iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

WhatsApp準備推出訊息自我毀滅功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技新聞網站<a href="https://wabetainfo.com/whatsapp-beta-for-android-2-19-275-whats-new/" target="_blank">Wabetainfo在WhatsApp近日推出的Android測試版中發現</a>，WhatsApp正在實驗「訊息自我毀滅」（Disappearing Messages），使用者若在一個聊天群組中啟用了訊息自我毀滅功能，就能讓自己所傳送的訊息在5秒後或一小時之後自動消失。</p> <p>Wabetainfo指出，該功能目前還處於alpha測試階段，而且只出現在群組功能中，但相信它未來也會出現在私人聊天室裡。</p> <p>另一個近來頗為熱門的傳訊程式<a href="https://telegram.org/faq#q-how-do-i-start-a-secret-chat" target="_blank">Telegram也有類似的功能</a>，例如它的秘密聊天功能（secret chat）不但讓聊天內容只出現在單一裝置上，且在秘密聊天中就提供了訊息的「自毀定時器」（Self-Destruct Timer）。</p> </div></div></div>
2019/10/3 00:00作者陳曉莉https://www.ithome.com.tw/news/133398
Google利用機器學習分析用戶工作負載，提供虛擬機器最佳建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/gcp/optimize-your-google-cloud-environment-with-new-ai-based-recommenders">Google在GCP上推出了推薦功能Beta版</a>，現在提供身份以及存取管理（Identity and Access Management，IAM）以及Compute Engine容量調整兩種推薦器，用戶可以在雲端控制臺中查看推薦結果。</p> <p>IAM推薦器可以自動偵測過度寬鬆的存取政策，並依據組織中相似的使用者存取模式，提供調整建議。而Compute Engine容量調整推薦器，則會依據工作負載，幫助使用者挑選最佳的虛擬機器大小，避免用戶配置運算能力過多或過少的機器。</p> <p>Google提到，推薦器使用機器學習技術，自動分析使用者的使用模式，判斷用戶在Google雲端的資源與政策是否為最佳使用情況。IAM推薦器會單獨分析每個用戶的IAM權限，以創建模型並推薦安全的IAM政策，而這些建議會根據用戶的環境量身訂製，像是當有一組權限有90天未被使用，則推薦器會建議用戶應用較寬鬆的角色。另外，就Compute Engine容量調整來說，推薦器會分析前8天的CPU與記憶體使用率，以確定工作負載最適當的機器類型。</p> <p>用戶現在可以在雲端控制臺的IAM頁面查看建議，並瀏覽可被最佳化的策略，而控制臺中的Compute Engine頁面提供了容量調整推薦器功能，用戶同樣也會看到可最佳化的虛擬機器。除了在控制臺存取推薦器，用戶也可以利用API來存取推薦功能。不過，如果用戶不想讓Google分析雲端使用狀況，也可以在安全與隱私面板中，選擇關閉這些建議。</p> </div></div></div>
2019/10/3 01:00作者李建興https://www.ithome.com.tw/news/133396
FCC廢除網路中立引發美國23州反彈，上訴法院支持FCC作法，但也准許州政府自立新政
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國23州的檢察長以及Mozilla基金會，在2018年控告美國聯邦通訊委員會（Federal Communications Commission，FCC）違法廢除網路中立（Net Neutrality）政策並提出《恢復網路自由命令》（Restoring Internet Freedom Order），<a href="https://www.cadc.uscourts.gov/internet/opinions.nsf/FA43C305E2B9A35485258486004F6D0F/$file/18-1051-1808766.pdf" target="_blank">美國上訴法院在本周公布了判決</a>，支持《恢復網路自由命令》，但同時也認為<a href="https://techcrunch.com/2019/10/01/court-says-fccs-unhinged-net-neutrality-repeal-cant-stop-state-laws/" target="_blank">FCC無權干涉各州自行制定的網路中立法案</a>，<a href="https://www.cnet.com/news/both-sides-see-victory-in-net-neutrality-decision/" target="_blank">形成了一個皆大歡喜的局面</a>。</p> <p>FCC在2015年所制定的網路中立政策，要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平台、通訊模式，或設備而有差別待遇，也將ISP業者的服務列入規範較嚴格的Title II公共事業類別。</p> <p>但改朝換代之後的FCC，在2017年決定廢除網路中立政策，並在同年12月通過了《恢復網路自由命令》，<a href="https://www.ithome.com.tw/news/123822" target="_blank">2018年6月正式實施</a>，把對ISP業者的規範從Title II移到較寬鬆的Title I資訊服務類，賦予ISP業者更多的經營自由，目的是為了移除寬頻投資障礙。</p> <p>這使得美國各州與科技業者槓上了FCC，<a href="https://www.ithome.com.tw/news/121459" target="_blank">不但向法院提告</a>，各州還紛紛提出自己的網路中立法案。（<a href="https://www.ithome.com.tw/news/121634" target="_blank">華盛頓州</a>、<a href="https://www.ithome.com.tw/news/126203" target="_blank">加州</a>、<a href="https://www.ithome.com.tw/news/120865" target="_blank">蒙大拿州</a>、<a href="https://www.ithome.com.tw/news/121205" target="_blank">紐澤西州</a>）</p> <p>不過，美國上訴法院在本周支持了《恢復網路自由命令》，認為FCC解除對ISP業者的限制並未逾越該組織的權限，但另一方面，上訴法院也認為FCC無權廢止各州的網路中立法案，表示各州依然可以依照既有的規定限制ISP的行為。</p> <p>因此，本周的判決讓雙方都說自己「贏了」。</p> <p><a href="https://docs.fcc.gov/public/attachments/DOC-359970A1.pdf" target="_blank">FCC主席Ajit Pai 表示</a>，此一判決是消費者、寬頻部署及開放網路的勝利，自從採行《恢復網路自由命令》以來，美國消費者存取網路的平均速度快了40%。但另一名支持網路中立的FCC委員Jessica Rosenworcel則說，法院禁止FCC非法阻止各州或地區保護它們的開放網路，且這是因為FCC沒做到該做的事，才需要各州的介入。</p> <p>本周的結果也許是暫時的，因為此案還可能進到最高法院審理。</p> </div></div></div>
2019/10/3 12:25作者陳曉莉https://www.ithome.com.tw/news/133397
Cloudflare發表靜態網站部署服務Workers Sites
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare新發布網站服務<a href="https://blog.cloudflare.com/workers-sites/">Workers Sites</a>，開發者可將靜態網站直接上傳到網際網路的邊緣，使其更接近最終用戶，降低網站存取的延遲，同時Cloudflare也發布了<a href="https://blog.cloudflare.com/html-rewriter-beta/">HTMLRewriter</a>，可讓開發人員動態操作DOM，使Workers Sites的靜態網站也能有動態效果。</p> <p>由於網站的效能受地理距離影響，因此有不少是為了增加網頁效能而發展的技術，像是從HTTP/1.1開始，支援網站與瀏覽器間可建立並維持多個連線，還有後來的CDN技術，能將靜態的內容存在距終端使用者較近的資料中心，加速用戶存取網站的速度。而Cloudflare現在發布靜態網站部署服務Workers Sites，則是要將網站直接發布到網際網路的邊緣，減少用戶存取延遲。</p> <p>Cloudflare提到，CDN快取內容有其限制，需要猜測要被快取在CDN中的內容，而且快取的內容也無法被永久留存，而Workers Sites的想法，則是與其將來源的內容推送到邊緣，倒不如一開始就把內容放在邊緣，邊緣就是內容的來源。Workers Sites服務，是奠基於Cloudflare的無伺服器平臺Workers以及分散式鍵值儲存Workers KV打造。</p> <p>開發者可以直接使用任何的靜態網站產生器，諸如Hugo、Gatsby或Jekyll產生網站，並利用Cloudflare的CLI Wrangler將網站上傳到Workers KV，當終端使用者的請求送至Workers Site時，便會讀取Workers KV的內容傳送給使用者。Workers Sites可用來部署任何靜態網站，像是部落格網站或是行銷網站等。</p> <p>Cloudflare另外還發布了HTMLRewriter，這是在Workers Runtime運作的串流HTML解析器，能讓開發者基於選擇器的JavaScript API進行DOM操作，當HTMLRewriter與Workers Sites結合使用，則可以讓靜態網站不那麼靜態，Cloudflare提到，開發者在Cloudflare Workers建立API，作為無伺服器的函式服務，並將前端的靜態元素託管在Workers Sites中，就能使用HTMLRewriter API動態的將無伺服器函式服務以及靜態元素綑綁在一起。</p> <p>Cloudflare提到，這樣的概念就是JAMStack，結合JavaScript、API以及Markup語言，只是大部分JAMStack應用程式都依賴客戶端呼叫第三方的API，並由客戶端JavaScript處理渲染工作，所有工作都仰賴客戶端裝置運作，而HTMLRewriter則是在邊緣的伺服器呼叫API，與客戶端相比，伺服器運算能力更好，而且可以快取這些內容，開發者還可以直接在Workers撰寫API，並合併HTML使用。</p> </div></div></div>
2019/10/3 00:00作者李建興https://www.ithome.com.tw/news/133388
今年美國有621個組織遭到勒索軟體攻擊，近8成為醫療服務供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.emsisoft.com/en/34193/state-of-ransomware-in-the-u-s-2019-report-for-q1-to-q3/" target="_blank">資安業者Emsisoft本周公布了美國今年前三季的勒索軟體調查報告</a>，此一調查只針對遭遇到勒索軟體攻擊的美國政府機構、學區及醫療服務供應商所進行的統計，顯示這9個月以來，至少有621個組織遭到勒索軟體攻擊。</p> <p>當美國各州、城市或郡遭到勒索軟體攻擊時，很容易就會躍上新聞版面，但在今年遭到攻擊的621個組織中，只有68個為政府機關。例如佛州Lake City今年6月感染了Ryuk勒索軟體，支付了46萬美元的贖金；美國麻薩諸塞州新貝福市（New Bedford）今年7月也被勒索軟體攻擊，駭客獅子大開口要求530萬美元的贖金，該市拒絕了駭客的要求，且估計復原成本只要100萬美元。</p> <p>而今年受到勒索軟體影響的學區則有68個，約涉及1,051所學校及大學。其中，擁有7所學校的Rockville Centre School District在今年7月遭到勒索軟體攻擊，駭客要求17.6萬美元的贖金，討價還價的結果以8.8萬美元成交；被16所學校圍繞的Moses Lake School District同樣在7月遭到攻擊，駭客提出了100萬美元的贖金，結果被拒絕。</p> <p>至於受災最嚴重的應該是健康醫療領域，因為該領域在今年以來已遭遇491起勒索軟體攻擊，受害者包括Park DuValle社區醫療保健中心、牙科診所的雲端備份供應商PerCSoft，以及懷俄明州坎培爾郡的公共衛生部門。</p> <p>根據Emsisoft的觀察，有愈來愈多駭客鎖定託管服務供應商或第三方服務供應商，因為一次攻擊就能同時摧毀許多受害者，例如德州在今年8月遭到勒索軟體攻擊，同時波及了22個市鎮。</p> <p>此外，駭客所要求的贖金也愈來愈高，假設受害者願意支付50萬美元的贖金，那麼駭客下一次就會把贖金抬高到60萬美元。</p> <p>另一個值得觀察的趨勢是<a href="https://www.ithome.com.tw/news/133202" target="_blank">網路險的興起</a>，可能助長了駭客經濟，當愈來愈多的組織投保了網路險，代表它們也更願意支付贖金，並成為駭客持續攻擊的動機。</p> </div></div></div>
2019/10/2 17:20作者陳曉莉https://www.ithome.com.tw/news/133390
經濟部工業局推AI Hub一站式服務，要當AI產業化推手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經濟部工業局今和資策會、北市電腦公會、中華民國資訊軟體協會、台灣區電機電子工業同業公會聯手，整合資源共同成立AI Hub，提供從需求評估、解決方案、應用實例到客製化隨需服務一站式服務，以加速AI產業化、產業AI化發展。</p> <p>AI Hub為配合經濟部配合行政院推動「臺灣AI行動計畫」，委託資策會執行「AI智慧應用服務發展環境推動計畫」的成果之一，目的在結合AI資源、解決方案及產業公協會合作下，以加速國內產業AI發展，同時培養國內AI產業實力，增加輸出海外市場的競爭力。</p> <p>經濟部次長林全能表示，過去企業進軍AI市場，資源、人才分散，導致效益受限，另方面，AI解決方案僵固，也不利用產業使用，是國內企業導入AI意願不高的原因，也難使國內AI產業壯大。</p> <p>AI Hub目前結合超過百位AI專家、超過百家企業實證及130個新創團隊、16家公協會及法人，提供企業AI需求評估、供需媒合、解決方案、應用實例，以打造一個AI的共享資源平臺，縮短產業導入、發展AI的過程。</p> <p>AI Hub現已整合68個解決方案，包含製程智慧化、裝置智慧化、服務智慧化及軟體智慧化四個領域，未來將朝100項解決方案發展。目前在AI Hub的網站上也設立智慧化產品市集，集結了50多項AI產品，供企業尋找合適的解決方案。</p> <p>此外，還有演算法平台專區，已有30多個演算法上架，供企業以自身的資料進行驗證，以評估演算法的效益，再和提供者進一步協商合作的可能性，這些演算法涵蓋機器學習、自然語言、機器人等領域，使用者需先在AI Hub註冊，獲得點數後才能試用不同的演算法。</p> <p>資策會表示，企業考慮採用AI前，可先透過AI Hub的需求評估，由專家評為企業評估企業在數位化程度，再根據其需求評估導入AI的可行性，協助AI的產業化發展。</p> <p>企業也能透過AI Hub網站瀏覽一些AI產業應用實例，例如紡織業如何利用AOI檢測模型，檢查胚布的瑕疵，或是在紡織的產線蒐集完整的數據，透過AI優化紡織製程。其他還有如何運用AI強化營造業的工地安全、透過AI協助改善運動的訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191002_113819.jpg" style="width: 600px; height: 450px;" /></p> <p>其他AI Hub所提供的功能還有AI新知，介紹國內AI解決方案服務或新創團隊，增加產業供應需求。</p> <p>工業局目前推動AI應用在產業落地的「AI智慧應用服務發展環境推動計畫」為期3年，計畫預算約2億元，今天AI Hub成立已展現該計畫初步成果。另一項「AI智慧應用人才培育計畫」，以產業出題、人才解題的方式，鼓勵培育AI人才，同樣為期3年，計畫預算約1億元。</p> </div></div></div>
2019/10/2 17:57作者蘇文彬https://www.ithome.com.tw/news/133389
研究：PDF加密標準含有缺陷，可讓加密文件現形
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾名德國的大學研究人員近日發表一篇<a href="https://www.pdf-insecurity.org/download/paper-pdf_encryption-ccs2019.pdf" target="_blank">研究報告</a>，指稱<a href="https://web-in-security.blogspot.com/2019/09/pdfex-major-security-flaws-in-pdf.html" target="_blank">PDF的加密標準含有缺陷</a>，將讓駭客得以取得加密文件內容，研究人員總計列出了兩類的6種攻擊形式，並說坊間的27款桌面或網路PDF程式，都至少會被其中一種攻陷。</p> <p>存在於PDF加密標準的缺陷被統稱為PDFex，一來PDF的規格允許加密檔案混合密文與明文，支援部份加密，二來它所採用的密碼塊鏈接（Cipher Block Chaining，CBC）加密模式缺乏完整性檢查，因而可導致Direct Exfiltration與CBC Gadgets兩種類型的攻擊。</p> <p>其中，Direct Exfiltration指的是駭客更改加密PDF檔案的結構，添加未加密的惡意物件，使得收件者在收到加密檔案，並將其解密之際，惡意物件就會將解密的內容傳送給駭客。這些惡意物件或攻擊手法可能是PDF格式、超連結或JavaScript。</p> <p>對於不接受部份加密文件的PDF閱讀程式，則可採用CBC Gadgets類型的攻擊方法，它是利用各種CBC工具來汲取並竄改加密物件中的明文，目的同樣是在對方解密並開啟加密的PDF檔之後，將它傳遞給駭客，可利用PDF格式（PDF Forms）、超連結或ObjectStreams等功能展開攻擊。</p> <p>不管是執行Direct Exfiltration或CBC Gadgets攻擊，駭客都不需要知道或猜測加密PDF檔案的密碼，而是透過中間人攻擊，竄改加密的PDF檔案，就能在收件方開啟檔案時收到副本。</p> <p>而研究人員所測試的27款PDF閱讀程式中，沒有一款能夠倖免於難，都至少會被其中一種攻擊方式攻陷，這些程式涵蓋了Adobe Acrobat、Foxit Reader、Okular、Evince、Nitro Reader，以及整合到Chrome、Firefox、Safari與Opera等瀏覽器的閱讀工具。</p> </div></div></div>
2019/10/2 15:55作者陳曉莉https://www.ithome.com.tw/news/133387
Google更新邊緣裝置機器學習服務AutoML Vision Edge，增加物體偵測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/announcing-updates-to-automl-vision-edge-automl-video-and-video-intelligence-api">Google的Vision AI系列服務現在新增了幾項增強功能</a>，其邊緣視覺辨識服務AutoML Vision Edge不只能夠進行圖像分類，還能夠在邊緣裝置進行物體偵測，而AutoML Video也開始提供物體追蹤功能，另外，Video Intelligence API多了可以追蹤熱門商標的能力。</p> <p>企業在具有感測器以及攝影機的邊緣裝置上部署機器學習模型，可以有效地檢測異常或是預測設備維護狀況，在今年四月的時候，Google發表了AutoML Vision Edge服務，讓企業可以在訓練、建置，並在邊緣裝置部署機器學習模型，進行圖像分類的工作。</p> <p>現在AutoML Vision Edge不只具有圖像分類的能力，更多了物體偵測功能，在零售業的應用上，能夠用來快速偵測輸送帶貨物的瑕疵，或是估量貨架上的庫存。Google提到，AutoML Vision Edge經過最佳化，僅需占用少量的記憶體，且廣泛支援各類型包括採用Android與iOS作業系統的硬體裝置。</p> <p>而可讓開發人員自定義模型，以自定義的標籤為影片內容分類的AutoML Video服務，在這次的更新，Google也為其添加了物體偵測功能，能在影格追蹤多個物體的移動，官方提到，這項服務可應用在交通管理、體育分析或是機器人導航等應用程式。</p> <p>另外，Video Intelligence API應用預訓練機器學習模型，可以辨識串流影片中的大量物體、場景和動作，而現在還多了商標辨識功能，能追蹤企業和組織的標誌，現在影片智慧商標辨識功能可以辨識超過十萬個商標。</p> </div></div></div>
2019/10/2 15:45作者李建興https://www.ithome.com.tw/news/133385
資安一周第62期：多起與臺灣有關的資安事件，包括物聯網、網站與金融系統的安全，以及醫療系統資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0926-1002一定要看的資安新聞</strong></p> <p> </p> <h3><span style="color:#B22222;"><strong>連網裝置安全、中華電信數據機</strong></span></h3> <h2><strong>物聯網裝置攻擊頻傳，戴夫寇爾揭露中華電信數據機設置不當的漏洞</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89DEVCORE%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E6%95%B8%E6%93%9A%E6%A9%9F_%E6%94%9D%E5%BD%B1Chou.JPG" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／周峻佑攝</span></p> <p>今年首度舉辦的DEVCORE Conference大會上，該公司資安研究員Orange Tsai（蔡政達）在最後一場議程中，揭露了中華電信網路數據設備中，因配置不當而能被濫用的漏洞，經通報後，對方已經透過韌體更新的方式，完成修補。</p> <p>關於這次漏洞的發現，是因為該公司情資中心在7月底偵測到大量使用者的電腦，都開啟了3097連接埠，而引起他們注意。後續經過他們的研究，找出能夠下達任意指令的漏洞，再加上預設系統管理帳號root採用弱密碼等環節，而能控制網路數據機，利用命令注入攻擊手法，遠端存取數據機3097連接埠，進而滲透到內部網路，從中發動攻擊。<a href="https://www.ithome.com.tw/news/133322"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>無檔案攻擊、離地攻擊</strong></span></h3> <h2><strong>微軟揭露新的Nodersok無檔案攻擊行動</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖5）Fig3c-Nodersok-attack-chain_圖片來源微軟.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Fig3c-Nodersok-attack-chain_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.png" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／微軟</span></p> <p>繼今年7月公布的Astaroth無檔案攻擊行動之後，微軟再公布新一波的Nodersok無檔案攻擊，駭客同樣利用合法工具展開攻擊，例如，系統內建的mshta.exe與powershell.exe，或者是自第三方網站下載的node.exe及Windivert.dll/sys，而且攻擊過程只於記憶體內執行，並沒有任何惡意的執行程式被寫入硬碟，目的是將受害系統變成代理人，以便執行點擊詐騙，估計已有數千臺Windows電腦遇害。<a href="https://www.ithome.com.tw/news/133302"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體漏洞</strong></span></h3> <h2><strong>神祕人士將vBulletin零時差漏洞公布於網路上</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖1）vBulletin Security Patch Released_圖片來源擷取自vBulletin官方論壇.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89vBulletin%20Security%20Patch%20Released_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAvBulletin%E5%AE%98%E6%96%B9%E8%AB%96%E5%A3%87.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自vBulletin官方論壇</span></p> <p>連NASA、Steam、EA都在用的商業論壇軟體vBulletin，遭人揭露存在驗證前遠端程式碼執行（pre-auth RCE）漏洞，其身分驗證可以被繞過而被取得平臺控制權限。</p> <p>最近有匿名人士在網路社群Full Disclosure公布此漏洞，並指出攻擊者無需具備帳號，只要發送HTTP POST請求，就可以在vBulletin伺服器上執行指令，進而劫持論壇的網頁伺服器、竊取或刪改資料，或是對其他系統發動攻擊等。事隔兩天，在9月26日，vBulletin團隊已經緊急修補了該漏洞，並呼籲5.5.2、5.5.3及5.5.4版用戶更新至最新版本，同時提醒5.5.2以前版本的用戶應儘快升級。<a href="https://www.ithome.com.tw/news/133269"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>VPN</strong></span></h3> <h2><strong>Cloudflare正式推出免費VPN服務Warp</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89pasted-image-0-2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Cloudflare</span></p> <p>今年4月，Cloudflare宣布將在其行動裝置App「1.1.1.1」中，加入名為Warp的VPN服務，而該項服務使用了新型VPN技術WireGuard，現在這個App正式釋出內建Warp的版本，Android或iOS用戶都可在應用程式商店下載。</p> <p>Warp與傳統VPN的差異在於，並非針對想要完全隱藏身份的用戶設計，由於Warp不會對目標服務隱藏使用者的IP位址，因此無法讓用戶在使用Warp之後，存取地區限制的內容。Cloudflare表示，Warp主要讓用戶的流量在傳輸過程中獲得保護，有心人士無法進行窺探，使用者可以在公共場所中安全的使用網路，同時還能防止ISP業者收集用戶資料並轉銷售給廣告商。<a href="https://www.ithome.com.tw/news/133281"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>郵件安全、微軟</strong></span></h3> <h2><strong>微軟網頁郵件收發程式將擴大禁止38種檔案格式</strong></h2> <p>微軟宣布將在Outlook for the Web的預設副檔名封鎖機制中，再增加38種檔案格式，包含Java、Python、PowerShell等檔案類型，受影響的產品包括Office 365、Exchange Online或Exchange Server。</p> <p>微軟表示，為了確保客戶安全，Exchange團隊近日對現有封鎖檔案名單做了一番檢視，以確保能涵括現今有風險的檔案類型。經過調整，微軟在OwaMailboxPolicy物件中，對於BlockedFiletypes屬性所封鎖的對象，由現有104類增加38類，共142類。不過，微軟也指出，如果企業有下載需求且了解相關安全風險，IT管理員仍然可以在特定條件下，將特定副檔名加入白名單。<a href="https://www.ithome.com.tw/news/133291"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>國家安全政策</strong></span></h3> <h2><strong>美國通過協助組織對抗網路攻擊的法案</strong></h2> <p>美國參議院最近通過了一項《國土安全部網路狩獵與資安事件應變法案》，將要求DHS的資安團隊協助政府及其他私人企業避免網路攻擊，在這些組織遭到攻擊時，也要協助緩解。這主要的考量，是基於網路威脅變得更普遍，但地方政府與私人企業在其網路安全的資源可能不足，因此現在美國將透過立法方式來要求。這項法案要求DHS必須設立網路狩獵與網路事件應變等兩個安全團隊，永久協助政府機關、重大基礎設施與私人企業來對抗網路攻擊，也要求相關團隊必須廣邀私人企業的安全專家，以提供非政府角度的專業意見。<a href="https://www.ithome.com.tw/news/133326"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>iOS漏洞、硬體安全</strong></span></h3> <h2><strong>研究人員宣稱多款iPhone晶片存在無法修補的Bootrom漏洞</strong></h2> <p>代號為Axi0mX的安全研究人員對外宣布，他在蘋果所打造的晶片上，發現了Bootrom漏洞，將允許駭客取得iOS裝置的控制權，該漏洞波及A5到A11的晶片，等於是從iPhone 4S到iPhone X都受到影響，且只有變更硬體才能修補，而此漏洞將讓越獄（突破蘋果原廠 iOS的限制）變得更容易。資安業者Malwarebytes Labs也表示，不只是iPhone，採用同樣晶片組的iPad、Apple Watch、Apple TV與iPod Touch，也都受到Bootrom漏洞的影響。<a href="https://www.ithome.com.tw/news/133326"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網站安全</strong></span></h3> <h2><strong>遭受駭客攻擊！臺港蘋果日報App及網站服務受影響</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%A6%99%E6%B8%AF%E8%98%8B%E6%9E%9C%E6%97%A5%E5%A0%B1%E9%81%AD%E5%8F%97%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E9%A6%99%E6%B8%AF%E8%98%8B%E6%9E%9C%E6%97%A5%E5%A0%B1%E8%87%89%E6%9B%B8%E7%B2%89%E7%B5%B2%E5%B0%88%E9%A0%81.JPG" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自香港蘋果日報臉書粉絲專頁</span></p> <p>在9月28日早上，蘋果日報的App與網站驚傳服務異常，疑似遭到駭客入侵，雖然在3個小時後服務已經復原，其粉絲專頁上也證實這項消息，但尚未對外說明遭駭的入侵管道與是否有其他影響。</p> <p>在當日11點34分，香港蘋果日報在粉絲專頁上發布訊息，公開說明了這項消息，指出「蘋果動新聞」手機App與網站疑遭受外來攻擊，導致部分讀者無法登入，臺灣的蘋果新聞網粉絲專頁也公布相關資訊。這起事件不僅是網站安全的議題，也影響到蘋果付費用戶的權益，也格外受到外界關注。<a href="https://www.ithome.com.tw/news/133325"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>金融安全、SWIFT系統漏洞</strong></span></h3> <h2><strong>國際匯款系統SWIFT漏洞被揭露，中華資安國際呼籲用戶注意修補</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E4%B8%AD%E8%8F%AF%E8%B3%87%E5%AE%89%E5%9C%8B%E9%9A%9B%E6%8F%AD%E9%9C%B2SWIFT%E7%B3%BB%E7%B5%B1%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E4%B8%AD%E8%8F%AF%E8%B3%87%E5%AE%89%E5%9C%8B%E9%9A%9B%E5%AE%98%E7%B6%B2.JPG" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷</span><span style="background-color: rgb(247, 247, 247); color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right;">取自中華資安國際官網</span></p> <p>全球金融機構通用的SWIFT系統，是銀行間交易資料交換的平臺，一旦發現系統相關漏洞，後果相當嚴重。在9月中旬，中華資安國際發出聲明，指出揭露SWIFT平臺的高風險弱點（CVE-2018-16386），CVSS 3.0評為7.5分，並建議仍在使用SWIFT 7.1.23以前版本的金融機關或企業，儘快聯繫廠商進行系統更新，若無法更新也應採取緩解措施與檢查。</p> <p>關於這次漏洞的發現，是該公司在執行金融機構電腦系統資安評估過程中所發現。指出在SWIFT Alliance Web Platform 7.1.23版中存在Log Injection漏洞，若是攻擊者利用系統Error log功能，搭配其他的任意檔案引入弱點一起使用，就可能達成遠端執行指令碼攻擊。由於SWIFT系統敏感性較高，在去年他們通報此漏洞後，SWIFT開發廠商已經修補，而美國國家漏洞資料庫（NVD）直到2019年7月才公開發布，近期中華資安國際提醒用戶應儘速更新。<a href="https://www.chtsecurity.com/news/98b76e4b-3694-4f8d-b750-0f446019b29e"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃醫療安全　＃台大醫院</strong></span></h3> <h2><strong>台大醫院驚傳駭客入侵，院方表示：已依規定通報，無資料外洩</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/22_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%B3%B4%E9%A3%9B%E7%BE%86_%E5%8F%B0%E5%A4%A7%E9%86%AB%E9%99%A2_%E8%B3%87%E8%A8%8A%E5%AE%A4%20%E4%B8%BB%E4%BB%BB_20170626_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(1).jpg" style="width: 220px; float: right;" /></strong><span style="text-align: right; color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／洪政偉攝</span></p> <p>九月底，台大醫院驚傳駭客入侵事件，國內多家媒體報導此事，指出疑似有資料外洩，並傳出院方列為三級資安事件，已經通報教育部與行政院，由行政院技術服務處協助調查。對此，我們向台大醫院詢問是否真有此事，他們的公共事務室管理師梁世箴出面回應，院方系統確實遭受到駭客攻擊，但沒有資料外洩情事發生。<a href="https://www.ithome.com.tw/news/133368"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h4><strong><span style="color:#0099ff;">＠更多資安動態</span></strong><br /> ●<a href="https://www.ithome.com.tw/news/133226">微軟修補IE、Windows Defender重大漏洞，IE零時差漏洞已有攻擊程式</a><br /> ●<a href="https://www.ithome.com.tw/news/133335">DEFCON Voting Village：上百款投票機器都被研究人員攻陷</a><br /> ●<a href="https://www.ithome.com.tw/news/133327">研究人員發現鎖定SIM卡軟體的攻擊，WIBattack將可透過漏洞遠端控制手機與追蹤用戶位置</a><br /> ●<a href="https://www.ithome.com.tw/news/133252">國家級駭客鎖定美國的公用事業服務供應商展開魚叉式網釣攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/133373">微軟Windows 7付費延伸支援方案，開放中小企業購買</a><br /> ●<a href="https://www.ithome.com.tw/article/133173">【NIST網路安全框架當紅】彈性靈活易上手，連美國聯邦政府都全面採用</a><br /> </h4> </div></div></div>
2019/10/2 14:41作者羅正漢https://www.ithome.com.tw/news/133382
新加坡政府請研究人員為政府網站找漏洞，不過沒獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡政府周二<a href="https://hackerone.com/sg-vdp" target="_blank">宣佈啟動抓蟲計畫</a>，請外界幫政府網站找漏洞。</p> <p>這項漏洞揭露方案（Vulnerability Disclosure Programme）是由新加坡政府科技署（Government Technology Agency，GovTech）推出，由抓漏平台HackerOne代管，旨在鼓勵研究人員找出並通報存在於星國政府IT服務、系統、資源及流程中，可能影響政府網站app安全性的可疑漏洞或瑕疵。本方案涵蓋的對象，包括星國政府機關及法定機關的公開網站及手機應用、以及僅限公務員存取的政府網站等。</p> <p>研究人員可在專案網站上通報找到的漏洞，提供漏洞描述、受影響的政府網站URL或IP、以及受影響軟體的版本和設定等。通報人還需提供找到漏洞的時間日期，以及自己的姓名及聯絡方式，以便政府確認事宜。</p> <p>新加坡政府並<a href="https://www.tech.gov.sg/report_vulnerability" target="_blank">提醒研究人員</a>只能通報政府漏洞，不可對外公佈、或從事駭入或攻擊網站、存取、刪改、下載資料及系統設定，或是植入後門程式等非法行為。最後，這項計畫顯然希望研究人員做公益，並未提供任何獎金報酬。</p> </div></div></div>
2019/10/2 12:30作者林妍溱https://www.ithome.com.tw/news/133379
Yahoo前工程師濫用職權入侵6,000名用戶帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-ndca/pr/former-yahoo-software-engineer-pleads-guilty-using-work-access-hack-yahoo-users" target="_blank">一名Yahoo的前軟體工程師Reyes Daniel Ruiz在本周坦承，他在Yahoo工作期間，濫用職權駭入約6,000名Yahoo用戶的帳號</a>，他只鎖定年輕女性，當中還不乏他的朋友與同事，然後複製她們的個人照片及影片。</p> <p>現年34歲的Ruiz在Yahoo任職的時間長達11年，去年才到Okta上班。根據訴狀，Ruiz破解了約6,000名Yahoo用戶的密碼，同時入侵她們的iCloud、Facebook、Gmail、DropBox及其它服務的帳號，以搜尋她們的個人照片及影片，繼之複製這些內容並存放在自己的家中硬碟，一直到Ruiz的長官發現異常的帳號活動才被識破。</p> <p>Ruiz已坦承上述罪行，正以20萬美元的保釋金交保候傳中，他被指控違反計算機入侵法案，最高可處5年刑期與25萬美元的罰金，還要加上賠償費，此案預計於明年2月宣判。</p> </div></div></div>
2019/10/2 12:45作者陳曉莉https://www.ithome.com.tw/news/133380
UPS將成立首個無人機航空，專提供醫療品快遞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>快遞及貨運大廠<a href="https://pressroom.ups.com/pressroom/ContentDetailsViewer.page?ConceptType=PressReleases&id=1569933965476-404" target="_blank">UPS周二宣佈</a>旗下子公司UPS Flight Forward獲得美國主管機關許可，將成立第一支無人機航空，一開始鎖定醫療用品遞送，未來也計畫跨足其他產業運輸服務。</p> <p>UPS將把現有無人機服務機隊擴大到全國，以提供全美各醫院院區之間的醫療品運輸，之後再擴及健康照護業其他單位。</p> <p>UPS子公司是在取得美國聯邦航空總署（FAA）獲頒Part 135標準認證後，得以擴編機隊。這張認證是美國最高階的認證，對飛行機隊大小或營運規模不會設限，因此UPS Flight Forward可投入無數量限制的無人機及控管人員提供服務。此外，此一標準也允許UPS無人機及貨機不再受55磅（約25公斤）的載重限制，也可夜間飛行。</p> <p>今年三月<a href="https://pressroom.ups.com/pressroom/ContentDetailsViewer.page?ConceptType=PressReleases&id=1553546776652-986" target="_blank">UPS和無人機業者Matternet 合作，</a>在北卡羅萊納州推出該公司首個醫療檢體無人機快遞服務，首家客戶是雷利市（Raleigh）的WakeMed醫院。</p> <p>未來UPS Flight Forward除了將無人機快遞服務擴大到新客戶外，也將打造地面偵測及迴避（Detect and Avoid，DAA）技術、中央控制中心，並增加操控員視線（Visual Line of Sight，VLOS）外的無人機航班。此外UPS也計畫找其他無人機業者，並跨出健康照護業，提供特殊品或管制品的遞送服務。</p> </div></div></div>
2019/10/2 11:40作者林妍溱https://www.ithome.com.tw/news/133377
碩網用SmartBERT模型打造企業級AI助理，整合微軟Teams要成為企業內部IT和ERP小幫手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>碩網資訊（Intumit）昨（1日）發不一套企業級AI助理解決方案SmartWork，這款聊天機器人是由1萬多筆資料和自家改良的SmartBERT模型訓練而成，將以應用程式的形式，提供在微軟協同社群平臺Teams上，供企業客戶下載使用。SmartWork不只能針對企業內部文書作業處理（如Microsoft 365應用程式）等提供疑難雜症解答，碩網還進一步提供客製化服務，將AI助理與企業內部的ERP、客戶管理系統和訂單系統串接，扮演IT Help Desk角色，來處理內部員工請假差勤、IT設備使用、預約會議以及餐點訂送等問題。</p> <p>碩網資訊技術長江明洋表示，碩網20多年來專攻自然語言處理服務，自2013年開始發展自家核心AI引擎，首先自行開發了中文斷詞工具，然後發展詞向量生成，今年則利用自然語言界公認表現最好的BERT模型，開發出自家的SmartBERT模型，來打造這次導入微軟Teams的AI助理SmartWork。SmartWork利用了微軟Office資料庫中的問答集、技術社群和支援文件、使用者行為等資料訓練而成，資料量達1萬多筆，可支援中、英、日等三種語言。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">小至Office軟體疑難雜症，大至IT問題、請假差勤、會議預約都包辦</span></span></strong></p> <p>江明洋也在現場示範SmartWork可應用的場景，首先是解決Office辦公軟體的疑難雜症。使用者可透過系統導引的方式來點選問題，或是透過打字、語音方式來輸入問題，比如O365 Excel的縮排異常，或是PowerPoint檔案縮圖異常等，系統就會顯示相對應的解答。</p> <p>再來則是企業內部的IT相關問題，比如忘記網路密碼、信箱問題、電腦當機或特定IT流程，「也能客製化新增企業內特定的IT問題。」江明洋也指出，SmartWork除了能以文字回答，還能在回答中附上圖片、影片或超連結檔案，比如使用者遇到外部信件收發問題，AI助理就會告知需申請寄送外部郵件許可，並附上檔案下載連結（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2773.jpeg" /></p> <p>接下來則是差勤、請假等問題，「這就是整合企業內部人資系統的範例。」使用者可透過SmartWork辦理請假手續，比如輸入「請假5天」，AI助理也會自動根據使用者是否還有特休，來提供請假類別的建議。而請假需求送出後，企業主管也會收到一份通知，來進行簽核（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2775.jpeg" /></p> <p>最後一個場景範例，就是會議預約。江明洋指出，會議預約以表單形式在Teams上呈現，可讓使用者按步驟將會議時間、地點、參與者等資訊填妥後，再透過微軟Outlook郵件發送通知。不只如此，要是企業有員工餐廳或咖啡廳，SmartWork可串接內部訂單系統，在預約會議的同時，替與會人員準備茶水或餐點（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2778.jpeg" /></p> <p>江明洋指出，SmartWork目前支援中文、英文和日文等三種語言，當AI助理無法回答問題時，可切換至真人來處理。此外，他也提到，由於SmartWork以龐大的SmartBERT模型為基礎，因此對硬體算力要求較高，必須透過更多GPU來進行模型的重新訓練（Retraining），或是透過Azure雲平臺來執行。而就使用層面來說，在臺灣已有金融業、製造業和教育界等率先導入，比如永豐銀行。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">永豐銀行數位轉型之路，從Office 365和內部智能客服開始</span></span></strong></p> <p>永豐銀行資深副總經理暨資訊長蔡瑞庭指出，去年，永豐高層決定展開數位轉型，第一步要先從「改變員工行為」開始，特別是從員工的辦公方法著手。於是，今年，永豐銀開始導入微軟Office 365，也計畫汰換永豐全臺6千多臺PC，要全面採用Windows 10。</p> <p>但在這個過程中，蔡瑞庭也意識到，自家內部的IT支援單位，每天都會接到數百通電話，「要是Office 365上線後，數量有可能翻倍，對IT單位來說負擔太大，」因此決定導入SmartWork，首先就是要提供各種Office 365的疑難雜症解答，再來要解決內部IT提問，最後則是達到更智能的資料呼叫功能，比如在董事會議上，透過智能客服來找出複雜報表中的特定欄位數值。</p> <p>他也指出，SmartWork今年7月上線，IT同仁繼續進行系統客製化、強化背後資料庫，至於成效，「同仁回饋系統表現還不錯。」他也提到，當全臺PC汰換完成後，要將內部智能客服進一步往外擴散，來實踐數位轉型的第一步。文◎王若樸</p> <div aria-describedby="bubble-5" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 197px; top: -26px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-5"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 781.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2019/10/2 12:09作者王若樸https://www.ithome.com.tw/news/133370
Exim再度修補遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的郵件伺服器元<a href="https://threatpost.com/critical-exim-flaw-opens-servers-to-remote-code-execution/148773/" target="_blank">件Exim上周修補編號為CVE-2019-15846的安全漏洞</a>，將允許駭客自遠端執行任意程式，並被列為高風險的重大漏洞。</p> <p>Exim為一開源的郵件傳輸代理程式（Mail Transfer Agent，MTA），主要被應用在Unix類型的作業系統上，根據E-Soft今年8月的估計，全球可公開存取的郵件伺服器中，約有57%採用Exim，數量大約是50萬台。</p> <p><a href="https://www.exim.org/static/doc/security/CVE-2019-16928.txt" target="_blank">Exim團隊說明</a>，CVE-2019-15846是個堆積緩衝區溢位漏洞，存在於string.c中，已知的開採可利用非常長的EHLO字串，來摧毀接收該訊息的Exim程序，正當Exim放棄其特權的時候，也許有其它途徑可觸及有漏洞的程式碼，因而有機會執行遠端程式。</p> <p>該漏洞波及Exim 4.92至4.92.2版本，用戶只有升級到4.92.3一途才能解決該漏洞，並沒有其它的暫時補救措施。這其實只是一個簡單的錯誤，Exim團隊只用了一行程式就修好了，也幸好尚未傳出任何災情。</p> <p>Exim在今年6月及9月都曾傳出嚴重的遠端程式攻擊漏洞，且駭客在漏洞公布後的一周後便展開攻擊，意謂著儘快更新才是上策。</p> </div></div></div>
2019/10/2 10:20作者陳曉莉https://www.ithome.com.tw/news/133372
AWS推出第三方按需支援服務AWS IQ
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-iq-get-help-from-aws-certified-third-party-experts-on-demand/">AWS推出了一個稱為AWS IQ的全新支援平臺</a>，可讓用戶直接與AWS認證的第三方專家聯繫，以獲得更完整技術支援，而獲AWS認證的人也可以申請成為AWS IQ專家，為提出請求的使用者提供收費服務。</p> <p>AWS IQ可以解決問題的範圍，包括了為每項工作負載選擇適當的架構、最佳化工作負載，或是設定AWS等一般問題，都可以透過AWS IQ獲得解答，官方提到，AWS IQ服務對於各種規模的企業都有幫助，但中小型的企業會感到特別有用。AWS IQ與AWS帳戶、帳單整合一起，當企業使用專家服務，則可以授予專家存取使用者帳戶的權限，並同時進行監視以及控制，且按專案進度付款給專家。</p> <p>使用者可以在AWS IQ控制臺，開始一項新的請求，AWS提供了五項請求類別，分別是學習AWS、計畫AWS專案、設定AWS服務、搬遷至AWS以及評估與最佳化AWS花費，底下使用者可以填寫請求的標題，並詳細描述請求的內容。這個請求會分享給專家們，專家能以提案回應這份請求，而使用者可以在控制臺查看回應，並且控制是否繼續接收新的回應。</p> <p>使用者在收到專家回應的提案後，可以透過文字與影片與專家討論，最終決定是否接受專家的提案，當用戶接受了提案，AWS IQ便會幫助雙方建立合約。專家可以在之後請求存取用戶的AWS帳戶，待用戶審核同意後，就能夠以特定身分登入AWS管理控制臺。在專案進行到一個階段後，專家可以提出支付請求，用戶批准後便能以AWS帳戶進行付款。</p> <p>現階段擁有AWS認證且居住在美國，具有美國銀行帳戶與稅務資訊的人，都可以申請成為AWS IQ專家，而待申請批准之後，就能夠在AWS IQ平臺上尋找相關的請求，並回覆這些問題。</p> </div></div></div>
2019/10/2 10:25作者李建興https://www.ithome.com.tw/news/133360
Confluent Cloud推Kafka無伺服器服務免費試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.confluent.io/blog/kafka-made-serverless-with-confluent-cloud">企業級Kafka串流服務供應商Confluent Cloud，現推出Apache Kafka即服務免費試用</a>，讓企業能夠在雲端開始使用Kafka無伺服器服務，建立資料串流工作負載。官方提到，使用無伺服器Kafka服務，可以不需要擔心系統維護問題，Confluent Cloud提供SLA保證99.95％的正常運作時間。</p> <p>Confluent Cloud簡化了服務收費方式，每GB流入與流出的資料都為0.11美元起，每月每GB儲存的資料留存費用則為0.1美元，而Broker或ZooKeeper這種固定的基礎架構元件，Confluent Cloud則不另外收取費用。Confluent Cloud為新註冊的使用者，前三個月提供每月50美元的使用額度，用戶可以在任何雲端平臺開始使用Apache Kafka服務，包括AWS、Azure以及GCP。</p> <p>Apache Kafka是一個分散式的串流平臺，分離資料產出以及資料接收的角色，採用發布和訂閱架構，使用者可利用Apache Kafka連續捕捉串流事件、交易、物聯網事件或是日誌等資料，進行即時分析或是資料處理後，派送到其他資料湖泊與資料庫中。</p> <p>Apache Kafka原為LinkedIn所開發，而後在2011年開源，在2012年從Apache孵化器畢業，原本在LinkedIn中開發Apache Kafka的工程師，2014年離開LinkedIn成立了Confluent，並專注於開發Apache Kafka。</p> </div></div></div>
2019/10/2 10:25作者李建興https://www.ithome.com.tw/news/133369
微軟Windows 7付費延伸支援方案，開放中小企業購買
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於仍有為數眾多的企業使用Windows 7尚未轉換到Windows 10，<a href="https://www.microsoft.com/microsoft-365/partners/news/article/announcing-paid-windows-7-extended-security-updates" target="_blank">微軟周二宣佈</a>Windows 7付費延伸支援服務，現在擴及中小企業用戶。</p> <p>Windows 7的延伸支援即將在2020年1月14日終止，Office 2010的支援也即將於稍後截止。為了讓企業用戶在大限之後，仍能獲得Windows 7的安全修補程式，微軟提供了Windows 7延伸安全更新（Extended Security Update，ESU），在2023年1月以前，可依電腦台數付費購買安全修補更新。微軟指出，考量到企業部署Windows 10的步調不一，這項服務原本只提供給購買大量授權（Volume Licensing）方案的Windows 7 專業／企業版用戶，現在將提供給所有企業。</p> <p>從12 月1日起，任何擁有Windows 7專業及企業版本的企業用戶都可以透過雲端解決方案供應商（Cloud Solution Partner）購買ESU方案。</p> <p>Windows 7 延伸支援並不便宜，而且從2020年到2023年逐年調高價格。針對Windows 企業版及Microsoft 365用戶，第1年每台裝置收費25美元、第2年50美元，第3年再加到100美元。微軟付費Windows 7延伸安全更新服務到2023年1月。至於Windows 7專業版，前三年支援分別為每台裝置50、100和200美元。</p> <p>即使Windows 7支援只剩下不到3 個月，但企業仍然不願或無力升級到Windows 10。根據安全廠商<a href="https://www.ithome.com.tw/news/132792" target="_blank">卡巴斯基（Kaspersky Labs）的估計</a>，有超過4成企業依然使用已終止支援或即將過期的Windows版本，包括Windows 7、Vista及XP。</p> <p>而市調公司<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">GlobalStats的數據顯示</a>，截至今年8月，全球使用Windows 10的Windows電腦比例來到60.7%，但還有29.4%的電腦跑Windows 7，居第二位。</p> </div></div></div>
2019/10/2 10:45作者林妍溱https://www.ithome.com.tw/news/133373
Fintech周報第116期：螞蟻區塊鏈發布跨鏈產品ODATS，提供多類區塊鏈平臺的異構鏈互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0928-1004</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 螞蟻金服 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">螞蟻區塊鏈發布跨鏈產品ODATS，提供多類區塊鏈平臺的異構鏈互通</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">螞蟻金服副總裁蔣國飛，在9月底於杭州舉辦的雲棲大會螞蟻區塊鏈生態峰會上，揭露了螞蟻區塊鏈的進展，以及下一步的區塊鏈生態戰略。蔣國飛指出，螞蟻區塊鏈至今已成功為合作夥伴、企業客戶落地了超過40個商業應用場景，包括了跨境匯款、供應鏈金融、智慧住房租賃平臺、醫療保險理賠、電子票據、公益慈善、商品溯源等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">他更表示，區塊鏈將建構信任機制的基礎設施，未來，「上鏈量，將成為衡量數位經濟水準的重要指標。」蔣國飛說明，螞蟻區塊鏈是自行研發的金融級區塊鏈引擎，技術上能支持10億帳戶規模，每日能支持10億次交易，並可做到每秒10萬筆以上的跨鏈資訊處理（PPS）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">螞蟻金服區塊鏈平臺部技術總監張輝，同場發布跨鏈產品ODATS（Open Data Access Trusted Service），他表示，「跨鏈將是萬鏈互聯的基礎」，螞蟻區塊鏈要透過ODATS，建構跨鏈通訊的基礎設施。在跨鏈技術上，張輝指出，ODATS會支援通用程式語言，並提供多類區塊鏈平臺的異構鏈互通。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0894(1).JPEG" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 彰化銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Open API </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">百年彰銀揭露自家Open Banking發展重點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%BD%B0%E5%8C%96%E9%8A%80%E8%A1%8C%EF%BC%BF%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89(1).jpg" style="font-size: 18.6667px;" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">彰化銀行在近日，揭露自家開放銀行（Open Banking）發展進程與未來策略。作為財金公司「開放API開發者平臺」首波上架的銀行之一，彰銀表示，他們已合作TSP業者麻布記帳，進行金融資訊整合，預計9月底民眾就能在麻布記帳App查詢彰銀臺幣、外幣存款利率與匯率等資訊。未來，彰銀也會配合財金公司時程，逐步提供第二階段「消費者資訊查詢類」與第三階段「交易面資訊」Open API的項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">彰銀也透露，未來自家的開放銀行策略，將會積極尋求異業合作，除了拓展以開放的API服務對象，未來將合作財金公司與政大金融科技中心，打造開放API生態系。彰銀表示，可再結合證券、保險、金融科技、電信、帳單與電商業者，透過跨業合作加速FinTech創新。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">然而，早在臺灣這波開放銀行的風潮前，彰銀就已開放出自家API讓外部串接。彰銀表示，截至今年已發展140支API，類型涵蓋收單、支付、繳費稅、供應鏈金融、餘額與交易明細資料查詢、身分驗證等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 螞蟻區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放聯盟鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Dapp發布平臺 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">螞蟻區塊鏈將對開發者社群開放聯盟鏈，12月上線Dapp發布平臺</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20%E5%85%A8%E6%B0%91%E7%86%B1%E9%8F%88%EF%BC%BF%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C(1).JPEG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻金服資深總監、螞蟻區塊鏈BaaS（Blockchain as a Service）平臺負責人李杰力，在一場阿里巴巴自家活動上，發布了新計畫「全民熱鏈」，要透過開放來打造區塊鏈多元生態。這項計畫，除了前期的升級合作夥伴計畫，以及開放服務市場之外，另一大重點即是今年11月7日，螞蟻區塊鏈將上線針對開發者社群的開放聯盟鏈，12月12日則預計上線Dapp發布平臺。李杰力解釋，開放聯盟鏈的目的是要面對全球開發者、機構客戶，降低建鏈的門檻，支撐中小企業快速發展。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 南山人壽 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 境界成就計畫 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會重罰南山人壽3千萬元更要董事長停職，直指境界成就計畫3項缺失</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_from_ios.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">南山人壽「境界成就計畫」，斥資百億元與SAP合作打造的新資訊系統，自去年9月上線後狀況頻頻，南山人壽處理未果，金管會在9月17日開鍘，南山人壽董事長杜英宗遭金管會停職、南山人壽也被重罰3,000萬元，此外，金管會也下令南山人壽停止投資型保險商品新契約業務，直到投資型保險商品資訊系統改善完成。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會裁罰結果，南山人壽有3項缺失。一是專案控管缺失，南山人壽境界專案未建立內控內稽制度，內部稽核監督功能不彰，且未確實執行系統開發、程式修改及測試程序的控制作業及辦理重大偶發通報。二是採購控管作業缺失，金管會指出，南山人壽董事會與審計委員會決策境界專案過程，並未發揮治理監督責任且未考量商業模式改變的影響。三是財務控管作業缺失，金管會提到，南山人壽帳務錯誤，情節重大且有礙健全經營。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Mobile ID </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Open API </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山銀導入行動身分識別服務，跨境網購能用手機號碼驗身分</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/38%E8%AC%9D%E8%90%AC%E7%A6%AE_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20130306_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山銀行合作TWID身分識別中心，推出Mobile ID行動身分識別服務，提供玉山銀電子支付會員，在進行玉山跨境e指購時，可藉由行動電話門號來加強實名身分認證，玉山銀行信用卡暨支付金融事業處副總經理劉美玲表示，運用Mobile ID行動身分識別服務，具有行動化、免臨櫃辦理及跨業別整合等特點，是加強身分認證的重要基礎工程，也是電子支付的新里程，未來還可運用在數位金融、開放銀行等領域，預期將帶動更多創新的服務與商業模式。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山銀行此次導入Mobile ID行動身分識別，提供跨境網購註冊電子支付會員、變更會員資料或提升交易額度時，可以直接在線上輸入行動電話門號，透過電信業者確認門號持有人身分，再搭配國民身分證資料，即可完成實名認證。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，玉山銀行也揭露自家在開放銀行的進程，玉山銀是財金「開放API開發者平臺」首波開放公開資料查詢的金融機構之一，玉山銀表示，目前顧客可在麻布記帳App查詢玉山銀行臺幣、外幣存款利率及匯率報價等資訊。而玉山銀本身提供的API，則包括「帳戶扣款」、「生活繳費」、「即時綁卡」等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 螞蟻區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="background-color: rgb(51, 153, 255); vertical-align: top;"> Hyperledger </span></strong></span><br /><strong style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">螞蟻區塊鏈前進全球，將與Hyperledger跨鏈合作</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%9E%9E%E8%9F%BB%E5%8D%80%E5%A1%8A%E9%8F%88Hyperledger_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPEG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">螞蟻金服發布了最新區塊鏈生態戰略．找來了Hyperledger（超級帳本）亞太區副總裁Julian Gordon共同宣布，螞蟻區塊鏈將透過與Hyperledger跨鏈合作，推進區塊鏈生態互聯互通，提供多樣性的技術服務。阿里巴巴將成為亞太區首家、全球第二家超級帳本認證服務供應商（HCSP）。</span><span style="background-color: rgb(247, 247, 247); font-size: 18.6667px;">同時，螞蟻金服也在9月25日，正式與德國拜耳農業部門簽署合作意向書，要打造食物和農業供應鏈的區塊鏈應用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Kik </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Kin加密貨幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Kik將關閉傳訊程式，專心發展Kin加密貨幣</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Kik Interactive宣布，將關閉曾經在美國風靡一時的即時傳訊程式Kik，全力衝刺新闢的Kin加密貨幣市場。Kik是在2017年轉向新興的區塊鏈技術，發行1兆個Kin加密貨幣，並透過首次代幣發行（ICO）對外募資1億美元。然而，美國證券交易委員會（SEC）在今年6月提出訴訟，宣稱Kik的ICO活動並未向SEC註冊，屬於違法行為，要求美國法院頒布永久禁令並處以罰款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Kik執行長Ted Livingston表示，在與SEC斡旋了18個月之後，他們的選擇只有承認Kin為證券，或者是上法庭辯論此事，他們選擇了後者。只是，在法庭上的長期抗戰可能會消耗Kik的資源，與其選擇出售手上所持有的Kin，他們決定重新整頓內部資源以減少開支，包括關閉Kik程式，裁撤上百名員工，只留下19名員工，未來將只專注如何把Kin用戶變成Kin買家。</span></p> <p><span style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：阿里巴巴；</span></span><span style="font-size: 14pt; vertical-align: top;"> </span><span style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">攝影／洪政偉、</span><span style="vertical-align: top; font-size: 18.6667px;">李靜宜</span></span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1.</strong><strong style="font-size: 14pt; vertical-align: top;"><a href="https://www.ithome.com.tw/news/132532" style="vertical-align: top; color: rgb(0, 0, 0); text-decoration-line: none; border-bottom: 1px dotted rgb(187, 187, 187); padding-bottom: 5px;"> </a></strong><strong>第一銀行取得SWIFT gpi服務認證，將可提高跨境匯款速度、透明度及可追蹤性</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年10月</span></strong></p> </div></div></div>
2019/10/2 11:04作者李靜宜https://www.ithome.com.tw/news/133374
台大醫院驚傳駭客入侵，院方表示：已依規定通報，無資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>九月底，台大醫院驚傳駭客入侵事件，國內多家媒體報導此事，指出疑似有資料外洩，並傳出院方列為三級資安事件，已經通報教育部與行政院，由行政院技術服務處協助調查。對此，我們向台大醫院詢問是否真有此事，他們的公共事務室管理師梁世箴出面回應，院方系統確實遭受到駭客攻擊，但沒有資料外洩情事發生。</p> <p>至於這次駭客入侵的調查現況，梁世箴則不願多做說明，因此，我們詢問行政院資通安全處，他們則回應進行中的事件不會公開。目前看來，對於這次遇駭的具體情況，有待相關單位進一步公布調查結果。</p> <p>對於這次台大醫院遭入侵，雖然院方表示沒有資料外洩的情況，但也再次喚起國人與重要首長的個資安全問題，以及醫療系統安全議題。因為，<a href="https://www.ithome.com.tw/news/124695">去年新加坡曾經發生SingHealth醫療系統遭入侵，發生個資外洩事件</a>，由於關係到總理李顯龍的病例資料，因此受到莫大關注。</p> <p>而且，由於上個月底，<a href="https://www.ithome.com.tw/news/132804">國內也發生了22家醫療院所遭勒索軟體的事件</a>，衛福部表示僅有應用系統重要檔案被加密而不能運作，沒有個資外洩的狀況，但一連串的醫療系統安全問題，已經成為國人關注焦點。</p> <h3><strong>國內醫療院所通報體系不同，後續是否進一步調整成民眾關切焦點</strong></h3> <p>特別的是，我們注意到這次事件在通報流程上的現況，因為台大醫院是依照現行體制通報到教育部。據瞭解，這次事件是由台大醫院自行通報，送台大審核通過後，再通報到教育部，而依據資安法相關規定，凡三級以上事件則需通報至行政院，因此，再由教育部依規定轉送行政院。</p> <p>對此，梁世箴僅表示，他們都有依政府規定通報，但其他方面則不願多做回應。後續，我們再詢問到衛生福利部資訊處處長龐一鳴，他表示，依目前資安法的規定，除軍醫院不適用之外，公立學校的醫院是向教育部通報，榮民醫院是向退輔會通報，縣市立醫院則向縣市政府通報。由於國內各類醫療院處於不同下屬單位，對於這樣的通報現況，他指出，其實衛服部已經與資安處討論過這樣的問題，資安處後續將會有所決定。</p> </div></div></div>
2019/10/1 20:13作者羅正漢https://www.ithome.com.tw/news/133368
KDE社群採用GitLab作為軟體生命周期管理平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/press/releases/2019-09-17-gitlab-adopted-by-KDE.html">國際自由軟體社群KDE開始在DevOps平臺GitLab上進行開發工作</a>。KDE社群所開發的高階圖形桌面環境，提供使用者通訊、工作、教育和娛樂等各種應用程式，同時KDE也是一個平臺，讓第三方可以輕易的在上面建立新的應用程式。</p> <p>採用GitLab可為KDE社群的貢獻者提供額外基礎架構的選項，使得程式碼審核能整合git，同時也簡化了基礎設施和工具，並與GitLab社群建立開放溝通的管道。GitLab提到，現在KDE社群中的2,600個貢獻者，都可以存取GitLab平臺上開發和程式碼審核等功能，而GitLab所提供的這些功能，是作為KDE社群當前開發工具的補充。</p> <p>KDE社群可以將GitLab的應用程式DevOps生命周期，逐漸整合到開發工作流程中，包括從計畫、開發、部署到監控各階段。另外，GitLab也提供Concurrent DevOps給KDE社群使用，貢獻者能以新的創建與發布軟體的方法協作，跨階段管理並保護應用程式，由於提高資訊的可見度以及更全面的治理，能幫助加速軟體生命周期。</p> <p>KDE e.V.總裁Lydia Pintscher提到，對KDE這類開放社群來說，採用易於使用的基礎架構非常重要，在過去兩年，KDE大幅降低開發人員進入KDE社群的障礙，而搬遷到GitLab更是這個過程重要的一步</p> </div></div></div>
2019/10/2 09:50作者李建興https://www.ithome.com.tw/news/133350
沒註冊就ICO，Block.One被罰2,400萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2019-202" target="_blank">美國證券交易委員會（SEC）本周指出</a>，區塊鏈技術公司Block.one因未向SEC註冊就擅自展開首次代幣發行（Initial Coin Offering，ICO），在一年的時間就違法募集了數十億美元的資金，雙方近日達成和解，Block.one願意支付2,400萬美元的一次性罰款。</p> <p><a href="https://block.one/news/block-one-announces-settlement-with-us-securities-and-exchange-commission/" target="_blank">Block.one</a>為一區塊鏈軟體開發商，在去年6月發表了EOSIO開源區塊鏈協定，以作為分散式應用的基礎設施，同時協助企業與開發人員利用EOSIO打造企業等級的區塊鏈解決方案。從2017年6月到2018年6月，Block.one持續在市場上銷售基於ERC-20的代幣。</p> <p>SEC則表示，Block.one在<a href="https://www.ithome.com.tw/news/115793" target="_blank">該委員會發表DAO調查報告</a>沒多久之後，就開始銷售90億個代幣，持續將近一年，最終在全球募集了價值數十億美元的數位資產，其中有部份投資人來自美國。Block.one既未根據聯邦證券法案進行註冊，也不符合不需註冊的豁免資格。</p> <p>另一方面，Block.one亦發表聲明，指出雙方的和解協議代表SEC將既往不究，不會再要求Block.one將代幣註冊為證券。</p> <p><a href="https://www.coindesk.com/eos-maker-block-one-settles-with-sec-over-unregistered-securities-sale" target="_blank">根據CoinDesk的報導</a>，Block.one透過ICO在全球募集的資金多達41億美元，而SEC所祭出的罰款，只不過佔了Block.one募資規模的0.0058%。</p> </div></div></div>
2019/10/2 10:00作者陳曉莉https://www.ithome.com.tw/news/133371
微軟更新Visual Studio的Azure IoT工具，開發者可對Linux Docker容器遠端除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/azure-iot-tools-september-update-azure-iot-edge-remote-debug-and-more/">微軟強化Visual Studio 2019遠端除錯以及Azure IoT裝置設定服務的支援</a>，此外，還發布了一個移植工具iotedge-compose，讓開發者可將基於Docker Compose建立的應用程式移植到Azure IoT Edge上。</p> <p>Visual Studio 2019的16.3版本改善了Linux Docker容器的遠端除錯功能，開發者可以使用這個除錯功能，為通用容器除錯，微軟提到，這項除錯功能，在Azure IoT Edge模組情境中，開發人員可以遠端為Azure IoT Edge C# Linux模組容器除錯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(37).png" style="width: 600px;" /></p> <p>Visual Studio中的Cloud Explorer，現在支援Azure IoT Hub裝置設定服務，開發者可以直接在Visual Studio中，進行Azure IoT裝置的設定。Azure IoT Hub裝置設定服務是Azure IoT Hub的幫助服務，可在不需要人工介入的情況下，進行零接觸且即時地設定Azure IoT Hub，讓企業能夠安全地配置數百萬個裝置。</p> <p>而開發者現在還可以簡單地將Docker Compose專案，轉換成Azure IoT Edge解決方案。Docker Compose是可以用來定義和執行多容器Docker應用程式的工具，微軟現在提供iotedge-compose工具，這是一個Python開發的CLI工具，只要透過pip安裝，就能快速地轉換Compose專案成Azure IoT Edge解決方案。</p> </div></div></div>
2019/10/2 10:15作者李建興https://www.ithome.com.tw/news/133355
擁抱微服務不需一步到位，找對目標比全面重構更重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「容器、微服務試了才知道！」大半生投入銀行IT的彰化銀行資訊處處長陳顯龍，談起最新的容器技術，衝勁滿滿。</p> <p>這家百年老店正在思考銀行架構的大改造，不只要展開銀行核心系統大升級，為了更快速反應市場變化，陳顯龍還計畫，引進最夯的微服務架構、容器技術、商用Kubernetes產品等，來優化現有的系統。他希望改用「服務」來取代過去以業務為導向的功能模組，打造一套可以彈性組合和擴充的新一代分行端末系統。</p> <p>陳顯龍早在多年前就推動過一波彰銀IT集中化架構的改造，可以做到全球全行一日結帳。相比自己過去熟悉的VM、SOA架構，他認為，容器和微服務架構的核心概念其實也很類似，開始導入這些技術時，銀行IT團隊仍然大概可以知道該如何進行。</p> <p>但是，「沒有踩進去，就無法知道前置作業得準備到什麼程度才夠，做過一次就知道。」他坦言：「第一次不見得能做好，就算這次失敗，下次就可以調校得更棒。」所以，趁著核心系統升級之際，他打算先從分行端末系統開始擁抱容器技術和微服務，讓IT團隊練手。</p> <p>彰化銀行不是唯一一家想要擁抱當紅微服務和容器架構的臺灣企業，除了網路公司、新創公司早就積極擁抱之外，這兩年如第一金人壽、國泰世華銀行、遠傳電信、中華電信等也開始嘗試用於特定領域或應用上，更有不少機器學習或深度學習分析團隊背後所用的運算環境，就是靠K8s和容器來調度，例如臺灣最新款的超級電腦台灣杉2號上就部署了一套K8s環境。</p> <p>傳統企業擁抱微服務的挑戰，遠比新創公司、網路原生服務業者或行動應用業者，來得更困難，最大的挑戰就是大量單體式既有應用的包袱。如何踏出第一步，一步到位全面採用？還是分批進行？該從何下手？這都是CIO的困擾。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-940%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E4%B8%BB%E6%96%87-%E7%9B%A3Kevin%20Matheny.png" style="width: 279px;" /></td> </tr><tr><td><strong style="color: rgb(105, 105, 105);">Gartner資深研究總監Kevin Matheny建議，導入微服務要先找對目標，可從面對顧客、需要快速改變的AP入手，一步到位全面重構的成本太高。</strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></td> </tr></tbody></table><p>Gartner資深研究總監Kevin Matheny建議，擁抱微服務最好不要一步到位，更不要趕流行，「導入微服務要先找對目標，可從面對顧客、需要快速改變的AP入手，一步到位全面重構的成本太高。」</p> <p>他從兩個角度來看微服務架構，微服務的內部架構是容器技術和應用程式的程式碼，大多是企業IT開發團隊熟悉的領域。「微服務的精神是將大型應用打破成小單位，來實現最小變動，做到每次改變，都剛好是需要的最小調整。」</p> <p>不過，解構了大型應用程式之後，將內部元件移到應用程式外來運作時，為了控制這些元件之間的存取，「微服務架構的外部環境，需要有一套支持系統和管理系統。」</p> <p>這些讓微服務順運作的機制，除了用來管理容器的Kubernetes之外，還需要CI/CD自動化機制、用於服務互通管理用的服務網格（Service Mesh）機制、確保微服務運作的監控機制、面對不同前端應用的對外應用閘道器，以及其他後端服務機制等。</p> <p>「擁抱微服務的代價是，複雜的維運和痛苦的導入過程。」Kevin Matheny指出。後者正是高度e化傳統企業的第一個挑戰，他認為，若有應用程式需要經常改變，就很適合改用微服務架構，否則不需要。</p> <p>「若企業的應用程式一個月才需要異動一次，就不需要這樣的架構，太浪費了。」例如現有銀行核心系統，他就不建議先套用微服務架構。</p> <p>他解釋，微服務架構是一種專供持續變革用的架構，企業可以進行最小幅度的修改，又能同時了解這些修改的影響，作為日後變動的回饋，「通常是面對顧客的系統，例如Web應用，才需要尋求持續不斷的變動。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%BE%AE%E6%9C%8D%E5%8B%99%E6%9E%B6%E6%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Gartner.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【微服務設計架構】Gartner提供了一套微服務設計架構，不同的微服務透過容器封裝，部署在容器管理平臺（如K8s）上，還需搭配CI/CD自動化工具，Service Mesh機制、後端服務、監測機制和對外Gateway。</strong>（圖片來源／Gartner）</span></p> <p><span style="font-size:28px;"><strong>三階段導入微服務，選對目標是第一步</strong></span></p> <p>Kevin Matheny也提供了一套企業三階段導入微服務的作法。「第一步要選對目標！」先辨識出需要經常改變的應用或服務，而且要從業務利益角度來挑選，同時還要評估企業對於微服務架構的準備度。</p> <p>第二步則是要強化開發能力。包括要提升IT團隊的能力，同時要從產品或應用程式生命週期來思考，並大力擁抱自動化的開發流程和工具，例如CI/CD。</p> <p>完成了第一、第二步之後，開始從小地方入手，梳理出可從單體式應用中剝離出來的功能API，再從中抽出最小單位的微服務，作為打造微服務的目標和起點。</p> <p>就算是IT資源較充沛的銀行，他認為，最好也先從顧客系統開始擁抱微服務，累積足夠的人才和經驗後，評估真有需要經常變動的效益，才需要將微服務延伸到核心系統上。</p> <p>「微服務架構不應該是企業的目標，」Kevin Matheny再三強調這件事，他觀察，未來企業IT不會只需管理微服務架構，而是微服務和傳統架構並行管理，所以，不要問如何擁抱微服務架構？而要思考，你有什麼問題，需要靠微服務才能解決？儘管IT要有大架構和藍圖策略，「先從小服務，開始感受到微服務的好處，遠比IT架構大躍進更為可行。」曾在年營收4百億美元的美國零售巨頭Best Buy擔任過電商架構總監13年的Kevin Matheny，這是他對有意擁抱微服務的臺灣企業，最重要的建議。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/133301" target="_blank">企業K8s實戰在臺灣 </a></strong></span></p> </div></div></div>
2019/10/2 09:00作者王宏仁https://www.ithome.com.tw/news/133294
【K8s臺灣企業實戰經驗談：中華電信】因應短暫而量大的預購壓力，以微服務實現彈性部署與標準化維運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務當道，接連掀起了伺服器虛擬化、容器化、微服務化的風潮，應用系統的開發、整合、測試、上線的速度有了劇烈的提升，承載應用系統的平臺發生量變與質變，在企業IT環境裡面的工作負載，除了支撐日常關鍵應用系統的穩定運作，也面臨更多極端的需求，像是持續時間不長、負載量卻超高的應用服務，越來越常出現，該如何因應這樣的挑戰？</p> <p>在iThome主辦的Kubernetes Summit大會當中，今年就有兩家臺灣電信業者談到他們導入容器服務平臺的經驗，中華電信就是其中之一，他們目前是將這樣的架構用在既有的預購系統上，而且，建置的平臺是企業級軟體──紅帽的OpenShift Container Platform，不過，即便如此，他們在系統搬遷過程中，仍經歷了預期以外的狀況，有意採用這類環境的企業，若能及早掌握可能影響搬遷作業的各種細節，應能減少出錯機會。</p> <p><span style="font-size:28px;"><strong>先拿預購系統開刀，因其服務特性很適合移植到雲端環境</strong></span></p> <p>身為成立時間最久的臺灣電信業者，中華電信所經營的各種通訊、網路與加值服務，背後都由資訊系統支撐，當中有許多都是十年以上的老舊系統，因此，他們近期開始思考把這些系統搬到雲端服務的環境，而預購系統的搬遷就是率先進行的工程。</p> <p>為什麼是這套系統先行？中華電信資訊處工程師黃昭文表示，傳統預購系統最大問題就是瞬間的搶訂壓力，許多網站往往承受不住，為了解決問題，業界提出的作法是運用分散式架構，但同時也須面對一些問題，像是網路管理、多臺設備管理、資料庫系統負荷能力、儲存管理，建置這些環境的成本也很高。</p> <p>第二個考量是預購系統的另一個特性：使用時間很短。一般而言，電信業者的預購系統，運作時間並不長，可能上線為期三天、一週，之後就會下架，若要建置專屬環境，不敷成本效益。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_cht%20%E7%8F%BE%E6%9C%89%E9%A0%90%E8%B3%BC%E7%B3%BB%E7%B5%B1%E6%9E%B6%E6%A7%8B.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>這是一般電信業者預購系統的運作架構，在設計上，是以分散負載的方式來考量，希望能夠妥善消化瞬間搶購的壓力，但需要針對網路管理、設備管理、儲存管理、高可用性的需求，來配置IT資源，搭建成本相當高，而且這類系統服務時間並不長，之後又需要撤下、回收，想要以更經濟的方式快速擴展（縮回）應用系統規模，相當不容易。</strong>（圖片來源／黃昭文）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_Cht%20Openshift.png" style="width: 598px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>這是中華電信建置的容器服務平臺，他們採用的是Red Hat OpenShit Container Platform，在Kubernetes Summit大會上，他們首度揭露目前系統的架構。</strong>（圖片來源／黃昭文）</span></p> <p><span style="font-size:28px;"><strong>歷經容器化、解構，進入微服務</strong></span></p> <p>在系統搬遷的作業時程上，中華電信規畫了下列3個階段。</p> <p><span style="color:#800000;"><strong>第一階段：原貌搬遷</strong></span></p> <p>系統搬遷初期，他們對應用系統的調整幅度不大，優先考量服務正常運作。此時主要的工作，是將應用程式的執行環境，從實體伺服器、虛擬機器，搬到OpenShift。過程當中，他們先把虛擬機器當中的應用程式，放到Docker container，再將容器搬到OpenShift。以耗費時間而言，從VM轉到Docker較短，從Docker到OpenShift較久。</p> <p>關於這階段的搬遷，黃昭文列出7大工作重點。首先是盤點程式行為，因為當應用程式改到OpenShift執行之後，開始會有一些橫向擴充（Scale out）的活動，可能就會相互衝突；其次是參數需重新設計，若能用對參數、改變參數餵送的方式，對於K8s的操作比較友善。</p> <p><span style="color:#800000;"><strong>第二階段：系統解構</strong></span></p> <p>此時，中華電信開始執行預購系統的解構，提高邏輯的清晰度。相較之下，前一個階段，他們是把整個應用系統包進容器當中，但在這個階段，則是開始進行合理拆解，導入微服務的概念，讓系統上下游之間可透過RESTful API去串接，應用程式當中的不同部分，可以橫向擴充規模。同時，他們也選用輕量的Web應用程式框架，像是Spring Boot來進行改寫，而不再採用WebLogic這類應用程式伺服器。</p> <p>關於Kubernetes平臺的使用上，黃昭文也特別提醒，要注意Pod的串接數量。他們發現，串連路徑越長，效能折損越大。所謂的Pod是指一群容器的代稱，對於K8s環境而言，是最小的物件模型單位。</p> <p>他也秀出效能測試的圖表，當Pod串接到兩個站點時，網路呼叫的效能就會瞬間降至低點。若要增加效率，他提出以下幾個建議：我們可以在應用系統上游的呼叫端，導入共用連線（Connection Pool），或是運用非同步作業的機制，也可以在應用系統下游的服務端，採用高效能的應用程式框架。若需要非常高的效能，我們可以多個相關的容器封裝在同一個Pod裡面，如此可以大幅減輕網路流量的負擔。</p> <p><span style="color:#800000;"><strong>第三階段：微服務、DevOps</strong></span></p> <p>在預購系統的搬遷進入最終階段之際，中華電信期望可以跨入微服務、DevOps的應用。</p> <p>在此之前，黃昭文呼籲企業應評估自身體質是否適合，確認應用系統架構的調整，究竟是想要還是必要。同時，也要注意單位組織分工的變化，如果是橫向切割，未來在DevOps的流程當中，彼此合作會更為密切，在系統維運的慣性上，IT人員也要有心理準備，因為複雜度可能會提升。</p> <p>在資料處理的結構與流程，這時也可能需要重新設計。例如，應用程式連接的資料庫系統可能需要拆解，才能支應微服務的存取需求，而拆解之後的資料內容同步，也需要注意。</p> <p>事實上，這個階段的目標更為宏觀，希望達到獨立開發、高效率部署、維運標準化的要求。黃昭文坦言，其實在中華電信內部有太多系統，每一套系統都有不同維運的方式，對於經驗傳承、未來招募新人而言，都是困難的地方，於是，他們希望應用系統的開發與維運，從需求管理延伸到交付部署，都有一模一樣的流程，對於企業而言，不論是成本或管理考量，都會比較簡單、穩定。</p> <p><span style="font-size:28px;"><strong>掌握不同環境差異，可少走冤枉路</strong></span></p> <p>除了規畫三大階段，黃昭文也列出多項過程當中需注意的技術細節。首先是底層環境，有些商用軟體的登錄機碼或組態授權，會綑綁處理器或伺服器的型號，如果沒有處理好，系統搬移到另一個環境時，可能無法啟動。</p> <p>軟硬體的相依性上，由於部分軟體授權有處理器核心數量授權限制，因此，若搬遷到新環境，提供的處理器核心數量很多時，也可能無法啟動系統。</p> <p>系統軟體本身也有一些相依性的議題，那就是與作業系統核心（Kernel）版本之間的捆綁。舉例來說，若底層伺服器的作業系統更新核心，應用系統可能就會受到影響而停擺。</p> <p>在容器的部份，黃昭文建議，每個容器裡面不要放置太多處理程序，否則當多個容器同時執行，可能會相互干擾。</p> <p>接著要注意的部份，在於容器的執行權限，以及K8s或OpenShift本身的環境變數，在配置上，應避免與其衝突，因為若發生這樣的狀況，原本自定的部份，將會被系統覆蓋。</p> <p>容器的Volume設定也要關照一下，當我們包好容器或採用他人的容器之後，請記得打開裡面的組態，例如，查看Dockerfile，確認儲存Volume掛載的位置，以防出現資訊遺漏的狀況。</p> <p>在Kubernetes的部份，我們要注意ConfigMap的唯讀限制，有些應用程式需要修改設定時，若沒有考慮到這個因素的影響，可能就無法啟動。對於實體儲存配置上，也要關注可用空間的多寡，因為若出現容量不足的狀況，Kubernetes系統會停用Pod。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/133301" target="_blank">企業K8s實戰在臺灣 </a></strong></p> </div></div></div>
2019/10/2 09:00作者李宗翰https://www.ithome.com.tw/news/133297
【K8s臺灣企業實戰經驗談：遠傳電信】告別單體架構，以多個微服務協同合作，更易擴展規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經歷過伺服器虛擬化、雲端服務，以及容器（Container）等浪潮的洗禮，如今我們已開始邁入多雲、混合雲的環境，然而，為何應用系統平臺的發展必須持續追逐這樣的趨勢，而且，每隔幾年就可能需要轉進新的架構？在遠傳電信IT基礎架構轉型的過程當中，我們看到了答案。</p> <p> 而在今年的Kubernetes Summit大會當中，遠傳電信也首度對外透露，他們如何從三層式（3-tier）架構、服務導向架構（SOA）架構，一路轉換到微服務（Microservices）架構。原來，一切的決策考量，都源於「擴展（Expansion）」，尤其對於臺灣的電信業者而言，從逢年過節的車票搶訂、知名品牌智慧型手機的大量預購，到2018年的行動網路499元吃到飽之亂，都造成極大的業務營運挑戰，他們也持續思考IT架構該如何配置，才能因應時間短暫、負載龐大的系統執行需求。</p> <p><span style="font-size:28px;"><strong>快速、大規模、簡便的擴展，成為企業應用系統架構</strong></span><strong style="font-size: 28px;">變革關鍵</strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-%E9%81%A0%E5%82%B3%E9%9B%BB%E4%BF%A1%E8%AC%9D%E9%80%B8%E5%87%A1.png" style="width: 350px;" /></td> </tr><tr><td><strong style="color: rgb(105, 105, 105);">關於微服務，以及容器、Kubernetes等新興IT技術的導入，今年，臺灣終於有大型企業公開實際應用的經驗，例如，遠傳電信經理謝逸凡在9月的Kubernetes Summit大會，首度揭露他們IT架構轉型的歷程。</strong></td> </tr></tbody></table><p>近年來，IT基礎架構的轉型，主要聚焦的部份，在於擴展、可用性、敏捷，而遠傳電信的IT環境，從原有的大型主機，陸續開始採用x86運算架構、伺服器虛擬化、私有雲、容器、公有雲，如今走向混合雲、多雲、雲端原生的架構。</p> <p>在此同時，他們對於採用雲端服務的態度，也更為積極。因為在這樣大型的業務活動期間，原本資料中心預留10％到20％的系統資源，在那時幾乎全部都用上了，卻仍不夠用，導致許多消費者在申請時，還是得不到門號，他們必須要在一兩天之內，將系統資源擴增到原有的5、6倍之多，才能因應暴增的需求，所以，他們積極評估採用雲端服務的可行性，並且認知到每一朵雲各自的特色，於是，遠傳電信今年開始有混合雲、多雲的解決方案。接著，他們在2012年開始採用伺服器虛擬化的架構，而隨著虛擬機器（VM）部署規模的日益龐大，之後也導入一些自動化管理的機制。到了2017年，遠傳電信開始採用容器架構，原本他們想透過這樣的方式來取代伺服器虛擬化，節省伺服器虛擬化授權，但後來發現容器並不能取代虛擬機器，而在去年499行動通訊方案席捲市場之際，他們也試著用容器架構來支撐暴增的工作負載，雖然當時並沒有成功，但也讓他們意識到需要同時注意其他的環節，例如資料處理的方式（資料庫的分割、資料讀寫負載的分流、快取的配置），才能充分發揮容器架構的特性。在這段期間，他們首先面臨的挑戰，在於大型主機建置成本昂貴，而且只能縱向擴展（Scale up），若要擴展底層IT基礎架構的規模，也需要長時間的預算規畫、提案，後來，隨著x86架構的盛行，改用大量x86伺服器來擴充資源。</p> <p>回顧這段轉型的歷程，遠傳電信經理謝逸凡表示，這一路走來，他們每天都在做的事情，就是擴展（Expansion），每遇到一個資源瓶頸點，就必須要設法跨到下一步，一關關突破。換言之，IT人員面臨的挑戰在於，如何擴展既有資源，讓上層的應用程式和服務，能夠快速而順利執行，保持可用性與穩定度。</p> <p>因此，他們持續投入IT基礎架構底層的建置、系統平臺的建置，都是為了承載上層應用程式或服務，做到執行規模的瞬間放大或縮小。</p> <p>然而，在不同時期所採行的IT基礎架構，皆有其相對的優勢。例如，在採用專屬伺服器架構的時期，從提案到實際部署完成，可能長達幾週，甚至幾個月，而且需同時考量的因素，最為複雜，包含硬體、作業系統、執行時期環境，以及程式碼；到了伺服器虛擬化、私有雲的環境，部署時間可縮短至幾天、幾小時，甚至幾分鐘，而且，不需考量硬體的相依性；而在容器的應用架構裡面，程式碼寫好之後，最快能在幾秒鐘的瞬間，完成應用程式的部署，又進一步擺脫作業系統的影響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-%E9%81%A0%E5%82%B3%E9%9B%BB%E4%BF%A1Application%20Transformation.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>遠傳電信的應用系統架構，經歷了幾次變革，先從大型主機／主從式架構，換到三層式架構，之後，改用服務導向架構，近年來，他們也已經開始導入微服務架構。在這三種架構之下，應用系統的元件有不同的粒度與耦合度，在規模擴展與管理的難度上，都有不同的挑戰。</strong>（圖片來源／謝逸凡）</span></p> <p><span style="font-size:28px;"><strong>為了擴展規模，將應用程式拆成多個微服務也成考量點</strong></span></p> <p>導入伺服器虛擬化、雲端服務的環境，雖然為用戶提供快速擴展IT基礎架構資源規模的方式，再加上虛擬機器、容器的採用，也能帶來快速部署應用程式的成效，但就整體服務而言，若要穩定擴展規模，應用系統架構仍需調整。</p> <p>以三層式架構而言，應用程式本身是緊密耦合的，以一套系統適用所有需求，程式碼修改較為困難，在應用程式發行、測試的步驟，會耗費許多力氣，若要擴展系統規模，作法也相對複雜。以遠傳電信而言，他們的應用系統在這段期間，已陸續經歷了幾次轉型，從過往的大型主機主從式架構、三層式架構、服務導向架構，如今則是繼續朝微服務架構邁進，而之所以改弦易張的關鍵，仍在於擴展能力的優劣。</p> <p>到了服務導向架構、企業服務匯流排（ESB），應用程式是鬆散耦合的，拆分為多個元件，粒度較適當，利於服務重複使用，快速支援業務需求。然而，這類架構採用的協定，像是WSDL或是SOAP，效能不太理想。此外，應用程式存取資料來源，仍是同個資料庫。</p> <p>在近幾年盛行的微服務架構，應用程式拆分粒度更細緻，且是鬆散解耦的（Loosely decoupled），不單將系統拆分、重新安裝多份、重新部署，還要有獨立運作、無狀態（stateless）、自我管理、去中心化（decentralized）等特性。</p> <p>然而，相較於既有應用系統的單體式架構（Monolithic），雖然體型龐大，不易擴展，但好處是只需要考量單一實體，若把應用系統拆開成多個微服務，因為需要彼此相互呼叫，對於狀態與資料存取的需求也不一樣，將導致管理複雜性和維運難度變高的狀況。</p> <p>因此，若要將應用系統拆分為多個微服務，該如何切割，執行起來才會順暢、理想，是許多開發人員面臨的重大挑戰。遠傳電信採取的作法，是先針對應用程式的運算部分，接著是處理資料層，此時會遭遇到非同步模式與狀態不一致，或是狀態、功能切分得不夠精細，因此也會涉及事件的處理。</p> <p>等到應用系統開始建立之後，他們開始處理開發與維運的流程（Pipeline），因為系統完成開發好、進入穩定執行的狀態，接下來，該如何持續修改、調整，使其保持妥善運作，又是個挑戰。</p> <p>而在上述的工作階段當中，如何擴展需要的資源也很重要，因為當本地端資源不足時，我們要懂得運用多個資料中心的資源，並在這樣的環境布建服務。</p> <p><span style="font-size:28px;"><strong>建構微服務的要點</strong></span></p> <p>要該如何切分微服務？因為資源有限，很難把應用系統的所有功能拆掉，基本上，還是回到原點：我們需要的是擴展性？快速？穩定？可用？謝逸凡以他們本身需求來說明，以門市運作而言，像是確認消費者能否購買、決定用戶是否有續約資格，都是最常使用的核心功能，若將這些改為微服務，效果最為顯著，至於其他功能不一定要在第一時間改成微服務，因為需求量相對少。</p> <p>基本上，應用系統若切得越細、分割得越多，雖然可以擁有越好的彈性，但是，管理複雜度也會越來越高，導致管理成本可能超過開發成本的狀況。因此，面對微服務的粒度該如何取決的考量，謝逸凡表示，應該要在自身的管理能力與切割程度，找到平衡點，因為，相關的監控機制如果沒有到位，卻硬是切割出來，一旦運作上出問題，就很難復原，等於陷入另一個風險。</p> <p>所以，他也認為，建構微服務不能想要一步到位，這麼做耗費的資源太大，後來會無法執行下去，應該要謹慎為之、逐漸轉換，可先從應用系統著手切割，再處理資料，再處理後面的事件。</p> <p>之所以會有這樣考量，謝逸凡坦言，這是他們內部討論出來的作法，因為既有系統太多，需要逐步轉換，但這還是需要很多額外的資源，而且，還要從底層去調整架構。所以，他建議，可以各個擊破，「先建後拆」，把關鍵服務慢慢抽出來，等到看到成效之後，大家才會去想要修改舊的部分；而且，有些舊服務並沒有高速擴展的需求，在原來的架構還是可以執行，因此，企業不用花太多資源去改成微服務。</p> <p>當應用系統改成微服務架構，執行方式會有哪些改變？會有API呼叫的請求，啟動幾個微服務，由API Gateway做服務管理，進行Service Discovery的程序，了解微服務的狀態與服務等級；而在微服務之間，是透過RESTful API呼叫來互動，也可能有推送或訂閱（Push and Subscribe）的非同步作業，將記錄發布至事件佇列（Event Queue），或從這裡取得記錄，然而各自執行各自的服務；而在資料存取的部分，也可能會用到資料庫或資料庫加上快取的作法。而在這樣的架構下，我們要把應用系統拆成好幾個，當中有執行狀態的轉換（有狀態改為無狀態）、API呼叫、資料流切割的程序。</p> <p>在實際維運時，原本每個應用系統服務由一個開發單位負責的狀況，如今也可能會有改變。因為，採用微服務架構之後，會面對的是多個開發單位，該如何協調彼此，促進共同的控管、障礙排除、開發，所以，這也會是考驗之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-%E9%81%A0%E5%82%B3%E5%BE%AE%E6%9C%8D%E5%8B%99%E6%9E%B6%E6%A7%8B.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>微服務架構的組成，不光是容器技術的應用，以及應用系統的切割，在上層還有API管理、Service Discovery，以及應用程式框架，其底層則有Kubernetes平臺、網路、硬體設備的區分。同時，這樣的架構也需要搭配完備的系統監控、事件記錄，以及管理機制。</strong>（圖片來源／謝逸凡）</span></p> <p><span style="font-size:28px;"><strong>打破單體執行藩籬，轉為彼此協同運作的生態系統</strong></span></p> <p>微服務應用系統若由Kubernetes平臺來支撐，謝逸凡認為，從架構來看，最上層是應用程式的管理員，透過API來呼叫服務；接著是Service Discovery，探尋合適的微服務；下層是Spring Cloud這類應用程式框架，再下層是Container，而Container底下會是Kubernetes平臺；到了最底層，則是網路與硬體設備。</p> <p>而橫跨上述所有堆疊的功能，則是監控、記錄中心、管理，它們也扮演很重要的角色，因為當應用系統架構拆得如此分散，若要確保系統運作正常，要有很強大的監控、很詳盡的事件記錄，支撐整體架構的維運，如此也能做到集中化管理。謝逸凡表示，如果沒有這些機制，很難同時管理眾多微服務，以及持續更新軟體版本，提供穩定運作環境。</p> <p>而經歷過這樣的變革，謝逸凡體認到，微服務的運作體系，並非一套獨立的應用系統，而是依靠好幾個部分一起協同運作，轉為生態系統的概念，因此，在這樣的架構之下，一個應用系統無法單獨存在，一定要互相合作。</p> <p>相對地，若要維運和管理這樣的環境，也會變得很複雜。謝逸凡說，微服務化的應用系統可以執行得很順暢，一旦出問題，恐怕很難快速找到根本原因，因為它不是單一的軟體，若有影響，就會是全面的，所以，我們必須設法觀察資源的瓶頸所在，關注如何建立監控機制及整個維運體系。</p> <p><span style="font-size:28px;"><strong>當微服務結合K8s平臺</strong></span></p> <p>應用系統經過容器化、微服務化，實際運作在Kubernetes平臺，整體架構會變得如何？謝逸凡介紹遠傳電信的作法，他們用社群維護的Kubernetes版本，並在Intranet和DMZ兩個網路區域，建立叢集，共用容器映像登錄。</p> <p>除了運用Kubernetes本身的API，他們也撰寫工具，協助部署與資源的管理。面對檔案交換的需求，他們也設置了共用儲存池。而在監控的部份，他們用了Kafka來接收事件記錄，然後交給ELK（Elasticsearch, Logstash, Kibana）處理，同時，這裡也運用Prometheus軟體來接收Kubernetes平臺，以及上層系統的重要資訊。</p> <p>對於容器映像的管理，遠傳電信採取比較嚴謹的作法，他們不允許開發人員隨意到網際網路下載，須使用公司驗證過的容器映像，而他們也將列管的容器映像，根據用途的差異，區分兩大類型——維運（Operation），以及生產（Production），並且檢查當中的安全性，做好存取控制，例如，確認是否潛藏惡意程式，以及開放哪些作業系統層級的使用者存取通道。</p> <p>此外，為了提升容器映像的適用性，符合開發、維運、測試人員的需求，遠傳電信也對環境變數的設定做了一些處理，當中運用ConfigMap的組態資訊來對應，達到參數化的設計，讓容器映像執行起來更順暢。</p> <p>在資料處理的部份，也要特別注意，遠傳電信的經驗值得借鏡。他們在因應499行動上網吃到飽的業務暴增需求時，就曾使用微服務與Kubernetes，當時，應用系統已妥當分割為微服務，部署到Kubernetes平臺，Kubernetes系統規模的擴展很順利，容器也順利建立起來，最後卻因資料庫存取方式的限制，而無法承擔負載，還是敗下陣來。</p> <p>對此，他們採取了3種作法來改善，分別是資料庫分割（Database Partition）、讀寫分流（Read/Write Splitting），以及快取（Cache），以便分散存取的I/O。</p> <p><span style="font-size:28px;"><strong>結合容器與K8s的開發與維運流程</strong></span></p> <p>當應用系統的整體架構建立起來，資料庫的分散存取也導入適合的作法，接著要考量的部分，是規畫可持續運作的DevOps流程，能夠整合、更新應用系統，並且維持系統的穩定運作，協助用戶執行持續交付、持續整合、持續測試、持續維運的所有工作。</p> <p>遠傳電信DevOps流程是怎麼做的？以部署應用系統的作業為例，他們提供兩種作法，一是將程式碼打包在容器映像當中，一是將程式碼和容器映像分開，程式碼會放在共用的儲存空間，直接掛載到容器，再執行應用系統。</p> <p>而在應用系統開發過程當中，若要進行持續整合、持續交付，遠傳電信也區隔出系統整合測試（SIT）環境，以及生產環境，分別設立對應的容器映像登錄，以及Kuberenetes叢集，位於系統整合測試階段的應用系統（容器映像），必須經過一定的預先部署、測試、更版等程序，才能將同步到生產環境，進行部署與上線切換的動作。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1002-big-%E9%81%A0%E5%82%B3DevOps%20and%20K8s-2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=900,height=580'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-small-%E9%81%A0%E5%82%B3DevOps%20and%20K8s.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在容器映像的部署方式上，遠傳電信Kubernetes平臺提供兩種選擇：一種是包含程式碼，另一種是不含程式碼，可用於開發、測試、生產等不同階段的環境當中。</strong>（圖片來源／謝逸凡）</span></p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/133301" target="_blank">企業K8s實戰在臺灣 </a></strong></p> </div></div></div>
2019/10/2 09:00作者李宗翰https://www.ithome.com.tw/news/133298
【K8s臺灣企業實戰經驗談：露天拍賣】K8s解決機器學習複雜的工作流程痛點，撐起電商AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「機器學習工作流程不只是清理資料、訓練模型，還包括模型部署、轉換為線上服務、維持服務不中斷，甚至還有GPU資源調度等問題。」露天拍賣研發創新部主任張家棠指出，能解決機器學習（ML）工作流程痛點的幫手，就是容器管理平臺Kubernetes（K8s）。</p> <p><span style="font-size:28px;"><strong>K8s三大特點優化ML工作流程</strong></span></p> <p>Kubernetes擁有三大特點，分別是組合性（Composability）、可攜性（Portability）和擴展性（Scalability）。就第一點來說，機器學習工作流程包括資料前處理、模型訓練、部署和維運等數十個階段。而Kubernetes提供了可組合的控制流程，讓使用者依其需求，透過模組化來完成這些步驟，也不須要集中式控制流程。</p> <p>再來，可攜性能解決模型訓練問題，比如開發環境。舉例來說，相同的程式碼由不同工程師執行，可不一定每次都成功，「這就是環境問題。」張家棠指出，Kubernetes微服務可將環境內容標準化，解決開發環境問題，而且「不管是透過筆電還是本機開發，只要將內容封裝好，就能輕鬆在正式環境執行。」</p> <p>接下來則是擴展性。Kubernetes擴展性優點包括對CPU、GPU和記憶體資源的調度，但在張家棠眼中，擴展性真正的價值，在於能應付企業中不同團隊所需的作業環境要求。</p> <p><span style="font-size:28px;"><strong>專屬套件降低K8s與ML工作流程執行門檻</strong></span></p> <p>不過，要真正駕馭Kubernetes，並非易事。為了讓開發者更快上手，張家棠點名Kubeflow，也就是一套開源機器學習工具，「有如一個組合包，內含許多機器學習套件，供使用者安裝，」簡化了在Kubernetes上執行機器學習任務的流程。再加上Kubeflow以Kubernetes為基礎，因此只要在Kubernetes環境中，就能執行Kubeflow，達到簡單、可攜且可擴充的目的。</p> <p>然而，Kubeflow並非適用於所有機器學習工作，它的強項在於模型建置、訓練，以及平行處理和模型部署（Serving）等流程。</p> <p>其中，就平行處理來說，由於機器學習工作並非只是資料搜集、訓練模型、模型部署等如此直線進行的流程，而是由多個任務（Task）組成，有些任務必須要按照事先定義的順序來執行，有些任務則會依賴其他任務，還有些任務則是要同時執行。這個現象，就有如點狀發散的有向無環圖（DAG）般複雜，需要平行處理才能應付。</p> <p>而Kubernetes CRD原生套件Argo Workflow，能夠解決這個問題。Argo Workflow是一套工作流程任務調度工具，可針對多步驟（Step）的工作流程來建模，使之成為一序列任務，也能利用DAG來找出不同任務間的相依性。它的特點包括跨程式語言、能即時更新日誌（Log），方便工程師隨時掌握工作流程狀態，此外還提供視覺化的使用者介面，方便監控作業動態。</p> <p>在Argo Workflow提供的多種工作流程功能中，張家棠最推薦Loop、DAG-Diamond-step和Daemon-nginx。他指出，有別於一次只能執行一個步驟的傳統程式化腳本（Shell script），Loop可一次平行執行兩個以上的步驟，而DAG-Diamond-step則更進一步，專門鎖定如DAG般複雜的流程，使用者可根據自身需求，來彈性設計任務執行的架構。再來，Daemon-nginx讓使用者在執行批次工作排程時，先設置一個Daemon，之後排程的內容照著Daemon即可。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-DAG-Diamond-step_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BC%B5%E5%AE%B6%E6%A3%A0.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>露天研發創新部主任張家棠推薦Kubernetes CRD原生機器學習任務調度工具Argo Workflow中的DAG-Diamond-step功能，可以處理如DAG般複雜的機器學習工作流程，讓使用者自行設計任務執行的架構。</strong>（圖片來源／張家棠）</span></p> <p><span style="font-size:28px;"><strong>事件管理器彈性觸發和執行工作流程，露天靠它打造Chabot服務</strong></span></p> <p>設計完工作流程後，開發者還需要觸發（Trigger）和執行這些事件（Event），而Kubernetes事件管理器Argo Event則能彈性完成這兩項動作。</p> <p>這個管理器主要由3個元素構成，分別是Event Source、Gateway和Sensor。Event Source是用來定義事件內容，再透過Gateway來處理事件，之後由Sensor定義事件相依性，並觸發Argo Workflow或Kubernetes資源，來執行事件。此外，Argo Event還擁有多項功能，像是網站訂閱通知（Webhook）、排程（Schedule）等。</p> <p>露天也實際利用這些工具，來開發自家的客服機器人。張家棠指出，露天參考許多坊間聊天機器人，特別是Google的Chabot平臺Dialogflow，並以此為藍圖，開發出自家的客服機器人熊咩。</p> <p>熊咩為任務型聊天機器人，只針對露天平臺提供問題選項與回答，而非由顧客輸入字句來進行開放式對話。也因此，模型訓練原理就像訓練分類器，目的是要將問題對應到正確解答。</p> <p>於是，露天先建置了一個後臺，讓客服人員來處理資料前置工作，比如分類問題等。之後，團隊再設置一個按鈕，當客服人員處理完前置工作後，就可點擊來觸發重新訓練聊天機器人。「這個觸發就是Argo Event中的Webhook功能，可以連結Argo Workflow來取得資料、重新訓練模型。」</p> <p>但是，機器學習模型經過不斷重新訓練、YAML設定檔不斷更新時，Argo Workflow也就變得複雜了。為解決這個問題，Kubeflow Pipline釋出一款軟體開發套件，不只大幅簡化撰寫複雜度，還附加了Metadata的設定，方便開發者在工作執行完後，來檢視工作內容。張家棠表示，這一點，對機器學習開發者來說特別有幫助，因為有利於比較兩套模型的差異和表現。</p> <p><span style="font-size:28px;"><strong>善用模型部署利器，露天以此建置點擊轉換率指標</strong></span></p> <p>模型訓練完成後，接下來，就是要將模型轉換為服務（Serving）。張家棠指出，這時有兩個工具可選擇，一個是TensorFlow Serving，另一個是Seldon。</p> <p>首先，如果開發者利用TensorFlow開發模型，就可直接透過TensorFlow Serving來部署模型。TensorFlow Serving有幾個優點，包括只要將新訓練好的模型檔，存放於舊模型檔的資料夾，就能直接切換為新模型；再來則是加速機器學習模型訓練效果，透過批次功能，可一次輸入數百個樣本給機器，有效利用GPU資源。這一點，也能用來提高AI推論效率，也就是透過累積請求（Request）數量，到達設定時間後，再全部送往GPU處理。</p> <p>另一方面，除了TensorFlow Serving，如果開發者使用TensorFlow以外的框架來開發模型，比如PyTorch、MLflow、XGBoost等，就可透過Seldon平臺來部署模型。</p> <p>而露天的商品點擊轉換率指標，就是透過TensorFlow Serving來運行。張家棠解釋，點擊轉換率指標，是要來了解不同消費者對哪些產品有興趣；要做到這一點，首先要收集露天平臺上所有使用者的Log，將這些資料整理、標註之後來訓練模型，並利用每天更新的Log來重複訓練。最後，再透過TensorFlow Serving整合這些結果，交給後端API來呈現點擊率與轉換率的效果。</p> <p>另一個應用案例則是商品個人化搜尋，露天透過個別使用者的搜尋歷史，來訓練AI模型、預測商品搜尋結果的排名。張家棠舉例，比如用關鍵字搜尋「三國」，就可能出現電視劇、遊戲等不同類型的商品，但根據使用者搜尋歷史，就能找出使用者的興趣領域，進而提升相關商品的搜尋排名。</p> <p>張家棠也揭露，露天目前也正利用K8s進行以圖搜圖的AI專案，目標是要「跟上國際電商的腳步。」</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/133301" target="_blank">企業K8s實戰在臺灣 </a></strong></p> </div></div></div>
2019/10/2 09:00作者王若樸https://www.ithome.com.tw/news/133300
企業K8s實戰在臺灣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/940-feng_mian_gu_shi_-1_open-960x420.jpg?itok=5hw_tmd9" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>容器技術、微服務架構是新一代的IT架構，Kubernetes更是管理大規模容器化微服務的關鍵，但對背負大型傳統應用包袱的企業而言，如何踏出第一步仍是課題？臺灣已有不少企業率先擁抱K8s推動轉型，提供了寶貴的先行者經驗</p> </div></div></div>
2019/10/2 09:00未署名https://www.ithome.com.tw/article/133301
臺灣企業終於出現應用K8s案例
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近我經常看幾支網路影片，都是歌手蔡依林在2018年新北市歡樂耶誕城晚會的彩排，其中，比起有歌手一起出場的影片，單純只有舞群的影片點閱數多了3萬次，雖然跟粉絲俱樂部剪出來的晚會直播影片點閱數相比，差了十幾萬，但這還是很了不起。</p> <p>為什麼這麼多人會看彩排的版本？歌手和舞群當時並未穿上正式服裝，也沒有華麗的燈光，體驗應該是略遜一籌，我個人其實是比較喜歡彩排的版本，因為對於臺上舞者的表演可以看得很清楚（正式演出已經是晚間，表演服裝較為寬鬆，遮擋了部分肢體，因此，舞蹈力道反而沒有下午彩排的顯著）</p> <p>而且，當時臺下觀眾記錄這段過程的鏡頭是單一視角，不像電視臺轉播正式表演時，會持續變換拍攝位置，所以，彩排時的舞者，肢體動作和走位變化更是一目了然。在片尾彩排演練結束後，蔡依林與現場觀眾的短暫互動，也很親切有趣。</p> <p>這樣樸素又直接的體驗，讓我想到今年iThome所主辦的Kubernetes Summit大會，終於有好幾家臺灣企業揭露實際應用微服務、K8s的經驗。從當天活動議程來看，<a href="https://www.ithome.com.tw/news/133298" target="_blank">遠傳電信</a>和露天拍賣的露托邦人工智慧實驗室，是比較有可能介紹所屬企業的相關使用經驗，而在現場的演講，我們意外發現，在紅帽介紹OpenShift Container Platform場次的後半段，<a href="https://www.ithome.com.tw/news/133297" target="_blank">中華電信的人員突然出現，介紹他們在預購系統陸續導入容器化、微服務架構的歷程。</a>在Java界享有盛名的松凌科技總經理李日貴（Jini）在2018 IBM Cloud & Data全球高峰會台北場，曾介紹第一金人壽應用微服務的經驗，在2019 Kubernetes Summit大會，則是分析相關技術的現況與挑戰。</p> <p>就透露的技術細節而言，<a href="https://www.ithome.com.tw/news/133298" target="_blank">遠傳電信經理謝逸凡的經驗分享</a>，讓我印象很深刻，因為他所談的內容，正是我們過去較不易得知的臺灣企業整體IT架構變革歷程，對於應用系統的容器化、微服務，他們有很明確的理由，就是為了具備更快、更好的「擴展（Expansion）」能力，因此，在他的演講當中，回答了建構微服務所需要的各種要點，對於應用系統的分割、資料處理方式，以及整體架構的規畫，提出相當詳細的說明，並以他們的產業需求作為範例，相互印證。</p> <p>他們對於DevOps流程的規畫，搭配的企業級與開放原始碼軟體，也都有很清楚的說明，不同版本的應用程式要進行部署、測試、上線，也都充分運用Docker container和K8s叢集來進行，對於容器映像的管理、K8s叢集的區分，以及不同開發階段，都有相當值得參考的規畫。</p> <p>我認為當中最精采的闡釋，在於遠傳電信對於資料處理的作法，考慮得相當全面，也列出通用的作法與他們的選擇，而在演講的最後一部分，謝逸凡還介紹了微服務維運的要點，可惜我在本次封面故事的報導中，限於篇幅與時間，已來不及做相關的整理，但整體來說，他的報告相當完整，值得臺灣企業好好借鏡。</p> <p>他們之所以能累積這樣的實務經驗，或許正在於過去的努力嘗試、甚至是許多慘痛的失敗教訓，因此，才能提出如此詳盡卻又如此真實的經驗分享。這也讓我們好好上了寶貴的一課，以IT媒體的角度，我們比較關注廠商端的解決方案進展，雖然想得知企業實際的應用情況，但總是不得其門而入，然而，我們還是非常期待類似的經驗分享，企業對於這樣的活動應該要多多支持，因為這些競爭優勢並不是別人看了就能上手，關鍵仍在於能否實際經歷、去多多嘗試，才能找到屬於自己的成功之道。我們除了希望能夠眼見別人努力的完美成果，對於過程的甘苦，以及進退取捨的考量，這背後的努力其實才是更動人的。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <a href="https://www.ithome.com.tw/article/133301" target="_blank">企業K8s實戰在臺灣 </a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BE%AE%E6%9C%8D%E5%8B%99">微服務</a></div><div class="field-item odd"><a href="/tags/it%E9%9B%86%E4%B8%AD%E5%8C%96">IT集中化</a></div><div class="field-item even"><a href="/tags/kubernetes">Kubernetes</a></div><div class="field-item odd"><a href="/tags/k8s">K8s</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/kubernetes-summit">Kubernetes Summit</a></div></div></div>
2019/10/2 09:00作者李宗翰https://www.ithome.com.tw/voice/133304
Nokia、華為等中階手機掀起規格戰，4000萬以上高畫素、多鏡頭來了!
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去高階手機才有的高畫素、多鏡頭，現在在中階手機上也愈來愈普及了。Nokia、OPPO及華為本周相繼推出新手機，搭載4000萬以上高畫素相機及多鏡頭設計，以高解析、彈性的多鏡頭設計為訴求，吸引喜愛以手機拍照的族群。</p> <p>HMD Global今天發表Nokia 7.2，搭載Android One平臺，採用6.3吋FHD+螢幕，內建高通Snapdragon 660處理器、6GB記憶體及128GB儲存容量，國內定價為8990元。</p> <p>Nokia 7.2一大特色是搭載4000萬以上的高畫素相機，背後為三鏡頭設計，分別是4800萬畫素蔡司認證的標準鏡頭，500萬畫素景深鏡頭及800萬畫素的廣角鏡頭，以滿足高畫素、景深及廣角等多元的拍照需要，前置鏡頭則是2000萬畫素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/-2(3).jpg" style="width: 600px; height: 399px;" /></p> <p>使用者可依不同場景選擇拍照的模式，當想要拍攝較廣闊的風景，例如高山或高聳的建築物時，就能選擇118度的廣角鏡頭，至於4800萬畫素的主鏡頭除了用於拍攝高解析度影像，還能利用Quad Pixel技術，將4個畫素合併為1個較大的畫素，以提高4倍的感光量，適合夜晚或是室內的低光源環境拍照，由於Quad Pixel會自動合併畫素，照片總畫素也從4800萬降到1200萬。</p> <p>另外，該手機也在人像拍攝模式中提供了多種散景模式，包括蔡司現代、旋渦、滑順等不同模式，以模擬出不同的背景模糊效果，實際試用不同的散景模式，能夠產生不同的模糊背景效果，但不容易控制聚焦的主體，散景效果也較少有深淺變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1741-1.jpg" style="width: 600px; height: 399px;" /></p> <p>Nokia 7.2內建影像處理器，支援高動態成像範圍成像HDR功能。相機拍照除了JPEG，還支援RAW檔拍攝功能。</p> <p><strong>華為、OPPO也跟進</strong></p> <p>看準高畫素、多鏡頭的趨勢，華為也將在10月初在臺灣推出一款中階手機HUAWEI nova 5T，採用6.26吋FHD+螢幕，內建麒麟 980處理器、8GB記憶體及128GB儲存容量，售價11990元。</p> <p>nova 5T採4鏡頭設計，包括4800萬畫素主鏡頭，還有1600萬畫素超廣角鏡頭、景深鏡頭，及支援4公分近拍的微距鏡頭，華為強調相機整合AI，可根據場景選擇不同的鏡頭配置。另外，前置鏡頭則是3200萬畫素。</p> <p>另一家業者OPPO也將推出售價9490元起的A9 2020，同樣為4鏡頭設計，4800萬畫素主鏡頭、可拍攝119度的800萬畫素廣角鏡頭，以及各200萬畫素的黑白與人像鏡頭。</p> </div></div></div>
2019/10/1 18:49作者蘇文彬https://www.ithome.com.tw/news/133367
Windows 10的BitLocker預設就加密你的SSD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/zh-tw/help/4516071/windows-10-update-kb4516071" target="_blank">微軟在9月24日釋出了Windows 10 1709的累積更新（Build 16299.1420）</a>，主要解決切換應用程式或停留於工作列上時，會造成CPU使用過度的問題，但<a href="https://twitter.com/SwiftOnSecurity/status/1177429658259927040?ref_src=twsrc%5Etfw" target="_blank">代號為SwiftOnSecurity的資安專家發現</a>，該版本改變了BitLocker的配置，預設就會加密系統上的固態硬碟（SSD）。</p> <p>微軟此舉可能跟去年資安研究人員<a href="https://www.ithome.com.tw/news/126859" target="_blank">所發現的SSD漏洞</a>有關，當時研究人員指出，固態硬碟雖然採用自我加密磁碟（Self-Encrypting Drive，SED）來替硬碟加密，但市售的5款固態硬碟含有安全漏洞，將允許駭客回復硬碟上的加密資料。</p> <p>雖然該遭到撻罰的應是這些固態硬碟的製造商，然而研究人員也察覺，相關漏洞並不影響macOS、Linux、Android或iOS，卻只影響Windows，原因是除了Windows以外的平台都會以軟體再替硬碟加密，只有Windows中的BitLocker會「尊重」（或相信）固態硬碟的加密能力，而會在偵測到固態硬碟的加密功能時，關閉軟體加密。</p> <p>現在微軟似乎也決定自己來保護Windows用戶的硬碟安全，在Build 16299.1420中變更了BitLocker用於自我加密硬碟的預設設定，預設值會針對新的加密磁碟機執行軟體加密，但對既有的磁碟則不會改變其加密型態。</p> </div></div></div>
2019/10/1 17:15作者陳曉莉https://www.ithome.com.tw/news/133359
Uber在臺營運模式急轉彎，將和多元計程車隊業者合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交通部在今年6月修正「汽車運輸業管理規則第103條之1」（俗稱Uber條款），並提供4個月執法緩衝期，在10月初緩衝期即將終止之前，Uber今天宣布將配合交通部政策調整營運模式，未來將和國內的多元計程車隊業者合作。</p> <p>「汽車運輸業管理規則第103條之1」修法主要針對「小客車租賃業與資訊平台業者合作提供附駕載客服務者」，重點包括要求租賃車不得外駛巡迴、排班待客租賃，以及至少租賃1小時等等。</p> <p>因修法首當其衝者為2017年開始和租賃車業者合作的Uber，被外界視為Uber條款，引發了Uber及合作的租賃車業者及駕駛的反彈，Uber更多次呼籲交通部暫緩修法，並兼顧計程車、租賃車業者多方利益。修正後新法於今年6月上路，為減少衝擊，交通部提供4個月執法緩衝期，同時鼓勵租賃車業者及駕駛轉型為多元計程車，以符合法規，但Uber、租賃車業者及代雇駕駛、計程車業者對如何租賃車如何順利轉型為多元計程車、緩衝期延長仍有爭議。</p> <p>Uber今天宣布在經過幾個月與交通部的協商後，將配合政府政策改變營運模式，將以科技資訊平台身分和多元計程車隊業者合作，這是Uber第二次配合政府政策調整營運模式，持續經營臺灣市場。在此之前，因國內計程車業者反彈，2017年Uber一度暫停臺灣地區的服務，數個月後再和計程車隊，租賃車業者及代雇駕駛合作，重啟臺灣的乘車服務。</p> <p>這次在運輸法修正期間，交通部鼓勵租賃車及駕駛順利轉型多元計程車祭出多項措施，包括開放多元化計程車免用計費錶，採用App「預告車資」及牌照活化等。</p> <p>Uber對政府推出的轉型措施表達肯定，強調未來仍會和交通部積極協商，讓合作的代雇駕駛、租賃車業者可以順利轉換至多元計程車，以有充裕時間取得計程車駕駛執業登記證及計程車牌照。</p> <p>但Uber並未說明調整後的營運模式何時上線，還有新的模式是否會改變現有收費方式。</p> </div></div></div>
2019/10/1 17:30作者蘇文彬https://www.ithome.com.tw/news/133358
iOS 13臭蟲太多？蘋果釋出iOS 13.1.2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果繼於9月19日釋出iOS 13之後，9月24日釋出iOS 13.1，9月27日釋出iOS 13.1.1，昨天（9月30日）又釋出iOS 13.2，不到10天就<a href="https://support.apple.com/zh-tw/HT210393" target="_blank">釋出3個更新版</a>，讓iOS裝置用戶應接不暇。</p> <p>一般來說，iOS 13是隨著蘋果最新的iPhone裝置出爐，為求準時上線，蘋果會忽略一些小臭蟲，並等待之後進行修補，<a href="https://www.engadget.com/2019/09/28/ios-13-1-review/" target="_blank">當時也有不少評論指出，iOS 13頗為粗糙</a>，讓有些程式無法順利啟動，或者是明明沒開閃光燈但iOS卻顯示有開，於是蘋果在iOS 13問世的一周內就釋出了iOS 13.1，解決了數十項臭蟲。</p> <p>三天後蘋果又發表iOS 13.1.1，<a href="https://support.apple.com/en-us/HT210613?/en-us/advisory" target="_blank">主要是為了修補第三方鍵盤程式可直接被賦予完整存取權限的安全漏洞</a>，並順道修補其它臭蟲。</p> <p>最新的iOS 13.1.2看起來也是為了解決iOS臭蟲，它修正了iCloud 備份的進度列在完成備份後，仍會持續顯示的問題，修正相機可能無法運作的問題，解決閃光燈無法啟動的問題，也解決了藍牙在某些汽車上可能會中斷連線的問題。</p> <p>總之，iOS 13的不穩定讓蘋果忙於修補臭蟲，使得用戶亂了頭緒，也多少損及蘋果聲譽。</p> </div></div></div>
2019/10/1 16:20作者陳曉莉https://www.ithome.com.tw/news/133352
社交平台遊戲開發商Zynga遭駭客入侵，逾2億用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你有玩過Draw Something或Words With Friends填字遊戲嗎？打造這兩款遊戲的的知名社交平台遊戲開發商<a href="https://investor.zynga.com/news-releases/news-release-details/player-security-announcement" target="_blank">Zynga在9月中坦承遭到駭客入侵</a>，駭客存取了這兩款遊戲的特定用戶資料，儘管Zynga並未公布太多細節，但代號為Gnosticplayers的巴基斯坦駭客<a href="https://thehackernews.com/2019/09/zynga-game-hacking.html" target="_blank">向The Hacker News透露</a>，這起攻擊事件是他的傑作，而且他取得了多達2.18億名的Zynga用戶資料。</p> <p>2007年創立的Zynga以虛擬農場遊戲FarmVille打出名號，已在臉書上推出數十款遊戲，當中有少數遊戲特別開發了行動程式版，也有些遊戲只有行動程式版。Zynga的遊戲都是免費的，並在遊戲中置入廣告或銷售虛擬商品，於2011年登上那斯達克股市。</p> <p>Gnosticplayers向The Hacker News表示，他所存取的是在今年9月2日以前，安裝了Android與iOS版Words With Friends填字遊戲的用戶資料，內含姓名、電子郵件帳號、登入ID、加鹽雜湊密碼、電話號碼、臉書ID，以及Zynga的帳號ID等。</p> <p>Gnosticplayers還存取了Zynga其它遊戲的用戶資料，包括Draw Something及OMGPOP等，總計約有2.18億名使用者的資料外洩。不過此一數字並未經Zynga證實。</p> <p>Zynga則說在得知駭客入侵事件之後已展開調查，亦採取措施來保護用戶的帳號，而駭客並未存取用戶的金融資訊，該公司已陸續通知受影響的使用者。</p> </div></div></div>
2019/10/1 16:50作者陳曉莉https://www.ithome.com.tw/news/133357
TensorFlow 2.0正式版釋出，與Keras更緊密整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源深度學習函式庫TensorFlow團隊在今年初不斷釋出2.0的消息，春季也推出了Alpha測試版，而現在終於<a href="https://github.com/tensorflow/tensorflow/releases/tag/v2.0.0">在TensorFlow World大會上，正式發表了TensorFlow 2.0.0</a>。這個版本重點擺在易用性的改進，加強與Python開源神經網路函式庫Keras的整合，並且簡化API降低功能重複。</p> <p>TensorFlow 2.0整合Keras作為建置和訓練模型的中央高階API，Keras提供了一些模型建置的API，可用來建立像是序列式（Sequential）、功能式（Functional）和子類別（Subclassing）等模型。而這些API可以與Eager Execution功能結合使用，Eager Execution是TensorFlow的命令式程式開發環境，能立即執行程式碼評估操作，讓開發者快速對程式碼除錯並進行迭代。另外，Keras 模型建置API也可以結合tf.data，建置可擴充的出入工作管線。</p> <p>而TensorFlow 2還更新了分散式訓練策略，開發者可以使用tf.distribute.Strategy API，以最少的程式碼更動分散模型訓練，進而獲得良好的效能，這個API也支援Keras model.fit分散式訓練以及自定義訓練迴圈，同時還支援多GPU訓練，目前多重Worker和Cloud TPUs進入實驗性支援階段。</p> <p>官方提到，他們不鼓勵開發者使用傳統的宣告式程式設計模型建置圖（Graph），接著並透過tf.Session來執行，而是應該要以正規的Python函式寫法代替。使用tf.function裝飾器（Decorator）可以將函式轉換為圖，這些圖可以遠端執行、序列化以及進行效能最佳化。</p> <p>現在TensorFlow交換格式都與SavedModel統一，所有TensorFlow生態系的專案，像是TensorFlow Lite、TensorFlow JS、TensorFlow Serving和TensorFlow Hub專案都接受SavedModel。SavedModel格式內容具有完整的TensorFlow程式，包含權重和計算，不需要原始建置模型的程式碼就能執行，這對於模型共享或是部署非常有用。</p> <p>開發團隊為TensorFlow 2的API進行了調整，許多API符號經重新命名或是刪除，參數名稱也被更改，整體來說，調整後能讓API的使用經驗更加一致清楚。</p> </div></div></div>
2019/10/1 17:05作者李建興https://www.ithome.com.tw/news/133346
Levi's再和Google Project Jacquard合推新款智慧夾克
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/112747" target="_blank">2017年初第一彈</a>後，牛仔褲品牌Levi's本周<a href="https://www.theverge.com/2019/9/30/20888909/google-levi-project-jacquard-available-trucker-sherpa-jackets-price-design">再推出</a>二款和Google合作的智慧型牛仔夾克。</p> <p>這是Levi's和Google先進科技與專案（ATAP）從2015年合作的智慧服飾專案 <a href="https://atap.google.com/jacquard/collaborations/levi-trucker/">Project Jacquard</a>的最新合作成果。這個專案將具有導電纖維的布料縫在袖口，使用者觸碰袖口即可遠端控制手機。2017年秋天推出第一款智慧單車外套Commuter Trucker系列，售價350美元。</p> <p>最新推出的外套不但更接近Levi's設計風格，價格也更便宜。標準Trucker Jacket 售價198美元，另一款適合冷天穿著的Sherpa Jacket定價248美元，兩者都分男、女版。</p> <p>新外套採用的Jacquard藍牙模組體積更小，因而外套袖口不再像前版那麼厚。現在它支援以手指滑、點不同組合下指令，支援10多種行為，像是開／關音樂、手機轉靜音、在地圖上加大頭釘、設定手機報時或報告當日行程、遠端按相機快門，以及叫喚Google Assistant執行預設動作，還能啟動Bose耳機的降噪功能。</p> <p>新智慧外套將在美、英、德、法、澳洲、日本及義大利數家實體Levi's專賣店及Levi.com網站上販售。</p> </div></div></div>
2019/10/1 15:55作者林妍溱https://www.ithome.com.tw/news/133347
微軟有2FA保護的個人雲端硬碟服務推向全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/onedrive-personal-vault-expandable-storage-available-worldwide/" target="_blank">微軟周一宣佈</a>，提供雙因素驗證（2FA）等安全防護的Personal Vault服務將正式在全球上線，免費版OneDrive也能存3個檔案。</p> <p>Personal Vault<a href="https://www.ithome.com.tw/news/131477" target="_blank">首度於6月推出</a>。它是OneDrive中一個受保護的區域，讓用戶只能以強認證或二步驟驗證方式，像是指紋或臉部辨識、PIN碼、或是以簡訊／電子郵件傳送的驗證碼才能存取檔案。此外，用戶還能以OneDrive 手機版App掃瞄檔案或拍照、攝影，直接存入Personal Vault中。用戶解鎖Personal Vault一段時間沒有使用後，Personal Vault會再度為PC、裝置及雲端加鎖，之後用戶就得重新驗證解鎖。在Windows 10 PC上，Personal Vault中的檔案，也會和PC硬碟中以BitLocker技術加密的區域同步，使這些資料在雲端和PC上都被保護到。</p> <p>微軟6月推出時這項服務僅開放給澳洲、紐西蘭和加拿大OneDrive用戶。今天起全球擁有OneDrive帳號的消費者，都可以使用這項功能。在OneDrive下會有Personal Vault的圖示，點入後即可使用。免費版OneDrive或獨立版100GB空間的用戶，最多能在Personal Vault儲存3個檔案。付費版Office 365 個人（Personal）或家用（Home）版用戶，則可以存到硬碟空間滿為止。</p> <p>微軟強調以OneDrive備份的好處，包括利用OneDrive的「電腦資料夾備份」功能，即可設定將桌面、文件夾或相片資料夾中的檔案，自動備份到OneDrive上。OneDrive最多允許檢視和回覆30天以內的文件版本。</p> <p>微軟周一還宣佈，Office 365 個人（Personal）或家用（Home）版用戶，可以分次擴增200GB的硬碟空間，每月最低僅2美元。此外，iOS 13版的OneDrive app，也支援深色模式（dark mode）了。</p> </div></div></div>
2019/10/1 13:25作者林妍溱https://www.ithome.com.tw/news/133345
自由軟體之父要微軟收回講過的開源碼壞話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然近年微軟逐漸擁抱開源碼，但是自由軟體之父<a href="https://stallman.org/articles/microsoft-talk.html" target="_blank">Richard Stallman認為</a>，還需要觀察微軟在開源碼界的做法，此外，他也給了微軟一些建議，包括收回對於過去它對開源碼的惡言批評，像是說Linux是一種癌症。</p> <p>Stallman 9月到微軟研究院（Microsoft Research）演講引發議論。有人認為微軟想藉此「招降」Stallman離開自由軟體陣營，又有人說這是微軟為了敵營研究而發出的邀請。</p> <p>Stallman在其部落格中說道，他不是那麼容易被動搖的人，而且微軟也不可能從他的演講中學到什麼。Stallman秉持他一貫對商業軟體的不信任，所以他也駁斥外界說他的受邀演講是對微軟現行擁抱開源碼作法的背書。</p> <p>但是Stallman相信微軟高層對軟體的倫理議題是真的有興趣，因此對於他的幾點建議，微軟高層也可能有意願聽聽看。</p> <p>在月初的演講中，Stallman給了微軟幾點建議，包括促使硬體廠商公開規格以便跳過Secure Boot機制（一種防止安裝未授權作業系統的機制）。協助周邊產品（像鍵盤、磁碟機、記憶棒、攝影機）韌體消除後門。鼓勵app和函式庫程式碼的<a href="https://www.gnu.org/licenses/copyleft.zh-tw.html" target="_blank">「著作傳」（copyleft）</a>。反對介面的著作權（copyright）。協助實現關閉JavaScript的Web。此外，還要微軟以GitHub促進GPL v3的使用、及開放HoloLens等產品的介面，以便不必執行任何非自由軟體。</p> <p>最後，他要求微軟公開收回2000年初期對開源碼的攻擊，包括<a href="https://www.theregister.co.uk/2001/06/02/ballmer_linux_is_a_cancer/" target="_blank">前執行長Steve Ballmer曾說Linux是「一種癌症」</a>，Windows前任部門主管<a href="https://www.geek.com/news/ms-exec-says-open-source-is-bad-544437/" target="_blank">Jim Allchin說</a>開源碼是智財權摧毁者（Intellectual property destroyer），且「很不美國」（un-American）。此外Stallman還追加建議微軟在GNU GPL下開源Windows。</p> <p>針對上述給微軟的建議，Stallman認為要做到難度很高，但從他的所見所聞來看，也並非完全不可能。Stallman認為，或許微軟真的有可能改變某些作法而有實際幫助到自由軟體。他也說這只是可能；微軟沒有給任何承諾，他也沒有要求微軟承諾，不過與其因人廢言，不如花更長時間來觀察微軟態度。</p> </div></div></div>
2019/10/1 12:45作者林妍溱https://www.ithome.com.tw/news/133342
微軟想在Linux上跑Edge，要Linux開發商幫忙給意見
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Edge除了要改用Chromium專案的引擎，或是在Azure及Windows中加入Linux支援，現在試圖將Edge帶到Linux平台上。</p> <p>Edge團隊成員<a href="https://twitter.com/TheLarkInn/status/1177326174826975233" target="_blank">上周透過推特公告</a>，目前Edge正在蒐集在Linux上跑Edge的要求，邀請在Linux上撰寫程式、測試或上網的開發人員填寫問卷。</p> <p>截至目前為止，Microsoft Edge支援平台包括Windows 7、8/8.1、10及macOS版，但Edge團隊6月時透露推出Linux版是下一階段要做的事，而目前還有安裝器、更新器、使用者同步工具、功能臭蟲修補，以及一些「可以自豪拿出來」的東西，需要做上市前最後打磨的工作。</p> <p>透過<a href="https://forms.office.com/Pages/ResponsePage.aspx?id=v4j5cvGGr0GRqy180BHbR5K2KLkM-8FPkIlmdpiMMkdUNVlEMENNU0pMOENVS0hLQzIyUTZOVzEyTy4u" target="_blank">問卷調查</a>，微軟想知道開發人員是否以Linux為主要開發平台、用的是Redhat、Debian、Ubuntu、openSUSE、 Fedora之中的哪些Linux發行版、是否為不同開發情境使用不同平台、以及開發人員偏好怎麼安裝Edge到Linux裝置上，是用原生套件管理員或是用安裝器（installer）等？</p> <p>針對其他平台的Chromium-based Edge，微軟在8月釋出最後一個<a href="https://www.ithome.com.tw/news/132534" target="_blank">公測版</a>，祭獎金要大家幫忙抓臭蟲，不過正式版何時釋出則一直未見說明。</p> </div></div></div>
2019/10/1 12:55作者林妍溱https://www.ithome.com.tw/news/133343
Windows虛擬桌面全球上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周釋出奠基在Azure上的<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/windows-virtual-desktop-generally-available-worldwide/" target="_blank">Windows虛擬桌面（Windows Virtual Desktop，WVD）正式版</a>，且已部署至全球市場。</p> <p>微軟宣稱此一官方的WVD為全球唯一針對Office 365 ProPlus最佳化，並具備Windows 10多工階段（multi-session）體驗的服務，也支援Windows伺服器遠端桌面服務（RDS）與應用程式，只需要幾分鐘就能在Azure上大規模部署所需的Windows桌面與應用程式。</p> <p>WVD為一虛擬桌面基礎設施（VDI）解決方案，或者稱為桌面即服務，過去使用者只能透過RDS連結Windows Server OS以存取應用程式，但<a href="https://redmondmag.com/articles/2019/09/30/windows-virtual-desktop-service-ga.aspx" target="_blank">現在的WVD則允許使用者以Windows 10或Windows 7作為底層作業系統，擁有更桌面化的體驗</a>。</p> <p>去年9月微軟就發表了WVD，並在今年3月於美國市場開放公開預覽，參與預覽活動的BEI Networks技術長Jake Hovermale表示，WVD讓員工不管在何處，都能透過各種裝置或瀏覽器使用熟悉的Windows 10。</p> <p>目前微軟已釋出支援Windows、Android、macOS、iOS等平台的WVD客戶端程式，也能使用基於HTML 5的各式瀏覽器造訪WVD服務。</p> <p>官方的WVD還有一項優勢，儘管Windows 7的延伸支援會在2020年的1月結束，但微軟允許WVD用戶可免費存取Windows 7的延伸安全更新直至2023年1月。</p> <p>為了改善虛擬環境中的Office體驗，微軟也把去年收購的桌面虛擬化技術FSLogix整合到WVD中，讓WVD用戶能享受更流暢與高效能的Office服務。</p> </div></div></div>
2019/10/1 13:10作者陳曉莉https://www.ithome.com.tw/news/133344
GitHub發布CodeSearchNet語料庫以及挑戰賽，推動自然語言程式碼搜尋技術發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2019-09-26-introducing-the-codesearchnet-challenge/">GitHub釋出了CodeSearchNet語料庫以及CodeSearchNet挑戰賽</a>，以推動用自然語言搜尋程式碼的技術發展。<a href="https://arxiv.org/abs/1909.09436">CodeSearchNet</a>語料庫是一個龐大的程式碼和自然語言註解資料集，讓研究人員可以用來訓練機器學習模型，並在CodeSearchNet挑戰排行榜上競爭模型的精準度。</p> <p>搜尋程式碼以重複使用、呼叫或是查看其他人撰寫程式碼的方式，是開發者的日常之一，但是目前程式碼搜尋引擎的表現，與網頁搜尋引擎還有一大段距離，程式碼搜尋引擎還無法良好地理解使用者想要搜尋的目標，而GitHub也提到，當他們使用機器學習技術改善程式碼搜尋時，發現目前沒有標準來衡量改善結果的進展，不像是自然語言處理有GLUE基準，程式碼搜尋缺乏標準資料集來評估結果。</p> <p>因此GitHub與機器學習新創公司Weights & Biases合作，發布了一個大型的資料集，以幫助資料科學家訓練模型，也推出CodeSearchNet挑戰賽的評估環境與排行榜，同時還附加了幾個用來展示目前技術水準的基準模型。</p> <p>CodeSearchNet釋出的語料庫，來自GitHub自家平臺的開源專案，他們收集大量以Go、Java、JavaScript、PHP、Python和Ruby程式語言撰寫的函式資料集，以及其說明文件，官方使用解析器TreeSitter作為基礎架構，並發布了資料預處理工作管線，作為其他研究人員在程式碼中應用機器學習的起點。官方提到，雖然這項資料與程式碼搜尋沒有直接相關，但是可用來訓練模型，將程式碼與相關的自然語言描述配對起來。</p> <p>完整經過預處理的CodeSearchNet語料庫，總共包含600萬種方法，其中200萬是具有文件字串或JavaDoc等相關說明文件，另外還有指向資料原始位置，像是儲存庫或是行數的元資料。GitHub將語義程式碼搜尋上的進展，發布成一系列基準模型，幫助研究人員開始程式碼搜尋研究工作。</p> <p>而與CodeSearchNet語料庫搭配的是CodeSearchNet挑戰賽，CodeSearchNet挑戰賽的排行榜則使用帶有註解的資料集，來評估程式碼搜尋工具的品質，為此，GitHub收集了一組初始的程式碼搜尋查詢集，並由專業人員註解結果與查詢的相關性。</p> <p>GitHub從Bing搜尋引擎收集了一般搜尋查詢具較高點擊率的程式碼，並與StaQC（Stack Overflow Question-Code）結合，產生99個針對程式碼相關概念的查詢，並使用基準模型從CodeSearchNet語料庫為每個查詢找出10個可能的結果，最後要求開發者、資料科學家和機器學習研究人員，為這些查詢的結果的相關性進行評分。</p> <p>這些資料集和工具都在<a href="https://github.com/github/CodeSearchNet#downloading-data-from-s3">GitHub</a>平臺上對外開放，而GitHub接下來會繼續擴展資料集，包括更多的程式語言、查詢以及註解，為下一個CodeSearchNet挑戰賽做準備。</p> <p>臉書在今年7月的時候，也公開了自家<a href="https://www.ithome.com.tw/news/131589">自然語言程式碼搜尋工具NCS（Neural Code Search）</a>，同樣使用了GitHub儲存庫和熱門開發者論壇Stack Overflow上的資料，產生用作訓練模型的資料集，讓使用者可以直接搜尋「如何隱藏Android螢幕鍵盤？」這樣的問題，而模型會回傳相符的程式碼。</p> </div></div></div>
2019/10/1 10:20作者李建興https://www.ithome.com.tw/news/133339
Rust 1.38加入工作管線編譯功能，可加速部分Crate編譯工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2019/09/26/Rust-1.38.0.html">Rust團隊釋出最新的Rust 1.38</a>，支援工作管線編譯（Pipelined Compilation），提升了平行化處理的能力，也為巨集擴充了#[deprecated]屬性，並且會為錯誤使用mem::{uninitialized, zeroed}語法的用例發出警告。</p> <p>由於在編譯Crate的時候，編譯器不需要完整的相依項目就可以進行建置，其需要的資訊僅是類型、相依項目以及輸出等元資料，而這些元資料都在編譯過程的初期產生，因此從Rust 1.38版本開始，Cargo將在元資料準備就緒之後，自動開始建置Crate。</p> <p>開發者不需要更動任何程式碼，就能夠使用這項新功能，官方提到，這項更改對於單個Crate的建置沒有任何影響，但是測試實驗顯示，部分Crate圖（Graph）的建置，可以提高10到20％的編譯速度，對於其他編譯工作則改進幅度不大，速度提升的程度取決於執行建置所使用的硬體。</p> <p>Rust團隊在Rust 1.36版本釋出時提到，由於根本的原因，開發者不可能安全地使用std::mem::uninitialized語法，因此開發者應該以MaybeUninit<T>代替，且避免使用std::mem::uninitialized，不過現在Rust終究尚未棄用mem::uninitialized，因此rustc現在會為mem :: uninitialized或mem :: zeroed初始化錯誤提供Linting功能。</p> <p>部分類型當包含全零位元模式的行為未被定義時，由於這些類型所代表的類指標物件不可為null，因此當使用mem::uninitialized和mem::zeroed初始化這些類型時，便會出現錯誤，而新的Lint現在會發出警告。不過，由於Rust中仍有許多不為零的類型，因此開發者還是可以使用mem::uninitialized和mem::zeroe，來初始化這些結構。Rust團隊提到，這些檢查並不會針對所有使用mem::uninitialized和mem::zeroed的情況，只會辨識確定會出現錯誤的程式碼。</p> <p>Rust在1.9版本的時候，加入了#[deprecated]屬性，讓Crate作者可以知會使用者，Crate中即將要棄用的項目，而在Rust 1.38中擴充了這個屬性，現在開發者可以使用std::any::type_name新函式，以獲取類型的名字，像是在執行期間，查看實例化類型參數的具體類型。</p> <p>官方表示，這是一個除錯用的標準函式庫函式，不能保證字串的明確內容和格式，回傳的值只是該類型的最佳描述，多個類型可能共用相同的type_name值，而這個值在未來編譯器版本可能會變更。</p> </div></div></div>
2019/9/30 18:00作者李建興https://www.ithome.com.tw/news/133336
微軟正式推出雲端SIEM服務，新增機器學習模型偵測惡意SSH存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出雲端原生安全資訊和事件管理（Security Information and Event Management，SIEM）服務<a href="https://azure.microsoft.com/zh-tw/blog/azure-sentinel-general-availability-a-modern-siem-reimagined-in-the-cloud/">Azure Sentinel正式版</a>，讓企業可以在不同規模的工作負載上，進行智慧安全分析。</p> <p>雲端與傳統本地端SIEM的差異之一在於靈活性，本地端SIEM需要企業自己維護基礎設施以及軟體，而雲端SIEM則沒有這些困擾，且用戶可以依需求擴展使用規模以及儲存容量。微軟在今年二月的時候，釋出了Azure Sentinel預覽版，而在之後收到了12,000個用戶回饋，為此微軟更新了Azure Sentinel並加入了許多新功能，現在釋出正式版本。</p> <p>Azure Sentinel內建了許多微軟與非微軟的安全資料，用戶只要透過點擊就可以啟用這些內建的資料，增加Azure Sentinel的安全防護能力，而第三方連接器列表現加入更多的微軟服務連接器，讓Azure Sentinel用戶可以跨數位資產，更完整地收集與分析資料。工作簿能以視覺化管理資料，用戶可以直接使用或是修改既存的工作簿，或是自己重新創建。</p> <p>用戶可以直接使用Azure Sentinel內建的100多個警報規則，來過濾安全威脅，或是使用新的警報引導精靈來創建自己的警報規則，警報規則可以由單個事件觸發，或是基於閾值、關聯不同資料集，甚至是內建的機器學習演算法來觸發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/b57da367-baa7-4257-ae31-5233b51a4501.png" style="width: 600px;" /></p> <p>正式版Azure Sentinel增加了兩種新的機器學習方法，讓用戶不需要擁有機器學習的知識，就可以使用現成的機器學習模型，來辨識微軟身份驗證服務中的可疑登入行為，發現惡意的SSH存取，這個機器學習模型，是微軟使用現有的機器模型，並結合遷移學習技術，讓Azure Sentinel能以單一資料集訓練模型，就能獲得偵測異常行為能力。</p> <p>另外，微軟還使用融合機器學習技術連接多個來源的資料，像是Azure AD異常登入和可疑的Office 365活動等資料，以偵測散布在服務鏈上不同威脅。</p> <p>微軟還強化了Azure Sentinel掌握安全威脅的能力，新添加的調查圖（Investigation Graph），用戶可以視覺化並走訪各實體，包括帳戶、資產、應用程式或是URL，以及其相關的活動，像是登入、資料轉移或是應用程式使用，以快速了解安全事故的影響範圍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/5bf27c4e-5697-4cf9-890a-234ba4f8c410.png" style="width: 600px;" /></p> <p>Azure Sentinel新增行動和劇本功能，使用了Azure Logic Apps服務，簡化事故自動化和修補的程序，用戶可以發送電子郵件以驗證行動，並封鎖可疑的帳戶，或隔離Windows的機器。</p> </div></div></div>
2019/9/30 17:20作者李建興https://www.ithome.com.tw/news/133329
DEFCON Voting Village：上百款投票機器每台都被攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聚集全球駭客的資安會議<a href="https://www.defcon.org/" target="_blank">DEFCON</a>今年8月再度舉辦了Voting Village活動，邀請與會者開採上百款美國正在使用的投票機器，發現每款機器都可被攻陷，並呼籲業者及美國政府應該在明年美國大選前，正視相關的安全問題。</p> <p>Voting Village所蒐集的投票機器涵蓋了直接紀錄投票機（direct-recording electronic voting machines，DRE），用來審查及維護選民登記資訊的電子版選民登記書（electronic pollbook），以及觸控式電子投票機（ballot marking devices，BMD），它們皆來自Election Systems & Software、Dominion Voting Systems與Hart InterCivic等三大投票設備製造商，也都是正在使用的版本。</p> <p>結果這些機器在兩天半的Voting Village活動中，全數被與會人員攻陷，DEFCON也在上周<a href="https://media.defcon.org/DEF%20CON%2027/voting-village-report-defcon27.pdf" target="_blank">出版了相關的研究報告</a>。</p> <p>要攻陷這些投票機器並不難，事實上，研究人員發現這些機器含有許多非常基本的安全瑕疵，例如傳輸埠完全沒保護，缺乏密碼保護或是使用預設密碼，就算具備安全功能但也沒啟用或甚至被關閉；有些選票掃描機具備網路連結功能，讓駭客可自遠端竄改記憶卡內容；<a href="https://www.wired.com/story/voting-village-results-hacking-decade-old-bugs/" target="_blank">還有些機器上的漏洞已存在超過10年都沒修補</a>；有些選舉裝置先前即曾被踢爆含有漏洞，但修補後一樣出現新的安全漏洞。</p> <p>安全社群則批評，相關的製造商對於白帽駭客的行徑並未展現出熱情，也未正式參與Voting Village，唯一值得慶幸的是，它們已開始執行協調性的漏洞披露程序。</p> <p>有鑑於<a href="https://www.ithome.com.tw/news/132087" target="_blank">俄羅斯駭客在美國2016年的大選前，就曾駭進美國某些城市的選民資料庫</a>，有理由相信不管是俄羅斯或其它國家的駭客都有可能在明年舉行的美國大選中，再度企圖入侵投票機器。</p> <p>因此，在此一Voting Village報告中，研究人員即建議，美國應該要全面部署投票後的風險限制審查；也應該要部署紙張投票系統，以最小化風險及再度確認投票結果；並大幅增加預算與資源，來幫助地方投票官員來保護他們的IT架構，否則可能會在2020年的選舉中看到嚴重後果：被攻擊、不安全，以及不信任。</p> </div></div></div>
2019/9/30 17:30作者陳曉莉https://www.ithome.com.tw/news/133335
羅技收購直播軟體製造商Streamlabs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div> <p>知名電腦周邊裝置製造商羅技（Logitech International）<a href="https://news.logitech.com/press-release/corporate/logitech-agrees-acquire-streamlabs-adding-streaming-tools-its-gaming-offerin" target="_blank">上周宣布</a>，將以8,900萬美元的現金買下遊戲直播工具及軟體製造商Streamlabs，透露出羅技深耕遊戲市場的決心。</p> <p><a href="https://streamlabs.com/" target="_blank">Streamlabs</a>同時打造桌面版串流程式Streamlabs OBS與行動串流程式Stream Live，前者的每月用戶數為160萬，後者則有48萬，可用來在Twitch、YouTube、Mixer或臉書等平台上進行直播。雖說Streamlabs所開發的直播程式並不只支援遊戲直播，但羅技看中的是Streamlabs對遊戲玩家的吸引力。</p> <p>負責遊戲周邊品牌Logitech G的羅技副總裁Ujesh Desai表示，兩年前他們就跟Streamlabs展開合作，其軟體彌補了羅技既有的遊戲產品，相信雙方將能共創更好的未來。</p> <p>目前基於Logitech G品牌的遊戲周邊產品，包括鍵盤、耳麥、滑鼠、遊戲控制品與駕駛裝備等。</p> </div> </div></div></div>
2019/9/30 16:20作者陳曉莉https://www.ithome.com.tw/news/133331
Windows 10 1909即將釋出，1903用戶無需重新開機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你是不是才安裝Windows 10 1903版？不過下一版更新版即將釋出。1909版在功能性、硬體管理及安全功能上多所強化，而1903版用戶更將可享受到安裝干擾最小化的好處。</p> <p>微軟於上周五將Windows 10 19H2 Build 19H2 Build 18363.387<a href="https://blogs.windows.com/windowsexperience/2019/08/26/testing-the-throttled-delivery-approach-for-19h2/#BqEQ8w527kiR2IgV.97" target="_blank">釋出</a>給Windows Insiders測試方案的Release Preview通道開發人員。加入測試的開發人員可以透過開啟「設定」、「更新＆安全」、「Windows Update」下載試用。這表示代號19H2的Windows 10 1909版更新，將在10月釋出。</p> <p>微軟對1909版釋出時程始終未鬆口。由於微軟預定於美國時間的10月2日舉行Surface Pro 7產品發表大會，甚至有<a href="https://www.news18.com/news/tech/windows-10-update-1909-expected-to-arrive-on-october-2-alongside-new-surface-hardware-2325123.html" target="_blank">媒體猜測</a>，1909版最快本周就會正式釋出。</p> <p>事實上，1909版與其說是Windows 10更新版，更像是一個較大型的累積功能更新或Service Pack。Windows 10 1909最大特色之一是減低更新的干擾性。如果用戶電腦已安裝Windows 1903，則安裝1909版就等於平常透過Windows Update安裝Patch Tuesday的功能更新、安全修補一樣簡單，用戶不必去除舊版Windows、及重新安裝Windows 10。但如果電腦上只有之前（Windows 101803或1809）更新版本的話，就必須重新安裝整個Windows 10。</p> <p>此外，1909版本在使用性上有多項更新。像是檔案總管加入搜尋功能，讓用戶除了可搜尋本機檔案，也能搜尋自有OneDrive帳號下的雲端檔案，按右鍵就能直接開啟檔案所在資料夾。此外，使用者將能從工具列（taskbar）點入「時間和日期」開啟行事曆，直接建立行程或提醒事項。系統通知設定方面，新版Windows 10中預設以最近日期排列顯示通知，而非寄發者名稱，也加入關閉或管理通知的功能。用戶滑鼠移到「開始」選單時，它的導覽視窗（navigation pane）會自動放大方便用戶找到需要的功能。Windows 10也將允許第三方語音助理如Alexa在鎖定螢幕上顯示，並執行使用者的聲控指令。</p> <p>1909 版Windows 10 容器將要求主機和容器版本相符，防止Windows 容器支援不同版本的container pods，並加入rotation 政策，可讓運算作業適當分配到CPU偏好的核心確保穩定性和效能。針對硬體廠商，Windows 10 1909也強化搭載特定處理器PC的電池與省電功能、加入新款Intel 處理器的除錯功能，並允許OEM根據不同硬體降低繪圖書寫（inking）的延遲性。</p> <p>在安全功能方面，1909版加入Windows Defender Credential Guard功能，將支援ARM64裝置，以防這些裝置上的憑證遭竊取。此外，微軟也在這版允許Windows 10 S模式下，以Windows Intune執行Win32 app，以及加入Azure AD裝置上回復密碼的金鑰輪換（key rotation）或key rolling功能，可在Intune控管或每次用戶解鎖BitLocker磁碟後更新密碼，防止用戶回復密碼時不小心曝光。</p> </div></div></div>
2019/9/30 16:35作者林妍溱https://www.ithome.com.tw/news/133332
美國司法部發布準則以限制警方使用公開的DNA資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/department-justice-announces-interim-policy-emerging-method-generate-leads-unsolved-violent" target="_blank">美國司法部（DOJ）上周公布</a>了鑑識遺傳族譜（forensic genetic genealogy，FGG）的<a href="https://www.justice.gov/olp/page/file/1204386/download" target="_blank">過渡政策</a>，限制警方使用公開DNA資料庫的手法，以在破案及維護民眾隱私與自由之間取得平衡，此一過渡政策預計在今年11月1日實施，正式的政策則可望於明年出爐。</p> <p>FGG是一個新興的辦案手法，它結合了傳統的族譜研究與新興的DNA分析技術，族譜網站讓民眾自願提交自己的DNA或輸入自己的族譜，以期建立家族史並找到散落在各地的親人，或維持與親族的聯繫。</p> <p>另一方面，假設警方在犯罪現場發現的DNA無法與FBI的DNA資料庫匹配，警方可能會轉向族譜網站，把犯罪現場取得的DNA上傳至族譜網站，再與公開的DNA資料庫進行比對，也許會找到嫌犯的家族而成為破案的關鍵。</p> <p><a href="https://www.sciencemag.org/news/2019/09/new-federal-rules-limit-police-searches-family-tree-dna-databases" target="_blank">根據估計，美國警方透過FGG辦案手法已逮捕與至少60個懸案有關的嫌犯。</a></p> <p>但這類的作法引發了隱私爭議，例如那些上傳DNA的使用者並未同意警方比對他們的生物特徵，或者是沒有上傳DNA的使用者也會因此受到牽連。</p> <p>於是，在此一政策中，司法部規定警方不得只因為在族譜網站上找到匹配的對象，就採取逮捕行動；而且FGG只能適用於謀殺或強暴等暴力犯罪；而且也應該先使用所有傳統的調查方法，無效後才能採用FGG；禁止警方上傳假的個人檔案以企圖誘拐嫌犯的族人出面；族譜網站也必須向使用者表達會遭到警方搜尋的可能性。</p> <p>事實上，在察覺警方的行動之後，已有些免費及公開的族譜網站把允許搜尋的預設值從開啟切換成關閉，來保護該站使用者的隱私。</p> </div></div></div>
2019/9/30 16:50作者陳曉莉https://www.ithome.com.tw/news/133333
研究人員發現鎖定SIM卡攻擊遠端控制手機的WIBattack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周安全公司AdaptiveMobile發現可讓駭客<a href="https://www.ithome.com.tw/news/133042">傳送惡意簡訊</a><a href="https://www.ithome.com.tw/news/133042" target="_blank">追蹤用戶位置目的的SIMJacker攻擊手法</a>。另一家安全公司Ginno Security Labs又<a href="https://ginnoslab.org/2019/09/21/wibattack-vulnerability-in-wib-sim-browser-can-let-attackers-globally-take-control-of-hundreds-of-millions-of-the-victim-mobile-phones-worldwide-to-make-a-phone-call-send-sms-to-any-phone-numbers/" target="_blank">發現類似的攻擊手法</a>，這次是針對另一種SIM卡軟體Wireless Internet Browser (WIB)而來。</p> <p>在新發現的攻擊下，駭客可傳送惡意簡訊開採WIB SIM瀏覽器的漏洞取得受害手機的遠端控制權，執行各種惡意行為，像是傳送簡訊、撥打電話、追蹤用戶所在位置、IMEI碼或啟動其他瀏覽器（WAP瀏覽器）等。</p> <p>至於什麼是WIB，Ginno Security Labs首席研究員Pivi Lakatos解釋，相較於使用固定預安裝選單的SIM工具組app，有的電信業者採用動態SIM工具組，它的選單和使用者對話框都是根據電信業者中央伺服器提供的資訊產生，支援WIB的SIM上所儲存的選單，也是透過電信公司無線更新（Over the Air，OTA）服務來更新。這類功能的app通常稱為SIM瀏覽器或µ-瀏覽器，目前市面上有兩種主要SIM瀏覽器，其中又以SmartTrust公司的WIB最為知名。</p> <p>歐、亞、美、澳洲有多家行動電信業者，包括Vodafone UK、Cingular Wireless、中國移動等使用SmartTrust技術提供動態漫遊引導（Dynamic Roaming Steering）等進階簡訊服務、控制手機app和管理SIM卡/USIM卡的生命周期。</p> <p>和上周揭露的SIMjacker攻擊類似，WIBattack也是藉由傳送包含惡意OTA簡訊在SIM上執行SIM工具組（STK）指令的攻擊行動。研究人員發現，手機基頻OS接到這些OTA簡訊後，會直接將簡訊中的指令直接傳給WIB瀏覽器，由於全部過程都在基頻OS發生，Android、iOS、Blackberry等手機作業系統皆不會獲得通知，用戶手機不論是功能手機或智慧型手機，也都不會發出OTA簡訊的通知。這些指令可能包括撥話、傳送簡訊、提供地點資訊、傳送USSD（Unstructured Supplementary Service Data）呼叫、以特定URL開啟瀏覽器、在手機上顯示文字或播放某段音樂等。</p> <p>所幸和SIMjacker不同的是，研究人員尚未發現到WIBattack實際攻擊。</p> <p>Ginnoslab研究人員已經向GSM協會通報該漏洞。同時間Lakatos也和Security Research Lab的Luca Melette合作開發<a href="https://opensource.srlabs.de/projects/simtester" target="_blank">SIMtester工具供用戶下載</a>檢查SIM卡是否有WIB漏洞，但是在GSM協會修補完成前，他只能建議消費者購買能提供100%保障的SIM卡，以免用戶在漫遊到其他網路上時遭到攻擊。</p> </div></div></div>
2019/9/30 15:25作者林妍溱https://www.ithome.com.tw/news/133327
還沒安裝iOS 13.1？那直接安裝iOS 13.1.1吧
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周三蘋果<a href="https://www.ithome.com.tw/news/133256" target="_blank">發出安全公告</a>，一項在iOS 13.1來不及修補的iOS漏洞可能使第三方鍵盤app取得手機完整存取權。周末蘋果緊急<a href="https://support.apple.com/en-us/HT210393#1311" target="_blank">釋出最新的iOS 13.1.1</a>。</p> <p>上周三蘋果警告，iOS 13及iPadOS中一項臭蟲可讓連網的第三方鍵盤app取得完整的裝置存取權，即使用戶沒有許可，意謂著iPhone或iPad上的資訊可能從網路洩露出去。</p> <p>iOS 13.1.1除了修補第三方鍵盤相關的安全漏洞外，還解決了iOS 13.0、13.1的其他惱人問題。包括電池耗電過快、iPhone 11/11 Pro/11 Pro Max上Siri聽不懂指令、Safari搜尋建議關了又自動開啟、提醒功能同步太慢等問題。</p> <p>不過<a href="https://www.theverge.com/2019/9/27/20887351/ios-13-1-1-released-bug-fixes-battery-drain-third-party-keyboards-siri" target="_blank">有媒體報導</a>iOS 13.1.1似乎尚未解決iOS 13即使在訊號滿格情況下，仍會掉資料的問題。</p> <p>此外，iPhone周末又爆出一個影響舊款iPhone的「無法修補的」漏洞。一個名為checkm8的漏洞存在iPhone晶片遠端啟動服務（bootrom）中，影響所有採用A12晶片以前的iPhone機種。因為本漏洞無法以任何iOS更新修補，使手機永久存在被越獄的風險。</p> </div></div></div>
2019/9/30 15:45作者林妍溱https://www.ithome.com.tw/news/133328
研究人員宣稱iPhone X及以前的晶片都含有無法修補的Bootrom漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名代號為Axi0mX的安全研究人員<a href="https://twitter.com/axi0mX/status/1177542201670168576?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1177542201670168576&ref_url=https%3A%2F%2Fwww.zdnet.com%2Farticle%2Fnew-checkm8-jailbreak-released-for-all-ios-devices-running-a5-to-a11-chips%2F" target="_blank">上周對外宣布</a>，他在蘋果所打造的晶片組上發現了Bootrom漏洞，將允許駭客取得iOS裝置的控制權，該漏洞波及A5到A11的晶片組，等於是從iPhone 4S到iPhone X都受到影響，且只有變更硬體才能修補，意謂著它將能形成永久的越獄行為。</p> <p>被蘋果稱為SecureROM的<a href="http://theiphonewiki.com/wiki/Bootrom" target="_blank">Bootrom</a>為iOS裝置上的安全啟動程式，它是唯讀的，每當開啟iOS裝置時，處理器第一個執行的就是Bootrom。Bootrom是在晶片製造過程中就被嵌入的，它含有蘋果的根權限，得以用來驗證下一階段所載入的內容。</p> <p>資安業者Malwarebytes Labs則說，不只是iPhone，採用同樣晶片組的iPad、Apple Watch、Apple TV與iPod Touch也都受到Bootrom漏洞的影響。</p> <p>Axi0mX亦釋出了基於Bootrom漏洞的<a href="https://github.com/axi0mX/ipwndfu/blob/master/checkm8.py" target="_blank">checkm8攻擊程式</a>，checkm8現階段只能用來開採Bootrom漏洞，並非是個完整的越獄程式，同時也只能於本地端進行開採，並不支援遠端開採。</p> <p>儘管checkm8不是個越獄程式，但它將讓越獄變得更容易，讓駭客取得裝置的最高權限，安裝任意程式，或是自沙箱逃逸等。</p> <p>值得注意的是，Bootrom是個硬體漏洞，只有變更硬體才能修補，這使得蘋果無法像過去一樣：在發現越獄漏洞之後，就透過軟體更新解決。</p> <p><a href="https://threatpost.com/ios-exploit-checkm8-could-allow-permanent-iphone-jailbreaks/148762/" target="_blank">資安專家認為</a>，這對蘋果與iOS來說是個嚴重的問題，迄今checkm8只代表著潛在的風險，未來它可能造就更多的越獄程式，也可能只是曇花一現地引起注意，或是讓更多的安全研究人員與蘋果能夠進一步改善iOS及其裝置的安全性。</p> </div></div></div>
2019/9/30 15:55作者陳曉莉https://www.ithome.com.tw/news/133330
美國通過可協助組織對抗網路攻擊的法案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院在上周通過了由<a href="https://www.portman.senate.gov/newsroom/press-releases/senate-passes-bipartisan-portman-hassan-bill-strengthening-public-private" target="_blank">Rob Portman</a>與Maggie Hassan兩名參議員在今年初所提出的《國土安全部網路狩獵與資安事件應變法案》（Department of Homeland Security (DHS) Cyber Hunt and Incident Response Teams Act），將要求DHS的資安團隊協助政府及其它私人企業避免網路攻擊，也應在這些組織遭到攻擊時協助緩解。</p> <p>DHS原本就有許多與網路安全相關的任務，新法案要求DHS必須設立網路狩獵與網路事件應變兩個安全團隊，以永久協助政府機關、重大基礎設施與私人企業來對抗網路攻擊，也要求相關團隊必須廣邀私人企業的安全專家，以提供非政府角度的專業意見。</p> <p>而不管是地方政府或是非聯邦政府的組織都能在網路攻擊事件中，請求相關團隊提供協助。</p> <p>Portman與Hassan表示，隨著網路威脅變得更普遍，讓地方政府到聯邦政府都能夠取得強化其網路安全的資源，是非常重要的；該法案將可協助組織降低網路風險，並協助網路架構從攻擊中復原。</p> <p>另一名參議員<a href="https://www.schumer.senate.gov/newsroom/press-releases/following-his-major-push-schumer-announces-senate-passage-of-cybersecurity-legislation-aimed-at-protecting-upstate-new-york-schools-from-malicious-ransomware-senator-vows-to-see-bill-signed-into-law" target="_blank">Chuck Schumer</a>則進一步提及了近來困擾美國地方政府與各級學校的勒索軟體攻擊，指出當電腦感染勒索軟體時，除非支付贖金，否則便得耗費龐大的成本來復原，讓駭客得以挾持電腦系統來勒索企業、個人或組織。</p> <p>該法案將等待眾議院的表決通過之後才會送交川普總統簽署。</p> </div></div></div>
2019/9/30 15:05作者陳曉莉https://www.ithome.com.tw/news/133326
遭受駭客攻擊！臺港蘋果日報App及網站服務受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日週六（28日）早上，蘋果日報的App與網站驚傳網站異常，疑似遭到駭客入侵，在當日11點34分，香港蘋果日報在粉絲專頁上發布訊息，也公開說明了這項消息，說明「蘋果動新聞」手機App與網站疑遭受外來攻擊，導致部分讀者無法登入。</p> <p>關於這次網站登入服務中斷的事件，發生在28日的早上7點10分到10點30分之間，在臺灣「蘋果新聞網」與香港蘋果日報的粉絲專頁上，都以公開形式發布相關訊息，指出蘋果新聞網App與香港蘋果動新聞都遭受攻擊，像是說明登入系統出現不穩定情況，並且也導致一些用戶無法登入的情況。另外，網路上也傳出這些服務的選單與網站內容有被竄改的狀況發生。</p> <p>目前這些服務已經復原，不過，他們尚未對外公布遭駭的原因與入侵管道，而這也影響到蘋果付費用戶的權益。不僅是網站安全的議題，由於正逢反集權運動與傘運5周年，這起網路攻擊事件也格外受到外界關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-09-29_141555.JPG" style="width: 619px; height: 161px;" /></p> <blockquote><p>在頻果新聞網的臉書粉絲專頁上，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">昨日也已經表示登入問題已經修復。</span></p> </blockquote> </div></div></div>
2019/9/29 13:23作者羅正漢https://www.ithome.com.tw/news/133325
Xbox One所支援的語音助理，從Cortana與Alexa擴大到Google Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周宣布，除了支援既有的<a href="https://support.xbox.com/zh-TW/xbox-one/voice-and-digital-assistants/set-up-cortana-as-a-digital-assistant-for-xbox-one" target="_blank">Cortana</a>與<a href="https://support.xbox.com/zh-TW/xbox-one/voice-and-digital-assistants/set-up-alexa-as-digital-assistant-xbox-one" target="_blank">Alexa</a>以外，Xbox One遊戲機用戶<a href="https://www.reddit.com/r/xboxinsiders/comments/d9jcjf/get_started_with_xbox_for_google_assistant/" target="_blank">將可利用Google Assistant執行語音命令</a>，此一功能目前仍為<a href="https://www.blog.google/products/assistant/game-your-xbox-one-now-works-google-assistant/" target="_blank">測試版</a>，且只支援英文，正式版與其它語言預計會在今年秋天出爐。</p> <p>微軟並非是在Xbox One遊戲機上直接嵌入數位語音助理，不管是要使用Cortana、Alexa或Google Assistant，都必須透過另一個裝置連結，像是Windows 10電腦，或是安裝了上述數位語音助理程式的Android或iOS手機，或是支援上述語音助理的聲控喇叭。</p> <p>支援更多元的數位語音助理技術，將使Xbox One用戶更容易選擇自己熟悉的語音命令工具<a href="https://support.xbox.com/zh-TW/xbox-one/voice-and-digital-assistants/what-can-i-say-using-alexa-and-cortana-as-digital-assistants#c4cf73dc8620443ea4ba87efc85b37dc" target="_blank">來執行功能，從開／關機、音量的調整、暫停、播放、尋找遊戲、連結控制器、切換頻道、登入／登出、截取螢幕畫面到錄製遊戲短片等。</a></p> <p>微軟與Amazon在2017年便宣布結盟，以讓彼此的數位語音助理能夠互動，例如可在Windows 10裝置上呼叫Amazon的Alexa，或者是在Amazon的Echo裝置上呼叫Cortana。</p> <p>至於蘋果的Siri與Google Assistant目前仍然維持各自獨立的狀態。日前Amazon、微軟及百度等超過30家業者共同發表了<a href="https://www.ithome.com.tw/news/133251" target="_blank">AI語音相容性計畫（Voice Interoperability Initiative）</a>，以讓不同業者的語音服務能在同一裝置上互通，而蘋果與Google都未加入該計畫。</p> </div></div></div>
2019/9/29 00:40作者陳曉莉https://www.ithome.com.tw/news/133324
Uber程式即將大改版，整合叫車、外送及安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uber.com/newsroom/everyday-life-os/" target="_blank">Uber本周宣布，正在測試中的新程式將定位為「人們日常生活的作業系統」</a>，準備整合叫車、外送、未來的其它服務與安全功能，亦會新增911簡訊功能。</p> <p>Uber表示，雖然該公司一開始推出的是共乘服務，但已擴充到食物外送、電動腳踏車到滑板車，也將大眾運輸或直升機整合到Uber程式中，新一代的Uber程式將讓使用者可存取及體驗日益成長的服務類別，包括Uber Rides與Uber Eats，並已在數百個美國與國際城市展開測試。</p> <p>除了整合各式服務之外，Uber也規畫了多項安全功能，包括為了確定所搭乘的是正確的車輛，乘客可選擇接收4位數的PIN碼以與司機核對；在車上就能回報安全意外；在既有的911按鍵以外，也允許乘客傳送文字簡訊至911，且簡訊上會自動附上旅程細節，包括汽車型號、車牌號碼與位置；除了自拍照之外，也會藉由其它司機的動作，包括眨眼或笑容等方式來驗證司機身分；若乘客下車處鄰近自行車道，也會在下車前收到提醒。</p> <p>另一方面，Uber將提供司機營收預估、載客需求地圖，以及回程載客請求等功能，以期擴大司機收益。</p> <p>儘管Uber虧損連連，且正陸續調整組織結構並裁撤員工，但Uber平台目前連結了全球1億名消費者，與超過400萬名的司機及外送員，2014年上線的食物外送服務Uber Eats迄今則已累積超過10億張訂單。</p> </div></div></div>
2019/9/29 00:00作者陳曉莉https://www.ithome.com.tw/news/133323
Google更新GitHub市集中的Cloud Build應用程式，整合更多CI/CD功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/cloud-build-brings-advanced-cicd-capabilities-to-github">Google更新其在GitHub市集中的Cloud Build應用程式</a>，全面強化CI/CD功能，現在用戶可以自定義拉取請求、分支和標籤事件以觸發建置工作，也能在GitHub中檢視建置狀態，甚至還能程式化地創建和管理建置觸發器。</p> <p>藉由應用程式與GitHub整合，開發者現在可以新增建置觸發器，並自定義在特定儲存庫事件上觸發建置工作，像是可以設定在拉取請求、推送到主分支或是發布標籤時進行建置，開發者也可以為每個觸發器設定不同的建置配置，根據修改的分支、標籤和拉取請求配置建置步驟。</p> <p>還能夠根據已經修改的檔案，設定是否要觸發建置工作，這個功能可以用來忽略對README檔案的修改，或是只有當特定子目錄中的檔案更改時，才會觸發建置。另外，新加入的拉取請求功能，管理者可以要求拉取請求上帶有註解，才能觸發建置。</p> <p>而透過應用程式觸發的建置工作，會使用GitHub Checks API自動將狀態丟回GitHub，由於建置回饋直接整合到了GitHub開發人員工作流程中，因此能減少各種頁面的切換。發布到GitHub的更新包括了建置狀態、建置持續時間、錯誤訊息以及建置日誌細節的連結。</p> <p>在這次的Cloud Build GitHub應用程式更新，也讓開發者可以利用Cloud Build API和Cloud SDK來配置建置觸發器，也就是說開發者可以程式化建置工作，只要透過API請求，或是在json和yaml檔案編寫腳本，就可以程式化創建、更新和刪除GitHub觸發器。</p> <p>這些Cloud Build和GitHub間的CI/CD功能整合，可以讓開發者更快且更頻繁的驗證拉取請求，並建立基於git的CI/CD工作流程。</p> </div></div></div>
2019/9/28 00:25作者李建興https://www.ithome.com.tw/news/133317
一周大事：財金公司開放API開發者平臺即將正式上線。卷積神經網路之父：自監督式學習能為深度學習發展另闢新徑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>財金Open API開發平臺亮相</strong></span></p> <p>臺灣的開放銀行（Open Banking）有新進展，三階段的開放措施中，首先推動的第一階段是「公開資料查詢」預計9月底正式上線。這個階段以非交易金融資訊為主，且不涉及消費者個人資料。例如，外幣匯率、信用卡產品、分行據點等資訊。至於第二階段「消費者資訊查詢」標準，將有申請產品資訊與帳戶資訊。例如，帳戶開戶與附屬業務申請、信用卡及附屬業務申請、消費者個人資料查詢、消費者帳戶資訊等，預計今年12月，要完成第二階段的技術與資安標準制定。不過，正式上路時間還要依主管機關而定。<a href="https://www.ithome.com.tw/news/133124" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>卷積神經網路之父Yann LeCun：自監督式學習能突破目前DL發展侷限</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/15_Yann%20LeCun_%E7%BE%8E%E5%9C%8B%E8%87%89%E6%9B%B8_%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E7%A0%94%E7%A9%B6%E9%99%A2%20%E9%99%A2%E9%95%B7_20170629_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">攝影_洪政偉</span></p> <p>臉書AI研究院首席科學家、同時被譽為卷積神經網路之父的Yann LeCun，今年更獲得素有電腦界諾貝爾獎之稱的2018年圖靈獎（Turing Award）殊榮，終於在睽違兩年後，今天再度來臺，在匯聚全球頂尖人才的全球影像處理會議（ICIP大會）上，發表自監督學習（Self-supervised Learning，SSL）在深度學習領域的發展，不僅能用來預測文字片段，也已經初步應用在影片未來動態的預測，比如自駕車先預測周遭車輛的行駛軌跡，再決定接下來的行駛方向。<a href="https://www.ithome.com.tw/news/133264" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>圖資料庫查詢語言GQL變成國際標準</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GQL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Neo4j.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Neo4j</span></p> <p>積極推動GQL標準制定，同時也是圖資料庫（Graph Database）管理系統供應商Neo4j宣布，經過國際SQL標準委員會投票表決，決定將圖查詢語言（Graph Query Language）納為一種新的資料庫查詢語言，因此現在GQL已經成為屬性圖（Property Graph）國際標準宣告查詢語言。</p> <p>GQL主要來自Neo4j的圖查詢語言Cypher，GQL的倡議是在2018年5月首次被提出來，而經過一年後，包括美國、德國和英國等10個國家，已經投票贊成GQL成為標準，其中7個國家承諾，會由國家專家積極參與專案。參與企業除了Neo4j，還有Redis Labs、SAP和IBM等。Neo4j提到，GQL作為下一代存取資料的技術標準，建立在SQL基礎，確保SQL和GQL的相容與互通性。<a href="https://www.ithome.com.tw/news/133188" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>遠傳用AI讓每月詐騙電話數銳減9成</strong></span></p> <p>在去年被警政署告知165反詐騙平臺統計的詐騙電話中，幾乎都是遠傳預付卡用戶後，為了防治詐騙分子利用預付卡進行電信詐欺，遠傳電信透過分析通話記錄以打造AI偵測模型，即時察覺用戶通聯異常行為，降低詐騙電話數量。<a href="https://www.ithome.com.tw/news/133158" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>中國社會信用系統的監管對象從民眾蔓延到企業了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E4%B8%8A%E6%B5%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Hanny%20Naibaho.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Hanny Naibaho on unsplash</span></p> <p>根據顧問公司Sinolytics與紐約時報的報導，中國正在將原本鎖定境內14億人民的社會信用體系，擴展至境內企業，這代表在中國活動的企業，不管是本土或外商，也有專屬的「企業社會信用體系」，只要不遵守規則，就會受到懲處。</p> <p>由中國政府所打造的社會信用體系是為了規範民眾行為所建立，每個人都會有自己的信用分數，若曾偽造車票、強佔座位、挪用公款，或是未繳社會保險費，即可能被禁搭大眾運輸。</p> <p>專注於分析中國市場的Sinolytics則說，中國政府已著手建立企業社會信用體系，提出逾30類的信用評鑑標準，涉及數百項要求，且該系統的數據基礎設施已經開始運作，已有不少公司的資訊在該平臺上被公開。<a href="https://www.ithome.com.tw/news/133231" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>甲骨文以上千臺樹莓派組成超級電腦叢集</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%94%B2%E9%AA%A8%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E7%81%A3%E6%A8%B9%E8%8E%93%E6%B4%BE.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_臺灣樹莓派</span></p> <p>在OpenWorld 2019大會上，甲骨文連結了1,060臺Raspberry Pi裝置成一臺超級電腦叢集，並宣稱這是全世界最大的Raspberry Pi叢集，共具備4,240顆核心。以Raspberry Pi 3 B+每個35美元計算，這臺超級電腦光是板子的價格為37,100美元，當然還不含網路交換器、機架、甲骨文特別3D列印的Raspberry Pi 3外殼、電源、以及電源線、網路線等其他元件。此外，還搭配了甲骨文自家的Supermicro 1U Xeon伺服器作為資料儲存設備。不過和動輒數百萬美元的超級電腦相比，造價仍然十分便宜。</p> <p>以Raspberry Pi 3 B+作為大型運算並不實用，也不太可能上市。甲骨文此舉主要是為了展示自家作業系統Oracle Autonomous Linux。<a href="https://www.ithome.com.tw/news/133137" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>白俄羅斯成首個強制ISP提供IPv6服務的國家</strong></span></p> <p>白俄羅斯總統魯卡申柯發布一份名為「關於國家網路區段功能」的行政命令，在網路服務供應商（ISP）部份，該命令除了要求ISP應提供充足網路儲存服務、保障用戶資訊安全及隱私外，並規定為回應網路用戶之需求，提供網路資訊系統及資源的ISP，應從2020年1月1日起完整支援IPv6裝置，所有連線都可跑在IPv6上。此外，所有用戶都會配給IPv4和IPv6兩種IP位址。成為首位將IPv6納入強制政策的國家元首。</p> <p>根據IPv6-Test的測試統計，目前白俄羅斯的IPv6整體支援率約在13%至40%之間，低於俄羅斯和東歐資訊大國愛沙尼亞的4成以上。</p> <p>IPv4網址枯竭問題已經發生。2011年APNIC先宣告亞太區IPv4位址即將用罄，目前全球僅剩主管非洲的AFRINIC，預計2019年會發放完所有的IPv4位址。<a href="https://www.ithome.com.tw/news/133230" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Amazon大整30家AI語音平臺，但排除蘋果和谷歌</strong></span></p> <p>近期Amazon和微軟、Salesforce、百度等30多家廠商共同宣布AI語音相容計畫（Voice Interoperability Initiative），讓不同廠商的語音服務在同一臺裝置上互通，並使語音產品可支援以多種喚醒關鍵詞啟動。只是不包含Google、蘋果的AI語音助理。</p> <p>這項合作有四大重點任務。首先是發展能彼此互通、確保用戶安全與隱私的語音服務。其次是打造同時支援多種、同時喚醒關鍵詞的聲控裝置。他們也將發表可將多種語音服務整合在單一臺產品上的技術，以加速語音學習及對話式AI研究發展，提升語音服務的品質及相容性。</p> <p>透過這項相容合作，Alexa未來將能和微軟Cortana、Salesforce的Einstein、或百度的小度、Orange的Djingo互通，或在同一臺裝置上使用多種語音助理。這批合作的業者名單顯然缺了蘋果、Google、臉書、三星及阿里巴巴，畢竟他們都有打造自有軟、硬生態體系的實力，其中又以Google最強大。<a href="https://www.ithome.com.tw/news/133251" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟法院：谷歌搜尋被遺忘權，只需適用歐盟網域</strong></span></p> <p>日前歐盟法院針對法國政府和Google的「被遺忘的權利」官司做出判決，Google僅需在歐盟會員國內，應使用者要求移除連結，不需要擴大推行到全球的搜尋引擎上。<a href="https://www.ithome.com.tw/news/133250" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟開源程式碼專用的等寬字型Cascadia Code</strong></span></p> <p>微軟今年發表全新的Windows終端機，同時也開發出Cascadia Code字型，開發者可用於終端機，以及其他像是Visual Studio等文字編輯器，因為Cascadia Code支援程式連字（Programming Ligatures），當字型是由組合字符組成，則程式連字功能，將能更方便開發者撰寫程式碼，也能讓程式碼更好閱讀。<a href="https://www.ithome.com.tw/news/133185" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>半導體資安標準即將推出草案</strong></span></p> <p>自去年9月，工研院與台積電聯手，帶頭成立資安標準工作小組後，其中最為重要的里程碑，就是在今年4月時，取得新標準提案表單（SNARF）的正式案號6506，現在小組成員積極討論與撰寫草案，預計年底送交全球會員投票，進而領先美國和日本，成為全球業界推動資安標準的領頭羊。<a href="https://www.ithome.com.tw/news/133168" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>傳統汽車製造商如何實踐數位轉型</strong></span></p> <p>中國老牌汽車公司中國第一汽車集團，積極導入數位分身，以虛擬工廠模擬真實的生產線，結合系統資訊流打通整合，推動汽車製造的數位轉型。<a href="https://www.ithome.com.tw/news/133186" target="_blank">更多內容</a></p> </div></div></div>
2019/9/28 00:00未署名https://www.ithome.com.tw/news/133311
臉書不再以第三方事實查核組織驗證政治人物的貼文與廣告內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.fb.com/news/2019/09/elections-and-political-speech/">臉書發布了最新的平臺事實查核政策</a>，未來臉書將不會依靠第三方事實查核組織，來審核政治人物言論的正確性，包括貼文以及其發布的廣告，原因是臉書不想影響政治人物的政治言論，並且再次強調臉書只是內容平臺，對於政治人物使用平臺的方式，他們無從干涉。</p> <p>臉書一直透過第三方事實查核組織來減少虛假新聞，以及其他錯誤訊息的病毒式傳播，像是迷因（meme）或是變造過的影片或圖片。但臉書通訊副總裁Nick Clegg提到，第三方事實查核組織的審查，會成為政治人物辯論的裁判，而他們覺得這樣是不恰當的，臉書不應該阻擋政治人物的言論接觸到他的聽眾。</p> <p>為此臉書將開始在第三方事實查核程序中豁免政治人物，臉書不會把政治人物所產生的自然內容或廣告，發送給合作的第三方事實查核組織審查，不過當政治人物分享造假內容的連結、影片和照片，臉書計畫降級該內容的顯示，並拒絕將其包含在廣告中。</p> <p>從2016年以來，當貼文的公眾利益大於傷害的風險，臉書政策便允許這些違反社群標準的貼文在平臺存留，而現在臉書認為政治人物的言論有其新聞價值，Nick Clegg提到，臉書評估言論的公共利益與危害風險，來決定政治人物的貼文具新聞價值，並將考量特定國家情況而定，像是可能處在選舉或是戰爭狀態，另外，各國政治結構也會影響這項政策，包括該國是否具有新聞自由等條件。</p> <p>在臺灣，查核政治人物言論真實性的工作，現在由多家媒體聯手進行。面對政治人物本身可能就是虛假訊息製造者的現況，由Readr發起了<a href="https://www.readr.tw/project/fact-check-2020">2020年總統候選人之事實查核計畫</a>，與iThome、Right Plus 多多益善研究站、上下游News&Market、公視P# 新聞實驗室、公視新聞、未來城市＠天下、沃草、華視、環境資訊中心、鏡週刊、關鍵評論網及新興科技媒體中心多家媒體合作。</p> <p>這項計畫首先會以群眾參與的方法，將總統候選人的發言影片轉成逐字稿，在二次驗證逐字稿的正確性後，經訓練的志工標記逐字稿的屬性，最後由各家媒體針對需要驗證的項目進行驗證。針對總統候選人的發言內容進行事實查核，可以幫助選民更深入了解這些言論的真假，並期望解決候選人過度吹捧自己，或是以不實訊息攻擊對手等問題。</p> </div></div></div>
2019/9/28 00:15作者李建興https://www.ithome.com.tw/news/133303
Gremlin推出混沌工程工具Scenarios，讓企業簡單地模擬多種資源短缺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>混沌工程工具廠商Gremlin現推出，可以模擬實際環境資源缺乏的工具<a href="https://www.gremlin.com/blog/introducing-scenarios/">Scenarios</a>，以測試應用程式面對這些資源匱乏的反應，Scenarios的特點在於，能讓用戶以簡單的方式，進行多個資源短缺的模擬。</p> <p>過去Gremlin提供狀態、資源和網路等各式故障模式，使得用戶能夠測試應用程式的可靠度，而Gremlin現在推出Scenarios解決方案，以簡化測試程序並方便用戶追蹤實驗。Scenarios可以把多種故障模擬串連在一起，並隨著時間擴大影響的範圍，而當這些模擬實驗被創建之後，便會成為資源，團隊可以為其命名，加入描述、假設和觀察。</p> <p>目前的Scenarios版本推薦了6個測試方案，用戶可以直接複製並開始使用，推薦的測試方案會指導用戶進行混沌工程實驗，並確保應用程式可以抵抗資源限制、不穩定的網路，以及在中斷相依資源之後的反應，進而避免這些故障在未來影響用戶的服務甚至是業務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/recommended-scenarios.png" style="width: 600px;" /></p> <p>Scenarios用戶可以先以較小的故障開始測試系統，像是少量主機的CPU過載，透過創建並串接多種故障情況，慢慢擴大影響的範圍以及程度。官方提到，在使用Scenario進行故障模擬，使用者可以比較實際發生的狀況與預期是否相符，更甚者可能在過程中發現預料之外的事件，用戶以此著手改善，將能有效提高應用程式的可靠性。</p> </div></div></div>
2019/9/28 00:15作者李建興https://www.ithome.com.tw/news/133306
臺灣微軟AI研發中心擴增，持續鎖定電腦視覺、使用者意圖認知和AI垂直產業應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（27日）宣布臺灣微軟AI研發中心擴建落成，除了現場展示臺灣AI團隊的研發成果，像是應用於Windows 10的企業級人臉防偽辨識系統，以及可辨識反光、皺褶甚至潦草手寫的文字光學字元辨識（OCR）系統之外，臺灣微軟表示，AI研發中心將繼續發揮臺灣在電腦視覺的優勢外，也鎖定了使用者意圖認知和AI垂直產業應用領域，要瞄準行政院5＋2產業創新計畫中的智慧製造和智慧醫療，將AI技術帶進這些產業，以及中小企業。</p> <p>微軟雲端計算與人工智慧事業部全球資深副總裁郭昱廷表示，微軟十分看重電腦視覺領域的研究，去年，微軟在臺成立AI研發中心，臺灣團隊短短一年就拿下了微軟總部的核心AI研發專案，包括人臉防偽辨識、文字OCR等電腦視覺應用，並交出漂亮成績單，「特別是收據OCR，不到半年就開發出令人驚豔的辨識模組，總部也相當肯定，認為全球沒有其他軟體能夠媲美。」也因為臺灣團隊表現優異，微軟總部決定擴大在臺AI研發中心的規模，要吸引更多人才來開發、優化更多微軟全球性的服務。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">人臉辨識防偽達企業級水準，收據OCR連皺褶、反光和手寫都難不倒</span></span></strong></p> <p>今日，臺灣微軟AI研發中心首席研發總監暨清大資工系教授賴尚宏也與同仁在現場展示研究成果，首先是應用於微軟Windows 10的人臉辨識解鎖系統Windows Hello。他解釋，這套辨識系統由紅外線3D深度感測相機與深度學習模型打造，其中的相機模組，是由微軟與臺灣廠商共同設計、生產，而深度學習模型則由臺灣團隊開發，主要是要讓使用者可安全、快速登入系統。</p> <p>為展示辨識系統的辨識精準度，賴尚宏也利用同仁的彩色大頭照、高解析度大頭照做成的人臉面具，以及大尺寸、由電子墨水列印的黑白大頭照來測試登入系統。如果系統辨識為同仁本人（真人），就會出現綠色框，反之則為紅色框。結果顯示，不論是彩色大頭照還是黑白大頭照，都難以騙過系統（如下圖），能夠達到身分認證的安全性要求。微軟表示，3D人臉防偽技術適用於企業門禁、資訊安全管理方面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2640.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2644.jpeg" /></p> <p>不過，郭昱廷也強調，企圖破解人臉辨識系統的手法層出不窮，臺灣團隊也將持續優化系統，以因應新型態詐騙手段。</p> <p>接下來則是文字OCR辨識功能。首先，臺灣微軟AI研發中心同仁拿出一包餅乾包裝袋，將其後方的營養成分表以手機拍下，再上傳到自家的社群協作平臺Microsoft Teams，使用內建的OCR辨識系統來偵測相片中的文字。</p> <p>結果顯示，舉凡文字、數字、條碼，不論是否皺褶、反光，只要是照片中的營養成分表皆能辨識出，甚至連潦草的手寫文字也可以（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2647.jpeg" /></p> <p>另一方面，AI研發中心同仁也拿了一張美國的英文收據來測試，同樣以手機拍照、上傳至Microsoft Teams，再交由系統辨識。由於美國收據沒有固定格式，每家店都可能有自己的格式，因此，微軟利用自家自然語言處理技術（NLP），來從中萃取資訊，並進行分類和檢索（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_2649.jpeg" /></p> <p>結果顯示，系統可順利辨識出店家名稱、地址、消費時間，甚至是手寫的消費金額，並將這些資訊自動歸類，降低手動分類的麻煩。</p> <p>郭昱廷指出，這款文字OCR適用於名片、表格、文件、收據等，並已應用於微軟內部的報帳系統，另外，也在Azure平臺上提供預覽版本（Preview），供使用者下載。同時，這套收據OCR系統也持續擴增辨識語言，以供不同國家的企業使用。</p> <p><strong><span style="font-size:20px;"><span style="color:#FFA500;">微軟AI研發中心擴建，將鎖定電腦視覺、使用者意圖認知、AI垂直產業應用</span></span></strong></p> <p>隨著AI研發中心擴建，未來除了持續鎖定電腦視覺應用，還要發展使用者意圖認知和AI垂直產業應用。使用者意圖認知是要打造精準的使用者偏好模型，來開發更多貼近使用者行為的應用。郭昱廷表示，臺灣AI研發中心團隊目前進行的專案中，其中之一就是關於使用者意圖認知的Bing廣告預測。</p> <p>而AI垂直產業應用則是臺灣微軟AI研發中心的長期目標。施立成提到，有別於針對對AI投資規模最大的金融業，這次臺灣微軟要鎖定行政院5＋2產業創新計畫中的智慧製造、智慧醫療，發展工業4.0，同時也要結合臺灣硬體產業，發展AI生態圈。</p> <p>總統蔡英文也在席中表示，過去，只有專家才能接觸AI，而現在則大量應用於生活中，像是健康助理、商業分析等。她也指出，AI的發展除了靠技術，還靠想像力，而民主自由的臺灣人才，滿足這個條件。她期許微軟臺灣AI研發中心可成為下一世代的關鍵技術的重要推手。文◎王若樸</p> </div></div></div>
2019/9/27 17:18作者王若樸https://www.ithome.com.tw/news/133305
物聯網裝置攻擊頻傳，戴夫寇爾揭露中華電信數據機設置不當的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在我們身邊已經被視為理所當然的連網設施，若是潛藏漏洞，駭客便能用來為所欲為，用來做為進一步攻擊的跳板。在今年首度舉辦的DEVCORE Conference大會上的最後一場議程，是由戴夫寇爾資安研究員Orange Tsai（蔡政達）揭露了中華電信數據設備中，因配置不當而能被濫用的漏洞，經通報後，該電信業者已經透過韌體更新的方式，完成修補。</p> <p>Orange Tsai說，駭客的理想是「指那打那」，用許多人常常會拿鎖匠比喻駭客，就像是鎖匠沒有解不開的鎖，小至房門的喇叭鎖，大至總統府的保險箱，都能迎刃而解。現在的駭客想要貫徹上述目標，在全球任意發動攻擊，往往要透過團隊，甚至是國家的力量。Orange Tsai舉出了幾個相當經典的資安事件，包含了攻擊伊朗核電廠的Stuxnet震網病毒、遭史諾登揭露的美國國家安全局（NSA）稜鏡計畫，以及因NSA軍火庫外洩而造成災情的WannaCry，都是他認為只要駭客鎖定，就能得手的例子。</p> <p>不過，Orange Tsai指出，就算是單打獨鬥，限縮攻擊的範圍，駭客還是有機會達到上述目標。他認為，鎖定特定的地理範圍，並針對關鍵基礎設施下手，再加上廠商採用了不夠安全的設定等，綜合這些條件，便讓攻擊者有機可趁。例如，該公司的情資中心於7月底，偵測到大量使用者的電腦都開啟了3097連接埠，而引起他們的注意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DEVCOREconf19_OrangeTsai_3097.jpg" /></p> <blockquote><p>戴夫寇爾發現，開啟3097埠的TCP網路連線，只能由外部存取，而無法從內部網路使用。（攝影／周峻佑）</p> </blockquote> <p>怪異的是，上述的連接埠，只能接受從外部連入，而無法從內部網路存取，因此他們認為，這個現象來自電信業者於數據機上的配置所致。根據戴夫寇爾的統計，總共至少有25,000臺數據機存在同樣的漏洞，Orange Tsai表示，這還是他們在上班時段檢測的結果，由於許多人下班回到家才會上網，因此實際上受到影響的設備數量，應該遠遠超過這個數字。經過Orange Tsai的研究，找出了能夠下達任意指令的漏洞，攻擊者便能藉此控制數據機，進而滲透到內部網路，從中發動攻擊。</p> <h2><strong>從黑箱抽絲撥繭，發現能濫用命令注入的漏洞</strong></h2> <p>在找出能夠被濫用漏洞的過程中，Orange Tsai說，由於他並不曉得中華電信開啟這個連接埠的真正用途，因此從黑箱測試開始做起。首先，他連線到自己家裡的數據機，發現管理介面提供了名為SCRIPT的指令，能讀取設備裡的任意檔案，進而找到ROOT帳號的密碼。附帶一提的是，這組密碼極為容易被猜到，Orange Tsai表示，字串組合的複雜程度極低，類似一般人經常會使用的懶人密碼123456。</p> <p>得知能夠取得本地端數據機控制權的方法後，接下來就是要找出能從遠端存取的管道，Orange Tsai指出，他試圖找出設備3097埠介面上的弱點。透過NETSTAT指令，他找出開通3097埠服務的應用程式OMCIMAIN。想要反組譯卻發現，這個執行檔案大小接近5MB，而且採用的是MIPS精簡指令集架構，Orange Tsai說，由於最為常用的工具IDA Pro並不支援MIPS，他只能看組合語言了解實作細節，並且從功能實作的層面，尋找可能會被利用的漏洞。</p> <p>最後，Orange Tsai從整個執行檔的工作流程裡，找到名為FALLBACK的功能，這是OMCIMAIN對於不支援的指令進行處理的專用模組。而他發現，經由這個模組的命令注入（Command Injection）漏洞，攻擊者能夠下達任何指令──只要輸入不受系統支援的指令，再搭配？和＆字元，接上真正想要下達的命令，就能進行遠端控制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DEVCOREconf19_OrangeTsai_CHT_cmdinj.jpg" /></p> <blockquote><p>攻擊者想要遠端存取數據機3097連接埠的方法，利用的是命令注入攻擊手法，如圖所示的示範指令中，前面的nonexistent是不受管理介面支援的指令，並接上問號和2個＆符號，後方則是攻擊者想要窺探設備密碼資訊的惡意指令。（攝影／周峻佑）</p> </blockquote> <p>Oragne Tsai也展示了概念性驗證攻擊──先從批踢踢實業坊的使用者名單中，取得受害者的IP位址，並確認其3097埠能否存取，一旦發現可以連線，就下達指令，進而得到設備的ROOT密碼，以及有多少設備透過這臺數據機，存取網際網路。他也指出，經由這樣的漏洞，一般人鮮少會留意的數據機設備，變成駭客進入家中內部網路環境的管道，因此這樣的威脅，相當值得採用相關設備的業者，加以留意。</p> <p>而他們經由TWCERT/CC通報中華電信之後，該公司8月底就修補大部分的數據機，並在最近全數處理完成。Orange Tsai認為，這樣的因應速度可說是相當迅速，值得贊許。</p> </div></div></div>
2019/9/27 18:25作者周峻佑https://www.ithome.com.tw/news/133322
微軟揭露新的Nodersok無檔案攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/131742" target="_blank">繼今年7月公布的Astaroth</a>無檔案（fileless）攻擊行動之後，<a href="https://www.microsoft.com/security/blog/2019/09/26/bring-your-own-lolbin-multi-stage-fileless-nodersok-campaign-delivers-rare-node-js-based-malware/" target="_blank">微軟本周再公布新一波的Nodersok無檔案攻擊</a>，駭客同樣利用合法工具展開攻擊，目的是將受害系統變成代理人以執行點擊詐騙，估計已有數千台Windows電腦被纏上。</p> <p>狡猾的<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/fileless-threats" target="_blank">無檔案攻擊</a>使用各種離地攻擊（living-off-the-land）技術，藉由合法工具展開一連串的感染行動。</p> <p>Nodersok的開端始於使用者藉由點選或瀏覽惡意廣告，而下載與執行一個HTML程式（HTA），藏匿在該HTA檔案的JavaScript程式碼，就會自C&C伺服器下載另一個JavaScript檔案，接著下載內含PowerShell指令但被加密的MP4檔案，解密後利用PowerShell指令，來下載可關閉Windows Defender Antivirus的模組與其它模組，最後留下的是能把受害電腦變成代理人、基於Node.JS框架的JavaScript模組。</p> <p>微軟表示，Nodersok與<a href="https://www.microsoft.com/security/blog/2019/07/08/dismantling-a-fileless-campaign-microsoft-defender-atp-next-gen-protection-exposes-astaroth-attack/" target="_blank">Astaroth</a>一樣，感染鏈的每個步驟都只在合法的工具上執行，不管是機器內建的mshta.exe與powershell.exe，或者是自第三方網站下載的node.exe及Windivert.dll/sys，而伴隨這些腳本程式或Shellcodes出現的功能，都是以加密的形式出現，之後再行解密，並只於記憶體內執行，並沒有任何惡意的執行程式被寫入硬碟。</p> <p>假使去除Nodersok所借道的合法工具，那麼真正的惡意檔案只有一開始的HTA檔案、最後的JavaScript模組，以及大量的加密檔案。</p> <p>微軟是在今年7月中發現Nodersok攻擊行動，因偵測到mshta.exe的使用出現異常而展開調查。Nodersok主要鎖定美國及歐洲的一般消費者，只有3%的受害者為特定組織內的成員。</p> </div></div></div>
2019/9/27 16:25作者陳曉莉https://www.ithome.com.tw/news/133302