iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Salesforce與海洋組織合作，使用Einstein AI來追蹤野生大白鯊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce的Einstein AI團隊與加州大學的貝尼奧夫海洋倡議機構合作，執行<a href="https://www.salesforce.com/company/news-press/stories/2019/10/100919-SharkTracking/">鯊眼計畫（Project SharkEye）</a>，以Einstein AI系統結合空拍機拍攝的大白鯊背影圖像，來辨識並紀錄加州海域數量逐漸恢復的大白鯊，透過掌握大白鯊的行蹤與數量來幫助復育工作。</p> <p>貝尼奧夫海洋倡議機構主任Douglas McCauley提到，大白鯊是構成健康海洋生態系的頂級獵食者，而在過去4年，大白鯊在加州海岸出現的頻率上升，尤其是1.5公尺到3公尺長的大白鯊，對此，科學家有許多猜測，原因可能是氣候變遷，抑或是加州物種保護法令的成功，由於加州禁止流刺網的使用，保護了包括鯊魚在內的海洋生物，也有可能海豹和海獅等成年大白鯊的主要食物來源增加，進而使得大白鯊數量提升。</p> <p>不過無論原因為何，大白鯊數量上升，受到了當地衝浪社群的關注，因此Salesforce與加州大學合作，在加州沿海水域中，要以人工智慧來辨識大白鯊。而以往都被用來辨識品牌或是產品的Einstein視覺演算法便派上用場，研究團隊不需要物理上接觸或是標記大白鯊，就能夠計算大白鯊族群的數量。</p> <p>鯊眼計畫第一步，是要利用無人機在沿海地區，大量的收集影片資料，而這些資料會被用作辨識大白鯊人工智慧模型的基礎，研究團隊在沙灘上操縱無人機，拍攝長達16公里的海岸線的俯視圖。當收集了足夠的圖像資料，接下來就要訓練人工智慧辨識鯊魚的種類，以區分對人類無害的豹鯊，以及可能對泳客造成為威脅的大白鯊，而辨識的過程也充滿挑戰，因為影片中的物體可能只是一大片像大白鯊的海帶，而且因為鯊魚會任意游動，因此人工智慧也要避免數到重複的大白鯊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/shark4.png" style="width: 655px; height: 357px;" /></p> <p>而鯊眼計畫除了技術問題需要處理之外，另一個重要的部分則是與當地的社群合作，包括衝浪商店、學校、當地企業和政府，Salesforce對這些社群提供經過修改的Field Service Lightning行動應用程式，過去這個應用程式只用來進行工作管理、即時協作以及排程等任務，而現在當地社群成員，可以透過這個應用程式存取研究團隊收集到的資訊，包括在特定的時間地點所偵測到的鯊魚數量，讓人們可以避開這些鯊魚，同時保護人與鯊魚的安全。</p> <p>Douglas McCauley表示，大白鯊是被人誤解的物種，人們還不夠了解大白鯊的行為模式以及成長過程，即便現在他們數量上升，但仍然是一種脆弱的物種，只差不到瀕臨絕種的地步，而透過Salesforce人工智慧技術，可以為大白鯊撐出生存空間，預測可能與人類接觸的可能性，進而避免衝突發生。</p> <p>人工智慧應用的領域逐漸擴大，從手術、颱風預報系統或是銷售等應用，擴展到了環保議題上，Douglas McCauley提到，未來甚至可以利用無人機來幫助救生員搜救，發現水域污染或是危險的海浪波型形成，或是擴大鯊眼計畫的範圍，調查目擊大白鯊的環境狀態。</p> </div></div></div>
2019/10/11 21:35作者李建興https://www.ithome.com.tw/news/133571
AWS在EC2的Arm系列推出裸機執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/now-available-bare-metal-arm-based-ec2-instances/">AWS現在為EC2的A1執行個體系列增加裸機選項a1.metal</a>，其提供16個邏輯處理器，32 GiB記憶體，而EBS頻寬則為2.5 Gbps。AWS提到，A1執行個體是新的EC2系列，使用Arm的AWS Graviton處理器。</p> <p>A1執行個體的特性，非常適合處理橫向擴展的工作負載，像是網頁前端、容器化微服務或是快取隊列。另外，A1系列的另一個好處，是可以讓Arm開發者在雲端，在Arm基礎架構上進行建置和測試工作，而不需要模擬器或是交叉編譯。</p> <p>目前AWS上有許多裸機EC2執行個體，包括M5、M5d、R5、R5d以及z1d等，裸機可以讓使用者直接利用實體資源以及低階的硬體功能，像是效能計數器等，這些通常不會在虛擬環境提供的功能。另外，也能讓應用程式在特殊原因或是授權限制下，在非虛擬化的環境中執行。</p> <p>使用Arm處理器的A1執行個體，支援各種軟體，包括使用Ubuntu、RHEL、SUSE Linux Enterprise Server、Debian以及Amazon Linux2等流行Linux發行版的Amazon機器映像檔，應用程式還可以使用Apache HTTP伺服器和NGINX Plus，而開發語言則是PHP、Python、Perl、Golang、Ruby、NodeJS和多種Java語言都沒問題。</p> <p>Amazon ECS和Amazon EKS也都支援A1執行個體，Docker也在其企業版支援Arm架構，且大多數的Docker官方映像檔也都支援Arm。其他AWS服務，例如Amazon EBS、Amazon CloudWatch和Amazon Inspector等，都與A1執行個體良好整合。目前A1執行個體包括裸機，只在4個區域提供，歐洲法蘭克福，與亞洲東京、孟買以及雪梨。</p> </div></div></div>
2019/10/11 21:45作者李建興https://www.ithome.com.tw/news/133572
Windows版iTunes零時差漏洞遭用以散佈BitPaymer勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://blog.morphisec.com/apple-zero-day-exploited-in-bitpaymer-campaign" target="_blank">安全研究人員發現</a>駭客利用Windows版iTunes及iCloud for Windows中的零時差攻擊漏洞，躲過防毒軟體偵測、對Windows PC用戶散佈勒索程式BitPaymer。</p> <p>安全公司Morphisec Labs首先在8月發現BitPaymer感染一家汽車製造商。BitPaymer在7月間被偵測到在美國感染15家企業。但本波攻擊中，這隻勒索程式使用的路徑是一個「不帶引號的服務路徑（Unquoted service Path）」零時差漏洞，存在於Windows版iTunes及iCloud for Windows的Bonjour Updater軟體元件中。</p> <p>研究人員指出，這類漏洞是物件導向程式開發中常見的錯誤，有時開發人員以為服務路徑派發變項時，只使用String型態的變數就夠了，但實際上路徑還需要加上引號（quote）標示，如"\\"。攻擊者可以用惡意檔案來置換原有可執行檔，這類漏洞過去在VPN軟體研究很知名，因為它出現在具管理員權限的服務或其他行程，可被用以發動權限升級攻擊，但並未被廣為使用。</p> <p>MorphiSec發現駭客界利用蘋果Bonjour Updater來攻擊這項漏洞。Bonjour Updater是包含在蘋果app中用於下載更新的機制，包括iTunes。但它有自己獨特的安裝入口和執行作業排程。鮮為人知的是，移除iTunes並不會同時移除Bonjour，它必須分開移除。因此許多企業電腦即使多年前移除了iTunes，電腦上還有未更新，但仍持續背景運作的Bonjour。</p> <p>Bonjour屬於合法行程，通常會被安全軟體如防毒程式掃瞄引擎忽略，使其下惡意子行程，也不會觸發警告，像是MorphiSec這次發現的BitPaymer。</p> <p>mac版iTunes已隨著最新的macOS Catalina釋出退役，Windows版iTunes，以及Windows 版iCloud app用戶是這項漏洞及BitPaymer的高風險群。在MorphiSec向蘋果通報後，蘋果已經發佈修補漏洞的<a href="https://support.apple.com/en-us/HT210635" target="_blank">Windows版iTunes 12.10.1</a> 及 <a href="https://support.apple.com/en-us/HT210636" target="_blank">iCloud for Windows 10.7</a>。</p> <p>由於已有攻擊發生中，安全公司也呼籲用戶儘速升級到最新版程式及防毒軟體。</p> </div></div></div>
2019/10/11 20:40作者林妍溱https://www.ithome.com.tw/news/133574
Google移除支持香港運動的遊戲app
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又一家主要軟體平台移除香港抗爭運動的相關內容。<a href="https://www.wsj.com/articles/apple-pulls-hong-kong-cop-tracking-map-app-after-china-uproar-11570681464" target="_blank">華爾街日報報導</a>，Google周四將一個支持香港抗爭運動的遊戲app從Play Store移除，理由是「利用悲劇謀財」。</p> <p>遭到移除的遊戲app名為「時代革命1」（The Revolution of Our Times 1），雖然正版已被從Play Store移除，但目前還可<a href="https://webcache.googleusercontent.com/search?q=cache:26oRbXvZYl4J:https://play.google.com/store/apps/details%3Fid%3Dstory.hk.hkmovement%26hl%3Den_US+&cd=5&hl=en&ct=clnk&gl=us" target="_blank">在快取網頁中看到其描述</a>。這項遊戲類似市面上的冒險遊戲一樣，讓使用者選擇他在這場運動中的行動，作為故事發展的故事線。遊戲描述寫道，「香港原是個法治的繁榮社會，但林鄭月娥一手摧毁了這一切，她試圖違背超過2000萬香港民眾意志，強力通過一條爭議性高的引渡條款。」</p> <p>Google對媒體表示，移除這款app的理由是它違反Play Store禁止「利用敏感事件，像是持續中的嚴重衝突或悲劇獲利」的條款。這項遊戲本身是免費的，但是提供程式內購買抗爭者需要的物資，售價從0.99到14.99美元不等。在遭到移除前，這項遊戲的下載次數只有1,000多次，但給予良好評價者似乎也是香港抗爭運動的支持者。</p> <p>這是香港抗爭運動延燒網際網路產業的最新事件。蘋果數天前才恢復上線的港警路線即時地圖HKLive.com，昨天又在中國媒體抗議後再度從App Store移除，引來媒體及政治人物批評，迫使蘋果執行長對員工<a href="https://www.theverge.com/2019/10/10/20908498/apple-ceo-tim-cook-hong-kong-protest-app-removed-store-email-employees-hkmaplive" target="_blank">發出公開信為此事抗辯</a>，理由是這些資訊被用來攻擊警察，並造成人民生命財產損失。遭移除的還有報導香港抗爭運動的<a href="https://www.ithome.com.tw/news/133565" target="_blank">新聞媒體Quartz的iOS版app</a>。</p> </div></div></div>
2019/10/11 11:10作者林妍溱https://www.ithome.com.tw/news/133568
一周大事：臺灣最新個資保護判例出爐。IE零時差漏洞被駭客盯上，波及所有Windows版本用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>購票平臺個資外洩客戶遭騙判決出爐，在個資法賠償外，業者並需負起部分過失責任</strong></span></p> <p>今年9月，一起關於EZ訂（EZding）購票平臺個資外洩的民事判決結果出爐，經過2年訴訟與審理。案經一審判定，業者需依個資法賠償民眾2萬元，之後二審法院指出，EZ訂應對用戶遭詐欺的損害賠償，負起7成過失責任，因此判處該公司需給付受害者19萬4,524元，且不得上訴。<a href="https://www.ithome.com.tw/news/133473" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>HTTPS內嵌不安全傳輸！Chrome將逐步封鎖</strong></span></p> <p>為了更嚴格執行網頁實行HTTPS加密的規定，Google宣布，從今年12月的Chrome79開始，Chrome將逐步封鎖HTTPS網頁中，以HTTP下載的內容，包括影音及圖片檔、iFrame等。</p> <p>Google表示，現在Chrome用戶超過90%的上網時間是花在HTTPS連線上。但是混合內容（mixed content）則成了漏網之魚。雖然瀏覽器會預設封鎖腳本程式和iFrame，但是仍然允許圖片、聲音和影像內容下載，這些就成了用戶隱私和安全威脅，例如駭客可能竄改公司股價圖誤導投資人，或在這些內容注入追蹤行蹤的cookies。此外，混合內容也會引發使用經驗（UX）上的混淆，因為網站會顯示為介於「安全」和「不安全」之間。<a href="https://www.ithome.com.tw/news/133442" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Windows 7付費延伸支援開放中小企業購買</strong></span></p> <p>微軟宣布從12月1日起，Windows 7付費延伸支援服務對象，從原本只提供給購買大量授權方案的Windows 7 專業／企業版用戶，現在擴及中小企業用戶。</p> <p>Windows 7的延伸支援即將在2020年1月14日終止，Office 2010的支援也即將於近期截止。為了讓企業用戶在大限之後，仍能獲得Windows 7的安全修補程式，微軟提供了Windows 7延伸安全更新，在2023年1月以前，可依電腦臺數付費購買安全修補更新。</p> <p>Windows 7 延伸支援並不便宜，而且逐年調高價格。針對Windows 企業版及Microsoft 365用戶，第1年每臺裝置收費25美元、第2年50美元，第3年的費用再加價到100美元。</p> <p>市調公司GlobalStats的數據顯示，截至今年8月，全球使用Windows 10的電腦比例來到6成，但還有3成的電腦跑Windows 7，位居第二位。<a href="https://www.ithome.com.tw/news/133373" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟再發布IE漏洞例外修補，所有版本都要安裝</strong></span></p> <p>半個月前微軟發布例外修補程式，以修補IE零時差攻擊漏洞，但可能引發了些問題，10月4日微軟二度發出例外修補程式，並提醒所有Windows版本用戶都應立即安裝，因為已經有攻擊發生。微軟並提醒用戶，這波更新後，還是要安裝10月的安全更新。</p> <p>微軟指出，KB4524147版本修補程式是9月24日的例外更新的擴大發布，屬「必要安全更新」，主要修補編號CVE-2019-1367的IE零時差攻擊漏洞。雖然微軟已警告網路上已有這項漏洞的攻擊程式，但僅透過Windows Update Catalog發布，需要用戶手動下載。最新的例外修補程式則會經由Windows Update、以及企業用戶的Windows Server Update Services (WSUS)，自動更新到用戶電腦。<a href="https://www.ithome.com.tw/news/133453" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>可在華為Mate 30手機安裝Google行動服務的操作，被臺灣研究人員揭露後下架，並研判華為知情且默許</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Mate%2030%E6%89%8B%E6%A9%9F%E7%94%A8%E6%88%B6%E7%84%A1%E6%B3%95%E5%9C%A8%E7%94%A8GMS.jpg" style="width: 500px;" /></p> <p>華為最新款Mate 30系列智慧型手機，在美國銷售禁令影響下，雖然仍可使用Android開源碼專案，但無法獲得Google行動服務（GMS）的認證與授權，因此沒有預裝Google應用程式。</p> <p>但Mate 30系列推出不久，網路上開始流傳能幫華為新機安裝Google行動服務的方法。一名臺灣的Android系統研究人員吳泓霖，便對此提出相關分析與調查，並揭露華為手機的後門手法。<a href="https://www.ithome.com.tw/news/133434" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>法國將成為歐洲首個以人臉辨識驗證電子身分的國家</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Alicem_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_interieur.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_interieur</span></p> <p>法國政府打造的電子身分證程式Alicem，準備在今年11月正式上線，將使法國成為歐洲首個透過人臉辨識技術，來確認民眾身分的國家。不過，Alicem在當地同時引發了有關隱私及安全上的疑慮。</p> <p>當法國居民要建立個人身分帳號時，必須先利用智慧型手機自拍一段影像，以讓Alicem系統確認所輸入的身分的確是民眾本人。反對者宣稱，Alicem違反了歐盟所制定的用戶同意權規定，它要求企業或政府組織在處理個人資料時，使用者必須能夠擁有是否同意的自由選擇權，且當不同意時不會有任何不良後果，但Alicem卻硬性規定民眾只能透過人臉辨識來驗證自己的身分。<a href="https://www.ithome.com.tw/news/133451" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟發表Surface裝置，雙螢幕款手機與筆電入列</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-SurfaceNeo.png" style="width: 500px;" /></p> <p>微軟發表了五款Surface裝置，除了更新既有產品線Surface Laptop與Surface Pro之外，令人驚豔的是兩款新Surface產品：雙螢幕的Surface Neo筆電與雙螢幕的Surface Duo手機。</p> <p>Surface Neo筆記型電腦配備兩個9吋螢幕，以及能夠360度旋轉的螢幕轉軸，展開後便擁有13吋螢幕，採用微軟專替雙螢幕電腦客製化的Windows 10X作業系統。</p> <p>微軟將Surface Neo定位為個人電腦，強調它像PC一樣具備生產力與多工能力，除了具備可拆卸的鍵盤之外，也相容於Surface Pen及藍牙滑鼠。在雙螢幕筆電上，使用者可以在一個螢幕上瀏覽專案內容，在另一個螢幕上作筆記，或者是在一個螢幕上進行視訊會議，在另一個螢幕檢視報表文件。</p> <p>Surface Neo可說是微軟替Windows 10X所開發的參考設計，包括華碩、Dell、HP與聯想，都準備推出基於Windows 10X的雙螢幕筆電。不過，都要到明年秋天才會出爐。<a href="https://ithome.com.tw/news/133403" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>PayPal正式退出臉書加密貨幣Libra協會</strong></span></p> <p>PayPal向媒體證實，已正式退出由臉書（Facebook）所發起的加密貨幣組織Libra協會（Libra Association），成為Libra協會28名理事成員中，第一個退出的業者，外界正密切關注是否會引發骨牌效應。</p> <p>臉書今年6月發表Libra加密貨幣，同時成立Libra協會，負責管理Libra幣、Libra區塊鏈與Libra儲備。Libra協會有28家創始會員，臉書原本預計招募100個理事成員，但在Libra幣招來外界大規模質疑之後，理事成員非但沒有增加，PayPal已宣布要退出，據傳還有其它業者亦正考慮退出Libra協會。<a href="https://www.ithome.com.tw/news/133456" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>HP宣布組織重整，準備減少16%人力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011_HP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cinerama14%20(CC%20BY-SA%204_0).png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Cinerama14 (CC BY-SA 4.0)</span></p> <p>專門提供個人電腦／印表機銷售與3D列印服務的HP，在本月舉行的分析師會議上，宣布了對2020財年的展望與組織重整計畫，準備在2022財年以前，減少7,000到9,000名員工，約佔HP全球員工數的16%。<a href="https://www.ithome.com.tw/news/133446" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>蘋果下架全港抗爭地圖後又准許重回App Store</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_HKmap.png" style="width: 500px;" /></p> <p>先前遭到蘋果拒絕的HKmap 即時地圖應用程式，終於重新登上App Store了。</p> <p>此一由BackupHK所出版的HKmap即時地圖資訊來自特定的Telegram群組，由群組內的香港居民分享抗議者及警方所聚集的位置，也分享附近的交通狀況，以及警方是否使用了催淚瓦斯或進行大規模逮捕，並透過HKmap即時地圖廣播。</p> <p>HKmap程式的作者表示，蘋果認為該程式的內容鼓勵非法行動，允許使用者逃避執法，因而拒絕它上架。不過，作者認為該程式就像導航程式一樣，由群眾提供交通狀態，讓人們能夠閃避交通擁擠的路線，並沒有人違反任何法令。<a href="https://ithome.com.tw/news/133472" target="_blank">更多內容</a></p> </div></div></div>
2019/10/11 09:00未署名https://www.ithome.com.tw/news/133510
數位轉型要瞻前，也要顧後
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前一陣子，剛好有機會參加今年全國醫院資訊主管會議的晚宴，席中大家討論的熱門話題之一，就是多家醫療院所在8月底遭到勒索軟體攻擊。在另一場由儲存廠商與網路、系統設備廠商合開的記者會上，恰巧找來一家大型醫院的資訊主管來證言，他也提到所屬醫院的確受到此次勒索攻擊的影響，所幸他們備有全快閃儲存陣列，以及完善的資料保護措施，而能在這次事故之後，實現快速復原。</p> <p>事實上，勒索軟體只是眾多資安威脅之一，無論企業的IT架構是朝向現代化發展，還是守著傳統舊系統，都必須要有對應的資安防護對策，甚至要持續提升事前預防與事後反應能力。</p> <p>因為，企業若採用新技術、開放式架構，暴露在外的攻擊表面（Attack Surface）可能會跟著增加；然而，就算企業按兵不動，繼續以原有IT架構來支撐各種業務的維運，為了因應不斷增加的使用者需求，以及工作生產力與人員溝通效率的確保，IT也很難繼續採取完全閉鎖的態勢，勢必要開放某些部分來提供更多便利性，如此一來，在應用程式、網路、系統的層級，也有可能會出現「門戶洞開」的狀況。</p> <p>為了盡可能杜絕威脅的進犯，我們得知有些資安預算較充足的單位，本身就有多種存取行為的檢測系統，像是次世代防火牆、網站應用程式防火牆、網頁安全閘道、郵件安全閘道、資料外洩防護系統；同時，他們還會積極建構多種隔離措施，像是桌面虛擬化、網路虛擬化，或是遠端瀏覽器隔離系統（RBI）、內容威脅解除與重組系統（CDR），避免使用者直接接觸到原始的應用系統或檔案，造成惡意軟體大規模感染。</p> <p>但在當前這種無邊界的網路與內容存取應用之下，企業若要全面落實資安管控的工作，總是要花大錢、單靠產品來做好守衛嗎？建立與導入適合的流程，仍是必要的。例如，要實踐USB外接裝置的控管，有些單位會搭配使用者登記使用的工作流程，接著，IT人員會將套用加密保護、經過掃描、淨化的USB隨身碟，提供給使用者，之後，再把隨身碟繳回給公司。</p> <p>而我這裡所提到的「顧後」，其實，也不光是針對資訊安全的層面，還包括如何讓既有IT系統持續維運、持續因應新的業務變化。因為在企業開始改良應用系統架構的過程當中，雖然會設立新的開發專案來建構企業所要的新一代服務，但若面對原有的系統環境之時，也並非只考量如何導入新技術來改良，也涉及如何將系統遷移到新的作業環境、重新改寫程式碼等因素。</p> <p>所幸，經過前幾年各種IT技術的推陳出新之後，今年，我們開始看到企業級IT廠商，經過這段時間的摸索與調整，對於工作負載繁重卻重要的資料庫系統、以老舊語言撰寫而成的應用程式，都提出了一些「上雲」的解決之道（不只是將系統搬到公有雲執行，而是能夠進一步以容器化、微服務化架構的方式來執行）。</p> <p>例如，Micro Focus今年4月在臺舉辦的Realize 2019大會上，就特別提到他們的Visual COBOL，能讓COBOL程式支援Docker容器的部署，這讓大型主機的應用也能夠有機會上雲；而IBM在9月推出的Cloud Paks，將旗下眾多的企業級軟體，依照目前企業用戶常見的需求包裝成多個服務套件，當中包含：應用程式的建構、大數據分析與AI、應用程式整合與API管理、應用程式／業務流程／內容數位化的自動化作業，以及多雲管理──底層由Red Hat OpenShift支撐，上層則是容器化的IBM商用軟體。</p> <p>而這些原本專屬於企業級軟體所擅長的領域，其實，也是現代化IT架構目前仍難以深入其中的部份，隨著大型軟體廠商越來越懂得用雲、上雲，這些過去可能被視為包袱的老舊環境，未來也有可能逆勢翻轉成新的優勢，為IT廠商與企業帶來新的競爭優勢。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E4%B8%8A%E9%9B%B2">上雲</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item even"><a href="/tags/%E4%BC%81%E6%A5%AD%E7%B4%9A%E8%BB%9F%E9%AB%94">企業級軟體</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E5%9E%8B%E4%B8%BB%E6%A9%9F">大型主機</a></div></div></div>
2019/10/10 16:20作者李宗翰https://www.ithome.com.tw/voice/133567
蘋果中國版App Store移除報導香港抗爭運動的Quartz新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香港抗爭運動再度引發中國打壓言論自由爭議。蘋果App Store才在本周恢復HKmap 即時地圖程式，中國版App Store卻又在昨天移除報導香港抗爭新聞的媒體Quartz的app。</p> <p><a href="https://www.theverge.com/2019/10/9/20907228/apple-quartz-app-store-china-removal-hong-kong-protests-censorship" target="_blank">Quartz告訴The Verge</a>，該公司兩天前接到蘋果通知，在中國政府要求下，Quartz iOS app已從中國版App Store下架，理由是該網站包含中國政府認為非法的內容。此外，Quartz網站也被中國的網路防火牆完全封鎖，無法再由中國境內存取。</p> <p>Quartz執行長Zach Seward表示，原因是該公司近日<a href="https://qz.com/re/vpn/" target="_blank">一項報導</a>提供一系列能繞過中國或印度國家防火牆過濾內容的方法，包括VPN服務，此外這家媒體網站也包含其他關於香港抗爭行動的新聞連結。</p> <p>過去蘋果也曾以違反中國法律為由，<a href="https://www.ithome.com.tw/news/118481" target="_blank">從中國版App Store移除VPN app、Skype或Telegram等加密通訊程式</a>，及<a href="https://www.ithome.com.tw/news/110945" target="_blank">紐約時報app</a>。</p> <p>這是最近一次因香港抗爭活動問題，迫使服務商緊急行動以平息中國不滿。上周NBA 休士頓火箭隊總經理Daryl Morey，因發出支持香港抗爭行動的推特貼文，引爆中國民眾及官媒揚言抵制，迫使Morey撤文及火箭隊和NBA官方出面道歉。上周末遊戲開發商暴雪娛樂（Blizzard Entertainment）舉行的<a href="https://www.ithome.com.tw/news/133526" target="_blank">一場賽事中</a>，一名香港選手在訪談中頭戴護目鏡與防毒面罩高呼支持香港抗爭運動，遭大會除名及收回獎金。</p> <p>NBA事件還有後續插曲。動畫影集南方公園（South Park）團隊事後<a href="https://twitter.com/SouthPark/status/1181273539799736320" target="_blank">在推特上發表諷刺NBA的「官方道歉」</a>，表示「和NBA一樣，我們歡迎中國的言論審查，」該團隊說自己也很愛錢，勝過自由和民主，以及中國國家主席習近平長得完全不像小熊維尼。</p> </div></div></div>
2019/10/10 14:30作者林妍溱https://www.ithome.com.tw/news/133565
歐盟5G網路風險評估報告：對供應商的依賴將擴大駭客攻擊表面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://europa.eu/rapid/press-release_IP-19-6049_en.htm" target="_blank">歐盟會員國近日共同發表了5G網路風險評估報告</a>，列出在未來5G網路時代可能面臨的安全挑戰，當中包括了對行動網路營運商之供應鏈的顧慮，指出可能因為過於依賴這些供應商，而讓駭客有更多的攻擊途徑。</p> <p>5G網路是數位化經濟與社會的未來骨幹，來自能源、交通、銀行、健康醫療與包含敏感資訊與支援安全系統的工業控制系統等幾十億的聯網裝置與系統與其相關，因此，確保5G網路的安全與韌性至為重要。</p> <p>不過，該份名為《歐盟5G網路安全統合風險評估》的報告是在歐盟支持下，由28個會員國代表所組成的網路安全組織所製作，被視為是歐盟在中國影響與美國壓力下，針對5G與其他關鍵基礎建設的更進一步評估審視。</p> <p>根據該報告，由於5G網路日益重視軟體，因此更容易受到軟體漏洞的影響；且有鑑於5G網路將成為許多重大IT應用的骨幹，網路的完整性與可靠性將與國家安全息息相關。值得注意的是，該報告強調各國的行動網路營運商對供應商的依賴，可能會擴大攻擊表面，也讓個別供應商的風險指標變得特別重要，包括供應商可能受到非歐盟國家的干預。</p> <p>此外，該報告還指出，來自非歐盟國家或由政府支持的駭客集團，被視為是會造成最嚴重後果的攻擊者，也最可能鎖定5G網路展開攻擊。</p> <p>儘管歐盟的報告並未提及華為，但<a href="https://www.reuters.com/article/us-eu-cybersecurity-5g/eu-warns-of-5g-cybersecurity-risks-stops-short-of-singling-out-china-idUSKBN1WO1IM" target="_blank">路透社引述華為發言人的說法指出</a>，很高興歐盟堅持採取以證據為依歸的原則，並發展出一套普世作法以提供安全5G網路。</p> </div></div></div>
2019/10/10 15:10作者陳曉莉https://www.ithome.com.tw/news/133566
macOS Catalina安裝龜速、iTunes移除現災情，蘋果呼籲且慢更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於台北時間周二<a href="https://www.ithome.com.tw/news/133506" target="_blank">釋出最新版macOS 10.15 Catalina</a>。不過iTunes移除後，卻出現第三方音樂app無法使用iTunes資料庫，以及Catalina安裝耗時數小時的災情。</p> <p>macOS Catalina最大變更之一，是iTunes將在20年後功成身退，由Apple Music、Apple Podcasts與Apple TV三個app取而代之。一般用戶可能沒受太大影響，但是卻在大量仰賴Mac電腦以及iTunes，來管理音樂檔案的DJ之間，引發重大災情。</p> <p>一直以來iTunes是DJ們工作必備工具，一來iTunes對XML的支援，讓DJ得以編輯歌單和管理音樂資料庫，二來<a href="https://support.apple.com/zh-tw/guide/itunes/itns34268177/windows" target="_blank">其他第三方應用程式</a>利用「iTunes資料庫XML」功能，存取iTunes資料庫，許多DJ常用的app像是Rekordbox、Traktor等，也都靠這項功能使用iTunes資料庫中的音樂。</p> <p>但接手iTunes音樂播放功能的Music app並未繼續支援XML。Mac Catalina移除iTunes的同時，也移除了XML支援，切斷第三方DJ app和iTunes資料庫的連結，使DJ利用這些app辛苦建立的歌單無法使用。蘋果呼籲大量使用XML的用戶繼續使用Mojave，不要升級到Catalina，以免過去的心血花為烏有。</p> <p>排除DJ族群，也不是所有人升級Catalina都順心如意。部分用戶升級Catalina時發生安裝異常問題。有用戶在蘋果討論區<a href="https://discussions.apple.com/thread/250711887" target="_blank">抱怨</a>，他的電腦安裝Catalina時顯示「正在估計剩餘安裝時間...」的訊息後即卡住數小時。另一些人則是卡在「設定您的Mac」的畫面。有人共花了3小時才安裝成功，另一名用戶的iMac升級Catalina裝了超過9小時還沒完成，MacBook Pro也用了1小時。</p> <p>目前蘋果尚未說明原因。在官方解決問題前，<a href="https://www.macrumors.com/how-to/fix-macos-catalina-stuck-install/" target="_blank">MacRumors</a>綜合網友的經驗提供簡單的解法。當出現「設定您的Mac」的畫面時，表示設定已經大抵完成，這時只要關閉Mac電腦再重開機，即會出現鎖定螢幕畫面，用戶即可輸入帳密重新登入。但如果使用者在「設定您的Mac」畫面未出現前就急著重開機，會導致前面的安裝過程又會再重來一次。</p> </div></div></div>
2019/10/10 13:50作者林妍溱https://www.ithome.com.tw/news/133563
鋰離子電池發明科學家贏得諾貝爾化學獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kva.se/en/pressrum/pressmeddelanden/nobelpriset-i-kemi-2019" target="_blank">瑞典皇家科學院（Royal Swedish Academy of Sciences）本周宣布</a>，領導發明鋰離子電池的三位科學家，約翰·古迪納夫（John Goodenough）、斯坦利·惠廷厄姆（Stanley Whittingham）和吉野彰（Akira Yoshino）因「創造了可重複充電的世界」，贏得2019年的諾貝爾化學獎。其中的Goodenough今年97歲，是至今為止年紀最大的諾貝爾獲獎者。</p> <p>目前鋰離子電池因其輕量化、高能量密度、無記憶效應、可重複充電、續航力強大等特性，不僅被應用在行動電話、筆記型電腦等消費性電子及IT領域，在電動汽車、航空、軍事等領域也被廣泛使用，對於減少石化燃料的使用貢獻良多。</p> <p>在1970年代，由於發生石油危機，Goodenough即開始進行鋰離子電池相關的研究。在如今包括風能和太陽能的各種綠能科技逐漸普及，鋰離子電池的重要性益發明顯。</p> <p>對一般人來說，鋰離子電池容易與下面兩種電池混淆：鋰電池（Lithium battery）雖然常常用作為鋰離子電池的簡稱，但嚴格意義的鋰電池內含純態的鋰金屬，是一次性使用、不可充電。鋰離子聚合物電池（Lithium-ion polymer batteries，也常稱為「鋰聚合物電池」）：是鋰離子電池的改良，利用膠態或固態聚合物取代液態有機溶劑的可充電鋰離子電池，其安全性較好，不會爆炸，還可以塑造各種不同形狀的電芯，成為了現在的主流形式電池。</p> </div></div></div>
2019/10/10 14:20作者陳曉莉https://www.ithome.com.tw/news/133564
LastPass：已有57%企業採用多因素認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理工具開發商<a href="https://lp-cdn.lastpass.com/lporcamedia/document-library/lastpass/pdf/en/LMI0828a-IAM-LastPass-State-of-the-Password-Report-2019.pdf" target="_blank">Lass Pass在本周發布的第三屆《全球密碼安全報告》（Global Password Security Report）中指出</a>，已有57%的企業要求員工採用多因素認證（MultiFactor Authentication，MFA），比去年的45%增加了12個百分點。最熱門的MFA解決方案為軟體，成為95%的企業員工首選，只有4%員工採用硬體解決方案，1%採用生物辨識解決方案。</p> <p>這項研究報告是LassPass針對4.7萬家客戶所做的調查。以國別來看，丹麥採用多重認證的用戶比例最高，達46%，其次是荷蘭（41%），瑞士以38%位居第三。</p> <p>若從產業別來看，不意外的，科技/軟體產業採用MFA的比例最高，為37%，其它依序是教育界（33%）、金融業（32%）、通訊業（31%）及政府組織（27%）。</p> <p>而規模愈大的企業採用MFA的比例也愈高，例如1萬名員工以上的企業採用MFA的比例便高達87%，1千到1萬名員工的企業也有78%，1千名以下員工的企業採用MFA的比例便降至44%，若是25名員工以下的企業，則僅有27%採用MFA。</p> <p>然而，根據Verizon所發表的2019年資料外洩調查報告，有43%的網路攻擊是鎖定小型企業，而被駭客入侵的中小企業中，有60%在半年內就破產。這使得LassPass警告這些中小企業，不要以為自己不會成為駭客的目標。</p> <p>另一個有趣的調查是詢問員工必須記住的密碼數量，令人驚訝的是，媒體或廣告業的員工平均每人要記住97個密碼，通訊產業的員工要記住81個密碼，科技/軟體業的員工要記78個密碼。可能是因為要記太多密碼了，所以員工的一個密碼平均會重覆使用13次。</p> </div></div></div>
2019/10/10 12:45作者陳曉莉https://www.ithome.com.tw/news/133561
MacOS終端模擬器iTerm2存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Mozilla資助的安全審核，<a href="https://blog.mozilla.org/security/2019/10/09/iterm2-critical-issue-moss-audit/">發現了一個在MacOS終端模擬器iTerm2存在7年的漏洞CVE-2019-9535</a>，這個漏洞可以讓攻擊者在使用者電腦上執行命令。iTerm2開發者現在已經發布最新的3.3.6版本，Mozilla提醒使用者應該要盡快更新。</p> <p>這個MacOS終端模擬器iTerm2的重大安全漏洞，是由MOSS（Mozilla Open Source Support Program）資助的安全審核發現。MOSS在2015年成立，開始為開源技術人員提供資金支援，協助開源與自由軟體的發展，同時還支援開源技術的安全審核，由於Mozilla本身是一間開源公司，而MOSS計畫則是他們提供資金，確保開源生態系健康發展的方法之一。</p> <p>iTerm2是熱門的終端模擬器，由於iTerm2受到開發者與系統管理員廣泛使用，而且處理不受信任的資料，因此MOSS這次選了iTerm2，並委託ROS（Radially Open Security）進行安全審核工作。</p> <p>ROS發現iTerm2中的tmux整合功能有嚴重的漏洞，而且漏洞至少已經存在7年，其允許在許多情況下，攻擊者可對終端產生輸出，在使用者的電腦上執行命令。ROS提供了攻擊範例影片，而影片因為只是表達概念性驗證，因此當使用者連接到惡意的SSH伺服器後，攻擊者僅示範開啟了計算機程式，實際上還可以進行更多惡意指令。</p> <p>Mozilla提到，這個漏洞需要一定程度的使用者互動，攻擊者才能進行後續的攻擊行動，但是由於使用普遍認為安全的指令就會受到攻擊，因此被認為有高度的潛在安全影響。現在Mozilla、ROS與iTerm2開發人員密切合作，推出了最新3.3.6版本，而3.3.5的安全修補程式也已經發布，Mozilla表示，雖然軟體會主動提示更新，但是希望開發者能主動進行更新，減少可能被攻擊機會。</p> </div></div></div>
2019/10/10 12:55作者李建興https://www.ithome.com.tw/news/133559
盜用AWS與Cloud雲端運算挖礦，29歲駭客面臨至少34年牢獄刑責
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現年29歲的新加坡居民Matthew Ho，因盜用AWS及Google Cloud的運算資源進行挖礦，<a href="https://www.justice.gov/usao-wdwa/pr/citizen-singapore-indicted-scheme-steal-cloud-computing-power-cryptocurrency-mining" target="_blank">涉及美國電信詐欺、裝置存取詐欺與身分竊盜等14項罪名</a>，至少面臨34年的牢獄刑責。</p> <p>Ho會遭到FBI的調查，是因為他盜用了美國加州與德州居民的身分及信用卡資料，並冒用他人的身分租賃AWS與Google Cloud的雲端運算資源以用來挖礦，再把所得的比特幣及以太幣等加密貨幣轉換成法定貨幣，Ho在今年的9月26日遭到新加坡警方的逮捕，當地也正在調查Ho是否違反了新加坡法令。</p> <p>Ho的犯案時間是在2017年10月到2018年2月間，正值加密貨幣身價水漲船高的年代，但Ho先是盜用了加州一位知名遊戲開發者的身分及信用卡資訊，建立一個虛假的電子郵件帳號，再使用社交工程技術來哄騙雲端運算供應商，以讓供應商願意提高他的帳戶權限，增加處理能力與儲存空間，還能延後付款。</p> <p>有另一名在印度成立科技公司的德州居民也成為受害者，Ho亦盜用他的身分在AWS與Google Cloud上建立帳號，以這些雲端運算資源來挖礦。</p> <p>根據調查，Ho以他人身分所盜用的雲端運算資源價值超過了500萬美元，還曾一度是AWS在資料使用上的最大顧客。</p> <p>在美國觸犯電信詐欺最高可被判刑20年，裝置存取詐騙則是10年，再加上其它刑責，Ho至少面臨34年的牢獄之災。</p> </div></div></div>
2019/10/10 13:10作者陳曉莉https://www.ithome.com.tw/news/133562
雲端電子商務平台Volusion的結帳頁面被注入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Check Point安全研究人員<a href="https://blog.usejournal.com/sesame-street-volusion-customers-are-comprised-how-the-cookie-monster-is-stealing-cc-numbers-21eb51ec613b" target="_blank">Marcel Afrahim於本周披露</a>，雲端電子商務平台<a href="https://www.bleepingcomputer.com/news/security/c-is-for-credit-card-magecart-hits-volusion-e-commerce-sites/" target="_blank">Volusion的基礎設施遭到駭客入侵</a>，讓駭客得以在Volusion的結帳頁面上動態注入惡意程式，以竊取消費者所輸入的金融卡資訊，可能波及逾6,500個Volusion客戶。</p> <p>Afrahim一開始是在芝麻街（Sesame Street）的官方線上商店sesamestreetlivestore.com上察覺異樣，它被嵌入了vnav.js，以自Google雲端儲存動態載入另一個惡意的JavaScript檔案，而這也是該站唯一一個並非來自sesamestreetlivestore.com或volusion.com的檔案。</p> <p>分析顯示，此一惡意JavaScript檔案的主要目的，就是竊取消費者於結帳頁面上所輸入的支付卡資訊，且最後修改日期為今年的9月12日，意謂著消費者的刷卡資料至少從9月中旬就開始被駭客接收。</p> <p>由於芝麻街為Volusion的客戶，因此當Afrahim發現此事時，懷疑應有其它的Volusion客戶受害，於是搜尋了vnav.js，發現有6,593個網頁含有該腳本程式，可能全是受害者。</p> <p>不管是Afrahim或其它媒體都猜測，這很可能是惡名昭彰的<a href="https://www.riskiq.com/research/magecart-growing-threat/" target="_blank">Magecart駭客集團</a>所為。Magecart駭客集團專門在電子商務網站上植入盜卡程式，而且近來專挑大型業者、校園網路商店，或者是類似Volusion的供應鏈下手，包括英國航空British Airline、售票網站Ticketmaster或電商平台Newegg，都曾是Magecart的受害者。</p> <p><a href="https://www.riskiq.com/blog/external-threat-management/magecart-growing-threat/" target="_blank">根據RiskIQ的統計</a>，Magecart入侵後的平均停留時間為22天，有些甚至長達數年才被發現，開源的Magento或OpenCart購物平台，早就是許多Magecart駭客的命脈，光是在Magecart平台上就偵測到超過9,000個被植入盜卡程式的網站，且全球存在著573個屬於Magecart集團的命令暨控制伺服器，透露出其組織之龐大。</p> </div></div></div>
2019/10/10 11:55作者陳曉莉https://www.ithome.com.tw/news/133560
Amazon EKS現在正式支援Windows容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-eks-windows-container-support-now-generally-available/">AWS在其Kubernetes服務正式推出支援Windows容器功能</a>，使用者現在可以在Windows伺服器上安裝應用程式，並且與其他Linux應用程式一同部署在Kubernetes上，這項功能同時提供系統日誌、效能監控以及程式碼部署工作管線。</p> <p>Kubernetes在今年3月底發布1.14版本時，開始支援Windows容器，讓使用者可以將Windows節點加入工作節點（Worker Node）或是進行Windows容器調度，使得Windows龐大生態系的應用程式，都可以部署到Kubernetes平臺上。</p> <p>Amazon EKS是AWS的Kubernetes服務，簡化了建構、保護以及維護Kubernetes叢集的工作，讓企業組織不需要花費太多心力操作Kubernetes。在三月Kubernetes釋出1.14版本之後，AWS也隨即發布在Amazon EKS上Windows容器支援預覽，而現在AWS搶先在其他雲端供應商之前，宣布開始在Kubernetes服務上正式支援Windows容器。</p> <p>要在Kubernetes上執行Windows容器，需要使用Kubernetes 1.14或是更新的版本，AWS提到，目前在叢集中至少需要有一個Linux節點來支援Windows節點和Pod網路，AWS建議用戶可以使用兩個Linux節點來實現高可用性。另外，Windows容器通常比Linux容器大，因此下載和啟動的時間都會更久。</p> </div></div></div>
2019/10/10 12:05作者李建興https://www.ithome.com.tw/news/133554
AWS推出記憶體最高達24 TiB的EC2執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/ec2-high-memory-update-new-18-tb-and-24-tb-instances/">AWS現在於EC2的高記憶體系列加入了擁有18 TiB以及24 TiB記憶體的執行個體</a>，用戶可以使用這些高記憶體執行個體來執行大規模SAP HANA安裝。這些高記憶體執行個體與其他EC2執行個體一樣，都能夠使用AMI（Amazon Machine Image）以及各種管理工具。</p> <p>這些高記憶體的執行個體，是可以在VPC（Virtual Private Cloud）中運作的裸機執行個體，在預設情況下為EBS（Elastic Block Store）最佳化。最低的規格為u-6tb1.metal擁有6 TiB記憶體，專用EBS頻寬為14 Gbps。</p> <p>而新的u-18tb1.metal與u-24tb1.metal執行個體，則分別具有18 TiB以及24 TiB記憶體，存在8個插槽，使用第二代Xeon可擴展處理器，專用的EBS頻寬都提升為28 Gbps，AWS提到，加大的專用頻寬可以加快資料載入記憶體的速度，9 TB的資料只要花費45分鐘，相當於每秒3.4 GB。</p> <p>最新的u-18tb1.metal與u-24tb1.metal執行個體，目前只在美東的北維吉尼亞區域推出，之後會逐漸在各區域開放。</p> </div></div></div>
2019/10/10 12:15作者李建興https://www.ithome.com.tw/news/133556
快而髒的程式碼
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在撰寫程式時，快而髒（Quick and dirty）也是種技巧，在快速地建立功能之後，可藉由重構來構築出程式應有之樣貌，既然是種技巧，就不單純只是隨意地撰寫程式，而是有著適當原則與經驗累積。</p> <p><span style="font-size:28px;"><strong>以快而髒作為開始</strong></span></p> <p>身為開發者，自我精進的目標之一是追求無暇的程式碼（Clean code），為此開發者會閱讀大量程式碼、探索各種模式、掌握各種開發原則、致力於彰顯程式本身的語意、符合語言技術等各方面的慣例；相對來說，快而髒地撰寫程式，經常是不被鼓勵的作法。</p> <p>不過，在一開始就對程式碼作過多考量也是個問題，沒拿捏好，就會發生為了物件導向而物件導向、為模式而模式、想用lambda而lambda等過度設計的情況。</p> <p>因此，就結果而言，應用程式中確實不應留有快而髒的程式碼，然而，作為功能原型的建構，適當地以快而髒的程式碼作為開始，特別是面對程式碼最終樣貌難以掌握的情況，其實，這會是個有用的技巧！</p> <p>若是有開發者高聲支持快而髒的程式碼，必然會引來許多開發者的抨擊，因為「稍後會來整理程式碼」的這類計畫，往往礙於各種現實因素而難以實現，這使得快而髒的程式碼作為開始也成了結果，最後不斷地在應用程式中累積成了技術債，對應用程式的維護形成重大傷害。</p> <p>因此，想要以快而髒作為開始，最重要的原則就是：「別讓它成為結果」，開發者應該在分支中進行，在後續程式碼整理的計畫真正落實之前，都不應該合併至應用程式之中，而且，任何理由都不行（如果打破此原則，那麼，問題就不在快而髒，而在於管理了）。</p> <p>所以，有些開發者支持此原則的變化形式，若是面對用過就丟的程式碼，例如展示用的原型、生命週期短的應用程式等，才可以使用快而髒的手法來撰寫程式。</p> <p>另一方面，有經驗開發者快而髒下撰寫的程式碼，相對於沒有經驗的開發者來說，往往已經潔淨許多，也就是說，如同對設計原則、典範、模式等的理解與掌握，會因開發者而有所不同，快而髒的手法也有其技巧，需要經驗累積，而這些都影響了後續整理程式碼時的難易度。</p> <p><span style="font-size:28px;"><strong>在快而髒中突顯重複</strong></span></p> <p>程式碼之所以無暇，要素之一是沒有過多的重複；想在程式碼一開始實行快而髒，快速地的實現出功能確實是主要目的，然而謹記另一個原則「令程式碼中的重複易於察覺」。</p> <p>基本上，我們若要察覺重複的初級方式，是對於複製、貼上的這個動作有警覺，但是，這還不夠，如果開發者撰寫了一大片程式碼，之後複製至它處，就算察覺了這個動作，對於後續程式碼的整理，多半也沒太大幫助。</p> <p>最好的方式就是「令任務單純」，快而髒並不是只有指程式碼層面，在打算實現的功能層面上，也要先快而髒。</p> <p>說穿了，就是大任務分解為小任務，這看似有點矛盾，如果原本就是易於分解任務的話，程式碼又怎麼會快而髒呢？因為這邊說的小任務，指的是不通用的小任務！</p> <p>最近一次，我用上快而髒手法的例子是px_spiral_text（<a href="https://bit.ly/2lRtqos">https://bit.ly/2lRtqos</a>），這是一個由內而外的方塊螺旋（圖可參考<a href="https://bit.ly/2kFo7sb">https://bit.ly/2kFo7sb</a>），最初我只畫了中心方塊，這就是個小任務，接著直接用程式碼畫出第二個、第三個...每個方塊都是個小任務，相關的值都在程式碼中直接寫死，然而因為方塊的任務夠小，複製、貼上程式碼的動作頻繁了，重複也就顯而易見，自然而然，我們就能察覺了繪製的規律。</p> <p>想令任務單純，也可以從程式碼層面下手，我只要撰寫的程式碼超過5行，就會想著這邊可否在程式碼排版上「分段」，並「註解」說明該段目的，此時，自然就須思考此時的小任務是什麼；在下段程式碼開始時要用到的變數值，會將之指定給新變數以「避免共用變數」，目的是避免傳遞狀態，如果變數值可更動又共用相同變數，相距甚遠的兩段程式碼，不小心就會考慮了彼此的變數狀態，這樣的程式碼會構成邏輯泥塊，難以察覺重複，就真的蠻骯髒了。</p> <p>既然如此，就「令變數值不可變動」，如果是物件，就令「物件狀態不可變」，在這樣的情況下，開發者不得不分解出小而簡短的程式片段，儘管程式碼看來可能快而髒，然而因為程式片段都是小而簡短，很容易察覺重複，對於後續的整理會有很大的幫助。</p> <p><span style="font-size:28px;"><strong>針對快而髒的重構</strong></span></p> <p>在快而髒的過程中，只要是對突顯重複有幫助的手法，其實都可以用上，目的就是在步入程式碼整理階段時，易於抽取重複，一開始並不需要用上複雜的重構手法，只要先單純地小片段的程式碼「抽取為函式」，並根據先前的註解為函式「約略命名」就可以了。</p> <p>在抽出成函式的過程，變數必須將值傳遞給函式參數，成為函式本體的程式碼會被參數化，而每個片段都抽取成函式的結果，就是多了一堆函式定義，由於函式本體夠短而且又參數化了，多個函式本體間的重複就顯而易見，這時，可以試著找出最通用的函式，取代其他的函式呼叫，在這個通用化的過程中經常會發現，被抽取出的函式本體中，還可以再抽取出更小的函式，讓程式碼朝著已經潔淨的方向前進。</p> <p>程式碼會快而髒，除了大量的重複之外，有個經常被忽略的點就是：副作用與無副作用的片段夾雜。如果面對一大片程式碼，想將有無副作用的程式碼的分離，不是件容易的事，然而，若是面對夠短的函式就會簡單許多，開發者應該試著「將無副作用的程式片段從函式中分離出來」，具有副作用的函式純粹以呼叫的方式，來取用被分離的無副作用函式。</p> <p>當快而髒的程式碼演變為具有大量（小）函式的階段，這時可以開始套用語言技術或典範了，支援物件導向的語言就試著將相關功能組織為物件，套用物件導向相關的重構手法，具有lambda特性的語言可以試著用lambda，傳遞程式碼片段來令既有的函式更具彈性等；下一步就是符合程式的規範，無論是符合社群慣例或是團隊規定等，行有餘力，就是朝無暇程式碼的方向邁進了。</p> <p><span style="font-size:28px;"><strong>從快而髒與重構中累積經驗</strong></span></p> <p>每個開發者都曾快而髒地寫過程式，想必也難以否認以它作為開始的好處，只是在軟體開發流程中，往往因為時程等因素，使得快而髒之後的重構沒有落實，從而令其蒙上惡名；然而單從程式設計的角度來說，快而髒是個技巧，若搜尋「quick and dirty code」，也可以看到支持快而髒或為其平反的討論。</p> <p>如同重構需要練習、熟悉與琢磨，快而髒的技巧也是，因開發者的經驗不同，眼中曾經是無暇的程式碼，假以時日回顧，也可能是快而髒，掌握原則，從快而髒與重構中累積足夠經驗後，自身眼中的快而髒，在某些開發者眼中，或許也有一定的潔淨程度了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%8D%E6%A7%8B">重構</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC">程式開發</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E8%80%8C%E9%AB%92">快而髒</a></div><div class="field-item odd"><a href="/tags/quick-and-dirty">Quick and dirty</a></div></div></div>
2019/10/10 09:00作者林信良https://www.ithome.com.tw/voice/133412
給管理者的一門哲學課
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1010_zhe_xue_shi_zhi_chang_shang_zui_you_xiao_de_wu_qi_tu_pian_lai_yuan_ru_guo_chu_ban_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">如果出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商務人士學習哲學的優點之一，是「學習批判性思考的要領」這一點。因為整個哲學的歷史，可以說完全就是對世人言論進行批判性探討的歷史。</p> <p>哲學家面對問題，提出他們自認的答案：「會不會是這樣呢？」如果世人認為那個答案具有說服力，在一段期間內它就會成為世上的「經典」理論而普及開來。但是，後來現實發生了變化，經典理論看起來變得粗糙……，也就是說，它的回答無法精準地說明現實，或是無法妥善地處理現實的需要。於是，新的哲學家便會出來批判「那個答案恐怕不對吧？」而再提出別的答案。哲學的歷史就是靠著「提出想法→批判→再提出想法」這樣周而復始的脈絡形成的。</p> <p>那麼，為什麼這一點對商務人士很重要呢？因為在商貿上也應該具備批判性思考。面對變幻莫測的現實，商務人士必須批判性地重新審視當下的思考方式和應對，調整自己的應對態度，將過去運行順利的結構變更為適應現實變化的形式。以前，在英語中，企業叫做Going Concern，意思是「在永續的前提下經營的組織」，重點在於面對「環境的變化」「企業永續發展」，也就是說，企業成立的前提，是「不斷地在變化」。</p> <p>也許有人看到這段話會認為「這不是天經地義的事嗎？」若是如此，為什麼那麼多日本企業很難達到這個「天經地義」的概念呢？最大的重點在於「變化」一定「伴隨著否定」，在否定過往成立的思考方式、行動方式上，接受新的思考方式、行動方式。難的不是在「啟動」「新的思考方式、行動方式」，而是用批判的眼光掌握「舊的思考方式、行動方式」，讓它「結束」。先用批判性的眼光重新審視以往有效的「思考方式」，如果，它已經不能妥善地適應現實、無法精確地說明現實，就必須思索其原因，提出新的範本，這就是哲學家持續不斷在做的事。而學習哲學的好處之一，就是儘管探討的問題並不相同，但是卻能以知性的態度或頭緒，有意識地去批判、考察這種「無意識間規定自己行動與判斷的潛在前提」。</p> <p><span style="font-size:28px;"><strong>《反脆弱》的省思：「工程公司的木工師傅」與「大型承包商的職員」哪一種走得遠？</strong></span></p> <p>反脆弱是指「混亂和壓力反而使表現提高的性質」，用日語來體會感覺像是骨頭很硬，不過原書中用的是一個新造形容詞Anti-Fragile。不管怎麼樣，我們一般使用的詞彙中，沒有能那麼精準表現這種性質的詞。我們的語言，反映我們認識世界的框架，所以，在英語或日語中，都沒有直接意味「反脆弱」的詞。這也就暗示著，它是個全新的概念。</p> <p>一般我們把遇到混亂或壓力就立刻毀壞，或狀態變不好的性質，形容為「脆弱，即Fragile」。那麼，與它對立的概念是什麼呢？通常會想到的是「頑強，即Robust」。但是，真的是這樣嗎？這便是《反脆弱》作者塔雷伯思考的出發點。假如脆弱的定義是「混亂或壓力的升高導致表現低落的性質」，那麼與它對置的應該是「混亂或壓力的升高反而導致表現更好的性質」吧？塔雷伯將它命名為「反脆弱性，即Anti-Fragile」。塔雷伯這麼寫道：</p> <p><span style="color:#696969;"><strong>反脆弱性不只是堅韌或強固而已。堅韌可以抗拒震撼，保持原狀；反脆弱表現得更好，任何與時俱變的東西，例如進化、文化、觀念、革命、政治體系、技術創新、文化經濟的成就、企業生存、美食食譜（例如加一滴干邑白蘭地的雞湯，或者韃靼牛排）、都市的崛起、法律體系、赤道的熱帶雨林、細菌的抗藥性等，都具有這個特質。連我們作為地球上的一種物種的存在也是一樣。反脆弱性決定了人體這樣的活物、有機物、複合物，與桌上的釘書機等無機物之間的不同。</strong></span></p> <p>壓力或混亂或失誤反而提高系統整體的表現，這種說法也許很難想像。例如，所謂炎上行銷（譯注：透過負面新聞炒紅名氣的行銷），也可以叫做Anti-Fragile。說到炎上，對主角絕對是壓力吧，但是藉由壓力反而使得集客或集資表現更亮眼，這就可以說是「反脆弱的特性」。電影《華爾街之狼》裡，李奧納多．迪卡皮歐扮演的從失業者到年薪五十億日圓的證券經紀商，就是現實世界裡的真實人物喬登．貝爾福。在電影中，當貝爾福擔任金融經紀公司社長時，《財富》（FORTUNE）雜誌的報導是毀謗性的，貝爾福勃然大怒，他的妻子安慰他「There is no such Bad Publicity（這世上沒有「壞行銷」）」。沒想到因為這則毀謗報導，一大堆人跑來貝爾福的公司應徵，而且公司也開始爆發性地擴張。這也可以視為「因為壓力反而提高系統表現的例子」。人體也是這樣，身體有斷食或運動的「負荷」，反而會變得健康。所以，身體也可以視之為反脆弱的系統。</p> <p>塔雷伯非常重視「反脆弱性」的概念，是因為我們活在非常難預測的時代。如果風險能事先預測，那麼只要架個「頑強的系統」對付風險就行了。像是造個超級堤防來防範海嘯，但是做得到嗎？塔雷伯這麼說：</p> <p><span style="color:#696969;"><strong>研判某樣東西是否脆弱，遠比預測發生某件事可能傷害它要容易。脆弱性是可以衡量的，但風險則無法衡量（除了賭場，或是有些人自稱「風險專家」）。我所說的「黑天鵝」問題──我們不可能計算重大稀有事態的風險，並且預測它們是否發生。研判有些東西到底有多容易受波動傷害很容易處理，比預測是否會發生造成傷害的事件好著手。所以，我們建議顛覆現在的預測、預言和風險管理的方法。</strong></span></p> <p>「乍看之下脆弱，但其實是反脆弱系統」與「乍看之下頑強，但其實是脆弱系統」的對比，社會上隨處可見。例如，「有一手好功夫的工務店木工」與「大型承包商的綜合職員」，或是「阿美橫商店街」與「大型百貨公司」，「淑女腳踏車」與「賓士S系列」等。比較五萬日幣的淑女腳踏車，與一千萬日幣的賓士，我的看法是「後者比較脆弱」，很多人聽了會感到訝異吧。因為，會有此印象的前提，畢竟是在「系統正常運作的狀態」下。三一一日本大地震的時候，即使是在東京，交通網也完全癱瘓，筆者在辦公室附近買了一輛自行車，花兩個小時騎回三十公里外的家，但是靠汽車通勤的人，花了五倍以上的時間。</p> <p>那麼，將「反脆弱」套用在組織和職業上來思考，我們得到什麼啟示呢？</p> <p>首先，就組織理論來說，刻意的失敗十分重要。愈是處在壓力小的狀態，系統就愈脆弱，所以，隨時保持一定的壓力、施加自身不會瓦解程度的壓力，是重要的。為什麼呢？因為失敗會刺激學習，提高組織的創造性。</p> <p>同理也可以套用在職業理論的範疇。提到「金飯碗」，一般想到的都會是「大型都市銀行或綜合商社等在社會早有定評的大組織，只要進入這種機構，就能平安無事、也不會經歷重大失敗地飛黃騰達」。但是，這種職業真的如世人所說的那麼穩固不壞嗎？在我撰寫本書的二○一八年二月，大型都市銀行裁減人事的新聞引發社會譁然。從組織理論的專家來看，銀行的工作愈來愈往模組化發展，手續的規程也非常精練，所以最容易被機械所取代。若是在大組織工作，且一直待在裡面，那個人的人力資本（技術與知識）或社會資本（人脈、評價、信用）就幾乎都累積在企業之內。但是這個人一旦離開公司，這套人力資本或社會資本就會大幅縮減。也就是說，如果將人當成一個企業來考量，那個人的資產負債表在離開公司之後，便會變得極度「脆弱」。</p> <p>那麼，該怎麼辦呢？盡可能在年輕的時候累積多次失敗，多多進出各類組織或社團，分散人力資本和社會資本形成的地方，這些條件都十分重要。也許一個個組織或社團都很脆弱，但是重要的不是組織或社團的存續，而是該成員的人力資本、社會資本是否能留存下來。即使該組織或社團消滅了，若是曾經隸屬該處的成員之間，已經擁有信任，這個人的社會資本就能呈阿米巴狀分散且維持，不會縮減。</p> <p>將這個論點再往下推展可以得到，塔雷伯指出的「反脆弱」概念，讓我們領悟到過去思考的「成功模式」、「成功形象」都已被迫改寫了。如同前述，我們腦中的「成功形象」就是，自己盡可能找到「穩固」的組織或職業。但是，在現在這種難以預測，不確定性高的社會，愈來愈看得出，乍看「穩固」的系統其實非常脆弱。如何在自己所屬的組織或是自己的職業補強「反脆弱」，已經成為一大論點了。（註：《反脆弱》作者：納西姆．尼可拉斯．塔雷伯（Nassim Nicholas Taleb）美國作家，認識論者、獨立研究者。曾是數理金融學的實踐者。長年在紐約華爾街工作，是金融衍生商品的專家。之後成為認識論的研究者，著作有《黑天鵝效應》等書。）<span style="color:#696969;">（摘錄整理自本書第二章）</span></p> <p> </p> <p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>哲學是職場上最有效的武器</strong></span></span></p> <p>山口周／著；陳嫻若／譯</p> <p>如果出版</p> <p>售價：420元</p> <p> </p> <p><span style="color:#3399ff;"><strong>作者簡介</strong></span></p> <p>山口周</p> <p>在電通、波士頓顧問集團工作過，參與以組織開發、人才培訓為專業的KORN FERRY獵頭企業公司。現在是該公司資深客戶合夥人。專業為革新、組織開發、人材／領導人培育。同時也是Mobile Factory股份公司的獨立董事。</p> </div></div></div>
2019/10/10 09:00未署名https://www.ithome.com.tw/article/133414
生活工場重返電商的關鍵，靠IT創新和新制實現虛實商城整合
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年，許多線下實體零售業者紛紛搶進電商市場，臺灣生活居家品牌商生活工場也不例外，早在2006年，不僅在本土大型網購平臺上開網路分店，生活工場資訊部還一手開發了一套官方電商平臺，雙軌並行，「但，短命，只營運了一年，便全面關閉電商平臺。」生活工場資訊部經理張誠祥坦言。生活工場第一次電商轉型跌了一跤，但回歸實體世界發展了十年，再次走到轉型的十字路口，決定從跌倒之處站起來，再出發。</p> <p>張誠祥談起當年的挫折，他認為，那時仍處於實驗摸索階段。當時，電商還不盛行，資訊部參考電商龍頭的平臺架構，設計網頁版面的形式，業務流程也依循其模式開發，然而，電商運作模式仍未成熟，團隊也不懂如何打造電商生態。張誠祥指出，發展電商須要的資訊技術已經到位了，但團隊欠缺營運電商的思維，像是為小量的商品設計適合的包裝。尤其餐飲器皿是生活工場的主力商品，像是馬克杯都裝於9宮格的大型紙箱裡，配送至門市，再一一拿出上架。</p> <p>沒有適當的包裝，商品在運送過程中，時常受損，導致退貨比例極高，衍生了可觀的成本，緊接著，2008年受全球金融海嘯的衝擊，對生活工場無疑是雪上加霜，大環境逼使其全面退出電商市場。</p> <p>生活工場於2008年時，不僅關閉了自營商城，也將商品從購物網站下架，只專注經營實體門市。張誠祥表示，第一次拓展電商市場的慘痛經驗，使生活工場在過去這10年間，不曾再提起電商業務。</p> <p>直到2017年，生活工場進行轉型工程之時，電子商務的議題才再度出現在高層會議。由新加入的外部投資者，帶來熟悉電商平臺的人員，為其注入電商營運的新概念。張誠祥表示，他們打破過去傳統的思維，電商並非只靠背後的資訊系統，就可撐起，經營電商還需整合線下資源。時隔10年，生活工場決定重回電商市場。</p> <p>生活工場於同年10月，再度將商品上架購物商城，揭開其電商業務的第二篇章。接著依序加入不同的商城，目前共串接了5家購物平臺。電商通路各有自身的系統，因此每一家的上架規則都不同，生活工場需為每一個通路，設計串接機制，成為資訊部的一大挑戰。</p> <p><span style="font-size:28px;"><strong>商品上架5大電商通路，需串接各家API，開發加密機制是考驗</strong></span></p> <p>生活工場需將ERP系統與通路的上架系統串接，以執行三個核心資訊的交換作業，分別是商品上架、訂單接收和出貨通知。第一步，需搭配加密驗證，串接API，因每一個通路的加密機制有差異，需要不同的配套元素，張誠祥說明，有的需要雙重加密，有的需綁定IP位址，有的則需要權杖驗證。</p> <p>他花了不少時間，親自研讀各種實際的加密範例，再整合資訊，經過不斷的嘗試，以及與廠商反覆溝通，花費約一個半月的時間，才順利開發第一個通路的加密機制，完成該通路的API串接工程。同時，他記錄下所有收集到的加密公式資訊，並將可行的原則模組化，成為日後串接其他平臺的參照手冊。</p> <p>後續串接其他通路的API，張誠祥依各平臺的需求，選擇適用的加密法，開發客製的機制，串接工程也從1個半月的時間，縮短至兩周，甚至幾天便可完成。他形容，開發加密程式的過程，就有如玩電玩遊戲破關，會遇上卡關的情況，像是曾因程式裡一個多餘的空白鍵，卡關了一個月。</p> <p>第二步，張誠祥依照各通路上架欄位的需求，串接ERP系統中，對應需求的欄位，然而，購物商城提供的上架文件，資訊有限，需一個一個欄位分別串接，並與業者反覆溝通，才可依規格執行。</p> <p>熟悉電商平臺的新團隊進駐後，以純電商的思維，協助生活工場拓展電商業務。如同許多零售同業，以線上導線下的模式，由線上主導營運，張誠祥表示，線下街邊門市扮演著支援、配合的角色。然而，這樣的模式忽略了生活工場的根基，那就是在第一線與客戶接觸的實體店面。</p> <p>門市人員不僅需替線上訂單準備商品，也需站在第一線，提供線上訂單商品售後的服務，但是，當時的制度將該筆訂單的業績歸屬於公司，缺少整合線上線下商城的機制，門市無法獲得相對應的報酬，導致成效不彰。且生活工場無法掌握電商通路訂單的消費者資訊，因電商通路以自有的會員機制處理訂單，使生活工場無法發揮會員機制的效益，收集會員的消費行為。</p> <p><strong><span style="font-size:28px;">官方線上商城重新開張，各門市有專屬商城，再加上分潤機制，讓線上業績回歸線下</span></strong></p> <p>重新整頓，第3度出發。去年4月，生活工場開始考慮使用開店平臺架設商城，時隔3個月，這個平臺於7月重新開張。生活工場決定重新開設自有線上商城，就是為發揮實體店面，不管是街邊店或百貨專櫃的影響力，實現線上線下整合。除了有官方線上商城，生活工場也為各門市架設自有商城網頁。</p> <p>消費者走進生活工場門市，會在看板上、型錄上或商品標價牌上找到QR Code，不同於使用搜尋引擎，搜尋進入的生活工場官方商城頁面，掃描門市QR Code，會進入門市專屬的電商頁面。消費者於門市專屬電商頁面消費，產生的訂單業績就會歸屬該門市，實現線上線下整合。</p> <p>消費者尤其可在家具上，看到帶有QR Code的標價牌，張誠祥解釋，因該類商品多屬大型物件，選購這類商品的消費者，需要較長的時間思考，回家確認尺寸，才會下單購入該商品。同樣地，消費者在家連結到稍早拜訪門市的頁面，完成下單，該筆線上訂單的業績就會回歸該門市。</p> <p>最重要的是，生活工場建立了電商業務的分潤機制。當訂單進入ERP系統時，系統會抓取分店的代碼，以分辨該訂單的業績，應歸屬於何家門市。業績歸屬最後承接該筆訂單的店，張誠祥說明，交貨予消費者的門市獲得，比如說，於甲店網頁下單，乙店取貨，業績就歸屬於乙店。</p> <p>內部推行線上線下整合，並不容易。張誠祥回想初期推展官方商城，他表示，過往線上業績一律歸屬公司，門市人員因而對電商業務有排斥心理，他笑言，最難溝通的不是客人，而是自己人，需要讓同仁了解電商策略的轉變。</p> <p>門市自有商城頁面，以及電商業務的分潤機制，雙管齊下，推動線上線下整合。經過三個月的推行，逐步有線上訂單業績，轉由現下實體門市獲得的案例產生，他表示，門市人員才慢慢接受線上線下整合的策略。而自有商城也可與自身會員系統串接，發揮會員機制的效益，以掌握會員的消費行為。</p> <p>再度開啟自營商城，生活工場並沒有如2006年時，自行開發第二代商城，而是採用開店平臺架設。張誠祥解釋，生活工場的核心系統皆已運行超過20年，所用的技術老舊，無法支援現今橫跨桌機與手機的電商模式，短期內，無法即時翻新系統，所以使用開店平臺開發，以跨平臺。</p> <p>不過，開店平臺有自身的營運邏輯和設定模式，「有些可以相容，有些則無法，會水土不服。」他指出。特別是生活工場有自己的一套促銷邏輯，同時牽涉5種商品售價級別，包含正常品、特價品、促銷品等，以及2種會員級別，極為複雜，比如說，不同售價級別依會員等級，有不同的售價、點數，以及可折抵的點數比例。</p> <p>目前沒有任何一家開店平臺，可完全吻合生活工場的需求，以調整參數值和勾選的方式，設定促銷機制，張誠祥表示，只能從中挑選最符合需求的平臺。該平臺提供欄位，讓生活工場控制數值，但，需每天手動輸入數值，因此張誠祥指出，未來一定會轉而自行開發商城。</p> <p><span style="font-size:28px;"><strong>為庫存量設計虛擬切割機制，解決電商串接時間差痛點，以防超賣</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:330px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-941%20CIO(%E7%94%9F%E6%B4%BB%E5%B7%A5%E5%A0%B4)-350.jpg" style="width: 330px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:22px;"><strong>生活工場資訊部經理張誠祥表示，庫存量的虛擬切割機制，加上每日動態調整通路配額，從源頭管理，可確實掌握需求，防超賣或缺貨。</strong>　</span>（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>重回電商市場，生活工場原80家實體門市的市場版圖，增加了5家電商通路，還有自營官方商城，庫存資訊流的管理，成了資訊部的一大挑戰。生活工場與每一個購物商城交換資料的時間點不同，產生了時間差，使庫存資料無法即時更新，造成超賣的狀況發生。張誠祥花了許多精神調整，首先，縮短時間差，從原先每個小時交換一次資料，縮短為每10分鐘一次。</p> <p>雖縮短了資料交換的間隔，庫存卻仍無法達到同步更新的狀態，為解決此痛點，張誠祥設立了一套庫存管理機制，稱之為虛擬切割，每項商品都會為所有的外部電商平臺，保留獨立的件數。譬如某項商品總庫存數為1千件，該機制會從中分配1百件，作為電商的專屬庫存數量，這時門市看到的總庫存會僅為9百件。</p> <p>之所以稱為虛擬切割，張誠祥說明，因倉庫不需依照門市與電商平臺的分配額，實際拆分兩者的商品數量。倉庫收到出貨單時，直接從總庫存區出貨即可，換句話說，商品的分配件數，只會顯示於系統中。</p> <p>此外，各電商平臺及各門市也有分別的商品虛擬切割額。商品上架前，生活工場會視通路的性質，包含規模大小、地點等因素，以及各通路消費者的輪廓，像是性別、年齡層等屬性，設定影響商品銷售的參數，以決定商品於各通路的分配比例。為防長期持有商品，該機制每日重新計算各通路的配額，進行動態調配，並每日自動為各通路補齊商品件數，達滿水位，確保商品的貨源充足。從源頭管理，張誠祥認為，這並非聰明的作法，但可確實掌握各通路的需求，防止超賣或缺貨的情況發生。</p> <p>生活工場順利重返電商市場，更靠IT創新和新機制，緊密整合虛實商城，然而，生活工場的系統皆已運行逾20年，舊IT架構無法因應許多新需求。骨灰級的系統雖穩定，但張誠祥指出，對未來有很大的限制，也不易找到工程師維護，需重新檢視並翻新。如何改造現有的IT架構，以及找尋適合的IT人力，是張誠祥下一階段的挑戰。</p> <p> </p> <p><span style="color:#3399ff;"><strong>CIO小檔案</strong></span></p> <p><strong>張誠祥　生活工場資訊部經理</strong></p> <p>學歷：淡江大學電機系</p> <p>經歷：學生時代即在生活工場的門市打工，畢業後，於1994年，正式加入生活工場，擔任門市店長，而後，升任營運部督導，於1999年進入資訊部門，負責開發進銷存系統，2002年升任資訊部課長，現擔任資訊部經理，近期，專注以IT整合實體店面和線上商城的業務。</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>生活工場</strong></p> <p>● 地址：新北市汐止區新台五路一段112號17樓</p> <p>● 網址：<a href="http://www.workinghouse.com.tw">www.workinghouse.com.tw</a></p> <p>● 成立時間：1994年</p> <p>● 主要業務：生活雜貨零售</p> <p>● 員工數：約400人</p> <p>● 資本額：3億元</p> <p>● 年營收：10億元（2018年）</p> <p>● 董事長：林來順</p> <p>● 總經理：王慶輝</p> <p><span style="color:#3399ff;"><strong>資訊部門檔案</strong></span></p> <p>● 資訊部門主管職稱：資訊部經理</p> <p>● 資訊部門主管姓名：張誠祥</p> <p>● 直屬主管：資深副總</p> <p>● 資訊部門人數：約6人</p> <p>● 資訊部門預算：600萬元</p> <p>● 資訊部門分工：資訊進銷存系統開發維護、物流倉儲系統開發維護、伺服器系統設定維護、網路設備監控、門市POS及多媒體設備維護</p> <p><span style="color:#3399ff;"><strong>IT大事記</strong></span></p> <p>● 1994年：導入POS系統</p> <p>● 1995年：導入ERP系統</p> <p>● 2000年：網站版ERP系統上線，新增進銷存功能</p> <p>● 2005年：導入需求預測應用技術（CPFR）系統</p> <p>● 2006年：進軍電商市場，自行開發的電商平臺上線，商品也上架購物商城</p> <p>● 2008年：全面關閉電商平臺</p> <p>● 2009年：B2B平臺導入工商憑證</p> <p>● 2017年：重返電商市場，商品再度上架購物商城</p> <p>● 2018年：自營電商平臺重新上線，推動電商業務的門市分潤機制</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1010-941_ciosheng_huo_gong_chang_-960.jpg" width="960" height="420" alt="" title="生活工場資訊部經理張誠祥（攝影／洪政偉）" /></div></div></div>
2019/10/10 09:00作者黃郁芸https://www.ithome.com.tw/people/133429
【卷積神經網路之父Yann LeCun如何走出二次深度學習寒冬？】30年前過氣老論文，為何能催生革命全球的CNN框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過氣30年的老理論，能不能變成顛覆世界的新趨勢？CNN之父Yann LeCun一定會說，能！因為他在1989年發表的全球第一個CNN框架LeNet-5，就是源自1950、1960年代的理論，但是，採取了全新的視野，反而掀起了現代深度學習的新革命。</p> <p>約1970年晚期，當時在巴黎高等電子工程師學校就讀大二的Yann LeCun，偶然讀到一本書，提到了皮亞傑（Jean Piaget）研究的機器學習模式「感知器」（Perceptron），「這是我第一次接觸到機器學習的概念。」他回憶。</p> <p>這類機器學習理論起源，可以追溯到1950年代。當時，Frank Rosenblatt運用mcCulloch-Pitts人造神經元（Artificial neuron），仿效人類大腦的生物結構，在1957年創造出感知器神經網路。由於人腦是由神經元連結構成的大型網絡，感知器模型也是立基於這個概念，以人造神經元來建構類神經網絡，透過相對簡單的運算單元，來計算輸入（input）的權重總和，並且通過修改神經元之間的連結來進行機器學習。</p> <p>Yann LeCun比較，傳統機器學習的典範是建立一個特徵提取器（Feature Extractor）抽取特徵，再建立可訓練的分類器（Trainable Classifier），比如感知器模型，「這是一種單層神經網路的模式。」</p> <p>後來，機器學習的典範改變了，從單層神經網路，發展到了多層神經網路架構（multi-layer）的深度學習。深度學習的多層神經網路設計中，可以指定每一層神經網路學習不同的特徵，如第一層負責從圖像的單個像素學習線條的走向、第二層結合第一層來學習識別簡單形狀，每提高一層就學習更多特徵。</p> <p>Yann LeCun表示，因為感知世界的本質，就是由多個細節元件組合而成，比如物體可拆分為數個主要部分，主要部分由次要部分所組成，次要部分又能解構為多個基本物件，基本物件由邊緣組成，邊緣又包含許多像素。因此，如果想要辨識影像中的汽車，可以先偵測是否有圓形物體，推論出可能有輪胎或類似的東西，一層層判斷特徵再做決策，「這就是所謂的深度學習。」</p> <p>「但，為何多層神經網路的概念早就出現，卻沒有發展？」Yann LeCun自己的答案是，人們選錯了「神經元」來發展神經網路，早期的二元神經元（binary neuron）因為不需用到乘法而容易執行運算，但也阻止人們聯想到運用梯度模式來發展多層神經網路的訓練方法。直到1986年，深度學習之父Geoffrey Hinton等人提出「反向傳播算法」（Backpropagation）來訓練多層神經網路，才讓深度學習的研究重新復甦。</p> <p>但是，當還是大學生的Yann LeCun對此產生興趣，開始尋找些文獻來閱讀時，機器學習迎來了第一次寒冬。</p> <p><span style="font-size:28px;"><strong>鑽研多層神經網路，在1989年提出首個CNN框架LeNet-5</strong></span></p> <p>「機器學習重新受到關注後，看著那些舊論文，我最感興趣的是，如何訓練多層的神經網路？所以，我開始朝這個面向研究。」Yann LeCun在多倫多大學擔任博士後研究生時，直接拜師Hinton，從事深度神經網路的研究，接著在1988年，進入了貝爾實驗室的自適應系統研究部門，不久後就發表了經過反向傳播訓練的首個CNN框架LeNet-5，不僅是深度學習最基礎的框架之一，也驗證了CNN架構的可行性。</p> <p>Yann LeCun提出的CNN框架LeNet-5，運用了大腦視覺皮層神經元結構，以及K.Fukushima在1980年代提出的神經網路Neocognitron的概念。LeNet-5在不含輸入與輸出層的前提下，總層數有6層，分別為C1卷積層、S2池化層、C3卷積層、S4池化層、C5卷積層、F6全連接層，再輸出結果。儘管層數不多，但其中的卷積（Convolution）、池化或子採樣（Pooling or Sub Sampling）、全連接層（Fully connection），都是現今CNN模型的基本元素。</p> <p>當年，Yann LeCun將LeNet-5框架用來建立了一個能辨識手寫文字的技術。這個技術在1994年被NCR公司（ATM設備大廠之一）應用在支票識別系統中，全盛時期，美國10％至20％的支票的判讀，都用到了這個技術。</p> <p>Yann LeCun屢屢提到當年深度學習如何走出第一次寒冬的關鍵，他認為，實證經驗可以證明新科技的有效性。例如，深度學習的神經元觀念就來自生物學對大腦研究的實證經驗，但是，實證經驗往往發展太慢又太昂貴，「建立理論，可以讓我們修剪經驗的摸索空間，避免遙不可及的目標（例如永動機），有時理論甚至可以幫我們預測現象。」</p> <p>可是，一度成為全球金融交易的關鍵技術、死灰復燃的深度學習，卻又再次碰壁！到了1990年代末期，深度學習的研究再次沒落。</p> <p>Yann LeCun認為，造成機器學習進入寒冬有4大因素。首先，是硬體資源難以進行浮點運算，光是訓練一個字符辨識模型就要花費兩周時間；再者，是缺乏訓練資料，除了字符和語音資料之外，沒有其他的大型數據集；第三，則是沒有實用的軟體開發工具，都必須從頭開始建立；最後，則是沒有開放資料、開源框架的概念，導致研究進程緩慢。</p> <p>甚至，Yann LeCun自己跳下來，開始設計AI專用的加速晶片硬體，從1986年發表的12x12陣列處理晶片，到1992年的ANNA晶片，已經可以加速運算64x64層網路的CNN訓練。不過，深度學習研究的進展依然緩慢，學界也不看好。</p> <p><span style="font-size:28px;"><strong>堅持深度學習研究，用十年寒冬奠定影像辨識基礎</strong></span></p> <p>在其後十年間，Yann LeCun仍不放棄，持續研究CNN的框架，從理論和實證來尋找新的突破點。在1993年到2005年間，Yann LeCun用CNN模型來偵測影像中的多個人臉或行人；而在2000年代中期，也用來開發能偵測障礙物的自駕小車，不僅標註出攝影機畫面的每個像素可否行駛，來訓練模型，也運用立體視覺系統，來標記更大範圍的影像，藉此來規劃長途行進路線，在閃避障礙物的同時，也維持大方向行進路線不變。</p> <p>約在2009、2010年時，Yann LeCun將CNN模型部署到硬體設備FPGA晶片中，在訓練資料中標註出道路、人行道、建築物、樹木、汽車、行人等所有物體，以每秒20幀的速度進行影像辨識，並在紐約大學中測試，初步實現了自駕車的技術架構。「當時運用的技術，與現今許多自動駕駛系統使用的技術，本質上很相似，都透過量測與障礙物的距離來閃避。」</p> <p>最終讓深度學習重獲大眾目光的轉折，發生在2012年，Yann LeCun的同門師弟Alex Krizhevsky、Ilya Sutskever在Hinton帶領下，使用Nvidia的GPU，來訓練同為CNN架構的AlexNet影像辨識模型，一舉拿下ImageNet的冠軍，正確率更超過第二名將近10%。因為硬體的進步與技術的成熟，深度學習再次復甦，應用也更趨多元，「比如語音辨識系統，從原先完全不使用神經網絡，在短短幾年內就幾乎都已經採用。」</p> <p>在這之後，研究者也開始增加CNN框架的層數，來增加辨識準確率。若以ImageNet資料集，來測試運用不同框架所訓練的模型的誤判率，可以發現8層架構AlexNet所訓練的模型，影像辨識的誤判率有16.4%，但用19層架構的VGGNet來訓練，誤判率只剩7.3%，22層的GoogleNet則是6.7%，而層數急遽上升到152層的ResNet，誤判率更是降至3.6%，說明了層數越多，可能達到更高的正確率。</p> <p>接下來的故事，大家都很清楚了，現在不只百層，結合了雲端運算和各種AI專用晶片，上千層的運算都做得到。舉凡醫療影像分析、自駕車、臉部辨識、語言翻譯、語音助理、遊戲、資安、科學研究等領域的各式AI應用大量出現。</p> <p>但是，如此威力強大的深度學習，距離具有常識能力的「AI」有多遠？<a href="https://www.ithome.com.tw/news/133431" target="_blank">這就是Yann LeCun在ICIP開講要揭露的事。</a></p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/news/133430
10個QA快速了解自監督式學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>59歲的臉書首席AI科學家Yann LeCun，從大二第一次接觸到機器學習點燃好奇心之火至今，大半輩子都投入了這個領域，也在機器學習、計算機視覺、移動機器人和計算神經科學等領域都有許多貢獻。其中最為人知的是，他在1989年任職貝爾實驗室期間，<a href="https://www.ithome.com.tw/news/133430" target="_blank">發表了卷積神經網路（CNN）框架LeNet</a>，奠定了日後深度學習的基礎架構，因此，他也被稱為CNN之父。</p> <p>就算幾度面臨深度學習領域的寒冬，Yann LeCun仍不斷從事研究、發表論文，甚至自己動手設計卷積神經網路專用晶片，試圖想解決當年硬體效能不足的問題。直到2012年，ImageNet競賽使深度學習重回主流舞臺，他的貢獻也才重新得到肯定。</p> <p><a href="https://www.ithome.com.tw/news/133431" target="_blank">Yann LeCun再次來臺開講，揭露對深度學習未來發展的觀察和預測</a>，全場爆滿，結束後的講臺上仍聚集了大批學術粉絲和聽眾輪番提問。我們從演講、會後提問和採訪中，整理出10個問題，可以快速了解他力推的自監督式學習。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q1 </span></span> <span style="color:#800000;">為何要將非監督式學習稱為自監督式學習？</span></strong></span></p> <p>如果你告訴媒體，這是用非監督式學習（Unsupervised Learning）訓練的模型，不熟悉科技的人可能誤以為，「天啊！機器不受控制，會自己訓練自己！」我認為，應該用更精確的詞來稱呼，也就是「自監督式」學習。</p> <p> </p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Q2 </span></strong></span> <span style="color:#800000;"><strong>自監督式學習、監督式學習和強化學習，三者有何不同？</strong></span></span></p> <p>可以用蛋糕來比喻三種方法的預測能力，強化學習能預測的資料最少，因為它是為了獎勵，才能做出少量正確的預測，就像蛋糕上的櫻桃。而監督式學習的預測資料量，取決於人類提供的標記資料，一個樣本能回饋10到1萬個位元（Bits）不等的訊息，像是蛋糕的表層。</p> <p>但是，自監督式學習是，給多少資料就有多少資料能觀察，一個樣本能產生上百萬個位元的預測回饋，就像整個蛋糕本身，這是其他學習方法不能及的。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q3 </span></span> <span style="color:#800000;">自監督式學習有的預測方式有哪些？</span></strong></span></p> <p>自監督式學習，是觀察現有訓練資料中的任何部份來學習，再去預測未知的部份，且不仰賴人類給定的標籤。可以進行的預測包括：從過去的資料預測現在或未來、從近期的資料預測未來或過去、或從同一時間下的其他資料預測缺失的部份等。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q4 </span></span> <span style="color:#800000;">為何自監督式學習有機會讓AI具備人類常識能力？</span></strong></span></p> <p>一般稱呼具備人類常識的AI模型為Artificial General Intelligence（AGI），但我認為，人類能擁有常識是非常特別的事，一點也不平凡，所以，我更偏好稱呼它為Human Level Intelligence。</p> <p>舉例來說，雖然只有一句簡短的話：「John拿起他的書包並離開會議室。」但你可以從這幾句話中了解到大量的信息，比如，John應該站了起來並拿起書包，接著，他走向門、打開門離開會議室，此時，會議室就不會有John這個人，因為他不會同時存在於兩個地方，這是屬於物理世界的約束。人們能透過常識來判斷這些隱性資訊，常識使我們能填補空白。也就是說，自監督式學習能從許多的物件、行為等背景知識，來學習整個世界運行的方式，進而運用已知的常識來預測未知。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q5 </span></span> <span style="color:#800000;">自監督式學習的研究目前有哪些進展？</span></strong></span></p> <p>自監督式學習目前在自然語言處理（NLP）的應用頗有成效。比如去年Google對外開源了用於自然語言預訓練的新技術BERT，能在一個挖空15%內容的句子中，預測字彙並補上這些句子的空白。除了NLP，圖像的填空是更具挑戰性的任務，但現在也已經能夠過拼圖與著色問題的解法來預測。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q6 </span></span> <span style="color:#800000;">你自己有何成果？</span></strong></span></p> <p>我研究自監督式學習最主要的動機，要找到讓機器學習更像人類或動物學習的方法，所以，對應用層面的研究較不感興趣，反而是專注於找出一套原則，能讓機器變得更聰明。</p> <p>在研究方面，臉書已經將自監督式學習運用到對話領域。你若看過電影Her，就知道這部電影是在描繪人與虛擬語音助理之間，可能產生的互動模式。虛擬語音助理要能順暢地與人類溝通，就必須要學習人類認知的方式，可能還需要能理解人類想法、甚至猜到你要說的話。</p> <p>其他研究，包括靠自監督式學習讓自駕車可以預測周遭車輛的未來動向，來決定下一步的行駛軌跡，或是透過肌肉運動來預測接下來的手臂動作。雖然現在的科技，距離電影情節的實現還很遙遠，但，這是一個我們嚮往的藍圖。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q7 </span></span> <span style="color:#800000;">自監督式學習會領導機器學習的未來發展嗎？</span></strong></span></p> <p>這是我所希望的，但現在只是假設。</p> <p>我們現在已經具備的AI技術，包括更安全的自駕車、更精準的醫療影像辨識、個人化藥物配置、適當的語言翻譯、實用但不聰明的聊天機器人、資料檢索與過濾，還有其他如能源、金融、製造業、環境保護、商業、法律、藝術創作、遊戲等場景的應用。</p> <p>現今的深度學習方法，雖能帶給人類許多新科技應用，卻無法創造出「真正的」人工智慧，也就是具備常識、聰明、敏捷且靈活的AI。自監督學習可能是實現這個理想的第一步，甚至未來發展出具備人類常識的機器人，走到強人工智慧的階段。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q8 </span></span> <span style="color:#800000;">AI的不可解釋性會成為深度學習發展的挑戰嗎？</span></strong></span></p> <p>對於特定需要解釋性AI的應用來說，這是一個挑戰，比如運用AI來做合法、正義的決定，就必須了解決策背後的原因。但我認為，這只是人們用來重複說服自己的方法，絕大多數的應用並不需要解釋，而且很多時候，人自己也無法解釋。</p> <p>試想有一套決策系統，提出了兩個建議，一個是正確性80％的可解釋性建議，另一個是正確性95%的不可解釋性建議，若你是研究員，會如何選擇？我相信，絕大多數的人會選擇正確率更高的決策，而非過度在意其解釋性。</p> <p>再舉個例子，阿斯匹靈是世界上服用人數最多的藥，經過白老鼠到人體試驗來證明藥效後，廣泛使用在藥物治療上，但直到1970年代，我們並不了解為何它能治病、如何在體內運作。換句話說，就算AI缺乏解釋，只要能全面的驗證其有效性與可靠性，仍然可以被使用。不能只追求AI的解釋性，卻忽略其可用性。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q9 </span></span> <span style="color:#800000;">為何你會決定投入神經網絡的研究？</span></strong></span></p> <p>當我還是個電子工程系的大學生，我就著迷於人類擁有智慧（Intelligence），1970年代晚期，我偶然看到一本哲學書，關於語言學家喬姆斯基和兒童心理學家皮亞傑的辯論，「從人的語言機制和語言習得角度來探討兒童發展問題」，才得知皮亞傑一直在研究感知器（Perceptron）模型。</p> <p>這是我第一次接觸到深度學習的概念，已是感知器（Perceptron）提出十幾年後。當我開始閱讀1960年代的文獻時，機器學習就進入了停滯期，只剩下一些日本等國學者還在研究。1980年代，機器學習重新受到關注，看著那些舊論文，我意識當時多層神經網絡的演算法被忽略了，所以，我開始朝這個領域展開研究。</p> <p> </p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q10 </span></span> <span style="color:#800000;">為何選擇進入臉書而不是其他企業？</span></strong></span></p> <p>因為臉書是一家非常開放的公司，給我從頭開始創建研究實驗室的自由，就技術而言，臉書基本上沒有秘密，大部分技術都已開源釋出，甚至連基礎建設的設計都已開源，這是其他公司無法做到的。比如在Google，會規畫出研究領域的大方向，而在Amazon或Apple更不可能，因為它們是非常秘密的企業。</p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/news/133433
【突破深度學習的侷限，AI下一波革命就在SSL】CNN之父看AI未來
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/941-feng_mian_gu_shi_-1_open-960x420.jpg?itok=V_xJI-fS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經兩次寒冬，AI打著深度學習的旗號在2006年重獲關注，近年來爆炸般的應用更席捲全球，但要發展出人類常識模型仍是遙不可及的目標。深度學習的未來該怎麼走？CNN之父Yann LeCun有答案</p> </div></div></div>
2019/10/10 09:00作者翁芊儒https://www.ithome.com.tw/article/133436
白首太玄經
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/133436" target="_blank">10月第一周，我們製作的封面故事是探討深度學習</a>，恰巧最近在閱讀<a href="https://www.ithome.com.tw/article/131218" target="_blank">《人工智慧在台灣：產業轉型的契機與挑戰》</a>，先前也在一場研討會上，聆聽該書作者之一：陳昇瑋博士的演講，他談到了人工智慧的發展，歷經了符號邏輯、專家系統、機器學習，總共有三波大浪潮。</p> <p>根據他的介紹，人工智慧的第一個階段，是把人的思考邏輯放進電腦；到了第二個階段，是把人的所有知識放進電腦；而在最近的第三個階段，是把人的所有看見放進電腦。這樣的過程，似乎可以跟數位化技術在不同時期的發展，彼此對應。就像早期的數位化，重點在於程式化（Programmability）、資料化（Datafication）；到了80年代、90年代，資料倉儲、知識管理、決策支援系統、商業智慧開始興盛；而這10年來，方興未艾的大數據、機器學習，又帶動了新的數位化浪潮。或許是因為這樣的緣故，企業近期所關切的數位轉型，通常也會牽涉到機器學習、人工智慧。</p> <p>在前兩個階段，後來的發展面臨到一些挑戰，因為人雖然能夠透過寫下決策邏輯、經驗法則的方式，讓電腦來進行相關的處理，但很多問題之所以難以解決，關鍵在於，人只是血肉之軀，並非全知全能，人有自身感官與認知的限制，對於各種事物的來龍去脈，不一定能夠完全清楚理解，也無法寫成規則，因此，即使發展成專家系統，所能解決的問題類型還是很有限。</p> <p>而機器學習之所以能夠突破這樣的困境，某種程度而言，我認為是解耦了由人來制訂規則的這個環節，陳昇瑋在這本書第二章〈機器學習一次看懂〉也特別針對這點提出比較，並以圖解的方式，進一步呈現專家系統、傳統機器學習、深度學習之間的差異。而且，書中也提到，深度學習之所以有別於其他機器學習的方法，在於能否「自動」進行特徵工程（Feature Engineering），找出比人為定義更好的衍生變數，以及預測力更強的特徵。因此，若以深度學習來面對非結構化資料，在資料量足夠的情況下，可提供較佳的解法。</p> <p>看到這裡，不禁讓我想到金庸小說《俠客行》的情節。書中主角迭有奇遇，自不在話下，但因為他天真、不諳人情世故，在各種因緣的半推半就情況下，陰錯陽差學到許多武功，到了最後，更因不識字而破解了俠客島圖譜隱藏的武功祕密。相較之下，故事中有許多經驗豐富的江湖老手，都受限於自己的認知，頻頻與這些奇緣擦肩而過，而不像主角履險如夷，甚至有許多人為了要參透圖譜祕密，投入多年時間苦思苦練，卻不曉得搞錯方向，因為想要精通這些武功的訣竅，並非是旁邊的文字註解……。</p> <p>當然，這個故事並不能完全類推到深度學習技術的發展歷程，因為大家過去的努力並不是白忙一場。如果當初沒有人持續提出解題的方法，以及運算、儲存、網路技術的突飛猛進，讓我們以更合理的成本取得產生、儲存、處理大數據的能力，或許至今還沒有辦法達到這樣的科技進展。</p> <p>此外，面對人工智慧的進步與普及，我們不得不體認到人類的渺小與有限的能力，因此，擔心自身職能是否會被取代，希望可以儘快學習妥善運用的方法，找尋自我定位。同時，在這樣的技術浪潮下，也提醒我們要正視自我成見的桎梏，面對世代的傳承與技術的更迭，應採取更開放的心態，不讓過去有限的經驗拘束我們未來發展的可能性，也許就有機會克服更多過去無法處理的困難。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/yann-lecun">Yann LeCun</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7">人工智慧</a></div><div class="field-item odd"><a href="/tags/%E5%8D%B7%E7%A9%8D%E7%A5%9E%E7%B6%93%E7%B6%B2%E8%B7%AF">卷積神經網路</a></div><div class="field-item even"><a href="/tags/cnn">CNN</a></div><div class="field-item odd"><a href="/tags/%E8%87%AA%E7%9B%A3%E7%9D%A3%E5%BC%8F%E5%AD%B8%E7%BF%92">自監督式學習</a></div><div class="field-item even"><a href="/tags/self-supervised-learning">Self-supervised Learning</a></div><div class="field-item odd"><a href="/tags/ssl">SSL</a></div></div></div>
2019/10/10 09:00作者李宗翰https://www.ithome.com.tw/voice/133437
Booking.com疑似個資外洩非單一案例，近半年解除分期詐騙的民眾通報破千件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月初，刑事警察局發出知名訂房網Booking.com疑似個資外洩的警訊，指出從今年5月起，165反詐騙就陸續接獲民眾通報，接到假冒Booking.com的詐騙電話，至今，該平臺已經連續21週警示於高風險賣場名單，並且遠高於所有訂房類型網站，而根據統計，今年受騙上當者已有228人，財損金額達3,362萬元。</p> <p>由於近年來，165反詐騙專線每週都會公布高風險網路賣場名單，因此，我們進一步詢問內政部刑事警察局，還有那些是近期值得注意的高風險賣場名單？該局預防科偵查員劉昭男表示，近半年來，自今年3月至9月底止，民眾通報「解除分期」詐騙案件最多的網路平臺，排行前五名是MKUP美珈（408件）、小三每日（310件）、讀冊生活（229件）、Booking.com（228件）與ANDEN HUD（89件），總共通報件數破千。</p> <p>不過，若以上榜週數來看，Booking.com以21次最多，小三每日是15次、讀冊生活是13次，雖然Booking.com通報件數並非近半年最多，但用戶遭詐騙的情況持續發生，詐騙高峰期已長達5個月，比起過去一般詐騙高峰期是2～3個月要長，引發警方關注，因此提醒民眾要特別注意。</p> <p>例如，最近一起受害民眾的案例，是北市1名32歲林姓醫師，他接到假冒「Booking.com」客服人員的詐騙電話，對方誆稱系統異常，導致醫師的訂單有重複下單與扣況的情況，將通報銀行協助處理。接下來，有另名歹徒假冒銀行客服來電，謊稱要民眾配合至ATM操作，就可以取消扣款。林姓醫生誤信後，聽從歹徒指示操作，被騙走164萬餘元。</p> <p>因此，刑事局再次向大眾呼籲，注意這類「解除分期」的詐騙行為。基本上，民眾要認識這類詐騙的，首先，詐騙集團會透過駭客盜取民眾網路交易資料，再假冒網站及銀行客服人員來電行騙，更重要的是，詐騙集團可以把來電顯示，竄改為真正的銀行客服專線號碼。因此，民眾必須要有警覺性，不要因為對方說得出自己過往的交易細節，或來電顯示號碼是金融機構的號碼，就輕信對方身分，同時也提醒民眾需牢記，「在ATM或網路銀行上，並沒有任何解除扣款或取消訂單的功能。」</p> <p>對於資料外洩的問題，我們也詢問Booking.com，因為他們並沒有發出資料外洩的資安公告，目前看起來也只有臺灣傳出這類詐騙問題，以及是否與其網站架構有關等。他們回應表示，目前正在與總部確認這次的情況。至截稿前，他們仍未回應。</p> <p>還有值得留意的是，在近半年的高風險賣場前五名中，我們注意到，像是「讀冊生活」在2018年度就常出現在榜上，「ANDEN HUD」在2017年度也是。對此，劉昭男表示，若把時間拉長來看，這兩家平臺在資安改善的情形，實在不盡理想，造成每隔一陣子後就又出現詐騙案件。</p> <p>因此，刑事警察局也提醒，對於屢次勸告均未改善資安的網路賣場，希望民眾應抵制避免使用，以保障自身財產安全。</p> <p>另外他也表示，過去其實也有某家電商遇到這種情形，只是該業者表示每次改善後過，沒多久又被駭客攻破，最後就是一次把資安防護規格拉更高才解決。</p> </div></div></div>
2019/10/10 02:10作者羅正漢https://www.ithome.com.tw/news/133558
資安一周第63期：PDF加密標準被發現有缺陷，無需密碼可取得加密文件內容，數十款PDF閱讀器都受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">1003-1009一定要看的資安新聞</strong></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃PDF漏洞　＃PDFex</strong></span></h3> <h2><strong>PDF加密標準含有缺陷，可讓加密文件現形</strong></h2> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖1）paper-intro-pic_圖片來源web-in-security_blogspot_com.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89paper-intro-pic_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90web-in-security_blogspot_com.png" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／web-in-security.blogspot.com</span></p> <p>幾名德國的大學研究人員近日發表研究報告，指稱PDF的加密標準含有缺陷，將讓駭客得以取得加密文件內容，當中列出了Direct Exfiltration與CBC Gadgets兩種類型的攻擊形式，並說明他們了測試市面上的27款PDF閱讀程式，都至少會被其中一種攻陷，這些程式涵蓋了Adobe Acrobat、Foxit Reader、Okular、Evince、Nitro Reader，以及整合到Chrome、Firefox、Safari與Opera等瀏覽器的閱讀工具。而這些存在於PDF加密標準的缺陷，他們統稱為PDFex。<a href="https://www.ithome.com.tw/news/133387"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3> <span style="color:#B22222;"><strong>＃軟體安全　＃視訊會議密碼設定</strong></span></h3> <h2><strong>視訊會議系統爆漏洞可讓外人偷聽，Cisco WebEx與Zoom都受影響</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖6）視訊會議系統漏洞_擷取自Cequence Security.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%A6%96%E8%A8%8A%E6%9C%83%E8%AD%B0%E7%B3%BB%E7%B5%B1%E6%BC%8F%E6%B4%9E_%E6%93%B7%E5%8F%96%E8%87%AACequence%20Security.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Cequence Security</span></p> <p>根據安全廠商Cequence Security及CQ Prime的揭露，部分視訊會議工具有列舉攻擊漏洞，包括Cisco WebEx Meetings、Zoom，可讓攻擊者發現並加入線上會議，可能導致敏感資料外洩。<br /> 雖然視訊會議普遍都有讓會議主持人設定密碼的功能，讓與會者需要驗證才能加入。但最近，上述兩家資安業者揭露有自動化工具掃描視訊會議平臺API的活動，可從系統API呼叫的回應找出有效會議ID，以及是否需要密碼，並可加入未設密碼的會議。思科在收到通報後，認為這是設定問題，不是漏洞，但仍對用戶提出警告，Zoom則更新預設會議需設密碼。<a href="https://www.ithome.com.tw/news/133401">更多內容</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃網站安全　＃HTTPS </strong></span></h3> <h2><strong>Chrome將逐步封鎖HTTPS內嵌的HTTP下載內容</strong></h2> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖2）Page info (with browser)_2x_圖片來源Google.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Page%20info%20(with%20browser)_2x_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.png" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Google</span></p> <p>對於網頁實行HTTPS加密的規定，Google宣布將更嚴格執行。從今年12月的Chrome79開始，為了安全，他們表示Chrome將逐步封鎖HTTPS網頁中，以HTTP下載的內容，包括影音及圖片檔、iFrame等，而在今年4月，他們即預告封鎖的內容，像是可執行檔及壓縮檔，在最新的公告下，Google宣佈這項方案即將於明年實施。<a href="https://www.ithome.com.tw/news/133442"><span style="color:#A9A9A9;">更多內容</span></a><br /> </p> <h3> <span style="color:#B22222;"><strong>＃VPN安全</strong></span></h3> <h2><strong>關於Pulse Secure、Palo Alto和Fortinet的VPN漏洞，英政府提出APT攻擊警訊與處置建議</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）NCSC VPN APT_圖片來源擷取自NCSC.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89NCSC%20VPN%20APT_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AANCSC.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自NCSC（點圖放大）</span></p> <p>英國國家網路安全中心（NCSC）發出警訊，提醒Pulse Secure、Palo Alto和Fortinet的VPN使用者，要注意所用的VPN，存在可被駭客用作APT攻擊的漏洞，他們調查已有攻擊行動擴及英國與國際組織，影響的部門很廣，包括政府、軍事、學術、商業以及醫療保健。<br /> 因此他們建議，若組織有遭入侵的疑慮，應該撤銷被盜走的憑證資料，防止攻擊者利用這些憑證進行未經授權的存取；而確定遭到APT攻擊者鎖定的組織，應重新檢查VPN的配置，包括SSH authorized_keys檔案、新的iptables規則，同時在用戶端上，應以配置備份還原這些設定。同時，他們也提醒，使用者應該為VPN服務啟用雙因素驗證，以避免受到密碼重送攻擊，而且也應該禁用不需要或未使用的功能，以減少VPN被攻擊面。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133480">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3> <h2><strong>今年美國有621個組織遭到勒索軟體攻擊，近8成為醫療服務供應商</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%BE%8E%E5%9C%8B%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%E7%8F%BE%E6%B3%81_%E6%93%B7%E5%8F%96%E8%87%AAEmsisoft%E5%AE%98%E6%96%B9%E9%83%A8%E8%90%BD%E6%A0%BC.JPG" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Emsisoft官方部落格</span></p> <p>資安業者Emsisoft公布美國今年前三季的勒索軟體調查報告，這份研究主要對象，包含了遭遇到勒索軟體攻擊的美國政府機構、學區及醫療服務供應商，根據他們的統計結果，顯示這9個月以來，至少有621個組織遭到勒索軟體攻擊。其中，容易躍上新聞版面的政府機關有68個，只佔十分之一左右，值得注意的是，受災最嚴重的應該是健康醫療單位，因為在今年以來，該領域已遭遇491起勒索軟體攻擊，受害者包括：Park DuValle社區醫療保健中心、牙科診所的雲端備份供應商PerCSoft，以及懷俄明州坎培爾郡的公共衛生部門。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133390">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3> <h2><strong>FBI警告：勒索軟體日益猖獗，不鼓勵支付贖金</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖5）FBI警告勒索軟體12項最佳防禦實務_圖片來源擷取自FBI.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89FBI%E8%AD%A6%E5%91%8A%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%9412%E9%A0%85%E6%9C%80%E4%BD%B3%E9%98%B2%E7%A6%A6%E5%AF%A6%E5%8B%99_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAFBI.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自FBI（點圖放大）</span></p> <p>美國聯邦調查局（FBI）再度警告外界，要小心勒索軟體的威脅，並指出勒索軟體通常是藉由3種管道入侵組織，包括：透過電子郵件展開網釣攻擊，或是利用遠端桌面協議（RDP）漏洞及軟體漏洞。特別的是，FBI此次也提出了12項最佳防禦措施供組織參考，包括：定期備份、培養及訓練員工的安全意識、及時更新裝置的軟體/韌體、限制檔案及網路的存取權、關閉電子郵件中的Office檔案巨集能力、導入使用RDP的最佳實踐、部署虛擬環境，以及將資料根據重要性分類並分別存放等。同時，他們也強調不鼓勵受害者支付贖金，因為未必能取回資料，而且，一旦支付贖金，將讓駭客知道這是個有利可圖的商業模式。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133406">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃帳密安全</strong></span></h3> <h2><strong>Chrome將加入密碼外洩檢查工具</strong></h2> <p>年初Google，推出可主動通知用戶密碼外洩的Chrome擴充功能Password Checkup後，現在他們將此機制整合進Google帳戶中的密碼管理員。<br /> 這項服務會偵測到使用者的用戶帳號和密碼，若包含在40多億筆外洩資料中，就會發出通知，同時還會檢查用戶將同一組密碼重覆用於多個網站中，以及用戶使用的是太短、太簡單的弱密碼，提醒用戶變更及強化密碼。另外，Google也預告這項功能今年底之前，將直接內建在Chrome中，使密碼外流的檢查更方便。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133400">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃資安人才培育　＃CTF競賽</strong></span></h3> <h2><strong>排名世界第一的臺大Balsn CTF戰隊，自辦首屆Balsn CTF競賽</strong></h2> <p>為了提升各界對於資安的興趣，積極舉辦CTF（搶旗攻防賽）比賽，一直是提升各界對資安興趣的手段。在結合全球主要 CTF賽提供世界排名積分制度的CTF Time上，目前排名世界第一名的是臺大Balsn戰隊，成立迄今5年，主要成員是臺大Network Security Lab，以及許多對資安有熱忱的學生，為了分享過往打比賽的經驗，也希望可以引發更多人對資安的興趣，他們舉辦Balsn第一屆自辦的CTF比賽，讓大家可以和世界一流CTF戰隊交流。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/133408">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資外洩</strong></span></h3> <h2><strong>Booking.com疑似個資外洩非單一案例，近半年解除分期通報破千件</strong></h2> <p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖3）近半年高風險賣場排行榜_圖片來源刑事警察局.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%BF%91%E5%8D%8A%E5%B9%B4%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4%E6%8E%92%E8%A1%8C%E6%A6%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.jpg" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／刑事警察局</span></p> <p>10月初，刑事警察局警告知名訂房網Booking.com，疑似個資外洩，從今年5月起就陸續接獲民眾通報，已經連續21週警示於高風險賣場名單，遠高於所有訂房類型網站（今年1月～9月），並已有228人受騙，財損金額高達3,362萬元。<br /> 對於近期值得注意的高風險賣場名單，我們也進一步詢問內政部刑事警察局，該局預防科偵查員劉昭男表示，近半年來，自今年3月至9月底止，排行前五名是MKUP美珈（408件）、小三每日（310件）、讀冊生活（229件）、Booking.com（228件）與ANDEN HUD（89件）。不過，以上榜週數來看，Booking.com以21次最多，小三每日是15次、讀冊生活是13次，雖然Booking.com通報件數並非近半年最多，但用戶遭詐騙的情況持續發生，引起警方關注，並呼籲社會大眾注意。<span style="color:#A9A9A9;">更多內容</span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃個資外洩</strong></span></h3> <h2><strong>EZ訂個資外洩客戶遭騙判決出爐，在個資法賠償外，業者並需負起7成過失責任</strong></h2> <p>今年9月，一起關於EZ訂（EZding）購票平臺個資外洩的民事判決結果出爐，經過2年訴訟與審理，現在終於有了結果。案經一審判定，業者需依個資法賠償民眾2萬元，之後又上訴，二審判定用戶遭詐欺侵權行為的損害賠償，也應付起7成責任，而最終裁定賠償18萬3,274元。而在這次判決結果當中，對於個資外洩及用戶遭詐騙的損害賠償的認定，院方對此案有更清楚的說明。例如，法院認為，原告張女已是具有相當智識的成年人，理應對此社會常見之詐騙犯罪行為產生警覺；被告富爾特公司雖抗辯盡到適當的安全防護與個資保護之責，但法院認定其網路平臺之內部及外部風險控制存有諸多缺陷，並且未能完全落實其個人資料保護的管理。因此，認為張女應負擔三成的過失責任，富爾特公司應負擔七成的過失責任。<a href="https://www.ithome.com.tw/news/133473"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /> ●<a href="https://www.ithome.com.tw/news/133453">微軟再發佈IE漏洞例外修補程式，所有版本都要安裝</a><br /> ●<a href="https://www.ithome.com.tw/news/133509">紐西蘭初級衛生組織Tū Ora遭駭客入侵，外洩100萬名用戶資料</a><br /> ●<a href="https://www.ithome.com.tw/news/133402">線上客服系統Zendesk三年前被駭直到現在才發現，近萬名使用者資料外洩</a><br /> ●<a href="https://www.ithome.com.tw/news/133407">資安研究人員發現低成本的殭屍網路MasterMana</a><br /> ●<a href="https://www.ithome.com.tw/news/133434">可在華為Mate 30手機安裝Google行動服務的操作，被臺灣研究人員揭露後下架，並研判華為知情且默許</a><br /> ●<a href="https://www.ithome.com.tw/news/133499">DNS-Over-HTTPS弊大於利？荷蘭國家網路安全中心與亞太網路資訊中心相繼提出警告</a><br /> </h4> </div></div></div>
2019/10/9 22:13作者羅正漢https://www.ithome.com.tw/news/133557
上萬家連鎖超商激戰，萊爾富靠會員經濟、數據分析突圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對許多人而言，超商可能是天天都會去的消費場所，很多人可能會到超商買杯咖啡、報紙、衛生紙或是鮮奶，或是購買一份早餐、午餐滿足三餐所需，但你知道嗎？在這短短的購物時間裡，超商靠著蒐集許多資訊，「投你所好」地促銷適合的商品，以帶動消費次數、消費金額的增加，因應日漸升溫的連鎖超商市場競爭。</p> <p>國內連鎖超商發展已邁入40個年頭，7-ELEVEN、全家、萊爾富、OK四大超商合計就有上萬家門市，以台北市為例，幾乎幾百公尺內就有一兩家超商，高密度的門市分布提供購物的方便性，加上各種代收款、電商包裏寄收服務等等，是國人每天生活中不可或缺的消費通路。</p> <p>身為國內四大連鎖超商之一，萊爾富今年適逢30周年，已從傳統超商，到現在自許為生活的品牌。迄今萊爾富在全國約有1400家門市，每天約有100萬人次到萊爾富消費，萊爾富在一場座談中分享了他們如何善用會員經濟、數據分析，吸引消費者上門購物，以面對門市數量更多、更密集的其他對手競爭。</p> <p><strong>蒐集數據，以人為中心找出關聯性</strong></p> <p>傳統的超商營運，若從商品銷售角度來看，審視全國門市一天賣多少量，以乳製品為例，一天賣多少量，每家門市、不同商圈別的銷售狀況，但「1000瓶鮮奶，是由1000或100個人購買，兩者意義卻是不同的」，萊爾富數位商務處處長葉育堅點出了消費行為中「人」的重要性。</p> <p>「單以發票上的年月日來看是不夠的，無法看出關聯性、連貫性，必須回到人來看，在這個消費場域裡，顧客的消費路徑、紀錄是什麼」，因此如何去獲取這些數據就變得相當重要。</p> <p>那麼萊爾富如何蒐集顧客的數據呢？萊爾富設法讓消費行為和人建立起關係，一般在超商的消費行為，可粗略分為兩大類，購物及代收，不論是購物或是使用多媒體機LIFE-ET代收付時，超商服務人員會詢問消費者，是否為App會員或手機號碼，如此就留下「人」的紀錄。</p> <p>另外，在國內連鎖超商中相當常見的ATM，過去，ATM是銀行金融服務的延伸，透過連鎖超商密集的門市分佈，提供銀行顧客方便的存提款服務，但萊爾富準備和銀行業者合作，未來將會員App結合ATM金融服務提供無卡提款，擴大蒐集的數據、予以匯整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hilife-2.jpg" style="width: 600px; height: 360px;" /></p> <p>葉育堅表示，萊爾富通過各種和消費者接觸的節點，看待與消費相關、與人相關的數據整合。其中一項做法便是會員和點數贈送，除了購物可獲得點數，點數能夠折抵購物金、兌換門市商品，到超商繳交停車費也能獲得點數，或是不定時的祭出促銷，例如HiPay會員點數加倍送等等。「推動會員經濟獲得的數據，能夠取代經驗法則」。</p> <p>國內連鎖商店雖然密集，但先天上在消費場域卻有限制，以量販店為例，超商的購物空間相對小很多，講求更高的坪效，消費者的購物決策及花費的時間也比較短，相較之下，量販店不僅空間較大，消費者在決策及購物也花比較長的時間。</p> <p>空間有限、決策及購物時間短暫，加上高頻次、低消費的，和量販店的低頻次、高消費額，購物時間較長明顯不同，對超商而言，如何和顧客互動、蒐集資訊就是項挑戰。</p> <p><strong>描繪消費者輪廓，分群行銷</strong></p> <p>連鎖超商在零售通路上是屬地主義，位置相當重要，如果只有吸引人的促銷，但門市在距離消費者較遠的地方，加上附近競爭的超商很多，就很難吸引消費者上門，葉育堅表示。</p> <p>依據蒐集的數據對消費者進行「分群」，以提升銷售。以某月購買早餐為例，63%為平日購買早餐，可能是平日在工作地點購買，假日則佔15%，可能在住家地點購買，在平假日購買的則佔22%，根據分析，平日購買早餐的人，固定（每周至少1次）購買早餐佔31%，假日購買早餐者有20%會在假日固定購買早餐，平價假固定購買者佔11%。</p> <p>為了增加平日固定購買早餐的客單價，超商祭出購買早餐多10元加購豆漿，針對假日購買早餐的消費者，因假日可能起床時間接近中午，對購買早午餐的消費者提供優惠。</p> <p>分群的概念也能從其他消費行為推測，例如購買鮮奶的消費者，所買的是個人包裝或是家庭包裝，購買家庭號鮮奶是否還買了衛生紙等其他家庭日常用品，若再整合代收瓦斯費、燃料費等，可以更清楚描繪消費者的樣貌。</p> <p>葉育堅強調會員經濟帶來的好處。以萊爾富為例，從消費次數和金額看出，沒有下載App、加入會員的一般消費者，門市消費平均4次，消費金額為350元，而使用HiPay的會員，門市平均消費次數為18次，消費金額達1880元，其他像是代收筆數、雲端超商消費金額也都比一般消費者來得高。</p> <p>消費者購物使用的各種支付工具也成為萊爾富蒐集數據的一部份方式，透過和支付業者或是銀行合作，瞭解雙方共同客戶的消費輪廓。</p> <p>萊爾富透過線上、線下及生態合作關係，對消費者有更深的瞭解：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hilife-3.jpg" style="width: 600px; height: 378px;" /></p> <p>葉育堅指出，消費者到櫃檯結帳，店員詢問是否為會員，到計算消費金額、使用支付工具結帳離開，這個簡短的流程裡，超商掌握許多資訊，如會員消費的地點、是否具有會員身分、消費的商品及金額，加上使用的支付工具，更多的數據匯整讓萊爾富能更清楚掌握消費者的輪廓。</p> <p>數據分析不只是用於自家會員優惠、商品促銷，萊爾富也透過異業合作，發揮更大的會員經濟的效益，例如先前和亞太電信聯手，在超商門市銷售SIM，加快電信用戶取得門號服務的時間。</p> </div></div></div>
2019/10/9 19:13作者蘇文彬https://www.ithome.com.tw/news/133555
Cloud周報第41期：IBM將力推雲原生軟體產品組合Cloud Paks，3年後全面取代混合雲軟體產品ICP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/09/26～2019/10/09）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cloud Paks </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>IBM力推雲原生軟體產品組合Cloud Paks，產品導向帶來新計價方式</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud%20Paks2.JPG" style="width: 600px; height: 263px;" /></strong></span></p> <p>IBM完成紅帽併購案後，早先發表了全新雲原生軟體產品組合Cloud Paks，以容器化技術，預先將軟體整合為多組解決方案。近日，IBM在臺說明了更多產品細節。產品別重新組合後，Cloud Paks將取代IBM既有的混合雲軟體產品ICP（IBM Cloud Private），IBM臺灣雲端運算暨認知軟體事業部技術副總經理胡育銘表示，將有3年的轉換時間，使用ICP軟體的用戶將陸續遷移工作負載至Cloud Paks。另外，新解決方案的作業系統搭配本地端版本的紅帽Linux Enterprise，他進一步說明，企業一次性購買硬體，而非年繳訂閱費。</p> <p>Cloud Pak預整合解決方案以產品導向，收費方式也跟著改變。首波產品組合有五大解決方案，其中，應用開發解方案Cloud Pak for Applications、整合套件組Cloud Pak for Integration和流程自動組Cloud Pak for Automation用點數的概念收費，以virtual processor core為單位計價，而自動化資料分析解決方案Cloud Pak for Data的計價方式較為傳統，有最低的規格需求單，再視額外的使用需求計價，混合雲管理解決方案Cloud Pak for Multicloud Management則以伺服器的管理數量計費。目前超過9成的IBM軟體已容器化，IBM除了會持續將軟體容器化，也將推出更多Cloud Paks的解決方案，像是明年初會推出為5G應用整合的新解決方案。<a href="https://www.ibm.com/news/tw/zh/2019/08/08/20190808.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure Stack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器化 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟計畫重新架構混合雲平臺Azure Stack，朝容器化翻新</strong></strong></p> <p>微軟正在進行一項服務翻新工程，重新架構混合雲平臺Azure Stack，要讓該平臺基礎架構的構成要素，轉而基於容器技術。微軟將該工程命名為土星專案（Project Saturn），目標將該平臺變得更為組件化和簡單化。微軟日前為Azure Stack工程師團隊發布的徵才公告也可嗅出端倪，根據職缺資訊，該主管職需與軟體工程師共同簡化Azure Stack基礎設施，朝容器架構發展，以秉持Azure Stack為設備的承諾，職責包含負責Azure Stack基礎設施投資的規劃、設計和開發。<a href=" https://www.linkedin.com/jobs/view/senior-program-manager-at-microsoft-1463108252/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 按需支援服務 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS推出第三方按需支援服務平臺AWS IQ </strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20IQ_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 292px;" /></strong></span></p> <p>AWS推出全新支援平臺AWS IQ，讓企業可以直接與其認證的第三方專家聯繫，已獲得完整的技術支援，相反的，擁有AWS認證的人員也可以申請成為該支援平臺的專家，提供企業收費的線上服務。這個新支援平臺可以解決的問題範圍，涵蓋為工作負載選擇適當的架構，或是為企業最佳化工作負載，還有設定AWS等項目。AWS表示，該平臺可提供服務給各種規模的企業，特別是中小型企業。</p> <p>現階段要成為AWS IQ專家，需符合幾項條件，除擁有AWS認證外，須居住於美國，並有美國銀行帳戶與稅務資訊，申請完成後，可在平臺上找尋企業的請求，並給予提案。企業收到提案後，可透過文字或視訊與專家討論，若接受提案，該平臺會為雙方建立合約。AWS將這個平臺與其帳戶、帳單服務整合，讓企業可以授予專家其帳戶的存取權限，同時，可監視以及控制專案服務的內容，並按專案進度付款給專家。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-iq-get-help-from-aws-certified-third-party-experts-on-demand/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP雲端平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推薦器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google利用機器學習分析用戶雲端環境的使用模式，提供虛擬機器和政策的最佳採用建議</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E6%8E%A8%E8%96%A6%E5%99%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 600px; height: 380px;" /></strong></strong></p> <p>Google雲端近日推出兩款新的推薦器功能，分別是身分及存取管理（IAM）和Compute Engine容量調整，可自動推薦優化雲端環境的方式，進而降低成本。推薦器功能藉由機器學習技術，自動分析用戶的使用模式，以判斷用戶於Google雲使用的資源與政策，是否為最佳化的配置。IAM推薦器會分析用戶的IAM權限，以建立模型，進而自動偵測過度寬鬆的政策，並提供用戶推薦的調整政策。另外，Compute Engine容量調整推薦器，會分析用戶前8天CPU與記憶體的使用率，以依據工作負載的需求，推薦最適當大小的虛擬機器類型給用戶，避免配置過多或過少機器的情形。企業用戶可以從控制臺中，IAM頁面和Compute Engine頁面查看分別的優化建議。企業若不想讓Google分析自身的雲端使用狀況，也可以從安全與隱私操作版中，關閉這些功能。現階段該功能為開放測試版。<a href=" https://cloud.google.com/blog/products/gcp/optimize-your-google-cloud-environment-with-new-ai-based-recommenders">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Windows </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬桌面 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><strong style="font-size: 22px;"><strong>Windows虛擬桌面全球正式上線，幾分鐘內於Azure大規模部署Windows桌面與應用程式</strong></strong></p> <p>微軟日前釋出奠基在Azure上的Windows虛擬桌面（Windows Virtual Desktop，WVD）正式版，為一虛擬桌面基礎設施（VDI）解決方案，或者稱為桌面即服務，已部署至全球市場。微軟表示，WVD為全球唯一針對Office 365 ProPlus的最佳化管理，並具備Windows 10多會話體驗的功能。WVD支援Windows伺服器遠端桌面服務（RDS）與應用程式，只需要幾分鐘就能在Azure上大規模部署所需的Windows桌面與應用程式。過去使用者只能透過RDS連結Windows Server OS以存取應用程式，現在通過WVD能以Windows 10或Windows 7作為底層作業系統，擁有更為虛擬化桌面的體驗。現階段，微軟釋出支援Windows、Android、macOS、iOS等平臺的WVD客戶端程式，也能使用基於HTML 5的各式瀏覽器使用該服務。並且，微軟允許WVD用戶可免費存取Windows 7的延伸安全更新，直至2023年1月，原先Windows 7延伸支援將在2020年1月結束。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/windows-virtual-desktop-generally-available-worldwide/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> G系列實例 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia T4 Tensor Core GPU </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS推出採用Nvidia T4 GPU的EC2實例，加速AI應用及圖形運算</strong></span></strong></p> <p>AWS近期更新EC2的G系列，正式推出新實例G4，採用Nvidia T4 Tensor Core GPU，專為機器學習的訓練和推理、影片轉碼（transcode）、遊戲串流，以及遠端繪圖工作站的應用程式設計，共有6種規格，另有一款裸機實例的規格。G4實例可最多配置4個Nvidia T4 Tensor Core GPU，每個GPU具有320個Turing Tensor核心，以及2,560個CUDA核心和16 GB記憶體。因擁有RT核心，T4 GPU還可高效率的進行硬體加速光線追蹤，企業用戶可以從AWS市集中，下載Nvidia Quadro虛擬工作站，執行即時光線追蹤渲染，可加快多媒體娛樂和建築等領域的應用。</p> <p>AWS Deep Learning 的Amazon機器鏡像檔（Amazon Machine Image）也已經支援G4實例。官方將G3系列g3.16xlarge與新系列g4dn.12xlarge兩款實例進行了基準測試，比較兩實例使用可擴展深度學習框架MxNet進行推理和訓練工作負載的速度，G4速度快了約2倍，而機器學習函式庫Tensorflow推理和訓練的速度，也快了2倍。新實例G4目前在美國北維吉尼亞州、俄亥俄州、歐洲法蘭克福、倫敦、亞太首爾和東京等9個區域供企業使用。<a href=" https://aws.amazon.com/tw/blogs/aws/now-available-ec2-instances-g4-with-nvidia-t4-tensor-core-gpus/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> QC Ware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子運算即服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> D-Wave </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>QC Ware推出量子運算即服務</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E9%87%8F%E5%AD%90%E9%81%8B%E7%AE%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_QC%20Ware.jpg" style="width: 600px; height: 375px;" /></strong></span></strong></p> <p>新創公司QC Ware在其Forge雲端服務中，推出量子運算即服務，提供模擬器以及量子運算平臺給沒有量子運算專業的企業用戶。使用Forge雲端服務的企業可存取專用的端到端實作，還有二進位最佳化的開源演算法，以及化學模擬和機器學習技術。Forge雲端整合了多種量子運算晶片以及軟體模擬器，以提供企業用戶多元的選擇，運用這些元件來處理工作負載。另外，用戶可以直接使用量子運算硬體供應商開發套件中，所提供的高階演算法。QC Ware為特定行業提供端到端的解決方案，企業可以使用專用的工具，加快解決方案的應用時間，並可更容易地處理擴展的資料集。現階段，該服務使用來自量子服務供應商D-Wave的量子退火電腦，而軟體則提供Google和IBM的開源模擬器。QC Ware表示，未來會整合IBM的硬體、Rigetti晶片和模擬器，以及微軟的模擬器。<a href="https://www.quantaneo.com/QC-Ware-Launches-Public-Beta-of-Forge_a250.html">（詳全文）</a></p> <p><strong>圖片來源／IBM、AWS、Google雲端、QC Ware</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 微軟正式推出OneDrive Personal Vault，為雲端檔案加入雙因素驗證、PIN碼等防護</strong><a href=" https://www.microsoft.com/en-us/microsoft-365/blog/2019/09/30/onedrive-personal-vault-expandable-storage-available-worldwide/">（詳全文）</a></p> <p><strong>2. 美英簽署《雲端法案》協議，雙方可向科技公司索取各種重大犯罪事件的電子資料，如臉書、Google </strong><a href=" https://www.justice.gov/opa/pr/us-and-uk-sign-landmark-cross-border-data-access-agreement-combat-criminals-and-terrorists">（詳全文）</a></p> <p><strong>3. 中華電信取得AWS進階級諮詢合作夥伴認證資格</strong><a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2019/msg-191001-140000?year=2019&month=10&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7b8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7d">（詳全文）</a></p> <p><strong>4. AWS機器學習服務Amazon SageMaker開放使用EC2最強GPU實例，可有效支援分散式機器學習訓練工作負載</strong><a href=" https://aws.amazon.com/tw/blogs/aws/now-available-in-amazon-sagemaker-ec2-p3dn-gpu-instances/">（詳全文）</a></p> <p><strong>5. 亞太網路資訊中心警告：DNS-over-HTTPS只能防護中間人攻擊，無法阻止DNS伺服器供應商檢視、封鎖或竄改DNS資料</strong><a href=" https://blog.apnic.net/2019/10/03/opinion-centralized-doh-is-bad-for-privacy-in-2019-and-beyond/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2019年10月</strong></p> </div></div></div>
2019/10/9 16:32作者黃郁芸https://www.ithome.com.tw/news/133551
VS Code的Python擴充套件現支援原生編輯Jupyter Notebooks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-october-2019-release/">微軟釋出Visual Studio Code的Python擴充套件10月更新</a>，這個版本加入了眾所期待的原生Jupyter Notebooks編輯功能，還可以一鍵在終端執行Python檔案，同時也改進了Python語言伺服器Linting和導入功能。</p> <p>這個版本Python擴充套件為開發人員，提供直接在Jupyter Notebooks編輯.ipynb檔案的方法，並且可以在Jupyter Notebooks中，使用Visual Studio Code所提供的功能。其提供了人工智慧輔助自動完成功能，IntelliSense會提供程式碼完成建議，並且還能安裝程式碼導師擴充套件IntelliCode，來進一步基於程式碼上下文，取得更聰明的人工智慧自動完成建議。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2019/10/Oc19-jupyter_intellisense.gif" style="width: 600px;" /></p> <p>另一個在Visual Studio Code使用Jupyter Notebooks的好處，是開發者可以透過點擊工具欄變數的按鈕，查看變數總管（Variable Explorer）以及圖表檢視器（Plot Viewer），變數總管可讓開發者即時追蹤Jupyter Notebooks變數的當前狀況，而開發者也能透過瀏覽資料集、過濾資料，並繪製圖表。</p> <p>在預設情況下，Visual Studio Code會自動在開發者本機創建Jupyter伺服器，但是開發者也能夠連接遠端的Jupyter伺服器，只要透過Visual Studio Code命令面板，指定Jupyter伺服器的位置，就能簡單地進行連接。</p> <p>當開發者要把實驗階段的Python程式碼轉到生產階段時，只要按下頂部工具欄轉換並另存為Python檔案的按鈕，Python擴充套件便會自動完成剩下的工作。接著，開發者可以繼續在Python互動視窗查看Python程式碼，也可以使用整合的除錯工具、重構工具、Visual Studio Live Share或是Git原始碼控制工具，執行讓程式碼投入生產的準備工作。</p> <p>除了新增的Jupyter Notebooks原生編輯功能，Python擴充套件加入了一個播放按鈕，讓開發者點擊就能執行在終端運作Python檔案的命令，也就是說只要單一點擊，就能在Python擴充套件中執行Python檔案。使用者也可以在偏好設定中，自定義鍵盤快捷鍵綁定在終端運作Python檔案。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2019/10/Oct19-RunPythonFileButton.gif" style="width: 600px;" /></p> <p>另外，這個版本還新增Python語言伺服器三個Linting規則，以及對諸如PyTorch或是Pandas等套件的自動完成改進。而在導入解析度的改進上，過去語言伺服器會將工作空間根目錄視為sys.path項目，當從src目錄導入模組時，便會出現錯誤警告，而在這個版本，當專案環境存在這樣的src目錄，語言伺服器會自動偵測，並將其添加到搜尋路徑列表中。</p> </div></div></div>
2019/10/9 17:55作者李建興https://www.ithome.com.tw/news/133553
Opera 64可封鎖追蹤器，網頁載入加快20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者Opera Software本周釋出了<a href="https://blogs.opera.com/desktop/2019/10/opera-64-faster-more-private-more-fun/" target="_blank">Opera 64新版瀏覽器</a>，它新增了追蹤器攔截機制（tracker blocker），啟用後網頁載入速度可加快20%，若搭配既有的廣告攔截機制（ad blocker），網頁載入速度更可提升76%。</p> <p>當使用者瀏覽網路時，網站通常會追蹤使用者的瀏覽習慣，還有些網站會添加許多看不見的元件，紀錄或利用使用者的帳號資訊，這類的第一方追蹤通常是用來客製化服務。另有網站會使用第三方的追蹤工具，這類的工具是蒐集使用者曾登錄的各個網站，以建立使用者的瀏覽地圖，最常見的可能是若使用者曾查詢某項商品，那麼其它網站都會知道使用者對該商品有興趣，並祭出個人化廣告。</p> <p>假設使用者啟用了tracker blocker，那麼其它網站便無從得知使用者曾經與哪些內容互動。</p> <p>Opera 64也改善了快照（Snapshot）功能，該功能可直接透過瀏覽器在所造訪的網站上截圖，包括可捕捉整個網站的照片，或是將網站存成PDF檔，也能只截取網站的一部份，或是在截圖上加上文字。</p> <p>雖然<a href="https://netmarketshare.com/browser-market-share.aspx?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222018-10%22%2C%22dateEnd%22%3A%222019-09%22%2C%22segments%22%3A%22-1000%22%2C%22plotKeys%22%3A%5B%7B%22browser%22%3A%22Opera%22%7D%5D%7D" target="_blank">Opera在桌面瀏覽器市場的佔有率</a>不到2%，落後Chrome、Firefox、IE、Edge與Safari，不過Opera卻是唯一一個提供免費、無限且無紀錄VPN功能的瀏覽器。</p> </div></div></div>
2019/10/9 16:20作者陳曉莉https://www.ithome.com.tw/news/133548
PyPy 7.2將採用新的JSON解析器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://morepypy.blogspot.com/2019/10/pypys-new-json-parser.html">Python直譯器PyPy將配備新的JSON解析器</a>，使得解析大型JSON檔案能夠更有效率，在執行速度以及記憶體容量表現，都比CPython以及Node的解析器都還要快上許多。這個新的JSON解析器將會在PyPy 7.2中釋出。</p> <p>解析巨大的JSON檔案存在許多障礙，一部分是反序列工作需要花費很多時間，另一部分則是所產生的資料結構，還會占據大量的記憶體，容量甚至會比原始檔案還要大上許多倍，而且相對的，分配和初始化大資料結構的時間，也會比起小資料結構還要多上不少。新開發的PyPy JSON解析器，便是要來解決解析JSON花費過長的時間以及記憶體過多的問題。</p> <p>新解析器的作者Carl Friedrich Bolz-Tereick提到，跟其他進階的實作方法比起來，這個JSON解析器有許多開發限制，他不想要更改Python程式Pexpect的json.loads API，也不想只支援具有SIMD擴充的CPU。他也表示，大部分的JIT都會針對典型的使用模式進行最佳化，犧牲非經常使用的模式，使得非常用模式在最佳化後可能變得更慢，而他試圖採用更通用的方法。</p> <p>Carl Friedrich Bolz-Tereick以資料結構Maps來加速解析工作，Maps是常見用來最佳化動態語言VM中類別實例的常見方法。他在PyPy中組合不同的技術，實作了多種JSON解析器，並比較CPython simplejson、CPython ujson、Node 12.11.1的JSON解析器以及RapidJSON的速度。實驗用的中大型JSON檔案基準，包括來自Reddit的JSON檔案931.65 MiB、Censys的JSON檔達898.45 MiB、Gharchive則有276.34 MiB以及來自Wikidata的檔案119.75 MiB等。</p> <p>首先Carl Friedrich Bolz-Tereick比較了PyPy各版本的JSON解析器解決方案，PyPyBaseline為PyPy 5.8版本提供的JSON解析器，PyPyKeyStringCaching則是PyPy 5.9版本的JSON解析器，特性是會記憶字典的鍵值字串，PyPyMapNoCache類似PyPyKeyStringCaching，但是使用Maps來表達字典，也不快取非鍵值字串，PyPyFull則是將會隨著PyPy 7.2釋出的最新JSON解析器，與PyPyMapNoCache作法類似，但是對全字串進行快取。</p> <p>（下圖）PyPy各種JSON解碼實作的時間相比，並以PyPyFull的執行時間當作基準正規化時間，圖中可以看到PyPyBaseline總是花費最多時間，第二慢的則是PyPyKeyStringCaching，接下來是PyPyMapNoCache，雖然處理Gharchive和Reddit兩個服務的JSON檔案，PyPyMapNoCache略快於PyPyFull，但普遍來說PyPyFull的執行速度都是最快的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_speed_variants.jpg" style="width: 655px; height: 304px;" /></p> <p>而JSON資料結構容量相比（下圖），PyPyFull的表現都是最好的，占據記憶體的容量都只比原始檔案多一點點，甚至處理Yelp檔案所使用的記憶體，還幾乎與原始檔案大小相同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_mem_variants.jpg" style="width: 655px; height: 304px;" /></p> <p>與其他技術實作相比，執行速度PyPyFull大勝simplejson、ujson、Node的JSON解析器，跟RapidJSON相比則是小輸（下圖）。在資料結構大小的比較，PyPyFull大贏simplejson和ujson，小贏RapidJSON，但是普遍都比Node的JSON解析器占用的記憶體還要多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019_json_speed_langs.jpg" style="width: 655px; height: 315px;" /></p> <p>Carl Friedrich Bolz-Tereick表示，PyPy新的JSON解析器實作獲得大幅速度提升，打敗了CPython以及Node，但是RapidJSON還是位居明顯的領先位置，他提到，之所以PyPy的速度會差RapidJSON這麼多，是因為垃圾回收機制的關係，導致大型JSON檔案仍然花費太多時間在反序列化。在記憶體方面，明顯的Node占優勢，Carl Friedrich Bolz-Tereick認為，這是因為在記憶體中，Python表達物件的方式所造成的問題。</p> </div></div></div>
2019/10/9 16:35作者李建興https://www.ithome.com.tw/news/133550
國內金融監理沙盒首創的基金交換平臺12月即將上線，維運團隊好好投資揭露更多技術運作細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月，經過金管會的核准，由遠銀Bankee與FinTec新創好好投資合作首創的「基金交換」創新服務，即將在今年12月正式展開試驗，它也是最新一起金融創新服務沙盒實驗，接下來，為期一年的實驗期間，雙方將用以驗證，測試這個商業模式的可行性，未來該服務上線以後，亦將由好好投資來提供維運，近日，該公司也就雙方合作內容，透露更多運作及技術細節。</p> <p>過去，民眾投資買基金須支付1.5到3％手續費，贖回基金又要耗時5到7天，對於投資者來說，資金調度與運用很不方便。好好投資創人楊少銘表示，在這次沙盒試驗計畫，就是為了要解決上述這兩大基金交易投資的痛點，因而提出創新的「基金交換」的新作法，以打造不同以往全新的基金投資交易模式，並要經由這次實驗來反覆驗證，測試這個商業模式的可行性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_143909.jpg" style="width: 600px; height: 338px;" /></p> <p>好好投資提出的「基金交換」的概念，簡單來說，指的是讓兩個人之間可以彼此互換基金，以自己手中持有的A基金，來等價交換對方的B基金，楊少銘指出，這樣做的最大好處是，同一筆基金投資，用戶不需要經過<span style="letter-spacing: 0.0px">基金贖回再申購的動作，</span>才能換到想要的基金，因為屬於會員間的交換，所以，只要有人要換，馬上就可以成交，而且可以換多次，讓投資人可以做到更即時交易，也能因此省下申購手續費。而且交換標的不限於基金對基金，也可以是基金對現金，或現金對基金的互換。</p> <p>楊少銘表示，雖然概念上，與常見的基金轉換相似，但基金交換可以是跨基金公司完成交換，但是基金轉換不行，僅能限制同一家基金公司基金才能互換，交換就沒有這個問題，而且交易速度更快，因為是會員間的互換，反觀，基金轉換需向銀行申辦，通常得花兩個工作天，還要額外付擔一筆轉換費。</p> <p>「這也是基金交換與一般基金交易最大差別，」他表示，民眾以後不一定要同一檔基金申購、贖回現金後，才能購買下一檔基金，也可以採用交換基金的交易模式，以交換投資方式，來取得其他帳戶會員出售的另一檔基金或換取現金，來做為更長期投資，不僅可以省下手續費，速度上也更即時，他舉例，透過交換的形式，把基金換成錢，可以完全做到即時，無需要以往採用贖回基金的方式需要5~7天處理時間，<span style="letter-spacing: 0px; color: rgb(50, 51, 51); font-family: 'Heiti SC Light';">藉此降低交易成本和提高資金運用的效率。</span></p> <p>之所以能夠做到交易即時的關鍵，他表示，在於進行基金交易時，他們也採用了一些新作法，來提高交易的即時性，甚至還建置一個網路基金交換平臺FundSwap，並通過API來與遠銀App串接，使用者只要透過社群銀行Bankee這個App，就能使用到該公司提供的基金交換功能，可以讓不同會員在這個平臺上直接做交易，透過快速交易媒合，達到更即時基金交易，與不同基金商品之間交換。</p> <p>舉例來說，不像傳統基金交易模式，今天買進，明天才可知道成交價格，投資者容易產生不確定感，楊少銘表示，透過這套交易平臺，會員間在進行基金交換時，會以當前該平臺資料庫撈取到的最新公告基金淨值，做為最終交易價格，例如，今天假設要用100個單位的黃金，依等價換得另一檔能源基金，透過基金交換的方式，最後換到的單位價格，就是買賣雙方當下看到的最新淨值價格，不是隔天的價格，因此，較不會受到時差、作業問題而影響最後實際成交價格。對於投資人來說，交易價格可以更早確定，資金運用上也更有效率。</p> <p>另外，在提供基金交易媒合的運作機制上，他也透露了一些作法，例如，一旦會員要賣出自己手中的基金，打開交易選單，從系統操作介面上，就能看到有多少可成交對象，再由你自行指定跟這裡面的那一位來交易。而且還<span style="letter-spacing: 0.0px">可以自行分配交換比例，比如，</span>今天有100個單位的能源基金要賣出，其中70個單位可以指定要中國的投資基金，其餘30個單位可以選美國的基金，做更進一步投資理財。甚至他表示，下一階段，還要做到可以同時下單，將同一檔基金分配指定交換兩種不同基金，看哪邊剛好有人要出售的基金，速度最快的，就最先成交。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_143916-001.jpg" style="width: 600px; height: 338px;" /></p> <div> <p>由於所有基金投資，都是透過會員間的交易來完成，因此，楊少銘也說明，為了要提供一個安全可信任的交易環境，該公司還運用區塊鏈技術，通過區塊鏈分散式帳本不可竄改的特性來建立信任機制。</p> <p>他表示，目前先是採用以太坊區塊鏈（Ethereum）來進行數位資產記錄，主要是用在記錄兩個人之間交換過程產生有關受益憑證的數位資產記錄，將每一檔基金的交易記錄，都放上這個公有鏈來保存，但是因為受限於公有鏈的交易速度，所以，他表示，目前作法，會是採用分批上鏈來完成。除了將記錄保存在公有鏈，同時在本地端同樣備有多套備分機制。</p> <p>但楊少銘未來更長遠目標，是希望建立一套屬於臺灣自己能用的公有鏈，為此，他去年也開始跟臺大教授合作要開發自己的公有鏈平臺，不過目前仍在開發階段，還沒那麼快推出，可以實際用在這個平臺上。</p> <p><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">除了採用交易基金的新作法，另一個不同傳統基金投資作法，則是在收費機制上，好好投資改以訂閱制來取代傳統收取手續費的方式，</span><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light';">他表示，未來</span><span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">參與實驗的會員，只要</span>繳交一個固定的月費<span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">，</span>就可以在這個平臺做申購、贖回以及交換的投資，不限次數，也無需任何<span style="color: rgb(50, 51, 51); font-family: 'Heiti SC Light'; letter-spacing: 0px;">手續費，</span>他說：「如果這個模式成功，將開創新的商業模式。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20191008_144319-001.jpg" style="width: 600px; height: 338px;" /></p> <p>這項基金交換服務預計會在12月底推出上線，不過，楊少銘表示，未來平臺剛上線，為了避免進場的人太少，容易換不到基金，一開始，會先由遠銀從自家銀行上架的上千檔基金，挑選其中最熱門的20檔基金，例如股票基金或債券基金等，放進這個平臺上，來提供會員間的基金交換使用，必要時也會由該公司介入贖回，以確保整體交易流通性。另在交易幣別上，不論是台幣或美金都可以用來購買基金，不過，楊少銘指出，初期會推臺幣計價基金，來提供用戶做為國內外基金投資，之後才會加開美元計價的基金。</p> <p>除了基金交換之外，在這個平臺上，同樣能夠做申購、贖回，也不限是境內、外的基金，但是在使用人數與投資基金總成本就有限制，一個人最多上限25萬，總共4千人，總金額不能超過2億元。另外，實驗期間為12個月，最長不能超過3年。</p> <p>不過，在這次實驗中，參與實驗對像，必須同時都要是遠銀Bankee與好好投資平臺的用戶，才能成為會員使用相關服務，如果僅是遠銀用戶，就需要在好好投資平臺這邊完成證券開戶的動作，待取得帳戶，啟動訂閱才可成為會員，在這個平臺上開始投資交易。</p> <p>楊少銘強調，好好投資扮演的是一個證券商的角色，提供的是一個基金交換的媒合平臺，並不經手用戶資金，不論是申購款項或基金，都會放在遠銀的信託專戶，以保障投資人的權益。</p> <p>該服務上線後，未來也將由好好投資團隊負責維運，他指出，目前還在測試中，年底前將會有更多細節公布，包括完整交易機制、挑選哪幾檔基金等。</p> <p>待正式推出上線以後，楊少銘表示，希望最快1年內就能通過實驗完成落地，正式推出商用服務，之後，更進一步取得使用牌照後，也將成為臺灣第一家金融證卷商執照的科技公司。</p> <p>這次與遠銀的合作只是第一步，楊少銘說：「我們的目標是要讓全臺39家銀行，以後都可以用我們的平臺，不管你用哪家銀行帳戶，都可以在我們這邊用<span style="letter-spacing: 0px;">。」</span>不僅僅是基金交易平臺，他進一步補充，未來希望與其他FinTech新創合作，在這個平臺提供加值服務，「最終可以成為一個金融科技產業的平臺]。</p> <p> </p> </div> </div></div></div>
2019/10/9 07:53作者余至浩https://www.ithome.com.tw/news/133522
如果ISO 27001證書沒有TAF標誌，還有效嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「請問，我們的ISO 27001的證書是由BSI是SGS發證的證書，在這兩家驗證機構於10月2日被全國認證基金會（TAF）列入資安安全管理系統的減列名單後，我們的ISO 27001的證書，還有效嗎？」</p> <p>「如果，我們是資安法規範的機關構，我們是不是要立刻重新轉驗證，取得新的ISO 27001的證書呢？」</p> <p>上述的種種疑問，過去一周開始於資安圈內不停擴散、恣意傳播，甚至出現種種不同的懶人包以及各種信誓旦旦的網路傳言，告知已經取得由BSI或SGS核發ISO 27001認證的企業或政府機關，如果不趕緊轉驗證，他們的證書將會失效。</p> <p>行政院資安處表示，依照資安法的規定，受資安法規範的公務機關以及關鍵基礎設施提供者，只需要在三年內，取得公正第三方驗證的ISO 27001證書即可，沒有「若沒有立即轉證，證書即失效的疑慮。」</p> <p>全國認證基金會（TAF）執行長許景行則指出，SGS以及BSI兩家驗證公司被TAF列入資訊安全管理系統減列名單是事實，但這兩家公司如果可以儘快針對評鑑缺失項目做改正，在2020年1月2日後，就可以重新申請恢復增列。</p> <p>BSI以及SGS則指出，將會盡力確保客戶最大權益，兩者核發的ISO 27001證書，若上面有ANAB或UKAS國際認證組織核可的標誌，仍為有效的ISO 27001證書；若是只取得TAF單一組織認可的ISO 27001證書的單位，在取得客戶同意後，會透過轉證的方式，協助企業組織取得國際認證以維持該單位認證的有效性。</p> <p><span style="color:#0000CD;"><strong>TAF接到客戶抱怨，啟動對BSI 和SGS的專案調查</strong></span></p> <p>許景行表示，全國認證基金會（TAF）是一個民間機構，成立的目的，就是要維持臺灣各種認證制度實施與發展，可以符合ISO / IEC 17011的國際規範，而TAF也是臺灣唯一一家受標準法主管機關委託的認證機構（Accreditation Body，AB），至於包括SGS、BSI等驗證公司，則是所謂的驗證機構（Certification Body，CB），多是私人單位。</p> <p>從今年1月1日正式實施的《資通安全管理法》中也規定，未來資安法中所有「公正第三方驗證」所指稱的第三方，則是指經過標準法主管機關委託機構認證的機構。這意味著，未來受資安法規範的所有單位要取得的資安認證，都必須經由全國認證基金會（TAF）認證的驗證機構，所執行的第三方驗證才符合資安法的規定。</p> <p>外界傳言，BSI和SGS會遭到TAF減列處分，是因為銓敘部的個資外洩事件造成的，BSI是前手的ISO 27001驗證公司，SGS是現在的驗證公司。但許景行表示，這一次會對兩家驗證公司將施以減列的處分，主要是有接到客戶的「抱怨（Complain）」（類似客訴），「抱怨」對認證公司是非常重要的評鑑關鍵，在ISO 17011中的第3.2節中也有明確規定和相關文件流程，因此，TAF才會啟動專案調查，但抱怨的內容因為涉及客戶機密，並無法對外公開。調查BSI和SGS的過程中，由評鑑委員現場調查後，另外由審議委員開會討論後才進行處分。</p> <p>TAF針對驗證機構的調查大致可以從三個面向著手，包括：驗證流程的SOP、稽核人員的能力，以及實地看驗證機構的稽核人員如何稽核客戶的過程。</p> <p>他指出，此次在調查BSI和SGS的過程中發現，這兩家驗證機構在上述的面向中，不符合TAF對於國際資安認證標準的重點要求，經審議委員開會決議後，才決定予以減列的處分，並基於ISO 17011：2017 第7.7.5節的要求，即刻發函通知兩家驗證公司並於網路上公開，從10月2日起，BSI及SGS在ISO 27001的證書上，都不能使用TAF認證標誌。</p> <p><span style="color:#0000CD;"><strong>從10月2日起，BSI和SGS核發資安證書不得掛TAF標誌</strong></span></p> <p>由於BSI和SGS在資訊安全管理系統認證的市占率將近7～8成，有許多人從結果論來看，兩家規模較大、能力較好的驗證公司遭到TAF減列處分後，剩下四家規模較小的驗證公司，難道可以提供比BSI以及SGS更好的稽核品質和能量嗎？相關的處分是否不符合比例原則，過當處分呢？對於某一些主管機關而言，TAF的減列決議讓他們沒有足夠的緩衝因應期，並質疑過往取得的證書效力，是否可以因為減列而溯及既往、即刻失效呢？</p> <p>許景行表示，這次的調查是基於接到客戶抱怨而來，針對其他四家仍在認可名單上的驗證公司，目前仍有定期的評鑑做品質把關。他說，今天（10月9日）已經召集所有評鑑人員，請上次的評鑑人員分享該次針對BSI和SGS所採用的評鑑標準和注意事項，「未來，TAF也會以同樣的評鑑標準，去對所有資安管理系統的驗證公司進行評鑑。」他說。</p> <p>而根據ISO 17011 第4.4.2條的規定：「認證機構應對其認證活動的公正性負責，且不應允許商業、財務或其他壓力而影響公正性。」許景行表示，今天TAF基於公正性做出減列的處分，因為市占率大造成的商業損失或不便，甚至是，是否對主管機關造成困擾，都不在TAF的職權範圍之內。</p> <p>他指出，因為TAF是一個在地化的認證組織（AB），有自己對於在地化法遵的要求與重點，今天BSI和SGS受到減列的處分，只能說，這兩家驗證公司在此次調查結果中，針對TAF審查的重點並沒有良好的表現。身為TAF執行長，則必須尊重審議委員會的處分決議。</p> <p>TAF對BSI和SGS做出減列處分，實際的作為就是，BSI和SGS從10月2日起，所有ISO 27001的證書上面，都不可以放TAF的認證標誌，因為TAF無法幫BSI和SGS背書，其資安管理系統的稽核流程是否符合TAF的要求。</p> <p>但許景行也說，BSI和SGS還是其他國際認證組織ANAB以及UKAS的認可會員，顯示其他認證組織，還是認可BSI和SGS具備ISO 27001的稽核能力，只是不符合TAF的重點要求而已。</p> <p>不過，他也要澄清，證書有效性不在於證書掛哪一個認證機構的標誌，而是看接受證書的單位，是否承認發證單位的公正性與專業性，甚至於，如果企業用戶相信BSI和SGS的驗證，兩家公司也可以自行核發不掛任何認證單位標誌的證書。他認為，以BSI和SGS兩家的實力和資源，只要可以針對不符合的項目進行改善，三個月後就可以重新申請增列。</p> <p>TAF身為一個認證機構，許景行說，即便SGS是TAF的董事，基於公正性，減列的處分仍然必須落實執行；此次BSI和SGS遭到減列的原因之一，也在稽核人員有能力，但沒有保持驗證的公正性，導致適任性遭到質疑；因為資安的重要性越來越高，國際潮流也都會開始從嚴審查，因此，未來TAF對於資訊安全管理系統驗證單位的審查，都會根據此次的評鑑標準，作為未來所有資安管理系統驗證機構一致性的評鑑指標。</p> <p><span style="color:#0000CD;"><strong>資安法規定取得TAF證書，仍有三年緩衝期，減列不妨害資安課程與證書效力</strong></span></p> <p>因為資安法在今年1月1日正式施行，包括公務機關以及關鍵基礎設施服務提供者，都會受到資安法的規範。而其中，根據資安法施行細則及相關子法的規定，「初次受核定或等級變更後之二年內，全部核心資通系統導入CNS 27001資訊安全管理系統國家標準、其他具有同等資訊安全管理系統之導入及或以上效果之系統或標準，或其他公務管理面通過公正第三方之驗證機關自行發展並經主管機關認可之標準，於三年內完成公正第三方驗證，並持續維持其驗證有效性。」</p> <p>行政院資安處表示，從上述的規定來看，外面傳言公務機關要立即換證、轉證的說法是不精確的，因為受資安法規範的單位，未來取得ISO 27001資安認證的範圍，必須是全機關的核心系統外，也有三年的緩衝期，取得TAF認證的ISO 27001證書。行政院資安處也會發函給各相關單位做上述事實的澄清。</p> <p>另外，資安會報也在最新的「108年第2季更新之資通安全專業證照清單」中，也清楚規定，只要是經TAF或國際認證機構認可之資安相關管理系統驗證機構，所核發的ISO 27001：2013的主導稽核員（LA）的課程和證書，都是有效的。也就是說，即便目前BSI和SGS遭到TAF減列，仍不影響上述單位舉辦課程和核發ISO 27001主導稽核員證書的有效性。</p> <p><span style="color:#0000CD;"><strong>BSI三個月後申請增列，SGS同步申訴並於三個月後申請增列</strong></span></p> <p>由於TAF的規定，BSI和SGS遭到減列的處分後，必須按照規定，即刻通知相關客戶。臺灣BSI針對客戶的聲明則明確指出，臺灣BSI對客戶核發的ISMS證書，除TAF認可外，也取得國際認可機構（ANAB）登錄之合法公正第三方驗證機構證書。</p> <p>因為BSI的客戶都同時取得兩張證書，所以在TAF減列期間，由ANAB核發的ISO 27001國際證書仍為有效；對於BSI所提供資安管理課程和服務並不受影響；對於資安法適用組織的符合性時程，也沒有影響。臺灣BSI表示，該公司也將在減列生效日起三個月申請增列，並會隨時更新相關消息。</p> <p>另外一個遭到TAF減列處分的SGS，該公司協理張日聖表示，該公司也是UKAS國際認可機構的會員，客戶如果同時取得UKAS和TAF的ISO 27001證書，即便TAF因為減列而失效，但UKAS核發的ISO 27001仍為有效的國際認證證書。問題比較大的是，有部分只取得TAF核發的機關單位，為了維護客戶權益，SGS在取得客戶同意後，會協助以轉證的方式，以維護客戶證書的有效性。</p> <p>張日聖指出，該公司也會依照TAF規定，儘速通知客戶遭到TAF減列事宜，在減列期間，也不會核發任何掛TAF標誌的證書，但為了確保客戶權益，SGS將會同時進行申訴，並於三個月後，申請增列。</p> <p>SGS部經理何星翰則表示，SGS遭到TAF減列後，受到的衝擊包括，第四季有許多專案無法驗收，有一些客戶的RFP有要求TAF認證的ISO 27001證書，必須回歸契約要求，看是專案延期、減價、罰款等。但他也坦言，這些大範圍的機關構，所需要的稽核服務能量，不見得可以透過轉由另外四家規模較小的合格的驗證機構提供。</p> <p>行政院資安處表示，驗證公司應該要對驗證範圍進行合理性的認定，應該要維持驗證公司的獨立驗證性，且驗證公司的案子不應該以取得證書作為驗收要件。這一次兩家規模較大的驗證公司BSI和SGS，至少驗證將近四百個公務機關構時，這次的減列或會許造成市場很大的震盪，但也不失為一次趁機調整市場亂象的機會。</p> <p> </p> </div></div></div>
2019/10/9 14:23作者黃彥棻https://www.ithome.com.tw/news/133528
Twitter以用戶的電話號碼來執行目標式廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路科技公司濫用用戶資料再添一例。知名社群媒體<a href="https://twitter.com/twittersupport/status/1181661080033955840?s=21" target="_blank">Twitter近日坦承</a>，該公司「<a href="https://help.twitter.com/en/information-and-ads" target="_blank">不小心」使用了用戶的電子郵件帳號與電話號碼等個人資料，來執行目標式廣告</a>，且無法估計受影響的用戶數量。</p> <p>涉及此一事件的廣告服務為訂製受眾（Tailored Audiences）及合作夥伴受眾（Partner Audiences），其中，訂製受眾為一標準化產品，允許廣告主利用既有的行銷名單在Twitter上播送目標式廣告，這些名單可能是廣告主自行蒐集的用戶電話號碼與電子郵件帳號；而合作夥伴受眾也是基於訂製受眾模式發送廣告，但行銷名單是由第三方的合作夥伴提供。</p> <p>不過，當廣告主把行銷名單上傳至Twitter時，Twitter可能未經用戶同意，便擅自比對用戶所提供的電話號碼與電子郵件帳號。</p> <p>Twitter用戶通常是為了執行雙因素認證的安全理由，才提供電子郵件或電話號碼，並未同意Twitter將它們作為廣告行銷之用。</p> <p>Twitter表示，該公司已在9月17日解決這項錯誤，不會再把用於帳號安全性的個人資料用在廣告上，且為了透明性，正式於官網揭露這項不當使用訊息，並向用戶致歉，現已採取必要措施以避免重蹈覆轍。</p> </div></div></div>
2019/10/9 14:35作者陳曉莉https://www.ithome.com.tw/news/133529
Arm與汽車業者共創自駕車聯盟，發展通用架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球半導體及軟體設計公司Arm本周宣布，已與NXP Semiconductors（恩智浦半導體）、Nvidia，汽車零件製造商Bosch、Continental、Denso及汽車業者GM及Toyota，<a href="https://www.avcconsortium.org/newsroom/pr-newconsortium-avcc" target="_blank">成立自駕車運算聯盟（Autonomous Vehicle Computing Consortium，AVCC）</a>，以共同發展符合自駕車需求的系統架構及運算平台。</p> <p>根據AVCC的初期規畫，此一架構與平台一方面必須顧及自駕車系統的效能，另一方面則得迎合相關系統在尺寸、溫度、電力損耗與安全性上的需求，目的在於讓現在仍處原型階段的自駕車，能夠儘速進入大規模部署。</p> <p>負責汽車與IoT業務的Arm副總裁Dipti Vachani表示，未來不論是先進駕駛輔助系統或全自動駕駛車輛的量產，都需要前所未有的產業合作，AVCC聚集了汽車產業的領導者，可加速實現真正自駕的目標。</p> <p>其中，Bosch工程暨產品管理總監Michael Meier指出，除了硬體的開發，自駕車還需要龐大且複雜的軟體設計，未來Bosch將協助打造自駕車系統上每個組件的軟體API。</p> <p><a href="https://emerj.com/ai-adoption-timelines/self-driving-car-timeline-themselves-top-11-automakers/" target="_blank">專門分析AI領域的Emerj指出</a>，各家業者對自駕車的發表時程都還不太有把握，GM先前曾計畫在2018年推出首款自駕車，現在卻已延到今年以後，顯示自駕車技術上的複雜度超出了預期。而Toyota研究機構的執行長Gill Pratt則曾在2016年時表示，也許10年內可於特定區域看到Level 4自駕車。不過，福特已計畫會在2021年推出Level 4自駕車。</p> <p>目前大家所提及的自駕車通常是Level 3或Level 4，Level 3必須搭配人類駕駛，但駕駛能夠賦予重要任務予車輛，Level 4是汽車在大多數的時候都能自動行駛，只有遇到惡劣天氣或狀況的時候會停止，而且Level 4的車主是可以睡覺的。至於Tesla汽車則屬於Level 2，此一等級的自駕車雖可自動採取安全行動，但駕駛必須保持警惕。</p> </div></div></div>
2019/10/9 13:20作者陳曉莉https://www.ithome.com.tw/news/133527
暴雪玩家因支持香港遭除名並取消獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲開發商暴雪娛樂（Blizzard Entertainment）在上周末舉行亞太區《爐石戰記》（Hearthstone）的大師職業賽，獲勝的香港選手聰哥（Blitzchung）<a href="https://www.invenglobal.com/articles/9242/hong-kong-player-blitzchung-calls-for-liberation-of-his-country-in-post-game-interview" target="_blank">在賽後受訪時</a>，<a href="https://www.bbc.com/news/technology-49971077" target="_blank">頭戴護目鏡與防毒面罩高呼「光復香港，時代革命」</a>，兩位主播賽評還拍手鼓勵，結果暴雪不但移除賽事的重播影片，將聰哥從大師職業賽中除名，把聰哥禁賽一年，還取消聰哥所獲得的獎金，而引發全球玩家拒玩暴雪遊戲的抗議聲浪。</p> <p>成立於1991年的暴雪娛樂為一總部位於加州的遊戲開發與出版商，最受歡迎的遊戲系列為《魔獸爭霸》（ Warcraft）、《暗黑破壞神》（Diablo）與《星際爭霸》（StarCraft ）。</p> <p>暴雪不僅處罰了聰哥，也終止與採訪聰哥的兩位台灣主播賽評的合作。</p> <p><a href="https://uk.ign.com/articles/2019/10/08/hearthstone-pro-calls-for-hong-kong-liberation-during-live-blizzard-interview" target="_blank">暴雪娛樂表示</a>，聰哥及兩位主播賽評的行為違反了《爐石戰記》大師職業賽的官方賽事規章：任何涉及破壞自己聲譽、冒犯大眾，或是傷害暴雪形象的行為，都會造成選手被除名且獎金歸零的後果。</p> <p>暴雪的作法引起了遊戲玩家的反彈，號召全球玩家抵制暴雪遊戲。但另一方面，也有分析指出中國騰訊握有暴雪股權，不難理解暴雪為迎合中國政府所作出的裁決。</p> <p>科技業者愈來愈常受到政治的影響，例如Google搜尋曾因不願遵循中國的言論審查而退出中國市場，或者是許多科技服務在選擇國別時只有中國台灣，而沒有台灣，最近蘋果在香港部署的iOS 13.1.2，還將台灣國旗從表情符號中移除。</p> </div></div></div>
2019/10/9 12:10作者陳曉莉https://www.ithome.com.tw/news/133526
臉書開源能簡化複雜應用程式開發的框架Hydra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書開源了能夠簡單配置複雜應用程式的開發框架<a href="https://engineering.fb.com/open-source/hydra/">Hydra</a>，不只能夠減少開發者複製貼上樣板程式碼（Boilerplate Code），也能動態編寫（Compose）配置，而且Hydra採用了可插拔架構，因此可以與原本組織的基礎設施良好的整合。</p> <p>Hydra是一個輕量級的框架，可以透過編寫以及覆蓋配置，來簡化Python應用程式的開發，特別是針對複雜應用程式的開發。開發者利用Hydra，不必重新撰寫大量的樣板程式碼，就能夠輕易地加入新的功能，以符合新的使用案例和需求。</p> <p>臉書表示，程式碼僵化是一個普遍的問題，而Hydra提供了編寫應用程式配置的新方法，開發者透過配置檔案或是命令列，就能變更應用程式配置，而這解決了在修改配置時，需要維護許多只有些微差別的應用程式版本，或是需要新增自定義邏輯來覆蓋配置值，Hydra則讓應用程式在執行之前，就完成配置編寫與覆蓋。</p> <p>Hydra讓開發者可以在本地或是遠端啟動應用程式，並且使用同一個指令附加不同的參數，就能執行不同的工作，減少相關的腳本支援。Hydra提供了動態命令列頁籤完成功能，幫助開發者探索複雜配置選項，也減少輸入錯誤。臉書提到，Hydra解決了複雜應用程式的工程問題，加速開發的速度，也減少錯誤出現的機會。</p> <p>整體來說，Hydra減少了在複雜應用程式中，常見的樣板程式碼，像是定義命令列標籤、操作配置檔案以及配置日誌等，並提供開發者靈活的程式碼開發以及配置方法，增加開發人員的效率。臉書提到，他們現在開源Hydra供社群使用，而其可插拔的架構，除了可讓企業內部開發其他功能，也可以支援未來社群共同開發的功能。</p> </div></div></div>
2019/10/9 10:25作者李建興https://www.ithome.com.tw/news/133520
微軟正式推出視覺化資料流處理服務Mapping Data Flows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在自家無程式碼ETL服務Azure Data Factory上，<a href="https://azure.microsoft.com/zh-tw/blog/azure-data-factory-mapping-data-flows-are-now-generally-available/">正式推出Mapping Data Flows功能</a>，供使用者大規模且快速地轉換資料，微軟提到，Mapping Data Flows是一項變革性的資料整合以及轉換服務。</p> <p>Azure Data Factory是一個無伺服器服務，使用者不需要管理基礎設施，就能夠在雲端進行ETL工作，處理任何規模的資料。而Mapping Data Flows則是專為應對龐大資料處理的複雜性和規模而生的功能，使用者可以直接在瀏覽器中，存取視覺化的環境，建構彈性資料工作管線，並由Azure Data Factory來處理Spark運作的複雜作業。</p> <p>Mapping Data Flows提供內建功能來處理不可預測的資料架構後，並維持變更輸入資料的彈性，簡化使用者資料處理的工作，讓使用者可以專注於建構業務資料邏輯，不需要花費時間管理伺服器叢集或是撰寫程式碼，快速地進行載入事實表格（Fact Table）、維持緩慢的維度變換（Slowly Changing Dimension，SCD）、聚合半結構化的資料，以及使用模糊匹配來配對資料，為建模做準備。</p> <p>其提供直覺的視覺化介面，可以將使用者的資料邏輯轉換成為易讀的圖（Graph），並建置轉換程式函式庫，分析原始資料產出業務可用的結果（下圖）。當然，使用者也可以不使用Mapping Data Flows的無程式碼介面，自己撰寫程式碼呼叫內建的轉換功能，執行連接（Join）、聚合、樞紐分析（Pivot）以及排序等常見操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/canvas2.png" style="width: 355px;" /></p> <p>工作管線建置器可讓使用者透過滑鼠拖拉操作，來建置工作管線，或是以互動的形式為端到端ETL程序除錯，使用者可以為工作管線建置排程，並從Azure Data Factory監控入口網站監控資料流執行，透過Azure Data Factory提供多種可用性監控以及警示功能，來管理資料的可用SLA，還能利用內建的CI/CD，在託管的DataOps環境中儲存與管理資料流，透過建立警示和瀏覽執行計畫，就能驗證使用者的邏輯是否如計畫一樣處理資料流。</p> </div></div></div>
2019/10/9 10:30作者李建興https://www.ithome.com.tw/news/133521
Container周報第112期：Kubernetes 1.16新版的擴充力再升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF8C00;"><strong>精選9/1~10/3重要Container新聞</strong></span></h3> <h3><span style="color:#FF8C00;"><strong>#K8s、#端點切片</strong></span><br /><span style="color:#0000FF;"><strong>Kubernetes 1.16來了擴充力再升級，也新增端點切片功能</strong></span></h3> <p>Kubernetes現在釋出了1.16版本，這是今年的第3個版本，被用來作為Kubernetes擴充機制的CRD（Custom Resource Definition）現在成為正式功能，部分之前選用的防護功能會成為必要或是預設，像是結構架構（Structural Schema）、刪減未知欄位、驗證以及保護*.k8s.io群組等，目的是要確保API的穩定性，更不容易因為意外而故障。在Kubernetes API也有一些修改，也為Windows增加了新的增強功能。</p> <p>另外，這個版本還加入了一個新的Alpha功能端點切片（Endpoint Slices），這可以為Kubernetes服務帶來更大的伸縮彈性，目前的端點資源，單個資源包括所有和服務相對應Pod的網路端點，但隨著服務越來越大，可能需要使用上萬個Pod，這使得端點資源變得非常龐大。預設情況下，每個端點切片都被限制最多包含100個端點，這樣的機制會使單一節點更新作業變得更有效率，因為每個端點都僅是整個網路端點的一小部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_K8s%E6%96%B0%E7%89%88logo.png" /></p> <p><strong style="color: rgb(255, 140, 0);">#Etcd、#分散式資料庫</strong><br /><strong style="color: rgb(0, 0, 255);">Kubernetes發布分散式鍵值資料庫Etcd 3.4，強化後端儲存與客戶端平衡器功能</strong></p> <p>Kubernetes團隊發布了分散式鍵值資料庫Etcd 3.4，這個版本強化了儲存後端的效能，並改進Raft投票程序，還加入了全新的客戶端平衡器（Client Balancer）。Etcd是一個分散式具高可靠性的鍵值儲存，可用來儲存分散式系統的重要資料，在去年底，CoreOS團隊將Etcd專案捐贈給CNCF。</p> <p>新版Etcd對大規模Kubernetes工作負載進行了最佳化，大幅提升了執行效能，其最重要的更新，便是提供更好的存儲後端。3.4版的資料吞吐量大增70％，長時間進行讀取操作的情況下，P99寫入延遲減少了90％。租約儲存（Lease Storage）進行了許多改進，以提高整體操作效能，新版本還新增實驗性的租約檢查點功能，能透過共識機制，保存租約物件的剩餘生存時間值。</p> <h3><span style="color:#FF8C00;"><strong>#作業系統、#GPU</strong></span><br /><span style="color:#0000FF;"><strong>Linux 5.3核心釋出，首度支援AMD Navi GPU</strong></span></h3> <p>在經過8個RC（release candidates）版及比預定時間晚了一個星期後，Linux之父Linus Torvalds正式釋出了Linux 5.3核心。Linux 5.3版是繼7月的5.2版後釋出的最新版本，加入多項硬體、硬體功能的支援，其中包括首度支援AMD Navi GPU系列及中國x86兆芯處理器、對英特爾Icelake Gen 11繪圖晶片HDR、Speed Select及UMWAIT技術的支援、以及支援MacBook、MacBook Pro鍵盤、並強化對Nvidia Jetson Nano的支援。此外也支援ACRN guest hypervisor及加入1600萬個IPv4 位址等等。Linux 5.3版的釋出，也意謂5.4版進入整併階段。預定11月釋出穩定版的Linux 5.4，將加入exFAT 驅動程式及支援AMD Renoir APU、Intel Tigerlake Gen 12 Xe 繪圖晶片，及Intel Icelake Thunderbolt等多項重要更新。</p> <h3><span style="color:#FF8C00;"><strong>#負載平衡、#GKE</strong></span><br /><span style="color:#0000FF;"><strong>Google在GKE服務正式推出原生容器負載平衡功能</strong></span></h3> <p>Google推出GKE上的原生容器負載平衡功能正式版本，原生容器負載平衡可以讓用戶創建使用網路端點群組（Network Endpoint Groups，NEGs）的服務，因此外來對服務的請求，可以直接經負載平衡發送給服務請求的容器。<br /> NEG抽象層使得原生容器負載平衡，可以與GCP上的Kubernetes Ingress控制器良好地整合在一起，當使用者使用多層的網路部署，要對外公開一個或多個服務，也能夠創建Ingress物件，而這將會使用HTTP和HTTPS負載平衡，並且讓使用者設定以路徑或是主機的方法，路由後端的服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_GKE%E5%8E%9F%E7%94%9F%E8%B2%A0%E8%BC%89%E5%B9%B3%E8%A1%A1.gif" /></p> <h3><strong><span style="color:#FF8C00;">#容器安全、#GKE</span><br /><span style="color:#0000FF;">開放測試安全力度，GCP推出Shielded GKE節點測試版</span></strong></h3> <p>Google在其雲端平臺推出Shielded GKE節點Beta測試版，提供強健且可驗證的節點完整性（Integrity），增加GKE節點的安全防護。而Shielded GKE節點則是建立於去年7月所發布的Shielded虛擬機器之上。這類GKE節點強化了底層，增加抵抗各種Rootkit和Bootkit的攻擊，確保使用者的節點不被任意竄改，同時也能保護工作負載免於遠端攻擊或是特權提升等威脅。在Shielded GKE節點中，會對節點作業系統的出處進行確認，透過加密驗證檢查，確保節點作業系統正在Google資料中心的虛擬機器上運作。目前Shielded GKE節點服務已經在所有區域提供。</p> <h3><span style="color:#FF8C00;"><strong>#微服務管理、#服務網格</strong></span><br /><span style="color:#0000FF;"><strong>Kong推出開源服務網路控制平臺Kuma，可用來調度服務網格流量</strong></span></h3> <p>開源API管理平臺Kong服務供應商釋出新的開源專案Kuma，Kuma是能用於管理服務網路（Service Mesh）的通用控制平臺，透過無縫管理第四層與第七層網路流量、微服務與API，以解決第一代服務網路的技術限制。Kuma採用軟體定義安全性，為所有第四層流量啟用mTLS，並提供高精細度的流量控制功能，強化第四層路由功能，而Kuma也能夠快速實作追蹤與日誌記錄功能，讓用戶分析指標進行除錯。Kuma可在任意的平臺上執行，包括Kubernetes、虛擬機器、容器、裸機和傳統環境，使整個企業組織都能實踐原生雲端應用。</p> <h3><span style="color:#FF8C00;"><strong>#服務網格、#K8s叢集網路管理</strong></span><br /><span style="color:#0000FF;"><strong>Containous開源微服務網狀網路Maesh，用於管理K8s叢集內部網路流量</strong></span></h3> <p>雲端服務業者Containous開源了新服務網狀網路（Service Mesh），這個專案的目的，是要讓Kubernetes應用程式的各個部分，更容易互相溝通，讓使用者能管理Kubernetes叢集內部流量。這個專為微服務設計的服務網狀網路Maesh，就是建立在反向代理Traefik之上，讓使用者能查看並管理在K8s叢集內流動的流量，Containous表示，管理叢集內部流量跟管理流入流出叢集的流量一樣重要，而Maesh是一個操作簡單功能齊全的服務網格，其基於原生容器的設計，能適用於用戶的K8s叢集，且支援最新的服務網狀網路介面規範（Service Mesh Interface，SMI）。</p> <h3><span style="color:#FF8C00;"><strong>#AWS、#雲端監控、#容器應用安全</strong></span><br /><span style="color:#0000FF;"><strong>Amazon CloudWatch正式為用戶提供容器應用程式監控功能</strong></span></h3> <p>由於容器程式壽命短，過去用戶難以取得完整的監控資料，而現在Amazon CloudWatch針對容器應用程式，推出專門的監控功能。AWS正式發布Amazon CloudWatch中的Container Insights功能，讓用戶能夠監控Amazon ECS以及AWS Fargate新舊叢集中的容器，掌握包括容器利用率以及故障機率等詳細資訊。這項容器分析功能，可以監控叢集中所有正在執行的容器，並收集容器堆疊每一層的效能以及運作資料，監控Kubernetes、支援Kubernetes的Amazon Elastic Container Service、Amazon ECS以及AWS Fargate中容器的使用率以及故障機率等資訊，以進行即時分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_AWS%E5%AE%B9%E5%99%A8%E7%9B%A3%E6%8E%A7.png" /></p> <p>責任編輯／王宏仁</p> <p><strong>更多Container動態</strong></p> <ul><li>Visual Studio更新Azure IoT工具，可遠端進行Linux Docker容器除錯</li> <li>甲骨文發布Java 13，而Eclipse基金會則釋出Jakarta EE 8</li> </ul><p>＠資料來源：iThome整理，2019年10月</p> </div></div></div>
2019/10/8 19:29作者王宏仁https://www.ithome.com.tw/news/133493
瞄準工作站、高階PC市場，英特爾更新Xeon W及Core X處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發表Xeon W-2200及Core X系列處理器，分別鎖定工作站及Prosumer、玩家，將在11月後上市。</p> <p>Xeon W-2200定位在主流級的工作站市場，而不鎖頻的Core X系列處理器則以高階桌上型電腦為主，適合專業消費者Prosumer與電腦玩家，兩款處理器均搭載Turbo boost Max 3.0，最高時脈達4.8GHz，最多提供18核心/36執行緒。</p> <p>此次推出的Xeon W-2200與Core X系列處理器也整合了AI加速功能，Intel Deep Learning Boost技術，和前代相比提供2.2倍的AI推論加速，英特爾強調這項技術可加速影像標記、影像處理、動作偵測的處理。</p> <p>Xeon W-2200系列將會推出8款處理器，規格從4核到18核，英特爾稱在4K影片編輯上，相較前代產品提升11%的處理速度，在3D渲染、遊戲開發部份也分別提升10%。至於Core X則會推出4款處理器，從10核心到最高18核心，以MAYA或3DS MAX等3D動畫渲染提升7%，影像推論效能則提高2倍。</p> <p>英特爾指出兩者差別為，W-2200提供商用等級功能，如vPro的管理功能、ECC錯誤修正碼、RAS（Reliability, Availability, Serviceability），最高可支援至1TB的記憶體，而Core X未支援ECC、RAS、vPro等功能，最高至256GB記憶體。</p> <p>Xeon W-2200系列處理器鎖定專業工作者，如3D渲染、3D CAM、視覺特效、資料科學、AI開發等等，Core X的使用族群可能是自由工作者、專業消費者或是電腦玩家，一般影像編輯、遊戲冊發、3D動畫設計等。W-2200價位從294美元到1333美元，Core X則是590到979美元，英特爾強調消費者依其使用的需要不同，若需要效能及穩定性，可選擇Xeon W-2200。</p> <p>為了讓內容創作需求的使用者能夠識別，英特爾與主機板合作夥伴合作，在部份內建Thunderbolt 3的Core X主機板，在其外包裝盒上貼有Made to Creator的標誌，以供消費者識別。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03539-1.jpg" style="width: 600px; height: 399px;" /></p> <p><strong>力推創作者市場</strong></p> <p>不論是Xeon W-2200或是Core X系列處理器，英特爾不忘強調這些產品能夠滿足內容創作者的需要，呼應了英特爾近來推動的創作者（Creators）PC概念，試圖聯合PC業者的力量，在電競PC外再闢出另一個潛在的市場。</p> <p>不過，英特爾坦言並沒有對創作者PC有明確定義，因為從廣義來看，創作者可能是簡單的照片或影片編輯，到更專業、進階的3D動畫設計、3D CAM、3D渲染等等。</p> <p>「過去是以內容消費為主，而現在有愈來愈多的內容創作」，英特爾台灣分公司發言人李昆龍表示。</p> <p>李昆龍指出從市場研究來看，從PC軟體的使用，全球約有2億的創作者電腦使用需求，另外，電競類電腦產品中約有3成的用戶並非是為了玩遊戲而購買，顯示市場確實存在這樣的需求。</p> <p>雖然沒有對創作者電腦提出明確的定義，但英特爾的策略是和PC業者合作，由PC業者依創作者的不同需求規劃產品設計，有的創作者概念產品強調色彩顯示的精確性，有的因應大量內容的傳輸需要，採用高速的儲存或I/O，例如宏碁上周發表ConceptD系列工作站、筆電、螢幕，強調了色彩顯示上的精準度。</p> </div></div></div>
2019/10/8 19:01作者蘇文彬https://www.ithome.com.tw/news/133519
AWS機器學習服務Amazon SageMaker開放使用EC2最強GPU執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/now-available-in-amazon-sagemaker-ec2-p3dn-gpu-instances/">AWS機器學習服務Amazon SageMaker現在開始能夠使用，EC2中最強的P3執行個體p3dn.24xlarge</a>，其專為分散式機器學習訓練和高效能運算，提供比其他P3執行個體多一倍的GPU記憶體，而且vCPU也多了50％，可以大幅加速大型且複雜的分散式模型訓練工作。</p> <p>AWS提到，深度學習的發展突飛猛進，可以應用在偵測皮膚癌或是開發自動駕駛汽車上，具有從大量非結構化資料，擷取特徵並建構複雜模型的能力，但訓練神經網路需要大量的運算能力，而這也使得開發者轉而使用GPU加速運算，AWS在Amazon SageMaker上提供了EC2的P2以及P3執行個體選項，供有GPU運算需求的用戶使用。</p> <p>這次在Amazon SageMaker服務加入的P3dn.24xlarge，是P3系列中最快的執行個體，其搭載了8個Nvidia V100 GPU，和96個AWS訂製的第二代英特爾Xeon可擴展vCPU，儲存使用1.8 TB的本機NVMe型SSD，AWS提到，由於P3dn.24xlarge提供達100 Gbps的網路傳輸量，因此開發人員能夠有效的利用16、32或 64個P3dn.24xlarge執行個體，進行分散式訓練，以縮短模型訓練時間。</p> <p>除了P3dn.24xlarge提供足夠的網路之外，其使用的V100 Tensor Core GPU以及32 GB的記憶體，都能支援開發人員訓練更大型的機器學習模型，並處理更大批次的資料。目前P3dn執行個體可用於Amazon SageMaker服務，僅在美東北維吉尼亞還有美西奧勒岡區域開放，其他區域還要再等一等。</p> </div></div></div>
2019/10/8 17:20作者李建興https://www.ithome.com.tw/news/133511
又有28個中國組織被川普列入實體名單，包括4家AI新創
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業暨安全局（Bureau of Industry and Security，BIS），本周<a href="https://s3.amazonaws.com/public-inspection.federalregister.gov/2019-22210.pdf" target="_blank">再將28個中國組織納入禁止出口的實體名單（Entity List）</a>，原因是這些組織參與了違反人權的鎮壓行動，大規模地任意拘留或監控維吾爾族與穆斯林族群，其中有20個為中國各地的公安局，<a href="https://www.bloomberg.com/news/articles/2019-10-07/u-s-blacklists-eight-chinese-companies-including-hikvision-k1gvpq77" target="_blank">另有8家私人企業</a>，其中的<a href="https://www.buzzfeednews.com/article/ryanmac/trump-us-blacklist-megvii-sensetime-yitu-xinjiang" target="_blank">4家為人工智慧新創業者</a>，包括1家語音辨識業者與3家人臉辨識業者。</p> <p>此波被中國列入實體名單的中國業者包括：大華科技（Dahua Technology）、海康威視（Hikvision）、科大訊飛（iFLYTEK）、曠視（Megvii Technology）、商湯科技（Sense Time）、美亞柏科（Xiamen Meiya Pico Information）、依圖科技（Yitu Technologies）及頤信科技（Yixin Science and Technology）。</p> <p>其中，大華為視訊監控設備與服務供應商。海康威視是中國的監視器製造大廠。科大訊飛則是中國的AI技術開發商，專門發展語音辨識技術，並協助中國政府建立民眾的語音生物統計資料庫。曠視亦為AI技術開發商，主要開發人臉辨識技術，也曾發表<a href="https://www.ithome.com.tw/news/131855" target="_blank">狗臉辨識服務</a>。商湯亦為基於AI的人臉辨識、深度神經網路新創，在去年曾以45億美元的身價完成6億美元的C輪融資，被譽為全球最有價值的AI獨角獸。美亞柏科為中國的電子資料取證及網路安全產品暨服務的供應商，主要服務對象為中國政府機關。依圖則是中國的人臉辨識大廠，也具備智慧語音與智慧城市的建造能力。頤信科技開發的是野外監控系統、無線視訊監控設備，並提供數據分析。</p> <p>在上述遭到美國禁止出口產品或服務的中國企業中，大華、海康視威與頤信科技屬於監控設備製造商，美亞柏科負責取證，而科大訊飛、曠視、商湯及依圖皆為AI新創，並有3家提供人臉辨識技術。</p> <p>川普除了針對新疆議題對中國出手之外，外傳川普在美國也被要求支持香港民主運動，但目前川普仍然以靜待變，表示希望日趨暴力的香港議題，最終能以人道方式解決。</p> </div></div></div>
2019/10/8 17:30作者陳曉莉https://www.ithome.com.tw/news/133517
紐西蘭初級衛生組織Tū Ora遭駭客入侵，外洩100萬名用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐西蘭的初級衛生組織Tū Ora Compass Health官網在今年8月遭到駭客亂塗鴨，追查之下才知道駭客早在2016年就曾入侵該站，可能有100萬用戶的資料外洩。</p> <p>初級衛生組織（Primary Health Organisation，PHO）是紐西蘭政府出資成立的非營利組織，宗旨在於改善人民的健康狀況，透過醫療中心所提供的病患數據進行分析，再回饋給醫療中心。全紐西蘭設有30個PHO，Tū Ora僅是其中之一，它存放了Wellington、Wairarapa與Manawatu等三大紐西蘭地區的民眾資料，雖然這些地區的總人口數只有64.8萬，但若包括已故或離開相關區域的人口，資料庫中存有從2002年迄今約100萬的民眾資料。</p> <p>儘管<a href="https://www.compasshealth.org.nz/News/Media-Releases/Cyber-Security-Incident-Media-Release" target="_blank">證實了駭客曾在2016年至今年3月間入侵該站</a>，但Tū Ora並不確定駭客的意圖，也不知駭客是否存取了病患的資料庫，而這些資料庫主要存放了民眾的姓名、生日、地址、種族與健康指數等，也有少數的醫療資訊，但並沒有任何的財務資訊、護照號碼或駕照號碼等。</p> <p><a href="https://www.compasshealth.org.nz/Cyber-Security-Incident" target="_blank">Tū Ora表示</a>，他們在遭到駭客塗鴨之後立即切斷伺服器的連線，已與國家網路安全中心及執法單位合作展開調查，並強化系統的安全性，包括把官網移到新平台、加強防毒與電子郵件掃描能力，導入意外分析與管理系統，導入防火牆，還設立了安全操作中心以便未來能即時回應這類的安全威脅，另也警告當地用戶要小心身分竊盜與詐騙。</p> </div></div></div>
2019/10/8 15:10作者陳曉莉https://www.ithome.com.tw/news/133509
Adobe將關閉委內瑞拉的所有帳號以遵守美國制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在今年8月5日發布一<a href="https://www.treasury.gov/resource-center/sanctions/Programs/Documents/13884.pdf" target="_blank">行政命令（executive order）13884</a>，禁止美國業者與委內瑞拉之間的任何交易，這使得<a href="https://helpx.adobe.com/la/x-productkb/policy-pricing/executive-order-venezuela.html" target="_blank">Adobe近日宣布將停用所有位於委內瑞拉境內的帳號</a>，估計至少影響該國境內的數千名用戶。</p> <p>委內瑞拉的使用者<a href="https://twitter.com/materoneill/status/1181371644796911619/photo/1" target="_blank">最近收到了Adobe寄出的郵件</a>，指稱<a href="https://www.bleepingcomputer.com/news/software/adobe-to-ban-users-from-venezuela-due-to-us-executive-order/" target="_blank">為了遵守美國對委內瑞拉的制裁</a>，將無法再繼續提供軟體及服務予該國境內的使用者，委內瑞拉用戶也無法再購買Adobe的新服務或產品，要求該國用戶要在10月28日以前下載存放在Adobe帳號中的內容，且之後即無法再存取其Adobe帳號、軟體與服務。</p> <p>Adobe表示，13884行政命令並無截止日，該命令何時撤銷完全仰賴美國政府，Adobe將會密切觀察相關動態，一旦被撤銷就會儘速恢復委內瑞拉境內的服務。</p> <p>此外，Adobe還說無法退款給該國境內的用戶，因為此一行政命令明文規定禁止所有的交易，包括銷售、服務、支援及退款等。</p> <p>川普針對委內瑞拉發表行政命令的主要原因，為該國總統Nicolas Maduro與其黨羽的權力掠奪行為，並指責Maduro任意並非法逮捕委內瑞拉的公民，干預言論自由，侵犯人權。</p> <p>想當然爾，此事在社交平台上掀起了熱議，有人說這讓委內瑞拉境內任何仰賴Photoshop或Acrobat的非政府組織或獨立媒體，都失去了重要的工具，也有人覺得美國政府的制裁對委內瑞拉境內的少數誠實企業並不公平，人權觀察組織Human Rights Watch主任José Miguel Vivanco則說，這樣的制裁方式只會削弱對抗專制政府之公民社會的能力。</p> </div></div></div>
2019/10/8 14:25作者陳曉莉https://www.ithome.com.tw/news/133508
Google要求Android 9/10裝置都要內建數位健康程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不管是Google或蘋果都開始注重人們的數位健康，在作業系統中新增數位健康功能，而<a href="https://www.xda-developers.com/google-digital-wellbeing-parental-controls-required-android/" target="_blank">XDA-Developers更在本周引用Google文件指出</a>，Google要求OEM業者在推出採用Android 9（Android Pie）及Android 10的新裝置，或者是要升級到Android 9及Android 10時，都必須配備數位健康解決方案，可以是Google的Digital Wellbeing與Family Link，也能是業者客製化的解決方案。</p> <p>Google出版該文件的時間點為今年的9月3日，與Google發表Android 10同一天。</p> <p><a href="https://www.androidpolice.com/2019/10/07/google-mandates-digital-wellbeing-for-all-android-devices-going-forward/" target="_blank">根據Google的最新規定</a>，舉凡要預載Google Mobile Services（涵蓋Google Play、搜尋、地圖與Gmail等）的Android裝置，都必須內建家長控制與數位健康解決方案。</p> <p>Google先前就已打造了Family Link與數位健康（Digital Wellbeing）工具，其中的Family Link屬於家長控制功能，可訂定基本的家庭使用規則，可用來控制裝置的使用時間並管理子女瀏覽的內容，Family Link提供了Android與iOS版本的程式，但所管理的裝置則只能是Android。</p> <p>至於數位健康程式則能用來查看使用各種應用程式的頻率、收到的通知數量、查看手機的頻率，也能設定應用程式的使用限制，或是在夜間時提醒使用者放下裝置，亦可一鍵關閉所有的通知音效。</p> <p>依照Google的規定，Android 9與Android 10就算不內建Family Link與數位健康，也應內建業者自製的數位健康解決方案。</p> </div></div></div>
2019/10/8 14:10作者陳曉莉https://www.ithome.com.tw/news/133507
macOS Catalina正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2019/10/macos-catalina-is-available-today/" target="_blank">蘋果在10月7日正式釋出</a>新一代的macOS<a href="https://www.apple.com/tw/macos/catalina/" target="_blank"> Catalina作業系統</a>，它除了把iTunes拆成Apple Music、Apple Podcasts與Apple TV三款程式之外，新增了遊戲訂閱服務Apple Arcade，還有可以iPad作為延伸螢幕的Sidecar功能，並支援Voice Control語音控制功能，而針對開發人員所設計的Catalyst專案，則能輕易把iPad程式移植到macOS Catalina上。</p> <p>Apple Music、Apple TV與Apple Podcasts等3個新程式，可讓使用者存取原本在iTunes中的音樂、電視節目/電影及Podcast等內容，目前Apple Music提供5,000萬首音樂，而Apple TV則能存取逾10萬部電影與電視節目，蘋果原創內容訂閱服務Apple TV+也會在11月1月現身，至於Apple Podcasts現在約有超過70萬種節目。</p> <p>全新的Apple Arcade提供超過100款獨家遊戲，每月訂閱費用為4.99美元（台灣為170元新台幣），最多可支援6名家庭用戶，目前提供1個月的免費試玩，且可同時相容於Mac、iPhone、iPad與Apple TV等裝置。</p> <p>新的語音控制是項可特別造福身障者的功能，使用者可以用語音輸入文字、開啟程式及操作程式，標榜可以完全利用語音來控制Mac電腦。</p> <p>而Catalyst專案則可協助開發人員將iPad程式移植到Mac上，儘管平台不同，但可採用一致的原始碼，還能替Mac版本新增功能，讓iPad程式充份利用Mac的架構與螢幕，也能配合現有的Mac程式，在不同的程式間拖曳內容。</p> <p>已可在Mac上使用的iPad程式包括Twitter、TripIt、Post-It、GoodNotes與Jira等，估計未來將有更多的iPad程式躍上macOS平台。蘋果也鼓勵開發人員採用Catalyst專案，以讓他們的iPad程式能夠觸及全球超過1億的Mac用戶。</p> <p>macOS Catalina相容於2012年中以後推出的Mac裝置，使用者可透過軟體更新取得或自Mac App Store下載。</p> </div></div></div>
2019/10/8 12:10作者陳曉莉https://www.ithome.com.tw/news/133506
英國政府警告：Pulse Secure、Palo Alto和Fortinet的VPN存在APT攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/alert-vpn-vulnerabilities">英國國家網路安全中心（National Cyber Security Centre，NCSC）警告</a>Pulse Secure、Palo Alto和Fortinet的VPN使用者，這些VPN存在可被駭客用作APT（Advanced Persistent Threat）攻擊的漏洞，攻擊行動範圍擴及英國以及國際組織，影響的部門包括政府、軍事、學術、商業以及醫療保健。</p> <p>這些SSL VPN產品存在可以讓攻擊者任意檢索檔案的漏洞，使用者存在身分驗證憑證洩漏的疑慮，NCSC提到，攻擊者可以利用這些竊取的憑證連接至VPN，並且更改VPN配置或是連接組織內部基礎設施，而且未經授權的VPN連接，也提供了攻擊者存取根殼層需要的執行特權。</p> <p>Pulse Secure的VPN產品Pulse Connect Secure被NCSC找出了兩個漏洞，分別是CVE-2019-11510預驗證任意檔案讀取的漏洞，以及CVE-2019-11539驗證後命令注入漏洞，而Fortinet則有三個漏洞被用於APT攻擊，CVE-2018-13379預驗證任意檔案讀取漏洞，還有CVE-2018-13382漏洞允許未經身分驗證的攻擊者變更SSL VPN入口網頁的使用者密碼，CVE-2018-13383漏洞則可以讓攻擊者存取路由器上執行的殼層。另外，Palo Alto的CVE-2019-1579漏洞，則是可以讓未經身分驗證的攻擊者，在GlobalProtect Gateway Interface以及GlobalProtect Portal上，遠端執行任意程式碼。</p> <p>NCSC建議懷疑遭到入侵的組織，應該撤銷被盜走的憑證資料，最直接的方式就是重置修補系統漏洞之前的憑證，防止攻擊者利用這些憑證進行未經授權的存取，對於確定遭到APT攻擊者鎖定的組織，都應該重新檢查VPN的配置，包括SSH authorized_keys檔案、新的iptables規則，以及連接客戶端上執行的命令，組織可以直接以配置備份還原這些設定。</p> <p>組織也應該監控以及分析日誌，以找出可疑的IP地址連接，尤其是成功連接或是存取大量資料的IP。當組織懷疑遭到入侵，卻找不到任何具體證據，則應該恢復原廠設定，NCSC提醒，使用者應該為VPN服務啟用雙因素驗證，以避免受到密碼重送攻擊，而且也應該禁用不需要或未使用的功能，以減少VPN被攻擊面。</p> </div></div></div>
2019/10/8 10:10作者李建興https://www.ithome.com.tw/news/133480
DNS-Over-HTTPS弊大於利？荷蘭國家網路安全中心與亞太網路資訊中心相繼提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/132939" target="_blank">Mozilla</a>與<a href="https://www.ithome.com.tw/news/131529" target="_blank">Google</a>相繼宣布要在Firefox與Chrome瀏覽器中導人DoH（DNS-over-HTTPS）之後，外界質疑的聲浪就不曾斷過，而近日荷蘭國家網路安全中心（NCSC）與亞太網路資訊中心（APNIC）亦出面批評DoH，前者聲稱DoH將讓組織更難執行安全控制，後者則說DoH不利隱私，呼籲外界不要對DoH有著過度期待。</p> <p>DoH就是傳遞網域名稱系統（DNS）解析請求時採用HTTPS加密協定，而非使用標準的明文請求，因而可以避免使用者的請求受到審查、監控或遭到竄改，標榜能夠強化使用者的隱私與安全。</p> <p>不過，這些特色同樣也帶來了困擾。例如<a href="https://www.bleepingcomputer.com/news/security/dutch-govt-explains-the-risks-behind-dns-over-https-move/" target="_blank">NCSC便說</a>，那些仰賴過濾機制來進行安全監控的組織或企業，將因此失去安全控制能力，而得將網域名稱解析的任務交給第三方，可能因此造成資訊外洩，曝露組織內部的資源命名，甚至破壞內部網路的連結。</p> <p>而APNIC則說明，DNS（網域名稱系統）通常是由網路的操作者所提供，可能是ISP業者、可能是電信業者、可能是企業主，或者是邪惡的公開Wi-Fi，但DoH基本上只能阻止中間人攻擊，並無法阻止DNS伺服器供應商檢視、封鎖或竄改DNS資料。</p> <p>此外，APNIC指出，其實在4種情況下使用者所造訪的網站都會以明文傳輸，DNS只是其中之一，有些瀏覽器允許使用者以HTTP提出請求，再轉至HTTPS；或者是TLS經常必須以明文傳輸使用者打算連結的網站名稱；為了確保TLS傳輸是有效的，瀏覽器與TLS會執行OCSP來查找CA供應商，而此一查找內容亦為明文；且研究顯示，有95%的網站只要透過IP位址就能確認它們的身分，且IP位址無法加密。</p> <p>除了NCSC與APNIC之外，<a href="https://www.zdnet.com/article/dns-over-https-causes-more-problems-than-it-solves-experts-say/" target="_blank">ZDNet也整理了</a>許多安全研究人員對DoH的擔憂。除了上述的DoH並無法阻止ISP業者追蹤使用者、可能破壞組織的安全監控之外，還有人認為它會削弱網路安全，因為當把查詢流量加密之後，便無法再利用黑名單或查詢資料，來判斷使用者是否連結到惡意網站，因而助長網路犯罪。</p> </div></div></div>
2019/10/8 10:30作者陳曉莉https://www.ithome.com.tw/news/133499
OpenJS基金會接受Node版本管理器NVM成為第一個孵化器專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年年初的時候，JS基金會與Node.js基金會正式合併成為OpenJS基金會，以促進JavaScript生態系的關鍵專案發展，而現在該基金會宣布，<a href="https://openjsf.org/blog/2019/10/03/openjs-foundation-welcomes-first-project-node-version-manager-nvm/">Node版本管理器（Node Version Manager，NVM）將成為OpenJS基金會的第一個孵化器專案</a>。</p> <p>NVM是最熱門用來安裝Node.js的方法，也是最廣泛用來管理多個已安裝Node.js版本的工具，NVM是一種POSIX相容的bash腳本，可用於管理多個啟用的Node.js版本。由於用戶建立Node.js應用程式的時候，在不少情況下需要使用不同版本的Node.js，而透過使用NVM，則能方便地安裝和管理不同的版本。</p> <p>官方表示，NVM加入OpenJS基金會將會獲得更好的支援，向使用者提供更穩定的服務，另外，NVM也可依照治理原則以及行為準則運作，確保維護人員交替時，專案仍然可以維持穩定。Node.js發布工作組成員Bethany Griggs提到，NVM是構成Node.js生態系的重要部分，能讓升級Node.js新版本或是在現有版本間切換更簡單，在開發不同Node.js版本的專案時特別有用。</p> </div></div></div>
2019/10/8 10:50作者李建興https://www.ithome.com.tw/news/133491
熱門UI設計工具Figma的擴充套件系統存在漏洞，官方抽換底層基礎架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>UI設計工具Figma最近才發布的擴充套件系統，就發現其應用的沙盒技術Realms Shim存在數個漏洞，這些漏洞可能使程式碼逃脫沙盒，雖然經過官方的檢查，沒有發現任何Figma套件曾經利用漏洞的跡象，但為了安全起見，<a href="https://www.figma.com/blog/an-update-on-plugin-security/">官方更換了整個套件系統的底層架構</a>，確保類似的問題不會再發生。</p> <p>官方提到，Figma套件系統的漏洞一部分是在GitHub的公開議題（Issue）上揭露，另一部分則是以私密的GitHub安全通報發布，Realms Shim技術的開發廠商Agoric在發現漏洞的第一時間，通知了所有使用Realms Shim的開發團隊，由於第一個漏洞在GitHub公開揭露，Agoric當天隨即修補問題，Figma也更新了Figma擴充套件系統的Realms Shim版本。</p> <p>而剩下在GitHub安全通報揭露的漏洞，則只有少數的組織才可以存取，他們與Agoric合作，花了一個星期修復漏洞，同時確保漏洞的資訊沒有公開，並且仔細審核推出的套件，尋找可能利用漏洞的Figma擴充套件。</p> <p>雖然完成了Realms Shim的漏洞修補工作，但是官方提到，他們為了安全起見，還是修改了擴充套件執行JavaScript程式碼的方式，不再使用Realms Shim，而是使用QuickJS，這是一種以C語言撰寫，並交叉編譯成WebAssembly的JavaScript VM，這原本是作為當Realms Shim方法不可用時的替代方案，而現在Figma透過切換基礎架構快速的啟用備份計畫。</p> <p>Figma提到，這次Realms Shim漏洞發生的原因，在於Realms Shim搞混了沙盒內部物件以及外部物件，因此Realms Shim對所有JavaScript程式碼使用相同的VM，而新的實作就完全不會有這樣的問題，因為是編譯成WebAssembly的JavaScript VM，就不可能有將內外物件搞混的狀況，因為物件表達的形式完全不同。</p> <p>而Figma選用Realms Shim技術的原因，是因為Realms Shim效能出色，而且讓擴充套件除錯工作變得簡單，由於在Realms Shim中的程式碼仍然使用瀏覽器的JavaScript VM，因此執行速度就跟一般的JavaScript一樣。Figma表示，雖然替代方案QuickJS會影響部分擴充套件的效能，但是本質上卻更安全。</p> </div></div></div>
2019/10/8 10:55作者李建興https://www.ithome.com.tw/news/133492
英國政府選用OpenAPI 3規範描述RESTful API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://technology.blog.gov.uk/2019/10/02/improve-csvs-and-api-descriptions-with-these-open-standards-board-recommendations/">英國政府開放標準委員會在GitHub接受貢獻者提案</a>，將採用RFC 4180作為發布表格的標準，使得資料能夠更加便於發布以及重新使用，而在RESTful API描述上，則採用OpenAPI 3的規範，增加API描述的一致性與準確度。</p> <p>在2016年的時候，社群就曾經要求，使用第三版本的OpenAPI規範來描述RESTful API，但是當時普遍認為規範太新，沒有足夠的工具支援，也不知道是否會得到用戶的支持而作罷，現在開放標準委員會在OpenAPI 3成熟後重新審查了這項提案，由於這項規範不適用於所有API，因此沒有強制執行，僅建議各單位使用該規範。</p> <p>OpenAPI 3之所以重要，GDS提到，無論以什麼程式語言開發的API，OpenAPI 3都能幫助使用者產生準確最新的API參照文件，且能夠驗證、版本化、維護和更新所產生的文件，而文件中使用相同的API描述，也能減少其他使用者理解API的時間，進而在政府中提升API的採用率。</p> <p>由於OpenAPI 3本來就是描述RESTful API最常見的方法，而且支援OpenAPI 3的工具持續發展，在2016年擔心的缺點都已經不存在，因此開放標準委員會現在決定採用OpenAPI 3，以鼓勵API團隊產生機器可讀且和語言格式無關的定義文件，讓開發人員無論熟悉哪一種開發語言，都能輕易地理解API的功能。</p> <p>社群在GitHub上提出的另一個議題（Issue），則是要求開放標準委員為CSV訂定標準格式。RFC 4180是CSV檔案標準格式的簡單文件描述，CSV（Comma Separated Value）格式以純文字的形式儲存表格資料，包括數字和文字，整個檔案以任意數量的紀錄組成，紀錄之間以換行符號分隔，每筆紀錄則由欄位組成，欄位之間通常以逗號作為分隔符號，是軟體之間常用來交換資料的格式。</p> <p>負責英國政府進行數位轉型的機構GDS（Government Digital Service）提到，GOV.UK上的資料表格通常會以CSV與試算表格式一起發布，但是缺乏CSV標準將會為重用資料的人帶來不少麻煩，因此社群便在英國政府的GitHub上發出議題，要求標準化CSV。</p> <p>而經過廣泛討論之後，英國司法部架構師David Read和其他貢獻者共同進一步發展了RFC 4180的配置文件，由於RFC把部分的標準留做可選用項目，因此這些貢獻者在配置文件中，明確定義了英國政府標準的使用方式，包括字元編碼必須使用UTF-8，以及資料中必須包含標題列等規則。標準的CSV文件可供任何工具直接使用，不需要進行預先編輯，而這將能讓英國政府的開放資料更容易被使用，也節省資料分析師的時間。</p> </div></div></div>
2019/10/8 10:10作者李建興https://www.ithome.com.tw/news/133479
執行紅隊演練，別受制於手上資訊與已知手法、漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業試圖找出整體資訊系統弱點的方法裡，紅隊演練（Red Team）可說是打破滲透測試只鎖定單一系統等範圍限制，然而，在紅隊演練的過程裡，負責找出系統弱點的紅隊隊員，很可能因為判斷的思維上，過於依賴自身經驗或是熟悉的工具，而可能錯過找到弱點的情況。戴夫寇爾資安研究員丁諭祺（Ding）針對這樣的現象，於今年的DEVCORE Conference上，指出演練時需要留意的5項技巧，希望執行人員能夠在專案有限的時間裡，透過駭客的思維找出系統漏洞。</p> <p>基本上，執行紅隊演練的從業人員，不只需要擁有專精的技術，還必須在指定的時間和範圍內，進行通盤的檢查，因此，迫於這些限制，雖然他們已經精通有關技術，還是很可能因為自身的經驗，而影響找尋系統弱點的方向。</p> <h2>盲點源自於範圍的局限</h2> <p>究竟那些事情會影響紅隊隊員的調查方向呢？丁諭祺說，以企業委由資安公司執行紅隊演練的專案文件內容為例，通常會載明雙方的聯絡窗口資訊、執行紅隊演練的時間、目標範圍，有些公司還會提供測試帳號等等。然而，光是文件寫明的演練範圍來說，就可能出現文件寫明是單一網站，企業卻覺得範圍應該是整個網域，而這種認知上的差異，也同樣會出現在紅隊的隊員之間。</p> <p>例如，演練網域和IP位址對應上，並非一對一的情況，紅隊隊員甚至可能要探究內容傳遞網路（CDN）背後的真實IP位址，或是開發者與主機資訊等，導致從不同管道進行調查，結果可能會大不相同。再者，若是遇到有些公司主動提供測試帳號，紅隊隊員也可能因為有現在帳號可用，而遺漏檢查系統的帳號申請流程。</p> <p>針對這些可能會左右調查方向的細節，丁諭祺總共歸納出5大類型的迷思，包含過於信任情資而產生的誤判、自我局限調查的範圍，或是太過依賴熟悉的工具與方法，而導致找出漏洞的過程裡，全程幾乎只使用一種招式。</p> <p>再者，資安人員也可能在已經進行偵察過後，忽略時空變化所產生的環境差異，認為調查範圍沒有會被攻擊之處。有時候因為企業部署了各式的資安防護措施，資安人員可能過於著重在尋找繞過的方法，使得思考方向大幅受到限制。</p> <p>在這些類型的盲點中，總體來說，其實幾乎都圍繞著一件事，那就是資安人員可能會過度相信自己能夠掌握的資訊，模糊焦點而影響判斷。以局限演練範圍來說，我們可能過於相信專案上所描述的內容，再加上自己理解的情蒐範圍，而導致可能錯失有用的偵察之處；時空差異則是另一種演練範圍的限制，使得紅隊隊員檢查過後，忽略企業系統運作中，存在負載平衡與高可用性的機制，使得他們難以找到僅發生在部分環境的弱點。</p> <p>至於過於在意系統的防禦機制，也是源自於紅隊隊員調查的情報，因為過於想要以技術來突破防禦措施，並未思考其他可能有機會拿來利用的管道。</p> <p>而對於紅隊人員只使用一招打天下的慣性，也會錯失攻擊的可能性。由於資安研究員專精特定領域，對於其他不甚了解的部分，可能選擇使用熟悉的單一方法調查系統漏洞，導致必須經過長途跋涉，耗費大量的時間和資源才能達到目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_oneskill.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_oneskill.jpg" style="width: 590px;" /></a></p> <blockquote><p>紅隊隊員在發現漏洞後，馬上使用自己專精的方法著手，雖然能夠達到目的，但需要耗費大量的時間和資源（紫色箭頭程序），因此丁諭祺認為，要先全盤調查並記錄，找到最佳路徑，才能事半功倍（綠色箭頭程序）。（攝影／周峻佑）</p> </blockquote> <h2><strong>癥結點在於過度相信已掌握資訊</strong></h2> <p>一般而言，在紅隊演練的過程裡，紅隊隊員尋找系統漏洞時，相當倚賴情資所提供的訊息。然而，紅隊隊員很可能掌握到過時情資，或是依據自己的經驗，再加上過度聯想，認為不會有漏洞而略過調查。因此他認為，紅隊隊員對於手上握有的情資，必須隨時保持懷疑的態度，非但不能一味相信，甚至還要想辦法親自驗證才行。</p> <p>丁諭祺說，即使是測試工具，也可能會出現執行結果不正確的情形。像是資安人員經常會將惡意軟體的特徵加入字典檔裡，卻可能因為工具的臭蟲，而導致沒有發揮作用，偵測不到前述已納入的惡意軟體。</p> <p>實務上可能會遇到的情形會是如何？像是紅隊隊員得知受測單位裡，握有資訊系統管理權限的工程師，打算針對他進行網路釣魚或是撞庫攻擊，但實際上，這名工程師卻已經在2個多月前離職。這樣的情資，便可能影響該名隊員執行演練工作的進度，還有可能繞了一大圈之後，才知道取得的情資有誤。</p> <p>而針對漏洞的部分，也不能把某些事情視為理所當然。丁諭祺指出，紅隊隊員很可能因為某個程式庫已有很多研究員做過分析，執行紅隊演練的單位也執行多次滲透測試，就認為應該不會有漏洞。</p> <p>對此，丁諭祺舉出兩個戴夫寇爾團隊執行演練時，親身經歷的案例，在第一個案例裡，戴夫寇爾資安團隊已經透過GitLab伺服器，取得攻擊目標伺服器的原始碼，並且找到許多漏洞，但在此同時，他們卻不能找到實際能夠用來攻擊伺服器的弱點，而無法取得伺服器的Shell。</p> <p>後來發現能存取的關鍵在於，他們在Git的忽略檔案清單（.gitignore）的規則裡，找到一個名為phpinfo的檔案，疑似是開發過程的測試檔案，已經被開發者找到會洩漏資訊的情形，並寫到報告的草稿之中。解析其中的內容後，他們發現含有危險函式EVAL，因此便能搭配前述的漏洞，發動攻擊。</p> <p>第二個案例，則是針對採用TCPDF函式庫的網站，戴夫寇爾資安團隊鎖定這個函式庫已知的CVE漏洞，進行檢測後發現沒有問題，他們便覺得，上述可將訂單匯出為PDF檔案的函式庫，廣受許多電子商城採用，應該不會存在重大問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_cvedetails.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_cvedetails.jpg" style="width: 590px;" /></a></p> <blockquote><p>沒有CVE漏洞就真的毫無弱點嗎？針對案例中所提到的TCPDF函式庫，丁諭祺說，在資安人員常用的CVE Detals網站上，只找得到一個在2017年發現的列管漏洞。紅隊隊員很可能測試過這個CVE後，就誤以為系統的這個函式庫沒有問題。（攝影／周峻佑）</p> </blockquote> <p>然而在進一步檢測之後，他們卻發現，使用者能在訂單裡輸入惡意程式碼，並且在匯出訂單的PDF文件時，藉由輸出副檔名為.PHP的檔案，執行任意指令，進而取得伺服器的Shell。</p> <p>從這兩個案例中，丁諭祺指出了幾個執行過程的盲點，首先，他們以為，從GitLab取得的原始碼，就是伺服器上所有的檔案，而忽略部分測試檔案並不會上傳到程式碼代管平臺。其次，他們則是認為，開發者已經編寫了分析報告，就代表漏洞已經修補完成。</p> <p>而在TCPDF函式庫的部分，則是偏重已經通報CVE的漏洞，而沒有留意可能在坊間流傳漏洞，丁諭祺說，尤其是需要結合多個環節才能濫用的攻擊手法，紅隊演練的隊員更容易輕忽。</p> <h2><strong>攻防不光是針對系統，也考驗人性</strong></h2> <p>比較特別的部分是，紅隊隊員也可以反過來運用系統裡的防禦機制，進一步得到所需的資訊，而成功在專案結束前達成目標。其中的一個例子，便是他們發現網站伺服器的任意讀檔漏洞，但取得所需的絕對路徑，竟然是透過防毒軟體的事件記錄資料──他們刻意上傳了惡意軟體，觸發伺服器裡的防毒軟體警示通知，然後透過事件記錄內容，得到存放網站檔案的Web資料夾本機路徑。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_spywarepath.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_spywarepath.jpg" style="width: 590px;" /></a></p> <blockquote><p>紅隊隊員想要突圍找出系統漏洞，就只能「繞過」或「打穿」防毒軟體嗎？丁諭祺舉出一個案例，就是利用網站伺服器裡安裝的防毒軟體，盡忠職守將惡意軟體攔截，他們得到伺服器本機裡，存放所有網站檔案的Web資料夾完整路徑。（攝影／周峻佑）</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_ofcscanini.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_ofcscanini.jpg" style="width: 590px;" /></a></p> <blockquote><p>除了前述提到能變相利用防毒軟體之餘，丁諭祺也指出其他相關的情資收集應用，像是能從防毒軟體的組態設定檔案中，得知企業環境中的代理伺服器參數，或是得到反安裝密碼，進而停用防毒軟體等。值得注意的是，雖然這裡的案例中，企業部署的是趨勢科技OfficeScan，但丁諭祺表示，由於各廠牌的企業版防毒軟體都會留下執行記錄，因此這裡提到的手法，可以運用到不同廠牌的防毒軟體上。（攝影／周峻佑）</p> </blockquote> <p>另一個例子，則是在他們攻下企業的重要服務主機後，卻無法取得AD網域管理員的權限，這時他們利用觸發防毒軟體警示的方法，使得AD網域管理員登入系統察看，再從中側錄到他的帳號和密碼，進而得到客戶的機密資料，丁諭祺說，整個過程僅花費不到20分鐘，在專案結束的最後一刻達標，宛如科幻電影裡演的情節，因此他認為，由於防禦機制是人想出來的，紅隊演練不完全只有針對系統本身，也有存在人性探察的成分。</p> <p><a href="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_adadmin.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcoreconf-redteam_adadmin.jpg" style="width: 590px;" /></a></p> <blockquote><p>觸發防毒軟體還能釣出AD網域管理員的帳號密碼！丁諭祺舉出他們在距離演練的時限20分鐘之內，利用這種方式，讓管理者上線而達成目標。（攝影／周峻佑）</p> </blockquote> </div></div></div>
2019/10/7 10:46作者周峻佑https://www.ithome.com.tw/news/133469
GalactiCrypter勒索軟體有解了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Emsisoft上周釋出勒索軟體<a href="https://www.emsisoft.com/ransomware-decryption-tools/galacticrypter" target="_blank">GalactiCrypter的解密工具</a>，此一在2016年就現身的勒索軟體迄今仍在網路上流傳，它利用AES-256加密受害者電腦上的檔案，若檔案名稱被加上ENCx45cR，就是已遭加密，並向受害者勒索與150美元等級的比特幣。</p> <p>不過，Emsisoft上周釋出了免費的GalactiCrypter解密工具，可用來回復遭到GalactiCrypter加密的檔案，同時再度呼籲受害者不論如何都不該支付贖金。</p> <p>在執行<a href="https://www.emsisoft.com/ransomware-decryption-tools/howtos/emsisoft_howto_galacticrypter.pdf" target="_blank">GalactiCrypter解密工具</a>之前，受害者必須先移除系統上的勒索軟體，否則只會不斷地被加密，假設系統是因Windows遠端桌面（Windows Remote Desktop）功能而感染了勒索軟體，研究人員則建議受害者應該變更所有可遠端登入的用戶密碼，並檢查本地端使用者帳號的完整性。</p> </div></div></div>
2019/10/7 15:25作者陳曉莉https://www.ithome.com.tw/news/133476
創投a16z：軟體已經攻佔全世界，但開源碼正在進佔軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開源軟體剛問世的時候，幾乎沒有創投會對它感興趣，然而，美國創投業者a16z（正式名稱為AH Capital Management）合夥人<a href="https://a16z.com/2019/10/04/commercializing-open-source/" target="_blank">Peter Levine表示</a>，開源碼已從社群走向商業化，且現在正是建立開源碼業務的最佳時機，人們正進入開源碼的文藝復興時期。</p> <p>Levine也曾是一名開源碼工程師，在開源碼領域浸淫了三十幾年，他說，開源碼一開始是個邊緣的活動，卻逐漸成為軟體開發的中心。早期還沒有被稱為「開源碼」（open source）的時候，只被叫做自由軟體，當時只圍繞在Linux/Unix的 [~}$ BIFF的指令，可在收到新郵件時跳出通知，而這個指令的名稱只是因為柏克萊一名開發人員養的狗（Biff）會對郵差吠叫，在那個開源碼不受重視的年代，如此重要的指令卻是以狗來命名的。</p> <p>然而，如今的開源碼才正要開始大放異彩。</p> <p>Levine把開源碼的發展歸類為幾個階段，一是尚被稱為自由軟體的Open Source 0.0階段，那是學術界及業餘人士秉持著免費的精神來打造軟體的時代；隨著Linux在1991年發表而步入了Open Source 1.0階段，而開源碼這個名稱則是在1998年才出爐。</p> <p>Open Source 1.0階段才真正出現第一波開源碼的商業模式，是由紅帽（RedHat）與MySQL等業者，開始提供基於自由軟體的付費支援及服務。</p> <p>自2000年代中期之後，開源碼的價值逐漸因為雲端運算的興起而轉移至軟體即服務（software-as-a-service，SaaS），因為雲端使用者並不知道或不在乎雲端代管業者的底層架構是基於開源碼或私有軟體，讓開源碼的價值逐漸跟上了私有軟體業者。</p> <p>Levine表示，當昇陽在2008年以10億美元買下mySQL時，當時的他認為這已是任何開源公司所能獲得的最大利益，但事實並非如此，之後不管是Cloudera、MongoDB、Mulesoft、Elastic或GitHub都創造了數十億美元的價值，微軟以75億美元買下了GitHub，IBM更以340億美元收購了紅帽。</p> <p>而現在的開源碼已進入了3.0階段，每家軟體公司都有開源碼的成份，若說軟體已經攻佔了世界，那麼開源碼正在進佔軟體。</p> <p>Levine解釋，幾乎所有主要的科技公司，從臉書到Google，都有開源軟體作為支撐，亦持續不斷地打造自己的開源專案，例如Airbnb已建立超過30個開源專案，而Google甚至超過2,000個。這樣的良性循環將延伸到新興的AI、開源資料與區塊鏈，新一代的開源商業模式將包括廣告支持、資料驅動營收與加密代幣。</p> <p>Levine說，他相信Open Source 3.0將超越大家曾經定義的開源業務，開源指的不再是紅帽、Elastic、Databricks與Cloudera，而是臉書、Airbnb、Google，以及其它以開源碼作為重要基礎的企業，從這個角度來看，開源碼的文藝復興才正在起步，開源軟體的市場與可能性也將遠大於我們曾經意識到的。</p> </div></div></div>
2019/10/7 15:45作者陳曉莉https://www.ithome.com.tw/news/133477
蘋果遭開發商控Sign with Apple侵權，還將其app從Mac App Store下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在iOS 13推出隱私登入功能Sign with Apple強化用戶保護，但上周一家小型郵件軟體開發商Blix向德拉瓦州法院<a href="https://www.scribd.com/document/428792774/Blix-v-Apple" target="_blank">控告蘋果侵犯軟體專利</a>，而且蘋果還涉嫌濫用其軟體市集的主宰地位，將其軟體從Mac App Store下架。</p> <p>Blix指控，Sign with Apple是抄襲該公司郵件軟體Blue Mail中的功能。Blix創辦人Ben Volach投入開發讓使用者利用可管理的公開「地址」相互通訊、同時不洩露私有郵件信箱的技術，這項技術今年7月取得編號9,749,284號的美國專利。Blix的多帳號郵件管理app BlueMail去年加入名為「Share Email」的功能，控告文件指出，本功能基本上是其專利技術的實作。然而蘋果卻在未取得該公司同意、未支付授權費情況下，將該技術用於Sign with Apple中。</p> <p><a href="https://appleinsider.com/articles/19/10/04/developer-of-bluemail-sues-apple-over-sign-in-with-apple-app-store-monopoly" target="_blank">根據Apple Insider報導</a>，Share Email的技術原理是扮演匿名公開通訊的自動化清算平台，藉由產生reverse list將user action和公開帳號綁在一起，這就讓用戶可透過公開帳號收發訊息，就不必洩露私有郵件信箱位址。例如BlueMail用戶可先在社交網站上註冊其電子郵件，之後透過社交網站進行私密通訊。</p> <p>Blix還指控，蘋果在發表6月初Sign with Apple不到二周前，將該公司的BlueMail從MacOS App Store上移除，以阻止該公司軟體與蘋果競爭。BlueMail今年5月8日在Mac App Store上架，同月20日就被蘋果下架，後者的理由是，BlueMail和Blix另一款app TypeMail功能重疊。但Blix宣稱Type Mail早在5月初之前就已自主下架，根本不存在蘋果所說重疊問題。</p> <p>Blix並說，BlueMail在App Store上遭到蘋果透過調整軟體市集的搜尋演算法，壓低BlueMail在搜尋結果列的順位。上個月<a href="https://www.ithome.com.tw/news/133011" target="_blank">紐約時報報導</a>，蘋果調整App Store的搜尋演算法將對手打壓殆盡後，今年終於收手讓競爭app排名得以上升。但蘋果高層仍稱之前的演算並沒有錯。<a href="https://appleinsider.com/articles/19/10/04/developer-of-bluemail-sues-apple-over-sign-in-with-apple-app-store-monopoly" target="_blank">Blix對媒體表示</a>，在經過這番調整後，BlueMail的排名也從143名回復到13名。</p> <p>這家軟體業者要求法院停止蘋果的侵權及壟斷打壓行為，並要求賠償及支付官司費用。</p> </div></div></div>
2019/10/7 14:15作者林妍溱https://www.ithome.com.tw/news/133474
微軟：伊朗駭客鎖定2020年美國總統大選陣營與政治人物的帳號展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2019/10/04/recent-cyberattacks-require-us-all-to-be-vigilant/" target="_blank">微軟上周發出警告</a>，指出已發現一個由伊朗政府支持的駭客集團Phosphorus，在今年的8月到9月間大量辨識微軟客戶的電子郵件帳號，並針對其中的241個展開攻擊，這些帳號涉及2020年美國總統大選活動陣營、現在或前任的美國政府官員、專門報導全球政治的記者，以及旅居國外的伊朗人。</p> <p>根據微軟的統計，Phosphorus在這30天內企圖辨識2,700個微軟電子郵件帳號是否為目標攻擊對象，並針對其中的241個展開攻擊，有4個帳號被成功入侵。</p> <p>Phosphorus的攻擊行動在技術上並不複雜，駭客先蒐集了大量的個人資訊，以確認這些人的微軟帳號是否為目標攻擊對象，再針對目標展開攻擊。有時候先開採微軟帳號所綁定的第二個電子郵件帳號，利用密碼重置或帳號復原功能取得微軟帳號，有些時候則取得了目標對象的電話號碼，再以之進行密碼重設。</p> <p>不過，被成功入侵的4個微軟帳號，都與總統大選陣營或美國政府官員無關。</p> <p>雖然這只是個尋常的攻擊行動，但微軟表示，他們只是想讓國家級的駭客攻擊變得愈來愈透明，以協助其它國家或用戶提高警覺。</p> <p>微軟在去年8月推出免費的AccountGuard帳號安全服務，以保護那些支撐民主的組織，免受國家級網路攻擊的威脅，迄今已有來自26個國家的6萬個帳號接受微軟的保護，這一年來這些使用者已收到來自該服務的逾800次攻擊通知。</p> </div></div></div>
2019/10/7 14:40作者陳曉莉https://www.ithome.com.tw/news/133475
EZ訂個資外洩客戶遭騙判決出爐，業者依個資法賠償2萬元外，並需負起7成過失責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年9月，一起關於EZ訂（EZding）購票平臺個資外洩的民事判決結果出爐，經過2年訴訟與審理，現在終於有了結果。案經一審判定，業者需依個資法賠償民眾2萬元，之後又上訴，二審判定用戶遭詐欺侵權行為的損害賠償，也應付起7成責任，而最終裁定賠償18萬3,274元。</p> <p>關於這次事件的起因，是在2017年4月11日，當事人張女使用手機登入EZ訂網站，購買2張電影票，卻在兩個禮拜後的4月28日，接到假冒EZ訂的會計部門人員的電話，對方核對了張女的姓名、電話，以及購票日起、場次與金額，接著謊稱作業人員疏失，誤植20筆原告之訂票紀錄（約8,000元），將會每月扣款，因而需要張女協助授權才能向張女的銀行退費。</p> <p>由於對方清楚說明了訂票資訊，這也導致張女不疑有他而上當，一共被騙走25萬7,892元。因此，張女透過臺灣士林地方法院，向經營EZ訂平臺的富爾特科技公司提告，請求侵權行為損害賠償共32萬元，包含被騙損失的25萬多元，以及個資法第29條規定的2萬元賠償，還有個資外洩帶來的精神慰撫金5萬元。</p> <p>在2018年6月14日，一審判決出爐。士林地方法院判富爾特科技公司需賠償張女2萬元，這主要是個人資料洩漏的損害賠償，但駁回其他請求。之後，雙方均對自己判決不利部分提起上訴。</p> <p>在2019年9月5日，二審判決結果出爐，士林地方法院指出富爾特科技公司也應對用戶遭詐欺侵權行為的損害賠償，負起7成過失責任，因此判處該公司需給付張女19萬4,524元，但因扣除詐騙集團已賠償張女的1萬餘元部分，最後判定廠商應賠償18萬餘元，且不得上訴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89EZ%E8%A8%82%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9%E5%AE%A2%E6%88%B6%E9%81%AD%E9%A8%99%E5%88%A4%E6%B1%BA%E5%87%BA%E7%88%90.JPG" style="width: 600px;" /></p> <blockquote><p>不過，值得注意的是，根據這起事件的配決內容來看，以賠償金額的計算式而言，判決中是將25萬多元加上2萬元後，再乘上0.7倍，而不是2萬元另計。</p> </blockquote> <h2><strong>二審判決業者未盡適當安全防護之責，並與用戶遭詐事件有相當因果關係</strong></h2> <p>在這次判決結果當中，對於個資外洩及用戶遭詐騙的損害賠償的認定，院方有了更清楚的說明。</p> <p>舉例來說，在個資外洩損害賠償方面，判決內容指出，根據刑事警察局統計，在用戶購票與接到詐騙電話期間，警方在兩週內，已經分別接獲30件與26件的民眾通報EZ訂為高風險平臺。而從當年的資安事件分析報告中，也可得知這些交易所涉的內容僅有該公司完整掌有，因此足以認定資料是從富爾特公司外洩。</p> <p>在詐欺侵權行為損害的賠償方面，對於黃女遭詐騙的25萬，在這次判決結果也有相關說明，判決內容指出，個資外洩與後續遭詐騙而造成的損害，有相當因果關係，如果沒有這些明確資料，民眾應不致於陷於錯誤而遭詐騙，更受關注的是，從調查結果來看，富爾特公司並未盡到適當的安全防護與個資保護之責。</p> <p>例如，像是該公司雖提出同年3月9日與7月5日的Trustwave合規性證明，以及同年11月9 日的雲端測試平臺主機安全評估測驗報告，以及網站安全評估測驗報告。但是，法院指出一些報告已是事後所為，對於事發之前做的Trustwave合規性證明，也因漏洞掃描僅針對一個IP位置，而未能提出其他IP位址之漏洞掃描報告。</p> <p>此外，法院也參考了當時富爾特委託資安業者調查的資安事件報告（4月21日蒐集，6月9日出具報告），包括使用專業鑑識工具eDetector與EnCase蒐證暨分析目標主機，發現有多項Log記錄不完整的情況，甚至目標伺服器的Audit Log並無106整年的記錄。</p> <p>以及像是SSH登入權限未限縮並稽核，還有內部機敏資料被上傳到外部雲端硬碟的狀況。</p> <p>因此，法院認定網路平臺之內部及外部風險控制存有諸多缺陷，並且未能完全落實其個人資料保護的管理。不過，法院也認為，張女已是具有相當智識的成年人，理應對此社會常見之詐騙犯罪行為產生警覺。因此，認為張女應負擔三成的過失責任，富爾特公司應負擔七成的過失責任。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89EZ%E8%A8%82%E5%80%8B%E8%B3%87%E5%A4%96%E6%B4%A9%E5%AE%A2%E6%88%B6%E9%81%AD%E9%A8%99%E5%88%A4%E6%B1%BA%E5%87%BA%E7%88%90_20171230.JPG" style="width: 600px;" /></p> <blockquote><p>對於「解除分期」詐騙手法，國內刑事警察局指出，這已經是在國內出現10年以上的詐騙手法，警方也不斷宣導，儘管被騙人數減少，卻仍然有人上當。</p> <p>事實上，近年來165反詐騙每周都會公布高風險網路賣場的名單，像是2017年底，揭露了全年民眾通報前5名，分別是EZ訂（609件）、金石堂（537件）、雄獅旅行社（415件）、OB嚴選（280件）與ANDEN HDU（275件），並指出每次詐騙高峰約維持兩個月左右。</p> </blockquote> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80%E8%AD%A6%E5%91%8ABooking_com%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4%E6%8C%81%E7%BA%8C21%E9%80%B1(1).JPG" style="width: 600px;" /></p> <blockquote><p>值得注意的是，最近，刑事警察局也根據165反詐騙統計，公布2019年1月至8月的高風險賣場，分別是MKUP美咖、小三美日、讀冊生活、Booking.com及HITO本舖。</p> <p>其中值得注意的是，在1月至9月的資料中，若單以訂房網路平臺而言，Booking.com不僅是訂房網站中最高，並且從今年5月起165就陸續接獲民眾通報，至今已連續21週上榜，累計至9月底被騙人數達228人，財損金額達3,362萬元。</p> <p>因此，刑事警察局再次持續呼籲，民眾應慎選資安防護機制完善的電商，對於屢次勸告均未改善的網路賣場，也希望全民避免使用，以保障自身財產安全。</p> </blockquote> </div></div></div>
2019/10/7 14:17作者羅正漢https://www.ithome.com.tw/news/133473
蘋果App Store上架全港抗爭即時地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/133411" target="_blank">先前遭到蘋果拒絕</a>的HKmap 即時地圖程式終於<a href="https://apps.apple.com/hk/app/hkmap-%E5%8D%B3%E6%99%82%E5%9C%B0%E5%9C%96/id1480938601" target="_blank">登上App Store</a>了。</p> <p>此一由BackupHK所出版的HKmap即時地圖資訊來自特定的Telegram群組，由群組內的香港居民分享抗議者及警方所聚集的位置，也分享附近的交通狀況，以及警方是否使用了催淚瓦斯或進行大規模逮捕，並透過HKmap即時地圖廣播。</p> <p>該地圖程式的作者在上周表示，蘋果認為該程式的內容鼓勵非法行動，允許使用者逃避執法，因而拒絕它上架。不過，作者認為該程式就像導航程式Waze一樣，由群眾提供交通狀態，讓人們能夠閃避交通擁擠的路線，並沒有人違反任何法令。</p> <p>另有使用者抗議蘋果的作法並不公平，指出HKmap即時地圖並未建議或煽動任何的非法行動，只是協助香港居民更了解最新狀況。</p> <p>總之，不確定是哪種說法打動了蘋果，HKmap即時地圖程式上周五（10月4日）就出現在App Store了。</p> </div></div></div>
2019/10/7 12:25作者陳曉莉https://www.ithome.com.tw/news/133472
Google暫停向遊民、非裔民眾取得臉部掃瞄圖像的專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周<a href="https://www.ithome.com.tw/news/133455" target="_blank">媒體報導</a>Google為了強化臉部辨識技術的研發，向遊民、學生、黑人下手取得臉部掃瞄影像，有時不惜使出欺騙手段。報導見光後，Google緊急中止這項街頭研究計畫。</p> <p>上周New York Daily News報導，Google透過外包人員在亞特蘭大及洛杉磯等地，尋找遊民、非裔民眾及大學生參加街頭研究，以5美元折價券要求他們以研究人員提供的手機app掃瞄臉部並提供給Google。而為減少被拒絕的機率，外包人員會以欺瞞手段，只告訴他們「試玩新app」幾分鐘，而未說明這個app的真實作用，或是催促受試者填完同意書及掃瞄臉部。</p> <p>之所以特別著重找遊民或黑人加入研究，Google外包商說，理由是這些人比較不會有什麼意見，也不太可能向媒體爆料。</p> <p><a href="https://www.nytimes.com/2019/10/04/technology/google-facial-recognition-atlanta-homeless.html" target="_blank">紐約時報報導</a>，事情見報後，亞特蘭大市府律師Nina Hickson去信Google要求解釋，並說如果報導屬實，希望Google能採取矯正作法。</p> <p>紐時及<a href="https://www.theverge.com/2019/10/4/20899612/google-suspend-pixel-4-facial-scan-atlanta-randstad" target="_blank">The Verge報導</a>，Google已立即暫停相關的研究，表示未取得同意或未清楚說明違反了公司的自願研究政策。Google說公司非常看重此事，並已著手調查。</p> <p>臉部辨識是Google Pixel 4新功能Project Soli的一環，Project Soli另外還包括手勢辨識。Pixel 4預定本月問世。</p> <p>科技大廠為了提升人工智慧技術，在做法上再度引發隱私爭議。8月間Apple、Google和Amazon才接連被爆利用約聘人員或是員工，在未告知使用者情況下，蒐集側聽語音助理的錄音，以提升語音辨識的準確度。由於輿論的壓力，三家公司都暫時停止計畫，之後也相繼改善，允許用戶自行決定是否加入改善計畫。</p> </div></div></div>
2019/10/7 11:55作者林妍溱https://www.ithome.com.tw/news/133471
包括Pixel在內的十多款Android手機遭爆含零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全研究團隊<a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=1942" target="_blank">Project Zero在上周揭露一個Android零時差漏洞</a>CVE-2019-2215，這是一個釋放後使用（use-after-free）漏洞，允許駭客擴張權限並取得裝置的控制權，且已有攻擊程式在網路上流竄，殃及包括Pixel在內的十多款Android手機。</p> <p>揭露此一漏洞的安全研究人員<a href="https://arstechnica.com/information-technology/2019/10/attackers-exploit-0day-vulnerability-that-gives-full-control-of-android-phones/" target="_blank">Maddie Stone表示</a>，該漏洞其實曾在2017年12月被修補，只是不知道為什麼在最近的Android版本又重新出現，它波及Pixel 1/1 XL、Pixel 2/2 XL、Huawei P20、Xiaomi Redmi 5A、Xiaomi Redmi Note 5、Xiaomi A1、Oppo A3、Moto Z3、Oreo LG phones，以及Samsung S7/S8/S9等十多款Android手機，也可能有其它手機含有該漏洞。</p> <p>雖然就算是Google的Pixel 1與Pixel 2系列手機都受累，但Pixel 3系列並未被波及。</p> <p>在攻擊程式現身於網路上之後，駭客只要在目標裝置上安裝惡意程式，或是搭配瀏覽器的攻擊程式，就有機會取得裝置控制權。</p> <p>Stone推斷此一零時差攻擊程式是由以色列駭客公司NSO Group所打造，但<a href="https://www.theverge.com/2019/10/4/20898460/android-security-vulnerability-project-zero-pixel-galaxy-huawei-xiaomi" target="_blank">NSO向媒體澄清</a>，此事與該公司無關，強調NSO並未出售漏洞或攻擊程式，所從事的都是合法業務，例如協助合法的情報或執法機構挽救生命。</p> <p>至於Google則準備在即將釋出的10月Android安全公告中，修補此一漏洞。</p> </div></div></div>
2019/10/7 10:20作者陳曉莉https://www.ithome.com.tw/news/133467
疑似俄國駭客發展新式RAT，可突破HTTPS加密追蹤上網行蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員<a href="https://usa.kaspersky.com/about/press-releases/2019_reductor-malware-hijacks-https-traffic-by-manipulating-browsers-random-numbers-generator" target="_blank">發現一個具備新式攻擊手法的RAT程式</a>，能修改瀏覽器元件而攔截加密HTTPS流量，達到監視上網行動的目的。</p> <p>HTTPS的安全性存在於瀏覽器和網站之間的資訊交換，以加密防護使第三方不得存取。卡巴斯基研究人員4月發現一隻被稱為Reductor的遠端存取木馬（RAT）程式，則是用來突破這段防護。</p> <p>Reductor包含兩階段攻擊面向。第一是利用名為COMPfun惡意程式下載軟體模組到受害系統上，COMPfun和俄羅斯APT駭客組織Turla有關。攻擊第二階段則發生在當受害PC從其他合法網站下載軟體過程中。研究人員相信攻擊者有能力在合法軟體下載途中加入惡意元件，以致於抵達PC時已帶有惡意程式。因此研究人員認為Reductor背後的駭客組織，已經可控制受害者的網路通道。</p> <p>當Reductor植入受害系統時，能變造已安裝的數位憑證、並修改PC瀏覽器（包括Chrome或Firefox）的「偽隨機數生成器」（pseudo-random number generation，PRNG）元件。PRNG用途是在瀏覽器和HTTPS網站進行TLS交握時，產生亂數以便加密主機和用戶端間的流量。</p> <p>研究人員指出，這也是Reductor厲害之處，因為他們完全沒有動到網路封包，而是分析Firefox程式碼及Chrome的二進位碼，在行程記憶體中加上相應的PRNG函式，對每道HTTPS流量加上獨特軟、硬體辨識碼，這個過程被稱為patch。當瀏覽器被patch之後，PRNG產生的數值變得不那麼隨機，駭客就得以接收及辨識所有從瀏覽器存取的資訊和行為。過程中受害者無從察覺，讓攻擊者得以長期監控而不被發現。</p> <p>研究人員表示這類對瀏覽器加密動手腳的攻擊手法也是現所首見，雖然他們尚無法斷定Reductor背後攻擊者身份，但以其技術之高明判斷，應該也是國家支持的駭客組織所為。研究人員呼籲所有企業小心為上，確保敏感資料的安全性。</p> </div></div></div>
2019/10/7 10:40作者林妍溱https://www.ithome.com.tw/news/133468