iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

勒索軟體Shade/Troldesh收山，釋出75萬把解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Shade（又稱Troldesh或Encoder.858）要結束營運了，撰寫該軟體的駭客決定公布超過75萬把解密金鑰，還向曾經受害的人和企業道歉。</p> <p>Shade/ Troldesh大約自2014年開始在網路上流傳，這支木馬程式兼勒索軟體，藉由在垃圾郵件中夾帶惡意附加檔案散布，主要鎖定Windows平臺。其原始作據信來自俄羅斯。一項<a href="https://www.ithome.com.tw/news/130269" target="_blank">報告顯示</a>Troldesh是去年年初勒索軟體犯案的最大來源。</p> <p>本周Troldesh背後組織在GitHub上<a href="https://github.com/shade-team/keys" target="_blank">張貼公告</a>，他們已在2019年底停止散布，現在決定結束營運，並將手中超過75萬把解密金鑰全數公布出來。此外駭客也會公布解密軟體，他們希望防毒軟體廠商取得金鑰後，可以開發成更友善的解密工具。</p> <p>駭客說，所有和他們過往行動有關的資料，包括Troldesh的原始碼已經徹底摧毁了。他們也向所有被這隻勒索木馬所害的人致歉，希望釋出的金鑰可以幫他們回復資料。</p> <p>這名作者公布的內容包括5個主要解密金鑰、75萬把個別解密金鑰、使用說明及解密程式的下載連結。</p> <p>過去防毒軟體業者如卡巴斯基及McAfee，也都試圖製作Troldesh的解密工具，不過只能用於少數版本，而且也近3年沒有更新。</p> <p><a href="https://www.bleepingcomputer.com/news/security/shade-ransomware-shuts-down-releases-750k-decryption-keys/" target="_blank">BleepingComputer報導</a>，這些解密金鑰對一般人來說並不容易操作，可能會碰上困難。不過，卡巴斯基已經測試過，證實這些金鑰的確是有效的，他們會在自家解密工具加入這些金鑰，使它更好用一點再向大眾免費釋出，但釋出時程未定。</p> <p>這不是第一次惡意程式作者主動釋出解密金鑰。2015年專門鎖定遊戲的勒索軟體TeslaCrypt作者，一年後良心發現，<a href="https://www.ithome.com.tw/news/106064" target="_blank">宣布結束</a>TeslaCrypt專案，釋出解密金鑰，也向大眾道歉。</p> </div></div></div>
2020/4/28 13:30作者林妍溱https://www.ithome.com.tw/news/137253
Google報告顯示AI用於臨床醫療挑戰還很大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google投入多項領域的AI輔助判讀醫療影像研究，以判斷糖尿病、心臟疾病、貧血、乳癌等，並宣稱媲美人類醫生。不過根據Google周一<a href="https://www.blog.google/technology/health/healthcare-ai-systems-put-people-center/" target="_blank">公布一項臨床測試</a>顯示，AI要用在實際醫療情境還有許多難題要克服。</p> <p>2017年Google<a href="https://www.ithome.com.tw/news/116118" target="_blank">發表研究成果</a>，宣稱應用電腦視覺技術和深度神經網路演算法，從視網膜眼底鏡圖像中辨識出糖尿病視網膜病變，準確率高達90%，與專業醫師不相上下。2018年底<a href="https://www.ithome.com.tw/news/127676" target="_blank">Google宣布</a>和泰國公共衛生部醫療服務部合作，由巴吞他尼（Pathum Than）省及清邁當地11家眼科診所，將眼底鏡影像上傳位於Google雲端的AI，同時也實地造訪診所，觀察護士使用AI的情形，並評估AI用於不同診所的可行性，將研究發表於<a href="https://research.google/pubs/pub48768/" target="_blank">《部署於診所的糖尿病視網膜病變，以人為中心之深度學習系統》報告</a>。</p> <p>理想情境下AI進行初級影像判讀後，再將可能的影像轉送給眼科醫師，這麼做可以減輕醫師的負擔。但研究發現人員使用出現問題。首先，視網膜影像的擷取和分級流程各診所之間應該一致，但研究人員發現，護士各有自己的作法。此外護士過度相信AI判讀能力，而過早將初級檢測為陽性的案例送交給眼科醫師。</p> <p>診所的環境也大大影響影像品質的優劣。一些上傳的影像出現模糊或太暗的問題，則AI系統會視之為「不可分級」而拒絕。即使AI接受了，也可能發生誤判情形。而11家診所只有2家有夠暗的攝影場地，能讓瞳孔放大到拍攝清楚的眼底鏡影像。Google坦承未來AI系統訓練，可能需要涵蓋這些面向。</p> <p>此外，診所網路頻寬也影響影像上傳速度，降低醫療服務。報告提及，有些診所頻寬小而不穩，致使一張影像上傳要花費60到90秒，使檢測速度大減。一家診所還曾因網路斷線數小時，使一天篩檢病患由200人減少為100人。</p> <p>最後，一些病患並不相信AI能力而拒絕加入測試，他們還是寧願花時間到大醫院。</p> </div></div></div>
2020/4/28 13:00作者林妍溱https://www.ithome.com.tw/news/137252
研究人員發現傳送GIF檔訊息即可駭入Microsoft Teams帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商發現Microsoft Teams DNS組態漏洞，讓攻擊者傳送一則帶有GIF圖檔的惡意訊息，對方只要讀取該訊息就會遭駭，甚至可接管帳號，還會像蠕蟲一樣自動散布。</p> <p>桌機和網頁版Teams都受此攻擊手法影響。CyberArk於二月間發現這項漏洞後通報微軟，並等微軟完成修補後<a href="https://www.cyberark.com/threat-research-blog/beware-of-the-gif-account-takeover-vulnerability-in-microsoft-teams/" target="_blank">公布漏洞細節</a>，以及攻擊手法。</p> <p>這項攻擊的關鍵是取得2個關鍵的驗證符記（token）。這2個符記分別是authtoken及skypetoken。前者負責驗證用戶，以便於Teams和Skype網域中下載圖片檔，並用於產生skypetoken，後者則是用於驗證處理用戶端呼叫的伺服器，以能執行讀取或傳送訊息等行為。微軟的原始設計是希望Teams用戶可以存取來自SharePoint、Outlook等其他不同服務資源。</p> <p>不過這個設計卻在本攻擊中被轉作惡意用途。攻擊者只要迫使Teams用戶連上駭客掌握的網域，使用戶瀏覽器試圖從惡意伺服器載入圖檔，並將cookies（在此為skypetoken_asm cookies）回傳給伺服器，也就能製作skypetoken符記，到此，攻擊者就能接管Teams用戶帳號，竊取帳號下的資訊，還能透過Teams API發送呼叫做任何事，像是傳送訊息、建立群組、移除用戶或變更權限等</p> <p>但在此之前有個問題，即authtoken只能在teams.microsoft.com的子網域下執行，因此，攻擊的準備工作包括刼持Microsoft Teams子網域。研究人員利用二個網域DNS組態不當的漏洞成功劫持，包括aadsync-test.teams.microsoft.com 和data-dev.teams.microsoft.com兩個網域，並可以此作為攻擊據點。</p> <p>CyberArk研究人員還以影片<a href="https://cyberark.wistia.com/medias/f4b25lcyzm" target="_blank">示範概念驗證攻擊</a>。只要傳送一個GIF圖檔給Teams用戶，對方只要讀取圖片就被駭，讓攻擊者取得所有帳號資訊，包括群組對話內容。</p> <p>桌機和網頁版Teams都受到這項攻擊手法影響。研究人員指出，若是攻擊者對Teams對話沒興趣，也能在公司網路上橫向移動，蒐集營運計畫、密碼、重要檔案等機密資訊。</p> <p>把互動對象限制在公司員工可降低被駭機率，但只要一則和外人視訊面試的訊息也可能引狼入室。而最恐怖的是，所有被駭的帳戶還會自動將訊息散布給其他Teams用戶，造成像蠕蟲感染一樣的災難。</p> <p>微軟在3月底接獲CyberArk通報後，已經刪除了2個子網域DNS紀錄設置不當的漏洞，解決被駭的問題。此外，微軟也於4月20日釋出修補程式，將加入安全功能，防止未來再有類似漏洞發生。</p> </div></div></div>
2020/4/28 10:20作者林妍溱https://www.ithome.com.tw/news/137250
十年磨一劍！臺灣證券市場正式迎向逐筆交易新制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣證券市場在3月23日展開新的篇章，全面實施盤中逐筆交易制度。現今國際主要證券交易市場，無論是已開發國家還是新興市場，都已經採行盤中逐筆交易方式撮合。金管會證券期貨局副局長張振山表示，為了跟上國際潮流，提高交易速度與效率，增加資訊透明度，這是金管會當初推動逐筆交易的動機。</p> <p>然而，這條路卻足足走了十年之久。</p> <p>其實，臺灣證券交易所（簡稱證交所）早在2008年即開始推動逐筆交易制度，為了讓投資人逐步適應交易制度的改變，2010年6月還先將權證調整為盤中逐筆交易模式，這是實施逐筆交易的第一個起點。</p> <p>證交所考量到，市場參與者需要更充足的時間來適應，所以，採取分階段推動，2013年7月開始，先將盤中集合競價撮合循環秒數由20秒縮短為15秒，隔年2月縮短到10秒，到了2014年12月底，再進一步調整到5秒。</p> <p>那時，為了因應證券交易制度邁向逐筆撮合的趨勢，證交所內部還展開了兩大調整措施，一是升級硬體主機系統，來克服逐筆撮合之後，瞬間大量交易行情揭示量的挑戰。當時，每秒已可處理1萬筆的委託交易量。</p> <p>另一項調整則是汰換了使用超過25年的第一代證券交易系統，重新改造核心交易系統，甚至自行開發逐筆撮合系統。證交所花了3年時間，在2014年上線第二代證券交易系統，並陸續將現有股票交易作業轉移到新平臺執行。</p> <p>考慮到未來交易筆數的增加，第二代證券交易系統改用串流形式的設計，讓券商可以不停地傳送交易委託到證交所系統。</p> <p>另一項改變是，新系統採用了更多國際標準，委託資料的傳輸採取了FIX傳輸協定應用訊息格式，回報時則採用了資料流壓縮技術協定FAST資料壓縮技術。這個向國際標準靠攏的作法，也有助於臺灣證券商到全球不同市場下單，對證券商的作業更方便。</p> <p>一切看似準備就緒，眼看臺灣證券市場僅差一步之遙，就要在2015年正式邁向即時撮合階段。然而，一切彷彿被按下了暫停鍵，逐筆交易新制整整延後了5年之久，到了今年3月才正式上線實施。這消失的5年，究竟發生了什麼事？</p> <p><strong><span style="font-size:28px;">逐筆交易延後5年實施的關鍵？</span></strong></p> <p>張振山解釋，逐筆交易跟以往集合競價的觀念差異很大，不只證券交易所系統要修改，證券商的系統也要配合調整，就連市場投資人的習慣，都要能共同配合，才能真正實施。</p> <p>康和綜合證券資訊長張志堅從券商角度，透露了這些年來的觀察。他提到，證交所努力推動逐筆交易多年，其實困難重重。當年有許多券商反對實行新制，尤其，中小型券商的反彈更大。</p> <p>原因是，相較於有金控撐腰的大型券商，中小券商的獲利相對困難，為了因應逐筆交易，通信系統與資訊系統的調整費用，動輒幾百萬元到上千萬元，甚至有大型券商後臺軟硬體的更新費用得花費上億元的支出。重點是，成交量並不會隨著逐筆交易有大幅度增加，這使得券商投入的意願並不高。</p> <p>張志堅提到，券商間還有另一種說法，那就是擔心投資人不習慣逐筆交易新制，起初會停、看、聽，不敢貿然進入市場，導致成交量因此而萎縮。</p> <p>甚至，還擔心來自境外券商的競爭壓力。臺灣證券交易市場的結構，散戶投資人約占6成，法人比例較低，與國外證券市場有很大的不同，國外大多以法人交易居多，而且占了6到8成。他表示，券商擔心一旦逐筆撮合上路，證券交易制度將與國外發展一致，將有利於國外投資人進入臺灣證券市場交易，整個市場將慢慢轉為法人化，散戶會逐漸退出，使得券商自家的成交量會減少。</p> <p>然而，近兩年在金管會政策要求下，正式拍板盤中逐筆交易2020年3月23日正式實施。於是，新制度成為一條非走不可的路，券商還是得提升通訊系統與資訊系統的投資，備戰逐筆交易。</p> <p>不過，光是建置初期的採購，券商就感到成本大增，不只高效率通信軟體設備要價不斐，線路頻寬更是一大成本。為此，證交所還向中華電信爭取到一個較好的頻寬方案來減輕券商的負擔。</p> <p>張志堅進一步提到，有些超小型的券商甚至放棄修改核心系統，在逐筆交易實施後，更無法提供最新委託方式給投資人，可能僅能提供原先已有的「限價」與「當日有效（ROD）」單1種委託方式。</p> <p>如此一來，才能縮小系統的調整幅度，比如，只需將現有委託方式改成新的格式，或者像是把訊息傳輸的介接標準改成符合證交所的規範即可。加上證交所為券商爭取到較為優惠的頻寬方案，對小型券商來說更是省下不少額外的支出。</p> <p><strong><span style="font-size:28px;">為滿足投資人不同需求，逐筆交易一次提供6種委託方式</span></strong></p> <table align="center" border="0" cellpadding="1" cellspacing="1" style="width: 600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961%EF%BC%9A%E9%9B%86%E5%90%88%E7%AB%B6%E5%83%B9%E8%88%87%E9%80%90%E7%AD%86%E4%BA%A4%E6%98%93%E5%B7%AE%E7%95%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%AD%89%E4%BA%A4%E6%89%80.jpg" style="width: 600px;" /></td> </tr><tr><td> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>有別於以往盤中每5秒鐘撮合一次的集合競價，逐筆交易實施後最大的不</strong></span></span><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>同，是委託單隨到隨撮。</strong></span></span><span style="color: rgb(105, 105, 105);">（圖片來源／證交所）</span></p> </td> </tr></tbody></table><p>以主管機關當初推動目標來看，逐筆撮合上路之後，有三大好處。一是臺灣的證券交易制度正式接軌國際，將有利吸引國外投資人進入臺灣證券市場交易，進而擴大交易規模。二是，有別於以往盤中每5秒鐘撮合一次的集合競價，逐筆交易實施後最大的不同，是委託單隨到隨撮，張振山表示，逐筆交易是以微秒（百萬分之一秒）為概念的速度進行撮合，交易效率比以往快了許多。</p> <p>此外，逐筆交易模式更一口氣新增了多種委託功能，除了原有的「限價」委託，還新增「市價」委託，再分別搭配原有的「當日有效」，以及新增的「立即成交或取消（IOC）」、「全部成交或取消（FOK）」，總共有6種委託方式。張振山提到，這是要讓投資人有多重選擇，藉此滿足投資人不同的需求。第三，則是增加資訊透明度，相較於集合競價定時撮合，交易資訊不即時，僅能提供交易後的資訊。逐筆交易新制因隨到隨撮，交易資訊即時，可同時提供交易前（Pre-trade）以及交易後（Post-trade）的資訊，因此提升了資訊透明度。</p> <p>臺灣證券交易所電腦規劃部協理趙龍補充，透過證交所與證券商的共同協議，提出市場需要的多種委託方式，相較於國際市場毫不遜色，臺灣恐怕是國際上最多的。</p> <p>為了避免因行情波動劇烈，導致成交價超出投資人預期，在逐筆交易制度中，也規畫了瞬間價格穩定措施，如果個股模擬成交價超過前5分鐘加權平均價的3.5%，將延緩逐筆撮合2分鐘，並於2分鐘後以集合競價撮合，之後再恢復為逐筆撮合。</p> <p>此外，逐筆交易制度在行情資訊的揭露上更為透明，提供即時交易資訊，以及每5秒提供行情快照。</p> <p>另一項新功能則是委託改價功能，投資人若想調整委託價格，不用像過往一樣得先取消原委託單後，再重新下新的委託單；而是可直接改價，原本的委託時間則會調整為改價後的時間。這些，都是逐筆交易帶來的制度變革。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/970-24%2B25-%E5%B0%81%E9%9D%A2-%E8%AD%89%E5%88%B8%E9%80%90%E7%AD%86%E4%BA%A4%E6%98%93-%E5%9C%96%E8%A1%A81(1).png" style="text-align: center; width: 600px;" /></p> <p><strong><span style="font-size:28px;">因應逐筆交易，證交所IT十年來最大變動</span></strong></p> <p>「這次逐筆交易，不僅是30年來證交所與證券商之間，所有業務變動最大的一次，更是證交所IT十年來最大的變動。」這是陪伴證交所走過31個年頭的趙龍，見證的歷史時刻。</p> <p>他進一步提到，當年，證交所在規劃開發第二代證券交易系統時，就配合未來交易業務規劃，納入各項交易機制架構，比如逐筆交易競價、多種委託功能、強化市場穩定措施、開收盤資訊揭露、暫停交易與收盤後延續交易等。</p> <p>另外，應用系統也採取參數化、模組化設計，來縮短新功能上線的時程。</p> <p>所以，到了2020年，逐筆交易系統正式上線時，主要架構反而沒有大幅度的變動，只需對相關模組進行調整修改，並進行充分的測試驗證。證交所除了在前端與撮合部分，做了一些優化與調整，並新增多種委託方式與5分鐘動態價格穩定措施等功能之外。趙龍表示，最大的變動，在於提升行情傳輸以及成交回報的速度與效能。</p> <p>證交所在2019年再次升級了硬體主機系統，讓CPU處理效能提升2.5倍。趙龍說，目前的架構下，全市場每秒可處理到3萬筆委託。若券商主機採共置服務（Co-Location）在證交所相同機房時，單一筆委託送出後的回應時間，甚至可以縮短到3毫秒。一整天的交易下來，證交所的日處理量，甚至已經可達2億筆委託資料。</p> <p>逐筆的效率與功能，在股票逐筆交易前，就先在權證交易上驗證過了，趙龍提到，即便是一天最多有4,500萬到5,000萬筆的委託，系統都能正常運作。所以，對於每天大約才300萬到400萬筆委託的股票買賣市場，效能是足夠的。</p> <p><strong><span style="font-size:28px;">券商須提升通訊系統與資訊系統，投資動輒千萬元甚至上億</span></strong></p> <p>逐筆交易增加多種股票買賣委託方式，幾乎影響了券商所有的交易系統。從市場價格欄位擴充、交易委託的電文格式、資料庫、後臺的下單風控主機、交易及帳務中臺、下單電子交易平臺、下單平臺介面等，全都要重新改過。</p> <p>而逐筆交易與行情逐筆顯示，則會讓成交回報與行情報價資訊速度變快、變多。因此，券商得同時提升通訊系統與資訊系統的投資。</p> <p>「為了因應逐筆交易新制的上路，每家證券商的資訊部門，簡直如臨大敵。」張志堅道出心聲。</p> <p>在通信系統部分，證交所事前評估，逐筆交易的資訊流大約是以往的4倍，因此，線路頻寬增加成4倍，而且是，整條通信線路上的每一個處理端點，從交換器、路由器到防火牆等，都需要具備4倍的資料處理能力。</p> <p>不只下單資訊量變4倍，因為逐筆撮合採取逐筆回報的作法，從證交所端連回券商系統的成交回報資訊流量，也預估會變成4倍。暴增的資訊流將會影響大量券商系統，這些交易系統上，每個節點、每臺主機、每套儲存設備，乃至每一個資料處理環節的效能，都得要擴充到4倍。</p> <p>張志堅認為，後臺負責風控與交易所連線，是所有證券下單交易中最重要的環節。所以，後臺需要有較大計算力的主機電腦來完成，也是各券商資訊重兵集結所在。</p> <p>他透露，因應此次逐筆交易，許多大型券商在後臺軟硬體的更新費用多達上億元，中小型券商也要花上千萬元。</p> <p><strong><span style="font-size:28px;">逐筆交易上線前的準備：擬真平臺、3次全市場會測</span></strong></p> <p>而為了讓證券商與投資人雙方都有充分的時間準備與適應，證交所還花了4個月打造出一套逐筆交易擬真平臺，去年3月推出，讓投資人利用此平臺實際模擬委託下單與觀看行情資訊，熟悉逐筆撮合方式與新種委託單。</p> <p>趙龍表示，這個擬真環境設計了所有功能，包括逐筆撮合、新式的委託種類、5分鐘動態價格穩定措施、行情揭示需求等，模擬整個交易的情境。而這擬真平臺在新制上線前的使用人數超過了40萬人次。不只平日開放給一般投資人練習，擬真平臺也在假日開放給證券商做權證造市模擬測試。</p> <p>證交所更在逐筆交易前，開放正式環境給證券商與資訊廠商，依照其資訊系統測試需求，提供裝機測試，以及行情傳輸壓力測試，藉此評估他們資訊的行情傳輸環境，是否有承載的能力。</p> <p>趙龍表示，證交所還辦理了三次市場會測，全部券商都必須參與，光是開放給有需求的資訊系統商與券商進行測試的次數，加總起來就有十幾次，就是要確保各證券商與資訊廠商的資訊系統，能在新制實施時能順利上線。</p> <p>3月23日系統上線當天，金管會主委顧立雄、證券期貨局局長王詠心早在開盤前，約莫早上8點多時，就到證交所一資操管中心，視察全面逐筆交易撮合的運作狀況，可見對新制上路的重視。證交所也表示，逐筆交易上線首日系統皆正常運作。</p> <p>逐筆交易為臺股帶來了新的面貌，張志堅觀察，對股市未來的影響，也陸續浮出檯面。比如，程式交易與法人投資人可能會擴大規模，若散戶投資人長期在資訊裝備拼不過，很可能會慢慢退出市場。他也認為，逐筆交易為券商資訊能力的軍火競賽鳴槍，誰能掌握資訊的優勢，就更有競爭力，但也可能會加速中小型券商整併。</p> <p>趙龍更借鏡國外經驗，國際趨勢是強調如何用行情資訊、新聞資訊、社交平臺資訊、總體經濟指標的數據，以AI、大數據進行分析，找出最佳的投資組合。目前，證交所也開始研究這類作法，希望未來能應用在監理面，同時，也提供給券商用於投資面的參考。</p> <p>不只逐筆交易，接下來，臺股還將在今年迎來另一項重要變革。證交所在2020年10月26日即將上線盤中零股交易，甚至只買1股也可以，目的是要讓更多年輕人參與股票市場。</p> <p>現行盤中交易是以1千股為1張，作為最小交易單位，低於千股的零散股票，得等到盤後才能交易。盤中零股交易上路後，投資人在盤中交易時段也能買賣零股，但只能用電子交易方式來委託。</p> <p>然而，證交所表示，10月中即將上線的盤中零股交易，第一階段僅開放現股買賣，等系統上線後視此新業務的實施情形，再逐步推動當日沖銷交易。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>逐筆交易制度上路十年發展史</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2010年6月 </span></span></strong> </span></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>為讓投資人適應交易制度的改變，先由權證開始採用逐筆交易</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2011年 </span></span></strong></span></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>籌組逐筆交易專案小組研議全面逐筆交易制度</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2012年 </span></span></strong></span></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>建置FIX/FAST資料傳輸系統</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2013年7月1日 </span></span></strong></span></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>集合競價撮合循環秒數由20秒縮短為15秒</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2014年2月24日 </span></span></strong></span></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>集合競價撮合循環秒數由15秒縮短為10秒</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2014年3月10日 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%85%8D%E5%9C%961_%E5%A4%A7%E7%9B%A4%E8%B5%B0%E5%8B%A2%E5%9C%96.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>新一代證券交易系統上線</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2014年12月29日 </span></span></strong></span></p> <p><span style="font-size:22px;"><strong><span style="color:#696969;">集合競價撮合循環秒數由10秒縮短為5秒</span></strong></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2018年9月 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%85%8D%E5%9C%962_%E9%87%91%E7%AE%A1%E6%9C%83_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>金管會宣布盤中逐筆交易將於2020年3月23日實施</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2019年3月25日 </span></span></strong></span></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%85%8D%E5%9C%963_%E9%80%90%E7%AD%86%E4%BA%A4%E6%98%93%E6%93%AC%E7%9C%9F%E5%B9%B3%E8%87%BA.png" style="width: 600px;" /></span></strong></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>推出逐筆交易擬真平臺供投資人測試</strong></span></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 2020年3月23日 </span></span></strong></span></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E9%80%90%E7%AD%86%E4%BA%A4%E6%98%93_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></span></strong></p> <p><span style="font-size:22px;"><span style="color:#696969;"><strong>逐筆交易正式上路</strong></span></span></p> <p><span style="color:#696969;">資料來源：證交所，iThome整理，2020年4月</span></p> </div></div></div>
2020/4/28 09:00作者李靜宜https://www.ithome.com.tw/news/137206
3D照片新技術能適應輸入圖片複雜度，產生更自然的3D合成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://drive.google.com/file/d/17ki_YAL1k5CaHHP3pIBFWvw-ztF4CCPP/view" target="_blank">維吉尼亞理工學院開發了一個深度學習圖像修復模型</a>，可以將單個RGB-D輸入圖像，轉換成3D照片，該模型能感測空間背景，迭代地合成出被前景遮擋位置的顏色和深度內容，研究人員提到，他們使用標準圖像引擎就能渲染出3D照片，比起目前最新的技術，生成的結果有較少的偽影。</p> <p>3D圖片指得是以相機以及基於圖像的合成技術，呈現出具新穎視角的合成照片，讓觀看者能夠小角度移動鏡頭，看到部分被前景遮蔽的景物，這種新的圖像呈現方式，與舊的2D照片比起來，提供更豐富的沈浸體驗，可讓圖片內容在虛擬實境中栩栩如生，而且即便是以視差的方式在平面顯示器呈現，視覺效果也十分良好。</p> <p>研究人員在發表的論文中提到，過去以圖像為基礎的重建與渲染技術，都需要多張的照片，或是特殊的硬體配合，但他們所應用的方法，可以只用一張RGB-D圖片當作輸入，就能產出3D照片，深度資訊可以來自手機的雙鏡頭立體視覺，也能夠來自於單一RGB的估計。</p> <p>這個方式與臉書所提供3D Photos功能的原理類似，目的都是要利用手機鏡頭，降低生成3D照片的障礙，臉書3D Photos只要使用手機的雙鏡頭拍攝一張包含顏色與深度資訊照片，就能產生出3D圖片，而研究人員提到，臉書使用分層深度圖像（Layered Depth Image，LDI），雖可在行動裝置上快速執行，但是其使用各項同性擴散（Isotropy Diffusion）演算法修補空隙，導致結果過於平滑，無法分辨出材質與結構。</p> <p>研究人員提出的方法以CNN為基礎，可以在圖像轉換過程中顯示更少的偽影，但是要應用一個全域CNN解決一整個問題有其困難度，因此研究人員將問題拆分成許多局部修復子問題，每個子問題相當於處理一張圖片，因此就能夠應用標準的CNN演算法，而且與以往其他方法不同的是，這個新方法不預先固定圖像層數，而是能適應輸入圖片的局部深度資訊複雜度，產生不同數量的圖層。</p> <p>研究人員評估新方法處理野外拍攝照片的能力，使用來自於雙攝影鏡頭iPhone X所拍攝的彩色圖片以及深度圖，研究人員提到，臉書的3D Photos雖然可以在遮蔽區域較細小的圖片表現良好，但是在較大的遮蔽區域，偽影變得清晰可見，而研究人員提出的新方法，可以在大多數時候填充視覺合理的內容以及結構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-04-27%20%E4%B8%8B%E5%8D%885_38_08.jpg" style="width: 580px;" /></p> <p>研究人員將新方法應用在以不同條件拍攝的照片，以驗證其效能，在大部分情況下，他們的方法都能表現良好，不過，在欄杆和柵欄等複雜的場景仍會失誤。</p> </div></div></div>
2020/4/28 00:40作者李建興https://www.ithome.com.tw/news/137247
AWS Transfer傳輸服務不只支援SFTP，現還新增FTP與FTPS協定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-transfer-for-ftp-and-ftps-in-addition-to-existing-sftp/">AWS宣布擴充其原本的全託管SFTP（Secure File Transfer Protocol）服務Transfer，新增支援FTP與FTPS（File Transfer Protocol over SSL）</a>，讓使用者可以將FTP與FTPS工作負載轉移到AWS之上，現在以AWS Transfer系列總稱SFTP、FTPS和FTP的傳輸服務。</p> <p>SFTP是由網際網路工程任務組制定，作為SSH 2.0的擴充，讓檔案可以透過SSH傳輸，並且與傳輸層安全性協定（TLS）和VPN應用程式一起使用。FTP則是一個用於網路上客戶端和伺服器間，進行應用程式傳輸的應用層協定，而FTPS則是透過SSL/TLS加密的FTP。</p> <p>一些軟體封存以及科學研究應用程式，仍使用FTP作為發布軟體程式和公共資料集的方法，而且部分CRM、ERP和供應鏈應用程式，也都還在以FTPS協定傳輸敏感資料，要這些應用換掉FTP或FTPS轉而使用SFTP有其困難度，因為這會需要更改現有應用程式和流程，特別在包含第三方的情況下，更是難以更動。</p> <p>適用於FTP和FTPS的AWS Transfer，可以在不破壞原有的程式整合和終端使用者，提供用戶一種簡單且安全的方式，搬遷檔案傳輸系統。當用戶存取AWS Transfer系列控制臺時，會看到新的AWS頁面，在點選創建伺服器之後，用戶就可以選擇要使用SFTP、FTP或是FTPS協定，AWS提醒，用戶可以在VPC中使用FTP，但當用戶要開放伺服器給網際網路存取，基於安全性的原因，必須要選擇FTPS。</p> <p>現在AWS推出AWS Transfer系列服務，可讓在使用SFTP、FTP或是FTPS任一協定的用戶，將系統搬遷到AWS上，利用端到端檔案傳輸服務，AWS提到，AWS Transfer系列服務可用的存取控制功能，包含了IAM角色、S3邏輯目錄和安全群組。現在適用於FTP和FTPS的AWS Transfer服務，已經在所有原本提供適用SFTP的AWS Transfer地區上線。</p> </div></div></div>
2020/4/28 00:50作者李建興https://www.ithome.com.tw/news/137249
Sophos緊急修補旗下防火牆已遭開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Sophos周五<a href="https://community.sophos.com/kb/en-us/135412" target="_blank">發出公告</a>，其企業防火牆產品XG Firewall一個之前未發現的資料隱碼（SQL injection）漏洞遭到駭客開採，而影響到多家客戶。修補程式已經於上周末釋出。</p> <p>Sophos是在4月22日晚間，經客戶通報其XG Firewall管理介面上出現可疑值，調查後判定實體和虛擬XG Firewall遭不明人士攻擊，影響管理員介面（HTTPS管理員服務）或使用者portal暴露於WAN zone的防火牆產品。另外，手動設定以共用同一傳輸埠作為管理或用戶portal目的，以致於暴露於WAN zone的防火牆服務（即SSLVPN）也會受到影響。</p> <p>Sophos指出，攻擊者是利用XG Firewall的驗證前（pre-auth）SQL Injection漏洞存取這些防火牆產品，植入惡意程式以竊取防火牆中的檔案。</p> <p>只要具備上述三種情形的用戶，都應假設資料已遭外洩。這些資料可能包括所有用戶帳號的本機用戶名稱及經雜湊處理的密碼，像是裝置管理員、用戶portal帳號及遠端存取帳號。不過Sophos說，與外部驗證系統像是AD或LDAP相關的密碼，則不受影響。</p> <p>Sophos已在周末<a href="https://community.sophos.com/kb/en-us/135412" target="_blank">釋出該漏洞的修補程式</a>，還會在管理介面上顯示XG Firewall是否曾遭攻擊，並表示已自動更新到防火牆產品上。</p> </div></div></div>
2020/4/27 16:30作者林妍溱https://www.ithome.com.tw/news/137239
Android 11第3預覽版新增無線除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2020/04/android-11-developer-preview-3.html">Google釋出了最新的Android 11開發者第3預覽版本</a>，除了修復錯誤之外，也提供一些好用的除錯功能，讓開發人員能更全面掌握應用程式退出的原因，並利用無線連接更方便地除錯，另外，Google也提醒，Android 11進入開發者第3預覽版，代表功能與API都趨於成熟，開發者應該開始測試自家應用程式與Android 11的相容性。</p> <p>開發者第3預覽版加入許多新功能，而現有功能、API和工具也多有更新，Google把這次更新重點放在強化除錯功能上；像是Google在Android 11加入了ADB（Android Debug Bridge）漸增（Incremental）功能，Google提到，在開發期間，安裝大型的APK與ADB可能非常慢，會影響開發者的工作效率，特別是在遊戲應用程式開發上。</p> <p>而使用ADB Incremental功能，可將開發者電腦中高達2 GB的APK，以快10倍的速度，安裝到Android 11裝置上，但由於使用這項功能，必須要從裝置等級更改檔案系統，因此目前在開發者第3預覽版階段，ADB Incremental只有支援 Pixel 4/4XL裝置，並在之後隨附Android 11的新裝置，都將包含這項更改</p> <p>Google為了讓開發者更容易抓出應用程式退出的原因，也作出了API更新，Google提到，應用程式退出的原因有很多種，系統崩潰、遭系統終止或是由用戶操作所致都有可能，因此開發者需要了解在不同裝置、記憶體配置和使用者情境下，應用程式退出的原因和當時的狀態。Android 11簡化了退出原因API，開發者可以簡單地用來請求應用程式最近退出的詳細資訊。</p> <p>在開發者第3預覽版中，Google新增了GWP-ASan堆（Heap）分析工具，讓開發者作為查詢和修復記憶體安全性問題的另一種方法。GWP-ASan是採樣分配工具，能以最小的成本開銷和效能影響，偵測堆記憶體錯誤，在預設情況下，Google已經為平臺二進位檔案以及系統應用程式啟用了GWP-ASan，開發者也可以為自家的應用程式啟用GWP-ASan。</p> <p>在無線除錯上，Android 11更新以Wi-Fi連接使用ADB改善除錯體驗，Google提到，筆電上的USB孔數有限，利用無線除錯功能可以有效提升開發者的工作效率，與目前TCP/IP除錯工作流程不同，不需要線材連接，而是使用最新的Wi-Fi標準進行高速傳輸，系統可以在一段時間內記住無線連接。開發者在Android 11開發者第3預覽版，已經可以利用配對代碼的方式，開始使用無線除錯，而之後Android Studio會增加二維秒掃描配對，整合無線除錯的體驗。</p> <p>在這個版本中，Google重新命名了一些資料存取審核API，因此當開發者已經在應用程式中使用了這些更新的API，需要進行必要的修改。Google提到，他們在開發者第3預覽版完善功能並且定案API，接下來會把重心移往細節改進以及效能提升上，這代表開發者可以開始測試應用程式與Android 11的相容性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(19).png" style="width: 580px;" /></p> </div></div></div>
2020/4/27 17:05作者李建興https://www.ithome.com.tw/news/137237
調查局假訊息防制中心升格資安工作站，總統蔡英文親自到場揭牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了遏止假新聞的氾濫，調查局在去年因應總統大選，率先成立「二合一選舉查察專案」和「影響國安選舉假訊息處理小組」，爾後為了有效積極偵辦並遏止假訊息，也於去年8月8日成立「假訊息防制中心」；不過，疫情期間仍有假訊息妨害臺灣的疫情管控，調查局也於日前正式將「假訊息防制中心」升級為「調查局資安工作站」，並由總統蔡英文親自到場舉辦揭牌儀式。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>升級資安工作站，強化政府打擊網路犯罪能力</strong></span></span></p> <p>蔡英文表示，這幾年假訊息危害引起全世界民主國家的高度重視，臺灣人民對此同樣感同身受，而最近面對疫情，仍然有大量假訊息流通，例如：捏造指揮官發言，或者是散布衛生紙原料不足的謠言，這都對防疫造成干擾。</p> <p>此外，蔡英文也說，在國內外選舉中也看到許多刻意對立的假訊息，這對民主發展有害，因此，政府要面對這假訊息對民主的危害。「資安就是國安，」她指出，之前就已經將國安會、NCC（國家通訊傳播委員會）和資安處組成資安鐵三角，而調查局也接續成立「假訊息防制中心」，就希望可以做到即時澄清假訊息、穩定臺灣社會民心，降低不實輿論對臺灣社會的危害。</p> <p>蔡英文也期待，假訊息防制中心升級為資安工作站時，也應該持續強化政府打擊網路犯罪的能力，這些學有專精的新生代調查官要做到，不能放任假訊息影響社會穩定，也必須持續精進專業、跟上最新的科技發展；她也提到，由於網路犯罪的訊息量太過龐大，資安工作站的同仁也都必須持續強化對網路犯罪偵防、蒐證、以及鑑識能力。</p> <p>她說：「包括檢調以及國安單位，這些所有投入資安工作的政府單位，在秉持行政中立的前提下，針對各種資安問題都要做到早期預警、緊急應變、持續維運，透過建立民主防禦機制，維護臺灣的民主自由。」近期，各單位充分協調並和民間合作，面對武漢肺炎的疫情考驗，臺灣也告訴全世界，民主是最好的體制。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>假訊息是主要偵查重點，以資工和電機背景調查官為主力</strong></span></span></p> <p>調查局局長呂文忠則表示，中國持續的大外宣，透過各種假訊息混淆視聽，而假訊息也是目前調查局偵查的重點，截至4月24日，調查局偵辦案件總計382件，包含：境外假訊息272件，並移送62案、85人，緩起訴9案，簡易判決2案，待移送9案，列參17案，疾管署或法務部交查案件總計4件。</p> <p>調查局資安工作站首位站主任張尤仁表示，該工作站成員背景以資工系和電機系為主，目前22人，預計編制為35人，相關的調查官人才培育，也會從現有調查班的資訊類組，去挑選資工系和電機系成員做進一步培訓。他指出，目前調查局針對假訊息的偵查量能足夠，但還是要強化網路侵駭以及進一步發展網路防禦的能力。</p> <p>調查局資通安全處處長吳富梅表示，資通安全處是資安工作站的指導單位，協助資安工作站第一線調查官的各種後勤確認工作，未來如果像是調查到相關電腦犯罪的中繼站，需要做為法庭證據並出鑑識報告，還是要由資通安全處鑑識實驗室出具相關報告。</p> <p> </p> </div></div></div>
2020/4/27 14:05作者黃彥棻https://www.ithome.com.tw/news/137236
蘋果：新iOS漏洞未造成立即風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周以色列安全廠商<a href="https://www.ithome.com.tw/news/137163" target="_blank">ZecOps公告</a>，iOS版Mail軟體有2個零時差攻擊漏洞，可能導致iPhone用戶接到電子郵件就被駭，而且從iOS 6到最新的iOS 13都受影響。蘋果隔天證實安全廠商講的漏洞確實存在，不過對用戶並沒有立即風險。</p> <p>根據這家安全廠商的研究，新發現的漏洞包括頻外寫入（OOB Write）、遠端堆積緩衝溢位（Remote Heap Overflow）漏洞，以及一個核心漏洞，讓攻擊者只要傳送有惡意附檔的郵件給用戶就能觸發，甚至用戶即使沒有開啟附檔，也會被駭，造成攻擊者遠端執行惡意程式碼，以竊取、編輯或刪除電子郵件。研究人員還宣稱，攻擊者可以遠端刪除郵件來隱匿行動。他們認為有可能是國家資助的駭客組織，策畫了這次行動。</p> <p>第一時間沒有回應的蘋果，<a href="https://arstechnica.com/information-technology/2020/04/apple-disputes-report-of-non-click-ios-0day-under-exploit-for-two-years/" target="_blank">周五發出聲明稿</a>反駁漏洞的說法。蘋果表示向來重視所有安全威脅的報告，而在詳細檢視ZecOps的研究後，他們認為漏洞並不會對用戶帶來立即風險。理由是，研究人員指出Mail的3個漏洞，個別都不足以繞過iPhone及iPad的安全防護，而且蘋果也沒有發現有用戶被攻擊的證據。</p> <p>事實上，也有其他研究人員對ZecOps研究抱持懷疑。包括<a href="https://twitter.com/tehjh/status/1253010131283034114" target="_blank">Google Project Zero</a>及<a href="https://twitter.com/maddiestone/status/1253013278810226688" target="_blank">其他研究人員</a>認為，該研究主要是根據414141、4141的crash code來判定有惡意郵件，證據太薄弱，而且該郵件最終並沒有找到，卻又被解釋為駭客將之刪除。</p> <p>批評者認為，如果像ZecOps所言是國家級的駭客，則這些破綻百出的攻擊也太小兒科了，且iOS的漏洞可能也僅為被某些郵件觸發的小漏洞。但是ZecOps人員指出，還發現其他證據，而他們也會再補強說明。</p> <p>不管這批漏洞是否像ZecPops講的那麼嚴重，蘋果說三項漏洞將很快會透過軟體更新修補。蘋果已在已在4月15日釋出iOS 13.4.5 Beta 2，正式更新預料很快就會釋出。</p> </div></div></div>
2020/4/27 12:20作者林妍溱https://www.ithome.com.tw/news/137232
臺灣數位身分證換發將延後，因疫情無法引進高防偽PC晶片卡技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內政部原定今年10月換發數位身分證（eID），但其資安問題其實一直受到不少科技幕僚質疑，今日（27日）內政府戶政司與資訊中心發出公告，數位身分證換發時程將延期，原因是因應武漢肺炎（COVID-19）疫情影響，國內無法在原訂時程引進製作高防偽PC晶片卡的技術。</p> <p>根據內政部的說明，為了製作身分證PC晶片卡，原訂4月初要前往國外取樣卡，以及進口相關設備，但受到疫情衝擊無法前往的情況下，這也使得後續架設機器、印製卡片的時程也會延宕，因此決定調整時程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%85%A7%E6%94%BF%E9%83%A8%E5%8E%9F%E8%A8%8210%E6%9C%88%E6%8F%9B%E7%99%BC%E6%95%B8%E4%BD%8D%E8%BA%AB%E4%BB%BD%E8%AD%89%E5%B0%87%E5%BB%B6%E5%BE%8C960x420.jpg" style="width: 450px;" /></p> <p>關於換發數位身分證的議論，其實過去在政府未定案前，就不斷有人權團體、學者發表看法，討論其資安隱憂。近期則又出現百位學者連署反對的聲浪，當中甚至包括總統府負責資訊安全的諮委李德財。</p> <p>不過，目前內政部只表明因疫情衝擊暫緩數位身分證的時程，對於外界關心的資安議題，他們近期一再強調的面向，是民眾可以自由選擇數位身分證是否要附加自然人憑證，若是民眾不附加，就不會有相關電子簽章功能，即使附加也可隨時決定停用與復用，或是廢止憑證功能。因此，他們認為這種自主決定的方式，這應可免去部分民眾的疑慮</p> <p>較特別的是，對於如何確保數位身分證的資安，內政部這次提出了兩大說明，包括解釋晶片的安全性，並特別公開程式原始碼。</p> <p>他們表示，未來新發的數位身份證是雙晶片備援機制，其晶片為台積電公司代工生產，並會通過國際安全認證標準。例如，主晶片6項功能中，包括硬體架構、密碼學函式庫、作業系統、應用程序EAC＋SAC、應用程序SSDC Part2+3與應用程序BAC，其中前5項的CC認證（Common Criteria）安全評估，等級均達EAL5+以上，屬軍事機密等級，他們並會要求要有千萬張需在臺生產。</p> <p>同時，內政部也說明其核心程式，將交由行政院資安處指定團隊進行資安檢測，並且不會在一開始就要全國民眾全面換發，而是在部分縣市先小規模試行，並透過獎勵計畫讓民間測試。</p> <p>最後，內政部則是對民眾喊話，強調數位身分證只是將現行紙本身分證轉換為卡式，自然人憑證的結合也讓民眾有選擇性，相關使用記錄將不會傳至內政部或憑證管理中心，只會存放於民眾所使用的機關，希望民眾能放心，不會被政府掌控民眾的數位足跡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A8%8B%E5%BC%8F%E6%BA%90%E7%A2%BC%E5%85%AC%E9%96%8B%20%E6%A0%B8%E5%BF%83%E7%A8%8B%E5%BC%8F%E4%BA%A4%E5%B0%88%E5%AE%B6%E8%B3%87%E5%AE%89%E6%AA%A2%E6%B8%AC.jpg" style="width: 600px;" /></p> <p>圖片來源：內政部</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CC%E8%AA%8D%E8%AD%89(Common%20Criteria)%EF%BC%8C%E5%AE%89%E5%85%A8%E8%A9%95%E4%BC%B0%E7%AD%89%E7%B4%9A%E9%81%94EAL5%2B%E4%BB%A5%E4%B8%8A.jpg" style="width: 600px;" /><br /> 圖片來源：內政部</p> </div></div></div>
2020/4/27 12:42作者羅正漢https://www.ithome.com.tw/news/137234
澳洲COVID-19接觸傳染追蹤App上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在歐洲及美國還在努力開發接觸傳染的追蹤系統時，澳洲已開發完成COVIDSafe App，並在當地周日晚間上線供國民下載。澳洲政府強調，該App蒐集的資訊，將不會被用於警方辦案或法庭命令等其他用途。</p> <p>COVIDSafe App是完全自由下載，但<a href="https://www.health.gov.au/resources/Apps-and-tools/covidsafe-App" target="_blank">澳洲健康部強調</a>，這款App可以保護用戶、親友及其他國民，愈多澳洲國民連上COVIDSafe，可以更快讓病毒現蹤。</p> <p>這款App是以<a href="https://www.ithome.com.tw/news/136577" target="_blank">新加坡的Tracetogether</a>為基礎開發而成。用戶下載安裝後，輸入姓名、電話、年齡區間和密碼註冊後，系統會根據這些資訊派發一組加密參照碼（refence code）。其原理是利用這組參照碼透過藍牙金鑰交握（handshake），尋找特定時間點相隔1.5公尺以內超過15分鐘的手機，並將這些資料連同參照碼加密儲存在App中21天。一旦期間有人確診感染，並上傳感染資訊後，相鄰手機主人即會收到系統發送的簡訊通知。</p> <p>澳洲總理Scott Morrison稱安裝該App是一項國民義務，當地至少要有40%以上的民眾安裝，COVIDSafe才能發揮作用。<a href="https://www.bbc.com/news/world-australia-52433340?" target="_blank">BBC報導</a>不到一天時間，該App已經有超過100萬下載人次。相較之下，<a href="https://www.zdnet.com/article/morrison-says-using-covid-19-tracing-App-a-matter-of-national-service/" target="_blank">ZDNet報導</a>，新加坡僅有20%的人安裝TraceTogether。</p> <p>因應大眾對手機防疫技術的隱私疑慮，澳洲政府強調，App參照碼每2小時更新一次並非追蹤個人，且為確保隱私，COVIDSafe App只會蒐集日期、時間及接觸時間，但不會記錄使用者所在地點。此外，手機上的接觸資訊任何人都無法存取，除非用戶確診感染而將接觸資訊上傳中央伺服器。最後，App 中的接觸資訊會在滿21天時自動刪除。</p> <p>此外，<a href="https://www.theguardian.com/australia-news/2020/apr/26/australias-coronavirus-tracing-app-set-to-launch-today-despite-lingering-privacy-concerns" target="_blank">The Guardian報導</a>，伴隨COVIDSafe的上線，澳洲衛生部也公布要項以防止這些資訊被用於其他用途，包括警方或法庭命令，而且資訊必須儲存在澳洲境內，同時5月澳洲國會也將通過相關法令基礎。</p> <p>蘋果和Google目前正加緊聯手開發COVID-19接觸追蹤系統，預計5月釋出API讓政府機構開發搭配的系統，之後將直接內建到iPhone和Android兩大手機OS中。此外歐盟也在上周<a href="https://www.theregister.co.uk/2020/04/17/european_contact_tracing_app_spec/" target="_blank">公布接觸追蹤App的「指導原則」</a>，但對於該App開發卻沒有明確時程。</p> </div></div></div>
2020/4/27 12:50作者林妍溱https://www.ithome.com.tw/news/137235
臉書推出多人視訊軟體Messenger Rooms，標榜無通話時限，沒有帳號也可加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎帶動多人視訊軟體熱潮，<a href="https://messengernews.fb.com/2020/04/24/come-on-over-facebook-introduces-messenger-rooms/" target="_blank">臉書也在上周推出</a>名為Messenger Rooms的功能，沒有臉書帳號也可以加入，以挑戰Zoom、Microsoft Teams及Google Meet。</p> <p>2016年推出的<a href="https://about.fb.com/news/2016/12/introducing-group-video-chat-in-messenger/" target="_blank">Facebook Messenger就已提供</a>支援高達50人的視訊功能，但是需要大家都有臉書帳號。但新推出的Messenger Rooms讓用戶可在動態消息、群組（Groups）及活動（Event）自建Room（聊天室）並點選友人名單加入視訊，他們收到連結後點選即可加入，即使他們沒有臉書帳號。主人可以隨時移除或封鎖特定與會者，也能鎖定不讓他人加入視訊會議。對於群組建立的視訊會議，所有成員預設都能加入。</p> <p>Messenger Rooms讓用戶可為視訊加入擴增實境（AR）特效，並加入以人工智慧（AI）功能為基礎的效果，像是360度環景背景及14種濾鏡形成的情緒色彩。</p> <p>Messenger Rooms和Zoom相比最大好處是沒有時間限制，此外臉書也表示，Messenger Rooms很快就可支援最多50人。另外，Messenger Rooms也提供讓用戶從Instagram（IG）Direct、WhatsApp及視訊裝置Portal建立聊天室的功能。</p> <p>至於安全性，<a href="https://about.fb.com/news/2020/04/privacy-matters-messenger-rooms/" target="_blank">根據臉書的說明</a>，目前Messenger Rooms並沒有全程加密，因為較大群組的視訊加密有相當挑戰，因此只有與會者端到臉書伺服器之間提供加密，但正積極改進以實現全程加密。臉書強調伺服器位於有嚴格隱私保護的國家，所有用戶影音通訊內容，臉書都不會看到或聽到。</p> <p>Messenger Rooms上周起在特定國家推出，接下來幾個星期會推展到美國等其他地區，也會逐步加入新功能。</p> <p>臉書希望藉Messenger Rooms追趕其他視訊廠商。過去一個月內，多家業者持續加強自家視訊會議軟體功能並公開用戶數，<a href="https://www.ithome.com.tw/news/137202" target="_blank">Zoom宣布</a>每日用戶數超過3億人，並承諾最新5.0版本，將採用更安全的256 bit GCM加密。微軟<a href="https://www.ithome.com.tw/news/136460" target="_blank">為Teams加入</a>對話、視訊會議支援。Google也<a href="https://www.ithome.com.tw/news/137182" target="_blank">改善了網頁版Meet</a>，一次可顯示最多16位成員，以AI調整光線與降噪。Microsoft Teams每日用戶數超過4,400萬。Google也將視訊平臺Hangouts改名為 Meet，每日新增用戶200萬。</p> </div></div></div>
2020/4/27 11:35作者林妍溱https://www.ithome.com.tw/news/137231
鎖定Ruby程式語言開發者下手，駭客在社群市集上架逾700款惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，企業的資安意識擡頭，重要系統可能都導入了各式的防護措施，駭客也轉向開發者下手，並且藉由提供免費開源工具和程式庫的誘餌，做為散布惡意軟體的管道，進而從開發環境發動供應鏈攻擊。例如，ReversingLabs威脅研究員Tomislav Maljic指出，他們在今年的2月下旬偵測到，有超過700個惡意軟體，以Ruby程式語言開發工具的名義，上架到官方的工具市集RubyGems，其中有部分惡意軟體，與某些原本市集裡常見開發工具的名稱、版本，以及用途描述等資料，完全一模一樣，誤導了不少開發人員下載到電腦。一旦這些惡意軟體植入開發者的電腦，就會監控比特幣付款資料，然後將錢包內容移轉到特定帳戶。</p> <p>RubyGems是Ruby社群的套件管理服務，讓開發者能以統一的格式發布Ruby程式或是程式庫供其他人也能快速使用，這些Ruby程式與程式庫套件，統稱為Gem。透過RubyGems，程式開發者便能快速架設所需的開發環境。</p> <p>值得留意的是，前述的惡意軟體已經被下載約10萬次，而上述700多個惡意軟體，都是由JimCarrey和PeterGibbons兩名開發者提供，大部分都是在2月16日到25日之間上傳。而有些惡意軟體，更是藉著顯示的名稱和說明資訊，讓開發者上當。像是一款名為Atlas_client的API用戶端工具，便被攻擊者冒名上架完全相同名稱的惡意軟體，這款惡意軟體的下載數量有2,100次，相較於正牌Ruby套件被下載6,496次，冒名的惡意軟體也騙倒不少開發者。Ruby官方獲報後，也將上述的惡意軟體從RubyGems下架。</p> </div></div></div>
2020/4/27 00:00作者周峻佑https://www.ithome.com.tw/news/137230
AWS正式發表Cassandra託管服務Amazon Keyspaces
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年re:Invent時，AWS推出了全託管Apache Cassandra服務，經過幾個月的改進，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-keyspaces-for-apache-cassandra-is-now-generally-available/" target="_blank">更名為Amazon Keyspaces後發布正式版本</a>。Amazon Keyspaces是建立於開源分散式NoSQL資料庫系統Apache Cassandra之上的服務，用戶可以將其用作全託管的無伺服器資料庫，只要應用程式使用現有Cassandra查詢語言（CQL），就可以在幾乎不修改的情況下，直接用在Amazon Keyspace上讀取和寫入資料。</p> <p>Cassandra最初由臉書開發，具有良好的可擴展性以及效能，被Apple、Comcast、Spotify以及Netflix等知名企業使用。不過，企業使用Cassandra有一些挑戰需要克服，AWS提到，由於要縮小Cassandra叢集的工作很複雜，因此使用者通常會讓Cassandra叢集持續維持最大規模，以應付尖峰流量需求，但這樣需要支出額外成本，另外，更新Cassandra叢集是另一個障礙，因為用戶需要單獨更新每個節點，不只過程繁瑣，當更新發生問題時，處理起來更是困難。</p> <p>全託管服務則可以替使用者解決這些麻煩事，使用者可以按需使用Amazon Keyspaces，依實際讀寫操作付費，可簡單地應付不可預測的工作負載，對於可預測的工作負載，使用者也可以預先配置容量，指定應用程式每秒的資料讀寫次數以降低營運成本，而使用者也可以啟用自動縮放功能，在一天中應用程式流量發生變化時，自動更新預配置的容量。</p> </div></div></div>
2020/4/26 02:20作者李建興https://www.ithome.com.tw/news/137224
GreyNoise發表免費的裝置遭駭通知服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者GreyNoise近日發表了免費的遭駭通知服務GreyNoise Alerts，當使用者註冊並輸入「無類型網域間路徑選擇」（Classless Inter-Domain Routing，CIDR）之後，GreyNoise只要察覺在此一範圍內網路有產生任何的攻擊流量或大規模掃描行為，就會透過電子郵件通知用戶。</p> <p>該服務奠基在GreyNoise的日常操作，該公司平常就在蒐集、分析與標記全球網路的掃描與攻擊行為。網路掃描指的是從直接連結網路的每個裝置上蒐集各種資訊，且估計至少有數萬人持續在掃描全球網路，好人掃描網路可能是為了計算在網路上曝光的漏洞、評估軟體市占率，或者是追蹤殭屍網路，但壞人掃描網路可能是要找出含有漏洞的裝置以發動攻擊，包括Shodan、Censys或Rapid7的Project Sonar都能用來掃描全球網路。</p> <p>而GreyNoise則是透過於全球各地部署的數百臺伺服器，來觀察這些全球性的掃描行為，包括有多少人在掃描網路？掃描的流量來自哪些IPs？或者是他們掃描的目的是什麼？因而能夠分析發動掃描的對象是立意良善或是惡意的。</p> <p><a href="https://viz.greynoise.io/alerts" target="_blank">目前的GreyNoise Alerts服務為測試版</a>，使用者只要輸入各個CIDR區塊，並附上名稱與間隔，當GreyNoise觀察到有任何的網路掃描或攻擊行動源自相關區塊所涵蓋的IP位址時，就會寄送電子郵件通知使用者。</p> <p>一般的免費用戶會在一天內收到通知，若是大型企業客戶則會即時收到郵件通知，未來也會新增Slack通知、資料輸出附加檔案及整合資安事件管理（SIEM）等功能。</p> </div></div></div>
2020/4/26 01:35作者陳曉莉https://www.ithome.com.tw/news/137228
英特爾今年第一季營收逆勢上揚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）在本周公布的<a href="https://s21.q4cdn.com/600692695/files/doc_financials/2020/Q1/Q1-2020_Earnings-Release.pdf" target="_blank">第一季財報</a>中，透露出該公司不畏武漢肺炎（COVID-19）疫情的影響，第一季創下198億美元的營收，比去年同期成長23%，達到57億美元的淨營收與1.31美元的每股盈餘。而且旗下業務除了物聯網（IoT）之外，包括資料中心、自駕車Mobileye、非揮發性記憶體、可程式碼解決方案及PC等業務都是成長的。</p> <p>在198億美元的單季營收中，以PC為主的客戶運算事業群（CCG）創下了98億美元的營收，成長14%，而資料中心營收則有70億美元，成長幅度更高達43%，非揮發性記憶體（NSG）營收為13億美元，成長亦高達46%，物聯網營收為8.83億美元，下滑3%，可程式化解決方案（PSG）的營收為5.19億美元，成長7%，Mobileye營收為2.54億美元，成長22%。</p> <p>英特爾執行長Bob Swan表示，第一季的業績證明了該公司在此一前所未有的挑戰中，致力於保護員工、支持供應鏈的合作夥伴，而能準時交付產品予客戶。就算受到肺炎疫情的侵襲，英特爾在今年第一季的準時交貨率仍然高達90%。</p> <p>此外，英特爾也說明，資料中心業務之所以能達到43%的成長，原因之一是雲端服務供應商的業績也成長了53%；至於PC業務可有超出預期的成長，則是因消費者與企業為了要在家工作及學習而帶來強勁的需求。</p> <p>英特爾預測今年第二季的營收規模為185億美元。不過，英特爾也提醒，現在全球正處於經濟不確定、甚或衰退的浪潮中，且疫情可能影響企業、供應鏈或合作夥伴的運作，無法確定對未來業務可能產生的影響，可能會隨時變更對營收的期待。</p> </div></div></div>
2020/4/26 01:50作者陳曉莉https://www.ithome.com.tw/news/137229
Netflix採用TLS 1.3可降低播放延遲提升使用者體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://netflixtechblog.com/how-netflix-brings-safer-and-faster-streaming-experience-to-the-living-room-on-crowded-networks-78b8de7f758c" target="_blank">Netflix宣布其影音串流服務開始支援TLS 1.3</a>，以提供用戶更安全以及更快的影片觀賞體驗。經安全性分析，Netflix確認TLS 1.3可以提供比TLS 1.2更好的通訊安全性，而且Netflix還對百萬用戶進行了測試，證實TLS 1.3能帶來較好的影片播放效能。</p> <p>TLS是傳輸層安全性協定，為了使網路兩方可以安全的通訊，建立安全的通訊通道是必要的工作，協定需要具有身份驗證、機密性和完整性三種特性，通訊雙方都必須驗證身份，且透過通道傳送的資料，只有在端點才可檢視這些資料，讓攻擊者無法修改通道中的資料，TLS協定實現了這三種特性，可在兩個同儕端點提供安全通道。</p> <p>Netflix過去在電視、機上盒和媒體串流播放器等裝置，已經使用TLS 1.2來保護串流流量，而現在Netflix開始支援最新的TLS 1.3。Netflix提到，提供完全前向保密（Perfect Forward Secrecy，PFS）是一件非常重要的工作；PFS是金鑰交換演算法的一項功能，是要確保即便伺服器的私鑰被駭，對話金鑰仍可以維持其安全性，透過為每個對話產生新的金鑰，PFS可以保護之前的對話，也能防止未來的金鑰洩漏。</p> <p>Netflix提到，雖然TLS 1.2支援帶有PFS的金鑰交換演算法，但同時也允許不支援PFS的金鑰交換演算法，而TLS 1.3刪除了所有不提供金鑰交換演算法，能進一步強化完全前向保密的想法。不只如此，TLS 1.3也刪除所有弱加密方法，僅使用帶有AEAD的身份驗證加密，確保資料的機密性、完整性和真實性。</p> <p>不過，對Netflix來說，TLS 1.3最重要的功能，是提供了新的安全交握方法，TLS 1.3重新設計了交握協定，能更完全地保護交握過程。在TLS 1.2中，僅保護加密套件協商之後的部分交握，而這為攻擊者開了一個可攻擊的漏洞，但使用TLS 1.3，伺服器會簽署整個交握過程，包括從加密套件協商開始，因此可以防範攻擊者降級加密套件。</p> <p>另外，TLS 1.3還簡化了交握過程，TLS 1.2一次交握總共需要兩次網路往返才能完成，而TLS 1.3就只需要進行一次往返；TLS 1.3具有用於恢復交握的0-RTT（Zero Round Trip Time Resumption）技術，允許應用程式在初始交握訊息中，就包含應用程式資料，而不需要等到交握完成後，才能開始傳輸應用程式資料，而這項功能對Netflix來說很有用，因為透過恢復TLS對話，並在串流資料中使用0-RTT，可以減少播放延遲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_So7N5ohUZYZnP2ZfgLyNEg.png" style="width: 580px;" /></p> <p>由於Netflix應用程式不再需要等待交握完成，就能發出媒體資料的HTTP請求，因此可讓用戶更快速地開始播放影片，且經過Netflix的A/B測試結果也證明，TLS 1.3的確可以降低播放延遲，特別是在速度較慢或擁塞的網路上，能得到最大的效益，整體來說，所有網路條件下的效能都能獲得改進。而且由於CPU高負載，導致裝置無法快速處理媒體資料，所發生的媒體重緩衝（Media Rebuffer），TLS 1.3也可以有7.4％的改善，Netflix說明，這代表結合使用TLS 1.3與0-RTT，可以減少CPU的負載。</p> </div></div></div>
2020/4/26 02:15作者李建興https://www.ithome.com.tw/news/137223
Firefox Nightly開始支援WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Safari之後，<a href="https://hacks.mozilla.org/2020/04/experimental-webgpu-in-firefox/">Firefox也宣布開始支援WebGPU</a>，WebGPU是一個新興的繪圖API，用法比WebGL API還要簡單，提供由硬體加速的高效能3D繪圖，以及資料平行運算功能。</p> <p>WebGPU由所有瀏覽器供應商、英特爾以及其他等多個組織，所組成的W3C GPU網頁工作群組從頭設計，具有安全、可移植性、高效能和高可用性等特色。Safari在去年9月的時候宣布，從其第91版開始支援WebGPU，而在Firefox則是從當前Nightly版本開始支援。</p> <p>Mozilla提到，WebGPU能讓更豐富更複雜的圖形應用程式移植到網頁中執行，而且也讓原本專注開發原生平臺應用程式的開發團隊，可透過WebAssembly的支援，容易地在網頁平臺上進行開發。WebGPU建構在諸如Vulkan、D3D12和Metal新興的圖形API之上，向開發者開放低階API基礎原語相關功能。</p> <p>Firefox對WebGPU的支援，其核心邏輯是由獲Mozilla協助的Rust社群，所撰寫的wgpu-core專案提供，而該專案是以gfx-rs專案為基礎，可將類Vulkan的GPU工作負載，轉換成D3D12、D3D11、Metal，甚至是OpenGL工作負載。Mozilla表示，他們還在開發著色器基礎設施，以應用WebGPU著色語言，將其轉換成驅動程式支援的後端著色語言。</p> <p>想要趕快在Firefox嘗試最新的WebGPU功能的使用者，可以使用Firefox Nightly並將配置選項dom.webgpu.enabled以及gfx.webrender.all都設為true，就能在具有Vulkan驅動程式的Windows 7、Windows 10、Linux、macOS，以及有支援的Android裝置上，執行WebGPU應用程式。</p> <p>目前Firefox Nightly可以執行大部分基於Google SPIR-V的WebGPU範例，但是由於Mozilla還未實作WebGPU中的GPURenderBundle，因此範例中的animometer還無法執行。Rust社群正在開發wgpu-rs專案，這是以相同的wgpu專案來實作的Rust API，如此便可讓許多Rust生態系中的應用程式，在瀏覽器中執行，（下圖）有影子的綠色方塊就是在macOS/Metal中以Firefox Nightly渲染而成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS-shadow.png" style="width: 580px; height: 374px;" /></p> <p>Mozilla表示，目前Firefox Nightly支援WebGPU還在初期階段，仍有許多功能尚未實作，像是畫面呈現加速功能就是其中一個，目前要將渲染的圖像顯示到HTML畫布中，該圖像會先在GPU上渲染，並且讀回CPU緩衝區中，並以外部圖像提供給WebRender，WebRender會再次將圖像內容傳入GPU中，最後才在HTML畫布上顯示；這樣的往返是多餘的，Mozilla將會制定專門的機制，讓WebGPU後端API以及WebRender擁有共享介面。</p> <p>WebGPU規範的發展仍有許多問題待解決，未解的問題如制定CPU和GPU之間資料傳輸的API，Mozilla提到，網頁平臺與原生平臺的差異，在於是否能夠直接存取系統記憶體，由於CPU和GPU間資料傳輸的方式還沒取得共識，因此尚有許多提案正在討論中；WebGPU規範目前還無法被穩定的用於生產環境中，在2020年底有望可出現能用於產品的最低版本。</p> </div></div></div>
2020/4/26 01:15作者李建興https://www.ithome.com.tw/news/137217
一周大事：基隆長庚以AI強化急救轉診效率。疫情衝擊營運，科技巨頭也得樽節成本謹慎面對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>基隆長庚引進AI判讀系統，30秒就能判斷病患是否出現腦出血</strong></span></p> <p>基隆長庚醫院腦神經外科助理教授及主治醫師顏君霖指出，腦出血是急診醫師經常處理到的急症，一旦發生，很容易造成患者傷亡，因此「時間就是關鍵」，急救團隊更要與時間賽跑。</p> <p>然而，一般中小型區域性醫院，在接收、處理腦出血急診病患的流程上，較容易遇到資源不足、等待時間長等挑戰，難免延誤黃金治療時間。顏君霖解釋，當病患發病後，送至初診醫院時，會先進行腦部電腦斷層掃描（CT），再送至外傷急救中心，由急救中心神經外科醫師來會診，決定治療方法，比如進一步檢查，或轉診至較大醫院進行手術。</p> <p>特別是，在拍攝腦部CT時，每一位病患拍攝一次，就會產生數十至數百張影像，還得等待醫師一一檢查後，才能決定後續診療決策。</p> <p>有鑑於此，基隆長庚醫院導入醫療AI新創開發的腦出血判讀AI，來進行研究試驗。這套AI系統強調只要30秒，就能判斷一位病患是否出現腦出血。<a href="https://www.ithome.com.tw/news/137064" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>疫情衝擊，Google縮減招聘、資料中心及行銷預算</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-google.jpg" style="width: 340px;" /></p> <p><span style="color:#696969;">Photo by Outreach Pete on <a href="https://www.flickr.com/photos/182043990">https://www.flickr.com/photos/182043990</a>@N04/48077951218/in/photostream/ (CC BY 2.0)</span></p> <p>根據媒體取得Google暨Alphabet執行長Sundar Pichai的內部公開信，他認為現在是時候大幅減緩招募速度，以維持小部分策略領域的動能，包括提供使用者和企業營運支援，以及攸關公司成長的關鍵業務，並計畫縮減資料中心、硬體及非必要的行銷及差旅支出。他說，藉由縮減其他方面的計畫，才能確保Google今年以「適當規模」再出發。</p> <p>Google對媒體證實此事，表示今年內將減緩招募速度，把重點放在維持策略領域運作。</p> <p>Pichai指出，一如2008年金融危機重創全球經濟，許多企業受到極大衝擊，現在，Google和Alphabet也同樣面臨COVID-19疫情，對大環境形成的挑戰。<a href="https://www.ithome.com.tw/news/137037" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Tomcat Server存在Ghostcat漏洞全球網站拉警報</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AD%A3%E6%BC%A2-%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89Tomcat%20Server%20Ghostcat%E6%BC%8F%E6%B4%9E.jpg" style="width: 500px;" /></p> <p>近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是駭客開採該漏洞所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，臺灣資安業者發現，國內許多企業與組織的Tomcat Server具有該漏洞，未即時修補。此外，Ghostcat漏洞也讓多個Linux平臺在這兩個月陸續發布修補，就連商用軟體也受影響。<a href="https://www.ithome.com.tw/news/137207" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>黑市出現Zoom零時差漏洞攻擊程式</strong></span></p> <p>Zoom的一夕竄紅，讓全球的駭客都在尋找它的安全漏洞，媒體Motherboard報導，已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom客戶端程式，且Windows版的售價高達50萬美元。<a href="https://www.ithome.com.tw/news/137044" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟運用AI精準標記出軟體重大安全性臭蟲</strong></span></p> <p>每個月微軟內部專案會產生將近3萬多個程式錯誤，為了更精準地解決重要的臭蟲，微軟用機器學習技術，提升辨識與分類安全漏洞的能力。強調可用少量的資訊精準分類臭蟲，該系統能夠以99％精確度區分安全性和非安全性軟體臭蟲，並以97％精確度辨識出高優先度安全性錯誤，還能夠容忍資料存在雜訊。<a href="https://www.ithome.com.tw/news/137056" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google公布假疫情之名的惡意郵件詐騙手法</strong></span></p> <p>Google公布了常見的網釣郵件供外界參考。包括仿冒成世界衛生組織（WHO）或其它官方組織的郵件，內容可能是要求使用者捐款，或是開啟含有惡意程式的附加檔案。</p> <p>還有一種網釣郵件是鎖定在家工作的使用者，偽裝來自企業的管理部門，要求使用者輸入個人資料；另一種則是針對小型企業，偽裝成要提供紓困方案的政府組織，要求收件者下載含有惡意程式的附加檔案；或是假裝是被隔離企業的潛在客戶，宣稱無法與企業聯繫，要求收件者下載惡意檔案。總之，駭客針對有意捐款的民眾、在家工作者，以及受疫情影響的企業，都編造了不同的故事，好誘騙收件者輸入個資。<a href="https://www.ithome.com.tw/news/137082" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google發布安卓專用的新版WebView除錯工具</strong></span></p> <p>WebView可視為具有部分功能的瀏覽器，當開發者需要強化對使用者介面進行控制，或是提供進階選項的時候，WebView就能派上用場，讓開發者將網頁嵌入到應用程式中。</p> <p>Google持續以更新的方法，改進WebView穩定性和效能，並加入網頁新功能以及安全性補丁，但Google提到，更新是一把雙面刃，在提升其穩定性和相容性的同時，也可能產生另外的新問題，Google還表示，由於所有應用程式都存在臭蟲，要在應用程式中載入網頁內容，更是有其挑戰性，WebView崩潰很容易成為應用程式的痛點。</p> <p>要對WebView崩潰測試並不容易，因為容易跟Java和C堆疊追蹤混淆，因此為了讓開發者可以提早發現問題，Google釋出WebView Beta計畫，開發者可用來對WebView程式除錯。<a href="https://www.ithome.com.tw/news/137103" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>G Suite用戶可直接自Gmail撥打Meet視訊電話</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Meet_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 337px;" /></p> <p>圖片來源／Google</p> <p>隨著外界對視訊會議的需求愈來愈高，Google繼3月宣布讓所有G Suite用戶，都能享受大型企業等級的Google Meet功能之後，近期進一步讓G Suite使用者能夠自Gmail，直接撥打Google Meet視訊電話。<a href="https://www.ithome.com.tw/news/137059" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>福特和福斯車用系統驚傳漏洞</strong></span></p> <p>英國消費者權益組織旗下的媒體Which?，與資安公司Context聯手，鎖定歐洲兩款熱銷的汽車進行研究，分別是最新年式的福斯Polo，以及福特Focus。</p> <p>首先，在Polo的各式車用系統上，Which?與Context發現，透過能夠停用循跡控制系統（Traction Control System，TCS）的命令，他們便能入侵這臺車的資訊娛樂系統，竊得車主的個人資料，包含電話的通訊錄，以及行駛過的地點等內容。</p> <p>再者，這臺車的實體防護層面也被忽略。研究人員留意到，如果駭客要存取車輛前方雷達模組其實相當容易，只要移開水箱罩上的福斯廠徽就行，駭客便能竄改汽車的防碰撞警示（Collision-warning）系統。然而，無論是遠端開關循跡控制系統，還是變更防碰撞警示系統設定，都可能在車輛失控的時候，導致這些輔助機制失效，造成車上人員傷亡。<a href="https://www.ithome.com.tw/news/137104" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Maze勒索軟體攻擊大型IT服務商</strong></span></p> <p>勒索軟體大肆攻擊各種產業，利用Maze來發動攻擊的駭客更因為行徑極度招搖而引發關注，不僅炫耀攻陷的政府機關和公司行號數量，並且恐嚇不付贖金就公開遭加密的機敏資料，現在驚傳大型跨國IT服務廠商也遇害。例如，Cognizant內部系統受到Maze勒索軟體攻擊，導致部分客戶的服務被迫中斷。</p> <p>由於Cognizant是IT服務供應商，採用該公司服務的企業也可能間接成為攻擊目標。這種透過合作廠商來間接發動攻擊的策略，這幾年也不斷發生，例如，空中巴士於去年遭到一系列攻擊，駭客的目標就是他們的供應商。<a href="https://www.ithome.com.tw/news/137112" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>4.7吋的iPhone SE 2問世，Home鍵回來了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_iPhone%20SE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>蘋果發表第二代iPhone SE，這是蘋果所打造的入門款iPhone，距離第一代（2016年）已有4年之久。</p> <p>iPhone SE 2是目前螢幕最小的iPhone，蘋果在2019年時發表的3款iPhone 11中，螢幕尺寸最小的為5.8吋，最大的則是6.5吋。</p> <p>不過，iPhone SE 2的螢幕已經大於第一代的4吋，而且整支手機的尺寸也比第一代多出30%，這令許多人感嘆「可以一手操作手機的時代，已經結束了。」</p> <p>此外，蘋果在2017年推出的iPhone X，所取消的實體Home鍵，則重新回歸到iPhone SE 2上，並整合了Touch ID指紋辨識功能。<a href="https://ithome.com.tw/news/137026" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>iChef POS新增串接Uber Eats系統，餐廳內場管理能直接整合外送訂單</strong></span></p> <p>智慧餐飲科技公司iChef宣布自家POS與Uber Eats系統完成串接，可自動彙整該平臺的外帶或外送訂單，讓餐廳用戶透過單一頁面，掌握現場和該平臺的所有訂單。<a href="https://www.ithome.com.tw/news/137042" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>臉書Libra協會讓步：改推對應單一貨幣的穩定幣</strong></span></p> <p>臉書在去年6月所發表的加密貨幣Libra，由於受到各國政府與各大銀行的抵制，使得它幾乎寸步難行，為此，支撐該貨幣的Libra協會更新了Libra白皮書，宣布除了支援多貨幣的Libra幣之外，也將推出可對應單一貨幣的穩定幣，並已向瑞士金融市場監督管理局（FINMA）申請支付系統的經營授權，可說是Libra正式踏出的第一步。</p> <p>最初Libra幣（LBR）的設計是一次可對應不同的貨幣，為了化解外界認為一籃子Libra幣，可能會干擾各國貨幣主權的疑慮，Libra協會決定擴大Libra網路，納入單一貨幣的穩定幣，如對應英鎊的LibraGBP（GBP）。<a href="https://www.ithome.com.tw/news/137057" target="_blank">更多內容</a></p> </div></div></div>
2020/4/25 18:20未署名https://www.ithome.com.tw/news/137227
Amazon推出與第三方SaaS資料整合工具AppFlow
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Service（AWS）周三宣布Amazon AppFlow，以簡化第三方SaaS和AWS服務的資料雙向整合作業。</p> <p><a href="https://aws.amazon.com/blogs/aws/new-announcing-amazon-appflow/" target="_blank">AWS首席傳教士Martin Beeby指出</a>，愈來愈多企業使用軟體即服務（SaaS），但是這些應用散布在不同雲端上，而企業為了能從這些SaaS蒐集資料以進行業務分析，開發人員必須耗費大量時間撰寫客製化API，以便把在SaaS和AWS服務之間傳送資料。但這種作法不但昂貴，通常又得花上數個月時間，要是資料分析要求變了，又需要再花一番工夫來整合。而沒有這類工程團隊的企業則必須手動匯入、匯出資料，但這又有花時間、資料外洩及人為訛誤的問題。</p> <p>Amazon AppFlow便是為了解決此類問題而推出。它讓企業得以自動化串接AWS服務和第三方SaaS應用，包括Salesforce、Zendesk等的資料流，讓SaaS應用管理員、業務分析師或BI分析師可以快速完成大部份整合作業。Amazon AppFlow的資料整合是雙向的，可以從SaaS蒐集資料到AWS，也可以從AWS服務傳資料到SaaS上。</p> <p>舉例而言，一家企業在英國和愛爾蘭分公司建立Slack workspace管理網路社群。由於Slack支援Amazon AppFlow，則企業可以將部份Slack對話資料送到AWS S3，以Amazon互動式查詢服務 Athena進行分析，再以QuickSight產生視覺化圖表。</p> <p>Amazon AppFlow會自動按用戶需求擴增或縮小，最多允許企業一次傳輸100GB的資料。此外，AppFlow還具備排程功能，方便用戶根據業務時程或依需求啟動資料傳輸。</p> <p>AWS並強調Amazon AppFlow的安全性，所有資料都是加密傳輸。有些SaaS還會整合AWS PrivateLink而加一層安全防護。如果SaaS支援PrivateLink，則SaaS和AWS的資料會在Amazon加密網路，而非公共網際網路上傳送，中間的資料傳送會由Amazon AppFlow負責處理，簡化人員操作的困難，並減少網路攻擊及資料外洩風險。</p> <p>不過目前Amazon AppFlow支援的SaaS還很少，只支援Salesforce、Snowflake、Zendesk及ServiceNow等13個SaaS和S3作為資料源，可作為資料目的地則有資料倉儲服務Amazon Redshift、S3及Salesforce、Snowflake。未來應該還會再增加支援的SaaS和AWS服務。</p> <p>目前提供Amazon AppFlow地區包括美國東部、西部、加拿大中部、亞太（新加坡、日本、雪梨、首爾、孟買）、歐洲及南美，之後還會推向其他地區資料中心。</p> </div></div></div>
2020/4/25 09:00作者林妍溱https://www.ithome.com.tw/news/137205
MITRE Att&CK公布第二輪評估計畫結果，臺灣奧義智慧與趨勢科技在新參與之列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架，而他們發起的ATT&CK評估（ATT &CK Evaluations）也越來越受到資安業者的響應與認可，在4月22日早上9點，我們看到MITRE於凌晨公布了第二輪針對APT29的評估計畫結果，這回共有21家資安業者參與，比第一輪更多（初期7家參與、後續5家跟進），特別的是，臺灣資安新創公司奧義智慧，以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布，不論是企業或資安業者，都將能藉此衡量EDR的偵測能力與覆蓋範圍。</p> <p>在此次針對APT 29的評估計畫中，共有21家業著參與，包括首輪就有參與的Carbon Black（現為VMware旗下）、CounterTack（併購GoSecure後更名GoSecure）、Crowdstrike、Endgame（被Elastic併購後並更名Elastic）、微軟與SentinelOne，以及Cybereason、F-Secure、FireEye、McAfee與Palo alto Networks。</p> <p>新加入業者有11家，包括Bitdefender、BlackBerry Cylance、HanSight、Kaspersky、Malwarebytes、Broadcom Symantec，以及在國內較不知名的Reaqta、HanSight、Secureworks，還有臺灣奧義智慧Cycraft與趨勢科技。</p> <p>目前，在MITRE ATT&CK網站上，已公布21家業者的結果。基本上，這次公布的結果報告，可以看到這次模擬APT29的攻擊套路，比上一輪更嚴謹，分為20個步驟，以及6大偵測類型。</p> <p>其中，偵測能力表現的類型比之前更細分，在無偵測（None）之外，包含遙測（Telemetry）與專家警告（MSSP），以及有效即時警告的General、Tactic與Technique，其中Technique可視為最好的偵測能力表現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-24_184039.jpg" style="width: 600px;" /> </p> <blockquote><p>在MITRE ATT&CK網站上，我們可以檢視各家參與業者針對APT 29組織攻擊套路在不同攻擊步驟時的偵測能力。（上圖為趨勢科技的評估結果。</p> </blockquote> <p>基本上，MITRE表示此計畫他們將不會提供評分機制。不過，在結果發表後，一些資安業者會根據這些公開的結果做出相關統計，以呈現其產品的特點。舉例來說，像是臺灣資安業者奧義智慧，以及FireEye與Palo Alto Nerworks</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20200422_MITRE_ATT%26CK_001_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/20200422_MITRE_ATT%26CK_004_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 600px;" /><br /><span style="color:#A9A9A9;">圖片來源：奧義智慧</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graph1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FireEye.png" style="width: 600px;" /><br /><span style="color:#A9A9A9;">圖片來源：FireEye</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Mitre-rd2-1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Palo%20Alto.png" style="width: 600px;" /><br /><span style="color:#A9A9A9;">圖片來源：Palo Alto Networks</span></p> <p>最後值得一提的是，兩個月前MITRE也已表示將持續推動這項計畫，希望能藉由透明的評估過程，幫助用戶評估端點檢測工具，他們並公布了新一輪評估計畫，將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。</p> </div></div></div>
2020/4/24 18:50作者羅正漢https://www.ithome.com.tw/news/137221
繼防疫聯合聲明，臺美進一步攜手發起防疫黑客松活動，要集結公民力量找出創新抗疫方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情持續拉警報，政府除嚴密抗疫外，同時，也透過各種不同的形式與管道，與世界各國合作。繼3月18日外交部與美國在臺協會共同發表「臺美防疫夥伴關係聯合聲明」，宣示攜手對抗武漢肺炎，就疫苗、藥物研發，還有防疫物資等，進行相關合作，臺美雙方今日（4/24）再共同宣布發起「臺美防疫松」活動，將以黑客松形式，進一步集結公民力量，希望找出更多創新的抗疫方法。</p> <p>行政院副院長陳其邁於活動開跑的記者會上談及活動的起源，他表示，3月與美國簽訂防疫合作計畫時，正值密集籌備今年度總統盃黑客松活動的期間，於是，他向行政院數位政務委員唐鳳提及，融入黑客松精神於合作計畫的構想，後續雙方進而促成了活動。對於活動的期待，他道，美方為科技大國，結合臺灣健保體系、資通訊產業人才等，希望能推動防疫工作大步向前邁進，讓社會盡速免於武漢肺炎的衝擊。</p> <p>臺美防疫松分為六大競賽主題，第一個是管理防疫相關資源，協助政府或相關機構管理協調防疫與醫療資源，像是醫療設備、床位、醫護人員調度等；第二個主題是邁向疫後過渡措施，運用數據科學發展兼顧公衛，並帶動經濟復甦的過渡措施，協助政策制定者採取決策，例如，公共場所營業評估、學校復學日程等；</p> <p>下一個主題是保護社會弱勢族群，保護並協助受疫情影響的弱勢族群；接著是預測工具支援決策，建立大數據預測工具支援決策，來預測疾病擴散速度及可能影響的範圍；第五個主題則為支援前線防疫人員，協助前線防疫人員、支援體系及他們的家人，獲日常所需的支援；最後一個主題是善用資料風險溝通，運用數據資料分析進行輿情風險控管與社會溝通，提供民眾正確防疫觀念，並解除疑慮與恐慌。</p> <p>唐鳳表示，各主題之下集結的題目，是由臺美雙方各自詢問第一線防疫工作者後，所獲得的需求回覆。每個題目將對應著相關的資料集，提供參與者使用，開發相關應用。不過，唐鳳也表示，若所需資料涉及個人隱私，則將釋出合成資料。</p> <h2><strong>參賽者須採開源程式碼方式參賽，望擴大各提案後續的影響力</strong></h2> <p>此外，參賽者須同意以開源方式參賽，拋棄程式碼的著作財產權，並同意以MIT License為授權條款。唐鳳說明，得獎者程式碼將交由疾管署執行，而非由疾管署提供資料給參賽者，執行應用。</p> <p>為集結更多創新的防疫想法和方法，此次活動提案對象不限產官學研背景者，任何民眾皆能以個人名義參加，不過，若以團隊形式參賽，主辦方建議至少1位參與者具醫療、公共衛生、社會工作或防疫等相關背景經驗。對此，唐鳳特別說明，這考量團隊可更易設計能供第一線使用的方案。</p> <p>活動將分四大階段進行，第一階段為蒐集公民意見，從今日起至5月1日，將於名為Pol.i s的討論平臺，公布六大主題的臺美雙方題目，徵集各方意見，凝聚共識；接著，進入為期僅3天的選題階段，彙整公民意見後，由專家召開選提評估會議，確認活動最終的競賽題目。第三階段則為報名暨解題階段，參賽者選定題目後，有8天的時間就問題標的、技術應用和預期成效，提供概念影片及文字概念說明，來完成活動報名；最後，評選暨公布階段，經審查後，將選出5隊優勝得獎者，並預定於5月18日公布名單。</p> <p>唐鳳表示，因第一線有迫切需求，活動各階段的時程從需逾10天，皆壓縮為3至8天完成，也相當於發揮敏捷開發的精神，她表示，短時間內即提出的方案可能為半成品，但是，半成品可能可帶給社會相當程度的啟發。</p> <h2><strong>國發會將就議題與提案適法性，給予評價及建議</strong></h2> <p>而為確保各方題目和提議符合法規，所有公民意見和參與的解決方案都會由國發會法治協調中心協助，評估現有法律是否可處理這些議題和創新想法，並提供風險燈號及建議，例如，明顯違法、尚待釐清、無違法等。唐鳳強調，解題過程仍須堅守民主法治的精神，不因防疫破壞法律體系。</p> <p>美國在臺協會處長酈英傑在場肯定臺灣的抗疫成果，他表示，臺灣的防疫經驗可提供世界五大借鏡點，並能用5個T充分展示。首先是透明度（Transparency），臺灣主管機關持續向社會明確說明疫情的發展和變化；其次是交通旅遊管控（Transportation control），針對到過高度疫情區域的旅客進行相關防疫措施，並確保大眾運輸工具的安全性；</p> <p>第三為疫調（Tracking）及第四是篩檢（Testing），最後為科技（Technology），利用科技有效確保口罩等資源的供給。他表示，美方將持續協助臺灣展示自身的防疫模式，並也將向國際社會介紹此次共同舉辦的防疫松活動上，各方提出的解決方案。</p> <p>這次的抗疫過程，臺灣應用了許多科技技術，像是大數據分析、資料庫串接等，來落實防疫工作，而口罩實名制就是最典型的例子。陳其邁今日也以曾作為醫師，並學習公共衛生領域的背景表示，當前的防疫作法，已從古典流行病學走向智慧的流行病學，或可說是科技的流行病學，他也預告，人潮警示地圖將結合交通部「高速公路1968」 App，將於不久後推出。文⊙黃郁芸</p> </div></div></div>
2020/4/24 17:29作者黃郁芸https://www.ithome.com.tw/news/137218
迎接Wi-Fi 6，FCC決定開放6GHz頻段以供非授權的Wi-Fi使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.fcc.gov/public/attachments/DOC-363945A1.pdf" target="_blank">美國聯邦通訊委員會（FCC）周四（4/23）宣布</a>，已決定釋出6GHz頻段（5.925–7.125 GHz）的1,200MHz頻譜供非授權使用，以迎接未來的Wi-Fi 6。比起現有的Wi-Fi標準，Wi-Fi 6將能提供2.5倍的傳輸速度，而6GHz頻段的容量則是現有Wi-Fi頻譜容量的5倍，雙方一起替Wi-Fi 產業建立了新的里程碑。</p> <p>現在的Wi-Fi使用的是2.4 GHz及5 GHz頻段，其頻譜容量的總和只有6GHz頻段的五分之一。6GHz頻段原本被應用在支援公用事業、公共安全與無線回程上，讓Wi-Fi使用新的頻段除了能夠減緩現有Wi-Fi頻段的擁擠之外，也能減少來自舊有Wi-Fi設備的干擾。</p> <p><a href="https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-delivers-more-value-from-wi-fi-in-6-ghz" target="_blank">Wi-Fi聯盟（Wi-Fi Alliance）主席Edgar Figueroa表示</a>，FCC的此一決定確保了Wi-Fi的未來，允許Wi-Fi存取6GHz頻段是連結能力的開創性發展，將讓Wi-Fi具備更多的能力，來提供並釋放突破性應用。</p> <p><a href="https://www.ithome.com.tw/news/131814" target="_blank">Wi-Fi 6</a>又稱為IEEE 802.11ax，儘管其正式標準預計要到今年6月才會出爐，但業界早就展開了部署。其中，Wi-Fi聯盟已在去年的9月開啟了Certification for Wi-Fi 6的裝置認證計畫，當時的認證並未納入6GHz頻段，因此，該聯盟準備在明年初啟動額外支援6GHz頻段的Certification for Wi-Fi 6E裝置認證計畫。</p> <p>IDC研究總監Phil Solis指出，他們預期Wi-Fi 6E產品今年就會進入市場，首批Wi-Fi 6E無線基地臺將在今年第四季問世，並隨著那些鎖定高階手機、PC、電視或虛擬裝置的晶片組的採用，在明年大放異彩。</p> <p>Wi-Fi聯盟則估計，明年將有超過3.16億的Wi-Fi 6E裝置進入市場，相關的裝置將能全面改善Wi-Fi經驗，不管是戶內或戶外、行動間、人口稠密的地區或是大型的公共場所，也能夠帶來更高解析度的串流服務、低延遲，以及更快的下載速度。</p> <p>FCC為全球第一個通過6GHz頻段供非授權使用的監管機構，預計未來其它國家的監管機構也將陸續跟進。</p> </div></div></div>
2020/4/24 17:30作者陳曉莉https://www.ithome.com.tw/news/137204
美澳聯手警告：小心Web Shell惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）與負責蒐集國外情報的澳洲信號局（Australian Signals Directorate，ASD），本周聯手對外提出警告，他們發現愈來愈多的駭客利用網頁殼層（Web Shell）來滲透受害者的網路，以自遠端執行任意的系統命令，因而共同發表《網路安全資訊指南》（Cybersecurity Information Sheet），以協助各組織偵測及預防Web Shell惡意程式。</p> <p>Web Shell是種基於命令列的操作介面，可以各種語言撰寫，但最熱門的Web Shell語言為眾多網路伺服器所支援的PHP，雖然Web Shell可能是良性的，但因為受到駭客青睞以作為後門工具，已日漸成為網路安全威脅的代名詞。</p> <p>ASD指出，駭客鎖定那些使用網路服務的組織，將惡意的Web Shell上傳到有漏洞或被攻陷的網頁伺服器上，並根據目的來執行各種系統命令、列出系統資訊、竊取資料、安裝其它的惡意程式，或是藉由感染伺服器來深入受害者的網路；這些受到感染的網頁伺服器提供的，可能是內部的網路服務或者是公開的網路服務，例如內容管理系統。</p> <p>ASD發現，去年有眾多的駭客利用Web Shell，並針對鎖定澳洲及澳洲的國際夥伴展開攻擊，威脅了國家安全、經濟與私人企業的利益。</p> <p>《<a href="https://media.defense.gov/2020/Apr/22/2002285959/-1/-1/0/DETECT%20AND%20PREVENT%20WEB%20SHELL%20MALWARE.PDF" target="_blank">網路安全資訊指南</a>》則是ASD與NSA首度合作的安全文件，期望能藉此警告所有的可能受到威脅的單位。</p> <p>根據該文件，駭客經常藉由在既有的網頁應用程式上新增或變更其中一個檔案，來建立Web Shell，這些Web Shell讓駭客得以常駐在受害者的網路上，並偽裝成合法的通訊流量；且不只是面對公開網路的系統可能被駭客相中，組織內部的內容管理系統或是網路裝置管理介面，也經常成為被攻擊目標。</p> <p>Web Shell通常不容易被偵測到，因為駭客很容易就能變更它，也會模糊它的存在或將它加密，最有效的方法應該是同時採用多種不同的偵測技術，包括與已知的良性應用進行比對、網頁流量異常檢測、特徵檢測、留心意外流量，以及端點的檢測與回應能力等。</p> <p>在預防上，ASD與NSA則建議組織應該要優先修補網頁應用程式的安全漏洞，嚴格規定網頁應用的存取權限，定期監控檔案的完整性，部署入侵防禦系統與網頁應用防火牆，隔離重要的網路，同時強化網頁伺服器與網頁應用的配置等。</p> </div></div></div>
2020/4/24 17:50作者陳曉莉https://www.ithome.com.tw/news/137211
網頁版Google Meet擴充磚式布局，現可一次顯示16個參與者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於武漢肺炎疫情延燒，因此遠端工作的需求上升，導致Google視訊會議服務Meet的使用率大幅上升，<a href="https://cloud.google.com/blog/products/productivity-collaboration/introducing-tiled-view-and-other-top-requested-features-in-google-meet">Google現在進一步改善Meet的功能</a>，使其更符合遠端會議的需求。</p> <p>過去在大型會議中，網頁版Meet磚式布局只能讓使用者一次看到4個會議參與者，經過更新之後，網頁使用者現在最多可以看到16個人，Google預告，他們還會針對大型會議更新更多功能，包括支援更多裝置以及更好的簡報布局。</p> <p>而且現在使用者還可以在網頁版Meet中，選擇分享特定Chrome瀏覽器分頁的內容，Google提到，共享畫面的單位不再限於視窗或是整個螢幕，當用戶需要在會議中，共享帶有音訊的高品質影片，便可以選用分享特定Chrome瀏覽器分頁的內容。</p> <p>Google也強化了Meet的視訊功能，利用人工智慧自動調整畫面亮度，即便用戶所處環境光源不佳，Meet也能清楚的呈現用戶；目前這項功能先在行動應用程式上推出，網頁版用戶需要再等等。另外，Google還在Meet增加降噪功能，可以智慧地過濾諸如背景狗叫聲或是鍵盤噪音，減少會議中斷的機會；這項功能將在接下來幾周內，向G Suite企業用戶以及教育用企業用戶推出，並先在網頁版提供，接著才會上到行動應用程式。</p> </div></div></div>
2020/4/24 17:55作者李建興https://www.ithome.com.tw/news/137182
資安業者Malwarebytes進入VPN市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Malwarebytes在本周推出了Malwarebytes Privacy，這是該公司首款虛擬私有網路（virtual private networks，VPN）產品，初期僅支援Windows作業系統，預計很快就會釋出支援macOS、Android及iOS的版本。</p> <p>Malwarebytes表示，他們認為VPN為分層保護的必要元素，可用來保障使用者的裝置與個人資料，該公司也一直鼓勵使用者啟用VPN，為了讓使用者更容易選擇所需的VPN，因而決定自行推出VPN服務。</p> <p><a href="https://blog.malwarebytes.com/malwarebytes-news/2020/04/introducing-malwarebytes-privacy/" target="_blank">根據Malwarebytes的說明</a>，新的Malwarebytes Privacy產品讓使用者的所有流量都是先透過加密通道來連到該公司的伺服器，再轉至使用者想造訪的網站，因此，網站看到的是VPN伺服器的身分而非使用者的IP，而且該服務亦不會蒐集使用者的紀錄或遙測資料。</p> <p>由於VPN必須透過加密通道來引導流量，因此經常出現連結變慢的情況，但Malwarebytes標榜其服務將提供更流暢的網路經驗，既不會讓電腦變慢，也使用更少的電力，並採用最先進的256位元的AES加密標準。</p> <p>Malwarebytes Privacy提供橫跨30個國家的180個伺服器供使用者選擇，使用者可自行決定要透過位於何處的VPN伺服器來引導流量。</p> <p>基本的Malwarebytes Privacy服務最多可支援5個裝置，年費為59.99美元，而進階的Malwarebytes Privacy+Preminu服務同樣也支援5個裝置，但除了基本的VPN功能之外，也加入了裝置的安全保護能力，目前的優惠價為每年89.99美元。</p> <p>目前坊間的付費VPN服務多達數十種，根據Global Market Insights的調查，2019年全球的VPN市場規模超過250億美元，且未來6年每年都會以12%的速度成長；而在此一居家防疫的期間，隨著愈來愈多用戶從自家連至企業或學校網路，VPN的使用率亦大幅增加，或許也是Malwarebytes決定在此時推出VPN服務的原因。</p> </div></div></div>
2020/4/24 18:05作者陳曉莉https://www.ithome.com.tw/news/137212
受Ghostcat漏洞波及，多家IT平臺軟體接續發布相關修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前Tomcat Server被揭露一個名為Ghostcat的漏洞，Apache Tomcat已在2月中旬於官方網站上，針對現行不同版本發布更新修補，<a href="https://www.ithome.com.tw/news/137074">近期，則有臺灣資安業者TeamT5杜浦數位安全發現有中國駭客組織疑似利用該漏洞，在臺灣校園網站上傳BiFrost後門程式，因此呼籲企業與組織要注意此GhostCat漏洞的嚴重性</a>。值得關注的是，該漏洞也波及多個Linux平臺，因而陸續修補，就連商用軟體也受影響。</p> <p>關於這個Ghostcat漏洞（CVE-2020-1938），它在CVSS v3.1的分數是9.8，屬於重大風險漏洞，由資安業者長亭科技在2月20日揭露其風險，指出該漏洞存在於Apache JServ Protocol（AJP）中，而若是網站應用提供了文件上傳的功能，將導致遠端指令執行（RCE）漏洞。</p> <p>值得注意的是，在Ghostcat漏洞被揭露後，隔沒幾日，開放原始碼資安公司Snyk研究員Brian Vermeer，在2月25日針對Spring Boot伺服器端框架提出警示。這是因為，Spring Boot是廣泛使用的伺服器端框架，而它使用了嵌入式Web服務器，當中安裝的就是Tomcat，這將導致SpringBoot Web Starter存在風險。</p> <h2><strong>漏洞波及多個Linux平臺、雲端服務與商用軟體</strong></h2> <p>目前Ghostcat漏洞的影響有多大呢？根據W3techs在4月2 0日的統計調查中，在主流網頁伺服器方面，以使用的網站數量而言，Tomcat雖然落後於Apache、Nginx、Cloudflare Server、MicrosoftIIS與Litespeed，不過，以用於高流量網站的角度來看，Tomcat則是上述6者之中最普遍使用的平臺。而根據資安公司BinaryEdge在2月底的偵測，在目前的網路上，至少有超過100萬個Tomcat Server。</p> <p>在臺灣，這樣的情形也要特別注意，之前TeamT5揭露中國駭客疑似利用這個漏洞的攻擊事件時，該公司資深經理侯翔齡就曾表示，在他們近期的客戶案例中，就在國內多個企業與機關內，發現有數十臺TomcatServer，其實都存在Ghostcat漏洞未修補的狀況。</p> <p>更讓人關切的是，Tomcat的這個漏洞，其實還會影響到其他產品，而這些產品的修補速度，也引起我們的關注。</p> <p>首當其衝的，就是多款Linux平臺的作業系統，近期有一系列的對應處置。以openSUSE而言，在3月5日到3月27日期間，該平臺也陸續針對旗下產品，</p> <p>發布CVE-2020-1938等漏洞修補的<a href="https://www.suse.com/security/cve/CVE-2020-1938/">安全公告，多款產品受影響，包括SUSE Linux Enterprise Server、SUSE OpenStack Cloud等眾多產品</a>與版本。</p> <p><a href="https://access.redhat.com/security/cve/cve-2020-1938">Red Hat也有多款產品受影響</a>，他們在3月中旬已經先修補的包括Red Hat Enterprise Linux7/6，與Red Hat JBoss WebServer 3.1等，於4月15日再度修補其他多款產品，但至今還有一些產品尚未完成修補。</p> <p>還有許多Linux發行版本也受波及，包括<a href="https://lists.debian.org/debian-lts-announce/2020/03/msg00006.html">Debian Linux</a>、<a href="https://security.gentoo.org/glsa/202003-43">Gentoo Linux</a>，以及<a href="https://lists.fedoraproject.org/archives/list/[email protected]/message/2XFLQB3O5QVP4ZBIPVIXBEZV7F2R7ZMS/">Fedora專案</a>，他們陸續在3到4月間，發布相關修補的更新通知。</p> <p>除了上述作業系統平臺用戶要注意更新，雲端服務的用戶也要留意。例如，在微軟開發者部落格上，<a href="https://devblogs.microsoft.com/java/addressing-ghostcat-on-azure/">Azure App Service產品經理Jason Freeberg也在3月10日撰文</a>指出，由於在Azure Kubernetes服務、Azure Container Instances（ACI），以及Azure WebApps for containers之中，系統預設都是開啟AJP connector，因此他們也提醒用戶，需要注意修補及關閉AJP connector。</p> <p>最近，更有商用軟體平臺受Ghostcat漏洞影響。例如，在4月15日，行動裝置管理平臺廠商<a href="http://support.blackberry.com/kb/articleDetail?articleNumber=000062739">Blackberry表示</a>，已確認自家產品受此漏洞影響，包括旗下的企業檔案安全同步和分享產品BlackBerry Workspaces Server（Appliance-X、vApp）、以及企業行動管理Good Control，他們並已釋出軟體更新，呼籲用戶儘速修補。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-20_120801.jpg" style="width: 600px;" /></p> <blockquote><p>對於使用Tomcat AJP的用戶，他們建議，在升級到新版的同時，也要將AJP connector設定secret參數，並設定高強度的密碼；如果用戶本身未使用Tomcat AJP，且又無法更新或是版本老舊，長亭科技也提供了解決辦法，那就是關閉AJP connector，或是以防火牆的管控辦法，阻擋不信任來源IP位置對於AJP connector的存取。</p> <p>因此，即使用戶沒有使用AJP協議，仍有修補工作要進行，而從其他業者對此漏洞的處置建議來看，例如趨勢科技與微軟，他們也都是建議用戶，依長亭科技的修補方式來進行。</p> </blockquote> <p> <a href="https://s4.itho.me/sites/default/files/images/（圖6）Tomcat漏洞影響Linux平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Tomcat%E6%BC%8F%E6%B4%9E%E5%BD%B1%E9%9F%BFLinux%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於Ghostcat漏洞的影響，SUSE在最近一個多月期間，陸續針對多款產品發布安全更新。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Tomcat%E6%BC%8F%E6%B4%9E%E5%BD%B1%E9%9F%BF%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99.jpg" style="width: 600px;" /> </p> <blockquote><p>雲端服務的用戶也要留意，微軟也提醒Ghostcat漏洞在Azure上的影響，並指出由於系統預設都是開啟AJP connector，因此提醒用戶需要注意修補及關閉AJP connector。</p> </blockquote> <h2><span style="color:#0099ff;"><strong>已知具有Ghostcat漏洞的IT產品</strong></span></h2> <table border="1" cellpadding="1" cellspacing="1" style="width:500px;"><tbody><tr><td>Liunx作業系統</td> <td>●<strong><a href="https://www.suse.com/security/cve/CVE-2020-1938/">SUSE</a> </strong>Linux Enterprise Server<br /> ●<strong><a href="https://access.redhat.com/security/cve/cve-2020-1938">Red Hat</a></strong> Enterprise Linux <br /> ●<strong><a href="https://lists.debian.org/debian-lts-announce/2020/03/msg00006.html">Debian</a></strong><br /> ●<strong><a href="https://security.gentoo.org/glsa/202003-43">Gentoo</a></strong><br /> ●<strong><a href="https://lists.fedoraproject.org/archives/list/[email protected]/message/2XFLQB3O5QVP4ZBIPVIXBEZV7F2R7ZMS/">Fedora</a></strong></td> </tr><tr><td>雲端服務</td> <td>●<strong><a href="https://devblogs.microsoft.com/java/addressing-ghostcat-on-azure/">Azure</a></strong> Kubernetes服務<br /> ●Azure Container Instances（ACI）<br /> ●Azure WebApps for containers</td> </tr><tr><td>商用軟體</td> <td>●<strong><a href="http://support.blackberry.com/kb/articleDetail?articleNumber=000062739">BlackBerry</a></strong> Workspaces Server（Appliance-X、vApp）<br /> ●BlackBerry Good Control</td> </tr></tbody></table><p>資料來源：各廠商，iThome整理，2020年4月</p> </div></div></div>
2020/4/24 15:28作者羅正漢https://www.ithome.com.tw/news/137207
熱度不減，Zoom每日用戶數增至超過3億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端視訊會議軟體Zoom的市占，似乎沒有受到接連傳出的資安問題所影響。三月全球用戶數才達到2億的Zoom日前宣布，過去3個星期來用戶數又增加了50%，現在每日用戶數已經突破3億。</p> <p><a href="https://blog.zoom.us/wordpress/2020/04/22/90-day-security-plan-progress-report-april-22/" target="_blank">Zoom是在周三發布</a>90天安全及隱私強化措施進度時，公布其最新用戶數。<a href="https://www.ithome.com.tw/news/137183" target="_blank">Zoom同時也發表</a>Zoom 5.0版本，將全面升級為採用AES 256位元GCM加密標準，以強化隱私保護，預計5月底全面部署。</p> <p><a href="https://twitter.com/levie/status/1253417290718035971" target="_blank">Box CEO Aaron Levie也透過推特表示</a>，已經可以想見Zoom用戶數來到10億的情景，並將永遠改變世人的通訊方式。</p> <p>因武漢肺炎（COVID-19）疫情暴紅的Zoom，3月間接連傳出安全控管不佳，而容易遭外人闖入視訊、<a href="https://www.ithome.com.tw/news/136762" target="_blank">流量加密技術太低</a>、以及iOS版漏洞等，引發多國政府，包括臺灣的行政院和教育部禁用。<a href="https://www.ithome.com.tw/news/136860" target="_blank">不過Zoom也宣布</a>以90天時間專注於強化軟體平臺的安全及隱私性，找來前臉書資安長擔任外部資安顧問。</p> <p>Zoom周三也宣布延攬曾擔任Google全球隱私科技主管的Lea Kissner，擔任公司內部資安顧問，協助強化平臺的安全性。</p> <p>而在用戶數突破3億後，Zoom也將面臨平臺容量的考驗。Zoom則表示，<a href="https://www.ithome.com.tw/news/136982" target="_blank">就算4月初宣布</a>可讓付費用戶自選儲存資料的資料中心，Zoom的原始擴充設計也足以滿足大量使用需求。他們已經為資料中心增加容量，並和公有雲簽定合作，以便必要時在每日用戶數超過3億情況下，依然能確保服務的穩定性。</p> <p>武漢肺炎疫情爆發，促使視訊和遠距協同平臺用戶激增。<a href="https://venturebeat.com/2020/03/19/microsoft-teams-passes-44-million-daily-active-users-thanks-in-part-to-coronavirus/" target="_blank">據微軟的數據</a>，到三月下旬Microsoft Teams每日用戶數超過4,400萬。<a href="https://www.ithome.com.tw/news/136894" target="_blank">Google也在本月將視訊平臺Hangouts改名</a>為 Meet，每日新增用戶200萬。</p> </div></div></div>
2020/4/24 15:30作者林妍溱https://www.ithome.com.tw/news/137202
打擊詐騙，Google準備全面實施廣告買家身分驗證措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為打擊假藥、黑心店家，<a href="https://www.blog.google/products/ads/advertiser-identity-verification-for-transparency/" target="_blank">Google周四宣布</a>進一步擴大廣告透明度，要求所有廣告主都必須完成身分驗證，讓用戶可以了解廣告主身分以免遭到詐騙。</p> <p>2018年Google對政治廣告實施透明度政策，要求所有想在Google平臺上投放競選廣告的組織單位，必須經過身分驗證，之後用戶可以在廣告旁點入「關於廣告主」，以查看廣告主的背景。政治廣告的廣告主身分驗證方案已推向30個國家。</p> <p>政治廣告主身分驗證原先為了打擊外國政府或極端人士透過假訊息、假廣告來煽動主流民意，影響選情。但今年隨著武漢肺炎蔓延全球，不肖人士紛紛在社群平臺散布關於COVID-19的疫情、假訊息、冒牌商店、未經驗證的藥方或療法等進行詐騙，促使Google 將該政策擴大到所有廣告。</p> <p><a href="https://www.ithome.com.tw/news/131399" target="_blank">去年華爾街日報報導</a>，Google Maps上有數百萬假冒或黑心店家資訊。在此之前，<a href="https://support.google.com/google-ads/answer/7167922" target="_blank">Google僅要求</a>美國的車庫門及美、加鎖匠服務商必須完成身分驗證，提交專業執照等文件。</p> <p>在新措施下，所有廣告主購買Google網路廣告前，都必須完成驗證。他們必須提交個人身分、公司文件及其他資訊來證明自己的身分和公司營運所在國。而從今年夏天起，使用者就可以點選進一步了解廣告主的資訊。Google表示，這項變革讓所有人都可以知道背後廣告主的身分，以便幫助用戶啟用廣告控制設定時的決策，此外也能偵測有心人士，降低他們冒充的機會。</p> <p>這項措施會先分階段展開，先從美國開始，之後再推向全球。但Google表示，擴大實施期間必須兼顧確保資訊的正確性，因此新措施可能需耗時數年才會完成。</p> </div></div></div>
2020/4/24 15:50作者林妍溱https://www.ithome.com.tw/news/137203
新版Vivaldi瀏覽器內建廣告封鎖功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Opera的創辦人暨前執行長Jon Von Tetzchner所建立的Vivaldi瀏覽器，在本周推出了Vivaldi 3.0，該版本首度內建追蹤器及廣告封鎖功能，除了支援Windows、macOS與Linux之外，也是首個支援Android的穩定版。</p> <p>新增的追蹤器與廣告封鎖功能，同時適用於Vivaldi桌面版與行動版，它出現在網址列左邊的盾牌上，它的預設值是關閉的，提供3個等級，一是完全不封鎖，二是只封鎖追蹤器，三是同時封鎖追蹤器及廣告。也允許使用者於不同網站採用不同的設定。</p> <p><a href="https://vivaldi.com/zh-hant/blog/1-day-2-big-vivaldi-browser-releases/" target="_blank">Vivaldi表示</a>，該公司相信有許多使用者，並不想阻止他們經常造訪的網站失去廣告營收，因此未於預設中啟用廣告封鎖機制，而是讓使用者自行控制隱私保護。</p> <p>至於Vivaldi 3.0也是第一個支援Android平臺的穩定版，它適用於Android 5及以上的平臺，也相容於平板電腦與Chrombook。</p> <p>許多瀏覽器都已提供追蹤器或廣告的封鎖能力，例如Safari、Firefox與Edge預設就封鎖了追蹤器，Brave的預設則直接同時封鎖追蹤器及廣告，Google Chrome的進展相對緩慢，Chrome用戶目前主要仰賴擴充程式來封鎖追蹤器或廣告。</p> <p>2015年問世的Vivaldi 也是奠基在Chromium專案上，因此可支援所有的Chrome擴充程式，當初Tetzchner曾將它設定為科技宅專用瀏覽器，鎖定的族群為那些在網路上花很多時間、需要開啟大量分頁，並同時檢視很多內容以提高工作效率的使用者。不過，根據Net Applications的桌面瀏覽器調查，今年3月Vivaldi的市占率只有0.07%，位居排行榜上的第十五名。</p> </div></div></div>
2020/4/24 13:42作者陳曉莉https://www.ithome.com.tw/news/137201
新服務Amazon AppFlow可自動串接AWS與SaaS間的資料流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-announcing-amazon-appflow/" target="_blank">AWS推出了Amazon AppFlow服務</a>，來解決將AWS資料串接到SaaS的麻煩，Amazon AppFlow能夠自動化處理AWS和SaaS應用程式間的資料串流，讓Salesforce、Zendesk和ServiceNow等服務管理者快速簡單地完成需要的整合。</p> <p>AWS提到，用戶採用SaaS應用程式的比例急速增加，但是當資料分散在多個SaaS應用程式中，便難以彙整分析這些資料，產生有意義的結果。Amazon AppFlow的出現便是要解決這個問題，將分散在各SaaS應用程式的資料彙整進AWS，進行綜合分析，而且Amazon AppFlow不只可以讓資料從SaaS應用程式流入AWS服務，還能夠將AWS服務的資料，發送到各個SaaS應用程式，而為了維持資料的安全性，傳輸的資料都會經過加密處理。</p> <p>另外，部分SaaS應用程式已經和AWS PrivateLink整合，而這將提供另一層的安全性防護，因為當資料經AWS PrivateLink在AWS和SaaS服務間傳輸時，所有的流量都僅在Amazon的網路中傳輸，而不會流經網際網路，大幅降低來自網際網路攻擊的可能性；只要SaaS應用程式支援AWS PrivateLink，Amazon AppFlow就能夠自動處理這項連結。</p> <p>Amazon AppFlow現在支援S3和13個SaaS應用程式作為資料來源，並且可以將資料流串接進S3、Amazon Redshift、Salesforce和Snowflake等服務，AWS會在之後逐漸增加支援的服務。AWS提到，Amazon AppFlow會根據流量，自動擴展和縮小規模，並且還能一次傳輸100 GB的資料，也就是說，用戶不需要把資料切分成多個批次傳輸。</p> </div></div></div>
2020/4/24 14:40作者李建興https://www.ithome.com.tw/news/137186
IoT雙周報第79期：美國FCC拍板定案！將開放6GHz頻譜用於下一代Wi-Fi 6使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>04/11~04/24精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Wi-Fi 6E</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 美國FCC </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國FCC正式開放6GHz頻譜用於下一代Wi-Fi，優先提供高度省電需求的IoT裝置來用 </strong></span></p> <p>美國聯邦通信委員會（FCC）於<a href="https://www.fcc.gov/document/fcc-opens-6-ghz-band-wi-fi-and-other-unlicensed-uses">23日表決通過</a>，正式開放6GHz頻譜用於下一代Wi-Fi 6，未來能運用在包括物聯網等更多應用領域。早在今年初，Wi-Fi聯盟就已發布Wi-Fi 6E支援6 GHz頻段，強調傳輸速度更快，而且反應更即時。美國FCC隨後也計畫開放6 GHz 頻段分配給Wi-Fi，提供給一般大眾使用。在表決通過以後，根據FCC的規畫，將開放非授權的6GHz頻段裡共1,200MHz頻寬，來提供作為Wi-Fi的使用。美國FCC主席Ajit Pai在先前一份聲明中也提到，通過釋出免授權6 GHz頻段，這將讓可用於Wi-Fi的頻譜增加近5倍。FCC也建議將允許讓這些有高度省電需求的物聯網裝置，可以優先使用6 GHz頻段的Wi-Fi連網，包括可穿戴裝置、VR/AR設備等。預期今年內將開放。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Web NFC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Chrome </span></strong></span></p> <p><span style="font-size:22px;"><strong>新版Chrome 81終於加入Web NFC功能，以後用行動瀏覽器也能讀取NFC標籤了</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 280px;" /></p> <p>因疫情延後至9日釋出的新版行動瀏覽器Chrome 81，最大特色就是增加Web NFC API功能。有別以往，使用者必須用近場通訊（NFC）手機開啟特定App，靠近現實中的NFC標籤才能讀取其內容並交換訊息。透過Web NFC標準，現在允許網站也能夠讀取及寫入NFC標籤，不需要透過安裝App就能用。這種網頁式的NFC資訊交換方式，未來同樣也可用於IoT場景應用，例如在庫存管理方面，可透過手機或平板開啟企業內部網站或庫存網頁平臺，就能讀取數據或將數據寫入產品上的NFC標籤，從而簡化庫存管理。對於Web開發人員來說，同樣能用它來開發各種結合NFC的IoT網頁應用。但現階段Web NFC並不是正式版本，使用上仍有限制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LoRa聯盟</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物聯網裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRa聯盟力推新的物聯網裝置認證計畫，允許IoT廠商免加入會員也能認證IoT裝置 </strong></span></p> <p>LoRa聯盟推出新的 LoRaWAN物聯網裝置認證計畫，放寬了對於裝置認證的申請者限制，允許物聯網業者免加入會員，也能透過付費方式進行IoT裝置認證，以符合該聯盟的裝置認證要求。這個認證計畫，包含完整協定測試、互通性、RF效能等測試。LoRa聯盟希望透過這個新的認證方式，增加市場可採用的LoRa裝置數量與規模，但仍鼓勵業者成為LoRa聯盟的成員。根據LoRa聯盟官網數據，目前旗下超過500個企業會員，至今完成認證的IoT裝置近177個產品，被運用在智慧城市、智慧家庭、智慧工廠、智慧農業、智慧交通等領域。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 溫度感測器</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>Aranet打造一對多醫用體溫感測器系統，最多可同時監控百人體溫，幫助醫療人員對抗肺炎疫情</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 436px;" /></p> <p>為了對抗武漢肺炎疫情，歐洲有家無線IoT監測製造商Aranet開發出一個醫用體溫感測器系統，可以同時連接最多100個無線溫度感測計，來即時監控患者的體溫，並且可透過有線和無線方式傳送體溫資料到雲端，讓醫師人不用進到病床，就能追蹤每一個患者目前的身體變化狀況。透過這種體溫監控方式，一旦遇到病患體溫出現異常時，系統就會立即發送警示，讓醫護人員能馬上處理。即使是遇到網路斷線時，這些體溫記錄也會先儲存在溫度計裡，待網路恢復再傳送。目前已有數家大型醫療機構正在進行測試。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">思科</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工業物聯網 </span></strong></span></p> <p><span style="font-size:22px;"><strong>為擴大工業物聯網布局，思科收購無線IoT業者Fluidmesh Networks</strong></span></p> <p>思科最近宣布買下了無線IoT業者Fluidmesh Networks，用來擴展其在工業物聯網應用的布局。Fluidmesh於2005年成立，專門研究後端無線骨幹網路技術（wireless backhaul ），用於大規模分散式站點的企業用影像、語音與數據連接。在併購完成後，Fluidmesh將加入思科旗下的物聯網事業，加強該公司在工業IoT領域的無線技術。不過，思科並未透露併購這家公司的金額。預計此收購將在2020年第二季完成。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠傳 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NB-IoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>遠傳推出結合NB-IoT數據傳輸的血糖機，串連臺南90間醫療院所能更快掌握患者病況</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20200330(1).jpg" style="width: 600px; height: 393px;" /></p> <p>遠傳電信很早就推出NB-IoT商用服務，並已將這項技術運用在車聯網、智慧路燈、智慧停車等應用，近日，該公司更將它用於智慧醫療照護，推出結合NB-IoT數據傳輸的血糖機，並已在臺南推出上市。這套血糖機內建NBIoT通訊模組，不需使用Wi-Fi或藍牙，每月即可上傳二千次血糖數據，遠傳強調，該數據傳輸免月租費。不過，這樣一臺血糖機售價則要3,980元。在操作上，民眾用它量測血糖後，這些數據會統一透過NB-IoT無線網路上傳到遠傳的Health健康+雲平臺，使用者用手機App就能隨時查看。這些血糖機還串連至包括臺南市立醫院、新樓醫院、志誠醫院、佳里奇美醫院等共90間醫療院所，以便於醫師在民眾回診時更快掌握病況。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">空氣盒子 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧城市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>台哥大在臺中布建兩百個空氣盒子以建立空污地圖，更要結合大數據提前30分預測空氣品質</strong></span></p> <p>台哥大最近在臺中以兩百個空氣感測器建立空污地圖。該公司使用與經昌電子、晶元光電等業者合作開發的PM2.5感測器及低功耗CO氣體感測器，並安裝在市區220個固定監測站點及公車上，來蒐集空氣品質數據，並上傳到一個空品監測分析平臺做大數據分析和預測模型建立，用以預測各地區空氣品質變化，讓民眾可以馬上查詢。台哥大宣稱，目前已可提前預測半小時後的空氣品質，準確度可達95%。該公司表示，未來這些空氣監測數據，亦將提供臺中榮總作為醫療照護的參考依據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">高通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NB-IoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>高通超省電NB-IoT通訊晶片亮相，可讓IoT裝置最低僅需2.2伏供電即可連網</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%96-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.jpg" style="width: 600px; height: 489px;" /></p> <p>高通發表一款超省電NB-IoT整合通訊晶片，可以讓開發者設計出最低僅需2.2伏特電壓就可連網的IoT裝置，未來可用於各種超低功耗IoT裝置的開發。這個新型NB-IoT數據機晶片正式支援3GPP第14版單膜Cat-NB2標準，採用高度省電設計，就連該晶片在待機模式下電流也小於1微安，來節省耗電量。該晶片整合RF收發器和RF前端元件，可提供700MHz至2.1GHz的頻段覆蓋，還內含Cortex M3應用處理器、LTE數據機等不同元件。高通還推出了與該晶片一起使用的SDK，讓開發者可以使用它在整合應用處理器上執行客製軟體，高通表示，未來有望支援如微軟Azure等雲平臺。今年下半推出上市。責任編輯⊙余至浩</p> <p>圖片來源／高通、遠傳、 Aranet</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.商用不到一年，日本電信商NTT Docomo於3月底宣布終止NB-IoT服務</strong></p> <p><strong><strong><strong>2.Semtech推出整合紅外線溫度監測的LoRa物聯網設備，輔助醫院對抗武漢肺炎疫情</strong></strong></strong></p> <p><strong><strong><strong>3.政治大學運用門禁刷卡與QR Code點名建立師生移動軌跡，要讓緊急疫調更精確 </strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2020年4月</strong></strong></p> </div></div></div>
2020/4/24 11:04作者余至浩https://www.ithome.com.tw/news/137196
勒索軟體攻擊超越金融卡竊盜，在去年成為最常見的網路攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.trustwave.com/en-us/company/newsroom/news/new-trustwave-report-reveals-cybersecurity-threats-becoming-pervasive-and-attacks-more-targeted/" target="_blank">Trustwave近日公布了2020年的全球安全報告</a>，透露出雲端服務已成為駭客鎖定的第三大攻擊目標，而且勒索軟體超越了金融卡竊盜，成為最受駭客青睞的攻擊目的。</p> <p>Trustwave的分析，是奠基在去年有紀錄的1兆筆安全事件，以及該公司所經手的數百筆資料外洩與鑑識調查、滲透測試、紅隊演練、網路漏洞掃描與內部研究。</p> <p>根據該報告，去年最常遭駭客鎖定的前三大攻擊目標，依序是企業環境，占了54%；電子商務網站，占了22%；以及雲端服務，占了20%。其中，企業環境指的主要是POS收銀系統，另外值得一提的是，這也是雲端服務首度躍升至該類別的第三名，2018年針對雲端服務展開攻擊的比例只有7%，卻在2019年大幅增加到20%。</p> <p>此外，駭客攻擊企業環境的主要目的為植入勒索軟體，攻擊電子商務網站及雲端服務的主要目的，則是竊取使用者的金融資料，而這也讓勒索軟體攻擊首度取代金融卡資料，成為最受駭客青睞的攻擊目的。統計顯示，在去年的所有的資安事件中，勒索軟體就占了18%，遠高於2018年的4%。</p> <p>至於去年駭客最愛使用的攻擊工具，為專門用來遞送酬載的Downloader或Dropper，占了24.9%，遠高於2018年的17.3%；居次的是遠端存取木馬，占15.5%；殭屍網路則占了7.9%。</p> <p>而以網頁為基礎的挖礦綁架攻擊在去年則幾乎消失，Trustwave認為這與挖礦服務Coinhive在去年初，<a href="https://www.ithome.com.tw/news/129030" target="_blank">宣布退出市場</a>有關，挖礦綁架惡意程式在2018年時，增加了1,250%。</p> <p>Windows依然是最受駭客青睞的作業系統，去年有69%的惡意程式都是鎖定Windows，居次的是跨平台的23%，還有8%鎖定Unix。令人吃驚的是，有67%的攻擊程式，開採了位於圖控軟體InduSoft Web Studio在2014年修補的CVE-2014-0780漏洞，該漏洞允許遠端駭客讀取程式檔案中的管理員密碼，再傳送網頁請求以執行任意程式。</p> <p>此外，亞太地區已連續第二年，成為全球最常發生資料外洩意外的地區，占全球資料外洩事件的37%，北美占了33%，歐洲／中東／非洲占了25%，拉丁美洲則僅占5%。</p> </div></div></div>
2020/4/24 11:15作者陳曉莉https://www.ithome.com.tw/news/137199
中型券商的逆襲！康和證券靠微秒交易處理速度決勝負
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「逐筆交易為證券商IT軍火競賽，鳴響了第一槍，往後，資訊的力量將更主導，誰能夠掌握資訊上的優勢，就更有競爭力。這是所有券商的挑戰，跟不上就可能被市場淘汰。」康和綜合證券資訊長張志堅道出他的觀察。</p> <p>逐筆交易新制增加了更多種股票買賣委託形式，但也帶來了最大的挑戰，影響了證券商幾乎所有的交易系統。張志堅提到，從市場價格欄位擴充、交易委託的電文格式、資料庫、後臺的下單風控主機、交易及帳務中臺、下單電子交易平臺、下單平臺介面等，全都要重新改過。逐筆交易與行情逐筆顯示，會造成成交回報的速度變快且變多，連帶行情報價資訊也會跟著變快、變多。</p> <p>這個變革對股民的衝擊程度不一，張志堅觀察，逐筆交易對於臺灣眾多小散戶不會造成太大的影響。反而是對高頻交易與程式交易投資人，也就是中實戶、大戶或法人的衝擊較大，他們在下單、取消單子，或是需要更快的訊息來進行整合或做策略判斷時，就得搭配高速的交易系統，才能夠辦到。</p> <p>在政府政策要求，新制度是非走不可的一條路，券商還是得同時提升通訊系統與資訊系統的投資。在通信系統部分，張志堅表示，證交所事前評估，逐筆交易的資訊流大約是以往的4倍，因此，線路頻寬增加成4倍，而且是整條通信線路的每一個處理端點上，從交換器、路由器到防火牆等，都要是原來資料處理的4倍能量。「為了因應逐筆交易新制的上路，讓每家證券商的資訊部門，簡直如臨大敵。」</p> <p>光在建置初期的採購，券商就感受到成本大增，不只高效率通信軟硬體要價不斐，線路頻寬更是一大成本，張志堅補充，即便因應此次逐筆交易，證交所向中華電信爭取到一個較好的頻寬方案來減輕券商負擔，但光是通信費用的增加，證券商的負擔就不輕。</p> <h3><span style="color:#FF8C00;"><strong>成交回報資訊流量為何暴增4倍？</strong></span></h3> <p>為何資訊流會暴增？得從資訊系統流程來看，一般的證券下單交易系統，投資人從下單AP或App送出一筆委託後，經過券商前臺的資訊伺服器閘道器，到處理交易與帳務的中臺，再到後臺的下單風控主機，再連線到證交所進行逐筆撮合後，再循原路徑透過券商將委託回報與成交回報傳給投資人。</p> <p>張志堅強調，這個雙向來回的過程，因為逐筆撮合與逐筆回報的關係，成交回報的資訊流量預估是以往的4倍。</p> <p>以往證交所是5秒鐘撮合一次，所以，每一檔股票5秒只會有一檔成交回報價回來，比如一股台積電是300元，5秒撮合一次的成交回報價就是300元。</p> <p>然而，逐筆交易新制則是隨到隨撮，意思就是每有一方買家與賣家可以媒合的價格出來，就會馬上撮合，所以，每一檔股票回來的成交回報價會不一樣，成交回報也會跟著變多。</p> <p>比如，投資人掛進10張台積電的股票，過往只能買到一個價格的股票，只會有一筆成交回報；現在逐筆交易新制後，投資人可能每一張的成交價格都不同，在295元到305元區間都有，每張交易結果不同，投資人就會收到多筆成交價格的回報。</p> <p>甚至最極致的情況下，張志堅提到，若出現快市的狀況下，投資人買100張股票，最多可能要回傳給100筆成交回報價。對券商全套系統的負擔也會變大，所以，在交易處理速度就得加快。</p> <p>甚至會出現一種滾雪球效應，他觀察，因為行情傳播變成即時更新，高頻交易投資人或程式交易投資人將會增加下單次數，可能帶來更大的委託量，再度讓委託回報次數增加。這正是最終導致了「4倍資訊流量」的原因。</p> <p>一般券商都有兩套以上的AP與App，再加上法人下單系統、營業員自行輸入用系統、Key-In（一般輸入用）、語音下單等系統，每一套系統幾乎有各自的專用前臺，這是券商主機數最多、最複雜的一塊。還要加上主要提供下單交易、驗章、帳務查詢服務的中臺，以及負責下單、風控、交易所連線的後臺。</p> <p>暴增資訊流影響了大量券商系統。張志堅指出，這些交易系統上，每個節點、每個主機、每個儲存，乃至每個資料處理的處理效能，都得要擴充到4倍。甚至，他認為：「 4倍是保守估計，」所以，康和綜合證券（簡稱康和證券）在主機、伺服器的處理速度，都擴充了5倍以上。</p> <p>其中最需要擴充的關鍵，他認為，後臺負責風控與交易所連線，是整個證券下單交易中最重要的環節。投資人下單要符合證交所規範、證券商內控、個股現況規定、投資人庫存等條件，才能準備下單到交易所。而與交易所連線時，則要按照交易所連線規範，掌握交易協定（TMP、FIX），讓投資人的委託單快速且無誤地傳到交易所完成委託，並快速地回傳委託與成交回報到後臺、中臺。</p> <p>「後臺需要有較大計算力的主機電腦來完成，也是各券商資訊重兵集結所在。」張志堅透露，因應此次逐筆交易，許多大型券商在後臺軟硬體的更新費用多達上億元，中小型券商也要花上千萬元。</p> <h3><span style="color:#FF8C00;"><strong>用開放式架構與開源軟體，自行開發新一代證券電子交易系統</strong></span></h3> <p>然而，像是康和證券這樣，沒有金控背景撐腰的中型券商，甚至是其他小型券商來說，因為獲利困難，要打贏這場資訊戰的同時，還得陷在成本與系統效能間，難以兩全的困境中。</p> <p>為了突破這個困境，4年前，康和證券做了一個大膽的決定，他們要用開放式架構與開源軟體，自行開發新一代證券電子交易系統，目標是兼顧成本與提升系統效能。花了3年半建置，終於在2019年1月正式上線，這是康和證券備戰逐筆交易制度的關鍵利器。</p> <p>趁著新一代系統砍掉重練，康和證券甚至更換了關鍵系統的開發語言。張志堅表示，臺灣證券商、期貨商後臺所用的風控系統較為老舊，就算使用新的電腦硬體，但是，資訊架構已是20年前的設計，它的程式語言也是30年前的COBOL、RPG，「這兩種程式語言已經不在學校正式課程教授有20年了，使得軟體開發人才難尋。」</p> <p>效力不佳、成本也很昂貴，所以，康和證券才毅然決然換掉老架構，也決定使用較易維護的C與C++程式語言，並且採用開放架構技術，包括數位系統、軟體開發環境、資料庫等，都完全使用開源技術來開發。張志堅認為，當前，開放式架構與開源軟體都已非常成熟，多方評估下才決定以新技術、新架構自行開發。</p> <p>現在，康和證券所有的軟體開發都是用開源軟體，從作業系統開始，軟體開發環境、程式語言、資料庫都是，「這是康和證券從上到下所展現的決心與能力，這也是目前所有新興科技開發資訊系統的方法。」他說。</p> <p>而且不只證券交易系統，包括權證交易造市系統也採用了開源軟體，就連自營交易系統，早在逐筆交易前，也用開源的程式語言汰換了原本的COBOL程式語言。康和證券的下一步，則是期貨交易系統，預計今年底可以進入測試，預計明年上線。</p> <p>張志堅更進一步揭露，以新技術、新架構自行開發帶來的好處是，新系統處理速度快了30倍，但軟硬體成本只有舊系統的十分之一，約莫200萬元即可重新打造一個系統，包括速度、容量、穩定度，都不會輸大型券商花了1億元開發的系統。</p> <p>康和證券新一代系統去年上線時，平均每筆交易下單包含後臺風險控管，「交易處理速度已可做到1.75毫秒。」在今年3月新制實施前，康和證券還繼續添購了新設備，CPU又比去年版本快了3倍。現在，「康和證券的交易處理速度已經進入了微秒，也就是百萬分之一秒的時代。」張志堅強調。</p> <p>他觀察，臺灣證券市場常見下單方式上，大約6、7成投資人透過電子下單，仍有3、4成使用人工管道。所以，康和證券另外在逐筆交易前，也做了一些額外調整，將電子交易以外的下單管道，像是投資人打電話進來下單、營業員自Key、人工Key-in等功能，從舊系統全數轉移到新版架構，全面改走新系統流程來提供下單服務。</p> <h3><span style="color:#FF8C00;"><strong>為打造新系統，不惜花一年半組織開源軟體開發團隊</strong></span></h3> <p>「為了打造新一代證券交易系統，一路走來歷經重重挑戰與困難，」張志堅甚至形容自己是「從一片荒蕪開始」。當年，他在公司內部提出全面開源的想法時，所有聽到的人都認為，這是不可能挑戰，他得一肩扛起新系統可能面臨的所有風險，甚至他一度也質疑是否要這樣做。</p> <p>不過，他沒有因此放棄，「如果跟別人走一樣的路，資訊成本也跟別人一樣，對中小型券商來說只有死路一條。」張志堅篤定地說。他仍深信唯有以經濟的成本來發展資訊，康和證券在未來才具有足夠的競爭力，也才可能打得贏這場仗，繼續存活下去。</p> <p>後來，張志堅大舉從外部尋找擅長開源軟體的開發人才，花了整整ㄧ年半，才組成了新系統的開發團隊，最後總共花三年半的時間，才完成新一代證券交易系統的建置。</p> <p>一開始上線時，擔心新系統的穩定性不足，也採取了新舊系統雙軌並行將近一年的時間，在測試階段就謹慎地分階段擴大規模，先由10人研發團隊利用新系統來下單測試，一個月之後再陸續擴張到資訊部、總公司，乃至康和證券北區、中區、南區的員工都進來測試，甚至還讓幾位大客戶下單測試速度，藉此從一次次測試中找出問題，逐步進行系統調校。</p> <p>新系統雖然速度快了許多，但他坦言，上線後的挑戰是系統穩定度，即便目前新系統運作順利，但康和證券仍不敢大意，仍盯緊系統穩定度來持續進行優化調校。未來，康和證券也會開始將AI列為發展重點，第一個應用就用來改善自營交易的操作，後續再逐步擴大應用到顧客端。文⊙李靜宜</p> </div></div></div>
2020/4/24 11:31作者李靜宜https://www.ithome.com.tw/news/137198
Google改善翻譯服務減少性別偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/04/a-scalable-approach-to-reducing-gender.html" target="_blank">Google改進翻譯服務</a>，使用新的方法來解決翻譯上的性別偏差，Google提到，比起過去舊的方法，新方法更具可擴展性，尤其在將性別中立的語言翻譯成英文的時候。Google目前在英文到西班牙文的翻譯中應用新方法，並且還計畫擴充芬蘭文、匈牙利文和波斯文和土耳其文到英文的性別翻譯功能。</p> <p>語言翻譯的機器學習模型，可能會因為訓練資料中存在的社會偏見而出現偏差，性別偏差就是其中一個例子，像是Google翻譯在翻譯土耳其文時，會將包含醫生的句子翻譯成陽性格式，而將護士翻譯成陰性格式。Google為了避免產生或是強化性別不平等偏差，因此會偵測性別中立的查詢，並且根據用戶的喜好，產生明確性別翻譯，在Google翻譯向不分性別的語言提供明確性別翻譯，使用者可以選擇獲得陽性或是陰性翻譯結果。</p> <p>Google過去分別在土耳其文到英文，以及英文到西班牙文提供性別翻譯功能，但隨著對更多語言應用提供性別翻譯服務，舊方法在擴展上出現問題，當神經機器翻譯系統獨立生成陽性和陰性翻譯時，會導致低召回率（Recall），超過40％的查詢無法顯示明確性別翻譯，此外，建立分類器偵測每種來源語言的性別中立性，需要大量的資料。</p> <p>為了解決這些問題，Google改進明確性別翻譯的方法，使用與舊方法完全不同的方式來解決性別偏差，新方法利用重寫方法，來改善性別翻譯的品質。基於重寫方法的明確性別翻譯，第一步是產生初始翻譯，接著對翻譯進行審查，當翻譯具有性別用語，則重寫成目標性別翻譯，最後評估精確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pipeline.png" style="width: 580px;" /></p> <p>而要建置重寫器，需要產生數百萬個訓練用範例短語，每個短語都包含男性和女性翻譯，由於這類資料集獲取不易，因此Google重新產生了一個資料集，可以對照陽性以及陰性用語，用來訓練模型，輸入男性用語時則可以轉換成女性用語，反之亦然，Google提到，最終模型能以99％精確度重寫成使用者要求的性別用語。</p> <p>另外，Google還設計了一個評估方法，來檢驗新翻譯系統和舊翻譯系統間的偏差改善程度，應用新系統則芬蘭文和波斯文到英文的翻譯偏差，可減少超過90％，土耳其文到英文翻譯則改善了95％的性別偏差，而且新系統還能以97％的精確度啟動性別翻譯功能。Google提到，他們會進一步將這項研究成果，應用在文件翻譯上。</p> </div></div></div>
2020/4/24 11:40作者李建興https://www.ithome.com.tw/news/137180
開源的Flutter UI框架已有超過200萬名用戶，Google公布社群輪廓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/flutter-spring-2020-update-f723d898d7af" target="_blank">Google本周宣布</a>，在2018年12月才推出穩定版的Flutter UI框架，迄今已有超過200萬用戶，而且每月平均用戶數接近50萬。</p> <p>Flutter為一開源的使用者介面軟體開發套件，可利用單一的程式庫開發支援Android、iOS、Windows、macOS、Linux及網頁的應用程式，它並非要取代既有的程式碼，而是與這些程式碼共生。</p> <p>在穩定版問世16個月以來，Flutter已經累積了200萬用戶，當中有60%是在Windows上開發，有27%在macOS上開發，也有13%以Linux來開發。使用族群中，有35%是在新創公司任職，有26%在大型企業工作，有19%為自僱者，還有7%替設計機構工作。</p> <p>此外，雖然大多數的Flutter用戶都使用穩定版，占了78%，但有11%使用測試版，另外的11%則使用更早期的dev及master版。全球的Flutter用戶主要位於印度、中國、美國、歐洲與巴西。</p> <p>迄今Google Play上已出版了5萬個基於Flutter的應用程式，而且開發人員在上個月就上傳了1萬個Flutter程式。在Flutter程式中最受歡迎的框架套件為http、shared_preferences、intl、meta、path_provider與pedantic；在Flutter程式中最熱門的第三方套件為provider、rxdart、cached_network_image、sqflite、font_awesome_flutter與flutter_launcher_icons。</p> <p>有鑑於Flutter的規模愈來愈大，Google也準備調整它的發表程序，從今年4月起採用分支模型，Flutter測試版及穩定版也將有固定的發表周期，4月的測試版將開始分支，並透過cherry-picking執行各種重大修補，每季再將現有的測試版提升為穩定版，必要的話還會對穩定版進行修補。</p> <p>此外，Flutter團隊架構現在已可支援針對不同分支的測試，因此除了可驗證各種cherrypick之外，也能根據嚴重性接受某些請求。而未來Flutter測試版，也會包含Dart元件的測試版。</p> <p>Google預計於下周發表新的Flutter穩定版。</p> </div></div></div>
2020/4/24 11:55作者陳曉莉https://www.ithome.com.tw/news/137200
中國網軍年後拼復工，以武漢肺炎議題為餌，鎖定臺灣政府和醫療智庫學者發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>即使世界因為武漢肺炎擴散，導致許多國家或城市被封鎖而暫停，但網路世界確依然熱鬧，TeamT5杜浦數位安全執行長蔡松廷（網路暱稱TT）於<strong><a href="https://www.facebook.com/ithomeonline/videos/968786646872330"><span style="color:#0000FF;">4月23日中午12點播出的「大話資安」節目</span></a></strong>中表示，從二月開始，中國傳統APT攻擊的網軍開始攻擊臺灣政府部門，但4月7日則以武漢肺炎籌組相關任務編組的郵件，寄送到特定的智庫和學者私人信箱。蔡松廷表示，從這陣子的網軍行為來看，可以證明，中國網軍復工後，對臺灣帶來的的威脅仍不可輕忽。</p> <p><span style="font-size:18px;"><span style="color:#0000FF;"><strong>武漢肺炎疫情蔓延，各種連網風險大增</strong></span></span></p> <p>蔡松廷表示，武漢肺炎全球大爆發以來，許多民眾都開始改用在家工作（Work From Home）的遠距上班模式，但也同時帶來相對應的風險，例如平常只有少數人透過VPN連到公司內網，當大家都必須透過VPN連線時，有時候也很難判斷哪一些是攻擊的連線，甚至連VPN設備本身也有漏洞，必須即時修補。因為在家工作而使用防護能力較差的家用電腦，風險較高外，一旦家中電腦爆發資安事件時，企業往往很難做到即時的資安事件調查（Instant Response，IR）。</p> <p>他指出，武漢肺炎也對許多產業帶來很大的衝擊，許多企業的IT預算甚至資安預算是否會在這一波經濟衝擊中被削減，值得關注。</p> <p>在疫情期間，各行各業連個人對於網路依賴越來越深，蔡松廷認為，這雖然帶來很大的風險，也同時帶來機會；不過，他也坦言，因為大家都持續關注武漢肺炎的發展，這也使得武漢肺炎相關的資訊，成為網軍攻擊利用最有效的社交工程手法之一。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>中國網軍鎖定臺灣政府和民間智庫發動攻擊</strong></span></span></p> <p>以前的網軍攻擊看得出來一些規律，像是，蔡松廷說，在農曆年間，網軍也都會過年放假，減少網路攻擊，但農曆年後，當大家都回到工作崗位繼續上班後，網軍們就會開始新一波的攻擊。」他進一步指出，這次中國在1月23日武漢封城後，從收集到的網軍樣本來看，網軍也整整休假四周之久，而網軍開始復工之後的攻擊數量，也比過往農曆年後的攻擊數量大幅減少。</p> <p>他舉例指出，1月29日，第一波的網軍攻擊則是印度網軍攻擊中國，便利用中國衛生健康委員會發出的「武漢旅行信息收集申請表」作為誘餌文件，「當時武漢封城，進出受到管制，這就是百分之百針對中國的網路攻擊。」蔡松廷說道。</p> <p>之後二月也開始巴基斯坦網軍攻打死對頭印度，俄羅斯網軍攻擊烏克蘭，中國網軍攻擊蒙古等網路攻擊事件。</p> <p>但要怎麼確定中國網軍對臺灣攻擊已經恢復了呢？蔡松廷表示，在2月27日有一個網軍集團Polaris，便以「社區傳播風險」的文件攻擊臺灣政府部門，「這也意味著中國網軍正式復工，」他說。</p> <p>三月，包括菲律賓、南韓等國都有遭到網軍攻擊，不過，4月7日中國網軍Polaris則針對臺灣智庫和生技醫療專家學者的私人信箱寄誘餌文件，內容寫明希望可以針對武漢肺炎帶來的影響以及後續的合作，相關收件者很容易就因為關注這個議題，而解壓縮郵件的附件文件。</p> <p>蔡松廷也說，目前利用Office漏洞去產生惡意文件的比例便利，更多是利用人性的漏洞，像是利用武漢肺炎的標題，就很容易吸引人點擊相關文件。假新聞利用人性漏洞去提供點閱率，但就像資安意識就是對抗這類網軍攻擊、社交工程郵件最有效的利器，如同要能夠辨別假新聞，最好的方式就是要培養思考辯證能力一樣，都是最難但卻有效的解決之道。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>鎖定醫療生技產業發動攻擊</strong></span></span></p> <p>當網軍恢復攻擊態勢後，國際疫情仍然持續爆發，蔡松廷也觀察到，武漢肺炎不僅成為各種社交工程郵件最有利的關鍵字外，也發現，已經有網軍開始針對醫療相關發動產業攻擊，包括忙著治療防疫的醫院、疫苗和快篩研究單位以及各種相關的生技公司等，都是接下來網軍鎖定攻擊的對象。</p> <p>此外，在家上班（WTH）會成為企業安全的挑戰，像是VPN設備和連線的安全性都必須考量外，也必須關注提供遠端工作的各種平臺，是否成為網軍攻擊的目標，其他包括各種資安漏洞的掌握、家中電腦安全防護等，對於企業和使用者而言，都是大挑戰。</p> <p>他也說，很多國家在經歷這一波武漢肺炎的疫情後，開始思考要求各國重要產業，必須把相關的供應鏈工廠的風險做分散，撤離中國或者是分散到其他國家，而這樣的作為則會引發各種網路間諜事件。</p> <p>畢竟，為了了解各國政府或重要企業「撤離中國」、「分散供應鏈」等動態與策略發展，必須要即時掌握相關情資。他預測，接下來很多國際事件，例如：美國總統大選、各方國際角力、美中貿易大戰、香港反送中事件等，都會引發各種網路間諜事件，從國家、企業到個人面對的資安風險和挑戰也會越來越大。</p> <p>網路間諜除了偷資料，也有利於各種社群操弄（InfoOps）假新聞、假資訊的散布，蔡松廷說，尤其未來偷取真實資料但在網路公開時，各種真實文件夾雜假訊息的時候，大家不僅更容易相信也更難判斷真假。因此，他也說，未來避免雞蛋不要放在同一個籃子中的分散風險，加上掌握重要情資，都有助於做對決策。</p> <p> </p> </div></div></div>
2020/4/23 21:26作者黃彥棻https://www.ithome.com.tw/news/137187
資安一周第90期：Tomcat Ghostcat漏洞影響受關注。另起焦點事件是調查局與微軟聯手破獲非法VPN並發現源頭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h1><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0416-0422一定要看的資安新聞</strong></h1> <p> </p> <h3><span style="color:#B22222;"><strong>開源軟體安全</strong></span></h3> <h2><strong>Tomcat存在Ghostcat漏洞，有中國駭客在臺灣校園網站上傳 BiFrost後門程式 </strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Tomcat%20Server%E5%AD%98%E5%9C%A8Ghostcat%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／TeamT5</span></p> <p>近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是因為該漏洞受到利用所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，國內安業者發現許多企業的Tomcat Server具有該漏洞，未即時修補。此外，該漏洞也波及多個Linux平臺，因而陸續修補，就連商用軟體也受影響。<a href="https://www.ithome.com.tw/news/137074"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>殭屍網路</strong></span></h3> <h2><strong>調查局與微軟合作拿下非法VPN與殭屍網路，源頭竟是一個LED燈控制器</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%AA%BF%E6%9F%A5%E5%B1%80.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／法務部調查局</span></p> <p>在今年3月，微軟宣布與35國警方與安全業者共同破獲Necurs，臺灣執法單位也名列其中，不過，其實調查局在去年就與微軟合作採取行動。在去年7月8日，調查局接獲臺灣微軟數位安全中心（Digital Crimes Unit，DCU）通報，得知臺灣政府網路IP位址（117.56.xxx.xxx）可能感染Necrus，進而追蹤此一非法的VPN IP位址，查出攻擊所在是北臺灣鄉下的圖書館大樓內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置，調查局在分析調查後將它關閉，阻止該IP與裝置繼續成為攻擊跳板。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/137154">更多內容</a> <a href="https://www.ithome.com.tw/news/137110">更多內容</a> </span></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>MITRE ATT&CK</strong></span></h3> <h2><strong>第二輪MITRE ATT&CK評估計畫結果出爐，臺灣資安廠商也入列</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%EF%BC%86CK_2nd%20Round%20Evaluations_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／擷取自MITRE ATT&CK's Twitter</span></p> <p>MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架，而他們發起的ATT&CK評估（ATT &CK Evaluations）也越來越受到資安業者的響應與認可，在今年4月22日，MITRE公布了第二輪針對APT29的評估計畫結果，這回共有21家資安業者參與，比第一回合更多（初期7家參與、後續5家跟進），特別的是，臺灣資安新創公司奧義智慧，以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布，不論是企業或資安業者，都將能藉此衡量EDR的偵測能力與覆蓋範圍。</p> <p>值得一提的是，兩個月前MITRE也已表示將持續推動這項計畫，希望能藉由透明的評估過程，幫助用戶評估端點檢測工具，他們並公布了新一輪評估計畫，將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。<a href="https://twitter.com/MITREattack/status/1252635963479777288"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　Zoom</strong></span></h3> <h2><strong>傳出Zoom零時差漏洞攻擊程式正在黑市販售</strong></h2> <p>雲端視訊會議Zoom的爆紅，讓全球駭客都在找這套平臺的安全漏洞，近期國外媒體Motherboard爆料，指出已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom用戶端程式，其中Windows版Zoom的攻擊程式，可用來執行遠端程式攻擊，需搭配其他的漏洞才能控制整個受害系統，同時也要加入到Zoom的會議中，但由於這個零時差漏洞尚未被揭露，因此駭客開價高達50萬美元。<a href="https://www.ithome.com.tw/news/137044"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>微軟Patch Tuesday</strong></span></h3> <h2><strong>本月微軟共修補113個零時差漏洞，其中有3個已遭成功利用</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9FPatch%20Tuesday%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%93%B7%E5%8F%96%E8%87%AAZDI.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自ZDI</span></p> <p>微軟在4月例行性漏洞修補，總計修補了113個安全漏洞，其中有17個屬於重大等級，並且有3個漏洞要特別注意，因為已經被駭客成功利用，分別是CVE-2020-1020、CVE-2020-0938與CVE-2020-1027，前兩個漏洞是關於Adobe Type Manager Library無法正確處理特製字型，後者則是WindowsKernel的權限擴張漏洞。同時，漏洞懸賞平臺ZDI也對這次更新內容，指出有兩個漏洞需先考慮優先修補，一個是DNS服務阻斷漏洞CVE-2020-0993，另一個則是可繞過Token機制的CVE-2020-0981。<a href="https://www.ithome.com.tw/news/136999"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　vCenter Server</strong></span></h3> <h2><strong>VMware修補企業虛擬化解決方案高風險漏洞</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89VMware%20vCenter%20Server%E9%87%8D%E5%A4%A7%E4%BF%AE%E8%A3%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAVMware.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自VMware</span></p> <p>近日VMware針對vCenter Server上的高風險漏洞發布修補，他們指出該產品具有CVE-2020-3952弱點，肇因於VMware Directory Service（vmdir）無法正確實現存取控制，一旦遭成功濫用，將讓駭客得以竊取機密資訊，是CVSS v3.1評估為10分的最高風險漏洞。美國電腦緊急應變小組（USCERT）也已針對該漏洞提出警告，呼籲使用者應儘速部署必要更新。<a href="https://www.ithome.com.tw/news/136958"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>資料外洩</strong></span></h3> <h2><strong>透過風扇震動竊取不連網PC的資料，大學研究人員展示攻擊新手法</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AiR%20ViBeR_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ben%20Gurion%20University%20Cyber%20Security%20Labs.jpg" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Ben Gurion University Cyber Secuirty Labs' Youtube</span></p> <p>即使不連網的PC也還是有可能被駭客竊取資訊，以色列本古里安大學網路安全研究中心教授Mordechai Guri的團隊，近日展示了新式攻擊手法，只要先在電腦內安裝惡意軟體，使其不斷改變風扇轉速，可對桌面產生不同頻率的震動，接著，攻擊者需要搭配能偵測震動的裝置，例如，透過智慧型手機將震動頻率解析成資料，隨後攻擊者再透過手機瀏覽器的JavaScript接收手機的感測器資訊，再以手機網路把資料傳送到遠端駭客。<a href="https://www.ithome.com.tw/news/137125"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BGP安全　RPKI</strong></span></h3> <h2><strong>避免BGP路由遭到綁架，Cloudflare推出可檢查ISP安全的公鑰網站</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89blogpost2-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Cloudflare</span></p> <p>為了改善BGP的安全性，業界提出了資源基礎架構（RPKI），近日Cloudfl are則是發布了Is BGP Safe Yet網站，可用來測試使用者的網路服務供應商，是否正確部署RPKI，以預防BGP外洩或挾持。根據Cloudflare的觀察，目前大約有50%的網路部署RPKI，並希望各界督促業者部署RPKI，共同來保障全球網路的健全。<a href="https://www.ithome.com.tw/news/137088"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BEC詐騙　SilverTerrier</strong></span></h3> <h2><strong>奈及利亞駭客組織的BEC詐騙攻擊盯上臺灣，去年受攻擊程度居北亞之冠</strong></h2> <p>商業電子郵件詐騙（BEC）持續鎖定全球，而臺灣比其他地區面臨更大風險，近期Palo Alto Networks公布一份BEC相關調查報告，是針對奈及利亞駭客組織SilverTerrier的活動進行分析。報告中指出，SilverTerrier在詐騙計畫與技術能力上變得更成熟，並有越來越多採用遠端管理工具（RA T）的現象，而這類為了讓BEC詐騙能更順利進行的惡意軟體部署，將是企業必須注意的最大威脅，此外，他們觀察到該組織在去年的攻擊比前一年度增加172%。</p> <p>特別的是，Unite 42副處長Jen Miller-Osborn近日提供了該組織在臺灣的攻擊統計數據，在2019年，他們共發現1,747個樣本，以及38,270次的攻擊，比起鄰近的中國、日本、香港與南韓都高，這樣的威脅現況值得注意。<span style="color: rgb(169, 169, 169);"><a href="https://unit42.paloaltonetworks.com/silverterrier-2019-update/">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>密碼安全　PTT</strong></span></h3> <h2><strong>PTT使用者反應帳號出現非本人嘗試登入行為，疑似對方利用自動化工具猜密碼</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%894%E6%9C%88%E4%B8%AD%E6%97%ACPTT%E5%B8%B3%E8%99%9F%E7%99%BB%E5%85%A5%E7%95%B0%E5%B8%B8s.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／iThome</span></p> <p>近一個月來，臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先，在今年3月底到4月初的期間，傳出第一波受害者，每次都是同個IP位址連續登入失敗三次，並且是在2到3秒內就完成，相隔沒幾天，又有不同IP位址嘗試登入。到了4月中旬，又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論對此事件，由於用戶每次登入PTT時，若是密碼錯誤，其實都會斷線並留下一次記錄，因此這樣短時間連續三次被嘗試密碼的情形，可能是有惡意人士或集團，透過自動化工具以密碼噴灑（Password Spraying）的攻擊方式，利用常見弱密碼嘗試進行盜取用戶帳號。<a href="https://www.ithome.com.tw/news/137175"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><span style="color:#0099ff;"><strong>更多資安動態</strong></span></h4> <p><a href="https://www.ithome.com.tw/news/137104">福特和福斯連網車輛傳嚴重漏洞，可能洩露個資、影響行車安全</a><br /><a href="https://www.ithome.com.tw/news/137112">大型IT服務業者Cognizant遭到Maze勒索軟體攻擊</a><br /><a href="https://www.ithome.com.tw/news/137095">美國國土安全部再次督促使用者修補Pulse Secure VPN漏洞</a><br /><a href="https://www.ithome.com.tw/news/137116">Dropbox曾私下找駭客調查Zoom的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/137076">Zoom的安全問題不只是漏洞，更是信任問題</a><br /> </p> </div></div></div>
2020/4/23 17:54作者羅正漢https://www.ithome.com.tw/news/137184
疫情過後的新常態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾個禮拜，歐美媒體如CNN電視臺、富比士雜誌、衛報，以及哈佛商業評論，都開始用一個名詞「New Normal」（新常態），來形容武漢肺炎（COVID-19）疫情過後的世界。</p> <p>新常態原本是經濟和商業領域的用詞，過去常用來形容2007～2008年金融海嘯，以及2008～2012年全球經濟大衰退之後的日子。原本的日常生活，受到金融海嘯或大衰退而不正常，就算衝擊過了，生活回歸正軌，但已不再是跟以前同樣的生活，而是新的一種「正常生活」。</p> <p>先前是因為全球性的經濟衝擊，但這次，則是武漢肺炎全球疫情帶來的影響。</p> <p>儘管疫情到了4月下旬，還在持續發威，但是這些媒體，已經開始預測全球疫情過後，日子回不去了。生活總是會往前走，關鍵是會如何改變？</p> <p>世界衛生組織（WHO）歐洲區總監Hans Kluge的觀察，點出了最核心的改變。他在4月16日於WHO歐洲官網上說，疫情仍有許多複雜性和不確定性，需要毅力和耐心，沒有回歸日常的捷徑。所以，任何邁向新常態的作法，都必須遵循公共健康原則，再搭配經濟面以及社會面考量。</p> <p>公共健康原則，將成為每一個人日常生活的新指南，你不能只為自己，還得為他人而活。因為大規模傳染病真正的代價，不只是確診者的治療成本，而是人人都得為染病的風險付出代價。兩名學生確診，師大全校停課兩周。英國宣布全境封鎖3周時，確診人數約6千6百多人，但影響了6千多萬人非必要不能出門。對產業的衝擊更大，除了民生用品，其他百業全面蕭條。</p> <p>在有效疫苗問世之前，許多國家只能要求人們戴口罩和保持社交距離，來對抗疫情擴散，但是，一旦爆發社區感染後，人傳人風險值大增，就只能採取封城鎖國策略。</p> <p>為此，Google和蘋果聯手要開始打造，可匿名保護隱私的<a href="https://www.ithome.com.tw/news/136924" target="_blank">確診者接觸史比對技術</a>，預計5月中旬，內建到兩大手機平臺中，透過科技更精確找出高風險染病者成了新手段，只要找到接觸過確診者的少數人進行隔離就好，不需要人人都得居家隔離。</p> <p>臺灣也有類似技術，但4月底就會上線，行政院找來臺灣AI Labs開發的<a href="https://www.ithome.com.tw/news/136996" target="_blank">社交距離App</a>，就是這樣的工具，透過手機藍牙技術，彼此蒐集匿名化的接觸識別記錄，分散儲存到各自手機來避免隱私侵犯，搭配確診者自願公開的匿名識別記錄，就能判斷自己是不是接觸過確診者的高風險感染者。</p> <p>即使有種種高科技抗疫手段，沒人能預測，自己的員工會不會成為下一個確診者，只好先做好準備。</p> <p>遠端工作能力、大規模居家辦公機制、視訊會議工具、網路協作平臺、甚至數位銷售通路，都成了每一家企業現在必備的能力。</p> <p>網路趨勢女王Mary Meeker更在4月16日中，突然發布了一份武漢肺炎疫情衝擊的分析報告。在報告中指出，科學家、工程師和領域專家成為主角，尤其是創新的科技公司更是帶頭對抗疫情。居家辦公成為常見形式，讓工作和生活要重新拿捏平衡，企業數位轉型也會加速。</p> <p>她觀察，這波疫情將會促成企業大量將線下活動搬到線上，業務功能要能上雲，剛性需求產品更搶手，更容易線上曝光才能服務顧客，得用更少接觸的管道來派送產品給顧客，更有效數位化的生意才能變成產品，還要有更廣的社群媒體存在感等。</p> <p>就如同<a href="https://www.bondcap.com/report/onw/" target="_blank">這份報告用「我們的新世界」</a>（Our New World）為題來形容，我們熟悉的世界，將變成不同於過往的「新」模樣，「我們終究會度過疫情，但生活將不再一樣了。」</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/new-normal">New Normal</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E5%B8%B8%E6%85%8B">新常態</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2020/4/23 17:20作者王宏仁https://www.ithome.com.tw/voice/137181
Zoom發表強化安全及隱私的5.0版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的視訊會議平臺<a href="https://blog.zoom.us/wordpress/2020/04/22/zoom-hits-milestone-on-90-day-security-plan-releases-zoom-5-0/" target="_blank">Zoom在周三（4/22）宣布</a>，將於一周內釋出強化安全及隱私的Zoom 5.0版，該版本將全面升級為採用AES 256位元GCM加密標準，能夠保障會議數據的傳輸，並防止會議內容遭到篡改。</p> <p>不過，AES 256位元GCM加密標準，會在所有帳號都啟用GCM加密時才會生效，Zoom預計要在5月30日才會進行全面啟用。</p> <p>新版也允許帳號管理員設定會議所使用的資料中心區域，或是限制與會人員所使用的資料中心位置。</p> <p>未來Zoom的會議主持人將有更多的控制選項，包括可在會議選單上看到安全圖示，該功能集結了Zoom的所有安全設定，其中一項功能是能夠向Zoom檢舉惡意的使用者，或是關閉與會人員更改所使用的名稱，教育版則變更了螢幕分享的預設值，僅允許會議主持人分享螢幕。</p> <p>另外，不管是教育版、基本版或單一授權的Pro帳號，都已把等候室（Waiting Room）列為預設值，與會人員都必須先在等候室等待主持人批准，才能進入會議，主持人也可在進行會議時，開啟等候室。</p> <p>而基本版、單一授權的Pro帳號與K-12等客戶，現在則要求所有與會人員都必須輸入密碼才能進入會議，也允許帳號管理員規定密碼複雜度。</p> <p>而若要存取雲端會議紀錄，預設值也都要先輸入密碼。若身為商業版、大型企業版或教育版的管理人員，現在可在儀表盤上看到會議所連結的資料中心。</p> <p>Zoom表示，許多功能在本周就已上線，有些功能則要等到Zoom 5.0才能啟用，使用者可直接下載最新的Zoom版，或是藉由客戶端程式的更新功能進行升級。</p> </div></div></div>
2020/4/23 17:30作者陳曉莉https://www.ithome.com.tw/news/137183
Google減碳新方法，將運算工作排程至低碳供電時刻執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/inside-google/infrastructure/data-centers-work-harder-sun-shines-wind-blows">Google開發出新的永續碳智慧運算平臺</a>，並部署在自家超大規模資料中心，可自動將運算工作安排到風能與太陽能等低碳能源充足的時間執行。</p> <p>建置這個系統不需要增購額外的硬體，而且因為是改變非緊急運算工作的時間，所以也不會影響Google本身的服務，受調整的運算工作，諸如在Google相簿上創建新的過濾器功能，以及YouTube影片處理，還有在Google翻譯中增加新單字等。Google提到，永續碳智慧運算平臺可幫助他們減少電網的碳足跡，更接近全天無碳能源的目標。</p> <p>每天每個Google資料中心，都會以永續碳智慧運算平臺比較兩個預測結果，安排隔天運算工作，一種預測是由Google合作夥伴Tomorrow所提供，Tomorrow能預測隔天本地電網平均每小時的碳密集度，另一個預測資料則是來自於Google內部，預測隔天執行任務每小時所需要的電力資源；Google依據這兩個預測資料來最佳化每小時的工作排程，使得運算工作可以盡量在低碳電力供應時執行。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Low-carbon-energy-graphic_v05_Cropped.gif" style="width: 580px;" /></p> <p>經試驗結果證明，透過轉移運算工作，Google能夠增加低碳能源的使用量，（下圖）黃色虛線是原本運算工作基準，綠色實線則是經調整之後的工作負載，當灰色區域碳密集度較低時綠線較高，到了碳密集度較高時，綠線便顯著下降，Google提到，碳排較少的時間，通常在清晨或是傍晚的時候，因為風能最豐沛。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/BINK_carbonaware_linegraph_1_max-1000x1000.jpg" style="width: 580px;" /></p> <p>而目前第一階段碳智慧運算平臺，專注在最佳化分配同一個資料中心的任務，但是當運算工作能在不同資料中心轉移，才能最大化減碳效果，Google將透過控制在不同的地點與時間執行運算工作，最大程度減少二氧化碳排放量。Google之後會公開這個研究，讓更多組織也能夠智慧減碳。</p> </div></div></div>
2020/4/23 17:55作者李建興https://www.ithome.com.tw/news/137172
Google：至少有12個國家級駭客組織利用疫情展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/technology/safety-security/threat-analysis-group/findings-covid-19-and-online-security-threats/" target="_blank">Google透露</a>，最近有超過12個國家級駭客組織，利用武漢肺炎（COVID-19）疫情展開攻擊，以掩護它們的間諜行動，這些國家級駭客通常會鎖定特定目標，像是各國的衛生組織或是美國政府機關的員工。</p> <p>事實上，全球的駭客幾乎無不利用了武漢肺炎疫情來作為攻擊媒介，Google才在上周揭露，近來Gmail平均每天要封鎖1,800萬封與武漢肺炎有關的網釣或惡意郵件，以及攔截2.4億封與肺炎有關的垃圾郵件。</p> <p>而國家級駭客也不例外，同樣以肺炎為幌子來展開攻擊，企圖引誘受害者點選惡意連結或下載惡意檔案。其中有一個案例鎖定了美國政府機關的員工，駭客在所遞送的電子郵件中，宣稱自己是美國的快餐店，為了因應疫情而提供免費餐點與折價券，一旦使用者點選了郵件中的連結，就會被導向一個偽造的訂購頁面，要求使用者輸入Google憑證。</p> <p>還有兩個案例鎖定了各國的衛生組織。根據Google的分析，來自中東的駭客集團Charming Kitten與來自玻利維亞國家組織（ALBA）的Packrat，都建立了偽裝成世界衛生組織（WHO）的網站，然後寄送網釣郵件予各國或各地區的衛生組織，將使用者導向仿冒的WHO網站，並要求他們輸入自己組織登入WHO的憑證。</p> <p>在面對來自國家級駭客的攻擊時，Google一方面攔截了相關的攻擊活動，另一方面也會通知受到攻擊的用戶，此外，也針對約5萬個遭鎖定的高風險帳號，提高其登入及回復Google帳號的門檻。</p> <p>根據Google的統計，今年1月有4,164個帳號被國家級駭客鎖定，2月是4,154個帳號，3月則是3,538個帳號，雖然數字上的波動並不罕見，但Google猜測，也許駭客也如同一般組織一樣，在疫情期間的生產力受到限制。</p> </div></div></div>
2020/4/23 16:05作者陳曉莉https://www.ithome.com.tw/news/137176
疫情延燒資金不足，Magic Leaps裁員1千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2020-04-22/magic-leap-is-said-to-cut-half-of-jobs-in-major-restructuring?sref=ExbtjcSG" target="_blank">彭博</a>引述消息來源報導，一度因Google、阿里巴巴等公司投資，而眾所矚目的混合實境（MR）裝置廠商Magic Leap近日大規模重整，裁減約1千名員工，成為最新一波實施裁員的公司。隨後Magic Leap也<a href="https://www.magicleap.com/en-us/news/news/charting-a-new-course" target="_blank">在官網上證實</a>此事。</p> <p>彭博也報導，Magic Leaps也關閉消費應用，包括電玩及娛樂性的App開發部門，以便將重心聚焦到企業市場。</p> <p>Magic Leap執行長Rony Abovitz在官網上證實此消息。他指出，近來全球武漢肺炎（COVID-19）疫情導致經濟環境惡化，降低市場上可用資金及長期投資人的興趣。雖然公司領導團隊及投資人，仍然對其技術智財的長期潛力抱持信心，但短期內混合實境的機會應集中在企業市場，這使得該公司必須做出困難的決定，裁減一部份人力，以維持公司營運。他說裁員影響公司各個階層，大到其直屬的高層到工廠員工。</p> <p>Magic Leap指出，在調整事業策略重心後，該公司將減少投資成長遲緩的市場，集中火力尋找有潛力的應用情境，並確保Magic Leaps 2的推出。Abovitz沒有指出是何種企業應用，但彭博報導，Magic Leap近日已和一家大型醫療機構簽下合約。</p> <p>疫情恐怕只是Magic Leap大規模裁員的導火線。儘管該公司號稱其MR技術可讓虛擬影像和真實無法分辨，但是2018年推出的第一代產品僅數千臺，銷售遠不如預期。去年底《The Information》<a href="https://www.ithome.com.tw/news/134699" target="_blank">便報導</a>，Magic Leap已陷入裁員、人員流動、研發遲緩，使第二代產品不見天日。</p> </div></div></div>
2020/4/23 16:40作者林妍溱https://www.ithome.com.tw/news/137179
支援AWS的Google Anthos正式版上線，Azure版緊追在後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年公布混合／多雲應用平臺<a href="https://www.ithome.com.tw/news/129879" target="_blank">Anthos</a>，可整合Amazon Web Services（AWS）及Microsoft Azure。周三<a href="https://cloud.google.com/blog/topics/anthos/anthos-for-aws-is-now-ga" target="_blank">Google 宣布</a>Anthos已經正式支援AWS上線。</p> <p>Google首先於2018年發表Anthos，旨在讓用戶撰寫一次應用、包成容器後，即可以部署、執行在其他雲，包括Google Cloud、AWS、Azure及本地部署的資料中心上，並且從Anthos跨雲管理，而企業IT不必再學習不同環境及API。去年4月Google<a href="https://www.ithome.com.tw/news/129879" target="_blank">宣布Anthos多雲版本</a>，並釋出支援AWS 的Beta版。而在昨日宣布中，支援AWS的Anthos已經正式上線，可供企業管理Google Cloud及AWS上任務，或是本地部署在資料中心的現有應用。對Azure的支援則仍然為預覽版。<a href="https://www.zdnet.com/article/google-clouds-anthos-for-aws-generally-available-microsoft-azure-in-preview/" target="_blank">Google對ZDNet表示</a>，目前該公司正在和多家企業測試，很快就會正式推出。</p> <p>而Anthos最新版本也強化支援VM，新功能讓用戶可以Anthos管理框架延伸到現有環境下的多種作業。首先是Anthos Config Management，讓IT可以編寫程式，或採宣告（declarative）來管理Google Cloud的VM，一如管理自己的容器，以減少出錯、提升作業效率。未來幾個月內Anthos Service Mesh也將支援在VM內執行應用，以便在多種雲的異質化環境下管理服務。</p> <p>Google也預告，今年內可以在不需第三方Hypervisor情況下執行Anthos，將可進一步提高效能、降低成本及管理外部廠商的複雜性。而裸機執行的能力也讓Anthos可以提升邊緣網路能力，把應用部署到資料中心及公有雲以外的任何角落，像是零售店、分公司辦公室或遠端站點，還能提升應用效能。</p> <p><a href="https://cloud.google.com/blog/products/containers-kubernetes/migrate-for-anthos-1-3-accelerates-modernization" target="_blank">新版本也強化</a>Migrate for Anthos把VM轉換到容器的功能，可讓舊式應用轉到Kubernetes及Anthos，且緊密整合Anthos Service Mesh，支援本地部署環境的Anthos，還能把舊式Windows Server應用轉為容器應用。</p> </div></div></div>
2020/4/23 15:00作者林妍溱https://www.ithome.com.tw/news/137171
PTT使用者反應帳號出現非本人嘗試登入行為，疑似對方利用自動化工具猜密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近一個月來，臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先，在今年3月底到4月初的期間，傳出第一波受害者，每次都是同個IP位址連續登入失敗三次，並且是在2到3秒內就完成，相隔沒幾天，又有不同IP位址嘗試登入。到了4月中旬，又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論。</p> <p>對此事件，由於用戶每次登入PTT時，若是密碼錯誤，其實都會斷線並留下一次記錄，因此這樣短時間連續三次被嘗試密碼的情形，可能是有惡意人士或集團，透過自動化工具以密碼噴灑（Password Spraying）的攻擊方式，利用常見弱密碼嘗試進行盜取用戶帳號。</p> <p>基本上，PTT是臺灣極具影響力的網路社群之一，討論能見度高，相關資訊在PTT上傳播也容易受到民眾與社會新聞的注目，加上仍保持網路早期匿名制的特性，發言不易受限，且平臺用戶多集中在18～40歲之間，因此多年下來平臺依然維持相當活躍的情形。</p> <p>不過由於PTT新帳號註冊日益浮濫的問題，使得PTT官方在2018年9月正式宣布，停止新帳號的註冊，且至今仍未對外界開放，僅在上個月開放臺大學生以學生信箱註冊。因此，近日PTT上出現用戶帳號被自動化工具嘗試密碼的情況，值得各界注意，雖然目前未聽聞有網友受駭，而用戶也會在一上站就看到錯誤嘗試的記錄，而得到提醒，但這樣的自動化攻擊行為還是引發關注，則突顯了目前PTT帳號的價值，引人覬覦。</p> <p>而過去，其實也就曾有PTT帳號買賣的情況，以及使用多年帳號能賣出高價的消息。例如，在2019年7月時，由於逼近臺灣總統大選，因此官方將許多PTT最熱門討論區的發文門檻提高，也就是需要登入次數到達一定程度，才能在版上發文。而PTT官方也曾刪除多個曾在交易平臺出售過或出售中的帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-10_180259.jpg" style="width: 600px;" /></p> <blockquote><p>在登入PTT時發現有錯誤嘗試的記錄後，在4月10日於Google搜尋後，發現同期間其實有不少PTT用戶都發現有同樣的狀況，特別是3月底到4月初的這段期間。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89PTT%E5%B8%B3%E8%99%9F%E5%87%BA%E7%8F%BE%E9%9D%9E%E6%9C%AC%E4%BA%BA%E5%98%97%E8%A9%A6%E7%99%BB%E5%85%A5%E8%A1%8C%E7%82%BA.jpg" style="width: 600px;" /> </p> <blockquote><p>不僅是在3月底到4月初有一波被外人嘗試登入PTT帳號的情況，到了4月中旬，這樣的攻擊仍然持續發生。這樣的非法登入行為，幾乎都是在兩三秒內就出現了三次密碼嘗試的動作，而一般用戶登入失敗一次後，其實就會連線中斷，需要重新連線輸入帳號與密碼，顯然這是自動化工具所為。</p> </blockquote> </div></div></div>
2020/4/23 15:41作者羅正漢https://www.ithome.com.tw/news/137175
PyTorch更新1.5版本釋出開源模型伺服器TorchServe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pytorch.org/blog/pytorch-library-updates-new-model-serving-library/" target="_blank">深度學習函式庫PyTorch釋出了1.5版本</a>，新增了開源模型伺服器TorchServe，能夠高效能的提供PyTorch模型服務，並且整合TorchElastic和Kubernetes，讓分散式訓練更加自動化，此外，官方還釋出了torch_xla更新套件，讓PyTorch能良好地在Cloud TPU上運算。</p> <p>TorchServe是一個PyTorch模型服務函式庫，可以讓用戶簡單地大規模部署經訓練的PyTorch模型，且不需要撰寫自定義的程式碼。TorchServe是由AWS和臉書合作，成為PyTorch開源專案的一部分，加速用戶將模型投入生產階段的過程。</p> <p>TorchServe除了提供低延遲的預測API之外，還為物件偵測與文字分類等常用應用程式，嵌入預設的處理程式（Handler），此外，TorchServe的功能還包括了多模型服務、用於A/B測試的模型版本控制、日誌紀錄、監控指標，以及為應用程式整合創建的RESTful端點等。使用這個函式庫時，沒有任何對雲端平臺或環境的要求。現在已經釋出實驗版本。</p> <p>另一個PyTorch 1.5的重點，便是整合TorchElastic和Kubernetes。TorchElastic是個被臉書等企業用於內部，大規模訓練深層神經網路的函式庫，官方提到，這些企業的伺服器需要有動態適應能力，當新的運算資源上線時，要使其迅速可用並且能夠擴展，而透過雲端容器調度工具Kubernetes，就可讓企業使用諸如PyTorch等機器學習框架，執行分散在跨機群的訓練工作。</p> <p>但是分散式訓練工作具有不少限制，像是不具容錯能力，並且當節點故障或是回收中斷訓練，則該工作便無法繼續，訓練工作還必須要在獲取所有必須資源之後才能啟動，進行任何規模縮放都必須要重新啟動訓練作業。官方提到，缺乏彈性和靈活性的結果，就是讓訓練的時間增加，並且也提升了閒置資源的成本。</p> <p>而TorchElastic能提供容錯性和彈性，解除分散式訓練任務的限制，不過，Kubernetes使用者卻需要手動管理TorchElastic訓練工作所需要的Pod和服務，現在PyTorch 1.5整合TorchElastic和Kubernetes，PyTorch開發人員可在運算節點叢集上訓練機器學習模型，並進行動態更改而不會中斷訓練工作，TorchElastic和Kubernetes整合框架提供了原語和介面，讓開發人員可以開發跨機器執行的分散式PyTorch作業，並且不需要手動管理TorchElastic訓練作業。</p> <p>新版本torch_xla現在與PyTorch 1.5更緊密的整合，能減少開發時的摩擦；torch_xla是一個Python套件，以XLA線性代數編譯器，加速Cloud TPU和Cloud TPU Pod中的PyTorch深度學習框架運算。現在開發者可以使用新版torch_xla，利用PyTorch/XLA堆疊在Cloud TPU硬體上訓練模型，不只能在Google Colab的8核Cloud TPU裝置瀏覽器上使用，也能在Google Cloud上大規模應用。</p> </div></div></div>
2020/4/23 11:40作者李建興https://www.ithome.com.tw/news/137142
微軟更新VS Code Python擴充套件，支援ipywidgets控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-april-2020-release/" target="_blank">微軟發布了4月的VS Code Python擴充套件</a>，用戶已經可以從VS Code市集中下載，微軟提到，這是一個小更新版本，加入對Jupyter Notebook控制元件ipywidgets的支援，以及新除錯器可自動重載Django和Flask網頁應用程式。</p> <p>從Python擴充套件開始支援Jupyter Notebook之後，社群就不停在GitHub要求加入ipywidgets的支援，而微軟終於在這個版本實現了這個功能，在VS Code支援Jupyter Notebooks所有ipywidgets，開發者可以應用beakerX與bqplot等互動式函式庫，操作VS Code和Jupyter Notebooks中的資料。</p> <p>在3月的更新，微軟在Python擴充套件中新增Python除錯器debugpy，現在微軟改進debugpy，使其能即時重新載入Django和Flask等網頁應用程式，當開發者編輯應用程式時，不需要重新啟動除錯器就可應用更新，而且更新儲存後，在同一個除錯對話中，網頁伺服器也會自動重載。</p> </div></div></div>
2020/4/23 12:00作者李建興https://www.ithome.com.tw/news/137145
微軟緊急修補Office及小畫家3D的遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200004?ranMID=24542&ranEAID=IokOf8qagZo&ranSiteID=IokOf8qagZo-LorH75TOMrNNXxih0rIvFw&epi=IokOf8qagZo-LorH75TOMrNNXxih0rIvFw&irgwc=1&OCID=AID2000142_aff_7593_1243925&tduid=(ir__hxzf2lfk6kkfr1ifkk0sohzn0m2xnhuncwgltrsd00)(7593)(1243925)(IokOf8qagZo-LorH75TOMrNNXxih0rIvFw)()&irclickid=_hxzf2lfk6kkfr1ifkk0sohzn0m2xnhuncwgltrsd00" target="_blank">微軟本周緊急修補</a>了Microsoft Office與小畫家3D（Paint 3D）中的遠端程式攻擊漏洞，相關漏洞源自於這兩個微軟程式，整合了含有漏洞的Autodesk FBX函式庫。</p> <p>Autodesk是在上周公布旗下的FBX軟體開發套件的<a href="https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0002" target="_blank">多個安全漏洞</a>，包含緩衝區溢位漏洞、類型混淆漏洞、釋放後使用漏洞、整數溢位漏洞、空指標提領漏洞，以及堆積溢位漏洞等，最嚴重的漏洞，將允許駭客自遠端執行任意程式。</p> <p>這使得微軟緊急修補了整合FBX函式庫的Office與小畫家3D軟體。微軟說明，這些軟體在處理特製的3D內容時，可能觸發多個遠端程式執行漏洞，成功開採相關漏洞的駭客，將能取得與本地端用戶一致的使用者權限。</p> <p>駭客則必須傳送一個含有3D內容的特製檔案，並說服使用者開啟，才能開採相關漏洞。</p> <p>受到波及的軟體涵蓋了Office 2016、Office 2019、Office 365 ProPlus與小畫家3D。</p> </div></div></div>
2020/4/23 14:40作者陳曉莉https://www.ithome.com.tw/news/137165
研究：iOS Mail App傳零時差漏洞 iOS 6以上皆有風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商ZecOps周三指出，<a href="https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/" target="_blank">iOS版Mail程式有零時差漏洞</a>，可能導致iPhone及iPad用戶被駭，他們相信已經有用戶遭到攻擊，且警告iOS 6以上的用戶都有風險。</p> <p>ZecOps發現iOS Mail中的MIME函式庫未對系統呼叫執行錯誤檢查，可能導致頻外寫入（OOB Write）漏洞，另一為遠端堆積緩衝溢位（Remote Heap Overflow），允許攻擊者於iPhone或iPad執行程式碼，使他們得以竊取、編輯或刪除電子郵件。根據研究人員掌握的資料，攻擊者可傳送有惡意附檔的郵件給用戶，在iOS 12的MobileMail App或是iOS 13的maild觸發漏洞。</p> <p>研究顯示這批漏洞相當危險。針對iOS 13的攻擊，甚至無需用戶開啟郵件便能觸發，且駭客可重覆感染裝置。在iOS 12上則需用戶點擊郵件，但只要預覽，不用開啟附檔即可見效。而且從郵件伺服器收到信之後卻消失來看，攻擊者可以遠端刪除郵件來隱匿行動。</p> <p>研究人員指出，這些漏洞各自存在時不會影響iOS用戶，因為駭客需要有別的漏洞來取得裝置控制權。但是他們也發現另一個可能讓駭客存取iOS裝置的核心漏洞，他們也懷疑攻擊者已經取得這類漏洞。</p> <p>他們偵測到兩個漏洞都已有攻擊行為發生，企業用戶、知名人物被駭了很長一段時間，最早可能追溯到2018年1月。這批受害者包括一家北美財星5百大企業的員工、一家日本電信高層、一名德國重要人物、沙國及以色列資訊安全代管業者（MSSP）及一名歐洲記者。安全公司說，這只是根據極少數資料分析得到的資訊，相信影響勢必更大。</p> <p>他們認為這些攻擊行為和至少和一個國家贊助的駭客組織有關，或是某國政府使用第三方廠商的概念驗證（POC）攻擊程式修改後發動攻擊。研究人員未指出駭客組織的身份，但表示至少有一家受僱駭客（hacker-for-hire）組織，正在兜售攻擊程式。</p> <p>幾乎所有iOS版本都受到影響，從2012年的iOS 6到最新的iOS 13.4.1，iOS 6時代主要銷售的是iPhone 5。更早之前的版本或許也有風險，但已不在研究人員測試範圍。根據安全廠商的資料，這些漏洞早在iOS 11.2.2甚至更早以前就被開採。</p> <p>蘋果未對此研究做出評論。<a href="https://www.bleepingcomputer.com/news/security/new-ios-zero-days-actively-used-against-high-profile-targets/" target="_blank">Bleeping Computer報導</a>，蘋果已在4月15日釋出<a href="https://developer.Apple.com/documentation/ios_ipados_release_notes/ios_ipados_13_4_5_beta_2_release_notes" target="_blank">iOS 13.4.5 Beta 2</a>，用戶應該很快就能接獲更新以修補零時差漏洞。</p> </div></div></div>
2020/4/23 13:40作者林妍溱https://www.ithome.com.tw/news/137163
武漢肺炎效應：3月美國遊戲機銷售量成長63%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在各國的居家防疫政策下，不管是影片串流、電子商務或是視訊會議服務都在最近大行其道，市場研究機構<a href="https://www.npd.com/wps/portal/npd/us/blog/2020/connections-and-community-animal-crossing-new-horizons-propels-the-us-video-game-market/" target="_blank">NPD Group也指出</a>，美國今年3月的遊戲機銷售量，比去年同期成長63%，遊戲軟體則成長34%，遊戲配件也成長了12%。</p> <p>根據NPD Group的調查，今年3月時，全美在遊戲機、遊戲軟體與遊戲配件的總支出為16億美元，讓該市場重返2008年時的榮景。</p> <p>遊戲分析師Mat Piscatella表示，社交距離與居家防疫對遊戲產業帶來正面的影響，而最受使用者歡迎的遊戲，則是任天堂所推出的《集合啦！動物森友會》（Animal Crossing: New Horizons），他認為時間點很重要，假設任天堂不是剛好在3月發表該遊戲，或者是該遊戲是在其它時候推出，都不會造成遊戲產業大幅成長或《集合啦！動物森友會》大賣的情況。</p> <p>因此，賣的最好的遊戲裝置也就是《集合啦！動物森友會》的獨家平臺Nintendo Switch，讓Nintendo Switch創下了新的3月銷售紀錄。</p> </div></div></div>
2020/4/23 12:30作者陳曉莉https://www.ithome.com.tw/news/137162
Nvidia與倫敦國王學院合作開源醫療影像用AI框架MONAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia與倫敦國王學院合作，推出了以PyTorch為基礎的<a href="https://blogs.nvidia.com/blog/2020/04/21/monai-open-source-framework-ai-healthcare/">MONAI</a>人工智慧框架，供研究人員使用深度學習技術開發醫療成像應用，MONAI為醫療領域的應用進行了最佳化，可以原生PyTorch範式，為醫療影像訓練工作流程開發，提供必要的基礎功能。這項專案目的是要建立一個可容納各方的人工智慧研究社群，交流人工智慧在醫療成像領域的最佳實踐。</p> <p>MONAI框架的主要目標，是要實現實驗的可重現性，以方便研究人員共享結果，共同發展最新技術。MONAI具有容易使用的特性，且因為針對醫療領域最佳化，MONAI能夠處理醫學影像的特殊元資訊、格式和解析度，在第一個釋出版本中，MONAI提供了特定領域的資料轉換、神經網路架構，以及可用來衡量醫學影像模型品質的評估方法。</p> <p>Nvidia提到，MONAI模組化的設計，可以讓研究人員靈活地自定義深度學習開發，不需要以端到端系統替換掉當前所有工作流程，像是研究人員可以利用MONAI程式碼進行資料預處理和轉換，接著切換到既有的人工智慧工作管線進行訓練。</p> <p>倫敦醫學影像和人工智慧中心技術長Jorge Cardoso表示，在MONAI之前，沒有一個夠靈活且可組合的框架，供研究人員進行創新醫學人工智慧研究，MONAI具備強健性、可測試性和必要文件，MONAI詳細的教學資源以及友善的API，可讓入門的研究人員，簡單地定義端到端的訓練工作流程。</p> <p>除了Nvidia與倫敦國王學院，現在參與MONAI開發的組織，還有德國癌症研究中心、MGH & BWH臨床資料科學中心、史丹佛大學、慕尼黑工業大學以及中科院。MONAI諮詢委員會主席Stephen Aylward表示，MONAI專案可以加快醫學影像人工智慧發展的步伐，提供專用於醫療成像應用的程式碼基礎。</p> <p>MONAI專案建立在Ignite和PyTorch深度學習框架之上，整合了資料處理、2D分類和3D分割等函式庫，Nvidia提到，研究人員可以簡單地在現有程式碼庫中整合MONAI，將模組化的元件整合進人工智慧工作流程中。現在研究人員已經可以在GitHub取得MONAI專案。</p> </div></div></div>
2020/4/23 12:45作者李建興https://www.ithome.com.tw/news/137144
Azure封存服務可讓用戶以高優先檢索快速取回資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/enhanced-features-in-azure-archive-storage-now-generally-available/" target="_blank">微軟更新其封存儲存體服務Azure Archive Storage</a>，現在提供高優先度檢索選項，用戶只要多支付一些費用，就能加快檢索離線資料的速度，另外，使用者現在也能直接選擇將Blob資料上傳至熱（Hot）、冷(Cool)或是封存（Archive）層，減少繁瑣的操作步驟。</p> <p>Azure Archive向用戶提供高優先檢索服務，讓用戶能夠從離線儲存層移動資料，標記為高優先等級，快速回到線上熱資料層或是冷資料層，用戶可支付較多的費用，提高檔案檢索請求，使離線資料在一個小時內重返線上。</p> <p>標準優先度是預設選項，檢索最多需要花費15個小時，而高優先度檢索則可將10 GB以下的Blob資料檢索時間，縮短至不到1小時，微軟提到，高優先度檢索功能可用在封存資料集的子資料集請求上，標準封存檢索能滿足多數情況，只有在極少數為維持業務連續性時，才需要用上高優先度檢索。</p> <p>現在使用者可以使用可選參數，將Blob資料上傳到選擇的存取層中，這樣無論帳戶的預設儲存層的設定為何，都可以直接上傳到目標資料層，微軟提到，這個功能讓用戶透過一次交易，就能將物件直接上傳到Azure Archive中，隨著資料使用方式改變，用戶可以利用API手動更改Blob的存取層。</p> <p>另外，Azure Archive現在還提供了一個Copy Blob API，讓用戶能夠將資料複製到同一帳戶的封存存取層中，並從中複製出資料，微軟提到，在部分情況下，用戶可能希望不要操作原本的資料，但又需要處理臨時資料副本，這項功能便可派上用場。</p> </div></div></div>
2020/4/23 13:00作者李建興https://www.ithome.com.tw/news/137157
Google Shopping將開放商家免費刊登
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/shopping/its-now-free-to-sell-on-google/" target="_blank">Google本周宣布</a>，隨著愈來愈多消費者透過網路購物，再加上武漢肺炎疫情讓電商更受歡迎，旗下的商品搜尋服務Google Shopping即將開放商家免費刊登。新的政策將在4月底前於美國先推行，並於今年底前擴大到其它市場。</p> <p>Google Shopping最早出現在2002年，它曾有許多不同的命名，包括Google Product Search、Google Products及Froogle等，早期它跟Google搜尋一樣，都是自動爬梳網路上的商品資訊，再供使用者搜尋，但在2012年改為付費刊登，只有付費的商家才能刊登商品，並出現在Google Shopping的搜尋結果中，迄今Google已在台灣等超過120個市場推出該服務。</p> <p>不過，Google宣布自下周起，Google Shopping上大多數的商品都會是免費刊登，一來可協助商家與消費者建立連結，二來消費者將能透過該服務找到更多的商品。</p> <p>至於原本付費刊登的廣告主，則可持續享用在搜尋結果中的明顯位置。</p> <p>除了免費刊登之外，Google也宣布與PayPal結盟，讓商家可在產品中連結它們的PayPal帳號。</p> </div></div></div>
2020/4/23 12:15作者陳曉莉https://www.ithome.com.tw/news/137161
中國駭客組織再度監控維吾爾穆斯林，鎖定執行特定版本iOS裝置的族群下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>藉由國家資助的駭客組織，中國政府監控少數民族的情況，去年有數起事件傳出，其中由Google揭露、為期長達2年的一系列監控行動，自8月公開後，駭客似乎就停止攻擊，但事隔不到半年，駭客再度有所行動。專精於記憶體鑑識的資安公司Volexity指出，他們於今年1月到3月，偵測到新一波間諜攻擊，由中國當局資助的Evil Eye駭客組織，濫用了較新版本iOS漏洞，並駭入6個網站做為媒介，來感染瀏覽網站的使用者，目標是監控維吾爾族穆斯林的電子郵件與即時通訊對話內容。由於這些遭到濫用的漏洞，蘋果已經在去年7月推出的iOS 12.4版修補，因此他們呼籲使用者，假如iPhone或iPad執行的作業系統較為老舊，應該要趕快升級到新版來加以防堵。</p> <p>這次駭客組織攻擊的對象，是執行iOS 12.3到12.3.2版裝置的用戶，而且無論受害者使用的瀏覽器是內建的Safari，還是自行安裝的Chrome或是Edge，只要瀏覽駭客竄改過的網站，都會被植入名為「失眠（Insomnia）」的惡意軟體，而遭到監控，其中，駭客鎖定的情蒐範圍，主要是當地有許多用戶使用的加密郵件軟體ProtonMail，以及加密即時通訊軟體Signal，當中的信件或是訊息內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-0.png" style="width: 580px;" /></a></p> <blockquote><p>在這起中國駭客監控維吾爾族穆斯林行動的攻擊途徑而言，使用者瀏覽已遭竄改的網站，駭客會先檢查瀏覽器環境，假如符合條件，他們就會解密惡意的JavaScript腳本，來準備滲透受害裝置。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Uyghur-iPhone-Diagram-R1-1.png" style="width: 580px;" /></a></p> <blockquote><p>接著，惡意JavaScript腳本會檢查裝置的iOS版本，一旦是12.3至12.3.2這幾個目標版本，駭客便會植入名為「失眠（Insomnia）」的惡意軟體，來監控使用者的電子郵件與即時通訊內容。</p> </blockquote> <p>值得留意的是，為了避免與C&C中繼站的通訊內容被洩露，駭客使用了開放原始碼的Ironsquirrel框架，來加密與C&C中繼站之間的傳輸內容。</p> <p>該公司也指出幾個他們發現被駭的當地網站，像是維吾爾學院（Uyghur Academy），以及中文版的維吾爾時報（Uighur Times）等。其中前者的網站裡，駭客的作案工具存在長達好幾個月。</p> <p>根據蘋果針對存取App Store的裝置進行統計，仍有許多iOS裝置執行舊版作業系統，有30%的iPhone裝置執行iOS 12以下的版本，iPad的比例則有43%，接近一半。因此Volexity呼籲使用者，趕快升級新版作業系統，來減少遭到攻擊的危險。</p> <p>中國駭客透過網站與iOS漏洞來監控新疆的穆斯林，其實已經不是第一次。去年8月，Google於2019年初發現，中國駭客組織正在監控維吾爾穆斯林，其利用的手法，就是舊版iOS 10.0.1到12.1.2的漏洞，在合法網站植入惡意程式，來暗中監控瀏覽網站的使用者，期間長達2年以上，前後總共發動至少5波攻擊，使得蘋果後來出面澄清，宣稱影響範圍並未如Google所述的嚴重。後來，這起攻擊事件中，還出現了意圖監控Windows與Android裝置的惡意軟體。</p> </div></div></div>
2020/4/23 09:53作者周峻佑https://www.ithome.com.tw/news/137158
用數據打造新型流動資產
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_0417.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要解決企業在大數據時代面臨的挑戰與威脅，我們首先必須面對「數據終將成為企業核心資產」的事實。基於這個事實，我們首先要確保數據能隨時在線上，因為大數據應該是當你需要時可以立即使用，所以數據一定要在線上，不能只存在於線下。</p> <p>大數據要成為企業核心資產的前提是，數據必須具有足夠的流通性，在這之前，要確保從數據擁有方一直到最終使用方之間的過程有著非常好的利益關係，這樣，數據流通或共享的價值鏈才會成立。</p> <p>如何透過數據去解決企業的核心問題，答案其實很簡單，就是從工作流程中尋找，因為如果工作流程缺乏效率，或是存在資源過度耗損的問題，往往也是組織的問題所在。而大數據的起點，是基於數據和待解決問題之間的對應關係。在多數情況下，我之所以能夠預測未來，往往是因為以前發生過類似的事件，而我又能盡量完整地把它們記錄下來，當同類事情發生的次數越多，我預測一件事情的準確性就會提高。</p> <p>當我們面對組織內部的實際問題時，在組織問題和數據獲取之間通常會遇到以下幾種可能性：</p> <p>● 這個狀況或問題不常發生，因為發生的機會極少，所以我們沒有機會獲得足夠的數據去應變或做出對應的預測。</p> <p>● 我們遭遇的問題可能並不是低概率事件，但是沒有人知道或意識到要去收集這樣的數據（可能因為這些數據的處理與應用成本很高）。</p> <p>● 企業內部確實有一些數據，但這些數據很零散、格式不標準，散落在企業的不同部門，需要懂得梳理數據的人去管理並應用。</p> <p>● 企業內部有數據，但是被壟斷，或是被控制在不開放的環境中。</p> <p>至此，你應該已經注意到，大數據的使用與積累，是互相促進的閉環系統，斷點越少，數據流通越順暢。這個閉環系統的選擇，是數據專案成敗的關鍵，要考慮的問題也超出了數據本身，同時涉及企業文化、組織架構，所以我一般給企業的意見是，爭取最高領導者的支持必不可少，因為企業數據化的進程如建羅馬一樣，並非一日之功。</p> <p><strong><span style="font-size:28px;">找客戶靠數據，不靠運氣</span></strong></p> <p>零售業的朋友對搜尋引擎行銷可謂既愛又恨，懷疑透過這種方式，是否真的能做到精準行銷。對出口公司來說，獲取企業級別的客戶更是難上加難，如何才能精準地找到目標企業呢？我曾經做過這樣的嘗試（那時還沒有大數據概念），我發現，可以從曾經參加過交易會的企業買家網站上，快速收集到他們的購買意向數據，經過分析，自動配對出有購買意向的準買家名單。</p> <p>最近我發現，已經有公司開始用類似的方法解決企業採購問題了。Lattice Engines 這家從事B2B（企業對企業）銷售預測的數據分析公司，發布了一款新產品，可以用兩個關鍵字概括這個產品的方向：「意向」和「預測」。他們聚焦在整合企業客戶的意向數據，以及預測客戶需求上。</p> <p>Lattice Engines 擅長幫客戶在已有的數據庫中尋找潛在需求，並識別客戶資訊，包括企業是否獲得新的資金，是否成立新的辦公室，是否購買了新的伺服器、儲存系統等等。</p> <p>在獲取新客戶這個方向上，Lattice Engines 協助客戶在他們原有數據庫之外發現新對象。它增加一層新的信號，稱為Prospect Discovery，透過抓取相關產品的搜索資訊，以及社交網站上發布的相關內容等，幫客戶發現新的潛在購買對象。比如，他們會留意企業的意向數據，透過追蹤目標企業，發現某公司的員工正在關注某一個產品。</p> <p>這些數據可能來自部落格、LinkedIn 上的交流，以及專業文獻，進而預測目標公司可能會採取什麼樣的採購決策、現金周轉速度等。Lattice Engines 的數據供應商會專門收集專業內容的下載情況和交易會的註冊情況等數據，以便更好地分析企業的需求。</p> <p>在大數據時代，我們已然可以利用無處不在的數據來預測商業需求。Lattice Engines 正是利用各種管道公布的資訊來預測商業需求，並根據這類數據為企業推薦合適的供應商，我們可稱之為企業級的推薦引擎。</p> <p><span style="font-size:28px;"><strong>企業「用」數據的三大竅門</strong></span></p> <p>用數據這門學問就像武功，臺上一分鐘，臺下十年功。行情好的時候不養數據，市場差的時候就更難臨時抱佛腳。</p> <p>平日養數據大有好處，這些數據不僅可能成為企業戰略分析的關鍵，而且對某個關鍵數據盲點的突破，有可能成為企業的必殺技。這裡，我就跟大家分享企業用數據的三個竅門：</p> <p><span style="color:#B22222;"><strong>方法1：AAR 原則鎖定客戶</strong></span></p> <p>首先，企業應該確定，誰是你的目標客戶，透過哪些管道可以找到這些人；當這些客戶進來後，他們的成長軌跡是怎樣的；這些客戶對你是否滿意，他們是否會離開。這就是我經常使用的AAR 原則：</p> <p>● 第一個A 是acquire（獲取）—如何用最有效的方法獲取核心客戶。</p> <p>● 第二個A 是activate（活躍）—如何讓獲取的客戶快速成長，變得活躍、有黏性。</p> <p>● R 即retention（保留）—如何防範核心客戶流失。</p> <p>數據可以貫徹這三個階段的始終，既可以幫你找出核心客戶，也可以告訴你什麼服務和價格能讓他們變成忠誠客戶，同時還可以用數據模型預測客戶未來的需求，甚至是他們離開的機率。當企業充分掌握客戶當前狀態的數據之後，就可據此進行預測，發現問題馬上糾正，這就是懂得用數據的企業所做的事情。</p> <p>例如，當你發放折價券時，是否想過，什麼時候應該讓客戶當次使用，什麼時候要留待下次使用？企業亂發折價券或經常打折，不但太博愛，還會讓客戶養成「無折不買」的習慣。</p> <p><span style="color:#B22222;"><strong>方法2：行為數據比結果數據更有價值</strong></span></p> <p>企業一般關注的重點是交易數據，比如一天有多少客流量、多少交易額，卻忽略了這些交易背後的原因。當把客戶的行為數據（交互行為）和交易數據相互關聯時，企業才會知道用什麼產品吸引什麼客戶最有效、什麼價格能讓這些客戶活躍起來、怎樣能讓他們對這個平臺更感興趣，我們甚至可以預測到客戶流失的蛛絲馬跡。</p> <p>客戶的行為數據不一定能產生交易，但可以讓我們更了解他，讓我們知道他為什麼會買，或者為什麼不會買。透過行為數據去發現客戶如何做決策，是個重要課題，即使是負面數據也可能有正面作用。</p> <p>在互聯網世界，這些可以相互關聯的數據其實是唾手可得的。如果不知道哪些數據有價值，也不知道哪些數據可以交叉分析，產生價值，著實是一種浪費，相當於將魚翅當粉絲。</p> <p><span style="color:#B22222;"><strong>方法3：從小處著手</strong></span></p> <p>假如中小企業希望充分使用數據，我的建議是，從結構化的、已有的數據開始，一步一步開展。中小企業要有清晰的具體目標—希望數據幫自己做什麼、數據能解決什麼問題。</p> <p>必須謹記，我們面對的是消費者，數據的收集、整合、決策、回饋，都必須從消費者出發，以人為中心，這樣才不至於太分散，盲目地「為了數據而數據」。另外，企業不應把客戶看成一個整體，因為解決客戶的一般性需求，不等於了解客戶的特殊需求。在大數據的驅動下，批量生產的個性化或許並非遙不可及。（摘錄整理自本書第7章）</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span></strong> <strong>數據的商戰策略</strong></p> <p>車品覺／著</p> <p>天下雜誌出版</p> <p>售價：380元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">作者簡介 </span></strong></span></p> <p><strong>車品覺</strong></p> <p>數據化思考第一人，未來趨勢觀察家。最早將大數據運營與管理引入電商，豐富的數據實戰經驗，對大數據未來趨勢有著獨到的見解。在2010年至2016年，先後任職於支付寶、淘寶，並擔任阿里巴巴集團副總裁及首任數據委員會會長。現為紅杉資本中國專家合夥人。</p> </div></div></div>
2020/4/23 09:00未署名https://www.ithome.com.tw/article/137051
隨機演算之美
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>語言的標準程式庫中都有隨機函式，可用來作為無法預測的輸入，或者是創造另一種隨機，而能夠處理隨機的演算法具有啟發性與實用性，也突顯了運算的本質。</p> <p><strong><span style="font-size:28px;">遊戲中的隨機</span></strong></p> <p>遊戲中經常運用隨機來增加變化性，雖然初學程式的新手也能運用隨機建立猜數字遊戲，只不過這類隨機處理過於簡單，未經任何處理，只有建立在某種規律下的隨機性，才能說是變化，例如，勇者拿劍砍某怪會造成某程度的傷害，像是一百點左右的生命值，計算基準可能包含了雙方等級、武器等，而「左右」則是加上某種隨機值作為權重進行計算得來。</p> <p>有些遊戲可以產生隨機地圖，像是Minecraft的隨機世界，不過地圖看來是隨機，然而若方塊之間沒有任何關聯性，只會得到一堆亂七八槽的方塊，絕不會像是自然地形。此類地圖需要的類似自然界的隨機，而不是全然的隨機，而關於這種應用的隨機演算中，常見的是Perlin噪聲（Perlin noise）。例如，一般的自然地形，在鄰近兩點間的起伏，會具有關聯而感覺有連續性，而以二維的Perlin噪聲來說，其作法是方格的頂點產生隨機值以求得四個梯度，方格內的點噪值不是隨機產生，而是固定依這四個梯度採內插法得到，簡單來說，頂點的梯度是隨機，然而方格內的點噪值具有規律。</p> <p>遊戲中也常見隨機迷宮之類的元素，迷宮牆不會是完全地隨機產生，否則這迷宮怎麼能走？如果將一個迷宮展開，會發現是棵樹（參考〈<a href="https://twitter.com/ferjerez3d/status/1236735167882047493" target="_blank">In every maze there's a forest</a>〉），也就是說，迷宮的牆本質上是樹枝構成，雖然可以隨機產生分支，然而還是必須從樹衍生出來，有興趣研究迷宮的話，可以參考先前專欄〈<a href="https://www.ithome.com.tw/voice/109341" target="_blank">迷宮產生演算法之美妙</a>〉。</p> <p>如果給定任意的n行m列的網格，該如何不重複地走過每個網格呢？這個問題的解是一種哈密頓路徑（Hamiltonian path），問題不會只有一個解，如果想要隨機的解，可以沿著隨機迷宮的牆，畫出輪廓來得到哈密頓路徑，若想在遊戲中運用這種路徑，也許是用來產生隨機路線的溜滑梯或道路之類的作法（參考〈<a href="https://www.thingiverse.com/thing:4200020" target="_blank">Random scala</a>〉）。</p> <p><span style="font-size:28px;"><strong>自然界的隨機</strong></span></p> <p>Perlin噪聲模仿了自然界的隨機，這意味著，自然界並非全然的隨機，看似隨機的事物，其實彼此有著某些規律，例如長頸鹿的斑紋、蜻蜓翅膀的紋路、葉片的細胞壁等，其空間分割看似混亂，然而又具有某種規律。</p> <p>俄國數學家Georgy Voronoy建立的Voronoi空間分割，可以模擬這類自然的圖案，這類圖案中的點是隨機散布的，然而每個細胞壁只包含一個點，而相鄰細胞壁中的點，彼此之間必然等距，換個角度看，細胞壁達成了相鄰點間的勢力均衡，我們可以想像，生物的細胞在各處成長速度不同，然而最終會彼此擠壓，達到勢力均衡狀態而形成之圖形。</p> <p>而Voronoi空間分割演算法出發點，就是基於勢力均衡，最簡單的方式之一是，各點對某點建立正多邊形，將多邊形的一邊推至兩點間等距之處，而這一堆多邊形的交集結果，就會是該點的細胞勢力範圍，不過，這個方式需要大量的交集，導致求得Voronoi分割的速度會變得十分緩慢。</p> <p>另一個方式是建立Delaunay三角網，在空間中隨意散布多點，Delaunay三角網會將這些點彼此連接成三角形，然而某三角形構成的外接圓，絕不會包含另一個三角形，Delaunay三角網中，若將邊相鄰的三角形之外接圓心連結起來，就會構成Voronoi空間分割。</p> <p>這是因為三角形邊長，其實就是兩個外接圓的中垂線，將相鄰三角形構成的外接圓心連結起來，必然均分三角形邊長的兩頂點構成之線段，因此外接圓心連結的線，就是勢力均衡線，也就是細胞壁了，這個方式不需多邊形交集運算，只需要計算點，而求得Voronoi分割的速度也會快很多。</p> <p><strong><span style="font-size:28px;">隨機演算法</span></strong></p> <p>自然界雖有許多現象看來隨機，然而實際上沒有真正的隨機，必然有其規律在其中，只是自然界資訊過於龐大，當人們無法從中釐出規律、有效地解釋這些形象之前，只能先歸類為隨機，正因如此，愛因斯坦才會有句名言「上帝不擲骰子」。</p> <p>在演算法上，就有一類隨機演算法，會在演算過程中套用某種程度的隨機，因此在輸入相同的情況下，可能會有不同的結果，而這類演算法的目的，並不是為了創造變化性，而是想求得運算結果在可以接受的範圍。</p> <p>蒙地卡羅（Monte Carlo）演算可能是開發者熟悉的隨機演算法之一，例如用來求圓周率的方式，是在方形區域內隨機散布一定數量的點，看看落在圓內的有多少，套用公式來計算圓周率，點的數量越高，就越接近圓周率。</p> <p>為什麼會想要求得一個接近的值，而不是確定的值呢？有些需求可能無最佳解，或者需要耗費大量運算才能得到理想的解答，在耗費時間遠大於對品質的考量下，若隨機演算法可以快速求得某個可接受的結果，我們就可能採取這類演算。</p> <p>在圍棋上贏得人機之戰的AlphaGo，採用的決策過程之一，就有蒙特卡羅樹搜尋（Monte Carlo Tree Search，MCTS），而MCTS存在目的是為了解決搜尋空間過於巨大，難以窮舉全部子樹的問題，MCTS子節點展開後隨機進行遊戲，根據勝負結果來更新沿路至根節點的資訊，作為下次搜尋選取節點的評估之用。</p> <p>關於隨機的運用，在程式設計中是族繁不及備載，然而可以從運算的本質來探討。</p> <p>開發者如果接觸過運算原理，都會知道模型中有種非確定性（Nondeterministic）自動機，這類機器具有隨機性，而且天生神力，總是可以猜中接下來不用讀取任何輸入，就直接轉移至可獲解答的狀態。例如，確定性下推自動機（Deterministic Pushdown Automaton，DPDA）並無法判斷迴文；然而，非確定性下推自動機（Nondeterministic Pushdown Automaton）卻可以完成任務，這是因為，它總是能恰巧猜中輸入已經達一半的時機，接下來就開始比對堆疊中的值是否與接下來輸入都是對應的。</p> <p><strong><span style="font-size:28px;">瞎猜的神機哪來的？</span></strong></p> <p>每次都準確猜中的「神機」是不存在的，就演算法而言絕對無法設計出來，然而，若能接受運氣不好而沒猜中的情況，至少還有能回答「這是迴文」以及「這可能不是迴文」。</p> <p>雖然現實中打造不出神機，然而，非確定性就像是一種外部參與，例如人類的介入（肉眼看看輸入是否達一半），現實中就有許多程式，一開始會需要人的參與，然而在相關理論或技術進步之後，外部參與就減少了（也就是減少非確定性），在這之前，若某個外部參與可以解決問題，就算是瞎猜（隨機），也會是可行的方向。</p> <p>非確定性的有限狀態機或下推機，會有等價的確定性機器，只不過狀態通常會暴增，或者難以找出等價的模型，就像是還沒找出自然界中某種規律，只能看似隨機；特意地運用這類隨機，或者持續尋找當中的規律，能獲得許多的啟發，找出更多的實用性，也更能認識運算的本質。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E9%9A%A8%E6%A9%9F%E5%87%BD%E5%BC%8F">隨機函式</a></div><div class="field-item odd"><a href="/tags/%E9%9A%A8%E6%A9%9F">隨機</a></div><div class="field-item even"><a href="/tags/%E9%9A%A8%E6%A9%9F%E6%BC%94%E7%AE%97%E6%B3%95">隨機演算法</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2020/4/23 09:00作者林信良https://www.ithome.com.tw/voice/137054
傳統實體代幣轉向行動支付，大魯閣改造IT要重塑顧客體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到武漢肺炎疫情的影響，近期許多臺灣民眾，為了防疫，紛紛減少外出，就算非得要出門消費，也盡量改用免接觸的行動支付交易來替代現金，減少交易時的接觸機會，甚至避免使用流通紙鈔而增加感染風險，這成了，加快大魯閣實業對外服務IT轉型的契機，「因應這波疫情，我們現在有了更大決心推動行動支付，取代實體代幣。」大魯閣實業資訊處協理江均豪斬釘截鐵地說。</p> <p>大魯閣實業最早是紡織業起家，但幾年前，開始朝向運動休閒與商場轉型，它所經營的運動休閒連鎖門市，光是全臺就有15間，包括了棒壘球打擊場、保齡球館和卡丁車場館等，每年平均進場人次就超過300萬人，還擁有50萬名會員。在這些館內，更有提供包含場內投打設備、飛鏢機，籃球機等各式投幣式遊樂設施，單是這些投幣式設備，全國一共就有600多臺。</p> <p>這些館內的遊樂設施，一直以來皆採投幣式收費，但是今年，該公司決定，未來都要升級改為行動支付的物聯網機臺設備，來取代傳統投幣式機器。江均豪更一手負責所有機臺感應設備的規畫、系統建置到上線。</p> <p><strong><span style="font-size: 28px;">傳統投幣式機臺要結合行動支付與App付款</span></strong></p> <p>近幾年，行動支付在臺灣已有不少企業應用，但在運動休閒產業則較少用，為了跟上這股行動支付風潮，大魯閣實業希望讓這些傳統投幣機器整合行動支付，但一直沒有找到適合的方案。直到去年，江均豪前往該公司在中國的通路，協助當地門市導入行動支付相關應用，他看見門市導入和使用情況，認為這個方法可行，想引進臺灣，一回臺後就展開規畫，找到了可配合的設備廠商，協助打造結合行動支付功能的投幣機臺設備。</p> <p>雖然，行動支付功能至今還未建置完成，但江均豪透露，未來將提供兩種支付方式，來取代付款投幣機臺，一種就是行動支付，讓民眾可以透過手機掃碼或卡片感應付款，就能夠啟動遊戲機臺來玩，不需要投入實體代幣，他指出，目前規畫將能支援包括悠遊卡、Line Pay，街口、Google Pay等在內的行動支付方式，初期先推悠遊卡付款，後續會陸續加入其他支付方式。</p> <p>除了綁定行動支付，該館會員還可以使用虛擬代幣來完成付款，這是第2種支付方式。江均豪計畫將原本發行的遊戲機代幣變成虛擬代幣，放進自家App裡，讓會員可以透過這個方式付款，例如，以前會員卡儲值一千元就會贈送幾枚實體代幣，以後將改為虛擬幣並儲值在App的個人會員帳戶裡，每次啟動遊戲機時，就會從會員自己錢包代幣餘額來扣款。</p> <p>這種透過感應式支付來完成付款的作法，在技術上雖然不難實現，但為了打造這樣一個支援行動交易環境的IT架構，江均豪得要面對的IT挑戰不少，不只要全面更新機臺設備，就連後端的PoS系統也得跟著要重新改造，還有新投幣孔開發、App虛擬代幣功能和CRM客製需求等，甚至這些門市館內既有網路架構，都得要全面大翻新，來支援全臺數百臺機臺的連網需求。</p> <p>為了提供這些交易支付功能，江均豪先是規畫要汰換舊有PoS系統，改換新PoS，甚至更直接搬上雲端。他解釋，之所以採用雲端PoS，方便維運管理是主要考量，其次，考慮到未來雲端PoS的CRM功能，與商場事業體CRM更容易進行整合。</p> <p>他進一步說明，以後，所有館內機臺設備的投幣孔位置，都會加裝感應裝置，對於消費者者每一個感應動作都會完整記錄，所有記錄的交易訊息，會透過網路回傳到雲端PoS系統做處理，待付款成功後，就會遠端啟動現場的投幣機臺，讓使用者進到遊戲裡來玩。</p> <p><span style="font-size: 28px;"><strong>疫情升溫，無接觸的行動支付成了民眾防疫手段</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350-1.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>大魯閣實業資訊處協理江均豪表示，因應這</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>波疫情，更堅定了他們對外服務的IT轉型，</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>轉向行動支付，但對帳和斷網得解決。</strong>攝影</span></span><span style="font-size: 18px; color: rgb(105, 105, 105);">／洪政偉</span></p> </td> </tr></tbody></table><p>這種付款方式，最初是為了提供消費者一種支付新選擇，但在武漢肺炎爆發以後，因為不需與人近距離接觸，和免現金的碰觸，行動支付反倒成了，民眾加強防疫，保持社交距離的重要手段。江均豪就有這樣深刻的觀察。</p> <p>早在疫情出現以前，該公司就有準備替這些投幣機臺加入行動支付功能的計畫，並展開規畫和評估，只是當時，還沒有決定採行哪一種支付方案。這個時候，許多民眾還是習慣使用現金消費，對於行動支付使用比例，並沒有如中國般普及，但隨著疫情嚴峻，導致民眾使用習慣被迫得有所改變。</p> <p>江均豪就觀察到，近兩個月，臺灣在行動支付使用比例明顯提升不少，更多消費者傾向使用行動支付方式來替代現金，來降低現場接觸感染的風險，「這更奠定了我們要走這條路的決心」他說，透過改用無觸式行動支付來做付款，顧客以後用自己手機，就能完成所有付款動作，免除了與實體代幣接觸的風險，使用起來更安心。</p> <p>另外，改用行動支付取代投幣付款的好處不少。他以製幣為例，以往，這家公司每年都得花三、四百萬元委外製作一枚枚實體代幣，改用行動支付後，這些製幣成本就能省下來。再者，因為所有交易流程都將全面數位化，能簡化人力作業時間，例如，改以行動支付或虛擬代幣來付款，就不需要人工開箱數幣的動作，雲端PoS也能自動取得每個機臺營業時間的付款金額與錢幣數量，還可減少人工輸入錯誤的風險。</p> <p>機臺更快故障排除則是江均豪提到另一個好處。他表示，以前打擊場機器有問題，都是等客人來用才發現，現在，因為所有機臺都是串連雲端PoS來統一管理，因此，管理者不用進到館內，就能看到這些機器設備是不是都正常上線，一旦有問題，系統就會立即發送警示，通知現場人員重開、調整，或是請廠商來更換設備。</p> <p><strong><span style="font-size: 28px;">實體代幣要能夠全面數位化，得先解決支付對帳、斷網問題</span></strong></p> <p>但代幣虛擬化或數位化之後，它的可靠性和穩定性都是挑戰。尤其，以後每一個投幣機臺都需要連網，一旦遇到網路中斷時，資料無法傳回雲端PoS平臺上來做處理，現場機器無法開啟，顧客就沒辦法來用，因此，對於大魯閣資訊團隊來說，改用這種方式付款之後，得要有斷網備案才行。該資訊團隊提前設想到這個問題，除了有線，最近剛規畫了無線網路作為備援機制，消費者平時在機臺投幣感應之後，所有機臺取得的交易資料，都會先回傳到櫃臺PoS機，再由它透過有線網路將這些資料傳回雲端PoS系統來處理，一旦場館內部或對外網路中斷，這時，還可透過PoS機本身加裝的無線4G網卡，來讓它可以正常上網傳送資料到雲端，來繼續維持機臺的使用。</p> <p>不過，他們還有另一個考驗是，因為與多家行動支付業者合作，而衍生出與業者之間的對帳問題。「當付款別越多，對帳處理就越麻煩」，假設這個門市有30臺機器，針對這所有每個投幣機臺支付方式、付款金額，都要與各個支付業者核對確保每筆付款金額正確之後，才能完成入帳。由於每一家業者入帳時間不一，當支付款別越多，背後整套支付流程串接和對帳機制建立，就更複雜。他表示，只能一家家個別處理，沒有統一標準。</p> <p>就連建立網路環境時，也遇到不小阻礙。例如，資訊團隊原先針對投幣機臺設備連網，考慮採用無線網路來布建，但後來，卻發現其中一家悠遊卡的讀卡機並不支援無線，僅能以有線來建立機臺連網環境，這也使得機臺機動性受限，沒辦法任意移動到新的位置。</p> <p>該公司預計今年5月初，會先選在北部新莊和汐止門市打擊場先測試，之後再往下擴點。初期將會部署30到40臺的投幣式機臺，可以支援行動支付和虛擬代幣應用，讓消費者能以手機輕刷感應，就能夠啟動遊戲機設備來玩，或是改用手機App的虛擬代幣來交易付款。江均豪補充說到，初期將採用實體支付和行動支付併行，因此，這些機臺上的投幣口仍會保留，讓消費者需要時還可以使用實體代幣來付款，「但長期目標，是要完全取代實體幣。」他說。</p> <p><strong><span style="font-size: 28px;">集團兩大事業體整合，多系統整併成為IT新考驗</span></strong></p> <p>這種結合行動支付的作法，跟大魯閣實業近年來積極朝向運動休閒事業轉型有關，為擴大海內外的布局，大魯閣於2018年通過併購關係企業基創實業，這正是江均豪原本任職的公司，後來併入到大魯閣實業旗下，江均豪跟著進入了大魯閣實業，開始擔任資訊部門主管，負責包括基創在內所有集團運動休閒事業的IT。</p> <p>大魯閣實業近幾年更跨入商場事業，先後在臺中和新竹經營大型購物中心，其中，位於臺中的大魯閣新時代購物中心，每年來客人潮，就多達一千萬人次，而在這間商場裡，也有整合打擊場等遊樂設施，不過，這時，兩個經營事業體都有各自資訊團隊，分別負責商場和休閒事業的資訊維運。</p> <p>直到去年，大魯閣集團兩個事業體，運動休閒與商場事業正式整併後，兩家資訊部門跟著合併，江均豪更從原來負責休閒運動事業IT，現在得要管到商場事業。對他來說，也帶來新考驗。</p> <p>為了配合公司組織整併，他今年初已完成集團ERP財務系統集中整併，改共用一套系統，並統一集中放在臺中總部機房管理，但他並不急於所有系統整併要一步到位，而是會謹慎評估是否有整併需求，例如PoS和CRM會員系統，他目前就採取仍維持各自一套的作法。他說明，由於兩個事業體的需求不同，因此，兩者PoS系統不一定需要整併。至於CRM方面，包含重複的會員，兩個事業體會員加總約70萬名，他表示，目前是朝向整併來進行，只是還沒有詳細時間表。</p> <p>資訊部門整併以後，未來將負責休閒體育跟商場相關資訊整併與維運。江均豪提到，今年計畫先專注在運動休閒經營的IT改造，透過資訊技術來結合行動支付和代幣數位化，等到完成系統導入推出上線，所有運作穩定之後，年底再逐步與商場事業來進行整併，包括CRM等。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>江均豪</strong></p> <p><strong>大魯閣實業資訊處協理</strong></p> <p>學歷：雲科大資管系學士</p> <p>經歷：曾待過蕃薯藤、滾石網絡IT，2006年進到基創一手打造運動場館IT基礎架構，後來併到大魯閣實業旗下，他於2017年進入這家公司擔任資訊部門協理，負責集團旗下運動休閒事業IT，去年，更背負集團兩大事業體的資訊系統整併，先從推動對外服務IT改造做起</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>大魯閣實業</strong></p> <p>● 地址：臺中市東區復興路四段186號9樓</p> <p>● 成立時間：1973年</p> <p>● 網址：<a href="http://www.taroko.com.tw" target="_blank">www.taroko.com.tw</a></p> <p>● 主要業務：商場開發、休閒育樂事業</p> <p>● 員工數：約400人</p> <p>● 資本額：17億元</p> <p>● 年營收：約11.7億元（2019年）</p> <p>● 董事長：林曼麗</p> <p>● 總經理：謝國棟</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門主管職稱：資訊處協理</p> <p>● 資訊部門主管姓名：江均豪</p> <p>● 資訊部門人數：5人</p> <p>● 資訊部門分工：維運組、應用組</p> <p>● IT預算：約800萬元</p> <p><strong style="color: rgb(51, 153, 255);">IT大事紀</strong></p> <p>● 2010年：關係企業基創（2018年併入大魯閣集團）導入PoS系統、卡務系統</p> <p>● 2014年：在中國蘇州吳中第一家分店導入資訊系統</p> <p>● 2015年：導入集團人事系統</p> <p>● 2016年：導入賽道樂園票務系統及PoS系統、BLD導入PoS及會員系統</p> <p>● 2019年：上海基創門市升級場地管理系統</p> <p>● 2020年：完成集團ERP財務系統集中整併</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0423-cio.png" width="960" height="420" alt="" title="大魯閣實業資訊處協理江均豪　（攝影／洪政偉）" /></div></div></div>
2020/4/23 09:00作者余至浩https://www.ithome.com.tw/people/137097
臺灣公機關圖書館LED燈控制器的IP位址成攻擊跳板，法務部調查局與資安業者合力破獲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決殭屍網路等網路犯罪問題，近年資安業者與國際執法單位合作的態勢越來越明顯，臺灣執法機關也不缺席。例如，在今年3月，微軟大動作宣布協同35國執法單位以及安全廠商，破獲全球最大惡意郵件殭屍網路Necurs，由於臺灣本地的惡意網域也是該殭屍網路的一環，因此臺灣也參與其中。事實上，在上述行動之前，國內法務部調查局在2019年就已經接獲微軟情資，發現我國政府網路IP位址可能感染Necrus的狀況。</p> <p>當時，調查局即循線查出攻擊所在是北臺灣鄉下的一棟建築內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置，但後續查證，原來問題出在管控該裝置資訊業者的VPN設定錯誤，造成該IP位置淪為攻擊跳板。昨日（21日），法務部調查局揭露了他們這次的辦案過程，以及與資安業者合作因應跨境網路犯罪的現況。</p> <p>關於這起事件，法務部調查局是在2019年7月8日，接獲臺灣微軟的通報，得知臺灣政府網路IP位址（117.56.xxx.xxx）可能感染Necrus，因此著手追蹤此一非法的VPN IP位址，並在一個月後，於8月6日阻止該IP與裝置繼續成為攻擊跳板。</p> <h3><strong>竟是VPN錯誤設定的疏失，導致臺灣政府公務機關IP位址淪為攻擊跳板</strong></h3> <p>在事件調查過程中，該單位資通安全處處長吳富梅表示，首先，他們調閱了IP位址（117.56.xxx.xxx）的申請資訊，發現是公務機關所持有，並查出攻擊所在是北臺灣鄉下的大樓內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的圖書館LED燈控制裝置。</p> <p>另一個關鍵發現是，原先管理LED控制系統主機的資訊公司，雖然架設VPN伺服器以便於管理，但有錯誤設定的情況，因此遭誤用而被不明人士公開。</p> <p>根據調查局的說明，該主機其實並未受Necrus感染，主要是該IP位址被利用當成散布Necurs殭屍網路的跳板，這也使得許多釣魚郵件與惡意攻擊都是來自這個臺灣政府的IP位址。直到調查局修正錯誤設定，關閉LED燈控制系統主機VPN服務，才讓這個惡意病毒訊號在監控平臺上消失。</p> <p>雖然大家多將焦點都會放在LED燈控制系統主機，但根據調查結果是該主機並未受到Necrus感染。不過，這起案件還是讓一些問題重新浮上檯面。例如，由於管理LED燈控制系統的業者，竟因為VPN錯誤設定的疏失，導致臺灣政府公務機關IP位址淪為攻擊跳板，此外，相關單位或業者是否有相關責任，國內還有多少VPN設定錯誤情形，以及多少IP位址被當成跳板，仍有執法單位調查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在4月21日，法務部調查局資通安全處處長吳富梅說明該單位與微軟<span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">破獲</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">VPN</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">非法</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">IP</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">攻擊，以及</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">下架</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span lang="EN-US" style="font-family: Calibri, sans-serif;" xml:lang="EN-US">Necurs</span></span><span style="color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif; font-size: small; text-align: justify; text-indent: 32px;"><span style="font-family: 微軟正黑體, sans-serif;">殭屍網路的經過。</span></span></p> </blockquote> <h3><strong>因應跨境網路犯罪偵辦，國內法務部調查局已與美國微軟總部簽訂情資交換協議</strong></h3> <p>至於後續針對Necurs殭屍網路的打擊行動，到了今年3月11日（臺北時間11點），則有大規模的計畫。由於臺灣惡意網域也是Necurs殭屍網路的一環，因此，法務部調查局也配合微軟等各國組織進行的全球大掃蕩，在國內，同時還聯合了中華電信、台灣網路資訊中心（TWNIC），以及行政院國家資通安全會報技術服務中心（NCCST），協力在同一時間執行剿清行動，目的就是要根除這個曾涉及40萬裝置的大型殭屍網路，共計阻斷了18萬筆惡意網域。</p> <p>對於調查局在跨境網路犯罪與國際合作的現況，吳富梅說明了現況。她表示，其實，近年來該單位都有攜手國外執法單位與私人企業的例子，包括2016年的美歐31國聯手破獲全球網路犯罪集團Avalanche，2017年的歐美執法單位與資安業者聯手擊潰Gamarue殭屍網路，以及2018年一銀盜領案背後的國際網路犯罪集團「COBALT」。</p> <p>近年，他們則有更具體的行動，在2018年底，該單位首次與跨國企業簽立的網路安全情資交換協議，合作對象就是微軟，當時他們與美國微軟總部在臺簽署了情資交換協議，並將共同研討因應跨境犯罪的問題。</p> <p>對於這項合作計畫的具體內容，我們注意到，法務部調查局可以使用微軟免費提供的一個名為「C2O惡意程式中繼站觀測平臺」，從這個Cyber Threat Intelligence儀表板掌握相關情資，去檢視各個Botnet在全球的威脅現況，包括受害成為殭屍網路的數量，臺灣IP位址受害的數量等。例如，從2017年4月所偵測到的資訊，臺灣至少有48,000個IP位址受駭成為Necurs殭屍網路。</p> <p>因此，透過這樣的觀測平臺，調查局與對方都將可以各自分享觀測到的殭屍網路訊號異常狀況，不論是從執法經驗上的觀察，以及與業者的定期情資交流。</p> <p>而去年調查局之所以能破獲上述的非法VPN（117.56.xxx.xxx），就是臺灣微軟數位安全中心的人員先發現異常，因為臺灣這個IP位址活動量特別大，惡意連線次數增加幅度顯著，並發現海外多個惡意IP位址，以及多個惡意網域名稱伺服器，會透過臺灣這個IP位址發送惡意病毒攻擊臺灣，因此，之後再由調查局進行後續追蹤，進而找到實際IP位址所在地點與問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>根據法務部調查局的說明，他們在2018年底就與美國微軟總部簽署情資交換協議，這也讓他們在去年開始就可以使用微軟提供的C2O惡意程式中繼站觀測平臺。</p> </blockquote> </div></div></div>
2020/4/22 18:44作者羅正漢https://www.ithome.com.tw/news/137154
思科SD-WAN整合Google Cloud 提供多雲管理方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路大廠<a href="https://blogs.cisco.com/networking/cisco-and-google-partner-on-cisco-sd-wan-cloud-hub-with-google-cloud" target="_blank">思科與Google周二宣布S</a>D-WAN Cloud Hub with Google Cloud，藉由整合軟體定義廣域網路（SD-WAN）及雲架構成為多雲網路管理平臺。</p> <p>這項合作是<a href="https://www.ithome.com.tw/news/117777" target="_blank">雙方在2017年</a>的企業混合雲合作後的最新進展，當時的合作讓思科企業客戶有擴充需求時，可以更容易把應用及資料搬移或擴展到Google Cloud Platform。</p> <p>Google Cloud網路部門總經理Shailesh Shukla指出，最新合作則使雙方合作擴及混合及多雲環境。透過整合思科SD-WAN的管理技術結合Google Cloud全球網路及Anthos，使企業網路政策，如網路分段（segmentation）、或是效能、安全設定等部署到混合雲及多雲環境，讓應用不論是部署在私有雲、Google Cloud或其他雲上，或是SaaS應用都能有效管理，實現端到端的安全、網路效能和服務品質。</p> <p>雙方表示，Cisco SD-WAN Cloud Hub with Google Cloud，是業界第一個完整整合WAN應用及雲端運算的方案。今天，應用程式並無法對底層網路發送SLA呼叫，但在最新合作下，應用程式和網路層可以相互通訊。例如，低延遲容忍度的關鍵應用，可以將Google Cloud Service Directory的應用資料公告出來，讓網路依此調整。同樣的，思科的SD-WAN控管工具vManage則監控網路效能和服務量測值，可將用戶呼叫導向最適合的雲端服務節點。</p> <p>此外，思科SD-WAN也能把網路連線狀態（network reachability）等量測值，傳送給分散式系統如Google Anthos，後者可即時將流量導向連線狀態較好的區域。</p> <p>Cisco SD-WAN Cloud Hub with Google Cloud預定今年底推出預覽版，明年第一季正式推出。在此之前，雙方也計畫邀請特定企業客戶加入測試。</p> </div></div></div>
2020/4/22 15:20作者林妍溱https://www.ithome.com.tw/news/137141