iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 01:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google推出多雲網路智慧監控服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/announcing-network-intelligence-center">Google發布了一個稱為網路智慧中心（Network Intelligence Center）的多雲監控與管理服務</a>，讓多雲架構的使用者，能夠更簡單地處理網路運作，這項服務目前包含了四大模組，分別是在Beta測試階段的連接測試與網路拓撲模組，以及還在Alpha測試階段的效能儀表板和防火牆指標分析模組。</p> <p>越來越多企業把多雲和混合雲，作為其雲端戰略的一部分，而連結雲端的基礎設施網路，由於用戶環境的異構性，提高了監控網路工作的複雜度，Google提到，分散且破碎的網路管理工具，反而增加網路營運團隊的壓力，由於網路欠缺可見性，需要花更長的時間排除故障，也缺乏集中式的解決方案，來解決生產環境的配置錯誤、連接和效能問題。</p> <p>為此Google推出了網路智慧中心，該服務會透過人工智慧技術預測網路錯誤，並提供修補網路的建議，用戶可以調整自動化與人工介入平衡，以支援被動式與主動式網路營運的需求。第一階段的網路智慧中心提供四大模組，連接測試、網路拓撲、效能儀表板和防火牆指標分析。</p> <p>網路智慧中心提供的連接測試模組，讓用戶可執行按需測試，快速診斷連接性的問題防止網路中斷。連接模組可讓用戶自我診斷，找出問題是發生在GCP內或是外，進而隔離問題所在。用戶可以建立、保存和執行測試，預先驗證配置更改的影響，主動防止網路中斷，而這些測試還有助於確保網路的安全性和法遵。</p> <p>網路拓撲模組則能視覺化複雜的網路環境，Google提到，在公有雲上，因為用戶無法擁有基礎架構，因此在雲中的可見性格外重要，但由於雲端網路拓撲是一個網狀網路，使其難以在企業就地部署和雲端環境中被理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Visualize_your_network_with_insights_max-2000x2000.png" style="width: 580px; height: 370px;" /></p> <p>而網路拓撲模組可以提升網路的可見性，簡化網路監控和錯誤排除的工作，且網路拓撲為各節點包括邊緣節點，都提供了有用的效能指標，可實現依指標驅動的故障排除、政策檢查，甚至是基礎架構與容量的最佳化。</p> <p>效能儀表板則提供即時的網路效能資訊，讓用戶了解封包丟失和延遲的情況，Google說明，其提供專案等級的監控能力，目前未有任何其他雲端供應商提供類似的服務，也就是說，效能儀表板可以讓用戶完全掌握網路的效能，用於匯總跨區域的虛擬機器對虛擬機器的封包丟失和延遲資料。防火牆指標分析提供了防火牆規則的可見性，為用戶揭露影子防火牆的規則，以幫助用戶最佳化防火牆規則。</p> </div></div></div>
2019/11/15 10:10作者李建興https://www.ithome.com.tw/news/134206
高科技製造業組隊參加HITCON Defense企業資安攻防賽奪冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻防比賽除了常見的搶旗攻防賽（CTF）外，臺灣駭客協會今年也於11月13日，再度舉辦以企業資安攻防為主的HITCON Defense競賽，由於企業面臨各種資安風險，模擬駭客攻擊的紅隊，則會針對參賽的六個企業藍隊發動各種攻擊，藉此測試各個藍隊的防禦能力。</p> <p>今年是第二屆舉辦HITCON Defense比賽，邀請的六個企業參賽隊伍囊括金融業、政府、高科技製造業、電信業和服務業等，在經歷一天的比賽後，由高科技製造業的S.H.I.E.L.D. 獲得冠軍，第二名則是政府單位的615，第三名則是由服務業的Hyper_Defensive獲得；為了鼓勵企業應該重視情資交換的重要性，第二名的615團隊也額外獲得情資分享特別獎；另外也有金融業組成的暗鷹，獲得金融防禦獎。</p> <p>不過，比賽舉辦當天上午則發生臺電變電所故障的意外，二分鐘的停電也造成主辦方在重新啟動系統後，必須重複確認資料有沒有損失，也是血淋淋的企業真實寫照。未來主辦方也會考慮將UPS不斷電系統，列為各隊參賽的基本設備之一。</p> <p><span style="color:#FF0000;"><strong>提供近二億元的資安設備，作為紅藍隊攻防之用</strong></span></p> <p>負責模擬紅隊攻擊的是由博格企業資安讀書會負責出題，這也是他們第二年負責出題，從樹莓派模擬的工控系統，到常見的DDoS（分散式阻斷式攻擊）、網路惡意程式、XSS或是SQL Injection等各種風險都包含在內。</p> <p>因為是模擬企業遭到攻擊的狀態，現場也提供每一個參賽的企業藍隊各種防範的資安設備，從防範DDoS攻擊的流量清洗設備、防範第七層應用程式攻擊的WAF，到企業必備的SSL VPN等設備，加上頂規的路由器和機櫃等，每一個參賽的藍隊加上攻擊的紅隊，各種網路和資安設備市值將近二億元，比去年設備價值超過一億元更高。</p> <p>加上，今年更委由TWNIC居中協調，提供10個Public的IP直接對外接上網路，所有參賽的藍隊直接在真實的網路環境「模擬遭到攻擊」的情況，不像去年是在內網受到攻擊的形式，也讓今年HITCON Defense的企業攻防大賽更真實。</p> <p><span style="color:#FF0000;"><strong>參考MITRE的ATT&CK資安框架，採用其中六個階段出題</strong></span></p> <p>臺灣駭客協會理事長徐千洋表示，今年比賽現場雖然洋溢著度假風，但企業資安人員即便在度假，當接到企業遭到攻擊的消息時，往往都只能立刻拿起手機、打開電腦、接上網路，開始蒐集企業遭到攻擊的訊息，並思考應該如何因應。因此，企業資安人員面對駭客攻擊時的攻防，是沒有停止的一天。</p> <p>博格企業資安讀書會創辦人Titan Lee表示，這次紅隊模擬的攻擊手法，更首度採用MITRE推出的ATT&CK資安框架（Matrix）作為紅隊攻擊手法的比對依據，也讓藍隊更容易理解紅隊的攻擊手法進而採取更有效的防護策略。</p> <p>目前ATT&CK資安框架號稱是剖析駭客入侵技術的百科全書，在ATT＆CK Enterprise中，將駭客在入侵駭客使用的戰略，畫分成12個階段：包括入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、防禦逃脫（Defense Evasion）、憑證存取（Credential Access）、發現（Discovery）、橫向移動（Lateral Movement）、收集（Collection）、命令與控制（Command and Control）、滲出（Exfiltration）與衝擊（Impact）。</p> <p>Titan Lee則進一步指出，這次紅隊採用的攻擊手法，有簡化ATT&CK資安框架的12個階段，出題面向只包括：入侵初期（Initial Access）、執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation）、命令與控制（Command and Control）以及衝擊（Impact）等6個階段，而每一種攻擊手法在在都考驗參賽企業藍隊的臨場反應能力和團隊應變能力。</p> <p><span style="color:#FF0000;"><strong>好的參賽隊伍要囊括IT、系統和資安成員分工合作</strong></span></p> <p>這次參加的企業藍隊都是邀請制，去年曾經參加過的隊伍今年則不重複邀請。許多參賽者表示，「參加一天比賽比上班還累，」一個很重要的關鍵點在於，許多參賽者花了很多時間去熟悉大會提供的資安設備操作與使用，也有某一隊參賽隊伍成員表示，一般企業遭到入侵時，通常會先擋掉攻擊來源，但因為大會規則不允許擋掉攻擊來源，也得一邊摸索如何因應。</p> <p>不過，此次奪冠的高科技製造業參賽隊伍S.H.I.E.L.D. 則說，此次參賽的成員大部分都是SOC團隊的成員，因為公司組織較大、職掌與角色區分的比較細，有很多設備在該公司是屬於IT或是維運團隊負責，因此，對於此次參賽的成員而言，必須要多花一點時間去研究準備。</p> <p>但參賽成員也說，這樣的經驗對於他們未來在面對資安事件的發生時，也提供他們知道如何跨部門溝通合作。其他有參賽團隊已經事先分工，包括系統、IT以及資安部門成員，每個成員在比賽現場可以依據各自專業互補合作，也都有助於未來回到企業內部的合作。</p> <p>雖然，這次比賽所提供的資安設備，不見得參賽企業藍隊都有使用過的經驗，但參賽隊伍成員則說，這次操作這些設備阻擋攻擊的經驗，即便企業內部不見得有同樣的設備可以使用，但學會操作設備背後的邏輯，對他們是不錯的學習經驗。</p> <p><span style="color:#FF0000;"><strong>紅隊認為：資安盤點和情資交換是藍隊贏的關鍵</strong></span></p> <p>經濟部工業局局長呂正華表示，在資安即國安的政策發展方針下，總統府日前也招開「資安2.0策略會議」，如何提升臺灣資安防護能力是重點。國家通訊傳播委員會委員孫雅麗指出，5G是接下來國家大力發展的網路架構，5G資安就是重中之重的關鍵議題，也會有資安專章規範5G資安。金管會資訊處處長蔡福隆則說，之前臺美大規模網路攻防演練（CODE）也鎖定金融產業作為演練對象，加上主管機關從去年起也從內控角度要求金融單位強化資安，不排除未來鎖定金融業，舉辦類似的、閉門的企業攻防比賽，以提高金融業的資安應變能力。</p> <p>獲得第三名的Hyper_Defensive成員表示，比賽要了解網路拓樸，各種應用程式AP和網路調整，有賴團隊協作才能達成目標；第二名615參賽成員則說，紅隊DDoS攻擊威力強大，深刻體會到「水管」不夠粗的痛苦；第一名S.H.I.E.L.D. 參賽成員則說，因為去年有實體攻擊，有人到設備插惡意USB，今年還特別先圍封鎖線，帶膠帶把USB插頭先封著，以避免類似的實體攻擊出現。</p> <p>Titan Lee也從紅隊攻擊角度分享他的觀察，首先，各隊似乎不擅長Web Shell的處理，所以紅隊持續透過Web Shell打下各隊的服務；再者，各隊在資安盤點上，相較去年的參賽隊伍，都盤點的不夠落實，尤其像是離職員工的帳號應該是第一時間就該盤點出來，卻有許多藍隊忽略這一點，也成為紅隊攻擊很好裡用的工具。他建議，不論是比賽或是企業資安實務，IT盤點務必落實。</p> <p>第三點，Titan Lee說，今年各隊對於資安情資的交換和購買都不積極，有可能是因為分數不夠多，以至於無法購買情資，但不論從比賽或是資安實務而言，好的資安情資是有助於藍隊落實資安防護，像某隊有購買情資時，整個比賽分數就有直接提升。他認為，相較於去年參賽隊伍積極交換購買情資，或許是一個值得參賽的企業藍隊深思之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E5%90%8D.jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>全部由SOC成員組隊參賽的高科技製造業的S.H.I.E.L.D.經歷一天的比賽後，最後獲得冠軍，</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%BA%8C%E5%90%8D.jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>第二名的615來自政府部門，也同時獲得情資分享特別獎。</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%89%E5%90%8D.jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>來自服務業的Hyper_Defensive，在成員妥善分工下，最終獲得第三名。</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E8%A8%AD%E5%82%99.jpg" style="width: 600px; height: 800px;" /></p> <blockquote><p>不管參賽的企業藍隊或是攻擊紅隊，都有一個機櫃的資安設備，全部加總的價值將近二億元。</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B%E8%AA%AA%E6%98%8E(1).jpg" style="width: 960px; height: 568px;" /></p> <blockquote><p>HITCON Defense美一個參賽藍隊的IT架構。</p> </blockquote> </div></div></div>
2019/11/14 23:39作者黃彥棻https://www.ithome.com.tw/news/134213
遠雄建設數位轉型踩下油門，導入SAP ERP on Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內傳統產業加速數位轉型又一例。遠雄建設和微軟、SAP強化合作加速數位轉型發展，宣佈導入SAP ERP及微軟Azure雲端服務，強化內部資訊匯整、數據分析、營運決策。</p> <p>遠雄建設總經理湯佳峯表示，過去一年遠雄在微軟、SAP的幫助下進行數位轉型，包括第一階段建立數據平臺，讓員工能夠更有效率的作業，其次是導入SAP S/4 HANA及Azure，將過去分散於各部門的營運資料整合，降低內部營運成本、加快速度並提升決策品質，同時也能更快掌握外部客戶的好惡，調整產品服務。最終目標為串連起土地開發、產品定位、行銷企畫，建立營建業的生態鏈結，從源頭到最後目標的執行。</p> <p>遠雄建設和微軟、SAP合作，規畫三個階段推動數位轉型，先是在今年初導入Microsoft 365，採用Windows 10、Office 365及企業行動管理模組，透過微軟的生產力、行動管理工具，提升內部營運效率。</p> <p>第二階段是今天宣佈導入SAP ERP on Azure，遠雄建設原本採用自行開發的ERP系統，為了加快數據的匯整、營運決策，決定改採高規格的SAP S/4 HANA並上雲，但遠雄成立逾50年，內部累積大量的資料，為了轉換ERP系統，動員上百名人力及50多位外部顧問，將營運資料搬到Azure。</p> <p>第三是在未來導入微軟Power Platform，整合Power BI、Microsoft Flow、PowerApps，讓員工不需仰賴IT部門，自行取得業務所需的視覺化數據報表，更快取得營運數據，調整營運決策，同時讓流程自動化、行動化。</p> <p><strong>轉型目標：對內提升營運效率，對外創新客戶服務體驗</strong></p> <p>對於為何要進行數位轉型？遠雄建設資訊企劃室協理吳家賢點出了遠雄所遭遇到的痛點。遠雄旗下有建設、營造、代銷等不同的事業群，以買房為例，同一人可能在不同的營業部門被輸入為不同名字，雖然最終有紙本資料紀錄，但在營運資訊匯整上產生困擾。</p> <p>為了建立營運報表，遠雄也花費大量人力、耗費時間匯整各部門的資料，突顯了系統資料的完整性和整合性不足。而北中南各地的建案，也因系統開發不易、維運困難，難以跟上業務端需求，無法更快掌握客戶的回饋，而且也缺乏行動化方案。</p> <p>遠雄的數位轉型專案，以雲端及行動化解決方案，對內優化營運效率，對外提供客戶創新服務：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DIGITRANS-1.jpg" style="width: 600px; height: 478px;" /></p> <p>因此，遠雄善用雲端服務、行動化解決方案，將官網、GIS、BPM、SAP ERP、Microsoft 365都放到Azure，吳家賢認為通過雲端服務商的技術及資源，節省企業機房在個資保護、營運管理認證耗費成本，透過導入行動解決方案，對內改善營運效率，對外提供客戶新的服務體驗。</p> <p>以內部營運為例，利用雲端即時匯整各部門資料進行分析，改善營運決策的品質，也讓內部作業達到無紙化、文件共享協作；對外部客戶，則能提供行動看房、數位行銷服務、單一服務窗口及行動化維修派工服務。</p> <p>遠雄的轉型目標，希望整合從土地開發到房屋銷售的數據，提升營運決策的品質，也讓員工可以自主管理，不需仰賴其他部門提供報表數據，並以客戶為中心，整合不同通路與客戶的回饋、強化協同合作，最後在合作夥伴協助下，通過大數據及AI分析營運數據、客戶的痛點，以創新服務。</p> <p>身為遠雄建設數位轉型的推手，吳家賢建議其他企業在數位轉型，在合作夥伴協助下，跳脫容易陷入的傳統技術思維，更專注在經營管理、營運組織、文化、客戶需求，其次，數位轉型只是手段，目的是解決營運上的痛點，例如想要提升營運效率，此外，內部應成立跨IT、營運、業務單位的數位轉型團隊，轉型是整體，並非只有IT，最後是企業應持續投資新技術，精鍊內部的營運流程、提高公司競爭力。</p> <p> </p> </div></div></div>
2019/11/14 21:26作者蘇文彬https://www.ithome.com.tw/news/134212
資安一周第68期：校園資安議題再度浮上檯面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1107-1113 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞找尋競賽＃Pwn2Own</strong></span></h3> <h2><strong style="vertical-align: top;">Pwn2Own東京賽事展開，找出多個語音助理與智慧電視漏洞</strong></h2> <p>從11月6日開始，為期2天、在日本東京舉辦的Pwn2Own Tokyo 2019駭客競賽結果出爐，這次的比賽依然鎖定各種物聯網裝置，多款裝置都在第一天賽事就被發現漏洞，其實包含了語音助理Amazon Echo，三星與Sony的數位電視，以及TP-Link與Netgear的路由器等。</p> <p>在兩天的競賽中，參賽團隊總計發現了18個安全漏洞，贏得31.5萬美元獎金，ZDI打算進一步驗證漏洞與攻擊程式之後，再提報給相關業者，請他們在90天期限內完成修補。<a href="https://www.ithome.com.tw/news/134125"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/68-1_Pwn2OwnTokyo2019.jpg" style="width: 400px;" /></p> <p>圖片來源：Zero Day Initiative</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">衝浪設備大廠Boardriders驚傳遭勒索軟體攻擊</strong></h2> <p>專門生產衝浪與其他運動裝備的衝浪大廠Boardriders，傳出在10月底遭到勒索軟體攻擊，包括Billabong與Quiksilver等旗下品牌都受到波及，而且駭客還要求支付高達9千萬美元的贖金。</p> <p>不過，Boardriders僅坦承，約2星期前他們的電腦系統受到攻擊，使得該公司緊急切換到備援系統，部分訂單受到延遲。他們打算對於受到影響的客戶，祭出8折補償措施。至於受害情形，該公司僅透露此起事件影響多個地區，尚未得知攻擊來源為何。<a href="https://www.ithome.com.tw/news/134137"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃內部威脅＃資料外洩</strong></h3> <h2><strong style="vertical-align: top;">趨勢科技家庭用戶個資外洩，遭人濫用於撥打詐騙電話</strong></h2> <p>最近企業面臨的內部威脅，可是更加險峻，就連資安廠商也難以防範這種從員工與犯罪組織串通的攻擊手法。例如，趨勢科技在11月5日於部落格坦承，他們發現有員工竊取客服資料庫的內容，販賣給不知名的犯罪組織牟利。</p> <p>關於這起事件影響範圍，趨勢科技表示，這起事件僅波及使用英語為主要語言的個人端用戶，其他非英語系用戶不受影響，受害人數則占他們1,200萬名個人端用戶不到1%（小於12萬人），後來他們再度更新，表示更精確的受害人數估計為68,000人。再者，該公司也表示臺灣用戶不受影響。<a href="https://www.ithome.com.tw/news/134050"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃隱私疑慮＃漏洞攻擊＃特定目標攻擊</strong></h3> <h2><strong style="vertical-align: top;">近百名師生電子郵件被監控近3年，中山大學郵件伺服器遭駭客入侵</strong></h2> <p>中山大學的電子郵件信箱，竟在神不知鬼不覺的情況下，被監看了接近3年，而這起事件被發現的原因，是有位教授突然收到該校主任秘書約談信件，察覺不尋常而向對方確認，但並無此事，後來向校方進行通報，校方展開調查後，才驚覺是一起埋伏已久的攻擊事件。中山大學圖書與資訊處長賴威光指出，他們已經透過相關資安事件通報平臺，向教育部呈報，至於是否要向警方報案，該校則打算在盤點損害規模後，才決定如何處置。</p> <p>至於受害的範圍，賴威光表示總共有85人，涵蓋高階主管、教授，以及助教等人員。而從這些人員所屬單位來看，約有五成是社會科學院的老師，海洋科學學院也占有相當比例。<a href="https://www.ithome.com.tw/news/134105"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/68-2_NsysuMail_Lai.png" style="width: 400px;" /></p> <p>圖片來源：中山大學</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃特定目標攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">學生研究漏洞惹禍！臺大CEIBA教學平臺成績全變87分</strong></h2> <p>最近許多學校的期中考剛剛結束，卻有一間大學傳出所有學生的成績遭到竄改，11月6日，臺灣大學政治系教授王業立在臉書的一則貼文引發關注，他上傳了一張該校的CEIBA非同步課程管理系統裡，所有學生成績都變成87分的截圖，這位老師認為，可能是有學生期中考沒考好，蓄意攻擊這個教學平臺所致。由於本周恰巧發生中山大學師生電子郵件被駭客長期監控事件，使得臺大這起事件形成的原因，格外受到各界重視，懷疑是駭客針對臺灣大專院校發動的第2起攻擊事件。</p> <p>雖然校方坦承成績資料出現異常，也多次公告修復的進度，卻直到11月8日，臺灣大學資訊組組長張良鵬才坦言，他們並非遭受外部攻擊，而是該校一名資工系學生研究這個課程管理系統的漏洞所致。<a href="https://www.ithome.com.tw/news/134082"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/68-3_NtuCEIBA_dataerr.png" style="width: 400px;" /></p> <p>圖片來源：臺灣大學</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態</strong></span></h3> <h2><strong style="vertical-align: top;">擴大資料外洩防護應用領域，Proofpoint宣布併購ObserveIT</strong></h2> <p>以郵件安全防護解決方案聞名的美國資安廠商Proofpoint，在11月初宣布，併購以螢幕側錄應用跨入內部威脅管理的資安廠商ObserveIT，這項交易預計在今年第四季完成。</p> <p>雙方未來將有更密切的合作，對Proofpoint而言，資料外洩防護解決方案可從原有的郵件、雲端服務，延伸至端點，至於ObserveIT，也將獲得更多威脅情報與研發資源。<strong><a href="https://www.ithome.com.tw/news/134079">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃網路詐騙＃Firefox</strong></span></h3> <h2><strong style="vertical-align: top;">Firefox臭蟲遭駭客濫用，誤導使用者以為電腦受到攻擊，再顯示技術支援視窗進行詐騙</strong></h2> <p>技術支援詐騙的手法愈來愈高明，駭客的管道不只是利用電話、惡意廣告，或是搜尋引擎，現在他們還利用Firefox的漏洞，當使用者透過這款瀏覽器造訪含有惡意程式的網站時，螢幕上就會出現系統被駭的訊息，要求撥打技術支援電話處理。</p> <p>揭露上述漏洞的是Malwarebytes威脅情報研究人員Jérôme Segura，他指出這是一個瀏覽器鎖住漏洞，允許駭客鎖住受害者的瀏覽器，避免他們關閉瀏覽器或分頁，再顯示詐騙視窗指稱電腦已遭駭，並要求使用者在5分鐘撥打技術支援電話。若受害者依照指示操作，駭客得以遠端控制電腦，並且騙取服務費用，此外，還有可能導致受害者個資外洩。<a href="https://www.ithome.com.tw/news/134055"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃macOS</strong></span></h3> <h2><strong style="vertical-align: top;">Apple Mail漏洞導致加密郵件以明碼儲存</strong></h2> <p>蘋果IT專家Bob Gendler發現Mac電腦的Apple Mail漏洞，導致加密郵件以明碼儲存，可能會外洩重要資訊。這項漏洞他早於7月就通報，但直到最近蘋果才承諾會儘速修補。</p> <p>上述漏洞影響的範圍，涵蓋macOS Sierra、High Sierra、Mojave，以及才推出不久的Catalina。蘋果指出，濫用這個漏洞還需要搭配多個條件，例如，用戶必須傳送加密信件，並且沒有啟用FileVault防護功能等，不過Bob Gendler認為，若是上述環境存在，攻擊者就能藉此竊取機密資訊。<a href="https://www.ithome.com.tw/news/134118"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃記憶體濫用攻擊＃嵌入式裝置</strong></span></h3> <h2><strong style="vertical-align: top;">嵌入式裝置開機載入程式暗藏漏洞</strong></h2> <p>兩名ForAllSecure公司的研究人員Paul Emge與Zion Basque，近日透過GitHub揭露4個有關Das U-Boot的安全漏洞，最嚴重的狀況將允許駭客透過記憶體濫用攻擊，進而執行任意程式。</p> <p>Das U-Boot是開源的開機載入軟體，廣泛應用在嵌入式裝置，支援Arm、MIPS、RISC-V，以及x86等多種處理器架構。Amazon Kindle、Google Chromebook，以及許多網路裝置都採用這個軟體。雖然開發這款開機程式的作者已推出修補相關漏洞的2019.10版，但受影響裝置有賴製造商提供專用的更新軟體，才能防堵前述的漏洞。<a href="https://www.ithome.com.tw/news/134091"><strong>詳全文</strong></a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/134121">Cloudflare公布上市後首次財報，季營收成長48%</a><br /> ●<a href="https://www.ithome.com.tw/news/134075">Google與ESET、Lookout、Zimperium結盟，強化上架App安全</a><br /> ●<a href="https://www.ithome.com.tw/news/134061">後門程式利用盜版WordPress外掛大肆散布</a><br /> ●<a href="https://www.ithome.com.tw/news/134120">員工控訴：維運VirusTotal的Chronicle部門遭Google政策扼殺</a><br /> ●<a href="https://www.ithome.com.tw/news/134155">修正版BlueKeep攻擊程式不再引發BSOD，危險性大增</a><br /> ●<a href="https://www.ithome.com.tw/news/134120">網站代管業者SmarterASP.NET遭勒索軟體入侵</a><br /> </h3> </div></div></div>
2019/11/14 18:38作者周峻佑https://www.ithome.com.tw/news/134201
Fintech周報第121期：中央銀行總裁透露：正式成立數位貨幣研究專案小組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1026-1101</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 央行數位貨幣 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CBDC </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 場外監控 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中央銀行總裁透露：正式成立數位貨幣研究專案小組</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">中央銀行總裁楊金龍在近期活動上揭露，近來國際間各央行正探討央行數位貨幣（Central Bank Digital Currency，CBDC）的可行性，如果能順利解決相關問題，CBDC或有可能成為零售支付的最後一哩路。楊金龍揭露，央行為此已成立CBDC研究計畫專案小組，針對相關議題，進行研究與測試。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 央行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 財金公司 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動支付 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">打通國內行動支付版圖，電子支付跨機構共用平臺將是關鍵</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中央銀行總裁楊金龍11月7日在財金公司金融資訊系統年會上表示，由財金公司偕同銀行共同制定的QR Code共通支付標準，是金融基礎設施。然而，為了完善國內行動支付版圖，他提到，還需電子支付與票證機構等非銀行支付機構，加入QR Code共通標準才行。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由於國內電子支付及票證機構的支付系統，無法進行跨機構間款項移轉，楊金龍表示，政府已研擬開放這些機構間的資金互轉，將電子支付及票證機構納為財金公司系統的直接參加單位。而財金公司也規畫在原有的跨行金融資訊系統與QR Code共通標準基礎上，建置「電子支付跨機構共用平臺」，讓銀行與電子支付及票證機構，能彼此互通。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">楊金龍列出三大好處，一是用戶只要使用單一品牌App，即可在接受行動支付的各商家交易。二是商家只需與一家支付業者簽約，即可接受消費者使用各種支付品牌付款。而對於非銀行支付業者來說，則可接受其他支付業者用戶的轉帳。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，央行為了要強化使用者行動支付體驗，已經促請財金公司偕同銀行規畫「手機門號跨行轉帳服務」，未來只要輸入受款人手機號碼，即能作為跨行轉帳的識別資訊，完成跨行轉帳。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Nasdaq </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 監控 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">那斯達克在美國股市推出AI監控，未來將拓展到全球市場</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Nasdaq_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Nasdaq.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">證券交易所那斯達克（Nasdaq）在11月7日揭露，成功在那斯達克美國股票市場，啟用以AI監控股市的功能，可以識別內幕交易與詐欺，或是有交易者為了操縱市場而大量買進賣出等非法行為，目的是要改善對惡意活動的偵測。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此計畫由那斯達克市場技術部門底下的機器智慧實驗室與那斯達克美國市場監控部門合作開發的，透過AI來增強股市監控功能。目前，那斯達克正在與美國專利商標局申請專利，包括以深度學習（Deep Learning）、遷移學習（Transfer Learning）、人機協作學習（Human-in-the-Loop Learning）等AI技術來監控股市。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">那斯達克市場監管技術副總裁兼負責人Tony Sio表示，他們能基於美國監管團隊在監控數據上的經驗，來訓練AI模型。他也提到，現在已經建立了一個框架，可以將這些已訓練好的模型，再透過遷移學習訓練，提供給世界各地的其他市場。「這是使用AI技術來維護資本市場完整性，邁出的重要一步」，Tony Sio強調。未來，那斯達克計畫將此AI監控的解決方案，擴大到全球超過59個市場、19個監管機構與160多家市場參與者，包括遍布65個國家的買方機構。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 財金公司 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨行金融資訊系統應變演練 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">財金今年首度以營運系統，進行跨行金融資訊系統應變演練</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為提升跨行金融資訊系統的服務品質及應變能力，財金公司於11月16日凌晨辦理「跨行金融資訊系統應變演練」。財金公司表示，本次計畫性演練假設情況是財金公司主中心兩套互為備援的「跨行金融資訊系統」同時發生異常，而各金融機構系統正常運作時，需將「跨行金融資訊系統」緊急切換至異地備援中心營運，確保在各項情境中，都能正常且順暢提供各項跨行服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">以往，財金的跨行金融資訊系統應變演練，都是以測試系統進行仿真模擬演練，然而，財金公司歷經2年的規畫與演練，今年度首次以營運系統進行實機演練，就是要提升及驗證「跨行金融資訊系統」服務品質與應變能力。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> DBS </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈貿易平臺 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新加坡 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">星展銀行攜手全球最大金屬貿易商推出區塊鏈貿易平臺</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_DBS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_DBS.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">星展銀行（DBS Bank）在11月6日宣布，攜手全球最大的私營金屬貿易商托克（Trafigura），以及新加坡資訊通信媒體發展局（IMDA）、國際商會(ICC)、智能合約平臺Perlin，共同開發區塊鏈貿易平臺（ICC TradeFlow platform），來串起跨境貿易夥伴，簡化紙本文件的貿易流程。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">DBS指出，此區塊鏈貿易平臺是基於IMDA的網路基礎架構TradeTrust，以及Perlin的區塊鏈技術所打造的，區塊鏈貿易平臺上的各方，能夠即時發送與接收交易，並依據交易指令採取行動，讓點對點的交易文檔傳輸時間，從原本的45天縮短到20天。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">此平臺將在本月進行試點，以海運方式從非洲運送價值2千萬美元的鐵礦到中國。未來，DBS表示，將再增加此平臺的功能，包括在貿易過程中提供貿易融資，也要為貿易參與者、船運公司等提供背景資訊與信用評等，以建立彼此之間的信任度，達到更加無縫的貿易流程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 無紙化 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行政院人事行政總處 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">1年千萬張公務員獎懲令文件靠區塊鏈無紙化，全臺7,800個政府機關已推行</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">公部門區塊鏈應用有了新案例，行政院人事行政總處在今年3月上線公務人員獎懲令電子化，以區塊鏈技術，讓每年1千萬件紙本獎懲令無紙化，目前全臺使用人事行政總處人事資訊處開發的人力資源管理資訊系統（WebHR）的7,800個政府機關，已正式推行。人事行政總處是在去年底，與國家高速網路與計算中心（簡稱國網中心）合作POC，採取聯盟鏈方式，由國網中心提供區塊鏈節點，並先從WebHR的獎懲作業子系統開始。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">獎懲令的區塊鏈應用只是第一步，未來包括公務人員在職證明、離職證明、服務證明、考績通知書等，都會寫入區塊鏈。目前，人事行政總處的人事資訊處正在開發，預計今年年底前會上線。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台新銀行 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 人臉辨識 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">台新銀行開發人臉辨識技術，提供ATM刷臉提款</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%8F%B0%E6%96%B0%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">台新銀行開發了一套人臉辨識計畫，結合生物識別技術提供ATM刷臉提款，解決ATM提款卡遭竊後的冒領問題。除此之外，台新銀行的人臉辨識技術，還能在客戶步入分行時，辨識是否為銀行的財富管理客戶，提供更即時與個人化的服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國信託 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 智慧KYC </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">中國信託開發智慧KYC系統，將新客戶資料建立流程縮短至5到7天</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_08_%E4%B8%AD%E5%9C%8B%E4%BF%A1%E8%A8%97%E9%87%91%E8%9E%8D%E4%B8%AD%E5%BF%83_20161017(1).jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">中國信託銀行開發的智慧KYC系統，能建立一套高效率且適用全球的KYC驗證標準，針對每位客戶和銀行往來活動記錄，提供全方位評估；同時整合與洗錢防制（AML）聯絡窗口相關的客戶資訊，透過以規則為基礎的運作模式，降低對於人工調查與判斷的依賴。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">這套智慧KYC系統包含生物辨識驗證、人臉辨識、物件偵測、智慧流程自動化，還有負責文字資料處理的人工智慧平臺Pluto，中國信託銀行也因此減少不必要的KYC資料蒐集時間，將新客戶資料建立流程縮短至5到7天。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 網路投保 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> QR Code共通支付標準 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">網路投保透過全國繳費網扣款，未來可能有兩方式提高當日交易限額</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">金融總會每年整合各金融業公會與周邊單位的建議，提出金融建言白皮書供金管會及相關部會參考，為與金融業者充分交換意見。就本年度金融建言白皮書，金管會主委顧立雄11月7日親率各業務局主管，與金融業者進行雙向溝通。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">其中，有關消費者網路投保並透過全國繳費網扣款，當日交易限額可提高至新臺幣100萬元的建言，基於身分認證的安全強度考量，金管會已建議採晶片金融卡進行認證，使其繳費額度可大幅提高；或請壽險業保費帳單導入QR Code共通支付標準的規格，消費者以行動金融卡或於行動銀行繳費時，只要掃描該帳單QR Code，即可完成繳費。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="font-size: 14pt;">中央銀行</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">Nasdaq、</span><span style="font-size: 14pt;">DBS</span><span style="font-size: 14pt; vertical-align: top;">；</span><span style="vertical-align: top; font-size: 18.6667px;">攝影／李靜宜、洪政偉</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">1. </span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;"> </span></strong><strong>KPMG發布2019 FinTech100報告，前三名為螞蟻金服、Grab、京東</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 18.6667px;">2. </span></strong><strong>南韓正在進行開放銀行系統試點，將於12/18開放給FinTech業者</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">3. </strong><strong>LINE臺灣開發者大會12月初登場，可與LINE Pay、LINE Bank開發團隊交流</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">資料來源：iThome整理，2019年11月。</strong></p> </div></div></div>
2019/11/14 17:16作者李靜宜https://www.ithome.com.tw/news/134207
GitHub首個行動程式問世，發表可保管程式碼上千年的Arctic Code Vault
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原始碼代管平台GitHub為了慶祝站上的開發人員數量<a href=" https://www.ithome.com.tw/news/134153">已突破4,000萬人</a>，在本周宣布多項進展，包括釋出GitHub行動程式測試版，GitHub Actions與GitHub Packages邁入正式版，改善了通知功能與程式碼搜尋，更發表了「北極程式碼保險櫃」（GitHub Arctic Code Vault），號稱可將重要的程式碼保存超過1,000年。</p> <p>GitHub for mobile為GitHub首個行動程式，主要目的是維持開發者與團隊的聯繫，像是針對某個設計的討論發表意見，或是檢查幾行程式碼，也能合併變更，但以簡單功能為主，目前只有支援iOS的測試版，很快就會釋出支援Android的版本。</p> <p>而GitHub Actions則可用來建立自動化的軟體開發流程，目前包括AWS與Google在內的許多組織已打造了逾1,200個工作流程，可透過GitHub Marketplace取得。GitHub也讓諸如Raspberry Pi等Arm架構可執行Actions並免費使用self-hosted runners與artifact caching。</p> <p>5月釋出測試版的GitHub Packages則是個程式碼打包工具，整合了權限管理與帳號，由GitHub代管的套件會列出歷史紀錄與下載數據，迄今開發者已上傳超過3萬個套件到GitHub上，現在亦已邁入正式版。</p> <p>GitHub表示，GitHub Actions與GitHub Packages現已成為每個開發者帳號的一部份，且所有公共儲存庫皆可免費使用，開發者可藉由Actions自動發布新的套件版本至Packages，利用Actions觸發套件的安裝，或是安裝來自Packages的套件。</p> <p>另一項重要的改善為通知功能。GitHub在通知功能上增添了客製化的過濾機制，以避免開發者的信箱被雜亂的通知訊息淹沒。</p> <p>其它GitHub發表的新功能還包括程式碼導覽、程式碼搜尋、程式碼檢查任務指派、預約提醒，以及功能預覽等。</p> <p>而除了功能的改善之外，GitHub還在本周宣布了GitHub Archive Program封存專案，目的是要保存開源碼，以讓後代也能使用。</p> <p>這項專案的聲勢浩大，其合作夥伴囊括了史丹佛圖書館、專門推動長期思維的Long Now Foundation、網路檔案館（Internet Archive）、軟體遺產基金會（Software Heritage Foundation）、專門保存健康數據的Piql、微軟研究院，以及牛津大學的博德利圖書館（Bodleian Library ）。</p> <p>GitHub表示，開源碼軟體是現代文明的隱藏基石，也是全人類共享的遺產，它們將把不同的複本以不同的資料格式存放在各處，希望能夠將這些重要的開源資產保存至少1,000年。GitHub準備在2020年的2月2日拍下每個活躍中的公開儲存庫的快照，再將它們存放在「北極程式碼保險櫃」（GitHub Arctic Code Vault）中。</p> </div></div></div>
2019/11/14 17:17作者陳曉莉https://www.ithome.com.tw/news/134208
英國工黨網站驚傳遭到兩起DDoS攻擊，疑為俄羅斯再度介入大選
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近因脫離歐盟的行動無法順利進行，英國首相強生（Boris Johnson）多次提議，將原本預定於2022年舉辦的大選，提前到今年舉行，期望讓保守黨能在下議院擁有多數席位，以便打破政治僵局，讓脫離歐盟的計畫能順利推動，而下議院終於在上個月底同意首相的提案，英國即將於12月12日舉辦投票。但就在11月11日至12日，在野黨工黨的網站卻驚傳受到分散式阻斷服務（DDoS）攻擊，而此事件之前，該黨指稱，發現有位於俄羅斯和巴西的電腦，對他們發動攻擊。</p> <p>由於近年許多國家的選舉過程中，不時傳出有境外勢力意圖干涉，而發生資安事件。就連臺灣去年的九合一選舉，也不例外。中選會提供民眾查詢記票結果的網站，在投票當天<a href="https://www.ithome.com.tw/news/127358">傳出遭到攻擊</a>，所幸在嚴密的監控與因應之下，不致讓民眾發現有異。因此，若是事件如攻擊者的規畫，造成重大損害，便有可能造成選民對於政府不信任，進而讓攻擊者達到左右政治的目的。</p> <p>根據英國廣播公司（BBC）報導，工黨的網站先後於11月11日與12日，各遭受一次嚴重的攻擊。工黨指出，他們遭受的第一次攻擊，並非大規模或是複雜的攻擊事件。另一方面，英國網路安全中心（NCSC）發言人表示，該黨依照相關的作業程序，迅速進行通報，此次事件已經落幕，攻擊者並未得逞。NCSC也證實，工黨遭遇到DDoS攻擊。</p> <p>此外，由於剛好工黨的網站不久前也傳出洩露線上捐款人個資，而被外界質疑，本次攻擊是否也出現資料外洩的情況，對此工黨則是予以否認。</p> <h2><strong>攻擊者意圖中斷政黨網站運作</strong></h2> <p>針對這起攻擊事件，工黨黨魁柯賓（Jeremy Corbyn）則強力譴責，他認為在選舉期間出現網路攻擊事件，事態可說是非常嚴重，極有可能是某些重大事件的徵兆，對此他感到極度憂心。根據工黨競選執行董事Niall Sookoo給候選人的信件指出，他們在11日下午從資安系統上發現，在一段非常短的時間中，工黨的平臺遭到大規模攻擊，攻擊者意圖癱瘓整個網站。</p> <p>對於整起攻擊事件的看法，也有資安人士抱持類似柯賓的觀點。Darktrace資安專家Emily Orton告訴英國廣播公司第4電臺，這起事件僅是其中的冰山一角，而且不只是工黨，其他英國的政黨也都處於威脅之中。</p> <p>事隔一天，工黨的網站再度於11月12日淪陷。發言人在本次攻擊事件的報告裡指稱，他們正在進行相關因應措施，儘速讓網站恢復正常。為了了解工黨網站的運作狀態，我們於11月13日造訪這個網站，網頁瀏覽器顯示錯誤訊息，並指出原本的網頁處於離線狀態而無法使用。於14日再次檢視，該網站已恢復正常。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LabourParty-siteoffline.png" style="width: 590px;" /></p> <blockquote><p>工黨的網站（<a href="https://labour.org.uk/">https://labour.org.uk/</a>）伺服器於11月13日仍是離線狀態，使用者存取會出現502錯誤。</p> </blockquote> <p>不過，近期並非只有工黨網站出現攻擊事件。根據路透社的報導，2名知情人士透露，約於11月12日下午4點，執政黨保守黨的網站也遭到攻擊，但駭害並未得手，因此這些網站仍能正常運作。而一名保守黨發言人則表示對於此事並不知情，而無從發表看法。至於攻擊的來源，知情人士僅表示與工黨事件的幕後主使不同。</p> <p>工黨認為，他們遭到的攻擊可能與俄羅斯有關。而有外部勢力意圖左右英國政治，已非首例。從2016年的脫歐公投，以及前一次於2017年大選，都出現俄羅斯在背後干預的傳聞。對此，英國政府也進行相關的調查。然而最近卻傳出，英國國會情報暨安全委員會（ISC）的調查報告已經通過國會審查，內閣疑似為了避免影響選情而暫緩公開的傳聞，使得前述攻擊事件發生的原因，增加不少可議之處。</p> <p>對於上述傳聞，英國副財政大臣蘇納克（Rishi Sunak）予以否認。他告訴英國獨立電視臺（ITV），當局尚未公布報告的原因，是需要完成其他的審查程序，而非打算延後公布。至於相關報告公開的時程為何？該名官員並未進一步說明。</p> </div></div></div>
2019/11/14 14:27作者周峻佑https://www.ithome.com.tw/news/134200
星展銀行年底前將在臺撤光全部ATM，以推動無現金化金融服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了順應數位金融科技趨勢變化，推動無現金化金融服務，星展銀行（台灣）近期公告，將在臺移除所有分行的自動提款機（ATM）。</p> <p>星展銀行表示，將於12月2日開始，陸續移除星展銀行各分行的ATM，預計年底前全數撤除在臺所有ATM。並且，要將自動補摺機服務時間，調整為銀行營業日，也就是從早上9點到下午3點30分。</p> <p>這意味著，明年開始，星展銀行的客戶，不能再透過星展銀行ATM提領現金，得親臨櫃臺辦理相關服務，或是利用他行ATM進行現金提領。星展銀行也建議客戶，可以隨時透過網路銀行、行動銀行，查詢帳戶交易明細與進行自動化交易。</p> <p>星展銀行也表示，12月1日開始，他們將提供更優惠的國內跨行提款手續費減免，除了「星展豐盛理財」、「星展豐盛私人客戶」維持現行每月30次跨行提款手續費減免優惠之外。其他客戶，只要持有星展銀行任一活期儲蓄存款帳戶，跨行提款手續費減免，將全面提升為每月15次。</p> <p>根據金管會統計數據，截至今年8月，全臺ATM總數共有30,080臺，每臺ATM服務784人，且數據也顯示，全臺ATM總數逐月攀升，光是今年1月到8月，全臺就增加了383臺ATM。星展銀行在臺裁撤掉所有ATM之舉，也將使其成為臺灣首家沒有設立ATM的銀行。</p> </div></div></div>
2019/11/14 16:21作者李靜宜https://www.ithome.com.tw/news/134202
蘋果官方維修人員偷看送修iPhone相簿，還把私密相片傳給自己
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國一名消費者發現她的iPhone送到Apple Store維修後，她的手機相簿遭到蘋果維修人員翻過，還把其私密相片傳給自己。</p> <p>加州貝爾斯菲爾德（Bakersfield）市居民<a href=" https://www.facebook.com/gloriaelisa.fuentes/posts/1409607202535792">Gloria Fuentes上周在臉書</a>上痛陳當地維修人員幹的好事。她因為手機螢幕問題將iPhone送到在蘋果商店的「天才吧」（Genius Bar）維修，送修前還特別將金融相關資訊，或任何連到帳號的連結、社交軟體app等全部刪除。但她忘了將手機內的相片刪除。</p> <p>負責維修的是一名叫Nic的「天才」（Genius），他拿著她的iPhone東按西按，還問了她兩次密碼鎖。一番工夫後iPhone修好，她回家後發現有人用她的手機傳訊息給一個陌生電話號碼。打開一看，內容竟是她和男友的親密照，照片還附帶用戶的地理座標。顯然維修人員將該消費者的照片傳給了自己。消費者表示，這張照片是一年前拍攝，而她手機有5000多張照片，因此那人一定是在她手機相簿內翻找好久，她也擔心這個人會將照片流傳出去。</p> <p>消費者氣急敗壞地回到該蘋果商店和維修人員對質。對方坦承電話號碼是他的，但他說不知道相片內容為何。消費者也準備提告。蘋果商店經理表示會調查此事。</p> <p>這名員工很快遭到蘋果解僱。<a href=" https://bakersfieldnow.com/news/local/apple-employee-fired-for-sending-customers-personal-photos-to-himself ">蘋果告訴當地媒體</a>，蘋果獲知此事後立即展開內部調查，判斷這名員工明顯違反公司對員工的嚴格隱私準則，該員工已和蘋果無關。</p> <p>當地警方也表示正在調查此事，這名員工可能面臨刑事責任。</p> <p>不過這不只發生在蘋果商店。本月美國猶他州的Verizon直營店一名員工也將用戶手機中的私人照片<a href=" https://www.abc4.com/news/local-news/shocked-park-city-cellphone-store-employee-arrested-for-stealing-customers-nude-photos/">傳給自己</a>。2012年維吉尼亞州一名Best Buy店員<a href=" https://www.cnet.com/news/best-buy-employee-accused-of-copying-womans-steamy-photos/">不但下載</a>用戶手機中的私人照片，還做成CD備份。</p> </div></div></div>
2019/11/14 16:21作者林妍溱https://www.ithome.com.tw/news/134203
16吋MacBook Pro來了! 15吋退場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周發表了16吋的MacBook Pro，它配備6核心或8核心處理器，把蝶式鍵盤改為新型的剪刀式鍵盤，它直接取代了15吋的機種，且價格不變。</p> <p>新款MacBook Pro最明顯的改變即是螢幕尺寸，16吋MacBook Pro的解析度為3072x1920，也是蘋果史上最大的Retina筆電螢幕。此外，它揚棄了遭到詬病的蝶式鍵盤，換上了基於剪刀式設計的Magic鍵盤。亦重新設計了散熱架構，讓它的通風能力增加28%，散熱器也比之前大了35%。它還配備了100Wh的電池，讓它的電池續航力比舊款多了1小時，可持續瀏覽網路或觀看影片11小時。</p> <p>16吋MacBook Pro有兩種主要規格，它們都採用採用英特爾第九代處理器產品，但一個是6核心的Core i7處理器，另一個為8核心的Core i9處理器，前者配備512GB固態硬碟，後者則有1TB固態硬碟，售價分別是2,399美元（臺灣蘋果官網定價為77,900元新台幣）與2,799美元（臺灣為89,900元新臺幣）。另外，它可選配的硬碟容量最大可達8TB，但得加價2,400美元或2,200美元。</p> <p>除了16吋MacBook Pro之外，同一天蘋果也更新了桌上型電腦Mac Pro及顯示器Apple Pro Display XDR，前者配備工作站等級的Xeon處理器，最多可選配28核心。</p> <p>目前蘋果的筆電家族包括16吋MacBook Pro、13吋的MacBook Pro，以及13吋的MacBook Air。</p> <p>16吋MacBook Pro已登上蘋果官網，本周末會在美國的蘋果商店上架，預計很快就會部署到全球市場，台灣蘋果官網已列出16吋MacBook Pro的資訊及售價，但尚未開賣。至於新款的Mac Pro及Apple Pro Display XDR則計畫在12月上市。</p> </div></div></div>
2019/11/14 16:37作者陳曉莉https://www.ithome.com.tw/news/134205
Mirantis併購Docker Enterprise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mirantis.com/blog/mirantis-acquires-docker-enterprise-platform-business/">雲端運算服務供應商Mirantis宣布從Docker併購了Docker Enterprise平臺業務</a>，併購內容包括Docker Enterprise產品以及其750位客戶。Mirantis提到，這次的併購能加速Mirantis為開發者在雲端或是企業就地部署，提供一致Kubernetes即服務（Kubernetes-as-a-Service）的目標。</p> <p>Docker在2017年3月的時候，正式將Docker Commercially Supported（CS）商用版本更名為Docker Enterprise。Docker Enterprise讓企業開發人員，可以在公有雲、混合雲或是邊緣環境，建置、共享並執行應用程式。目前財富100強企業有三分之一，全球500大企業有五分之一正在使用Docker Enterprise。</p> <p>也由於Kubernetes生態系逐漸成熟壯大，在2017年10月，Docker Enterprise將Kubernetes納入其通用控制平臺（Universal Control Plane）中，用戶可以選擇用Kubernetes或Swarm來調度及管理容器任務。</p> <p>Mirantis這次收購的只有Docker Enterprise業務，包括了產品、技術、IP以及客戶和合作夥伴關係，平臺技術與相關IP，涵蓋了Docker Enterprise Engine、Docker Trusted Registry、Docker通用控制平臺以及Docker CLI。Mirantis也會擁有所有的Docker Enterprise客戶和合約，過去締結的策略技術聯盟和合作夥伴計畫，也都會一併轉移到Mirantis。Docker Enterprise的員工也會留下，繼續產品的開發工作。</p> <p>Mirantis提到，結合他們的Kubernetes技術與Docker Enterprise，可以完整實現應用程式的可移植性，可簡化企業將工作負載搬遷至雲上的過程，而作為VMware和Red Hat等鎖定平臺的替代產品，可讓想要應用混合雲與多雲基礎架構的企業，避免遭特定廠商鎖定（Cloud Lock-in）或是雲端服務雜亂擴張（Cloud Sprawl）等問題。</p> <p> Mirantis將繼續為Docker Enterprise強化Kubernetes技術應用，在各種基礎設施提供一致的開發體驗，並持續進行開放原始碼以及開放標準的發展。而Mirantis也表示，未來調度工具趨勢為Kubernetes，他們承諾會為Swarm提供至少兩年的支援，不過他們正在評估Swarm的退場機制，以及搬遷到Kubernetes的解決方案。</p> </div></div></div>
2019/11/14 16:48作者李建興https://www.ithome.com.tw/news/134199
Z控股證實了！正在洽談日本雅虎與LINE的經營權合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天日本媒體披露了日本雅虎母公司Z控股（Z Holdings）和LINE的韓國母公司Naver正在討論，要合併LINE日本服務和日本雅虎的事宜，引發各界高度關切。<br /> 日本雅虎母公司Z Holdings今天早上<a href="https://file.swcms.net/file/sw4689/ja/ir/news/auto_20191114426502/pdfFile.pdf">緊急發布聲明</a>，以財務長坂上亮介名義，證實了正與LINE，在洽談日本雅虎與LINE的整併事宜。<br /> Z Holdings聲明稿翻譯如下：</p> <p><strong>昨天晚上，日本經濟新聞等多家媒體報導了本社與LINE公司的經營權整合適宜。<br /> 沒錯！目前本公司與LINE公司的確正在洽談相關的協議，<br /> 但是，目前還沒有做出任何決定。<br /> 日後所有相關應該揭露的事實，我們也會即時宣布。</strong></p> <p>昨天新聞還傳出了軟銀和Naver將各出資5成，成立一家新公司來維運日本雅虎和Line，不過，Z Holdings沒有回應這個部分的細節</p> <p>日本雅虎用戶約5千萬人，而LINE在日本用戶約8,200萬人，兩者若合併後，有機會建立一個破億用戶的生態系。</p> <p>Z控股公司旗下除了日本雅虎，還擁有知名一休訂房網站、大型物流商ASKUL，以及Z金融集團，而雅虎則持有日本網銀Japan Net Bank的44.25％持股（與三井住友銀行持股比例相同）</p> <p>Z控股的發展策略，其實與LINE近年力攻的點數經濟和金融科技布局類似，透過資料平臺整合支付和交易、線上用戶使用時間、電商交易、可記錄的使用者規模，來貫穿電商、會員、O2O、金融、整合營銷、廣告等產業，來營利。</p> </div></div></div>
2019/11/14 12:35作者王宏仁https://www.ithome.com.tw/news/134197
Google將和花旗合推支票帳戶服務，跨足銀行業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書、蘋果相繼跨入金融服務之際，<a href=" https://www.wsj.com/articles/next-in-googles-quest-for-consumer-dominancebanking-11573644601">華爾街日報</a>、<a href=" https://www.reuters.com/article/us-google-finance/google-pay-to-offer-checking-accounts-through-citi-stanford-federal-idUSKBN1XN1IQ ">路透社</a>報導，Google將與花旗銀行等金融業者合作提供個人支票帳戶服務，成為其跨入銀行業首作，預計明年正式上線。</p> <p> 在代號為Cache的服務下，Google和花旗銀行及史丹佛聯邦信用合作社（Stanford Federal Credit Union）合作「智慧支票」（Smart Checking）服務，讓使用者透過Google Pay app執行數位化支票業務。</p> <p> 路透社引述Google發言人指出，這項服務旨在協助客戶獲得有用的管理及預算規畫工具，並將錢存在受到美國聯邦存款保險(FDIC) 及美國家信用聯盟署(National Credit Union Administration)保障的銀行帳戶。這項服務預計明年上線，但Google表示屆時才會有更多細節公佈。</p> <p> 花旗銀行及史丹佛聯邦信用合作社也證實本消息。前者表示，這項合作可擴大其客戶群，但隱私和資訊透明度則一直是第一要務，後者則說本合作有助於提升其競爭力與滿足客戶期望。</p> <p> 這也是繼蘋果和高盛證券合作Apple Card，以及臉書與27家公司組織合推數位貨幣Libra計畫後，最新一家科技龍頭跨入銀行業領域，尤其Google已經經由其搜尋服務成為擁有最多使用者個資的科技業者。政界人士對此表達關切，路透社引述一名參議員表示必須此事需要嚴加審視。</p> <p> 對此Google顯然早有預期。Google說已經和主管機關洽談過支票帳戶服務的法規遵循問題，不過不願透露是哪家單位。</p> <p> 另一方面，臉書在Libra屢屢受挫的同時仍持續推進金融業務，本周發表名為<a href="https://www.ithome.com.tw/news/134163">Facebook Pay</a>的新支付系統，讓使用者在臉書、Messenger、Instagram以及WhatsApp上付款、匯款給朋友，或是購物、捐贈。</p> </div></div></div>
2019/11/14 11:21作者林妍溱https://www.ithome.com.tw/news/134194
AWS、Salesforce與Genesys合推雲端資料互通計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services (AWS)、Salesforce、客服中心方案廠商Genesys三家業者和Linux 基金會周三宣佈合推<a href="https://www.linuxfoundation.org/press-release/2019/11/amazon-web-services-genesys-salesforce-form-new-open-data-model/">「雲端資訊模型」（Cloud Information Model, CIM）</a>，以促進雲端平台的資訊相容及互通。</p> <p>Linux基金會指出，為促進數位轉型，現今各類企業紛紛從本地部署（on premise）應用轉向雲端原生應用程式。根據IDC估計，全球雲端運算產值到2024年將達到4180億美元，其中半數用在整合資料以提供個人化的客戶體驗。然而雲端運算碰到的挑戰之一是大家都使用各自獨立的資料模型，造成開發人員必須開發、測試和管理不同程式碼，才能在不同系統間進行資料轉換和互通，這過程耗時、沒效率，造成開發時程延宕及破壞使用經驗。而AWS、Salesforce、Genesys的合作就是為了移除不同雲端平台間的障礙。</p> <p>三家公司和Linux基金會下的聯合發展基金會（JDF）合推開源資料模型Cloud Information Model，目的在經由標準化，促進雲端應用程式的資料互通性，加速新雲端產品的開發。實際作法下，CIM將針對PoS系統、數位行銷平台、客服中心、CRM系統等提供標準化的資料互通指導原則，讓開發人員不必再花幾個月時間撰寫程式碼。他們只要採用CIM模型或予以擴充，幾天內就能建立資料湖泊、產生分析、訓練機器學習模型、或產生客戶的整合分析。</p> <p>三家創始成員公司已經分別將CIM運用於各自產品中。例如AWS的資料倉儲開發及管理工具AWS Lake Formation，讓客戶可下JSON或SQL scripts為其AWS資料湖泊和資料倉儲建立與CIM相容的schema。</p> <p>Salesforce的API平台MuleSoft原生支援CIM以尋找（discover）CIM 資料型態，方便用戶開發相容的整合API。目前這些API已可在MuleSoft的交易市集Anypoint Exchange下載。另外，Genesys的雲端客服系統Genesys Cloud也可整合其他CIM相容資料源，以便即時產出客戶或員工的個人化服務。</p> <p>CIM聯盟也歡迎其他廠商加入。但這並不是雲端科技業推出的第一個資料互通計畫。去年<a href=" https://www.ithome.com.tw/news/126070">微軟、SAP和Adobe也合組</a>開放資料倡議（Open Data Initiative）目的也是推動開放資料框架，加速不同業者之間的軟體及服務資料能夠互通及移轉。有趣的是，兩計畫參與成員彼此頗有競爭關係。<a href="https://techcrunch.com/2019/11/13/aws-salesforce-join-forces-with-linux-foundation-on-cloud-information-model/">TechCrunch指出</a>，廠商如果再推這類競爭的「共通計畫」其實已背離了計畫的初衷。</p> </div></div></div>
2019/11/14 12:17作者林妍溱https://www.ithome.com.tw/news/134196
美國法院裁決：在機場無故搜查旅客手機及筆電是違憲行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電子前線基金會（Electronic Frontier Foundation，EFF）和美國公民自由聯盟（American Civil Liberties Union，ACLU）在2017年9月代表11名旅客向波士頓聯邦法院提出訴訟，希望法院規定政府必須持有搜索票才能搜查旅客的電子裝置，法官則於本周作出裁決，指稱美國政府在機場或其它邊界毫無原因地搜查旅客的筆電與手機，是違反了美國憲法的第四修正案。</p> <p> 美國憲法的第四修正案禁止無理的搜查與扣押，同時也要求法院在核發搜索票或同意扣押之前必須持有正當理由。</p> <p> 這11名原告中有10名美國公民，以及1名合法的永久居民，他們有的是NASA工程師、有兩位是記者、有一名藝術家、還有教授及程式設計師。美國國土安全部還曾企圖請求撤銷該案，所持原因是第四修正案不適用於邊境搜查，但遭到法院駁回。</p> <p> 負責隱私與科技專案的ACLU律師Esha Bhandari表示，此一裁決進一步強化了第四修正案對每年數百萬名國際旅客的保護，終止政府執行以挖掘不利證據為目的的調查行動，法院再次確認了邊界不是個沒有法律的地方，人們不會在旅行時喪失隱私權。</p> <p> EFF的資深律師Sophia Cope也說，未來國際旅客將不必再擔心美國政府會在毫無任何懷疑的狀態下，搜查他們所攜帶電子裝置中的個人資訊。<br /> 根據美國海關暨邊境保衛局（Customs and Borders Protection，CBP）的<a href="https://www.cbp.gov/newsroom/national-media-release/cbp-releases-updated-border-search-electronic-device-directive-and">突然披露</a>，他們在2017年時於邊境執行30,200次的電子裝置搜查，比2016年的19,051次增加了58%。</p> </div></div></div>
2019/11/14 10:47作者陳曉莉https://www.ithome.com.tw/news/134192
AI趨勢周報第109期：清大研發新型態仿神經晶片，在記憶體內嵌運算能力省百倍功耗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1108～1114)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 仿神經晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>邊緣AI關鍵！清大研發新型態仿神經晶片，在記憶體內嵌運算能力來省百倍功耗</strong></span></p> <p>清大電機系教授鄭桂忠揭露自家團隊研發的仿神經（Neuromorphic）晶片設計，鎖定如無人機影像辨識等邊緣AI應用，自行設計了感測器內嵌處理（Processing-In-Sensor）和記憶體內嵌運算（Computing-In-Memory）兩項關鍵技術，可大幅降低數百倍的晶片功耗，來支援無人機等邊緣AI的高速影像辨識需求。</p> <p>鄭桂忠解釋，一般無人機影像辨識時，得將拍到的大量影像，回傳到筆電或後端系統，來進行AI運算，但要傳輸所有影像相當耗電，導致無人機飛行時間有限。有鑑於此，清大團隊設計了可以在鏡頭內進行AI運算的超低功耗晶片，能直接在鏡頭內進行卷積處理、提取特徵，或像是比對前後兩幀畫面的差異，對差異進行影像處理等，如此可大幅減少回傳的資料量來省電。</p> <p>清大團隊還仿神經架構，設計了新型態的記憶體，直接在記憶體中嵌入了運算元件，來進行資料運算，不需將資料送出到CPU上運算，目前可支援到卷積神經網路的計算。實驗結果顯示，與傳統運算資源相比，這個新架構可減少數百倍的功耗。清大團隊將這兩項技術整合在自家研發的仿神經晶片上，未來要推廣到無人機等邊緣AI裝置。<a href="http://most-sat.atri.org.tw/archive/file/02-%E7%84%A1%E4%BA%BA%E6%A9%9F%E8%A6%96%E8%A6%BA%E4%B9%8B%E9%97%9C%E9%8D%B5%E6%8A%80%E8%A1%93-%E4%BB%BF%E7%A5%9E%E7%B6%93%E6%99%BA%E6%85%A7%E8%A6%96%E8%A6%BA%E6%99%B6%E7%89%87-%E9%84%AD%E6%A1%82%E5%BF%A0%20%E6%95%99%E6%8E%88.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202019-11-14%2010_09_21.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陽明大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 降噪</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聽損 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>陽明大學用AI降低電子助聽器環境噪音，給聽障同胞更乾淨的語音</strong></span></p> <p>陽明大學團隊歷時3年研發一款環境降噪App，利用AI來降低電子助聽器接收的環境噪音，讓聽障同胞更容易聽清楚語音對話。歷年研究顯示，在安靜環境中，聽障同胞使用電子耳助聽器輔助，語音理解力可達80％，但在噪音環境卻只剩下50％，甚至更低。</p> <p>有鑑於此，陽明大學團隊決定開發降低環境噪音的AI模型和App。首先，團隊錄製了上百種噪音，比如工地、街道、菜市場、車輛引擎聲等，再在每種噪音環境中混入200句語音對話，來訓練AI模型辨識語音環境。學會分辨噪音類型後，再用AI進行噪音消音，保留人類語音，回傳至電子耳中。實際運作上，手機App與電子耳連線，利用手機收音，經AI模型辨識噪音、降噪後，再將音訊傳送至電子耳。實驗顯示，經降噪的語音環境可提高聽障同胞的語音理解能力，最高提升40％。<a href="https://web.ym.edu.tw/files/14-1133-41871,r1-1.php?Lang=zh-tw">（詳全文）</a></p> <p><img alt="" src="https://web.ym.edu.tw/ezfiles/133/1133/img/1/1081112-002.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像辨識 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 精準農業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 清大 </span></strong></span></p> <p><span style="font-size:22px;"><strong>11公頃火龍果園靠AIoT和無人機來照顧，清大揭精準農業關鍵技術</strong></span></p> <p>清大電機資訊學院院長黃能富日前公開介紹自家團隊研發的精準農業平臺LPWAN，整合了IoT環境感測器、無線傳輸技術NB-IoT/LoRa、無人機、AI影像辨識和區塊鏈等技術，透過數據來精準種植、施肥、收成，甚至輔助包裝出貨的分類作業。</p> <p>全臺最大的單一火龍果園屏東帝王果園，就導入這款平臺來管理龐大的園地，來進行疏花、授粉、施肥和採果作業。感測器部分，可量測土壤溫溼度、導電度，以及空氣溫溼度、光照度，由太陽能板供電，再由長距離、低功耗的網路傳輸技術LoRa或NB-IoT來傳送資料至後臺系統。在AI運用上，可分為果實數量預測和成熟度預測，清大團隊先利用無人機空拍火龍果花朵影像，再切割至一張圖約10朵花的大小，來標記花朵，然後用1,000多張影像來訓練機器學習模型，用來辨識、統計花朵數量，預測果實數量。在分裝階段，清大收集了4,000張成熟火龍果影像，根據火龍果的鱗片顏色比例來標註成熟度，來訓練模型、進行水果分類。<a href="http://most-sat.atri.org.tw/archive/file/01-%E5%9F%BA%E6%96%BC%E4%BA%BA%E5%B7%A5%E6%99%BA%E6%85%A7%E7%89%A9%E8%81%AF%E7%B6%B2%E4%B9%8B%E8%BE%B2%E6%A5%AD%E5%8D%80%E5%A1%8A%E9%8F%88%E7%94%A2%E9%8A%B7%E6%9C%8D%E5%8B%99%E5%B9%B3%E5%8F%B0-%E9%BB%83%E8%83%BD%E5%AF%8C%E9%99%A2%E9%95%B7.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202019-11-14%2010_25_39.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文字產生模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-2 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI釋出具15億個參數的GPT-2文字產生模型</strong></span></p> <p>經過9個月觀察，OpenAI決定釋出擁有15億個參數的GPT-2文字生成模型及其程式碼和模型權重。這個GPT-2模型採用800萬頁的網頁作為訓練資料，以預測文本的下一個字為目標。由於訓練資料集龐大且多樣，因此模型不需要對特定任務進行訓練，就能應用於多種領域，包括機器翻譯、問答、閱讀理解和總結段落等自然語言任務。Open AI期望GPT-2能用來開發AI寫作助理或語言理解系統等應用。</p> <p>不過，OpenAI也表示，自9個月前開源小型版GPT-2模型以來，他們意識到建立「負責任的AI」的重要性。這是因為，只要給GPT-2模型一段文字，模型就能產生接續段落的文字，甚至是假以亂真的假新聞。OpenAI指出，接下來他們要繼續探討如何維持負責任的AI，並參與國際AI合作組織Partnership on AI，來研究相關議題。<a href="https://openai.com/blog/gpt-2-1-5b-release/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202019-11-14%2010_27_33.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無程式碼工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google更新無程式碼機器學習工具Teachable Machine，現可分類聲音</strong></span></p> <p>Google近日發布新版無程式碼機器學習工具Teachable Machine，可用簡單的方法來訓練AI模型，來辨識動作和聲音等更進階的應用。</p> <p>Teachable Machine是一個網頁工具，使用者就算不會寫程式，依然能輕鬆訓練機器學習模型。Teachable Machine第一代可以用來辨識攝影機鏡頭中的物體，這次更新的Teachable Machine第二代擴充了模型支援的資料類型，比如可從影像來辨識人的姿勢，或是分類聲音，並以一鍵操作的方式訓練和調校模型，讓用戶能輸出和部署模型到網站、應用程式甚至是實體機器上。<a href="https://teachablemachine.withgoogle.com/">（詳全文）</a></p> <p><img alt="" src="https://teachablemachine.withgoogle.com/assets/img/contentpage/home/poster.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">NEC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虹膜偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像解析度 </span></strong></span></p> <p><span style="font-size:22px;"><strong>NEC首度展示行進中的人眼虹膜偵測新技術，更能認得2公尺遠的不同人眼</strong></span></p> <p>日本辨識科技大廠NEC日前首次展示新一代人眼虹膜辨識模型雛型，突破了過去虹膜辨識的瓶頸。這項新技術不只能在定點辨識，也能在人員行走時成功識別身份，最遠還能偵測2公尺距離的不同人眼。</p> <p>此外，NEC這項新技術還能維持一定程度的高辨識率，這是因為NEC打造了一套用來辨識虹膜的人眼追蹤系統，可根據行人距離遠近、頭部擺動，來自動縮放鏡頭畫面，將對焦位置調整到眼部重點區域，以放大想要對焦的主體，讓人眼畫面更清晰，即使人距離2公尺遠，直徑1公分的人眼虹膜，拍攝出來影像解析度仍可達到200萬畫素。接著，系統會將拍攝的虹膜影像輸入到自家的虹膜辨識引擎，用來分析虹膜特徵，來比對已註冊的虹膜，以確認其身份。<a href="https://www.ithome.com.tw/news/134048">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺灣人工智慧學校 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產業AI化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT建設 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣AI學校產業AI化大調查：僅2成企業成功擁抱AI</strong></span></p> <p>臺灣人工智慧學校日前揭露臺灣產業AI化的調查報告，樣本涵蓋學校1,162位校友與在學學員，對自家公司AI應用現狀的回覆，總企業數有516家。調查截至今年10月，有效問卷為1,095份，過半來自製造業，其次40％來自服務業，其他還有學術單位、金融業、財團法人、政府等。</p> <p>調查結果顯示，86％的AI作答者，在上過AI學校的課程後，認為企業應該開始導入AI，但以實際執行層面來看，僅有43％企業明確宣布策略，而真正成功導入的企業只有20％。臺灣AI學校執行長陳昇瑋表示，約三分之一的臺灣企業CEO沒有導入AI的計畫，這個結果較其他國家高。而阻擋企業推動AI的主因，則是資料品質不佳與取得不易，再來則包括了自家企業領導階層認知不足、IT建設與人才缺乏等。<a href="https://www.ithome.com.tw/news/134106">（詳全文）</a></p> <p>圖片來源／鄭桂忠、陽明大學、黃能富、OpenAI、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 臉書以PyTorch改寫物體偵測函式庫釋出Detectron2 </strong></p> <p><strong>2. Yahoo奇摩新一代自動化物流中心入庫到出貨全程靠AI優化，10分鐘就可出貨</strong></p> <p><strong>3. Google釋出高效能切割模型ShapeMask</strong></p> <p><strong>4. 圖資料庫Neo4j推出企業級全託管資料庫服務Aura </strong></p> <p>資料來源：iThome整理，2019年11月</p> <div id="gtx-trans" style="position: absolute; left: 684px; top: 160.375px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2019/11/14 10:59作者王若樸https://www.ithome.com.tw/news/134182
不盲追連鎖超商新興科技潮，萊爾富智慧零售穩健走自己的路
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的便利商店密度全球第二，僅次南韓，四大便利商店業者超過了1萬家門市，在臺北市，甚至一條街就可能有兩三家門市，對許多人來說，每天到便利商店買飲料、餐點、繳停車費，或是電信、信用卡帳單，早已是日常生活中的一部份。</p> <p>談到便利商店，大家可能會立刻想到7-Eleven或是全家，兩家跨國連鎖超商業者穩站國內超商一、二名，而另兩家本土超商業者中，1989年成立的萊爾富為知名食品業者光泉牧場的關係企業，以將近1,400家門市成為第三大超商，今年成立正好滿30個年頭。</p> <p>早在1989年萊爾富早期籌備時，萊爾富資訊總處資訊長葉馥蘭就參與其中，雖然不到一年，她就回到光泉牧場，直到1998年，為了打造萊爾富第一代POS系統，她重回萊爾富，並帶領資訊團隊至今。</p> <p><span style="font-size:28px;"><strong>開發POS及Life-ET建立現代化超商雛形</strong></span></p> <p>POS系統的引進，可以看出萊爾富發展現代化超商的過程。成立初期，先在門市建置了ECR發票機，看到同業大量透過POS來提供代收服務，雖然缺乏國外技術與支援，但萊爾富仍決定自行發展POS，這就是葉馥蘭重回萊爾富後的首要工作。</p> <p>為了開發這套POS，萊爾富資訊部門和行銷團隊組成小組，自行規畫系統功能和規格，再委外開發軟體，以Windows NT 4.0開發POS系統，為了節省成本，店舖後端系統也只使用一般的PC，搭配免費資料庫系統，各門市間與總部則使用56K撥接服務來傳輸資料，不過，受限連線速度，總部只能進行大類帳的彙整，而無法更進一步追蹤單品項的帳目資訊。</p> <p>2002年再次改良POS機，將Windows換成Linux系統，以減少使用的資源，也同時擴充了記憶體，可以做到單品項產品的進銷存管理。2014年開發的第三代POS機，不只大幅更新軟硬體設備，也開始優化UI介面及提示資訊，讓店員更容易操作。</p> <p>儘管POS的發展，慢了同業一步，但在2003年，萊爾富也開始在門市設立自助式多媒體機（KIOSK）Life-ET，這個在現代超商裡很普遍的自助服務設備，承載了超商服務的平臺，也是萊爾富邁向現代化超商的一個重要里程。</p> <p>不過，對萊爾富而言，開發Life-ET是一項全新的挑戰，當時國內沒有這樣的設備，同業也無人導入。後來開發出的第一代Life-ET功能相當陽春，只有螢幕及紙卷，用以列印小白單。</p> <p>光有機檯還不夠，資訊團隊還要自己拉外部服務進駐Life-ET，葉馥蘭回憶Life-ET剛開始只有銀行紅利點數兌換商品、手機圖鈴下載、捐款三項服務，後來服務模式發展成熟後，改由業務單位接手引進更多業務，目前Life-ET提供食衣住行育樂等多元服務。</p> <p>也因為Life-ET需要更即時、穩定的連線，隨著Life-ET問世，萊爾富各門市也從撥接網路改為ADSL網路，也串連了總部、所有門市、物流、區課的網路，來加快資料的互連流通，卻沒有意識到資安防護，後來突然爆發疾風病毒，引發了網路全斷的大災難，門市也因此無法開立發票，訂貨作業也大受影響。</p> <p><span style="font-size: 28px;"><strong>疾風病毒爆發釀大災難，開始提高資安意識</strong></span></p> <p>「早期我們沒有意識到資安的嚴重性」，葉馥蘭坦白說，當時萊爾富的資訊人員主要是軟體開發及硬體工程師，前者只專注在開發上，而後者則負責硬體維修、電腦組裝為主，兩者皆欠缺對網路架構、資安的意識。原本為了跨店服務而將後勤與所有門市互連，在網路互通及缺乏資安意識下，突然來襲的疾風病毒先癱瘓其中一家門市的網路流量，很快就擴散到所有門市。</p> <p>為中止疾風病毒擴散，合作廠商決定中斷網路，但這卻嚴重影響了各門市的訂貨作業，萊爾富只能先依據上一周的數據來處理門市訂貨，確保門市不致缺貨，也因為所有的門市網路中斷，當時只能和合作廠商，派人到一家一家門市現場處理。</p> <p>由於POS系統沒有安裝端點防毒，再加上Log紀錄時間太短，難以追溯哪裡出了問題，「直到現在我們還不清楚當時是如何發生的」，疾風病毒突然爆發不僅讓萊爾富措手不及，也幫他們上了一課。</p> <p>這場大災難讓萊爾富重新檢討，開始重視資安管理，尤其是IT得清楚掌握所有的網路架構，能夠快速找出發生異常的問題點。</p> <p>為了避免重蹈覆轍，萊爾富改變網路架構，各門市不再互通，並搭配安全閘道設備，來強化門市和中控機房間的連線安全，同時嚴格管理內部員工的USB使用，甚至設立工作機臺來檢驗USB的安全風險，還自行開發了資產管理系統，強化IT資產管理。</p> <p><span style="font-size:28px;"><strong>重視資訊管理、依需要嚐試新科技</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-350-%E8%91%89%E9%A6%A5%E8%98%AD_%E8%90%8A%E7%88%BE%E5%AF%8C_%E8%B3%87%E8%A8%8A%E9%95%B7.jpg" style="width: 350px;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>萊爾富資訊總處資訊長葉馥蘭表示：「CIO配合公司整體策略來制定IT工作方向和目標，扮演IT資源分配者與專案引導者」。</strong></span>（攝影／洪政偉）</span></td> </tr></tbody></table><p>葉馥蘭的目光，也從開發工作轉向IT管理與規畫，甚至，她回到學校讀書，取得碩士學位，學習資安、資訊管理方面的知識。在2008年，她接觸到ITIL這套源自英國的管理框架之後，大受吸引，不只積極接觸相關知識、上課，2012年還考取ITIL專家證照，並逐步將ITIL的理念落實到萊爾富的資訊部門，「希望建立共同的語言和觀念，不因為資源少或是專注在追求技術，而忽略管理工作。」她指出。</p> <p>在策略、流程、IT的架構下，葉馥蘭認為流程分析相當重要，「弄清楚服務的流程串連，在討論新業務或模式時，大家用流程來討論，如此各單位才會有共識，不致於IT和業務單位說著不同的語言」。</p> <p>萊爾富也在2011年開始學習雲端安全、瞭解雲端服務背後運作機制，但直到2017年萊爾富的VIP App才在政府補助下使用本地的公有雲服務，e-learning數位學習也轉到AWS。早期資訊團隊不到18人，即使現在已增加到32人，和其他同業上百人相比，萊爾富的資訊人力明顯不足。因此他們讓各資訊系統間的關聯性、如何介接、資料交換方式透明化，讓參與服務的上下游系統負責人清楚流程，儘管各自負責不同的系統，也能夠彼此支援。</p> <p>顯然萊爾富在擁抱新科技方面並沒有走在前方，「每個IT單位都有自己運作的方式及計畫，資訊部門所提供的服務，必須滿足公司的整體策略，而不是一味追求新科技」，她說。</p> <p>葉馥蘭相當清楚並非所有系統都適合公有雲，以企業為例，電子郵件系統可能適合上雲，但一些內部系統，因為資料交換頻繁，每天所有門市產生龐大資料量，這些資料如果都上雲將會產生可觀的成本，反而不符合效益。目前萊爾富內部已建立私有雲，用以支援門市端的需求作彈性調整。</p> <p>萊爾富正在評估AI在智慧零售的好處，他們和第三方廠商合作，將AI運用於保存不易、容易腐敗的鮮食類商品的訂貨預估上，目前正在進行概念驗證，以瞭解鮮食訂貨的AI預估準確性，「準確性愈高，愈能降低鮮食廠準備材料的損耗。」她說。</p> <p>物流是接下來將評估導入AI的部份，希望將數據輸入模型預測物流下單量。</p> <p><span style="font-size:28px;"><strong>建立彈性的IT基礎結構</strong></span></p> <p>早期的超商服務，萊爾富和其他競爭對手相比沒有落後太多，甚至在某些服務上還居於領先，但這幾年7-Eleven、全家兩大超商不斷推陳出新之下，葉馥蘭不諱言他們和同業間存在6到7年的服務差距，但在這幾年加緊追趕，萊爾富先後推出EC平臺、會員App、督導行動App、自助結帳等，縮短和對手的服務差距。</p> <p>「便利商店的業務這些年來變化非常快，數位轉型下，便利商店已不是大家眼中的高級雜貨店」。</p> <p>她指出，便利商店的每項服務，背後都是資訊系統，透過API和合作廠商交換資料，資料傳輸到物流及後端的帳務作業，整套系統需要串接起來，建立資料通道，才能節省後勤人事成本，有時候要配合合作廠商客製化，服務的複雜性、介接、退貨反向，這些在規畫時都要納入考量。她認為天下武功唯快不敗，但關鍵在於彈性的IT基礎架構。</p> <p>因此，萊爾富導入超融合設備建立虛擬化環境，並以API串接各系統。在軟體開發上，門市端系統導入了MVC（Model-View-Controller）架構，加快開發速度及彈性，同時也能降低廠商的限制。</p> <p>而這幾年，整體超商市場變化快速，新零售、新科技不斷衝擊現有的商業模式，讓她深刻體認到CIO在企業內扮演角色的重要性，「CIO配合公司整體營運策略來制定IT的工作方向和目標，扮演的是公司策略流程架構下的IT資源分配者與專案引導者，依業務單位的需求，分配資源執行服務」。</p> <p><span style="font-size:28px;"><strong>謹慎看待智慧零售，先導自助結帳</strong></span></p> <p>近來國內兩大超商強攻智慧零售，大量引進新科技，萊爾富相對低調，對智慧零售抱持謹慎、務實看法。</p> <p>葉馥蘭相信零售科技的發展，最終還是要回歸消費者的需求面，「消費者願意接受，才是我們想要採用的方式」。</p> <p>目前萊爾富較看好自助結帳的潛力，萊爾富總經理汪裕豐最近觀察到，歐美零售業者的自助結帳流程變得更成熟了，有獨立的自助結帳區，並且有店員協助消費者，最後從專門閘道離開。他認為，這樣的模式比較適合臺灣。</p> <p>因此，他們準備於內湖科學園區兩家門市測試自助結帳，讓消費者自行掃描商品條碼、使用非現金支付結帳，縮短等待的時間。</p> <p>萊爾富也追求新科技，但卻不因此盲從。「科技無法取代人的溫暖，資訊單位不必追求最新科技，而應以提供消費者最有溫度的服務為優先，來建立IT自己的運作和計畫。」這句話，點出了葉馥蘭自己的IT哲學。</p> <p> </p> <p><span style="color:#3399ff;"><strong>CIO小檔案</strong></span></p> <p><strong>萊爾富資訊總處資訊長葉馥蘭</strong></p> <p>學歷：銘傳大學資訊管理學系碩士。</p> <p>經歷：1989年加入萊爾富超商籌備處，同年調回光泉牧場，負責工廠原物料、零件系統及總公司收入支出等系統，1998年重新回到萊爾富，負責第一代POS系統專案，2012年取得ITIL Expert證照，之後一直在萊爾富帶領資訊團隊至今。</p> <p> </p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>萊爾富</strong></p> <p>● 地址：臺北市內湖區瑞光路502號3樓</p> <p>● 成立時間：1989年</p> <p>● 主要業務：零售流通業</p> <p>● 員工數：1,800人</p> <p>● 資本額：9億元</p> <p>● 年營收：220億元</p> <p>● 董事長：汪亦祥</p> <p>● 總經理：汪裕豐</p> <p><span style="color:#3399ff;"><strong>資訊部門檔案</strong></span></p> <p>● 資訊部門主管職稱：資訊總處資訊長</p> <p>● 資訊部門主管姓名：葉馥蘭</p> <p>● 資訊部門人數：32人</p> <p>● IT預算：1.3億元</p> <p><span style="color:#3399ff;"><strong>IT大事記</strong></span></p> <p>● 2003年：推出Life-ET多媒體機、開發門市E網、萊爾富電子表單系統及建置萊爾富官方網站(B2C)。</p> <p>● 2007年：導入商業智慧(BI)平臺、發票存根聯e化。</p> <p>● 2008年：建置企業入口網站、Life-ET導入E購卡及票券平臺。</p> <p>● 2009年：推出商品預付兌換券-超值購服務。</p> <p>● 2012年：研發電子商務通路分貨系統。</p> <p>● 2014年：開發門市3.0收銀及訂貨系統。</p> <p>● 2015年：研發電子商務(EC)系統平臺。</p> <p>● 2017年：推出萊爾富VIP APP、導入電子支付、雲端超商APP。</p> <p>● 2018年：導入自動化倉儲系統、推出禮券商品卡、HiPAY APP、Life-ET3.0及建置電子商務物流機房。</p> <p>● 2019年：導入門市店鋪管理行動裝置服務及電子福利金系統。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1114-xie_fu_lan_lai_er_fu_zi_xun_chang_960.png" width="960" height="420" alt="" title="萊爾富資訊總處資訊長葉馥蘭　（攝影／洪政偉）" /></div></div></div>
2019/11/14 09:00作者蘇文彬https://www.ithome.com.tw/people/134100
有限狀態機與前端
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有限狀態機是簡化的運算模型，在前端頁面需求日益複雜的場合，我們常見到採用有限狀態機模型的例子，但「霧裡看花不是花」，既然如此，不如直接探討有限狀態機，對前端狀態管理才能有根本認識。</p> <p><span style="font-size:28px;"><strong>有限狀態機!==狀態圖</strong></span></p> <p>在Flux、Redux等架構提出後，狀態管理這件事在前端領域，成了熱門議題之一，關於「有限狀態機」這個名詞，也經常穿插在前端相關的文件之中，使用者介面上，各式元件的現況被描述為狀態，事件被描述為驅動狀態變化的規則，然後將這一切畫成狀態圖，接著以相關程式庫或框架實現，只是，為什麼要用這些框架？如果只是想實現狀態圖，單純的DOM操作不也可以嗎？</p> <p>正如從命令式語言加上一些限制來理解函數式，終究只是個取巧方式，從純函數式語言中，才能看清楚真貌，如果想善用有限狀態機來進行狀態管理，最好的方式就是探討「有限狀態機」這個運算模型，也就是運算原理中最簡單的電腦模型，它被剝去複雜功能，以便從簡化的模型中理解、掌握運算本質。</p> <p>有限狀態機中的「狀態」是運算模型啟始後，接受一連串「輸入」後展現的現況描述，例如，0或1是兩個狀態，系統啟始時會處於初始狀態，像是狀態0，「規則」決定了系統處於哪個狀態下，接受哪個輸入會轉移至哪一狀態，像是「狀態0輸入1後，變為狀態1」是條規則，「狀態1輸入1後，變為狀態0」是另一條規則；而且，規則之間必須沒有矛盾，也就是：同一輸入不能有兩個可套用的規則，規則必須沒有遺漏，以及對於每個輸入都必須有能套用的規則。</p> <p>根據方才的說明，其實，我們已經建立了一個有限狀態機，在運算原理中，對於有限狀態機的探討，會從這類簡單狀態機開始，逐步建立複雜的有限狀態機，或者組合多個子狀態機來達成複雜任務；進一步來看，我們則會探討非確定性有限狀態機的運算，以及如何透過狀態合併，把非確定性有限狀態機轉換為等價的有限狀態機。</p> <p>關於有限狀態機的狀態圖？那只不過是以視覺化方式來表現有限狀態機罷了，如果沒能夠定義狀態、輸入、規則，沒能逐步建構、組合出複雜狀態機，沒能夠合併狀態……，是否畫出狀態圖，差別不過是文件中有沒有多張圖罷了。</p> <p>例如，撰寫規則表示式時，實際上，就是一種有限狀態機的設計過程，規則表示式能否比對出目標文字，重點在於能否掌握文字的規則、字元對應至哪個子表示式，以及如何組合子表示式成為更完整的表示式，在設計規則表示式時，應該很少有開發者會畫出狀態圖吧！</p> <p><span style="font-size:28px;"><strong>有限狀態機與函數式</strong></span></p> <p>狀態管理這件事也不只是前端才會面臨的問題，後端為了執行緒、同步等議題，早就做過類似的探討，狀態管理之所以複雜，就是因為狀態會變動，既然如此，那就堵死這條路，令狀態不會變動，就不會有狀態管理的問題。而就函數式語言來說，出發點就是沒有變數、資料內容不可變的概念。</p> <p>如果具有變數的概念，一旦變數橫跨了整個函式，而函式本體又非常冗長的話，很容易就在某個不經意的地方被修改；若一組資料狀態是可變的，在應用程式規模擴大之後，資料可能在任何時間、地點被修改，但方才談到「有限狀態機的規則必須沒有遺漏」，可變動的特性會令規則包含時間、地點作為輸入，若難以掌握這類輸入，就會令規則產生遺漏，從而難以掌握應用程式會進入哪個狀態。</p> <p>函數式的特色就是狀態不隨著時間、地點而改變，狀態不會變動這件事，並不是指整個應用程式狀態不會變，而是指函式在運算過程中，不用擔心收到的狀態與輸入，莫名地被改變了，既有的狀態與輸入，必然對應至另一個新建立的狀態。</p> <p>如果不是特別從事某些類型的程式開發，例如，數位電路、編譯器、網路協定等，過去開發者很少會接觸到有限狀態機，這是因為，命令式語言不限制開發者修改變數，開發者沒有意會到：在命令式語言修改變數值，實際上就是在產生一個新狀態。</p> <p>在函數式語言中，因為無法修改變數值，就會強制開發者抽離函式——大功能的函式，往往包含數個狀態變化，最後必定被迫抽離出數個子函式來組合。而在有限狀態機中，規則將目前狀態與輸入，映射至另一個狀態，這就像是函式，而將一個大函式分解為數個小函式的組合，就像是將大狀態機分解為數個小狀態機的組合，最後資料就像是從一個函式流往另一個函式，每經一個函式，就會是建立新的狀態，就如同狀態機中，每經一個規則，就會到達一個狀態。</p> <p><span style="font-size:28px;"><strong>狀態物件、狀態樹</strong></span></p> <p>對於前端來說，頁面呈現就是DOM樹的狀態可視化，在頁面與行為不複雜的情況下，修改頁面呈現的方式，就是修改DOM樹中很小的一部份，情況容易控制，也不需要用上狀態管理框架；然而DOM樹就是顆全域樹，在頁面與行為複雜之後，應用程式在任何時間、地點，都可以修改這棵全域樹的話，狀態與規則就會複雜化，漸漸地失去對DOM樹的狀態控制。</p> <p>既然修改全域樹是個問題，那麼，就別修改它。開發者準備狀態物件，宣告狀態物件綁定在哪些元件，以及哪些事件會怎麼改變狀態物件，接著，由框架來拉取狀態、改變DOM樹（而不是開發者直接修改）。</p> <p>這麼一來，原本附著在DOM樹上，與應用程式相關的各個狀態就要剝離出來，成為狀態物件，以便綁定至元件，開發者不用再管理整個DOM樹，而是管理各個狀態物件。</p> <p>頁面中的每個元件是各個狀態的表現，如果狀態不需要共享，就像各自元件擁有各自的狀態機，若狀態需要在多個元件之間共享，那麼，這些狀態機就需要以某種方式聯繫起來，例如，透過父元件來共享狀態，多個子元件的操作都會影響共享的狀態，管理的狀態範圍就又會開始擴大，因此，開發者必須知道父子元件間的行為，才能理解為什麼父子元件會如此呈現。</p> <p>如果經常需要共享狀態，那就來個唯一的全域狀態樹吧！這個全域樹是從DOM樹中剝離出來，可由開發者管理，為了避免規則中包含時間、地點作為輸入，令其成為唯讀的全域樹，運用純函數式的設計方式，開發者可以將全域樹分解為更小的狀態樹，每個新的子狀態樹都是由小狀態機來定義，而每一次的操作都會產生新的全域狀態樹，這會是小狀態機組合而成的巨大狀態機成果，也是之前專欄<a href="https://www.ithome.com.tw/voice/134107" target="_blank">〈可預期的狀態管理〉</a>中談到，Redux希望開發者去管理的事。</p> <p><span style="font-size:28px;"><strong>認識有限狀態機</strong></span></p> <p>有機會的話，開發者應該試著去理解運算原理中，對於有限狀態機的探討。看看在純粹的數學模型下，會是如何思考有限狀態機，閱讀《深入理解運算原理》第三章是個不錯的出發點，它是個可以獨立閱讀的章節。</p> <p>在這之後，試著從有限狀態機的角度，來看看函數式及前端的狀態管理，而不是從語法、API，或者是MV-Whatever的角度，來看待語言或理解相關框架，這麼一來，你就會知道，真正能管理狀態的，其實是開發者本身，而不是這類工具。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%8B%80%E6%85%8B%E7%AE%A1%E7%90%86">狀態管理</a></div><div class="field-item odd"><a href="/tags/%E6%9C%89%E9%99%90%E7%8B%80%E6%85%8B%E6%A9%9F">有限狀態機</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F">程式</a></div><div class="field-item odd"><a href="/tags/%E9%96%8B%E7%99%BC">開發</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E7%8B%80%E6%85%8B%E6%A8%B9">狀態樹</a></div><div class="field-item odd"><a href="/tags/%E7%8B%80%E6%85%8B%E7%89%A9%E4%BB%B6">狀態物件</a></div></div></div>
2019/11/14 09:00作者林信良https://www.ithome.com.tw/voice/134101
【徹底揭露2019年臺灣最大規模病毒攻擊事件】勒索軟體衝擊！全臺醫療院所資安拉警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年8月底，臺灣傳出醫院大規模受到勒索病毒攻擊的狀況，造成醫院應用系統檔案被加密，成為2019年臺灣最大的勒索軟體攻擊事件，引發社會大眾的關注。</p> <p>這樣的事件，持續提醒了我們勒索軟體的威脅，以及資訊安全的重要性，同時，也敲響了醫療產業的警鐘，因為在國內近400間醫院中，就有數十家都傳出受影響的消息。</p> <p>在事發後幾天，全國醫療的最高主管機關行政院衛生福利部曾公布調查，結果是22間遇害，最近10月底我們再次詢問，後續衛福部資訊處長龐一鳴確認，他表示，遇害的共有36間，不過，坊間仍傳出有一些單位遇害的消息，根據我們得到的消息可能是66間。</p> <p>顯而易見的是，這是臺灣醫療領域都不能忽視的資安課題，勒索病毒竟鎖定了國內的醫療系統入侵，同時向多家醫療院所發動攻擊。而被勒索加密的檔案類型相當廣，有些醫院的電腦中，傳出只有EXE、DLL等執行檔沒被加密，其他檔案通通都被加密，也有醫院是醫療影像儲傳系統（Picture archiving and communication system，PACS）資料庫受到勒索加密，使得院方病患醫療影像無法存取，甚至，一些醫院也發生多個備份檔案都遭到加密的情況。醫院本身要如何強化其安全防護，以及落實妥善的備份，都是各界關心的重點。</p> <p>事實上，國際間醫療機構遭勒索軟體鎖定已有前例，包括2016年初美國洛杉磯的好萊塢長老教會醫療中心，以及德國數家醫院。在2017年5月Wannacry勒索病毒肆虐全球之際，雖然不是鎖定醫院，但新北市三峽恩主公醫院的醫療推車電腦也曾遇害。</p> <p>在2018年，中國傳出有大型醫院遭受勒索軟體攻擊，影響多家醫院，導致醫院系統的重要資料被加密。</p> <p>今年以來，駭客發動的勒索軟體攻擊，就有一波瞄準醫療服務供應商下手的趨勢。例如，資安業者Emsisoft在10月發布的2019前三季調查報告中，就指出美國醫療服務供應商被鎖定，而且災情比政府或教育單位還嚴重。</p> <p>現在，臺灣醫療領域也成勒索軟體鎖定目標。在這次事件中，從政府調查的結果來看，已知感染途徑，是透過國內的健保VPN網路來入侵，雖然不是從醫療服務供應商下手，但從駭客的手段來看，其實都是一次行動就能攻擊到許多單位。因此，國內現行健保VPN網路架構的管理，以及未來醫療服務供應商的安全，也都將是不容忽視的一環。</p> <p><span style="font-size:28px;"><strong>月底爆發大規模勒索軟體感染，多家醫院啟動應變機制</strong></span></p> <p>這次的勒索病毒軟體攻擊事件，為全臺多家醫院同時投下震撼彈。在28日深夜、29日凌晨，全臺各地醫院的資訊部同仁，以及相關系統與安全業者也全都出動，徹夜清查與復原系統。對於實際案發情形，我們進一步剖析事件發生的始末。</p> <p>首先，這起事件在8月31日（週六）早上於外界曝光，臺北醫院的資訊室表示，他們確實遭受勒索病毒感染。接著，我們找到衛生福利部資訊處處長龐一鳴確認災情，他當時表示已有10多間醫院遇害，包括衛福部所屬的臺北醫院與彰化醫院，不過，這些醫院已經復原且營運正常，因此不影響民眾就醫看病，而後續，衛福部也已通報國家資通安全會報通報應變網站，並交由調查局協助調查。對於醫院遇害的時間，他表示是從8月29日週四凌晨開始。</p> <p>據瞭解，臺北醫院在8月29日（週四）凌晨12點多，發現系統異狀，查出攻擊來源是從健保VPN網路而來，當下他們通知資安業者處理調查，以及依照規定通報，並有多個備份檔遭加密的情況。</p> <p>彰化醫院在8月29日早上6點遇害，後續調查出的攻擊來源是電子病歷交換中心系統的閘道（EEC Gateway），透過遠端桌面的管道感染，使其內部的電子簽章資料庫，被植入惡意程式。</p> <p>不只是北部與中部的公家醫院，位於南部的私人醫院義大醫院也是受害醫院之一。他們是在8月28日晚間接近11點就發現異常，資訊部值班人員先是通報PACS系統無法存取，很快就確認該資料庫遭受勒索病毒感染，因此，立即進行網路隔離與清查。在29日凌晨1點，他們確認攻擊目標是院內的Windows Server，經一系列的因應處置，並透過快速還原的快照技術將資料復原，在醫院正常上班時間之前，恢復所有運作。</p> <p>經他們調查，這次攻擊是從衛服部電子病例交換系統的伺服器（EEC Server）發動，透過健保VPN傳輸，並以EEC Gateway為跳板，早在19日就已經植入，隨後入侵並隱藏於院內OT的環控主機，直到28日深夜開始對Windows Server同步發動攻擊。所幸的是，上述這些醫院遭到勒索加密的資料，都有備份能將資料復原。</p> <p>另外，我們得知有醫院成功擋下勒索病毒的實例，因此不受此次事件影響。</p> <p>不過，在這次事件下，我們也聽聞有醫院可能因為沒有備份，或是沒有快速還原機制，將面臨資料無法復原的問題；另外，也傳出有國內醫院的OT單位，在這次勒索病毒事件中，支付了勒索贖金並取回解密金鑰，據說他們的考量只是為了能夠快速復原；並聽聞有醫院在9月11日，透過交易所支付比特幣贖金，取得解密工具的消息。</p> <p>顯然，這次勒索病毒攻擊醫院的事件，其規模與影響其實比當時揭露的情形還要嚴重。</p> <p>而且，對於此次大規模醫院受感染的事件，義大醫院資訊部協理莊博昭更是指出一個少被討論的現象，就是同時有太多醫院遭遇勒索病毒，也出現了SI系統廠商與原廠無足夠人力支援的狀況，南部的情形更是嚴重。</p> <p><span style="font-size:28px;"><strong>攻擊者運用Globelmposter 3.0變種，以RDP為主要感染途徑</strong></span></p> <p>關於這次引起事故的病毒，根據相關資安業者與醫院表示，是Globelmposter 3.0勒索病毒的變種，以SMB與RDP為主要感染途徑，攻擊的目標均為Windows作業系統，包括Windows Server的主機，以及Windows電腦。</p> <p>在他們發現的惡意程式中，包括Apollon865.exe，以及how to back your files.exe，而被它們加密後的檔案，會變成.container或.applon等的副檔名。</p> <p>在入侵過程中，以攻擊來源而言，這次事件顯然與健保VPN與電子病例交換系統有關，成為醫院防護上的破口。再者，當勒索病毒對伺服器進行滲透時，除了利用RDP等遠端登入服務，並將以暴力破解方式，破解管理員帳號。</p> <p>而在發動攻擊過程中，有的醫院防毒軟體並未偵測到病毒，但也有醫院監控到異常，因為它們發現已知的惡意程式在清除掉後又出現，顯示當中存在沒有偵測到的新變種病毒，因此不斷將已知病毒帶進來。</p> <p>據瞭解，這支勒索病毒，其實在去年，就曾傳出對中國的醫療院所帶來不小的危害，根據中國資安業者深信服（Sangfor）公布的勒索病毒Globelmposter的警訊，該病毒首次出現是在2017年5月，在2018年變種出3.0版本，今年3月則是出現4.0版。而且，在醫療院所之外，政府與企業也是這隻勒索軟體的攻擊目標。</p> <p><span style="font-size:28px;"><strong>駭客鎖定醫療體系架構攻擊，暴露健保VPN網路與醫院資安防護問題</strong></span></p> <p>為什麼這次有那麼多醫院受害呢？最關鍵的原因，就是攻擊途徑是從健保VPN環境發動，這個VPN網路是為了每家醫院診所都要與健保局往來所建置，所以受害的對象通通都是醫院。因此，駭客可能從外部先入侵到某單位後，進而在VPN環境內，向串接的醫療體系IP發動攻擊。</p> <p>對此，衛福部在事發之後，已經表示將要強化健保VPN的管理，並指出承包商的管理要更加嚴謹。而在具體作法上，龐一鳴最近表示，他們已經提供稽核報告，旗下健保署正在著手改善中。</p> <p>畢竟，VPN已是此次事件能同時影響多家醫院的主因，也暴露了在共通架構下，太過信任封閉網路的問題。</p> <p>對於醫院而言，這次事件也讓多家醫院資安防護不足的問題曝光。對此，協助醫院處理這次勒索軟體事件的安碁資訊技術副總黃瓊瑩指出，從病毒感染過程來看，各醫療院所在對內網的防護上，相當薄弱，而且普遍醫院應用系統驗證機制都存在弱密碼的問題，以及共享資料夾的問題相當嚴重。他並強調，醫院內部的資安管理非常不落實。</p> <p>而對於這次成功擋下勒索病毒的醫院而言，他們也體認到，平時就要持續提升資安，盡可能減少受攻擊的層面，而國內醫院的資安防護普遍不足。像是這次他們早已關閉SMB、RDP相關的連接埠，因此在前期也能預防這次勒索軟體入侵，醫療網路也有層層隔離的防護措施。同時，他們也提及一個觀念，那就是對於政府的網路，也要採取<a href="https://www.ithome.com.tw/article/124684" target="_blank">零信任</a>。</p> <p><span style="font-size:28px;"><strong>面對勒索軟體，醫院因應之道有兩大重點：備份與資安防護</strong></span></p> <p>無論如何，勒索軟體已經不是新興的攻擊，但持續會有新的變種出現，並且鎖定某領域攻擊的狀況越來越多見，醫院要如何自保，以及落實資安工作，都將是不能再迴避的問題。</p> <p>事實上，前幾年勒索軟體不斷肆虐之下，在積極提升防護之外，備份的重要性已經不言而喻。例如，除了建議至少3份以上的備份之外，並要存放在2種以上的儲存裝置，還要做好離線備份與異地備份，才能讓重要資料被勒索軟體加密時，有機會能救回。</p> <p>對於這次受害醫院而言，為了讓風險可以降到最低，做好資料的備份與還原，就是最重要的工作之一，其次就是要清查入侵管道及因應，以避免遭受同樣威脅再次受害。畢竟，這是面對勒索軟體的最後一道防線。</p> <p>而對於付贖金這件事，更是下下之策，多數資安業者與國際政府都已鼓勵不要付錢，因為這不僅助長了勒索軟體災情，也不一定能拿到解密工具。在有利可圖的情況下，這些資安防護不足的企業或組織，將更會成為勒索軟體攻擊駭客眼中的肥羊。</p> <p>醫院若是為了自保，做好完善備份仍是必須，損失程度將比不備份的狀況要少，也不會落入因檔案無法救回，而考慮付贖金的窘境。</p> <p>為了讓所有人能夠有效因應勒索軟體攻擊，在這次報導中，我們也從醫院資安應變與防護上的實例，說明現況及應變復原的過程，並且藉由一些實務經驗的剖析，來了解面對勒索軟體的快速復原與因應之道，以及探討醫院在資安防護上，可能容易疏忽的面向。另外，這次事件發生在政府健保VPN網路環境，又是影響八大關鍵基礎建設之一的醫療領域，而大規模資安事件的發生，也成為國內資安環境必須重視的問題，因此，後續我們也將探討相關議題。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>臺灣多間醫療遭勒索軟體攻擊的5大省思</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 省思1 </span></strong></span> <strong>面對勒索軟體，資料備份仍是最後防線，如何做到完善備份必須重視。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 省思2 </span></span> 醫院系統與硬體老舊，也有弱密碼問題，並有依賴委外、兼職等人力不足問題。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 省思3 </span></span> 健保VPN管理待強化，共通架構下的網路環境成為突破口。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 省思4 </span></span> 醫院缺乏<a href="https://www.ithome.com.tw/article/124684" target="_blank">零信任</a>觀念，對內網防護的措施比外網防護薄弱。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 省思5 </span></span> 同時多間醫院遭遇勒索病毒，出現系統廠商與原廠無足夠人力支援情況。</strong></p> <p><strong><span style="color:#696969;">資料來源：各醫院與資安業者，iThome整理，2019年11月</span></strong></p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">醫療領域資安問題廣，資料外洩、OT安全也是挑戰</strong></p> <p><strong>在勒索軟體的威脅之外，近年醫療院所要注意的資安問題還不只是如此，今年國內外，就有不少醫療安全相關的資安事件，值得警惕。包括醫療OT安全、資料外洩與PACS系統設置不當，都是醫療業不能忽略的問題。</strong></p> <p><strong>例如，今年6月接連有兩起醫療用幫浦的漏洞揭露，生產儀器的業者在經過通報後，已經修補。如同去年發生的台積電遭遇勒索病毒事件，不僅為高科技業帶來警惕，也讓OT領域的安全問題浮上臺面，而醫院也有這類問題要去面對，例如，醫療院所的電腦主機作業系統老舊問題也同樣存在，有些甚至連新版本的防毒軟體都無法支援，還有醫療儀器設備的漏洞修補等。而且，醫療產業的安全問題更容易與人身安全有關，像是，儀器若是突然停止用作，或是藥物劑量或輸液速度的參數被竄改，或是治療時效延誤等。</strong></p> <p><strong>隨著醫院OT環境相互連結的情況越來越多，打破傳統封閉式的網路環境，加上國內政府也在推動智慧醫療，並也計畫將此作為醫院的評鑑，因此今日的OT環境，要比過去更容易遭受網路資安威脅，其安全保障與管理的問題，將是所有醫療業都要面對的挑戰。</strong></p> <p><strong>今年9月，國內台大醫院傳出駭客入侵，雖然官方表示沒有資料外洩的狀況，但已通報為三級資安事件。在同一月份，德國漏洞分析暨管理公司Greenbone Networks的研究報告中，指出全球有52國、590套醫療影像儲存系統PACS，因設置不當與缺乏密碼保護，造成2,400萬名病患的7億張醫療影像，曝光在網路上。</strong></p> <p><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 相關報導 </span> </span>2019國家級資安事件：勒索軟體侵襲臺灣醫院</strong></span></a></p> </div></div></div>
2019/11/14 09:00作者羅正漢https://www.ithome.com.tw/news/134108
【醫院因應勒索軟體侵襲策略一】就算擋不住勒索軟體，也要能夠做到快速復原
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年勒索軟體帶來的危害，已經讓各界都在警惕。過去，我們也已報導多次勒索軟體事件，以及從資安業者提供的勒索軟體因應之道。而這次多家醫院同時受害的情況，再次突顯出勒索軟體危害的問題。</p> <p>為了讓大家能更認識勒索軟體防護，以及資安事件應變，這次我們找到有義大醫院願意分享自身的經驗，讓其他人可以更具體認識如何處理類似事件，以及如何成功將資料備份還原，還有日後改善的目標。</p> <p>畢竟，勒索軟體多年來已經危害太多的企業與組織，但相關資安事件處理，多數單位可能還是經驗不足。雖然各家醫院情境可能不相同，但透過實際案例的經驗分享，也將讓大家，可以更意識到資安事件處理與防護的具體行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1114-946-%E5%B0%81%E9%9D%A2-3-500-1.png" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">勒索病毒襲擊，醫院PACS系統資料庫遭加密</span></strong></p> <p><span style="color:#696969;"><strong>今年8月底，臺灣數十間醫療院所同時遭受勒索軟體攻擊，雖然大多數醫院都能成功將資料復原，各醫院營運也都正常，但這次事件也暴露出一些醫院資安防護上的問題，以及健保VPN安全的安全隱憂。</strong>（圖片來源：義大醫院）</span></p> <p><span style="font-size:28px;"><strong>緊急隔離是首要動作，清查攻擊來源並啟動停當機應變</strong></span></p> <p>這次勒索病毒攻擊是在深夜發動，義大醫院資訊部協理莊博昭表示，在8月28日晚間10點54分，醫院的資訊部值班人員通報，院內PACS系統無法存取，因此開始調查，11點整，他們確認醫療影像儲存與傳輸系統（PACS）資料庫中勒索軟體，因此，立刻進行網路隔離。</p> <p>為了清查影響範圍，在晚間11點25分，醫院內的資訊部相關人員，以及PACS廠商與防毒廠商在現場，開始清查中毒範圍。同時，通知射科、值班護理長啟動停當機應變。</p> <p>到了29日凌晨1點30，初步調查結果出爐，他們確認Windows Server是這次勒索病毒的攻擊目標，因此關閉所有Windows Server主機。凌晨2點20進一步確認，這次病毒是Globelmposter 3.0勒索病毒的變種，以RDP與SMB為感染途徑，Apollon865.exe為病毒檔案。</p> <p>凌晨2點50分，他們開始進行PACS資料庫的資料還原工作，由於兩臺實體主機均中毒，因此先安裝在VM環境上。另外，保留一臺中毒的檢驗資訊系統（Laboratory Information Systems，LIS）伺服器先維持服務。</p> <p>最後，到了凌晨5點，他們透過防毒主控臺，部署禁止Apollon865.exe執行的政策，以及關閉所有主機上的RDP與SMB服務，並於5點10恢復服務。</p> <p>在這次攻擊事件的資安應變中，事件調查相當重要。他們發現Windows Server是這次勒索病毒的攻擊目標，而攻擊是來自於醫院內OT的環控主機。而這個主機，負責的是門禁、監控與溫濕度等監控，平時他們並未特別監控這臺主機。</p> <p>另外，他們也進一步查出完整攻擊路徑，是從衛生福利部的電子病歷交換中心（EEC）伺服器發動，並以建置在醫院端的EEC Gateway為跳板，在8月19日植入惡意程式，之後隱藏於醫院內OT的環控主機。</p> <p>因此，在這臺主機中，包含了這次所有攻擊的工具，等到8月28日，開始對院內所有Windows Server，同步發動攻擊，將醫院資料加密。</p> <p>而這次之所以能夠追查到禍源，莊博昭表示，主要是他們在第一時間就全部隔離，並將有些遇害的伺服器保存下來，作為鑑識之用。</p> <p><span style="font-size:28px;"><strong>要讓系統能順利恢復運作，最大關鍵是有效備份</strong></span></p> <p>在這次的資料備份還原經驗當中，莊博昭表示，他們這次災情最嚴重的PACS這一塊業務，包含DICOM 醫療影像交換的檔案格式都被加密。由於鎖定的是Windows作業系統，院內電子醫療紀錄（EMR）的Gateway，以及Exchange主機同樣遇害。</p> <p>更大的問題是，他們這次有多個基於Windows系統的備份主機，也全都被加密，且備份軟體後臺管理系統的catalog目錄也都被加密，因此，他們最後是依靠儲存服務設備（Storage）的快照（Snapshot），進行資料快速還原。</p> <p>對於醫院資料備份的挑戰，莊博昭表示，現在備份軟體多是Windows平臺，早期使用磁帶不會有這樣的問題，加上現在醫院的資料量太大，所以多個備份都是直接線上備份，比較方便，但這次事件下，也突顯沒有離線備份的問題。</p> <p>以這次情況而言，他認為快速還原Snapshot是不錯的方式，但也提到，勒索軟體攻擊的情境不會只有這一種，也要考慮天災、人禍。因此，現階段因應勒索軟體，他們對Snapshop的依賴將會更重，但還是要再去評估適合的備份方案，他提到，像是雲端備份並具有自動斷開連結設計之類的解決方案。</p> <p>如果備份失效，後果不堪設想。莊博昭表示，這次他也聽聞規模較小的醫院，只使用廠商提供的高可用性（HA）架構，而沒有備份，廠商提供的儲存服務也不具備快照備份的功能，就可能會面臨資料無法復原的問題。</p> <p><span style="font-size:28px;"><strong>如果醫療系統的資料無法恢復，可能造成的影響有多大？</strong></span></p> <p>對於醫院資料無法復原的影響，一般民眾可能不容易想像，對此，莊博昭表示，一旦醫院內部的PACS、LIS與放射科資訊系統（Radiology Information System，RIS）若無法存取，醫師將無法調閱患者的醫療影像及檢驗檢查報告，以獲得充分的病人資訊，進行病況的診斷，對於病人安全而言，無疑是個嚴峻的挑戰。</p> <p>如果只是PACS系統無法運作來看，對醫院的影響可能沒想像中大，最受衝擊的會是骨科單位，但其他資訊系統如果無法復原，特別是整合醫療資訊系統（Health Information System，HIS），恐怕就會衝擊到醫院的營運。</p> <p><span style="font-size:28px;"><strong>若要改善醫院資安防護，院方要有內部醫療網路架構打掉重建的打算</strong></span></p> <p>面對這次勒索病毒是從健保VPN環境而來，以及防毒無法攔阻的問題，日後如何因應與防護也成為關注焦點。</p> <p>對於醫院內部的資安防護強化上，莊博昭表示，由於威脅來自四面八方，現行內部醫療網路的架構將要重新打掉，目前已經有了幾個方向。例如，建立私有雲，將關鍵核心系統集中，做到嚴格的管制，像是要有憑證才能存取，核心裡面也將制定不同的隔離政策。</p> <p>至於其他內網環境都將視為外網，並且分區域隔離，做到損害控制。畢竟資訊安全沒有百分百，如何把風險跟影響下降到最低很重要。只是，他也擔心核心這一層的網路吞吐量，會變得相當大，成本費用會拉很高。</p> <p><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span> </span>2019國家級資安事件：勒索軟體侵襲臺灣醫院</strong></span></a></p> </div></div></div>
2019/11/14 09:00作者羅正漢https://www.ithome.com.tw/news/134109
【醫院因應勒索軟體侵襲策略二】建構不受勒索軟體感染的資安防禦體系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對抗勒索軟體，在災難發生後，要能成功還原被加密資料之外，更好的方式，就是能夠擋下勒索軟體病毒。因此，這次我們也找到一家北部的醫院並未受害，希望透過他們實際的防護經驗，說明為何能夠不受影響。</p> <p><span style="font-size:28px;"><strong>平時就要盡可能做好資安，執行層層隔離以減少攻擊的層面</strong></span></p> <p>以這次勒索病毒攻擊而言，主要入侵管道是遠端桌面協定（RDP），但這家醫院的IT人員，其實因為都已經關閉了SMB、RDP相關的連接埠，等於減少這次攻擊的感染途徑。</p> <p>對於部署在醫院端的EEC Gateway主機問題，他們表示，如果系統沒有升級、防火牆連接埠管理不善，就是很大的弱點。為了自保，因此他們也要求一定要做端點作業系統的健檢，能升級就盡量升級，除非升級不能運行。</p> <p>特別的是，對於這次攻擊從健保VPN發動的事件中，他們提及了對於政府網路也應抱持<a href="https://www.ithome.com.tw/article/124684" target="_blank">零信任的觀念</a>，即便是衛福部傳來的東西，其實醫院自己也要監控，做好把關。</p> <p>不僅如此，他們對於內部醫療網路的防護管理，現在已有嚴格的規畫，像是不只是外網有部署DMZ，內網也有DMZ，並在DMZ區採用虛擬化微分割技術，可供院內平板電腦連線，並讓伺服器與伺服器之間，能透過微分割技術隔開，即便要上網，也是透過桌面虛擬化VDI。</p> <p>然而，他們也坦承，並不是一開始資安防護就能做到如此，在很多年前，他們也是處於內網與外網直接連通的狀態，後續也是經過逐年的強化與調整，直到前兩三年，才做到較好的隔離。而關於備份這件事，除了一般的資料保護，其實現在他們也才在規畫異地備援，要將過去沒有做好的部分補起來。</p> <p><span style="font-size:28px;"><strong>老舊電腦隔離要嚴格落實，委外廠商的聯繫與管理也要注意</strong></span></p> <p>對於醫院的資安防護，還有那些面向可以注意？他們也提出下列具體的建議，例如，像是不少醫院可能都存在老舊XP電腦的問題，他們的作法是會另行隔離在一區，用最嚴格的方式排除在外，降低可能帶來的影響：還有像是在Wannacry勒索病毒爆發當時，他們醫院也有幾臺電腦遇害，因此之後他們就已經把SMB通通關掉。</p> <p>此外，他們還提到與委外SOC團隊的互動，像是過去業者曾提醒他們，一些RDP連接埠是否有必要開啟等，而在這次事件爆發後，對方也來確認狀況。不過，醫院自己還是要持續注意各種風險，例如，他們過去也曾知道有一單位的資訊人員不夠，雖然政策上要求內外網需隔離，但委外廠商並沒有落實，而導致VDI跟內部透通的狀況。</p> <p>對於普遍醫院可能遇到的資安難題，他們認為，一方面醫院高層有要決心，例如，像是外面企業開始設資安長，有多少醫院能夠如此重視資安，還有談到資安專責人力，其實都是兼職等；另一方面，要落實資安稽核政策，才能維持資安能量不會降低。畢竟，資安無法做到百分百，駭客能不能攻進來，取決於攻進來的難度與成本，再怎麼樣都會有漏洞，而資安就是一項長期性的需求。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>【產業現況剖析】強化資安迫在眉睫，醫院必須積極投入</strong></span></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/1116-%E9%BB%83%E7%93%8A%E7%91%A9.jpg" style="width: 350px;" /></td> </tr><tr><td><span style="color:#696969;"><span style="font-size:16px;"><strong>對於醫療院所的資安防護現況，安碁資訊技術副總黃瓊瑩認為，還有不小的進步空間，因為醫院內部的資安管理非常不落實。</strong>（攝影／iThome）</span></span></td> </tr></tbody></table><p>臺灣醫療院所對於資安防護是否重視？很多人都想知道答案，我們從今年初iThome進行的CIO大調查，來檢視醫療業在資安的投入；另一方面，我們也從資安服務業者的角度，幫助國內多家CI醫院進行SOC委外監控的安碁資訊，來瞭解醫療業的安全防護現況與改善目標。</p> <p>在2019年初iThome舉行的CIO大調查中，<a href="https://www.ithome.com.tw/article/129519" target="_blank">關於醫療業CIO年度目標中</a>，2019年前三名是強化資安（83.3%）、推動IT現代化（50%），以及開發創新產品和服務（45.8%）。而2018年的前三名是強化資安（58.3%）、確保IT與穩定一致（54.2%），以及提升營運效率（50%）。看起來，醫療業IT主管都意識到要強化資安，並且視為主要目標的比例最高，甚至今年已經超過8成認同。</p> <p>再從醫療業的7大投資重點的調查來看，以資安、物聯網、Cloud、AI、數位行銷、BigData與行動App而言，在2019年度，資安居於投資項目第一，金額為1千113萬元。但是，2018年度的資安投資項目僅418萬元，落後於AI、Cloud、BigData與物聯網。</p> <p>相較之下，醫療業IT主管確實是越來越重視資安，而且，今年在資安強化上的投資，也比前一年度翻了3倍，居於7大投資重點之首。但如果換個角度來看，要說醫療業真的實際投資在資安防護這一塊，似乎今年才正開始。</p> <p>對於醫療業的實際資安防護現況，安碁資訊技術副總黃瓊瑩，給出他的觀察。從這次事件來看，臺灣多家醫院遭受勒索病毒攻擊，他認為有一些普遍存在各大醫院的問題。例如，醫院雖有備份機制，但系統維護商的應用程式已有相當歷史，因此系統架構與設計方式較為老舊，而且，各醫療院所對內網防護與外網防護相比，防護措施相當薄弱。還有就是弱密碼也普遍存在於各醫院</p> <p>另外，還有一些現象值得重視。舉例來說，醫療院所的部分用戶端電腦中，有系統及硬體老舊的狀況，甚至連新版本的防毒軟體都無法支援；還有帳號共享的問題，醫護作業之間沒有在便利與安全取得平衡，僅便宜行事；以及系統磁碟區是以網芳（NetBIOS）共享掛載，任何人皆可讀寫的狀況等，這些現象，都應該是醫療業必須正視的問題。</p> <p>若從更廣的層面來看，就是各醫療院所資訊人員人數有限，無法全面掌控自家院所的軟硬體狀況，還有多是採用約聘資訊人員兼用資安人員，沒有資安相關專業人士，這樣長久下來，黃瓊瑩認為，其實不利於資安政策推廣及落實。</p> <p>他提醒，備份機制是復原手段，但不是每次都是萬靈丹，對於常駐服務型的勒索病毒，如果沒有鑑識專業的資訊人員去找出源頭，復原只是白做工。另外，資安政策要落實，必須要改進目前醫療院所的架構及體質，但少有院所願意破釜沉舟，從基礎重新打起。</p> <p><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span> </span>2019國家級資安事件：勒索軟體侵襲臺灣醫院</strong></span></a></p> </div></div></div>
2019/11/14 09:00作者羅正漢https://www.ithome.com.tw/news/134110
【醫療院所遭勒索軟體攻擊後的未來展望】在共通架構下，更要注意資安細部管控與通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="https://www.ithome.com.tw/news/134108" target="_blank">8月的勒索軟體攻擊事件</a>，導致多間醫院遇害，讓醫院本身的資安防護問題成為焦點，成為惡意軟體主要散播管道的健保VPN，以及電子病歷交換中心的EEC Gateway，在這次事件下，也完全暴露其安全隱憂。不僅如此，這是事件的遇害醫院統計，相關通報問題也成為我們關注的焦點。</p> <p><span style="font-size:28px;"><strong>衛福部已針對健保VPN啟動稽查，健保署將著手改善</strong></span></p> <p>對於近期醫院資安事件的發生，目前衛福部已提出改善建議，強化健保VPN管理就是首要目標。由於距離事件發生，已經過了兩個月，因此我們也詢問衛生福利部資訊處處長龐一鳴，確認相關進度。他表示，由於VPN的管理涉及健保署與電信商的合約，他們已經根據資通安全法啓動一次稽查，確實發現一些問題。雖然健保VPN的營運模式，是比照政府網際服務網GSN，但資安管理方面是相對薄弱。因此，衛生部在提供稽核報告後，衛生署也在著手改善中，至於其他細節，則不便揭露。</p> <p>到底，這個VPN環境的問題是什麼？我們這次也從資安業者的角度來分析，根據安碁資訊在處理國內醫院資安服務的經驗中，他們指出健保VPN的最大問題在於架構。舉例來說，在健保VPN架構下，將醫療院所串成一個大內網的環境，各醫院除了透過健保VPN與健保局往來，可是，各醫療院所之間竟然也能相通。例如，他們就發現，如果設備用了醫療體系IP位置，可以直接連線各醫院內部IP位置的遠端桌面（RDP）。</p> <p>對此，他認為，這樣的狀況是VPN、SSLVPN的防火牆設定所致，建議各醫院對於資料交換的防火牆政策，需要確認IP資料來源，只開放對應的連接埠，而非所有的連接埠皆可存取。</p> <p>這是因為，由於各醫療院所可以透過VPN橫向聯繫，等於攻擊者在入侵這個VPN網路後，可以在各醫院間相互發動攻擊。而且，在這條VPN的路徑上，幾乎沒有特規的資安設備去防禦。</p> <p><span style="font-size:28px;"><strong>EEC的管理成討論焦點，另外小診所不受此次攻擊事件影響</strong></span></p> <p>在健保VPN的管理之外，另一個更大問題點，是在電子病歷交換中心系統（EEC）。基本上，EEC資料傳輸也是透過健保VPN，採分散式架構建置，因此，各醫院均裝設有EEC Gateway。在這次勒索軟體事件下，由於EEC Gateway也成主要攻擊來源，相關管理問題也引起醫療業界討論，並衍生出EEC存廢的議題。</p> <p>對此，龐一鳴表示，EEC Gateway最早確實是由衛福部在10年前建置，請醫院提供設備，由當時衛生署的包商安裝系統，並輔導醫院導入ISO27001並且做完財產移轉。對於有部分醫院認為不是自己的設備，他認為，可能是衛福部一直提供維運的服務，致使其認為這不是自己的設備。而這樣的情形，卻也造成該設備可能沒人維護，引起安全問題。</p> <p>另一方面，由於EEC的功能與健保醫療資訊的雲端系統有所重疊，因此也引發不同意見。龐一鳴坦承，就資訊共享的立場，兩者功能確實有重復，且健保的系統普及性更高。但他也強調，EEC上交換的病歷是經過的電子簽章，具有不可否認性，有法律上的效果。</p> <p>就現況來看，近期衛生部正推動電子病歷多元化，希望增加其價值，但他也坦承，由於EEC的架構已是10年前，現在其實是要檢討更新的時間點，他並說明他們在一年前就向醫院溝通這件事。</p> <p>在政府主導的EEC電子病例交換系統之外，事實上，近年我們也看到有部分醫院提出新的計畫，以解決EEC無法滿足各種醫療照護情境的需求。像是臺北市立聯合醫院，去年已經聯合了幾家北部醫院與馬公醫院，開始採用區塊練創新授權，在衛福部的健康福祉整合照護示範場域推動計畫之下，就打造一個跨機構的「照護資訊整合平臺」。</p> <p>再從EEC相關的問題來看，由於EEC串連了全臺400多家醫院，以及近6千家診所，那麼這次是否也有診所遇害？從衛福部、醫院與系統業者的回應來看，應該沒有太大影響。</p> <p>據瞭解，小診所的資訊服務主要由幾家業者負責，大部分採取雲端作業，因此在架構上不見得會被感染到。對此，我們也詢問到展望亞洲科技，他們推測，是因為診所大多沒再使用EEC，所以EEC gateway都沒有開機，因此躲過此次勒索病毒感染。龐一鳴也表示，診所的架構和醫院不一樣，部署的是EEC Lite Gateway，診所現在是很少用，因為健保雲端系統即可滿足大多數需求。</p> <p><span style="font-size:28px;"><strong>醫院通報問題浮上檯面，主管機關將不容易統計非CI醫院的資安事件</strong></span></p> <p>在這次事件中，關於實際受害醫院的家數，也引起大家好奇。例如，全國醫療的最高主管機關行政院衛生福利部，最早公布初步調查結果有22間，事隔兩個月，我們再次詢問最新統計數字，衛福部資訊處長龐一鳴表示，確認到的有36間。不過，坊間部分醫院與業者相互參照的說法則是66家。</p> <p>對於這樣的問題，龐一鳴表示，這次影響的系統在EEC gateway，因此這個部分他們能夠充分掌握，但如果影響的是自有的系統，而且平時不負責對外交換資料，衛福部就很難查的到。還有像是如果醫院沒有公開，也就可能出現大家各自統計上的差異。</p> <p>另外，由於今年資通安全管理法正式施行，當中對於通報方面將會有法規上的要求，到底現在的執行情況如何？因為，我們也聽聞北部一家醫院，在大規模爆發的前兩天，就疑似傳出發現勒索軟體的消息，如果能夠及早通報並分享情資，是否也就不會那麼嚴重。</p> <p>由於在資安法施行後，以現行通報體制來看，能掌握全局的可能是行政院資通安全處，因此我們也詢問他們相關狀況。不過，他們沒有具體回應，但坦承醫療領域的棘手。資安處表示，像是醫療體系有其固有文化，非單就資安甚或資訊能一窺究理，加上涉關鍵基礎設施，因此層面更為多元。</p> <p>對於醫療領域的通報現況，衛福部龐一鳴則說明他們的進度。畢竟，衛福部身為全國醫療的最高主管機關，關於醫療體系的問題，或是當有醫療相關事件發生，社會上往往會向衛福部要求說明，這也都是不爭的事實。</p> <p>他表示，目前CI醫院有64家，在資安法實施後，衛福部依資安處的指示辦理指定工作，對於非公家的私人醫院，他們預定將在11月底前，完成非公務機關的CI醫院指定作業。</p> <p>以這次事件而言，由於衛福部尚未完成資安法的指定，因此只有部立醫院必需向衛福部通報。假如有其它公立醫院也發生事件需要通報，依照法規，將通報各自的上級單位。例如，榮民醫院是通報退輔會，台大、成大等是通報教育部，軍醫院則不適用資安法。因此，不是所有醫院都向衛福部通報。</p> <p>而在CI醫院範圍之外的管理議題，龐一鳴指出，國內還有300家左右的醫院，以及數萬家的診所與藥局，由於非屬CI範圍，但也希望由衛福部管理的聲音。對於這樣的現象，他認為，法遵事項的釐清，以及政府資源的支持，會是當下的重點。</p> <p><span style="font-size:28px;"><strong>國內醫院期盼政府能協助強化資安防護，提供更實質幫助</strong></span></p> <p>由於國內醫院現況，多是頭痛醫頭、腳痛醫腳，在這次事件後，政府是否也能透過落實資安稽核，或是提供更多推動醫院做好資安的資源。例如，有醫院認為，由於衛福部是政策單位，但體系下可能缺乏執行單位，這會造成政策與執行上很大的落差。因此，他們建議，若是衛福部能建立相關資安技術團隊，或許可以帶來更實質的幫助。例如，能定期派專門的5到7人資訊團隊，到醫院實際駐點，透過資安稽核與資安健檢等方式，來幫助醫院落實資安工作，而駐點天數可依醫院規模大小而有不同。</p> <p>另外，龐一鳴提到在資通安全法下將辦理相關演練與測試，並提供中小型醫院防護指引。對於這個防護指引，他表示，之前已經提出初稿，目前（2019年11月初）退回改寫中，在具體內容上，將以輔導和指導的立場，希望業者做為依循以保護資訊財產及個人隱私。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89P5_%E5%85%A8%E5%9C%8B%E9%86%AB%E9%99%A2%E8%B3%87%E8%A8%8A%E4%B8%BB%E7%AE%A1%E6%9C%83%E8%AD%B0.png" style="width: 600px;" /></p> <blockquote><p>目前政府鼓勵醫院加入資訊資安分享與分析平臺H-ISAC，是一種作法，並將連結醫院評鑑與資通安全法，同時，衛福部也調查了64家CI醫院的SOC建置情形，目前有一半比例的CI醫院建置，其中3家是自行建置，其餘則是委外監控，但相對來說，也有一半醫院沒有建置；而對於中小型醫院，龐一鳴在<a href="https://www.ithome.com.tw/news/133615">10月的全國醫療資訊主管會議上，也提到他們將辦理中小型醫院防護指引</a>。</p> </blockquote> <p><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span> </span>2019國家級資安事件：勒索軟體侵襲臺灣醫院</strong></span></a></p> </div></div></div>
2019/11/14 09:00作者羅正漢https://www.ithome.com.tw/news/134111
2019國家級資安事件：勒索軟體侵襲臺灣醫院
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/946-feng_mian_gu_shi_-1_open-960x420_gong_zuo_qu_yu_1.jpg?itok=jydWsG63" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月，臺灣多家醫院同時遭受勒索軟體襲擊，數十家業者受害之餘，有些醫院成功擋下勒索病毒，有些醫院被感染了卻能快速復原，該如何預防或恢復正常運作，一直都是關注焦點，這次我們將從院方的實際經驗，讓大家更具體認識如何處理類似事件</p> </div></div></div>
2019/11/14 09:00作者羅正漢https://www.ithome.com.tw/article/134112
紅帽開源容器儲存庫專案Quay
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/blog/red-hat-introduces-open-source-project-quay-container-registry?sc_cid=701f2000000tyBjAAI">紅帽（Red Hat）開源可用來自建容器儲存庫（Container Registry）Quay，新的專案名稱為Project Quay</a>，且合併了開源容器安全掃描專案Clair，紅帽提到，Project Quay是Red Hat Quay和Quay.io程式碼的上游專案，他們要透過在上游開源社群的力量，推動專案創新。</p> <p>Quay解決方案在2013年上市，是第一個可私有託管的容器儲存庫，由於其映像檔回退和零停機的垃圾回收等功能，吸引不少用戶。Quay在2014年時被CoreOS收購，又在2018年紅帽併購CoreOS時，轉移到了紅帽旗下，紅帽現以Quay提供兩種容器儲存庫解決方案，其一為容器儲存庫託管服務Quay.io供企業訂閱，另一種便是企業就地部署的產品稱為Red Hat Quay，可與OpenShift和其他容器環境相容。</p> <p>而現在紅帽開源了Quay.io以及Red Hat Quay的上游專案程式Project Quay，該專案程式碼包含了建置、部署和執行完整Quay發布版本所必要的工具，另外，與Quay專案緊密配合的映像檔安全掃描專案Clair也在開源的行列中。Quay團隊在2015年時，創建並整合的開源容器安全掃描專案Clair，目前Clair為Red Hat Quay提供容器安全掃描的功能，幫助用戶辨識容器儲存庫中所存在的已知漏洞。</p> <p>Clair專案是在開源社群中創建的，目的是要透過供應商與用戶之間的開放協作，共同來改進安全性，有鑑於不斷擴大的安全需求，因此Clair現在也將直接內建在Project Quay中。</p> <p>Project Quay包含了一系列以Apache 2.0授權以及其他開源授權的軟體，該專案將採用維護者委員會的開源治理模型，紅帽提到，Red Hat Quay和Quay.io將可從上游Project Quay的社群協作中，獲得程式碼的更新。</p> </div></div></div>
2019/11/14 07:55作者李建興https://www.ithome.com.tw/news/134179
Chrome OS裝置用戶將可直接從設定中看到支援期限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://chromeunboxed.com/chromebooks-will-soon-list-end-of-life-in-the-settings-menu/" target="_blank">外電報導</a>，包括Chromebook或其它採用Chrome OS裝置的使用者，未來直接從裝置的系統設定中，就能直接看到該裝置的支援期限，在打算購買舊有機種或二手裝置時，是個非常有用的參考值。</p> <p>Chrome OS裝置都採用自動更新（Auto Update）機制，涵蓋Chromebook、Chromebox、Chromebase及Chromebit，它們都會自動接收可改善硬體或軟體效能的更新，而且它們的更新或支援期限都是固定的，Google則曾承諾每個新硬體平台，都可接收6.5年的自動更新，此一期限也代表著裝置的生命周期，儘管裝置還能持續使用，但已無法再接收來自Google的功能及安全更新。</p> <p>事實上，在Google的<a href="https://support.google.com/chrome/a/answer/6220366?hl=en#" target="_blank">自動更新政策網頁</a>上，就陳列了各式基於Chrome OS的裝置型號，也秀出了它們的自動更新到期日，因此，過去只要需要知道該資訊的用戶都可到此查詢。</p> <p>不過，根據國外媒體所張貼的螢幕截圖，現在Google讓Chrome OS裝置用戶直接透過設定中的「About Chrome OS」，再點選「Additional details」，就能看到自己裝置的更新期限，讓相關資訊更加透明化。</p> <p>這雖然只是個小功能，但外界認為市場上還流通許多舊款的Chromebook，或者是當要添購二手Chrome OS裝置時，它將是個非常重要且有用的資訊。</p> </div></div></div>
2019/11/14 07:30作者陳曉莉https://www.ithome.com.tw/news/134185
Mozilla組聯盟推類容器WebAssembly奈米程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2019/11/announcing-the-bytecode-alliance/">Mozilla宣布與Fastly、英特爾和紅帽共同組成Bytecode Alliance</a>，要透過實作與提案新標準，來推動WebAssembly在瀏覽器之外的應用。Mozilla提到，現在的軟體建置架構並非以安全為優先考量，而且惡意攻擊活動越來越多，Bytecode Alliance提出了WebAssembly奈米程序（Nanoprocesses）解決方案，可以從程式根本架構，改進WebAssembly生態系的安全發展。</p> <p>目前許多應用程式都採用模組化建構方法，其中有80％的程式碼來自諸如npm、PyPI和crates.io等套件註冊表，雖然這樣的方式造就了興盛的生態系統，但因為架構根本上的原因，使得惡意攻擊者有機可乘。</p> <p>當用戶信任應用程式，同時也信任了所有應用程式中使用的相依項目，但這些相依項目可能大有問題，可能包含有攻擊者撰寫的惡意程式碼，以及帶有漏洞的程式碼，而使用者卻在不知情的狀況下，信任這些程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/01-01-key-giveaway.png" style="width: 580px;" /></p> <p>面對這些安全威脅，開發者現在有幾個手段可以應付。使用掃描器來檢測程式碼，以及相依項目中的問題，但有許多狀況是自動化工具無法偵測的。以人工進行程式碼審查也是一種方法，但是每當相依項目更新時，開發者都需要重新審查程式碼，如果相依關係數中有數百個模組，則開發者需要花費大量的時間審查程式碼。</p> <p>開發者也可以鎖定模組，禁止模組自動更新，防止惡意代碼無法被自動更新進應用程式專案，直到經過審核通過後才放行，但是當模組中存在漏洞時，也就無法獲得即時修補，反將系統暴露在風險之中。當然也可以訂閱監控服務，在發現相依項目有漏洞時，即時通知開發者，但這幫助也僅限於已經發現的目標漏洞，而且即便發現了漏洞，維護人員可能也無法即時的修補。</p> <p>Mozilla表示，隨著WebAssembly的發展，現在到了必須要來解決這些問題的時候，Mozilla提出一項解決方案，讓程式執行在預設情況下就是安全的。但由於這個問題非常龐大，因此Mozilla組織聯盟Bytecode Alliance來一同解決這個問題，以安全的基礎讓不受信任的程式碼，也能在雲端、桌機或是物聯網裝置上安全的運作，另外，也可以讓開發人員安心地使用開源程式碼，不會使程式碼中的漏洞對用戶產生威脅。</p> <p>Mozilla為此提出了WebAssembly奈米程序的解決方案，WebAssembly可以提供輕量級的隔離，使系統可以安全地執行不受信任的程式碼，這個架構類似Unix的小型程序、容器或是微服務的概念，這種輕量級的隔離，不會使得程序溝通比常規函數呼叫慢，開發者可以使用奈米程序來打包單個WebAssembly模組實例，或是一群想要共用記憶體的模組實例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/04-01-process-vs-nanoprocess.png" style="width: 580px;" /></p> <p>由於WebAssembly奈米程序嚴格隔離了模組以及資源的取用，因此能夠有效防止惡意程式碼或是漏洞威脅。WebAssembly模組預設就是在沙盒中執行，該模組預設無法存取API或是系統呼叫，需要提供明確地函式或是系統呼叫，模組才能使用，且奈米程序的記憶體模型隔離每個模組使用的記憶體，讓惡意模組無法任意存取父模組的記憶體。另外，透過WebAssembly系統介面（WASI），讓模組在彼此隔離的狀況下，依然能賦予他們精細存取文件系統或是其他資源的權限。</p> <p>WebAssembly奈米程序不只增加了程式的安全性，還可改進軟體的相容性，開發者可以將使用不同語言，或是同一語言不同版本撰寫的服務組合在一起。Mozilla提到，WebAssembly奈米程序不僅只能用在相依項目中，Bytecode Alliance正在合作將這項技術應用在不同的案例上。</p> </div></div></div>
2019/11/14 07:50作者李建興https://www.ithome.com.tw/news/134173
日本雅虎和LINE驚傳出合併消息，但雙方均未證實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本老牌科技媒體日經今天揭露了日本雅虎傳出要和LINE合併為新公司的消息，消息一出，引起業界熱議紛紛，不過，兩家公司都沒有正面回應這個傳聞。</p> <p>日經今天<a href="https://asia.nikkei.com/Business/Business-deals/SoftBank-backed-Yahoo-to-merge-with-Line-app">突然披露</a>，日本雅虎背後主要持股公司，也就是軟銀集團旗下Z控股（Z Holding）公司，正與LINE的韓國母公司Naver洽談中，計畫將在這個月底達成初步的合併協議。另外，也傳出軟銀和Naver將各出資5成，成立一家新公司來維運日本雅虎和Line，不過，沒有進一步的細節。</p> <p>日本雅虎用戶約5千萬人，而LINE在日本用戶約8,200萬人，兩者若合併後，有機會建立一個破億用戶的生態系。</p> <p>Z控股公司旗下除了日本雅虎，還擁有知名一休訂房網站、大型物流商ASKUL，以及Z金融集團，而雅虎則持有日本網銀Japan Net Bank的44.25％持股（與三井住友銀行持股比例相同）</p> <p>Z控股的發展策略，其實與LINE近年力攻的點數經濟和金融科技布局類似，如下圖，透過資料平臺整合支付和交易、線上用戶使用時間、電商交易、可記錄的使用者規模，來貫穿電商、會員、O2O、金融、整合營銷、廣告等產業，來營利。(圖片來源：Z控股)<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/z%E6%8E%A7%E8%82%A1%E6%9E%B6%E6%A7%8B.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Z%E6%8E%A7%E8%82%A1%E5%95%86%E6%A5%AD%E6%A8%A1%E5%BC%8F.jpg" /></p> <p>而LINE則在今年初剛建立新的內部組織架構，內部區分為通訊軟體、金融服務、金融科技、娛樂、數位內容、AI、入口、行銷、各地子公司和O2O等。兩家公司的重疊領域甚多，如下圖（圖片來源：LINE）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE%E7%B5%84%E7%B9%94%E6%9E%B6%E6%A7%8B.jpg" /></p> </div></div></div>
2019/11/14 00:49作者王宏仁https://www.ithome.com.tw/news/134184
Intel發表專為邊緣運算設計的新一代VPU，運算效能比Nvidia TX2高4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Intel今天在AI Summit 2019活動上，揭露AI生態系的最新佈局。除了發表新一代的Movidius視覺運算處理器（VPU）Keem Bay，要搶進邊緣運算的市場，也在與VPU搭配的軟體工具集OpenVINO中，新增了DevCloud硬體部署測試平臺，讓企業能直接從雲端上傳訓練好的模型，來測試出最適合該模型的硬體設施，此外，也宣布成立Edge AI NanoDegree，來培育AI領域中的邊緣運算人才。</p> <p>VPU（Vision Processing Unit）是Intel 2016年併購Movidius後，所推出專門進行影像識別的處理器。而新一代的VPU Keem Bay，是繼2016年推出首款VPU Myriad 2、2017年推出VPU Myriad X後，專門為IoT邊緣運算所設計的第三代VPU，能處理的資料已經不侷限於影像識別，現在連語音、社群媒體中的用戶行為等邊緣端的非結構化資料，都能用Keem Bay來進行推論（Inference）。</p> <p>Intel副總裁暨AI產品部總經理Naveen Rao表示，Keem Bay的推論效能（performance）為同類產品Nvidia TX2的4倍，也是華為Ascend 310的1.25倍，雖然比不上Nvidia另一款旗艦產品Xavier，但在相差不多的表現下，Keem Bay的功耗只有30瓦，約為Xavier的五分之一，「功耗會是一個關鍵，雖然高效能運算很重要，但客戶也很在意能源的耗費。」</p> <p>若從能源的角度來看，在耗能固定的效能表現上，Naveen Rao更宣稱，Keem Bay的效能足足是Nvidia TX2的6.2倍，若去測量處理器每平方毫米的每秒效能表現，Keem Bay更能達到Nvidia TX2的8.7倍，「而且，如果再搭配上OpenVINO軟體來最佳化模型，效能初步能再提高50％，而且我們還會繼續優化軟體堆疊架構。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/101937owqx2kkspkdydstw.png" style="width: 600px;" /></p> <p>至於，Intel是如何達到這個成果？Intel IoT部門副總裁Jonathan Ballon表示，用VPU搭配CPU執行運算時，在CPU的部分，Intel正在用64位元記憶體頻寬（memory bandwidth）來加快資料傳輸，同時也改良指令集來提高推論效率，而且，為了達到工作負載平衡，CPU也執行平行運算，且自動將推論工作轉移到加速卡上，來更有效的利用運算資源。</p> <p>而在軟體層面，Keem Bay也結合OpenVINO工具集來優化AI模型。當客戶要將模型部署到VPU上，編譯器可支援TensorFlow、Pytorch、MXNet、Keras、Caffe、ONNX等深度學習框架，且龐大神經網絡也能透過模型優化器（model optimizer），在不影響辨識準確度的前提下進行壓縮，來減少運算資源的消耗。</p> <p>比如提供醫療影像辨識平臺AIRX的Go Healthcare這家公司，就是用Intel的OpenVINO來最佳化模型，優化前後的影像處理延遲情形從2.86降至0.66秒，也就意味著，系統能在相同時間內標注更多的病灶影像，來加速影像辨識的流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0482.JPG" style="width: 600px;" /></p> <blockquote><p>用Intel的OpenVINO來優化模型後，優化前後的影像處理延遲情形從2.86降至0.66秒，快了4.37倍。</p> </blockquote> <p>Keen Bay預計在2020上半年將正式推出Keem Bay，Intel IoT部門副總裁Jonathan Ballon受訪時，雖無正面回應市場定價，不過以GPU作為比價對象：「Keem Bay的價格將會是GPU的一部分而已（a small fraction of the price of a comparable GPU）。」加上發表會上公布的圖表數據，不難發現Intel將Nvidia視為競爭對手。</p> <h3><span style="color:#FF8C00;">Intel推出硬體部署測試平臺DevCloud，讓客戶部署模型更容易</span></h3> <p>除了硬體VPU處理器的發表，為了讓客戶不再困擾該使用哪種硬體處理器， Intel今天也發布了「DevCloud硬體部署測試平臺」，是OpenVINO的軟體工具集的新功能。這個平臺能讓客戶上傳演算法，並選擇不同的處理器來測試軟硬體搭配的效能，來找到最合適部署的硬體。「過去的幾個月中，DevCloud在進行Beta版測試，如今已經有2700多家客戶使用過。」Jonathan Ballon表示。</p> <p>該平臺的使用方法分為兩步驟，第一，是上傳演算法並選擇硬體處理器，包括CPU、FPGA、VPU等邊緣運算用的推論晶片，在大方向的選定硬體類別後，即可在雲端執行推論，並得到推論的速度與成效；接著，重複測試幾次並選定了要使用的硬體類型後，就能更進一步選擇處理器型號、要搭配哪種加速卡、batch-size與執行緒的數量等，來進行更精確的測試。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0486(1).JPG" style="width: 600px;" /></p> <blockquote><p>在OpenVINO工具集中，除了具備模型最佳化的功能（model optimizer），也新增了邊緣運算硬體部署最佳化的功能（Edge AI Optimizer）。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0491.JPG" style="width: 600px;" /></p> <blockquote><p>第一步，先上傳演算法並選擇硬體處理器類別進行測試。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0494.JPG" style="width: 600px;" /></p> <blockquote><p>第二，能更進一步選擇處理器型號、要搭配哪種加速卡、batch-size與執行緒的數量等，來進行更精確的測試。</p> </blockquote> <p>測試完成後，下一步驟就是部署。Jonathan Ballon表示，邊緣運算的應用不是只要建構一個解決方案，而是需要大規模的將軟體部署到邊緣端產品中，而Intel的優勢在於其CPU搭配加速卡的組合，「效能比只用GPU高很多，」再加上軟體平臺的工具以及系統整合商的資源，能創造出一個完整的AI生態系，讓客戶直接在其中找到合作夥伴，更容易進行大規模產品部署。</p> <p>要發展生態系，Intel長期以來也提供開發者許多學習資源來培育AI人才。2016年底，Intel因應AI趨勢來襲而成立了Nervana AI學院，以Intel AI相關軟硬體為教材來提供線上課程。「不過，以往我們有關AI的教育和培訓都針對雲端開發人員，現在我們也要培訓開發人員在邊緣端應用AI。」Jonathan Ballon表示，Intel宣布成立具有Udacity學位的Edge AI NanoDegree，來因應邊緣運算興起的趨勢，也釋出獎學金來鼓勵女性參加。</p> </div></div></div>
2019/11/13 19:19作者翁芊儒https://www.ithome.com.tw/news/134183
洗腎病友福音！交大研發手持式AI血流量測器，在家就能自我檢測瘻管阻塞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交大電機工程系特聘教授趙昌博今（13日）發表了自行研發的非侵入式手持AI血流量測器與App，號稱世界首支，整合了PPG光學技術、AI模型和大數據分析，只要10秒就能偵測洗腎患者的瘻管狀態，不必到大醫院檢查，病患在家就能自己量測。他透露，目前正在準備申請美國FDA驗證中，若通過，最快明年上市。</p> <p>根據衛福部統計，去年臺灣醫療支出的前十大疾病中，慢性腎病蟬聯了第一名，就醫人數高達36.4萬人。去年洗腎病患更創下歷年新高，多達9萬人。</p> <p>新光吳火獅紀念醫院腎臟科主治醫生林秉熙指出，慢性腎病患者需定期進行血液透析（也就是洗腎），來維持生命。但在洗腎前，患者須先動手術，在皮膚下方建置動脈瘻管，供血液透析使用。這條瘻管，可說是洗腎患者的生命之線。不過「通常在瘻管建立的兩年內，8成病人會發生瘻管阻塞，嚴重可能導致尿毒症和血鉀過高等致命併發症。」</p> <p>目前，醫院常見瘻管阻塞檢查方法有兩種，一是利用大型超音波都普勒血流儀（Doppler），每月對患者進行非侵入式的血流檢測。另一個是利用侵入式的大型血流感測器HD03，由經驗老道的專科醫生操作，每3個月來檢查一次。趙昌博指出，HD03是目前業界公認最精準的檢查儀器，但不論是超音波機臺還是侵入式的大型感測器，都無法即時檢查患者簍管狀況。</p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">歷時6年研發輕巧手持非侵入式血流計，每天在家量測一次不是問題</span></span></strong></p> <p>有鑑於此，趙昌博團隊自6年前開始投入研究，來打造非侵入式的光學血流量測器，讓民眾可自行在家操作。首先，團隊利用光體積變化描記圖訊號（PPG）原理，藉由血液流動對光吸收的變化，以特殊波長陣列來設計光學感測器，以光學感應皮下血管傳送的訊號，來偵測血管血流。</p> <p>趙昌博強調，市面上許多生理量測器也採PPG原理，像是Apple Watch、智慧手環等裝置，但與這些裝置不同的是，「交大這款量測器採用的波長更長，能感應到深層的血管血流訊號。」除了血流，還可以偵測連續心率、血壓和心房顫動數值。</p> <p>而這臺量測裝置體積輕巧，只有手機的一半，方便民眾自己操作（如下圖）。搭配手機App，只要手持裝置在手腕上等待10秒，資料回傳雲端分析後，能直接在App上呈現血管狀態，要是偵測異常，還可連結醫院系統、通知醫生，即早安排瘻管疏通用藥或手術。「這個好處是，民眾可以家每天量測，不像到醫院使用大型儀器，得1個月或3個月才能量測一次。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4450.JPG" /></p> <p>這個手持裝置能的精準判斷血流的關鍵，是大數據分析平臺與AI模型，趙昌博指出，光學感測器會蒐集到大量帶有雜訊的資料，「透過AI，可以從龐大的雜訊中，自動找出血管血流訊號，大幅提高分析的準確度。」</p> <p>目前，這個AI模型已於兩家大型教學醫院測試，已累積200筆洗腎病友的量測資料，目前這款血流量測AI的準確度約達91％，「接下來要達到1,000筆的測試。」趙昌博指出，「也正準備送件申請美國FDA認證，預計明年完成，最快明年就能問世。」</p> <p>最後，他也揭露，團隊目前正研發一款手貼式量測裝置，要讓洗腎病友更輕便掌握瘻管狀況。文◎王若樸</p> </div></div></div>
2019/11/13 16:37作者王若樸https://www.ithome.com.tw/news/134174
墨西哥國營石油公司Pemex遭勒索軟體攻擊，傳駭客提出490萬美元的贖金要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>墨西哥國營石油公司Pemex在本周日（11/10）遭到勒索軟體攻擊，駭客加密了Pemex部份系統的檔案，且外傳駭客提出了565個比特幣的贖金要求，約等於490萬美元。</p> <p>Pemex<a href="https://twitter.com/Pemex/status/1194077215060824064" target="_blank">透過Twitter證實了此事</a>，並在聲明中澄清該公司的營運與生產系統都可正常運作，也有充足的庫存與供應，希望外界不要相信損及該公司形象的謠言。</p> <p>Pemex表示，如同其它大型企業或政府組織一樣，該公司也經常成為駭客的攻擊目標，由於適時的因應，周日的攻擊僅造成不到5%的個人電腦受損，而燃料生產、供應與庫存等系統都是安全的。</p> <p>Pemex並未提供其它攻擊細節，但<a href="https://www.reuters.com/article/us-mexico-pemex/ransomware-attack-at-mexicos-pemex-halts-work-threatens-to-cripple-computers-idUSKBN1XM041" target="_blank">根據路透社的報導</a>，Pemex於內部郵件中聲稱是受到Ryuk勒索軟體的攻擊，但<a href="https://www.bleepingcomputer.com/news/security/mexicos-pemex-oil-suffers-ransomware-attack-49-million-demanded/" target="_blank">Bleeping Computer</a>則自外洩的勒索信函與付款網站等資訊，判斷Pemex是被DoppelPaymer所感染，而非Ryuk。</p> <p>此外，Bleeping Computer還從付款網站看到駭客向Pemex勒索了565個比特幣，約等於490萬美元的金額。</p> </div></div></div>
2019/11/13 17:20作者陳曉莉https://www.ithome.com.tw/news/134177
微軟修補74個安全漏洞，包含一個IE零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在11月的Patch Tuesday修補了74個安全漏洞，其中有13個屬於重大（Critical）漏洞，並有一個IE零時差漏洞CVE-2019-1429 ，以及一個存在於Microsoft Office for Mac上、已被揭露但尚未被開採的CVE-2019-1457漏洞。</p> <p><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1429" target="_blank">CVE-2019-1429</a>衍生自IE腳本引擎處理記憶體中物件的方式，該漏洞可能造成記憶體損毀，而讓駭客得以執行任意程式，並使駭客取得與使用者同等的權限。</p> <p>根據微軟的描述，駭客只要設立一個專門用來開採該漏洞的網站，然後誘導使用者造訪該站，就能開採此一漏洞，或者是在Office文件或應用程式中嵌入一個標示為安全的ActiveX控制器，也能藉由惡意廣告展開攻擊。此一已被開採的漏洞影響IE 9與IE 11。</p> <p>至於<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1457" target="_blank">CVE-2019-1457</a>則是藏匿在Microsoft Office for Mac中，當使用者勾選了「不必通知就關閉所有巨集」（Disable all macros without notification）設定時，它卻依然容許Excel巨集的執行，而且不會跳出通知，該漏洞同時波及Office 2016 for Mac與Office 2019 for Mac。</p> <p>此外，微軟修補了19個與繪圖元件有關的安全漏洞，以及9個涉及Windows Hyper-V的安全漏洞。</p> </div></div></div>
2019/11/13 17:50作者陳曉莉https://www.ithome.com.tw/news/134181
從臺灣遇害實例驗證攻擊趨勢，法務部調查局揭露企業常見受駭類型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對層出不窮的資安事件，負責維護國家安全與偵查重大犯罪的法務部調查局，旗下設有資通安全處，身負防制電腦犯罪與相關鑑識的重責，是最能掌握國內組織遇害現況的單位之一。</p> <p>近日，這個單位的資通安全處科長劉嘉明，揭露了國內企業的遇駭現況，期望讓更多組織能瞭解常見受駭類型，並重視相關問題。</p> <p>基本上，調查局資安團隊主要任務有5大內容，包括電腦犯罪案件預防、網安情資蒐集、電腦犯罪案件偵辦、中繼站查處，以及相關資安鑑識。在運作架構上，資通安全處在六大直轄市也都成立資通安全科，提升業務偵辦能量。</p> <p>對於電腦犯罪案件偵辦方面，劉嘉明特別說明了對於境外敵對勢力滲透的調查。在這類APT攻擊中，駭客有攻擊型與竊取資料型，兩者是以分工方式合作，而且是由不同的駭客單位發起，原因在於，攻擊型是大量發動容易發現，而竊取資料型則是以不被發現為主，但兩者又有一定程度的犯意聯繫。例如，攻擊型的駭客透過中繼站，寄送惡意郵件到組織內部，組織受害後又會主動連線到另一個中繼站，而另一組駭客，則是連線到上述的第二個中繼站去竊取檔案。</p> <p>在此當中，他特別強調，調查局會透過追查中繼站，來了解國內的受害狀況，也就是從中繼站發現攻擊的跡象，進而通知企業或組織遇害。因此，不少企業可能在收到通知時，會以為調查局在監控他們，否則如何知道自己出問題，其實，這主要是案件追蹤上的發現。他也舉例，今年6月底銓敘部公布的個資外洩事件，經事後追查發現是101年6月30日前的資料遭竊，而調查局早在同年3月，就通知他們被入侵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0242321s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在電腦犯罪案件偵辦上，調查局會透過中繼站來了解國內的受害狀況，進而追蹤到有企業遭受入侵的現象。</p> </blockquote> <h2><strong>期望推動多層次防護觀念</strong></h2> <p>對於近年企業防護上的狀況，從調查局近年的偵查經驗中，劉嘉明歸納出三大重點，是企業必須關注的面向。</p> <h3><span style="color:#B22222;"><strong>多層次防護</strong></span></h3> <p>首先，是缺乏多層次防護。他解釋，一般已建構資安完善資安防護的企業，通常駭客從入侵到竊取資料，是需要一段時間。但如果企業被入侵後，對方即可任意竊取資料，受害公司等於完全沒有因應的時間。因此，他希望企業都該具備多層次防護的架構。</p> <h3><span style="color:#B22222;"><strong>委外管理</strong></span></h3> <p>第二，是委外管理的問題，雖然公務機關這些年的安全程度，確實逐步提高，但以最近的趨勢而言，他們看到，透過委外廠商入侵公務機關的情形，越來越多，而且私人機關也要注意風潮，因為許多公司也很依賴委外廠商。</p> <p>因此，像是委外業者的程式撰寫方式，以及系統維護觀念是否安全等，都是企業應該要去關注的面向。</p> <h3><strong><span style="color:#B22222;">網路流量監控</span></strong></h3> <p>最後，則是企業往往不知道內部網路流量異常的現況，缺乏相關監控措施，這也讓駭客可能長期潛伏，一直躲在公司內部，暗中持續竊取資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%B3%95%E5%8B%99%E9%83%A8%E8%AA%BF%E6%9F%A5%E5%B1%80%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E8%99%95%E7%A7%91%E9%95%B7%E5%8A%89%E5%98%89%E6%98%8E%E8%AB%87%E4%BC%81%E6%A5%AD%E6%94%BB%E6%93%8A%E5%9B%A0%E6%87%89%E8%88%87%E7%89%A9%E8%AD%89%E4%BF%9D%E5%AD%98s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>對於企業攻擊因應與證物保存，法務部調查局資通安全處科長劉嘉明指出，在調查局的偵辦經驗中，發現企業存在許多資安問題，建議企業需建立多層次防護，他並以近年電腦犯罪、資安事件的5大常見問題，讓企業能更瞭解攻擊因應方向。</p> </blockquote> <h2><strong>勒索軟體問題嚴重，國內企業願意付贖金的比例高</strong></h2> <p>國內企業面對那些資安攻擊？過去我們只能從廠商報告中看見一些統計數字，劉嘉明從近期調查局辦理的事件中，整理出五大常見問題類型，包括勒索軟體、社交工程、駭客提升權限、Web Shell，以及離職員工。</p> <p>以勒索軟體攻擊而言，他指出，日前國內金融業才發生大規模PC遭遇勒索軟體的事件，引發金融圈與社會關注，而他所指的就是10月下旬國泰投信的遭遇。接著，他還提及近期一家旅行社的委外業者，其應用系統遭遇勒索軟體的事件。由於發生在委外業者身上，雖然理論上應由該業者負起責任，但因為已經衝擊到旅行社營運，因此最後旅行社決定自己先付贖金來因應。</p> <p>然而，國內企業遭遇勒索軟體付贖金的案例多嗎？畢竟多數企業遭遇了勒索軟體，通常不願公開，多半是態勢嚴重而被民眾揭露才曝光，是否付贖金並無具體事例，也沒有企業勇於承認。劉嘉明指出，其實這些業者在遇害後，付贖金的比例其實相當高，這主要也是因為駭客勒索的贖金，多是企業可負擔的金額，這也讓企業支付的意願增加。</p> <p>因此，他也呼籲，企業或委外廠商都應做好備份工作。在伺服器的安全管理之外，員工電腦是企業容易疏忽的部分，同時，也提醒即便是備份資料，也有被加密的可能性。</p> <p>調查局上述的舉例，也呼應到其他重大事件。例如，最近，我們針對今年8月醫療院所遭勒索軟體攻擊的追蹤報導中，就從醫院得知曾發生多個備份均遭加密的情形，並聽聞有醫院支付贖金的狀況。顯然這些問題，已突顯出國內在勒索軟體攻擊下的現況，企業必須重視與做好因應。</p> <p>另外，對於不幸遭遇勒索軟體的企業與用戶，劉嘉明也指出可善用No More Ransom的網站，這裡集結了國際刑警組織與資安業者等提供的解密的資源，受害者可以不用付贖金就能就會被加密的檔案，為復原資料提供了另一些機會。</p> <h2><strong>社交工程難防，預設密碼與明碼Web.config浮濫</strong></h2> <p>對於近年電腦犯罪常見的攻擊手法上，劉嘉明指出社交工程、釣魚郵件的問題，雖然這類問題可能不易解決，因為企業內部總是會有人中招，但依然是企業必須關注的面向。</p> <p>特別的是，也要注意郵件帳號遭盜用，可能帶來的風險。像是駭客利用竊取的信件內容，散布惡意程式給公司其他同仁，還有商業電子郵件詐騙的威脅，因此，企業在因應上一定要有雙重驗證，例如打電話再確認是否變更匯款帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0242335s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 600px;" /></p> <blockquote><p>對於社交工程與釣魚郵件的問題，劉嘉明表示，這類問題可能不易解決，因為企業內部總是會有人中招，例如，面對複雜的電子郵件寄件者偽冒與竄改手法，有經驗的人雖然能從郵件標頭去分辨，但要讓一般民眾都懂得識別，並不容易，因此，他認為透過DMARC驗證機制來防範，會比較有效。同時，他也指出釣魚郵件及郵件帳號遭盜用的問題，企業不能再忽視。他以最近TWCERT發布的攻擊警訊為例，是有已知惡意IP位址對企業Office 365帳號進行暴力破解攻擊，提醒企業注意相關防護。</p> <p>對於企業郵件帳號被盜的後果，他也舉例說明，假若公司雙方的聯絡人，有一方郵件帳號被入侵，這意味著駭客可以監控到郵件的內容，因此，接下來的駭客攻擊有兩種顯而易見的方式，一是竊取原始郵件內容，並將惡意附檔包含在郵件中，然後寄送給原寄件人的部屬與同事；另一種就是用於商業電子郵件詐騙（BEC），針對公司財務相關人員，假冒合作夥伴或自己的主管，騙稱臨時要將款項轉至另一金融帳號。因此，他強調，這些事件的因應上，一定要有雙重驗證，例如打電話再確認是否要變更匯款帳號。</p> </blockquote> <p>同時，他指出提升權限與Web Shell的問題，也是偵辦過程中常發現的狀況。劉嘉明表示，前者多半發生在委外業者，並強調，預設密碼與明碼Web.config的狀況很嚴重。</p> <p>以預設密碼的問題而言，像是近期多家醫院遭受勒索軟體攻擊事件，就是因為委外業者在應用系統上使用了預設密碼；而在網站系統使用明碼Web.config的狀況上，他認為8成為委外業者都沒有做好這方面的防護，使用明碼儲存連線字串，讓駭客可以輕易透過web.config蒐集到資料庫帳號密碼，取得最高權限，以管理者身分存取資料。因此，他也提醒，企業要在這方面督促委外廠商注意。</p> <p>較特別的是，他還提到了另一個企業內部也很普遍的問題，那就是一旦有員工PC不小心被入侵，IT人員在維修時，很可能因為使用了管理者帳號最高權限帳號，而被鍵盤側錄程式或惡意軟體MimiKatz截取，雖然駭客使用這招已經行之有年，但一直很管用。</p> <p>對於控制網站伺服器的Web Shell攻擊手法，調查局也在很多案件的追蹤入侵過程當中，發現了「一句話木馬」這個網頁型後門程式的存在，由於這種攻擊是在網頁中插入「一行」指令，利用網頁的GET或POST以傳送指令文字，因此不容易被發現。</p> <p>另外，關於離職員工方面的問題，也是近年企業不可忽視的因素。像是離職後仍然可登入公司網路，應該要立即停用帳號，以及員工在快要離職前，違規下載企業資料，可能是為了跳槽之用，要有異常存取行為監控機制。</p> <h2><span style="color:#0099ff;"><strong>企業若遭入侵，配合調查時僅記兩大關鍵：記錄保留與防護證明</strong></span></h2> <p>對於調查局的案件處理，劉嘉明指出，企業在配合時有兩大準備工作，企業必須牢記，一方面是要保留記錄，另一方面則是需要提供適當的安全防護，包括明確的重要資安資產，以及資訊保護證明與說明。</p> <p>對於電腦與防火牆的記錄保存，他表示，在調查局的經驗中，發現很多公司內部並沒有相關政策，就容易發生保存時間太短，或是入侵過程中遭到刪除。他建議，企業必須要做好集中記錄保管。另外他也強調，保存記錄的類型包含除錯與資安事件，前者資料量大，而他們最需要的僅是後者，儲存用量其實相對也比較小。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0242318s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>以調查局資安團隊的任務而言，簡單來說，包括了電腦犯罪案件預防、網安情資蒐集、電腦犯罪案件偵辦、中繼站查處，以及相關資安鑑識。其中，關於電腦犯罪案件預防，劉嘉明表示，他們主要針對政府機關、大專院校、上市櫃公司與關鍵基礎設施等機關，宣導防制電腦犯罪與教育訓練，特別的是，今年也納入資本額2億元以上的企業；而在網安情資蒐集方面，他表示，以行政院資通安全處目前對他們的要求而言，講求的是要精準，而不是快，因此他們現有掌握的情資中，有8成比例都經得起考驗。</p> </blockquote> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/R0242326s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(3).jpg" style="width: 600px;" /></p> <blockquote><p>對於臺灣企業遭遇勒索軟體攻擊的問題，法務部調查局資通安全處科長劉嘉明指出，多數業者都是以付贖金了事。對於這樣的現況，他表示，調查局當然也不希望受駭企業付款，但企業們會盤算如何可以損失最小化，但也很可能付了贖款，卻得不回應的2次傷害。但對調查局而言，他們不會因為企業已付贖金而停止調查，仍會努力持續追蹤。</p> </blockquote> </div></div></div>
2019/11/13 15:46作者羅正漢https://www.ithome.com.tw/news/134170
Windows 10 1909出爐了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/11/12/how-to-get-the-windows-10-november-2019-update/#2IGotEgOWsETBx8r.97" target="_blank">微軟在本周二（11/12）正式釋出</a>了版本別為1909的<a href="https://www.youtube.com/watch?v=iKSjehyCJmw&feature=youtu.be" target="_blank">Windows 10 November 2019 Update</a>，此一版本雖然有些新功能，但主要著重在效能、穩定性與企業功能上的改善，初期微軟並不主動遞送更新通知，有意願更新的使用者可自行透過Windows Update檢查是否有更新版，並自行下載及安裝。</p> <p>Windows 10 1909有不少別名，除了November 2019 Update之外，它的研發代號為Vanadium，也曾被稱為19H2。當使用者下載更新之後，必須重新啟動電腦才能完成安裝程序，若是無法立即重新啟動，也能根據需求安排重新啟動的時間。</p> <p>不過，Windows 10 1909將有更順暢的更新經驗。根據微軟的說明，Windows 10 1909與Windows 10 1903（Windows 10 May 2019 Update）除了有共同的核心作業系統之外，也具備同樣的系統檔案，且微軟已藉由Windows 10 1903的每月更新遞送了Windows 10 1909的功能，只是這些功能處於休眠狀態，只需要透過啟用套件就能喚醒它們，而Windows 10 1909即包含了此一啟用套件。</p> <p>因此，<a href="http://techcommunity.microsoft.com/t5/Windows-IT-Pro-Blog/Windows-10-version-1909-delivery-options/ba-p/1002660" target="_blank">對於Windows 10 1903用戶來說</a>，執行更新只要重新開機一次，就能順利升級到Windows 10 1909，且各種相容於Windows 10 1903的應用程式或驅動程式，也都相容於Windows 10 1909。</p> <p>但倘若Windows 10用戶採用的是Windows 10 1903之前的版本，其更新到Windows 10 1909的程序將會與過去的功能更新一樣，將會耗費多一些的時間。</p> <p>微軟也建議IT管理人員應該開始驗證企業所使用的程式、裝置或基礎設施能否相容於Windows 10 1909，且不管是使用Windows Server Update Services、Windows Update for Business或Volume Licensing Service Center，都能透過Microsoft Endpoint Manager或其它系統管理軟體執行分階段部署。</p> <p>由於微軟對Windows 10 1803（Windows 10 April 2018 Update）的支援，也剛好到11月12日終止，使得微軟再度重申，已經終止支援或是在幾個月內就會終止支援的Windows 10裝置，都會自動啟用功能更新。</p> <p>Windows 10 1909的新功能包括，可在工作列上的行事曆飛出視窗中直接建立活動，改善了通知管理能力，在檔案總管的搜尋結果中整合了雲端的OneDrive內容，以及在鎖住的螢幕上，能夠以聲音啟用第三方的語音數位助理等。</p> </div></div></div>
2019/11/13 16:30作者陳曉莉https://www.ithome.com.tw/news/134175
臉書發布全新支付服務Facebook Pay
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2019/11/simplifying-payments-with-facebook-pay/">臉書發布了一個稱為Facebook Pay的新支付系統</a>，讓使用者在臉書、Messenger、Instagram以及WhatsApp上方便的付款，Facebook Pay可以直接匯款給朋友，也可以用來購物或是捐贈給募款基機構，臉書表示，Facebook Pay獨立於臉書Calibra錢包與Libra網路，建構在現有的金融基礎設施和合作關係上。</p> <p>臉書提到，現在使用者大量的使用臉書旗下應用程式進行購物、捐贈或是匯款，而為了讓交易更加簡單而且安全，因此推出了Facebook Pay，用戶只要在第一次使用時，新增付款的方法，之後在臉書旗下應用程式付款，便不需要再重新輸入付款的訊息。</p> <p>臉書提到，使用者必須要逐一在各應用程式中設定Facebook Pay，或是在可用的情況下，同意Facebook Pay可跨各應用使用，否則臉書不會自動替使用者在各應用間設定Facebook Pay。</p> <p>臉書在這星期會先於美國，在臉書以及Messenger上推出Facebook Pay，用戶就能以Messenger進行用戶對用戶的支付、捐贈給募款機構，以及在遊戲內購買，還能購買活動票券，也能在臉書的拍賣市集（Marketplace）購買商品，在未來Facebook Pay的應用範圍還會擴展至Instagram和WhatsApp上，並且將Facebook Pay擴展到其他市場。</p> <p>用戶可以在臉書和Messenger應用程式的設定中，設定支付方法，目前Facebook Pay接受簽帳金融卡與信用卡，臉書透過Stripe和PayPal等第三方支付公司來處理這些支付款項。臉書提到，Facebook Pay除了會加密儲存用戶卡號以及銀行帳號之外，也會在系統上執行詐騙監控，以偵測未經授權的帳戶活動。Facebook Pay支援PIN碼或是指紋與臉部ID的生物特徵辨識，在支付前提供額外的安全保護。</p> <p>用戶使用Facebook Pay的資訊，將被用於廣告網路上，Facebook Pay會收集用戶支付資訊，諸如付款方式、交易日期、帳單、運輸方式和聯絡方式，臉書提到，Facebook Pay與臉書其他產品一樣，其操作會用於向用戶推播相關內容和廣告，也就是說，當用戶在臉書拍賣市集購買了棒球手套，便有可能看到關於棒球球棒的廣告，不過，卡號跟銀行帳號不會用於最佳化廣告。</p> <p>用戶可以在Facebook Pay增加或是刪除支付方式，並查看交易紀錄，用戶的支付或是購買活動，除非用戶自己分享，否則Facebook Pay不會主動與用戶朋友共享，也不會出現在個人資料及塗鴉牆上，臉書也強調，他們只會與商家共享交易所需，例如運輸和聯繫方式的資訊。</p> </div></div></div>
2019/11/13 17:10作者李建興https://www.ithome.com.tw/news/134163
網站跑得慢，將被Google Chrome加標籤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站管理員要小心了，如果你的網站下載的速度很慢，可能將被Google Chrome貼上有點難堪的標籤。<a href="https://blog.chromium.org/2019/11/moving-towards-faster-web.html" target="_blank">Google周二表示</a>未來Chrome將以標示系統，明顯告知用戶下載較慢及較快的網站。</p> <p>Google指出，大家都有造訪過原本以為跑得很快，實際上卻沒那麼快的網站的經驗，該公司希望用更有效的方法，來幫助使用者得知哪些網站跑得很慢，同時獎勵載入得很快的網站。未來Chrome將以清楚的標示來顯示平均速度跑得較快與較慢的網站。這可能會以多種形式呈現，Google目前正在實驗不同選項，以決定哪種效果最好。</p> <p>Google表示，標示系統用於顯示網站撰寫方法導致整體下載速度較慢、長期呈現載入時間較久。未來也可能擴大到基於用戶裝置和網路導致網頁下載較慢的情形。初期Google是依據Chrome介面元素來呈現網站下載速度，包括登入過程頁面（splash screen）、載入進度顯示（loading progress bar）及連結的上下文選單（context menu），後者可以在用戶造訪前告知整體的下載速度。例如針對較慢的網站，Chrome登入過程頁面會顯示「通常下載較慢」，針對較快的網站則顯示綠色的進度指示。</p> <p>Chrome小組正和Google其他部門密切合作開發這套標示系統，確保只要管理員有用心最佳化網站速度，就不會同一網站不同頁面出現不同標示。Google也計畫根據嚴格考量逐步擴大實施標示系統。長期目標是定義出高品質瀏覽經驗的標準化標示系統，考慮的也可能不只是速度。</p> <p>如果管理員不想自己的網站被貼上跑得慢的標籤，Google也提供了<a href="https://developers.google.com/speed/pagespeed/insights/" target="_blank">網站速度測量</a>及<a href="https://developers.google.com/web/fundamentals/performance/speed-tools/#lab_data" target="_blank">改善網站速度教學</a>的資源網站。</p> </div></div></div>
2019/11/13 15:30作者林妍溱https://www.ithome.com.tw/news/134169
臉書app會偷偷開啟iPhone相機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現，臉書iOS版app會在用戶讀取動態消息時，偷偷啟動iPhone的相機，即使用戶並沒有拍照或啟動視訊的行為。</p> <p>這個問題由安全研究人員<a href="https://twitter.com/JoshuaMaddux/status/1193434937824702464" target="_blank">Joshua Maddux在推特上發現</a>。根據他貼出的影片，當iPhone用戶單純以臉書app滾動讀取動態消息時，手機相機即會開啟拍攝前方事物，顯然他當時並未拍攝他人、自拍或和他人視訊通話。<a href="https://twitter.com/dzlasafin/status/1193582199921987584" target="_blank">另一名用戶</a>則是在臉書app開啟檔案照片，手指下滑回前頁時，啟動了iPhone的後向式相機。</p> <p>不過這個問題似乎只出現在iOS 13.2.2上，Maddux在其他5隻跑13.2.2版的iPhone驗證同樣問題。但是iOS 12版則未顯示相機畫面。此外，<a href="https://thenextweb.com/apps/2019/11/12/facebook-camera-ios-iphone/" target="_blank">TNW網站</a>證實，Android（10）版臉書app也不會開啟手機相機。</p> <p>另一個必要條件是，用戶必須曾經允許過臉書app存取相機。iOS是預設封鎖任何app存取iPhone相機，除非用戶自己提供許可。</p> <p>由於臉書過去的紀錄不佳，因此被懷疑這是否為臉書另一個不為人所知的隱私侵害手法。臉書副總裁<a href="https://twitter.com/guyro/status/1194280394687840256" target="_blank">Guy Rosen在Maddux推文留言表示</a>這看起來是一隻臭蟲，公司將啟動調查。不過臉書官方尚未對此評論。</p> <p>2017年也曾有研究人員<a href="https://appleinsider.com/articles/17/10/26/google-engineer-proves-any-iphone-app-with-permission-to-access-the-camera-is-capable-of-spying" target="_blank">Felix Krause展示一個概念驗證惡意app</a>，能在啟動後偷偷拍攝或錄製使用者影像，還能蒐集相片拍攝地點及執行臉部辨識、判斷影中人情緒等。</p> </div></div></div>
2019/11/13 15:40作者林妍溱https://www.ithome.com.tw/news/134171
McAfee防毒軟體爆權限升級漏洞，可讓駭客執行攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現所有版本的McAfee防毒軟體<a href="https://safebreach.com/Post/McAfee-All-Editions-MTP-AVP-MIS-Self-Defense-Bypass-and-Potential-Usages-CVE-2019-3648" target="_blank">存在一項權限升級漏洞</a>，可讓駭客取得管理員權限執行攻擊或接管系統。</p> <p>編號CVE-2019-3648的漏洞能讓駭客繞過McAfee自我防護機制，下載未經簽章的惡意DLL檔案到以系統權限執行的多項服務中，以進行檔案刪改、植入資料竊取程式或是接管整個系統等攻擊。</p> <p>受影響產品擴及16.0.R22版以前所有McAfee防毒軟體，包括McAfee Total Protection (MTP)、McAfee Anti-Virus Plus (AVP)、 McAfee Internet Security (MIS)。研究人員通報後，<a href="https://service.mcafee.com/webcenter/portal/cp/home/articleview?articleId=TS102984" target="_blank">McAfee在周二發佈安全公告</a>，並會透過自動更新發佈修補程式。</p> <p>安全廠商SafeBreach 研究人員Peleg Hadar發現，McAfee多項服務以NT AUTHORITY\SYSTEM帳號執行，又作為已簽發行程身份執行。這些服務企圖從當前工作目錄（current working directory，CWD）System32\Wbem、而非從實際所在位置（System 32）載入DLL檔，卻又未驗證DLL檔是否由數位憑證簽發。這就形成一個漏洞，讓駭客得以將未簽發的任意DLL檔注入到這些合法行程中，中間繞過McAfee原有保護資料夾的mini-filter檔案系統驅動程式的機制得逞。</p> <p>在概念驗證攻擊中，研究人員成功將一個未簽發的代理伺服器DLL程式下載到多個McAfee產品的已簽發行程中執行。研究人員表示，這項漏洞可被駭客用作各種迴避及執行目的，像是繞過應用程式的白名單檢測，使McAfee不主動偵測攻擊程式的binary。還能獲致持續攻擊之效，在每次服務啟動時下載及執行惡意程式，也就是說，只要攻擊者植入一次惡意DLL檔，每次McAfee服務重新啟動時都會下載惡意程式碼。</p> <p>本漏洞風險分數被列為中度。研究人員8月初通報McAfee後，後者於9月中證實。所有受影響的McAfee產品都會透過廠商自動更新機制升級到最新版。</p> <p>此前趨勢科技、CheckPoint、Bitdefender、Avira、Avast，也都出現過防毒產品本機權限升級的安全漏洞。</p> </div></div></div>
2019/11/13 15:55作者林妍溱https://www.ithome.com.tw/news/134172
報導：蘋果2022年就會推出AR頭戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2019-11-11/apple-s-ar-push-will-start-with-ipad-and-culminate-with-glasses" target="_blank">彭博社</a>與<a href="https://www.theinformation.com/articles/apple-eyes-2022-release-for-ar-headset-2023-for-glasses" target="_blank">The Information</a>本周不約而同地揭露了蘋果的AR/VR裝置計畫，指稱蘋果會在2022年推出AR頭戴裝置，而AR眼鏡則會在2023年問世。</p> <p>早在2016年<a href="https://www.ithome.com.tw/news/109617" target="_blank">彭博社就曾報導</a>蘋果有意開發擴增實境（AR），隨後並指出蘋果已有1,000名工程師投入AR或VR技術的研發。</p> <p>根據彭博社最新的報導，蘋果正在開發新的3D感應器系統，將率先應用在明年上半年出爐的iPad Pro上，繼之部署於預計於明年秋天發表的新一代iPhone，而2021與2022年的目標則是推出結合AR與VR的頭戴式裝置，再於2023年發表AR眼鏡。</p> <p>至於The Information則指出，蘋果已於內部會議上宣布，將在2022年發表首款AR裝置，2023年推出AR眼鏡。</p> <p>擴增實境或虛擬實境（VR）是最近這幾年興起的技術，但離成為市場主流還有一段距離。蘋果在2017年便推出了ARKit軟體套件，這是一個可用來打造AR程式的框架，不過<a href="https://blog.apptopia.com/apples-arkit-after-two-years" target="_blank">根據Apptopia的統計</a>，在現有的、位居各類別前1,500名的iOS程式中，大概只有5,000款程式採用ARKit，其中有28%屬於遊戲，15.5%為娛樂類別，其它的應用還包括教育（8.8%）、公用程式（7.3%）、照片/影片（6.5%）、生活風格（6.1%）與購物（4.7%）。</p> </div></div></div>
2019/11/13 00:10作者陳曉莉https://www.ithome.com.tw/news/134158
有了Whole Foods還不夠，Amazon打算成立新品牌的食品商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>眼尖的CNET記者在Amazon的<a href="https://amazon.tal.net/vx/lang-en-GB/mobile-0/appcentre-ext/brand-4/xf-04912c710f5c/candidate/jobboard/vacancy/2/adv/" target="_blank">求才版面</a>上，看到該公司正在招募新食品商店的員工，之後Amazon也對CNET<a href="https://www.cnet.com/news/amazon-will-launch-new-grocery-store-as-alternative-to-whole-foods/" target="_blank">證實此事</a>，表示將設立新品牌的食品商店，且首家商店明年就會在洛杉磯的Woodland Hills地區開幕。</p> <p>Amazon在2017年時便以137億美元，買下美國的有機連鎖超市Whole Foods Market，一舉取得Whole Foods Market在北美與英國的460家門市，不過現在看來，Whole Foods Market並不能滿足Amazon的野心。</p> <p>Amazon在站上招募該食品雜貨店的主管、助理與夜班人員，還說這是Amazon在Woodland Hills的首家食品雜貨店。而CNET則報導，Amazon將採用全新的品牌，既非Whole Foods Market，也不是無人商店Amazon Go。</p> <p>Amazon亦向CNET透露，消費者喜歡選擇，此一新的商店將提供有別於Whole Foods Market的食品選項，就算有了新商店，未來也將繼續投資Whole Foods Market。</p> <p>看起來Amazon正在擴張其實體門市布局，除了所併購的Whole Foods Market之外，Amazon還設立了專門銷售四顆星以上書籍的Amazon Books及四顆星以上商品的<a href="https://www.amazon.com/amazon-4-star/b/?node=17988552011" target="_blank">Amazon 4-star</a>商店，目前全美已有20家Amazon Books與6家Amazon 4-star，而標榜全自動化服務的<a href="https://www.ithome.com.tw/news/124133" target="_blank">Amazon Go</a>也有6個門市。</p> </div></div></div>
2019/11/13 00:40作者陳曉莉https://www.ithome.com.tw/news/134159
蘋果發布程式語言Swift數值運算專案Numerics
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的程式語言Swift標準函式庫團隊成員Steve Canon，宣布了一項名為<a href="https://swift.org/blog/numerics/" target="_blank">Swift Numerics的開源專案</a>，內含實數與複數運算模組，提供Swift開發者建置數值運算的基礎，相關的數值運算模組都會捆綁在一起，以單一Swift套件發布。</p> <p>目前Swift Numerics程式碼儲存庫中，已經有兩個一直以來被開發者強烈要求的模組，其一是提案SE-0246的功能實作實數（Real Number）模組，以及提供複數運算的複數（Complex Number）模組。SE-0246提案在Swift加入基礎數學函式API，提供像是三角函數與對數等通用運算，這項提案已經被接受，但由於編譯器的限制，該API還不能被加到標準函式庫中，因此實數模組將以獨立的模組提供API，開發者現在就已經能在專案中使用這些功能。</p> <p>而複數模組則是建立在基礎實數類型之上，複數在數值運算上常會用到，尤其是在進行傅立葉轉換的時候，處理音訊或是電路模擬時都會用到複數，Steve Canon提到，在開發者日常使用時，函式庫通常會自動隱藏這些複數訊息，但是當要開發相關函式庫時，複數模組會是很重要的工具。</p> <p>之所以不在標準函式庫中提供Swift Numerics功能，而要利用套件的形式發布，Steve Canon表示，這之中存在許多考量，但是最主要的原因是，他認為，並非所有內容都應該放進標準函式庫中，隨著時間變遷，Swift Numerics中的部分功能可能會被放進標準函式庫中，但是在預設情況，有一些模組不應該預設加入每一個專案裡，應該要有一個自己專屬的地方，而Swift Numerics就是這類數值運算模組的集合，就像是SwiftNIO套件是專門提供網路相關功能一樣。</p> <p>另外，以套件打包的好處，還包括Swift Numerics的更新將不受Swift版本發布的時間限制，可以在進入穩定版之前，先釋出測試模組進行試驗。</p> <p>Steve Canon提到，接下來他們還會為Swift Numerics加入重要的ShapedArray協定以及支援的類型，讓開發者能方便地表達多維度的同質資料，此外，也會新增支援Float16。</p> </div></div></div>
2019/11/13 01:15作者李建興https://www.ithome.com.tw/news/134151
微軟發布智慧農業雲端服務Azure FarmBeats
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Ignite大會上發布了農業雲端服務<a href="https://azure.microsoft.com/zh-tw/blog/democratizing-agriculture-intelligence-introducing-azure-farmbeats/">Azure FarmBeats預覽版</a>，這是一個為特定行業與特定目的建置的解決方案加速器，Azure FarmBeats跨供應商聚合農業資料，並利用人工智慧技術產生可執行的分析結果。</p> <p>Azure FarmBeats預覽版目前提供幾項主要的功能，可利用衛星圖像偵測植被指數和水分指數，來評估農場的健康狀況，還可以提供感測器設置的建議，包括農場要使用的感測器數量以及適合擺放感測器的位置。Azure FarmBeats視覺化來自各供應商的地面感測器資料，以追蹤農場狀況，同時，系統也會使用融合資料，來建置機器學習模型，建議作物種植者應該採取的行動。</p> <p>Azure FarmBeats主要有兩個元件Datahub以及加速器（Accelerator）。Datahub被設計成一個API平臺，使用者可跨供應商，對農業資料集進行聚合與正規化等操作。微軟與不同的感測器、衛星、飛行器、天氣和農具等供應商合作，並將這些資料整合進FarmBeats，讓使用者能夠利用這些資料開發自己的解決方案。</p> <p>而加速器則是使用Datahub資料所建立的範例解決方案，加速器是一個網頁應用程式，利用API視覺化由感測器收集而來的資料，並以地圖的形式展示。用戶可以使用這個加速器，快速創建一個農場，並取得該農場的植被指數或是感測器放置圖。</p> </div></div></div>
2019/11/13 01:30作者李建興https://www.ithome.com.tw/news/134152
最新Linux版Steam客戶端開始支援以Linux容器執行遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://steamcommunity.com/app/221410/discussions/0/1638675549018366706/">Linux版Steam客戶端Beta版本，現在支援實驗性的命名空間（Namespaces）功能</a>，也就是說，玩家可以使用容器，來執行所有Steam遊戲庫中的遊戲。玩家想要啟用這項功能，需要打開遊戲的屬性對話框，在一般頁籤中的強制使用特定Steam相容性工具選項，選擇Steam Linux Runtime。</p> <p>官方提到，Steam客戶端以Linux容器來執行遊戲，將能更好地與主機系統隔離，改善許多潛在的問題，並可以啟用隔離等新功能。同時這項功能也提升Valve在新的Linux發布版中，支援舊遊戲的能力，對於開發人員來說，在容器環境中，可以確保其所開發的遊戲在多個Linux發布版中，可擁有同樣的相容性，減輕QA的工作負擔。另外，Steam也能夠透過容器，支援內建新編譯器和函式庫的Runtime。</p> <p>目前容器Runtime並不支援Steam的相容性工具Proton，也與Steam客戶端的非官方Flatpak發布版本不相容，官方提到，Flatpak解決方案是將整個Steam客戶端打包起來，而Valve的方法則是獨立打包個別的遊戲，兩種方法都仰賴相同的技術，不過，官方現正在尋求相容的方法。</p> <p>Bumblebee和Primus_VK等一些比較少見的圖形卡驅動程式，可能還無法在容器中正常運作，官方提到，容器的設定使用主機系統中的圖形卡驅動程式，這個Steam測試版本會覆蓋更多測試範圍，收集各種需要改善的案例。</p> <p>除了一些已知無法在容器中執行的遊戲之外，這項實驗性功能或許可為只支援32位元Linux的遊戲，帶來一勞永逸的相容性解決方案。Canonical在今年6月宣布，未來新版Ubuntu不再提供32位元函式庫，而這項消息讓Valve跳腳，因爲其Steam遊戲平臺上仍有許多只能在32位元Linux上執行的遊戲，雖然Canonical隨後改變了決定，不過，有鑒於越來越多的Linux發布版本只提供x86_64套件，因此尋求相容性解決方案勢在必行，而讓Linux版Steam客戶端支援Linux容器，則是解決Linux發行版與Steam相容問題的方法之一。</p> </div></div></div>
2019/11/13 01:40作者李建興https://www.ithome.com.tw/news/134154
微軟承諾全美都將沿用加州消費者隱私法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有GDPR輕量版之稱的<a href="https://www.ithome.com.tw/news/128033" target="_blank">《加州消費者隱私法案》</a>（California Consumer Privacy Act，CCPA）將在明年1月1日正式實施，正當其它科技業者或行銷業者，<a href="http://www.ithome.com.tw/news/125518" target="_blank">因為此法而坐立不安之際</a>，<a href="https://blogs.microsoft.com/on-the-issues/2019/11/11/microsoft-california-privacy-rights/" target="_blank">微軟則在本周宣布</a>，不只會在加州遵守CCPA，也會在全美沿用該法令。</p> <p>CCPA被視為美國史上最嚴苛的資料隱私法案，它規定加州消費者有權知道業者所蒐集的任何個人資料，也能夠得知自己的個人資料是否遭到分享/銷售，以及被分享/銷售的對象，亦有權存取自己的個人資料，不管有無行使上述的隱私權限，業者都不應對此有差別待遇。</p> <p>外界預期該法令將會嚴重衝擊那些經常蒐集用戶資訊或賴以為生的科技業者、零售業者、廣告公司或是行銷業者。</p> <p>加州的CCPA之所以引起躁動主要是因為加州人口數占了全美的12%，且光加州就可排上全球第五大經濟體，這也意謂著幾乎所有企業，都會蒐集到加州民眾的個資，而得受到CCPA的規範。</p> <p>微軟隱私長Julie Brill則說，既然美國國會尚未能通過全面的隱私法案來保護人們的資料，於是他們選擇採用州等級的隱私法案，來保障全美民眾的個資。</p> <p>事實上，這並不是微軟第一次擴大特定地區的法令，就在歐盟《通用資料保護規則》（General Data Protection Regulation，GDPR）於去年5月上線的前夕，微軟即宣布會在全球採用與GDPR一致的隱私標準。</p> <p>Brill認為，隨著數位科技在人們日常生活中扮演愈來愈重要的角色，美國國會沒能通過全面性的隱私法令變成一個嚴重的問題，因為人們會擔心自己的資料如何被蒐集、使用與分享。</p> <p>不過，<a href="https://www.theverge.com/2019/11/11/20960113/microsoft-ccpa-privacy-law-california-congress-regulation" target="_blank">Brill也坦承</a>，目前微軟仍在研究該如何達到CCPA所要求的目標，將持續關注相關的改變並進行調整，同時也會協助企業客戶遵守CCPA法案。</p> <p>許多科技業者仍在遊說國會議員打造聯邦等級的隱私法案來取代CCPA，但迄今美國國會仍然意見分歧，許多民主黨議員主張要以CCPA為基礎，而共和黨議員則希望制定一個相對寬容的隱私法案，目前唯一能確定的是，已經來不及在CCPA上線之前祭出新法，也使得業者必須開始研擬如何應對即將來臨的CCPA。</p> </div></div></div>
2019/11/13 01:50作者陳曉莉https://www.ithome.com.tw/news/134160
SpaceX再發射60顆通訊衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Elon Musk創辦的<a href="https://www.spacex.com/news/2019/11/11/starlink-mission" target="_blank">SpaceX在周一（11/11）</a>再度發射60顆Starlink通訊衛星到軌道上，這是SpaceX繼今年5月之後所發射的第二批衛星，它們都將被部署在離海平面550公里的衛星軌道上。</p> <p>迄今美國聯邦通訊委員會（FCC）已核准SpaceX總計11,943顆的通訊衛星部署，而現在SpaceX僅發射120顆衛星。根據SpaceX的Starlink任務規畫，該公司將打造全球最先進的衛星寬頻網路系統，他們希望在6次的發射之後，就能在美國與加拿大的部分區域提供服務，並在24次的發射之後，擴展到全球範圍，而相關的時間表分別是2020年與2021年。</p> <p>SpaceX強調，<a href="https://www.starlink.com/" target="_blank">Starlink</a>是個低延遲的寬頻網路系統，可滿足全球消費者的需求，藉由低軌衛星的部署，它將能提供快速且可靠的網路予缺乏網路服務的區域，例如農村或是目前要價過高或不可靠的區域。</p> <p>此外，Starlink任務亦標榜可減輕衛星除役後可能衍生的軌道垃圾問題，當衛星的壽命終止，會透過衛星上的推進系統離軌，倘若系統故障了，它也會在5年內於地球大氣層中燒毀，比原本需要數百年或數千年的時間短了許多。</p> </div></div></div>
2019/11/12 23:30作者陳曉莉https://www.ithome.com.tw/news/134156
電商平台Magento呼籲用戶修補遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe在去年以16.8億美元買下的電子商務平台Magento，本周<a href="https://magento.com/security/patches/latest-magento-security-update-helps-protect-recently-reported-rce-vulnerability" target="_blank">呼籲用戶應該要儘速部署安全更新</a>，以避免駭客開採該平台上的一個遠端程式攻擊漏洞。</p> <p>此一安全漏洞編號為CVE-2019-8144，它允許未經授權的使用者透過Page Builder於商家的網站上植入並執行惡意程式。</p> <p>Magento為一以PHP撰寫的開源電子商務平台，也是網路上最受歡迎的開源電商平台之一。<a href="https://hostingtribunal.com/blog/magento-statistics/" target="_blank">根據CloudWays的統計</a>，Magento現為全球第二大電子商務平台，市占率為12%，僅次於WooCommerce的18%，排名第三的Shopify則占了8%，估計全球約有25萬個線上商店奠基在Magento上。</p> <p>其實Magento早在今年10月就釋出Magento 2.3.3、2.3.2-p1與2.2.10<a href="https://magento.com/security/patches/magento-2.3.3-and-2.2.10-security-update" target="_blank">修補眾多臭蟲</a>，當中即包含了CVE-2019-8144，且囊括商業版、合作夥伴版與開源版。然而本周Magento再度督促用戶升級，主要原因是絕大多數的攻擊程式都是鎖定那些未部署安全更新的用戶，才再度提醒並強烈建議用戶更新。</p> <p>除了呼籲尚未部署更新的用戶升級之外，Magento也警告已更新的用戶要全面檢查網站的安全性，以確保它們沒有在更新前受到危害，因為修補程式只能預防未來的攻擊，並不能解決先前已被開採的問題。</p> </div></div></div>
2019/11/12 23:50作者陳曉莉https://www.ithome.com.tw/news/134157
安全專家：BlueKeep攻擊程式「改良」後不再引發BSoD，危險性更高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全專家近日表示，BlueKeep漏洞的概念驗證攻擊程式在「改良」下，已經不再引發藍色死亡螢幕（Bluescreen of Death，BSoD），將使攻擊效率更高。</p> <p>月初安全專家Kevin Beaumont<a href="https://www.ithome.com.tw/news/133987" target="_blank">偵測到針對BlueKeep（CVE-2019-0708）漏洞的第一波攻擊</a>，造成他的EnternalPot RDP誘捕系統近日除了澳洲區以外，各區的系統都出現藍色死亡螢幕。這波攻擊用的正是安全業者Rapid7打造的<a href="https://www.ithome.com.tw/news/132949" target="_blank">Metasploit攻擊測試框架</a>，當中結合了RiskSense研究人員 Sean Dillon（推特代號zerosum0x0）貢獻的程式碼。</p> <p>Dillon對媒體ZDNet<a href="https://www.zdnet.com/article/bluekeep-exploit-to-get-a-fix-for-its-bsod-problem/" target="_blank">表示</a>，第一波BlueKeep攻擊造成的BSoD，基本上是他早期版程式碼的「臭蟲」，使Metasploit框架和Meltdown修補程式不相容，而無法讓攻擊者遠端存取受害系統。想要成功駭入系統，還需要加入程式碼來繞過微軟稱為KVA Shadow的Meltdown 修補程式。也就是說，系統有安裝該修補程式才會出現藍色死亡螢幕；出現BSoD反而表示BlueKeep攻擊並未成功，並且有助於安全人員提高警覺。</p> <p>但Dillon說，他手上即將完成的新版程式碼經過改寫，已經可以克服這隻「臭蟲」，也就是說，未來的Metasploit框架將能進行更有效的攻擊，即使受害電腦安裝KVA Shadow修補程式。他預計<a href="https://github.com/rapid7/metasploit-framework/pull/12553" target="_blank">本周新版Metasploit就會完成</a>。</p> <p>這也印證代號MalwareTech的安全專家Marcus Hutchins的隱憂。他說上星期第一波BlueKeep攻擊發生時，由於並非當初微軟擔心的蠕蟲，許多人以為這波攻擊沒什麼。但他認為<a href="https://twitter.com/MalwareTechBlog/status/1192926821177626624" target="_blank">這正是搞錯重點</a>；他說BlueKeep攻擊程式的真正風險不在於是否為蠕蟲，BlueKeep漏洞讓攻擊者駭入伺服器，再利用自動化工具在內網為害，像是丟入勒索軟體。因此BlueKeep攻擊仍十分危險，不能掉以輕心。</p> <p>根據系統管理與網路安全（SANS）協會研究人員<a href="https://isc.sans.edu/diary/Did+the+recent+malicious+BlueKeep+campaign+have+any+positive+impact+when+it+comes+to+patching%3F/25506" target="_blank">Jan Kopriva的調查</a>，企業修補BlueKeep漏洞速度還不夠快。他分析Shodan掃瞄網路上port 3389有回應的（即對網際網路開放，而可能遭受BlueKeep惡意程式攻擊）系統比例，顯示大約還有52萬台系統未修補。研究人員認為，雖然開放port 3389的比例逐月降低，但還沒低到不成為攻擊者目標的地步。</p> </div></div></div>
2019/11/12 21:50作者林妍溱https://www.ithome.com.tw/news/134155
紅帽釋出K8s Java開發框架Quarkus 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://quarkus.io/blog/announcing-quarkus-1-0/">紅帽發布Kubernetes原生Java開發框架Quarkus最新版本1.0候選版</a>，Quarkus是個開源堆疊，可讓開發者使用熟悉的程式開發模型，撰寫可快速啟動且記憶體占用少的Java應用程式，最新版本對指令式程式開發有更好的支援，並且也與Java的Spring開發框架相容。</p> <p>Java一直以來是都是熱門的開發語言，在1990年代中期誕生，直至今日已經超過20年，紅帽提到，現在是一個雲端、行動、物聯網和開源主導的世界，大量應用容器、Kubernetes、微服務、功能即服務（FaaS）等新興技術，因此他們重新思考，Java在新的部署環境和應用程式架構中整合的方式。</p> <p>為此Java推出了Quarkus，這是一個專為GraalVM和HotSpot量身定做的Kubernetes原生Java開發框架，提供開發人員一個結合反應式和指令式的統一程式開發模型，並作為Kubernetes以及無伺服器環境平臺，為分散式應用程式架構提供一個良好的解決方案。</p> <p>Quarkus的設計講究容器優先，由於高效的執行效率，Quarkus可以在數十毫秒內快速啟動，並自動擴展或縮放Kubernetes上的微服務，或是執行中的FaaS。Quarkus應用程式以及容器映像檔占用的空間小，且記憶體需求低的特性，可以在多容器的微服務基礎架構中，讓使用者容易最佳化容器密度。</p> <p>紅帽也提到，因為大多數Java開發人員都熟悉指令式程式開發模型，並希望在新平臺中也可延續相似的開發經驗，但同時，開發人員也必須適應雲端原生、事件驅動、非同步以及反應式模型等各種開發形式，以快速建置高並行與回應性應用程式。而Quarkus可將指令式以及回應式程式開發模型整合在同一個平臺中。</p> <p>Quarkus是一個全端框架，內含了Eclipse MicroProfile、JPA/Hibernate、 JAX-RS/RESTEasy、Eclipse Vert.x和Netty等函式庫，Quarkus同時還內建了一個擴充框架，讓第三方框架的作者，可以用來進行功能擴展，紅帽表示，這個擴充套件框架簡化第三方框架在Quarkus上執行，並編譯成為GraalVM原生二元檔案的複雜性。</p> <p>紅帽在今年3月的時候發布了Quarkus，而歷經了36周30個版本，現在來到1.0版本，這個版本強化了回應式核心對於指令式程式開發的支援，Quarkus的核心網路模型使用Eclipse Vert.x單一網路引擎，可同時支援反應式和指令式的程式開發模型，而Quarkus會自動處理模型切換的工作。Quarkus加入了一個新的安全層，是以Vert.x的反應式方法實作，另外，Quarkus也宣布相容Spring API，包括Spring Web、Spring Data JPA以及Spring DI。</p> </div></div></div>
2019/11/12 22:00作者李建興https://www.ithome.com.tw/news/134141
GitHub報告：今年前三大開源專案為vscode、azure-docs與flutter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub上周公布了<a href="https://octoverse.github.com/" target="_blank">2019年的Octoverse年度報告</a>，顯示該站的開發人員數量已從2018年的3,100萬名，成長到今年的4,000萬名，今年吸引最多貢獻者的前三大開源專案依序是：微軟的vscode、azure-docs，以及flutter。</p> <p>vscode與去年一樣都是GitHub上最大的開源專案，但去年排名二、三的React及Tensorflow，目前已被azure-docs及flutter取代。今年vscode的貢獻人數達到1.9萬人，與去年相仿，而azure-docs與flutter的貢獻人數，亦分別達到1.4萬與1.3萬人。</p> <p>值得一提的是，由Google所打造的開源使用者介面SDK專案flutter，在今年首度進入GitHub的前十大開源專案，就奪下了第三名。前十名榜單的新人還包括firstcontributions/first-contributions與home-assistant/home-assistant。</p> <p>此外，在GitHub上受到最多專案仰賴的前三名開源套件，則依序是 lodash/lodash、expressjs/express與visionmedia/debug，分別都有超過400萬個儲存庫使用它們。</p> <p>目前開發人員在GitHub所使用的程式語言超過370種，而最多人使用的是JavaScript，Python也在今年擠下Java，成為第二大熱門語言，七到十名則是PHP、C#、C++、TypeScript、Shell、C與Ruby。</p> <p>在成長最快的程式語言排行榜上，有賴於以Dart撰寫的flutter躍居第二大開源專案，Dart的貢獻者人數在今年也增加了532%，成為排行榜上的冠軍，另外Rust成長了235%，HCL成長213%，Kotlin成長182%，TypeScript也成長161%。</p> </div></div></div>
2019/11/12 18:20作者陳曉莉https://www.ithome.com.tw/news/134153
傳Google未經同意運用上千萬筆病患資料訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與全美非營利醫療體系龍頭Ascension，周一<a href="https://www.businesswire.com/news/home/20191111005613/en/Ascension-Google-working-healthcare-transformation" target="_blank">宣佈簽訂</a>雲端和資料分析合作，但<a href="https://www.wsj.com/articles/google-s-secret-project-nightingale-gathers-personal-health-data-on-millions-of-americans-11573496790" target="_blank">華爾街日報報導</a>，Google卻未經病患同意存取了上千萬筆病患姓名、診斷等資料。不過Google對此否認。</p> <p>Google和 Ascension的合作，將利用雲端、資料分析、機器學習及現代生產力工具，來推動照護方式的轉型。Ascension將採用Google Cloud Platform作為雲端基礎架構，使用Google G Suite作為通訊與各科室協同工具。此外，這項合作也會「探索人工智慧／機器學習的應用，以支援臨床治療品質與有效性、病患安全的提升，以及增進消費者滿意度。」雙方強調這項合作符合美國健康保險可攜性及責任法案（The Health Insurance Portability & Accountability Act，HIPAA）的資料隱私規定，提供充份的資料安全和保護，並滿足Ascension對資料處理的嚴格要求。</p> <p>然而根據媒體報導實情並非如此。<a href="https://www.wsj.com/articles/google-s-secret-project-nightingale-gathers-personal-health-data-on-millions-of-americans-11573496790" target="_blank">華爾街日報稍早報導</a>，這項合作將用於Google內部一個稱為「南丁格爾專案」（Project Nightingale）的祕密醫療計畫。報導指出，在本合作下，Ascension將把完整的病患健康紀錄，包括檢驗報告、診斷、住院紀錄、以及病患的姓名和出生年月日，全部分享給Google。Google將以這些資料來訓練AI及機器學習，藉此設計醫療專用軟體。</p> <p>報導引述消息人士指出，至少已經有150位Google員工在此項合作下，存取了全美21州Ascension院區的上千萬筆病患資料。不過Google否認此事，表示這項專案完全符合美國聯邦法律，且未侵犯病患資料隱私。</p> <p>這項合作只是Google近來投入醫療與AI研究合作的最新一例，也是Google簽下最大的醫院客戶。今年9月Google也和美國知名醫療Mayo Clinic簽定類似的合作，後者將使用Google Cloud雲端平台服務，並運用醫療資料開發多種疾病的機器學習模型，以協助診斷及虛擬照護服務。</p> <p>在此之前，Google已陸續發展出<a href="https://www.ithome.com.tw/news/130776" target="_blank">肺癌</a>、乳癌及<a href="https://www.ithome.com.tw/news/126440" target="_blank">胸腺癌</a>的預測模型。</p> </div></div></div>
2019/11/12 16:20作者林妍溱https://www.ithome.com.tw/news/134146
新版Android版WhatApp變吃電怪獸，用戶罵聲連連
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日多名Android手機用戶在推特、論壇上抱怨，10月底釋出的新版WhatsApp變吃電怪獸，數小時內就耗光手機電量。</p> <p>出問題的是2.19.308版Android版WhatsApp。根據用戶張貼的手機app用電分析，WhatsApp佔總用電量比例從<a href="https://twitter.com/Greggory_M/status/1191112208090050560" target="_blank">17%</a>到<a href="https://twitter.com/AnshuJain19/status/1193800165682868225" target="_blank">51%</a>不等。用戶反映WhatsApp用電太兇導致手機發燙、充電趕不上用電、<a href="https://twitter.com/Rajat_Pal9/status/1192989298817040389" target="_blank">Android系統發出警告</a>。出問題的機型各式各樣，不過似乎以OnePlus手機受影響最大。一名OnePlus手機用戶表示他才用WhatsApp 5分鐘，就耗用了總電量的16%。</p> <p><a href="https://www.rt.com/news/473118-whatsapp-reportedly-killing-android-batteries/" target="_blank">RT報導</a>，三星Galaxy、小米、華為手機似乎未出現這問題。</p> <p>OnePlus論壇上有用戶建議開啟Android的電池智慧控制（Intelligent Control）功能，對WhatsApp進行最佳化，或是關閉WhatsApp Web app。不過最簡單的方法是下載最新的2.19.325版，不過新版目前Google Play還沒有上架，要直接<a href="https://www.whatsapp.com/android/" target="_blank">從WhatsApp官網下載</a>。</p> </div></div></div>
2019/11/12 16:30作者林妍溱https://www.ithome.com.tw/news/134147
網站代管業者SmarterASP.NET遭勒索軟體入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的網站代管業者SmarterASP.NET上周六（11/9）遭到勒索軟體攻擊，使得官網一度停擺，用戶帳號也被加密，但目前已解密所有檔案，絕大多數的帳號已可正常運作。</p> <p>SmarterASP.NET提供共享的網站代管服務，讓不同的網站共用同一台連網的網站伺服器，有不少用戶以它來代管採用微軟.NET來打造網路應用與服務的ASP.NET網站，用戶數超過44萬。</p> <p>不過，該站在周一（11/11）<a href="http://status.smarterasp.net/post/your-hosting-accounts-are-under-attack" target="_blank">發布了聲明</a>，指出用戶的代管帳號遭到駭客攻擊，且所有的資料全被加密，他們正在解密用戶資料並確保相關意外不會再發生。</p> <p>根據SmarterASP.NET在官方臉書帳號的<a href="https://www.facebook.com/smarterasp/" target="_blank">狀態更新</a>，該公司幾乎是馬不停蹄地在解決此一事件，也呼籲用戶稍安勿躁，今晨已解密所有用戶的資料庫，但相關程序卻可能造成作業系統的不穩定，因此正在將用戶資料轉移到新作業系統上。</p> <p>SmarterASP.NET在意外發生的48小時內，就恢復了90%的用戶帳號，目前絕大多數的問題，則是因為作業系統的不穩定所造成，可望於72小時內恢復正常。SmarterASP.NET亦打算於未來兩周架設一個更安全的代管環境，並將所有用戶轉移到新環境。</p> <p>SmarterASP.NET並未說明是如何遭到入侵或是遭到哪款勒索軟體的攻擊，不過根據Twitter上流傳的截圖，被加密之後的檔案副檔名為.kjhbx。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/asp-net-service-provider-smartasp-net-targeted-by-ransomware-attack" target="_blank">趨勢科技則說</a>，近來太多的勒索軟體攻擊事件，已讓這類的意外看起來稀鬆平常，但值得注意的是，駭客已將攻擊目標從單純的組織轉移到供應鏈，這次的攻擊不僅影響到SmarterASP.NET，也波及了該站數千或數萬的用戶檔案，防範勒索軟體攻擊最重要的定律，就是要記得備份重要檔案與資料庫。</p> </div></div></div>
2019/11/12 16:50作者陳曉莉https://www.ithome.com.tw/news/134148
創投a16z發表免費的加密貨幣新創培育專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國創投業者Andreessen Horowitz（a16z）上周<a href="https://a16z.com/2019/11/08/introducing-a16z-crypto-startup-school/" target="_blank">發表了</a>免費的「加密貨幣新創學校」（Crypto Startup School）專案，這是一個為期7周的專案，準備遴選25個團隊來學習如何打造一個基於加密貨幣的新創公司，且之後還會將相關的學習影片上傳到網路，以供其它有興趣的團隊學習。</p> <p>a16z主要的投資領域包括行動、遊戲、社交、電子商務與企業IT等，該公司認為每10到15年就出現新的運算模式，從60年代的大型主機、70年代末的個人電腦、90年代初的網路到2000年的智慧型手機，而今也有許多令人振奮的新技術，其中之一即為區塊鏈。</p> <p>a16z合夥人Chris Dixon指出，區塊鏈是個新型態的電腦，它仰賴來自使用者間、開發者間，以及平台本身的信任，此一獨特的信任並非來自參與者，而是系統的數學及理論特性，並可轉換成數位貨幣、智慧合約與分散組織的應用。</p> <p>而今a16z打算把已參與7年的加密貨幣及區塊鏈發展經驗，藉由該專案傳遞給新創業者，包括產品、技術設計、組織發展、市場政策及法規等。</p> <p>因此，在為期7周的課程中，課綱將從最基本的何為加密貨幣網路、區塊鏈運算的各種原語、各種應用開發工具，到現在及未來的應用、加密貨幣商業模式、加密貨幣經濟、使用者介面/產品開發/安全、市場策略及開發者關係、社群參與及管理、法規與注意事項，到最終的如何募款等。</p> <p>該專案的上課時間為明年2月底到4月初，講師包括該領域重量級的技術人員與投資者，並於<a href="https://cryptostartupschool.a16z.com/submit/151990/crypto-startup-school-application" target="_blank">即日起開放報名</a>。</p> </div></div></div>
2019/11/12 15:20作者陳曉莉https://www.ithome.com.tw/news/134143
IG隱藏按讚數的實驗將擴大到美國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Instagram（IG）從今年4月起，開始在<a href="https://www.theverge.com/2019/4/30/18523847/instagram-hide-likes-test-canada" target="_blank">加拿大</a>、愛爾蘭、義大利、日本、巴西、澳洲及紐西蘭<a href="https://twitter.com/instagram/status/1151605657642029056/photo/1?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1151605657642029056&ref_url=https%3A%2F%2Fwww.npr.org%2F2019%2F11%2F09%2F777906177%2Finstagram-will-test-hiding-likes-on-some-u-s-accounts-starting-next-week" target="_blank">進行隱藏按讚數的實驗</a>，本周將實驗範圍擴大到美國市場。</p> <p>在隱藏了按讚數之後，只有該帳號的所有人才能看到所有的按讚數，其他人則只能看到自己有否按讚。</p> <p>負責IG的Adam Mosseri表示，此一實驗是企圖將IG減壓，讓它不再那麼競爭，讓人們有更多的餘裕，專注在與喜歡或能夠啟發他們的人事物建立連結。此外，隱藏按讚數也可能減少社會比較，也能減輕人們的焦慮。</p> <p>IG也打算觀察此一實驗將如何影響人們對該平台的觀感，或是否會影響人們使用該平台的方式，或者是否會造成創作者生態的波動，但迄今尚未對外公布結論。</p> <p>不過，<a href="https://www.socialmediatoday.com/news/new-report-examines-the-impact-of-instagrams-hidden-likes-experiment-on-in/566887/" target="_blank">Social Media Today</a>日前引用意見領袖行銷平台HypeAuditor的調查，指出在15.4萬個IG意見領袖中，只要他們位於隱藏按讚數的實驗地區，按讚數大多是下滑的，在巴西最高還可能下滑近30%，但在日本擁有5,000名以下粉絲或擁有10萬人以上粉絲的意見領袖的按讚數，卻都是增加的。</p> <p>臉書似乎也打算追隨IG的腳步，<a href="https://www.ithome.com.tw/news/132820" target="_blank">之前也被發現</a>正在悄悄展開消弭按讚數的實驗。</p> </div></div></div>
2019/11/12 15:30作者陳曉莉https://www.ithome.com.tw/news/134145
Amazon CloudWatch現提供跨帳號跨地區儀表板功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的應用程式和基礎設施監控服務<a href="https://aws.amazon.com/tw/blogs/aws/cross-account-cross-region-dashboards-with-amazon-cloudwatch/" target="_blank">Amazon CloudWatch，現提供跨帳號跨地區（Cross-Account Cross-Region）儀表板</a>，工程師可透過總結資料來鎖定問題所在，也可深入查看不同帳號的特定儀表板，以縮短解決的時間。</p> <p>官方提到，AWS雲端部署的最佳實踐，建議用戶可以使用多個帳號以及多個地區，因為多帳號提供安全性以及一定的計價範圍，可以隔離資源並縮小問題產生的影響，多個地區則能確保高度隔離，為終端使用者提供低延遲，以及應用程式的資料存取彈性。</p> <p>但這樣的最佳實踐帶來了監控以及排除障礙的複雜性，集中式編制的營運團隊，需要監控並分析在多個地區和多帳號中運作的應用程式，當問題發生的時候，工程師需要登入多個帳號，以查看多個應用程式元件和相依項目的儀表板，官方提到，用戶可能難以關聯存在於獨立的帳號與地區各元件的關係，無法快速發現問題的根本原因，因而增加了解決問題的時間。</p> <p>為了解決這樣的問題，Amazon CloudWatch現支援跨帳號跨地區儀表板，客戶可以創建進階儀表板，並能以簡單地方式深入查看不同帳號中特定的儀表板，不再需要切換帳號以及地區，匯總帳號和地區資料可以有效加速解決問題的時間，而跨帳號跨地區功能也能單純地用於導覽，查看警報、資源和指標，用戶不需一定要建置儀表板。</p> <p>要使用跨帳號跨地區儀表板，首先要進行帳號設定，用戶可以在AWS Organizations中啟用跨帳號跨地區功能，Organizations服務可以一次管理多個可以使用CloudWatch控制臺的AWS帳號，也可以僅為單一帳號設定跨區訊息中心。帳號配置完成之後，用戶便能夠在CloudWatch中創建新的儀表板，依照選擇的帳號，在儀表板為啟動的多個實例加入相關的指標，也能使用小工具監控流入網路流量等功能。</p> <p>目前跨帳號跨地區功能已經在所有商業AWS地區啟用，在AWS Organizations服務開放的地區，用戶也可以整合一併使用。</p> </div></div></div>
2019/11/12 16:00作者李建興https://www.ithome.com.tw/news/134135
Fastly推出無伺服器邊緣運算服務Compute@Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務供應商Fastly釋出了全新的<a href="https://www.fastly.com/blog/join-the-beta-new-serverless-compute-environment-at-the-edge">邊緣運算服務Compute@Edge測試</a>版，該服務提供一種靈活且可擴展的方法，讓使用者在網路邊緣建構無伺服器應用程式。Fastly提到，Compute @Edge允許用戶把複雜的邏輯移動到邊緣，而Compute @Edge環境能以35.4微秒的速度啟動，是市場上其他相似產品的100倍。</p> <p>Compute @Edge這個服務主要應用了Fastly今年4月開源的原生WebAssembly編譯器和Runtime專案Lucet，Lucet支援了Mozilla最新的WebAssembly系統介面WASI，可以讓WebAssembly程式在邊緣裝置、雲端、本機電腦以及手機上等非瀏覽器環境執行，為C、C++以及Rust等高階程式語言提供可移植性，因此Fastly用戶能使用更多元的語言開發，不再受限使用Fastly VCL（Varnish Configuration Language）腳本語言。</p> <p>Compute @Edge在初期支援Rust語言，讓開發者得以建置複雜的應用程式，在邊緣實現使用者個人化體驗以及互動，而且這些應用程式能以微秒等級啟動，在全球分散式平臺中運作。</p> <p>用戶可以利用Compute @Edge來支援一些特別的應用，像是資料查詢語言GraphQL的使用案例，官方提到，使用GraphQL架構能有效提高資料傳輸效能，前端可以指定明確請求的資料格式，但因為GraphQL靈活性很高，因此也很難快取，而使用Compute @Edge，可以在網路邊緣提供GraphQL服務，以交付更多個人化的體驗。</p> <p>另外，Compute @Edge也可用於API閘道器，由於API閘道器位於關鍵網頁API之前，有安全性、可用性以及高效能的需求，用戶能以Compute @Edge開發自定義的API保護邏輯，實作身份驗證、加密和快取等功能。</p> </div></div></div>
2019/11/12 15:00作者李建興https://www.ithome.com.tw/news/134124
11公頃火龍果園靠AIoT和無人機來照顧，清大揭精準農業關鍵技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AIoT風潮不只席捲製造業，也吹進傳統農業。11公頃、全臺最大的單一火龍果園──屏東帝王果園，就利用無人機影像辨識和IoT感測器來把關大片農地的生長狀況，透過NB-IoT和LoRa技術將感測器資料傳輸到智慧農業物聯網平臺，來分析資料、進行產量預測。而農場管理者只要透過手機App，就可掌握果園狀況和農場人員工作動態。而打造這款平臺的幕後關鍵，就是清大電機資訊學院院長黃能富。</p> <p>黃能富11日公開說明自家團隊研發的精準農業平臺LPWAN平，整合了IoT環境感測器、無線傳輸技術NB-IoT/LoRa、無人機、AI影像辨識和區塊鏈等技術，透過數據來精準種植、施肥、收成，甚至輔助包裝出貨的分類作業。</p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">11公頃火龍果園靠它把關品質，精準預測產量</span></span></strong></p> <p>屏東帝王果園，就導入這款平臺來管理龐大的火龍果園。利用不同感測器，來進行疏花、授粉、施肥和採果作業。</p> <p>這些感測器都是微型環境感測器（Sensor Hub），可量測土壤溫溼度、導電度（亦即施肥狀態），以及溫溼度、光照度。由太陽能板供電，再由長距離、低功耗的網路傳輸技術LoRa或NB-IoT來傳送資料至後臺系統。</p> <p>另外，黃能富指出，感測器支援藍芽，用手機App就能直接設定感測器的參數，像是GPS定位的傳輸頻率、震動感應的靈敏度、溫溼度數據傳輸的頻率等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4215.JPG" /></p> <p>不只如此，還有震動度偵測感測器，內建GPS定位，在採果階段，可用來追蹤大面積農場工作人員的動向路線，除了檢測工作效率之外，還可進行安全照護，以免員工中暑暈倒卻沒人知道。</p> <p>另一方面，臺灣常見火龍果品種有大紅和蜜寶兩種，相較於夏天收成的大紅，蜜寶則在日照少的冬天收成，需要人工授粉，每15天收成一次。屏東帝王果園是臺灣最大的蜜寶產地，面積達11公頃，要管理這麼龐大的果園，他們也導入清大的影像辨識AI，來進行產量預測和果實分裝。</p> <p>一開始，清大團隊利用無人機空拍火龍果花朵影像，再切割至一張圖約10朵花的大小，來標記花朵，然後用1,000多張影像來訓練機器學習模型。「之後，就利用這套模型來辨識、統計花朵數量，來預測果實數量，以進行後續人工授粉的準備。」</p> <p>到了採收分裝時，黃能富表示，一般果園在收成之後，多以人工加機器的方式，透過機器傳送帶運送水果，再根據每顆的重量，送到相對應的藍子中，同時由人工複查。但是，「這種作法已經實行20年了，應該要進化。」</p> <p>清大利用AI影像辨識，來辨識火龍果的成熟度，方便進行分裝。黃能富指出，團隊收集了4,000張成熟火龍果影像，根據火龍果的鱗片顏色比例來標註成熟度，比如全黃就是完全成熟等，以此來訓練模型、進行水果分類。目前，這套系統仍在測試中，未來，黃能富還要加上蟲害辨識，來挑除品質不佳的火龍果。</p> <p>他也指出，未來環境感測器將擴充感測的種類，像是水質酸鹼度、溶氧量、PM2.5等，他也期望能透過新型AI晶片，來量測土壤的氮、磷、鉀等微量元素，補足智慧農業最後一哩路。</p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">區塊鏈產銷履歷平臺還能追蹤物流品質，未來想結合保險理賠</span></span></strong></p> <p>除了IoT感測器和AI技術，黃能富團隊還開發了一套農作物溯源的區塊鏈平臺App，來記錄農產品的生產過程，讓消費者可查看如施肥狀態、環境感測器、檢驗報告等數據，甚至在物流過程中，在運送車輛上設有加速規（G sensor）來偵測物流車的震度，以及GPS定位來偵測物流車路線，再加上溫溼度感測錄，來把關農產品品質。若農產品在運送過程中，車內保存溫度若超過設定值，這款App會利用智能合約自動扣減物流費用。</p> <p>黃能富指出，這款App已實際應用於臺中的天菜豐巢餐廳，來照顧消費者、務農業者和物流業者等三方的權益。目前，他正尋找有意加入此平臺的保險業者，利用智能合約來加速農作物保險理賠。文◎王若樸</p> </div></div></div>
2019/11/11 19:30作者王若樸https://www.ithome.com.tw/news/134138
1年千萬張公務員獎懲令文件靠區塊鏈無紙化，全臺7,800個政府機關已推行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣公部門有新的區塊鏈落地應用了，行政院人事行政總處人事資訊處專門委員曾宜君，在第四屆臺灣區塊鏈愛好者年會上，揭露作為行政院人資單位（HR），如何運用區塊鏈技術，節省公部門作業時間，他們的第一步是從公務人員獎懲令電子化開始。</p> <p>行政院人事行政總處主要統籌政府人力規劃、進用、訓練、考核、待遇、福利等人事人員管理機制。作為人事總處的資訊單位，曾宜君提到，其實早在十幾年前，他們就參與了國發會的電子化政府計畫，在過程中開發了許多共用系統，提供給人事人員使用，以處理日常業務。</p> <p>她也指出，由人事行政總處人事資訊處開發的人力資源管理資訊系統（WebHR），在全臺8,000多個政府機關中，就有7,800多個政府機關使用此系統。</p> <p>曾宜君提到，人事業務在人事作業流程，會產生出大量紙本文件，每份文件都必須要蓋章，比如派令、獎懲令等，還得確保每份紙本文件保存良好，因為任何一位公務員，都有可能不定期需要這些證明文件。舉例來說，若有公務員要去應徵職缺時，就須檢附5年考績通知書、獎懲等，辦理退休則要檢具過去的服務證明。</p> <p>然而，「每位公務員30、40年公務生涯的紙本文件，要一件不漏全部保存住，真的非常困難。」她強調，資訊處會想導入區塊鏈技術的兩大痛點，一是紙本文件保存不易；二是，紙本證明文件過於大量。</p> <p>曾宜君列出證明文件的統計數據中，公務人員的獎懲令是最大宗的，一年平均發出370萬件紙本獎懲令，且獎懲令是採取紙本送交當事人簽收的方式，不只如此，還得進行副本，以及給予相關單位，統計下來，一年總共會有1千多萬件的紙本文件。此外，像是考績通知書一年也有約46萬件；人事派免令一年則約有10到20萬件，得依據當年的人員變動情形等狀況，她說。</p> <p>也由於這些文件都非常大量，人事行政總處的資訊部門開始評估區塊鏈技術。在去年底，與國家高速網路與計算中心（簡稱國網中心）合作POC，採取聯盟鏈方式，由國網中心提供區塊鏈節點，並先從人力資源管理資訊系統（WebHR）的獎懲作業子系統開始。</p> <p>曾宜君解釋，整個獎懲過程都會在獎懲作業子系統上進行，承辦人員一旦在此系統寫入一筆資料，同時就會寫一筆到區塊鏈上，並會經過人事行政總處核定的獎懲資料，以確保獎懲令無誤，並將由系統自動傳輸資料到公務人員個人資料校對網站，並提供各機關公務人員隨時隨地，透過公務人員人事服務網（eCPA），以電子憑證（自然人憑證或健保卡）登入查詢與列印獎勵令資料。</p> <p>目前，公務人員獎懲令電子化應用，已在今年3月正式上線，並且適用於使用WebHR的7,800多個政府機關，包括行政院所屬中央與地方各機關學校辦理公務人員記功的獎勵案件，囊括嘉獎1次、嘉獎2次、記功1次及記功2次等，占全部獎懲案件的99％以上，都採用電子化方式發送，且不再發送紙本文件。</p> <p>然而，行政院人事行政總處考量到，懲處與記一大功以上的獎勵，因案件影響當事人權益較為重大，目前還是走紙本流程，未來會視推動情形，研議是否擴大獎懲案件全面採取電子化措施辦理。</p> <p>獎懲令的區塊鏈應用只是第一步，曾宜君透露，包括公務人員在職證明、離職證明、服務證明、考績通知書等，未來都會寫入區塊鏈，目前人事行政總處人事資訊處正在開發，預計今年年底前會上線。</p> <p>曾宜君也建議，各機關若要採用區塊鏈進行應用，得先審慎評估，為何要做區塊鏈，要解決何種問題，當問題定義好之後，確實可行才可做。不過，她也坦言，人事行政總處並沒有因為做了區塊鏈，而影響現行業務流程，資料還是寫在資料庫，只是另外一份抄到區塊鏈上，這也是要讓實際應用時的反彈不會太大，讓公務人員能接受這樣的業務流程。</p> <p> </p> </div></div></div>
2019/11/11 21:35作者李靜宜https://www.ithome.com.tw/news/134139
Yahoo奇摩新一代自動化物流中心作業流程大公開：入庫到出貨全程靠AI優化，10分鐘就可出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迎戰雙11購物節，全臺電商都卯足全力，衝業績。今年各家不僅比拚銷量，訂單背後的科技力與物流力更是較量的重點。就在今日（11／11），雙11當天，Yahoo奇摩首度公開自有的新一代自動化物流中心，揭密其如何靠AI翻轉入庫、分揀、理貨到和出貨等流程。</p> <p>該物流中心為Yahoo奇摩在臺最大規模的投資，從2017年開始規畫、設計，於2018年初投入建置，歷時一年半才完成。Yahoo奇摩強調該成品出自臺灣團隊，與漢錸科技、新竹物流和工研院三方共同打造，由漢錸科技提供自動化物流設備，新竹物流負責營運管理面，包含整合軟硬體、規畫動線等，工研院則提供AI軟體技術，進而導入設備。</p> <p>Yahoo奇摩於10月正式啟用該物流中心，倉儲內部署了穿梭式自動倉儲（Shuttle Rack）設備，並運用AI技術於該設備的動態儲揀決策上，是設備可自動分配商品存放處，以及安排最佳分揀出貨排程的關鍵。Yahoo奇摩使用購物中心過去15年累積的資料，訓練AI演算法，判定商品的熱銷程度、常出現於同筆訂單等，以由此決定商品的存放處。</p> <p>常見於同筆訂單的商品，就會分開儲放於不同的儲架，Yahoo奇摩臺灣電子商務營運管理事業部資深總監林佩儀舉例，像是顧客常一起購買化妝棉和粉底液分散在不同座儲架，就可用不同貨架穿梭車來分揀，減少等待時間。</p> <p>這座物流中心的總樓地板面積達8,400坪，目前，穿梭式自動倉儲占了四分之一的面積，配有上萬個物流箱，目測估算約達1.5萬個，Yahoo表示，這個儲量規模是臺灣業界之冠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6522.JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><strong>進貨站 </strong></span>位於穿梭式自動倉儲設備的前方，處理商品入庫的事宜。攝影／黃郁芸</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6531.JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p>Yahoo奇摩的穿梭式自動倉儲設備配有上萬個物流箱存放商品，進貨作業員將商品放入籃中前，設備會先自動掃描物流箱的條碼，以記錄商品存放的籃位。每個籃位依商品大小調整儲位數，可變為雙格、4格、8格的設計，圖為4格設計。攝影／黃郁芸</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1-IMG_6551(2).JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p>進貨員掃描商品的自有條碼，以及系統產出的商品條碼，以確認商品的資訊，再將商品放入物流箱。攝影／黃郁芸</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-IMG_6546.JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p>進貨員操作系統畫面，向其發出上架指示，系統會自動化動態決策物流箱的最佳儲位，接著，物流箱藉由前方的輸送帶，運抵穿梭式自動倉儲設備。攝影／黃郁芸</p> </blockquote> <p>Yahoo奇摩目前在這座倉儲入庫的商品以長消及熱銷商品為主，且受限物流箱的尺寸及負重，無法存放大型物件。當系統接收消費者的訂單後，派車系統會找到相對應的物流箱，將其跨樓層輸送至揀貨站，取代人力進入貨架取貨的作業。</p> <p>揀貨作業導入了電子標籤揀貨系統（CAPS），不過，這並不是指一般常見的電子標籤，而是指在揀貨播種牆上有顯示數量的小螢幕，搭配按鈕燈，來引導作業員，這一份商品要放置的揀貨儲格，以集中同筆訂單的商品。該系統與自動倉儲作業系統串接，透過演算法決定同筆訂單商品的揀貨順序，以實現最佳化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PB112777.JPG" style="width: 600px; height: 378px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><strong>揀貨站模擬圖 </strong></span>派車系統將物流箱跨樓層輸送至揀貨站，再由電子標籤揀貨系統給予燈號提示，指引作業員將商品放置於指定的揀貨儲格，以集中同筆訂單的商品。</p> </blockquote> <p>揀貨作業完成後，揀貨籃會透過三層輸送帶，運抵包裝站，再由包裝員進行品保、封箱與標貼等流程，一站完成包裝作業，達到以物就人的作業模式。最後，出貨路線分揀系統依商品的配送方式，自動分流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6642.JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><strong>包裝站 </strong></span>淺藍色揀貨籃通過輸送帶，將同筆訂單的商品一同運抵包裝站，（畫面右側）讓作業員可一站完成包裝作業。系統依據訂單商品的尺寸，建議使用的包材，而紙箱就在作業站的左側，供作業員直接拿取。攝影／黃郁芸</p> </blockquote> <p>與舊倉相比，新倉透過自動化存放及出貨的機制，讓商品出庫的作業時間減少了6成。Yahoo臺灣電子商務營運管理部之物流服務資深經理柳伯龍表示，接到消費者訂單至商品出貨的時間，從原本需花費20至30分鐘，最快可縮短為10分鐘。</p> <p>另外，Yahoo奇摩為優化商品入庫流程，導入材積測量機，並將該設備與系統資料庫串接。由機器自動測量商品的材積，再直接將商品的材積數據輸入系統，以免去人為丈量誤差的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9D%90%E7%A9%8D%E4%B8%88%E9%87%8F%E5%B0%BA.JPG" style="width: 600px; height: 400px;" /></p> <blockquote><p>材積丈量機可自動測量商品的大小，再直接將數據輸入系統。攝影／黃郁芸</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PB112604.JPG" style="width: 600px; height: 338px;" /></p> <blockquote><p>材積丈量機上方配有感測器。攝影／王宏仁</p> </blockquote> <p>該物流中心就落腳在桃園大溪，Yahoo奇摩希望借地利之便，由快速道路直通國道一號與三號，且與配合運送業者的轉運站相鄰20公里內，像是郵局和黑貓宅急便，可更有效的將商品配送全臺。現階段，Yahoo奇摩與10家配送業者合作，依據訂單的類別、時效、配送區域等要素，決定每筆訂單的配送業者，及安排配送業者至物流中心取貨的時間。</p> <p>導入穿梭式自動倉儲設備及其他自動化系統後，全倉8成作業由以物就人的模式取代，可減少3成的人力，進而為銷售活動高峰期提升10倍的產能。穿梭式自動倉儲設備的設計已模組化，柳伯龍指出，未來，將視需求擴充，不管是向上或是水平擴展設備。</p> </div></div></div>
2019/11/11 17:43作者黃郁芸https://www.ithome.com.tw/news/134128
衝浪大廠Boardriders遭勒索軟體攻擊，傳駭客提出9千萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據澳洲媒體<a href="https://www.pressreader.com/australia/the-courier-mail/20191108/281934544760904" target="_blank">Courier Mail的報導</a>，專門生產衝浪與其它運動裝備的衝浪大廠Boardriders在10月底遭到勒索軟體攻擊，包括Billabong與Quiksilver等旗下品牌都受到波及，而且駭客還提出了高達9千萬美元的贖金請求。</p> <p>Boardriders一直到上周才對外坦承遭到駭客入侵，表示企業的電腦被植入了病毒，影響該公司在某些市場的系統，不過該公司並未說明是招惹了哪一種病毒，僅說他們很快地就回復了支持該公司持續運作的系統，而且大多數的交易與送貨已恢復正常。Boardriders的足跡跨及全球110個市場。</p> <p>不過，Courier Mail與<a href="https://www.bleepingcomputer.com/news/security/quiksilver-and-billabong-affected-by-ransomware-attack/" target="_blank">Bleeping Computer</a>都引述消息來源報導，Boardriders所感染的是勒索軟體，造成Boardriders員工無法開機，一直到IT部門清除了病毒。此一資安事件也影響了Billabong的日常運作，在澳洲購買Billabong產品的客戶都被告知會延後一周才能出貨，而有些國際買家則額外獲得20%的折扣。</p> <p>Boardriders並未公布受災的細節，但當地媒體報導Boardriders遭到攻擊之後，即轉移到備份的技術架構上，因此也不確定有否支付贖金。</p> </div></div></div>
2019/11/11 17:50作者陳曉莉https://www.ithome.com.tw/news/134137
臉書以PyTorch改寫物體偵測函式庫釋出Detectron2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年的時候釋出了物體辨識開發函式庫Detectron，現在臉書重新以PyTorch改寫釋出<a href="https://ai.facebook.com/blog/-detectron2-a-pytorch-based-modular-object-detection-library-/">Detectron2</a>，新版本支援了多種新模型和功能，並把訓練工作管線移到了GPU，讓新版本的模型訓練速度比Detectron快上許多，另外還採用了模組化設計，更靈活也更容易擴充。</p> <p>Detectron是臉書人工智慧研究員開發的電腦視覺函式庫，可以快速地從影片或是圖片中，辨識物體，物件的形狀和邊緣。Detectron第一個版本以Python開發，使用深度學習框架Caffe2，但是Detectron2轉換使用臉書在去年底釋出的深度學習框架PyTorch，PyTorch可提供更直觀的指令式程式設計方法，讓研究人員能快速迭代模型和實驗。</p> <p>而全新的模組化設計，讓Detectron2更靈活且容易擴充，用戶可以將自定義的模組實作插入物件偵測系統各個部分中，也就是說，用戶可以方便地使用Detectron2來完成其他人工智慧研究，因為其撰寫的研究實作程式碼，可與核心Detectron2函式庫程式碼完全分離。</p> <p>Detectron2除了提供Detectron中的所有模型，包括Faster R-CNN、Mask R-CNN、RetinaNet和DensePose之外，還新加入了Cascade R-CNN、Panoptic FPN和TensorMask，此外，臉書還添加了同步批次處理規範，並支援LVIS等資料集。</p> <p>Detectron2支援了一系列和物體偵測有關的新功能，在原始的Detectron版本，可用框、實例分割遮罩來標出偵測到的物件，以及預測人類動作，而Detectron2增加支援語義分割，還有結合語義分割和實例分割的全景分割。臉書將Detectron2的訓練工作管線移動到GPU中，以提高整體的運作速度，現在使用者還可以將訓練分散到多個GPU伺服器，讓大型資料集的訓練工作更加快速。</p> <p>臉書也實作了額外的軟體層Detectron2go，讓開發者可以更簡單地在產品中部署模型，Detectron2go的功能有內部資料集的標準訓練流程、網路量化以及為雲端和行動裝置模型轉換最佳化。</p> <p>臉書設計Detectron2是要滿足自家人工智慧研究的需要，並且為臉書產品提供物體偵測的功能，像是為Facebook Portal視訊通話裝置中的智慧攝影機，提供下一代姿勢偵測功能。臉書提到，把Detectron2用做跨研究以及產品中的統一物體偵測函式庫，可以讓他們快速地把研究中的功能，轉移到大規模部署的產品模型中。</p> </div></div></div>
2019/11/11 18:15作者李建興https://www.ithome.com.tw/news/134122