iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 00:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

詐騙集團以AI軟體偽裝成老板聲音指示匯錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚（Phishing）的攻擊管道已逐漸從電子郵件擴大到人工智慧（AI）語音了。<a href="https://www.wsj.com/articles/fraudsters-use-ai-to-mimic-ceos-voice-in-unusual-cybercrime-case-11567157402" target="_blank">華爾街日報於上周報導</a>，有一家英國能源公司的執行長誤以為接到德國總部執行長的電話，而被訛詐了22萬歐元（約24.3萬美元）。</p> <p>根據報導，詐騙集團是在今年3月利用AI軟體模擬該名德國總公司執行長的聲音，並打電話要求英國子公司的執行長緊急匯款給位於匈牙利的供應商，還說會立即歸還，英國執行長在聽到熟悉的長官聲音之後，不疑有他地匯出了款項。</p> <p>然而，食髓知味的詐騙集團還想再試第二次，但該名英國執行長因沒收到長官承諾償還的款項，因此拒絕再匯款。不過已然損失了22萬歐元。</p> <p>以色列的國家網路局在今年7月就曾警告此類新型態的網路攻擊，指出有駭客集團使用AI技術來偽裝成公司的高階主管聲音，並要求屬下匯款。</p> <p>過去這類的網釣事件通常是透過電子郵件，但隨著AI技術愈來愈成熟，所模仿的聲音愈來愈像，也讓以語音進行詐騙的攻擊開始登場，並衍生出<a href="https://thenextweb.com/security/2019/09/02/fraudsters-deepfake-ceos-voice-to-trick-manager-into-transferring-243000/" target="_blank">「語音網釣」</a>（Voice Phishing或Vishing）的新名詞，資安專家推測這類的詐騙案件應該會愈來愈頻繁。</p> </div></div></div>
2019/9/4 14:45作者陳曉莉https://www.ithome.com.tw/news/132836
千呼萬喚十多年！中研院終於開源釋出國產自動化中文斷詞工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責中文自然語言處理研究的中研院CKIP Lab中文詞知識庫小組，近日正式<a href="https://github.com/ckiplab/ckiptagger">開源釋出了自行研發多年的一套中文斷詞程式</a>，提供給臺灣從事中文自然語言領域的學術研究者或開發者來使用，這也意謂著，臺灣終於有了一套國產的自動化中文斷詞工具可以拿來用，而且完全開源，目前已放上GitHub平臺上，開放給大家試用。</p> <p>中文NLP研究常用到的自動化中文斷詞工具，實際上，中研院CKIP Lab中文詞知識庫小組自己也有一套國產品，但以前沒有開源，僅提供安裝執行檔，並未提供原始碼，因此，過去使用上一直不如中國開源的中文斷詞工具Jieba（結巴）好用。</p> <p>不過，這次中研院決定將自己的中文斷詞工具開源釋出，並放上程式代管平臺GitHub上，對於臺灣中文NLP開發者或研究者來說，無疑是一大福音。現在使用者已經可以透過該平臺來安裝使用該工具，並可以依據自己需求，來修改原始碼，增加自己想要的新功能或特色。</p> <p>根據該工具的文件說明，這套CkipTagger中文處理工具，不只提供繁體中文斷詞的功能，也加入詞性標注和18類專有名詞的實體辨識（Named entity recognition）等功能，還提供了多達5萬句的ASBC 4.0漢語語料庫測試集，來做為更進一步的語料測試使用。</p> <p>新版本也提供幾大特色，包括了加強斷詞表現，不自動刪／改字，也能夠支援不限長度的句子，除此之外，新版也加入使用者自訂功能，提供參考／強制詞典的自訂功能。</p> <p>不只開源中文斷詞程式，我們今年初採訪該詞庫小組計畫負責人馬偉雲時，他也提到，接下來，將用4年的時間，將中文維基百科上的百萬詞彙，自動建立其知識圖譜，來打造成為一個具有百萬中文詞庫的知識庫。他更計畫以現有9萬詞彙所建立的知識圖譜架構，發展相關的自然語言處理工具，可以自動建立其知識圖譜。</p> <p> </p> </div></div></div>
2019/9/4 14:48作者余至浩https://www.ithome.com.tw/news/132838
微軟著手調查造成Windows 10 CPU使用率飆高的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周釋出Windows 10 1903更新KB4512941後，<a href="https://www.ithome.com.tw/news/132808" target="_blank">出現</a>CPU使用率飆高的情形，昨天還說沒有接到問題通報的微軟，<a href="https://twitter.com/WindowsUpdate/status/1168948885076815873" target="_blank">今天終於</a><a href="http://twitter.com/WindowsUpdate/status/1168948885076815873" target="_blank">宣布</a>啟動調查。</p> <p>微軟表示，該公司正在調查安裝KB4512941後，與SearchUI.exe相關的CPU高使用率問題，會在之後推出解決問題的更新版。</p> <p>周末分別有用戶在論壇網站Reddit及其他討論區反映安裝了KB4512941後，工作管理員中的Windows 搜尋功能就無法使用，而且Cortana行程占用了4成至9成的CPU資源。用戶反映有不少人都發生類似情形。用戶們初步研究問題出在Cortana行程下的SearchUI.exe，關閉這個行程或是移除整個KB4512941才能排除問題。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-investigating-windows-10-cortana-high-cpu-issues/" target="_blank">BleepingComputer指出</a>，問題可能來自Cortana內的臭蟲，當用戶關閉Cortana傳送本機搜尋到Bing時引發上述情形。因此另一個緊急解法就是重新啟動BingSearch即可。</p> <p>不過<a href="https://support.microsoft.com/en-us/help/4512941/windows-10-update-kb4512941" target="_blank">微軟關於KB4512941的官網仍未更新</a>，依舊顯示沒有接獲任何問題通報。</p> </div></div></div>
2019/9/4 14:50作者林妍溱https://www.ithome.com.tw/news/132837
Google正式釋出Android 10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二正式對Pixel 手機<a href="https://blog.google/products/android/android-10/" target="_blank">釋出</a>代號Android Q的Android 10作業系統，預料也會很快釋出給其他品牌的Android手機。</p> <p>Pixel手機今天起就會陸續接獲Android 10更新通知，Google表示也正和製造夥伴合作，以便今年內推出Android 10新機，或發布給終端用戶。</p> <p>一如之前版本，Android 10的新功能已經在過去幾次的<a href="https://www.ithome.com.tw/news/130487" target="_blank">測試版</a>向大眾介紹過。主要新增功能包括暗黑主題、手勢導覽及即時字幕。用戶可將整支手機或特定app如Google相片、行事曆等換成暗黑主題，可降低眼睛傷害、節省耗電。手勢導覽功能提供滑動方式回前頁、拉回主頁或在不同應用間切換，這項功能為選項功能，用戶仍然可設定使用實體或觸控按鍵操控。即時字幕可自動為任何app播放的影片、podcast、語音訊息或用戶自製影片加入字幕。</p> <p>Android 10最大改進是安全和隱私，包括<a href="https://www.ithome.com.tw/news/129421" target="_blank">可設定</a>僅允許使用中的app分享地點資料，如果某個沒在用的app正在存取地點資訊，Android將發出提醒。在「設定」下新加入隱私選項，提供「上網與應用程式活動」及廣告設定。此外，未來有新的安全及隱私相關修補程式，也可從Google Play下載到手機，不必再等完整的OS更新。</p> <p>其他功能還包括，為工作或個人生活情境設定不同鍵盤、可為不同網站設定計時器。不受打擾的「靜默」（Silent）設定，讓任何通知不會發出聲音或出現在鎖定螢幕上。新的「專心模式」（Focus mode），可暫停擾人的app如電子郵件或新聞。也延續Android 9的家長控制功能Family Link，允許設定手機或特定app使用時間、或檢閱兒童手機安裝及使用app的情形。</p> <p>Pixel手機用戶可循「設定」、「系統」、「進階」找到「系統更新」，檢查能否下載Android 10。</p> </div></div></div>
2019/9/4 12:35作者林妍溱https://www.ithome.com.tw/news/132834
虛擬主機供應商捕夢網驚傳磁碟陣列故障，造成用戶網站服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端虛擬主機及主機代管的服務商捕夢網數位科技，在9月3日，傳出部分磁碟陣列設備異常，導致部分用戶服務中斷的情況。至截稿前9月4日中午，尚未復原。</p> <p>在3日下午，捕夢網在官方網站上發布公告，表示伺服器磁碟陣列出現異常，工程師正儘速查明原因與排除障礙的聲明。造成他們的用戶網站服務受到影響，導致這些網站服務的使用者無法正常到訪與貼文。</p> <p>到了4日上午，故障情形仍未排除。在捕夢網的網站公告上，也指出目前客服電話滿線的狀況，建議用戶利用電子郵寄或線上客服。</p> <p>對於這次嚴重的服務故障情形，我們在4日上午聯繫到捕夢網數位科技技術長趙永弘，他進一步說明了目前的前況。</p> <p>對於這次事件的影響範圍，他表示，不是全部客戶都受影響，這次毀損的磁碟陣列，主要影響較多的是他們自己管理的主機。在處理狀況上，原本他們預計是在今天早上就能恢復正常，但目前還在搶修，復原時間未定。</p> <p>對於客戶資料是否都有備份與保存，他提到使用Ceph分散式儲存系統架構，使用了上百顆硬碟做磁碟陣列，目前客戶資料都有保存，而他們現在是希望能以資料不遺失的方式做到復原。</p> <p>不過，他也表示目前有安排一些臨時處置方式，像是他們的雲端主機客戶都有提供7天備份，他們可以透過前一天的備份來還原，作為不同的解決辦法。</p> <p>過去，臺灣最大的電子布告欄批踢踢實業坊PTT，在2017年10月也曾發生磁碟陣列故障，造成服務中斷超過三日未復原的情形。不過，這次補夢網採用的架構不同，而受影響的網站服務也更為廣泛。</p> </div></div></div>
2019/9/4 12:07作者羅正漢https://www.ithome.com.tw/news/132827
Go團隊推出模組鏡像網站，不只加速下載還能備份模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.golang.org/module-mirror-launch">Go開發團隊正式發布Go模組鏡像網站、索引以及校驗和資料庫功能</a>，而官方也預告，在即將推出的Go 1.13中，將會預設啟用模組鏡像網站以及校驗和資料庫。</p> <p>模組鏡像網站是一個特殊的模組代理，會將元資料和原始碼快取在自己的儲存系統中，即便未來模組原始碼已經在原始位置消失，模組鏡像網站仍可以繼續提供這些消失的模組，因此其除了可以加速使用者模組下載的速度外，模組鏡像網站還能保護開發者的專案，持續擁有相依項目支援。Go開發團隊表示，模組鏡像網站在proxy.golang.org上提供，Go 1.13的上的指令將預設使用鏡像網站，而對於使用較舊版本的開發者，也能透過配置代理，使用模組鏡像網站。</p> <p>而模組擁有一個稱為go.sum的檔案，Go指令可以使用其中包含的雜湊，偵測原始伺服器或是代理的錯誤行為，像是為同一個版本模組提供不同的程式碼。開發團隊提到，go.sum檔案機制的侷限，在於其運作完全仰賴開發者第一次使用，當開發者將新的相依項目添加進模組的時候，Go指令會擷取程式碼，並動態地在go.sum檔案中新增。</p> <p>但問題在於，在go.sum中新增的內容沒有被檢查過，因此Go指令新增的內容可能與為其他人產生的內容不同，而這可能是因為代理故意針對開發者產生的惡意程式碼。Go團隊為了解決這個問題，現在推出了校驗和資料庫功能，以確保Go指令總是為所有人的go.sum檔案，產生相同的內容。當Go指令收到新的原始碼的時候，可以根據全域資料庫驗證原始碼的雜湊，驗證確保所有人在特定版本模組都擁有相同的原始碼。</p> <p>模組索引功能由index.golang.org提供，並且為模組鏡像網站上的新模組版本公開饋給（Feed），能方便地讓工具開發者，在proxy.golang.org中快取可用的內容，或是隨時取得模組更新的資訊。</p> </div></div></div>
2019/9/4 10:10作者李建興https://www.ithome.com.tw/news/132824
Kubernetes發布分散式鍵值資料庫Etcd 3.4，強化後端儲存與客戶端平衡器功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kubernetes.io/blog/2019/08/30/announcing-etcd-3-4/">Kubernetes團隊發布了分散式鍵值資料庫Etcd 3.4</a>，這個版本強化了儲存後端的效能，並改進Raft投票程序，還加入了全新的客戶端平衡器（Client Balancer）。Etcd是一個分散式具高可靠性的鍵值儲存，可用來儲存分散式系統的重要資料，在去年底，CoreOS團隊將Etcd專案捐贈給CNCF。</p> <p>新版Etcd對大規模Kubernetes工作負載進行了最佳化，大幅提升了執行效能，其最重要的更新，便是提供更好的存儲後端。在之前的版本，即便沒有任何寫入任務，Etcd也會在大量讀取交易的時候出現效能問題，花費過長的時間執行唯讀工作，而原因在於，儲存後端在提交等待寫入操作時，會阻擋進來的讀取交易，而且即便沒有待處理的寫入資料，也會發生同樣的問題。現在，提交不會阻擋讀取工作，而這能改善長時間的讀取交易效能。</p> <p>另外，開發團隊也讓後端讀取交易更加並行，這將使得資料吞吐量大增70％，長時間進行讀取操作的情況下，P99寫入延遲減少了90％。官方也對租約儲存（Lease Storage）進行了許多改進，以提高整體操作效能，新版本還新增實驗性的租約檢查點功能，能透過共識機制，保存租約物件的剩餘生存時間值。</p> <p>Etcd使用Raft共識演算法進行資料複製，過去在當一個新的成員加入或是離開叢集時，可能會影響整體叢集的可用性，而這個情況在網路分區（Network Partition）時更加嚴重。開發團隊在Etcd 3.4改進了Raft投票流程，並加入預投票功能，以解決在網路分區的情況下，可能出現的中斷問題。</p> <p>Etcd 3.4的重大更新還包括添加新的客戶端平衡器。Etcd被設計成可以容忍各種系統和網路故障，即便其中一個節點發生故障，多伺服器架構下的邏輯叢集看起來仍然運作正常，但是這種情況卻無法保證客戶端也能夠正確運作，而過去Etcd客戶端採用了複雜的協定，以確保在任何錯誤情況發生時，仍然可以維持正確性與可用性。</p> <p>但由於Etcd客戶端平衡器過度依賴舊的gRPC介面，因此當gRPC相依項目升級時，便會破壞客戶端的行為，因此開發團隊花了許多的心力修復這些問題，但疊床架屋的結果，使得客戶端對伺服器的連接機制過於複雜。Etcd 3.4客戶端簡化了平衡器故障轉移邏輯，不再維護不健康的端點列表，因為當端點連結中斷時，列表就可能過時，現在客戶端與當前端點連結中斷，便會由下一個端點輪替，客戶端也就不用追蹤端點狀態。另外，新客戶端會創建自己的憑證綑綁包，以修正安全端點的故障轉移問題，開發團隊提到，之前當第一個Etcd伺服器故障的時候，kube-apiserver就無法與Etcd叢集連結，而Etcd 3.4更新修正了這個存在一年的臭蟲。</p> </div></div></div>
2019/9/4 10:05作者李建興https://www.ithome.com.tw/news/132821
企業修補進度慢！近期臺灣資安業者揭露的SSL VPN漏洞，傳出已遭駭客鎖定，全球近1萬5個Pulse Secure V…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月中旬，臺灣資安業者戴夫寇爾（DEVCORE）研究人員揭露的SSL VPN漏洞，在8月初舉行的黑帽大會上，該公司Orange Tsai與Meh Chang也展示了他們的這項研究。值得注意的是，8月底在網路上傳出瞄準該漏洞的攻擊活動，資安業者因此提醒這些SSL VPN用戶，儘速修補更新。</p> <p>在這個漏洞研究當中，戴夫寇爾在Palo Alto Networks、Fortinet與Pulse Secure等業者提供的SSL VPN服務中，找出了可以被攻破的漏洞，同時通報了這些業者。其中，Palo Alto Networks是在通報隔天，就悄悄修補，但並未提醒企業即時修補與更新。而Fortinet與Pulse Secure這兩家公司，則在4月及5月分別提供修補程式，並發布資安公告。</p> <p>由於，還有不少企業是因為廠商沒有通知修補而持續曝險，或是企業本身仍然沒有意識到，即時修補此漏洞的重要性。</p> <p>因此，他們之前也藉由企業發布的漏洞獎勵計畫，獲得Uber與Twitter這兩家企業的獎勵。像是透過Palo Alto GlobalProtect的SSL VPN漏洞，成功攻入Ubre在AWS平臺上的一臺伺服器，以及透過Pulse Secure的SSL VPN漏洞攻入Twitter，甚至還是Twitter漏洞獎勵計畫有史以來，首個遠端執行漏洞（RCE）提報。</p> <h2><strong>不過，企業真的意識到修補此漏洞的重要性嗎？</strong></h2> <p>最近，資安業者<a href="https://badpackets.net/over-14500-pulse-secure-vpn-endpoints-vulnerable-to-cve-2019-11510/">Bad Packets在8月底警告</a>，他們在網路上部署的蜜罐誘捕系統（Honeypots），偵測到大規模的掃描活動，來源是西班牙的一臺主機，目標則是受CVE-2019-11510漏洞影響的Pulse Secure的企業SSL VPN服務端點。</p> <p>該公司發現這樣的掃描行動後，也著手進行調查。Bad Packets表示，他們透過BinaryEdge提供的資料，掃描了41,850個Pulse Secure VPN端點，發現其中有14,528個將受到CVE-2019-11510的影響，成為易受攻擊的目標。他們並解釋，掃描過程只是發送了HEAD HTTP請求，主要用以確認可能存在任意文件讀取漏洞。</p> <p>在Bad Packet的統計中，這些被發現會受漏洞影響的Pulse Secure VPN端點，遍及全球121個國家，其中以美國的5,010臺最多，日本也有1,511臺居次，英國830臺排第三，而臺灣也有217臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）已知SSL VPN漏洞遭駭客鎖定_圖片來源Bad Packet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%B7%B2%E7%9F%A5SSL%20VPN%E6%BC%8F%E6%B4%9E%E9%81%AD%E9%A7%AD%E5%AE%A2%E9%8E%96%E5%AE%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Bad%20Packet.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）已知SSL VPN漏洞遭駭客鎖定_圖片來源Bad Packet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89%E5%B7%B2%E7%9F%A5SSL%20VPN%E6%BC%8F%E6%B4%9E%E9%81%AD%E9%A7%AD%E5%AE%A2%E9%8E%96%E5%AE%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Bad%20Packet.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於易受CVE-2019-11510影響的14,528個Pulse Secure VPN端點，Bad Packets不只發出警告，同時也製作了方便檢視的影響國家區域圖表，其中以美國的5,010個最多，而臺灣也發現有217個。（圖片來源：Bad Packets）</p> </blockquote> <p>近日，臺灣戴夫寇爾也發出提醒，指出近期出現攻擊者利用他們的SSL VPN研究成果，對全世界VPN設備進行大規模掃描。</p> <p>更要注意的是，由於現在已有其他國家研究者公布Exploit（攻擊程式），而從國外的資訊也得知已經發動攻擊，因此，戴夫寇爾也再次提醒企業用戶，如使用Pulse Secure、FortiGate、Palo Alto GlobalProtect，應儘速更新到已修補的最新版，以免遭受攻擊。</p> <p>無論如何，企業必須要知道，SSL VPN不僅是企業最主流的遠端存取連線方式，也保護了企業資產免受於外部的攻擊，但是，如果企業所信任並保護安全的設備變得不安全，也等於變成駭客進入企業內網最短的路徑，修補必須及早。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/（圖6）已知SSL VPN漏洞遭駭客鎖定_圖片來源Bad Packet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%B7%B2%E7%9F%A5SSL%20VPN%E6%BC%8F%E6%B4%9E%E9%81%AD%E9%A7%AD%E5%AE%A2%E9%8E%96%E5%AE%9A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Bad%20Packet.jpg" style="width: 600px;" /></a></p> <blockquote><p>揭露這次SSL VPN漏洞的臺灣資安業者戴夫寇爾（DEVCORE），近日也發出警示，提醒Pulse Secure、FortiGate、Palo Alto GlobalProtect的用戶應儘速更新，因為國際上已有發動攻擊的情況。事實上，他們在9月3日也才公開Pulse Secure 上的 VPN 研究細節，先前僅是透過揭露部分資訊，讓用戶及早更新。現在，隨著新的細節公開，SSL VPN企業用戶更是要趕緊更新修補。</p> </blockquote> </div></div></div>
2019/9/3 17:59作者羅正漢https://www.ithome.com.tw/news/132764
中國變臉程式Zao剛上線就爆發隱私爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由中國業者陌陌（MoMo）所打造的變臉程式Zao甫於上周五（8月30日）登上中國App Store，本周一（9月2日）就成為<a href="https://www.appannie.com/cn/apps/ios/top/china/overall/iphone/" target="_blank">App Store免費程式下載排行榜的冠軍</a>，卻因<a href="https://www.theguardian.com/technology/2019/sep/02/chinese-face-swap-app-zao-triggers-privacy-fears-viral" target="_blank">爆出隱私爭議</a>而遭到微信（WeChat）封鎖。</p> <p>Zao是一個變臉程式，目前僅於中國市場發行，允許使用者把經典電影的角色換成自己的臉，也能把朋友拉進來飆戲，因而很快就風靡中國市場。</p> <p>然而，旋即有人發現Zao的隱私政策寫著：Zao及其關係企業將可收集、使用、儲存及管理用戶訊息與個人訊息，若無法接受可立即停用Zao，繼續使用則被視同接受。還規定當用戶上傳及發布內容時，即同意Zao、關係企業及Zao用戶在全球可以免費、不可撤銷、永久、可轉授權等形式，對用戶內容進行全部或部分的修改與編輯。</p> <p>該政策等於是容許陌陌可在全球免費使用自Zao所建立的任何影像與內容，還能夠自由將影像或內容授權給第三方，且完全不需再取得用戶的同意。隱私組織擔心，這些個人照片的授權，可能被用來複製人們臉上的特徵，以執行基於人臉辨識的支付服務。</p> <p>在強烈的批評下，陌陌緊急在8月31日變更其政策，刪除永久及免費使用的條款，還承諾當使用者刪除上傳至該程式的照片時，也會於伺服器上將它們移除。</p> <p>由於爭議不斷，中國最受歡迎的即時傳訊軟體微信，也禁止用戶分享來自Zao的內容。</p> </div></div></div>
2019/9/3 18:05作者陳曉莉https://www.ithome.com.tw/news/132823
研究：成功的新創CEO通常是中年創業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約時報本周引用美國經濟期刊《American Economic Review: Insights》所刊登的一篇<a href="https://www.aeaweb.org/articles?id=10.1257/aeri.20180582" target="_blank">研究報告</a>，指出成功的新創公司創辦人通常是中年創業，顛覆了外界的想像。</p> <p>這是因為有不少知名科技公司的創辦人，都是在年紀很輕的時候就決定開創事業，例如Bill Gates與Paul Allen在1975年創辦微軟時，Gates與Allen分別只有19歲及21歲；Steve Jobs與Steve Wozniak在1976年創辦蘋果時，Jobs也只有21歲；而Mark Zuckerberg在2004年創辦臉書時，Zuckerberg也只有19歲。</p> <p><a href="https://www.nytimes.com/2019/08/29/business/tech-start-up-founders-nest.html" target="_blank">紐約時報則說</a>，上述企業的起源形塑了神話，讓外界以為美國整體的創新是由神童推動的，但其實他們只是特例，並非規則。</p> <p>多名經濟學家以美國政府立案的270萬名企業創辦人進行研究，發現這些創辦人在創業時的平均年齡為42歲，而在當中最快速成長的0.1%企業中，創業時的平均年齡則是45歲；若以被大公司併購或上市作為成功的定義，那麼他們創業時絕大多數也已屆中年（牛津字典的中年指的是45~65歲）。</p> <p>年輕創業家的確具備某些優勢，像是不怕冒險或是解決新問題的能力，而中年創業家之所以能夠成功，則有不少是仰賴隨著年齡而漸增的智慧。</p> </div></div></div>
2019/9/3 16:35作者陳曉莉https://www.ithome.com.tw/news/132819
臉書考慮隱藏按讚計數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了消除用戶的社交焦慮，繼Instagram（IG）測試隱藏貼文按讚數後，臉書也<a href="https://wongmjane.com/blog/fb-hiding-likes" target="_blank">被發現</a>正在測試隱藏按讚次數。</p> <p>香港科技部落客Manchun Wong透過逆向工程<a href="https://twitter.com/wongmjane/status/1168531712130736128" target="_blank">發現</a>，臉書近日開始在Android版app測試，將貼文按讚或其他回應計數的顯示隱藏起來。隱藏後只有原貼文用戶可以看到被讚或給其他表情次數，不過其他用戶仍然可以在按讚處點選觀看誰做了回應，只是就沒有總數顯示了。</p> <p>這位科技部落客於5月間，也率先揭露Instagram在加拿大測試隱藏顯示按讚數，隨後這項測試還擴大到日本、愛爾蘭、義大利、巴西、澳洲及紐西蘭等地。</p> <p>臉書也向Techcrunch<a href="https://techcrunch.com/2019/09/02/facebook-hidden-likes/" target="_blank">證實</a>了正在考慮移除顯示按讚數。但臉書不願回應背後原因、IG測試結果或任何測試時程。</p> <p>臉書的按讚功能推出以來大受歡迎，因而後來還陸續加入愛心、笑臉、氣憤、哭臉等表情。然而按「讚」功能也被人批評已引發用戶社交焦慮，擔心自己的貼文沒有人按讚，也有人因為擔心按讚數太少而不願貼文，或是將文章刪除。</p> </div></div></div>
2019/9/3 17:00作者林妍溱https://www.ithome.com.tw/news/132820
AWS System Manager對話管理器現支援連接埠轉發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-port-forwarding-using-aws-system-manager-sessions-manager/">AWS宣布在其System Manager的對話管理器（Session Manager）中支援連接埠轉發功能（Port Forwarding）</a>，用戶不再需要自行於伺服器上啟動SSH服務，也不用開啟安全群組的SSH連接埠或是使用堡壘主機，就能在私密子網域間創建安全通道。</p> <p>當企業將應用程式搬遷到AWS雲端，通常需要連接EC2執行各種管理以及操作工作，而為了減少攻擊面，AWS建議企業使用堡壘主機，使其成為網際網路的主要存取點。因此當企業要連接EC2實例時，就必須要先使用SSH/RDP連接到堡壘主機，再從堡壘主機連接到目標EC2實例。</p> <p>而AWS的System Manager的對話管理器便是用來代替堡壘主機，減少用戶管理堡壘主機的負擔以及額外成本，也不需要在EC2上執行SSH，就可以讓用戶安全地連接EC2實例。用戶可以將System Manager代理安裝到實例上，並使用IAM授權呼叫Systems Manager API，使用AWS管理控制臺或是AWS命令列介面工具，安全地存取Linux或Windows的EC2實例。</p> <p>之所以現在System Manager的對話管理器，還要提供連接埠轉發功能，便是要來支援另一種SSH技術使用案例，稱為SSH通道（SSH Tunneling）的應用，SSH通道可讓使用者的電腦，和沒有暴露於公開網際網路的遠端服務，創建安全通道，可用在像是當用戶使用AWS的EC2實例執行網頁伺服器，以作為私人檔案傳輸之用的案例。</p> <p>由於伺服器上檔案都是私人的，當用戶不希望其他人也能夠存取這個網頁伺服器，便能將網頁伺服器配置綁訂在127.0.0.1，且只要不把連接埠增加到實例的安全群組，就只有本地端的程序才能存取網頁伺服器。</p> <p>當用戶想要從遠端連接網頁伺服器，則需要建立SSH通道，在自己的電腦上打開連接埠9999，並將實例上所有內容轉發到EC2實例localhost:80，當通道建立了，使用者可以在瀏覽器上輸入localhost:9999，連接私人網頁伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tunnel-1.png" style="width: 600px;" /></p> <p>System Manager的對話管理器支援連接埠轉發功能後，用戶就不需要自己在伺服器上建立SSH服務。連接埠轉發與SSH通道功能類似，可以讓使用者在自己的電腦轉發流量到實例上開啟的連接埠，以連接實例中執行的伺服器應用程式。System Manager對話管理器的API存取以及連接埠轉發，皆使用IAM政策，因此用戶可以控制組織中有權限創建通道的成員。</p> <p>連接埠轉發同時支援Windows和Linux實例，已經可在所有支援AWS Systems Manager的區域使用。連接EC2實例不需要額外費用，但是用戶需要支付從NAT閘道或是VPC私密連結（VPC Private Link）往外流出的頻寬費用。</p> </div></div></div>
2019/9/3 17:10作者李建興https://www.ithome.com.tw/news/132812
開學了，小心數位論文與教科書暗藏惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在正逢開學與張羅教科書的季節，卡巴斯基實驗室（Kaspersky Labs）便提出了<a href="https://www.kaspersky.com/blog/back-to-school-malware-2019/28316/" target="_blank">警告</a>：不要以為惡意程式只藏匿在免費下載的電視節目或遊戲等娛樂檔案中，駭客連學生使用的教科書及論文都沒放過。</p> <p>該實驗室統計了過去一學年以來，他們所捕獲的受感染檔案中，採用與學校或學生相關檔名的數量，發現駭客在教育領域總計執行了35.6萬次的攻擊，當中有23.3萬篇的論文夾帶惡意程式，並有12.2萬本的教科書含有惡意程式。</p> <p>暗藏惡意程式的教科書前三名為英文、數學與文學，而就算是冷門的學科也難逃魔掌，例如自然科學或是其它語言的教科書也都被追查出內含惡意程式。</p> <p>最常被應用在上述學習材料的惡意程式有4款，依序是Worm.Win32 Stalk.蠕蟲、Win32.Agent.ifdx下載程式、WinLNK.Agent.gen下載程式與MediaGet torrent下載程式，當中最無害的是MediaGet，通常冒充為下載按鍵，但使用者按了之後只會下載torrent客戶端。</p> <p>至於最熱門的Stalk則是個老舊卻危險的蠕蟲，它會滲透到所有與被感染電腦連結的裝置，例如它會感染本地網路的其它裝置，或是藉由USB隨身碟感染其它裝置，假設使用者以含有惡意文件的隨身碟到學校使用，Stalk即可藉機入侵學校網路，且Stalk還能下載其它的惡意程式。</p> <p>研究人員指出，Stalk在教育領域依然興盛的原因，可能是教育機構通常使用老舊的作業系統或軟體，特別是印表機系統，替Stalk創造了完美的環境。</p> <p>排名第二的Win32.Agent.ifdx通常藏匿在偽裝成DOC、DOCX或PDF格式的學習文件，點擊它依舊會開啟文字檔案，但同時也啟動了惡意程式，隨後可用來下載諸如挖礦程式等其它惡意程式。</p> <p>卡巴斯基建議，學生應多加利用實體或線上圖書館來取得學習資源；細心觀察所要下載文件的網站，若充斥著下載按鍵即有可能是惡意的；不要使用老舊的作業系統或軟體；小心電子郵件的附加檔案；以及注意所下載的文件格式。</p> </div></div></div>
2019/9/3 16:10作者陳曉莉https://www.ithome.com.tw/news/132818
臉書app簽章金鑰被誤上傳網站，可能陷用戶於安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書旗下一個app的簽章金鑰本周被誤傳上網站，可能使駭客用來散布冒牌或惡意程式。</p> <p>Android Police網站所有人Artem Russakovskii<a href="https://twitter.com/ArtemR/status/1159867541537169409" target="_blank">指出</a>，過去幾個星期有多個Android版APK被上傳到其姐妹網站APK Mirror上。這些第三方業者開發的app使用的除錯簽章金鑰，竟然和臉書Free Basics Android版 app使用的簽章一樣。因此若非臉書將除錯用的簽章金鑰開放第三方廠商使用，就是不慎從臉書內部外洩了。Russakovskii指出，兩者都很蠢，即使是前者，將測試用的簽章用在正式版app，也非良好的開發作法。</p> <p>Free Basics是臉書提供給新興國家及美國偏遠地區民眾免費上網的<a href="https://www.ithome.com.tw/news/108928" target="_blank">服務</a>，在當地電信業者配合下，提供用戶基本網路內容及Facebook Lite、Messenger Lite。</p> <p>app加密簽章的設計是利用憑證簽章證實app的真實性及完整性，可防止惡意程式假冒，或是app程式碼遭到他人竄改。一旦加密簽章金鑰外流，即可能讓惡意程式冒充合法app或是對它動過手腳，進而對不知情下載的用戶造成安全威脅。</p> <p>Russakovskii通報後，臉書就將原版的Free Basics從Play Store撤下，並換上使用新簽章的新版app。但臉書對此隱而不談，也未通知用戶下載新版。Android Police<a href="https://www.androidpolice.com/2019/08/29/cryptographic-key-used-to-sign-one-of-facebooks-android-apps-compromised/" target="_blank">批評</a>，這將可能陷舊版Free Basics用戶於安全風險中。APK Mirror也會拒絕任何再使用舊金鑰的上傳程式。</p> <p>Android Police報導，舊版Free Basics by Facebook app拿掉前，在Play Store的下載次數超過500萬。</p> </div></div></div>
2019/9/3 12:40作者林妍溱https://www.ithome.com.tw/news/132809
傳中國為監控新疆打造的iPhone攻擊鏈，也會對Windows、Android用戶下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Google研究人員<a href="https://www.ithome.com.tw/news/132786" target="_blank">揭露</a>「少部份」網站遭駭客用來感染iPhone用戶，但富比世（Forbes）雜誌報導，其實連Windows和Android裝置也未能倖免。</p> <p>Google Project Zero小組研究人員在報告中揭露，在長達兩年的期間內，iOS裝置遭到水坑式攻擊（watering hole），即在一部份網站遭植入惡意程式，等不幸的iPhone、iPad用戶登入網站後，再入侵iOS漏洞，進而植入間諜程式，蒐集包括相片、IMessage通訊內容及座標位置。共有14項iOS漏洞被組織成5個攻擊鏈，以便駭客發動權限升級攻擊以竊取資料。研究人員估計，這些網站每周訪客約上千人。</p> <p>Techcrunch則進一步報導，看似不分對象的攻擊，實則有國家在背後支持，是中國政府監控新疆地區維吾爾穆斯林的手段。</p> <p>就在蘋果不置可否之際，富比世雜誌引述匿名消息人士<a href="https://www.forbes.com/sites/thomasbrewster/2019/09/01/iphone-hackers-caught-by-google-also-targeted-android-and-microsoft-windows-say-sources/#2cd48a964adf" target="_blank">報導</a>，表示同一批網站其實也會感染Android手機、平板和Windows裝置，而且駭客集團還會隨著時間演進不斷更新攻擊工具，以便涵括不同版本的Android和Windows。</p> <p>由於Google並未回應上述說法，因此它究竟是不知道，還是刻意未揭露Android也在鎖定之列，目前不得而知。不過富比世雜誌口中的消息人士表示，Google只查到對iOS裝置的攻擊。</p> <p>微軟則回應，Google並未提供微軟消息，但Google Project Zero早先僅指明攻擊是利用iPhone特定漏洞發動，微軟表示已經著手研究，一旦有發現任何問題，也會採取必要手段確保用戶安全。</p> <p>如果連Android和Windows也成為這波攻擊的染指對象，則受害範圍無法估計。根據市調公司GlobalStats的<a href="https://gs.statcounter.com/os-market-share/mobile/worldwide" target="_blank">數據</a>，截至8月為止，Android市占超過76%，iOS僅22%。若<a href="https://gs.statcounter.com/os-market-share" target="_blank">單就裝置作業系統來看</a>，Android（40.39%）、Windows（34.01%）和iOS（14.13%）合計超過89%。</p> </div></div></div>
2019/9/3 11:25作者林妍溱https://www.ithome.com.tw/news/132807
微軟Windows 10 1903更新導致CPU使用率飆高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周五（8月30日）<a href="https://support.microsoft.com/zh-tw/help/4512941/windows-10-update-kb4512941" target="_blank">釋出</a>Windows 10 1903更新KB4512941，但有用戶反映安裝後出現CPU使用率飆高，主要是被Cortana吃掉了。</p> <p>KB4512941修復了Windows Sandbox沙箱啟動問題、遠端桌面出現當機黑螢幕、Edge/IE以及VB、VBA、VBScript無回應等問題。本周末有用戶在論壇網站<a href="https://old.reddit.com/r/Windows10/comments/cxl8lp/win10_kb4512941_problems/" target="_blank">Reddit</a>及<a href="https://www.tenforums.com/performance-maintenance/139588-how-can-i-fix-cortana-high-cpu-usage-after-win-10-kb4512941-update.html#post1707661" target="_blank">其他討論區</a>反映安裝了KB4512941後，其工作管理員中的Windows 搜尋功能就無法使用，而Cortana行程則占用了90%的CPU資源。另一名用戶的狀況沒那麼嚴重，但顯示Cortana仍吃了40%的CPU資源。用戶<a href="https://www.tenforums.com/performance-maintenance/139588-how-can-i-fix-cortana-high-cpu-usage-after-win-10-kb4512941-update.html#post1707661" target="_blank">抱怨</a>已有多人發生同樣的問題，想知道微軟是否會釋出新版本。</p> <p>有用戶發現，問題出在Cortana行程下的SearchUI.exe，因此關閉這個行程即可。最簡單的方式是移除整個KB4512941，只是若開啟自動更新，上述問題又會重新出現。</p> <p>Windows Latest<a href="https://www.windowslatest.com/2019/08/31/windows-10-kb4512941-high-cpu-usage/" target="_blank">報導</a>，早在這個版本釋出前一個星期，已有多名Insider方案的試用人員通報本問題，但是並未獲得處理而逕自發佈。或許人數沒有多到引起注意，直到今天（9月3日）上午，微軟官網仍<a href="https://support.microsoft.com/zh-tw/help/4512941/windows-10-update-kb4512941" target="_blank">顯示</a>目前沒有接到問題通報。</p> </div></div></div>
2019/9/3 11:50作者林妍溱https://www.ithome.com.tw/news/132808
DeepMind發表遊戲增強學習框架OpenSpiel
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arxiv.org/abs/1908.09453">DeepMind研究團隊發表了一個稱為OpenSpiel的遊戲面向增強學習框架</a>，其提供了增強學習需要的環境以及演算法，可用於研究一般增強學習、搜尋以及規畫的研究，並提供了分析增強學習動態的工具，以及常用的評估指標。</p> <p>研究人員提到，OpenSpiel的目標是要促進在多種遊戲類型，發展多代理增強學習，跟一般的遊戲訓練環境相似，但是更強調學習的部分而非競爭的形式。研究人員希望OpenSpiel可以在通用增強學習上，達到Atari學習環境在單一代理人增強學習的地位，對通用增強學習的發展產生重大的影響。</p> <p>OpenSpiel提供了一個可讓研究人員在各種基準遊戲中，評估遊戲以及演算法的框架，OpenSpiel內建了各式包括世界網格遊戲、拍賣遊戲，以及矩陣遊戲等20多種不同類型的遊戲，這些遊戲涵蓋單一或多個代理人的零和、合作、一般和對局（General-Sum）遊戲，還有一次性以及連續性遊戲研究。這些遊戲以C++撰寫，並以Python打包。</p> <p>OpenSpiel的演算法則是以C++或是Python實作，官方提到，這2種語言的API幾乎相同，因此當開發者需要，能夠簡單地在這兩種語言間切換使用，而絕大部分學習演算法都是以Python使用Tensorflow撰寫，官方目前正發展PyTorch和JAX的支援。另外，OpenSpiel函式庫的一個子集被移植到了Swift上，因此開發者也能在MacOS裝置上進行研究。</p> <p>DeepMind只在Linux上測試OpenSpiel，但研究人員提到，雖然他們沒有在MacOS和Windows上進行測試，但是在編譯以及執行上，預計不會有太大的問題發生。OpenSpiel主要設計理念為簡單以及最小化，使用了參照實作而非完全最佳化以及高效能的程式碼，而且盡可能維持最小相依性，降低相容性問題發生的可能性。</p> <p>最近也有不少組織推出了增強學習的研究工具，像是Google大腦就開源了足球增強學習環境專案Google Research Football，臉書也釋出增強學習平臺Horizon，英特爾也在RL Coach中推出一系列增強學習的工具。</p> </div></div></div>
2019/9/3 10:35作者李建興https://www.ithome.com.tw/news/132803
Juniper Networks就賄賂案以1,170萬美元與美國證交會達成和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）近日<a href="https://www.sec.gov/litigation/admin/2019/34-86812.pdf" target="_blank">宣布</a>，已與Juniper Networks就海外賄賂一案達成和解，Juniper Networks同意支付逾1,170萬美元的和解金額。</p> <p>SEC是在2013年認為Juniper Networks違反《反海外賄賂法》（Foreign Corrupt Practices Act，FCPA）而針對該公司展開調查，指出其俄羅斯分公司JNN Development Corp員工私下與代理商達成協議，在2008年到2013年間提供更優惠的折扣價，但這些折扣並未達到客戶端，而是用來補助代理商的行銷費用，包括支付客戶或官員的旅遊費用，且不少旅遊行程根本與業務無關。</p> <p>此外，Juniper Networks中國子公司的業務則是在2009年至2013年間，為了替客戶支付娛樂費用，偽造了差旅及會議議程，此舉已違反Juniper Networks的政策，但相關部門卻未經審查就核准。</p> <p>SEC認為Juniper Networks並未確實紀錄相關支出，且缺乏內部會計控制。儘管Juniper Networks既未承認也未否認SEC的指控，但同意與SEC和解，當中包括400萬美元的賠償金、650萬美元的罰款，以及124萬美元的利息，總額超過1,170萬美元。</p> </div></div></div>
2019/9/3 10:50作者陳曉莉https://www.ithome.com.tw/news/132806
美國對中國新關稅上路，Apple Watch先受影響，手機與筆電12月跟上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國在9月1日開始，向自中國進口的約1,250億美元的商品徵收15%的關稅，牽涉到部份科技產品，如Apple Watch等智慧手錶或機上盒。</p> <p>美國司法部已列出了<a href="https://ustr.gov/sites/default/files/enforcement/301Investigations/List_4A_%28Effective_September_1%2C_2019%29.pdf" target="_blank">9月1日開徵15%關稅的商品名單</a>，囊括了鞋子、服飾及部份科技產品，但各家媒體估算的商品總價值不一，大約介於1,100億美元到1,250億美元之間。</p> <p><a href="https://ustr.gov/sites/default/files/enforcement/301Investigations/List_4B_%28Effective_December_15%2C_2019%29.pdf" target="_blank">另一波將課徵</a>15%關稅的商品則約價值1,600億美元，預計於今年12月15日開跑，就會涵蓋手機、筆電、耳麥或聲控喇叭等更多的科技產品。</p> <p>其實川普原本只計畫向上述產品徵收10%的額外關稅，但隨後將它提升到15%。</p> <p>隨著從中國輸美產品的關稅往上攀升，紐約時報引述經濟學家Kirill Borusyak的研究指出，這將讓美國富人家庭一年的支出增加970美元，就算是貧窮家庭的購物支出也會增加340美元。</p> <p>從美國向中國開打關稅戰迄今，美國已向中國進口的2,500億美元商品課徵25%的關稅，若再加上9月1日與12月15日二波開徵的新關稅，代表所有從中國進口到美國的商品，至少都得面臨15%的新關稅。</p> <p>然而，關稅門檻不斷被墊高，例如中國為了報復美國，也宣布要針對美國進口的750億美元商品加徵5%與10%的關稅，川普亦予以還擊，表示要在10月1日針對已課徵25%關稅的商品，提高稅率到30%。</p> </div></div></div>
2019/9/3 10:10作者陳曉莉https://www.ithome.com.tw/news/132805
衛福部晚間公布臺灣醫療院所受勒索軟體攻擊現況，已有22家遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周六（8月31日），國內傳出10多家醫療院所遭受勒索軟體的事件，遇害時間是從8月29日凌晨開始，今日（9月2日）傍晚<a href="https://dep.mohw.gov.tw/pro/cp-2732-49147-120.html">衛生福利部資訊室發出公告</a>，說明初步清查結果，至9月1日止，受到本次勒索病毒影響的共有22家醫院。</p> <p>目前這些醫院，在復原工作電腦主機後，已經陸續解除勒索軟體的威脅，因此不影響國內醫療業務的運作，同時表示沒有個資外洩的狀況。</p> <p>對於此次國內醫療系統遭受勒索軟體入侵的原因，根據衛生福利部資訊室的說明，初步查證結果顯示，某些醫院主機被駭客當成跳板，進而經由VPN網路進行攻擊。因此，他們也已通報國家資通安全會報通報應變網站，並交由調查局協助進行犯罪行為查調。</p> <p>目前看來，對於這次入侵的原因，雖然尚未有更詳細的狀況說明，但從入侵管道的角度來看，是否將有更多醫院容易受到同樣的攻擊，值得繼續關注。</p> <p>另外，根據衛生福利部資訊室也指出，在這次受害院所當中，有7家已經加入資安資訊分享與分析中心（H-ISAC），而他們也都依照H-ISAC相關規定，完成通報程序。</p> <p>同時，他們也提醒，近日有人在LINE群組傳言，接收健保署電子郵件可能中勒索軟體一事，經他們查核是2016年5月的舊聞，是透過電子郵件的勒索行為，並署名「衛生福利部中央健康保險署承保組承保資料科」，健保署當時也已經發出警訊並澄清，因此與這次事件並無關係。</p> </div></div></div>
2019/9/2 20:49作者羅正漢https://www.ithome.com.tw/news/132804
Google更新Cloud Storage的Hadoop連接程式，強化欄式資料格式支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/new-release-of-cloud-storage-connector-for-hadoop-improving-performance-throughput-and-more">Google釋出新版用來連結Cloud Storage的HDFS（Hadoop Distributed File System）連接程式（GCS Connector</a>），這個新版連結程式提供了兩個主要的功能更新，第一是支援欄式檔案格式以提升資料處理效率，第二個則為協作鎖定功能，獨立Cloud Storage目錄修改，避免可能互相影響的修改受到干擾。</p> <p>GCS連接程式可在諸如資料節點、Mapper、Reducer或是Spark Executor等Hadoop JVM上運作，讓開發者的工作負載能夠存取Cloud Storage，這些工作負載包括Hadoop和Spark的任務，以及Hadoop相容的檔案系統CLI，都能使用GCS連接程式，直接對Cloud Storage進行資料讀寫操作。</p> <p>GCS連接程式預先為Cloud Dataproc以及GCP託管的Hadoop和Spark進行配置，可簡單地安裝，並用在其他的Hadoop發布版本中，像是MapR、Cloudera以及Hortonworks，能夠簡化企業將內部HDFS資料搬遷到雲端的工作。這個由GCP支援的GCS連接程式完全開源，Google在與推特工程團隊合作後，使其設計與實作更能應付PB級規模。</p> <p>新版GCS連接程式的第一個重要更新，是改進了處理Parquet和ORC等欄式檔案格式的效能。Google提到，由於推特在2018年的時候將Hadoop工作負載搬遷到Google雲端上，並且大規模地對20 PB以欄式檔案格式儲存的資料，進行大資料SQL查詢測試，而推特為讓GCS連接程式符合自家高效能的需求，對該專案做出貢獻，讓連接程式能支援只讀取查詢引擎需要的資料欄，進而提升讀取效率。</p> <p>而Google進一步優化這項改進，使其支援fadvise功能。過去Cloud Storage連接程式對MapReduce類型的工作負載進行了最佳化，其資料檔案的處理都是按順序處理，Google表示，由於欄式檔案格式如Parquet或ORC，其主要目標都是讓查詢引擎能聰明地僅查詢需要的檔案區塊。而在Google為GCS連接程式實作了類似Linux中的fadvise功能，讓應用程式可以為核心提供I/O存取模式的提示，以達成謂詞下推（Predicate Pushdown）的功能。</p> <p>另一個新版GCS連接程式的功能便是協作鎖定（Cooperative Locking），該功能可以獨立Hadoop檔案系統殼層以及其他HCFS API介面的目錄修改操作。Google提到，雖然Cloud Storage上的物件層級非常一致，但本身卻沒有原生支援目錄語意，系統應該定義像是當兩個用戶對同一個目錄發出衝突的命令時，所需要進行的行為。</p> <p>Google與推特Hadoop團隊合作，在GCS連接程式中實作了協同鎖定，這項功能可以避免Cloud Storage的目錄操作衝突所發生資料不一致，並有助於目錄操作失敗的恢復工作，同時也使得從HDFS的操作轉換成Cloud Storage更簡單。</p> </div></div></div>
2019/9/2 16:30作者李建興https://www.ithome.com.tw/news/132793
Google開始公開測試微軟Active Directory託管服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年的Next大會中，所釋出的<a href="https://cloud.google.com/blog/products/identity-security/now-in-beta-managed-service-for-microsoft-active-directory-ad">微軟Active Directory（AD）託管服務，現在進入公開測試階段</a>，用戶已經可以用來管理雲端相依於AD的工作負載，該託管AD服務可以自動維護與進行安全配置，企業還能將內部AD網域連結到雲端中。</p> <p>有越來越多相依於AD的應用程式移往雲端，企業除了可以自己在GCP上部署AD環境，現在還能選擇使用全託管的AD服務，用戶不需要進行任何的維護，除了高可用性以及自動更新的優點外，其預先配置的安全預設值以及網路防火牆規則，可以提供企業高安全性的防護。</p> <p>用戶除了可以在特定雲端區域部署AD服務，以Virtual Private Cloud（VPC）供相同區域或是鄰近區域的應用程式與虛擬機器，低延遲地取用AD服務，隨著基礎設施需求成長，用戶也能將相同的託管AD網域，無縫地擴展到多個雲端服務區域。</p> <p>Google的AD託管服務可以提供混合模式或是單一模式，用戶可以將內部的AD網域連接到Google雲端上，或是專為雲端工作負載部署獨立的網域。Google強調，他們的AD服務，採用真正的微軟AD網域控制器，因此用戶不需要擔心相容性，可以使用像是群組政策等標準AD功能，或是以熟悉的管理工具來管理網域。</p> </div></div></div>
2019/9/2 16:30作者李建興https://www.ithome.com.tw/news/132795
Amazon CloudWatch正式為用戶提供容器應用程式監控功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/operational-insights-for-containers-and-containerized-applications/">AWS正式發布Amazon CloudWatch中的Container Insights功能</a>，讓用戶能夠監控Amazon ECS以及AWS Fargate新舊叢集中的容器，掌握包括容器利用率以及故障機率等詳細資訊。</p> <p>容器化應用程式和微服務日漸普及，AWS提到，與像是EC2的執行個體相比，容器化應用程式和微服務存在的時間更短，需要不斷地進行部署，而這使得開發者難以可靠地收集監控資料，阻礙分析效能或是存在的潛在問題。</p> <p>而Amazon CloudWatch的容器分析功能，可以幫助用戶監控叢集中，所有正在執行的容器，並收集容器堆疊每一層的效能以及運作資料，監控Kubernetes、支援Kubernetes的Amazon Elastic Container Service、Amazon ECS以及AWS Fargate中容器的使用率以及故障機率等資訊，以進行即時分析。</p> <p>該功能也會持續地監控並更新執行環境的變化，簡化收集、監控、操作和分析容器指標和日誌需要的工具以及程序，為用戶提供完整端到端的可見資料。用戶可以設定指標的標準時間區間，以1小時、3小時，甚至是自定義的時間區間查看監控資料。</p> <p>用戶在效能日誌功能中，查詢容器、任務、叢集等效能事件集，進行除錯或是深入事件發生的過程。AWS提到，這個容器監控功能讓使用者不需要自行建構儀表板，就能深入分析指標以及日誌，而且除了掌握容器效能表現以及故障排除之外，還能用於了解容器、Pod等資源的利用率，幫助規畫容量需求等。</p> </div></div></div>
2019/9/2 17:10作者李建興https://www.ithome.com.tw/news/132802
Kaspersky調查：還有4成用戶使用已終止支援或即將過期的Windows平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基實驗室（Kaspersky Labs）在調查了Kaspersky Security Network用戶所使用的作業系統之後<a href="https://usa.kaspersky.com/about/press-releases/2019_consumers-still-use-unsupported-and-near-end-of-life-os" target="_blank">發現</a>，有41%依然使用已終止支援或即將過期的Windows平台。</p> <p>卡巴斯基把調查對象區分為一般使用者、超小企業（Very Small Businesses，VSB）與中小企業（Small, Medium-sized Businesses，SMB），發現在中小企業中，採用Windows 10與Windows 7的比例一樣高，都是47%，其它還有5%採用Windows 8.1，0.4%採用Windows 8。</p> <p>而在超小型企業中，則有55%使用Windows 10，但有38%使用Windows 7，5%使用Windows 8.1，1%使用Windows 8，0.2%使用Windows Vista，1%使用Windows XP。</p> <p>一般使用者的Windows 10採用率為53%，Windows 7是38%，Windows 8.1為7%，Windows 8是1%，Windows Vista佔了0.3%，而Windows XP則是2%。</p> <p>微軟終止對XP的支援已超過10年，終止對Vista的支援已達7年，也自2016年1月就不再支援Windows 8，對Windows 8.1的主流支援，則是在2018年的1月截止，延伸支援則到2023年的1月。</p> <p>而市佔率僅次於Windows 10的Windows 7，則預計在2020年的1月14日終止延伸支援，專業版與大型企業版的付費延伸支援期限，則是2023年的1月10日。</p> <p>卡巴斯基的企業解決方案經理Alexey Pankratov表示，數據顯示有大量的使用者依然採用了老舊或即將終止支援的作業系統，距離微軟終止Windows 7支援的日期已不到6個月，業者持續仰賴Windows 7可能有許多原因，例如既有的軟體無法在新作業系統上運作，或者只是習慣了Windows 7平台，然而，留著未修補或缺乏支援的作業系統所造成的資安意外成本，很可能高過於升級，建議用戶應該要移轉到較新的平台以確保安全。</p> </div></div></div>
2019/9/2 15:20作者陳曉莉https://www.ithome.com.tw/news/132792
擔心電池過熱問題，有航空公司禁止托運所有MacBook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在美國聯邦航空總署（FAA）與歐洲航空安全局（EASA）相繼祭出警告，要求航空公司留意旅客所帶上機的MacBook Pro是否<a href="https://www.ithome.com.tw/news/131385" target="_blank">含有過熱電池</a>之後，航空公司紛紛祭出禁令，只是有些禁令比FAA或EASA所要求的範圍更大，例如維珍澳洲航空（Virgin Australia），便禁止所有型號的MacBook筆電採用托運形式登上飛機。</p> <p>蘋果在今年6月召回了於2015年中到2017年初出廠的15吋MacBook Pro所使用的電池，原因是該批電池會過熱而產生安全問題。FAA隨之建議航空公司拒絕讓含有問題電池的MacBook Pro上飛機，不管是托運或隨身攜帶；而EASA亦建議航空公司必須留意旅客所攜帶的MacBook Pro，同樣不准它們上飛機，假設相關裝置不小心被攜上機，應要求旅客將它關機，亦不得充電。</p> <p>不過，每家航空公司的執行方式不同，例如新加坡航空（Singapore Airlines）最遵守FAA與EASA的政策，<a href="https://www.singaporeair.com/en_UK/sg/media-centre/news-alert/?id=jzbi7bal" target="_blank">只要是置換成正常電池的MacBook Pro就能上機</a>，如果沒有，不管是托運或隨身攜帶都無法上機。</p> <p><a href="https://www.thaiairways.com/sites/en/news/news_announcement/news_detail/Macbook.page" target="_blank">泰航（Thai Airways）的政策</a>看起來與新加坡航空一致，表示將嚴格禁止舊款的15吋MacBook Pro 上飛機，托運或隨身攜帶都不行，泰航也特別說明了這些電池得被置換或修理過才安全，應是允許已換過電池的MacBook Pro上機。</p> <p>然而，澳洲航空（Qantas）則在上周提供給媒體的聲明中表示，所有15吋的MacBook Pro都不得托運，只能隨身攜帶，且必須關機。</p> <p>而<a href="https://www.virginaustralia.com/eu/en/plan/baggage/dangerous-goods/?" target="_blank">維珍澳洲航空更進一步規定</a>，所有的MacBook（不管幾吋，不管是不是MacBook Pro），都只能隨身攜帶，不得托運。</p> <p>這兩家澳洲的航空公司也許是不想花費人力，逐一檢查旅客所攜帶的MacBook型號或查驗已置換電池的證明，或者是擔心漏網之魚，但這並不代表它們允許未置換電池的MacBook Pro上機。因為維珍澳洲航空也強調，含有危險電池元件的裝置不得上機，不管是托運或隨身攜帶。</p> <p>簡而言之，只要是所使用的MacBook Pro序號被列在召回電池的名單中，在沒換新電池之前都不能上飛機，而就算換了電池，或是不受影響的MacBook產品，也受到此一事件的牽連，可能無法托運而得隨身攜帶，因此，最近MacBook用戶在搭乘飛機之前應先向航空公司確認相關政策以免產生齟齬。</p> </div></div></div>
2019/9/2 16:10作者陳曉莉https://www.ithome.com.tw/news/132794
挖礦軟體感染目標擴及英特爾伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去挖礦軟體XMRig主要以ARM-based伺服器為目標，但安全研究人員<a href="https://blogs.akamai.com/sitr/2019/08/xmr-cryptomining-targeting-x86i686-systems.html" target="_blank">發現</a>，它現在也開始感染Intel X86及I686-based伺服器，顯示企業也成為挖礦軟體的新目標。</p> <p>Akamai安全研究人員Larry Cashdollar在7月蒐集到的650隻IoT惡意程式樣本中，其中一個看似.gzip壓縮檔，等待不知情的用戶開啟後感染系統。這個檔案包含二進位檔、腳本程式和函式庫，其中一個腳本程式可檢查受害系統是否之前有感染過XMrig，另一個腳本程式可將舊版軟體砍掉再安裝最新版的XMrig v2.14.1，並在crontab檔案中加入自己，以便未來受害者重開機後仍然能執行。</p> <p>值得注意的是，第一個腳本程式執行時也建立三個不同目錄，分別包括x86 32bit或64bit格式的XMrig v2.14.1版本，有些二進位檔也會以普通的Unix公用程式命名如ps偽裝，以便混入正常的程序表（process list）中。等最新版XMrig安裝於英特爾系統後，便與其他挖礦程式一樣，和外部C&C伺服器透過port 22建立SSH連線以獲取指令。</p> <p>而這也是繼ARM及MIPS架構伺服器之後，安全界發現駭客開始染指Intel CPU的伺服器。研究人員警告，網路歹徒仍會持續設法從未設防的系統上挖礦斂財，因此他提醒系統管理員儘早修補漏洞、關閉不安全的服務，並採用強密碼、雙因素驗證及適當的弱點補救方案，以減少淪為挖礦區的機會。</p> </div></div></div>
2019/9/2 14:55作者林妍溱https://www.ithome.com.tw/news/132791
微軟公布Microsoft Edge與IE棄守Flash時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://blogs.windows.com/msedgedev/2019/08/30/update-removing-flash-microsoft-edge-internet-explorer/#ElxrliIJZ9OcIoYv.97" target="_blank">公布</a>了旗下Microsoft Edge、IE 11以及基於Chromium的Microsoft Edge棄守Flash的時程，儘管這3款瀏覽器都會在2020年底完全移除對Flash的支援，但淘汰的腳步不太一致。</p> <p>傳統版Microsoft Edge與IE 11將會依照現有對Flash的處置，例如在Edge上執行Flash必須請求許可，而IE 11則可正常執行Flash，微軟今年內不打算變更這兩款瀏覽器處理Flash的預設值，亦即不會讓它們預設即關閉Flash。</p> <p>至於基於Chromium的新一代Microsoft Edge，則將依照Google所訂定的時程，在預設值便封鎖Flash，用戶必須根據所造訪的每個網站的需求重新啟用Flash，在2020年底完全移除對Flash的支援，但這之前，企業的IT管理人員即可透過群組原則（Group policies）變更對Flash的處理方式。</p> </div></div></div>
2019/9/2 13:20作者陳曉莉https://www.ithome.com.tw/news/132789
Foxit資料外洩曝露用戶密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的PDF工具軟體Foxit上周<a href="https://www.foxitsoftware.com/support/security-advisories.php" target="_blank">宣布</a>遭到駭客入侵，駭客存取了用戶的帳號資料，包括電子郵件帳號、使用者名稱、密碼、電話號碼、公司名稱與IP位址等，Foxit已經緊急停用所有帳號密碼，並要求使用者重新設定密碼，不過，Foxit並未公布有多少用戶受到影響，亦未說明這些密碼是否有加密。</p> <p>Foxit為一免費增值（freemium）的PDF工具軟體，提供基本功能供免費使用，並有付費的進階功能，此次遭到入侵的為該軟體的My Account會員服務，使用者必須註冊My Account才能下載與試用軟體，取得歷史紀錄，或是存取產品註冊資訊與支援資訊等。</p> <p>Foxit表示，My Account系統除了存放了上述資訊之外，並未存有用戶的其它個人資訊或是支付卡資訊。</p> <p>該公司緊急停用了可能受影響的所有帳號的密碼，並要求這些用戶重設密碼，以取回登入My Account的權限。</p> <p>不過，除了未公布受駭規模之外，Foxit亦未說明曝光的密碼是否採用雜湊或加鹽等加密保護措施，僅建議那些在其它網站使用與My Account服務同樣憑證的用戶，儘速更換其它網站的密碼，也應小心駭客利用這些外洩的資料執行網釣攻擊，或是注意身分竊盜事件。</p> <p>在意外發生之後，Foxit展開全面的鑑識調查，除了通知執法機構與資料保護單位之外，亦聘請了第三方的安全管理公司來強化Foxit的安全性。</p> </div></div></div>
2019/9/2 13:45作者陳曉莉https://www.ithome.com.tw/news/132790
WordPress 10多個外掛遭駭，用以建立網站非法帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員<a href="https://www.wordfence.com/blog/2019/08/ongoing-malvertising-campaign-continues-exploiting-new-vulnerabilities/" target="_blank">發現</a>，至少10個WordPress外掛程式近日被駭客組織開採漏洞，用以在Wordpress網站建立非法管理員帳號，安裝後門程式或竊取資訊。</p> <p>安全廠商Wordfence今年7月發現一波惡意廣告攻擊，駭客利用多個公開漏洞在Wordpress外掛注入JavaScript，以植入重新導向及跳出視窗程式碼，以便誘使網站訪客前往惡意或詐欺網站。但8月底廠商發現駭客換新手法，企圖透過駭入外掛後，於網站進行更直接的攻擊行為。</p> <p>研究人員發現一個代管在Rackspace伺服器的網站不斷對外發出攻擊，目標是網路上WordPress網站上特定一批公開漏洞，這波攻擊主要影響Bold Page Builder、Blog Designer、Live Chat with Facebook Messenger、WP Live Chat Support、Yuzo、Visual CSS Style Editor、Form Lightbox、Hybrid Composer及所有NickDark等WordPress外掛。</p> <p>研究人員分析，有別於前一波攻擊，這次駭客意藉由注入JavaScript，以便最終在目標WordPress網站注入後門程式。基本上，惡意的JavaScript採取守株待兔的策略，它執行一個函數檢測每個登入網站的人，是否有建立新使用者帳號的權限，即是否為管理員。如果碰上管理員登入網站，這個程式碼即以wpservices為名建立非法管理員帳號，最後透過該帳號安裝後門程式，或在網站上竊取財務或資料等其他惡意行動。</p> <p>Wordfence曾在8月初通知Rackspace處理該可疑網站，不過後者並未回應。針對用戶，安全公司建議Wordpress用戶如果使用到上述外掛，應前往廠商網站下載更新版，此外管理員也應檢查網站是否有非法帳號及後門程式。</p> </div></div></div>
2019/9/2 13:00作者林妍溱https://www.ithome.com.tw/news/132788
間諜程式藏網站大規模侵入iPhone至少2年，疑意在監控維吾爾人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Project Zero<a href="https://googleprojectzero.blogspot.com/2019/08/a-very-deep-dive-into-ios-exploit.html" target="_blank">發現</a>間諜軟體藉由多個被駭網站再駭入iPhone手機，時間長達兩年。Techcrunch<a href="https://techcrunch.com/2019/08/29/google-iphone-secretly-hacked/" target="_blank">報導</a>，這波行動目的在監控維吾爾穆斯林，但一般人連上網站也會遭殃。</p> <p>Google 威脅分析小組（Threat Analysis Group，TAG）今年初發現一群網站被駭後，被用來對iPhone用戶進行無差別水坑式（watering hole）攻擊。此類攻擊透過在合法網站植入惡意程式，在任何iPhone用戶登入網站下載到手機上，倘若成功即安裝監控用的程式。估計這些網站每周有數千造訪人次。Google TAG研究發現，5支個別獨立而完整的iPhone攻擊鏈（exploit chain），可導致權限升級攻擊，顯示有一群駭客針對特定iPhone用戶系統性進行長期的駭入，時間最少二年，涵括iOS到iOS 12.1。</p> <p>Google 另一研究單位Project Zero根據前述研究分析發現，這波行動牽涉高達14個iOS漏洞，包括iOS版Safari漏洞7個、5個核心漏洞及2個沙箱逃逸漏洞。研究人員Ian Beer於上周<a href="https://googleprojectzero.blogspot.com/2019/08/a-very-deep-dive-into-ios-exploit.html" target="_blank">公佈研究細節</a>。在iOS中的5個攻擊鏈，至少有一個是零時差漏洞且未修補，可植入間諜程式以竊取iPhone用戶的iMessage、相片和GPS座標。經Google今年2月初通報後，蘋果已緊急<a href="https://www.ithome.com.tw/news/128659" target="_blank">修補</a>了4項漏洞，包括重大風險的CVE-2019-7287、CVE-2019-7286。</p> <p>Google作業系統研究員Jonathan Levin指出，這項研究發現的漏洞其實並不新，它新的地方是這些漏洞被用來進行如此大規模的攻擊，因為只要以iPhone存取網站就會被感染，無需用戶點擊或任何動作，可以有效監控許多人。</p> <p>雖然Google Project Zero研究並未說明被駭的網站有哪些，不過Techcruch上周引述消息人士<a href="https://techcrunch.com/2019/08/29/google-iphone-secretly-hacked/" target="_blank">指出</a>，這些網站入侵行為是國家支持的攻擊行動，可能是中國，而目標則是新疆維吾爾族穆斯林。但是由於這些網站可被Google檢索到，因此非維吾爾族iPhone用戶同樣會被攻擊。消息人士還透露，FBI要求Google將這些網站從其索引中移除。</p> <p>不過Google、蘋果及FBI皆不願對此評論。</p> <p>如果報導為真，這將是最新一次中國被揭發，以科技監控新疆地區維吾爾族人。除了部署綿密的監視攝影機外，人權觀察組織Human Rights Watch近日數次指控，中國大規模<a href="https://www.ithome.com.tw/news/130404" target="_blank">蒐集</a>及監控新疆民眾的日常生活，利用大數據分析技術<a href="https://www.ithome.com.tw/news/121622" target="_blank">部署</a>治安預測（Predictive Policing）專案，標註那些可能對官方造成威脅的個人。警方還會監控當地民眾手機是否安裝了51種被列入黑名單的程式，從 Viber、WhatsApp、Telegram到VPN等。</p> </div></div></div>
2019/9/2 10:45作者林妍溱https://www.ithome.com.tw/news/132786
別瞎忙！避開企業數位轉型的陷阱
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位轉型是各大IT廠商研討會必定會探討的議題，不過，8月底在HPE Discover More大會臺北場上，他們提出了一些新的觀點，相當值得企業省思。</p> <p>在HPE亞太區解決方案業務暨技術創新中心總經理Kong Hoe Chan的演講當中，一開始就引用調查數據，顯示企業數位轉型正處於岌岌可危的狀態──不少美國公司的數位轉型並不成功，甚至有五分之一的高階主管認為，數位轉型是浪費時間。</p> <p>為何會出現這樣的慘況？他認為企業數位轉型的過程中，可能不知不覺陷入4個陷阱：新奇事務症候群、對於數位經濟的誤解、忽略了新的生態系統崛起，以及只做表面工夫。</p> <p>其中的最後一點，最引起我的注意。因為講者在這張簡報搭配的圖片，是一隻豬塗著口紅的照片，Kong Hoe Chan認為，數位轉型要一路做到核心，而非只是表面工夫，因為有了這樣的作法，對於既有的產品與服務而言，可以達到降低成本、提升客戶滿意度的成效，舉例來說，公司批准擔保抵押的時間，可從幾週縮短至幾天，也因此能夠放大對於人員、品牌與既有顧客的策略效益。</p> <p>在Kong Hoe Chan演講的脈絡上，我想他之所以採用lipstick on a pig的比喻，主要為了呼籲企業，相關的改造和調整都必須更為深入、全面，不應盲目追求酷炫奪目的新技術，誤以為只要在IT技術的發展上，跟隨這樣的浪潮，就能帶領企業達到數位領先（Digital Leadership）的狀態，最後的下場當然有可能勞師動眾，白忙一場。</p> <p>他認為，企業應該要妥善運用這樣的概念，積極在公司內部建立創新文化，釋放原本聚焦在維運既有業務的人力，形成開放、主動研究的風氣，才能夠讓企業真正落實轉型，形成正向的發展。</p> <p>接下來，Kong Hoe Chan則以新加坡星展銀行的數位轉型歷程，印證他的觀點。首先，就是將數位化推動到企業核心，他們在這部份採取了很多種作法，像是：將IT委外比例大幅降低（2009年是85％，2017年底是15％），由自身來掌控數位資產，建立技術DNA，以及培養應用新型IT技術的技能，像是敏捷開發、雲端服務；接著是將執行在既有大型主機的應用程式，逐漸轉移到其他平臺，2016年底有120支這類程式，到了2019年底，將只剩39支；同時，他們也積極採用開放原始碼的作業系統、資料庫、大數據平臺與程式語言，總共部署了700種以上的軟體，並將54％的資料庫應用程式從Oracle環境移開，而他們搭配Oracle資料庫的程式當中，又有30種以上已改用MariaDB；除此之外，他們也搭建了DevOps平臺、企業資料集中處理平臺（Enterprise Data Hub），以及Banking API平臺。</p> <p>對外，在金融業務的策略上，星展銀行著眼的目標是提供愉悅的銀行服務體驗，透過直覺、與顧客生活緊密相隨，以及徹底整合，而能長伴客戶消費的過程。對內，他們想要將自身發展成學習型組織，提供一定費用讓員工在不同領域學習，然後再將這些技能轉授給其他同事，同時，也鼓勵員工在公司內部進行創業，並邀集其他企業、新創公司、大學、政府單位、區域組織，一起進行創新。</p> <p>而在上述這些策略的背後，Kong Hoe Chan也引述該公司資訊長David Gledhill的話，作為數位轉型議題的總結，他建議，企業對於自身的任務與所要解決的問題，必須能以簡單的方式說清楚。的確，讓大家認清目標與問題所在，才能提出最有效的方法來執行。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/hpe">HPE</a></div><div class="field-item even"><a href="/tags/kong-hoe-chan">Kong Hoe Chan</a></div><div class="field-item odd"><a href="/tags/%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C">星展銀行</a></div></div></div>
2019/9/2 11:15作者李宗翰https://www.ithome.com.tw/voice/132741
新版Windows 10模糊平板與PC界線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsexperience/2019/08/29/announcing-windows-10-insider-preview-build-18970/#gdP0WHmTcSBaJVCW.97" target="_blank">釋出</a>了Windows 10 Insider Preview Build 18970予Windows測試人員，這是Windows 10 20H1的測試版，新增了兩項重要功能，包括針對二合一筆電提供了平板經驗，以及支援自雲端重設Windows。</p> <p>該針對二合一筆電的平板功能是自動啟用的，當使用者把筆電鍵盤摺起來或拆下鍵盤時，它就會自動切換成平板介面，像是工具列上的圖示間隔更大了，以方便觸控，且工具列上的搜尋視窗也會變成圖示樣貌，檔案總管演變成觸控優化介面，只要點選文字欄位就會自動跳出觸控鍵盤等。</p> <p>這項功能尚屬Beta版，而且也只有部份測試人員會看到，微軟表示，該功能允許使用者在切換成平板電腦使用姿勢時（例如靠在沙發上），仍能維持熟悉的桌面體驗。至於Windows 10中既有的、需要使用者主動啟用的平板電腦模式（Tablet Mode）則依然存在，只是在設定上稍有更動。</p> <p>此外，Build 18970除了既有的本地端重新安裝Windows 10之外，還新增了雲端重設功能。微軟在第一版的Windows 10（Windows 1507）便提供本地端重新安裝功能，它只要使用既有的Windows檔案就能建立新的安裝檔，無需再耗費硬碟空間來存放Windows備份，不過，有許多用戶覺得家裡頻寬很快，若能從雲端直接下載Windows應可加速流程，於是微軟在Build 18970同時提供了本地重新安裝與雲端重設能力。</p> <p>不過，微軟提醒，雲端重設是個復原行為，它將會移除使用者安裝的所有程式，且若選擇了「移除所有內容」（Remove everything）亦將一併刪除所有的使用者檔案。該雲端重設將會重新安裝原本裝置所使用的同樣版本。</p> <p>Windows 10 20H1正式版預計會在明年春天出爐。</p> </div></div></div>
2019/9/2 09:45作者陳曉莉https://www.ithome.com.tw/news/132783
入侵Capital One的駭客以遭駭的伺服器來挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦大陪審團在本周正式<a href="https://www.justice.gov/usao-wdwa/pr/former-seattle-tech-worker-indicted-federal-charges-wire-fraud-and-computer-data-theft" target="_blank">起訴</a>了<a href="https://www.ithome.com.tw/news/132117" target="_blank">入侵美國銀行Capital One</a>的33歲駭客Paige Thompson，FBI的調查顯示，Thompson不僅入侵Capital One，還駭進其它三十幾家組織，除了竊取機密資料外，也利用這些受害者的伺服器來挖礦，藉以牟利。</p> <p>Thompson曾在2015年及2016年間擔任AWS的系統暨軟體工程師。根據訴狀，Thompson打造了掃描軟體來辨識「某一雲端運算業者」的客戶防火牆是否配置錯誤，而得以接受外部命令，讓她能滲透並存取這些客戶的伺服器。</p> <p>Thompson除了盜走這些伺服器上的資料之外，也利用這些伺服器資源來替她挖礦，賺取加密貨幣。</p> <p>儘管美國司法部沒有公布雲端業者的名稱，但以Thompson曾任職Amazon的背景，再加上Capital One客戶已同時對Capital One與Amazon提出控訴，可推測受害者應全為AWS（Amazon Web Services）用戶。</p> <p>Thompson被指控電信詐欺與電腦詐欺兩項罪名，若兩項罪名皆成立，最高可被判處25年徒刑。</p> </div></div></div>
2019/9/2 10:05作者陳曉莉https://www.ithome.com.tw/news/132784
兩家衛福部所屬醫院遭勒索軟體襲擊，確認臺灣已有10多間醫院遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（31日）早上，傳出國內醫療院所遭受勒索軟體的攻擊的事件，目前確認國內已有10多間醫院遇害。</p> <p>根據國內媒體報導，疑有超過50多間醫院電腦主機被加密，並包含衛福部所屬的臺北醫院與彰化醫院。對此，我們詢問到衛衛生福利部資訊處處長龐一鳴，他表示，目前衛福部所屬臺北醫院與彰化醫院受影響之外，他們也清查了其他醫院，目前確認有10多間醫院遇害。</p> <p>從這些遇害時間來看，龐一鳴指出最早從8月29日週四凌晨開始傳出，對於影響範圍，他表示僅應用系統重要檔案被加密而不能運作，因此重要醫療資料不受影響，而系統在一兩小時內也就能夠復原，對於遭受勒索病毒感染途徑，他透露是有關網路上密碼管理的問題，後續也阻斷、隔離與恢復，而在他們與資安業者清查後，也已經對各家醫療院所發出資安公告，提醒注意近日的勒索病毒威脅。</p> <p>據瞭解，衛生福利部打造跨醫院資安情資分享與分析的H-ISAC，已經在昨日發布資安公告，通知各院所注意EEC Gateway被植入勒索病毒Globeimposer3.0，提醒醫院主機管理員更新Hotfix與病毒碼，並警告勿開啟Apollon8865.EXE的檔案，以及回報是否遭受勒索病毒攻擊。</p> </div></div></div>
2019/8/31 12:01作者羅正漢https://www.ithome.com.tw/news/132781
吳恩達看AI的下一步趨勢：小數據、方法論和後設增強式學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際知名線上教育平臺Coursera共同創辦人、曾帶領Google Brain和百度首席科學家的AI大神吳恩達（Andrew Ng）日前首度來臺公開演講，分享最新AI趨勢，也提出對企業擁抱AI的建議。</p> <p><span style="font-size:20px;"><strong><span style="color:#FFA500;">趨勢一：需要建立AI方法論</span></strong></span></p> <p>吳恩達指出，AI將成為一門有系統的工程學科，但它還缺乏一套方法論，例如沒有一套標準的開發流程，「現在正處於建立紮根用的AI方法論的過渡期。」</p> <p>像吳恩達的機器學習團隊就採用了改良版的敏捷式AI開發流程，將多數人慣用的2周衝刺期縮短為1天衝刺期。「利用白天寫程式，搭配晚上幾個小時來測試，隔天早上召開團隊會議，檢視前一晚實驗結果，再決定下一步方向，如此周而復始。」吳恩達說，比起傳統軟體開發，短期ML開發流程是他實行過最有效率的方法。</p> <p><span style="font-size:20px;"><strong><span style="color:#FFA500;">趨勢二：小數據將成為顯學</span></strong></span></p> <p>早期的AI應用多仰賴大數據，這是因為早期開發AI應用的多為大型網路公司，擁有數十億筆巨量資料。「但現今，開發AI的企業不再只是軟體業，」但這些企業的資料量少，以小數據來開發AI的趨勢越來越明顯。因此，吳恩達點出，這幾年也產生許多新技術，比如單樣本學習（One-shot Learning）、小樣本學習（Few-shot Learning）、自我監督式學習（Self-supervised Learning），甚至他在Landing AI的團隊，也執行不少關於小數據的研究。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">趨勢三：RL商業價值將因新方法而大幅提高</span></span></strong></p> <p>「深度學習和監督式學習創造的經濟效益，占所有AI技術的99％，而增強式學習（RL）的占比非常小。」但吳恩達觀察，近兩年興起了一種後設增強式學習（Meta RL），將能改寫RL的商業價值。這是將用來訓練自我學習能力的後設學習（Meta Learning）理論，用於優化RL的獎勵機制，讓RL模型不只加快訓練速度，也能讓模型直接可用於非原本訓練資料範圍的新應用任務。</p> <p>11年前，吳恩達在史丹福大學任教時，曾利用RL開發一套不須人為遙控、可自行飛行的小型直升機，利用RL技術，建立了一個虛擬的操控模擬器（Simulator），在虛擬場景中學習如何操控直升機，再用訓練完成的操控模擬器，來控制真正的直升機。不過，他說，當時沒人知道自己訓練的RL模擬器能否100％正確飛行。</p> <p>但是，現在有了後設學習方法，可以從利用數百種不同的操控模擬器，在虛擬場景中，控制各種不同參數的虛擬飛機（比如大小、推力強弱），讓RL模型找出一套自己學會操控虛擬飛機的自學方法，「研究顯示，就算最後用於虛擬場景中沒見過的實體直升機，Meta RL建立的虛擬模擬器依然能快速適應，且表現比RL更好。」吳恩達指出，所以，「這幾年，連OpenAI、DeepMind等組織都爭相研究Meta RL。」目前，吳恩達已正在研發Meta RL農業應用，但他認為，也可用於製造業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1110.jpeg" /></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">企業擁抱AI，先從小專案開始</span></span></strong></p> <p>對於想擁抱AI的企業，吳恩達給了不少建議，首先是從小型專案著手，先取得成就和內部信任。他以自己為例，一開始，Google同事和主管大多對深度學習抱持懷疑態度，有些高層甚至認為深度學習不可行。吳恩達先鎖定Google Speech的語音辨識，成功優化辨識率後，才轉向規模稍大的Google Maps，利用電腦視覺來提高地圖上的建築定位精準度。有了這些成績，吳恩達才有機會說服規模更大的Google Ads團隊，引進AI來改善廣告投放精準度。「先從小型專案開始累積成就，很重要。」他強調。</p> <p>一旦要開始執行AI專案，吳恩達建議，「至少先想6個題目。」再從技術面和業務面影響來評估這些題目（如下圖）。技術面問題如AI系統是否達成所需效能、需要多少資料量、軟體開發時程，業務面則如降低成本、提高營收、創造新產品或新業務。他在選定AI專案前，通常會花上數周，和團隊共同分析技術面和業務面需求，最後再挑出最可行的2個題目來執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1087.jpeg" /></p> <p> </p> <p><span style="font-size:20px;"><strong><span style="color:#FFA500;">從試驗專案累積動能，進一步將AI推廣至整個企業</span></strong></span></p> <p>從小專案累積出經驗，企業若決定進一步全面擁抱AI時，吳恩達也從自身經驗歸納出<a href="https://landing.ai/content/uploads/2018/12/AI-Transformation-Playbook-v8.pdf">5個原則</a>。首先，透過試驗專案來累積動能，「不一定是最有商業價值的專案，而要找容易成功的專案，才能累積企業內部動能。」他指出，AI試驗專案期可維持6至12個月，外包或內部團隊自己執行都可以。</p> <p>但是，當這些AI專案發展到一定程度後，吳恩達建議，企業就必須建置集中式的內部AI團隊。可比照業務單位的設計，以一個獨立AI單位<</p> <p>來協助不同業務單位，可由執行長管轄，或由CIO、CTO或CDO管理（如下圖）。「Google和百度的AI團隊，就是如此運作。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1094.jpeg" /></p> <p>另一方面，AI專案推動過程，吳恩達建議，企業必須進行提醒全公司的內部AI教育訓練，可按職務分成三類來培訓。第一類包括決策者和資深業務主管，他們必須了解AI能為企業做什麼、如何制定AI策略、如何分配資源；第二類是參與AI專案的部門主管，要讓他們了解如何制定AI專案的方向（包括技術面和業務面考量）、資源分配，以及監管專案流程。最後一類則是AI工程師新手。他們不只要學會AI軟體開發，還要能蒐集資料、執行特定的AI專案等。不過，他提醒，企業不用從無到有設計新教材，而要懂得從YouTube、Coursera等平臺，選擇合適的教材。</p> <p>在AI策略上，吳恩達指出，許多企業的執行長容易制定不切實際的AI策略，比如要求屬下盡可能收集各種資料、越多越好。但他認為，企業應該等到試驗專案成功、累積基礎後，再來訂定AI策略制定應。一是建立資料策略，包括如何取得資料、建置統一的資料倉儲，其次是從網路效益和平臺優勢來思考策略。</p> <p>吳恩達建議的最後一項AI導入原則是，要發展內外部交流管道，如與投資者和政府之間的溝通管道，也要兼顧使用者、人才招募和內部的交流管道。</p> <p>不只企業要發展AI，吳恩達認為，長遠看來，各國也該積極建立AI中心。他有感而發地坦言：「我們這類專家所犯最大的錯，就是在網際網路崛起的年代，替矽谷和北京賺了大筆財富。」他希望，這次在AI崛起的時代，要讓AI跨出矽谷和北京，在各個城市發展，而且AI發展權不應只握於軟體公司手中，而是要讓各產業都能做到。他建議，臺灣要發展AI，可自身成熟的產業強項如半導體、製造業切入。文◎王若樸</p> </div></div></div>
2019/8/31 10:26作者王若樸https://www.ithome.com.tw/news/132727
如何將資安導入DevOps的開發流程？白帽觀點創辦人揭露心法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了加速企業的軟體開發流程，導入DevOps是相當常見的做法，然而，近年來攻擊者針對開發流程下手的情況，可說是越來越嚴重，如何在維持同等的開發速度之下，保有資訊安全，便成為許多企業的難題。在今年的Modern Web大會上，白帽觀點創辦人YSc分享如何在上述的開發流程裡，做到資訊安全（DevSecOps）。</p> <p>YSc強調，資安是每個人的工作，必須內化，而非開發完成之後才來驗證產品的安全性。然而，資安也不是無限上綱，絕非發現漏洞就是不計一切代價修補到好，商業價值衡量仍是最大的前提，因此，YSc說，企業必須先界定需要保護的標的為何，建立威脅模型，進而評估風險，最終要將資安工作標準化。</p> <p>有了前述的準備工作之後，就要確定應該執行的測試範圍，由於開發團隊的工作繁重，同時必須兼顧產品品質與推陳出新的進度等要求，勢必要儘可能採取自動化的檢測措施，才能在影響最小的情況下做到這些資安測試。</p> <p>由於自動化工具在採用的前期，往往會出現大量誤報的情況，因此YSc指出，在每次做完檢測之後，就要進行調整，並持續更迭，讓測試工具能更加符合企業的需求，而使得這些資安工作越做越順暢。</p> <h3><strong>確認攻防態勢是第一要務</strong></h3> <p>論及企業盤點所需執行的資安工作，YSc說，首先就是建立威脅模型，釐清需要保護和防範的標的。雖然業界常用的模型很多，像是STRIDE、PASTA（Process for Attack Simulation and Threat Analysis）等，但無論使用那一套模型，主要的精神還是在於，企業需要保護什麼資料（What）、攻擊者是誰（Who）、下手的標的（Where），以及如何攻擊企業（How）等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-ThreatModeling.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-ThreatModeling.png" style="width: 590px;" /></a></p> <blockquote><p>企業想要落實DevOps的開發安全，一開始必須檢視需要保護的重要資產，以及面臨的攻擊為何。</p> </blockquote> <p>例如，網站上的客戶資料必須嚴加保護，一旦遭竊就可能面臨求償、名譽掃地；若是要防範腳本小子（Script Kids）在網路上任意掃描，而成為遭受攻擊的對象，那麼就要檢查網站是否存在曝露的存取點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-PrevTo.png" style="width: 400px;" /></p> <blockquote><p>透過在開發流程中的預防和自動化檢測措施，企業可減少許多遭受攻擊的情況，若要更進一步，就需要透過滲透測試和漏洞獎勵計畫，找出前述流程無法發現的弱點。</p> </blockquote> <p>確定了上述的情況之後，接著就是要建立測試的方法，YSc指出，OWASP推出的Testing Guide v4，甚至是Application Security Verification Standard（ASVS），便是相當值得參考的準則。若要進行弱點評估，則可採用Common Vulnerability Scoring System（CVSS）3.0版。</p> <h3><strong>納入檢測流程並加以持續改善</strong></h3> <p>對於企業開發流程裡，那些部分需要納入資安工作，在持續整合（CI）和持續交付（CD）的工作中，YSc表示，從程式設計到程式碼檢核，然後進行部署和交互測試的過程裡，幾乎都有可以提升資安的工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-alltests.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-alltests.png" style="width: 590px;" /></a></p> <p>不過，YSc認為，若要在DevOps納入資安，企業應該優先從靜態應用程式安全測試（SAST）、動態應用程式安全測試（DAST），以及軟體組件分析（SCA）等3個部分，開始做起。</p> <p><a href="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-3tests.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/YSc-MordenWeb19-DevSecOps-3tests.png" style="width: 590px;" /></a></p> <p>在靜態應用程式安全測試的部分而言，主要是針對程式碼完整性，進行檢查，而動態應用程式安全測試則是實際執行，以檢核是否出現弱點，因此所需的時間相對也較長。至於軟體組件分析，是鎖定產品中可能會導入的第三方函式庫，檢查是否存在漏洞的情況。</p> <p>而無論是前述的靜態或是動態的應用程式安全測試工具，企業開始採用後，可能會面臨大量的誤報，因此執行檢測之後的漏洞管理工作，便相形更加重要，例如，確認某些問題是誤報，或是影響程度較低的弱點，也有些情況透過其他防護機制緩解等，藉此調整測試工具的參數，過濾掉相關問題，這樣才能在日後開發的檢測流程之中，集中焦點在比較需要處理的漏洞。</p> </div></div></div>
2019/8/30 19:30作者周峻佑https://www.ithome.com.tw/news/132778
Parallels Desktop 15開始採用Metal，支援DirectX11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mac上知名的虛擬化軟體業者Parallels推出了Parallels Desktop 15（簡稱PD15），在新的版本中支援蘋果下一代的macOS Catalina（10.15），並透過Apple Metal API支援DirectX 11，提升CAD/CAM及遊戲效能。</p> <p>Parallels是在Mac上透過虛擬化技術執行Windows及其應用，以提供Mac使用者跨平臺的使用體驗。過去幾乎每年都會更新版本，支援新一代macOS系統，這次的PD15也不例外，由於Catalina尚未推出正式版，目前僅為測試版本，PD15目前可先以虛擬機器執行Catalina測試版，待正式版問世後，將可以Catalina作為主機OS。</p> <p>作為跨平臺方案提供者，Parallels資深產品經理Kurt Schmucker表示，Parallels會支援微軟及蘋果最新的作業系統，微軟方面，包括Windows 10及以後的新系統，蘋果則支援即將在9或10月正式推出的Catalina，雖然目前僅以虛擬機支援，但PD15將會釋出更新，不論虛擬機或主機OS都能支援Catalina。</p> <p>PD15將會支援Catalina的一些功能，例如可讓iPad成為Mac電腦第二個延伸螢幕的Sidecar，將Windows的虛擬環境移到iPad，並開啟Windows 10的平板模式，以Apple Pencil進行觸控操作，或是在iPad上以Apple Pencil於Windows繪圖應用程式上畫畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20190829_115025-1.jpg" style="width: 600px; height: 450px;" /></p> <p>另外，Parallels用戶預計在今年秋天將可使用Apple登入，建立或登入Parallels帳號，簡化帳號管理。</p> <p><strong>支援Apple Metal、DirectX11</strong></p> <p>而蘋果旗下平臺停用OpenGL後，已逐漸轉至Metal，以強化iOS、macOS、tvOS等平臺的圖形處理能力，macOS也從OpenGL轉到Metal，但是在PD13、14還是支援OpenGL，僅支援DirectX 9及DirectX10，而在PD15上開始支援Metal，一舉支援DirectX9、DirectX10及DirectX11。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pd15.jpg" style="width: 600px; height: 341px;" /></p> <p>過去一些需要DirectX 11才能使用的CAD/CAM軟體工具，在PD15以前的版本，可能緩慢或無法開啟，現在在PD15上已能使用，例如Lumion 6.5、ArcGIS Pro 2.3、Autodesk 3ds Max 2020及MaterSeries。在PC遊戲上，先前在macOS Mojave上無法執行的，現在也能執行，例如世紀帝國Age of Empires:Definitive Edition、Anno2205等。</p> <p>不過，Parallels也坦言，儘管PD15開始支援DirecX 11，但並不保證在所有軟體上都能順暢執行，特別是在相當吃CPU、GPU資源的遊戲上，還是要取決於玩家的Mac電腦硬體效能。</p> <p>相較於PD14，PD15效能上再作提升，例如開啟微軟Office速度最高提升了80%，3D圖形處理則提升15%。</p> <p>在macOS及Windows兩種作業環境間的檔案轉移也變得更簡單，例如PD15允許使用者將macOS的螢幕截圖、Safari或圖片，將檔案拖拉至Windows環境的應用程式中，快速建立文件，將過去需要幾個步驟的過程簡化為拖拉。</p> <p>PD15相關功能改善：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/improve-1.jpg" style="width: 600px; height: 417px;" /></p> <p>Parallels Desktop也針對企業資訊安全的要求，在專業版及商業版中支援了vTPM虛擬信賴平臺模組，以開啟Windows的BitLocker，或使用虛擬智慧卡、Windows Hello PIN。專業版及商業版可以將內建及外接的磁碟，連至虛擬機器用於邏輯磁碟，安裝Windows或其他OS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BUSINESS.jpg" style="width: 600px; height: 360px;" /></p> <p>PD15一般版售價為臺幣2990元，教育版為臺幣2290元，用戶想從PD13或14升級至15需額外支付49.99美元；至於Parallels Desktop的專業版及商業版，每年費用為99.99美元。若想要從PD13或14升級至Parallels Desktop專業版，每年需支付49.99美元。</p> </div></div></div>
2019/8/30 18:09作者蘇文彬https://www.ithome.com.tw/news/132763
將來銀行揭露更多新戰略，不自建而要擁抱任何生態系，更公開4項AI應用與6大資安發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3家純網銀團隊中，一切從零開始的將來銀行，不像LINE Bank、樂天國際銀行有來自集團強大的生態圈，他們要如何走出自己的路？</p> <p>將來銀行資訊長兼技術長周旺暾，在一場由中華民國電腦稽核協會舉辦的數位科技應用與資訊治理專業論壇上，更進一步揭露了自家未來作法。</p> <p>周旺暾表示，即便將來銀行最大股東中華電信擁有超過1千萬的電信用戶，全臺中華電信門市加上神腦門市也共有1千多家，股東之一的全聯也有近1千多間實體據點。但，他坦言，中華電信、全聯的門市在臺市占率仍然沒有過半，對臺灣市場撼動力就非常有限。</p> <p>但這樣，要如何匹敵LINE與樂天既有的生態系？周旺暾指出，「將來銀行決定不自帶生態系，而是必須加入任何生態系。」既然，將來銀行在第一時間不會有強大的會員系統，但是可以參與任何電商、實體通路、旅行業等各種業態，不浪費時間構築堅強的城堡，就能更快地走進消費場景中。</p> <p>而唯一的作法，就是開放銀行。周旺暾表示，將來銀行IT在開放銀行的戰略，就是要盡可能開放所有的API，他們內部訂了一個標準，除非法規規定不行，否則將來銀行App上有的功能，都會有API的對應，目標是把功能百分百開放，唯有如此，才能不打造自有生態系，卻也能走入每個人的生活中。</p> <p>在資安的布局，周旺暾坦言，銀行在資安上的問題是，不知道駭客真正在想什麼。他認為，要比駭客早一步封鎖漏洞，並透過AI自動偵測駭客活動，而將來銀行規畫的作法是，記錄網路正常樣態，透過機器學習方式，學習應用層在正常網路的樣態，當駭客在感染系統時，就可以比對是否有異常的網路通訊出現。</p> <p>周旺暾解釋，駭客感染的方式可能是走過標準通訊協定進來，所以關掉防火牆是不夠的，不如去學習正常樣態，來偵測異常樣態。一旦偵查到系統有了警訊，就能讓SOC（資安監控中心）人員進一步了解系統出了什麼問題。</p> <p>下一步，就是快速回復受損系統。但，將來銀行的計畫不是人工修理，而是先凍結系統。由於將來銀行是全部虛擬化設計，周旺暾提到，凍結後的系統成為影像檔，就會送鑑識小組鑑識駭客是否有進來，他的活動是什麼？在機器裡一定能找到軌跡。將來銀行也會在凍結系統後，重新部署新的系統，且內部訂下在5分鐘之內得完成新系統部署的目標。</p> <p>此外，當資料一旦離開加密區，將來銀行會依照資料權級，若是有個資或重要資料的文件檔，就要同時加密與加簽，以確定資料流向。不選擇使用傳統浮水印的方式，將來銀行要採取的是數位簽章方式，在文件上打上標籤，何時、何人、做了什麼動作，都會放進數位簽章。周旺暾表示，這樣的作法，是要讓不對的人拿不到資料，即便試著解開，還是可以追蹤到源頭在哪。就算不幸資料流出，也要做最快的倒禦，找出問題到底發生在哪，怎麼去把漏洞補起來。</p> <p>他也強調，將來銀行不做沒有意義的資安活動。目前，他們把資安分成六大重點工作，一是規範，將來銀行內部會有資安規範小組。二是拿到盡可能多的國際認證，透過第三方來確保流程安全。</p> <p>三是仿照歐盟GDPR的要求，設立資料保護專責單位，也會設立資料保護長，周旺暾提到，將來銀行雖然不在GDPR規範的國家，但他們認為，GDPR有個很棒的觀念是，資料保護並不等於資安。他認為，資安是架構、流程、方法，但不代表資料被保護。所以，將來銀行設立資料保護專責單位、資料保護長的用意，是要追蹤每一個重要的資料，是否有被正確的保護住。</p> <p>第四項是弱點分析。第五則是防禦，將來銀行會有24小時的資安監控中心，這部分除了來自中華電信的協助，周旺暾表示，還會有其他人進來，一起在應用層跟中華電信合作。最後一項則是開發安全，將來銀行希望開發的所有過程，能導入系統發展生命周期（System Development Life Cycle，SDLC），在每一過程檢討安全是否到位。</p> <p>在AI的運用，周旺暾揭露，將來銀行在開行的第1年，會先鎖定四項重點應用，分別是行銷、財務、信用與資安。他提到，在行銷的AI應用，要用事件的發生，來決定顧客要什麼服務，在顧客需要服務時就能知道，並以顧客感到貼心的方式提供顧客必要的金融服務。</p> <p>此外，由於純網銀是24小時營業，不能設立任何實體分行的限制下，使得業務全程都必須在網路上操作。所以，金管會對純網銀流動性風險的管理更為重視，特別是夜間與假日流動性風險的監控與因應。將來銀行則要透過AI，進行即時流動性風險的分析，比如何時會出現資金缺口，或是現金流動有無造成營業潛在問題等，來提早準備因應。</p> <p>將來銀行也計畫用AI做信用評級，不只透過聯徵中心來取得顧客信用，更要透過與市場的合作，例如與中華電信合作，知道顧客過去繳費記錄，手機門號使用多久，結合更多數據來做信用評級，以消費信用的方式預先核准一個消費額度，當顧客臨時急需用錢時，像是一筆旅遊基金或是家人住院需要一筆錢，就可以知道自己有多少消費額度可借用，將來銀行也會以合理的利息給顧客。而在資安部分，將來銀行則是希望能用AI偵測到系統異常，進行預警。文⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0231.JPEG" /></p> </div></div></div>
2019/8/30 10:33作者李靜宜https://www.ithome.com.tw/news/132730
Telegram將按原訂計畫於10月發行Gram加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約時報於本周<a href="https://www.nytimes.com/2019/08/27/technology/telegram-cryptocurrency-gram.html" target="_blank">報導</a>，Telegram已向3名投資人表示，將依照原訂計畫於今年10月底以前發行Gram加密貨幣。</p> <p>Telegram是在去年初對外揭露自家的Telegram Open Network（TON）區塊鏈網路與代幣專案，原本打算透過首次代幣發行（Initial Coin Offering，ICO）來募資，但光是針對特定投資人的ICO預售活動，就募集了17億美元的資金，因而取消了該場ICO活動。</p> <p>不過，Telegram在去年初出售的是「未來代幣的簡單合約」（Simple Agreement for Future Tokens，SAFT），承諾投資人可在TON網路於今年10月上線時，獲得等值的Gram加密貨幣，若未能履行則會退還當初投資的金額。</p> <p>根據Telegram的規畫，該公司打算建立一個基於TON網路的經濟體系，提供各種能以Gram交易的服務，且屆時每個Telegram用戶都會擁有一個TON數位錢包。</p> <p>儘管當初SAFT的銷售很快就額滿，而且還出現了高價轉售的風潮，但加密貨幣部落客David Gerard<a href="https://davidgerard.co.uk/blockchain/2019/07/28/telegrams-1-7-billion-problem-coming-in-october-kyc-aml-on-gram-tokens/" target="_blank">認為</a>，Telegram對Gram的規畫與臉書所發表的Libra非常類似，此刻Libra正面臨許多監管機關的質疑，他懷疑Gram能否真正用來交易而不受各國法令的規範，而且倘若Gram沒能問世，Telegram也許還不出17億美元。</p> <p>不論如何，3名Gram投資人向紐約時報透露，Telegram已說在這一兩周就會開始測試Gram網路，將按照原訂計畫於今年10月上線。</p> </div></div></div>
2019/8/30 10:35作者陳曉莉https://www.ithome.com.tw/news/132735
超難用報稅系統UI如何大改造，幕後推手現身揭露關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">去年5月報稅時，應該有不少民眾注意到，報稅系統的介面已經有別於從前充斥著各種紛雜資訊，改成以簡潔的色塊來指引使用者選擇不同身分驗證來登入，大幅優化了使用者體驗（UX）。而促成這件事情的最大功臣，也就是致遠體驗設計的創辦人卓致遠，近期，他也在一場活動上，分享報稅系統的改版過程中，使用者體驗扮演的角色。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mac-OS-X-%E7%B6%B2%E8%B7%AF%E5%A0%B1%E7%A8%852016-05-04_1212-1.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr">舊版綜合所得稅報稅系統。</p> </blockquote> <p dir="ltr">要設計一個軟體的使用者介面，通常需要先釐清需求、確認規格與功能、擬定操作流程，接著製作出原型後，先經過易用測試再進行視覺設計，最後上線行銷，再根據反饋來維護修改。然而，現實來看，若設計師並無充分了解使用者在軟體各介面中的操作與需求，很可能在時間壓力下，確認規格後就直接仿照競爭對手的軟體功能，或遵照主管需求來設計，「但是，該關注的不是競爭者，而是使用者，一個不在乎人的軟體就不會被在乎。」卓致遠表示。</p> <p dir="ltr">尤其，隨著智慧型手機普及，網站前端的開發也走向響應式網頁設計（Responsive web design，RWD），不合時宜的舊版網站，相形之下更顯得格格不入，於是，卓致遠2017年在公共政策網路參與平臺提案「報稅軟體難用到爆炸」，獲得行政院政務委員唐鳳的注意，才引起了行政院由上而下的推動改版。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/5258.jpg" style="width: 600px;" /></p> <h3 dir="ltr"><span style="color:#FF8C00;">報稅系統介面重新改版，目的要優化使用者體驗</span></h3> <p dir="ltr">卓致遠回憶，當時提案通過後，有五分鐘的報告時間，於是，他從使用者體驗不佳的角度，說明報稅系統介面不適用的原因。首先，因為行動裝置普及，響應式網頁主導了大多數網站的視覺設計，民眾已經不太花時間去讀大量文字，反而是更直覺的圖像能引起注意；第二，則是民眾對於「好用」的標準提高，就像從電腦卸載應用程式，需要進入控制臺的程式集來卸載，但手機刪除App更為簡單，只要長按圖標再點X即可，在對比之下，使用者要求自然會提高。</p> <p dir="ltr">也因此，在執行改版的過程中，工作小組特別從創造更友善的使用者體驗來著手，有目的的優化介面。對此，卓致遠表示：「不只要看到系統，還要看到細節，要思考完整的使用者操作流程。」比如說，雖然報稅系統首頁是要民眾選擇報稅的身分驗證方式，但民眾上網報稅時做的第一件事，是透過Google搜尋「報稅」兩字，接著進入財政部的官網來尋找入口網站。因此，財政部網頁中「綜合所得稅電子結算申報繳稅」的選項是否顯眼，也要納入考量，才真正兼顧了完整的使用者體驗。</p> <p dir="ltr">再來，報稅時需要選擇身分驗證的方式，比如採用健保卡登入者要先註冊帳號，與採用自然人憑證登入者相同，都需具備讀卡機等，這些資訊必須讓使用者一目了然，才不會準備不齊導致報稅時一再重試。「既然這個起始頁面是要讓他做好報稅之前的準備，那有沒有確實做到這件事？」</p> <p dir="ltr">卓致遠也舉一個極端的案例來說明介面設計須符合使用者體驗的重要性。一位民眾要用健保卡驗證身分，登入時發現需要事先註冊；到了註冊頁面，卻發現要先下載flash才能顯示畫面，於是點擊下載；然而，本來下載完會自動跳出一個「下載完成」的視窗，但用戶裝設了AdBlock，必須先關閉AdBlock才能點選下載完成，卻沒想到網頁上沒有跳出關閉AdBlock的視窗，而是出現「請稍後」的畫面，這一等就是兩天過去，民眾根本連報稅系統都無法登入。</p> <p dir="ltr">卓致遠說明，要確認使用者是否能順利完成指定任務，最直接的方法就是進行易用測試，比如報稅軟體剛設計完成、還未交由工程師開發時，卓致遠將介面圖印在紙本上，找來三位使用者進行測試，檢視頁面規劃的問題，並統計成表。如此一來，不僅能在開發程式前就修改設計，能在有限時間內，優先改進會造成操作困難的設計，而非過於聚焦在配色、圖樣、按鈕等細節，「易用性測試試讓大家把焦點放在使用者身上。」 </p> <p dir="ltr">報稅系統上線時，就在網路上掀起一陣討論，許多部落客、網路名人相繼分享報稅系統改版的樣式。然而，多數人分享的身分驗證頁面是專屬Mac、Linux、平板用戶使用，Windows用戶則必須回到財政部官方頁面去下載離線版，造成很多民眾點誤解新版介面Windows用戶不能用。為此，卓致遠與工程師討論，找出最簡單的修正方式，就是在該頁面中，加上Windows用戶的下載連結，不須更動太多程式，「找出一個可以讓工程師修改最少的解決方案。」</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Payment-of-Individual-Income-Tax-0-624x312.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr">新版報稅網站，以簡單色塊區分身分驗證方式，且最上方藍字清楚指示Windows用戶應使用離線版。</p> </blockquote> <p dir="ltr">時隔一年，今年報稅系統Web線上版除了提供MAC、LINUX、平板外，還新增了Windows線上版，讓使用Win7以後版本使用者可以離線、線上版操作，也更優化了使用者體驗。</p> </div></div></div>
2019/8/30 10:58作者翁芊儒https://www.ithome.com.tw/news/132736
Google將下載次數超過1億的Android app列入抓漏範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Play Store上發現無數次惡意或被注入惡意程式的Android app後，Google周四<a href="https://hackerone.com/googleplay" target="_blank">宣佈</a>更新Google Play抓漏獎勵大賽規範，將把下載次數超過1億次的app也納入檢驗範圍。</p> <p>Google Play 安全獎勵方案（Google Play Security Reward Program，GPSRP）是Google和抓蟲活動平台HeckerOne及幾家大型app開發商合辦，目的在找出Google Play上app的漏洞，從最嚴重的遠端程式碼執行（Remote Code Execution，RCE），到竊取用戶個資或憑證、中間人攻擊（MITM）或導向釣魚網站等中低風險漏洞。但這次實施的對象，還包括了Play Store上下載次數超過1億的app。</p> <p>Google希望如果研究人員找到非獎勵類型的漏洞，仍然要直接通報app開發商，但如果開發商沒有回應，且該app是安裝下載數超過1億的知名app，則經由此方案通報漏洞。不過Google會先通報該廠商，等對方確認有漏洞且已修補後，才會通知研究人員上傳漏洞報告參加本方案。Google表示不保證廠商一定會回應，或漏洞研究一定會公布。如果廠商沒有回應或不修補漏洞，Google將循平常模式將其自PlayStore下架。</p> <p>此外，如果該app廠商自己也有抓漏獎勵方案，在這個廠商首肯下，研究人員也可以雙軌參加，因此最好的情況是可以拿到二份獎金。加入Google這項抓漏方案的知名第三方app，還包括Facebook、Snapchat、Paypal、Spotify、Tesla、Airbnb等。</p> <p>針對研究人員上傳的漏洞報告，經審查符合本方案列出的漏洞類型，Google將提供2萬～5百美元不等的獎勵。</p> <p>Play Store上熱門app爆出漏洞情況屢見不鮮。近期才<a href="https://www.ithome.com.tw/news/132686" target="_blank">爆出</a>下載次數超過1億的Android 版CamScanner，其廣告函式庫藏有惡意模組，遭Google緊急移除。</p> <p>Google同時間針對Android app、OAuth專案和Chrome擴充程式<a href="https://hackerone.com/ddp_reward_program" target="_blank">宣布</a>開發人員資料防護回饋方案（Developer Data Protection Reward Program）。Google指出，本方案旨在找出違反Play Store、Google API、Chrome Web Store程式政策的Android app，例如使用未獲允許的API或資料蒐集、處理不當，造成侵犯隱私、資料濫用或外洩等情形。針對符合審查的研究，Google提供100到1000美元的獎金。</p> </div></div></div>
2019/8/30 11:00作者林妍溱https://www.ithome.com.tw/news/132737
禁令所限，華為5G手機Mate 30 Pro不會有 Google App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>路透社<a href="https://www.reuters.com/article/us-huawei-tech-alphabet-idUSKCN1VI240" target="_blank">報導</a>華為即將於9月宣佈第一款5G旗艦級手機Mate 30 Pro，但受限於美國禁令，新手機將不會有Google Maps、Gmail這些重要的app。</p> <p>消息人士指出，華為將在9月18日在德國慕尼黑公布旗艦級手機Mate 30 Pro，不過正式開賣日期尚未確定。另一方面，報導同時引述Google發言人的說法，受到美國商務部禁令的限制，這隻手機將不會有授權的Google Mobile Services，即Google提供給手機ODM的Google app，包括Google Search、Google Maps、Gmail、Play Store等。</p> <p>雖然商務部在8月底曾<a href="https://www.ithome.com.tw/news/132515" target="_blank">延長</a>華為禁令的緩衝期，但是Google表示並不包含對華為新產品提供Android授權。</p> <p>8月底商務部的延長許可範圍，僅涵蓋維護及支援既有網路與設備、對既有手機的支援、網路安全研究與漏洞的揭露以及5G標準的開發。這意謂華為即使能搭載Android，也只會是Android開源碼專案（Android Open Source Project，AOSP），但可用性大幅降低。</p> <p>在禁令下，美國公司要銷售產品或服務給華為需獲得許可。路透社本周<a href="https://www.ithome.com.tw/news/132706" target="_blank">報導</a>，美國商務部已收到130份來自美國企業的申請書，希望取得許可以將商品出售給華為，只是迄今尚無任何一項申請通過審核。對此Google不願透露是否有提出申請。</p> <p>為了避免此類情況，華為8月間<a href="https://www.ithome.com.tw/news/132354" target="_blank">宣布</a>自有作業系統鴻蒙（HarmonyOS），表示必要時也會用在手機上。此外路透社稍早也<a href="https://www.reuters.com/article/us-huawei-russia-partnership/huawei-in-talks-to-install-russian-operating-system-on-tablets-for-countrys-population-census-sources-idUSKCN1VG1VN" target="_blank">披露</a>，華為三十多萬臺平板搭載俄羅斯製作業系統Aurora，作為取代Android的測試計畫。</p> </div></div></div>
2019/8/30 11:25作者林妍溱https://www.ithome.com.tw/news/132739
一周大事：新式數位身分證誕生，明年10月全面換發。2019臺灣駭客年會社群場熱烈登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>內政部：明年10月換發數位身分證</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%95%B8%E4%BD%8D%E8%BA%AB%E5%88%86%E8%AD%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%A7%E6%94%BF%E9%83%A8(1).png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／內政部</span></p> <p>內政部預告明年第四季開始免費換發數位身分證（New eID），預計2023年完成2,359萬人換證。數位身分證將結合國民身分證及自然人憑證，晶片內儲存的資料則和現有紙本身分證相同。新的數位身分證採晶片卡設計，符合ISO 29115數位身分驗證的最高等級4規範，並以數位簽章確保線上交易的安全及不可否認性。<a href="https://www.ithome.com.tw/news/132607" target="_blank">更多內容</a></p> <p> </p> <p><strong style="font-size: 28px;">HITCON社群場邁向第15屆，電路板解謎活動及適合IT人員的藍隊競賽最吸睛</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89HITCON%20CMT15.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／HITCON</span></p> <p>邁向第15屆，臺灣駭客年會（HITCON）社群場於8月23、24日登場，帶來多個議程與各式大會活動，吸引近千名對資安有興趣的研究人員和學生參與。</p> <p>這次大會活動有資安研究人員Orange Tsai與Meh Chang，道出他們找出企業SSL VPN漏洞的寶貴經驗，其實在8月初的美國Black Hat大會上，他們已經發表演說，不過這次是他們首次以中文演講，讓國內與會者能夠更近距離接觸與理解。</p> <p>而在多項議程之外，現場還有各式活動，例如電路板識別證挑戰（HITCON Badge Challenges），在一塊以臺灣為造型的電路板上，由24顆LED及3個傳輸燈號開關燈號組成，有6個操作按鍵，當中設計了TrustZone挑戰關卡讓大家來破解。<a href="https://www.ithome.com.tw/news/132622" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>聯想電腦預裝管理軟體，暗藏可被駭客接管系統的漏洞</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%81%AF%E6%83%B3_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89(1).jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">攝影／洪政偉</span></p> <p>近期聯想一個存在於大部份筆電內的裝置管理軟體Lenovo Solution Centre（LSC），被安全廠商揭露含有漏洞，可使駭客取得管理員權限執行程式，甚至接管裝置。<a href="https://www.ithome.com.tw/news/132632" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟提供Windows 7免費展延支援的大量授權方案</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Windows%207_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F(1).png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟年初宣布，Windows 7將在2020年1月14日來到生命周期終點，即無法再獲得微軟最基本的安全更新。不過這是對大部份個人及企業用戶而言。根據微軟一份促銷文件，透過大量授權合約EA及EAS方案來訂閱Windows 10 Enterprise E5、Microsoft 365 E5或Microsoft 365 Security的企業用戶，在促銷方案下，將可獲得多一年Windows 7延伸安全更新。<a href="https://www.ithome.com.tw/news/132652" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>車輛中心發表首部國產自駕小巴</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_WinBus_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E9%83%A8(1).png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源／經濟部</span></p> <p>經濟部發表國產第一輛自駕小巴WinBus，由車輛研究測試中心（ARTC）聯手超過20家軟硬體設備商打造而成，已經達到美國汽車工程師協會（SAE）的Level 4高度自動駕駛（High Automation）階段，也就是在固定或封閉場域內，車輛無需人為介入，自駕車可以完成所有駕駛和環境監測功能。<a href="https://www.ithome.com.tw/news/132652" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>駭客組織攻擊全球銀行掠財，臺灣成亞洲首要目標</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Silence%E9%87%91%E8%9E%8D%E9%A7%AD%E5%AE%A2.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源／Group-IB</span></p> <p>Group-IB研究人員發現，一個名為Silence的俄羅斯駭客組織，開始將攻擊範圍觸及亞洲。以Silence去年底發出的17萬封偵察式電子郵件為例，亞洲占了8萬封，其中台灣以2.1萬封居榜首、其次是馬來西亞（1.6萬封）及南韓（8,800封）。<a href="https://www.ithome.com.tw/news/132556" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>搶攻大規模K8s管理，VMware發布新產品Tanzu</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Tanzu_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.png" style="width: 500px;" /></strong></span></p> <p>在近期VMworld大會上，VMware終於揭露了新的K8s產品線Tanzu，第一個產品就是VMware Tanzu Mission Control（Tanzu任務控制器）預覽版，可以透過單一控制機制，來管理部署在各地的K8s叢集，包括了vSphere、公有雲，代管式K8s服務、甚至是企業自行建置的客製Kubernetes。不只可以直接瀏覽這些叢集，也可檢視叢集的容量，來進行備份和安全性配置等管理。<a href="https://ithome.com.tw/news/132646" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Angular CLI改版新增部署命令並改進差異化載入</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Angular%20CLI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Angular.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源／Angular</span></p> <p>Angular釋出新的CLI 8.3版本，加入一個部署指令，可以讓開發者執行與專案相關聯的部署CLI建置器。目前該部署指令支援Firebase、Azure、Zeit、Netlify和GitHub，當然開發者也可自行開發建置器，將專案部署到自己託管的伺服器，或是其他第三方建置器未支援的雲端平臺。<a href="https://www.ithome.com.tw/news/132662" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>News Corp也在打造新聞聚合服務Knewz</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_News%20Corp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hugh%20Han%20on%20Unsplash.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源／Hugh Han on Unsplash</span></p> <p>旗下擁有華爾街日報、澳洲新聞集團、英國新聞集團及道瓊公司等多個新聞資產的新聞集團（News Corp），正準備推出名為Knewz的新聞聚合服務，以與Google News等平臺一較高下。Knewz將會聚集數百種新聞來源，並將流量導回原始媒體，同時也將打造網站與行動程式，最快年底問世。<a href="https://www.ithome.com.tw/news/132609" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>被HTTP/2漏洞拖累，Kubernetes釋出安全更新</strong></span></p> <p>Netflix、Google及CERT/CC在日前揭露了攸關HTTP/2實現的8個安全漏洞，本周容器管理專案Kubernetes指出，用來打造Kubernetes的Go語言，受到其中兩個漏洞的波及，也讓Kubernetes遭蒙池魚之殃，導致所有版本都受到相關漏洞的影響，可能造成服務阻斷。</p> <p>目前Go已經釋出Go1.12.9與Go1.11.13來修補這兩個漏洞，而K8s則是基於Go的修補釋出K8s v1.15.3、K8s v1.14.6與K8s v1.13.10，Hausler建議K8s 用戶應儘快升級到最新版本。<a href="https://www.ithome.com.tw/news/132540" target="_blank">更多內容</a></p> <p> <span style="font-size:28px;"><strong>戴爾與Google合作發表第一臺企業級Chromebook</strong></span></p> <p>戴爾與Google合作推出了第一款企業級筆電Chromebook Enterprise，為想要把工作負載移至雲端的企業，提供包括了全球支援、管理工具和維護計畫，而企業還可以使用VMware Workspace One統一管理Chromebook以及微軟Windows的裝置。Chromebook Enterprise現在於50個國家上市，支援10種不同的語言。<a href="https://www.ithome.com.tw/news/132654" target="_blank">更多內容</a></p> </div></div></div>
2019/8/30 15:00未署名https://www.ithome.com.tw/news/132740
蘋果更新維修專案，允許第三方維修中心存取iPhone官方元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周<a href="https://www.apple.com/newsroom/2019/08/apple-offers-customers-even-more-options-for-safe-reliable-repairs/" target="_blank">發表</a>了新的<a href="https://support.apple.com/irp-program" target="_blank">「獨立維修中心計畫」</a>（Independent Repair Provider Program），將允許獨立的第三方維修中心存取iPhone的官方元件、工具、訓練、維修手冊或診斷，先行支援美國市場，亦計畫擴大至其它國家，可望造福眾多保固期限已過的iPhone用戶。</p> <p>蘋果過去只供應相關資源予「蘋果授權維修中心」（ Apple Authorized Service Providers，AASPs），但許多過保固的iPhone用戶，都會選擇到第三方的獨立維修中心修理他們的手機。</p> <p>蘋果營運長Jeff Williams表示，當手機需要維修時，客戶應該有可以被修好的信心，蘋果相信最安全與最可靠的維修，是由訓練有素的技術人員負責處理，且採用經過精心設計及嚴格測試的官方元件。</p> <p>因此，第三方的獨立維修中心將與蘋果維修中心享有同樣的資源，包括可以同樣的價格取得原廠零件、工具、訓練、維修手冊及診斷，只不過這些獨立維修中心必須先向蘋果提出申請，且技術人員必須取得蘋果認證，不過認證程序是免費的。</p> <p>根據蘋果所列出的規定，只要有興趣針對已過保固的iPhone提供維修服務的公司都能申請，應備妥公司證明文件，且維修中心必須設立在商業區，而技術人員則可透過網路上的授權測試中心進行考試，通過之後即可取得蘋果認證。考試是免費的，認證必須每年更新。</p> <p>在消費者爭取維修權的風潮下，這一年來蘋果已在北美、歐洲及亞洲與20個獨立維修中心展開了試驗，並於本周正式開放外界申請。目前該計畫只適用於iPhone，蘋果並未透露是否打算擴大至其它蘋果產品。</p> </div></div></div>
2019/8/30 15:40作者陳曉莉https://www.ithome.com.tw/news/132760
蘋果將在9月10日舉辦發表會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多家媒體在本周收到了<a href="https://www.apple.com/apple-events/" target="_blank">蘋果的特別活動邀請函</a>，指出蘋果即將在今年9月10日的早上10點（約是台灣11日凌晨1點）於蘋果總部的Steve Jobs Theater舉行發表會，一如既往，蘋果邀請函的主題僅簡單地寫著「僅限創新」（By innovation only），而無其它細節。</p> <p>傳統上蘋果於秋天舉行的發表會就是一年一度的iPhone新機發表，今年則傳出<a href="https://www.ithome.com.tw/news/132598" target="_blank">蘋果將會發表3款新iPhone</a>，其中兩款高階機種為iPhone 11 Pro與iPhone 11 Pro Max，另一款用來取代iPhone XR的則是iPhone 11，螢幕尺寸分別為5.8吋、6.5吋與6.1吋，它們都將配備更快的A13處理器，且有更強大的攝影功能。</p> <p>也有人從蘋果邀請函的彩色蘋果商標，猜測此次的iPhone可能色彩繽紛。伴隨著新款iPhone出爐的，應該還有最新的iOS 13行動平台。</p> <p>除了iPhone之外，外界也預期蘋果也許還會更新iPad或MacBook Pro，以及推出全新的Apple Arcade遊戲訂閱服務與Apple TV+蘋果原創內容頻道。</p> <p>屆時全球的蘋果迷，都可透過<a href="https://www.apple.com/apple-events/" target="_blank">蘋果官網</a>或Apple TV觀賞該場發表會的直播內容。</p> </div></div></div>
2019/8/30 15:55作者陳曉莉https://www.ithome.com.tw/news/132761
Mozilla執行長年底換人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/blog/2019/08/29/my-next-chapter/" target="_blank">Mozilla執行長Chris Beard周四宣佈</a>加入公司15年後，他將於今年底離開Mozilla。</p> <p>Beard是在2014年接任執行長一職，當時前任執行長Brendan Eich因捐贈推動禁止同性婚姻的活動一事被揭露而下台。Bread指出，過去幾年來Mozilla產品、技術和政策更成熟也獲得市場迴響。<a href="https://blog.mozilla.org/blog/2019/08/29/thank-you-chris/" target="_blank">Mozilla董事長Mitchell Bake</a>也推崇Beard任內推動Firefox強化安全及隱私的產品政策提升市場能見度，此外也推出Firefox安全隱私外掛產品，像是<a href="https://www.ithome.com.tw/news/122111" target="_blank">Facebook Container</a>、<a href="https://www.ithome.com.tw/news/131107" target="_blank">反追蹤功能Enhanced Tracking Protection</a>及 <a href="https://www.ithome.com.tw/news/126116" target="_blank">Firefox Monitor</a>等。<a href="https://www.ithome.com.tw/news/126562" target="_blank">去年Mozilla也開始</a>與ProtonVPN進行實驗性質的合作，為美國一小群Firefox用戶提供每月訂閱虛擬專用網絡（VPN）服務。</p> <p>然Mozilla捍衛隱私，計畫支援DNS over HTTPS（DoH），使網路流量無法為第三方（如ISP）監控，<a href="https://www.ithome.com.tw/news/131727" target="_blank">也遭英國ISP點名為</a>網路惡棍。</p> <p>Mozilla董事會將開始尋覓下一任CEO人選，如果今年底前還未找到，必要時Baker將暫代CEO一職。</p> <p><a href="https://netmarketshare.com/browser-market-share.aspx" target="_blank">根據市調公司Net Application的數據</a>，截至今年7月，Firefox的市佔率僅為9.4 %，略高於微軟IE的8.6%。Google Chrome為66.8%。</p> </div></div></div>
2019/8/30 16:05作者林妍溱https://www.ithome.com.tw/news/132759
美國數百家牙科診所仰賴的備份公司遭到勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供牙科診所線上備份服務的Digital Dental Record與其IT供應商PercSoft在8月27日<a href="https://www.dentalrecord.com/assets/images/media%20statement%20update.pdf" target="_blank">宣布</a>，他們所使用的雲端管理軟體在8月26日遭到勒索軟體的攻擊，駭客加密了診所客戶存放在該平台上的資料，導致客戶無法再存取病患的X光片等資料。</p> <p>Digital Dental Record所推出的DDS Safe服務提供牙科處方簽、牙齒的表格/圖表或X光片等文件的備份服務，還大打廣告說採用DDS Safe能夠避免牙科診所淪為勒索軟體攻擊的受害者，沒想到自己就淪陷了。</p> <p>其實遭到勒索軟體攻擊的是Digital Dental Record的IT服務供應商PerCSoft，但PerCSoft負責了DDS Safe的遠端管理雲端平台。</p> <p>美國威斯康辛州的牙醫協會亦發表了聲明，指出約有400家牙科診所因此一攻擊事件，而無法存取它們存放在DDS Safe的電子文件。</p> <p>Digital Dental Record與PercSoft正在努力回復客戶的資料，不過根據<a href="https://krebsonsecurity.com/2019/08/ransomware-bites-dental-data-backup-firm/" target="_blank">資安部落客Brian Krebs的報導</a>，這兩家業者是藉由支付贖金來取回檔案，並諷刺提供備份服務的公司竟然自己沒備份。</p> <p>不過，支付贖金也許是最快取回客戶檔案的方法之一。Digital Dental Records在8月26日遭到勒索軟體的攻擊，在27日就拿到了解密金鑰。</p> <p>另一方面，此次感染DDS Safe的勒索軟體為近來頗受矚目的Sodinokibi，網路安全業者Cybereason是在今年4月察覺Sodinokibi的存在，進一步分析之後認為它的作者與GandCrab的作者是同一個，GandCrab曾是全球感染力最強的勒索軟體，在高峰時期擁有40%的佔有率，並在大賺20億美元之後<a href="https://www.ithome.com.tw/news/131042" target="_blank">於今年中宣布收山</a>。</p> <p>Sodinokibi主要的感染途徑為開採伺服器漏洞，也會藉由網釣或是攻擊套件展開攻擊，攻擊範圍則從亞洲地區蔓延到歐美，且只誕生4個多月便已成為全球第四大最常見的勒索軟體。</p> </div></div></div>
2019/8/30 16:20作者陳曉莉https://www.ithome.com.tw/news/132762
不只是民生相關的資源，文化資產同樣是極需保護的關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關鍵基礎設施（CI）的資訊安全，已經成為許多國家開始重視的議題，而在臺灣當局發展資訊安全的體系時，強化這些設施的資安防護，被列為其中的重要項目，但究竟那些是我國定義的關鍵基礎設施，又要留意那些事項，許多公部門和有關單位卻可能不甚清楚。在8月28日舉行的數位政府高峰會上，行政院資通安全處處長簡宏偉彙整了他們在關鍵基礎設施的領域，推動資安監控通報機制的進展，並解釋如何定義和評估關鍵基礎設施。</p> <p>我國資安法對於關鍵基礎設施的8大類型，許多人想要了解其中定義的範圍，例如，金融單位是否包含電子商務平臺。不過，簡宏偉也藉此機會指出，所謂的關鍵基礎設施，涵蓋層面其實相當廣泛，不光是與民生相關的能源和資源，凡屬受到損害之後，會動搖民眾信心，或是損害政府聲譽者，就算是這種類型的設施。</p> <h3><strong>廣義的關鍵基礎設施包括文化資產</strong></h3> <p>在資安法實行之後，是否電子商務平臺是關鍵基礎設施裡，所定義的金融單位，簡宏偉說，他們遇到許多人會有這個疑問，因此，他特別提到在推動的過程中，政府如何界定什麼是關鍵基礎設施。</p> <p>首先，簡宏偉提到，在識別這些設施的程序裡，他們先歸納出主要和次領域，然後再找出領域之中的服務，最終才識別出關鍵基礎設施與其中的關鍵資訊基礎設施（Critical Information Infrastructure，CII），並進行列管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CI-CII-Def.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CI-CII-Def.jpg" style="width: 590px;" /></a></p> <blockquote><p>簡宏偉表示，在我國資安法裡的關鍵基礎設施（CI）和關鍵資訊基礎設施（Critical Information Infrastructure，CII），兩者之間的關係，他們採用歐盟的定義，也就是關鍵資訊基礎設施依附於關鍵基礎設施之上。</p> </blockquote> <p>而這些關鍵基礎設施的重要性，簡宏偉指出，他們會依據功能的重要性，以及失效會帶來的直接影響，還有對於波及民心士氣的程度，進行評量。</p> <p>在功能的重要性裡，他列出了9大類型功能，包含了與政府機關運作相關、重要資通訊系統、維生與運輸機能、金融、疫病、治安與救災、國家重要象徵與資產、重要產業，以及國防等項目。</p> <p>而在設施失效的影響層面，除了能夠統計的設施價值、影響人數，以及經濟損失之外，還有其他無形的部分，像是國際形象受損、政府的聲譽與民眾信心受到打擊，也都是在評估的範圍之中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CriticalInfra_Importance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CriticalInfra_Importance.jpg" style="width: 590px;" /></a></p> <blockquote><p>政府在評估關鍵基礎設施的重要程度，主要依據圖中3種層面，分別是功能重要與否、設施無法正常運作會帶來的影響，以及可能會產生的後續效應，像是打擊國際形象，或是民眾可能會對政府失去信心等。</p> </blockquote> <p>值得留意的是，目前在我國的資安管理法裡所定義的關鍵基礎設施，一共有8種領域，但是簡宏偉指出，其實廣義的關鍵基礎設施，並非局限於會直接影響社會整體運作的油、水、電等資源的供應設施，而是只要會影響民心士氣者，都屬於這種設施的範圍，需要加以管理。他舉出美國將自由女神像列為關鍵基礎設施的例子，其理由就是該國的重要精神象徵，一旦遭受攻擊，就會嚴重打擊民心。</p> <p>因此，所謂的關鍵基礎設施，其實還包含了文化資產。只是我國資安法施行的初期，優先針對民生有直接關聯的部分，進行列管。</p> <h3><strong>關鍵基礎設施是國家資安聯防重要環節</strong></h3> <p>簡宏偉表示，縱觀已經施行資安管理法的國家，包含了美國、日本、中國、新加坡，以及馬來西亞等國，雖然他們制訂的規範嚴格程度不一，但是其中的共通點，就是特別針對關鍵基礎設施的防護訂立相關要求，並且界定涵蓋的類型和範圍。以美國和日本而言，他們分別歸納出16項與13項關鍵基礎設施。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TWGov_InfoSecu_Plan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TWGov_InfoSecu_Plan.jpg" style="width: 590px;" /></a></p> <blockquote><p>在我國的資安發展策略中，強化關鍵資訊基礎設施的防護，是聯防體系裡重要的一環。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/TWGov_InfoSecurity_Structure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TWGov_InfoSecurity_Structure.jpg" style="width: 590px;" /></a></p> <blockquote><p>從我國的資安聯防架構來看，由上而下是國家、各領域、各單位的3層式架構。而各領域以下的部分，又分為公部門與關鍵基礎設施兩種，進而做到層層回報與緊急應變的目的。</p> </blockquote> <p>由於這些設施的正常運作，能夠維持國家和社會整體的穩定，一旦面臨攻擊而出現異常，便會導致人心惶惶。簡宏偉也舉出美國核電廠為例，該國去年發現多間電廠都被植入惡意程式，有些潛伏超過一年；而伊朗核電廠曾因受到網路攻擊而造成爆炸，因此相關的資安防護變得極為重要。</p> <p>而簡宏偉也舉出在國內發現的案例，近2年裡，他們找到多間公私立大學將鍋爐的控制系統連上網際網路，因為僅是倚賴轉接器連接，根本連帳號密碼這種防護措施也沒有，換言之，攻擊者只要在網路上掃描到鍋爐的網路位置，就能進行控制。由於這種設備也有許多農田水利會使用，因此資通處也通報這些單位，並且要求提供設備的廠商進行處理。</p> <p>再者，關鍵基礎設施的資訊安全，也在政府的預算要配置相當比例，有所呼應。簡宏偉說，原先在資安法推動的過程中，他們打算只針對科技計畫的部分，要求編列一定比例的資安預算。但有政委指出，現在政府規畫建立智慧城市，即使是造橋鋪路，也會有資安的需求，特別是當中控制系統的操作科技（OT），相關防護普遍較為薄弱，最終資安法因此變成全面性要求所有的標案，必須編列一定的資安預算。由此可見關鍵基礎設施的資安防護，也相當受到重視。</p> </div></div></div>
2019/8/29 18:42作者周峻佑https://www.ithome.com.tw/news/132728
Amazon坦承與逾400個執法機關合作，以要求用戶提供Ring錄影片段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.washingtonpost.com/technology/2019/08/28/doorbell-camera-firm-ring-has-partnered-with-police-forces-extending-surveillance-reach/" target="_blank">華盛頓郵報於8月28日揭露</a>Amazon旗下的Ring智慧保全公司與美國400個執法機關合作，而招來可能危害民眾的隱私與自由的爭議之後，<a href="https://blog.ring.com/2019/08/28/working-together-for-safer-neighborhoods-introducing-the-neighbors-active-law-enforcement-map/" target="_blank">Amazon同一天就證實了此事</a>，且確實的合作數量是405個。</p> <p>Amazon是在2018年初以超過12億美元的價格買下了Ring，Ring提供可錄製影像的Doorbell智慧門鈴或警報器等裝置，並打造了Neighbors程式，以讓Ring用戶能夠收到即時的犯罪或安全警告，也能與鄰里互通安全訊息。</p> <p>Ring表示，他們除了替使用者開發Neighbors程式之外，也替警方打造了Neighbors Portal工具，以讓執法機構能夠在Neighbors程式中張貼有關安全及犯罪事件的通知，也能以警察的身分在Neighbors的公共布告欄上發言，迄今已有405個執法機構使用了Neighbors Portal。</p> <p>儘管每每有執法機構加入Neighbors時，Ring都會透過Neighbors程式、社交網站或當地媒體宣布，但不少用戶希望有更完善的資訊，於是Ring建立了Active Law Enforcement Map地圖，可直接透過地圖檢視參與Neighbors的執法機構。</p> <p>此外，Ring也提供警方另一個Video Request工具，以透過Ring向用戶要求可協助警方辦案的影片。Ring強調，此一請求只能透過Ring提出，警方無法存取用戶的裝置，也不知用戶的帳號資訊，亦無法得知裝置安裝的確實地址，同時用戶也可自行決定是否願意提供有限範圍及時間的影片予警方。</p> <p>今年Ring曾在臉書上刊登一則影片廣告，此一由Ring Doorbell所拍下的影片是一位行跡可疑的女子，Ring希望居住在影片拍攝附近的人們，可以協助辨識並向警方報案，<a href="https://www.ithome.com.tw/news/131159" target="_blank">因而引起了合法性的爭議</a>。</p> <p>Ring認為，該公司是在保障用戶隱私的前提下，來保護鄰里的安全，讓用戶與警方聯手將能讓社區更安全。</p> <p>然而，有許多法律專家及隱私擁護者抱持著不同的觀點，他們認為Ring想要隨處監控的野心及與警方如此密切的合作，不免令人擔心此事終將威脅人民自由，把居民變成線人，也可能傷及無辜。</p> </div></div></div>
2019/8/29 18:30作者陳曉莉https://www.ithome.com.tw/news/132726
報導：Google今年將把部份Pixel生產線從中國移到越南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本經濟新聞（The Nikkei）本周引述消息來源<a href="https://asia.nikkei.com/Spotlight/Tech-scroll-Asia/Google-to-shift-Pixel-smartphone-production-from-China-to-Vietnam" target="_blank">報導</a>，Google正積極地把Pixel手機的生產線從中國移到越南，預計今年之前就會將部份Pixel 3A手機的生產轉移到越南。</p> <p><a href="https://www.ithome.com.tw/news/131252" target="_blank">先前彭博社即曾報導</a>，為了擔心受到中美貿易戰的關稅衝擊，Google已準備將要輸美的伺服器主機板生產，從中國移到臺灣，並將Nest恆溫控制器的製造，從中國移到臺灣及馬來西亞。</p> <p>而日本經濟新聞亦說，Google想把大多數輸美的硬體生產線移出中國，從Pixel到Google Home聲控喇叭，除了將Pixel生產移至越南之外，Google Home的新產線可能設在泰國。</p> <p>不過，Google依然會保留位於中國的製造基地，主要原因是中國本身就是個難以棄守的龐大市場，此外，Google也打算在中國進行新產品的研發與生產。</p> <p>除了Google之外，任天堂、HP與Dell也都正把生產線移到中國以外的其它東南亞國家，像是臺灣、越南、泰國或菲律賓等。</p> </div></div></div>
2019/8/29 18:40作者陳曉莉https://www.ithome.com.tw/news/132729
看好臺灣機器人流程自動化市場，首家RPA軟體業者在臺設立辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球企業為了提升企業營運效率，邁向數位轉型之路，有不少開始導入機器人流程自動化（Robotic Process Automation），這個簡稱為<a href="https://www.ithome.com.tw/tech/124213">RPA的應用，這兩年來，正逐漸受到臺灣企業關注</a>，國內也有顧問公司積極推動，甚至臺灣已有企業開始應用。最近，首間RPA軟體業者開始進駐臺灣，顯然看好國內企業對於RPA應用的需求與後市。</p> <p>關於RPA，國外企業導入的狀況已經相當顯著，就是看重RPA可將不值得花人力的作業流程改為自動化，不僅加速企業競爭力，並在妥善的設定下能減少人為錯誤發生。</p> <p>嚴格來說，RPA並不是一種新的技術，這種模擬人類在電腦上辦公的作業流程，能幫助做到不同系統之間的操作，像是將資料輸入到ERP系統的動作，以及各式訂單輸入、資料比對、報表製作等，雖然RPA並非萬能，但可以較容易的方式為企業帶來幫助。而近年來，<a href="https://www.ithome.com.tw/tech/124228">臺灣企業也不只在關注RPA的應用，因為，已有一些企業開始</a>導入。</p> <p>根據研究調查機構<a href="https://www.gartner.com/en/newsroom/press-releases/2019-06-24-gartner-says-worldwide-robotic-process-automation-sof">Gartner在今年6月公布的調查</a>報告指出，RPA軟體是2018全球企業軟體市場中成長最快的一項，RPA軟體產業的收入在2018年度成長了63.1%。同時，他們也預估在2019年，RPA軟體產業收入將達到13億美元。換句話說，企業對於RPA軟體應用的需求增加。</p> <p>而在目前的RPA軟體市場上，全球知名大廠包括了UiPath、Automation Anywhere、Blue Prism、NICE、Pegasystems、Kofax與NTT-AT等。</p> <p>特別的是，今年Automation Anywhere開始積極切入亞洲市場。在8月27日的一場RPA企業應用分享會上，我們注意到Automation Anywhere在臺灣現在也有原廠支援。對此，該公司資深產品技術顧問蔡君浩表示，Automation Anywhere大中華區的運作從今年1月開始，臺灣則是在今年4月開始籌備，直到8月正式設立臺灣區辦公室。</p> <p>蔡君浩表示，過去在臺推動RPA時，最常被遇到的問題是，客戶詢問原廠在臺灣有沒有支援的團隊。隨者RPA原廠開始在臺成立據點，將讓應用的企業客戶能獲得更好的支援。</p> <p>同時，他也說明了目前Automation Anywhere在大中華區的團隊配置，不是只有銷售業務人員，還包含了客戶服務團隊、售後、專案導入，與技術工程師，並且都是中文的服務，不像過去原廠的支援團隊都在國外，要以外文與國外工程師聯繫。其實，去年我們就曾聽聞UiPath要來臺設點，不過後續沒有更多消息。</p> </div></div></div>
2019/8/29 17:18作者羅正漢https://www.ithome.com.tw/news/132711
微軟恢復對跑賽門鐵克軟體的PC，下載Windows 7、Server 2008的安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周三恢復了因賽門鐵克防毒軟體不支援SHA-2簽章，而暫停的Windows7及Server 2008 R2更新。</p> <p>上周微軟<a href="https://www.ithome.com.tw/news/132435" target="_blank">釋出</a>的KB4512506/KB4512486安全更新，在下載到安裝了賽門鐵克端點防護（Endpoint Protection）或諾頓防毒軟體的Windows7及Server 2008 R2電腦上時，更新版本會遭到防毒軟體的封鎖或刪除，導致Windows電腦無法運作或無法啟動，原因是這些防毒軟體無法辨識微軟以SHA-2憑證簽發的更新檔案，而把它誤判為惡意程式。微軟也於上周緊急撤下更新版。</p> <p>現在問題已經解決，微軟也解除了更新封鎖。賽門鐵克<a href="https://www.symantec.com/connect/forums/windows-updates-win7-2008-and-sep-latest-word" target="_blank">表示</a>，已經完成對KB4512506/KB4512486的評估，所有版本的賽門鐵克端點防護，也不會再對其發生偵測誤判，用戶可以安心下載。不過為了確保用戶端軟體，能蒐集微軟簽發檔案的SHA-2資訊，賽門鐵克也建議用戶從MySymantec及賽門鐵克技術支援網站，分別下載SEP 14.2 RU1 MP1 （14.2.4814.1101）及SEP 14.2 RU1（14.2.3357.1000）/ SEP 14.2 MP1 （14.2.1057.0103）更新。</p> </div></div></div>
2019/8/29 17:25作者林妍溱https://www.ithome.com.tw/news/132712
Avast與警方聯手移除85萬臺PC上的惡意蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Avast本周<a href="https://blog.avast.com/avast-works-with-france-and-us-to-stop-cryptomining-avast" target="_blank">宣布</a>，他們已與法國警方及美國聯邦調查局（FBI）合作，從85萬臺PC上移除了Retadup惡意蠕蟲。</p> <p>Avast是在今年3月發現Retadup的蹤跡，它鎖定Windows平臺發動攻擊，主要的受害者位於拉丁美洲，Retadup除了能夠長駐於受害電腦之外，也能自行散布，還能安裝其它的惡意程式，大多數為加密貨幣採礦程式，也曾發現Stop勒索軟體與密碼盜取程式Arkei。</p> <p>根據統計，在感染Retadup的85萬臺電腦中，有52.7%為Windows 7，18.5%為Windows 8.1，17.6%為Windows 10，7.4%是Windows 8，Windows XP也占了3.5%。</p> <p>在進一步分析Retadup之後，Avast的研究人員在它的C&C通訊協定上看到一個設計漏洞，若能接管其C&C伺服器，便可將受害者電腦上的Retadup移除。</p> <p>Avast表示，一般而言，只要掌控了C&C伺服器，就能遞送一個可殺掉惡意程式的腳本程式到受害者電腦上，然而他們所發現的設計漏洞，完全無需於受害者電腦上執行任何程式，就能移除Retadup。</p> <p>調查這些C&C伺服器的落腳之處時，顯示多數座落在法國，有些則在美國，於是Avast通知了法國警方與FBI，他們接管了駭客所設置的C&C伺服器，把它們置換成消毒伺服器，以讓受害電腦上的Retadup自我銷毀，一舉成功清除了85萬臺PC上的惡意程式。</p> </div></div></div>
2019/8/29 17:30作者陳曉莉https://www.ithome.com.tw/news/132713
蘋果為側錄Siri道歉，改採主動加入政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Echo、Google Assistant與蘋果Siri，近日相繼傳出未經用戶允許側錄使用者的語音請求，本周蘋果公開向用戶道歉，並<a href="https://www.apple.com/newsroom/2019/08/improving-siris-privacy-protections/" target="_blank">宣布</a>將改善Siri的隱私保護，包括除非使用者主動加入，否則不會再保留用戶與Siri的互動語音，而且語音的審核不再外包，將由蘋果團隊親自操刀。</p> <p>不管是Amazon、Google或蘋果，都聲稱側錄使用者與智慧語音助理的對話，是為了改善這些語音助理的準確及可靠性，蘋果將此一Siri品質評估程序稱為<a href="https://support.apple.com/zh-tw/HT210558" target="_blank">評分（grading）</a>，利用使用者與Siri之間互動的語音檔與轉錄的文字檔，來了解Siri的回應能力，例如使用者是否真的要喚醒Siri？Siri真的聽清楚使用者的指示嗎？以及Siri的回應是否恰當等，且只有不到0.2%的語音紀錄被拿來進行分析。</p> <p>在受到外界的質疑之後，蘋果立即暫停了上述的評估程序，並針對相關程序與政策展開全面性的檢討，本周蘋果承認該公司並未達到自己在隱私上所設定的理想，因而向用戶道歉，且制定了新政策，預計將隨著今年秋天的軟體更新而上線。</p> <p>新政策包括預設值將不再保留使用者與Siri之間的語音紀錄，除非使用者主動加入（opt in），但仍會利用由語音紀錄所轉錄的文字複本，來改善Siri的能力，也會由蘋果員工親自審核這些語音紀錄，並會刪除所有因誤觸Siri而不小心錄到的語音檔。</p> <p>就算保留了文字複本或使用者主動加入的語音檔，蘋果也是透過由數字及字母組成的隨機識別碼來辨識裝置，以在處理資料時追蹤這些資料，而非使用Apple ID或電話號碼，也會在6個月之後撤銷該識別碼與裝置資料的關聯。</p> <p>根據外電報導，不只是蘋果，Amazon與Google在遭到外界的批評之後，也正著手改善相關政策，包括暫停語音紀錄的人工審核，或是開始提供使用者主動加入的選項。</p> </div></div></div>
2019/8/29 17:45作者陳曉莉https://www.ithome.com.tw/news/132716
香港ISP出面反對港府封鎖特定通訊服務的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香港示威衝突日益升溫，香港政府傳擬要求ISP封鎖Telegram等網路通訊服務。周三香港ISP協會<a href="https://www.hkispa.org.hk/139-urgent-statement-of-hkispa-on-selective-blocking-of-internet-services.html" target="_blank">出面反對</a>。</p> <p>香港反送中行動引發的大規模示威及警民衝突愈演越烈，本周星島日報<a href="http://std.stheadline.com/daily/article/detail/2054771/日報-港聞-譚惠珠-引用-緊急法-有基礎" target="_blank">報導</a>港府正在考慮啟動《緊急情況規例條例》實施緊急措施，包括管制媒體刊物內容、或透過下達行政命令，要求ISP封鎖特定網路應用，如Telegram、連登等。</p> <p>香港網際網路服務供應商聯盟（Hong Kong Internet Service Providers Alliance, HKISPA）周三發出緊急聲明指出，現代網際網路包括複雜技術如VPN、雲端和加密等，要有效封鎖任何服務幾乎不可能，除非是將香港網際網路全部鎖在監控性的防火牆之後。HKISPA警告，限制手段無法遏止意志堅決的用戶，他們會透過VPN等管道持續存取服務，迫使當局持續升高限制，因此任何再微小的限制可能最後擴大走向類似中國的長城防火牆，但這等於啟動香港開放網路的末日，造成國際網路公司對香港立即且永久縮減投資。</p> <p>香港ISP協會指出，香港網際網路經濟的命脈繫於開放性。香港是亞洲光纖網路的最大核心節點，是區域內最大網路流量交換據點，也是國際和當地公司所設立上百家的資料中心所在地，傳輸中國大陸80%以上的網路流量。一旦以行政命令施加限制，將摧毁香港作為電信網路核心的地位，後者也是其扮演國際金融中心的關鍵要素。</p> <p>香港ISP協會重申管制網路應用程式有其技術及財務限制，而使港府管制網路的企圖無法完全落實，要求港府下限制令前，應先諮詢ISP以及香港社會的意見。</p> <p>通訊軟體大量被用於香港民眾集結行動，也成為當局下手的跡象。加密傳訊服務Telegram在6月間<a href="https://www.ithome.com.tw/news/131271" target="_blank">遭到DDoS攻擊</a>並影響全球用戶，大多數的攻擊IP來自中國。上周香港抗議團隊也驚訝地<a href="https://www.ithome.com.tw/news/132645" target="_blank">發現</a>，Telegram某項設計可能讓用戶手機號碼流入公開群組，不論他們是否有設定隱私權限，擔心被官方用來追查戶身份。</p> </div></div></div>
2019/8/29 18:05作者林妍溱https://www.ithome.com.tw/news/132724
Google緊急更新Chrome以修補重大安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周緊急<a href="https://chromereleases.googleblog.com/2019/08/stable-channel-update-for-desktop_26.html" target="_blank">釋出</a>了支援Windows、Mac與Linux的76.0.3809.132，以修補3個安全漏洞，目前Google依然限制用戶存取這3個漏洞的細節，準備等到大多數使用者都更新之後才公布，不過，根據網路安全中心（Center for Internet Security，CIS）的警告，當中的一個漏洞將允許駭客執行任意程式。</p> <p>此一漏洞編號為CVE-2019-5869，存在於Chrome所使用的Blink瀏覽器引擎中，它是個釋放後使用（use-after-free）漏洞，若駭客將使用者導至一個特製的網頁，就能開採該漏洞並執行任意程式，也能繞過安全限制或造成服務阻斷情況。</p> <p>此一漏洞是由奇虎360的兩名安全研究人員所提報，獲得Google所頒發的5,500美元的抓漏獎勵。</p> <p>幸好目前尚未傳出任何已開採該漏洞的報告。至於Chrome用戶則會在幾天或幾周後，取得自動部署的更新，或是手動檢查Chrome的更新版本。</p> </div></div></div>
2019/8/29 18:15作者陳曉莉https://www.ithome.com.tw/news/132725
Amazon eero發表智慧家庭安全服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在智慧家庭裝置紛紛進駐使用者家中之後，業者隨之推出各種加值訂閱服務，來擴大相關裝置所衍生的營收，<a href="https://www.ithome.com.tw/news/128702" target="_blank">Amazon在今年2月收購的家用網狀路由器eero品牌</a>，就在本周<a href="https://blog.eero.com/introducing-eero-secure-digital-security-and-parental-controls-delivering-peace-of-mind-for-only-2-99-month/" target="_blank">發表</a>兩項安全加值服務：eero Secure與eero Secure+，可用來過濾內容或是阻擋惡意程式。</p> <p>標準版的eero Secure提供的是基本安全功能，每月訂閱費用為2.99美元，它能在使用者造訪含有惡意內容的網站時，跳出警告或執行封鎖，也能過濾不適當的內容，或是封鎖廣告，檢視使用該網路的所有裝置，還會提供每周的洞察報告。</p> <p>至於進階的eero Secure+每月訂閱費用為9.99美元，除了上述功能之外，還額外提供1Password密碼管理功能，encrypt.me的VPN功能，以及支援Mac與Windows的MalwareByte防毒功能。</p> <p>換句話說，eero把原本應該安裝在手機、平板或個人電腦上的安全功能，移植到eero服務上，只要是透過eero路由器連上網路的裝置，都會受到eero Secure以及eero Secure+服務的保護。</p> </div></div></div>
2019/8/29 17:00作者陳曉莉https://www.ithome.com.tw/news/132708
微軟要將exFAT專利開源、成為Linux核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周三<a href="https://cloudblogs.microsoft.com/opensource/2019/08/28/exfat-linux-kernel/" target="_blank">宣佈</a>，將FAT衍生出來的exFAT檔案格式專利，開源出來成為Linux核心的一部份。</p> <p>微軟的檔案格式專利過去經常是Linux社群的痛。它的FAT（File Allocation Table）是許多應用程式預設的檔案系統格式，也為微軟賺進不少專利財。微軟也曾在2012年控告Motorola手機侵權使用其檔案格式FAT，成功使敗訴的Motorola手機在德國遭到禁售。exFAT是微軟在2006年以FAT為基礎開發出來，專門用於Windows、SD卡和USB快閃磁碟的檔案儲存格式。</p> <p>微軟Azure首席架構師，也是Linux基金會董事成員的John Gossman表示，exFAT是全球數千萬台筆電、相機甚至汽車上資料存取的關鍵，微軟認為有必要讓Linux 社群放心將exFAT加入Linux核心中，因此決定將exFAT的技術規格開源出來，以促進相容實作的開發。此外，微軟也支持Open Invention Network的Linux系統定義（Linux System Definition）未來也會修改以加入exFAT規格，成為Linux核心的一部份。其定義一旦被接受，未來OIN 三千多家成員及授權者也將能獲得專利保障。也就是說，未來開源陣營不用擔心因為exFAT格式問題被告了。</p> <p>這也是微軟近年擁抱開源的最新一次行動。去年10月微軟<a href="https://www.ithome.com.tw/news/126366" target="_blank">加入</a>OIN社群，將超過6萬項專利以免權利金方式授權給OIN的成員使用，讓Linux及其他開源專案的開發者免受侵權官司訴訟。今年年中起，Windows 10 Insiders版本也開始<a href="https://www.ithome.com.tw/news/130449" target="_blank">內建</a>Windows Subsystem for Linux（WSL），以便在Windows 10上能夠原生執行Linux。</p> </div></div></div>
2019/8/29 17:05作者林妍溱https://www.ithome.com.tw/news/132710
報導：美國商務部收到逾130份想出口商品予華為的申請書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-huawei-tech-usa-idUSKCN1VH2K0" target="_blank">路透社本周引述消息來源報導</a>，自從美國總統川普（Donald Trump）<a href="https://www.ithome.com.tw/news/131544" target="_blank">在6月底宣布</a>，將允許華為購買美國業者所製造的商品以來，美國商務部已收到130份來自美國企業的申請書，希望取得許可以將商品出售給華為，只是迄今尚無任何一項申請通過審核。</p> <p>美國是在今年5月中旬將華為列入實體名單（Entity List），<a href="https://www.ithome.com.tw/news/130723" target="_blank">禁止美國業者將產品或服務出售給華為</a>，此一決議被視為是中美貿易戰的角力之一。</p> <p>在這期間中美雙方曾經出現短暫的和解局面，只是稍縱即逝，從5月迄今，已有超過100個與華為有關的個人或組織被納入出口管制的實體名單，為了減緩該禁令對美國企業或消費者所造成的衝擊，商務部旗下的工業安全局（BIS）發布了臨時通用許可（Temporary General License，TGL），讓華為與其相關企業能夠持續經營既有的網路與設備服務，允許美國業者能夠針對既有的華為手機提供必要的服務與支援，也讓華為能夠收到安全漏洞通知，以及參與5G標準的開發等。</p> <p>TGL的期限為90天，第一波是在5月20日到8月19日，BIS近日將TGL再延長90天。同時BIS也強調，除了上述範圍之外，任何涉及出口管制條例（Export Administration Regulations，EAR）約束的出口、再出口或於美國境內交易的產品，都會基於「拒絕推定」（presumption of denial）的前提進行審核，只能在取得授權之後才能交易。</p> <p>若路透社的報導屬實，顯示有不少業者提出上百份與華為的交易授權申請，卻無一被放行。</p> <p>路透社還引用了商業部前官員William Reinsch的看法指出，由於行政部門沒有人知道川普想做什麼，導致他們也害怕作出決定。</p> </div></div></div>
2019/8/29 15:45作者陳曉莉https://www.ithome.com.tw/news/132706
Google智慧門鈴Nest Hello的訂閱服務，開始提供包裏偵測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google軟體工程師Rosie Buchanan本周<a href="https://support.google.com/googlenest/answer/9380218" target="_blank">透露</a>，智慧門鈴Nest Hello產品的Nest Aware訂閱用戶，即日起已可利用機器學習技術來偵測包裏的到來。</p> <p>Nest Hello為一具備人臉辨識功能的智慧門鈴，它可連結Wi-Fi網路，內建廣角鏡頭，也有夜視功能，並能拍下訪客照片以傳到使用者的手機程式，使用者也能透過程式即時與訪客對話，或是瀏覽Nest Hello即時拍攝的畫面與最近3個小時的錄影畫面。目前Nest Hello只在美國、加拿大及英國銷售，售價為229美元。</p> <p>至於Nest Aware，則是各種配備Nest攝影機的Nest裝置用戶，都可付費訂閱的服務，每月訂閱費用為5美元，它會將Nest攝影機所拍攝的畫面傳送到雲端伺服器上，透過先進的演算法來調整攝影機在動作及聲音上的偵測能力，此外，Nest Aware還能提供更多元的通知。</p> <p>以Nest Hello為例，它在偵測到動作、聲音或人的時候會傳送通知予使用者，倘若訂閱了Nest Aware付費服務，則會有更敏感的偵測服務，例如可得知是否有人跑過屋前或窗前，且降低了誤判的機率，也導入人臉辨識，以在偵測到熟人時發出通知，現在則新增了包裏通知功能。</p> <p>只要郵差或送貨員把包裏置放在Nest Hello可偵測的範圍內，或是有人來收走了放在門前的包裏，Nest Aware用戶就會收到通知，條件是包裏至少要有8x10x1吋的大小。</p> <p>Buchanan表示，這是Nest Hello用戶最想要的功能之一，讓使用者不必再引頸等待包裏的到來，只要交由智慧門鈴代為注意即可。不過此一新的通知功能目前僅於美國上線。</p> </div></div></div>
2019/8/29 16:00作者陳曉莉https://www.ithome.com.tw/news/132707