iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

澳洲擬立法強制Google、臉書要付授權費，才能分享新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theguardian.com/media/2020/apr/19/facebook-and-google-to-be-forced-to-share-advertising-revenue-with-australian-media-companies" target="_blank">根據國外媒體報導</a>，澳洲政府要求澳洲競爭與消費者委員會（Australian Competition and Consumer Commission，ACCC）打造新規定，以強制要求Google及臉書等分享新聞內容的數位平臺，要支付授權費給當地媒體。</p> <p>其實早在去年12月，澳洲政府就曾要求ACCC開發一套規定，以作為數位平臺及當地媒體之間協商的範本，不過該規定是志願性的，並未有強制效果，但在澳洲政府發現業者的進展太慢，再加上武漢肺炎（COVID-19）疫情，嚴重影響了媒體的廣告業務與生存能力，因而臨時改弦易轍，直接要ACCC打造一個強制性的法規，首個草案將於7月出爐。</p> <p>志願性與強制性法規的內容相近，都是要求數位媒體在使用媒體內容時，應該要付費，也應在因變更演算法而影響新聞排序之前通知媒體，在搜尋結果中必須以原始新聞來源為優先，同時與媒體業者分享資料。最大的不同在於，強制性的法規包含了罰則。</p> <p>澳洲通訊部長Paul Fletcher向媒體表示，武漢肺炎疫情加劇了媒體產業的財務困境，整個產業的廣告營收大幅下降，因此希望這些利用媒體內容，來建立及維護使用者忠誠度的數位平臺，能夠改善與媒體之間的關係。</p> <p>根據估計，澳洲已有數十家地方媒體因為疫情而暫停出版，主要是因為缺乏廣告業務，也有大型媒體要求員工減薪或離職，上周澳洲政府已祭出接近1億美元的媒體產業紓困方案。</p> </div></div></div>
2020/4/20 12:35作者陳曉莉https://www.ithome.com.tw/news/137086
不敵疫情，Tor Project裁減3成人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）衝擊各大小企業及非營利組織。開發隱私瀏覽器Tor的Project Tor團隊<a href="https://blog.torproject.org/covid19-impact-tor" target="_blank">也於上周表示</a>，將裁減三分之一的工程人員。</p> <p>Project Tor表示，如同其他非營利組織和小型機構，他們也遭疫情重創，被迫資遣了核心團隊的13名開發人員，得由剩下22人繼續開發Tor瀏覽器及其他Tor軟體。Project Tor說，各國政府在抗疫期間紛紛擴張政治控管權力，也讓線上隱私的防護更為迫切。為了確保用戶隱私、安全和不受審查，持續取得和分享必要的資訊，Project Tor團隊只得做出這番困難決定。</p> <p>Project Tor的營運主要仰賴全球用戶捐款，但受到疫情影響，許多捐贈者不是忙著防疫，就是自己也放無薪假或失業，而無力再支持。</p> <p>這次疫情可能也是國家監控擴張的分水嶺。為防範假訊息、假新聞散布，各國政府在社交網路上合作下，擴大取締和武漢肺炎疫情、療法或藥物的言論。另一方面，為防病毒擴大感染、加速通報，多國使用手機監控技術掌控民眾行動，而這些法令並沒有落日條款，隱私權人士擔心線上隱私將一去不復返。</p> <p>科技部落格OneZero觀察全球的媒體報導，<a href="https://www.ithome.com.tw/news/136927" target="_blank">指出至少有28個國家</a>藉由加強對人民的監控來控制疫情，包括使用智慧型手機的位置資料分析人潮流動，或是追蹤被隔離者的位置。</p> </div></div></div>
2020/4/20 13:15作者林妍溱https://www.ithome.com.tw/news/137087
Google傳正在開發類似Apple Card的智慧簽帳卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2020/04/17/google-card/" target="_blank">Techcrunch上周報導</a>，Google可能正在跟進蘋果，開發Apple Card這類的智慧簽帳卡。</p> <p>根據Techcrunch拿到的圖片，這張卡是由Google和特定銀行聯合發行綁定支票帳戶，可供以卡片在實體商店刷卡，或以手機藍牙支付與線上消費。此外消費者還可以Google Pay App檢視消費紀錄、帳戶餘額、或是鎖住帳戶。另一消息來源也證實這項卡片的開發。</p> <p>報導指出，Google合作的金融機構，包括花旗銀行及史丹佛聯邦信用合作社（Stanford Federal Credit Union）等。Google可能負責建立金融交易的底層基礎架構，並開發智慧化用戶介面。</p> <p>去年11月華爾街日報及路透社<a href="https://www.ithome.com.tw/news/134194" target="_blank">首先報導</a>，Google和花旗銀行及史丹佛聯邦信用合作社合作「智慧支票」（Smart Checking）服務，讓使用者透過Google Pay App執行數位化支票業務。目前Google Pay僅提供線上支付及用戶轉帳給親友，若消息屬實，將擴大Google Pay的應用範圍。</p> <p>和Apple Card一樣，發行信用卡或金融卡，有助於蘋果及Google這類科技公司跨足金融業，開闢新的營收來源。Google將能收取簽帳卡手續費。此外，媒體分析，如果Google證明此類智慧簽帳卡可以刺激銷售，消費品牌將會大買Google廣告。依照Google過去的前科，它甚至能分析用戶消費紀錄後，將資訊分享或賣給廣告主或廣告商以餵送精準廣告。</p> <p>不過Google並未對此評論。Google僅透露的確正在和這兩家機構探究，以Google Pay提供智慧支票帳戶事宜，並指未來幾個月內，會再分享進一步資訊。</p> <p>Google 2013年底也曾發行名為Wallet的簽帳卡，不過2016年就收攤了。Techcrunch報導，Google經常把舊服務改名，或關掉後以新瓶舊酒再出發，可能這次也是如此。</p> </div></div></div>
2020/4/20 11:55作者林妍溱https://www.ithome.com.tw/news/137085
產品安全設計與廠商誠信之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在不同的產業、使用場景、威脅態勢當中，我們對於資安的認知，可能都有很大的差異。<a href="https://www.ithome.com.tw/news/137058" target="_blank">以近期爆發的Zoom爭議事件來看</a>，有人認為學校教學不牽涉到機密，不需要如此大驚小怪；有人則認為視訊會議被旁人亂入，是因為系統為了方便大家使用而沒有強制設置密碼，所以，開設會議的人應該要負責，而不是系統的錯；也有人提到這樣的資安問題，已非技術問題，而是政治問題。</p> <p>關於第一、二種說法，涉及每個人對於隱私的定義，不過，既然我們討論的是學校的場景，大眾能否接受這樣的暴露，答案已經很清楚。視訊型態的教學雖然是虛擬的場域，但也跟實體校園一樣，不能容忍非法的窺伺與干擾。學校的教學當然需要公開、透明，但這是否意味著他人可以任意進出校園，導致學習過程可能受到影響？更遑論人身與心理安全層面的顧慮，如果校方不積極管制出入的人員，而用「平生所為，未嘗有不可對人言」自以為是的態度，來看待環境安全，家長恐怕也不願意讓自己的孩子冒著這樣沒有隱私的風險，到學校上課吧！</p> <p>再來是簡化系統操作卻有不設防的危機，到底是使用者還是產品的責任。這讓我想到過去我們報導<a href="https://www.ithome.com.tw/article/123464" target="_blank">歐盟GDPR</a>與即時通訊廠商<a href="https://www.ithome.com.tw/news/131029" target="_blank">Line的資安作法</a>時，所提到的一些概念，像是Security by Design、Privacy By Design。</p> <p>「人非聖賢，孰人無過」，身為產品研發端，我們很難開發出毫無任何安全瑕疵的產品；而身為使用者，我們會疏忽、偷懶。因此，用戶除了持續要求廠商要提高產品整體與每個環節、元件的安全性品質，對於業者而言，在解決方案開發的過程當中，若能考量到使用者不會主動採取確保安全與身分合法性的動作，而將相關的設定步驟、流程整合進來，後續資安問題也會減少很多。</p> <p>最後，Zoom的爭議是資安、技術或政治問題？我們認為，可能也同時涉及「誠信」的問題。</p> <p>Zoom最難以辯駁的部分，是他們聲稱採用全程加密（end-to-end encryption），但新聞媒體The Intercept在3月31日，<a href="https://www.ithome.com.tw/news/136701" target="_blank">揭露Zoom跟大家所認知的作法有出入</a>，隔天Zoom也在部落格發布文章，表明他們的作法的確與現行採納的定義不一致，到了4月3日，加拿大多倫多大學市民實驗室<a href="https://www.ithome.com.tw/news/136762" target="_blank">發表一篇研究報告</a>，探討Zoom視訊會議的機密性保護，裡面提到Zoom系統採用AES演算法、128位元長度的金鑰來加密，然而執行模式竟是最不理想的ECB。</p> <p>對此，去年曾來臺參加臺灣資安大會的密碼學大師Bruce Schneier，<a href="https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html" target="_blank">在其部落格專文的評論</a>，相當發人省思。他認為AES-128沒問題，但用了ECB模式，代表這家公司根本不懂加密。而Zoom應該也接收到這樣的批評，在4月8日的部落格文章提到，正將加密方式從AES-256 ECB升級到AES-256 GCM，預計在45天內聚焦於此項工作。</p> <p>事實上，Zoom在他們的官方文宣上，就有說法不一致的狀況。他們聲稱採用全程加密，但如果仔細檢視他們的資安白皮書，我們會發現，前半段強調用戶「可以採用256位元AES加密」來保護共享內容與網路連線，但在Zoom Phone的身分認證與多媒體加密，是128位元AES加密。</p> <p>Zoom後來才表明他們的作法與大家的認知不同，雖然可取，可惜為時已晚，他們的確是揭露部分事實，但並不夠直接，用戶若沒有仔細審視這些規格，基於業界共識來認定，很可能就會因此誤判情勢。不論這家廠商是否真的有意這麼做，但此刻事態一一被揭發，終究讓人難以接受，而產生被欺騙的感覺，認為廠商不老實。因此Zoom若要挽回用戶信任，勢必要花更大的成本和時間，來證明自己重視資安與誠信，還要主動揭露更多技術細節，因為用戶絕對不想再被誤導。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/zoom">Zoom</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E7%A7%81">隱私</a></div><div class="field-item odd"><a href="/tags/%E6%BC%8F%E6%B4%9E">漏洞</a></div><div class="field-item even"><a href="/tags/%E4%BF%A1%E4%BB%BB">信任</a></div><div class="field-item odd"><a href="/tags/%E8%AA%A0%E4%BF%A1">誠信</a></div></div></div>
2020/4/20 09:00作者李宗翰https://www.ithome.com.tw/voice/137052
【用戶數暴增20倍，Zoom的資安隱憂成各界焦點】Zoom接連爆發隱私與安全問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎疫情擴散至全球，遠端協作與視訊會議需求大增，在這樣的風潮之下，有一家雲端視訊會議業者Zoom，其安全議題掀起相當大的波瀾，因為他們提供的SaaS服務在資安加密的做法引爭議，以及資安漏洞接連被爆出，成為矚目焦點。</p> <p>儘管該公司近期的漏洞修補都很即時，但卻被人發現誇大其安全性，也有會議金鑰經中國伺服器傳送的狀況，再加上過去他們對於隱私與資安的不夠重視，也被重新被檢討，更是牽動著各界對於該公司產品的看法。這樣的態勢，不僅導致使用者被迫臨時改選用其他平臺，甚至，也促使全球開始有企業與政府開始規範要求禁用。到底，這次Zoom是如何引發資安爭議與關注呢？</p> <p><span style="font-size:28px;"><strong>遠距工作安全風險成焦點，提醒用戶注意安全使用Zoom</strong></span></p> <p>在疫情衝擊之下，為防止群聚感染傳播的風險，現在政府機關與企業都制定了遠距工作對策，以此作為顧及持續營運的重要防疫措施，在此態勢之下，遠距工作時所要注意的相關資安風險，也成企業與個人的關注重點。</p> <p>例如，需注意公司VPN的安全管理，以及資料存取與身分驗證等面向，而視訊會議工具的安全使用，也成不容忽略的一環。</p> <p>的確，近期各界使用視訊會議的需求暴增。從視訊會議程式的下載次數，可以看出其熱門程度，根據行動程式分析機構App Annie的分析統計，單是3月中旬的一周下載量，不論是Google Hangouts Meet（現稱Google Meet）、Microsoft Teams與Zoom等，與2019年第四季的週平均相比，幾乎都有10倍到30倍的超高成長。而這樣的現象，也使得各協作平臺也傳出連線不穩與斷線的狀況，原因就是同時上線用戶太多，導致系統難以負荷。</p> <p>但沒想到的是，在提醒使用者注意遠端工作安全的趨勢之下，在3月下旬，視訊會議Zoom成為資安焦點，並且爆出了一連串的隱私與資安問題。</p> <p>例如，在3月26日，資安業者<a href="https://blog.checkpoint.com/2020/03/26/whos-zooming-who-guidelines-on-how-to-use-zoom-safely/">Check Point發布了安全使用Zoom的四大注意事項</a>，包括隨時更新軟體、啟用會議密碼、管理與會者發言，以及隨時為會議記錄影片洩漏做好準備。</p> <p>事實上，Check Point之所以這麼做，是因為他們<a href="https://research.checkpoint.com/2020/zoom-zoom-we-are-watching-you/">在去年7月22日曾通報Zoom的安全問題</a>，指出攻擊者將能透過猜測Zoom會議連結的會議ID（隨機9碼、10碼與11碼數字），偷偷加入到會議之中，並提及缺乏會議密碼保護的問題，而他們的研究人員利用隨機產生的會議ID，以自動化方式找出4%有效會議。無獨有偶，另一家資安業者Cequence Security，也曾揭露相關的安全問題。</p> <p>對於這樣的問題，其實Zoom在3月20日也於官方部落格提出建議，告知<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">用戶如何避免不速之客闖入</a>。</p> <p>在臺灣，中央研究院的2位專家也在3月26日於部落格發表文章，該單位資訊服務處呂紹勳與資訊科學所研究員陳伶志，特別<a href="https://medium.com/@lingjyhchen/%E6%9C%89%E9%97%9C-zoom-%E7%9A%84%E8%B3%87%E5%AE%89%E7%96%91%E6%85%AE%E8%88%87%E5%BB%BA%E8%AD%B0-87c89e44eaf1">針對Zoom提供安全使用上的建議</a>，在網路上受到相當大的關注。當中雖無揭露具體事證，但也整理了對於Zoom資安隱憂的正反方意見，而最令人不安之處在於，Zoom開發團隊皆在中國境內，而中國政府向來有干預境內高科技公司的前例。</p> <p><strong><span style="font-size:28px;">在短短一周內，Zoom接連不斷的隱私與安全漏洞被爆出</span></strong></p> <p>但這場資安風暴才剛剛開始。</p> <p>雖然Zoom在2019年曾被揭露的幾個資安漏洞，但都已是過去式，弱點早已被修復，卻也在此時被重新議論，更沒想到的是，新的隱私與漏洞問題遭連續爆出，讓Zoom在短短一周時間內，深陷隱私與安全的泥沼。</p> <p>首先，在3月24日，一名代號為@_g0dmod的安全人員在<a href="https://twitter.com/_g0dmode/status/1242131019026874369">推特上指出，Windows版Zoom</a>程式的聊天功能，可張貼像是\\x.x.x.x\xyz之類的連結，此問題，將讓他人嘗試竊取點擊者的NTLM雜湊密碼。屬於UNC注入漏洞。</p> <p>在3月26日，科技網站Motherboard<a href="https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account">揭露iOS版Zoom程式的隱私問題</a>，在使用者不知情的狀況下，這支App將資料傳送給臉書，但在Zoom的隱私政策中，只說明可能會蒐集用戶在臉書上的個人檔案資訊。隔日，Zoom立即移除臉書SDK以撇清關係。</p> <p>到了3月30日，Zoom的安全風暴越演越烈，隨著使用人數的大幅成長，更多Zoom的漏洞討論快速獲得關注。</p> <p>首先，網路安全公司VMRay的惡意程式研究人員<a href="https://twitter.com/c1truz_/status/1244737672930824193">Felix Seele，在推特上指出macOS版的Zoom程式的安裝問題</a>，質疑為何使用者不用點擊就可以完成，於是，他決定著手進行深入的研究；接著，另一macOS安全研究人員Patrick Wardle（網路暱稱為<a href="https://objective-see.com/blog/blog_0x56.html">Objective-See</a>），也從Felix Seele的發現找出其他問題，在部落格上直接公開其發現，他指出Mac版Zoom程式存在可偷偷存取Mac網路攝影機與麥克風的安全漏洞。</p> <p>同日，美國聯邦調查局（FBI）發出<a href="https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic">公告</a>，提醒大家需注意干擾視訊會議的亂象，並舉出兩起當地麻州學校在使用Zoom進行線上教學遭亂入的案例，警告用戶注意這樣的行為，並建議使用者應落實管控，例如，舉行的會議或課程不應設為公開，以及設定會議密碼與會議主持人管理等措施。</p> <p>接下來的幾日，更是天天都有Zoom的相關新聞曝光，有些是新的問題，有些是相關事件的後續。</p> <p>例如，英國首相Boris Johnson在3月31日於<a href="https://twitter.com/BorisJohnson/status/1244985949534199808">推特上張貼了一張照片</a>，表示自己用Zoom與內閣成員開會，但照片暴露了會議ID等資訊，引發安全爭議。</p> <p>同時，國外媒體陸續揭發更多問題及不同單位禁用Zoom的消息。例如，在3月31日，根據The Intercept<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">爆料指出</a>，Zoom的端對端加密技術，只有應用在文字傳輸，而視訊與音訊的傳輸並沒有；在4月1日，根據路透社<a href="https://www.reuters.com/article/us-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUSKBN21J71H">報導</a>，美國太空公司SpaceX在3月28日就以電子郵件通知員工，要禁止使用Zoom，而美國太空總署（NASA）也同樣禁用。</p> <p>同時，先前指出Mac版Zoom程式安全問題的VMRay研究人員Felix Seele，在官方部落格也<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">公布</a>其完整研究發現，當中提到Zoom的安裝使用了與MacOS惡意軟體相同的技巧，並有誤導性的說明。</p> <p><strong><span style="font-size: 28px;">創辦人上火線，Zoom公開承諾要在90天內強化資安</span></strong></p> <table align="right" border="0" cellpadding="3" cellspacing="3" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89P2-P3%E4%B8%BB%E6%96%87Zoom%E5%AE%89%E5%85%A8%E7%96%91%E6%85%AE.jpg" style="width: 349px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">【Zoom宣布90天資安強化計畫】視訊會議平臺Zoom被揭露</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">的一連串隱私與安全問題，該公司執行長袁征（Eric S. </span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">Yuan）在4月1日出面回應與道歉，指出暴增的用戶數為他們</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">的服務帶來挑戰，允諾將在90天內專注於安全及隱私問題的改</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">善。到了4月8日，他們也宣布將設立資安長會議與顧問委員</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">會。</span></span></strong></p> </td> </tr></tbody></table><p>面對種種的產品安全疑慮，在<a href="https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/">4月1日，Zoom的創辦人暨執行長袁征（Eric S. Yuan）在部落格上親自道歉</a>，說明用戶數在三個月內從1千萬暴增至2億，如此暴增的用戶數與各式使用情境，其實超出了Zoom的規畫，他並承諾，將在90天內暫緩開發新功能，將資源完全投入以解決平臺的安全及隱私問題。</p> <p>關於近期被揭露的資安漏洞，Zoom也採取行動。例如，先前研究人員@_g0dmod指出的Windows版Zoom程式安全問題，在日前獲得其他研究人員證實，並曝光於媒體後，他表示Zoom已修補這個UNC連結的安全問題，同時修補前幾日的Mac版Zoom程式漏洞，並更新資料蒐集的隱私政策。</p> <p>Zoom對於漏洞的快速修補，也受到不少資安研究人員的肯定。他們認為，Zoom近期的產品安全應變做得很不錯，其中也包括發現Zoom漏洞的Felix Seele，他在推特上表示，Zoom的快速修補令他印象深刻。</p> <p>只是，雖然Zoom更明確地揭露該平臺的加密能力，也表示他們沒有建立解密的機制，但先前號稱端對端加密卻不實的情形，顯然其安全問題可能不小。</p> <p> 確實，事情並未就此告一段落。儘管Zoom對於新漏洞的修補很即時，也已經大動作表明要強化其產品安全，但是，接下來，又有一波新的問題曝光，再讓大眾對Zoom的資安無法放心。</p> <p><strong><span style="font-size:28px;">資訊安全與人權團體發布研究報告，再次揭發Zoom更多安全隱憂</span></strong></p> <p>在4月3日，加拿大多倫多大學市民實驗室（Citizen Lab）的研究人員<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">發布</a>研究報告，為Zoom的不夠安全投下震撼彈。該報告指出三大重要發現，首先，是Zoom宣稱使用256位元的AES加密金鑰，但其實只有128位元，並且是較不理想的ECB模式；其次，是Zoom使用了上述非標準的加密方式，而且會議金鑰在特定情況會經中國伺服器產生與傳送；第三，則指出擔心Zoom會受制於中國政府的問題。</p> <p>綜觀這次研究報告的內容，Citizen Lab發現，Zoom在加密方面有誇大安全性之嫌，並指出未採用最佳安全實務設計，而會議的加密金鑰傳送至中國伺服器一事，雖然他們沒有具體事證指出中國官方實際介入取得，但也無法忽視因此暴露的可能風險。</p> <p>而這份報告一公開，也讓Zoom的品牌形象再次受影響，而Zoom執行長袁征在同日於官方部落格快速做出<a href="https://blog.zoom.us/wordpress/2020/04/03/response-to-research-from-university-of-torontos-citizen-lab/">回應</a>。他表示，在地理圍欄的機制方面，通常Zoom是依據用戶位置來決定所使用的資料中心，但如果多次連線失敗，將連線至兩個備用的資料中心。只不過，今年2月他們為了暴增的連線需求，在匆忙之中，不慎錯誤將兩個位於中國的資料中心，加入到國際備用伺服器的白名單，進而導致美國服務連往中國伺服器的情況，現在他們已修正此問題；對於加密的議題，袁征則表示會與第三方專家共同討論，以找出更適合的解決方案。顯然，他們希望藉由坦承錯誤，以重新贏得大眾信任。</p> <p><strong><span style="font-size:28px;">陸續有多國高機敏單位、政府機關，以及教育與企業單位宣布禁用</span></strong></p> <p>只是，不信任的效應已經形成，並遍及全球各地。繼先前SpaceX與NASA禁用後，在4月4日，根據美國媒體CNN的<a href="https://edition.cnn.com/2020/04/04/us/nyc-schools-zoom-online-security/index.html">報導</a>，指出紐約市教育局發言人Danielle Filson正指示當地學校，盡快停止使用Zoom。</p> <p>在臺灣，Zoom很早就進入臺灣市場，國內已有許多使用者，因此，大家對於Zoom的議題也同樣相當關心，而陸續傳出停用消息。例如，在4月6日傍晚，中華電信率先<a href="https://www.cht.com.tw/zh-tw/home/cht/messages/2020/msg-200406-182000?year=2020&month=4&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7B8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7D">宣布</a>，在釐清資安疑慮前，先停售該公司的Zoom服務方案，4月7日，行政院資通安全處也對遠端視訊的使用發出<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/9d2f8e8e-c8a6-4e1d-a9fe-68c3edb8ef72">公告</a>，指出應以國內產品及共同供應契約所列品項為優先，並已通函國內公務機關與非公務機關，不應用Zoom。</p> <p>接下來，教育部也在同日下午發表<a href="https://www.edu.tw/News_Content.aspx?n=9E7AC85F1954DDA8&s=868B3A6EDF9BA52D">聲明</a>，指出在收到第1091069976號函後，將通知各級學校全面禁用，同時也會移除教育雲之線上學習頁面的使用說明文件。不過，這樣急轉彎的政策，卻在國內教育界引起不小的反彈聲浪，例如，已有很多學校的老師與學生開始學習用Zoom線上教學，而部分人士認為，在不需要考量保護機密性的狀況下，教育單位不一定要禁用。</p> <p>為了強調在資安的投入，Zoom在<a href="https://blog.zoom.us/wordpress/2020/04/08/update-on-zoom-90-day-plan-to-bolster-key-privacy-and-security-initiatives/">4月8日宣布</a>成立資安長會議及顧問委員會，將找來VMWare、Netflix、Uber等多家公司的CISO擔任成員，並將聘請前臉書安全長Alex Stamos擔任外部資安顧問，希望挽回消費者信心。</p> <p>但是，難以讓用戶繼續信任Zoom的狀況，還是持續上演。例如，又有<a href="https://twitter.com/CyberSixgill/status/1247224550808584196">以色列安全情報業者Sixgill的消息</a>，指出有駭客在暗網公布352個Zoom帳號的名單。</p> <p>後續，國際間則是出現更多禁用Zoom的消息，包括政府機關與企業。例如，在4月6日，根據澳洲媒體The Australian的<a href="https://www.theaustralian.com.au/nation/defence/coronavirus-sefence-axes-zoom-over-flaws/news-story/532ffd9d8190f4616b95ebceb26d201e">報導</a>，當地禁止國防人員使用Zoom來進行視訊會議。在4月8日，美國媒體BuzzFeed News<a href="https://www.buzzfeednews.com/article/pranavdixit/google-bans-zoom">報導</a>，指出Google其實在上個星期，就已經以電子郵件通知員工禁用Zoom，說明該工具未符合內部使用程式的安全標準，因此將限制Zoom在企業電腦上的執行；同樣是在8日，德國媒體Handelsblatt<a href="https://www.handelsblatt.com/technik/it-internet/it-sicherheit-auswaertiges-amt-untersagt-nutzung-von-zoom-auf-dienstlichen-geraeten/25726922.html?ticket=ST-2392418-b7txC5GlNvddbOSbGPtZ-ap4">報導</a>了該國外交部通知機關人員，禁止在公家裝置使用Zoom，但考量合作夥伴可能使用，因此通融以個人裝置用Zoom進行公事交流。</p> <p>而在4月9日，根據美國Cnet等媒體<a href="https://www.cnet.com/news/us-senate-reportedly-tells-members-to-avoid-zoom/">報導</a>，美國參議院也要求所有的議員不要使用Zoom；而新加坡也傳出教育部要求教師暫停使用Zoom，根據當地媒體Channel News Asia<a href="https://www.channelnewsasia.com/news/singapore/moe-suspends-zoom-home-based-learning-obscene-images-12626534">報導</a>，當地教育部在收到Zoom Bombing事件的報告後，為了預防起見，也要教師暫停使用Zoom，而在相隔4日後，才又允許逐步恢復使用。</p> <p>無論如何，儘管Zoom強調要在90天強化資安，但目前事件還在持續，不只是漏洞接連爆出，而先前被揭露其產品並非真的貫徹端對端加密，以及加密作法不夠周延，還有會議金鑰誤經中國資料中心等安全問題，再加上許多事件突顯該公司有誤導、欺騙性的行為，上述這些被公開的資安問題，都暴露其產品的高風險性。</p> <p>此外，我們也要提醒大家不只是注意單一廠商，更難防的是，他們生產的軟體元件，也可能輸出給其他廠商使用，而以不同廠牌的解決方案供應給用戶。例如，去年就有研究人員提出相關<a href="https://twitter.com/karanlyons/status/1150774640899317760">發現</a>，市面上兩款取得Zoom技術授權的視訊會議App：RingCentral和Zhumu，存在與Zoom相同的弱點。</p> <p class="rtecenter"><span style="color:#ff66cc;"><span style="font-size:36px;"><strong>何謂Zoom Bombing？</strong></span></span></p> <table align="center" border="0" cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89P2-P3%E4%B8%BB%E6%96%87Zoom%E5%AE%89%E5%85%A8%E7%96%91%E6%85%AE.png" style="width: 600px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong><span style="font-size:18px;">若要防止與會者擅自分享螢幕畫面干擾開會，主持人在會議前或會議進行</span></strong></span><strong style="color: rgb(105, 105, 105);"><span style="font-size:18px;">時，可以在Zoom的進階設定選項中，限制僅主持人可以共享螢幕畫面。</span></strong></p> </td> </tr></tbody></table><p>在Zoom本身的多項隱私與資安漏洞之外，近期最多討論的安全問題就是Zoom Bombing，簡單來說，就是有其他使用者擅自闖入視訊會議的行為，並且故意在視訊畫面上分享色情或冒犯性的內容，干擾了會議的正常進行。</p> <p>為何這些人能夠做出這樣的惡作劇行為？這事因為，他們可以找到公開在網路上的Zoom會議連結網址或會議ID，或是透過自動化工具找出有回應的會議ID。</p> <p>對於如何不被外人闖入的問題，Zoom於官方部落格中，<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">建議</a>了3大使用原則。</p> <p>（一）要對螢幕的控制權有所掌握：在會議前或進行期間，設定自己是唯一可分享螢幕的成員</p> <p>（二）應做好與會者的管理：包括會議鎖定與刪除不需要的參與者等，而現在所有單一會議室主持人在召開會議時，需要強制設定密碼，用戶也應每次會議都設立不同的會議密碼</p> <p>（三）開啟等候室的功能：讓與會者不會立即進入會議，需要會議主持人一個個手動批准與會者進入會議室。</p> <p class="rtecenter"><span style="color:#ff66cc;"><span style="font-size:36px;"><strong>市面上有那些雲端視訊會議平臺？</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/969-%E5%B0%81%E9%9D%A2P2-P3-%E4%B8%BB%E6%96%87-600-1(1).png" style="width: 600px;" /></p> <p>早年的網頁視訊會議，多數企業最為熟知的產品就是Webex、GotoMeeting，直到後來行動裝置、雲端興起，以及視訊壓縮技術的進步下，在6、7年前，我們看到雲端視訊服務產品的興起，包括Zoom、Blue Jeans、Fuze、Starleaf與Vidyo等。在這些產品當中，我們看到像是Zoom與Vidyo等，都進入臺灣市場，其他新興服務在國內的知名度則不高。</p> <p>以當時的Zoom而言，最大特色就是介面相當簡單直覺，雖然提供的操作功能項目還不如老牌產品，但當時以免費版與低價推出市場，加上其他新興雲端視訊未進入臺灣市場，又有正體中文介面語系的支援，因此獲得不少用戶青睞。而在這麼多年發展之後，Zoom在全球市場同樣大有斬獲，已是這些視訊會議新創中最知名的業者。</p> <p>另一方面，除了硬體視訊會議與雲端視訊會議的介接變得更普遍，早年強調的整合通訊也朝向雲端協作平臺的潮流來發展，像是微軟從Lync到Skype for Business，到現在的Microsoft Teams，而從雲端出發的Google，本身也提供Hangouts Meet（現改名為Google Meet）。</p> <p>另外，還有一些雲端視訊會議產品的動向，也很值得一提，例如，早年我們介紹過的GotoMeeting與Join.me，現在成為LogMeIn旗下產品，而硬體視訊業者Lifesize後來也順應了雲端潮流，推出了Lifesize Cloud，該公司之後則被羅技併購，不過，這些產品在國內受關注的程度是比較小；另外，還有影像編輯軟體大廠Adobe很早推出的Adobe Connect，近年也活躍於臺灣教育市場。</p> <p>此外，以PowerDVD聞名的訊連科技，在2017年開始切入此一領域，是起步較晚的業者，並是少見的臺灣產品；至於國內的共同供應契約當中，我們還看到一些市面上較少注意到的產品，例如，狀態網際網路的Status PowerMeeting，泰溥科技的TOPMeeting，以及太御科技（JoinNet）代理的美國HomeMeeting等多款產品。而在開源軟體產品中，近年則有Jitsi Meet受到不少使用者推薦。</p> <p>附帶一提的是，原是屬於遠端控制類型的工具軟體，其實也有加入視訊會議的功能，例如TeamViewer，因為技術相近，但使用者必須對這類軟體的功能有所認識，它的功能還包括遠端控制你或對方電腦，不只是單純的視訊會議軟體。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137055
近期Zoom的資安事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p> </p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年7月9日 </span></span></strong></span></p> <p><span style="font-size:28px;"><strong>Zoom程式安裝的本地端網頁伺服器引發安全爭議</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019-07-09_ZoomSuck.jpg" style="width: 600px;" /></p> <p>資安研究員<a href="https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5">Jonathan Leitschuh揭露Zoom客戶端零時差攻擊漏洞</a>，指出存在DoS漏洞，以及未經授權啟動攝影機的漏洞。該研究人員自2019年3月8日通報對方後，雖然Zoom已進行修補，但其中一個漏洞的修復並不完全，後續在漏洞揭露期限後，於2019年7月9日公開。同時，Jonathan Leitschuh提到Zoom的幾個安全問題，例如，其Mac版程式會在系統安裝一個本地主機（Localhost）的網頁伺服器，但解除安裝Zoom時無法真正移除它，且任何網站都可與之互動，溝通方式非常危險，他並推測Zoom刻意繞過瀏覽器的安全保護機制。在事件曝光之後，隔日，Zoom表示，新版本將移除本地主機網頁伺服器，而蘋果為了安全，更是在同日發布macOS更新，要將易受攻擊的Zoom本地主機網頁伺服器移除。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年7月15日 </span></span></strong></span></p> <p><span style="font-size:28px;"><strong>取得Zoom技術轉移的產品，也有同樣漏洞問題</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892019-07-15_ZoomSuck.jpg" style="width: 600px;" /></p> <p>對於Zoom未經授權可啟動攝影機的漏洞問題，幾日之後，另一位研究人員<a href="https://twitter.com/karanlyons/status/1150774640899317760">Karan Lyons</a>繼續追蹤，他發現這樣的隱私問題，其實，也發生在取得Zoom技術授權的兩款視訊軟體上，例如，RingCentral與中國的矚目（Zhumu），而且這兩款安裝在用戶電腦上的網頁伺服器，當時蘋果也沒注意到，因此未被移除。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年10月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">業者提醒Zoom與Webex應改進線上視訊會議密碼設定</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892019-10-01_ZoomSuck.jpg" style="width: 600px;" /></p> <p>安全廠商Cequence Security的CQ Prime威脅研究小組，<a href="https://www.cequence.ai/blog/prying-eye-vulnerability-direct-to-api-enumeration-attack-enables-snooping/">揭露</a>視訊會議工具有列舉攻擊漏洞，包括Zoom與Cisco Webex都受影響，該公司指出，攻擊者可以用自動化工具掃描這些平臺的API，進而透過呼叫的回應找出有效會議ID，以及是否需要密碼，若無須密碼就能直接加入會議偷聽。同日Cisco發出資安公告，指出他們在7月24日收到通報，最終確認這並非弱點，但提醒用戶需為會議設密碼保護，而Zoom則是在常見問答頁面，說明預設會議需輸入密碼。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;"> 2020年自1月底 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">武漢疫情在全球蔓延，遠距工作需求大增，各個協同作業與視訊會議平臺的用量爆漲</span></strong></p> <p>隨著採取在家工作以因應疫情的態勢，各個雲端協作平臺與視訊會議的用戶數都大幅增加，而遠距工作的風險問題也成關注焦點，在此當中，Zoom的資安隱憂開始受到大量關注。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年1月28日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">視訊會議ID與會議密碼設定問題再次被揭露</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%892020-01-28_120506.jpg" style="width: 600px;" /></p> <p>資安業者CheckPoint研究人員<a href="https://research.checkpoint.com/2020/zoom-zoom-we-are-watching-you/">公布Zoom漏洞研究</a>，他們發現，該漏洞將可能導致不良用戶偷偷參加私人會議，而Check Point已於2019年7月22日通報Zoom。研究人員指出，每次Zoom會議都有唯一的ID，由9、10或11個唯一數字組成，而他們的研究人員能夠透過自動化方式，猜出大約4％的有效會議ID，因此，他們建議Zoom應該重新製作產生會議ID的演算法，並且應重視會議密碼。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月20日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Zoom教用戶如何避免不速之客闖入會議</span></strong></p> <p>對於有越來越多用戶使用Zoom，特別是線上學習，<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">Zoom在官方部落格上</a>特別提醒用戶，注意舉辦公開會議及管理與會者的問題。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月24日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">被揭露Windows版程式存在UNC注入漏洞</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%892020-03-23_ZoomSuck.jpg.jpg" style="width: 600px;" /></p> <p>在推特名為Mitch，代號@_g0dmode的安全研究人員，他<a href="https://twitter.com/_g0dmode/status/1242131019026874369">指出Windows版Zoom程式的漏洞</a>。該軟體允許用戶在聊天功能，張貼像是\\x.x.x.x\ xyz之類的連結的問題，若被其他使用者點擊，Windows會透過SMB檔案分享功能來開啟遠端檔案，同時傳送使用者的登入名稱及NTLM雜湊密碼。這個問題也被其他資安研究員證實，並可竊取Windows系統用戶的登入密碼。後續，Zoom在4月1日表示修復該漏洞。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月26日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣中研院專家整理Zoom資安疑慮的正反意見，並提供若要安全使用的一些建議</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%892020-03-26_ZoomSuck.jpg" style="width: 600px;" /></p> <p>各個視訊協作平臺用戶大增，不過對於強調操作簡單的Zoom，更是引起了不少討論。對此，<a href="https://medium.com/@lingjyhchen/%E6%9C%89%E9%97%9C-zoom-%E7%9A%84%E8%B3%87%E5%AE%89%E7%96%91%E6%85%AE%E8%88%87%E5%BB%BA%E8%AD%B0-87c89e44eaf1">中央研究院專家在部落格分析Zoom的資安隱憂</a>，當中不僅整理相關的報導，以及正反兩方的意見，並且給予使用 Zoom 這套軟體的資訊安全建議，而這篇貼文一出，也讓Zoom安全議題受到國內民眾大量關注，同時，他們也提及Zoom公布的政府版軟體，是已獲得美國政府部門採購與認證，相對較足以信任。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月26日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">遭爆擅自與臉書分享用戶資料</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%892020-03-26_ZoomSuck.jpg" style="width: 600px;" /></p> <p>科技網站<a href="https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account">Motherboard爆料</a>，他們針對iOS版Zoom程式分析後，發現它暗中會傳送用戶資訊給臉書，由於Zoom的隱私政策中，只揭露了可能會蒐集用戶在臉書上的個人檔案資訊，但是，並未說明是否會傳送資訊予臉書，再次引發關注。隔日，Zoom稱是臉書SDK擅自收集不必要的裝置資料，並緊急移除該SDK。不過，這樣的事件還是引發各界抨擊，許多人表示，業者應該要為增添到應用中的每個SDK進行稽核，因為這是Zoom的App，也是Zoom的責任。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">爆出Zoom在Mac電腦上可未經使用者同意安裝</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9610%EF%BC%892020-03-30_ZoomSuck.jpg" style="width: 600px;" /></p> <p>網路安全公司VMRay的惡意程式研究人員Felix Seele，先是<a href="https://twitter.com/c1truz_/status/1244737672930824193">3月30日於Twitter發出質疑</a>，詢問macOS版的Zoom程式，為何能夠不用點擊就完成安裝。</p> <p>後續，他在<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">4月2日公布完整研究</a>，指出Zoom在未經使用者同意下的擅自安裝，是因為其安裝程序採用了預先安裝的腳本程式，不僅如此，在電腦上要執行預先安裝時的警告，卻是寫「此一執行將確定能否安裝程式」，這樣的描述，讓使用者會誤以為只是檢查硬體相容性。此外，明明是需要管理權限才能安裝的警訊，卻以這樣曖昧不明的方式呈現，也有誤導使用者的嫌疑，他認為，這樣的手法應該是macOS惡意程式才會有的行為。</p> <p>對於這次事件，Zoom的回應要比之前快上許多，在隔日4月3日就修正，而這樣的回應速度讓Felix感到印象深刻，認為Zoom做得很好。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Mac版程式再爆爭議，授權存取攝影機及麥克風的作法有疑慮</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611%EF%BC%892020-03-30_ZoomSuck_3.jpg" style="width: 600px;" /></p> <p>專門研究macOS安全性的Patrick Wardle（網路暱稱為Objective-See），他從Felix Seele的發現找出其他問題，在他得知Mac版Zoom安裝程式可以調用AuthorizationExecuteWithPrivileges API來執行各種特權安裝任務後，他<a href="https://objective-see.com/blog/blog_0x56.html">在30日於部落格上公布相關發現</a>，說明蘋果其實已經不建議使用這種不安全的API，因為它不會驗證將要執行的binary，而這將導致權限升級漏洞。再者，他發現Zoom請求使用者給予該程式存取攝影機及麥克風的權限時，含有排除條款，這將允許惡意程式注入該程序。後續，Zoom在4月2日表示修復該漏洞。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">多起隨意闖入Zoom會議的事件發生，引起FBI警告</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612%EF%BC%892020-03-30_ZoomSuck.jpg" style="width: 600px;" /></p> <p>隨著視訊會議系統的使用量爆增，趁機攻擊與干擾會議進行的亂象也日益嚴重。<a href="https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic">FBI針對所有視訊會議平臺的挾持行為發出警告</a>，不過，他們舉出的案例都是與Zoom平臺有關。對此狀況，FBI也出面提供指南，包括舉行的會議或課程不要設為公開，並建議落實會議主持人管理等措施。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月31日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">又被踢爆全程加密只限文字傳輸，卻不包含視訊與音訊</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9613%EF%BC%892020-03-31_ZoomSuck_2.jpg" style="width: 600px;" /></p> <p>國外媒體<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">The Intercept爆料，指出Zoom宣稱採用全程加密技術</a>，然而，只有文字傳輸真正使用普遍認知的全程加密技術，在視訊與音訊的傳輸，只透過TCP與UDP進行加密，Zoom也坦承有此事，外界則批評有誤導之嫌。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美國NASA與SpaceX率先表示禁用Zoom</span></strong></p> <p>根據國外媒體<a href="https://www.reuters.com/article/us-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUSKBN21J71H">路透社報導</a>，Elon Musk創辦的火箭公司SpaceX將禁止內部使用視訊會議軟體Zoom，該公司認為Zoom帶有顯著的隱私及安全問題。同時，該報導還指出，美國國家航空暨太空總署（NASA）發言人Stephanie Schierholz也表示，已禁止員工使用Zoom。而根據路透社掌握的文件內容，SpaceX是在3月28日發出的電子郵件中，告知員工即日起就不能使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">針對接連不斷爆出的資安事件，Zoom CEO出面道歉！</span></strong></p> <p>在<a href="https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/">Zoom官方部落格上，Eric S. Yuan</a>出面為安全漏洞道歉，承諾即刻停止新功能的開發，並將所有資源致力於安全及隱私方面的改善。針對外界的質疑與揭露，他指出，因為平臺上爆增的用戶數，已超越Zoom原本的規畫，他並說明目前的改善現況，包括修補了與臉書分享使用者資訊的隱私問題，提供避免外人闖入會議的建議，同時，他們還更新了有關資料蒐集的隱私政策。此外，他們也移除了與會者專注度的追蹤功能，以及緊急修補了Mac及Windows版的Zoom程式安全漏洞。另外，對於平臺上有關加密的能力，他們也發表專文說明，當中也坦承他們並沒有真正做到普遍認知的全程加密。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月3日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">加拿大多倫多大學市民實驗室公布新研究報告，再度揭露Zoom重大安全問題</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9616%EF%BC%892020-04-03_ZoomSuck_2.jpg" style="width: 600px;" /></p> <p>加拿大多倫多大學市民實驗室（Citizen Lab）的研究人員<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">公布對Zoom的資安研究</a>，他們指出3大發現，例如，在資安白皮書所聲稱的安全性，與實際有相當程度的落差，甚至有誇大之嫌，他們表示，根據Zoom在白皮書中的描述，Zoom能使用256位元的AES演算法於應用程式層，來加密所有呈現的內容，實際卻只使用單一的AES-128金鑰，而且是採用多數專家不建議的ECB模式。同時，他們還發現會議金鑰偶爾會傳到中國伺服器的問題，並指出擔心Zoom可能有受制於中國政府要求的風險。</p> <p>在此一研究報告出爐後，Zoom創辦人袁征很快發表回應，表明他們通常是以用戶位置來決定所使用的資料中心，但今年2月，他們為了因應突增的用戶需求，緊急在中國增加資料中心的容量，匆忙中，不慎把兩個位於中國的資料中心，加入了備用白名單，才會造成美國服務連往中國伺服器的情況，該問題現已修正。至於加密的議題，袁征表示，這是Zoom在儘量滿足最多使用案例並兼顧加密而採行的設計，他們將廣納外界意見，並與第三方專家討論，以找出合適的解決方案。</p> <p>後續，在<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">4月13日，Citizen Lab又在其官方網站發出中文版的補充說明</a>，特別指出先前研究報告中，可能被外界容易誤解的部分，同時，他們也說明在4月8日新揭露的Zoom等候室功能漏洞，並說明該漏洞Zoom已在7日完成修補。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月4日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美國紐約學校將禁用Zoom</span></strong></p> <p>在教育領域，美國紐約學校首先傳出將要禁用。根據美國媒體CNN的報導，指出紐約市教育局發言人Danielle Filson正指示當地學校，盡快停止使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月6日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣中華電信宣布停售原先配合的服務方案</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9619%EF%BC%892020-04-06_ZoomSuck.jpg" style="width: 600px;" /></p> <p>隨著近期Zoom資安漏洞與安全疑慮不斷被報導，臺灣<a href="https://www.cht.com.tw/zh-tw/home/cht/messages/2020/msg-200406-182000">中華電信宣布</a>先停售已提供多年的Zoom視訊會議服務方案，待資安疑慮釐清。而在中華電信Dr.APP的企業服務網站上，原本提供的Zoom服務方案頁面也已撤下。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月6日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">澳洲國防機構指示人員禁用Zoom</span></strong></p> <p>在美國NASA之外，澳洲的國防單位也傳出禁用的消息。根據澳洲媒體The Australian的報導，當地禁止國防人員使用Zoom來進行視訊會議，主要是擔心國外敵人或惡意人士可能透過Zoom的安全漏洞，發動攻擊或進行滲透。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月7日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣政府下令公務機關不應用Zoom，同時教育部也發函學校禁用</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9620%EF%BC%892020-04-07_ZoomSuck.jpg" style="width: 600px;" /></p> <p>行政院資通安全處發出<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/9d2f8e8e-c8a6-4e1d-a9fe-68c3edb8ef72">公告</a>，指出臺灣已在2019年正式實施資通安全管理法，對於各公務機關及特定非公務機關而言，應依規定落實資通安全應辦事項，並應以國內產品及共同供應契約所列品項為優先，各機關若因業務需求召開視訊會議，不應使用具有資通安全疑慮的產品，例如Zoom。在此同時，教育部也宣布也將發函國內各校禁用，但是這在教育界引起相當大的爭議，包括禁用命令太晚，以及教育單位禁用的必要性。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月7日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">暗網中有352個Zoom帳號被駭客公布</span></strong></p> <p>視訊會議Zoom的資安事件持續延燒，又有媒體根據<a href="https://twitter.com/CyberSixgill/status/1247224550808584196">以色列網路情報公司Sixgill透露的消息</a>，指出在4月1日的暗網上，就有352個Zoom帳號被公布，包括會議ID、密碼、Email，以及主持人金鑰與名字，當中並有少數是企業帳號。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月8日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">在宣布以90天強化產品資安後，Zoom大動作公布其新的資安管理策略</span></strong></p> <p>為了要強化產品安全以及資安措施，<a href="https://blog.zoom.us/wordpress/2020/04/08/update-on-zoom-90-day-plan-to-bolster-key-privacy-and-security-initiatives/">Zoom宣布</a>聘請前臉書安全長Alex Stamos擔任外部資安顧問，並且還將找來VMware、Netflix、Uber等多家公司的CISO，來擔任Zoom資安長會議及顧問委員會成員。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月8日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Google與德外交部禁止內部使用Zoom</span></strong></p> <p>科技大廠Google也禁止員工用Zoom，根據美國媒體<a href="https://www.buzzfeednews.com/article/pranavdixit/google-bans-zoom">BuzzFeed News報導</a>，該公司在一周前就通知員工。同日，<a href="https://www.handelsblatt.com/technik/it-internet/it-sicherheit-auswaertiges-amt-untersagt-nutzung-von-zoom-auf-dienstlichen-geraeten/25726922.html?ticket=ST-2392418-b7txC5GlNvddbOSbGPtZ-ap4">德國媒體Handelsblatt</a>也報導該國外交部通知他們的員工，禁止在公家裝置使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月9日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美參議院與星國教育部跟進</span></strong></p> <p>禁用Zoom的消息不斷傳出，根據美國媒體<a href="https://www.cnet.com/news/us-senate-reportedly-tells-members-to-avoid-zoom/">Cnet報導</a>，該國參議院也要求所有的議員不要使用Zoom。同日，<a href="https://www.channelnewsasia.com/news/singapore/moe-suspends-zoom-home-based-learning-obscene-images-12626534">新加坡教育部</a>也因收到Zoom Bombing事件的報告後，宣布教師暫停使用Zoom。</p> <p><span style="color:#696969;"><strong>資料來源：iThome整理，2020年4月</strong></span></p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137058
Zoom的安全問題不只是漏洞，更是信任問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於近期Zoom爆出的許多隱私與安全漏洞，儘管Zoom已經承諾要在90天內強化資安，當中一些漏洞也已及時修補，不過，到底Zoom有哪些安全問題是真正值得注意呢？</p> <p><span style="font-size:28px;"><strong>Zoom在加密上的作法，最受質疑</strong></span></p> <p>在這一連串的事件中，最引發關注的資安疑慮，就是在Zoom平臺加密方面所被揭露的安全問題，外界認為其該公司宣稱的產品安全能力，與實際不符，有誤導與欺騙的問題存在，還有加密作法不夠周延，以及其他地區的會議金鑰會由中國資料中心傳遞等問題，都讓各界對於Zoom抱持不信任的態度，因為這意味著，Zoom過去在本身的安全設計與心態上，可能有很大的問題。</p> <p>例如，有一家以調查新聞見長的媒體The Intercept在3月31日爆料，<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">指出Zoom號稱採用的全程加密技術</a>（End-to-end encryption，E2EE），然而，Zoom雖在文字傳輸上確實做到此事，但視訊與音訊的傳輸，卻只是透過TCP與UDP進行加密。對此問題，Zoom坦承此事，除了解釋他們不會建立視訊相關解密機制，也沒有要刻意誤導使用者，因為在用戶端到伺服器端，以及伺服器端到用戶端，即使中間透過Zoom伺服器，分別還是有加密保護。</p> <p>但這還是讓外界質疑，將讓使用者誤以為該平臺所有會議內容的傳遞，都是採全程加密，明顯有誤導之嫌。</p> <p>另一事件，也與Zoom的加密有關。根據加拿大多倫多大學市民實驗室（Citizen Lab）在4月3日的研究報告，再度指出類似的問題。<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">他們的研究人員發現</a>，Zoom的說明文件雖然宣稱其應用程式是使用AES-256加密法來保護通訊內容，但經測試發現，所有與會者都是使用同一把AES-128金鑰，來加解密視訊與音訊內容，並是在ECB模式下。此外，雖然該白皮書也有提及AES-128的加密，但指的只有是應用在手機SIP註冊認證及VoIP上。</p> <p>這次的發現，除了再抓包Zoom可能誇大其服務的安全性，還有一個嚴重的問題被突顯出，那就是ECB模式加密。他們的研究人員指出，這是不建議使用的加密模式，因為不夠安全，在加密後仍有很大的明文特徵會被保留（<a href="https://zh.wikipedia.org/wiki/%E5%88%86%E7%BB%84%E5%AF%86%E7%A0%81%E5%B7%A5%E4%BD%9C%E6%A8%A1%E5%BC%8F#%E7%94%B5%E5%AD%90%E5%AF%86%E7%A0%81%E6%9C%AC%EF%BC%88ECB%EF%BC%89">關於ECB模式缺點請參閱維基百科</a>），這也顯示該公司在加密方面，並沒有經過良好的設計與實作。</p> <p>對此，就連被譽為資安大師的密碼學專家Bruce Schneier也提出看法，他覺得使用AES-128沒問題，但用ECB模式並不可取，表示該公司無人了解密碼學。</p> <p>Citizen Lab還發現，在有些案例中，即便Zoom的與會者皆位在北美，卻有由中國伺服器產生及遞送金鑰的狀況。</p> <p>同時，該報告也闡述了相關風險，說明他們雖然沒有證據指出中國或其他國家當局取得Zoom會議的加密金鑰，但也說明，如果透過位於中國的伺服器來傳遞金鑰，在中國的體制下，將能要求Zoom揭露這些金鑰，這對不同國家的用戶來說，都是很大的風險。因此，他們也明確表示，如有高機密和隱私的通訊需求，並不建議使用Zoom。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89P7_%20Zoom%E7%9A%84%E5%AE%89%E5%85%A8%E4%BF%A1%E4%BB%BB%E5%95%8F%E9%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Citizen%20Lab(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89P7_%20Zoom%E7%9A%84%E5%AE%89%E5%85%A8%E4%BF%A1%E4%BB%BB%E5%95%8F%E9%A1%8C.jpg" style="width: 600px;" /></p> <blockquote><p>加拿大多倫多大學市民實驗室（Citizen Lab）在4月3日公布的Zoom的通訊安全分析中，除了指出該平臺使用非業界標準的加密法來加密線上會議等問題，同時也針對Zoom這家設在美國矽谷，卻有著中國背景的公司，指出相關隱憂。他們提到，在Zoom最新的文件中，顯示該公司在中國有三間公司，共約700名員工，負責Zoom程式的開發，以及該公司建立的73個伺服器中，有68個位於美國，其他5個位於中國。</p> </blockquote> <p><span style="font-size:28px;"><strong>曾在個人端電腦進行奇怪行為，讓人覺得別有居心</strong></span></p> <p>事實上，在之前發現的資安問題與漏洞中，我們也可以看到Zoom在欺騙行為上，已有前例。例如，在去年7月資安研究員<a href="https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5">Jonathan Leitschuh揭露Zoom的安全漏洞</a>時，就指出Mac版的Zoom程式會在電腦中安裝了一個本地主機網頁伺服器（Localhost），如果用戶曾經安裝過Zoom，之後又解除安裝，而該Localhost將讓用戶瀏覽網頁時，可將用戶端程式重新安裝回電腦上。</p> <p>還有，今年4月<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">網路安全公司VMRay研究人員Felix Seele的發現</a>中，也指出Mac版Zoom安裝程式的問題，例如，在安裝前跳出的訊息是：「此一執行將確定能否安裝程式」，但它並不只是檢查硬體的相容性，還會執行完整的安裝。此外，在需要管理權限才能安裝的情形下，Zoom跳出的訊息是「系統需要你的權限進行變更」，Felix Seele認為這樣的文字描述，給用戶的感覺是作業系統的需求，但應該是Zoom需要你的密碼才能更新既有程式。</p> <p>對於這些資安事件，資安大師Bruce Schneier也提出看法，他將Zoom的問題分成3大類型，包括：不良的隱私慣例、不良的安全慣例，以及不良的使用者設置。當中指出，該公司其實收集了很多用戶資料，並且藉由這些資料來牟利，並認為Zoom的安全決策相當糟糕，他相信還有更多軟體漏洞問題要改善。</p> <p>無論如何，綜觀上述這些Zoom的安全問題，直到被揭露後才修正，都讓使用者對於Zoom的安全充滿疑慮。如同現代人會重視食安問題一樣，黑心食品會遭拒買，而產品資安上的信任其實也是同一道理。</p> <p>對於資安，除了重視產品資安事件應變，資訊揭露透明，這次事件也突顯出，業者在安全設計上的草率，以及一些看似投機取巧、欺騙的手法，在事情曝光之後，不論是有意或無意，需要花更多成本來挽回使用者信心，都讓公司品牌形象大受傷害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-13_162539(1).jpg" style="width: 600px;" /></p> <blockquote><p>被譽為資安大師的密碼學專家Bruce Schneier對近期Zoom的安全問題提出他的觀察，簡單來說，<a href="https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html">他將問題分為三大類</a>：第一，不良的隱私慣例（bad privace practices）；第二，不良的安全慣例（bad security practices）；以及第三，不良的用戶配置（bad user configurations）。當中他針對指出Zoom在隱私政策的新舊版上的問題，並引用<a href="https://blogs.harvard.edu/doc/2020/03/28/more-zoom/">Doc Searls</a>對Zoom在隱私上見解，同時他對於Zoom使用ECB模式加密，認為該公司竟沒人懂密碼學。</p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>公務機關為何火速禁用Zoom？行政院資安處透露其考量</strong></span></span></p> <table align="right" border="0" cellpadding="3" cellspacing="3" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-%E7%B0%A1%E5%AE%8F%E5%81%89_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>行政院資安處處長簡宏偉　</strong></span>攝影／洪政偉</p> </td> </tr></tbody></table><p>在這次Zoom的安全風暴下，全球接連傳出有政府單位或企業要禁用該軟體的消息。例如，在3月底就傳出美國SpaceX、NASA禁用Zoom的消息，原因是該軟體有顯著的私隱及安全問題，而Google也同樣是禁用，他們認為該工具未符合內部使用程式的安全標準。而後續，又還有其他國家單位陸續禁用Zoom的消息。</p> <p>在臺灣，我國行政院資安處在4月8日也已宣布，遠端視訊應以國產品及共同供應契約品項為優先，不應用Zoom，而教育部也通函各校禁用，推薦其他6款替代產品。</p> <p>只是，這次禁用事件在國內教育界引起不小的反彈聲浪，像是臺大教授葉丙成的言論也在這段期間成為焦點，其中多數人對禁用會表反對意見，主要是因為很多學校的老師與學生，都開始學習用Zoom線上教學，還有線上教學沒有機密內容。</p> <p>對於這樣的爭議，我們也詢問行政院資安處處長簡宏偉，他提到禁用決策時的關鍵考量。關於這次決定，他們其實已經評估一陣子，隨著情資越來越多，也是到了讓他們覺得不能不處理的地步，認為該產品已具有高風險，因此要大家不應該用。</p> <p>同時，他並從國家對於法治的觀念來談安全問題，在普遍民主法治國家中，國家是依法行政，法律會告訴政府什麼能做及什麼不能做，但對於有些國家而言，法治是協助政府，因此站在行政院資安處的立場，應該是要謹慎。</p> <p>對於教育單位，簡宏偉表示，在資安管理法通過後，之前未在資安防護或規範的對象，多數對於資安法並不清楚，像是他們發現很多學校在談個資與隱私，但較少談資安。他並舉例，像是去年發生學校郵件伺服器被入侵，遭長期監控多年的狀況，也有老師受政府委託做政策研究等情形，他藉此說明，教育領域同樣需要資安防護，而從政府與社會的層次來看，也都是整體資安防護的一環。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137076
教育部閃禁Zoom，讓學校措手不及！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受武漢肺炎疫情影響，各級學校在近兩個月內陸續展開遠距教學演練，臺北市更有高中、大學因停課緣故大規模使用線上視訊服務。然而，就在師生日益熟悉線上視訊工具時，行政院在4月7號發函各公務機關禁用Zoom，教育部也隨之以資安隱私顧慮為由，無預警要求各校禁用Zoom來視訊教學，並同步移除教育雲線上教學包中推薦的Zoom使用說明文件，對各級學校產生不同程度的衝擊。</p> <p><span style="font-size:28px;"><strong>部分國高中小學遠距視訊授課需緊急重學</strong></span></p> <p>對國高中小學來說，大多學校為了學生的學習便利性，僅主推一種視訊教學平臺，讓學生只需要學會一種市面上的視訊服務即可，而Zoom因其免費易用的特性，加上教育部大力推廣，採用者不在少數。但在政策發布後，部分學校的遠距教學將被迫緊急重新適應。</p> <p>比如說，臺北市19所國高中小學大規模使用的線上教學平臺酷課雲，原先就是內建了Zoom、Adobe Connect兩款視訊服務，臺北市教育局近期更因應爆量的直播授課需求，緊急短租了150間Zoom線上教室的授權，但教育部禁用Zoom之後，酷課雲的Zoom教室也只能停用，目前只剩90間Adobe Connect線上教室。</p> <p>儘管臺北市教育局資訊教育科科長陳秉熙認為，停用Zoom對酷課雲的影響不大，「因為150間Zoom只有短租兩個月，而且停課高中原先使用教室就是Adobe Connect。」但是，陳秉熙也坦言，因Zoom禁用緣故，北市教育局也正在研擬新的直播授課方法，要改讓各校彈性選擇市面上免費的視訊服務，比如Microsoft Teams、Cisco WebEx、Google Meet等，再由老師將直播教室的連結代碼貼到課程區，讓學生連出平臺上課。「這個好處是，老師不用再受限於酷課雲預設的直播軟體，我們也不用擔心直播教室數不夠的問題。」</p> <p>不過，陳秉熙也說，由於其他廠牌的視訊服務沒有內建在酷課雲，老師無法從酷課雲後臺直接看到學生的出席狀態，因此，需要在課堂中落實點名，來作為學生出席的依據。同時，老師也可以結合酷課雲派送作業、上課素材、試題來跟學生互動，藉此從後臺觀察學生的學習狀況，學校也可以進一步從後臺了解全校師生的互動情形。</p> <p>而對於臺北市以外的國高中小學來說，大多是自由選用不同廠商的視訊服務，再搭配教育部教育雲的教學資源來直播上課。</p> <p>比如新北市的樹林高中，選擇在校內推動Google Meet，「因為我們老師可以用自己的校務行政系統帳號，登入新北市親師生平臺，裡面可以直接使用Google的應用程式。」樹林高中教務處主任吳錦琇表示，由於校內主推Google Meet，所以受政策影響較小。</p> <p>然而，另一所位於基隆的中山高中就沒這麼幸運，「教育部宣導要線上教學的時候，我們找人來校內上課，老師也去縣市政府研習，所以大家對於Zoom的使用方法比較熟悉。」中山高中教務主任許釋霞表示，為了讓師生盡快上手，學校官網也放上Zoom的使用教學，最近遠距教學演練也多用Zoom進行。教育部臨時宣布停用後，除了要再找合適的平臺，還要找時間重新演練，「而且教育部認為Zoom有資安問題，那其他選擇就真的沒問題嗎？我們也在觀望。」</p> <p><span style="font-size:28px;"><strong>大專院校也受波及，政大上百場視訊會議急換平臺</strong></span></p> <p>不只中小學受影響，禁用Zoom的政策也波及不少大專院校。比如政大電算中心教學研究組組長張鋤非就苦笑：「對我們的影響可大了。」政大近一個月，已經熟悉用Zoom進行直播教學演練，不只教學、各類會議，甚至連4月14號開始的招生面試，都預定以Zoom作為視訊溝通工具，「已經納入排程的課程或會議就有100多場，將全部受到影響。」</p> <p>Zoom停用後，由於政大師生均有G Suite帳號，因此Google Meet成為接下來的視訊服務首選。另外，政大的WM5及Moodle教學平臺中，原先就有採購線上視訊服務JoinNet，同一時間所有會議的人數上限為200人。因此，電算中心也正在跟JoinNet申請擴充同時上線人數，預計增加到1,200人，「這是考量到網頁伺服器及網路頻寬的可負載上限，來讓師生使用。」張鋤非說。</p> <p>相較之下，臺大採用了訊連的線上視訊服務U會議，以及簡報直播軟體U簡報，訊連提供臺大老師每人一組企業版的帳號，兩款服務分別可支持100人及500人連線，讓老師進行長時間不間斷的會議與教學；淡江大學則是一開始就選擇採用Microsoft Teams，作為視訊教學工具，來克服與中港澳學生直播教學時，所面臨的中國連外網路被封鎖問題。由於一開始選擇的線上視訊服務並非Zoom，兩所大學較無受到此次政策的影響。</p> <p>對於停用Zoom的政策，教育部網路及資通安全科科長王東琪說明，教育部是基於保護學童隱私安全的考量，為了避免個資或隱私外洩，才建議各級學校全面停用Zoom，而且，教育雲也提供多種視訊服務的教學指引給老師參考，如Microsoft Teams、Google Meet等，「只是現在是陣痛期，本來熟悉Zoom的老師，需要時間去熟悉其他工具。」</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>禁用Zoom政策為何受到教師反彈？</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BF%81%E8%8A%8A%E5%84%92-%E8%91%89%E4%B8%99%E6%88%90%E8%B2%BC%E6%96%87-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%91%89%E4%B8%99%E6%88%90.jpg" style="width: 501px;" /></p> <p><span style="color:#696969;"><strong>臺大電機系教授、同時為教育軟體新創幫你優（BoniO）執行長葉丙成，擁有長期推動中小學數位教學的經驗，也在臉書上發文，表達對教育部禁用Zoom決策的態度。</strong>（圖片來源／葉丙成）</span></p> <p>教育部以資安隱私顧慮為由，無預警要求各校禁用Zoom來視訊教學，引起許多老師反彈。臺大電機系教授、教育軟體新創幫你優（BoniO）執行長葉丙成，同時也是實驗教育機構Bts無界塾的創辦人，就以自身推動中小學數位教學的經驗，在臉書上說明推動遠距教學的難處。</p> <p>葉丙成舉例，他4月9日在臺大授課時，曾在課程開始5小時前，才臨時宣布改用其他線上視訊服務，但5小時後，學生都成功上線上課，這是因為，「身為大學教授，我們面對的是數位能力甚至比我們更優秀的大學生。」然而，相較於中小學教育的處境，情況有很大的不同。中小學的數位教育現場，老師不只要先學會，還要負責教會全班的學生跟家長，「光是帳號密碼問題就會搞到你要瘋掉。」更別提中小學城鄉之間、不同世代老師之間的數位落差，「這是沒跟中小學教育現場接觸過的人難以想像的。」</p> <p>在這個處境下，葉丙成表示，剛開始推動遠距直播教學時，就已經耗費許多老師的心力，好不容易師生學會用Zoom之後，又因教育部的Zoom禁令，不僅受影響的師生要為此重學一套新的線上視訊服務，本來就不願改變教學方法的老師，也會有更多理由來推託、變得更難說服。</p> <p>「如果說服不了老師再動起來，臺灣接下來一個月內萬一停課，會有很多學校沒有能力再進行視訊教課。」</p> <p>因此，葉丙成認為，禁用Zoom的問題在於，決策者是否衡量中小學教師提前部署所做的努力與困境？禁用Zoom之後，若數位教育推動者難以說服老師再動起來，萬一疫情急轉直下導致停課，「最糟的是學生可能學習停擺不只半個月，而是一個月以上，這是真正讓我們擔心的問題。」</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者翁芊儒https://www.ithome.com.tw/news/137077
【隱私與資安漏洞頻傳，深陷信任危機】為何Zoom資安受到各界質疑？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/969-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=DAZeIXBd" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年3月下旬開始，各家遠距視訊會議用戶大增，但Zoom的資安疑慮也浮上檯面，甚至新的隱私問題、資安漏洞連續被爆出，這也使得各國政府與企業下達禁用令，到底Zoom在產品資安上出了什麼樣的問題，使得大家對它失去信任？</p> </div></div></div>
2020/4/20 09:00未署名https://www.ithome.com.tw/article/137078
短影片社交軟體抖音驚傳流量傳輸未加密，恐造成中間人攻擊，並藉此傳送假訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎持續在各地延燒，許多國家相繼採取居家隔離措施，使得能快速發布影片的社交軟體使用量大增，這些應用系統的安全也格外受到關切。例如，因大受美國民眾歡迎的短影片社交軟體抖音（TikTok），最近被兩名行動裝置開發者Tommy Mysk和Talal Haj Bakry發現，手機的應用程式下載影音內容的過程，並未經由加密的HTTPS協定保護，很有可能導致所謂的中間人攻擊（MitM），駭客能夠藉此冒用名人或是國際組織的名義，來散布不實的訊息。因此，他們呼籲字節跳動（ByteDance），要正視這個問題。</p> <p>這兩名開發者指出，所有擁有大量使用者的社群媒體，都是仰賴內容傳遞網路（CDN）來大量發送資料到全球各地，抖音也不例外，但是他們使用免費的網路封包分析軟體Wireshark分析流量後發現，抖音的CDN使用了HTTP協定，來傳送影片和其他的資料到用戶手機。他們測試了iOS的15.5.6版與Android的15.7.4版抖音App，都出現上述沒有使用加密措施來保護網路流量的情況。這些未加密傳輸的內容，包含了影片、影片預告畫面，以及用戶帳號的頭像等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-dns-http-wireshark.png" style="width: 580px;" /></p> <blockquote><p>兩名行動裝置開發者Tommy Mysk和Talal Haj Bakry透過Wireshark發現，抖音的內容傳遞網路（CDN）竟使用了未加密的HTTP協定，來傳送影片到用戶端。</p> </blockquote> <p>這種漏洞如果遭到濫用，駭客能夠藉此從中竄改用戶端下載的內容，特別是影片的部分。為了驗證可能會帶來的影響，Tommy Mysk和Talal Haj Bakry事先準備了一系列偽造的影片，並且上架到假的抖音CDN伺服器，然後引導手機應用程式到假的CDN伺服器下載影片，手機的使用者便會看到他們所準備的假內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FakeTiktokMov-Figure4.png" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FakeTiktokMov-Figure5.png" style="width: 280px;" /></p> <blockquote><p>兩名行動應用程式開發者發動了概念驗證攻擊，向用戶端抖音App傳送假的影片內容，像是冒名美國歌手Loren Gray的貼文，宣稱吸煙能殺死武漢肺炎病毒，或者是以世界衛生組織的名義，指出洗手過於頻繁會導致皮膚癌等不實訊息。</p> </blockquote> </div></div></div>
2020/4/19 23:59作者周峻佑https://www.ithome.com.tw/news/137083
Google：Gmail每天擋下1,800萬封與武漢肺炎有關的惡意郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/protecting-against-cyber-threats-during-covid-19-and-beyond" target="_blank">Google揭露</a>，Gmail平均每天都要攔截超過1億封的網釣郵件，而過去一周以來，在每天擋掉的網釣或惡意郵件中，就有1,800萬封與武漢肺炎（COVID-19）有關。</p> <p>Google表示，網釣威脅是早就存在的，且跟武漢肺炎疫情有關的網釣郵件也不算新鮮事，駭客只是在全球把注意力都集中在疫情時，變更既有攻擊行動的主題罷了。</p> <p>不過，Google公布了最常見的網釣郵件以供外界參考。其中一個是仿冒成世界衛生組織（WHO）或其它官方組織的郵件，內容可能是要求使用者捐款，或是開啟含有惡意程式的附加檔案。</p> <p>還有一種網釣郵件是鎖定在家工作的使用者，偽裝來自企業的管理部門，要求使用者輸入個人資料；另一種則是針對小型企業，偽裝成要提供紓困方案的政府組織，要求收件者下載含有惡意程式的附加檔案；或是假裝是被隔離企業的潛在客戶，宣稱無法與企業聯繫，要求收件者下載惡意檔案。</p> <p>總之，駭客針對有意捐款的民眾、在家工作的民眾，以及受疫情影響的企業，都編造了不同的故事，來吸引收件者輸入機密資訊或下載惡意檔案。</p> <p>因此，Google規勸Gmail用戶不要下載來路不明的附加檔案，或是以Gmail內建的文件預覽工具來檢視檔案；在要造訪郵件中的連結時，仔細檢查網址的正確性；也應在收到網釣郵件時予以檢舉。</p> <p>除了每天有1,800萬封與武漢肺炎有關的惡意或網釣郵件之外，Gmail每天攔截的、與武漢肺炎有關的垃圾郵件更超過2.4億封。</p> </div></div></div>
2020/4/19 16:15作者陳曉莉https://www.ithome.com.tw/news/137082
AWS更新Snowball Edge裝置提升1倍運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-snowball-edge-update/" target="_blank">AWS更新其資料遷移與邊緣運算裝置Snowball Edge</a>，採用運算能力更好的晶片擴充記憶體，並增加額外的管理工具。</p> <p>Snowball Edge為AWS在2015年推出的裝置，是Snowball系列裝置，具有機載儲存以及部分AWS服務的運算能力，讓用戶在偏遠或是網際網路連線不穩定的地方，可以使用Snowball Edge裝置先收集資料，將資料進行機器學習、處理或是儲存，然後將Snowball Edge裝置送回AWS。多臺Snowball Edge可以組成叢集，供用戶建置大規模的臨時系統。</p> <p>Snowball Edge依功能分為兩種，一是專為儲存最佳化的裝置，另一種Snowball Edge則是為運算最佳化，這次AWS更新了為儲存最佳化的Snowball Edge，使用新硬體提高1倍的處理能力，並將資料傳輸速度提高25％；原本為儲存最佳化的Snowball Edge只有24個vCPU，現在升級為40個vCPU，而記憶體本來為48 GB，而新版本則有80 GB。</p> <p>AWS提到，該裝置現在使用時脈達3.2 GHz的處理器，代表使用者可以在Snowball Edge中啟用高規格的EC2執行個體，執行更複雜的資料預處理以及分析工作；為儲存最佳化的Snowball Edge提供80 TB供資料處理和資料轉換工作負載之用，額外還有SATA固態硬碟1 TB的容量，供EC2執行個體在裝置上啟動之用；該裝置搭載100 Gigabit QSFP28網路配接器，可大幅改善網路傳輸速度。</p> <p>用戶可以串接12個為儲存最佳化的Snowball Edge形成叢集，以創建單一S3相容的儲存桶，達到將近1 PB的資料儲存空間，還可在其上執行AWS Lambda服務。</p> <p>另外，Snow系列的裝置現在可以使用圖形介面應用程式AWS OpsHub，來管理Snowball Edge裝置，進行解鎖和配置裝置等操作，用戶只要利用拖放操作就能複製資料、啟動應用程式、監控裝置指標和自動化例行性操作。AWS OpsHub可在Windows或Mac上安裝，即便沒有網際網路連線也能順利運作。</p> <p>用戶現在還可以使用基於使用者的IAM政策，控制Snowball Edge裝置上服務與資源的存取，當多用戶存取同一裝置，IAM政策可以良好地管理每個用戶的權限。而AWS Systems Manager現在也支援Snowball Edge裝置，AWS Systems Manager可以自動化例行性的維護以及部署工作，用戶可以使用Python或PowerShell撰寫腳本，放到AWS OpsHub中執行。</p> </div></div></div>
2020/4/19 16:30作者李建興https://www.ithome.com.tw/news/137062
Google開源Kotlin gRPC專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/application-development/use-grpc-with-kotlin" target="_blank">Google開發了可用於JVM語言Kotlin的gRPC專案</a>，讓開發者可以在Kotlin專案中方便地使用gRPC，以更簡單的方式建構可靠的網路連接服務，Google現在將這個專案對外開源。</p> <p>gRPC是Google所發起的開源遠端程序呼叫框架，該框架建立於HTTP/2協定之上，使用Protocol Buffers作為介面描述語言，gRPC可透明化用戶端和伺服器端應用程式間的通訊，簡化建立連接系統的工作，其支援多種程式語言，包括C++、Java、Objective-C、Python、Ruby、Go、C#與Node.js等。而遠端程序呼叫（Remote Procedure Calls，RPC）則是一種協定，讓程式能向網際網路上另一個應用程式發送服務請求。</p> <p>Google在2015年的時候開源了自家開發的gRPC框架，其自家雲端產品和微服務也都有使用gRPC，多家知名大型企業包括CoreOS、Lyft、Netflix、Cisco、Juniper等，也都以gRPC架構，來加速服務效能或串流遙測資料。2017年的時候，Google將gRPC框架貢獻給雲端原生運算基金會（Cloud Native Computing Foundation，CNCF），成為CNCF第6個開源專案。</p> <p>現在Google開源了Kotlin gRPC專案，讓開發者可以結合Kotlin和gRPC，開發行動應用程式以及雲端微服務，Google提到，這個專案是建構在gRPC的Java API之上，支援Kotlin協程（Coroutine），對Kotlin專案更加友善。</p> <p>gRPC Kotlin可用來建置在無伺服器運算平臺Cloud Run上執行的服務，開發者可以在Cloud Run上部署非串流gRPC Kotlin服務。而在支援串流gRPC的環境，開發者也能以Kotlin非同步Flow API使用串流gRPC。</p> <p>開發者想在專案中加入gRPC Kotlin，則需要一併添加生成器與grpc-java配置。目前gRPC Kotlin仍在測試階段，初始版本為0.1.1版本，開發者有任何使用上的問題，可在開發專案儲存庫中回報，協助專案發展。</p> <p>Kotlin為Google力推的程式語言，是一種在Java虛擬上執行的靜態型別程式語言，其被設計成可以與Java互通，並且能使用Java參照的函式庫，在2019年，Google已經指定Kotlin成為Android平臺的第一開發語言，Jetpack API和功能都將優先提供Kotlin版本。</p> </div></div></div>
2020/4/19 16:35作者李建興https://www.ithome.com.tw/news/137063
Amazon著手打造武漢肺炎病毒檢測實驗室，期望對所有員工展開定期檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Amazon創辦人暨執行長貝佐斯（Jeff Bezos）<a href="https://blog.aboutamazon.com/company-news/2019-letter-to-shareholders" target="_blank">給公司股東的公開信</a>，當中描繪了Amazon應對武漢肺炎（COVID-19）的方式、如何維護消費者的權益、對環保的承諾、改善員工福利的措施，並宣布正在著手打造武漢肺炎病毒檢測實驗室，打算對全球的84萬名員工展開定期檢測。</p> <p>貝佐斯表示，Amazon諮詢了衛生當局與醫學專家，在全球的物流中心分發口罩並替員工量體溫，展開全面的消毒工作，同時在工作期間導入了社交距離措施，保護員工的下一步應該是替所有Amazon員工進行定期檢測，包括沒有症狀的人，若能替所有產業進行定期檢測，還能恢復經濟活力。</p> <p>然而，要對所有人展開定期檢測需要更多的檢測能力，因此，Amazon已開始建立增加檢測能力的作業。</p> <p>現在Amazon已建立一個檢測專案團隊，召集了內部的研究科學家、專案經理、採購專家及軟體工程師，而且已開始組裝檢測實驗室所需的設備，希望能儘速開始替前線員工進行病毒檢測。</p> <p>貝佐斯說，初期只能展開小規模的檢測，他並不知道這個專案能夠執行多久或有多大的成效，但此事值得一試。</p> <p>另一方面，為了避免商家利用疫情來剝削消費者，Amazon宣布已移除站上超過50萬個溢價商品，關閉超過6千個違反該站公平訂價策略的商家帳號，並把這些商家資訊提供給美國42州的檢察官。另也替Alexa數位語音助理設計了新功能，讓它能夠回答與疫情相關的問題。</p> <p>本周貝佐斯也公布Amazon的全球員工數已達84萬，是過去十年來全球擁有最多員工的企業，其中有59萬位於美國、11.5萬位於歐洲，還有9.5萬位於亞洲。</p> <p>對於已在全球橫行的肺炎疫情，貝佐斯引用了美國知名作家蘇斯博士（Theodor Seuss Geisel）的名言：「壞事發生時你有三個選擇，你可以讓它左右你、讓它摧毀你，或者是讓它令你變得更強大。」他將樂觀看待文明社會的選擇。</p> </div></div></div>
2020/4/19 15:30作者陳曉莉https://www.ithome.com.tw/news/137080
微軟運用AI精準標記出軟體重大安全性臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2020/04/16/secure-software-development-lifecycle-machine-learning/">微軟發表了一個人工智慧系統，可用少量的資訊精準分類臭蟲</a>，該系統能夠以99％精確度區分安全性和非安全性軟體臭蟲，並以97％精確度辨識出高優先度安全性錯誤，且還能夠容忍資料存在雜訊。這個系統已經發表成論文，微軟提到，接下來他們會在GitHub上開源該系統，並提供範例模型以及相關資源。</p> <p>應用程式總是存在不少臭蟲，因此開發人員需要篩選這些待處理的功能以及錯誤修正，優先處理緊急的項目，雖然這些過程有一些自動化工具幫助，但是微軟提到，工程師還是經常浪費時間在處理誤報的臭蟲回報上，反而遺漏真正重要的安全漏洞。</p> <p>微軟總共有4.7萬名開發人員，當在正進行的專案有100多個，每個月會產生將近3萬多個錯誤，為了更精準地解決重要的臭蟲，省下浪費的時間，微軟要用機器學習技術，提升辨識與分類安全漏洞的能力。從2001年來，微軟已經收集了1,300萬個工作項目以及臭蟲，這些資料可被用來訓練機器學習模型，辨識與分類臭蟲。</p> <p>過去也有類似的研究，利用機器學習來辨識安全漏洞，但都是基於所有臭蟲報告資訊，即使能用於機器學習模型訓練和評分工作的假設上，但是這樣的假設無疑與現實情況不符，在部分情況下，並不會有完整的臭蟲報告可以使用，像是錯誤報告可能包含密碼、個人身份資訊或是其他敏感資料，微軟提到，他們研究的其中一個重點，是希望可以使用較少的資訊，就能良好地辨識安全性臭蟲。</p> <p>另外，臭蟲儲存庫中的條目，通常存在標籤錯誤的情況，安全性問題被歸類在非安全性問題中，而非安全性問題也可能被標記為安全性問題，原因很多，可能是開發團隊缺乏資訊安全專業知識，或是問題有其模糊的地方，可能該非安全性錯誤沒有直接的安全性問題，但在間接操作下，可能存在安全隱憂。</p> <p>標籤錯誤還衍生出了一個嚴重的問題，資安專家必須要耗費時間手動檢查錯誤資料，這個過程花費的成本很大，因此微軟提到，在實作自動分類功能上，他們必須要解決用在機器學習模型的資料集，存在雜訊的這個問題，除了要了解雜訊影響分類器的情況，也要讓模型即便在資料集被雜訊污染下，仍可以強健地運作。</p> <p>微軟利用了許多安全性與非安全性錯誤的資料集來訓練模型，讓模型可對未預先分類的臭蟲回報進行分類，這些資料由安全專家審查，確保訓練資料的品質。這個機器學習模型具有兩個步驟，第一個步驟，模型會分類出安全性與非安全性錯誤，第二步則是對安全性漏洞進行關鍵、重要和低影響排名。</p> <p>微軟在這個研究中，證明了即便只利用臭蟲報告的標題資訊，也能夠精確地辨識安全性錯誤報告，微軟提到，還沒有類似的研究存在，過去的研究都需要使用完整的臭蟲報告，這對於具隱私資訊的臭蟲回報特別有用。微軟這個臭蟲分類模型能以99％的精確度，正確分類安全性漏洞與非安全性漏洞，並且能以97％的精確度，將安全性臭蟲辨識為重大與非重大安全性問題。</p> </div></div></div>
2020/4/19 15:55作者李建興https://www.ithome.com.tw/news/137056
GoPro將裁撤逾200名員工，把銷售轉移到自家網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運動相機製造商GoPro本周<a href="https://investor.gopro.com/press-releases/press-release-details/2020/GoPro-Announces-Global-Restructuring-Provides-Preliminary-Q1-Results-and-Withdraws-2020-Guidance-Due-to-COVID-19-Impact/default.aspx" target="_blank">宣布策略調整</a>，計畫在2020年減少1億美元的營運支出，準備裁減逾20%的人力，估計影響超過200名員工。</p> <p>2002年在美國成立的GoPro為全球知名的運動相機品牌，也在2016年推出Karma空拍機，但2018年就宣布退出空拍機市場，並<a href="https://www.ithome.com.tw/news/120392" target="_blank">裁撤近300名員工</a>，之後GoPro在市場上的表現就節節敗退。該公司在2014年以24美元的發行價，登上了那斯達克股市，而近期的收盤價只剩2.58美元。</p> <p>GoPro聲稱其策略調整，是為了轉型成以消費者為中心的直接銷售業務，以提高效率及獲利。GoPro創辦人暨執行長Nicholas Woodman表示，該公司的全球銷售網路都受到武漢肺炎（COVID-19）疫情的影響，使得該公司決定加速轉型到直接銷售。</p> <p>根據統計，去年GoPro.com吸引了700萬的不重覆訪客，消費者直接在該站購買商品的營收，占了歐洲市場營收的逾20%，在美國市場也占接近20%，且今年第一季的比例更高。</p> <p>不過，GoPro在關鍵市場仍會出貨給主要的零售商，以讓消費者也能透過實體商店購買。</p> <p>GoPro也公布該公司今年第一季的財報預測，預期該季可創造1.19億美元的營收，每股虧損0.3美元。</p> </div></div></div>
2020/4/19 16:05作者陳曉莉https://www.ithome.com.tw/news/137081
一周大事：臺灣社交距離App擬4月底上線。人工智慧產業化推手陳昇瑋辭世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>行政院：臺灣社交距離App擬4月底上線</strong></span></p> <p>隨著全球武漢肺炎（COVID-19）疫情加劇，各種科技防疫工具也紛紛出籠，尤其社區感染成了不可避免的風險後，不少國家或科技巨頭，開始打造社交距離偵測工具，如Google和Apple最近宣布聯手用藍牙打造接觸史追蹤技術，來減緩疫情的擴散，臺灣先前也利用科技手段，建立居家檢疫一條龍的防護流程，最近更要推出一款「臺灣社交距離App」，能用來提醒民眾是否接觸過確診或居家檢疫者，目前已經釋出Alpha測試版。</p> <p>行政院表示，這款App的開發進程，從3月就開始與臺灣AI Labs合作開發，功能也已大致完成，正在進行內部測試。未來要將這款App用於防疫，並負責後續的系統維運。</p> <p>下載臺灣社交距離App之後，用戶手機每15分鐘會自動生成一個Hashed ID，當藍牙偵測到附近幾公尺有其他人的手機時，雙方手機會記錄彼此的Hashed ID、接觸時間長度與距離，再儲存在各自的手機中。<a href="https://www.ithome.com.tw/news/136996" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>陳昇瑋腦出血突然病逝！玉山金控痛失科技長</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%99%B3%E6%98%87%E7%91%8B_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影／洪政瑋</span></p> <p>臺灣人工智慧學校於4月13日發布了一則悼文，公布臺灣人工智慧學校執行長陳昇瑋，因腦出血意外陷入昏迷後過世的消息。</p> <p>陳昇瑋在2014年創辦了臺灣資料科學愛好者年會，成了臺灣資料科學社群最重要的交流聚會，他從2017年開始大力推廣產業AI化，2018年更在中研院和多家企業支持下成立了臺灣人工智慧學校，2年來訓練了6千多位AI人才。</p> <p>玉山金控在2018年找來陳昇瑋擔任科技長，陳昇瑋一手打造了玉山金控的智能金融處近百人的團隊，展開了近百項AI專案。<a href="https://ithome.com.tw/news/136940" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺北市試辦實名制口罩自動販賣系統</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%E8%B2%A9%E8%B3%A3%E6%A9%9F_%E6%94%9D%E5%BD%B1_%E8%98%87%E6%96%87%E5%BD%AC.JPG" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影／蘇文彬</span></p> <p>臺北市政府和衛福部、新創業者業安聯手試辦實名制口罩自動販賣系統，在臺北市信義區健康服務中心設置口罩販賣機，讓民眾可使用健保卡購買實名制口罩，這套系統接下來將擴大至12個行政區的健康服務中心。</p> <p>這套自動販賣系統透過健保署開發的API介接實名制口罩系統，讓民眾在販賣機就能完成身分查核，確認可購買的口罩配額，再以行動支付或電子票證購買所需的口罩。<a href="https://www.ithome.com.tw/news/136976" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>聯手抗疫，兩大手機OS將內建藍牙接觸史追蹤技術</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%97%8D%E8%8A%BD%E8%BF%BD%E8%B9%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>蘋果和Google共同宣布合作，將用藍牙技術，來打造一套可用來追蹤武漢肺炎接觸史的匿名追蹤技術，來對抗病毒的散播，5月先釋出API讓政府機構開發搭配的系統，後續會直接內建到iPhone和Android兩大手機OS中，讓全球數十億個裝置都能支援。從iOS 13或Android 6與以後的版本，都會在5月更新後支援。</p> <p>Google和Apple如何設計匿名的接觸史比對技術？手機安裝了這個追蹤機制之後，每隔15分鐘就會產生一個亂數編號，就像是一張混亂塗鴉圖案的撲克牌，每張牌上還蓋了一個那隻手機亂數產生的一日限定戳章。<a href="https://ithome.com.tw/news/136924" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GitHub免費開放所有核心功能</strong></span></p> <p>在微軟買下GitHub之後，GitHub開始大動作祭出各種吸引使用者的作法，去年就推出了不少免費措施，今年更是積極佈局來搶攻開發者規模。最近，GitHub執行長Nat Friedman更宣布，所有核心功能皆免費對所有使用者開放，使用者將能更不受限制地進行協作開發。尤其，所有GitHub帳戶的私有儲存庫取消3人協作者的規定，不再有人數上限。<a href="https://www.ithome.com.tw/news/136998" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>星展銀一年5千名應徵者靠AI篩選</strong></span></p> <p>臺灣星展銀行上線由新加坡總部開發的人工智能招募系統JIM，藉此提高HR部門人才招募的效率。</p> <p>臺灣星展銀行人力資源處處長盧方傑指出，JIM會先篩檢應徵者投遞的履歷是否符合職缺要求，比如是否有3年工作經驗。接下來，會引導應徵者到自動化面談的關卡進行情境問答，回答職務相關問題，還會對應徵者進行心理測驗。</p> <p>整合這三類資料後，JIM再來進行初步評估，以適任度來評分。銀行招募人員就可以直接依據這個評分，優先安排得分高者，先與業務單位主管進行面試，來決定是否聘用對方。</p> <p>盧方傑強調，整合履歷、心理測驗結果，以及情境問答資料，多方面評估應徵者的能力，可以讓評估更為準確。<a href="https://www.ithome.com.tw/news/136881" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google啟用加州通臺灣的海底電纜來因應爆量</strong></span></p> <p>谷歌獲得美國聯邦通訊委員會（FCC）的許可，未來6個月內，可啟用太平洋光纖網路（Pacific Light Cable Network）中，連接加州與臺灣的海底光纖電纜，以紓緩暴增的網路流量。</p> <p>這條橫跨太平洋，長達8千英里的海底電纜，由Google和臉書共同投資，從2016年開始興建，不管是臺灣或是香港的部分其實都早已完工，但因監管疑慮，美國政府先前一直未同意啟用。<a href="https://www.ithome.com.tw/news/136856" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>支援網頁NFC感應技術的Chrome 81來了</strong></span></p> <p>Google釋出Chrome 81，首度支援Web NFC標準。Web NFC是近場通訊（Near Field Communications，NFC）技術的網頁版標準，該技術允許距離10公分之內的裝置彼此通訊，而Web NFC則讓網站能夠在該距離內讀取及寫入NFC標籤。</p> <p>目前Web NFC在Chrome 81中處於原始試用（Origin Trials）階段，這是Google在測試網路平臺新功能，還得兼顧實驗安全時所採行的方式。<a href="https://www.ithome.com.tw/news/136850" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>VMware修補vCenter Server高風險漏洞</strong></span></p> <p>四月初VMware修補了一個與vCenter Server有關的安全漏洞，此一編號為CVE-2020-3952的安全漏洞位於vmdir中，在通用漏洞評分系統（CVSSv3）的風險程度，達到最高的10分，將允許駭客竊取機密資訊。<a href="https://www.ithome.com.tw/news/136958" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>大型主機疫情期用量飆高，美國數州急徵COBOL人才</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A4%A7%E5%9E%8B%E4%B8%BB%E6%A9%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Erik%20Pitti%20on%20flickr%20(CC%20BY%202_0).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Erik Pitti on flickr (CC BY 2.0)</span></p> <p>武漢肺炎重創美國經濟，也對政府IT形成另一項挑戰：運行數十年的大型主機系統，已欠缺維護人才。例如紐澤西州以及康乃狄克州的失業補助系統，都跑在40歲的大型主機上，近來武漢肺炎衝擊之下，許多企業倒閉或裁員，導致請領失業救濟補助的人數飆升，大量作業令年久失修的系統不堪負荷，政府也面臨找不到COBOL人才的問題，而對外求援。<a href="https://www.ithome.com.tw/node/136942" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>有28個國家透過監控來抑制武漢肺炎疫情</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%96%AB%E6%83%85%E7%9B%A3%E6%8E%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Photo%20by%20Franck%20V_%20on%20Unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">Photo by Franck V. on Unsplash</span></p> <p>科技部落格OneZero觀察全球的媒體報導，發現至少已有28個國家藉由加強對人民的監控，來抑制武漢肺炎疫情，對許多政府來說，這只是權宜之計，但不少人權組織都擔心，在疫情結束後，民眾隱私權將難以復原。<a href="https://www.ithome.com.tw/news/136927" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Hangouts視訊會議軟體更名為Google Meet</strong></span></p> <p>近日Google將視訊會議軟體Hangouts Meet，悄悄更名為Google Meet，不過，沒有特別說明原因。Google是在2017年，把Hangouts拆分為Hangouts Meet與Hangouts Chat兩個產品，前者為視訊會議工具，後者則著重於文字協作，隨後即把它們納入G Suite，但會根據G Suite提供不同等級的Hangouts Meet服務。<a href="https://www.ithome.com.tw/news/136894" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺、德、美、澳公部門禁用視訊會議軟體Zoom</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%BE%B3%E6%B4%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Australian%20Defence%20Force.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Australian Defence Force</span></p> <p>視訊會議軟體Zoom因傳出隱私、安全與誇大加密等級等負面消息，而日益受到各國政府的關注。除了臺灣的行政院與教育部，已下令公務機關及各級學校不得使用Zoom之外，美國參議院、德國外交部，以及澳洲軍方，也都宣布了禁用Zoom的政策。<a href="https://www.ithome.com.tw/news/136910" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>中國本土自製勒索軟體來襲</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WannaRen_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%81%AB%E7%B5%A8%E5%AE%89%E5%85%A8.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／火絨安全</span></p> <p>最近，在中國傳出許多使用者接連到多個網路論壇反應，他們的電腦中了WannaRen的勒索軟體病毒。資安廠商表示，這是當地原本從事挖礦攻擊的駭客組織，模仿WannaCry勒索軟體的事件，濫用了美國國安局開發的EternalBlue漏洞工具，並且透過軟體下載網站來散播勒索軟體病毒。</p> <p>先前群創光電傳出電腦遭受攻擊之際，外界便有人猜測，極有可能是電腦感染了WannaRen。<a href="https://www.ithome.com.tw/news/136943" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Magecart鎖定小型電商網站攻擊</strong></span></p> <p>資安業者RiskIQ發現，1月下旬，有新的金融卡卡號側錄攻擊手法出現，已有19個中小企業網站受害。</p> <p>從這波攻擊行動所採用的手法和特徵來看，因側錄交易資料的過程中，會於網站植入iframe，RiskIQ將駭客使用的金融卡側錄工具（Skimmer）命名為MakeFrame。</p> <p>至於攻擊者的身分究竟為何人？該公司則根據MakeFrame的手法特性來判斷，認為是Magecart的第7組駭客所為，Magecart是以側錄線上交易資料而惡名昭彰的駭客組織，之前售票網站TicketMaster、英國航空遭駭事件，都是這個組織所為。<a href="https://www.ithome.com.tw/news/136919" target="_blank">更多內容</a></p> </div></div></div>
2020/4/19 12:00未署名https://www.ithome.com.tw/news/137079
Tomcat Server存在Ghostcat漏洞，有中國駭客在臺灣校園網站上傳BiFrost後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Tomcat Server被揭露的Ghostcat漏洞，已有被疑似利用的攻擊情事發生，由於Tomcat是Java開發者常用的應用伺服器之一，且這個漏洞在國內比較少被關注，還未更新修補的用戶可要特別注意。在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，用戶應儘速更新修補，用戶可升級至<a href="http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.31">9.0.31</a>、<a href="http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.51">8.5.51</a>與<a href="http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.100">7.0.100</a>版本。</p> <p>近日臺灣資安業者TeamT5指出，他們發現臺灣學術網路上的一個圖書館網站，遭到中國駭客組織HUAPI（又名為PLEAD）上傳了BiFrost後門程式，並將該網站變成惡意程式下載站。</p> <p>根據TeamT5的說明，他們是在3月接獲情資，並於該圖書館網站上發現存有惡意程式，在之後的分析調查結果中，他們發現，該網站系統使用Tomcat 7.0.73作為網頁伺服器，同時也有開啟8009通訊埠，具有Ghostcat（CVE-2020-1938）漏洞。經他們判斷，在此案例，駭客應是透過Ghostcat漏洞上傳BiFrost惡意程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/upload_138de179b305a67f8ac53a04e7a7b76f_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 600px;" /></p> <blockquote><p>今年3月，臺灣某學術網路的圖書館網站上發現存有惡意程式，Team5研究人員展開調查後，發現該網站系統Tomcat 7.0.73作為網頁伺服器且開啟8009通訊埠。</p> </blockquote> <p>對於該後門程式，在TeamT5的進一步分析中，指出其程式檔名雖是md.png，但真實的檔案格式為UNIX系統的ELF執行檔，利用PNG副檔名偽裝在Tomcat網站伺服器上。同時，他們也透過逆向分析，指出該後門程式的能力，包括上傳、下載、列舉、刪除與搬移檔案，可執行或結束程序、以及開啟或關閉遠端命令列介面程式（Remote Shell）。</p> <p>另外，他們還指出這個惡意後門程式與中繼站的連線內容，會使修改過的RC4演算法進行加密，而這樣的專屬特徵，也讓他們可辨認出此惡意程式，是由中國駭客組織HUAPI所為。根據他們在近年的分析統計，遭HUAPI攻擊的受害國家包含臺灣、美國、日本及南韓，有超過5成的受害單位是政府機關，而針對臺灣政府機關進行入侵攻擊的為多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/upload_252083b0a86403a0de983e7c0c23f7ea_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 600px;" /></p> <blockquote><p>在TeamT5的分析結果中，他們發現駭客將該惡意後門程式偽裝為PNG的ELF執行檔。</p> </blockquote> <p>特別要注意的是，這樣的事件暴露出Ghostcat漏洞的風險。TeamT5研究員表示，這段期間，他們已在國內多個企業與機關中，發現數十臺Tomcat Server都存在Ghostcat未修補狀況，希望企業與組織注意到GhostCat漏洞的嚴重性。</p> <p>關於這個名為Ghostcat的CVE-2020-1938漏洞，它在CVSS v3.1的分數是9.8，屬於重大風險漏洞，並影響Tomcat 9/8/7/6各版本。</p> <p>該漏洞存在於Apache JServ Protocol（AJP）中，發現該漏洞的是中國資安業者長亭科技，他們在2月20日揭露其風險。在受影響的版本中，如果用戶有開啟AJP Connector，成功利用漏洞的攻擊者，將可讀取Tomcat所有webapp目錄下的任意文件，例如像是webapp的設定檔或原始程式碼。更要注意的是，若是網站應用提供了文件上傳的功能，攻擊者將可進一步上傳含有惡意JSP腳本的檔案，進而實現遠端指令執行（RCE）漏洞。</p> <p>目前，Apache Tomcat官方網站上，在安全更新的頁面上，針對版本9.x、8.x與7.x版，他們已經發布修補的新版本。</p> <p>而過去，在2019年4月，Tomcat也曾被發現有CVE-2019-0232的嚴重漏洞，該漏洞的CVSSv3分數為9.3。</p> </div></div></div>
2020/4/18 13:33作者羅正漢https://www.ithome.com.tw/news/137074
把握關鍵2小時！基隆長庚聯手礦工醫院，要用AI布局中小醫院急救轉診網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基隆長庚醫院今（17日）宣布與礦工醫院聯手，要利用腦出血輔助判讀AI，來建置一套急救轉診網路，縮短關鍵1至2小時的轉診時間，進一步降低腦出血病患致殘或致死的機率。</p> <p>基隆長庚醫院腦神經外科助理教授級主治醫師顏君霖指出，腦出血是急診室中常見的疾病，一旦發生，很容易造成傷殘或致死，因此「時間就是關鍵，」急救團隊更要與時間賽跑。</p> <p>然而，一般中小型區域性醫院，在接收、處理腦出血急診病患的流程上，較容易遇到資源不足、等待時間長等挑戰，難免延誤黃金治療時間。顏君霖解釋，當病患發病後，送至初診醫院時，會先進行腦部電腦斷層掃描（CT），再送至外傷急救中心，由急救中心神經外科醫師來會診，決定治療方法，比如進一步檢查，或轉診至較大醫院進行手術。</p> <p>特別是，在拍攝腦部CT時，每一位病患拍攝一次，就會產生數十至數百張影像，還得等待醫師一一檢查後，才能決定後續診療決策。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">AI小幫手30秒快速判讀，早一步預警、多一分準備</span></span></strong></p> <p>有鑑於此，基隆長庚醫院找來斥資導入醫療AI新創Deep01開發的腦出血判讀AI，來進行研究試驗。這套AI系統，只要30秒，就能判斷一位病患是否出現腦出血。</p> <p>在導入之初，團隊也利用院內2萬4千張急診CT影像，來微調這套AI系統，讓AI系統的敏感度和特異性，分別達到94％和93％。</p> <p>顏君霖指出，這套AI不僅能輔助醫師、縮短判讀時間，更重要的是，「AI辨識腦出血後，可發出預警通知，來告知急救中心的神經內、外科醫師，醫師再回饋通知給急診部，來做相關準備。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(1)(8).jpg" /></p> <p>也就是說，當醫師先得知腦出血狀況後，隨即能判斷腦出血原因，進而決定是否需要手術，或進一步的特殊檢查等。「這麼做，急診室可即早準備，也能節省特殊檢查的安排時間。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS(8).jpg" /></p> <p>基隆長庚醫院，希望藉這個方法，來縮短急診動向的總體準備時間。「最重要的是，我們能避免病患失能或死亡，增進預後表現。」</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">聯手衛星醫院，把握關鍵2小時、編織急救轉診網</span></span></strong></p> <p>不只如此，基隆長庚擔起當地急救責任，經常接收醫師資源不足的小醫院轉診。為突破醫師資源不足的限制，基隆長庚也決定聯手礦工醫院，要導入腦出血AI系統，來加速腦出血診斷和轉診，同時提升地區與中心的轉診連結。</p> <p>「就自身經驗來說，腦出血病患自中小型醫院轉診至急救中心，時間落差約為1至2小時。」顏君霖解釋，這代表，在急救中心的醫師，通常是1、2小時候才知道病患出事。如果藉這套AI即時預警，醫師就可把握這關鍵時間，提前準備病患所需的治療。</p> <p>顏君霖指出，基隆長庚目前正裝設這套系統，將正式應用於臨床，「我們預計透過這個智慧轉診網，一年至少要成功轉診100至150位病患。」未來，雙方還要納入更多地區醫院，來完善這個急救網。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">獲臺美雙認證，不只能讀腦出血，還能計算體積、判讀中線偏移</span></span></strong></p> <p>Deep01共同創辦人暨執行長周仁海指出，這套腦出血AI系統，不僅在去年7月通過美國食品藥物管理局（FDA）認證，今年2月也拿下臺灣衛福部食藥署（TFDA）認證，成為亞洲首個拿下雙認證的AI醫療影像軟體。</p> <p>除了腦出血判讀，周仁海表示，該AI系統也新增了兩大功能，也就是腦出血體積估算，以及中線偏移判讀等功能。一般來說，醫師在估算腦出血體積時，會以一個橢圓形來對比，「但研究指出，傳統方法容易高估三分之一的體積，」而Deep01開發的新功能，則能較精確計算（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7093.jpg" /></p> <p>至於中線偏移，是用來衡量左、右腦腦壓是否均衡的重要指標，也是用來判斷是否須緊急手術的關鍵。周仁海表示，自家AI系統的中線偏移判讀功能，不只能偵測，還能計算出偏移量（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(6).jpg" /></p> <p>顏君霖指出，腦出血會導致腦壓升高，一旦左、右腦壓高過另一側，中線就會偏移。其中，「偏移程度能告訴醫師病人的嚴重程度，也能幫助醫師選擇適當的藥物、手術或其他治療方法。」在他看來，中線偏移能幫助醫師，更精準制定腦出血病患的治療決策。</p> <p>由於醫療涉及敏感個資，這套腦出血AI在設計上，也分為雲端版和本地版，本地版可安裝於院內機房，透過API在PACS（醫療影像儲傳系統）中使用，不必將資料上傳至雲端，免除個資外洩的疑慮。文◎王若樸</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 22.2222px; width: 1043.26px; height: 15.5556px;"> </div> <div aria-describedby="bubble-5" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -137px; top: 48px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-5"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 521.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/4/17 19:14作者王若樸https://www.ithome.com.tw/news/137064
假借武漢肺炎最新資訊名義為誘餌，間諜軟體鎖定兩大行動裝置平臺收集各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當全球各地處於武漢肺炎暴發的狀態，駭客大肆發動以疫情為誘餌的攻擊行動，其中最常被提及的莫過於釣魚電子郵件。不過，最近也有惡意軟體打著肺炎資訊更新（Coronavirus Update）的名號，實際上卻是暗中收集手機個資的間諜軟體。趨勢科技於3月底，發現一起網路間諜行動，駭客利用名為Project Spy的惡意軟體感染Android與iOS行動裝置，然後執行監聽通話內容與收集受害者個資，包括通話記錄、位置資訊，以及社交App傳送的訊息等資料。</p> <p>駭客將上述的惡意軟體包裝在一款叫做Corona Updates的App，這個應用程式在巴基斯坦、印度、阿富汗、孟加垃、伊朗、沙烏地阿拉伯、奧地利、羅馬輒亞、格瑞納達，以及俄羅斯等地，都有少量使用者下載。趨勢科技因為駭客的後臺管理系統上，登入畫面有Project Spy的文字，便以這組字串來稱呼攻擊者使用的惡意軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/projectspy201-loginpage.png" style="width: 580px;" /></p> <blockquote><p>趨勢科技找到駭客所使用的管理後臺登入網頁，並以頁面上的Project Spy來稱呼駭客的攻擊工具。</p> </blockquote> <p>趨勢科技發現，Corona Updates會要求數種系統權限，包含能存取通知的內容，以及能夠讀取外部的儲存裝置等。其中前者可讓這個App從手機的通知裡，竊取即時通訊軟體的訊息，除此之外，它還會收集手機的各種用戶資料，像是受害人的通話記錄和聯絡人資料、語音備忘錄，以及簡訊與社群軟體的訊息等，也會收集裝置資訊的延伸清單，還有SIM卡的資訊，以及無線網路的SSID和MAC位址等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CoronaUpdatesApp-permissions-1.png" style="width: 250px;" /></p> <blockquote><p>這款名為Corona Updates的App，標榜功能是提供武漢肺炎更新情報（Coronavirus Update），然而首次執行會要求受害者7項權限，像是如圖中要求能夠存取並傳送簡訊的能力。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CoronaUpdatesApp-code-for-socialmedia.png" style="width: 580px;" /></p> <blockquote><p>從App的程式碼片段中，這款Corona Updates會收集多款社群軟體的訊息，包含了臉書、WhatsApp、Telegram，以及Threema等App的內容。</p> </blockquote> <p>雖然Corona Updates在多個國家都有被下載的情況，但是次數並不多，探究其中的原因，趨勢科技認為應該與App有部分功能會出現錯誤有關，因此研判攻擊工具並不成熟，尚在開發的階段。他們推測，駭客散布這款App的動機，有可能是拿來測試特定的攻擊手法，或者打算等到App到達特定的下載量，才進一步採取其他的攻擊行動。</p> <p>另一方面，趨勢科技解析程式碼後，發現攻擊者僅是業餘駭客，其中iOS版的程式碼並不完整，很有可能是向他人買來後再加入其他功能。但該公司認為使用者不能因此掉以輕心，在Goolge Play商城與蘋果App Store下載應用程式，還是要詳加檢查，使用者可藉由執行畫面的截圖、開發者宣稱的功能、應用程式權限需求，以及其他用戶評論等層面，來判斷應用程式是否有問題。</p> </div></div></div>
2020/4/17 18:09作者周峻佑https://www.ithome.com.tw/news/137061
G Suite用戶現在可直接自Gmail撥打Meet視訊電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著外界對視訊會議的需求愈來愈高，Google也加緊腳步以改善Google Meet服務，繼於3月宣布讓所有G Suite用戶，都能享受大型企業等級的Google Meet功能之後，<a href="https://gsuiteupdates.googleblog.com/2020/04/meet-in-gmail.html" target="_blank">Google本周再將</a>Google Meet整合到Gmail中，讓所有G Suite使用者都可自Gmail，直接撥打Google Meet視訊電話。</p> <p>現在不管是G Suite Basic、G Suite Business、G Suite Education或G Suite Nonprofit客戶，都能使用原本只屬於G Suite Enterprise及G Suite Enterprise for Education版本的<a href="https://gsuiteupdates.googleblog.com/2020/03/enabling-hangouts-meet-premium-features.html" target="_blank">Google Meet功能</a>，涵蓋最多可容納250名與會人員，支援10萬名觀眾的即時串流，以及可紀錄會議內容並將它們存放到Google Drive上，且使用期限可到今年的9月30日。</p> <p>本周Google進一步將Google Meet整合到Gmail中，G Suite用戶將可在Gmail左邊的側欄上看見新的Meet標籤，可直接召開會議（Start a meeting）或加入會議（Join a meeting）。</p> <p>Google表示，由於有愈來愈多使用者在家工作或學習，他們希望讓人們能夠更容易地進行溝通，在電子郵件與視訊會議之間可無縫切換。</p> <p>當使用者要召開會議時，它會跳出一個顯示會議網址的視窗，也會產生一個會議代碼，只要把網址及代碼分享給其他人，就能邀請其他人與會；而加入會議時也只要連結至會議網址，並輸入會議代碼即可。</p> <p>G Suite用戶只要啟用了視訊會議功能，那麼Google Meet就會自動現身於使用者的Gmail中。即日起該功能就會部署到Rapid Release網域，從4月30日開始部署到Scheduled Release網域。</p> </div></div></div>
2020/4/17 17:15作者陳曉莉https://www.ithome.com.tw/news/137059
MIT AI研究預測：美國COVID-19感染規模，將在4月中下旬減緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.mit.edu/2020/new-model-quantifies-impact-quarantine-measures-covid-19-spread-0416" target="_blank">麻省理工學院（MIT）本周公布</a>首個以AI模型而未使用歷史資料建立的預測模型，推估社交距離（Social distancing）措施，的確有助於減緩COVID-19病毒散布。同時AI模型也估計，美國感染人數將在4月15到20日間，來到高峰。</p> <p>相較於許多學者使用SARS及MERS時代的資料，建立武漢肺炎的預測模型，MIT的研究是第一個只使用武漢肺炎感染數據，結合神經網路來預測隔離措施的效果。由MIT公民與環境工程博士候選人Raj Dandekar，及機械工程教授George Barbastathis合作的研究小組，以一般疫情散播研究所用的SEIR模型為基礎。一般SEIR模型將人群分成S（susceptible）、E（expose）、E（infected）及R（recovered），但是他們以實際COVID-19的病例資料，來訓練神經網路。</p> <p>研究人員蒐集4個地區，包括美國、武漢、南韓和義大利的感染者人數各500名，並以這些資料來訓練神經網路，後者學習隔離措施下，感染者對感染速度的影響，進而發展出預測感染人數的能力。</p> <p>利用這套模型，研究小組發現，隔離措施和病毒有效複製量的減緩，有直接相關性。研究人員說，這套神經網路學習到「隔離控制力道」的概念。在南韓等及早實施高強度措施的地區，有較高的「隔離控制力道」，得以減緩新增感染數，因而很快就出現高原期。</p> <p>而美國或義大利則到3月中，才採行隔離措施，COVID-19病毒有效複製量較大，表示病毒成指數散布開來。</p> <p>MIT的AI模型也預測出美義兩國的感染高峰期發展。根據該模型，美國會在4月第一周，感染數由指數成長減緩為直線成長，美、義兩國皆會在4月15日到20日之間開始走緩。該模型還預測美國感染人數會達到60萬人後，才會開始減速。</p> <p>MIT這項預測，和美國華盛頓大學健康指標與評估研究院（Institute for Health Metrics and Evaluation）<a href="https://covid19.healthdata.org/united-states-of-america" target="_blank">的研究結果</a>相差不遠。</p> <p>Barbastathis警告，這表示如果太早放鬆管制，將會引發災難。研究人員說，只要看新加坡，就知道太早放鬆管制的結果。早期的優等生新加坡，本周出現第二波大爆發，一天之內突增數百起感染案例。</p> <p>研究小組計畫將模型，分享給其他人以協助防疫管制決策。</p> <p>根據約翰霍普金斯大學的<a href="https://coronavirus.jhu.edu/us-map" target="_blank">COVID-19感染地圖</a>，美國感染速度是否能在本周減緩，值得觀察，截至今（17）日，美國確診人數已超過67萬。</p> </div></div></div>
2020/4/17 17:25作者林妍溱https://www.ithome.com.tw/news/137060
Libra協會讓步：修改白皮書，推出對應單一貨幣的穩定幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（Facebook）在去年6月所發表的加密貨幣Libra，由於受到各國政府與各大銀行的抵制，使得它幾乎寸步難行，為此，支撐該貨幣的Libra協會（Libra Association）在本周更新了<a href="https://libra.org/en-US/white-paper/#cover-letter" target="_blank">Libra白皮書</a>，宣布除了支援多貨幣的Libra幣之外，也將推出可對應單一貨幣的穩定幣，並已向瑞士金融市場監督管理局（Swiss Financial Markets Supervisory Authority，FINMA）申請支付系統的經營授權，可說是Libra正式踏出的第一步。</p> <p>Libra白皮書主要修改四大部份，一是提供基於單一貨幣的穩定幣，二是建立符合各國法規的框架來強化Libra支付系統的安全性，三是放棄未來將轉型為開放式區塊鏈系統（permissionless system）的計畫，四則是替Libra儲備金建置強大的保護。</p> <p>上述修改的部份，都是Libra協會在這半年多以來到處碰壁，在與監管機關或金融專家協商與諮詢過後的結果。</p> <p>最初Libra幣（≋LBR）的設計是一次可對應不同的貨幣，但現在將推出鎖定單一貨幣的穩定幣，像是對應美元的LibraUSD（≋USD），對應歐元的LibraEUR（≋EUR），對應英鎊的LibraGBP（≋GBP），或是對應新加坡元的LibraSGD（≋SGD），此舉將允許在具備單一穩定幣的地區與企業，可以直接利用當地貨幣存取穩定幣。</p> <p>Libra協會解釋，Libra網路一直都是為了要輔助法定貨幣，而非與法定貨幣競爭，然而，大家對一籃子Libra幣的最大顧慮是，當Libra網路達到一定的規模，以及有大量的國內交易都以Libra幣進行時，它可能會干擾各國的貨幣主權與貨幣政策，因此，該協會決定擴大Libra網路，納入單一貨幣的穩定幣。</p> <p>這意味著Libra協會並不打算放棄一籃子貨幣，而是額外推出對應單一貨幣的Libra穩定幣，未來的一籃子貨幣將可作為跨境結算幣，或者是在缺乏單一貨幣穩定幣的地區，成為中性與低波動的選擇。</p> <p><a href="https://www.coindesk.com/libra-scales-back-global-currency-ambitions-in-concession-to-regulators" target="_blank">CoinDesk則分析</a>，此一改變代表銀行不會直接交易一籃子Libra幣，而是以新的穩定幣為中介，將大幅限制Libra的彈性。</p> <p>除了推出穩定幣之外，Libra協會的另一個重要讓步，是取消讓Libra網路成為開放性區塊鏈系統的計畫，原本該協會希望最終能讓所有人，都能在Libra網路上建置服務，但監管機構擔心這將使得Libra網路，成為恐怖份子或其它惡意份子的天堂。現在Libra協會則決定，讓Libra網路成為一個封閉的系統，只有取得許可的合作夥伴，才能在其上打造各種服務。</p> <p>當臉書在去年6月18日發表Libra幣時，原本有27家業者準備加入Libra協會，但因爭議不斷，使得Libra協會在10月15日正式成立時，只剩21家支持者，現在該協會<a href="https://libra.org/en-US/association/#the_members" target="_blank">則有22家成員</a>。</p> </div></div></div>
2020/4/17 16:55作者陳曉莉https://www.ithome.com.tw/news/137057
Container周報第126期：新版Rancer可支援10萬節點，K8s開始測試API優先權控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#B22222;"><strong>4/2~4/14 精選容器新聞</strong></span></h3> <h3><strong style="color: rgb(0, 0, 255); font-size: 13px;">#API優先權 #K8s新功能</strong></h3> <h3><span style="color:#FF8C00;"><strong>K8s 1.18版暗藏未來關鍵新功能，API優先權新設計初測中</strong></span></h3> <p>3月中釋出的K8s 1.18版中，一口氣多了38項新功能，其中只有15項是正式功能，其他大多是測試功能，甚至有12項是實驗性高的Alpha版初測功能。三位來自Google、螞蟻金服和IBM的工程師，最近特別在K8s官網揭露一個1.18版中新加入的重要功能：API優先權和公平性（API Priority And Fairness）設計，這就是Alpha功能中，少人注意到但影響深遠的改變。這個功能主要用途是讓叢集管理員設計不同的優先權重等級，負責管理K8s所有API的伺服器，每收到任何API呼叫請求時，就會依據這次呼叫所屬的等級，來分配所能得到的流通量。</p> <p>API伺服器可以用來控制變動或讀取量的上限，來避免主機CPU或記憶體超載的把關者，但是，目前K8s的設計上，只能區分異動用請求和唯讀用的請求這兩大類，而無法進行更細緻的調控，所以，常會出現某一種使用情境的請求特別高的情況。簡單來說，若某一個K8s服務的請求大增，一旦塞爆了這個控制所有API的API伺服器，就會連帶地影響了其他K8s內部服務的呼叫，例如影響到系統控制器的運作，或是一兩個故障節點連續狂送請求，可能就會導致整座叢集大塞車，其實塞住的是那個扮演交流道功能，負責指揮的API伺服器。</p> <p>這個新增的API優先權和公平性設計，可以建立一個流量架構（Flow Schema），來定義不同的流量指標所能擁有的優先權等級。API伺服器再依據不同的等級來安排API呼叫的執行順序，另外，執行完一次請求要挑選下一次要執行的請求時，也會使用一個公平性演算法來檢查，避免某些重要的請求一直被塞在後面而無法執行，進而影響了整體叢集的運作。</p> <p>目前，這樣的API優先權設計還有一些不足的機制有待開發，例如對於還必須修改系統監控機制的支援，讓這樣的API優先等級的影響，也能反映到是視覺化監控報表上呈現，這也是下一版要先改良的地方。</p> <h3><span style="color: rgb(0, 0, 255);"><strong>#K8s管理 #資安掃描</strong></span><br /><span style="color: rgb(255, 140, 0);"><strong>Rancher小改版，可支援到2千叢集十萬節點，未來目標是百萬叢集</strong></span></h3> <p>K8s管理平臺<a href="https://www.ithome.com.tw/news/136709">Rancher最近釋出2.4新版</a>，再次提高擴充能力，這次改版後可支援到2千個叢集，最多共10萬個節點，目前架構設計上，也以百萬叢集為目標來考量。另外也增加了遠端升級功能，可由本地端K3s叢集來決定是否自動升級。另外，新版也開始支援不關機維護機制，可以在不影響應用程式的情況下，來升級K8s叢集。另外一個新特色是，引進了CIS資安掃描，利用公開的100項CIS資安指標，來檢查RKE叢集的資安問題。新版也提供了一個AWS實例的安裝部署套件，方便企業快速建議一個全功能的Rancher伺服器，可達99.9%的服務水準，但若部署在其他雲端平臺則無法保證SLA，如GKE和AKS。</p> <h3><span style="color:#0000FF;"><strong>#AIOps #雲端成本管控</strong></span><br /><span style="color:#FF8C00;"><strong>雲端AI優化工具推出3個月免費，靠AI自動調校K8s工作負載</strong></span></h3> <p>一家AIOps雲端優化業者<a href="https://www.opsani.com/">Opsani</a>宣布，因應疫情推出3個月免費服務，可用AI技術來優化企業部署在雲端的K8s，自動調度到效能夠用但更便宜的部署環境，來降低企業租用雲端服務的成本。這項服務主要利用AI來追蹤不同K8s應用的執行效能，再依據應用所需的CPU和記憶體用量，將工作量動態調度到成本較低的執行環境，也可協助優化JVM等中介軟體的配置。這個AIOps工具也可整合到常見的DevOps工具鏈的服務或監控服務，例如GitHub、Terraform、Jenkins、Prometheus等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AIOps_%E5%9C%96%E7%89%87%E4%BE%86%E5%85%83_Opsani.jpg" /></p> <h3><span style="color:#0000FF;"><strong>#PaaS,#SAP,#IBM</strong></span><br /><span style="color:#FF8C00;"><strong>CloudFoundry基金會開始認證K8s作為CFP內建容器管理平臺</strong></span></h3> <p>不少雲端PaaS業者採用Cloud Foundry的PaaS作為應用層平臺軟體，例如IBM、SAP，當然還有VMware的雲端平臺都使用了Cloud Foundry PaaS來建置。最近，Cloud Foundry基金會宣布，將開始認證K8s可以作為CF PaaS的內建容器管理平臺，可以用來取代他們原本的Diego容器管理平臺。原本就已經採用Digo的企業，仍舊可以繼續使用，但新的K8s認證措施，也意味著Cloud Foundry PaaS也開始大舉向K8s靠攏了。</p> <h3><span style="color:#0000FF;"><strong>#ECS #EFS #AWS Fargate</strong></span><br /><span style="color:#FF8C00;"><strong>AWS雲端容器服務小更新，強化對自家雲端儲存EFS的支援</strong></span></h3> <p>最近AWS雲端容器服務ECS有項小幅更新，強化對雲端檔案儲存服務EFS的支援，讓靜態容器應用，更容易透過EFS來跨區域部署。另外，AWS也同步更新Fargate容器代管服務對EFS的支援，並且改用Containerd來取代相對較複雜的Docker Engine，來提高容器核心引擎的執行效率。不過，目前這兩項更新都仍是預覽版本。</p> <h3><span style="color:#0000FF;"><strong>#持續派送 #Argo</strong></span><br /><span style="color:#FF8C00;"><strong>CNCF孵化專案又多了一款持續派送平臺Argo</strong></span></h3> <p>最近CNCF同意持續派送平臺Argo專案的加入，成為孵化專案之一。Argo是一組Kubernetes原生工具，可用來執行和管理在Kubernetes上運作的應用程式與工作，Argo專案是由一間名為Applatix的企業，在2017年時創建，Applatix在2018年的時候被Intuit收購，之後BlackRock也加入貢獻Argo專案的行列，並且與Applatix共同積極發展專案以及經營社群。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Argo.jpg" /></p> <h3><strong><span style="color:#0000FF;">#Krustlet #Virtual Kubelet</span><br /><span style="color:#FF8C00;">在K8s上部署WebAssembly應用有新工具</span></strong></h3> <p>開發者將應用程式編譯成WebAssembly後，可以利用一個新興的部署工具Krustlet工具來部署。Krustlet的設計類似Virtual Kubelet，可以從Kubernetes API事件串流中監聽新的Pod；Virtual Kubelet是一個開源Kubelet實作，而Kubelet則是Kubernetes叢集的必要元件，叢集中每個節點都會啟動Kubelet，來處理主節點派送的任務，以及管理節點上的Pod。</p> <h3><strong><span style="color:#0000FF;">#應用程式交付 #Dragonfly</span><br /><span style="color:#FF8C00;">K8s雲端檔案發布系統Dragonfly正式進入CNCF孵化器</span></strong></h3> <p>由阿里巴巴集團貢獻的Dragonfly專案，正式進入CNCF孵化器階段。這是一個K8s專用的雲端原生映像檔和檔案發布系統，也是阿里巴巴容器平臺中的骨幹技術，每年支援數十億次的應用程式交付。Dragonfly在2018年的時候被CNCF沙盒接收，並被中國移動、滴滴和螞蟻金服等企業採用。透過P2P映像檔和檔案發布協定，Dragonfly能有效減輕映像檔註冊表和網路的負載，以提升使用者體驗，由於P2P技術可以充分利用每個同儕的頻寬資源提升下載速率，能節省大量的跨IDC頻寬以及昂貴的跨境頻寬。最新版本Dragonfly 1.0，已經用程式語言Go全部重寫，來提高雲端擴充性。</p> <h3><span style="color:#0000FF;"><strong>#Prometheus #日誌分析</strong></span><br /><span style="color:#FF8C00;"><strong>Grafana Lab推出Prometheus日誌分析平臺的企業級產品Cortex，自己先試用三年</strong></span></h3> <p>Grafana Lab釋出了Cortex 1.0，這是一款以Prometheus來打造的開源時間序列資料庫與監控系統，具有水平擴展架構，以及幾乎無限的留存資料能力，目前為CNCF沙盒專案。1.0增加了多個讓用戶更容易用於生產的改進，像是提供詳細的部署步驟，以及簡單入門模式。Grafana Lab自己在內部生產環境中用Cortex長達三年，如Grafana Cloud的託管日誌和指標平臺的後端都是Cortex。</p> <h3><span style="color:#0000FF;"><strong>#開源專案管理 #按功能付費</strong></span><br /><span style="color:#FF8C00;"><strong>GitHub核心功能全免費，私有儲存庫的協作人數不再有上限</strong></span></h3> <p>從「按私密性付費」（Pay by Privacy)，全球最大的開源專案代管平臺GitHub開始轉為按功能付費（Pay by Feature)的模式。最近GitHub執行長Nat Friedman宣布，核心功能將永久免費，尤其是原本私有專案的3名協作者上限，也取消，不再限制人數，現在改為以專案所用的儲存量來計算，免費版只能儲存500MB，超過得使用付費版，另外，免費版的Actions數量也只提供每月每分鐘2千次呼叫。原本付費使用開源Team版本的用戶，現在全部免費。不過，免費版只會提供社群支援，企業級支援得付費才有。</p> <p><strong>責任編輯／王宏仁 </strong></p> <p>更多Container相關動態</p> <p>-VMware修補vCenter Server高風險漏洞<br /> -Canonical推出應用託管服務，可代管10款應用上雲端</p> </div></div></div>
2020/4/17 15:01作者王宏仁https://www.ithome.com.tw/news/137050
Windows更新又導致Defender出錯？微軟緊急釋出新版Security Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10更新本周又傳出導致Microsoft Defender出現錯誤訊息，引起大批用戶抱怨，原來出在一個很小的問題上，不過微軟這次迅速解決問題。</p> <p>本周二微軟在Patch Tuesday釋出Windows 10更新KB4549951版後，<a href="https://answers.microsoft.com/en-us/windows/forum/all/windows-security/ab8265c2-4212-4575-bfa5-ea24d372c9e3?LastReply=true#LastReply" target="_blank">有用戶在微軟支援網站</a>上指出，其Microsoft/Windows Defender的病毒和威脅防護通知，出現「威脅服務已經停止，請立即重新啟動」、「發生意外錯誤。對不起，我們遇到問題，請重試一次。」的錯誤訊息。但是用戶重試後，卻沒有反應。<a href="https://www.reddit.com/r/Windows10/comments/g29z46/windows_defender_now_longer_working_after/" target="_blank">不少用戶也在Reddit論壇</a>反映類似問題。</p> <p>許多用戶以為又是Windows更新惹禍，但最後發現問題元兇，其實是周四稍早透過Windows Update自動更新的Security Intelligence 1.313.1638.0版。這使得Defender掃瞄到資料夾檔名中，內含副檔名前有2個點以上的檔案（如G.E.C.K..ink）時會當掉，造成Microsoft/Windows Defender無法掃瞄系統。</p> <p>只要將檔名改成1個點，問題就解決了。板上用戶對Defender會受到這麼小的問題而當掉，表示不可思議。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-defender-broken-by-recent-updates-how-to-fix/" target="_blank">Bleeping Computer</a>報導，微軟周四已釋出Security Intelligence 1.313.1687.0版解決該問題。使用者可以循Windows Security>病毒&威脅防護，點擊「檢查更新」下載最新版本。</p> <p>這是Microsoft / Windows Defender一個月來第3次出包。<a href="https://www.ithome.com.tw/news/136513" target="_blank">3月底</a>Windows Defender在做例行性掃描時，自動跳過特定檢查項，還說是因為用戶設定排除網路掃描相關項目。<a href="https://www.ithome.com.tw/news/136941" target="_blank">本周</a>Microsoft Defender又把工具軟體Winaero Tweaker，誤判為有害程式。</p> </div></div></div>
2020/4/17 15:15作者林妍溱https://www.ithome.com.tw/news/137049
網路應用開發平臺Glitch推出訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路應用程式開發平臺Glitch，<a href="https://glitch.com/pricing" target="_blank">本周發表了該站的第一個訂閱服務</a>，提供更多的記憶體與儲存資源予付費的訂閱用戶。</p> <p>2017年創立的Glitch，允許使用者藉由該站撰寫或混合程式碼，進而發布機器、網路應用程式或各種專案，並提供512MB的記憶體空間及200MB的儲存空間，通常是一些範圍有限的小應用，但只要閒置5分鐘，就會進入休眠狀態，且重新喚醒也需要一些時間。此外，它每小時最多只能支援4千次的請求。不過，由於它是免費的，迄今已代管了超過500萬個程式與機器人。</p> <p>為了增進這些應用的效能，Glitch推出了訂閱服務，也是該站的第一個付費功能，只要每月支付10美元或一年支付96美元，就能使用2GB的記憶體與400MB的硬體空間，同時也不會再讓程式進入休眠狀態，並提供無限制的請求次數。</p> </div></div></div>
2020/4/17 13:30作者陳曉莉https://www.ithome.com.tw/news/137045
Verizon收購商用雲端視訊平臺服務商BlueJeans
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎大幅提升視訊會議軟體的重要性，<a href="https://www.verizon.com/about/news/verizon-business-enters-agreement-acquire-bluejeans" target="_blank">Verizon周四宣布</a>收購雲端視訊服務業者BlueJeans。</p> <p>這項收購案預計今年第2季完成。<a href="https://www.cnbc.com/2020/04/16/verizon-will-buy-video-conferencing-company-blue-jeans.html" target="_blank">根據CNBC</a>報導，雙方收購金額為4億美元。</p> <p>創立於2009年的Bluejeans提供雲端視訊服務，主打商用市場，<a href="https://www.crn.com/slide-shows/networking/240157961/the-10-coolest-networking-startups-of-2013-so-far.htm?pgno=6" target="_blank">曾被媒體</a>評為最酷的網路新創公司，客戶包括Salesforce、臉書、麻省理工學院（MIT）、Google、LinkedIn。在武漢肺炎期間許多公司被迫改為在家上班，Google及LinkedIn等，也都改用Bluejeans進行員工招募面試。</p> <p>這項收購將可強化Verizon的統合通訊（UC）服務產品線。Verizon商用部門執行長Tami Erwin表示，協同作業方式不斷變化，企業和公部門客戶有必要獲得能和現有工具無縫整合的企業級工具。在此之前，Verizon原本是銷售思科WebEx的整合通訊協同服務。此外BlueJeans也將整合Verizon的5G產品線，提供遠距醫療、遠距學習或現場服務等方案。</p> <p>Blue Jeans的視訊和協同工具，包括雲端會議及大型互動活動平臺，將整合到Verizon商用業務部門，而其員工也會合併入Verizon該部門。BlueJeans創辦人及管理團隊，也將一同加入Verizon。</p> <p>本收購案也有助於Verizon搶占水漲船高的視訊會議市場。從武漢肺炎以來，Zoom用戶三個月內由1千萬成長為2億，不料卻傳出客戶端軟體有漏洞、視訊會議易遭亂入等資安問題，先後遭紐約市、德國、澳洲、<a href="https://www.zdnet.com/article/brazilian-food-and-drug-regulator-bans-zoom/" target="_blank">巴西</a>、<a href="https://www.indiatoday.in/technology/features/story/indian-govt-advisory-says-avoid-using-zoom-why-and-what-to-do-if-you-have-to-use-zoom-1667631-2020-04-16" target="_blank">印度</a>、及臺灣公部門部分禁用。</p> </div></div></div>
2020/4/17 13:42作者林妍溱https://www.ithome.com.tw/news/137048
社交視訊平臺Houseparty竄起，成為App Store與Google Play社交類下載冠軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情讓視訊程式成為近來最熱門的議題，包括鎖定企業視訊會議的Zoom，與定位為社交視訊平臺的Houseparty，根據SimilarWeb的統計，Houseparty不管是在<a href="https://www.similarweb.com/app/google-play/com.herzick.houseparty/statistics#ranking" target="_blank">美國Google Play</a>或<a href="https://www.similarweb.com/app/app-store/1065781769/statistics#ranking" target="_blank">蘋果的App Store</a>上，都已高居社交應用程式下載排行榜的第一名，也是這兩個平臺所有類別程式下載排行榜的亞軍。</p> <p>Houseparty創立於2016年，目前提供支援Android、iOS、macOS與Chrome的版本，標榜是個面對面的社交網路，除了可一對一視訊聊天之外，也支援最多8人的群組視訊聊天。</p> <p>該程式原本只流行於青少年之間，但隨著疫情的爆發與禁足令政策，它的使用族群也逐漸擴大。<a href="https://www.bloomberg.com/news/articles/2020-04-15/houseparty-vies-with-zoom-to-be-homebound-chatters-app-of-choice" target="_blank">Houseparty共同創辦人暨執行長Sima Sistani本周向彭博社透露</a>，過去一個月以來，Houseparty新增了5千萬名用戶，大概是過去的70倍。</p> <p>Houseparty只是近來視訊會議程式竄起的其中一例，<a href="https://www.ithome.com.tw/news/136686" target="_blank">行動程式分析機構App Annie上個月的調查顯示</a>，在今年三月的第三周，包括Hangouts Meet、Microsoft Teams、Zoom及Houseparty等行動程式的下載量，幾乎都有10倍以上的成長。</p> </div></div></div>
2020/4/17 13:45作者陳曉莉https://www.ithome.com.tw/news/137046
GE Healthcare及微軟推出武漢肺炎確診者雲端監控工具，明年1月底前免訂閱費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.genewsroom.com/press-releases/ge-healthcare-deploys-remote-patient-data-monitoring-technology-help-clinicians" target="_blank">GE Healthcare及微軟在本周共同發表了Mural虛擬照護解決方案</a>（Mural Virtual Care Solution），以協助醫療院所自遠端監控具傳染性的武漢肺炎（COVID-19）病患，該服務奠基在微軟的Azure雲端平臺上，醫療院所除了必須支付安裝費用之外，至明年1月31日止都不需支付訂閱費用。</p> <p>GE Healthcare原本要在今年3月舉行的醫療資訊暨管理系統協會（HIMSS）會議上，發表全新的Mural虛擬照護解決方案，但該會議因疫情而取消，此次與微軟的合作則是Mural的首度曝光。</p> <p>正在全球大流行的武漢肺炎幾乎榨乾了各國的醫療資源，也讓醫護人員疲於奔命，Mural能夠即時展示各種數據，包括呼吸器、病患監控系統、電子病歷或是實驗系統等，讓醫生能夠一次監控多名重症病患。</p> <p>根據GE Healthcare的說明，單一的Mural安裝就能支援一個加護病房網路上的100床病患，而且只需3名資深護士與兩名醫生進行全天候的監控，除了能夠協助醫院解決人力不足的問題之外，遠端監控還能降低醫護人員受到感染的風險。</p> <p>微軟醫療長David Rhew表示，現在我們比任何時候都更需要利用有限的資源，來管理日益增加的肺炎患者，Mural與Azure的結合將可大規模地監控這些肺炎病患。</p> </div></div></div>
2020/4/17 13:50作者陳曉莉https://www.ithome.com.tw/news/137047
Webhooks URL洩漏可致Slack用戶受釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybersecurity.att.com/blogs/labs-research/slack-phishing-attacks-using-webhooks?CJPID=6361382&EI=20130822074250E&CI=CJ_AFFINITY&RI=CJ1&RD=37922">資安公司AT&T Alien Labs揭露</a>了一種使用協作通訊軟體Slack的Webhooks，來對使用者進行釣魚攻擊的手法，而Slack也主動搜尋洩漏的URL使其無效，並呼籲管理者妥善保管Webhook URL。</p> <p>Incoming Webhooks是一種將應用程式的訊息傳送進Slack的方法，其提供一個唯一的URL，應用程式可以利用該URL以JSON作為載體，傳送文字訊息以及選項，但資安人員卻發現，攻擊者利用這個可讓開發者從外部傳送資料到Slack的簡單方式，對使用者進行釣魚攻擊。</p> <p>問題發生在頻道覆寫功能，這個功能讓JSON載體只要增加頻道鍵值，就能快速地覆蓋先前指定的Webhook目標頻道，在部分情況中，這個方法可以被用來覆寫先前的配置。資安研究人員在GitHub中的公開程式碼中，找到了130,989份存在Webhook URL的程式碼，大部分這些程式碼都包含了唯一的Webhook值，使用這些公開的URL，就能利用Slack應用程式進行釣魚攻擊。</p> <p>攻擊者可以建置一個Slack應用程式，並讓這個應用程式可公開存取，接著對洩漏的Webhook URL發送惡意訊息，攻擊者就能夠追蹤安裝惡意應用程式的工作空間，並利用該應用程式從工作空間竊取資料，而攻擊者可以存取資料的範圍，取決於應用程式當初請求的存取權限。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/app_creation.png" style="width: 580px;" /></p> <p>AT&T Alien Labs研究人員提到，Slack管理者可以採取一些措施，降低可能出現的攻擊風險，但是部分措施只有Slack才能進行。Incoming Webhooks應僅能給予最低的權限，像是預設僅能在定義的頻道中運作，多頻道Webhooks以及覆寫功能，應該作為獨立的應用程式或是選擇性啟用，研究人員表示，現在覆寫功能藏在配置說明面板底下，使用者需要特別進行操作才會顯示，因此許多用戶並不了解這項功能，另外，也應該確定除非Webhooks具有明確定義，否則Webhooks都不應該能被發布到公告或是管理員頻道。</p> <p>研究人員也提到，Webhooks配置頁面沒有任何文字告訴使用者Webhook URL的重要性，加上使用者對覆寫功能不熟悉，就會讓使用者暴露在可能遭受釣魚攻擊的風險中。而對此Slack也回應，Webhooks是憑證工具，能夠用來存取工作空間的發布功能，因此對於已經洩漏的Webhook URL，管理員應該主動讓這些URL失效後，產生新的URL。</p> <p>Slack也主動到GitHub上搜尋了所有已經對外洩漏的Webhooks，並使這些URL失效，Slack提到，只要能夠妥善保管Webhook URL，那Webhooks就會是安全的，因為URL本身無法被猜測，管理者應該使用最佳實踐來儲存這些憑證。</p> </div></div></div>
2020/4/17 09:25作者李建興https://www.ithome.com.tw/news/137038
Google調降適用非營利組織的G Suite商業版和企業版費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/outreach-initiatives/nonprofits/new-countries-g-suite-discounts/">Google進一步擴大其公益支援計畫</a>，現在加入更多新的國家，並且給予非營利組織訂閱使用G Suite商業版和企業版，更多的折扣，商業版從每人每月12美元降為4美元，而企業版則從每人每月25美元降為8美元，適用於非營利組織的G Suite版本維持免費。</p> <p>由於武漢肺炎疫情在各國持續蔓延，Google提到，此時非營利組織更需要線上協作工具，來支援遠端工作，因此這次是他們多年來，首度擴展公益支援計畫，新增葡萄牙、希臘、愛沙尼亞、拉脫維亞、立陶宛和秘魯，目前總共支援了全球57個國家。而為了鼓勵非營利組織使用G Suite的進階功能，滿足線上工作的儲存、安全性和虛擬協作的需求，Google也調整非營利組織使用G Suite商業版和企業版的價格。</p> <p>現在全球非營利組織G Suite商業版，每個用戶月費降至4美元，而企業版則降價為8美元，原本適用於非營利組織的G Suite版本將繼續免費，非營利組織可以免費啟動適用非營利組織的G Suite版本，使用Gmail、文件和日曆等線上應用程式，而且在2020年9月30日前，所有G Suite版本都可以使用Google Meet的進階功能。</p> <p>非營利組織G Suite商業版向每個用戶提供1 TB的儲存空間，並可使用Google Vault管理資料，開啟最多可容納150人的視訊會議，而G Suite企業版除了涵蓋商業版的功能，另外還有電子郵件加密，且能開啟最多可容納250人的即時視訊會議，以及用於管理用戶和應用程式的Cloud Identity。</p> </div></div></div>
2020/4/17 09:45作者李建興https://www.ithome.com.tw/news/137041
Cloud周報第61期：VMC on AWS於澳洲雪梨發生容量限制狀況，歷時18天才落幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/04/09～2020/04/15）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 疫情 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 雲端需求 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> VMware </span></strong></span> </p> <p><strong style="font-size: 22px;">疫情促使VMC on AWS澳洲雪梨地區需求增加，有可用區域無法建立新SDDC</strong></p> <p>VMware與AWS聯手推出的混合雲解決方案VMware Cloud on AWS，在澳洲雪梨的服務地區，從世界協調時間3月23日下午3點左右開始，發生容量限制的情況，直到4月10日才排除。事發後，VMware於雲端服務的狀態資訊頁面說明，因武漢肺炎（COVID-19）疫情導致VMware Cloud on AWS需求增加，造成澳洲雪梨地區的一個可用區域無法建立新的SDDC。VMware表示，既有的工作負載未受影響，且該地區的其餘可用區域仍可正常運作，因此，他建議用戶與銷售暨用戶團隊聯繫，採用不受影響的區域來替代，建立所需的新SDDC。為排除問題，VMware工程團隊則著手進行添加新主機的工程，不過，一直到4月10日晚上，VMware才宣布問題全面排除，使得這起容量限制事件整整歷時了18天。<a href="https://status.vmware-services.io/incidents/h48v9q28715t">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>受疫情影響，SAP軟體授權營收表現不佳，但雲端營收成長近3成</strong></span></p> <p>SAP近日趕在第一季財報正式發布前，提前預告第一季財務業績，其中，雲端營收成長近3成。SAP預估，軟體授權營收可能下滑31%，來到4.5億歐元，而雲端營收將上升29%，達20.1億歐元，整體營收則成長7%，達65.2億歐元。SAP說明，本季度前兩個月的業務正常運作，但隨著疫情逐漸升溫，所造成的影響至本季度末加劇，大量新業務被推遲，這更反映於軟體授權營收大幅下降的態勢。因應疫情，SAP也採取了線上銷售和遠端執行的策略，來降低影響，並放慢招聘的速度。不過，這個預告的數據只是預估值，恐因疫情而有改變，正式的第一季財報則將在4月21日發布。<a href=" https://news.sap.com/2020/04/sap-pre-announces-first-quarter-results-updates-2020-outlook/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內閣辦公室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ERP上雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>英國內閣決定改採雲端ERP，今年秋天展開多項系統上雲工程</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E8%8B%B1%E5%9C%8B%E5%85%A7%E9%96%A3%E8%BE%A6%E5%85%AC%E5%AE%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E5%9C%8B%E5%85%A7%E9%96%A3%E8%BE%A6%E5%85%AC%E5%AE%A4.JPG" style="width: 600px; height: 402px;" /></strong></strong></p> <p>英國內閣辦公室日前發布了一份採購公告，對外替內部一系列系統的上雲建置工作，正式公開招標。根據標案的內容，得標者需替內閣辦公室的財務、人資、薪資和採購系統，進行雲端化工程，還有採用雲端ERP取代既有的單一維運平臺。該上雲工程預計花費1,500萬英鎊，從今年秋天開始啟動，直至2022年10月底結束，為期2年。對於這項公部門的資訊建設投資，英國政府設下了3大目標，首先是集中化提供服務，來提高效率和創造價值；其次是匯集數據，整合各項程序，包含人資、財務、採購等的資料，來提供更好的可比較數據；最後，滿足終端使用者的需求，提高主管和人員作業的便利性。此標案將於5月13日結束招標。<a href=" https://www.contractsfinder.service.gov.uk/Notice/3491cfbf-2e13-49e1-ac16-f0af2f953ac1?origin=SearchResults&p=1">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 網路塞爆 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 通知延遲 </span></strong></span> <span style="color:#FFFFFF;"> </span></p> <p><span style="font-size: 22px;"><strong>Azure歐洲網路塞爆經5小時才通報用戶，竟是因管理員還未起床</strong></span></p> <p>武漢肺炎疫情讓許多民眾必須在家上班，促使了雲端使用需求暴增。微軟Azure於3月24日至26日在歐洲發生了網路塞爆的問題，許多用戶無法順暢地使用服務，然而，事發後，微軟經過5小時才向用戶說明情況，遠遠超過10分鐘內通知的正規程序。微軟近日對外解釋延遲通知的原因，由於負責對外發布訊息的主要事件管理員（PIM）事發時，仍在睡覺。微軟坦承，通報制度出了狀況，而向用戶致歉，並承諾改善異常事件的通報流程。</p> <p>按照Azure的作業流程，Azure系統的自動化工具會在發生事件時，通知特定負責人員（DRI）和PIM，但是，當日DRI著手尋找問題原因及排除問題時，PIM卻還未起床，直到5小時後該名人員才發出通報。而當天巨大流量導致Azure VM配置錯誤，則造成VM重製系統映像檔所需的時間增加，進而拉長可用代理程式的等候時間。經微軟統計，三天內共有6,136名用戶感受到作業延遲，平均延遲21分鐘，有人甚至等了9小時。<a href=" https://status.dev.azure.com/_event/181122901/post-mortem">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 正式上市 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>VMware終於正式推出vSphere 7</strong></strong></p> <p>VMware日前宣布，正式推出內建了K8s的新一代vSphere 7，可直接建置和部署K8s叢集。VMware視vSphere 7為vSphere十年來最大的演進，將K8s API整合到vSphere的API中，提供開發人員和維運人員類似雲端的體驗。VMware資深副總裁暨雲端平臺業務部總經理Krish Prasad表示，新一代vSphere是一個整合VM、容器和K8s的通用平臺，可執行所有應用。</p> <p>vSphere 7有兩種版本配置，一種是支援基於VM應用的配置，且有多個版本，包含VMware vSphere Enterprise Plus Edition或Standard Edition等；另一種則是支援基於容器和虛擬機的應用的配置vSphere with Kubernetes，將與整合Tanzu的VMware Cloud Foundation 4一同提供，而VMware Cloud Foundation 4預計在5月1日前才會推出。<a href=" https://blogs.vmware.com/vsphere/2020/04/vsphere-7-new-generation-vsphere.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 海底電纜 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>美國政府同意Google啟用連結加州與臺灣的海底電纜為期6個月，可望舒緩因疫情暴增的網路流量</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963__%E6%B5%B7%E5%BA%95%E9%9B%BB%E7%BA%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Pacific%20Light%20Data%20Communication.jpg" style="width: 600px; height: 388px;" /></strong></span></strong></p> <p>Google於4月8日獲得美國聯邦通訊委員會（FCC）的許可，未來6個月內，可以啟用太平洋光纖網路（Pacific Light Cable Network）中，連接加州與臺灣的海底光纖電纜。近兩個月來，許多民眾因武漢肺炎（COVID-19）疫情，被迫待在家遵守禁足令，導致全球網路流量大增。Google於申請書中強調，「美國和臺灣之間的內部容量有迫切需求需滿足。」</p> <p>Google此次並未申請加州連結香港的海底電纜，然而，美國司法部在函中特別指出，「一條直接連接美國與香港的電纜將嚴重危害國家安全，以及國家的執法權益。」因此，Google在啟用協議中，也向政府承諾，「會在亞洲追求海底網路電纜鋪設點的多樣化，並且盡可能將網路設備建置於提供網路流量的最終目的地。」<a href=" http://licensing.fcc.gov/cgi-bin/ws.exe/prod/ib/forms/reports/related_filing.hts?f_key=2252704&f_number=SCLSTA2020040200015">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> COVID-19 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS整合4大機構疫情資料集和逾4萬篇研究論文，供研究人員分析使用</strong></span></strong></p> <p>為對抗武漢肺炎，AWS釋出針對武漢肺炎打造的公共資料湖，集中收集新型冠狀病毒和相關病例的資料集，包含病例追蹤資料、超過4萬篇的研究論文等，免費對外開放讓研究人員能夠快速取用。這個資料湖的資料集來自約翰霍普金斯大學、紐約時報、艾倫人工智慧研究所和數據分析機構Definitive Healthcare。AWS也承諾會持續支援更多資料集。</p> <p>使用者能夠將這個資料湖的資料，合併到自己的資料集中，也能透過AWS Data Exchange訂閱來源資料集，而在工具使用上，使用者可利用AWS或第三方工具，進行趨勢分析、關鍵字搜尋、建置機器學習模型，或是其他客製化分析。AWS預期相關衛生部門，將使用該資料湖的資料集，打造儀表板追蹤感染源，還有部署呼吸器、病床等重要資源。不過，使用者需有AWS帳號才可以存取該資料湖。<a href="https://aws.amazon.com/tw/blogs/big-data/a-public-data-lake-for-analysis-of-covid-19-data/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 多雲環境 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫即服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> K8s </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>PlanetScale推出採用Vitess的多雲資料庫即服務</strong></span></strong></p> <p>PlanetScale以YouTube開發的MySQL資料庫叢集管理解決方案Vitess為基礎，發表了多雲資料庫即服務PlanetScaleDB。該服務採用K8s技術，讓用戶能夠彈性地擴展服務規模，且不被特定雲端服務供應商綁住。用戶能夠跨雲端供應商運作該服務，也能從特定雲端環境搬遷資料至不同的雲端，不管是AWS、GCP和Azure皆可，還能跨地區地建立資料庫叢集。PlanetScale共同創辦人Jiten Vaidya指出，災難復原和不受特定供應商綁住，是用多雲叢集的兩個主要原因。當單一雲端地區的服務故障時，用戶可切換至其他地區，使用其他雲端業者提供的服務，也可在單一雲端環境的多個地區進行部署，建立副本，一旦故障發生，可跨地區進行故障轉移，減少停機時間。<a href=" https://www.planetscale.com/blog/planetscaledb-delivers-true-multi-cloud-multi-region-clusters-on-aws-gcp-azure">（詳全文）</a></p> <p><strong>圖片來源／VMware、英國內閣辦公室、Pacific Light Data Communication </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Google為讓各規模企業都能使用分散式NoSQL資料庫Bigtable，調降節點的建立門檻，可支援小型工作負載</strong><a href=" https://cloud.google.com/blog/products/databases/nosql-cloud-database-1-or-2-nodes">（詳全文）</a></p> <p><strong>2. AWS更新容器服務Amazon ECS，現支援EFS檔案系統，讓容器資料更容易永久儲存與共享</strong><a href=" https://aws.amazon.com/tw/blogs/aws/amazon-ecs-supports-efs/">（詳全文）</a></p> <p><strong>3. D-Wave免費提供雲端量子運算，讓研究人員分析新冠肺炎數據</strong><a href=" https://www.dwavesys.com/press-releases/d-wave-provides-free-quantum-cloud-access-global-response-covid-19">（詳全文）</a></p> <p><strong>4. 微軟更新Azure地圖服務網頁SDK，現支援多種常用GIS資料格式，讓開發者應用大量現有空間資料</strong><a href=" https://azure.microsoft.com/zh-tw/blog/updates-to-azure-maps-web-sdk-includes-powerful-new-features/">（詳全文）</a></p> <p><strong>5. AWS推出SAP啟動精靈，讓用戶透過AWS CloudFormation和AWS Systems Manager調度資源，快速部署SAP應用程式</strong><a href="https://aws.amazon.com/tw/blogs/aws/new-accelerate-sap-deployments-with-aws-launch-wizard/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年4月</strong></p> </div></div></div>
2020/4/16 13:46作者黃郁芸https://www.ithome.com.tw/news/137025
iChef POS新增串接Uber Eats系統，餐廳內場管理能直接整合外送訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受武漢肺炎（COVID-19）疫情的影響，民眾大量減少外出用餐的次數，轉向以外帶、外送的方式享用外食，外送平臺的訂單數因而大幅增加。智慧餐飲科技公司iChef今日（4/16）宣布，自家POS與Uber Eats系統完成串接，可自動彙整該平臺的外帶或外送訂單，讓餐廳用戶透過單一頁面，即能掌握現場和該平臺的所有訂單，不再有漏單的情況發生。</p> <p>過去，與外送平臺合作的餐廳用戶，需使用另一臺機器接收平臺的訂單，這包含了外送、外帶的訂單，此外，若想將這些訂單與現場訂單統一處理，餐廳業者還需手動將平臺訂單的資訊輸入進POS。</p> <p>如今iChef將Uber Eats系統與自家POS串接，讓用戶可以直接從POS，統一管理既有的現場訂單，還有新加入該平臺訂單，完成接單、出餐、對帳等營運流程，減少用戶需應付的點餐系統數量，避免未即時掌握訂單的狀況。</p> <p>新的整合功能有4大特色，首先，外送平臺訂單出現時，POS會發出即時通知，並自動帶入訂單的品項，還有品項的細節內容，例如一杯手搖飲料的訂單，會顯示甜度、冰塊量、配料等，用戶皆不需再手動輸入這些資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB.jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>攝影／黃郁芸</p> </blockquote> <p>這個免手動輸入菜單細節的關鍵是，iChef在串接Uber Eats系統的同時，同步了平臺和原先餐廳現場的菜單內容，讓兩者菜單可相互對應。iChef共同創辦人程開佑指出，大部分可接收外送平臺訂單的POS，只是單純直接印出平臺的訂單，送入廚房，因為平臺單品和店內單品無法相互對應，而他們突破了這個限制。</p> <p>其次，iChef POS依照用戶現場的出餐規則，列印平臺訂單，並完整呈現平臺、編號、餐點項目等資訊，讓餐點能更精準、快速地送到消費者手上。</p> <p>第三個特色則是打造專屬外送和外帶的頁面，讓用戶透過單一頁面，統一管理現場和平臺的外帶或外送訂單，不用再查看多個系統。該頁面依照訂單的先後順序排列，並會顯示訂單的來源、取餐時間、消費者資料、金額等資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200416_141641.jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>攝影／黃郁芸</p> </blockquote> <p>最後，餐廳業者可直接從iChef POS的後臺，直接掌握平臺的銷售表現，便可進行記帳和對帳的營運流程。iChef POS後臺更提供用戶以營收來源和銷售時段，來自行設定分析的標的。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200416_141641(2).jpg" style="width: 600px; height: 450px;" /></p> <blockquote><p>攝影／黃郁芸</p> </blockquote> <p>iChef花了一個月完成新功能的串接工程。回顧兩方系統的串接工程，程開佑表示，菜單設計的同步性是最主要的挑戰，也就是如何讓資料同步，所以API介接工程較為複雜，他進一步道，為因應每個平臺的自身規格，他們採取開放結構，讓店家對應（mapping）店內和平臺兩邊的菜單，也希望未來用戶能自行完成設定。</p> <p>現階段，共有5間屬於外帶餐飲類型的用戶，參與新外送整合功能的封測工作，包含了師大商圈的師園鹹酥雞、永和的世界豆漿大王等，而封測工程預計將在這個月完成，並於5月正式推出該功能。iChef表示，用戶可免費升級系統，且除了臺灣外，也將於香港同步提供新版本系統。目前，iChef於臺灣和香港有超過6千間餐廳用戶，不過，關於有多少用戶使用Uber Eats，iChef則表示，他們沒有明確的統計。</p> <h2><strong>iChef擴大平臺資料辦貸款的選項，也可用於申請經濟部紓困方案</strong></h2> <p>疫情蔓延已近3個月，餐飲業者的生意大受影響，警報何時解除，仍是個未知數。iChef從2018年開始，便與凱基銀行合作，讓用戶直接從其平臺向凱基提出貸款申請，並使用iChef POS的數據資料，作為審核貸款之證明文件。</p> <p>如今，針對經濟部推出的紓困及振興方案，iChef再度與凱基合作，讓用戶可授權凱基取得餐廳在iChef平臺資料，以確認其營收下降幅度，作為申辦的依據基礎，取代其他證明營收下滑的文件，進而透過凱基獲得政府的紓困貸款。</p> <p>除此之外，iChef也依循過往的模式，與凱基推出「餐廳貸2.0」服務，最快五秒即可完成貸款申請的預核。程開佑表示，原先為貸款服務設計的風險模型，需要用戶2年的iChef資料，不過，疫情期間，申請用戶的資料若少於2年，則將依個案處理。</p> </div></div></div>
2020/4/16 18:45作者黃郁芸https://www.ithome.com.tw/news/137042
Zoom攻擊程式在黑市叫價50萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vice.com/en_us/article/qjdqgv/hackers-selling-critical-zoom-zero-day-exploit-for-500000" target="_blank">Motherboard於本周報導</a>，已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom客戶端程式，且Windows版的售價高達50萬美元。</p> <p>根據報導，鎖定Windows版Zoom的攻擊程式，可用來執行遠端程式攻擊，除了得搭配其它的漏洞才能控制整個受害系統之外，也必須加入Zoom會議才行，但由於它是個尚未被揭露的零時差漏洞，因此駭客開價高達50萬美元，但有資安專家認為，它頂多價值25萬美元。</p> <p>至於macOS版的Zoom攻擊程式，由於並非開採遠端程式攻擊漏洞，也較不容易使用，因此不那麼危險。</p> <p>因為武漢肺炎（COVID-19）疫情的關係，Zoom一躍成為全球最熱門的視訊會議程式，每天的與會人數從去年底的1千萬，爆量成長到今年3月的2億，也讓它成為駭客的頭號目標。</p> <p>Motherboard指出，Zoom的一夕竄紅，讓全球的駭客都在尋找它的安全漏洞，而且急著以高價在黑市中銷售，因為這些零時差安全漏洞一旦被利用或被察覺，價值就會隨之降低。有一名駭客開玩笑地向Motherboard表示，「現在誰沒有Zoom的零時差漏洞？」</p> <p>不過，Motherboard也說，Zoom也許不完美，但用來與親友閒話家常應該沒什麼問題，這個世界就是有愈多人用的產品，就愈會受到駭客的青睞。</p> </div></div></div>
2020/4/16 19:25作者陳曉莉https://www.ithome.com.tw/news/137044
舊金山國際機場網站被駭，可能是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周舊金山國際機場（San Francisco International Airport，SFO）自承<a href="https://www.ithome.com.tw/news/136946" target="_blank">今年3月有網站被駭</a>，可能導致登入過網站的使用者，個人的Windows登入帳密被竊取。最新研究顯示，這起資安事件可能和俄羅斯駭客有關，而且所有登入過舊金山機場網站的使用者，都應該小心。</p> <p>舊金山國際機場的SFOConnect.com與SFOConstruction.com兩個網站，在3月被駭客植入了惡意程式，目的在竊取從外部網路存取網站的使用者Windows裝置密碼。至於駭客背景及手法，安全廠商ESET<a href="https://twitter.com/esetresearch/status/1249981751138627585" target="_blank">公布其研究</a>，顯示可能是一個俄羅斯駭客組織所為。</p> <p>ESET研究中心指出，從攻擊手法和工具來看，舊金山機場駭客入侵事件，和名為Dragonfly/Energetic Bear的俄羅斯駭客組織慣用手法很像。這個組織從2010年起就為俄羅斯政府執行網路攻擊行動。ESET也在發現攻擊後，通報舊金山機場當局。</p> <p>ESET指出，駭客目的在蒐集所有Windows使用者帳號及NTLM（NT LAN Manager）驗證協定的雜湊值。他們駭入SFOConnect.com及SFOConstruction.com網站後，在HTML中加入JavaScript，以注入file: // xn--1x1-l29dp4eo1au0xzuflqhpwjden56gs82dsuzcbqdxyg pixel的圖片檔。</p> <p>當Windows機器以瀏覽器造訪網站時，瀏覽器便會根據該路徑下載該圖片檔，並以SMB檔案開啟。預設下的Windows會在NTLM驗證過程中，送出Windows帳號及雜湊值到駭客掌控的遠端伺服器。駭客接收Windows雜湊值後，可以進一步破解密碼或用以入侵受害者公司的Windows網路，進行大規模竊密、刪改檔案或勒索攻擊。</p> <p>雖然舊金山國際機場已經強制重設所有受影響使用者的電子郵件及網路密碼，且目前似乎沒有其他機場被駭，但這項攻擊也會影響外部使用者，因此所有透過Windows裝置上的IE、自外部網路造訪上述網站的使用者，都應該修改自己裝置上的登入密碼。</p> </div></div></div>
2020/4/16 18:50作者林妍溱https://www.ithome.com.tw/news/137043
微軟將打造行星電腦以AI救地球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布了一系列環保倡議行動，目的是要保護地權的生物多樣性以及生態系，現在微軟的AI for Earth計畫進入下一階段，他們將投入資源打造<a href="https://blogs.microsoft.com/blog/2020/04/15/a-healthy-society-requires-a-healthy-planet/">行星電腦（Planetary Computer）</a>，並資助社群取得重要的環境資料集，以及可供分析的平臺，最終將這些分析結果，用作推動全球環保政策的依據。</p> <p>微軟在2017年啟動AI for Earth計畫，致力幫助農業、生物多樣性、保育、氣候變化以及水資源5個領域的環保組織，提供他們5千萬美元資金和雲端人工智慧工具，解決各種環境問題。微軟提到，地球生態系統與生物多樣性狀態每況愈下，地球四分之一的物種瀕臨滅絕，供數千種生物棲息居所的濕地已經減少87％，珊瑚礁減少50％，野生動植物的數量下降近60％，對食物鏈至關重要的昆蟲，多樣性和豐富度大幅下降，衝擊全球75％的糧食作物。</p> <p>為了解決這些問題，微軟希望能夠匯總來自全世界的環境資料，並結合運算和機器學習技術，更快速地評估地球的狀態。過去，聯合國生物多樣性和生態系統服務平臺（IPBES）在2000年時，發起了首次地球評估計畫，共有1,300多人參與耗時近5年，最新的研究報告又花了15年，共1,700頁引用了15,000多個科學資料。</p> <p>微軟提到，隨著環境挑戰越來越劇烈，已經沒有這麼多年的時間可以消磨，但同時地球又需要更多的環境資料來評估、診斷和治癒，微軟認為，評估地球的健康狀況，應該要成為一種持久且全面的行動。</p> <p>而行星電腦就是為此而生，行星電腦並非單指一臺電腦，而是一種新型的計算平臺，這個平臺儲存由人或機器，收集來自太空、天空、地面和水下無數的資料點，這些資料點可被以地理位置搜尋，而非傳統的關鍵字。</p> <p>使用者可以對感興趣的區域進行查詢，也能搜尋世界各地擁有特定環境的位置，行星電腦可讓用戶使用最新的機器學習工具，尋找新問題的答案，並將預測結果向全球社群公開。這些問題可能包括森林密度、城市規畫、野生動物保護和氣候測量等領域。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-eOgIuw-JTUU.jpg" style="width: 580px; height: 371px;" /></p> <p>由於行星電腦非常複雜，微軟表示，他們難以獨自完成，因此找來了Esri一起合作，Esri是一間多年發展環境監控解決方案的地理資訊系統軟體廠商，在AI for Earth計畫啟動時就與微軟開始合作。微軟與Esri要合作收集、顯示和處理有關於地球系統的資訊，並且讓所有環境保護組織都可以取用這些資訊，而他們也能夠回饋貢獻資訊給資料儲存庫。</p> <p>Esri過去在全球保護組織已經耕耘不少，從事瀕臨絕種的物種保護、土地保護和自然界基礎科學等工作，從估算森林損失到保護大象免受偷獵，Esri提供環境保護組織數位工具和專業知識，共同保護全球生態系。</p> <p>接下來微軟和Esri在行星電腦上的合作，會圍繞在機器學習的地理空間解決方案，微軟也將在Azure上提供重要的地理空間資料集，在今年稍晚，環保組織可以利用Esri的工具進行存取，微軟會持續向相關合作夥伴挹注資金，確保環保組織能無虞地存取資料集、計算和其他資源。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/eOgIuw-JTUU" width="560px"></iframe></div> </div></div></div>
2020/4/16 19:00作者李建興https://www.ithome.com.tw/news/137029
疫情衝擊，Google縮減2020年招聘、資料中心及行銷預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎不僅影響小型企業及自由工作者，連大公司也開始感受壓力。<a href="https://www.bloomberg.com/technology?sref=ExbtjcSG" target="_blank">彭博新聞周三報導</a>，受到武漢肺炎疫情衝擊，Google將縮減2020年人力招聘，調整資料中心及行銷等非必要活動的支出，將重點放在客戶支援及成長關鍵業務上。</p> <p>根據媒體取得Google暨Alphabet執行長Sundar Pichai的內部公開信，他認為現在是時候大幅減緩招募速度，以維持小部分策略領域的動能，包括提供使用者和企業營運支援，以及攸關公司成長的關鍵業務。Google並計畫縮減資料中心、硬體及非必要的行銷及差旅支出。他說，藉由縮減其他方面的計畫，才能確保Google今年以「適當規模」再出發。</p> <p>Google對<a href="https://www.theverge.com/2020/4/15/21222942/google-slowing-down-hiring-through-2020-covid-19-pandemic" target="_blank">The Verge</a>及<a href="https://www.bizjournals.com/sanjose/news/2020/04/15/google-to-cut-back-on-hiring-data-centers-machines.html" target="_blank">Biz Journal</a>等媒體證實此事，表示今年內Google將減緩招募速度，把重點放在維持策略領域運作，以及安排招募但尚未上班的員工完成就職。</p> <p>彭博報導，Google去年招募了2萬人，今年原本也計畫如此。Alphabet去年底員工數達11.9萬。而今年第一季Google和Alphabet新增4千多人，還會再找數千人。不過受到加州各地封城及企業在家上班的影響，Google新員工筆電、密碼發派及員工訓練都被耽擱。</p> <p>因為武漢肺炎疫情全球爆發，Google 3月中先後要求<a href="https://www.ithome.com.tw/news/136276" target="_blank">北美</a>及<a href="https://www.ithome.com.tw/news/136327" target="_blank">歐洲、非洲及中東</a>員工在家上班。但針對一些因肺炎而無法上班的時薪員工，Google仍計畫支付全薪。</p> <p><a href="https://www.bizjournals.com/sanjose/news/2020/02/26/google-us-real-estate-investment-goog.html" target="_blank">Biz Journal報導</a>，Google原本計畫今年投資100億美元在北美舊金山灣區、洛杉磯、紐約、德州等地增建辦公室和資料中心。</p> <p>Pichai指出，一如2008年金融危機重創全球經濟，許多企業已經受到極大衝擊，Google和Alphabet也無法免於武漢肺炎全球疫情影響，因為現今的企業環境牽一髮動全身。</p> </div></div></div>
2020/4/16 16:50作者林妍溱https://www.ithome.com.tw/news/137037
美國防部調查：JEDI採購案並未受到白宮介入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防部的督察辦公室<strong>（</strong>Department of Defense Office of Inspector General），在本周公布有關《聯合企業防禦基礎設施》（Joint Enterprise Defense Infrastructure，JEDI）<a href="https://media.defense.gov/2020/Apr/15/2002281438/-1/-1/1/REPORT%20ON%20THE%20JOINT%20ENTERPRISE%20DEFENSE%20INFRASTRUCTURE%20(JEDI)%20CLOUD%20PROCUREMENT%20DODIG-2020-079.PDF" target="_blank">雲端採購案的調查結果</a>，指出國防部將該合約授予微軟，完全符合國防部的競標與審核程序，並未受到白宮的介入與干預。</p> <p>JEDI主要是為了現代化美國國防部的IT架構，合約期限長達10年，預算則高達100億美元，因此包括Amazon、微軟、IBM及甲骨文等業者都投入了此一標案，原本呼聲最高的，是在全球雲端運算市占率最高的Amazon Web Services（AWS），但最後<a href="https://www.ithome.com.tw/news/133849" target="_blank">雀屏中選的卻是微軟</a>，而使得Amazon一狀<a href="https://www.ithome.com.tw/news/135778" target="_blank">告上法院</a>，宣稱該結果源自於美國總統川普（Donald Trump）的施壓，評選過程不公，也讓法官<a href="https://www.ithome.com.tw/news/135830" target="_blank">暫停了該合約的進行</a>。</p> <p>法官的裁決令督察辦公室立即就JEDI採購案的完整競標流程展開調查，此一調查著重在採購程序，並未涉及競標者的技術或實力比較。在這篇長達313頁的調查報告中，最引人矚目的就是白宮是否干預了採購案的結果，該辦公室訪談了25名國防部官員，包括曾與白宮直接或間接接觸的人、負責審核採購案的人、國防部資訊長及採購長等。</p> <p>報告指出，他們並未發現任何證據，能夠證明負責審核與評估該採購案的人曾經遭到來自長官的施壓，而且這群人也不曾感受到來自業者的壓力，也未因川普對Amazon的大肆批評，而影響採購程序的完整性。</p> <p>微軟也在該報告出爐的同一天<a href="https://blogs.microsoft.com/on-the-issues/2020/04/15/dod-amazon-jedi-contract/" target="_blank">發表了聲明</a>，微軟法律顧問 Jon Palmer明白表示，微軟贏得了JEDI合約，是因為國防部發現微軟以更優惠的價格，提供了更好的技術。</p> <p>Palmer也批評，Amazon藉由此次的紛爭，不僅得知了微軟的競標價格，也獲得了微軟的私有資訊，可能讓Amazon在未來的雲端服務市場上，取得不公平的競爭優勢。他也不忘揶揄Amazon，指稱Amazon企圖讓外界相信他們輸了這場競標案，是因為美國政府對Amazon有偏見，殊不知其實是Amazon自己的訂價應負最大責任。</p> </div></div></div>
2020/4/16 17:00作者陳曉莉https://www.ithome.com.tw/news/137039
AI趨勢周報第128期：Google釋出QAT API，加速部署更輕、更快的ML模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0410～0416)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量化意識訓練 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google釋出QAT API，加速部署更輕、更快的ML模型</strong></span></p> <p>Google日前發表一款量化意識訓練（QAT）API，要讓開發者開發和部署更輕、更快的ML模型，同時又保有與原始狀態相當的精確度。QAT API是深度學習框架TensorFlow模型優化工具包的一部份，進一步來說，量化是指將模型轉化為較少參數、使用較少運算資源的過程，但精確度會有所損失。</p> <p>而QTA是要在向前的訓練過程中，模擬低精確度的推論運算時間。Google指出，這個方法可將量化誤差，視為訓練過程的雜訊和整體損失，可透過演算法來優化。也因此，模型能學習到更彈性的參數。Google也用ImageNet的圖像分類模型來測試QAT API的準確率變化，結果發現，經量化的模型準確度，和原本浮點基準模型相比，可從71.03％提高至71.06％，就算有所下降，最多也才差了0.76％，但卻可以加速訓練和減少參數。<a href="https://blog.tensorflow.org/2020/04/quantization-aware-training-with-tensorflow-model-optimization-toolkit.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-3WxWhk97tCk/XozZrMOzu0I/AAAAAAAAC6k/Eu01S-7qMCUGqpA5cFrMxXVYYkDlAj9nwCLcBGAsYHQ/s1600/quant_train.png" style="width: 656px; height: 480px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TensorFlow </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輕量模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>TensorFlow Lite不只新增輕量BERT模型，還推新工具來簡易模型客製</strong></span></p> <p>Google輕量版深度學習框架TensorFlow Lite問世近三年，日前發表一系列更新，主打能輕易客製高階模型的Model Maker工具，可透過遷移學習，來讓內建模型更適應使用者的資料集。特別的是，Model Maker只用了一個直覺式的API，來打包複雜的機器學習概念，因此，就算使用者不具AI專業背景，也能快速上手。Model Maker支援TensorFlow Hub上的多數模型，使用者只要用一行程式碼，就能轉換模型架構，達到更高的準確度。Model Maker目前只支援圖像和文字分類模型，未來將新增更多NLP和電腦視覺相關的模型。</p> <p>另一方面，這次新增也納入3種模型架構，包括EfficientNet-Lite、MobileBERT和ALBERT-Lite。第一款是輕量的圖像分類模型，可使用較少的運算資源和參數，達到高階準確率；MobileBERT則是優化版的BERT，比BERT更輕，執行速度快上4倍，準確率也相近。ALBERT-Lite也是優化版的BERT，比BERT小了6倍，延遲性也相當。<a href="https://blog.tensorflow.org/2020/04/how-tensorflow-lite-helps-you-from-prototype-to-product.html">（詳全文）</a></p> <div class="media_embed" height="315px" width="682px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ALxWJoh_BHw" width="682px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技防疫黑客松 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>成大肺炎AI從上千組團隊脫穎而出，上榜WHO科技防疫黑客松Top 25</strong></span></p> <p>成大團隊繼2月開發出武漢肺炎（COVID-19）胸腔X光片判讀AI後，不斷精進、優化，日前更組隊參加由WHO和科技龍頭舉辦的國際COVID-19科技防疫黑客松大賽，以92％準確度和1秒的判讀時間，從全球1,560個團隊中脫穎而出，成為醫療組25個獲選團隊中，唯一入榜的臺灣團隊。</p> <p>這套AI系統由上千張經標註的胸腔X光片訓練而成，只要1秒就能判斷是否有武漢肺炎病癥，可縮短人工判讀時間，加速檢測流程。這次黑客松大賽分為七大主題，像是醫療、教育、經濟、社群等，團隊挑戰競爭激烈的醫療組，並成為獲選的25組團隊之一。成大團隊指出，未來開發完成後，即便是在缺乏醫師的地區，也能透過AI迅速偵測疾病，阻止擴大蔓延。<a href="http://news.secr.ncku.edu.tw/p/406-1037-206329,r81.php">（詳全文）</a></p> <p><img alt="" src="http://news.secr.ncku.edu.tw/var/file/0/1000/img/4000/S__23748613.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言處理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> XTREME </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google釋出跨語言通用任務基準測試</strong></span></p> <p>近來深度學習崛起，出現許多處理跨語言通用任務的方法，但卻沒有有效的評估方法。為此，Google近日釋出跨語言通用任務基準測試XTREME，針對40種語言設計了9種不同程度的語意與句法推理任務，要來評估AI模型是否具備跨語言的知識。</p> <p>Google指出，顧及現有訓練資料，團隊盡可能挑選40種特色鮮明的語言（包含12種語系），來加強多樣性。當中也包含了鮮少研究的語言，像是印度達羅毗荼語系的泰米爾語、非洲尼日剛果語系的斯瓦希里等。而XTREME中的任務，涵蓋了句子分類、結構化預測、句子檢索和問答等。如此一來，AI模型要通過XTREME測試，就必須學習許多可以跨語言且通用的標準特徵，直接促進了跨語言的研究。<a href="https://ai.googleblog.com/2020/04/xtreme-massively-multilingual-multi.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聲音標註</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聲音標註有解！Google開源聲音分離模型資料集FUSS </strong></span></p> <p>Google發表了一套通用聲音分離資料集FUSS，來推動聲音分離的研究。FUSS可讓研究人員利用模型，從多個聲音來源的錄音中，分離出各種聲音。</p> <p>一般來說，就算擁有高品質、多重音源的錄音，也難以用參考基準來標註這些聲音，反而要用錄音室模擬器，來設計逼真的參考基準音。FUSS可解決這個問題，它採用了freesound.org上CC授權的音訊剪輯，取得約23小時的錄音，其中包含12,377種可用於混音的聲音，接著，Google再用TensorFlow開發的模擬器，來處理這些音訊剪輯，共建立了2萬個用於訓練的混音，1千個驗證用混音和1千個評估用混音。這次釋出的內容，包含各種聲音的FUSS資料集、音訊樣本的聲音組成程式碼，還有基準模型。<a href="https://opensource.googleblog.com/2020/04/free-universal-sound-separation.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Cloud Dataprep </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 簡化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google智慧資料服務Cloud Dataprep增強AI功能簡化資料清理</strong></span></p> <p>Google更新自家智慧資料服務Cloud Dataprep by Trifacta，加入新AI功能，強化資料疊加功能（Wrangling）、改善Dataprep核心轉換功能，讓清理資料和操作變得更簡單。</p> <p>Cloud Dataprep讓用戶可利用圖形介面，來瀏覽、清理和準備相關資料的服務，可處理結構化與非結構化資料。這次的更新，讓用戶使用Dataprep準備資料時，可透過探索模式來找出有用的資料，或是使用資料的方式，甚至用來強化現存資料倉儲。用戶可以使用快速指定目標功能，將資料疊加方案（Wrangling Recipe），快速映射到BigQuery中的資料架構或Cloud Storage中的檔案，不需要自行將資料轉換規則，來配對資料結構。<a href="https://cloud.google.com/blog/products/data-analytics/new-dataprep-ai-features-for-data-wrangling">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">聯合學習</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個資隱私 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Appier首席人工智慧科學家孫民：聯合學習是大規模醫療AI部署關鍵</strong></span></p> <p>Appier首席人工智慧科學家孫民指出，聯合學習具備遷移學習、分散式訓練，還有把關資料安全的差分隱私這三個特色，是實現醫療AI大規模部署的關鍵技術。假設，有多個分院想建置腦腫瘤電腦斷層掃描影像判讀的AI，團隊可透過遷移學習，收集各分院的醫療影像，訓練出母模型後，再部署到各分院。</p> <p>再來，為減少資料傳輸時間和成本，可在各分院利用分散式訓練，以自行產生的數據來訓練子模型，不需將所有資料回傳至母模型端，只須回傳模型統計值。為避免駭客從中作梗，聯合學習利用差分隱私機制，在回傳資料中增添雜訊，讓駭客無法推敲出特定個資，同時又不影響模型表現。孫民認為，聯合學習會是未來5年的熱門AI技術。<a href="https://www.ithome.com.tw/news/136925">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人臉偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR SDK </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉部偵測和重建更簡單，Nvidia釋出串流媒體人臉特徵偵測AR SDK </strong></span></p> <p>Nvidia推出AR SDK公開測試版，是一套專為視訊會議和遊戲等串流媒體，所設計的AR開發工具，可用來進行人臉偵測、人臉特徵標記偵測，或結合一般網路攝影機來建立人臉3D模型。</p> <p>AR SDK臉部偵測和追蹤功能，可在圖像或影片中，透過定界框（Bounding Box）偵測、定位和追蹤所有出現的人類臉部，或用來預測和追蹤人臉特徵標記，在臉部形狀、嘴唇、眼睛、眉毛和鼻子標記特徵點，還可用這些人臉特徵點，重建和追蹤3D人臉與頭部姿勢。這些功能可用於多種情境，像是追蹤相機中的臉部，或為圖像中的人臉加上各種特效，也能利用臉部表情，控制動畫或是遊戲角色。<a href="https://news.developer.nvidia.com/ar-sdk-now-available/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="338px" width="600px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="338px" src="https://www.youtube.com/embed/ZGxaAhIOgho" width="600px"></iframe></div> <p> </p> <p>圖片來源／TensorFlow、成大、Google、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Nvidia聯手海德堡大學，用自監督學習打造視點預測AI </strong></p> <p><strong>2. 臉書RegNet模型超越Google EfficientNet，在GPU上跑快5倍</strong></p> <p><strong>3. 結合多種AI輔助功能，Webex提升與會者彼此認識與語音控制</strong></p> <p><strong>4. 史丹福大學、Fitbit合作研究以穿戴裝置偵測病毒感染症狀</strong></p> <p>資料來源：iThome整理，2020年4月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 827.778px; top: 818.333px; width: 401px; height: 15.5556px;"> </div> <div aria-describedby="bubble-18" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 349px; top: 844px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-18"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 1008.28px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/4/16 14:07作者王若樸https://www.ithome.com.tw/news/137027
4.7吋的iPhone SE 2問世，Home鍵回來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果終於在本周三（4月15日）於官網發表<a href="https://www.apple.com/newsroom/2020/04/iphone-se-a-powerful-new-smartphone-in-a-popular-design/" target="_blank">第二代iPhone SE</a>，這是蘋果所打造的入門款iPhone，距離第一代（2016年）已有4年之久。iPhone SE 2採用4.7吋螢幕，配備去年iPhone 11所搭載的A13晶片，將於本周五（4月17日）開放預購，預計4月24日上市。</p> <p>iPhone SE 2也是目前螢幕最小的iPhone，蘋果去年發表的3款iPhone 11中，螢幕尺寸最小的為5.8吋，最大的則是6.5吋。不過，iPhone SE 2的螢幕已經大於第一代的4吋，而且整支手機的尺寸也比第一代多出30%，這令許多人感嘆「可以一手操作手機的時代，已經結束了。」</p> <p>此外，蘋果在2017年推出的iPhone X，所取消的實體Home鍵，則重新回歸到iPhone SE 2上，並整合了Touch ID指紋辨識功能。</p> <p>iPhone SE 2除了配備了最新的A13處理器之外，也號稱採用了iPhone史上最佳的單攝影機系統，帶來包括人像模式在內的運算攝影技術優點，並提供IP67等級的防塵與防水功能，可在1米內的水中支撐30分鐘。</p> <p>另外，iPhone SE 2也支援無線充電與eSIM。iPhone SE 2將有黑色、白色與紅色三種選擇，搭配64GB儲存空間的版本為399美元（14,500元新臺幣），128GB的是449美元（16,500元新臺幣），256GB的則是549美元（20,000元新臺幣）。</p> </div></div></div>
2020/4/16 13:45作者陳曉莉https://www.ithome.com.tw/news/137026
2020年3月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎（COVID-19）的疫情在全球各地接連爆發，這個月許多資安事件與新聞還是和疫情有關，除了上個月接連出現的網路攻擊持續發酵，企業的營運受到衝擊，醫療單位更成為駭客的頭號攻擊目標，而使得防堵疫情的工作更加艱辛。</p> <p>像是捷克第二大城布爾諾（Brno），就傳出當地的大學醫院因為遭受勒索軟體攻擊，而使得檢疫所需的時間拉長好幾倍，從原本的1天變成要好幾天才能完成，嚴重影響防疫工作。醫療院所的資安防護不足也是普遍存在的現象，例如先前有資安業者Greenbone Networks揭露醫療影響儲存系統（PACS）配置不當的問題，導致這些影像在網路上曝光，而Palo Alto Networks旗下的研究團隊Unit 42發布的報告也指出，醫院的影像連網設備執行的作業系統，逾8成已經終止支援，導致這些設備曝露於風險之中，這些醫院資安防護不足的現象，一旦受到攻擊，就會使得原本已經極度吃緊的醫療資源，變得更加窘迫，影響醫院救治病患的速度。</p> <p>在這種疫情當前的局勢，開始有資安業者打算為這些受到攻擊的醫療單位，免費提供因應勒索軟體攻擊的各式救援服務，也有駭客組織承諾不會趁亂打劫。然而，多數駭客仍是藉著武漢肺炎大肆發動網路攻擊，這個月出現了假冒疫情儀表板的惡意軟體，也有針對醫療機關發動的分散式阻斷服務攻擊（DDoS）等。</p> <p>不只是網路攻擊隨著疫情增加，連帶影響企業的運作方式，許多員工需要在家工作，以維持企業的生產力。這樣的變化使得視訊會議、協作平臺、遠端存取有關的系統，扮演了極為重要的角色，但不得不留意的是，員工想要存取這些線上服務，必須要倚賴家裡的電腦及網路環境，導致端點電腦的資訊安全格外受到重視。像是原本預計於加拿大溫哥華舉辦的Pwn2Own漏洞發掘競賽，這次除了改以線上進行，參賽者利用漏洞的攻擊標的，特別聚集於3大電腦作業系統，也突顯了大量員工在家工作之際，個人電腦也變成駭客鎖定的頭號目標。</p> <p>然而，在此同時，多家防毒軟體傳出漏洞，輕則讓掃描功能失去作用，嚴重的則能讓駭客遠端執行任意程式，大開作業系統權限。再者，這個月份的微軟例行修補日，修補了大量的嚴重漏洞，卻因為其中一個SMB第3版的漏洞，僅有通報卻沒有獲得修補，受到各界的關切，擔心微軟要是不修補，恐怕會釀成如同2017年發生的WannyCry，衍生為大規模爆發的災情。</p> <p>但這並不代表其他型態的漏洞就能夠被輕忽。本月資安專家揭露存在於硬體的漏洞也有不少，不僅發生於個人電腦的兩大處理器晶片組上，無線網路基地臺與NAS也出現重大漏洞，甚至有的已經遭到駭客濫用。資安專家認為，有些是寫死於韌體的處理器漏洞，除非汰換硬體，否則光靠韌體補救的效果相當有限，而且還會影響運算效能。無線網路的應用廣泛，也使得Kr00k漏洞的影響範圍，粗估會波及超過十億臺裝置。</p> <p>因疫情導致企業的營運變化，也左右了產品開發的步調，像是Google就宣布，Chrome與ChromeOS不再依循過去的快速發布策略，研發團隊的主要工作，集中於現行80版的安全漏洞處理，暫緩發表後續版本，原本表定於3月底推出的81版也因此喊停，延後到4月才正式推出。無獨有偶，微軟也表示，5月起推出軟體更新的策略，也打算取消提供選用功能的部分（C類與D類更新）。這場肺炎疫情，也使得整個資安生態大受衝擊。<br /> </p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/136066">無線網路晶片漏洞導致十億裝置流量可被解密</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0228-echo.png?itok=rxd4Uil7" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/136043">甫修補的漏洞被盯上，駭客大肆掃描Exchange的控制版元件</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/83-1-cve2020-0688.png" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/136330">微軟緊急修補SMB蠕蟲漏洞CVE-2020-0796</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/85-cve-2020-0796.png?itok=uS0hGo3o" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/136422">趨勢企業防毒軟體驚傳漏洞攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0318-qu_shi_fang_du_lou_dong_.png?itok=GSdCvQxx" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/136139">因軟體臭蟲導致誤發數位憑證！Let’s Encrypt撤銷300萬個憑證</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0304-letsencrypt.png?itok=spcZrbEd" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/136197">防治洗錢與詐騙亂象，南韓通過全球第一部加密貨幣法案</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0306-korbit.png?itok=tTq5bH7C" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/136274">歷時8年，惡意郵件殭屍網路Necurs巢穴遭剿清</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0311-hacker.jpg?itok=gGKzTRZg" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/136459">兩家資安業者聯手，免費為醫療院所處理勒索軟體攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0319-ransome_medical_0.png?itok=QhGIaHo3" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">9.</span><a href="https://www.ithome.com.tw/news/136231">AMD處理器存在旁路攻擊漏洞，資安研究人員通報後仍未修補韌體</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/jie_tu_2020-03-09_xia_wu_3.49.52.jpg?itok=4stjmBjy" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/136244">豐田、現代、Kia汽車防盜系統驚傳漏洞</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0309-toyota.png?itok=BVYt8oIh" style="width: 400px;" /></p> </div></div></div>
2020/4/16 12:26作者周峻佑https://www.ithome.com.tw/news/136618
Google移除49個竊取加密貨幣錢包機密的惡意Chrome外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現Chrome Web Store上，出現49個假冒加密貨幣錢包的Chrome外掛程式，旨在竊取用戶帳戶裏的金錢，已經遭Google下架。</p> <p>安全廠商<a href="https://medium.com/mycrypto/discovering-fake-browser-extensions-that-target-users-of-ledger-trezor-mew-metamask-and-more-e281a2b80ff9" target="_blank">MyCrypto</a>及<a href="https://www.phishfort.com/" target="_blank">Phishport</a>近日發現，Chrome Web Store上出現一批假冒的Chrome瀏覽器外掛，冒充知名電子錢包服務，像是Ledger、Trezoe、Jaxx、Electrum、MyEtherWallet、MetaMask、Exodus和KeyKeep，利用Google Ads或其他管道大打廣告，吸引用戶下載。</p> <p>這些假外掛基本上旨在騙取用戶敏感資訊，包括開啟電子錢包的助記詞（mnemonic phrases）、密鑰、密鑰儲存的檔案等。用戶連到輸入這些資訊後，外掛就會將向後端伺服器傳送HTTP POST呼叫，而把資訊傳給駭客，後者就可以藉此洗劫用戶錢包。</p> <p>研究人員發現這些假外掛連向14個彼此連結的不同C&C伺服器，但仔細分析所用的程式，其實背後連向同一組人，研判是操俄羅斯語的駭客，他們化身不同品牌騙取不同用戶。這些C&C伺服器的網域有80%，都是在今年3到4月間註冊。</p> <p>這些外掛部份於2月出現在Chrome Web Store上，其他則於後續2個月新增，其中有些甚至還獲得5顆星的評分。根據近日和這些電子錢包的新聞，<a href="https://www.zdnet.com/article/exclusive-google-removes-49-chrome-extensions-caught-stealing-crypto-wallet-keys/" target="_blank">研究人員相信</a>已經有用戶錢包遭到竊取，也<a href="https://cryptoscamdb.org/report/" target="_blank">呼籲受害用戶通報</a>。</p> <p>研究人員通報後，Google已經在24小時內將這近50款外掛移除。不過研究人員警告，由於歹徒還未落網，因此類似的假外掛未來可能還會出現在Chrome Web Store上。</p> </div></div></div>
2020/4/16 12:35作者林妍溱https://www.ithome.com.tw/news/137023
美國政府懸賞500萬美元徵求北韓駭客資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府周四祭出500萬美元，<a href="https://www.us-cert.gov/sites/default/files/2020-04/DPRK_Cyber_Threat_Advisory_04152020_S508C.pdf" target="_blank">要求各方提供北韓駭客及其駭客行動的資訊</a>。</p> <p>美國國務院、財政部、國土安全部及聯邦調查局（FBI）聯合發布公告，歷數北韓近年透過駭客在全球發動的攻擊，並依據聯合國安全理事會的報告，指稱北韓利用網路攻擊以迴避國際禁運制裁。</p> <p>報告指出，許多北韓駭客隷屬於北韓情報局（RGB），屬於國家資助的駭客，他們發展出各種惡意程式工具攻擊金融機構及知名企業，以獲利或作為政治報復，使用的手法包括網路洗錢、勒索軟體、挖礦劫持（cryptojacking）、駭入加密貨幣交易平臺，以及發動FASTCash手法遙控銀行系統ATM吐鈔。其「代表作」包括：2014年Sony被駭；2016年孟加拉銀行8100萬美元，經由SWIFT網路被盜轉；2017年殃及150多國的WannaCry 2.0。此外還多次駭入加密貨幣平臺，竊取900萬到2.5億美元的等值加密貨幣。</p> <p>2016年到2018年間，北韓駭客在名為Hidden Cobra的行動中，於銀行支付交換系統植入惡意程式遙控ATM。相關資安事件包括，2017年全球30多國的ATM，以及2018年23國的ATM，遭駭客遙控吐鈔。</p> <p>聯合國估計，截至2019年底，北韓駭客利用駭客及洗錢手法，已協助平壤政府從全球銀行攫獲近20億美元。</p> <p>美國國務院因此透過司法獎勵方案，針對提供北韓駭客活動資訊者，不論是過去或正在進行中的攻擊行動，包括Hidden Cobra行動，最高可獲得500萬美元。也呼籲企業強化網路資安及反洗錢最佳實作、協助通報及配合警方偵辦。</p> </div></div></div>
2020/4/16 13:00作者林妍溱https://www.ithome.com.tw/news/137024
資安一周第89期：暗網洩露Zoom帳號資料事件四起，使用者需養成良好密碼使用習慣自保
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0409-0415 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃視訊會議＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">Zoom驚傳用戶資料外洩，53萬筆帳密流入暗網</strong></h2> <p>正當視訊系統Zoom的安全及隱私問題在全球沸騰之際，傳出越來越多的用戶帳號流到暗網。先是有駭客免費公布352個Zoom帳號，並且允許任何人下載這份資料。但資安廠商Cyble指出，他們看到駭客論壇有人張貼數百筆用戶電子郵件與密碼，以便打開知名度，隨後該公司向這名駭客出價，總共買到53萬筆帳號資料，其中不乏知名的金融公司如摩根大通、花旗銀行，還有學校等機構的帳號。</p> <p>經過Cyble驗證之後，這些資料部分有效，有些是過時資料，對於分析購得的帳號結果，該公司認為，駭客可能是透過帳號填充（Credential Stuffing）攻擊取得，呼籲使用者不要在多項服務設置相同密碼。<a href="https://www.ithome.com.tw/news/136965"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃產品資安</strong></span></h3> <h2><strong style="vertical-align: top;">強化視訊會議系統安全，Zoom廣納資安專家</strong></h2> <p>因Zoom資安問題連環爆，迫使該公司執行長袁征出面滅火，表明會暫時凍結新功能開發，全力強化這款視訊會議系統的安全。現在這項行動有了更進一步的進展，該公司宣布，要成立資安長會議與顧問委員會，並且聘請前臉書安全長Alex Stamos擔任平臺安全的外部顧問。</p> <p>Zoom也列出資安長會議和顧問委員會的初始成員。前者集結了匯豐銀行、NTT Data、建築管理軟體公司Procore，以及抵押品管理軟體業者Ellie Mae等業者的資安長，後者則包括VMWare、Netflix、Uber，以及藝電（Electronic Arts）等公司的資安長。<a href="https://www.ithome.com.tw/news/136860"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃VPN ＃中間人攻擊</strong></h3> <h2><strong style="vertical-align: top;">SuperVPN存在中間人攻擊漏洞，聯繫不到開發者且遲遲沒有修補，遭到下架</strong></h2> <p>市面上免費的VPN服務很多，但可能在出現漏洞時難以通報開發者，更別說是進行修補。安全廠商VPNPro針對Google Play市集上的熱門VPN軟體進行研究，他們發現免費的SuperVPN存在中間人攻擊（MitM）漏洞，由於試圖聯繫開發者未果，後來將研究結果提報給漏洞揭露平臺HackerOne，並公開此事，3月19日Google證實這個漏洞確實存在，並於4月7日將SuperVPN下架。</p> <p>值得留意的是，SuperVPN在Google Play市集下載次數達到1.05億，超過領導品牌NordVPN與ExpressVPN。研究人員認為，如果已使用這款VPN應用程式的用戶，應該立刻刪除。<a href="https://www.ithome.com.tw/news/136911"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/89-1-supervpn-playstore.png" style="width: 400px;" /></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃容器安全＃挖礦攻擊</strong></h3> <h2><strong style="vertical-align: top;">出現鎖定K8s的大規模挖礦攻擊行動，兩小時內感染數十個叢集</strong></h2> <p>雲端容器調度工具Kubernetes已經成為標準，受到企業大量的使用，而容器化環境的加密貨幣挖礦攻擊也時有所聞，通常這些惡意挖礦活動，會在有漏洞的容器中悄悄運作。微軟最近發現一起規模龐大的挖礦攻擊，惡意容器僅在2個小時內，就被部署到數十個Kubernetes叢集。</p> <p>而這些遭受攻擊的K8s叢集有個共通點，就是儀表板曝露於網際網路，因此微軟建議管理者，要限制儀表板服務帳號存取叢集的權限，並且只允許使用受信任的映像檔等管制措施。<strong><a href="https://www.ithome.com.tw/news/136912">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補＃Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">已經推出更新軟體的Exchange漏洞，全球仍有35萬臺伺服器尚未修補</strong></h2> <p>軟體業者針對漏洞提供修補程式，但企業可能基於維持運作不中斷的考量，遲遲沒有安裝更新軟體。例如，資安業者Rapid7指出，微軟於2月修補的Exchange漏洞CVE-2020-0688，迄今仍有35萬臺伺服器尚未更新。這個漏洞存在於Exchange各個版本，也已被駭客用來發動攻擊。</p> <p>該公司表示，不少Exchange伺服器年久失修，像是其中有3.1萬臺Exchange 2010伺服器，自2012年後便不再更新，還有超過1萬臺是執行已經終止支援的Exchange 2007，如果這些伺服器有上述漏洞，微軟也不會修補。<a href="https://www.ithome.com.tw/news/136800"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體＃永恆之藍</strong></span></h3> <h2><strong style="vertical-align: top;">中國出現新的勒索軟體WannaRen大規模攻擊，臺灣用戶要小心防範</strong></h2> <p>類似WannaCry的大規模勒索軟體攻擊再度於中國上演！當地有許多用戶遭到一款名為WannaRen的勒索軟體攻擊，但火絨安全和奇虎360等防毒廠商相繼指出，它不只會加密電腦檔案，還會暗中挖礦。</p> <p>這起攻擊事件的手法，是該國的駭客組織模仿3年前的WannaCry勒索軟體事件，濫用美國國家安全局開發的永恆之藍（EternalBlue）漏洞工具橫向擴散，並且透過軟體下載網站散播勒索軟體病毒。火絨安全呼籲使用者，要從官方網站取得所需的應用程式，以免下載遭到帶有惡意軟體的檔案。<strong><a href="https://www.ithome.com.tw/news/136943">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/89-2-wannaren.png" style="width: 400px;" /></p> <p>圖片來源：火絨安全</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃產線資安</strong></span></h3> <h2><strong style="vertical-align: top;">群創光電傳出辦公電腦感染病毒，強調營運不受影響</strong></h2> <p>由於企業各式環境依賴網路連接，若是辦公環境電腦感染病毒，很可能會連帶造成工廠產能是否會中斷的疑慮。面板大廠群創光電於4月9日近中午發出聲明，表示同日凌晨發現辦公室的電腦遭受病毒攻擊，當下即執行網路隔離措施因應，病毒並未擴散，生產營運也沒有遭到波及。</p> <p>至於遭到電腦病毒感染的原因，群創並未進一步說明。不過，該公司也在聲明裡指出，他們打算設法彌補，進一步強化資訊安全防護，並且全面提升資安事件的因應能力。<strong><a href="https://www.ithome.com.tw/news/136882">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞公告</strong></span></h3> <h2><strong style="vertical-align: top;">居易路由器與交換器漏洞遭鎖定，已出現兩起攻擊行動</strong></h2> <p>臺灣網路設備近年來漏洞時有所聞，但廠商因應的態度也相當值得我們關切。中國資安業者奇虎360的網路安全研究實驗室（Netlab）於3月底揭露，有兩個駭客組織的攻擊行動，鎖定臺廠居易科技（Draytek）旗下Vigor寬頻路由器的零時差漏洞。</p> <p>居易科技在2月10日發布英文版資安公告，表示Vigor3900、Vigor2960，以及Vigor300B等3款型號受影響，並提供1.5.1版韌體。我們也向該公司確認臺灣是否提供有關資訊，他們直到4月9日才發出中文版公告。受影響且未修補的用戶，應儘速更新韌體。<strong><a href="https://www.ithome.com.tw/news/137006">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/89-3-draytek-cve-2020-8515.png" style="width: 400px;" /></p> <p>圖片來源：居易科技</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃白帽駭客</strong></span></h3> <h2><strong style="vertical-align: top;">張啟元竄改高鐵系統退票詐財案，一審判刑6個月</strong></h2> <p>如果未經系統所有者同意，駭客擅自尋找應用系統的漏洞，即便沒有惡意，在法律上恐怕還是站不住腳。有天才駭客之稱的張啟元，於2018年底涉嫌利用高鐵訂票系統漏洞，購票後竄改退票金額為20萬元，被高鐵發現異常加以攔截而未得逞。最近一審判決結果出爐。雖然張啟元以白帽駭客為自己辯護，宣稱拿到錢也會歸還，但桃園地方法院法官並不採信，再加上張啟元過去曾有多次類似找尋系統漏洞的前例，法官依詐欺罪判處6個月徒刑。<strong><a href="https://www.cna.com.tw/news/asoc/202004110250.aspx">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/136770">HP電腦技術支援軟體驚傳多項漏洞，新版仍未完全修補</a><br /> ●<a href="https://www.ithome.com.tw/news/136796">Mozilla修補2個Firefox重大漏洞，用戶應儘速更新</a><br /> ●<a href="https://www.ithome.com.tw/news/136843">義大利電子郵件服務email.it遭駭，60萬用戶資料流入黑市</a><br /> ●<a href="https://www.ithome.com.tw/news/136928">長期挾持美加網路流量，美國有意撤回中國電信經營許可</a><br /> ●<a href="https://www.ithome.com.tw/news/136946">舊金山國際機場網站遭駭客入侵，用戶憑證被竊</a></h3> </div></div></div>
2020/4/16 10:41作者周峻佑https://www.ithome.com.tw/news/137016
個人化推薦如何每月吸睛15億次，先得撐過3千次午夜爆量挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每天午夜12點，許多人可能早已進入夢鄉，街道上也從白天的喧囂歸於寧靜，但在這個萬籟俱寂的深夜時分，對一家網路公司而言卻不能鬆懈，因為短時間內湧入數十萬人，猶如售票業者搶票的盛況。「別人可能是偶而遇到，但我們卻是天天上演」，社群論壇網站Dcard（狄卡）創辦人暨執行長林裕欽說。</p> <p>自2011年推出以來，每天到了午夜12點，系統就會向參加「抽卡」的卡友（用戶）發送具有交友性質的Dcard，若卡友對配對的對象有興趣認識，可向對方發出交友邀請，對方同意才成為朋友。「抽卡」的交友機制因帶有命運的意味，受到許多年輕學生的歡迎，9年來超過3千次抽卡，讓Dcard團隊練就一身IT維運的功夫。</p> <p>Dcard是林裕欽在臺大資管系大二學生時和同學在課堂共同創作的作品，鎖定大學生社交圈，除了抽卡之外，核心服務為匿名社群論壇，讓用戶可自由發表心情文章，和有共同興趣的其他用戶互動，建立共鳴。林裕欽後來在2015年以狄卡為名正式成立公司經營。</p> <p>相較於1995年推出的PTT，在年輕世代的大學生裡，Dcard擁有相當高的知名度，每月不重覆訪客超過1,500萬人，用戶分享的熱門文章經常被大眾媒體引用，每月吸引過15億次瀏覽量。</p> <p><span style="font-size:28px;"><strong>建立跨平臺用戶追蹤系統</strong></span></p> <p>超過400萬用戶，每月產生的文章高達20萬篇，加上歷年累積的數百萬篇文章，如何依據使用者興趣，投其所好提供適合的內容？背後關鍵是運用數據分析及機器學習技術的推薦系統。</p> <p>林裕欽表示，Dcard會員數不斷增加，加上公司成立之後，團隊規模擴大，使得分工愈來愈細緻，依數據進行決策愈來愈重要。2017年至2018年，Dcard開始建立自動化推薦，透過數據分析，找出使用者感興趣的內容。</p> <p>不過，剛開始Dcard僅有網頁版，2013年先後推出Android及iOS版，讓Dcard得以準確蒐集用戶在行動裝置的使用行為數據，但要推薦能讓用戶感興趣的文章，必需能辨別追蹤相同用戶，在桌上型、行動裝置的使用行為數據。</p> <p>他們曾評估使用第三方的追蹤工具，但以Dcard上千萬的月活躍用戶規模，按第三方服務依使用數量計費，收費恐要價上億元，加上即時推薦需要即時追蹤跨裝置的用戶使用行為，以及數據分析Log、機器學習訓練模型等需求，他們決定自行開發數據追蹤平臺Bilanx，來實現跨裝置串接用戶的行為資料。</p> <p><strong><span style="font-size:28px;">打造自動化內容推薦系統投其所好</span></strong></p> <p>一般網路論壇常見的三大功能，搜尋、廣告及訊息流，在訊息流方面，Dcard從大量的文章訊息中，篩選出適合的內容提供給可能感興趣的其他用戶。早期Dcard文章推薦，是以過去36小時愛心數排序，將熱門文章推薦給用戶。</p> <p>而透過追蹤平臺Bilanx，掌握用戶在裝置端的行為數據，例如用戶喜歡什麼內容？每篇文章停留多久時間？再利用相似的人群喜好提供文章推薦。2019年Dcard開始一項專案，今年進入AB測試階段，當用戶進入Dcard首頁，就會看到一個News Feed專案的文章列表，向用戶推薦訊息內容，這項功能背後就是運用深度學習技術打造。</p> <p>他們參考YouTube經驗，將篩選訊息大致分為兩層，一為Candidate層，一層為Ranking層。先透過Candidate層從幾百萬篇文章中篩選出幾千篇，可能是用戶感興趣的內容，再經過Ranking層根據用戶的興趣、所在的地方、熱門文章、相似人群計算，為這些文章作排序。</p> <p>運用機器學習技術，根據用戶過去點擊的文章，預測他可能會點閱的其他文章，再根據回饋去訓練模型，搭配Bilanx來分群用戶，再利用AB測試不同上線版本差異，追蹤核心指標是否有提升。</p> <p>林裕欽表示，除了用戶追蹤的看板，可以明確掌握他的喜好之外，更靠機器學習，為用戶分群，還試了許多做法，以最基本的協同過濾（Collaborative Filtering，CF）為例，例如A喜歡某篇文章，B也喜歡某篇文章，A和B為相似的分群，深度學習也有CF版本。</p> <p>「為了讓每個人能找到共鳴，如何更有效率找出你感興趣的主題去討論，內容推薦就非常重要。這也是機器學習能長期不斷優化的事」，林裕欽說。Dcard借由AB測試，檢驗不同上線版本差異，調整推薦文章的篩選、排序方式。</p> <p>目前除了內容推薦，由於Dcard用戶註冊採實名制，用戶每天更換照片，上傳照片可能多達上萬張，Dcard也將機器學習運用於比對照片上，確定更換的兩張照片為同一位使用者，當機器學習無法肯定時，再由人工作再次確認。</p> <p><strong><span style="font-size:28px;">打造數據中臺是發展關鍵</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>用數據賦能每個人，作更快、更好的決策，</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size:18px;"><strong>讓溝通能夠以數據為導向，如果數據難以取</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size:18px;"><strong>用就無法做到。 ─── Dcard創辦人暨執行</strong></span></span><strong style="font-size: 18px; color: rgb(105, 105, 105);">長林裕欽。</strong><span style="font-size:18px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> </td> </tr></tbody></table><p>Dcard內部透過工作坊、讀書會等各種方式，讓員工接觸新技術、概念或方法，例如Dcard在2016年開始採用Kubernetes（簡稱K8s），當時團隊經過討論，評估對伺服器管理邏輯上更具優勢。林裕欽指出，不需要一臺一臺管理伺服器，大幅降低管理成本而採用，目前Dcard上的服務幾乎都採用K8s，利用K8s的自動擴充平衡，動態調整需要伸縮的服務，在更新程式碼也比較方便，但資料庫仍使用VM。</p> <p>他們也測試多種資料庫，像是MongoDB、Redis、MySQL、PostgreSQL，還有號稱比Cassandra快十幾倍的ScyllaDB。依據數據的類型、不同的業務需要，測試不同資料庫的特性，目前他們在核心的論壇服務使用PostgreSQL，而去年推出的電商服務「好物研究室」，背後則是使用MongoDB。</p> <p>他們很快就面臨新的挑戰，各部門各自發展時容易出現數據孤島，導致數據的整合分析、應用都相當不便，例如「好物研究室」的MongoDB，難以和用戶行為資料整合，最後，他們參考了阿里巴巴在2015年所提出的數據中臺，建立一個統一數據分析、查詢框架。</p> <p>Dcard發展自己的數據功能和指標，再經過不斷的優化調整如資料驗證，在2019年完成ETL、統一的定義等等，才完成了這個數據中臺的建置。</p> <p>目前他們在社群論壇服務使用的PostgreSQL及電商服務使用的MongoDB，在資料倉庫層主要使用BigQuery查詢，依資料查詢即時性較低的需求，則使用AWS Redshift查詢。資料分析介面統一使用Redash。</p> <p>透過建立數據中臺，帶來統一的權限控管、監控，以及資料定義及查詢、ETL、斷詞、標註、Archive和Log管理等等。</p> <p>「業務型態愈多，使用的資料庫愈多，愈能顯現出數據中臺的價值」，林裕欽說。</p> <p><strong><span style="font-size:28px;">讓員工學會自己分析資料</span></strong></p> <p>為了讓資料查詢能夠更有效率，Dcard透過內部訓練課程讓幾乎所有的員工，產品經理甚至是客服都會執行SQL指令，由Redash為每個人權限控管，這麼做可讓員工遇到問題時，能更快取得資訊解決問題。</p> <p>Dcard並非一開始就要求員工要會執行SQL指令，剛開始是負責BI的員工願意分享，透過工作坊教導其他員工，如何運用SQL指令作資料分析，發現成效不錯，才慢慢成為常態，鼓勵員工學習這項技能。</p> <p>「用數據賦能每個人，作更快、更好的決策，讓溝通能夠以數據為導向，如果數據難以取用就無法做到」，林裕欽直言，目標是要讓大部份員工都能學習做資料分析，公司內雖然只有一支由BI、AI組成的7人資料團隊，但他希望所有人都有能力進行資料分析。</p> <p>他認為落實數據思維的方式，是讓每個人都會使用SQL指令，遇到問題就能夠自己解決。當看到一項數據時會想知道背後的原因，自己就能分析資料，以更深入的方式去思考問題。</p> <p>不過，讓員工自己作SQL查詢，若查詢的資料比較複雜，同時間遇到較多人使用，可能拖慢資料庫的效能，為避免此一問題，Dcard利用資料庫快照，每小時快照一次來建立另一個查詢用的副本資料庫。</p> <p><strong><span style="font-size:28px;">靠層層快取、動靜分離應付流量</span></strong></p> <p>Dcard累積近500萬篇文章，過去卡友分享的熱門文章，像是「我吃了那男孩一整年的早餐」、「阿嬤這是Lv」，被許多用戶分享，經常登上大眾媒體版面，帶來許多的流量。而每天午夜12點的抽卡，短時間內吸引大量流量進來。</p> <p>林裕欽指出，相較於熱門文章使得整天流量都高，午夜的「抽卡」在短時間內產生流量高峰，數十萬人湧入打開Dcard，就像訂票業者面臨搶票狀況，團隊在天天歷練之下，培養出對資料庫特性有更深的理解。</p> <p>Dcard的資料快取會根據不同資料特性，選用不同的資料庫儲存，如大宗快取資料用MongoDB，若是以效率為要求，則使用Redis、Scylla。此外，還用ElasticSearch支援每天百萬次搜尋查詢。</p> <p>午夜時的「抽卡」，大量用戶開啟Dcard，這些用戶不只「抽卡」，也會觀看文章，「抽卡」比較能預期，將需要的資料先作快取，而瀏覽文章方面，透過層層快取資料，利用CDN、HTTP、瀏覽器、後端資料庫層層快取，層層快取結合不同特性資料庫，特別是在CDN使用Cloudfare worker機制，將API請求合併在一起。</p> <p>另外，他們也建立一套動靜分離機制，將文章拆分為不易快取的個人化資料（對文章的留言、愛心），和較易快取的非個人化資料（文章內容）。個人化資料偏動態且流量較大，非個人化資料偏靜態且流量較小，Dcard將動靜態資料拆開來快取，到前端再合併顯示在使用者面前。</p> <p>林裕欽表示，將文章資料變在靜態檔案，如JSON檔，讓CDN、前端的瀏覽器快取，如果發現該篇文章和上次請求沒有更新就可直接使用，或是從CDN取得，儘量降低對Dcard伺服器的要求。如果文章有更新，會通知CDN原本快取失效，並通知使用者更新內容。</p> <p>對於臨時爆量的請求，他們也利用K8s的自動擴充功能，自行開發一套系統，在資源不足時加開機器，做到維運管理自動化，當波峰過了，再自動調整因應。</p> <p>另外，Dcard也在非即時的任務，利用Message Queue的相關機制，以Pub/Sub、RabbitMQ處理非同步任務，以減少資料庫存取的波峰。</p> <p>他們也在善用預先計算機制，例如用Airflow提早進行資料的ETL、計算，再進行快取，降低尖峰時段所耗用的資源，提早應對流量的爆發。</p> <p><strong><span style="font-size:28px;">持續增加用戶規模、調整AI推薦</span></strong></p> <p>儘管在年輕學生已有蠻高的滲透率，但Dcard仍持續擴大用戶規模，去年底他們開放了自學校畢業幾年的社會人士，可以身分證註冊會員。另外，目前Dcard用戶的日停留時間約為30分鐘，他們希望靠AI建立個人化的推薦機制，拉長用戶的停留時間，增加用戶的互動比率。今年進入測試階段的AI訊息推薦機制，正在不斷調整優化中，在AB測試的組別中，他們發現有的組別甚至有20到30%的提升，成效不錯。</p> <p>目前在Alexa臺灣網站排名裡，Dcard排名第15名，表現甚至超過巴哈姆特、PTT等其他知名論壇，但Dcard並不以此為滿足。</p> <p>「我們的目標是持續增加使用者，提升服務品質，為每個人找到共鳴」，林裕欽說。</p> <p><strong style="color: rgb(51, 153, 255);">CTO小檔案</strong></p> <p><strong>林裕欽</strong></p> <p><strong>Dcard創辦人暨執行長</strong></p> <p>學歷：臺灣大學資訊管理學系</p> <p>經歷：2011年在大二的課程上和同學共同創作Dcard，2015 年正式成立公司導入專業化的經營，至今擔任Dcard公司執行長，負責制定戰略與管理公司，打造學習型組織，導入OKR目標管理。帶領打造AI推薦團隊，提供個人化推薦系統。</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>Dcard（狄卡）</strong></p> <p>● 地址：臺北市光復南路102號14樓</p> <p>● 成立時間：2015年</p> <p>● 主要業務：全臺灣最大、年輕族群有高滲透率與影響力的匿名論壇，並提供「抽卡」交友服務。去年新推出電商服務。</p> <p>● 員工數：120人</p> <p>● 資本額：3981萬元</p> <p><strong style="color: rgb(51, 153, 255);">公司大事紀</strong></p> <p>● 2011 年：推出 Dcard 網頁版</p> <p>● 2013 年：推出Dcard Android版</p> <p>● 2015 年：推出iOS版，成立狄卡股份有限公司</p> <p>● 2016 年：提供整合行動、影音、原生廣告、內容、活動與社群的廣告解決方案</p> <p>● 2018年：拓展版圖至港澳市場</p> <p>● 2019年：推出電商「好物研究室」</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960lin_yu_qin_.jpg" width="960" height="420" alt="" title="Dcard創辦人暨執行長林裕欽（攝影／洪政偉）" /></div></div></div>
2020/4/16 09:00作者蘇文彬https://www.ithome.com.tw/people/136905
程式臨摹的三個姿勢
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就算是老手，面對複雜的運作原理，也常有不知從何開始之感，此時，若有個臨摹對象作為參考，我們對於對相關演算法的理解或實現，就能有個大致的方向。</p> <p>事實上，程式臨摹並不是新手才需要做的事情，老手也能透過特意的臨摹，獲得各種演算法的實現機會。</p> <p><span style="font-size:28px;"><strong>依樣畫葫蘆</strong></span></p> <p>談到「臨摹」，多半會想到的是對書法或繪畫的模仿，學習者在自身能力基礎上，儘可能地實現出接近原作的作品，而在這個實現過程中，我們期待對於原作的整體結構、運用之技巧，甚至創作時的理念或意境，能有更多的認識或體會。</p> <p>在程式設計領域，其實也有臨摹的概念。面對語言、程式庫、框架等技術，開發者總會希望有範例程式碼，因為期待能藉由依樣敲打程式碼、組合元件的過程，認識如何以該門技術表達想法、體會這門技術適用的情境，以及熟悉發生錯誤時的應對方法等。</p> <p>希望有範例的目的，簡單來說，雖是依樣畫葫蘆，然而，臨、摹兩字其實各有意涵。</p> <p>「臨」是按照原作去寫或畫；「摹」是用紙或絹蒙在原作之上寫或畫。從這點來看，程式設計新手看著文件一字不漏地敲打、設定，就像是「摹」的動作，這時主要是在熟悉工具的特性，對語言、框架等來說，就忙著在熟悉語法、組態方式等，目的都是著重在認識工具怎麼使用是對的，而何時的用法又是錯的。</p> <p>熟悉工具特性的過程中，多少都會認識到範例程式想解決的需求，以及解決問題時的思路；在同樣或類似的需求情境下，試著以相同想法來衍生，自行敲打、設定、建立起可解決問題的程式，是屬於「臨」的過程，白話來說，就像是把書闔起來，測試自身可否寫出程式的過程。</p> <p>對開發者而言，臨、摹的過程會不斷的迭代進行，能讓我們在各種範例程式中，不斷地解決需求、熟悉工具。</p> <p><strong><span style="font-size:28px;">透過重構來臨摹</span></strong></p> <p>開發者應該都認同「知道原理是一回事，想要實現又是另一回事。」這句話，例如，在K了一堆論文，認識演算法的原理之後，最常浮現的念頭應該就是「有沒有程式碼啊？」若是又面對一坨浮雲般的流程圖或虛擬碼時，更會有種「阿鬼！你還是講中文好了！」的想法。</p> <p>不知道如何以手邊的技術將原理實現，就像不知道如何用手邊的畫筆來勾勒出相同的作品，在尚未拆解出作品完成前的每個步驟前，就算找到實現原理的程式碼，也可能因為程式碼的規模過於龐大，或者是流程交織過於複雜，此時若想要臨摹，往往也無從下手。</p> <p>面對這些已實現了原理的程式碼，開發者可以試著透過重構來找到起點。</p> <p>舉例來說，演算法在談論運作的原理時，應該都會區分為幾個步驟來說明，如果能夠大致找到這些步驟的對應程式碼，試著將之重構為獨立的區塊，或者是抽出為函式，這麼一來，原有程式碼的主流程，就會越來越清晰，越來越接近演算法原理中列出的步驟。</p> <p>例如，想要處理A、B兩個凸多邊形交集，原理是保留A在B中的點、B在A中的點，以及A、B邊的相交點，然後將這些點以逆時針排序。雖說原理看來簡單，然而，實現的程式碼，可能就包含了線交點、點是否線上、點是否在多邊型內部、逆時針排序等內容，而且，每個部份的程式碼實現，都有一定的份量。</p> <p>我們可以試著先辨識出程式碼中，與原理步驟大致符合的部份進行重構，接著，才針對這些重構後的部份，再重構出排序等部份，必要時，可持續細部重構下去。這就如同拆解繪畫作品的過程，在過程中，我們也可以進一步留意到，透過程式設計實現演算法時必須留意的技術細節。</p> <p>不過，透過重構實際的程式碼來臨摹，對初學者可能難度稍高，此時，可以試著從談重構與模式的文件中臨摹，而這類文件中多半會有重構前的程式碼，以及重構後符合某種模式的程式碼之對照，基本上，如果採行此類方式，我們可以同時認識到重構前程式碼的問題，以及重構後模式之作用，也是一種臨摹之法。</p> <p>然而，這種臨摹的重點在於重構的過程，請記得在不看文件的情況下，試著重現整個重構的過程；另外，不建議依樣畫葫蘆地套用模式，如果沒有既有程式碼，就依樣畫葫蘆地試圖套用某種模式，這麼做並不是種臨摹練習。</p> <p><strong><span style="font-size:28px;">透過「翻譯」來臨摹</span></strong></p> <p>如果開發者已經熟悉一門語言，並試著去熟悉另一門語言，將同一個需求分別以這兩門語言來實現，會是一種不錯的練習。除了語法層面的不同之外，能夠發覺風格、典範上的不同，是這個過程中最有趣的部份。</p> <p>以這種方式來臨摹時，重點可特意放在模仿新語言的文化，這就像是在仿造不同畫派的畫風，有時對新畫風的特意模仿所帶來的體驗，可能有助於過去既有畫風的突破，而在新語言中獲得的啟發，也會加深我們對既有已熟悉語言的認識，甚至影響程式撰寫的風格。</p> <p>有時候，是另一種情況，例如，開發者想用某個相對冷門的語言來實現某演算法，然而難以找到該語言的實現範例來參考。幸而，現在有各種語言的開放原始碼專案，我們可以找個已熟悉語言實現之專案，透過將該語言翻譯為開發者目標中的語言，而這也是個可行的臨摹之法。</p> <p>作為一門冷門語言OpenSCAD的使用者，這大概已經是我最熟悉的做法了，其難處在於，就如同翻譯這門工作本身，並不單純只是符號的轉換，而是在重新詮釋原作，若要透過「翻譯」來臨摹，必須對原作有一定的認識，這時，重構臨摹的手法經常會派上用場，接著，我們還必須找出目標語言中適合的作法，才能做好這份任務。</p> <p>透過翻譯來臨摹的效益，的確是雙向的，因為，我們在既有熟悉的語言部份，往往可以透過翻譯臨摹的過程，得到更深入的認識，並且獲得更多的技巧；而在翻譯的目標語言中，我們也可以獲得各種演算法的實現機會，若能順利在目標語言中實現，此時所獲得的能力，又可以回饋至既有熟悉的語言，在使用臨摹對象的程式庫時，也就更能掌握其特性了。</p> <p><strong><span style="font-size:28px;">臨摹不只是新手的事</span></strong></p> <p>在軟體開放原始碼盛行、各廠商方案眾多的這個年代，我們親手去實現演算法的機會並不多，或許也沒必要重新打造輪子，畢竟，還有更多要忙的事情，然而，正如〈<a href="https://william-yeh.net/post/2019/12/tech-interview/#kata-%E5%BF%83%E6%85%8B" target="_blank">Kata 心態</a>〉中談到的：「雖然我們常說：不要重複造輪子，但這並不代表，我們連造輪子的能力都不去操練。」</p> <p>如果開發者需要操練造輪子的能力，又不知從何開始，特意地透過臨摹來進行，或許是個不錯的方式，特別是透過翻譯來臨摹的方式。</p> <p>雖然對於眾多開發者而言，可能沒機會像我因為玩冷門的OpenSCAD，而必須自行構築出各種基礎元件，然而，若你打算特意地藉由臨摹來從頭開始構築某個方案，也可以從中獲得必要的練習。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%A8%E6%91%B9">臨摹</a></div><div class="field-item odd"><a href="/tags/%E6%BC%94%E7%AE%97%E6%B3%95">演算法</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/kata">Kata</a></div><div class="field-item even"><a href="/tags/%E9%87%8D%E6%A7%8B">重構</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">林信良.程式學習</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E7%99%BC">開發</a></div></div></div>
2020/4/16 09:00作者林信良https://www.ithome.com.tw/voice/136906
MIT開源可用來捕夢的穿戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>麻省理工學院的媒體實驗室（MIT Media Lab）在近日開源了可用來捕夢的<a href="https://www.media.mit.edu/projects/sleep-creativity/overview/#faq-in-laymans-terms-how-does-dormio-work" target="_blank">Dormio專案</a>，藉由在人們作夢之際喚醒他們，以紀錄夢境中的天馬行空，激發人們的創造力。</p> <p>研究人員認為，絕大多數的科技發展都是讓人們在清醒的時候使用，但睡眠占了人們生活的1/3，是個被遺忘的心靈國度，也是人們創造力的來源，因為許多有創意的想法，都是在缺乏控制與直接注意的狀態下產生。因此，假如人們可以控制夢境，就能掌握這些創意。</p> <p>Dormio專案所要捕捉的夢境是在入睡的第一階段產生的，亦即是在半夢半醒的淺眠階段（Hypnagogia），有不可預測的夢境，對空間與時間的感知失敗，也會有自發性的流動思想，有科學家認為這是個可能夢到解答的階段，藝術家則說這個階段可達到創造力的極限。</p> <p>你或許不知道，不管是發明家愛迪生（Thomas Alva Edison）、特斯拉（Nikola Tesla），或是詩人愛倫坡（Edgar Allan Poe），還是畫家達利（Salvador Dalí）都企圖利用這個半夢半醒的狀態來激發自己的創造力，他們在坐著打盹的時候，手握著鋼球，在達到Hypnagogia階段時，鋼球就會落地，把他們驚醒，再寫下或畫下夢境裡的想法。</p> <p>而Dormio專案即是把鋼球的方法現代化，它是由睡眠狀態追蹤系統、社交機器人與聽覺生物反饋機制所組成的穿戴式裝置，可配戴在使用者的手指上，藉由追蹤肌肉的放鬆程度、心跳與皮膚導電反應來判斷使用者是否進入Hypnagogia狀態；這時社交機器人即會發出聲音，通常是一些單字，試著讓這些單字進入使用者的夢境中，繼之再與使用者討論並紀錄夢境內容。在上述的程序中，使用者都只有輕微地被喚醒，也會試圖讓使用者再度進入Hypnagogia狀態，以持續挖掘使用者的夢境內容。</p> <p>該研究團隊已透過GitHub<a href="https://github.com/tomasero/openSleep" target="_blank">開源了Dormio的軟、硬體設計</a>，以供其它研究睡眠的科學家們參考，或是供有興趣的使用者自行打造一個捕夢裝置。</p> </div></div></div>
2020/4/16 00:40作者陳曉莉https://www.ithome.com.tw/news/137012
無線訊號動作偵測器Emerald被用於遠端監控武漢肺炎患者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>麻省理工學院電腦科學與AI實驗室（CSAIL）所開發的遠端監控裝置<a href="https://www.csail.mit.edu/news/csail-device-lets-doctors-monitor-covid-19-patients-distance">Emerald</a>，被運用在監控武漢肺炎患者上，Emerald外型類似Wi-Fi分享器，可以利用人工智慧分析環境中的無線訊號，以預測人們的生命跡象、睡眠以及運動。</p> <p>由於武漢肺炎病毒擁有極高的傳染能力，哈佛醫學院助理教授Ipsit Vahia提到，醫護人員直接與病患互動，不論是進行檢查和量測生命跡象，每一次接觸都會提高被感染的風險，而Emerald可以讓醫護人員不需要與武漢肺炎病患接觸，就能監控病患的健康資訊。</p> <p>Emerald不只能夠透過無線訊號的反射，遠距追蹤病患的行動之外，其高精確的動作偵測能力，甚至能夠偵測人們胸部的運動，因此能監控人們的呼吸頻率（下圖），而且即便同一空間存在多個人，Emerald也能夠清楚地區分出不同的人。</p> <p class="rtecenter"><img alt="" src="https://www.csail.mit.edu/sites/default/files/inline-images/covid_breathing-1.gif" style="width: 580px;" /></p> <p>由於Emerald能夠偵測呼吸問題，因此除了武漢肺炎，Emerald也能被用在偵測呼吸中止症上。這項研究來自於CSAIL之前的研究，<a href="https://ithome.com.tw/news/123898">2018年時，該實驗室就曾發表論文，成功以無線訊號隔牆偵測出人的動作</a>。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/UVRfHUtr5ps" width="560px"></iframe></div> </div></div></div>
2020/4/16 01:20作者李建興https://www.ithome.com.tw/news/137009
YouTube釋出免費工具Video Builder協助企業製作短影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube在本周釋出了免費的短影片製作工具<a href="https://www.blog.google/products/ads/youtube-video-builder/" target="_blank">Video Builder</a>，使用者可直接透過該工具設定版型、文字、照片或商標，在幾分鐘之內就能建立6秒、15秒或16秒的影片，該工具基本上是用來快速建立廣告影片的。</p> <p>YouTube Ads產品管理總監Ali Miller表示，Video Builder可以協助那些缺乏資源來拍攝或建立影片資源的企業，它能快速將諸如照片、文字或商標等靜態的資產變成動態，還可自YouTube資料庫選取配樂，並有多種版型可供選擇。</p> <p>由Video Builder所建立的短影片就像是個可自動播放的簡報，選擇照片、版型及背景音樂之後，使用者可輸入文字、選擇字型，它就變成一則廣告影片了。</p> <p>Miller表示，在疫情蔓延的時刻，企業可能很難外出拍攝影片，就能利用Video Builder來建立短影片，像是餐廳用它來宣布營業時間的變動，或是超市推出路邊取貨，也非常適合那些從來沒製作過影片的小型企業。</p> <p>已經試用Video Builder的室內設計平臺Havenly指出，過去要製作影片需要許多人力與時間，現在則可用更快的速度發表高品質的廣告內容。</p> <p>目前Video Builder仍為測試版，但企業必須主動<a href="https://services.google.com/fb/forms/videobuilderbeta/" target="_blank">提出申請</a>，審核時間約為5個工作天。</p> </div></div></div>
2020/4/16 01:30作者陳曉莉https://www.ithome.com.tw/news/137013
Google發布可簡化裝置上TensorFlow Lite模型部署的工具Model Maker
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.tensorflow.org/2020/04/how-tensorflow-lite-helps-you-from-prototype-to-product.html">Google發布了一個稱為TensorFlow Lite Model Maker的工具</a>，能使用轉移學習使機器學習模型，適應開發者自定義的資料集。Model Maker使用API封裝了複雜的機器學習概念，讓開發人員僅需要撰寫幾行程式碼，就能以TensorFlow框架訓練模型，並將模型部署到裝置上的人工智慧應用程式。</p> <p>TensorFlow Lite在2017年時發布，專為邊緣裝置設計的TensorFlow模型預測框架，是TensorFlow的精簡版本，讓開發者可以在行動、物聯網與嵌入式裝置中部署機器學習模型，目前已經被大量部署於全球40億個裝置中，支援Android、iOS以及Linux的物聯網裝置和微控制器。</p> <p>Model Maker是要讓開發者能夠根據自己的使用案例，自定義預訓練模型，使這些預訓練模型能夠應用開發者的資料集，Model Maker支援TensorFlow Hub上各種可用的模型，同時也包括這次新發布的EfficientNet-Lite、MobileBERT以及ALBERT模型，官方提到，開發者只需要修改一行程式碼，就可以切換使用不同模型基礎架構。Model Make目前支援兩種使用案例，分別是圖像分類以及文字分類。</p> <p>而官方新發布的EfficientNet-Lite、MobileBERT以及ALBERT三種模型基礎架構，可提供開發者應用於更廣泛的使用案例，解決各式問題。EfficientNet-Lite是一種新型的圖像分類模型，僅需要少量的計算以及參數，就能夠實現高精準度的預測結果；EfficientNet-Lite模型針對TensorFlow Lite進行了最佳化，能以可忽略的精度損失支援量化，並由GPU達到更快速的預測。</p> <p>MobileBERT則是熱門的BERT模型最佳化版本，BERT模型能夠以高準確性，執行一系列自然語言處理任務，包括問答、自然語言預測等工作，而MobileBERT的執行速度約比BERT還要快4倍，容量更小且可以維持相似的精準度。</p> <p>另一個新模型ALBERT，同樣是BERT的另一個輕量級版本，是個與TensorFlow Lite相容的版本，官方對模型的大小進行了最佳化，比BERT小6倍，比MobileBERT小1.5倍，但是延遲與BERT相當，也能提供相似的預測精準度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/bertmobilebertalbert.png" style="width: 580px;" /></p> <p>官方也說明了接下來他們的發展方向，仍然會繼續發布裝置上模型，推出更多模型支援電腦視覺以及自然語言處理的使用案例，同時也會發布新的教學教材與範例，展示在行動裝置上使用C/C++ API進行預測的方法。</p> <p>Model Maker也會獲得改進，能夠支援更多元的任務，包括物件偵測和更多自然語言處理任務，官方表示，他們要讓沒有機器學習專業的開發人員，可以透過遷移學習來建置新的自然語言處理模型，另外，他們也會擴展元資料和程式碼生成工具，並且與Android Studio和TensorFlow Hub等更多平臺整合。</p> </div></div></div>
2020/4/15 20:45作者李建興https://www.ithome.com.tw/news/137004
OpenAI發布機器學習模型神經元視覺化工具Microscope
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發布了機器學習模型神經元視覺化工具<a href="https://openai.com/blog/microscope/">Microscope</a>，可系統性地視覺化數種常見模型的神經元，而這將有助於研究人員對於模型的可解釋性研究。OpenAI提到，就像是生物學家經常專注研究幾種模式生物（<a href="https://zh.wikipedia.org/wiki/%E6%A8%A1%E5%BC%8F%E7%94%9F%E7%89%A9" target="_blank">Model Organism</a>）一樣，目前Microscope的初始版本，僅包含了9個經常受研究的視覺模型，以及對這幾個模型特別有用的數種視覺化技術，接下來還會擴展應用其他模型以及技術。</p> <p>神經網路由成千上萬個神經元組成，神經元交互作用才能使神經網路發揮功能，為了理解這些神經元的運作，OpenAI視覺化這些交互作用，並且對外共享觀察結果。研究人員可以利用Microscope來驗證猜測，像是當研究人員假設InceptionV1 4c:447汽車偵測器，是由輪胎偵測器4b:373以及窗戶偵測器4b:237所組成，便能透過Microscope快速探索這些神經元，驗證假設正確性。</p> <p>OpenAI解釋，Microscope建構於位置以及技術兩個概念之上，位置就像是顯微鏡的朝向，而技術就是固定其上的鏡頭，顯微鏡操作者可以利用特定的鏡頭看向特定的位置，也就是說，Microscope讓研究人員可運用不同的技術，深入了解不同位置的神經元。</p> <p>機器學習模型由節點圖構成，節點與節點間以邊相連接，每個操作都包含了數百個單元，這些單元就類似大腦的神經元，OpenAI提到，目前Microscope的大多數技術，只能使用特定的解析度，像是特徵視覺化只能指向單一單元，而不能為父節點。OpenAI使用的視覺化功能，包括功能視覺化、DeepDream、資料集範例以及合成調校曲線，未來OpenAI還會加入更多的視覺化技術。</p> <p>目前這項工具還無法應用在自定義模型中，OpenAI解釋，要視覺化這些模型，產生數百萬個圖像和底層資料，需要大量的分散式作業，現在執行此操作的工具無法釋出，因為都和其他基礎設施混雜在一起，不過，用戶可以取用Microscope用來視覺化模型的底層技術lucid函式庫。</p> </div></div></div>
2020/4/15 21:20作者李建興https://www.ithome.com.tw/news/137007
開放銀行第二階段技術與安控規範方向曝光，政大也將推TSP法遵合規輔導服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣開放銀行（Open Banking）在2020年將邁入下一階段「消費者資訊查詢」，雖然正式上路時程還未定，但各方早已開始備戰。在4月14日一場線上活動中，負責TSP媒合的政大，首度揭露了第二階段自律規範部分樣貌，以及Open API技術與資安標準的概略架構，不過，正式的規範內容仍需待金管會核准後才會公開。</p> <p>這場說明會聚焦在TSP如何符合銀行在資安與法遵的各種要求為主，以及政大日後將提供的TSP輔導內容。政大金融科技研究中心主任王儷玲在說明會直播中表示，TSP業者的參與將會是臺灣是否能成功推動開放銀行的重要關鍵。不過，她提到，首先得讓TSP業者達到開放銀行第二階段合規的各項要求。於是，在接下來的第二、第三階段，政大也將扮演輔導TSP的角色，協助TSP業者以有限資源符合銀行的資安與法遵要求，達到雙方介接技術的一致性和合規。</p> <p><span style="color:#FF8C00;"><strong>政大建議TSP先從法遵著手，再談業務與資訊調整</strong></span></p> <p>第一階段上路後，金管會曾提出，要以銀行級的資安標準來要求更敏感的資料開放行為。自去年10月開始，銀行公會和財金公司開始討論第二階段的相關技術與資安標準規範，並與十多家銀行討論，王儷玲表示，政大也參與這個過程，深入了解銀行端對於TSP業者的要求以及顧慮。同時，也把這些顧慮納入輔導範圍，讓新創公司能達到第二階段合規的要求。政大計畫在5月中另一場活動中，將進一步介紹介接一致性和合規的細節。</p> <p>政大金融科技中心顧問謝焸憲點出，第二階段的挑戰是，有些TSP業者與銀行談妥業務面、資訊面議題後，最後卻在法遵面失利，比如後續稽核，過不了銀行那關。</p> <p>所以，謝焸憲建議，TSP反而應從法遵面開始，先符合銀行要求的技術、營運與監理層面，再往下進行業務面的討論與資訊面的調整。「先求合規，再求合作。」讓TSP成為一個合規的第三方服務業者（Qualified TSP，QTSP），再來與銀行談業務上的合作，他說。</p> <p>而在Open API的法令架構上，銀行與TSP合作須基於銀行公會訂定的自律規範，謝焸憲揭露，目前自律規範中提到，TSP必須與銀行簽訂合約、符合技術與資安標準、符合ISO 27001或相當認證。而在財金公司訂定的技術與資安標準中，銀行則要遵守Open API技術規格文件，以及業務安全控管作業規範。</p> <p>謝焸憲強調，銀行公會有一份資安標準文件，列出了銀行與TSP合作時的規範。其中，第一個是安全控管要求，包括消費者註冊以及資訊查詢時的身分確認安全設計、網路型態與其安全設計、設計原則的共通要求與各類安全要求。二是資訊系統標準，要訂定組織、人員與設備安全的相關管理措施；應就機房、營運、網路、金鑰、系統生命週期、資安事故、營運持續管理等採取資訊安全維護措施。第三則是配套監理措施，需在業務申請時及其後每年由公正第三方進行檢視，提出資訊系統及安全控管作業評估報告。</p> <p>對TSP而言，在合規上，合作前有三大重點工作，包括資格、技術、營運。在資格部分，得是合法登記公司，具備穩健經營的證明，並提供聲明書與相關文件，比如良民證等。在技術層面，包括連線安全、API檢驗等項目都要合規，TSP業者或其委託開發廠商所開發的應用程式介面，上線前要經安全性測試合格。而營運部分，TSP業者則須提供ISO 27001標準認證或相同等級的認證，以及資安防護能力經第三方驗證的證明。</p> <p>與銀行合作後的合規重點則是稽核，包括TSP年度自行查核，以及銀行內稽抽查。在TSP內部稽核措施，政大建議，先由原ISO 27001驗證單位進行檢視，並提供報告。而對於銀行內稽抽查，政大則建議由銀行視必要性委任其他單位，對TSP做外部稽核檢視。比如，可委託配合的會計師事務所，也可參考IASME框架進行外部查核。</p> <p>謝焸憲也揭露了第二階段Open API技術與資安架構示意圖，儘管這還不是金管會拍版定案的正式版本，但可一窺未來可能的規範方向。規範重點例如，連線標準採TLS 1.2的通訊協定。而使用者身分認證上，共有電子簽章、金融卡、信用卡、MobileID四種方式，而金融卡與信用卡這兩個是由銀行代驗，MobileID則由電信業者代驗。而消費者授權TSP業者去查詢在銀行的資料時，包括初次認證、再次認證，以及授權與授權期限，還有訊息安全性等，都是整個架構的環節。</p> <p>政大將會推出一個約4到6個月的TSP輔導流程服務，包括了訓練課程（包括商業面、法令面、技術面和測試檢驗課程）、ISO輔導、介接標準介紹等，以及後續協助TSP進行ISO認證與介接自檢等。</p> <p>特別在測試檢驗這部分，政大也與SI合作、建立了測試標準、標準版API範本、開發資料驗證小工具以及API測試小工具等工具，可供銀行與TSP參考。謝焸憲提到，5月中的說明會揭露更多資訊。文⊙李靜宜</p> </div></div></div>
2020/4/15 19:46作者李靜宜https://www.ithome.com.tw/news/137002
Fintech周報第141期：英國TSB銀行急推線上真人客服，讓250名居家上班員工仍能服務客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0411～0417</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> TSB Bank </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 真人線上客服 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 居家辦公</span></strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國TSB銀行急推線上真人客服，讓250名居家上班員工仍能服務客戶</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">英國武漢肺炎（COVID-19）死亡病例已超過1萬多例。英國TSB銀行近期公告，疫情期間會在減少營業時間的情況下，維持部分分行的營業，但也僅提供基本的服務，比如客戶遇上財務困難，需要支付現金或支票，或像是客戶需透過臨櫃或自動櫃員機（ATM）提領現金等服務，以滿足民眾對銀行的基本金融需求。然而，TSB銀行也建議客戶，絕非必要不要造訪分行，即便來訪也必須保持社交距離。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">由於分行與電話聯絡中心的人力有限，但為了服務廣大客戶，TSB銀行近期在自家網路銀行與行動App推出智能代理（Smart Agent）功能。這是一個結合聊天機器人與TSB銀行人員的平臺，客戶可以藉由此功能，線上詢問如何申請貸款還款假期（Mortgage Repayment Holiday）、個人貸款、商業貸款的詳細資訊。該功能從3月底推出不到兩周，已經回應了超過11,000個來自客戶的詢問。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">TSB銀行指出，找來廠商協助下只用5天就推出了這個新系統，也培訓了250多名員工線上提供服務，雖然這些員工大多數都居家辦公，且原本在TSB銀行負責的領域並不同，卻能在疫情期間在家為客戶提供服務，這也展現了這家英國銀行隨機應變的能力。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 證券期貨業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 居家辦公</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">證券期貨業需達4項條件，才能申請啟動居家辦公</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不只多家金控開始實施居家辦公，金管會證期局副局長蔡麗玲4月9日表示，證券期貨業將居家辦公列為次要選項，會優先採取異地備援的方式。不過，她強調，證券期貨業不管是居家辦公還是異地辦公，資安控管、風險控管、內控機制都必須到位。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">蔡麗玲也表示，證券、期貨、投信業者若要啟動居家辦公，需有發生重大社區感染案例、員工確診、一半員工有居家隔離或檢疫狀況，以及有其他特殊情況需求等4項條件，即可向證交所或是期交所申請啟動居家辦公，再事後通報金管會。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">由於證券期貨業者有營業員和自營部門，一旦啟動居家辦公，有何配套措施？蔡麗玲指出，營業員接單會先從公司電話轉到居家辦公者的手機或電話，且目前大多券商都能透過留存音檔，來保留客戶的下單記錄。而自營部門下單方面，營業員自行下單則會透過公司系統管控，並另外拉VPN網路控管資安，公司即可掌握下單狀況。業者也可透過遠端錄影或是在居家辦公人員家中架設裝備來錄音、錄影，來記錄交易時間與過程。證期局表示，相關具體作法則會再交由證交所、期交所及投信公會研議。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位科技處</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐金控數位決策金三角成形，延攬萬幼筠擔任數位科技處處長</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%90%AC%E5%B9%BC%E7%AD%A0_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控為了一圓數位轉型願景，在2018年找來具有警政背景的前富邦金控資安長李相臣，擔任永豐金控資安委員會召集人，並同時擔任永豐金控數位科技處處長兼總經理辦公室主任。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，永豐金控為了擴大數位高層的規模，在找來李相臣後，也接續聘用成大電機系教授張天豪擔任永豐金控顧問，負責AI與大數據的應用；更在4月14日找來前勤業眾信風險管理顧問公司總經理萬幼筠，從李相臣的手中，接手數位科技處處長一職。這也讓永豐金控數位決策鐵三角的運作模式，正式成形。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控總經理朱士廷日前曾透露，數位服務無斷點是永豐金控年度目標，資安、金融科技及AI大數據，將成為整合數位產品服務的關鍵。<a href="https://www.ithome.com.tw/news/136984">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 陳昇瑋 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山金控 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山金控科技長陳昇瑋腦出血病逝</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%99%B3%E6%98%87%E7%91%8B_%E6%94%9D%E5%BD%B1%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣人工智慧學校在4月13日突然發布了一則悼文，公布臺灣人工智慧學校執行長陳昇瑋，因腦出血意外陷入昏迷後過世的消息。陳昇瑋在2014年創辦了臺灣資料科學愛好者年會，2017年開始大力推廣產業AI化，2018年成立了臺灣人工智慧學校，2年來訓練了6千多位AI人才。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山金控在2018年找來陳昇瑋擔任科技長，花了一年多時間，陳昇瑋一手打造了玉山金控的智能金融處近百人的團隊，展開了近百項AI專案，也建立了一套資料分析架構，來加速這些AI專案的研發，後來他更成為玉山銀行副總經理，也兼任銀行端的科技長兼數位長。今年，他本來預計要擴大多項AI金融科技的應用廣度，以及擴編玉山金控的AI團隊戰力，但突然因腦出血而過世。玉山金控也發布正式公告證實了這個消息。</span><a href="https://www.ithome.com.tw/news/136940"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">（詳全文）</span></a><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"> </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> HR部門 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臺灣也有銀行開始用AI輔助招募，星展銀行臺灣子行4月先靠AI篩選信貸電銷業務人力做起</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">新加坡星展銀行在2018年推出人工智能招募系統JIM，整合履歷、心理測驗及情境問答回應，自動進行初步評選，分擔HR八成資料篩選時間。今年4月1日，星展臺灣子行也正式導入，目前先從消費金融部的信貸電銷業務人員招募的前置篩選開始。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">臺灣星展銀行人力資源處處長盧方傑說，上線前先累積3、4個月的臺灣在地資料，比如在公司業績較好的員工的心理測驗結果等資料，要來訓練AI模型。接下來也會持續累積應徵者的資料，以比較人工評估和JIM自動化評估的結果，來微調AI模型。不過，上線第一周只用於10多筆履歷，今年下半年，預計擴大應用到需求人數更大的儲備幹部徵選。</span><a href="https://www.ithome.com.tw/news/136881"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">（詳全文）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 媒體 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新聞追蹤</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">義大利最大通訊社開發區塊鏈新聞追蹤系統，供讀者驗證新聞真偽</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_ANSA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20ANSA.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">義大利最大新聞媒體ANSA宣布，與安永旗下EY Advisory S.p.A.合作，用區塊鏈技術開發新聞追蹤系統。目標是要利用區塊鏈技術來顯示新聞來源，強化組織、讀者之間的信賴關係，讀者可以使用稱為ANSAcheck的新聞追蹤標籤，檢查在ANSA平臺、其他編輯出版物，以及社交媒體等第三方上的新聞，其歷史以及來源。這套追蹤系統使用了以太坊（Ethereum）技術，利用智能合約產生新聞加密字符，每一篇文章都會上鏈，以供驗證新聞是否來自ANSA。不只讀者可以比對，ANSA也可用來追蹤自家新聞被使用的情況。</span><a href="https://www.ithome.com.tw/news/136842"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">（詳全文）</span></a></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 政大 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> TSP業者</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">開放銀行第二階段技術與安控規範方向曝光，政大將提供TSP法遵合規輔導</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣開放銀行在2020年將邁入下一階段「消費者資訊查詢」，雖然正式上路時程還未定，但各方早已開始備戰。在4月14日一場線上活動中，負責TSP媒合的政大，首度揭露了第二階段自律規範部分樣貌，以及Open API技術與資安標準的概略架構，不過，正式的規範內容仍需待金管會核准後才會公開。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">政大金融科技中心顧問謝焸憲強調，銀行與TSP合作須合規的重點，是在銀行公會提出的那份資安標準文件。包括了安全控管要求、資訊系統標準、配套監理措施的細項說明。他進一步指出，若以TSP與銀行合作前，有三大合規項目要做，包括資格、技術、營運。而在與銀行合作後的合規項目則是稽核，包括TSP年度自行查核，以及銀行內稽抽查。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">政大金融科技研究中心也將在第二階段作為輔導TSP的角色，協助TSP業者以有限的資源符合銀行的資安與法遵要求，以及讓TSP達到與銀行間的介接技術合規一致性。<a href="https://www.ithome.com.tw/news/137002">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／</span><span style="font-size: 14pt; vertical-align: top;"> </span><span style="font-size: 14pt;">ANSA</span><span style="font-size: 14pt; vertical-align: top;">；攝影／洪政偉</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">1</span></strong><strong style="vertical-align: top; font-size: 18.6667px;">. </strong><strong><a href="https://www.linkedin.com/pulse/my-first-day-ceo-our-journey-together-arvind-krishna/">前美國銀行技術長Howard Boville將接任IBM雲端平臺負責人，5月1日正式就任</a></strong><strong style="vertical-align: top; font-size: 18.6667px;"><strong>　 </strong><br /> 2. </strong><strong>受疫情影響，新加坡金融管理局宣布將延長發放純網銀執照時間<br /> 3. 英國挑戰者銀行Monzo決定關閉在拉斯維加斯辦事處， 165名人員遭解雇</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">資料來源：iThome整理，2020年4月。</strong></p> </div></div></div>
2020/4/15 19:48作者李靜宜https://www.ithome.com.tw/news/137010
協助企業抗疫，互動資通開放免費使用team+企業版，最長可至年底
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情在全球大流行，為了降低疫情風險，不少企業紛紛規劃遠距辦公、居家辦公等彈性工作方式，對相關遠距通訊協作工具需求大增。看準企業這波抗疫需求，互動資通宣布推出免費防疫包，將原本需付費的通訊協作平臺team+企業標準版開放企業免費使用，最長可免費使用至今年底。</p> <p>team+原先就有免費使用的體驗版，但採公有雲服務模式，提供文字版IM即時訊息，以及工作指派或任務管理、公告、檔案管理等協作功能，但不支援語音、影像通話及API功能，體驗版較適合企業快速體驗，以及對資安需求不是那麼高的中小型或微型企業使用。</p> <p>新推出的免費防疫包，將原本需要付費才能使用的team+企業標準版開放有需要的企業免費使用，企業需先提出申請，由互動資通審核通過後，才能免費使用team+企業標準版服務，並且免費升級商務視訊會議模組。依申請的企業需要，最長可免費使用到今年底。</p> <p>team+企業標準版支援網路電話，包括App to App、App到分機，以及影像通話功能，搭配商務視訊會議模組，能提供多人視訊會議功能，雖沒有限制會議人數及場次，但每場視訊會議限時為40分鐘。標準版也提供API介接，可串接企業內部各項系統，如ERP、CRM、公文、差勤等。此外，對資安及系統穩定有更高需求的企業，還可額外付費加裝其他模組，例如資安、HA架構模組。</p> <p>不過，需注意的是，原本付費的team+企業標準版採私有雲部署，即企業能部署在自家私有雲，在可控管的環境下，確保資訊安全。而這次互動資通推出的免費防疫包，開放企業申請免費使用team+企業標準版則不同，並非部署在企業的私有雲，而是部署在互動資通向IDC業者租用的主機代管服務。換言之，對企業而言，開放免費使用的team+企業標準版為公有雲服務，對資安可控性較高的企業可能並不適用。</p> <p>互通資通表示，以IDC業者的主機代管提供服務，目的在降低企業部署在私有雲上的相關準備工作，通過審核後將儘快開放企業免費使用服務。</p> <p>另外，雖然這次免費使用的team+企業標準版沒有使用者人數限制，但並非所有企業都適合使用。互動資通表示，因team+是以一般企業內部協作為目的，可能不適合特別的產業需求，例如這次因應疫情衝擊，迫切建立遠距教學環境的教育單位，不建議個人或學校提出申請。</p> </div></div></div>
2020/4/15 20:05作者蘇文彬https://www.ithome.com.tw/news/137011
行政院聯手臺灣AI Labs開發社交距離App，靠手機藍牙蒐集匿名用戶接觸史，更透過去中心化架構避免隱私問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球武漢肺炎疫情加劇，各種科技防疫工具也紛紛出籠，尤其社區感染成了不可避免的風險後，不少國家或科技巨頭，開始打造社交距離偵測工具，如Google和Apple最近宣布聯手用藍牙打造接觸史追蹤技術，來減緩疫情的擴散，臺灣先前也利用科技手段，建立居家檢疫一條龍的防護流程，最近更要推出一款「臺灣社交距離App」，能用來提醒民眾是否接觸過確診或居家檢疫者，目前已經釋出Alpha測試版，最慢在5月1日之前就會正式上線。</p> <p>行政院在4月11號宣布這款App的開發進程，不只從3月就開始與臺灣AI Labs合作開發，功能也已大致完成，正在進行內部測試。行政院資通安全處處長簡宏偉說明，這款App是利用手機藍牙偵測自己與他人接觸的社交距離，並記錄到手機中，除非這些用戶成為確診或居家檢疫的對象且同意分享資料，否則資料不會被隨意上傳、提供給政府單位。行政院未來也要將這款App用於防疫，並負責進行後續的系統維運，預計4月底可以開放民眾下載。</p> <p>AI Labs創辦人杜奕瑾也進一步說明，App的開發是以隱私為優先考量，採用去中心化的架構，讓用戶下載App到手機之後，手機每15分鐘會自動生成一個ID的雜湊值（Hashed ID），當藍牙偵測到附近幾公尺有其他人的手機時，雙方手機會互相記錄彼此的Hashed ID，也會同時記錄下接觸的時間長度與距離，再儲存在各自的手機中，28天後自動刪除。</p> <p>而且，雜湊函數產生的手機ID，無法以任何方式還原成個人資料，App上也僅會顯示蒐集到的Hashed ID數量，不會顯示Hashed ID值、接觸時間長度與距離等詳細資訊，加上每4～5小時才更新一次，因此，用戶無從透過這些資料來反推還原接觸者的身分，能做到完全的去識別化。</p> <p>有了這些記錄，未來在疫調上，也多了一個管道來提醒民眾是否有染疫風險。臺灣社交距離App負責人詹仲昕表示，未來若有用戶被認定為確診者或居家隔離者，衛政、醫生或疾管署人員將會主動詢問，是否願意上傳過去手機所生成的Hashed ID資訊，若該名用戶願意，就能進一步註冊App、綁定手機號碼並上傳Hashed ID，也就是說，用戶能掌握自已想分享的資訊。而這些上傳的資料，會由行政院來維護，7天後也會自動從伺服器中刪除。</p> <p>接著，其他用戶的App會自動下載這些公開Hashed ID資料，與用戶手機上的記錄比對，「曾經與接觸者在1.5公尺內，接觸長達15分鐘或30分鐘以上的用戶，系統會提醒他注意最近的身體狀況。」詹仲昕表示，用戶收到提醒後，若有身體不舒服的狀況，就能主動與防疫人員聯繫。</p> <p>除了用來比對與染疫高風險者接觸的情況，AI Labs創辦人杜奕瑾談到，用戶也能透過每日社交距離App記錄到的接觸者數量，根據這個數字來作為旅遊、通勤、購物的決策參考，來更精準地避免人與人之間的實體接觸，「因為你可以知道今天在人群裡維持社交距離的情況，就能去思考如何減少接觸者數量。」</p> <p>不過，相較於Google與Apple未來要將追蹤技術直接內建到iOS和Android兩大手機OS中，以便用戶不必安裝App也能使用該服務，臺灣的社交距離追蹤App需要下載，才能記錄下接觸者的Hashed ID來防疫。儘管下載App的動作，是建立於使用者同意的基礎，但這也意味著，越多人使用才能更有效的追蹤疫情。「未來，App正式上線之後，也會陸續揭露其他功能。」詹仲昕說。</p> </div></div></div>
2020/4/15 19:17作者翁芊儒https://www.ithome.com.tw/news/136996
思科啟動融資專案，協助客戶及合作夥伴渡過疫情衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.cisco.com/press-release-content?type=webcontent&articleId=2069370" target="_blank">思科（Cisco）於本周宣布</a>，旗下的融資部門Cisco Capital已推出新的「企業韌性計畫」（Business Resiliency Program），將提供25億美元的資金來支持思科的合作夥伴與客戶，協助它們渡過因武漢肺炎疫情而帶來的業務衝擊。</p> <p>思科執行長Chuck Robbins表示，在此一疫情期間，該公司的許多客戶及合作夥伴都蒙受巨大的壓力，以期能執行業務，並維持生產力與安全，而現金流即是這些客戶與合作夥伴在此一環境下的首要考量。</p> <p>因此，此一新的企業韌性計畫涵蓋了90天的訂金付款寬頻期，也允許客戶在購買新產品或解決方案時，將95%的費用延後到明年才支付，以讓客戶能夠繼續營運，並增加既有的現金流，客戶再自明年1月按月支付貸款即可。</p> <p>該計畫適用於思科所有的解決方案，包括硬體、軟體與服務，以及特定的合作夥伴服務。</p> <p>思科也準備利用該計畫來支持所有的合作夥伴，以利它們提供更多的解決方案並加速銷售循環。</p> </div></div></div>
2020/4/15 16:15作者陳曉莉https://www.ithome.com.tw/news/137005
居易路由器與交換器漏洞遭鎖定，已出現兩起攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商對於資訊產品的漏洞處置，未必沒有修補，但要是仍然採取大事化小、小事化無的態度，用戶很可能還是會因為沒有留意，沒有安裝更新韌體，而持續讓網路設備曝露於漏洞的風險之中。例如，中國資安業者奇虎360的網路安全研究實驗室（Netlab）於3月底揭露，於去年12月4日開始，有兩個駭客組織的攻擊行動細節，先後鎖定臺廠居易科技（Draytek）旗下Vigor寬頻路由器與交換器的漏洞CVE-2020-8515。奇虎360後來在12月25日，通報韓國等地的CERT，並於推特上首度提及他們的發現，但只有公開一部分的攻擊特徵要大家加以防範，並未提及受影響設備的廠牌與型號。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">#0-day Since 2019-12-04 08:22:29 (UTC), we have been witnessing ongoing 0 day attack targeting a network CPE vendor (not the big players, but there are about ~100,000 devices online according to public available data). The attacker is snooping on port 21,25,143,110 (1/2)</p> <p>— 360 Netlab (@360Netlab) <a href="https://twitter.com/360Netlab/status/1209763610525757443?ref_src=twsrc%5Etfw">December 25, 2019</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><blockquote class="twitter-tweet"> <p dir="ltr" lang="en" xml:lang="en">#0-day And sending the captured files to a receiver at 103.82.143.51. Due to the real impact here, we suggest reader looking for anything going to that IP on their network and take necessary actions. (2/2)</p> <p>— 360 Netlab (@360Netlab) <a href="https://twitter.com/360Netlab/status/1209763784572555264?ref_src=twsrc%5Etfw">December 25, 2019</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>第一波鎖定居易路由器和交換器的攻擊，於去年的12月4日出現，手法是透過keyPath命令注入漏洞，竊聽設備網路流量。而第二起攻擊行動，則是在Netlab通報之後發生：2020年1月28日，駭客濫用rtick命令注入漏洞，開啟SSH服務建立系統後門帳號，以及Web Session後門。</p> <p>居易科技獲報之後，也在2月10日發布英文版資安公告，表示Vigor3900、Vigor2960，以及Vigor300B等3款型號受影響，並提供1.5.1版韌體。雖然臺灣網站也有提供這些韌體，但沒有相關的公告網頁，對此，我們也向該公司確認臺灣是否提供有關資訊。居易表示，如果使用者有註冊MyVigor帳號，就會收到這個韌體更新的通知，但這樣的做法，除非用戶閱讀改版內容，不然很難了解路由器已經曝露在重大的資安風險中。對此，他們到了4月9日，也發出中文版公告，並提醒受影響且未修補的用戶，應儘速更新。</p> </div></div></div>
2020/4/15 17:01作者周峻佑https://www.ithome.com.tw/news/137006
用於Chrome OS的PWA悄悄釋出，現可在Play Store下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome OS裝置跑Android App的效能為人詬病。近日Google在PWA （Progressive Web App）開發上有所進展，如果你是Chromebook用戶，可以在Play Store上下載包括推特及Youtube TV的PWA 。</p> <p>PWA是很像傳統App的Web App，最終目的在任何平臺上都能跑得很順，不論是Windows、ChromeOS、macOS、iOS或是Android，只要裝置上安裝現代化瀏覽器。這將可以解決Chrome OS裝置跑Android App效能低落的問題。</p> <p>最近媒體<a href="https://chromeunboxed.com/youtube-tv-chromebook-pwa-install-google-play-store/" target="_blank">Chrome Unboxed發現</a>，Google Play Store上的Android 版推特，被換成<a href="https://www.ithome.com.tw/news/119241" target="_blank">web化的PWA</a>。PWA輕巧不占空間，也相當省電，跑在Chromebooks可大幅提升效能。下載後，PWA使用方法和App一樣，也會安裝圖示，也能設定推播通知。在Chrome OS上如果要移除，只要從Launcher中的PWA圖示按滑鼠右鍵，選取「從Chrome移除」即可。</p> <p>不過目前選擇還不多。ChromeOS App平臺工程部主管Dominick Ng表示，目前PWA除了推特，還有Youtube TV。</p> <p>現在到Play Store上搜尋推特和Youtube TV，將會看到Android版App的搜尋結果。但下載時當Google偵測到Chromebook或其他Chrome OS裝置時，就會自動下載PWA。</p> </div></div></div>
2020/4/15 15:20作者林妍溱https://www.ithome.com.tw/news/137000
GitHub宣布解除免費使用者私有儲存庫協作人數限制，開放所有核心功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub擴增免費使用者的功能，所有<a href="https://github.blog/2020-04-14-github-is-now-free-for-teams/">GitHub帳戶的私有儲存庫將不再有協作者人數限制</a>，這代表所有核心功能皆免費對所有使用者開放，使用者將能更不受限制地進行協作開發。</p> <p>2019年初，GitHub就曾發布產品更新，開放免費版本使用者不限制數量創建私人儲存庫，只不過每一個儲存庫最多只允許有3名協作者參與開發，而現在GitHub解除這個限制，跟公開儲存庫一樣，不限制專案協作者數量。</p> <p>過去當企業或是組織要使用GitHub進行私有開發，就必須要訂閱GitHub的付費計畫，但在GitHub對免費版本使用者開放核心功能後，團隊現在終於可以在同一儲存庫，進行CI/CD、專案管理、程式碼審查和套件封裝等工作，而需要進階功能，像是程式碼擁有者（Code Owners）、SAML等企業功能或是其他個人化支援的使用者，則可以升級選擇使用付費計畫。</p> <p>在這次產品更新中，GitHub還降低付費團隊計畫的價格，每位用戶從每月9美元降低到4美元，這個降價政策立即生效，現有用戶帳單費用將會自動減少。這次收費調整，也凸顯出GitHub的計費策略改變，從原本按封閉程度收費，到現在轉為依功能收費。</p> <p>不只GitHub，GitLab也在4月初的時候也擴增了免費功能，將18個原本在付費層級的DevOps功能開源，下移至免費的Core/Free層級中。這18個功能分別來自於DevOps生命周期中計畫（Plan）、創建（Create）與驗證（Verify）等7個階段，在GitLab共同創辦人暨執行長Sid Sijbrandij重新審視過所有功能後，決定開源這些功能，以促進開發社群的開發協作。</p> </div></div></div>
2020/4/15 15:35作者李建興https://www.ithome.com.tw/news/136998
法國物流中心員工確診罹患武漢肺炎，法院規定Amazon只能在當地銷售民生必需品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon法國物流中心有員工確定感染武漢肺炎（COVID-19），法國的工會組織<a href="https://solidaires.org/AMAZON-Premiere-victoire-syndicale" target="_blank">Sud Solidaires</a>即向當地法院提出訴訟，要求Amazon關閉當地的6個物流中心，不過，法官拒絕Sud Solidaires的要求，採取了權衡措施，<a href="https://www.bloomberg.com/news/articles/2020-04-14/amazon-told-to-sell-only-food-health-items-in-france" target="_blank">規定Amazon只能銷售食物、醫療用品等民生必需品</a>，以減少物流中心的負擔與人力需求，而且在24小時內就得實施。每違規一天，就會被判罰100萬歐元（110萬美元）。</p> <p>Sud Solidaires主要是認為Amazon對員工的防護措施不足，才會使得員工感染武漢肺炎，因而要求Amazon關閉物流中心。</p> <p>Amazon則已決定上訴，認為該公司已配發口罩，替員工量體溫，也改善環境的清潔與消毒，並遵從社交距離政策，並不同意法院的判決。</p> <p>事實上，在武漢肺炎疫情擴散至全球之後，Amazon在許多國家的出貨程序，都改採「民生必需品」優先政策，若消費者購買的並非民生必需品，通常要更久的時間才會到貨。</p> </div></div></div>
2020/4/15 15:50作者陳曉莉https://www.ithome.com.tw/news/137003