iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臉書入股印度電信業者Jio Platforms
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2020/04/facebook-invests-in-jio/" target="_blank">臉書宣布</a>以57億美元入股印度電信業者Jio Platforms Limited，取得該公司9.99%的股權，而Jio Platforms也是印度最大私人企業Reliance Industries Limited（RIL）的子公司。</p> <p>Jio Platforms是在2016年於印度正式推出4G網路服務，不到4年就成為印度最大的行動網路業者，也是全球第三大行動網路業者，用戶數達3.8億。</p> <p>這起投資案不僅讓臉書成為Jio Platforms最大的少數股東，也是印度科技領域迄今最大宗的國外直接投資。</p> <p>除了投資案之外，臉書旗下的WhatsApp、Jio Platforms與RIL也簽署了合作協議，將在JioMart平臺上以WhatsApp來推動商業服務，服務印度當地的小型企業。印度不只是WhatsApp在全球最大的市場，WhatsApp也是印度最受歡迎的行動程式。</p> <p>RIL表示，WhatsApp已是印度人與企業之間重要的聯繫管道，而新設立的JioMart平臺則與當地數百萬個商家及小雜貨店，建立了合作關係，未來印度消費者將能透過JioMart與WhatsApp的整合，迅速地找到離家最近的商店。</p> <p>RIL也認為，在武漢肺炎疫情之後，全面的數位化將是振興印度經濟的必要條件，在轉型的過程中，不僅會帶來新的商業機會，也將創造新的就業機會。</p> </div></div></div>
2020/4/22 14:20作者陳曉莉https://www.ithome.com.tw/news/137137
協助研究人員度過疫情難關，Google將發給獎金1,300美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2020/04/research-grants-to-support-google-vrp_20.html" target="_blank">Google宣布</a>擴大實施漏洞研究補助方案，發現金幫助有需要的安全研究人員，度過武漢肺炎疫情引發的經濟動盪。</p> <p>Google 2015年首次<a href="https://www.ithome.com.tw/news/93860" target="_blank">公布漏洞研究補助</a>（Vulnerability Research Grant，VRG），目的在補貼安全研究人員所花的時間和心力，即使他們沒有找到任何漏洞。因應今年武漢肺炎疫情衝擊下許多人失業，也為了強化用戶安全，Google將暫時擴大實施漏洞研究補助方案。</p> <p>從即日起，Google漏洞獎勵方案（Vulnerability Reward Program，VRP）研究人員從2018年到2020年4月之間，曾有2份以上研究獲獎的人，都可以獲頒1,337美元。Google希望這些補助，能幫助研究人員度過這段困難時期。而利用這筆補助找到的漏洞，還是可以參加Google主要的漏洞獎勵方案（VRP）。</p> <p>如果有人不缺錢或不感興趣，也可改捐到推動COVID-19防疫的慈善機構，Google也會視情況捐出同樣的金額。</p> <p>這個補助方案將持續到2020年底。</p> </div></div></div>
2020/4/22 14:40作者林妍溱https://www.ithome.com.tw/news/137138
武漢肺炎效應：Netflix今年首季增加的用戶數比預期多一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix本周公布了該公司<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2020/q1/FINAL-Q1-20-Shareholder-Letter.pdf" target="_blank">今年第一季的財報</a>，透露出武漢肺炎疫情讓Netflix這一季新增了1,577萬名新用戶，比原本預期的820萬多了一倍。</p> <p>財報顯示，Netflix在今年第一季創下57.68億美元的營收，比去年同期成長27.6%，淨收入為7.09億美元，每股盈餘為1.57美元。</p> <p>此外，該季Netflix的全球訂閱用戶數為1.83億，比去年同期增加22.8%，但該季新增了1,577萬名新用戶，遠超過前幾季的新增數量，例如從去年第四季以來，該平臺每季新增的訂閱用戶數量依序是960萬、270萬、677萬及876萬。</p> <p>新用戶激增，但營收卻未呈相對成長的原因，是美元的強勢削弱了Netflix的海外營收。</p> <p>儘管在今年第一季有著亮眼的表現，但Netflix在財報上著墨最多的卻是對疫情的關注。該公司表示，在許多政府與ISP的要求下，他們暫時調降了許多用戶的流量，工程師基本上是在一夕之間回應了這些國家的請求，同時他們也與ISP業者密切合作，一旦疫情或網路狀況改善了，就能增加流量。</p> <p>此外，Netflix也說在這波疫情中他們是幸運的，能夠自遠端提供服務予居家隔離的使用者，使得第一季有更多的付費用戶加入，也有更多的觀看流量，但他們預期不管是用戶的成長或是觀看流量，都會在疫情趨緩之後下滑，而他們也希望這一天能夠儘快到來。</p> <p>Netflix預測該平臺在今年第二季新增的用戶數為750萬人，恢復過去的水準。</p> </div></div></div>
2020/4/22 14:50作者陳曉莉https://www.ithome.com.tw/news/137139
分析師：iPhone SE還有Plus版，將延後至明年下半年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>著名的蘋果分析師郭明錤去年即披露，蘋果正在規畫螢幕更大的iPhone SE Plus，而且準備在2021年的上半年推出，不過，近日他說，<a href="https://9to5mac.com/2020/04/21/kuo-iphone-12-facing-mass-production-delays-iphone-se-plus-release-postponed/" target="_blank">蘋果已然改變了時程表</a>，5.5吋或6.1吋的iPhone SE Plus，可能要到明年下半年才會問世。</p> <p>蘋果才在日前發表了4.7吋的iPhone SE 2，搭載了最近的A13晶片，這是入門款iPhone，最低階版本的售價為399美元（14,500元新臺幣），即將在本周上市。</p> <p>根據郭明錤的說法，iPhone SE Plus將會採用全螢幕設計，也不會支援Face ID人臉辨識，只會在電源鍵上整合Touch ID指紋辨識功能。</p> <p>此外，他說蘋果已展開了iPhone 12的驗證程序，但因疫情的關係，有些驗證只能線上進行，有些則必須委由當地的員工負責，可能會讓工程驗證測試晚一個月完成。</p> <p>郭明錤也預期蘋果今年會發表4款旗艦iPhone機種，它們全都將支援5G，而且發表時間可能會錯開。一般認為，蘋果很可能趕不及在今年秋天發表iPhone 12。</p> </div></div></div>
2020/4/22 15:00作者陳曉莉https://www.ithome.com.tw/news/137140
微軟遠端桌面用戶端漏洞可讓駭客執行遠端程式碼，但微軟不願修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列安全廠商<a href="https://cymulate.com/news/cymulate-discovers-hidden-malware-mstsc/" target="_blank">Cymulate發現</a>，微軟遠端桌面用戶端（Remote Desktop Client）一項漏洞，讓駭客可以繞過安全驗證而在Windows系統執行惡意程式碼。不過微軟認為攻擊不易，因而拒絕修補。</p> <p>在建立遠端桌面連線時，微軟遠端桌面用戶端（舊稱Microsoft Terminal Service Client，MSTSC）需要呼叫mstscax.dll等DLL檔案，使Windows和遠端電腦或虛擬機器建立網路連線。這家廠商發現攻擊者可以透過微軟RDP（Remote Desktop Protocol）執行DLL側載（DLL Side-Loading），繞過安全檢查執行惡意程式碼。</p> <p>Cymulate研究人員指出，現行Windows設計下，執行檔載入mstscax.dll並不會驗證函式庫程式碼的安全性，因此攻擊者可將C:\Windows\System 32資料夾中的mstscax.dll以同名惡意檔案置換掉，在合法程序掩護下執行惡意行為。</p> <p>研究人員通報微軟後，微軟並未加以修補，理由是在Windows\System 32資料夾下置換DLL檔案需要管理員權限，因此不認為是威脅。</p> <p>但研究人員指出有不需要管理權限的攻擊方法。只要將mstscax.dll複製到外部資料夾，則mstsc.exe就不是從system 32資料夾載入DLL檔，也就不需管理員權限。這麼一來，駭客就可以在已獲得簽章的mstsc.exe中執行惡意程式碼，並繞過AppLocker等安全檢查。</p> <p>DLL side-loading為新興攻擊手法，近年一些APT惡意程式即透過DLL Side-loading技術，將惡意程式隱藏在一些常見程式的根目錄中，如Version.dll、Comres.dll、rasaut64.dll和rasaut.dll（64位元），利用電腦開機優先載入系統system.dll程式的特性，優先載入這些偽裝成正常程式的惡意程式。</p> <p>安全專家建議，為防Windows遠端桌面的漏洞遭到濫用，企業可以關閉mstsc.exe、並利用安全監控工具來防止mstsc.exe的異常行為，此外，也應詳細檢查資料夾下的mstscax.dll是真的還是冒牌貨。</p> </div></div></div>
2020/4/22 00:00作者林妍溱https://www.ithome.com.tw/news/137136
Google推出BeyondCorp遠端存取服務，不需透過VPN就可存取企業內部應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/keep-your-teams-working-safely-with-beyondcorp-remote-access">Google推出可簡化企業員工存取內部應用程式的雲端解決方案BeyondCorp遠端存取服務</a>，這是一種以零信任方法為基礎的解決方案，讓企業員工可以在任何地方以任意裝置，不需要透過傳統的VPN，就能存取企業內部網頁應用程式。</p> <p>當企業員工不在企業內部網路的時候，通常無法直接以瀏覽器存取客戶關係管理系統、軟體臭蟲追蹤系統以及專案管理儀表板等網頁應用程式，而要透過VPN才能遠端存取，但Google提到，舊的VPN基礎架構，很難讓IT團隊在短時間部署和管理眾多新用戶，而且當企業要向臨時員工或是合作廠商的員工提供VPN存取時，問題將會更複雜，而從用戶角度來看，對於沒有用過VPN的使用者，VPN操作可能並不簡單。</p> <p>而且擴展VPN的使用相當於擴展了企業網路範圍，因此使用VPN也可能增加安全風險，因為企業預設這些網路範圍的用戶都是可以信任的。BeyondCorp遠端存取服務則反其道而行，不信任所有的連線，連線要經過身份、上下文、規則引擎和強制存取點各驗證關卡，才能成功存取網頁應用程式、虛擬機器和API等各種應用和資料，這些關卡可以阻擋釣魚以及DDoS等攻擊。</p> <p>Google提到，BeyondCorp不僅僅是VPN的替代品，該服務能確保只有合適的用戶，才能在合適的環境存取適當的內容，Google舉例，像是配置企業外包的人資部門，可以讓他們在家使用自己的電腦存取網頁文件管理系統，而前提是裝置必須使用最新版的作業系統，並且使用安全金鑰等身份驗證方法來防網路釣魚；企業也能設定打卡應用程式，可以讓時薪工作者以任何裝置在任何地點存取。</p> </div></div></div>
2020/4/22 13:10作者李建興https://www.ithome.com.tw/news/137132
Microsoft 365家用、個人版正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.ithome.com.tw/news/136662" target="_blank">三月底宣布</a>將Office 365品牌改為Microsoft 365，而一如預定計畫，4月21日，Microsoft 365品牌及服務<a href="https://www.microsoft.com/zh-tw/microsoft-365/buy/microsoft-365" target="_blank">正式上路</a>。</p> <p>隨著品牌改名，Office 365原有家用（Home）及個人（Personal），也將改名為Microsoft 365家用（Family）及個人（Personal）版，訂價維持同樣水準：個人版僅限一人使用，費用為每月新臺幣219元（每年2,190元），家庭版方案提供最多6人使用，每月新臺幣320元（每年3,190元），皆包含1人1TB OneDrive雲端硬碟。微軟企業副總裁Yusuf Mehdi也<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2020/04/21/microsoft-365-family-work-home/" target="_blank">宣告兩項服務</a>，即日起正式上線。</p> <p>長期而言，現有3,800萬名Office 365個人及家用版用戶，將自動轉為Microsoft 365個人及家庭版。</p> <p>Microsoft 365最大特色是加入Office 365原本沒有的家用版Teams，及可提供家中成員行蹤管理及跨Windows、Android裝置和Xbox使用時間的家人安全（Family Safety）。此外，還有可整合銀行帳戶作為帳戶管理的Money in Excel（僅支援美國地區），不過三項功能都尚未上線，微軟只說即將推出。</p> <p>Microsoft 365其他新增特色，包括Word、Excel及Powerpoint的強化功能，像是提供錯字、文法訂正的Word Editor，Powerpoint教學工具Presenter Coach功能，以及提供學童在家學習等免費或付費範本。Skype則加入視訊功能Meet Now，最多支援50人同時視訊。</p> <p>而提供文字編輯功能的Chrome及Edge瀏覽器外掛Microsoft編輯器（Microsoft Editor），也<a href="https://chrome.google.com/webstore/detail/microsoft-editor/gpaiobkfhnonedkhhfjpmhdalgeoebfa" target="_blank">在本月初上線</a>，讓使用者即使上社交網站或在IM聊天，也能獲得拼字及文法修正服務。</p> </div></div></div>
2020/4/22 13:40作者林妍溱https://www.ithome.com.tw/news/137135
Web大會首次在臺舉辦，受疫情衝擊全程改採線上會議，探討AI、假新聞、網路偏見各議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Web Conference大會首度移師到臺灣舉行，適迎網際網路誕生30年，但受到武漢肺炎（COVID-19）疫情在全球大流行的衝擊，今年全程改採線上會議進行，由各領域專家發表演說，探討AI、假新聞、網路偏見、法規、道德等議題。</p> <p>前身為International World Wide Web Conference的Web大會，每年是由IW3C2委員會（International World Wide Web Conference Committee）舉辦，每年吸引來自學術、業界的各領域專家發表專題，共同探討網路科技在法規、道德各方面的發展。專門制訂WWW標準的W3C也會趁此期間召開網路標準會議，可以說每年Web Conference是瞭解網際網路最新發展的國際性重要會議。</p> <p>在中研院資訊科技創新研究中心主任黃彥男爭取下，今年Web大會首次在臺灣舉辦，以會議共同主席身分開幕致詞的黃彥男指出，今年在武漢肺炎影響下，迫使原本面對面的會議，全部改為線上進行，仍然吸引來自49個國家，將近千人註冊參加會議。相較於過去實體會議約有1600人參與，今年大會雖然受到疫情影響，全部以線上進行，一些需要面對面交流的活動也取消，儘管如此，仍吸引近千人註冊，他認為仍優於預期。</p> <p>今年因為受到疫情的影響，例如W3C的網路標準會議，因需要面對面溝通、交流，今年略過Web大會，而適逢網際網路誕生30年，而原本預定回顧網路30年發展的場次，也因為講者無法來臺，改以訪談影片回顧；專門討論未來網路發展的場次，也決定延到明年在歐洲舉行的Web大會。</p> <p>其他如W4A、BIG、研究場次、指導活動仍照常舉行，只是改為Zoom或chime線上會議進行。這些活動演講的主題，涉及網路監控、AI、去中心化、假新聞、網路使用、偏見、物聯網等發展及研究。</p> <p>黃彥男表示，這次主辦會議，讓臺灣有向世界發聲的機會，例如在4月22日下午的AIoT場次，邀請國內業者發表，目的在對外為宣傳臺灣業者運用智慧物聯網技術，展現在智慧城市、生活的成果。</p> <p><strong>唐鳳大秀臺灣善用網路科技防疫成果</strong></p> <p>今天的開幕活動中，數位政委唐鳳也在主題演說中，分享了臺灣在這一波疫情下，如何運用網路科技協助防疫的成果。他認為臺灣在數位社會創新方面有三大特點，Fast、Fair和Fun。</p> <p>其中，Fast方面，利用網路科技快速蒐集、分享正確疫情資訊。例如在肺炎爆發之初，臺灣網友在熱門網路論壇ptt上，轉貼了武漢醫生李文亮的警告（華南水果海鮮市場確診了7例SARS）。轉貼的當日，也就是2019年12月31日，臺灣政府也得知了這項消息，並在當天發信通知WHO。隔天1月1日，政府也立即對武漢抵臺班機的乘客，進行健康檢查。</p> <p>「這顯示了兩件事，首先，臺灣的社會信任政府，才會在公開的網站上提到疫情爆發；再來，政府也信任人民，來認真處理疫情資訊。」他說。臺灣政府透過開設的中央流行疫情指揮中心，每天藉助網路直播，讓民眾掌握第一手的國內疫情最新發展資訊。</p> <p>臺灣也善用網路科技做到Fair，如運用網路科技和開放資料，打造口罩實名制預購系統，在疫情初期改善口罩分配不均的問題，更進一步運用開放資料，讓販售實名制口罩的各個藥局口罩存量透明化，每3分鐘更新一次，讓想要購買口罩的民眾隨時能夠查詢。民間團隊也運用資料，開發許多Chatbot、App和虛擬助理，來幫助民眾查詢口罩存量和購買資訊。</p> <p>政府也分析口罩購買數據，發現工時長的上班族，難以配合藥局營業時間購買口罩。也因此，政府快速打造新系統，近日推出的口罩實名制3.0，讓民眾可於四大超商，以健保卡繳費、預購。</p> <p>然而，網路的快速傳播，雖然能夠快速傳輸正確的訊息，但也可能被濫用，用以散佈錯誤資訊和聳動內容，造成謠言或恐慌。臺灣政府發揮Fun的特點，利用「Humor over rumor」，以生動有趣的幽默內容，來應對謠言。</p> <p>唐鳳點出，特別是在疫情期間，民眾容易誤傳不正確的資訊，比如衛生紙原料挪用來製作口罩，造成民眾瘋搶衛生紙、囤貨。對此，政府也以「咱只有一粒卡臣」的海報，透過社群媒體來說明衛生紙原料產地和口罩的差別，以幽默來散播正確訊息。</p> <p>此外，衛福部為加強衛教宣導，也以生動柴犬梗圖和俏皮言語，來傳播疫情注意事項，比如以兩隻柴犬的距離，來類比室外1公尺的社交距離。他認為這些都是藉助網路技術，而產生的數位社會創新。</p> </div></div></div>
2020/4/22 13:42作者蘇文彬https://www.ithome.com.tw/news/137134
阿里雲準備了280億美元要擴充全球雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴旗下的雲端運算服務業者<a href="https://www.alibabanews.com/%e9%98%bf%e9%87%8c%e9%9b%b23%e5%b9%b4%e6%8a%95%e6%94%be2000%e5%84%84%e4%ba%ba%e6%b0%91%e5%b9%a3/" target="_blank">阿里雲宣布</a>，將在未來3年內投入2,000億人民幣（約280億美元），以用來發展雲端作業系統、伺服器、晶片及網路等核心技術的研發，以及資料中心的建置，以強化該公司在全球的雲端服務能力。</p> <p>阿里雲從2009年創立以來，就開始打造自家技術，從「飛天」雲端作業系統、人工智慧晶片「含光800」、「神龍」伺服器架構，到低延遲網路與超級運算系統叢集等。阿里雲指出，該公司也會將未來3年所開發的技術，藉由新一代的資料中心的建置，於全球進行大規模部署。</p> <p><a href="https://www.ft.com/content/85536f2e-fc64-4d58-97e7-6d30fc9ea932" target="_blank">金融時報分析</a>，換算之下阿里雲要以每年約670億美元的資金來擴充雲端運算能力，遠高於該公司去年的355億美元支出。</p> <p>另一方面，根據阿里巴巴集團截至去年12月底的2020財年第三季財報，該集團在零售業務上成長了36%，但雲端服務則成長62%，在該季創下了107.21億元人民幣的營收，也是阿里雲的營收首度突破100億元人民幣。</p> <p>該集團很可能是在向同時擁有電子商務及雲端服務的Amazon借鏡，儘管Amazon的電子商務服務營收遠高於AWS雲端服務，但AWS所創造的獲利卻是電子商務業務難以望其項背的。</p> <p>根據Gartner所公布的2018年全球基礎設施即服務（infrastructure as a service，IaaS）市場調查報告，前五大業者依序為Amazon（市佔率47.8%）、微軟（15.5%）、阿里雲（7.7%）、Google（4.0%）與IBM（1.8%）。其中的阿里雲則主要受惠於中國的龐大市場，但也在全球21個區域設有雲端資料中心。</p> </div></div></div>
2020/4/22 12:30作者陳曉莉https://www.ithome.com.tw/news/137133
Go開發者大調查：8成受訪者不滿意Go不支援泛型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼新興語言Rust之後，<a href="https://blog.golang.org/survey2019-results" target="_blank">Google力推的程式語言Go，也發布了自家的開發者大調查</a>，這次Go官方總共收到了10,975份回覆，總數接近去年的兩倍。這次他們增加了許多有關使用者統計問題，以更好地了解受訪者的輪廓，官方表示，他們這次做的調查結果，與程式設計問答網站StackOverflow所做的2019年度調查結果相近。</p> <p>這此問卷調查的受訪者56％使用Go不到兩年，整體使用者年資偏短，將Go用在工作中的比例占所有受訪者72％，而有62％的人把Go用在工作之外的專案，官方表示，在2018年的時候，將Go用在工作或是工作外專案的比例，都較前一年大幅增加，但是今年得到的結果與之前不同，也就是說這次受訪者較傾向在工作外使用Go，而在工作使用另一種語言，官方提到，他們在這份調查中的不同問題，看到了相似的異常值。</p> <p>建置API/RPC和CLI仍是Go最多見的用法，比例分別為71％以及62％，問卷調查也詢問了受訪者使用Go的領域，有66％的人將Go用於網頁應用程式開發，其他常見的應用領域還有資料庫、網路程式、系統程式和DevOps任務等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig20.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>在套件管理上，絕大多數的受訪者（89％），都已經透過Go命令使用Modules，官方提到，改變套件管理方法對於開發人員來說，是一個巨大的轉變，而此時整個社群正同時經歷這樣的改變。</p> <p>由於Go在設計時，考慮了現代分散式運算，因此Go可以說是一個雲端語言，今年官方在問卷增加了有關雲端開發的問題，以更全面了解Go開發者和雲端供應商的關係。這次的調查可以明顯看到兩個趨勢，三大全球雲端供應商AWS、GCP和Azure，在受訪者的使用率都上升，其他的供應商每年使用率皆只有一小部分，且大部分都衰退，另外，企業自有或是就地部署的比例持續減少，已經和AWS的市占比例相去不遠。</p> <p>開發者在不同雲端平臺以不同的方式部署Go工作負載，將工作負載部署到AWS和Azure的受訪者，有很大比例直接使用虛擬機器，分別為65％和51％，而部署到GCP的受訪者，則有64％的人使用Kubernetes平臺，幾乎是虛擬機器35％的兩倍。受訪者使用GCP和Azure的無伺服器平臺比例低，僅有17％和7％，而AWS卻有33％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig25.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>大致所有的受訪者，對於三大主要雲端供應商的Go使用體驗都感到滿意，排序分別是AWS有80％的滿意度，GCP也有78％，而Azure較低只有57％，受訪者反應，Azure並沒有優先支援Go，也就是說沒有持續支援最新的Go版本，使得開發人員無法使用到最新的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig26.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>針對Go的痛點，有79％的受訪者認為Go缺乏關鍵功能泛型（Generics），而有22%的受訪者認為官方應該繼續改進Go的除錯功能，另外還有13%的人要求更多的函式程式語言功能，特別像是map、filter和reduce等，官方特別指出，當Go提供了這些關鍵程式語言功能，則開發者將能夠更廣泛地使用Go。</p> <p>在開源的表現上，Go雖然是一個開源專案，但是不代表Go的開發者也都會用Go來開發自由或是開源專案，從問卷的資料看起來，Go社群參與開源專案的比例正在縮小，不常與不曾參與開源專案的受訪者百分比，從2016年的71％逐年增加，到2019年達到75％；而受訪者中，僅有約7％到8％的受訪者，是穩定的開源專案貢獻者，會每天參與開源貢獻，每周與每月開源貢獻者比例皆逐年降低。</p> <p>Go開發者主要在Linux和macOS上開發Go程式，分別有66％與53％，而Windows只有20％，而在編輯器選擇上，GoLand成長非常快速，從24％的使用率上升到34％，雖然VS Code成長速度減緩，但仍然位居Go開發者最愛IDE，有41％受訪者使用，第3與第4名分別為Vim和Emacs，前四名使用率占受訪者四分之三，且除了前兩名，其他編輯器使用率都在衰退。</p> <p>官方提到，根據這次的調查，受訪者對於泛型、套件管理和工具三個領域最不滿意，因此在今年，這三個領域將會是Go團隊的重點關注項目，接下來幾個月內，他們會大幅改善模組、工具和開發者入門的體驗。</p> </div></div></div>
2020/4/22 12:50作者李建興https://www.ithome.com.tw/news/137129
新版Visual Studio 2019強化版本控制以及行動開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/new-in-visual-studio-2019-v16-6-preview-3/">微軟釋出了Visual Studio 2019最新的16.6預覽版</a>，其中擴展了Git版本控制功能，並且強化了行動程式開發人員的工具。</p> <p>當使用者以一個解決方案複製（Clone）儲存庫後，現在Visual Studio 2019會自動載入該解決方案，不像過去還需要使用者手動操作，因此能夠節省開發者的時間；而且微軟還更新提交和儲存使用者介面，改善整體體驗，使得操作更加直覺。微軟也在頂層Git選單添加新的指令，可方便開發者以鍵盤存取，操作包括複製儲存庫、在命令提示字元開啟儲存庫，或是查看分支歷史紀錄等動作。</p> <p>微軟收到開發者社群對遠端分支管理的回饋，因此改善了相關的功能，現在這些功能都新增到分支下拉列表中；而且開發者現在還可以在儲存庫歷史紀錄中，創建新的分支提交。開發者可以從工具選單中，啟用Git預覽新功能，來存取Visual Studio 2019預覽版新加入的版本控制功能。</p> <p>在行動應用程式開發的改進上，現在XAML熱載入的速度更快，在開發者進行更改的時候，頁面上可以呈現更多的狀態，開發者能從工具選單中，設定熱重載僅重載更改，讓XAML更改不會刷新整個頁面。</p> <p>另外，現在開發者可以在字體和顏色設定中，更改Visual Studio終端機的字體和大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/166-P3-VS-Terminal.png" style="width: 580px;" /></p> </div></div></div>
2020/4/22 13:05作者李建興https://www.ithome.com.tw/news/137131
沒網路也未必安全，研究人員以風扇震動外洩不連網PC的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這年頭即使不連網，也不再能防範駭客竊取電腦的機密資訊了。以色列本古里安大學（Ben Gurion University）<a href="https://cyber.bgu.ac.il/advanced-cyber/airgap" target="_blank">研究人員本周展示了</a>，如何利用PC風扇震動，來將資料暗中傳送出去，即使電腦完全不連網。</p> <p>本古里安大學網路安全研究中心教授Mordechai Guri的團隊，發表名為《AiR-ViBeR: Exfiltrating Data from Air-Gapped Computers via Covert Surface ViBrAtIoNs》的論文，展示這項新式攻擊手法。</p> <p>一般電腦都有一個以上的散熱風扇，有的高階元件如GPU，還內建風扇避免晶片過熱。而這些風扇啟動時會造成底層支撐物，如桌面的震動。本研究使用的是接觸到桌面的機殼風扇，而非GPU風扇，藉由改變風扇轉速來進行攻擊。</p> <p>本攻擊需要先在電腦內安裝惡意軟體，使其不斷改變風扇轉速，導致桌面產生不同頻率的震動。此外，攻擊者還需要搭配一個能將震動頻率解析成資料的裝置。</p> <p>Guri指出，智慧型手機正是最適合的裝置。理由是智慧型手機內建的加速器，可用來偵測震動，而Android和iOS都不會懷疑這類感測器，不會要求使用者許可即可存取。加上智慧型手機啟用感測器時，從外表上看不出來。最後，攻擊者可透手機瀏覽器的JavaScript來存取這類感測器，這表示駭客連植入惡意程式到手機的手續都不用，就可以接收到震動訊息。</p> <p>至於在不連網電腦植入惡意程式這點，Guri表示，2010年起攻擊全球軍事設施及電廠的<a href="https://www.ithome.com.tw/node/63565" target="_blank">Stuxnet，就發生過了</a>。這些程式需具備蒐集資料，還要事先編碼好。</p> <p>一切就緒後，惡意程式只要轉動PC風扇使桌面以特定頻率產生震動，再以JavaScript接收手機的感測器資訊，再以手機網路把資料傳送到遠端駭客。為免被察覺，研究人員並展示以每秒0.5 bit的極慢速度傳送資料。他說運氣好的話，甚至還能蒐集到幾把SSH金鑰。</p> <p>Guri之前也曾展示過多項離奇手法，包括使用螢幕亮度、<a href="https://www.ithome.com.tw/news/112324" target="_blank">硬碟LED燈號</a>、<a href="https://www.ithome.com.tw/news/109780" target="_blank">將耳機變成收音器</a>，以及<a href="https://www.ithome.com.tw/news/116938" target="_blank">紅外線攝影機</a>等媒介，將不連網PC的資料傳送出去。</p> </div></div></div>
2020/4/21 15:45作者林妍溱https://www.ithome.com.tw/news/137125
FBI：要在臉書上分享自己的高中照片？請三思而後行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）的夏洛特分局，近日<a href="https://www.fbi.gov/contact-us/field-offices/charlotte/news/press-releases/fbi-charlotte-warns-popular-social-media-trends-can-lead-to-fraud" target="_blank">向社交媒體用戶提出警告</a>，要他們留意在網路上所分享的資訊，因為有愈來愈多的社交媒體主題看起來像是很好玩的遊戲，卻能揭露使用者所設定的，用來查詢密碼的安全問題答案，而讓詐騙者得以利用這些個人資訊來重設帳號密碼，以存取使用者的帳號。</p> <p>社交網路上經常流傳著許多遊戲，像是你最喜歡的十本書，或是你最喜歡的十部電影，有些遊戲可能無傷大雅，但有些則可能曝露使用者的重要資訊，例如最近美國開始流行要臉書用戶張貼高中照片，用以支持那些因武漢肺炎疫情，而錯過畢業典禮的學生。</p> <p>然而，FBI及美國的非營利組織Better Business Bureau（優良企業組織，BBB）都對此事提出了警告。</p> <p>FBI與BBB指出，詐騙份子或駭客都將看到這些臉書用戶在高中時所就讀的學校名稱、吉祥物、或是畢業的年份，而這些都是取回密碼時常見的安全問題答案，因而呼籲使用者要分享這些資訊時，最好三思而後行。</p> <p>不只是上述，FBI認為，有些主題要求使用者張貼自己的第一輛車、公布自己最好的朋友、第一隻寵物的名字、第一場演唱會、最喜歡的餐廳，或是最愛的老師，都可能牽涉到安全問題的答案。</p> <p>總之，FBI鼓勵社交網路用戶應該要仔細想想，在網路上分享過多個人資訊可能會造成的負面影響，也建議使用者啟用雙因素認證機制。</p> </div></div></div>
2020/4/21 16:30作者陳曉莉https://www.ithome.com.tw/news/137127
企業如何面對零星社區感染？中油分享內部BCP作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">武漢肺炎（COVID-19）自年初爆發至今，國內疫情呈零星社區感染，企業難免遇到人員確診或被隔離。為強化企業因應疫情的能力，中央流行疫情指揮中心不只在上個月發布企業持續營運計畫（BCP），近日更找來中油，來分享中油內部的BCP模式，並特別<a href="https://drive.google.com/drive/folders/1f78uWQVsbkG7AeOSONHhnQ7D6twVO0yn">製作成3分鐘的影</a>片，來給國內企業參考。</p> <p dir="ltr">中油工業安全衛生處處長黃三泰指出，中油本身訂有流行性傳染病應變計畫，防疫的基本功是以電子看板、Email和紙本文宣，對員工和承攬商加強衛教宣導，內容包括勤洗手、酒精消毒、減少出入公共場所和電梯內禁止交談等，並提醒員工，要是出現呼吸道症狀等身體不適情形，應在家休息。</p> <p dir="ltr">此外，宣導內容也包括保持社交距離，也就是室內室外保持1.5公尺和1公尺距離，要是無法保持，也應正確配戴口罩。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">規畫動線、建立高風險名單</span></span></span></span></strong></p> <p dir="ltr">打好防疫的基本宣導後，中油也規畫大樓進出動線，利用紅外線體溫感測儀和攝影機，來把關進入人員的體溫。要是體溫檢測異常，則會安排防疫公假，立即就醫。</p> <p dir="ltr">另一方面，中油也建立高風險族群名單，將有出國史和旅遊史的員工、承攬商和外賓等納入其中。此外，中油也要求承攬商和外賓進入大樓時，填寫健康聲明書。對於體溫異常的紀錄，內部人員也會進行追蹤。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">避免人多集會，改採線上會議或視訊教學</span></span></span></span></strong></p> <p dir="ltr">為避免多人群聚帶來的風險，中油會議「只要超過30人，就盡可能改為線上會議。」同時也暫停非急迫訓練，或改以視訊授課。</p> <p dir="ltr">同樣地，為避免人潮，大樓內部電梯也改採左右側分流方式，比如到達樓層為單數，就搭乘右側電梯。而餐廳供餐時，也全部改成外帶。</p> <p dir="ltr"><strong><span style="font-size:22px;"><span style="color:#FF8C00;">異地辦公演練，以防不時之需</span></span></strong></p> <p dir="ltr">除此之外，為以防不時之需，中油也進行異地辦公演練。首先，團隊設置了第二辦公區，將各單位的一級正、副主管區隔開來，一方面也設置居家辦公所需的VPN網路，給所需的員工使用。</p> <p dir="ltr">再來，中油也建立防疫回報物資專區，包括耳/額溫槍、酒精、一般醫療口罩、N95口罩等，來統計公司內部的物資用量和去處，在緊急情況發生時，也可互相調度、支援。</p> <p dir="ltr">為加速訊息掌握度，中油建置了上、下班速報表，來通報管制個案，讓各級主管在第一時間掌握消息。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">BCP五大步驟來把脈，要助企業降抵抗疫情衝擊</span></span></span></span></strong></p> <p dir="ltr">中央流行疫情指揮中心3月5日頒布的企業BCP指引中，涵蓋了五大步驟，也就是情境、風險與衝擊、因應對策、應變組織與緊急聯絡網、持續營運計畫和演練等。</p> <p dir="ltr">這些步驟，提供了企業可能面臨的狀況和應對措施，比如，企業可能遇到員工被隔離、旅遊警示無法出差或原物料受阻等，接下來，企業必須考量這些情境造成的風險與衝擊，比如斷貨、辦公地點封閉、財務周轉等。</p> <p dir="ltr">了解風險和衝擊後，企業就能一一制定因應對策、安排應變組織，比如採用數位工具、調配產量、善用政府紓困資源，成立應變專責單位等。之後，再進行應變演練和後續改善。</p> <p dir="ltr">指揮中心也強調，由於企業屬性和營運模式差異大，各企業仍應盤點核心任務和衝擊，再從評估結果中，來降低員工感染風險，比如調整人員辦公、出勤和出差等方式，並制定企業內部BCP。文◎王若樸</p> <div> </div> <div id="gtx-trans" style="position: absolute; left: -17px; top: 395px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2020/4/21 16:34作者王若樸https://www.ithome.com.tw/news/137126
專案量下滑，Kickstarter也要裁員了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名的募資平臺Kickstarter本周對內宣布，由於全球正經歷著史上前所未有的經濟大衰退，目前該站的專案數量也比去年同期少了35%，使得他們必須裁員，來維持公司的未來發展。</p> <p>2009年成立的Kickstarter定位為創意募資平臺，專門替各種創新專案對外募資，迄今已有超過44.5萬個專案透過該平臺集資，有1,700萬名使用者投入逾46億美元的資金，目前的員工人數為140名。</p> <p><a href="https://www.theverge.com/2020/4/20/21228412/kickstarter-layoffs-planned-coronavirus-project-declines-crowdfunding-union" target="_blank">根據The Verge所取得的信件</a>，Kickstarter執行長Aziz Hassan向員工說明，現在該平臺的專案數量比去年同期少了35%，而且沒有任何復甦的跡象，隨之下滑的是該平臺的營收，代表若要維持長久的經營，就必須大砍成本。</p> <p>此外，去年Kickstarter的稅後盈餘約為127萬美元，但皆已投入該平臺今年前4個月的運作。Hassan指出，他們已採取了各種必要的手段，包括減少高層及董事的薪水、限制招聘並遇缺不補，也削減各種非人事上的費用。然而，這些作法並不足以支撐Kickstarter渡過此一危機，因此決定進行業務重整，包括執行裁員行動。</p> <p>目前Kickstarter已與該公司的工會組織OPEIU 153進行溝通並展開協商，尚未透露裁員規模。</p> </div></div></div>
2020/4/21 17:05作者陳曉莉https://www.ithome.com.tw/news/137128
微軟記事本App又重新上架Microsoft Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在離不離開Windows這件事上反覆數次的獨立記事本（Notepad）App，上周又重新上架Microsoft Store。</p> <p><a href="https://www.ithome.com.tw/news/132493" target="_blank">微軟去年8月</a>，將記事本獨立成為可由Microsoft Store下載的App，不過在12月的Windows 10更新中，又取消這項計畫，重新讓記事本回歸Windows，但也沒說明理由。不過上周記事本App又重新回到了<a href="https://www.microsoft.com/zh-tw/p/windows-notepad/9msmlrh6lzf3?activetab=pivot:overviewtab" target="_blank">Microsoft Store中</a>供下載。</p> <p>如果你去年更新過記事本，新的記事本App除了圖示有更換之外，兩者的功能是差不多的：包括全文循環查找／替換選項（wrap-around）；可記憶搜尋／取代關鍵字和選項留待下次使用；以Ctrl+、Ctrl-或Ctrl+滑鼠滾輪，來縮放文字、啟動文字換行時，還能正確顯示行列數；效能提高，打開大型檔案速度更快；按Ctrl+Backspace刪除鍵，可以刪除游標前的整個單詞（而不是單個字母）；以及支援Linux/Unix、macOS換行字元。安裝後用戶也可將之釘選到開始選單或工作列中。</p> </div></div></div>
2020/4/21 15:10作者林妍溱https://www.ithome.com.tw/news/137117
Python推2.7.18紀念版告別Python 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pythoninsider.blogspot.com/2020/04/python-2718-last-release-of-python-2.html" target="_blank">Python官方在python.org釋出了Python 2.7最後版本Python 2.7.18</a>，並提到，CPython社群是時候跟Python 2告別了。Python在釋出了2.6之後，核心開發者以及貢獻者持續開發維護Python 2.7版本11年，而這並非一項輕鬆的工作，因為Python 2與後來的Python 3分支存在不少差異。</p> <p>Python 2.7這段發展歷程中，經過許多重大的變化，像是Python安全性強化PEP 466，就向後移植到SSL模組以及雜湊隨機化功能上，官方提到，在傳統上這些功能是不可能以維護模式，添加到分支上，但為了照顧Python 2使用者的安全性，因此獲得CPython社群的支持，進行了額外處理。</p> <p>另外，Python 2.7還獲得了二進位建置工具與作業系統專家的幫助，分別是Windows的Martin vonLöwis和Steve Dower，以及macOS的Ronald Oussoren和Ned Deily，因此得以提供適用Python 2.7的微軟Visual C++編譯器，以及為macOS 10.9提供二進位Python 2.7版本。</p> <p>在維護Python 2這麼多年之後，官方認為，現在該把社群的能量放在發展Python 3上了。</p> </div></div></div>
2020/4/21 15:45作者李建興https://www.ithome.com.tw/news/137115
分析師：20億人無法使用Google、蘋果開發的COVID-19接觸者追蹤技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果和Google 兩周前<a href="https://www.ithome.com.tw/news/136924" target="_blank">共同宣布</a>，將打造以藍牙技術為基礎的武漢肺炎（COVID-19）接觸史的匿名追蹤技術，希望最終能幫助各國政府更有效遏止病毒散布。不過分析師認為，恐怕有高達20億人無福享受到這項科技帶來的好處。</p> <p>根據Google和蘋果的設計，本系統是以藍牙Beacon廣播定位技術，來偵測鄰近藍牙裝置，再搭配匿名的隱私保護設計而成。它可將特定時間及地區相鄰手機藍牙連線的資料儲存在資料庫中，用戶也可以opt-in加入，並以公衛主管機關核准的官方App存取。之後若有人病毒檢測為陽性，該App就會通知幾天之內曾和他有過接觸者的其他手機用戶。兩大廠估計5月先釋出API讓政府機構開發搭配的系統，後續會將該技術內建到iOS和Android兩大手機OS中，讓全球35億裝置都能支援。</p> <p>不過<a href="https://www.ft.com/content/271c7739-af14-4e77-a2a1-0842cf61a90f" target="_blank">金融時報本周引述</a>科技產業分析機構CCS Insight分析師Ben Wood說法，認為這項方案仰賴新近的手機技術，將使經濟弱勢的用戶被排除在外。他說，現行全球人口使用的手機中，有部份沒有藍牙或最新作業系統，因此弱勢族群、使用舊款手機或古早功能手機的用戶，將無法享受到這個App的效益。</p> <p>報導也引述Counterpoint Research分析師Neil Shah的說法指出，例如手機必須具備BLE晶片才能偵測相鄰手機，同時降低手機耗電量，全球使用中的智慧型手機，有四分之一不具備這種晶片。另外，高達15億人用的是功能手機。而這20億手機用戶主要分布於經濟能力不高，或是COVID-19致死率最高的高齡族群。</p> <p>CCS Insight分析師估計在印度，則高達6、7成的成年人沒有現代化智慧型手機。Counterpoint則估計，已開發地區如美、英及日本，相容手機滲透率達88%，到了印度則降為5成。</p> <p><a href="https://www.nytimes.com/2020/04/07/us/coronavirus-race.html" target="_blank">紐約時報報導</a>在美國，非裔美人因武漢肺炎感染或死亡率在各地皆較白人來得高，即使在人口比例較少的城市，原因在於經濟能力較差，沒有健保、也只能搭公共運輸工具。另外武漢肺炎已經由歐美地區，向非洲、印度、中南美等地擴散，被認為是下一波疫情重災區。</p> </div></div></div>
2020/4/21 14:25作者林妍溱https://www.ithome.com.tw/news/137114
紐時：Dropbox曾私下找駭客調查Zoom的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2020/04/20/technology/zoom-security-dropbox-hackers.html" target="_blank">紐約時報於本周引述</a>多名Dropbox前員工的說法，指出當Dropbox在2018年準備與Zoom合作時，曾經聘請許多駭客來尋找Zoom的安全漏洞，當時他們被Zoom的漏洞數量與嚴重程度嚇壞了。</p> <p>Dropbox有個替合作夥伴及供應商進行安全評估的專案，而Zoom便是首個參與該專案的業者之一。Dropbox在2018年便邀請駭客尋找Zoom的安全漏洞，且在2019年贊助於新加坡舉行的HackerOne駭客競賽時，也把Zoom平臺納入攻擊目標中，以迫使Zoom修補安全漏洞。</p> <p>後來Dropbox不但內部開會都透過Zoom，也把Zoom整合到Dropbox的功能中，允許使用者直接在Dropbox中建立及參與Zoom會議，或是在Zoom會議中存取Dropbox檔案，也可自動將Zoom會議的紀錄與逐字稿直接儲存到Dropbox中，更在2019年以500萬美元入股Zoom，成為Zoom的股東之一。</p> <p>不過，這些已經離職的Dropbox員工回憶，當時駭客找到了Zoom的數十個問題，問題有大有小，但數量跟嚴重程度令人震驚，有些可用來接管Zoom用戶的行動，有些可透過Zoom於系統上執行惡意程式，在將漏洞提交給Zoom之前，Dropbox不但在內部替Zoom驗證與篩選漏洞，還在整合Zoom服務時，作了額外的安全措施。</p> <p>當時的Zoom甚至成為Dropbox的內部教材，在Dropbox的2018年員工駭客競賽中，工程師建立了山寨版的Vroom作為攻擊目標，目的是為了教育Dropbox工程師，如何避免Zoom所犯下的安全錯誤。</p> <p>看來Dropbox對於改善Zoom的安全性功不可沒，曾負責Dropbox安全性的Chris Evans即向紐時表示，毫無疑問的，Dropbox的早期參與，讓現在的Zoom更有能力處理視訊會議遭亂入的問題。</p> </div></div></div>
2020/4/21 14:45作者陳曉莉https://www.ithome.com.tw/news/137116
大型IT服務業者Cognizant證實遭到Maze勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Maze勒索軟體大肆攻擊各種產業的公司行號，不僅是事件屢見不鮮，更因為發動攻擊的駭客相當招搖，炫耀攻陷的政府機關和公司行號數量而引發關注，現在驚傳大型跨國IT服務廠商也遇害。例如，Cognizant於4月18日發出新聞稿，表示他們的內部系統受到Maze勒索軟體攻擊，導致部分客戶的服務被迫中斷。</p> <p>Cognizant是一間大型的IT管理服務公司，總部位於美國新澤西州提內克，在全球擁有近30萬名員工，年營收超過150億美元。這間公司原先是鄧白氏（The Dun & Bradstreet）內部技術部門，後來經歷母公司的重組，於1998年公司進行IPO，成為那斯達克首家掛牌的軟體服務商。隨後於2000年進行轉型，成為提供管理咨詢、系統業務流程外包服務的公司，並於2011年成為財富500強企業。</p> <p>至於這起攻擊事件的其他細節，該公司並未進一步透露，僅說明資安團隊正在處理，他們也通報了相關執法單位。同時，Cognizant也持續向客戶聯繫，並且提供入侵指標（Indicators of Compromise，IOC），以及進一步的技術資料，讓用戶能夠加以防範，避免遭到波及。</p> <p>除了Cognizant公告他們面臨網路攻擊，也有資安研究者Vitali Kremez公開Maze的YARA特徵碼，並在推特上宣稱可能就是這起事件的攻擊手法，讓其他企業也能夠識別相關威脅。這名研究人員指出，Maze攻擊的層面，同時結合遠端桌面協定（RDP）與其他的遠端服務，要各界更加留意防範。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">High alert related to the yet another ransomware attack perpetrated by the Maze group possibly affecting <a href="https://twitter.com/Cognizant?ref_src=twsrc%5Etfw">@Cognizant</a>.</p> <p>Reviewing & mitigating against the usual Maze TTPs (including RDP + remote services as an attack vector) is advisable.</p> <p>✅Pushed <a href="https://twitter.com/hashtag/YARA?src=hash&ref_src=twsrc%5Etfw">#YARA</a>↘️<a href="https://t.co/qcUY464fSf">https://t.co/qcUY464fSf</a> <a href="https://t.co/z2zHL5apkm">pic.twitter.com/z2zHL5apkm</a></p> <p>— Vitali Kremez (@VK_Intel) <a href="https://twitter.com/VK_Intel/status/1251388507219726338?ref_src=twsrc%5Etfw">April 18, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2020/4/21 12:48作者周峻佑https://www.ithome.com.tw/news/137112
調查局聯手微軟破獲40萬裝置組成的殭屍網路，散毒源頭是一個LED燈控制器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/apac/features/law-enforcement-and-microsoft-come-together-to-bust-a-major-malware-attack-in-taiwan/" target="_blank">微軟上周揭露</a>，法務部調查局去年8月接獲微軟臺灣數位犯罪防治中心（Digital Crimes Unit，DCU）通報，發現了一個涉及40萬裝置的殭屍網路。調查局循著VPN IP查出攻擊所在的鄉下建築，意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置。</p> <p>根據微軟的說明，臺灣DCU團隊一名眼尖的分析師，在監控螢幕上發現了不尋常的訊號，相關訊號在一個月內增加了100倍，仔細研究後顯示它涉及40萬個公開的IP位址，再縮小範圍到90個可疑IP，針對這90個IP再進行資料搜尋之後，找到了一個連結數十種攻擊活動的IP，發現該IP在一周內遞送高達1TB的惡意內容，涵蓋惡意程式、網釣郵件、勒索軟體，以及分散式阻斷服務攻擊等。</p> <p>該團隊隨後即向調查局報告，調查局藉由DCU所提供的情報，追蹤了此一非法的VPN IP，找到藏匿在VPN之後的帳號，發現惡意行動是源自於北臺灣農村的一個辦公大樓。</p> <p>令人稱奇的是，一般而言，駭客都是利用被駭的PC來執行網路攻擊，但這次的主角卻是一個LED燈光控制裝置，調查局很快就將它關閉，以防止它再遞送惡意程式。</p> <p>在這次行動後，調查局也和微軟DCU臺灣團隊，定期討論網路威脅的趨勢與情報。</p> <p>微軟與全球的政府組織都有類似的合作，今年3月微軟還曾協同35國的警方，破獲全球最大惡意郵件網路之一的<a href="https://www.ithome.com.tw/news/136274" target="_blank">Necurs</a>。此外，從2010年迄今，DCU團隊總計破獲了全球22個殭屍網路，合作的對象除了各國警方之外，也包括ISP及網域名稱註冊商。</p> </div></div></div>
2020/4/21 11:30作者陳曉莉https://www.ithome.com.tw/news/137110
Google修補Chrome 81 RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_15.html" target="_blank">Google上周釋出</a>Windows、Mac、Linux版Chrome 81.0.4044.113，以修補一項重大風險的遠端程式碼執行（RCE）漏洞，可能讓遠端攻擊者暗中執行惡意程式，用戶應儘速升級到最新版本。</p> <p>Google指出，最新版本Chrome將在未來幾天，最遲幾周內部署到桌機用戶。</p> <p>本次版本修補的漏洞，由中國安全廠商奇虎360 Alphabet實驗室的研究人員於4月初通報。該漏洞編號為CVE-2020-6457，屬於影響Chrome語音辨識元件中的使用已釋放記憶體（Use after free，UaF）漏洞。</p> <p>不過Google並未公開本漏洞細節，表示要等到大部份用戶，都接獲更新才會公布。此外，擔心其他專案使用的第三方函式庫尚未修補這項漏洞，因此Google也限制存取相關資訊。</p> <p>UaF漏洞是記憶體毁損漏洞，通常是由攻擊者發送指令觸發，進而在記憶體內寫入並執行惡意程式。安全廠商<a href="https://nakedsecurity.sophos.com/2020/04/17/critical-bug-in-google-chrome-get-your-update-now/" target="_blank">Sophos指出</a>，某些情況下UaF漏洞可能讓攻擊者變更程式內的控制流，像是導引CPU執行由攻擊者寫入記憶體、不受信任的程式碼，而繞過瀏覽器正常的安全檢查，或「你確定要執行？」的對話框，也是遠端程式碼執行（remote code execution，RCE）漏洞。</p> <p>Sophos解釋，這類漏洞可讓攻擊者在不觸發警告，在受害電腦上遠端執行程式碼，也是最嚴重的漏洞類型。</p> <p>該漏洞僅影響Windows、Mac、Linux版Chrome 81。<a href="https://support.google.com/chromebook/thread/41304060?hl=en" target="_blank">Google表示</a>並不影響ChromeOS版。</p> <p>GitHub安全研究人員本周稍早也揭露影響Chrome 80 WebAudio元件的另一個重大風險RCE漏洞，<a href="https://securitylab.github.com/advisories/GHSL-2020-053-chrome" target="_blank">編號CVE-2020-6450</a>，可讓駭客引誘用戶連上惡意網站開採。它起於2月間<a href="https://securitylab.github.com/advisories/GHSL-2020-035-chrome" target="_blank">CVE-2020-6427</a>，以及<a href="https://securitylab.github.com/advisories/GHSL-2020-038-chrome" target="_blank">CVE-2020-6429</a>這二項漏洞修補不全所致，如果用戶Chrome仍在80.0.3987.162 之前版本，也應儘速升級。</p> </div></div></div>
2020/4/21 11:40作者林妍溱https://www.ithome.com.tw/news/137111
Riot Games替新遊戲的防外掛機制推出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《英雄聯盟》發行商Riot Games上周在HackerOne上啟動一項抓漏獎勵專案，鎖定了伴隨著新遊戲《Valorant》而來的防外掛機制Vanguard，Vanguard近來因為可持續在玩家的電腦上執行，而受到不少批評，促使Riot Games決定透過抓漏專案，來平息外界對Vanguard的隱私與安全疑慮，且最高獎金達10萬美元，堪稱是遊戲界史上最高的抓漏獎金。</p> <p>《Valorant》為一免費的多人第一人稱射擊遊戲，它在去年10月以Project A為名首度發表，已於今年4月7日展開封閉測試，預計在今年夏天正式推出支援Windows的版本。</p> <p>Riot Games還替《Valorant》設計了一個避免玩家安裝外掛的防作弊機制Vanguard，卻<a href="https://www.reddit.com/r/VALORANT/comments/fzxdl7/anticheat_starts_upon_computer_boot/" target="_blank">被玩家爆料</a>，只要一開機，系統就會自動執行Vanguard，不管有沒有在玩《Valorant》都一樣。</p> <p>這惹來玩家的議論，因為多數遊戲的防作弊機制，都是在執行遊戲時才會啟動，也有玩家認為，Riot Games的作法等於是讓作弊軟體無處藏身。</p> <p><a href="https://support-valorant.riotgames.com/hc/en-us/articles/360046160933-What-is-Vanguard-" target="_blank">根據Riot Games的解釋</a>，Riot Vanguard為該公司所打造的遊戲安全軟體，目的在於確保遊戲競爭的公平性，它由兩個主要元件所組成，一個是在執行《Valorant》時才會出現的客戶端程式，另一個則是核心模式的驅動程式。</p> <p>雖然Riot Games強調，不管是Vanguard客戶端程式或驅動程式，都秉持著隱私與安全守則，但依舊惹來玩家的爭議，使得Riot Games決定發起Vanguard的抓漏獎勵專案。</p> <p>根據HackerOne上的<a href="https://hackerone.com/riot/" target="_blank">專案說明</a>，若能透過網路展開攻擊，並於核心層級上執行程式且無需使用者互動的安全漏洞，最高可得10萬美元；若可未經授權存取機密資料的漏洞，最高價值7.5萬美元；若是需要使用者互動的程式執行攻擊，則是7.5萬美元；需要互動的資料存取攻擊，價值5萬美元；本地端的權限擴張漏洞，則依據是可執行程式或存取機密資訊，而有3.5萬及2.5萬美元的價碼。</p> <p>其他遊戲業者如任天堂、Rockstar Games或Valve，也都有在HackerOne上啟動抓漏專案，任天堂的最低獎金為100美元，Rockstar Games的最低獎金為150美元，可能因為獎金偏低，這兩家業者在過去一季所收到的漏洞報告，都不到100份。而Valve的最低獎金雖然也只有100美元，但平均獎金為750美元，而且最高曾付出2萬美元，使得Valve在過去一季，收到了218份的漏洞報告。</p> </div></div></div>
2020/4/21 06:20作者陳曉莉https://www.ithome.com.tw/news/137107
Google發布新的WebView除錯工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2020/04/developer-tools-to-debug-webview-in-beta.html">Google發布了新的WebView開發工具（DevTools）</a>，這是一套新的Android裝置上除錯工具，開發者可用來診斷由WebView引起的崩潰，以及網頁平臺功能的錯誤行為。</p> <p>雖然在多數的情況，Google都建議開發者應該利用標準的網頁瀏覽器，交付內容給使用者，但是在部分情況下，開發者可以使用WebView物件來顯示網頁內容，以提供更好的Android應用程式操作體驗。WebView可視為具有部分功能的瀏覽器，當開發者需要強化對使用者介面進行控制，或是提供進階選項的時候，WebView就能派上用場，讓開發者將網頁嵌入到應用程式中。</p> <p>WebView是一個可更新的元件，Google持續以更新的方法，改進其穩定性和效能，並加入網頁新功能以及安全性補丁，但Google提到，更新是一把雙面刃，在提升其穩定性和相容性的同時，也可能產生另外的新問題，Google還表示，由於所有應用程式都存在臭蟲，要在應用程式中載入網頁內容，更是有其挑戰性，WebView崩潰很容易成為應用程式的痛點。</p> <p>要對WebView崩潰測試並不容易，因為容易跟Java和C堆疊追蹤混淆，因此為了讓開發者可以提早發現問題，Google釋出WebView Beta計畫，開發者可用來對WebView程式除錯，為了方便，WebView開發工具就包含在WebView中，開發者只要使用WebView Beta就能啟用WebView開發工具。WebView Beta計畫可以讓開發者在新版WebView發布到使用者裝置之前，就讓應用程式開發者先用到新功能，並且回報相容性問題。</p> <p>為了讓崩潰更好處理，Google讓開發者能方便地存取WebView內建崩潰回報工具，只要在WebView開發工具中點擊按鈕，就能看到裝置上最近由WebView所造成的崩潰列表，強制上傳未回傳的崩潰報告，並且提交成為臭蟲報告，Google會根據這些資訊改進WebView。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-VSv9mpaVrrc/XpoQ4KbaW_I/AAAAAAAAO4I/XK8Xfii9McMlwJe27_4oAGCmXFzEGQBPQCLcBGAsYHQ/s1600/revised-flags.gif" style="width: 250px;" /></p> <p>不過也並非所有的錯誤都會導致崩潰，也有可能是新功能改變程式行為，破壞了Android應用程式，Google提到，Chrome團隊在每個WebView版本都啟動多個新功能，這常需要時間確認潛在的問題，而WebView開發工具則能發揮作用，提供控制與實驗功能，以進行網路平臺相容性測試；Google提到，使用WebView開發工具可以幫他們找出臭蟲所在。</p> <p>從最新的WebView Beta版本開始，就包含了WebView開發工具的啟動圖標，開發者可以在應用程式中對WebView除錯。在即將發布的版本，WebView開發工具還將加入功能旗標功能，讓開發者在測試裝置上更方便地試驗程式相容性。</p> </div></div></div>
2020/4/21 05:40作者李建興https://www.ithome.com.tw/news/137103
區塊鏈金融平臺dForce的加密貨幣資產幾乎被盜領一空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>源自中國的區塊鏈金融平臺dForce宣布，該平臺旗下的存款及貸款服務Lendf.Me在周日（4月19日）遭到駭客入侵，駭客盜走了價值約2,500萬美元的數位資產。dForce才在4月15日完成150萬美元的募資活動。</p> <p>dForce奠基在分散式金融技術（Decentralized Finance，DeFi）架構上，目前的DeFi網路由各種新創組成，目的是為了推廣分散式的金融服務，而dForce即是其中之一。</p> <p>根據專門觀察DeFi新創價值的DeFi Pulse<a href="https://defipulse.com/dforce" target="_blank">所提供的數據</a>，dForce在4月19日的數位資產還有2,495萬美元，但到了20日只剩下1萬美元，意謂著駭客幾乎盜走了dForce的全部資產。</p> <p>dForce創辦人暨執行長<a href="https://medium.com/dforcenet/a-summary-of-the-attack-on-lendf-me-on-april-19-2020-e2f1c5d96640" target="_blank">楊民道表示</a>，他們是在臺北時間4月19日的早上9點15分偵測到攻擊行動，駭客把Lendf.Me合約中的資產盜領一空，約莫是2,500萬美元。</p> <p>楊民道指出，駭客結合了ERC777代幣與DeFi智慧合約的安全漏洞以進行重入（reentrancy）攻擊，以盜走加密貨幣資產。專精於區塊鏈安全的PeckShield則對駭客的攻擊手法<a href="https://medium.com/@peckshield/uniswap-lendf-me-hacks-root-cause-and-loss-analysis-50f3263dcc09" target="_blank">作了完整的解釋</a>。</p> <p>楊民道也透露駭客企圖與他聯繫，目前該公司正在努力控制局勢，包括通報不同地區的執法機構，以及要求資產發行商及交易中心，將駭客的錢包位址列入黑名單。</p> <p>目前dForce已關閉Lendf.Me服務，並邀請資安業者替該平臺進行全面的安全稽核，也打算對該系統進行資本重組。</p> <p>儘管DeFi在過去幾個月，還被視為是以太坊（Ethereum）或其它智慧合約的殺手級應用，因為它允許使用者透過區塊鏈執行超低利息的融資，但此一意外卻令數百或數千名用戶的資產蒸發，顯示DeFi尚未準備就緒。</p> <p>此外，這並不是DeFi陣營首度出包，一名專門追蹤加密貨幣消息的記者<a href="https://twitter.com/CamiRusso/status/1251921338455019521?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1251921338455019521&ref_url=https%3A%2F%2Fcryptoslate.com%2Fdeal-with-the-devil-ethereum-defi-protocol-negotiates-with-hacker-of-25-million%2F" target="_blank">Camila Russo指出</a>，除了dForce之外，同屬DeFi網路的Synthetix、bZx、iEarn與LendfMe都曾遭遇數位資產被盜走的事件，損失金額從28萬美元到3,700萬美元不等，呼籲DeFi應建立更好的安全標準。</p> </div></div></div>
2020/4/21 05:40作者陳曉莉https://www.ithome.com.tw/news/137106
亞航啟用全球第一個區塊鏈空運競價與預訂系統Freightchain
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲航空（AirAsia）的子公司Teleport發布了一個稱為<a href="https://newsroom.airasia.com/news/2020/4/16/teleport-announces-freightchain-a-digital-network-to-instantly-bid-and-book-air-cargo">Freightchain</a>貨物追蹤系統，這是全球第一個運用區塊鏈技術的數位貨物網路，亞航讓托運人和貨運代理人，可透過Freightchain即時預訂亞航247架貨機，以節省大量經傳統銷售與電子郵件預訂管道的時間花費。</p> <p>Teleport提到，在這特殊的時期，航空貨運對全球對抗武漢肺炎疫情至關重要，而即時透明的競標和確認緊急航空運貨容量，對醫療用品供應和設備運輸更是重要，Freighchain可以讓使用者探索航空公司所有可用的貨物網路，並在區塊鏈上按需投標並且進行驗證。</p> <p>Freightchain技術長Vishal Batra提到，他們選在武漢肺炎病毒大流行，造成全球供應鏈不穩定的時刻啟動了Freightchain，希望透過Freightchain連接供需兩方消弭不均，維持信任與透明。</p> <p>Teleport已經完成Freightchain的首次試驗，將藥品從印度的邦加羅爾送到了蒙古的烏蘭巴托，這是利用區塊鏈上的智慧合約，確認了來自三個營運商的航班，飛經馬來西亞吉隆坡與南韓首爾的行程。Teleport解釋，由於沒有邦加羅爾到烏蘭巴托的直飛航班，托運人原本必須要手動透過電話和電子郵件，與多家航空公司和代理人聯繫，敲定可用航班，而這是一個非常繁瑣而且耗時的過程。</p> <p>但Freightchain能以托運人可接收的預算，程式化探索可連接航班的路徑，不只節省托運人的成本，更簡化預定流程，使確認貨物運送路徑的速度快10倍，而且對於航空公司來說，動態按需班機聯運，可以有效利用航班運能。</p> </div></div></div>
2020/4/21 06:15作者李建興https://www.ithome.com.tw/news/137105
不只洩露個資還會影響行車安全！福特和福斯連網車輛傳嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萬物聯網的時代，汽車使用的各式系統因為與網際網路連接，曝露於資安風險，成為駭客發動攻擊的管道，由於涉及到車輛的控制單元，甚至可以左右車上乘客的人身安全。針對上述的現象，英國消費者權益組織旗下的媒體Which?，便與資安公司Context聯手，鎖定歐洲兩款熱銷的汽車進行研究，結果發現，它們採用的車載系統都有漏洞可被濫用，但通報後，車商回應有關的攻擊手法難度很高，沒有直接對駕駛或乘客構成生命危險的情況，而認為風險尚在可控管的範圍。對此，該媒體認為，消費者要有意識保護自己的個資，同時政府也該藉由公權力，讓車廠正視相關的資安防護。</p> <p>為了檢驗連網汽車的資安風險，Which?挑選了兩款歐洲市場的熱銷車款，分別是最新年式的福斯Polo，以及福特Focus。根據汽車市調公司JATO的統計，去年這兩款汽車的銷售量，分別賣出了超過25萬臺與22萬臺，都是當地前十大的車款，因此這次的研究結果，也算是相當具有代表性。</p> <h2><strong>車輛控制系統可被非法操控，乘客人身安全亮紅燈</strong></h2> <p>首先，在Polo的各式車用系統上，Which?與Context發現，透過能夠停用循跡控制系統（Tranction Control System，TCS）的命令，他們便能入侵這臺車的資訊娛樂系統，然後從中竊得車主的個人資料，包含電話的通訊錄，以及行駛過的地點等內容。再者，這臺車的實體防護層面也被忽略，研究人員留意到，如果駭客要存取車輛前方雷達模組其實相當容易，只要移開水箱罩上的福斯廠徽就行，駭客便能藉此竄改汽車的防碰撞警示（Collision-warning）系統。然而，無論是遠端開關循跡控制系統，還是變更防碰撞警示系統設定，都可能在車輛失控的時候，導致這些輔助機制失效，造成車上人員傷亡。</p> <p>而Which?的資安專家針對Focus進行檢查後，察覺這款車的胎壓監控系統（Tyre-Pressure Monitoring System，TPMS）所傳送的訊息，只要透過一臺筆電和價值25歐元的小工具，他們就能從中控制在儀表板顯示的內容，也就是說，攻擊者可以在車輛胎壓不足的情況下，讓儀表板顯示為正常，進而影響行車安全。此外，操控從輪胎監控器傳出的資訊，駭客還可以左右行車電腦記錄的駕駛行程內容。</p> <p>除了上述影響行車安全的威脅，研究人員也在福特編寫的程式碼裡，發現疑似該廠商位於底特律生產線電腦的無線網路資料，而且還包括了密碼。</p> <p>不只是車輛上的系統存在遭駭客濫用的風險，值得留意的是，上述的兩臺車，車廠也提供手機應用程式，讓車主能進行行程的記錄，或者是分析油耗情形等工作，然而研究人員指出，這些應用程式也存在資安疑慮。以福斯推出的We Connect而言，他們發現於安裝時，會向使用者要求許多額外的權限，像是存取手機的個人行事曆機敏資訊，以及USB外接裝置的內容。而在這款App的隱私政策條文裡，也表明福斯會在用戶執行的過程收集資料，並且與外部合作廠商分享。</p> <p>而福特所提供的FordPass行動應用程式，則是被授權能隨時分享車輛的地點及行程的方向，再者，連同車上各式感應器的資料，也包含在允許分享的範圍，涵蓋了警示燈和油耗的感應器。</p> <h2><strong>廠商認為影響有限，恐輕忽問題的嚴重程度</strong></h2> <p>綜合上述的發現，Which?將他們的研究細節提供給廠商，但是福斯與福特的反應有所不同。前者態度算是較為積極，儘管他們認為資訊娛樂系統與車上的其他系統所使用的網域不同，假如影響到其他重要控制單元，他們不可能沒有發現，然而該公司與資訊娛樂系統的供應商，都認同這次研究的結果。</p> <p>不過，福斯也認為，車輛資訊娛樂系統的資料，還有網站上提供的韌體，都沒有加密保護的必要，並且宣稱他們已經檢查過是否有漏洞。同時該公司表示，在Which?研究的結果裡，攻擊者需要耗費極高的代價才能進行攻擊，因此他們覺得是在可以控管的風險程度。</p> <p>相較於福斯還算是正面的態度，福特則是全面否認相關的研究結果，只有表示他們相當重視連網車輛的資訊安全，並宣稱胎壓監控系統的漏洞必須搭配額外條件才能濫用，至於行動應用程式的部分，則是一切在用戶同意下收集資料，而且車主隨時可以要求停止收集。</p> <p>對於兩家車廠的回應，Which?則是認為，汽車製造廠普遍缺乏資安意識，有待政府單位透過立法加以規範。而對於一般的社會大眾，對於車輛的買賣或是租賃，都要留意，像是出售車輛時，必須消除車上所存放的個人資料，並且註銷與手機應用程式的連結。假如購買二手車，也應該請賣家清除前一個車主留下的帳號資料，以免自己的行蹤曝露給他人。</p> <p>至於租用車輛時，Which?表示，民眾最好不要將手機與車輛的資訊娛樂系統連結。</p> </div></div></div>
2020/4/20 20:03作者周峻佑https://www.ithome.com.tw/news/137104
Rust公布2019大調查：Rust太難社群學不動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Mozilla主導開發的程式語言Rust，釋出了<a href="https://blog.rust-lang.org/2020/04/17/Rust-survey-2019.html" target="_blank">最新的2019社群大調查</a>，顯示Rust在2018年有所成長，但是成長的力道較前一年小，從開發者使用Rust的狀況，可以略知一二，2019年每日使用Rust的比例為27.6％，而2018年則為25％，成長2.6％，不過前一年卻有7.5％的成長；2019年每周使用Rust的受訪者為40％，較前一年略降。</p> <p>全職使用Rust的受訪者，最多將Rust應用於開發網頁應用程式後端，其他應用依序為分散式系統、嵌入式裝置、IT、網路程式開發、前端應用程式以及安全性應用等。而主要應用Rust的專案，有43％規模落在1千行與1萬行程式碼間，第2名的專案規模則是1萬行與10萬行間，官方提到，Rust中大型專案的比例持續成長，從2016年的8.9％，到2017年16％、2018年23%，而2019年達到34％。</p> <p>問券調查要求受訪者對自己的Rust技能評分1到10分，7為人數高峰，大部分的人集中在3到8之間，而這與使用Rust的時間有關，依據統計，使用Rust在1到3個月內，約可掌握3成技能，而6到12個月則能掌握5成技能，平均掌握7成以上技能的開發者，使用Rust的年資可能需要超過3年。</p> <p>這次官方收到了接近4千份的回應，其中有82.8%的受訪者正在使用Rust，而過去曾使用以及從未使用Rust的受訪者，則分別佔7.1與10.1%，與2018年比較起來，受訪者使用Rust的比例上升了接近8％。使用Rust的受訪者，最大的使用原因來自於任職的公司使用Rust，其他原因則有Rust剛好有他們需要的函式庫，或是覺得IDE好用，也有人是因為覺得Rust簡單好學而來用。</p> <p>官方對那些未曾或是曾經使用Rust的受訪者進行了調查，除了最大的原因是任職的公司沒有使用之外，第2名原因是他們覺得Rust太難太複雜不好學，接下來幾個原因則是與Rust成熟度有關，包括Rust沒有他們需要的函式庫、工具，或是覺得IDE不夠好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-Why-Stopped-Rust.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>官方提到，很明顯的開發者要不要用Rust，直接受企業採用數量左右。問卷調查問了受訪者，什麼樣的資源可以降低採用障礙，絕大多數受訪者一致認為，官方最應該提供更好的訓練教程以及文件，再來才是更好的函式庫、IDE整合，並且加速編譯時間。</p> <p>有不少受訪者對學習Rust給出了具體的意見，有人認為，官方應該盡可能讓Rust的學習曲線平滑，因為對小企業來說，學習Rust要在四到六周才能有生產力，有點稍嫌太久，另外，也有人建議官方，應該要給更多的範例，並且提供Crates使用建議。</p> <p>Rust陡峭的學習曲線，是阻礙不少開發者開始學習使用Rust的原因之一，根據官方調查，37％的人認為學用Rust，約在1個月的時候會開始感覺有生產力，70％的人都在學用Rust一年內，會感覺到有生產力。不過，也有高達21％的人，感到無法具備滿意的生產力，這個族群高峰落在1到3個月的學習時間，其中也不少學用了一年，甚至二到三年，官方提到，這些人將是往後他們發展學習材料的重點對象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/8-How-Long-To-Be-Productive.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>另一個Rust受挑戰的點便是函式庫的成熟度，有受訪者認為穩定的函式庫不夠多，而官方也對社群專案使用函式庫的情況做了調查，專案使用的相依項目完全為1.0以上版本，比例只有0.8％，大多數為穩定版的只有6.7％，僅部分相依項目穩定版的專案則高達66.4％，還有21.4％的受訪者不了解自己專案相依項目的版本狀況。</p> <p>在平臺與環境的選擇上，34.9％的Rust開發者都使用VSCode開發Rust程式，第2與第3名IDE則為Vim和Intellij，都有約20％的使用率。開發的應用程式主要鎖定Linux平臺，有36.9％，第2則是Windows的16.3％，macOS和WebAssembly則各占14％。</p> </div></div></div>
2020/4/20 16:30作者李建興https://www.ithome.com.tw/news/137094
武漢肺炎效應：紐約州開放遠端辦理結婚手續及公證儀式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在武漢肺炎（COVID-19）的襲擊之下，全球有許多人只能透過網路工作、學習，現在連結婚都能透過網路完成。<a href="https://twitter.com/NYGovCuomo/status/1251570033395974145?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1251570033395974145&ref_url=https%3A%2F%2Fthehill.com%2Fhomenews%2Fstate-watch%2F493492-cuomo-signs-executive-order-allowing-new-yorkers-to-obtain-marriage" target="_blank">紐約州長Andrew Cuomo周末宣布</a>，他已簽署了一紙行政命令，允許紐約人自遠端取得結婚許可，並允許公證官自遠端主持婚禮，以讓新人取得結婚證書。</p> <p>要在紐約州結婚，新人除了必須親至婚姻局取得結婚許可證（Marriage License ），也必須到婚姻局舉行結婚儀式，才拿得到結婚證書，不過，因為疫情的關係，紐約婚姻局的所有辦公室從3月20日就關閉至今，而且也不確定何時才能再度開張。</p> <p>考量到疫情的發展讓許多新人無法結婚，使得紐約州長Andrew Cuomo發布行政命令，暫時取消要新人親至婚姻局的規定。</p> <p>紐約州現為美國疫情最嚴重的地區，在全美超過76萬的感染案例中，紐約州即占了24.7萬，在全美逾4萬的死亡案例中，紐約州也占了1.8萬，也讓紐約州成為全美祭出最多防疫措施的州政府。</p> </div></div></div>
2020/4/20 15:10作者陳曉莉https://www.ithome.com.tw/news/137093
美國國土安全部督促使用者修補Pulse Secure VPN漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國土安全部旗下的網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.us-cert.gov/ncas/alerts/aa20-107a" target="_blank">在上周警告</a>，它們接獲許多政府機關及企業的報告，顯示已有許多駭客開採了位於Pulse Secure VPN設備上的CVE-2019-11510漏洞，除了呼籲未修補的使用者應儘速處理，也提醒已完成修補的組織，最好檢查駭客是否曾在修補前，就攻陷該漏洞並取得憑證。</p> <p>去年4月被揭露的CVE-2019-11510，是個任意檔案讀取漏洞，駭客只要傳送一個特製的URI（uniform resource identifier），就能自遠端存取VPN伺服器上的任何檔案，包括所有用戶的明文憑證，也可能在每個VPN客戶端執行任意命令。</p> <p>去年10月美國國家安全局就曾警告，已有駭客針對該漏洞展開攻擊，英國國家網路安全中心，也幾乎是同時<a href="https://www.ithome.com.tw/news/133480" target="_blank">發布了警告訊息</a>，今年1月則有駭客透過這項漏洞，來安裝REvil勒索軟體。</p> <p>除了駭客對CVE-2019-11510的興趣不減之外，CISA也觀察到駭客的許多攻擊手法。例如當駭客取得了使用者的憑證之後，即可藉由Pulse Secure VPN裝置來入侵企業網路，但他們是利用Tor架構或虛擬私有伺服器來存取，以避免被察覺，目的是為了在企業網路上植入長駐後門、蒐集文件，或是執行勒索軟體等。</p> <p>此外，CISA還發現，在組織修補該漏洞的數個月之後，駭客還在使用那些遭竊的憑證。</p> <p>CISA除了督促各大組織儘快修補該漏洞之外，也釋出了自家開發的工具，以協助網路管理員查詢內部網路，是否有任何可能遭到開採的指標，同時建議就算已經修補了，也應該變更所有使用者的憑證。</p> </div></div></div>
2020/4/20 16:00作者陳曉莉https://www.ithome.com.tw/news/137095
21萬人要提高自主健康管理意識，24位艦隊感染確診者全臺足跡緊急公布！（內有足跡連結）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今天揭露了臺灣第一起武漢肺炎艦隊感染的疫情結果，為了防止疫情散播，中央流行疫情指揮中心也緊急公布了目前已知確診者24人在下船後的移動路徑。4月15到17日發現確診之間，三個艦隊上近700人在全臺北、中、南移動。</p> <p>指揮官陳時中指出，目前先發出幾次提醒簡訊，除了通知當事人，也針對接觸者發過一波，最近更在針對在確診者去過地點可能接觸的對象，也發了一次，多達21萬人，提醒這些人要提高自主健康管理的意識，一有症狀要趕快通報來採取後續的行動。先前收過熱門景點細胞廣播示警簡訊的人，不少公司，如金控都以更高規格地緊急要求他們居家辦公，這次受影響的人數恐怕也不少。</p> <p>指揮中心也公布了目前確診人數的縣市名單，台北市1例、新北市1例、基隆市1例、桃園市2例、台中市3例、雲林縣1例、嘉義市1例、台南市1例、高雄市9例、屏東縣4例。</p> <p>目前這些確診者已知去過的地方，政府已經整理成一份Google Map上的足跡記錄，提供給各界比對和民眾參考之用。這些地點，指揮中心詳細列出了確診者出沒這些地點的時間區間，甚至有些確切的店家名稱或是地址都有。敦睦艦隊確診者足跡連結如下。<br /><a href="https://www.google.com/maps/d/u/0/viewer?mid=1sUZjqrx-c7mnLDGjb0GUhI_Xf4N30wEc&ll=24.342681114023687%2C121.19946503470146&z=8">https://www.google.com/maps/d/u/0/viewer?mid=1sUZjqrx-c7mnLDGjb0GUhI_Xf4...</a></p> <p>國防部表示，目前也緊急針對艦隊其他接觸過確診者的高風險人員，正在調查這些人的足跡，會再逐漸提供給疫情調查單位。</p> </div></div></div>
2020/4/20 14:34作者王若樸https://www.ithome.com.tw/news/137090
Cloudflare推出可檢查ISP安全性的Is BGP Safe Yet網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare上周發布了<a href="https://blog.cloudflare.com/is-bgp-safe-yet-rpki-routing-security-initiative/" target="_blank">Is BGP Safe Yet網站</a>，可用來測試使用者的網路服務供應商（ISP），是否部署了資源公鑰基礎架構（Resource Public Key Infrastructure，RPKI），以預防BGP外洩或挾持。</p> <p>全球網路是由不同的自治系統（Autonomous System）所組成，它們之間利用邊界閘道協定（Border Gateway Protocol，BGP）來互連，BGP負責打造網路地圖，規畫最快的路徑，但當AS錯誤宣告BGP時，就可能造成BGP外洩或挾持的狀況，將流量導至錯誤的目的地，而造成<a href="https://www.ithome.com.tw/news/131459" target="_blank">網路大塞車</a>或<a href="https://www.ithome.com.tw/news/136758" target="_blank">誤繞</a>的結果。</p> <p>為了改善BGP的安全性，業界提出了資源基礎架構（RPKI），它又被稱為資源認證，可被部署在AS上，用來驗證AS與BGP路由宣告之間的關聯，可擋下無效的路由宣告。</p> <p>因此，Is BGP Safe Yet就是用來驗證各大ISP業者或其它大型網路，是否正確部署了RPKI，根據Cloudflare的觀察，目前大約有50%的網路部署RPKI。</p> <p>Cloudflare所使用的驗證方法很簡單，它們讓Is BGP Safe Yet企圖載入兩個頁面，一個具備有效的前綴（prefix），另一個則採用無效前綴，倘若使用者的ISP業者實施了RPKI，那麼就只能載入第一個頁面，而無法載入第二個，若兩個都能載入，即代表ISP接納了無效路由，並未採用RPKI。</p> <p>例如當測試中華電信的HiNet服務時，即出現HiNet並未安全導入BGP的訊息。Cloudflare也鼓勵使用者透過Twitter分享該訊息，以督促業者部署RPKI來保障全球網路的健全。</p> </div></div></div>
2020/4/20 13:25作者陳曉莉https://www.ithome.com.tw/news/137088
Rackspace傳將再IPO上市，目標募資超過100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情激勵雲端類股，路透社上周<a href="https://www.reuters.com/article/us-rackspace-ipo-exclusive/exclusive-apollo-readies-ipo-of-cloud-company-rackspace-sources-idUSKBN21Y39S" target="_blank">引述消息人士報導</a>，美國雲端廠商Rackspace投資人近日申請公開股票發行（IPO）案，計畫募資超過100億美元。</p> <p>消息人士指出，持有Rackspack的Apollo Global Management，已經祕密向美國證管會（SEC）遞交IPO申請案。去年多家雲端業者，包括CDN公司Fastly、視訊業者Zoom、雲端端點安全商Crowdstrike、雲端監控平臺Datadog、遠距協同平臺Slack等風光IPO。這也讓Apollo Global Management受到鼓舞，他們準備等武漢肺炎疫情造成的市場不確定性平息後，讓Rackspace上市。不過並未設定確切日期。</p> <p>成立於1998年的Rackspace原是主機代管商，曾經在紐約證交所掛牌上市。不過2016年這家業者因公有雲競爭者太多，被Apollo Global Management收購下市。目前Rackspace除了提供公、私有雲，也和AWS、微軟Azure、Google Cloud Platform、OpenStack等業者合作，提供多雲和混合雲服務給企業客戶。路透社引述Allied Market Research數據，去年Rackspace營收估計27億美元，到2027年上看90億。</p> <p>這並不是第一次傳出Rackspace要以IPO重出江湖。2018年3月<a href="https://www.bloomberg.com/news/articles/2018-03-27/apollo-is-said-to-consider-ipo-of-cloud-hosting-firm-rackspace" target="_blank">彭博新聞就曾報導</a>，這家私募基金業者的Rackspace IPO計畫。去年是雲端公司IPO旺季，<a href="https://www.cnbc.com/2019/09/22/datadog-is-fourth-software-ipo-in-2019-to-reach-10-billion-market-cap.html" target="_blank">CNBC報導</a>，Zoom、Slack、Crowdstrike及Datadog去年IPO募資，皆創下超過百億美元的佳績。</p> </div></div></div>
2020/4/20 13:35作者林妍溱https://www.ithome.com.tw/news/137089
澳洲擬立法強制Google、臉書要付授權費，才能分享新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theguardian.com/media/2020/apr/19/facebook-and-google-to-be-forced-to-share-advertising-revenue-with-australian-media-companies" target="_blank">根據國外媒體報導</a>，澳洲政府要求澳洲競爭與消費者委員會（Australian Competition and Consumer Commission，ACCC）打造新規定，以強制要求Google及臉書等分享新聞內容的數位平臺，要支付授權費給當地媒體。</p> <p>其實早在去年12月，澳洲政府就曾要求ACCC開發一套規定，以作為數位平臺及當地媒體之間協商的範本，不過該規定是志願性的，並未有強制效果，但在澳洲政府發現業者的進展太慢，再加上武漢肺炎（COVID-19）疫情，嚴重影響了媒體的廣告業務與生存能力，因而臨時改弦易轍，直接要ACCC打造一個強制性的法規，首個草案將於7月出爐。</p> <p>志願性與強制性法規的內容相近，都是要求數位媒體在使用媒體內容時，應該要付費，也應在因變更演算法而影響新聞排序之前通知媒體，在搜尋結果中必須以原始新聞來源為優先，同時與媒體業者分享資料。最大的不同在於，強制性的法規包含了罰則。</p> <p>澳洲通訊部長Paul Fletcher向媒體表示，武漢肺炎疫情加劇了媒體產業的財務困境，整個產業的廣告營收大幅下降，因此希望這些利用媒體內容，來建立及維護使用者忠誠度的數位平臺，能夠改善與媒體之間的關係。</p> <p>根據估計，澳洲已有數十家地方媒體因為疫情而暫停出版，主要是因為缺乏廣告業務，也有大型媒體要求員工減薪或離職，上周澳洲政府已祭出接近1億美元的媒體產業紓困方案。</p> </div></div></div>
2020/4/20 12:35作者陳曉莉https://www.ithome.com.tw/news/137086
不敵疫情，Tor Project裁減3成人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）衝擊各大小企業及非營利組織。開發隱私瀏覽器Tor的Project Tor團隊<a href="https://blog.torproject.org/covid19-impact-tor" target="_blank">也於上周表示</a>，將裁減三分之一的工程人員。</p> <p>Project Tor表示，如同其他非營利組織和小型機構，他們也遭疫情重創，被迫資遣了核心團隊的13名開發人員，得由剩下22人繼續開發Tor瀏覽器及其他Tor軟體。Project Tor說，各國政府在抗疫期間紛紛擴張政治控管權力，也讓線上隱私的防護更為迫切。為了確保用戶隱私、安全和不受審查，持續取得和分享必要的資訊，Project Tor團隊只得做出這番困難決定。</p> <p>Project Tor的營運主要仰賴全球用戶捐款，但受到疫情影響，許多捐贈者不是忙著防疫，就是自己也放無薪假或失業，而無力再支持。</p> <p>這次疫情可能也是國家監控擴張的分水嶺。為防範假訊息、假新聞散布，各國政府在社交網路上合作下，擴大取締和武漢肺炎疫情、療法或藥物的言論。另一方面，為防病毒擴大感染、加速通報，多國使用手機監控技術掌控民眾行動，而這些法令並沒有落日條款，隱私權人士擔心線上隱私將一去不復返。</p> <p>科技部落格OneZero觀察全球的媒體報導，<a href="https://www.ithome.com.tw/news/136927" target="_blank">指出至少有28個國家</a>藉由加強對人民的監控來控制疫情，包括使用智慧型手機的位置資料分析人潮流動，或是追蹤被隔離者的位置。</p> </div></div></div>
2020/4/20 13:15作者林妍溱https://www.ithome.com.tw/news/137087
Google傳正在開發類似Apple Card的智慧簽帳卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2020/04/17/google-card/" target="_blank">Techcrunch上周報導</a>，Google可能正在跟進蘋果，開發Apple Card這類的智慧簽帳卡。</p> <p>根據Techcrunch拿到的圖片，這張卡是由Google和特定銀行聯合發行綁定支票帳戶，可供以卡片在實體商店刷卡，或以手機藍牙支付與線上消費。此外消費者還可以Google Pay App檢視消費紀錄、帳戶餘額、或是鎖住帳戶。另一消息來源也證實這項卡片的開發。</p> <p>報導指出，Google合作的金融機構，包括花旗銀行及史丹佛聯邦信用合作社（Stanford Federal Credit Union）等。Google可能負責建立金融交易的底層基礎架構，並開發智慧化用戶介面。</p> <p>去年11月華爾街日報及路透社<a href="https://www.ithome.com.tw/news/134194" target="_blank">首先報導</a>，Google和花旗銀行及史丹佛聯邦信用合作社合作「智慧支票」（Smart Checking）服務，讓使用者透過Google Pay App執行數位化支票業務。目前Google Pay僅提供線上支付及用戶轉帳給親友，若消息屬實，將擴大Google Pay的應用範圍。</p> <p>和Apple Card一樣，發行信用卡或金融卡，有助於蘋果及Google這類科技公司跨足金融業，開闢新的營收來源。Google將能收取簽帳卡手續費。此外，媒體分析，如果Google證明此類智慧簽帳卡可以刺激銷售，消費品牌將會大買Google廣告。依照Google過去的前科，它甚至能分析用戶消費紀錄後，將資訊分享或賣給廣告主或廣告商以餵送精準廣告。</p> <p>不過Google並未對此評論。Google僅透露的確正在和這兩家機構探究，以Google Pay提供智慧支票帳戶事宜，並指未來幾個月內，會再分享進一步資訊。</p> <p>Google 2013年底也曾發行名為Wallet的簽帳卡，不過2016年就收攤了。Techcrunch報導，Google經常把舊服務改名，或關掉後以新瓶舊酒再出發，可能這次也是如此。</p> </div></div></div>
2020/4/20 11:55作者林妍溱https://www.ithome.com.tw/news/137085
產品安全設計與廠商誠信之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在不同的產業、使用場景、威脅態勢當中，我們對於資安的認知，可能都有很大的差異。<a href="https://www.ithome.com.tw/news/137058" target="_blank">以近期爆發的Zoom爭議事件來看</a>，有人認為學校教學不牽涉到機密，不需要如此大驚小怪；有人則認為視訊會議被旁人亂入，是因為系統為了方便大家使用而沒有強制設置密碼，所以，開設會議的人應該要負責，而不是系統的錯；也有人提到這樣的資安問題，已非技術問題，而是政治問題。</p> <p>關於第一、二種說法，涉及每個人對於隱私的定義，不過，既然我們討論的是學校的場景，大眾能否接受這樣的暴露，答案已經很清楚。視訊型態的教學雖然是虛擬的場域，但也跟實體校園一樣，不能容忍非法的窺伺與干擾。學校的教學當然需要公開、透明，但這是否意味著他人可以任意進出校園，導致學習過程可能受到影響？更遑論人身與心理安全層面的顧慮，如果校方不積極管制出入的人員，而用「平生所為，未嘗有不可對人言」自以為是的態度，來看待環境安全，家長恐怕也不願意讓自己的孩子冒著這樣沒有隱私的風險，到學校上課吧！</p> <p>再來是簡化系統操作卻有不設防的危機，到底是使用者還是產品的責任。這讓我想到過去我們報導<a href="https://www.ithome.com.tw/article/123464" target="_blank">歐盟GDPR</a>與即時通訊廠商<a href="https://www.ithome.com.tw/news/131029" target="_blank">Line的資安作法</a>時，所提到的一些概念，像是Security by Design、Privacy By Design。</p> <p>「人非聖賢，孰人無過」，身為產品研發端，我們很難開發出毫無任何安全瑕疵的產品；而身為使用者，我們會疏忽、偷懶。因此，用戶除了持續要求廠商要提高產品整體與每個環節、元件的安全性品質，對於業者而言，在解決方案開發的過程當中，若能考量到使用者不會主動採取確保安全與身分合法性的動作，而將相關的設定步驟、流程整合進來，後續資安問題也會減少很多。</p> <p>最後，Zoom的爭議是資安、技術或政治問題？我們認為，可能也同時涉及「誠信」的問題。</p> <p>Zoom最難以辯駁的部分，是他們聲稱採用全程加密（end-to-end encryption），但新聞媒體The Intercept在3月31日，<a href="https://www.ithome.com.tw/news/136701" target="_blank">揭露Zoom跟大家所認知的作法有出入</a>，隔天Zoom也在部落格發布文章，表明他們的作法的確與現行採納的定義不一致，到了4月3日，加拿大多倫多大學市民實驗室<a href="https://www.ithome.com.tw/news/136762" target="_blank">發表一篇研究報告</a>，探討Zoom視訊會議的機密性保護，裡面提到Zoom系統採用AES演算法、128位元長度的金鑰來加密，然而執行模式竟是最不理想的ECB。</p> <p>對此，去年曾來臺參加臺灣資安大會的密碼學大師Bruce Schneier，<a href="https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html" target="_blank">在其部落格專文的評論</a>，相當發人省思。他認為AES-128沒問題，但用了ECB模式，代表這家公司根本不懂加密。而Zoom應該也接收到這樣的批評，在4月8日的部落格文章提到，正將加密方式從AES-256 ECB升級到AES-256 GCM，預計在45天內聚焦於此項工作。</p> <p>事實上，Zoom在他們的官方文宣上，就有說法不一致的狀況。他們聲稱採用全程加密，但如果仔細檢視他們的資安白皮書，我們會發現，前半段強調用戶「可以採用256位元AES加密」來保護共享內容與網路連線，但在Zoom Phone的身分認證與多媒體加密，是128位元AES加密。</p> <p>Zoom後來才表明他們的作法與大家的認知不同，雖然可取，可惜為時已晚，他們的確是揭露部分事實，但並不夠直接，用戶若沒有仔細審視這些規格，基於業界共識來認定，很可能就會因此誤判情勢。不論這家廠商是否真的有意這麼做，但此刻事態一一被揭發，終究讓人難以接受，而產生被欺騙的感覺，認為廠商不老實。因此Zoom若要挽回用戶信任，勢必要花更大的成本和時間，來證明自己重視資安與誠信，還要主動揭露更多技術細節，因為用戶絕對不想再被誤導。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/zoom">Zoom</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E7%A7%81">隱私</a></div><div class="field-item odd"><a href="/tags/%E6%BC%8F%E6%B4%9E">漏洞</a></div><div class="field-item even"><a href="/tags/%E4%BF%A1%E4%BB%BB">信任</a></div><div class="field-item odd"><a href="/tags/%E8%AA%A0%E4%BF%A1">誠信</a></div></div></div>
2020/4/20 09:00作者李宗翰https://www.ithome.com.tw/voice/137052
【用戶數暴增20倍，Zoom的資安隱憂成各界焦點】Zoom接連爆發隱私與安全問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎疫情擴散至全球，遠端協作與視訊會議需求大增，在這樣的風潮之下，有一家雲端視訊會議業者Zoom，其安全議題掀起相當大的波瀾，因為他們提供的SaaS服務在資安加密的做法引爭議，以及資安漏洞接連被爆出，成為矚目焦點。</p> <p>儘管該公司近期的漏洞修補都很即時，但卻被人發現誇大其安全性，也有會議金鑰經中國伺服器傳送的狀況，再加上過去他們對於隱私與資安的不夠重視，也被重新被檢討，更是牽動著各界對於該公司產品的看法。這樣的態勢，不僅導致使用者被迫臨時改選用其他平臺，甚至，也促使全球開始有企業與政府開始規範要求禁用。到底，這次Zoom是如何引發資安爭議與關注呢？</p> <p><span style="font-size:28px;"><strong>遠距工作安全風險成焦點，提醒用戶注意安全使用Zoom</strong></span></p> <p>在疫情衝擊之下，為防止群聚感染傳播的風險，現在政府機關與企業都制定了遠距工作對策，以此作為顧及持續營運的重要防疫措施，在此態勢之下，遠距工作時所要注意的相關資安風險，也成企業與個人的關注重點。</p> <p>例如，需注意公司VPN的安全管理，以及資料存取與身分驗證等面向，而視訊會議工具的安全使用，也成不容忽略的一環。</p> <p>的確，近期各界使用視訊會議的需求暴增。從視訊會議程式的下載次數，可以看出其熱門程度，根據行動程式分析機構App Annie的分析統計，單是3月中旬的一周下載量，不論是Google Hangouts Meet（現稱Google Meet）、Microsoft Teams與Zoom等，與2019年第四季的週平均相比，幾乎都有10倍到30倍的超高成長。而這樣的現象，也使得各協作平臺也傳出連線不穩與斷線的狀況，原因就是同時上線用戶太多，導致系統難以負荷。</p> <p>但沒想到的是，在提醒使用者注意遠端工作安全的趨勢之下，在3月下旬，視訊會議Zoom成為資安焦點，並且爆出了一連串的隱私與資安問題。</p> <p>例如，在3月26日，資安業者<a href="https://blog.checkpoint.com/2020/03/26/whos-zooming-who-guidelines-on-how-to-use-zoom-safely/">Check Point發布了安全使用Zoom的四大注意事項</a>，包括隨時更新軟體、啟用會議密碼、管理與會者發言，以及隨時為會議記錄影片洩漏做好準備。</p> <p>事實上，Check Point之所以這麼做，是因為他們<a href="https://research.checkpoint.com/2020/zoom-zoom-we-are-watching-you/">在去年7月22日曾通報Zoom的安全問題</a>，指出攻擊者將能透過猜測Zoom會議連結的會議ID（隨機9碼、10碼與11碼數字），偷偷加入到會議之中，並提及缺乏會議密碼保護的問題，而他們的研究人員利用隨機產生的會議ID，以自動化方式找出4%有效會議。無獨有偶，另一家資安業者Cequence Security，也曾揭露相關的安全問題。</p> <p>對於這樣的問題，其實Zoom在3月20日也於官方部落格提出建議，告知<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">用戶如何避免不速之客闖入</a>。</p> <p>在臺灣，中央研究院的2位專家也在3月26日於部落格發表文章，該單位資訊服務處呂紹勳與資訊科學所研究員陳伶志，特別<a href="https://medium.com/@lingjyhchen/%E6%9C%89%E9%97%9C-zoom-%E7%9A%84%E8%B3%87%E5%AE%89%E7%96%91%E6%85%AE%E8%88%87%E5%BB%BA%E8%AD%B0-87c89e44eaf1">針對Zoom提供安全使用上的建議</a>，在網路上受到相當大的關注。當中雖無揭露具體事證，但也整理了對於Zoom資安隱憂的正反方意見，而最令人不安之處在於，Zoom開發團隊皆在中國境內，而中國政府向來有干預境內高科技公司的前例。</p> <p><strong><span style="font-size:28px;">在短短一周內，Zoom接連不斷的隱私與安全漏洞被爆出</span></strong></p> <p>但這場資安風暴才剛剛開始。</p> <p>雖然Zoom在2019年曾被揭露的幾個資安漏洞，但都已是過去式，弱點早已被修復，卻也在此時被重新議論，更沒想到的是，新的隱私與漏洞問題遭連續爆出，讓Zoom在短短一周時間內，深陷隱私與安全的泥沼。</p> <p>首先，在3月24日，一名代號為@_g0dmod的安全人員在<a href="https://twitter.com/_g0dmode/status/1242131019026874369">推特上指出，Windows版Zoom</a>程式的聊天功能，可張貼像是\\x.x.x.x\xyz之類的連結，此問題，將讓他人嘗試竊取點擊者的NTLM雜湊密碼。屬於UNC注入漏洞。</p> <p>在3月26日，科技網站Motherboard<a href="https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account">揭露iOS版Zoom程式的隱私問題</a>，在使用者不知情的狀況下，這支App將資料傳送給臉書，但在Zoom的隱私政策中，只說明可能會蒐集用戶在臉書上的個人檔案資訊。隔日，Zoom立即移除臉書SDK以撇清關係。</p> <p>到了3月30日，Zoom的安全風暴越演越烈，隨著使用人數的大幅成長，更多Zoom的漏洞討論快速獲得關注。</p> <p>首先，網路安全公司VMRay的惡意程式研究人員<a href="https://twitter.com/c1truz_/status/1244737672930824193">Felix Seele，在推特上指出macOS版的Zoom程式的安裝問題</a>，質疑為何使用者不用點擊就可以完成，於是，他決定著手進行深入的研究；接著，另一macOS安全研究人員Patrick Wardle（網路暱稱為<a href="https://objective-see.com/blog/blog_0x56.html">Objective-See</a>），也從Felix Seele的發現找出其他問題，在部落格上直接公開其發現，他指出Mac版Zoom程式存在可偷偷存取Mac網路攝影機與麥克風的安全漏洞。</p> <p>同日，美國聯邦調查局（FBI）發出<a href="https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic">公告</a>，提醒大家需注意干擾視訊會議的亂象，並舉出兩起當地麻州學校在使用Zoom進行線上教學遭亂入的案例，警告用戶注意這樣的行為，並建議使用者應落實管控，例如，舉行的會議或課程不應設為公開，以及設定會議密碼與會議主持人管理等措施。</p> <p>接下來的幾日，更是天天都有Zoom的相關新聞曝光，有些是新的問題，有些是相關事件的後續。</p> <p>例如，英國首相Boris Johnson在3月31日於<a href="https://twitter.com/BorisJohnson/status/1244985949534199808">推特上張貼了一張照片</a>，表示自己用Zoom與內閣成員開會，但照片暴露了會議ID等資訊，引發安全爭議。</p> <p>同時，國外媒體陸續揭發更多問題及不同單位禁用Zoom的消息。例如，在3月31日，根據The Intercept<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">爆料指出</a>，Zoom的端對端加密技術，只有應用在文字傳輸，而視訊與音訊的傳輸並沒有；在4月1日，根據路透社<a href="https://www.reuters.com/article/us-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUSKBN21J71H">報導</a>，美國太空公司SpaceX在3月28日就以電子郵件通知員工，要禁止使用Zoom，而美國太空總署（NASA）也同樣禁用。</p> <p>同時，先前指出Mac版Zoom程式安全問題的VMRay研究人員Felix Seele，在官方部落格也<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">公布</a>其完整研究發現，當中提到Zoom的安裝使用了與MacOS惡意軟體相同的技巧，並有誤導性的說明。</p> <p><strong><span style="font-size: 28px;">創辦人上火線，Zoom公開承諾要在90天內強化資安</span></strong></p> <table align="right" border="0" cellpadding="3" cellspacing="3" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89P2-P3%E4%B8%BB%E6%96%87Zoom%E5%AE%89%E5%85%A8%E7%96%91%E6%85%AE.jpg" style="width: 349px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">【Zoom宣布90天資安強化計畫】視訊會議平臺Zoom被揭露</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">的一連串隱私與安全問題，該公司執行長袁征（Eric S. </span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">Yuan）在4月1日出面回應與道歉，指出暴增的用戶數為他們</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">的服務帶來挑戰，允諾將在90天內專注於安全及隱私問題的改</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">善。到了4月8日，他們也宣布將設立資安長會議與顧問委員</span></span></strong><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">會。</span></span></strong></p> </td> </tr></tbody></table><p>面對種種的產品安全疑慮，在<a href="https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/">4月1日，Zoom的創辦人暨執行長袁征（Eric S. Yuan）在部落格上親自道歉</a>，說明用戶數在三個月內從1千萬暴增至2億，如此暴增的用戶數與各式使用情境，其實超出了Zoom的規畫，他並承諾，將在90天內暫緩開發新功能，將資源完全投入以解決平臺的安全及隱私問題。</p> <p>關於近期被揭露的資安漏洞，Zoom也採取行動。例如，先前研究人員@_g0dmod指出的Windows版Zoom程式安全問題，在日前獲得其他研究人員證實，並曝光於媒體後，他表示Zoom已修補這個UNC連結的安全問題，同時修補前幾日的Mac版Zoom程式漏洞，並更新資料蒐集的隱私政策。</p> <p>Zoom對於漏洞的快速修補，也受到不少資安研究人員的肯定。他們認為，Zoom近期的產品安全應變做得很不錯，其中也包括發現Zoom漏洞的Felix Seele，他在推特上表示，Zoom的快速修補令他印象深刻。</p> <p>只是，雖然Zoom更明確地揭露該平臺的加密能力，也表示他們沒有建立解密的機制，但先前號稱端對端加密卻不實的情形，顯然其安全問題可能不小。</p> <p> 確實，事情並未就此告一段落。儘管Zoom對於新漏洞的修補很即時，也已經大動作表明要強化其產品安全，但是，接下來，又有一波新的問題曝光，再讓大眾對Zoom的資安無法放心。</p> <p><strong><span style="font-size:28px;">資訊安全與人權團體發布研究報告，再次揭發Zoom更多安全隱憂</span></strong></p> <p>在4月3日，加拿大多倫多大學市民實驗室（Citizen Lab）的研究人員<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">發布</a>研究報告，為Zoom的不夠安全投下震撼彈。該報告指出三大重要發現，首先，是Zoom宣稱使用256位元的AES加密金鑰，但其實只有128位元，並且是較不理想的ECB模式；其次，是Zoom使用了上述非標準的加密方式，而且會議金鑰在特定情況會經中國伺服器產生與傳送；第三，則指出擔心Zoom會受制於中國政府的問題。</p> <p>綜觀這次研究報告的內容，Citizen Lab發現，Zoom在加密方面有誇大安全性之嫌，並指出未採用最佳安全實務設計，而會議的加密金鑰傳送至中國伺服器一事，雖然他們沒有具體事證指出中國官方實際介入取得，但也無法忽視因此暴露的可能風險。</p> <p>而這份報告一公開，也讓Zoom的品牌形象再次受影響，而Zoom執行長袁征在同日於官方部落格快速做出<a href="https://blog.zoom.us/wordpress/2020/04/03/response-to-research-from-university-of-torontos-citizen-lab/">回應</a>。他表示，在地理圍欄的機制方面，通常Zoom是依據用戶位置來決定所使用的資料中心，但如果多次連線失敗，將連線至兩個備用的資料中心。只不過，今年2月他們為了暴增的連線需求，在匆忙之中，不慎錯誤將兩個位於中國的資料中心，加入到國際備用伺服器的白名單，進而導致美國服務連往中國伺服器的情況，現在他們已修正此問題；對於加密的議題，袁征則表示會與第三方專家共同討論，以找出更適合的解決方案。顯然，他們希望藉由坦承錯誤，以重新贏得大眾信任。</p> <p><strong><span style="font-size:28px;">陸續有多國高機敏單位、政府機關，以及教育與企業單位宣布禁用</span></strong></p> <p>只是，不信任的效應已經形成，並遍及全球各地。繼先前SpaceX與NASA禁用後，在4月4日，根據美國媒體CNN的<a href="https://edition.cnn.com/2020/04/04/us/nyc-schools-zoom-online-security/index.html">報導</a>，指出紐約市教育局發言人Danielle Filson正指示當地學校，盡快停止使用Zoom。</p> <p>在臺灣，Zoom很早就進入臺灣市場，國內已有許多使用者，因此，大家對於Zoom的議題也同樣相當關心，而陸續傳出停用消息。例如，在4月6日傍晚，中華電信率先<a href="https://www.cht.com.tw/zh-tw/home/cht/messages/2020/msg-200406-182000?year=2020&month=4&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7B8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7D">宣布</a>，在釐清資安疑慮前，先停售該公司的Zoom服務方案，4月7日，行政院資通安全處也對遠端視訊的使用發出<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/9d2f8e8e-c8a6-4e1d-a9fe-68c3edb8ef72">公告</a>，指出應以國內產品及共同供應契約所列品項為優先，並已通函國內公務機關與非公務機關，不應用Zoom。</p> <p>接下來，教育部也在同日下午發表<a href="https://www.edu.tw/News_Content.aspx?n=9E7AC85F1954DDA8&s=868B3A6EDF9BA52D">聲明</a>，指出在收到第1091069976號函後，將通知各級學校全面禁用，同時也會移除教育雲之線上學習頁面的使用說明文件。不過，這樣急轉彎的政策，卻在國內教育界引起不小的反彈聲浪，例如，已有很多學校的老師與學生開始學習用Zoom線上教學，而部分人士認為，在不需要考量保護機密性的狀況下，教育單位不一定要禁用。</p> <p>為了強調在資安的投入，Zoom在<a href="https://blog.zoom.us/wordpress/2020/04/08/update-on-zoom-90-day-plan-to-bolster-key-privacy-and-security-initiatives/">4月8日宣布</a>成立資安長會議及顧問委員會，將找來VMWare、Netflix、Uber等多家公司的CISO擔任成員，並將聘請前臉書安全長Alex Stamos擔任外部資安顧問，希望挽回消費者信心。</p> <p>但是，難以讓用戶繼續信任Zoom的狀況，還是持續上演。例如，又有<a href="https://twitter.com/CyberSixgill/status/1247224550808584196">以色列安全情報業者Sixgill的消息</a>，指出有駭客在暗網公布352個Zoom帳號的名單。</p> <p>後續，國際間則是出現更多禁用Zoom的消息，包括政府機關與企業。例如，在4月6日，根據澳洲媒體The Australian的<a href="https://www.theaustralian.com.au/nation/defence/coronavirus-sefence-axes-zoom-over-flaws/news-story/532ffd9d8190f4616b95ebceb26d201e">報導</a>，當地禁止國防人員使用Zoom來進行視訊會議。在4月8日，美國媒體BuzzFeed News<a href="https://www.buzzfeednews.com/article/pranavdixit/google-bans-zoom">報導</a>，指出Google其實在上個星期，就已經以電子郵件通知員工禁用Zoom，說明該工具未符合內部使用程式的安全標準，因此將限制Zoom在企業電腦上的執行；同樣是在8日，德國媒體Handelsblatt<a href="https://www.handelsblatt.com/technik/it-internet/it-sicherheit-auswaertiges-amt-untersagt-nutzung-von-zoom-auf-dienstlichen-geraeten/25726922.html?ticket=ST-2392418-b7txC5GlNvddbOSbGPtZ-ap4">報導</a>了該國外交部通知機關人員，禁止在公家裝置使用Zoom，但考量合作夥伴可能使用，因此通融以個人裝置用Zoom進行公事交流。</p> <p>而在4月9日，根據美國Cnet等媒體<a href="https://www.cnet.com/news/us-senate-reportedly-tells-members-to-avoid-zoom/">報導</a>，美國參議院也要求所有的議員不要使用Zoom；而新加坡也傳出教育部要求教師暫停使用Zoom，根據當地媒體Channel News Asia<a href="https://www.channelnewsasia.com/news/singapore/moe-suspends-zoom-home-based-learning-obscene-images-12626534">報導</a>，當地教育部在收到Zoom Bombing事件的報告後，為了預防起見，也要教師暫停使用Zoom，而在相隔4日後，才又允許逐步恢復使用。</p> <p>無論如何，儘管Zoom強調要在90天強化資安，但目前事件還在持續，不只是漏洞接連爆出，而先前被揭露其產品並非真的貫徹端對端加密，以及加密作法不夠周延，還有會議金鑰誤經中國資料中心等安全問題，再加上許多事件突顯該公司有誤導、欺騙性的行為，上述這些被公開的資安問題，都暴露其產品的高風險性。</p> <p>此外，我們也要提醒大家不只是注意單一廠商，更難防的是，他們生產的軟體元件，也可能輸出給其他廠商使用，而以不同廠牌的解決方案供應給用戶。例如，去年就有研究人員提出相關<a href="https://twitter.com/karanlyons/status/1150774640899317760">發現</a>，市面上兩款取得Zoom技術授權的視訊會議App：RingCentral和Zhumu，存在與Zoom相同的弱點。</p> <p class="rtecenter"><span style="color:#ff66cc;"><span style="font-size:36px;"><strong>何謂Zoom Bombing？</strong></span></span></p> <table align="center" border="0" cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89P2-P3%E4%B8%BB%E6%96%87Zoom%E5%AE%89%E5%85%A8%E7%96%91%E6%85%AE.png" style="width: 600px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong><span style="font-size:18px;">若要防止與會者擅自分享螢幕畫面干擾開會，主持人在會議前或會議進行</span></strong></span><strong style="color: rgb(105, 105, 105);"><span style="font-size:18px;">時，可以在Zoom的進階設定選項中，限制僅主持人可以共享螢幕畫面。</span></strong></p> </td> </tr></tbody></table><p>在Zoom本身的多項隱私與資安漏洞之外，近期最多討論的安全問題就是Zoom Bombing，簡單來說，就是有其他使用者擅自闖入視訊會議的行為，並且故意在視訊畫面上分享色情或冒犯性的內容，干擾了會議的正常進行。</p> <p>為何這些人能夠做出這樣的惡作劇行為？這事因為，他們可以找到公開在網路上的Zoom會議連結網址或會議ID，或是透過自動化工具找出有回應的會議ID。</p> <p>對於如何不被外人闖入的問題，Zoom於官方部落格中，<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">建議</a>了3大使用原則。</p> <p>（一）要對螢幕的控制權有所掌握：在會議前或進行期間，設定自己是唯一可分享螢幕的成員</p> <p>（二）應做好與會者的管理：包括會議鎖定與刪除不需要的參與者等，而現在所有單一會議室主持人在召開會議時，需要強制設定密碼，用戶也應每次會議都設立不同的會議密碼</p> <p>（三）開啟等候室的功能：讓與會者不會立即進入會議，需要會議主持人一個個手動批准與會者進入會議室。</p> <p class="rtecenter"><span style="color:#ff66cc;"><span style="font-size:36px;"><strong>市面上有那些雲端視訊會議平臺？</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/969-%E5%B0%81%E9%9D%A2P2-P3-%E4%B8%BB%E6%96%87-600-1(1).png" style="width: 600px;" /></p> <p>早年的網頁視訊會議，多數企業最為熟知的產品就是Webex、GotoMeeting，直到後來行動裝置、雲端興起，以及視訊壓縮技術的進步下，在6、7年前，我們看到雲端視訊服務產品的興起，包括Zoom、Blue Jeans、Fuze、Starleaf與Vidyo等。在這些產品當中，我們看到像是Zoom與Vidyo等，都進入臺灣市場，其他新興服務在國內的知名度則不高。</p> <p>以當時的Zoom而言，最大特色就是介面相當簡單直覺，雖然提供的操作功能項目還不如老牌產品，但當時以免費版與低價推出市場，加上其他新興雲端視訊未進入臺灣市場，又有正體中文介面語系的支援，因此獲得不少用戶青睞。而在這麼多年發展之後，Zoom在全球市場同樣大有斬獲，已是這些視訊會議新創中最知名的業者。</p> <p>另一方面，除了硬體視訊會議與雲端視訊會議的介接變得更普遍，早年強調的整合通訊也朝向雲端協作平臺的潮流來發展，像是微軟從Lync到Skype for Business，到現在的Microsoft Teams，而從雲端出發的Google，本身也提供Hangouts Meet（現改名為Google Meet）。</p> <p>另外，還有一些雲端視訊會議產品的動向，也很值得一提，例如，早年我們介紹過的GotoMeeting與Join.me，現在成為LogMeIn旗下產品，而硬體視訊業者Lifesize後來也順應了雲端潮流，推出了Lifesize Cloud，該公司之後則被羅技併購，不過，這些產品在國內受關注的程度是比較小；另外，還有影像編輯軟體大廠Adobe很早推出的Adobe Connect，近年也活躍於臺灣教育市場。</p> <p>此外，以PowerDVD聞名的訊連科技，在2017年開始切入此一領域，是起步較晚的業者，並是少見的臺灣產品；至於國內的共同供應契約當中，我們還看到一些市面上較少注意到的產品，例如，狀態網際網路的Status PowerMeeting，泰溥科技的TOPMeeting，以及太御科技（JoinNet）代理的美國HomeMeeting等多款產品。而在開源軟體產品中，近年則有Jitsi Meet受到不少使用者推薦。</p> <p>附帶一提的是，原是屬於遠端控制類型的工具軟體，其實也有加入視訊會議的功能，例如TeamViewer，因為技術相近，但使用者必須對這類軟體的功能有所認識，它的功能還包括遠端控制你或對方電腦，不只是單純的視訊會議軟體。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137055
近期Zoom的資安事件總覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p> </p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年7月9日 </span></span></strong></span></p> <p><span style="font-size:28px;"><strong>Zoom程式安裝的本地端網頁伺服器引發安全爭議</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019-07-09_ZoomSuck.jpg" style="width: 600px;" /></p> <p>資安研究員<a href="https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5">Jonathan Leitschuh揭露Zoom客戶端零時差攻擊漏洞</a>，指出存在DoS漏洞，以及未經授權啟動攝影機的漏洞。該研究人員自2019年3月8日通報對方後，雖然Zoom已進行修補，但其中一個漏洞的修復並不完全，後續在漏洞揭露期限後，於2019年7月9日公開。同時，Jonathan Leitschuh提到Zoom的幾個安全問題，例如，其Mac版程式會在系統安裝一個本地主機（Localhost）的網頁伺服器，但解除安裝Zoom時無法真正移除它，且任何網站都可與之互動，溝通方式非常危險，他並推測Zoom刻意繞過瀏覽器的安全保護機制。在事件曝光之後，隔日，Zoom表示，新版本將移除本地主機網頁伺服器，而蘋果為了安全，更是在同日發布macOS更新，要將易受攻擊的Zoom本地主機網頁伺服器移除。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年7月15日 </span></span></strong></span></p> <p><span style="font-size:28px;"><strong>取得Zoom技術轉移的產品，也有同樣漏洞問題</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892019-07-15_ZoomSuck.jpg" style="width: 600px;" /></p> <p>對於Zoom未經授權可啟動攝影機的漏洞問題，幾日之後，另一位研究人員<a href="https://twitter.com/karanlyons/status/1150774640899317760">Karan Lyons</a>繼續追蹤，他發現這樣的隱私問題，其實，也發生在取得Zoom技術授權的兩款視訊軟體上，例如，RingCentral與中國的矚目（Zhumu），而且這兩款安裝在用戶電腦上的網頁伺服器，當時蘋果也沒注意到，因此未被移除。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年10月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">業者提醒Zoom與Webex應改進線上視訊會議密碼設定</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892019-10-01_ZoomSuck.jpg" style="width: 600px;" /></p> <p>安全廠商Cequence Security的CQ Prime威脅研究小組，<a href="https://www.cequence.ai/blog/prying-eye-vulnerability-direct-to-api-enumeration-attack-enables-snooping/">揭露</a>視訊會議工具有列舉攻擊漏洞，包括Zoom與Cisco Webex都受影響，該公司指出，攻擊者可以用自動化工具掃描這些平臺的API，進而透過呼叫的回應找出有效會議ID，以及是否需要密碼，若無須密碼就能直接加入會議偷聽。同日Cisco發出資安公告，指出他們在7月24日收到通報，最終確認這並非弱點，但提醒用戶需為會議設密碼保護，而Zoom則是在常見問答頁面，說明預設會議需輸入密碼。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#0066ff;"> 2020年自1月底 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">武漢疫情在全球蔓延，遠距工作需求大增，各個協同作業與視訊會議平臺的用量爆漲</span></strong></p> <p>隨著採取在家工作以因應疫情的態勢，各個雲端協作平臺與視訊會議的用戶數都大幅增加，而遠距工作的風險問題也成關注焦點，在此當中，Zoom的資安隱憂開始受到大量關注。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年1月28日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">視訊會議ID與會議密碼設定問題再次被揭露</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%892020-01-28_120506.jpg" style="width: 600px;" /></p> <p>資安業者CheckPoint研究人員<a href="https://research.checkpoint.com/2020/zoom-zoom-we-are-watching-you/">公布Zoom漏洞研究</a>，他們發現，該漏洞將可能導致不良用戶偷偷參加私人會議，而Check Point已於2019年7月22日通報Zoom。研究人員指出，每次Zoom會議都有唯一的ID，由9、10或11個唯一數字組成，而他們的研究人員能夠透過自動化方式，猜出大約4％的有效會議ID，因此，他們建議Zoom應該重新製作產生會議ID的演算法，並且應重視會議密碼。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月20日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Zoom教用戶如何避免不速之客闖入會議</span></strong></p> <p>對於有越來越多用戶使用Zoom，特別是線上學習，<a href="https://blog.zoom.us/wordpress/2020/03/20/keep-uninvited-guests-out-of-your-zoom-event/">Zoom在官方部落格上</a>特別提醒用戶，注意舉辦公開會議及管理與會者的問題。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月24日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">被揭露Windows版程式存在UNC注入漏洞</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%892020-03-23_ZoomSuck.jpg.jpg" style="width: 600px;" /></p> <p>在推特名為Mitch，代號@_g0dmode的安全研究人員，他<a href="https://twitter.com/_g0dmode/status/1242131019026874369">指出Windows版Zoom程式的漏洞</a>。該軟體允許用戶在聊天功能，張貼像是\\x.x.x.x\ xyz之類的連結的問題，若被其他使用者點擊，Windows會透過SMB檔案分享功能來開啟遠端檔案，同時傳送使用者的登入名稱及NTLM雜湊密碼。這個問題也被其他資安研究員證實，並可竊取Windows系統用戶的登入密碼。後續，Zoom在4月1日表示修復該漏洞。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月26日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣中研院專家整理Zoom資安疑慮的正反意見，並提供若要安全使用的一些建議</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%892020-03-26_ZoomSuck.jpg" style="width: 600px;" /></p> <p>各個視訊協作平臺用戶大增，不過對於強調操作簡單的Zoom，更是引起了不少討論。對此，<a href="https://medium.com/@lingjyhchen/%E6%9C%89%E9%97%9C-zoom-%E7%9A%84%E8%B3%87%E5%AE%89%E7%96%91%E6%85%AE%E8%88%87%E5%BB%BA%E8%AD%B0-87c89e44eaf1">中央研究院專家在部落格分析Zoom的資安隱憂</a>，當中不僅整理相關的報導，以及正反兩方的意見，並且給予使用 Zoom 這套軟體的資訊安全建議，而這篇貼文一出，也讓Zoom安全議題受到國內民眾大量關注，同時，他們也提及Zoom公布的政府版軟體，是已獲得美國政府部門採購與認證，相對較足以信任。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月26日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">遭爆擅自與臉書分享用戶資料</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%892020-03-26_ZoomSuck.jpg" style="width: 600px;" /></p> <p>科技網站<a href="https://www.vice.com/en_us/article/k7e599/zoom-ios-app-sends-data-to-facebook-even-if-you-dont-have-a-facebook-account">Motherboard爆料</a>，他們針對iOS版Zoom程式分析後，發現它暗中會傳送用戶資訊給臉書，由於Zoom的隱私政策中，只揭露了可能會蒐集用戶在臉書上的個人檔案資訊，但是，並未說明是否會傳送資訊予臉書，再次引發關注。隔日，Zoom稱是臉書SDK擅自收集不必要的裝置資料，並緊急移除該SDK。不過，這樣的事件還是引發各界抨擊，許多人表示，業者應該要為增添到應用中的每個SDK進行稽核，因為這是Zoom的App，也是Zoom的責任。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">爆出Zoom在Mac電腦上可未經使用者同意安裝</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9610%EF%BC%892020-03-30_ZoomSuck.jpg" style="width: 600px;" /></p> <p>網路安全公司VMRay的惡意程式研究人員Felix Seele，先是<a href="https://twitter.com/c1truz_/status/1244737672930824193">3月30日於Twitter發出質疑</a>，詢問macOS版的Zoom程式，為何能夠不用點擊就完成安裝。</p> <p>後續，他在<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">4月2日公布完整研究</a>，指出Zoom在未經使用者同意下的擅自安裝，是因為其安裝程序採用了預先安裝的腳本程式，不僅如此，在電腦上要執行預先安裝時的警告，卻是寫「此一執行將確定能否安裝程式」，這樣的描述，讓使用者會誤以為只是檢查硬體相容性。此外，明明是需要管理權限才能安裝的警訊，卻以這樣曖昧不明的方式呈現，也有誤導使用者的嫌疑，他認為，這樣的手法應該是macOS惡意程式才會有的行為。</p> <p>對於這次事件，Zoom的回應要比之前快上許多，在隔日4月3日就修正，而這樣的回應速度讓Felix感到印象深刻，認為Zoom做得很好。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Mac版程式再爆爭議，授權存取攝影機及麥克風的作法有疑慮</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611%EF%BC%892020-03-30_ZoomSuck_3.jpg" style="width: 600px;" /></p> <p>專門研究macOS安全性的Patrick Wardle（網路暱稱為Objective-See），他從Felix Seele的發現找出其他問題，在他得知Mac版Zoom安裝程式可以調用AuthorizationExecuteWithPrivileges API來執行各種特權安裝任務後，他<a href="https://objective-see.com/blog/blog_0x56.html">在30日於部落格上公布相關發現</a>，說明蘋果其實已經不建議使用這種不安全的API，因為它不會驗證將要執行的binary，而這將導致權限升級漏洞。再者，他發現Zoom請求使用者給予該程式存取攝影機及麥克風的權限時，含有排除條款，這將允許惡意程式注入該程序。後續，Zoom在4月2日表示修復該漏洞。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月30日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">多起隨意闖入Zoom會議的事件發生，引起FBI警告</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612%EF%BC%892020-03-30_ZoomSuck.jpg" style="width: 600px;" /></p> <p>隨著視訊會議系統的使用量爆增，趁機攻擊與干擾會議進行的亂象也日益嚴重。<a href="https://www.fbi.gov/contact-us/field-offices/boston/news/press-releases/fbi-warns-of-teleconferencing-and-online-classroom-hijacking-during-covid-19-pandemic">FBI針對所有視訊會議平臺的挾持行為發出警告</a>，不過，他們舉出的案例都是與Zoom平臺有關。對此狀況，FBI也出面提供指南，包括舉行的會議或課程不要設為公開，並建議落實會議主持人管理等措施。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月31日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">又被踢爆全程加密只限文字傳輸，卻不包含視訊與音訊</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9613%EF%BC%892020-03-31_ZoomSuck_2.jpg" style="width: 600px;" /></p> <p>國外媒體<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">The Intercept爆料，指出Zoom宣稱採用全程加密技術</a>，然而，只有文字傳輸真正使用普遍認知的全程加密技術，在視訊與音訊的傳輸，只透過TCP與UDP進行加密，Zoom也坦承有此事，外界則批評有誤導之嫌。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美國NASA與SpaceX率先表示禁用Zoom</span></strong></p> <p>根據國外媒體<a href="https://www.reuters.com/article/us-spacex-zoom-video-commn/elon-musks-spacex-bans-zoom-over-privacy-concerns-memo-idUSKBN21J71H">路透社報導</a>，Elon Musk創辦的火箭公司SpaceX將禁止內部使用視訊會議軟體Zoom，該公司認為Zoom帶有顯著的隱私及安全問題。同時，該報導還指出，美國國家航空暨太空總署（NASA）發言人Stephanie Schierholz也表示，已禁止員工使用Zoom。而根據路透社掌握的文件內容，SpaceX是在3月28日發出的電子郵件中，告知員工即日起就不能使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月1日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">針對接連不斷爆出的資安事件，Zoom CEO出面道歉！</span></strong></p> <p>在<a href="https://blog.zoom.us/wordpress/2020/04/01/a-message-to-our-users/">Zoom官方部落格上，Eric S. Yuan</a>出面為安全漏洞道歉，承諾即刻停止新功能的開發，並將所有資源致力於安全及隱私方面的改善。針對外界的質疑與揭露，他指出，因為平臺上爆增的用戶數，已超越Zoom原本的規畫，他並說明目前的改善現況，包括修補了與臉書分享使用者資訊的隱私問題，提供避免外人闖入會議的建議，同時，他們還更新了有關資料蒐集的隱私政策。此外，他們也移除了與會者專注度的追蹤功能，以及緊急修補了Mac及Windows版的Zoom程式安全漏洞。另外，對於平臺上有關加密的能力，他們也發表專文說明，當中也坦承他們並沒有真正做到普遍認知的全程加密。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月3日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">加拿大多倫多大學市民實驗室公布新研究報告，再度揭露Zoom重大安全問題</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9616%EF%BC%892020-04-03_ZoomSuck_2.jpg" style="width: 600px;" /></p> <p>加拿大多倫多大學市民實驗室（Citizen Lab）的研究人員<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">公布對Zoom的資安研究</a>，他們指出3大發現，例如，在資安白皮書所聲稱的安全性，與實際有相當程度的落差，甚至有誇大之嫌，他們表示，根據Zoom在白皮書中的描述，Zoom能使用256位元的AES演算法於應用程式層，來加密所有呈現的內容，實際卻只使用單一的AES-128金鑰，而且是採用多數專家不建議的ECB模式。同時，他們還發現會議金鑰偶爾會傳到中國伺服器的問題，並指出擔心Zoom可能有受制於中國政府要求的風險。</p> <p>在此一研究報告出爐後，Zoom創辦人袁征很快發表回應，表明他們通常是以用戶位置來決定所使用的資料中心，但今年2月，他們為了因應突增的用戶需求，緊急在中國增加資料中心的容量，匆忙中，不慎把兩個位於中國的資料中心，加入了備用白名單，才會造成美國服務連往中國伺服器的情況，該問題現已修正。至於加密的議題，袁征表示，這是Zoom在儘量滿足最多使用案例並兼顧加密而採行的設計，他們將廣納外界意見，並與第三方專家討論，以找出合適的解決方案。</p> <p>後續，在<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">4月13日，Citizen Lab又在其官方網站發出中文版的補充說明</a>，特別指出先前研究報告中，可能被外界容易誤解的部分，同時，他們也說明在4月8日新揭露的Zoom等候室功能漏洞，並說明該漏洞Zoom已在7日完成修補。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月4日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美國紐約學校將禁用Zoom</span></strong></p> <p>在教育領域，美國紐約學校首先傳出將要禁用。根據美國媒體CNN的報導，指出紐約市教育局發言人Danielle Filson正指示當地學校，盡快停止使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月6日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣中華電信宣布停售原先配合的服務方案</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9619%EF%BC%892020-04-06_ZoomSuck.jpg" style="width: 600px;" /></p> <p>隨著近期Zoom資安漏洞與安全疑慮不斷被報導，臺灣<a href="https://www.cht.com.tw/zh-tw/home/cht/messages/2020/msg-200406-182000">中華電信宣布</a>先停售已提供多年的Zoom視訊會議服務方案，待資安疑慮釐清。而在中華電信Dr.APP的企業服務網站上，原本提供的Zoom服務方案頁面也已撤下。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月6日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">澳洲國防機構指示人員禁用Zoom</span></strong></p> <p>在美國NASA之外，澳洲的國防單位也傳出禁用的消息。根據澳洲媒體The Australian的報導，當地禁止國防人員使用Zoom來進行視訊會議，主要是擔心國外敵人或惡意人士可能透過Zoom的安全漏洞，發動攻擊或進行滲透。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月7日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">臺灣政府下令公務機關不應用Zoom，同時教育部也發函學校禁用</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9620%EF%BC%892020-04-07_ZoomSuck.jpg" style="width: 600px;" /></p> <p>行政院資通安全處發出<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/9d2f8e8e-c8a6-4e1d-a9fe-68c3edb8ef72">公告</a>，指出臺灣已在2019年正式實施資通安全管理法，對於各公務機關及特定非公務機關而言，應依規定落實資通安全應辦事項，並應以國內產品及共同供應契約所列品項為優先，各機關若因業務需求召開視訊會議，不應使用具有資通安全疑慮的產品，例如Zoom。在此同時，教育部也宣布也將發函國內各校禁用，但是這在教育界引起相當大的爭議，包括禁用命令太晚，以及教育單位禁用的必要性。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月7日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">暗網中有352個Zoom帳號被駭客公布</span></strong></p> <p>視訊會議Zoom的資安事件持續延燒，又有媒體根據<a href="https://twitter.com/CyberSixgill/status/1247224550808584196">以色列網路情報公司Sixgill透露的消息</a>，指出在4月1日的暗網上，就有352個Zoom帳號被公布，包括會議ID、密碼、Email，以及主持人金鑰與名字，當中並有少數是企業帳號。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月8日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">在宣布以90天強化產品資安後，Zoom大動作公布其新的資安管理策略</span></strong></p> <p>為了要強化產品安全以及資安措施，<a href="https://blog.zoom.us/wordpress/2020/04/08/update-on-zoom-90-day-plan-to-bolster-key-privacy-and-security-initiatives/">Zoom宣布</a>聘請前臉書安全長Alex Stamos擔任外部資安顧問，並且還將找來VMware、Netflix、Uber等多家公司的CISO，來擔任Zoom資安長會議及顧問委員會成員。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月8日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">Google與德外交部禁止內部使用Zoom</span></strong></p> <p>科技大廠Google也禁止員工用Zoom，根據美國媒體<a href="https://www.buzzfeednews.com/article/pranavdixit/google-bans-zoom">BuzzFeed News報導</a>，該公司在一周前就通知員工。同日，<a href="https://www.handelsblatt.com/technik/it-internet/it-sicherheit-auswaertiges-amt-untersagt-nutzung-von-zoom-auf-dienstlichen-geraeten/25726922.html?ticket=ST-2392418-b7txC5GlNvddbOSbGPtZ-ap4">德國媒體Handelsblatt</a>也報導該國外交部通知他們的員工，禁止在公家裝置使用Zoom。</p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年4月9日 </span></span></strong></span></p> <p><strong><span style="font-size:28px;">美參議院與星國教育部跟進</span></strong></p> <p>禁用Zoom的消息不斷傳出，根據美國媒體<a href="https://www.cnet.com/news/us-senate-reportedly-tells-members-to-avoid-zoom/">Cnet報導</a>，該國參議院也要求所有的議員不要使用Zoom。同日，<a href="https://www.channelnewsasia.com/news/singapore/moe-suspends-zoom-home-based-learning-obscene-images-12626534">新加坡教育部</a>也因收到Zoom Bombing事件的報告後，宣布教師暫停使用Zoom。</p> <p><span style="color:#696969;"><strong>資料來源：iThome整理，2020年4月</strong></span></p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137058
Zoom的安全問題不只是漏洞，更是信任問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於近期Zoom爆出的許多隱私與安全漏洞，儘管Zoom已經承諾要在90天內強化資安，當中一些漏洞也已及時修補，不過，到底Zoom有哪些安全問題是真正值得注意呢？</p> <p><span style="font-size:28px;"><strong>Zoom在加密上的作法，最受質疑</strong></span></p> <p>在這一連串的事件中，最引發關注的資安疑慮，就是在Zoom平臺加密方面所被揭露的安全問題，外界認為其該公司宣稱的產品安全能力，與實際不符，有誤導與欺騙的問題存在，還有加密作法不夠周延，以及其他地區的會議金鑰會由中國資料中心傳遞等問題，都讓各界對於Zoom抱持不信任的態度，因為這意味著，Zoom過去在本身的安全設計與心態上，可能有很大的問題。</p> <p>例如，有一家以調查新聞見長的媒體The Intercept在3月31日爆料，<a href="https://theintercept.com/2020/03/31/zoom-meeting-encryption/">指出Zoom號稱採用的全程加密技術</a>（End-to-end encryption，E2EE），然而，Zoom雖在文字傳輸上確實做到此事，但視訊與音訊的傳輸，卻只是透過TCP與UDP進行加密。對此問題，Zoom坦承此事，除了解釋他們不會建立視訊相關解密機制，也沒有要刻意誤導使用者，因為在用戶端到伺服器端，以及伺服器端到用戶端，即使中間透過Zoom伺服器，分別還是有加密保護。</p> <p>但這還是讓外界質疑，將讓使用者誤以為該平臺所有會議內容的傳遞，都是採全程加密，明顯有誤導之嫌。</p> <p>另一事件，也與Zoom的加密有關。根據加拿大多倫多大學市民實驗室（Citizen Lab）在4月3日的研究報告，再度指出類似的問題。<a href="https://citizenlab.ca/2020/04/move-fast-roll-your-own-crypto-a-quick-look-at-the-confidentiality-of-zoom-meetings/">他們的研究人員發現</a>，Zoom的說明文件雖然宣稱其應用程式是使用AES-256加密法來保護通訊內容，但經測試發現，所有與會者都是使用同一把AES-128金鑰，來加解密視訊與音訊內容，並是在ECB模式下。此外，雖然該白皮書也有提及AES-128的加密，但指的只有是應用在手機SIP註冊認證及VoIP上。</p> <p>這次的發現，除了再抓包Zoom可能誇大其服務的安全性，還有一個嚴重的問題被突顯出，那就是ECB模式加密。他們的研究人員指出，這是不建議使用的加密模式，因為不夠安全，在加密後仍有很大的明文特徵會被保留（<a href="https://zh.wikipedia.org/wiki/%E5%88%86%E7%BB%84%E5%AF%86%E7%A0%81%E5%B7%A5%E4%BD%9C%E6%A8%A1%E5%BC%8F#%E7%94%B5%E5%AD%90%E5%AF%86%E7%A0%81%E6%9C%AC%EF%BC%88ECB%EF%BC%89">關於ECB模式缺點請參閱維基百科</a>），這也顯示該公司在加密方面，並沒有經過良好的設計與實作。</p> <p>對此，就連被譽為資安大師的密碼學專家Bruce Schneier也提出看法，他覺得使用AES-128沒問題，但用ECB模式並不可取，表示該公司無人了解密碼學。</p> <p>Citizen Lab還發現，在有些案例中，即便Zoom的與會者皆位在北美，卻有由中國伺服器產生及遞送金鑰的狀況。</p> <p>同時，該報告也闡述了相關風險，說明他們雖然沒有證據指出中國或其他國家當局取得Zoom會議的加密金鑰，但也說明，如果透過位於中國的伺服器來傳遞金鑰，在中國的體制下，將能要求Zoom揭露這些金鑰，這對不同國家的用戶來說，都是很大的風險。因此，他們也明確表示，如有高機密和隱私的通訊需求，並不建議使用Zoom。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89P7_%20Zoom%E7%9A%84%E5%AE%89%E5%85%A8%E4%BF%A1%E4%BB%BB%E5%95%8F%E9%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Citizen%20Lab(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89P7_%20Zoom%E7%9A%84%E5%AE%89%E5%85%A8%E4%BF%A1%E4%BB%BB%E5%95%8F%E9%A1%8C.jpg" style="width: 600px;" /></p> <blockquote><p>加拿大多倫多大學市民實驗室（Citizen Lab）在4月3日公布的Zoom的通訊安全分析中，除了指出該平臺使用非業界標準的加密法來加密線上會議等問題，同時也針對Zoom這家設在美國矽谷，卻有著中國背景的公司，指出相關隱憂。他們提到，在Zoom最新的文件中，顯示該公司在中國有三間公司，共約700名員工，負責Zoom程式的開發，以及該公司建立的73個伺服器中，有68個位於美國，其他5個位於中國。</p> </blockquote> <p><span style="font-size:28px;"><strong>曾在個人端電腦進行奇怪行為，讓人覺得別有居心</strong></span></p> <p>事實上，在之前發現的資安問題與漏洞中，我們也可以看到Zoom在欺騙行為上，已有前例。例如，在去年7月資安研究員<a href="https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5">Jonathan Leitschuh揭露Zoom的安全漏洞</a>時，就指出Mac版的Zoom程式會在電腦中安裝了一個本地主機網頁伺服器（Localhost），如果用戶曾經安裝過Zoom，之後又解除安裝，而該Localhost將讓用戶瀏覽網頁時，可將用戶端程式重新安裝回電腦上。</p> <p>還有，今年4月<a href="https://www.vmray.com/cyber-security-blog/zoom-macos-installer-analysis-good-apps-behaving-badly/">網路安全公司VMRay研究人員Felix Seele的發現</a>中，也指出Mac版Zoom安裝程式的問題，例如，在安裝前跳出的訊息是：「此一執行將確定能否安裝程式」，但它並不只是檢查硬體的相容性，還會執行完整的安裝。此外，在需要管理權限才能安裝的情形下，Zoom跳出的訊息是「系統需要你的權限進行變更」，Felix Seele認為這樣的文字描述，給用戶的感覺是作業系統的需求，但應該是Zoom需要你的密碼才能更新既有程式。</p> <p>對於這些資安事件，資安大師Bruce Schneier也提出看法，他將Zoom的問題分成3大類型，包括：不良的隱私慣例、不良的安全慣例，以及不良的使用者設置。當中指出，該公司其實收集了很多用戶資料，並且藉由這些資料來牟利，並認為Zoom的安全決策相當糟糕，他相信還有更多軟體漏洞問題要改善。</p> <p>無論如何，綜觀上述這些Zoom的安全問題，直到被揭露後才修正，都讓使用者對於Zoom的安全充滿疑慮。如同現代人會重視食安問題一樣，黑心食品會遭拒買，而產品資安上的信任其實也是同一道理。</p> <p>對於資安，除了重視產品資安事件應變，資訊揭露透明，這次事件也突顯出，業者在安全設計上的草率，以及一些看似投機取巧、欺騙的手法，在事情曝光之後，不論是有意或無意，需要花更多成本來挽回使用者信心，都讓公司品牌形象大受傷害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-13_162539(1).jpg" style="width: 600px;" /></p> <blockquote><p>被譽為資安大師的密碼學專家Bruce Schneier對近期Zoom的安全問題提出他的觀察，簡單來說，<a href="https://www.schneier.com/blog/archives/2020/04/security_and_pr_1.html">他將問題分為三大類</a>：第一，不良的隱私慣例（bad privace practices）；第二，不良的安全慣例（bad security practices）；以及第三，不良的用戶配置（bad user configurations）。當中他針對指出Zoom在隱私政策的新舊版上的問題，並引用<a href="https://blogs.harvard.edu/doc/2020/03/28/more-zoom/">Doc Searls</a>對Zoom在隱私上見解，同時他對於Zoom使用ECB模式加密，認為該公司竟沒人懂密碼學。</p> </blockquote> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>公務機關為何火速禁用Zoom？行政院資安處透露其考量</strong></span></span></p> <table align="right" border="0" cellpadding="3" cellspacing="3" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-%E7%B0%A1%E5%AE%8F%E5%81%89_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>行政院資安處處長簡宏偉　</strong></span>攝影／洪政偉</p> </td> </tr></tbody></table><p>在這次Zoom的安全風暴下，全球接連傳出有政府單位或企業要禁用該軟體的消息。例如，在3月底就傳出美國SpaceX、NASA禁用Zoom的消息，原因是該軟體有顯著的私隱及安全問題，而Google也同樣是禁用，他們認為該工具未符合內部使用程式的安全標準。而後續，又還有其他國家單位陸續禁用Zoom的消息。</p> <p>在臺灣，我國行政院資安處在4月8日也已宣布，遠端視訊應以國產品及共同供應契約品項為優先，不應用Zoom，而教育部也通函各校禁用，推薦其他6款替代產品。</p> <p>只是，這次禁用事件在國內教育界引起不小的反彈聲浪，像是臺大教授葉丙成的言論也在這段期間成為焦點，其中多數人對禁用會表反對意見，主要是因為很多學校的老師與學生，都開始學習用Zoom線上教學，還有線上教學沒有機密內容。</p> <p>對於這樣的爭議，我們也詢問行政院資安處處長簡宏偉，他提到禁用決策時的關鍵考量。關於這次決定，他們其實已經評估一陣子，隨著情資越來越多，也是到了讓他們覺得不能不處理的地步，認為該產品已具有高風險，因此要大家不應該用。</p> <p>同時，他並從國家對於法治的觀念來談安全問題，在普遍民主法治國家中，國家是依法行政，法律會告訴政府什麼能做及什麼不能做，但對於有些國家而言，法治是協助政府，因此站在行政院資安處的立場，應該是要謹慎。</p> <p>對於教育單位，簡宏偉表示，在資安管理法通過後，之前未在資安防護或規範的對象，多數對於資安法並不清楚，像是他們發現很多學校在談個資與隱私，但較少談資安。他並舉例，像是去年發生學校郵件伺服器被入侵，遭長期監控多年的狀況，也有老師受政府委託做政策研究等情形，他藉此說明，教育領域同樣需要資安防護，而從政府與社會的層次來看，也都是整體資安防護的一環。</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者羅正漢https://www.ithome.com.tw/news/137076
教育部閃禁Zoom，讓學校措手不及！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受武漢肺炎疫情影響，各級學校在近兩個月內陸續展開遠距教學演練，臺北市更有高中、大學因停課緣故大規模使用線上視訊服務。然而，就在師生日益熟悉線上視訊工具時，行政院在4月7號發函各公務機關禁用Zoom，教育部也隨之以資安隱私顧慮為由，無預警要求各校禁用Zoom來視訊教學，並同步移除教育雲線上教學包中推薦的Zoom使用說明文件，對各級學校產生不同程度的衝擊。</p> <p><span style="font-size:28px;"><strong>部分國高中小學遠距視訊授課需緊急重學</strong></span></p> <p>對國高中小學來說，大多學校為了學生的學習便利性，僅主推一種視訊教學平臺，讓學生只需要學會一種市面上的視訊服務即可，而Zoom因其免費易用的特性，加上教育部大力推廣，採用者不在少數。但在政策發布後，部分學校的遠距教學將被迫緊急重新適應。</p> <p>比如說，臺北市19所國高中小學大規模使用的線上教學平臺酷課雲，原先就是內建了Zoom、Adobe Connect兩款視訊服務，臺北市教育局近期更因應爆量的直播授課需求，緊急短租了150間Zoom線上教室的授權，但教育部禁用Zoom之後，酷課雲的Zoom教室也只能停用，目前只剩90間Adobe Connect線上教室。</p> <p>儘管臺北市教育局資訊教育科科長陳秉熙認為，停用Zoom對酷課雲的影響不大，「因為150間Zoom只有短租兩個月，而且停課高中原先使用教室就是Adobe Connect。」但是，陳秉熙也坦言，因Zoom禁用緣故，北市教育局也正在研擬新的直播授課方法，要改讓各校彈性選擇市面上免費的視訊服務，比如Microsoft Teams、Cisco WebEx、Google Meet等，再由老師將直播教室的連結代碼貼到課程區，讓學生連出平臺上課。「這個好處是，老師不用再受限於酷課雲預設的直播軟體，我們也不用擔心直播教室數不夠的問題。」</p> <p>不過，陳秉熙也說，由於其他廠牌的視訊服務沒有內建在酷課雲，老師無法從酷課雲後臺直接看到學生的出席狀態，因此，需要在課堂中落實點名，來作為學生出席的依據。同時，老師也可以結合酷課雲派送作業、上課素材、試題來跟學生互動，藉此從後臺觀察學生的學習狀況，學校也可以進一步從後臺了解全校師生的互動情形。</p> <p>而對於臺北市以外的國高中小學來說，大多是自由選用不同廠商的視訊服務，再搭配教育部教育雲的教學資源來直播上課。</p> <p>比如新北市的樹林高中，選擇在校內推動Google Meet，「因為我們老師可以用自己的校務行政系統帳號，登入新北市親師生平臺，裡面可以直接使用Google的應用程式。」樹林高中教務處主任吳錦琇表示，由於校內主推Google Meet，所以受政策影響較小。</p> <p>然而，另一所位於基隆的中山高中就沒這麼幸運，「教育部宣導要線上教學的時候，我們找人來校內上課，老師也去縣市政府研習，所以大家對於Zoom的使用方法比較熟悉。」中山高中教務主任許釋霞表示，為了讓師生盡快上手，學校官網也放上Zoom的使用教學，最近遠距教學演練也多用Zoom進行。教育部臨時宣布停用後，除了要再找合適的平臺，還要找時間重新演練，「而且教育部認為Zoom有資安問題，那其他選擇就真的沒問題嗎？我們也在觀望。」</p> <p><span style="font-size:28px;"><strong>大專院校也受波及，政大上百場視訊會議急換平臺</strong></span></p> <p>不只中小學受影響，禁用Zoom的政策也波及不少大專院校。比如政大電算中心教學研究組組長張鋤非就苦笑：「對我們的影響可大了。」政大近一個月，已經熟悉用Zoom進行直播教學演練，不只教學、各類會議，甚至連4月14號開始的招生面試，都預定以Zoom作為視訊溝通工具，「已經納入排程的課程或會議就有100多場，將全部受到影響。」</p> <p>Zoom停用後，由於政大師生均有G Suite帳號，因此Google Meet成為接下來的視訊服務首選。另外，政大的WM5及Moodle教學平臺中，原先就有採購線上視訊服務JoinNet，同一時間所有會議的人數上限為200人。因此，電算中心也正在跟JoinNet申請擴充同時上線人數，預計增加到1,200人，「這是考量到網頁伺服器及網路頻寬的可負載上限，來讓師生使用。」張鋤非說。</p> <p>相較之下，臺大採用了訊連的線上視訊服務U會議，以及簡報直播軟體U簡報，訊連提供臺大老師每人一組企業版的帳號，兩款服務分別可支持100人及500人連線，讓老師進行長時間不間斷的會議與教學；淡江大學則是一開始就選擇採用Microsoft Teams，作為視訊教學工具，來克服與中港澳學生直播教學時，所面臨的中國連外網路被封鎖問題。由於一開始選擇的線上視訊服務並非Zoom，兩所大學較無受到此次政策的影響。</p> <p>對於停用Zoom的政策，教育部網路及資通安全科科長王東琪說明，教育部是基於保護學童隱私安全的考量，為了避免個資或隱私外洩，才建議各級學校全面停用Zoom，而且，教育雲也提供多種視訊服務的教學指引給老師參考，如Microsoft Teams、Google Meet等，「只是現在是陣痛期，本來熟悉Zoom的老師，需要時間去熟悉其他工具。」</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>禁用Zoom政策為何受到教師反彈？</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BF%81%E8%8A%8A%E5%84%92-%E8%91%89%E4%B8%99%E6%88%90%E8%B2%BC%E6%96%87-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%91%89%E4%B8%99%E6%88%90.jpg" style="width: 501px;" /></p> <p><span style="color:#696969;"><strong>臺大電機系教授、同時為教育軟體新創幫你優（BoniO）執行長葉丙成，擁有長期推動中小學數位教學的經驗，也在臉書上發文，表達對教育部禁用Zoom決策的態度。</strong>（圖片來源／葉丙成）</span></p> <p>教育部以資安隱私顧慮為由，無預警要求各校禁用Zoom來視訊教學，引起許多老師反彈。臺大電機系教授、教育軟體新創幫你優（BoniO）執行長葉丙成，同時也是實驗教育機構Bts無界塾的創辦人，就以自身推動中小學數位教學的經驗，在臉書上說明推動遠距教學的難處。</p> <p>葉丙成舉例，他4月9日在臺大授課時，曾在課程開始5小時前，才臨時宣布改用其他線上視訊服務，但5小時後，學生都成功上線上課，這是因為，「身為大學教授，我們面對的是數位能力甚至比我們更優秀的大學生。」然而，相較於中小學教育的處境，情況有很大的不同。中小學的數位教育現場，老師不只要先學會，還要負責教會全班的學生跟家長，「光是帳號密碼問題就會搞到你要瘋掉。」更別提中小學城鄉之間、不同世代老師之間的數位落差，「這是沒跟中小學教育現場接觸過的人難以想像的。」</p> <p>在這個處境下，葉丙成表示，剛開始推動遠距直播教學時，就已經耗費許多老師的心力，好不容易師生學會用Zoom之後，又因教育部的Zoom禁令，不僅受影響的師生要為此重學一套新的線上視訊服務，本來就不願改變教學方法的老師，也會有更多理由來推託、變得更難說服。</p> <p>「如果說服不了老師再動起來，臺灣接下來一個月內萬一停課，會有很多學校沒有能力再進行視訊教課。」</p> <p>因此，葉丙成認為，禁用Zoom的問題在於，決策者是否衡量中小學教師提前部署所做的努力與困境？禁用Zoom之後，若數位教育推動者難以說服老師再動起來，萬一疫情急轉直下導致停課，「最糟的是學生可能學習停擺不只半個月，而是一個月以上，這是真正讓我們擔心的問題。」</p> <p><a href="https://www.ithome.com.tw/article/137078" target="_blank"><span style="font-size: 24px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span> 為何Zoom資安受到各界質疑？</strong></span></a></p> </div></div></div>
2020/4/20 09:00作者翁芊儒https://www.ithome.com.tw/news/137077
【隱私與資安漏洞頻傳，深陷信任危機】為何Zoom資安受到各界質疑？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/969-feng_mian_p1-open-960x420_gong_zuo_qu_yu_1.jpg?itok=DAZeIXBd" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自今年3月下旬開始，各家遠距視訊會議用戶大增，但Zoom的資安疑慮也浮上檯面，甚至新的隱私問題、資安漏洞連續被爆出，這也使得各國政府與企業下達禁用令，到底Zoom在產品資安上出了什麼樣的問題，使得大家對它失去信任？</p> </div></div></div>
2020/4/20 09:00未署名https://www.ithome.com.tw/article/137078
短影片社交軟體抖音驚傳流量傳輸未加密，恐造成中間人攻擊，並藉此傳送假訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著武漢肺炎持續在各地延燒，許多國家相繼採取居家隔離措施，使得能快速發布影片的社交軟體使用量大增，這些應用系統的安全也格外受到關切。例如，因大受美國民眾歡迎的短影片社交軟體抖音（TikTok），最近被兩名行動裝置開發者Tommy Mysk和Talal Haj Bakry發現，手機的應用程式下載影音內容的過程，並未經由加密的HTTPS協定保護，很有可能導致所謂的中間人攻擊（MitM），駭客能夠藉此冒用名人或是國際組織的名義，來散布不實的訊息。因此，他們呼籲字節跳動（ByteDance），要正視這個問題。</p> <p>這兩名開發者指出，所有擁有大量使用者的社群媒體，都是仰賴內容傳遞網路（CDN）來大量發送資料到全球各地，抖音也不例外，但是他們使用免費的網路封包分析軟體Wireshark分析流量後發現，抖音的CDN使用了HTTP協定，來傳送影片和其他的資料到用戶手機。他們測試了iOS的15.5.6版與Android的15.7.4版抖音App，都出現上述沒有使用加密措施來保護網路流量的情況。這些未加密傳輸的內容，包含了影片、影片預告畫面，以及用戶帳號的頭像等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok-dns-http-wireshark.png" style="width: 580px;" /></p> <blockquote><p>兩名行動裝置開發者Tommy Mysk和Talal Haj Bakry透過Wireshark發現，抖音的內容傳遞網路（CDN）竟使用了未加密的HTTP協定，來傳送影片到用戶端。</p> </blockquote> <p>這種漏洞如果遭到濫用，駭客能夠藉此從中竄改用戶端下載的內容，特別是影片的部分。為了驗證可能會帶來的影響，Tommy Mysk和Talal Haj Bakry事先準備了一系列偽造的影片，並且上架到假的抖音CDN伺服器，然後引導手機應用程式到假的CDN伺服器下載影片，手機的使用者便會看到他們所準備的假內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FakeTiktokMov-Figure4.png" style="width: 280px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FakeTiktokMov-Figure5.png" style="width: 280px;" /></p> <blockquote><p>兩名行動應用程式開發者發動了概念驗證攻擊，向用戶端抖音App傳送假的影片內容，像是冒名美國歌手Loren Gray的貼文，宣稱吸煙能殺死武漢肺炎病毒，或者是以世界衛生組織的名義，指出洗手過於頻繁會導致皮膚癌等不實訊息。</p> </blockquote> </div></div></div>
2020/4/19 23:59作者周峻佑https://www.ithome.com.tw/news/137083
Google：Gmail每天擋下1,800萬封與武漢肺炎有關的惡意郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/protecting-against-cyber-threats-during-covid-19-and-beyond" target="_blank">Google揭露</a>，Gmail平均每天都要攔截超過1億封的網釣郵件，而過去一周以來，在每天擋掉的網釣或惡意郵件中，就有1,800萬封與武漢肺炎（COVID-19）有關。</p> <p>Google表示，網釣威脅是早就存在的，且跟武漢肺炎疫情有關的網釣郵件也不算新鮮事，駭客只是在全球把注意力都集中在疫情時，變更既有攻擊行動的主題罷了。</p> <p>不過，Google公布了最常見的網釣郵件以供外界參考。其中一個是仿冒成世界衛生組織（WHO）或其它官方組織的郵件，內容可能是要求使用者捐款，或是開啟含有惡意程式的附加檔案。</p> <p>還有一種網釣郵件是鎖定在家工作的使用者，偽裝來自企業的管理部門，要求使用者輸入個人資料；另一種則是針對小型企業，偽裝成要提供紓困方案的政府組織，要求收件者下載含有惡意程式的附加檔案；或是假裝是被隔離企業的潛在客戶，宣稱無法與企業聯繫，要求收件者下載惡意檔案。</p> <p>總之，駭客針對有意捐款的民眾、在家工作的民眾，以及受疫情影響的企業，都編造了不同的故事，來吸引收件者輸入機密資訊或下載惡意檔案。</p> <p>因此，Google規勸Gmail用戶不要下載來路不明的附加檔案，或是以Gmail內建的文件預覽工具來檢視檔案；在要造訪郵件中的連結時，仔細檢查網址的正確性；也應在收到網釣郵件時予以檢舉。</p> <p>除了每天有1,800萬封與武漢肺炎有關的惡意或網釣郵件之外，Gmail每天攔截的、與武漢肺炎有關的垃圾郵件更超過2.4億封。</p> </div></div></div>
2020/4/19 16:15作者陳曉莉https://www.ithome.com.tw/news/137082
AWS更新Snowball Edge裝置提升1倍運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/aws-snowball-edge-update/" target="_blank">AWS更新其資料遷移與邊緣運算裝置Snowball Edge</a>，採用運算能力更好的晶片擴充記憶體，並增加額外的管理工具。</p> <p>Snowball Edge為AWS在2015年推出的裝置，是Snowball系列裝置，具有機載儲存以及部分AWS服務的運算能力，讓用戶在偏遠或是網際網路連線不穩定的地方，可以使用Snowball Edge裝置先收集資料，將資料進行機器學習、處理或是儲存，然後將Snowball Edge裝置送回AWS。多臺Snowball Edge可以組成叢集，供用戶建置大規模的臨時系統。</p> <p>Snowball Edge依功能分為兩種，一是專為儲存最佳化的裝置，另一種Snowball Edge則是為運算最佳化，這次AWS更新了為儲存最佳化的Snowball Edge，使用新硬體提高1倍的處理能力，並將資料傳輸速度提高25％；原本為儲存最佳化的Snowball Edge只有24個vCPU，現在升級為40個vCPU，而記憶體本來為48 GB，而新版本則有80 GB。</p> <p>AWS提到，該裝置現在使用時脈達3.2 GHz的處理器，代表使用者可以在Snowball Edge中啟用高規格的EC2執行個體，執行更複雜的資料預處理以及分析工作；為儲存最佳化的Snowball Edge提供80 TB供資料處理和資料轉換工作負載之用，額外還有SATA固態硬碟1 TB的容量，供EC2執行個體在裝置上啟動之用；該裝置搭載100 Gigabit QSFP28網路配接器，可大幅改善網路傳輸速度。</p> <p>用戶可以串接12個為儲存最佳化的Snowball Edge形成叢集，以創建單一S3相容的儲存桶，達到將近1 PB的資料儲存空間，還可在其上執行AWS Lambda服務。</p> <p>另外，Snow系列的裝置現在可以使用圖形介面應用程式AWS OpsHub，來管理Snowball Edge裝置，進行解鎖和配置裝置等操作，用戶只要利用拖放操作就能複製資料、啟動應用程式、監控裝置指標和自動化例行性操作。AWS OpsHub可在Windows或Mac上安裝，即便沒有網際網路連線也能順利運作。</p> <p>用戶現在還可以使用基於使用者的IAM政策，控制Snowball Edge裝置上服務與資源的存取，當多用戶存取同一裝置，IAM政策可以良好地管理每個用戶的權限。而AWS Systems Manager現在也支援Snowball Edge裝置，AWS Systems Manager可以自動化例行性的維護以及部署工作，用戶可以使用Python或PowerShell撰寫腳本，放到AWS OpsHub中執行。</p> </div></div></div>
2020/4/19 16:30作者李建興https://www.ithome.com.tw/news/137062
Google開源Kotlin gRPC專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/application-development/use-grpc-with-kotlin" target="_blank">Google開發了可用於JVM語言Kotlin的gRPC專案</a>，讓開發者可以在Kotlin專案中方便地使用gRPC，以更簡單的方式建構可靠的網路連接服務，Google現在將這個專案對外開源。</p> <p>gRPC是Google所發起的開源遠端程序呼叫框架，該框架建立於HTTP/2協定之上，使用Protocol Buffers作為介面描述語言，gRPC可透明化用戶端和伺服器端應用程式間的通訊，簡化建立連接系統的工作，其支援多種程式語言，包括C++、Java、Objective-C、Python、Ruby、Go、C#與Node.js等。而遠端程序呼叫（Remote Procedure Calls，RPC）則是一種協定，讓程式能向網際網路上另一個應用程式發送服務請求。</p> <p>Google在2015年的時候開源了自家開發的gRPC框架，其自家雲端產品和微服務也都有使用gRPC，多家知名大型企業包括CoreOS、Lyft、Netflix、Cisco、Juniper等，也都以gRPC架構，來加速服務效能或串流遙測資料。2017年的時候，Google將gRPC框架貢獻給雲端原生運算基金會（Cloud Native Computing Foundation，CNCF），成為CNCF第6個開源專案。</p> <p>現在Google開源了Kotlin gRPC專案，讓開發者可以結合Kotlin和gRPC，開發行動應用程式以及雲端微服務，Google提到，這個專案是建構在gRPC的Java API之上，支援Kotlin協程（Coroutine），對Kotlin專案更加友善。</p> <p>gRPC Kotlin可用來建置在無伺服器運算平臺Cloud Run上執行的服務，開發者可以在Cloud Run上部署非串流gRPC Kotlin服務。而在支援串流gRPC的環境，開發者也能以Kotlin非同步Flow API使用串流gRPC。</p> <p>開發者想在專案中加入gRPC Kotlin，則需要一併添加生成器與grpc-java配置。目前gRPC Kotlin仍在測試階段，初始版本為0.1.1版本，開發者有任何使用上的問題，可在開發專案儲存庫中回報，協助專案發展。</p> <p>Kotlin為Google力推的程式語言，是一種在Java虛擬上執行的靜態型別程式語言，其被設計成可以與Java互通，並且能使用Java參照的函式庫，在2019年，Google已經指定Kotlin成為Android平臺的第一開發語言，Jetpack API和功能都將優先提供Kotlin版本。</p> </div></div></div>
2020/4/19 16:35作者李建興https://www.ithome.com.tw/news/137063
Amazon著手打造武漢肺炎病毒檢測實驗室，期望對所有員工展開定期檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Amazon創辦人暨執行長貝佐斯（Jeff Bezos）<a href="https://blog.aboutamazon.com/company-news/2019-letter-to-shareholders" target="_blank">給公司股東的公開信</a>，當中描繪了Amazon應對武漢肺炎（COVID-19）的方式、如何維護消費者的權益、對環保的承諾、改善員工福利的措施，並宣布正在著手打造武漢肺炎病毒檢測實驗室，打算對全球的84萬名員工展開定期檢測。</p> <p>貝佐斯表示，Amazon諮詢了衛生當局與醫學專家，在全球的物流中心分發口罩並替員工量體溫，展開全面的消毒工作，同時在工作期間導入了社交距離措施，保護員工的下一步應該是替所有Amazon員工進行定期檢測，包括沒有症狀的人，若能替所有產業進行定期檢測，還能恢復經濟活力。</p> <p>然而，要對所有人展開定期檢測需要更多的檢測能力，因此，Amazon已開始建立增加檢測能力的作業。</p> <p>現在Amazon已建立一個檢測專案團隊，召集了內部的研究科學家、專案經理、採購專家及軟體工程師，而且已開始組裝檢測實驗室所需的設備，希望能儘速開始替前線員工進行病毒檢測。</p> <p>貝佐斯說，初期只能展開小規模的檢測，他並不知道這個專案能夠執行多久或有多大的成效，但此事值得一試。</p> <p>另一方面，為了避免商家利用疫情來剝削消費者，Amazon宣布已移除站上超過50萬個溢價商品，關閉超過6千個違反該站公平訂價策略的商家帳號，並把這些商家資訊提供給美國42州的檢察官。另也替Alexa數位語音助理設計了新功能，讓它能夠回答與疫情相關的問題。</p> <p>本周貝佐斯也公布Amazon的全球員工數已達84萬，是過去十年來全球擁有最多員工的企業，其中有59萬位於美國、11.5萬位於歐洲，還有9.5萬位於亞洲。</p> <p>對於已在全球橫行的肺炎疫情，貝佐斯引用了美國知名作家蘇斯博士（Theodor Seuss Geisel）的名言：「壞事發生時你有三個選擇，你可以讓它左右你、讓它摧毀你，或者是讓它令你變得更強大。」他將樂觀看待文明社會的選擇。</p> </div></div></div>
2020/4/19 15:30作者陳曉莉https://www.ithome.com.tw/news/137080
微軟運用AI精準標記出軟體重大安全性臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2020/04/16/secure-software-development-lifecycle-machine-learning/">微軟發表了一個人工智慧系統，可用少量的資訊精準分類臭蟲</a>，該系統能夠以99％精確度區分安全性和非安全性軟體臭蟲，並以97％精確度辨識出高優先度安全性錯誤，且還能夠容忍資料存在雜訊。這個系統已經發表成論文，微軟提到，接下來他們會在GitHub上開源該系統，並提供範例模型以及相關資源。</p> <p>應用程式總是存在不少臭蟲，因此開發人員需要篩選這些待處理的功能以及錯誤修正，優先處理緊急的項目，雖然這些過程有一些自動化工具幫助，但是微軟提到，工程師還是經常浪費時間在處理誤報的臭蟲回報上，反而遺漏真正重要的安全漏洞。</p> <p>微軟總共有4.7萬名開發人員，當在正進行的專案有100多個，每個月會產生將近3萬多個錯誤，為了更精準地解決重要的臭蟲，省下浪費的時間，微軟要用機器學習技術，提升辨識與分類安全漏洞的能力。從2001年來，微軟已經收集了1,300萬個工作項目以及臭蟲，這些資料可被用來訓練機器學習模型，辨識與分類臭蟲。</p> <p>過去也有類似的研究，利用機器學習來辨識安全漏洞，但都是基於所有臭蟲報告資訊，即使能用於機器學習模型訓練和評分工作的假設上，但是這樣的假設無疑與現實情況不符，在部分情況下，並不會有完整的臭蟲報告可以使用，像是錯誤報告可能包含密碼、個人身份資訊或是其他敏感資料，微軟提到，他們研究的其中一個重點，是希望可以使用較少的資訊，就能良好地辨識安全性臭蟲。</p> <p>另外，臭蟲儲存庫中的條目，通常存在標籤錯誤的情況，安全性問題被歸類在非安全性問題中，而非安全性問題也可能被標記為安全性問題，原因很多，可能是開發團隊缺乏資訊安全專業知識，或是問題有其模糊的地方，可能該非安全性錯誤沒有直接的安全性問題，但在間接操作下，可能存在安全隱憂。</p> <p>標籤錯誤還衍生出了一個嚴重的問題，資安專家必須要耗費時間手動檢查錯誤資料，這個過程花費的成本很大，因此微軟提到，在實作自動分類功能上，他們必須要解決用在機器學習模型的資料集，存在雜訊的這個問題，除了要了解雜訊影響分類器的情況，也要讓模型即便在資料集被雜訊污染下，仍可以強健地運作。</p> <p>微軟利用了許多安全性與非安全性錯誤的資料集來訓練模型，讓模型可對未預先分類的臭蟲回報進行分類，這些資料由安全專家審查，確保訓練資料的品質。這個機器學習模型具有兩個步驟，第一個步驟，模型會分類出安全性與非安全性錯誤，第二步則是對安全性漏洞進行關鍵、重要和低影響排名。</p> <p>微軟在這個研究中，證明了即便只利用臭蟲報告的標題資訊，也能夠精確地辨識安全性錯誤報告，微軟提到，還沒有類似的研究存在，過去的研究都需要使用完整的臭蟲報告，這對於具隱私資訊的臭蟲回報特別有用。微軟這個臭蟲分類模型能以99％的精確度，正確分類安全性漏洞與非安全性漏洞，並且能以97％的精確度，將安全性臭蟲辨識為重大與非重大安全性問題。</p> </div></div></div>
2020/4/19 15:55作者李建興https://www.ithome.com.tw/news/137056
GoPro將裁撤逾200名員工，把銷售轉移到自家網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運動相機製造商GoPro本周<a href="https://investor.gopro.com/press-releases/press-release-details/2020/GoPro-Announces-Global-Restructuring-Provides-Preliminary-Q1-Results-and-Withdraws-2020-Guidance-Due-to-COVID-19-Impact/default.aspx" target="_blank">宣布策略調整</a>，計畫在2020年減少1億美元的營運支出，準備裁減逾20%的人力，估計影響超過200名員工。</p> <p>2002年在美國成立的GoPro為全球知名的運動相機品牌，也在2016年推出Karma空拍機，但2018年就宣布退出空拍機市場，並<a href="https://www.ithome.com.tw/news/120392" target="_blank">裁撤近300名員工</a>，之後GoPro在市場上的表現就節節敗退。該公司在2014年以24美元的發行價，登上了那斯達克股市，而近期的收盤價只剩2.58美元。</p> <p>GoPro聲稱其策略調整，是為了轉型成以消費者為中心的直接銷售業務，以提高效率及獲利。GoPro創辦人暨執行長Nicholas Woodman表示，該公司的全球銷售網路都受到武漢肺炎（COVID-19）疫情的影響，使得該公司決定加速轉型到直接銷售。</p> <p>根據統計，去年GoPro.com吸引了700萬的不重覆訪客，消費者直接在該站購買商品的營收，占了歐洲市場營收的逾20%，在美國市場也占接近20%，且今年第一季的比例更高。</p> <p>不過，GoPro在關鍵市場仍會出貨給主要的零售商，以讓消費者也能透過實體商店購買。</p> <p>GoPro也公布該公司今年第一季的財報預測，預期該季可創造1.19億美元的營收，每股虧損0.3美元。</p> </div></div></div>
2020/4/19 16:05作者陳曉莉https://www.ithome.com.tw/news/137081
一周大事：臺灣社交距離App擬4月底上線。人工智慧產業化推手陳昇瑋辭世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>行政院：臺灣社交距離App擬4月底上線</strong></span></p> <p>隨著全球武漢肺炎（COVID-19）疫情加劇，各種科技防疫工具也紛紛出籠，尤其社區感染成了不可避免的風險後，不少國家或科技巨頭，開始打造社交距離偵測工具，如Google和Apple最近宣布聯手用藍牙打造接觸史追蹤技術，來減緩疫情的擴散，臺灣先前也利用科技手段，建立居家檢疫一條龍的防護流程，最近更要推出一款「臺灣社交距離App」，能用來提醒民眾是否接觸過確診或居家檢疫者，目前已經釋出Alpha測試版。</p> <p>行政院表示，這款App的開發進程，從3月就開始與臺灣AI Labs合作開發，功能也已大致完成，正在進行內部測試。未來要將這款App用於防疫，並負責後續的系統維運。</p> <p>下載臺灣社交距離App之後，用戶手機每15分鐘會自動生成一個Hashed ID，當藍牙偵測到附近幾公尺有其他人的手機時，雙方手機會記錄彼此的Hashed ID、接觸時間長度與距離，再儲存在各自的手機中。<a href="https://www.ithome.com.tw/news/136996" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>陳昇瑋腦出血突然病逝！玉山金控痛失科技長</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%99%B3%E6%98%87%E7%91%8B_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影／洪政瑋</span></p> <p>臺灣人工智慧學校於4月13日發布了一則悼文，公布臺灣人工智慧學校執行長陳昇瑋，因腦出血意外陷入昏迷後過世的消息。</p> <p>陳昇瑋在2014年創辦了臺灣資料科學愛好者年會，成了臺灣資料科學社群最重要的交流聚會，他從2017年開始大力推廣產業AI化，2018年更在中研院和多家企業支持下成立了臺灣人工智慧學校，2年來訓練了6千多位AI人才。</p> <p>玉山金控在2018年找來陳昇瑋擔任科技長，陳昇瑋一手打造了玉山金控的智能金融處近百人的團隊，展開了近百項AI專案。<a href="https://ithome.com.tw/news/136940" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺北市試辦實名制口罩自動販賣系統</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%E8%B2%A9%E8%B3%A3%E6%A9%9F_%E6%94%9D%E5%BD%B1_%E8%98%87%E6%96%87%E5%BD%AC.JPG" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影／蘇文彬</span></p> <p>臺北市政府和衛福部、新創業者業安聯手試辦實名制口罩自動販賣系統，在臺北市信義區健康服務中心設置口罩販賣機，讓民眾可使用健保卡購買實名制口罩，這套系統接下來將擴大至12個行政區的健康服務中心。</p> <p>這套自動販賣系統透過健保署開發的API介接實名制口罩系統，讓民眾在販賣機就能完成身分查核，確認可購買的口罩配額，再以行動支付或電子票證購買所需的口罩。<a href="https://www.ithome.com.tw/news/136976" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>聯手抗疫，兩大手機OS將內建藍牙接觸史追蹤技術</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%97%8D%E8%8A%BD%E8%BF%BD%E8%B9%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>蘋果和Google共同宣布合作，將用藍牙技術，來打造一套可用來追蹤武漢肺炎接觸史的匿名追蹤技術，來對抗病毒的散播，5月先釋出API讓政府機構開發搭配的系統，後續會直接內建到iPhone和Android兩大手機OS中，讓全球數十億個裝置都能支援。從iOS 13或Android 6與以後的版本，都會在5月更新後支援。</p> <p>Google和Apple如何設計匿名的接觸史比對技術？手機安裝了這個追蹤機制之後，每隔15分鐘就會產生一個亂數編號，就像是一張混亂塗鴉圖案的撲克牌，每張牌上還蓋了一個那隻手機亂數產生的一日限定戳章。<a href="https://ithome.com.tw/news/136924" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GitHub免費開放所有核心功能</strong></span></p> <p>在微軟買下GitHub之後，GitHub開始大動作祭出各種吸引使用者的作法，去年就推出了不少免費措施，今年更是積極佈局來搶攻開發者規模。最近，GitHub執行長Nat Friedman更宣布，所有核心功能皆免費對所有使用者開放，使用者將能更不受限制地進行協作開發。尤其，所有GitHub帳戶的私有儲存庫取消3人協作者的規定，不再有人數上限。<a href="https://www.ithome.com.tw/news/136998" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>星展銀一年5千名應徵者靠AI篩選</strong></span></p> <p>臺灣星展銀行上線由新加坡總部開發的人工智能招募系統JIM，藉此提高HR部門人才招募的效率。</p> <p>臺灣星展銀行人力資源處處長盧方傑指出，JIM會先篩檢應徵者投遞的履歷是否符合職缺要求，比如是否有3年工作經驗。接下來，會引導應徵者到自動化面談的關卡進行情境問答，回答職務相關問題，還會對應徵者進行心理測驗。</p> <p>整合這三類資料後，JIM再來進行初步評估，以適任度來評分。銀行招募人員就可以直接依據這個評分，優先安排得分高者，先與業務單位主管進行面試，來決定是否聘用對方。</p> <p>盧方傑強調，整合履歷、心理測驗結果，以及情境問答資料，多方面評估應徵者的能力，可以讓評估更為準確。<a href="https://www.ithome.com.tw/news/136881" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google啟用加州通臺灣的海底電纜來因應爆量</strong></span></p> <p>谷歌獲得美國聯邦通訊委員會（FCC）的許可，未來6個月內，可啟用太平洋光纖網路（Pacific Light Cable Network）中，連接加州與臺灣的海底光纖電纜，以紓緩暴增的網路流量。</p> <p>這條橫跨太平洋，長達8千英里的海底電纜，由Google和臉書共同投資，從2016年開始興建，不管是臺灣或是香港的部分其實都早已完工，但因監管疑慮，美國政府先前一直未同意啟用。<a href="https://www.ithome.com.tw/news/136856" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>支援網頁NFC感應技術的Chrome 81來了</strong></span></p> <p>Google釋出Chrome 81，首度支援Web NFC標準。Web NFC是近場通訊（Near Field Communications，NFC）技術的網頁版標準，該技術允許距離10公分之內的裝置彼此通訊，而Web NFC則讓網站能夠在該距離內讀取及寫入NFC標籤。</p> <p>目前Web NFC在Chrome 81中處於原始試用（Origin Trials）階段，這是Google在測試網路平臺新功能，還得兼顧實驗安全時所採行的方式。<a href="https://www.ithome.com.tw/news/136850" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>VMware修補vCenter Server高風險漏洞</strong></span></p> <p>四月初VMware修補了一個與vCenter Server有關的安全漏洞，此一編號為CVE-2020-3952的安全漏洞位於vmdir中，在通用漏洞評分系統（CVSSv3）的風險程度，達到最高的10分，將允許駭客竊取機密資訊。<a href="https://www.ithome.com.tw/news/136958" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>大型主機疫情期用量飆高，美國數州急徵COBOL人才</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A4%A7%E5%9E%8B%E4%B8%BB%E6%A9%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Erik%20Pitti%20on%20flickr%20(CC%20BY%202_0).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Erik Pitti on flickr (CC BY 2.0)</span></p> <p>武漢肺炎重創美國經濟，也對政府IT形成另一項挑戰：運行數十年的大型主機系統，已欠缺維護人才。例如紐澤西州以及康乃狄克州的失業補助系統，都跑在40歲的大型主機上，近來武漢肺炎衝擊之下，許多企業倒閉或裁員，導致請領失業救濟補助的人數飆升，大量作業令年久失修的系統不堪負荷，政府也面臨找不到COBOL人才的問題，而對外求援。<a href="https://www.ithome.com.tw/node/136942" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>有28個國家透過監控來抑制武漢肺炎疫情</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%96%AB%E6%83%85%E7%9B%A3%E6%8E%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Photo%20by%20Franck%20V_%20on%20Unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">Photo by Franck V. on Unsplash</span></p> <p>科技部落格OneZero觀察全球的媒體報導，發現至少已有28個國家藉由加強對人民的監控，來抑制武漢肺炎疫情，對許多政府來說，這只是權宜之計，但不少人權組織都擔心，在疫情結束後，民眾隱私權將難以復原。<a href="https://www.ithome.com.tw/news/136927" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Hangouts視訊會議軟體更名為Google Meet</strong></span></p> <p>近日Google將視訊會議軟體Hangouts Meet，悄悄更名為Google Meet，不過，沒有特別說明原因。Google是在2017年，把Hangouts拆分為Hangouts Meet與Hangouts Chat兩個產品，前者為視訊會議工具，後者則著重於文字協作，隨後即把它們納入G Suite，但會根據G Suite提供不同等級的Hangouts Meet服務。<a href="https://www.ithome.com.tw/news/136894" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺、德、美、澳公部門禁用視訊會議軟體Zoom</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%BE%B3%E6%B4%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Australian%20Defence%20Force.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Australian Defence Force</span></p> <p>視訊會議軟體Zoom因傳出隱私、安全與誇大加密等級等負面消息，而日益受到各國政府的關注。除了臺灣的行政院與教育部，已下令公務機關及各級學校不得使用Zoom之外，美國參議院、德國外交部，以及澳洲軍方，也都宣布了禁用Zoom的政策。<a href="https://www.ithome.com.tw/news/136910" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>中國本土自製勒索軟體來襲</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WannaRen_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%81%AB%E7%B5%A8%E5%AE%89%E5%85%A8.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／火絨安全</span></p> <p>最近，在中國傳出許多使用者接連到多個網路論壇反應，他們的電腦中了WannaRen的勒索軟體病毒。資安廠商表示，這是當地原本從事挖礦攻擊的駭客組織，模仿WannaCry勒索軟體的事件，濫用了美國國安局開發的EternalBlue漏洞工具，並且透過軟體下載網站來散播勒索軟體病毒。</p> <p>先前群創光電傳出電腦遭受攻擊之際，外界便有人猜測，極有可能是電腦感染了WannaRen。<a href="https://www.ithome.com.tw/news/136943" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Magecart鎖定小型電商網站攻擊</strong></span></p> <p>資安業者RiskIQ發現，1月下旬，有新的金融卡卡號側錄攻擊手法出現，已有19個中小企業網站受害。</p> <p>從這波攻擊行動所採用的手法和特徵來看，因側錄交易資料的過程中，會於網站植入iframe，RiskIQ將駭客使用的金融卡側錄工具（Skimmer）命名為MakeFrame。</p> <p>至於攻擊者的身分究竟為何人？該公司則根據MakeFrame的手法特性來判斷，認為是Magecart的第7組駭客所為，Magecart是以側錄線上交易資料而惡名昭彰的駭客組織，之前售票網站TicketMaster、英國航空遭駭事件，都是這個組織所為。<a href="https://www.ithome.com.tw/news/136919" target="_blank">更多內容</a></p> </div></div></div>
2020/4/19 12:00未署名https://www.ithome.com.tw/news/137079
Tomcat Server存在Ghostcat漏洞，有中國駭客在臺灣校園網站上傳BiFrost後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Tomcat Server被揭露的Ghostcat漏洞，已有被疑似利用的攻擊情事發生，由於Tomcat是Java開發者常用的應用伺服器之一，且這個漏洞在國內比較少被關注，還未更新修補的用戶可要特別注意。在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，用戶應儘速更新修補，用戶可升級至<a href="http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.31">9.0.31</a>、<a href="http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.51">8.5.51</a>與<a href="http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.100">7.0.100</a>版本。</p> <p>近日臺灣資安業者TeamT5指出，他們發現臺灣學術網路上的一個圖書館網站，遭到中國駭客組織HUAPI（又名為PLEAD）上傳了BiFrost後門程式，並將該網站變成惡意程式下載站。</p> <p>根據TeamT5的說明，他們是在3月接獲情資，並於該圖書館網站上發現存有惡意程式，在之後的分析調查結果中，他們發現，該網站系統使用Tomcat 7.0.73作為網頁伺服器，同時也有開啟8009通訊埠，具有Ghostcat（CVE-2020-1938）漏洞。經他們判斷，在此案例，駭客應是透過Ghostcat漏洞上傳BiFrost惡意程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/upload_138de179b305a67f8ac53a04e7a7b76f_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 600px;" /></p> <blockquote><p>今年3月，臺灣某學術網路的圖書館網站上發現存有惡意程式，Team5研究人員展開調查後，發現該網站系統Tomcat 7.0.73作為網頁伺服器且開啟8009通訊埠。</p> </blockquote> <p>對於該後門程式，在TeamT5的進一步分析中，指出其程式檔名雖是md.png，但真實的檔案格式為UNIX系統的ELF執行檔，利用PNG副檔名偽裝在Tomcat網站伺服器上。同時，他們也透過逆向分析，指出該後門程式的能力，包括上傳、下載、列舉、刪除與搬移檔案，可執行或結束程序、以及開啟或關閉遠端命令列介面程式（Remote Shell）。</p> <p>另外，他們還指出這個惡意後門程式與中繼站的連線內容，會使修改過的RC4演算法進行加密，而這樣的專屬特徵，也讓他們可辨認出此惡意程式，是由中國駭客組織HUAPI所為。根據他們在近年的分析統計，遭HUAPI攻擊的受害國家包含臺灣、美國、日本及南韓，有超過5成的受害單位是政府機關，而針對臺灣政府機關進行入侵攻擊的為多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/upload_252083b0a86403a0de983e7c0c23f7ea_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 600px;" /></p> <blockquote><p>在TeamT5的分析結果中，他們發現駭客將該惡意後門程式偽裝為PNG的ELF執行檔。</p> </blockquote> <p>特別要注意的是，這樣的事件暴露出Ghostcat漏洞的風險。TeamT5研究員表示，這段期間，他們已在國內多個企業與機關中，發現數十臺Tomcat Server都存在Ghostcat未修補狀況，希望企業與組織注意到GhostCat漏洞的嚴重性。</p> <p>關於這個名為Ghostcat的CVE-2020-1938漏洞，它在CVSS v3.1的分數是9.8，屬於重大風險漏洞，並影響Tomcat 9/8/7/6各版本。</p> <p>該漏洞存在於Apache JServ Protocol（AJP）中，發現該漏洞的是中國資安業者長亭科技，他們在2月20日揭露其風險。在受影響的版本中，如果用戶有開啟AJP Connector，成功利用漏洞的攻擊者，將可讀取Tomcat所有webapp目錄下的任意文件，例如像是webapp的設定檔或原始程式碼。更要注意的是，若是網站應用提供了文件上傳的功能，攻擊者將可進一步上傳含有惡意JSP腳本的檔案，進而實現遠端指令執行（RCE）漏洞。</p> <p>目前，Apache Tomcat官方網站上，在安全更新的頁面上，針對版本9.x、8.x與7.x版，他們已經發布修補的新版本。</p> <p>而過去，在2019年4月，Tomcat也曾被發現有CVE-2019-0232的嚴重漏洞，該漏洞的CVSSv3分數為9.3。</p> </div></div></div>
2020/4/18 13:33作者羅正漢https://www.ithome.com.tw/news/137074
把握關鍵2小時！基隆長庚聯手礦工醫院，要用AI布局中小醫院急救轉診網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基隆長庚醫院今（17日）宣布與礦工醫院聯手，要利用腦出血輔助判讀AI，來建置一套急救轉診網路，縮短關鍵1至2小時的轉診時間，進一步降低腦出血病患致殘或致死的機率。</p> <p>基隆長庚醫院腦神經外科助理教授級主治醫師顏君霖指出，腦出血是急診室中常見的疾病，一旦發生，很容易造成傷殘或致死，因此「時間就是關鍵，」急救團隊更要與時間賽跑。</p> <p>然而，一般中小型區域性醫院，在接收、處理腦出血急診病患的流程上，較容易遇到資源不足、等待時間長等挑戰，難免延誤黃金治療時間。顏君霖解釋，當病患發病後，送至初診醫院時，會先進行腦部電腦斷層掃描（CT），再送至外傷急救中心，由急救中心神經外科醫師來會診，決定治療方法，比如進一步檢查，或轉診至較大醫院進行手術。</p> <p>特別是，在拍攝腦部CT時，每一位病患拍攝一次，就會產生數十至數百張影像，還得等待醫師一一檢查後，才能決定後續診療決策。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">AI小幫手30秒快速判讀，早一步預警、多一分準備</span></span></strong></p> <p>有鑑於此，基隆長庚醫院找來斥資導入醫療AI新創Deep01開發的腦出血判讀AI，來進行研究試驗。這套AI系統，只要30秒，就能判斷一位病患是否出現腦出血。</p> <p>在導入之初，團隊也利用院內2萬4千張急診CT影像，來微調這套AI系統，讓AI系統的敏感度和特異性，分別達到94％和93％。</p> <p>顏君霖指出，這套AI不僅能輔助醫師、縮短判讀時間，更重要的是，「AI辨識腦出血後，可發出預警通知，來告知急救中心的神經內、外科醫師，醫師再回饋通知給急診部，來做相關準備。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(1)(8).jpg" /></p> <p>也就是說，當醫師先得知腦出血狀況後，隨即能判斷腦出血原因，進而決定是否需要手術，或進一步的特殊檢查等。「這麼做，急診室可即早準備，也能節省特殊檢查的安排時間。」（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS(8).jpg" /></p> <p>基隆長庚醫院，希望藉這個方法，來縮短急診動向的總體準備時間。「最重要的是，我們能避免病患失能或死亡，增進預後表現。」</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">聯手衛星醫院，把握關鍵2小時、編織急救轉診網</span></span></strong></p> <p>不只如此，基隆長庚擔起當地急救責任，經常接收醫師資源不足的小醫院轉診。為突破醫師資源不足的限制，基隆長庚也決定聯手礦工醫院，要導入腦出血AI系統，來加速腦出血診斷和轉診，同時提升地區與中心的轉診連結。</p> <p>「就自身經驗來說，腦出血病患自中小型醫院轉診至急救中心，時間落差約為1至2小時。」顏君霖解釋，這代表，在急救中心的醫師，通常是1、2小時候才知道病患出事。如果藉這套AI即時預警，醫師就可把握這關鍵時間，提前準備病患所需的治療。</p> <p>顏君霖指出，基隆長庚目前正裝設這套系統，將正式應用於臨床，「我們預計透過這個智慧轉診網，一年至少要成功轉診100至150位病患。」未來，雙方還要納入更多地區醫院，來完善這個急救網。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">獲臺美雙認證，不只能讀腦出血，還能計算體積、判讀中線偏移</span></span></strong></p> <p>Deep01共同創辦人暨執行長周仁海指出，這套腦出血AI系統，不僅在去年7月通過美國食品藥物管理局（FDA）認證，今年2月也拿下臺灣衛福部食藥署（TFDA）認證，成為亞洲首個拿下雙認證的AI醫療影像軟體。</p> <p>除了腦出血判讀，周仁海表示，該AI系統也新增了兩大功能，也就是腦出血體積估算，以及中線偏移判讀等功能。一般來說，醫師在估算腦出血體積時，會以一個橢圓形來對比，「但研究指出，傳統方法容易高估三分之一的體積，」而Deep01開發的新功能，則能較精確計算（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7093.jpg" /></p> <p>至於中線偏移，是用來衡量左、右腦腦壓是否均衡的重要指標，也是用來判斷是否須緊急手術的關鍵。周仁海表示，自家AI系統的中線偏移判讀功能，不只能偵測，還能計算出偏移量（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(6).jpg" /></p> <p>顏君霖指出，腦出血會導致腦壓升高，一旦左、右腦壓高過另一側，中線就會偏移。其中，「偏移程度能告訴醫師病人的嚴重程度，也能幫助醫師選擇適當的藥物、手術或其他治療方法。」在他看來，中線偏移能幫助醫師，更精準制定腦出血病患的治療決策。</p> <p>由於醫療涉及敏感個資，這套腦出血AI在設計上，也分為雲端版和本地版，本地版可安裝於院內機房，透過API在PACS（醫療影像儲傳系統）中使用，不必將資料上傳至雲端，免除個資外洩的疑慮。文◎王若樸</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 22.2222px; width: 1043.26px; height: 15.5556px;"> </div> <div aria-describedby="bubble-5" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -137px; top: 48px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-5"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 521.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/4/17 19:14作者王若樸https://www.ithome.com.tw/news/137064
假借武漢肺炎最新資訊名義為誘餌，間諜軟體鎖定兩大行動裝置平臺收集各式資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當全球各地處於武漢肺炎暴發的狀態，駭客大肆發動以疫情為誘餌的攻擊行動，其中最常被提及的莫過於釣魚電子郵件。不過，最近也有惡意軟體打著肺炎資訊更新（Coronavirus Update）的名號，實際上卻是暗中收集手機個資的間諜軟體。趨勢科技於3月底，發現一起網路間諜行動，駭客利用名為Project Spy的惡意軟體感染Android與iOS行動裝置，然後執行監聽通話內容與收集受害者個資，包括通話記錄、位置資訊，以及社交App傳送的訊息等資料。</p> <p>駭客將上述的惡意軟體包裝在一款叫做Corona Updates的App，這個應用程式在巴基斯坦、印度、阿富汗、孟加垃、伊朗、沙烏地阿拉伯、奧地利、羅馬輒亞、格瑞納達，以及俄羅斯等地，都有少量使用者下載。趨勢科技因為駭客的後臺管理系統上，登入畫面有Project Spy的文字，便以這組字串來稱呼攻擊者使用的惡意軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/projectspy201-loginpage.png" style="width: 580px;" /></p> <blockquote><p>趨勢科技找到駭客所使用的管理後臺登入網頁，並以頁面上的Project Spy來稱呼駭客的攻擊工具。</p> </blockquote> <p>趨勢科技發現，Corona Updates會要求數種系統權限，包含能存取通知的內容，以及能夠讀取外部的儲存裝置等。其中前者可讓這個App從手機的通知裡，竊取即時通訊軟體的訊息，除此之外，它還會收集手機的各種用戶資料，像是受害人的通話記錄和聯絡人資料、語音備忘錄，以及簡訊與社群軟體的訊息等，也會收集裝置資訊的延伸清單，還有SIM卡的資訊，以及無線網路的SSID和MAC位址等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CoronaUpdatesApp-permissions-1.png" style="width: 250px;" /></p> <blockquote><p>這款名為Corona Updates的App，標榜功能是提供武漢肺炎更新情報（Coronavirus Update），然而首次執行會要求受害者7項權限，像是如圖中要求能夠存取並傳送簡訊的能力。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CoronaUpdatesApp-code-for-socialmedia.png" style="width: 580px;" /></p> <blockquote><p>從App的程式碼片段中，這款Corona Updates會收集多款社群軟體的訊息，包含了臉書、WhatsApp、Telegram，以及Threema等App的內容。</p> </blockquote> <p>雖然Corona Updates在多個國家都有被下載的情況，但是次數並不多，探究其中的原因，趨勢科技認為應該與App有部分功能會出現錯誤有關，因此研判攻擊工具並不成熟，尚在開發的階段。他們推測，駭客散布這款App的動機，有可能是拿來測試特定的攻擊手法，或者打算等到App到達特定的下載量，才進一步採取其他的攻擊行動。</p> <p>另一方面，趨勢科技解析程式碼後，發現攻擊者僅是業餘駭客，其中iOS版的程式碼並不完整，很有可能是向他人買來後再加入其他功能。但該公司認為使用者不能因此掉以輕心，在Goolge Play商城與蘋果App Store下載應用程式，還是要詳加檢查，使用者可藉由執行畫面的截圖、開發者宣稱的功能、應用程式權限需求，以及其他用戶評論等層面，來判斷應用程式是否有問題。</p> </div></div></div>
2020/4/17 18:09作者周峻佑https://www.ithome.com.tw/news/137061
G Suite用戶現在可直接自Gmail撥打Meet視訊電話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著外界對視訊會議的需求愈來愈高，Google也加緊腳步以改善Google Meet服務，繼於3月宣布讓所有G Suite用戶，都能享受大型企業等級的Google Meet功能之後，<a href="https://gsuiteupdates.googleblog.com/2020/04/meet-in-gmail.html" target="_blank">Google本周再將</a>Google Meet整合到Gmail中，讓所有G Suite使用者都可自Gmail，直接撥打Google Meet視訊電話。</p> <p>現在不管是G Suite Basic、G Suite Business、G Suite Education或G Suite Nonprofit客戶，都能使用原本只屬於G Suite Enterprise及G Suite Enterprise for Education版本的<a href="https://gsuiteupdates.googleblog.com/2020/03/enabling-hangouts-meet-premium-features.html" target="_blank">Google Meet功能</a>，涵蓋最多可容納250名與會人員，支援10萬名觀眾的即時串流，以及可紀錄會議內容並將它們存放到Google Drive上，且使用期限可到今年的9月30日。</p> <p>本周Google進一步將Google Meet整合到Gmail中，G Suite用戶將可在Gmail左邊的側欄上看見新的Meet標籤，可直接召開會議（Start a meeting）或加入會議（Join a meeting）。</p> <p>Google表示，由於有愈來愈多使用者在家工作或學習，他們希望讓人們能夠更容易地進行溝通，在電子郵件與視訊會議之間可無縫切換。</p> <p>當使用者要召開會議時，它會跳出一個顯示會議網址的視窗，也會產生一個會議代碼，只要把網址及代碼分享給其他人，就能邀請其他人與會；而加入會議時也只要連結至會議網址，並輸入會議代碼即可。</p> <p>G Suite用戶只要啟用了視訊會議功能，那麼Google Meet就會自動現身於使用者的Gmail中。即日起該功能就會部署到Rapid Release網域，從4月30日開始部署到Scheduled Release網域。</p> </div></div></div>
2020/4/17 17:15作者陳曉莉https://www.ithome.com.tw/news/137059
MIT AI研究預測：美國COVID-19感染規模，將在4月中下旬減緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.mit.edu/2020/new-model-quantifies-impact-quarantine-measures-covid-19-spread-0416" target="_blank">麻省理工學院（MIT）本周公布</a>首個以AI模型而未使用歷史資料建立的預測模型，推估社交距離（Social distancing）措施，的確有助於減緩COVID-19病毒散布。同時AI模型也估計，美國感染人數將在4月15到20日間，來到高峰。</p> <p>相較於許多學者使用SARS及MERS時代的資料，建立武漢肺炎的預測模型，MIT的研究是第一個只使用武漢肺炎感染數據，結合神經網路來預測隔離措施的效果。由MIT公民與環境工程博士候選人Raj Dandekar，及機械工程教授George Barbastathis合作的研究小組，以一般疫情散播研究所用的SEIR模型為基礎。一般SEIR模型將人群分成S（susceptible）、E（expose）、E（infected）及R（recovered），但是他們以實際COVID-19的病例資料，來訓練神經網路。</p> <p>研究人員蒐集4個地區，包括美國、武漢、南韓和義大利的感染者人數各500名，並以這些資料來訓練神經網路，後者學習隔離措施下，感染者對感染速度的影響，進而發展出預測感染人數的能力。</p> <p>利用這套模型，研究小組發現，隔離措施和病毒有效複製量的減緩，有直接相關性。研究人員說，這套神經網路學習到「隔離控制力道」的概念。在南韓等及早實施高強度措施的地區，有較高的「隔離控制力道」，得以減緩新增感染數，因而很快就出現高原期。</p> <p>而美國或義大利則到3月中，才採行隔離措施，COVID-19病毒有效複製量較大，表示病毒成指數散布開來。</p> <p>MIT的AI模型也預測出美義兩國的感染高峰期發展。根據該模型，美國會在4月第一周，感染數由指數成長減緩為直線成長，美、義兩國皆會在4月15日到20日之間開始走緩。該模型還預測美國感染人數會達到60萬人後，才會開始減速。</p> <p>MIT這項預測，和美國華盛頓大學健康指標與評估研究院（Institute for Health Metrics and Evaluation）<a href="https://covid19.healthdata.org/united-states-of-america" target="_blank">的研究結果</a>相差不遠。</p> <p>Barbastathis警告，這表示如果太早放鬆管制，將會引發災難。研究人員說，只要看新加坡，就知道太早放鬆管制的結果。早期的優等生新加坡，本周出現第二波大爆發，一天之內突增數百起感染案例。</p> <p>研究小組計畫將模型，分享給其他人以協助防疫管制決策。</p> <p>根據約翰霍普金斯大學的<a href="https://coronavirus.jhu.edu/us-map" target="_blank">COVID-19感染地圖</a>，美國感染速度是否能在本周減緩，值得觀察，截至今（17）日，美國確診人數已超過67萬。</p> </div></div></div>
2020/4/17 17:25作者林妍溱https://www.ithome.com.tw/news/137060
Libra協會讓步：修改白皮書，推出對應單一貨幣的穩定幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（Facebook）在去年6月所發表的加密貨幣Libra，由於受到各國政府與各大銀行的抵制，使得它幾乎寸步難行，為此，支撐該貨幣的Libra協會（Libra Association）在本周更新了<a href="https://libra.org/en-US/white-paper/#cover-letter" target="_blank">Libra白皮書</a>，宣布除了支援多貨幣的Libra幣之外，也將推出可對應單一貨幣的穩定幣，並已向瑞士金融市場監督管理局（Swiss Financial Markets Supervisory Authority，FINMA）申請支付系統的經營授權，可說是Libra正式踏出的第一步。</p> <p>Libra白皮書主要修改四大部份，一是提供基於單一貨幣的穩定幣，二是建立符合各國法規的框架來強化Libra支付系統的安全性，三是放棄未來將轉型為開放式區塊鏈系統（permissionless system）的計畫，四則是替Libra儲備金建置強大的保護。</p> <p>上述修改的部份，都是Libra協會在這半年多以來到處碰壁，在與監管機關或金融專家協商與諮詢過後的結果。</p> <p>最初Libra幣（≋LBR）的設計是一次可對應不同的貨幣，但現在將推出鎖定單一貨幣的穩定幣，像是對應美元的LibraUSD（≋USD），對應歐元的LibraEUR（≋EUR），對應英鎊的LibraGBP（≋GBP），或是對應新加坡元的LibraSGD（≋SGD），此舉將允許在具備單一穩定幣的地區與企業，可以直接利用當地貨幣存取穩定幣。</p> <p>Libra協會解釋，Libra網路一直都是為了要輔助法定貨幣，而非與法定貨幣競爭，然而，大家對一籃子Libra幣的最大顧慮是，當Libra網路達到一定的規模，以及有大量的國內交易都以Libra幣進行時，它可能會干擾各國的貨幣主權與貨幣政策，因此，該協會決定擴大Libra網路，納入單一貨幣的穩定幣。</p> <p>這意味著Libra協會並不打算放棄一籃子貨幣，而是額外推出對應單一貨幣的Libra穩定幣，未來的一籃子貨幣將可作為跨境結算幣，或者是在缺乏單一貨幣穩定幣的地區，成為中性與低波動的選擇。</p> <p><a href="https://www.coindesk.com/libra-scales-back-global-currency-ambitions-in-concession-to-regulators" target="_blank">CoinDesk則分析</a>，此一改變代表銀行不會直接交易一籃子Libra幣，而是以新的穩定幣為中介，將大幅限制Libra的彈性。</p> <p>除了推出穩定幣之外，Libra協會的另一個重要讓步，是取消讓Libra網路成為開放性區塊鏈系統的計畫，原本該協會希望最終能讓所有人，都能在Libra網路上建置服務，但監管機構擔心這將使得Libra網路，成為恐怖份子或其它惡意份子的天堂。現在Libra協會則決定，讓Libra網路成為一個封閉的系統，只有取得許可的合作夥伴，才能在其上打造各種服務。</p> <p>當臉書在去年6月18日發表Libra幣時，原本有27家業者準備加入Libra協會，但因爭議不斷，使得Libra協會在10月15日正式成立時，只剩21家支持者，現在該協會<a href="https://libra.org/en-US/association/#the_members" target="_blank">則有22家成員</a>。</p> </div></div></div>
2020/4/17 16:55作者陳曉莉https://www.ithome.com.tw/news/137057
Container周報第126期：新版Rancer可支援10萬節點，K8s開始測試API優先權控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#B22222;"><strong>4/2~4/14 精選容器新聞</strong></span></h3> <h3><strong style="color: rgb(0, 0, 255); font-size: 13px;">#API優先權 #K8s新功能</strong></h3> <h3><span style="color:#FF8C00;"><strong>K8s 1.18版暗藏未來關鍵新功能，API優先權新設計初測中</strong></span></h3> <p>3月中釋出的K8s 1.18版中，一口氣多了38項新功能，其中只有15項是正式功能，其他大多是測試功能，甚至有12項是實驗性高的Alpha版初測功能。三位來自Google、螞蟻金服和IBM的工程師，最近特別在K8s官網揭露一個1.18版中新加入的重要功能：API優先權和公平性（API Priority And Fairness）設計，這就是Alpha功能中，少人注意到但影響深遠的改變。這個功能主要用途是讓叢集管理員設計不同的優先權重等級，負責管理K8s所有API的伺服器，每收到任何API呼叫請求時，就會依據這次呼叫所屬的等級，來分配所能得到的流通量。</p> <p>API伺服器可以用來控制變動或讀取量的上限，來避免主機CPU或記憶體超載的把關者，但是，目前K8s的設計上，只能區分異動用請求和唯讀用的請求這兩大類，而無法進行更細緻的調控，所以，常會出現某一種使用情境的請求特別高的情況。簡單來說，若某一個K8s服務的請求大增，一旦塞爆了這個控制所有API的API伺服器，就會連帶地影響了其他K8s內部服務的呼叫，例如影響到系統控制器的運作，或是一兩個故障節點連續狂送請求，可能就會導致整座叢集大塞車，其實塞住的是那個扮演交流道功能，負責指揮的API伺服器。</p> <p>這個新增的API優先權和公平性設計，可以建立一個流量架構（Flow Schema），來定義不同的流量指標所能擁有的優先權等級。API伺服器再依據不同的等級來安排API呼叫的執行順序，另外，執行完一次請求要挑選下一次要執行的請求時，也會使用一個公平性演算法來檢查，避免某些重要的請求一直被塞在後面而無法執行，進而影響了整體叢集的運作。</p> <p>目前，這樣的API優先權設計還有一些不足的機制有待開發，例如對於還必須修改系統監控機制的支援，讓這樣的API優先等級的影響，也能反映到是視覺化監控報表上呈現，這也是下一版要先改良的地方。</p> <h3><span style="color: rgb(0, 0, 255);"><strong>#K8s管理 #資安掃描</strong></span><br /><span style="color: rgb(255, 140, 0);"><strong>Rancher小改版，可支援到2千叢集十萬節點，未來目標是百萬叢集</strong></span></h3> <p>K8s管理平臺<a href="https://www.ithome.com.tw/news/136709">Rancher最近釋出2.4新版</a>，再次提高擴充能力，這次改版後可支援到2千個叢集，最多共10萬個節點，目前架構設計上，也以百萬叢集為目標來考量。另外也增加了遠端升級功能，可由本地端K3s叢集來決定是否自動升級。另外，新版也開始支援不關機維護機制，可以在不影響應用程式的情況下，來升級K8s叢集。另外一個新特色是，引進了CIS資安掃描，利用公開的100項CIS資安指標，來檢查RKE叢集的資安問題。新版也提供了一個AWS實例的安裝部署套件，方便企業快速建議一個全功能的Rancher伺服器，可達99.9%的服務水準，但若部署在其他雲端平臺則無法保證SLA，如GKE和AKS。</p> <h3><span style="color:#0000FF;"><strong>#AIOps #雲端成本管控</strong></span><br /><span style="color:#FF8C00;"><strong>雲端AI優化工具推出3個月免費，靠AI自動調校K8s工作負載</strong></span></h3> <p>一家AIOps雲端優化業者<a href="https://www.opsani.com/">Opsani</a>宣布，因應疫情推出3個月免費服務，可用AI技術來優化企業部署在雲端的K8s，自動調度到效能夠用但更便宜的部署環境，來降低企業租用雲端服務的成本。這項服務主要利用AI來追蹤不同K8s應用的執行效能，再依據應用所需的CPU和記憶體用量，將工作量動態調度到成本較低的執行環境，也可協助優化JVM等中介軟體的配置。這個AIOps工具也可整合到常見的DevOps工具鏈的服務或監控服務，例如GitHub、Terraform、Jenkins、Prometheus等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AIOps_%E5%9C%96%E7%89%87%E4%BE%86%E5%85%83_Opsani.jpg" /></p> <h3><span style="color:#0000FF;"><strong>#PaaS,#SAP,#IBM</strong></span><br /><span style="color:#FF8C00;"><strong>CloudFoundry基金會開始認證K8s作為CFP內建容器管理平臺</strong></span></h3> <p>不少雲端PaaS業者採用Cloud Foundry的PaaS作為應用層平臺軟體，例如IBM、SAP，當然還有VMware的雲端平臺都使用了Cloud Foundry PaaS來建置。最近，Cloud Foundry基金會宣布，將開始認證K8s可以作為CF PaaS的內建容器管理平臺，可以用來取代他們原本的Diego容器管理平臺。原本就已經採用Digo的企業，仍舊可以繼續使用，但新的K8s認證措施，也意味著Cloud Foundry PaaS也開始大舉向K8s靠攏了。</p> <h3><span style="color:#0000FF;"><strong>#ECS #EFS #AWS Fargate</strong></span><br /><span style="color:#FF8C00;"><strong>AWS雲端容器服務小更新，強化對自家雲端儲存EFS的支援</strong></span></h3> <p>最近AWS雲端容器服務ECS有項小幅更新，強化對雲端檔案儲存服務EFS的支援，讓靜態容器應用，更容易透過EFS來跨區域部署。另外，AWS也同步更新Fargate容器代管服務對EFS的支援，並且改用Containerd來取代相對較複雜的Docker Engine，來提高容器核心引擎的執行效率。不過，目前這兩項更新都仍是預覽版本。</p> <h3><span style="color:#0000FF;"><strong>#持續派送 #Argo</strong></span><br /><span style="color:#FF8C00;"><strong>CNCF孵化專案又多了一款持續派送平臺Argo</strong></span></h3> <p>最近CNCF同意持續派送平臺Argo專案的加入，成為孵化專案之一。Argo是一組Kubernetes原生工具，可用來執行和管理在Kubernetes上運作的應用程式與工作，Argo專案是由一間名為Applatix的企業，在2017年時創建，Applatix在2018年的時候被Intuit收購，之後BlackRock也加入貢獻Argo專案的行列，並且與Applatix共同積極發展專案以及經營社群。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Argo.jpg" /></p> <h3><strong><span style="color:#0000FF;">#Krustlet #Virtual Kubelet</span><br /><span style="color:#FF8C00;">在K8s上部署WebAssembly應用有新工具</span></strong></h3> <p>開發者將應用程式編譯成WebAssembly後，可以利用一個新興的部署工具Krustlet工具來部署。Krustlet的設計類似Virtual Kubelet，可以從Kubernetes API事件串流中監聽新的Pod；Virtual Kubelet是一個開源Kubelet實作，而Kubelet則是Kubernetes叢集的必要元件，叢集中每個節點都會啟動Kubelet，來處理主節點派送的任務，以及管理節點上的Pod。</p> <h3><strong><span style="color:#0000FF;">#應用程式交付 #Dragonfly</span><br /><span style="color:#FF8C00;">K8s雲端檔案發布系統Dragonfly正式進入CNCF孵化器</span></strong></h3> <p>由阿里巴巴集團貢獻的Dragonfly專案，正式進入CNCF孵化器階段。這是一個K8s專用的雲端原生映像檔和檔案發布系統，也是阿里巴巴容器平臺中的骨幹技術，每年支援數十億次的應用程式交付。Dragonfly在2018年的時候被CNCF沙盒接收，並被中國移動、滴滴和螞蟻金服等企業採用。透過P2P映像檔和檔案發布協定，Dragonfly能有效減輕映像檔註冊表和網路的負載，以提升使用者體驗，由於P2P技術可以充分利用每個同儕的頻寬資源提升下載速率，能節省大量的跨IDC頻寬以及昂貴的跨境頻寬。最新版本Dragonfly 1.0，已經用程式語言Go全部重寫，來提高雲端擴充性。</p> <h3><span style="color:#0000FF;"><strong>#Prometheus #日誌分析</strong></span><br /><span style="color:#FF8C00;"><strong>Grafana Lab推出Prometheus日誌分析平臺的企業級產品Cortex，自己先試用三年</strong></span></h3> <p>Grafana Lab釋出了Cortex 1.0，這是一款以Prometheus來打造的開源時間序列資料庫與監控系統，具有水平擴展架構，以及幾乎無限的留存資料能力，目前為CNCF沙盒專案。1.0增加了多個讓用戶更容易用於生產的改進，像是提供詳細的部署步驟，以及簡單入門模式。Grafana Lab自己在內部生產環境中用Cortex長達三年，如Grafana Cloud的託管日誌和指標平臺的後端都是Cortex。</p> <h3><span style="color:#0000FF;"><strong>#開源專案管理 #按功能付費</strong></span><br /><span style="color:#FF8C00;"><strong>GitHub核心功能全免費，私有儲存庫的協作人數不再有上限</strong></span></h3> <p>從「按私密性付費」（Pay by Privacy)，全球最大的開源專案代管平臺GitHub開始轉為按功能付費（Pay by Feature)的模式。最近GitHub執行長Nat Friedman宣布，核心功能將永久免費，尤其是原本私有專案的3名協作者上限，也取消，不再限制人數，現在改為以專案所用的儲存量來計算，免費版只能儲存500MB，超過得使用付費版，另外，免費版的Actions數量也只提供每月每分鐘2千次呼叫。原本付費使用開源Team版本的用戶，現在全部免費。不過，免費版只會提供社群支援，企業級支援得付費才有。</p> <p><strong>責任編輯／王宏仁 </strong></p> <p>更多Container相關動態</p> <p>-VMware修補vCenter Server高風險漏洞<br /> -Canonical推出應用託管服務，可代管10款應用上雲端</p> </div></div></div>
2020/4/17 15:01作者王宏仁https://www.ithome.com.tw/news/137050
Windows更新又導致Defender出錯？微軟緊急釋出新版Security Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10更新本周又傳出導致Microsoft Defender出現錯誤訊息，引起大批用戶抱怨，原來出在一個很小的問題上，不過微軟這次迅速解決問題。</p> <p>本周二微軟在Patch Tuesday釋出Windows 10更新KB4549951版後，<a href="https://answers.microsoft.com/en-us/windows/forum/all/windows-security/ab8265c2-4212-4575-bfa5-ea24d372c9e3?LastReply=true#LastReply" target="_blank">有用戶在微軟支援網站</a>上指出，其Microsoft/Windows Defender的病毒和威脅防護通知，出現「威脅服務已經停止，請立即重新啟動」、「發生意外錯誤。對不起，我們遇到問題，請重試一次。」的錯誤訊息。但是用戶重試後，卻沒有反應。<a href="https://www.reddit.com/r/Windows10/comments/g29z46/windows_defender_now_longer_working_after/" target="_blank">不少用戶也在Reddit論壇</a>反映類似問題。</p> <p>許多用戶以為又是Windows更新惹禍，但最後發現問題元兇，其實是周四稍早透過Windows Update自動更新的Security Intelligence 1.313.1638.0版。這使得Defender掃瞄到資料夾檔名中，內含副檔名前有2個點以上的檔案（如G.E.C.K..ink）時會當掉，造成Microsoft/Windows Defender無法掃瞄系統。</p> <p>只要將檔名改成1個點，問題就解決了。板上用戶對Defender會受到這麼小的問題而當掉，表示不可思議。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/windows-defender-broken-by-recent-updates-how-to-fix/" target="_blank">Bleeping Computer</a>報導，微軟周四已釋出Security Intelligence 1.313.1687.0版解決該問題。使用者可以循Windows Security>病毒&威脅防護，點擊「檢查更新」下載最新版本。</p> <p>這是Microsoft / Windows Defender一個月來第3次出包。<a href="https://www.ithome.com.tw/news/136513" target="_blank">3月底</a>Windows Defender在做例行性掃描時，自動跳過特定檢查項，還說是因為用戶設定排除網路掃描相關項目。<a href="https://www.ithome.com.tw/news/136941" target="_blank">本周</a>Microsoft Defender又把工具軟體Winaero Tweaker，誤判為有害程式。</p> </div></div></div>
2020/4/17 15:15作者林妍溱https://www.ithome.com.tw/news/137049
網路應用開發平臺Glitch推出訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路應用程式開發平臺Glitch，<a href="https://glitch.com/pricing" target="_blank">本周發表了該站的第一個訂閱服務</a>，提供更多的記憶體與儲存資源予付費的訂閱用戶。</p> <p>2017年創立的Glitch，允許使用者藉由該站撰寫或混合程式碼，進而發布機器、網路應用程式或各種專案，並提供512MB的記憶體空間及200MB的儲存空間，通常是一些範圍有限的小應用，但只要閒置5分鐘，就會進入休眠狀態，且重新喚醒也需要一些時間。此外，它每小時最多只能支援4千次的請求。不過，由於它是免費的，迄今已代管了超過500萬個程式與機器人。</p> <p>為了增進這些應用的效能，Glitch推出了訂閱服務，也是該站的第一個付費功能，只要每月支付10美元或一年支付96美元，就能使用2GB的記憶體與400MB的硬體空間，同時也不會再讓程式進入休眠狀態，並提供無限制的請求次數。</p> </div></div></div>
2020/4/17 13:30作者陳曉莉https://www.ithome.com.tw/news/137045
Verizon收購商用雲端視訊平臺服務商BlueJeans
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎大幅提升視訊會議軟體的重要性，<a href="https://www.verizon.com/about/news/verizon-business-enters-agreement-acquire-bluejeans" target="_blank">Verizon周四宣布</a>收購雲端視訊服務業者BlueJeans。</p> <p>這項收購案預計今年第2季完成。<a href="https://www.cnbc.com/2020/04/16/verizon-will-buy-video-conferencing-company-blue-jeans.html" target="_blank">根據CNBC</a>報導，雙方收購金額為4億美元。</p> <p>創立於2009年的Bluejeans提供雲端視訊服務，主打商用市場，<a href="https://www.crn.com/slide-shows/networking/240157961/the-10-coolest-networking-startups-of-2013-so-far.htm?pgno=6" target="_blank">曾被媒體</a>評為最酷的網路新創公司，客戶包括Salesforce、臉書、麻省理工學院（MIT）、Google、LinkedIn。在武漢肺炎期間許多公司被迫改為在家上班，Google及LinkedIn等，也都改用Bluejeans進行員工招募面試。</p> <p>這項收購將可強化Verizon的統合通訊（UC）服務產品線。Verizon商用部門執行長Tami Erwin表示，協同作業方式不斷變化，企業和公部門客戶有必要獲得能和現有工具無縫整合的企業級工具。在此之前，Verizon原本是銷售思科WebEx的整合通訊協同服務。此外BlueJeans也將整合Verizon的5G產品線，提供遠距醫療、遠距學習或現場服務等方案。</p> <p>Blue Jeans的視訊和協同工具，包括雲端會議及大型互動活動平臺，將整合到Verizon商用業務部門，而其員工也會合併入Verizon該部門。BlueJeans創辦人及管理團隊，也將一同加入Verizon。</p> <p>本收購案也有助於Verizon搶占水漲船高的視訊會議市場。從武漢肺炎以來，Zoom用戶三個月內由1千萬成長為2億，不料卻傳出客戶端軟體有漏洞、視訊會議易遭亂入等資安問題，先後遭紐約市、德國、澳洲、<a href="https://www.zdnet.com/article/brazilian-food-and-drug-regulator-bans-zoom/" target="_blank">巴西</a>、<a href="https://www.indiatoday.in/technology/features/story/indian-govt-advisory-says-avoid-using-zoom-why-and-what-to-do-if-you-have-to-use-zoom-1667631-2020-04-16" target="_blank">印度</a>、及臺灣公部門部分禁用。</p> </div></div></div>
2020/4/17 13:42作者林妍溱https://www.ithome.com.tw/news/137048