/search/how-we-help-you-find-lyrics-google-search/" target="_blank">Google</a>為了表示自己的清白，已在Google OneBox上出現的歌詞加註了出處（供應商）。</p> </div></div></div>
2019/6/20 12:30作者陳曉莉https://www.ithome.com.tw/news/131362
Lyft釋出Envoy Mobile開源函式庫，要將Envoy代理部署到行動裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eng.lyft.com/announcing-envoy-mobile-5c2067d9ade0">叫車服務Lyft推出iOS和Android行動客戶端Envoy Mobile函式庫</a>，該函式庫可讓行動裝置也獲得Envoy代理（Proxy）的功能支援。不過，Lyft目前只釋出了概念驗證版本，並號召其他行動開發者共同協作。</p> <p>Envoy代理最初也是由Lyft開發，是OSI第七層分散式代理，目的是用來解決大型多語言伺服器端微服務架構的網路以及可觀察性問題，Lyft提到，網路對應用程式來說應該是透明的，當網路以及應用程式發生問題時，管理者應該要能夠清楚的知道問題來源，但這在實作上非常困難。</p> <p>而Envoy的出現就是要來解決這個問題，作為一個自包含的程序，能跟每個應用程式伺服器共同運作，並且抽象化網路提供一般常用的網路功能，這些Envoy會形成透明通訊網格，當所有服務流量都流經Envoy網格時，發生問題時就能被快速的找出來，甚至能進行效能調校等工作。</p> <p>不過，雖然Envoy代理只解決了網路對應用程式透明度一部分的問題，因為整體服務架構還包括了邊緣的行動裝置應用程式，因此Lyft為iOS和Android行動裝置客戶端推出Envoy Mobile函式庫，開發者可以直接將Envoy編譯進應用程式。</p> <p>Envoy Mobile提供跨平臺低階網路功能，包括HTTP/2、QUIC以及gRPC等協定，還有推送與串流、分析與重試政策等實作，Lyft提到，他們為跨平臺提供一致的功能下了不少功夫，特別是要為行動裝置與伺服器端多語言分散式架構，提供類似的強健實作。</p> <p>而Envoy Mobile使用由Google推出，類似XML序列結構化資料的協定緩衝區（Protocol Buffers），透過協定緩衝區的擴充系統，簡單地使用強類型互動式資料語言（Interactive Data Language，IDL）API，Envoy Mobile就可以增加複雜的跨平臺功能，Lyft目的是要讓Envoy Mobile通用核心盡可能提供必要的功能，讓開發人員不需要再以其他語言重新實作。</p> <p>目前這個版本仍然為概念性驗證的展示，說明Envoy Mobile將以函式庫的形式，為iOS和Android平臺提供功能，Lyft解釋，與2016年發布Envoy的時候不同，這次他們之所以沒有直接發布生產可用的版本，就是要跟業界的人進一步討論協作。</p> <p>基於Lyft與業界組織討論的結果，他們認為，業界有共識想要有打造一個更全面的跨平臺客戶端網路解決方案，因此Lyft先丟出了一個基本版本，以符合Lyft行動應用程式需要的基本功能集，而剩下來的將繼續與業界行動工程團隊合作，確保專案內容的方向正確，最終他們希望Envoy Mobile能夠成為CNCF擁有的中立專案。</p> </div></div></div>
2019/6/20 13:05作者李建興https://www.ithome.com.tw/news/131351
臉書成立負責加密貨幣Libra業務的子公司Calibra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/131332" target="_blank">發表Libra加密貨幣</a>的同一天，臉書亦宣布已設立專門推動Libra業務並提供金融服務的子公司<a href="https://newsroom.fb.com/news/2019/06/coming-in-2020-calibra/" target="_blank">Calibra</a>。</p> <p>負責管理Libra幣、Libra區塊鏈與Libra儲備的Libra協會，打算招募100個理事會成員，每個成員享有一票表決權，並規定相關實體不得以兩個身分擔任理事會成員，在本周揭露的28個理事會成員中，臉書以Facebook/Calibra並列的名義占有一席。</p> <p>臉書在<a href="https://libra.org/zh-CN/white-paper/" target="_blank">Libra白皮書</a>中說明，Calibra將代表臉書參與Libra區塊鏈網路的建置與經營，同時Calibra的設立也可確保社交數據與金融數據的適當分離。</p> <p>Calibra預計在明年推出專供Libra幣使用的同名數位錢包，除了會被整合到Messenger及WhatsApp等服務之外，也會推出獨立的Calibra錢包程式。</p> <p>臉書表示，全球約有一半的成人沒有銀行帳號，而開發中國家及女性的比例更高，Calibra錢包即可解決相關的金融服務問題，允許使用者利用手機就能儲存、寄出或花費Libra幣，或者是用來支付帳單、買咖啡或搭乘大眾運輸。</p> <p>Calibra錢包將採用與銀行及信用卡公司同等級的認證及防詐欺程序，也將建立主動偵測系統以預防詐欺行為，亦會在用戶遺失手機或密碼時提供即時支援，假設有人以詐欺方式盜用了Calibra錢包中的款項，亦可申請退款。</p> <p>針對外界最關心的隱私問題，Calibra發表了<a href="https://scontent.fkhh1-1.fna.fbcdn.net/v/t39.2365-6/65083631_355528488499253_8415273665234468864_n.pdf?_nc_cat=106&_nc_ht=scontent.fkhh1-1.fna&oh=1a8fdf2e78aa0425859f70af90e344c9&oe=5DBFB7C3" target="_blank">客戶承諾（Customer Commitment）</a>，詳述Calibra在保護消費者資料隱私、遵循法規，以及保障消費者權益上的作法，在隱私上，Calibra承諾除了少數的情況外，將不會在未獲用戶同意之前，與臉書或任何第三方分享用戶帳號資訊或金融資料。</p> <p>而這些少數情況包括為了避免詐欺與犯罪活動，為了遵循法規，為了滿足支付處理及服務的需求，或者是為了改善效能而分享的聚集資料，如顯示某項服務的使用者總數，Calibra將會以技術來避免聚集資料與個人扯上關係。</p> <p>雖然Calibra不免會利用所蒐集的資料來改善自家產品與服務，但已承諾將賦予用戶關於資料蒐集的選擇與控制權。</p> </div></div></div>
2019/6/20 13:15作者陳曉莉https://www.ithome.com.tw/news/131364
臉書加密貨幣Libra引起全球熱議，廖世偉呼籲，臺灣得改變對加密貨幣管理的鴕鳥心態，開始立法開放也嚴格管制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書18號宣布2020年將推加密貨幣Libra打造全球金融基礎架構，引起全球兩極化的討論，尤其多國政府紛紛出面要求嚴格監管，但在臺灣，加密貨幣被視為商品而非支付工具，在臺灣一手推動區塊鏈技術研發的臺大資工副教授廖世偉指出，臺灣主管機關應該要改變過去對加密貨幣的鴕鳥心態，虛擬貨幣的流通已成趨勢，政府應開放並立法嚴格管制，而不是，臺灣明明法規不開放，市場上又默許流通。</p> <p>廖世偉表示，臺灣以往是用鴕鳥心態面對虛擬通貨的發展，例如央行將比特幣等虛擬通貨，視為可以買賣的虛擬商品而非支付工具，但是做為商品的流通應制定課稅規範，若做為支付工具也應清楚訂於法條當中，而非以默許的態度放任發展，政府不想訂定相關法規，甚至連課稅都做不到。他認為，臉書Libra將會促使金管會必須重新思考加密貨幣的法規框架。</p> <p>臉書在全球具有20億用戶，意味著平均每三人就有一人有臉書帳號，而臺灣用戶也超過1900萬人，遠高過任何臺灣任何金融機構的用戶規模。因此，一旦Libra也在臺上線，會成為另一個挑戰傳統法幣的新型態支付，而Libra背後由MasterCard、Visa、Coinbase、Uber、Lyft和Paypal等28家組織組成的Libra協會（Libra Association），所串聯起的跨國生態圈，更大大強化了Libra對現有支付系統的影響。臉書才剛發表，多國監理機關就出面表態將嚴格管制，例如美國與歐盟已經開始質疑Libra可能侵犯隱私及動搖現有貨幣制度，美國甚至主張應停止Libra的開發，直到立法及主管機關審核通過。</p> <p>但目前，臺灣相關法令的最新進展是，金管會在本月17號與法務部達成共識，同意將加入「台灣區塊鏈暨加密貨幣自律組織」及「亞太區塊鏈產業自律聯盟」的虛擬貨幣業者，作為洗錢防制管理的納管對象，但這僅就反洗錢的部分立法管制，對於虛擬貨幣的交易，並無進一步立法規範。</p> <p>「開放之後有很多劣幣就會進來，所以，政府勢必要嚴格執法、強勢主導。」廖世偉認為，虛擬貨幣的流通已成趨勢，政府應該開放並立法嚴格管制，現在臺灣明明法規不開放，但市場上又默許流通，如此一來，臺灣的虛擬貨幣市場處於灰色地帶，政府又沒有公權力制裁開罰，劣幣就趁虛而入，將使正派企業不清楚法律框架而不敢進來。</p> <p>不只學界認為，Libra將促使政府重新思考加密貨幣法規。加密貨幣交易平臺MaiCoin數位資產交易所執行長劉世偉，也看好Libra對臺灣加密貨幣產業帶來的影響，他認為，臉書的影響力可以讓政府正視虛擬通貨的議題，進而立法來監管市場、使其更健康完備。</p> <p>他解釋，以往推動虛擬貨幣的流通，都要靠自己跟政府溝通、打交道，但臉書發行Libra後就成為前鋒，「臉書有其代表性，各國政府會因為臉書發行Libra幣更重視這件事。」</p> <p>MaiCoin是臺灣一站式的數位資產交易平臺，目前可提供用戶以新臺幣買賣兌換比特幣、以太幣、萊特幣等數位資產，劉世偉表示：「MaiCoin交易所也希望可以讓Libra幣在台灣落地，Libra帶來很好的機會。」</p> <p> </p> </div></div></div>
2019/6/19 22:10作者翁芊儒https://www.ithome.com.tw/news/131352
資安一周47期：Telegram創辦人指DDoS攻擊與香港反送中事件有關、駭客利用Google Calendar邀請功…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="field field-name-body field-type-text-with-summary field-label-hidden"> <div class="field-items"> <div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0613-0619 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家級攻擊＃反送中 #DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Telegram創辦人指DDoS攻擊與香港反送中事件有關</strong></h2> <p>加密傳訊服務Telegram在6月12日面臨DDoS攻擊，並影響全球用戶，Telegram創辦人Pavel Durov於6月13日表示，大多數攻擊的IP位址來自中國，從歷史來看，他們所經歷的所有國家級駭客DDoS攻擊行動，都與香港的政治抗議活動有關。</p> <p>香港人民在6月9日發起抗議《逃犯條例》的遊行活動。此條例簡化了嫌犯遣送流程，允許政府透過專案或特定協議，將嫌疑人移交他國，使得港人擔心，此舉將讓中國能夠任意自香港移交嫌犯至中國，因而抗議行動被稱為「反送中」，超過100萬名香港居民上街頭。</p> <p>由於Telegram在多次香港遊行中，廣受群眾使用，使得這項通訊服務成為駭客的頭號目標。Pavel Durov指出，這次由國家級駭客發動的攻擊，流量每秒達200至400Gb，而且時間點也與反送中行動相符。<a href="https://www.ithome.com.tw/news/131271"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-telegramddos.png" style="width: 400px;" /></p> <p>圖片來源：Pavel Durov</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃行事曆詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">駭客利用Google Calendar邀請功能發動網釣攻擊</strong></h2> <p>資安業者卡巴斯基發現新的網路釣魚手法，駭客利用的是手機版Google Calendar通知功能，以此騙取用戶信用卡卡號及重要個資。</p> <p>卡巴斯基研究人員指出，這招「行事曆詐騙」手法很有效。對於陌生人傳送的電子郵件和簡訊，大部分用戶已有戒心，但Calendar通知則前所未見。研究人員也表示，這種手法同時繞過Google的防護機制，因為它的垃圾郵件過濾引擎會將自家服務列為白名單。</p> <p>Google服務之間的高度整合，而遭到駭客濫用的情況，並非首例。過去駭客冒充受害者的友人，傳送Google Docs編輯請求的郵件，待受害者點選連結後，就會被引導到惡意網站，並騙取Gmail帳號和密碼。<a href="https://www.ithome.com.tw/news/131253"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃硬體漏洞攻擊＃DRAM</strong></h3> <h2><strong style="vertical-align: top;">研究人員發現新的DRAM漏洞攻擊手法</strong></h2> <p>近期針對處理器的硬體漏洞與攻擊手法不斷被揭露，而曾在2016年出現的動態隨機存取記憶體（DRAM）漏洞Rowhammer，現在有一群研究人員找到新的攻擊手法，並命名為RAMBleed。過去相關的攻擊行為是變更或寫入記憶體資訊，RAMBleed則是用來讀取當中的內容，例如2048位元的RSA金鑰。</p> <p>由於RAMBleed攻擊是奠基在Rowhammer之上，所有受到Rowhammer影響的記憶體，範圍包括DDR3與啟用TRR功能的DDR4。雖然還沒有遭到駭客濫用，不過，研究人員建議，用戶應該將記憶體升級具備TRR的DDR4，增加駭客攻擊的複雜程度。<a href="https://www.ithome.com.tw/news/131222"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0612-rambleed.png" style="width: 400px;" /></p> <p>圖片來源：RAMBleed</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃RCE</strong></span></h3> <h2><strong style="vertical-align: top;">Exim遠端指令執行漏洞影響數百萬伺服器</strong></h2> <p>全球近六成伺服器使用的郵件伺服器元件Exim，傳出重大漏洞，可讓駭客藉由遠端指令執行（RCE）的方式，以最高權限執行任意指令，而在發現一周後，多名研究人員已經偵測到攻擊行為，Linux伺服器成為重點目標。</p> <p>Exim是開源郵件傳輸代理程式（Mail Transfer Agent，MTA），廣泛用於全球郵件伺服器。根據統計，目前全球有約57%郵件伺服器使用Exim。</p> <p>本漏洞編號為CVE-2019-10149，CVSS v3.0版風險分數為9.8分，被列為重大風險，受影響版本，包括4.87到4.91版的Exim。Exim官方呼籲，用戶應升級到最新的4.92版。<a href="https://www.ithome.com.tw/news/131270"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-eximvul.png" style="width: 400px;" /></p> <p>圖片來源：Freddie Leeman</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃防禦措施</strong></span></h3> <h2><strong style="vertical-align: top;">針對已知漏洞發動攻擊，僅半數駭客使用公開工具</strong></h2> <p>幾名研究人員在本月初舉行的資訊安全經濟研討會（Economics of Information Security），發表研究結果，探討企業修補漏洞的策略，並指出在實際的攻擊行動裡，僅有一半駭客會採用已被公開的攻擊程式。</p> <p>根據統計，在近9年中所出現的7.6萬個漏洞中，約有9,700個的攻擊程式被公開，占所有漏洞總數的12.8%。攻擊行動中被利用的漏洞工具為4,200個，其中有2,100個是利用前述被公開的惡意軟體，換言之，半數的漏洞工具是駭客自行製造。</p> <p>研究人員認為，企業或政府不應只依據漏洞攻擊程式的曝光與否，來決定修補順序，因為在實際的攻擊行動中，駭客濫用的漏洞至少有一半是不公開的攻擊程式；再者，CVSS分數高低並非絕對，超過半數的漏洞攻擊，濫用的漏洞分數都在9分以下。<strong><a href="https://www.ithome.com.tw/news/131208">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃硬體漏洞＃Yubico</strong></span></h3> <h2><strong style="vertical-align: top;">Yubico的硬體Token裝置傳出有程式臭蟲，將免費換新</strong></h2> <p>正當業界力推無密碼輸入方案，使硬體Token接受程度增加，使得這些產品的安全性更受到重視。繼Google召回藍牙版Titan行動後，Yubico近期發出公告，表示旗下部分產品韌體的臭蟲，將召回市售產品並為用戶免費更換。</p> <p>受該漏洞影響的產品包括YubiKey FIPS、YubiKey Nano FIPS、YubiKey C FIPS，以及YubiKey C Nano FIPS。其他產品則不受影響。<a href="https://www.ithome.com.tw/news/131273"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃硬體漏洞＃特定行業攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">售至全球50個國家的醫療用輸液幫浦系統含遠端攻擊漏洞</strong></h2> <p>專攻醫療裝置領域的資安業者CyberMDX，揭露了醫療系統裡出現的資安漏洞。由醫療裝置製造商Becton, Dickinson and Company（BD）生產、用來控制輸液幫浦的Alaris閘道工作站裡，含有兩個安全漏洞，其中一個允許駭客直接關閉裝置、安裝惡意程式、竄改藥物的劑量或輸液速度。</p> <p>BD對外透露，Alaris閘道工作站已銷售至全球50個國家，其中有3個國家的出貨量多達2,000臺，有8個超過1,000臺，由於並未在美國銷售，迄今亦未接獲任何攻擊報告。<a href="https://www.ithome.com.tw/news/131306"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃帳號填充攻擊＃資安市場動態</strong></span></h3> <h2><strong style="vertical-align: top;">帳戶安全檢測網站Have I Been Pwned求售</strong></h2> <p>創辦Have I Been Pwned（HIBP）網站的澳洲安全專家Troy Hunt對外說明，以他一己之力已無法支撐日益龐大的業務，決定發起Svalbard專案，出售HIBP。</p> <p>即使是網站求售，Troy Hunt還是公布了數項承諾，包括未來HIBP仍將維持免費搜尋功能，他自己也會繼續投入網站維運的工作，並計畫打造更多更實用的功能，期望觸及更多的使用者，進而改變消費者行為，讓全球組織都能因HIBP而受惠。<a href="https://www.ithome.com.tw/news/131230"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃威脅情資共享</strong></span></h3> <h2><strong style="vertical-align: top;">金融資安資訊分享與分析中心服務將收費</strong></h2> <p>隨著我國金融機構近年來資安事件頻傳，金融資安資訊分享與分析中心（F-ISAC）將會更加廣泛受到運用。為了能讓該中心能持續經營，金管會正研議收費機制，減輕國庫負擔。</p> <p>根據立法院預算中心報告指出，F-ISAC由國家科學技術發展基金補助建置，並於2017年12月正式對外服務，而今年度的營運經費，由金管會公務預算支應，編列3,440萬元。雖然現在仍有政策性任務，不會向用戶收費，但金管會正在評估，讓F-ISAC未來朝收費制度發展，也可能走向民營化型態。<strong>詳全文</strong></p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/131249">Google讓Android手機也能提供iOS裝置用戶進階身分驗證</a><br /> ●<a href="https://www.ithome.com.tw/news/131229">微軟封鎖Windows PC和不安全的藍牙FIDO金鑰的配對</a><br /> ●<a href="https://www.ithome.com.tw/news/131254">新創端點防護業者CrowdStrike那斯達克掛牌，首日股價大漲70%</a><br /> ●<a href="https://www.ithome.com.tw/news/131311">駭客利用23款攻擊程式來散布新一代殭屍病毒Echobot</a><br /> ●<a href="https://www.ithome.com.tw/news/131326"><span class="field-content">Bitdefender與警方聯手釋出勒索軟體GandCrab最新版解密工具</span></a><br /> ●<a href="https://www.ithome.com.tw/news/131338">臉書加密貨幣系統Libra惹議，美國政府要求臉書暫停開發</a><br /> ●<a href="https://www.ithome.com.tw/news/131274">資安攻防新戰略MITRE ATT&CK</a></h3> </div> </div> </div> </div></div></div>
2019/6/19 17:39作者周峻佑https://www.ithome.com.tw/news/131347
Google釋出專門檢舉可疑網站的Chrome擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2019/06/new-chrome-protections-from-deception.html" target="_blank">Google在本周釋出</a>了專門供使用者檢舉可疑網站的<a href="https://chrome.google.com/webstore/detail/suspicious-site-reporter/jknemblkbdhdcpllfgbfekkdciegfboi" target="_blank">Chrome擴充程式Suspicious Site Reporter</a>，主要可協助Google改善Safe Browsing服務。</p> <p>Google在2007年發表的Safe Browsing為一黑名單服務，它蒐集各種高風險的網站，以提醒使用者及被入侵的網站，並提供公開API以供各家瀏覽器使用，因此，除了Chrome之外，包括Safari、Firefox、Vivaldi與GNOME Web也都受惠於Safe Browsing。</p> <p>此外，Google也將Safe Browsing嵌入自家的服務中，於是不論是搜尋、Gmail或Android用戶都會受到Safe Browsing的保護，且Google的廣告安全團隊也利用它來過濾廣告中所推廣的網站。</p> <p>Google表示，過去他們都是藉由自動分析搜尋引擎執行網路爬梳時所發現的網站，來建立危險清單，現在則希望透過使用者的協助來壯大Safe Browsing的能力。</p> <p>在安裝Suspicious Site Reporter之後，當使用者造訪了可疑網站時，就會看到一個檢舉圖示，並秀出該網站可疑之處，使用者按下檢舉就能通知Google展開進一步的評估。使用者的協助不只能保護Chrome用戶，亦能保護其它瀏覽器用戶。</p> </div></div></div>
2019/6/19 17:00作者陳曉莉https://www.ithome.com.tw/news/131346
MongoDB 4.2新版支援分散式交易，資料庫即服務MongoDB Atlas增加資料湖服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/blog/post/mongodb-42-previewed-at-mongodb-world">MongoDB在其開發者大會中發布了最新版本MongoDB 4.2</a>，其中重要的功能包括分散式交易（Distributed Transactions）以及客戶端欄位層級加密（Client Side Field Level Encryption），另外，<a href="https://www.mongodb.com/blog/post/mongodb-atlas-data-lake-debuts-at-mongodb-world">MongoDB的資料庫即服務也推出資料湖（Data Lake）</a>以及全文搜尋功能，並且與GCP深度整合。</p> <p>MongoDB 4.2基於4.0所提供的多文件（Multi-Document）ACID交易功能，建構更進階的分散式交易，這將允許交易在維持原子性的同時，跨MongoDB Atlas全球叢集工作，或是跨多個區域的大型分片部署操作，而當有交易在分片上提交失敗的時候，所有分片上相關的交易也都會終止。</p> <p>用戶可以使用跟過去相同的關聯式交易語法進行查詢，無須改變就能直接在擴展的叢集中使用，MongoDB 技術長Eliot Horowitz提到，MongoDB現在已經能支援大多數可預期的使用案例，從最基本的文件層級ACID保證，到現在能夠支援全球分散式雲端服務的交易。</p> <p>新版MongoDB也加強了安全功能，MongoDB目前提供了一系列安全功能，包括端到端加密以及高精細度的角色存取控制等，但為了符合新的安全法規，要求資料庫必須更安全地進行資料操作，資料庫儲存的加密資料，資料庫本身必須無法讀取，這些資料要在客戶端才能進行解密。</p> <p>為此，MongoDB 4.2現在提供客戶端欄位層級加密，伺服器無法獲得加密的機密金鑰資訊，所有加解密都是在驅動程式層級完成。當驅動程式收到寫入或是查詢命令包含加密欄位時，會從金鑰管理器中取得對應的金鑰，加密資料才傳送給伺服器。而當伺服器回傳結果，也是由已經持有金鑰的驅動程式負責解密。</p> <p>MongoDB解釋，金鑰儲存在資料庫之外，可以將金鑰與單筆記錄或是用戶綁定，這帶來刪除用戶加密訊息的便利性，只要刪除金鑰管理系統中的相關金鑰，就能有效刪除使用該金鑰加密的所有資料，而這也回過頭來提升了MongoDB Atlas等託管服務的安全性，因為資料不可能會在日誌、記憶體或是基礎架構等其他地方，以未加密的方式存在。</p> <p>另外，MongoDB開發者大會中的另一個亮點，便是推出新服務MongoDB Atlas Data Lake。Atlas Data Lake讓用戶可以使用MongoDB的查詢語言存取AWS S3服務中的JSON、BSON、CSV、TSV、Avro以及Parquet格式的資料。MongoDB提到，這些資料按需分析，不需要設置基礎設施，也不需要進行花費額外的時間進行轉換、預處理或是元資料的管理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/datalake-litoozk4n1.png" style="width: 655px; height: 667px;" /></p> <p>用戶只需要將MongoDB Atlas Data Lake服務指向S3存儲桶就可以開始使用了，而且能夠使用和MongoDB Atlas操作叢集相同的使用者介面進行各項配置，Eliot Horowitz表示，在背後MongoDB Atlas使用了多個節點平性處理資料查詢，每個節點處理完各自的資料後，交由中央節點聚合、過濾或是排序等工作。未來這項功能還會支援Google與Azure的雲端儲存。</p> </div></div></div>
2019/6/19 16:30作者李建興https://www.ithome.com.tw/news/131343
GitHub買下程式審核公司Pull Panda
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2019-06-17-github-acquires-pull-panda/" target="_blank">GitHub本周宣布</a>買下成立才一年半的程式審核公司<a href="https://pullpanda.com/" target="_blank">Pull Panda</a>，雙方並未公布交易金額，但Pull Panda旗下的產品<a href="https://github.com/marketplace/pull-panda" target="_blank">未來都將整合到GitHub上並免費提供</a>。</p> <p>Pull Panda原本就專門打造供GitHub用戶所使用的程式審核工具，主要產品包括Pull Reminders、Pull Analytics與Pull Assigner。</p> <p>當中的Pull Reminders可用來接收即時的審核通知、評論、合併衝突或CI失敗等訊息，也能在Slack中下達/pullreminders指令來檢視所有的Pull請求，或是針對特定的Pull請求設定提醒時間表。</p> <p>Pull Analytics則能用來檢視陳舊、過期或過大的任務，還可列出團隊的貢獻排行榜，設定團隊目標及追蹤成果，以用來測量及改善團隊程序。</p> <p>Pull Assigner是個可自動化分配程式審核任務的工具，平衡每個人的工作量，也讓不同的任務有明確的負責人，還能傳遞知識以打造更融洽的合作文化。</p> <p>過去商業性開源專案使用上述工具是要付費的，7人以下團隊的每月費用為14美元，不過GitHub打算全面免費提供，初期GitHub用戶可藉由GitHub Marketplace免費使用Pull Panda，未來相關功能將會被直接整合到GitHub上。</p> </div></div></div>
2019/6/19 16:30作者陳曉莉https://www.ithome.com.tw/news/131344
Google投資10億美元灣區住宅計畫，以平抑當地高房價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年舊金山灣區吸引Google、微軟、蘋果、思科及Amazon等進駐，也帶來住房稀缺、房價及租金高漲問題，引發當地居民不滿。<a href="https://blog.google/inside-google/company-announcements/1-billion-investment-bay-area-housing/" target="_blank">Google周二宣</a>布10億美元住宅投資計畫，預計10年內興建2萬間住房協助當地居民。</p> <p>Google是舊金山灣區最大企業之一，該區目前最迫切而複雜的問題是新住宅供給不足，加上物價高漲，致使中間與低收入居民已經難有立足之地。而隨著Google在灣區，包括山景（Mountain View）市、舊金山、未來又要擴大進駐聖荷西及晴谷（Sunnyvale）市，<a href="https://www.ithome.com.tw/news/127588" target="_blank">Google已經投資</a>在當地興建住宅。今天Google執行長Sundar Pichai宣佈另一項10億美元的灣區住宅興建計畫，包括2018年在南灣興建了3000間住房。</p> <p>這個計畫分成三部份。首先，未來10年將把至少價值7.5億美元的Google現有規劃為辦公室或商業區的土地，轉為興建住宅之用。Google預期這至少可興建1.5萬單位新成屋提供灣區中及低收入的居民。其次將成立2.5億美元的投資基金，以鼓勵建商興建至少5000個單位的平價住宅。最後，奠基於現有舊金山街友協助及山景市低收入退伍軍人及家庭資助計畫之上，Google還將透過Google.org撥款5000萬美元以解決街友安置問題。</p> <p>接下來幾個月內Google將與地方市政府合作，以快速推動建商激勵計畫，以便儘快開工，並在未來幾年內完工並開放入住。</p> <p><a href="https://www.theverge.com/2019/6/18/18683827/google-silicon-valley-housing-crisis-1-billion-investment-sf-bay-area" target="_blank">也有媒體質疑</a>，這項計畫基本上是Google將土地租給建商，後者可能蓋屋來賣或出租，不確定Google是否有限制用途或住宅格局的規劃，例如可能蓋成鴿子籠。另外，10年時間變數太大，而在此期間Google還是會持續擴張，媒體擔心這些住房會不會到時又變成Google員工的住所，當地居民依然得不到好處。</p> </div></div></div>
2019/6/19 15:00作者林妍溱https://www.ithome.com.tw/news/131340
臉書：Libra背後的資產是它與現有加密貨幣之間最大的差異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（Facebook）在6月18日正式<a href="https://www.ithome.com.tw/news/131332" target="_blank">發表了Libra加密貨幣</a>，將它定位為全球性的數位原生貨幣。臉書指出，Libra背後的資產是它與現有加密貨幣之間最大的差異，其它還包括可用性、接受度及可替換性。</p> <p><a href="https://libra.org/zh-CN/white-paper/#the-libra-currency-and-reserve" target="_blank">Libra幣</a>建立在Libra區塊鏈（Libra Blockchain）的基礎上，並有基於真實資產的Libra儲備（Libra Reserve）作為擔保。不管是Libra幣、Libra區塊鏈或是Libra儲備都是由Libra協會（Libra Association）監管；Libra協會是個總部設於瑞士的獨立非營利會員組織，並由Libra協會理事會（Libra Association Council）負責管理。</p> <p>至於要進入Libra協會理事會並不那麼容易，理事會的成員必須要在Libra區塊鏈網路上擁有經濟權益，亦即擔任Libra區塊鏈的驗證者節點（Validator Node），臉書計畫在明年上半年網羅100個驗證者節點，每個節點的最低投資金額為1,000萬美元，本周臉書先行公布了28個驗證者節點，除了臉書剛設立、負責經營Libra的子公司Calibra之外，還<a href="https://libra.org/en-US/partners/" target="_blank">包括</a>Visa、Mastercard、Spotify、PayPal、Uber、Lyft與Vodafone等其它27家企業。</p> <p>Libra生態體系的架構已然超越現今任何一款加密貨幣，由此一架構所支撐的Libra幣的內、外性質，也都與現有的加密貨幣不同。</p> <p>臉書表示，Libra幣的目標是成為穩定的數位加密貨幣，將全部使用真實的資產儲備作為擔保，主要為低波動性的資產，例如由信譽良好的中央銀行所提供的現金或政府債券作為抵押，培養人們對Libra的信任，以相信該貨幣能夠長期保值。</p> <p>而這正是Libra幣與其它加密貨幣之間最大的差異。臉書指出，目前許多加密貨幣都缺乏基礎資產的支持，促使這些加密貨幣的主要用途一直圍繞在投機與投資上，不少人購買它們的目的，只是希望今後能以更高的價格出售，使得它們的價格經常發生劇大的變動。</p> <p>另一方面，Libra幣的儲備資產，則將由分布在全球各地且具投資級信用評價的托管機構持有，以確保資產的安全性與分散性。</p> <p>在奠定了穩定及信賴的基礎之後，臉書期望人們能夠利用Libra幣來進行日常的交易，從轉帳、購物到行動支付等。臉書創辦人祖克柏（Mark Zuckerberg）說，目前全球大約有10億人口沒有銀行帳號，但他們有手機。</p> <p>而有了資產儲備作為支撐，Libra幣也更容易兌換成其它貨幣，就像過去導入其它貨幣的方式一樣：確保該貨幣可以換取真實的資產。</p> <p>此外，Visa、Mastercard、PayPal與Uber等大型業者的<a href="https://www.cnbc.com/2019/06/18/the-difference-between-bitcoin-and-facebooks-libra.html" target="_blank">參與</a>，將有助於推動市場對Libra幣的接受度，而且Libra標榜低交易費用，也可望刺激人們的採用。</p> <p>總之，Libra幣繼承了加密貨幣在加密、安全及快速轉帳上的優點，並消除了加密貨幣的高揮發特性，只不過Libra目前正面臨各國中央銀行的檢驗與質疑，臉書對個人隱私的輕忽也再度被提及，更令人好奇的是，並沒有任何一家銀行成為Libra區塊鏈的驗證節點，且不管是蘋果、Amazon或Google也都沒有參與。</p> </div></div></div>
2019/6/19 15:15作者陳曉莉https://www.ithome.com.tw/news/131342
Firefox爆允許遠端程式碼執行的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2019-18/" target="_blank">Mozilla周二發佈</a>Firefox的安全公告，Firefox出現可讓駭客遠端執行惡意程式碼的重大漏洞，同時也發現網路上已有攻擊程式流傳，呼籲用戶儘速升級到最新版本。</p> <p>編號CVE-2019-11707的漏洞是由Google 抓蟲小組Project Zero研究人員Samuel Groß發現。它屬於一種類型混淆（Type confusion）漏洞，當攻擊者改造JavaScript物件，可能導致Array.pop發生類型混淆，而允許程式碼執行。一旦Firefox使用者被導向惡意網站，可能讓駭客得以遠端執行任意程式碼。</p> <p>這項漏洞被列為重大（critical）風險，影響Firefox及Firefox ESR版本瀏覽器。Mozilla並表示已經發現有攻擊程式開採這項漏洞發動精準攻擊。由於通報者還包括加密貨幣交易平台Coinbase的資安小組，可能表示這波駭客攻擊下手目標是加密貨幣持有者。</p> <p>Mozilla已經釋出最新Firefox 67.0.3及Firefox ESR 60.7.1修補本漏洞，呼籲用戶儘速升級到最新版本。</p> </div></div></div>
2019/6/19 15:40作者林妍溱https://www.ithome.com.tw/news/131341
加密貨幣系統Libra惹議，美國政府要求臉書暫停開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書周二（6月18日）<a href="https://www.ithome.com.tw/news/131332" target="_blank">公佈自有加密貨幣系統Libra</a>震撼數位經濟界，立即引發包括政界、主管機關對隱私、動搖貨幣制度等擔憂。</p> <p>透過內建於Facebook、Messenger及WhatsApp或第三方的電子錢包Calibra，使用者可以用Libra來買東西、匯款，或是在線上或在零售商店的兌換窗口買入或兌現Libra。而為了擴大Libra的生態體系，臉書還找來MasterCard、Visa、Coinbase、Uber、Lyft和Paypal等27家組織成立Libra協會（Libra Association）。臉書也成立同名為Calibra的子公司負責Libra的營運。</p> <p>臉書保證，Libra用戶資料會和臉書用戶資料分開保存，不會被拿來對Libra用戶發送廣告，此外也使用區塊鏈技術確保去中心化管理及資料完整性，也會引入防範詐欺或洗錢的流程與技術。儘管如此，Libra的推出仍然引發政界及民間質疑，臉書可能侵犯隱私及動搖現有貨幣制度。</p> <p>美國眾議院金融委員會主席Maxine Waters要求臉書高層到國會作證，同時主張臉書應停止Libra的開發，直到立法及主管機關審核通過。<a href="https://financialservices.house.gov/news/documentsingle.aspx?DocumentID=403943" target="_blank">Waters聲明指出</a>，臉書發布建立加密貨幣的計畫，藉此持續其無所限的擴張，將黑手伸入用戶的日常生活中。</p> <p>歐洲也表達其質疑。<a href="https://www.bloomberg.com/news/articles/2019-06-18/france-calls-for-central-bank-review-of-facebook-cryptocurrency" target="_blank">彭博報導</a>，歐洲議會德國籍議員Markus Ferber擔心，臉書挾其20億用戶可能變成「影子銀行」。此外，法國財政部長Bruno Le Maire相信Libra不應被視為可取代傳統貨幣，Libra變成主權貨幣這件事不會、也絕不能發生。他也要求G7國家的中央銀行主管，下個月針對隱私、洗錢和恐怖主義經濟發布報告。</p> <p>臉書方面則對質疑表達歡迎。<a href="https://www.reuters.com/article/us-facebook-crypto/facebook-reveals-libra-cryptocurrency-sparking-new-privacy-concerns-idUSKCN1TJ0TN" target="_blank">路透社引述</a>臉書區塊鏈部門副總裁Kevin Weil的說法，臉書希望藉由Libra的宣布，將全球主管機關齊聚一堂，期待能開啟正向的討論。</p> </div></div></div>
2019/6/19 13:25作者林妍溱https://www.ithome.com.tw/news/131338
ESET揭露可竊取Android手機一次性密碼的惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.welivesecurity.com/2019/06/17/malware-google-permissions-2fa-bypass/" target="_blank">ESET近日揭露</a>了兩款Android惡意程式，可藉由取得「通知存取」（Notification access）權限來窺探裝置上所收到的通知，包括一次性密碼（One-time password，OTP）在內。</p> <p>ESET表示，<a href="https://www.ithome.com.tw/news/128274" target="_blank">自從Googe在今年1月限制</a>了Android程式存取簡訊（SMS）與通話紀錄（Call Log）權限的能力之後，那些專門竊取憑證的惡意程式就更難濫用這些權限來繞過基於簡訊的雙因素認證（two-factor authentication，2FA）機制了。</p> <p>不過，最近發現了兩款偽裝成土耳其加密貨幣交易平台BtcTurk的Android程式，卻是藉由通知存取權限來繞過基於簡訊的2FA機制。</p> <p>這兩款程式分別是BTCTurk Pro Beta與BtcTurk Pro Beta，名稱非常相近，只有大小寫的不同，且所使用的手法類似，但卻是由不同的開發人員所打造。</p> <p>在安裝了BTCTurk Pro Beta之後，它會先向使用者取得通知存取的權限，該權限允許行動程式讀取手機上所跳出的通知，包括來自其它程式的通知，還能關閉通知，或是點選通知上的按鍵。</p> <p>Google是自Android 4.3（Jelly Bean）開始提供通知存取權限，因此大約有9成的Android裝置都支援該權限。</p> <p>一旦使用者許可了該權限，隨之便會出現要使用者輸入BtcTurk憑證的假登入視窗，但在使用者輸入之後，它便推說暫時無法提供服務，但事實上卻已經將使用者的憑證傳送到駭客的伺服器上。</p> <p>再來該程式就會把手機螢幕上出現的通知都傳送到自己的伺服器上，包括利用簡訊或電子郵件傳送的OTP在內，由於它還可以關閉通知，或是將通知設為靜音，得以避免使用者察覺詐騙交易。</p> <p>ESET是在今年6月才發現這兩款惡意程式，也在它們各自的安裝數量都不到50的時候，就通知Google並將它們移除，資安專家建議使用加密貨幣或金融程式時，最好再三確認它來自官方網站，以軟體或硬體的OTP產生器，來取代以簡訊及郵件來傳送OTP，也不要隨意允許程式取得通知存取權限。</p> </div></div></div>
2019/6/19 12:15作者陳曉莉https://www.ithome.com.tw/news/131335
Plugin Vulnerabilities揭露臉書WordPress外掛的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門尋找WordPress外掛程式漏洞的Plugin Vulnerabilities，本周揭露了兩個臉書WordPress外掛程式的零時差漏洞，還公布概念性驗證攻擊程式，由於Plugin Vulnerabilities事前並未通知臉書，違反了安全社群的責任揭露共識，因而再度惹人非議。</p> <p>這兩個由臉書打造的WordPress外掛程式，分別是Facebook for WooCommerce與Messenger Customer Chat，前者可用來連結電子商務平台WooCommerce及臉書，安裝數量超過20萬；後者則是專門支援WordPress網站的Messenger通訊工具，約有2萬個WordPress網站安裝。</p> <p><a href="https://www.pluginvulnerabilities.com/2019/06/17/automattic-is-having-woocommerce-install-by-default-an-insecure-plugin-by-facebook/" target="_blank">Plugin Vulnerabilities表示</a>，Facebook for WooCommerce缺乏了預防跨站請求偽造（Cross-site Request Forgery，CSRF）的措施，使得駭客能夠發動CSFR攻擊；而<a href="https://www.pluginvulnerabilities.com/2019/06/17/facebooks-wordpress-plugin-messenger-customer-chat-contains-an-authenticated-settings-change-vulnerability/" target="_blank">Messenger Customer Chat除了也有同樣的CSRF漏洞之外</a>，還缺少限制訪客存取的檢查能力，將允許駭客關閉外掛程式的功能或玷污網站首頁。</p> <p>Plugin Vulnerabilities不只公布了漏洞細節，也公布相關漏洞的概念性驗證程式。但其實近來<a href="https://www.ithome.com.tw/news/129987" target="_blank">Plugin Vulnerabilities也曾發表</a>其它WordPress外掛程式的零時差漏洞，為的只是跟WordPress支援論壇（WordPress Support Forum）賭氣。</p> <p>Plugin Vulnerabilities批評WordPress支援論壇的版主胡亂刪除他的文章、聯手遮掩外掛程式的安全問題，只是WordPress支援論壇原本就禁止研究人員藉由該論壇公布安全漏洞，而是要求研究人員先以郵件通知WordPress團隊，再由WordPress團隊接洽外掛程式作者，而Plugin Vulnerabilities則無視禁令持續張貼漏洞消息，最後導致論壇帳號被封鎖。</p> <p>為了抗議被封殺，Plugin Vulnerabilities選擇在自己的部落格上公布外掛程式的詳細漏洞資訊，還附帶了概念性驗證攻擊程式。</p> <p>多數的<a href="https://threatpost.com/irked-researcher-discloses-facebook-wordpress-plugin-flaws/145771/" target="_blank">科技媒體認為</a>Plugin Vulnerabilities的作法並不恰當，不應只為了私人恩怨，就棄廣大WordPress用戶的安危而不顧。</p> </div></div></div>
2019/6/19 12:35作者陳曉莉https://www.ithome.com.tw/news/131336
Cloudflare發表「熵聯盟」分散式隨機數產生器開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路、緩解DDoS攻擊及網路安全服務的Cloudflare，在本周發表了<a href="https://www.cloudflare.com/leagueofentropy/" target="_blank">「熵聯盟」（League of Entropy）開源專案</a>，以提供一個可驗證的分散式隨機信標（Decentralized Randomness Beacon），並標榜能夠產生真正公正的隨機數。</p> <p>隨機數（random number，或稱亂數）通常是由一個裝置或軟體以不可預測的方式所產生，隨著對隨機數的需求漸增，美國國家標準與技術研究所（NIST）也打造了Randomness Beacons專案，可在固定的時間間隔內產生512位元的字串（約為155個數字）。</p> <p>然而，仰賴單一來源的隨機數產生器仍有被開採的風險，並出現可能會偏向於某方的不公正結果，使得Cloudflare與Protocol Labs研究人員Nicolas Gailly、智利大學、瑞士洛桑聯邦理工學院（EPFL）、資安業者Kudelski Security、及EPFL的兩名研究人員Philipp Jovanovic與Ludovic Barman共同組成了熵聯盟。</p> <p>「熵」是一個描述系統狀態的函數，可用來計算一個系統的失序現象或混亂程度，熵值愈高，代表愈混亂，愈低則愈有秩序。而「熵聯盟」的目的是為了讓隨機數更不可測，因此該聯盟的成員都貢獻了各自的高熵來源及相關系統以提供更隨機且無法預測的信標，並以每60秒的間隔產生能夠公開驗證的隨機數。</p> <p>當中有些來源挺有趣，例如<a href="https://blog.cloudflare.com/league-of-entropy/" target="_blank">Cloudflare</a>的高熵來源稱為<a href="https://blog.cloudflare.com/lavarand-in-production-the-nitty-gritty-technical-details/" target="_blank">LavaRand</a>系統，它是Cloudflare在舊金山辦公室大廳一面擺滿熔岩燈的牆，熔岩燈內部其實充滿了透明液體與半透明的蠟，由於兩者的密度不同，通電後受熱的蠟塊會融化並浮上水面，冷卻後又下沈，它的上下移動形成了光影的變化。而Cloudflare即把蠟的流動當作高熵來源，用來產生隨機數。</p> <p>或者是智利大學的Seismic Girl系統同時採納了5種不同的高熵來源，涵蓋智利的地震或搖動測量、地方廣播電台的串流、Twitter的貼文、以太坊區塊鏈的資料，以及隨機數產生卡。</p> <p>Protocol Labs的InterplanetaryRand系統，利用的則是環境噪音、Linux的偽隨機產生器（PRNG）與來自CPU的RdRand。</p> <p>熵聯盟專案奠基在drand分散式隨機信標架構上，Cloudflare表示，此一用來產生隨機數的全球伺服器網路，可確保萬一某些伺服器離線了，信標還是能夠透過其它仍可運作的伺服器來產生隨機數，或者就算某些伺服器或熵來源被入侵了，還有其它不可預測的熵來源可供使用。</p> <p>開源的熵聯盟專案可應用在選舉稽核上，像是隨機選取稽核選區，或可用在樂透的開獎上，也能應用在分散式帳本平台上的即時遊戲或賭博，不過，Cloudflare也提醒這是個開源且公開的隨機數產生服務，並不適合把它所產生的隨機數拿來作為私人金鑰。</p> <p><a href="https://www.cloudflare.com/leagueofentropy/" target="_blank">已經上線的熵聯盟專案</a>每60秒可產生一個512位元的隨機數，每天可產生1,440個隨機數。Cloudflare也歡迎其它組織或個人加入熵聯盟。</p> </div></div></div>
2019/6/19 13:00作者陳曉莉https://www.ithome.com.tw/news/131337
微軟新Android SDK管理工具能自動更新SDK與建置工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/xamarin/automatic-android-sdk-management/">Visual Studio 2019以及Visual Studio for Mac 2019現在都預設啟用Auto SDK（Automatic Android SDK Management）工具</a>，在開發者創建並配置完專案，會為開發者檢查開發Android所需要的工具，並自動安裝最新版本，確保開發者能以最新的SDK建置Android應用程式。</p> <p>開發Android應用程式需要許多的工具，以進行建置、部署和除錯工作，為了減輕開發者更新環境的麻煩，微軟在Visual Studio 2019中加入了新的自動Android SDK管理工具，能夠進行各項檢查，確保開發者的電腦安裝正確的工具，微軟提到，這能有效幫助開發者，創建與所有Android工具都相容的專案。</p> <p>當開發者建立新的Xamarin.Forms行動應用程式專案，於完成專案配置階段，Auto SDK工具便會啟動，檢查電腦中的Android SDK版本，當Auto SDK發現電腦使用舊的SDK版本，便會提示並幫助開發者下載最新的SDK以及相對應的建置工具版本。另外，當開發者想要讓舊專案支援最新的Android，只要改變目標框架（下圖），Auto SDK便會自動下載缺乏的元件，方便開發者編譯新的版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-8.png" style="width: 247px;" /></p> <p>微軟最近以多種方式為各個語言的開發者，提供方便易用的開發環境設置工具。像是<a href="https://www.ithome.com.tw/news/130973">5月更新後的Windows 10，與Python更加緊密地結合</a>，除了微軟商店現提供由社群維護的Python 3.7套件外，當開發者在命令提示字元輸入python和python3指令，系統也會直接跳出商店Python 3.7套件下載頁面。</p> <p>而<a href="https://www.ithome.com.tw/news/131310">微軟也剛剛為Java開發者釋出專用的Visual Studio Code安裝程式</a>，開發者可以用來在電腦安裝全新的Java開發環境，該安裝程式會自動安裝JDK、Visual Studio Code和Java基本擴充套件。當開發者的系統已存在Visual Studio Code，該安裝程式也會檢查開發Java所缺少的元件，並引導開發者安裝。</p> </div></div></div>
2019/6/19 11:10作者李建興https://www.ithome.com.tw/news/131330
【不只幫助攻擊入侵行為的理解，更便於企業防禦評估】資安攻防新戰略MITRE ATT&CK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>所謂知己知彼、百戰不殆，面對現今無法避免的針對性攻擊風險，要能夠了解自己並了解敵人，顯得越來越重要，不論是駭客攻擊手法分析與調查，以及網路威脅情報，都成為這幾年企業防護關注的焦點。不過，近一年來，出現了另一個APT防護必學的攻略，那就是以剖析攻擊面的資安框架MITRE ATT＆CK。</p> <p>因為，這個由MITRE提出的ATT＆CK，對於描述駭客攻擊戰術流程，提供了具體且通用的架構，能帶來相當大的幫助，可以讓資安產業與企業之間，能有更一致的標準，去溝通與理解已知攻擊者入侵行為可能帶來的安全風險。例如，對於駭客偷取密碼的行為描述，業界能有統一的標準去依循，並讓企業可以更容易從攻擊手法前後，檢視入侵過程與關連性。</p> <p>值得注意的是，對於ATT＆CK這樣的概念，或許多數國內企業還是感到有些陌生，但其實它已經被全球許多資安業者與專家看重，而這股風潮更是在今年迅速發酵。</p> <p>例如，今年3月初，在全球最大資安會議RSA Conference上最夯的話題，MITRE ATT＆CK就是其中之一，而國內在3月中舉行的臺灣資安大會上，我們也看到許多講者，都開始提及或探討這個資安框架。</p> <p>不僅如此，現在已經有資安業者，在他們的網路威脅情資或報告中，開始使用ATT＆CK來解釋威脅入侵階段的攻擊描述，甚至已經把這套框架視為是一種標準，也有資安專家提出建議，企業可以利用ATT&CK，來提升自己的防禦體系，當成評估的標準。</p> <p>在這樣的趨勢之下，未來ATT＆CK將有很大的機會，在資安領域獲得更廣泛的採用，不論是解析駭客攻擊行為，或是用於企業紅藍隊的攻防模擬演練，以及資安方案的評估等。因此，對於ATT＆CK這個新興的議題，勢必成為臺灣企業與資安產業，都值得參考與重視的新攻略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%94%BB%E9%98%B2%E6%96%B0%E6%88%B0%E7%95%A5ATT%26CK_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>MITRE ATT&CK風潮吹向臺灣，今年臺灣大型資安活動已有不少議程談論</strong></span></p> <p><strong><span style="color:#696969;">在臺灣資安大會另一場主題演講中，趨勢科技全球核心技術部資深協理張裕敏，在談關鍵基礎設施的安全議題時，特別介紹了MITRE提出的ICS ATT＆CK Matrix，並說明此矩陣已經針對工控環境攻擊方法與步驟系統化，區分為橫軸與縱軸呈現的戰略與手法。不過，他也指出，這不僅可以讓使用者與資安公司都受惠，但駭客其實也同樣能夠利用。</span></strong></p> <p><span style="font-size:28px;"><strong>對於駭客攻擊流程能有具體且一致的描述</strong></span></p> <p>回想過去，面對無孔不入的針對式攻擊，近年來多數資安業者已經不再強調傳統的事前預防，而是更重視侵入過程的主動偵測，以及資安事件處理，並且談論到資安韌性（Resilience）。這是因為，近年的資安事件，已經突顯出每個企業都一定會被入侵的事實，而解析駭客使用的攻擊戰略與手法，就變得相當重要。</p> <p>事實上，近年資安防護的重點已經更聚焦在網路威脅情報，以及攻擊狙殺鏈（Cyber Kill Chain）、駭客攻擊戰術流程（Tactics、Techniques與Procedures，TTP）的探討，目的也就是為了要更掌握敵人的身分、攻擊手法，才能更有效去因應與防範。</p> <p>其實，在各家資安業者釋出的網路威脅情資或報告中，已經可以看到各業者描述了駭客入侵過程與手法。包括像是駭客使用釣魚信件、取得電腦權限、提權、繞過端點防護、橫向擴散與偷取資料等一系列的過程，提供給企業當成掌握攻擊流程與防範的參考。只是，過去各家資安業者，其實都有各自一套定義與故事描述方式，去說明整個攻擊過程，而隨著ATT＆CK的出現，將開始改變這種各自表述的局勢。</p> <p>舉例來說，這個ATT＆CK提供的知識庫與模型，已經盤點了現行大型駭客組織，所使用的所有攻擊戰略與技術手法，並以系統性的歸納方式，整理成為一個通用的模型。而且，這個框架還在持續更新。</p> <p>在今年4月，ATT＆CK Enterprise框架已經提供新版。目前（6月中），在ATT＆CK Enterprise的框架之下，將入侵期間駭客使用的戰略，分為了12個階段，包括入侵初期、執行、持續潛伏、權限提升、防禦逃脫、憑證存取、發現、橫向移動、收集、命令與控制、滲出與衝擊。而在這12項戰略階段當中，目前總共歸納了244項不同的技術手法，進而整理成為，一個可以顯示所有階段攻擊手法的矩陣模型（ATT＆CK Matrix）。</p> <p>換言之，就是透過標準化、架構化的資訊，當資安業者在側寫一個駭客團體攻擊使用的戰術流程與詳細手法時，就能透過這樣的一張矩陣去呈現，相對來說，當各界要檢視攻擊入侵的全貌時，也可以變得更加直覺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%B3%87%E5%AE%89%E6%94%BB%E9%98%B2%E6%96%B0%E6%88%B0%E7%95%A5MITRE%20ATT%26CK.jpg" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>剖析攻擊方具體手法並整理為知識庫，今年上半已歸納244個不同技術</strong></span></p> <p><span style="color:#696969;"><strong>由MITRE提出的ATT&CK資安框架，逐漸已經變成大家所接納的一種標準。這套框架將駭客使用的攻擊戰略與技法，透過有系統性的整理與歸納，進而成為能夠幫助理解攻擊者具備能力的知識庫。</strong></span></p> <p><span style="font-size:28px;"><strong>有效幫助各界溝通入侵事件，並為企業防禦評估與攻防演練帶來幫助</strong></span></p> <p>為了幫助大家更容易理解，這個ATT＆CK矩陣是如何能夠帶來助益，我們簡單畫分成兩大面向，並透過一些例子來說明。</p> <p>第一個面向，是在複雜的攻擊流程概念溝通，以及威脅情資的報告提供與分析比較方面。例如，當我們要檢視APT3駭客團體的攻擊時，透過這個框架，可以很快看清入侵流程的脈絡，包括他們會使用的技術手法，以及這些技術所處的發展階段。</p> <p>特別的是，這對於網路威脅情資的報告呈現，有很大的助益。讓各界能有一個更通用的語言，來溝通攻擊入侵的事件，透過這種結構化且便於比較與分析威脅情報的方法，用一張矩陣就能展示其戰術與技術。不論是資安人員彼此之間的溝通，或是與企業之間的討論，都會變得較為容易。</p> <p>而且，即便是要分析兩個不同駭客組織是否有相似之處，過去不容易有比較基礎，現在也能利用矩陣做差異分析，像是針對APT3與APT29找出其攻擊行為差異，或是共通使用的技術。</p> <p>綜合來看，這不僅可以讓入侵手法描述能有一致標準，對於防守方彼此間的溝通更有幫助。</p> <p>第二個面向，是將有助於企業評估自己的防禦。透過ATT＆CK矩陣，不僅是是用來分析了解敵人，也能幫助了解自己，例如，從駭客攻擊的每個階段，以及當中可能會用到的技術手法，企業也就能夠依此檢視自己的防禦，是否能夠涵蓋到這些面向，進而可以做到資安成熟度的評估。</p> <p>因此，企業也可從駭客攻擊情境找出那些攻擊手法，是需要的優先級別處理或增強的防禦面；或是用於檢視導入的防禦設備、服務或機制，與之前評估時的防禦範圍有何不同。簡單來說，就是要能運用這樣的資安框架，了解自己的防禦需求。</p> <p>更進一步來看，還能有助於紅藍隊攻防模擬演練，因為這套資安框架更容易提供攻擊情境。</p> <p>舉例來說，企業可以設想一個攻擊情境，或是假設於之前APT團體的攻擊戰術，由於已經有了很具體的攻擊手法，因此企業可以利用自動化的攻擊模擬平臺（Automated Adversary Emulation），建立一套模擬紅隊的攻擊，進而藉此測試內部部署的資安產品或資安服務，是否能夠偵測到這些攻擊手法，並發出警告，也就是說，透過這樣的攻防模擬，將可以作為評估EDR產品，以及檢視自身防護需求的依據。</p> <p>事實上，MITRE自去年也已經發起了ATT&CK評估（ATT&CK Evaluations）的計畫，並且獲得一些資安業者的響應。在首次的評估計畫中，就有7家業者參與，包括Carbon Black、CounterTack、Crowdstrike、Endgame、微軟、RSA與SentinelOne，今年又有FireEye、Cybereason與Palo Alto Networks跟進。</p> <p>因此，隨著資安業界對於這項評估計畫的認可，最近，MITRE已經宣布要舉行第二回合的評估計畫，預計在8月中開始進行測試，而新評估計畫所套用的駭客團體攻擊行為，也將從之前的APT3，更換為APT29。</p> <p>無論如何，從這股ATT＆CK的應用浪潮來看，除了企業用於紅藍隊攻防演練，可以透過這樣的形式，對於資安業者而言，這也是能幫助他們向客戶驗證自身產品有效性的方法。而且，ATT＆CK的應用概念與範圍，其實不僅於此，像是簡單的剖析惡意程式行為，其實也能套用，而我們也看到MITRE有針對工控系統的攻擊入侵，提出一套名為ICS ATT&CK的矩陣，同樣也是將駭客在各戰略階段所使用的技術手法，做出系統性且具體的歸納。</p> <p class="rtecenter"><span style="color:#3366ff;"><span style="font-size:28px;"><strong>MITRE ATT＆CK小知識</strong></span></span></p> <p><span style="color:#8B4513;"><span style="font-size:20px;"><strong>＂根據MITRE的說明，ATT＆CK是基於現實世界觀測的對手戰術與技術知識庫。其中A為Adversarial，代表對抗性的攻擊者，兩個T是Tactics與Technical，分別代表對手採用的戰略與技術手法，而C與K則是Common knowledge，說明了這將是一個通用的知識庫。＂</strong></span></span></p> <p>關於這個由MITRE提出的ATT＆CK框架，首先，MITRE是美國聯邦政府資助的非營利組織，協助多項資安相關研究的進行，同時也負責CVE漏洞資料庫計畫的維運。</p> <p>對於ATT&CK框架這項研究計畫，是MITRE在2015年5月發起，最早他們是想把許多的APT攻擊事件統整起來，畢竟，不同資安業者對於每個駭客團體都有不同的稱呼與分析，而在處理的過程中，他們發現可以將每個駭客團體使用的技術手法，進一步的分類，例如，他們將每個攻擊方式，以較為簡短且通泛的說明來描述，並歸納到會使用該技術手法的戰略階段中。</p> <p>基本上，目前ATT&CK模型可以分為三大部分，分別是PRE-ATT&CK、Enterprise與Mobile。</p> <p>簡單來說，PRE-ATT&CK定義了駭客攻擊前置作業，目前畫分為15個戰略階段，而Enterprise是指具體的攻擊入侵過程，也是現在各界最主要討論的項目，當中並涵蓋Windows、Linux與macOS這三種系統平臺；至於Mobile則是針對行動平臺所發展，而其中的戰略與Enterprise有些相似，但還是存在一些差異。</p> <p>另外，在MITRE過去的簡報中，也有針對ICS的部分，但也可能官建基礎設施較為敏感，目前未列在ATT&CK官網上。</p> <p class="rtecenter"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color:#D3D3D3;"> 1 </span></span></strong><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131275" style="text-align: center;" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 2 </span></strong></span></a><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131276" target="_blank"><span style="text-align: center; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3 </span></strong></span></a></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131274
【駭客戰略定義更廣、偵測類別定義更細】快速認識ATT＆CK框架的最新變化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於ATT＆CK框架的應用及發展，正開始成為各界關心資安人士的焦點，而這個像是百科全書的剖析駭客入侵技術知識庫，其實也還在持續演進的階段。</p> <p>為了推動ATT＆CK，近年MITRE做了很多努力，像是在這份知識庫中，對於現有入侵策略所採用的各式技術手法，都有詳細的介紹與說明，他們並提出了ATT＆CK矩陣，讓防守方可以更容易理解駭客的入侵過程。而且，每隔一段時間，就會將新的技術手法整入其中。目前看來，大約每3個月就會更新，讓這個框架能持續符合現實世界的攻擊態勢。</p> <p>值得注意的是，最近MITRE對於ATT＆CK Enterprise，以及ATT＆CK評估計畫，都有明顯的調整與改變。因此，接下來，我們將介紹ATT＆CK的基本概念與最新變化，同時也請熟悉ATT＆CK的資安業者與專家，來幫助我們更進一步理解與認識這個框架。</p> <p><span style="font-size:28px;"><strong>將戰略階段擴大至衝擊面，且歸納的不同攻擊手法增加至244個</strong></span></p> <p>首先，以ATT＆CK矩陣而言，簡單來說，它的呈現方式如同一份表格，矩陣中的第一列，也就是最上面一橫排，列出了定義的駭客攻擊戰略階段，由左至右表示攻擊階段的前後順序。而在每一個戰略階段之下，則是列出該階段可能使用的各式技術手法。</p> <p>例如，目前在ATT＆CK Enterprise中，將駭客在入侵駭客使用的戰略，畫分成12個階段：包括入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、防禦逃脫（Defense Evasion）、憑證存取（Credential Access）、發現（Discovery）、橫向移動（Lateral Movement）、收集（Collection）、命令與控制（Command and Control）、滲出（Exfiltration）與衝擊（Impact）。</p> <p>值得注意的是，去年只分成11個階段，今年多出最後一項「衝擊」，而且，還有倒數第二項與第三項的戰略順序也予以對調。</p> <p>對於新增的衝擊階段，奧義智慧共同創辦人叢培侃指出，他認為這是要完成整個風險計算公式，以更進一步將攻擊事件對企業本身的影響，也涵蓋在整體框架之內。</p> <p>而在這12項戰略階段當中，目前總共歸納了244個不同的技術手法，比起我們在年初看到的223項，又多了21項。當中，不僅是多了新階段所包含的14個項目，既有11個階段所包含的內容，也有一些調整與新增。</p> <p>特別的是，一些技術手法會用在不同戰略階段，因此，在ATT＆CK矩陣之下，若把每個階段下技術的數量相加，總和為314個，也比之前的291個要多。</p> <p>更進一步來看，其中駭客使用技術手法最多元的階段，是在持續潛伏與防禦逃脫方面，分別包含了59個與67個技術手法，相對來說，像是有些階段的技術就較少，僅有10個左右。</p> <p>對於這樣的現象，叢培侃提供了兩個觀點，首先，技術手法越多，也就代表越不容易防範，這也意味著，企業單位資安防護設施最容易被繞過，因此，能否從其他階段來觀測到整個攻擊行為，就是一種策略；另一個角度來看，若是各種駭客潛伏方式都能涵蓋，各種防禦逃脫方式都能監控到，也企業能在駭客必經路線設下重重關卡，同樣能觀測到攻擊行為的發生，及早反應。</p> <p>此外，從這些技術手法的分類來看，奧義智慧共同創辦人邱銘彰也提到，過去業界大家對於攻擊手法每個人講法不一樣，像是對於駭客偷取密碼的行為描述，大家可能習慣說Keylogger，還有像是偷密碼、截畫面、側錄等，現在則有了能被業界接受的標準用法，例如，ATT＆CK就將這類技術手法歸類為Input Capture，這也讓大家在描述同樣的行為時，能對應到通用的語言去溝通。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>借助自動化攻擊模擬平臺，企業可自行發起演練</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在MITRE舉行的ATT＆CK評估計畫之外，他們也提供了開源的自動化攻擊模擬平臺Caldera，將可以透過ATT＆CK建立攻擊情境，因此，企業能夠應用來執行紅藍隊的攻防演練與產品評估。</strong></span></p> <p><span style="font-size:28px;"><strong>評估計畫將偵測類型畫分更細，更有助於產品偵測能力的解析</strong></span></p> <p>另一方面，去年發起的ATT＆CK評估計畫，最近也有了新的進展。從首次計畫的進行來看，除了初期參與的7家業者，年初又有3家跟進，確實獲得更多資安業者響應，探究其主要原因，過去並沒有一個好的方式，去衡量EDR的偵測能力與覆蓋範圍，最近MITRE更是宣布將要啟動第二回合的評估計畫。</p> <p>對此計畫的轉變，叢培侃提供了他們的觀察與心得，他說，這是需要付費參加的計畫，先前的第一回合已經結束，因為較晚參與的業者多半較為有利，可以看到別人的問題並補強，等於是一邊開票、一邊投票的狀況。目前，第二回合預計在8月開始測試，並將套用俄羅斯駭客團體APT29的攻擊情境，而不是之前的中國駭客團體APT3。</p> <p>值得我們注意的是，MITRE在評估計畫的內容會有很大的變動。原本定義了6種主要偵測類別，以及3種子偵測類型。基本上，這部分就是企業在評估時的重要參考，可以了解產品在個技術手法的偵測能力。而在結果報告中，也可檢視分析人員提供的系統畫面截取，證明該攻擊行為的偵測。</p> <p>而新的評估計畫有大幅調整，雖然主要偵測類別仍是6種，但僅無偵測（None）、遙測（Telemetry）相同，其他調整為MSSP、General、Tactic與Technique，子類別更是細分為7種，包括：Alert、Correlated、Delayed、Host Interrogation、Residual Artifact、Configuration Change與Innovative。</p> <p>顯然，新評估計畫提出的偵測類別，區分得更細，等於是讓偵測能力可以有更好的程度畫分，例如，Delayed細分成兩個子類型，以提供有關事件延遲原因的更多資訊，幫助用戶更容易去評估，而MSSP偵測類別的新增，也相當引人注意，符合MDR服務興起的態勢。</p> <p>對此，叢培侃表示，最好的偵測能力表現，就是要達到Technique與Alert，而能自動發出警告；至於MSSP偵測類別的加入，不僅有助於評估產品面，同時也還評估後端分析人員的分析能力，考驗這邊的人員如何使用系統找出駭客攻擊行動，因為有時需要專家知識。</p> <p>更進一步來看，這也將反映出各家資安產品，在自動化程度的未來趨勢。叢培侃預期，業界會越來越重視自動化偵測警告，而邱銘彰也觀察到，一旦這種評估方法變成標準，將對舊型態產品開發商有很大的衝擊，因為改動成本太大，會因此拉開新舊業者的差距，另外，資安服務化也會變得越來越明顯。</p> <p>同樣地，達友科技副總經理林皇興也有類似看法。以第一回合的測試結果為例，他表示，對於每個技術手法，產品是只有遙測到，還是有辦法去知道前後情境，甚至能夠正確描述其特殊行為，才更具意義，而且，偵測也有即時與非即時的差別。同時，他也以CarbonBlack測試結果為例，強調即時分析、與不需人工過濾的重要性，應是未來這類資安產品發展的目標，而像是Sophos等業者，近期正併購與SOAR有關的公司，顯示不少業者都是朝此方向邁進。</p> <p>另外，從首次評估結果也可以看出，針對APT3所使用的各項技術手法，每個產品並非都能全部偵測到。但重要的是，如果能夠在整個攻擊流程裡面，某一地方偵測到或阻擋，事實上就能破壞整串攻擊行動。</p> <p>不過，可能基於中立的緣故，MITRE並未將這些偵測能力，量化成可以打分數的指標，但至少讓企業能有一個較為客觀的架構來檢視，自己對既有駭客攻擊手法的涵蓋率與偵測能力。</p> <p>最後值得一提的是，在ATT＆CK評估計畫之外，MITRE也提供了開源的自動化攻擊模擬平臺Caldera，將可以運用ATT＆CK的框架來做攻防演練。</p> <p>關於這一方面，OPSWAT亞太區副總經理林秉忠在年初接受我們採訪時，曾指出；市面上這類開源模擬平臺，已經不少，包括：Metta、APT Simulator、Red Team Automation、Invoke、Atomic Red Team、Infection Monkey、Blue Team Training Toolkit、DumpsterFire與AutoTTP等。而這些工具大部分都有支援ATT＆CK，有些甚至是因ATT＆CK框架而起。因此，企業也可以利用這樣的工具，來驗證業者產品的偵測能力，像是作為評估EDR產品的參考。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>新版ATT＆CK Enterprise，將攻擊戰略增加為12階段</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0926-cover-14531930.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1453,height=1930'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-cover-s.png" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在今年4月更新的ATT＆CK框架，開始將駭客使用的戰略擴大至衝擊面，而既有的技術手法內容也有一些調整與新增，例如，在圖中的黃色部分，就是技術手法項目有變動，而綠色部分則是這次新增。</strong><span style="color: rgb(105, 105, 105);">圖片來源／MITRE</span></p> <p>在ATT＆CK Enterprise矩陣的第一列，也就是最上面的橫排（圖中藍色區域），由左至右列出了駭客入侵攻擊的戰略階段，下方則是該階段的各式攻擊技術手法。其中持續潛伏與防禦逃脫的階段，駭客使用過的攻擊手法最多，因此也讓整個矩陣外觀的呈現，是一個容易往下擴張的表格形式。</p> <p>較特別的是，在今年4月的更新版本中，最後階段新增了衝擊的戰略，此外，命令與控制與滲出這兩個戰略的順序也被對調。而從整個矩陣來看，各階段下方累計呈現出314個技術手法，比之前291個更多，不過，一個手法可能會出現在不同階段，若扣掉重複的部分，目前ATT＆CK共區分出244個不同的技術手法。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>10家業者參與評估計畫，驗證產品入侵偵測能力，第二回合會將偵</strong></span><strong style="font-size: 28px;">測類別更細分為13項</strong></span></p> <p>在MITRE ATT＆CK框架之下，不僅有系統且具體的歸納出駭客的攻擊流程，MITRE還發起了ATT＆CK評估計畫，透過已經建立的既有駭客團體攻擊情境，來檢視端點防護產品的偵測能力，目前已有10家業者參與這樣的測試。最近，MITRE更是即將施行第二回合的評估計畫，預期將會有更多業者加入。</p> <p>在第一回合針對APT3所有技術手法的測試中，已經解析了各業者針對該攻擊情境，在每項技術手法的偵測能力，報告中也可看到證明偵測到這個攻擊行為的系統畫面截取。而在第二回合的評估計畫中，將以ATP29的攻擊來驗證，特別的是，MITRE為了讓偵測能力的表現，可以更具體且清楚，因此，將其定義的主要偵測類別與子類別，做出大幅度的調整。例如，在主要偵測類別並加入MSSP一項，在子類別更是增加到7項。</p> <p>更進一步來看，這對於企業與資安業者都有好處，將更容易理解企業的防禦或業者的產品，對於這些手法的涵蓋率有多廣，以及偵測能力的程度。而企業也可從企業自身環境來考量，需要優先補足或強化的部分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>在首次ATT&CK評估計畫之下，是以APT3作為攻擊情境，從評估結果中，可檢視各家產品，對於APT3使用各技術手法的偵測能力表現。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BF%AB%E9%80%9F%E8%AA%8D%E8%AD%98ATT%EF%BC%86CK%E6%A1%86%E6%9E%B6%E7%9A%84%E6%9C%80%E6%96%B0%E8%AE%8A%E5%8C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;"><strong>在即將展開的第二回合的ATT＆CK評估計畫中，除了將改以APT29為攻擊情境，MITRE並將偵測能力做出更細緻且具體的畫分。</strong>圖片來源／MITRE</span></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/131274" target="_blank"><strong style="text-align: center;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 1 </span></span></strong></a><span style="text-align: center;">　</span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#D3D3D3;"> 2 </span></strong></span><span style="text-align: center;">　</span><a href="https://www.ithome.com.tw/news/131276" target="_blank"><span style="text-align: center; color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 3 </span></strong></span></a></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131275
【可助企業評估自我防禦，也是資安產業描述攻擊的共通架構】攻擊手法描述標準化，企業與產業都受益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年，MITRE ATT＆CK成為資安圈很夯的話題，不僅被認為可讓入侵手法描述有一致標準，同時也能在企業攻防演練，以及企業導入資安方案時的評估發揮作用。</p> <p>今年，我們看到臺灣一些資安業者，開始用ATT＆CK的概念，來跟企業溝通攻擊，在此次的專題製作過程中，我們也從資安相關業者與專家，得到一些更具體的經驗與觀察，讓我們可以更認識ATT＆CK框架的發展與價值。</p> <p><span style="font-size:28px;"><strong>最大價值就是EDR產品的評估</strong></span></p> <p>基本上，對於ATT＆CK Enterprise所歸納的各式技術手法細節，在資安領域已經被普遍認為，是可以協助端點偵測與反制系統（Endpoint Detection and Response，EDR）的評估，因為ATT＆CK的技術手法，其實能夠具體對應到產品規格，而從MITRE發起的相關評估計畫來看，也確實反映了這樣的態勢，已有10家資安業者參與。</p> <p>臺灣也有自主研發EDR的新創業者，奧義智慧就是一例，而在他們的眼中，ATT＆CK對企業與他們，將會帶來什麼樣的幫助？該公司共同創辦人邱銘彰表示，這其實也是因應了各方的需求，因為，不僅是企業需要評估這個產品，業者也要向企業證明產品的偵測能力，而ATT＆CK這樣結構化的驗證方法，就很有意義，能夠讓雙方都能好評估。</p> <p>不僅如此，在資安服務的紅隊演練也是如此。他舉例，由於厲害的業者很會攻擊，不厲害的業者則是亂打，因此，企業對於資安服務並沒有一個標準可以參照，這也就容易造成市場混亂。</p> <p>而在他們接觸企業用戶的經驗中，過去就常遇到企業不易評估的狀況。奧義智慧另一位創辦人叢培侃指出，現在企業擁有各式各樣的資安產品，但過去並沒有一套標準去評估要買什麼。因此，客戶在面對資安產品採購時，政府機關最常看到的是採最低標，也就是選擇價格最低者；一般企業則是承辦人要想出一個評估的方法去說服長官。而之前就有企業的要求，就是讓每間業者提供10隻病毒來測試，但是，用掃毒來檢視EDR完全是背道而馳的作法。他並指出，以現在ATT＆CK所分成的12個戰略階段而言，掃毒軟體大概也只是在第二個戰略階段Execution。</p> <p>現在，若是有了ATT&CK這樣的標準，企業其實就可以知道產品涵蓋到的層面。畢竟，每個單位對於自己的需求不同，有些單位可能已經買了很多產品，事實上只需要一小部分來補足現在的風險，若是沒有評估標準，企業就可能沒有把錢沒有花在刀口上。</p> <p>另外，隨著這個通用的框架興起，他們也將ATT＆CK融入到他們的產品。例如，在他們CyCarrier分析平臺的介面上，已經將系統偵測到的攻擊行為，對應到ATT＆CK框架的攻擊手法，而且，在他們提供的報告中，最後面也加入了ATT＆CK的項目，以便於使用者進行資安事件的評估，他們並預期未來相關業者都會跟進。同時，他們也透露參與新一輪ATT＆CK評估計畫的意願。</p> <p>關於這個評估計畫，在首輪測試第一個就響應MITRE的業者微軟，該公司資訊安全暨風險管理協理林宏嘉，他也期望更多業者通過這樣的測試，這樣將來在談攻擊時的落差就會比較小。例如，他提到這一兩年經驗，不是在幫大家「解毒」，而是「解讀」，因為要幫A與B廠商解讀他們的東西。現在，至少在跟別人談同一個事件時，會比較簡單，有一致性的語言，將能夠讓整個安全生態變得比較透明，且容易溝通，進而也讓企業接觸到更正確的資訊。</p> <p>特別的是，林宏嘉很認同ATT＆CK這樣的分類，因為他很習慣將每個動作拆得很清楚，甚至他還利用ATT＆CK矩陣來解讀惡意程式的行為。例如，過去資安業者稱有的惡意程式為後門、木馬，但他認為，過程與實質影響力更重要。</p> <p><span style="font-size:28px;"><strong>PRE-ATT&CK也值得企業重視</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89P5_%E6%94%BB%E5%AE%88%E6%A1%86%E6%9E%B6%E7%94%A8%E5%BE%97%E8%81%B0%E6%98%8E%E6%89%AD%E8%BD%89%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E6%96%B0%E6%80%9D%E7%B6%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8B%A4%E6%A5%AD%E7%9C%BE%E4%BF%A1.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>企業可運用ATT＆CK矩陣來確認攻擊情境與技術項目</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過攻防演練檢視企業自身的防禦，是現在越來越普遍的作法，而ATT＆CK矩陣將更容易幫助企業執行紅隊攻擊，特別是在攻擊情境的完整性上，進而幫助企業依據演練結果改善防護。</strong>圖片來源／勤業眾信</span></p> <p>對於ATT＆CK這樣的議題，提供資安顧問服務的勤業眾信，他們也看重這樣的概念，並同樣認為這是有助於溝通與攻防演練。</p> <p>因為，ATT＆CK對於溝通思維確實有很大改變。該公司風險諮詢服務副總經理林彥良表示，早期有許多的攻擊研究報告，但資訊其實相當分散，而現在討論就會使用框架，因為這有助於溝通。</p> <p>對此，該公司協理陳威棋也進一步說明。在他們協助企業的過程中，首先就是要幫助客戶建立應變的機制，第一件事就是要找人，這是指找到企業內部需要參與進來的人員；第二件事就是要制定應變框架甚至危機管理，在此過程中，就可以應用到ATT＆CK來執行攻防演練，以了解企業目前的防禦機制以及調查能力，或是在機制建置方面，也能用ATT＆CK做為參考的依據。而他們的一些日本客戶，其實也會在一開始，就要求執行資安成熟度的評估。</p> <p>對於有ATT＆CK，與沒有ATT＆CK的差異？陳威棋也解釋，以前他們在攻防演練測試，勤業本身也有一套定義與攻擊情境，但有的客戶或許不買單，而在有了ATT＆CK後，跟客戶討論將會更具體，特別是在整個攻擊鏈與手法上，只要客戶理解這個框架，其實就很方便溝通，也容易根據一些情境執行攻防演練。例如，他們使用Atomic Red Team的攻擊模擬工具，幫助攻防演練的執行。</p> <p>不過，他們對於全球採用ATT&CK的情形，則是有不同的觀察，林彥良指出，因為MITRE這樣的非營利組織背後還是美國國防部，中國雖有綠盟在應用ATT&CK，但未來可能會傾向發展出類似的架構，而歐洲也是。</p> <p>較特別的是，林彥良還指出，現在大家最常關注的是ATT＆CK Enterprise，但PRE-ATT&CK的部分，也是大家可以思考與關注的面向。例如，從外部蒐集的威脅資訊，像是員工電子郵件信箱暴露在外，或是帳號密碼被洩漏在外等，成為APT標的或可被用來撞庫。</p> <p>因為，這些駭客入侵前面階段的戰術手法與情蒐資訊，其實也很重要，而且他也指出，像是美國軍方等單位，也會將情報與安全維運拆分開來處理。</p> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/131274" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 1 </span></span></a></strong>　<a href="https://www.ithome.com.tw/news/131275" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2 </span></strong></span></a>　<span style="color:#FFFFFF;"><strong><span style="background-color:#D3D3D3;"> 3 </span></strong></span></p> </div></div></div>
2019/6/19 09:00作者羅正漢https://www.ithome.com.tw/news/131276
臉書正式推出加密貨幣Libra，同步推專用電子錢包還創立智能合約新開發語言Move
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書執行長祖克柏在自己的<a href="https://www.facebook.com/zuck/posts/10107693323579671">臉書上宣布</a>，正式推出臉書加密貨幣Libra。目標是要打造出一個全球性的金融基礎架構，預計在2020年正式上線。臉書同時也成立了非營利的<a href="https://libra.org/en-US/">Libra協會</a>，來負責Libra加密貨幣的維運，目前已經有27個成員。臉書也同步發表了<a href="https://developers.libra.org/docs/assets/papers/the-libra-blockchain.pdf">Libra區塊鏈白皮書</a>。</p> <div class="media_embed" height="333px" width="500px"> <iframe allow="encrypted-media" allowtransparency="true" frameborder="0" height="333px" scrolling="no" src="https://www.facebook.com/plugins/post.php?href=https%3A%2F%2Fwww.facebook.com%2Fzuck%2Fposts%2F10107693323579671&width=500" style="border:none;overflow:hidden" width="500px"></iframe></div> <p> </p> <p>Libra採取穩定幣的設計，每天漲幅不會超過10％，也會對應到真實資產，但不是直接對應到實體貨幣，而是由Libra儲備機構負責持有與Libra加密貨幣對等的實體資產，每當產生一個Libra幣時，Libra儲備機構就會同時增加對等的資產，來確保加密貨幣的穩定。</p> <h3><strong>Libra電子錢包採實名制，用官方證件開戶</strong></h3> <p>早在今年F8大會，祖克柏就預告，日後要讓轉帳匯款，就像分享照片依樣簡單，臉書同步推出了Libra加密貨幣的電子錢包Calibra，可以提供類似分享照片一樣的Libra加密貨幣全球轉帳服務。就算沒有臉書或Whatapp帳號，使用者也可以透過官方身分證件來申請Calibra帳號，等於這是一個採取實名制或臉書帳號制的加密貨幣電子錢包。Calibra屬於臉書子公司但會獨立營運，已符合各國支付法規的要求。祖克柏強調，用戶提供給Calibra的個資，會和臉書的資料庫分別保存。</p> <p>Libra區塊鏈是一個去中心化可程式化的分散式資料庫，由負責節點來提供驗證。但要提供驗證節點的最低投資金額為1千萬美元，也將成為Libra協會成員。臉書是發起成員，在2019年將會主導協會發展。臉書旗下負責打造Libra電子錢包的Calibra平臺，將會成立一個Libra network，屆時，臉書將和其他協會成員的權限平等，來共同主導Libra區塊鏈的發展，包括Libra儲備機構的管理。</p> <h3><strong>2020正式上線，先推出Testnet測試鏈</strong></h3> <p>臉書也先釋出了一個Libra測試區塊鍊稱為Testnet，可供開發者在Libra在2020年正式上線前，先行試用和開發各種Libra智能合約應用。Libra區塊鏈透過Libra協定來進行交易的驗證，作為用戶端和驗證節點，以及驗證節點之間的傳輸協定。臉書還設計了全新的程式語言Move，可用來設計Libra交易腳本，這就是俗稱的區塊鍊智能合約，每一次的Libra交易都包含了一份交易腳本，來描述Libra幣如何易手。</p> <p>在共識機制上，Libra區塊鍊採用了拜占庭容錯共識演算法系列中的HotStuff共識演算法，再略作調整而發展出自己專屬的LibraBFT共識演算法，尤其強化了原有拜占庭容錯共識演算法安全不足之處。Libra白皮書強調，甚至所有節點同時當機重開，也不會影響LibraBFT演算法的運作。臉書還推出了Libra區塊鏈專用的新程式語言Move，可用來開發使用者自訂的智能合約。</p> <h3><strong>Libra雛形版本可達到每秒1千次交易</strong></h3> <p>臉書已經開源釋出了Libra區塊鏈的核心程式，可用來建立一個進行Libra交易的驗證節點，稱為Libra Core，採用Rust語言開發，並利用gRPC來設計內部通訊的服務。臉書估計，初版Libra協定的效能，每秒可進行1千次交易驗證（transaction），而一次交易的完整完成時間（finality time），從提出交易，到完成驗證，寫入帳本最長不超過10秒。實測出這個交易速度所用的驗證節點硬體規格，包括了標準商用CPU、搭配16TB SSD和40Mbps的網路頻寬，每次交易資料量在5KB的情況下。若硬體規格再提高，則可加快驗證節點間的交易速度。</p> <p>不過，臉書在Libra白皮書上強調，目前的Libra Core只是初步的雛形版本（prototype），主要用來驗證Libra可行，日後不論API或協定本身都還會再修改。</p> <h3><strong>Libra區塊鏈未來發展藍圖</strong></h3> <p>後續的Libra區塊鏈技術發展，也將可從Libra Core未來發展藍圖略窺一二，未來Libra Core將會發展出專屬的標準化共享支付位址、也將提供一套真實世界可上傳交易到驗證節點的API函式庫、功能模組上則會新增Libra幣追蹤機制，投資型權杖設計、冷錢包或多錢包設計，在資安架構上則要引進「信任運算基礎」（Trusted computing base）的作法，另外也將採用時間序列式儲存機制來汰換現有的協定緩衝區儲存機制（Protocol Buffer）。而在智能合約專用語言Move上，未來則將提供事件機制，強化本地端智能合約的開發和測試機制，也將提供版本功能，可用來管理版本和新舊交易腳本（也就智能合約）等。</p> <p> </p> </div></div></div>
2019/6/19 00:06作者王宏仁https://www.ithome.com.tw/news/131332
官方認證！美國國土安全部成功測試Bluekeep攻擊，呼籲企業儘快修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的電腦安裝Bluekeep修補程式了沒？繼美國國安局後，國土安全部周一<a href="https://www.us-cert.gov/ncas/alerts/AA19-168A" target="_blank">表示</a>已經成功開採舊版Windows的Bluekeep漏洞，呼籲企業及用戶儘速安裝修補程式。</p> <p>Bluekeep為正式編號CVE-2019-0708的漏洞，存在於XP到Windows 7、Server 2008到2013等舊版Windows的遠端桌面協定（remote desktop protocol）中，可使未授權攻擊者利用RDP連上目標系統，傳送惡意呼叫。成功開採者可於遠端執行任意程式碼、安裝惡意程式、讀取或刪改資料、或新開管理員權限帳號。安全專家評估Bluekeep為「可感染」（wormable），因為開採其漏洞的惡意程式可在其他漏洞裝置上自我繁殖、散布，而引發如WannaCry等級災難。<a href="https://support.microsoft.com/zh-tw/help/4500705/customer-guidance-for-cve-2019-0708" target="_blank">微軟五月底已緊急釋出修補程式。</a></p> <p>國土安全部旗下的網路安全基礎架構與安全署（Cybersecurity and Infrastructure Security Agency，CISA）周一表示，已經連同外部廠商成功實作遠端程式碼執行，證明Windows 2000的確曝險。</p> <p>CISA呼籲電腦用戶及管理員儘速安裝修補程式，或是關閉不必要的對外服務、封鎖防火牆的TCP port 3389並啟動網路層驗證（NLA）。</p> <p>在此之前，已有多家安全公司包括卡巴斯基、McAfee及CheckPoint，都已成功開發出Bluekeep的概念驗證攻擊程式。</p> <p>安全業者Errata Security統計，網路上還有超過92萬臺系統仍然還有BlueKeep漏洞，<a href="https://www.ithome.com.tw/news/131106" target="_blank">促使微軟及美國國安局不厭其煩加入呼籲行列</a>。 </p> </div></div></div>
2019/6/18 16:15作者林妍溱https://www.ithome.com.tw/news/131323
Bitdefender與警方聯手釋出勒索軟體GandCrab最新版解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender與<a href="https://www.europol.europa.eu/newsroom/news/just-released-fourth-decryption-tool-neutralises-latest-version-of-gandcrab-ransomware" target="_blank">國際警方</a>在本周聯手<a href="https://www.nomoreransom.org/en/decryption-tools.html#GetCrypt" target="_blank">釋出了GandCrab 5.2版的解密工具</a>，這是GandCrab勒索軟體的最新版，且由於<a href="https://www.ithome.com.tw/news/131042" target="_blank">GandCrab已於日前宣布退隱江湖</a>，因此，新版解密工具的釋出，等於宣告GandCrab時代的結束。</p> <p>2018年1月底現身的GandCrab是史上獲利最豐的勒索軟體，它與眾多的駭客結盟，由駭客負責發動攻擊並感染受害者，駭客可獲得6成的收入，並由GandCrab拆分4成，這也讓GandCrab快速成為勒索軟體市場上的龍頭老大，在2018年中奪下50%的市佔率，估計其全球受害者超過150萬人。</p> <p>GandCrab作者在退休之際，宣稱GandCrab在這一年多以來已創造逾20億美元的收入，作者群一年的收益也超過1.5億美元，並說會刪除所有的金鑰，無法再回復任何受害者的資料。</p> <p>不過，歐洲刑警組織（Europol）表示，他們在全球警方的通力合作，以及Bitdefender與McAfee等資安業者的支持下，已經關閉了GandCrab的運作，並釋出最新的GandCrab解密工具。</p> <p>根據BleepingComputer的說明，所有的勒索軟體都是採用某些形式的加密演算法，且這些演算法大多是安全的，能否被破解端看作者夠不夠縝密，有許多作者採用公鑰/私鑰系統，以公鑰來加密，再利用私鑰來解密，而私鑰則由駭客自行存放。</p> <p>因此，當執法機構破獲勒索軟體組織時，就能從所扣押的伺服器上找到解密金鑰，再把解密金鑰公諸於世，Bitdefender即是藉由這些金鑰來建立解密工具。否則，要提供勒索軟體的解密解決方案其實是很難的。</p> <p>總之，GandCrab作者賺飽宣布收山了，不會再有新版的GandCrab，且Bitdefender的解密工具可支援被GandCrab 1、GandCrab 4、GandCrab 5~ GandCrab 5.2等版本感染的受害者，代表GandCrab即將就此畫下句點。</p> <p>然而，市場上仍存在著不少勒索軟體，歐洲刑警組織建議，使用者應有備份的習慣、使用防毒軟體、不要自來路不明的地方下載程式或開啟郵件中的可疑檔案，而且萬一被勒索軟體感染也不要支付贖金。</p> </div></div></div>
2019/6/18 16:20作者陳曉莉https://www.ithome.com.tw/news/131326
不只Linux伺服器，Azure也被駭客鎖定Exim漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.technet.microsoft.com/msrc/2019/06/14/prevent-the-impact-of-a-linux-worm-by-updating-exim-cve-2019-10149/" target="_blank">微軟周一發出公告</a>，近日發現Exim郵件伺服器元件的遠端指令執行（RCE）漏洞，可能影響Azure上的Linux系統用戶。</p> <p>全球將近六成或數百萬臺主機使用的郵件伺服器元件Exim，<a href="https://www.ithome.com.tw/news/131270" target="_blank">本月再被發現有編號CVE-2019-10149</a>的遠端指令執行（Remote Command Execution，RCE）漏洞，可讓駭客以最高權限執行任意指令。受影響版本包括4.87 到4.91版的Exim。上周安全公司已經發現至少二波攻擊行動，包括會自我繁殖的蠕蟲，會移除Exim伺服器上的挖礦程式及任何防護工具，再安裝自己的挖礦程式，尤其鎖定Linux伺服器，包括RHEL、Ubuntu、Debian和Alpine Linux等。</p> <p>而透過VM在Azure上跑上述版本Exim元件的Linux郵件伺服器也會同樣受波及。微軟指出，該公司安全回應中心（MSRC）本周證實，開採Exim RCE漏洞的Linux蠕蟲鎖定Azure客戶。</p> <p>微軟指出，Azure 2017年曾加強垃圾郵件控管機制可限制蠕蟲擴散，例如只有特定訂閱類型才能從VM上寄出郵件，但是本身使用有漏洞Exim軟體的客戶仍無法倖免。Azure VM用戶應自行更新Linux作業系統中的Exim版本。</p> <p>暫時無法更新的用戶，可考慮透過設定網路安全群組（Network Security Groups，NSGs）來過濾或封鎖部份流量，這個方法可阻擋來自網際網路的蠕蟲或進階惡意程式。但微軟警告，如果企業的網路安全群組放行攻擊者的IP位址，則問題系統仍然可能遭遠端指令執行攻擊。最終極解決之道，仍是升級到Exim 4.92版。</p> </div></div></div>
2019/6/18 16:35作者林妍溱https://www.ithome.com.tw/news/131328