iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

勒索軟體攻擊超越金融卡竊盜，在去年成為最常見的網路攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.trustwave.com/en-us/company/newsroom/news/new-trustwave-report-reveals-cybersecurity-threats-becoming-pervasive-and-attacks-more-targeted/" target="_blank">Trustwave近日公布了2020年的全球安全報告</a>，透露出雲端服務已成為駭客鎖定的第三大攻擊目標，而且勒索軟體超越了金融卡竊盜，成為最受駭客青睞的攻擊目的。</p> <p>Trustwave的分析，是奠基在去年有紀錄的1兆筆安全事件，以及該公司所經手的數百筆資料外洩與鑑識調查、滲透測試、紅隊演練、網路漏洞掃描與內部研究。</p> <p>根據該報告，去年最常遭駭客鎖定的前三大攻擊目標，依序是企業環境，占了54%；電子商務網站，占了22%；以及雲端服務，占了20%。其中，企業環境指的主要是POS收銀系統，另外值得一提的是，這也是雲端服務首度躍升至該類別的第三名，2018年針對雲端服務展開攻擊的比例只有7%，卻在2019年大幅增加到20%。</p> <p>此外，駭客攻擊企業環境的主要目的為植入勒索軟體，攻擊電子商務網站及雲端服務的主要目的，則是竊取使用者的金融資料，而這也讓勒索軟體攻擊首度取代金融卡資料，成為最受駭客青睞的攻擊目的。統計顯示，在去年的所有的資安事件中，勒索軟體就占了18%，遠高於2018年的4%。</p> <p>至於去年駭客最愛使用的攻擊工具，為專門用來遞送酬載的Downloader或Dropper，占了24.9%，遠高於2018年的17.3%；居次的是遠端存取木馬，占15.5%；殭屍網路則占了7.9%。</p> <p>而以網頁為基礎的挖礦綁架攻擊在去年則幾乎消失，Trustwave認為這與挖礦服務Coinhive在去年初，<a href="https://www.ithome.com.tw/news/129030" target="_blank">宣布退出市場</a>有關，挖礦綁架惡意程式在2018年時，增加了1,250%。</p> <p>Windows依然是最受駭客青睞的作業系統，去年有69%的惡意程式都是鎖定Windows，居次的是跨平台的23%，還有8%鎖定Unix。令人吃驚的是，有67%的攻擊程式，開採了位於圖控軟體InduSoft Web Studio在2014年修補的CVE-2014-0780漏洞，該漏洞允許遠端駭客讀取程式檔案中的管理員密碼，再傳送網頁請求以執行任意程式。</p> <p>此外，亞太地區已連續第二年，成為全球最常發生資料外洩意外的地區，占全球資料外洩事件的37%，北美占了33%，歐洲／中東／非洲占了25%，拉丁美洲則僅占5%。</p> </div></div></div>
2020/4/24 11:15作者陳曉莉https://www.ithome.com.tw/news/137199
中型券商的逆襲！康和證券靠微秒交易處理速度決勝負
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「逐筆交易為證券商IT軍火競賽，鳴響了第一槍，往後，資訊的力量將更主導，誰能夠掌握資訊上的優勢，就更有競爭力。這是所有券商的挑戰，跟不上就可能被市場淘汰。」康和綜合證券資訊長張志堅道出他的觀察。</p> <p>逐筆交易新制增加了更多種股票買賣委託形式，但也帶來了最大的挑戰，影響了證券商幾乎所有的交易系統。張志堅提到，從市場價格欄位擴充、交易委託的電文格式、資料庫、後臺的下單風控主機、交易及帳務中臺、下單電子交易平臺、下單平臺介面等，全都要重新改過。逐筆交易與行情逐筆顯示，會造成成交回報的速度變快且變多，連帶行情報價資訊也會跟著變快、變多。</p> <p>這個變革對股民的衝擊程度不一，張志堅觀察，逐筆交易對於臺灣眾多小散戶不會造成太大的影響。反而是對高頻交易與程式交易投資人，也就是中實戶、大戶或法人的衝擊較大，他們在下單、取消單子，或是需要更快的訊息來進行整合或做策略判斷時，就得搭配高速的交易系統，才能夠辦到。</p> <p>在政府政策要求，新制度是非走不可的一條路，券商還是得同時提升通訊系統與資訊系統的投資。在通信系統部分，張志堅表示，證交所事前評估，逐筆交易的資訊流大約是以往的4倍，因此，線路頻寬增加成4倍，而且是整條通信線路的每一個處理端點上，從交換器、路由器到防火牆等，都要是原來資料處理的4倍能量。「為了因應逐筆交易新制的上路，讓每家證券商的資訊部門，簡直如臨大敵。」</p> <p>光在建置初期的採購，券商就感受到成本大增，不只高效率通信軟硬體要價不斐，線路頻寬更是一大成本，張志堅補充，即便因應此次逐筆交易，證交所向中華電信爭取到一個較好的頻寬方案來減輕券商負擔，但光是通信費用的增加，證券商的負擔就不輕。</p> <h3><span style="color:#FF8C00;"><strong>成交回報資訊流量為何暴增4倍？</strong></span></h3> <p>為何資訊流會暴增？得從資訊系統流程來看，一般的證券下單交易系統，投資人從下單AP或App送出一筆委託後，經過券商前臺的資訊伺服器閘道器，到處理交易與帳務的中臺，再到後臺的下單風控主機，再連線到證交所進行逐筆撮合後，再循原路徑透過券商將委託回報與成交回報傳給投資人。</p> <p>張志堅強調，這個雙向來回的過程，因為逐筆撮合與逐筆回報的關係，成交回報的資訊流量預估是以往的4倍。</p> <p>以往證交所是5秒鐘撮合一次，所以，每一檔股票5秒只會有一檔成交回報價回來，比如一股台積電是300元，5秒撮合一次的成交回報價就是300元。</p> <p>然而，逐筆交易新制則是隨到隨撮，意思就是每有一方買家與賣家可以媒合的價格出來，就會馬上撮合，所以，每一檔股票回來的成交回報價會不一樣，成交回報也會跟著變多。</p> <p>比如，投資人掛進10張台積電的股票，過往只能買到一個價格的股票，只會有一筆成交回報；現在逐筆交易新制後，投資人可能每一張的成交價格都不同，在295元到305元區間都有，每張交易結果不同，投資人就會收到多筆成交價格的回報。</p> <p>甚至最極致的情況下，張志堅提到，若出現快市的狀況下，投資人買100張股票，最多可能要回傳給100筆成交回報價。對券商全套系統的負擔也會變大，所以，在交易處理速度就得加快。</p> <p>甚至會出現一種滾雪球效應，他觀察，因為行情傳播變成即時更新，高頻交易投資人或程式交易投資人將會增加下單次數，可能帶來更大的委託量，再度讓委託回報次數增加。這正是最終導致了「4倍資訊流量」的原因。</p> <p>一般券商都有兩套以上的AP與App，再加上法人下單系統、營業員自行輸入用系統、Key-In（一般輸入用）、語音下單等系統，每一套系統幾乎有各自的專用前臺，這是券商主機數最多、最複雜的一塊。還要加上主要提供下單交易、驗章、帳務查詢服務的中臺，以及負責下單、風控、交易所連線的後臺。</p> <p>暴增資訊流影響了大量券商系統。張志堅指出，這些交易系統上，每個節點、每個主機、每個儲存，乃至每個資料處理的處理效能，都得要擴充到4倍。甚至，他認為：「 4倍是保守估計，」所以，康和綜合證券（簡稱康和證券）在主機、伺服器的處理速度，都擴充了5倍以上。</p> <p>其中最需要擴充的關鍵，他認為，後臺負責風控與交易所連線，是整個證券下單交易中最重要的環節。投資人下單要符合證交所規範、證券商內控、個股現況規定、投資人庫存等條件，才能準備下單到交易所。而與交易所連線時，則要按照交易所連線規範，掌握交易協定（TMP、FIX），讓投資人的委託單快速且無誤地傳到交易所完成委託，並快速地回傳委託與成交回報到後臺、中臺。</p> <p>「後臺需要有較大計算力的主機電腦來完成，也是各券商資訊重兵集結所在。」張志堅透露，因應此次逐筆交易，許多大型券商在後臺軟硬體的更新費用多達上億元，中小型券商也要花上千萬元。</p> <h3><span style="color:#FF8C00;"><strong>用開放式架構與開源軟體，自行開發新一代證券電子交易系統</strong></span></h3> <p>然而，像是康和證券這樣，沒有金控背景撐腰的中型券商，甚至是其他小型券商來說，因為獲利困難，要打贏這場資訊戰的同時，還得陷在成本與系統效能間，難以兩全的困境中。</p> <p>為了突破這個困境，4年前，康和證券做了一個大膽的決定，他們要用開放式架構與開源軟體，自行開發新一代證券電子交易系統，目標是兼顧成本與提升系統效能。花了3年半建置，終於在2019年1月正式上線，這是康和證券備戰逐筆交易制度的關鍵利器。</p> <p>趁著新一代系統砍掉重練，康和證券甚至更換了關鍵系統的開發語言。張志堅表示，臺灣證券商、期貨商後臺所用的風控系統較為老舊，就算使用新的電腦硬體，但是，資訊架構已是20年前的設計，它的程式語言也是30年前的COBOL、RPG，「這兩種程式語言已經不在學校正式課程教授有20年了，使得軟體開發人才難尋。」</p> <p>效力不佳、成本也很昂貴，所以，康和證券才毅然決然換掉老架構，也決定使用較易維護的C與C++程式語言，並且採用開放架構技術，包括數位系統、軟體開發環境、資料庫等，都完全使用開源技術來開發。張志堅認為，當前，開放式架構與開源軟體都已非常成熟，多方評估下才決定以新技術、新架構自行開發。</p> <p>現在，康和證券所有的軟體開發都是用開源軟體，從作業系統開始，軟體開發環境、程式語言、資料庫都是，「這是康和證券從上到下所展現的決心與能力，這也是目前所有新興科技開發資訊系統的方法。」他說。</p> <p>而且不只證券交易系統，包括權證交易造市系統也採用了開源軟體，就連自營交易系統，早在逐筆交易前，也用開源的程式語言汰換了原本的COBOL程式語言。康和證券的下一步，則是期貨交易系統，預計今年底可以進入測試，預計明年上線。</p> <p>張志堅更進一步揭露，以新技術、新架構自行開發帶來的好處是，新系統處理速度快了30倍，但軟硬體成本只有舊系統的十分之一，約莫200萬元即可重新打造一個系統，包括速度、容量、穩定度，都不會輸大型券商花了1億元開發的系統。</p> <p>康和證券新一代系統去年上線時，平均每筆交易下單包含後臺風險控管，「交易處理速度已可做到1.75毫秒。」在今年3月新制實施前，康和證券還繼續添購了新設備，CPU又比去年版本快了3倍。現在，「康和證券的交易處理速度已經進入了微秒，也就是百萬分之一秒的時代。」張志堅強調。</p> <p>他觀察，臺灣證券市場常見下單方式上，大約6、7成投資人透過電子下單，仍有3、4成使用人工管道。所以，康和證券另外在逐筆交易前，也做了一些額外調整，將電子交易以外的下單管道，像是投資人打電話進來下單、營業員自Key、人工Key-in等功能，從舊系統全數轉移到新版架構，全面改走新系統流程來提供下單服務。</p> <h3><span style="color:#FF8C00;"><strong>為打造新系統，不惜花一年半組織開源軟體開發團隊</strong></span></h3> <p>「為了打造新一代證券交易系統，一路走來歷經重重挑戰與困難，」張志堅甚至形容自己是「從一片荒蕪開始」。當年，他在公司內部提出全面開源的想法時，所有聽到的人都認為，這是不可能挑戰，他得一肩扛起新系統可能面臨的所有風險，甚至他一度也質疑是否要這樣做。</p> <p>不過，他沒有因此放棄，「如果跟別人走一樣的路，資訊成本也跟別人一樣，對中小型券商來說只有死路一條。」張志堅篤定地說。他仍深信唯有以經濟的成本來發展資訊，康和證券在未來才具有足夠的競爭力，也才可能打得贏這場仗，繼續存活下去。</p> <p>後來，張志堅大舉從外部尋找擅長開源軟體的開發人才，花了整整ㄧ年半，才組成了新系統的開發團隊，最後總共花三年半的時間，才完成新一代證券交易系統的建置。</p> <p>一開始上線時，擔心新系統的穩定性不足，也採取了新舊系統雙軌並行將近一年的時間，在測試階段就謹慎地分階段擴大規模，先由10人研發團隊利用新系統來下單測試，一個月之後再陸續擴張到資訊部、總公司，乃至康和證券北區、中區、南區的員工都進來測試，甚至還讓幾位大客戶下單測試速度，藉此從一次次測試中找出問題，逐步進行系統調校。</p> <p>新系統雖然速度快了許多，但他坦言，上線後的挑戰是系統穩定度，即便目前新系統運作順利，但康和證券仍不敢大意，仍盯緊系統穩定度來持續進行優化調校。未來，康和證券也會開始將AI列為發展重點，第一個應用就用來改善自營交易的操作，後續再逐步擴大應用到顧客端。文⊙李靜宜</p> </div></div></div>
2020/4/24 11:31作者李靜宜https://www.ithome.com.tw/news/137198
Google改善翻譯服務減少性別偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/04/a-scalable-approach-to-reducing-gender.html" target="_blank">Google改進翻譯服務</a>，使用新的方法來解決翻譯上的性別偏差，Google提到，比起過去舊的方法，新方法更具可擴展性，尤其在將性別中立的語言翻譯成英文的時候。Google目前在英文到西班牙文的翻譯中應用新方法，並且還計畫擴充芬蘭文、匈牙利文和波斯文和土耳其文到英文的性別翻譯功能。</p> <p>語言翻譯的機器學習模型，可能會因為訓練資料中存在的社會偏見而出現偏差，性別偏差就是其中一個例子，像是Google翻譯在翻譯土耳其文時，會將包含醫生的句子翻譯成陽性格式，而將護士翻譯成陰性格式。Google為了避免產生或是強化性別不平等偏差，因此會偵測性別中立的查詢，並且根據用戶的喜好，產生明確性別翻譯，在Google翻譯向不分性別的語言提供明確性別翻譯，使用者可以選擇獲得陽性或是陰性翻譯結果。</p> <p>Google過去分別在土耳其文到英文，以及英文到西班牙文提供性別翻譯功能，但隨著對更多語言應用提供性別翻譯服務，舊方法在擴展上出現問題，當神經機器翻譯系統獨立生成陽性和陰性翻譯時，會導致低召回率（Recall），超過40％的查詢無法顯示明確性別翻譯，此外，建立分類器偵測每種來源語言的性別中立性，需要大量的資料。</p> <p>為了解決這些問題，Google改進明確性別翻譯的方法，使用與舊方法完全不同的方式來解決性別偏差，新方法利用重寫方法，來改善性別翻譯的品質。基於重寫方法的明確性別翻譯，第一步是產生初始翻譯，接著對翻譯進行審查，當翻譯具有性別用語，則重寫成目標性別翻譯，最後評估精確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pipeline.png" style="width: 580px;" /></p> <p>而要建置重寫器，需要產生數百萬個訓練用範例短語，每個短語都包含男性和女性翻譯，由於這類資料集獲取不易，因此Google重新產生了一個資料集，可以對照陽性以及陰性用語，用來訓練模型，輸入男性用語時則可以轉換成女性用語，反之亦然，Google提到，最終模型能以99％精確度重寫成使用者要求的性別用語。</p> <p>另外，Google還設計了一個評估方法，來檢驗新翻譯系統和舊翻譯系統間的偏差改善程度，應用新系統則芬蘭文和波斯文到英文的翻譯偏差，可減少超過90％，土耳其文到英文翻譯則改善了95％的性別偏差，而且新系統還能以97％的精確度啟動性別翻譯功能。Google提到，他們會進一步將這項研究成果，應用在文件翻譯上。</p> </div></div></div>
2020/4/24 11:40作者李建興https://www.ithome.com.tw/news/137180
開源的Flutter UI框架已有超過200萬名用戶，Google公布社群輪廓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/flutter-spring-2020-update-f723d898d7af" target="_blank">Google本周宣布</a>，在2018年12月才推出穩定版的Flutter UI框架，迄今已有超過200萬用戶，而且每月平均用戶數接近50萬。</p> <p>Flutter為一開源的使用者介面軟體開發套件，可利用單一的程式庫開發支援Android、iOS、Windows、macOS、Linux及網頁的應用程式，它並非要取代既有的程式碼，而是與這些程式碼共生。</p> <p>在穩定版問世16個月以來，Flutter已經累積了200萬用戶，當中有60%是在Windows上開發，有27%在macOS上開發，也有13%以Linux來開發。使用族群中，有35%是在新創公司任職，有26%在大型企業工作，有19%為自僱者，還有7%替設計機構工作。</p> <p>此外，雖然大多數的Flutter用戶都使用穩定版，占了78%，但有11%使用測試版，另外的11%則使用更早期的dev及master版。全球的Flutter用戶主要位於印度、中國、美國、歐洲與巴西。</p> <p>迄今Google Play上已出版了5萬個基於Flutter的應用程式，而且開發人員在上個月就上傳了1萬個Flutter程式。在Flutter程式中最受歡迎的框架套件為http、shared_preferences、intl、meta、path_provider與pedantic；在Flutter程式中最熱門的第三方套件為provider、rxdart、cached_network_image、sqflite、font_awesome_flutter與flutter_launcher_icons。</p> <p>有鑑於Flutter的規模愈來愈大，Google也準備調整它的發表程序，從今年4月起採用分支模型，Flutter測試版及穩定版也將有固定的發表周期，4月的測試版將開始分支，並透過cherry-picking執行各種重大修補，每季再將現有的測試版提升為穩定版，必要的話還會對穩定版進行修補。</p> <p>此外，Flutter團隊架構現在已可支援針對不同分支的測試，因此除了可驗證各種cherrypick之外，也能根據嚴重性接受某些請求。而未來Flutter測試版，也會包含Dart元件的測試版。</p> <p>Google預計於下周發表新的Flutter穩定版。</p> </div></div></div>
2020/4/24 11:55作者陳曉莉https://www.ithome.com.tw/news/137200
中國網軍年後拼復工，以武漢肺炎議題為餌，鎖定臺灣政府和醫療智庫學者發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>即使世界因為武漢肺炎擴散，導致許多國家或城市被封鎖而暫停，但網路世界確依然熱鬧，TeamT5杜浦數位安全執行長蔡松廷（網路暱稱TT）於<strong><a href="https://www.facebook.com/ithomeonline/videos/968786646872330"><span style="color:#0000FF;">4月23日中午12點播出的「大話資安」節目</span></a></strong>中表示，從二月開始，中國傳統APT攻擊的網軍開始攻擊臺灣政府部門，但4月7日則以武漢肺炎籌組相關任務編組的郵件，寄送到特定的智庫和學者私人信箱。蔡松廷表示，從這陣子的網軍行為來看，可以證明，中國網軍復工後，對臺灣帶來的的威脅仍不可輕忽。</p> <p><span style="font-size:18px;"><span style="color:#0000FF;"><strong>武漢肺炎疫情蔓延，各種連網風險大增</strong></span></span></p> <p>蔡松廷表示，武漢肺炎全球大爆發以來，許多民眾都開始改用在家工作（Work From Home）的遠距上班模式，但也同時帶來相對應的風險，例如平常只有少數人透過VPN連到公司內網，當大家都必須透過VPN連線時，有時候也很難判斷哪一些是攻擊的連線，甚至連VPN設備本身也有漏洞，必須即時修補。因為在家工作而使用防護能力較差的家用電腦，風險較高外，一旦家中電腦爆發資安事件時，企業往往很難做到即時的資安事件調查（Instant Response，IR）。</p> <p>他指出，武漢肺炎也對許多產業帶來很大的衝擊，許多企業的IT預算甚至資安預算是否會在這一波經濟衝擊中被削減，值得關注。</p> <p>在疫情期間，各行各業連個人對於網路依賴越來越深，蔡松廷認為，這雖然帶來很大的風險，也同時帶來機會；不過，他也坦言，因為大家都持續關注武漢肺炎的發展，這也使得武漢肺炎相關的資訊，成為網軍攻擊利用最有效的社交工程手法之一。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>中國網軍鎖定臺灣政府和民間智庫發動攻擊</strong></span></span></p> <p>以前的網軍攻擊看得出來一些規律，像是，蔡松廷說，在農曆年間，網軍也都會過年放假，減少網路攻擊，但農曆年後，當大家都回到工作崗位繼續上班後，網軍們就會開始新一波的攻擊。」他進一步指出，這次中國在1月23日武漢封城後，從收集到的網軍樣本來看，網軍也整整休假四周之久，而網軍開始復工之後的攻擊數量，也比過往農曆年後的攻擊數量大幅減少。</p> <p>他舉例指出，1月29日，第一波的網軍攻擊則是印度網軍攻擊中國，便利用中國衛生健康委員會發出的「武漢旅行信息收集申請表」作為誘餌文件，「當時武漢封城，進出受到管制，這就是百分之百針對中國的網路攻擊。」蔡松廷說道。</p> <p>之後二月也開始巴基斯坦網軍攻打死對頭印度，俄羅斯網軍攻擊烏克蘭，中國網軍攻擊蒙古等網路攻擊事件。</p> <p>但要怎麼確定中國網軍對臺灣攻擊已經恢復了呢？蔡松廷表示，在2月27日有一個網軍集團Polaris，便以「社區傳播風險」的文件攻擊臺灣政府部門，「這也意味著中國網軍正式復工，」他說。</p> <p>三月，包括菲律賓、南韓等國都有遭到網軍攻擊，不過，4月7日中國網軍Polaris則針對臺灣智庫和生技醫療專家學者的私人信箱寄誘餌文件，內容寫明希望可以針對武漢肺炎帶來的影響以及後續的合作，相關收件者很容易就因為關注這個議題，而解壓縮郵件的附件文件。</p> <p>蔡松廷也說，目前利用Office漏洞去產生惡意文件的比例便利，更多是利用人性的漏洞，像是利用武漢肺炎的標題，就很容易吸引人點擊相關文件。假新聞利用人性漏洞去提供點閱率，但就像資安意識就是對抗這類網軍攻擊、社交工程郵件最有效的利器，如同要能夠辨別假新聞，最好的方式就是要培養思考辯證能力一樣，都是最難但卻有效的解決之道。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>鎖定醫療生技產業發動攻擊</strong></span></span></p> <p>當網軍恢復攻擊態勢後，國際疫情仍然持續爆發，蔡松廷也觀察到，武漢肺炎不僅成為各種社交工程郵件最有利的關鍵字外，也發現，已經有網軍開始針對醫療相關發動產業攻擊，包括忙著治療防疫的醫院、疫苗和快篩研究單位以及各種相關的生技公司等，都是接下來網軍鎖定攻擊的對象。</p> <p>此外，在家上班（WTH）會成為企業安全的挑戰，像是VPN設備和連線的安全性都必須考量外，也必須關注提供遠端工作的各種平臺，是否成為網軍攻擊的目標，其他包括各種資安漏洞的掌握、家中電腦安全防護等，對於企業和使用者而言，都是大挑戰。</p> <p>他也說，很多國家在經歷這一波武漢肺炎的疫情後，開始思考要求各國重要產業，必須把相關的供應鏈工廠的風險做分散，撤離中國或者是分散到其他國家，而這樣的作為則會引發各種網路間諜事件。</p> <p>畢竟，為了了解各國政府或重要企業「撤離中國」、「分散供應鏈」等動態與策略發展，必須要即時掌握相關情資。他預測，接下來很多國際事件，例如：美國總統大選、各方國際角力、美中貿易大戰、香港反送中事件等，都會引發各種網路間諜事件，從國家、企業到個人面對的資安風險和挑戰也會越來越大。</p> <p>網路間諜除了偷資料，也有利於各種社群操弄（InfoOps）假新聞、假資訊的散布，蔡松廷說，尤其未來偷取真實資料但在網路公開時，各種真實文件夾雜假訊息的時候，大家不僅更容易相信也更難判斷真假。因此，他也說，未來避免雞蛋不要放在同一個籃子中的分散風險，加上掌握重要情資，都有助於做對決策。</p> <p> </p> </div></div></div>
2020/4/23 21:26作者黃彥棻https://www.ithome.com.tw/news/137187
資安一周第90期：Tomcat Ghostcat漏洞影響受關注。另起焦點事件是調查局與微軟聯手破獲非法VPN並發現源頭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h1><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0416-0422一定要看的資安新聞</strong></h1> <p> </p> <h3><span style="color:#B22222;"><strong>開源軟體安全</strong></span></h3> <h2><strong>Tomcat存在Ghostcat漏洞，有中國駭客在臺灣校園網站上傳 BiFrost後門程式 </strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Tomcat%20Server%E5%AD%98%E5%9C%A8Ghostcat%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／TeamT5</span></p> <p>近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是因為該漏洞受到利用所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，國內安業者發現許多企業的Tomcat Server具有該漏洞，未即時修補。此外，該漏洞也波及多個Linux平臺，因而陸續修補，就連商用軟體也受影響。<a href="https://www.ithome.com.tw/news/137074"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>殭屍網路</strong></span></h3> <h2><strong>調查局與微軟合作拿下非法VPN與殭屍網路，源頭竟是一個LED燈控制器</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%AA%BF%E6%9F%A5%E5%B1%80.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／法務部調查局</span></p> <p>在今年3月，微軟宣布與35國警方與安全業者共同破獲Necurs，臺灣執法單位也名列其中，不過，其實調查局在去年就與微軟合作採取行動。在去年7月8日，調查局接獲臺灣微軟數位安全中心（Digital Crimes Unit，DCU）通報，得知臺灣政府網路IP位址（117.56.xxx.xxx）可能感染Necrus，進而追蹤此一非法的VPN IP位址，查出攻擊所在是北臺灣鄉下的圖書館大樓內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置，調查局在分析調查後將它關閉，阻止該IP與裝置繼續成為攻擊跳板。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/137154">更多內容</a> <a href="https://www.ithome.com.tw/news/137110">更多內容</a> </span></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>MITRE ATT&CK</strong></span></h3> <h2><strong>第二輪MITRE ATT&CK評估計畫結果出爐，臺灣資安廠商也入列</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%EF%BC%86CK_2nd%20Round%20Evaluations_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／擷取自MITRE ATT&CK's Twitter</span></p> <p>MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架，而他們發起的ATT&CK評估（ATT &CK Evaluations）也越來越受到資安業者的響應與認可，在今年4月22日，MITRE公布了第二輪針對APT29的評估計畫結果，這回共有21家資安業者參與，比第一回合更多（初期7家參與、後續5家跟進），特別的是，臺灣資安新創公司奧義智慧，以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布，不論是企業或資安業者，都將能藉此衡量EDR的偵測能力與覆蓋範圍。</p> <p>值得一提的是，兩個月前MITRE也已表示將持續推動這項計畫，希望能藉由透明的評估過程，幫助用戶評估端點檢測工具，他們並公布了新一輪評估計畫，將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。<a href="https://twitter.com/MITREattack/status/1252635963479777288"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　Zoom</strong></span></h3> <h2><strong>傳出Zoom零時差漏洞攻擊程式正在黑市販售</strong></h2> <p>雲端視訊會議Zoom的爆紅，讓全球駭客都在找這套平臺的安全漏洞，近期國外媒體Motherboard爆料，指出已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom用戶端程式，其中Windows版Zoom的攻擊程式，可用來執行遠端程式攻擊，需搭配其他的漏洞才能控制整個受害系統，同時也要加入到Zoom的會議中，但由於這個零時差漏洞尚未被揭露，因此駭客開價高達50萬美元。<a href="https://www.ithome.com.tw/news/137044"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>微軟Patch Tuesday</strong></span></h3> <h2><strong>本月微軟共修補113個零時差漏洞，其中有3個已遭成功利用</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9FPatch%20Tuesday%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%93%B7%E5%8F%96%E8%87%AAZDI.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自ZDI</span></p> <p>微軟在4月例行性漏洞修補，總計修補了113個安全漏洞，其中有17個屬於重大等級，並且有3個漏洞要特別注意，因為已經被駭客成功利用，分別是CVE-2020-1020、CVE-2020-0938與CVE-2020-1027，前兩個漏洞是關於Adobe Type Manager Library無法正確處理特製字型，後者則是WindowsKernel的權限擴張漏洞。同時，漏洞懸賞平臺ZDI也對這次更新內容，指出有兩個漏洞需先考慮優先修補，一個是DNS服務阻斷漏洞CVE-2020-0993，另一個則是可繞過Token機制的CVE-2020-0981。<a href="https://www.ithome.com.tw/news/136999"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　vCenter Server</strong></span></h3> <h2><strong>VMware修補企業虛擬化解決方案高風險漏洞</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89VMware%20vCenter%20Server%E9%87%8D%E5%A4%A7%E4%BF%AE%E8%A3%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAVMware.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自VMware</span></p> <p>近日VMware針對vCenter Server上的高風險漏洞發布修補，他們指出該產品具有CVE-2020-3952弱點，肇因於VMware Directory Service（vmdir）無法正確實現存取控制，一旦遭成功濫用，將讓駭客得以竊取機密資訊，是CVSS v3.1評估為10分的最高風險漏洞。美國電腦緊急應變小組（USCERT）也已針對該漏洞提出警告，呼籲使用者應儘速部署必要更新。<a href="https://www.ithome.com.tw/news/136958"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>資料外洩</strong></span></h3> <h2><strong>透過風扇震動竊取不連網PC的資料，大學研究人員展示攻擊新手法</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AiR%20ViBeR_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ben%20Gurion%20University%20Cyber%20Security%20Labs.jpg" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Ben Gurion University Cyber Secuirty Labs' Youtube</span></p> <p>即使不連網的PC也還是有可能被駭客竊取資訊，以色列本古里安大學網路安全研究中心教授Mordechai Guri的團隊，近日展示了新式攻擊手法，只要先在電腦內安裝惡意軟體，使其不斷改變風扇轉速，可對桌面產生不同頻率的震動，接著，攻擊者需要搭配能偵測震動的裝置，例如，透過智慧型手機將震動頻率解析成資料，隨後攻擊者再透過手機瀏覽器的JavaScript接收手機的感測器資訊，再以手機網路把資料傳送到遠端駭客。<a href="https://www.ithome.com.tw/news/137125"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BGP安全　RPKI</strong></span></h3> <h2><strong>避免BGP路由遭到綁架，Cloudflare推出可檢查ISP安全的公鑰網站</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89blogpost2-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Cloudflare</span></p> <p>為了改善BGP的安全性，業界提出了資源基礎架構（RPKI），近日Cloudfl are則是發布了Is BGP Safe Yet網站，可用來測試使用者的網路服務供應商，是否正確部署RPKI，以預防BGP外洩或挾持。根據Cloudflare的觀察，目前大約有50%的網路部署RPKI，並希望各界督促業者部署RPKI，共同來保障全球網路的健全。<a href="https://www.ithome.com.tw/news/137088"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BEC詐騙　SilverTerrier</strong></span></h3> <h2><strong>奈及利亞駭客組織的BEC詐騙攻擊盯上臺灣，去年受攻擊程度居北亞之冠</strong></h2> <p>商業電子郵件詐騙（BEC）持續鎖定全球，而臺灣比其他地區面臨更大風險，近期Palo Alto Networks公布一份BEC相關調查報告，是針對奈及利亞駭客組織SilverTerrier的活動進行分析。報告中指出，SilverTerrier在詐騙計畫與技術能力上變得更成熟，並有越來越多採用遠端管理工具（RA T）的現象，而這類為了讓BEC詐騙能更順利進行的惡意軟體部署，將是企業必須注意的最大威脅，此外，他們觀察到該組織在去年的攻擊比前一年度增加172%。</p> <p>特別的是，Unite 42副處長Jen Miller-Osborn近日提供了該組織在臺灣的攻擊統計數據，在2019年，他們共發現1,747個樣本，以及38,270次的攻擊，比起鄰近的中國、日本、香港與南韓都高，這樣的威脅現況值得注意。<span style="color: rgb(169, 169, 169);"><a href="https://unit42.paloaltonetworks.com/silverterrier-2019-update/">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>密碼安全　PTT</strong></span></h3> <h2><strong>PTT使用者反應帳號出現非本人嘗試登入行為，疑似對方利用自動化工具猜密碼</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%894%E6%9C%88%E4%B8%AD%E6%97%ACPTT%E5%B8%B3%E8%99%9F%E7%99%BB%E5%85%A5%E7%95%B0%E5%B8%B8s.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／iThome</span></p> <p>近一個月來，臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先，在今年3月底到4月初的期間，傳出第一波受害者，每次都是同個IP位址連續登入失敗三次，並且是在2到3秒內就完成，相隔沒幾天，又有不同IP位址嘗試登入。到了4月中旬，又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論對此事件，由於用戶每次登入PTT時，若是密碼錯誤，其實都會斷線並留下一次記錄，因此這樣短時間連續三次被嘗試密碼的情形，可能是有惡意人士或集團，透過自動化工具以密碼噴灑（Password Spraying）的攻擊方式，利用常見弱密碼嘗試進行盜取用戶帳號。<a href="https://www.ithome.com.tw/news/137175"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><span style="color:#0099ff;"><strong>更多資安動態</strong></span></h4> <p><a href="https://www.ithome.com.tw/news/137104">福特和福斯連網車輛傳嚴重漏洞，可能洩露個資、影響行車安全</a><br /><a href="https://www.ithome.com.tw/news/137112">大型IT服務業者Cognizant遭到Maze勒索軟體攻擊</a><br /><a href="https://www.ithome.com.tw/news/137095">美國國土安全部再次督促使用者修補Pulse Secure VPN漏洞</a><br /><a href="https://www.ithome.com.tw/news/137116">Dropbox曾私下找駭客調查Zoom的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/137076">Zoom的安全問題不只是漏洞，更是信任問題</a><br /> </p> </div></div></div>
2020/4/23 17:54作者羅正漢https://www.ithome.com.tw/news/137184
疫情過後的新常態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個禮拜，歐美媒體如CNN電視臺、富比士雜誌、衛報，以及哈佛商業評論，都開始用一個名詞「New Normal」（新常態），來形容武漢肺炎（COVID-19）疫情過後的世界。</p> <p>新常態原本是經濟和商業領域的用詞，過去常用來形容2007～2008年金融海嘯，以及2008～2012年全球經濟大衰退之後的日子。原本的日常生活，受到金融海嘯或大衰退而不正常，就算衝擊過了，生活回歸正軌，但已不再是跟以前同樣的生活，而是新的一種「正常生活」。</p> <p>先前是因為全球性的經濟衝擊，但這次，則是武漢肺炎全球疫情帶來的影響。</p> <p>儘管疫情到了4月下旬，還在持續發威，但是這些媒體，已經開始預測全球疫情過後，日子回不去了。生活總是會往前走，關鍵是會如何改變？</p> <p>世界衛生組織（WHO）歐洲區總監Hans Kluge的觀察，點出了最核心的改變。他在4月16日於WHO歐洲官網上說，疫情仍有許多複雜性和不確定性，需要毅力和耐心，沒有回歸日常的捷徑。所以，任何邁向新常態的作法，都必須遵循公共健康原則，再搭配經濟面以及社會面考量。</p> <p>公共健康原則，將成為每一個人日常生活的新指南，你不能只為自己，還得為他人而活。因為大規模傳染病真正的代價，不只是確診者的治療成本，而是人人都得為染病的風險付出代價。兩名學生確診，師大全校停課兩周。英國宣布全境封鎖3周時，確診人數約6千6百多人，但影響了6千多萬人非必要不能出門。對產業的衝擊更大，除了民生用品，其他百業全面蕭條。</p> <p>在有效疫苗問世之前，許多國家只能要求人們戴口罩和保持社交距離，來對抗疫情擴散，但是，一旦爆發社區感染後，人傳人風險值大增，就只能採取封城鎖國策略。</p> <p>為此，Google和蘋果聯手要開始打造，可匿名保護隱私的<a href="https://www.ithome.com.tw/news/136924" target="_blank">確診者接觸史比對技術</a>，預計5月中旬，內建到兩大手機平臺中，透過科技更精確找出高風險染病者成了新手段，只要找到接觸過確診者的少數人進行隔離就好，不需要人人都得居家隔離。</p> <p>臺灣也有類似技術，但4月底就會上線，行政院找來臺灣AI Labs開發的<a href="https://www.ithome.com.tw/news/136996" target="_blank">社交距離App</a>，就是這樣的工具，透過手機藍牙技術，彼此蒐集匿名化的接觸識別記錄，分散儲存到各自手機來避免隱私侵犯，搭配確診者自願公開的匿名識別記錄，就能判斷自己是不是接觸過確診者的高風險感染者。</p> <p>即使有種種高科技抗疫手段，沒人能預測，自己的員工會不會成為下一個確診者，只好先做好準備。</p> <p>遠端工作能力、大規模居家辦公機制、視訊會議工具、網路協作平臺、甚至數位銷售通路，都成了每一家企業現在必備的能力。</p> <p>網路趨勢女王Mary Meeker更在4月16日中，突然發布了一份武漢肺炎疫情衝擊的分析報告。在報告中指出，科學家、工程師和領域專家成為主角，尤其是創新的科技公司更是帶頭對抗疫情。居家辦公成為常見形式，讓工作和生活要重新拿捏平衡，企業數位轉型也會加速。</p> <p>她觀察，這波疫情將會促成企業大量將線下活動搬到線上，業務功能要能上雲，剛性需求產品更搶手，更容易線上曝光才能服務顧客，得用更少接觸的管道來派送產品給顧客，更有效數位化的生意才能變成產品，還要有更廣的社群媒體存在感等。</p> <p>就如同<a href="https://www.bondcap.com/report/onw/" target="_blank">這份報告用「我們的新世界」</a>（Our New World）為題來形容，我們熟悉的世界，將變成不同於過往的「新」模樣，「我們終究會度過疫情，但生活將不再一樣了。」</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/new-normal">New Normal</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E5%B8%B8%E6%85%8B">新常態</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2020/4/23 17:20作者王宏仁https://www.ithome.com.tw/voice/137181
Zoom發表強化安全及隱私的5.0版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的視訊會議平臺<a href="https://blog.zoom.us/wordpress/2020/04/22/zoom-hits-milestone-on-90-day-security-plan-releases-zoom-5-0/" target="_blank">Zoom在周三（4/22）宣布</a>，將於一周內釋出強化安全及隱私的Zoom 5.0版，該版本將全面升級為採用AES 256位元GCM加密標準，能夠保障會議數據的傳輸，並防止會議內容遭到篡改。</p> <p>不過，AES 256位元GCM加密標準，會在所有帳號都啟用GCM加密時才會生效，Zoom預計要在5月30日才會進行全面啟用。</p> <p>新版也允許帳號管理員設定會議所使用的資料中心區域，或是限制與會人員所使用的資料中心位置。</p> <p>未來Zoom的會議主持人將有更多的控制選項，包括可在會議選單上看到安全圖示，該功能集結了Zoom的所有安全設定，其中一項功能是能夠向Zoom檢舉惡意的使用者，或是關閉與會人員更改所使用的名稱，教育版則變更了螢幕分享的預設值，僅允許會議主持人分享螢幕。</p> <p>另外，不管是教育版、基本版或單一授權的Pro帳號，都已把等候室（Waiting Room）列為預設值，與會人員都必須先在等候室等待主持人批准，才能進入會議，主持人也可在進行會議時，開啟等候室。</p> <p>而基本版、單一授權的Pro帳號與K-12等客戶，現在則要求所有與會人員都必須輸入密碼才能進入會議，也允許帳號管理員規定密碼複雜度。</p> <p>而若要存取雲端會議紀錄，預設值也都要先輸入密碼。若身為商業版、大型企業版或教育版的管理人員，現在可在儀表盤上看到會議所連結的資料中心。</p> <p>Zoom表示，許多功能在本周就已上線，有些功能則要等到Zoom 5.0才能啟用，使用者可直接下載最新的Zoom版，或是藉由客戶端程式的更新功能進行升級。</p> </div></div></div>
2020/4/23 17:30作者陳曉莉https://www.ithome.com.tw/news/137183
Google減碳新方法，將運算工作排程至低碳供電時刻執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/inside-google/infrastructure/data-centers-work-harder-sun-shines-wind-blows">Google開發出新的永續碳智慧運算平臺</a>，並部署在自家超大規模資料中心，可自動將運算工作安排到風能與太陽能等低碳能源充足的時間執行。</p> <p>建置這個系統不需要增購額外的硬體，而且因為是改變非緊急運算工作的時間，所以也不會影響Google本身的服務，受調整的運算工作，諸如在Google相簿上創建新的過濾器功能，以及YouTube影片處理，還有在Google翻譯中增加新單字等。Google提到，永續碳智慧運算平臺可幫助他們減少電網的碳足跡，更接近全天無碳能源的目標。</p> <p>每天每個Google資料中心，都會以永續碳智慧運算平臺比較兩個預測結果，安排隔天運算工作，一種預測是由Google合作夥伴Tomorrow所提供，Tomorrow能預測隔天本地電網平均每小時的碳密集度，另一個預測資料則是來自於Google內部，預測隔天執行任務每小時所需要的電力資源；Google依據這兩個預測資料來最佳化每小時的工作排程，使得運算工作可以盡量在低碳電力供應時執行。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Low-carbon-energy-graphic_v05_Cropped.gif" style="width: 580px;" /></p> <p>經試驗結果證明，透過轉移運算工作，Google能夠增加低碳能源的使用量，（下圖）黃色虛線是原本運算工作基準，綠色實線則是經調整之後的工作負載，當灰色區域碳密集度較低時綠線較高，到了碳密集度較高時，綠線便顯著下降，Google提到，碳排較少的時間，通常在清晨或是傍晚的時候，因為風能最豐沛。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/BINK_carbonaware_linegraph_1_max-1000x1000.jpg" style="width: 580px;" /></p> <p>而目前第一階段碳智慧運算平臺，專注在最佳化分配同一個資料中心的任務，但是當運算工作能在不同資料中心轉移，才能最大化減碳效果，Google將透過控制在不同的地點與時間執行運算工作，最大程度減少二氧化碳排放量。Google之後會公開這個研究，讓更多組織也能夠智慧減碳。</p> </div></div></div>
2020/4/23 17:55作者李建興https://www.ithome.com.tw/news/137172
Google：至少有12個國家級駭客組織利用疫情展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/technology/safety-security/threat-analysis-group/findings-covid-19-and-online-security-threats/" target="_blank">Google透露</a>，最近有超過12個國家級駭客組織，利用武漢肺炎（COVID-19）疫情展開攻擊，以掩護它們的間諜行動，這些國家級駭客通常會鎖定特定目標，像是各國的衛生組織或是美國政府機關的員工。</p> <p>事實上，全球的駭客幾乎無不利用了武漢肺炎疫情來作為攻擊媒介，Google才在上周揭露，近來Gmail平均每天要封鎖1,800萬封與武漢肺炎有關的網釣或惡意郵件，以及攔截2.4億封與肺炎有關的垃圾郵件。</p> <p>而國家級駭客也不例外，同樣以肺炎為幌子來展開攻擊，企圖引誘受害者點選惡意連結或下載惡意檔案。其中有一個案例鎖定了美國政府機關的員工，駭客在所遞送的電子郵件中，宣稱自己是美國的快餐店，為了因應疫情而提供免費餐點與折價券，一旦使用者點選了郵件中的連結，就會被導向一個偽造的訂購頁面，要求使用者輸入Google憑證。</p> <p>還有兩個案例鎖定了各國的衛生組織。根據Google的分析，來自中東的駭客集團Charming Kitten與來自玻利維亞國家組織（ALBA）的Packrat，都建立了偽裝成世界衛生組織（WHO）的網站，然後寄送網釣郵件予各國或各地區的衛生組織，將使用者導向仿冒的WHO網站，並要求他們輸入自己組織登入WHO的憑證。</p> <p>在面對來自國家級駭客的攻擊時，Google一方面攔截了相關的攻擊活動，另一方面也會通知受到攻擊的用戶，此外，也針對約5萬個遭鎖定的高風險帳號，提高其登入及回復Google帳號的門檻。</p> <p>根據Google的統計，今年1月有4,164個帳號被國家級駭客鎖定，2月是4,154個帳號，3月則是3,538個帳號，雖然數字上的波動並不罕見，但Google猜測，也許駭客也如同一般組織一樣，在疫情期間的生產力受到限制。</p> </div></div></div>
2020/4/23 16:05作者陳曉莉https://www.ithome.com.tw/news/137176
疫情延燒資金不足，Magic Leaps裁員1千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2020-04-22/magic-leap-is-said-to-cut-half-of-jobs-in-major-restructuring?sref=ExbtjcSG" target="_blank">彭博</a>引述消息來源報導，一度因Google、阿里巴巴等公司投資，而眾所矚目的混合實境（MR）裝置廠商Magic Leap近日大規模重整，裁減約1千名員工，成為最新一波實施裁員的公司。隨後Magic Leap也<a href="https://www.magicleap.com/en-us/news/news/charting-a-new-course" target="_blank">在官網上證實</a>此事。</p> <p>彭博也報導，Magic Leaps也關閉消費應用，包括電玩及娛樂性的App開發部門，以便將重心聚焦到企業市場。</p> <p>Magic Leap執行長Rony Abovitz在官網上證實此消息。他指出，近來全球武漢肺炎（COVID-19）疫情導致經濟環境惡化，降低市場上可用資金及長期投資人的興趣。雖然公司領導團隊及投資人，仍然對其技術智財的長期潛力抱持信心，但短期內混合實境的機會應集中在企業市場，這使得該公司必須做出困難的決定，裁減一部份人力，以維持公司營運。他說裁員影響公司各個階層，大到其直屬的高層到工廠員工。</p> <p>Magic Leap指出，在調整事業策略重心後，該公司將減少投資成長遲緩的市場，集中火力尋找有潛力的應用情境，並確保Magic Leaps 2的推出。Abovitz沒有指出是何種企業應用，但彭博報導，Magic Leap近日已和一家大型醫療機構簽下合約。</p> <p>疫情恐怕只是Magic Leap大規模裁員的導火線。儘管該公司號稱其MR技術可讓虛擬影像和真實無法分辨，但是2018年推出的第一代產品僅數千臺，銷售遠不如預期。去年底《The Information》<a href="https://www.ithome.com.tw/news/134699" target="_blank">便報導</a>，Magic Leap已陷入裁員、人員流動、研發遲緩，使第二代產品不見天日。</p> </div></div></div>
2020/4/23 16:40作者林妍溱https://www.ithome.com.tw/news/137179
支援AWS的Google Anthos正式版上線，Azure版緊追在後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年公布混合／多雲應用平臺<a href="https://www.ithome.com.tw/news/129879" target="_blank">Anthos</a>，可整合Amazon Web Services（AWS）及Microsoft Azure。周三<a href="https://cloud.google.com/blog/topics/anthos/anthos-for-aws-is-now-ga" target="_blank">Google 宣布</a>Anthos已經正式支援AWS上線。</p> <p>Google首先於2018年發表Anthos，旨在讓用戶撰寫一次應用、包成容器後，即可以部署、執行在其他雲，包括Google Cloud、AWS、Azure及本地部署的資料中心上，並且從Anthos跨雲管理，而企業IT不必再學習不同環境及API。去年4月Google<a href="https://www.ithome.com.tw/news/129879" target="_blank">宣布Anthos多雲版本</a>，並釋出支援AWS 的Beta版。而在昨日宣布中，支援AWS的Anthos已經正式上線，可供企業管理Google Cloud及AWS上任務，或是本地部署在資料中心的現有應用。對Azure的支援則仍然為預覽版。<a href="https://www.zdnet.com/article/google-clouds-anthos-for-aws-generally-available-microsoft-azure-in-preview/" target="_blank">Google對ZDNet表示</a>，目前該公司正在和多家企業測試，很快就會正式推出。</p> <p>而Anthos最新版本也強化支援VM，新功能讓用戶可以Anthos管理框架延伸到現有環境下的多種作業。首先是Anthos Config Management，讓IT可以編寫程式，或採宣告（declarative）來管理Google Cloud的VM，一如管理自己的容器，以減少出錯、提升作業效率。未來幾個月內Anthos Service Mesh也將支援在VM內執行應用，以便在多種雲的異質化環境下管理服務。</p> <p>Google也預告，今年內可以在不需第三方Hypervisor情況下執行Anthos，將可進一步提高效能、降低成本及管理外部廠商的複雜性。而裸機執行的能力也讓Anthos可以提升邊緣網路能力，把應用部署到資料中心及公有雲以外的任何角落，像是零售店、分公司辦公室或遠端站點，還能提升應用效能。</p> <p><a href="https://cloud.google.com/blog/products/containers-kubernetes/migrate-for-anthos-1-3-accelerates-modernization" target="_blank">新版本也強化</a>Migrate for Anthos把VM轉換到容器的功能，可讓舊式應用轉到Kubernetes及Anthos，且緊密整合Anthos Service Mesh，支援本地部署環境的Anthos，還能把舊式Windows Server應用轉為容器應用。</p> </div></div></div>
2020/4/23 15:00作者林妍溱https://www.ithome.com.tw/news/137171
PTT使用者反應帳號出現非本人嘗試登入行為，疑似對方利用自動化工具猜密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近一個月來，臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先，在今年3月底到4月初的期間，傳出第一波受害者，每次都是同個IP位址連續登入失敗三次，並且是在2到3秒內就完成，相隔沒幾天，又有不同IP位址嘗試登入。到了4月中旬，又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論。</p> <p>對此事件，由於用戶每次登入PTT時，若是密碼錯誤，其實都會斷線並留下一次記錄，因此這樣短時間連續三次被嘗試密碼的情形，可能是有惡意人士或集團，透過自動化工具以密碼噴灑（Password Spraying）的攻擊方式，利用常見弱密碼嘗試進行盜取用戶帳號。</p> <p>基本上，PTT是臺灣極具影響力的網路社群之一，討論能見度高，相關資訊在PTT上傳播也容易受到民眾與社會新聞的注目，加上仍保持網路早期匿名制的特性，發言不易受限，且平臺用戶多集中在18～40歲之間，因此多年下來平臺依然維持相當活躍的情形。</p> <p>不過由於PTT新帳號註冊日益浮濫的問題，使得PTT官方在2018年9月正式宣布，停止新帳號的註冊，且至今仍未對外界開放，僅在上個月開放臺大學生以學生信箱註冊。因此，近日PTT上出現用戶帳號被自動化工具嘗試密碼的情況，值得各界注意，雖然目前未聽聞有網友受駭，而用戶也會在一上站就看到錯誤嘗試的記錄，而得到提醒，但這樣的自動化攻擊行為還是引發關注，則突顯了目前PTT帳號的價值，引人覬覦。</p> <p>而過去，其實也就曾有PTT帳號買賣的情況，以及使用多年帳號能賣出高價的消息。例如，在2019年7月時，由於逼近臺灣總統大選，因此官方將許多PTT最熱門討論區的發文門檻提高，也就是需要登入次數到達一定程度，才能在版上發文。而PTT官方也曾刪除多個曾在交易平臺出售過或出售中的帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-10_180259.jpg" style="width: 600px;" /></p> <blockquote><p>在登入PTT時發現有錯誤嘗試的記錄後，在4月10日於Google搜尋後，發現同期間其實有不少PTT用戶都發現有同樣的狀況，特別是3月底到4月初的這段期間。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89PTT%E5%B8%B3%E8%99%9F%E5%87%BA%E7%8F%BE%E9%9D%9E%E6%9C%AC%E4%BA%BA%E5%98%97%E8%A9%A6%E7%99%BB%E5%85%A5%E8%A1%8C%E7%82%BA.jpg" style="width: 600px;" /> </p> <blockquote><p>不僅是在3月底到4月初有一波被外人嘗試登入PTT帳號的情況，到了4月中旬，這樣的攻擊仍然持續發生。這樣的非法登入行為，幾乎都是在兩三秒內就出現了三次密碼嘗試的動作，而一般用戶登入失敗一次後，其實就會連線中斷，需要重新連線輸入帳號與密碼，顯然這是自動化工具所為。</p> </blockquote> </div></div></div>
2020/4/23 15:41作者羅正漢https://www.ithome.com.tw/news/137175
PyTorch更新1.5版本釋出開源模型伺服器TorchServe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pytorch.org/blog/pytorch-library-updates-new-model-serving-library/" target="_blank">深度學習函式庫PyTorch釋出了1.5版本</a>，新增了開源模型伺服器TorchServe，能夠高效能的提供PyTorch模型服務，並且整合TorchElastic和Kubernetes，讓分散式訓練更加自動化，此外，官方還釋出了torch_xla更新套件，讓PyTorch能良好地在Cloud TPU上運算。</p> <p>TorchServe是一個PyTorch模型服務函式庫，可以讓用戶簡單地大規模部署經訓練的PyTorch模型，且不需要撰寫自定義的程式碼。TorchServe是由AWS和臉書合作，成為PyTorch開源專案的一部分，加速用戶將模型投入生產階段的過程。</p> <p>TorchServe除了提供低延遲的預測API之外，還為物件偵測與文字分類等常用應用程式，嵌入預設的處理程式（Handler），此外，TorchServe的功能還包括了多模型服務、用於A/B測試的模型版本控制、日誌紀錄、監控指標，以及為應用程式整合創建的RESTful端點等。使用這個函式庫時，沒有任何對雲端平臺或環境的要求。現在已經釋出實驗版本。</p> <p>另一個PyTorch 1.5的重點，便是整合TorchElastic和Kubernetes。TorchElastic是個被臉書等企業用於內部，大規模訓練深層神經網路的函式庫，官方提到，這些企業的伺服器需要有動態適應能力，當新的運算資源上線時，要使其迅速可用並且能夠擴展，而透過雲端容器調度工具Kubernetes，就可讓企業使用諸如PyTorch等機器學習框架，執行分散在跨機群的訓練工作。</p> <p>但是分散式訓練工作具有不少限制，像是不具容錯能力，並且當節點故障或是回收中斷訓練，則該工作便無法繼續，訓練工作還必須要在獲取所有必須資源之後才能啟動，進行任何規模縮放都必須要重新啟動訓練作業。官方提到，缺乏彈性和靈活性的結果，就是讓訓練的時間增加，並且也提升了閒置資源的成本。</p> <p>而TorchElastic能提供容錯性和彈性，解除分散式訓練任務的限制，不過，Kubernetes使用者卻需要手動管理TorchElastic訓練工作所需要的Pod和服務，現在PyTorch 1.5整合TorchElastic和Kubernetes，PyTorch開發人員可在運算節點叢集上訓練機器學習模型，並進行動態更改而不會中斷訓練工作，TorchElastic和Kubernetes整合框架提供了原語和介面，讓開發人員可以開發跨機器執行的分散式PyTorch作業，並且不需要手動管理TorchElastic訓練作業。</p> <p>新版本torch_xla現在與PyTorch 1.5更緊密的整合，能減少開發時的摩擦；torch_xla是一個Python套件，以XLA線性代數編譯器，加速Cloud TPU和Cloud TPU Pod中的PyTorch深度學習框架運算。現在開發者可以使用新版torch_xla，利用PyTorch/XLA堆疊在Cloud TPU硬體上訓練模型，不只能在Google Colab的8核Cloud TPU裝置瀏覽器上使用，也能在Google Cloud上大規模應用。</p> </div></div></div>
2020/4/23 11:40作者李建興https://www.ithome.com.tw/news/137142
微軟更新VS Code Python擴充套件，支援ipywidgets控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-april-2020-release/" target="_blank">微軟發布了4月的VS Code Python擴充套件</a>，用戶已經可以從VS Code市集中下載，微軟提到，這是一個小更新版本，加入對Jupyter Notebook控制元件ipywidgets的支援，以及新除錯器可自動重載Django和Flask網頁應用程式。</p> <p>從Python擴充套件開始支援Jupyter Notebook之後，社群就不停在GitHub要求加入ipywidgets的支援，而微軟終於在這個版本實現了這個功能，在VS Code支援Jupyter Notebooks所有ipywidgets，開發者可以應用beakerX與bqplot等互動式函式庫，操作VS Code和Jupyter Notebooks中的資料。</p> <p>在3月的更新，微軟在Python擴充套件中新增Python除錯器debugpy，現在微軟改進debugpy，使其能即時重新載入Django和Flask等網頁應用程式，當開發者編輯應用程式時，不需要重新啟動除錯器就可應用更新，而且更新儲存後，在同一個除錯對話中，網頁伺服器也會自動重載。</p> </div></div></div>
2020/4/23 12:00作者李建興https://www.ithome.com.tw/news/137145
微軟緊急修補Office及小畫家3D的遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200004?ranMID=24542&ranEAID=IokOf8qagZo&ranSiteID=IokOf8qagZo-LorH75TOMrNNXxih0rIvFw&epi=IokOf8qagZo-LorH75TOMrNNXxih0rIvFw&irgwc=1&OCID=AID2000142_aff_7593_1243925&tduid=(ir__hxzf2lfk6kkfr1ifkk0sohzn0m2xnhuncwgltrsd00)(7593)(1243925)(IokOf8qagZo-LorH75TOMrNNXxih0rIvFw)()&irclickid=_hxzf2lfk6kkfr1ifkk0sohzn0m2xnhuncwgltrsd00" target="_blank">微軟本周緊急修補</a>了Microsoft Office與小畫家3D（Paint 3D）中的遠端程式攻擊漏洞，相關漏洞源自於這兩個微軟程式，整合了含有漏洞的Autodesk FBX函式庫。</p> <p>Autodesk是在上周公布旗下的FBX軟體開發套件的<a href="https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002" target="_blank">多個安全漏洞</a>，包含緩衝區溢位漏洞、類型混淆漏洞、釋放後使用漏洞、整數溢位漏洞、空指標提領漏洞，以及堆積溢位漏洞等，最嚴重的漏洞，將允許駭客自遠端執行任意程式。</p> <p>這使得微軟緊急修補了整合FBX函式庫的Office與小畫家3D軟體。微軟說明，這些軟體在處理特製的3D內容時，可能觸發多個遠端程式執行漏洞，成功開採相關漏洞的駭客，將能取得與本地端用戶一致的使用者權限。</p> <p>駭客則必須傳送一個含有3D內容的特製檔案，並說服使用者開啟，才能開採相關漏洞。</p> <p>受到波及的軟體涵蓋了Office 2016、Office 2019、Office 365 ProPlus與小畫家3D。</p> </div></div></div>
2020/4/23 14:40作者陳曉莉https://www.ithome.com.tw/news/137165
研究：iOS Mail App傳零時差漏洞 iOS 6以上皆有風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商ZecOps周三指出，<a href="https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/" target="_blank">iOS版Mail程式有零時差漏洞</a>，可能導致iPhone及iPad用戶被駭，他們相信已經有用戶遭到攻擊，且警告iOS 6以上的用戶都有風險。</p> <p>ZecOps發現iOS Mail中的MIME函式庫未對系統呼叫執行錯誤檢查，可能導致頻外寫入（OOB Write）漏洞，另一為遠端堆積緩衝溢位（Remote Heap Overflow），允許攻擊者於iPhone或iPad執行程式碼，使他們得以竊取、編輯或刪除電子郵件。根據研究人員掌握的資料，攻擊者可傳送有惡意附檔的郵件給用戶，在iOS 12的MobileMail App或是iOS 13的maild觸發漏洞。</p> <p>研究顯示這批漏洞相當危險。針對iOS 13的攻擊，甚至無需用戶開啟郵件便能觸發，且駭客可重覆感染裝置。在iOS 12上則需用戶點擊郵件，但只要預覽，不用開啟附檔即可見效。而且從郵件伺服器收到信之後卻消失來看，攻擊者可以遠端刪除郵件來隱匿行動。</p> <p>研究人員指出，這些漏洞各自存在時不會影響iOS用戶，因為駭客需要有別的漏洞來取得裝置控制權。但是他們也發現另一個可能讓駭客存取iOS裝置的核心漏洞，他們也懷疑攻擊者已經取得這類漏洞。</p> <p>他們偵測到兩個漏洞都已有攻擊行為發生，企業用戶、知名人物被駭了很長一段時間，最早可能追溯到2018年1月。這批受害者包括一家北美財星5百大企業的員工、一家日本電信高層、一名德國重要人物、沙國及以色列資訊安全代管業者（MSSP）及一名歐洲記者。安全公司說，這只是根據極少數資料分析得到的資訊，相信影響勢必更大。</p> <p>他們認為這些攻擊行為和至少和一個國家贊助的駭客組織有關，或是某國政府使用第三方廠商的概念驗證（POC）攻擊程式修改後發動攻擊。研究人員未指出駭客組織的身份，但表示至少有一家受僱駭客（hacker-for-hire）組織，正在兜售攻擊程式。</p> <p>幾乎所有iOS版本都受到影響，從2012年的iOS 6到最新的iOS 13.4.1，iOS 6時代主要銷售的是iPhone 5。更早之前的版本或許也有風險，但已不在研究人員測試範圍。根據安全廠商的資料，這些漏洞早在iOS 11.2.2甚至更早以前就被開採。</p> <p>蘋果未對此研究做出評論。<a href="https://www.bleepingcomputer.com/news/security/new-ios-zero-days-actively-used-against-high-profile-targets/" target="_blank">Bleeping Computer報導</a>，蘋果已在4月15日釋出<a href="https://developer.Apple.com/documentation/ios_ipados_release_notes/ios_ipados_13_4_5_beta_2_release_notes" target="_blank">iOS 13.4.5 Beta 2</a>，用戶應該很快就能接獲更新以修補零時差漏洞。</p> </div></div></div>
2020/4/23 13:40作者林妍溱https://www.ithome.com.tw/news/137163
武漢肺炎效應：3月美國遊戲機銷售量成長63%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在各國的居家防疫政策下，不管是影片串流、電子商務或是視訊會議服務都在最近大行其道，市場研究機構<a href="https://www.npd.com/wps/portal/npd/us/blog/2020/connections-and-community-animal-crossing-new-horizons-propels-the-us-video-game-market/" target="_blank">NPD Group也指出</a>，美國今年3月的遊戲機銷售量，比去年同期成長63%，遊戲軟體則成長34%，遊戲配件也成長了12%。</p> <p>根據NPD Group的調查，今年3月時，全美在遊戲機、遊戲軟體與遊戲配件的總支出為16億美元，讓該市場重返2008年時的榮景。</p> <p>遊戲分析師Mat Piscatella表示，社交距離與居家防疫對遊戲產業帶來正面的影響，而最受使用者歡迎的遊戲，則是任天堂所推出的《集合啦！動物森友會》（Animal Crossing: New Horizons），他認為時間點很重要，假設任天堂不是剛好在3月發表該遊戲，或者是該遊戲是在其它時候推出，都不會造成遊戲產業大幅成長或《集合啦！動物森友會》大賣的情況。</p> <p>因此，賣的最好的遊戲裝置也就是《集合啦！動物森友會》的獨家平臺Nintendo Switch，讓Nintendo Switch創下了新的3月銷售紀錄。</p> </div></div></div>
2020/4/23 12:30作者陳曉莉https://www.ithome.com.tw/news/137162
Nvidia與倫敦國王學院合作開源醫療影像用AI框架MONAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia與倫敦國王學院合作，推出了以PyTorch為基礎的<a href="https://blogs.nvidia.com/blog/2020/04/21/monai-open-source-framework-ai-healthcare/">MONAI</a>人工智慧框架，供研究人員使用深度學習技術開發醫療成像應用，MONAI為醫療領域的應用進行了最佳化，可以原生PyTorch範式，為醫療影像訓練工作流程開發，提供必要的基礎功能。這項專案目的是要建立一個可容納各方的人工智慧研究社群，交流人工智慧在醫療成像領域的最佳實踐。</p> <p>MONAI框架的主要目標，是要實現實驗的可重現性，以方便研究人員共享結果，共同發展最新技術。MONAI具有容易使用的特性，且因為針對醫療領域最佳化，MONAI能夠處理醫學影像的特殊元資訊、格式和解析度，在第一個釋出版本中，MONAI提供了特定領域的資料轉換、神經網路架構，以及可用來衡量醫學影像模型品質的評估方法。</p> <p>Nvidia提到，MONAI模組化的設計，可以讓研究人員靈活地自定義深度學習開發，不需要以端到端系統替換掉當前所有工作流程，像是研究人員可以利用MONAI程式碼進行資料預處理和轉換，接著切換到既有的人工智慧工作管線進行訓練。</p> <p>倫敦醫學影像和人工智慧中心技術長Jorge Cardoso表示，在MONAI之前，沒有一個夠靈活且可組合的框架，供研究人員進行創新醫學人工智慧研究，MONAI具備強健性、可測試性和必要文件，MONAI詳細的教學資源以及友善的API，可讓入門的研究人員，簡單地定義端到端的訓練工作流程。</p> <p>除了Nvidia與倫敦國王學院，現在參與MONAI開發的組織，還有德國癌症研究中心、MGH & BWH臨床資料科學中心、史丹佛大學、慕尼黑工業大學以及中科院。MONAI諮詢委員會主席Stephen Aylward表示，MONAI專案可以加快醫學影像人工智慧發展的步伐，提供專用於醫療成像應用的程式碼基礎。</p> <p>MONAI專案建立在Ignite和PyTorch深度學習框架之上，整合了資料處理、2D分類和3D分割等函式庫，Nvidia提到，研究人員可以簡單地在現有程式碼庫中整合MONAI，將模組化的元件整合進人工智慧工作流程中。現在研究人員已經可以在GitHub取得MONAI專案。</p> </div></div></div>
2020/4/23 12:45作者李建興https://www.ithome.com.tw/news/137144
Azure封存服務可讓用戶以高優先檢索快速取回資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/enhanced-features-in-azure-archive-storage-now-generally-available/" target="_blank">微軟更新其封存儲存體服務Azure Archive Storage</a>，現在提供高優先度檢索選項，用戶只要多支付一些費用，就能加快檢索離線資料的速度，另外，使用者現在也能直接選擇將Blob資料上傳至熱（Hot）、冷(Cool)或是封存（Archive）層，減少繁瑣的操作步驟。</p> <p>Azure Archive向用戶提供高優先檢索服務，讓用戶能夠從離線儲存層移動資料，標記為高優先等級，快速回到線上熱資料層或是冷資料層，用戶可支付較多的費用，提高檔案檢索請求，使離線資料在一個小時內重返線上。</p> <p>標準優先度是預設選項，檢索最多需要花費15個小時，而高優先度檢索則可將10 GB以下的Blob資料檢索時間，縮短至不到1小時，微軟提到，高優先度檢索功能可用在封存資料集的子資料集請求上，標準封存檢索能滿足多數情況，只有在極少數為維持業務連續性時，才需要用上高優先度檢索。</p> <p>現在使用者可以使用可選參數，將Blob資料上傳到選擇的存取層中，這樣無論帳戶的預設儲存層的設定為何，都可以直接上傳到目標資料層，微軟提到，這個功能讓用戶透過一次交易，就能將物件直接上傳到Azure Archive中，隨著資料使用方式改變，用戶可以利用API手動更改Blob的存取層。</p> <p>另外，Azure Archive現在還提供了一個Copy Blob API，讓用戶能夠將資料複製到同一帳戶的封存存取層中，並從中複製出資料，微軟提到，在部分情況下，用戶可能希望不要操作原本的資料，但又需要處理臨時資料副本，這項功能便可派上用場。</p> </div></div></div>
2020/4/23 13:00作者李建興https://www.ithome.com.tw/news/137157
Google Shopping將開放商家免費刊登
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/shopping/its-now-free-to-sell-on-google/" target="_blank">Google本周宣布</a>，隨著愈來愈多消費者透過網路購物，再加上武漢肺炎疫情讓電商更受歡迎，旗下的商品搜尋服務Google Shopping即將開放商家免費刊登。新的政策將在4月底前於美國先推行，並於今年底前擴大到其它市場。</p> <p>Google Shopping最早出現在2002年，它曾有許多不同的命名，包括Google Product Search、Google Products及Froogle等，早期它跟Google搜尋一樣，都是自動爬梳網路上的商品資訊，再供使用者搜尋，但在2012年改為付費刊登，只有付費的商家才能刊登商品，並出現在Google Shopping的搜尋結果中，迄今Google已在台灣等超過120個市場推出該服務。</p> <p>不過，Google宣布自下周起，Google Shopping上大多數的商品都會是免費刊登，一來可協助商家與消費者建立連結，二來消費者將能透過該服務找到更多的商品。</p> <p>至於原本付費刊登的廣告主，則可持續享用在搜尋結果中的明顯位置。</p> <p>除了免費刊登之外，Google也宣布與PayPal結盟，讓商家可在產品中連結它們的PayPal帳號。</p> </div></div></div>
2020/4/23 12:15作者陳曉莉https://www.ithome.com.tw/news/137161
中國駭客組織再度監控維吾爾穆斯林，鎖定執行特定版本iOS裝置的族群下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由國家資助的駭客組織，中國政府監控少數民族的情況，去年有數起事件傳出，其中由Google揭露、為期長達2年的一系列監控行動，自8月公開後，駭客似乎就停止攻擊，但事隔不到半年，駭客再度有所行動。專精於記憶體鑑識的資安公司Volexity指出，他們於今年1月到3月，偵測到新一波間諜攻擊，由中國當局資助的Evil Eye駭客組織，濫用了較新版本iOS漏洞，並駭入6個網站做為媒介，來感染瀏覽網站的使用者，目標是監控維吾爾族穆斯林的電子郵件與即時通訊對話內容。由於這些遭到濫用的漏洞，蘋果已經在去年7月推出的iOS 12.4版修補，因此他們呼籲使用者，假如iPhone或iPad執行的作業系統較為老舊，應該要趕快升級到新版來加以防堵。</p> <p>這次駭客組織攻擊的對象，是執行iOS 12.3到12.3.2版裝置的用戶，而且無論受害者使用的瀏覽器是內建的Safari，還是自行安裝的Chrome或是Edge，只要瀏覽駭客竄改過的網站，都會被植入名為「失眠（Insomnia）」的惡意軟體，而遭到監控，其中，駭客鎖定的情蒐範圍，主要是當地有許多用戶使用的加密郵件軟體ProtonMail，以及加密即時通訊軟體Signal，當中的信件或是訊息內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-0.png" style="width: 580px;" /></a></p> <blockquote><p>在這起中國駭客監控維吾爾族穆斯林行動的攻擊途徑而言，使用者瀏覽已遭竄改的網站，駭客會先檢查瀏覽器環境，假如符合條件，他們就會解密惡意的JavaScript腳本，來準備滲透受害裝置。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-1.png" style="width: 580px;" /></a></p> <blockquote><p>接著，惡意JavaScript腳本會檢查裝置的iOS版本，一旦是12.3至12.3.2這幾個目標版本，駭客便會植入名為「失眠（Insomnia）」的惡意軟體，來監控使用者的電子郵件與即時通訊內容。</p> </blockquote> <p>值得留意的是，為了避免與C&C中繼站的通訊內容被洩露，駭客使用了開放原始碼的Ironsquirrel框架，來加密與C&C中繼站之間的傳輸內容。</p> <p>該公司也指出幾個他們發現被駭的當地網站，像是維吾爾學院（Uyghur Academy），以及中文版的維吾爾時報（Uighur Times）等。其中前者的網站裡，駭客的作案工具存在長達好幾個月。</p> <p>根據蘋果針對存取App Store的裝置進行統計，仍有許多iOS裝置執行舊版作業系統，有30%的iPhone裝置執行iOS 12以下的版本，iPad的比例則有43%，接近一半。因此Volexity呼籲使用者，趕快升級新版作業系統，來減少遭到攻擊的危險。</p> <p>中國駭客透過網站與iOS漏洞來監控新疆的穆斯林，其實已經不是第一次。去年8月，Google於2019年初發現，中國駭客組織正在監控維吾爾穆斯林，其利用的手法，就是舊版iOS 10.0.1到12.1.2的漏洞，在合法網站植入惡意程式，來暗中監控瀏覽網站的使用者，期間長達2年以上，前後總共發動至少5波攻擊，使得蘋果後來出面澄清，宣稱影響範圍並未如Google所述的嚴重。後來，這起攻擊事件中，還出現了意圖監控Windows與Android裝置的惡意軟體。</p> </div></div></div>
2020/4/23 09:53作者周峻佑https://www.ithome.com.tw/news/137158
用數據打造新型流動資產
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_0417.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要解決企業在大數據時代面臨的挑戰與威脅，我們首先必須面對「數據終將成為企業核心資產」的事實。基於這個事實，我們首先要確保數據能隨時在線上，因為大數據應該是當你需要時可以立即使用，所以數據一定要在線上，不能只存在於線下。</p> <p>大數據要成為企業核心資產的前提是，數據必須具有足夠的流通性，在這之前，要確保從數據擁有方一直到最終使用方之間的過程有著非常好的利益關係，這樣，數據流通或共享的價值鏈才會成立。</p> <p>如何透過數據去解決企業的核心問題，答案其實很簡單，就是從工作流程中尋找，因為如果工作流程缺乏效率，或是存在資源過度耗損的問題，往往也是組織的問題所在。而大數據的起點，是基於數據和待解決問題之間的對應關係。在多數情況下，我之所以能夠預測未來，往往是因為以前發生過類似的事件，而我又能盡量完整地把它們記錄下來，當同類事情發生的次數越多，我預測一件事情的準確性就會提高。</p> <p>當我們面對組織內部的實際問題時，在組織問題和數據獲取之間通常會遇到以下幾種可能性：</p> <p>● 這個狀況或問題不常發生，因為發生的機會極少，所以我們沒有機會獲得足夠的數據去應變或做出對應的預測。</p> <p>● 我們遭遇的問題可能並不是低概率事件，但是沒有人知道或意識到要去收集這樣的數據（可能因為這些數據的處理與應用成本很高）。</p> <p>● 企業內部確實有一些數據，但這些數據很零散、格式不標準，散落在企業的不同部門，需要懂得梳理數據的人去管理並應用。</p> <p>● 企業內部有數據，但是被壟斷，或是被控制在不開放的環境中。</p> <p>至此，你應該已經注意到，大數據的使用與積累，是互相促進的閉環系統，斷點越少，數據流通越順暢。這個閉環系統的選擇，是數據專案成敗的關鍵，要考慮的問題也超出了數據本身，同時涉及企業文化、組織架構，所以我一般給企業的意見是，爭取最高領導者的支持必不可少，因為企業數據化的進程如建羅馬一樣，並非一日之功。</p> <p><strong><span style="font-size:28px;">找客戶靠數據，不靠運氣</span></strong></p> <p>零售業的朋友對搜尋引擎行銷可謂既愛又恨，懷疑透過這種方式，是否真的能做到精準行銷。對出口公司來說，獲取企業級別的客戶更是難上加難，如何才能精準地找到目標企業呢？我曾經做過這樣的嘗試（那時還沒有大數據概念），我發現，可以從曾經參加過交易會的企業買家網站上，快速收集到他們的購買意向數據，經過分析，自動配對出有購買意向的準買家名單。</p> <p>最近我發現，已經有公司開始用類似的方法解決企業採購問題了。Lattice Engines 這家從事B2B（企業對企業）銷售預測的數據分析公司，發布了一款新產品，可以用兩個關鍵字概括這個產品的方向：「意向」和「預測」。他們聚焦在整合企業客戶的意向數據，以及預測客戶需求上。</p> <p>Lattice Engines 擅長幫客戶在已有的數據庫中尋找潛在需求，並識別客戶資訊，包括企業是否獲得新的資金，是否成立新的辦公室，是否購買了新的伺服器、儲存系統等等。</p> <p>在獲取新客戶這個方向上，Lattice Engines 協助客戶在他們原有數據庫之外發現新對象。它增加一層新的信號，稱為Prospect Discovery，透過抓取相關產品的搜索資訊，以及社交網站上發布的相關內容等，幫客戶發現新的潛在購買對象。比如，他們會留意企業的意向數據，透過追蹤目標企業，發現某公司的員工正在關注某一個產品。</p> <p>這些數據可能來自部落格、LinkedIn 上的交流，以及專業文獻，進而預測目標公司可能會採取什麼樣的採購決策、現金周轉速度等。Lattice Engines 的數據供應商會專門收集專業內容的下載情況和交易會的註冊情況等數據，以便更好地分析企業的需求。</p> <p>在大數據時代，我們已然可以利用無處不在的數據來預測商業需求。Lattice Engines 正是利用各種管道公布的資訊來預測商業需求，並根據這類數據為企業推薦合適的供應商，我們可稱之為企業級的推薦引擎。</p> <p><span style="font-size:28px;"><strong>企業「用」數據的三大竅門</strong></span></p> <p>用數據這門學問就像武功，臺上一分鐘，臺下十年功。行情好的時候不養數據，市場差的時候就更難臨時抱佛腳。</p> <p>平日養數據大有好處，這些數據不僅可能成為企業戰略分析的關鍵，而且對某個關鍵數據盲點的突破，有可能成為企業的必殺技。這裡，我就跟大家分享企業用數據的三個竅門：</p> <p><span style="color:#B22222;"><strong>方法1：AAR 原則鎖定客戶</strong></span></p> <p>首先，企業應該確定，誰是你的目標客戶，透過哪些管道可以找到這些人；當這些客戶進來後，他們的成長軌跡是怎樣的；這些客戶對你是否滿意，他們是否會離開。這就是我經常使用的AAR 原則：</p> <p>● 第一個A 是acquire（獲取）—如何用最有效的方法獲取核心客戶。</p> <p>● 第二個A 是activate（活躍）—如何讓獲取的客戶快速成長，變得活躍、有黏性。</p> <p>● R 即retention（保留）—如何防範核心客戶流失。</p> <p>數據可以貫徹這三個階段的始終，既可以幫你找出核心客戶，也可以告訴你什麼服務和價格能讓他們變成忠誠客戶，同時還可以用數據模型預測客戶未來的需求，甚至是他們離開的機率。當企業充分掌握客戶當前狀態的數據之後，就可據此進行預測，發現問題馬上糾正，這就是懂得用數據的企業所做的事情。</p> <p>例如，當你發放折價券時，是否想過，什麼時候應該讓客戶當次使用，什麼時候要留待下次使用？企業亂發折價券或經常打折，不但太博愛，還會讓客戶養成「無折不買」的習慣。</p> <p><span style="color:#B22222;"><strong>方法2：行為數據比結果數據更有價值</strong></span></p> <p>企業一般關注的重點是交易數據，比如一天有多少客流量、多少交易額，卻忽略了這些交易背後的原因。當把客戶的行為數據（交互行為）和交易數據相互關聯時，企業才會知道用什麼產品吸引什麼客戶最有效、什麼價格能讓這些客戶活躍起來、怎樣能讓他們對這個平臺更感興趣，我們甚至可以預測到客戶流失的蛛絲馬跡。</p> <p>客戶的行為數據不一定能產生交易，但可以讓我們更了解他，讓我們知道他為什麼會買，或者為什麼不會買。透過行為數據去發現客戶如何做決策，是個重要課題，即使是負面數據也可能有正面作用。</p> <p>在互聯網世界，這些可以相互關聯的數據其實是唾手可得的。如果不知道哪些數據有價值，也不知道哪些數據可以交叉分析，產生價值，著實是一種浪費，相當於將魚翅當粉絲。</p> <p><span style="color:#B22222;"><strong>方法3：從小處著手</strong></span></p> <p>假如中小企業希望充分使用數據，我的建議是，從結構化的、已有的數據開始，一步一步開展。中小企業要有清晰的具體目標—希望數據幫自己做什麼、數據能解決什麼問題。</p> <p>必須謹記，我們面對的是消費者，數據的收集、整合、決策、回饋，都必須從消費者出發，以人為中心，這樣才不至於太分散，盲目地「為了數據而數據」。另外，企業不應把客戶看成一個整體，因為解決客戶的一般性需求，不等於了解客戶的特殊需求。在大數據的驅動下，批量生產的個性化或許並非遙不可及。（摘錄整理自本書第7章）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <strong>數據的商戰策略</strong></p> <p>車品覺／著</p> <p>天下雜誌出版</p> <p>售價：380元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">作者簡介 </span></strong></span></p> <p><strong>車品覺</strong></p> <p>數據化思考第一人，未來趨勢觀察家。最早將大數據運營與管理引入電商，豐富的數據實戰經驗，對大數據未來趨勢有著獨到的見解。在2010年至2016年，先後任職於支付寶、淘寶，並擔任阿里巴巴集團副總裁及首任數據委員會會長。現為紅杉資本中國專家合夥人。</p> </div></div></div>
2020/4/23 09:00未署名https://www.ithome.com.tw/article/137051
隨機演算之美
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>語言的標準程式庫中都有隨機函式，可用來作為無法預測的輸入，或者是創造另一種隨機，而能夠處理隨機的演算法具有啟發性與實用性，也突顯了運算的本質。</p> <p><strong><span style="font-size:28px;">遊戲中的隨機</span></strong></p> <p>遊戲中經常運用隨機來增加變化性，雖然初學程式的新手也能運用隨機建立猜數字遊戲，只不過這類隨機處理過於簡單，未經任何處理，只有建立在某種規律下的隨機性，才能說是變化，例如，勇者拿劍砍某怪會造成某程度的傷害，像是一百點左右的生命值，計算基準可能包含了雙方等級、武器等，而「左右」則是加上某種隨機值作為權重進行計算得來。</p> <p>有些遊戲可以產生隨機地圖，像是Minecraft的隨機世界，不過地圖看來是隨機，然而若方塊之間沒有任何關聯性，只會得到一堆亂七八槽的方塊，絕不會像是自然地形。此類地圖需要的類似自然界的隨機，而不是全然的隨機，而關於這種應用的隨機演算中，常見的是Perlin噪聲（Perlin noise）。例如，一般的自然地形，在鄰近兩點間的起伏，會具有關聯而感覺有連續性，而以二維的Perlin噪聲來說，其作法是方格的頂點產生隨機值以求得四個梯度，方格內的點噪值不是隨機產生，而是固定依這四個梯度採內插法得到，簡單來說，頂點的梯度是隨機，然而方格內的點噪值具有規律。</p> <p>遊戲中也常見隨機迷宮之類的元素，迷宮牆不會是完全地隨機產生，否則這迷宮怎麼能走？如果將一個迷宮展開，會發現是棵樹（參考〈<a href="https://twitter.com/ferjerez3d/status/1236735167882047493" target="_blank">In every maze there's a forest</a>〉），也就是說，迷宮的牆本質上是樹枝構成，雖然可以隨機產生分支，然而還是必須從樹衍生出來，有興趣研究迷宮的話，可以參考先前專欄〈<a href="https://www.ithome.com.tw/voice/109341" target="_blank">迷宮產生演算法之美妙</a>〉。</p> <p>如果給定任意的n行m列的網格，該如何不重複地走過每個網格呢？這個問題的解是一種哈密頓路徑（Hamiltonian path），問題不會只有一個解，如果想要隨機的解，可以沿著隨機迷宮的牆，畫出輪廓來得到哈密頓路徑，若想在遊戲中運用這種路徑，也許是用來產生隨機路線的溜滑梯或道路之類的作法（參考〈<a href="https://www.thingiverse.com/thing:4200020" target="_blank">Random scala</a>〉）。</p> <p><span style="font-size:28px;"><strong>自然界的隨機</strong></span></p> <p>Perlin噪聲模仿了自然界的隨機，這意味著，自然界並非全然的隨機，看似隨機的事物，其實彼此有著某些規律，例如長頸鹿的斑紋、蜻蜓翅膀的紋路、葉片的細胞壁等，其空間分割看似混亂，然而又具有某種規律。</p> <p>俄國數學家Georgy Voronoy建立的Voronoi空間分割，可以模擬這類自然的圖案，這類圖案中的點是隨機散布的，然而每個細胞壁只包含一個點，而相鄰細胞壁中的點，彼此之間必然等距，換個角度看，細胞壁達成了相鄰點間的勢力均衡，我們可以想像，生物的細胞在各處成長速度不同，然而最終會彼此擠壓，達到勢力均衡狀態而形成之圖形。</p> <p>而Voronoi空間分割演算法出發點，就是基於勢力均衡，最簡單的方式之一是，各點對某點建立正多邊形，將多邊形的一邊推至兩點間等距之處，而這一堆多邊形的交集結果，就會是該點的細胞勢力範圍，不過，這個方式需要大量的交集，導致求得Voronoi分割的速度會變得十分緩慢。</p> <p>另一個方式是建立Delaunay三角網，在空間中隨意散布多點，Delaunay三角網會將這些點彼此連接成三角形，然而某三角形構成的外接圓，絕不會包含另一個三角形，Delaunay三角網中，若將邊相鄰的三角形之外接圓心連結起來，就會構成Voronoi空間分割。</p> <p>這是因為三角形邊長，其實就是兩個外接圓的中垂線，將相鄰三角形構成的外接圓心連結起來，必然均分三角形邊長的兩頂點構成之線段，因此外接圓心連結的線，就是勢力均衡線，也就是細胞壁了，這個方式不需多邊形交集運算，只需要計算點，而求得Voronoi分割的速度也會快很多。</p> <p><strong><span style="font-size:28px;">隨機演算法</span></strong></p> <p>自然界雖有許多現象看來隨機，然而實際上沒有真正的隨機，必然有其規律在其中，只是自然界資訊過於龐大，當人們無法從中釐出規律、有效地解釋這些形象之前，只能先歸類為隨機，正因如此，愛因斯坦才會有句名言「上帝不擲骰子」。</p> <p>在演算法上，就有一類隨機演算法，會在演算過程中套用某種程度的隨機，因此在輸入相同的情況下，可能會有不同的結果，而這類演算法的目的，並不是為了創造變化性，而是想求得運算結果在可以接受的範圍。</p> <p>蒙地卡羅（Monte Carlo）演算可能是開發者熟悉的隨機演算法之一，例如用來求圓周率的方式，是在方形區域內隨機散布一定數量的點，看看落在圓內的有多少，套用公式來計算圓周率，點的數量越高，就越接近圓周率。</p> <p>為什麼會想要求得一個接近的值，而不是確定的值呢？有些需求可能無最佳解，或者需要耗費大量運算才能得到理想的解答，在耗費時間遠大於對品質的考量下，若隨機演算法可以快速求得某個可接受的結果，我們就可能採取這類演算。</p> <p>在圍棋上贏得人機之戰的AlphaGo，採用的決策過程之一，就有蒙特卡羅樹搜尋（Monte Carlo Tree Search，MCTS），而MCTS存在目的是為了解決搜尋空間過於巨大，難以窮舉全部子樹的問題，MCTS子節點展開後隨機進行遊戲，根據勝負結果來更新沿路至根節點的資訊，作為下次搜尋選取節點的評估之用。</p> <p>關於隨機的運用，在程式設計中是族繁不及備載，然而可以從運算的本質來探討。</p> <p>開發者如果接觸過運算原理，都會知道模型中有種非確定性（Nondeterministic）自動機，這類機器具有隨機性，而且天生神力，總是可以猜中接下來不用讀取任何輸入，就直接轉移至可獲解答的狀態。例如，確定性下推自動機（Deterministic Pushdown Automaton，DPDA）並無法判斷迴文；然而，非確定性下推自動機（Nondeterministic Pushdown Automaton）卻可以完成任務，這是因為，它總是能恰巧猜中輸入已經達一半的時機，接下來就開始比對堆疊中的值是否與接下來輸入都是對應的。</p> <p><strong><span style="font-size:28px;">瞎猜的神機哪來的？</span></strong></p> <p>每次都準確猜中的「神機」是不存在的，就演算法而言絕對無法設計出來，然而，若能接受運氣不好而沒猜中的情況，至少還有能回答「這是迴文」以及「這可能不是迴文」。</p> <p>雖然現實中打造不出神機，然而，非確定性就像是一種外部參與，例如人類的介入（肉眼看看輸入是否達一半），現實中就有許多程式，一開始會需要人的參與，然而在相關理論或技術進步之後，外部參與就減少了（也就是減少非確定性），在這之前，若某個外部參與可以解決問題，就算是瞎猜（隨機），也會是可行的方向。</p> <p>非確定性的有限狀態機或下推機，會有等價的確定性機器，只不過狀態通常會暴增，或者難以找出等價的模型，就像是還沒找出自然界中某種規律，只能看似隨機；特意地運用這類隨機，或者持續尋找當中的規律，能獲得許多的啟發，找出更多的實用性，也更能認識運算的本質。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E9%9A%A8%E6%A9%9F%E5%87%BD%E5%BC%8F">隨機函式</a></div><div class="field-item odd"><a href="/tags/%E9%9A%A8%E6%A9%9F">隨機</a></div><div class="field-item even"><a href="/tags/%E9%9A%A8%E6%A9%9F%E6%BC%94%E7%AE%97%E6%B3%95">隨機演算法</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2020/4/23 09:00作者林信良https://www.ithome.com.tw/voice/137054
傳統實體代幣轉向行動支付，大魯閣改造IT要重塑顧客體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到武漢肺炎疫情的影響，近期許多臺灣民眾，為了防疫，紛紛減少外出，就算非得要出門消費，也盡量改用免接觸的行動支付交易來替代現金，減少交易時的接觸機會，甚至避免使用流通紙鈔而增加感染風險，這成了，加快大魯閣實業對外服務IT轉型的契機，「因應這波疫情，我們現在有了更大決心推動行動支付，取代實體代幣。」大魯閣實業資訊處協理江均豪斬釘截鐵地說。</p> <p>大魯閣實業最早是紡織業起家，但幾年前，開始朝向運動休閒與商場轉型，它所經營的運動休閒連鎖門市，光是全臺就有15間，包括了棒壘球打擊場、保齡球館和卡丁車場館等，每年平均進場人次就超過300萬人，還擁有50萬名會員。在這些館內，更有提供包含場內投打設備、飛鏢機，籃球機等各式投幣式遊樂設施，單是這些投幣式設備，全國一共就有600多臺。</p> <p>這些館內的遊樂設施，一直以來皆採投幣式收費，但是今年，該公司決定，未來都要升級改為行動支付的物聯網機臺設備，來取代傳統投幣式機器。江均豪更一手負責所有機臺感應設備的規畫、系統建置到上線。</p> <p><strong><span style="font-size: 28px;">傳統投幣式機臺要結合行動支付與App付款</span></strong></p> <p>近幾年，行動支付在臺灣已有不少企業應用，但在運動休閒產業則較少用，為了跟上這股行動支付風潮，大魯閣實業希望讓這些傳統投幣機器整合行動支付，但一直沒有找到適合的方案。直到去年，江均豪前往該公司在中國的通路，協助當地門市導入行動支付相關應用，他看見門市導入和使用情況，認為這個方法可行，想引進臺灣，一回臺後就展開規畫，找到了可配合的設備廠商，協助打造結合行動支付功能的投幣機臺設備。</p> <p>雖然，行動支付功能至今還未建置完成，但江均豪透露，未來將提供兩種支付方式，來取代付款投幣機臺，一種就是行動支付，讓民眾可以透過手機掃碼或卡片感應付款，就能夠啟動遊戲機臺來玩，不需要投入實體代幣，他指出，目前規畫將能支援包括悠遊卡、Line Pay，街口、Google Pay等在內的行動支付方式，初期先推悠遊卡付款，後續會陸續加入其他支付方式。</p> <p>除了綁定行動支付，該館會員還可以使用虛擬代幣來完成付款，這是第2種支付方式。江均豪計畫將原本發行的遊戲機代幣變成虛擬代幣，放進自家App裡，讓會員可以透過這個方式付款，例如，以前會員卡儲值一千元就會贈送幾枚實體代幣，以後將改為虛擬幣並儲值在App的個人會員帳戶裡，每次啟動遊戲機時，就會從會員自己錢包代幣餘額來扣款。</p> <p>這種透過感應式支付來完成付款的作法，在技術上雖然不難實現，但為了打造這樣一個支援行動交易環境的IT架構，江均豪得要面對的IT挑戰不少，不只要全面更新機臺設備，就連後端的PoS系統也得跟著要重新改造，還有新投幣孔開發、App虛擬代幣功能和CRM客製需求等，甚至這些門市館內既有網路架構，都得要全面大翻新，來支援全臺數百臺機臺的連網需求。</p> <p>為了提供這些交易支付功能，江均豪先是規畫要汰換舊有PoS系統，改換新PoS，甚至更直接搬上雲端。他解釋，之所以採用雲端PoS，方便維運管理是主要考量，其次，考慮到未來雲端PoS的CRM功能，與商場事業體CRM更容易進行整合。</p> <p>他進一步說明，以後，所有館內機臺設備的投幣孔位置，都會加裝感應裝置，對於消費者者每一個感應動作都會完整記錄，所有記錄的交易訊息，會透過網路回傳到雲端PoS系統做處理，待付款成功後，就會遠端啟動現場的投幣機臺，讓使用者進到遊戲裡來玩。</p> <p><span style="font-size: 28px;"><strong>疫情升溫，無接觸的行動支付成了民眾防疫手段</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350-1.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>大魯閣實業資訊處協理江均豪表示，因應這</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>波疫情，更堅定了他們對外服務的IT轉型，</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>轉向行動支付，但對帳和斷網得解決。</strong>攝影</span></span><span style="font-size: 18px; color: rgb(105, 105, 105);">／洪政偉</span></p> </td> </tr></tbody></table><p>這種付款方式，最初是為了提供消費者一種支付新選擇，但在武漢肺炎爆發以後，因為不需與人近距離接觸，和免現金的碰觸，行動支付反倒成了，民眾加強防疫，保持社交距離的重要手段。江均豪就有這樣深刻的觀察。</p> <p>早在疫情出現以前，該公司就有準備替這些投幣機臺加入行動支付功能的計畫，並展開規畫和評估，只是當時，還沒有決定採行哪一種支付方案。這個時候，許多民眾還是習慣使用現金消費，對於行動支付使用比例，並沒有如中國般普及，但隨著疫情嚴峻，導致民眾使用習慣被迫得有所改變。</p> <p>江均豪就觀察到，近兩個月，臺灣在行動支付使用比例明顯提升不少，更多消費者傾向使用行動支付方式來替代現金，來降低現場接觸感染的風險，「這更奠定了我們要走這條路的決心」他說，透過改用無觸式行動支付來做付款，顧客以後用自己手機，就能完成所有付款動作，免除了與實體代幣接觸的風險，使用起來更安心。</p> <p>另外，改用行動支付取代投幣付款的好處不少。他以製幣為例，以往，這家公司每年都得花三、四百萬元委外製作一枚枚實體代幣，改用行動支付後，這些製幣成本就能省下來。再者，因為所有交易流程都將全面數位化，能簡化人力作業時間，例如，改以行動支付或虛擬代幣來付款，就不需要人工開箱數幣的動作，雲端PoS也能自動取得每個機臺營業時間的付款金額與錢幣數量，還可減少人工輸入錯誤的風險。</p> <p>機臺更快故障排除則是江均豪提到另一個好處。他表示，以前打擊場機器有問題，都是等客人來用才發現，現在，因為所有機臺都是串連雲端PoS來統一管理，因此，管理者不用進到館內，就能看到這些機器設備是不是都正常上線，一旦有問題，系統就會立即發送警示，通知現場人員重開、調整，或是請廠商來更換設備。</p> <p><strong><span style="font-size: 28px;">實體代幣要能夠全面數位化，得先解決支付對帳、斷網問題</span></strong></p> <p>但代幣虛擬化或數位化之後，它的可靠性和穩定性都是挑戰。尤其，以後每一個投幣機臺都需要連網，一旦遇到網路中斷時，資料無法傳回雲端PoS平臺上來做處理，現場機器無法開啟，顧客就沒辦法來用，因此，對於大魯閣資訊團隊來說，改用這種方式付款之後，得要有斷網備案才行。該資訊團隊提前設想到這個問題，除了有線，最近剛規畫了無線網路作為備援機制，消費者平時在機臺投幣感應之後，所有機臺取得的交易資料，都會先回傳到櫃臺PoS機，再由它透過有線網路將這些資料傳回雲端PoS系統來處理，一旦場館內部或對外網路中斷，這時，還可透過PoS機本身加裝的無線4G網卡，來讓它可以正常上網傳送資料到雲端，來繼續維持機臺的使用。</p> <p>不過，他們還有另一個考驗是，因為與多家行動支付業者合作，而衍生出與業者之間的對帳問題。「當付款別越多，對帳處理就越麻煩」，假設這個門市有30臺機器，針對這所有每個投幣機臺支付方式、付款金額，都要與各個支付業者核對確保每筆付款金額正確之後，才能完成入帳。由於每一家業者入帳時間不一，當支付款別越多，背後整套支付流程串接和對帳機制建立，就更複雜。他表示，只能一家家個別處理，沒有統一標準。</p> <p>就連建立網路環境時，也遇到不小阻礙。例如，資訊團隊原先針對投幣機臺設備連網，考慮採用無線網路來布建，但後來，卻發現其中一家悠遊卡的讀卡機並不支援無線，僅能以有線來建立機臺連網環境，這也使得機臺機動性受限，沒辦法任意移動到新的位置。</p> <p>該公司預計今年5月初，會先選在北部新莊和汐止門市打擊場先測試，之後再往下擴點。初期將會部署30到40臺的投幣式機臺，可以支援行動支付和虛擬代幣應用，讓消費者能以手機輕刷感應，就能夠啟動遊戲機設備來玩，或是改用手機App的虛擬代幣來交易付款。江均豪補充說到，初期將採用實體支付和行動支付併行，因此，這些機臺上的投幣口仍會保留，讓消費者需要時還可以使用實體代幣來付款，「但長期目標，是要完全取代實體幣。」他說。</p> <p><strong><span style="font-size: 28px;">集團兩大事業體整合，多系統整併成為IT新考驗</span></strong></p> <p>這種結合行動支付的作法，跟大魯閣實業近年來積極朝向運動休閒事業轉型有關，為擴大海內外的布局，大魯閣於2018年通過併購關係企業基創實業，這正是江均豪原本任職的公司，後來併入到大魯閣實業旗下，江均豪跟著進入了大魯閣實業，開始擔任資訊部門主管，負責包括基創在內所有集團運動休閒事業的IT。</p> <p>大魯閣實業近幾年更跨入商場事業，先後在臺中和新竹經營大型購物中心，其中，位於臺中的大魯閣新時代購物中心，每年來客人潮，就多達一千萬人次，而在這間商場裡，也有整合打擊場等遊樂設施，不過，這時，兩個經營事業體都有各自資訊團隊，分別負責商場和休閒事業的資訊維運。</p> <p>直到去年，大魯閣集團兩個事業體，運動休閒與商場事業正式整併後，兩家資訊部門跟著合併，江均豪更從原來負責休閒運動事業IT，現在得要管到商場事業。對他來說，也帶來新考驗。</p> <p>為了配合公司組織整併，他今年初已完成集團ERP財務系統集中整併，改共用一套系統，並統一集中放在臺中總部機房管理，但他並不急於所有系統整併要一步到位，而是會謹慎評估是否有整併需求，例如PoS和CRM會員系統，他目前就採取仍維持各自一套的作法。他說明，由於兩個事業體的需求不同，因此，兩者PoS系統不一定需要整併。至於CRM方面，包含重複的會員，兩個事業體會員加總約70萬名，他表示，目前是朝向整併來進行，只是還沒有詳細時間表。</p> <p>資訊部門整併以後，未來將負責休閒體育跟商場相關資訊整併與維運。江均豪提到，今年計畫先專注在運動休閒經營的IT改造，透過資訊技術來結合行動支付和代幣數位化，等到完成系統導入推出上線，所有運作穩定之後，年底再逐步與商場事業來進行整併，包括CRM等。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>江均豪</strong></p> <p><strong>大魯閣實業資訊處協理</strong></p> <p>學歷：雲科大資管系學士</p> <p>經歷：曾待過蕃薯藤、滾石網絡IT，2006年進到基創一手打造運動場館IT基礎架構，後來併到大魯閣實業旗下，他於2017年進入這家公司擔任資訊部門協理，負責集團旗下運動休閒事業IT，去年，更背負集團兩大事業體的資訊系統整併，先從推動對外服務IT改造做起</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>大魯閣實業</strong></p> <p>● 地址：臺中市東區復興路四段186號9樓</p> <p>● 成立時間：1973年</p> <p>● 網址：<a href="http://www.taroko.com.tw" target="_blank">www.taroko.com.tw</a></p> <p>● 主要業務：商場開發、休閒育樂事業</p> <p>● 員工數：約400人</p> <p>● 資本額：17億元</p> <p>● 年營收：約11.7億元（2019年）</p> <p>● 董事長：林曼麗</p> <p>● 總經理：謝國棟</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門主管職稱：資訊處協理</p> <p>● 資訊部門主管姓名：江均豪</p> <p>● 資訊部門人數：5人</p> <p>● 資訊部門分工：維運組、應用組</p> <p>● IT預算：約800萬元</p> <p><strong style="color: rgb(51, 153, 255);">IT大事紀</strong></p> <p>● 2010年：關係企業基創（2018年併入大魯閣集團）導入PoS系統、卡務系統</p> <p>● 2014年：在中國蘇州吳中第一家分店導入資訊系統</p> <p>● 2015年：導入集團人事系統</p> <p>● 2016年：導入賽道樂園票務系統及PoS系統、BLD導入PoS及會員系統</p> <p>● 2019年：上海基創門市升級場地管理系統</p> <p>● 2020年：完成集團ERP財務系統集中整併</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0423-cio.png" width="960" height="420" alt="" title="大魯閣實業資訊處協理江均豪　（攝影／洪政偉）" /></div></div></div>
2020/4/23 09:00作者余至浩https://www.ithome.com.tw/people/137097
臺灣公機關圖書館LED燈控制器的IP位址成攻擊跳板，法務部調查局與資安業者合力破獲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決殭屍網路等網路犯罪問題，近年資安業者與國際執法單位合作的態勢越來越明顯，臺灣執法機關也不缺席。例如，在今年3月，微軟大動作宣布協同35國執法單位以及安全廠商，破獲全球最大惡意郵件殭屍網路Necurs，由於臺灣本地的惡意網域也是該殭屍網路的一環，因此臺灣也參與其中。事實上，在上述行動之前，國內法務部調查局在2019年就已經接獲微軟情資，發現我國政府網路IP位址可能感染Necrus的狀況。</p> <p>當時，調查局即循線查出攻擊所在是北臺灣鄉下的一棟建築內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置，但後續查證，原來問題出在管控該裝置資訊業者的VPN設定錯誤，造成該IP位置淪為攻擊跳板。昨日（21日），法務部調查局揭露了他們這次的辦案過程，以及與資安業者合作因應跨境網路犯罪的現況。</p> <p>關於這起事件，法務部調查局是在2019年7月8日，接獲臺灣微軟的通報，得知臺灣政府網路IP位址（117.56.xxx.xxx）可能感染Necrus，因此著手追蹤此一非法的VPN IP位址，並在一個月後，於8月6日阻止該IP與裝置繼續成為攻擊跳板。</p> <h3><strong>竟是VPN錯誤設定的疏失，導致臺灣政府公務機關IP位址淪為攻擊跳板</strong></h3> <p>在事件調查過程中，該單位資通安全處處長吳富梅表示，首先，他們調閱了IP位址（117.56.xxx.xxx）的申請資訊，發現是公務機關所持有，並查出攻擊所在是北臺灣鄉下的大樓內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的圖書館LED燈控制裝置。</p> <p>另一個關鍵發現是，原先管理LED控制系統主機的資訊公司，雖然架設VPN伺服器以便於管理，但有錯誤設定的情況，因此遭誤用而被不明人士公開。</p> <p>根據調查局的說明，該主機其實並未受Necrus感染，主要是該IP位址被利用當成散布Necurs殭屍網路的跳板，這也使得許多釣魚郵件與惡意攻擊都是來自這個臺灣政府的IP位址。直到調查局修正錯誤設定，關閉LED燈控制系統主機VPN服務，才讓這個惡意病毒訊號在監控平臺上消失。</p> <p>雖然大家多將焦點都會放在LED燈控制系統主機，但根據調查結果是該主機並未受到Necrus感染。不過，這起案件還是讓一些問題重新浮上檯面。例如，由於管理LED燈控制系統的業者，竟因為VPN錯誤設定的疏失，導致臺灣政府公務機關IP位址淪為攻擊跳板，此外，相關單位或業者是否有相關責任，國內還有多少VPN設定錯誤情形，以及多少IP位址被當成跳板，仍有執法單位調查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在4月21日，法務部調查局資通安全處處長吳富梅說明該單位與微軟<span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">破獲</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">VPN</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">非法</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">IP</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">攻擊，以及</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">下架</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">Necurs</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">殭屍網路的經過。</span></span></p> </blockquote> <h3><strong>因應跨境網路犯罪偵辦，國內法務部調查局已與美國微軟總部簽訂情資交換協議</strong></h3> <p>至於後續針對Necurs殭屍網路的打擊行動，到了今年3月11日（臺北時間11點），則有大規模的計畫。由於臺灣惡意網域也是Necurs殭屍網路的一環，因此，法務部調查局也配合微軟等各國組織進行的全球大掃蕩，在國內，同時還聯合了中華電信、台灣網路資訊中心（TWNIC），以及行政院國家資通安全會報技術服務中心（NCCST），協力在同一時間執行剿清行動，目的就是要根除這個曾涉及40萬裝置的大型殭屍網路，共計阻斷了18萬筆惡意網域。</p> <p>對於調查局在跨境網路犯罪與國際合作的現況，吳富梅說明了現況。她表示，其實，近年來該單位都有攜手國外執法單位與私人企業的例子，包括2016年的美歐31國聯手破獲全球網路犯罪集團Avalanche，2017年的歐美執法單位與資安業者聯手擊潰Gamarue殭屍網路，以及2018年一銀盜領案背後的國際網路犯罪集團「COBALT」。</p> <p>近年，他們則有更具體的行動，在2018年底，該單位首次與跨國企業簽立的網路安全情資交換協議，合作對象就是微軟，當時他們與美國微軟總部在臺簽署了情資交換協議，並將共同研討因應跨境犯罪的問題。</p> <p>對於這項合作計畫的具體內容，我們注意到，法務部調查局可以使用微軟免費提供的一個名為「C2O惡意程式中繼站觀測平臺」，從這個Cyber Threat Intelligence儀表板掌握相關情資，去檢視各個Botnet在全球的威脅現況，包括受害成為殭屍網路的數量，臺灣IP位址受害的數量等。例如，從2017年4月所偵測到的資訊，臺灣至少有48,000個IP位址受駭成為Necurs殭屍網路。</p> <p>因此，透過這樣的觀測平臺，調查局與對方都將可以各自分享觀測到的殭屍網路訊號異常狀況，不論是從執法經驗上的觀察，以及與業者的定期情資交流。</p> <p>而去年調查局之所以能破獲上述的非法VPN（117.56.xxx.xxx），就是臺灣微軟數位安全中心的人員先發現異常，因為臺灣這個IP位址活動量特別大，惡意連線次數增加幅度顯著，並發現海外多個惡意IP位址，以及多個惡意網域名稱伺服器，會透過臺灣這個IP位址發送惡意病毒攻擊臺灣，因此，之後再由調查局進行後續追蹤，進而找到實際IP位址所在地點與問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>根據法務部調查局的說明，他們在2018年底就與美國微軟總部簽署情資交換協議，這也讓他們在去年開始就可以使用微軟提供的C2O惡意程式中繼站觀測平臺。</p> </blockquote> </div></div></div>
2020/4/22 18:44作者羅正漢https://www.ithome.com.tw/news/137154
思科SD-WAN整合Google Cloud 提供多雲管理方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路大廠<a href="https://blogs.cisco.com/networking/cisco-and-google-partner-on-cisco-sd-wan-cloud-hub-with-google-cloud" target="_blank">思科與Google周二宣布S</a>D-WAN Cloud Hub with Google Cloud，藉由整合軟體定義廣域網路（SD-WAN）及雲架構成為多雲網路管理平臺。</p> <p>這項合作是<a href="https://www.ithome.com.tw/news/117777" target="_blank">雙方在2017年</a>的企業混合雲合作後的最新進展，當時的合作讓思科企業客戶有擴充需求時，可以更容易把應用及資料搬移或擴展到Google Cloud Platform。</p> <p>Google Cloud網路部門總經理Shailesh Shukla指出，最新合作則使雙方合作擴及混合及多雲環境。透過整合思科SD-WAN的管理技術結合Google Cloud全球網路及Anthos，使企業網路政策，如網路分段（segmentation）、或是效能、安全設定等部署到混合雲及多雲環境，讓應用不論是部署在私有雲、Google Cloud或其他雲上，或是SaaS應用都能有效管理，實現端到端的安全、網路效能和服務品質。</p> <p>雙方表示，Cisco SD-WAN Cloud Hub with Google Cloud，是業界第一個完整整合WAN應用及雲端運算的方案。今天，應用程式並無法對底層網路發送SLA呼叫，但在最新合作下，應用程式和網路層可以相互通訊。例如，低延遲容忍度的關鍵應用，可以將Google Cloud Service Directory的應用資料公告出來，讓網路依此調整。同樣的，思科的SD-WAN控管工具vManage則監控網路效能和服務量測值，可將用戶呼叫導向最適合的雲端服務節點。</p> <p>此外，思科SD-WAN也能把網路連線狀態（network reachability）等量測值，傳送給分散式系統如Google Anthos，後者可即時將流量導向連線狀態較好的區域。</p> <p>Cisco SD-WAN Cloud Hub with Google Cloud預定今年底推出預覽版，明年第一季正式推出。在此之前，雙方也計畫邀請特定企業客戶加入測試。</p> </div></div></div>
2020/4/22 15:20作者林妍溱https://www.ithome.com.tw/news/137141
臉書入股印度電信業者Jio Platforms
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2020/04/facebook-invests-in-jio/" target="_blank">臉書宣布</a>以57億美元入股印度電信業者Jio Platforms Limited，取得該公司9.99%的股權，而Jio Platforms也是印度最大私人企業Reliance Industries Limited（RIL）的子公司。</p> <p>Jio Platforms是在2016年於印度正式推出4G網路服務，不到4年就成為印度最大的行動網路業者，也是全球第三大行動網路業者，用戶數達3.8億。</p> <p>這起投資案不僅讓臉書成為Jio Platforms最大的少數股東，也是印度科技領域迄今最大宗的國外直接投資。</p> <p>除了投資案之外，臉書旗下的WhatsApp、Jio Platforms與RIL也簽署了合作協議，將在JioMart平臺上以WhatsApp來推動商業服務，服務印度當地的小型企業。印度不只是WhatsApp在全球最大的市場，WhatsApp也是印度最受歡迎的行動程式。</p> <p>RIL表示，WhatsApp已是印度人與企業之間重要的聯繫管道，而新設立的JioMart平臺則與當地數百萬個商家及小雜貨店，建立了合作關係，未來印度消費者將能透過JioMart與WhatsApp的整合，迅速地找到離家最近的商店。</p> <p>RIL也認為，在武漢肺炎疫情之後，全面的數位化將是振興印度經濟的必要條件，在轉型的過程中，不僅會帶來新的商業機會，也將創造新的就業機會。</p> </div></div></div>
2020/4/22 14:20作者陳曉莉https://www.ithome.com.tw/news/137137
協助研究人員度過疫情難關，Google將發給獎金1,300美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2020/04/research-grants-to-support-google-vrp_20.html" target="_blank">Google宣布</a>擴大實施漏洞研究補助方案，發現金幫助有需要的安全研究人員，度過武漢肺炎疫情引發的經濟動盪。</p> <p>Google 2015年首次<a href="https://www.ithome.com.tw/news/93860" target="_blank">公布漏洞研究補助</a>（Vulnerability Research Grant，VRG），目的在補貼安全研究人員所花的時間和心力，即使他們沒有找到任何漏洞。因應今年武漢肺炎疫情衝擊下許多人失業，也為了強化用戶安全，Google將暫時擴大實施漏洞研究補助方案。</p> <p>從即日起，Google漏洞獎勵方案（Vulnerability Reward Program，VRP）研究人員從2018年到2020年4月之間，曾有2份以上研究獲獎的人，都可以獲頒1,337美元。Google希望這些補助，能幫助研究人員度過這段困難時期。而利用這筆補助找到的漏洞，還是可以參加Google主要的漏洞獎勵方案（VRP）。</p> <p>如果有人不缺錢或不感興趣，也可改捐到推動COVID-19防疫的慈善機構，Google也會視情況捐出同樣的金額。</p> <p>這個補助方案將持續到2020年底。</p> </div></div></div>
2020/4/22 14:40作者林妍溱https://www.ithome.com.tw/news/137138
武漢肺炎效應：Netflix今年首季增加的用戶數比預期多一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix本周公布了該公司<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2020/q1/FINAL-Q1-20-Shareholder-Letter.pdf" target="_blank">今年第一季的財報</a>，透露出武漢肺炎疫情讓Netflix這一季新增了1,577萬名新用戶，比原本預期的820萬多了一倍。</p> <p>財報顯示，Netflix在今年第一季創下57.68億美元的營收，比去年同期成長27.6%，淨收入為7.09億美元，每股盈餘為1.57美元。</p> <p>此外，該季Netflix的全球訂閱用戶數為1.83億，比去年同期增加22.8%，但該季新增了1,577萬名新用戶，遠超過前幾季的新增數量，例如從去年第四季以來，該平臺每季新增的訂閱用戶數量依序是960萬、270萬、677萬及876萬。</p> <p>新用戶激增，但營收卻未呈相對成長的原因，是美元的強勢削弱了Netflix的海外營收。</p> <p>儘管在今年第一季有著亮眼的表現，但Netflix在財報上著墨最多的卻是對疫情的關注。該公司表示，在許多政府與ISP的要求下，他們暫時調降了許多用戶的流量，工程師基本上是在一夕之間回應了這些國家的請求，同時他們也與ISP業者密切合作，一旦疫情或網路狀況改善了，就能增加流量。</p> <p>此外，Netflix也說在這波疫情中他們是幸運的，能夠自遠端提供服務予居家隔離的使用者，使得第一季有更多的付費用戶加入，也有更多的觀看流量，但他們預期不管是用戶的成長或是觀看流量，都會在疫情趨緩之後下滑，而他們也希望這一天能夠儘快到來。</p> <p>Netflix預測該平臺在今年第二季新增的用戶數為750萬人，恢復過去的水準。</p> </div></div></div>
2020/4/22 14:50作者陳曉莉https://www.ithome.com.tw/news/137139
分析師：iPhone SE還有Plus版，將延後至明年下半年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>著名的蘋果分析師郭明錤去年即披露，蘋果正在規畫螢幕更大的iPhone SE Plus，而且準備在2021年的上半年推出，不過，近日他說，<a href="https://9to5mac.com/2020/04/21/kuo-iphone-12-facing-mass-production-delays-iphone-se-plus-release-postponed/" target="_blank">蘋果已然改變了時程表</a>，5.5吋或6.1吋的iPhone SE Plus，可能要到明年下半年才會問世。</p> <p>蘋果才在日前發表了4.7吋的iPhone SE 2，搭載了最近的A13晶片，這是入門款iPhone，最低階版本的售價為399美元（14,500元新臺幣），即將在本周上市。</p> <p>根據郭明錤的說法，iPhone SE Plus將會採用全螢幕設計，也不會支援Face ID人臉辨識，只會在電源鍵上整合Touch ID指紋辨識功能。</p> <p>此外，他說蘋果已展開了iPhone 12的驗證程序，但因疫情的關係，有些驗證只能線上進行，有些則必須委由當地的員工負責，可能會讓工程驗證測試晚一個月完成。</p> <p>郭明錤也預期蘋果今年會發表4款旗艦iPhone機種，它們全都將支援5G，而且發表時間可能會錯開。一般認為，蘋果很可能趕不及在今年秋天發表iPhone 12。</p> </div></div></div>
2020/4/22 15:00作者陳曉莉https://www.ithome.com.tw/news/137140
微軟遠端桌面用戶端漏洞可讓駭客執行遠端程式碼，但微軟不願修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列安全廠商<a href="https://cymulate.com/news/cymulate-discovers-hidden-malware-mstsc/" target="_blank">Cymulate發現</a>，微軟遠端桌面用戶端（Remote Desktop Client）一項漏洞，讓駭客可以繞過安全驗證而在Windows系統執行惡意程式碼。不過微軟認為攻擊不易，因而拒絕修補。</p> <p>在建立遠端桌面連線時，微軟遠端桌面用戶端（舊稱Microsoft Terminal Service Client，MSTSC）需要呼叫mstscax.dll等DLL檔案，使Windows和遠端電腦或虛擬機器建立網路連線。這家廠商發現攻擊者可以透過微軟RDP（Remote Desktop Protocol）執行DLL側載（DLL Side-Loading），繞過安全檢查執行惡意程式碼。</p> <p>Cymulate研究人員指出，現行Windows設計下，執行檔載入mstscax.dll並不會驗證函式庫程式碼的安全性，因此攻擊者可將C:\Windows\System 32資料夾中的mstscax.dll以同名惡意檔案置換掉，在合法程序掩護下執行惡意行為。</p> <p>研究人員通報微軟後，微軟並未加以修補，理由是在Windows\System 32資料夾下置換DLL檔案需要管理員權限，因此不認為是威脅。</p> <p>但研究人員指出有不需要管理權限的攻擊方法。只要將mstscax.dll複製到外部資料夾，則mstsc.exe就不是從system 32資料夾載入DLL檔，也就不需管理員權限。這麼一來，駭客就可以在已獲得簽章的mstsc.exe中執行惡意程式碼，並繞過AppLocker等安全檢查。</p> <p>DLL side-loading為新興攻擊手法，近年一些APT惡意程式即透過DLL Side-loading技術，將惡意程式隱藏在一些常見程式的根目錄中，如Version.dll、Comres.dll、rasaut64.dll和rasaut.dll（64位元），利用電腦開機優先載入系統system.dll程式的特性，優先載入這些偽裝成正常程式的惡意程式。</p> <p>安全專家建議，為防Windows遠端桌面的漏洞遭到濫用，企業可以關閉mstsc.exe、並利用安全監控工具來防止mstsc.exe的異常行為，此外，也應詳細檢查資料夾下的mstscax.dll是真的還是冒牌貨。</p> </div></div></div>
2020/4/22 00:00作者林妍溱https://www.ithome.com.tw/news/137136
Google推出BeyondCorp遠端存取服務，不需透過VPN就可存取企業內部應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/keep-your-teams-working-safely-with-beyondcorp-remote-access">Google推出可簡化企業員工存取內部應用程式的雲端解決方案BeyondCorp遠端存取服務</a>，這是一種以零信任方法為基礎的解決方案，讓企業員工可以在任何地方以任意裝置，不需要透過傳統的VPN，就能存取企業內部網頁應用程式。</p> <p>當企業員工不在企業內部網路的時候，通常無法直接以瀏覽器存取客戶關係管理系統、軟體臭蟲追蹤系統以及專案管理儀表板等網頁應用程式，而要透過VPN才能遠端存取，但Google提到，舊的VPN基礎架構，很難讓IT團隊在短時間部署和管理眾多新用戶，而且當企業要向臨時員工或是合作廠商的員工提供VPN存取時，問題將會更複雜，而從用戶角度來看，對於沒有用過VPN的使用者，VPN操作可能並不簡單。</p> <p>而且擴展VPN的使用相當於擴展了企業網路範圍，因此使用VPN也可能增加安全風險，因為企業預設這些網路範圍的用戶都是可以信任的。BeyondCorp遠端存取服務則反其道而行，不信任所有的連線，連線要經過身份、上下文、規則引擎和強制存取點各驗證關卡，才能成功存取網頁應用程式、虛擬機器和API等各種應用和資料，這些關卡可以阻擋釣魚以及DDoS等攻擊。</p> <p>Google提到，BeyondCorp不僅僅是VPN的替代品，該服務能確保只有合適的用戶，才能在合適的環境存取適當的內容，Google舉例，像是配置企業外包的人資部門，可以讓他們在家使用自己的電腦存取網頁文件管理系統，而前提是裝置必須使用最新版的作業系統，並且使用安全金鑰等身份驗證方法來防網路釣魚；企業也能設定打卡應用程式，可以讓時薪工作者以任何裝置在任何地點存取。</p> </div></div></div>
2020/4/22 13:10作者李建興https://www.ithome.com.tw/news/137132
Microsoft 365家用、個人版正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.ithome.com.tw/news/136662" target="_blank">三月底宣布</a>將Office 365品牌改為Microsoft 365，而一如預定計畫，4月21日，Microsoft 365品牌及服務<a href="https://www.microsoft.com/zh-tw/microsoft-365/buy/microsoft-365" target="_blank">正式上路</a>。</p> <p>隨著品牌改名，Office 365原有家用（Home）及個人（Personal），也將改名為Microsoft 365家用（Family）及個人（Personal）版，訂價維持同樣水準：個人版僅限一人使用，費用為每月新臺幣219元（每年2,190元），家庭版方案提供最多6人使用，每月新臺幣320元（每年3,190元），皆包含1人1TB OneDrive雲端硬碟。微軟企業副總裁Yusuf Mehdi也<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2020/04/21/microsoft-365-family-work-home/" target="_blank">宣告兩項服務</a>，即日起正式上線。</p> <p>長期而言，現有3,800萬名Office 365個人及家用版用戶，將自動轉為Microsoft 365個人及家庭版。</p> <p>Microsoft 365最大特色是加入Office 365原本沒有的家用版Teams，及可提供家中成員行蹤管理及跨Windows、Android裝置和Xbox使用時間的家人安全（Family Safety）。此外，還有可整合銀行帳戶作為帳戶管理的Money in Excel（僅支援美國地區），不過三項功能都尚未上線，微軟只說即將推出。</p> <p>Microsoft 365其他新增特色，包括Word、Excel及Powerpoint的強化功能，像是提供錯字、文法訂正的Word Editor，Powerpoint教學工具Presenter Coach功能，以及提供學童在家學習等免費或付費範本。Skype則加入視訊功能Meet Now，最多支援50人同時視訊。</p> <p>而提供文字編輯功能的Chrome及Edge瀏覽器外掛Microsoft編輯器（Microsoft Editor），也<a href="https://chrome.google.com/webstore/detail/microsoft-editor/gpaiobkfhnonedkhhfjpmhdalgeoebfa" target="_blank">在本月初上線</a>，讓使用者即使上社交網站或在IM聊天，也能獲得拼字及文法修正服務。</p> </div></div></div>
2020/4/22 13:40作者林妍溱https://www.ithome.com.tw/news/137135
Web大會首次在臺舉辦，受疫情衝擊全程改採線上會議，探討AI、假新聞、網路偏見各議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Web Conference大會首度移師到臺灣舉行，適迎網際網路誕生30年，但受到武漢肺炎（COVID-19）疫情在全球大流行的衝擊，今年全程改採線上會議進行，由各領域專家發表演說，探討AI、假新聞、網路偏見、法規、道德等議題。</p> <p>前身為International World Wide Web Conference的Web大會，每年是由IW3C2委員會（International World Wide Web Conference Committee）舉辦，每年吸引來自學術、業界的各領域專家發表專題，共同探討網路科技在法規、道德各方面的發展。專門制訂WWW標準的W3C也會趁此期間召開網路標準會議，可以說每年Web Conference是瞭解網際網路最新發展的國際性重要會議。</p> <p>在中研院資訊科技創新研究中心主任黃彥男爭取下，今年Web大會首次在臺灣舉辦，以會議共同主席身分開幕致詞的黃彥男指出，今年在武漢肺炎影響下，迫使原本面對面的會議，全部改為線上進行，仍然吸引來自49個國家，將近千人註冊參加會議。相較於過去實體會議約有1600人參與，今年大會雖然受到疫情影響，全部以線上進行，一些需要面對面交流的活動也取消，儘管如此，仍吸引近千人註冊，他認為仍優於預期。</p> <p>今年因為受到疫情的影響，例如W3C的網路標準會議，因需要面對面溝通、交流，今年略過Web大會，而適逢網際網路誕生30年，而原本預定回顧網路30年發展的場次，也因為講者無法來臺，改以訪談影片回顧；專門討論未來網路發展的場次，也決定延到明年在歐洲舉行的Web大會。</p> <p>其他如W4A、BIG、研究場次、指導活動仍照常舉行，只是改為Zoom或chime線上會議進行。這些活動演講的主題，涉及網路監控、AI、去中心化、假新聞、網路使用、偏見、物聯網等發展及研究。</p> <p>黃彥男表示，這次主辦會議，讓臺灣有向世界發聲的機會，例如在4月22日下午的AIoT場次，邀請國內業者發表，目的在對外為宣傳臺灣業者運用智慧物聯網技術，展現在智慧城市、生活的成果。</p> <p><strong>唐鳳大秀臺灣善用網路科技防疫成果</strong></p> <p>今天的開幕活動中，數位政委唐鳳也在主題演說中，分享了臺灣在這一波疫情下，如何運用網路科技協助防疫的成果。他認為臺灣在數位社會創新方面有三大特點，Fast、Fair和Fun。</p> <p>其中，Fast方面，利用網路科技快速蒐集、分享正確疫情資訊。例如在肺炎爆發之初，臺灣網友在熱門網路論壇ptt上，轉貼了武漢醫生李文亮的警告（華南水果海鮮市場確診了7例SARS）。轉貼的當日，也就是2019年12月31日，臺灣政府也得知了這項消息，並在當天發信通知WHO。隔天1月1日，政府也立即對武漢抵臺班機的乘客，進行健康檢查。</p> <p>「這顯示了兩件事，首先，臺灣的社會信任政府，才會在公開的網站上提到疫情爆發；再來，政府也信任人民，來認真處理疫情資訊。」他說。臺灣政府透過開設的中央流行疫情指揮中心，每天藉助網路直播，讓民眾掌握第一手的國內疫情最新發展資訊。</p> <p>臺灣也善用網路科技做到Fair，如運用網路科技和開放資料，打造口罩實名制預購系統，在疫情初期改善口罩分配不均的問題，更進一步運用開放資料，讓販售實名制口罩的各個藥局口罩存量透明化，每3分鐘更新一次，讓想要購買口罩的民眾隨時能夠查詢。民間團隊也運用資料，開發許多Chatbot、App和虛擬助理，來幫助民眾查詢口罩存量和購買資訊。</p> <p>政府也分析口罩購買數據，發現工時長的上班族，難以配合藥局營業時間購買口罩。也因此，政府快速打造新系統，近日推出的口罩實名制3.0，讓民眾可於四大超商，以健保卡繳費、預購。</p> <p>然而，網路的快速傳播，雖然能夠快速傳輸正確的訊息，但也可能被濫用，用以散佈錯誤資訊和聳動內容，造成謠言或恐慌。臺灣政府發揮Fun的特點，利用「Humor over rumor」，以生動有趣的幽默內容，來應對謠言。</p> <p>唐鳳點出，特別是在疫情期間，民眾容易誤傳不正確的資訊，比如衛生紙原料挪用來製作口罩，造成民眾瘋搶衛生紙、囤貨。對此，政府也以「咱只有一粒卡臣」的海報，透過社群媒體來說明衛生紙原料產地和口罩的差別，以幽默來散播正確訊息。</p> <p>此外，衛福部為加強衛教宣導，也以生動柴犬梗圖和俏皮言語，來傳播疫情注意事項，比如以兩隻柴犬的距離，來類比室外1公尺的社交距離。他認為這些都是藉助網路技術，而產生的數位社會創新。</p> </div></div></div>
2020/4/22 13:42作者蘇文彬https://www.ithome.com.tw/news/137134
阿里雲準備了280億美元要擴充全球雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里巴巴旗下的雲端運算服務業者<a href="https://www.alibabanews.com/%e9%98%bf%e9%87%8c%e9%9b%b23%e5%b9%b4%e6%8a%95%e6%94%be2000%e5%84%84%e4%ba%ba%e6%b0%91%e5%b9%a3/" target="_blank">阿里雲宣布</a>，將在未來3年內投入2,000億人民幣（約280億美元），以用來發展雲端作業系統、伺服器、晶片及網路等核心技術的研發，以及資料中心的建置，以強化該公司在全球的雲端服務能力。</p> <p>阿里雲從2009年創立以來，就開始打造自家技術，從「飛天」雲端作業系統、人工智慧晶片「含光800」、「神龍」伺服器架構，到低延遲網路與超級運算系統叢集等。阿里雲指出，該公司也會將未來3年所開發的技術，藉由新一代的資料中心的建置，於全球進行大規模部署。</p> <p><a href="https://www.ft.com/content/85536f2e-fc64-4d58-97e7-6d30fc9ea932" target="_blank">金融時報分析</a>，換算之下阿里雲要以每年約670億美元的資金來擴充雲端運算能力，遠高於該公司去年的355億美元支出。</p> <p>另一方面，根據阿里巴巴集團截至去年12月底的2020財年第三季財報，該集團在零售業務上成長了36%，但雲端服務則成長62%，在該季創下了107.21億元人民幣的營收，也是阿里雲的營收首度突破100億元人民幣。</p> <p>該集團很可能是在向同時擁有電子商務及雲端服務的Amazon借鏡，儘管Amazon的電子商務服務營收遠高於AWS雲端服務，但AWS所創造的獲利卻是電子商務業務難以望其項背的。</p> <p>根據Gartner所公布的2018年全球基礎設施即服務（infrastructure as a service，IaaS）市場調查報告，前五大業者依序為Amazon（市佔率47.8%）、微軟（15.5%）、阿里雲（7.7%）、Google（4.0%）與IBM（1.8%）。其中的阿里雲則主要受惠於中國的龐大市場，但也在全球21個區域設有雲端資料中心。</p> </div></div></div>
2020/4/22 12:30作者陳曉莉https://www.ithome.com.tw/news/137133
Go開發者大調查：8成受訪者不滿意Go不支援泛型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼新興語言Rust之後，<a href="https://blog.golang.org/survey2019-results" target="_blank">Google力推的程式語言Go，也發布了自家的開發者大調查</a>，這次Go官方總共收到了10,975份回覆，總數接近去年的兩倍。這次他們增加了許多有關使用者統計問題，以更好地了解受訪者的輪廓，官方表示，他們這次做的調查結果，與程式設計問答網站StackOverflow所做的2019年度調查結果相近。</p> <p>這此問卷調查的受訪者56％使用Go不到兩年，整體使用者年資偏短，將Go用在工作中的比例占所有受訪者72％，而有62％的人把Go用在工作之外的專案，官方表示，在2018年的時候，將Go用在工作或是工作外專案的比例，都較前一年大幅增加，但是今年得到的結果與之前不同，也就是說這次受訪者較傾向在工作外使用Go，而在工作使用另一種語言，官方提到，他們在這份調查中的不同問題，看到了相似的異常值。</p> <p>建置API/RPC和CLI仍是Go最多見的用法，比例分別為71％以及62％，問卷調查也詢問了受訪者使用Go的領域，有66％的人將Go用於網頁應用程式開發，其他常見的應用領域還有資料庫、網路程式、系統程式和DevOps任務等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig20.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>在套件管理上，絕大多數的受訪者（89％），都已經透過Go命令使用Modules，官方提到，改變套件管理方法對於開發人員來說，是一個巨大的轉變，而此時整個社群正同時經歷這樣的改變。</p> <p>由於Go在設計時，考慮了現代分散式運算，因此Go可以說是一個雲端語言，今年官方在問卷增加了有關雲端開發的問題，以更全面了解Go開發者和雲端供應商的關係。這次的調查可以明顯看到兩個趨勢，三大全球雲端供應商AWS、GCP和Azure，在受訪者的使用率都上升，其他的供應商每年使用率皆只有一小部分，且大部分都衰退，另外，企業自有或是就地部署的比例持續減少，已經和AWS的市占比例相去不遠。</p> <p>開發者在不同雲端平臺以不同的方式部署Go工作負載，將工作負載部署到AWS和Azure的受訪者，有很大比例直接使用虛擬機器，分別為65％和51％，而部署到GCP的受訪者，則有64％的人使用Kubernetes平臺，幾乎是虛擬機器35％的兩倍。受訪者使用GCP和Azure的無伺服器平臺比例低，僅有17％和7％，而AWS卻有33％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig25.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>大致所有的受訪者，對於三大主要雲端供應商的Go使用體驗都感到滿意，排序分別是AWS有80％的滿意度，GCP也有78％，而Azure較低只有57％，受訪者反應，Azure並沒有優先支援Go，也就是說沒有持續支援最新的Go版本，使得開發人員無法使用到最新的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig26.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>針對Go的痛點，有79％的受訪者認為Go缺乏關鍵功能泛型（Generics），而有22%的受訪者認為官方應該繼續改進Go的除錯功能，另外還有13%的人要求更多的函式程式語言功能，特別像是map、filter和reduce等，官方特別指出，當Go提供了這些關鍵程式語言功能，則開發者將能夠更廣泛地使用Go。</p> <p>在開源的表現上，Go雖然是一個開源專案，但是不代表Go的開發者也都會用Go來開發自由或是開源專案，從問卷的資料看起來，Go社群參與開源專案的比例正在縮小，不常與不曾參與開源專案的受訪者百分比，從2016年的71％逐年增加，到2019年達到75％；而受訪者中，僅有約7％到8％的受訪者，是穩定的開源專案貢獻者，會每天參與開源貢獻，每周與每月開源貢獻者比例皆逐年降低。</p> <p>Go開發者主要在Linux和macOS上開發Go程式，分別有66％與53％，而Windows只有20％，而在編輯器選擇上，GoLand成長非常快速，從24％的使用率上升到34％，雖然VS Code成長速度減緩，但仍然位居Go開發者最愛IDE，有41％受訪者使用，第3與第4名分別為Vim和Emacs，前四名使用率占受訪者四分之三，且除了前兩名，其他編輯器使用率都在衰退。</p> <p>官方提到，根據這次的調查，受訪者對於泛型、套件管理和工具三個領域最不滿意，因此在今年，這三個領域將會是Go團隊的重點關注項目，接下來幾個月內，他們會大幅改善模組、工具和開發者入門的體驗。</p> </div></div></div>
2020/4/22 12:50作者李建興https://www.ithome.com.tw/news/137129
新版Visual Studio 2019強化版本控制以及行動開發功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/new-in-visual-studio-2019-v16-6-preview-3/">微軟釋出了Visual Studio 2019最新的16.6預覽版</a>，其中擴展了Git版本控制功能，並且強化了行動程式開發人員的工具。</p> <p>當使用者以一個解決方案複製（Clone）儲存庫後，現在Visual Studio 2019會自動載入該解決方案，不像過去還需要使用者手動操作，因此能夠節省開發者的時間；而且微軟還更新提交和儲存使用者介面，改善整體體驗，使得操作更加直覺。微軟也在頂層Git選單添加新的指令，可方便開發者以鍵盤存取，操作包括複製儲存庫、在命令提示字元開啟儲存庫，或是查看分支歷史紀錄等動作。</p> <p>微軟收到開發者社群對遠端分支管理的回饋，因此改善了相關的功能，現在這些功能都新增到分支下拉列表中；而且開發者現在還可以在儲存庫歷史紀錄中，創建新的分支提交。開發者可以從工具選單中，啟用Git預覽新功能，來存取Visual Studio 2019預覽版新加入的版本控制功能。</p> <p>在行動應用程式開發的改進上，現在XAML熱載入的速度更快，在開發者進行更改的時候，頁面上可以呈現更多的狀態，開發者能從工具選單中，設定熱重載僅重載更改，讓XAML更改不會刷新整個頁面。</p> <p>另外，現在開發者可以在字體和顏色設定中，更改Visual Studio終端機的字體和大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/166-P3-VS-Terminal.png" style="width: 580px;" /></p> </div></div></div>
2020/4/22 13:05作者李建興https://www.ithome.com.tw/news/137131
沒網路也未必安全，研究人員以風扇震動外洩不連網PC的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這年頭即使不連網，也不再能防範駭客竊取電腦的機密資訊了。以色列本古里安大學（Ben Gurion University）<a href="https://cyber.bgu.ac.il/advanced-cyber/airgap" target="_blank">研究人員本周展示了</a>，如何利用PC風扇震動，來將資料暗中傳送出去，即使電腦完全不連網。</p> <p>本古里安大學網路安全研究中心教授Mordechai Guri的團隊，發表名為《AiR-ViBeR: Exfiltrating Data from Air-Gapped Computers via Covert Surface ViBrAtIoNs》的論文，展示這項新式攻擊手法。</p> <p>一般電腦都有一個以上的散熱風扇，有的高階元件如GPU，還內建風扇避免晶片過熱。而這些風扇啟動時會造成底層支撐物，如桌面的震動。本研究使用的是接觸到桌面的機殼風扇，而非GPU風扇，藉由改變風扇轉速來進行攻擊。</p> <p>本攻擊需要先在電腦內安裝惡意軟體，使其不斷改變風扇轉速，導致桌面產生不同頻率的震動。此外，攻擊者還需要搭配一個能將震動頻率解析成資料的裝置。</p> <p>Guri指出，智慧型手機正是最適合的裝置。理由是智慧型手機內建的加速器，可用來偵測震動，而Android和iOS都不會懷疑這類感測器，不會要求使用者許可即可存取。加上智慧型手機啟用感測器時，從外表上看不出來。最後，攻擊者可透手機瀏覽器的JavaScript來存取這類感測器，這表示駭客連植入惡意程式到手機的手續都不用，就可以接收到震動訊息。</p> <p>至於在不連網電腦植入惡意程式這點，Guri表示，2010年起攻擊全球軍事設施及電廠的<a href="https://www.ithome.com.tw/node/63565" target="_blank">Stuxnet，就發生過了</a>。這些程式需具備蒐集資料，還要事先編碼好。</p> <p>一切就緒後，惡意程式只要轉動PC風扇使桌面以特定頻率產生震動，再以JavaScript接收手機的感測器資訊，再以手機網路把資料傳送到遠端駭客。為免被察覺，研究人員並展示以每秒0.5 bit的極慢速度傳送資料。他說運氣好的話，甚至還能蒐集到幾把SSH金鑰。</p> <p>Guri之前也曾展示過多項離奇手法，包括使用螢幕亮度、<a href="https://www.ithome.com.tw/news/112324" target="_blank">硬碟LED燈號</a>、<a href="https://www.ithome.com.tw/news/109780" target="_blank">將耳機變成收音器</a>，以及<a href="https://www.ithome.com.tw/news/116938" target="_blank">紅外線攝影機</a>等媒介，將不連網PC的資料傳送出去。</p> </div></div></div>
2020/4/21 15:45作者林妍溱https://www.ithome.com.tw/news/137125
FBI：要在臉書上分享自己的高中照片？請三思而後行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）的夏洛特分局，近日<a href="https://www.fbi.gov/contact-us/field-offices/charlotte/news/press-releases/fbi-charlotte-warns-popular-social-media-trends-can-lead-to-fraud" target="_blank">向社交媒體用戶提出警告</a>，要他們留意在網路上所分享的資訊，因為有愈來愈多的社交媒體主題看起來像是很好玩的遊戲，卻能揭露使用者所設定的，用來查詢密碼的安全問題答案，而讓詐騙者得以利用這些個人資訊來重設帳號密碼，以存取使用者的帳號。</p> <p>社交網路上經常流傳著許多遊戲，像是你最喜歡的十本書，或是你最喜歡的十部電影，有些遊戲可能無傷大雅，但有些則可能曝露使用者的重要資訊，例如最近美國開始流行要臉書用戶張貼高中照片，用以支持那些因武漢肺炎疫情，而錯過畢業典禮的學生。</p> <p>然而，FBI及美國的非營利組織Better Business Bureau（優良企業組織，BBB）都對此事提出了警告。</p> <p>FBI與BBB指出，詐騙份子或駭客都將看到這些臉書用戶在高中時所就讀的學校名稱、吉祥物、或是畢業的年份，而這些都是取回密碼時常見的安全問題答案，因而呼籲使用者要分享這些資訊時，最好三思而後行。</p> <p>不只是上述，FBI認為，有些主題要求使用者張貼自己的第一輛車、公布自己最好的朋友、第一隻寵物的名字、第一場演唱會、最喜歡的餐廳，或是最愛的老師，都可能牽涉到安全問題的答案。</p> <p>總之，FBI鼓勵社交網路用戶應該要仔細想想，在網路上分享過多個人資訊可能會造成的負面影響，也建議使用者啟用雙因素認證機制。</p> </div></div></div>
2020/4/21 16:30作者陳曉莉https://www.ithome.com.tw/news/137127
企業如何面對零星社區感染？中油分享內部BCP作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">武漢肺炎（COVID-19）自年初爆發至今，國內疫情呈零星社區感染，企業難免遇到人員確診或被隔離。為強化企業因應疫情的能力，中央流行疫情指揮中心不只在上個月發布企業持續營運計畫（BCP），近日更找來中油，來分享中油內部的BCP模式，並特別<a href="https://drive.google.com/drive/folders/1f78uWQVsbkG7AeOSONHhnQ7D6twVO0yn">製作成3分鐘的影</a>片，來給國內企業參考。</p> <p dir="ltr">中油工業安全衛生處處長黃三泰指出，中油本身訂有流行性傳染病應變計畫，防疫的基本功是以電子看板、Email和紙本文宣，對員工和承攬商加強衛教宣導，內容包括勤洗手、酒精消毒、減少出入公共場所和電梯內禁止交談等，並提醒員工，要是出現呼吸道症狀等身體不適情形，應在家休息。</p> <p dir="ltr">此外，宣導內容也包括保持社交距離，也就是室內室外保持1.5公尺和1公尺距離，要是無法保持，也應正確配戴口罩。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">規畫動線、建立高風險名單</span></span></span></span></strong></p> <p dir="ltr">打好防疫的基本宣導後，中油也規畫大樓進出動線，利用紅外線體溫感測儀和攝影機，來把關進入人員的體溫。要是體溫檢測異常，則會安排防疫公假，立即就醫。</p> <p dir="ltr">另一方面，中油也建立高風險族群名單，將有出國史和旅遊史的員工、承攬商和外賓等納入其中。此外，中油也要求承攬商和外賓進入大樓時，填寫健康聲明書。對於體溫異常的紀錄，內部人員也會進行追蹤。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">避免人多集會，改採線上會議或視訊教學</span></span></span></span></strong></p> <p dir="ltr">為避免多人群聚帶來的風險，中油會議「只要超過30人，就盡可能改為線上會議。」同時也暫停非急迫訓練，或改以視訊授課。</p> <p dir="ltr">同樣地，為避免人潮，大樓內部電梯也改採左右側分流方式，比如到達樓層為單數，就搭乘右側電梯。而餐廳供餐時，也全部改成外帶。</p> <p dir="ltr"><strong><span style="font-size:22px;"><span style="color:#FF8C00;">異地辦公演練，以防不時之需</span></span></strong></p> <p dir="ltr">除此之外，為以防不時之需，中油也進行異地辦公演練。首先，團隊設置了第二辦公區，將各單位的一級正、副主管區隔開來，一方面也設置居家辦公所需的VPN網路，給所需的員工使用。</p> <p dir="ltr">再來，中油也建立防疫回報物資專區，包括耳/額溫槍、酒精、一般醫療口罩、N95口罩等，來統計公司內部的物資用量和去處，在緊急情況發生時，也可互相調度、支援。</p> <p dir="ltr">為加速訊息掌握度，中油建置了上、下班速報表，來通報管制個案，讓各級主管在第一時間掌握消息。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><strong><span style="font-size:22px;"><span style="color:#FF8C00;"><span id="docs-internal-guid-8f6d3b57-7fff-1992-2282-e383370be928"><span style="font-family: Arial; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">BCP五大步驟來把脈，要助企業降抵抗疫情衝擊</span></span></span></span></strong></p> <p dir="ltr">中央流行疫情指揮中心3月5日頒布的企業BCP指引中，涵蓋了五大步驟，也就是情境、風險與衝擊、因應對策、應變組織與緊急聯絡網、持續營運計畫和演練等。</p> <p dir="ltr">這些步驟，提供了企業可能面臨的狀況和應對措施，比如，企業可能遇到員工被隔離、旅遊警示無法出差或原物料受阻等，接下來，企業必須考量這些情境造成的風險與衝擊，比如斷貨、辦公地點封閉、財務周轉等。</p> <p dir="ltr">了解風險和衝擊後，企業就能一一制定因應對策、安排應變組織，比如採用數位工具、調配產量、善用政府紓困資源，成立應變專責單位等。之後，再進行應變演練和後續改善。</p> <p dir="ltr">指揮中心也強調，由於企業屬性和營運模式差異大，各企業仍應盤點核心任務和衝擊，再從評估結果中，來降低員工感染風險，比如調整人員辦公、出勤和出差等方式，並制定企業內部BCP。文◎王若樸</p> <div> </div> <div id="gtx-trans" style="position: absolute; left: -17px; top: 395px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2020/4/21 16:34作者王若樸https://www.ithome.com.tw/news/137126
專案量下滑，Kickstarter也要裁員了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名的募資平臺Kickstarter本周對內宣布，由於全球正經歷著史上前所未有的經濟大衰退，目前該站的專案數量也比去年同期少了35%，使得他們必須裁員，來維持公司的未來發展。</p> <p>2009年成立的Kickstarter定位為創意募資平臺，專門替各種創新專案對外募資，迄今已有超過44.5萬個專案透過該平臺集資，有1,700萬名使用者投入逾46億美元的資金，目前的員工人數為140名。</p> <p><a href="https://www.theverge.com/2020/4/20/21228412/kickstarter-layoffs-planned-coronavirus-project-declines-crowdfunding-union" target="_blank">根據The Verge所取得的信件</a>，Kickstarter執行長Aziz Hassan向員工說明，現在該平臺的專案數量比去年同期少了35%，而且沒有任何復甦的跡象，隨之下滑的是該平臺的營收，代表若要維持長久的經營，就必須大砍成本。</p> <p>此外，去年Kickstarter的稅後盈餘約為127萬美元，但皆已投入該平臺今年前4個月的運作。Hassan指出，他們已採取了各種必要的手段，包括減少高層及董事的薪水、限制招聘並遇缺不補，也削減各種非人事上的費用。然而，這些作法並不足以支撐Kickstarter渡過此一危機，因此決定進行業務重整，包括執行裁員行動。</p> <p>目前Kickstarter已與該公司的工會組織OPEIU 153進行溝通並展開協商，尚未透露裁員規模。</p> </div></div></div>
2020/4/21 17:05作者陳曉莉https://www.ithome.com.tw/news/137128
微軟記事本App又重新上架Microsoft Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在離不離開Windows這件事上反覆數次的獨立記事本（Notepad）App，上周又重新上架Microsoft Store。</p> <p><a href="https://www.ithome.com.tw/news/132493" target="_blank">微軟去年8月</a>，將記事本獨立成為可由Microsoft Store下載的App，不過在12月的Windows 10更新中，又取消這項計畫，重新讓記事本回歸Windows，但也沒說明理由。不過上周記事本App又重新回到了<a href="https://www.microsoft.com/zh-tw/p/windows-notepad/9msmlrh6lzf3?activetab=pivot:overviewtab" target="_blank">Microsoft Store中</a>供下載。</p> <p>如果你去年更新過記事本，新的記事本App除了圖示有更換之外，兩者的功能是差不多的：包括全文循環查找／替換選項（wrap-around）；可記憶搜尋／取代關鍵字和選項留待下次使用；以Ctrl+、Ctrl-或Ctrl+滑鼠滾輪，來縮放文字、啟動文字換行時，還能正確顯示行列數；效能提高，打開大型檔案速度更快；按Ctrl+Backspace刪除鍵，可以刪除游標前的整個單詞（而不是單個字母）；以及支援Linux/Unix、macOS換行字元。安裝後用戶也可將之釘選到開始選單或工作列中。</p> </div></div></div>
2020/4/21 15:10作者林妍溱https://www.ithome.com.tw/news/137117
Python推2.7.18紀念版告別Python 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pythoninsider.blogspot.com/2020/04/python-2718-last-release-of-python-2.html" target="_blank">Python官方在python.org釋出了Python 2.7最後版本Python 2.7.18</a>，並提到，CPython社群是時候跟Python 2告別了。Python在釋出了2.6之後，核心開發者以及貢獻者持續開發維護Python 2.7版本11年，而這並非一項輕鬆的工作，因為Python 2與後來的Python 3分支存在不少差異。</p> <p>Python 2.7這段發展歷程中，經過許多重大的變化，像是Python安全性強化PEP 466，就向後移植到SSL模組以及雜湊隨機化功能上，官方提到，在傳統上這些功能是不可能以維護模式，添加到分支上，但為了照顧Python 2使用者的安全性，因此獲得CPython社群的支持，進行了額外處理。</p> <p>另外，Python 2.7還獲得了二進位建置工具與作業系統專家的幫助，分別是Windows的Martin vonLöwis和Steve Dower，以及macOS的Ronald Oussoren和Ned Deily，因此得以提供適用Python 2.7的微軟Visual C++編譯器，以及為macOS 10.9提供二進位Python 2.7版本。</p> <p>在維護Python 2這麼多年之後，官方認為，現在該把社群的能量放在發展Python 3上了。</p> </div></div></div>
2020/4/21 15:45作者李建興https://www.ithome.com.tw/news/137115
分析師：20億人無法使用Google、蘋果開發的COVID-19接觸者追蹤技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果和Google 兩周前<a href="https://www.ithome.com.tw/news/136924" target="_blank">共同宣布</a>，將打造以藍牙技術為基礎的武漢肺炎（COVID-19）接觸史的匿名追蹤技術，希望最終能幫助各國政府更有效遏止病毒散布。不過分析師認為，恐怕有高達20億人無福享受到這項科技帶來的好處。</p> <p>根據Google和蘋果的設計，本系統是以藍牙Beacon廣播定位技術，來偵測鄰近藍牙裝置，再搭配匿名的隱私保護設計而成。它可將特定時間及地區相鄰手機藍牙連線的資料儲存在資料庫中，用戶也可以opt-in加入，並以公衛主管機關核准的官方App存取。之後若有人病毒檢測為陽性，該App就會通知幾天之內曾和他有過接觸者的其他手機用戶。兩大廠估計5月先釋出API讓政府機構開發搭配的系統，後續會將該技術內建到iOS和Android兩大手機OS中，讓全球35億裝置都能支援。</p> <p>不過<a href="https://www.ft.com/content/271c7739-af14-4e77-a2a1-0842cf61a90f" target="_blank">金融時報本周引述</a>科技產業分析機構CCS Insight分析師Ben Wood說法，認為這項方案仰賴新近的手機技術，將使經濟弱勢的用戶被排除在外。他說，現行全球人口使用的手機中，有部份沒有藍牙或最新作業系統，因此弱勢族群、使用舊款手機或古早功能手機的用戶，將無法享受到這個App的效益。</p> <p>報導也引述Counterpoint Research分析師Neil Shah的說法指出，例如手機必須具備BLE晶片才能偵測相鄰手機，同時降低手機耗電量，全球使用中的智慧型手機，有四分之一不具備這種晶片。另外，高達15億人用的是功能手機。而這20億手機用戶主要分布於經濟能力不高，或是COVID-19致死率最高的高齡族群。</p> <p>CCS Insight分析師估計在印度，則高達6、7成的成年人沒有現代化智慧型手機。Counterpoint則估計，已開發地區如美、英及日本，相容手機滲透率達88%，到了印度則降為5成。</p> <p><a href="https://www.nytimes.com/2020/04/07/us/coronavirus-race.html" target="_blank">紐約時報報導</a>在美國，非裔美人因武漢肺炎感染或死亡率在各地皆較白人來得高，即使在人口比例較少的城市，原因在於經濟能力較差，沒有健保、也只能搭公共運輸工具。另外武漢肺炎已經由歐美地區，向非洲、印度、中南美等地擴散，被認為是下一波疫情重災區。</p> </div></div></div>
2020/4/21 14:25作者林妍溱https://www.ithome.com.tw/news/137114
紐時：Dropbox曾私下找駭客調查Zoom的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2020/04/20/technology/zoom-security-dropbox-hackers.html" target="_blank">紐約時報於本周引述</a>多名Dropbox前員工的說法，指出當Dropbox在2018年準備與Zoom合作時，曾經聘請許多駭客來尋找Zoom的安全漏洞，當時他們被Zoom的漏洞數量與嚴重程度嚇壞了。</p> <p>Dropbox有個替合作夥伴及供應商進行安全評估的專案，而Zoom便是首個參與該專案的業者之一。Dropbox在2018年便邀請駭客尋找Zoom的安全漏洞，且在2019年贊助於新加坡舉行的HackerOne駭客競賽時，也把Zoom平臺納入攻擊目標中，以迫使Zoom修補安全漏洞。</p> <p>後來Dropbox不但內部開會都透過Zoom，也把Zoom整合到Dropbox的功能中，允許使用者直接在Dropbox中建立及參與Zoom會議，或是在Zoom會議中存取Dropbox檔案，也可自動將Zoom會議的紀錄與逐字稿直接儲存到Dropbox中，更在2019年以500萬美元入股Zoom，成為Zoom的股東之一。</p> <p>不過，這些已經離職的Dropbox員工回憶，當時駭客找到了Zoom的數十個問題，問題有大有小，但數量跟嚴重程度令人震驚，有些可用來接管Zoom用戶的行動，有些可透過Zoom於系統上執行惡意程式，在將漏洞提交給Zoom之前，Dropbox不但在內部替Zoom驗證與篩選漏洞，還在整合Zoom服務時，作了額外的安全措施。</p> <p>當時的Zoom甚至成為Dropbox的內部教材，在Dropbox的2018年員工駭客競賽中，工程師建立了山寨版的Vroom作為攻擊目標，目的是為了教育Dropbox工程師，如何避免Zoom所犯下的安全錯誤。</p> <p>看來Dropbox對於改善Zoom的安全性功不可沒，曾負責Dropbox安全性的Chris Evans即向紐時表示，毫無疑問的，Dropbox的早期參與，讓現在的Zoom更有能力處理視訊會議遭亂入的問題。</p> </div></div></div>
2020/4/21 14:45作者陳曉莉https://www.ithome.com.tw/news/137116
大型IT服務業者Cognizant證實遭到Maze勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Maze勒索軟體大肆攻擊各種產業的公司行號，不僅是事件屢見不鮮，更因為發動攻擊的駭客相當招搖，炫耀攻陷的政府機關和公司行號數量而引發關注，現在驚傳大型跨國IT服務廠商也遇害。例如，Cognizant於4月18日發出新聞稿，表示他們的內部系統受到Maze勒索軟體攻擊，導致部分客戶的服務被迫中斷。</p> <p>Cognizant是一間大型的IT管理服務公司，總部位於美國新澤西州提內克，在全球擁有近30萬名員工，年營收超過150億美元。這間公司原先是鄧白氏（The Dun & Bradstreet）內部技術部門，後來經歷母公司的重組，於1998年公司進行IPO，成為那斯達克首家掛牌的軟體服務商。隨後於2000年進行轉型，成為提供管理咨詢、系統業務流程外包服務的公司，並於2011年成為財富500強企業。</p> <p>至於這起攻擊事件的其他細節，該公司並未進一步透露，僅說明資安團隊正在處理，他們也通報了相關執法單位。同時，Cognizant也持續向客戶聯繫，並且提供入侵指標（Indicators of Compromise，IOC），以及進一步的技術資料，讓用戶能夠加以防範，避免遭到波及。</p> <p>除了Cognizant公告他們面臨網路攻擊，也有資安研究者Vitali Kremez公開Maze的YARA特徵碼，並在推特上宣稱可能就是這起事件的攻擊手法，讓其他企業也能夠識別相關威脅。這名研究人員指出，Maze攻擊的層面，同時結合遠端桌面協定（RDP）與其他的遠端服務，要各界更加留意防範。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">High alert related to the yet another ransomware attack perpetrated by the Maze group possibly affecting <a href="https://twitter.com/Cognizant?ref_src=twsrc%5Etfw">@Cognizant</a>.</p> <p>Reviewing & mitigating against the usual Maze TTPs (including RDP + remote services as an attack vector) is advisable.</p> <p>✅Pushed <a href="https://twitter.com/hashtag/YARA?src=hash&ref_src=twsrc%5Etfw">#YARA</a>↘️<a href="https://t.co/qcUY464fSf">https://t.co/qcUY464fSf</a> <a href="https://t.co/z2zHL5apkm">pic.twitter.com/z2zHL5apkm</a></p> <p>— Vitali Kremez (@VK_Intel) <a href="https://twitter.com/VK_Intel/status/1251388507219726338?ref_src=twsrc%5Etfw">April 18, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2020/4/21 12:48作者周峻佑https://www.ithome.com.tw/news/137112
調查局聯手微軟破獲40萬裝置組成的殭屍網路，散毒源頭是一個LED燈控制器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/apac/features/law-enforcement-and-microsoft-come-together-to-bust-a-major-malware-attack-in-taiwan/" target="_blank">微軟上周揭露</a>，法務部調查局去年8月接獲微軟臺灣數位犯罪防治中心（Digital Crimes Unit，DCU）通報，發現了一個涉及40萬裝置的殭屍網路。調查局循著VPN IP查出攻擊所在的鄉下建築，意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置。</p> <p>根據微軟的說明，臺灣DCU團隊一名眼尖的分析師，在監控螢幕上發現了不尋常的訊號，相關訊號在一個月內增加了100倍，仔細研究後顯示它涉及40萬個公開的IP位址，再縮小範圍到90個可疑IP，針對這90個IP再進行資料搜尋之後，找到了一個連結數十種攻擊活動的IP，發現該IP在一周內遞送高達1TB的惡意內容，涵蓋惡意程式、網釣郵件、勒索軟體，以及分散式阻斷服務攻擊等。</p> <p>該團隊隨後即向調查局報告，調查局藉由DCU所提供的情報，追蹤了此一非法的VPN IP，找到藏匿在VPN之後的帳號，發現惡意行動是源自於北臺灣農村的一個辦公大樓。</p> <p>令人稱奇的是，一般而言，駭客都是利用被駭的PC來執行網路攻擊，但這次的主角卻是一個LED燈光控制裝置，調查局很快就將它關閉，以防止它再遞送惡意程式。</p> <p>在這次行動後，調查局也和微軟DCU臺灣團隊，定期討論網路威脅的趨勢與情報。</p> <p>微軟與全球的政府組織都有類似的合作，今年3月微軟還曾協同35國的警方，破獲全球最大惡意郵件網路之一的<a href="https://www.ithome.com.tw/news/136274" target="_blank">Necurs</a>。此外，從2010年迄今，DCU團隊總計破獲了全球22個殭屍網路，合作的對象除了各國警方之外，也包括ISP及網域名稱註冊商。</p> </div></div></div>
2020/4/21 11:30作者陳曉莉https://www.ithome.com.tw/news/137110
Google修補Chrome 81 RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_15.html" target="_blank">Google上周釋出</a>Windows、Mac、Linux版Chrome 81.0.4044.113，以修補一項重大風險的遠端程式碼執行（RCE）漏洞，可能讓遠端攻擊者暗中執行惡意程式，用戶應儘速升級到最新版本。</p> <p>Google指出，最新版本Chrome將在未來幾天，最遲幾周內部署到桌機用戶。</p> <p>本次版本修補的漏洞，由中國安全廠商奇虎360 Alphabet實驗室的研究人員於4月初通報。該漏洞編號為CVE-2020-6457，屬於影響Chrome語音辨識元件中的使用已釋放記憶體（Use after free，UaF）漏洞。</p> <p>不過Google並未公開本漏洞細節，表示要等到大部份用戶，都接獲更新才會公布。此外，擔心其他專案使用的第三方函式庫尚未修補這項漏洞，因此Google也限制存取相關資訊。</p> <p>UaF漏洞是記憶體毁損漏洞，通常是由攻擊者發送指令觸發，進而在記憶體內寫入並執行惡意程式。安全廠商<a href="https://nakedsecurity.sophos.com/2020/04/17/critical-bug-in-google-chrome-get-your-update-now/" target="_blank">Sophos指出</a>，某些情況下UaF漏洞可能讓攻擊者變更程式內的控制流，像是導引CPU執行由攻擊者寫入記憶體、不受信任的程式碼，而繞過瀏覽器正常的安全檢查，或「你確定要執行？」的對話框，也是遠端程式碼執行（remote code execution，RCE）漏洞。</p> <p>Sophos解釋，這類漏洞可讓攻擊者在不觸發警告，在受害電腦上遠端執行程式碼，也是最嚴重的漏洞類型。</p> <p>該漏洞僅影響Windows、Mac、Linux版Chrome 81。<a href="https://support.google.com/chromebook/thread/41304060?hl=en" target="_blank">Google表示</a>並不影響ChromeOS版。</p> <p>GitHub安全研究人員本周稍早也揭露影響Chrome 80 WebAudio元件的另一個重大風險RCE漏洞，<a href="https://securitylab.github.com/advisories/GHSL-2020-053-chrome" target="_blank">編號CVE-2020-6450</a>，可讓駭客引誘用戶連上惡意網站開採。它起於2月間<a href="https://securitylab.github.com/advisories/GHSL-2020-035-chrome" target="_blank">CVE-2020-6427</a>，以及<a href="https://securitylab.github.com/advisories/GHSL-2020-038-chrome" target="_blank">CVE-2020-6429</a>這二項漏洞修補不全所致，如果用戶Chrome仍在80.0.3987.162 之前版本，也應儘速升級。</p> </div></div></div>
2020/4/21 11:40作者林妍溱https://www.ithome.com.tw/news/137111
Riot Games替新遊戲的防外掛機制推出抓漏獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《英雄聯盟》發行商Riot Games上周在HackerOne上啟動一項抓漏獎勵專案，鎖定了伴隨著新遊戲《Valorant》而來的防外掛機制Vanguard，Vanguard近來因為可持續在玩家的電腦上執行，而受到不少批評，促使Riot Games決定透過抓漏專案，來平息外界對Vanguard的隱私與安全疑慮，且最高獎金達10萬美元，堪稱是遊戲界史上最高的抓漏獎金。</p> <p>《Valorant》為一免費的多人第一人稱射擊遊戲，它在去年10月以Project A為名首度發表，已於今年4月7日展開封閉測試，預計在今年夏天正式推出支援Windows的版本。</p> <p>Riot Games還替《Valorant》設計了一個避免玩家安裝外掛的防作弊機制Vanguard，卻<a href="https://www.reddit.com/r/VALORANT/comments/fzxdl7/anticheat_starts_upon_computer_boot/" target="_blank">被玩家爆料</a>，只要一開機，系統就會自動執行Vanguard，不管有沒有在玩《Valorant》都一樣。</p> <p>這惹來玩家的議論，因為多數遊戲的防作弊機制，都是在執行遊戲時才會啟動，也有玩家認為，Riot Games的作法等於是讓作弊軟體無處藏身。</p> <p><a href="https://support-valorant.riotgames.com/hc/en-us/articles/360046160933-What-is-Vanguard-" target="_blank">根據Riot Games的解釋</a>，Riot Vanguard為該公司所打造的遊戲安全軟體，目的在於確保遊戲競爭的公平性，它由兩個主要元件所組成，一個是在執行《Valorant》時才會出現的客戶端程式，另一個則是核心模式的驅動程式。</p> <p>雖然Riot Games強調，不管是Vanguard客戶端程式或驅動程式，都秉持著隱私與安全守則，但依舊惹來玩家的爭議，使得Riot Games決定發起Vanguard的抓漏獎勵專案。</p> <p>根據HackerOne上的<a href="https://hackerone.com/riot/" target="_blank">專案說明</a>，若能透過網路展開攻擊，並於核心層級上執行程式且無需使用者互動的安全漏洞，最高可得10萬美元；若可未經授權存取機密資料的漏洞，最高價值7.5萬美元；若是需要使用者互動的程式執行攻擊，則是7.5萬美元；需要互動的資料存取攻擊，價值5萬美元；本地端的權限擴張漏洞，則依據是可執行程式或存取機密資訊，而有3.5萬及2.5萬美元的價碼。</p> <p>其他遊戲業者如任天堂、Rockstar Games或Valve，也都有在HackerOne上啟動抓漏專案，任天堂的最低獎金為100美元，Rockstar Games的最低獎金為150美元，可能因為獎金偏低，這兩家業者在過去一季所收到的漏洞報告，都不到100份。而Valve的最低獎金雖然也只有100美元，但平均獎金為750美元，而且最高曾付出2萬美元，使得Valve在過去一季，收到了218份的漏洞報告。</p> </div></div></div>
2020/4/21 06:20作者陳曉莉https://www.ithome.com.tw/news/137107
Google發布新的WebView除錯工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2020/04/developer-tools-to-debug-webview-in-beta.html">Google發布了新的WebView開發工具（DevTools）</a>，這是一套新的Android裝置上除錯工具，開發者可用來診斷由WebView引起的崩潰，以及網頁平臺功能的錯誤行為。</p> <p>雖然在多數的情況，Google都建議開發者應該利用標準的網頁瀏覽器，交付內容給使用者，但是在部分情況下，開發者可以使用WebView物件來顯示網頁內容，以提供更好的Android應用程式操作體驗。WebView可視為具有部分功能的瀏覽器，當開發者需要強化對使用者介面進行控制，或是提供進階選項的時候，WebView就能派上用場，讓開發者將網頁嵌入到應用程式中。</p> <p>WebView是一個可更新的元件，Google持續以更新的方法，改進其穩定性和效能，並加入網頁新功能以及安全性補丁，但Google提到，更新是一把雙面刃，在提升其穩定性和相容性的同時，也可能產生另外的新問題，Google還表示，由於所有應用程式都存在臭蟲，要在應用程式中載入網頁內容，更是有其挑戰性，WebView崩潰很容易成為應用程式的痛點。</p> <p>要對WebView崩潰測試並不容易，因為容易跟Java和C堆疊追蹤混淆，因此為了讓開發者可以提早發現問題，Google釋出WebView Beta計畫，開發者可用來對WebView程式除錯，為了方便，WebView開發工具就包含在WebView中，開發者只要使用WebView Beta就能啟用WebView開發工具。WebView Beta計畫可以讓開發者在新版WebView發布到使用者裝置之前，就讓應用程式開發者先用到新功能，並且回報相容性問題。</p> <p>為了讓崩潰更好處理，Google讓開發者能方便地存取WebView內建崩潰回報工具，只要在WebView開發工具中點擊按鈕，就能看到裝置上最近由WebView所造成的崩潰列表，強制上傳未回傳的崩潰報告，並且提交成為臭蟲報告，Google會根據這些資訊改進WebView。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-VSv9mpaVrrc/XpoQ4KbaW_I/AAAAAAAAO4I/XK8Xfii9McMlwJe27_4oAGCmXFzEGQBPQCLcBGAsYHQ/s1600/revised-flags.gif" style="width: 250px;" /></p> <p>不過也並非所有的錯誤都會導致崩潰，也有可能是新功能改變程式行為，破壞了Android應用程式，Google提到，Chrome團隊在每個WebView版本都啟動多個新功能，這常需要時間確認潛在的問題，而WebView開發工具則能發揮作用，提供控制與實驗功能，以進行網路平臺相容性測試；Google提到，使用WebView開發工具可以幫他們找出臭蟲所在。</p> <p>從最新的WebView Beta版本開始，就包含了WebView開發工具的啟動圖標，開發者可以在應用程式中對WebView除錯。在即將發布的版本，WebView開發工具還將加入功能旗標功能，讓開發者在測試裝置上更方便地試驗程式相容性。</p> </div></div></div>
2020/4/21 05:40作者李建興https://www.ithome.com.tw/news/137103
區塊鏈金融平臺dForce的加密貨幣資產幾乎被盜領一空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>源自中國的區塊鏈金融平臺dForce宣布，該平臺旗下的存款及貸款服務Lendf.Me在周日（4月19日）遭到駭客入侵，駭客盜走了價值約2,500萬美元的數位資產。dForce才在4月15日完成150萬美元的募資活動。</p> <p>dForce奠基在分散式金融技術（Decentralized Finance，DeFi）架構上，目前的DeFi網路由各種新創組成，目的是為了推廣分散式的金融服務，而dForce即是其中之一。</p> <p>根據專門觀察DeFi新創價值的DeFi Pulse<a href="https://defipulse.com/dforce" target="_blank">所提供的數據</a>，dForce在4月19日的數位資產還有2,495萬美元，但到了20日只剩下1萬美元，意謂著駭客幾乎盜走了dForce的全部資產。</p> <p>dForce創辦人暨執行長<a href="https://medium.com/dforcenet/a-summary-of-the-attack-on-lendf-me-on-april-19-2020-e2f1c5d96640" target="_blank">楊民道表示</a>，他們是在臺北時間4月19日的早上9點15分偵測到攻擊行動，駭客把Lendf.Me合約中的資產盜領一空，約莫是2,500萬美元。</p> <p>楊民道指出，駭客結合了ERC777代幣與DeFi智慧合約的安全漏洞以進行重入（reentrancy）攻擊，以盜走加密貨幣資產。專精於區塊鏈安全的PeckShield則對駭客的攻擊手法<a href="https://medium.com/@peckshield/uniswap-lendf-me-hacks-root-cause-and-loss-analysis-50f3263dcc09" target="_blank">作了完整的解釋</a>。</p> <p>楊民道也透露駭客企圖與他聯繫，目前該公司正在努力控制局勢，包括通報不同地區的執法機構，以及要求資產發行商及交易中心，將駭客的錢包位址列入黑名單。</p> <p>目前dForce已關閉Lendf.Me服務，並邀請資安業者替該平臺進行全面的安全稽核，也打算對該系統進行資本重組。</p> <p>儘管DeFi在過去幾個月，還被視為是以太坊（Ethereum）或其它智慧合約的殺手級應用，因為它允許使用者透過區塊鏈執行超低利息的融資，但此一意外卻令數百或數千名用戶的資產蒸發，顯示DeFi尚未準備就緒。</p> <p>此外，這並不是DeFi陣營首度出包，一名專門追蹤加密貨幣消息的記者<a href="https://twitter.com/CamiRusso/status/1251921338455019521?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1251921338455019521&ref_url=https%3A%2F%2Fcryptoslate.com%2Fdeal-with-the-devil-ethereum-defi-protocol-negotiates-with-hacker-of-25-million%2F" target="_blank">Camila Russo指出</a>，除了dForce之外，同屬DeFi網路的Synthetix、bZx、iEarn與LendfMe都曾遭遇數位資產被盜走的事件，損失金額從28萬美元到3,700萬美元不等，呼籲DeFi應建立更好的安全標準。</p> </div></div></div>
2020/4/21 05:40作者陳曉莉https://www.ithome.com.tw/news/137106
亞航啟用全球第一個區塊鏈空運競價與預訂系統Freightchain
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲航空（AirAsia）的子公司Teleport發布了一個稱為<a href="https://newsroom.airasia.com/news/2020/4/16/teleport-announces-freightchain-a-digital-network-to-instantly-bid-and-book-air-cargo">Freightchain</a>貨物追蹤系統，這是全球第一個運用區塊鏈技術的數位貨物網路，亞航讓托運人和貨運代理人，可透過Freightchain即時預訂亞航247架貨機，以節省大量經傳統銷售與電子郵件預訂管道的時間花費。</p> <p>Teleport提到，在這特殊的時期，航空貨運對全球對抗武漢肺炎疫情至關重要，而即時透明的競標和確認緊急航空運貨容量，對醫療用品供應和設備運輸更是重要，Freighchain可以讓使用者探索航空公司所有可用的貨物網路，並在區塊鏈上按需投標並且進行驗證。</p> <p>Freightchain技術長Vishal Batra提到，他們選在武漢肺炎病毒大流行，造成全球供應鏈不穩定的時刻啟動了Freightchain，希望透過Freightchain連接供需兩方消弭不均，維持信任與透明。</p> <p>Teleport已經完成Freightchain的首次試驗，將藥品從印度的邦加羅爾送到了蒙古的烏蘭巴托，這是利用區塊鏈上的智慧合約，確認了來自三個營運商的航班，飛經馬來西亞吉隆坡與南韓首爾的行程。Teleport解釋，由於沒有邦加羅爾到烏蘭巴托的直飛航班，托運人原本必須要手動透過電話和電子郵件，與多家航空公司和代理人聯繫，敲定可用航班，而這是一個非常繁瑣而且耗時的過程。</p> <p>但Freightchain能以托運人可接收的預算，程式化探索可連接航班的路徑，不只節省托運人的成本，更簡化預定流程，使確認貨物運送路徑的速度快10倍，而且對於航空公司來說，動態按需班機聯運，可以有效利用航班運能。</p> </div></div></div>
2020/4/21 06:15作者李建興https://www.ithome.com.tw/news/137105
不只洩露個資還會影響行車安全！福特和福斯連網車輛傳嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萬物聯網的時代，汽車使用的各式系統因為與網際網路連接，曝露於資安風險，成為駭客發動攻擊的管道，由於涉及到車輛的控制單元，甚至可以左右車上乘客的人身安全。針對上述的現象，英國消費者權益組織旗下的媒體Which?，便與資安公司Context聯手，鎖定歐洲兩款熱銷的汽車進行研究，結果發現，它們採用的車載系統都有漏洞可被濫用，但通報後，車商回應有關的攻擊手法難度很高，沒有直接對駕駛或乘客構成生命危險的情況，而認為風險尚在可控管的範圍。對此，該媒體認為，消費者要有意識保護自己的個資，同時政府也該藉由公權力，讓車廠正視相關的資安防護。</p> <p>為了檢驗連網汽車的資安風險，Which?挑選了兩款歐洲市場的熱銷車款，分別是最新年式的福斯Polo，以及福特Focus。根據汽車市調公司JATO的統計，去年這兩款汽車的銷售量，分別賣出了超過25萬臺與22萬臺，都是當地前十大的車款，因此這次的研究結果，也算是相當具有代表性。</p> <h2><strong>車輛控制系統可被非法操控，乘客人身安全亮紅燈</strong></h2> <p>首先，在Polo的各式車用系統上，Which?與Context發現，透過能夠停用循跡控制系統（Tranction Control System，TCS）的命令，他們便能入侵這臺車的資訊娛樂系統，然後從中竊得車主的個人資料，包含電話的通訊錄，以及行駛過的地點等內容。再者，這臺車的實體防護層面也被忽略，研究人員留意到，如果駭客要存取車輛前方雷達模組其實相當容易，只要移開水箱罩上的福斯廠徽就行，駭客便能藉此竄改汽車的防碰撞警示（Collision-warning）系統。然而，無論是遠端開關循跡控制系統，還是變更防碰撞警示系統設定，都可能在車輛失控的時候，導致這些輔助機制失效，造成車上人員傷亡。</p> <p>而Which?的資安專家針對Focus進行檢查後，察覺這款車的胎壓監控系統（Tyre-Pressure Monitoring System，TPMS）所傳送的訊息，只要透過一臺筆電和價值25歐元的小工具，他們就能從中控制在儀表板顯示的內容，也就是說，攻擊者可以在車輛胎壓不足的情況下，讓儀表板顯示為正常，進而影響行車安全。此外，操控從輪胎監控器傳出的資訊，駭客還可以左右行車電腦記錄的駕駛行程內容。</p> <p>除了上述影響行車安全的威脅，研究人員也在福特編寫的程式碼裡，發現疑似該廠商位於底特律生產線電腦的無線網路資料，而且還包括了密碼。</p> <p>不只是車輛上的系統存在遭駭客濫用的風險，值得留意的是，上述的兩臺車，車廠也提供手機應用程式，讓車主能進行行程的記錄，或者是分析油耗情形等工作，然而研究人員指出，這些應用程式也存在資安疑慮。以福斯推出的We Connect而言，他們發現於安裝時，會向使用者要求許多額外的權限，像是存取手機的個人行事曆機敏資訊，以及USB外接裝置的內容。而在這款App的隱私政策條文裡，也表明福斯會在用戶執行的過程收集資料，並且與外部合作廠商分享。</p> <p>而福特所提供的FordPass行動應用程式，則是被授權能隨時分享車輛的地點及行程的方向，再者，連同車上各式感應器的資料，也包含在允許分享的範圍，涵蓋了警示燈和油耗的感應器。</p> <h2><strong>廠商認為影響有限，恐輕忽問題的嚴重程度</strong></h2> <p>綜合上述的發現，Which?將他們的研究細節提供給廠商，但是福斯與福特的反應有所不同。前者態度算是較為積極，儘管他們認為資訊娛樂系統與車上的其他系統所使用的網域不同，假如影響到其他重要控制單元，他們不可能沒有發現，然而該公司與資訊娛樂系統的供應商，都認同這次研究的結果。</p> <p>不過，福斯也認為，車輛資訊娛樂系統的資料，還有網站上提供的韌體，都沒有加密保護的必要，並且宣稱他們已經檢查過是否有漏洞。同時該公司表示，在Which?研究的結果裡，攻擊者需要耗費極高的代價才能進行攻擊，因此他們覺得是在可以控管的風險程度。</p> <p>相較於福斯還算是正面的態度，福特則是全面否認相關的研究結果，只有表示他們相當重視連網車輛的資訊安全，並宣稱胎壓監控系統的漏洞必須搭配額外條件才能濫用，至於行動應用程式的部分，則是一切在用戶同意下收集資料，而且車主隨時可以要求停止收集。</p> <p>對於兩家車廠的回應，Which?則是認為，汽車製造廠普遍缺乏資安意識，有待政府單位透過立法加以規範。而對於一般的社會大眾，對於車輛的買賣或是租賃，都要留意，像是出售車輛時，必須消除車上所存放的個人資料，並且註銷與手機應用程式的連結。假如購買二手車，也應該請賣家清除前一個車主留下的帳號資料，以免自己的行蹤曝露給他人。</p> <p>至於租用車輛時，Which?表示，民眾最好不要將手機與車輛的資訊娛樂系統連結。</p> </div></div></div>
2020/4/20 20:03作者周峻佑https://www.ithome.com.tw/news/137104
Rust公布2019大調查：Rust太難社群學不動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Mozilla主導開發的程式語言Rust，釋出了<a href="https://blog.rust-lang.org/2020/04/17/Rust-survey-2019.html" target="_blank">最新的2019社群大調查</a>，顯示Rust在2018年有所成長，但是成長的力道較前一年小，從開發者使用Rust的狀況，可以略知一二，2019年每日使用Rust的比例為27.6％，而2018年則為25％，成長2.6％，不過前一年卻有7.5％的成長；2019年每周使用Rust的受訪者為40％，較前一年略降。</p> <p>全職使用Rust的受訪者，最多將Rust應用於開發網頁應用程式後端，其他應用依序為分散式系統、嵌入式裝置、IT、網路程式開發、前端應用程式以及安全性應用等。而主要應用Rust的專案，有43％規模落在1千行與1萬行程式碼間，第2名的專案規模則是1萬行與10萬行間，官方提到，Rust中大型專案的比例持續成長，從2016年的8.9％，到2017年16％、2018年23%，而2019年達到34％。</p> <p>問券調查要求受訪者對自己的Rust技能評分1到10分，7為人數高峰，大部分的人集中在3到8之間，而這與使用Rust的時間有關，依據統計，使用Rust在1到3個月內，約可掌握3成技能，而6到12個月則能掌握5成技能，平均掌握7成以上技能的開發者，使用Rust的年資可能需要超過3年。</p> <p>這次官方收到了接近4千份的回應，其中有82.8%的受訪者正在使用Rust，而過去曾使用以及從未使用Rust的受訪者，則分別佔7.1與10.1%，與2018年比較起來，受訪者使用Rust的比例上升了接近8％。使用Rust的受訪者，最大的使用原因來自於任職的公司使用Rust，其他原因則有Rust剛好有他們需要的函式庫，或是覺得IDE好用，也有人是因為覺得Rust簡單好學而來用。</p> <p>官方對那些未曾或是曾經使用Rust的受訪者進行了調查，除了最大的原因是任職的公司沒有使用之外，第2名原因是他們覺得Rust太難太複雜不好學，接下來幾個原因則是與Rust成熟度有關，包括Rust沒有他們需要的函式庫、工具，或是覺得IDE不夠好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-Why-Stopped-Rust.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>官方提到，很明顯的開發者要不要用Rust，直接受企業採用數量左右。問卷調查問了受訪者，什麼樣的資源可以降低採用障礙，絕大多數受訪者一致認為，官方最應該提供更好的訓練教程以及文件，再來才是更好的函式庫、IDE整合，並且加速編譯時間。</p> <p>有不少受訪者對學習Rust給出了具體的意見，有人認為，官方應該盡可能讓Rust的學習曲線平滑，因為對小企業來說，學習Rust要在四到六周才能有生產力，有點稍嫌太久，另外，也有人建議官方，應該要給更多的範例，並且提供Crates使用建議。</p> <p>Rust陡峭的學習曲線，是阻礙不少開發者開始學習使用Rust的原因之一，根據官方調查，37％的人認為學用Rust，約在1個月的時候會開始感覺有生產力，70％的人都在學用Rust一年內，會感覺到有生產力。不過，也有高達21％的人，感到無法具備滿意的生產力，這個族群高峰落在1到3個月的學習時間，其中也不少學用了一年，甚至二到三年，官方提到，這些人將是往後他們發展學習材料的重點對象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/8-How-Long-To-Be-Productive.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>另一個Rust受挑戰的點便是函式庫的成熟度，有受訪者認為穩定的函式庫不夠多，而官方也對社群專案使用函式庫的情況做了調查，專案使用的相依項目完全為1.0以上版本，比例只有0.8％，大多數為穩定版的只有6.7％，僅部分相依項目穩定版的專案則高達66.4％，還有21.4％的受訪者不了解自己專案相依項目的版本狀況。</p> <p>在平臺與環境的選擇上，34.9％的Rust開發者都使用VSCode開發Rust程式，第2與第3名IDE則為Vim和Intellij，都有約20％的使用率。開發的應用程式主要鎖定Linux平臺，有36.9％，第2則是Windows的16.3％，macOS和WebAssembly則各占14％。</p> </div></div></div>
2020/4/20 16:30作者李建興https://www.ithome.com.tw/news/137094
武漢肺炎效應：紐約州開放遠端辦理結婚手續及公證儀式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在武漢肺炎（COVID-19）的襲擊之下，全球有許多人只能透過網路工作、學習，現在連結婚都能透過網路完成。<a href="https://twitter.com/NYGovCuomo/status/1251570033395974145?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1251570033395974145&ref_url=https%3A%2F%2Fthehill.com%2Fhomenews%2Fstate-watch%2F493492-cuomo-signs-executive-order-allowing-new-yorkers-to-obtain-marriage" target="_blank">紐約州長Andrew Cuomo周末宣布</a>，他已簽署了一紙行政命令，允許紐約人自遠端取得結婚許可，並允許公證官自遠端主持婚禮，以讓新人取得結婚證書。</p> <p>要在紐約州結婚，新人除了必須親至婚姻局取得結婚許可證（Marriage License ），也必須到婚姻局舉行結婚儀式，才拿得到結婚證書，不過，因為疫情的關係，紐約婚姻局的所有辦公室從3月20日就關閉至今，而且也不確定何時才能再度開張。</p> <p>考量到疫情的發展讓許多新人無法結婚，使得紐約州長Andrew Cuomo發布行政命令，暫時取消要新人親至婚姻局的規定。</p> <p>紐約州現為美國疫情最嚴重的地區，在全美超過76萬的感染案例中，紐約州即占了24.7萬，在全美逾4萬的死亡案例中，紐約州也占了1.8萬，也讓紐約州成為全美祭出最多防疫措施的州政府。</p> </div></div></div>
2020/4/20 15:10作者陳曉莉https://www.ithome.com.tw/news/137093
美國國土安全部督促使用者修補Pulse Secure VPN漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國土安全部旗下的網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.us-cert.gov/ncas/alerts/aa20-107a" target="_blank">在上周警告</a>，它們接獲許多政府機關及企業的報告，顯示已有許多駭客開採了位於Pulse Secure VPN設備上的CVE-2019-11510漏洞，除了呼籲未修補的使用者應儘速處理，也提醒已完成修補的組織，最好檢查駭客是否曾在修補前，就攻陷該漏洞並取得憑證。</p> <p>去年4月被揭露的CVE-2019-11510，是個任意檔案讀取漏洞，駭客只要傳送一個特製的URI（uniform resource identifier），就能自遠端存取VPN伺服器上的任何檔案，包括所有用戶的明文憑證，也可能在每個VPN客戶端執行任意命令。</p> <p>去年10月美國國家安全局就曾警告，已有駭客針對該漏洞展開攻擊，英國國家網路安全中心，也幾乎是同時<a href="https://www.ithome.com.tw/news/133480" target="_blank">發布了警告訊息</a>，今年1月則有駭客透過這項漏洞，來安裝REvil勒索軟體。</p> <p>除了駭客對CVE-2019-11510的興趣不減之外，CISA也觀察到駭客的許多攻擊手法。例如當駭客取得了使用者的憑證之後，即可藉由Pulse Secure VPN裝置來入侵企業網路，但他們是利用Tor架構或虛擬私有伺服器來存取，以避免被察覺，目的是為了在企業網路上植入長駐後門、蒐集文件，或是執行勒索軟體等。</p> <p>此外，CISA還發現，在組織修補該漏洞的數個月之後，駭客還在使用那些遭竊的憑證。</p> <p>CISA除了督促各大組織儘快修補該漏洞之外，也釋出了自家開發的工具，以協助網路管理員查詢內部網路，是否有任何可能遭到開採的指標，同時建議就算已經修補了，也應該變更所有使用者的憑證。</p> </div></div></div>
2020/4/20 16:00作者陳曉莉https://www.ithome.com.tw/news/137095
21萬人要提高自主健康管理意識，24位艦隊感染確診者全臺足跡緊急公布！（內有足跡連結）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今天揭露了臺灣第一起武漢肺炎艦隊感染的疫情結果，為了防止疫情散播，中央流行疫情指揮中心也緊急公布了目前已知確診者24人在下船後的移動路徑。4月15到17日發現確診之間，三個艦隊上近700人在全臺北、中、南移動。</p> <p>指揮官陳時中指出，目前先發出幾次提醒簡訊，除了通知當事人，也針對接觸者發過一波，最近更在針對在確診者去過地點可能接觸的對象，也發了一次，多達21萬人，提醒這些人要提高自主健康管理的意識，一有症狀要趕快通報來採取後續的行動。先前收過熱門景點細胞廣播示警簡訊的人，不少公司，如金控都以更高規格地緊急要求他們居家辦公，這次受影響的人數恐怕也不少。</p> <p>指揮中心也公布了目前確診人數的縣市名單，台北市1例、新北市1例、基隆市1例、桃園市2例、台中市3例、雲林縣1例、嘉義市1例、台南市1例、高雄市9例、屏東縣4例。</p> <p>目前這些確診者已知去過的地方，政府已經整理成一份Google Map上的足跡記錄，提供給各界比對和民眾參考之用。這些地點，指揮中心詳細列出了確診者出沒這些地點的時間區間，甚至有些確切的店家名稱或是地址都有。敦睦艦隊確診者足跡連結如下。<br /><a href="https://www.google.com/maps/d/u/0/viewer?mid=1sUZjqrx-c7mnLDGjb0GUhI_Xf4N30wEc&ll=24.342681114023687%2C121.19946503470146&z=8">https://www.google.com/maps/d/u/0/viewer?mid=1sUZjqrx-c7mnLDGjb0GUhI_Xf4...</a></p> <p>國防部表示，目前也緊急針對艦隊其他接觸過確診者的高風險人員，正在調查這些人的足跡，會再逐漸提供給疫情調查單位。</p> </div></div></div>
2020/4/20 14:34作者王若樸https://www.ithome.com.tw/news/137090
Cloudflare推出可檢查ISP安全性的Is BGP Safe Yet網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare上周發布了<a href="https://blog.cloudflare.com/is-bgp-safe-yet-rpki-routing-security-initiative/" target="_blank">Is BGP Safe Yet網站</a>，可用來測試使用者的網路服務供應商（ISP），是否部署了資源公鑰基礎架構（Resource Public Key Infrastructure，RPKI），以預防BGP外洩或挾持。</p> <p>全球網路是由不同的自治系統（Autonomous System）所組成，它們之間利用邊界閘道協定（Border Gateway Protocol，BGP）來互連，BGP負責打造網路地圖，規畫最快的路徑，但當AS錯誤宣告BGP時，就可能造成BGP外洩或挾持的狀況，將流量導至錯誤的目的地，而造成<a href="https://www.ithome.com.tw/news/131459" target="_blank">網路大塞車</a>或<a href="https://www.ithome.com.tw/news/136758" target="_blank">誤繞</a>的結果。</p> <p>為了改善BGP的安全性，業界提出了資源基礎架構（RPKI），它又被稱為資源認證，可被部署在AS上，用來驗證AS與BGP路由宣告之間的關聯，可擋下無效的路由宣告。</p> <p>因此，Is BGP Safe Yet就是用來驗證各大ISP業者或其它大型網路，是否正確部署了RPKI，根據Cloudflare的觀察，目前大約有50%的網路部署RPKI。</p> <p>Cloudflare所使用的驗證方法很簡單，它們讓Is BGP Safe Yet企圖載入兩個頁面，一個具備有效的前綴（prefix），另一個則採用無效前綴，倘若使用者的ISP業者實施了RPKI，那麼就只能載入第一個頁面，而無法載入第二個，若兩個都能載入，即代表ISP接納了無效路由，並未採用RPKI。</p> <p>例如當測試中華電信的HiNet服務時，即出現HiNet並未安全導入BGP的訊息。Cloudflare也鼓勵使用者透過Twitter分享該訊息，以督促業者部署RPKI來保障全球網路的健全。</p> </div></div></div>
2020/4/20 13:25作者陳曉莉https://www.ithome.com.tw/news/137088
Rackspace傳將再IPO上市，目標募資超過100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情激勵雲端類股，路透社上周<a href="https://www.reuters.com/article/us-rackspace-ipo-exclusive/exclusive-apollo-readies-ipo-of-cloud-company-rackspace-sources-idUSKBN21Y39S" target="_blank">引述消息人士報導</a>，美國雲端廠商Rackspace投資人近日申請公開股票發行（IPO）案，計畫募資超過100億美元。</p> <p>消息人士指出，持有Rackspack的Apollo Global Management，已經祕密向美國證管會（SEC）遞交IPO申請案。去年多家雲端業者，包括CDN公司Fastly、視訊業者Zoom、雲端端點安全商Crowdstrike、雲端監控平臺Datadog、遠距協同平臺Slack等風光IPO。這也讓Apollo Global Management受到鼓舞，他們準備等武漢肺炎疫情造成的市場不確定性平息後，讓Rackspace上市。不過並未設定確切日期。</p> <p>成立於1998年的Rackspace原是主機代管商，曾經在紐約證交所掛牌上市。不過2016年這家業者因公有雲競爭者太多，被Apollo Global Management收購下市。目前Rackspace除了提供公、私有雲，也和AWS、微軟Azure、Google Cloud Platform、OpenStack等業者合作，提供多雲和混合雲服務給企業客戶。路透社引述Allied Market Research數據，去年Rackspace營收估計27億美元，到2027年上看90億。</p> <p>這並不是第一次傳出Rackspace要以IPO重出江湖。2018年3月<a href="https://www.bloomberg.com/news/articles/2018-03-27/apollo-is-said-to-consider-ipo-of-cloud-hosting-firm-rackspace" target="_blank">彭博新聞就曾報導</a>，這家私募基金業者的Rackspace IPO計畫。去年是雲端公司IPO旺季，<a href="https://www.cnbc.com/2019/09/22/datadog-is-fourth-software-ipo-in-2019-to-reach-10-billion-market-cap.html" target="_blank">CNBC報導</a>，Zoom、Slack、Crowdstrike及Datadog去年IPO募資，皆創下超過百億美元的佳績。</p> </div></div></div>
2020/4/20 13:35作者林妍溱https://www.ithome.com.tw/news/137089