iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

給管理者的一門哲學課
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1010_zhe_xue_shi_zhi_chang_shang_zui_you_xiao_de_wu_qi_tu_pian_lai_yuan_ru_guo_chu_ban_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">如果出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商務人士學習哲學的優點之一，是「學習批判性思考的要領」這一點。因為整個哲學的歷史，可以說完全就是對世人言論進行批判性探討的歷史。</p> <p>哲學家面對問題，提出他們自認的答案：「會不會是這樣呢？」如果世人認為那個答案具有說服力，在一段期間內它就會成為世上的「經典」理論而普及開來。但是，後來現實發生了變化，經典理論看起來變得粗糙……，也就是說，它的回答無法精準地說明現實，或是無法妥善地處理現實的需要。於是，新的哲學家便會出來批判「那個答案恐怕不對吧？」而再提出別的答案。哲學的歷史就是靠著「提出想法→批判→再提出想法」這樣周而復始的脈絡形成的。</p> <p>那麼，為什麼這一點對商務人士很重要呢？因為在商貿上也應該具備批判性思考。面對變幻莫測的現實，商務人士必須批判性地重新審視當下的思考方式和應對，調整自己的應對態度，將過去運行順利的結構變更為適應現實變化的形式。以前，在英語中，企業叫做Going Concern，意思是「在永續的前提下經營的組織」，重點在於面對「環境的變化」「企業永續發展」，也就是說，企業成立的前提，是「不斷地在變化」。</p> <p>也許有人看到這段話會認為「這不是天經地義的事嗎？」若是如此，為什麼那麼多日本企業很難達到這個「天經地義」的概念呢？最大的重點在於「變化」一定「伴隨著否定」，在否定過往成立的思考方式、行動方式上，接受新的思考方式、行動方式。難的不是在「啟動」「新的思考方式、行動方式」，而是用批判的眼光掌握「舊的思考方式、行動方式」，讓它「結束」。先用批判性的眼光重新審視以往有效的「思考方式」，如果，它已經不能妥善地適應現實、無法精確地說明現實，就必須思索其原因，提出新的範本，這就是哲學家持續不斷在做的事。而學習哲學的好處之一，就是儘管探討的問題並不相同，但是卻能以知性的態度或頭緒，有意識地去批判、考察這種「無意識間規定自己行動與判斷的潛在前提」。</p> <p><span style="font-size:28px;"><strong>《反脆弱》的省思：「工程公司的木工師傅」與「大型承包商的職員」哪一種走得遠？</strong></span></p> <p>反脆弱是指「混亂和壓力反而使表現提高的性質」，用日語來體會感覺像是骨頭很硬，不過原書中用的是一個新造形容詞Anti-Fragile。不管怎麼樣，我們一般使用的詞彙中，沒有能那麼精準表現這種性質的詞。我們的語言，反映我們認識世界的框架，所以，在英語或日語中，都沒有直接意味「反脆弱」的詞。這也就暗示著，它是個全新的概念。</p> <p>一般我們把遇到混亂或壓力就立刻毀壞，或狀態變不好的性質，形容為「脆弱，即Fragile」。那麼，與它對立的概念是什麼呢？通常會想到的是「頑強，即Robust」。但是，真的是這樣嗎？這便是《反脆弱》作者塔雷伯思考的出發點。假如脆弱的定義是「混亂或壓力的升高導致表現低落的性質」，那麼與它對置的應該是「混亂或壓力的升高反而導致表現更好的性質」吧？塔雷伯將它命名為「反脆弱性，即Anti-Fragile」。塔雷伯這麼寫道：</p> <p><span style="color:#696969;"><strong>反脆弱性不只是堅韌或強固而已。堅韌可以抗拒震撼，保持原狀；反脆弱表現得更好，任何與時俱變的東西，例如進化、文化、觀念、革命、政治體系、技術創新、文化經濟的成就、企業生存、美食食譜（例如加一滴干邑白蘭地的雞湯，或者韃靼牛排）、都市的崛起、法律體系、赤道的熱帶雨林、細菌的抗藥性等，都具有這個特質。連我們作為地球上的一種物種的存在也是一樣。反脆弱性決定了人體這樣的活物、有機物、複合物，與桌上的釘書機等無機物之間的不同。</strong></span></p> <p>壓力或混亂或失誤反而提高系統整體的表現，這種說法也許很難想像。例如，所謂炎上行銷（譯注：透過負面新聞炒紅名氣的行銷），也可以叫做Anti-Fragile。說到炎上，對主角絕對是壓力吧，但是藉由壓力反而使得集客或集資表現更亮眼，這就可以說是「反脆弱的特性」。電影《華爾街之狼》裡，李奧納多．迪卡皮歐扮演的從失業者到年薪五十億日圓的證券經紀商，就是現實世界裡的真實人物喬登．貝爾福。在電影中，當貝爾福擔任金融經紀公司社長時，《財富》（FORTUNE）雜誌的報導是毀謗性的，貝爾福勃然大怒，他的妻子安慰他「There is no such Bad Publicity（這世上沒有「壞行銷」）」。沒想到因為這則毀謗報導，一大堆人跑來貝爾福的公司應徵，而且公司也開始爆發性地擴張。這也可以視為「因為壓力反而提高系統表現的例子」。人體也是這樣，身體有斷食或運動的「負荷」，反而會變得健康。所以，身體也可以視之為反脆弱的系統。</p> <p>塔雷伯非常重視「反脆弱性」的概念，是因為我們活在非常難預測的時代。如果風險能事先預測，那麼只要架個「頑強的系統」對付風險就行了。像是造個超級堤防來防範海嘯，但是做得到嗎？塔雷伯這麼說：</p> <p><span style="color:#696969;"><strong>研判某樣東西是否脆弱，遠比預測發生某件事可能傷害它要容易。脆弱性是可以衡量的，但風險則無法衡量（除了賭場，或是有些人自稱「風險專家」）。我所說的「黑天鵝」問題──我們不可能計算重大稀有事態的風險，並且預測它們是否發生。研判有些東西到底有多容易受波動傷害很容易處理，比預測是否會發生造成傷害的事件好著手。所以，我們建議顛覆現在的預測、預言和風險管理的方法。</strong></span></p> <p>「乍看之下脆弱，但其實是反脆弱系統」與「乍看之下頑強，但其實是脆弱系統」的對比，社會上隨處可見。例如，「有一手好功夫的工務店木工」與「大型承包商的綜合職員」，或是「阿美橫商店街」與「大型百貨公司」，「淑女腳踏車」與「賓士S系列」等。比較五萬日幣的淑女腳踏車，與一千萬日幣的賓士，我的看法是「後者比較脆弱」，很多人聽了會感到訝異吧。因為，會有此印象的前提，畢竟是在「系統正常運作的狀態」下。三一一日本大地震的時候，即使是在東京，交通網也完全癱瘓，筆者在辦公室附近買了一輛自行車，花兩個小時騎回三十公里外的家，但是靠汽車通勤的人，花了五倍以上的時間。</p> <p>那麼，將「反脆弱」套用在組織和職業上來思考，我們得到什麼啟示呢？</p> <p>首先，就組織理論來說，刻意的失敗十分重要。愈是處在壓力小的狀態，系統就愈脆弱，所以，隨時保持一定的壓力、施加自身不會瓦解程度的壓力，是重要的。為什麼呢？因為失敗會刺激學習，提高組織的創造性。</p> <p>同理也可以套用在職業理論的範疇。提到「金飯碗」，一般想到的都會是「大型都市銀行或綜合商社等在社會早有定評的大組織，只要進入這種機構，就能平安無事、也不會經歷重大失敗地飛黃騰達」。但是，這種職業真的如世人所說的那麼穩固不壞嗎？在我撰寫本書的二○一八年二月，大型都市銀行裁減人事的新聞引發社會譁然。從組織理論的專家來看，銀行的工作愈來愈往模組化發展，手續的規程也非常精練，所以最容易被機械所取代。若是在大組織工作，且一直待在裡面，那個人的人力資本（技術與知識）或社會資本（人脈、評價、信用）就幾乎都累積在企業之內。但是這個人一旦離開公司，這套人力資本或社會資本就會大幅縮減。也就是說，如果將人當成一個企業來考量，那個人的資產負債表在離開公司之後，便會變得極度「脆弱」。</p> <p>那麼，該怎麼辦呢？盡可能在年輕的時候累積多次失敗，多多進出各類組織或社團，分散人力資本和社會資本形成的地方，這些條件都十分重要。也許一個個組織或社團都很脆弱，但是重要的不是組織或社團的存續，而是該成員的人力資本、社會資本是否能留存下來。即使該組織或社團消滅了，若是曾經隸屬該處的成員之間，已經擁有信任，這個人的社會資本就能呈阿米巴狀分散且維持，不會縮減。</p> <p>將這個論點再往下推展可以得到，塔雷伯指出的「反脆弱」概念，讓我們領悟到過去思考的「成功模式」、「成功形象」都已被迫改寫了。如同前述，我們腦中的「成功形象」就是，自己盡可能找到「穩固」的組織或職業。但是，在現在這種難以預測，不確定性高的社會，愈來愈看得出，乍看「穩固」的系統其實非常脆弱。如何在自己所屬的組織或是自己的職業補強「反脆弱」，已經成為一大論點了。（註：《反脆弱》作者：納西姆．尼可拉斯．塔雷伯（Nassim Nicholas Taleb）美國作家，認識論者、獨立研究者。曾是數理金融學的實踐者。長年在紐約華爾街工作，是金融衍生商品的專家。之後成為認識論的研究者，著作有《黑天鵝效應》等書。）<span style="color:#696969;">（摘錄整理自本書第二章）</span></p> <p> </p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>哲學是職場上最有效的武器</strong></span></span></p> <p>山口周／著；陳嫻若／譯</p> <p>如果出版</p> <p>售價：420元</p> <p> </p> <p><span style="color:#3399ff;"><strong>作者簡介</strong></span></p> <p>山口周</p> <p>在電通、波士頓顧問集團工作過，參與以組織開發、人才培訓為專業的KORN FERRY獵頭企業公司。現在是該公司資深客戶合夥人。專業為革新、組織開發、人材／領導人培育。同時也是Mobile Factory股份公司的獨立董事。</p> </div></div></div>
2019/10/10 09:00未署名https://www.ithome.com.tw/article/133414
生活工場重返電商的關鍵，靠IT創新和新制實現虛實商城整合
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年，許多線下實體零售業者紛紛搶進電商市場，臺灣生活居家品牌商生活工場也不例外，早在2006年，不僅在本土大型網購平臺上開網路分店，生活工場資訊部還一手開發了一套官方電商平臺，雙軌並行，「但，短命，只營運了一年，便全面關閉電商平臺。」生活工場資訊部經理張誠祥坦言。生活工場第一次電商轉型跌了一跤，但回歸實體世界發展了十年，再次走到轉型的十字路口，決定從跌倒之處站起來，再出發。</p> <p>張誠祥談起當年的挫折，他認為，那時仍處於實驗摸索階段。當時，電商還不盛行，資訊部參考電商龍頭的平臺架構，設計網頁版面的形式，業務流程也依循其模式開發，然而，電商運作模式仍未成熟，團隊也不懂如何打造電商生態。張誠祥指出，發展電商須要的資訊技術已經到位了，但團隊欠缺營運電商的思維，像是為小量的商品設計適合的包裝。尤其餐飲器皿是生活工場的主力商品，像是馬克杯都裝於9宮格的大型紙箱裡，配送至門市，再一一拿出上架。</p> <p>沒有適當的包裝，商品在運送過程中，時常受損，導致退貨比例極高，衍生了可觀的成本，緊接著，2008年受全球金融海嘯的衝擊，對生活工場無疑是雪上加霜，大環境逼使其全面退出電商市場。</p> <p>生活工場於2008年時，不僅關閉了自營商城，也將商品從購物網站下架，只專注經營實體門市。張誠祥表示，第一次拓展電商市場的慘痛經驗，使生活工場在過去這10年間，不曾再提起電商業務。</p> <p>直到2017年，生活工場進行轉型工程之時，電子商務的議題才再度出現在高層會議。由新加入的外部投資者，帶來熟悉電商平臺的人員，為其注入電商營運的新概念。張誠祥表示，他們打破過去傳統的思維，電商並非只靠背後的資訊系統，就可撐起，經營電商還需整合線下資源。時隔10年，生活工場決定重回電商市場。</p> <p>生活工場於同年10月，再度將商品上架購物商城，揭開其電商業務的第二篇章。接著依序加入不同的商城，目前共串接了5家購物平臺。電商通路各有自身的系統，因此每一家的上架規則都不同，生活工場需為每一個通路，設計串接機制，成為資訊部的一大挑戰。</p> <p><span style="font-size:28px;"><strong>商品上架5大電商通路，需串接各家API，開發加密機制是考驗</strong></span></p> <p>生活工場需將ERP系統與通路的上架系統串接，以執行三個核心資訊的交換作業，分別是商品上架、訂單接收和出貨通知。第一步，需搭配加密驗證，串接API，因每一個通路的加密機制有差異，需要不同的配套元素，張誠祥說明，有的需要雙重加密，有的需綁定IP位址，有的則需要權杖驗證。</p> <p>他花了不少時間，親自研讀各種實際的加密範例，再整合資訊，經過不斷的嘗試，以及與廠商反覆溝通，花費約一個半月的時間，才順利開發第一個通路的加密機制，完成該通路的API串接工程。同時，他記錄下所有收集到的加密公式資訊，並將可行的原則模組化，成為日後串接其他平臺的參照手冊。</p> <p>後續串接其他通路的API，張誠祥依各平臺的需求，選擇適用的加密法，開發客製的機制，串接工程也從1個半月的時間，縮短至兩周，甚至幾天便可完成。他形容，開發加密程式的過程，就有如玩電玩遊戲破關，會遇上卡關的情況，像是曾因程式裡一個多餘的空白鍵，卡關了一個月。</p> <p>第二步，張誠祥依照各通路上架欄位的需求，串接ERP系統中，對應需求的欄位，然而，購物商城提供的上架文件，資訊有限，需一個一個欄位分別串接，並與業者反覆溝通，才可依規格執行。</p> <p>熟悉電商平臺的新團隊進駐後，以純電商的思維，協助生活工場拓展電商業務。如同許多零售同業，以線上導線下的模式，由線上主導營運，張誠祥表示，線下街邊門市扮演著支援、配合的角色。然而，這樣的模式忽略了生活工場的根基，那就是在第一線與客戶接觸的實體店面。</p> <p>門市人員不僅需替線上訂單準備商品，也需站在第一線，提供線上訂單商品售後的服務，但是，當時的制度將該筆訂單的業績歸屬於公司，缺少整合線上線下商城的機制，門市無法獲得相對應的報酬，導致成效不彰。且生活工場無法掌握電商通路訂單的消費者資訊，因電商通路以自有的會員機制處理訂單，使生活工場無法發揮會員機制的效益，收集會員的消費行為。</p> <p><strong><span style="font-size:28px;">官方線上商城重新開張，各門市有專屬商城，再加上分潤機制，讓線上業績回歸線下</span></strong></p> <p>重新整頓，第3度出發。去年4月，生活工場開始考慮使用開店平臺架設商城，時隔3個月，這個平臺於7月重新開張。生活工場決定重新開設自有線上商城，就是為發揮實體店面，不管是街邊店或百貨專櫃的影響力，實現線上線下整合。除了有官方線上商城，生活工場也為各門市架設自有商城網頁。</p> <p>消費者走進生活工場門市，會在看板上、型錄上或商品標價牌上找到QR Code，不同於使用搜尋引擎，搜尋進入的生活工場官方商城頁面，掃描門市QR Code，會進入門市專屬的電商頁面。消費者於門市專屬電商頁面消費，產生的訂單業績就會歸屬該門市，實現線上線下整合。</p> <p>消費者尤其可在家具上，看到帶有QR Code的標價牌，張誠祥解釋，因該類商品多屬大型物件，選購這類商品的消費者，需要較長的時間思考，回家確認尺寸，才會下單購入該商品。同樣地，消費者在家連結到稍早拜訪門市的頁面，完成下單，該筆線上訂單的業績就會回歸該門市。</p> <p>最重要的是，生活工場建立了電商業務的分潤機制。當訂單進入ERP系統時，系統會抓取分店的代碼，以分辨該訂單的業績，應歸屬於何家門市。業績歸屬最後承接該筆訂單的店，張誠祥說明，交貨予消費者的門市獲得，比如說，於甲店網頁下單，乙店取貨，業績就歸屬於乙店。</p> <p>內部推行線上線下整合，並不容易。張誠祥回想初期推展官方商城，他表示，過往線上業績一律歸屬公司，門市人員因而對電商業務有排斥心理，他笑言，最難溝通的不是客人，而是自己人，需要讓同仁了解電商策略的轉變。</p> <p>門市自有商城頁面，以及電商業務的分潤機制，雙管齊下，推動線上線下整合。經過三個月的推行，逐步有線上訂單業績，轉由現下實體門市獲得的案例產生，他表示，門市人員才慢慢接受線上線下整合的策略。而自有商城也可與自身會員系統串接，發揮會員機制的效益，以掌握會員的消費行為。</p> <p>再度開啟自營商城，生活工場並沒有如2006年時，自行開發第二代商城，而是採用開店平臺架設。張誠祥解釋，生活工場的核心系統皆已運行超過20年，所用的技術老舊，無法支援現今橫跨桌機與手機的電商模式，短期內，無法即時翻新系統，所以使用開店平臺開發，以跨平臺。</p> <p>不過，開店平臺有自身的營運邏輯和設定模式，「有些可以相容，有些則無法，會水土不服。」他指出。特別是生活工場有自己的一套促銷邏輯，同時牽涉5種商品售價級別，包含正常品、特價品、促銷品等，以及2種會員級別，極為複雜，比如說，不同售價級別依會員等級，有不同的售價、點數，以及可折抵的點數比例。</p> <p>目前沒有任何一家開店平臺，可完全吻合生活工場的需求，以調整參數值和勾選的方式，設定促銷機制，張誠祥表示，只能從中挑選最符合需求的平臺。該平臺提供欄位，讓生活工場控制數值，但，需每天手動輸入數值，因此張誠祥指出，未來一定會轉而自行開發商城。</p> <p><span style="font-size:28px;"><strong>為庫存量設計虛擬切割機制，解決電商串接時間差痛點，以防超賣</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:330px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-941%20CIO(%E7%94%9F%E6%B4%BB%E5%B7%A5%E5%A0%B4)-350.jpg" style="width: 330px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:22px;"><strong>生活工場資訊部經理張誠祥表示，庫存量的虛擬切割機制，加上每日動態調整通路配額，從源頭管理，可確實掌握需求，防超賣或缺貨。</strong>　</span>（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>重回電商市場，生活工場原80家實體門市的市場版圖，增加了5家電商通路，還有自營官方商城，庫存資訊流的管理，成了資訊部的一大挑戰。生活工場與每一個購物商城交換資料的時間點不同，產生了時間差，使庫存資料無法即時更新，造成超賣的狀況發生。張誠祥花了許多精神調整，首先，縮短時間差，從原先每個小時交換一次資料，縮短為每10分鐘一次。</p> <p>雖縮短了資料交換的間隔，庫存卻仍無法達到同步更新的狀態，為解決此痛點，張誠祥設立了一套庫存管理機制，稱之為虛擬切割，每項商品都會為所有的外部電商平臺，保留獨立的件數。譬如某項商品總庫存數為1千件，該機制會從中分配1百件，作為電商的專屬庫存數量，這時門市看到的總庫存會僅為9百件。</p> <p>之所以稱為虛擬切割，張誠祥說明，因倉庫不需依照門市與電商平臺的分配額，實際拆分兩者的商品數量。倉庫收到出貨單時，直接從總庫存區出貨即可，換句話說，商品的分配件數，只會顯示於系統中。</p> <p>此外，各電商平臺及各門市也有分別的商品虛擬切割額。商品上架前，生活工場會視通路的性質，包含規模大小、地點等因素，以及各通路消費者的輪廓，像是性別、年齡層等屬性，設定影響商品銷售的參數，以決定商品於各通路的分配比例。為防長期持有商品，該機制每日重新計算各通路的配額，進行動態調配，並每日自動為各通路補齊商品件數，達滿水位，確保商品的貨源充足。從源頭管理，張誠祥認為，這並非聰明的作法，但可確實掌握各通路的需求，防止超賣或缺貨的情況發生。</p> <p>生活工場順利重返電商市場，更靠IT創新和新機制，緊密整合虛實商城，然而，生活工場的系統皆已運行逾20年，舊IT架構無法因應許多新需求。骨灰級的系統雖穩定，但張誠祥指出，對未來有很大的限制，也不易找到工程師維護，需重新檢視並翻新。如何改造現有的IT架構，以及找尋適合的IT人力，是張誠祥下一階段的挑戰。</p> <p> </p> <p><span style="color:#3399ff;"><strong>CIO小檔案</strong></span></p> <p><strong>張誠祥　生活工場資訊部經理</strong></p> <p>學歷：淡江大學電機系</p> <p>經歷：學生時代即在生活工場的門市打工，畢業後，於1994年，正式加入生活工場，擔任門市店長，而後，升任營運部督導，於1999年進入資訊部門，負責開發進銷存系統，2002年升任資訊部課長，現擔任資訊部經理，近期，專注以IT整合實體店面和線上商城的業務。</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>生活工場</strong></p> <p>● 地址：新北市汐止區新台五路一段112號17樓</p> <p>● 網址：<a href="http://www.workinghouse.com.tw">www.workinghouse.com.tw</a></p> <p>● 成立時間：1994年</p> <p>● 主要業務：生活雜貨零售</p> <p>● 員工數：約400人</p> <p>● 資本額：3億元</p> <p>● 年營收：10億元（2018年）</p> <p>● 董事長：林來順</p> <p>● 總經理：王慶輝</p> <p><span style="color:#3399ff;"><strong>資訊部門檔案</strong></span></p> <p>● 資訊部門主管職稱：資訊部經理</p> <p>● 資訊部門主管姓名：張誠祥</p> <p>● 直屬主管：資深副總</p> <p>● 資訊部門人數：約6人</p> <p>● 資訊部門預算：600萬元</p> <p>● 資訊部門分工：資訊進銷存系統開發維護、物流倉儲系統開發維護、伺服器系統設定維護、網路設備監控、門市POS及多媒體設備維護</p> <p><span style="color:#3399ff;"><strong>IT大事記</strong></span></p> <p>● 1994年：導入POS系統</p> <p>● 1995年：導入ERP系統</p> <p>● 2000年：網站版ERP系統上線，新增進銷存功能</p> <p>● 2005年：導入需求預測應用技術（CPFR）系統</p> <p>● 2006年：進軍電商市場，自行開發的電商平臺上線，商品也上架購物商城</p> <p>● 2008年：全面關閉電商平臺</p> <p>● 2009年：B2B平臺導入工商憑證</p> <p>● 2017年：重返電商市場，商品再度上架購物商城</p> <p>● 2018年：自營電商平臺重新上線，推動電商業務的門市分潤機制</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1010-941_ciosheng_huo_gong_chang_-960.jpg" width="960" height="420" alt="" title="生活工場資訊部經理張誠祥（攝影／洪政偉）" /></div></div></div>
2019/10/10 09:00作者黃郁芸https://www.ithome.com.tw/people/133429
【卷積神經網路之父Yann LeCun如何走出二次深度學習寒冬？】30年前過氣老論文，為何能催生革命全球的CNN框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過氣30年的老理論，能不能變成顛覆世界的新趨勢？CNN之父Yann LeCun一定會說，能！因為他在1989年發表的全球第一個CNN框架LeNet-5，就是源自1950、1960年代的理論，但是，採取了全新的視野，反而掀起了現代深度學習的新革命。</p> <p>約1970年晚期，當時在巴黎高等電子工程師學校就讀大二的Yann LeCun，偶然讀到一本書，提到了皮亞傑（Jean Piaget）研究的機器學習模式「感知器」（Perceptron），「這是我第一次接觸到機器學習的概念。」他回憶。</p> <p>這類機器學習理論起源，可以追溯到1950年代。當時，Frank Rosenblatt運用mcCulloch-Pitts人造神經元（Artificial neuron），仿效人類大腦的生物結構，在1957年創造出感知器神經網路。由於人腦是由神經元連結構成的大型網絡，感知器模型也是立基於這個概念，以人造神經元來建構類神經網絡，透過相對簡單的運算單元，來計算輸入（input）的權重總和，並且通過修改神經元之間的連結來進行機器學習。</p> <p>Yann LeCun比較，傳統機器學習的典範是建立一個特徵提取器（Feature Extractor）抽取特徵，再建立可訓練的分類器（Trainable Classifier），比如感知器模型，「這是一種單層神經網路的模式。」</p> <p>後來，機器學習的典範改變了，從單層神經網路，發展到了多層神經網路架構（multi-layer）的深度學習。深度學習的多層神經網路設計中，可以指定每一層神經網路學習不同的特徵，如第一層負責從圖像的單個像素學習線條的走向、第二層結合第一層來學習識別簡單形狀，每提高一層就學習更多特徵。</p> <p>Yann LeCun表示，因為感知世界的本質，就是由多個細節元件組合而成，比如物體可拆分為數個主要部分，主要部分由次要部分所組成，次要部分又能解構為多個基本物件，基本物件由邊緣組成，邊緣又包含許多像素。因此，如果想要辨識影像中的汽車，可以先偵測是否有圓形物體，推論出可能有輪胎或類似的東西，一層層判斷特徵再做決策，「這就是所謂的深度學習。」</p> <p>「但，為何多層神經網路的概念早就出現，卻沒有發展？」Yann LeCun自己的答案是，人們選錯了「神經元」來發展神經網路，早期的二元神經元（binary neuron）因為不需用到乘法而容易執行運算，但也阻止人們聯想到運用梯度模式來發展多層神經網路的訓練方法。直到1986年，深度學習之父Geoffrey Hinton等人提出「反向傳播算法」（Backpropagation）來訓練多層神經網路，才讓深度學習的研究重新復甦。</p> <p>但是，當還是大學生的Yann LeCun對此產生興趣，開始尋找些文獻來閱讀時，機器學習迎來了第一次寒冬。</p> <p><span style="font-size:28px;"><strong>鑽研多層神經網路，在1989年提出首個CNN框架LeNet-5</strong></span></p> <p>「機器學習重新受到關注後，看著那些舊論文，我最感興趣的是，如何訓練多層的神經網路？所以，我開始朝這個面向研究。」Yann LeCun在多倫多大學擔任博士後研究生時，直接拜師Hinton，從事深度神經網路的研究，接著在1988年，進入了貝爾實驗室的自適應系統研究部門，不久後就發表了經過反向傳播訓練的首個CNN框架LeNet-5，不僅是深度學習最基礎的框架之一，也驗證了CNN架構的可行性。</p> <p>Yann LeCun提出的CNN框架LeNet-5，運用了大腦視覺皮層神經元結構，以及K.Fukushima在1980年代提出的神經網路Neocognitron的概念。LeNet-5在不含輸入與輸出層的前提下，總層數有6層，分別為C1卷積層、S2池化層、C3卷積層、S4池化層、C5卷積層、F6全連接層，再輸出結果。儘管層數不多，但其中的卷積（Convolution）、池化或子採樣（Pooling or Sub Sampling）、全連接層（Fully connection），都是現今CNN模型的基本元素。</p> <p>當年，Yann LeCun將LeNet-5框架用來建立了一個能辨識手寫文字的技術。這個技術在1994年被NCR公司（ATM設備大廠之一）應用在支票識別系統中，全盛時期，美國10％至20％的支票的判讀，都用到了這個技術。</p> <p>Yann LeCun屢屢提到當年深度學習如何走出第一次寒冬的關鍵，他認為，實證經驗可以證明新科技的有效性。例如，深度學習的神經元觀念就來自生物學對大腦研究的實證經驗，但是，實證經驗往往發展太慢又太昂貴，「建立理論，可以讓我們修剪經驗的摸索空間，避免遙不可及的目標（例如永動機），有時理論甚至可以幫我們預測現象。」</p> <p>可是，一度成為全球金融交易的關鍵技術、死灰復燃的深度學習，卻又再次碰壁！到了1990年代末期，深度學習的研究再次沒落。</p> <p>Yann LeCun認為，造成機器學習進入寒冬有4大因素。首先，是硬體資源難以進行浮點運算，光是訓練一個字符辨識模型就要花費兩周時間；再者，是缺乏訓練資料，除了字符和語音資料之外，沒有其他的大型數據集；第三，則是沒有實用的軟體開發工具，都必須從頭開始建立；最後，則是沒有開放資料、開源框架的概念，導致研究進程緩慢。</p> <p>甚至，Yann LeCun自己跳下來，開始設計AI專用的加速晶片硬體，從1986年發表的12x12陣列處理晶片，到1992年的ANNA晶片，已經可以加速運算64x64層網路的CNN訓練。不過，深度學習研究的進展依然緩慢，學界也不看好。</p> <p><span style="font-size:28px;"><strong>堅持深度學習研究，用十年寒冬奠定影像辨識基礎</strong></span></p> <p>在其後十年間，Yann LeCun仍不放棄，持續研究CNN的框架，從理論和實證來尋找新的突破點。在1993年到2005年間，Yann LeCun用CNN模型來偵測影像中的多個人臉或行人；而在2000年代中期，也用來開發能偵測障礙物的自駕小車，不僅標註出攝影機畫面的每個像素可否行駛，來訓練模型，也運用立體視覺系統，來標記更大範圍的影像，藉此來規劃長途行進路線，在閃避障礙物的同時，也維持大方向行進路線不變。</p> <p>約在2009、2010年時，Yann LeCun將CNN模型部署到硬體設備FPGA晶片中，在訓練資料中標註出道路、人行道、建築物、樹木、汽車、行人等所有物體，以每秒20幀的速度進行影像辨識，並在紐約大學中測試，初步實現了自駕車的技術架構。「當時運用的技術，與現今許多自動駕駛系統使用的技術，本質上很相似，都透過量測與障礙物的距離來閃避。」</p> <p>最終讓深度學習重獲大眾目光的轉折，發生在2012年，Yann LeCun的同門師弟Alex Krizhevsky、Ilya Sutskever在Hinton帶領下，使用Nvidia的GPU，來訓練同為CNN架構的AlexNet影像辨識模型，一舉拿下ImageNet的冠軍，正確率更超過第二名將近10%。因為硬體的進步與技術的成熟，深度學習再次復甦，應用也更趨多元，「比如語音辨識系統，從原先完全不使用神經網絡，在短短幾年內就幾乎都已經採用。」</p> <p>在這之後，研究者也開始增加CNN框架的層數，來增加辨識準確率。若以ImageNet資料集，來測試運用不同框架所訓練的模型的誤判率，可以發現8層架構AlexNet所訓練的模型，影像辨識的誤判率有16.4%，但用19層架構的VGGNet來訓練，誤判率只剩7.3%，22層的GoogleNet則是6.7%，而層數急遽上升到152層的ResNet，誤判率更是降至3.6%，說明了層數越多，可能達到更高的正確率。</p> <p>接下來的故事，大家都很清楚了，現在不只百層，結合了雲端運算和各種AI專用晶片，上千層的運算都做得到。舉凡醫療影像分析、自駕車、臉部辨識、語言翻譯、語音助理、遊戲、資安、科學研究等領域的各式AI應用大量出現。</p> <p>但是，如此威力強大的深度學習，距離具有常識能力的「AI」有多遠？<a href="https://www.ithome.com.tw/news/133431" target="_blank">這就是Yann LeCun在ICIP開講要揭露的事。</a></p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/news/133430
10個QA快速了解自監督式學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>59歲的臉書首席AI科學家Yann LeCun，從大二第一次接觸到機器學習點燃好奇心之火至今，大半輩子都投入了這個領域，也在機器學習、計算機視覺、移動機器人和計算神經科學等領域都有許多貢獻。其中最為人知的是，他在1989年任職貝爾實驗室期間，<a href="https://www.ithome.com.tw/news/133430" target="_blank">發表了卷積神經網路（CNN）框架LeNet</a>，奠定了日後深度學習的基礎架構，因此，他也被稱為CNN之父。</p> <p>就算幾度面臨深度學習領域的寒冬，Yann LeCun仍不斷從事研究、發表論文，甚至自己動手設計卷積神經網路專用晶片，試圖想解決當年硬體效能不足的問題。直到2012年，ImageNet競賽使深度學習重回主流舞臺，他的貢獻也才重新得到肯定。</p> <p><a href="https://www.ithome.com.tw/news/133431" target="_blank">Yann LeCun再次來臺開講，揭露對深度學習未來發展的觀察和預測</a>，全場爆滿，結束後的講臺上仍聚集了大批學術粉絲和聽眾輪番提問。我們從演講、會後提問和採訪中，整理出10個問題，可以快速了解他力推的自監督式學習。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q1 </span></span> <span style="color:#800000;">為何要將非監督式學習稱為自監督式學習？</span></strong></span></p> <p>如果你告訴媒體，這是用非監督式學習（Unsupervised Learning）訓練的模型，不熟悉科技的人可能誤以為，「天啊！機器不受控制，會自己訓練自己！」我認為，應該用更精確的詞來稱呼，也就是「自監督式」學習。</p> <p> </p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Q2 </span></strong></span> <span style="color:#800000;"><strong>自監督式學習、監督式學習和強化學習，三者有何不同？</strong></span></span></p> <p>可以用蛋糕來比喻三種方法的預測能力，強化學習能預測的資料最少，因為它是為了獎勵，才能做出少量正確的預測，就像蛋糕上的櫻桃。而監督式學習的預測資料量，取決於人類提供的標記資料，一個樣本能回饋10到1萬個位元（Bits）不等的訊息，像是蛋糕的表層。</p> <p>但是，自監督式學習是，給多少資料就有多少資料能觀察，一個樣本能產生上百萬個位元的預測回饋，就像整個蛋糕本身，這是其他學習方法不能及的。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q3 </span></span> <span style="color:#800000;">自監督式學習有的預測方式有哪些？</span></strong></span></p> <p>自監督式學習，是觀察現有訓練資料中的任何部份來學習，再去預測未知的部份，且不仰賴人類給定的標籤。可以進行的預測包括：從過去的資料預測現在或未來、從近期的資料預測未來或過去、或從同一時間下的其他資料預測缺失的部份等。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q4 </span></span> <span style="color:#800000;">為何自監督式學習有機會讓AI具備人類常識能力？</span></strong></span></p> <p>一般稱呼具備人類常識的AI模型為Artificial General Intelligence（AGI），但我認為，人類能擁有常識是非常特別的事，一點也不平凡，所以，我更偏好稱呼它為Human Level Intelligence。</p> <p>舉例來說，雖然只有一句簡短的話：「John拿起他的書包並離開會議室。」但你可以從這幾句話中了解到大量的信息，比如，John應該站了起來並拿起書包，接著，他走向門、打開門離開會議室，此時，會議室就不會有John這個人，因為他不會同時存在於兩個地方，這是屬於物理世界的約束。人們能透過常識來判斷這些隱性資訊，常識使我們能填補空白。也就是說，自監督式學習能從許多的物件、行為等背景知識，來學習整個世界運行的方式，進而運用已知的常識來預測未知。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q5 </span></span> <span style="color:#800000;">自監督式學習的研究目前有哪些進展？</span></strong></span></p> <p>自監督式學習目前在自然語言處理（NLP）的應用頗有成效。比如去年Google對外開源了用於自然語言預訓練的新技術BERT，能在一個挖空15%內容的句子中，預測字彙並補上這些句子的空白。除了NLP，圖像的填空是更具挑戰性的任務，但現在也已經能夠過拼圖與著色問題的解法來預測。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q6 </span></span> <span style="color:#800000;">你自己有何成果？</span></strong></span></p> <p>我研究自監督式學習最主要的動機，要找到讓機器學習更像人類或動物學習的方法，所以，對應用層面的研究較不感興趣，反而是專注於找出一套原則，能讓機器變得更聰明。</p> <p>在研究方面，臉書已經將自監督式學習運用到對話領域。你若看過電影Her，就知道這部電影是在描繪人與虛擬語音助理之間，可能產生的互動模式。虛擬語音助理要能順暢地與人類溝通，就必須要學習人類認知的方式，可能還需要能理解人類想法、甚至猜到你要說的話。</p> <p>其他研究，包括靠自監督式學習讓自駕車可以預測周遭車輛的未來動向，來決定下一步的行駛軌跡，或是透過肌肉運動來預測接下來的手臂動作。雖然現在的科技，距離電影情節的實現還很遙遠，但，這是一個我們嚮往的藍圖。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q7 </span></span> <span style="color:#800000;">自監督式學習會領導機器學習的未來發展嗎？</span></strong></span></p> <p>這是我所希望的，但現在只是假設。</p> <p>我們現在已經具備的AI技術，包括更安全的自駕車、更精準的醫療影像辨識、個人化藥物配置、適當的語言翻譯、實用但不聰明的聊天機器人、資料檢索與過濾，還有其他如能源、金融、製造業、環境保護、商業、法律、藝術創作、遊戲等場景的應用。</p> <p>現今的深度學習方法，雖能帶給人類許多新科技應用，卻無法創造出「真正的」人工智慧，也就是具備常識、聰明、敏捷且靈活的AI。自監督學習可能是實現這個理想的第一步，甚至未來發展出具備人類常識的機器人，走到強人工智慧的階段。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q8 </span></span> <span style="color:#800000;">AI的不可解釋性會成為深度學習發展的挑戰嗎？</span></strong></span></p> <p>對於特定需要解釋性AI的應用來說，這是一個挑戰，比如運用AI來做合法、正義的決定，就必須了解決策背後的原因。但我認為，這只是人們用來重複說服自己的方法，絕大多數的應用並不需要解釋，而且很多時候，人自己也無法解釋。</p> <p>試想有一套決策系統，提出了兩個建議，一個是正確性80％的可解釋性建議，另一個是正確性95%的不可解釋性建議，若你是研究員，會如何選擇？我相信，絕大多數的人會選擇正確率更高的決策，而非過度在意其解釋性。</p> <p>再舉個例子，阿斯匹靈是世界上服用人數最多的藥，經過白老鼠到人體試驗來證明藥效後，廣泛使用在藥物治療上，但直到1970年代，我們並不了解為何它能治病、如何在體內運作。換句話說，就算AI缺乏解釋，只要能全面的驗證其有效性與可靠性，仍然可以被使用。不能只追求AI的解釋性，卻忽略其可用性。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q9 </span></span> <span style="color:#800000;">為何你會決定投入神經網絡的研究？</span></strong></span></p> <p>當我還是個電子工程系的大學生，我就著迷於人類擁有智慧（Intelligence），1970年代晚期，我偶然看到一本哲學書，關於語言學家喬姆斯基和兒童心理學家皮亞傑的辯論，「從人的語言機制和語言習得角度來探討兒童發展問題」，才得知皮亞傑一直在研究感知器（Perceptron）模型。</p> <p>這是我第一次接觸到深度學習的概念，已是感知器（Perceptron）提出十幾年後。當我開始閱讀1960年代的文獻時，機器學習就進入了停滯期，只剩下一些日本等國學者還在研究。1980年代，機器學習重新受到關注，看著那些舊論文，我意識當時多層神經網絡的演算法被忽略了，所以，我開始朝這個領域展開研究。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q10 </span></span> <span style="color:#800000;">為何選擇進入臉書而不是其他企業？</span></strong></span></p> <p>因為臉書是一家非常開放的公司，給我從頭開始創建研究實驗室的自由，就技術而言，臉書基本上沒有秘密，大部分技術都已開源釋出，甚至連基礎建設的設計都已開源，這是其他公司無法做到的。比如在Google，會規畫出研究領域的大方向，而在Amazon或Apple更不可能，因為它們是非常秘密的企業。</p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/news/133433
【突破深度學習的侷限，AI下一波革命就在SSL】CNN之父看AI未來
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/941-feng_mian_gu_shi_-1_open-960x420.jpg?itok=V_xJI-fS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經兩次寒冬，AI打著深度學習的旗號在2006年重獲關注，近年來爆炸般的應用更席捲全球，但要發展出人類常識模型仍是遙不可及的目標。深度學習的未來該怎麼走？CNN之父Yann LeCun有答案</p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/article/133436
白首太玄經
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/133436" target="_blank">10月第一周，我們製作的封面故事是探討深度學習</a>，恰巧最近在閱讀<a href="https://www.ithome.com.tw/article/131218" target="_blank">《人工智慧在台灣：產業轉型的契機與挑戰》</a>，先前也在一場研討會上，聆聽該書作者之一：陳昇瑋博士的演講，他談到了人工智慧的發展，歷經了符號邏輯、專家系統、機器學習，總共有三波大浪潮。</p> <p>根據他的介紹，人工智慧的第一個階段，是把人的思考邏輯放進電腦；到了第二個階段，是把人的所有知識放進電腦；而在最近的第三個階段，是把人的所有看見放進電腦。這樣的過程，似乎可以跟數位化技術在不同時期的發展，彼此對應。就像早期的數位化，重點在於程式化（Programmability）、資料化（Datafication）；到了80年代、90年代，資料倉儲、知識管理、決策支援系統、商業智慧開始興盛；而這10年來，方興未艾的大數據、機器學習，又帶動了新的數位化浪潮。或許是因為這樣的緣故，企業近期所關切的數位轉型，通常也會牽涉到機器學習、人工智慧。</p> <p>在前兩個階段，後來的發展面臨到一些挑戰，因為人雖然能夠透過寫下決策邏輯、經驗法則的方式，讓電腦來進行相關的處理，但很多問題之所以難以解決，關鍵在於，人只是血肉之軀，並非全知全能，人有自身感官與認知的限制，對於各種事物的來龍去脈，不一定能夠完全清楚理解，也無法寫成規則，因此，即使發展成專家系統，所能解決的問題類型還是很有限。</p> <p>而機器學習之所以能夠突破這樣的困境，某種程度而言，我認為是解耦了由人來制訂規則的這個環節，陳昇瑋在這本書第二章〈機器學習一次看懂〉也特別針對這點提出比較，並以圖解的方式，進一步呈現專家系統、傳統機器學習、深度學習之間的差異。而且，書中也提到，深度學習之所以有別於其他機器學習的方法，在於能否「自動」進行特徵工程（Feature Engineering），找出比人為定義更好的衍生變數，以及預測力更強的特徵。因此，若以深度學習來面對非結構化資料，在資料量足夠的情況下，可提供較佳的解法。</p> <p>看到這裡，不禁讓我想到金庸小說《俠客行》的情節。書中主角迭有奇遇，自不在話下，但因為他天真、不諳人情世故，在各種因緣的半推半就情況下，陰錯陽差學到許多武功，到了最後，更因不識字而破解了俠客島圖譜隱藏的武功祕密。相較之下，故事中有許多經驗豐富的江湖老手，都受限於自己的認知，頻頻與這些奇緣擦肩而過，而不像主角履險如夷，甚至有許多人為了要參透圖譜祕密，投入多年時間苦思苦練，卻不曉得搞錯方向，因為想要精通這些武功的訣竅，並非是旁邊的文字註解……。</p> <p>當然，這個故事並不能完全類推到深度學習技術的發展歷程，因為大家過去的努力並不是白忙一場。如果當初沒有人持續提出解題的方法，以及運算、儲存、網路技術的突飛猛進，讓我們以更合理的成本取得產生、儲存、處理大數據的能力，或許至今還沒有辦法達到這樣的科技進展。</p> <p>此外，面對人工智慧的進步與普及，我們不得不體認到人類的渺小與有限的能力，因此，擔心自身職能是否會被取代，希望可以儘快學習妥善運用的方法，找尋自我定位。同時，在這樣的技術浪潮下，也提醒我們要正視自我成見的桎梏，面對世代的傳承與技術的更迭，應採取更開放的心態，不讓過去有限的經驗拘束我們未來發展的可能性，也許就有機會克服更多過去無法處理的困難。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/yann-lecun">Yann LeCun</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7">人工智慧</a></div><div class="field-item odd"><a href="/tags/%E5%8D%B7%E7%A9%8D%E7%A5%9E%E7%B6%93%E7%B6%B2%E8%B7%AF">卷積神經網路</a></div><div class="field-item even"><a href="/tags/cnn">CNN</a></div><div class="field-item odd"><a href="/tags/%E8%87%AA%E7%9B%A3%E7%9D%A3%E5%BC%8F%E5%AD%B8%E7%BF%92">自監督式學習</a></div><div class="field-item even"><a href="/tags/self-supervised-learning">Self-supervised Learning</a></div><div class="field-item odd"><a href="/tags/ssl">SSL</a></div></div></div>
2019/10/10 09:00作者李宗翰https://www.ithome.com.tw/voice/133437
Booking.com疑似個資外洩非單一案例，近半年解除分期詐騙的民眾通報破千件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月初，刑事警察局發出知名訂房網Booking.com疑似個資外洩的警訊，指出從今年5月起，165反詐騙就陸續接獲民眾通報，接到假冒Booking.com的詐騙電話，至今，該平臺已經連續21週警示於高風險賣場名單，並且遠高於所有訂房類型網站，而根據統計，今年受騙上當者已有228人，財損金額達3,362萬元。</p> <p>由於近年來，165反詐騙專線每週都會公布高風險網路賣場名單，因此，我們進一步詢問內政部刑事警察局，還有那些是近期值得注意的高風險賣場名單？該局預防科偵查員劉昭男表示，近半年來，自今年3月至9月底止，民眾通報「解除分期」詐騙案件最多的網路平臺，排行前五名是MKUP美珈（408件）、小三每日（310件）、讀冊生活（229件）、Booking.com（228件）與ANDEN HUD（89件），總共通報件數破千。</p> <p>不過，若以上榜週數來看，Booking.com以21次最多，小三每日是15次、讀冊生活是13次，雖然Booking.com通報件數並非近半年最多，但用戶遭詐騙的情況持續發生，詐騙高峰期已長達5個月，比起過去一般詐騙高峰期是2～3個月要長，引發警方關注，因此提醒民眾要特別注意。</p> <p>例如，最近一起受害民眾的案例，是北市1名32歲林姓醫師，他接到假冒「Booking.com」客服人員的詐騙電話，對方誆稱系統異常，導致醫師的訂單有重複下單與扣況的情況，將通報銀行協助處理。接下來，有另名歹徒假冒銀行客服來電，謊稱要民眾配合至ATM操作，就可以取消扣款。林姓醫生誤信後，聽從歹徒指示操作，被騙走164萬餘元。</p> <p>因此，刑事局再次向大眾呼籲，注意這類「解除分期」的詐騙行為。基本上，民眾要認識這類詐騙的，首先，詐騙集團會透過駭客盜取民眾網路交易資料，再假冒網站及銀行客服人員來電行騙，更重要的是，詐騙集團可以把來電顯示，竄改為真正的銀行客服專線號碼。因此，民眾必須要有警覺性，不要因為對方說得出自己過往的交易細節，或來電顯示號碼是金融機構的號碼，就輕信對方身分，同時也提醒民眾需牢記，「在ATM或網路銀行上，並沒有任何解除扣款或取消訂單的功能。」</p> <p>對於資料外洩的問題，我們也詢問Booking.com，因為他們並沒有發出資料外洩的資安公告，目前看起來也只有臺灣傳出這類詐騙問題，以及是否與其網站架構有關等。他們回應表示，目前正在與總部確認這次的情況。至截稿前，他們仍未回應。</p> <p>還有值得留意的是，在近半年的高風險賣場前五名中，我們注意到，像是「讀冊生活」在2018年度就常出現在榜上，「ANDEN HUD」在2017年度也是。對此，劉昭男表示，若把時間拉長來看，這兩家平臺在資安改善的情形，實在不盡理想，造成每隔一陣子後就又出現詐騙案件。</p> <p>因此，刑事警察局也提醒，對於屢次勸告均未改善資安的網路賣場，希望民眾應抵制避免使用，以保障自身財產安全。</p> <p>另外他也表示，過去其實也有某家電商遇到這種情形，只是該業者表示每次改善後過，沒多久又被駭客攻破，最後就是一次把資安防護規格拉更高才解決。</p> </div></div></div>
2019/10/10 02:10作者羅正漢https://www.ithome.com.tw/news/133558
資安一周第63期：PDF加密標準被發現有缺陷，無需密碼可取得加密文件內容，數十款PDF閱讀器都受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">1003-1009一定要看的資安新聞</strong></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃PDF漏洞　＃PDFex</strong></span></h3> <h2><strong>PDF加密標準含有缺陷，可讓加密文件現形</strong></h2> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖1）paper-intro-pic_圖片來源web-in-security_blogspot_com.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89paper-intro-pic_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90web-in-security_blogspot_com.png" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／web-in-security.blogspot.com</span></p> <p>幾名德國的大學研究人員近日發表研究報告，指稱PDF的加密標準含有缺陷，將讓駭客得以取得加密文件內容，當中列出了Direct Exfiltration與CBC Gadgets兩種類型的攻擊形式，並說明他們了測試市面上的27款PDF閱讀程式，都至少會被其中一種攻陷，這些程式涵蓋了Adobe Acrobat、Foxit Reader、Okular、Evince、Nitro Reader，以及整合到Chrome、Firefox、Safari與Opera等瀏覽器的閱讀工具。而這些存在於PDF加密標準的缺陷，他們統稱為PDFex。<a href="https://www.ithome.com.tw/news/133387"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3> <span style="color:#B22222;"><strong>＃軟體安全　＃視訊會議密碼設定</strong></span></h3> <h2><strong>視訊會議系統爆漏洞可讓外人偷聽，Cisco WebEx與Zoom都受影響</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖6）視訊會議系統漏洞_擷取自Cequence Security.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0%E7%B3%BB%E7%B5%B1%E6%BC%8F%E6%B4%9E_%E6%93%B7%E5%8F%96%E8%87%AACequence%20Security.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Cequence Security</span></p> <p>根據安全廠商Cequence Security及CQ Prime的揭露，部分視訊會議工具有列舉攻擊漏洞，包括Cisco WebEx Meetings、Zoom，可讓攻擊者發現並加入線上會議，可能導致敏感資料外洩。<br /> 雖然視訊會議普遍都有讓會議主持人設定密碼的功能，讓與會者需要驗證才能加入。但最近，上述兩家資安業者揭露有自動化工具掃描視訊會議平臺API的活動，可從系統API呼叫的回應找出有效會議ID，以及是否需要密碼，並可加入未設密碼的會議。思科在收到通報後，認為這是設定問題，不是漏洞，但仍對用戶提出警告，Zoom則更新預設會議需設密碼。<a href="https://www.ithome.com.tw/news/133401">更多內容</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃網站安全　＃HTTPS </strong></span></h3> <h2><strong>Chrome將逐步封鎖HTTPS內嵌的HTTP下載內容</strong></h2> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖2）Page info (with browser)_2x_圖片來源Google.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Page%20info%20(with%20browser)_2x_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Google</span></p> <p>對於網頁實行HTTPS加密的規定，Google宣布將更嚴格執行。從今年12月的Chrome79開始，為了安全，他們表示Chrome將逐步封鎖HTTPS網頁中，以HTTP下載的內容，包括影音及圖片檔、iFrame等，而在今年4月，他們即預告封鎖的內容，像是可執行檔及壓縮檔，在最新的公告下，Google宣佈這項方案即將於明年實施。<a href="https://www.ithome.com.tw/news/133442"><span style="color:#A9A9A9;">更多內容</span></a><br /> </p> <h3> <span style="color:#B22222;"><strong>＃VPN安全</strong></span></h3> <h2><strong>關於Pulse Secure、Palo Alto和Fortinet的VPN漏洞，英政府提出APT攻擊警訊與處置建議</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）NCSC VPN APT_圖片來源擷取自NCSC.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89NCSC%20VPN%20APT_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AANCSC.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自NCSC（點圖放大）</span></p> <p>英國國家網路安全中心（NCSC）發出警訊，提醒Pulse Secure、Palo Alto和Fortinet的VPN使用者，要注意所用的VPN，存在可被駭客用作APT攻擊的漏洞，他們調查已有攻擊行動擴及英國與國際組織，影響的部門很廣，包括政府、軍事、學術、商業以及醫療保健。<br /> 因此他們建議，若組織有遭入侵的疑慮，應該撤銷被盜走的憑證資料，防止攻擊者利用這些憑證進行未經授權的存取；而確定遭到APT攻擊者鎖定的組織，應重新檢查VPN的配置，包括SSH authorized_keys檔案、新的iptables規則，同時在用戶端上，應以配置備份還原這些設定。同時，他們也提醒，使用者應該為VPN服務啟用雙因素驗證，以避免受到密碼重送攻擊，而且也應該禁用不需要或未使用的功能，以減少VPN被攻擊面。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133480">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3> <h2><strong>今年美國有621個組織遭到勒索軟體攻擊，近8成為醫療服務供應商</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%E7%8F%BE%E6%B3%81_%E6%93%B7%E5%8F%96%E8%87%AAEmsisoft%E5%AE%98%E6%96%B9%E9%83%A8%E8%90%BD%E6%A0%BC.JPG" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Emsisoft官方部落格</span></p> <p>資安業者Emsisoft公布美國今年前三季的勒索軟體調查報告，這份研究主要對象，包含了遭遇到勒索軟體攻擊的美國政府機構、學區及醫療服務供應商，根據他們的統計結果，顯示這9個月以來，至少有621個組織遭到勒索軟體攻擊。其中，容易躍上新聞版面的政府機關有68個，只佔十分之一左右，值得注意的是，受災最嚴重的應該是健康醫療單位，因為在今年以來，該領域已遭遇491起勒索軟體攻擊，受害者包括：Park DuValle社區醫療保健中心、牙科診所的雲端備份供應商PerCSoft，以及懷俄明州坎培爾郡的公共衛生部門。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133390">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3> <h2><strong>FBI警告：勒索軟體日益猖獗，不鼓勵支付贖金</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖5）FBI警告勒索軟體12項最佳防禦實務_圖片來源擷取自FBI.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89FBI%E8%AD%A6%E5%91%8A%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%9412%E9%A0%85%E6%9C%80%E4%BD%B3%E9%98%B2%E7%A6%A6%E5%AF%A6%E5%8B%99_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFBI.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自FBI（點圖放大）</span></p> <p>美國聯邦調查局（FBI）再度警告外界，要小心勒索軟體的威脅，並指出勒索軟體通常是藉由3種管道入侵組織，包括：透過電子郵件展開網釣攻擊，或是利用遠端桌面協議（RDP）漏洞及軟體漏洞。特別的是，FBI此次也提出了12項最佳防禦措施供組織參考，包括：定期備份、培養及訓練員工的安全意識、及時更新裝置的軟體/韌體、限制檔案及網路的存取權、關閉電子郵件中的Office檔案巨集能力、導入使用RDP的最佳實踐、部署虛擬環境，以及將資料根據重要性分類並分別存放等。同時，他們也強調不鼓勵受害者支付贖金，因為未必能取回資料，而且，一旦支付贖金，將讓駭客知道這是個有利可圖的商業模式。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133406">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃帳密安全</strong></span></h3> <h2><strong>Chrome將加入密碼外洩檢查工具</strong></h2> <p>年初Google，推出可主動通知用戶密碼外洩的Chrome擴充功能Password Checkup後，現在他們將此機制整合進Google帳戶中的密碼管理員。<br /> 這項服務會偵測到使用者的用戶帳號和密碼，若包含在40多億筆外洩資料中，就會發出通知，同時還會檢查用戶將同一組密碼重覆用於多個網站中，以及用戶使用的是太短、太簡單的弱密碼，提醒用戶變更及強化密碼。另外，Google也預告這項功能今年底之前，將直接內建在Chrome中，使密碼外流的檢查更方便。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133400">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃資安人才培育　＃CTF競賽</strong></span></h3> <h2><strong>排名世界第一的臺大Balsn CTF戰隊，自辦首屆Balsn CTF競賽</strong></h2> <p>為了提升各界對於資安的興趣，積極舉辦CTF（搶旗攻防賽）比賽，一直是提升各界對資安興趣的手段。在結合全球主要 CTF賽提供世界排名積分制度的CTF Time上，目前排名世界第一名的是臺大Balsn戰隊，成立迄今5年，主要成員是臺大Network Security Lab，以及許多對資安有熱忱的學生，為了分享過往打比賽的經驗，也希望可以引發更多人對資安的興趣，他們舉辦Balsn第一屆自辦的CTF比賽，讓大家可以和世界一流CTF戰隊交流。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133408">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資外洩</strong></span></h3> <h2><strong>Booking.com疑似個資外洩非單一案例，近半年解除分期通報破千件</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖3）近半年高風險賣場排行榜_圖片來源刑事警察局.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%BF%91%E5%8D%8A%E5%B9%B4%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4%E6%8E%92%E8%A1%8C%E6%A6%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.jpg" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／刑事警察局</span></p> <p>10月初，刑事警察局警告知名訂房網Booking.com，疑似個資外洩，從今年5月起就陸續接獲民眾通報，已經連續21週警示於高風險賣場名單，遠高於所有訂房類型網站（今年1月～9月），並已有228人受騙，財損金額高達3,362萬元。<br /> 對於近期值得注意的高風險賣場名單，我們也進一步詢問內政部刑事警察局，該局預防科偵查員劉昭男表示，近半年來，自今年3月至9月底止，排行前五名是MKUP美珈（408件）、小三每日（310件）、讀冊生活（229件）、Booking.com（228件）與ANDEN HUD（89件）。不過，以上榜週數來看，Booking.com以21次最多，小三每日是15次、讀冊生活是13次，雖然Booking.com通報件數並非近半年最多，但用戶遭詐騙的情況持續發生，引起警方關注，並呼籲社會大眾注意。<span style="color:#A9A9A9;">更多內容</span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資外洩</strong></span></h3> <h2><strong>EZ訂個資外洩客戶遭騙判決出爐，在個資法賠償外，業者並需負起7成過失責任</strong></h2> <p>今年9月，一起關於EZ訂（EZding）購票平臺個資外洩的民事判決結果出爐，經過2年訴訟與審理，現在終於有了結果。案經一審判定，業者需依個資法賠償民眾2萬元，之後又上訴，二審判定用戶遭詐欺侵權行為的損害賠償，也應付起7成責任，而最終裁定賠償18萬3,274元。而在這次判決結果當中，對於個資外洩及用戶遭詐騙的損害賠償的認定，院方對此案有更清楚的說明。例如，法院認為，原告張女已是具有相當智識的成年人，理應對此社會常見之詐騙犯罪行為產生警覺；被告富爾特公司雖抗辯盡到適當的安全防護與個資保護之責，但法院認定其網路平臺之內部及外部風險控制存有諸多缺陷，並且未能完全落實其個人資料保護的管理。因此，認為張女應負擔三成的過失責任，富爾特公司應負擔七成的過失責任。<a href="https://www.ithome.com.tw/news/133473"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /> ●<a href="https://www.ithome.com.tw/news/133453">微軟再發佈IE漏洞例外修補程式，所有版本都要安裝</a><br /> ●<a href="https://www.ithome.com.tw/news/133509">紐西蘭初級衛生組織Tū Ora遭駭客入侵，外洩100萬名用戶資料</a><br /> ●<a href="https://www.ithome.com.tw/news/133402">線上客服系統Zendesk三年前被駭直到現在才發現，近萬名使用者資料外洩</a><br /> ●<a href="https://www.ithome.com.tw/news/133407">資安研究人員發現低成本的殭屍網路MasterMana</a><br /> ●<a href="https://www.ithome.com.tw/news/133434">可在華為Mate 30手機安裝Google行動服務的操作，被臺灣研究人員揭露後下架，並研判華為知情且默許</a><br /> ●<a href="https://www.ithome.com.tw/news/133499">DNS-Over-HTTPS弊大於利？荷蘭國家網路安全中心與亞太網路資訊中心相繼提出警告</a><br /> </h4> </div></div></div>
2019/10/9 22:13作者羅正漢https://www.ithome.com.tw/news/133557
上萬家連鎖超商激戰，萊爾富靠會員經濟、數據分析突圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對許多人而言，超商可能是天天都會去的消費場所，很多人可能會到超商買杯咖啡、報紙、衛生紙或是鮮奶，或是購買一份早餐、午餐滿足三餐所需，但你知道嗎？在這短短的購物時間裡，超商靠著蒐集許多資訊，「投你所好」地促銷適合的商品，以帶動消費次數、消費金額的增加，因應日漸升溫的連鎖超商市場競爭。</p> <p>國內連鎖超商發展已邁入40個年頭，7-ELEVEN、全家、萊爾富、OK四大超商合計就有上萬家門市，以台北市為例，幾乎幾百公尺內就有一兩家超商，高密度的門市分布提供購物的方便性，加上各種代收款、電商包裏寄收服務等等，是國人每天生活中不可或缺的消費通路。</p> <p>身為國內四大連鎖超商之一，萊爾富今年適逢30周年，已從傳統超商，到現在自許為生活的品牌。迄今萊爾富在全國約有1400家門市，每天約有100萬人次到萊爾富消費，萊爾富在一場座談中分享了他們如何善用會員經濟、數據分析，吸引消費者上門購物，以面對門市數量更多、更密集的其他對手競爭。</p> <p><strong>蒐集數據，以人為中心找出關聯性</strong></p> <p>傳統的超商營運，若從商品銷售角度來看，審視全國門市一天賣多少量，以乳製品為例，一天賣多少量，每家門市、不同商圈別的銷售狀況，但「1000瓶鮮奶，是由1000或100個人購買，兩者意義卻是不同的」，萊爾富數位商務處處長葉育堅點出了消費行為中「人」的重要性。</p> <p>「單以發票上的年月日來看是不夠的，無法看出關聯性、連貫性，必須回到人來看，在這個消費場域裡，顧客的消費路徑、紀錄是什麼」，因此如何去獲取這些數據就變得相當重要。</p> <p>那麼萊爾富如何蒐集顧客的數據呢？萊爾富設法讓消費行為和人建立起關係，一般在超商的消費行為，可粗略分為兩大類，購物及代收，不論是購物或是使用多媒體機LIFE-ET代收付時，超商服務人員會詢問消費者，是否為App會員或手機號碼，如此就留下「人」的紀錄。</p> <p>另外，在國內連鎖超商中相當常見的ATM，過去，ATM是銀行金融服務的延伸，透過連鎖超商密集的門市分佈，提供銀行顧客方便的存提款服務，但萊爾富準備和銀行業者合作，未來將會員App結合ATM金融服務提供無卡提款，擴大蒐集的數據、予以匯整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hilife-2.jpg" style="width: 600px; height: 360px;" /></p> <p>葉育堅表示，萊爾富通過各種和消費者接觸的節點，看待與消費相關、與人相關的數據整合。其中一項做法便是會員和點數贈送，除了購物可獲得點數，點數能夠折抵購物金、兌換門市商品，到超商繳交停車費也能獲得點數，或是不定時的祭出促銷，例如HiPay會員點數加倍送等等。「推動會員經濟獲得的數據，能夠取代經驗法則」。</p> <p>國內連鎖商店雖然密集，但先天上在消費場域卻有限制，以量販店為例，超商的購物空間相對小很多，講求更高的坪效，消費者的購物決策及花費的時間也比較短，相較之下，量販店不僅空間較大，消費者在決策及購物也花比較長的時間。</p> <p>空間有限、決策及購物時間短暫，加上高頻次、低消費的，和量販店的低頻次、高消費額，購物時間較長明顯不同，對超商而言，如何和顧客互動、蒐集資訊就是項挑戰。</p> <p><strong>描繪消費者輪廓，分群行銷</strong></p> <p>連鎖超商在零售通路上是屬地主義，位置相當重要，如果只有吸引人的促銷，但門市在距離消費者較遠的地方，加上附近競爭的超商很多，就很難吸引消費者上門，葉育堅表示。</p> <p>依據蒐集的數據對消費者進行「分群」，以提升銷售。以某月購買早餐為例，63%為平日購買早餐，可能是平日在工作地點購買，假日則佔15%，可能在住家地點購買，在平假日購買的則佔22%，根據分析，平日購買早餐的人，固定（每周至少1次）購買早餐佔31%，假日購買早餐者有20%會在假日固定購買早餐，平價假固定購買者佔11%。</p> <p>為了增加平日固定購買早餐的客單價，超商祭出購買早餐多10元加購豆漿，針對假日購買早餐的消費者，因假日可能起床時間接近中午，對購買早午餐的消費者提供優惠。</p> <p>分群的概念也能從其他消費行為推測，例如購買鮮奶的消費者，所買的是個人包裝或是家庭包裝，購買家庭號鮮奶是否還買了衛生紙等其他家庭日常用品，若再整合代收瓦斯費、燃料費等，可以更清楚描繪消費者的樣貌。</p> <p>葉育堅強調會員經濟帶來的好處。以萊爾富為例，從消費次數和金額看出，沒有下載App、加入會員的一般消費者，門市消費平均4次，消費金額為350元，而使用HiPay的會員，門市平均消費次數為18次，消費金額達1880元，其他像是代收筆數、雲端超商消費金額也都比一般消費者來得高。</p> <p>消費者購物使用的各種支付工具也成為萊爾富蒐集數據的一部份方式，透過和支付業者或是銀行合作，瞭解雙方共同客戶的消費輪廓。</p> <p>萊爾富透過線上、線下及生態合作關係，對消費者有更深的瞭解：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hilife-3.jpg" style="width: 600px; height: 378px;" /></p> <p>葉育堅指出，消費者到櫃檯結帳，店員詢問是否為會員，到計算消費金額、使用支付工具結帳離開，這個簡短的流程裡，超商掌握許多資訊，如會員消費的地點、是否具有會員身分、消費的商品及金額，加上使用的支付工具，更多的數據匯整讓萊爾富能更清楚掌握消費者的輪廓。</p> <p>數據分析不只是用於自家會員優惠、商品促銷，萊爾富也透過異業合作，發揮更大的會員經濟的效益，例如先前和亞太電信聯手，在超商門市銷售SIM，加快電信用戶取得門號服務的時間。</p> </div></div></div>
2019/10/9 19:13作者蘇文彬https://www.ithome.com.tw/news/133555
Cloud周報第41期：IBM將力推雲原生軟體產品組合Cloud Paks，3年後全面取代混合雲軟體產品ICP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/09/26～2019/10/09）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cloud Paks </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>IBM力推雲原生軟體產品組合Cloud Paks，產品導向帶來新計價方式</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud%20Paks2.JPG" style="width: 600px; height: 263px;" /></strong></span></p> <p>IBM完成紅帽併購案後，早先發表了全新雲原生軟體產品組合Cloud Paks，以容器化技術，預先將軟體整合為多組解決方案。近日，IBM在臺說明了更多產品細節。產品別重新組合後，Cloud Paks將取代IBM既有的混合雲軟體產品ICP（IBM Cloud Private），IBM臺灣雲端運算暨認知軟體事業部技術副總經理胡育銘表示，將有3年的轉換時間，使用ICP軟體的用戶將陸續遷移工作負載至Cloud Paks。另外，新解決方案的作業系統搭配本地端版本的紅帽Linux Enterprise，他進一步說明，企業一次性購買硬體，而非年繳訂閱費。</p> <p>Cloud Pak預整合解決方案以產品導向，收費方式也跟著改變。首波產品組合有五大解決方案，其中，應用開發解方案Cloud Pak for Applications、整合套件組Cloud Pak for Integration和流程自動組Cloud Pak for Automation用點數的概念收費，以virtual processor core為單位計價，而自動化資料分析解決方案Cloud Pak for Data的計價方式較為傳統，有最低的規格需求單，再視額外的使用需求計價，混合雲管理解決方案Cloud Pak for Multicloud Management則以伺服器的管理數量計費。目前超過9成的IBM軟體已容器化，IBM除了會持續將軟體容器化，也將推出更多Cloud Paks的解決方案，像是明年初會推出為5G應用整合的新解決方案。<a href="https://www.ibm.com/news/tw/zh/2019/08/08/20190808.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure Stack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟計畫重新架構混合雲平臺Azure Stack，朝容器化翻新</strong></strong></p> <p>微軟正在進行一項服務翻新工程，重新架構混合雲平臺Azure Stack，要讓該平臺基礎架構的構成要素，轉而基於容器技術。微軟將該工程命名為土星專案（Project Saturn），目標將該平臺變得更為組件化和簡單化。微軟日前為Azure Stack工程師團隊發布的徵才公告也可嗅出端倪，根據職缺資訊，該主管職需與軟體工程師共同簡化Azure Stack基礎設施，朝容器架構發展，以秉持Azure Stack為設備的承諾，職責包含負責Azure Stack基礎設施投資的規劃、設計和開發。<a href=" https://www.linkedin.com/jobs/view/senior-program-manager-at-microsoft-1463108252/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 按需支援服務 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS推出第三方按需支援服務平臺AWS IQ </strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20IQ_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 292px;" /></strong></span></p> <p>AWS推出全新支援平臺AWS IQ，讓企業可以直接與其認證的第三方專家聯繫，已獲得完整的技術支援，相反的，擁有AWS認證的人員也可以申請成為該支援平臺的專家，提供企業收費的線上服務。這個新支援平臺可以解決的問題範圍，涵蓋為工作負載選擇適當的架構，或是為企業最佳化工作負載，還有設定AWS等項目。AWS表示，該平臺可提供服務給各種規模的企業，特別是中小型企業。</p> <p>現階段要成為AWS IQ專家，需符合幾項條件，除擁有AWS認證外，須居住於美國，並有美國銀行帳戶與稅務資訊，申請完成後，可在平臺上找尋企業的請求，並給予提案。企業收到提案後，可透過文字或視訊與專家討論，若接受提案，該平臺會為雙方建立合約。AWS將這個平臺與其帳戶、帳單服務整合，讓企業可以授予專家其帳戶的存取權限，同時，可監視以及控制專案服務的內容，並按專案進度付款給專家。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-iq-get-help-from-aws-certified-third-party-experts-on-demand/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP雲端平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推薦器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google利用機器學習分析用戶雲端環境的使用模式，提供虛擬機器和政策的最佳採用建議</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E6%8E%A8%E8%96%A6%E5%99%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 600px; height: 380px;" /></strong></strong></p> <p>Google雲端近日推出兩款新的推薦器功能，分別是身分及存取管理（IAM）和Compute Engine容量調整，可自動推薦優化雲端環境的方式，進而降低成本。推薦器功能藉由機器學習技術，自動分析用戶的使用模式，以判斷用戶於Google雲使用的資源與政策，是否為最佳化的配置。IAM推薦器會分析用戶的IAM權限，以建立模型，進而自動偵測過度寬鬆的政策，並提供用戶推薦的調整政策。另外，Compute Engine容量調整推薦器，會分析用戶前8天CPU與記憶體的使用率，以依據工作負載的需求，推薦最適當大小的虛擬機器類型給用戶，避免配置過多或過少機器的情形。企業用戶可以從控制臺中，IAM頁面和Compute Engine頁面查看分別的優化建議。企業若不想讓Google分析自身的雲端使用狀況，也可以從安全與隱私操作版中，關閉這些功能。現階段該功能為開放測試版。<a href=" https://cloud.google.com/blog/products/gcp/optimize-your-google-cloud-environment-with-new-ai-based-recommenders">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Windows </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬桌面 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><strong style="font-size: 22px;"><strong>Windows虛擬桌面全球正式上線，幾分鐘內於Azure大規模部署Windows桌面與應用程式</strong></strong></p> <p>微軟日前釋出奠基在Azure上的Windows虛擬桌面（Windows Virtual Desktop，WVD）正式版，為一虛擬桌面基礎設施（VDI）解決方案，或者稱為桌面即服務，已部署至全球市場。微軟表示，WVD為全球唯一針對Office 365 ProPlus的最佳化管理，並具備Windows 10多會話體驗的功能。WVD支援Windows伺服器遠端桌面服務（RDS）與應用程式，只需要幾分鐘就能在Azure上大規模部署所需的Windows桌面與應用程式。過去使用者只能透過RDS連結Windows Server OS以存取應用程式，現在通過WVD能以Windows 10或Windows 7作為底層作業系統，擁有更為虛擬化桌面的體驗。現階段，微軟釋出支援Windows、Android、macOS、iOS等平臺的WVD客戶端程式，也能使用基於HTML 5的各式瀏覽器使用該服務。並且，微軟允許WVD用戶可免費存取Windows 7的延伸安全更新，直至2023年1月，原先Windows 7延伸支援將在2020年1月結束。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/windows-virtual-desktop-generally-available-worldwide/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> G系列實例 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia T4 Tensor Core GPU </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS推出採用Nvidia T4 GPU的EC2實例，加速AI應用及圖形運算</strong></span></strong></p> <p>AWS近期更新EC2的G系列，正式推出新實例G4，採用Nvidia T4 Tensor Core GPU，專為機器學習的訓練和推理、影片轉碼（transcode）、遊戲串流，以及遠端繪圖工作站的應用程式設計，共有6種規格，另有一款裸機實例的規格。G4實例可最多配置4個Nvidia T4 Tensor Core GPU，每個GPU具有320個Turing Tensor核心，以及2,560個CUDA核心和16 GB記憶體。因擁有RT核心，T4 GPU還可高效率的進行硬體加速光線追蹤，企業用戶可以從AWS市集中，下載Nvidia Quadro虛擬工作站，執行即時光線追蹤渲染，可加快多媒體娛樂和建築等領域的應用。</p> <p>AWS Deep Learning 的Amazon機器鏡像檔（Amazon Machine Image）也已經支援G4實例。官方將G3系列g3.16xlarge與新系列g4dn.12xlarge兩款實例進行了基準測試，比較兩實例使用可擴展深度學習框架MxNet進行推理和訓練工作負載的速度，G4速度快了約2倍，而機器學習函式庫Tensorflow推理和訓練的速度，也快了2倍。新實例G4目前在美國北維吉尼亞州、俄亥俄州、歐洲法蘭克福、倫敦、亞太首爾和東京等9個區域供企業使用。<a href=" https://aws.amazon.com/tw/blogs/aws/now-available-ec2-instances-g4-with-nvidia-t4-tensor-core-gpus/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> QC Ware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子運算即服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> D-Wave </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>QC Ware推出量子運算即服務</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E9%87%8F%E5%AD%90%E9%81%8B%E7%AE%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_QC%20Ware.jpg" style="width: 600px; height: 375px;" /></strong></span></strong></p> <p>新創公司QC Ware在其Forge雲端服務中，推出量子運算即服務，提供模擬器以及量子運算平臺給沒有量子運算專業的企業用戶。使用Forge雲端服務的企業可存取專用的端到端實作，還有二進位最佳化的開源演算法，以及化學模擬和機器學習技術。Forge雲端整合了多種量子運算晶片以及軟體模擬器，以提供企業用戶多元的選擇，運用這些元件來處理工作負載。另外，用戶可以直接使用量子運算硬體供應商開發套件中，所提供的高階演算法。QC Ware為特定行業提供端到端的解決方案，企業可以使用專用的工具，加快解決方案的應用時間，並可更容易地處理擴展的資料集。現階段，該服務使用來自量子服務供應商D-Wave的量子退火電腦，而軟體則提供Google和IBM的開源模擬器。QC Ware表示，未來會整合IBM的硬體、Rigetti晶片和模擬器，以及微軟的模擬器。<a href="https://www.quantaneo.com/QC-Ware-Launches-Public-Beta-of-Forge_a250.html">（詳全文）</a></p> <p><strong>圖片來源／IBM、AWS、Google雲端、QC Ware</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 微軟正式推出OneDrive Personal Vault，為雲端檔案加入雙因素驗證、PIN碼等防護</strong><a href=" https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/onedrive-personal-vault-expandable-storage-available-worldwide/">（詳全文）</a></p> <p><strong>2. 美英簽署《雲端法案》協議，雙方可向科技公司索取各種重大犯罪事件的電子資料，如臉書、Google </strong><a href=" https://www.justice.gov/opa/pr/us-and-uk-sign-landmark-cross-border-data-access-agreement-combat-criminals-and-terrorists">（詳全文）</a></p> <p><strong>3. 中華電信取得AWS進階級諮詢合作夥伴認證資格</strong><a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2019/msg-191001-140000?year=2019&month=10&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7b8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7d">（詳全文）</a></p> <p><strong>4. AWS機器學習服務Amazon SageMaker開放使用EC2最強GPU實例，可有效支援分散式機器學習訓練工作負載</strong><a href=" https://aws.amazon.com/tw/blogs/aws/now-available-in-amazon-sagemaker-ec2-p3dn-gpu-instances/">（詳全文）</a></p> <p><strong>5. 亞太網路資訊中心警告：DNS-over-HTTPS只能防護中間人攻擊，無法阻止DNS伺服器供應商檢視、封鎖或竄改DNS資料</strong><a href=" https://blog.apnic.net/2019/10/03/opinion-centralized-doh-is-bad-for-privacy-in-2019-and-beyond/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2019年10月</strong></p> </div></div></div>
2019/10/9 16:32作者黃郁芸https://www.ithome.com.tw/news/133551
VS Code的Python擴充套件現支援原生編輯Jupyter Notebooks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-october-2019-release/">微軟釋出Visual Studio Code的Python擴充套件10月更新</a>，這個版本加入了眾所期待的原生Jupyter Notebooks編輯功能，還可以一鍵在終端執行Python檔案，同時也改進了Python語言伺服器Linting和導入功能。</p> <p>這個版本Python擴充套件為開發人員，提供直接在Jupyter Notebooks編輯.ipynb檔案的方法，並且可以在Jupyter Notebooks中，使用Visual Studio Code所提供的功能。其提供了人工智慧輔助自動完成功能，IntelliSense會提供程式碼完成建議，並且還能安裝程式碼導師擴充套件IntelliCode，來進一步基於程式碼上下文，取得更聰明的人工智慧自動完成建議。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2019/10/Oc19-jupyter_intellisense.gif" style="width: 600px;" /></p> <p>另一個在Visual Studio Code使用Jupyter Notebooks的好處，是開發者可以透過點擊工具欄變數的按鈕，查看變數總管（Variable Explorer）以及圖表檢視器（Plot Viewer），變數總管可讓開發者即時追蹤Jupyter Notebooks變數的當前狀況，而開發者也能透過瀏覽資料集、過濾資料，並繪製圖表。</p> <p>在預設情況下，Visual Studio Code會自動在開發者本機創建Jupyter伺服器，但是開發者也能夠連接遠端的Jupyter伺服器，只要透過Visual Studio Code命令面板，指定Jupyter伺服器的位置，就能簡單地進行連接。</p> <p>當開發者要把實驗階段的Python程式碼轉到生產階段時，只要按下頂部工具欄轉換並另存為Python檔案的按鈕，Python擴充套件便會自動完成剩下的工作。接著，開發者可以繼續在Python互動視窗查看Python程式碼，也可以使用整合的除錯工具、重構工具、Visual Studio Live Share或是Git原始碼控制工具，執行讓程式碼投入生產的準備工作。</p> <p>除了新增的Jupyter Notebooks原生編輯功能，Python擴充套件加入了一個播放按鈕，讓開發者點擊就能執行在終端運作Python檔案的命令，也就是說只要單一點擊，就能在Python擴充套件中執行Python檔案。使用者也可以在偏好設定中，自定義鍵盤快捷鍵綁定在終端運作Python檔案。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2019/10/Oct19-RunPythonFileButton.gif" style="width: 600px;" /></p> <p>另外，這個版本還新增Python語言伺服器三個Linting規則，以及對諸如PyTorch或是Pandas等套件的自動完成改進。而在導入解析度的改進上，過去語言伺服器會將工作空間根目錄視為sys.path項目，當從src目錄導入模組時，便會出現錯誤警告，而在這個版本，當專案環境存在這樣的src目錄，語言伺服器會自動偵測，並將其添加到搜尋路徑列表中。</p> </div></div></div>
2019/10/9 17:55作者李建興https://www.ithome.com.tw/news/133553
Opera 64可封鎖追蹤器，網頁載入加快20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者Opera Software本周釋出了<a href="https://blogs.opera.com/desktop/2019/10/opera-64-faster-more-private-more-fun/" target="_blank">Opera 64新版瀏覽器</a>，它新增了追蹤器攔截機制（tracker blocker），啟用後網頁載入速度可加快20%，若搭配既有的廣告攔截機制（ad blocker），網頁載入速度更可提升76%。</p> <p>當使用者瀏覽網路時，網站通常會追蹤使用者的瀏覽習慣，還有些網站會添加許多看不見的元件，紀錄或利用使用者的帳號資訊，這類的第一方追蹤通常是用來客製化服務。另有網站會使用第三方的追蹤工具，這類的工具是蒐集使用者曾登錄的各個網站，以建立使用者的瀏覽地圖，最常見的可能是若使用者曾查詢某項商品，那麼其它網站都會知道使用者對該商品有興趣，並祭出個人化廣告。</p> <p>假設使用者啟用了tracker blocker，那麼其它網站便無從得知使用者曾經與哪些內容互動。</p> <p>Opera 64也改善了快照（Snapshot）功能，該功能可直接透過瀏覽器在所造訪的網站上截圖，包括可捕捉整個網站的照片，或是將網站存成PDF檔，也能只截取網站的一部份，或是在截圖上加上文字。</p> <p>雖然<a href="https://netmarketshare.com/browser-market-share.aspx?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222018-10%22%2C%22dateEnd%22%3A%222019-09%22%2C%22segments%22%3A%22-1000%22%2C%22plotKeys%22%3A%5B%7B%22browser%22%3A%22Opera%22%7D%5D%7D" target="_blank">Opera在桌面瀏覽器市場的佔有率</a>不到2%，落後Chrome、Firefox、IE、Edge與Safari，不過Opera卻是唯一一個提供免費、無限且無紀錄VPN功能的瀏覽器。</p> </div></div></div>
2019/10/9 16:20作者陳曉莉https://www.ithome.com.tw/news/133548
PyPy 7.2將採用新的JSON解析器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://morepypy.blogspot.com/2019/10/pypys-new-json-parser.html">Python直譯器PyPy將配備新的JSON解析器</a>，使得解析大型JSON檔案能夠更有效率，在執行速度以及記憶體容量表現，都比CPython以及Node的解析器都還要快上許多。這個新的JSON解析器將會在PyPy 7.2中釋出。</p> <p>解析巨大的JSON檔案存在許多障礙，一部分是反序列工作需要花費很多時間，另一部分則是所產生的資料結構，還會占據大量的記憶體，容量甚至會比原始檔案還要大上許多倍，而且相對的，分配和初始化大資料結構的時間，也會比起小資料結構還要多上不少。新開發的PyPy JSON解析器，便是要來解決解析JSON花費過長的時間以及記憶體過多的問題。</p> <p>新解析器的作者Carl Friedrich Bolz-Tereick提到，跟其他進階的實作方法比起來，這個JSON解析器有許多開發限制，他不想要更改Python程式Pexpect的json.loads API，也不想只支援具有SIMD擴充的CPU。他也表示，大部分的JIT都會針對典型的使用模式進行最佳化，犧牲非經常使用的模式，使得非常用模式在最佳化後可能變得更慢，而他試圖採用更通用的方法。</p> <p>Carl Friedrich Bolz-Tereick以資料結構Maps來加速解析工作，Maps是常見用來最佳化動態語言VM中類別實例的常見方法。他在PyPy中組合不同的技術，實作了多種JSON解析器，並比較CPython simplejson、CPython ujson、Node 12.11.1的JSON解析器以及RapidJSON的速度。實驗用的中大型JSON檔案基準，包括來自Reddit的JSON檔案931.65 MiB、Censys的JSON檔達898.45 MiB、Gharchive則有276.34 MiB以及來自Wikidata的檔案119.75 MiB等。</p> <p>首先Carl Friedrich Bolz-Tereick比較了PyPy各版本的JSON解析器解決方案，PyPyBaseline為PyPy 5.8版本提供的JSON解析器，PyPyKeyStringCaching則是PyPy 5.9版本的JSON解析器，特性是會記憶字典的鍵值字串，PyPyMapNoCache類似PyPyKeyStringCaching，但是使用Maps來表達字典，也不快取非鍵值字串，PyPyFull則是將會隨著PyPy 7.2釋出的最新JSON解析器，與PyPyMapNoCache作法類似，但是對全字串進行快取。</p> <p>（下圖）PyPy各種JSON解碼實作的時間相比，並以PyPyFull的執行時間當作基準正規化時間，圖中可以看到PyPyBaseline總是花費最多時間，第二慢的則是PyPyKeyStringCaching，接下來是PyPyMapNoCache，雖然處理Gharchive和Reddit兩個服務的JSON檔案，PyPyMapNoCache略快於PyPyFull，但普遍來說PyPyFull的執行速度都是最快的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_speed_variants.jpg" style="width: 655px; height: 304px;" /></p> <p>而JSON資料結構容量相比（下圖），PyPyFull的表現都是最好的，占據記憶體的容量都只比原始檔案多一點點，甚至處理Yelp檔案所使用的記憶體，還幾乎與原始檔案大小相同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_mem_variants.jpg" style="width: 655px; height: 304px;" /></p> <p>與其他技術實作相比，執行速度PyPyFull大勝simplejson、ujson、Node的JSON解析器，跟RapidJSON相比則是小輸（下圖）。在資料結構大小的比較，PyPyFull大贏simplejson和ujson，小贏RapidJSON，但是普遍都比Node的JSON解析器占用的記憶體還要多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_speed_langs.jpg" style="width: 655px; height: 315px;" /></p> <p>Carl Friedrich Bolz-Tereick表示，PyPy新的JSON解析器實作獲得大幅速度提升，打敗了CPython以及Node，但是RapidJSON還是位居明顯的領先位置，他提到，之所以PyPy的速度會差RapidJSON這麼多，是因為垃圾回收機制的關係，導致大型JSON檔案仍然花費太多時間在反序列化。在記憶體方面，明顯的Node占優勢，Carl Friedrich Bolz-Tereick認為，這是因為在記憶體中，Python表達物件的方式所造成的問題。</p> </div></div></div>
2019/10/9 16:35作者李建興https://www.ithome.com.tw/news/133550
國內金融監理沙盒首創的基金交換平臺12月即將上線，維運團隊好好投資揭露更多技術運作細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月，經過金管會的核准，由遠銀Bankee與FinTec新創好好投資合作首創的「基金交換」創新服務，即將在今年12月正式展開試驗，它也是最新一起金融創新服務沙盒實驗，接下來，為期一年的實驗期間，雙方將用以驗證，測試這個商業模式的可行性，未來該服務上線以後，亦將由好好投資來提供維運，近日，該公司也就雙方合作內容，透露更多運作及技術細節。</p> <p>過去，民眾投資買基金須支付1.5到3％手續費，贖回基金又要耗時5到7天，對於投資者來說，資金調度與運用很不方便。好好投資創人楊少銘表示，在這次沙盒試驗計畫，就是為了要解決上述這兩大基金交易投資的痛點，因而提出創新的「基金交換」的新作法，以打造不同以往全新的基金投資交易模式，並要經由這次實驗來反覆驗證，測試這個商業模式的可行性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_143909.jpg" style="width: 600px; height: 338px;" /></p> <p>好好投資提出的「基金交換」的概念，簡單來說，指的是讓兩個人之間可以彼此互換基金，以自己手中持有的A基金，來等價交換對方的B基金，楊少銘指出，這樣做的最大好處是，同一筆基金投資，用戶不需要經過<span style="letter-spacing: 0.0px">基金贖回再申購的動作，</span>才能換到想要的基金，因為屬於會員間的交換，所以，只要有人要換，馬上就可以成交，而且可以換多次，讓投資人可以做到更即時交易，也能因此省下申購手續費。而且交換標的不限於基金對基金，也可以是基金對現金，或現金對基金的互換。</p> <p>楊少銘表示，雖然概念上，與常見的基金轉換相似，但基金交換可以是跨基金公司完成交換，但是基金轉換不行，僅能限制同一家基金公司基金才能互換，交換就沒有這個問題，而且交易速度更快，因為是會員間的互換，反觀，基金轉換需向銀行申辦，通常得花兩個工作天，還要額外付擔一筆轉換費。</p> <p>「這也是基金交換與一般基金交易最大差別，」他表示，民眾以後不一定要同一檔基金申購、贖回現金後，才能購買下一檔基金，也可以採用交換基金的交易模式，以交換投資方式，來取得其他帳戶會員出售的另一檔基金或換取現金，來做為更長期投資，不僅可以省下手續費，速度上也更即時，他舉例，透過交換的形式，把基金換成錢，可以完全做到即時，無需要以往採用贖回基金的方式需要5~7天處理時間，<span style="letter-spacing: 0px; color: rgb(50, 51, 51); font-family: 'Heiti SC Light';">藉此降低交易成本和提高資金運用的效率。</span></p> <p>之所以能夠做到交易即時的關鍵，他表示，在於進行基金交易時，他們也採用了一些新作法，來提高交易的即時性，甚至還建置一個網路基金交換平臺FundSwap，並通過API來與遠銀App串接，使用者只要透過社群銀行Bankee這個App，就能使用到該公司提供的基金交換功能，可以讓不同會員在這個平臺上直接做交易，透過快速交易媒合，達到更即時基金交易，與不同基金商品之間交換。</p> <p>舉例來說，不像傳統基金交易模式，今天買進，明天才可知道成交價格，投資者容易產生不確定感，楊少銘表示，透過這套交易平臺，會員間在進行基金交換時，會以當前該平臺資料庫撈取到的最新公告基金淨值，做為最終交易價格，例如，今天假設要用100個單位的黃金，依等價換得另一檔能源基金，透過基金交換的方式，最後換到的單位價格，就是買賣雙方當下看到的最新淨值價格，不是隔天的價格，因此，較不會受到時差、作業問題而影響最後實際成交價格。對於投資人來說，交易價格可以更早確定，資金運用上也更有效率。</p> <p>另外，在提供基金交易媒合的運作機制上，他也透露了一些作法，例如，一旦會員要賣出自己手中的基金，打開交易選單，從系統操作介面上，就能看到有多少可成交對象，再由你自行指定跟這裡面的那一位來交易。而且還<span style="letter-spacing: 0.0px">可以自行分配交換比例，比如，</span>今天有100個單位的能源基金要賣出，其中70個單位可以指定要中國的投資基金，其餘30個單位可以選美國的基金，做更進一步投資理財。甚至他表示，下一階段，還要做到可以同時下單，將同一檔基金分配指定交換兩種不同基金，看哪邊剛好有人要出售的基金，速度最快的，就最先成交。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_143916-001.jpg" style="width: 600px; height: 338px;" /></p> <div> <p>由於所有基金投資，都是透過會員間的交易來完成，因此，楊少銘也說明，為了要提供一個安全可信任的交易環境，該公司還運用區塊鏈技術，通過區塊鏈分散式帳本不可竄改的特性來建立信任機制。</p> <p>他表示，目前先是採用以太坊區塊鏈（Ethereum）來進行數位資產記錄，主要是用在記錄兩個人之間交換過程產生有關受益憑證的數位資產記錄，將每一檔基金的交易記錄，都放上這個公有鏈來保存，但是因為受限於公有鏈的交易速度，所以，他表示，目前作法，會是採用分批上鏈來完成。除了將記錄保存在公有鏈，同時在本地端同樣備有多套備分機制。</p> <p>但楊少銘未來更長遠目標，是希望建立一套屬於臺灣自己能用的公有鏈，為此，他去年也開始跟臺大教授合作要開發自己的公有鏈平臺，不過目前仍在開發階段，還沒那麼快推出，可以實際用在這個平臺上。</p> <p><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">除了採用交易基金的新作法，另一個不同傳統基金投資作法，則是在收費機制上，好好投資改以訂閱制來取代傳統收取手續費的方式，</span><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light';">他表示，未來</span><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">參與實驗的會員，只要</span>繳交一個固定的月費<span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">，</span>就可以在這個平臺做申購、贖回以及交換的投資，不限次數，也無需任何<span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">手續費，</span>他說：「如果這個模式成功，將開創新的商業模式。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_144319-001.jpg" style="width: 600px; height: 338px;" /></p> <p>這項基金交換服務預計會在12月底推出上線，不過，楊少銘表示，未來平臺剛上線，為了避免進場的人太少，容易換不到基金，一開始，會先由遠銀從自家銀行上架的上千檔基金，挑選其中最熱門的20檔基金，例如股票基金或債券基金等，放進這個平臺上，來提供會員間的基金交換使用，必要時也會由該公司介入贖回，以確保整體交易流通性。另在交易幣別上，不論是台幣或美金都可以用來購買基金，不過，楊少銘指出，初期會推臺幣計價基金，來提供用戶做為國內外基金投資，之後才會加開美元計價的基金。</p> <p>除了基金交換之外，在這個平臺上，同樣能夠做申購、贖回，也不限是境內、外的基金，但是在使用人數與投資基金總成本就有限制，一個人最多上限25萬，總共4千人，總金額不能超過2億元。另外，實驗期間為12個月，最長不能超過3年。</p> <p>不過，在這次實驗中，參與實驗對像，必須同時都要是遠銀Bankee與好好投資平臺的用戶，才能成為會員使用相關服務，如果僅是遠銀用戶，就需要在好好投資平臺這邊完成證券開戶的動作，待取得帳戶，啟動訂閱才可成為會員，在這個平臺上開始投資交易。</p> <p>楊少銘強調，好好投資扮演的是一個證券商的角色，提供的是一個基金交換的媒合平臺，並不經手用戶資金，不論是申購款項或基金，都會放在遠銀的信託專戶，以保障投資人的權益。</p> <p>該服務上線後，未來也將由好好投資團隊負責維運，他指出，目前還在測試中，年底前將會有更多細節公布，包括完整交易機制、挑選哪幾檔基金等。</p> <p>待正式推出上線以後，楊少銘表示，希望最快1年內就能通過實驗完成落地，正式推出商用服務，之後，更進一步取得使用牌照後，也將成為臺灣第一家金融證卷商執照的科技公司。</p> <p>這次與遠銀的合作只是第一步，楊少銘說：「我們的目標是要讓全臺39家銀行，以後都可以用我們的平臺，不管你用哪家銀行帳戶，都可以在我們這邊用<span style="letter-spacing: 0px;">。」</span>不僅僅是基金交易平臺，他進一步補充，未來希望與其他FinTech新創合作，在這個平臺提供加值服務，「最終可以成為一個金融科技產業的平臺]。</p> <p> </p> </div> </div></div></div>
2019/10/9 07:53作者余至浩https://www.ithome.com.tw/news/133522
如果ISO 27001證書沒有TAF標誌，還有效嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「請問，我們的ISO 27001的證書是由BSI是SGS發證的證書，在這兩家驗證機構於10月2日被全國認證基金會（TAF）列入資安安全管理系統的減列名單後，我們的ISO 27001的證書，還有效嗎？」</p> <p>「如果，我們是資安法規範的機關構，我們是不是要立刻重新轉驗證，取得新的ISO 27001的證書呢？」</p> <p>上述的種種疑問，過去一周開始於資安圈內不停擴散、恣意傳播，甚至出現種種不同的懶人包以及各種信誓旦旦的網路傳言，告知已經取得由BSI或SGS核發ISO 27001認證的企業或政府機關，如果不趕緊轉驗證，他們的證書將會失效。</p> <p>行政院資安處表示，依照資安法的規定，受資安法規範的公務機關以及關鍵基礎設施提供者，只需要在三年內，取得公正第三方驗證的ISO 27001證書即可，沒有「若沒有立即轉證，證書即失效的疑慮。」</p> <p>全國認證基金會（TAF）執行長許景行則指出，SGS以及BSI兩家驗證公司被TAF列入資訊安全管理系統減列名單是事實，但這兩家公司如果可以儘快針對評鑑缺失項目做改正，在2020年1月2日後，就可以重新申請恢復增列。</p> <p>BSI以及SGS則指出，將會盡力確保客戶最大權益，兩者核發的ISO 27001證書，若上面有ANAB或UKAS國際認證組織核可的標誌，仍為有效的ISO 27001證書；若是只取得TAF單一組織認可的ISO 27001證書的單位，在取得客戶同意後，會透過轉證的方式，協助企業組織取得國際認證以維持該單位認證的有效性。</p> <p><span style="color:#0000CD;"><strong>TAF接到客戶抱怨，啟動對BSI 和SGS的專案調查</strong></span></p> <p>許景行表示，全國認證基金會（TAF）是一個民間機構，成立的目的，就是要維持臺灣各種認證制度實施與發展，可以符合ISO / IEC 17011的國際規範，而TAF也是臺灣唯一一家受標準法主管機關委託的認證機構（Accreditation Body，AB），至於包括SGS、BSI等驗證公司，則是所謂的驗證機構（Certification Body，CB），多是私人單位。</p> <p>從今年1月1日正式實施的《資通安全管理法》中也規定，未來資安法中所有「公正第三方驗證」所指稱的第三方，則是指經過標準法主管機關委託機構認證的機構。這意味著，未來受資安法規範的所有單位要取得的資安認證，都必須經由全國認證基金會（TAF）認證的驗證機構，所執行的第三方驗證才符合資安法的規定。</p> <p>外界傳言，BSI和SGS會遭到TAF減列處分，是因為銓敘部的個資外洩事件造成的，BSI是前手的ISO 27001驗證公司，SGS是現在的驗證公司。但許景行表示，這一次會對兩家驗證公司將施以減列的處分，主要是有接到客戶的「抱怨（Complain）」（類似客訴），「抱怨」對認證公司是非常重要的評鑑關鍵，在ISO 17011中的第3.2節中也有明確規定和相關文件流程，因此，TAF才會啟動專案調查，但抱怨的內容因為涉及客戶機密，並無法對外公開。調查BSI和SGS的過程中，由評鑑委員現場調查後，另外由審議委員開會討論後才進行處分。</p> <p>TAF針對驗證機構的調查大致可以從三個面向著手，包括：驗證流程的SOP、稽核人員的能力，以及實地看驗證機構的稽核人員如何稽核客戶的過程。</p> <p>他指出，此次在調查BSI和SGS的過程中發現，這兩家驗證機構在上述的面向中，不符合TAF對於國際資安認證標準的重點要求，經審議委員開會決議後，才決定予以減列的處分，並基於ISO 17011：2017 第7.7.5節的要求，即刻發函通知兩家驗證公司並於網路上公開，從10月2日起，BSI及SGS在ISO 27001的證書上，都不能使用TAF認證標誌。</p> <p><span style="color:#0000CD;"><strong>從10月2日起，BSI和SGS核發資安證書不得掛TAF標誌</strong></span></p> <p>由於BSI和SGS在資訊安全管理系統認證的市占率將近7～8成，有許多人從結果論來看，兩家規模較大、能力較好的驗證公司遭到TAF減列處分後，剩下四家規模較小的驗證公司，難道可以提供比BSI以及SGS更好的稽核品質和能量嗎？相關的處分是否不符合比例原則，過當處分呢？對於某一些主管機關而言，TAF的減列決議讓他們沒有足夠的緩衝因應期，並質疑過往取得的證書效力，是否可以因為減列而溯及既往、即刻失效呢？</p> <p>許景行表示，這次的調查是基於接到客戶抱怨而來，針對其他四家仍在認可名單上的驗證公司，目前仍有定期的評鑑做品質把關。他說，今天（10月9日）已經召集所有評鑑人員，請上次的評鑑人員分享該次針對BSI和SGS所採用的評鑑標準和注意事項，「未來，TAF也會以同樣的評鑑標準，去對所有資安管理系統的驗證公司進行評鑑。」他說。</p> <p>而根據ISO 17011 第4.4.2條的規定：「認證機構應對其認證活動的公正性負責，且不應允許商業、財務或其他壓力而影響公正性。」許景行表示，今天TAF基於公正性做出減列的處分，因為市占率大造成的商業損失或不便，甚至是，是否對主管機關造成困擾，都不在TAF的職權範圍之內。</p> <p>他指出，因為TAF是一個在地化的認證組織（AB），有自己對於在地化法遵的要求與重點，今天BSI和SGS受到減列的處分，只能說，這兩家驗證公司在此次調查結果中，針對TAF審查的重點並沒有良好的表現。身為TAF執行長，則必須尊重審議委員會的處分決議。</p> <p>TAF對BSI和SGS做出減列處分，實際的作為就是，BSI和SGS從10月2日起，所有ISO 27001的證書上面，都不可以放TAF的認證標誌，因為TAF無法幫BSI和SGS背書，其資安管理系統的稽核流程是否符合TAF的要求。</p> <p>但許景行也說，BSI和SGS還是其他國際認證組織ANAB以及UKAS的認可會員，顯示其他認證組織，還是認可BSI和SGS具備ISO 27001的稽核能力，只是不符合TAF的重點要求而已。</p> <p>不過，他也要澄清，證書有效性不在於證書掛哪一個認證機構的標誌，而是看接受證書的單位，是否承認發證單位的公正性與專業性，甚至於，如果企業用戶相信BSI和SGS的驗證，兩家公司也可以自行核發不掛任何認證單位標誌的證書。他認為，以BSI和SGS兩家的實力和資源，只要可以針對不符合的項目進行改善，三個月後就可以重新申請增列。</p> <p>TAF身為一個認證機構，許景行說，即便SGS是TAF的董事，基於公正性，減列的處分仍然必須落實執行；此次BSI和SGS遭到減列的原因之一，也在稽核人員有能力，但沒有保持驗證的公正性，導致適任性遭到質疑；因為資安的重要性越來越高，國際潮流也都會開始從嚴審查，因此，未來TAF對於資訊安全管理系統驗證單位的審查，都會根據此次的評鑑標準，作為未來所有資安管理系統驗證機構一致性的評鑑指標。</p> <p><span style="color:#0000CD;"><strong>資安法規定取得TAF證書，仍有三年緩衝期，減列不妨害資安課程與證書效力</strong></span></p> <p>因為資安法在今年1月1日正式施行，包括公務機關以及關鍵基礎設施服務提供者，都會受到資安法的規範。而其中，根據資安法施行細則及相關子法的規定，「初次受核定或等級變更後之二年內，全部核心資通系統導入CNS 27001資訊安全管理系統國家標準、其他具有同等資訊安全管理系統之導入及或以上效果之系統或標準，或其他公務管理面通過公正第三方之驗證機關自行發展並經主管機關認可之標準，於三年內完成公正第三方驗證，並持續維持其驗證有效性。」</p> <p>行政院資安處表示，從上述的規定來看，外面傳言公務機關要立即換證、轉證的說法是不精確的，因為受資安法規範的單位，未來取得ISO 27001資安認證的範圍，必須是全機關的核心系統外，也有三年的緩衝期，取得TAF認證的ISO 27001證書。行政院資安處也會發函給各相關單位做上述事實的澄清。</p> <p>另外，資安會報也在最新的「108年第2季更新之資通安全專業證照清單」中，也清楚規定，只要是經TAF或國際認證機構認可之資安相關管理系統驗證機構，所核發的ISO 27001：2013的主導稽核員（LA）的課程和證書，都是有效的。也就是說，即便目前BSI和SGS遭到TAF減列，仍不影響上述單位舉辦課程和核發ISO 27001主導稽核員證書的有效性。</p> <p><span style="color:#0000CD;"><strong>BSI三個月後申請增列，SGS同步申訴並於三個月後申請增列</strong></span></p> <p>由於TAF的規定，BSI和SGS遭到減列的處分後，必須按照規定，即刻通知相關客戶。臺灣BSI針對客戶的聲明則明確指出，臺灣BSI對客戶核發的ISMS證書，除TAF認可外，也取得國際認可機構（ANAB）登錄之合法公正第三方驗證機構證書。</p> <p>因為BSI的客戶都同時取得兩張證書，所以在TAF減列期間，由ANAB核發的ISO 27001國際證書仍為有效；對於BSI所提供資安管理課程和服務並不受影響；對於資安法適用組織的符合性時程，也沒有影響。臺灣BSI表示，該公司也將在減列生效日起三個月申請增列，並會隨時更新相關消息。</p> <p>另外一個遭到TAF減列處分的SGS，該公司協理張日聖表示，該公司也是UKAS國際認可機構的會員，客戶如果同時取得UKAS和TAF的ISO 27001證書，即便TAF因為減列而失效，但UKAS核發的ISO 27001仍為有效的國際認證證書。問題比較大的是，有部分只取得TAF核發的機關單位，為了維護客戶權益，SGS在取得客戶同意後，會協助以轉證的方式，以維護客戶證書的有效性。</p> <p>張日聖指出，該公司也會依照TAF規定，儘速通知客戶遭到TAF減列事宜，在減列期間，也不會核發任何掛TAF標誌的證書，但為了確保客戶權益，SGS將會同時進行申訴，並於三個月後，申請增列。</p> <p>SGS部經理何星翰則表示，SGS遭到TAF減列後，受到的衝擊包括，第四季有許多專案無法驗收，有一些客戶的RFP有要求TAF認證的ISO 27001證書，必須回歸契約要求，看是專案延期、減價、罰款等。但他也坦言，這些大範圍的機關構，所需要的稽核服務能量，不見得可以透過轉由另外四家規模較小的合格的驗證機構提供。</p> <p>行政院資安處表示，驗證公司應該要對驗證範圍進行合理性的認定，應該要維持驗證公司的獨立驗證性，且驗證公司的案子不應該以取得證書作為驗收要件。這一次兩家規模較大的驗證公司BSI和SGS，至少驗證將近四百個公務機關構時，這次的減列或會許造成市場很大的震盪，但也不失為一次趁機調整市場亂象的機會。</p> <p> </p> </div></div></div>
2019/10/9 14:23作者黃彥棻https://www.ithome.com.tw/news/133528
Twitter以用戶的電話號碼來執行目標式廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路科技公司濫用用戶資料再添一例。知名社群媒體<a href="https://twitter.com/twittersupport/status/1181661080033955840?s=21" target="_blank">Twitter近日坦承</a>，該公司「<a href="https://help.twitter.com/en/information-and-ads" target="_blank">不小心」使用了用戶的電子郵件帳號與電話號碼等個人資料，來執行目標式廣告</a>，且無法估計受影響的用戶數量。</p> <p>涉及此一事件的廣告服務為訂製受眾（Tailored Audiences）及合作夥伴受眾（Partner Audiences），其中，訂製受眾為一標準化產品，允許廣告主利用既有的行銷名單在Twitter上播送目標式廣告，這些名單可能是廣告主自行蒐集的用戶電話號碼與電子郵件帳號；而合作夥伴受眾也是基於訂製受眾模式發送廣告，但行銷名單是由第三方的合作夥伴提供。</p> <p>不過，當廣告主把行銷名單上傳至Twitter時，Twitter可能未經用戶同意，便擅自比對用戶所提供的電話號碼與電子郵件帳號。</p> <p>Twitter用戶通常是為了執行雙因素認證的安全理由，才提供電子郵件或電話號碼，並未同意Twitter將它們作為廣告行銷之用。</p> <p>Twitter表示，該公司已在9月17日解決這項錯誤，不會再把用於帳號安全性的個人資料用在廣告上，且為了透明性，正式於官網揭露這項不當使用訊息，並向用戶致歉，現已採取必要措施以避免重蹈覆轍。</p> </div></div></div>
2019/10/9 14:35作者陳曉莉https://www.ithome.com.tw/news/133529
Arm與汽車業者共創自駕車聯盟，發展通用架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球半導體及軟體設計公司Arm本周宣布，已與NXP Semiconductors（恩智浦半導體）、Nvidia，汽車零件製造商Bosch、Continental、Denso及汽車業者GM及Toyota，<a href="https://www.avcconsortium.org/newsroom/pr-newconsortium-avcc" target="_blank">成立自駕車運算聯盟（Autonomous Vehicle Computing Consortium，AVCC）</a>，以共同發展符合自駕車需求的系統架構及運算平台。</p> <p>根據AVCC的初期規畫，此一架構與平台一方面必須顧及自駕車系統的效能，另一方面則得迎合相關系統在尺寸、溫度、電力損耗與安全性上的需求，目的在於讓現在仍處原型階段的自駕車，能夠儘速進入大規模部署。</p> <p>負責汽車與IoT業務的Arm副總裁Dipti Vachani表示，未來不論是先進駕駛輔助系統或全自動駕駛車輛的量產，都需要前所未有的產業合作，AVCC聚集了汽車產業的領導者，可加速實現真正自駕的目標。</p> <p>其中，Bosch工程暨產品管理總監Michael Meier指出，除了硬體的開發，自駕車還需要龐大且複雜的軟體設計，未來Bosch將協助打造自駕車系統上每個組件的軟體API。</p> <p><a href="https://emerj.com/ai-adoption-timelines/self-driving-car-timeline-themselves-top-11-automakers/" target="_blank">專門分析AI領域的Emerj指出</a>，各家業者對自駕車的發表時程都還不太有把握，GM先前曾計畫在2018年推出首款自駕車，現在卻已延到今年以後，顯示自駕車技術上的複雜度超出了預期。而Toyota研究機構的執行長Gill Pratt則曾在2016年時表示，也許10年內可於特定區域看到Level 4自駕車。不過，福特已計畫會在2021年推出Level 4自駕車。</p> <p>目前大家所提及的自駕車通常是Level 3或Level 4，Level 3必須搭配人類駕駛，但駕駛能夠賦予重要任務予車輛，Level 4是汽車在大多數的時候都能自動行駛，只有遇到惡劣天氣或狀況的時候會停止，而且Level 4的車主是可以睡覺的。至於Tesla汽車則屬於Level 2，此一等級的自駕車雖可自動採取安全行動，但駕駛必須保持警惕。</p> </div></div></div>
2019/10/9 13:20作者陳曉莉https://www.ithome.com.tw/news/133527
暴雪玩家因支持香港遭除名並取消獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲開發商暴雪娛樂（Blizzard Entertainment）在上周末舉行亞太區《爐石戰記》（Hearthstone）的大師職業賽，獲勝的香港選手聰哥（Blitzchung）<a href="https://www.invenglobal.com/articles/9242/hong-kong-player-blitzchung-calls-for-liberation-of-his-country-in-post-game-interview" target="_blank">在賽後受訪時</a>，<a href="https://www.bbc.com/news/technology-49971077" target="_blank">頭戴護目鏡與防毒面罩高呼「光復香港，時代革命」</a>，兩位主播賽評還拍手鼓勵，結果暴雪不但移除賽事的重播影片，將聰哥從大師職業賽中除名，把聰哥禁賽一年，還取消聰哥所獲得的獎金，而引發全球玩家拒玩暴雪遊戲的抗議聲浪。</p> <p>成立於1991年的暴雪娛樂為一總部位於加州的遊戲開發與出版商，最受歡迎的遊戲系列為《魔獸爭霸》（ Warcraft）、《暗黑破壞神》（Diablo）與《星際爭霸》（StarCraft ）。</p> <p>暴雪不僅處罰了聰哥，也終止與採訪聰哥的兩位台灣主播賽評的合作。</p> <p><a href="https://uk.ign.com/articles/2019/10/08/hearthstone-pro-calls-for-hong-kong-liberation-during-live-blizzard-interview" target="_blank">暴雪娛樂表示</a>，聰哥及兩位主播賽評的行為違反了《爐石戰記》大師職業賽的官方賽事規章：任何涉及破壞自己聲譽、冒犯大眾，或是傷害暴雪形象的行為，都會造成選手被除名且獎金歸零的後果。</p> <p>暴雪的作法引起了遊戲玩家的反彈，號召全球玩家抵制暴雪遊戲。但另一方面，也有分析指出中國騰訊握有暴雪股權，不難理解暴雪為迎合中國政府所作出的裁決。</p> <p>科技業者愈來愈常受到政治的影響，例如Google搜尋曾因不願遵循中國的言論審查而退出中國市場，或者是許多科技服務在選擇國別時只有中國台灣，而沒有台灣，最近蘋果在香港部署的iOS 13.1.2，還將台灣國旗從表情符號中移除。</p> </div></div></div>
2019/10/9 12:10作者陳曉莉https://www.ithome.com.tw/news/133526
臉書開源能簡化複雜應用程式開發的框架Hydra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書開源了能夠簡單配置複雜應用程式的開發框架<a href="https://engineering.fb.com/open-source/hydra/">Hydra</a>，不只能夠減少開發者複製貼上樣板程式碼（Boilerplate Code），也能動態編寫（Compose）配置，而且Hydra採用了可插拔架構，因此可以與原本組織的基礎設施良好的整合。</p> <p>Hydra是一個輕量級的框架，可以透過編寫以及覆蓋配置，來簡化Python應用程式的開發，特別是針對複雜應用程式的開發。開發者利用Hydra，不必重新撰寫大量的樣板程式碼，就能夠輕易地加入新的功能，以符合新的使用案例和需求。</p> <p>臉書表示，程式碼僵化是一個普遍的問題，而Hydra提供了編寫應用程式配置的新方法，開發者透過配置檔案或是命令列，就能變更應用程式配置，而這解決了在修改配置時，需要維護許多只有些微差別的應用程式版本，或是需要新增自定義邏輯來覆蓋配置值，Hydra則讓應用程式在執行之前，就完成配置編寫與覆蓋。</p> <p>Hydra讓開發者可以在本地或是遠端啟動應用程式，並且使用同一個指令附加不同的參數，就能執行不同的工作，減少相關的腳本支援。Hydra提供了動態命令列頁籤完成功能，幫助開發者探索複雜配置選項，也減少輸入錯誤。臉書提到，Hydra解決了複雜應用程式的工程問題，加速開發的速度，也減少錯誤出現的機會。</p> <p>整體來說，Hydra減少了在複雜應用程式中，常見的樣板程式碼，像是定義命令列標籤、操作配置檔案以及配置日誌等，並提供開發者靈活的程式碼開發以及配置方法，增加開發人員的效率。臉書提到，他們現在開源Hydra供社群使用，而其可插拔的架構，除了可讓企業內部開發其他功能，也可以支援未來社群共同開發的功能。</p> </div></div></div>
2019/10/9 10:25作者李建興https://www.ithome.com.tw/news/133520
微軟正式推出視覺化資料流處理服務Mapping Data Flows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在自家無程式碼ETL服務Azure Data Factory上，<a href="https://azure.microsoft.com/zh-tw/blog/azure-data-factory-mapping-data-flows-are-now-generally-available/">正式推出Mapping Data Flows功能</a>，供使用者大規模且快速地轉換資料，微軟提到，Mapping Data Flows是一項變革性的資料整合以及轉換服務。</p> <p>Azure Data Factory是一個無伺服器服務，使用者不需要管理基礎設施，就能夠在雲端進行ETL工作，處理任何規模的資料。而Mapping Data Flows則是專為應對龐大資料處理的複雜性和規模而生的功能，使用者可以直接在瀏覽器中，存取視覺化的環境，建構彈性資料工作管線，並由Azure Data Factory來處理Spark運作的複雜作業。</p> <p>Mapping Data Flows提供內建功能來處理不可預測的資料架構後，並維持變更輸入資料的彈性，簡化使用者資料處理的工作，讓使用者可以專注於建構業務資料邏輯，不需要花費時間管理伺服器叢集或是撰寫程式碼，快速地進行載入事實表格（Fact Table）、維持緩慢的維度變換（Slowly Changing Dimension，SCD）、聚合半結構化的資料，以及使用模糊匹配來配對資料，為建模做準備。</p> <p>其提供直覺的視覺化介面，可以將使用者的資料邏輯轉換成為易讀的圖（Graph），並建置轉換程式函式庫，分析原始資料產出業務可用的結果（下圖）。當然，使用者也可以不使用Mapping Data Flows的無程式碼介面，自己撰寫程式碼呼叫內建的轉換功能，執行連接（Join）、聚合、樞紐分析（Pivot）以及排序等常見操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/canvas2.png" style="width: 355px;" /></p> <p>工作管線建置器可讓使用者透過滑鼠拖拉操作，來建置工作管線，或是以互動的形式為端到端ETL程序除錯，使用者可以為工作管線建置排程，並從Azure Data Factory監控入口網站監控資料流執行，透過Azure Data Factory提供多種可用性監控以及警示功能，來管理資料的可用SLA，還能利用內建的CI/CD，在託管的DataOps環境中儲存與管理資料流，透過建立警示和瀏覽執行計畫，就能驗證使用者的邏輯是否如計畫一樣處理資料流。</p> </div></div></div>
2019/10/9 10:30作者李建興https://www.ithome.com.tw/news/133521
Container周報第112期：Kubernetes 1.16新版的擴充力再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF8C00;"><strong>精選9/1~10/3重要Container新聞</strong></span></h3> <h3><span style="color:#FF8C00;"><strong>#K8s、#端點切片</strong></span><br /><span style="color:#0000FF;"><strong>Kubernetes 1.16來了擴充力再升級，也新增端點切片功能</strong></span></h3> <p>Kubernetes現在釋出了1.16版本，這是今年的第3個版本，被用來作為Kubernetes擴充機制的CRD（Custom Resource Definition）現在成為正式功能，部分之前選用的防護功能會成為必要或是預設，像是結構架構（Structural Schema）、刪減未知欄位、驗證以及保護*.k8s.io群組等，目的是要確保API的穩定性，更不容易因為意外而故障。在Kubernetes API也有一些修改，也為Windows增加了新的增強功能。</p> <p>另外，這個版本還加入了一個新的Alpha功能端點切片（Endpoint Slices），這可以為Kubernetes服務帶來更大的伸縮彈性，目前的端點資源，單個資源包括所有和服務相對應Pod的網路端點，但隨著服務越來越大，可能需要使用上萬個Pod，這使得端點資源變得非常龐大。預設情況下，每個端點切片都被限制最多包含100個端點，這樣的機制會使單一節點更新作業變得更有效率，因為每個端點都僅是整個網路端點的一小部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_K8s%E6%96%B0%E7%89%88logo.png" /></p> <p><strong style="color: rgb(255, 140, 0);">#Etcd、#分散式資料庫</strong><br /><strong style="color: rgb(0, 0, 255);">Kubernetes發布分散式鍵值資料庫Etcd 3.4，強化後端儲存與客戶端平衡器功能</strong></p> <p>Kubernetes團隊發布了分散式鍵值資料庫Etcd 3.4，這個版本強化了儲存後端的效能，並改進Raft投票程序，還加入了全新的客戶端平衡器（Client Balancer）。Etcd是一個分散式具高可靠性的鍵值儲存，可用來儲存分散式系統的重要資料，在去年底，CoreOS團隊將Etcd專案捐贈給CNCF。</p> <p>新版Etcd對大規模Kubernetes工作負載進行了最佳化，大幅提升了執行效能，其最重要的更新，便是提供更好的存儲後端。3.4版的資料吞吐量大增70％，長時間進行讀取操作的情況下，P99寫入延遲減少了90％。租約儲存（Lease Storage）進行了許多改進，以提高整體操作效能，新版本還新增實驗性的租約檢查點功能，能透過共識機制，保存租約物件的剩餘生存時間值。</p> <h3><span style="color:#FF8C00;"><strong>#作業系統、#GPU</strong></span><br /><span style="color:#0000FF;"><strong>Linux 5.3核心釋出，首度支援AMD Navi GPU</strong></span></h3> <p>在經過8個RC（release candidates）版及比預定時間晚了一個星期後，Linux之父Linus Torvalds正式釋出了Linux 5.3核心。Linux 5.3版是繼7月的5.2版後釋出的最新版本，加入多項硬體、硬體功能的支援，其中包括首度支援AMD Navi GPU系列及中國x86兆芯處理器、對英特爾Icelake Gen 11繪圖晶片HDR、Speed Select及UMWAIT技術的支援、以及支援MacBook、MacBook Pro鍵盤、並強化對Nvidia Jetson Nano的支援。此外也支援ACRN guest hypervisor及加入1600萬個IPv4 位址等等。Linux 5.3版的釋出，也意謂5.4版進入整併階段。預定11月釋出穩定版的Linux 5.4，將加入exFAT 驅動程式及支援AMD Renoir APU、Intel Tigerlake Gen 12 Xe 繪圖晶片，及Intel Icelake Thunderbolt等多項重要更新。</p> <h3><span style="color:#FF8C00;"><strong>#負載平衡、#GKE</strong></span><br /><span style="color:#0000FF;"><strong>Google在GKE服務正式推出原生容器負載平衡功能</strong></span></h3> <p>Google推出GKE上的原生容器負載平衡功能正式版本，原生容器負載平衡可以讓用戶創建使用網路端點群組（Network Endpoint Groups，NEGs）的服務，因此外來對服務的請求，可以直接經負載平衡發送給服務請求的容器。<br /> NEG抽象層使得原生容器負載平衡，可以與GCP上的Kubernetes Ingress控制器良好地整合在一起，當使用者使用多層的網路部署，要對外公開一個或多個服務，也能夠創建Ingress物件，而這將會使用HTTP和HTTPS負載平衡，並且讓使用者設定以路徑或是主機的方法，路由後端的服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_GKE%E5%8E%9F%E7%94%9F%E8%B2%A0%E8%BC%89%E5%B9%B3%E8%A1%A1.gif" /></p> <h3><strong><span style="color:#FF8C00;">#容器安全、#GKE</span><br /><span style="color:#0000FF;">開放測試安全力度，GCP推出Shielded GKE節點測試版</span></strong></h3> <p>Google在其雲端平臺推出Shielded GKE節點Beta測試版，提供強健且可驗證的節點完整性（Integrity），增加GKE節點的安全防護。而Shielded GKE節點則是建立於去年7月所發布的Shielded虛擬機器之上。這類GKE節點強化了底層，增加抵抗各種Rootkit和Bootkit的攻擊，確保使用者的節點不被任意竄改，同時也能保護工作負載免於遠端攻擊或是特權提升等威脅。在Shielded GKE節點中，會對節點作業系統的出處進行確認，透過加密驗證檢查，確保節點作業系統正在Google資料中心的虛擬機器上運作。目前Shielded GKE節點服務已經在所有區域提供。</p> <h3><span style="color:#FF8C00;"><strong>#微服務管理、#服務網格</strong></span><br /><span style="color:#0000FF;"><strong>Kong推出開源服務網路控制平臺Kuma，可用來調度服務網格流量</strong></span></h3> <p>開源API管理平臺Kong服務供應商釋出新的開源專案Kuma，Kuma是能用於管理服務網路（Service Mesh）的通用控制平臺，透過無縫管理第四層與第七層網路流量、微服務與API，以解決第一代服務網路的技術限制。Kuma採用軟體定義安全性，為所有第四層流量啟用mTLS，並提供高精細度的流量控制功能，強化第四層路由功能，而Kuma也能夠快速實作追蹤與日誌記錄功能，讓用戶分析指標進行除錯。Kuma可在任意的平臺上執行，包括Kubernetes、虛擬機器、容器、裸機和傳統環境，使整個企業組織都能實踐原生雲端應用。</p> <h3><span style="color:#FF8C00;"><strong>#服務網格、#K8s叢集網路管理</strong></span><br /><span style="color:#0000FF;"><strong>Containous開源微服務網狀網路Maesh，用於管理K8s叢集內部網路流量</strong></span></h3> <p>雲端服務業者Containous開源了新服務網狀網路（Service Mesh），這個專案的目的，是要讓Kubernetes應用程式的各個部分，更容易互相溝通，讓使用者能管理Kubernetes叢集內部流量。這個專為微服務設計的服務網狀網路Maesh，就是建立在反向代理Traefik之上，讓使用者能查看並管理在K8s叢集內流動的流量，Containous表示，管理叢集內部流量跟管理流入流出叢集的流量一樣重要，而Maesh是一個操作簡單功能齊全的服務網格，其基於原生容器的設計，能適用於用戶的K8s叢集，且支援最新的服務網狀網路介面規範（Service Mesh Interface，SMI）。</p> <h3><span style="color:#FF8C00;"><strong>#AWS、#雲端監控、#容器應用安全</strong></span><br /><span style="color:#0000FF;"><strong>Amazon CloudWatch正式為用戶提供容器應用程式監控功能</strong></span></h3> <p>由於容器程式壽命短，過去用戶難以取得完整的監控資料，而現在Amazon CloudWatch針對容器應用程式，推出專門的監控功能。AWS正式發布Amazon CloudWatch中的Container Insights功能，讓用戶能夠監控Amazon ECS以及AWS Fargate新舊叢集中的容器，掌握包括容器利用率以及故障機率等詳細資訊。這項容器分析功能，可以監控叢集中所有正在執行的容器，並收集容器堆疊每一層的效能以及運作資料，監控Kubernetes、支援Kubernetes的Amazon Elastic Container Service、Amazon ECS以及AWS Fargate中容器的使用率以及故障機率等資訊，以進行即時分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_AWS%E5%AE%B9%E5%99%A8%E7%9B%A3%E6%8E%A7.png" /></p> <p>責任編輯／王宏仁</p> <p><strong>更多Container動態</strong></p> <ul><li>Visual Studio更新Azure IoT工具，可遠端進行Linux Docker容器除錯</li> <li>甲骨文發布Java 13，而Eclipse基金會則釋出Jakarta EE 8</li> </ul><p>＠資料來源：iThome整理，2019年10月</p> </div></div></div>
2019/10/8 19:29作者王宏仁https://www.ithome.com.tw/news/133493
瞄準工作站、高階PC市場，英特爾更新Xeon W及Core X處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發表Xeon W-2200及Core X系列處理器，分別鎖定工作站及Prosumer、玩家，將在11月後上市。</p> <p>Xeon W-2200定位在主流級的工作站市場，而不鎖頻的Core X系列處理器則以高階桌上型電腦為主，適合專業消費者Prosumer與電腦玩家，兩款處理器均搭載Turbo boost Max 3.0，最高時脈達4.8GHz，最多提供18核心/36執行緒。</p> <p>此次推出的Xeon W-2200與Core X系列處理器也整合了AI加速功能，Intel Deep Learning Boost技術，和前代相比提供2.2倍的AI推論加速，英特爾強調這項技術可加速影像標記、影像處理、動作偵測的處理。</p> <p>Xeon W-2200系列將會推出8款處理器，規格從4核到18核，英特爾稱在4K影片編輯上，相較前代產品提升11%的處理速度，在3D渲染、遊戲開發部份也分別提升10%。至於Core X則會推出4款處理器，從10核心到最高18核心，以MAYA或3DS MAX等3D動畫渲染提升7%，影像推論效能則提高2倍。</p> <p>英特爾指出兩者差別為，W-2200提供商用等級功能，如vPro的管理功能、ECC錯誤修正碼、RAS（Reliability, Availability, Serviceability），最高可支援至1TB的記憶體，而Core X未支援ECC、RAS、vPro等功能，最高至256GB記憶體。</p> <p>Xeon W-2200系列處理器鎖定專業工作者，如3D渲染、3D CAM、視覺特效、資料科學、AI開發等等，Core X的使用族群可能是自由工作者、專業消費者或是電腦玩家，一般影像編輯、遊戲冊發、3D動畫設計等。W-2200價位從294美元到1333美元，Core X則是590到979美元，英特爾強調消費者依其使用的需要不同，若需要效能及穩定性，可選擇Xeon W-2200。</p> <p>為了讓內容創作需求的使用者能夠識別，英特爾與主機板合作夥伴合作，在部份內建Thunderbolt 3的Core X主機板，在其外包裝盒上貼有Made to Creator的標誌，以供消費者識別。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03539-1.jpg" style="width: 600px; height: 399px;" /></p> <p><strong>力推創作者市場</strong></p> <p>不論是Xeon W-2200或是Core X系列處理器，英特爾不忘強調這些產品能夠滿足內容創作者的需要，呼應了英特爾近來推動的創作者（Creators）PC概念，試圖聯合PC業者的力量，在電競PC外再闢出另一個潛在的市場。</p> <p>不過，英特爾坦言並沒有對創作者PC有明確定義，因為從廣義來看，創作者可能是簡單的照片或影片編輯，到更專業、進階的3D動畫設計、3D CAM、3D渲染等等。</p> <p>「過去是以內容消費為主，而現在有愈來愈多的內容創作」，英特爾台灣分公司發言人李昆龍表示。</p> <p>李昆龍指出從市場研究來看，從PC軟體的使用，全球約有2億的創作者電腦使用需求，另外，電競類電腦產品中約有3成的用戶並非是為了玩遊戲而購買，顯示市場確實存在這樣的需求。</p> <p>雖然沒有對創作者電腦提出明確的定義，但英特爾的策略是和PC業者合作，由PC業者依創作者的不同需求規劃產品設計，有的創作者概念產品強調色彩顯示的精確性，有的因應大量內容的傳輸需要，採用高速的儲存或I/O，例如宏碁上周發表ConceptD系列工作站、筆電、螢幕，強調了色彩顯示上的精準度。</p> </div></div></div>
2019/10/8 19:01作者蘇文彬https://www.ithome.com.tw/news/133519
AWS機器學習服務Amazon SageMaker開放使用EC2最強GPU執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/now-available-in-amazon-sagemaker-ec2-p3dn-gpu-instances/">AWS機器學習服務Amazon SageMaker現在開始能夠使用，EC2中最強的P3執行個體p3dn.24xlarge</a>，其專為分散式機器學習訓練和高效能運算，提供比其他P3執行個體多一倍的GPU記憶體，而且vCPU也多了50％，可以大幅加速大型且複雜的分散式模型訓練工作。</p> <p>AWS提到，深度學習的發展突飛猛進，可以應用在偵測皮膚癌或是開發自動駕駛汽車上，具有從大量非結構化資料，擷取特徵並建構複雜模型的能力，但訓練神經網路需要大量的運算能力，而這也使得開發者轉而使用GPU加速運算，AWS在Amazon SageMaker上提供了EC2的P2以及P3執行個體選項，供有GPU運算需求的用戶使用。</p> <p>這次在Amazon SageMaker服務加入的P3dn.24xlarge，是P3系列中最快的執行個體，其搭載了8個Nvidia V100 GPU，和96個AWS訂製的第二代英特爾Xeon可擴展vCPU，儲存使用1.8 TB的本機NVMe型SSD，AWS提到，由於P3dn.24xlarge提供達100 Gbps的網路傳輸量，因此開發人員能夠有效的利用16、32或 64個P3dn.24xlarge執行個體，進行分散式訓練，以縮短模型訓練時間。</p> <p>除了P3dn.24xlarge提供足夠的網路之外，其使用的V100 Tensor Core GPU以及32 GB的記憶體，都能支援開發人員訓練更大型的機器學習模型，並處理更大批次的資料。目前P3dn執行個體可用於Amazon SageMaker服務，僅在美東北維吉尼亞還有美西奧勒岡區域開放，其他區域還要再等一等。</p> </div></div></div>
2019/10/8 17:20作者李建興https://www.ithome.com.tw/news/133511
又有28個中國組織被川普列入實體名單，包括4家AI新創
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業暨安全局（Bureau of Industry and Security，BIS），本周<a href="https://s3.amazonaws.com/public-inspection.federalregister.gov/2019-22210.pdf" target="_blank">再將28個中國組織納入禁止出口的實體名單（Entity List）</a>，原因是這些組織參與了違反人權的鎮壓行動，大規模地任意拘留或監控維吾爾族與穆斯林族群，其中有20個為中國各地的公安局，<a href="https://www.bloomberg.com/news/articles/2019-10-07/u-s-blacklists-eight-chinese-companies-including-hikvision-k1gvpq77" target="_blank">另有8家私人企業</a>，其中的<a href="https://www.buzzfeednews.com/article/ryanmac/trump-us-blacklist-megvii-sensetime-yitu-xinjiang" target="_blank">4家為人工智慧新創業者</a>，包括1家語音辨識業者與3家人臉辨識業者。</p> <p>此波被中國列入實體名單的中國業者包括：大華科技（Dahua Technology）、海康威視（Hikvision）、科大訊飛（iFLYTEK）、曠視（Megvii Technology）、商湯科技（Sense Time）、美亞柏科（Xiamen Meiya Pico Information）、依圖科技（Yitu Technologies）及頤信科技（Yixin Science and Technology）。</p> <p>其中，大華為視訊監控設備與服務供應商。海康威視是中國的監視器製造大廠。科大訊飛則是中國的AI技術開發商，專門發展語音辨識技術，並協助中國政府建立民眾的語音生物統計資料庫。曠視亦為AI技術開發商，主要開發人臉辨識技術，也曾發表<a href="https://www.ithome.com.tw/news/131855" target="_blank">狗臉辨識服務</a>。商湯亦為基於AI的人臉辨識、深度神經網路新創，在去年曾以45億美元的身價完成6億美元的C輪融資，被譽為全球最有價值的AI獨角獸。美亞柏科為中國的電子資料取證及網路安全產品暨服務的供應商，主要服務對象為中國政府機關。依圖則是中國的人臉辨識大廠，也具備智慧語音與智慧城市的建造能力。頤信科技開發的是野外監控系統、無線視訊監控設備，並提供數據分析。</p> <p>在上述遭到美國禁止出口產品或服務的中國企業中，大華、海康視威與頤信科技屬於監控設備製造商，美亞柏科負責取證，而科大訊飛、曠視、商湯及依圖皆為AI新創，並有3家提供人臉辨識技術。</p> <p>川普除了針對新疆議題對中國出手之外，外傳川普在美國也被要求支持香港民主運動，但目前川普仍然以靜待變，表示希望日趨暴力的香港議題，最終能以人道方式解決。</p> </div></div></div>
2019/10/8 17:30作者陳曉莉https://www.ithome.com.tw/news/133517
紐西蘭初級衛生組織Tū Ora遭駭客入侵，外洩100萬名用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐西蘭的初級衛生組織Tū Ora Compass Health官網在今年8月遭到駭客亂塗鴨，追查之下才知道駭客早在2016年就曾入侵該站，可能有100萬用戶的資料外洩。</p> <p>初級衛生組織（Primary Health Organisation，PHO）是紐西蘭政府出資成立的非營利組織，宗旨在於改善人民的健康狀況，透過醫療中心所提供的病患數據進行分析，再回饋給醫療中心。全紐西蘭設有30個PHO，Tū Ora僅是其中之一，它存放了Wellington、Wairarapa與Manawatu等三大紐西蘭地區的民眾資料，雖然這些地區的總人口數只有64.8萬，但若包括已故或離開相關區域的人口，資料庫中存有從2002年迄今約100萬的民眾資料。</p> <p>儘管<a href="https://www.compasshealth.org.nz/News/Media-Releases/Cyber-Security-Incident-Media-Release" target="_blank">證實了駭客曾在2016年至今年3月間入侵該站</a>，但Tū Ora並不確定駭客的意圖，也不知駭客是否存取了病患的資料庫，而這些資料庫主要存放了民眾的姓名、生日、地址、種族與健康指數等，也有少數的醫療資訊，但並沒有任何的財務資訊、護照號碼或駕照號碼等。</p> <p><a href="https://www.compasshealth.org.nz/Cyber-Security-Incident" target="_blank">Tū Ora表示</a>，他們在遭到駭客塗鴨之後立即切斷伺服器的連線，已與國家網路安全中心及執法單位合作展開調查，並強化系統的安全性，包括把官網移到新平台、加強防毒與電子郵件掃描能力，導入意外分析與管理系統，導入防火牆，還設立了安全操作中心以便未來能即時回應這類的安全威脅，另也警告當地用戶要小心身分竊盜與詐騙。</p> </div></div></div>
2019/10/8 15:10作者陳曉莉https://www.ithome.com.tw/news/133509
Adobe將關閉委內瑞拉的所有帳號以遵守美國制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在今年8月5日發布一<a href="https://www.treasury.gov/resource-center/sanctions/Programs/Documents/13884.pdf" target="_blank">行政命令（executive order）13884</a>，禁止美國業者與委內瑞拉之間的任何交易，這使得<a href="https://helpx.adobe.com/la/x-productkb/policy-pricing/executive-order-venezuela.html" target="_blank">Adobe近日宣布將停用所有位於委內瑞拉境內的帳號</a>，估計至少影響該國境內的數千名用戶。</p> <p>委內瑞拉的使用者<a href="https://twitter.com/materoneill/status/1181371644796911619/photo/1" target="_blank">最近收到了Adobe寄出的郵件</a>，指稱<a href="https://www.bleepingcomputer.com/news/software/adobe-to-ban-users-from-venezuela-due-to-us-executive-order/" target="_blank">為了遵守美國對委內瑞拉的制裁</a>，將無法再繼續提供軟體及服務予該國境內的使用者，委內瑞拉用戶也無法再購買Adobe的新服務或產品，要求該國用戶要在10月28日以前下載存放在Adobe帳號中的內容，且之後即無法再存取其Adobe帳號、軟體與服務。</p> <p>Adobe表示，13884行政命令並無截止日，該命令何時撤銷完全仰賴美國政府，Adobe將會密切觀察相關動態，一旦被撤銷就會儘速恢復委內瑞拉境內的服務。</p> <p>此外，Adobe還說無法退款給該國境內的用戶，因為此一行政命令明文規定禁止所有的交易，包括銷售、服務、支援及退款等。</p> <p>川普針對委內瑞拉發表行政命令的主要原因，為該國總統Nicolas Maduro與其黨羽的權力掠奪行為，並指責Maduro任意並非法逮捕委內瑞拉的公民，干預言論自由，侵犯人權。</p> <p>想當然爾，此事在社交平台上掀起了熱議，有人說這讓委內瑞拉境內任何仰賴Photoshop或Acrobat的非政府組織或獨立媒體，都失去了重要的工具，也有人覺得美國政府的制裁對委內瑞拉境內的少數誠實企業並不公平，人權觀察組織Human Rights Watch主任José Miguel Vivanco則說，這樣的制裁方式只會削弱對抗專制政府之公民社會的能力。</p> </div></div></div>
2019/10/8 14:25作者陳曉莉https://www.ithome.com.tw/news/133508
Google要求Android 9/10裝置都要內建數位健康程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不管是Google或蘋果都開始注重人們的數位健康，在作業系統中新增數位健康功能，而<a href="https://www.xda-developers.com/google-digital-wellbeing-parental-controls-required-android/" target="_blank">XDA-Developers更在本周引用Google文件指出</a>，Google要求OEM業者在推出採用Android 9（Android Pie）及Android 10的新裝置，或者是要升級到Android 9及Android 10時，都必須配備數位健康解決方案，可以是Google的Digital Wellbeing與Family Link，也能是業者客製化的解決方案。</p> <p>Google出版該文件的時間點為今年的9月3日，與Google發表Android 10同一天。</p> <p><a href="https://www.androidpolice.com/2019/10/07/google-mandates-digital-wellbeing-for-all-android-devices-going-forward/" target="_blank">根據Google的最新規定</a>，舉凡要預載Google Mobile Services（涵蓋Google Play、搜尋、地圖與Gmail等）的Android裝置，都必須內建家長控制與數位健康解決方案。</p> <p>Google先前就已打造了Family Link與數位健康（Digital Wellbeing）工具，其中的Family Link屬於家長控制功能，可訂定基本的家庭使用規則，可用來控制裝置的使用時間並管理子女瀏覽的內容，Family Link提供了Android與iOS版本的程式，但所管理的裝置則只能是Android。</p> <p>至於數位健康程式則能用來查看使用各種應用程式的頻率、收到的通知數量、查看手機的頻率，也能設定應用程式的使用限制，或是在夜間時提醒使用者放下裝置，亦可一鍵關閉所有的通知音效。</p> <p>依照Google的規定，Android 9與Android 10就算不內建Family Link與數位健康，也應內建業者自製的數位健康解決方案。</p> </div></div></div>
2019/10/8 14:10作者陳曉莉https://www.ithome.com.tw/news/133507
macOS Catalina正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/10/macos-catalina-is-available-today/" target="_blank">蘋果在10月7日正式釋出</a>新一代的macOS<a href="https://www.apple.com/tw/macos/catalina/" target="_blank"> Catalina作業系統</a>，它除了把iTunes拆成Apple Music、Apple Podcasts與Apple TV三款程式之外，新增了遊戲訂閱服務Apple Arcade，還有可以iPad作為延伸螢幕的Sidecar功能，並支援Voice Control語音控制功能，而針對開發人員所設計的Catalyst專案，則能輕易把iPad程式移植到macOS Catalina上。</p> <p>Apple Music、Apple TV與Apple Podcasts等3個新程式，可讓使用者存取原本在iTunes中的音樂、電視節目/電影及Podcast等內容，目前Apple Music提供5,000萬首音樂，而Apple TV則能存取逾10萬部電影與電視節目，蘋果原創內容訂閱服務Apple TV+也會在11月1月現身，至於Apple Podcasts現在約有超過70萬種節目。</p> <p>全新的Apple Arcade提供超過100款獨家遊戲，每月訂閱費用為4.99美元（台灣為170元新台幣），最多可支援6名家庭用戶，目前提供1個月的免費試玩，且可同時相容於Mac、iPhone、iPad與Apple TV等裝置。</p> <p>新的語音控制是項可特別造福身障者的功能，使用者可以用語音輸入文字、開啟程式及操作程式，標榜可以完全利用語音來控制Mac電腦。</p> <p>而Catalyst專案則可協助開發人員將iPad程式移植到Mac上，儘管平台不同，但可採用一致的原始碼，還能替Mac版本新增功能，讓iPad程式充份利用Mac的架構與螢幕，也能配合現有的Mac程式，在不同的程式間拖曳內容。</p> <p>已可在Mac上使用的iPad程式包括Twitter、TripIt、Post-It、GoodNotes與Jira等，估計未來將有更多的iPad程式躍上macOS平台。蘋果也鼓勵開發人員採用Catalyst專案，以讓他們的iPad程式能夠觸及全球超過1億的Mac用戶。</p> <p>macOS Catalina相容於2012年中以後推出的Mac裝置，使用者可透過軟體更新取得或自Mac App Store下載。</p> </div></div></div>
2019/10/8 12:10作者陳曉莉https://www.ithome.com.tw/news/133506
英國政府警告：Pulse Secure、Palo Alto和Fortinet的VPN存在APT攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/alert-vpn-vulnerabilities">英國國家網路安全中心（National Cyber Security Centre，NCSC）警告</a>Pulse Secure、Palo Alto和Fortinet的VPN使用者，這些VPN存在可被駭客用作APT（Advanced Persistent Threat）攻擊的漏洞，攻擊行動範圍擴及英國以及國際組織，影響的部門包括政府、軍事、學術、商業以及醫療保健。</p> <p>這些SSL VPN產品存在可以讓攻擊者任意檢索檔案的漏洞，使用者存在身分驗證憑證洩漏的疑慮，NCSC提到，攻擊者可以利用這些竊取的憑證連接至VPN，並且更改VPN配置或是連接組織內部基礎設施，而且未經授權的VPN連接，也提供了攻擊者存取根殼層需要的執行特權。</p> <p>Pulse Secure的VPN產品Pulse Connect Secure被NCSC找出了兩個漏洞，分別是CVE-2019-11510預驗證任意檔案讀取的漏洞，以及CVE-2019-11539驗證後命令注入漏洞，而Fortinet則有三個漏洞被用於APT攻擊，CVE-2018-13379預驗證任意檔案讀取漏洞，還有CVE-2018-13382漏洞允許未經身分驗證的攻擊者變更SSL VPN入口網頁的使用者密碼，CVE-2018-13383漏洞則可以讓攻擊者存取路由器上執行的殼層。另外，Palo Alto的CVE-2019-1579漏洞，則是可以讓未經身分驗證的攻擊者，在GlobalProtect Gateway Interface以及GlobalProtect Portal上，遠端執行任意程式碼。</p> <p>NCSC建議懷疑遭到入侵的組織，應該撤銷被盜走的憑證資料，最直接的方式就是重置修補系統漏洞之前的憑證，防止攻擊者利用這些憑證進行未經授權的存取，對於確定遭到APT攻擊者鎖定的組織，都應該重新檢查VPN的配置，包括SSH authorized_keys檔案、新的iptables規則，以及連接客戶端上執行的命令，組織可以直接以配置備份還原這些設定。</p> <p>組織也應該監控以及分析日誌，以找出可疑的IP地址連接，尤其是成功連接或是存取大量資料的IP。當組織懷疑遭到入侵，卻找不到任何具體證據，則應該恢復原廠設定，NCSC提醒，使用者應該為VPN服務啟用雙因素驗證，以避免受到密碼重送攻擊，而且也應該禁用不需要或未使用的功能，以減少VPN被攻擊面。</p> </div></div></div>
2019/10/8 10:10作者李建興https://www.ithome.com.tw/news/133480
DNS-Over-HTTPS弊大於利？荷蘭國家網路安全中心與亞太網路資訊中心相繼提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/132939" target="_blank">Mozilla</a>與<a href="https://www.ithome.com.tw/news/131529" target="_blank">Google</a>相繼宣布要在Firefox與Chrome瀏覽器中導人DoH（DNS-over-HTTPS）之後，外界質疑的聲浪就不曾斷過，而近日荷蘭國家網路安全中心（NCSC）與亞太網路資訊中心（APNIC）亦出面批評DoH，前者聲稱DoH將讓組織更難執行安全控制，後者則說DoH不利隱私，呼籲外界不要對DoH有著過度期待。</p> <p>DoH就是傳遞網域名稱系統（DNS）解析請求時採用HTTPS加密協定，而非使用標準的明文請求，因而可以避免使用者的請求受到審查、監控或遭到竄改，標榜能夠強化使用者的隱私與安全。</p> <p>不過，這些特色同樣也帶來了困擾。例如<a href="https://www.bleepingcomputer.com/news/security/dutch-govt-explains-the-risks-behind-dns-over-https-move/" target="_blank">NCSC便說</a>，那些仰賴過濾機制來進行安全監控的組織或企業，將因此失去安全控制能力，而得將網域名稱解析的任務交給第三方，可能因此造成資訊外洩，曝露組織內部的資源命名，甚至破壞內部網路的連結。</p> <p>而APNIC則說明，DNS（網域名稱系統）通常是由網路的操作者所提供，可能是ISP業者、可能是電信業者、可能是企業主，或者是邪惡的公開Wi-Fi，但DoH基本上只能阻止中間人攻擊，並無法阻止DNS伺服器供應商檢視、封鎖或竄改DNS資料。</p> <p>此外，APNIC指出，其實在4種情況下使用者所造訪的網站都會以明文傳輸，DNS只是其中之一，有些瀏覽器允許使用者以HTTP提出請求，再轉至HTTPS；或者是TLS經常必須以明文傳輸使用者打算連結的網站名稱；為了確保TLS傳輸是有效的，瀏覽器與TLS會執行OCSP來查找CA供應商，而此一查找內容亦為明文；且研究顯示，有95%的網站只要透過IP位址就能確認它們的身分，且IP位址無法加密。</p> <p>除了NCSC與APNIC之外，<a href="https://www.zdnet.com/article/dns-over-https-causes-more-problems-than-it-solves-experts-say/" target="_blank">ZDNet也整理了</a>許多安全研究人員對DoH的擔憂。除了上述的DoH並無法阻止ISP業者追蹤使用者、可能破壞組織的安全監控之外，還有人認為它會削弱網路安全，因為當把查詢流量加密之後，便無法再利用黑名單或查詢資料，來判斷使用者是否連結到惡意網站，因而助長網路犯罪。</p> </div></div></div>
2019/10/8 10:30作者陳曉莉https://www.ithome.com.tw/news/133499
OpenJS基金會接受Node版本管理器NVM成為第一個孵化器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年年初的時候，JS基金會與Node.js基金會正式合併成為OpenJS基金會，以促進JavaScript生態系的關鍵專案發展，而現在該基金會宣布，<a href="https://openjsf.org/blog/2019/10/03/openjs-foundation-welcomes-first-project-node-version-manager-nvm/">Node版本管理器（Node Version Manager，NVM）將成為OpenJS基金會的第一個孵化器專案</a>。</p> <p>NVM是最熱門用來安裝Node.js的方法，也是最廣泛用來管理多個已安裝Node.js版本的工具，NVM是一種POSIX相容的bash腳本，可用於管理多個啟用的Node.js版本。由於用戶建立Node.js應用程式的時候，在不少情況下需要使用不同版本的Node.js，而透過使用NVM，則能方便地安裝和管理不同的版本。</p> <p>官方表示，NVM加入OpenJS基金會將會獲得更好的支援，向使用者提供更穩定的服務，另外，NVM也可依照治理原則以及行為準則運作，確保維護人員交替時，專案仍然可以維持穩定。Node.js發布工作組成員Bethany Griggs提到，NVM是構成Node.js生態系的重要部分，能讓升級Node.js新版本或是在現有版本間切換更簡單，在開發不同Node.js版本的專案時特別有用。</p> </div></div></div>
2019/10/8 10:50作者李建興https://www.ithome.com.tw/news/133491
熱門UI設計工具Figma的擴充套件系統存在漏洞，官方抽換底層基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>UI設計工具Figma最近才發布的擴充套件系統，就發現其應用的沙盒技術Realms Shim存在數個漏洞，這些漏洞可能使程式碼逃脫沙盒，雖然經過官方的檢查，沒有發現任何Figma套件曾經利用漏洞的跡象，但為了安全起見，<a href="https://www.figma.com/blog/an-update-on-plugin-security/">官方更換了整個套件系統的底層架構</a>，確保類似的問題不會再發生。</p> <p>官方提到，Figma套件系統的漏洞一部分是在GitHub的公開議題（Issue）上揭露，另一部分則是以私密的GitHub安全通報發布，Realms Shim技術的開發廠商Agoric在發現漏洞的第一時間，通知了所有使用Realms Shim的開發團隊，由於第一個漏洞在GitHub公開揭露，Agoric當天隨即修補問題，Figma也更新了Figma擴充套件系統的Realms Shim版本。</p> <p>而剩下在GitHub安全通報揭露的漏洞，則只有少數的組織才可以存取，他們與Agoric合作，花了一個星期修復漏洞，同時確保漏洞的資訊沒有公開，並且仔細審核推出的套件，尋找可能利用漏洞的Figma擴充套件。</p> <p>雖然完成了Realms Shim的漏洞修補工作，但是官方提到，他們為了安全起見，還是修改了擴充套件執行JavaScript程式碼的方式，不再使用Realms Shim，而是使用QuickJS，這是一種以C語言撰寫，並交叉編譯成WebAssembly的JavaScript VM，這原本是作為當Realms Shim方法不可用時的替代方案，而現在Figma透過切換基礎架構快速的啟用備份計畫。</p> <p>Figma提到，這次Realms Shim漏洞發生的原因，在於Realms Shim搞混了沙盒內部物件以及外部物件，因此Realms Shim對所有JavaScript程式碼使用相同的VM，而新的實作就完全不會有這樣的問題，因為是編譯成WebAssembly的JavaScript VM，就不可能有將內外物件搞混的狀況，因為物件表達的形式完全不同。</p> <p>而Figma選用Realms Shim技術的原因，是因為Realms Shim效能出色，而且讓擴充套件除錯工作變得簡單，由於在Realms Shim中的程式碼仍然使用瀏覽器的JavaScript VM，因此執行速度就跟一般的JavaScript一樣。Figma表示，雖然替代方案QuickJS會影響部分擴充套件的效能，但是本質上卻更安全。</p> </div></div></div>
2019/10/8 10:55作者李建興https://www.ithome.com.tw/news/133492
英國政府選用OpenAPI 3規範描述RESTful API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://technology.blog.gov.uk/2019/10/02/improve-csvs-and-api-descriptions-with-these-open-standards-board-recommendations/">英國政府開放標準委員會在GitHub接受貢獻者提案</a>，將採用RFC 4180作為發布表格的標準，使得資料能夠更加便於發布以及重新使用，而在RESTful API描述上，則採用OpenAPI 3的規範，增加API描述的一致性與準確度。</p> <p>在2016年的時候，社群就曾經要求，使用第三版本的OpenAPI規範來描述RESTful API，但是當時普遍認為規範太新，沒有足夠的工具支援，也不知道是否會得到用戶的支持而作罷，現在開放標準委員會在OpenAPI 3成熟後重新審查了這項提案，由於這項規範不適用於所有API，因此沒有強制執行，僅建議各單位使用該規範。</p> <p>OpenAPI 3之所以重要，GDS提到，無論以什麼程式語言開發的API，OpenAPI 3都能幫助使用者產生準確最新的API參照文件，且能夠驗證、版本化、維護和更新所產生的文件，而文件中使用相同的API描述，也能減少其他使用者理解API的時間，進而在政府中提升API的採用率。</p> <p>由於OpenAPI 3本來就是描述RESTful API最常見的方法，而且支援OpenAPI 3的工具持續發展，在2016年擔心的缺點都已經不存在，因此開放標準委員會現在決定採用OpenAPI 3，以鼓勵API團隊產生機器可讀且和語言格式無關的定義文件，讓開發人員無論熟悉哪一種開發語言，都能輕易地理解API的功能。</p> <p>社群在GitHub上提出的另一個議題（Issue），則是要求開放標準委員為CSV訂定標準格式。RFC 4180是CSV檔案標準格式的簡單文件描述，CSV（Comma Separated Value）格式以純文字的形式儲存表格資料，包括數字和文字，整個檔案以任意數量的紀錄組成，紀錄之間以換行符號分隔，每筆紀錄則由欄位組成，欄位之間通常以逗號作為分隔符號，是軟體之間常用來交換資料的格式。</p> <p>負責英國政府進行數位轉型的機構GDS（Government Digital Service）提到，GOV.UK上的資料表格通常會以CSV與試算表格式一起發布，但是缺乏CSV標準將會為重用資料的人帶來不少麻煩，因此社群便在英國政府的GitHub上發出議題，要求標準化CSV。</p> <p>而經過廣泛討論之後，英國司法部架構師David Read和其他貢獻者共同進一步發展了RFC 4180的配置文件，由於RFC把部分的標準留做可選用項目，因此這些貢獻者在配置文件中，明確定義了英國政府標準的使用方式，包括字元編碼必須使用UTF-8，以及資料中必須包含標題列等規則。標準的CSV文件可供任何工具直接使用，不需要進行預先編輯，而這將能讓英國政府的開放資料更容易被使用，也節省資料分析師的時間。</p> </div></div></div>
2019/10/8 10:10作者李建興https://www.ithome.com.tw/news/133479
執行紅隊演練，別受制於手上資訊與已知手法、漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業試圖找出整體資訊系統弱點的方法裡，紅隊演練（Red Team）可說是打破滲透測試只鎖定單一系統等範圍限制，然而，在紅隊演練的過程裡，負責找出系統弱點的紅隊隊員，很可能因為判斷的思維上，過於依賴自身經驗或是熟悉的工具，而可能錯過找到弱點的情況。戴夫寇爾資安研究員丁諭祺（Ding）針對這樣的現象，於今年的DEVCORE Conference上，指出演練時需要留意的5項技巧，希望執行人員能夠在專案有限的時間裡，透過駭客的思維找出系統漏洞。</p> <p>基本上，執行紅隊演練的從業人員，不只需要擁有專精的技術，還必須在指定的時間和範圍內，進行通盤的檢查，因此，迫於這些限制，雖然他們已經精通有關技術，還是很可能因為自身的經驗，而影響找尋系統弱點的方向。</p> <h2>盲點源自於範圍的局限</h2> <p>究竟那些事情會影響紅隊隊員的調查方向呢？丁諭祺說，以企業委由資安公司執行紅隊演練的專案文件內容為例，通常會載明雙方的聯絡窗口資訊、執行紅隊演練的時間、目標範圍，有些公司還會提供測試帳號等等。然而，光是文件寫明的演練範圍來說，就可能出現文件寫明是單一網站，企業卻覺得範圍應該是整個網域，而這種認知上的差異，也同樣會出現在紅隊的隊員之間。</p> <p>例如，演練網域和IP位址對應上，並非一對一的情況，紅隊隊員甚至可能要探究內容傳遞網路（CDN）背後的真實IP位址，或是開發者與主機資訊等，導致從不同管道進行調查，結果可能會大不相同。再者，若是遇到有些公司主動提供測試帳號，紅隊隊員也可能因為有現在帳號可用，而遺漏檢查系統的帳號申請流程。</p> <p>針對這些可能會左右調查方向的細節，丁諭祺總共歸納出5大類型的迷思，包含過於信任情資而產生的誤判、自我局限調查的範圍，或是太過依賴熟悉的工具與方法，而導致找出漏洞的過程裡，全程幾乎只使用一種招式。</p> <p>再者，資安人員也可能在已經進行偵察過後，忽略時空變化所產生的環境差異，認為調查範圍沒有會被攻擊之處。有時候因為企業部署了各式的資安防護措施，資安人員可能過於著重在尋找繞過的方法，使得思考方向大幅受到限制。</p> <p>在這些類型的盲點中，總體來說，其實幾乎都圍繞著一件事，那就是資安人員可能會過度相信自己能夠掌握的資訊，模糊焦點而影響判斷。以局限演練範圍來說，我們可能過於相信專案上所描述的內容，再加上自己理解的情蒐範圍，而導致可能錯失有用的偵察之處；時空差異則是另一種演練範圍的限制，使得紅隊隊員檢查過後，忽略企業系統運作中，存在負載平衡與高可用性的機制，使得他們難以找到僅發生在部分環境的弱點。</p> <p>至於過於在意系統的防禦機制，也是源自於紅隊隊員調查的情報，因為過於想要以技術來突破防禦措施，並未思考其他可能有機會拿來利用的管道。</p> <p>而對於紅隊人員只使用一招打天下的慣性，也會錯失攻擊的可能性。由於資安研究員專精特定領域，對於其他不甚了解的部分，可能選擇使用熟悉的單一方法調查系統漏洞，導致必須經過長途跋涉，耗費大量的時間和資源才能達到目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_oneskill.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_oneskill.jpg" style="width: 590px;" /></a></p> <blockquote><p>紅隊隊員在發現漏洞後，馬上使用自己專精的方法著手，雖然能夠達到目的，但需要耗費大量的時間和資源（紫色箭頭程序），因此丁諭祺認為，要先全盤調查並記錄，找到最佳路徑，才能事半功倍（綠色箭頭程序）。（攝影／周峻佑）</p> </blockquote> <h2><strong>癥結點在於過度相信已掌握資訊</strong></h2> <p>一般而言，在紅隊演練的過程裡，紅隊隊員尋找系統漏洞時，相當倚賴情資所提供的訊息。然而，紅隊隊員很可能掌握到過時情資，或是依據自己的經驗，再加上過度聯想，認為不會有漏洞而略過調查。因此他認為，紅隊隊員對於手上握有的情資，必須隨時保持懷疑的態度，非但不能一味相信，甚至還要想辦法親自驗證才行。</p> <p>丁諭祺說，即使是測試工具，也可能會出現執行結果不正確的情形。像是資安人員經常會將惡意軟體的特徵加入字典檔裡，卻可能因為工具的臭蟲，而導致沒有發揮作用，偵測不到前述已納入的惡意軟體。</p> <p>實務上可能會遇到的情形會是如何？像是紅隊隊員得知受測單位裡，握有資訊系統管理權限的工程師，打算針對他進行網路釣魚或是撞庫攻擊，但實際上，這名工程師卻已經在2個多月前離職。這樣的情資，便可能影響該名隊員執行演練工作的進度，還有可能繞了一大圈之後，才知道取得的情資有誤。</p> <p>而針對漏洞的部分，也不能把某些事情視為理所當然。丁諭祺指出，紅隊隊員很可能因為某個程式庫已有很多研究員做過分析，執行紅隊演練的單位也執行多次滲透測試，就認為應該不會有漏洞。</p> <p>對此，丁諭祺舉出兩個戴夫寇爾團隊執行演練時，親身經歷的案例，在第一個案例裡，戴夫寇爾資安團隊已經透過GitLab伺服器，取得攻擊目標伺服器的原始碼，並且找到許多漏洞，但在此同時，他們卻不能找到實際能夠用來攻擊伺服器的弱點，而無法取得伺服器的Shell。</p> <p>後來發現能存取的關鍵在於，他們在Git的忽略檔案清單（.gitignore）的規則裡，找到一個名為phpinfo的檔案，疑似是開發過程的測試檔案，已經被開發者找到會洩漏資訊的情形，並寫到報告的草稿之中。解析其中的內容後，他們發現含有危險函式EVAL，因此便能搭配前述的漏洞，發動攻擊。</p> <p>第二個案例，則是針對採用TCPDF函式庫的網站，戴夫寇爾資安團隊鎖定這個函式庫已知的CVE漏洞，進行檢測後發現沒有問題，他們便覺得，上述可將訂單匯出為PDF檔案的函式庫，廣受許多電子商城採用，應該不會存在重大問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_cvedetails.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_cvedetails.jpg" style="width: 590px;" /></a></p> <blockquote><p>沒有CVE漏洞就真的毫無弱點嗎？針對案例中所提到的TCPDF函式庫，丁諭祺說，在資安人員常用的CVE Detals網站上，只找得到一個在2017年發現的列管漏洞。紅隊隊員很可能測試過這個CVE後，就誤以為系統的這個函式庫沒有問題。（攝影／周峻佑）</p> </blockquote> <p>然而在進一步檢測之後，他們卻發現，使用者能在訂單裡輸入惡意程式碼，並且在匯出訂單的PDF文件時，藉由輸出副檔名為.PHP的檔案，執行任意指令，進而取得伺服器的Shell。</p> <p>從這兩個案例中，丁諭祺指出了幾個執行過程的盲點，首先，他們以為，從GitLab取得的原始碼，就是伺服器上所有的檔案，而忽略部分測試檔案並不會上傳到程式碼代管平臺。其次，他們則是認為，開發者已經編寫了分析報告，就代表漏洞已經修補完成。</p> <p>而在TCPDF函式庫的部分，則是偏重已經通報CVE的漏洞，而沒有留意可能在坊間流傳漏洞，丁諭祺說，尤其是需要結合多個環節才能濫用的攻擊手法，紅隊演練的隊員更容易輕忽。</p> <h2><strong>攻防不光是針對系統，也考驗人性</strong></h2> <p>比較特別的部分是，紅隊隊員也可以反過來運用系統裡的防禦機制，進一步得到所需的資訊，而成功在專案結束前達成目標。其中的一個例子，便是他們發現網站伺服器的任意讀檔漏洞，但取得所需的絕對路徑，竟然是透過防毒軟體的事件記錄資料──他們刻意上傳了惡意軟體，觸發伺服器裡的防毒軟體警示通知，然後透過事件記錄內容，得到存放網站檔案的Web資料夾本機路徑。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_spywarepath.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_spywarepath.jpg" style="width: 590px;" /></a></p> <blockquote><p>紅隊隊員想要突圍找出系統漏洞，就只能「繞過」或「打穿」防毒軟體嗎？丁諭祺舉出一個案例，就是利用網站伺服器裡安裝的防毒軟體，盡忠職守將惡意軟體攔截，他們得到伺服器本機裡，存放所有網站檔案的Web資料夾完整路徑。（攝影／周峻佑）</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_ofcscanini.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_ofcscanini.jpg" style="width: 590px;" /></a></p> <blockquote><p>除了前述提到能變相利用防毒軟體之餘，丁諭祺也指出其他相關的情資收集應用，像是能從防毒軟體的組態設定檔案中，得知企業環境中的代理伺服器參數，或是得到反安裝密碼，進而停用防毒軟體等。值得注意的是，雖然這裡的案例中，企業部署的是趨勢科技OfficeScan，但丁諭祺表示，由於各廠牌的企業版防毒軟體都會留下執行記錄，因此這裡提到的手法，可以運用到不同廠牌的防毒軟體上。（攝影／周峻佑）</p> </blockquote> <p>另一個例子，則是在他們攻下企業的重要服務主機後，卻無法取得AD網域管理員的權限，這時他們利用觸發防毒軟體警示的方法，使得AD網域管理員登入系統察看，再從中側錄到他的帳號和密碼，進而得到客戶的機密資料，丁諭祺說，整個過程僅花費不到20分鐘，在專案結束的最後一刻達標，宛如科幻電影裡演的情節，因此他認為，由於防禦機制是人想出來的，紅隊演練不完全只有針對系統本身，也有存在人性探察的成分。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_adadmin.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_adadmin.jpg" style="width: 590px;" /></a></p> <blockquote><p>觸發防毒軟體還能釣出AD網域管理員的帳號密碼！丁諭祺舉出他們在距離演練的時限20分鐘之內，利用這種方式，讓管理者上線而達成目標。（攝影／周峻佑）</p> </blockquote> </div></div></div>
2019/10/7 10:46作者周峻佑https://www.ithome.com.tw/news/133469
GalactiCrypter勒索軟體有解了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Emsisoft上周釋出勒索軟體<a href="https://www.emsisoft.com/ransomware-decryption-tools/galacticrypter" target="_blank">GalactiCrypter的解密工具</a>，此一在2016年就現身的勒索軟體迄今仍在網路上流傳，它利用AES-256加密受害者電腦上的檔案，若檔案名稱被加上ENCx45cR，就是已遭加密，並向受害者勒索與150美元等級的比特幣。</p> <p>不過，Emsisoft上周釋出了免費的GalactiCrypter解密工具，可用來回復遭到GalactiCrypter加密的檔案，同時再度呼籲受害者不論如何都不該支付贖金。</p> <p>在執行<a href="https://www.emsisoft.com/ransomware-decryption-tools/howtos/emsisoft_howto_galacticrypter.pdf" target="_blank">GalactiCrypter解密工具</a>之前，受害者必須先移除系統上的勒索軟體，否則只會不斷地被加密，假設系統是因Windows遠端桌面（Windows Remote Desktop）功能而感染了勒索軟體，研究人員則建議受害者應該變更所有可遠端登入的用戶密碼，並檢查本地端使用者帳號的完整性。</p> </div></div></div>
2019/10/7 15:25作者陳曉莉https://www.ithome.com.tw/news/133476
創投a16z：軟體已經攻佔全世界，但開源碼正在進佔軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開源軟體剛問世的時候，幾乎沒有創投會對它感興趣，然而，美國創投業者a16z（正式名稱為AH Capital Management）合夥人<a href="https://a16z.com/2019/10/04/commercializing-open-source/" target="_blank">Peter Levine表示</a>，開源碼已從社群走向商業化，且現在正是建立開源碼業務的最佳時機，人們正進入開源碼的文藝復興時期。</p> <p>Levine也曾是一名開源碼工程師，在開源碼領域浸淫了三十幾年，他說，開源碼一開始是個邊緣的活動，卻逐漸成為軟體開發的中心。早期還沒有被稱為「開源碼」（open source）的時候，只被叫做自由軟體，當時只圍繞在Linux/Unix的 [~}$ BIFF的指令，可在收到新郵件時跳出通知，而這個指令的名稱只是因為柏克萊一名開發人員養的狗（Biff）會對郵差吠叫，在那個開源碼不受重視的年代，如此重要的指令卻是以狗來命名的。</p> <p>然而，如今的開源碼才正要開始大放異彩。</p> <p>Levine把開源碼的發展歸類為幾個階段，一是尚被稱為自由軟體的Open Source 0.0階段，那是學術界及業餘人士秉持著免費的精神來打造軟體的時代；隨著Linux在1991年發表而步入了Open Source 1.0階段，而開源碼這個名稱則是在1998年才出爐。</p> <p>Open Source 1.0階段才真正出現第一波開源碼的商業模式，是由紅帽（RedHat）與MySQL等業者，開始提供基於自由軟體的付費支援及服務。</p> <p>自2000年代中期之後，開源碼的價值逐漸因為雲端運算的興起而轉移至軟體即服務（software-as-a-service，SaaS），因為雲端使用者並不知道或不在乎雲端代管業者的底層架構是基於開源碼或私有軟體，讓開源碼的價值逐漸跟上了私有軟體業者。</p> <p>Levine表示，當昇陽在2008年以10億美元買下mySQL時，當時的他認為這已是任何開源公司所能獲得的最大利益，但事實並非如此，之後不管是Cloudera、MongoDB、Mulesoft、Elastic或GitHub都創造了數十億美元的價值，微軟以75億美元買下了GitHub，IBM更以340億美元收購了紅帽。</p> <p>而現在的開源碼已進入了3.0階段，每家軟體公司都有開源碼的成份，若說軟體已經攻佔了世界，那麼開源碼正在進佔軟體。</p> <p>Levine解釋，幾乎所有主要的科技公司，從臉書到Google，都有開源軟體作為支撐，亦持續不斷地打造自己的開源專案，例如Airbnb已建立超過30個開源專案，而Google甚至超過2,000個。這樣的良性循環將延伸到新興的AI、開源資料與區塊鏈，新一代的開源商業模式將包括廣告支持、資料驅動營收與加密代幣。</p> <p>Levine說，他相信Open Source 3.0將超越大家曾經定義的開源業務，開源指的不再是紅帽、Elastic、Databricks與Cloudera，而是臉書、Airbnb、Google，以及其它以開源碼作為重要基礎的企業，從這個角度來看，開源碼的文藝復興才正在起步，開源軟體的市場與可能性也將遠大於我們曾經意識到的。</p> </div></div></div>
2019/10/7 15:45作者陳曉莉https://www.ithome.com.tw/news/133477
蘋果遭開發商控Sign with Apple侵權，還將其app從Mac App Store下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在iOS 13推出隱私登入功能Sign with Apple強化用戶保護，但上周一家小型郵件軟體開發商Blix向德拉瓦州法院<a href="https://www.scribd.com/document/428792774/Blix-v-Apple" target="_blank">控告蘋果侵犯軟體專利</a>，而且蘋果還涉嫌濫用其軟體市集的主宰地位，將其軟體從Mac App Store下架。</p> <p>Blix指控，Sign with Apple是抄襲該公司郵件軟體Blue Mail中的功能。Blix創辦人Ben Volach投入開發讓使用者利用可管理的公開「地址」相互通訊、同時不洩露私有郵件信箱的技術，這項技術今年7月取得編號9,749,284號的美國專利。Blix的多帳號郵件管理app BlueMail去年加入名為「Share Email」的功能，控告文件指出，本功能基本上是其專利技術的實作。然而蘋果卻在未取得該公司同意、未支付授權費情況下，將該技術用於Sign with Apple中。</p> <p><a href="https://appleinsider.com/articles/19/10/04/developer-of-bluemail-sues-apple-over-sign-in-with-apple-app-store-monopoly" target="_blank">根據Apple Insider報導</a>，Share Email的技術原理是扮演匿名公開通訊的自動化清算平台，藉由產生reverse list將user action和公開帳號綁在一起，這就讓用戶可透過公開帳號收發訊息，就不必洩露私有郵件信箱位址。例如BlueMail用戶可先在社交網站上註冊其電子郵件，之後透過社交網站進行私密通訊。</p> <p>Blix還指控，蘋果在發表6月初Sign with Apple不到二周前，將該公司的BlueMail從MacOS App Store上移除，以阻止該公司軟體與蘋果競爭。BlueMail今年5月8日在Mac App Store上架，同月20日就被蘋果下架，後者的理由是，BlueMail和Blix另一款app TypeMail功能重疊。但Blix宣稱Type Mail早在5月初之前就已自主下架，根本不存在蘋果所說重疊問題。</p> <p>Blix並說，BlueMail在App Store上遭到蘋果透過調整軟體市集的搜尋演算法，壓低BlueMail在搜尋結果列的順位。上個月<a href="https://www.ithome.com.tw/news/133011" target="_blank">紐約時報報導</a>，蘋果調整App Store的搜尋演算法將對手打壓殆盡後，今年終於收手讓競爭app排名得以上升。但蘋果高層仍稱之前的演算並沒有錯。<a href="https://appleinsider.com/articles/19/10/04/developer-of-bluemail-sues-apple-over-sign-in-with-apple-app-store-monopoly" target="_blank">Blix對媒體表示</a>，在經過這番調整後，BlueMail的排名也從143名回復到13名。</p> <p>這家軟體業者要求法院停止蘋果的侵權及壟斷打壓行為，並要求賠償及支付官司費用。</p> </div></div></div>
2019/10/7 14:15作者林妍溱https://www.ithome.com.tw/news/133474
微軟：伊朗駭客鎖定2020年美國總統大選陣營與政治人物的帳號展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2019/10/04/recent-cyberattacks-require-us-all-to-be-vigilant/" target="_blank">微軟上周發出警告</a>，指出已發現一個由伊朗政府支持的駭客集團Phosphorus，在今年的8月到9月間大量辨識微軟客戶的電子郵件帳號，並針對其中的241個展開攻擊，這些帳號涉及2020年美國總統大選活動陣營、現在或前任的美國政府官員、專門報導全球政治的記者，以及旅居國外的伊朗人。</p> <p>根據微軟的統計，Phosphorus在這30天內企圖辨識2,700個微軟電子郵件帳號是否為目標攻擊對象，並針對其中的241個展開攻擊，有4個帳號被成功入侵。</p> <p>Phosphorus的攻擊行動在技術上並不複雜，駭客先蒐集了大量的個人資訊，以確認這些人的微軟帳號是否為目標攻擊對象，再針對目標展開攻擊。有時候先開採微軟帳號所綁定的第二個電子郵件帳號，利用密碼重置或帳號復原功能取得微軟帳號，有些時候則取得了目標對象的電話號碼，再以之進行密碼重設。</p> <p>不過，被成功入侵的4個微軟帳號，都與總統大選陣營或美國政府官員無關。</p> <p>雖然這只是個尋常的攻擊行動，但微軟表示，他們只是想讓國家級的駭客攻擊變得愈來愈透明，以協助其它國家或用戶提高警覺。</p> <p>微軟在去年8月推出免費的AccountGuard帳號安全服務，以保護那些支撐民主的組織，免受國家級網路攻擊的威脅，迄今已有來自26個國家的6萬個帳號接受微軟的保護，這一年來這些使用者已收到來自該服務的逾800次攻擊通知。</p> </div></div></div>
2019/10/7 14:40作者陳曉莉https://www.ithome.com.tw/news/133475
EZ訂個資外洩客戶遭騙判決出爐，業者依個資法賠償2萬元外，並需負起7成過失責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月，一起關於EZ訂（EZding）購票平臺個資外洩的民事判決結果出爐，經過2年訴訟與審理，現在終於有了結果。案經一審判定，業者需依個資法賠償民眾2萬元，之後又上訴，二審判定用戶遭詐欺侵權行為的損害賠償，也應付起7成責任，而最終裁定賠償18萬3,274元。</p> <p>關於這次事件的起因，是在2017年4月11日，當事人張女使用手機登入EZ訂網站，購買2張電影票，卻在兩個禮拜後的4月28日，接到假冒EZ訂的會計部門人員的電話，對方核對了張女的姓名、電話，以及購票日起、場次與金額，接著謊稱作業人員疏失，誤植20筆原告之訂票紀錄（約8,000元），將會每月扣款，因而需要張女協助授權才能向張女的銀行退費。</p> <p>由於對方清楚說明了訂票資訊，這也導致張女不疑有他而上當，一共被騙走25萬7,892元。因此，張女透過臺灣士林地方法院，向經營EZ訂平臺的富爾特科技公司提告，請求侵權行為損害賠償共32萬元，包含被騙損失的25萬多元，以及個資法第29條規定的2萬元賠償，還有個資外洩帶來的精神慰撫金5萬元。</p> <p>在2018年6月14日，一審判決出爐。士林地方法院判富爾特科技公司需賠償張女2萬元，這主要是個人資料洩漏的損害賠償，但駁回其他請求。之後，雙方均對自己判決不利部分提起上訴。</p> <p>在2019年9月5日，二審判決結果出爐，士林地方法院指出富爾特科技公司也應對用戶遭詐欺侵權行為的損害賠償，負起7成過失責任，因此判處該公司需給付張女19萬4,524元，但因扣除詐騙集團已賠償張女的1萬餘元部分，最後判定廠商應賠償18萬餘元，且不得上訴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89EZ%E8%A8%82%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9%E5%AE%A2%E6%88%B6%E9%81%AD%E9%A8%99%E5%88%A4%E6%B1%BA%E5%87%BA%E7%88%90.JPG" style="width: 600px;" /></p> <blockquote><p>不過，值得注意的是，根據這起事件的配決內容來看，以賠償金額的計算式而言，判決中是將25萬多元加上2萬元後，再乘上0.7倍，而不是2萬元另計。</p> </blockquote> <h2><strong>二審判決業者未盡適當安全防護之責，並與用戶遭詐事件有相當因果關係</strong></h2> <p>在這次判決結果當中，對於個資外洩及用戶遭詐騙的損害賠償的認定，院方有了更清楚的說明。</p> <p>舉例來說，在個資外洩損害賠償方面，判決內容指出，根據刑事警察局統計，在用戶購票與接到詐騙電話期間，警方在兩週內，已經分別接獲30件與26件的民眾通報EZ訂為高風險平臺。而從當年的資安事件分析報告中，也可得知這些交易所涉的內容僅有該公司完整掌有，因此足以認定資料是從富爾特公司外洩。</p> <p>在詐欺侵權行為損害的賠償方面，對於黃女遭詐騙的25萬，在這次判決結果也有相關說明，判決內容指出，個資外洩與後續遭詐騙而造成的損害，有相當因果關係，如果沒有這些明確資料，民眾應不致於陷於錯誤而遭詐騙，更受關注的是，從調查結果來看，富爾特公司並未盡到適當的安全防護與個資保護之責。</p> <p>例如，像是該公司雖提出同年3月9日與7月5日的Trustwave合規性證明，以及同年11月9 日的雲端測試平臺主機安全評估測驗報告，以及網站安全評估測驗報告。但是，法院指出一些報告已是事後所為，對於事發之前做的Trustwave合規性證明，也因漏洞掃描僅針對一個IP位置，而未能提出其他IP位址之漏洞掃描報告。</p> <p>此外，法院也參考了當時富爾特委託資安業者調查的資安事件報告（4月21日蒐集，6月9日出具報告），包括使用專業鑑識工具eDetector與EnCase蒐證暨分析目標主機，發現有多項Log記錄不完整的情況，甚至目標伺服器的Audit Log並無106整年的記錄。</p> <p>以及像是SSH登入權限未限縮並稽核，還有內部機敏資料被上傳到外部雲端硬碟的狀況。</p> <p>因此，法院認定網路平臺之內部及外部風險控制存有諸多缺陷，並且未能完全落實其個人資料保護的管理。不過，法院也認為，張女已是具有相當智識的成年人，理應對此社會常見之詐騙犯罪行為產生警覺。因此，認為張女應負擔三成的過失責任，富爾特公司應負擔七成的過失責任。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89EZ%E8%A8%82%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9%E5%AE%A2%E6%88%B6%E9%81%AD%E9%A8%99%E5%88%A4%E6%B1%BA%E5%87%BA%E7%88%90_20171230.JPG" style="width: 600px;" /></p> <blockquote><p>對於「解除分期」詐騙手法，國內刑事警察局指出，這已經是在國內出現10年以上的詐騙手法，警方也不斷宣導，儘管被騙人數減少，卻仍然有人上當。</p> <p>事實上，近年來165反詐騙每周都會公布高風險網路賣場的名單，像是2017年底，揭露了全年民眾通報前5名，分別是EZ訂（609件）、金石堂（537件）、雄獅旅行社（415件）、OB嚴選（280件）與ANDEN HDU（275件），並指出每次詐騙高峰約維持兩個月左右。</p> </blockquote> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80%E8%AD%A6%E5%91%8ABooking_com%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4%E6%8C%81%E7%BA%8C21%E9%80%B1(1).JPG" style="width: 600px;" /></p> <blockquote><p>值得注意的是，最近，刑事警察局也根據165反詐騙統計，公布2019年1月至8月的高風險賣場，分別是MKUP美咖、小三美日、讀冊生活、Booking.com及HITO本舖。</p> <p>其中值得注意的是，在1月至9月的資料中，若單以訂房網路平臺而言，Booking.com不僅是訂房網站中最高，並且從今年5月起165就陸續接獲民眾通報，至今已連續21週上榜，累計至9月底被騙人數達228人，財損金額達3,362萬元。</p> <p>因此，刑事警察局再次持續呼籲，民眾應慎選資安防護機制完善的電商，對於屢次勸告均未改善的網路賣場，也希望全民避免使用，以保障自身財產安全。</p> </blockquote> </div></div></div>
2019/10/7 14:17作者羅正漢https://www.ithome.com.tw/news/133473
蘋果App Store上架全港抗爭即時地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/133411" target="_blank">先前遭到蘋果拒絕</a>的HKmap 即時地圖程式終於<a href="https://apps.apple.com/hk/app/hkmap-%E5%8D%B3%E6%99%82%E5%9C%B0%E5%9C%96/id1480938601" target="_blank">登上App Store</a>了。</p> <p>此一由BackupHK所出版的HKmap即時地圖資訊來自特定的Telegram群組，由群組內的香港居民分享抗議者及警方所聚集的位置，也分享附近的交通狀況，以及警方是否使用了催淚瓦斯或進行大規模逮捕，並透過HKmap即時地圖廣播。</p> <p>該地圖程式的作者在上周表示，蘋果認為該程式的內容鼓勵非法行動，允許使用者逃避執法，因而拒絕它上架。不過，作者認為該程式就像導航程式Waze一樣，由群眾提供交通狀態，讓人們能夠閃避交通擁擠的路線，並沒有人違反任何法令。</p> <p>另有使用者抗議蘋果的作法並不公平，指出HKmap即時地圖並未建議或煽動任何的非法行動，只是協助香港居民更了解最新狀況。</p> <p>總之，不確定是哪種說法打動了蘋果，HKmap即時地圖程式上周五（10月4日）就出現在App Store了。</p> </div></div></div>
2019/10/7 12:25作者陳曉莉https://www.ithome.com.tw/news/133472
Google暫停向遊民、非裔民眾取得臉部掃瞄圖像的專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周<a href="https://www.ithome.com.tw/news/133455" target="_blank">媒體報導</a>Google為了強化臉部辨識技術的研發，向遊民、學生、黑人下手取得臉部掃瞄影像，有時不惜使出欺騙手段。報導見光後，Google緊急中止這項街頭研究計畫。</p> <p>上周New York Daily News報導，Google透過外包人員在亞特蘭大及洛杉磯等地，尋找遊民、非裔民眾及大學生參加街頭研究，以5美元折價券要求他們以研究人員提供的手機app掃瞄臉部並提供給Google。而為減少被拒絕的機率，外包人員會以欺瞞手段，只告訴他們「試玩新app」幾分鐘，而未說明這個app的真實作用，或是催促受試者填完同意書及掃瞄臉部。</p> <p>之所以特別著重找遊民或黑人加入研究，Google外包商說，理由是這些人比較不會有什麼意見，也不太可能向媒體爆料。</p> <p><a href="https://www.nytimes.com/2019/10/04/technology/google-facial-recognition-atlanta-homeless.html" target="_blank">紐約時報報導</a>，事情見報後，亞特蘭大市府律師Nina Hickson去信Google要求解釋，並說如果報導屬實，希望Google能採取矯正作法。</p> <p>紐時及<a href="https://www.theverge.com/2019/10/4/20899612/google-suspend-pixel-4-facial-scan-atlanta-randstad" target="_blank">The Verge報導</a>，Google已立即暫停相關的研究，表示未取得同意或未清楚說明違反了公司的自願研究政策。Google說公司非常看重此事，並已著手調查。</p> <p>臉部辨識是Google Pixel 4新功能Project Soli的一環，Project Soli另外還包括手勢辨識。Pixel 4預定本月問世。</p> <p>科技大廠為了提升人工智慧技術，在做法上再度引發隱私爭議。8月間Apple、Google和Amazon才接連被爆利用約聘人員或是員工，在未告知使用者情況下，蒐集側聽語音助理的錄音，以提升語音辨識的準確度。由於輿論的壓力，三家公司都暫時停止計畫，之後也相繼改善，允許用戶自行決定是否加入改善計畫。</p> </div></div></div>
2019/10/7 11:55作者林妍溱https://www.ithome.com.tw/news/133471
包括Pixel在內的十多款Android手機遭爆含零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全研究團隊<a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=1942" target="_blank">Project Zero在上周揭露一個Android零時差漏洞</a>CVE-2019-2215，這是一個釋放後使用（use-after-free）漏洞，允許駭客擴張權限並取得裝置的控制權，且已有攻擊程式在網路上流竄，殃及包括Pixel在內的十多款Android手機。</p> <p>揭露此一漏洞的安全研究人員<a href="https://arstechnica.com/information-technology/2019/10/attackers-exploit-0day-vulnerability-that-gives-full-control-of-android-phones/" target="_blank">Maddie Stone表示</a>，該漏洞其實曾在2017年12月被修補，只是不知道為什麼在最近的Android版本又重新出現，它波及Pixel 1/1 XL、Pixel 2/2 XL、Huawei P20、Xiaomi Redmi 5A、Xiaomi Redmi Note 5、Xiaomi A1、Oppo A3、Moto Z3、Oreo LG phones，以及Samsung S7/S8/S9等十多款Android手機，也可能有其它手機含有該漏洞。</p> <p>雖然就算是Google的Pixel 1與Pixel 2系列手機都受累，但Pixel 3系列並未被波及。</p> <p>在攻擊程式現身於網路上之後，駭客只要在目標裝置上安裝惡意程式，或是搭配瀏覽器的攻擊程式，就有機會取得裝置控制權。</p> <p>Stone推斷此一零時差攻擊程式是由以色列駭客公司NSO Group所打造，但<a href="https://www.theverge.com/2019/10/4/20898460/android-security-vulnerability-project-zero-pixel-galaxy-huawei-xiaomi" target="_blank">NSO向媒體澄清</a>，此事與該公司無關，強調NSO並未出售漏洞或攻擊程式，所從事的都是合法業務，例如協助合法的情報或執法機構挽救生命。</p> <p>至於Google則準備在即將釋出的10月Android安全公告中，修補此一漏洞。</p> </div></div></div>
2019/10/7 10:20作者陳曉莉https://www.ithome.com.tw/news/133467
疑似俄國駭客發展新式RAT，可突破HTTPS加密追蹤上網行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員<a href="https://usa.kaspersky.com/about/press-releases/2019_reductor-malware-hijacks-https-traffic-by-manipulating-browsers-random-numbers-generator" target="_blank">發現一個具備新式攻擊手法的RAT程式</a>，能修改瀏覽器元件而攔截加密HTTPS流量，達到監視上網行動的目的。</p> <p>HTTPS的安全性存在於瀏覽器和網站之間的資訊交換，以加密防護使第三方不得存取。卡巴斯基研究人員4月發現一隻被稱為Reductor的遠端存取木馬（RAT）程式，則是用來突破這段防護。</p> <p>Reductor包含兩階段攻擊面向。第一是利用名為COMPfun惡意程式下載軟體模組到受害系統上，COMPfun和俄羅斯APT駭客組織Turla有關。攻擊第二階段則發生在當受害PC從其他合法網站下載軟體過程中。研究人員相信攻擊者有能力在合法軟體下載途中加入惡意元件，以致於抵達PC時已帶有惡意程式。因此研究人員認為Reductor背後的駭客組織，已經可控制受害者的網路通道。</p> <p>當Reductor植入受害系統時，能變造已安裝的數位憑證、並修改PC瀏覽器（包括Chrome或Firefox）的「偽隨機數生成器」（pseudo-random number generation，PRNG）元件。PRNG用途是在瀏覽器和HTTPS網站進行TLS交握時，產生亂數以便加密主機和用戶端間的流量。</p> <p>研究人員指出，這也是Reductor厲害之處，因為他們完全沒有動到網路封包，而是分析Firefox程式碼及Chrome的二進位碼，在行程記憶體中加上相應的PRNG函式，對每道HTTPS流量加上獨特軟、硬體辨識碼，這個過程被稱為patch。當瀏覽器被patch之後，PRNG產生的數值變得不那麼隨機，駭客就得以接收及辨識所有從瀏覽器存取的資訊和行為。過程中受害者無從察覺，讓攻擊者得以長期監控而不被發現。</p> <p>研究人員表示這類對瀏覽器加密動手腳的攻擊手法也是現所首見，雖然他們尚無法斷定Reductor背後攻擊者身份，但以其技術之高明判斷，應該也是國家支持的駭客組織所為。研究人員呼籲所有企業小心為上，確保敏感資料的安全性。</p> </div></div></div>
2019/10/7 10:40作者林妍溱https://www.ithome.com.tw/news/133468
離島醫療資料交換痛點有新解法！北市聯醫用區塊鏈打造照護資訊整合新平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>臺北市立聯合醫院今（6日）宣布啟動以區塊鏈技術打造的「照護資訊整合平臺」，要透過以太坊聯盟鏈的智能合約，讓民眾用App授權自身醫療資料給信任的醫護人員，讓醫護人員可以隨時調閱患者病歷資料，來解決患者需在不同醫院間來回奔波、申請病歷資料的不便，以及醫護人員至偏鄉和離島看診時，無病歷可查詢的困境。最終目的要加速照護服務的提供、提高醫護品質，初步將鎖定大臺北醫療診所來推廣。不只臺北市地區，新北市也希望可以跨及到其他偏鄉。</p> <p>一直以來，民眾醫療資料都分散儲存於各家醫療機構中，若民眾要至另一家醫院就醫，還需至原醫院申請病歷資料，好讓另一家醫院醫生參考。這對到臺灣本島來就醫的離島民眾來說，十分不便。而對醫院來說，雖然醫療診所可透過電子病歷交換中心（EEC）調閱病人資料，但仍有地理位置限制，而且只能查詢過去6個月的病歷資料。這對需要定期至偏鄉或離島拜訪個案的醫護人員來說，挑戰十足，只能依現場的資訊來診療。</p> <p>為改善這個問題，去年6月，北市聯醫聯合政大、連江縣醫、三軍總醫院、萬芳醫院、亞東紀念醫院，在衛福部的健康福祉整合照護示範場域推動計畫支持下，來打造這款照護資訊整合平臺，首先鎖定醫療資源有限的離島連江縣，</p> <p>在技術部分，這款平臺的區塊鏈技術，由政大金融科技研究中心副主任陳恭支援。他表示，這個平臺的構想是維持現有各家醫院的分散式儲存架構，透過閘道器（Gateway）來串接醫院至這個平臺，當民眾透過手機App授權後，醫護人員就能從平臺調閱特定醫療資料。「這個作法，降低了集中式的資安風險，因為在平臺上的不是民眾醫療資料，而是調閱紀錄。」</p> <p class="p1"><strong><span style="font-size:20px;"><span style="color:#FF8C00;"><span class="s1">一指授權，資料同步不間斷</span></span></span></strong></p> <p>照護資訊整合平臺的交換資料以文字檔案為主，可交換的資料類型有4種，分別是健康促進、醫療照護、長期照護、社家安全，「目前則以醫療照護資料為主，其他類型資料將陸續加入，」臺北市立聯合醫院副院長黃遵誠表示。而在醫療照護資料部分，包括了門診、急診、住院、報告、評估等資料類型。</p> <p>在操作流程上，對民眾來說，只要下載「照護授權App」，填妥身分證等基本資料後，再經過核對人員（也就是醫護人員）核准身分後，就可開始設定授權。</p> <p>首先，民眾可選擇要授權的資料類型，也就是上述的健康促進、醫療照護、長期照護還是社家安全（如下圖）。假設勾選醫療照護，還可選擇特定的資料，比如門診或急診報告。</p> <p class="p2"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3088.png" /></p> <p>接下來，民眾選擇授權對象時，先指定醫療機構，如醫院、診所或衛生所，也可決定要授權給該機構哪一種身分的人員，比如行政人員、居家服務員、長照或醫療照護人員等。</p> <p class="p2"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3089.png" /></p> <p class="p2"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3090.png" /></p> <p>這款平臺也賦予民眾資料自主權，民眾可隨時修改或終止授權關係和時間。授權時間可從1天開始，到1周、1個月、1年，甚至是永遠。不過，亞東紀念醫院資訊處工程師金振源補充，由於一般醫院病歷約保存7年，所以即便選擇永遠授權，醫護人員也可能無法調閱到7年前的舊病歷。</p> <p>「還有一個好處，就是資料的同步性。」金振源解釋，一般電子病歷交換，是仰賴各醫院將儲存於自家HIS系統的病人資料，透過健保署閘道器，將資料上傳至電子病歷交換中心，才能讓別家院所調閱，「但這也造成了資料更新不同步。」而照護資訊整合平臺沒有集中式設計，因此透過智能合約授權後，醫療院所可直接調閱存放於各家系統的資料。也就是說，不管醫院儲存的資料格式是PDF、HTML，還是HL7，都可以透過這個平臺分享，有別於電子病歷只限於HL7的規定。</p> <p class="p1"><strong><span style="font-size:20px;"><span style="color:#FFA500;"><span class="s1">一手掌握患者資訊，醫師看診更精準</span></span></span></strong></p> <p>臺北市立聯合醫院失智中心主任劉建良指出，自己長年定期至連江縣失智患者家中，提供醫療照護服務。「但是，我常遇到患者醫療資訊不足的問題，」他解釋，每次拜訪失智患者時，難以從當地醫院調閱資料，只能就現場狀況和資訊來進行診療。</p> <p>後來，照護資訊整合平臺在連江縣上線後，他在一次失智長者用藥指導工作中，子女可直接授權他取得長者的藥單，來給予新的用藥建議和清單。</p> <p>劉建良表示：「在資源豐富的城市，大醫院幾乎都有自己的App可查資料，但偏遠地區和離島幾乎沒有，」這個照護資訊整合平臺可以彌補這個缺口，對醫療資源有限的偏鄉或離島地區來說，幫助特別大。</p> <p class="p1"><strong><span style="font-size:20px;"><span style="color:#FFA500;"><span class="s1">從連江縣出發，不只要擴大至大臺北地區，還要新增更多交換內容</span></span></span></strong></p> <p>衛福部次長薛瑞元表示，衛福部也支持這項平臺，在連江縣場域示範成功，接下來期望在大臺北地區推廣。臺北市衛生局局長黃世傑也指出，希望藉這次展示，由北市聯醫邀請有意願的醫療機構和診所、民眾加入。新北市衛生局長陳潤秋也提到，遠距照護是新北市的重心，她希望偏遠的平溪、瑞芳等地區的院所能加入。</p> <p>臺北市立聯合醫院院長黃勝堅表示，未來不只要推廣更多地區，還要擴大資料介接範圍，融合衛政、社政、民政三大領域資料，「以家庭為核心、社區為基礎，發展出醫療、居家、社區、長照的無縫照護服務。」政大金融科技研究中心主任王儷玲也認為，區塊鏈將來可落實於更多醫療照護領域，甚至納入保險理賠，完善長照與醫療善終服務。文◎王若樸</p> </div></div></div>
2019/10/6 16:41作者王若樸https://www.ithome.com.tw/news/133466
你的iPhone 6S與6S Plus經常無法開機嗎？可能是零件故障了，蘋果幫你換！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/iphone-6s-6s-plus-no-power-issues-program" target="_blank">蘋果在本周表示，</a>特定序號的iPhone 6S及iPhone 6S Plus，可能會因為元件故障，而造成無法開機的現象，影響從去年10月到今年8月生產的機種，<a href="https://support.apple.com/zh-tw/iphone-6s-6s-plus-no-power-issues-program" target="_blank">將提供免費維修</a>。</p> <p>iPhone 6S與6S Plus用戶只要從手機外部、手機設定，或與該手機同步的iTunes上，就能查看裝置序號，<a href="https://support.apple.com/zh-tw/iphone-6s-6s-plus-no-power-issues-program" target="_blank">輸入序號查詢</a>即可得知是否在蘋果的免費維修範圍內。</p> <p>受到影響的iPhone 6S/6S Plus用戶，可至蘋果授權的維修中心或Apple Store零售商店免費維修，假設使用者認為自己先前的維修，就是因為相關問題所造成，並已支付維修費用，也可要求蘋果退款。</p> <p>iPhone 6S/6S Plus是蘋果在2015年9月發表的機種，目前美國或台灣的蘋果官網所銷售的最舊款iPhone皆為iPhone 8，就算是前一年最舊款也是iPhone 7，估計這一年來蘋果只在少數市場持續銷售iPhone 6S/6S Plus，影響的用戶人數應不多。</p> </div></div></div>
2019/10/5 16:15作者陳曉莉https://www.ithome.com.tw/news/133459
傳Google外包商找遊民提供臉部辨識資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nydailynews.com/news/national/ny-google-darker-skin-tones-facial-recognition-pixel-20191002-5vxpgowknffnvbmy5eg7epsf34-story.html" target="_blank">媒體報導</a>，為了提升手機臉部辨識能力，Google請外包工作人員上街徵求自願者提供手機拍攝的臉部特寫照片，其中特別著重遊民、非裔人士及學生等弱勢族群。</p> <p><a href="https://www.ithome.com.tw/news/131985" target="_blank">7月ZDNet報導</a>，Google曾在紐約街頭以5美元的Amazon或星巴克折價券為代價，請路人以Google提供的手機自拍提供臉部不同角度的照片。周五New York Daily News引述曾參與這項計畫的Google外包人員報導，Google特別著重有色人種，而且為了減少被拒絕的機率，還採取欺騙手法。</p> <p>報導指出，Google透過一家名為Randstad的人力仲介公司，找來約聘人員或工讀生到數個美國城市街頭，尋找自願者接受Google的軟體掃瞄臉部。這工作重點區域包括亞特蘭大的遊民、洛杉磯的黑人娛樂電視大獎（Black Entertainment Television）頒獎典禮參加者，以及非裔大學生等對象。選擇這些人的理由，除了因為他們之中較多有色人種，而且他們比較好應付，像遊民搞不太清楚狀況，最不會對媒體爆料。</p> <p>尋找有色人種是因為現行人臉辨識有技術偏差，對白人男性辨識率高，但對有色人種辨識則相對錯誤率高。但是Google這次令人爭議的是其資料蒐集方式。</p> <p>外包人員透露，為了降低被拒絕的機率及加速完成作業，Randstad交代他們在和自願者交涉時使出欺騙手段。像是外包人員會以「類似Snapchat的自拍遊戲」來稱呼這個掃瞄程式，或跟他們「試玩個app幾分鐘」後就能拿到10美元以下折價券。外包人員還說，Randstad要求他們不斷催促自願者簽下同意書、完成拍攝、拍完給折價券就走人，並沒有給他們足夠時間讀取同意書內容，也不告知他們這些資料會被儲存下來。</p> <p>報導引述Google的制式同意書，Google具有保存、集結及匿名分享研究資料的權利。不過Google人員回覆媒體表示，本專案自願研究蒐集到的資料，最多只會保留18個月，參加者並可主動要求刪除這些資料。</p> <p>Google表示他們對這些情況十分重視，將著手調查，未清楚說明及取得明示同意，違反公司對自願研究的要求。</p> <p>外界推測，Google可能是為Pixel 4手機的臉部辨識技術進行資料蒐集。Pixel 4預計10月推出。</p> </div></div></div>
2019/10/5 15:05作者林妍溱https://www.ithome.com.tw/news/133455
PayPal正式退出Libra協會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PayPal向媒體證實，已正式退出由臉書（Facebook）所發起的虛擬貨幣組織Libra協會（Libra Association），成為Libra協會28名理事成員中，第一個退出的業者，外界正密切觀注是否會引發骨牌效應。</p> <p>臉書在今年6月發表Libra加密貨幣，同時成立Libra協會，以負責管理Libra幣、Libra區塊鏈與Libra儲備。Libra協會有28家創始會員，臉書原本預計招募100個理事成員，但在Libra幣招來外界的大規模質疑之後，理事成員非但沒有增加，PayPal已宣布要退出，<a href="https://www.ithome.com.tw/news/132648" target="_blank">而且據傳還有其它業者亦正考慮退出Libra協會</a>。</p> <p>在Libra協會的<a href="https://libra.org/en-US/association/#founding_members" target="_blank">創始會員名單</a>中，已不見PayPal的蹤影，讓會員總數只剩27家，如Mastcard、Visa、eBay、Facebook（Calibra）、Uber、Vodafone及Coinbase等。</p> <p><a href="https://www.cnbc.com/2019/10/04/paypal-withdraws-from-facebooks-libra-cryptocurrency.html" target="_blank">PayPal向CNBC證實</a>，該公司已決定放棄參與Libra協會，專注於推動既有的任務與業務，以促進金融服務的民主化，但依然支持Libra的抱負，未來也會繼續與臉書合作。</p> <p>另一方面，Libra基金會的公關Dante Disparte則說，他們知道變革是艱鉅的，每個開始此一旅程的組織，都必須對於Libra承諾的變革所帶來的風險與回報，自行作出評估。</p> <p>外界除了懷疑臉書發行Libra加密貨幣的動機之外，也擔心Libra可能招致的隱私、洗錢、消費者保護及金融穩定性等問題，不只是臉書，Libra協會的創始會員也感受到壓力，讓此一全球規模最大的加密貨幣專案，更顯得前途未卜。</p> </div></div></div>
2019/10/5 15:30作者陳曉莉https://www.ithome.com.tw/news/133456
美英簽署全球首個電子資料交換協議以進行犯罪調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部長Bill Barr與英國內政大臣Priti Patel，在10月3日<a href="https://www.justice.gov/opa/pr/us-and-uk-sign-landmark-cross-border-data-access-agreement-combat-criminals-and-terrorists" target="_blank">簽署了全球首個《雲端法案》（CLOUD Act）協議</a>，將使得雙方的執法機構在獲得適當授權的情況下，向對方的科技公司索取各種重大犯罪事件的電子資料，諸如恐怖主義、兒童性虐待及網路犯罪等。該協議可望在6個月後生效。</p> <p>這是全球史上第一個雙邊資料存取協議，將迫使包括臉書、Google與Twitter在內的美國科技業者，將電子郵件或訊息等資料交給英國的執法機構，同樣的，美國在有相關調查需求時，也能向英國科技公司提出請求。</p> <p>美國司法部表示，目前雙方的法律協助程序可能長達兩年，此一協議將大幅縮短此一時程，讓犯罪調查更有效率，加強彼此對抗重大犯罪的能力。</p> <p>Barr則說，只有能夠即時存取置放在另一個國家的電子犯罪證據，才能與21世紀的威脅保持同步，此一協議除了使兩國民眾更為安全之外，也會確保對隱私與公民自由的保障。</p> <p>根據協議條款，在獲得適當的法院授權之下，執法部門可直接向對方國家的科技公司請求存取電子資料，將時間縮短至幾周或幾天，不必再透過可能得耗時數年的政府流程，而就算是藉由現有的《司法互助》（Mutual Legal Assistance）協議，也經常需要幾個月的時間才能取得資料。</p> <p>不過，就算有了《雲端法案》協議的存在，執法機構也無法存取在WhatsApp或Telegram等平台上發送的加密訊息，因為這些平台採用端對端的加密機制，就連平台本身也無從探究加密的通訊內容，這也是<a href="https://www.ithome.com.tw/news/133441" target="_blank">美國、英國、澳洲聯名要求臉書終止加密所有通訊服務計畫</a>的主要原因。</p> <p>推崇隱私保護的<a href="https://www.eff.org/deeplinks/2019/10/race-bottom-privacy-protection-us-uk-deal-would-trample-cross-border-privacy" target="_blank">電子前線基金會（EFF）指出</a>，就像許多國際協議一樣，美英之間的談判是秘密進行的，但它們不該制定綑綁科技業者的秘密法令，進而主宰這些科技業者的用戶隱私，該基金會將力求推動雙方公開協議內容。</p> </div></div></div>
2019/10/5 15:40作者陳曉莉https://www.ithome.com.tw/news/133457
庫克稱蘋果不會發行加密貨幣，暗批臉書發行Libra幣是為了權力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果執行長周五對媒體表示蘋果不會發行加密貨幣，而一家民營公司不應該為了追求權力而發行加密貨幣。</p> <p><a href="https://www.lesechos.fr/tech-medias/hightech/pour-tim-cook-le-patron-dapple-certains-gafa-ont-sans-doute-ete-arrogants-1137197" target="_blank">庫克本周接受法國報紙《Les Echos》專訪</a>。在被問到蘋果是否打算發行自己的貨幣時，庫克明確表示不會。他說他深信貨幣發行屬於國家的權力範圍，他對一個民間組織發行競爭貨幣這個想法感到不安，一家民營公司不需要為了追求權力而做到這個地步。</p> <p>庫克認為，貨幣和國防都應該屬於國家獨有的權力，它們同是行使國家使命的工具。人民選舉出民意代表來履行政府責任，企業不是人民選出來的，因此他們不需要承擔這個責任。</p> <p>在此同時，臉書和其他27家合作夥伴合推的Libra，也因隱私、支助恐怖組織洗錢及影響金融穩定性等疑慮，遭歐、美央行及政治人物、甚至<a href="https://www.ithome.com.tw/news/132648" target="_blank">美國總統川普的反對</a>。<a href="https://www.ft.com/content/6af11092-e5fd-11e9-9743-db5a370481bc" target="_blank">《金融時報》周五報導</a>，Libra聯盟成員公司PayPal對Libra參與顯得意興闌珊，原因包括對洗錢問題也有疑慮，最大原因在於臉書高層並未致力於化解外界的強大阻力。</p> <p>訪談其他內容中，庫克談到Apple Card，表示蘋果計畫在美國以外其他地區推出Apple Card。但蘋果不是銀行，因此需要尋找當地的合作夥伴，如美國的高盛證券（Goldman Sachs）。他說蘋果在法國會找一家特別靈活的零售銀行。此外，蘋果推出了Apple Arcade及Apple TV Plus等線上服務，庫克表示蘋果致力於推出最好的消費者服務，他相信蘋果的服務與眾不同。但他也說蘋果仍持續投入硬體創新，包括最近改版iPad，以及才剛起步的穿戴裝置，像是Apple Watch整合心率及心電圖感測器，他說健康是蘋果未來最大機會所在。</p> <p>最後庫克表示不擔心iPhone銷售下滑，原因是PC產業40年都還在成長，智慧型手機才12年而已。他認為市場具有周期性，目前僅處於停滯或小幅衰退，他認為智慧型手機將會再次出現牛市。</p> </div></div></div>
2019/10/5 14:15作者林妍溱https://www.ithome.com.tw/news/133454
Google在G Suite為殘障人士增加一系列無障礙功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/g-suite/use-g-suite-to-make-documents-and-other-tools-more-accessible-to-people-with-disabilities">為了讓殘障人士可以更方便地使用G Suite網頁，Google提供了一系列無障礙功能</a>，包括支援多種的螢幕閱讀器（Screen Reader）、語音輸入，以及在Google簡報增加了隱藏字幕功能，還更新輔助功能，讓視障者能夠迅速掌握Gmail信箱狀況，加快搜尋特定信件的速度。</p> <p>螢幕閱讀器又稱為螢幕報讀軟體，可以將文字、圖形和電腦介面，透過文字轉語音技術轉換成語音，提供一種視障者或是閱讀障礙者與應用程式互動的方法，結合螢幕閱讀器和快捷鍵，就能閱讀和編輯文件。G Suite現在支援了多種的螢幕閱讀器，使用者只要在Google文件、試算表或是簡報的工具選單，找到協助工具設定就能打開螢幕閱讀器。另外，Google也在所有的Chrome裝置中內建自家螢幕閱讀器ChromeVox。</p> <p>語音輸入對一般人來說是方便的輸入方法，對於無法使用鍵盤、滑鼠或是觸控板的視障者與行動不便的使用者來說，更是不可或缺的工具，除了對著麥克風就能將語音轉換成文字之外，在Google文件還可以使用語音命令進行選擇和編輯文字，執行像是使用粗體字或是複製貼上文字等動作。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/727-GS-VoiceTypingDoc-DF.gif" style="width: 600px;" /></p> <p>為了讓視障使用者能夠更容易追蹤作者在Google文件中的貢獻，而不需要主動逐一查看每個更改，Google添加了即時編輯功能（Live Edits），這項功能會定期彙總側邊欄協作作者對文件的修改，Google提到，結合螢幕閱讀器和放大鏡功能會特別好用。而那些對視覺擁擠敏感的使用者，Google推出了八種不同的Lexend字體系列，這些字體具有不同寬度和間距，適合不同閱讀速度的使用者使用。</p> <p>通常電視節目或是租用電影，都會預先為需要的觀眾提供隱藏字幕，不需要聲音條件就可以觀看影片，Google簡報現在也提供了這項隱藏字幕功能，而且簡報人不需要自己編寫字幕，電腦麥克風收音之後，會透過Google的機器學習工具，自動在投影片下方產生字幕，這項功能在播放簡報之後，點選下方工具列的字幕功能即可啟用。Google預告，今年他們也將會為視訊會議服務Hangouts Meet加入自動字幕功能。</p> <p>對視障人士來說，要整理電子郵件信件可能不是一件輕鬆的事，過去他們利用螢幕閱讀器，透過滑鼠游標的滑動，來聽取每封信寄件人、日期、標題以及摘要等訊息，而現在Google提供另一種選擇，減少視障者聽到Gmail電子郵件資訊報讀的詳細程度，可以直接指定特定的欄位，直接聽取寄件人或是標題訊息，以節省時間僅關注他們需要的資訊。另外，Google最近也應用了機器學習技術，在Gmail中加入新的拼寫和語法工具，增加了新的左鍵單擊以及Tab等鍵盤互動模式。</p> </div></div></div>
2019/10/5 14:35作者李建興https://www.ithome.com.tw/news/133450
微軟再發佈IE漏洞例外修補程式，所有版本都要安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/133226" target="_blank">微軟兩周前發佈例外修補程式</a>，以修補IE零時差攻擊漏洞，但可能引發了些問題，<a href="https://support.microsoft.com/en-us/help/4524147/windows-10-update-kb4524147" target="_blank">周四（10月4日）微軟再發出例外修補程式</a>，並提醒所有Windows版本用戶都應立即安裝，因為已經有攻擊發生。微軟並提醒用戶，這波更新後，下周還有每月安全更新要安裝。</p> <p>微軟指出，KB4524147版本修補程式是兩周前（台灣時間9月24日）的例外更新的擴大發佈，屬「必要安全更新」，主要修補編號CVE-2019-1367的IE零時差攻擊漏洞。兩周前雖然微軟已警告網路上已有這項漏洞的攻擊程式，但僅透過Windows Update Catalog發佈，需要用戶手動下載。最新的例外修補程式則會經由Windows Update、以及企業用戶的Windows Server Update Services (WSUS)，自動更新到用戶電腦。</p> <p>CVE-2019-1367是由Google威脅分析小組研究人員Clement Lecigne發現，它發生在IE腳本引擎處理記憶體物件的過程中，可造成記憶體毁損，允許攻擊者執行任意程式碼。如果用戶具有管理員身份，則成功開採本漏洞的駭客，將能接管整台機器，進而安裝程式、修改／變更／刪除資料，或是新增完整權限的用戶帳號。</p> <p>最新版更新還修補其他問題。一是Windows中「列印多工緩衝處理器」服務（print spooler service）問題，造成無法列印，另有一些app，像是遠端程序呼叫（Remote Procedure Call，RPC）發生關閉或執行錯誤情形。<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1367" target="_blank">根據微軟網頁資訊</a>，本問題發生用戶在安裝針對CVE-2019-1367的更新後，因此可能是本次更新所引發。</p> <p>此外，周四的更新還解決Windows安裝隨選功能（Features on Demand，FoD），像是.Net 3.5過程中出現「變更無法完成，請重開機再試一次。錯誤代碼: 0x800f0950」的訊息。</p> <p>微軟同時提醒會在下周三（美國時間10月8日），再發佈10月份的Update Tuesday，和周四的更新是不同的兩個軟體套件，因此用戶安裝這波更新後，記得下周還是要再更新一次。</p> </div></div></div>
2019/10/5 13:30作者林妍溱https://www.ithome.com.tw/news/133453
自然語言處理函式庫spaCy 2.2釋出，加入資料增強系統、提升字詞配對速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧與自然語言處理工具開發廠商Explosion，釋出了<a href="https://explosion.ai/blog/spacy-v2-2">自然語言處理函式庫spaCy 2.2</a>，新版本設計更精簡乾淨易於開發使用，並且為訓練、評估和序列化都加入新的模型套件與功能，改善除錯和錯誤處理，也大幅度地降低磁碟占用容量。</p> <p>spaCy是一個Python的進階自然語言處理函式庫，不只採用最新的人工智慧研究，也講求可用來開發產品的實際可用性，spaCy內建預訓練的統計模型和單詞向量，以及支援超過50種語言的標記化（Tokenization），還含有可應用在標記、解析和命名實體（Entity）辨識的卷積神經網路，並可與深度學習技術整合。spaCy是一個商業開源軟體以MIT授權釋出。</p> <p>在新版中，增加了新模型以及資料增強（Data Augmentation）系統。spaCy 2.2內建重新訓練的統計模型，不只修正錯誤，也改進對小寫字母的處理效能，官方提到，跟其他統計模型遇到的問題一樣，spaCy的模型也會對訓練資料以及使用者資料產生敏感差異，而目前他們遇到的情形是大小寫與形式的問題。</p> <p>由於用於訓練的資料都是經過良好編輯的文字，因此在遇到大小寫與標點不一致的文字，則會出現正確率下降的問題，為此官方開發了新的資料增強系統，並在spaCy 2.2這個版本添加新的單詞替換系統，讓開發者可於訓練模型的過程，在每一遍訓練資料集的句子隨機子集抽換字詞，以解決資料所產生敏感差異。</p> <p>官方也更新了CLI工具，以改進訓練和資料開發流程的各種可用性，特別是在文字分類。新版CLI除了改善錯誤訊息、更新文件，同時也讓評估指標更詳細，像是在預設情況下，評估現在按實體類型以及文字類別提供精確的統計。新加入的debug-data命令，可以用來驗證訓練和開發資料，以獲得有用的統計資料，或發現無效的實體注釋、循環相依項目和低資料的標籤，官方提到，與其開始訓練一段時間後才發現錯誤，不如先在訓練前檢查資料，可以更節省時間。</p> <p>由於spaCy支援越來越多語言，因此磁碟占用的容量也越來越多，特別是加入可查詢的詞形還原表格，這個表格儲存成Python檔案，並在部分情況會變得非常龐大，現在官方把查詢表轉換成gzip JSON格式，並移到獨立的套件中，只在需要的時候安裝，根據系統的不同，spaCy安裝縮小5到10倍。</p> <p>spaCy 2.2新的DocBin類別可以更加有效率的序列化Doc集合，更快地把一組Doc物件序列化或是反序列化，並自動處理許多細節，在開發者搭配多重處理函式庫Dask使用時會特別方便。spaCy以前用於字詞配對的的PhraseMatcher演算法，可以輕鬆擴展到大型查詢集，但這個演算法在較少的查詢時，表現反而不一定很快，而這造成不直覺的效能特徵，spaCy 2.2使用了新的trie演算法，這個演算法是基於標記而非字詞，因此配對速度很快，少量查詢速度快20倍，即使處理一萬個查詢速度也快上5倍。</p> </div></div></div>
2019/10/5 13:40作者李建興https://www.ithome.com.tw/news/133448
IG發表摯友限定照片傳訊程式Threads
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://instagram-press.com/blog/2019/10/03/introducing-threads/" target="_blank">Instagram（IG）在本周釋出了Threads from Instagram行動程式</a>，該程式主要搭配IG用戶的摯友名單使用，只用來與摯友交流，而且是以照片或影片為主的傳訊程式。</p> <p>IG表示，雖然該站已提供了許多的交流方式，但他們發現使用者與小圈圈的朋友們擁有更多的聯繫，因此在去年就推出「摯友」（Close Friends）功能，讓某些貼文只被摯友們看見，今年則進一步打造出專為摯友設計的獨立Threads程式，只要一啟動Threads就會直接開啟相機，讓使用者更容易利用照片及影片，與摯友們分享任何時刻的心情或行為。</p> <p>雖然主打照片及影片傳訊，<a href="https://newsroom.fb.com/news/2019/10/privacy-matters-threads/" target="_blank">但Threads同樣也支援文字與限時動態（Stories）功能</a>，而且使用者可隨時控制哪些人可被列入為摯友。</p> <p>Threads還有一個狀態功能，預設多種圖示可用來顯示自己的狀態，像是在車上、在家、在健身房、快沒電了、在沙灘等，或是自行建立狀態，使用者也可以將狀態設為「自動」，那麼Threads就會根據使用者的所在地，自行辨識及分享當下的狀態。</p> <p>此外，與友人在Threads上的對話，也會保留在既有的Instagram程式中，讓使用者可隨時切換對話的程式。</p> </div></div></div>
2019/10/5 12:35作者陳曉莉https://www.ithome.com.tw/news/133452
分析師郭明錤：蘋果將在明年第一季發表iPhone SE2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://asia.nikkei.com/Business/Technology/Apple-to-launch-new-low-cost-iPhone-in-2020-to-halt-sales-decline" target="_blank">日本經濟新聞在9月初引述消息來源報導，指稱蘋果將在明年春天發表iPhone SE2之後</a>，來自天風國際證券（TF International Securities）的知名蘋果分析師郭明錤也在本周預測，蘋果將在明年第一季推出iPhone SE2，將採用類似iPhone 8的硬體設計，著眼於吸引iPhone 6用戶升級。</p> <p>iPhone SE為蘋果在2016年3月推出的入門級機種，當時蘋果最新的iPhone 6S與iPhone 6S Plus已使用4.7吋及5.5吋的螢幕，並搭載A9處理器，而iPhone SE同樣也配備A9處理器，只是採用4吋螢幕，但許多內部元件已跟上iPhone 6S的腳步。蘋果除了曾在2017年升級iPhone SE的容量之外，一直未推出新的iPhone SE。</p> <p><a href="https://9to5mac.com/2019/10/03/kuo-iphone-se-2/" target="_blank">根據外電報導</a>，郭明錤認為iPhone SE2的硬體規格將類似iPhone 8，但會採用iPhone 11所搭載的A13處理器。此外，他也分析蘋果推出iPhone SE2的目的是為了擴大iPhone的市場，且特別鎖定iPhone 6的使用者，因為iPhone 6用戶已無法升級到iOS 13，將影響蘋果新服務的訂閱量。</p> <p>這意謂著iPhone SE2應該會有4.7吋螢幕，也依然保留Touch ID與Home鍵的設計。</p> <p>第一代iPhone SE的上市價格為399美元，若iPhone SE也參考此一價格，可望嘉惠無法負擔iPhone 11系列的蘋果迷。蘋果在今年9月發表的iPhone 11、iPhone 11 Pro及iPhone 11 Pro Max的最低價格，分別是699美元、999美元與1,099美元。</p> </div></div></div>
2019/10/5 12:00作者陳曉莉https://www.ithome.com.tw/news/133449
法國將成為歐洲第一個以人臉辨識來驗證電子身分的國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2019-10-03/french-liberte-tested-by-nationwide-facial-recognition-id-plan" target="_blank">彭博社於本周報導</a>，法國所打造的電子身分證程式Alicem，準備在今年11月正式上線，將使法國成為歐洲首個透過人臉辨識技術來確認民眾身分的國家。不過，Alicem在當地同時引發了有關隱私及安全上的疑慮。</p> <p>法國內政部從今年6月就開始測試Alicem，但它最為人所詬病之處是，當法國居民要建立個人身分帳號時，必須先利用智慧型手機自拍一段影像，以讓Alicem系統確認所輸入的身分的確是民眾本人。內政部也強調，在建立帳號之後，將會立即刪除影片，而且該帳號的所有個人資料都只會存放在使用者的手機上，不會與任何服務分享。</p> <p>法國居民成功以Alicem程式建立數位身分與帳號之後，即可用它來存取超過500種的政府服務。</p> <p>然而，反對者則宣稱，Alicem違反了歐盟所制定的用戶同意權規定，它要求企業或政府組織在處理個人資料時，使用者必須能夠擁有是否同意的自由選擇權，且當不同意時不會有任何不良後果，但Alicem卻硬性規定民眾只能透過人臉辨識來驗證自己的身分。已有隱私團體針對Alicem向法國最高行政法院提出抗議。</p> <p>還有人擔心Alicem的安全性。駭客一旦入侵了Alicem，就能取得法國居民的所有身分資訊，並用以存取各項服務；更何況法國政府的紀錄不太好，由該國政府自行打造、專供政府機關使用的Tchap傳訊程式，<a href="https://www.ithome.com.tw/news/130136" target="_blank">在測試版上線的第二天就被入侵了</a>。</p> </div></div></div>
2019/10/5 12:10作者陳曉莉https://www.ithome.com.tw/news/133451
財金公司：台灣Pay將扮演國內數位金流的高速公路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內行動支付服務百家爭鳴，2017年財金資訊公司聯合多家金融機構推出的台灣Pay，目前綁定卡數已超過900萬、累計交易筆數超過1000萬筆。在財政部支持及財金公司力推下，台灣Pay QR Code共通支付平台，矢志要做國內數位金流的高速公路。</p> <p>台灣Pay在2017年11月推出金融卡綁定服務，讓無法使用或不想使用信用卡的族群，例如學生或一般消費者只要擁有金融卡，就能綁定台灣Pay，以手機掃碼完成支付，去年11月台灣Pay再整合「信用卡」支付功能。相較於其他行動支付服務大多以「信用卡」綁定為主，台灣Pay從綁定金融卡出發，試圖和其他支付服務區隔。</p> <p>今天財金公司舉辦媒體茶敘，分享了台灣Pay推動現況，到今年8月底為止，台灣Pay已有28家金融機構加入，合計綁卡數已達到917萬張，合作的商店數超過8萬家，台灣Pay可繳交水電、瓦斯、電信等帳單數也超過2600項。</p> <p>在交易量方面，累計已達到1078萬筆，交易金額累計478億元，今年為止交易金額成長比去年同期多了3倍。</p> <p>儘管台灣Pay的「成績單」看似亮眼，但和信用卡每筆平均消費金額2500元相比，台灣Pay每筆平均約130元，顯然還有不小的努力空間。</p> <p>另外，推動兩年累計交易金額達478億元，其中包括了轉帳、繳稅費及消費購物，購物約僅佔3成，財金公司董事長林國良坦承，雖然台灣Pay在認知度上不如其他支付服務，從數字來看，購物的交易金額佔比看似不高，但使用者轉帳也可能是為了支付消費購物，實際購物支付的金額可能更多。</p> <p><strong>續推</strong><strong>國內</strong><strong>QR Code共同標準、規劃電支共用平臺</strong></p> <p>接下來，台灣Pay仍會擴大合作的店家數量及支付更多的稅費項目，以增加支付的服務範圍，另外，財金也和日本NTT DATA、香港Jetco協商導入台灣Pay，提供將掃碼支付從國內擴大到海外地區。在信用卡方面，為符合國人消費習慣，未來會規劃增加信用卡的一維條碼被掃購物模式。</p> <p>因應電票電支合一的發展，台灣Pay未來也規劃建置電子支付跨機構共用平台，目前已和國內9家電支業者合作簽署MOU，未來待修法通過後，財金公司完成和各電支業者協商後再推出。</p> <p>目前台灣Pay已推動的QR Code共通支付標準，去年和國際的EMV QR Code接軌，未來可能比照國際做法，如新加坡的SGQR，向商標局申請TWQR商標，未來可能作為台灣Pay QR Code共通支付標準的名稱。</p> <p><strong>打造金流高速公路</strong></p> <p>展望未來，國內行動支付服務百花齊放，但缺乏一個統合性的平臺，導致跨機構交易困難，商店也充斥各種支付服務獨有的QR Code規格，不僅造成商店管理的困難，消費者也要依不同商店、選擇不同的支付工具。在財政部支持下，台灣Pay QR Code共通支付平臺，未來要做國內數位金流的高速公路。</p> <p>財政部次長阮清華表示，台灣Pay將扮演共通的支付平臺，而非個別的品牌，如同國家的基礎建設，通過台灣Pay的共通標準，整合國內的行動支付業者，達到車同軌、書同文互連互通的效果。他強調台灣Pay並非要和其他品牌競爭，而是成為一個平臺，讓其他支付業者加入，一起推動行動支付，同時各業者仍保有自己的商業模式。</p> <p>林國良補充指出，台灣Pay扮演一個共同的支付標準，財金公司則建置平台，健全台灣的金融網路，讓國內的業者建置電子支付、行動支付服務，能夠四通八達，資源能夠共享、標準能夠互通。以交通作比喻，建造一條高速公路，讓客運、貨運，或是計程車、轎車各種車輛都可以在上面通行。</p> <p>林國良解釋，財金的任務之一是檢視國內現今支付產業所缺乏的，予以補足，不論是一般消費者或是微型商家，大家都能使用的普惠金融，如同台灣Pay一開始推動綁定金融卡，讓無法或不願使用信用卡的人也能使用行動支付服務，降低新興支付工具的使用落差。</p> </div></div></div>
2019/10/4 20:49作者蘇文彬https://www.ithome.com.tw/news/133447
HP宣布組織重整，準備減少16%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供個人電腦/印表機銷售與3D列印服務的HP，在本周舉行的分析師會議上，宣布了對2020財年的展望與組織重整計畫，<a href="https://investor.hp.com/news/press-release-details/2019/HP-Inc-Announces-Fiscal-2020-Financial-Outlook--Restructuring-Plan/default.aspx" target="_blank">準備在2022財年以前減少7,000到9,000名員工</a>，約佔HP全球員工數的16%。</p> <p>HP的2020財年，指的是2019年的11月到2020年的10月，估計2020財年的每股盈餘將介於2.22美元到2.32美元，此一預估並未計算組織重整、併購或其它費用。</p> <p>該公司的組織重整計畫主要為簡化營運模式，以成為一家更數位化的公司，預計減少7,000到9,000名員工，方法包括裁員以及提出提早退休方案。目前HP在全球的員工數約為5.5萬人，若以9,000名員工來計算，約佔HP總員工數的16%，此波減少人力的行動，預計會在2022財年完成。</p> <p>雖然裁員費用、退休金或其它重整行動，會替HP帶來10億美元的成本，但HP也預期在重整過後，每年將可節省10億美元的成本。</p> <p><a href="https://www.ithome.com.tw/news/132601" target="_blank">即將接任HP執行長的Enrique Lores</a>表示，HP正採取果斷且大膽的行動以進入下一階段，他們看到了可創造股東價值的重大機會，將藉由提高領導能力、破壞產業與積極轉型，來實現此一目標，讓HP成為一家以客戶為中心的數位化公司。</p> </div></div></div>
2019/10/4 16:20作者陳曉莉https://www.ithome.com.tw/news/133446
Android版WhatsApp含有遠端攻擊漏洞，波及全球數億用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名暱稱為Awakened的新加坡資安專家，在本周<a href="https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/" target="_blank">揭露了WhatsApp上的一個安全漏洞</a>，該漏洞只現身於Android版的WhatsApp程式上，一旦遭到開採，就允許駭客執行阻斷服務攻擊或執行遠端程式，波及數億的WhatsApp用戶。WhatsApp已於上個月釋出WhatsApp 2.19.244以修補該漏洞。</p> <p>此一漏洞編號為CVE-2019-11932，為一記憶體重複釋放（double-free）漏洞，可造成程式當掉或衍生出遠端程式攻擊，藏匿在WhatsApp Gallery功能中。</p> <p>依照Awakened的解釋，<a href="https://www.zdnet.com/article/whatsapp-vulnerability-exploited-through-malicious-gifs-to-hijack-chat-sessions/" target="_blank">駭客可以先透過任何管道傳送一個圖像檔予WhatsApp使用者</a>，當使用者準備與友人分享該圖片並啟用WhatsApp Gallery時，WhatsApp Gallery即會秀出存在於Gallery中的所有媒體，此時即已觸發CVE-2019-11932漏洞。</p> <p>假設使用者的Android手機上已含有惡意程式，那麼就能藉由該漏洞擴張權限，竊取WhatsApp的訊息資料庫，也能搭配其它程式（如瀏覽器）的安全漏洞，以執行遠端程式攻擊。</p> <p>相關的攻擊適用於Android 8.1與Android 9.0的WhatsApp程式，但若採用更舊的Android版本，那麼頂多就只會造成程式當掉。</p> <p>WhatsApp已在上個月修補CVE-2019-11932漏洞，亦強調並未收到任何攻擊報告。</p> </div></div></div>
2019/10/4 15:40作者陳曉莉https://www.ithome.com.tw/news/133445
一周大事：啟動核心系統上雲計畫，臺灣家樂福先從ERP下手。網路數據設備被發現命令注入漏洞，中華電信緊急修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>臺灣家樂福推動數位轉型，ERP上雲及CRM翻新為兩大核心工程</strong></span></p> <p>近年臺灣家樂福積極推動數位轉型，決定採用GCP平臺的解決方案運行SAP ERP系統，還有翻新CRM系統，再擷取CRM的部分顧客資料，搬遷上Google雲，進一步進行資料分析，以實現精準行銷。</p> <p>ERP系統搬遷上Google雲，是臺灣家樂福上雲計畫中，第一個將於雲環境執行的內部核心系統。因該計畫超過50萬歐元，需通過總部審核，家樂福行銷暨電子商務與數位資訊總監林文子表示，歷時兩年的討論，直到1個月前，才與Google雲端和SAP兩方完成簽約。除了將在GCP平臺使用SAP ERP系統，下一階段，家樂福也將於GCP平臺使用SAP BW。<a href="https://www.ithome.com.tw/news/133246" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>戴夫寇爾揭露中華電信家用數據機漏洞</strong></span></p> <p>今年DEVCORE Conference大會上，戴夫寇爾資安研究員Orange Tsai（蔡政達）揭露了中華電信的家用網路數據機中，因開放特定連接埠，使得駭客能夠發動命令注入（Command Injection）攻擊，經通報後，中華電信已經透過韌體更新的方式，緊急修補。<a href="https://www.ithome.com.tw/news/133322" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Cloudflare與二大瀏覽器合作加速HTTP/3採用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_HTTP3%E5%90%88%E4%BD%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cloudflare.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Cloudflare</span></p> <p>Cloudflare、Chrome以及Firefox，聯手共同在伺服器端以及客戶端實作最新的HTTP協定HTTP/3，Cloudflare的用戶會逐漸收到HTTP/3可啟用通知，而用戶現在就可以使用Chrome透過HTTP/3與啟用HTTP/3的網站連結，Firefox也將會在之後釋出支援HTTP/3的版本。<a href="https://ithome.com.tw/news/133299" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟將新增禁止38種OWA副檔名檔案</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_OWA%E5%89%AF%E6%AA%94%E5%90%8D.png" style="width: 500px;" /></p> <p>近日微軟公布，將把Outlook for the Web（原名Outlook Web Access，OWA）封鎖的檔案副檔名類別增加為38類，包含Java、Python、PowerShell等檔案類型，使142類副檔名的檔案無法下載。</p> <p>微軟表示，為了確保客戶安全，Exchange團隊對現有封鎖檔案名單做了一番檢視，以確保能涵括現今有風險的檔案類型。經過調整，OwaMailboxPolicy物件中的BlockedFiletypes屬性所封鎖的對象，將由現有104類增加38類，成為142類。<a href="https://www.ithome.com.tw/news/133291" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟揭露新的Nodersok無檔案攻擊行動</strong></span></p> <p>繼今年7月公布的Astaroth無檔案（fileless）攻擊行動之後，微軟再公布新一波的Nodersok無檔案攻擊，駭客同樣利用合法工具展開攻擊，目的是將受害系統變成代理人以執行點擊詐騙，估計已有數千臺Windows電腦被纏上。</p> <p>狡猾的無檔案攻擊使用各種離地攻擊（living-off-the-land）技術，藉由合法工具展開一連串的感染行動。</p> <p>Nodersok的開端始於使用者藉由點選或瀏覽惡意廣告，而下載與執行一個HTML程式（HTA），藏匿在該HTA檔案的JavaScript程式碼，就會自C&C伺服器下載另一個JavaScript檔案，接著下載內含PowerShell指令但被加密的MP4檔案，解密後利用PowerShell指令，來下載可關閉Windows Defender Antivirus的模組與其它模組，最後留下的是能把受害電腦變成代理人、基於Node.JS框架的JavaScript模組。<a href="https://www.ithome.com.tw/news/133302" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟正式推出雲端SIEM服務，能用ML模型偵測惡意SSH存取</strong></span></p> <p>微軟推出雲端原生安全資訊和事件管理（SIEM）服務Azure Sentinel正式版，讓企業可以在不同規模的工作負載上，進行智慧安全分析。</p> <p>雲端與傳統本地端SIEM的差異之一在於靈活性，本地端SIEM需要企業自己維護基礎設施以及軟體，而雲端SIEM則沒有這些困擾，且用戶可以依需求擴展使用規模以及儲存容量。微軟在今年二月的時候，釋出了Azure Sentinel預覽版，而在之後收到了用戶回饋，為此微軟更新了Azure Sentinel並加入了許多新功能，現在釋出正式版本。<a href="https://www.ithome.com.tw/news/133329" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣政府資安防護檢驗結果出爐，網路配置不當是公部門最常見的弱點</strong></span></p> <p>在9月的以色列資安高峰論壇，行政院國家資通安全會報技術服務中心主任吳啟文揭露了去年政府資安防護的現況驗證。吳啟文指出，許多駭客攻擊政府單位，採取進階持續性威脅攻擊（APT），其中，從滲透的管道來看，釣魚郵件是極為盛行的手法，再者，資料詐欺的事件也相當常見。基於上述的態勢，技服中心不只進行稽核，更透過各式演練，提升公部門的資安意識。而在他們去年執行的社交工程演練中，他們也對於正副首長的公務手機，發送演練用的釣魚簡訊。結果發現，高達27.93%會點選其中的內容，相較於2017年僅有21.14%，可說是增加了許多。由於這些首長的行動裝置，往往擁有不少機密資料，開啟釣魚內容的比例較一般公務員高出數倍，若不加強相關意識，很有可能成為攻擊者鎖定的對象。</p> <p>不只是部分公務人員的資安意識缺乏，如何管理疊床架屋的資訊架構，也是許多政府單位的難題，這也造成當中潛在的資安隱憂。技服中心去年針對65個機關、4,145個對外服務的資通系統，執行滲透測試，總共發現579個弱點。前5大弱點包括不安全的組態設定、跨網站腳本攻擊、無效的身分認證、無效存取控管，以及注入攻擊等。</p> <p> </p> <p><span style="font-size:28px;"><strong>Chrome更新造成部份macOS的檔案系統損毀</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_chrome_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BFCorbin%20Davenport%20on%20GitHub.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源＿Corbin Davenport on GitHub</span></p> <p>近日Google證實，自動更新的Chrome版本，可能會造成macOS的檔案系統損毀，有些用戶回報在安裝新版Chrome之後無法重新啟動。</p> <p>其實最早發現此一問題的，是安裝Avid Media Composer影片編輯軟體的Mac Pro用戶，他們在Chrome自動更新之後，就無法重新啟動電腦，原本以為是Avid軟體的問題，後來才知道是Chrome更新版含有臭蟲。</p> <p>Google很快就出面認錯，表示是這次的Chrome更新內含一個臭蟲，若是在macOS系統上，關閉了系統完整保護（System Integrity Protection，SIP）功能，就會危害檔案系統。此一臭蟲除了影響關閉SIP的macOS之外，也影響未支援SIP的macOS，而OS X 10.11以前的版本即未支援SIP。<a href="https://www.ithome.com.tw/news/133282" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>阿里巴巴新AI推論晶片，分類10億圖片只需5分鐘</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4AI%E6%99%B6%E7%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_阿里巴巴</span></p> <p>在雲棲技術大會上，阿里巴巴集團CTO兼阿里雲智能總裁張建鋒在開場演講中，重磅發布了阿里巴巴第一款自行研發的AI推論晶片含光800，也正式推出了採用含光800晶片的雲端AI服務，可供企業直接租用。</p> <p>阿里巴巴內部應用已經開始採用含光800晶片，主要用在支援阿里巴巴集團旗下電商平臺，例如產品搜尋、自動翻譯、個人化產品推薦、廣告以及智慧客戶服務等需強大算力的功能，試圖用來改善消費者的購物體驗。<a href="https://www.ithome.com.tw/news/133253" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國通過可協助組織對抗網路攻擊的法案</strong></span></p> <p>美國參議院通過一項法令，要求國土安全部的資安團隊協助政府及其它私人企業避免網路攻擊，也應在這些組織遭到攻擊時協助緩解。</p> <p>國土安全部原本就有許多與網路安全相關的任務，新法案要求國土安全部必須設立網路狩獵與網路事件應變兩個安全團隊，以永久協助政府機關、重大基礎設施與私人企業來對抗網路攻擊，也要求相關團隊必須廣邀私人企業的安全專家，以提供非政府角度的專業意見。<a href="https://ithome.com.tw/news/133326" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟地區的Google新聞搜尋頁將不提供文章摘錄</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%AD%90%E7%9B%9F%E8%91%97%E4%BD%9C%E6%AC%8A%E6%8C%87%E4%BB%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Society%20of%20Authors.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Society of Authors</span></p> <p>在歐盟理事會（Council of the European Union）於今年4月通過了《著作權指令》（Copyright Directive）之後，法國準備成為全歐第一個採用該指令的歐盟國家，當地的新著作權法案將於10月下旬實施，對此Google宣布，不會付費給法國的新聞媒體，而是選擇移除搜尋結果中的新聞內容摘錄。<a href="https://www.ithome.com.tw/news/133289" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>928遭攻擊，香港蘋果日報App及網站服務受影響</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%98%8B%E6%9E%9C%E6%97%A5%E5%A0%B1-2.png" style="width: 500px;" /></p> <p>在9月28日早上，蘋果日報的「蘋果動新聞」手機App與網站疑遭受外來攻擊，導致部分讀者無法登入，服務異常在三個小時後解除。香港蘋果日報並未公布遭駭原因與入侵管道，以及影響範圍。由於事發當天，適逢香港反集權運動與傘運5周年敏感時機，導致這起網路攻擊事件引發外界關注。<a href="https://ithome.com.tw/news/133325" target="_blank">更多內容</a></p> </div></div></div>
2019/10/4 16:00未署名https://www.ithome.com.tw/news/133386
癱瘓者有望靠AI技術重新站起來！布朗大學與英特爾合作要以AI接通中斷的神經訊號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人體脊柱一旦受傷造成神經迴路中斷後，當大腦命令無法傳達到肌肉，就可能導致癱瘓，<a href="https://www.brown.edu/news/2019-10-03/isi">DARPA現在資助美國布朗大學研究團隊630萬美元，試圖開發智慧脊柱介面（Intelligent Spinal Interface）</a>，要幫助脊髓損傷的患者，恢復肢體運動與膀胱控制的能力。</p> <p>共同參與計畫的還有英特爾、Micro-Leads Medical以及羅德島醫院。而智慧脊柱介面的想法，是要記錄大腦往下傳遞到脊髓損傷部位的訊號，並利用智慧脊柱介面彌補脊柱損傷造成的神經迴路空白，以驅動下方脊髓，同時從受傷脊髓下方來的訊號，也能夠往上傳遞刺激或是驅動上方的部位。</p> <p>布朗工程學院的助理教授David Borton提到，脊椎病變周圍的神經迴路，通常仍然活躍有作用，透過疏通雙向的神經訊號，可以對脊髓受傷後的治療，產生重大的影響。智慧脊柱介面這項裝置，可能有助於恢復癱瘓人士四肢肌肉的控制能力，以及因為脊髓受傷而失去的知覺。目前這項計畫為探索性的研究，目的要建構工具集，包括安裝在脊髓的硬體、控制軟體，以及對脊柱功能性理解。</p> <p>接下來研究人員會與羅德島醫院的神經外科人員合作，在脊髓損傷的志願者身上安裝實驗性的介面裝置29天，紀錄脊髓運動和感覺訊號，並使用人工神經網路來學習刺激受傷後的部位，學習溝通運動神經命令的方法。神經外科人員會在病人受傷部位的兩端植入電極陣列（下圖），形成智慧旁路，最終要讓被截斷的神經能夠恢復即時交流。英特爾提到，研究人員會使用英特爾人工智慧開源軟體nGraph，以及加速器硬體來開發解決方案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/20190912_COMM_bortonlab005.jpg" style="width: 533px;" /></p> <p>而這個專案的關鍵便是人工智慧以及機器學習技術，才能分析從脊柱紀錄而來的複雜神經訊號，布朗大學認知科學研究團隊將會和英特爾的人工智慧團隊合作，研究團隊提到，他們要找出數學上的抽象，並與現代機器學習基礎架構整合，在理解脊髓運作方式後設計模型，以開發出高效率且通用的系統，最好是只需要少量訓練就能達到足夠的學習。</p> <p>而Micro-Leads Medical則提供高解析度的脊髓刺激技術HD64，這項技術可以在不改變植入人體裝置的尺寸或是導線數量的情況下，增加治療部位的範圍以及精確度。目前這項研究將專注於步行和站立時腿部控制有關的訊號，還有膀胱控制有關的訊號，而膀胱控制是脊髓損傷患者的首要問題。整個研究會持續兩年，以證明裝置確實可以影響這些運動神經迴路。</p> </div></div></div>
2019/10/4 16:00作者李建興https://www.ithome.com.tw/news/133444