iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 02:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【全面盤點國家級資安情報力：交通部打造T-ISAC】納入高鐵臺鐵風險評鑑結果，提供有效資安情資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在八大關鍵基礎設施服務的提供者中，交通部管轄的陸、海、空運業者種類多元、數量龐大，要如何打造一套資訊資安分享與分析中心（T-ISAC），降低相關業者所面臨的資安風險，是交通部的一大挑戰。</p> <p>交通部科技顧問室參事兼管理資訊中心主任王穆衡表示，在資通安全管理法頒布後，各種交通運輸業者成為關鍵基礎設施服務提供者之一，也讓許多特定非公務機關開始意識到，要扮演好關鍵的關鍵基礎設施服務業者之一，必須要時時提高警覺。他也以高鐵公司為例，高速行駛的交通服務，原本就需要主動針對自然災害和各種資訊情報做判斷，以確保服務品質的穩定提供。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 270px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/05_%E7%8E%8B%E7%A9%86%E8%A1%A1_%E4%BA%A4%E9%80%9A%E9%83%A8_%E7%AE%A1%E7%90%86%E8%B3%87%E8%A8%8A%E4%B8%AD%E5%BF%83_%E4%B8%BB%E4%BB%BB_20190604_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="text-align: center; width: 270px; float: right;" /></td> </tr><tr><td><span style="font-size: 16px;"><strong style="color: rgb(105, 105, 105); text-align: center;">交通部科技顧問室參事兼管理資訊中心主任王穆衡表示，打造廣納各種國內外資安威脅情資的T-ISAC，相關業者也必須真正落實各自的資訊資產盤點，以及風險評估</strong><span style="color: rgb(105, 105, 105); text-align: center;">。（攝影／洪政偉）</span></span></td> </tr></tbody></table><p><span style="font-size:28px;"><strong>資訊資產盤點與風險評鑑是重要的資安情報分享</strong></span></p> <p>王穆衡也說，許多交通運輸業者的系統，都是專屬或封閉的交通運輸的工控系統，要打造一個可以廣納各種國內外資安威脅情資的T-ISAC，同時，相關業者也必須真正落實各自的資訊資產盤點，以及風險評估。</p> <p>交通部除了收集各種攻擊手法、攻擊標的、資安弱點、入侵攻擊情報、歷史事故，以及資訊系統與工業控制系統的國、內外資安威脅情資外，也納入高鐵和臺鐵等業者的資訊盤點，以及風險評估結果。</p> <p>他說，藉由這些情資分享，已經針對交通領域提供了超過60則以上的資安情資，同時，可以為其他交通領域的關鍵基礎設施場域維護人員，提供更多有用資訊，以便做到必要的資安預防措施。</p> <p>事實上，交通部在2017年提出T-ISAC專案，到2018年4月正式維運，過程中，除了T-ISAC外，還要求相關的運輸服務業者做風險評鑑，以及資訊資產盤點，今年更加強平臺的資安規畫、資安檢測及防護機制，最終希望可以為交通領域的資安資訊分享與資安聯防，建立堅實的基礎。</p> <p>不過，這些來自於高鐵、臺鐵提供的資訊資產盤點、風險評鑑資訊，相關業者雖然知道其重要性，當下也都有防護措施，但他也提醒，這類工控系統或封閉系統的風險被盤點出來後，就應該要回到各自組織內部去解決這個問題。</p> <p>換言之，這些不論是人力、設備或者是SOP產生的風險議題，對於其他業者而言，都是可以參考的警訊，而像是客運業者提供給客戶使用的App，多是經由委外開發而來的，如果業者可以事先提供相關的App委外開發的經驗分享，也能夠藉此協助其他業者降低不必要的資安風險。</p> <p><a href="https://www.ithome.com.tw/article/132228" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">打造國家級資安情報力</span></strong></span></a></p> </div></div></div>
2019/8/9 09:00作者黃彥棻https://www.ithome.com.tw/news/132225
【全面盤點國家級資安情報力：通訊傳播委員會打造C-ISAC】即時掌握電信網路安全，提升資安聯防效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家通訊傳播委員會（簡稱通傳會，NCC）是臺灣第一類、第二類電信服務業者主管機關，在資安議題還不是這麼熱門時，需要因應業務型態打造網路維運中心（NOC），以確保網路正常運作，一旦發生任何障礙通報，都必須要能夠在第一時間掌握。因此，通訊傳播委員會技術管理處處長羅金賢表示，確保電信網路的穩定與安全，則是通傳會最重要的任務。</p> <p>為了落實「資安即國安」的政策方針，包括國家安全會議資通安全辦公室、行政院資安處，以及通訊傳播委員會，共同打造資安鐵三角，一起推動資安工作，確保數位國家安全，並同時帶動資安產業發展、培育資安人才。</p> <p>羅金賢表示，因通傳會是網路電信業者的主管機關，身為資安鐵三角的任務之一，就是規畫並打造國家通訊暨網際安全中心（NCCSC），建立固網、行動網路、衛星、海纜、有線電視業者CATV及DNS監控系統，即時掌握網路運作狀態，縮短障礙排除的應變時間。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 270px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/11_%E7%BE%85%E9%87%91%E8%B3%A2_%E5%9C%8B%E5%AE%B6%E9%80%9A%E8%A8%8A%E5%82%B3%E6%92%AD%E5%A7%94%E5%93%A1%E6%9C%83_%E5%9F%BA%E7%A4%8E%E8%A8%AD%E6%96%BD%E4%BA%8B%E5%8B%99%E8%99%95_%E8%99%95%E9%95%B7_20190507_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="text-align: center; width: 270px; float: right;" /></td> </tr><tr><td><span style="font-size: 16px;"><strong style="color: rgb(105, 105, 105); text-align: center;">國家通訊傳播委員會技術管理處處長羅金賢表示，通傳會（NCC）扮演資安鐵三角一環。</strong><span style="color: rgb(105, 105, 105); text-align: center;">（攝影／洪政偉）</span></span></td> </tr></tbody></table><p><span style="font-size:28px;"><strong>即時掌握電信網路運作，有效排除各種電信網路障礙</strong></span></p> <p>除了有效掌握各種網路電信的運作與障礙排除，羅金賢表示，通傳會更陸續打造資通安全分享與分析平臺C-ISAC、資安緊急應變中心C-CERT，以及二線資安維運中心C-SOC，透過建置資安事件分析通報分享系統，做到即時通報處理資安事件，並提升資安聯防效益。</p> <p>在電信網路業者發生資安事件時，羅金賢表示，不論是一般使用者、伺服器或是傳輸的資安事件，甚至是障礙排除，例如：電力中斷、水災或是路由不當設定等疏失，都可透過NOC通報。</p> <p>至於打造SOC（資安監控中心）是第一、二類電信業者都需要，尤其是第一類電信業者都要有SOC，做到自動化偵測與被動防護；在網路上還有布建誘捕系統（Honeynet），作為情資來源。</p> <p>若要找尋攻擊來源，可以透過C-ISAC通報，知道攻擊IP位址來源、網段是屬於哪一家業者；C-CERT負責通報應變，將資安事件分成一到四級，並進行通報進度的監控。</p> <p>羅金賢表示，C-ISAC主要傳遞資安情資的格式採用STIX，分成五大類情資，包括：資安訊息情資（ANA）、資安預警情資（EWA）、網頁攻擊情資（DEF）、入侵攻擊情資（INT）及回饋情資（FBI），每一類情資都依照重要性，分成低、中、高等級。</p> <p>為了強化電信業者的資安防禦能力，通傳會也必須落實對電信業者機房的資安稽核，其他像是：電信一級、二級關鍵基礎設施防護演練、資安通報應變自動化物聯網安全標準導入及檢測等，羅金賢認為，都是該會提升資安防護能力並推動聯防時的重要任務。</p> <p>其中，羅金賢特別指出，通傳會為了執行物聯網IoT終端設備、無線網路Wi-Fi、數位機上盒等設備的資安檢測，也打造了IoT資安檢測實驗室，希望用來研究各種產品的資安漏洞、作為示範攻擊的案例外，也能針對可疑的資安風險提出解決方案，並做到協助廠商開發符合資安設計的各種物聯網產品。</p> <p><a href="https://www.ithome.com.tw/article/132228" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">打造國家級資安情報力</span></strong></span></a></p> </div></div></div>
2019/8/9 09:00作者黃彥棻https://www.ithome.com.tw/news/132226
【全面盤點國家級資安情報力：經濟部打造E-ISAC】管理水資源與能源OT系統，維運難度高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經濟部管理的業務型態包山包海、種類繁多，政府為了強化對於關鍵基礎設施業者的資安管理，藉由依序打造各種相關的資安平臺，納管相關的關鍵基礎設施業者。</p> <p>經濟部資訊中心主任馬正維表示，八大關鍵基礎設施業者中，經濟部同時肩負政府機關水利署提供的水資源關鍵基礎設施的管理，以及包括油、水、電等民間能源業者的管理。</p> <p>由於我國政府揭櫫「資安即國安」的政策方針，加上資通安全管理法已經於今年一月一日正式實施，主管機關就可以善用資安法對於關鍵基礎設施服務提供者（CI）的規範，要求相關業者。</p> <p>根據「第五期國家資通安全發展方案」（2017年～2020年），該部也擬定「經濟部關鍵基礎設施安全維護計畫」。馬正維說，為了強化能源及水資源關鍵資訊基礎設施的安全，便建置開發經濟部資安資訊分享與分析平臺（簡稱E-ISAC），並透過國家資安情資分享中心（N-ISAC）與其他領域ISAC進行串接，建立跨領域的資安聯防機制，並為關鍵資訊基礎建設的整體資安防護奠定基礎，提升能源與水資源領域關鍵基礎設施領域的資通安全。</p> <p>2018年經濟部完成E-ISAC的建置後，便透過情資蒐集、分享與分析機制，與下屬機關完成情資交換，例如，向下和能源局PE-ISAC、水利署W-ISAC、國營事業中油、台電、臺水等ISAC介接外，也向上與N-ISAC介接。</p> <p>以2019年1、2月為例，E-ISAC共發布38篇資安情資，包含來自國內外資安組織、N-ISAC、其他下屬ISAC之資安情資；他們亦分享20篇資安情資給下屬ISAC，並上傳3篇資安情資給 N-ISAC。該期間E-ISAC會員瀏覽資安情資，合計 442人次，已發揮情資交流分享效益。</p> <p>「經濟部做事都要想到產業發展，」馬正維笑說，油、水、電的OT（營運技術）與IT是分開的，但多數臺灣資訊服務業者對OT並不了解。因此，便由經濟部出面說服油、水、電等相關業者，開OT測試場域（Test Bed），提供臺灣資服業者練功。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/13_%E9%A6%AC%E6%AD%A3%E7%B6%AD_%E7%B6%93%E6%BF%9F%E9%83%A8_%E8%B3%87%E8%A8%8A%E4%B8%AD%E5%BF%83_%E4%B8%BB%E4%BB%BB_20190509_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="text-align: center; width: 300px; float: right;" /></td> </tr><tr><td><span style="font-size:16px;"><strong style="color: rgb(105, 105, 105); text-align: center;">經濟部資訊中心主任馬正維指出，政府協調業者提供測試場域，強化臺灣資安業者實力。</strong><span style="color: rgb(105, 105, 105); text-align: center;">（攝影／洪政偉）</span></span></td> </tr></tbody></table><p><span style="font-size:28px;"><strong>經濟部出面，要求油水電業者開放測試場域</strong></span></p> <p>為了讓相關的油水電業者對提供測試場域安心，他指出，經濟部也定下開放原則，包括：不影響油水電場既有的運作；資安業者不直接連至油水電場的工控設備；以及，臺灣資安業者對於收到各種測試資料都不外傳。</p> <p>馬正維表示，在提供測試場域時，經濟部也堅持要由臺灣資安業者主導，透過與外國業者合作的方式，學習國外的作業方式，希望可以提升臺灣資安業者對OT系統的了解與掌握度。</p> <p>由於能源及水資源領域的廠區維運人員，過去較少接觸資訊與資安相關技術與管理議題，且在OT環境下，多關注可用性與人身安全，並不了解OT安全的重要性，因此，馬正維認為，要如何提升廠商人員的資安意識是一大挑戰。</p> <p>2020年預計建置二線SOC，但目前能源與水資源領域的業者，都是經由OT的入侵偵測系統設備的鏡射埠（mirror port），將資料匯出，但仍有安全性考量，因此，在無法取得資料的情況下，二線SOC如何有效運作仍是考驗。</p> <p><a href="https://www.ithome.com.tw/article/132228" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">打造國家級資安情報力</span></strong></span></a></p> </div></div></div>
2019/8/9 09:00作者黃彥棻https://www.ithome.com.tw/news/132227
打造國家級資安情報力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/932-feng_mian_gu_shi_-1_open-960x420.jpg?itok=wBjRHlwG" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府為了建構綿密的資安情資交換系統，鎖定八大關鍵基礎設施服務提供者的主管機關，以及六大直轄市政府，打造可蒐集、分析各種資安情資的ISAC平臺，ISAC之間，也將由國家級N-ISAC交換與分享情資。而透過如此完善的情資體系，將為臺灣提供更強而有力的資安防護</p> </div></div></div>
2019/8/9 09:00作者黃彥棻https://www.ithome.com.tw/article/132228
捷報！臺灣資安公司戴夫冠爾研究員獲黑帽大會Pwnie Awards最佳伺服器漏洞獎肯定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>黑帽大會每年都會舉辦漏洞界奧斯卡獎的Pwnie Awards獎項，事先會提名年度最棒（Excellence）以及最爛（incompetence）的漏洞，並於黑帽大會中頒獎。臺灣資安公司戴夫寇爾資安研究員Orange Tsai與Meh Chang揭露的Pulse Secure及其他SSL VPN產品漏洞以及入侵與利用手法，則獲得2019年年度最佳伺服器漏洞的肯定。這也是全臺灣第一個獲得Pwnie Awards獎項肯定的資安研究員。</p> <p><span style="color:#0000FF;"><strong>Pulse Secure的SSL VPN產品漏洞獲漏洞界奧斯卡獎最佳伺服器端漏洞肯定</strong></span></p> <p>許多駭客會利用各式各樣的漏洞去控制各種伺服器，而這種稱之為PWN的手法，每年在黑帽大會上則藉由舉辦Pwnie Awards的方式，肯定許多優秀的資安研究人員。而Pwnie的發音同Pony（小馬）的發音，所以得獎者象徵則是一匹可愛的玩具小馬。</p> <p>此次，在這個黑帽大會年度漏洞奧斯卡獎上，獲得最佳伺服器漏洞獎五個提名的入圍者包括：Orange Tsai先前發掘的Jenkins RCE漏洞；Qualys資安團隊揭露的免費電郵服務Exim的RCE漏洞；資安研究員Stefan Viehböck所揭露中國雄邁IP Cam（網路監視器）韌體沒有更新成為駭客肉雞的漏洞；以及微軟日前所揭露，舊版Windows遠端桌面服務存在重大漏洞BlueKeep，可能引發類似WannaCry的災情的漏洞（CVE-2019-0708），都是今年影響甚大的伺服器端漏洞。</p> <p>伺服器端漏洞第五個提名者則是由臺灣資安資安公司戴夫寇爾（Devcore）資安研究員Orange Tsai與Meh Chang共同揭露，包括Pulse Secure及其他SSL VPN的產品漏洞。由於這個漏洞對於很多企業，都帶來許多重大的資安風險，因此，在今年黑帽大會Pwnie Awards的頒獎大會中，Pulse Secure的SSL VPN產品漏洞，則獲得年度最佳伺服器漏洞獎的肯定。</p> <p><span style="color:#0000FF;"><strong>華碩電腦更新伺服器遭駭客入侵，獲得漏洞界金酸莓獎提名</strong></span></p> <p>當然，如同電影界有肯定努力的奧斯卡獎，也有反串的金酸莓獎，在漏洞界中也不例外。</p> <p>今年三月，臺灣電腦製造商華碩電腦，因為更新伺服器遭到駭客入侵，並由資安公司卡巴斯基揭露這起命名為暗影之鎚（ShadowHammer）的資安事件，則入圍「史詩般失敗」（pwnie for most epic fail）的金酸莓獎的入圍提名，這也真實諷刺華碩電腦只會製造卻不懂資安的現實。</p> <p>所幸，該獎項最終的得獎者是，彭博資訊（Bloomberg）報導包括美商Super Micro（超微）的主機板上，被植入米粒大小的間諜晶片的報導。但這則報導遭到各方的強烈否定，加上彭博資訊也無法拿出足夠證據。這如同科幻小說般情接的報導，則獲得Pwnie Awards金酸莓獎的肯定。</p> <p>所幸，華碩電腦暗影之鎚的資安事件最終並沒有獲獎，不然的話，就可能會出現，臺灣資安研究者傑出研究得到Pwnie Awards奧斯卡獎最佳伺服器端漏洞獎的肯定，卻同時有最Pwnie Awards金酸莓獎、最無能公司得獎的證明。</p> <p> </p> <p> </p> </div></div></div>
2019/8/9 04:59作者黃彥棻https://www.ithome.com.tw/news/132333
臺灣資安研究員揭露市占八成SSL VPN產品漏洞，並成功打下Twitter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國太平洋時區8月7日舉辦的黑帽大會，臺灣資安公司戴夫寇爾（Devcore）資安研究員Orange Tsai（蔡政達）與Meh Chang正式對外揭露，在今年三月進行紅隊演練（Red Team）時，發現知名SSL VPN業者可被駭客利用的漏洞，其中，Palo Alto的漏洞利用手法已經在七月對外公布，而Fortinet以及Pulse Secure的漏洞利用手法則在黑帽大會上正式公布。</p> <p>由於SSL VPN是許多企業對外連線的重要管道，一旦遭到駭客攻破，企業內網將成為駭客的囊中之物，因此，此次漏洞揭露不僅獲得許多企業用戶資安人員的關注，業者也在最短時間內提供漏洞修補，只不過，並不是所有企業都有意識到需要即時修補漏洞的重要性。因此，Orange Tsai更利用Pulse Secure的漏洞成功攻入Twitter，並成為Twitter漏洞獎勵計畫有史以來第一個RCE（遠端執行漏洞）漏洞，且獲得超過二萬美元、最高金額的獎金獎勵。</p> <p>在今年黑帽大會Pwnie Awards漏洞研究界的奧斯卡獎中，包括Orange Tsai先前發掘的Jenkins RCE漏洞、免費電郵服務的Exim RCE漏洞、以及微軟CVE-2019-0708的Bluekeep等，都入圍年度伺服器漏洞的項目，而揭露Fortinet以及Pulse Secure的SSL VPN產品漏洞以及入侵與利用手法，則獲得最佳年度伺服器漏洞的得獎肯定。</p> <p><span style="color:#0000FF;"><strong>SSL VPN是企業必定連網的對外管道，連NSA都有相關攻擊工具</strong></span></p> <p>不管是做滲透測試（PT）或紅隊演練，Orange Tsai發現，電子郵件以及SSL VPN是企業兩大一定會對外連結的管道，而SSL VPN領域，具有高保密、隱私和高速的技術，更是只有少數業者占領多數市場。根據統計，前三大SSL VPN業者，占全體市占的75％；若是前五大SSL VPN業者，占全體市占86％。常見的SSL VPN包括F5、Palo Alto、Fortinet以及Pulse Secure等五家業者，而此次揭露的兩個SSL VPN的廠牌，Pulse Secure囊括大型企業與政府用戶，而Fortinet產品則以中小型企業為主。據了解，臺灣不少政府單位使用Fortinet的SSL VPN產品Fortigate，都應該做到儘速升級到最新作業系統版本。</p> <p>他也說，先前「影子掮客」（The Shadow Brokers）駭客集團曾經入侵美國國安局NSA旗下秘密網路攻擊組織「方程式」（Equation Group），並釋出近300MB的檔案，其中，便有不少攻擊工具便與SSL VPN有關。</p> <p>不過，Orange Tsai指出，此次研究原本是以Fortinet以及Pulse Secure為主，但額外發現Palo Alto在SSL VPN產品上的漏洞，其實是20年前一個遠端控制執行的RCE已知漏洞，通報隔天悄悄修補，沒有回報CVE漏洞編號也沒有官方提醒企業用戶應該即時修補。他們則利用該漏洞，成功入侵Uber一臺架在AWS的伺服器。</p> <p><span style="color:#0000FF;"><strong>觀察使用者介面，找出三個攻擊破口</strong></span></p> <p>所有的漏洞發現絕對不是偶然，都需要敏銳的觀察力，這可以從Orange Tsai分享如何破解SSL VPN的使用者介面得知。他指出，一般這類的商用設備都不會提供使用者可以執行任意代碼（拿到Shell）的權限，以往駭客都是透過黑箱的方式破加解密、找漏洞，但他此次則採用類似中醫看診「望、聞、問、切」的手法，先破解使用介面後，進一步分析系統核心，找到可能的弱點後，才能夠成功進入企業內部，這個過程可以從原先的黑箱，再進一步到灰箱，最後才是透過白箱的方式，找出系統漏洞。</p> <p>至於，怎麼找到可以攻擊的破口呢？Meh Chang指出，可以從三個常見角度切入，首先是最常見的Web VPN操作介面，一般SSL VPN經常會利用瀏覽器，連回企業內部網路伺服器，也會支援各種通訊協定，例如：HTTP、FTP、TELNET、SSH、SMB以及RDP等。</p> <p>其次，則是利用Native Script Language Extensions（本機端腳本語言擴充）特色，像是PHP或是Perl都是有效率程式語言，C語言則是各種常被用來實作的開發語言，但也因為C語言是比較早期的開發語言，不同開發語言之間要資訊交換、加速時，就可以發現C語言本身許多與記憶體相關的緩衝區漏洞可以利用；第三，則是SSL VPN要處理多層次架構，當彼此不一致時，就會有漏洞產生。</p> <p><span style="color:#0000FF;"><strong>除了串不同RCE取得權限外，還有Magic後門可以利用</strong></span></p> <p>Meh Chang便以Fortinet的SSL VPN產品Fortigate為例，她表示，要逆向工程分析作業系統的檔案時，即使只有10kb的檔案，可能就有幾十萬行的程式碼在內，分析難度很高，更何況，Fortigate的作業系統因為採用2002年的Apache伺服器的程式碼作為研發的基礎，整個檔案大小就超過500MB、加上有8萬5千個功能列表，要採用傳統逆向工程的分析方式，實在是難上加難。</p> <p>此次，Meh Chang在研究時，也採用Orange Tsai先前分享的駭客思維，將多個RCE（遠端代碼執行）漏洞串連在一起後，達到入侵的功能。此次，主要是利用任意讀檔漏洞（Arbitrary File Reading），解讀系統檔案並發現儲存的明文密碼後，再登入系統。</p> <p>之後，Meh Chang表示，研究的過程中，原本是希望可以利用Heap Overflow（記憶體配置使用溢位）的漏洞，複製不管多長的字串，造成緩衝區溢位攻擊（Buffer Overflow），藉此找到可以實作的Exploit（攻擊程式）。但因為這個漏洞本身並不穩定，因此，她說，這次則改用不同以往的手法，透過Spray（噴射）的方式，拿到最終可以執行任意代碼的Shell。</p> <p>但這樣取得可以執行任意代碼的Shell的方式還是太複雜，Meh Chang發現一個「Magic」（神奇）後門程式可以利用，透過塞Magic這個字串後，就可以將使用者的密碼改成自己的密碼，經由這樣暴力破解方式，可以更直接且便利的取得SSL VPN的控制權。</p> <p><span style="color:#0000FF;"><strong>繞過層層安全防護機制，從錯誤訊息中找到入侵破口</strong></span></p> <p>Pulse Secure是由網路交換器Juniper分出來的公司，許多財富五百大企業，都是採用Pulse Secure的SSL VPN產品。而Pulse Secure採用客製化的架構，使用Perl語言撰寫程式，並採用C++幫Perl開發的程式做多種的外掛功能。</p> <p>Orange Tsai表示，Pulse Secure是一個相對有安全開發意識的公司，這一次可以找到SSL VPN的漏洞，主要是因為Pulse Secure在8.2版新增了一個Web VPN的功能，這也是HTML 5 Access新增的功能，使用者可以透過瀏覽器的方式，直接登入Telnet、SSH以及RDP等連接埠以連上Web VPN。</p> <p>也由於Pulse Secure 8.1版作業系統已經終止支援，每一個使用者都必須升級到最新版時，因此，Orange Tsai說，這個漏洞會影響到每一個使用者，影響層面甚大。</p> <p>他指出，此次主要是透過任意讀檔的漏洞，發現Pulse Secure 8.2版Web VPN的私鑰和系統設定，還有雜湊（Hash）過的使用者密碼、Web VPN敏感的Cookie資料（像是Google、Dropbox和iCloud等），以及存放在Cache（快取資料）中的明文密碼。在掌握使用者的帳號密碼後，Orange Tsai表示，接下來希望透過Command Injection（命令注入）的攻擊手法，取得SSL VPN的控制權限。</p> <p>但他也觀察到，Pulse Secure知道HTML 5 Access帶來的風險，為了確保作業系統的安全性，其實也作了許多強化安全性功能的保護措施，就好像看得到通往城堡的門，但為了避免敵人入侵，則在城堡旁邊的護城河部署重兵防守一樣。他說，以往也聽過一些資安研究人員有發現這個漏洞，但因為繞不過Pulse Secure的安全防護措施導致無功而返。</p> <p>Orange Tsai說，因為Pulse Secure使用Perl和C語言做開發，兩個程式語言做各種功能執行時，有時候就會產生一些錯誤訊息（STDERR），這些錯誤訊息就是Pulse Secure重兵部署護城河的瑕疵，透過利用這些錯誤訊息去寫一個Perl程式，並將後門程式寫在網頁中，透過網頁去操控SSL VPN伺服器，拿到最終執行任意代碼的權限。</p> <p>而Pulse Secure對此漏洞的回應相當迅速，Orange Tsai指出，該公司在今年3月22日接到漏洞通報後，在4月24日就完成相關的漏洞修補，並在4月25日就發出相關的安全更新程式的修正通報。</p> <p><span style="color:#0000FF;"><strong>利用Pulse Secure漏洞成功駭入Twitter</strong></span></p> <p>許多大型企業都是使用Pulse Secure的產品，Twitter也不例外。Orange Tsai表示，Twitter使用SSL VPN時，也開啟雙因素認證的保護且使用強度高的密碼，但在繞過雙因素認證的過程中，他找到Sha256加密的Admin密碼，並立刻租用72核心的AWS雲端伺服器，花三小時去破解這個加密的密碼。</p> <p>他表示，這個挖掘漏洞的過程，在回報給Twitter的漏洞獎勵計畫（Bug Bounty Program），不僅成為Twitter有史以來第一個可以遠端控制執行的RCE漏洞，並獲得20,160美元最高額的漏洞獎勵金。</p> <p>Meh Chang也觀察到，早期的攻擊手法都偏重伺服器端的攻擊，像是水坑式攻擊（Watering Hole）、Drive by download、置換SSL VPN的安裝程式，或是採用中間人攻擊（MITM）的手法等。但她認為，未來個人電腦的終端使用者的安全更重要，像是每一臺電腦都會安裝SSL VPN的代理程式，也會儲存許多機敏資料等等，透過新型態鎖定SSL VPN的攻擊手法，企業面臨的風險更大。</p> <p>如何提供使用者端更安全的SSL VPN使用環境呢？Orange Tsai則建議，首先，用戶端在連線前的憑證驗證很重要，就是要確認是合法的使用者，只有白名單上的使用者，才可以合法使用SSL VPN連線；其次，至少啟用雙因素認證以降低風險。</p> <p>第三，要進行完整的Log稽核，例如將所有的Log存放到外部的Log伺服器，有利於未來的各種資安鑑識所需；最後，則建議企業應該要訂閱該公司使用各種廠牌設備的安全建議須知（Security Advisory），以利即時掌握重要的關鍵漏洞修補進度。</p> <p> </p> <p> </p> </div></div></div>
2019/8/8 23:43作者黃彥棻https://www.ithome.com.tw/news/132332
Chrome 78可強迫所有網頁都變深色模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員在Chrome 78的Canary版本<a href="https://techdows.com/2019/08/force-dark-mode-for-web-in-chrome-canary-on-desktop.html" target="_blank">發現一項新功能</a>，可強迫那些未提供深色模式（Dark Mode）的網頁，通通以深色模式呈現。</p> <p>Chrome版本從73起，先是支援了macOS的深色模式，於Chrome 74支援Windows的深色模式，只要作業系統設定了深色模式，Chrome就可自動切換成深色模式，讓使用者在低光的環境下，也能舒適地使用瀏覽器。</p> <p>Chrome 76則進一步支援所造訪網站的深色模式，當所造訪的網站具備深色模式時，它即會依照作業系統的設定而切換至深色模式。</p> <p>還在測試中的Chrome 78，則提供了一項名為「Force Dark Mode for Web Contents」的新功能，使用者一旦將它啟用，就能強迫任何未支援深色模式的網頁變成深色模式，且同時支援Mac、Windows、Linux、Chrome OS與Android等平台。</p> <p>由於該功能仍在測試中，尚不確定它是否會出現在正式版本中，<a href="https://www.chromestatus.com/features/schedule" target="_blank">Chrome 78穩定版</a>預計於今年10月22日問世。</p> </div></div></div>
2019/8/8 18:40作者陳曉莉https://www.ithome.com.tw/news/132330
臉書改進AI聊天機器人使其更具個性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/advances-in-conversational-ai/">臉書為建構更具吸引力以及個性的人工智慧聊天機器人</a>，使用新的資料集、演算法及模型，改進聊天機器人普遍存在的一致性、特殊性和同理心等5大弱點，經臉書改進的對話機器人，現在除了會在回應中表現喜好之外，還能自然地在回應中加入額外的知識，提升對話品質。</p> <p>臉書提到，對話研究是建構下一代智慧代理人很關鍵的部分，雖然現在聊天機器人可以在單個領域的對話，表現得很好，但是還遠無法跟人類進行跨多主題的開放領域對話。臉書想讓智慧代理人執行播放歌曲或是預定等任務時，還可以跟人類自然地就日常生活交談，以提升使用體驗，但要在對話中產生連貫且引人入勝的回應並不容易，人工智慧需要學習細微的對話技巧，包括語言理解和推理能力。</p> <p>為此臉書針對目前5個人工智慧聊天機器人常見的弱點進行強化，包括一致性、特殊性、同理心、知識性和多模式理解。臉書表示，聊天機器人的對話普遍缺乏前後一致性，前面對話說自己有養兩隻貓，但是後面問他貓的名字時，可能又會說自己沒有養貓，為此臉書與紐約大學合作，開發自然語言推理（Natural Language Inference，NLI）技術，並創建對話NLI資料集。</p> <p>對話NLI資料集會將對話中的兩個語句當作前提和假設，並標記前提和假設的關係，是相關、矛盾還是中性的，模型使用對話NLI資料集訓練後，經過3個測試資料集的實驗，證實有效降低聊天機器人3倍的對話矛盾。</p> <p>聊天機器人傾向回應保守且安全的句子，像是我不知道，而經過實驗，人們更偏好特別的回答，臉書透過控制多個對話屬性，調整機器人回應的特殊性。當人類問聊天機器人的職業時，臉書新模型所產生的答案，不只回答自己是建築工人，還會進一步描述具體細節，回答自己正建造骨董屋和翻新房屋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/65708425_2281094181972958_5852891280178151424_n.png" style="width: 600px;" /></p> <p>臉書也與華盛頓大學合作，開始研究讓聊天機器人更具同情心，這能夠解決因為人工智慧無法正確感受人類的情緒，而做出不洽當的回應，現在當人類提到自己工作升遷時，聊天機器人可以先給予祝賀，而不是反問人類為什麼能夠獲得升遷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/65664493_430676104438437_8947931819907481600_n.png" style="width: 600px;" /></p> <p>另外，人類談話的時候，通常能夠自然地將知識融入到對話中，但這點對於開放領域聊天機器人還難以辦到。臉書解決這個問題的想法，是在模型中採用更直接的知識記憶機制，收集基於維基百科知識的對話資料集，並使用新的模型基礎架構擷取與使用這些知識，改進對話模型展示知識的能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/65655511_1090328484483580_7586409642134077440_n.png" style="width: 600px;" /></p> <p>而在許多時機，對話會參雜圖片，因此聊天機器人不只需要理解對話，還要能理解圖像，臉書則努力使得聊天機器人對圖片的回應更具人性，而非只是給出傳統的圖說。臉書收集了人類圖像評論資料集，並建構名為TransResNet的檢索架構，將圖像、個性以及圖說資訊投影到同一個空間，以產生綜合的結果，臉書提到，在部分案例，新模型所產生的圖片註解，已經接近人類的表現，而比起一般的圖說，約有50％的人更喜歡新的圖片評論。</p> </div></div></div>
2019/8/8 15:40作者李建興https://www.ithome.com.tw/news/132312
客戶成競爭對手？FedEx不再提供Amazon於美國境內的送貨服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因擔心客戶成為主要的競爭對手，聯邦快遞FedEx繼今年6月宣布不再提供Amazon於美國境內的空運服務之後，本周再度宣布與Amazon於美國市場的陸運合約，在本月底到期之後亦不再續約。</p> <p>FedEx先是在今年6月<a href="http://investors.fedex.com/news-and-events/investor-news/news-release-details/2019/Statement-Regarding-FedEx-Corporations-Relationship-with-Amazoncom-Inc-/default.aspx" target="_blank">發表了聲明</a>，主要是向投資人說明與Amazon之間的關係，當時FedEx宣稱這是項策略性的決定，不再與Amazon續約美國境內的航空貨運服務。</p> <p>本周FedEx則進一步宣布，當與Amazon於美國的陸運服務在本月到期後，<a href="https://www.bloomberg.com/news/articles/2019-08-07/fedex-deepens-pullback-from-amazon-as-ground-delivery-deal-ends" target="_blank">將不再續約</a>。不過，雙方合約的終止僅限美國市場，尚未影響FedEx與Amazon的國際貨運合作協議。</p> <p>其實FedEx已經把Amazon視為潛在競爭對手。在FedEx提交給美國證券交易委員會的<a href="http://s1.q4cdn.com/714383399/files/doc_financials/quarterly/2019/FedEx-FY2019-10K.pdf" target="_blank">10-K年報</a>中，即明白指出Amazon正在自行發展及導入自家的運送能力，也透過獨立的承包商負責運輸，也許可以視為FedEx的競爭對手。</p> <p>根據FedEx的訪查，Amazon已經投入大量的資金以建立出貨中心、飛機及車輛網路，如同FedEx在許多國際間的競爭對手，都是由政府控制或補助的業者，它們相對擁有龐大的資源、更低的成本，也不太需要賺錢，比FedEx更有營運優勢。</p> <p>假設Amazon進一步發展及擴張其自家的運輸能力，將會降低FedEx的營收，也會對FedEx的財務及經營狀況造成負面影響。</p> <p>為了安撫投資人，FedEx也公開揭露其實Amazon對該公司的營收貢獻有限，在2018年只占了FedEx總營收的1.3%，同時FedEx也強調，將會持續服務日益擴大的電子商務領域客戶</p> </div></div></div>
2019/8/8 17:15作者陳曉莉https://www.ithome.com.tw/news/132328
Twitter系統有臭蟲，不當與廣告主分享用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微型部落格推特（Twitter）本周公開<a href="https://help.twitter.com/en/about-personalization-across-your-devices" target="_blank">承認</a>該系統含有兩個臭蟲，可能無視於使用者的隱私設定而分享用戶資訊或利用不被許可的資訊來遞送廣告。</p> <p>根據Twitter的說明，從去年5月起，假如用戶在一個行動應用程式上點選或觀看一則廣告，隨後還與該程式互動，就算未經用戶允許，Twitter可能會與測量及廣告合作夥伴分享用戶的特定資訊，例如國碼。</p> <p>另一個臭蟲則是出現在Twitter企圖提供關聯性廣告的程序中，自去年9月起，就算未經用戶允許，Twitter依然會根據用戶的裝置資訊來遞送廣告。不過，Twitter強調這些資訊並未包含電子郵件帳號或密碼。</p> <p>這兩個臭蟲皆讓Twitter用戶的隱私設定未能依照應有的方式運作，而不當分享或利用了用戶資訊。Twitter已於8月5日修補了臭蟲，正在調查受影響的用戶規模，詳細的數字尚未出爐。</p> </div></div></div>
2019/8/8 15:50作者陳曉莉https://www.ithome.com.tw/news/132325
台灣大哥大和VMware、數位通聯手推出運算雲Plus，搶攻企業上雲需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">台灣大哥大擴大雲端服務陣容，和數位通、VMware合作推出「運算雲Plus」，結合VMware的虛擬化技術，鎖定企業上雲、混合雲市場。</span></p> <p class="p1"><span class="s1">台灣大哥大早在2011年便布局發展IaaS服務，採用VMware、Citrix的虛擬化技術，看好企業使用雲端服務已漸漸成為趨勢，特別是不少企業採用VMware虛擬化技術，對虛擬機器搬上雲端的需要，台灣大哥大和二類電信業者數位通及VMware聯手推出「運算雲Plus」，強調私有雲、公有雲無縫接軌，建構彈性資源運用的混合雲特色。今年估計將有超過40家企業採用。</span></p> <p class="p1"><span class="s1">台灣大哥大總經理林之晨表示，雲端服務已是企業未來的主流趨勢，台灣大哥大擁有符合PCI DSS標準及Tier 3等級的資料中心，和數位通及在企業虛擬化市佔8成的VMware合作推出運算雲Plus，今天的合作只是台灣大哥大針對企業混合雲需求的一小部份，未來還會推出雲伺服器、雲儲存、雲資料庫及彈性的Web engine等服務。</span></p> <p class="p1"><span class="s1">在2017年獲得VMware認證的數位通國際董事長吳振生表示，全球雲端市場每年成長50到60%，市場被幾家大型的國際性公有雲端服務商掌握，但這些大型的雲端服務商沒有落地，如銀行、半導體公司等大型企業很難信賴，將核心系統放到公有雲，大型雲端服務商僅符合國外規範，未必符合國內規範，數位通服務的優勢之一便是落地，符合國內規範，經過VMware認證，通過ISO 27001/27011、ISO 27017/27018等安全認證。</span></p> <p class="p1"><span class="s1">儘管企業上雲已是趨勢，也是企業競爭力差異的一部份，但VMware總經理陳學智指出，企業上雲所關注的問題之一，為是不是企業能夠熟悉、信任的環境，VMware是唯一從私有雲到公有雲，建立在相同基礎架構上，和AWS、Azure、Google Cloud三大公有雲建置基礎架構，同樣也建置在數位通、台灣大哥大的資料中心，提供最新的私有雲架構。另外，企業上雲的過程中，需要瞭解資料中心、網路的合作夥伴。台灣大哥大、數位通、VMware三方合作能夠滿足企業上雲的需求。</span></p> <p class="p1"><span class="s1">台灣大哥大和數位通合作的運算雲Plus，在台灣大哥大的雲端資料中部署數位通去年所推出的GWStack一體機，以台灣大哥大的電信線路連接運算雲Plus及企業的私有雲環境，達到公有雲的彈性、私有雲的自主管理，達成混合雲的彈性、安全特色。</span></p> <p class="p1"><span class="s1">運算雲Plus強調從企業的私有雲到公有雲環境都採用VMware一致的基礎架構，在VM的移轉和備援上都採用VMware的技術，包含了VMware運算、儲存、網路的虛擬化技術，如vSphere、vSAN、NSX，在企業的私有雲、公有雲乃至混合雲的彈性運用及管理上具有高度的相容性，也是該服務的一大賣點。</span></p> <p class="p1"><span class="s1">台灣大哥大以企業運算資源不足為例，當企業的運算資源不足，可以將網頁伺服器透過vMotion搬到運算雲Plus，再透過NSX將VPN專線接到雲端，就能將工作負載轉移到公有雲。在災難備援的應用上，透過vCAv將資料備份到運算雲Plus，建立起災難備援的機制。</span></p> <p class="p1"><span class="s1">目前運算雲Plus提供IaaS服務，虛擬機分為單機型和資源型，並提供快照還原功能，在網路服務方面，包含防火牆、VPN、負載平衡、DHCP及NAT。資料備份則有BackupaaS備份服務，以及DRaaS災備服務，其他</span>服務<span class="s1">還有7x24的雲端監控及技術支援，可建立和企業內網環境相同的專線入雲等。</span></p> <p class="p1">金管會日前開放金融業者上雲，雲端業者也已嗅到商機展開動作。台灣大哥大表示，目前正和幾家金融業者洽談，瞭解金融業者上雲的需求，並研究金管會提出的條件，可望在年底針對金融業者推出專屬的雲端服務。</p> </div></div></div>
2019/8/8 16:36作者蘇文彬https://www.ithome.com.tw/news/132316
你不懂的JS子型態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視撰寫的應用程式或程式庫的需求而定，我們對於型態的繼承，或者是物件判斷的型態，實作上，可以簡單，也可以朝更通用的方向，而這中間尺寸的拿捏依據，也在於開發者對JavaScript（JS）引擎的內部特性實作，有多少認識</p> <p><span style="font-size:28px;"><strong>繼承標準API？</strong></span></p> <p>若單就繼承的實現而言，現今的JS開發者應該都知道，目前有兩種基本的機制，也就是實作原型鏈，或是透過ES6類別語法，而且，確實有不少繼承上的需求，使用原型鏈或類別語法都可以實現；然而，若對象是標準API就要注意──如果你想要繼承標準API，我不建議使用原型鏈，因為特殊行為不會被繼承。</p> <p>以陣列為例，以原型鏈實作方式來繼承Array，雖然可以繼承Array.prototype本身定義的方法，instanceof判斷子型態實例時，也會被認為是Array的實例，然而陣列的特殊行為，length特性並不會隨著元素增減自行維護，將length設為比元素更少的值，也不會令元素被拋棄。</p> <p>另一個例子是Error，早期JS程式庫之所以少見實現Error子型態，理由之一，是原型鏈繼承Error時，拋出自訂的Error子型態實例，JS引擎並不會有自動記錄堆疊追蹤的行為，這就造成了除錯時的麻煩。</p> <p>在《Effective JavaScript》的〈條款40〉指出的「避免繼承標準類別」，其實，是指避免自行以原型鏈方式來實作繼承的意思。這是因為，標準API有一些特殊行為，是由JS引擎根據內部特性標示的值來決定。</p> <p>例如，]被標示為'Array'的物件，length與元素之間才會有相互影響的行為，被標示為'Error'的物件，才會在拋出後自動記錄堆疊追蹤。</p> <p>在ES5或早期版本，沒有標準方式，可以控制JS引擎中物件的內部特性；然而，ES6的類別語法在繼承標準API時，子類別實例會擁有標準API特殊行為，例如，Array子物件的length與元素之間，會相互影響；Error子物件被拋出後，會自動記錄堆疊追蹤，因此，ES6類別語法並不純粹是語法蜜糖，若要繼承標準API，同時需要內建的特殊行為，務必使用類別語法來實現。</p> <p><span style="font-size:28px;"><strong>它是哪種型態？</strong></span></p> <p>對於動態定型語言，基本上，建議針對行為而不是型態來撰寫程式。對於JS，要檢測API的版本或功能性時，也建議使用特性偵測（Feature detection）而不是判斷型態；然而，在某些場合，確實需要檢測型態，根據檢查對象的不同，以及需求的簡單或複雜，採用的方式也不盡相同。</p> <p>面對基本型態、函式、undefined時，許多場合會使用typeof；面對其他物件時，常見使用instanceof，不過，在沒有進一步的定義下，instanceof其實是判斷原型鏈上是否有指定的原型，因此，若類陣列物件的原型被設為Array.prototype，instanceof也會認為該物件是Array實例；至於原型上的constructor特性，預設指向建構式，我們常見到作為型態檢測的依據，且constructor可以修改，事實上，使用原型鏈實現繼承時，我們也建議設定constructor指向子建構式的作法。</p> <p>從ES6開始，開發者可以進一步控制instanceof的行為，透過在類別使用Symbol.hasInstance定義靜態方法，能夠決定物件使用instanceof判斷時，是否被視為此類別的實例。</p> <p>因為，使用類別語法定義時，在類別上，會有預設的Symbol.hasInstance，行為預設為原型鏈查找，以符合instanceof傳統的行為。</p> <p>所以，開發者可以結合typeof、Symbol.hasInstance、instanceof，來寫個更嚴格的_instanceof函式。例如，Babel轉換程式碼時，_instanceof函式就結合了三者（<a href="https://bit.ly/2YoyQJw">https://bit.ly/2YoyQJw</a>）。</p> <p>同時，ECMAScript規範要求Object.prototype.toString呼叫後，必須傳回'[object class]'格式的字串，而且，對於內建標準型態，Object實例會傳回'[object Object]'、陣列會傳回'[object Array]'、函式會傳回'[object Function]'等。因為基於對標準的支持，現今有不少程式庫也會使用這個，來作為型態判斷的依據。</p> <p>在ES6以後，我們可以在類別的原型上，定義Symbol.toStringTag特性，而它的字串值，決定了Object.prototype.toString呼叫時，'[object class]'格式中class的實際字串。</p> <p>使用類別語法定義時，類別的原型不會自動定義Symbol.toStringTag，若是採用Object.prototype.toString的結果，來作為型態判斷依據，此時，我們必須記得定義Symbol.toStringTag。</p> <p><span style="font-size:28px;"><strong>你的陣列不是陣列？</strong></span></p> <p>按照以上的說明，在ES5的環境中，想要判定某個物件是不是陣列，該使用哪個方式呢？typeof顯然不行，因為除了函式之外，其他物件都會傳回'object'，若物件的原型被設為Array.prototype，instanceof也就破功了。</p> <p>開發者應該使用的是，ES5特別針對陣列而設計的Array.isArray函式，而且，只有在JS引擎內部，]被標示為'Array'的物件，Array.isArray才會傳回true。</p> <p>在ES6之後，若是使用類別語法繼承而來的Array子類別實例，Array.isArray也會判斷為true，這表示類別語法繼承時，子類別物件的]會標示為'Array'。</p> <p>在ES5剛釋出的那個年代，若想修補Array.isArray該怎麼做呢？Object.prototype.toString傳回的字串中，class的部份其實是根據，因為沒有標準方式，可以干涉JS引擎實作中物件的，只有陣列實例的才會是'Array'，因此，修補的方式可以是：</p> <pre> Array.isArray = function(arg) { return Object.prototype.toString.call(arg) === '[object Array]'; };</pre><p>必須注意的是，真正的Array.isArray看的是，不是Object.prototype.toString的結果，因而這只是個近似的修補方式；進一步地，雖然ES6可以定義Symbol.toStringTag，然而，將它的值設為'Array'，並不會令原生的Array.isArray在判斷時傳回true。</p> <p>基於以上原因，如果要繼承陣列，我們就必須使用類別語法。這麼做還有個好處：如果SubArray繼承Array，filter、map等原本會傳回陣列實例的方法繼承下來之後，會傳回SubArray實例，也就是說，instanceof SubArray會是true。這是因為Array的相關方法，會使用Symbol.species協定傳回的建構式來建立實例。</p> <p><span style="font-size:28px;"><strong>釐清需求與實作</strong></span></p> <p>如果開發者是第一次接觸這些細節，也許會覺得不用考慮到這種程度吧！然而，如果應用程式或程式庫的開發中，有著繼承標準API或判斷型態的需求，就必須掌握細節；而對於繼承標準API，目前最好的選擇，就是使用類別語法，避免使用原型鏈來實現。</p> <p>若是型態判斷，情況就更是複雜許多，因為不單要考量應用程式或程式庫打算採取哪個方式，若相依於第三方程式庫或工具，也必須確認它們採用了哪種型態判斷方式，此時，我們才能儘量採取一致的方式，並且選擇正確的方式來實作。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/javascript">JavaScript</a></div><div class="field-item odd"><a href="/tags/%E7%B9%BC%E6%89%BF%E6%A8%99%E6%BA%96api">繼承標準API</a></div><div class="field-item even"><a href="/tags/%E9%A1%9E%E5%88%A5%E8%AA%9E%E6%B3%95">類別語法</a></div><div class="field-item odd"><a href="/tags/%E5%9E%8B%E6%85%8B%E5%88%A4%E6%96%B7">型態判斷</a></div><div class="field-item even"><a href="/tags/%E7%AC%AC%E4%B8%89%E6%96%B9%E7%A8%8B%E5%BC%8F%E5%BA%AB">第三方程式庫</a></div><div class="field-item odd"><a href="/tags/%E7%B9%BC%E6%89%BF">繼承</a></div><div class="field-item even"><a href="/tags/%E7%89%A9%E4%BB%B6%E5%88%A4%E6%96%B7">物件判斷</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E9%83%A8%E7%89%B9%E6%80%A7%E5%AF%A6%E4%BD%9C">內部特性實作</a></div></div></div>
2019/8/8 17:00作者林信良https://www.ithome.com.tw/voice/132216
微軟與三星擴大結盟，還替三星賣Note10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星於本周<a href="https://news.samsung.com/global/introducing-galaxy-note10-designed-to-bring-passions-to-life-with-next-level-power" target="_blank">發表了旗艦手機Galaxy Note 10系列</a>，並宣布<a href="https://news.samsung.com/us/samsung-microsoft-expand-strategic-partnership-deliver-unified-experiences-across-mobile-devices/" target="_blank">與微軟擴大結盟</a>，除了將在Note 10中整合微軟服務之外，微軟的線上與實體商店也都將銷售Note 10。</p> <p>新一代的Note 10系列有6.3吋的Galaxy Note10與6.8吋的Galaxy Note10+。8GB記憶體與256GB儲存空間的Galaxy Note10售價為949美元，12GB記憶體與256儲存空間的Note 10 Plus則是1,099美元，即日起開放預購，並在8月23日出貨，此外，三星還準備在8月23日，展開5G版Note 10系列的預售活動。</p> <p>Note 10系列皆採用7奈米製程的64位元8核心處理器，除了處理效能之外，強調更先進的影片拍攝技術與編輯能力，新增螢幕錄影功能，在相機中整合AR與3D能力，亦於前置相機新增夜間模式，另也標榜快速充電，只要充電30分鐘就能支撐一天的使用。</p> <p>微軟執行長Satya Nadella也意外地現身於三星Note10發表會現場，宣布擴大微軟與三星之間的策略聯盟，於Note10中整合各項微軟服務，縮小PC與智慧型手機之間的差距。</p> <p>三星將在Note10中整合Outlook與OneDrive程式，也會讓使用者可直接透過Quick Panel上的Link to Windows功能直接連結Windows，以更方便地傳送訊息、管理通知、同步照片，或是將手機鏡射到PC上。</p> <p>除了可利用Link to Windows來連結Note10與Windows之外，Windows 10用戶亦可透過Your Phone程式來存取手機內容。微軟還打算在今年內，讓Windows PC能夠藉由連結手機來撥打或接聽電話。</p> <p>微軟也讓Microsoft Store成為Note10的展示與銷售據點，不管是微軟的網路或實體通路都將展售Note10。</p> </div></div></div>
2019/8/8 15:15作者陳曉莉https://www.ithome.com.tw/news/132311
蘋果與藥廠合作研究以iPhone、Apple Watch偵測失智
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2019/08/07/apple-eli-lilly-studying-if-iphones-apple-watches-can-spot-dementia.html" target="_blank">CNBC周三報導</a>，蘋果正在和藥廠Elli Lilly及新創公司Evidation Health合作一項研究，探究以iPhone、Apple Watch及蘋果其他產品量測失智症的可行性。</p> <p><a href="https://dl.acm.org/citation.cfm?id=3292500.3330690" target="_blank">這項研究</a>名為「開發從消費級多模感測串量測真實生活認知障礙的方法（Developing Measures of Cognitive Impairment in the Real World from Consumer-Grade Multimodal Sensor Streams）」。根據研究說明，穿戴裝置和行動運算平台（智慧型手機及智慧型手錶）普及，加上多種感測器的出現，已經可對病患實行連續性監控。針對裝置收到的長時間資訊加以分析，找出認知障礙的身體和行為徵兆，並可為輕度認知障礙建立及時、省錢的偵測方法。</p> <p>在這項研究下，蘋果和Lilly Elly的研究團隊針對31名有認知障礙（如阿茲海默症）各個病程的患者及82名沒有這類病的受試者，進行了一項為期12周的研究，並因此蒐集了16TB的資料。在這項研究中，蘋果提供了iPhone、Apple Watch及睡眠與行動偵測裝置Beddit，以蒐集用戶的行為量測。Evidation Health則提供後端資料平台。</p> <p>初步研究顯示，和正常人相比，有認知障礙、失智症的患者打字速度較慢、次數較少，發送的簡訊也少。此外他們更依賴支援的app，也不願填問卷。</p> <p>這也符合蘋果深化iPhone、Apple Watch等產品健康照護應用的策略。Apple Watch加入心率後，曾於2017年投入42萬人的心率量測研究，並顯示它的確可以準確量測到心律不整及心房顫動。Apple Watch 4更成為現今智慧手錶產業的圭臬，小米Amazfit 2及兩天前才推出的Samsung Watch Active 2都效法蘋果加入心電圖（ECG）量測功能。今年初彭博曾<a href="https://www.ithome.com.tw/news/128998" target="_blank">報導</a>，明年推出的Apple Watch將加入睡眠偵測功能。</p> <p>另一方面，Google姐妹公司Verily也開發出智慧手錶Study Watch，和醫學中心及醫院<a href="https://blog.verily.com/2018/12/designing-wearable-for-clinical-research.html" target="_blank">合作</a>帕金森氏症、心臟疾病的偵測。</p> </div></div></div>
2019/8/8 15:35作者林妍溱https://www.ithome.com.tw/news/132313
思科智慧網路交換器爆重大漏洞，可讓駭客執行指令攻擊、接管系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科本周針對智慧網路交換器系列Cisco Small Business 220 Series發出安全公告，並修補3項可讓駭客執行指令攻擊、執行惡意程式碼及接管系統的漏洞。</p> <p>這3項漏洞分別為CVE-2019-1912、CVE-2019-1913及CVE-2019-1914，皆出在產品韌體的Web管理介面。其中<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190806-sb220-auth_bypass" target="_blank">CVE-2019-1912</a>是介面對外部呼叫流量檢查不完全造成的驗證繞過（authentication bypass）漏洞。駭客可經由HTTP或HTTPS傳送惡意呼叫開採本漏洞，使未獲授權的遠端攻擊者得以上傳任意檔案、修改產品設定，或注入反向Shell指令。<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190806-sb220-inject" target="_blank">CVE-2019-1914</a>為指令注入攻擊漏洞，出在Web管理介面對用戶輸入指令驗證不足。攻擊者可經由HTTP或HTTPS傳送惡意呼叫，成功開採者可以根（root）使用者權限執行任意shell指令。</p> <p><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190806-sb220-rce" target="_blank">CVE-2019-1913</a>則是一項遠端程式碼執行漏洞。它起於Web管理介面對用戶輸入指令驗證不足，以及程式未做好邊界檢查（boundary checks），使未授權的遠端用戶得以進行緩衝區溢位攻擊，並取得作業系統根權限來執行任意程式碼。這表示駭客可從網際網路接管系統。</p> <p>根據CVSS Base Score，CVE-2019-1914因攻擊者必須具備level 15的登入權限，屬於中度風險漏洞。但CVE-2019-1912及CVE-2019-1913各以9.1及9.8的風險評分，被列為重大風險漏洞。</p> <p>受3項漏洞影響的產品為1.1.4.4版本以前的Cisco 220 Series Smart Switches韌體。思科也發佈更新版本，呼籲用戶儘速升級。</p> </div></div></div>
2019/8/8 13:35作者林妍溱https://www.ithome.com.tw/news/132310
直擊AMD超多64核心二代EPYC伺服器處理器推出上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【AMD EPYC Horizon舊金山直擊】前兩年，借助第一代超多核心EPYC處理器的推出，吹響了AMD反攻的號角，AMD今日（8/7）在舊金山舉行的AMD EPYC 產品發布會上，更乘勝追擊，大動作宣布新一代超多64核心EPYC伺服器處理器正式推出上市。還一口氣推出多達19款新EPYC處理器產品型號，同樣主打超多核心、高性價比，其中最便宜的版本售價不到500美元，最高階的EPYC 7742處理器則要6,950美元。</p> <p>兩年前，以三度失利的挑戰者之姿，重返伺服器戰場的AMD，靠著採用更先進製程與全新Zen架構推出的超多核心CPU產品EPYC，迅速在伺服器市場打響名號，兩年下來，不只替AMD中止連年虧損，從2017年逐漸轉虧為盈，更靠著主打超多核心、高性價比的策略奏效，幫助長年在伺服器市場競爭始終落後的AMD，從原先不到1％的全球市占，提升到了如今的近5%，回到與英特爾的競爭行列。</p> <h3><strong>超多64核心EPYC伺服器處理器亮相，更採7奈米先進製程設計</strong></h3> <p>儘管，英特爾現今仍以高達9成5的市占，穩坐x86處理器龍頭寶座，但AMD正逐步迎頭趕上，也直接威脅英特爾的老大哥地位。也因此，新款EPYC處理器一推出，更被AMD視為是搶奪伺服器市占的關鍵利器，來縮短跟領先對手的差距。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0055(1).JPG" style="height: 399px; width: 600px;" /></p> <blockquote><p>除了第二代EPYC處理器的推出上市外，<em>AMD執行長</em>蘇姿丰更進一步揭露，<span style="font-family: Georgia, Times, 'Times New Roman', serif; font-style: italic;">明、後兩年</span>還會有兩款採用全新Zen 3、Zen 4架構EPYC處理器將推出。</p> </blockquote> <p>AMD執行長蘇姿丰在自家產品發表會上宣布，這款代號為Rome的第2代EPYC處理器，即日起正式出貨，HPE、Lenovo兩家伺服器業者也同步當天發表搭載此款處理器的最新伺服器產品或設備，也正式或不久即將推出。蘇姿丰也指出，未來採用二代EPYC硬體的平臺數將超越前代，增加為120款之多，除此之外，繼Azure 、AWS之後，她也宣布，雲端巨頭Google將成為最新一家採用EPYC硬體，來提供雲端VM租用服務的雲端服務大廠。</p> <p>除了推出採用Zen 2新架構的EPYC處理器，蘇姿丰更進一步揭露未來該公司產品布局，還會有兩款全新EPYC處理器，將於明、後兩年推出，其中一款已知代號為Milan的EPYC處理器，製程技術與Rome相同，都是7奈米，但會採用Zen 3新架構，另一款首度披露的新款EPYC處理器，代號則為Genoa，則會更晚於2021年前才推出，更將採用Zen 4全新架構，蘇姿丰透露目前已正在開發當中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0065(1).JPG" style="height: 399px; width: 600px;" /></p> <blockquote><p>這款擁有超多64核心的EPYC處理器，也是第一款採用7奈米先進製程生產的伺服器CPU，其內含電晶體數量高達320億個，更以全新Zen2微架構打造完成。</p> </blockquote> <p>從處理器效能來看，有別於第一代EPYC產品，第二代EPYC處理器，更專注在效能提升，採用全新Zen 2微架構打造完成，不只核心數翻倍，較前一代多出了32個，達到了最多64核心，處理效能也獲得多達2倍的提升，還是首款採用7奈米先進製程生產的伺服器CPU，其內含的電晶體數量高達320億個，在提高處理效能的同時，更能達到節能省電的作用。相較之下，英特爾10奈米製程的Ice Lake架構伺服器CPU，最快也得要明年才推出。</p> <p>但隨著在處理器加入更多核心，也將挑戰現有的伺服器處理器架構，因此，AMD推出新款EPYC處理器時，也採用新Zen2微架構取代原有Zen舊架構。在設計架構上，Zen2架構上改以更小型的多晶片模組式設計，通過在晶片兩側設計各4組合計8個7奈米的CPU小晶片模組（AMD稱之為chiplet），每個模組小晶片最多可以容納8個核心，再通過晶片中間高速互連網路設計的一個14奈米的I/O die互連，藉此來達到具備超多核心處理器架構設計。</p> <p>在處理性能上，新架構也有不少改進，不僅在IPC (每時脈周期執行指令) 效能表現上，較前代提高15%之多，另在執行AVX2指令集的浮點運算效能也有翻倍的提升，此外，這代處理器也透過加大L3快取，將容量提高至256MB，來縮短資料存取的反應速度。</p> <p>這次發表的新系列EPYC產品為EPYC 7002系列處理器，定位上同樣適用於企業資料中心應用的主流單路、2路的伺服器使用，未來可以被運用在高效能運算HPC、超大規模雲端及虛擬化環境部署，或是用於訓練或推論用的機器學習或AI等應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0151.JPG" style="width: 600px; height: 399px;" /></p> <h3><strong>推出總共19款EPYC處理器新型號</strong></h3> <p>也因此，這次推出的EPYC 7002產品型號，也是歷來最高，高達19款，分別對應到單路、二路伺服器應用市場。還依據執行不同類型工作負載所需配備的處理器核心數目，來搭配不同的處理器型號推出，可分為8核心、12/16核心、24/32核心與48/64核共四大類CPU型號。</p> <p>更進一步細分，其中，EPYC 7742、EPYC 7702 這兩款處理器型號對應的核心數、執行緒都最高，分別是64核心、128執行緒；次高的型號則為EPYC 7642、、EPYC 7552兩款，也具有42核心、84執行緒，至於EPYC 7542 、EPYC 7502、EPYC 7452、EPYC 7402、 EPYC 7352這5款，則是提供了24核或最高32核心的規格，對於12/16核心與8核心，還分別各推出3款與2款新型號，除了上述所有型號皆能使用在二路或單路伺服器上，另外還有5款則是專為單路伺服器設計的處理器型號，分別是EPYC 7232p 、EPYC 7302p 、EPYC 7402p、EPYC 7502及EPYC 7702p。</p> <p>所有EPYC 7002系列的處理器時脈速度，多介於2.0 GHz～3.4 GHz之間，以規格最高的EPYC 7742為例，處理器時脈最高為3.4 GHz，而在熱設計功耗（TDP）的配置上，則可達到最高225瓦，最低120瓦的功耗設計，同時，也對應更大記憶體容量與使用頻寬，除了同樣可支援最多8通道DDR4的記憶體擴充，最大記憶體容量也翻倍達4TB，就連記憶體總頻寬也提高為204GB/s，另外，在高速I/O介面，也整合了PCIe 4.0傳輸介面，可支援每個插槽多達128線道（lane），用於高速I/O應用。</p> <p>根據AMD提供的最新測試數據比較，不論是<span style="letter-spacing: 0px;">在雲端執行環境、企業關鍵應用或高效能應用測試，這代EPYC都取得高於英特爾最新</span>Xeon Scalable系列處理器<span style="letter-spacing: 0px;">多達8成到9成的效能表現。甚至AMD更宣稱，僅需單臺</span>EPYC伺服器的運算效能，就等同，或甚至高於一臺二路Xeon Scalable伺服器。</p> <p>AMD也公布這代EPYC處理器的正式售價，其中最高64核心、次高48核心，以及32核心的EPYC處理器售價，依序為6,450美元、4,025美元，與2,025美元起，甚至最低的8核心的EPYC 7252處理器，售價更只要475美元。目前也已正式推出上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0035(1).JPG" style="width: 600px; height: 399px;" /></p> <blockquote><p>AMD活動現場也展示了多款搭載最新款64核心EPYC處理器的最新伺服器硬體，如上圖為聯想推出1U高度的EPYC伺服器產品ThinkSystem SR635。</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0034.JPG" style="width: 600px; height: 399px;" /></p> </div></div></div>
2019/8/8 13:20作者余至浩https://www.ithome.com.tw/news/132303
蘋果iOS 13加入VoIP app限制，臉書首當其衝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《The Information》<a href="https://www.theinformation.com/articles/facebook-hit-by-apples-crackdown-on-messaging-feature" target="_blank">報導</a>，蘋果將在iOS 13中針對VoIP app限制背景運作以確保用戶隱私，預料將直接衝擊臉書、WhatsApp和其他VoIP app迫使其變更設計。</p> <p>在之前iOS版本中，第三方VoIP app如WhatsApp使用PushKit VoIP API以背景作業方式，蒐集手機運作和偵測來電，以便更快接聽到電話。但蘋果今年WWDC中預告，秋天釋出的iOS 13將限制這些app只能用PushKit API作為通話用途，不得以背景運作。</p> <p>消息人士指出，這項變更將直接衝擊臉書旗下Facebook Messenger、WhatsApp以及Snapchat、Wechat等其他VoIP app。其中WhatsApp許多功能，包括端到端加密都得仰賴PushKit API，因此在iOS 13推出勢將忙得人仰馬翻，而其他app也必須重新設計。</p> <p>報導引述蘋果之前負責App Store審查的主管指出，Facebook Messenger到現在還是使用VoIP背景運作模式，它是藉此接聽資料、全程監聽用戶還是更新主要app的內容蘋果完全不清楚，但這些都不是不可能。</p> <p>臉書則回應iOS 13的修改對其影響頗大，臉書正在和蘋果討論最適當的作法。但臉書強調該公司app使用PushKit VoIP API是為了提供「世界級」的隱私通訊，而不是要蒐集資料。</p> <p>這並不是蘋果第一次因為隱私問題槓上臉書。早在去年劍橋分析案爆發時，<a href="https://www.ithome.com.tw/news/122230" target="_blank">雙方執行長就曾透過媒體隔空交鋒</a>，庫克認為臉書應受到更嚴格管制，但祖克柏（Mark Zuckerberg）反擊庫克在耍嘴皮子。<a href="https://www.ithome.com.tw/news/128556" target="_blank">今年初臉書被發現</a>以付費模式，誘使未成年用戶同意以VPN App蒐集其上網活動資訊，被蘋果認定違反規定而取消iOS app的憑證。最新版iOS 13及iPadOS也將加入<a href="https://www.ithome.com.tw/news/131076" target="_blank">隱私登入系統Sign In with Apple</a>，宣示挑戰垃圾郵件，以及總是在追蹤用戶的臉書和Google。</p> </div></div></div>
2019/8/8 11:10作者林妍溱https://www.ithome.com.tw/news/132309
AI趨勢周報第96期：國產超級電腦超搶手！智慧醫療和製造應用最多，今年將新推大數據分析服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0802～0808)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">國網中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣杉二號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣AI超級電腦超搶手！智慧醫療和製造應用最多，將新推計算雲大數據分析服務</strong></span></p> <p>國網中心主任史曉斌近日揭露國產超級電腦近況，其上的臺灣計算雲（TWCC）自今年2月開放試用和6月的試營運以來，系統資源使用量至上周為止已達85～90％。國網中心表示，使用者不乏學、業界，像是交大與北榮團隊、清大團隊、安控新創盾心科技、HTC健康醫療事業部DeepQ等，史曉斌認為，其中最突出的應用就屬醫療AI和智慧製造。</p> <p>他舉例，醫療AI新創基龍米克斯就利用TWCC來進行新生豬的全基因組定序（WGS），來預測豬仔未來的健康狀況、精準挑選種豬，作為「豬界的奧運國手」。而基龍米克斯採WGS，透過TWCC計算挑出6萬個位點進行多項性能預測，更比對全臺7,000座養豬場、550萬頭小豬的健康基因，從血液裡找出精準的基因標記。與傳統方法相比，利用TWCC進行基因組定序只需1周，比原本的3個月快上數倍。另一方面，史曉斌揭露，國網中心今年將聯手IBM，在TWCC推出大數據分析服務。而明年目標，則要加強TWCC AIoT數據分析服務。<a href="https://www.nchc.org.tw/Page?itemid=26&mid=41">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96(11).JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 緯創 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>緯創大秀肝臟腫瘤偵測新成果，下一步目標是醫療報告自動生成</strong></span></p> <p>緯創日前展示自家與北市聯醫研發的肝臟腫瘤偵測系統HepatoAI，可在數秒內偵測患者肝臟的電腦斷層掃瞄（CT）影像，並標註出3種病灶(包括惡性腫瘤HCC和兩種良性腫瘤)、計算病灶面積和體積。緯創採用醫院提供的1萬5千多張肝臟CT影像來訓練深度學習模型，其中含病灶的影像約3千張，模型訓練好後便於醫院放射科中研究試用，並利用醫生的修正值來優化AI，目前面積辨識準確率為97％。現在，緯創也正準備將相關文件送至美國FDA，未來打算進攻海外市場。與研發1年半的肝臟腫瘤偵測AI相比，緯創今年也進攻數位病理市場，正研發一套病理AI平臺。</p> <p>除了醫療影像AI，緯創智能醫療事業總監郭志峰也揭露，目前緯創利用機器學習開發醫療碼（ICD-10，即國際疾病傷害及死因分類標準第10版，共16萬個）自動填入系統，已於恩主公醫院研究、測試，可幫醫生快速完成醫療報告，未來希望用於減少保險業人工審閱報告的負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%B7%AF%E5%89%B5_%E6%94%9D%E5%BD%B1_%E7%8E%8B%E8%8B%A5%E6%A8%B8.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料庫查詢語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PartiQL </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS開源可跨關聯式與NoSQL資料庫的查詢語言PartiQL </strong></span></p> <p>AWS推出了與SQL相容的查詢語言PartiQL，只要資料庫查詢引擎提供PartiQL支援，使用者就能以PartiQL單一查詢關聯式資料庫的結構化資料，以及開放資料格式中的巢狀資料或是半結構化資料，甚至還能用來查詢NoSQL或是文件資料庫中無固定結構（Schema-less）的資料。除了AWS自家的資料庫服務，NoSQL資料庫Couchbase Server也承諾將支援PartiQL。</p> <p>目前AWS已在自家多項服務支援PartiQL，包括Amazon S3 Select、Amazon Glacier Select、Amazon Redshift Spectrum、Amazon QLDB，接下來幾個月將會有更多的AWS服務支援PartiQL，Couchbase也公布將加入支援PartiQL的行列。現在PartiQL以Apache2.0授權許可開源，公開教學、規範以及參考實作，所有社群都能使用並參與貢獻。<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-partiql-one-query-language-for-all-your-data/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 北醫</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 疾病預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療區塊鏈 </span></strong></span></p> <p><span style="font-size:22px;"><strong>北醫附醫黑客松開跑，上百好手齊聚攻醫療AI和區塊鏈4大領域</strong></span></p> <p>臺北醫學大學、北醫附醫聯手工研院和臺灣微軟，近日舉辦保險金融與AI智慧健康區塊鏈黑客松大賽，是全臺首次針對保險、金融、醫療、AI、區塊鏈等跨領域的整合型黑客松競賽，吸引了21組共100多名好手參與，要在重症預測、流行病預警、檢傷語音AI、保險自動化理賠等4大領域尋求新突破。</p> <p>北醫附醫、第一金控、臺灣微軟和工研院等也針對這場黑客松提供資料和技術支援，比如北醫附醫針對4個競賽主題，分別提供了去識別化的醫療紀錄、影像資料，包括加護病房數據、門急診數據、檢傷紀錄和國臺語訪問錄音檔等，以及與第一金控提供的保險介接等相關資料，總共1億多筆。此外，除有臺灣微軟提供Azure AI平臺，工研院也提供技術支援，比如將資料去識別化、建構運算平臺。獲選團隊出爐後，工研院還會協助團隊將技術推進實際場域測試，將技術產業化。最後，競賽首獎由「關貿Medical有大師」團隊拿下，可提前6小時預測敗血症風險。<a href="https://www.tmuh.org.tw/UploadFile/files/(%e6%96%b0%e8%81%9e%e7%a8%bf)0803-04%e4%bf%9d%e9%9a%aa%e9%87%91%e8%9e%8d%e8%88%87AI%e6%99%ba%e6%85%a7%e5%81%a5%e5%ba%b7%e5%8d%80%e5%a1%8a%e9%8f%88%e9%bb%91%e5%ae%a2%e6%9d%be%20%e7%b8%bd%e7%8d%8e%e9%87%91%e7%99%be%e8%90%ac%e5%85%83%e5%be%b5%e6%b1%82%e8%b7%a8%e5%9f%9f%e6%96%b0%e5%89%b5%e6%84%8f(1).pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8C%97%E9%86%AB%E9%99%84%E9%86%AB%E9%BB%91%E5%AE%A2%E6%9D%BE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8C%97%E9%86%AB%E9%99%84%E9%86%AB.JPG" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LINE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI產品藍圖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaaS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LINE揭AI產品藍圖，多項雲端AI服務明年上路</strong></span></p> <p>繼2個月前宣布要將AI技術商品化，LINE近日揭露產品藍圖，今年第三季要開始實測LINE Brain研發的聊天機器人和OCR手寫辨識系統，明年將以SaaS模式推出聊天機器人、OCR手寫辨識和語音、文字辨識系統等服務，收費方式將採月付訂閱制。</p> <p>LINE將自家AI產品劃分為3領域，包括文字（LINE Brain Chatbot、文字分析）、語音（LINE Brain語音轉文字、文字轉語音）和影像（LINE Brain OCR、LINE Brain Vision、影片分析），LINE Brain辦公室負責人Shinichiro Sunakin指出，自家AI產品將鎖定日語和亞洲語系，英語反而不是優先考量重點。而在OCR辨識部分，不只能用於辨識發票之類的文檔，還可用來強化EKYC，比如讀取駕照姓名和驗證身分。明年，這些服務都將以SaaS形式上市。<a href="https://www.businessinsider.jp/post-195262">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工研院</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服飾推薦 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工研院大秀AI影像辨識應用，靠500萬件服飾推薦穿搭</strong></span></p> <p>工研院日前展示AI影像辨識相關應用，像是時尚服飾業線上線下的個性化推薦與智慧試衣。這款解決方案名為O2O服飾試穿推薦「易賞」，以服飾電商超過500萬件的服飾圖像標記作為訓練資料，提取服飾特徵、訓練出AI模型來辨識服飾風格，省去人工標記的成本，不但可以進一步應用於消費者的個性化推薦，也能藉銷售數據，即時分析受歡迎的風格。</p> <p>線上的應用主要在於服飾屬性辨識與智慧推薦，線下則是要打造沉浸式情境試衣間，讓消費者透過平板或手機選出喜歡的服飾，進入試衣間後，會由人員或自走車來配送衣服到試衣間，每件衣服配有感應裝置，當衣服被拿取，試衣間內會場景根據衣服的風格來轉變，比如拿取宴會服裝，背景將自動切換為宴會場景。<a href="https://www.ithome.com.tw/news/132257">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">精誠資訊 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI新創 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AGP </span></strong></span></p> <p><span style="font-size:22px;"><strong>精誠AGP再培育8家AI新創，鎖定智慧製造、醫療、金融和資安</strong></span></p> <p>老牌系統整合商精誠資訊看準AI生態圈市場，自去年開始執行AI新創加乘計畫（AGP），除了培育新創，也要與國際潛在客戶媒合。近日精誠宣布第二屆培育的8家臺灣AI新創，範圍涵蓋智慧製造、醫療、金融和資安等，包括展綠科技、慧穩科技、雲守護安控、智庫驅動、數位無限軟體、工合、安華聯網、司圖科技。</p> <p>其中，雲守護安控（Beseye AI）利用累積多年的影像資料，開發一套DL人體骨幹分析系統，可先透過4千個人體關鍵點來判斷性別、動作，再藉1千個關鍵點來分析臉部特徵和情緒，已獲日本東急鐵道採用，未來要鎖定金融和零售應用場景。<a href="https://tw.systex.com/agp2-newsrelease/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0617.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EfficientNet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EdgeTPU </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google為邊緣運算開發板釋出超高效率的CNN新影像分類模型</strong></span></p> <p>Google近日針對自家邊緣運算開發板Coral Dev Board釋出EfficientNet-EdgeTPU影像分類模型。該模型源自於Google先前推出的CNN影像分類模型EfficientNet，但EfficientNet-EdgeTPU經特別優化，可以更高效率地在Edge TPU上運行。Google表示，這樣的模型優化，可讓Edge TPU執行即時影像分類運算，還可保有SOTA等級的準確度，讓使用者不必藉資料中心運行吃重的模型。測驗結果顯示，該模型運行速度比ResNet-50快10倍，延遲和精準度表現也比EfficientNet和ResNet好。目前，EfficientNet-EdgeTPU已於GitHub開源，包括訓練程式碼和預訓練模型。<a href="https://ai.googleblog.com/2019/08/efficientnet-edgetpu-creating.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_EfficientNet-EdgeTPU_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" /></p> <p>攝影／王若樸圖片來源／Google、北醫附醫</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 基於GPU運算平臺RAPIDS的查詢引擎BlazingSQL現對外開源</strong></p> <p><strong>2. AI語音助理人工側聽惹議，蘋果、Google、Amazon改讓用戶自己決定是否參加錄音蒐集計畫</strong></p> <p>資料來源：iThome整理，2019年8月</p> </div></div></div>
2019/8/8 11:13作者王若樸https://www.ithome.com.tw/news/132308
Google App Engine雲端安全掃描工具，現在也能保護GKE與Compute Engine網頁應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2015年為增強App Engine弱點測試能力，所推出的<a href="https://cloud.google.com/blog/products/identity-security/web-application-vulnerability-scans-for-gke-and-compute-engine-are-generally-available">雲端安全掃描工具（Cloud Security Scanner），現在適用範圍擴展至GKE以及Compute Engine服務</a>，當用戶使用Google雲端執行網頁應用程式，就能以雲端安全掃描工具分析其隱藏的弱點。</p> <p>Google提到，隨著企業建構的應用程式和執行的平臺數量越來越多，掌握應用程式安全性的難度也隨之上升，而且網頁應用程式在開發的過程，有很高的機率出現漏洞，包括錯誤配置安全框架，或正式生產環境中的實作錯誤，也有可能是未即時修補更新系統所造成的安全風險。</p> <p>而雲端安全掃描工具可以偵測廣泛的網頁應用程式漏洞，像是辨識Flash注入等應用程式常見的漏洞，也能發現因JavaScript程式問題產生的跨站腳本臭蟲，並防範混合安全和不安全內容的混合內容（Mixed Content）漏洞，所可能造成的中間人攻擊。另外，雲端安全掃描工具也能在應用程式以明文發送密碼欄位，或HTTP標頭發生顯示、拼寫和無效等問題時發出警示。</p> <p>雲端安全掃描工具的偵測結果，會在雲端安全命令中心以及雲端安全狀態中顯示，供用戶以集中式儀表板監視漏洞狀態，並快速地回應這些問題，透過點擊儀表板上發現的問題，獲取進一步了解修復與預防問題的建議。</p> <p>市面上有不少類似的弱點掃描工具，但Google表示，其他弱點掃描工具並不適用於App Engine等Google服務，不只會發生許多誤判，而且操作程序也非常複雜，因此Google推出自家的安全方案，來解決這些問題。用戶只要設定好掃描任務，雲端安全掃描工具就會自動抓取應用程式，掃描相關的URL，並盡可能實際測試使用者輸入與事件處理程序。</p> <p>雲端安全掃描工具預設關閉，用戶必需要手動啟動這項功能，其使用Chrome、Safari或是Blackberry和Nokia手機的瀏覽器進行掃描，而為了對GKE實例執行應用程式提供額外的保護，Google也建議用戶，還可以使用容器註冊表的漏洞掃描工具來掃描容器映像檔，在部署至正式生產環境之前發現容器中的漏洞。</p> </div></div></div>
2019/8/8 10:50作者李建興https://www.ithome.com.tw/news/132297
Google AdMob與Ad Manager開始支援App-ads.txt以減少廣告詐欺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/admob/app-ads-txt-protects-app-revenue-and-brand/">Google現在於AdMob和Ad Manager中支援App-ads.txt</a>，應用程式發布者可以在App-ads.txt中編寫授權的數位賣家，以避免廣告資源受到不當使用，同時也能確保廣告主的廣告能夠觸及到目標受眾。</p> <p>App-ads.txt是IAB Tech Lab的OpenRTB工作組發布的標準，為應用程式發布者提供一個簡單的方法，可以公開聲明有權銷售和轉售廣告存貨的對象，以防範未經授權或是假冒網域應用程式廣告資源，在行動裝置、智慧電視或是其他裝置上交易。App-ads.txt為2017年所發布的原始ads.txt標準的擴充，而ads.txt是目前最受廣泛採用的標準。</p> <p>Google積極參與App-ads.txt規範制定，並於所有廣告相關的產品，包括AdMob與Ad Manager支援App-ads.txt標準。Google將中8月27日開始，在AdMob與Ad Manager中阻擋未經授權的應用廣告投放。Google建議用戶都可以使用App-ads.txt檔案，保護應用程資源免受未經授權和假冒網域侵害，進而傷害品牌或是收入。</p> <p>要使用App-ads.txt保護廣告資源，用戶需要在App Store以及Google Play商店中，列出的開發者網站URL，並將創建的App-ads.txt檔案，存放在網站的根目錄中。App-ads.txt中需要記載的資訊包含廣告網域名稱，並在發布商ID欄位填入媒體資源代碼。目前Google系統會幫用戶驗證檔案正確性，當App-ads.txt檔案錯誤時，AdMob與Ad Manager的使用者介面會出現警示。</p> <p>而沒有使用App-ads.txt的應用程式發布者，廣告投放不會有任何的改變。</p> </div></div></div>
2019/8/8 11:00作者李建興https://www.ithome.com.tw/news/132302
AT&T員工擅自收賄替客戶解鎖手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名34歲的巴基斯坦人Muhammad Fahd因涉嫌賄賂AT&T的員工幫原本規定只能使用AT&T網路的手機解鎖，在8月被引渡至美國受審，並被指控14項罪名。</p> <p>美國電信業者經常使用SIM卡鎖來綁定客戶，以避免取得優惠購機專案的客戶改用其它電信網路，不過，Fahd卻在2012年至2017年間，招募並賄賂AT&T的員工從內部幫他解鎖手機，之後甚至在AT&T網路上植入惡意程式，以讓Fahd可自遠端解鎖。在這五年之間，Fahd總計支付了42.8萬美元予這些AT&T的員工，解鎖了數百萬支手機，替Fahd賺進數百萬美元，也讓AT&T損失了數百萬美元的收入。</p> <p>根據訴狀，一開始的時候Fahd只是把欲解鎖的手機IMEI號碼告訴AT&T的員工，由這些員工從內部幫它們解鎖，以移除AT&T網路，隨後即有員工協助Fahd打造並安裝各式工具，以讓Fahd能夠從遠端存取AT&T的電腦以直接解鎖手機，此外，Fahd還要求收賄的AT&T員工幫他介紹其他樁腳。迄今已有3名AT&T員工認罪。</p> <p>巴基斯坦藉的Fahd在去年2月在香港<a href="https://www.justice.gov/usao-wdwa/pr/leader-conspiracy-illegally-unlock-cell-phones-profit-extradited-hong-kong" target="_blank">被逮捕</a>，並於今年8月引渡至美國受審，被控執行電信詐欺，違反旅行法及電腦詐騙與濫用法令，最高可被判處20年徒刑。</p> </div></div></div>
2019/8/8 11:00作者陳曉莉https://www.ithome.com.tw/news/132307
微軟推出全新Visual Studio主題編輯擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Visual Studio預設介面主題看久了覺得很無趣嗎？<a href="https://devblogs.microsoft.com/visualstudio/theming-in-visual-studio-just-got-a-lot-easier/">微軟現在釋出了新的Color Theme Designer主題編輯擴充套件</a>，用戶只要在Visual Studio市集搜尋新主題類別，就能夠在Visual Studio中套用其他用戶發布的主題，或是使用最新設計的主題編輯流程，自定義主題。</p> <p>在之前也有類似的主題編輯擴充套件稱為Color Theme Editor，微軟提到，舊的主題編輯套件用起來非常繁瑣，用戶需要從3,000多個沒有分類的元素列表中，逐一編輯元素的顏色，因此，Visual Studio 2019棄用Color Theme Editor，由主題編輯擴充套件Color Theme Designer代替。</p> <p>Color Theme Designer同時為初學者與資深設計師設計，初學者可以在Visual Studio市集中，搜尋其他用戶發布的主題，並直接套用到自己的Visual Studio安裝中。而對資深設計師來說，Color Theme Designer簡化的設計程序以及起始流程，能提供良好的主題設計工作體驗。</p> <p>其快速啟動功能讓用戶選擇3種基色，就能簡單地自定義出一種主題，想要更深入的做細部設定，用戶則可以點選常用元素或是全部元素頁籤，對部分或是全部元素進行個別編輯，常用元素約100個，共分成5大類，用戶在編輯元素顏色後，一旁的預覽也會同時改變顏色，供用戶參考實際顏色效果。另外，Color Theme Designer新的預覽模式也更好用了，讓用戶可以在編輯完主題，先預覽效果後儲存。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/picture6-1024x1015.png" style="width: 600px;" /></p> <p>用戶完成自定義主題之後，可以點選套用（Apply），立即改變主題顏色，該主題會與預設主題存放在同一個地方，用戶能夠在工具列表中工具（Tools）下的選項（Options）查看，而卸載主題則要到管理擴充套件對話框，使用跟其他擴充套件相同的方式移除。用戶也能選擇將主題建置成主題專案，最終輸出為Visual Studio擴充套件，與其他用戶分享或是發布到Visual Studio市集中。</p> </div></div></div>
2019/8/8 11:05作者李建興https://www.ithome.com.tw/news/132304
30年老牌網通數位轉型大挑戰，思科要靠3千人IT翻轉商業模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球450個營運據點、每月410萬通的Webex語音通話、87萬場網上視訊會議、86PB的存取資料、上百個內部App、1,000個雲端服務與全球超過7萬名員工，這些統計數字不只是思科全球3千人超大型IT團隊，每年進行IT維運和管理所要面對的IT大挑戰，更成為了思科在推動數位化轉型，所要面臨的龐大IT考驗，怎麼辦到？思科IT部門扮演關鍵的推動角色。而一手推動和制定思科數位轉型策略背後的重要推手，正是思科國際部資訊長VC Gopalratnam。</p> <p>過去擁有10多年思科全球IT維運經驗的VC Gopalratnam，是僅次於思科全球資訊長的第2號IT人物，不僅負責思科亞太、歐洲、中東、非洲，以及拉丁美洲等跨區域IT重要營運，更一手主導規畫與擬定全球營運關鍵IT策略。在他麾下效力的IT團隊，更是思科全球IT第二大，規模多達數百人。</p> <p>近幾年，全球企業數位轉型浪潮，已成為勢不可擋的趨勢，越來越多的企業加快數位轉型的腳步，對於這家縱橫網通界超過30年的網通巨人思科來說，也不例外，早從2007年就開始著手進行數位轉型的推動計畫。</p> <p>之所以要開始轉型，VC Gopalratnam指出，除了要透過IT改造帶動公司營運成長，更大目的是要翻轉舊有的商業模式，「讓我們不再只是一家純硬體公司，也要成為一家能夠提供訂閱付費的軟體商」他說。</p> <p>但要做到這件事並不容易。他表示，想要從原本僅是銷售硬體設備，到開始提供訂閱付費的軟體及服務，新商業模式帶來的IT轉變，不只影響舊有作業流程，對於原先的商業流程與所有對應的系統也都得進行大改造，包括審計系統、履約系統、計費系統等，以符合新商業模式的轉變需求。這也成為了VC Gopalratnam所要面對的全球IT大挑戰。</p> <p><span style="font-size:28px;"><strong>思科數位轉型的3階段與3大步驟</strong></span></p> <p>思科的數位轉型的歷程，可以分為建立基礎（Foundation）、加速推動（Accelerate）與數位化（Digitization）三個轉型階段。其中的第一階段，期間自2007年到2014年，思科先從規劃、建置數位轉型基礎架構的做起，這段時期，思科IT團隊不只開始引進服務導向的雲端與資料中心服務，後來還透過虛擬化技術加快推動應用與服務架構轉型；接下來，2014年時則是擴大在全球各據點推廣，大力投入各種數位化建置與改造工作，對內更建立一個更加彈性且靈活的組織數位協作與溝通環境及文化，加速對於轉型推動腳步，這也就進到第二階段。最後的第三階段則是在2016年之後，思科開始透過流程簡化、自動化科技、數據分析等一系列IT改造與數位化技術，來創新數位化業務。</p> <p>思科如何數位轉型？VC Gopalratnam進一步提出3大步驟，工作流簡化（Simplification）、作業自動化（Automation）以及使用資料。其中，工作流程簡化是數位轉型的第一步，他表示，任何一家大型公司在開始數位轉型推動計畫前，必須先對於每個複雜處理流程加以簡化，接著才開始著手各項數位化改造工作，以避免流程太過繁瑣而遭致轉換失敗。</p> <p>以流程簡化為例。思科很早就開始透過IT改造簡化工作流程，至今不只已對內提供上百個生產力的app與服務，來簡化人員作業流程，如My Paid Time Off （PTO）、CMMC等生產工具。在溝通協作上，也結合許多新服務，如WebEx、Jabber與TelePresence會議系統等，來打造全球規模的協作環境，用以縮短遠距作業與溝通時間，讓全球各據點業務或專案管理者可以隨時追蹤每日工作與專案進度來溝通與進行協作，他表示，透過這些協作數位科技，不只提高員工生產力與業務彈性，對於管理高層來說，還可以做到更即時溝通，更快下達決策。</p> <p>而一旦對某個流程簡化之後，接著，第2步就是採行自動化，將簡化後的IT或服務工作流程改用數位化、更加自動化的作業方式來完成，而盡可能減少人力介入，最後再將這些經過數位化、自動化處理過程產生取得的可用數據，從這些分析數據中挖掘出新價值，接著回過頭來，再依據分析結果持續反覆簡化、自動化整個作業與服務流程，加快公司轉型的步伐。</p> <p>以思科前幾年推出的一套IT自助服務平臺Cisco eStore為例，VC Gopalratnam說明，這就是一個透過流程簡化、自動化過程，來取代傳統多套系統分別服務的方式，讓員工能以自動化方式完成整套IT服務申請流程。</p> <p>現在，只要透過這個平臺，員工就能迅速申請取得工作流程上需要使用的各類IT服務，包含軟體授權、行動App、BYOD自帶裝置、虛擬機器與安全政策等，不只簡化IT服務流程，也藉由自動化機制，從而提高員工生產力。</p> <p>不光如此，思科在數位轉型過程中，對內也採用了許多新科技，來改造與優化內部作業流程。例如去年思科就自行開發一個產品Q&A問答知識圖譜，稱為Cisco Answers Machine (CAM)，結合了機器學習與自然語言處理技術，並利用過往問答資料建立一套用以回答產品相關問題的知識庫，能夠幫忙回覆業務人員遇到的各種產品問題。目前也已提供給全球數萬名業務與銷售人員查詢使用，VC Gopalratnam表示，未來也將整合語音對話功能，如亞馬遜Alexa等。</p> <p>儘管，思科很早就展開數位轉型之路，但不像其他大型企業逐年增加對IT的投資，來加速數位轉型的推動腳步，思科每年編列IT預算，僅占營收2％～2.5%，並沒有因為轉型而增加額外IT預算支出，甚至全球IT預算不增反減。</p> <p>為了要以有限或能用更少IT預算來做到數位轉型，Gopalratnam不只依據任務重要性，決定執行優先順序，還將經由轉型帶來的人事成本降低與生產力的提高，所省下來的支出費用，改用在投資新專案，讓公司持續轉型。</p> <p>例如，思科IT團隊曾將以往耗費龐大人力與維運成本的應用技術支援工作，改以更即時、自動化處理方式完成整個異常事件通報與後續技術協助作業，他指出，透過採行這個作法，不僅縮短事件回應時間，也大大減少事件處理需求的數量，甚至針對簡單問題事件，也提供自助式服務，讓使用者自行就能處理完，無須等待，如此一來，也替公司節省不少維運成本，可以用來幫助公司推動轉型。這正是思科IT團隊之所以能用以更少的IT預算推行數位轉型，甚至能夠做更多事的關鍵。</p> <p><span style="font-size:28px;"><strong>朝向多雲架構來發展，將是思科數位轉型另一大關鍵</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0P2%E4%B8%AD%E9%96%93%E5%9C%96%E6%AA%94%E7%B7%A8%E8%99%9F%EF%BC%9A12_(%E6%8A%BD)V%20C%20Gopalratnam_CISCO_20190122_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 300px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>思科國際部資訊長VC Gopalratnam表示，CIO要成為一名成功的數位轉型推動者，必須具備商業頭腦，懂得運用商業的語言做溝通。　</strong>（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>不光是透過IT改造簡化、自動化流程，VC Gopalratnam更進一步指出，思科數位轉型的另一大重要關鍵，是採用雲端架構及其技術，來加快推動內部應用與服務轉型。</p> <p>思科很早就開始擁抱雲端，早從5年前就已建置自己的私有雲，幾年前也開始採用公有雲服務，截至目前，思科對內已有多達1千個App或應用服務，是以私有雲和公有雲服務方式來提供，包括Cisco Webex、Salesforce、Office365和Box等。接下來，更進一步建立混合雲架構。</p> <p>不過，VC Gopalratnam表示，最終目標是要朝多雲（Multi-Cloud）雲端架構來發展，他表示，就像現在企業不會只押寶在一朵雲，而是會有很多朵，目的是要讓不同應用能夠跑在多雲環境上。但是他指出，企業要擁抱多雲得先完成3件事，首先，是得先從應用體質改造下手，提高應用在雲端耐久度（Cloud Tolerant），也就是要建立雲端原生應用（Cloud Native Apps）。他表示，只有重新設計應用架構，讓它可以變成在微服務架構上運作，並以容器方式部署，才能讓應用跑在多雲環境。但要做到將應用Cloud Native化，並不是容易的事。</p> <p>以2016年完成的思科電商平臺（e-commerce）上雲為例。VC Gopalratnam表示，它是第一個完全轉換到原生雲端的思科關鍵應用。對於思科來說，這次搬遷也是一大工程，不只轉換應用程式碼就超過400萬行，還與超過36個以上的不同應用相連，更影響多達40到50項思科服務。</p> <p>後來，思科這次的系統遷移共花了1年半到2年才完成。轉換到Cloud Native後，他表示，不只是讓新應用具備有更高可用性，效能也獲得5到20倍提升，就連更新版本速度變更快，可以幫助企業縮短功能或服務推出的時程。</p> <p>其次，則是打造一個可程式化基礎架構，他指出，不論是運算、網路、儲存等基礎設施，以後都必須要改由軟體驅動，包括安全準則、自動化準則等，都能通過程式自動化控制，彈性調度基礎設施資源，以因應業務快速發展所需；同時還透過建立API為主的應用環境，來加快整合不同系統功能與應用。最後，則是建立多雲端安全政策，能夠用來管理與提高不同雲之間的裝置連網的安全性。</p> <p>思科數位轉型推動至今，如今，也幫助思科在整體工作效率獲得17%的提升，另在供應鏈生產力方面，也有高達35%的改善幅度。甚至，思科還進一步將自身的數位轉型經驗，變成產品輸出全球。</p> <p>儘管，思科數位轉型推動多年，但至今仍未實現全面轉型，「我們才剛走到數位轉型的半路。」VC Gopalratnam坦言，最少還需要再花2到3年的時間來完成，他也透露，思科近2年的數位轉型推動計畫，大約有25到30個仍在執行的大型專案，如建立多雲架構、數位化供應鏈等，來持續協助公司轉型，要從硬體商成為一家軟體服務商。</p> <p>但是想要變成一家軟體公司，光只是轉變商業模式還不夠，IT職務角色也得要與時俱進。不同於傳統IT，只須專注對內IT維運工作，VC Gopalratnam表示，現代IT必須具備有全方位的應變能力，尤其是，他強調，CIO要成為一名成功的數位轉型推動者，必須具備商業頭腦，懂得運用商業的語言溝通是關鍵，如同財務長（CFO）一樣，具有財務知識，或是商業技能等，知道怎麼運用商場語言與公司高層決策者，或業務單位溝通，他認為，這是每家企業IT主管都應該具備的基礎能力，「更是企業創新或轉型的重要關鍵。」他說。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><strong>思科國際部資訊長VC Gopalratnam</strong></p> <p>學歷：普渡大學化學工程碩士</p> <p>經歷：在美國GE工程技術與GE Capital金融部門任職多年，先後負責全球技術執行與分析業務，2007年加入思科，擔任資訊科技副總，幾年後接任思科國際部資訊長，不只負責跨區域營運，還一手主導規畫與擬定全球營運關鍵IT策略，更帶領公司加速數位轉型的推動腳步</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>Cisco Systems</strong></p> <p>● 總部：美國加州聖荷西市</p> <p>● 網址：<a href="http://www.cisco.com">www.cisco.com</a></p> <p>● 成立時間：1984年</p> <p>● 主要業務：網通硬體設備與軟體服務</p> <p>● 員工數：約7.4萬人（2018年）</p> <p>● 年營收：493億美元（2018年）</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 全球資訊部門人數：約3,000人</p> <p>● 全球IT預算：約占年營收2.5%</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></p> <p>● 2011年：導入BYOD自帶裝置服務</p> <p>● 2012年：新版企業協作平臺Cisco WebEx Social推出上線</p> <p>● 2013年：推出IT自助服務應用平臺eStore for Mobile、釋出響應式網頁設計的InTouch使用者反饋工具</p> <p>● 2016年：開始逐步將思科電商平臺（e-commerce）完全轉換到原生雲端環境</p> <p>● 2017年：新的團隊溝通協作工具TeamSpace推出</p> <p>● 2018年：CAE雲端應用環境工具服務推出上線，幫助開發團隊縮短應用開發與部署周期、提供結合機器學習問答的Q&A知識圖譜工具CAM</p> <p>● 2019年：不只採用混合雲架構，更要朝向多雲（Multi-Cloud）架構來轉型</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0808_zhu_tu_v_c_gopalratnam_cio.png" width="960" height="420" alt="" title="思科國際部資訊長VC Gopalratnam　(攝影／洪政偉)" /></div></div></div>
2019/8/8 09:00作者余至浩https://www.ithome.com.tw/people/132215
【雲端儲存服務：Cloud Volumes ONTAP】NetApp老牌ONTAP儲存平臺原生移植公有雲環境
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960x420_3.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何因應公有雲來勢洶洶的挑戰，是當前所有傳統儲存設備廠商的一大課題，其中一種應對的思路是「打不過他，那就加入他」，既然難以抵擋公有雲勢力的逐漸擴張，那就反過來利用公有雲，將將儲存設備移植到公有雲平臺上，化身為公有雲服務的一部份，從而沿續儲存設備平臺的發展。</p> <p>NetApp的Cloud Volumes ONTAP（CVO）服務，便是這種移植到公有雲的儲存陣列平臺代表性產品。CVO本身是運行於AWS或Azure平臺上的虛擬化版本ONTAP儲存設備，利用公有雲的虛擬機器扮演儲存控制器角色，運行NetApp的ONTAP儲存作業系統，並掛載公有雲的儲存空間，作為控制器後端儲存空間，然後再透過NFS、SMB或iSCSI協定，將儲存空間掛載給公有雲上的其他虛擬機器使用。</p> <p>透過CVO，既能向用戶提供與公有雲原生儲存服務相同多種效益，如按需訂購、管理負擔輕等，也擁有ONTAP儲存平臺的特性與豐富資料服務功能，還具備軟體定義儲存的組態彈性優點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP-%E5%9C%96%E8%A1%A81.png" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>Cloud Volumes ONTAP的基本概念</strong></span></p> <p><span style="color:#696969;"><strong>NetApp在AWS與Azure提供的Cloud Volume ONTAP服務，其實，就是在公有雲上運行的虛擬化ONTAP儲存設備，可透過iSCSI或NFS/SMB協定，將儲存空間提供給公有雲上的其他運算單元使用，並擁有HA高可用性功能，以及完整的ONTAP資料服務功能。</strong></span></p> <p><span style="font-size:28px;"><strong>虛擬化與公有雲儲存的結合</strong></span></p> <p>從產品型式來看，CVO可以看作是NetApp ONTAP Select軟體定義儲存系統，移植到公有雲上的延伸發展版本，兩者都是實體ONTAP儲存陣列的虛擬化版本，只是ONTAP Select是運行於VMware vSphere，或是KVM等本地端的虛擬化平臺，而CVO則是運行於AWS或Azure的公有雲虛擬化平臺而已。</p> <p>包括NetApp在內，現今的傳統儲存陣列產品，大多都是基於x86架構通用硬體設備的軟體定義型式，完全依靠儲存作業系統的軟體功能，在通用硬體上建構與提供儲存服務，所以，除了透過傳統的實體儲存陣列方式來提供產品外，也能透過虛擬化方式，將儲存作業系統部署到虛擬化平臺上，從而成為建構出「虛擬化儲存陣列」產品。</p> <p>如ONTAP Select便是NetApp FAS系列儲存陣列，移植到vSphere與KVM平臺上的虛擬化版本，利用虛擬機器來構成儲存控制器，搭配Hypervisor主機本身或介接的儲存空間，組成虛擬化的儲存陣列。除了一些限制，如每節點的容量上限400TB、不支援NetApp原有的底層RAID架構，以及只支援基於乙太網路的儲存協定（NFS/SMB與iSCSI），ONTAP Select的儲存功能與特性，與實體的FAS系列儲存陣列是大致相同的。</p> <p>更進一步來看，由於公有雲平臺的底層環境，也是一種虛擬化平臺，所以也能依循相同的模式，將儲存系統移植到公有雲平臺上，CVO便是這樣的產品。</p> <p>也就是說，CVO是利用公有雲平臺的虛擬機器或執行個體，來運行ONTAP儲存作業系統軟體，然後掛載公有雲儲存空間，組成一臺在公有雲上運行「軟體版雲端儲存陣列」，進而為其他公有雲虛擬機器提供儲存服務。</p> <p>比起實體儲存陣列，或是ONTAP Select這類本地端的虛擬化儲存陣列，CVO這種軟體定義架構的雲端儲存陣列，最大優點是成本低與架構彈性。</p> <p>首先，CVO完全依靠公有雲的運算與儲存資源來構成儲存陣列，用戶只需支付租用公有雲資源，以及購買CVO軟體授權的費用即可；其次，用戶也可以依照自身需求，選擇不同等級的公有雲資源來建構雲端儲存陣列，不需要使用時，也能將其關閉，擁有與公有雲原生服務一樣的按需購買靈活性。</p> <p>而比起公有雲原生的儲存服務，CVO的優點則是在於採用了久經考驗的ONTAP儲存系統，且提供了高可用性組態選項，以及豐富的資料服務功能。</p> <p>CVO目前的版本，與最新的ONTAP系統都是9.6版，並有雙節點高可用性（High Availability，HA）版本可選，比起一般的公有雲原生儲存服務，多了一層可用性保障。CVO也保有幾乎全部的ONTAP資料服務功能，包括：可幫助節省雲端儲存空間耗用量的Thin Provisioning、壓縮與重複資料刪除等功能，以及用於資料保護的Snapshot、SnapMirror、SnapVault，還有FlexClone等。亦能透過SnapMirror遠端複製功能，讓CVO直接與本地端實體ONTAP儲存設備連結，構成混合雲儲存架構。</p> <p>用戶也可透過Fabric Pool的功能，與AWS S3或Azure Blob等低價位公有雲儲存區，組成雲端上的分層儲存架構。（CVO只有少數ONTAP功能無法使用，如Metrocluster、RAID-DP、FlashCache/FlashPool等。）</p> <p>相較之下，一般公有雲原生儲存服務提供的資料服務功能，仍只在基本層次，大多只有快照、遠端複製與加密等少數幾種。</p> <p><span style="font-size:28px;"><strong>持續延伸的平臺與組態彈性</strong></span></p> <p>CVO的前身，是2014年底發表的ONTAP Cloud，已有4年以上歷史。ONTAP Cloud雖然開創儲存陣列移植公有雲的先河，不過，當時只能搭配AWS一種平臺，組態的限制也較多，例如，儲存區一開始只支援EBS的gp2型式。</p> <p>後來NetApp在2018年時，將ONTAP Cloud更名為Cloud Volume ONTAP（CVO），並大幅擴張了支援範圍，除了AWS以外，也提供Azure平臺上的服務，部署的組態也有更多的選擇彈性。</p> <p>另外，NetApp在2019年6月發表ONTAP 9.6版系統時，也推出了搭配Google GCP平臺的Private Preview版，預期不久之後，就能將CVO服務範圍正式擴展到GCP平臺上。</p> <p><span style="font-size:28px;"><strong>開啟雲端儲存新類型</strong></span></p> <p>從先前的ONTAP Cloud，到現在的CVO，經過4年多的時間發展下來，NetApp目前已能在全球20個AWS服務區域，以及33個Azure服務區域，提供CVO服務，另外，他們也推出了Google GCP的CVO預覽版，顯示這種產品型式的初步成功。</p> <p>依循NetApp的腳步，近一年多來，也開始有其他廠商跟進，推出類似CVO的雲端儲存服務。例如：Pure Storage的Cloud Block Store，以及Dell EMC的UnityVSA Cloud Edition等，分別是Pure Storage旗下FlashArray全快閃儲存陣列，以及Dell EMC旗下Unity儲存陣列的公有雲軟體化版本。市面上，多了這些廠商的投入，也讓這種將傳統儲存陣列平臺移植雲端而成的服務，形成了一種新的雲端儲存類型。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的版本與授權等級</strong></span></span></p> <p>目前NetApp在AWS與Azure兩個雲端平臺上，提供了Cloud Volumes ONTAP（CVO）服務，無論在哪個平臺，都有單節點與HA雙節點兩種CVO版本。用戶訂購CVO時，有兩種模式可選：一為直接向公有雲服務商訂購的隨用隨付Pay-As-You-Go模式，由公有雲服務商提供所有服務；另一為向NetApp購買授權，然後再於公有雲上註冊的BYOL（Bring Your Own License）模式，CVO授權由NetApp或經銷商提供，公有雲服務商只提供運行CVO所需的運算與儲存資源授權。</p> <p>在Pay-As-You-Go模式下，用戶能以每小時為單位，彈性選擇合約時間長度，只有CVO運行時才計價，並有Explore、Standard與Premium等3種授權層級，分別提供不同的虛擬控制器組態，與可用容量上限的選擇。至於BYOL授權模式的合約時間則為6或12個月，但軟體授權不受特定公有雲服務商綑綁，且虛擬控制器的組態選擇也更多。</p> <p>由於不同公有雲平臺的虛擬機器與儲存服務規格、架構，均有所別，在AWS與Azure上的CVO控制器與磁碟規格，也略有差異，如在AWS上，CVO的單一磁碟區（Volume）最大容量是16TB，而在Azure上，則可允許最大32TB的單一磁碟區，詳細規格詳見原廠文件說明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_1.png" style="width: 400px;" /></p> <p><span style="color:#3399ff;"><strong>從AWS或Azure市集訂購CVO服務</strong></span></p> <p><span style="color:#696969;"><strong>CVO分為單節點與雙節點HA高可用性兩種版本，以及兩種訂購模式，一為直接向公有雲服務商訂購的Pay-As-You-Go模式，其下有Explore、Standard與Premium等3種授權層級可選；另一為向NetApp購買授權，然後再於公有雲上註冊的BYOL模式。</strong>圖片來源／NetApp</span></p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的部署與管理</strong></span></span></p> <p>當用戶訂購了Cloud Volumes ONTAP（CVO）服務授權後，便可下載CVO的映像檔，然後部署到公有雲的虛擬機器上。</p> <p>CVO是一種以虛擬化與軟體定義型式，部署在公有雲平臺上的「軟體版儲存陣列」，利用公有雲的運算單元（AWS的EC2執行個體或Azure的虛擬機器），來扮演儲存控制器角色，負責運行NetApp的ONTAP儲存作業系統。然後再將公有雲的儲存空間（AWS的EBS或Azure的LRS），掛載給這臺虛擬的儲存控制器，充當控制器後端的儲存空間。</p> <p>用戶可選擇將CVO部署在既有或新建的AWS虛擬私有雲端（VPC）環境內，或Azure虛擬私人雲端（VNet）環境內，從而為VPC或VNet環境的其他執行個體或虛擬機器，提供區塊或檔案儲存服務。</p> <p>依用戶選購的授權等級（Explore、Standard、Premium或BYOL），可選擇不同規格的執行個體或虛擬機器，用來部署成為CVO的虛擬儲存控制器。值得一提的是，為了確保CVO擁有類似實體ONTAP儲存設備的寫入效能，配置給執行個體或虛擬機器的一部分記憶體，將被作為儲存控制器的虛擬化NVRAM使用。</p> <p>而在CVO配置的儲存空間方面，無論在AWS還是Azure上，都有3種主要磁碟機類型可選——通用型SSD、效能型SSD與通用型硬碟。CVO先將AWS或Azure配置的磁碟機（disk）構成Aggregate群組，然後從Aggregate群組上建立磁碟區（volume），再透過iSCSI或NFS/SMB協定，將磁碟區掛載給其他虛擬機器使用。</p> <p>至於CVO的部署作業與維運管理，都是透過NetApp提供的OnCommand Cloud Manager管理軟體來執行，這套管理軟體是由公有雲上的一臺虛擬機器來執行。，本身不需要授權費用，用戶只需支付運行Cloud Manager的虛擬機器資源費用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP.png" style="width: 447px;" /></p> <p><span style="color:#3399ff;"><strong>Cloud Volumes ONTAP的運作架構</strong></span></p> <p><strong><span style="color:#696969;">以AWS上的CVO為例，CVO是在用戶指定AWS虛擬私有雲端（VPC）環境內運作的服務，包含4個主要元件：</span></strong></p> <p><strong><span style="color:#B22222;">①</span><span style="color:#696969;"> <strong><img alt="" src="file://it-file3/ithome/Design/2019-%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94+PDF/0802-932/932-NetApp_Cloud_Volume_ONTAP-web-resources/image/3.png" /></strong>一臺運行ONTAP儲存作業系統的AWS執行個體，扮演儲存控制器角色。</span></strong></p> <p><strong><span style="color:#B22222;">②</span><span style="color:#696969;"> <strong><img alt="" src="file://it-file3/ithome/Design/2019-%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94+PDF/0802-932/932-NetApp_Cloud_Volume_ONTAP-web-resources/image/2.png" /> 配置給ONTAP執行個體的EBS公有雲儲存空間，作為ONTAP的儲存區。</strong></span></strong></p> <p><strong><strong><span style="color:#B22222;">③</span><span style="color:#696969;"> <strong>一臺運行OnCommand Cloud Manager系統的執行個體，作為CVO管理平臺。</strong></span></strong></strong></p> <p><strong><strong><strong><span style="color:#B22222;">④</span><span style="color:#696969;"> <strong>使用CVO儲存服務的其他執行個體。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong><span style="color:#696969;">扮演儲存控制器的ONTAP執行個體，可以將後端配置的EBS磁碟機，架構為自身的磁碟區，然後透過NFS/SMB或iSCSI協定，掛載給同一個VPC環境內的其他執行個體使用。</span></strong></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>用戶端的管理者可以透過閘道器的介接，登入Cloud Manager，從而執行CVO環境的部署與儲存管理。</strong>圖片來源／NetApp</span></strong></strong></strong></p> <p><span style="color:#3366ff;"><strong><strong><strong><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的HA高可用性功能</strong></span></strong></strong></strong></span></p> <p><strong><strong><strong>標準的企業級儲存設備，都會採用雙控制器架構，以備任一控制器失效時，具有自動切換的高可用性能力（High Availability，HA）。</strong></strong></strong></p> <p><strong><strong><strong>而對於在公有雲上運行的Cloud Volumes ONTAP（CVO），除了基本的單節點版本外，也提供了具備高可用性能力的雙節點HA版本，用戶可以部署2臺CVO節點組成HA群組，當任一臺CVO節點失效時，可透過另一個CVO節點接手維持存取服務，比起一般的公有雲原生儲存服務，多了一層可用性保障。不過，在AWS與Azure上，CVO的HA架構運作方式略有差異。</strong></strong></strong></p> <p class="rtecenter"><strong><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_5.png" style="width: 500px;" /></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#3399ff;"><strong>AWS上的CVO高可用性架構</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>兩個CVO節點可以位於同一個或不同的可用性區域（AZ），後端各自掛載著自身的EBS磁碟機，但兩個節點需設定在同一個VPC環境內，彼此間透過鏡像複製維持資料同步，另外，還有一個負責連繫兩個CVO節點與提供仲裁功能的Mediator節點（本身是位於第3方可用性區域的一臺Linux執行個體）。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>當任一CVO節點或其後端EBS儲存區失效時，可透過Mediator節點啟動I/O路徑切換，將存取負載轉給另一CVO節點承擔。</strong></span></strong></strong></strong><span style="color:#696969;">圖片來源／NetApp</span></p> <p class="rtecenter"><strong><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_6.png" style="text-align: center; width: 500px;" /></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#3399ff;"><strong>Azure上的CVO高可用性架構</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>在相同的VNet與Subnet環境內，將兩個CVO節點組成一個可用性群組（Availiability Set），兩個節點共同存取相同的Azure Page Blob儲存體磁碟機群組，透過一臺扮演ILB（Internet Load Balance）的虛擬機器連繫兩個節點。當任一CVO節點失效時，透過ILB將存取負載切換到另一CVO節點。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>要特別注意的是，在Azure上，單節點版本的CVO使用的磁碟機，是Azure的受控（Managed）LRS儲存體，而HA版本的CVO則改用Azure非受控的Page Blob儲存體。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>從NetApp提供的架構圖上，我們可以看出，比起AWS上的CVO HA架構，Azure上的CVO HA架構比較簡單，兩個CVO節點是存取同一個Page Blob儲存體，所以不需要跨節點同步鏡像，不過無法應付後端儲存體失效的情況。</strong></span></strong></strong></strong><span style="color:#696969;">圖片來源／NetApp</span></p> <p><strong><strong><strong><span style="font-size:28px;"><strong>NetApp兩種Cloud Volumes對比：CVO vs. CVS</strong></span></strong></strong></strong></p> <p class="rtecenter"><strong><strong><strong><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP-%E5%9C%96%E8%A1%A8.png" style="width: 500px;" /></strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>資料來源：iThome整理，2019年7月</strong></span></strong></strong></strong></p> <p><strong><strong><strong>除了Cloud Volumes ONTAP（CVO）外，NetApp還有一款稱作Cloud Volumes Service（CVS）的公有雲儲存產品，CVO與CVS兩個產品不僅名稱類似，也同樣都是架構在公有雲平臺上、基於NetApp ONTAP平臺的儲存服務，十分容易混淆，但兩者的底層架構完全不同，我們這裡特地作一對比。</strong></strong></strong></p> <p><strong><strong><strong>● 儲存設備：CVS是部署在公有雲資料中心的「實體NetApp AFF儲存陣列」，提供儲存服務，儲存陣列就有HA高可用性能力；CVO是由公有雲運算與儲存資源建構的「虛擬化儲存陣列」，來提供儲存服務，而HA的功能需額外選購。</strong></strong></strong></p> <p><strong><strong><strong>● 系統部署：CVS底層的實體AFF儲存陣列，由NetApp負責部署，無需用戶介入：CVO則需由用戶自行下載映像檔，並部署到公有雲的虛擬機器上。</strong></strong></strong></p> <p><strong><strong><strong>● 系統管理：CVS底層的實體AFF儲存陣列，由NetApp負責設定與管理，用戶只能設定需要的Volume磁碟區大小，以及快照排程；CVO底層的虛擬控制器及磁碟區，都由用戶自行管理，用戶擁有完整的控制權。</strong></strong></strong></p> <p><strong><strong><strong>● 維運模式：CVS向用戶提供的是儲存空間使用權，用戶可隨用隨付或定期定購；CVO提供的是一整臺虛擬儲存設備與其儲存空間的授權，用戶可隨用隨付或定期定購。</strong></strong></strong></p> <p><strong><strong><strong>● 儲存應用範圍：CVS只支援NAS檔案共享存取應用，只支援NFS與SMB協定，資料服務功能較少，但憑藉底層實體AFF儲存陣列，可適用從小型到超大型工作負載；CVO支援SAN與NAS應用，能支援基於NFS與SMB協定的檔案存取，也支援基於iSCSI的資料存取，但由於底層是虛擬儲存裝置，只支援小型與中型工作負載。</strong></strong></strong></p> <p><strong><strong><strong>● 適用公有雲平臺：CVS目前可支援AWS、Azure與GCP等3個公有雲平臺；CVO目前只支援AWS與Azure，GCP版本仍在測試中。</strong></strong></strong></p> <p><strong><strong><strong>● 服務區域涵蓋：CVS由於須將實體設備部署進公有雲資料中心，所以，在公有雲服務區域的部署速度，比起軟體定義部署的CVO慢了許多。以AWS來說，目前已有20個服務區域可提供CVO，但其中只有8個服務區域有CVS；類似的，目前已有33個Azure服務區域提供CVO服務，其中，只有8個區域，提供Azure NetApp Files服務（CVS在Azure上的名稱）。</strong></strong></strong></p> </div></div></div>
2019/8/8 09:00作者張明德https://www.ithome.com.tw/review/132218
FBI發布網路約會詐騙警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）犯罪投訴中心（Internet Crime Complaint Center，IC3）本周<a href="https://www.ic3.gov/media/2019/190805.aspx" target="_blank">發布</a>了戀愛詐騙（romance fraud ）警告，指出犯罪份子會利用線上約會網站尋找獵物，欺騙人們的感情與金錢，如不留心還可能成為錢騾。</p> <p>IC3解釋，犯罪份子通常宣稱自己是住在海外的美國人、駐紮在海外的美軍，或是在尋找投資人的企業家，並藉由線上約會網站來尋找獵物，與他們建立友誼或戀愛關係。在取得受害者的信任之後，就會偽稱自己陷入了麻煩，或者是需要機票，要求對方寄錢。</p> <p>有些會以投資機會來吸引受害者上當，最近的趨勢則是要求受害者建立一個銀行帳號，以代為收款及匯款，成為犯罪份子的錢騾，在無意間成為洗錢的媒介。</p> <p>根據IC3的統計，戀愛詐騙的案例與損失逐年增加，2017年時有超過1.5萬名民眾投訴曾遭戀愛詐騙，當年的損失金額為2.11億美元，而去年投訴案件增加到1.8萬件，損失金額更提高到3.62億美元。</p> <p>以去年來說，戀愛詐騙案件排名IC3投訴種類的第一名，而損失金額則高居第二。IC3提醒，不論什麼年紀、教育程度或收入的對象，都可能成為戀愛詐騙的受害者，但喪偶的中老年婦女則經常是這些犯罪份子的首選。</p> </div></div></div>
2019/8/7 16:20作者陳曉莉https://www.ithome.com.tw/news/132296
Mastercard以32億美元買下Nets的即時支付平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萬事達卡（Mastercard）公司在6日<a href="https://investor.mastercard.com/investor-relations/investor-news/press-release-details/2019/Mastercard-Advances-Its-Leadership-Position-as-a-Multi-Rail-Payments-Company-with-the-Acquisition-of-Nets-Account-to-Account-Payment-Business/default.aspx" target="_blank">宣布</a>，與北歐支付服務供應商Nets Group達成協議，將以28.5億歐元（約31.9億美元）買下Nets的企業服務事業部的大多數資產。</p> <p>2010年成立的Nets總部設在丹麥，在5個國家擁有逾2,400名員工，主要提供發票、金融卡、數位身分服務、電子安全及即時支付服務，根據<a href="https://www.nets.eu/Media-and-press/news/Pages/Nets-sells-its-account-to-account-payment-business-to-Mastercard.aspx" target="_blank">Nets</a>的描述，出售給Mastercard的是基於帳戶與帳戶（Account to Account，A2A）間的清算、即時支付服務與電子帳單解決方案。</p> <p>Mastercard表示，Nets的技術與團隊將強化該公司既有的A2A能力，整合後的資產將讓Mastercard在3個關鍵領域具備強大實力，包括更彈性的架構，諸如繳費與開放銀行解決方案等各種終端使用者應用，以及資料分析或詐騙保護等加值服務。</p> <p>Mastercard產品長Michael Miebach表示，即時支付的全球機會正在加速，結合Mastercard的Vocalink（英國支付系統）、Transfast（跨境支付）與今年才買下的Transactis帳單支付系統等資產，此一交易將讓Mastercard成為銀行、商家或政府支付需求的一站購足合作夥伴。</p> <p>另一方面，Mastercard也可藉由此一收購案將A2A的服務範圍從英國、美洲、亞洲、中東及非洲擴充到歐洲。</p> <p>相較於傳統的代收、現金與支票，即時支付是個更方便也更快速的選擇，可協助銀行改善營運效率，提供更好的使用者經驗與客戶服務，也可降低處理異常的成本。</p> <p>此一交易將是Mastercard史上最大的一筆併購案，預計於明年上半年完成。</p> </div></div></div>
2019/8/7 16:50作者陳曉莉https://www.ithome.com.tw/news/132300
聯合國報告：北韓指使駭客盜走20億美元以發展核武
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2019-08-06/north-korea-hacks-banks-cryptocurrencies-for-funds-un-finds" target="_blank">彭博社</a>與<a href="https://www.reuters.com/article/us-northkorea-cyber-un/north-korea-took-2-billion-in-cyberattacks-to-fund-weapons-program-u-n-report-idUSKCN1UV1ZX" target="_blank">路透社</a>本周相繼引述所看到的聯合國報告指出，由北韓政府主導的駭客團隊向全球的銀行與加密貨幣交易平台發動網路攻擊，盜走了價值20億美元的加密貨幣或金錢，以用來發展境內的核子武器。</p> <p>報導指出，聯合國的專家指責北韓駭客在網路上，針對銀行與加密貨幣交易平台發動精密且複雜的攻擊行動，對北韓來說，這是一個賺錢的管道，還可閃避追蹤，以作為該國發展大規模破壞性武器的基金，而且有許多攻擊行動是由負責軍事情報的偵察總局所主導。</p> <p>報告還顯示，北韓駭客至少在17個國家攻擊35個金融組織。聯合國已要求北韓提出說明，但北韓並未回應。</p> <p>根據Group-IB在去年所出版的<a href="https://www.group-ib.com/resources/threat-research/2018-report.html" target="_blank">《高科技犯罪趨勢報告》</a>（Hi-Tech Crime Trends 2018），中國、北韓與伊朗並列為全球前三大國家級駭客集團最活躍的國家。</p> </div></div></div>
2019/8/7 15:30作者陳曉莉https://www.ithome.com.tw/news/132293
漏洞多得補不完，微軟本月將關閉Windows 7、8上IE11的VBScript
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二<a href="https://blogs.windows.com/msedgedev/2019/08/02/update-disabling-vbscript-internet-explorer-windows-7-8/" target="_blank">預告</a>將在本月的Patch Tuesday修補程式中，關閉Windows 7、8/8.1版IE 11中的VBScript，杜絕安全後患。</p> <p>VBScript是1996年問世的舊式腳本程式，但在2000年微軟轉向.NET及VB.Net後即逐步揚棄。微軟2017年即<a href="https://blogs.windows.com/msedgedev/2017/04/12/disabling-vbscript-execution-in-internet-explorer-11/" target="_blank">宣佈</a>不再允許IE 11模式的網頁執行VBScript，但仍給了兩年的緩衝期回溯相容舊式網站。<a href="https://www.ithome.com.tw/news/95781" target="_blank">Microsoft Edge早已完全不支援</a>。</p> <p>今年7月9日起，Windows 10的更新已率先關閉IE11的VBScript支援，而預訂8月13日針對Windows 7、8、8.1釋出的累積更新，則將完全關閉VBScript。這使得所有平台上IE 11，皆不再支援VBScript執行。</p> <p>不過企業仍然可透過Registry或群組政策的設定執行VBScript。</p> <p>VBScript近年僅在發生網路安全事件時登上新聞版面。2014年駭客利用美國百貨公司Neiman Marcus網站的VBScript漏洞，駭走了100多萬筆信用卡資料。<a href="https://www.ithome.com.tw/news/123077" target="_blank">VBScript漏洞到去年微軟都還在修補</a>，還有駭客<a href="https://www.ithome.com.tw/news/125380" target="_blank">開採發動零時差攻擊</a>。</p> </div></div></div>
2019/8/7 15:55作者林妍溱https://www.ithome.com.tw/news/132294
英特爾CPU漏洞再現推測執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender在8月6日舉行的黑帽大會（BlackHat）上，再度<a href="https://labs.bitdefender.com/2019/08/bypassing-kpti-using-the-speculative-behavior-of-the-swapgs-instruction/?adobe_mc=MCMID%3D20197107692565771241750035194419848406%7CMCORGID%3D0E920C0F53DA9E9B0A490D45%2540AdobeOrg%7CTS%3D1565158800" target="_blank">揭露了英特爾CPU的推測執行漏洞</a>，該漏洞為Spectre的變種，過去曾有的修補都不管用，同樣允許駭客存取記憶體中的機密資訊，英特爾、微軟與紅帽也都在同一天發出警告。</p> <p>推測執行（Speculative Execution）為一用來提升CPU效能的設計，可提前執行可能需要的指令，這些指令可能與私有資料有關，並把資料帶入快取，駭客即可開採此一程序，讀取存放在記憶體中的機密資訊，又稱為旁路攻擊。</p> <p>Bitdefender所發現的漏洞牽涉到SWAPGS指令，它可在64位元的x86處理器中置換GS暫存器的值，以存取核心空間的資料，因而可能遭到駭客利用，駭客只要藉由惡意的本地端程式，就能存取原本無權存取的系統記憶體。</p> <p>Bitdefender去年就向英特爾提報該漏洞，<a href="https://software.intel.com/security-software-guidance/insights/more-information-swapgs-and-speculative-only-segment-loads" target="_blank">根據英特爾的說法</a>，評估後判斷針對該漏洞的最佳緩解之道在於軟體層面，因此交由微軟主導，以與其它合作夥伴及研究人員協商補救措施。</p> <p>微軟本周也公布了此一<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1125" target="_blank">編號為CVE-2019-1125的安全漏洞</a>，指出要開採該漏洞的駭客必須先登入系統，再執行特製的應用程式，此一漏洞並不會直接擴張使用者權限，但可用來獲得重要資訊，以展開進一步的攻擊。</p> <p>其實微軟已經在今年7月的Patch Tuesday例行性安全更新中，修補了CVE-2019-1125，只是在本周與其它業者同步揭露。該漏洞波及Windows 7、Windows 10及Windows Server等平台。</p> <p>至於<a href="https://access.redhat.com/articles/4329821" target="_blank">紅帽（Red Hat）則說</a>，除了更新Linux核心並重啟系統之外，並沒有其它完整的緩解辦法，但目前尚未得知有任何途徑可在Linux系統上開採該漏洞。眾多Red Hat平台都受到影響，紅帽建議用戶要儘速更新。</p> <p>雖然不論是微軟或紅帽都表示，CVE-2019-1125同時影響英特爾與AMD處理器，但根據Bleeping Computer的報導，Bitdefender團隊只在英特爾處理器上成功開採了該漏洞，在兩款AMD處理器上測試都失敗。</p> </div></div></div>
2019/8/7 14:05作者陳曉莉https://www.ithome.com.tw/news/132289
資安一周第54期：多個可躲避安全偵測的新型惡意程式被揭露，並有不少支付相關的安全事件發生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h1><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0801-0807一定要看的資安新聞</strong></h1> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體　＃NAS</strong></span></h3> <h2><strong>安全專家推出eCh0raix解密工具</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019-08-06_180407_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AABC.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Bleeping Computer論壇</span></p> <p>日前資安業者相繼發出警告，名為eCh0raix的勒索軟體正鎖定威聯通科技（QNAP）所生產的NAS設備展開攻擊，後續群暉科技（Synology）也發出警告，有用戶遭遇勒索軟體暴力破解密碼後，進行檔案加密後並勒索贖金。最近，網路代號為BloodDolly的勒索軟體專家，則是透過Bleeping Computer的論壇，在8月2日釋出了解密工具eCh0raix Decoder 1.0.2版的資訊，該工具是他以暴力破解了解密金鑰，可協助恢復受害者的加密檔案。不過，這個版本只支援在7月17日以前感染eCh0raix的用戶，目前BloodDolly仍在打造可解密新版eCh0raix的工具。<a href="https://www.ithome.com.tw/news/132276"><span style="color:#808080;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃管理系統存取設定安全　＃Jira</strong></span></h3> <h2><strong>眾多Jira伺服器的錯誤配置，讓員工及專案資訊全曝光</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%891%20E274Gc4rrfb0Idr-Dr27ZA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Avinash%20Jain.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Avinash Jain</span></p> <p>安全工程師Avinash Jain上周警告，知名的缺陷追蹤工具Jira的錯誤配置情況，讓許多知名組織的機密資訊因而曝光，包括NASA、Google、Yahoo及各種政府網站。Jira是由澳洲Atlassian所打造的缺陷管理、任務追蹤與專案管理軟體，去年JetBrains的調查顯示，它是最受開發人員青睞的任務追蹤工具。根據Jain的描述，此錯誤配置是介面語意上的誤解，因為在Jira上建立過濾器與儀表板時，它的能見度預設值分別是All users及Everyone，管理員可能將它們誤以為是與組織內的所有人分享，但它卻是個公開分享的選項。關於這樣的設定誤解問題，今年初Jain曾揭露他存取了NASA的機密資料，近日Jain更是指出他也從Google、Yahoo、HipChat、Zendesk、Western union、聯想，以及許多政府網站的Jira伺服器上，發現意外曝光的資料。對此現況，Jain也已向不少企業通報，並建議Atlassian應該提供更清楚的說明，避免誤導用戶並造成資訊的曝光。<a href="https://www.ithome.com.tw/news/132265"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃雲端資料庫配置錯誤</strong></span></h3> <h2><strong>本田汽車雲端資料庫未上鎖，洩露上億份全球員工電腦安全資料</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%892019-07-04-index-count-2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Justin%20Paine.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Justin Paine</span></p> <p>日本汽車大廠本田汽車（Honda Motor）的ElasticSearch資料庫，內含超過1億份文件的資料庫，被安全研究人員Justin Paine發現，暴露在網路上未設密碼。由於該資料庫幾乎包括所有Honda電腦相關管理資料，像是其中一個表單內容，包含員工電子郵件、部門名稱、Honda機器主機名稱、MAC位置、內網IP、作業系統版本，另一個表單則有員工姓名、部門、員工編號、帳號、行動電話及最近登入時間，而且，該公司使用的終端安全軟體，哪臺機器已安裝、哪臺機器有更新或未更新，也一目瞭然。在本田接獲研究人員通報後，當日已經修補改問題，並表示經過追查系統存取紀錄，未發現有任何遭第三方人士下載的跡象，目前也沒有資料外洩的證據。<a href="https://www.ithome.com.tw/news/132162"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃惡意程式</strong></span></h3> <h2><strong>Proofpoint揭露新的代理惡意程式SystemBC</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89systembcpicture1_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Proofpoint.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Proofpoint</span></p> <p>資安業者Proofpoint揭露了新的代理惡意程式SystemBC，它能在受害者的Windows系統上，建立SOCKS5代理伺服器，讓代理伺服器與命令暨控制伺服器（C&C）連線，再以HTTPS加密流量與C&C交流，藉此隱藏惡意程式的傳遞，躲避防火牆的偵測。而在Proofpoint最近發現的案例中，SystemBC通常還會搭配其它的惡意程式，包括勒索軟體Maze、金融木馬Danabot、間諜程式AZORult或Amadey Loader等，並且被納入RIG與Fallout等攻擊套件中。研究人員警告，SystemBC及主流惡意程式的結合，將為安全防禦帶來新的挑戰，特別是那些仰賴網路邊緣偵測，以攔截或減輕安全威脅的企業。<a href="https://ithome.com.tw/news/132243"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃殭屍惡意程式</strong></span></h3> <h2><strong>新Mirai病毒變種利用Tor網路避免偵查</strong></h2> <p>資安業者趨勢科技發現Mirai病毒新變種，會利用Tor網路來隱藏C&C伺服器，以防止遭查緝。該公司在7月中發現一隻病毒，它會掃瞄網路上TCP ports 9527 和34567的連網裝置，判斷其目標主要是網路攝影機、DVR等物聯網裝置，主要透過曝露的傳輸埠和預設密碼，來感染裝置並發動DDoS攻擊，特殊的是，駭客將控制的C&C伺服器架在Tor網路中，惡意程式內並具有30個寫死的IP位置，如果連線失敗就試另一台伺服器，研究人員認些手法是惡意程式作者為了防止C&C伺服器被追蹤IP並通報網域管理者關閉。趨勢科技認為，Mirai變種進化到這種手法，可能帶動其他IoT惡意程式家族的演進，對於這股 IoT惡意程式開發的新興趨勢，將是未來必須注意的新網路威脅趨勢。<a href="https://www.ithome.com.tw/news/132213"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體　＃行動安全</strong></span></h3> <h2><strong>新勒索軟體利用Android 手機簡訊傳給通訊錄友人</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Figure-7-768x1365_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90ESET.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Welinvesecurity by ESET</span></p> <p>安全廠商ESET研究人員Lukas Stefanko，發現名為Android/Filecoder.C新型勒索軟體，專找Android用戶下手，透過簡訊感染手機通訊錄中的聯絡人。他發現駭客在Reddit和Android 開發者論壇XDA Developer上，張貼色情或技術主題的內容，引誘使用者下載這款新型勒索軟體。一旦用戶下載到Android手機上，Filecoder.C就會加密手機上大部份的用戶檔案要求贖金，同時將惡意連結以簡訊方式，發送給受害者手機內的聯絡人，以便進一步散布。而且，這些簡訊訊息十分逼真，例如其中一則是附上某用戶相片加工的相片，在傳送訊息給友人時，會選擇和裝置設定相同的語言，同時還會在信件開頭加上聯絡人姓名，使信件更客製化。<a href="https://www.ithome.com.tw/news/132144"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃漏洞揭露　＃Google</strong></span></h3> <h2><strong>Project Zero揭露的漏洞，96%可在90天修補完成</strong></h2> <p>Google安全研究團隊Project Zero指出，從2014年以來，該團隊發現的漏洞中，高達95.8%都能在期限的90天內修補完成。雖然遭批評，但Google認為設定期限讓網路整體變得更安全。</p> <p>對於不論漏洞修補完成與否，期限一到就公布漏洞的作法，Project Zero解釋，報告中的概念驗證攻擊往往只是完整攻擊串的一部份，任何有意圖的攻擊者也要花一番工夫和資源，才能轉化為真正的攻擊行動。而這幾年的經驗也顯示，那些來不及補好的漏洞，通常也是在90天之後幾天就補上修補程式了。Google並認為，隨著業界更多安全研究人員在其報告中加入揭露期限，將可進一步健全漏洞通報的作法。<a href="https://www.ithome.com.tw/news/132254"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃電商安全　＃3D驗證</strong></span></h3> <h2><strong>警方偵破盜刷集團，暴露電商在信用卡交易的驗證不足問題</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89101397_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／刑事警察局</span></p> <p>最近國內刑事警察局偵察第一大隊破獲信用卡盜刷集團，是利用從國外網站購買的信用卡資訊，至國內電商及電信系統商進行盜刷，由於出貨後國內信用卡持卡人否認交易，因此信用卡公司拒付款項，或將已支付款項收回，導致業者自行吸收損失。警方表示，這個不法犯罪行為之所以能大肆盜刷信用卡，並購買高單價商品變賣獲取暴利，主要是利用部分網路商家的刷卡付款過程，無經過須3D驗證（簡訊驗證）機制，以及部分第三方支付APP綁定信用卡卻無須驗證的漏洞。因此，這也突顯一些國內電商在支付方面的身分驗證不足的問題。由於近來手機結合金融卡的支付型態越來越盛行，警方呼籲民眾注意信用卡資料的保護，並養成對帳習慣，警方也呼籲商家應該向銀行申請3D認證，才可保障信用卡交易安全。<a href="https://www.cib.gov.tw/News/Detail/40458"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃臺灣資安產業</strong></span></h3> <h2><strong>臺灣資安新創奧義智慧獲淡馬錫旗下基金565萬美元B輪投資</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89960-ao_yi_zhi_hui_san_ming_chuang_ban_ren_he_zhao_hong_zheng_wei_she_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90iThome.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／iThome</span></p> <p>臺灣資安新創奧義智慧營運迄今滿2年，在創投業者華威創投CID集團的A輪投資250萬美元，最近經歷新加坡淡馬錫旗下的Pavilion基金詳細的Due Diligence（D.D.）盡職調查後，獲得565萬美金的B輪創投資金。</p> <p>奧義智慧共同創辦人兼執行長邱銘彰表示，該公司兩輪創投資金約為新臺幣2.5億元，透過這樣的資金挹注，也協助公司可以快速發展，有助於奧義智慧成功進軍東南亞市場，並且已經在日本正式成立子公司服務客戶。<a href="https://www.ithome.com.tw/news/132237"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h4><span style="color: rgb(0, 153, 255);"><strong>更多資安動態</strong></span><br /><a href="https://www.ithome.com.tw/news/132245">上路僅三個月，日本7-Eleven 9月底喊停7Pay</a><br /><a href="https://www.ithome.com.tw/news/132163">被舉報銷售有漏洞軟體給美政府，思科同意賠償860萬美元，吹哨者也拿到160萬</a><br /><a href="https://www.ithome.com.tw/news/132262">廣告程式DealPly濫用微軟及McAfee服務來躲避偵測</a><br /><a href="https://www.ithome.com.tw/news/132255">資安研究人員成功繞過Visa感應式卡片支付的刷卡金額限制</a><br /><a href="https://www.ithome.com.tw/news/132271">微軟：俄國駭客使用IoT裝置入侵企業網路</a><br /><a href="https://www.ithome.com.tw/news/132283">IBM：破壞性惡意軟體攻擊數過去半年來暴增二倍</a><br /><a href="https://www.ithome.com.tw/news/132289">英特爾CPU漏洞再現推測執行漏洞</a></h4> </div></div></div>
2019/8/7 14:23作者羅正漢https://www.ithome.com.tw/news/132290
研究人員發現可劫持數百萬Android裝置的高通晶片漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現3項漏洞可讓駭客利用Wi-Fi網路劫持搭載高通晶片的Android裝置，數百萬Android手機可能受影響。</p> <p><a href="https://blade.tencent.com/en/advisories/qualpwn/" target="_blank">騰訊的Blade Team</a>在本周黑帽駭客技術年會（Black Hat）上揭露漏洞，分別是CVE-2019-10539、CVE-2019-10540和CVE-2019-10538。前兩者為高通晶片韌體上的緩衝溢位漏洞，讓駭客得以從外部傳送惡意封包開採後，入侵高通晶片中的Wi-Fi微控制器（controller）、執行任意程式碼，進而接管行動數據機（modem）。CVE-2019-10538則可允許從高通Wi-Fi晶片入侵Android核心。CVE-2019-10538屬於高度（High）風險，CVE-2019-10539及CVE-2019-10540則被列為重大（Critical）風險。</p> <p>為確保Android裝置的安全，騰訊研究人員並未公布漏洞細節，但表示完整的攻擊鏈讓攻擊者在某些情況下，入侵並接管Android裝置，包括手機、平板或其他裝置。研究人員並將CVE-2019-10540和CVE-2019-10538合併稱為QualPwn漏洞。</p> <p>測試Google Pixel2/Pixel3後，研究人員推論所有搭載Qualcomm Snapdragon 835及845的手機都可能受影響。所幸他們尚未發現有攻擊程式可執行完整的開採行為。</p> <p><a href="https://source.android.com/security/bulletin/2019-08-01" target="_blank">Google</a>及<a href="https://www.qualcomm.com/company/product-security/bulletins" target="_blank">高通</a>已經先行獲得通報，兩者也分別釋出修補程式，高通也在6月3日針對裝置廠商發佈安全公告，要求廠商下載並發佈修補程式。</p> </div></div></div>
2019/8/7 14:55作者林妍溱https://www.ithome.com.tw/news/132291
微軟MSDN雜誌將在今年底停刊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周<a href="https://msdn.microsoft.com/magazine/mt833502?f=255&MSPPError=-2147217396" target="_blank">宣布</a>，從2000年開始發行的MSDN月刊（MSDN Magazine）將在今年11月發行最後一期，讓微軟的紙本刊物成為絕響。</p> <p>微軟最早發行的刊物為1986年出刊的Microsoft Systems Journal，繼之是在1992年發行了Microsoft Developer Network，微軟在2000年將這兩本刊物合併成MSDN Magazine，但僅在美國市場發行紙本刊物，另也提供線上訂閱，還有<a href="https://msdn.microsoft.com/zh-tw/magazine/mt814985.aspx" target="_blank">中文版</a>。</p> <p>若從Microsoft Systems Journal算起，MSDN Magazine的歷史已經超過30年。</p> <p>微軟表示，MSDN Magazine於2000年的創刊號都只圍繞在Windows作業系統，隨著這些年微軟的產品及服務不斷增長，MSDN Magazine也經歷了自己的發展，現在他們意識到該是停止MSDN Magazine的時候了，未來將由各種網路管道來接掌期刊的任務，例如<a href="http://docs.microsoft.com" target="_blank">Microsoft Docs</a>。</p> <p>Microsoft Docs介紹了各種微軟的產品與服務，且同時適用於一般用戶、開發人員及IT專業人員，並完全免費，也支援包括正體中文在內的多種語言。</p> <p>在MSDN Magazine停刊之後，原有的訂戶則會按比例收到退款。</p> </div></div></div>
2019/8/7 15:15作者陳曉莉https://www.ithome.com.tw/news/132292
蘋果開始邀請特定用戶測試Apple Card
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果執行長庫克（Tim Cook）上周<a href="https://www.ithome.com.tw/news/132150" target="_blank">證實</a>蘋果和高盛公司合推的Apple Card 8月在美推出。蘋果已於近日邀請特定用戶申請作為第一批公開測試。</p> <p>Techcrunch記者也在前幾天<a href="https://techcrunch.com/2019/08/06/apple-rolls-out-apple-card-preview-to-select-users/" target="_blank">接到試用邀請</a>，並測試了Apple Cash和消費記錄等功能。</p> <p>申請Apple Card需要iPhone安裝iOS 12.4，用戶透過Wallet app即可註冊申請這張信用卡。記者指出，開通過程十分容易，系統會從AppleID帳號自動帶進許多基本資料進申請表格，減少手動輸入的項目，不到1分鐘即申請完成且開始消費。</p> <p>Wallet提供的消費記錄功能以不同顏色代表用戶消費種類，還有即時熱圖顯示最新消費狀況，例如消費者經常到餐廳用餐，熱力圖呈現橘色，但如果娛樂消費增加，則熱力圖會逐漸呈現粉紅色和橘色共存。</p> <p>記者認為，Apple Card app的支出統計、交易紀錄及帳戶餘額顯示資料，完敗現今所有其他信用卡，例如大部分信用卡帳單列出的店家名稱，讓你永遠想不起來你是在哪家消費。更別提Apple Card免年費、優惠幅度（如綁Apple Pay優惠2%）及每日消費現金退款，再再提高信用卡競爭的門檻。當然，最重要的是，Apple Card一次性動態安全碼及結合iPhone Face ID或Touch ID的生物辨識驗證帶來的安全性，比傳統信用卡3位數安全驗證值（稱為CVV碼）更為安全。</p> <p>Apple Card預計本月就可開放所有美國境內（iOS 12.4以上）iPhone用戶申請，包括實體和虛擬版本。</p> </div></div></div>
2019/8/7 12:20作者林妍溱https://www.ithome.com.tw/news/132287
臉書控告二家涉及點擊詐欺的app開發商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書周二<a href="https://newsroom.fb.com/news/2019/08/enforcing-against-click-injection-fraud/" target="_blank">控告</a>二家app開發商在其手機程式中注入點擊詐欺程式碼，感染手機用戶以騙取廣告收入。</p> <p>這兩家開發商分別是位於香港的LionMobi及新加坡的JediMobi。他們將注入惡意程式碼的Android app上傳到Google Play Store後，感染下載用戶的手機，偽造用戶點擊臉書Audience Network廣告網路上的廣告流量，藉此賺取不實的廣告費用。LionMobi另外還被控在臉書上兜售其惡意app，違反臉書廣告政策。</p> <p>這是臉書首次對使用點擊詐欺技倆的app開發商採取法律行動。</p> <p>臉書是在實施app檢測作業時，偵測到LionMobi及JediMobi兩款app的詐欺行為。兩者都已被禁止加入Audience Network，帳號也被關閉。臉書也在今年3月對遭詐欺的廣告商做出賠償。</p> <p>Google Play上此類app並不少見。2017年一隻名為<a href="https://www.ithome.com.tw/news/114517" target="_blank">Judy的惡意廣告軟體</a>入侵南韓廠商開發的遊戲，被感染的Android裝置高達3,650萬。Google也在去年從Play Store移除30多款涉及廣告詐欺的手機app，其中包括中國廠商<a href="https://www.ithome.com.tw/news/127334" target="_blank">獵豹移動開發的8款app</a>。</p> </div></div></div>
2019/8/7 12:30作者林妍溱https://www.ithome.com.tw/news/132288
微軟發表Azure Security Lab，讓研究人員在容器環境中測試Azure架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://msrc-blog.microsoft.com/2019/08/05/azure-security-lab-a-new-space-for-azure-research-and-collaboration/" target="_blank">宣布</a>正式成立Azure Security Lab，這是一個模擬Azure且獨立的環境，允許安全研究人員盡情地在其中測試漏洞或發動攻擊。</p> <p>微軟表示，Azure Security Lab是一個專供安全研究人員使用的雲端代管服務，可用來測試各種針對IaaS（基礎設施即服務）使用情境的攻擊，它具備一個安全的測試空間，也允許參與的研究人員直接與Azure的安全專家交流。</p> <p>它的特別之處在於，不僅可用來研究Azure的安全漏洞，還能試圖開採這些漏洞，微軟將會舉辦基於場景的攻擊挑戰賽，最高獎金達30萬美元。</p> <p>此外，微軟也在本周正式採納「安全港」（Safe Harbor）原則，將符合微軟抓漏獎勵專案準則的安全研究與漏洞揭露視為授權行為，不會向安全研究人員追究法律責任。</p> <p>包括微軟及Google等龍頭科技業者就算內部擁有強大的安全團隊，也都透過抓漏獎勵以鼓勵第三方研究人員協尋漏洞，過去一年來，微軟已頒發超過440萬美元的獎金，本周微軟也將Azure抓漏獎勵的最高獎金提高了一倍，找到合格Azure漏洞的獎金將從500美元到4萬美元不等。</p> </div></div></div>
2019/8/7 11:45作者陳曉莉https://www.ithome.com.tw/news/132285
IBM軟體解決方案為紅帽OpenShift最佳化，可在任何雲端平臺執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2019-08-01-IBM-Transforms-Its-Software-to-Run-on-Any-Cloud-with-Red-Hat">IBM在7月正式併購Linux作業系統發行商紅帽（Red Hat），現在發布了產品整合</a>，除了OpenShift可在IBM公共雲上執行之外，現在IBM還推出預整合解決方案Cloud Paks，為企業提供整合通用服務集的原生雲端應用。這次發布還包括了在IBM混合多雲上，超過100種可在OpenShift上執行的IBM軟體解決方案。</p> <p>IBM宣布其軟體解決方案將轉為原生雲端，並為OpenShift進行了最佳化，使得企業建立的應用程式，能在AWS、Azure、GCP、阿里巴巴和IBM的公有雲以及私有雲上運作。新的原生雲端功能，將以稱作IBM Cloud Pak的預整合解決方案形式提供，IBM會為經認證的容器化軟體，提供通用運作模型和服務，像是身份管理、安全性、監控與日誌紀錄服務等，使用者可以在統一的儀表板上，監控跨雲服務的運作狀況。</p> <p>目前首波推出5個IBM Cloud Pak已經上市，包括自動化資料分析應用Cloud Pak for Data，之前產品名稱為IBM Cloud Private for Data，企業能夠統一收集、組織與分析資料工作，並跨雲端平臺提供廣泛的資料微服務。IBM Cloud Pak for Applications則讓企業可快速地部署Kubernetes應用程式，對於既存的應用程式，企業可以使用整合工具讓應用程式在Kubernetes上執行，或是快速地開發原生雲端應用程式。</p> <p>Cloud Pak for Integration則提供企業跨雲端整合應用程式、資料、雲端服務和API，Cloud Pak for Automation則讓企業能夠在任何的雲端平臺上，建置並執行自動應用程式和服務，最後一個則為Cloud Pak for Multicloud Management，供企業管理跨雲工作負載，提供多雲工作負載的可見度、治理與自動化功能，降低大規模雲端應用營運成本。</p> <p>另外，IBM也宣布在IBM Cloud上支援OpenShift，企業可以在IBM公有雲上運作OpenShift全託管服務，IBM提到，他們簡化了部署的程序，用戶只要點擊一個按鈕，系統就能自動開始部署工作，為企業提供混合雲端基礎設施。而現在OpenShift也能夠在IBM Z與LinuxONE企業平臺上執行，於用戶選擇的基礎架構上執行和管理原生雲端工作負載。</p> <p>而相關的諮詢與技術服務，則繼續由紅帽認證的顧問團隊以及雲端應用程式服務團隊支援，IBM提到，這次的發布，也包含在IBM混合多雲平臺上，總共提供超過100個可在OpenShift上執行的軟體解決方案。</p> </div></div></div>
2019/8/7 11:55作者李建興https://www.ithome.com.tw/news/132281
追求環保及永續環境，2022年所有Google製造產品將使用再生材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周<a href="https://www.blog.google/outreach-initiatives/sustainability/hardware-sustainability-commitments/" target="_blank">宣布</a>，為了追求環保及全球永續，在2020年以前所有與客戶之間的運輸都將達到碳中和（Carbon Neutrality），且從2022年起，由Google所製造的所有產品都將含有再生材料，且將持續擴大再生材料的使用。</p> <p>所謂的碳中和又稱為淨零碳，指的是藉由碳移除來平衡碳排放或者是完全消除碳排放，來實現零二氧化碳的排放。全球最大網路零售業者Amazon也曾在今年2月承諾，在2030年以前要讓Amazon一半的出貨量都達到淨零碳。</p> <p>Amazon並未說明要如何讓出貨達到淨零碳，但Google向FastCompany透露，2018年該公司光是把產品出貨從空運改為船運或陸運，就比2017年減少40%的碳排放。</p> <p>另一方面，從2022年之後，Google的所有硬體產品都將含有再生材料。根據<a href="https://www.fastcompany.com/90383768/google-is-making-a-new-commitment-to-sustainable-design" target="_blank">FastCompany的報導</a>，Google的硬體團隊已在Chromecast上使用再生塑膠，同時也在測試這些再生材料的耐用性，包括對撞擊、熱、陽光及化學物品的承受力，或者是它們能否符合特定的顏色要求。</p> <p>Google希望能夠盡可能地在硬體產品中使用再生材料。在這部份蘋果可說是先驅，迄今蘋果不但已經在產品中使用再生塑膠、再生鋁或再生錫，也設計了可自動拆卸iPhone以回收可用材料的機器人，並將可用材料送回供應鏈再利用。</p> </div></div></div>
2019/8/7 12:00作者陳曉莉https://www.ithome.com.tw/news/132286
IBM：破壞性惡意軟體攻擊數過去半年來暴增二倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securityintelligence.com/posts/from-state-sponsored-attackers-to-common-cybercriminals-destructive-attacks-on-the-rise/">IBM的事件回應與智慧服務團隊X-Force發布資安報告</a>，顯示過去由國家主導的破壞性惡意攻擊，最近越來越受網路犯罪攻擊者歡迎，過去6個月以來，破壞性攻擊數量成長了200％。</p> <p>研究團隊指出，和過去來自國家資助的破壞性惡意攻擊不同，現在不少是由網路犯罪者發動攻擊，因此勒索惡意軟體都帶有資料抹除元件，增加了受害者支付贖金的壓力。而從數字上來看，2018年下半與2019年上半相比，各種層面的數字都成長不少，每次破壞性攻擊平均使跨國企業損失2.39億美元，這個數字是一次資料外洩平均損失392萬美元的61倍。</p> <p>單次的破壞性攻擊平均毀掉企業12,000臺筆電，受到攻擊的企業，平均需要耗費512個工作小時復原，往往也需要多個服務來處理回應和修復工作，因此整體耗費的工作時數也更多。</p> <p>根據觀察，發生在2010年到2018年的破壞性攻擊，主要來自國家資助的破壞惡意軟體，目的是要影響地緣政治，惡名昭彰的惡意軟體包括Stuxnet、Shamoon和Dark Seoul等。但在2018年以來，攻擊者身份已經不限於政治因素的國家資助者，而是網路犯罪份子，著名的惡意軟體包括LockerGoga和MegaCortex，這些是因為金錢動機而產生的攻擊意圖，而且為了對受害者施加支付贖金的壓力，因此網路犯罪者會將資料抹除元件加入惡意攻擊軟體中，威脅受害者不支付贖金就抹除資料。</p> <p>除了攻擊行為以及攻擊者身份改變之外，攻擊事件數量也發生變化，X-Force報告提到，與2018年下半年相比，他們在2019年上半年協助的破壞性攻擊事件數量增加200％，其中有一半發生在製造業，其他事件則有石化業與教育部門等。大多數的事件發生在歐洲、美國和中東。</p> <p>網路犯罪份子最常使用的攻擊手段仍是網路釣魚，其次則是猜測破解密碼，或是進行水坑攻擊，鎖定特定組織中成員經常使用的網站，在網站上安裝惡意軟體，以感染組織內部電腦。X-Force團隊提到，網路犯罪份子通常行事謹慎，在發動攻擊之前，這些破壞性惡意軟體會在裝置或是網路中潛伏數周到數月，小心地存取特權帳戶或是關鍵裝置，並偽裝成合法服務。</p> <p>X-Force也提出了幾個減少破壞性惡意軟體威脅的方法，像是企業平常就應該進行攻防演練，從戰術與戰略層面防範破壞性攻擊，也能夠使用多因素身份驗證來保護密碼，X-Force認為這個機制能大幅降低密碼被盜的風險，另外，企業也需要落實備份工作，並將備份與主要網路分離，只允許唯讀存取。</p> </div></div></div>
2019/8/7 12:15作者李建興https://www.ithome.com.tw/news/132283
2019年7月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="field field-name-body field-type-text-with-summary field-label-hidden"> <div class="field-items"> <div class="field-item even"> <p>論及國內近期最嚴重的資料外洩事件，莫過於自6月爆發的銓敘部個資外洩事件，這起事件在7月仍持續延燒，外洩的內容於即時通訊軟體LINE轉傳。隨後，駭客又在同一個論壇上，宣稱握有20萬名登錄1111人力銀行求職者的個資，為了取信買家，這名駭客還將個資裡的中文人名標註羅馬拼音，以便外國人使用。</p> <p>上述兩起事件，前者轉傳的純文字檔案，採用中國簡體中文編碼，不具名資安專家指出，這個檔案應在多個中國論壇經手整理之後，才被轉傳到LINE群組裡，因此他認為，中國政府早就取得這份檔案。不過，後續人力銀行外洩個資的檔案，則是直接使用正體中文編碼，若這份資料仍是出自中國駭客之手，那麼企圖隱瞞是來自該國的意圖便相當明顯。</p> <p>我們時時刻刻在面對中國的文攻無嚇，雖然對於很多人而言，華為設備物美價廉，但物聯網資安業者發現，該廠牌設備的韌體普遍存在多個資安漏洞，因此我們也不得不正視這樣的現象，甚至是其他的中國品牌設備，也可能存在類似的資安隱憂，目前也有許多公共設施和金融單位架設的裝置，特別是監視器，再度遭到檢視。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/131609">二次傷害！銓敘部外洩個資出現在LINE即時通訊群組</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960-quan_xu_bu_ge_zi_-xiu__0.jpg" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/131930">求職網站1111人力銀行20萬筆個資外洩</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/1111-1_0.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/131800">勒索軟體鎖定威聯通NAS發動攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0711-ech0raix_ransomware.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/131908">BMC韌體重大漏洞，波及8家伺服器</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0718-eclypsium.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/131516">華為設備韌體55%含有潛在後門</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0628-backdoor-huawei.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/131715">使用者密碼重設流程驗證極為隨便！日本7-Eleven行動支付甫推出就驚傳大量盜刷事件</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_960x420_7pay_tu_pian_lai_yuan_xie_qu_zi_hiromitsu_takagis_twitter.jpg" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/131916">俄羅斯變臉程式FaceApp引發隱私疑慮</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0718-faceapp.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/131821">拒絕向勒索軟體低頭！美國各地市長決議不再支付贖金</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0712-us_conference_of_mayors.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/131783">GE Health連網麻醉機爆漏洞，攻擊者能遠端變更藥劑濃度</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0711-ge_medical-2.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/131565">美敦力召回存在被駭風險的胰島素泵浦</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/49-2%20MiniMed%20508.jpg" style="width: 211px;" /></p> </div> </div> </div> </div></div></div>
2019/8/6 19:00作者周峻佑https://www.ithome.com.tw/news/132282
臉書：每季處理200萬件網路霸凌，AI只能偵測2成，8仍得靠民眾通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在臺灣2019兒少網路安全年會中公佈了網路霸凌案件處理成果，近1年來，全球每季處理案件量約為2百萬到3百萬件，若再進一步分析，可以發現受通報而處理的案件約占8成，由AI自動偵測的案件量約占2成，臉書亞太區安全政策經理Snow White說明，涉及暴力、性剝削等圖片，99%可由AI主動發現而下架，但文字內容則因語言差異，如隱晦意涵而難自動偵測，大多需要靠民眾或iWIN等民間組織來舉報。</p> <p>Snow White表示，臉書反霸凌言論機制上，無論對方的攻擊行為是透過照片、影片或文字，只要涉及霸凌、暴力、或仇恨言論等都可檢舉，臉書將透過全球3萬名專業人士審核內容，再根據各地區文化與法律的不同，因地制宜來決定如何處理不合時宜的內容。</p> <p>此外，臉書也依據用戶是公眾人物、個人、或13-18歲的青少年，提供不同層級的保護措施，比如針對青少年，臉書與耶魯大學情緒智能中心共同合作創立「霸凌防制中心」，提供有關霸凌及其他衝突的相關支援，協助青少年、家長與教育工作者以正確的心態來面對並處理相關的問題。被檢舉人也有上訴機制，提供對於臉書處置有疑慮者進一步申訴。</p> <p>另外，iWIN網路安全防護機構也揭露從去年開始研議的網路霸凌處理標準，iWIN要扮演各網路平臺業者的橋樑，針對「大量、明顯、嚴重」的言語霸凌內容，溝通平臺業者「緊急」刪除或隱藏。</p> <p>依據兒少法第46條，早在6年前，國家通訊傳播委員會、衛生福利部、教育部、文化部、經濟部以及內政部共同委辦民間成立了iWIN機構來推動網路內容安全，iWIN更從去年開始建立網路霸凌的處理標準，邀請產官學26名代表召開多場會議，一來確認iWIN處理網路霸凌事件的角色，以及不同案件嚴重程度相對應的措施。</p> <p>iWIN執行祕書劉昱均表示，由於網路霸凌事件的處理無專法，無法轉案或通報主管機關，且多數網路霸凌屬於告訴乃論，iWIN也難以代表民眾進行司法訴訟；而面對受害者的心理傷害時，其它非營利組織也有更專業且全面的社工資源來輔導與陪伴。</p> <p>劉昱均進一步解釋iWIN的處理判準，「受害者會遭受到相關的人身安全，或他的精神狀況已經不堪一擊，這個情況下，iWIN會與業者商量，下架相關文章。」不過，其它涉及私人糾紛如侮辱、誹謗或騷擾等內容，則需由當事人透過司法途徑，為自己主張權益。</p> <p>舉例來說，iWIN曾處理過一個個案。一位高中老師受到瘋狂家長的追求，但對方追求不成反而匿名開設粉絲專業，將老師的照片醜化，並散布老師有婚外情等不實謠言，時間長達兩年之久。iWIN剛開始向警局報案求助無果，後來與臉書溝通後，臉書以對方使用假帳號，也符合臉書的反霸凌守則規範等緣由，僅花一天時間就將粉絲專業下架，讓該名受害者免受霸凌的威脅。</p> <p>從2018年的統計數據來看，民眾認為霸凌而通報的案件有180件，真正符合iWIN定義的有21件，顯示出iWIN的網路霸凌定義嚴謹，與民眾認為霸凌的標準有落差。而這21件由申訴小組聯繫平臺業者協助緊急處理的案件，業者協助處理下架的成功率達84.21%，「其實大多平臺業者還是願意自律來協助改善網路霸凌情形。」</p> <h3><span style="color:#FF8C00;">臉書揭露即將在IG上線的網路霸凌防治新功能</span></h3> <p>近期，Instagram將要推出霸凌防治機制的新功能，當用戶留言的內容涉及霸凌或歧視性言論，AI將主動偵測並攔截留言，顯示是否確認要將訊息送出的提示，讓用戶在留言送出之前有機會再次思考；另一個功能，是讓用戶將針對自己的霸凌留言，設為限定瀏覽，如此一來，只有留言者能看見自己留下的霸凌言論，其他人均看不見，這是為了避免用戶使用網路檢舉功能後，反而在現實生活中被報復的一種手段。</p> <p>目前，這兩項功能都還在測試中，待英文版先上線後，也才會逐漸推及到其它常用的15種語言。對於網路霸凌的防治，Snow White表示：「臉書會結合產官學界人士，盡力保護網路安全、防治霸凌。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Comment-Warning_EN_2-1.jpg" style="width: 600px;" /></p> <blockquote><p>當用戶留言的內容涉及霸凌或歧視性言論，AI將主動偵測並攔截留言，顯示是否確認要將訊息送出的提示。(圖/取自IG官網)</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Restrict_En_3-1.jpg" style="width: 600px;" /></p> <blockquote><p>用戶能將針對自己的霸凌留言，設為限定瀏覽，只有留言者能看見自己留下的霸凌言論，其他人均看不見。(圖/取自IG官網)</p> </blockquote> </div></div></div>
2019/8/7 07:13作者翁芊儒https://www.ithome.com.tw/news/132284
基於GPU運算平臺RAPIDS的查詢引擎BlazingSQL現對外開源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU加速SQL引擎BlazingSQL建立在Nvidia的GPU資料科學平臺RAPIDS之上，RAPIDS開源平臺提供了一套基於GPU的CUDA加速函式庫，可用於機器學習以及資料視覺化。<a href="https://blog.blazingdb.com/blazingsql-is-now-open-source-b859d342ec20">現在BlazingSQL團隊已經與RAPIDS團隊整合，並將程式碼於GitHub上開源</a>。</p> <p>RAPIDS奠基於跨語言開發平臺Apache Arrow，以及用來載入、聚合和過濾資料的GPU資料影格（GPU DataFrame，GDF）函式庫cuDF。GPU資料影格是一種GPU記憶體資料格式，可為GPU應用程式提供互通性。BlazingSQL提供一套存取cuDF的SQL介面，可將企業資料湖泊的查詢資料，編碼成GPU資料影格，方便GPU記憶體使用。</p> <p>BlazingSQL讓開發者以SQL語法，就能利用GPU查詢資料，而不需要操作複雜的cuDF函式呼叫。另外，BlazingSQL也能用來連結雲端或是網路檔案系統，直接對原始檔案進行查詢。BlazingSQL中的SQL最佳化工具，可以使RAPIDS堆疊運作更加快速。</p> <p>BlazingSQL還整合Python平行運算函式庫Dask，可以為資料科學家提供快速的分析運算。官方提到，過去需要數千臺伺服器進行的大規模資料科學研究，現在只需要其中一小部分的基礎設施就能夠完成，過去需要耗時數小時甚至是數天的大型資料集工作負載或是查詢，由於BlazingSQL利用GPU，數秒鐘就能完成，而這賦予資料科學家快速迭代模型的能力。</p> <p>除此之外，BlazingSQL讓開發者在開發測試環境與正式產品環境，可以使用相同的程式碼，官方表示，資料科學家通常需要先小規模的測試工作負載雛形，待驗證完成之後，會為分散式系統重新建置程式，而BlazingSQL可以使用同一行程式碼，在不同發布規模中運作。</p> <p>有鑒於BlazingSQL與RAPIDS發展息息相關，因此為了未來的發展，雙方整合了開發團隊，官方表示，他們認為RAPIDS將成就下一代分析生態系，而SQL又是構成當前主要分析生態系的重要語法，BlazingSQL為RAPIDS下的SQL標準，因此與RAPIDS團隊整合，以利為cuDF做出更多貢獻。BlazingSQL建構在RAPIDS的cuDF以及GPU檔案I/O函式庫上，因此當這些項目受到更新時，也同時改善了BlazingSQL的效能。</p> </div></div></div>
2019/8/6 16:20作者李建興https://www.ithome.com.tw/news/132277
中美貿易戰讓美國五大科技巨頭兩天內，市值蒸發逾2千億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國與美國之間的貿易戰在上周又升溫了，美國媒體認為這也造成美國投資人的擔憂，使得微軟、蘋果、Amazon、Alphabet及臉書等美國五大科技巨頭在上周五（8/2）及本周一（8/5）兩天的市值，一共蒸發了2,280億美元。</p> <p>美國總統川普在8月1日，因不滿中國主席習近平對中國向美國購買農產品的承諾跳票，除了已經對中國進口的2,500億美元商品徵收25%的關稅之外，宣布從今年9月1日起，將對其它價值3,000億美元的輸美商品，徵收10%的關稅。隔天微軟、蘋果、Amazon、Alphabet及臉書的股價即應聲下滑，市值跌落了660億美元。</p> <p>繼之本周一中國人民幣對美元的匯率貶破7元人民幣，美國財政部宣布將中國列為匯率操縱國，中國也宣布暫停購買美國農產品。</p> <p>於是，在台灣時間周二凌晨收盤的美國股市持續下滑，除了蘋果的股價下滑了5.23%之外，微軟、Amazon、Alphabet及臉書的股價也通通下滑超過3個百分點，總計又蒸發了1,620億美元。</p> <p>其實在這五大科技巨頭中，臉書及Amazont與中國市場的關係並不大，影響最大的應該是重度仰賴中國硬體供應鏈的蘋果。</p> <p>蘋果曾在今年6月中旬<a href="https://twitter.com/SteveKopack/status/1141712995434868737" target="_blank">去信給美國貿易代表Robert Lighthizer</a>，指出在向中國徵收的25%關稅產品中，即涵蓋了蘋果的iPhone、iPad、Mac、AirPods、Apple TV，以及電池、零組件及配件等，希望美國政府不要徵收相關產品的關稅，否則將會危及蘋果營收及其全球競爭力。</p> <p>此外，蘋果也希望中國政府能減免自美國進口的Mac Pro零件關稅，但也<a href="https://twitter.com/realDonaldTrump/status/1154774656861257732?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed&ref_url=https%3A%2F%2Fwww.cnbc.com%2F2019%2F08%2F05%2Fbig-tech-plunges-in-market-rout-led-by-slump-in-apple-microsoft.html" target="_blank">直接遭川普拒絕</a>。</p> <p>在中美之間箭在弦上的緊張局勢下，分析師預期將衝擊美國本土的經濟狀況，周一美國股市亦反應了這股趨勢，除了代表科技領域的那斯達克綜合指數下滑了3.47%之外，S&P 500也下滑了2.98%，道瓊工業平均指數下滑2.90%。</p> </div></div></div>
2019/8/6 15:10作者陳曉莉https://www.ithome.com.tw/news/132275
eCh0raix解密工具來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前資安業者相繼警告有一<a href="https://www.ithome.com.tw/news/131800" target="_blank">勒索軟體eCh0raix</a>鎖定威聯通科技（QNAP）所生產的網路附加儲存（NAS）裝置展開攻擊，不過，代號為BloodDolly的勒索軟體專家，已透過<a href="https://www.bleepingcomputer.com/forums/t/617854/ech0raix-ransomware-qnapcrypt-encrypt-support-topic/page-13#entry4840762" target="_blank">BleepingComputer的論壇</a>釋出了解密工具。</p> <p>駭客是透過暴力破解及已知漏洞來入侵QNAP的NAS裝置，並將裝置上的檔案加密，換上.encrypt副檔案，並要求受害者以比特幣支付贖金。</p> <p>BloodDolly則在上周釋出了eCh0raix Decoder 1.0.2版，以暴力破解了解密金鑰，可用來恢復受害者的加密檔案。不過，此一版本只支援在7月17日以前感染eCh0raix的用戶，目前BloodDolly仍在打造可解密新版eCh0raix的工具。</p> <p>迄今BloodDolly已協助打造許多勒索軟體的解密工具，包括TeslaCrypt與Odcodc等。</p> </div></div></div>
2019/8/6 15:30作者陳曉莉https://www.ithome.com.tw/news/132276
客製化T恤網站CafePress外洩2,300萬名用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://haveibeenpwned.com/PwnedWebsites#CafePress"" target="_blank">Have I Been Pwned在本周揭露</a>，以客製化T恤及各種商品聞名的CafePress在今年2月遭到駭客入侵，並有超過2,300萬名用戶的資料外洩。</p> <p>Have I Been Pwned指出，這批資料涵蓋2,300萬名用戶的電子郵件位址，有些還包含姓名、實際地址、電話號碼以及雜湊密碼。</p> <p>1999年成立的CafePress是美國的網路零售商，專門生產各種客製化商品，也是美國的股票上市公司，不過，迄今CafePress並未對外發表任何公開聲明，也未回應媒體的詢問。</p> <p>根據<a href="https://www.engadget.com/2019/08/05/cafepress-data-breach/" target="_blank">外電報導</a>，使用者並沒有收到資料外洩的警告或通知，但CafePress曾以變更密碼政策為由，要求所有用戶變更密碼，也許是CafePress已知道資料外洩事件，採取了因應措施，只是未曾確實告知用戶。</p> <p>懷疑自己帳號已流落網路的使用者，則可透過Have I Been Pwned查詢。</p> </div></div></div>
2019/8/6 16:00作者陳曉莉https://www.ithome.com.tw/news/132278
迎戰企業資料中心多雲與爆量AI運算力的需求挑戰，傳統伺服器CPU大廠開始進入超多核心處理器競賽時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，企業x86伺服器處理器技術進展有了很大躍進，不論是先進製程技術的革新，或是在處理效能方面都有大幅度的提升，尤其，為了因應全球資料中心為主的高效能運算、雲端與AI運算任務所需，相較於傳統CPU，新一代CPU對於處理效能有著更高的運算力要求，因此，催生出了這一類具備超多核心、兼具更高效能的新一代CPU，更加遽企業伺服器市場的競爭態勢，開始進入超多核心處理器競爭的時代。</p> <p>有別傳統通用伺服器，現在越來越多企業資料中心配備的伺服器，都要求須具備能夠應付更高複雜處理的運算工作的能力，甚至更多是得具備AI執行處理能力，而要提高運算力最直接的一種方式，就是增加處理器的核心數，來打造出超多核心、兼具更高效能的CPU，用以支撐企業資料中心更高運算架構需求。</p> <p>因此，這些新一代伺服器內建的處理器核心，少說都是由數十個以上的超多核心組成。進而讓傳統單臺單路伺服器，也能具備有以往需兩臺或多臺單路伺服器組成的運算叢集，或更高階的多路伺服器才能具有的更高運算效能，可以用來執行各種複雜的運算工作，也讓伺服器CPU性能競爭更加白熱化，從原本多核心跨入超多核心。</p> <p>而目前在超多核心處理器競爭的處理器大廠主要有兩家，分別是英特爾與AMD。儘管，英特爾現今仍以高達9成5的市占，穩坐x86處理器龍頭寶座，但是兩年前重返伺服器市場的AMD正逐步迎頭趕上，關鍵就在於超多核心處理器的推出。</p> <p>AMD在兩年前率先推出第一款擁有高達32核心的x86伺服器CPU，刷新了當年由英特爾所保有的最多22核心的記錄，靠著在CPU晶片設計上整合單晶片設計，同時搭配全新的CCX核心模組打造其稱之為Zen架構的新一代CPU，來提高運算執行效能，使得AMD單顆CPU核心數，比競爭對手英特爾同級規格最高<span style="display: none;"> </span>Xeon E5<span style="display: none;"> </span> CPU產品還高出10個。甚至也比使用在2路的Xeon E5伺服器，能夠支援更多高速I/O，與提供更大容量的記憶體頻寬。</p> <p>AMD這款超多核心CPU產品EPYC，在2017年一推出便很快在市場上打響名號，不只雲端大廠，如Azure、AWS，就連傳統企業資料庫巨頭甲骨文也都採用，用它來提供雲端VM租用服務。接著，還有更多的伺服器與網通硬體商加入，如HPE、Dell、思科等，合計推出多達60款採用EPYC硬體的伺服器、網通等設備。</p> <p>甚至，也因為看上AMD超多核心的CPU優勢特性，後來更有美國能源部、橡樹嶺國家實驗室等大型國家研究機構，將它用於接下來幾年打造新一代超級電腦，一旦完成的話，預期其處理效能，將會是目前全球排名第一名美國超級電腦Summit處理效能（Summit運算效能可達148.6 petaflops））的10倍多，將高達1.5 exaflops 。</p> <p>不只是架構上的革新，隔年，AMD更展示出一款代號為Rome的第二代EPYC處理器的性能，不只核心數翻倍，達到了超多的64核心，更將伺服器CPU製程技術帶進更小晶片尺寸的7奈米級的先進製程領域，從原先的14奈米提升到更先進的7奈米製程，這也意謂著，製造技術難度更上一層樓，甚至為了能夠容納更多核心數，這代處理器架構也經過大改造，以更小型的晶片模組式設計，改在晶片兩側設計各4組合計8個7奈米的CPU小晶片模組（AMD稱之為chiplet），每個模組小晶片最多可以容納8個核心，再通過晶片中間高速互連網路設計的一個14奈米的I/O die互連，藉此來達到具備超多核心處理器的架構設計。</p> <p>採用新的Zen2超多核心架構，AMD表示，除了使得新款EPYC處理器的處理效能獲得大幅提升，連帶也將使得CPU每時脈周期（IPC）指令執行速度，能比前代提高多達15%，與獲得翻倍的浮點運算效能的提升。AMD執行長蘇姿丰在最近一場主持的財報電話會議上，也預告新款EPYC CPU，預計將於8月舊金山舉行的產品發表會上推出上市。</p> <p>靠著採用更先進製程與全新架構推出的超多核心CPU，至今已推出近兩年，不只替AMD中止連年虧損，<span class="st">從2017年逐漸轉虧為盈</span>，也幫助長年在伺服器市場競爭始終落後的AMD，在伺服器市場重新站穩腳步，從原先不到1％的全球市占，提升到了如今的近5%，回到與英特爾的競爭行列。AMD更誇下豪語，目標數年內要超越當年全盛時期的27%市占。這也逼得英特爾不得不調整策略，推出更多核心的高效能CPU產品來迎戰。</p> <p>除了先前以HPC應用為主、主打超多核心協同處理器的Xeon Phi產品線，英特爾近來也針對自家新一代Xeon <span class="st">Scalable</span>系列處理器，持續採用新設計或優化架構，替CPU加入更多核心數，從而提高處理器效能，<span style="display: none;"> </span>從原先2017年推出的第一代Xeon <span class="st">Scalable</span>系列處理器，當時CPU核心數最多只到28核心，到了今年上半推出同樣採用14奈米製程生產的第二代Xeon <span class="st">Scalable處理器時，核心數則有了翻倍成長，最多達到了56核心，直逼</span>AMD新款EPYC處理器的核心數，更具備比前一代更強大運算效能，甚至，明年英特爾採用10奈米的伺服器處理器也將問世。</p> <p>儘管，目前AMD伺服器CPU市占，仍遠低於英特爾，但是隨著企業伺服器市場的競爭，開始進入超多核心處理器競爭的時代，也吹響了AMD反攻的號角。因應大量AI運算任務與雲端爆炸性的發展需求，AMD也將持續推出擁有更多核心數的伺服器CPU，來提高市場占有率，縮小與英特爾之間的差距。</p> <p>但是隨著更多處理器核心的加入，也將挑戰現有的伺服器處理器架構，如何讓這些超多核心之間能夠穩定協同運作，同時帶來更高處理效能的表現，以滿足企業資料中心各種複雜應用的需求，將是未來兩大處理器大廠設計新一代CPU所要面對的一大挑戰。</p> </div></div></div>
2019/8/6 11:17作者余至浩https://www.ithome.com.tw/news/132263
傳華為的鴻蒙作業系統本周可能問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國媒體《環球時報》周一<a href="http://www.globaltimes.cn/content/1160250.shtml" target="_blank">報導</a>，華為預定在本周開發者大會上公開自行開發的作業系統鴻蒙（HongMengOS），而屆時也將一併公佈搭載該作業系統的手機。</p> <p>華為開發者大會預訂8月9日在廣東東莞市舉行。報導指出，首款搭載鴻蒙OS的手機將聯同旗艦手機Mate 30 Pro 在大會上亮相，同時招募應用開發商。但這款手機鎖定中低階市場，定價2,000人民幣（約9,000台幣），預定年底上市。</p> <p>關於鴻蒙的定位，訊息似乎頗為混亂。華為先是<a href="https://www.ithome.com.tw/news/130802" target="_blank">宣稱</a>鴻蒙橫跨電腦、平板、手機、電視、汽車和智慧型穿戴裝置的單一作業系統，並相容於所有Android App和Web應用。就這點來看，和Google開發中的<a href="https://www.ithome.com.tw/news/131547" target="_blank">Fuchsia</a>很類似。但上個月華為<a href="https://www.ithome.com.tw/news/131959" target="_blank">又說</a>，鴻蒙是為了IoT設備而開發的作業系統，並不是為了跑在手機上而設計。顯然美國長期以來的壓力及5月Google中止Android授權，加速華為開發自有作業系統的計畫。</p> <p><a href="https://www.reuters.com/article/us-china-huawei-tech-hongmeng/huawei-tests-smartphone-with-own-operating-system-possibly-for-sale-this-year-chinese-state-media-idUSKCN1UV042" target="_blank">路透社</a>及環球時報皆報導，搭載鴻蒙OS的華為Honor智慧電視預定本周就會開賣，是第一批上市的鴻蒙OS產品。</p> </div></div></div>
2019/8/6 14:50作者林妍溱https://www.ithome.com.tw/news/132274
AI語音助理人工側聽惹議，蘋果、Google、Amazon改讓用戶自己決定是否參加錄音蒐集計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於利用約聘人員或員工側聽分析AI語音助理的錄音引發隱私爭議，蘋果、Google和Amazon分別暫停人工分析，或讓用戶決定是否參加錄音蒐集的方案。</p> <p>媒體接連爆料Amazon Alexa、Google Assistant和蘋果Siri和使用者的對話，都在用戶未知情之下，交由約聘人員或員工轉錄、標註及分類，其中甚至有許多被誤啟動而錄下的隱私錄音檔。雖然第一時間三家廠商都說，是為了提升AI助理能力不得不做，而且已有隱私措施，不過在輿論壓力下，仍然做出了修正。</p> <p>上周被衛報<a href="https://www.ithome.com.tw/news/132094" target="_blank">爆料</a>的蘋果率先修正做法。Techcrunch<a href="https://techcrunch.com/2019/08/01/apple-suspends-siri-response-grading-in-response-to-privacy-concerns/" target="_blank">報導</a>蘋果於上周全面暫停所有人工分析作業。蘋果並表示將在未來新版的Siri中加入讓使用者決定是否加入的選項。</p> <p>7月中比利時公共電視VRT NWS<a href="https://www.ithome.com.tw/news/131806" target="_blank">報導</a>Google請外包商轉錄、標註Google Home、Home mini消費者和Google Assistant的對話錄音後，德國資料保護主管機關上周<a href="https://datenschutz-hamburg.de/assets/pdf/2019-08-01_press-release-Google_Assistant.pdf" target="_blank">宣佈</a>已經介入調查。Google<a href="https://www.theverge.com/2019/8/1/20750327/google-assistant-voice-recording-investigation-europe" target="_blank">表示</a>，已經自7月10起暫停在歐洲的人工錄音分析三個月，並正在研議如何告知消費者其資料運用方式。</p> <p>最早被彭博<a href="https://www.ithome.com.tw/news/129934" target="_blank">發現</a>的Amazon遲至上周才宣佈修正方式。Amazon原本已設立隱私入口網站，方便Alexa用戶了解自己被蒐集了哪些資料。The Verge<a href="https://www.theverge.com/2019/8/2/20752418/amazon-alexa-human-review-recordings-opt-out-eu" target="_blank">報導</a>，Amazon已更新入口網站的用語，更清楚告知用戶有權退出錄音蒐集方案。</p> </div></div></div>
2019/8/6 13:35作者林妍溱https://www.ithome.com.tw/news/132272
打擊網路犯罪需全球合作，臺執法單位加入No More Ransom計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2016年7月設立的No More Ransom平臺，最近剛滿3週年，至今加入合作的全球執法機關增至39國，臺灣今年也出現其中，這讓我們關注到此平臺的新進展。目前，No More Ransom已經累積超過100種解密工具，今年又新增19種，歐洲刑警組織（Europol）更是指出幫助了超過20萬名的勒索軟體受害者解密，且該平臺網站已經提供正體中文的介面語系。</p> <p>為了打擊網路犯罪，這項專案計畫的合作夥伴，不只是歐洲多國執法機關，還有韓國、哥倫比亞、香港、澳洲等，目前臺灣也有公家單位與執法單位加入此平臺。例如，臺灣電腦網路危機處理暨協調中心（TWCERT/CC），在去年5月成為計畫夥伴，協助平臺的正體中文網頁翻譯，而臺灣內政部警政署刑事警察局，也在今年4月加入。</p> <p>基本上，遭遇勒索軟體的受害者若要查詢是否已有解密工具，在前往該專案網站（<a href="http://www.nomoreransom.org/">www.nomoreransom.org</a>）時，可選擇正體中文的語系，接著在「解碼警長」的頁面上依指示操作，像是上傳受感染的檔案，或是輸入任何在勒索訊息中所看到的電子郵件、網站網址、洋蔥網路網址或比特幣網址。一旦平臺辨識出目前有解密工具，可解決用戶的問題，就會提供下載連結。</p> <p>若是用戶已經知道勒索軟體類型，也可透過「解鎖工具」的頁面，從109種可解密的勒索軟體項目找出相應解密工具，接下來，就能前往開發解密工具的組織業者所提供的網站去下載。</p> <p>國內刑事警察局在7月底也發布公告宣導，這也讓我們注意到刑事警察局的官網上，在犯罪預防項目下也提供「反勒贖病毒平臺」的選項，因此民眾也能由此直接連至該平臺的「解碼警長」的正體中文頁面。對此，我們向刑事警察局詢問，該局國際刑警科警務正李翔婷表示，隨著合作關係的建立，也將促進國內執法單位在打擊網路犯罪與勒索軟體，與國際執法機關等的技術及偵辦經驗分享。</p> <p>由於勒索軟體仍然持續危害企業與民眾，像是近期又有鎖定NAS的新勒索軟體攻擊，以及南非電廠遭遇勒索軟體的事件，還有美國地方政府多次遭受勒索軟體攻擊。臺灣也有不少企業與民眾深受其害，無論如何，面對勒索軟體加密用戶檔案並勒贖比特幣的行徑，用戶除了自保，國內執法單位也很難憑藉一己之力打擊網路犯罪，像是去年底刑事警察局長蔡蒼柏也曾投書國際外交性媒體，呼籲應讓臺灣加入國際刑警組織（INTERPOL），如今臺灣執法單位也正持續加強與國際間的合作。</p> <h3><strong>必須與全球執法機構，以及公、民營機構通力合作</strong></h3> <p>關於No More Ransom的計畫，最初由荷蘭國家警察高科技犯罪單位、歐洲刑警組織及旗下歐洲網路犯罪中心，以及資安業者Intel Security（現為McAfee）與卡巴斯基所共同創立，由於新的勒索病毒與變種持續發生，該計畫也期望集結全球警方、司法單位與民間的力量，發展至今，其實參與計畫的成員已經越來越多，包括超過15個提供解密工具的業者與組織，39個國家執法機關，以及89個公家與民間機關等，陸續號召了151名合作夥伴。</p> <p>基本上，這項計畫的主要目的，是幫助遭遇勒索軟體的受害者，在不用付贖金的狀況下，復原被加密的檔案。因此，偵破勒索軟體背後的組織，以及開發解密工具至關重要，不只是創立平臺的Intel Security與卡巴斯基，參與的資安業者也包括Avast、Bitdefender、Check Point、Emsisoft、ESET、F-Secure與趨勢科技等，同時還有荷蘭與羅馬尼亞警方，西班牙電信的網路安全單位ElevenPaths，以及Bleeping Computer這樣的民間單位。</p> <p>換言之，各方開發的勒索軟體解密工具，除了釋出在自家的網站上，這個平臺也成為另一管道，幫助全球民眾能有一個集中式的平臺，查詢自己遭遇的勒索軟體種類，以及是否有解密工具可恢復被加密的檔案。另外，網站上也有正體中文的防範建議以及問與答，可幫助一般國內民眾都能瞭解其危害與因應之道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）No More Ransom網站三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89No%20More%20Ransom%E7%B6%B2%E7%AB%99%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a></p> <blockquote><p>No More Ransom計畫的網站已經支援正體中文，勒索軟體受害者可透過「解碼警長」的頁面，查詢自己電腦上被駭客加密的檔案，是否有解密工具能復原，目前平臺上已經針對109種勒索軟體提供解法。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）No More Ranson平臺三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）No More Ranson平臺三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a></p> <blockquote><p>臺灣內政部警政署刑事警察局在今年4月也成為No More Ransom專案的合作夥伴，是加入的39國執法單位之一。現在民眾在刑事警察局官網上，也可從犯罪預防選單，找到「反勒贖病毒平臺」的選項，直接連至No More Ransom網站的「解碼警長」的正體中文網頁。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）No More Ranson平臺三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）No More Ranson平臺三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a></p> <blockquote><p>在參與No More Ransom計畫的公家與民間機關中，目前已有89個組織單位成為合作夥伴，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）也在去年5月，成為「拒絕勒索軟體(No More Ransom)」計畫夥伴之一，並於協助正體中文網頁的翻譯。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）No More Ranson平臺三週年.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.jpg" style="width: 600px;" /></a></p> <blockquote><p>隨著越來越多的公、私機關加入此計畫，現在平臺上累積已可針對109種勒索軟體提供解密工具，包括GandCrab (V1, V4 and V5 up to V5.2 versions) 、GetCrypt、MegaLocker、Pewcrypt、Planetary等。民眾透過「解鎖工具」頁面，可直接連至資安業者、警方與民間單位提供的下載頁面，像是趨勢科技、Avast、Bitdefender、Check Point、Emsisoft、ESET、F-Secure、卡巴斯基、McAfee，以及Bleeping Computer等所提供的解密工具。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）No More Ranson平臺三週年.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89No%20More%20Ranson%E5%B9%B3%E8%87%BA%E4%B8%89%E9%80%B1%E5%B9%B4.png" style="width: 600px;" /></a></p> <blockquote><p>對於該平臺的成果，根據歐洲刑警組織（Europol）在7月29日公布的資訊指出，3年來已經幫助全球188個國家超過20萬名的勒索軟體受害者，將被駭客加密的檔案成功解密，並讓駭客少賺了1.08億美元。</p> </blockquote> </div></div></div>
2019/8/6 14:06作者羅正漢https://www.ithome.com.tw/news/132273
Firefox 68實作::marker偽元素，方便開發者為列表加入項目符號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2019/07/new-css-features-in-firefox-68/">Mozilla說明了最新Firefox 68中的CSS功能細節</a>，其跟上Chrome和Safari腳步，支援了Scroll Snap模組，並加入::marker偽元素功能，方便開發者為列表項目加入前置標記，另外還修正了ch單位以及列表編號的功能。</p> <p>Firefox 68實作了和瀏覽器Chrome和Safari一致的Scroll Snap模組，Scroll Snap可以讓網頁容器滾動停止時，自然平滑地滑動到指定元素的指定位置，另外，Firefox 68也移除了早期Scroll Snap Points規範中的老舊屬性。</p> <p>而::marker偽元素則是有助於開發者為列表加入項目符號，這對於複雜元素特別有用，像是需要將圖像作為項目符號，或是把列表中的文字包在Span中，以使用不同的項目符號與文字顏色的需求，::marker偽元素可以鎖定項目符號本身，讓開發者針對項目符號本身進行修改。雖然::marker偽元素只支援少數幾個CSS屬性，不過所有字型屬性都能夠使用，開發者可以自由地變化文字樣式。</p> <p>開發者還可以使用display:list-item，將任何元素轉換成列表項目，而這樣就能在這些元素前面顯示項目符號。::marker偽元素是在CSS列表Level 3和CSS偽元素Level 4中的標準，目前僅在Firefox 68和Safari中實作，Chrome則尚未支援。</p> <p>不同的瀏覽器，可能對同一個功能有著不同的運作方式，而這樣的問題通常是因不同版本的網頁平臺造成，由於有許多行為並沒有被明確地規範，因此Mozilla著手對CSS規範進行許多更改，解決互通性問題，Firefox 68就修正了ch單位以及列表編號功能。</p> </div></div></div>
2019/8/6 12:25作者李建興https://www.ithome.com.tw/news/132260
微軟：俄國駭客使用IoT裝置入侵企業網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://msrc-blog.microsoft.com/2019/08/05/corporate-iot-a-path-to-intrusion/" target="_blank">指出</a>，俄羅斯國家贊助的駭客組織，正在利用印表機、VoIP電話等企業物聯網（IoT）裝置，伺機對企業網路發動攻擊。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center）研究人員4月間發現三起攻擊行動，駭客正連上多台VoIP電話、辦公室印表機及影片解碼裝置，分析後發現攻擊者企圖利用這些裝置駭入企業網路。其中兩次攻擊是利用IoT 裝置的預設密碼，另外一次則是因為裝置韌體未升級到最新版本，而讓駭客有機可乘。</p> <p>研究人員認為，入侵這些IoT裝置的目的，是在企業網路上建立據點，作為未來攻擊的準備。駭客成功入侵IoT裝置後，就會跑tcpdump軟體來聽取公司子網路的網路流量封包。攻擊者還會列舉管理群組，以便未來發動進一步攻擊。當攻擊者由一台裝置移動到另一台時，會丟一個簡單的shell script，以便日後持續由遠端控制。研究人員還發現這些裝置會和外部一台C&C伺服器建立連線。</p> <p>由於三起攻擊都是在很早期被發現，因此微軟尚無法判斷最終的目標為何。但微軟判斷這三起攻擊來自同一個名為Strontium的駭客組織所為。它更為知名的稱號是Fancy Bear或APT 28。微軟在過去一年，就發出將近1,400次和這個組織有關的國家級駭客攻擊行動警報，其中1/5目標是全球非政府組織、智庫或政治團體，80%攻擊對象包括政府、IT業、軍事、國防、醫療、教育和製造業。</p> <p>這不是第一次俄羅斯人被指控心懷不軌。2016年美國就<a href="https://www.ithome.com.tw/news/106551" target="_blank">指控</a>Fancy Bear參與攻擊民主黨全國委員大會伺服器，以竊取當年總統大選的研究資料。它還曾經攻擊過奧林匹克委員會、<a href="https://www.ithome.com.tw/news/108499" target="_blank">世界反禁藥組織（WADA）</a>及觀光業。此外，Strontium/Fancy Bear/APT 28去年涉入以VPN Filter惡意程式，大規模感染Linksys、<a href="https://www.ithome.com.tw/news/123406" target="_blank">TP-Link</a>、<a href="http://www.ithome.com.tw/news/123708" target="_blank">華碩、</a><a href="https://www.ithome.com.tw/news/123708" target="_blank">D-Link</a>等路由器的行動。</p> </div></div></div>
2019/8/6 12:40作者林妍溱https://www.ithome.com.tw/news/132271
研究者警告：眾多Jira伺服器的錯誤配置，讓員工及專案資訊全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全工程師Avinash Jain上周<a href="https://medium.com/@logicbomb_1/one-misconfig-jira-to-leak-them-all-including-nasa-and-hundreds-of-fortune-500-companies-a70957ef03c7" target="_blank">警告</a>，知名的缺陷追蹤工具Jira的錯誤配置，讓許多知名組織的機密資訊全都曝光，包括NASA、Google、Yahoo及各種政府網站。</p> <p>Jira是由澳洲Atlassian所打造的缺陷管理、任務追蹤與專案管理軟體，<a href="https://www.ithome.com.tw/news/123859" target="_blank">去年JetBrains的調查</a>顯示，它是最受開發人員青睞的任務追蹤工具。</p> <p>根據Jain的描述，此一錯誤配置只是語意上的誤解，因為在Jira上建立過濾器與儀表板時，它的能見度預設值分別是All users及Everyone，管理員可能將它們誤以為是與組織內的所有人分享，但它卻是個公開分享的選項。</p> <p>此外，Jira中的user picker功能則曝露了所有使用者的名稱與電子郵件位址，因此，只要不留心相關的權限配置，組織內的員工名稱、電子郵件帳號、Jira群組中的員工角色、現有專案，以及未來準備藉由Jira儀表板與過濾器達到的里程碑，通通會曝光。</p> <p>今年初Jain就已披露<a href="https://medium.com/@logicbomb_1/bugbounty-nasa-internal-user-and-project-details-are-out-2f2e3580421b" target="_blank">相關配置讓他存取了NASA的機密資料</a>，近日Jain更大爆其實他也從Google、Yahoo、GoJek、HipChat、Zendesk、Sapient、Western union、聯想或許多政府網站的Jira伺服器上，發現意外曝光的資料。</p> <p>Jain表示，他其實只是在Google搜尋中使用特定的關鍵字，就能找到可公開檢視的Jira資料，與其稱它為安全問題，不如說它是個隱私問題，競爭對手可用這些資料來擬定策略，或者駭客也可利用它們來執行攻擊。</p> <p>迄今Jain已向不少企業通報此一配置錯誤的問題，有些企業還支付獎勵金予Jain，有些企業已修補，但有些企業則不為所動，Jain也建議Jira的母公司Atlassian應該提供更清楚的說明，以免誤導了用戶並造成資訊的曝光。</p> </div></div></div>
2019/8/6 11:50作者陳曉莉https://www.ithome.com.tw/news/132265
Google Analytics現提供App與網頁雙平臺綜合量測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去Google分別在Google Analytics for Firebase以及Google Analytics中，提供行動裝置以及網站的使用者分析，而現在<a href="https://www.blog.google/products/marketingplatform/analytics/new-way-unify-app-and-website-measurement-google-analytics/">Google多提供了一個行動應用程式和網頁的選項</a>，讓企業跨兩平臺追蹤使用者，同時，Google也使用了新的事件模型，可供企業自定義收集資料的事件。</p> <p>Google提到，過去他們分別為行動裝置以及網站提供分析功能，但企業要取得兩者綜合的使用者參與報告並非易事，而現在所增加的行動應用程式和網頁分析工具，辨識可以結合兩者資料，提供統一的報告和分析。該屬性使用一致的衡量指標，綜合產生過去無法取得的行動應用程式和網頁報告，讓企業掌握不同的行銷通路，吸引各平臺使用者的狀況，以及兩平臺的獨立用戶數量等資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-07-31-2_max-1000x1000.png" style="width: 600px;" /></p> <p>新的行動應用程式和網頁統一量測工具，提供企業跨平臺的分析能力，企業能直接以拖放的操作方式，將多個變數加入畫布中，包括不同的維度與指標，並視覺化這些資料（下圖）。漏斗工具則能幫助企業了解，用戶進入服務的導覽過程，像是從哪個位置進入服務，以及放棄的位置。另外，路徑分析工具也能幫助企業了解，用戶在服務中每個階段採取的動作，以解釋用戶轉換與未轉換的原因。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Exploration.gif" style="width: 600px;" /></p> <p>這個新的量測工具使用了新的事件模型，企業能設置自定義的事件，來收集使用者與平臺內容互動的行為，另外，事件模型還會自動化原本需要手動進行的標記事件工作，而這項功能方便之處，在於企業不需要額外編寫程式碼。Analytics和Analytics 360使用者將在未來幾周內，就能夠用到新的事件模型和分析功能。</p> </div></div></div>
2019/8/6 12:15作者李建興https://www.ithome.com.tw/news/132258
資安研究人員成功繞過Visa感應式卡片支付的刷卡金額限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ptsecurity.com/ww-en/about/news/visa-card-vulnerability-can-bypass-contactless-limits/">資安公司Positive揭露Visa感應式支付存在漏洞</a>，可讓駭客進行中間人攻擊繞過支付限制，Positive已經成功在5家英國主要的銀行，實現這個感應式支付攻擊，無論使用的卡片終端裝置為何，都可以繞過感應式支付的30英鎊限制，而且研究人員發現，這種攻擊方式可能可以在英國之外的地方進行。</p> <p>感應式支付攻擊的手段，主要是操作卡片與終端機器，在感應支付時交換的兩個資料欄位。在英國，當支付需要額外的持卡人驗證，像是支付超過30英鎊的情況，卡片會回應拒絕交易，以防止超過限額付款，另外，終端裝置上則有國家地區專門的設定，像是要求卡片或是行動錢包，對持卡人進行額外的驗證，例如在手機上輸入密碼或是指紋辨識。</p> <p>而Positive成功使用裝置，攔截感應式卡片與機器之間的通訊，以繞過這兩種支付檢查，研究人員提到，這種裝置能夠扮演代理人的角色，用於中間人（MITM）攻擊。在支付階段，中間人裝置會告訴卡片即便超過30英鎊的限制也不需要驗證，同時中間人裝置還會欺騙終端裝置，假裝已經進行過其他支付驗證。</p> <p>研究人員提到，之所以這種攻擊有機可乘，是因為Visa沒有要求發卡機構和收單機構，在沒有提供最低限度的檢查時阻擋交易。而且這種攻擊手法也可以用在GPay等行動錢包，當使用者在這些服務中綁定Visa卡片，可以在不解鎖手機的情況下，未經使用者同意收取最高30英鎊的金額。</p> <p>要防範這種攻擊，研究人員建議用戶應該定期查看自己銀行帳戶報表，以提早發現相關的不正常款項，以及使用銀行額外的安全措施，像是支付驗證或是SMS通知。另外也提到，感應式卡片的詐欺事件正不斷增加，而Positive可以輕易地繞過這些驗證機制，則代表可能有更多的使用者遭遇損失，研究人員認為，發卡機構不應該依賴Visa提供安全的支付協定，要有自己的措施，阻止這類的攻擊。</p> </div></div></div>
2019/8/6 10:30作者李建興https://www.ithome.com.tw/news/132255
廣告程式DealPly濫用微軟及McAfee服務來躲避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.ensilo.com/leveraging-reputation-services" target="_blank">enSilo上周揭露廣告程式DealPly</a>會蒐集微軟SmartScreen及McAfee的WebAdvisor等服務，來確定用來散布DealPly的網站是否已被列入黑名單，以適時調整感染政策。</p> <p>DealPly至少在2013年就存在了，感染DealPly的系統會在使用者瀏覽網站時跳出廣告，enSilo說，這類的廣告程式通常無法吸引資安業者的研究興趣，但他們發現DealPly除了具備應有的模組、機器指紋、VM偵測技術與強大的C&C架構之外，還蒐集合法SmartScreen與WebAdvisor服務的資訊，以在必要時變更DealPly的散布政策，儘可能延長每一代DealPly的壽命。</p> <p>SmartScreen與WebAdvisor皆隸屬於安全服務，可在使用者造訪或下載惡意檔案時跳出警告，因此設有黑名單機制。</p> <p>DealPly通常是隨著合法的免費程式散布，當使用者安裝該合法程式時，在不經意中也安裝了DealPly，而DealPly除了會跳出廣告之外，還會查詢SmartScreen與WebAdvisor的黑名單，並傳送到由駭客掌控的C&C伺服器。</p> <p>enSilo猜測，DealPly索取黑名單的用意在於，檢查它的變種或下載網站是否已被列入黑名單，以作為以後散布DealPly的參考，可能是根據相關服務在不同市場的熱門程度，它在某些國家查詢SmartScreen，在某些國家則利用WebAdvisor。</p> <p>研究人員指出，DealPly的目的是在評估防毒偵測的能力，以在需要時製造新的惡意樣本，以便時時領先安全解決方案，讓自己能夠長存，相信此一手法很快就會被其它惡意程式效法，成為新的趨勢。</p> </div></div></div>
2019/8/6 10:45作者陳曉莉https://www.ithome.com.tw/news/132262
北醫附醫全球首創顏面麻痺標註資料庫，還正在建置慢性疼痛照護AI平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北醫學大學附設醫院揭露醫療AI和區塊鏈新進展，不只布局醫療影像辨識應用，比如肝臟病灶辨識、顏面麻痺自動分析，還包括建立慢性疼痛患者的AI照護平臺、持續發展AI加護病房照護系統TED-ICU。此外，在區塊鏈應用上，北醫附醫近來還規畫採用壽險公會的區塊鏈平臺，要與壽險業者整合，來加速醫療醫療保險理賠申請過程。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">打造全球首個已標註的顏面麻痺資料庫</span></span></strong></p> <p>在影像AI部分，北醫附醫資訊室主任康嵐媖表示，顏面麻痺自動偵測是北醫附醫發展較成熟的醫療影像AI專案，北醫附醫利用深度階層性類神經網路（Deep HNN）來自動標註影像、分析動作，可即時從錄影畫面中自動辨識異常顏面動作，準確度達94％，成果也發表於CVRP和IEEE等國際著名電腦視覺期刊上。康嵐媖提到，北醫附醫為這項專案所整理的資料，還成為「全球首個經標註的顏面麻痺影像資料庫。」</p> <p>未來，北醫附醫也計畫開發臨床專用的多重顏面自動標註系統，要來辨識不同臉部表情和動作，比如疼痛、憂鬱、睡眠障礙等（目前準確率為62％、66％、56％），除了用於臨床，還要用於居家評估。</p> <p>而其他醫療影像AI應用，還包括了心電圖預測、肝臟病灶偵測，以及建置中的肺結節影像資料庫。其中，在肝臟病灶偵測方面，北醫附醫採用美國國衛院的資料集（含3萬2千多張軸切面的CT影像和同數量的病灶），鎖定8種病灶，並發展出初期演算法。不過，由於該專案仍為初期階段，準確率只有30％。北醫附醫也自行收集資料、標註了1千多個病灶，要用來提高模型準確率。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">結合穿戴式裝置打造慢性疼痛照護AI平臺</span></span></strong></p> <p>除了影像應用，北醫附醫也正開發一套慢性疼痛照護AI平臺，要整合各種數據來進行遠端照護。北醫附醫的構想，是藉一套雲端平臺和App，結合天氣、地理資訊，以及患者的穿戴式裝置數據，來偵測慢性病患者的生活習慣和行為模式（包括用藥、運動等），找出與疼痛相關的因子，再藉聊天機器人來給予建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0723.JPG" /></p> <p>目前，這套平臺已能連結4款臨床和穿戴裝置的數據，系統也能將病患自行輸入的症狀整合進病歷，並提供治療建議。康嵐媖指出，未來，北醫附醫希望進一步開發慢性肩頸痛的AI照護平臺，結合頸部和背部脊椎X光影像判讀、姿勢判讀，以及穿戴式裝置收集的睡眠和居家生活數據，來給予治療建議，並利用監督式和非監督式機器學習來判斷預後狀況。</p> <p>另一方面，TED-ICU是北醫附醫2年前針對重症加護病房管理而開發的系統，目標是透過一個儀表板來即時整合所有臨床資訊，比如病患的生命徵象、檢驗影像，來初步預測病患病情嚴重程度，並即時通知醫生。</p> <p>為進一步加強預測精細度，去年底，北醫附醫與臺灣人工智慧實驗室利用加護病房的歷史資料和臨床醫生經驗，找出影響敗血症的106種關鍵特徵，共同打造出AI敗血症預測系統，可預測病患4小時後發生敗血症的風險，並導入至TED-ICU。</p> <p>康嵐媖指出，AI系統建置後，還需一連串的IT調校與臨床醫師反饋，而北醫附醫因此建立了反饋的臨床資料集，也將敗血症預測準確率從原本的85％提高至89％，更自行開發了一套AI病情學習平臺，讓臨床醫生利用系統收集到的病患生命徵象資訊，來挑選演算法和參數，來研究特定疾病的病情預測。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">導入區塊鏈將病歷擁有權還給民眾，要加速保險理賠和轉診流程</span></span></strong></p> <p>此外，在區塊鏈應用上，北醫附醫先是於去年啟動健康醫療區塊鏈平臺，利用區塊鏈的儲存和加密特性，打造出電子病歷管理系統「智鏈護照。」這個月更結合新版醫院App iTPass，正式開放給所有北醫附醫患者申請使用，讓民眾能掌握完整的病歷資料，包括各種掛號資料、檢驗影像，民眾也能決定是否要將病歷分享給其他醫療院所或相關單位。</p> <p>這一點，也能加速轉診和申請醫療保險的過程。為此，北醫附醫除了與數金科技（DTCO）發表健康醫療區塊鏈作業系統（phrOS），近來還計畫採用壽險公會的區塊鏈平臺，首波要與第一金控和中國人壽等壽險業者整合，來加速醫療醫療保險理賠申請過程。而上周末，更聯手工研院舉辦了保險金融與AI智慧健康區塊鏈黑客松大賽，要找出保險理賠新模式。文◎王若樸</p> </div></div></div>
2019/8/5 19:29作者王若樸https://www.ithome.com.tw/news/132259
第二季智慧型手機市場報告出爐，華為依舊排名第二
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.idc.com/getdoc.jsp?containerId=prUS45414919" target="_blank">IDC</a>與<a href="https://www.counterpointresearch.com/combined-global-market-share-huawei-oppo-vivo-xiaomi-realme-reaches-highest-ever-level-q2-2019/"" target="_blank">Counterpoint</a>相繼發表今年第二季全球智慧型手機的市場調查報告，顯示在今年5月中旬被美國列入實體名單（Entity List）的華為，依舊保持全球第二大手機製造商的地位，且出貨量還成長了8.3%。</p> <p>根據IDC的調查，今年第二季全球智慧型手機市場出貨量為3.33億支，比去年同期下滑了2.3%，主要的原因在於中國及美國市場的嚴重下滑，幸好除了日本及中國之外的東南亞市場還有3%的成長幅度。</p> <p>令外界關注的是，華為在被美國列入實體名單，禁止美國業者出售商品或服務予華為之際，市場一度傳出華為的手機業務將受到重挫，但華為在該季的手機出貨量不跌反升，達到5,870萬支，還比去年同期成長8.3%，市占率為17.6%，僅次於三星的22.7%，穩坐市場第二名。</p> <p>而且在全球前五大智慧型手機製造商中，以華為手機的出貨量成長幅度最大，三星在該季也成長了5.5%，反而是蘋果手機出貨量下滑了18.2%，小米亦下滑0.2%。</p> <p>IDC分析，儘管被美國列入禁止出口名單，但華為的手機出貨量只比上一季下滑0.6%，高於市場預期。不過，中國市場佔華為手機出貨量的比例也創下歷史新高，占了62%，這是因為華為將重要的人力資源調回中國，並鎖定二、三線城市進行通路部署收到成效所致。</p> <p>不過，Counterpoint副主任Tarun Pathak指出，從第二季來看，華為的出貨量並未受到美國禁令的影響，但未來就不一定了；華為現在或未來幾季都將聚焦於擴大中國的內需市場，但應該仍無法彌補其海外銷售的下滑。</p> </div></div></div>
2019/8/6 10:00作者陳曉莉https://www.ithome.com.tw/news/132261
工研院大秀AI研發新成果，O2O服飾試穿推薦、餐飲顧客影像識別，還有自動偵測入侵者的監視器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工研院在今年ICT TechDay（資通訊科技日）中，展示AI應用於各行業的解決方案，包括時尚服飾業線上線下的個性化推薦與智慧試衣、餐飲業顧客的行為偵測、跨攝影機的影像識別技術等，也展出了推動AI落地而開發的多項工具，如深度神經網路（DNN）推論加速晶片的客製化技術、以及訓練DNN模型的管理平臺。</p> <h3><span style="color:#FF8C00;">O2O服飾試穿推薦「易賞」</span></h3> <p>服飾產業能透過AI技術，加值線上與線下消費的體驗，國際上不乏應用案例，具代表性的例子有Amazon的Echo Style Check，能用Alexa聲控相機拍攝不同穿搭照片，再由內建AI推薦時下流行穿搭；或像阿里巴巴設立了AI服飾店，根據淘寶50萬組時尚達人穿搭，提供個性化衣著搭配或單品穿搭建議。</p> <p>趁著服飾業AI熱潮，工研院也推出一套涵蓋線上與線下的智慧時尚應用方案，稱為「易賞」，以服飾電商超過500萬件的服飾圖像標記作為訓練資料，擷取出服飾特徵，包括款式（上半身、下半身或連身套裝）、顏色、袖長、下襬長度、口袋、領口、紋理等標記，訓練出AI模型來辨識服飾風格，省去人工標記的成本，不但可以進一步應用於消費者的個性化推薦，也能藉由銷售數據，即時分析受歡迎的風格，抓住時尚的趨勢與潮流。</p> <p>線上的應用主要在於服飾屬性辨識與智慧推薦，線下則是要打造沉浸式情境試衣間，讓消費者透過平板或手機選出喜歡的服飾，進入試衣間後，會由人員或自走車來配送衣服到試衣間旁邊，而每件衣服上都有感應裝置，當衣服被拿取，試衣間內會場景根據衣服的風格來轉變，比如拿取宴會風格的衣服，背景將自動切換為宴會場景；此外，試衣間內也提供手機自拍架，讓消費者能輕鬆自拍與親友分享，藉此來提供更好的試穿體驗。</p> <p>工研院資通所經理連俊宏表示，工研院要藉著易賞的應用，讓消費者有良好的試衣體驗來增加購買機率，並透過個人消費數據進一步個性化推薦不同風格的商品；同時，也要讓經營者藉由銷售數據洞悉服飾潮流的趨勢，來調整各種服飾的進貨與庫存量，進而減少庫存、降低滯銷風險。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0736.JPG" style="font-size: 13px; width: 600px;" /></h3> <blockquote><p>首先，先站到攝影機與面板前方，透過影像辨識，系統會自動分析顧客的衣著款式、風格等特徵，並根據顧客衣著風格來推薦店內同風格的服飾。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0744%202.JPG" style="width: 600px;" /></p> <blockquote><p>試衣間內部會有背景螢幕，隨著顧客拿起不同風格的衣服，看板畫面也會隨之改變，如宴會風格的衣服會對應宴會風格的背景。</p> </blockquote> <h3><span style="color: rgb(255, 140, 0);">餐飲業專用顧客行為影像識別</span></h3> <p>工研院另外也發表了一套餐飲業專用的AI影像顧客行為識別技術。首先，在結帳台前，用數位看板等感應裝置分析顧客人臉屬性，包括年齡、性別、表情等，接著與後端POS機的餐點內容做整合，來進一步推測不同年齡、性別的消費者點餐內容的差異，可供業者結合行銷手法進一步加值運用。</p> <p>此外，這套系統也能偵測座位狀態，包括是否空桌、可否帶位，或是桌面待清理等，都可以直接透過系統更新，讓服務人員更快速清出空位、帶入新顧客，來提升營運效率；此外，系統也能偵測顧客舉手的行為，是什麼時間點、幾桌？即時通知服務人員回應顧客需求，而第一線服務員也能在服務過後，回到後臺註記下服務內容，比如這次桌邊服務是幫客人倒水、換餐具或是遞紙巾？精準紀錄下這些資訊。</p> <p>工研院資通所經理蘇奕宇表示，曾有人懷疑行為偵測等功能是否為AI而AI，並沒有真正改善餐飲業的痛點，然而，餐飲業者在提升服務品質過程中需要精準資訊，比如藉由偵測舉手行為並精準記錄服務內容，可以用來推測服務人員為何常幫客人換餐具的原因，是否因餐具清潔有問題；或者經常要倒茶水的解方，可能是每桌事先備好一壺茶水等。唯有蒐集這些細節資訊，才能讓人力運用更有彈性、做好成本控管，進而改善消費者體驗。</p> <p>經濟部去年預估，全臺餐飲業市場逐年成長4％，今年將超過突破5,000億元。蘇奕宇表示，但餐飲業入行門檻低、變動步調快、營運彈性大，隨著競爭越來越激烈，提升服務品質、消費者創新體驗，成了餐廳長期經營的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/67606715_361779261421831_1863124562095374336_n.jpg" style="width: 600px;" /></p> <blockquote><p>點餐時可以偵測人臉屬性；結合監控攝影機，也能偵測顧客舉手行為與餐桌狀態。</p> </blockquote> <h3><span style="color: rgb(255, 140, 0);">跨攝影機的影像識別平臺</span></h3> <p>工研院研發了一套與監視器結合的影像人物辨識平臺MEDUSA（Massive Enitities Detecting in Ubiquitous Surveillence Application），不僅建立一個平臺提供跨攝影機影像識別，也有即時分析影像的儀表板，可偵測特定行為異常的入侵者，立即報警。不同ˊ於常見監視器系統主要以人員監看或錄影回放為主的基本功能。截至今年第二季，這套系統已經在工研院內與部分商場等5個以上的場所，開始試營運與驗證。</p> <p>這套系統的應用方式，是在一個封閉場域裝設好監視器後，若有非驗證的人員進入，出入口監視器首先會偵測人物，並萃取人物的影像特徵，再跟場域內多支監視器進行人物影像特徵比對，同時藉由管理系統，將該入侵狀態的事件內容、時間、位置輸出到儀表板，或將異常資訊傳送到警衛人員的App來報警，達到人機協同合作的目的。</p> <p>蘇奕宇表示，以工研院約40公尺長的辦公場域為例，在監控畫面中，若有人員在兩個出入口刷卡後進入，客人頭上會顯示Guest ID，職員則會顯示員工ID等資訊，儀表板能監控每個人的實際狀況；然而，這時若有人突然從逃生門、安全門進入該場域，系統將馬上偵測到異常並即時報警，也能根據不同場域的設定顯示不同異常狀態，例如是禁區遭入侵、或是不該有人的時段卻有人出現等。</p> <p>該系統的另一個特色，則是快速部署，「中小型場域在2-4小時內就能完成布建，並開始實際運作，像昨天在展示會場布建6支監視器，總共花4小時。」蘇奕宇也強調，這個系統開發的目的不是要取代現有的保全，而是透過健全的影像偵測系統，讓現場保全人力能在關鍵時刻發揮作用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/67910738_2201336079975614_469748918284976128_n.jpg" style="width: 600px;" /></p> <blockquote><p>監視器可以偵測並非從出入口進出的人員。</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/67749952_797760923954266_7027249129768091648_n.jpg" style="width: 600px;" /></h3> <blockquote><p>影像分析資訊會傳送至儀表板或手機App，即時發出告警。</p> </blockquote> <h3><span style="color:#FF8C00;">客製化設計DNN推論加速晶片</span></h3> <p>專門用於加速DNN模型推論的晶片，稱為「DNN推論加速晶片」。由於加速晶片需要配合不同DNN模型與實際應用情境來進行客製化設計，但目前市面上並無一套系統化的開發工具，因此，工研院引用了開源深度學習加速器架構 NVDLA（Nvidia Deep Learning Accelerator）作為基礎架構，提供企業一套從架構設計到驗證的晶片設計方法，縮短企業設計晶片的時程、能快速搶進AI晶片市場。</p> <p>由於DNN模型的網絡通常很龐大，為了部署到運算效能有限的晶片中，除了藉由減少數據從記憶體搬運的次數來降低功耗，更直觀的方法是運用平行化運算的架構來加快運算速度。然而，平行化加速運算會受限於資料傳輸的頻寬（Memory Bandwidth），且每個DNN模型在不同運算效能（GOPs）與頻寬（GB/s）下，會得到不同的每秒傳輸幀數（FPS），因此在設計上有其最佳化的設定，「這是模型本身的特質，因此需要客製化硬體架構。」工研院資通所技術組長朱元華表示。</p> <p>NVDLA是Nvidia 2017年公開釋出產品Xavier中的深度學習加速器，允許使用者修改原始碼，再製成自己的產品，也就是說，提供他人客製化自己的AI推論加速器，且由於 NVDLA涵蓋了AI運算中重要的運算子（operator），包括卷積（Convolutional）、逐元素（Element-Wise）、池化（Pool）、非線性（Nonlinear）等處理器（Processor），因此能適用多種DNN模型。「假設企業想開發特定模型的AI晶片，使用開源架構是一個很好的起手式，只要在後續的設計上多著力即可。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/67959747_2377827885795934_516542879032672256_n.jpg" style="width: 600px;" /></p> <blockquote><p>客製化設計AI推論加速晶片的流程。</p> </blockquote> <h3><span style="color:#FF8C00;">訓練DNN模型的管理平臺</span></h3> <p>除了DNN推論加速晶片的設計工具，工研院也推出一套用來訓練DNN模型的平臺，要讓企業縮短建置AI環境的時間。這個平臺從資料庫、人員權限、模型版本、運算資源都能管理，例如資料庫的管理，使用者可以建立各個專案中已標記／未標記的資料等，而不同人員權限可以開啟的資料庫、專案、運算資員也不同。</p> <p>使用者需要訓練AI模型時，先建立專案，能使用平臺內建的開源演算法，或是自己開發演算法來訓練模型，而每一次訓練過程調整的參數，可以建立成歷史紀錄中的不同版本，日後可以一鍵回顧每一次的版本資料與訓練情形；此外，系統也提供Jupyter Notebook讓用戶開發演算法，用戶可以在此上傳自己的程式碼來訓練，甚至可以安裝所需的軟體，只要在開發完成後將整個環境儲存，下次就能用同樣的環境來訓練模型。</p> <p>運算資源的管理，則是靠系統自行排程，將各專案的模型自動部署到沒有在運行的GPU上，假設GPU 1、2都有在用，系統就會排程到GPU 3或4去做運算，也能設定運算資源的使用上限；而系統介面則可以監測GPU的使用率、溫度、記憶體用量等，隨時掌握運算資源的使用情形。目前，這個平臺主要提供部署於私有雲之上，目前尚未能在公有雲上使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0748.JPG" style="width: 600px;" /></p> <blockquote><p>DNN模型管理平臺介面。</p> </blockquote> </div></div></div>
2019/8/5 19:04作者翁芊儒https://www.ithome.com.tw/news/132257
Nvidia修補Windows GPU重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia上周<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/4841/kw/Security%20Bulletin" target="_blank">修補了旗下GPU顯示器驅動程式的5個安全漏洞</a>，相關的漏洞可能造成本地端程式執行、服務阻斷或擴充權限，涉及GeForce、Quadro、NVS及Tesla等型號的產品。</p> <p>這些漏洞包括CVE‑2019‑5683、CVE‑2019‑5684、CVE‑2019‑5685、CVE‑2019‑5686與CVE‑2019‑5687。當中最嚴重的是CVE‑2019‑5683，此一漏洞存在於使用者模式的影像驅動程式追蹤記錄器元件，當駭客存取系統並建立一個硬連結時，韌體將無法偵測此一硬連結攻擊，可造成程式執行、服務阻斷或權限擴充等後果。風險等級為8.8。</p> <p>至於CVE‑2019‑5684與CVE‑2019‑5685都是存在於DirectX 驅動程式中，駭客利用特製的著色器就能導致越界存取，可能帶來服務阻斷或程式執行。這兩個漏洞的風險等級皆為7.8。</p> <p>Nvidia建議用戶可透過<a href="https://www.nvidia.com/Download/index.aspx" target="_blank">官網的驅動程式下載網頁</a>搜尋並下載最新的驅動程式版本。</p> </div></div></div>
2019/8/5 17:50作者陳曉莉https://www.ithome.com.tw/news/132256
Google：Project Zero揭露的漏洞，96%可在90天修補完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>令廠商又愛又恨Google安全研究團隊Project Zero上周<a href="https://googleprojectzero.blogspot.com/p/vulnerability-disclosure-faq.html" target="_blank">指出</a>，從2014年以來該團隊發現的漏洞中，高達95.8%都能在期限的90天內修補完成。雖然遭批評，但Google認為設定期限讓網路整體變得更安全。</p> <p>Project Zero是Google負責挖掘研究開源碼或市售軟、韌體的漏洞。當發現到新漏洞時，Project Zero會寄發該漏洞的詳細技術描述報告給廠商或開源碼專案。報告會告知有90天的揭露大限，等90天一到或修補程式廣為散布（視哪個比較早），這份報告就公諸於世，不論漏洞修補好了沒。許多知名廠商的重大漏洞，包括英特爾的<a href="https://www.ithome.com.tw/news/120183" target="_blank">Spectre/Meltdown</a>或蘋果<a href="https://www.ithome.com.tw/news/128659" target="_blank">FaceTime</a>及最近的<a href="https://www.ithome.com.tw/news/132119" target="_blank">iMessage漏洞</a>都是這個部門的研究傑作，微軟甚至兩度在修補完成被Project Zero<a href="https://www.ithome.com.tw/news/112062" target="_blank">公佈漏洞</a>而大表不滿。</p> <p>現今Google只有二次破例延長揭露漏洞期限。一是Spectre/Meltdown的216天，二是2016年10月<a href="https://googleprojectzero.blogspot.com/2016/10/taskt-considered-harmful.html" target="_blank">MacOS 10.12.1/iOS 10.1中的task_t iOS漏洞</a>的145天。</p> <p>從2014年啟動至今年7月30日，Project Zero公佈的漏洞中，有1,585個及時在期限內獲得修補，比例為95.8%，66個沒補好。2015年2月13日Project Zero<a href="https://www.ithome.com.tw/news/94121" target="_blank">增加</a>14天的揭露寬限期。因此若把時間限縮於2015年2月13日（修補期限改為90+14天）到今年7月底，則及時修補好的漏洞有1,434個，比例高達97.5%，其中90天內修補者有1,224個。只有36個未在期限內修補完成。</p> <p>Google認為這樣的作法有助於提升軟體安全性，因為如果漏洞只有廠商和記者知情，業者就不會緊急去修補，但有證據顯示，攻擊者發現同一批漏洞的速度，並不亞於安全研究人員。</p> <p>至於公佈不問修補完成與否，90天一到即公佈漏洞及概念驗證（PoC）攻擊程式，豈不是剛好為駭客所用？Project Zero也有他的說法。他們認為，報告中的概念驗證攻擊往往只是完整攻擊串（exploit chain）的一部份，任何有意圖的攻擊者也要花一番工夫和資源，才能轉化為真正的攻擊行動。相反的，有資源的研究人員可藉由Google分析報告上獲得最多好處。再者這幾年的經驗顯示，那些來不及補好的漏洞，通常也是在90天之後幾天就補上修補程式了。Google甚至認為，隨著業界更多安全研究人員在其報告中加入揭露期限，將可進一步健全漏洞通報的作法。</p> <p>最後，Google說，只有Project Zero團隊和「20% 專案」（即Google員工有20%的上班時間可用在非本職的專案上）與Project Zero有關的Google員工，會比大眾更早拿到漏洞報告。唯一的例外是，報告主角（即有漏洞者）是Google自己的產品，例如Chrome、Android或其他Google軟體部門。</p> </div></div></div>
2019/8/5 17:10作者林妍溱https://www.ithome.com.tw/news/132254
線上球鞋交易市集StockX遭駭客入侵，逾600萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2019/08/03/stockx-hacked-millions-records/?tpcc=ECTW2019" target="_blank">科技新聞網站TechCrunch於上周報導</a>，線上球鞋交易市集StockX遭到駭客入侵，駭客已在黑市銷售該市集的680萬名客戶資料，而<a href="https://stockx.com/news/update-on-data-security-issue/" target="_blank">StockX也已證實此一資料外洩事件</a>，但未公布受害的客戶數量。</p> <p>StockX為一二手潮流商品交易平台，專門撮合球鞋、手錶、包包與街頭服飾的交易，定位為商品的股票市場，讓商品以應有的價值出售。</p> <p>根據報導，駭客是在今年5月就入侵了StockX，盜走了該站逾680萬名的客戶資料，且在黑市叫價300美元。</p> <p>StockX則是在消息曝光後證實了此事，表示該公司也是在最近才知道此一資料安全事件，有未知的第三方存取了該站的客戶資料，已聘請安全專家展開全面的調查，並要求所有客戶重設密碼。</p> <p>StockX表示，遭竊的客戶資料涵蓋姓名、電子郵件位址、寄送地址、使用者名稱、雜湊密碼，以及購買歷史紀錄等，初步調查顯示，客戶的金融或支付資訊並未受到影響。</p> <p>似乎措手不及的StockX還說，由於該公司才剛展開調查，因此尚不確定遭駭的規模與範圍，只能立即進行全面的安全更新，並鎖住雲端服務的所有周邊，其它細節要等待調查告一段落之後才會出爐。</p> </div></div></div>
2019/8/5 16:30作者陳曉莉https://www.ithome.com.tw/news/132251