iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 27篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 13:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 139 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

微軟要將exFAT專利開源、成為Linux核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周三<a href="https://cloudblogs.microsoft.com/opensource/2019/08/28/exfat-linux-kernel/" target="_blank">宣佈</a>，將FAT衍生出來的exFAT檔案格式專利，開源出來成為Linux核心的一部份。</p> <p>微軟的檔案格式專利過去經常是Linux社群的痛。它的FAT（File Allocation Table）是許多應用程式預設的檔案系統格式，也為微軟賺進不少專利財。微軟也曾在2012年控告Motorola手機侵權使用其檔案格式FAT，成功使敗訴的Motorola手機在德國遭到禁售。exFAT是微軟在2006年以FAT為基礎開發出來，專門用於Windows、SD卡和USB快閃磁碟的檔案儲存格式。</p> <p>微軟Azure首席架構師，也是Linux基金會董事成員的John Gossman表示，exFAT是全球數千萬台筆電、相機甚至汽車上資料存取的關鍵，微軟認為有必要讓Linux 社群放心將exFAT加入Linux核心中，因此決定將exFAT的技術規格開源出來，以促進相容實作的開發。此外，微軟也支持Open Invention Network的Linux系統定義（Linux System Definition）未來也會修改以加入exFAT規格，成為Linux核心的一部份。其定義一旦被接受，未來OIN 三千多家成員及授權者也將能獲得專利保障。也就是說，未來開源陣營不用擔心因為exFAT格式問題被告了。</p> <p>這也是微軟近年擁抱開源的最新一次行動。去年10月微軟<a href="https://www.ithome.com.tw/news/126366" target="_blank">加入</a>OIN社群，將超過6萬項專利以免權利金方式授權給OIN的成員使用，讓Linux及其他開源專案的開發者免受侵權官司訴訟。今年年中起，Windows 10 Insiders版本也開始<a href="https://www.ithome.com.tw/news/130449" target="_blank">內建</a>Windows Subsystem for Linux（WSL），以便在Windows 10上能夠原生執行Linux。</p> </div></div></div>
2019/8/29 17:05作者林妍溱https://www.ithome.com.tw/news/132710
戴爾與Google合作發表第一臺企業級Chromebook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/making-the-modern-os-accessible-for-every-enterprise">戴爾與Google合作推出了第一款企業級筆電Chromebook Enterprise</a>，為想要把工作負載移至雲端的企業，提供包括了全球支援、管理工具和維護計畫，而企業還可以使用VMware Workspace One統一管理Chromebook以及微軟Windows的裝置。Chromebook Enterprise現在於50個國家上市，支援10種不同的語言。</p> <p>Chromebook Enterprise有兩個型號，其一為型號Latitude 5400的14吋傳統翻蓋式Chromebook ，電池可持續20個小時，售價為699美元，而另一款則是型號為Latitude 5300的二合一Chromebook，使用可拆卸的13吋顯示螢幕，螢幕可當作平板使用，視配置與用途，電池使用時間約為14個小時。兩者都可以配置英特爾第8代Core i7處理器，最高32GB的記憶體和高達1TB的SSD儲存，同時還有USB Type-C且可選用LTE。</p> <p>戴爾與Google為Chromebook Enterprise整合各種專為企業設計的功能，以滿足IT管理需求。戴爾的雲端Unified Workspace解決方案，提供諸如部署、安全防護、管理和支援等功能，而且IT管理人員還可以將這些Chromebook Enterprise整合到現有的Windows環境中，並使用VMware Workspace One進行管理。</p> <p>而Google也為Chromebook Enterprise內建統一端點管理系統，讓IT管理員能夠在控制臺，集中管理企業中的Chromebook Enterprise部署。Google提到，他們翻新了管理員控制臺，包括使用更新版本的設計語言Material Design，重新設計每個頁面上的搜尋功能和工作流程，讓新的頁面載入時間只需過去版本的十分之一。</p> <p>愈來越多企業使用雲端工具，在雲端中進行開發工作以及建置應用程式，Chromebook Enterprise也強化了開發環境，企業可以在Chromebooks上託管Linux環境，並以工具配置存取權限，而內部檔案與容器還支援VPN，可供企業使用真正雲端優先的開發方法。而這個功能是源自2018年Google的專案，該專案內容是要將Linux以及其開發應用程序生態系統，包括Android Studio和其他IDE帶上Chromebook，而現在於Chromebook Enterprise上提供測試版。</p> </div></div></div>
2019/8/27 17:20作者李建興https://www.ithome.com.tw/news/132654
Qt發布可在微控制器上建立高效能使用者介面的圖形開發工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.qt.io/blog/2019/08/21/announcing-qt-mcus/">老牌開發工具Qt推出了專為微控制器單元（Microcontroller Unit，MCU）所發展的圖形開發工具包Qt for MCU</a>，讓開發者能為MCU建置高效能的圖形使用者介面，而這個圖形開發工具包還能與既有的Qt工具以及函式庫結合使用。</p> <p>聯網裝置隨處可見，範圍涵蓋車載系統、穿戴裝置、智慧家庭和物聯網工業應用等，Qt提到，這些裝置有即時處理能力、低功耗和立即啟動等需求，通常都以微控制器架構來實現，而隨著功能越來越先進，使用者對於介面的要求也就越來越高，Qt for MCUs圖形開發工具提供專為ARM Cortex-M微控制器設計的Runtime，能顯示豐富順暢的用戶介面。</p> <p>Qt for MCU利用了Qt Quick以及QML（Qt Markup Language）來創建使用者介面，並使用C++ API擴充使用者介面。由於Qt Quick使用Model-View架構，開發者可以簡單地整合C/C++後端，為現有應用程式提供快速移植到Qt for MCU上的途徑。</p> <p>另外，Qt為這個圖形工具包特別設計了全新的高效能Runtime，僅需要使用少量的記憶體，就能達到良好的顯示效果，而且這個Runtime不需要作業系統，就能直接在處理器上執行。除了可以於全裸機的環境上運作外，也能使用Qt標準函式庫，將程式部署到Linux與Windows等功能更強大的裝置上。</p> <p>雖然Qt for MCUs目前還沒有正式發布，但官方已經釋出了範例和技術文件，並為Qt for MCUs提供了一套Qt Quick Controls，讓開發者能夠快速啟動開發工作，並使用Qt Design Studio和Qt Creator設計與開發工具，以現有的Qt工作流程開發微控制器應用程式。</p> </div></div></div>
2019/8/23 17:50作者李建興https://www.ithome.com.tw/news/132612
容器該不該放進VM？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「容器該不該放進VM中執行？」這是前幾天，我遇到SUSE作業系統商工程、產品及創新總裁Thomas Di Giacomo時，碰面寒暄後的第一個問題。</p> <p>Thomas回答：「這是一個最好的折衷作法。因為容器不夠安全，而且VM的可攜性又太差。」</p> <p>Thomas可是全球開源技術和網路界的大人物，憑著電信產業多年技術長經歷，成了Linux基金會網路部門主席，後來更成了Cloud Foundry基金會董事和力推Kubernetes的CNCF董事會成員至今，是開源和雲端原生產業的意見領袖之一。2016年進入SUSE擔任技術長，在SUSE獨立後，他更進一步接下現在的職位。</p> <p>站在全球開源雲端技術的第一線，Thomas並不認為，容器足以成為取代VM的萬靈丹，尤其，從企業角度來看，容器不夠安全。而且，Thomas強調，這不只是他的個人看法，Google也是如此。Google早在去年5月開源釋出的沙盒容器gVisor，就是最好的證據。</p> <p>沙盒容器gVisor其實就是一種「虛擬化的容器」（Virtualized Container），同樣是將容器放進了虛擬機器中，只是gVisor不是採用傳統笨重的虛擬機器，而是經過優化、客製，專門為容器而瘦身的特殊VM。Google的理由也是為了安全問題。</p> <p>Thomas告訴我，虛擬化技術已經有成熟的網路管理、儲存支援與安全政策管理機制，這些都是目前容器技術還不夠成熟之處。可是，微服務世界已經來了，雲端原生應用到處都是，這些都非得靠容器技術，才能更輕巧，快速擴張和移動。安全怎麼辦，最快的方法就是「容器放進VM，兩者結合就走出了基礎架構的第三條路。」他說。</p> <p>這也不是新的點子，VMware早在2015年，就開始研究一個VM搭配一個容器的部署方式，甚至還研發出了一個超輕量的作業系統Photon OS，不過，這款產品在VMware原有虛擬化平臺上的布局，要等到今年8月底才會揭曉。</p> <p>而從VM技術起家的OpenStack也在Kubernetes競賽上慢了一步，為了追上容器技術競爭的腳步，選擇從VM優勢來切入容器，在2年前發起一個Kata容器計畫，同樣要打造出一款類似gVisor的虛擬化容器產品。</p> <p>如今，Kata越來越成熟，上個月SUSE正式將Kata納入SUSE Linux滾動升級版本中。Thomas表示「這將會是Linux作業系統的重要能力之一。」</p> <p>但是，將容器放進VM，雖然兼具了兩家之長，但也喪失了不少容器輕量化的優勢，更大的挑戰是「基礎架構維運的複雜度增加了，試想在K8s平臺上，一群虛擬化的容器組成了K8s的POD叢集時，監控機制能否同時蒐集到容器和VM的狀態和變化，將比過去的難度更高上好幾倍，「甚至，如何調校彼此互相搭配時的效能，將會是更大的挑戰！目前，我還沒有看到這方面的技術或產品。容器和VM將會共同存活很長、很長一段時間，就像30年前的大型主機，至今仍在一樣。」Thomas這樣告訴我。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item odd"><a href="/tags/vm">VM</a></div><div class="field-item even"><a href="/tags/gvisor">gVisor</a></div><div class="field-item odd"><a href="/tags/photon-os">Photon OS</a></div></div></div>
2019/8/23 15:55作者王宏仁https://www.ithome.com.tw/voice/132591
推特開源高解析度遙測解決方案Rezolus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.twitter.com/engineering/en_us/topics/open-source/2019/introducing-rezolus.html">推特開源自家的遙測解決方案Rezolus</a>，能擷取高解析度的遙測資訊，讓用戶依照需求配置採樣的頻率，在不使用過多系統資源的情況下，以適合的採樣頻率，捕捉那些無法用一般監控或是指標系統所發現的系統效能異常，以及不尋常的資源使用率尖峰。</p> <p>量化工作負載有助於診斷執行時的效能問題，進而最佳化系統，而Rezolus提供了一系列訊號，讓使用者獲得高精細度遙測資料，理解系統執行時的狀況。推特提到，他們在執行高吞吐量綜合基準測試時發現，系統存在非常短暫且變化明顯的效能異常，而在他們之前低頻率的遙測採樣技術，並無法有效偵測持續時間僅為10秒左右的異常狀況，因此也讓整體系統效能調校工作變得困難。</p> <p>Rezolus已經在推特內部使用超過一年，並且發現了不少過去無法偵測出來的問題，像是找出了內部後端伺服器CPU使用率異常滿載的原因，另外也觀察到Memcached伺服器長尾延遲異常上升的狀況，推特提到，大多數的遙測時間間隔都以分鐘計，這對於觀測軟體系統來說，獲得的資訊都太過粗糙，而Rezolus能提供了高解析度的遙測資訊，用戶甚至可以設定取樣頻率為10Hz，以觀測200毫秒或更長時間的資源使用率尖峰，而在這個配置下，Rezolus使用的系統資源也只有15％ CPU和60 MB的記憶體。</p> <p>Rezolus使用採取樣擴充套件，從各種來源收集遙測資訊，用戶可以自由地開啟或是關閉不同的採樣器，另外，Rezolus中也包含了一組可讀取Linux核心效能資訊的採樣器，供用戶存取有關CPU使用率、網路利用率和磁碟使用率等遙測資訊。用戶透過比對Rezolus收集來的硬體與軟體資料，能更深入地了解CPU使用情況，分析諸如每條指令的時脈周期數、快取的命中率，以及分支預測器（Branch Predictor）的效能等。</p> <p>另一個Rezolus的用途，就是作為應用程式和傳統指標收集器間的代理，在這個模式下，Rezolus能以高頻率取樣應用程式指標，並以直方圖進行預處理，並且將Rezolus取樣到的資料，放進一般指標收集器中，在不需要修改任何伺服器程式碼的情況下，更深入分析Memcache伺服器的流量模式，而這個用法也讓推特捕捉到自家Memcache伺服器異常的流量突發高峰。</p> </div></div></div>
2019/8/23 10:55作者李建興https://www.ithome.com.tw/news/132573
Cloud周報第36期：微軟軟體產品將全面禁用雲端自帶授權，沒買本地授權不能上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/08/15～2019/08/21）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自帶授權 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>微軟</strong></span><strong style="font-size: 22px;">軟體</strong><strong style="font-size: 22px;">10月起停止支援</strong><strong style="font-size: 22px;">雲端自帶授權模式</strong></p> <p>微軟日前發布，採雲端自帶授權（bring your own license， BYOL）的新政策，自10月1日起，用戶若未購買軟體保證（software assurance）和行動權益方案的本地端授權，將無法於公有雲業者的專用主機部署微軟的軟體，包含微軟、阿里巴巴、AWS、VMware on AWS及GCP。對於現已通過BYOL的方式於AWS和GCP上，使用微軟企業軟體的用戶，微軟表示，這些用戶可延續使用微軟的軟體，但新政策實施後，無法再通過既有授權，增加新的工作負載或更新軟體版本。<a href="https://www.microsoft.com/en-us/licensing/news/updated-licensing-rights-for-dedicated-cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iCloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 合約爭議 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>iCloud用戶控告蘋果，未告知自家資料轉儲存到第三方公雲</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_iCloud_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C(1).png" style="width: 600px; height: 600px;" /></p> <p>近日，有2名蘋果用戶向美國北加州聯邦地區法院提出一起訴訟案，指控蘋果iCloud儲存資料的資訊不夠透明化。他們表示，iCloud使用合約中，註明當服務啟用時，會自動傳送內容至蘋果，並由蘋果儲存。然而，他們發現資料儲存處不僅在蘋果自身的資料中心，也包含AWS、GCP平臺和Azure等第三方雲端平臺上。由於蘋果本身欠缺伺服器等基礎設施，以提供iCloud服務，也未告知使用者資料會儲存於第三方伺服器上，而有不實的服務合約內容之嫌。<a href="https://www.theregister.co.uk/2019/08/14/apple_cloud_confusing/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Compute Engine </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google釋出Compute Engine虛擬機器N2、M2系列測試版</strong></strong></p> <p>Google近日宣布，4月已預告推出的虛擬機器C2、M2系列，分別釋出正式版及測試版，另外，再推出新通用虛擬機器N2系列，測試版同步釋出。C2系列為有大規模運算需求的應用程式所設計，可用於影片編碼或大型多人遊戲，該系列不僅有單執行緒效能較高的特性，記憶體速度也提升，與GCP現有的虛擬機器相比，可提供超過4成的成長效能，且搭載最新的英特爾第二代Xeon可擴充處理器，能以時脈3.8 GHz的高效能速度進行計算。</p> <p>M2系列則是為有大容量記憶體需求的應用推出，有416個或208個vCPU兩種配置可選擇，支援6TB和12TB的記憶體容量，可供SAP用戶在GCP上執行大型記憶體資料庫SAP HANA，或分析記憶體密集的任務。此系列通過SAP認證，是目前公有雲上最大的虛擬機器。新推出的N2系列則專為通用型任務設計，Google表示，與第一代相比，同樣價格可提供用戶更好的執行效能，性價比約提升2成，且每個vCPU支援的記憶體提高2.5成。該系列提供運算、記憶體、儲存和網路資源的平衡，適合企業網站、應用程式伺服器、遊戲伺服器或大多數的資料庫等應用。<a href=" https://cloud.google.com/blog/products/compute/expanding-virtual-machine-types-to-drive-performance-and-efficiency">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 除錯 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>EC2新API可讓用戶觸發OS核心錯誤，方便為實例除錯</strong></strong></p> <p>AWS日前為EC2新增可讓使用者遠端觸發核心錯誤（kernel panic）的API，以支援診端中斷（diagnostic interrupt）功能。過去，當EC2實例失去回應時，必須由人員實際按下伺服器上的不可遮罩中斷（non-maskable interrupt，NMI）按鈕，或透過序列介面項命令列控制器發送訊號，以觸發系統將凍結的核心狀態，轉儲到另一個存儲的檔案，像是核心轉儲（core dump）中，包含崩潰程序的記憶體映像檔、程式計數器以及系統暫存器等資訊，供管理員找出凍結的原因。</p> <p>新的API會發送似按下NMI按鈕的診斷中斷訊號到EC2實例上，讓實例管理程式對作業系統發送NMI命令。該API共有3個使用步驟，首先，需配置作業系統，EC2中Windows Server AMI已預設啟用記憶體轉儲功能，而Amazon Linux 2的用戶則須自行安裝傾印工具。接著，透過AWS CLI或SDK使用該API觸發核心錯誤，系統會在傾印記憶體後，自動重新啟動系統。最後，用戶能分析傾印資料，Linux用戶則須額外安裝分析核心轉儲的公用程式。AWS用戶可以在IAM政策中，設定具權限傳送診斷中斷的人員。目前該API已經在所有公共AWS區域開放使用。<a href="https://aws.amazon.com/tw/blogs/aws/new-trigger-a-kernel-panic-to-diagnose-unresponsive-ec2-instances/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> I/O </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 儲存服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure Ultra Disk Storage </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟推出為I/O密集任務設計的儲存服務Azure Ultra Disk Storage </strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Azure%20Ultra%20disk%20storage_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 500px;" /></strong></span></strong></p> <p>微軟正式推出儲存服務Azure Ultra Disk Storage，該服務專為I/O密集和高交易量的任務設計，能在高工作負載下，維持亞毫秒延遲及一致的效能，讓用戶能夠將關鍵企業應用部署到雲端，像是SAP HANA、 Oracle DB和MongoDB等資料庫服務。該儲存服務提供最小4 GiB到最大64 TiB的容量選擇，每GiB最多可支援300 IOPS，每個磁碟能提供最高160K IOPS，而每個磁碟吞吐量每秒最高達2,000 MB。由於Ultra Disk Storage不使用Azure Blob儲存快取，只提供非快取的讀寫服務。</p> <p>用戶若要動態調整磁碟效能，不需分離磁碟或重新啟動虛擬機器，該服務根據工作負載調整IOPS和吞吐量，一小時內動態配置就會生效。為達低延遲性，服務使用新虛擬磁碟客戶端（VDC），繞過負載平衡器和初始連結的前端伺服器，直接與儲存伺服器通訊，減少讀取和寫入需經過的層級，進而減少延遲。此外，新服務採用本地備援儲存體（Locally Redundant Storage，LRS）技術，在同一個區域中，儲存三份資料副本，任何應用程式寫入資料，只有當資料永久複製到LRS系統中，才會收到確認訊息，以供耐久性儲存。此新服務目前在Azure East US 2、North Europe以及Southeast Asia區域提供。<a href=" https://azure.microsoft.com/en-us/blog/announcing-the-general-availability-of-azure-ultra-disk-storage/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PowerShell模組 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS獨立各服務PowerShell模組，以減少模組載入時間</strong></span></strong></p> <p>AWS釋出新工具PowerShell模組預覽版，每個AWS服務都有獨立的PowerShell模組，而所有模組都相依於名為AWS.Tools.Common的共用模組，讓用戶可依需求安裝模組，不需下載包含所有服務小命令（cmdlet）的肥大模組。AWS從2012年開始，發布適用於PowerShell的AWS服務模組，原20個服務有約550個小命令，至今已涵蓋160多個服務，小命令更暴增近6千個。過去，AWS提供相同功能且可跨平臺版本的模組，然而，這麼多小命令皆放到單個模組，使模組載入的時間變得很冗長。新模組的設計可讓PowerShell的啟動速度加快，從原本接近半分鐘，現在只需要1到2秒鐘。通過新模組的翻新工程，AWS開發團隊也移除數個過時、廢棄的小命令。AWS承諾舊的AWSPowerShell和AWSPowerShell.NetCore模組仍會保留，並與新的模組一同更新，以維持回溯相容性，不過用戶需要注意，兩組不同的模組無法同時混用。 <a href=" https://aws.amazon.com/tw/blogs/aws/preview-release-of-the-new-aws-tools-for-powershell/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HBv2 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟為高效能運算應用推出新一代HB系列虛擬機器</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_HBv2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 400px;" /></strong></span></strong></p> <p>微軟推出Azure虛擬機器HB系列第二代HBv2，專為高效能運算應用設計，提供高階的硬體設備。該虛擬機器搭載120個AMD EPYC 7002系列CPU核心，每個CPU核心搭配4GB記憶體，因此整體擁有480GB記憶體，而記憶體頻寬則高達350GB/sec，高於x86約5成。每個HBv2可以提供雙精度4 teraFLOPS的效能，單精度則能有8 teraFLOPS，而這樣的效能是第一代的4倍。HBv2還支援200 Gb/s HDR技術InfiniBand，可以提供超低延遲的網路傳輸，也支援所有基於InfiniBand的訊息傳遞介面（MPI），比如OpenMPI、MVAPICH2、Platform MPI和Intel。在單個HBv2虛擬機器擴展集中，用戶可以使用多達36,000核心，執行單個MPI工作。此外，新一代虛擬機器具本地端NVMe SSD，可以臨時儲存各種檔案以及I/O模式，微軟提到，新代採用了突發緩衝技術BeeGFS BeeOND，單個HBv2虛擬機器擴展集（scale set）可以提供900 GB/sec的瞬間高峰I/O效能。微軟也發布經最佳化預建的CentOS映像檔，讓開發者能以HBv2最佳效能執行工作負載。<a href="https://azure.microsoft.com/zh-tw/blog/introducing-the-new-hbv2-azure-virtual-machines-for-high-performance-computing/">（詳全文）</a></p> <p><strong>圖片來源／微軟、蘋果 </strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 不再提供買斷版的Office套件軟體，微軟終止中小企業授權方案的Office永久授權</strong><a href=" https://www.microsoft.com/en-us/home-use-program/frequently-asked-questions">（詳全文）</a></p> <p><strong>2. VMware計畫收購以開源應用開發Cloud Foundry的雲端平臺及服務公司Pivotal </strong><a href=" https://ir.vmware.com/overview/press-releases/press-release-details/2019/Statement-regarding-Dell-Technologies-13D-filing-on-August-14-2019/default.aspx">（詳全文）</a></p> <p><strong>3. 2019 KPMG全球CIO調查報告：44％受訪者已大規模採用雲端技術</strong><a href=" https://home.kpmg/tw/zh/home/insights/2019/08/harvey-nash-kpmg-cio-survey-2019.html ">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2019年8月</strong></p> </div></div></div>
2019/8/23 10:12作者黃郁芸https://www.ithome.com.tw/news/132531
企業導入人臉應用更容易，商用產品充分提供支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以刷臉方式來驗證身分，可為企業各式場景帶來不同效益，而在AI人臉辨識技術提升精準度之下，讓人臉應用的產品也浮上檯面，值得注意的是，現在國內已有不同領域的業者，開發出各式基於人臉辨識的人員考勤、門禁、訪客管理的產品。</p> <p>例如，企業人事管理的上下班差勤記錄，過去都是用紙打卡或卡片感應，現在則是可以透過刷臉確認本人，記錄上下班或進出時間，對於企業門禁管理，過往也都是卡片感應、保全檢查識別證等方式進行，現在透過人臉也能更簡便的方式來確認員工身分，並且自動警示，這都將改變我們對傳統人員管理作法既定印象。不僅如此，在考勤與門禁應用之外，還有不少面向都可以用人臉辨識讓企業人員管理流程變得更簡便。</p> <p>過往，企業在關注人臉應用，但市面上可能缺乏商用化的產品。這兩年，<a href="https://www.ithome.com.tw/article/131699">臺灣已經有不少業者，正致力於發展人臉辨識引擎</a>，並期望能夠用於不同場景與領域，而目前看來，其實已有業者能將應用商品化，在企業人員管理的應用面向，腳步最快。</p> <p>在這次報導中，我們接觸到不同類型的廠商，包含了軟體公司，以及IP攝影機與智慧門禁的硬體公司，他們都在提供人臉辨識用於人員管理的產品方案，而這些產品也具有不同的特色與架構。</p> <p>為了因應更多產業、領域的情境，有些解決方案的開發，還是需要以專案形式，或是採取部分整合方式進行，但有了不少標準套裝功能產品的問世，其實也就意謂著，企業將能夠更容易在公司內導入。</p> <p><span style="font-size:28px;"><strong>研勤科技：聚焦人臉考勤應用，鎖定中小企業</strong></span></p> <p>從產品包裝型態來看，目前國內已有業者針對考勤、熟客的應用，推出功能專一的產品服務，研勤科技就是例子，他們的產品定位最清楚。</p> <p>關於員工差勤的應用面，幾乎是所有企業都會有的需求，過去最普遍的企業作法，就是購買打卡鐘，或是以卡片感應方式進行。該公司行銷長施心曼表示，他們現在對於這樣的需求，提供了PAKKA帕卡人臉考勤系統，並以平板與雲端的架構，讓中小企業也能夠輕易運用。而這樣的架構，其實與市面上的<a href="https://www.ithome.com.tw/news/91650">純平板POS應用，如iChef很相像，都讓商家只需透過平板結合雲端服務的方式</a>，即可簡便應用。</p> <p>在產品部署上，企業各據點配置一個刷臉打卡用的PAKKA平板裝置，運行的是Android系統與產品用戶端App，後端系統則是研勤維運的雲端平臺，方便人事單位在線上就可以查看出勤記錄。在管理上，除了員工人臉註冊，也能設定多個分點的打卡機綁定。</p> <p>雖然應用目的單純、功能制式，但對於中小企業而言，已經讓導入人臉辨識應用的門檻，大幅降低。在導入成本上，20個員工登入的一年服務費用是6,000元，而Android平板企業可自備，或是採購他們提供的8吋Android平板。</p> <p>對於人臉辨識可能遇到的問題，像是有員工拿照片或手機來蒙混過關，因為這個產品方案只是使用平板本身的鏡頭，若採用3D鏡頭則會增加客戶成本，因此他們也開發警示功能，可以將有問題的人臉列為「疑似假照片」，而系統也會保留擷取時的人臉圖片，如此一來，若是員工造假，公司也可事先規範，並能有憑有據的證明。</p> <p>當然，員工也可能擔心因此沒打到卡。施心曼表示，這套系統本身還可以結合LINE的訊息通知，系統後臺介面能設定綁定員工的LINE，讓每次刷卡完成時，使用者也都能夠收到提示，並且還有當下擷取的臉部照片，以及一個連結網址。這個網址，將能讓使用者連到後端系統的使用者管理介面，檢視員工自身的出勤記錄。</p> <p>另外，他們還開發出離線的功能，這主要是因為有些客戶端的網路環境不穩，像是無線網路連線中斷，這時App會先將記錄將留存在平板內，等網路連上後再回傳。</p> <p>對於管理者而言，系統本身也支援Excel匯入建立員工資料，以及Excel匯出算薪、即時顯示員工出勤等。</p> <p>研勤還有另一套Face8 VIP熟客系統，目標對象則是顧客，產品架構也與考勤系統不同。基本上，後端同樣是雲端平臺，前端硬體搭配的則是攝影鏡頭，企業櫃臺前也可配置平板顯示用戶端App，或是從管理介面綁定員工的LINE，讓訊息通知可以即時發送到店員手機上。當重要客戶到訪時，就能即時通知。</p> <p>施心曼指出，透過用戶端App或Web介面，將能夠看到原本採集的照片，以及即時捕捉的畫面，不管員工是側臉、玻璃門外、戴口罩都能識別。除了VIP客戶的應用，對於沒有在資料庫的來客，系統也能設定像是30天或7天內，顧客是否重複造訪，操作介面上也能隨時將來客新建為VIP，或是加上標籤。</p> <p>此外，他也表示，目前研勤也直接銷售人臉辨識引擎，主要是針對金融業，多是專案開發形式進行，主要也是銀行有比較高的資安與個資保護要求，較特別的是，他們可以提供開放原始碼的軟體形式，讓銀行檢查掃描。</p> <p class="rtecenter"><span style="color:#3366ff;"><span style="font-size:36px;"><strong>研勤科技力推門禁與熟客應用</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/934-%E7%A0%94%E5%8B%A4%E7%A7%91%E6%8A%80-01.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">在PAKKA人臉考勤系統中，研勤科技運用了平板與雲端技術來簡化架構，系統後臺並能設定多個分點與LINE通知，讓打卡記錄更確實。（攝影／羅正漢）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/934-%E7%A0%94%E5%8B%A4%E7%A7%91%E6%8A%80-02.png" style="height: 300px; width: 230px;" /></p> <p><span style="color: rgb(105, 105, 105);">在Face8 VIP熟客系統中，讓企業能掌握重要客戶的蒞臨，即時辨識註冊在人臉資料庫的來客，並透過LINE通知店員。（攝影／羅正漢）</span></p> <p><span style="color:#696969;"><strong>研勤科技針對人臉辨識應用，推出應用簡易的套裝產品，包括PAKKA帕卡人臉考勤系統，以及Face8 VIP熟客系統。在架構上，兩套產品略有差異，考勤系統在前端需配置一臺平板、運行考勤系統的用戶端App，管理者可從雲端服務後臺，檢視出缺席狀況；熟客系統在前端則要搭配網路攝影機，而後端同樣是雲端平臺。</strong></span></p> <p><span style="color:#696969;"><strong>在這樣的產品形式下，儘管功能簡單且制式，但也因為應用目的更為單純，讓中小企業可以更容易建置這樣的應用，並以較低的成本取得應用。</strong></span></p> <p><span style="color:#696969;"><strong>對應管理方面的需求，他們還設計了疑似假照片的警示功能，以及綁定員工LINE發送通知的機制，做到即時通知。</strong></span></p> <p><span style="font-size:28px;"><strong>旭人科技：強調多用途人員管理與高角度人臉識別</strong></span></p> <p>另一家發展影像管理軟體解決方案的旭人科技（iSAP），現也針對人臉辨識引擎與應用推出套裝的FRS（Face Recognition Server）產品。該公司系統整合處協理蔡坤志表示，這套軟體產品本身即包含出缺勤管理、VIP訪客推送和迎賓顯示的應用，同時也具備訪客管理、人臉追蹤，以及整合門禁系統和閘道機的功能。</p> <p>就他們的觀察，國內企業對於人臉門禁通關應用需求較多，主要是增加管理的方便性，也不像刷卡感應會有忘記帶卡的問題。</p> <p>在運作架構上，旭人科技提供的FRS軟體，企業可部署在配備Core i7處理器的NUC迷你電腦上，一臺電腦支援4個FHD的串流影像，每秒最多可辨識20張人臉，能將5萬張人臉登入至系統內，電腦通常布建在本地端，可節省頻寬並維持辨識速度。</p> <p>另外，對應企業本身跨點、跨區域的人臉辨識管控需求，他們也提供FRS Manager的管控平臺，做到集中管控。</p> <p>而在影像來源的要求上，只要是支援RTSP標準影像串流的監控攝影機，以及在200萬像素以上，就能符合他們人臉辨識軟體的應用。蔡坤志表示，這對於已經部署監控攝影機的企業，就可以直接拿來用，而不需花額外的成本。</p> <p>特別的是，他指出，一般攝影機可能架設在天花板高度，他們自身開發的人臉辨識引擎，強調支援高角度的辨識效果，除了可用於一般2.2公尺的樓高，3.5公尺高度拍下的人臉也可正常辨識，甚至是高達4.8公尺。</p> <p>一般而言，攝影機架設位置越高，對使用者的侵略感就不會那麼強烈，這也是他們主推高角度應用的重要原因。而且，不只是從由上往下的高角度，可正確識別人臉，他也表示，人員戴上眼鏡、口罩、帽子都可辨識。</p> <p>基本上，這套產品要執行人臉辨識時，可先透過FRS的管理介面，設定影像來源，並透過既有格式範本，近一步上傳員工資料與照片，而系統本身也提供進階的人臉捕捉設定，像是定義抓取人臉大小、側臉與間格時間等，預設是每秒辨識一個。</p> <p>應用時，企業管理人員可從後臺介面，檢視出缺勤記錄，以及個人當日工作時數統計，也可自行定義上下班的時間，報表匯出方面也支援Excel與HTML格式。</p> <p>特別的是，對於門禁管理的需求，在FRS管理介面上也提供門禁連動的設定介面。蔡坤志表示，目前系統可支援I/O設備、Wigan 26/34的設備，讓人員辨識成功後執行開門動作，</p> <p>同時，為了一些場景所需的辨識結果顯示需求，他們也提供了Android版的Attendance Client App，以及Windows的版本，讓企業在管控情境須要顯示時，能在用戶端介面，可即時呈現畫面。</p> <p class="rtecenter"><span style="color:#3366ff;"><span style="font-size:36px;"><strong>旭人科技主打高角度人臉識別</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/934-%E6%97%AD%E4%BA%BA%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">旭人科技推出的FRS（Face Recognition Server）產品，整合多項人員管理應用，並強調了高角度辨識能力。（圖片來源／旭人科技）</span></p> <p><span style="color:#696969;"><strong>由旭人科技（iSAP）推出套裝的FRS（Face Recognition Server）產品，可提供缺勤管理、VIP訪客推送和迎賓顯示的應用，並具備與門禁系統連動的設定，包括I/O設備與Wigan設備，可適用多種用途的人員管理需求。</strong></span></p> <p><span style="color:#696969;"><strong>在產品建置上，主要以閘道形式部署。該公司的FRS軟體，可以建置在本地端的一臺NUC電腦上，支援4個FHD的RTSP影像串流，做到人臉的辨識，並能註冊5萬張人臉至系統。另外，他們還提供FRS Manager，做到跨點、跨區域的集中管控。</strong></span></p> <p><span style="color:#696969;"><strong>特別的是，他們強調高角度的人臉辨識能力，也就是讓企業架設在樓高3.5公尺位置，甚至4.8公尺的網路攝影機，也能適用。另外，對應用戶端顯示的需求，他們也提供Attendance Client App，不僅提供即時呈現影像，畫面左下方也能顯示辨識結果。</strong></span></p> <p><span style="font-size:28px;"><strong>奇偶科技：提供豐富人臉門禁產品架構，甚至攝影機即內建</strong></span></p> <p>以網路攝影機聞名的安控業者奇偶科技，近期也搶進AIoT與人臉辨識市場。由於本身就是監控攝影機業者，該公司工業智能發展部經理李國惶表示，在人臉辨識的產品方案上，軟硬體他們都是自己開發。他們產品的建置方式很多元，包括人臉辨識攝影機，以及人臉辨識伺服器。</p> <p>其中，人臉辨識攝影機GV-VD8700最特別，因為它是結合網路攝影機與人臉辨識功能的產品。透過產品後臺的網頁管理介面，不只能檢視視訊影像，也具有人臉辨識、I/O設備連動，以及警示與動作偵測的功能設定，可定義1萬組人臉資料庫。</p> <p>對應不同需求，奇偶科技也提供了閘道式的應用，就是在企業內部建置一臺FR伺服器來辨識人臉，也是用一臺NUC並安裝他們的人臉辨識後端系統GD-FR伺服器軟體，來接收影像來源。較特別的是，該公司工業智能發展部專案經理王昶騰還表示，目前他們為了要降低硬體設備成本，正開發一個名為SAIBOX的小型運算裝置，並採用Linux作業系統。</p> <p>另外，他們還推出了兩款FD型的網路攝影機，是內建人臉偵測功能，分別是GV-BX8700-FD與GV-MD8710-FD。王昶騰解釋，這個人臉偵測功能的作用並不是在辨識，而是可以將人臉預先偵測處理。同時，奇偶還提供了一個可建置在企業總公司的Xeon伺服器，能與之搭配，讓預先偵測的人臉可送回後端辨識，達到集中辨識。</p> <p>另外，他們也提到攝影機對於人臉優化，以及背光處理的重要性。而在人臉辨識能力方面，基本上，他們的方案主要支援樓高2公尺的人臉辨識，最遠可達4公尺，可同時識別10個人臉，並在2秒內完成作業。</p> <p>特別值得一提的是，監控攝影機的資安問題，現在也備受重視，並在人臉辨識應用中也成為關鍵考量。難得的是，目前奇偶已有3款網路攝影機，獲頒物聯網資安標章合格產品證書，並且通過二級認證。這主要是因為在國際上，對於中國海康威視、大華控股的戒備日益升高，企業的人臉辨識若要搭配網路攝影機，必須注意這樣的資安問題。</p> <p class="rtecenter"><span style="color:#3366ff;"><span style="font-size:36px;"><strong>奇偶科技提供內建人臉辨識的網路攝影機</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/934-%E5%A5%87%E5%81%B6%E7%A7%91%E6%8A%80.png" style="width: 457px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">奇偶科技推出的網路攝影機GV-VD8700，內建人臉辨識系統功能，使用者透過設備的後端管理介面，就能設定人臉辨識資料庫等相關功能，以及檢視人員進出記錄。（圖片來源／奇偶科技）</span></p> <p><span style="color:#696969;"><strong>在奇偶科技提供的人臉辨識應用產品中，他們發展出多種架構，其中以內建人臉辨識系統的網路攝影機GV-VD8700最特別，一個硬體設備就能具備人臉辨識、I/O設備連動的設定。</strong></span></p> <p><span style="color:#696969;"><strong>對應人數更多的人臉辨識環境需求，他們也提供閘道式的部署方式，可在本地端建置一臺辨識人臉的FR伺服器，來接收最多4個影像來源。甚至，他們還具有內建人臉偵測的網路攝影機，以及可建置在企業總部的大型伺服器，讓偵測到的人臉送回遠端主機辨識與管理。此外，近年監控攝影機的資安問題備受企業關注，目前他們也有3款產品，通過物聯網資安標章的二級認證。</strong></span></p> <p><span style="font-size:28px;"><strong>結合第三方人臉辨識技術，打造新型人員管理應用</strong></span></p> <p>還有一些業者，現也透過取得第三方人臉辨識引擎，進而提供相關應用。</p> <p>例如，原本就發展企業智慧門禁解決方案的微程式資訊（Microprogram），現也結合了訊連科技的FaceMe臉部辨識引擎，提供人臉門禁方面的管控。</p> <p>在該公司開發的智慧門柱系統中，主體是一支直立式的硬體設備，整合了攝影鏡頭、顯示螢幕、讀卡機感應區與指靜脈辨識器，後端系統則建置在企業內部伺服器。</p> <p>特別的是，在應用面上，他們還同時提供了讓人員註冊用的Kiosk，方便企業在園區、廠區的人員管理，包含訪客與承攬商的拜訪、施工與車輛管制，並且具備訪客申請用的用戶端介面。因此，外部人員就能透過線上預約申請，而在申請流程中，各區域管理者將可各自審核，並決定針對該人員需啟用的認證方式，包括人臉、卡片或指靜脈，以及可進出的區域。此外，另外補充的是，還有像是門禁考勤機的業者達碩智慧科技（Tashi），他們也是將訊連科技的臉部辨識引擎，應用在他們的MT430門禁考勤機內。</p> <p>另一家這類型整合的業者是亞太電信，屬於鴻海、亞太集團，也利用中國曠視科技人臉引擎技術提供解決方案。在他們的標準型套裝方案中，產品內容包含人臉辨識主機、辨識攝影機、人臉資料庫、門禁控制器、迎賓顯示屏與API，提供客戶端刷臉差勤、門禁、訪客管理，以及VIP迎賓與黑名單警示的應用。而為了避免隱密資訊外流，他們表示，必須在企業內部網路下，才能進行服務，且辨識主機與資料庫，都將放置在企業端機房中。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/132468" target="_blank"><span style="color:#696969;">人臉考勤門禁應用在臺落地</span></a></span></strong></p> </div></div></div>
2019/8/23 09:00作者羅正漢https://www.ithome.com.tw/news/132465
GitHub使用者現可在更多平臺使用實體安全金鑰，作為第二身份驗證因素
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2019-08-21-github-supports-webauthn-for-security-keys/">GitHub現在於Windows、macOS和Linux，以及行動裝置Android和iOS多個作業系統，支援網頁安全身份驗證標準WebAuthn，以實體安全金鑰作為驗證身份的方法</a>，使用者可以這些支援的瀏覽器和裝置上，將安全金鑰用在雙因素驗證上。</p> <p>過去GitHub僅支援使用者在Chrome中，使用支援實驗性U2F API的物理安全金鑰，但由於WebAuthn現在已經成為標準，因此GitHub擴大支援的平臺，現在Windows、macOS、Linux和Android作業系統上的Firefox和Chrome的瀏覽器，都可以使用實體安全金鑰，而Edge的Windows版本也沒問題，在macOS上的Safari則開始進行技術預覽，iOS上則能在Brave上使用新的YubiKey 5Ci。</p> <p>另外，GitHub也在部分系統提供不需要實體安全金鑰的身份驗證方法，在Windows上的微軟Edge可以使用Windows Hello以臉部、指紋辨識以及PIN碼登入，macOS上的Chrome則能使用Touch ID，而Android上的Chrome也能使用指紋辨識登入。</p> <p>由於現在支援WebAuthn的平臺仍不夠普及，GitHub僅把安全金鑰作為身份驗證次要的第二因素，當之後有更多平臺提供支援，他們會評估把安全金鑰提升為主要的第二身份驗證因素。而更多平臺支援WebAuthn的另一個好處，是可以讓使用者以裝置上的生物認證，以非輸入密碼的單因素方式登入GitHub。</p> <p>GitHub提到，即便他們支援強身份驗證功能已經一段時間，但畢竟單一密碼還是最方便的登入方式，許多使用者還是不願使用密碼管理器或是雙因素身份驗證。</p> </div></div></div>
2019/8/22 18:15作者李建興https://www.ithome.com.tw/news/132560
Google、微軟、英特爾、IBM 等合組機密運算聯盟，推動TEE技術及標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google、微軟、英特爾及IBM等多家雲端和硬體大廠周三<a href="https://confidentialcomputing.io" target="_blank">宣佈</a>合組機密運算聯盟（confidential computing consortium，CCC），以打造在資料中心、雲端及邊緣運算環境下，資料安全的信賴執行環境（TEE）工具及標準規範。</p> <p>CCC是一專案社群，創立會員包括Google Cloud、IBM、微軟、英特爾、RedHat、ARM、百度、阿里巴巴、騰訊以及瑞士電信（Swisscom）。其專案也將由Linux基金會<a href="https://www.linuxfoundation.org/press-release/2019/08/new-cross-industry-effort-to-advance-computational-trust-and-security-for-next-generation-cloud-and-edge-computing/" target="_blank">代管</a>。</p> <p>這項專案發起是因為運算逐漸擴及多種環境，從公司資料中心、到公有雲和邊緣，隨著企業漸漸將商業系統部署到異質環境上，敏感的IP和作業資料需要有確實防護控管，以及控管的透明化。現有雲端運算只顧及儲存（at rest）及傳輸（in transit）中的資料，但如何加密使用中的資料則尚未健全，卻也是敏感資料完整的加密生命周期中最困難的一段。</p> <p>機密運算將能確保記憶體中處理加密資料時，而不曝露於系統其他部份，同時提供用戶更大控管及透明治理能力。實現機密運算最簡單的作法，是利用信賴執行環境（trusted execution environment, TEE）或稱安全區（enclave）。而CCC的目的即是集結雲端、硬體、開源碼專家及其他產業人士，來發展相關技術、規範標準及打造開源碼工具，促進TEE技術的普及。</p> <p>而創始會員也計畫將現有相關技術開源出來，首波專案包括英特爾Software Guard Extension<a href="http://01.org/zh/intel-softwareguard-extensions?langredirect=1" target="_blank">（Intel SGX）加密技術的</a><a href="https://01.org/zh/intel-softwareguard-extensions?langredirect=1" target="_blank">SDK</a>、微軟<a href="https://cloudblogs.microsoft.com/opensource/2019/08/21/microsoft-partners-linux-foundation-announce-confidential-computing-consortium/" target="_blank">Open Enclave SDK</a>框架及Red Hat Enarx等。</p> <p>雖然Google這次並未公布任何開源專案，但去年Google已將建立機密運算的框架技術<a href="https://www.ithome.com.tw/news/122924" target="_blank">Asylo</a>開源出來。</p> </div></div></div>
2019/8/22 12:55作者林妍溱https://www.ithome.com.tw/news/132555
OpenPower基金會宣布併入Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由IBM 與Google、Mellanox、Nvidia 及泰安電腦（Tyan）共同組成的OpenPower基金會在本周<a href="https://openpowerfoundation.org/the-next-step-in-the-openpower-foundation-journey/" target="_blank">宣布併入Linux基金會</a>，以採用更開放式的治理方式與原則，同時宣布開源Power晶片的指令集架構（Instruction Set Architecture，ISA）。</p> <p>2013年成立的OpenPower基金會（OpenPower Foundation）著眼於推動IBM Power微處理器架構，OpenPower總經理Ken King表示，當時他們看到摩爾定律的速度減緩，但市場上卻需要更強大的系統以支援超級電腦、人工智慧及資料分析，該基金會於焉誕生。</p> <p>在這6年以來，已有超過20個系統製造商打造逾40款基於Power的系統，經由OpenPower認證的產品已達150項，另也有2,500家獨立軟體供應商撰寫可在Power系統上運作的程式碼，可支援Power的Linux程式亦超過10萬種。</p> <p>事實上，目前全球效能最快的前兩大超級電腦Summit與Sierra，都是基於IBM Power。</p> <p>併入Linux基金會的OpenPower基金會將採用開放的治理模式，讓IBM與其它會員的投票權限趨於一致。</p> <p>此外，OpenPower基金會也開源了Power的指令集架構，以讓開發人員確保Power上的軟、硬體相容性。而這也代表其它企業能夠利用Power ISA來實現Power晶片而無需支付專利費用，還擁有所開發的產品專利權，只是仍然必須保持與該Power ISA的相容性。</p> </div></div></div>
2019/8/21 14:37作者陳曉莉https://www.ithome.com.tw/news/132537
資安一周第56期：知名的Linux/Unix網頁介面管理工具Webmin被發現有重大漏洞，系統管理員需注意修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0815-0821一定要看的資安新聞</strong></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃系統安全　＃Webmin漏洞</strong></span></h3> <h2><strong>Unix管理工具Webmin爆有遠端程式碼執行漏洞</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89defwebmin20-4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%C3%96zkan%20Mustafa%20Akku%C5%9F.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Özkan Mustafa Akkuş</span></p> <p>廣受歡迎的Unix/Lunix伺服器Web化管理工具Webmin，近日被土耳其安全研究人員Özkan Mustafa Akkuş發現，有遠端程式碼執行（RCE）漏洞，可讓遠端駭客以根權限執行惡意指令。</p> <p>這個編號CVE-2019-15107的漏洞，影響1.920版本以前的Webmin，它存在password_change.cgi元件中一段程式碼中，已經被列為重大漏洞。簡單來說，許多Webmin管理員都會開啟「user password change」的功能，讓使用者可以重設過期舊密碼。但研究人員發現，只要在傳送的指令參數中包含old引數（Argument），不論輸入資訊是否正確，該元件看到old就會驗證通過，進而將可控制執行Webmin的Unix、Linux伺服器。近日Webmin維護團隊已經修補，並發布1.930版本。<a href="https://www.ithome.com.tw/news/132511"><span style="color:#808080;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資安全　＃保全業者資料庫</strong></span></h3> <h2><strong>保全公司雲端平臺漏洞，讓千萬用戶指紋、人臉及個資曝險</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Biostar2-Kibana_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Vpnmentor.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／vpnMentor</span></p> <p>全球前50大保全業者Suprema，該公司的生物辨識雲端平臺被發現含有漏洞。基本上，他們的BioStar 2智慧門鎖平臺，可提供管理員各大樓、廠房的進出控管、管理用戶權限、存取人員活動記錄，並利用臉部辨識及指紋辨識資料來比對人員身分。但安全公司vpnMentor研究人員發現，該平臺有多項漏洞，讓他們得以搜尋並存取多個具有大批敏感資訊的資料檔案，其中有超過100萬人的指紋、人臉辨識資訊、未加密的用戶名稱、密碼、手機及OS、以及住家地址、公司組織架構、員工職稱，總數超過2780萬筆記錄，共23GB資料。</p> <p>而這些被公開於網路上的個資，也波及了全球企業，包括美國、英國、德國、日本及東南亞等地，研究人員指出，BioStar2平臺全球安裝數超過150萬，影響員工可能上看數千萬人。<a href="https://www.ithome.com.tw/news/132441"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Windows</strong></span></h3> <h2><strong>CTF協定權限升級漏洞，可造成Windows XP以後電腦被接管，用記事本就能攻擊</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89image16_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google%20Project%20Zero.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Goolge Project Zero</span></p> <p>最近，Google Project Zero揭露從Windows XP時代就存在的CTF協定漏洞，可使電腦被攻擊者接管，而微軟在接獲通報後，已經在這個月的Patch Tuesday安全更新中，發布修補程式。</p> <p>這項編號CVE-2019-1162的漏洞，存在於Windows的 CTextFramework（CTF）元件中，主要因為Windows進階本機程序呼叫（ALPC）處理不當造成。發現這次漏洞的研究人員Ormandy解釋，當Windows應用程式開啟時，就會同時啟動對應的CTF用戶端軟體，接著，從Windows的CTF服務接收關於鍵盤配置或輸入法的指令，兩者間的連線並沒有任何驗證或控管機制。<a href="https://www.ithome.com.tw/news/132438"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃線上帳密安全</strong></span></h3> <h2><strong>Google：1.5%網站用戶使用已外洩的憑證來登入</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89password_checkup_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Goolge</span></p> <p>今年2月，Google發表了Chrome擴充程式Password Checkup，可在使用者以遭駭憑證登入網站時跳出通知，本周Google公布了該擴充程式上線一個月之後的成果。</p> <p>根據Google的統計，有65萬名Chrome用戶下載Password Checkup並參與該實驗，在一個月裡，他們總計掃描了2,100萬個使用者名稱與密碼，並有31.6萬組曾出現在外洩資料庫中，代表當中有1.5%的憑證是不安全的，也就是使用已外洩的憑證來登入各式網站。同時Google也分析，使用者重覆利用遭外洩憑證的狀況，因所造訪的網站而有所不同。例如，在政府網站使用外洩帳密的比例只有0.2%，在金融網站有0.3%，在購物網站有1.2%，在新聞網站為1.9%，但在娛樂網站上使用這些外洩憑證的比例，則高達6.3%。<span style="color: rgb(128, 128, 128);"><a href="https://www.ithome.com.tw/news/132456">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃隱私漏洞　＃卡巴斯基</strong></span></h3> <h2><strong>卡巴斯基防毒軟體含有可能的隱私漏洞使得用戶被追蹤</strong></h2> <p>德國電腦雜誌c't本周披露，Winodws版的卡巴斯基防毒軟體暗藏隱私漏洞，可供網站追蹤用戶行為。該雜誌一名安裝了卡巴斯基防毒軟體的編輯Ronald Eikenberg，意外在某個所造訪網站的程式碼中，看到來自卡巴斯基的JavaScript程式，檢驗後發現它的作用是卡巴斯基用來賦予每臺電腦的ID。因此，只要能讀取Kaspersky ID的網站，就能利用該ID來追蹤使用者行為，可得知該名使用者是否曾造訪過該站，就算在無痕模式，也會被追蹤，因此，有可能遭到行銷人員或駭客的濫用。目前，卡巴斯基在今年7月修補，並將原本每臺電腦都具備的ID改成產品ID，使網站無法再辨識個別的用戶。<a href="https://www.ithome.com.tw/news/132471"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Windows安全更新　＃賽門鐵克</strong></span></h3> <h2><strong>＃賽門鐵克防毒軟體和Windows SHA-2不相容，微軟暫停更新</strong></h2> <p>微軟近日釋出的Patch Tuesday每月更新，發生與賽門鐵克或諾頓防毒軟體不相容的情況。根據微軟表示，問題是發生在KB4512486安全更新。當安裝了任何賽門鐵克端點防護、或諾頓防毒軟體的Windows 7及Server 2008 R2電腦，要下載只以SHA-2簽章的更新時，更新版本會遭到防毒軟體的封鎖或刪除，導致Windows電腦無法運作或無法啟動。目前，微軟已經暫時撤回更新，等修復後，將重新發布。<a href="https://www.ithome.com.tw/news/132435"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃藍牙漏洞</strong></span></h3> <h2><strong>KNOB藍牙漏洞可弱化加密效果，將導致裝置通訊內容外洩、被竄改</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Bluetooth%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Bluetooth%20SIG.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Bluetooth SIG</span></p> <p>最近有一個關於藍牙標準的安全漏洞被揭露，是由新加坡科技設計大學、劍橋大學及IT安全、隱私與責任中心研究人員共同發現。這個漏洞，被研究團隊稱為KNOB（Key Negotiation of Bluetooth），CVE編號為CVE-2019-9506，是評分為7.8分的高風險漏洞，與Bluetooth BR/EDR連線加密有關。</p> <p>當兩臺藍牙裝置建立連線時，會經由金鑰協商過程產生一把加密金鑰，但研究人員發現，遠端攻擊者可在不知兩臺裝置連線或金鑰情況下，干擾這個建立BR/EDR連線加密的程序，來降低金鑰的長度或熵值（entropy）。目前藍牙技術聯盟已經證實該漏洞，雖然目前還沒有遭成功利用的案例，但聯盟已經更新核心規格，建議硬體製造商對於Bluetooth BR/EDR連線的加密金鑰長度，需在7 octet以上。<a href="https://www.ithome.com.tw/news/132485"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃假訊息　＃國家安全</strong></span></h3> <h2><strong>防假訊息影響臺灣大選與國安，調查局成立假訊息防制中心</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E6%88%90%E7%AB%8B%E5%81%87%E8%A8%8A%E6%81%AF%E9%98%B2%E6%B2%BB%E4%B8%AD%E5%BF%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E6%B3%95%E5%8B%99%E9%83%A8%E8%AA%BF%E6%9F%A5%E5%B1%80.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自法務部調查局</span></p> <p>言論自由是民主政治的基石，但隨著網路科技與社群媒體的發展，散布錯誤不實訊息現象日益嚴重，已經成為各國關注焦點與挑戰。隨著臺灣總統、立委「二合一選舉」將在明年1月登場，我國法務部調查局在8月中旬宣布，除了之前成立的「二合一選舉查察專案」、「影響國安選舉假訊息處理小組」，為了提升案件調查能量，在8月8日，法務部更是新成立「假訊息防制中心」，將結合調查局資通安全處電腦偵辦科、資安鑑識科的人員，並從外勤機動站抽調專業調查官，以及統合六都調查處資安區域專責小組，共組團隊以執行假訊息的溯源偵辦，以維護國家安全及公平選舉。<span style="color: rgb(128, 128, 128);"><a href="https://www.mjib.gov.tw/news/Details?Module=1&id=501">更多內容</a></span></p> <p> </p> <h3><strong><span style="color:#B22222;">＃Virus Check</span></strong></h3> <h2><strong>臺灣本土惡意檔案檢測服務Virus Check開放民眾使用</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Virus%20Check_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAviruscheck_tw.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Virus Check網站</span></p> <p>對於線上的免費惡意檔案檢測服務，多數人應該都會想到VirusTotal，現在，使用者將多了一個可利用的管道，而且是臺灣本土的服務，那就是由台灣電腦網路危機處理暨協調中心（TWCERT/CC），今年7月中旬開始上線營運，對外開放免費使用的Virus Check，網址是<a href="https://viruscheck.tw/">https://viruscheck.tw/</a>。特別的是，Virus Check不只運用了靜態分析，還會透過沙箱進行動態分析，並將兩種分析結果將同時且互補地檢驗，做到更好的檢測成效。<span style="color: rgb(128, 128, 128);"><a href="https://www.ithome.com.tw/news/132508">更多內容</a></span><br /> </p> <h4><span style="color: rgb(0, 153, 255);"><strong>更多資安動態</strong></span><br /> ●<a href="https://www.ithome.com.tw/news/132496">臉書Zoncolan除錯平台可在30分鐘內偵測逾1億行程式</a><br /> ●<a href="https://www.ithome.com.tw/news/132455">洩露Capital One上億個資的員工，同時也竊取了30多家企業資料</a><br /> ●<a href="https://www.ithome.com.tw/news/132460">報導：華為協助烏干達政府竊聽政敵通訊</a><br /> ●<a href="https://www.ithome.com.tw/news/132486">超過20個位於美國德州的政府機構遭到勒索軟體攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/132443">研究人員打造可偵測信用卡側錄裝置的Bluetana程式</a><br /> ●<a href="https://www.ithome.com.tw/news/132109">靠AI扮演壞人來練兵！SAS揭露用GAN設計金融防詐欺模型的新作法</a><br /> ●<span class="views-field views-field-created"><span class="field-content"><a href="https://www.ithome.com.tw/news/132487">Google欲將HTTPS憑證縮短到1年</a></span></span> </h4><p> </p></div></div></div>
2019/8/20 17:54作者羅正漢https://www.ithome.com.tw/news/132521
Unix管理工具Webmin爆有遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣受歡迎的Unix類伺服器Web化管理工具Webmin被發現有遠端程式碼執行（RCE）漏洞，可讓遠端駭客以根權限執行惡意指令。</p> <p>Webmin是許多Unix作業系統如Linux、FreeBSD、OpenBSD等遠端系統管理員愛用的Web app，可用以修改OS設定、建立用戶帳號、管理磁碟容量、檔案或服務，以及管理遠端伺服器上的軟體如Apache HTTP Server、BIND DNS Server、MySQL、PHP、Exim等等。Webmin官方GitHub網頁<a href="https://github.com/webmin/webmin" target="_blank">宣稱</a>其全球用戶超過百萬。</p> <p>土耳其安全研究人員Özkan Mustafa Akkuş近日<a href="https://www.pentest.com.tr/blog/AppSecVillage.html" target="_blank">發現</a>Webmin上出現遠端程式碼執行（remote code execution，RCE）漏洞，並在上周的<a href="https://www.appsecvillage.com/agenda#h.p_z5PXmw9JyX5g" target="_blank">AppSec Village大會上公佈</a>。</p> <p>這個編號<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-15107" target="_blank">CVE-2019-15107</a>的漏洞影響1.920版本以前的Webmin，它出在password_change.cgi元件中一段程式碼中。許多webmin管理員都會開啟「user password change」的功能，它讓使用者可以將過期舊密碼重設為新密碼。</p> <p>研究人員發現，只要在傳送的指令參數中包含old引數（Argument），password_change.cgi看到有old就驗證通過，不論輸入的用戶名稱、舊密碼或其他資訊是否正確，這即可達成權限升級，允許未獲授權攻擊者在Webmin app輸入任何指令，進而控制執行Webmin的Unix、Linux伺服器。CVE-2019-15107被列為重大（critical）風險。</p> <p>Webmin維護團隊周一<a href="https://www.reddit.com/r/netsec/comments/crk77z/0day_remote_code_execution_for_webmin/excgwnt/" target="_blank">指出</a>，這並不是程式編寫的瑕疵，而是「程式撰寫基礎架構有漏洞遭惡意程式碼注入」的結果。維護團隊也在周一修補漏洞並發佈新（1.930）版本Webmin及Usermin，可從SourceForge<a href="https://sourceforge.net/projects/webadmin/files/webmin/" target="_blank">下載</a>。</p> </div></div></div>
2019/8/20 13:35作者林妍溱https://www.ithome.com.tw/news/132511
微軟買下Java效能最佳化工具jClarity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一<a href="https://blogs.microsoft.com/blog/2019/08/19/microsoft-acquires-jclarity-to-help-optimize-java-workloads-on-azure/" target="_blank">宣佈買下</a>Java效能最佳化工具供應商jClarity，用以強化Azure上的Java應用程式執行。</p> <p>2012年創立於倫敦的jClarity是 AdoptOpenJDK專案的主要維護者，AdoptOpenJDK主打可免費取代Oracle Java。微軟表示，jClarity團隊包含Java專家及資料科學家，在資料驅動的Java VM最佳化表現卓著。而微軟從2018年也開始贊助AdoptOpenJDK專案，建立跨Linux和Windows平台的OpenJDK函式庫。</p> <p>微軟表示，近年來該公司大量使用Java，並有許多大規模系統，像是Azure HDInsights和《當個創世神Minecraft》。此外，也有許多客戶將Java應用搬上Azure，像是Adobe、汽車大廠戴姆勒（Daimler）及法國興業銀行等。由於Azure半數運算作業都是跑在Linux上，因此支援開源碼及Java乃是大勢所趨，jClarity技術將可協助提升包括外部客戶和微軟自有Java程式在Azure上運作效能。</p> <p><a href="https://www.jclarity.com/index.php" target="_blank">jClarity</a>由執行長Martijn Verburg及Ben Evans、Kirk Pepperdine<a href="https://www.crunchbase.com/organization/jclarity#section-overview" target="_blank">共同創辦</a>，員工不到10人。加入微軟Azure後將持續參與OpenJDK社群。本案收購金額不詳。</p> </div></div></div>
2019/8/20 13:55作者林妍溱https://www.ithome.com.tw/news/132513
Container周報第110期:第一個Mac平臺的Kubernetes容器調度軟體來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2><strong>8/9~8/15精選容器新聞</strong></h2> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#MAC平臺、#Docker、#Kubernetes</span></strong></span><br /><span style="color:#FF8C00;"><strong>第一個Mac的Kubernetes容器調度解決方案Orka亮相</strong></span></h3> <p>企業級Mac雲端基礎設施供應商MacStadium推出了Orka（Orchestration with Kubernetes on Apple），這是基於Docker和Kubernetes技術在Mac上的虛擬層，用戶可以在macOS上的虛擬機器，使用原生Kubernetes指令管理容器，MacStadium提到，Orka是第一個Mac的Kubernetes容器調度解決方案。Orka為Apple硬體建構新的虛擬化技術，並且使用標準雲端排程工具。官方提到，任何版本的macOS，都能在數秒鐘啟動虛擬機器，之後交由Kubernetes叢集調度這些Pod，讓Apple開發人員也可以應用，與其他平臺相同的容器管理方法。由於Orka基於Kubernetes技術，因此也支援KubeCTL、KubeDashboard和Autoscaling等標準工具的存取。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#Hyper-V、#VM安全</span></span><br /><span style="color:#FF8C00;">微軟8月大修補93個漏洞，29個重大漏洞中有兩個專攻Hyper-V</span></strong></h3> <p>微軟在今年8月的Patch Tuesday修補了93個安全漏洞，並有29個被列為重大（Critical）漏洞，包括微軟特別提出警告的CVE-2019-1181與CVE-2019-1182，以及最新剛被公開披露的HTTP/2漏洞。其中，有16個與Windows有關，12個與繪圖元件有關，9個與腳本引擎有關，7個與Hyper-V有關，7個與RDP有關，與Windows核心及Office有關的漏洞各有6個，另有5個與HTTP/2有關。尤其是，列為重大等級的安全漏洞中，有兩個與Hyper-V有關，它們分別是CVE-2019-0720與CVE-2019-0965，它們都允許駭客透過Guest OS於Host OS上執行任意程式。</p> <p>資安專家推測，不久的將來應該就能看到各種開採RDP漏洞的攻擊程式在市場上流竄。上述4個RDP漏洞都可能發展成蠕蟲式攻擊，亦即它們能自行複製並散布至其它系統，其它的蠕蟲式漏洞還包括位於DHCP客戶端的CVE-2019-0736，存在於LNK的CVE-2019-1188，藏匿在Word中的CVE-2019-1201，或是Bluetooth Classic的加密金鑰協商漏洞CVE-2019-9506。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_VM%E5%AE%89%E5%85%A8.jpg" /></p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#RDP、#VM安全</span></strong></span><br /><span style="color:#FF8C00;"><strong>資安研究人員踢爆：微軟忽視RDP漏洞直至察覺它影響Hyper-V</strong></span></h3> <p>Check Point的安全研究人員Eyal Itkin最近踢爆，他們在去年10月曾向微軟提交一個遠端桌面協定（Remote Desktop Protocol，RDP）漏洞，但當時微軟不以為意，一直到微軟察覺該漏洞危及Hyper-V，才申請了CVE-ID漏洞編號並於今年7月修補。Hyper-V中有一個增強工作階段（Enhanced Sessions）模式，啟用後可重新定向本地端的裝置與資源，還具備了剪貼簿同步功能。Itkin發現它此一同步功能的設定介面與RDP一模一樣，而且可用同樣的腳本程式開採，但這卻是一個因RDP漏洞而起的Hyper-V guest-to-host虛擬機器逃逸漏洞（Hyper-V guest-to-host VM escape）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_RDP%E6%BC%8F%E6%B4%9E%E5%BD%B1%E9%9F%BFVM_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" /></p> <h3> <span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#無伺服器、#GCP</span></strong></span><br /><span style="color:#FF8C00;"><strong>GCP大數據分析整合無伺服器應用更容易，Cloud Functions可以直接整合BigQuery了</strong></span></h3> <p>Google為即時分析Cloud Storage中的資料，提供了一個新的途徑，用戶除了可以使用Cloud Dataflow進行複雜的資料串流處理之外，現在還可以使用無伺服器服務Cloud Functions，以函式自動地將資料串流到BigQuery，進行快速分析。相較於能夠用來處理複雜ETL工作以及大型資料集的Cloud Dataflow，Cloud Functions相對來說更為簡單靈活，除了能適時縮放運算能力，適應需要處理的資料量外，用戶還能以Cloud Functions自定義功能，執行像是使用Cloud Firestore資料庫等其他任務。</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#CI/CD、#GitHub</span></strong></span><br /><span style="color:#FF8C00;"><strong>GitHub Actions完整支援CI/CD，免費公開儲存庫也可用</strong></span></h3> <p>GitHub更新工作流程自動化平臺Actions，現在進一步完整支援持續整合和持續交付功能，而GitHub Actions支援的作業系統也從Linux，擴展到了macOS和Windows，支援的語言和框架包括了Node.js、Python以及.NET等。新提供的矩陣建置（Matrix Builds）功能，讓軟體開發團隊可以同時測試專案中的多個版本，以實現工作平行化減少測試時間，而在測試任務的安排上，GitHub也可以自動從現成的CI/CD池中，挑選並建議相關的工作流程。正式版預計會在今年11月13日上線。<br /> 未來Actions的更新，將會提供給使用者自託管的執行程式（Runner），當開發者在自己的資料中心執行虛擬機器，或是在雲端上運作的實例，開發者可以自己安裝Actions執行程式，同樣也能以簡單的方法自動化工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_GitHub%20Actions.jpg" /></p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#高效能運算、#Azure</span></strong></span><br /><span style="color:#FF8C00;"><strong>Azure推出高效能運算應用專用的HBv2虛擬機器系列，效能是前一代的4倍</strong></span></h3> <p>微軟推出Azure第二代HB系列虛擬機器HBv2，專為高效能運算應用設計，提供高階的硬體設備，微軟也發布經最佳化的預建置的CentOS映像檔，讓開發者能以HBv2最佳效能執行工作負載。<br /> HBv2虛擬機器搭載120個AMD EPYC 7002系列CPU核心，每個CPU核心搭配4GB記憶體，因此整體擁有480GB記憶體，而HBv2的記憶體頻寬高達50GB/sec，約是x86的150％。每個HBv2可以提供雙精度4 teraFLOPS的效能，單精度則能有8 teraFLOPS，而這樣的效能是第一代的4倍。</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">API管理、微服務安全、Apigee</span></strong></span><br /><span style="color:#FF8C00;"><strong>Apigee API新增安全報告功能，助企業評估API服務安全性</strong></span></h3> <p>Google在Apigee API管理平臺新增了API安全報告功能測試版，除了讓企業可以確保API服務符合安全法規之外，還能透過分析用戶行為，即時保護用戶敏感資料，而當API發生安全事件時，也能快速地診斷問題發生位置。<br /> 不少企業使用API作為連接關鍵應用程式的標準，營運團隊需要隨時監控並維護API服務的運作狀況，避免在內部或是外部遭到濫用，而現在Apigee API管理平臺加入的安全報告功能，其主要具有3項核心功能，包括安全法遵、資料保護以及診斷功能。</p> <p> 責任編輯／王宏仁</p> <h3><strong>更多Container動態</strong></h3> <ul><li>台灣大哥大和VMware、數位通聯手推出運算雲Plus，搶攻企業上雲需求</li> <li>Google擴充Compute Engine虛擬機器類型，推出N2、C2和M2系列測試版</li> <li>AWS獨立各服務PowerShell模組，以減少模組載入時間</li> <li>Slack釋出新的企業管理功能</li> </ul><p> ＠資料來源：iThome整理，2019年8月</p> </div></div></div>
2019/8/20 10:00作者王宏仁https://www.ithome.com.tw/news/132505
Windows 10 20H1預覽版將記事本獨立出來，移到Windows Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>之前<a href="https://www.ithome.com.tw/news/129044" target="_blank">媒體報導</a>，Windows 10 20H1將只是小改版，不會有什麼大更新。不過還是有些有趣的改變。例如<a href="https://blogs.windows.com/windowsexperience/2019/08/16/announcing-windows-10-insider-preview-build-18963/#DdjQCoxTQVMEw86h.97" target="_blank">微軟上周五釋出</a>Windows 10 20H1的開發商預覽測試版，首度將記事本（Notepad）獨立成為可由Microsoft Store下載的app。此外還加入GPU溫度監控、虛擬桌面重新命名等功能。</p> <p>已經30多歲的記事本一直是許多人愛用的文字編輯器，微軟也陸續加入新功能，例如<a href="https://www.ithome.com.tw/news/123086" target="_blank">去年的1809版Windows 10更新就為記事本加入</a>支援Unix/Linux（LF）及Mac斷行字元（CR）、將特定詞反白後按右鍵選單可在Bing搜尋欄自動填入、以及在檔名處以「*」號顯示尚未儲存。而在最新的代號Build 18963的Windows 10 20H1 Insider Preview中，記事本將移到Microsoft Store中供獨立下載。這讓微軟未來可以隨時增加新功能，不用再等新版Windows更新才釋出。</p> <p>Build 18963其他新功能還包括在「工作管理員」中加入GPU溫度監控，這也是要求呼聲最高的功能之一，不過目前只支援有專屬GPU顯卡的系統，也只顯示攝氏溫度，用戶需要更新顯卡的驅動程式。並加入為虛擬桌面重新命名的功能，按下工作列上的「工作檢視」或按「WIN快捷鍵＋空白鍵」即可找到並重新命名。此外，Windows 10的「設定」也改善了選用功能（Optional Features）的功能，包括一次多選並安裝、分類更容易等，此外也把調整滑鼠游標速度的功能歸入到Windows 10的「設定」。</p> <p>新版Windows 10更新還特別為繁體中文輸入法修正幾個問題，包括在「設定」關閉輸入法工具列時卻還跳出來、於工具列選單中加入「隱藏工具列」的按鍵。而且也修正了候選字視窗字數太少、以及在工具列中無法以數字鍵選字的問題。 </p> </div></div></div>
2019/8/19 16:35作者林妍溱https://www.ithome.com.tw/news/132493
EC2新診斷中斷API可讓用戶觸發OS核心錯誤，方便為實例除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-trigger-a-kernel-panic-to-diagnose-unresponsive-ec2-instances/">AWS為EC2增加了診斷中斷（Diagnostic Interrupt）API</a>，當EC2實例失去回應的時候，用戶就能使用這個API，遠端觸發核心錯誤（Kernel Panic），並視作業系統的設定，進行記憶體傾印與重新啟動等動作。</p> <p>系統管理員在為沒有回應的伺服器除錯時，有時候必須實體按下非可封鎖中斷（non-maskable interrupt，NMI）按鈕，或是透過序列介面向命令控制器發送訊號，以觸發系統傾印核心狀態到檔案中，這個核心轉儲（Core Dump）的檔案會包含崩潰程序的記憶體映像檔、程式計數器以及系統暫存器等資訊，供系統管理員找出核心失去回應的原因。</p> <p>而現在AWS為EC2增加了能讓使用者遠端觸發核心錯誤的API，EC2:SendDiagnosticInterrupt API會發送類似按下實體NMI按鈕的診斷中斷訊號到EC2實例上，並讓實例管理程式對作業系統發送NMI命令。當作業系統收到NMI中斷後，根據作業系統的配置執行動作，一般會產生核心轉儲資料檔案，並接著重載核心或是重新啟動系統。</p> <p>AWS提到，用戶使用這個觸發核心錯誤API，總共有三個步驟，分別是配置作業系統、觸發核心錯誤，接著就能分析傾印的內容。在作業系統配置方面，EC2中的Windows Server AMI已經預設啟用記憶體傾印功能，且會在儲存完核心轉儲之後自動重新啟動。而Amazon Linux 2的用戶，則必須要自己安裝傾印工具，進行一次性設置，設定包括保留給核心轉儲的記憶體大小，以及收到中斷時觸發核心錯誤等。</p> <p>當配置完成，用戶就能夠透過AWS CLI或是SDK，使用這個API觸發核心錯誤，系統會在傾印記憶體之後自動重新啟動系統，CLI並不會收到任何回傳值，AWS表示，這是正常的現象，而當實例重新啟動之後，用戶可以在/var/crash找到傾印的崩潰資料。最後，用戶就能夠分析傾印資料，在Linux上，用戶必須額外安裝分析核心轉儲用的公用程式。</p> <p>AWS用戶可以在IAM政策中，設定組織中有權限傳送診斷中斷的成員。目前這個API已經在所有公共AWS區域開放使用</p> </div></div></div>
2019/8/19 11:25作者李建興https://www.ithome.com.tw/news/132476
一周大事：微軟中小企業授權HUP方案不再提供買斷版Office套件軟體。AMD超多64核心EPYC處理器上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>微軟中小企業授權方案不再提供Office永久版</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%BE%AE%E8%BB%9FHUP.png" style="width: 500px;" /></p> <p>隨著發展政策積極轉向Office和Windows訂閱營收模式，微軟近日悄悄公布終止中小企業授權（Home Use Program，HUP）方案中的Office永久授權，也就是不再提供買斷版的Office套件軟體。</p> <p>微軟原先的「家用計畫」（HUP），會提供中小企業優惠價的Office產品，包含Office永久授權的Office專業增強（Professional Pro）、標準版（家用及中小企業版）Office或Mac版Office等。這些是買斷型的授權，對不想轉換或尚未準備好轉到雲端的中小企業用戶來說，是不錯的選擇。</p> <p>但目前微軟家用計畫相關網頁則顯示，Microsoft 正在更新軟體家用計畫，該計畫方案已不再提供 Office 專業增強版 2019 和 Office 家用及中小企業版 2019。<a href="https://www.ithome.com.tw/news/132392" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>AMD超多64核心EPYC處理器上市</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941%EF%BC%9ADSC_0174_%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影_余至浩</span></p> <p>【舊金山直擊】兩年前，借助第一代超多核心EPYC處理器的推出，吹響了AMD反攻市場的號角，AMD近日更在舊金山舉行的AMD EPYC產品發布會上，更乘勝追擊，大動作宣布新一代超多64核心EPYC伺服器處理器正式推出上市。還一口氣推出多達19款新EPYC處理器產品型號，同樣主打超多核心、高性價比，其中最便宜的版本售價不到500美元，最高階的EPYC 7742處理器則要6,950美元。</p> <p>超多核心CPU產品EPYC，靠著採用更先進製程與全新Zen架構，迅速讓三度失利的AMD重新在伺服器市場打響名號，兩年下來，不只中止AMD連年虧損，從2017年逐漸轉虧為盈，更靠著主打超多核心、高性價比的策略奏效，長年落後的AMD，從原先不到1％的全球市占，提升到了如今的近5%，更有資格與英特爾競爭。<a href="https://www.ithome.com.tw/news/132303" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>HTTP/2含有服務阻斷漏洞，多家科技大廠受波及</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20HTTP2%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Netflix.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Netflix</span></p> <p>美國CERT/CC警告，許多HTTP/2實現含有服務阻斷（DoS）攻擊漏洞，影響蘋果、臉書、微軟等眾多業者或專案。</p> <p>HTTP/2為新一代的HTTP傳輸協定標準，主要採用由Google所開發的開放SPDY協定。</p> <p>CERT/CC表示，由於HTTP/2需要比HTTP/1.1更多的資源來進行連結，在安全上，儘管它已經考慮了大多數可預期的行為，但如何減少實現時的異常行為依然引來許多缺陷。</p> <p>駭客只要利用許多串流向特定資源請求大量資料；或是持續向某個HTTP/2 Peer發送Ping指令；還是創造多個請求串流，並持續改變串流的優先順序；或者開啟多個串流，在每個串流中夾帶無效請求，都能大量消耗系統資源，而單一系統的終止，可能影響其它伺服器的運作，造成阻斷服務攻擊。<a href="https://www.ithome.com.tw/news/132414" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣再奪全球駭客CTF大賽亞軍</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/CTF%E5%8F%B0%E7%81%A3%E8%81%AF%E9%9A%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_HITCON.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_HITCON</span></p> <p>代表臺灣參加第27屆DEF CON CTF（搶旗攻防賽）比賽的臺灣聯隊HITCON x BFKinesiS，在歷經三天不眠不休的熬夜解題，獲得第二名的好成績。這也是臺灣代表隊參加DEF CON CTF迄今第六年，在資深老將HITCON戰隊與新生代戰隊BFKinesiS合體後，再度獲得亞軍的殊榮。今年的冠軍隊伍則是美國PPP（Plaid Parliament of Pwning）戰隊，中國隊Tea Deliverers位居第三。<a href="https://ithome.com.tw/news/132347" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GitHub Actions全面支援CI/CD了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20Actions_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GitHub.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_GitHub</span></p> <p>日前GitHub更新工作流程自動化平臺Actions，現在進一步完整支援持續整合和持續交付功能，而GitHub Actions支援的作業系統也從Linux，擴展到了macOS和Windows，支援的語言和框架包括了Node.js、Python以及.NET等。正式版預計會在今年11月13日上線。</p> <p>作為一個工作流程自動化平臺，GitHub Actions提供了一系列控制API，讓開發者可以在事件發生時，協調和編排工作流程，並且提供用戶豐富的回饋資訊，在流程中確保每一步驟的運作安全。開發者還可以將工作流程和步驟，編寫成程式碼儲存在儲存庫中，用管理程式碼的方式管理工作流程，並與團隊共享或是重用軟體開發實踐。<a href="https://www.ithome.com.tw/news/132336" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>博通以107億美元收購賽門鐵克企業安全部門</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8D%9A%E9%80%9A%E6%94%B6%E8%B3%BC%E8%B3%BD%E9%96%80%E9%90%B5%E5%85%8B.png" style="width: 500px;" /></p> <p>一如上個月媒體報導，通訊晶片大廠博通（Broadcom）於8月8日宣布以107億美元現金，收購賽門鐵克（Symantec）的企業安全業務以強化軟體業務，而賽門鐵克仍然保有消費性安全產品，包括身分防護服務LifeLock及諾頓（Norton）防毒軟體。</p> <p>CNBC報導，美國啟動對華為出售關鍵零組件的禁令直接衝擊博通，迫使其調降6月營收預測。博通執行長Tan指出，加碼軟體有助於平穩公司業務，賽門鐵克產品也可和之前收購的Brocade及CA，創造交叉銷售的機會。<a href="https://www.ithome.com.tw/news/132339" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>英特爾CPU再現推測執行漏洞</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_CPU%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Slejven%20Djurakovic.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Slejven Djurakovic</span></p> <p>資安業者Bitdefender揭露另一個英特爾CPU的推測執行漏洞，該漏洞為Spectre的變種，過去曾有的修補都不管用，同樣允許駭客存取記憶體中的機密資訊，英特爾、微軟與紅帽也對此發出警告。</p> <p>推測執行（Speculative Execution）為一用來提升CPU效能的設計，可提前執行可能需要的指令，這些指令可能與私有資料有關，並把資料帶入快取，駭客即可開採此一程序，讀取存放在記憶體中的機密資訊，又稱為旁路攻擊。</p> <p>Bitdefender所發現的漏洞牽涉到SWAPGS指令，它可在64位元的x86處理器中置換GS暫存器的值，以存取核心空間的資料，因而可能遭到駭客利用，駭客只要藉由惡意的本地端程式，就能存取原本無權存取的系統記憶體。</p> <p>Bitdefender去年就向英特爾提報該漏洞，根據英特爾的說法，評估後判斷針對該漏洞的最佳緩解之道在於軟體層面，因此交由微軟主導，與相關第三方協商補救措施。</p> <p>其實微軟已在7月的Patch Tuesday例行性安全更新中，修補了這個CPU推測執行漏洞，編號為CVE-2019-1125，只是在8月初與其它業者同步揭露。該漏洞波及Windows 7、Windows 10及Windows Server等平臺。</p> <p>至於紅帽則說，除了更新Linux核心並重啟系統之外，並沒有其它完整的緩解辦法，但目前尚未得知有任何途徑可在Linux系統上開採該漏洞。眾多Red Hat平臺都受到影響，紅帽建議用戶要儘速更新。<a href="https://www.ithome.com.tw/news/132289" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>不用CPU，GPUDirect載入大型資料集能更快</strong></span></p> <p>繪圖晶片大廠Nvidia發展了名為GPUDirect儲存（GPUDirect Storage）的資料傳輸技術，加快位在各種儲存的資料，傳輸到GPU記憶體的速度，可以將頻寬增加至原本的2到8倍，而且還能降低端到端的延遲達3.8倍。</p> <p>目前資料從NVMe磁碟傳輸到GPU記憶體的標準路徑，是使用系統記憶體中的反彈緩衝區（Bounce Buffer），而GPUDirect儲存技術則避免使用反彈緩衝區，以減少額外的資料副本，並使用直接記憶體存取引擎（DMA）將資料直接放到GPU記憶體中，為遠端或是本地儲存，諸如NVMe或NVMe over Fabric，和GPU記憶體之間，建立一個直接傳輸資料的路徑，而這能有效減輕CPU I/O的瓶頸，提升I/O頻寬和傳輸資料的量。</p> <p>Nvidia在GPU資料科學平臺RAPIDS中的GPU資料影格（GPU DataFrame，GDF）函式庫cuDF上進行實驗，發現使用GPUDirect存儲技術，比起原始cuDF CSV讀取程式，將資料傳輸到GPU記憶體的吞吐速度快了8.8倍。<a href="https://www.ithome.com.tw/news/132372" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GCP再推出多款新虛擬機器，通用VM規格大提升</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Compute%20Engine_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>八月初Google推出新一波虛擬機器測試版，包括專為計算密集應用程式設計的虛擬機器C2，和記憶體最佳化虛擬機器M2系列，還推出性價比更高的通用虛擬機器N2系列。</p> <p>M2系列則是為滿足高記憶體配置需求應用推出的虛擬機器，支援的記憶體容量最高達12TB，可供SAP用戶在GCP上執行SAP Hana，或是分析工作負載等記憶體密集的任務。<a href="https://www.ithome.com.tw/news/132400" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>小心Amazon EBS配置不當，恐讓機密資料曝光</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_EBS%E9%85%8D%E7%BD%AE%E4%B8%8D%E7%95%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_goodfreephotos%E7%B6%B2%E7%AB%99.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_goodfreephotos網站</span></p> <p>不只是Amazon S3含有配置不當造成資料外洩的問題，資安業者Bishop Fox警告，Amazon Elastic Block Store（EBS）在快照功能上的配置不當，也會讓企業的機密資訊全都曝光。</p> <p>Amazon EBS為一高效能區塊儲存服務，專門用來存放Amazon EC2執行個體的持久性資料，而快照則是用來備份Amazon EBS，多半是備份檔案系統或大型資料庫等重要任務。</p> <p>不過，Bishop Fox的安全研究人員發現，許多企業的雲端管理員在使用Amazon EBS的快照功能時，不小心在配置設定上，將快照設為公開且未加密。<a href="https://www.ithome.com.tw/news/132380" target="_blank">更多內容</a></p> </div></div></div>
2019/8/16 15:00未署名https://www.ithome.com.tw/news/132457
蘋果控告Corellium非法複製iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周向美國佛州南區地方法院遞出訴狀，<a href="https://www.scribd.com/document/422014589/Apple-Inc-vs-Corellium-LLC#from_embed?campaign=SkimbitLtd&ad_group=73726X1523000X2ea362159f43c212f7afa0695f1f2661&keyword=660149026&source=hp_affiliate&medium=affiliate" target="_blank">控告行動裝置虛擬化業者Corellium</a>非法複製iOS與其它蘋果程式，<a href="https://www.macrumors.com/2019/08/15/apple-corellium-copyright-infringement-lawsuit/" target="_blank">侵犯蘋果專利</a>。</p> <p>Corellium的官網上並無具體的產品或服務說明，不過在該公司的官方Twitter上，標榜它們是全球唯一一個可在雲端或就地部署的ARM上，提供iOS、Android與Linux虛擬化的平台。</p> <p>而根據蘋果的描述，Corellium所開發的其中一個產品，宣稱可複製蘋果的iOS、iTunes及圖像使用者介面，可直接透過Corellium平台安裝，它唯一的功能就是建立虛擬化的iOS裝置，以執行未經授權的iOS。</p> <p>蘋果還在訴狀中，展示了藉由Corellium所打造的虛擬iOS裝置，擁有與iPhone X一模一樣的介面，明顯侵犯蘋果著作權。</p> <p>此外，Corellium不僅在去年8月公開對外行銷該公司的Corellium Hypervisor for ARM，可在雲端執行虛擬iPhone，而且支援任何版本的iOS，也曾在今年的8月舉行的黑帽大會上，承認該公司的產品就是蘋果產品的複製品，以讓研究人員與駭客能夠在真正的iOS上測試漏洞。</p> <p>蘋果相信，Corellium是從蘋果的官網上下載各種iOS版本，再透過Corellium的虛擬環境營利。</p> <p>惹毛蘋果的，也許不只是Corellium侵犯蘋果的專利或著作權，更包括了Corellium的虛擬iPhone服務，可供駭客或研究人員測試iOS漏洞。蘋果指責Corellium完全沒有要求用戶應秉持善意來進行研究與測試，也未要求用戶揭露在iOS上所發現的漏洞，以讓蘋果能夠修補。</p> <p>反之，Corellium以未經授權的蘋果產品來獲利，還公然表達可被用於任何目的，毫不限制用戶動機，如建議那些企圖打造iOS遠端越獄工具的駭客、或研究人員可試試Corellium平台。</p> </div></div></div>
2019/8/16 16:15作者陳曉莉https://www.ithome.com.tw/news/132473
Cloud周報第35期：AMD推出64核心二代EPYC伺服器處理器，Google加入採用行列，還將推出運算租用服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/08/08～2019/08/14）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AMD </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EPYC伺服器處理器 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google雲端機房採用</strong></span><strong style="font-size: 22px;">AMD新二代EPYC伺服器處理器，還</strong><strong style="font-size: 22px;">將推出運算租用服務</strong></p> <p>AMD近日發表第二代EPYC伺服器處理器，最新處理器代號為Rome，採用Zen 2新架構，AMD執行長蘇姿丰早在5月底臺北Computex上，就搶先預告，該款EPYC伺服器處理器為7奈米64核心。她在本次自家產品發表會上指出，採用二代EPYC硬體的平臺數將超越前代，達到120款之多。雲端巨頭Google成為最新一家採用該硬體，提供雲端VM租用服務的業者。這是繼Azure、AWS之後，第三家雲端巨頭採用AMD EPYC硬體，作為自家運算租用服務的處理器，換句話說，三大公有雲廠商都已認可AMD EPYC硬體。更多CPU選項讓用戶可靈活地為工作負載，選擇最佳VM，Google表示，新的AMD VM有各種規格，可滿足不管是執行企業內部或網頁應用的通用型任務，或是需要大容量記憶體頻寬配置的大型運算任務。Google將在今年底前，開始提供EPYC運算實例的租用服務。另外，Google已在自己營運的資料中心內，部署該處理器。<a href="https://www.amd.com/en/press-releases/2019-08-07-2nd-gen-amd-epyc-processors-set-new-standard-for-the-modern-datacenter">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台哥大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware 365 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>台哥大聯手數位通及VMware，聯手推出公有雲服務</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E5%8F%B0%E5%93%A5%E5%A4%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%95%B8%E4%BD%8D%E9%80%9A%E5%9C%8B%E9%9A%9B.jpg" style="width: 600px; height: 344px;" /></strong></span></p> <p>台灣大哥大和二類電信業者數位通國際及VMware聯手推出「運算雲Plus」服務，利用VMware的虛擬化技術，打造公有雲環境。三方共同推出的服務從企業的私有雲到公有雲環境，都採用VMware一致的基礎架構，在VM的移轉和備援上皆採用VMware技術，包含了VMware運算、儲存、網路的虛擬化技術，如vSphere、vSAN、NSX，讓企業運用及管理私有雲、公有雲和混合雲環境都具高度的相容性。</p> <p>借助三方聯手，台哥大在自己的雲端資料中心，部署數位通去年推出的GWStack一體機，再通過台哥大電信線路連接運算雲Plus與企業的私有雲環境，達到公有雲的彈性、私有雲的自主管理，實現混合雲的彈性、安全特色。該服務提供IaaS層服務，虛擬機分為單機型和資源型，並提供快照還原功能，在網路服務方面，包含防火牆、VPN、負載平衡、DHCP及NAT。資料備份則有BackupaaS備份服務，以及DRaaS災備服務，還有7x24的雲端監控及技術支援，也可建立和企業內網環境相同的專線入雲等。台哥大估計今年將有超過40家企業採用該公有雲服務。<a href="https://www.ithome.com.tw/news/132316">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 管理工具 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS正式推出資料湖管理工具Lake Formation </strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_AWS%20Lake%20Formation_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 281px;" /></p> <p>AWS近日正式推出資料湖管理工具Lake Formation，簡化資料湖的管理工作，讓用戶擷取、清理、分類、轉換以及保護資料，以利後續用於分析或機器學習。用戶可以通過中央控制臺，處理資料湖建置和配置的繁雜工作。AWS解釋，資料湖供企業以各種規模與形式，儲存從CRM或ERP等營運系統收集的未組織資料，包含日誌、圖片、影片或是掃描文件等。透過該工具，用戶可執行各項資料管理工作，包含載入不同來源的資料、監控資料流、設定資料分區、加密和管理金鑰，以及格式轉換與監控營運等工作。用戶也可以利用Lake Formation建立資料湖，只要指定資料來源，和定義資料存取和保護原則，該工具就會自動從資料庫和物件式儲存中，取出指定資料，將資料儲存到新的Amazon S3資料湖中，並以機器學習演算法清理和分類資料，為敏感資料提供存取保護。</p> <p>此外，AWS提到，管理資料湖權限是一件複雜的任務，因為資料有各種特性，包括結構化與否、具敏感性、涉及關鍵任務等，而Lake Formation可作為一個中央管理平臺，讓用戶給予IAM的使用者、角色、群組和AD的使用者存取資料庫和表格的權限，及能夠准許或拒絕他們存取表格特定的欄位。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-lake-formation-now-generally-available/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure Security Lab </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟建立Azure Security Lab，讓研究人員在該環境中測試Azure架構</strong></strong></p> <p>微軟近期正式啟用Azure Security Lab安全實驗室，提供安全研究人員測試漏洞或發動攻擊。Azure Security Lab是一個模擬Azure且獨立的環境，作為安全測試空間，安全研究人員可在此測試各種針對IaaS使用情境的攻擊，也讓參與研究的人員可直接與Azure的安全專家交流。該環境不僅可用於研究Azure的安全漏洞，還能讓測試者挑戰開採漏洞，微軟將會舉辦設定場景的攻擊挑戰賽，提供最高獎金30萬美元。過去一年來，微軟已頒發超過440萬美元的抓漏獎金，微軟近來也將Azure抓漏獎勵的最高獎金提高了一倍。<a href="https://msrc-blog.microsoft.com/2019/08/05/azure-security-lab-a-new-space-for-azure-research-and-collaboration/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PartiQL </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 關聯式資料庫 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>打破資料查詢阻礙，AWS釋出可跨關聯式與NoSQL資料庫的查詢語言PartiQL </strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_partiQL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 424px;" /></p> <p>AWS推出與SQL相容的查詢語言PartiQL，可用來查詢以各種格式儲存在各地的資料，能查詢關聯式資料庫、非關聯式資料庫以及資料湖。企業資料以各種格式儲存在各地，AWS提到，不同的資料儲存對應不同的查詢語言，對資料應用有很大的阻礙。PartiQL具有與SQL相容性，AWS表示，該查詢語言的出現，便是為了滿足查詢和轉換大量資料的需求。PartiQL具格式獨立性與儲存獨立性，PartiQL語法和語義不依賴任何資料格式，可與標準SQL混合使用，執行連接、過濾與彙整操作，並提供巢狀、無固定結構、多值資料的擴充，讓開發者以簡單且一致的方法，不需要更改查詢語言，就能查詢各種格式和服務的資料。</p> <p>用戶能以PartiQL查詢關聯式資料庫的結構化資料，以及開放資料格式中的巢狀資料或是半結構化資料，甚至查詢NoSQL或是文件資料庫中無固定結構的資料。目前AWS自家多項服務已支援PartiQL，像是Amazon S3 Select、Amazon Glacier Select、Amazon Redshift Spectrum、Amazon QLDB，幾個月後，將會有更多的AWS服務支援該語言。除了AWS自家的資料庫服務，NoSQL資料庫Couchbase Server也承諾將支援PartiQL。<a href=" https://aws.amazon.com/tw/blogs/opensource/announcing-partiql-one-query-language-for-all-your-data/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全掃描工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高效虛擬機 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google雲端安全掃描工具，現也能防護GKE與Compute Engine網頁應用程式</strong></span></strong></p> <p>Google雲端強化雲端安全掃描工具Cloud Security Scanner的功能，該工具原只防護App Engine，現納入K8s代管服務Google Kubernetes Engine（GKE）以及高效虛擬機器Compute Engine至其的適用範圍，讓用戶不管在Google雲何處執行網頁應用程式，都可以利用該工具分析應用的隱藏弱點。該工具可偵測廣泛的網頁應用漏洞，像是辨識Flash Injection等應用，也能發現JavaScript損壞產生的跨站腳本臭蟲，並能防範有安全和不安全內容的混合內容漏洞，可能造成的中間人攻擊。該工具會彙整偵測結果，顯示於雲端安全命令中心，讓用戶通過集中化儀表板，監視漏洞狀態，獲取修復與預防問題的建議，以快速地採取因應措施。 <a href=" https://cloud.google.com/blog/products/identity-security/web-application-vulnerability-scans-for-gke-and-compute-engine-are-generally-available">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 獨立主機 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟Azure專用主機預覽版來了！</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E5%B0%88%E7%94%A8%E4%B8%BB%E6%A9%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 530px;" /></strong></span></strong></p> <p>微軟日前宣布，釋出獨立主機（dedicated host）預覽版，可供單一租用戶實體伺服器，讓用戶執行微軟和Linux的Azure虛擬機器。用戶若選用該主機選項，伺服器容量不會與其他用戶共用，因此可以在該硬體隔離式和虛擬化的專用環境中，執行企業組織一般用途，或是需要大容量記憶體、大規模運算的工作負載。用戶可用於解決特定的合規性需求，同時，提高對基礎結構的能見度與控制權。現階段該獨立主機提供公開預覽版。<a href="https://azure.microsoft.com/en-us/blog/introducing-azure-dedicated-host/">（詳全文）</a></p> <p><strong>圖片來源／數位通國際、AWS、微軟攝影／余至浩</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. Google強化雲端保護的措施，將G Suite納入進階保護計畫，允企業將高風險用戶納入計畫</strong><a href=" https://cloud.google.com/blog/products/identity-security/new-protections-for-users-data-and-apps-in-the-cloud ">（詳全文）</a></p> <p><strong>2. 微軟正逐步淘汰身分識別存取管理服務Azure Active Directory基本版，以簡化該服務陣容</strong><a href=" ttps://twitter.com/Alex_A_Simons/status/1159556024207962112">（詳全文）</a></p> <p><strong>3. 資安業者警告：高效能區塊儲存服務Amazon EBS的快照功能配置不當，造成眾多資料曝光</strong><a href=" https://www.prnewswire.com/news-releases/bishop-fox-finds-trove-of-secrets-on-amazon-elastic-block-store-300899573.html">（詳全文）</a></p> <p><strong>4. GCP用戶現可用無伺服器計算平臺Cloud Functions串流Cloud Storage資料到BigQuery進行分析</strong><a href="https://cloud.google.com/blog/products/storage-data-transfer/streaming-data-from-cloud-storage-into-bigquery-using-cloud-functions">（詳全文）</a></p> <p><strong>5. VMware更新應用程式行動化平台VMware HCX，加速vSphere和非vSphere工作負載大規模實況的遷移，轉換多雲和混合雲</strong><a href=" https://ir.vmware.com/overview/press-releases/press-release-details/2019/New-Version-of-VMware-HCX-Simplifies-Application-Migration--Mobility/default.aspx">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2019年8月</strong></p> </div></div></div>
2019/8/15 17:01作者黃郁芸https://www.ithome.com.tw/news/132444
Container周報第109期：K8s第一份第三方資安稽核報告出爐！Knative滿週年使用數據大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF8C00;"><strong>精選7/26~8/8重要Container新聞</strong></span></h3> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#CNCF、#資安稽核</span></span><br /> 找第三方來查！CNCF公布第一次K8s資安稽核報告</strong></h3> <p>為了強化Kubernetes核心元件的安全性，CNCF從一年前組成了資安稽核小組，主要負責人來自Google、Salesforce、紅帽和Inguardians。他們開始規畫用第三方資安稽核工具，來檢查K8s核心工具或重要相關專案的安全性，並計畫定期公布檢查結果，作為專案維護團隊的改進參考。第一批完成資安稽核的專案包括了CoreDNS、Envoy和Prometheus。</p> <p>資安稽核小組從6個項目來檢查這些專案的安全性，包括網路、架構拓樸、授權機制、驗證機制、機密控管、多租戶管理。在第一次稽核報告中發現，仍有不少部署政策安全性不足，甚至直接預設使用不安全的TLS傳輸，有些命令列參數或變數容易外洩憑證、機密元件命名缺乏Log記錄、沒有預設開啟Linux核心的seccomp安全機制等。最後，稽核小組公布了一份Kubrnetes資安白皮書和威脅模型，涵蓋對Kubernetes資安架構分析、威脅潛在來源，也提供了一套強化K8s資安管理的推薦作法。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#持續交付、#容器漏洞</span></span><br /> GCP可以支援跨雲持續交付平臺Spinnaker，還可串聯容器漏洞掃描</strong></h3> <p>現在GCP用戶能以更簡單的方法，開始使用由Google與Netflix聯合開發的跨雲連續交付平臺Spinnaker，Google直接在GCP整合中了Spinnaker，讓用戶可以擴充CI/CD工作管線，並在過程中彈性的客製化安全與法遵規範流程。Spinnaker整合了Container Registry的漏洞掃描功能，能盡早發現映像檔存在的安全威脅，另外，還加入Binary Authorization，以確保用戶最終部署的是受信任的容器映像檔，用戶也可以結合使用Stackdriver監控混合部署，掌握效能、應用程式健康度以及Spinnaker本身的狀態。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Spinnker_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google(1).png" /></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#服務網格、#Linkerd</span></span><br /> 服務網格框架Linkerd釋出2.4版，新增K8s服務網格介面標準的支援</strong></h3> <p>CNCF旗下知名的服務網格框架Linkerd釋出2.4新版，這是比Istio更早推出的微服務管理框架。新版開始支援Kubernetes Service Mesh Interface服務網格標準介面（SMI）。SMI是微軟、VMware、紅帽、Docker等公司合推的服務網格標準，連Ubuntu作業系統官方Canonical都力拱的K8s服務網格標準，用來定義微服務在K8s上執行上，彼此溝通和交換資訊的共通標準。不過，Google力推的Istio尚未支援SMI標準。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#Serverless、#Knative</span></span><br /> 無伺服器框架Knative推出滿1年，最新使用數據大公開</strong></h3> <p>Google發起的無伺服器框架Knative釋出一年了，這是Kubernetes專用的無伺服器框架，可將K8s上部署的容器轉換成標準的無伺服器服務，也是Google混合雲產品Anthos中的核心元件之一。Google也公布了釋出一年來的各項使用數據，目前包括GKE之外、Google Cloud Run、紅帽OpenShift、SAP Kyma、Pivotal的Function服務、IBM的ICK服務，以及其他共80家廠商，都正式支援Knative，來提供無伺服器功能或服務。目前版本只達到0.5，貢獻者超過400人，過去一年提出了3,700個程式碼異動請求，也反映出眾人對這個開源無伺服器框架的熱絡需求。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Knative%E7%94%9F%E6%85%8B.png" /></p> <p> </p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#開發工具、#Visual Studio</span></span><br /> VS 2019釋出16.2正式版，揭露下一版支援容器應用更優化的.NET Core 3.0</strong></h3> <p>微軟釋出Visual Studio 2019 16.2正式版，改進測試總管（Test Explorer），增加.NET開發功能，提升IDE可用性。16.2版中，MSBuild專案增加了預設Clang/LLVM支援，也為適用於Linux的Windows子系統支援增量建置（Incremental Build）。此外，也提升C++連結器的吞吐量，改善達最大輸入時的迭代建置時間，C++迭代建置時間可有數倍的提升。微軟同時揭露下一版的新特色，將支援對容器應用記憶體優化的.NET Core 3.0，改進Linux對Docker記憶體限制。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#D2iQ、#K8s自動部署</span></span><br /> 老牌容器作業系統Mesosphere大動作改名，跨大K8s和資料服務市場</strong></h3> <p>微軟曾提議用1.5億美元併購遭拒的老牌容器平臺Mesosphere，最近大動作宣布重整品牌和策略，將公司名稱更改為D2iQ（發音為Day 2 IQ），並揭露未來戰略將聚焦在Kubernetes的支援和用K8s部署的資料分析工具市場，例如Cassandra、Kafka、Spark等大數據分析平臺的支援。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/D2IQ.jpg" /></p> <p> </p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#容器部署、#IBM</span></span><br /> IBM雲正式支援紅帽OpenShift</strong></h3> <p>隨著IBM完成紅帽併購案，兩家產品整合腳步越來越快。最近，IBM宣布在IBM Cloud正式支援OpenShift，企業可以在IBM公有雲上運作OpenShift全託管服務，IBM提到，他們簡化了部署的程序，用戶只要點擊一個按鈕，系統就能自動開始部署工作，為企業提供混合雲端基礎設施。而現在OpenShift也能夠在IBM Z與LinuxONE企業平臺上執行，於用戶選擇的基礎架構上執行和管理原生雲端工作負載。相關的諮詢與技術服務，則繼續由紅帽認證的顧問團隊以及雲端應用程式服務團隊支援。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#容器安全、#AI</span></span><br /> K8s資安工具Sysdig推出AI容器安全偵測技術</strong></h3> <p>K8s資安工具Sysdig Secure在黑帽大會上推出2.4新版，增加了AI容器監控和安全政策新工具。2.4版新增Runtime即時剖析工具，另外可透過機器學習演算法來偵測有異常行為的K8s執行環境，以提早發現藏有惡意程式的K8s環境。另外，Sysdig也釋出新的安全政策工具Falco Rule Builder，可以快速建立不同Runtime的部署和管理政策和範本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Sysdig%E6%94%BF%E7%AD%96%E5%B7%A5%E5%85%B7.png" /></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#GKE、#容器安全</span></span><br /> Google App Engine雲端安全掃描工具，現在也能保護GKE</strong></h3> <p>Google在2015年為增強App Engine弱點測試能力，所推出的雲端安全掃描工具，現在適用範圍擴展至GKE以及Compute Engine服務，當用戶使用Google雲端執行網頁應用程式，就能以雲端安全掃描工具分析其隱藏的弱點，偵測結果也會在雲端安全命令中心以及雲端安全狀態中顯示，供用戶以集中式儀表板監視漏洞狀態。雲端安全掃描工具預設關閉，用戶必需手動啟動這項功能，另外，Google還建議，可以搭配容器註冊表的漏洞掃描工具來掃描容器映像檔，以在部署至正式生產環境之前發現容器中的漏洞。</p> <p>責任編輯／王宏仁</p> <p><span style="color:#FF8C00;"><strong>更多Container動態</strong></span></p> <ul><li>Linus Torvalds親自廢除Linux軟碟機驅動程式</li> <li>發行19年的微軟MSDN雜誌，將在今年11月停刊</li> <li>Mac最新Visual Studio 2019版本8.2更新多種語言編輯器</li> </ul><p>＠資料來源：iThome整理，2019年8月</p> </div></div></div>
2019/8/13 15:47作者王宏仁https://www.ithome.com.tw/news/132407
Cloud周報第34期：AWS翻新行動開發框架，GA推出雙平臺綜合量測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="iThome" style="margin-top:12.0pt;margin-right:0cm;margin-bottom:12.0pt;<br /> margin-left:0cm"><strong><span lang="EN-US" xml:lang="EN-US">0801~0807</span></strong><span lang="EN-US" xml:lang="EN-US"><p><strong>精選Cloud新聞</strong></p></span></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#AWS、#機器學習</span></span><br /> AWS更新行動開發框架Amplify，App更容易導入機器學習</strong></h3> <p>AWS更新其行動裝置與網頁應用程式開發框架Amplify Framework，加入新的預測類別，讓開發者能夠簡單地在應用程式中加入機器學習功能。Amplify Framework提供了一系列易用的JavaScript函式庫、使用者介面元件以及CLI工具，讓開發者能夠配置行動後端，並建置iOS、Android、網頁和React Native應用程式。新版框架增加預測類別，開發者可快速在行動應用中整合AWS的AI服務。像是使用Amazon Rekognition辨識圖片中的文字、實體以及標籤，或是使用Amazon Textract服務，辨識出檔案中的文字和表格的欄位內容。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#GCP、#帳號安全</span></span><br /> G Suite開始提供高風險用戶保護計畫，企業老闆也能用</strong></h3> <p>Google宣布將把該計畫拓展至G Suite，讓管理人員可把企業的重要或高風險人士列入進階保護計畫（Advanced Protection Program）。這是Google在2017年用來保護Google帳號安全的特別計畫，過去提供給記者、社會運動人士、政治競選團隊或特定企業領袖等，現在該計畫延伸到企業G Suite產品後，企業IT人員、高階主管、受高度規範的員工，都能受到額外的帳號保護，如帳號必須使用安全金鑰，自動封鎖非白名單的第三方應用，強化電子郵件威脅掃描能力等。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#快閃儲存、#雲端儲存、#Amazon</span></span><br /> Amazon買下以色列的資料中心儲存新創E8 Storage</strong></h3> <p>最近傳出Amazon已經買下只有25名員工的以色列儲存新創業者E8 Storage，被併的E8員工將全數加入AWS在當地建立的研發中心。該新創主要針對企業及軟體定義雲端提供快閃儲存解決方案，號稱相較於現有的儲存產品，只要一半的成本就能提供10倍的效能。根據Globes報導，E8的儲存解決方案可協助企業打造私有雲端架構，或是加速公有雲的效能。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#CDN、#IPO</span></span><br /> 知名CDN業者Cloudflare打算在9月IPO</strong></h3> <p>曾因保護香港占中全民投票網站popvote.hk而揚名臺灣的CDN業者Cloudflare，最近傳出已向美國證券交易委員會申請股票首度公開發行（IPO），打算在今年9月登上美國股市。Cloudflare最近一次增資的估價市值為32億美元，包括微軟、Alphabet、百度及高通等科技大廠都曾投資Cloudflare。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#雲端資料庫、#雲端管理疏失</span></span><br /> 本田汽車雲端資料庫未上鎖，1億份員工電腦安全資料曝光</strong></h3> <p>安全研究人員發現日本汽車大廠本田汽車有個雲端資料庫沒上鎖，外洩了上億份文件，恐讓本田全球公司電腦安全部署及漏洞狀況被人看光，本田接獲通報後已修補作業上的漏洞。這批曝險資料包括幾乎所有Honda電腦相關資料，例如有表格包含員工電子郵件、部門名稱、Honda機器主機名稱、MAC位置、內網IP、作業系統版本，另一個表格則有員工姓名、部門、員工編號、帳號、行動電話及最近登入時間等。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#文字轉語音、#AWS</span></span><br /> 雲端語音生成服務更逼真，能像新聞播報員風格念稿</strong></h3> <p>Amazon Polly雲端服務使用了深度學習技術，將文字流暢的轉成語音。最新釋出NTTS新功能以提升合成語音的品質，除了語音更加自然之外，而且聲音表現更富有表現性，目前NTTS能以即時或批次的方式，將文字轉成11種聲音，分別為3種英國英語以及8種美國英語。甚至，AWS在語音合成上加入了新聞播報員風格，而這能夠讓新聞或是部落格文章，以更真實的語音呈現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Polly.jpg" /></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#協作軟體、#Teams</span></span><br /> Skype for Business Online將於2021年7月除役，Teams接棒</strong></h3> <p>微軟最近宣布，Skype for Business將在2021年7月31日除役，之後企業用戶就無法再使用，將改由整合交談、視訊會議、通話及文件協同的新產品Teams接棒。即日起一年內一切都將照常，企業還是可以增加新的使用者。但是從今年9月1日開始，所有Office 365新用戶的交談、會議和通話等都會直接轉到Teams平台上。而同時消費版Skype或Skype for Business Server則不受影響。微軟也預告Teams和消費者版Skype互通將在2020年第一季前完成。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#Google Analytics、#用戶追蹤</span></span><br /> 分析App和網頁用戶活動不用分兩套，GA推出雙平臺綜合量測工具</strong></h3> <p>過去Google分別在Google Analytics for Firebase以及Google Analytics中，提供行動裝置以及網站的使用者分析，而現在Google多提供了一個行動應用程式和網頁的選項，讓企業跨兩平臺追蹤使用者，同時，Google也使用了新的事件模型，可供企業自定義收集資料的事件。新的量測工具使用了新的事件模型，企業能設置自定義的事件，來收集使用者與平臺內容互動的行為，另外，事件模型還會自動化原本需要手動進行的標記事件工作。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%96%B0GA%E5%88%86%E6%9E%90%E8%A1%A8%E5%96%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" /></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#Kubernetes、#Cloud Pak</span></span><br /> IBM發表新雲端預先部署套件，更容易部署到OpenShift</strong></h3> <p>IBM宣布旗下軟體解決方案將推出原生雲端部署形式，也針對OpenShift進行最佳化，將以新的Cloud Pak預整合解決方案形式提供，IBM會為經認證的容器化軟體，提供通用運作模型和服務，像是身份管理、安全性、監控與日誌紀錄服務等，使用者可以在統一的儀表板上，監控跨雲服務的運作狀況。首波推出5個Cloud Pak，包括自動化資料分析應用Cloud Pak for Data、K8s應用部署的IBM Cloud Pak for Applications、整合套件包Cloud Pak for Integration、自動部署包Cloud Pak for Automation和混合雲管理包Cloud Pak for Multicloud Management。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;"> ＃網路霸凌、#臉書</span></span><br /> 全球網路霸凌每季破200萬件，臉書坦言，AI攔截2成，其餘得靠真人檢舉</strong></h3> <p>臉書最近在臺公布，1年來，全球每季處理案件量約為2百萬到3百萬件，AI能自動偵測的案件只占2成，臉書亞太區安全政策經理Snow White說明，涉及暴力、性剝削的圖片99%可透過AI偵測，但文字因語言差異難以自動偵測，大多需靠民眾或民間組織舉報。近期，Instagram也將要推出霸凌防治機制的新功能，用戶留言涉及霸凌或歧視性言論，AI主動偵測並攔截，再次向用戶確認是否要送出訊息，讓留言送出之前有機會再次思考。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_IG%E9%9C%B8%E5%87%8C%E9%98%B2%E5%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%89%E6%9B%B8.jpg" /></p> <p>責任編輯／王宏仁</p> <p>@圖片來源／Google、臉書</p> <p><strong>更多Cloud動態</strong></p> <ul><li>IBM Cloud正式提供OpenShift全託管服務，一鍵就能自動部署</li> <li>OpenShift也能在IBM Z與LinuxONE企業平臺上執行了</li> </ul><p>＠資料來源：iThome整理，2019年8月</p> </div></div></div>
2019/8/13 14:05作者王宏仁https://www.ithome.com.tw/news/132394
Google更新Coral開發平臺，支援訓練後量化與TF Lite委派
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/2019/08/coral-summer-updates-post-training.html">Google更新其人工智慧開發平臺Coral</a>，不只發布新的編譯器版本支援訓練後量化（Post-Training Quantization），還加入了TensorFlow Lite委派（Delegate）API，Edge TPU也能夠用來加速使用TensorFlow Lite直譯器API的模型。</p> <p>Coral是一個人工智慧測試平臺，包含了軟體以及硬體，開發人員可以在搭載Edge TPU的Coral開發板上建立、訓練和執行神經網路程式，有助於設計應用程式原型，以便後續正式產品開發。硬體除了有Coral開發板之外，周邊硬體還有一個可透過MIPI界面連結的500萬畫素相機，和可與其他Linux系統整合使用的外接Coral USB加速器，而軟體開發工具方面，主要由TensorFlow與TensorFlow Lite發展而來。</p> <p>現在Coral研發團隊更新Coral的開發工具，編譯器更新至2.0版本，新增支援使用訓練後量化技術建立的模型。Tensorflow團隊提到，訓練後量化可以將使用浮點數訓練的模型，量化為Int 8的模型，優點除了可以縮小模型大小之外，也可以加快Coral裝置中搭載的Edge TPU執行模型運算的速度。</p> <p>之前，開發者的模型要獲得Edge TPU良好的加速效能，需要使用官方提供的Edge TPU Python API或是C++撰寫程式碼，不過現在官方發布了TensorFlow Lite委派，讓模型即便使用TensorFlow Lite直譯器API，也可以得到Edge TPU 的加速。Coral研發團隊提到，TensorFlow Lite委派API目前還是個實驗性功能，他允許TensorFlow Lite直譯器將部分或是全部圖執行（Graph Execution）委派給其他執行程式，也就是Edge TPU。</p> <p>另外，開發工具中的Edge TPU Python函式庫也更新到了2.11.1版本，加入了遷移學習（Transfer Learning）的支援。新的裝置反向傳播API讓開發者，可以在圖像分類模型的最後一層執行遷移學習，而在裝置上是以CPU執行，並以接近即時的速度執行遷移學習，為模型加入遷移學習，開發者不需要重新編譯模型。</p> <p>Coral研發團隊也與AutoML團隊合作，共同發布了一系列圖像分類模型EfficientNet-EdgeTPU，這些模型是基於EfficientNet架構，專為EdgeTPU最佳化，可用超小型的模型達到伺服器端模型才能做到的圖像分類程度。</p> </div></div></div>
2019/8/13 09:30作者李建興https://www.ithome.com.tw/news/132367
GitHub Actions完整支援CI/CD，免費公開儲存庫也可用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2019-08-08-github-actions-now-supports-ci-cd/">GitHub更新工作流程自動化平臺Actions，現在進一步完整支援持續整合和持續交付功能</a>，而GitHub Actions支援的作業系統也從Linux，擴展到了macOS和Windows，支援的語言和框架包括了Node.js、Python以及.NET等。正式版預計會在今年11月13日上線。</p> <p>作為一個工作流程自動化平臺，GitHub Actions提供了一系列控制API，讓開發者可以在事件發生時，協調和編排工作流程，並且提供用戶豐富的回饋資訊，在流程中確保每一步驟的運作安全。開發者還可以將工作流程和步驟，編寫成程式碼儲存在儲存庫中，用管理程式碼的方式管理工作流程，並與團隊共享或是重用軟體開發實踐。</p> <p>最新版本GitHub Actions擴展了對程式語言以及框架的支援，包括Node.js、Python、Java、PHP、Ruby、C/C++與.NET，而支援的行動作業系統則有Android和iOS，GitHub Actions在去年剛推出的時候，僅支援基於Linux的容器或是虛擬機器工作負載，但現在開發者也能將GitHub Actions用來處理macOS與Windows上的工作負載。</p> <p>Actions新提供的矩陣建置（Matrix Builds）功能，讓軟體開發團隊可以同時測試專案中的多個版本，以實現工作平行化減少測試時間，而在測試任務的安排上，GitHub也可以自動從現成的CI/CD池中，挑選並建議相關的工作流程。</p> <p>CI/CD軟體發布的一大部分工作，集中在將程式碼轉為功能程式的階段，GitHub Action現在能允許開發團隊，透過監控控制臺即時追蹤工作流程，以確保每個步驟都正確無誤。另外，GitHub Actions也加入即時日誌功能，讓用戶即時掌握建置程序回饋訊息，GitHub會串流日誌到Action控制臺中，顯示即時狀態，而且每個日誌中的任一行文字，都有一個專屬永久性連結，可以方便開發團隊互相討論建置失敗或是測試結果，GitHub特別提到，日誌的格式經過設計，開發者能夠輕鬆地閱讀。</p> <p>GitHub也預告了未來Actions的更新，將會提供給使用者自託管的執行程式（Runner），當開發者在自己的資料中心執行虛擬機器，或是在雲端上運作的實例，開發者可以自己安裝Actions執行程式，同樣也能以簡單的方法自動化工作流程。</p> <p>明年GitHub還將在企業伺服器中推出Actions服務，包括提供企業內部署的混合選項，讓企業能夠將程式碼和套件留在自己的資料中心，但同時又能獲得GitHub編排工作流程的能力。</p> </div></div></div>
2019/8/9 19:00作者李建興https://www.ithome.com.tw/news/132336
Steam含有權限擴張漏洞，波及1億用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號為Felix的俄羅斯安全研究人員在本周<a href="https://amonitoring.ru/article/steamclient-0day/" target="_blank">揭露了Windows版的Steam客戶端程式</a>，含有一零時差的權限擴張漏洞，將允許駭客取得管理員權限，於系統上執行任意程式，雖然他曾先行通報Steam，卻遭到Steam拒絕，使得Felix決定公布漏洞細節，波及超過1億的Steam註冊用戶。</p> <p>根據Felix的說明，Steam的客戶端程式有一項基於系統權限執行的Steam Client Service功能，奇怪的是來自「使用者」（Users）群組的任何人，都有權啟用或關閉該功能，繼之他發現所有使用者都能存取該功能的登錄機碼，也讓駭客可利用它來擴張權限。</p> <p>Felix指出，這意味著只要Windows電腦安裝了Steam，駭客就可取得系統管理員權限並執行任意程式。</p> <p>Steam為美國業者Valve所開發的遊戲數位發行平台，它支援Windows、macOS、Linux、Android與iOS等平台。<a href="https://steamspy.com/" target="_blank">根據Steam Spy的估計</a>，Steam的全球用戶數超過2.4億，而<a href="https://store.steampowered.com/hwsurvey" target="_blank">Steam今年7月的調查則顯示</a>，約有71.5%的用戶使用Windows 10作業系統，代表至少有1.7億的用戶受到該漏洞的影響。</p> <p>Felix表示，他是在今年6月透過Valve，於HackerOne上執行的抓漏獎勵專案回報了該漏洞，該漏洞已經通過了HackerOne的審核，卻被Valve打了回票，理由是：駭客必須有能力在使用者檔案系統上置放檔案，也必須實際接觸使用者裝置，因此不適用於該專案。但當他準備公布漏洞資訊時，Valve還曾制止他。</p> <p>而在Felix公布了漏洞資訊之後，即有另一名研究人員於GitHub上釋出了針對該漏洞的概念性驗證攻擊程式。截至新聞發布前，Valve仍未公開回應此事。</p> </div></div></div>
2019/8/9 17:45作者陳曉莉https://www.ithome.com.tw/news/132344
研究人員踢爆：微軟忽視RDP漏洞直至察覺它影響Hyper-V
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Check Point的安全研究人員Eyal Itkin在本周舉行的<a href="https://www.blackhat.com/us-19/briefings/schedule/index.html#he-said-she-said--poisoned-rdp-offense-and-defense-15602" target="_blank">黑帽大會（Black Hat）上踢爆</a>，他們在去年10月曾向微軟提交一個遠端桌面協定（Remote Desktop Protocol，RDP）漏洞，但當時微軟不以為意，一直到微軟察覺該漏洞危及Hyper-V，才申請了CVE-ID漏洞編號並於今年7月修補。</p> <p>RDP為微軟所開發的私有協議，可讓使用者或IT人員連結遠端電腦，除了Windows用戶之外，Linux與macOS用戶也使用了許多開源的RDP客戶端。</p> <p>RDP的用法通常是利用客戶端程式來連結安裝於遠端電腦上的RDP伺服器，以便存取及控制遠端電腦，也提供壓縮的影片串流及剪貼簿分享等功能，而Itkin則在微軟的RDP客戶端程式（mstsc.exe）的剪貼簿分享功能上，發現了許多漏洞，其中之一是允許使用者把一組檔案複製到另一台電腦上，等於是允許RDP伺服器把任意檔案存放到客戶端電腦上，例如將惡意的腳本程式置放客戶端的啟動（Startup）文件夾中，只要重新啟動就會執行，而讓駭客掌控客戶端電腦。</p> <p>Itkin在去年10月就向微軟提報了該漏洞，微軟在同年的12月回應，承認此一路徑跨越（Path Traversal）漏洞雖然是有效的，但並未符合微軟的維修門檻，因此不會申請漏洞編號，也不打算修補。</p> <p>於是（<a href="https://research.checkpoint.com/reverse-rdp-attack-code-execution-on-rdp-clients/">https://research.checkpoint.com/reverse-rdp-attack-code-execution-on-rdp...</a>）Itkin在今年2月發表了有關此一RDP漏洞的文章，引來了許多迴響，其中之一是有開發人員詢問該漏洞是否會波及基於同樣協定的Hyper-V，（<a href="https://research.checkpoint.com/reverse-rdp-the-hyper-v-connection/">https://research.checkpoint.com/reverse-rdp-the-hyper-v-connection/</a>）而讓Itkin展開進一步的研究。</p> <p>Hyper-V為微軟所研發的虛擬化技術，它既被應用在Azure雲端上，也是Windows 10上的虛擬化產品，它具備圖像使用者介面，以讓使用者能夠管理本地端或遠端的虛擬機器。</p> <p>Hyper-V中有一個增強工作階段（Enhanced Sessions）模式，啟用後可重新定向本地端的裝置與資源，還具備了剪貼簿同步功能。Itkin發現它此一同步功能的設定介面與RDP一模一樣，而且可用同樣的腳本程式開採，但這卻是一個因RDP漏洞而起的Hyper-V guest-to-host虛擬機器逃逸漏洞（Hyper-V guest-to-host VM escape）。</p> <p>這意味著對於仰賴其它軟體函式庫的Hyper-V管理員而言，它繼承了所使用的函式庫的所有安全漏洞。</p> <p>Itkin再向微軟提報了此一發現，這一次微軟慎重其事地於7月<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0887" target="_blank">修補了此一編號為CVE-2019-0887的安全漏洞</a>。</p> <p><a href="https://www.microsoft.com/security/blog/2019/08/07/a-case-study-in-industry-collaboration-poisoned-rdp-vulnerability-disclosure-and-response/" target="_blank">微軟還特別把此一事件當成研究案例</a>，包括感謝Itkin的協助，且除了作業系統的修補之外，未來也將更重視系統安全漏洞對雲端環境的影響。</p> </div></div></div>
2019/8/9 15:40作者陳曉莉https://www.ithome.com.tw/news/132337
Chrome 78可強迫所有網頁都變深色模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員在Chrome 78的Canary版本<a href="https://techdows.com/2019/08/force-dark-mode-for-web-in-chrome-canary-on-desktop.html" target="_blank">發現一項新功能</a>，可強迫那些未提供深色模式（Dark Mode）的網頁，通通以深色模式呈現。</p> <p>Chrome版本從73起，先是支援了macOS的深色模式，於Chrome 74支援Windows的深色模式，只要作業系統設定了深色模式，Chrome就可自動切換成深色模式，讓使用者在低光的環境下，也能舒適地使用瀏覽器。</p> <p>Chrome 76則進一步支援所造訪網站的深色模式，當所造訪的網站具備深色模式時，它即會依照作業系統的設定而切換至深色模式。</p> <p>還在測試中的Chrome 78，則提供了一項名為「Force Dark Mode for Web Contents」的新功能，使用者一旦將它啟用，就能強迫任何未支援深色模式的網頁變成深色模式，且同時支援Mac、Windows、Linux、Chrome OS與Android等平台。</p> <p>由於該功能仍在測試中，尚不確定它是否會出現在正式版本中，<a href="https://www.chromestatus.com/features/schedule" target="_blank">Chrome 78穩定版</a>預計於今年10月22日問世。</p> </div></div></div>
2019/8/8 18:40作者陳曉莉https://www.ithome.com.tw/news/132330
【雲端儲存服務：Cloud Volumes ONTAP】NetApp老牌ONTAP儲存平臺原生移植公有雲環境
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960x420_3.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何因應公有雲來勢洶洶的挑戰，是當前所有傳統儲存設備廠商的一大課題，其中一種應對的思路是「打不過他，那就加入他」，既然難以抵擋公有雲勢力的逐漸擴張，那就反過來利用公有雲，將將儲存設備移植到公有雲平臺上，化身為公有雲服務的一部份，從而沿續儲存設備平臺的發展。</p> <p>NetApp的Cloud Volumes ONTAP（CVO）服務，便是這種移植到公有雲的儲存陣列平臺代表性產品。CVO本身是運行於AWS或Azure平臺上的虛擬化版本ONTAP儲存設備，利用公有雲的虛擬機器扮演儲存控制器角色，運行NetApp的ONTAP儲存作業系統，並掛載公有雲的儲存空間，作為控制器後端儲存空間，然後再透過NFS、SMB或iSCSI協定，將儲存空間掛載給公有雲上的其他虛擬機器使用。</p> <p>透過CVO，既能向用戶提供與公有雲原生儲存服務相同多種效益，如按需訂購、管理負擔輕等，也擁有ONTAP儲存平臺的特性與豐富資料服務功能，還具備軟體定義儲存的組態彈性優點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP-%E5%9C%96%E8%A1%A81.png" style="width: 500px;" /></p> <p><span style="color:#3399ff;"><strong>Cloud Volumes ONTAP的基本概念</strong></span></p> <p><span style="color:#696969;"><strong>NetApp在AWS與Azure提供的Cloud Volume ONTAP服務，其實，就是在公有雲上運行的虛擬化ONTAP儲存設備，可透過iSCSI或NFS/SMB協定，將儲存空間提供給公有雲上的其他運算單元使用，並擁有HA高可用性功能，以及完整的ONTAP資料服務功能。</strong></span></p> <p><span style="font-size:28px;"><strong>虛擬化與公有雲儲存的結合</strong></span></p> <p>從產品型式來看，CVO可以看作是NetApp ONTAP Select軟體定義儲存系統，移植到公有雲上的延伸發展版本，兩者都是實體ONTAP儲存陣列的虛擬化版本，只是ONTAP Select是運行於VMware vSphere，或是KVM等本地端的虛擬化平臺，而CVO則是運行於AWS或Azure的公有雲虛擬化平臺而已。</p> <p>包括NetApp在內，現今的傳統儲存陣列產品，大多都是基於x86架構通用硬體設備的軟體定義型式，完全依靠儲存作業系統的軟體功能，在通用硬體上建構與提供儲存服務，所以，除了透過傳統的實體儲存陣列方式來提供產品外，也能透過虛擬化方式，將儲存作業系統部署到虛擬化平臺上，從而成為建構出「虛擬化儲存陣列」產品。</p> <p>如ONTAP Select便是NetApp FAS系列儲存陣列，移植到vSphere與KVM平臺上的虛擬化版本，利用虛擬機器來構成儲存控制器，搭配Hypervisor主機本身或介接的儲存空間，組成虛擬化的儲存陣列。除了一些限制，如每節點的容量上限400TB、不支援NetApp原有的底層RAID架構，以及只支援基於乙太網路的儲存協定（NFS/SMB與iSCSI），ONTAP Select的儲存功能與特性，與實體的FAS系列儲存陣列是大致相同的。</p> <p>更進一步來看，由於公有雲平臺的底層環境，也是一種虛擬化平臺，所以也能依循相同的模式，將儲存系統移植到公有雲平臺上，CVO便是這樣的產品。</p> <p>也就是說，CVO是利用公有雲平臺的虛擬機器或執行個體，來運行ONTAP儲存作業系統軟體，然後掛載公有雲儲存空間，組成一臺在公有雲上運行「軟體版雲端儲存陣列」，進而為其他公有雲虛擬機器提供儲存服務。</p> <p>比起實體儲存陣列，或是ONTAP Select這類本地端的虛擬化儲存陣列，CVO這種軟體定義架構的雲端儲存陣列，最大優點是成本低與架構彈性。</p> <p>首先，CVO完全依靠公有雲的運算與儲存資源來構成儲存陣列，用戶只需支付租用公有雲資源，以及購買CVO軟體授權的費用即可；其次，用戶也可以依照自身需求，選擇不同等級的公有雲資源來建構雲端儲存陣列，不需要使用時，也能將其關閉，擁有與公有雲原生服務一樣的按需購買靈活性。</p> <p>而比起公有雲原生的儲存服務，CVO的優點則是在於採用了久經考驗的ONTAP儲存系統，且提供了高可用性組態選項，以及豐富的資料服務功能。</p> <p>CVO目前的版本，與最新的ONTAP系統都是9.6版，並有雙節點高可用性（High Availability，HA）版本可選，比起一般的公有雲原生儲存服務，多了一層可用性保障。CVO也保有幾乎全部的ONTAP資料服務功能，包括：可幫助節省雲端儲存空間耗用量的Thin Provisioning、壓縮與重複資料刪除等功能，以及用於資料保護的Snapshot、SnapMirror、SnapVault，還有FlexClone等。亦能透過SnapMirror遠端複製功能，讓CVO直接與本地端實體ONTAP儲存設備連結，構成混合雲儲存架構。</p> <p>用戶也可透過Fabric Pool的功能，與AWS S3或Azure Blob等低價位公有雲儲存區，組成雲端上的分層儲存架構。（CVO只有少數ONTAP功能無法使用，如Metrocluster、RAID-DP、FlashCache/FlashPool等。）</p> <p>相較之下，一般公有雲原生儲存服務提供的資料服務功能，仍只在基本層次，大多只有快照、遠端複製與加密等少數幾種。</p> <p><span style="font-size:28px;"><strong>持續延伸的平臺與組態彈性</strong></span></p> <p>CVO的前身，是2014年底發表的ONTAP Cloud，已有4年以上歷史。ONTAP Cloud雖然開創儲存陣列移植公有雲的先河，不過，當時只能搭配AWS一種平臺，組態的限制也較多，例如，儲存區一開始只支援EBS的gp2型式。</p> <p>後來NetApp在2018年時，將ONTAP Cloud更名為Cloud Volume ONTAP（CVO），並大幅擴張了支援範圍，除了AWS以外，也提供Azure平臺上的服務，部署的組態也有更多的選擇彈性。</p> <p>另外，NetApp在2019年6月發表ONTAP 9.6版系統時，也推出了搭配Google GCP平臺的Private Preview版，預期不久之後，就能將CVO服務範圍正式擴展到GCP平臺上。</p> <p><span style="font-size:28px;"><strong>開啟雲端儲存新類型</strong></span></p> <p>從先前的ONTAP Cloud，到現在的CVO，經過4年多的時間發展下來，NetApp目前已能在全球20個AWS服務區域，以及33個Azure服務區域，提供CVO服務，另外，他們也推出了Google GCP的CVO預覽版，顯示這種產品型式的初步成功。</p> <p>依循NetApp的腳步，近一年多來，也開始有其他廠商跟進，推出類似CVO的雲端儲存服務。例如：Pure Storage的Cloud Block Store，以及Dell EMC的UnityVSA Cloud Edition等，分別是Pure Storage旗下FlashArray全快閃儲存陣列，以及Dell EMC旗下Unity儲存陣列的公有雲軟體化版本。市面上，多了這些廠商的投入，也讓這種將傳統儲存陣列平臺移植雲端而成的服務，形成了一種新的雲端儲存類型。</p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的版本與授權等級</strong></span></span></p> <p>目前NetApp在AWS與Azure兩個雲端平臺上，提供了Cloud Volumes ONTAP（CVO）服務，無論在哪個平臺，都有單節點與HA雙節點兩種CVO版本。用戶訂購CVO時，有兩種模式可選：一為直接向公有雲服務商訂購的隨用隨付Pay-As-You-Go模式，由公有雲服務商提供所有服務；另一為向NetApp購買授權，然後再於公有雲上註冊的BYOL（Bring Your Own License）模式，CVO授權由NetApp或經銷商提供，公有雲服務商只提供運行CVO所需的運算與儲存資源授權。</p> <p>在Pay-As-You-Go模式下，用戶能以每小時為單位，彈性選擇合約時間長度，只有CVO運行時才計價，並有Explore、Standard與Premium等3種授權層級，分別提供不同的虛擬控制器組態，與可用容量上限的選擇。至於BYOL授權模式的合約時間則為6或12個月，但軟體授權不受特定公有雲服務商綑綁，且虛擬控制器的組態選擇也更多。</p> <p>由於不同公有雲平臺的虛擬機器與儲存服務規格、架構，均有所別，在AWS與Azure上的CVO控制器與磁碟規格，也略有差異，如在AWS上，CVO的單一磁碟區（Volume）最大容量是16TB，而在Azure上，則可允許最大32TB的單一磁碟區，詳細規格詳見原廠文件說明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_1.png" style="width: 400px;" /></p> <p><span style="color:#3399ff;"><strong>從AWS或Azure市集訂購CVO服務</strong></span></p> <p><span style="color:#696969;"><strong>CVO分為單節點與雙節點HA高可用性兩種版本，以及兩種訂購模式，一為直接向公有雲服務商訂購的Pay-As-You-Go模式，其下有Explore、Standard與Premium等3種授權層級可選；另一為向NetApp購買授權，然後再於公有雲上註冊的BYOL模式。</strong>圖片來源／NetApp</span></p> <p><span style="color:#3366ff;"><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的部署與管理</strong></span></span></p> <p>當用戶訂購了Cloud Volumes ONTAP（CVO）服務授權後，便可下載CVO的映像檔，然後部署到公有雲的虛擬機器上。</p> <p>CVO是一種以虛擬化與軟體定義型式，部署在公有雲平臺上的「軟體版儲存陣列」，利用公有雲的運算單元（AWS的EC2執行個體或Azure的虛擬機器），來扮演儲存控制器角色，負責運行NetApp的ONTAP儲存作業系統。然後再將公有雲的儲存空間（AWS的EBS或Azure的LRS），掛載給這臺虛擬的儲存控制器，充當控制器後端的儲存空間。</p> <p>用戶可選擇將CVO部署在既有或新建的AWS虛擬私有雲端（VPC）環境內，或Azure虛擬私人雲端（VNet）環境內，從而為VPC或VNet環境的其他執行個體或虛擬機器，提供區塊或檔案儲存服務。</p> <p>依用戶選購的授權等級（Explore、Standard、Premium或BYOL），可選擇不同規格的執行個體或虛擬機器，用來部署成為CVO的虛擬儲存控制器。值得一提的是，為了確保CVO擁有類似實體ONTAP儲存設備的寫入效能，配置給執行個體或虛擬機器的一部分記憶體，將被作為儲存控制器的虛擬化NVRAM使用。</p> <p>而在CVO配置的儲存空間方面，無論在AWS還是Azure上，都有3種主要磁碟機類型可選——通用型SSD、效能型SSD與通用型硬碟。CVO先將AWS或Azure配置的磁碟機（disk）構成Aggregate群組，然後從Aggregate群組上建立磁碟區（volume），再透過iSCSI或NFS/SMB協定，將磁碟區掛載給其他虛擬機器使用。</p> <p>至於CVO的部署作業與維運管理，都是透過NetApp提供的OnCommand Cloud Manager管理軟體來執行，這套管理軟體是由公有雲上的一臺虛擬機器來執行。，本身不需要授權費用，用戶只需支付運行Cloud Manager的虛擬機器資源費用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP.png" style="width: 447px;" /></p> <p><span style="color:#3399ff;"><strong>Cloud Volumes ONTAP的運作架構</strong></span></p> <p><strong><span style="color:#696969;">以AWS上的CVO為例，CVO是在用戶指定AWS虛擬私有雲端（VPC）環境內運作的服務，包含4個主要元件：</span></strong></p> <p><strong><span style="color:#B22222;">①</span><span style="color:#696969;"> <strong><img alt="" src="file://it-file3/ithome/Design/2019-%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94+PDF/0802-932/932-NetApp_Cloud_Volume_ONTAP-web-resources/image/3.png" /></strong>一臺運行ONTAP儲存作業系統的AWS執行個體，扮演儲存控制器角色。</span></strong></p> <p><strong><span style="color:#B22222;">②</span><span style="color:#696969;"> <strong><img alt="" src="file://it-file3/ithome/Design/2019-%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94+PDF/0802-932/932-NetApp_Cloud_Volume_ONTAP-web-resources/image/2.png" /> 配置給ONTAP執行個體的EBS公有雲儲存空間，作為ONTAP的儲存區。</strong></span></strong></p> <p><strong><strong><span style="color:#B22222;">③</span><span style="color:#696969;"> <strong>一臺運行OnCommand Cloud Manager系統的執行個體，作為CVO管理平臺。</strong></span></strong></strong></p> <p><strong><strong><strong><span style="color:#B22222;">④</span><span style="color:#696969;"> <strong>使用CVO儲存服務的其他執行個體。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong><span style="color:#696969;">扮演儲存控制器的ONTAP執行個體，可以將後端配置的EBS磁碟機，架構為自身的磁碟區，然後透過NFS/SMB或iSCSI協定，掛載給同一個VPC環境內的其他執行個體使用。</span></strong></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>用戶端的管理者可以透過閘道器的介接，登入Cloud Manager，從而執行CVO環境的部署與儲存管理。</strong>圖片來源／NetApp</span></strong></strong></strong></p> <p><span style="color:#3366ff;"><strong><strong><strong><span style="font-size:28px;"><strong>Cloud Volumes ONTAP的HA高可用性功能</strong></span></strong></strong></strong></span></p> <p><strong><strong><strong>標準的企業級儲存設備，都會採用雙控制器架構，以備任一控制器失效時，具有自動切換的高可用性能力（High Availability，HA）。</strong></strong></strong></p> <p><strong><strong><strong>而對於在公有雲上運行的Cloud Volumes ONTAP（CVO），除了基本的單節點版本外，也提供了具備高可用性能力的雙節點HA版本，用戶可以部署2臺CVO節點組成HA群組，當任一臺CVO節點失效時，可透過另一個CVO節點接手維持存取服務，比起一般的公有雲原生儲存服務，多了一層可用性保障。不過，在AWS與Azure上，CVO的HA架構運作方式略有差異。</strong></strong></strong></p> <p class="rtecenter"><strong><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_5.png" style="width: 500px;" /></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#3399ff;"><strong>AWS上的CVO高可用性架構</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>兩個CVO節點可以位於同一個或不同的可用性區域（AZ），後端各自掛載著自身的EBS磁碟機，但兩個節點需設定在同一個VPC環境內，彼此間透過鏡像複製維持資料同步，另外，還有一個負責連繫兩個CVO節點與提供仲裁功能的Mediator節點（本身是位於第3方可用性區域的一臺Linux執行個體）。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>當任一CVO節點或其後端EBS儲存區失效時，可透過Mediator節點啟動I/O路徑切換，將存取負載轉給另一CVO節點承擔。</strong></span></strong></strong></strong><span style="color:#696969;">圖片來源／NetApp</span></p> <p class="rtecenter"><strong><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp_CVO_6.png" style="text-align: center; width: 500px;" /></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#3399ff;"><strong>Azure上的CVO高可用性架構</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>在相同的VNet與Subnet環境內，將兩個CVO節點組成一個可用性群組（Availiability Set），兩個節點共同存取相同的Azure Page Blob儲存體磁碟機群組，透過一臺扮演ILB（Internet Load Balance）的虛擬機器連繫兩個節點。當任一CVO節點失效時，透過ILB將存取負載切換到另一CVO節點。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>要特別注意的是，在Azure上，單節點版本的CVO使用的磁碟機，是Azure的受控（Managed）LRS儲存體，而HA版本的CVO則改用Azure非受控的Page Blob儲存體。</strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>從NetApp提供的架構圖上，我們可以看出，比起AWS上的CVO HA架構，Azure上的CVO HA架構比較簡單，兩個CVO節點是存取同一個Page Blob儲存體，所以不需要跨節點同步鏡像，不過無法應付後端儲存體失效的情況。</strong></span></strong></strong></strong><span style="color:#696969;">圖片來源／NetApp</span></p> <p><strong><strong><strong><span style="font-size:28px;"><strong>NetApp兩種Cloud Volumes對比：CVO vs. CVS</strong></span></strong></strong></strong></p> <p class="rtecenter"><strong><strong><strong><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/932-3031-%E7%94%A2%E5%93%81%E5%A0%B1%E5%B0%8E-Cloud%20Volumes%20ONTAP-%E5%9C%96%E8%A1%A8.png" style="width: 500px;" /></strong></span></strong></strong></strong></p> <p><strong><strong><strong><span style="color:#696969;"><strong>資料來源：iThome整理，2019年7月</strong></span></strong></strong></strong></p> <p><strong><strong><strong>除了Cloud Volumes ONTAP（CVO）外，NetApp還有一款稱作Cloud Volumes Service（CVS）的公有雲儲存產品，CVO與CVS兩個產品不僅名稱類似，也同樣都是架構在公有雲平臺上、基於NetApp ONTAP平臺的儲存服務，十分容易混淆，但兩者的底層架構完全不同，我們這裡特地作一對比。</strong></strong></strong></p> <p><strong><strong><strong>● 儲存設備：CVS是部署在公有雲資料中心的「實體NetApp AFF儲存陣列」，提供儲存服務，儲存陣列就有HA高可用性能力；CVO是由公有雲運算與儲存資源建構的「虛擬化儲存陣列」，來提供儲存服務，而HA的功能需額外選購。</strong></strong></strong></p> <p><strong><strong><strong>● 系統部署：CVS底層的實體AFF儲存陣列，由NetApp負責部署，無需用戶介入：CVO則需由用戶自行下載映像檔，並部署到公有雲的虛擬機器上。</strong></strong></strong></p> <p><strong><strong><strong>● 系統管理：CVS底層的實體AFF儲存陣列，由NetApp負責設定與管理，用戶只能設定需要的Volume磁碟區大小，以及快照排程；CVO底層的虛擬控制器及磁碟區，都由用戶自行管理，用戶擁有完整的控制權。</strong></strong></strong></p> <p><strong><strong><strong>● 維運模式：CVS向用戶提供的是儲存空間使用權，用戶可隨用隨付或定期定購；CVO提供的是一整臺虛擬儲存設備與其儲存空間的授權，用戶可隨用隨付或定期定購。</strong></strong></strong></p> <p><strong><strong><strong>● 儲存應用範圍：CVS只支援NAS檔案共享存取應用，只支援NFS與SMB協定，資料服務功能較少，但憑藉底層實體AFF儲存陣列，可適用從小型到超大型工作負載；CVO支援SAN與NAS應用，能支援基於NFS與SMB協定的檔案存取，也支援基於iSCSI的資料存取，但由於底層是虛擬儲存裝置，只支援小型與中型工作負載。</strong></strong></strong></p> <p><strong><strong><strong>● 適用公有雲平臺：CVS目前可支援AWS、Azure與GCP等3個公有雲平臺；CVO目前只支援AWS與Azure，GCP版本仍在測試中。</strong></strong></strong></p> <p><strong><strong><strong>● 服務區域涵蓋：CVS由於須將實體設備部署進公有雲資料中心，所以，在公有雲服務區域的部署速度，比起軟體定義部署的CVO慢了許多。以AWS來說，目前已有20個服務區域可提供CVO，但其中只有8個服務區域有CVS；類似的，目前已有33個Azure服務區域提供CVO服務，其中，只有8個區域，提供Azure NetApp Files服務（CVS在Azure上的名稱）。</strong></strong></strong></p> </div></div></div>
2019/8/8 09:00作者張明德https://www.ithome.com.tw/review/132218
英特爾CPU漏洞再現推測執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender在8月6日舉行的黑帽大會（BlackHat）上，再度<a href="https://labs.bitdefender.com/2019/08/bypassing-kpti-using-the-speculative-behavior-of-the-swapgs-instruction/?adobe_mc=MCMID%3D20197107692565771241750035194419848406%7CMCORGID%3D0E920C0F53DA9E9B0A490D45%2540AdobeOrg%7CTS%3D1565158800" target="_blank">揭露了英特爾CPU的推測執行漏洞</a>，該漏洞為Spectre的變種，過去曾有的修補都不管用，同樣允許駭客存取記憶體中的機密資訊，英特爾、微軟與紅帽也都在同一天發出警告。</p> <p>推測執行（Speculative Execution）為一用來提升CPU效能的設計，可提前執行可能需要的指令，這些指令可能與私有資料有關，並把資料帶入快取，駭客即可開採此一程序，讀取存放在記憶體中的機密資訊，又稱為旁路攻擊。</p> <p>Bitdefender所發現的漏洞牽涉到SWAPGS指令，它可在64位元的x86處理器中置換GS暫存器的值，以存取核心空間的資料，因而可能遭到駭客利用，駭客只要藉由惡意的本地端程式，就能存取原本無權存取的系統記憶體。</p> <p>Bitdefender去年就向英特爾提報該漏洞，<a href="https://software.intel.com/security-software-guidance/insights/more-information-swapgs-and-speculative-only-segment-loads" target="_blank">根據英特爾的說法</a>，評估後判斷針對該漏洞的最佳緩解之道在於軟體層面，因此交由微軟主導，以與其它合作夥伴及研究人員協商補救措施。</p> <p>微軟本周也公布了此一<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1125" target="_blank">編號為CVE-2019-1125的安全漏洞</a>，指出要開採該漏洞的駭客必須先登入系統，再執行特製的應用程式，此一漏洞並不會直接擴張使用者權限，但可用來獲得重要資訊，以展開進一步的攻擊。</p> <p>其實微軟已經在今年7月的Patch Tuesday例行性安全更新中，修補了CVE-2019-1125，只是在本周與其它業者同步揭露。該漏洞波及Windows 7、Windows 10及Windows Server等平台。</p> <p>至於<a href="https://access.redhat.com/articles/4329821" target="_blank">紅帽（Red Hat）則說</a>，除了更新Linux核心並重啟系統之外，並沒有其它完整的緩解辦法，但目前尚未得知有任何途徑可在Linux系統上開採該漏洞。眾多Red Hat平台都受到影響，紅帽建議用戶要儘速更新。</p> <p>雖然不論是微軟或紅帽都表示，CVE-2019-1125同時影響英特爾與AMD處理器，但根據Bleeping Computer的報導，Bitdefender團隊只在英特爾處理器上成功開採了該漏洞，在兩款AMD處理器上測試都失敗。</p> </div></div></div>
2019/8/7 14:05作者陳曉莉https://www.ithome.com.tw/news/132289
IBM軟體解決方案為紅帽OpenShift最佳化，可在任何雲端平臺執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2019-08-01-IBM-Transforms-Its-Software-to-Run-on-Any-Cloud-with-Red-Hat">IBM在7月正式併購Linux作業系統發行商紅帽（Red Hat），現在發布了產品整合</a>，除了OpenShift可在IBM公共雲上執行之外，現在IBM還推出預整合解決方案Cloud Paks，為企業提供整合通用服務集的原生雲端應用。這次發布還包括了在IBM混合多雲上，超過100種可在OpenShift上執行的IBM軟體解決方案。</p> <p>IBM宣布其軟體解決方案將轉為原生雲端，並為OpenShift進行了最佳化，使得企業建立的應用程式，能在AWS、Azure、GCP、阿里巴巴和IBM的公有雲以及私有雲上運作。新的原生雲端功能，將以稱作IBM Cloud Pak的預整合解決方案形式提供，IBM會為經認證的容器化軟體，提供通用運作模型和服務，像是身份管理、安全性、監控與日誌紀錄服務等，使用者可以在統一的儀表板上，監控跨雲服務的運作狀況。</p> <p>目前首波推出5個IBM Cloud Pak已經上市，包括自動化資料分析應用Cloud Pak for Data，之前產品名稱為IBM Cloud Private for Data，企業能夠統一收集、組織與分析資料工作，並跨雲端平臺提供廣泛的資料微服務。IBM Cloud Pak for Applications則讓企業可快速地部署Kubernetes應用程式，對於既存的應用程式，企業可以使用整合工具讓應用程式在Kubernetes上執行，或是快速地開發原生雲端應用程式。</p> <p>Cloud Pak for Integration則提供企業跨雲端整合應用程式、資料、雲端服務和API，Cloud Pak for Automation則讓企業能夠在任何的雲端平臺上，建置並執行自動應用程式和服務，最後一個則為Cloud Pak for Multicloud Management，供企業管理跨雲工作負載，提供多雲工作負載的可見度、治理與自動化功能，降低大規模雲端應用營運成本。</p> <p>另外，IBM也宣布在IBM Cloud上支援OpenShift，企業可以在IBM公有雲上運作OpenShift全託管服務，IBM提到，他們簡化了部署的程序，用戶只要點擊一個按鈕，系統就能自動開始部署工作，為企業提供混合雲端基礎設施。而現在OpenShift也能夠在IBM Z與LinuxONE企業平臺上執行，於用戶選擇的基礎架構上執行和管理原生雲端工作負載。</p> <p>而相關的諮詢與技術服務，則繼續由紅帽認證的顧問團隊以及雲端應用程式服務團隊支援，IBM提到，這次的發布，也包含在IBM混合多雲平臺上，總共提供超過100個可在OpenShift上執行的軟體解決方案。</p> </div></div></div>
2019/8/7 11:55作者李建興https://www.ithome.com.tw/news/132281
IoT雙周報第68期：開源邊緣運算框架EdgeX正式釋出1.0版，強調功能已經邁入穩定且成熟版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>07/13~07/26精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EdgeX </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>開源邊緣運算框架EdgeX正式釋出1.0版，朝向通用工業IoT邊緣運算平臺邁進一大步</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EdgeXArchitecture-6-1-19-1024x576.png" style="width: 600px; height: 338px;" /></p> <p>Linux基金會旗下的EdgeX Foundry開源物聯網專案近日釋出了以Edinburgh為名的開源邊緣運算框架1.0版，也是繼0.5版（Barcelona）、0.6版（California）、與0.7版（Delhi）以來發布的第4個版本。隨著1.0版的釋出，EdgeX表示，這已經是一個功能穩定且成熟版本，可以讓合作成員將EdgeX物聯網框架軟體嵌入其產品與解決方案中，而不需在意底層框架的選擇，如硬體、OS、通訊協定等。1.0新版主要特色，除了加入更完整支援的API，可以提供開放Open IoT edge應用，對於無關雲端的北向（Northbound）通訊元件上，也提供更全面功能的SDK套件，並支援主要雲端廠商，如AWS、Google Cloud與微軟Azure。另外在連接底層零組件或感測器的南向（Southbound）介面，也可跨不同主流通訊協定與SDK，以建立可以互通且相容的隨插即用元件，新版還加入更全面測試機制，包含效能與可擴充性測試等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Kinect </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟深度攝影機開發套件Azure Kinect DK，正式在美國及中國上架，售價399美元</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(50).jpg" style="width: 600px; height: 300px;" /></p> <p>微軟近日宣布整合Kinect動作感測器與智慧邊緣技術的Azure Kinect DK開發套件，正式在美國及中國上市，每款售價399美元。Azure Kinect DK是微軟去年於Build全球大會推出的一款Kinect體感攝影機開發套件，不只結合已停產的Kinect動作辨識感測器，也整合Azure IoT Edge邊緣運算功能，讓開發人員不需要專用Kinect設備，透過這個Kinect開發硬體，就能自行開發結合手勢或體感控制的新應用。例如，具有避障功能的機器人或無人機等。該套件本身內建1,200萬畫素RGB攝影機，同時提供廣角及窄角的100萬畫素深度攝影機，及7環場麥克風陣列、方向感測器。此外它還提供SDK，並也能和Azure AI服務整合，提供開發商開發第三方應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧家庭</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google正式釋出Local Home SDK 預覽版，要讓自家語音助理管控更多智慧家庭裝置</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(52).jpg" style="width: 600px; height: 310px;" /></p> <p>為了要讓自家Google語音助理能控制和管理更多家庭裝置，Google近日正式釋出了Local Home SDK 的預覽版本，可供開發人員以TypeScript或JavaScript程式語言編寫包含智慧家庭設備的業務邏輯，並可在本地端執行的應用程式，讓開發者更容易將用戶的家庭設備連接到Google Assistant智慧語音助理，並在本地端來執行指令，透過 Google Home app與Google Assistant操控各種智慧家電設備，讓Google上的Actions（技能）可以通過本地端執行的應用程式，來做到開啟家中電燈等控制功能，或是也可以經由這些家電設備直接控制Google Home智慧喇叭或Nest智慧溫控等設備。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Wing </span></strong></span></p> <p><span style="font-size:22px;"><strong>改善無人機空中交管難題，Alphabet旗下無人機公司Wing釋出無人機交管控制平臺OpenSky</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(44).jpg" style="width: 600px; height: 431px;" /></p> <p>Alphabet旗下無人機公司Wing日前在澳洲推出一款無人機空中流量控制程式OpenSky，以改善無人機空中交管問題。OpenSky如同空中版的Google Maps，使用者可輸入所要飛行的區域，它即會標示出禁止飛行的領域、危險區域、或是只能在白天飛行的領域，以及飛行高度限制等，以利商家或業餘無人機愛好者操作無人機或無人機隊，可以更安全有效地的遵守飛航守則。OpenSky用戶也可收到周圍空域發布的緊急警報，以避開這些禁飛區域飛行。目前Wing已推出iOS版、Android版及網頁版的OpenSky，不過該程式礙於各國無人機法令的不同，目前只在已取得官方許可的澳洲上架，尚未部署至其它市場。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">藍牙協定 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT通訊漏洞 </span></strong></span></p> <p><span style="font-size:22px;"><strong>研究人員揭露Fitbit等穿戴裝置含有藍牙協定漏洞，恐成為駭客建立IoT殭屍網路的跳板</strong></span></p> <p>無線藍牙是許多穿戴裝置主要的連線方式，如Fitbit等，但是最近波士頓大學研究團隊發現，這些裝置存有藍牙協定漏洞，使得就算裝置連線含有獨特裝置地址，即使不斷改變也可以追蹤。他們測試一些可藍牙連線的裝置，Fitbit與採用Android、iOS、Mac、Windows 10的裝置，都發現有這個問題，容易洩露裝置所在的位置。尤其，Fitbit等穿戴裝置、智慧筆偵測風險更高。研究員表示，雖然這類安全漏洞不會洩露個資，但是駭客可用它來建立殭屍網路以追蹤個別一臺裝置，或結合Wi-Fi連線的IoT裝置蒐集到更個人化的資訊，以建構出特定用戶更詳細的生活樣態。幸好，多數裝置只要關閉再重開藍牙連線，就能「關閉」安全漏洞。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">T-Mobile</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NB-IoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>T-Mobile宣布推出NB-IoT資產追蹤方案，將按裝置數量計費</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(42).jpg" style="width: 600px; height: 263px;" /></p> <p>美國國家標準暨技術研究院（NIST）近日公布物聯網安全報告，在這分名為Considerations for Managing IoT Cybersecurity and Privacy Risks的檔案文件中，提出國家物聯網裝置安全的重要指導原則，但不限於政府機關，只要是有涉及這些安全問題的物聯網設備製造商或系統整合商，都可以參考這個指導架構，從底層感測器、網路使用介面，到裝置資料存取、管理、監控，以及網路安全與隱私保護能力等，都有清楚描述，也提出防範之道。NIST表示，該報告是旗下物聯網計畫網路安全的一環，用以支持IoT安全標準、指導守則與相關工具發展與應用，以改善IoT裝置及其部署環境的網路安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧家庭 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WebOS </span></strong></span></p> <p><span style="font-size:22px;"><strong>LG與Qt擴大合作，要將WebOS帶上汽車、機器人與智慧家庭裝置</strong></span></p> <p> </p> <p>美國電信業者T-Mobile 近日推出採用NB-IoT物聯網通訊技術的資產追蹤服務Roambee BeeAware，強調比傳統LoRa具備更高通訊安全與穩定性。該公司也宣稱，這是美國第一個採用此技術的NB-IoT資產追蹤方案。至於收費方式，將按IoT裝置數量來計費，以平均每月每臺設備收費10美元，其中還包含了NB-IoT 數據與相關服務存取等。同時，該技術也被美國廢棄物管理公司Sensoneo用於智慧垃圾管理的IoT應用。除了T-Mobile以外，另外兩家競爭對手AT&T、Verizon，也都在最近兩個月宣布自行打造的NB-IoT通訊網路已可覆蓋全美地區。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">工業物聯網 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure Sphere </span></strong></span></p> <p><span style="font-size:22px;"><strong>加強工業物聯網應用安全，NXP聯手微軟將推出符合Azure Sphere安全標準的IoT嵌入式處理器</strong></span></p> <p>恩智浦半導體（NXP）最近宣布將與微軟合推一款全新嵌入式處理器i.MX8，整合了微軟Azure Sphere的物聯網安全技術，也是最新一款符合Azure Sphere標準的工業物聯網單晶片。Azure Sphere是微軟去年力推的整套式物聯網安全技術，涵蓋了底層IoT晶片、Linux核心與雲端服務的安全防護，即將推出採用Cortex-A35設計架構的單i.MX8，將可以在Azure Sphere安全平臺上執行，來提高物聯網邊緣設備連線的安全性，該單晶片預計將在明年第4季開始提供樣本送測。除了恩智浦，聯發科去年新款晶片處理器MT3620，也同樣已支援Azure Sphere安全方案。責任編輯⊙余至浩</p> <p>圖片來源／EdgeX Foundry、Wing、微軟Azure、Google Developers、T-Mobile</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.比傳統CPU快1千倍，英特爾推出內含800萬個神經元組成的超級電腦晶片</strong></p> <p><strong><strong><strong>2.搶攻AIoT產業應用商機，聯發科發表具有AI邊緣運算能力的AIoT 平臺i700</strong></strong></strong></p> <p><strong><strong><strong>3.PTC工業物聯網連接軟體Kepware釋出新版，強化安全來加快企業工業IoT應用部署的腳步</strong></strong></strong></p> <p><strong><strong><strong>4.自駕車公司Waymo透露已完成100億英里的虛擬自動駕駛模擬測試</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年7月</strong></strong></p> </div></div></div>
2019/8/2 10:12作者余至浩https://www.ithome.com.tw/news/132200
Linus Torvalds：已無開發人員維護Linux磁碟機驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於磁碟機驅動程式開發人員，已經沒有可以運作的磁碟機電腦，也就沒辦法繼續開發磁碟機驅動程式，因此<a href="https://github.com/torvalds/linux/commit/47d6a7607443ea43dbc4d0f371bf773540a8f8f4">Linux之父Linus Torvalds已經將磁碟機驅動程式，在Linux專案中標記為孤兒（Orphaned）</a>，也就是不再有開發人員有能力，或是願意維護磁碟機驅動程式原始碼，最終可能被棄用並刪除。</p> <p>Linus Torvalds在GitHub上提到，物理磁碟機硬體越來越難取得，雖然仍然能夠測試，但是從硬體的角度來說，驅動程式的確算是已經死掉了，目前仍然在銷售的磁碟機，主要都是使用USB介面，因此也不需要這種傳統的驅動程式。</p> <p>不過，磁碟機驅動程式也不會立即從Linux被移除，舊的磁碟機控制器仍然可以在各種虛擬機器環境中模擬執行，因此驅動程式暫時還不會完全消失，Linus Torvalds提到，還會等待有興趣的人接手維護。沒有人維護的驅動程式無法永遠留存在Linux核心中，因為會造成安全性的威脅，即便在虛擬機器中執行，在沒有磁碟機的情況下，仍然會使虛擬機器暴露在攻擊威脅之下。</p> </div></div></div>
2019/8/1 13:35作者李建興https://www.ithome.com.tw/news/132153
Netflix、AWS加入Linux基金會旗下學院軟體基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年奧斯卡金像獎主辦單位美國影藝學院與Linux基金會合作，一起成立了學院軟體基金會（Academy Software Foundation，ASWF），該基金會成立時間將近一年，今年有更多組織<a href="https://www.aswf.io/aws-rodeofx-movielabs/">加入基金會的行列，包括成為高級會員的Netflix以及AWS</a>，另外，學院軟體基金會也宣布，接受<a href="https://www.aswf.io/opentimelineio-joins-aswf/">OpenTimelineIO成為第5個託管專案</a>。</p> <p>學院軟體基金會成立的原因，是要來解決影藝產業開源工具生態系破碎的問題。雖然在影藝產業，特別是動畫與視覺特效領域，已經有80％的組織使用開源軟體，但是開源軟體使用也帶來了一些問題，像是缺乏支援、不同治理與授權方式，以及開源函式庫多版本的管理等。學院軟體基金會目標是成為一個中立論壇，跨專案協調工作，促使影藝產業可以共享資源。</p> <p>在這周舉辦的2019年電腦圖學頂級年度會議SIGGRAPH中，該基金會表示，這一年會員數成長達78％，Netflix和AWS成為基金會的高級會員，學院軟體基金會執行董事David Morin提到，Netflix在開源領域有不少貢獻，也已經開源了許多專案，希望未來也能參與新的OpenTimelineIO專案，而有許多開源專案以及開發人員，仰賴AWS的雲端服務產生內容，期待未來AWS的貢獻與發展。另外，參加學院軟體基金會知名的組織還有視覺特效工具公司Rodeo FX和MovieLabs。</p> <p>最新加入學院軟體基金會專案行列的OpenTimelineIO專案，最初由皮克斯動畫工作室開發，是一種開源API以及交換格式，能促進工作室之間，在編輯資料和時間軸訊息的溝通與協作，用戶可以將其與其他工具整合，用來追蹤拍攝畫面長度的改變、為拍攝畫面提供上下文資訊，或是用來溝通鏡頭的去留。</p> <p>從2016年釋出以來，OpenTimelineIO已歷經11個版本，被皮克斯、盧卡斯影業和Netflix等許多工作室和電影公司使用，近期知名的作品包括可可夜總會、超人特攻隊2以及玩具總動員4。David Morin提到，OpenTimelineIO正快速地成為動畫工作室、視覺特效工作室和第三方供應商之間的標準編輯工作管線，在廣泛的生態系支援之下，OpenTimelineIO的第三方工具將會持續成長，讓用戶能更簡單地在工作管線中使用。</p> <p>除了新加入的OpenTimelineIO，在學院軟體基金會中處於孵化階段的專案，還有OpenColorIO、OpenCue、OpenEXR以及OpenVDB。</p> </div></div></div>
2019/7/30 16:10作者李建興https://www.ithome.com.tw/news/132122
Python替代實作PyPy JIT現支援64位元ARM裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://morepypy.blogspot.com/2019/07/pypy-jit-for-aarch64.html">PyPy官方宣布其JIT編譯器開始正式支援64位元ARM（AArch64）</a>，現在PyPy支援的架構種類越來越豐富，在x86架構支援32和64位元，而ARM上也完整支援了32和64位元，還有PPC64和s390x總共6種架構。</p> <p>PyPy是標準Python實作CPython的替代實作，相較於CPython的直譯器，PyPy則採用JIT編譯器，因此在大部分的情況下，PyPy執行效率比CPython還要好上許多，PyPy官方提到，一直以來他們為現有平臺提供良好的Python程式執行效能，他們比較了AArch64、x86_64與CPython的效能表現。</p> <p>官方使用比較了PyPy AArch64與CPython 2.7.15版本效能差異，以及AArch64 x86_64和CPython 2.7.16在Linux筆電上的效能差異比較，在大多數基準測試中，AArch64的加速表現，與他們在x86_64筆電上獲得的加速程度相當，和CPython相比，PyPy在AArch64上的速度提升幅度在0.6到44.9倍之間，而x86_64的的加速區間則是在0.6和58.9倍間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-07-arm64-speedups.png" style="width: 600px;" /></p> <p>官方也單獨比較了PyPy AArch64以及x86_64之間的差異，兩者的速度差異可以分為，兩者執行速度差不多、AArch64執行速度為x86_64的2倍，還有AArch64執行速度是x86_64的0.5倍共三類。官方提到造成效能差異的原因，主要來自於架構的差異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-07-arm64-relative.png" style="text-align: center; width: 600px;" /></p> <p>這個基準測試是在AWS上的Graviton A1機器上進行實驗，官方表示，由於Graviton A1是虛擬機器，實際上並不適合基準測試，主要問題在於，雖然虛擬CPU與真實CPU是一對一，但是從外部無法清楚知道跨虛擬CPU共享快取的方式。</p> <p>而且官方發現，Graviton A1虛擬機器的分支預測器似乎有所改進，CPython本身程式執行的速度就快很多，因此雖然在舊版ARM開發板上PyPy比CPython快不少，但在Graviton A1虛擬機器測試的結果，差異就沒這麼大了。</p> <p>官方認為，這樣的結果也顯示，PyPy還有許多改進的可能性，尤其是在AArch64平臺，因為AArch64架構帶有大量的CPU暫存器，而由於PyPy的後端是用x86的想法開發，而x86的CPU暫存器數量很少，在未來他們會改進PyPy以符合更現代的硬體架構，另外，AArch64的後端還缺少許多功能，這些功能部分暫時以計算成本高昂的函式呼叫實作，未來會以內聯原生指令改進。</p> </div></div></div>
2019/7/29 17:50作者李建興https://www.ithome.com.tw/news/132097
可快速在樹莓派上執行Docker的HypriotOS釋出新版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.hypriot.com/post/releasing-HypriotOS-1-11/">強調可讓用戶輕鬆地在樹莓派上執行Docker的Linux作業系統HypriotOS釋出了1.11.0版本</a>，這個新版本使用了最新的Docker引擎社群版，並且完整支援樹莓派所有型號，包括最新的樹莓派4B。</p> <p>為了幫助用戶可以在樹莓派或是任何ARM裝置上執行Docker，開發團隊在2015年的時候創建了HypriotOS，這是一個基於Debian的作業系統，專門為執行Docker工作負載最佳化，用戶只要在SD卡中寫入HypriotOS映像檔，就能簡單地在樹莓派中開始執行Docker，官方強調，整個過程不會花費用戶超過5分鐘的時間。</p> <p>這個新版本HypriotOS採用了最新的Docker引擎19.03.0版本，這個版本具有Swarm模式，用戶只需要輸入幾個命令，就可以在多節點叢集實現高可用性服務。另外，HypriotOS 1.11.0支援完整的樹莓派全型號，從樹莓派1、2、3以及3B+，還有Zero、運算模組（Compute Module），甚至是才剛發表的樹莓派4B都包含在內。</p> <p>官方改進了其快閃工具，使用者能夠使用這個工具，以指令將HypriotOS寫入至SD卡中。現在這個工具提供更多的指令，讓用戶自定義HypriotOS在首次啟動時的行為，像是cloud-init可以讓樹莓派在首次啟動時，自動連接至Wi-Fi，之後用戶只要透過ping black-pearl.local指令，就能在網路中找到該樹莓派裝置。</p> <p>為了增強安全性，官方也調整了HypriotOS的安全設定，在這個版本不再提供root帳號，而官方出廠預設用戶帳號，用戶也可以在之後自定義或是刪除。用戶還可以在啟動樹莓派之前，新增公開SSH金鑰，禁用密碼登入選項或是指定以其他使用者帳戶登入。官方還提到，HypriotOS 1.11.0包含了完整的Docker工具集，但是容量依然非常小，甚至小於Raspbian Lite。</p> </div></div></div>
2019/7/29 10:00作者李建興https://www.ithome.com.tw/news/132078
Container周報第108期：K8s新增了除錯用臨時性容器，北極星配置工具能告訴你K8s叢集今天天氣如何
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong><span style="color:#0000FF;">7/17~7/25一定要知道的容器精選新聞 </span></strong></h3> <h3><strong><span style="color:#FFFFE0;"><span style="background-color:#0000FF;">#北極星 #叢集配置</span></span><br /><span style="color:#FF8C00;">你的K8s叢集今天是陰天，Fairwands開源K8s配置工具北極星用天氣儀表版反應狀態</span></strong></h3> <p>最近Fairwinds宣布開源釋出自家的K8s配置工具Polaris（北極星），這款工具最大特色是Kubernetes叢集的管理儀表版。這是他們用來打造自家配置管理服務的軟體。可以從儀表版上快速看到目前已經部署的Kubernetes的整體執行狀態，北極星工具會將叢集執行狀態分成三級，各自評分，再得出一個總分，方便開發者快速評估目前所有叢集的執行狀態，例如今天狀態是85分，另外也會用天氣（晴天表示一切順利，晴時多雲代表8成叢集順利），讓維運團隊和開發者可以更容易形容和討論目前的環境可用性。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/Fairwinds-Polaris(1).png" /><br /> </h3> <h3><strong><span style="background-color:#F0F8FF;">#除錯 #容器</span></strong><br /><span style="color:#FF8C00;"><strong>方便測試開發之用，K8s新增了臨時性容器功能</strong></span></h3> <p>K8s核心API最近增加了一組新的API功能Ephemeral Container，要來提供開發者可以新增和調度臨時性用途的容器，這也是一種除錯用的容器。主要功能是可以透過這個臨時性容器，來觀察K8s叢集中不同Pod的執行狀態，就像是一個除錯用的追蹤器一樣，這也可以用來同時執行多個k8s除錯工具kubectl debug來觀察一個Pod。目前開發成員剛列出未來要優先開發的功能，包括</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#Docker #K8s</span></strong></span><br /><span style="color:#FF8C00;"><strong>Docker Enterprise 3.0正式釋出，推DKS簡化K8s管理複雜度</strong></span></h3> <p>Docker釋出企業級版本Docker Enterprise 3.0，加入了Docker Kubernetes Service（DKS），用戶能使用叢集管理工具，自動化Kubernetes生命周期各階段的工作，還新增Docker Application，用戶能以這個新的應用程式打包格式，綑綁需要的分散式資源。3.0是一個重大更新版本，除了更深化Kubernetes的支援外，也以Docker Application格式擴充容器應用程式能力。Kubernetes是一個容器調度的技術，可用於自動部署、擴展和管理容器化應用程式，Docker Enterprise 3.0加入了DKS，DKS是Docker Enterprise 3.0附帶經認證的Kubernetes發行版本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Doccker%E4%BC%81%E6%A5%AD%E7%89%883.jpg" /></p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0000FF;">#Linux #CoreOS</span></span><br /><span style="color:#FF8C00;">超精簡容器作業系統Fedora CoreOS釋出第一個預覽版</span></strong></h3> <p>Container Linux的後繼者Fedora CoreOS推出了第一個預覽版，其強調專為容器工作負載設計，能夠以自動更新的方式，修復錯誤以及更新安全漏洞，並改進作業系統功能，目前僅可在QEMU、VMware、AWS以及裸機上，支援x86_64的環境中執行。Fedora CoreOS第一個版本，專注於安全和可靠姓，支援Ignition規範3.0.0，內建可將Container Linux配置轉換成JSON檔案的Config Transpiler，透過rpm-ostree與Zincati進行自動更新，並以Podman和Moby執行容器。</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#K8s #使用性</span></strong></span><br /><span style="color:#FF8C00;"><strong>Kubernetes開始聚焦使用性，成立第一個使用性SIG工作小組</strong></span></h3> <p>Lyft工程師也是CNCF推廣大使Vallery Lancey最近在Twitter上宣布，正式增加了新的使用性工作小組（SIG-Usability），這個小組的任務是，要負責改善Kubernetes的各種使用設計不良之處，他舉了7個努力方向，包括了更多Kubernetes Hand-on教材（協助更多人上手），產品管理技巧分享、使用者研究、國際化（在地化）強化、近用性設計等。他呼籲大家可以先就這些方向來貢獻自己的經驗。目前這個工作小組有4名主要管理者，分別來四Linux基金會、Pivotal、VMware和Lyft。</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#無伺服器 #CICD</span></strong></span><br /><span style="color:#FF8C00;"><strong>K8s明年三大熱門方向：混合雲、無伺服器調度和全程CI/CD</strong></span></h3> <p>明年Kubernetes發展方向為如何呢？最近一篇Techtarget技術分析師Twain Taylor的文章引起不少討論，他曾在<br /> Google印度AdWords團隊工作了4年，熟悉DevOps和IoT應用。他認為，Serverless調度是第一個方向，因為Serverless需要一個PaaS平臺來管理，K8s過去多半為了複雜系統而設計，但Serverless需要精簡、輕量的調度機制，兩者需要開始整合。第二個方向是混合式調度(Hybrid orchestration)，企業都想要管理混合雲，但目前只有Google的GKE on-prem、Istio、Velostrata整合而成的Anthos，聚焦於K8s混合雲管理，K8s需要更多可以整和GCP以外的其他雲的工具。第三項明年可以聚焦的方向，他建議是端到端的全程CI/CD，目前已經有像CloudBees、Jenkins等，可以涵蓋整個軟體開發生命週期的管理，目前不少大型公有雲端業者開始投入，如AWS CodePipeline、Azure DevOps，但他們的工具涵蓋廣度還不夠，這應該是明年雲端業者會努力的目標。更長期的K8s熱門話題就是超輕量VM和容器之間的定位競合，K8s又該如何調度和支援這兩者，將會是更長期的功課。<br /> 責任編輯／王宏仁</p> <h3><span style="color:#FFFFFF;"><strong><span style="background-color:#0000FF;">#NoSQL #MongoDB</span></strong></span><br /><span style="color:#FF8C00;"><strong>MongoDB終於來臺設立據點，不只搶攻金融與製造業，還要開始推廣臺灣社群</strong></span></h3> <p>企業級開源資料庫MongoDB終於來臺設立據點，7月1日正式啟用臺灣據點，美國官網也新增了臺北辦公室地址。在臺策略的第一步要招募更多專業經銷商，來擴大臺灣製造業和金融業的滲透率，搶攻線上遊戲和直播市場，也將開始推廣MongoDB臺灣社群，預計從下一季，也就是8月展開行動。MongoDB最近剛釋出了4.2新版的測試版，但沒有透露何時正式版。新特色如多文件（Multi-Document）ACID交易保證的機制，可確保跨不同叢集的交易資料能有一致性。另一個值得關注的新功能是支援S3儲存，可以透過MongoDB直接搜尋儲存在S3上的資料，未來也計畫要支援GCP的Cloud Storage服務，可以用來整合冷數據和熱數據進行整體分析。</p> <p><strong>更多Container動態</strong></p> <ul><li>Amazon Aurora的PostgreSQL無伺服器版本正式GA了</li> <li>臺灣Kubernetes Summit將於9月11日舉辦，不同產業K8s經驗將是今年重點</li> </ul><p> ＠資料來源：iThome整理，2019年7月</p> </div></div></div>
2019/7/26 13:13作者王宏仁https://www.ithome.com.tw/news/132056
一周大事：
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>Intel推全新Creator PC概念，創作者電腦將成專業繪圖工作站的新選擇</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Intel%E6%96%B0%E6%8E%A8Creator%20PC%E6%A6%82%E5%BF%B5_%E9%80%B1%E5%88%8A.png" style="width: 500px;" /></strong></span></p> <p>看好各式多媒體創作需求，不僅是各PC業者鎖定創作者需求推出PC產品，近期Intel也開始塑造Creator PC概念，期望將PC市場再度細分，帶動市場與新族群的換機需求。<a href="https://www.ithome.com.tw/news/131929" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>VMware在臺預告產品新方向，全力擁抱K8s</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/vmword2018_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_VMware</span></p> <p>在K8s布局慢了一步的VMware，過去一年，接續收購了容器技術廠商Heptio，及應用程式封裝公司Bitnami。例如VMware收購Heptio後，進而延攬了該新創的聯合創始人，也就是K8s專案3名創辦人中的2位，讓自身於K8s社群中的地位，急起直追競爭對手。VMware臺灣總經理陳學智表示，VMware目前在K8s社群的開源程式碼貢獻度上，僅次於Google，位居第二。這些併購瞄準的就是雲端原生應用市場，甚至，VMware自家新產品的開發已全面使用容器架構。<a href="https://www.ithome.com.tw/news/131903" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>WPA3正式上路，無線路由器與裝置端都有支援產品上市</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892019%E4%B8%8A%E5%8D%8AWPA3%E8%AA%8D%E8%AD%89%E6%9C%80%E6%96%B0%E7%8B%80%E6%B3%81(%E8%87%B30630%E6%AD%A2).png" style="width: 500px;" /></strong></span></p> <p>隨著新一代無線網路加密通訊協定WPA3的推出，支援產品也陸續問世，去年底，我們已經看到近百臺的無線路由器，取得了Wi-Fi聯盟的WPA3認證，但是，當時還沒有對應的裝置端產品經認證。<a href="https://www.ithome.com.tw/news/131954" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>LPWAN技術讓台北市停車情報更新快10倍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%941%EF%BC%9A29_%E5%9C%B0%E7%A3%81%E7%B3%BB%E7%B5%B1_%E5%8F%B0%E5%8C%97%E5%B8%82%E5%81%9C%E8%BB%8A%E7%AE%A1%E7%90%86%E5%B7%A5%E7%A8%8B%E8%99%95_20190711_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 300px;" /></p> <p>攝影<span style="color: rgb(105, 105, 105);">_洪政偉</span></p> <p>傳統的路邊停車管理仰賴大量人力，開單員每30分鐘巡場，使用PDA開單，在開單的同時，以人工方式確認停車位使用狀況，民眾可透過「北市好停車」App知道哪裡有停車空位，不過，每30分鐘更新一次路邊停車位動態並不夠即時。</p> <p>臺北市長柯文哲上任後，推動智慧城市的策略之一，便是開放城市成為實驗場域，以驗證各種應用的可能性，智慧停車管理便是一例，臺北市和廠商合作，結合低功耗廣域網路（LPWAN）通訊技術，如LoRa、Sigfox或NB-IoT，要讓民眾可以更快掌握路邊停車位的使用動態，解決路邊停車的痛苦。</p> <p>為了實驗將科技運用在路邊停車管理的可行性，停管處首先在2017年11月開始試辦路邊停車智慧化，以地磁、智慧車柱科技，蒐集每個停車位的使用狀況。<a href="https://www.ithome.com.tw/news/131922" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>大學專用ERP爆漏洞，美國多所學校用戶遭駭</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%A4%A7%E5%AD%B8ERP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ellucian.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_Ellucian</span></p> <p>美國教育部在7月17日指出，專供高等教育使用的企業資源規畫（ERP）系統Ellucian Banner含有一安全漏洞，允許駭客取得用戶的Session ID，已傳出有62所大專院校遭到駭客入侵。<a href="https://www.ithome.com.tw/news/131955" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國信用報告公司因個資外洩得賠7億美元和解金</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Equifax.png" style="width: 500px;" /></strong></span></p> <p>近期美國聯邦交易委員會（FTC）宣布與美國第三大消費者信用報告業者Equifax，在2017年的資料外洩事件達成和解，Equifax最高將支付7億美元的和解金額。<a href="https://www.ithome.com.tw/news/131987" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟開源量子開發套件，內含Azure量子模擬器</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%BE%AE%E8%BB%9F%E9%87%8F%E5%AD%90_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>在2017年的時候，微軟公布了其量子運算的計畫，以及專用的開發語言Q#，現在微軟宣布將整個量子開發套件（Microsoft Quantum Development Kit，QDK）在GitHub中開源，以支援各領域專家、開發人員以及研究人員，解決現存各種具挑戰性的問題。<a href="https://www.ithome.com.tw/news/131875" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Line訊息查證平臺上線，轉傳至官方帳號就能辨真偽</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Line%E8%A8%8A%E6%81%AF%E6%9F%A5%E8%AD%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_Line</span></p> <p>為了協助民眾釐清辨識Line或其他社交平臺、網路上的訊息真偽，Line宣布訊息查證平臺正式上線，民眾可將Line或臉書、網路上看到的訊息，轉傳至Line查證平臺官方帳號，由專門的查核單位查證後，回覆訊息的真偽。<a href="https://www.ithome.com.tw/news/131977" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>IBM、AT&T簽訂多年雲端及邊緣運算合作</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_IBM%EF%BC%8BAT%26T_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20IBM.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_ IBM</span></p> <p>日前IBM與美國電信業龍頭AT&T宣布，已在第二季簽訂涵括雲端代管、服務、共建5G邊緣運算服務平臺的多年互惠合約。<a href="https://www.ithome.com.tw/news/131880" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google發表技術面試系統，協助企業評估應徵者的軟體工程技能</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Byteboard.png" style="width: 500px;" /></strong></span></p> <p>企業要招聘軟體工程師時該如何評估他們的實力？軟體工程師在準備面試時又需要花多少時間複習理論？Google育成中心Area 120發表了Byteboard專案，將協助企業準確評估軟體工程師解決現實世界問題的能力，以更快找到適用的人選。<a href="https://www.ithome.com.tw/news/131960" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>取代Container Linux的Fedora CoreOS釋出第一個預覽版</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Fedora%20CoreOS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Fedora.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_Fedora</span></p> <p>最近Container Linux的後繼者Fedora CoreOS，推出了第一個預覽版，強調專為容器工作負載設計，能夠以自動更新的方式，修復錯誤以及更新安全漏洞，並改進作業系統功能，目前僅可在QEMU、VMware、AWS以及裸機上，支援x86_64的環境中執行。<a href="https://www.ithome.com.tw/news/131971" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Linux基金會旗下物聯網專案EdgeX Foundry釋出1.0</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_EdgeX%20Foundry.png" style="width: 500px;" /></strong></span></p> <p>二年前，Linux基金會試圖整合破碎的物聯網生態系，招來了50多家軟硬體廠商，一起成立EdgeX Foundry邊緣物聯網開源專案，而現在EdgeX Foundry終於來到了1.0，也是第四個版本Edinburgh（愛丁堡），這個版本的重點在於為EdgeX打下穩固的API基礎，並增加二元資料支援，也提供用戶全球服務支援。<a href="https://www.ithome.com.tw/news/131971" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>結合區塊鏈技術的蒐證App，讓數位證據更具法律效力</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9A%E5%8D%80%E5%A1%8A%E9%8F%88%E5%AD%98%E8%AD%89%E7%8E%8BApp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%80%E5%A1%8A%E7%A7%91%E6%8A%80.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_區塊科技</span></p> <p>區塊科技（BlockChain Security）自主研發的行動蒐證App「區塊鏈存證王」，運用區塊鏈不可竄改、不可毀損等特性，讓民眾在民事和解、網路毀謗、交通事件等情境下，只要打開App進行拍照、錄音、錄影、螢幕錄影截圖等4種功能來蒐證，留下數位證據，並上傳到區塊鏈上，即能確保證據的真實性與安全性。<a href="https://www.ithome.com.tw/news/131931" target="_blank">更多內容</a></p> <p> </p> </div></div></div>
2019/7/26 12:00未署名https://www.ithome.com.tw/news/132012
Visual Studio 2019釋出16.2正式版，改善C++連結器效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出Visual Studio 2019 16.2正式版，改進測試總管（Test Explorer），增加.NET開發功能，提升IDE可用性。</p> <p>Visual Studio 2019 16.2改良了測試總管的介面，讓開發者更容易管理大型測試集，能點選按鈕來過濾想查看的測試結果，同時提供客製化欄位，以良好調校測試資訊顯示。此外，還支援以微軟Edge Insider瀏覽器為JavaScript除錯，使用者只需要安裝瀏覽器，並且在應用程式的JavaScript程式碼下中斷點，啟動除錯對話就能開始使用。</p> <p>在C++方面，Visual Studio 2019開始為MSBuild專案內建Clang/LLVM支援，也為適用於Linux的Windows子系統支援增量建置（Incremental Build）。此外，也提升C++連結器的吞吐量，改善達最大輸入時的迭代建置時間，影響範圍包含所有程式碼，微軟經內部測試，在各種條件下，C++迭代建置時間都有數倍的提升。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cmake2.png" style="width: 600px;" /></p> <p>另外，為了強化IDE可用性，使用者可以選擇隱藏Visual Studio工具列，以獲得更多的空間，而當使用者隱藏所有工具列，Live Share與回饋等圖標，將會移動至視窗最頂端。</p> <p>而同時釋出的Visual Studio 2019 16.3預覽版，將會開始加入.NET Core 3.0預覽版，這個版本增加了用於建構微服務的.NET Core專案模板，包括Worker以及gRPC，也能使用Blazor以C#建置客戶端網頁應用程式。</p> <p>.NET Core 3.0除了開始支援傳統桌面應用程式，像是Windows Forms、Windows Presentation Framework（WPF）以及UWP XAML外，還讓開發者把程式編譯成R2R格式，能縮短程式啟動的時間。.NET Core 3.0也將改進Linux對Docker記憶體限制，以深入支援容器應用。</p> <p>另外，微軟在16.3預覽版的開始視窗加入搜尋列，讓開發者能搜尋最近使用過的專案、解決方案以及文件夾，以直接開始工作。也能更容易找到正確的模板，新專案的對話框中的模板搜尋，支援模糊搜尋，並且會凸顯匹配的關鍵字，與基於相關性顯示排名結果。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/07/SearchRecentProjects.gif" style="width: 600px;" /></p> </div></div></div>
2019/7/26 09:10作者李建興https://www.ithome.com.tw/news/132043
AI趨勢周報第94期：臺灣首家醫療AI新創獲美國FDA核准，30秒判讀腦中風AI上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0719～0725)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Deep01 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療影像判讀 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全臺首家AI醫療新創獲美國FDA認證，30秒判讀腦中風AI上市</strong></span></p> <p>專攻醫療影像AI服務的臺灣新創Deep01，其產品DeepCT於7月10日正式通過美國食品藥物管理局（FDA）認證，不僅是臺灣第一家獲FDA認證的醫療AI新創，也是亞太區第一家。DeepCT是利用深度學習開發的腦出血偵測平臺，可在30秒內偵測病患腦部CT影像是否有腦出血病灶，並能圈出出血位置，不僅加速醫生判讀時間，也能加速病患腦出血或中風的後續醫療處置時間。目前，DeepCT的準確率達95％，其平臺可整合雲端或院內伺服器。而通過認證後，Deeo01已獲得一家醫院客戶，未來也將進一步打入中國市場，還有因老齡化導致心腦血管疾病好發的日本、韓國，以及急診尚未完上的印尼、越南。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">馬斯克 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Neuralink </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BMI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>直播秀BIM系統，馬斯克要讓人腦接電腦</strong></span></p> <p>特斯拉和SpaceX的創辦人馬斯克日前揭露旗下新創Neuralink進展，在直播中展示了腦機介面（BMI）系統，由感測器、超細合成線和植入器組成，目的是要植入人腦、連結神經元，來進行資料傳輸，首先要讓癱瘓的病人能藉此控制手機、電腦，終極目標是要讓人擁有AI般的運算能力。</p> <p>BMI的合成線寬4至6微米，比頭髮還細。這些線上有著電極，可接收或將大腦神經元的訊息傳輸到感測器，以連結外部的數位世界。這些線還搭配了植入器，每分鐘可植入6根合成線。在實驗中，Neuralink已將96根合成線植入靈長類大腦，其中有一隻猴子以能藉此控制電腦。Neuralink目前正開發一組晶片BMI系統，馬斯克預計明年將開始進行人體實驗，藉由植入人腦，來與耳後小型接收器傳輸訊息。<a href="https://www.youtube.com/watch?v=r-vbh3t7WVI&feature=youtu.be">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_BMI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Neuralink.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經型態系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Pohoiki Beach </span></strong></span></p> <p><span style="font-size: 22px;"><strong>英特爾發表新神經型態系統，能模擬800萬個神經元</strong></span></p> <p>英特爾發布Pohoiki Beach神經型態系統，結合了64個自家研發的第一代神經型態研究晶片Loihi，共擁有800萬個神經元，處理資料的速度比CPU快上1,000倍。</p> <p>Loihi晶片目前發展到第五代，已應用於AMPRO義肢控制和iCub機器人電子皮膚的觸覺感知等專案。除了高運算速度外，低功耗也是Loihi晶片的一大特性，能以低於GPU 109倍的功耗完成即時深度學習基準測試，即便將神經網路擴展50倍，Loihi也只會多用30％的電力，並維持即時效能，與之相比的物聯網裝置硬體，則必須使用500％的電力，且已經無法提供即時的結果。英特爾計畫，今年還會擴展Pohoiki Beach架構，發表更大的Loihi系統：Pohoiki Springs，預計提供1億個神經元，要為神經型態工作負載提供超前的運算能力。<a href="https://newsroom.intel.com/news/intels-pohoiki-beach-64-chip-neuromorphic-system-delivers-breakthrough-results-research-tests/#gs.rcglwd">（詳全文）</a></p> <p><img alt="" src="https://simplecore.intel.com/newsroom/wp-content/uploads/sites/11/2019/07/Intel-Neuromorphic-system-3.jpg" style="width: 690px; height: 560px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工研院</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧工廠 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>邁向全自動化！工研院助飛輪大廠打造智慧數位工廠</strong></span></p> <p>工研院要助飛輪健身車大廠期美科技，用4年在臺南打造3千坪的智慧數位工廠，要建立智慧化生產模式，導入智慧產線監測系統，即時監測生產數據以提升產品良率。</p> <p>工研院智慧機械科技中心執行長陳來勝表示，智慧數位工廠將引進臺中智慧製造試營運場域相關技術，像是智慧製造管理系統、彈性模組化生產線、自動倉儲系統、智慧機上盒（VMX）、無人搬運車、智慧監控系統等技術，讓期美從拿到工單到最終產品產出，全產線都能達到自動化與智慧化目標，不必再依靠人工手抄報表、人工機器操作、人工排程甚至人工物料搬運與組裝，增加效率與資料正確性。<a href="https://www.itri.org.tw/chi/Content/NewsLetter/Contents.aspx?SiteID=1&MmmID=620605426331276153&MSid=1036030332442165106">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 東京奧運</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中暑預警 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人臉辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>東京奧運倒數一年！日本警政將大力引進AI強化會場安全</strong></span></p> <p>距離東京奧運還有一年，日本政府、東京警視廳不斷與科技公司合作，要部署AI系統來提高安全、減少不必要的人流和車流。首先是東京警視廳和Panasonic聯手打造的人群預測系統，利用警車鏡頭下的人群影片，上傳至雲端分析，並即時預測未來人群動向。這套預測系統也能揪出可疑的行為和物品，比如逆向或是在限制區域活動的人、車。此外，人群預測系統還可用來管理交通，保持行車順暢。</p> <p>再來是將在奧運入口閘門採用NEC人臉辨識系統，並搭配證件刷卡，來辨識30多萬名參與者，包括1萬2千名運動選手、隨行人員、志工等。在安全方面，則由日本安防公司ALSOK的巡邏機器人來負責。這些機器人配有攝影機和AI系統，不只能辨識危險物品，還會主動尋找可疑人士，比如要是有人微微抽搐、臉部漲紅等緊張特徵，就會通知保安人員查看。最後則是中暑預警系統，由日本Yahoo利用當地資料和熱指數（WBGT），來預測和降低每125平方公尺的中暑風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_NEC%E8%87%89%E9%83%A8%E8%BE%A8%E8%AD%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tokyo%202020.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Deep TabNine </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 寫程式 </span></strong></span></p> <p><span style="font-size:22px;"><strong>開發者福音，Deep TabNine程式碼預測模型可自動補上程式碼</strong></span></p> <p>加拿大滑鐵盧大學學生Jacob Jackson開發一套深度學習模型Deep TabNine，可預測開發者接下來要輸入的程式碼並自動輸入，就像Google搜尋的搜尋建議一樣。Deep TabNine以OpenAI開發的大型Transformer語言模型GPT-2為基礎，用了GitHub上200萬筆資料來訓練，讓Deep TabNine模型能從文件的自然語言名稱，來推導函數名稱、參數和回傳類型。</p> <p>Deep TabNine能根據開發者寫程式的習慣，在建議框中顯示程式碼輸入建議，要是出現與過去專案相似的程式碼，Deep TabNine也會在建議框中顯示address。Deep TabNine支援23種程式語言、5種程式碼編輯器，此外，也提供雲端服務版本，來達到低延遲效果。<a href="https://tabnine.com/blog/deep">（詳全文）</a></p> <p><img alt="" src="https://update.tabnine.com/v/python_demo_1.mp4" /><img alt="" src="https://tabnine.com/static/deep_img_2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料交換 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DAX </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM推出資料交換服務DAX促進開放資料與AI發展</strong></span></p> <p>IBM在OSCON 2019大會上推出了線上資料交換中心DAX（Data Asset eXchange），供開發者和資料科學家免費使用開放資料授權的資料集，以訓練機器學習模型。IBM表示，DAX上發布的資料集，都盡可能採用Linux基金會社群資料授權協議（CDLA）的開放資料授權框架，讓資料能夠共享與協作，而DAX也提供IBM Research資料集，供用戶使用。IBM將定期更新DAX上的資料集，旗下的IBM Cloud和AI服務也會整合DAX，讓用戶使用DAX上的資料集。<a href="https://developer.ibm.com/blogs/ibm-data-asset-exchange-dax-free-open-data-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AI Academy </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 疾病預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣人工智慧學校8月將開設北、中、南智慧醫療專班</strong></span></p> <p>臺灣人工智慧學校營運長蔡明順表示，8月開始將於北、中、南分校開設智慧醫療專班，是為臺灣醫療從業人員設計的密集課程，除了培育人才，未來也將鏈結產學資源、推廣技術、顧問輔導等，來協助醫療業導入AI。</p> <p>過去，臺灣人工智慧學校已於智慧醫療領域小有成績，像是南部分校與長庚、奇美、義大等醫院合作，將AI用來預測敗血症、肺炎和失智症。而與中國附醫，則運用AI來預測洗腎風險，只要輸入病患超音波影像，就能分析第一年內測量的腎功能指標變化，預測病患未來末期洗腎與罹患急性冠狀動脈症候群的風險，臺灣人工智慧學校表示，這是全球首度提出的傑出成果。<a href="https://aiacademy.tw/medical/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">花旗銀行 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 匯款偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣花旗銀行靠AI揪出異常付款</strong></span></p> <p>有鑑於跨境交易越趨複雜，臺灣花旗銀行日前推出花旗匯款智能偵測服務，與全球90國同步，利用AI來協助客戶辨別異常付款。該服務由位於都柏林的花旗創新實驗室開發，利用機器學習來學習客戶行為，協助客戶自動調整管控帳戶，也能監測付款行為，在付款前要是發現異常，就會啟動分析和辦識，通知客戶。要是檢測正常，該系統也會幫客戶更順暢地處理付款。目前，花旗與AI即時風險管理廠商Feedzai合作，正整合Feedzai的交易監控平臺。</p> <p>圖片來源／Nerualink、Tokyo 2020、Intel、TabNine</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></p> <p><strong>1. 研究人員找到AI端點防護平臺BlackBerry Cylance的通用旁路</strong></p> <p><strong>2. AI藥物開發公司Recursion 發表RxRx1資料集，助力新藥物開發</strong></p> <p>資料來源：iThome整理，2019年7月</p> </div></div></div>
2019/7/25 14:16作者王若樸https://www.ithome.com.tw/news/132034
Cloud周報第32期：消滅機房，AT&T要將應用分別搬上微軟及IBM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/07/18～2019/07/24）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AT&T </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AT&T與IBM簽訂多年雲端互惠合約，將共同打造邊緣運算平臺</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_IBM%20X%20ATT_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AT%26T.png" style="width: 600px; height: 195px;" /></strong></span></p> <p>美國電信業龍頭AT&T近日宣布，與IBM簽訂一紙多年合約，內容涵蓋使用雲端代管服務，及共建5G邊緣運算服務平臺。在這項合約之中，AT&T業務部門使用的內部應用，將由IBM進行現代化的翻新與開發，以利後續將應用搬遷上IBM公有雲，且這些應用將採用IBM的底層基礎架構來支援。此外，AT&T將延續過去採用紅帽開源工具管理應用的模式，繼續使用Red Hat Enterprise Linux、OpenShift開源平臺等開源工具，管理AT&T內部應用的相關工作負載。</p> <p>而AT&T本就是IBM全球網路設備的夥伴，在新合約下，AT&T會成為IBM軟體定義網路的主要設備供應商，提供5G、邊緣運算、物聯網及多雲等技術支援，以強化IBM網路解決方案。為因應5G時代的到來，雙方還將合作建立邊緣運算平臺，以支援零售、金融、運算、製造及醫療等產業，部署5G網路於多雲環境、數十億個連網裝置及感測器之間，滿足這些產業訴求安全、穩定，且可高速傳送大量資料之需求。<a href="https://about.att.com/story/2019/att_ibm_alliance.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AT&T </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Office 365 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>消滅機房，AT&T要將非網路基礎架構應用搬遷上Azure</strong></span></p> <p>繼稍早宣布與IBM達成合作項目，AT&T再宣布，與微軟簽訂多年合約，AT&T計畫將非網路基礎架構應用搬遷上Azure，以逐步實現至2024年，將大部分非網路工作負載搬遷上公有雲的計畫。今年初，AT&T便將旗下31座機房賣出。該新合約除涉及AT&T應用搬上Azure外，AT&T旗下25 萬名員工也將使用微軟Office 365的生產和協作工具，以改變員工間的合作方式。此外，AT&T計畫在明年上半年，擴大5G行動網路的覆蓋面積，將規模擴及全美，對此，雙方新合作也涵蓋微軟參與AT&T的5G網絡項目，包含設計、測試和發展邊緣計算能力。近期，AT&T與微軟正在共同測試一個用於無人機，基於邊緣運算技術的跟蹤和檢測系統。<a href="https://about.att.com/story/2019/microsoft.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟財報出爐，雲端業務營收首度超越Windows </strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%BB%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 263px;" /></strong></strong></p> <p>微軟在7月18日公布了該公司2019財年第四季財報，該季微軟營收達337億美元，相比去年同期成長了12%，淨收入則達132億美元，成長了49%。其中，智慧雲端業務（Intelligent Cloud）的營收達114億美元，首度超過個人電腦業務（More Personal Computing）113億美元的營收。隸屬於智慧雲端業務的Azure，其營收更成長了64%，然而分析師指出，Azure成長幅度已出現趨緩的態勢，因大數法則起了作用，當Azure越趨龐大，它的成長速度也將緩和。<a href=" https://news.microsoft.com/2019/07/18/microsoft-cloud-powers-record-fourth-quarter-results/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國防部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 川普 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端合約 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>川普打算介入國防部的JEDI專案競標</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E5%B7%9D%E6%99%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8.png" style="width: 600px; height: 263px;" /></strong></strong></p> <p>美國國防部預計在8月公布，雲端合約採購案《聯合企業防禦基礎設施》（Joint EnterpriseDefense Infrastructure ，JEDI）專案最後的贏家，然而，美國總統川普近日表示，他將親自檢視該專案的狀況。該專案為一紙價值百億美元的10年合約，且採贏者通吃的策略，只有單一業者會得標，獲得該合約的業者將為五角大廈建立雲端運算系統。外界多認為AWS與微軟的贏面較大，也因此甲骨文與IBM在過去一年，都曾向美國政府責任署（Government Accountability Office，GAO）提出抗議，而甲骨文更向索賠法院提出投標抗議（Bid Protest）訴訟，但皆被駁回。</p> <p>今年4月，美國國防部宣布微軟與Amazon進入決選，但即便如此，微軟也認為贏者通吃的策略有違全球趨勢，因旗下有8成客戶都採多雲解決方案。川普表示，他耳聞了微軟、甲骨文與IBM等多方，都對該採購案的招標程序和規範有所微詞，所以決定了解其中狀況。但市場擔心川普的介入，只是因他與Amazon之間的個人恩怨。在得知川普的意圖後，有4名美國國會議員表示，JEDI是用來存放與管理機密的軍事與國防資料，不必要的延誤將會危及美國安全。<a href="https://www.cnbc.com/2019/07/18/trump-says-seriously-looking-into-amazons-pentagon-contract.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端程式碼 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 儲存庫除錯 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google雲端程式碼儲存庫新增除錯工具</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Debugger_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.JPG" style="width: 600px; height: 390px;" /></strong></span></strong></p> <p>Google日前宣布，在自家雲端程式碼儲存庫Cloud Source Repositories中整合一項新工具Stackdriver Debugger，該工具可調查生產環境中的程式碼行為，讓用戶可以直接在該儲存庫中，為正式生產服務除錯。這項整合將為該儲存庫新增兩個功能，分別是快照（Snapshots）以及記錄點（Logpoints）。偵錯快照指的是當應用程式在生產環境中執行時，該功能可擷取位於特定行的應用程式狀態，像是特定時間點的區域變數，以及符合條件時觸發的堆棧。用戶只要點擊程式碼的行數號碼，就能建立快照點，接著該功能就會在下次實例運作時執行，讓用戶擷取變數及堆棧。</p> <p>另一個功能是偵錯記錄點，該功能讓用戶不需重新部署服務，即可在特定行位置，依照需求插入新的記錄陳述式。記錄點的操作就像是一般開發者在程式碼插入記錄語法一樣，可以增加自定義的文字，以及參照變數，並設置儲存記錄的條件。Google表示，開發者將記錄點加到應用程式後，系統會自動將其推送至該服務的所有實例中，所有記錄點都會持續運作24小時，或是直到應用程式重新完成部署為止。且由於記錄點使用標準路徑輸出，因此可以與任何記錄點的後端整合使用。<a href="https://cloud.google.com/blog/products/devops-sre/production-debugging-comes-to-cloud-source-repositories">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS Cost Explorer </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS成本管理工具AWS Cost Explorer新增用量預測功能</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_AWS%20Cost%20Explorer_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 336px;" /></strong></span></strong></p> <p>AWS近期為成本管理工具AWS Cost Explorer新增用量預測功能，提供用戶掌握未來雲端服務的用量情形。該新功能透過機器學習演算法，分析用戶使用量的歷史走向，以預測未來的使用情況。用戶將可以提前掌握預期成本的金額，並監控關鍵服務的使用情況，像是儲存、資料傳輸或運行時間。用戶可為歷史分析及預測的報告，選擇時間衡量的範圍，從一日到一個月，或半年至一年皆可，甚至可以明確指定起始和結束的日期。用戶獲在得自訂的預測報告後，進而可依據預測使用量的金額，來訂定預算工具AWS Budgets裡的額度，當該工具偵測到使用情況發生變化時，會主動發送警告提醒。<a href=" https://aws.amazon.com/about-aws/whats-new/2019/07/usage-based-forecasting-in-aws-cost-explorer/?nc1=h_ls">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端應用程式 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>IBM釋出打造雲端應用程式工具Appsody</strong></span></strong></p> <p>IBM在OSCON 2019大會上，釋出打造容器內的雲端應用程式工具Appsody，讓開發者可以在幾分鐘內，建立符合企業標準和要求的微服務。Appsody為多個開源runtime和框架提供了預先配置堆棧和模板，作為建構Kubernetes和Knative的部署應用之基礎。用戶可以客製Appsody堆棧以符合企業自身的開發要求，並可控制和配置所要包含的技術。且當需要修改堆棧時，用戶通過單一控制處進行變更，就可使所有使用該堆棧所建構的應用，都同時獲得修改。<a href="https://developer.ibm.com/blogs/cloud-native-apps-kubernetes-kabanero/">（詳全文）</a></p> <p><strong>圖片來源／AT&T、IBM、微軟、美國國防部、Google雲端、AWS </strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 英特爾與SAP簽定產品多年合作計畫，結合彼此軟硬體專長，搶攻公私雲市場</strong><a href="https://newsroom.intel.com/news/intel-sap-broaden-technology-partnership-power-enterprises-digital-transformation/#gs.qmwbrg">（詳全文）</a></p> <p><strong>2. 網路設備業者Extreme收購無線網路廠商Aerohive，強化雲端管理和端點功能</strong><a href="https://www.extremenetworks.com/aerohive-acquisition/">（詳全文）</a></p> <p><strong>3. Amazon EC2用戶現可透過AWS Cost Explorer，存取自訂EC2資源的優化建議</strong><a href="https://aws.amazon.com/about-aws/whats-new/2019/07/introducing-amazon-ec2-resource-optimization-recommendations/">（詳全文）</a></p> <p><strong>4. Docker Enterprise 3.0正式釋出，推DKS提供整合式的K8s生命周期管理工具，自動化許多日常管理工作</strong><a href="https://blog.docker.com/2019/07/announcing-docker-enterprise-3-0-ga/">（詳全文）</a></p> <p><strong>5. AWS備份服務AWS Backup現可自動將資源的標籤一同複製至備份資源，方便用戶用標籤管理雲端資源</strong><a href="https://aws.amazon.com/about-aws/whats-new/2019/07/aws-backup-will-automatically-copy-tags-from-resource-to-recovery-point/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2019年7月</strong></p> </div></div></div>
2019/7/25 11:50作者黃郁芸https://www.ithome.com.tw/news/132031
資安一周52期：求職網站1111人力銀行20萬筆個資外洩。BMC韌體重大漏洞，波及8家伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="field field-name-body field-type-text-with-summary field-label-hidden"> <div class="field-items"> <div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0718-0724 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃特定行業攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">求職網站1111人力銀行20萬筆個資外洩</strong></h2> <p>先前，流出銓敘部個資的美國論壇，在7月18日上午，再度傳出外洩我國民眾個資，此次被公布的是1111人力銀行20萬筆求職者資料。</p> <p>握有這批個資的駭客為了取信，甚至直接明文公布部分內容，並將中文名字的英文拼音寫出來，便於外國人使用這些資料。</p> <p>根據臺灣個資法第27與29條的規定，1111人力銀行有保護求職者個資的義務。若以每名受害者求償最低金額500元計，外洩個資的這家公司若無法證明沒有過失責任，恐面臨1億元賠償。<a href="https://www.ithome.com.tw/news/131930"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-1.png" style="width: 400px;" /></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">BMC韌體重大漏洞，波及8家伺服器</strong></h2> <p>資安廠商Eclypsium發現，第三方基板控制器（BMC）韌體含有重大漏洞，可能導致伺服器遭駭客執行任意程式碼攻擊。<br /> 這家資安業者會針對BMC的韌體進行調查，起因是檢測聯想ThinkServer RD340伺服器時，發現二項重大漏洞，進一步追蹤後，找到弱點來自於信驊科技（ASPEED）提供的基板管理控制器，而這款控制器所採用了由Avocent提供的第三方韌體，名為Merge Point EMC。</p> <p>由於研究人員發現，不只是2014年推出的ThinkServer RD340，聯想較新款的System x與ThinkSystem系列產品線，也都採用Merge Point EMC，進而追查有那些品牌的伺服器使用這款韌體。</p> <p>這款韌體有不少業者採用，包含技嘉、宏碁、聯想、大兆（Bigtera）、AMAX、Ciara、Penguin Computing、sysGen等。研究人員指出，此事突顯資訊產業的重大問題：硬體廠商普遍仰賴第三方韌體，導致同樣漏洞波及眾多品牌。<a href="https://www.ithome.com.tw/news/131908"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃AI ＃隱私疑慮</strong></h3> <h2><strong style="vertical-align: top;">俄羅斯變臉程式FaceApp引發隱私疑慮</strong></h2> <p>美國民主黨參議員Chuck Schumer要求聯邦調查局（FBI）與聯邦通訊委員會（FTC），調查由俄羅斯業者推出的FaceApp，因為可能會對國家安全及民眾隱私帶來風險。</p> <p>這隻FaceApp是最近非常火紅的人臉編輯App，使用者只要上傳自己的照片，就能改變造型、增加笑容，或是變更性別。後來因新增讓使用者看起來變老的濾鏡，而引發風潮。在美國，這款應用程式成為蘋果App Store與Google Play免費程式下載冠軍。</p> <p>然而，Chuck Schumer認為，FaceApp可同時存取用戶的名稱、真實姓名，以及分享的內容，不確定會保留多久，也能在未經許可之下使用這些資料，危及用戶隱私。因此，Chuck Schumer希望FBI能夠檢查FaceApp的個人資料使用方式，並調查這些資料是否會落入俄國政府之手。<a href="https://www.ithome.com.tw/news/131916"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃附加軟體安全</strong></span></h3> <h2><strong style="vertical-align: top;">8款瀏覽器擴充程式會竊取用戶機密資料</strong></h2> <p>獨立安全研究人員Sam Jadali公布《資料間諜報告（DataSpii Report）》，揭露8款會竊取用戶機密資料的Chrome或Firefox瀏覽器的擴充程式。</p> <p>這些擴充程式可存取使用者的GPS位置、信用卡資訊，以及線上購物歷史記錄，而對於企業端而言，它們可藉此取得企業LAN架構、API金鑰、私有原始碼，以及其他商業機密，估計超過400萬名瀏覽器用戶受害。</p> <p>Sam Jadali進一步指出，不少知名企業受到波及，像是蘋果、臉書、微軟，以及Amazon，甚至是賽門鐵克、趨勢科技、FireEye，以及Palo Alto Networks等資安廠商，也是受害者。</p> <p>雖然2家瀏覽器業者已經透過市集停用這些擴充程式，但研究人員認為，使用者還是應該要手動移除，才能真正避免資料側錄的危機。<a href="https://www.ithome.com.tw/news/131945"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃隱私疑慮 </strong></span></h3> <h2><strong style="vertical-align: top;">資安公司發現瞄準Linux桌面使用者的後門程式</strong></h2> <p>根據資安公司Intezer Labs研究人員的發現，有新的惡意軟體EvilGnome瞄準Linux桌面環境。EvilGnome會偽裝Gnome殼層擴充，但實際上，會偷偷地上傳螢幕截圖或是文件等私密資料。在防護上，目前主要的解決方案都無法偵測到EvilGnome，研究人員提到，這個惡意軟體可能與俄國的APT攻擊集團Gamaredon有關。<strong><a href="https://www.ithome.com.tw/news/131942">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fireshot_capture_475_-_intezer_-_evilgnome_rare_malware_spying_on_desktop_users_-_www_intezer_com_.jpg" style="width: 400px;" /></p> <p>圖片來源：Intezer Labs</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">保加利亞國稅局遭入侵，數百萬納稅人資料外洩</strong></h2> <p>保加利亞國稅局在7月15日坦承，電腦系統遭到駭客入侵。駭客盜走數百萬納稅人的資料後，向媒體爆料此事。該國政府表示，這是當地規模最大的資料外洩事件。</p> <p>媒體猜測，駭客的行為只是要展示國稅局資安機制太過脆弱，過去，曾有企業曾多次警告政府，應加強官方系統的安全保障。保加利亞國稅局已邀請資安專家檢視，並修補電腦系統的安全漏洞。<a href="https://www.ithome.com.tw/news/131879"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃間諜攻擊＃隱私疑慮</strong></span></h3> <h2><strong style="vertical-align: top;">以色列業者推出可竊取臉書、iCloud、Google等資料的間諜工具</strong></h2> <p>因打造Pegasus間諜程式而飽受爭議的NSO Group公司，近期推出新版間諜工具，當中利用了今年5月被公開的WhatsApp漏洞，宣稱只要撥打電話，就能植入受害者手機，長期竊聽通訊內容。英國金融時報指稱，這款間諜程式可竊取資料不僅於此，還能收集受害者儲存在雲端服務的資料。</p> <p>經金融時報的研究，他們發現，攻擊者將新版間諜工具植入受害裝置後，可悄悄收集並複製這些帳號的驗證金鑰，同步到監控伺服器。該伺服器可模仿用戶手機、所在位置等，同時使用上述金鑰，複製受害者的雲端服務身分，進而同步受害裝置所有資訊，像是通訊內容、相片，以及地點等。</p> <p>該媒體進一步指出，NSO母公司Q-Cyber已向烏干達政府簡報，甚至宣稱，上述的過程，完全不會觸發雙因素驗證或雲端服務業者的警示機制。<a href="https://www.ithome.com.tw/news/131958"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃Tor</strong></span></h3> <h2><strong style="vertical-align: top;">俄羅斯情報機關外包商被駭，Tor反匿名技術曝光</strong></h2> <p>俄羅斯情報最高機關聯邦安全局（FSB）外包商Sytech本週傳出被駭事件，7.5TB資料遭竊，裡面包含了可突破Tor網路的反匿名技術、滲透P2P網路，以及其他俄羅斯政府追蹤人民、隔離網路的最新技術。</p> <p>被竊資料的內容顯示，FSB正在追蹤特定學生和罪犯，同時，Sytech執行大量的俄羅斯政府情蒐及追蹤技術專案。其中，名為Mentor的專案，是接受FSB電子電波情報單位委託，提供可監控特定人士電子郵件帳號的技術。</p> <p>此事件有如維基解密洩露Vault 7的俄國版。事發後，Sytech網站已經關閉，並未發表任何聲明。當地媒體BBC報導，這是該國情報組織有史以來最大宗的資料外洩案。<a href="https://www.ithome.com.tw/news/131956"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-fsb.png" style="width: 400px;" /></p> <p>圖片來源：Digital Revolution</p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/131955">廣受美國大學採用的ERP系統遭駭，波及62所學校</a><br /> ●<a href="https://www.ithome.com.tw/news/131953">Google大幅增加抓漏獎金，Play市集提升為4倍</a><br /> ●<a href="https://www.ithome.com.tw/news/131935">防範DNS挾持威脅，美國政府強化.GOV網域安全</a></h3> </div> </div> </div> </div></div></div>
2019/7/25 12:00作者周峻佑https://www.ithome.com.tw/news/132032
VLC媒體播放器含有尚未修補的遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國的電腦緊急應變中心（CERT）於本周<a href="https://www.cert-bund.de/advisoryshort/CB-K19-0634" target="_blank">警告</a>，VLC媒體播放器（VLC Media Player）含有一個<a href="https://www.welivesecurity.com/2019/07/22/critical-vulnerability-vlc-no-patch/" target="_blank">安全漏洞</a>，允許駭客繞過安全機制，自遠端執行任意程式。</p> <p>VLC為一開源且跨平台的媒體播放器，不僅支援Windows、Linux及macOS等桌面平台，也支援Andorid與iOS等行動平台，其全球累積下載次數已超過31億次。</p> <p>該漏洞編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-13615" target="_blank">CVE-2019-13615</a>，屬於緩衝區溢位漏洞，只影響桌面版的VLC Media Player，但波及最新的3.0.7.1版。</p> <p>CERT並未公布漏洞細節，但德國科技媒體Heise報導，駭客可能藉由一個特製的MP4檔案來攻陷該漏洞。</p> <p>目前VLC團隊<a href="https://trac.videolan.org/vlc/ticket/22474#no1" target="_blank">正在修補</a>該臭蟲，且說尚未傳出災情，不過VLC Media Player用戶仍應小心為上，不要開啟來路不明的檔案。</p> </div></div></div>
2019/7/25 10:25作者陳曉莉https://www.ithome.com.tw/news/132027
ProFTPd修補遠端程式攻擊漏洞，上百萬臺未更新ProFTPd伺服器恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ProFTPd專案在上周修補了由Tobias Mädel所揭露的遠端程式攻擊漏洞，然而BleepingComputer透過Shodan搜尋了網路上的ProFTPd伺服器，發現在上百萬臺ProFTPd伺服器中，只有4台部署了修補該漏洞的ProFTPd 1.3.6版本。</p> <p>ProFTPd為一開源的FTP伺服器軟體，為各種Unix系統上最受歡迎的FTP伺服器之一，相容於Unix、Linux與Windows。</p> <p>Mädel是<a href="https://tbspace.de/cve201912815proftpd.html" target="_blank">在去年9月發現此一漏洞</a>，指出該漏洞存在於mod_copy中，屬於ProFTPd標準安裝選項的mod_copy，在大多數類Unix系統上的預設值都是啟用的，例如Debian。</p> <p>當駭客向ProFTPd伺服器發出CPFR與CPTO指令時，就算沒有寫入權限也能複製該伺服器上的任何檔案。負責維護ProFTPd專案的<a href="http://bugs.proftpd.org/show_bug.cgi?id=4372" target="_blank">TJ Saunders（Castaglia）即說</a>，駭客可輕易地利用這兩項指令來執行遠端程式攻擊。</p> <p>此一編號為CVE-2019-12815的安全漏洞影響所有的ProFTPd版本，Saunders已於上周釋出修補程式，並已將該程式<a href="https://github.com/proftpd/proftpd/pull/816" target="_blank">併入最新的ProFTPd 1.3.6穩定版與1.3.7測試版</a>中。</p> <p>然而，BleepingComputer利用Shodan搜尋時卻<a href="https://www.bleepingcomputer.com/news/security/proftpd-remote-code-execution-bug-exposes-over-1-million-servers/" target="_blank">發現</a>，網路上大約有104萬台ProFTPd伺服器，<a href="https://www.shodan.io/search?query=ProFTPD+1.3.6">卻只有4台部署了ProFTPd 1.3.6</a>，大多數的用戶仍然採用更早的ProFTPd 1.3.5系列版本，顯示出絕大多數的ProFTPd伺服器都曝露在安全風險中。</p> <p>不過，假使無法立即升級，ProFTPd用戶只要在ProFTPd配置檔案中關閉mod_copy，也能防止該漏洞遭到開採。</p> </div></div></div>
2019/7/24 13:30作者陳曉莉https://www.ithome.com.tw/news/132007
開源資料庫MongoDB終於來臺設立據點，首要擴大金融和製造業的滲透率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級開源資料庫MongoDB終於來臺設立據點，7月1日正式啟用臺灣據點，美國官網也新增了臺北辦公室地址。MongoDB大中國區副總裁蘇玉龍指出，MongoDB在臺下載量快速成長，企業用戶也開始起飛，是MongoDB今年全球唯二新設的據點之一，另一處是韓國辦公室。「臺灣MongoDB市場成長潛力比日本還要大。」</p> <p>蘇玉龍透露，臺灣已有不少銀行、保險業、高科技製造業、半導體業者採用MongoDB。過去多靠在臺2家經銷商來銷售，MongoDB在臺設立據點後，第一步要招募更多專業經銷商，來擴大臺灣製造業和金融業的滲透率，也要搶攻線上遊戲和直播等市場，另外將開始推廣MongoDB臺灣社群，預計從下一季，也就是8月展開行動。不過，目前臺灣據點仍設置在臺北的商務中心，未設立獨立辦公室。</p> <p>MongoDB是十年前問世的開源文件資料庫，屬於NoSQL類型的資料庫，最大特色是支援JSON資料格式，可以任意增加新欄位，而不需要事先定義像傳統關連式資料庫的Schema架構。創辦MongoDB的10gen公司，原本為了打造一套PaaS系統，才順便開發了自己的NoSQL資料庫。但是這套PaaS不受到青睞，反而是自行開發的MongoDB大受歡迎，後來，決定開源釋出成了10gen的主力產品，2013年時，10gen甚至直接改名為MongoDB公司。</p> <p>2年前，MongoDB進一步推出了雲端託管服務MongoDB Atlas，在三大公有雲AWS、Azure和GCP上都有提供。2017年10月，MongoDB正式在NASDAQ上市，成了近十年唯一IPO的純資料庫公司。目前免費的社群版全球下載數超過了6千萬次，企業用戶也有13,400多家。</p> <p>不同於其他NoSQL資料庫，如Redis，蘇玉龍表示，MongoDB最初就是以通用型資料庫為目標，希望成為新一代數據庫的標準。因此，MongoDB所用的Nexus架構，兼顧RDBMS和NoSQL的特色，不只可提供豐富的SQL指令，支援二級索引，也可提供企業看重的強一致性，而不是其他NoSQL資料庫常見的最終一致性。因為採用JSON資料格式，可以提供彈性資料模式，任意插入新資料欄位時不用停機，不像傳統關連式資料庫，要變動資料表Schema架構時，往往得中斷服務，將資料從舊資料表轉移到新資料表。</p> <p>例如有家臺灣保險業者，為了搶攻網路保險的短險市場，經常需要開發新款保險，但過去核心系統部署在AS400主機上，資料庫異動和程式開發改版不易，就是看上MongoDB資料模式容易修改，有助於快速開發，又能水平擴充來支援爆量請求，而改用MongoDB來打造網路保險相關應用。</p> <p>另一個特色，他補充，MongoDB保留了NoSQL資料庫的分散式架構，一套資料庫系統包括了三個節點，負責讀寫的主節點，以及兩個唯讀的子節點。主節點有資料異動，可以豪秒級速度自動同步到子節點上。另外，也採取了Sharding（資料分片）的分散式叢集架構，可以不用停機進行水平擴充，也很容易進行全球部署。</p> <p>MongoDB最近剛釋出了4.2新版的測試版，但沒有透露何時正式版。蘇玉龍指出，4.2版涵蓋了商用資料庫的基本必須功能，如多文件（Multi-Document）ACID交易保證的機制，可確保跨不同叢集的交易資料能有一致性，例如在其中一個節點交易失敗而取消，也會同步取消其他叢集節點上的資料，過去這得搭配外部應用程式來實現，現在直接成為MongoDB內建功能。</p> <p>除此之外，蘇玉龍認為，4.2版還有一個值得關注的新功能是支援S3儲存，可以透過MongoDB直接搜尋儲存在S3上的資料，未來也計畫要支援GCP的Cloud Storage服務。他解釋，企業累積多年的海量資料，可能分散在不同的儲存環境上，甚至分散在冷儲存和熱儲存環境，MongoDB支援S3等雲端儲存後，就可以用來整合冷數據和熱數據進行整體分析。例如大陸有家手機網銀，為了提供用戶歷史資產記錄的報表，每年得針對過去5年所有用戶的所有帳戶資料進行統整分析，每次結算資料量多達14億筆，「MongoDB搭配S3可用來處理這類龐大新舊資料統整的需求。」</p> <p>「未來是資料的世界，而不是資料庫的世界。」蘇玉龍認為，企業用戶在意的是資料如何操作、利用、支援新應用、快速分析，而且可以整合不同來源、不同結構的資料。「MongoDB未來的發展策略是成為智能維運的資料平臺（IODP，Intelligent Operational Data Platform），要自動讓資料到處都能用，不論是開發用的筆電、內部部署的伺服器主機或是多種公有雲上。例如可以在AWS部署負責交易的MongoDB叢集，但在GCP上建立一個副本來進行AI分析，資料會自動複製同步到副本上而不用人為介入。</p> <p>儘管4.2版還沒有正式推出，但蘇玉龍表示，新版將匯整合日前併購的Realm資料庫，這是全世界最大的NoSQL行動資料庫，可用來取代開發者過去慣用的SQLlite本地端輕量型資料庫。4.2版未來將可以自動將資料同步到手機上的Realm本地端資料庫，「這是MongoDB布局手機應用市場的關鍵。」</p> <p>MongoDB去年底採用了新的開源授權條款SSPL（Server Side Public License）。主因是，MongoDB共同創辦人Eliot Horowitz去年抱怨，雲端業者使用免費的社群版MongoDB來做生意，卻沒有付費，因此，改採用SSPL來取代過去的AGPLv3授權，要求廠商使用社群版MongoDB提供商業化雲端服務時，必須開源程式碼。蘇玉龍解釋，對內系統使用社群版MongoDB仍然不受影響，但若企業用於對外提供的服務，就得購買企業版授權，或將自家程式碼開源釋出才能免費使用。新版授權也讓紅帽決定，在Red Hat Enterprise Linux (RHEL) 8.0中，不再提供免費的社群版MongoDB。蘇玉龍表示，企業仍可自行下載、安裝社群版本。目前在AWS和GCP上也都可以購買MongoDB授權。</p> <p>儘管，MongoDB在臺設立據點，但技術支援仍由澳洲團隊負責，在臺灣可以提供1小時內回覆的支援服務，中文支援時段以周間白天（5X7小時）為主，但英文支援可提供7X24小時服務。</p> </div></div></div>
2019/7/24 13:49作者王宏仁https://www.ithome.com.tw/news/132009
Iqlusion推出Rust應用程式開發框架Abscissa
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://iqlusion.blog/introducing-abscissa-rust-application-framework">加密貨幣基礎設施供應商Iqlusion開源了Rust應用程式開發框架Abscissa 0.2</a>，Iqlusion提到，Abscissa源自他們自家內部程式開發的程式碼以及元件，現在他們整合成一個以安全為訴求的開發框架，目的是減少重複的程式碼撰寫，最大化功能並減少相依項目的數量。</p> <p>Iqlusion的共同創辦人Tony Arcieri提到，Iqlusion開發了許多Rust的應用程式，包括用於開發營運的CLI應用程式工具，以及Tendermint金鑰管理系統等網路服務，由於不少應用程式使用相同的相依項目以及複製貼上的樣板（Boilerplate）程式碼，為了簡化開發工作，因此Iqlusion有了發展自己的Rust開發框架的想法。</p> <p>Abscissa是Rust應用程式開發框，能為使用者生成初始的應用程式模板（Template）。Iqlusion在幾周前發布了Abscissa 0.1，現在又發布了0.2版本，Tony Arcieri提到，Abscissa開發框架實際上已經發展了一年，從0.0.x版本開始，他們清理了程式碼，加入了程式碼產生器，並進行了回填測試，留下立即可以用來開發新的Rust應用程式的基礎。</p> <p>Abscissa的功能包括命令列選項解析（Command-Line Option Parsing），這是基於Rust的Crates套件gumdrop建立的宣告式選項解析器，Iqlusion為這個解析器加入不少改進，包括提升使用者體驗，以及與框架其他部分進行整合。Abscissa使用元件架構，以極簡實作風格提供高可擴充性，不過還是有內建像是計算相依性排序功能，以及為應用程式生命周期提供Hooks等功能，Abscissa框架則會預設啟用終端與日誌紀錄兩個元件。</p> <p>Tony Arcieri表示，雖然0.2版本離1.0的穩定版還有點早，但是因為Rust編譯嚴謹的檢查機制，能防止產生不穩定的應用程式，但高度要求穩定的使用者，目前可能還不適合將Abscissa用在正式產品階段。目前Abscissa第一優先鎖定的平臺是Linux，因為Iqlusion主要拿Abscissa來建置，在Linux上執行的CLI應用程式以及網路服務，不過官方也開始在Windows和macOS上進行測試。</p> </div></div></div>
2019/7/24 12:00作者李建興https://www.ithome.com.tw/news/131995
用來取代Container Linux的Fedora CoreOS釋出第一個預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://lists.fedoraproject.org/archives/list/[email protected]/thread/3HTW5SLUY6X2Y5SFXJSE4BWEDNJ2J5SL/">Container Linux的後繼者Fedora CoreOS推出了第一個預覽版</a>，其強調專為容器工作負載設計，能夠以自動更新的方式，修復錯誤以及更新安全漏洞，並改進作業系統功能，目前僅可在QEMU、VMware、AWS以及裸機上，支援x86_64的環境中執行。</p> <p>在2018年初，紅帽以2.5億美元，買下了容器新創公司CoreOS，並在其產品整併了CoreOS的技術，計畫推出了Red Hat CoreOS以及Fedora CoreOS。Fedora CoreOS為Red Hat CoreOS的上游社群，專門繼續支援原本Container Linux的各式使用案例，而Red Hat CoreOS則提供像是Red Hat OpenShift等大規模部署使用。</p> <p>Fedora CoreOS的訴求，是提供一個最小化以容器為中心的作業系統，適合用於叢集部署，而且也專門為Kubernetes進行了最佳化，其定位是要整合CoreOS Container Linux和Fedora Atomic Host的用戶，同時也結合了兩者的優點，像是Fedora CoreOS使用了來自Container Linux的Ignition和rpm-ostree，以及Project Atomic的SELinux安全強化技術，讓用戶能安全地執行大規模容器化工作負載。</p> <p>官方提到，Fedora CoreOS第一個版本，專注提供用戶安全可靠的主機作業系統，其支援Ignition規範3.0.0，以及內建可將Container Linux配置轉換成JSON檔案的Config Transpiler，透過rpm-ostree與Zincati進行自動更新，並以Podman和Moby執行容器。</p> <p>目前這個Fedora CoreOS預覽版，僅能在裸機、Quick Emulator（QEMU）、VMware以及AWS的x86指令集64位元環境執行。Fedora CoreOS沒有提供安裝過程的配置，所有Fedora CoreOS系統初始都是通用且未配置的磁碟映像檔，Ignition在第一次啟動時才會執行配置程序，用戶可以使用雲端使用者資料進行配置，或是在裸機上注入配置檔。</p> <p>在接下來幾個月內，官方會繼續更新Fedora CoreOS，增加更多支援的平臺以及功能，也會補充完整的文件，為正式版本做準備，而目前官方不建議用戶將Fedora CoreOS用於正式生產階段，除了系統本身還不穩定之外，之後還可能會加入不可相容的更改。</p> <p>作為Container Linux和Fedora Atomic Host的替代專案，在Fedora CoreOS釋出之後，Fedora向Container Linux用戶保證，在2019年整年他們仍然會繼續提供支援，而Fedora Atomic Host的部分，最後的第29版本至少會有6個月的支援生命周期。</p> </div></div></div>
2019/7/23 09:45作者李建興https://www.ithome.com.tw/news/131971
Linux基金會旗下物聯網專案EdgeX Foundry釋出1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會試圖整合破碎的物聯網生態系，在2017年招來了50多家軟硬體廠商，一起成立EdgeX Foundry邊緣物聯網開源專案，而現在<a href="https://www.edgexfoundry.org/release-1-0-edinburgh/whats-new/">EdgeX Foundry終於來到了1.0，也是第四個版本Edinburgh（愛丁堡）</a>，這個版本的重點在於為EdgeX打下穩固的API基礎，並增加二元資料支援，也提供用戶全球服務支援。</p> <p>EdgeX是一個鬆耦合的微服務架構，提供第三方應用程式隨插即用的可擴展性，並把重點擺放在物聯網邊緣，簡化跨工業、企業和客戶的應用程式設計與開發等流程，透過促進邊緣裝置和應用程式的安全部署和管理，加速產品推出的時間，並且實現諸如人工智慧和機器學習等新服務與功能。</p> <p>Edinburgh版本強調提供穩定的API，用戶可以放心地投入生產使用，並且能獲得長期支援，同時這個版本也改進Go與C語言裝置服務SDK，並新增了額外的裝置服務，以連接更多的感測器與裝置，大幅提升EdgeX的連接性。</p> <p>另外，EdgeX為資料庫使用服務支援Redis和MongoDB，而由於資料庫使用服務的持久層（Persistence Layer）都已經進一步修改，用戶將能夠更簡單地替換持久性儲存。作為更加成熟的商品，EdgeX也強化了系統管理功能，現在可以進一步追蹤服務使用CPU的狀況與指標，也能追蹤每個EdgeX服務的執行狀態。</p> <p>在之前的版本EdgeX California，官方進行了一次大改寫，把原本的開發語言從Java轉換成Go，軟體容量從原本267MB下降到了42MB，啟動時間從35秒縮短到了1秒之內，而記憶體使用更是從原本的1302MB減少到了27MB，CPU使用率也大幅下降，用戶可以在單板電腦上樹莓派3上執行EdgeX，而在Edinburgh版本官方將EdgeX升級使用Go 1.11。</p> <p>官方提到EdgeX Foundry生態系現在有100多位貢獻者，已經被不少企業用在商品上，像是Mainflux與NetFoundry的物聯網邊緣閘道器，而VMware也在自家產品VMware Pulse IoT Center整合EdgeX。</p> </div></div></div>
2019/7/19 15:30作者李建興https://www.ithome.com.tw/news/131946
資安公司發現瞄準Linux桌面使用者的後門程式EvilGnome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intezer.com/blog-evilgnome-rare-malware-spying-on-linux-desktop-users/">資安公司Intezer Labs研究人員發現一種新的Linux惡意軟體EvilGnome</a>，其瞄準的對象是Linux桌面使用者，EvilGnome會偽裝Gnome殼層擴充，但實際上為Linux後門植入程式，偷偷地上傳螢幕截圖或是文件等私密資料，目前主要的安全解決方案都無法偵測到EvilGnome，研究人員提到，這個惡意軟體可能與俄國的APT（Advanced Persistent Threat）攻擊集團Gamaredon有關。</p> <p>這個惡意軟體的特殊之處在於瞄準的族群，是Linux的桌面使用者，研究人員提到，過去在Linux上發現的惡意程式，通常是加密礦工或是DDoS殭屍網路工具等，這類瞄準伺服器的攻擊工具，畢竟Linux伺服器占總Linux使用組成的70％，而桌面作業系統僅只有2％。</p> <p>EvilGnome會偽裝成知名桌面環境GNOME的擴充，進行桌面截圖、竊取文件，並從麥克風擷取錄音，還能自行下載其他模組擴充功能。EvilGnome帶有5個模組，ShooterSound模組會擷取使用者麥克風聲音，ShooterImage模組則會擷取螢幕截圖，而ShooterFile模組負責掃描檔案系統中的新檔案，這些模組收集到的檔案，都會被上傳到指揮與控制伺服器（C2），另外還有ShooterPing模組能接受新命令，每個模組都使用獨立的執行緒運作。</p> <p>這些模組與C2伺服器間資料傳輸，都會加密以躲避基本的流量掃描。研究人員提到，這個被上傳到網路安全分析服務VirusTotal上（下圖）的後門植入程式，感覺是一個測試版，因為其中包含了未完成的鍵盤側錄模組ShooterKey，以及程式註解以及編譯元資料，而這些元資料通常不應該出現在正式生產版本中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0-27.png" style="width: 600px;" /></p> <p>研究人員還發現，EvilGnome與俄羅斯駭客集團Gamaredon有關，EvilGnome使用的主機供應商與Gamaredon一直以來使用的相同，EvilGnome的C2伺服器的IP位置，與Gamaredon使用的域名相關聯，而在基礎設施上，EvilGnome的C2伺服器使用連接埠3436提供SSH服務，而Gamaredon正在運作的C2伺服器，也使用連接埠3436提供SSH服務。</p> <p>由於Gamaredon習慣不使用任何已被發現的Linux植入程式，因此研究人員也無從進行直接的比對，因此只能從這些較高階的特徵判斷觀察。Gamaredon從2013年來一直就非常活躍，專針對與烏克蘭政府相關的人進行攻擊，會使用惡意附件感染受害者，而Gamaredon的植入程式的特性，包括使用資訊竊取工具SFX，偷取螢幕截圖或是文件，這項特性也有在EvilGnome上被發現。</p> <p>Intezer Labs建議用戶可以檢查~/.cache/gnome-software/gnome-shell-extensions目錄，看是否存在名為gnome-shell-ext的可執行檔，以確認是否遭到感染，Intezer Labs也創建了自定義的YARA規則，供用戶檢測EvilGnome未來的變體。</p> </div></div></div>
2019/7/19 15:00作者李建興https://www.ithome.com.tw/news/131942
資安公司在Python套件儲存庫PyPI發現3個惡意後門套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.reversinglabs.com/blog/suppy-chain-malware-detecting-malware-in-package-manager-repositories">資安公司Reversing Labs在Python官方的第三方軟體儲存庫PyPI（Python Package Index）發現了三個惡意Python套件</a>，當用戶在Linux系統安裝了這些有後門的函示庫，他們會啟動並嘗試從指揮與控制伺服器下載檔案。PyPI官方已經在收到通報後，下架這些惡意套件。</p> <p>名為ruri12的用戶在2017年11月，於PyPI上發布了3個有問題的套件，分別為libpeshnx、libpesh以及libari，資安研究人員提到，libpeshnx看起來像是另一個同一作者發布的惡意套件libpeshka的變體，只不過libpeshka已經被舉報。而另外的兩個套件libpesh以及libari，只有參照惡意函式但不包含其他程式碼。</p> <p>libpeshnx就是一個惡意的後門套件，當套件被安裝在Linux系統之後，套件就會嘗試從指揮與控制伺服器下載檔案，並將命名為.drv的隱藏檔案儲存在用戶主目錄中，並將惡意程式本身隱藏在.bashrc中，每當用戶初始登入開啟殼層介面的時候，便會作為後臺程序執行。libpeshnx還會創建惡意腳本，以執行開箱即用的惡意負載或是輸入惡意函式庫，不過需要指定精確的模組以及函式名稱。</p> <p>Reversing Labs提到，libpeshnx套件看起來是惡意軟體的開發中版本，用戶使用pip安裝該套件的時候，並不會自動執行惡意函式，只會將函式安裝成為函式庫，而且在之前libpeshka被發現的時候，其指揮與控制伺服器就已經下線不運作。</p> <p>不過令人匪夷所思的是，libpeshnx每個月的安裝次數仍然有82次，而且其他ruri12的套件安裝次數更高。在Reversing Labs聯絡PyPI的安全團隊之後，這些惡意套件都已經從儲存庫移除。</p> <p>Reversing Labs提到，駭客總是在尋找各種攻擊的管道以及媒介，而現在流行的套件儲存庫也成為鎖定的標的。在套件儲存庫發現惡意套件事件層出不窮，包括去年5月的時候，Node.js套件管理器Npm被發現存在偽裝成Cookie解析器的惡意後門套件，PyPI也在去年10月的時候，被發現了12個惡意套件。</p> </div></div></div>
2019/7/18 14:40作者李建興https://www.ithome.com.tw/news/131912
IBM推出資料交換服務DAX促進開放資料與AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.ibm.com/blogs/ibm-data-asset-exchange-dax-free-open-data-ai/">IBM在OSCON 2019大會上推出了線上資料交換中心DAX（Data Asset eXchange）</a>，供開發者和資料科學家可以免費使用，具有明確開放資料授權的資料集，以訓練機器學習模型。IBM在2018年的時候，也推出了線上模型交換中心MAX（Model Asset eXchange），提供開發者免費開箱即用的開源機器學習與深度學習模型。</p> <p>IBM提到，在DAX上發布的資料集，盡可能都會採用Linux基金會社群資料授權協議（CDLA）的開放資料授權框架，讓資料能夠共享與協作，另外，DAX還提供使用者存取IBM和IBM Research資料集。IBM會定期更新DAX上的資料集，而且IBM Cloud和AI服務也會整合DAX，讓用戶使用DAX上的資料集。</p> <p>雖然線上已經存在各式各樣的資料集，但IBM強調，DAX提供高品質的資料集，資料經過整理並標準化資料的格式和元資料，而多數其他的資料集往往缺少品質與授權的檢查，因此DAX更適合企業使用，以創建端到端深度學習工作負載。</p> </div></div></div>
2019/7/17 17:50作者李建興https://www.ithome.com.tw/news/131900
IBM、AT&T簽訂多年雲端及邊緣運算合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2019-07-16-IBM-And-AT-T-Announce-Multi-Year-Strategic-Alliance" target="_blank">IBM與美國電信業龍頭AT&T周二宣佈</a>已在第2季簽訂涵括雲端代管、服務、共建5G邊緣運算服務平台的多年互惠合約。</p> <p>在這項合作下，AT&T將藉IBM服務部門現代化其內部軟體應用Business Solutions，提供開發及支援服務，以便未來搬到IBM雲端上。IBM也將為企業服務（AT&T Business）單位的應用系統提供底層基礎架構。此外，作為Red Hat的既有客戶，AT&T內部應用及營運作業，以及新服務的開發，都會持續跑在Red Hat Enterprise Linux、OpenShift開源平台上。</p> <p>作為混合雲供應商，IBM除了服務AT&T企業部門，也將代管AT&T Communications包括本地部署、私有雲、公有雲上的所有IT基礎架構。</p> <p>此外，AT&T企業業務本來就是IBM全球網路設備夥伴，而在新合作下，AT&T還會成為IBM軟體定義網路的主要設備供應商，提供AT&T的5G、邊緣運算、物聯網（IoT）及多雲技術以強化IBM網路解決方案。</p> <p>最後，因應5G時代到來，雙方還將合作建立邊緣運算平台，以支援零售、金融、運算、製造及醫療部署5G網路，在多雲之間及數十億個連網裝置及感測器和雲端之間，安全、穩定而高速傳送大量資料之所需。</p> <p>AT&T企業部門執行長Thaddeus Arroyo指出，透過和IBM的合作，該公司將得以使用開放、彈性的雲端技術，加速服務的創新。</p> <p>這項合作於第二季即簽定，但<a href="https://www.ithome.com.tw/news/131758" target="_blank">在IBM上周完成Red Hat收購後才公開</a>。</p> <p><a href="https://newsroom.ibm.com/2019-05-03-Vodafone-Idea-and-IBM-in-Five-Year-Multi-Million-Dollar-Engagement-to-Advance-the-Future-of-Telco-with-Hybrid-Cloud-and-AI" target="_blank">5月IBM也宣佈</a>拿下印度最大電信商Vodafone Idea的5年混合雲端及AI平台供應商合約。</p> </div></div></div>
2019/7/17 14:00作者林妍溱https://www.ithome.com.tw/news/131880
一周大事：英國航空因違反GDPR遭判天價罰金。臺灣開放銀行首版Open API標準出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-size: 28px;">GDPR最嚴厲處分！英航遭重罰1.8億英鎊</strong></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%8B%B1%E8%88%AA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E5%9C%8B%E8%88%AA%E7%A9%BA.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_英國航空</span></p> <p>去年9月發生網站和行動App遭駭，導致大批旅客信用卡及個資外洩的英國航空，因違反歐盟個資法GDPR，英國主管機關擬對其判罰1.83億英鎊（約臺幣64億元）。比先前Google被罰5千萬歐元（約臺幣7億元）高了好幾倍。<a href="https://www.ithome.com.tw/news/131739" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>國內開放銀行首版Open API標準出爐</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961__87A7720_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">攝影_洪政偉</span></p> <p>金管會開放銀行（Open Banking）採香港、新加坡模式，以自願自律作法，由銀行與第三方服務公司（TSP）合作方式推動。7月3日包括金管會、銀行公會、財金資訊公司、政大國際產學聯盟齊聚一堂，首度揭露了第一階段Open API標準，這對於臺灣金融業來說無非是一大里程碑。<a href="https://www.ithome.com.tw/news/131648" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>IBM完成收購紅帽，雙方CEO保證紅帽開放性不變</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_IBM%E6%94%B6%E8%B3%BC%E7%B4%85%E5%B8%BD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IBM.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_IBM</span></p> <p>在發布買下紅帽消息的8個月後，IBM於7月9日宣布以每股190美元、總值340億美元的價碼，完成對Linux作業系統發行商Red Hat的收購，以掌握企業部署混合多雲的商機。Red Hat也重申開放及中立性不會改變。<a href="https://www.ithome.com.tw/news/131758" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>內政部：明年10月開始換發數位身分證</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/eid-ppt1-%E5%9C%96%E8%AA%AA%EF%BC%9A%E6%94%BF%E5%BA%9C%E8%A8%88%E7%95%AB%E6%96%BC2020%E5%B9%B4%E5%85%A8%E9%9D%A2%E6%8F%9B%E7%99%BC%E6%95%B8%E4%BD%8D%E8%BA%AB%E5%88%86%E8%AD%89_%E4%BE%86%E6%BA%90%E5%9C%8B%E7%99%BC%E6%9C%83.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_國發會</span></p> <p>內政部在上周五舉行的臺灣網路治理論壇揭露了外界關心的國民身分證換發數位身分證(或稱晶片身分證、eID)最新進展，未來數位身分證將會整合自然人憑證，將實體身分延伸到網路身分，按規劃，明年10月將會開始換發。不過，外界仍對換發數位身分證缺乏專法、安全風險控管等存有疑慮。<a href="https://www.ithome.com.tw/news/131711" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>日本7-Eleven支付App出包，用戶銀行帳號遭盜刷</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%97%A5%E6%9C%AC7Pay%E7%94%A8%E6%88%B6%E9%81%AD%E7%AB%84%E6%94%B9%E5%AF%86%E7%A2%BC%E4%B8%A6%E7%9B%9C%E5%88%B7.png" style="width: 500px;" /></p> <p>近期推出手機支付App的日本7-Eleven，App上線隔天就被用戶爆出密碼遭人竄改，導致綁定的信用卡被盜刷，而日本網路上也有研究員指出，該系統的密碼重設與身分驗證機制不夠嚴謹。<a href="https://www.ithome.com.tw/news/131715" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>超強竊密程式來襲，攻擊全程採用合法工具</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Astaroth.png" style="width: 500px;" /></strong></span></p> <p>微軟本月警告駭客近日利用無檔案（fileless）或離地攻擊手法，以高明手法躲避防毒軟體偵測，透過散布後門程式以便從受害電腦竊取重要資料。<a href="https://www.ithome.com.tw/news/131742" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>奇異航空的Jenkins伺服器沒鎖，原始碼及密碼曝光</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A5%87%E7%95%B0%E8%88%AA%E7%A9%BA.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_奇異航空</span></p> <p>資安業者Security Discovery最近在檢查網路上公開的Jenkins實例時，發現有個實例屬於美國奇異航空（GE Aviation），而且存放了原始碼、明文密碼、配置細節，以及該公司內部架構的各種私鑰，被知會的奇異航空當天就關閉了該實例，並坦承是因DNS配置錯誤所造成。<a href="https://www.ithome.com.tw/news/131740" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>儲存技術新創把維基百科存放到DNA鏈中</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_DNA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Catalog.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Catalog</span></p> <p>專門研發DNA儲存技術的新創公司Catalog宣布，已成功把容量達16GB的英文版維基百科（Wikipedia）存放到以一滴液體呈現的DNA鏈中，號稱這是首次有人把如此大量的資訊存入DNA，還比過去所使用的化學合成方式更快也更便宜。<a href="https://www.ithome.com.tw/news/131734" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Ubuntu官方GitHub帳號遭駭</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Canonical%E9%81%AD%E9%A7%AD.png" style="width: 500px;" /></strong></span></p> <p>近期Ubuntu Linux發行商Canoncial的GitHub帳號遭駭，被不明人士設立多項活動，但Canonical強調沒有任何個資或軟體源碼外洩的情形。<a href="https://www.ithome.com.tw/news/131721" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>傳聞博通準備買下賽門鐵克</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8D%9A%E9%80%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cmglee.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_Cmglee</span></p> <p>彭博社與路透社於7月3日相繼引用消息來源報導，晶片大廠博通（Broadcom）正準備出手買下知名資安業者賽門鐵克（Symantec），雙方已進入緊鑼密鼓的協商階段，最快會在幾周內達成協議，消息傳出後，當天賽門鐵克股價大漲13.57%，以25.1美元作收，反倒是博通股價下滑了3.54%，收盤價為284.89美元。<a href="https://www.ithome.com.tw/news/131662" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>戴爾在臺首家旗艦店開張</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%88%B4%E7%88%BE%E6%97%97%E8%89%A6%E5%BA%97_%E6%94%9D%E5%BD%B1_%E8%98%87%E6%96%87%E5%BD%AC.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影_蘇文彬</span></p> <p>日前戴爾（Dell Technologies）和虹優科技合作，在臺北市開設首間旗艦店，展示銷售旗下消費及商用產品，涵蓋了桌機、筆電、顯示器及配件。<a href="https://www.ithome.com.tw/news/131668" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>盧希鵬分析純網銀3大競爭優勢</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9A%E7%9B%A7%E5%B8%8C%E9%B5%AC_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">攝影／李靜宜</span></p> <p>臺科大資訊管理系專任特聘教授盧希鵬認為，純網銀可以做到，但傳統銀行難以做到的有三件事，一是看重「數據」而不是「功能」；二是不只「利己」更要「利他」；三是透過弱連結打造生態圈。純網銀生態系擁有的新維度就是大數據，有了客戶數據就能做個人化管理。過去，傳統銀行在乎「功能」，但盧希鵬直言，未來生態系的新維度是「數據」。他舉例，我們可以花6個月打造與支付寶一樣的功能，但沒有支付寶的數據，這些功能一點用處都沒有，「數據將是關鍵的新維度。」<a href="https://www.ithome.com.tw/news/131709" target="_blank">更多內容</a></p> </div></div></div>
2019/7/13 09:00未署名https://www.ithome.com.tw/news/131764
資安一周50期：日本7pay行動支付驚傳上線就被大量盜刷、公民團體與學者認為政府應為數位身分證立專屬法規
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="field field-name-body field-type-text-with-summary field-label-hidden"> <div class="field-items"> <div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0704-0710 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃第三方支付＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">使用者密碼重設流程驗證極為隨便！日本7-Eleven行動支付甫推出就驚傳大量盜刷事件</strong></h2> <p>因身分驗證機制不夠嚴謹，日本7-Eleven推出的行動支付方案7pay於7月1日上線之後，約900名使用者的帳號遭到盜用，損失5,500萬日元，迫使該公司在4天後關閉服務。該App身分驗證設計的問題成為各界關心的焦點。</p> <p>一名研究員高木浩光（Hiromitsu Takagi）在推特上表示，使用者在iOS版7pay App註冊時，只需填寫電子郵件信箱，而無須提供其他個人資料，而且，假如註冊時沒有輸入生日，系統還會自動預設為2019年1月1日。</p> <p>同時，在取回密碼的網頁上，使用者只需提供7iD會員帳號與生日，就能將重設密碼連結傳送到任意的電子郵件信箱，而沒有其他控管機制。<a href="https://www.ithome.com.tw/news/131715"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D-lR3tGUEAAsNQ4.jpg" style="width: 400px;" /></p> <p>圖片來源：截取自高木浩光推特</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃應用程式市集亂象＃廣告挾持攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">冒牌三星更新應用程式的廣告軟體出現在Google Play市集</strong></h2> <p>安全廠商CSIS Group研究人員Aleksejs Kuprins指出， Google Play市集有一款假冒為三星韌體更新App的廣告軟體，安裝後，廣告會占據整個手機螢幕，用戶也將因此損失金錢。在接獲通知後，Google已經將這個App下架。</p> <p>這個廣告App宣稱，能提供使用者下載三星手機韌體，但傳輸速度僅有56Kbps，容易中斷，而一旦出現下載終止的情況，該應用程式便趁機推薦受害者刷卡訂閱會員下載服務，一年為34.99美元。</p> <p>研究人員認為，這次攻擊者想要誤導受害者，只要到市集裡就能下載三星手機的新版韌體，同時，也突顯Android手機業者普遍在自家產品裡內建了過多App，由於其中多款程式消費者可能用不到，導致攻擊者有機可趁。<a href="https://www.ithome.com.tw/news/131516"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20RMNiuyiiFClcXY4XlKWq8g.png" style="width: 400px;" /></p> <p>圖片來源：截取自CSIS Group部落格</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃加密貨幣攻擊＃網站詐騙＃臉書</strong></h3> <h2><strong style="vertical-align: top;">搭臉書加密貨幣熱潮，有心人士大量註冊相關網域名稱，恐出現新詐騙攻擊</strong></h2> <p>在臉書公開Libra加密貨幣與錢包Calibra服務之後，歐美各國當局高度關注，資安業者Digital Shadows也發現一些異常活動，根據他們的觀察，臉書的加密貨幣還沒有正式上線，但已經掀起一股淘金熱，使得與Libra及Calibra有關的網域名稱大量遭到註冊，而其中有許多網域可能會被用來架設詐騙網站。</p> <p>該公司表示，受到註冊的網域名稱幾可亂真，使用者難以分辨，而且這些網站還模仿臉書加密貨幣網站的首頁，甚至部分站臺已經開始銷售Libra貨幣。研究人員認為，仿冒網域更為猖獗的原因，主要是《通用資料保護規則（GDPR）》的施行，限縮網域名稱擁有者的WHOIS協定資訊揭露範圍，使得消費者識別更加不易。<a href="https://www.ithome.com.tw/news/131728"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake_Calibra-site_Libra-ico_org.png" style="width: 400px;" /></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃macOS惡意軟體＃Flash Player</strong></span></h3> <h2><strong style="vertical-align: top;">macOS惡意程式偽裝成Flash播放器軟體</strong></h2> <p>假冒為Adobe Flash Player安裝程式的攻擊手法，不再只是Windows的專利了。資安業者Intego最近發現的OSX/CrescentCore威脅，就是針對macOS的冒牌Flash Player惡意程式，並透過多個盜版網站散布，這些下載網站同時還出現在Google搜尋結果裡。</p> <p>研究人員特別提醒，Adobe即將在2020年棄守Flash Player，絕大多數的網站也停止採用相關技術，因此，任何使用者都不該再安裝有關軟體。只是許多用戶都還未意識到這個事實，才會遭到攻擊者利用。<a href="https://www.ithome.com.tw/news/131657"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃物聯網裝置攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">D-Link產品安全訴訟案與FTC達成和解，承諾全面提升網路設備產品安全</strong></h2> <p>美國聯邦交易委員會（FTC）與網路設備商D-Link（友訊科技）宣布，針對產品安全訴訟案，已經達成和解，D-Link表示會導入全面性的軟體安全提升計畫，來確保產品安全。</p> <p>FTC在2017年提出控告，指控D-Link未能落實基本的軟體開發安全，例如，直接在韌體中寫入憑證，使用非常容易猜到的帳號及密碼，或者是以明文存放行動程式的登入憑證等，使得駭客輕易取得用戶的機密資訊。為此，合解的條件裡，要求D-Link導入全面性的軟體安全計畫，且在產品發表前必須進行漏洞測試，功能須內建韌體自動更新機制等，同時，上述計畫要由外部單位定期查核。<strong><a href="https://www.ithome.com.tw/news/131711">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DNS over HTTPS</strong></span></h3> <h2><strong style="vertical-align: top;">首個針對DNS over HTTPS的惡意程式出現</strong></h2> <p>新興的DNS over HTTPS（DoH）協定，具有強化用戶的隱私保護的承諾，而頗受眾人期待，不過，360 Netlab資安研究人員卻發現，已經有駭客開始濫用DoH傳輸惡意程式。</p> <p>而這個首度利用DoH技術的惡意程式消息傳開，讓部分安全專家擔憂，認為未來勢必有更多惡意程式作者跟進，造成安全控管的威脅。<a href="https://www.ithome.com.tw/news/131661"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃阻斷服務攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">兩名開發人員的OpenPGP憑證遭垃圾簽章淹沒</strong></h2> <p>GnuPG的開發人員Robert Hansen與Daniel Kahn Gillmor用於OpenPGP的公開憑證，傳出遭到上萬個垃圾簽章的攻擊，任何匯入這兩個憑證的作業，都會失效，而且，受害的憑證已被上傳到SKS金鑰伺服器網路。</p> <p>Robert Hansen認為，這次攻擊者利用了OpenPGP協定的缺陷。原本透過他人簽章能增加憑證的可信任程度，但為了避免遭到集權政府控制，金鑰伺服器一律禁止刪除任何註記，結果導致外部簽章有增無減。而現在，已有駭客運用這個漏洞，導致這2名開發人員的憑證上的簽章，分別爆增到5.5萬個與近15萬個，結果使得GnuPG要處理如此龐大的資料量時，就停止了。<a href="https://www.ithome.com.tw/news/131674"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃隱私疑慮＃數位身分證＃網路治理</strong></span></h3> <h2><strong style="vertical-align: top;">數位身分證上線在即，公民團體與學者認為政府應立專屬法規，並重視潛在資安風險</strong></h2> <p>臺灣網路治理論壇在7月5日正式登場，集合政府、技術社群、學術社群、民間企業，以及公民社群，共同探討網路公共政策，在這場活動上，內政部代理科長陳嘉淯也受邀參加，揭露數位身分證的最新進展，並表示未來將會整合自然人憑證，將實體身分延伸到網路。依據規畫時程，數位身分證即將自2020年10月起開始換發，不過，外界認為，新版身分證缺乏所需的專屬法規，且安全風險控管措施上仍存有疑慮。</p> <p>儘管內政部強調，數位身分證採用國際標準身分識別最高等級要求，但與會的公民團體與學者相當憂心。他們認為，新舊版身分證功能上有很大的落差，僅以行政規則作為換發晶片卡的法源依據，不足以達成保障民眾權益的承諾，政府應考慮修法或是立法；再者，數位身分證背後仍存在可能被忽視的種種隱私及資安風險，使得最終民眾只能相信內政部的口頭保證。<a href="https://www.ithome.com.tw/news/131608"><strong>詳全文</strong></a></p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/131712">Linux作業系統Debian 10大改版，正式支援UEFI安全啟動機制</a><br /> ●<a href="https://www.ithome.com.tw/news/131594">傳博通有意併購防毒大廠賽門鐵克</a><br /> ●<a href="https://www.ithome.com.tw/news/131692">針對遊戲平臺發動DDoS攻擊的駭客，被判刑27個月</a><br /> ●<a href="https://www.ithome.com.tw/news/131727">遭英國ISP協會點名，Mozilla表態英國版Firefox不會採用DNS over HTTPS</a></h3> </div> </div> </div> </div></div></div>
2019/7/12 11:02作者周峻佑https://www.ithome.com.tw/news/131805
【臺灣人臉辨識實例：訊連科技】全球臉部辨識20強的秘密，追加百萬亞洲臉只為多準0.9%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不同於以往中國、俄羅斯獨大，以威力導演影片剪輯聞名的臺灣老牌影音後製軟體商訊連科技（CyberLink ），在今年3月全球知名FRVT臉部辨識測試大賽，首度以自家提交的人臉辨識演算法參賽，就獲得全球評比第18名，完全不輸一線大廠，甚至認臉速度更達全球第3，還比中國頂尖人臉大廠依圖、商湯更快，「臺灣人臉辨技術一點都不輸國外」訊連科技董事長暨執行長黃肇雄自豪地說。</p> <p><span style="font-size:28px;"><strong>臺廠首度登上全球人臉辨識排行榜TOP 20</strong></span></p> <p>FVRT是由美國NIST（國家標準暨技術研究院）所舉辦的全球人臉辨識基準評測，是當今少數極具公信力與知名度的全球臉部辨識評比之一。因為全程測試不公開測試資料集，僅由參賽者提交算法，FRVT直接測試這些算法性能，並定期公布成績排名。就連測試硬體都嚴格規範，要求皆使用通用x86伺服器來測試，也禁用GPU加速，用來測試每個算法的人臉辨識水平，看誰的演算法更強，也讓它成為業界公認或慣用的臉部辨識能力指標，不只開發團隊，許多知名人臉辨識大廠也都參加，如日本NEC、微軟等，用它展現自己的人臉辨識技術水準。</p> <p>臺灣今年首度有來自本土的臉部辨識廠商參賽，訊連科技在今年3月NIST舉行的人臉辨識大賽第一次參賽，就擠進全球人臉辨識TOP 20排名。前20名排行，其中，中國有7家上榜、俄羅斯3家，德國與日本2家，美國、英國、法國、南非與澳洲各1家，訊連是第一家上榜的臺灣業者。</p> <p>在50多組參賽隊伍中，訊連提交的人臉辨識演算法，在百萬分之一誤認率的正面臉部（1比1辨識）測試上，以2.10%的FNMR拒認率（False non-Match Rate），排名第18名，還比日本東芝排更前面，甚至在辨識速度，更以0.4秒反應速度拿下全球第3，還快過準度第一名的依圖。</p> <p>黃肇雄表示，這次參加比賽提交的人臉辨識演算法，採用的是該公司自行開發的人臉辨識引擎FaceMe，目前已被使用在不少國產裝置或設備上，如攝影機、服務機器人、車機等，但連他自己都料想不到，首度參加就可以獲得好佳績。除了NIST外，在去年參加的另一場MegaFace挑戰賽，成績也名列前茅，以98.41％準確率（TAR）拿下第12名。</p> <p>雖然，訊連跨入臺灣人臉辨識市場僅1年多，看似剛入門的新手，但其實，早從10年前，訊連就開始投入人臉辨識的相關研究，並搭配旗下YouCam網路視訊產品先後運用在人臉登入、虛擬上妝等應用，讓用戶能以自己註冊的人臉登入PC等裝置，或是進行視訊會議時，可以手機鏡頭搭配App，就能替素顏臉龐快速上妝，甚至一般難畫的眉毛、睫毛，也難不倒它。該App至今已超過8億次下載。</p> <p>黃肇雄也以自家化妝App來說明人臉辨識概念，辨識時會先需要找出100個臉部特徵，包含臉型、眼睛、唇型、眉毛等，來偵測臉部上妝位置，才有辦法替素顏人臉畫出滿意的妝容，而不會畫歪，或畫得不對稱。「相同的道理，今天一張臉可以抽取出100多個特徵，再用這些特徵來比對資料庫裡的人臉，如果有一組臉型特徵比對最相近，就可以說，這兩張臉是同一人，這就是人臉辨識。」</p> <p>過去2年，深度學習人臉辨識技術獲得許多重大突破，甚至辨識度更首度超越人類水平，達到99%以上，開始在全球掀起了一股刷臉應用風潮，但是臺灣卻遲遲沒有跟上這波熱潮，黃肇雄直言：「直到去年初，臺灣還是缺少一個成熟好用的本土刷臉引擎」，他認為，一旦臺灣沒有自己的人臉引擎，到最後只能用別國，尤其是中國製的人臉引擎，不只臺灣企業很容易用到，而政府若要用時，也容易產生國安疑慮。這正是他決定要自己做的原因，要打造一套臺灣能用的臉部辨識引擎。經過數個月的開發，訊連也在去年9月推出自己的人臉辨識產品FaceMe。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%942%EF%BC%9A20_%E9%BB%83%E8%82%87%E9%9B%84_%E8%A8%8A%E9%80%A3%E7%A7%91%E6%8A%80_%E8%91%A3%E4%BA%8B%E9%95%B7_20190521_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>訊連科技執行長黃肇雄指出，目前很難有一種人臉辨識模型適用所有人種、年齡，因此想要讓臉部辨識能力能夠在地化，來符合在地化應用的辨識需求，就需要用在地人臉資料。 </strong>（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>只需百萬張在地化的亞洲人臉資料訓練，就可替模型準度再提高0.9%</strong></span></p> <p>訊連這套人臉辨識引擎，是以多達一千萬張的國外人臉當作訓練素材，建立深度學習人臉辨識模型，除了可以在Windows、Linux或Android 和 iOS 等手機作業系統上執行，訊連還依硬體需求推出大小模型兩個版本，前面的這個版本的TAR辨識度有達到98.50％，雖然準確度很高，但需要搭配性能較好的CPU與GPU來執行，也是訊連這次NIST參賽提交的版本。</p> <p>後者，則是一個瘦身過的輕量版本，雖然辨識度比前一個版本低了約4%左右，但是模型體積卻是大大的降低，只須要原本模型大小的五十分之一，從原先250MB的容量大小，減到只剩4MB，這也意謂著，這個人臉辨識模型，可以在更小型的運算硬體或AIoT裝置來執行，甚至，連中低階手機都能用，更重要的是，人臉辨識率依然有到94.12%的水準。</p> <p>除了兩種認臉模型之外，訊連甚至還進一步推出一個亞洲人臉辨識的專用版本，這是以原本4MB大小的深度學習模型，再增加了100萬張的亞洲臉孔進行訓練。根據訊連的測試數據，用來測試亞洲人臉時，辨識率可達到99.8％，還比用千萬張臉訓練的通用版本的98.9%，還能再提高了0.9%的準度。</p> <p>但不能小看這0.9%辨識率提升的重要性，因為這個版本的模型是以原先通用版各種優化算法、參數調整、模型調校，都沒能提高亞洲臉孔的辨識能力，等於是加入這100萬張亞洲臉孔的作法，讓訓練出來的人臉模型，可以更準確地認出每一張臉，而減少認錯人或誤認人的情形。除了擁有全球TOP20強的辨識準度，訊連的人臉辨識引擎，也能用於偵測性別、年紀和情緒，還能辨識真人或是假人的2D照片。</p> <p>不過，黃肇雄坦言，目前很難有一種人臉辨識模型可以適用所有人種、年齡，而且辨識結果還一樣高，因此想要讓人臉辨識能力能夠在地化，來符合在地應用的辨識需求，就得要有在地人臉資料，才可以辨識得好，例如警政機關，想要認得臺灣人犯，就需要有這方面的臺灣人臉資料做訓練，才能獲得更好的臉部辨識效果，如此一來，才不會發生錯把普通人認成嫌疑犯的烏龍。「這也是為何我們要打造亞洲人臉辨識專用版本的原因。」他說。</p> <p>不只是傳統1比1臉部測試，訊連今年6月還進一步挑戰難度更高的1比N辨識的人臉測試，要從數千萬筆的人臉資料庫中，找出目標人臉。</p> </div></div></div>
2019/7/11 09:00作者余至浩https://www.ithome.com.tw/news/131693
IBM完成Red Hat 340億美元收購，重申開放性不變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在發布<a href="https://www.ithome.com.tw/news/126678" target="_blank">買下紅帽消息</a>的8個月後，<a href="https://newsroom.ibm.com/2019-07-09-IBM-Closes-Landmark-Acquisition-of-Red-Hat-for-34-Billion-Defines-Open-Hybrid-Cloud-Future" target="_blank">IBM周二（7月9日）宣布</a>以每股190美元、總值340億美元的價碼，完成對Linux作業系統發行商Red Hat的收購，看好企業部署混合多雲的商機。Red Hat也重申開放及中立性不會改變。</p> <p>雙方表示，結合Red Hat開放混合雲技術及IBM深厚產業經驗與超過175個國家的銷售團隊，這樁收購案將可提供次世代混合多雲平台，在Linux及Kubernetes的開源碼技術上，讓企業在本地資料中心、私有及多個公有雲等環境中部署、執行和管理資料和應用程式。</p> <p>I<a href="https://www.ithome.com.tw/voice/126801" target="_blank">BM去年10月宣佈以340億美元收購Red Hat</a>，本案分別在今年5月及6月底獲得<a href="https://www.sec.gov/Archives/edgar/data/1087423/000119312518339886/d654192dprem14a.htm" target="_blank">美國司法部</a>及<a href="https://www.reuters.com/article/us-redhat-m-a-ibm-eu/ibm-gains-unconditional-eu-approval-for-34-billion-red-hat-deal-idUSKCN1TS1Z4" target="_blank">歐盟</a>的核准。</p> <p>IBM董事長、總裁暨執行長Ginni Rometty指出，現今企業亟思基礎架構現代化，並把重要業務搬到私有雲及不同廠牌的多雲平台上，需要開放、彈性的技術來管理混合多雲環境以及提供管理、維護的合作夥伴，IBM和Red Hat的組合正可滿足此類需求。</p> <p>合併後，現任執行長Jim Whitehurst及現有管理團隊維持不變，Whitehurst則將加入IBM資深管理班子直接向Ginni Rometty報告。Red Hat品牌、廠區沒有變動，總部也會仍維持在北卡羅來納州羅利（Raleigh）市。一如IBM當初承諾，Red Hat 會在IBM下獨立運作，但其財報則合併到IBM的雲端及認知軟體業務中。</p> <p>IBM收購Red Hat讓外界及員工最擔心的是，Red Hat是否還能維持硬體中立及軟體的開放性。<a href="https://www.redhat.com/en/blog/jim-whitehurst-email-red-hatters-red-hat-ibm-acquisition-closing" target="_blank">Whitehurst也透過公司網站重申</a>，Red Hat仍將是原來那個Red Hat，IBM承諾會保持Red Hat的獨立性、中立性、文化及產業合作夥伴。</p> <p>2013年迄今，雲端業務佔IBM營收比重由4%已成長到25%。今年第一季回推12個月以來，IBM雲端業務超過190億美元，Red Hat 會計年度2019年營收為34億美元。收購Red Hat 預計可為IBM 5年營收年複合成長率挹注2%。</p> </div></div></div>
2019/7/10 12:05作者林妍溱https://www.ithome.com.tw/news/131758
Ubuntu Linux發行商Canonical的官方GitHub帳號被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ubuntu Linux發行商Canoncial的GitHub帳號周末遭駭並設立，但Canonical強調沒有任何個資或軟體源碼外洩的情形。</p> <p><a href="https://twitter.com/bad_packets/status/1147660149202378752" target="_blank">安全廠商Bad Packets周六發現</a>Canonical的官方帳號下被人建立多個儲存庫，疑似被駭。<a href="https://web.archive.org/web/20190706144600/https://github.com/CanonicalLtd" target="_blank">根據Canonical被駭帳號的映射備份</a>，這名駭客一共在Canonical帳號下建立了11個儲存庫，不過裏面都是空的。<a href="https://twitter.com/bad_packets/status/1147660990172942336" target="_blank">Bad Packets並指出</a>，事情發生前幾天，該公司偵測到網路上有大規模掃瞄Git組態檔的活動，這類組態檔內往往包含GitHub的登入憑證，疑為駭客活動的前兆。</p> <p><a href="https://news.ycombinator.com/item?id=20369902" target="_blank">Canonical周六透過論壇坦承</a>，一個Canonical自有的GitHub帳號憑證周六遭破解後用來進行建立儲存庫（repositories）、議題（issues）等其他活動。</p> <p>Canonical已經從GitHub移除被駭帳號，目前正在調查是否有資料外洩及外洩範圍。Canonical表示現階段沒有跡象顯示，有任何軟體源碼或可辨識個人身份的資訊外洩。Canonical還說開發及維護Ubuntu的Launchpad基礎架構並未連結GitHub，因此也沒有被影響到的跡象。</p> <p><a href="https://twitter.com/bad_packets/status/1146635999167991808" target="_blank">Bad Packets指出</a>，過去也曾經發生過類似組態檔掃瞄活動，之後就造成GitHub儲存庫被清空並遭駭客勒索。而這次和上次一樣的掃瞄活動都是源自同一個代管ISP World Hosting Farm LTD。</p> <p>不過<a href="https://twitter.com/Plazmaz/status/1147662379729113088" target="_blank">有研究人員指出</a>，如果是大規模掃瞄，則駭客可能不只是亂改官方GitHub而已。<a href="https://www.zdnet.com/article/canonical-github-account-hacked-ubuntu-source-code-safe/" target="_blank">ZDNet也認為</a>，真正想發動惡意攻擊的駭客應該不會建立新儲存庫引人耳目。</p> <p>Canonical計畫在調查、檢視及修復問題後再完整公開說明。</p> <p>不過Canonical被駭經驗並不少。<a href="https://www.ithome.com.tw/node/81588" target="_blank">2013年7月</a>、<a href="https://www.ithome.com.tw/news/107189" target="_blank">2016年7月</a>Ubuntu論壇遭駭，分別外洩180 萬及200萬用戶個資及密碼。<a href="https://www.ithome.com.tw/news/123170" target="_blank">去年5月Ubuntu的Snap商店發布的應用程式被通報含有挖礦程式</a>。</p> </div></div></div>
2019/7/8 10:45作者林妍溱https://www.ithome.com.tw/news/131721
Debian推出最新10.0 Buster終於支援UEFI安全啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://bits.debian.org/2019/07/upcoming-buster.html">Debian團隊在7月6日釋出最新10.0代號Buster的版本</a>，這個版本修正了約150個嚴重等級的臭蟲，整體視覺設計採用稱為FuturePrototype的主題，桌面環境則改在Wayland協定上執行GNOME 3.30，在安全性改進上，Debian 10.0終於支援了UEFI安全啟動（Secure Boot）。</p> <p>從10.0開始，官方為Debian加入了UEFI安全啟動驗證機制，可以確保UEFI韌體啟動的程式碼是受信任的，目的是要保護系統在載入作業系統之前，不受到惡意軟體攻擊。UEFI安全啟動使用加密校驗與簽章排除惡意軟體，每一個韌體載入的程式都包含了簽章與校驗和，在執行之前，韌體會檢查這些資訊是否可信，不允許不受信任的程式執行，以阻擋未授權程式碼的執行。</p> <p>不少Linux發布版本包括Red Hat、Fedora、SUSE以及Ubuntu，都已經提供UEFI安全啟動功能一段時間了，<a href="https://wiki.debian.org/SecureBoot">官方提到</a>，Debian在這方面進展緩慢，因此在許多新系統上，使用者必須先停用UEFI安全啟動才能安裝Debian，由於每個系統停用安全啟動的方法差異很大，因此也增加了使用者安裝Debian的難度。</p> <p>在桌面環境上，之前的版本Debian Stretch使用GNOME 3.22，在最新的Debian Buster使用了GNOME 3.30，比較特別的是，這個版本的GNOME預設在Wayland協定上執行，取代原本的X Window系統，提供顯示伺服器與客戶端之間的通訊，而這也符合GNOME團隊的建議。目前Fedora和RHEL 8都是預設在Wayland上執行GNOME，而其他像是Ubuntu等發行版，傾向使用X Window系統。</p> <p>另外，這個Debian版本還預設啟用強制型存取控制框架AppArmor，AppArmor會根據規則與權限，限制程式可以存取的檔案，而這項主動保護，能幫助系統免受已知和未知漏洞影響。在核心方面，Debian使用長期支援版本的Linux核心版本，讓用戶能獲得5年的維護與支援，Debian Buster採用Linux核心4.19.0-4。</p> <p>在其他套件更新方面，Nodejs終於更新到了10.15.2，過去長久以來都一直維持在Nodejs 4.8版本。官方也提到，Python.org將在2020年1月1日棄用Python 2，因此開發人員需要移植程式碼，使其與Python 3相容。OpenJDK的支援也從8.0跳到了OpenJDK 11.0。</p> </div></div></div>
2019/7/8 09:55作者李建興https://www.ithome.com.tw/news/131712
Linux Mint推出小型電腦MintBox 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.linuxmint.com/?p=3766">受歡迎的發行版Linux Mint，發布了一系列更新</a>，不少是有關於操作介面，包括釘選項目以及更多元的右鍵選單，另外，還睽違5年發布了小型電腦第三代MintBox。由於Linux Mint是基於Ubuntu開發，因此官方提到，如過Ubuntu停止支援32位元，那Linux Mint未來也就只能支援64位元系統。</p> <p>Linux Mint在2014年推出MintBox 2，而現在推出更強的替代產品MintBox 3，基於嵌入式系統與小型電腦製造商Compulab的Airtop 3機型開發，而Airtop 3是專為工業與嵌入式應用設計的強固型電腦，同樣是採用無風扇設計，而MintBox 3則是預載Linux Mint。</p> <p>MintBox 3有兩個版本，基本版本搭載6核心英特爾Core i5處理器、16 GB記憶體，以及256 GB固態硬碟EVO 970，具有Wi-Fi與FM-AT3 FACE模組，售價1,543美元。而高階版本則搭載了8核心的英特爾Core i9處理器，Nvidia GTX 1660 Ti顯示卡與32GB記憶體，還有1TB的固態硬碟Evo 970，同樣也有Wi-Fi與FM-AT3 FACE模組，要價2,698美元。</p> <p>Linux Mint發布的6月更新，在資料夾與檔案操作進行了一些更新，使用者可以在Cinnamon檔案管理員中，將資料夾釘選置頂。而右鍵點擊檔案的動作，過去只能提供通用功能，但是現在Linux Mint將可以根據不同檔案類型，提供更聰明的動作，像是點擊圖片可以出現設置為桌面的選項，而在未來，官方甚至提到針對.mkv檔案，可讓用戶只要點右鍵，就能進行音訊轉檔，或是直接在地圖上，查看照片的拍攝地理位置。</p> <p>而對於前些時日，Canonical宣布將在Ubuntu 20.04 LTS拋棄32位元支援的消息，由於Linux Mint作為Ubuntu的下游發行版，官方提到，這代表在Linux Mint 20版本可能就只能支援64位元，目前支援32位元的Linux Mint 19.x已經推出，在2023年之前使用者可以不用擔心的使用，官方對Canonical此項新政策採取正面的態度。</p> </div></div></div>
2019/7/8 10:00作者李建興https://www.ithome.com.tw/news/131713
【臺灣網路治理論壇】內政部：數位身分證將結合自然人憑證，明年10月換發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">集合政府、技術社群、學術社群、民間企業及公民社群，一起探討網路公共政策的臺灣網路治理論壇在周五正式登場，內政部也在論壇的第一天下午受邀參加，揭露了外界關心的國民身分證換發數位身分證(或稱晶片身分證、eID)最新進展，未來數位身分證將會整合自然人憑證，將實體身分延伸到網路身分，按規劃，明年10月將會開始換發。不過，外界仍對換發數位身分證缺乏專法、安全風險控管等存有疑慮。</span></p> <p class="p1"><span class="s1">代表內政部戶政司出席的代理科長陳嘉淯表示，目前規劃換發的數位身分識別證，最早從民國104年開始規畫，經過幾年的發展，去年12月行政院會，國發會發表了智慧政府藍圖，揭露了智慧政府的基礎架構，前行政院長賴清德指示各部會對全面換發數位身分證，建立安全可靠基礎架構，交由內政部妥善規劃身分證換發工作，預計於2020年全面啟動換發作業。</span></p> <p class="p1"><span class="s1"><b>整合自然人憑證，不另設專法</b></span></p> <p class="p1"><span class="s1">由於先前曾傳出政府有意結合健保卡、駕照等功能，陳嘉淯指出，這張數位身分證就是國民身分證和自然人憑證的結合，沒有其他的卡片，單純為身分識別，不會儲存其他的資料，沒有侵犯個人隱私，換發數位身分證的原則是，提升防偽的機制，個資最小化、隱私保護及資訊自主。</span></p> <p class="p1"><span class="s1">依內政部的規劃，數位身分證整合自然人憑證，使用者可以選擇開啟或不開啟自然人憑證功能，但目前的規劃是，現有的自然人憑證效期截止後，可能不再換發新的自然人憑證，換言之，鼓勵民眾在數位身分證上開啟自然人憑證。內政部也規劃在明年公布API規格。</span></p> <p class="p1"><span class="s1">另外，內政部規劃中換發的數位身分證，其平面資料不會比現行的紙本身分證的資料還多，並且透過晶片辨別卡片的真偽，提升數位身分證的防偽，並有防竄改、複製及內建電子小偷的功能。若民眾不慎遺失卡片，拾得者若沒有持有者的同意，沒有取得密碼之下，無法取得配偶欄、父母等延伸性的資料。</span></p> <p class="p1"><span class="s1">對於外界對數位身分證可能引發的安全疑慮，陳嘉淯補充解釋，這張數位身分證將採用國際標準身分識別的最高等級，在高安全性、保障隱私的原則下換發，外界不用太過擔心資料外洩。所有換發的費用由政府負擔。</span></p> <p class="p1"><span class="s1">因數位身分證換發，以晶片身分證取代傳統的紙本身分證，並整合自然人憑證，兼具實體身分及網路身分識別功能，為國內身分證的一大革新，帶來方便之餘，外界認為也應修法或比照其他國家制定新法規範，以保障民眾使用數位身分證的權益。</span></p> <p class="p1"><span class="s1">內政部長徐國勇今年5月在立委質詢時提及，數位身分證將以現行的戶籍法、個資法、資通安全管理法、電子簽章法，足以從各面向支撐換發，不需修法或另立新法。對此，台灣人權促進會曾為文批評，不論是部份換發或全面換發eID，由於和傳統紙本身分證相比在功能上有很大的落差，政府應考慮修法，甚至是立法，僅以行政規則作為換發晶片卡的法源依據，不足以達成行政機關保障民眾權益的承諾。該會也質疑政府推動換發數位身分證政策，缺乏相關配套措施，例如對公務機關使用eID存取其他行政機關的資料庫，是否需要民眾的同意？個人是否可檢視eID或相關資料被存取的紀錄？</span></p> <p class="p1"><span class="s1">陳嘉淯表示，目前換發數位身分證向朝向不設立專法，依現行戶籍法相關規定，身分證換發、期程由中央主管機關制定，即由內政部負責，而數位身分證牽涉到電子簽章法、資通安全法、個資法，內政部已行文請經濟部、國發會、行政院資通安全處盤點現有法令，是否需配合數位身分證進行修法，另依中央行政機關法注意事項，以修法優先於立法。</span></p> <p class="p1"><span class="s1"><b>隱私、資安風險仍是外界關心</b></span></p> <p class="p1"><span class="s1">儘管內政部強調數位身分證的安全性，但今天參與論壇的公民團體、學者或個人仍關心未來換發的數位身分證背後可能被忽視的隱私及資安風險。</span></p> <p class="p1"><span class="s1">中研院資訊科學研究所研究員何建明表示，身分證的數位化並非僅僅數位化而已，採用晶片卡片設計，可整合自然人憑證，除了能以自然人憑證的讀卡機存取卡片內的資料，無人知道政府還儲存了什麼，誰可以讀取，政府換發數位身分證是場冒險，各項相關服務的背後，政府也需要承擔相當大的資安風險。</span></p> <p class="p3"><span class="s1">台灣人權促進會專案經理何明瑄也提出了他的看法，民眾要如何確認誰讀得到裡面的資料？如何知道所讀取資料就是晶片身分證裡所有的資料？有沒有針對特定對象的隱形註記？在缺乏明確法律規範下，大家只能相信內政部的善意，沒有侵犯人權的疑慮。</span></p> <p class="p3"><span class="s1">他從更根本的角度來看身分認證，為何需要一人一號的身分認證制度，以最近詮敘部外洩24萬公務人員資料為例，這些外洩的資料若再結合私部門的資料，就能發動特定類型的攻擊。一人一號的身分制度雖然帶來方便，但也帶來相當大的風險，以日本為例，沒有一人一號的身分，日本民眾一樣可以報稅、駕照、申請保險，因為不同的服務對應使用不同的身分。以相同的角度探討是否需要數位身分，當愈來愈多的服務要求數位身分認證，例如臺鐵購票以實名制防止搶票，民眾使用服務留下紀錄，反而衍生出政府監控、隱私保護問題。</span></p> <p class="p3"><span class="s1">代表開放文化基金會的Pellaeon Lin則關心政府推動數位身分證，相關的系統程式碼應開放出來，在歐洲「Public Money Public Code」已是趨勢，透過開放可以更容易的移植到不同的平臺如Mac或是Linux，民間的資安研究人員也可以研究發現問題點，提高資訊安全。</span></p> <p class="p3"><span class="s1">他認為</span>愈是開放的系統，因為愈多人檢驗，比較安全。<span class="s1">最安全的系統不是符合國際標準就好，而是經過多人的安全檢驗。另外，他也建議政府可以學習德國的晶片身分證的做法，先從小規模換發開始，作為資安的測試，再擴大到更大的規模。</span></p> </div></div></div>
2019/7/5 21:20作者蘇文彬https://www.ithome.com.tw/news/131711
首個針對DNS over HTTPS的惡意程式出現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的DNS over HTTPS（DoH）協定，以強化用戶的隱私保護的承諾，而頗受眾人期待，不過安全研究人員<a href="https://blog.netlab.360.com/an-analysis-of-godlua-backdoor-en/" target="_blank">發現已經有駭客撰寫出使用DoH技術的惡意程式</a>。</p> <p>安全廠商Netlab今年稍早發現一隻可疑的ELF檔案，被部份防毒軟體判定為挖礦程式，不過仔細分析，卻是一款後門程式。這個程式因為其Lua bytecode檔案幻數（magic number）為「God」，因而被研究人員命名為Godlua。</p> <p>Godlua利用Confluence軟體漏洞CVE-2019-3396感染Linux伺服器。它會利用這些受害伺服器發動分散式阻斷服務（DDoS）攻擊。研究人員發現攻擊者對中國一個「<a href="http://www.liuxiaobei.top">www.liuxiaobei.top</a>」的網站，發動分散式HTTP 洪水攻擊（HTTP Flood attack）。</p> <p>目前安全公司發現二個Godlua 的樣本，不過功能類似。感染受害伺服器後，Godlua會和C&C伺服器建立連線。這隻後門程式特色包括會建立備援連線，駭客會將第二或第三台C2C伺服器域名儲存在Pastebin.com、GitHub.com上的DNS TXT檔案中。此外，它還會以HTTPS連線下載Lua bytecode檔案，並發出DoH呼叫取得檔案，確保攻擊代理程式、受害伺服器及C&C伺服器維持穩固連線以及駭客未來下達指令，後者則是相當新穎的作法，因為它已經可以使用DoH而非傳統DNS呼叫。</p> <p>DoH於已加密的HTTPS協定進行DNS解析請求，旨在避免原始DNS協定中，用戶的DNS解析請求被竊聽或者修改的問題（例如中間人攻擊），達到保護用戶隱私的目的。</p> <p>而這個首度利用DoH技術的惡意程式新聞，也<a href="https://twitter.com/GossiTheDog/status/1146138461969244160" target="_blank">讓部分安全專家感到擔憂</a>，認為未來勢必有更多惡意程式作者跟進，造成安全控管的威脅。不過<a href="https://www.zdnet.com/article/first-ever-malware-strain-spotted-abusing-new-doh-dns-over-https-protocol/" target="_blank">ZDNet認為</a>安全業界一定也會找出因應之道。</p> <p>DoH目前由標準組織IETF支持，發佈<a href="https://tools.ietf.org/html/rfc8484" target="_blank">RFC 8484 規範文件</a>。2018年9月發布的<a href="https://www.ithome.com.tw/news/123624" target="_blank">Firefox 62正式版加入這項功能</a>。<a href="https://www.ithome.com.tw/news/131529" target="_blank">Google也在6月底宣佈其公共DNS服務正式支援DoH</a>。</p> </div></div></div>
2019/7/4 13:30作者林妍溱https://www.ithome.com.tw/news/131661
LG與Qt擴大合作，要將webOS帶上汽車、機器人與智慧家庭裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qt.io/press/qt-and-lg-electronics-partner-to-offer-webos-as-the-most-comprehensive-platform-for-automotive-robotics-smart-homes?hsLang=en">韓國電子產品企業LG與開發工具開發商Qt宣布擴大合作關係，簽署備忘錄</a>，進一步發展LG開源作業系統webOS，讓WebOS能夠放在汽車、機器人以及其他智慧家庭等裝置中執行，Qt將提供LG整合webOS的開發工具，LG表示，這項合作將會讓webOS移植到新裝置上更有效率。</p> <p>LG的webOS最初由Palm開發稱為Palm webOS，Palm隨後被HP併購，因此Palm webOS也改名為HP webOS，而HP將該平臺開源稱為Open webOS，之後這個作業系統又被賣給LG。webOS是一個基於Linux的多工作業系統，被用在HP的手機以及平板，LG也將webOS用在自家的智慧電視以及智慧冰箱中。</p> <p>基於這項新的合作，Qt會為LG的開發人員，提供端到端的硬體獨立的開發環境。由於webOS會成為Qt參照作業系統，因此Qt Creator、Qt Design Studio和Qt 3D Studio等開發工具，將會無縫支援webOS，讓LG的客戶能良好地應用webOS中介功能，開發出汽車、連結、媒體以及內容等服務。</p> <p>LG總裁暨技術長I.P. Park提到，LG與Qt合作會大幅強化webOS，為其客戶提供進階的平臺，以創建沈浸式裝置以及服務，長期地在汽車、機器人以及智慧家庭裝置上合作。</p> </div></div></div>
2019/7/1 16:59作者李建興https://www.ithome.com.tw/news/131583