iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 14:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

思科買下SaaS網路效能監控業者ThousandEyes
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球網通設備大廠思科（Cisco）在周四（5/28）<a href="https://blogs.cisco.com/news/cisco-corporate-news-announcement-may-2020" target="_blank">宣布</a>，已準備買下美國的軟體即服務（SaaS）網路效能監控業者ThousandEyes，雙方預計於今年底前完成交易，外傳此一交易規模約為10億美元。</p> <p>ThousandEyes成立於2010年，主要針對大型企業與服務供應商提供網路情報，例如能夠呈現全球廣域網路拓撲，可視覺化網路架構、控制盤及應用程式的遞送，還能檢視雲端服務、遠端工作者或使用者的網路連線狀態。包括微軟、Slack、PayPal及Salesforce都是ThousandEyes的客戶。</p> <p>思科表示，ThousandEyes允許企業查看使用者經驗以查明故障原因，也能藉由在網路上所部署的成千上萬個代理人，理解網路狀態並取得更多的情報，若結合AppDynamics與思科的SD-WAN技術，將有能力改善所有應用的效能、可靠性及擴展性。當中的ThousandEyes用來監控網路效能，思科於2017年以37億美元買下的AppDynamics則是負責監控應用程式效能，而SD-WAN則是思科的軟體定義網路解決方案。</p> <p>ThousandEyes團隊將加入思科新成立的網路服務事業部（Networking Services），但其技術將同時被部署在思科的多項解決方案中，包含企業網路（Enterprise Networking ）、雲端與AppDynamics等。</p> </div></div></div>
2020/5/30 21:30作者陳曉莉https://www.ithome.com.tw/news/137958
駭客藉由SaltStack漏洞入侵思科伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科近日釋出<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-salt-2vx545AG" target="_blank">安全公告</a>，表示旗下的Cisco Modeling Labs Corporate Edition（CML）與Cisco Virtual Internet Routing Lab Personal Edition（VIRL-PE）兩款產品採用了含有安全漏洞的SaltStack版本，而且由自家負責維護、作為VIRL-PE後端基礎設施的伺服器亦受到相關漏洞的波及，並有6臺伺服器遭到駭客入侵。</p> <p>資安業者F-Secure是在今年4月30日揭露，由SaltStack所打造的Salt開源管理框架含有兩個安全漏洞。Salt可用來監控與更新伺服器的狀態，每臺伺服器上執行一個名為minion的代理人，並可連結了master，而Salt則會收集來自minion的報告，再發布minion可執行的更新訊息；Salt的預設通訊協定為ZeroMQ，master會提供兩個ZeroMQ實例，一個稱為請求伺服器（request server），供minion報告狀態，另一個稱為發表伺服器（publish server），由master發布訊息予minion。</p> <p>然而，F-Secure在Salt管理框架上發現了CVE-2020-11651與CVE-2020-11652兩個安全漏洞，前者屬於認證繞過漏洞，後者則為目錄穿越（directory traversal）漏洞，這兩個漏洞將允許連結到請求伺服器的駭客繞過所有的身分認證與認證控制，發表任意的控制訊息，在master伺服器的檔案系統讀取及寫入檔案，並竊取金鑰取得根權限。</p> <p>Salt不僅是SaltStack基礎設施自動化軟體的核心，也經常是資料中心及雲端環境中用來管理伺服器的配置工具。</p> <p>雖然SaltStack在4月29日就修補了上述漏洞，但在漏洞曝光的一周內便傳出多起攻擊事件，受害者包括LineageOS專案、DigiCert、Xen Orchestra與Algolia ，而思科顯然也是此波的受害者之一。</p> <p>思科表示，該公司的基礎設施維護了用來服務Cisco VIRL-PE的salt-master伺服器，其中，負責服務Cisco VIRL-PE 1.2與Cisco VIRL-PE 1.3的6臺salt-master伺服器遭到駭客入侵，它們分別是us-1.virl.info、us-2.virl.info、us-3.virl.info、us-4.virl.info、vsm-us-1.virl.info與vsm-us-2.virl.info。</p> <p>此外，該公司所銷售的CML與Cisco VIRL-PE產品也都內建了含有漏洞的SaltStack版本，不管是獨立部署或是叢集配置都會被波及。</p> <p>思科已在5月7日修補了上述產品與內部伺服器的安全漏洞。</p> </div></div></div>
2020/5/30 21:55作者陳曉莉https://www.ithome.com.tw/news/137960
Cyble：臺灣逾2,000萬民眾個資在暗網中流傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Cyble Inc在5月29日指出，他們幾周前在暗網中發現一個外洩的資料庫，寫著「臺灣全國的戶籍資料庫」（Taiwan Whole Country Home Registry DB），存放了超過2,000萬筆的民眾資訊，駭客還透露，此一資料庫的來源是內政部戶政司。</p> <p>Cyble並未公布該資料庫的實際筆數，僅說它超過2,000萬筆，檔案大小為3.5GB，欄位包括名字、地址、身分證號碼、姓別、生日，以及電話。</p> <p>儘管駭客宣稱該資料庫是2019年外洩的，但Cyble的初步分析顯示該資料庫的最新紀錄為2008年，不過有些筆數的生日欄位是空白的，因而難以確認其最新日期。</p> <p>Cyble表示，此一資料庫基本上擄獲了整個國家的政府資料，對他們來說並不常見，此外，該公司的研究人員已經買下了此一資料庫，以將其索引，並正展開進一步的分析。</p> <p>Cyble主要利用機器學習與人類分析提供軟體即服務（SaaS）的資安解決方案，標榜可讓客戶即時檢視其供應鏈的網路威脅與風險。Cyble也建立了一個專門蒐集外洩資料庫的AmiBreached.com 服務，可供使用者搜尋自己的電子郵件是否曾出現在任何資料外洩意外中，性質類似Have I Been Pwned（HBIP），不過若要詳細查詢必須註冊該服務。</p> </div></div></div>
2020/5/30 22:10作者陳曉莉https://www.ithome.com.tw/news/137961
臺灣2千萬筆戶政資料暗網兜售？資安處：非戶政資料，多方舊資料庫整併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國資安威脅情報公司Cyble在官方部落格揭露，該公司資安研究員日前在暗網發現，臺灣有2千萬筆戶政資料公開販售。行政院資安處處長簡宏偉接受訪問時表示，這些都是舊資料，多年前已經在暗網流通，當時便已經確認不是戶政資料，極有可能是將來自不同來源（含民間）的資料整理成一個檔案。他也提醒民眾請勿購買、下載或非經授權使用個人資料，以避免違反個人資料保護法。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>暗網兜售臺灣2千萬筆戶政資料，要價2,500美元</strong></span></span></p> <p>Cyble表示，在暗網兜售的臺灣戶政資料數量超過2千萬筆，個資包含姓名、地址、身分證字號、性別、出生年月日和手機號碼，最早的資料是2008年，最新個資更新日期為2019年，容量達3.5GB。</p> <p>在暗網兜售的成員Toogod販售許多個資，臺灣2千萬筆戶政資料要價2,500美元（約新臺幣76,000元），因為個資數量最多，售價最高，但每一筆個資資料要價新臺幣0.0038元。</p> <p>該名成員在暗網還販售其他種類的個資，包括中國微博5.4億名使用者個資，要價1,000美元；中國上海招商銀行也外洩63,000筆金卡個資，2020年4月外洩，個資內容包括：開戶銀行、聯絡人、所有權、身分證名名稱、身分證名號碼、詳細地址、郵遞區號和聯絡電話等，要價300美元。</p> <p>除了簡宏偉認為這次外洩的是早年外洩流傳的個資資料庫的整併外，不具名的資安專家表示，雖然沒有拿到過往的資料做筆段，但就從Toogod揭露的個資訊息中也可以發現，沒有手機只有市話，而目前比較新的、電子商務外洩的個資資料，大部分都是手機而非市話，以此推估，極有可能是以往外洩的舊資料。</p> <p>簡宏偉也再次重申，防範個資外洩需要每一個民眾都要提高資安意識，個人資料不要隨便提供，也要注意保管方式，否則，不論系統再怎麼安全，都還是會有層出不窮的個資外洩事件。</p> <p> </p> </div></div></div>
2020/5/30 20:32作者黃彥棻https://www.ithome.com.tw/news/137955
ACLU控告Clearview AI侵犯隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國公民自由聯盟（American Civil Liberties Union，ACLU）伊利諾州分部近日對Clearview AI<a href="https://www.aclu.org/press-releases/aclu-sues-clearview-ai" target="_blank">提出控告</a>，指出Clearview AI未經使用者同意就蒐集他們的人臉，侵犯了伊利諾州居民的隱私權。</p> <p>紐約時報在今年1月<a href="https://www.ithome.com.tw/news/135443" target="_blank">揭露</a>，Clearview AI蒐集了全球網站上所出現的人臉，建立了一個超過30億張人臉照片的資料庫，並且供應給數百個執法機關使用。然而，根據伊利諾州的《生物識別資訊隱私法》（Biometric Information Privacy Act，BIPA），企業在蒐集、捕獲或取得伊利諾州居民的指紋、人臉或虹膜掃描等生物辨識資訊時，必須知會使用者，並取得書面同意。</p> <p>ACLU指出，BIPA法令的存在是因為，相較於取得使用者的姓名或地址，這些生物辨識資訊對人們的安全或隱私而言更具風險，因為人們可以改名或搬家，但卻無法變臉。</p> <p>此外，Clearview AI擅自從網路上蒐集了逾30億的人臉，當事人根本不知道，更別說同意了。ACLU說，這很可能是全美最大的人臉資料庫，凌駕任何政府組織與美國企業所蒐集的人臉資料。</p> <p>自從紐約時報踢爆Clearview AI的商業模式以來，包括Twitter、YouTube、臉書及LinkedIn都已正式發函予Clearview AI，要求該公司停止再搜括它們網站上的人臉資料。</p> </div></div></div>
2020/5/30 20:45作者陳曉莉https://www.ithome.com.tw/news/137956
供應鏈攻擊鎖定GitHub開源軟體專案，讓開發人員上傳程式碼就一併植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員的供應鏈攻擊可說是日益氾濫，而且駭客的手法不斷推陳出新。過往攻擊者主要是直接竊取用戶帳密或是憑證，進而取得程式碼代管平臺帳號的控制權，但現在有研究人員發現新的攻擊管道，攻擊者鎖定開發人員的電腦下手，讓他們於上傳程式碼時，無意間就幫自己在GitHub上架設後門，攻擊者再將這些後門用於與C&C中繼站通訊。最近，GitHub<a href="https://securitylab.github.com/research/octopus-scanner-malware-open-source-supply-chain">公布</a>了上述攻擊手法細節，希望開發人員能夠加以防範。</p> <p>今年3月，一個署名為JJ的資安人員，向GitHub資安事件因應團隊通報，他發現一波新的攻擊事件，駭客鎖定採用NetBeans整合開發環境的電腦發動攻擊，導致這些開發者提交到GitHub的程式碼帶有後門。該團隊獲報後，隨即展開調查，發現有26個開源專案，被惡意軟體借殼上架後門。GitHub資安事件因應團隊表示，他們經常獲報有人刻意利用GitHub，將其做為C&C中繼站運作的一部分，但這次研究人員提出的情報相當不同，程式碼資料庫的所有人完全不曉得自己遭駭，持續在自己的GitHub帳號提交帶有後門的程式碼。</p> <p>研究人員將這次發現駭客作案的惡意軟體，命名為Octopus Scanner。駭客攻擊的方式，是先將這款惡意軟體植入到開發用的電腦，接著Octopus Scanner會在電腦裡掃描，找出所有的NetBeans專案檔案與資料夾，並且將惡意負載（Payload）檔案植入指定的資料夾，然後修改編譯的XML組態檔案內容，使得開發者每次編譯程式時，惡意軟體就會一併載入所有類別，而且還會感染編譯好的JAR檔案。</p> <p>GitHub指出，他們在調查過程中，Octopus Scanner的C&C中繼站似乎還沒有上線，但這不代表遭感染的專案就安全，駭客還是很有可能藉此複製專案的內容。基於前述用戶應該不知情的前提，GitHub認為不應該直接封鎖使用者的帳號來處置，取而代之的是，他們會充分了解惡意軟體散播的途徑，再從這些專案妥善移除相關程式碼。</p> <p>不過，根據GitHub的調查，與獲報資訊有所不同的是，Octopus Scanner不光是會感染編譯過程產生的JAR檔案，而是整個專案資料夾裡的所有的JAR檔案。該公司清查受害專案後進一步發現，Octopus Scanner至少有4種版本，其中一種還會感染下游系統，也就是說，假如其他GitHub用戶複製了受害專案來進行開發，也可能會一併繼承了這個惡意軟體。至於其他3種Octopus Scanner，則是以開發者本機電腦為主要感染目標。</p> <p><a href="https://s4.itho.me/sites/default/files/images/octopus-decompiled-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/octopus-decompiled-s.png" style="width: 580px;" /></a></p> <p>GitHub也將其中一個Octopus Scanner上傳到VirusTotal，所有的60個防毒引擎中，竟然只有4個發現是惡意軟體，這樣的結果很可能會被當作是誤判。</p> <p><a href="https://s4.itho.me/sites/default/files/images/octopus-virustotal-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/octopus-virustotal-s.png" style="width: 580px;" /></a></p> <p>值得注意的是，NetBeans並非Java程式語言最常見的輔助開發工具，但為何駭客要針對使用這款整合開發環境的開發者下手？GitHub認為，假如此次攻擊並非特定目標攻擊，就是駭客已經同時對其他開發環境悄悄下手，像是使用Make、MsBuild，以及Gradle等開發工具的電腦，也可能會出現類似Octopus Scanner的惡意軟體攻擊。</p> </div></div></div>
2020/5/29 18:52作者周峻佑https://www.ithome.com.tw/news/137953
美國安局警告，俄羅斯駭客正在開採Exim漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（National Security Agency，NSA）於本周<a href="https://www.nsa.gov/News-Features/News-Stories/Article-View/Article/2196511/exim-mail-transfer-agent-actively-exploited-by-russian-gru-cyber-actors/" target="_blank">警告</a>，俄羅斯駭客集團Sandworm正在開採Exim上既有的安全漏洞CVE-2019-10149，呼籲各大組織應儘快修補該漏洞。</p> <p>資安業者Qualys在去年6月揭露了CVE-2019-10149的細節，<a href="https://www.ithome.com.tw/news/131270" target="_blank">該漏</a>洞同時允許本地端或遠端駭客進行攻擊，只是難易度不同，成功開採將允許駭客執行任意程式。該漏洞可能讓未經授權的駭客，自遠端傳送特製的電子郵件，就能以根權限執行命令，諸如安裝程式、變更資料，或者是建立新帳號。</p> <p>Exim為一開源的郵件傳輸代理程式（Mail Tansfer Agent，MTA），除了被廣泛應用在Unix系統上之外，也是許多Linux版本的預裝程式，市占率高達57%。CVE-2019-10149漏洞波及2016年4月釋出的Exim 4.87及之後的版本，Exim已於2019年2月發表的Exim 4.92修補了該漏洞。</p> <p>不過，顯然還有許多組織尚未修補該漏洞，NSA表示，從去年8月起，Sandworm便持續地攻擊CVE-2019-10149漏洞，迄今仍不間斷，呼籲採用Exim的組織應儘快修補。</p> <p>NSA相信Sandworm團隊隸屬於俄羅斯情報局（GRU），Sandworm在2015年及2016年間曾針對烏克蘭的電廠展開攻擊，也曾在全球大規模散布NotPetya勒索軟體，並於2018年襲擊冬奧網站。</p> </div></div></div>
2020/5/29 15:25作者陳曉莉https://www.ithome.com.tw/news/137947
Google、微軟合作開發瀏覽器拼字檢查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨（25）日<a href="https://blogs.windows.com/msedgedev/2020/05/28/improved-spellcheck-microsoft-edge-83/" target="_blank">表示</a>，微軟和Google 聯合開發出新的拼字檢查功能，將可用於Edge及Chromium-based的瀏覽器。</p> <p>之前Edge和其他Chromium-based瀏覽器的拼字檢查是由開源軟體Hunspell實作而成。從Microsoft Edge 83開始，將加入新的Windows Spellcheck。和舊版技術相比，Windows Spellcheck支援更多語言和方言、提供客製字典，也支援URL、字首大寫字母縮寫詞及電子郵件信箱，因此不會有整篇文章許多詞語，都被加上擾人的紅色彎曲底線的情形。</p> <p>Windows Spellcheck是由Google和微軟的Chromium專案人員合作開發，讓所有Chromium瀏覽器都可以整合使用。</p> <p>這項功能會自動沿用Windows現有的偏好語言設定，因此大部份用戶無需動作，但使用者也可在Edge瀏覽器網址列輸入「edge://settings/languages」增加欲拼字檢查的語言。此外還可以在Windows設定區的「時區&語言」、「時區」中加入偏好語言。如果使用者未安裝必要的語言套件，Edge會退回使用原本的Hunspell拼字檢查。</p> <p>Chrome也可以找到這項功能，或是在瀏覽器輸入「chrome://flags」並搜尋「Use the Windows OS spell checker」，再重啟Chrome即可使用。</p> <p>Microsoft Edge 83已在上周（5/21）<a href="https://www.ithome.com.tw/news/137847" target="_blank">釋出</a>到Stable通道。</p> </div></div></div>
2020/5/29 15:30作者林妍溱https://www.ithome.com.tw/news/137948
明年Google搜尋將把網頁經驗納入排序依據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周<a href="https://webmasters.googleblog.com/2020/05/evaluating-page-experience.html" target="_blank">宣布</a>，明年的某個時刻就會把使用者的網頁經驗納入Google搜尋結果的排序依據，目前變更其排序演算法的時程未定，但至少會在6個月前公告，以讓網站業者有時間因應。</p> <p>目前Google搜尋的排序依據是來自於數百種指標，未來則會加入與使用者經驗相關的指標，現階段Google已確定它包含Chrome團隊先前所發表的Core Web Vitals，以及其它4項新指標。</p> <p>Core Web Vitals為Chrome團隊用來評估網站健康度的標準，由3項主要指標組成，包括網頁的載入速度，網頁的互動能力，以及網頁在視覺上的穩定性；至於新增的指標則分別是行動友善度、安全瀏覽、HTTPS，以及侵入性的插入廣告準則。</p> <p>簡單地說，只要網頁載入快速、提供良好的互動機制、具備舒適的閱讀畫面、支援行動瀏覽/安全瀏覽、採用HTTPS安全傳輸，以及不要在使用者一登入頁面就跳出遮蔽內容的廣告，就相對容易取得更好的搜尋排序。</p> <p>此外，過去Google行動搜尋曾替支援行動網頁加速（Accelerated Mobile Pages，AMP）的網頁，獨家建立了「Top Stories」功能，只要在行動裝置上搜尋新聞或主題，以AMP打造的網頁就會出現在「Top Stories」區域。但Google表示，在搜尋結果嵌入使用經驗相關指標之際，也會改變「Top Stories」的資格標準，任何提供良好使用經驗的網頁都可能出現在該區域，不讓AMP獨占鰲頭。</p> <p>由於Google理解目前全球仍在努力對抗武漢肺炎（COVID-19）病毒，因此決定明年才會採用新的排序演算法，且會在6個月前公告周知。</p> </div></div></div>
2020/5/29 15:55作者陳曉莉https://www.ithome.com.tw/news/137949
趨勢科技軟體驅動程式在微軟認證測試中作弊，被列入Windows 10黑名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技一項安全產品驅動程式，被發現在微軟認證測試時採取不誠實作法，而遭微軟列入封鎖名單，將不得安裝於Windows 10電腦上，不過趨勢科技否認有作弊行為。</p> <p>安全專家Alex Ionescu昨（28）日<a href="https://twitter.com/aionescu/status/1265481087544893440" target="_blank">發現</a>，趨勢科技的安全產品Rootkit Buster一項驅動程式tmcomm.sys，被加入微軟Windows 10 20H1(即2004版)的驅動程式封鎖名單，這表示它被排除在最新版Windows 10更新，而且是20H1才將之封鎖。巧合的是，《The Register》<a href="https://www.theregister.co.uk/2020/05/27/trend_micro_driver_windows_10/" target="_blank">發現</a>，趨勢科技也在周末將產品從官網下架。</p> <p>事情可能和安全研究人員Bill Demirkapi的一項<a href="https://billdemirkapi.me/How-to-use-Trend-Micro-Rootkit-Remover-to-Install-a-Rootkit/" target="_blank">發現</a>有關。他發現，Rookit Buster的tmcomm.sys有違反微軟Windows硬體品質實驗室（Windows Hardware Quality Labs，WHQL）認證測試規範的行為。</p> <p>通過認證測試要求的軟體可以獲得微軟簽章，並經由Windows Update部署到廣大用戶電腦上。這項測試對驅動程式的一項要求是，驅動程式只能從Windows的RAM非執行（non executable）非分頁集區（non-paged pool）呼叫記憶體資源，以免惡意程式碼注入到驅動程式記憶體被攻擊者執行。</p> <p>Demirkapi發現趨勢科技的tmcomm.sys會偵測它跑的電腦是否顯示正在進行WHQL的測試軟體driver verifier。如果偵測到，它就會從非執行區呼叫資源，但如果沒偵測到這個軟體，就會從執行區的非分頁集區呼叫，這是違反微軟規定的。至於趨勢科技為什麼這麼做不得而知，研究人員猜測是因驅動程式無法符合微軟規定，但為了通過測試選而作弊。</p> <p>趨勢科技否認有作弊行為，表示公司一向和微軟密切合作以確保通過嚴格的標準，不過並未說明其Rootkit Buster何以有偵測微軟測試套件的行為。至於何以驅動程式被Windows 10 20H1/2004封鎖，該公司表示是出於某個不相容問題。</p> <p>趨勢科技並表示，包括Rootkit Buster在內的所有安全軟體都會正常運作。</p> </div></div></div>
2020/5/29 14:55作者林妍溱https://www.ithome.com.tw/news/137945
川普簽署行政命令以去除社交網站的保護傘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/137895" target="_blank">放話</a>要強力監管或關閉社交網站的隔天，雷厲風行的美國總統川普（Donald Trump）就<a href="https://www.whitehouse.gov/presidential-actions/executive-order-preventing-online-censorship/" target="_blank">簽署</a>了一項行政命令，要求美國商務部督促美國聯邦通訊委員會（FCC）審查《通訊規範法》（Communications Decency Act ）第230條（Section 230）中，對社交網站的保護，以阻止社交網站執行言論審查。</p> <p>此事起因於川普在5月26日於Twitter上批評郵寄投票（Mail-In Ballots）為一詐欺行為，但隨後Twitter即在該推文下方嵌入一事實查核連結，聲稱川普的說法缺乏根據，川普在27日反擊Twitter干預2020年的總統大選，並說將強力監管或關閉這些堵住特定政黨聲音的社交網站，28日川普即簽署了此一行政命令。在短短的3天內，此事就演變成修法大戰，且將波及全美的社交平臺。</p> <p>《美國憲法第一修正案》對言論自由的保護，禁止美國政府直接審查網路內容，但諸如兒童色情等低俗內容則屬例外，為了規範這些內容，美國國會於1996年制定了《通訊規範法》，用以管控兒童可接觸到的低俗或淫穢言論，當中的第230條則是用來保障包括社交平臺與ISP在內的網路服務供應商，讓它們免責於使用者在該平臺上所張貼的言論，同時也賦予它們出自於善意、限制平臺上所出現之冒犯性內容的權力。</p> <p>然而，川普批評，Twitter選擇性地在特定的推文上加註警告，且其行為明顯反應出政治偏見，而且除了他之外，Twitter並未在其它政治人物的推文上加註警告。</p> <p>川普認為，這些網路平臺使用一致、不合理且毫無根據的理由，來審查或限制美國人的言論，有些網路平臺甚至還協助來自包括中國在內的外國政府散布不實資訊，更藉此獲利及發展。在現代的數位通訊環境中，美國應該要培養及保障不同的觀點，而第230條對網路服務供應商的保護，卻使得它們得以透過審查某些觀點來展開欺騙性的行動，扼殺自由與公開的辯論。</p> <p>其實第230條過去的爭議就很大，不管是保守派或自由派都曾批評過它，例如另一方認為它削弱社交媒體所必須承擔的責任，放任有害的訊息與不實資訊在網路上散布。此一行政命令最終有可能導致第230條失效，但川普也承認該命令可能會遭到法院的挑戰。</p> <p>各大社交平臺對此一行政命令的立場一致，同聲反對。Twitter說，第230條保護了美國的創新與言論自由，受到了民主價值觀的支持，企圖削弱它將威脅未來的網路言論及網路自由。而華爾街日報則引述了臉書與Google的看法，其中，臉書表示，限制或廢除第230條將對網路的言論帶來更多的限制，而且會處罰那些允許發表爭議言論的平臺，並鼓勵那些審查內容的平臺；Google同樣也反對川普的行政命令，強調Google的內容政策不涉及政治觀點，但破壞第230條則會損害美國經濟，以及美國在網路自由的全球領導地位。</p> </div></div></div>
2020/5/29 15:15作者陳曉莉https://www.ithome.com.tw/news/137946
【大話資安直播預告】你知道，臺灣半導體產業已經是APT攻擊鎖定對象了嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美中貿易大戰的過程中，美國為了掌握科技霸主的權力，除了針對科技大廠下達禁止技術輸出的禁令外，臺灣的護國神山台積電也確定在美國亞利桑那州打造五奈米晶圓廠，藉此凸顯臺灣在美中貿易大戰中，的確扮演重要的關鍵角色。</p> <p> </p> <p>不過，台積電這類半導體業者也是臺灣重要的核心產業，也是許多網路駭客或是網路間諜鎖定攻擊的目標，不論是為了竊取重要的智慧財產權（IP）或營業秘密，甚至是透過供應鏈攻擊手法，打進重要的龍頭產業或重要合作部門等，也凸顯資訊安全對於半導體產業的重要性。</p> <p> </p> <p>奧義智慧是臺灣近年來備受關注的資安新創產業，我們很榮幸邀請到奧義智慧資深資安研究員陳仲寬，於2020年6月4日（四）中午12點來到「大話資安」直播節目現場，以「你知道，臺灣半導體產業已經是APT攻擊鎖定對象了嗎？」為題，跟我們分享奧義智慧在最近2年來，觀察到幾家半導體科技業者面臨的APT（進階持續性威脅）攻擊手法和目的。</p> <p> </p> <p>在陳仲寬分享的案例中，不乏短期監控、調查根源的業者，也同時有長期觀察，找出背後攻擊目的的案例。而這次調查的結果中，可以發現到駭客集團鎖定技術文件和智慧財產的竊取，但這到底只是同業競爭中，單純的網路商業間諜手法呢？還是背後其實有國家支持的網路攻擊入侵呢？預知詳情，歡迎準時收到大話資安直播節目。</p> <p> </p> <p>＠時間：2020年6月4日（四）中午12點</p> <p> </p> <p>＠題目：你知道，臺灣半導體產業已經是APT攻擊鎖定對象了嗎？</p> <p> </p> <p>＠來賓：</p> <p>奧義智慧的資深研究員陳仲寬（網路暱稱寬寬）</p> <p> </p> <p>＠來賓簡介：</p> <p>陳仲寬現為奧義智慧的資深研究員，負責協調資安研究團隊。</p> <p> </p> <p>畢業於國立交通大學資訊工程學系學士、並於國立交通大學網路安全實驗室取得博士學位。主要研究方向專注於網路攻防、惡意程式分析、漏洞分析與挖掘與自動化攻防。並利用機器學習等技術協助自動攻防系統設計。</p> <p> </p> <p>在許多非學術技術會議，如：HITCONV、VXCON、Line Becks、FIRST(2020)、RootCon、CodeBlue OpenTalk，積極參與並發表其研究。發表了多篇學術會議與期刊論文，並參與許多大型資安研究計畫，主題包含：數位鑑識、事件處理及程式分析。</p> <p> </p> <p>此外，他致力於資安教育，在交大創立交大網路安全策進會，鼓勵並培訓學生參與國際型CTF比賽，並有兩次參與世界資安大賽DEFCON CTF決賽經驗。</p> <p> </p> <p>他為台灣資安社群相當活躍的成員，現為Chroot成員之一，並擔任HITCON/荷蘭HITB資安會議的審查委員。於漏動挖掘方面，他帶領BambooFox團隊挖掘了5個CVE漏洞以及數十個交大網路系統的資安漏洞。</p> <p> </p> <p>＠直播網址：<a href="https://www.facebook.com/live/producer/755715185251996/">https://www.facebook.com/live/producer/755715185251996/</a></p> </div></div></div>
2020/5/29 13:23作者黃彥棻https://www.ithome.com.tw/news/137940
NTT代管服務網路被駭，621家客戶公司資料疑外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本最大電信公司及ISP NTT昨（28）日<a href="https://www.ntt.com/about-us/press-releases/news/article/2020/0528.html" target="_blank">公布</a>代管服務本月中發生駭客入侵事件，可能導致NTT 代管服務的621家客戶公司資訊外洩。</p> <p>NTT於今年5月7日發現公司內部網路伺服器，有不知名人士未經授權存取的情形，並在5月11日確認此事。最終調查發現，NTT企業代管（Biz Hosting Enterprise，BHE）及Enterprise Cloud 1.0（ECL 1.0）的選擇性方案，遭駭客存取致使資訊外洩。NTT表示，一經發現已經立即終止存取行為、採取防範措施，並且通知可能受影響的企業客戶。NTT表示此事件並不波及一般消費用戶的個資。</p> <p>根據<a href="https://ecl.ntt.com/news/2020052801/" target="_blank">調查</a>，駭客從NTT新加坡某一臺機器入侵公司總部內部網路。他從海外突破網路防護系統連到BHE/ECL 1.0網段內的NTT日本一臺雲端伺服器（server B），之後突破防火牆進入NTT內部網路的主要伺服器（server A），並以此為基地發動遠端控制指令，在公司網路橫向移動，最後因AD（active directory）伺服器的異常登入而曝光。</p> <p>NTT證實，同在BHE/ECL 1.0網段上的建築資訊管理系統（位於server C上）遭到駭客存取，致使使用這項代管服務的621家企業客戶的公司資訊可能外流。不過NTT已經將代管服務客戶資料搬到新服務上，也把作為入侵中介點的Server B移除。NTT計畫最終將封鎖駭客入侵BHE/ECL 1.0網路的通路關閉，以切斷未來事件再發生的可能性。目前NTT同時持續調查日本總部的其他系統，是否在此次攻擊中遭到駭客存取。</p> <p>這是日本大型企業傳出最新一起被駭消息。去年6月三菱電機被駭，導致近萬名員工個資被竊取，<a href="https://www.ithome.com.tw/news/137745" target="_blank">疑似</a>有導彈有關的文件外流。NEC國防事業伺服器今年2月也<a href="https://www.ithome.com.tw/news/135637" target="_blank">傳出</a>被駭，2.8萬份檔案被不法存取。此外，提供文件管理委外服務的Canon Business Process Services，於今年2月被不法存取，致使其儲存的客戶奇異（GE）為數不詳的員工資訊<a href="https://www.ithome.com.tw/news/136547" target="_blank">外洩</a>。</p> </div></div></div>
2020/5/29 12:45作者林妍溱https://www.ithome.com.tw/news/137936
【科技抗疫實例：MyData Taiwan】臺灣自主健康管理工具登場，堅持找出防疫追蹤和隱私的平衡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了遏阻武漢肺炎（COVID-19）疫情擴散，多國政府透過不同數據監測的方式，來掌握確診者、居家管理或檢疫者的行蹤和健康狀況，而出現了公民隱私權益是否受侵犯的爭論。MyData Taiwan社群決定自己打造一款自主健康管理應用，試圖在防疫追蹤和公民權益尋找平衡。</p> <p>他們組成了LogBoard前線支援團隊，集結技術、法律、醫學等背景成員，聯手設計了一個可提供民眾自主記錄、管理個人健康資料，且顧及隱私的App工具MyLog，並進而讓App具分享機制，供民眾通過一次性網址，分享可呈現14天自主健康紀錄資訊的視覺化儀表板LogBoard，給醫事或疫調人員。</p> <p>他們以隱私始於設計（Privacy By Design）概念作為開發核心，於設計、規畫階段，就融入隱私保護機制。在不侵犯隱私、不監控使用者的前提下，MyLog App供使用者主動記錄自身健康狀況，包含體溫、症狀等，並供使用者以GPS定位的方式，記錄當下的所在地，幫助事後回想足跡，最重要的是，所有於App裡記錄的資料皆會儲存於手機本地端。</p> <p>考量App背景記錄足跡有利疫調，該團隊正計畫提供監控式記錄功能，但讓使用者可隨時控制功能的開與關。App主要技術開發者是新創公司Numbers的首席資料科學家楊琬晴，她強調，這個功能將朝容易開啟及關閉的方向設計，以落實個人資料權和隱私權的概念。</p> <h2><strong>藉分享機制供醫事人員掌握病症變化，而資料僅暫存雲端</strong></h2> <p>LogBoard儀表板是與MyLog App搭配的分享機制，會在網頁上視覺化地呈現使用者過去14天的健康紀錄，像是體溫線圖、症狀記錄表等，使用者可以透過網址將這些記錄分享給醫事人員或疫調人員，以利他們掌握病症變化。通過分享機制上傳於雲端的資料，都會在72小時後自動刪除，或是按使用者自行設定的時間點刪除。楊琬晴表示，App和儀表板不管是在資料收集或是資料呈現，都以個人為中心出發，這是與其他同類應用最大的差異。</p> <p>此外，MyLog App本身還運用了區塊鏈技術，會將使用者資料的雜湊值（Hash）註冊於區塊鏈上，來確保使用者的資料被完整保存，避免事後修改造成醫事或防疫人員所判斷的資料有誤。為鼓勵使用者不間斷地主動記錄，App還運用區塊鏈設計了一個獎勵機制，連續14天記錄後，使用者可以至合作商家兌換購物優惠，而運用區塊鏈技術可避免有心人士重複兌換優惠，或是竄改資料來達成14天的紀錄。</p> <h2><strong>App最初為慢性病患者而構想，疫情催化先用於防疫</strong></h2> <p>其實，MyLog App最初構想是為滿足慢性病患者的健康管理和資料分享需求，這個想法來自團隊中臺大藥學系副教授王繼娟對醫事現場的長期觀察。因病患就診時，常仰賴記憶回溯病症的變化，使得醫事人員無法有效掌握病況，而有些病患雖已將病症變化記錄於紙本或Excel表格，但面臨了不易與醫事人員分享的困擾。</p> <p>不過，就在3月上旬疫情迅速於全球蔓延之際，楊琬晴於自家公司投資人會議中，提及了自主健康管理紀錄工具的想法，意外地獲得身處美國投資人的關注，建議她何不把該構想套入眼前疫情的居家隔離情境來實作。楊琬晴道：「疫情是一個催化劑，讓我們把構想帶入社群，進而實現。」</p> <p>實際投入開發之前，團隊更進行了多次使用者調查，來思考使用者介面的設計。除了訪問接受居家檢疫或隔離的民眾外，也詢問負責監測檢疫或隔離民眾的里長和里幹事，還有疾管署疫調人員和醫事人員，來收集各方的需求。楊琬晴表示，這些資訊是重要基礎，有助於後續開發工程。</p> <p>特別的是，開發時程緊迫，該團隊的挑戰不是技術，而是如何落實隱私保護。除了App的設計避免侵犯公民隱私權益，楊琬晴表示，還需要一份相符的使用者條款。這正是團隊納入法律人士的用意，他們直接參與應用的開發討論，才能於短時間內擬定符合需求的使用者條款，且不僅考慮臺灣個資法，也遵循歐盟GDPR。MyLog App明確於申明中告知使用者，不會主動收集任何資料，實現個人隱私和資料保護。</p> <p>相較臺灣，個人資料權概念於歐洲更為興盛，為吸取歐洲對自主健康管理的想法，3月底時，團隊更帶著MyLog App的構想，參與瑞士政府舉辦的黑客松活動CodeVsCovid19，還有歐盟舉辦的黑客松活動EUvsVirus，而為提升臺灣民眾對，以個人為中心記錄健康症狀的關注，他們也參與了臺美防疫松活動，而儀表板LogBoard最終獲得評審青睞，成為優勝的5個提案之一。</p> <p>且MyData Taiwan不僅帶著MyLog App參與海外的黑克松活動，更提供多種語言的App，除了中文外，還提供英文、法文版本，更即將推出日文版。MyData Taiwan表示，MyLog App在設計之初，就是希望全世界都可以使用。</p> <p>MyLog App在5月初已上架Google Play，不過，受疫情影響，當前App需經過更為嚴格的審查機制，才可上架，所以團隊仍在進行Apple Store上架作業。王繼娟表示，希望這個App能讓民眾慢慢習慣帶著自己記錄的資料。下一步，MyLog App也會繼續發展慢性病患者應用場景，並將從臺大醫院開始推動，聚焦必須記錄每日健康資訊的心衰竭病患。文☉黃郁芸</p> <p> </p> <table align="center" border="0" cellpadding="0" cellspacing="0" style="width:600px;"><tbody><tr><td style="background-color: rgb(255, 255, 204);"> <h3><strong>【科技抗疫實例：】行政院、美國在臺協會</strong></h3> <h2><strong>臺美攜手舉辦開發競賽，集眾激盪更多抗疫好點子</strong></h2> <p>為集結公民的力量，找出更多創新的抗疫方法，行政院與美國在臺協會於4月下旬共同發起了「臺美防疫松cohack」活動，以黑客松形式，召集各領域人士運用科技打造應用方案，來解決因疫情產生的各類問題和需求，希望能進一步提升防疫效率。</p> <p>因應防疫第一線的迫切需求，該活動的各階段時程皆從需逾10天，壓縮為3至8天完成，像是報名時間就被縮減為短短8天。不過，臺美防疫松在這短短8天的時間內，取得不小的回響，共獲得53組提案，總計215人參與，且除臺灣、美國外，還吸引包含加拿大、英國、德國、匈牙利和日本，共7國的各領域專家提出創新的抗疫應用方案，來投入競賽。</p> <p>53組提案中，有21個提案是以公司名義提出，為最多，其次，有13個提案由個人提出，另外還有學校、醫院、政府單位、社群等團隊參與。最終優勝的5組團隊分別是Autonomy、LogBoard前線支援、跨領域研究室、緯謙科技和Gemini Data，他們來自業界、社群、學術等不同領域。</p> <p>5組獲獎團隊中，Autonomy其實是數位產權新創Bitmark設計的社區公共衛生預測工具，由臺灣、美國、英國和越南的跨國成員，共同開發。這個工具可收集、分析世界各地的社區資料，進而視覺化呈現社區整體風險的指數資訊，提供民眾參考。參與評選作業的衛福部資訊處處長龐一鳴表示，該工具以社區為單位收集資料，可幫助有社區感染狀況的地區，做好防疫決策。</p> <p>而對於可呈現使用者自我追蹤的健康資訊的儀表板LogBoard，龐一鳴對其可行性表示肯定。該發該工具的社群MyData Taiwan表示，相較歐美國家，臺灣因疫情受到控制，自主記錄健康狀況的需求不高，再加上，以個人為中心收集資料的概念不盛行，所以希望通過臺美防疫松，推廣該工具以及提高民眾對個人資料權的關注。</p> <p>跨領域研究室打造了政府紓困方案整合性查詢平臺，讓民眾可用身分類別，查詢符合的紓困方案。龐一鳴表示，紓困案由各政府部門自行辦理，該平臺統整了各紓困案的邏輯，可方便民眾搜尋相符的方案，解決當前民眾的困擾。</p> <p>緯謙科技則提出了自家科技防疫產品TeamsEP，供防疫人員掌握居家管理或檢疫者的健康狀態，以及藉Wi-Fi訊號偵測匡列對象是否有違規外出的狀況。一同參與評選作業的Open Data聯盟會長彭啟明表示，相較利用手機訊號定位有個資監控疑慮，用Wi-Fi訊號偵測行動範圍提供了另一個選擇。</p> <p>Gemini Data提出的自家數據分析產品Gemini Explore，可分析公衛部門的疫調資料，並進一步產出視覺化圖表。龐一鳴表示，圖像化溝通有利於追蹤個案的關聯性，且對政策溝通也有幫助，可更容易向大眾說明公衛的專業內容。文⊙黃郁芸</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2020/5/29 11:03作者黃郁芸https://www.ithome.com.tw/news/137930
是誰在大量操縱訊息？Google公布首個協作影響力行動公告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的威脅分析小組（Threat Analysis Group，TAG）每天都會追蹤由政府或國家支持的駭客集團行動，特別是涉及Google、Google產品或Google使用者時，這些駭客有時是為了蒐集情報或竊取智慧財產，有時是鎖定異議份子展開攻擊，還有些則是專門從事協作影響力行動（Coordinated Influence Operations）或散布不實資訊，Google本周則公布了今年第一季的協作影響力行動公告，而這也是Google首個與操縱訊息有關的報告。</p> <p>根據<a href="https://blog.google/threat-analysis-group/tag-bulletin-q1-2020" target="_blank">該公告</a>，今年1月Google關閉了3個與伊朗有關的YouTube頻道，這3個頻道與伊朗政府贊助的「國際虛擬媒體聯盟」（IUMV）有關，在頻道上重製了IUMV的內容，報導伊朗正在罷工以抗議伊拉克與美國的石油政策。</p> <p>2月Google則關閉了一個廣告帳號與82個YouTube頻道，這些頻道則與埃及有關。主要散布的內容為推崇沙烏地阿拉伯、阿聯酋、埃及與巴林政府，並批評伊朗與卡達。</p> <p>3月Google似乎忙了些，關閉了11個與印度有關的YouTube頻道、68個與土耳其有關的YouTube頻道、17個與埃及有關的YouTube頻道、78個與塞爾維亞有關的YouTube頻道，以及18個與印尼有關的YouTube頻道，以及與這些頻道相關的廣告帳號及開發人員帳號。</p> <p>上述由各國政府支持的協作影響力行動，並非只有Google發現，在每個移除決定中，Google都列出了發現同樣活動的組織，例如社交平臺分析業者Graphika，或者是Facebook與Twitter。</p> <p>其實從今年3月以來，Google就移除了超過1,000個正進行大規模協作活動的YouTube頻道，Google表示，這些頻道大多數時候上傳的是垃圾與非政治性內容，但少數時候會上傳中文的政治內容，與Graphika的發現相呼應。</p> <p>Graphika在去年<a href="https://graphika.com/reports/spamouflage/" target="_blank">揭露了</a>「垃圾郵件龍」（Spamouflage Dragon）活動，顯示從2019年9月起，就有駭客藉由在YouTube、Twitter及Facebook等社交平臺上建立假帳號，或挾持他人帳號，來攻擊香港的抗議活動。</p> <p>Google表示，希望此一新的公告能夠協助其他也在追蹤這些集團的研究人員，或供資安業者與其他平臺驗證自己的發現。</p> </div></div></div>
2020/5/29 11:15作者陳曉莉https://www.ithome.com.tw/news/137932
Red Hat Runtimes加入Quarkus框架支援K8s原生Java開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/about/press-releases/red-hat-advances-java-kubernetes-delivers-quarkus-fully-supported-runtime-cloud-native-development">紅帽在自家Red Hat Runtimes完整支援Quarkus開發框架</a>，紅帽提到，如此便可將Java帶入現代雲端原生應用程式開發環境中，像是微服務、容器和無伺服器等，支援Java開發人員使用雲端基礎設施，開發出高效且規模更加靈活的應用程式。</p> <p>Red Hat Runtimes是Red Hat Middleware的一部分，整合了可創建雲端原生應用程式的框架以及元件，其提供一系列適用於雲端基礎設施的輕量級Runtime以及框架，讓開發人員可以靈活地選擇開發工具，創建雲端應用程式，並且縮短開發和交付時間。</p> <p>紅帽提到，由於Java當初是為單體式應用程式設計，而非專用於雲端應用程式，因此Java程式具有啟動速度慢，使用過多記憶體等缺點，而且也無法在輕量級框架中運作，而Quarkus則要來解決這些問題，連接雲端技術以及廣大的Java生態系。</p> <p>Quarkus是Kubernetes原生的Java框架，由一些Java函式庫以及標準組成，專為GraalVM和HotSpot量身定做，Quarkus的目標就是讓Kubernetes和無伺服器平臺，能夠良好地支援Java，提供一個分散式應用程式基礎架構的開發框架。Quarkus可以縮短程式啟動時間，並根據需要和使用情況，自動縮放微服務節省成本，且因為Quarkus能大幅減少應用程式的大小和映像檔容量，還可節省儲存空間。</p> <p>Quarkus可和常見的Java標準、框架與函式庫一併使用，而且在開發過程，也提供即時程式設計以及統一配置等功能，由於程式碼更改便會自動反應在執行中的應用程式上，能使開發人員加快開發迭代的速度，進而提高生產力。由於Quarkus採用了Kubernetes原生開發堆疊，因此讓使用者可以更有效率地交付應用程式。</p> <p>紅帽還提到，因為Quarkus消耗較少的記憶體，且應用程式啟動速度較短，能夠快速順暢地啟動應用程式提供服務，在雲端資源計算上，每個CPU工作負載密度更高，也就代表更好地資源利用率，因此能節省更多成本。Quarkus應用程式也具有彈性和可擴展性，可以根據情況擴充以滿足需求。</p> <p>Quarkus內建一個擴充函式庫，擁有200多種擴充標準、函式庫以及技術，包括許多雲端原生框架和工具，像是RESTEasy、Hibernate與Eclipse MicroProfile等，其中也有一些紅帽的雲端服務擴充，例如Red Hat AMQ Streams、Red Hat AMQ Broker與Red Hat Fuse等。</p> </div></div></div>
2020/5/29 11:30作者李建興https://www.ithome.com.tw/news/137907
HackerOne成立8年來已頒發1億美元抓漏獎金，預計只需5年就能突破10億美元門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞通報及獎勵平臺HackerOne本周<a href="https://www.hackerone.com/blog/thanks-being-part-journey-100-million-bounties" target="_blank">宣布</a>，自該平臺於2012年成立以來，已頒發了1億美元的抓漏獎金。</p> <p>HackerOne的發跡是個有趣的故事，在2011年時，兩名荷蘭駭客Jobert Abma與Michiel Prins立志要尋找全球前一百大高科技公司的安全漏洞，專案名稱為Hack 100，他們也順利地找到了這些公司的漏洞，包括臉書、Google、蘋果、微軟與Twitter等，但當他們與這些科技公司聯繫時，多半被忽略，只有臉書營運長Sheryl Sandberg正視此事，並把資訊轉交給負責產品安全的Alex Rice，隨後Rice即與Abma、Prins及Merijn Terheggen在2012年共同成立了HackerOne。</p> <p>Abma及Prins表示，HackerOne平臺收到的第一筆金額較大的抓漏獎勵，就是來自臉書，分別拿到3,000美元與1,000美元的獎金，到了2017年的第三季，透過該平臺頒發的獎金才成長到2,000萬美元，花了5年的時間，但後來的8,000萬美元卻只花了3年。</p> <p>HackerOne花了8年的時間，提出了17萬個有效漏洞，頒發了1億美元的抓漏獎勵，但估計全球應該還存在1億個安全漏洞，預測在未來的5年內就可達到10億美元獎金的門檻。</p> <p>此外，在這8年來，與HackerOne平臺合作的駭客已超過70萬名，在該平臺執行抓漏獎勵專案的客戶則有1,900家。該平臺相信，駭客行動有助於增進資安研究人員的能力與技術，預測在未來的15年內，該平臺將能培養出超過500名的資訊安全長，讓這些技術熟練且進取的白帽駭客，協助減少企業與政府機關的安全風險。</p> </div></div></div>
2020/5/29 11:35作者陳曉莉https://www.ithome.com.tw/news/137933
擴大打擊假資訊，臉書要求文章瘋傳的帳號驗證身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為打擊假資訊或假帳號，臉書昨（28）日<a href="https://about.fb.com/news/2020/05/id-verification-high-reach-profiles/" target="_blank">宣布</a>將要求文章快速在網路上散布的臉書帳號擁有者驗證身份。</p> <p>臉書為了確保平臺內容真實性，且來自真實帳號，而非機器人或用假身分開設的帳號。2018年已經<a href="https://www.ithome.com.tw/news/125142" target="_blank">開始驗證</a>大型粉絲專頁的管理人身份，現在計畫把ID驗證措施，擴大到美國境內的當紅帳號。</p> <p>未來臉書會要求長期有「不實」行為的個人，或是文章忽然在美國境內被大量瘋傳的個人驗證身份。臉書說，希望用戶能確知他們所讀內容背後作者的身份，這對閱讀者眾的內容來說更是重要。</p> <p>臉書會要求這些人提交特定的身份證明文件，如果他們交出的身份資料和帳號上的資料不符，或是拒絕驗證身份，臉書將限制這些內容的散布，減少曝光次數。而如果這些人同時也是粉絲專頁管理員，也會被要求填具粉絲專頁出版許可，等到通過現有的粉絲專頁<a href="https://www.facebook.com/help/1939753742723975" target="_blank">許可流程</a>，他們才能從粉絲專頁上張貼文章。</p> <p>臉書也強調當紅臉友的身份資料會被安全保存，不會公布在臉書的資料欄上。</p> <p>這家社群平臺表示，驗證流程是建立臉書可信賴度及提升用戶體驗工作的一部份。因為今年美國將舉行總統大選，臉書尤其需要花心力介入。美國情治單位宣稱俄羅斯及其他國家透過假新聞、假帳號及買政治廣告方式，干預2016年美國總統大選，而臉書置之不理的態度，正是助長外國勢力滲透的幫手。</p> </div></div></div>
2020/5/29 11:45作者林妍溱https://www.ithome.com.tw/news/137934
研究人員準備開源USB驅動程式漏洞測試工具USBFuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自美國普渡大學（Purdue University）的Hui Peng，以及來自瑞士洛桑聯邦理工學院（EPFL）的Mathias Payer，近日公布了有一個專門偵測USB驅動程式漏洞的USBFuzz框架，在Linux子系統、FreeBSD、macOS、Windows 8 及Windows 10等系統上總計找到26個新的漏洞，並準備將USBFuzz開源。</p> <p>研究人員說明，用來連結外部裝置與主機的USB介面，將允許駭客透過惡意裝置來攻擊作業系統核心與裝置驅動程式，然而，核心與驅動程式的開發都是奠基在信任所連結的裝置上，驅動程式只會用來判斷硬體的故障而非攻擊，因此，要測試驅動程式的安全性，必須同時橫跨硬體與軟體的疆界。</p> <p>而他們所打造的USBFuzz是個可攜、靈活且模組化的框架，能夠針對USB驅動程式進行模糊測試，它是利用軟體來模擬USB裝置，以提供隨機的裝置資料予驅動程式。</p> <p>由於該模擬裝置是在裝置層級上運作，因此很容易移植到其它平台，可用來測試基於Linux核心的各種USB驅動程式，以及其它作業系統，或者是專注於分析USB視訊攝影機驅動程式。</p> <p>研究人員透過USBFuzz找到了20個既有的USB驅動程式漏洞，以及26個新漏洞，這些新漏洞有16個存在於Linux子系統上，1個在FreeBSD，3個在macOS，4個在Windows 8與Windows 10，還有1個在Linux USB主機控制驅動程式中，另一個在USB視訊攝影機驅動程式中。與Linux有關的漏洞中，研究人員已修補了當中的11個，取得了10個漏洞編號。</p> <p>Peng與Payer認為，現有的USB模糊測試器若不是效率太低，就是無法移植，而且只能探測驅動程式的功能，而USBFuzz則能支援廣泛的模糊測試，或是聚焦於特定裝置的驅動程式上。</p> <p>其實這兩名研究人員原本計畫要在今年8月舉行的Usenix安全研討會（Usenix Security Symposium）上發表該研究成果，只是ZDNeT率先<a href="https://www.zdnet.com/article/new-fuzzing-tool-finds-26-usb-bugs-in-linux-windows-macos-and-freebsd/" target="_blank">將它曝光</a>。Payer已於網站上公布了研究內容，並準備將USBFuzz透過GitHub開源，不過預計的開源網址尚無任何內容。</p> </div></div></div>
2020/5/29 10:55作者陳曉莉https://www.ithome.com.tw/news/137929
Google運用聯合分析技術，可保護用戶隱私又能改善服務品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google擴展聯合學習（Federated Learning）技術的想法，發展出<a href="https://ai.googleblog.com/2020/05/federated-analytics-collaborative-data.html">聯合分析（Federated Analytics）技術</a>，能夠在用於改善Google自家鍵盤Gboard，以及音樂辨識應用的準確度。Google表示，這項技術最大的優點，就是讓使用者的資料留在本機上，但是工程師又能獲取匯總分析資料改善服務。</p> <p>聯合學習是2017年才出現的新興機器學習技術，能夠跨多個裝置訓練模型，以非集中的方式收集資料，因此能保證使用者的資料不會被共用，Google目前運用這項技術，改善Android Gboard的下一個單詞建議，以及Android Messages的智慧回覆品質。</p> <p>隨著這些應用的成熟，聯合技術被重新思考用來處理更基本的問題，像是計數或是比率等運算，Google提到，這些問題跟機器學習沒有關係，但是可以用來分析用戶行為，以改進產品體驗。Google發展出了一個稱為聯合分析的技術，可以對儲存在使用者裝置中的資料，應用資料科學方法，與聯合學習一樣，其概念都是在各裝置上，進行本地端運算，僅回傳匯總資料給產品工程師，不會提供來自裝置上的資料。</p> <p>聯合分析的發展，一開始是為了用來支援聯合學習，因為聯合學習訓練出來的模型，工程師難以取得用戶實際資料進行實測評估，因此Google決定讓評估模型品質這個工作，也在用戶的手機上進行。</p> <p>Google舉例，當Gboard工程師想要評估單詞預測模型的品質，參與實驗的手機下載了候選模型，並在本地端計算該模型的預測和實際輸入單詞間的差異，並上傳比對結果，這過程不會修正模型權重，也不改變Gboard輸入體驗，只是單純收集資料，透過多個使用者手機上傳的指標，工程師就能了解模型的效能。</p> <p>除了模型評估之外，聯合分析還被用在支援Google Pixel手機上的正在播放（Now Playing）功能，正在播放工具可顯示環境正在播放的音樂，音樂辨識的工作不需要連接網路，僅利用手機上的曲目指紋資料庫進行辨識，不過，因為曲目指紋資料庫僅會存放熱門音樂，並且該功能只可辨識資料庫中的歌曲，而相同地區使用者接受到的資料庫都一樣，因此在資料庫中存放對的歌曲便非常重要。</p> <p>為了評估每個區域資料庫的品質，工程師要能夠回答一些基本的統計資料，像是哪一種歌曲最常被辨識，這個時候聯合分析技術就能派上用場。當正在播放功能辨識出歌曲時，便將曲目名稱記錄在歷史紀錄中，用戶可以查看最近辨識的歌曲，在手機進入閒置並連接上無線網路時，Google聯合學習和分析伺服器，便會發出邀請，將數百臺手機一起加入一輪聯合分析計算。</p> <p>這一輪分析中，每臺手機都會計算其歷史紀錄中的歌曲辨識率，並使用安全聚合協定加密其結果（下圖），將結果發送到聯合分析伺服器，該伺服器沒有單獨解開加密結果的金鑰，只有當加總同輪中的所有手機加密計數，伺服器才能解密結果。這讓Google工程師可以改進曲目指紋資料庫，但是個別使用者的喜好又不會被暴露，Google提到，他們利用這個技術，提升所有Pixel手機總體歌曲辨識率5％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(20).png" style="width: 400px;" /></p> <p>這項技術可以被應用在許多功能上，像是Gboard工程師能探索用戶常輸入的新單詞，並且添加到拼寫檢查和輸入辭典中，另外，Google也運用這項技術，找出模型難以辨識的資料類型。Google提到，聯合分析方法還在發展初期，需要提高準確度以回答更多資料科學問題。</p> </div></div></div>
2020/5/29 11:05作者李建興https://www.ithome.com.tw/news/137897
Google Cloud Functions開始支援Java 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布自家的無伺服器服務<a href="https://cloud.google.com/blog/products/application-development/introducing-java-11-on-google-cloud-functions">Cloud Functions開始支援Java 11</a>，在去年的時候，Google提供了Java 8的Alpha測試版本，而現在則是提供Java 11的Beta版本，提供更新的Java長期支援版本，另外，Cloud Functions也良好地支援Java Functions框架、Spring Cloud Functions以及Micronaut。</p> <p>Cloud Functions是一個事件驅動的無伺服器運算平臺，讓使用者不需要配置伺服器就能執行程式，而現在Google在Cloud Functions中支援Java 11，用戶可以在上面執行Java、Kotlin、Groovy以及Scala等JVM語言。</p> <p>用戶可以開始使用Java 11在完全託管的環境中，部署以Java 11開發的函式，並且可以存取專用VPC網路中的資源，Java函式會根據負載自動縮放運算資源，用戶也可撰寫HTTP函式來回應HTTP事件，或是撰寫後臺函式以處理各種雲端和GCP服務事件。</p> <p>在框架支援上，支援開源的Java Functions框架，能用來編寫可以移植的Java程式，用戶可先在本地端開發函式，並在之後將其部署到Cloud Functions或是其他Java環境。</p> <p>除了Google的Java Functions框架之外，現在Micronaut框架和Spring Cloud Function專案，也都對Cloud Functions提供開箱即用支援。Micronaut提供了Functions Java 11 Runtime專有支援，用戶能以Micronaut開發模型代替Functions框架的HttpFunction介面實作。</p> <p>而Google也與Spring團隊合作，推出Spring Cloud GCP專案，讓Spring Boot用戶可以簡單地在Google雲端上開發程式，最近還更新推出了Spring Cloud Function GCP配接器（Adapter），Google提到，由於單純的Java函式就僅是函式，因此不需要修改程式，就能將Spring Cloud Function應用程式轉到Cloud Functions上運作。</p> </div></div></div>
2020/5/29 11:10作者李建興https://www.ithome.com.tw/news/137903
開放銀行第二階段Q3上路，18支消費者資訊開放API和規範細節終於公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委黃天牧日前宣布臺灣開放銀行（Open Banking）第二階段將在今年第3季上路，並先採取試辦模式。而在5月26日一場線上活動中，負責TSP媒合的政大，以及負責制定Open API技術與資安標準的財金公司，共同揭露開放銀行第二階段最新進程與規劃。</p> <p>政大金融科技中心主任王儷玲在說明會表示，開放銀行第二階段的開放將是我國開放銀行建立健全體制的關鍵時刻。許多的技術、資安與法遵規範都必須在這階段建置完成，臺灣的開放銀行才能持續往前邁進。</p> <p>王儷玲還提到，該階段包括了建立技術合規標準、API共同驗證測試標準、資安風控技術認證、提供合規雲端資安合規環境、後續資安與法遵合規稽核查驗、爭議處理與責任歸屬、資安保險等機制。</p> <p>相較於開放銀行第一階段是開放公開的非交易面金融資訊為主，第二階段開放的消費者資訊，是以個人金融資訊以及低風險金融申請服務為主，可查詢帳戶與簡易信用卡服務。王儷玲表示，該階段共有18支API，應用項目分為存款、貸款、其他銀行服務。應用情景像是帳戶餘額查詢、帳戶整合、信用卡比價、貸款比價、投資理財推薦、信用卡設定等。</p> <p>甚至，到未來第三階段要開放的交易面資訊，目前規劃是以消費者支付、交易功能為主，應用情境像是信用卡點數使用、代收代付等。</p> <p>不過，她提到，銀行對於把資料開放出去有所疑慮，加上營運標準難達成，以及連線標準門檻高，還有雙方獲利模式不明，都是開放銀行推行阻礙。為此，政大在上個月的說明會，提到要<a href="https://www.ithome.com.tw/news/137002">為TSP合規提供輔導</a>，讓TSP先符合銀行在資安與法遵的各種要求，再來與銀行談業務上的合作。</p> <h3><strong><span style="color:#800080;">第二階段開放那些消費者資訊查詢？API應用項目首度公開</span></strong></h3> <p>財金公司企劃部專案經理時薇茜則在說明會揭露開放API現行業務推動進程，與第二階段消費者資訊查詢規劃，以及API應用項目。</p> <p>她提到，財金公司在去年底已完成第二階段消費者資訊查詢技術與資安標準制定。今年，要進行第二階段技術與資安標準的核備，並且，協助銀行就核定版的技術與資安標準，進行業務申請試辦。</p> <p>此外，今年財金也會持續觀察國際間如英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OPEN%20API%20%20(4).png" /></p> <p>根據銀行公會自律規範修訂重點，第二階段消費者資訊查詢，新增提供金融往來資訊以及申請金融產品與服務。時薇茜解釋，金融往來資訊是指消費者基本資料與銀行間往來的金融帳戶與產品相關資料，比如帳戶餘額查詢、信用卡交易資訊、金融往來歷史交易記錄資訊。另一個則是消費者向銀行申請金融產品與服務，像是存款帳戶開戶申請、信用卡申請、信用卡附加功能申請、電子帳單申請及取消等。</p> <p>自律規範提到，金融機構與TSP業者雙方的合作需簽訂合作契約。而TSP與金融機構透過財金開放API平臺進行訊息傳輸，則會由TSP業者簽訂平臺使用規範聲明書，算是合作契約的附件，在申請上線時，則由金融機構代為交付。</p> <p>自律規範也規定，金融機構需取得消費者事前同意，就能提供消費者資料給TSP業者，並須留存相關記錄。時薇茜進一步提到，在流程上，TSP要協助使用者去金融機構獲取金融往來資訊前，得先以業者身份獲取使用者服務需求與同意，使用者在這架構下，再導頁到金融機構進行OAuth身份認證與資料授權。</p> <p>財金公司提到，去年底，銀行公會制定的自律規範，以及財金訂定的技術與資安標準都已函報給金管會。金管會上半年仍在進行資料整合與審查作業，她透露，金管會近期可能就會以現行自律規範與技術與資安標準有一個核定，或者是有修訂建議會提供公會或財金。</p> <p>時薇茜提到，今年下半，金融機構可與合作的TSP業者，針對現行核備的自律規範與技術與資安標準，來提報金融機構業務申請試辦，試辦內容可依據金融創新試辦要點來進行。然而，因第二階段涉及使用者個人金融往來資訊，很直接影響到消費者權益，參考國際間趨勢，且為了謹慎與穩健辦理業務，所以會透過金融機構用業務試辦方式，進行第二階段自律規範、技術與資安標準的實證，後續再將實證結果報給主管機關參考。</p> <p>有別於第一階段參與的TSP業者多為FinTech新創，財金公司指出，未來與銀行跨域合作的TSP業者，不管是科技新創、電商業者、電信業者，甚至是其他金融機構，只要符合共通的業務與技術規範及資安標準框架這個前提，都能與金融機構合作拓展開放銀行場域，實踐金融服務多樣性。</p> <p>財金公司更首度揭露第二階段API應用項目，共分為存款、貸款、其他銀行服務3大類，共有18支API，比如貸款類就開放了10支API，像是申請信用卡道路救援、申請信用卡本期帳單分期、查詢信用卡當期帳單資訊、查詢信用卡帳單交易明細等。不過，財金強調，這些未來都會滾動式調整修訂。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/OPEN%20API%20%20(9).png" /></p> <h3><span style="color:#800080;"><strong>第二階段三大技術要求重點：訊息處理、憑證作業和認證機制</strong></span></h3> <p>在這場線上會議中，財金公司研發部組長洪國峻也針對開放API第二階段測試驗證進行說明，從中可以進一步看到未來第二階段在金融機構與TSP之間的技術運作方式，主要有三大重點，訊息處理、憑證作業和認證機制的要求。</p> <p>在訊息處理部分，因應各金融機構OAuth處理機制不同，同時為簡化連線方式，OAuth訊息由TSP業者直連金融機構。而API訊息則由TSP業者介接財金後，再由財金轉接金融機構。</p> <p>在憑證作業部份，銀行、TSP、財金端皆採用TLS雙向認證，而雙向認證會用通訊憑證辦理。所以，當TSP與金融機構簽署合作並完成註冊時，金融機構將先取得TSP通訊憑證。而金融機構API訊息如果是經由財金介接，則須提供銀行通訊憑證與先前取得的TSP通訊憑證給財金，做雙向憑證設定。接下來，財金將提供財金的通訊憑證給金融機構，金融機構再將財金通訊憑證交付給TSP業者。</p> <p>而根據安控作業規範，在認證機制上，TSP業者的代理存取端與金融機構的資源伺服器或授權伺服器間，應建立認證機制。要遵循TLS雙向認證或是以簽章的JSON Web Token（JWT）作認證，採用憑證者，則要驗證憑證與憑證的正確性與有效性。另一個是，要用事先設定的來源網路位置（IP）正面表列管制。</p> <p>洪國峻提到，為了因應這兩點措施，財金公司在技術標準規劃，如果TSP直接介接金融機構，金融機構則依現行作法因應即可。但如果TSP由財金公司轉接金融機構，將採TLS雙向認證方式，財金在API訊息結構Http Header中，將提供TSP業者資訊提供給金融機構辦理認證作業，包括憑證序號、發證單位、來源IP，這三個欄位則分別放在X-CSN、X-ISR、X-CIP，金融機構收到這三個欄位，就可以遵循安控作業規範去做事前認證。</p> <p>為了確保提供API的銀行，以及介接的TSP雙方技術設計都能符合規範，財金也設計了兩階段測試驗證。包括金融機構測試，以及TSP與金融機構測試，前項測試包含訊息收送、加解密處理；而TSP與金融機構間的測試，除了訊息收送、加解密處理，還多了一個認證授權（OAuth）。</p> <p>洪國峻進一步解釋，在金融機構測試部分，主要是要驗證金融機構第二階段技術標準的API訊息實作完成度，由財金公司依據測試範圍驗證金融機構API訊息。他表示，測試範圍包括查詢臺外幣活存存款帳戶餘額、查詢臺外幣活存存款帳戶交易明細資訊這2項存款類的API，金融機構要在測試前提供Access Token供財金公司後續辦理測試。</p> <p>而財金公司與銀行端都需實作TLS雙向認證。所以，金融機構在測試前須交付API yaml檔與銀行通訊憑證給財金，財金則要交付自家的通訊憑證，提供銀行設定雙向認證。接下來，財金就會辦理API上架。</p> <p>在TSP與金融機構測試這階段，則是要驗證TSP與金融機構在第二階段技術標準的實作整合性，由TSP業者與金融機構依據業務規劃進行相關測試，財金公司則會在測試過程中協助排除雙方遭遇的問題。</p> <p>洪國峻表示，該階段目前規劃兩大類測試範圍，一類是認證授權，共有4支API需實作，包括認證授權、取得存取代碼、取消存取代碼、檢核存取代碼。另一類測試，則依照金融機構在第二階段要提供的業務範圍進行測試，這部分則由金融機構自選。文⊙李靜宜</p> </div></div></div>
2020/5/28 19:34作者李靜宜https://www.ithome.com.tw/news/137909
【科技抗疫實例：臺灣開放資料】口罩地圖應用吸引他國仿效，但也凸顯臺灣開放資料4困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近來臺灣的防疫表現全球有目共睹，除了官方第一時間坐鎮指揮，擬定各項政策來防堵疫情，民間力量也沒有缺席，尤其行政院數位政委唐鳳主導開放藥局資訊與口罩庫存資料後，催生了上百個由民間社群自主開發的口罩地圖應用，有效紓緩且分散了蜂擁到各大藥局買口罩的人潮，確保一天400萬片口罩能分配到民眾手中。</p> <p dir="ltr">這一波透過開放資料凝聚公私力量抗疫的臺灣浪潮，更引起國際間的關注，不僅影響日本東京展開與民間社群合作，首度讓社群負責建置整個疫情專網，南韓更直接跟進臺灣的口罩實名制政策，並釋出開放資料供民間使用。</p> <p dir="ltr">長期浸淫在開放資料領域的江明宗，也參與了這一波臺灣口罩地圖開發潮，他以這次實際防疫來說明開放資料的重要性。臺灣在疫情初期，各大便利商店、藥局的口罩幾乎被一搶而空，當時出現的第一個社群自製的超商口罩地圖，需要靠人力一筆一筆回報各地超商口罩庫存量，才能提供民眾查詢，還只能顯示充足、量少、售完三種指標；但官方開放藥局與口罩庫存資料後，不僅能一次釋出六千多個藥局的庫存資料，結合臺灣原有的健保資訊系統，還可以根據每個人的實名購買紀錄，即時更新口罩存量。</p> <p dir="ltr">江明宗說，以臺灣而言，雖然邊境管制、口罩配給政策才是防堵疫情的關鍵，但上而下的開放資料，可以減少人工統計、抄寫可能導致的錯誤，在開發者加工成各種口罩查詢應用後，加速正確資訊的傳遞，減少民眾買不到口罩可能引發的恐慌與社會混亂，「開放資料某種程度上扮演穩定人心的角色，降低了民怨。」</p> <p dir="ltr">這次臺灣開放資料甚至被譽為「鍵盤救國」成功案例，獲得多國政府的重視。比如日本東京政府就參考臺灣公私協同合作的模式，展開與民間社群Code for Japan的合作，開放資料讓社群建置疫情分析網站，這些資料不僅包含各地檢驗與確診病例數，更細分為住院、重症、在家隔離人數等，甚至連疫情相關的電話諮詢數、地鐵搭乘人數、政府訪客數等資料都一併釋出，由社群設計成圖表，來呈現疫情趨勢變化。不僅如此，開發者也開源程式碼，讓日本其他地方政府也能快速響應。</p> <p dir="ltr">南韓更直接仿效臺灣口罩政策，採取口罩實名制並釋出開發者所需資料的API，讓社群能更快速運用資料來開發相關應用。不過，江明宗也指出，由於臺灣健保系統已經與各藥局連線，能在民眾用健保卡購買口罩時，自動更新庫存資訊，甚至每30秒、1分鐘就能查詢最新資料；反觀南韓政府只釋出藥局的指標性庫存資料，許多資料也還仰賴人工更新，導致更新時間延遲，「南韓很難短時間內跟進。」</p> <p><strong><span style="font-size:28px;">從臺灣口罩地圖來看開放資料挑戰</span></strong></p> <p dir="ltr">不過，在社會上一片讚揚聲浪中，江明宗反而看見了臺灣開放資料的困境，他大致整理出了四項。</p> <p dir="ltr">第一項困境是開放資料的品質考驗，尤其是政府開放資料的格式，直接影響了資料的開發與使用。他解釋，這次政府開放的藥局資訊與口罩庫存資料，採Excel表單檔案釋出，卻沒有包括藥局確切的地理座標，後續釋出的藥局座標資料也未經過驗證，反而要靠民眾回報錯誤來一一修正。相較之下，後來跟進的南韓在開放藥局資料時，就直接採API形式提供，更包含了完整的座標資訊，來貼近開發者的需求。</p> <p dir="ltr">兩國作法相比，不僅凸顯了臺灣開放資料的格式與品質，還不夠貼近使用者需求，「也凸顯了跨部門資料欠缺共享利用的問題。」江明宗進一步指出，過去很多工廠資料、公司登記資料沒有精確的地理座標資訊，其實，「這些資料如果過去有與民政系統連結，經過規格化就可以解決。」舉例來說，如果民政單位直接提供住址查詢API的服務，在輸入精確的住址資訊後，就能透過系統取得唯一的識別碼與地理座標，讓資料更易於使用，這次藥局座標資料不全的問題也就迎刃而解。</p> <p dir="ltr">第二項，這次疫情資料開放範圍過於侷限，只開放了口罩與藥局資料。後來，江明宗指出，社群陸續向政府申請了小維度的地區病例數、居家隔離人數、檢驗人數等資料，但卻遲遲沒有得到政府明確的回覆，政府機構與社群溝通也不足。反觀日本，東京府與Code for Japan的合作，不僅開放資料，甚至直接將整個官方疫情資訊入口網站交給社群建置，從結果來看，雙方互動密切，社群提出的資料需求，也能獲得更大的討論空間。</p> <p dir="ltr">第三個困境是，臺灣開放資料至今缺乏一套制度化的規範，「這次開放資料會不會只是特例，無法在其他政府單位重現？」這是江明宗向來擔心的問題。他舉例，過去民眾申請開放資料後，完全由提供的行政機關自行決定是否開放，沒有一個專責單位有權判斷各類資料開放的可行性，並強制負責機關來執行，導致許多申請案都不了了之。這次能順利開放資料，有賴唐鳳直接與政府單位居中協調，才減少了機關內層層上報可能遇到的阻礙，「期待政府能盡快制定開放資料專法，解決結構性問題。」他建議。</p> <p dir="ltr">最後一項，江明宗特別點出了開放資料過程中的隱私問題。以各地染疫人口數據來說，依流行性傳染病開放慣例，原先詳細到村里等級的數據都會公開，但在這次疫情中，政府卻以保障隱私為名擅自撤下各地染疫人口數據，「對一般人來說，這是一種知情權的剝奪，反而會讓更多人質疑政府公信力。」他認為，就算要撤下，也應遵循更制度化決策方式，而不是只針對單一事件採取反射性的作為。</p> <p dir="ltr">還有另一個與隱私密切相關的資料應用，江明宗認為，政府透過電信資料取得並公開確診病患的移動軌跡，已經違反了當初蒐集資料的目的，「從我的角度來看，這已是一種侵犯隱私的行為，」他強調，個案的移動軌跡是受保護的個資，即使疫情嚴峻，也該謹慎採用，「跟歐美國家相比，我們對於隱私的考量真的粗糙很多。」</p> <p dir="ltr">但他並非主張，隱私資料完全不能用，而是希望在資料採用之前，能公開徵詢更多意見，同時透過完善的監督機制避免資料濫用，並設定資料使用的期限。「但是現況是，各部會競相以防疫為由蒐集更多隱私資料，如果又缺乏監督機制，一旦隱私資料被濫用，恐怕會讓過去臺灣詐騙橫行的社會問題重現。」江明宗表示。</p> </div></div></div>
2020/5/28 17:28作者翁芊儒https://www.ithome.com.tw/news/137905
【科技抗疫實例：衛福部、DeepQ】跨部會攜手企業打造居家關懷系統，每日追蹤數萬人健康狀況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>守住入境和居家檢疫隔離防線，是臺灣對抗武漢肺炎（COVID-19）成功的關鍵。自疫情爆發以來，中央流行疫情指揮中心除了做好邊境檢查、條件式入境等基本功，也搭配居家檢疫和隔離措施，來防堵疫情擴散。</p> <p><strong><span style="font-size:28px;">入境檢疫系統打下防疫第一關</span></strong></p> <p>但是，在三月發布出入境禁令前，單月入境人次最高可達兩百多萬，要準確追蹤這些高風險族群，還需要一套強而有力且快速的作法。有別於先前要求旅客手寫入境健康聲明，政府借助科技和跨部會合作，在短短數天內就開發一套電子版的健康聲明書（也就是入境檢疫系統），不僅取代紙本，更關鍵的是，還能掌握旅客有效的聯絡手機，打下日後居家追蹤的基礎。這套入境檢疫系統，在二月中正式上線，至今也仍在使用。</p> <p>一名近日從日本返臺的旅客黃泓瑜，就和iThome分享了入境防疫的第一手經驗。「早在日本辦理登機時，華航櫃臺就提供了QR Code，手機掃描後，可直接填寫資料，像是入境基本資料、症狀、在臺聯絡手機號碼。」</p> <p>就算當下使用他國門號，抵臺換回臺灣SIM卡後，仍可收到簡訊發送的健康憑證。「回臺入境後，除了簡單問答，很快就能通關了，」他說。</p> <p>不只減少紙本，衛福部聯手行政院資通安全處開發的這套系統，還串聯了許多系統如移民署、民政單位，更能縮短資料傳遞的時間，降低防疫漏洞。</p> <p><strong><span style="font-size:28px;">高風險族群入境後追蹤，尋人系統首先預防趴趴走</span></strong></p> <p>除了第一關的邊境防疫，接下來，就是要掌握居家檢疫和隔離對象的動態。疫情最高峰時，同時管理的居家檢疫人數超過5萬人，這對防疫單位來說，可是一大挑戰。</p> <p>二月初，原本確認居家檢疫或隔離的作法，是先由移民署將旅客入境資料交給疾管署，篩選出高風險族群後，再交給民政局和地方單位如里幹事等人來處理。</p> <p>但這個作法仍有資料傳遞的時間差，曾有檢疫或隔離對象，違規離開規定場域，通報系統卻無法即時回報。為解決這個問題，衛福部資訊處花不到一周時間，跨部會整合了移民署、戶政司、NCC等部會資料，連夜趕工打造出一套尋人資訊系統，在二月中正式上線。</p> <p>這套尋人系統鎖定居家檢疫和隔離者，結合移民署入境收集的聯絡地址、戶政的戶籍地址，以及NCC的電信帳單地址，透過串接這三個地址資訊，系統就可在第一時間通知三區里幹事，同時在三個地點先行尋找，有別於過去一個地點找完才換下一個。此外，鄉鎮縣市機關，也會在第一時間收到相關通知。</p> <p><strong><span style="font-size:28px;">居家檢疫好幫手，Chatbot每日把關身體狀況</span></strong></p> <p>尋人系統只是用於例外管理，臺灣疫情期間，最多需同時管理數萬名高風險民眾，得天天追蹤他們的每日健康狀況，為了減輕第一線關懷人員的負擔，政府還祭出了另一套關鍵作法，就是Line聊天機器人疫止神通。</p> <p>疫止神通是由政府公益合作企業HTC健康醫療事業部DeepQ所開發，他們原本就負責打造疾管署防疫聊天機器人，後來向衛福部提議，再打造一個聊天機器人，專門用於輔助居家檢疫作業。3月12日正式動工，衛福部資訊處負責串接系統、建置資料庫，也負責跨部會溝通，整合移民署、疾管署等部會資料和第一線關懷中心的需求，最後再串接到DeepQ負責的前端應用，最後在4月3日正式上線。</p> <p>疫止神通專案核心人物DeepQ資深處長游山逸解釋，進行跨單位串接前，會先召開工作會議決定作業流程，再確認資料串流方向、時間和資料格式，並採分段拋轉資料，先定時將資料拋轉到指定資料中心，再轉拋給至關懷中心。</p> <p>回國後連續兩周天天用的黃泓瑜分享，他一離開機場沒多久，就收到衛福部Line的好友通知，加入後，填妥幾項資本資料，如入境日期、身分證字號和護照號碼等，就完成第一步驗證確認。</p> <p>疫止神通串接了入境檢疫系統的資料，因此能立即找到使用者。而「使用者填寫的資料，會送至疾管署後臺，來驗證居家檢疫者身分，」他指出。</p> <p>疫止神通在居家檢疫期內，每天上午推播訊息，讓檢疫對象回報健康狀況，除了體溫，還可勾選9種症狀，像咳嗽、流鼻水、腹瀉、全身無力、味覺或嗅覺喪失等。這些每日健康評估資料，會自動傳送至資料中心，再轉拋到第一線關懷中心。所以，「如果過了中午還沒回報，里長等第一線關懷人員就會打電話關心，」游山逸說。</p> <p>除了每日健康評估，疫止神通也會詢問民眾是否需要就醫，並提供當地民政關懷機構和防疫專線1922等資訊，以備不時之需。這款簡單的聊天機器人，上線至今已助政府追蹤近3萬名高風險民眾。</p> <p><strong><span style="font-size:28px;">硬體和資料流程挑戰都難不倒</span></strong></p> <p>不過，要在短時間內開發，團隊也遇到不少困難。首先是硬體問題，「由於疫止神通涉及個資，得將系統部署於中華電信機房的虛擬伺服器。」游山逸坦言，這些機器需手動開設，不如雲端自動部署方便，還要需花大量時間測試負載和穩定性，來因應居家檢疫使用人數。</p> <p>不只如此，由於系統跨許多單位，上線前還須不斷確認跨系統的連接，檢查資料是否遺漏。比如，系統拋轉居家檢疫者的身分資料至疾管署時，在過程中遺漏一些資料，就會造成身分驗證失敗。也因為如此，團隊格外加強測試，解決資料拋轉移詩問題。</p> <p>儘管如此，DeepQ團隊在開發過程中，也提出不少新功能的點子。比如，要求居家檢疫民眾在疫止神通上回報位置資訊，來輔助電子圍籬，加強定位準確度。</p> <p>另一個點子，則是想利用提供疫情資訊的疾管家，來提供個人染疫的風險預測。也就是說，當指揮中心公布確診者的移動軌跡時，疾管家可提供同步比對功能，只要使用者願意提供自己的移動紀錄，就能互相比對時間、地點和距離等，進而推算出染疫風險。不過，游山逸表示，政府因擔心引起附近居民和商家恐慌，且顧及隱私的情況下，未採用兩個點子。文⊙王若樸</p> </div></div></div>
2020/5/28 18:32作者王若樸https://www.ithome.com.tw/news/137908
【科技抗疫實例：衛福部、臺北榮總】放寬遠距醫療適用對象，641次高風險看診醫病免接觸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初武漢肺炎（COVID-19）疫情急遽升溫，政府不只祭出居家檢疫和隔離手段，還特地在二月發出函釋、放寬通訊診療適用範圍，讓居家檢疫和隔離者可透過視訊看病、拿藥，不只照護就醫需求，也降低民眾於居家檢疫或隔離期間內，為了就醫而擅自離開規定場域的問題。</p> <p>這個做法，也大幅降低第一線接送人員、醫護人員的風險。根據健保署統計，截至五月中，加入衛生局指定通訊診療的醫院，就有4,002家，而自二月啟動以來，已有641次使用人次。也就是說，這套通訊診療措施，成功擋下了至少641次的高風險接觸。</p> <p><strong><span style="font-size:28px;">針對檢疫隔離就醫需求，衛福部決定放寬遠距診療限制</span></strong></p> <p>自一月底啟動居家檢疫和隔離以來，二月份居家隔離和檢疫人數累計近3萬人。這些民眾在檢疫或隔離期間，難免出現身體不適、需要就醫的情況，但過去各縣市並未有統一的做法，導致民眾就醫有所困難。後來，衛福部決定放寬遠距醫療的適用對象來分流。</p> <p>原本，通訊診療法規適用對象，只限於診療境外病人、剛出院病人，且無法開藥、無健保給付。因此，衛福部先放寬法規適用範圍，在2月10日（第1091660661號函釋）和19日（第1091661115號函釋）發出兩次函釋，將居家隔離和檢疫民眾的就醫需求，擴大列入通訊診療的適用範圍，讓醫生可在醫院透過電腦、手機或平板上的視訊，來進行診療，開藥給居家檢疫或隔離的民眾，甚至，連初診病患都可以適用。居家檢疫或隔離民眾透過所在地市政府衛生局轉介，可與指定的醫療機構進行遠距視訊診療。</p> <p>不過，不是每一家醫院都可以自行提供遠距診療，而由各縣市衛生局把關，列出可診療的指定機構。另外，衛福部還是有提出了一些要求，來確保遠距醫療的品質。例如進行過程中，醫生的位置必須在醫院中進行，以確保病患隱私，而且要再病歷上註明是採通訊方式進行診療，而醫事人員執行通訊診療的醫囑時，還要同時保存執行紀錄和病歷。</p> <p><strong><span style="font-size:28px;">臺北榮總分5步驟實施遠距診療</span></strong></p> <p>我們也特別找來2月就加入臺北市衛生局指定通訊診療機構的臺北榮總，從第一線的角度來分享實際執行這次遠距診療政策的情況。</p> <p>遠距診療執行流程，大致分為五個步驟。首先，居家檢疫或隔離民眾有就醫需求時，可撥打當地衛生局專線，只要符合無發燒或呼吸道症狀，或是慢性病患者，就能進行通訊診療。</p> <p>接著，衛生局會轉介民眾至通訊診療機構，比如臺北榮總。之後，醫院專員會詢問病情、約定診療時間，並完成掛號。對臺北榮總來說，這套讓民眾線上掛號的系統，是以去年自行開發的一套通訊診療掛號平臺和通訊診療系統為基礎，另外民眾可透過手機專用App來操作。</p> <p>掛號完成後，系統會發送簡訊給醫生和病人，包括診療日期和一次性視訊的網址連結，讓雙方在應診當天開啟，不洩漏任一方手機號碼。但是，臺北榮總醫企部主任李偉強指出，在視訊當天，家屬或代理人還需攜病人健保卡到診間候診，「這樣才能開藥。」</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/1090224_1_%E6%89%8B%E6%A9%9F%E7%B0%A1%E8%A8%8A.jpg" /><br /> 以臺北榮總遠距診療作法為例，完成通訊診療掛號後，系統會發送簡訊通知醫生與患者，包含診療日期和視訊網址。</p> </blockquote> <p>看診後，院方會製作病歷、開藥，同時附上相關證明影本。最後，家屬或代理人還須至醫院刷健保卡，來繳費、領藥，整個遠距醫療就算完成了。</p> <p>李偉強指出，通訊診療開放以來，臺北榮總每周約有1至2例使用案例，以慢性患者居多。另一方面，他也表示，臺北榮總自去年投入分級醫療，提供視訊看診服務給離島、偏遠地區的民眾，以及不便到醫院的患者。臺北榮總便將過去打下的基礎，運用於居家檢疫隔離的遠距醫療上。</p> <p>這次為因應疫情，衛福部擴大通訊診療對象，不過，不同縣市醫院對於提供遠距診療的作法也不盡相同，有些縣市則提供統一的視訊App，而有些縣市的醫院則直接使用民眾手機上App的視訊功能，例如Line視訊來進行診療。</p> <p>儘管這兩次函釋是為了因應武漢肺炎疫情而放寬適用對象，不過，目前，衛福部也沒有明確訂定出擴大適用的終止期限，這也意味著，遠距診療將成為4千多家指定醫院，越來越熟悉的例行診療模式之一，無形中也擴大了遠距診療的實施經驗，讓各地更多臺灣醫院和醫生，更熟悉這個新模式。日後若要主管機關有意放寬成常態作法，醫院也能更順利的銜接。文⊙王若樸</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 1465.73px; width: 681px; height: 15.5556px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -318px; top: 1260px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 340.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/5/28 18:41作者王若樸https://www.ithome.com.tw/news/137910
蘋果剛推出iOS 13.5不到3天，Unc0ver發布越獄程式，且能支援最新推出的iPhone SE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客與蘋果iOS之間的越獄（Jailbreak）攻防，越演越烈，常常在蘋果推出新版iOS之後，越獄工具就會面臨失效的情況。但就在5月21日蘋果推出iOS 13.5的時候，越獄程式開發團隊Unc0ver就<a href="https://twitter.com/unc0verTeam/status/1263260302713524225">預告</a>，他們的新版工具即將推出。而該團隊也在24日，正式推出5.0.0版Unc0ver，宣稱能支援執行iOS 11以上版本的多數蘋果行動裝置，包含了iPhone 11，以及剛於本月初推出的第2代iPhone SE。</p> <p>何謂越獄？為了能解除蘋果在iOS上的限制，有些人會設法破解以取得該系統的最高權限，進而修改系統的設定，或是安裝蘋果尚未核可（無法從App Store取得）的應用程式。這種越獄工具得到系統最高權限，多半是經由尚未被發現系統的漏洞，一旦蘋果修補相關漏洞，使用者更新iOS就會導致越獄失效。通常使用越獄工具的iPhone用戶，往往也必須暫緩升級iOS系統，才能維持原本越獄的效果。而這次Unc0ver發布的新版越獄程式，緊跟iOS 13.5發表的腳步，在短短的3天內就推出，而且還廣泛支援市面上的大部分iPhone。</p> <p>這種能夠公開取得，且適用於大部分蘋果行動裝置的越獄工具，雖然為使用者帶來高度自訂的彈性，但是從另一方面來說，由於安裝的軟體無需經過App Store，裝置也曝露在應用程式安全缺乏把關的風險，使用者如果透過已經越獄的裝置存取企業內部系統，很有可能成為駭客發動攻擊的管道，造成企業防護上的隱憂。</p> <h2><strong>不只能廣泛應用於多個版本iOS作業系統，也支援最新的裝置</strong></h2> <p>Unc0ver宣稱，這次推出的工具支援的iOS版本，從11.0版到最新的13.5版，但不包含12.3至12.3.2版，以及12.4.2到12.4.5版。他們也在網站上列出實際測試過能成功越獄的執行環境，從裝置的型號來看，囊括大部分蘋果正在銷售的iPhone和iPad機種，除了前述提及的iPhone 11和第2代iPhone SE，也有第7代iPad與第5代iPad Mini，而這兩款也都是去年9月發表的當代產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unc0ver-5_0_0-tested.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc0ver-5_0_0-tested.png" style="width: 500px;" /></a></p> <blockquote><p>為了取信用戶，Unc0ver也列出他們已經驗證過的裝置，以及這些裝置執行的作業系統版本等資訊。</p> </blockquote> <p>這次越獄工具為何能夠廣泛支援上述的iOS作業系統？Unc0ver在推特預告時透露了原因，他們利用了由Pwn20wnd發現的未公開漏洞來達成，這個漏洞普遍存在於大部分版本的iOS作業系統，而且是出現在核心層級的漏洞。雖然這個漏洞蘋果日後有可能會加以修補，但Pwn20wnd似乎不太在乎這樣的後續發展，並表示蘋果最快也要2到3周才會推出新版iOS來防堵，就算有了修補程式，用戶還是能在2周內降回舊版iOS，而且只要維持不升級iOS，越獄程式還是能夠繼續運作。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">We are going to release <a href="https://twitter.com/hashtag/unc0ver?src=hash&ref_src=twsrc%5Etfw">#unc0ver</a> 5.0.0 with support for every signed iOS version on every device using a 0day kernel vulnerability from <a href="https://twitter.com/Pwn20wnd?ref_src=twsrc%5Etfw">@Pwn20wnd</a> in sponsorship with <a href="https://t.co/l4SDOTDUla">https://t.co/l4SDOTDUla</a> very soon. Update your devices to 13.5 and follow our progress on <a href="https://t.co/cNIUANaJr2">https://t.co/cNIUANaJr2</a>.</p> <p>— unc0ver Team (@unc0verTeam) <a href="https://twitter.com/unc0verTeam/status/1263260302713524225?ref_src=twsrc%5Etfw">May 21, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>至於蘋果會不會在下一個大改版iOS 14來防堵相關漏洞？Pwn20wnd則向<a href="https://www.wired.com/story/apple-ios-unc0ver-jailbreak/">Wired</a>等媒體表示，就算他們真的修補了這個漏洞，他還是會找到另一個漏洞來越獄。而這也的確不是Pwn20wnd第一次快速找到能用來越獄的未知漏洞，例如，在去年8月，他公開發布針對iOS 12.4的<a href="https://www.ithome.com.tw/news/132530">越獄程式</a>，就是利用已於iOS 12.3修補，卻再次出現的漏洞CVE-2019-8605，而iOS 12.4當時才推出一個多月。</p> </div></div></div>
2020/5/28 12:06作者周峻佑https://www.ithome.com.tw/news/137889
【科技抗疫實例：Gemini Data】靠知識圖譜工具將疫調數據視覺化，更快找出確診者關聯性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於國外疫情劇烈，臺灣武漢肺炎確診數雖超過440例，但因臺灣疫情控制得當，沒有在國內造成大規模感染。阻斷疫情的關鍵之一是臺灣有一套完整的傳染病監測機制，在平時監測風險，遇變時則成為採取行動的利器。所以，這次武漢肺炎爆發之初，臺灣就能迅速反應，1月成立了中央流行疫情指揮中心，在資訊科技的協助下，根據數據進行防疫決策。</p> <p>這套監測機制包括連接從基層診所到醫學中心的法定傳染病通報系統，自動傳送及登打傳染病個案資料；在急診方面，則有串連全國約180家醫院急診資料的「即時疫情監視及預警系統」（Real-time Outbreak and Disease Surveillance System，RODS），不需要人工填表，就能將全國急診量95%以上的急診診斷資料傳送到疾管署，自動分析、產生報表，早一步監測疾病或症候群的異常情形；在門診及住院部份，對整合了健保署的健保資料。</p> <p>上述的監測機制主要由疾管署疫情中心負責，而當武漢肺炎出現確診案例，相關人員展開疫情調查，蒐集確診者接觸史、清查其活動紀錄、釐清感染來源、接觸者，對疑似感染者實施篩檢、要求居家隔離等等，是及早防堵疫情擴散的有效做法。</p> <p>目前臺灣疫調時，一旦有確診案例出現，第一時間由醫院通報，再由疫調人員以制式的表格及問卷訪談，取得確診案例過去旅遊史、接觸史等資訊，交給疾管署，再輸入到資料庫，經過BI數據分析後，找出確診者間的關聯性，設法釐清確診者的關聯性，和各縣市衛生局或相關單位進行溝通，並以人工方式繪製圖表，讓中央流行疫情指揮中心對外公布。</p> <p><span style="font-size:28px;"><strong>用圖譜化數據分析協助探索確診者的關聯性</strong></span></p> <p>然而，數據分析需要有經驗的人員找出數據背後的關聯性，隨著確診案例增加，要從大量疫調數據中挖掘數據中隱而不顯的關係，已逐漸成為防疫人員的重擔，後來，有一款知識圖譜視覺化工具Gemini explore獲得疾管署疫情中心的青睞，4月初即以公益性質來提供中心分析人員試用。</p> <p>這款工具是精誠資訊投資的新創團隊Gemini Data在去年推出的產品，原本主要用於資安及IT維運管理上。在今年初爆發武漢肺炎，臺灣確診案例不斷增加，Gemini Data自行整合了來自媒體報導、指揮中心公開的確診者資訊，改以知識圖譜（Knowledge Graph）的方式呈現，藉由探索資料的不同面向，試著找出確診者的關聯性，並且追蹤和相關接觸者的關係。</p> <p>後來，精誠將一些確診者關連性分析畫面截圖，提供給疫情中心後頗受好評，4月初，Gemini Data到疾管署安裝這套系統，5月進一步根據意見更新，並參加了臺美防疫松（cohack），以視覺化呈現確診者、接觸者關聯性，最後入選為優勝作品之一。</p> <p>Gemini Data共同創辦人林宗瀛表示，過去放在資料庫的資料，多半只進行BI分析，產出統計圖表，不易判斷數據間的關聯，尚需仰賴資料分析人員的經驗來比對。改以知識圖譜的方式呈現數據，能夠幫助疫調人員探索確診者背後的關聯性。</p> <p>「知識圖譜會是未來改變數據分析，相當有潛力的工具」，但技術門檻高，他說，過去多是跨國科技業者才會使用，「我們要將知識圖譜工具化，讓所有人未來都能使用」。</p> <p>當要分析某個確診個案時，利用圖譜形式，來展開疫調時所取得的該名確診者各項資訊，例如性別、居住地區、職業身分、曾在國外旅遊或留學、症狀等等，疫調人員可以根據不同的疫調資料，探索和其他確診者間的關聯性，例如找出同樣自西班牙回到臺灣，並且是留學生的確診者，將符合兩個條件的所有確診案例設定為同一個感染事件的群組，進一步調查其感染關係。</p> <p>過去，資料分析人員多用直接下資料庫查詢指令來進行關連比對，但這個作法不易發現複雜的數據關係，改透過圖譜圖像化的方式來呈現數據，讓分析者自由探索，分析人員更容易判斷、發掘數據中的關係，也更接近人類思維的方式。</p> <p>林宗瀛指出，知識圖譜介面提供了自助式操作，使用者不需要IT人員的協助，就能直接和不同的數據互動，找出其他可能的關聯性，不只是確診者的背景資料，結合接觸者資料，進一步探索不同確診者及接觸者的關聯。</p> <p>例如可以從單一的確診案例，像是從案例X的過去活動紀錄及接觸者疫調資料中，找到和另一位確診案例Y的關係，從而可能判斷出兩個確診案例間的接觸感染關係。</p> <p>儘管國內疫情目前已趨緩，這套工具未來也能套用在監測其他傳染疾病疫情的發展追蹤，而一般企業在數位轉型的過程中，可運用知識圖譜數據分析工具，例如電商業者強化對客戶關係的經營。目前Gemini Explore主要功能是圖譜資訊視覺化，林宗瀛更透露，明年會進一步加強AI判斷能力。</p> </div></div></div>
2020/5/28 18:10作者蘇文彬https://www.ithome.com.tw/news/137906
OpenSSH將終止支援SHA-1加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人愛用的遠端連線工具OpenSSH昨（27）日<a href="https://www.openssh.com/releasenotes.html" target="_blank">宣佈釋出</a>OpenSSH 8.3/8.3p1，並預告下一版將終止對SHA-1演算法的支援。</p> <p>OpenSSH維護小組指出，現在只要不到美金5萬美元就能執行「構造前綴碰撞攻擊」（chosen-prefix collisions）來破解SHA-1演算法。為此OpenSSH小組決定在下個版本中，預設關閉SSH-RSA公鑰簽章演算法。</p> <p>2017年Google和荷蘭學術單位合作，以「SHAttered」手法成功<a href="https://www.ithome.com.tw/news/112347" target="_blank">破解</a>SHA-1雜湊函數。而破解所需的硬體成本也日益降低，今年一個新加坡大學團隊<a href="https://eprint.iacr.org/2020/014.pdf" target="_blank">估計</a>只要5萬美元即可做到。</p> <p>雖然已經被證實不安全，但仍然有許多系統還在用SHA-1演算法，使之成為原始版SSH RFC僅存指定的公鑰簽章演算法。OpenSSH使用SSH-RSA模式產生SHA-1金鑰，意謂著可能遭到破解。</p> <p>更好的替代方案包括RFC8332 RSA SHA-2簽章演算法、ssh-ed25519簽章演算法、 RFC5656 ECDSA演算法。其中RSA SHA-2使用和SSH-RSA相同型態的金鑰，但用的是更安全的SHA-2演算法，也已在Open SH 7.2預設支援。至於ssh-ed25519、 RFC5656 ECDSA演算法，OpenSSH早在6.5和5.7版即已支援。</p> <p>此外OpenSSH也呼籲，如果伺服器然仍然還在使用SSH-RSA公鑰作為主機驗證，最好儘速升級。</p> <p>SHA-1被破解後，重要軟體包括蘋果的<a href="https://www.ithome.com.tw/news/131136" target="_blank">Mac及iOS</a>、Google Chrome、微軟的<a href="https://www.ithome.com.tw/news/128832" target="_blank">Windows</a>、<a href="https://www.ithome.com.tw/news/114106" target="_blank">IE/ Edge</a>及Mozilla Firefox近幾年已陸續要求用戶升級到SHA-2演算法。</p> </div></div></div>
2020/5/28 16:00作者林妍溱https://www.ithome.com.tw/news/137899
指揮中心發布實聯制指引，管制商家防疫個資用途，要求疫調專用、專人保管還要28天刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">臺灣武漢肺炎疫情趨緩，中央流行疫情指揮中心在本月8日表示，各地政府可以視疫情狀況，逐步解禁室內外集會人數限制，只要能確保參與者保持社交距離、落實個人衛生防護，同時建立起集會活動實名制等條件，就不再受室內100人、室外500人的限制。不過，為了保障個資不被濫用，指揮中心今天進一步發布「武漢肺炎實聯制措施指引」，要求各營業場所、集會活動為了防疫所蒐集的民眾個資，不可用於疫調之外的其他目的，蒐集過程也必須指定專人辦理並善盡保護責任，最多存放28天就要刪除銷毀。</p> <p dir="ltr">指揮中心資訊組組長簡宏偉說明：「實聯制主要是讓非公務機關，比如商家等營業場所，能依照這個指引恢復正常作業。」透過實名制蒐集活動參與者的個資，能在未來有疫調需求時，立即聯繫曾共同出入該場所的民眾，快速掌握可能染疫的對象。不過，為了避免民眾個資被隨意蒐集濫用，指引中也詳細規定個資使用辦法。</p> <p dir="ltr">指引中提到，各政府、非政府機關（以下統稱機關）因防疫而蒐集民眾個資時，需要明確告知當事人7項資訊，包括蒐集機關、蒐集目的、個資項目、利用期間、利用對象及方式、當事人依個資法可請求的權益、不同意提供時可能造成的影響，來增加防疫措施的透明性。</p> <p dir="ltr">資料蒐集方式雖不限紙本或電子，但都必須指定專人妥善維護，防止個資被竊取、竄改、毀損、滅失或洩漏，而且，若是以紙本方式蒐集，應注意先填寫者的個資是否會被後填寫者閱覽，並以遮蔽或其他方式來避免；若是以電子方式蒐集，如資訊系統、App等，應進行資訊安全風險評估，確保資料蒐集過程中的資安防護措施，來避免資料外洩。</p> <p dir="ltr">指引也規定，機關在蒐集資料後，最多只能保存28天就要主動刪除銷毀，並保留刪除或銷毀的紀錄，提供主管機關後續監督稽查。簡宏偉說，目前相關單位還在擬定稽核方式，未來也會依照個資法的規範來進行裁罰。由此可知，除了生活營業場所之外，企業在辦理相關大型集會活動時，也須遵守實聯制的規範來妥善保存個資，以免受罰。</p> <p dir="ltr">指揮中心表示，若6月7日後國內仍維持本土病例零確診或無社區感染，將擴大鬆綁防疫規範，民眾只要配合實聯制，及落實個人防護措施（勤洗手、無法維持社交距離時佩戴口罩），在從事各項日常及休閒活動時，將不會再受到人數規範限制。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/12043554714991.jpg" style="width: 600px;" /></p> </div></div></div>
2020/5/28 16:14作者翁芊儒https://www.ithome.com.tw/news/137896
美國亞利桑那州控告Google擅自追蹤Android用戶位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國亞利桑那州檢察長Mark Brnovich在5月27日對Google<a href="https://threadreaderapp.com/thread/1265770310508466183.html" target="_blank">提出訴訟</a>，指控Google透過欺詐與不正當的行為來獲取用戶的位置資料，再以這些資料來換取廣告營收，認為Google違反了該州的消費者詐欺法。</p> <p>亞利桑那州之所以對Google展開調查，源自於美聯社在2018年的<a href="https://apnews.com/828aefab64d4411bac257a07c1af0ecb/AP-Exclusive:-Google-tracks-your-movements,-like-it-or-not" target="_blank">調查報導</a>，指出Google Maps要求使用者賦予該程式存取位置資料的權限，以提供導航功能，同時紀錄使用者的行經路線，另也宣稱使用者可隨時關閉位置歷史紀錄，屆時Google就不會再存放使用者的位置資源，然而，美聯社卻發現，就算使用者關閉了位置歷史紀錄，Google Maps還是會自動存放具備時間戳的位置資料。</p> <p>Brnovich表示，儘管Google讓使用者相信他們可以退出位置追蹤，但其實Google依然透過其它方式來侵犯使用者的隱私，幾乎無法阻止Google追蹤使用者的一舉一動，而這便違反了亞利桑那州的消費者詐欺法，就算是最創新的公司，也應該在法理內行事。</p> <p>在Google於2019年所創下的1,610億美元營收中，廣告營收就占了1,350億美元，該州在訴狀中指出，Google的廣告營收絕大多數都是來自於使用者資料，包括位置資訊，而且經常未經使用者同意。調查還發現Google使用欺騙與不公平的手法，以盡可能地蒐集使用者資料，使用者也難以了解資料的用途，更遑論退出。</p> <p>Brnovich所提出的訴狀多達50頁，其中不乏Google前員工的證詞與接近100項證物，包括Google的內部文件。</p> <p>其實除了亞利桑那州之外，Google在美國其它州也面臨了各種法律問題，像是新墨西哥州在今年2月控告Google侵犯兒童隱私，德州則正在調查Google的廣告業務，是否涉及壟斷。</p> </div></div></div>
2020/5/28 16:35作者陳曉莉https://www.ithome.com.tw/news/137902
德國聯邦資訊安全辦公室要蘋果用戶儘快修補郵件漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國聯邦資訊安全辦公室（BSI）近日向iPhone及iPad用戶<a href="https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2020/Warnung_iOS-Mail_230420.html" target="_blank">提出警告</a>，表示iOS與iPadOS內建的郵件服務中含有兩個重大的安全漏洞，駭客只要寄送一封製造的郵件，就能讀取、變更或刪除用戶私人信件，而且已被駭客開採。不過，蘋果已於5月20日釋出的iOS 12.4.7、iOS 13.5與iPadOS 13.5，修補了這兩個漏洞。</p> <p>蘋果在5月20日釋出的iOS 13.5，除了新增暴露通知API（Exposure Notification API），並改善戴口罩的人臉辨識機制之外，也<a href="https://support.apple.com/zh-tw/HT211168" target="_blank">修補了</a>眾多的安全漏洞，相關漏洞同樣波及iPadOS。</p> <p>此次所修補的漏洞中，只有兩個與郵件程式有關，它們分別是CVE-2020-9819與CVE-2020-9818，皆是由美國的資安業者ZecOps所揭露。</p> <p>其實ZecOps早在今年4月，就對外揭露了<a href="https://blog.zecops.com/vulnerabilities/youve-got-0-click-mail/" target="_blank">這兩個漏洞</a>。ZecOps是在定期的iOS數位鑑識及意外調查中發現，有些可疑的事件影響iOS內建的郵件程式，並可追溯到2018年1月，進而偵測到iOS與iPadOS的郵件都含有安全漏洞，而且已被開採。</p> <p>研究人員指出，這兩個漏洞被用來執行目標式攻擊，鎖定的對象包括北美財星五百大組織的特定人士、日本一家電信業者的高階主管、德國一名知名人士、沙烏地阿拉伯及以色列的安全服務供應商、一名歐洲記者，以及一家瑞士企業的高階主管。由於駭客所使用的郵件中都包含了特定的字串，使得ZecOps相信這是某些國家級駭客，向第三方研究人員所買來的攻擊程式。</p> <p>ZecOps說，這兩個漏洞應該是自2012年9月蘋果發表iOS 6以來，就存在至今。</p> <p>根據蘋果的描述，CVE-2020-9819為一記憶體損耗問題，使得該程式在處理惡意的郵件時會導致堆積損毀，CVE-2020-9818則是個越界寫入漏洞，在處理惡意郵件時，可能造成非預期的記憶體修改或程式終止。</p> <p>ZecOps則認為，CVE-2020-9819與CVE-2020-9818，都是因為無法正確處理系統呼叫的返回值而造成的，而且它們出現在處理郵件的程序上，因此就算使用者未能下載完整的郵件，駭客依舊能完成攻擊。相關的攻擊可能會讓郵件程式變慢、非預期的關閉，還能刪除及竄改使用者的郵件。</p> <p>對於在蘋果修補前就公布了漏洞資訊，ZecOps解釋，光是這兩個漏洞並不會對iOS用戶造成傷害，駭客需要藉由其它的漏洞才能完全控制受害裝置；而且這兩個漏洞已因蘋果的iOS測試版而曝光，駭客已經得知漏洞的存取；再加上已經出現相關的攻擊行動，公開細節將可督促蘋果儘快修補。</p> </div></div></div>
2020/5/28 16:50作者陳曉莉https://www.ithome.com.tw/news/137904
不滿Twitter，川普說要強力監管社交平臺，或是直接將它們關掉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Twitter於美國總統川普（Donald Trump）的推文下方標註事實連結，並<a href="https://www.ithome.com.tw/news/137871" target="_blank">指稱</a>川普的說法缺乏根據之後，顯然惹怒了川普，使得川普再度<a href="https://twitter.com/realDonaldTrump/status/1265601611310739456" target="_blank">發文</a>，指稱將強力監管社交媒體平臺，或是將它們關閉。</p> <p>川普是在26日發文反對加州州長Gavin Newsom所簽署的郵寄投票（Mail-In Ballots）行政命令，認為郵寄投票是種詐欺行為，因為郵箱會被搶劫，也可能偽造選票，但Twitter很快就在推文下方嵌入事實查核連結，引用來自CNN及華盛頓郵報的事實查核報告，並說專家認為郵寄投票其實很少牽涉到詐欺，認為川普的宣稱是錯誤的。</p> <p>對此，川普除了抨擊Twitter干預2020年總統大選之外，還在隔天（5/27）發文指出，共和黨員認為社交媒體平臺完全堵住了保守派的聲音，他們將強力監管或關閉它們。川普<a href="https://twitter.com/realDonaldTrump/status/1265601615261827072" target="_blank">還說</a>，如同不能讓大規模的郵寄投票在美國紮根，而放任選票作弊、偽造或遭竊一樣，社交媒體也應該清理自己的行為。</p> <p>28日川普再次<a href="https://twitter.com/realDonaldTrump/status/1265819308699070464" target="_blank">發文</a>，認為大型科技企業在2020年大選之前，正盡其所能的展開審查，如果此事真的發生了，那人們將不再有（言論）自由。</p> <p>迄今Twitter並未回應川普的威脅，而目前也不確定川普會如何執行「強力監管社交平臺或將它們關閉」，雙方各有支持者，但不乏有人批評川普的行為是種濫權。</p> <p>然而，同為社交平臺的臉書並未選擇與Twitter站在一起。Fox News就此事<a href="https://www.foxnews.com/media/facebook-mark-zuckerberg-twitter-fact-checking-trump" target="_blank">專訪</a>了臉書創辦人暨執行長祖克柏（Mark Zuckerberg），祖克柏很明白的表示，就此事而言，他們與Twitter的政策不同，他堅定的認為，臉書不應成為人們在網路上所說任何話的真理仲裁者，而且私人企業、特別是平臺業者，也不應把自己放在那個位置。</p> </div></div></div>
2020/5/28 14:55作者陳曉莉https://www.ithome.com.tw/news/137895
Youtube修補自動刪除「五毛」留言問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Youtube官方解釋刪除「五毛」、「共匪」留言是平臺的執法系統（enforcement system）出問題後幾天，The Verge昨（27）日<a href="https://www.theverge.com/2020/5/27/21271611/youtube-deletes-comments-critical-china-communist-party-fixed" target="_blank">報導</a>，問題已經解決。</p> <p>本周媒體<a href="https://www.ithome.com.tw/news/137869" target="_blank">揭露</a>，Youtube上只要用戶留言中包含「五毛」、「共匪」等批評中國政府的詞彙，就會被立即自動刪除，引發Youtube言論檢肅爭議。經過測試，現在Youtube上包含「五毛」及「共匪」詞彙的留言，已沒有被刪除的情形。</p> <p>但是YouTube始終未解釋錯誤是怎麼發生的，只說不是因為平臺的管理政策發生變更的緣故。可能的原因是Youtube上親中使用者大量檢舉，造成Youtube原本用於防範偏激與色情內容的AI審查系統，將這些詞加入過濾關鍵詞清單內。</p> <p>去年10月開始就有用戶在討論區反映，任何留言包含「五毛」就會神奇地不見。五月間，中國異議人士曾錚（Jennifer Zeng）就在推特上<a href="https://twitter.com/jenniferatntd/status/1260557177711968257" target="_blank">揭露</a>，只要留言包含「共匪」二字，15秒就被自動刪除，網友連試三次都如此，她並意有所指問Youtube，是否找了個比李飛飛更厲害的AI專家。</p> <p>李飛飛是Google前副總裁暨華裔AI專家，本月被推特延攬成為獨立董事，希望能借重其技術，協助提升打擊假消息的能力，但外界擔心將使推特的政治立場轉為親中。5月間有人因質疑李飛飛的背景，而被推特取消帳號，本周稍早川普透過推特針對加州州長簽署郵寄投票行政命令一事發表意見，其推文下方<a href="https://www.ithome.com.tw/news/137871" target="_blank">被嵌入事實查核連結</a>，暗指川普說法缺乏根據，有人推測和推特的政治立場有關，因為川普在疫情及美中貿易問題上，對中國政府做出諸多批評。</p> </div></div></div>
2020/5/28 14:15作者林妍溱https://www.ithome.com.tw/news/137894
Windows 10 May Update 2020釋出給多數用戶，已出現BSOD等多項問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼4月將Windows 10 May Update 2020（2004）釋出給<a href="https://www.ithome.com.tw/news/129813" target="_blank">Insider測試</a>開發人員後，<a href="https://blogs.windows.com/windowsexperience/2020/05/27/how-to-get-the-windows-10-may-2020-update/" target="_blank">微軟於昨（27）日正式</a>針對大多數用戶，釋出這個Windows 10下一版更新，以及Windows Server 2004。不過微軟同時也提醒，該更新在某些裝置已出現藍色死亡螢幕及不相容問題，正著手研究或解決。</p> <p>維持之前版本的階段性釋出模式，Windows 10 2004初期僅開放Windows 10 1903及1909版本用戶，透過Windows Update中的「檢查更新」（Check for updates）功能，手動下載安裝。</p> <p>微軟Windows方案管理總監John Cable指出，微軟將在未來幾個星期內緩步開放部署速度，心急的使用者可能會看不到「下載與安裝」的選項，也可能因為硬體相容性問題，微軟會暫時擱置新版Windows 10的下載。</p> <p>此外，針對企業用戶，2004版的釋出也啟動18個月的服務支援生命周期。微軟建議IT管理員及早確認公司環境中的應用程式、裝置及網路基礎架構和新版本的相容性。企業用戶可經由Windows Server Update Services (WSUS)、Windows Update for Business及大量授權服務中心（Volume Licensing Service Center，VLSC）利用微軟終端組管理員（Endpoint Configuration Manager）供企業規畫部署工作。</p> <p>雖然在去年底即完成開發，期間微軟陸續釋出測試版修補問題，不過在宣布2004正式釋出的第一天，微軟已<a href="https://docs.microsoft.com/en-us/windows/release-information/status-windows-10-2004" target="_blank">公布</a>多項技術問題，包括搭載部份Realtek驅動程式的Windows 10電腦，無法連上一臺以上的藍牙裝置，新版OS和Intel GPU或Nvidia GPU舊版驅動程式不相容，使用GameInput Redistributable程式的電腦滑鼠沒有反應，以及部份啟動永遠連線（always-on always-connected）的筆電如Microsoft Surface Pro 7、Surface Laptop 3，出現無預警關機或再啟動現象。微軟表示正在調查中，也暫時中止針對這些用戶電腦安裝更新。</p> <p>較嚴重的問題還包括，某些啟用Kernel DMA Protection但關閉Windows Hypervisor Platform的Windows 10電腦，在插拔Thunderbolt擴充基座時，出現藍色死亡螢幕。另外，搭載部份Conexant 或Synaptics音訊驅動程式的裝置，會在2004版更新途中或更新後，出現藍色死亡螢幕。針對這兩個情形，微軟已找出問題，表示會在未來的更新版予以修補。</p> </div></div></div>
2020/5/28 13:25作者林妍溱https://www.ithome.com.tw/news/137893
Cloud周報第66期：Google決定將Next雲端產品發表大會改為連續2個月的線上議程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/05/21～2020/05/27）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Next年度大會 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google終於宣布，今年度雲端大會Next將於7月線上登場且為期9周</strong></span></p> <p>IBM、微軟等雲端巨頭，因疫情影響近日相繼改以線上的模式，完成首次的線上年度大會，而反觀Google繼3月初宣布年度雲端產品大會Next改為全線上活動，再宣布不於原定4月的時程展開該活動後，遲遲未發布進一步的消息。一直到5月20日，Google才終於正式宣布，將從7月14日起至9月8日，展開為期9周的Next線上活動。</p> <p>近日，許多科技大廠已於線上舉辦年度發表會活動，且多半採於2至3天內，一口氣發布所有新產品消息的模式，像是微軟Build大會，這與Google做法有很大的不同。Google不僅改變活動的模式，改於線上舉辦，更直接把活動改為連續多周的議程，而這看來更像是連續2個月的線上課程。Google表示，活動期間仍會舉辦主題演講，並將有逾200場的議程，圍繞各項產品服務。而長達9周的活動，每周將聚焦於不同的主題，從產業洞悉、生產力與協作、基礎設施、安全、資料分析，到資料管理與資料庫、現代化應用和雲端AI，還有商業應用平臺。<a href="https://cloud.google.com/blog/topics/google-cloud-next/announcing-google-cloud-next20-onair">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太區 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端採用 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>調查：亞太區雲端服務支出的成長率高於歐美，但僅2成企業已將大部分應用搬上雲</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Unlocking%20the%20Potential%20of%20the%20Cloud%20in%20Asia-Pacific_Ex1_tcm-242545.png" style="width: 600px; height: 296px;" /></strong></span></p> <p>產業顧問研究機構Boston Consulting Group（BCG）日前發布了一份亞太區企業雲端採用的調查報告，該報告顯示，亞太區企業在雲端服務方面的支出，具25%的複合年均成長率，高於美國和西歐。BCG以亞太區8國，包含澳洲、印度、印尼、馬來西亞、菲律賓、新加坡、泰國和越南的企業，作為此次報告的調查對象，進行調查。現階段，亞太區企業雲端服務支出僅占5%的IT平均預算。BCG預期，至2023年，該支出對IT預算的占比將翻倍成長，達到10%。然而，目前僅2成的亞太區企業已將大部分的應用搬遷上雲，且不到25%的企業應用已具備上雲的條件。值得注意的是，企業對採用雲端服務可帶來的效益，除有52%企業關注於提高營收，還有57%企業聚焦節省成本外，有高達71%企業視加快創新和降低業務風險，為驅動他們採用雲端的主要動力。<a href=" https://www.bcg.com/publications/2020/businesses-asia-pacific-find-resilience-growth-in-the-cloud.aspx">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NoSQL資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吞吐量縮放 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟更新Azure Cosmos DB現可自動縮放預設吞吐量</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Azure%20Cosmos%20DB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 338px;" /></strong></strong></p> <p>微軟更新了自家的雲端NoSQL資料庫服務Azure Cosmos DB，新增自動縮放配置吞吐量的功能。企業可通過新功能，讓吞吐量具自動且快速擴展的能力，以滿足突發的流量峰值，並同時維護SLA。微軟表示，該功讓企業不再需要監控流量，且採用Azure Cosmos DB免費服務時仍能使用。此外，相較該功能的預覽版，正式版能以RU/s為單位，來設定自定的最大預配置吞吐量層級，而且能自動擴展現存資料庫和容器，還可供企業用Cosmos DB SDK和Azure資源管理工具的樣板，編寫程式化控制的支援設定。</p> <p>微軟還預告了幾個即將推出的功能，首先，Cosmos DB將推無伺服器功能，在屏除預配置吞吐量的概念後，該功能可滿足不穩定吞吐量工作負載的需求，成為現有的預配置吞吐量計價模型的另一種選擇。其次，微軟還將推出時間點還原（PITR）功能，可以避免意外寫入或是刪除資料所造成的傷害，還能連續備份Cosmos DB資料。<a href=" https://devblogs.microsoft.com/cosmosdb/build-2020-announcements/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國防部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端合約 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>美國國防部國防創新部門將採用Google Anthos，於不同雲端環境執行網路服務</strong></span></p> <p>Google近日宣布，拿下美國國防部國防創新部門（Defense Innovation Unit，DIU）的一紙雲端合約，將為該部門建置一個雲端管理解決方案，以協助偵測、對抗及回應來自全球的網路威脅。這個解決方案將以Google多雲應用平臺Anthos為基礎，讓DIU除了可在Google雲上執行網路服務或應用外，也可同時於AWS及Azure上執行，並於Google雲控制臺集中管理。此外，Google將提供DIU即時的網路監控、存取控制，以及完整的稽核軌跡，讓該部門能遵照自身嚴格的雲端安全守則，不需調整其對速度及可靠性的要求。而網路吞吐量方面，Google表示，此解決方案虛擬防火牆和稽核設備的擴展性，最高可支援50萬名並行使用者，以及100萬個端點，可從而提高網路吞吐量。<a href=" https://cloud.google.com/press-releases/2020/0520/defense-innovation-unit">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物流 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FedEx </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>FedEx與微軟共同打造物流運輸需求的雲端供應鏈分析方案</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_FedEx%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_FedEx.jpg" style="width: 600px; height: 399px;" /></strong></strong></p> <p>FedEx與微軟近日宣布一項多年合作計畫，將推出以Azure、Dynamic 365為基礎的供應鏈管理分析方案，並公布第一項合作成果。這項合作結合了FedEx的全球數位及物流網路及微軟Intelligent Cloud，來提供雙方客戶分析及控管全球貨物的物流情況。雙方第一個合作成果是FedEx Surround，這個方案可讓企業運用FedEx物流網路上的資料，進行近乎即時的出貨追蹤分析，且FedEx Surround可提供小至郵遞區號等級的近乎即時查詢，以掌握貨物運送的進度，來更精準的管理物流和庫存。微軟表示，這種近即時的資料分析適合具高度時間敏感性的企業，像是需關乎病患性命之醫療用品的醫院，或是擔心停工而需要快速送達某元件的製造業工廠。</p> <p>此外FedEx Surround還可利用FedEx的專屬掃瞄及物聯網技術收集多個資料點，由Azure AI、機器學習和分析服務加以分析，不僅能提供貨況追蹤資訊，還能提供全球商務環境條件相關資訊，像是惡劣氣候、天災、器械作業延遲、法規認證問題或是地址錯誤等，方便企業及早行動或防範，避免物流作業中斷。<a href=" https://newsroom.fedex.com/newsroom/fedex-surround/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>雲端需求受疫情影響提升，阿里雲上一季成長近6成</strong></span></strong></p> <p>阿里巴巴日前公布2020財年第四季的財報，時間從今年1月截至3月，受疫情影響，線上零售銷售和雲端需求大漲，使該集團整體營收達1,143億人民幣，優於預期。相較去年同期935億人民幣，阿里巴巴本季營收雖成長22%，但低於上一季38%的成長幅度。雲端業務方面，本季營收則為122億人民幣，相較去年同期增長58%，且即使該業務僅占總營收約1成，卻是其第一次突破單季營收占比1成的關卡，而該業務的收入主要來自公有雲與混合雲業務。根據Gartner最新的調查，阿里雲為亞太區IaaS市場採用率排名第一。現階段，零售依舊是該集團的主要營收來源，達939億人民幣，占總體營收逾8成。阿里巴巴預期，2021財年總營收將突破6,500億人民幣。<a href=" https://www.alizila.com/alibaba-group-march-2020-quarter-earnings/">（詳全文）</a></p> <p><strong>圖片來源／Google雲端、Boston Consulting Group、微軟、FedEx </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Nvidia公布最新財報，資料中心業務營收首度突破10億美元，反映雲端用戶對機器學習的高度需求不受疫情影響</strong><a href=" https://s22.q4cdn.com/364334381/files/doc_financials/quarterly_reports/2021/Q121/Q1FY21-CFO-Commentary.pdf">（詳全文）</a></p> <p><strong>2. VMware Cloud on Dell EMC近日釋發布第二代，可採用42RU的R2機架，提高一倍儲存和網路功能</strong><a href=" https://blogs.vmware.com/vsphere/2020/05/introducing-2nd-gen-vmc-on-dell.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年5月</strong></p> </div></div></div>
2020/5/28 12:07作者黃郁芸https://www.ithome.com.tw/news/137890
全集團O2O數據大整合，信義房屋打通資訊流加速轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個人隨著工作、結婚生子，到退休養老，邁入不同的人生階段，一生中至少有一到兩次的購屋或換屋需求，在傳統觀念裡，買房被視為人生大事之一，加上房價居高不下，在這個網路資訊時代，不少人可能先在網路上做功課，經過長時間蒐集資訊，再和屋主、房仲業者接洽，一來一往之下，一般消費者的房屋交易決策可能相當長。</p> <p>儘管房屋交易講究人和人的專業服務，在1987年就成立的信義房屋，很早便開始推動資訊化，以協助房屋買賣交易，他們在1989年投資2千萬元購買IBM AS400，全省分店採用PC，並以專線連接，同時也積極導入新科技，例如線上看屋、3D、VR等等。</p> <p>然而，隨著市場快速變化發展，信義房屋也和其他的企業一樣，面臨轉型的需求，因此他們在2018年成立了數位智能中心，統整資訊系統開發部、數位流程發展部、數據應用發展部、資服資安管理部，負責資訊技術、大數據及AI、流程整合開發、資安規畫等工作。這個團隊的帶領者正是在1989年就加入信義房屋資訊團隊，後來轉調至仲介業務歷練的信義房屋數位智能中心副總經理陳麗心。</p> <p>儘管面對網路仲介服務的衝擊，陳麗心指出信義仍堅持由人員提供專業服務的信念，強化人員的資訊工具應用，線上到線下O2O（Online To Offline）成為數位智能中心重要工作之一。</p> <p>「一個人買賣房屋到最後成交，可能先在網站上查詢資訊，再和線下服務人員接觸，一來一往可能耗費3個月到半年時間，因此如何整合線上線下服務，是信義O2O的重點」，陳麗心說，信義房屋要透過O2O改造房仲人員的服務樣貌、客戶體驗，來打破流程，將所有服務斷點都串接起來。</p> <p><strong><span style="font-size:28px;">O2O策略先整合線上線下數據</span></strong></p> <p>不僅有房仲業務，集團底下包括多項和不動產相關的服務，例如房屋代銷、不動產移轉、顧問、估價等服務，還有建築融資開發等其他關係事業，這是信義房屋發展O2O首先碰到的挑戰。</p> <p>陳麗心坦言，集團過去在數據整合方面較弱，客戶資料串接還不夠好，關係企業各自的資料庫未有效整合，客戶的會員ID也沒有統一。經過數位智能中心重新規畫，全集團先統一明定客戶的線上線下識別ID，並將仲介服務流程和關係企業等流程、資料庫加以理整、串接及整合，整合集團內外數據，來串連客戶的線上線下行為。</p> <p>數位智能中心結合系統開發、數位流程發展部，重新打造O2O架構，先打通線上線下的數據底層，透過程式碼或Log的方式，來了解民眾上站使用情形。此外，他們先在2017年改版客戶端App，去年改版官網，後續持續改進房仲服務人員所使用的App，以進一步優化線上與線下的資訊流整合。</p> <p>信義房屋也積極使用私有雲及公有雲，在2018年就搬上GCP，利用雲端服務的彈性調整網路資源及頻寬，支援客戶的線上體驗，採用K8s來自動化彈性部署及管理運算工作；還運用雲端服務的大數據分析工具，進行線上線下資料的清洗、歸納及分析，再自動串接到內部私有雲上的應用。</p> <p>陳麗心提到，由於仲介業者提供無形的服務，運用資訊工具，讓仲介服務人員展現其專業相當重要；而打通資訊流，讓A店接受委託、讓B店可以銷售，幫助買賣雙方順利完成交易。「對客戶而言，一生中買賣房子的次數可能不多，房仲業最重要的是要讓資訊透明化，讓買賣房子的人得到的資訊是平等的。」</p> <p><strong><span style="font-size:28px;">改善客戶體驗</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E4%BF%A1%E7%BE%A9%E6%88%BF%E5%B1%8B-%E5%9C%962.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>信義房屋數位智能中心副總經理陳麗心表示，「轉型關鍵要以客戶體驗為中心，如何改變商業模式、營運，IT扮演協助的角色」</strong>攝影／洪政偉</span></span></p> </td> </tr></tbody></table><p>完成O2O的數據串接架構後，陳麗心表示，過去客戶使用網站線上查詢房屋資訊，雖然加入會員，因為線上線下資料未整合，當他們到門市和房仲服務人員接洽，服務人員並不知道客戶的線上行為；現在，客戶上網站積極看房，系統演算法可以提供相關資訊及建議給服務人員，協助他們和客戶互動。</p> <p>她強調，在O2O數據建構的過程中，為保護客戶的個資隱私，信義房屋並非將客戶的行為數據提供給服務人員直接使用，而是經過業務經驗及各種演算法，歸納分析後提供服務人員在客戶經營上的方向建議。</p> <p>O2O數據整合也改善房屋仲介服務體驗。以前房仲人員多半是回到辦公室才透過電話、簡訊、書面或是Mail向屋主回報情形，屋主無法即時掌握售屋進度；而現在，房仲人員帶人看屋後，在外面就能透過App輸入資訊，或利用IM聯繫屋主，屋主登入網站或App就能快速掌握房仲人員回報的資訊，或是瀏覽同類型物件在賣數量與開價高低、網路上每週點閱量、帶看反應狀況等等。</p> <p>另外，房屋買賣過程有許多的契約書需要簽約，傳統做法是房仲人員實際拿著契約書給客戶簽名，不論是修改價格或是延長委託時間，也都需要實際簽約，現在採用數位憑證，除了依法規，第一次委託授權合約需要實際簽約外，後續修改價格或是調整委託時間，都可線上透過數位憑證快速簽核生效。</p> <p>陳麗心表示，建構了一套好的數據架構，讓信義房屋能對客戶行為分析，特別是非會員身分的使用者，根據其網路行為來用戶分群，以此提供更精準的推薦，等到客戶加入會員，再將所有資料串起來。</p> <p>信義房屋也將O2O數據整合作法應用在廣告投放上，蒐集客戶在網站的行為，了解對什麼產品比較有興趣，再利用廣告行銷，吸引這群潛在顧客。</p> <p><strong><span style="font-size:28px;">導入RPA自動化流程</span></strong></p> <p>信義房屋進行數位轉型，不只對外改善客戶體驗，也對內部營運基礎進行改造工作。</p> <p>「數位轉型關鍵是要以客戶體驗為中心，如何改變商業模式、營運，IT扮演協助企業轉型的角色，讓客戶的體驗獲得改善、營運作業更有效率，同時達成組織的願景」，陳麗心說。</p> <p>今年信義導入了RPA（Robotic Process Automation），主要在後勤單位，將機器人流程自動化應用到例行性、重覆性高的工作，除了提升工作效率，也讓人員專注在更有價值的服務上。</p> <p>例如在廣告投放，需要蒐集臉書、Yahoo等不同平臺的數據，才能知道廣告投放的效益，過去以人力蒐集不同廣告平臺的數據，這麼做耗掉大量時間人力，現在，信義房屋改以RPA，快速產生廣告效益資料及報表；同樣地，他們也將RPA運用在人資，協助蒐集外部網站或是人工填寫資料。</p> <p>雖然今年才剛導入RPA，但陳麗心對其效益相當有信心，RPA對後勤單位的工作帶來不小的助益，人事、行政、財務、教育訓練等單位，有很多例行性工作，如跨網站的資料蒐集、整理，這些可以透過RPA快速理整，不再仰賴人工處理，她相信，RPA會成為後勤單位的重要幫手。</p> <p><strong><span style="font-size:28px;">積極投入新科技</span></strong></p> <p>儘管不動產買賣是相當傳統的行業，信義房屋積極導入新科技革新客戶的體驗，例如隨著寬頻網路的普及，2002年推出線上影音環場看屋，提供24小時線上看屋體驗，隨著手機上網興起，提供線上互動看屋，讓客戶可隨時用手機看屋，其他還有3D互動看屋、結合AR擴增實境技術的iPhone看屋等等。</p> <p>陳麗心表示，科技可以提升服務人員的效率及專業，另方面，消費者也不斷進步，對科技的運用愈來愈成熟，因此信義成立數位智能中心，一方面集中人員，發揮綜效，讓數位轉型、IT的策略更集中。</p> <p>國內即將在下半年進入5G，可能加速企業轉型腳步，刺激新的服務及工具出現。陳麗心表示，5G開通後，未來更多服務都將走向雲端，不需要投資很多設備，以買賣房屋為例，5G可能帶來更身歷其境的看屋體驗。客戶體驗將隨科技進步，房仲業者也要與時俱進才行。</p> <p><strong><span style="font-size:28px;">探索房地產科技及AI可能性</span></strong></p> <p>如同金融領域的金融科技（Fintech），不動產業也有不動產／房地產科技（Proptech），運用新興科技打破傳統服務，例如和異業共同推出創新的服務。</p> <p>陳麗心表示，國外房地產科技已發展至3.0，國外房仲業者除了居家之外，也提供房地產保險、租賃、融資，有許多衍生性的服務。信義房屋也正在思考，房地產科技3.0之下，有哪些是可以發揮的方向。信義房屋正和銀行業者研究，銀行業者掌握貸款等消費金融資訊，信義則有房屋買賣資訊，雙方研究如何在保護客戶個資的前提下，在資料上互相協助及分享。</p> <p>她表示，在房屋的買賣仲介中，銀行想要獲得客戶的房貸，而提供房屋仲介服務的房仲業者則想要了解客戶的生命周期變化，雙方其實一直保有合作關係，但深度的資訊流合作較少。未來新服務合作對象不只是銀行，還需要找到合得來的其他業者，共同合作打造產業生態圈。</p> <p>至於現在炙手可熱的人工智慧，已開始落地到各產業，在信義數位智能中心內部也有一個資料團隊，但因為成立時間較晚，加上人才不易尋得，目前約只有6個人，主要負責資料的清洗、建模，預測客戶的回溫、客戶的想法。信義房屋也積極培養大數據分析及AI實力。</p> <p>陳麗心表示，重新架構集團的數據後，已開始有效的運用數據，發掘一些過去沒看到的洞察。今年目標是更好的發揮數據的價值，並和AI連接在一起。</p> <p>不過，雖然現在AI聽起來很酷，但陳麗心認為AI落地實現可能還沒那麼快，儘管外界認為AI可能取代很多行業，但以信義房屋追求將服務做到最好，了解及貼近客戶的想法，AI要取代房仲業並不容易。</p> <p>「臺灣，買賣房屋的人情味很重要，還是需要面對面，體驗人和人的溫度，畢竟房屋買賣是人生大事，實際到現場看房子，由專業人員提供服務，這部份不是AI能取代的」，但她認為從輔助的角度來看，AI是能讓服務更有效率、客戶感到貼心的好工具。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>陳麗心</strong></p> <p><strong>信義房屋數位智能中心副總經理</strong></p> <p>學歷：中興大學企業管理研究所EMBA</p> <p>經歷：1989年加入信義房屋，從程式開發人員做起，擔任資訊部部門主管。2006年轉調至業務部門，歷經三個業務區，2011年擔任仲介業務處副總經理並兼代總經理室專案幕僚、數位流程發展部。2018年接掌集團成立的數位智能中心。</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>信義房屋</strong></p> <p>● 地址：臺北市信義區信義路五段100號</p> <p>● 成立時間：1987年</p> <p>● 主要業務：中古房屋買賣、租賃仲介、新成屋及預售屋企畫與銷售</p> <p>● 員工數：約5,000多人</p> <p>● 年營收：124.4億元（2019）</p> <p>● 董事長：薛健平</p> <p>● 總經理：劉元智</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門主管職稱：數位智能中心副總經理</p> <p>● 資訊部門主管姓名：陳麗心</p> <p>● 資訊部門人數：約86人</p> <p><strong style="color: rgb(51, 153, 255);">IT大事記：</strong></p> <p>● 1997年：推出房仲專業網站</p> <p>● 2002年：推出線上影音環場看屋提供24小時線上看屋服務</p> <p>● 2005年：推出網路互動看屋及手機看屋服務</p> <p>● 2010年：推出iPhone看屋App</p> <p>● 2011年：推出房仲人員使用的M化工具Top Agent</p> <p>● 2015年：推出3D互動看屋</p> <p>● 2017年：成立O2O專案、改版官網及APP</p> <p>● 2018年：成立數位智能中心</p> <p>● 2019年：發展大數據，善用虛實軌跡數據分析，強化個人化服務、深化客戶認識、提升經營效率</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-xin_yi_fang_wu_-tu_1.png" width="960" height="420" alt="" title="信義房屋數位智能中心副總經理陳麗心　（攝影／洪政偉）" /></div></div></div>
2020/5/28 09:00作者蘇文彬https://www.ithome.com.tw/people/137787
危機四伏的遠端桌面連線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-rdp-stats-all.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著RDP設備大量暴露在網際網路上，以暴力破解手法嘗試RDP使用者帳密的攻擊數量，從3月初開始暴增，全球7大國均深陷這類網路攻擊的威脅。（圖片來源／Kaspersky）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎全球確診人數直逼5百萬，許多企業、機構都採取部分或全員在家辦公的模式，也維持一段不算短的時間，然而，想長期實現這種作法，如何確保資安將是大考驗。</p> <p>首先須讓員工能夠安全地透過網際網路連回公司，存取位於內部網路的資訊系統，以及各式資源，例如共用檔案與資料夾，而為了確保連線過程的機密性，企業需要開設VPN，並確保員工都能順利透過加密網路連線連回公司。</p> <p>企業可能也會同時搭配雲端服務型態的多種網路應用解決方案，例如：即時通訊、電子郵件、網路硬碟／檔案共享與同步、視訊會議，來因應多人協作。</p> <p>但上述方式並不一定適合每種工作情境，例如，員工存取一些公司應用系統時，需要基於辦公室個人電腦的既有環境設定才能連上，但家中電腦並未套用這些組態或缺乏系統必備的其他應用軟體，無法單靠使用者來操作相關設定；或是他們平時所儲存的檔案與資料夾，並未集中到公司設置的共用儲存區，而是放在辦公室的個人電腦當中。</p> <p>為了能在短時間解決這樣的問題，目前有不少企業開放員工使用遠端桌面軟體（Remote Desktop）。目前這類產品的選擇很多，可採用Windows內建的遠端桌面連線，當中採用的是微軟發展的遠端桌面協定（RDP），或是開放原始碼軟體，例如，VNC（Virtual Network Computing），以及衍生的TightVNC、UltraVNC，此外，還有TeamViewer、Splashtop、Netop等商用軟體軟體，以及瀏覽器外掛Chrome Remote Desktop。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4_Remote_Desktp_Access%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90FireEye.png" style="width: 492px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／FireEye</span></p> <p><strong><span style="color: rgb(105, 105, 105);">若要讓在家的員工連上辦公室電腦，並維持相同作業方式，最簡單的作法，就是使用Windows內建的遠端桌面連線，或使用TeamViewer這類軟體。但在這樣直連的架構下，須注意電腦暴露在網際網路的程度，因為駭客可透過網路掃描，找到開放的網路埠，也能利用暴力破解、帳號填充等方式，強行登入。</span></strong></p> <p><strong><span style="font-size:28px;">遠端桌面連線大行其道，這類設備大量暴露，引起駭客覬覦</span></strong></p> <p>而在武漢肺炎爆發以後，VPN與遠端桌面的用量大增。根據網際網路連網設備搜尋引擎Shodan今年3月底的公告，執行VPN相關協定的伺服器從近750萬臺，在2月增加到近1千萬臺，提升幅度達到33％；而暴露在網際網路、採用遠端桌面協定的設備當中，若是使用預設3389埠的設備數量，這段期間增加41.5％，如果從RDP另一個常用的3388埠來看，這類設備數量成長36.8％。</p> <p>Shodan認為，使用RDP設備在網際網路暴露的數量成長，可以解釋為許多組織正朝向遠端辦公的模式所致，因為RDP是Windows使用者遠端管理工作站或伺服器常用的方法，不過，長期以來，都有相關的資安問題和使用風險，因此，一般而言，不該在毫無防備的狀態下，開放公開存取。</p> <p>另一家主打外部攻擊面管理應用的資安廠商Reposify，也在此時提出更驚人的數據，根據他們的偵測，3月暴露在網際網路的RDP設備數量超過470萬個，它們正面臨潛在的攻擊風險，相較於1月，增加了127％。若從這些設備的IP位址來看，Reposify表示，大部分來自雲端、虛擬或實體代管業者，使用者從這些地方連至Windows電腦。</p> <p>而這樣的現象也類似Shodan的分析結果──暴露在網際網路的RDP設備，已超過4百萬臺；從5大來源來看，有4家是雲端服務業者，1家是電信業者。</p> <p>即便如此，或許有人仍會認為，使用RDP的設備暴露在網際網路上，只是存在著受到攻擊的風險，不等於已成為攻擊目標，以及正在面臨攻擊。然而，近期，有幾家資安機構和廠商發現了一些跡象。</p> <p>例如，在4月7日，美國系統與網路安全協會（SANS Institute）發布新聞稿，他們發現攻擊者對於RDP的興趣提升了30％，而這剛好與近期RDP設備暴露在網際網路數量大增的狀況，相互呼應。</p> <p>SANS技術協會研究院大老Johannes Ullrich表示，他們觀察到攻擊者用於掃描網際網路RDP應用的IP位址數量，在3月增加了3成，平均每天有2,600到3,540個IP位址發動攻擊；此外，他們也發現攻擊者會主動購買這些RDP伺服器的帳號密碼，而一臺被滲透的RDP伺服器，之後往往又會導致整個系統完全被攻破，同時，也有可能用於攻擊或濫用位於內部網路的其他系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-1%20Shodan---Remote-Desktop-Port(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Shodan</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業大舉開放員工在家辦公，相對地，也促使特定網路服務的用量大增，根據網際網路連網設備搜尋引擎Shodan長期追蹤統計，今年第一季暴露在網際網路上的RDP設備，多達3百萬臺以上。</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-2%20Exposed%20RDPs%20Covid%20-19%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Reposify.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Reposify</span></p> <p><strong><span style="color: rgb(105, 105, 105);">資安廠商Reposify表示，暴露在網際網路的RDP設備已超過470萬臺。</span></strong></p> <p><strong><span style="font-size:28px;">RDP暴力破解攻擊大舉來襲</span></strong></p> <p>但實質的網路攻擊真的出現了嗎？根據資安廠商Kaspersky 4月底公布的觀察報告，針對RDP使用者帳號與密碼進行暴力破解的攻擊（brute-force attack），從3月開始暴增，而且，災情遍及全球。</p> <p>該公司也清楚列出中、美、義、西、德、法、俄的攻擊走勢。根據他們的觀察，在1月2日到3月9日期間，7國面臨的RDP攻擊數量，都在20萬次以下（中國低於5萬次），但到了3月10日、11日，這些國家面臨的RDP攻擊次數全部急遽陡增，美、法兩國甚至都超過80萬次，之後各國還有第二波、第三波暴增的狀況。</p> <p>何謂暴力破解攻擊？這是指攻擊者針對系統或服務的使用者登入機制，不斷嘗試各種帳號密碼，直到發現正確的組合為止，而這樣的身分比對搜尋，會基於隨機的字元、常用的字詞，或是被外洩的帳號密碼來進行。以RDP而言，一旦任何人成功找到可登入的帳密，就能和原本的合法使用者一樣，透過網路存取這臺開放RDP用途的電腦，進而胡作非為。</p> <p><span style="font-size:28px;"><strong>近幾年以來，RDP已成勒索軟體感染的主要路徑</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3-1_Coveware%20Attack%2BVectors.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2_Most%2BCommon%2BRansomware%2BAttack%2BVectors%2BQ4%2B2019%2B(1).png" style="text-align: center; width: 300px;" /></p> <p><span style="color:#696969;">圖片來源／Coveware</span></p> <p><span style="color:#696969;"><strong>令人聞之色變的勒索軟體威脅，過去我們總認為主要是透過網路釣魚郵件與軟體安全性漏洞，來進行散播與滲透，但近年來，RDP也成為這類攻擊發動的主要管道。</strong></span></p> <p>另一個證據，是透過RDP存取的個人電腦，已成為當前勒索軟體攻擊最常見的攻擊路徑。例如，在4月底，專攻勒索軟體攻擊應變與分析的業者Coveware，他們的報告就特別提到這樣的狀況，近一年多以來，RDP洩漏被勒索軟體攻擊採用的比例，都維持在50％以上，自2019年第三季起有上漲的趨勢，它也與一般人熟知的網路釣魚電子郵件、軟體安全性漏洞，並列為三大攻擊路徑。</p> <p>根據他們的調查，在黑市只需20美元，就能買到RDP帳密，以及使用RDP設備的企業網路IP位址，將這些資訊結合便宜的勒索軟體攻擊套件，就能針對開放RDP存取的個人電腦或伺服器來發動攻擊，而由於這樣的作法有利可圖、成本低，駭客很難抗拒不用。Coveware認為，除非折換現金的成功率下滑，或是促成攻擊的成本太過昂貴，否則勒索軟體與網路敲詐行為將會持續流行。</p> <p>關於RDP是否為勒索軟體攻擊的主要管道，FireEye在3月16日發表勒索軟體部署趨勢時，曾剖析這類惡意程式的各種初期感染路徑，而RDP與其他遠端存取方式，就是他們最常觀測到的攻擊路徑，其次才是夾帶惡意連結或附檔的網路釣魚，以及偷渡式下載（Drive by download）。</p> <p>位於英國倫敦的Beazley保險集團，也提出類似看法。他們在3月23日公布的2020年度資料外洩報告提到，當前用於部署勒索軟體的方法當中，不安全的RDP已經與網路釣魚郵件相提並論，而成為兩種最為常見的攻擊形式。</p> <p>該公司負責全球BBR外洩反應服務的主管Katherine Keefe表示，企業開放員工能夠居家辦公，帶來了便利，然而，使用RDP時，若無法適當地採行正確的安全措施，將使IT系統更易受到網路攻擊的影響。</p> <p>而在2019年與2020初期，BBR服務也發現，投保人系統遭洩漏的攻擊大增，正是網路攻擊IT服務代管商所致，而這些攻擊，甚至影響到一家IT服務商下游的數百個客戶，使其無法正常運作。</p> <p>基於這樣的態勢，今年上半，又有幾件與RDP有關的勒索軟體攻擊被揭露。例如，微軟在3月初發表資安分析報告，他們表示，有別於Wanacry、NotPetya這類自動散播型勒索軟體，新的人為操作型勒索軟體已然崛起，他們還舉了兩個例子，分別是駭客團體Parinacota部署勒索軟體Wadhrama的攻擊，以及多個組織使用勒索軟體Doppelpaymer發動攻擊，並且詳細解析惡意程式感染的過程，而對方發起這些行動的第一步，都是發動RDP暴力破解攻擊。</p> <p>3月底，趨勢科技揭露新的勒索軟體Nefilim，散播路徑正是暴露在網際網路上的RDP設備。到了5月初，澳洲物流業者Toll Group也證實遭到Nefilim的攻擊，但3個月前他們已面臨一波勒索軟體攻擊；同一週，位於臺灣的能源產業中油、台塑，以及半導體封測業者力成科技，也傳出遭勒索軟體攻擊，法務部調查局對此提出6大檢查項目，當中就建議企業應關閉重要主機的RDP功能，似乎也暗示RDP是攻擊管道之一。</p> <p><strong><span style="font-size:28px;">RDP安全性漏洞不勝枚舉，助長攻擊者伺機利用動機</span></strong></p> <p>不論是發起者是駭客、勒索軟體，RDP攻擊要能奏效，除了連網設備暴露在網際網路，以及懂得運用暴力破解帳密的手法，對方也能濫用已知的安全性弱點來進行滲透。事實上，RDP本身發展了20年，存在著漏洞這真的在所難免，從Windows NT 4.0 至今，微軟原本只在作業系統的伺服器版本，提供終端服務（Terminal Services，後來改名為Remote Desktop Services），提供RDP的使用，自Windows XP專業版起，也開始在個人電腦環境，提供RDP這類遠端存取桌面的應用，隨著Windows的重大改版，RDP也推出新版，雖然每個版本或多或少都有安全性漏洞被揭露，然而，從2019年5月14日公開的CVE-2019-0708起，局勢急轉直下。</p> <p>這個被評為9.8分的重大漏洞，微軟稱為Remote Desktop Services Remote Code Execution Vulnerability，更多人以BlueKeep來代稱，是由英國國家網路安全中心（NCSC）提報的，並被資安界認為是可發展成網路蠕蟲（wormable）的漏洞，就像NotPetya與WannaCry源於EternalBlue（CVE-2017-0144）。</p> <p>因為，它能讓攻擊者在不需通過身分驗證的情況下，透過RDP連上個人電腦或伺服器系統，並且傳送特製的請求──對方可在這臺設備上執行任何程式碼，隨後能來安裝應用程式、檢視、變更、刪除電腦上的資料，甚至能夠建立具有完整權限的使用者帳戶。到了5月底，McAfee、Zerodium、Kaspersky、Qihoo 360等資安廠商，也陸續針對BlueKeep漏洞濫用行為，發布概念性驗證的攻擊程式。</p> <p>同年8月，又有4個同類型漏洞被揭露，也是涉及Remote Desktop Services的遠端程式碼執行（Remote Code Execution，RCE）弱點，它們分別是CVE-2019-1181、CVE-2019-1182、CVE-2019-1222、CVE-2019-1226，資安界簡稱為DejaBlue，這些也是被評為9.8分的重大漏洞。</p> <p>到了11月，濫用BlueKeep漏洞的行為已經出現。例如，替BlueKeep這個漏洞命名的資安研究員Kevin Beaumont，在當時就揭露攻擊者試圖濫用BlueKeep漏洞的行為，因為，從10月底開始，在他構建的BlueKeep全球蜜罐誘捕網路環境中，所有的電腦陸續出現當機與重新啟動的異常狀況，這類事故的頻率也增加得很規律，同時，他也發現系統正在執行加密貨幣挖礦程式的檔案。微軟接獲這項通報後，也發表研究報告，證實有挖礦活動正在濫用BlueKeep漏洞。</p> <p>事實上，RDP這兩年來的安全性漏洞，並非只有BlueKeep和DejaBlue，還有20個，絕大多數都是高度危險的漏洞，後續仍有可能被駭客或惡意軟體所濫用。</p> <p><strong><span style="font-size:28px;">RDP是很危險，但其他遠端桌面軟體也有使用上的資安疑慮</span></strong></p> <p>從受到攻擊的熱門程度或是軟體安全性漏洞來看，無論是平時或在家辦公使用RDP，風險都相當高，然而，改用其他同類型的軟體，會比較好嗎？若就已公開的資安漏洞來考量，TeamViewer有8個，Splashtop沒有，Netop有4個，LogMeIn有4個，但VNC有121個，在2019公布的漏洞就有31個。</p> <p>從產品本身提供的安全性防護機制來看，TeamViewer、Splashtop、Netop都提供256位元AES加密，以及雙因素或多因素身分認證。至於VNC系列，當中的RealVNC預設提供128位元AES加密，但可設定成256位元AES加密，以及啟用雙因素身分認證；UltraVNC則是提供資料流修改（DSM）外掛程式，讓用戶選擇使用（先前搭配MSRC4Plugin.dsm，提供128位元RC4加密，後來則改為SecureVNCPlugin.DSM，可提供256位元AES加密）。</p> <p>若就過去發生的資安事故來評估，這些軟體的使用也讓人感到不安，其中，又以TeamViewer面臨的幾次爭議事件，最廣為人知，至今仍有許多人搞不清楚這套軟體是否能夠安全使用。</p> <p>例如，在2016年6月，TeamViewer使用者出現帳號被侵入、冒用的狀況，對方盜用受害者電腦瀏覽器儲存的線上支付帳戶登入資訊，到亞馬遜、eBay購買禮物卡，但該公司在稍早就否認遭到侵入與資安漏洞，他們表示是使用者的疏忽所致──採用與其他帳號相同的密碼而導致TeamViewer被侵入。</p> <p>到了2019年5月，德國一家新聞雜誌Der Spiegel披露，TeamViewer在2016年被駭客團體盯上而遭到攻擊，當中涉及了Winnti惡意軟體，而這樣的攻擊手法被認為與中國政府有關。</p> <p>兩個月後，德國的巴伐利亞廣播公司與北德廣播公司共同發表Winnti駭客攻擊研究報告，裡面提到多家德國企業都是駭客攻擊目標，TeamViewer也名列其中，該公司也向進行這項調查的人員表示，他們徹底更換了IT基礎架構，而且在2016年為了將駭客移出他們的網路，也花費數百萬元來處理。</p> <p>到了2018年4月，在免費軟體界赫赫有名的系統清理軟體CCleaner，遭遇供應鏈攻擊，而這也跟TeamViewer有關，因此讓許多人開始不信任這套供具。</p> <p>根據資安業者的調查，駭客是在2017年滲透到這套產品的母公司Piriform，將惡意軟體植入新版CCleaner，隨後許多使用者下載這個版本的CCleaner，而跟著受害，結果導致230萬臺個人電腦的感染，而對方最初之所以成功滲透，就是經由TeamViewer滲透到開發人員的工作站，因為他們手上有外洩的帳號密碼，所以能夠存取該名使用者TeamViewer帳號而得逞，並在電腦上安裝惡意程式，由於這臺電腦是連接在Piriform公司的網路環境，駭客隨後可橫向移動到其他電腦進行滲透或操控。</p> <p><strong><span style="font-size:28px;">注意遠端桌面的實體環境隱私</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/5_Splashtop_Remote_Setting.png" style="width: 329px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>若不想使用RDP來連接辦公室電腦，又擔心使用其他軟體會讓其他同事看到自己操作的畫面，可考慮Splashtop，當中可針對辦公室電腦實施遮蔽螢幕與鎖定鍵盤、滑鼠的保護。</strong></span></p> <p>現今企業對於遠端桌面軟體的使用，除了要注意資安層面的考量，我們最後還想提醒大家注意桌面隱私的議題。武漢肺炎的疫情已持續近半年，各家公司採取的辦公方式有好幾種，除了異地辦公之外，部分公司會採取分批上班的模式，因此會出現有些人在辦公室、有些人在家裡的狀況，若在家上班的員工是透過遠端桌面的方式連入辦公室電腦，有些軟體對於辦公室電腦螢幕，以及在家個人電腦螢幕的畫面，是以同步的方式呈現，並非以鎖定或遮蔽桌面的方式來防止他人窺伺。</p> <p>根據我們的測試，像是TeamViewer、Chrome Remote Desktop，都會有這樣的狀況，Windows遠端桌面連線／RDP反而沒有，辦公室電腦一旦以此種方式被遠端連入，就會進入鎖定桌面的狀態。</p> <p>Splashtop相關功能則很齊備，我們可在被控端電腦的代理程式當中設定「啟用空白螢幕」，當我們從遠端登入時，辦公室電腦螢幕就會進入全黑狀態，只會呈現滑鼠游標的位置與移動軌跡，；若擔心有人趁這時操作辦公室電腦的鍵盤和滑鼠亂搞，我們還可以勾選「鎖定鍵盤和滑鼠」的選項，所有的操作就會以遠端電腦為主。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E9%80%A3%E7%B7%9A">遠端桌面連線</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/%E5%9C%A8%E5%AE%B6%E8%BE%A6%E5%85%AC">在家辦公</a></div><div class="field-item even"><a href="/tags/%E5%B1%85%E5%AE%B6%E8%BE%A6%E5%85%AC">居家辦公</a></div><div class="field-item odd"><a href="/tags/rdp">RDP</a></div><div class="field-item even"><a href="/tags/%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3%E6%94%BB%E6%93%8A">暴力破解攻擊</a></div><div class="field-item odd"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E5%AD%98%E5%8F%96%E5%AE%89%E5%85%A8">遠端桌面存取安全</a></div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/tech/137788
如何強化遠端桌面安全？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0522-forescout.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若要掌握目前企業內部網路有哪些設備使用RDP，Forescout提供了稽核這類連線的功能，可透過儀表板快速呈現各種RDP連線的數量。（圖片來源／Forescout）</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎來得又快又急，不少企業使用遠端桌面，來因應員工在家辦公的需求，然而，如果真要大量開放員工使用RDP，應該審慎評估各種可能的資安風險，做好足夠的基本系統防護措施，以及異常存取的預防、監控與緊急應變機制，否則後患無窮。</p> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_Forescout-%20Remote%20force%20trend%202020-04-07_120806%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Forescout.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Forescout</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業的遠端工作力隨著武漢肺炎疫情的擴大，如今在辦公生產力與安全性上的考量，有了全然不同的配置，過去是重內輕外，現在則會趨向於重外輕內。</span></strong></p> <p><span style="font-size:28px;"><strong>第一步：確認需控管的範圍</strong></span></p> <p>若要強化遠端桌面存取的防護力，首先我們要先確認目前辦公室員工電腦的使用狀態，才能更為全面而精準地考量各種管制條件。一般而言，企業辦公室電腦環境，可區分成採用桌面虛擬化、虛擬桌面基礎架構（VDI）的環境，純粹採用實體個人電腦的環境，以及混合使用兩者的環境。</p> <p>因此，企業開放遠端桌面存取的架構會有那些類型？代理多個資安產品廠牌的達友科技副總經理林皇興認為，會有下列7種可能性：</p> <p>1. 員工經由VPN連入公司內部網路，然後以RDP的方式連入持續運作的辦公室電腦。</p> <p>2. 員工經由VPN連入公司內部網路，先登入公司準備的Windows電腦作為跳板，再登入辦公室電腦。</p> <p>3. 員工在辦公室電腦執行Chrome瀏覽器，並安裝外掛程式Chrome Remote Desktop，再從家中電腦登入Google帳號，連入這項服務的網址，點選先前註冊的遠端裝置。</p> <p>4. 企業本身已建置VDI，使用者可經由VDI廠商提供的閘道系統，例如，VMware Unified Access Gateway或Citrix Gateway等，連上位於桌面虛擬化環境的個人電腦桌面。</p> <p>5. 企業已建置VDI，使用者連上公司桌面虛擬化環境的個人電腦，作為跳板，再從這連上辦公室電腦。</p> <p>6. 員工陸續在辦公室電腦與家中電腦安裝TeamViewer，或是其他遠端桌面存取軟體，再從家中電腦的這些應用軟體介面連回辦公室電腦。</p> <p>7. 企業應用系統已全面使用網站架構、甚至是軟體即服務（SaaS）的雲端架構，這些系統平時就是暴露在網際網路上，員工只需透過瀏覽器即可存取這些應用，以及共享檔案，不需仰賴公司內部電腦，就能隨時隨地存取企業應用系統。</p> <p>根據林皇興的觀察，企業對於這類應用之所以感到擔心，主要有幾個部分。</p> <p>首先，企業IT環境可能會因此多出一個可被入侵的管道，資安風險變高，例如，員工連入公司網路的電腦是他自己選擇的設備，並非是企業IT人員管理、維護的設備，就會牽涉到員工自帶設備議題（BYOD）。其次，企業會擔憂資料外洩的狀況，有可能因此加劇，如何避免這類威脅，也成關注的重點。</p> <p><strong><span style="font-size:28px;">第二步：擴大端點設備管控</span></strong></p> <p>不論企業是採用何種遠端桌面解決方案，若要強化資安防護，除了注意這些系統本身是否具備足夠的安全性，最終仍須面對員工電腦的端點控管需求。</p> <p>對此，數聯資安資安管理平台發展處副處長黃繼民認為，企業必須建議端點安全防護，在管理政策上，需實施白名單存取與版本更新確認，最好也能搭配雙因素身分驗證來保護系統帳號登入。</p> <p>他建議，相關的保護措施，可區分成三大階段：事前，實施端點的安全係數檢測（Cyber Security Health Check），以及端點系統軟體與韌體版本更新確認；事中，採用端點保護平臺（EPP），或是端點偵測與反應系統（EDR）之類的防護機制，達到政策控制跟異常行為監控；事後，具有足夠的資安稽核與應變能力，企業可搭配存取記錄、行為側錄、事件通報等措施，來達成管控的要求。</p> <p>另外，企業實施控制的層面，該著重近端（企業內部）？或是遠端（不在公司的使用者）？這也是需要斟酌的。</p> <p>以VDI類型的遠端桌面解決方案而言，集中管理與安全性程度較高，但導入門檻高，黃繼民認為，應該用於核心、敏感的工作領域，若一般使用者透過VDI來進行文書作業，程序較為麻煩且整體效益欠佳。</p> <p>關於遠端桌面連線使用過程的監控與稽核，我們也洽詢幾家資安廠商的意見，希望找到適合的產品來因應需求。</p> <p>以Forescout的端點與網路控管平臺而言，企業可以掌握開放3389網路埠的RDP設備，設定政策檢查個人電腦是否存在BlueKeep這類安全性弱點，並強制進行更新修補，也能稽核公司內部網路是否存在著RDP連線的流量，甚至封鎖所有RDP流量。</p> <p>另一家由漢領國際代理的內部威脅管理系統ObserveIT，對於員工辦公室電腦的使用者行為，可進行監督，而這樣的保護機制可涵蓋到遠端桌面的存取。例如，登入時間若不符合公司規定，例如半夜、凌晨等下班時間，ObserveIT會出現提示訊息，要求使用者輸入登入理由再允許連入，也可直接拒絕登入；即便使用者順利登入，操作過程與畫面也會被系統記錄下來，日後管理者可以調閱。</p> <p>此外，如果使用者存取公司認定的機敏資料夾，進行複製、貼上的動作，將內容傳到外部，就算是透過Ctrl+C、Ctrl+V快速鍵來操作，ObserveIT也會記錄這樣的異常行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_ObserveIT%20Alet%20Setting2%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E6%BC%A2%E9%A0%98%E5%9C%8B%E9%9A%9B.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／漢領國際</span></p> <p><strong><span style="color: rgb(105, 105, 105);">企業開放員工透過遠端桌面存取連回辦公室的電腦之餘，也擔心會有不速之客或內部員工擅自將機密資料攜出，ObserveIT能讓企業可以更快察覺有人擅自存取敏感的檔案資料夾，就算對方用快速鍵來操作，系統也能記錄並發出警示。</span></strong></p> <p><span style="font-size:28px;"><strong>提升RDP基本防護</strong></span></p> <p>在眾多遠端桌面連線的作法上，使用RDP是最普遍但也存在高風險的方案。若企業目前無法建置上述端點監控機制，我們可參考許多資安專家的建議，做好基本防護。</p> <p>例如，SANS技術協會研究院大老Johannes Ullrich表示，企業應使用獨特、長度較長與隨機的密碼，提升RDP伺服器的安全性，如果可能，僅透過VPN提供存取。</p> <p>他提到，微軟也提供RDP Gateway，能用於實作強式身分認證政策，如果我們無法馬上結合VPN使用，最好能試著限制特定IP位址才能存取RDP服務，但以目前居家辦公的連網環境大多是基於動態IP位址，企業的系統管理者可能無法套用這種作法。</p> <p>Johannes Ullrich提出的另一種作法，是用雲端伺服器作為跳板，以白名單的方式將雲端伺服器列管，透過SSH這類安全的遠端存取協定連至這臺伺服器。</p> <p>而在4月底Kaspersky發表的RDP暴力破解攻擊報告當中，也提出多項實用的建議。這篇報告的作者資安研究員Dmitry Galov表示，針對遠端存取基礎架構的攻擊，不可能馬上停止，因此，如果要在工作時使用RDP，務必採取所有可能的保護措施，例如：至少應使用強式密碼、RDP連線僅能經由企業VPN進行、使用網路層級身分認證（Network Level Authentication，NLA）、啟用雙因素身分認證；如果不使用RDP，務必停用RDP並關閉3389埠，並且採用可靠的資安解決方案。</p> <p>長期而言，企業還能做什麼？Dmitry Galov提出下列7大建議：</p> <p><span style="color:#800000;"><strong>● 給予員工教育訓練，讓他們了解數位安全的基本常識。</strong></span></p> <p><span style="color:#800000;"><strong>● 要求員工使用不同的強式密碼來存取不同的企業資源。</strong></span></p> <p><span style="color:#800000;"><strong>● 將員工設備的軟體更新到最新版</strong></span></p> <p><span style="color:#800000;"><strong>● 在工作用途的設備上，盡可能地使用加密機制。</strong></span></p> <p><span style="color:#800000;"><strong>● 備份重要資料。</strong></span></p> <p><span style="color:#800000;"><strong>● 在員工連網設備安裝資安方案，以及可追蹤設備的系統，防止遺失。</strong></span></p> <p>不過，資安的管控與IT服務的維持如何兼顧，又是另一個值得探討的議題。對於遠端桌面的安全管控，SANS技術協會研究院大老Johannes Ullrich也提醒大家要注意這個環節。他表示，當每個人都在遠端辦公時，我們又不打算冒著停機風險，這些因應作法或許能奏效，快速解決相關安全性問題，然而，目前許多組織並不願冒著無法存取業務關鍵系統的風險，但調整遠端存取作法與防火牆規格，是有可能導致員工無法繼續存取這些系統，有時候甚至只能仰賴駐點人員才能回復存取。因此，我們若要強化相關的保護措施，必須要謹慎行事，以免得不償失。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E9%80%A3%E7%B7%9A">遠端桌面連線</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item odd"><a href="/tags/%E5%9C%A8%E5%AE%B6%E8%BE%A6%E5%85%AC">在家辦公</a></div><div class="field-item even"><a href="/tags/%E5%B1%85%E5%AE%B6%E8%BE%A6%E5%85%AC">居家辦公</a></div><div class="field-item odd"><a href="/tags/rdp">RDP</a></div><div class="field-item even"><a href="/tags/%E6%9A%B4%E5%8A%9B%E7%A0%B4%E8%A7%A3%E6%94%BB%E6%93%8A">暴力破解攻擊</a></div><div class="field-item odd"><a href="/tags/%E9%81%A0%E7%AB%AF%E6%A1%8C%E9%9D%A2%E5%AD%98%E5%8F%96%E5%AE%89%E5%85%A8">遠端桌面存取安全</a></div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/tech/137791
遠端桌面連線，深陷資安危機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/974-feng_mian_p1-open-960x420.jpg?itok=TgsgUnD3" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎疫情持續蔓延，員工在家辦公成為企業新常態，為了讓員工能繼續存取企業內部網路的資訊系統，許多公司大幅啟用VPN加密連線之餘，甚至允許員工以家中電腦登入自己在辦公室的電腦，進行遠端操控，但這種作法真的適合長期、大規模開放使用嗎？是否有安全性疑慮？</p> </div></div></div>
2020/5/28 09:00作者李宗翰https://www.ithome.com.tw/article/137794
碎形與L-system
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>起始元（Initiator）與生成元（Generator）是描繪碎形的方式之一，若想以簡約語言來記錄碎形生成過程，我們可以採用L-system制定正式文法（Formal grammar），而這也便於使用機器處理這類碎形語言，令碎形的描述與繪製過程通用化。</p> <p><span style="font-size:28px;"><strong>碎形圖案</strong></span></p> <p>在繪製碎形圖案時，海龜繪圖是經常運用的方法之一，因為透過海龜的操作，開發者可以免除複雜的數學計算，只要透過程式碼操作海龜相關動作，命令它前進、轉彎等，之後就可以繪製出複雜的碎形圖案。</p> <p>儘管使用的程式語言或程式庫不同，然而，我們應該還是可以察覺到：在繪製各種碎形時，看似不同的程式進行流程，卻又似乎隱含著某種流程的相似性，因此，我們可否將這類流程抽出，令其通用化，之後只要撰寫相異部份的程式碼就可以了？</p> <p>若試著採用Koch發展出來的「起始元與生成元」，透過這種碎形描繪方式來實現程式碼，我們就可以更進一步發現：流程中隱含的相似性，來自於碎形的自相似性；在起始元與生成元方法中，起始元是初始圖案，生成元會「取代」前次迭代的某圖案單元，而不同的圖案單元則會有各自對應的生成元。</p> <p>例如，超始元定義為實心三角形，而實心三角形的生成元是將之畫分為四個小三角形，中間三角形為空，其餘三角形實心，在每次迭代時，將先前全部的實心三角形以生成元取代，就會生成自相似的謝爾賓斯基三角形（Sierpiński triangle）。</p> <p>根據起始元與生成元的取代過程，顯而易見地，生成元就是自相似性的來源；只不過方才描述超始元、生成元的方式過於冗長了，可否有正式、精確些的描述方式？</p> <p><span style="font-size:28px;"><strong>L-system規範碎形構造</strong></span></p> <p>在先前<a href="https://www.ithome.com.tw/voice/110732" target="_blank">專欄〈遞迴、碎形與數學〉</a>談過「1,1,1,2,1,2,3,1,2,4,3,1,5,2,4,6...」這串像密碼般的數字，因為數列中的子數列具有自我相似性，是一種碎形數列；談到密碼，人們常稱費式數列是大自然的密碼，因為費式數列與許多生物的成長規律有關，而Fn = Fn-1 + Fn-2是人們熟知的描述方式。</p> <p>其實，換個方式來描述費式數列，也可以視其為碎形數列。而這種方式是給個起始元A，以及兩個生成元A→AB、B→A，在首次迭代時，根據A→AB，A被生成元AB取代，接著第二次迭代時就會是ABA（因為AB取代前次的A，而A取代前次的B），三次迭代時，就會是ABAAB，接著是ABAABABA、ABAABABAABAAB……數數看每次迭代的符號數量，會發現是1,2,3,5,8,13. ……這不就是費式數列！（因為是從起始元A開始，也就只有一個1作為數列開頭）</p> <p>若將A看為成年兔子，B視為未成年兔，A→AB就是每個月成年兔會生出一隻未成年兔（而成為兩隻），B→A表示在未成年兔下個月成長為成年兔，A、A→AB、B→A就描述了費式數列介紹時常見的兔生兔範例了。想知道某個月成年兔、未成年兔各是幾隻嗎？數數看符號中A與B的數列就知道了，例如，某月的ABAABABA，代表有五隻成年、三隻未成年兔。</p> <p>A、A→AB、B→A實際上是生物學家Lindenmayer研究海藻生長時，為了以符號描述其成長模型而提出，後來這種符號描述方式正式規範為L-system（L代表Lindenmayer），而成為一套文法描述方式，L-system的定義為G={V,ω,P}，G代表文法，V是符號集合，ω是起始元，P是衍生規則，以方才的範例來說，V是{A, B}，ω是A，P是{A→AB, B→A}。</p> <p>若將零到一的線予以三等分，去掉中間的線，左右的線依同樣方式，持續區分下去，得到的會是康托爾集（Cantor set），這是個無限大的集合，然而，這個集合中又什麼都沒有。假如康托爾集用L-system來描述的話，起始元是A，衍生規則是A→ABA，B→BBB。</p> <p>如果A代表往前移動畫線，B代表往前移動不畫線，在每次迭代時畫出的圖案，會是有趣的紋身圖案（可參考維基百科〈<a href="https://en.wikipedia.org/wiki/Cantor_set" target="_blank">康托爾集</a>〉條目的圖片）。</p> <p><span style="font-size:28px;"><strong>L-system與海龜繪圖</strong></span></p> <p>方才建立碎形圖案時採用的起始元與生成元方法，與L-system其實是同種方式，而在我談康托爾集時，曾說到A、B可代表前進時畫線與否，就像在命令海龜，實際上以L-system來描述碎形圖案的建構，是常見的應用。</p> <p>例如，起始元F，衍生規則F→F-F++F-F，描述的就是科赫（Koch）曲線的生成文法，因為F代表命令海龜前進並繪線，+表示左轉，-表示右轉，若前進長度固定為1，轉動角度固定為60度，F-F++F-F就是一次科赫曲線，F-F++F-F-F-F++F-F++F-F++F-F-F-F++F-F就是二次科赫曲線，依此類推。</p> <p>在L-system結合海龜繪圖時有幾個常用符號，各對應至海龜的指令，除了方才談到的F+-之外，還有f為前進不繪線，|轉動180度，[將目前海龜狀態置入堆疊，]將海龜狀態從堆疊中取出等。</p> <p>光這幾個符號，就可以創造諸多L-system文法，建構許多碎形圖案，我在〈<a href="https://github.com/JustinSDK/dotSCAD/blob/master/examples/turtle/lsystem2_collection.scad" target="_blank">lsystem2_collection</a>〉收集一些規則，有興趣者可以參考。</p> <p>我們也可以將其擴充至3D版的海龜繪圖，最基本的就是增加&（抬頭）、^（低頭）、\（左滾）、/（右滾）等符號，我在〈<a href="https://github.com/JustinSDK/dotSCAD/blob/master/examples/turtle/lsystem3_collection.scad" target="_blank">lsystem3_collection</a>〉也收集了幾個3D版的L-system。</p> <p>從海龜的角度來看，F-F++F-F-F-F++F-F++F-F++F-F-F-F++F-F就是語言，畢竟它看懂並遵照指示繪圖，若以方才的F+-|[]符號構造L-system文法規則，生成的語言是屬於下推自動機（PushDown Automaton），因為其具有堆疊結構，也就是說，若想實現可指定規則並繪圖的L-system程式庫，首先要依規則及迭代次數生成程式碼（像是F-F++F-F），接著剖析程式碼並執行。</p> <p>回到一開始的話題「可否將這類流程抽取出來，令其通用化，之後只要撰寫相異部份的程式碼就可以了呢？」若我們只是根據相異部份程式碼來執行，那麼，就是方才談到的「剖析程式碼並執行」的階段。</p> <p><span style="font-size:28px;"><strong>試著實現L-system</strong></span></p> <p>既然L-system本身就是文法系統，文法如果越豐富，功能就會越強。常見的一種變化，是可設定每次迭代時，是否採用某規則的機率，而這常用於模擬植物生成時既有規律、又具備隨機而產生的多樣性，此時的L-system被擴充為Stochastic L-system，也就是隨機L-system。</p> <p>方才所談到的做法，都是上下文無關（Context-free）的L-system，也可以進一步增加文法至上下文相關。有興趣的話，我們可參考《The Algorithmic Beauty of Plants》第一章〈Graphical modeling using L-systems〉，當中從基本的L-system談到上下文相關的L-system，是個非常詳盡的介紹。</p> <p>整體而言，我們可以試著自行實現L-system並結合海龜繪圖指令，這並不難，而在這個過程中，能夠體會到構造簡單語言、碎形創作等樂趣。若要從簡單的範例開始，可以參考《用Python做科學計算》的〈<a href="https://wizardforcel.gitbooks.io/hyry-studio-scipy/content/37.html" target="_blank">繪製L-System的碎形圖</a>〉。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A2%8E%E5%BD%A2">碎形</a></div><div class="field-item odd"><a href="/tags/l-system">l-system</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E6%B5%B7%E9%BE%9C%E7%B9%AA%E5%9C%96">海龜繪圖</a></div></div></div>
2020/5/28 09:00作者林信良https://www.ithome.com.tw/voice/137795
5G趨勢月報第7期：5G速度有新突破！Nokia公布最新5G網路測試，每秒達4.7Gb
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>05/01~05/31精選5G趨勢新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nokia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G網速 </span></strong></span></p> <p><span style="font-size:22px;"><strong>5G網路速度再創新高！Nokia公布最新5G網速測試，每秒可達4.7 Gb </strong></span></p> <p>Nokia日前宣布創下最快5G速度的記錄，每秒可達4.7 Gb，打破了之前由另一家瑞典電信設備商愛立信保有的最高5G速度的記錄。該公司在今年2月才宣布已達到4.3 Gbps的5G下載速度，但馬上被Nokia超越，其最新測得的5G速度還比它快了0.4 Gbps。Nokia是在位於美國德州達拉斯市，以它的OTA（over-the-air）網路來進行5G速度測試，並使用該公司AirScale無線接取方案提供的EN-DC功能，也就是在4G和5G雙連接模式下，同時結合28GHz和39GHz頻段上共8個100 MHz毫米波頻譜的通道，提供800 MHz頻寬與40MHz LTE頻譜，從而達到了這個速度。Nokia宣稱，它是目前世上速度最快的5G，也是EN-DC模式下測得的5G最高記錄。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">新加坡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G工業4.0 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡公布最新5G實驗計畫，將聚焦三大面向借助5G技術加速智慧工廠發展</strong></span></p> <p>新加坡政府最近公布一項5G實驗計畫，將使用5G技術來展開智慧工廠試驗。負責這項計畫的新加坡資訊通信媒體發展局（IMDA），更找來了IBM、三星、新加坡電信商M1 Limited合作，使用這些公司提供的相關5G技術，來進行場域測試，未來，更將就三大主要面向進行合作，包括發展可運用於各行業的5G創新應用、展示基於工業4.0的5G工廠解決方案，以及商用5G解決方案的推出。其中IBM將在其位於新加坡的實驗室中展開試驗，而三星將提供行動和網路技術，至於M1則成為相關5G技術主要提供者。IMDA期望透過展示其在工業4.0的成果，來加速推動5G在各行業發展。尤其，最近，當地有兩家電信業者剛取得5G執照，將可打造全國5G網路。根據該政府的規畫，目標到2022年底，至少替半個新加坡提供5G網路覆蓋率，2025年底更將覆蓋全國。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G </span></strong></span></p> <p><span style="font-size:22px;"><strong>從手機跨入MR頭戴設備，微軟HoloLens 2也能用5G連網了</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 324px;" /></p> <p>現在不只手機內建5G，就連一些主要混合實境（Mixed Re-ality,MR）頭戴裝置也都開始增加對於5G連網的支援。在近日一場線上Build開發者大會上，微軟就宣布，要將5G連網能力一併帶進自家混合實境頭戴裝置HoloLens 2。原本HoloLens 2就有提供無線網路Wi-Fi的連接，但在加入速度更快的5G網路之後，這也意味著，未來企業能將它用於實現各種需要數據高速傳輸且低延遲的MR應用，如工廠設備檢修等。但因為HoloLens 2本身並沒有內建5G晶片，因此，未來將通過插卡形式來提供5G網路連接功能。除了宣布支援5G連網以外，微軟還公布包含臺灣在內，新一波銷售HoloLens 2裝置的國家，將於今秋開始販售。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G電信雲端市場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>補足進軍電信雲端市場重要一塊拼圖，微軟再買下雲端通訊服務供應商Metaswitch </strong></span></p> <p>微軟今年上半頻頻招兵買馬，為搶進5G電信雲端市場布局，先是買下了雲端電信基礎架構業者Affirmed Networks，近日，該公司更宣布收購另一家雲端通訊服務供應商Metaswitch。這家公司主要以提供虛擬化網路軟體、語音，以及數據和通信解決方案為主，迄今在全球已有超過750家服務供應商，採用該公司的解決方案。微軟買下這家公司，正是看中了其在雲端原生通信軟體的技術實力，未來更要將它整併到Azure雲端服務產品線中，補足前進電信雲端市場的重要一塊拼圖，以便於未來在以雲端為基礎的5G網路環境下，來服務全球的電信營運商。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G調查報告 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G商用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>最新全球5G量化報告出爐，沙烏地阿拉伯5G下載速度最快，南韓緊追在後</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1.png" style="width: 600px; height: 338px;" /></p> <p>行動網路分析業者Opensignal近日發布兩份5G量化報告，其中一份報告揭露了全球8個已部署5G網路的國家中，其連線速度與4G及Wi-Fi網路的比較，發現多數國家5G下載速度都明顯高於4G與Wi-Fi，其中5G平均下載速度排行前三高國家，分別是沙烏地阿拉伯（291.2Mbps）、南韓（224.0Mbps）、瑞士（201.9Mbps），至於美國則吊車尾，其下載速度高於4G，但比Wi-Fi慢，只有52.3Mbps。另一份報告卻有不一樣結果，在分別對於亞洲與歐美10家電信營運商的5G網路效能進行比較，其顯示目前Verizon在美國所提供的5G下載速度最快，每秒下載量可達506.1Mb，南韓的LG U+與SK電信則分居二、三名，速度分別為238.7Mbps與220.6Mbps，最慢的則是T-Mobile，只有47Mbps的速度。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G創新 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G OI Lab </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾、NASA和T-Mobile力拱！新成立5G創新開發實驗室，要協助企業創新5G應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963-5G%E8%B6%A8%E5%8B%A2%E6%9C%88%E5%A0%B1(1).jpg" style="width: 600px; height: 308px;" /></p> <p>最近，美國有間5G創新開發實驗室5G OI Lab正式啟用，初期創始成員更有來自英特爾、美國太空總署NASA和電信業者T-Mobile三家。它是一個由開發人員、新創、企業、學術單位和政府機構共同組成的一個5G創新實驗室，旨在打造全球生態系統，提供一個開放平臺、開發、測試與專家協作環境，協助開發者與新創業者創新5G應用。該實驗室也推出一項計畫，要幫助這些新創企業利用5G技術加速開發如邊緣運算、人工智慧等新興應用。首批選為該計畫的新創公司，約有17家，這項計畫將為期12週，持續到7月17日為止，並會展示相關成果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AT&T </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G覆蓋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>搶攻中階5G手機晶片市場，高通再推出升級版的Snapdragon 768G </strong></span></p> <p>去年底，高通首款中階5G手機SoC晶片才剛發表，相隔不到半年，該公司近日再推出了升級版的Snapdragon 768G，相較於前一代765G，新款不論是在CPU或GPU的效能都提升了15%，而且CPU時脈最高可達2.8GHz，而GPU的時脈升為725 MHz。這代也是Snapdragon 700系列中，首款支援可升級GPU驅動程式的系統單晶片，能提供更逼真的遊戲畫面與沉浸式體驗。在網路部分，則同樣搭載跟上一代相同的5G數據機晶片，能提供最高1.6 Gbps的下載速度，至於上傳速度亦可達3.7 Gbps。並支援了主要地區的5G頻段，涵蓋5G毫米波、Sub-6GHz頻段，還支援5G的SA與NSA雙組網模式，以及5G漫遊與多SIM卡功能等。該款晶片，目前已有小米使用在該公司新推出的紅米5G新手機。責任編輯⊙余至浩</p> <p>圖片來源／微軟、opensignal、5G OI Lab</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多5G動態 </span></strong></span></p> <p><strong>1.計畫合作生變！？英國傳有意在2023年前汰除華為5G網路設備</strong></p> <p><strong><strong><strong>2.臺灣5G聯盟又多一家，電電公會成立5G產業創新發展聯盟以加速5G產業發展</strong></strong></strong></p> <p><strong><strong><strong>3.IBM借助紅帽混合雲多雲平臺，布局電信5G與邊緣運算新戰場 </strong></strong></strong></p> <p><strong><strong><strong>4.聯發科再推兩款增強版5G手機晶片，鎖定高、中階手機裝置市場</strong></strong></strong></p> <p><strong><strong><strong>5.澳洲計畫重新分配現有4G使用頻段，將提供包含850MHz與900MHz更多頻譜用於5G服務</strong></strong></strong></p> <p>資料來源：iThome整理，2020年5月</p> </div></div></div>
2020/5/28 10:52作者余至浩https://www.ithome.com.tw/news/137888
俄羅斯部落格LiveJournala逾2,600萬個憑證流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Have I Been Pwned（HBIP）網站最近<a href="https://haveibeenpwned.com/PwnedWebsites#LiveJournal" target="_blank">收錄了</a>，來自俄羅斯部落格LiveJournal逾2,600萬的用戶憑證資料，HBIP收錄外洩資料的目的是為了讓使用者檢查自己的帳號是否曾外洩，不過，根據外電報導，這批資料已經在俄羅斯各大駭客論壇中免費流竄。</p> <p>LiveJournal是俄羅斯的部落格及日記平台，在論壇散布該資料庫的駭客透露，他們是在2014年入侵LiveJournal，取得了逾3,300萬筆的用戶憑證，包括使用者名稱、電子郵件位址，以及明文密碼。</p> <p>不過，取得該資料庫的HBIP創辦人Troy Hunt表示，從資料庫的內容看起來，LiveJournal被駭的時間點應該是在2017年1月，且資料筆數為2,600萬筆，已於今年5月在駭客論壇中到處被分享。</p> <p>就算多年前就流傳LiveJournal遭到駭客入侵，但LiveJournal迄今未曾出面證實此事，然而，被視為LiveJournal分支、與LiveJournal共享許多程式碼的日記網站Dreamwidth則說，該站持續遭到憑證填充攻擊，揣測是駭客藉由所取得的LiveJournal用戶資訊，企圖入侵Dreamwidth用戶帳號。</p> </div></div></div>
2020/5/27 23:00作者陳曉莉https://www.ithome.com.tw/news/137886
Google釋出最新評估文字生成強健性的自動化指標BLEURT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於現有的自動評估指標已經不敷使用，儼然成為自然語言生成技術的瓶頸，因此Google新開發了一個用來自動衡量文字產生強健性的指標<a href="https://ai.googleblog.com/2020/05/evaluating-natural-language-generation.html">BLEURT</a>，能達到接近人類註釋的準確性，其準確度比常用的自動指標BLEU還高48％。</p> <p>過去幾年自然語言生成技術的發展有長足的進步，可以使用越來越高級的方法，精確地翻譯文字、總結文章、進行對話甚至是發表圖片評論，而Google提到，目前評估自然文字產生系統有兩種方法，分別是人工評估以及自動化指標。人工評估是仰賴人工註釋者進行大規模的品質調查，註釋者會檢視系統所產生的文字，並評估其流暢性和含義的品質，這種方法雖然精確，但是卻相當費時，僅數千個範例可能就需要數十人參與評估，這將會破壞模型開發的工作流程。</p> <p>相較於人工評估，自動評估是更為理想的方法，優點是更便宜且延遲低，自動評估通常以兩個句子作為輸入，一個是候選詞，另一個則是參照詞，評估系統藉由比較兩者相似度給出一個分數，目前常用的衡量標準為BLEU；自動指標與人工評估的優缺點剛好相反，自動指標可以在模型訓練的時候進行計算，回饋強化模型訓練，但是由於其評估僅是表面相似度，因此準確度不高，也無法擷取人類語言的多樣性。</p> <p>Google認為，理想的評估方法，應該要兼具人工評估和自動指標的優點，計算過程成本應該盡量低廉，且又具有足夠靈活性應對語言多樣性。Google新發展的BLEURT，則是一個運用機器學習技術的自動指標，能夠捕捉句子間語意的相似性。</p> <p>而訓練BLEURT模型的第一個問題，便是訓練資料數量不足，即便最大的人類評估資料集WMT Metrics Task，新聞領域也只有26萬筆人工評估，而這不足以訓練出進階的自然語言生成系統評估指標，為了解決這個問題，Google採用轉移學習，應用BERT的上下文單詞表示法，這是一種用於語言理解的最新非監督式表示學習法，另外，Google還使用了先進的預訓練方法，以提高BLEURT強健性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4(6).png" style="width: 400px;" /></p> <p>之所以BLEURT的效能可以這麼好，就是因為使用預訓練技術，Google解釋，在使用人類評估資料微調之前，先使用數百萬個合成句對為模型預熱，研究人員使用維基百科上的句子，應用隨機擾動技術產生訓練資料，由於不使用人工評估，而是使用指標和模型集合，因此能以低成本但極大程度擴大訓練範例的數量。</p> <p>經實驗證實，預訓練確實提高了BLEURT準確性，而Google對BLEURT進行了兩次預訓練，一次針對語言建模目標，另一次針對一系列自然語言生成評估目標，最後才使用WMT指標資料集進行微調。</p> <p>Google對BLEURT進行了基準測試，結果證實BLEURT效能良好，包括在機器翻譯和資料生成文字等任務都超越現有的方法，比應用WMT Metrics Shared Task的BLEU，人工評估分數還要高48％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Table2.png" style="width: 400px;" /></p> </div></div></div>
2020/5/27 23:20作者李建興https://www.ithome.com.tw/news/137880
三星發表新一代行動裝置安全晶片解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星（Samsung）新推出了一個行動裝置安全解決方案，其包含一款稱為<a href="https://news.samsung.com/in/samsung-elevates-data-protection-for-mobile-devices-with-new-security-chip-solution">S3FV9RR的安全元件晶片</a>，可以用來保護儲存在行動裝置上的敏感資料，S3FV9RR晶片將會搭配安全軟體，作為一個獨立的解決方案發布。</p> <p>三星提到，由於行動與非接觸應用越來越普遍，行動裝置與物聯網設備的安全性也越來越重要，才能確保個人資料以及金融交易安全，因此在其智慧裝置上安裝安全鎖，以進一步保護個人資訊。</p> <p>這個新的安全解決方案是2月第一代安全晶片解決方案S3K250AF的增強版，前身只有Common Criteria的EAL 5+認證，部署在三星的Galaxy S20智慧型手機系列中，而現在新一代的S3FV9RR通過更嚴格的安全認證EAL 6+。S3FV9RR晶片擁有兩倍安全儲存容量，新的解決方案還支援硬體的信任根（RoT）、安全啟動和裝置身份驗證，可有效提高行動裝置安全。</p> <p>該解決方案可讓服務供應商和製造商等，使用信任根在行動裝置上執行專有應用程式，而且在啟動程式初始化時，信任鏈便會啟動，依序驗證擁有核准金鑰的每個韌體，這個安全啟動程序由信任根掌控，能夠保護裝置免受可能的惡意攻擊，或是更新未授權的軟體。</p> <p>由於這是一個獨立的安全解決方案，可以獨立於裝置主處理器運作，三星表示，這也讓該解決方案更為靈活，可以將安全功能擴展至各種效能等級的行動裝置、物聯網應用程式和其他裝置上，另外，製造商也可以確保在異地生產的裝置，不會被未經授權的韌體污染。</p> <p>這個解決方案也將會滿足接下即將要發布的Android行動作業系統，其對於加密操作的硬體安全模組要求。三星預計新的解決方案，將會在2020年第三季推出。</p> </div></div></div>
2020/5/27 23:45作者李建興https://www.ithome.com.tw/news/137881
Android平臺出現重大的StrandHogg 2.0漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底揭露Android平臺重大<a href="https://www.ithome.com.tw/news/134570" target="_blank">StrandHogg漏洞</a>的挪威資安業者Promon，在本周公布了更危險、也更難偵測的<a href="https://promon.co/strandhogg-2-0/" target="_blank">StrandHogg 2.0</a>漏洞，它能藏身於Android手機上的任何程式，竊取使用者所輸入的憑證，由於行徑與StrandHogg類似，而被命名為StrandHogg 2.0，幸好Google已在今年5月<a href="https://source.android.com/security/bulletin/2020-05-01" target="_blank">修補</a>了此一編號為CVE-2020-0096的安全漏洞。</p> <p>StrandHogg 1.0開採的是Android多工系統中的taskAffinity控制設定漏洞，只要使用者在Android裝置上安裝了開採該漏洞的惡意程式，它就能挾持裝置上各種合法程式的任務，以合法程式名義取得各種權限。至於StrandHogg 2.0開採的則是Android平臺上的權限擴張漏洞，它透過反射（reflection）來執行，允許惡意程式藏身在各種合法程式之後，以取得某些原本應賦予合法程式的權限。</p> <p>這兩個漏洞的性質很像，都允許惡意程式藏身在合法程式之後，並取得各種權限，因而可竊聽使用者的麥克風、拍照、讀取或傳送簡訊、盜走程式登入憑證、存取裝置上的照片或檔案、取得GPS與位置資訊，或者是存取通訊錄與電話紀錄。</p> <p>相異之處在於它們屬於不同的漏洞，StrandHogg 1.0會留下蹤跡，StrandHogg 2.0卻難以察覺，此外，StrandHogg 1.0漏洞一次只能用來攻擊一個程式，但StrandHogg 2.0漏洞卻只要一個按鍵，就能同時攻擊裝置上的所有程式。</p> <p>當使用者於Android裝置上安裝了開採StrandHogg 2.0的惡意程式之後，在使用者開啟合法程式時，跳出的即會是惡意程式的權限詢問視窗，使用者通常會以為這是合法程式所需要的權限而同意授權，而且之後會再導回合法程式頁面；倘若使用者開啟的是金融程式，惡意程式也可跳出登入畫面，並將使用者所輸入的憑證傳送到駭客伺服器上，繼之再導回合法程式頁面。</p> <p>其實Promon在去年12月，幾乎是同時發現StrandHogg 1.0與StrandHogg 2.0漏洞，只是當時StrandHogg 1.0已遭駭客開採，至少已出現36個開採該漏洞的惡意程式，不得不在Google尚未修補前立即揭露；反之StrandHogg 2.0則尚未被開採，讓Promon決定在Google修補後才公布，迄今Promon仍未看到有任何利用StrandHogg 2.0的惡意程式。</p> <p>StrandHogg 2.0影響Android 9及之前的作業系統，並未波及最新的Android 10，儘管如此，依然有大量的Android裝置含有該風險，因為根據Google的統計，只有8.2%的Android裝置採用Android 10。</p> </div></div></div>
2020/5/27 23:55作者陳曉莉https://www.ithome.com.tw/news/137887
Fintech周報第146期：國泰世華行動銀行App開始支援FIDO網路身分識別
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="color: inherit; vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0523</span></strong></span><strong style="color: inherit; vertical-align: top; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="color: inherit; vertical-align: top; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0529</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰世華銀行 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FIDO </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動銀行App </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國泰世華行動銀行App開始支援FIDO網路身分識別</span></strong><br /><span style="font-size: 18.6667px;">國泰世華銀行近期宣布，已在旗下行動銀行App導入FIDO（Fast Identity Online）聯盟所建立的國際標準規格，結合非對稱式的公開金鑰加密架構和生物特徵辨識技術，提供網路身分識別功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">國泰世華銀行提到，Android 7.0以上或iOS 11.3才能支援這項FIDO服務，可以直接在App內設定升級，用戶將經由App的辨識驗證後，透過公開金鑰加密傳輸形式登入行動銀行帳戶，來降低遭駭或網路釣魚的資安風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">此外App也有多項更新，如國泰世華銀行</span>在自家行動銀行App與數位銀行KOKO App增加人臉辨識轉帳功能<span style="font-size: 18.6667px;">，就連非約定轉帳也可。目的是希望減少用戶忘記密碼、自行輸入密碼或密碼遭惡意攔截等資安風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">另外還新增了信用卡卡片管理功能，用戶可啟動卡片安全鎖，自行控管信用卡的刷卡交易功能，如果遇到卡片遺失也不再擔心遭盜刷。除了手機App新增功能，國泰世華銀行也在自家全臺超過3,700臺ATM提供無卡提款服務，部分區域也陸續推出ATM人臉提款服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/cats.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山金控 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">玉山金控聯手中研院成立人工智慧研發中心，推動金融科技創新應用</span></strong><br /><span style="font-size: 18.6667px;">玉山金控日前宣布，已在今年第一季與中央研究院共同成立人工智慧研發中心，要發展新一代AI，來推動金融科技創新應用。這座研發中心設立在中研院，借助其空間環境與資訊運算設備，來支援研究團隊開發與交流。</span><span style="font-size: 18.6667px;">玉山挹注逾千萬研究經費，將與中研院資訊科技創新研究中心和資訊科學研究所的研究員合作，進行2年產學合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">中研院院長廖俊智表示，中研院資訊科技創新研究中心除了基礎研究之外，亦開發具前瞻性的技術，並發展以應用為導向的系統。雙方結合人工智慧研發的專長和數據資料的應用實務，加速推廣人工智慧發展以提升產業價值；未來2年雙方將在促進研究交流、強化資訊產業價值，以及培育資訊人才等三大面向展開合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">玉山金控總經理黃男州表則提到，將結合中研院在文字探勘、自然語言處理、推薦系統、深度學習等技術，將人工智慧與金融科技落實在實務運用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E7%89%871.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Open API </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 試辦 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">臺灣開放銀行第二階段今年Q3上路，先採取試辦模式進行</span></strong><br /><span style="font-size: 18.6667px;">金管會主委黃天牧預告，臺灣開放銀行第二階段在今年Q3會上路，包括消費者保護、資安等議題都會有配套措施。銀行局局長邱淑貞更揭露，第二階段目前將先採取試辦，而試辦條件的部分，包括銀行公會的自律規範，以及財金公司所訂定資安相關的規格與規範，TSP業者都必須遵守。而銀行在選擇試辦的對象時，則會評估TSP業者的資安能力，以及對客戶資訊保護的作法，來選取合作的對象。她進一步表示，目前金管會所知道的試辦，大概分為兩個模式，一是確實由銀行跟TSP業者一起合作試辦；另一種模式，則是整個集團內各個不同公司的資訊分享。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國票金控 </span> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天銀行 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國票金控旗下國際票券減資24億上繳金控，用來投資設立樂天銀行</span></strong><br /><span style="font-size: 18.6667px;">國票金控5月25日發布重大公告，旗下子公司國際票券申請調整減資24億元上繳國票金控，已在去年10月底經金管會准予照辦，並在今年5月18日已執行完畢。國票金控表示，資金用途為充實國票金控營運資金，來投資設立純網銀，擴大業務領域。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">由日本樂天銀行持股50%、國票金控持股49%、日本樂天信用卡持股1%，所共同成立的樂天國際商業銀行，近期方才正式成立公司。樂天銀行透露，目前純網銀相關規畫與系統建置等，都按照原定時間表進行，預計今年第三季開業。開業時會達到100名員工數，目前已有7成到8成的人力。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/004_%E6%A8%82%E5%A4%A9_%E5%8F%B0%E5%8C%97%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E5%B1%95_20191129.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">黃天牧透露，純網銀預估Q3開業，但目前仍無人申請執照</span></strong><br /><span style="font-size: 18.6667px;">臺灣3家純網銀會在今年Q3陸續開業，不過開業前，業者得備好相關文件向金管會申請核發純網銀營業執照，通過金管會的7大純網銀監管重點之後，才能開始營業。銀行局局長邱淑貞指出，純網銀的風險有其特殊性，不管是在流動性風險、資安、作業風險管理等方面，金管會都針對這些特殊性來強化監理。像是存保公司增加很多新的即時監控設施，來監控純網銀24小時營運的流動性風險。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">邱淑貞更提到，依照純網銀業者取得營業執照後要提供的業務項目，業者必須在自家目前的資安環境做1個月的測試記錄，讓金管會看到要開業項目的測試記錄是可行的，且在資安可控管的範圍內來推動業務。然而，儘管3家純網銀都完成公司登記，但金管會主委黃天牧透露，目前尚未有任何一家向金管會申請核發純網銀營業執照。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">Visa調查：超過6成臺灣民眾具純網銀開戶意願，不到5成民眾對開放銀行服務感興趣</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">根據Visa研究顯示，臺灣民眾對純網銀的興趣濃厚，約有三分之二的消費者願意嘗試任一純網銀業者所提供的革新服務。Visa報告中指出，每10位臺灣消費者就有6位具有純網銀開戶的意願，其中最受消費者青睞的純網銀優勢，包括擁有更優惠的利率（58%）、更低廉的手續費（45%）、更好的服務整合（32%）以及更完善的用戶體驗。同時，消費者認為純網銀可能的不便之處，包括缺少實體分行（59%）、服務種類較現有銀行少（56%），以及缺少自有實體ATM（40%）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">然而，相較於純網銀，Visa報告中指出，臺灣僅有42%的消費者對開放銀行服務感興趣，因為多數消費者不願透過分享個人財務資訊換取這些服務，他們對開放銀行仍持保留態度。而消費者對開放銀行最感興趣的服務，分別為付款通知提示（69%）、整合銀行與信用卡帳戶（63%）以及即時且具競爭力的理財產品（59%）。在被問及願意信任哪些組織瀏覽個人財務資料時，政府機構與公用事業機構最受信任，淨信任度分別為17%和10%，銀行與電信供應商則緊隨其後。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E8%A8%8A%E5%9C%96%E8%A1%A8_%E7%B4%94%E7%B6%B2%E9%8A%80%E5%92%8C%E9%96%8B%E6%94%BE%E9%8A%80%E8%A1%8C.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融資安行動方案 </span> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃天牧 </span></strong></span><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">金管會將在2個月內提出一套4年期金融資安整體計畫</span></strong><br /><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">曾擔任過金管會資安長的黃天牧，在掌管金管會後，將推動金融資安行動方案，設計一個整體金融產業的資安發展政策。金管會將在近期找來相關金融機構與公會來擬定、推動該方案，預計2個月內訂定完成，要以4年為期分階段推動，同時將因應國內外資安情勢做滾動式檢討。而金融資安行動方案的工作項目，主要分為四個構面，第一個構面是有關強化資安監理；二是深化金融機構的資安治理；三則是精實金融韌性。最後一點是發揮資安聯防功能，透過F-ISAC（資安資訊分享及分析中心）來強化相關資安情資分享與合作，建立金融資安相關事件監控與應變體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9652.JPG" /></span></p> <p><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／國泰金控、</span><span style="font-size: 14pt;">玉山金控、</span><span style="font-size: 14pt;">Visa</span><span style="font-size: 14pt; vertical-align: top;">；攝影／洪政偉</span><span style="font-size: 18.6667px;">、李靜宜</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">1</span></strong><strong style="vertical-align: top; font-size: 18.6667px;">. </strong><strong>台新銀行與中山大學合作，開立金融服務與金融科技微學程</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年5月</span></strong></p> </div></div></div>
2020/5/27 19:33作者李靜宜https://www.ithome.com.tw/news/137882
新一代ComRAT木馬程式利用Gmail作為命令暨控制媒介
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>斯洛伐克資安業者ESET本周指出，<a href="https://www.welivesecurity.com/2020/05/26/agentbtz-comratv4-ten-year-journey/" target="_blank">他們發現</a>新一代ComRAT木馬程式，除了使用客製化的命令暨控制（C&C）協定之外，還利用Gmail作為傳送命令或接收所盜資料的媒介。</p> <p>第一代ComRAT木馬程式現身於2007年，它是一個遠端存取木馬，由俄羅斯駭客集團Turla Group所打造，ESET認為它目前的版本為第四代，是在2017年問世。不過，ComRAT v4採用全新的程式碼，而且遠比前幾代還要複雜，它的主要目的仍是竊取機密文件，但也具備執行額外程式的功能，且利用諸如OneDrive或4shared等雲端服務來汲取資料，並同時透過既有的C&C協定與Gmail來作為命令暨控制中心。</p> <p>雖然ComRAT v4的程式碼中並無舊版的蹤跡，但它與其它ComRAT版本採用同樣的內部代號，也使用同樣的C&C協定，其網路架構有部份與Turla的其它惡意程式共享，也是透過Turla的惡意程式來散布，使得研究人員相信它來自Turla。</p> <p>除了竊取機密文件之外， ComRAT v4還能取得Active Directory 群組或使用者資訊，或是攫取Windows配置中諸如群組原則的資訊，同時試圖閃避安全軟體，因為它會定期汲取安全紀錄檔案，以了解自己是否曾被偵測到。</p> <p>ComRAT v4依舊使用HTTP協定來作為命令及控制通道，最特別的是，該木馬程式也利用Gmail的網頁介面作為C&C媒介，它會連到Gmail檢查信箱，下載含有加密命令的特定電子郵件附加檔案，該信箱也會用來接收ComRAT v4所盜走的機密文件。另一方面，駭客則是藉由其它免費的電子郵件服務來寄送加密命令，例如GMX。</p> <p>研究人員表示，Turla至少已利用ComRAT v4來攻擊兩個外交部及某個國家的議會，且一直到今年初都還看到ComRAT v4，意味著Turla集團依然非常積極，此外，由於Gmail通常不會被列入惡意網域，代表駭客企圖藉此規避目標組織的安全控制。</p> </div></div></div>
2020/5/27 22:50作者陳曉莉https://www.ithome.com.tw/news/137885
國軍網路戰聯隊軍士官遭調查局偵辦，攻防演練與竊取將領個資成迷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，有臺灣媒體報導國軍的網路戰聯隊因執行漢光演習模擬紅軍攻擊任務，但卻被依內亂外患罪送辦的消息，目前調查局與高檢署仍在偵辦中。到底實際情況如何？成為外界議論焦點。</p> <p>對於這起事件，國內媒體的報導有完全不同的論調，例如，根據蘋果日報報導指出此案掀國軍高層內鬥風波，指出協助找出漏洞的軍士官，被調查局當成共諜偵辦的荒唐案件，導致有官兵在今年初申請退伍。而自由時報則指出，5名軍士官涉犯內亂外患罪移送高檢署，並強調有5名軍士官辯稱是「好玩」而導致。</p> <p>由於此案有多重疑點，我們也進一步蒐集各方說法，根據掌握到的消息指出，此案可能與網路戰聯隊每月執行的攻防演練有關，也與2017年的漢光演習有一點關連。</p> <p>關於調查局為何在2019年介入此案？我們取得一位與案情相關的前黃姓上尉說法，這起事件最初，是在2017年5月舉行的漢光33號演習，當時舉行的國軍攻防演練計畫中，由當時稱之為網路戰大隊（網路戰聯隊前身）負責，演練過程中，攻擊團隊發現國防部參謀本部人事次長室（聯一）的網站漏洞。</p> <p>到了2017年7月1日，受通信電子資訊參謀次長室（通次室）管轄的國防部參謀本部資通電軍指揮部（簡稱資通電軍）成立，並將網路戰聯隊設置於旗下。在此之後，網路戰聯隊依然每月定期都會舉行攻防演練的任務。黃姓上尉指出，當時他們攻擊團隊發現一個狀況，是之前演習時找出的漏洞，仍然未修補，因此攻擊團隊也利用同樣的漏洞，在演練過程取得的國防機密將領人事資料，之後則是被參謀本部人事次長室通報到調查局處理。然而，事件全貌是否真的只是如此，則有待調查單位去釐清。</p> <p>至於資通電軍的說法，目前我們尚未取得聯繫，而根據蘋果日報的報導，則提到國防部曾在2019年8月函文高檢署，有說明所執行的任務有其正當性，對此，黃姓上尉表示，他知道單位有幫忙寫陳述函發文，但具體內容他不清楚。</p> <p>對於這起事件，法務部調查局也已經給出了他們的說法。在今日（27日）下午，調查局對此事件發出澄清聲明，指出關於媒體報導國防部資通電軍人員於漢光33號演習期間，扮演紅軍駭客遭共諜罪法辦的事件，他們說明狀況並非如此。</p> <p>根據調查局國家安全維護工作站的說法，這起案件牽扯到的是國防部資通電軍指揮部多名軍士官，這些軍士官涉嫌在2017年非法取得國軍具有管理者權限的帳密清單，並多次在非演習期間，查詢及下載關於國防秘密的資訊，而這樣的行為，由於涉犯刑法第111 條第1項「刺探收集國防秘密」，以及刑法第358、361條「妨害電腦使用」等罪，因此調查局在2019年11月，將犯罪嫌疑人移送臺灣高等檢察署偵辦。</p> <p>綜合上述各方的說法來看，調查局強調這次事件是在非演習期間發生，與黃姓上尉說法相吻合，而在偵辦方面，調查局的回應則證實了這起事件以移送臺灣高等檢察署偵辦，不過在偵辦的罪名上，則與國內媒體報導有很大的出入。</p> <p>無論如何，我們認為，這起事件仍然有許多地方需要釐清，像是攻防演練的溝通狀況，以及實際可能發生但未曝光的問題。對此，我們也詢問國內資安專家的說法，專家表示，一般執行滲透測試時，都會明確與受測單位說明攻擊來源IP位址與時段，如此一來，才能與真實的攻擊事件切開。如果測試都有妥善溝通跟回報，理論上應該都能直接出示證據來說明。</p> <p>即便之前找出的漏洞沒有修補，沒有經過允許也不能任意複測，而這次事件也沒有看到上級單位資通電軍指揮部的說法，由於不清楚實際執行狀況，獲得的資訊不足，因此目前很難判斷。再加上當事者可能給人感覺高調的態度，也促使外界看待這起事件時會感到有些奇怪。</p> </div></div></div>
2020/5/27 19:35作者羅正漢https://www.ithome.com.tw/news/137883
維基媒體將制定行為準則解決社群霸凌和騷擾等行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wikimediafoundation.org/news/2020/05/22/wikimedia-foundation-board-announces-community-culture-statement/">維基媒體（Wikimedia）</a>為了建立社群包括旗下所有專案組織，包容和無騷擾的文化，讓社群可以進行有效且具建設性的討論，維基委員會授權基金會開始建立行為準則，並且採取實際行動，制裁或是限制不遵守行為準則的成員。</p> <p>維基百科傳出不少女性和LGBTQ社群成員，受到其他男性編輯和管理人員霸凌的事件，<a href="https://www.nytimes.com/2019/04/08/us/wikipedia-harassment-wikimedia-foundation.html">紐約時報</a>在去年就曾報導，當編輯者對頁面訊息的意見出現分歧時，部分女性維基百科編輯者可能受到霸凌，而被迫放棄參與文章編輯。</p> <p>而維基媒體為了建立健康的社群文化，兌現之前的承諾，現在積極採取行動，維基媒體提到，騷擾、不禮貌和有毒行為，與組織的價值背道而馳，阻礙維基媒體運動，對他們收集、分享傳播免費知識的能力產生負面影響，不只傷害維基媒體社群成員，也對維基媒體專案長期發展不利。</p> <p>考量這些問題的急迫性，基金會將和社群合作，共同改善這些問題，促進包容和尊重，減少對參與者的傷害，也同時要保護專案不受虛假訊息和不良行為的影響。具體作為包括制訂和實施通用行為準則（Universal Code of Conduct，UCoC），而這將會成為維基媒體專案中具約束力的最低標準。</p> <p>制定UCoC會有兩階段，第一階段基金會將與國際維基媒體社群一起制定，可以涵蓋面對面、虛擬事件、技術空間和所有維基媒體專案等各部分的政策，並在今年8月30日前提交給董事會批准；第二階段則會概述明確的執法途徑，並由維基媒體社群共同投入並完善規範，在2020年底送交董事會。</p> <p>不遵守這些規範以及使用條款的參與者，將會受到禁止、制裁和其他方式限制參與維基媒體的運動，另外，基金會也會和社群成員合作，創建完善案件追溯審查流程，並且透過增加對社群人員的支援和合作，在優先考量人身安全的情況下，強制執行這類法遵要求。</p> <p>維基媒體也將會投入必要的資源，協助開發需要的工具，像是資料導向決策以及評估成功的明確指標等，也會與國際專家合作或是額外聘雇人員。在UCoC兩個階段完成，並且正式投入運作之前，社群工作人員的臨時審核程序將持續有效。</p> </div></div></div>
2020/5/27 17:50作者李建興https://www.ithome.com.tw/news/137875
瑞士成為全球首個大規模採用暴露通知API的國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士的洛桑聯邦理工學院（Swiss Federal Institute of Technology Lausanne，EPFL）在本周一（5/25）<a href="https://actu.epfl.ch/news/first-pilot-for-the-google-and-apple-based-decentr/" target="_blank">宣布</a>，該校與蘇黎士聯邦理工學院（ETH Zurich）、瑞士軍事、多所醫院及行政部門，已經開始測試基於暴露通知API（Exposure Notification API）的疫情追蹤程式SwissCovid，並打算在今年6月中開放公眾使用，可望成為全球首個大規模採用該API的國家。</p> <p>蘋果與Google是在5月20日正式釋出Exposure Notification API，這是一個去中心化的接觸追蹤技術，透過藍牙與附近的手機產生連結，並存放彼此的訊號，當出現武漢肺炎（COVID-19）確診者時，衛生機構可在病患的同意下，存取其手機上的藍牙紀錄，並透過行動程式通知曾與該病患近距離接觸的使用者。</p> <p>在釋出Exposure Notification API的當下，蘋果與Google已各自在iOS及Android平臺上支援該API，此一API只允許各國政府及衛生機關使用，以打造追蹤程式，至少已有22個國家提出申請。</p> <p>SwissCovid是由EPFL協助打造，該校表示，SwissCovid將進行數周的測試，直到瑞士議會決定修改現有的流行疾病法令，才能供大眾使用。</p> <p>SwissCovid的功能在於通知曾與確診武漢肺炎的病患近距離接觸的使用者，以讓這些使用者能夠採取進一步的防護措施，以防止疫情的蔓延。瑞士議員Alain Berset表示，SwissCovid不會用來取代其它的保護措施，但能夠控制疫情的散布。</p> <p>為了保障使用者的隱私，暴露通知系統所儲存的是隨機且短暫的藍牙信標金鑰，而當SwissCovid用戶被確診時，醫生會給他一個一次性的代碼，以讓病患能夠用它來與政府機關分享手機上的藍牙信標金鑰，這些金鑰將被上傳到由瑞士政府控管的伺服器上。</p> <p>目前SwissCovid把曾與患者在兩公尺的距離內，相處超過15分鐘的使用者，視為必須傳送通知的近距離接觸者，警告他們曾在哪一天與患者接觸，並提供防護建議。</p> <p>EPFL表示，已有許多國家，特別是在歐洲地區，已準備追隨瑞士推出自己的疫情追蹤程式。</p> </div></div></div>
2020/5/27 16:15作者陳曉莉https://www.ithome.com.tw/news/137877
臉書加密貨幣子公司Calibra更名為Novi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書旗下的加密貨幣子公司Calibra於本周<a href="https://about.fb.com/news/2020/05/welcome-to-novi/" target="_blank">宣布</a>，已將公司名稱變更為Novi Financial，打算提供全球用戶更易存取金融服務的長期目標是不變的，而且會在Libra網路上線時，儘快推出Novi數位錢包服務。</p> <p>負責Novi Financial的David Marcus說明，Novi名稱的靈感來自於novus與via兩個拉丁字，前者代表創新，後者代表方式，意味著該公司將以創新的方式提供數位貨幣服務。</p> <p>看起來Calibra只是換了個名稱，並未改變其負責加密貨幣業務的本質，依然保留Libra幣圖騰，且在Libra協會中的會員名稱，也已從Calibra變更為Novi。</p> <p>Novi Financial的首個服務，將是基於Libra區塊鏈網路的Novi數位錢包。Marcus解釋，Novi可讓轉帳變得跟傳訊一樣方便，使用者可單獨使用Novi程式，也能在Messenger或WhatsApp程式中使用Novi服務，不管是儲值、轉帳、收款或提錢都不會有任何的隱藏費用，而且帳款也會即時到達。</p> <p>此外，所有Novi用戶都能藉由政府頒發的身分證件進行認證，也將內建多種詐騙保護機制，並提供全天候的客戶支援服務。不過，Novi服務的推出時程得視Libra網路的上線日期而定，惟目前Libra並無明確的發表日。</p> </div></div></div>
2020/5/27 16:30作者陳曉莉https://www.ithome.com.tw/news/137878
eBay私自掃瞄網站訪客電腦的遠端存取傳輸埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上eBay購物的民眾要小心了，安全研究人員發現，eBay網站會對上門的訪客在未告知情況下，以程式掃瞄電腦的遠端存取傳輸埠。</p> <p>傳輸埠掃瞄是滲透測試人員和駭客常見行為，他們以工具掃瞄連向網際網路的機器，以了解機器是否有應用或服務聽取網路，通常結果是攻擊行動。但反過來說，若一個網站掃瞄訪客電腦傳輸埠，往往是為了獲知電腦上跑什麼軟體，例如遊戲平台Steam使用port 27036，因此如果這個傳輸埠開啟，大概就可推估用戶上網時同時在玩Steam。</p> <p>安全研究人員<a href="https://nullsweep.com/why-is-this-website-port-scanning-me/" target="_blank">Charles Belmer</a>利用一套市售偵測傳輸埠掃瞄行為的軟體，在eBay進行測試，結果發現有14個傳輸埠成為掃瞄目標。其中包括5900~5903 VNC (Virtual Network Computing) port、3389 Windows Remote Desktop (RDP)、5931 Ammy Admin Remote Desktop、5950 WinWNC等，許多都是作為遠端存取或遠端支援連線之用。</p> <p>研究人員發現，eBay網站上一支腳本程式嘗試對這些傳輸埠建立WebSocket連線，這可讓網站傳送資訊給用戶端瀏覽器，但不需使用者動作。他研判eBay透過這支腳本程式以了解用戶本機網路上跑些什麼程式，但這個過程只在Windows PC上發生，並不掃瞄Linux電腦。</p> <p>另一研究人員<a href="https://twitter.com/JackRhysider/status/1264415922741116929" target="_blank">Jack Rhysider</a>也發現eBay網站繞過防火牆，對其筆電進行傳輸埠掃瞄。</p> <p>eBay掃瞄用戶電腦目的可能是為了發送廣告、辨識瀏覽器指紋或詐欺偵測，但Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/ebay-port-scans-visitors-computers-for-remote-access-programs/" target="_blank">指出</a>，eBay作為一個電商網站，最有可能是想檢查用戶電腦是否被駭而在eBay上詐欺購買，而不是太邪惡的事。eBay隨後也發表了行禮如儀的聲明，表示他們視客戶隱私和安全為第一要務，致力創造安全及可信賴的網站和服務。</p> <p>但Belmer指出，不管eBay的目的為何，掃瞄傳輸埠相當危險，也可能落入歹徒之手帶來不良後果。他建議消費者安裝能封鎖掃瞄傳輸埠的外掛。此外，Tor及Opera也會預設封鎖此類掃瞄行為。</p> </div></div></div>
2020/5/27 15:35作者林妍溱https://www.ithome.com.tw/news/137876
Amazon有意買下Zoox，進軍自駕車市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Information<a href="https://www.theinformation.com/articles/zoox-self-driving-car-startup-valued-at-2-7-billion-is-for-sale" target="_blank">報導</a>，2014年創立的自駕車技術開發商Zoox正在求售，無獨有偶地，華爾街日報引述消息來源<a href="https://www.wsj.com/articles/amazon-in-advanced-talks-to-buy-self-driving-car-tech-company-zoox-11590538611?mod=djemalertNEWS" target="_blank">指出</a>，Amazon正在與Zoox進行併購協商，透露出Amazon有意大舉揮軍自駕車市場。</p> <p>成立6年的Zoox致力於打造自駕車技術，著眼於無人計程車市場，在2018年增資時的估價為32億美元，迄今Zoox的自駕車尚未取得上路許可。本月初則傳出Zoox已與許多汽車製造商接洽，探尋可能的交易或金援，現在看來Amazon也是潛在的買家之一。</p> <p>另一方面，Amazon早在多年前就成立了自駕車團隊，但主要是為了打造自家產品的送貨服務，也投資了許多自駕車新創，包括2016年成立的Aurora Innovation 。</p> <p>根據報導，Amazon與Zoox已進入進階協商，也許還要好幾周才能達到協議，或者也可能破局。</p> <p>Zoox並未完全否認相關報導，坦承有多方對該公司有興趣，且一直與Qatalyst Partners合作進行評估，只是拒絕揭露名單。</p> </div></div></div>
2020/5/27 13:10作者陳曉莉https://www.ithome.com.tw/news/137873
Youtube會把包含「五毛」、「共匪」詞彙的留言自動刪除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Youtube被The Verge<a href="https://www.theverge.com/2020/5/26/21270290/youtube-deleting-comments-censorship-chinese-communist-party-ccp" target="_blank">揭露</a>只要用戶留言中包含「五毛」、「共匪」等批評中國政府的詞彙，就會被立即自動刪除，引發言論檢肅爭議。Youtube周二表示應該是系統錯誤所致，目前已著手調查。</p> <p>至少從去年10月開始就有用戶在討論區<a href="https://support.google.com/youtube/thread/17821466?hl=en" target="_blank">反映</a>，任何留言包含「五毛」就會很神奇地消失。雖然可能是頻道擁有者刪除，但有人在自己的影片上測試也發生類似狀況，因此證明是Youtube系統所為，懷疑Youtube會自動依特定關鍵字清單來過濾反中國言論。</p> <p>報導指出，只要影片或即時串流內容的留言包含「五毛」及「共匪」字樣，大約15秒內就會被刪除。也<a href="https://twitter.com/Ninja_Logic/status/1265087326104907776" target="_blank">有人說</a>只要即時串流的即時留言或對話中包含這些關鍵字，Youtube也會刪掉整個對話重播。但如果是拼音文字或英文「50-cent」或「communist bandit」就不受影響。</p> <p>網友之所以稱中共為「五毛黨」，是因為謠傳中國當局以每則5毛人民幣的代價，要網軍在網路社群平臺上帶風向，以抑制網路上對當局的批評。</p> <p>目前這個檢肅系統是否真的存在還有待釐清。而在Oculus創辦人Palmer Luckey周二透過推特<a href="https://twitter.com/PalmerLuckey/status/1265077232176775168" target="_blank">貼出</a>這則報導後，推友加入測試的結果是有人很快遭到刪除，但也有人表示什麼事都沒發生。</p> <p>Youtube解釋，可能是平臺執法系統發生錯誤，目前已展開調查。</p> </div></div></div>
2020/5/27 12:20作者林妍溱https://www.ithome.com.tw/news/137869
Google擬7月初重開部份辦公室，補貼居家上班費用1千美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然本月Google<a href="https://www.ithome.com.tw/news/137531" target="_blank">允許</a>員工在家上班直到今年底，但隨著武漢肺炎疫情趨緩，Google執行長Sundar Pichai<a href="https://www.blog.google/inside-google/working-google/working-from-home-and-office/" target="_blank">宣布</a>逐步重新開放部份地區的辦公室，在控制時間及人數前提下，先允許有必要的員工回到公司。</p> <p>從7月6日起更多城市的Google辦公大樓將重新開放，Google將以有限度、輪流方式開放員工進公司，例如每幾個星期有1天回來，以維持大樓人數密集率10%的水準。為了維持社交距離和衛生指引，Google也會大幅變更辦公室的空間配置。</p> <p>按照Google的規畫，如果條件允許，會在9月擴大開放人數，允許提高到30%的密集度。6月10日前，有必要進公司的員工會獲得主管通知，其他人則可以居家辦公直到年底，Google也鼓勵員工在家上班。</p> <p>這表示在年底前大部份的人，都還是居家辦公為主。為了補貼員工在家工作的花費，Pichai也宣布每位Google員工都可獲得1000美元或等值當地貨幣，資助他們購買必要設備及辦公傢俱。</p> <p>Pichai也說Google將持續研究更彈性的工作模式，以便讓辦公室成為人際互動和激發創新的地方，又能維持分散式工作的型態。</p> <p>一如Google，臉書也可望在7月6日漸次重開部份地區的辦公室。但臉書執行長祖克伯（Mark Zuckerberg）也<a href="https://www.ithome.com.tw/news/137796" target="_blank">宣布</a>，該公司未來有意讓半數員工改成遠端工作。</p> </div></div></div>
2020/5/27 12:40作者林妍溱https://www.ithome.com.tw/news/137870
川普推文被Tiwtter標註為缺乏根據的說法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）喜歡透過Twitter發表意見眾所皆知，昨天（5/26）川普即針對加州州長簽署了郵寄投票（Mail-In Ballots）行政命令一事提出看法，批評那是詐欺行為，指稱郵箱會被搶劫，且選票可能被偽造，不過，Twitter在該推文下方嵌入了一個<a href="https://twitter.com/realDonaldTrump/status/1265255845358645254" target="_blank">事實查核連結</a>，<a href="https://twitter.com/i/events/1265330601034256384" target="_blank">指稱</a>川普的說法缺乏根據，而川普則<a href="https://twitter.com/realDonaldTrump/status/1265427538140188676" target="_blank">反擊</a>Twitter干預2020年的總統大選。</p> <p>加州是全美第一個要在2020年總統大選，提供郵寄投票選項的州別，但包括川普在內的美國共和黨，卻反對這樣的作法，認為它將造成選舉舞弊。</p> <p>然而，當川普稱它是種詐欺行為的時候，Twitter即在推文下方嵌入了事實查核連結，指稱根據CNN、華盛頓郵報或其它媒體的查核，這是種沒有根據的說法，同時專家也認為郵寄投票其實很少牽涉到詐欺，認為川普的宣稱是錯誤的。</p> <p>在被Twitter打臉之後，川普反過來抨擊Twitter干預2020年總統大選，指責Twitter是根據「假新聞」CNN及「Amazon」華盛頓郵報的事實查核，來判斷他對郵寄投票的論述是錯誤的。</p> <p>為了避免成為假訊息的宣傳管道，Twitter會針對各種錯誤或有爭議的推文提出警告，今年3月美國白宮的社群媒體主任Daniel Scavino，就在Twitter及臉書上張貼了川普競爭對手Joe Biden在公開演講中的一段話，由於該影片經過編輯，只節錄了要大家只能投票給川普的那段話，而先後被Twitter及臉書<a href="https://www.ithome.com.tw/news/136266" target="_blank">貼上</a>了「不實資訊」的標籤。</p> <p>對於郵寄投票爭議，除了川普持續在Twitter上發言，Twitter或白宮都未對外回應。</p> </div></div></div>
2020/5/27 12:55作者陳曉莉https://www.ithome.com.tw/news/137871
金管會新主委預告3個月內揭6大金融方案，將訂Fintech藍圖和金融資安整體規畫，開放銀行第二階段則Q3上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會新主委黃天牧今天（5/26）率領新任副主委許永欽及各局處長，舉行上任後首次記者會，更進一步揭露了先前四大金融目標下更具體的施政方向，預計3個月完成具體方案，如將規畫金融科技發展路徑圖、推動整體性的金融資安行動方案等。</p> <p>黃天牧在交接點儀式上，先揭露的未來四大目標是強化金融韌性、推動創新金融、發展永續金融、落實普惠金融，今天揭露的6大興利方案包括了，公司治理3.0永續發展藍圖、綠色金融行動方案2.0、金融科技發展路徑圖、金融資安行動方案、信託業務2.0、保險業新一代清償能力制度等。黃天牧承諾，3個月內，也就是今年8月底前，將提出長期的制度和規劃，並分1到3年來執行，同時進行滾動式檢討。</p> <p>在金融科技發展路徑圖的規畫上，剛到任不到一周的黃天牧計畫，要傾聽科技業者對金融科技發展的意見，尤其，他強調，上任至今未與業者進行溝通，首次對外界溝通的對象將優先聚焦科技業者，時間預計排定在6月。這也看出這位新任主委對發展金融科技的重視。</p> <p>其他金融科技發展上，臺灣今年下半年還將迎來兩大金融重頭戲，黃天牧指出，3家純網銀會在今年第三季陸續開業，而開放銀行第二階段同樣也會在今年第三季上路。</p> <h3><span style="color:#006400;"><strong>3家純網銀取得營業執照前，還需過金管會7大監管</strong></span></h3> <p>目前，3家純網銀都已正式設立公司，後續還需完成資訊系統等各項作業，備好相關文件向金管會申請核發純網銀營業執照後，才能開始營業。去年中，金管會就提出，要開業，業者還得符合7大純網銀監管重點。</p> <p>這七項重點包括了流動性風險管理、信用風險管理，作業風險管理、信譽風險管理、落實公司治理、維持金融市場競爭秩序和消費者保護，去年金管會也逐一揭露了<a href="https://www.ithome.com.tw/news/132357">每項監管重點的細節</a>，銀行局局長邱淑貞也透露了部分監管重點更多的細節。</p> <p>她指出，純網銀的風險有其特殊性，不管是在流動性風險、資安、作業風險管理等方面，「金管會都針對這些特殊性來強化監理。」</p> <p>例如，7大監管重點之一，將透過存保公司來監控純網銀的24小時營運的流動性風險管理，例如追蹤存款總餘額、存款客戶利率分布等變化情形，邱淑貞表示，存保公司增加了很多新的即時監控設施，來監控純網銀的流動性風險。</p> <p>另外，在作業風險管理上，純網銀開業前，需要經過專業獨立機構，依照「金融機構辦理電腦系統資訊安全評估辦法」及「金融機構提供行動裝置應用程式作業規範」完成檢測，檢附至少1個月的模擬營業操作記錄，且自評符合資訊安全、個人資料保護及作業委託他人處理等規範。</p> <p>邱淑貞指出，這份模擬測試記錄內容，將依照純網銀業者取得營業執照後要提供的業務項目有關，業者必須在自家目前的資安環境做1個月的測試記錄，讓金管會看到要開業的項目，在這期間的測試記錄是可行的，且在資安可控管的範圍內來推動業務。不僅在開業前有資安要求，金管會也要求純網銀業者在開業1年內，必須通過並取得資安標準的認證。</p> <p>然而，儘管三家純網銀都完成公司登記，但黃天牧透露，目前尚未有任何一家向金管會申請核發純網銀營業執照。</p> <h3><span style="color:#006400;"><strong>開放銀行第二階段今年Q3可上路，先採試辦模式</strong></span></h3> <p>今年金融科技另一大重點是開放銀行第二階段的實施。黃天牧表示，今年第三季會上路，包括消費者保護、資安等議題都會有配套措施。邱淑貞更揭露，第二階段目前將先採取試辦，因為就金管會調查結果，金融機構對第二階段開放的資料，以及與TSP業者的合作方面較為擔心，所以建議先採取試辦，再來決定最後合作的模式，金管會則認為這樣的建議合適，故先接受試辦這個方式。</p> <p>邱淑貞更提到，試辦條件的部分，TSP業者必須遵守銀行公會的自律規範，以及財金公司所訂定資安相關的規格與規範。而銀行在選擇試辦的對象時，則會評估TSP業者的資安能力，以及對客戶資訊保護的作法，來選取合作的對象。她進一步表示，目前金管會所知道的試辦，大概分為兩個模式，一是確實由銀行跟TSP業者一起合作試辦；另一種模式，則是整個集團內各個不同公司的資訊分享。這是開放銀行試辦的兩個模式。</p> <h3><span style="color:#006400;"><strong>金管會將提出一套4年期金融資安整體計畫</strong></span></h3> <p>不只大力發展金融科技，曾擔任過金管會資安長的黃天牧，對金融資安有一套自己的看法，他表示，資安是發展金融科技不可或缺的制度，資安要往前看，要有整體觀，不是發生一件事件後再去彌補。所以，他將要推動一項金融資安行動方案，來設計一個整體金融產業的資安發展政策。</p> <p>金管會資訊服務處處長蔡福隆進一步說明，國際上金融事件頻傳，金融資安威脅是每天都在發生的事情。不過，金管會以往在因應資安事件的發生，都是在資安事件發生之後，才去建立相關的監理措施，這樣的作法難以應付駭客越來越走向國際化、專業化與組織化的威脅。</p> <p>他提到，面對金融資安防護的挑戰，金管會參考了國際間金融資安相關監理的趨勢，擬具金融資安行動方案，透過整體性資安監理政策，強化我國金融機構資安防護的能力。金管會將在近期找來相關金融機構與公會來擬定、推動該方案，預計2個月內訂定完成，要以4年為期分階段推動，同時將因應國內外資安情勢做滾動式檢討。</p> <p>此外，蔡福隆表示，金融資安行動方案的工作項目，主要分為四個構面，第一個構面是有關強化資安監理，希望可以形塑金融機構重視資安的組織文化，完備相關資安規範，並透過誘因，讓金融機構願意自己把資安做好。二是深化金融機構的資安治理，要加強金融機構資安管理，強化資安監控相關措施。三則是精實金融韌性。最後一點是發揮資安聯防功能，透過F-ISAC（資安資訊分享及分析中心）來強化相關資安情資分享與合作，建立金融資安相關事件監控與應變體系。文⊙李靜宜</p> </div></div></div>
2020/5/26 23:25作者李靜宜https://www.ithome.com.tw/news/137863
微軟更新Azure Cosmos DB現可自動縮放預設吞吐量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新了自家的雲端NoSQL資料庫服務<a href="https://devblogs.microsoft.com/cosmosdb/build-2020-announcements/">Azure Cosmos DB</a>，除了強化和分析服務Azure Synapse的整合之外，該資料庫服務現在還能自動縮放配置的吞吐量，而且用戶也可以使用自己的金鑰對靜態資料加密。</p> <p>微軟釋出了Azure Synapse Link功能預覽，這是一個混合交易和分析處理的功能，可讓Azure Synapse存取Cosmos DB，以獲取接近即時的分析結果。微軟提到，Synapse Link和Cosmos DB緊密整合，其使用Cosmos DB分析儲存庫，這是一個完全隔離的欄儲存，可讓Azure Synapse Link以無ETL（Extract-Transform-Load）的方式，分析儲存在Cosmos DB中的資料，因此企業可以在不影響Cosmos DB上交易工作負載效能的情況下，透過Synapse Spark或Synapse SQL以執行接近即時的商業智慧、分析和機器學習工作管線。</p> <p>而Cosmos DB之前預覽的自動駕駛模式，現在更名為自動縮放預配置吞吐量正式釋出，藉由自動縮放功能，可以在維護SLA的同時，自動快速擴展以滿足突如其來的流量峰值，微軟提到，自動縮放功能讓用戶不用監控流量，並且還能與Azure Cosmos DB免費服務一併使用。正式版比預覽版多了一些功能，包括能以請求單位（RU/s）自定義最大預配置吞吐量層級，而且也能自動擴展現存資料庫和容器，使用者也可以用Cosmos DB SDK和資源管理樣板，編寫程式控制。</p> <p>在安全性的改進上，用戶現在可以使用自己管理的金鑰加密靜態資料，這功能可滿足使用者特殊的安全性和法遵要求。另外，Azure Cosmos DB現在還內建Jupyter Notebook，資料科學家可以直接在Cosmos DB中分析並視覺化資料，微軟提到，為了方便團隊協作和共享筆記本，使用者可以將筆記本工作空間連接到GitHub存儲庫中，在該工作空間進行查看、執行和編輯，之後便能簡單地將成果跟他人共享。</p> <p>微軟還預告了幾個即將推出的功能，包括Cosmos DB將推無伺服器服務，該服務將會成為現有的預配置吞吐量計價模型的另一種選擇，無伺服器消除了預配置吞吐量的概念，可滿足不穩定吞吐量工作負載的需求。微軟還將推出時間點還原（PITR）功能，可以避免意外寫入或是刪除資料所造成的傷害，還能連續備份Cosmos DB資料。</p> </div></div></div>
2020/5/27 01:20作者李建興https://www.ithome.com.tw/news/137859
Nvidia資料視覺化工具IndeX在Google雲端市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端市集現在上架Nvidia的資料視覺化工具<a href="https://news.developer.nvidia.com/nvidia-index-now-available-on-google-cloud/">IndeX</a>，IndeX SDK可以讓研究人員即時視覺化並且操作超大量的資料集。IndeX可以提供準確且高品質的資料視覺化、資料表達和註釋功能，而且支援高擴展性，對GPU架構最佳化，因此可跨多個GPU進行運算。</p> <p>IndeX上架到Google雲端，便可應用雲端基礎設施，使用GPU加速叢集，即時對大規模資料進行視覺化，並且強化嵌入幾何和多值體積資料的運算。Nvidia IndeX可以在Kubernetes叢集上執行，並且運用GPU執行計算，Nvidia提到，IndeX還可以透過Web API部署成為渲染伺服器，讓客戶端應用程式也可以整合使用大規模資料集。</p> </div></div></div>
2020/5/27 01:20作者李建興https://www.ithome.com.tw/news/137860
密碼心理學：66%習慣使用同樣的密碼，42%認為好記的密碼比安全性重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理解決方案供應商LastPass本周<a href="https://blog.lastpass.com/2020/05/new-survey-shows-bad-passwords-at-home-affect-the-workplace-too.html/" target="_blank">公布</a>一調查報告，指出就算絕大多數的使用者都知道複雜密碼的重要性，但依舊有66%的使用者習慣採用同樣的密碼，而且有42%認為，好記的密碼比安全性還重要。</p> <p>LastPass調查了來自全球的3,250名網路使用者，詢問他們對密碼的態度，發現他們的觀念與行為頗不一致。例如有91%的受訪者知道持續採用同樣的密碼是危險的，但卻有66%依舊使用同樣或類似的密碼；或者有80%的使用者擔心密碼會外洩，但卻有48%從未變更他們所使用的密碼。當詢問使用者為何使用同樣的密碼時，有60%回答他們擔心忘記。</p> <p>當LastPass詢問使用者總共建立多少個網路帳號時，有7成受訪者的答案落在1至20個之間，事實上，根據LastPass的用戶數據分析，每個LastPass用戶平均有38個網路帳號。LastPass認為，這代表使用者自己並不知道到底有多少可能被危害的帳號。</p> <p>此外，42%的受訪者認為自己的帳號或資訊並不值錢，但LastPass提醒，一組信用卡資訊在黑市的售價雖然只有5美元，但可能會被用來盜刷，或是藉由相關資訊來存取使用者的金融帳號。</p> <p>幸好有愈來愈多的使用者開始採用多因素認證，除了使用密碼之外，也添加了指紋或一次性密碼等多重安全機制，只是，雖然有54%表示他們在個人帳號上使用了多因素認證，但只有37%在職場上使用多因素認證。</p> <p>其實使用者並非是在所有的帳號上都採用同樣的密碼，而是有重要性的區別，例如當詢問會在哪些帳號建立更強大的密碼時，選擇金融服務的占了69%，電子郵件占了47%，醫療紀錄占了31%，工作帳號占了29%。</p> </div></div></div>
2020/5/27 00:45作者陳曉莉https://www.ithome.com.tw/news/137864