iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

航太服務供應商VT San Antonio Aerospace淪為Maze勒索軟體受害者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於美國的航太服務供應商VT San Antonio Aerospace（VT SAA）在6月5日<a href="http://vt-saa.com/news" target="_blank">坦承</a>，該公司受到Maze勒索軟體駭客集團的攻擊。另一方面，Maze則在官網上宣布，已經取得1.5TB的VT SAA資料。意謂著駭客可能以這些資料來要脅受害者支付贖金。</p> <p>VT SAA為一航太服務供應商，主要提供飛機的維護與修改，以及組合零件的生產，迄今已重新遞送超過5,000架飛機。此外，VT SAA的來頭不小，它的母公司為ST Engineering North America（原名VT Systems），是新加坡科技工程有限公司（ST Engineering）在美國的總部，而ST Engineering則有逾94%的股權屬於新加坡國有的淡馬錫控股。</p> <p>為了證明成功入侵了VT SAA，Maze集團公布了超過100份的文件，包括財報、網路保險契約及提案等。該集團還向Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/us-aerospace-services-provider-breached-by-maze-ransomware/" target="_blank">透露</a>，他們所取得的文件還有IT安全系統資訊，以及ST Engineering對拉丁美洲特定政治組織的金援。</p> <p>VT SAA並未公布駭客的入侵途徑，但Bleeping Computer透過Maze集團外洩的攻擊備忘錄指出，駭客是先取得了一管理員帳號，透過遠端桌面連線存取VT SAA伺服器，再危害所預設的網域管理員帳號，襲擊了兩個網域的內部網路伺服器及檔案伺服器。</p> <p>至於VT SAA則表示，在發現意外的當下，該公司即立即採取行動，包括切斷特定系統與網路的連結，聘請一流的第三方鑑證顧問以協助調查，也通知了執法機關。</p> <p>目前VT SAA已遏止了駭客的攻擊行動，且相信該攻擊只侷限在有限的ST Engineering North America商業運作，現在的業務依然照常運作。</p> <p>此外，VT SAA亦採取進一步的防護行動，包括部署先進的工具來補救並回復系統，同時強化了整體的網路安全架構。VT SAA並未公布駭客所要求贖金規模，也未提及是否會因擔心駭客公布機密資訊而支付贖金。</p> <p>Maze集團向來以索取高額贖金聞名，去年該集團曾攻陷美國纜線製造商Southwire，並向Southwire索求價值約600萬美元的比特幣（850個）作為解密贖金，Southwire不從的結果是駭客公布了該公司的機密資訊，<a href="https://www.ithome.com.tw/news/135157" target="_blank">使得Southwire</a>一狀告上法院。</p> </div></div></div>
2020/6/8 16:10作者陳曉莉https://www.ithome.com.tw/news/138124
Google偵測GitBook遭用作網路釣魚攻擊，逕自停用網域服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.gitbook.com/tech/post-mortems/06-20-gitbook-domains-blocked-by-registrar">電子書服務GitBook因為被利用來進行網路釣魚，因此域名被Google Domains停用</a>，在GitBook解決了自定義域名的問題，並跟Google溝通後，域名已經重新恢復運作，官方提到，他們將來會改善惡意內容偵測和加快暫停帳戶的速度。不過，由於GitBook不滿意Google的處理方式，之後會把域名移動到CloudFlare Registrar。</p> <p>在6月4日時，GitBook發現其大量服務無法使用，甚至無法使用@gitbook.com發送以及接受電子郵件，但由於服務本身正常，因此他們馬上發現是DNS供應商或是GitBook網域發生問題，而在之後他們也收到Google Domains團隊寄來的一封信，通知他們因為網域被用於網路釣魚，因此所有GitBook網域都已經被暫停使用。</p> <p>GitBook在過去幾周確實發現平臺上網路釣魚內容增加，但是強調他們早已經封鎖了所有相關的內容以及帳戶，官方提到，Google也發現了這個問題，但做法卻是直接禁用所有GitBook網域，導致GitBook的服務失效，雖然他們已經盡可能把系統設計得能夠處理錯誤發生，但是網域名稱註冊商是一個單點服務，一旦遭到阻擋則服務將直接中斷。</p> <p>在GitBook收到DNS遭禁用的信後，便立刻與Google Domains團隊聯繫，試圖找出問題所在以及可以採取的措施，Google的回應信中，提供明確遭到用於網路釣魚攻擊的網域，並要求GitBook進行第三方內容與漏洞掃描等行動，GitBook官方則表示，他們早已經在GitBook中封鎖該網域名稱，但整個網域還是被停用，而且Google要求解除網域停用的步驟，都非短期可以完成。</p> <p>官方一邊以推特和Intercom聯絡其用戶，並提供臨時解決辦法，另一邊則是聯絡Google Domains團隊，而該團隊則提到要回報給法遵團隊，需要24到48小時才能提供回覆。官方集思廣益，想找出不依賴Google的解決方案，而在8小時後，他們收到來自Google的回信，表示已經恢復他們遭到禁用的網域，而GitBook的服務也逐漸恢復正常。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%2520from%2520iOS.jpg" style="width: 580px;" /></p> <p>對整個事件的檢討，GitBook提到，未來他們會更積極地偵測惡意內容，過去雖然他們能夠偵測垃圾郵件，但仍屬於被動處理，未來他們會將所有要發布到GitBook網站的內容，先導到內容過濾服務進行掃描，主動偵測並且阻擋惡意內容。</p> <p>此外，經過這個事件，GitBook也決定更換網域名稱註冊商，從Google Domains換到CloudFlare Registrar，官方提到，Google從網域層級來處理網路釣魚問題，成了他們的一場災難，他們收到的第一封信就是暫停他們的網域，之前完全沒有調查報告或是通知讓他們能夠回應，而且原因還是他們在一個星期前，就已經發現且禁用的內容。</p> <p>官方表示，因為GitBook讓用戶在平臺上創建內容，因此惡意內容對GitBook來說，一直是個問題，而他們需要一個能夠合作的隊友，而非站在對立面的服務，因此他們決定把網域移動到CloudFlare Registrar。GitBook也認為，Google Domains不適用於那些託管使用者內容的網站，因為一旦網站上有單個URL被偵測為惡意URL，則整個網域就會被停用。</p> </div></div></div>
2020/6/8 16:35作者李建興https://www.ithome.com.tw/news/138123
臺灣高科技產業再傳攻擊事件，自動化設備廠盟立公告遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月20日前後，有多家臺灣大型企業遭到勒索軟體攻擊，像是半導體封測廠<a href="https://www.ithome.com.tw/news/137447">力成</a>的湖口廠區在5月初遭到攻擊，如今又傳出有高科技業者受害。6月7日下午2時，自動化設備廠盟立於臺灣證券交易所公開資訊觀測站上，發出公告表示，他們的資訊管理系統遭到勒索軟體攻擊，導致資料庫無法正常存取，目前啟動備援作業並逐漸復原，公司機密資料沒有遭受波及。</p> <p>盟立也在這次的公告提到，這次的攻擊事件對他們沒有重大影響，並表示公司的財務管理系統、倉儲管理系統，以及人事系統均為正常，只是為了避免勒索軟體感染出現擴散的情況，他們的客戶和供應商資訊系統，還有軟體的更新工作，改用離線的方式來作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automation-mirle-announcement.png" style="width: 580px;" /></p> <p>在盟立的公告裡，只有提及他們是遭到勒索病毒攻擊，還有如何進行相關的因應措施，但沒有提到此次攻擊事件發生的經過。對此，我們致電盟立進一步詢問，該公司財務長林芳毅表示，在接近6月6日中午，他們的資安維運中心監控系統發出警示通知，於是資訊人員進行清查後發現，有部分的資料因電腦遭到勒索病毒感染，導致無法正常存取，隔日早上，他們就收到要求支付贖金的電子郵件。發現異常之後，該公司就對於各項作業的伺服器，進行全面檢測，目前正逐步將受損的資料進行復原。不過，對於勒索病毒攻擊影響的範圍，以及有多少電腦受到感染，林芳毅並未透露相關的細節，僅表示他們不會向駭客支付贖金。</p> </div></div></div>
2020/6/8 12:52作者周峻佑https://www.ithome.com.tw/news/138118
隱私瀏覽器Brave遭爆私自為用戶填入推薦代碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每月用戶數已超過1,500萬人的隱私瀏覽器Brave，在最近<a href="https://decrypt.co/31522/crypto-brave-browser-redirect" target="_blank">被踢爆</a>，它在使用者要造訪特定網站時，私自以自動填入功能，加入了自己的推薦代碼，以賺取廣告收益。</p> <p>揭露此事的是一名SEO專家Cryptonator1337，他說，當他在Brave瀏覽器鍵入binance.us時，Brave自動幫他填入並變成binance.us/en?ref=35089877，看起來像是Brave在他所輸入的網址上，自動填入了推薦代碼，此一代碼將允許加密貨幣交易平臺幣安（Binance）辨識其流量來源，並與其分享商業利潤。</p> <p>在此事被踢爆後，其他開發人員檢視了Brave在GitHub上釋出的原始碼，發現Brave的合作對象不只是幣安，還包括Coinbase、Ledger與Trezor等其它加密貨幣交易平臺，是這些平臺的聯盟行銷夥伴，最早的合作日期為今年的3月25日。以Coinbase為例，若有行銷夥伴成功推薦了會員，那麼就能分享會員在前三個月於該平臺上交易手續費的5成。</p> <p>開發人員批評，Brave自詡為隱私瀏覽器，既阻擋追蹤Cookie，也替使用者封鎖廣告，卻在未經使用者同意下於自動填入功能上動手腳，加入了自己的推薦代碼，破壞了使用者對該瀏覽器的信任，非常不可取。</p> <p>Brave創辦人暨執行長Brendan Eich很快就出面<a href="https://twitter.com/BrendanEich/status/1269313200127795201" target="_blank">承認錯誤</a>，表示只推薦那些選擇參與廣告服務的使用者，也未透露任何使用者的資料予合作夥伴，但自動填入功能著實不應該被添加任何程式碼，對這個錯誤感到很抱歉。</p> <p>Brave已經修改程式碼並移除自動填入功能上的推薦代碼，開發人員可自行部署新的程式碼，一般使用者則可在6月11日取得更新後的Brave。</p> <p>不過，也有<a href="https://www.androidpolice.com/2020/06/07/brave-browser-caught-adding-its-own-referral-codes-to-some-cryptcurrency-trading-sites/" target="_blank">媒體</a>替Brave緩頰，認為Brave並沒有擅自把使用者送到這些網站，只是在使用者原本輸入的網址上加入推薦代碼，畢竟Brave也需要營收來提供免費服務。</p> </div></div></div>
2020/6/8 14:30作者陳曉莉https://www.ithome.com.tw/news/138121
受祖克柏資助的逾200名科學家連署要求臉書處置不實資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有214名科學家在近日刊登了一封<a href="https://medium.com/@jasonsynaptic/letter-of-concern-to-mark-zuckerberg-from-chan-zuckerberg-initiative-funded-scientists-cd7e8335d17b" target="_blank">公開信</a>，目的是希望臉書創辦人暨執行長祖克柏（Mark Zuckerberg）能夠處置臉書平臺上的不實資訊，特別是美國總統川普（Donald Trump）煽動暴力的言論，受到矚目的是，這群科學家都是受到祖克柏與妻子Priscilla Chan所成立的組織贊助的，他們的研究計畫或者是來自Chan Zuckerberg Initiative（CZI）的贊助，有些則是透過Chan Zuckerberg Biohub取得贊助。</p> <p>這群科學家認為，像臉書這樣的社交平臺，已一躍成為資訊交流的主要管道，儘管他們促進了全球的資訊流通，但同時也助長了不實資訊的散布，未經事實查核的訊息傳播將造成混亂，也會導致使用者對專家的不信任。</p> <p>就算臉書設有內容政策，但令他們訝異的是，臉書並未依照該政策來處置川普的文章，放任川普利用臉書來散布不實資訊與煽動言論，例如川普所說的「一旦有人開始搶劫，就是開槍之時。」明顯就是在煽動暴力。</p> <p>科學家們說，他們很榮幸獲得CZI的贊助，並協助實現CZI的理想：利用科技來解決最艱困的挑戰，從預防及根除疾病、改善兒童的學習、改革犯罪司法系統，一直到替所有人建立一個更包容、公正與健康的未來，然而，允許不實及分裂性語言的傳播有違此一目標，他們非常關心臉書所採取的立場。</p> <p>因此，他們希望在美國面臨種族歧視風暴之際，祖克柏能夠對不實及煽動性言論採取更嚴格的政策。</p> <p>對於是否移除或標註川普在臉書上的發言，已在臉書內部引起了<a href="https://www.ithome.com.tw/news/137999" target="_blank">紛爭</a>，更被視為祖克柏掌權15年以來最大的挑戰。當時祖克柏表示，他知道許多人不滿臉書留下了川普的文章，但臉書的立場是儘可能地允許人們表達，臉書決定保留的原因是有關美國國民警衛隊的說法是一種行動上的警告，人們應該要知道政府是否正在計畫部署武力。</p> <p>不過，為了撫平員工的不滿，祖克柏已於上周<a href="https://www.facebook.com/zuck/posts/10111985969467901" target="_blank">宣布</a>將重新審查其內容政策，包括有關使用武力的討論與威脅，壓制選民的政策，以及如何處理違規內容等。</p> </div></div></div>
2020/6/8 14:50作者陳曉莉https://www.ithome.com.tw/news/138122
新加坡COVID-19接觸追蹤App不好用，改推穿戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最早開發出武漢肺炎（COVID-19）接觸追蹤程式TraceTogether的新加坡，由於在iPhone裝置上不好用，因此新加坡政府<a href="https://www.youtube.com/watch?v=CGvUexD1Udk" target="_blank">宣布</a>將改推穿戴裝置達到同樣的目的，並將於近日推向所有國民，但也引發侵害隱私的疑慮。</p> <p>主導開發TraceTogehter的新加坡智慧國家計畫（Smart Nation initiative）的外交部長Vivian Balakrishnan 解釋，從三月以來，TraceTogether的下載量為150萬人，但由於iOS不允許該App背景運作時掃瞄藍牙訊號，因此這款App在iPhone手機上運行不那麼順暢，無法同時使用其他App，因此目前民眾下載意願不高，新加坡政府也未強制安裝TraceTogether。</p> <p>但同時他也宣布，基於無法透過和蘋果協調出解決手機App的問題，新加坡正在開發一款「可攜穿戴裝置」，並將於近日釋出。這款裝置作用和TraceTogether目的相同，但不需要用到智慧型手機，而若該裝置測試可行，將發放給570萬新加坡國民，希望能比手機App方案更能「涵括所有人」。</p> <p>這個穿戴裝置可能是類似香港或巴林等地，使用追蹤武漢肺炎隔離者的<a href="https://www.ithome.com.tw/news/136468" target="_blank">電子腕帶</a>，能在無法用手機的情境下使用。</p> <p>雖然新加坡政府保證TraceTogether蒐集的資料，是加密儲存於用戶手機上，且僅會在有人確診感染才會在用戶授權下供衛生主管機關存取，也會在25天後自動刪除。但這項新宣布仍引發侵害隱私的反彈聲浪。一個公民團體Change.org發起<a href="https://www.change.org/p/singapore-government-singapore-says-no-to-wearable-devices-for-covid-19-contact-tracing" target="_blank">連署</a>，反對這款用於接觸追蹤的穿戴裝置強制實施。</p> <p>這個活動發起人Wilson Low指出，這裝置允許追蹤者根據裝置和其他人手機、基地臺甚至裝置之間的距離，來詳細蒐集國民的一切行蹤，而不論國民是否手機帶在身上、手機是否開機、是否在基地臺訊號範圍內，或者是否開啟藍牙或Wi-Fi，都無法免於被追蹤。唯一方法是裝置本身電量耗盡、使用發射干擾訊號的裝置，或是完全離群索居不和人接觸，不使用智慧型手機。</p> <p>Low還指出，新加坡政府可能接下來透過立法要求國民不得關閉裝置，使新加坡走向警察國家的道路。</p> <p>這個連署計畫蒐集3.5萬人支持，目前已經有超過2.9萬人加入。</p> </div></div></div>
2020/6/8 12:40作者林妍溱https://www.ithome.com.tw/news/138117
Google搜尋可以找到30萬筆WhatsApp用戶電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度獨立安全研究人員Athul Jayaram近日<a href="https://medium.com/@athuljayaram/your-whatsapp-number-may-be-leaked-in-the-open-web-they-dont-care-do-you-dcf147236746" target="_blank">揭露</a>，他發現利用Google搜尋，就可以找到2.9萬筆到3萬筆的WhatsApp用戶電話號碼，而問題則出在於WhatsApp的點擊對話（click to chat）功能。</p> <p>WhatsApp雖然是以電話號碼作為註冊依據，但新增好友時不一定要提供電話號碼，而是只要掃描QR code即可。然而，WhatsApp特別替網站或商家設計的點擊對話功能，則是透過[https:]//wa.me/產生一個含有電話號碼的連結，使用者只要點選該連結，就會開啟WhatsApp，並可傳訊給對方或是與對方通話。</p> <p>Jayaram指出，一來該連結並未加密，因此使用者從連結中就能看到明文的電話號碼，若是大量分享連結，曝光的範圍就更大了；二來 https:// 檔案，因而讓搜尋引擎得以爬梳並索引這些電話號碼。</p> <p>於是，當在Google上執行特定的搜尋字串時，就會出現大量的WhatsApp電話號碼，點選相關的連結，即可透過WhatsApp與對方傳訊或通話，當然也可直接傳送簡訊至該電話號碼，此外，若加上國碼，也可將搜尋範圍縮小至特定國家，也許是台灣使用WhatsApp的人數不多，當加入+886進行搜尋時，只出現3筆結果。</p> <p>由於WhatsApp為臉書的子公司，因此Jayaram企圖透過抓漏獎勵專案聯繫臉書，但臉書則說該專案並未涵蓋WhatsApp。Jayaram在6月7日對外公開了此一臭蟲，而今日（6/8）依然可透過Google找到大量的WhatsApp用戶電話號碼。</p> <p>Jayaram表示，使用者的電話號碼可能連結了加密錢包、銀行帳號或信用卡，並讓駭客有機可趁，而WhatsApp其實只要加密連結中的電話號碼，或建立robots.txt就能預防此事了。</p> </div></div></div>
2020/6/8 12:45作者陳曉莉https://www.ithome.com.tw/news/138119
蘋果新開源專案，方便密碼管理員App產出知名網站相容的強密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五（6/5）<a href="https://developer.Apple.com/news/?id=06052020a" target="_blank">宣布</a>一項開源專案，讓密碼管理員開發商更快速建立和受歡迎網站相容的強密碼，同時迫使網站不要使用「太機車」的密碼規則。</p> <p>原本蘋果的iCloud Keychain平臺已經在用戶建立Apple帳號或變更密碼時，用於產生強密碼。最新的「密碼管理員資源」（Password Manager Resources）專案，則是讓密碼管理員開發商把Keychain這方面的know-how整合到App中，以便App能產生更好用的強密碼。</p> <p>蘋果指出，市面上有許多密碼管理員App，可為用戶產生獨特強密碼，以免用戶自己想出的密碼容易被猜出或重覆使用。但如果密碼管理員App產生的密碼和網站不相容，用戶不便使用發生挫折，也多了理由不想設密碼。如果把各網站的密碼規則要求蒐集起來，可以解決上述問題，另一方面，公開網站服務的過於刁鑽的密碼政策，也可以藉由點名施加標準化的壓力。</p> <p>現在蘋果已將密碼管理員資源<a href="https://github.com/Apple/password-manager-resources" target="_blank">公布於</a>GitHub上，這些資料主要是受歡迎網站的特殊習性、行為和相關程式碼，這包括三類：如產生特定網站相容密碼的規則、一群後臺使用相同憑證架構的網站（方便App產生登入網站的憑證）、以及引領用戶前往變更密碼的網站連結（以促使使用者採用強密碼）。</p> <p>蘋果指出，密碼管理員App開發商使用這些資源的好處包括：取得這些資源他們可以花更少心力提升App品質，藉由公開網站特殊行為，密碼管理員App可促使網站使用現有或未來的標準技術提升兩者的相容性，而這類App品質提升後，也更能提升用戶信賴，對大家都好。</p> <p>蘋果除了鼓勵App開發商整合這些資源，也希望開發商們將手上知道的網站特殊習性回饋給專案，以便其他App開發商也能雨露均霑並加以測試。</p> </div></div></div>
2020/6/8 10:00作者林妍溱https://www.ithome.com.tw/news/138114
美政府警告駭客開始針對Windows 10 SMBGhost漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部上周（6/5）<a href="https://www.us-cert.gov/ncas/current-activity/2020/06/05/unpatched-microsoft-systems-vulnerable-cve-2020-0796" target="_blank">發布</a>公告，要求用戶儘速修補一個已有修補程式的Windows 10安全漏洞，因為相關攻擊程式正在網路上流傳。</p> <p>國土安全部下的網路安全暨基礎架構安全署（Cybersecurity and Infrastructure Security，CISA）得知網路上已經可供下載且有效的概念驗證（proof-of-concept, PoC）程式，正在開採未修補Windows 10 PC上的CVE-2020-0796漏洞。雖然微軟三月間即已<a href="https://www.ithome.com.tw/news/136307" target="_blank">揭露該漏洞</a>，且釋出安全更新，但是最近有開源安全報告發現，一群攻擊者已經瞄準尚未修補該漏洞的系統發動攻擊。</p> <p>CVE-2020-0796為一遠端程式碼執行（RCE）漏洞，存在於Microsoft Server Message Block 3.1.1（SMBv3）協定中，可讓遠端駭客傳送惡意封包到SMBv3伺服器觸發，於目標Windows 10機器上執行任意程式。本漏洞影響Windows 10 1903/1909，以及Windows Server 1903/1909等版本作業系統。</p> <p>CVE-2020-0796為一「wormable」的漏洞，意謂使用者無需動作，駭客即可成功開採，本漏洞CVSS基準風險評分為最高級的10分（即滿分），意謂風險極為重大（critical），又被稱為SMBGhost漏洞。由於微軟未能在當月的Patch Tuesday修補，迫使微軟緊急<a href="https://www.ithome.com.tw/news/136330" target="_blank">發出</a>例外安全更新。</p> <p>CISA建議用戶及企業IT管理員儘速安裝更新版本杜絕這項漏洞，並使用防火牆關閉SMB傳輸埠的對外連線。</p> </div></div></div>
2020/6/8 10:15作者林妍溱https://www.ithome.com.tw/news/138115
太狠了！勒索軟體Zorab假冒成另一勒索軟體STOP的解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ID Ransomware的創辦人Michael Gillespie近日<a href="https://twitter.com/demonslay335/status/1268908281151586304" target="_blank">指出</a>，有人在市場上釋出了勒索軟體STOP（又名Djvu）的解密工具，然而，千萬不要相信這些來路不明的解密工具，因為它其實是另一個勒索軟體Zorab假冒的。代表Zorab企圖利用受害者急於解密的心情，卻再次加密那些已經被加密過的檔案。</p> <p>去年現身的Stop勒索軟體主要透過金鑰產生器及破解程式散布，當時市場上至少有160種變種，但資安業者Emsisoft與Gillespie則共同釋出了一個可解鎖當中148種變種的解密金鑰。</p> <p>然而，Gillespie發現，市場上卻出現假的Stop解密金鑰，且執行後它竟然是另一個勒索軟體Zorab。</p> <p>過去Zorab主要是透過垃圾電子郵件或電子郵件附加檔案散布，但也許是覬覦STOP的受歡迎程度，因而偽裝成STOP的解密工具。根據Emsisoft去年的統計，Stop在勒索軟體領域的市占率高達56%。</p> <p>使用者即抱怨，為何會有人想以勒索軟體感染已被另一勒索軟體感染的裝置，而讓受害者雪上加霜。</p> <p>Cointelegraph引用Emsisoft分析師的看法<a href="https://cointelegraph.com/news/beware-fake-ransomware-decryption-tools" target="_blank">指出</a>，這是在提醒使用者，務必要從可靠的來源下載解密工具，否則可能造成二度傷害。</p> </div></div></div>
2020/6/8 10:35作者陳曉莉https://www.ithome.com.tw/news/138116
Microsoft Teams開放免費版建立視訊會議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了挑戰Zoom及再衝高Teams用戶數，微軟上周（6/2）<a href="https://support.office.com/en-us/article/getting-started-with-meetings-in-teams-free-f307d79a-11ce-47e3-91ac-f5f615c7572a" target="_blank">開放</a>免費版本用戶得以建立視訊通話。</p> <p>在此之前，免費版Microsoft Teams用戶只能作為與會者（participants）身份加入付費版用戶建立的視訊。而因應武漢肺炎（COVID-19）疫情，和付費版一樣，微軟表示視訊會議的時間長度也不設限。</p> <p>從Teams左邊工具列的Meetings（會議），使用者可以選擇Meet Now立即建立視訊。填入會議名稱、使用影像與否（或只要聲音）、挑選偏好的聲音源，最後按下「Join Now」加入，再邀請他人加入會議。另外，也可以選擇「Schedule」安排日後的會議，使用者可以從Outlook、Google Calendar，或是從通訊軟體向他人發送邀請。</p> <p>這是微軟近日為Teams<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/what-s-new-in-microsoft-teams-may-2020/ba-p/1423015" target="_blank">加入</a>的眾多功能之一。其他新功能包括主持人在Teams會議進行間變更Teams設定、管理與會者簡報、更清楚的邀請與會者加入選項，最新的4.4.4.1.0版Microsoft Teams Rooms (Skype Teams Rooms)會議室App，以及<a href="https://www.ithome.com.tw/news/136308" target="_blank">三月宣布</a>的Teams和Skype消費版(Skype for Consumer)互通。</p> <p>微軟上周還向媒體<a href="https://www.ithome.com.tw/news/138056" target="_blank">證實</a>正在開發7x7窗格顯示功能，使螢幕上一次可以顯示49個人，以取代現在的3x3（9個人）窗格。</p> <p>微軟希望能藉此累積更多用戶以追趕Zoom。Zoom上周<a href="https://www.ithome.com.tw/news/138039" target="_blank">公布</a>第一季營收達3.28億美元新高紀錄，比去年同期成長169%，每日與會者為3億人次（未公布用戶數），而根據微軟四月<a href="https://www.ithome.com.tw/news/137328" target="_blank">宣布</a>的數字，Teams每月不重複的用戶數為7,500萬人。</p> </div></div></div>
2020/6/8 09:30作者林妍溱https://www.ithome.com.tw/news/138113
AI可望成為企業IT應用新常態
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，人工智慧已成為熱門的IT技術應用議題，從IT廠商到各產業，都可看到不少導入的案例，然而，企業實際採用AI的狀況究竟如何，各界都很關注。</p> <p>今年上半，我們看到已經有業者揭露相關的現況。例如，以出版電腦資訊書籍而聞名的O’Reilly公司，在三月發表發表了調查報告，裡面提到幾個可以參考的數據。</p> <p>例如，正在評估或在生產環境使用的企業比例，已高達85%；有一半的人表示，他們對於AI的採用方式是成熟的，意味著將AI用於分析或正式環境。</p> <p>而在機器學習的技術當中，監督式學習是AI採用成熟者最常用的作法，比例為73%，比去年下滑7%，深度學習的採用比例為66%；而仍在評估AI的人士，最常採用的方式是深度學習，比例為55%，監督式學習則是54%。值得注意的是，在AI採用成熟者當中，有接近25%的人表示，他們使用增強式學習（Reinforcement Learning），另外，也有23%的人使用遷移學習（Transfer Learning）。</p> <p>至於企業採用AI的障礙，多數人表示，缺乏機器學習與人工智慧的技能是最大的困難，而在技能缺口的部份，有58%的人表示，他們缺乏機器學習建模人員與資料科學家。採用AI的第二、三大挑戰，則分別是理解與維持商業應用案例（49%），以及資料工程（40%）。同時，有22％的人認為，缺乏機構支持是最顯著的問題，他們也看到少數組織的作法，是運用正式的治理控制來支援AI的努力投入。</p> <p>而在AI應用軟體上，TensorFlow是最普遍使用的工具，比例為55%，而就AI五大熱門軟體來看，就有四種與Python有關，有的是基於這個程式語言而成，有的則是相關的程式庫、設計模型、專案。</p> <p>至於使用AI的風險，有53%的人表示，出乎意料之外的輸出與預測，是建構與部署機器學習的最大風險（採用AI成熟者這麼認為的比例接近三分之二，AI評估者為53%）。而就第二大風險而言，採用AI成熟者認為是機器學習模型的互通性與透明度，占55%；AI評估者則認為是公平性、偏見與倫理學的爭議，將近40%，而這也是採用AI成熟者認為的第三大風險，占48%。</p> <p>除了透過使用調查來反映企業AI採用現狀，另一個需要注意的問題則是：企業已經準備好採用AI了嗎？我們也看到有多個研究機構，提出了AI成熟度模型評估方式，例如，在Forbes網站的一篇文章〈5 Steps To Get Digital Enterprises Ready For AI Adoption〉，作者Mark Minevich列舉了7種作法，並彙整為1套AI先行者成熟度模型，當中區分成9個等級，有意採用AI的企業，也可以看看這裡面的分法，並反思本身目前處於何種狀態。</p> <p>整體而言，這幾年以來，企業對於AI的採用意願並不低，投入發展的機會相當高，而在今年武漢肺炎肆虐之下，各界如何善用AI來控制疫情，成為眾所關切之處，使得AI不僅是企業長期發展的策略，也能在短期、緊急的狀態下，提供、補充與強化應變能力。</p> <p>對此，有些研究機構也提出建言，例如，Garter在5月發出新聞稿指出，對於政府與醫療照護的CIO而言，他們認為，AI可以改善5個領域的決策制定品質，分別是：早期偵測與流行病分析、封鎖隔離、分類與診斷、健康照護的維運、疫苗的研發。</p> <p>同樣受到疫情衝擊的其他產業，其實，也可以思考如何運用人工智慧的技術，來提升既有的作業效率，並且積極發展自動化處理的作法，減少實體的人員接觸。</p> <p>過去，若提出這樣的建議，很多人會覺得不切實際，這只是為了滿足技術狂熱者追逐新科技的興趣，但如今全球性大規模急性傳染病來襲，已是無可逃避的現實，發展已久的IT、數位化，因為可以跨越實體環境的限制，而且穩定提供服務，此時足已承擔業務持續運作的重責大任，然而，接下來，該如何能更準確、快速地作出判斷，我們需要更懂得善用資料庫、大數據、人工智慧等資料科技，來提供協助。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2020/6/8 09:00作者李宗翰https://www.ithome.com.tw/voice/138082
AWS發布最新使用AMD EPYC處理器的EC2執行個體C5a
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c5a-instances-powered-by-2nd-gen-amd-epyc-processors/">AWS新推出使用第二代AMD EPYC處理器的執行個體C5a</a>，C5a是C5執行個體的變體，AWS提到，C5a能比同等級執行個體以低10％成本，提供高效能處理。</p> <p>AWS已經推出了一系列使用AMD處理器的執行個體，包括M5a、R5a/M5ad、R5ad以及T3a，這些執行個體都是以AWS Nitro系統為基礎建置，讓用戶能以比同等級M5、R5與T3執行個體還要低的價格，選擇符合自身性價比需求的執行個體。</p> <p>C5a執行個體經過最佳化，使用時脈達3.3 GHz的AMD處理器，適合用於處理各種運算密集的工作負載，像是批次處理、分散式分析、資料轉換、日誌分析和網頁應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20125%20-%20New%20%E2%80%93%20Amazon%20EC2%20C5a%20Instances%20Powered%20By%202nd%20Gen%20AMD%20EPYC%E2%84%A2%20Processor_%20-%20aws_amazon_com.jpg" style="width: 525px;" /></p> <p>提供C5執行個體的AWS服務，現在也提供C5a執行個體支援，像是AWS Batch、Amazon EMR、ECS和EKS，AWS提到，C5a完全相容64位元x86，並且由同樣的Nitro平臺上託管，AMI可在兩者間通用。C5a現在已經在美東、美西、歐洲和亞太地區，提供8種尺寸的C5a執行個體。</p> <p>官方還預告，帶有快速本地端NVMe儲存的C5ad執行個體，還有裸機C5an.metal和C5adn.metal等執行個體型號也即將推出。</p> </div></div></div>
2020/6/7 07:20作者李建興https://www.ithome.com.tw/news/138108
研究人員發現以少見Java格式開發的新勒索軟體Tycoon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>BlackBerry資安研究單位與KPMG合作，最近發現了一個稱為<a href="https://blogs.blackberry.com/en/2020/06/threat-spotlight-tycoon-ransomware-targets-education-and-software-sectors">Tycoon</a>的勒索軟體，這個軟體以木馬化JRE（Java Runtime Environment）形式部署，研究人員提到，雖然Tycoon已經存在一段時間，但他們沒有觀察到大規模感染狀況，代表其具有很高的針對性。</p> <p>研究人員第一次在網際網路上觀察到Tycoon是在2019年12月，這是一個針對Windows和Linux的多平臺勒索軟體，其使用了特殊的Java映像檔格式來規避偵測，並經高針對性的感染途徑，滲透到中小型的教育組織和軟體公司，藉由加密檔案伺服器來要求被害企業支付贖金解密。</p> <p>經分析，Tycoon透過暴露在網際網路的RDP跳轉伺服器入侵企業網路，攻擊者使用網路上的RDP伺服器連接到系統，並且搜尋目標，尋找管理員的憑證，接著安裝駭客攻擊服務並且禁用防毒軟體，在留下後門後便離開。之後攻擊者會再次連接到RDP跳轉伺服器，並且把該伺服器當作樞紐，橫向地在網路中移動，連接到企業各系統，經過分析後，執行駭客攻擊服務，並以批次檔安裝勒索軟體，逐一感染企業網路中的伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-tycoon.png" style="width: 580px;" /></p> <p>為了讓惡意程式在受害者系統可長時間留存，攻擊者使用了一種稱為映像檔劫持（Image File Execution Options，IFEO）注入的技術，IFEO設定會儲存在Windows註冊表中，原本是讓開發者可以在執行主要應用程式的時候，能同時執行附加監控程式，來對主要應用程式進行除錯，而駭客利用這個方式載入惡意程式，作為獨立的程序執行。</p> <p>攻擊者還使用了駭客攻擊工具禁用了企業網路的安全解決方案，並更改Active Directory伺服器密碼，讓受害者無法存取系統，最後，攻擊者執行了Java勒索軟體模組，對所有檔案伺服器加密，包括連接到網路的備份系統。</p> <p>Tycoon勒索軟體是以ZIP檔案的方式散布，其中包含了一個木馬化的JRE，該惡意軟體被編譯成為Java映像檔（JIMAGE），研究人員提到，JIMAGE是一種特殊的檔案格式，用來儲存自定義的JRE映像檔，這個JRE映像檔會在執行時給JVM使用，其包含了支援特定JRE建置程式的所有Java模組資源和類別檔案。JIMAGE是在Java 9開始提供，不像是常用的JAR格式，JIMAGE通常用於JDK內部，相關的文件資源也很少，一般開發者很少使用。</p> <p>勒索軟體映像檔解開後，裡面包含命名為Tycoon的專案，研究人員提到，因為JRE包含了Windows和Linux版本，這代表Linux伺服器也在鎖定目標中。</p> <p>勒索軟體使用AES-256演算法加密檔案系統中的檔案，並且以10 MB為單位加密成檔案塊，研究人員解釋，勒索軟體會跳過大檔案，以求加速加密過程，更快地讓整個系統無法使用。由於勒索軟體使用非對稱的RSA演算法，對AES金鑰進行加密，因此要解密檔案，便需要攻擊者的RSA私鑰。雖然理論上可以破解1024位元RSA金鑰，但需要用上非常大量的運算資源，目前也尚未有實現的例子。</p> <p>不過，在網路論壇有一名受害者發布了一個RSA私鑰，研究人員推測該私鑰來自於支付贖金的受害者，所取得的解密金鑰，而經過他們試驗，該金鑰可以破解最早版本的Tycoon勒索軟體加密的部分檔案，但在最新版本的Tycoon便已經失效。</p> <p>發現Tycoon勒索軟體的重要性在於，該惡意程式應用了非典型的駭客技術，研究人員提到，攻擊者一直在尋找可以規避偵測的方法，而事實證明，這些惡意軟體開始使用一些非傳統的混淆技術，採用了不常見的程式語言以及資料格式，用Java和Go程式語言所撰寫的勒索軟體大幅成長，而Tycoon是他們發現第一個使用JIMAGE格式的惡意JRE程式。</p> </div></div></div>
2020/6/6 06:40作者李建興https://www.ithome.com.tw/news/138095
新版Signal將提供臉部模糊處理功能，以保護抗議者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日全美許多人上街抗議非裔人士遭警殺害，為了防止影片被警方用作蒐證抓人，加密通訊工具Signal 6/4宣布下一版將加入臉部模糊化功能，協助抗議人士隱藏身份。</p> <p><span data-stringify-type="paragraph-break">近幾個月美國接連發生路易斯維爾非裔女急救員</span>Breonna Taylor，在家裏遭警員開槍死亡，以及George Floyd被警方壓頸窒息死亡，引發許多人上街抗議。Signal執行長Moxie Marlinspike指出，他們支持走上街頭表達心聲的人們。許多抗議團體利用Signal相互聯繫，而Signal也致力開發支援這些民眾的功能。<span data-stringify-type="paragraph-break">Marlinspike說，「</span>2020年面罩是個好東西」。最新版Android和iOS版Signal將在圖像編輯中<a href="https://signal.org/blog/blur-tools/" target="_blank">新增模糊化功能</a>，按下功能表中一個類似OK繃交叉成十字的圖示，即可將圖像中的人物臉部模糊處理。這項模糊功能使用Android和iOS最新的系統和平臺函式庫，所有處理都在裝置上進行，而非在雲端，以維護隱私。但Marlinspike解釋，這些函式庫存在一些瑕疵和偏差，以致於無法100%偵測到人臉而加以模糊處理，因此新功能也可在預設功能外，允許用戶手動模糊人臉，或特定地方。新版本已經送到兩大應用程式商店，以便儘可能及早釋出。</p> </div></div></div>
2020/6/7 06:30作者林妍溱https://www.ithome.com.tw/news/138109
自駕車真的能減少車禍？研究：只能減少1/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國公路安全保險協會（Insurance Institute for Highway Safety，IIHS）近日發表一<a href="https://www.iihs.org/news/detail/self-driving-vehicles-could-struggle-to-eliminate-most-crashes" target="_blank">研究報告</a>，指出當外界以為自駕車有一天會讓車禍成為過去式時，事實並非如此簡單，根據他們的研究，在美國所發生的5,000起重大車禍中，自駕車大概只能減少1/3的車禍發生。</p> <p>IIHS的研究人員Alexandra Mueller檢驗了在美國國家公路交通安全管理局中，登記在案的逾5,000起重大車禍，篩選對象為至少有一輛車被拖走或是呼叫了救護車，並將這些車禍的人為疏失分門別類，發現就算駕駛的是自駕車，也只能避免1/3的車禍。</p> <p>人們通常認為自動駕駛系統可以去除人類開車的失誤，因此Mueller也只分析了因人為因素而造成的車禍，可能的原因包括感知錯誤，例如駕駛人分心、視線不良或反應太慢；或者是預測錯誤，像是駕駛人誤判行車距離、其它車輛的速度或行人的動向；有些是規畫與決定上的錯誤，諸如在控制車輛時出現不適當的閃避錯誤或過度補償；以及喝酒、吸毒或打瞌睡所造成的失能意外。另有一些難以避免的意外，是因為車輛故障所造成的。</p> <p>在有了上述資料之後，研究人員想像未來所有道路上的車輛都是自動駕駛的，但也只能避免來自感知錯誤與失能的車禍意外，而它們分別只占車禍原因的24%與10%，代表仍有2/3的車禍難以避免。</p> <p>研究人員以2018年3月Uber自動駕駛測試車在亞利桑那州撞死一名行人為例，指出該自動駕駛系統一開始即無法很準確的辨識待在路邊的行人，就算它能夠辨識，也無法預測行人會從車輛前方穿越馬路，因而未能採取適當的措施。</p> <p>至於規畫及決定上的錯誤則包括超速及其它違規行為，占了所有車禍原因的4成。研究人員說，此類的決策錯誤代表駕駛人的開車習慣或喜好，凌駕了自動駕駛車的安全選項，未來的自駕車設計應該在兩者發生衝突時，以安全為優先，不僅應遵守交通規則，也應根據道路狀況調整駕駛策略，還必須能夠因應道路上其它使用者的不確定性。</p> </div></div></div>
2020/6/7 06:45作者陳曉莉https://www.ithome.com.tw/news/138110
新華社、中央電視臺被臉書標記為中國國營媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年10月的時候，公告將會<a href="https://about.fb.com/news/2020/06/labeling-state-controlled-media/">標註出受國家控制的媒體</a>，而這項政策現在開始實施，因此由俄羅斯政府所控制的RT、Sputnik和Redfish，以及中國政府控制的新華社和中國中央電視臺，都已經在透明度頁面中被添加註記，讓讀者能更清楚的知道，這些媒體背後的控制者是誰。</p> <p>臉書提到，他們之所以要提供更完整的媒體透明度資訊，是因為這些媒體運用自身影響力，來支援國家策略，而讀者應該了解他們所閱讀的新聞，來自於被政府控制的媒體。從夏末開始，臉書在這些媒體的廣告上，也會加註同樣的提醒資訊，讓媒體的付費內容也具有同等的透明度，臉書提到，他們會先從部分媒體開始，隨著時間逐漸增加。。</p> <p>這個新的註記，會出現在廣告檔案庫頁面（Ad Library Page）、一般頁面以及頁面透明度區塊上，而美國從下周開始，該註記還會出現在動態消息中的新聞貼文上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/NRP-Labeling_State_Controlled_Media_on_Facebook_inline-label_share_page_transparency.jpg" style="width: 580px;" /></p> <p>臉書諮詢了全球65位媒體、治理、人權以及發展專家，了解政府對於媒體控制的方式，臉書不只將財務控制和所有權列入考量，同時也考慮了政府對編輯控制的影響，制定了臉書自己的標準，以這項標準來評斷媒體是否受政府控制。</p> <p>臉書制定的標準，會評估制度的完整性，媒體必須建立程序、流程和保護措施，以確保編輯的獨立性，並且公開所有權結構，包括媒體擁有者、利益相關人、董事會成員、管理階層以及由政府指派的領導職位等資訊。</p> <p>另外，編輯部也要公開主管和員工的資訊，說明其編輯方針，像是內容來源的透明度，以及資料來源的獨立性和多樣性，媒體必須要有完整的治理和問責機制，像是有懲戒政策、投訴程序、外部評估和監督委員會等。</p> <p>當臉書能夠確定媒體具有編輯獨立性，便不會加註標籤，因此要證明其獨立性的媒體，可以提出上訴，並提供有力的證明，像是提供媒體所屬國家，具有保護該組織編輯獨立性的法令，還要經由獨立且可信的外部組織進行評估，確定媒體確實遵守法令，並且按照建立的程序執行，而臉書也會考慮特定國家因素，諮詢學者和專家，對新聞自由等領域進行開源研究。</p> <p>雖然由國家控制的媒體很少在美國下廣告，但由於2020年11月即將舉辦美國大選的公開辯論，臉書提到，出於謹慎考量，他們在今年夏末，將不讓這些媒體在美國投放廣告，以防範其他國家對美國選舉的干預。</p> <p>遭到臉書標記為受國家控制的俄國媒體RT，則大力抨擊臉書大小眼執行標準不一，像是對BBC新聞，僅標記其由英國廣播公司（British Broadcasting Corporation）所有，而英國廣播公司則是英國主要的公共媒體機構，是由英國政府成立的廣播機構。</p> </div></div></div>
2020/6/7 07:00作者李建興https://www.ithome.com.tw/news/138104
加拿大特許專業會計師協會遭駭，近33萬人資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大官方的特許專業會計師協會（Chartered Professional Accountants of Canada，CPA）近日<a href="https://www.cpapracticeadvisor.com/accounting-audit/news/21141038/cpa-canada-data-breach-affects-329000-members" target="_blank">對外公告</a>，該協會的網站遭到未經授權的第三方入侵，大約有32.9萬名的個人資料外洩，包括該站的會員以及其它相關人士。不過，CPA其實是在會員已經收到駭客的網釣郵件之後，才知道該站被駭了。</p> <p>CPA是由加拿大的三個會計師組織合併而成，屬於國家組織，有超過21萬名的特許專業會計師會員。該協會在公告中表示，駭客所存取的資料庫主要存放了與寄送CPA雜誌有關的個人資訊，包括姓名、地址、電子郵件帳號，以及雇主名稱，還有部份加密的密碼與信用卡號碼。</p> <p>儘管CPA是在今年6月才通知受害者，警告這些資訊可能被駭客用來執行網釣攻擊，請他們要留心任何可疑的電子郵件，包括那些自稱是CPA的郵件在內。然而，BleepingComputer卻<a href="https://www.bleepingcomputer.com/news/security/cpa-canada-discloses-data-breach-affecting-329-000-individuals/" target="_blank">踢爆</a>，CPA是在會員已經收到網釣郵件之後，才察覺自己的系統被入侵。</p> <p>事實上，CPA曾<a href="http://webcache.googleusercontent.com/search?q=cache:GhTzmaCvFTAJ:https://www.cpacanada.ca/en/members-area/profession-news/2020/april/security-notice-possible-phishing-scheme+&cd=1&hl=en&ct=clnk&gl=ro" target="_blank">在今年4月</a>向會員提出警告，因為有會員收到偽裝成自家公司IT部門的郵件，聲稱CPA網站遭駭，要求會員變更CPA密碼，當時CPA還說，他們正持續監控其網路平臺的安全性，而且未發現有任何異常現象。</p> <p>只是在一個月後，CPA就承認自己被駭了。CAP僅說已與網路安全專家合作以強化系統安全，並未揭露遭到駭客入侵的時間點。</p> </div></div></div>
2020/6/7 07:05作者陳曉莉https://www.ithome.com.tw/news/138111
Totolink等多家廠商無線分享器存在漏洞，已遭駭客鎖定駭入並設定VPN作為跳板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月29日，刑事警察局公布有駭客集團假借防疫名義架設釣魚網站，當中提<a href="https://www.ithome.com.tw/news/138094">到釣魚信的寄發，是透過一家不知情企業的無線分享器作為跳板轉發</a>，而設備之所以成為跳板，根據刑事警察局說明，原因是無線分享器存在CVE-2019-19822及CVE-2019-19823的漏洞，遭駭客利用，導致設備被對方掌控，並被擅自設定VPN連線所造成。</p> <p>因此，當時刑事局科技犯罪防制中心科技研發科特別強調一點，就是網路設備若未立即修補更新，恐造成資安缺口，因此，當時他們函請該無線分享器廠商修補漏洞，同時也呼籲民眾要使用者重視連網設備的安全管理。</p> <p>對於駭客掌控這些無線分享器設備的風險，科技犯罪防制中心科技研發科股長黃翰文說明，因此特定廠牌的無線分享器有VPN的功能，一旦該網通設備的VPN的連線功能被開啟後，駭客就可以使用Windows提供的SSTP VPN連線方式，連至該分享器，並將設備做為跳板進行連線。</p> <p>在這次公布的資安事件中，由於刑事局只說明企業的無線分享器遭利用，但沒有具體說明那些品牌的連網設備，但根據上述兩個CVE漏洞編號，我們還是可以幫助民眾瞭解那些網通產品存在風險，可能是這個攻擊行動的下一受害者，因為刑事局提及已發現5起以上的這類遭駭案例。</p> <p>對於上述兩個漏洞，我們進一步找出了相關資訊，這是去年12月由研究人員Błażej Adamczyk所揭露，他來自波蘭西里西亞技術大學，過去曾數次揭露無線分享器的漏洞，包括華碩與D-Link的產品。</p> <p>簡單來說，上述兩個漏洞主要存在基於Realtek SDK的路由器系列，因此影響多個廠牌的產品，其中Totolink產品數量最多，共有8款受影響，其他還包括Sapido、CIK Telecom、KCTVJEJU、Fibergate、t-broad、Coship與IO-Data等廠商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%84%A1%E7%B7%9A%E8%B7%AF%E7%94%B1%E5%99%A8%E9%81%AD%E9%8E%96%E5%AE%9A%E6%88%90%E8%B7%B3%E6%9D%BF.jpg" style="width: 600px;" /></p> <blockquote><p>關於CVE-2019-19822、CVE-2019-19823漏洞的問題，根據研究人員Błażej Adamczyk的分析，多家設備廠商的無線路由器產品受影響，其中Totlink有8款機種為最多。已知影響產品： <br /> ●Totlink A3002RU , 702R , N301RT , N302R , N300RT , 200RE , N150RT與N100RE <br /> ●Rutek RTK 11N AP <br /> ●Sapido GR297n <br /> ●CIK TELECOM MESH ROUTER<br /> ●KCTVJEJU Wireless AP<br /> ●Fibergate FGN-R2 <br /> ●Hi-Wifi MAX-C300N<br /> ●HCN MAX-C300N<br /> ●T-broad GN-866ac<br /> ●Coship EMTA AP<br /> ●IO-Data WN-AC1167R<br /> possibly others.</p> </blockquote> <p>以影響範圍與嚴重程度來看，Totolink產品用戶最需要注意。因為Błażej Adamczyk指出，該公司受影響的產品還存在另外兩個漏洞，分別是CVE-2019-19824與CVE-2019-19825的漏洞，攻擊者可將這4個漏洞串在一起利用，就能完全控制路由器。他估計，市面上有70萬設備受影響，其中並有7萬個裝置是易受攻擊的對象。</p> <p>在發現漏洞之後，他聯繫了多家廠商，包括Totolink、CIK Telecom、Sapido、 Fibergate與Coship，只有兩家廠商回應，但都沒有具體修復行動。之後，他在去年12月16日對外揭露這些漏洞。</p> <p>後續，他在今年1月聯繫到臺廠瑞昱半導體（Realtek），對方在1月中旬回應，說明預設SDK配置並沒有問題，主要是大多數設備廠商修改了軟體，同時也包含身分驗證機制在內，才使之成為弱點。接下來，瑞昱又在1月23日說明修補狀況，將減少以明文形式存儲密碼的影響。</p> <p>然而，對於用戶而言，真正嚴重的問題在於，各家設備廠商是否修補。舉例來說，以Totolink受影響的其中一款產品而言，例如N300RT，我們在該公司官網上看到最新的韌體更新，是在2019年5月14日，這也意謂業者尚未修補上述漏洞，設備用戶可能面臨無從修補的困境。</p> <p>整體來看，由於這次的漏洞問題與瑞昱SDK有關，又影響到多家廠商的產品，顯然這樣的資安事件與供應鏈安全的議題有關。</p> <p>而對於企業與一般用戶而言，無論如何，以這次刑事警察局公布的國內受害案例來看，強調了企業無線分享器被駭客掌控的資安問題，也就是提醒用戶必須注意這類產品的漏洞修補更新，更進一步關注的是，產品業者是否持續有在修補漏洞維護設備安全，應用戶採購設備時可能需要留意之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%84%A1%E7%B7%9A%E8%B7%AF%E7%94%B1%E5%99%A8%E9%81%AD%E9%8E%96%E5%AE%9A%E6%88%90%E8%B7%B3%E6%9D%BF(1).jpg" style="width: 600px;" /></p> <blockquote><p>近期刑事警察局科技犯罪防制中心科技研發科表示，發現國內民眾與企業的網通設備淪為跳板，其原因是無線分享器存在CVE-2019-19822及CVE-2019-19823漏洞且遭駭客利用，導致設備被對方掌控，並被設定VPN作為跳板。</p> </blockquote> </div></div></div>
2020/6/6 22:17作者羅正漢https://www.ithome.com.tw/news/138103
一周大事：Open Banking第二階段開放那些消費者資訊查詢？API應用項目首度公開。Google要將使用者體驗納…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>臺灣開放銀行第二階段Q3上路</strong></span></p> <p>金管會主委黃天牧宣布臺灣開放銀行第二階段，將在今年第3季上路，並先採取試辦模式。財金公司在去年底完成第二階段消費者資訊查詢技術與資安標準制定。今年，要進行第二階段技術與資安標準的核備，並且，協助銀行就核定版的技術與資安標準，進行業務申請試辦。</p> <p>此外，今年財金也會持續觀察如英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。<a href="https://www.ithome.com.tw/news/137909" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>使用者體驗明年開始影響Google搜尋排名</strong></span></p> <p>Google預告2021年會把使用者的網頁經驗，納入搜尋結果的排序依據。目前搜尋的排序依據是來自於數百種指標，未來則會加入與使用者經驗相關的指標，包含Chrome先前發表的Core Web Vitals。<a href="https://www.ithome.com.tw/news/137949" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣超前部署防疫App將提供原始碼供外國政府防疫</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E9%98%B2%E7%96%ABApp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%96%BE%E7%AE%A1%E7%BD%B2.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_疾管署</span></p> <p>臺灣中央流行疫情指揮中心資訊組組長、也是行政院資安處處長簡宏偉，在6月1日記者會中正式對外公開，臺灣有2個超前部署App已經完成，包括：社交距離App以及健康回報App，將提供原始碼給外國政府防疫之用。<a href="https://www.ithome.com.tw/news/137975" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>網路設備淪為轉發釣魚郵件跳板</strong></span></p> <p>隨著全球疫情持續，國際間已傳出許多以防疫為名的網釣事件，近期臺灣也有相關案例，警政署刑事警察局在5月29日發布公告，指出這些網釣行動，目的是竊取個資與電郵帳號密碼。特別的是，這些釣魚網站都使用了國內的IP位址，經刑事局調查，結果他們發現，它們其實是國內企業與民眾，所部署的無線路由器，並說明是設備存在漏洞被駭客控制，遭設定VPN作為跳板所導致，可能釣魚網站本身並不在臺灣。<a href="https://www.ithome.com.tw/news/138094" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Taiwan FidO行動身分識別使用人數破萬</strong></span></p> <p>報稅旺季來臨，今年5月，在綜合所得稅網路申報的網站系統上，提供了更多元的身分驗證選項，支援去年內政部新推的Taiwan FidO臺灣行動身分識別，讓民眾在登入政府網站服務時，可以透過手機的生物辨識，來驗證身分，免輸入密碼，截至5月底，已有超過1萬民眾使用這樣的方式，登入報稅系統。<a href="https://www.ithome.com.tw/news/137974" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>國防資通電軍人員遭調查局偵辦</strong></span></p> <p>有臺灣媒體報導國軍網路戰聯隊，因執行漢光演習模擬紅軍攻擊任務，卻被依內亂外患罪送辦的消息，目前調查局與高檢署仍在偵辦。</p> <p>我們取得一位與案情相關的前黃姓上尉說法，他表示，這起事件最初是在2017年5月舉行的漢光33號演習，當時舉行的國軍攻防演練計畫中，由當時稱之為網路戰大隊（網路戰聯隊前身）負責，在演練過程，攻擊團隊發現國防部參謀本部人事次長室（聯一）的網站漏洞。<a href="https://www.ithome.com.tw/news/137883" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>行政院回應戶政個資外洩事件</strong></span></p> <p>資安公司Cyble在5月29日揭露，他們在暗網裡發現一個外洩資料庫，駭客宣稱包含超過2千萬筆民眾個資，資料庫的來源是內政部戶政司，而引起各界關注。</p> <p>行政院資安處處長簡宏偉表示，該資料庫的內容其實不是戶政資料，是多組個資資料庫整併而成。根據資安處的說法，這些資料曾於2017年出現，當時他們就與戶政單位進行確認，內容不是戶政資料，而在5月29日的事件裡，他們先前已確認這些資料不是由戶政單位所流出，並且從資料的時間、欄位，以及內容等3個層面，來說明該資料庫的特性，例如，個資內容相當老舊，而且是由多個來源拼湊而成。<a href="https://www.ithome.com.tw/news/137980" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>國泰金控推電動車車聯網區塊鏈金融平臺</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7%E5%8D%80%E5%A1%8A%E9%8F%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_國泰金控</span></p> <p>國泰金控數數發對外發表首個區塊鏈計畫，透過與電動車充電站服務平臺ChargeSmith與區塊鏈新創BSOS共同合作，採用超級帳本開發框架，要把電動車行車電腦資料上鏈，規劃先應用在集團旗下銀行與產險的業務場景。數數發區塊鏈團隊更首度揭露採用超級帳本自行建鏈的關鍵。<a href="https://www.ithome.com.tw/news/138049" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>臺灣5G手機前哨戰提前開打</strong></span></p> <p>國內最快將在7 月迎來5G，隨著5G開臺進入倒數階段，近期國內手機市場也開始升溫，繼三星之後，LG、Sony也先後推出5G手機，首波鎖定旗艦級手機。</p> <p>中華電信可望搶先開通5G服務，6月初NCC發給中華電信3.5GHz、28GHz兩頻段特許執照，在取得特許執照後，接下來中華電信將籌備營運，只要準備妥當便能按自身規畫，適當時機宣布開通5G服務。<a href="https://www.ithome.com.tw/news/138043" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>思科買下SaaS網路效能監控業者ThousandEyes</strong></span></p> <p>全球網通設備大廠思科（Cisco）準備買下美國SaaS網路效能監控業者ThousandEyes。ThousandEyes主要針對大型企業與服務供應商提供網路情報，包括微軟、Slack、PayPal及Salesforce都是其客戶。<a href="https://www.ithome.com.tw/news/137958" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Rust五度蟬聯開發者愛戴語言排名冠軍</strong></span></p> <p>開發者社群Stack Overflow針對6萬名開發人員進行調查，顯示Rust已是連續第五年獲得最愛程式語言排行榜上的冠軍，而在微軟的推動下，去年與Python不相上下的Typescript，在今年站上排行榜亞軍。<a href="https://www.ithome.com.tw/news/137978" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟裁撤約聘新聞編輯，以AI取代</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20AI%E7%B7%A8%E8%BC%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>報導指出，微軟正在導入AI的半自動化作業，由演算法自數十個出版夥伴網站挑選新聞、初步過濾及處理後交給編輯、還會建議搭配的照片，而由人類選擇頭條新聞，現在微軟決定全部自動化，AI還能改寫標題、配照片、製圖。微軟同時對外證實，已裁掉旗下數十名約聘新聞編輯。<a href="https://www.ithome.com.tw/news/137967" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟Package Manger爆出抄襲自他人產品</strong></span></p> <p>微軟在Build 2020大會宣布Windows Package Manager引起矚目，不過一名開發者聲稱這是微軟以欺騙手法，取得他人產品智財的結果。開發AppGet的Keivan Beigi聲稱，微軟曾找他面試並討論AppGet技術細節但未獲錄用，直到微軟發表Windows Package Manger後，Beigi才發現微軟抄襲了AppGet。<a href="https://www.ithome.com.tw/news/137957" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Chrome 84將開始封鎖遭濫用的網站通知</strong></span></p> <p>Google宣布，自2020年7月釋出的Chrome 84開始，就會對濫用的網站通知開鍘，自動封鎖那些遭到濫用的網站通知，包括要求使用者得先允許通知才能存取網站內容，以及把通知偽裝成系統對話視窗，誘騙使用者點擊時導向廣告的假網站通知。<a href="https://www.ithome.com.tw/news/137966" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>樹莓派4最新8 GB版本售價75美元</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Raspberry%20Pi%204_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A8%B9%E8%8E%93%E6%B4%BE.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_樹莓派</span></p> <p>在樹莓派4（Raspberry Pi 4）上市將近一年之後，官方推出版本更新，提供8 GB的記憶體版本，而2 GB版本則從原本的45美元降低至35美元，作業系統也同時更名成為Raspberry Pi OS。<a href="https://www.ithome.com.tw/news/137952" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>駭客透過開發者在GitHub架後門</strong></span></p> <p>今年3月，一個署名為JJ的資安人員，向GitHub通報發現新的攻擊事件，駭客鎖定採用NetBeans整合開發環境的電腦來攻擊，導致這些開發者提交到GitHub的程式碼帶有後門。該團隊獲報後，隨即展開調查，發現有26個開源專案，被惡意軟體借殼上架後門。<a href="https://www.ithome.com.tw/news/137953" target="_blank">更多內容</a></p> </div></div></div>
2020/6/6 09:00未署名https://www.ithome.com.tw/news/138086
俄羅斯駭客鎖定Exim的3個漏洞發動攻擊，至少有90萬臺仍尚未修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月底，美國國家安全局（NSA）發出<a href="https://www.ithome.com.tw/news/137947">警告</a>，俄羅斯駭客集團Sandworm自去年8月開始，針對郵件傳輸代理程式（Mail Transfer Agent，MTA）Exim，利用一個在去年6月被公開的漏洞<a href="https://www.ithome.com.tw/news/131270">CVE-2019-10149</a>，不斷發出攻擊，呼籲企業要趕快修補Exim。但實際曝露於已知漏洞風險的Exim伺服器數量，究竟有多少？威脅鑑識公司RiskIQ公布了他們的<a href="https://www.riskiq.com/blog/labs/vulnerable-exim-mail-servers/">分析結果</a>，從5月1日到27日之間，他們總共發現有至少90萬臺Exim主機，存在被上述駭客集團攻擊的風險。</p> <p>RiskIQ指出，美國國家安全局提到的CVE-2019-10149，他們認為只是其中一個被Sandworm濫用的漏洞，駭客還可能同時利用了2個Exim漏洞，分別是<a href="https://www.ithome.com.tw/news/132935">CVE-2019-15846</a>與CVE-2019-16928，它們也都可被用於遠端程式碼執行攻擊（RCE），於去年9月獲得修補。這些漏洞都是在Exim在4.92版修補CVE-2019-10149之後，才被公開並得到處置。而上述提及存在相關風險的Exim郵件傳輸代理程式主機，有超過60萬臺是升級到4.92版，換言之，曝露於CVE-2019-10149漏洞的舊版Exim主機，有近30萬臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/exim-vulversions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exim-vulversions.png" style="width: 580px;" /></a></p> <p>根據RiskIQ的統計數據，在面臨前述駭客組織威脅的Exim伺服器，大約每3臺就有2臺是4.92版，顯示許多企業相當重視CVE-2019-10149漏洞帶來的問題，但光是更新到4.92版還不夠，因為另外兩個漏洞也相當嚴重。另一方面，美國國家安全局呼籲企業要採取的因應措施，是升級Exim到最新版本（目前是4.94版），因此RiskIQ指出，企業不應認為只要升級到4.92版，就足以緩解遭到俄羅斯駭客鎖定的危機。</p> </div></div></div>
2020/6/5 17:39作者周峻佑https://www.ithome.com.tw/news/138100
7-Eleven靠IT解決門市剩食報廢問題，估一年可省下逾400萬顆御飯糰食材量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">國內兩大連鎖超商業者，先後運用IT強化鮮食管理，解決門市剩食導致食材浪費的問題。繼全家去年推出「友善食光」，以價格促銷即將過期的商品，7-Eleven也宣布6月開始，將在全國5700多家門市推動 i珍食專案，估計減少的浪費食材量，</span>相當於<span class="s1">一年超過400萬顆御飯糰。</span></p> <p class="p1"><span class="s1">全家超商在去年便推動「友善食光」，將到期前7小時的鮮食商品以折扣方式促銷，吸引消費者購買這些即期商品，有效降低鮮食報廢的情形，背後仰賴的正是全家在多年前就採用的時控條碼，在鮮食商品包裝上的效期條碼，最初目的為防止門市售出過期商品給消費者，「友善時光」進一步將時控條碼結合時間定價機制，讓條碼依時間反映價格折扣，以促銷即期商品，降低鮮食報廢的問題。</span></p> <p class="p1"><span class="s1">7-Eleven為強化門市的鮮食商品管理，在2014年導入智能標貼，將鮮食條碼和後臺的POS系統結合，當店員為消費者結帳時，如果掃描快過期的鮮食商品條碼，就會顯示警示訊息，無法刷讀條碼結帳。在此之前，門市靠著店員以人工方式檢視商品效期，挑出過期前30分鐘的商品報廢，但以人工方式挑出報廢商品可能會有遺漏。</span></p> <p class="p1"><span class="s1">7-Eleven表示，智能標貼需搭配系統升級，同時串聯門市帳務系統、支付工具等，鮮食商品為實現門市差異化的重要一環，除了提升商品力，協助門市減少食材浪費，可帶動鮮食商品銷售成長及提高訂貨信心。</span></p> <p class="p1"><span class="s1">今年4月在臺北市800家</span>7-Eleven<span class="s1">門市測試i珍食專案，升級智能標貼系統，將鮮食管理的時間限縮到賞味期前8小時，並提供7折的價格優惠，當消費者購買御飯糰等鮮食商品，在貨架上就會看到貼有 i珍食貼紙的商品，代表該商品即將過期，享有7折優惠。經過測試，發現折扣確實吸引消費者，購買者以19到35歲居多，以學生居多，女性消費者佔6成。</span></p> <p class="p1"><span class="s1">6月3日起</span>i珍食專案擴大到<span class="s1">5700家門市，鮮食商品品項也從原來的約60種，擴大到鮮食麵、湯品、沙拉、麵包、三明治、漢堡等上百種商品。7-Eleven估計省下的浪費食材，一年相當於超過400萬顆御飯糰的量。</span></p> <p class="p1"><span class="s1">7-Eleven也從門市端著手，例如門市的銷售預測訂貨系統，自動產生訂貨值，為了提高預測準確性，納入天氣氣候因素，以及去年同期銷售表現，減少庫存、報廢商品的情形。另外，從8月開始，4度C的門市鮮食預訂也將提前至12小時前訂貨，讓鮮食廠有更多的時間準備調整，避免食材的浪費。</span></p> <p class="p1"><span class="s1">目前已在門市銷售預測訂貨系統上導入AI，能做到單店精準銷售預測，部份商品類別在全門市導入，X-Store則可做到全類別商品導入。</span></p> <p class="p1"><span class="s1">在生產端為避免食材浪費，</span>7-Eleven<span class="s1">以7度C低溫冷鏈系統，涵蓋食材的處理、生產、配送各個環節，避免食材變質報廢；另依鮮食商品的不同，建立18度C及4度C溫度鮮食廠，搭配低溫冷鏈物流系統，以降低因溫度控制不當，報廢食材的問題。</span></p> <p class="p1"><span class="s1">透過上述種種方式，7-Eleven希望在2030年前達成剩食減半的目標。</span></p> </div></div></div>
2020/6/5 18:32作者蘇文彬https://www.ithome.com.tw/news/138099
以防疫為名的網釣攻擊在臺已有受害案例，刑事局警告網路設備淪為轉發釣魚郵件跳板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球疫情持續，國際間早已傳出許多假借防疫名義的網路釣魚詐騙事件，近期臺灣也有相關案例，警政署刑事警察局在5月29日發布公告，指出這些網路釣魚行動的目的，是要竊取個資與電子郵件帳號密碼，且國內已有企業員工受害。</p> <p>特別的是，這些釣魚網站都使用了國內的IP位址，經刑事局調查，結果他們發現，它們其實是國內企業與民眾所部署的無線路由器，並說明是設備存在漏洞被駭客控制，遭設定VPN作為跳板所導致，可能釣魚網站本身並不在臺灣。由於警方揭露的資訊有限，因此我們進一步詢問這次事件下，有關釣魚網站與網通設備漏洞的細節。</p> <p>關於國內無線分享器被當成跳板一事，刑事局科技犯罪防制中心科技研發科股長黃翰文表示，他們最初是追查釣魚郵件的相關網址連結，以及郵件標頭，並分析其網釣行為模式，進而追查到被利用的跳板。</p> <p>根據調查，駭客利用這些跳板轉發偽冒防疫的釣魚郵件，吸引使用者開啟電子郵件，並前往信中的釣魚網站。從調查局公布的資訊來看，這樣的網路釣魚攻擊方式，有可能是駭客要利用VPN來規避一些安全防護機制。</p> <p>對於釣魚詐騙信的內容，黃翰文指出，駭客會針對入侵的對象來設計與偽造，目前發現中文、英文版本都有。在手法方面，這批釣魚詐騙信會假冒某些公司的人事部門，由於一般的疫調會詢問員工的健康狀況，確認是否有發燒、咳嗽症狀，但詭異的是，信件進行調查之前，會要求員工前往信中連結，而這些偽冒網站會需要登入自己公司的帳號密碼，其實就是藉此騙取身分機密。</p> <p>這起事件的另一焦點，是用戶的無線分享器被當成跳板，國內這樣的情況多嗎？黃翰文表示，刑事局近期發現5到6起事件，都是網通設備存在漏洞，遭駭客利用進行犯罪，而且這些無線分享器，有的屬於個人，有的則是由企業管理，使用者並不知道自己的設備遭駭，直到接獲通知才知曉。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%A3%E5%B0%8E%E5%9C%961.JPG" style="width: 600px;" /></p> <blockquote><p>因此，刑事局科技犯罪防制中心科技研發科呼籲，面對網路威脅，應如同民眾主動配合防疫一樣，企業與民眾都應重視網通設備的安全管理，具備資安風險意識，以及做好基本的資安防護措施。</p> <p>畢竟，民眾都能保持警覺配合政府防疫措施，面對同樣是肉眼看不見的電腦病毒，警方認為，在觀念上，民眾也應該要能配合，要有警覺性，以及具有防駭的意識與採取措施。</p> </blockquote> <h2><strong>網通設備漏洞影響多家產品，Totolink產品用戶最要當心</strong></h2> <p>特別的是，犯罪防制中心提到這些無線分享器的漏洞資訊，分別是CVE-2019-19822，以及CVE-2019-19823漏洞，同時他們也已通知廠商修補，但並未具體說明是哪家業者，僅表示對方已在今年4月發布更新修補程式，並關閉遠端管理漏洞。</p> <p>在這次事件下，為了幫助用戶瞭解那些網通產品可能受影響，成為潛在的駭客攻擊對象，因此，對於上述兩個漏洞，我們也進一步找到相關資訊，這是研究人員Błażej Adamczyk在去年12月所揭露的漏洞。</p> <p>簡單來說，上述兩個漏洞主要存在基於Realtek SDK的路由器系列，影響多個廠牌的產品，其中Totolink產品數量最多，共有8款產品受影響，包括A3002RU、A702R、N301RT、N302R、N300RT、N200RE、N150RT與N100RE。</p> <p>其他受影響的廠商，還包括CIK Telecom、Coship、Fibergate、IO-Data、KCTVJEJU、t-broad與Sapido等，已知各有一款產品受影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%98%B2%E7%96%AB%E6%9C%9F%E9%96%93%E9%87%A3%E9%AD%9A%E7%B6%B2%E7%AB%99%E6%94%BB%E6%93%8A%E6%89%8B%E6%B3%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%88%91%E4%BA%8B%E5%B1%80.jpg" style="width: 600px;" /></p> <blockquote><p>在這次事件中，關於刑事局所指出連網設備存在的CVE-2019-19822，以及CVE-2019-19823漏洞，我們進一步搜尋相關資訊，這兩個漏洞是由來自波蘭西里西亞技術大學的研究人員Błażej Adamczyk，在去年12月16日所發現，影響Totolink與其他Realtek SDK的路由器產品。</p> </blockquote> </div></div></div>
2020/6/5 16:43作者羅正漢https://www.ithome.com.tw/news/138094
Zoom兩安全漏洞可讓駭客執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科安全研究團隊Talos Intelligence<a href="https://blog.talosintelligence.com/2020/06/vuln-spotlight-zoom-code-execution-june-2020.html" target="_blank">發現</a>Zoom兩項安全漏洞，可能導致攻擊者在受害電腦上執行任意程式碼，或者結合其他漏洞。在思科團隊的通知下，Zoom已經完成修補。</p> <p>Zoom的通話功能是跑在XMPP標準上，並以其他擴充功能增加訊息豐富度，而二項漏洞都是和擴充功能有關，一是支援包含GIF動畫檔，二是支援包含程式碼片段。</p> <p>第一項漏洞CVE-2020-6109為一項路徑穿越（path traversal）漏洞，出在Zoom用戶端處理包含GIF圖檔的訊息過程中。Zoom原本允許使用來自Giphy（現為臉書買下）伺服器的動畫圖檔，為訊息加入效果，但在本漏洞中，卻讓Zoom接收任何伺服器的圖檔。這讓駭客對單一用戶或目標群組傳送惡意訊息觸發漏洞，造成任意檔寫入而引發任意程式碼執行，結果為洩露資訊。</p> <p>在CVE-2020-6109中，攻擊者傳送的檔案可以.gif為副檔名，但內容可能是執行檔或腳本程式，協助開採其他漏洞。CVE-2020-6109 CVSS 3.0風險評分為8.5。</p> <p>另一個漏洞編號CVE-2020-6110，則發生在Zoom用戶端處理有共享程式碼片段（code snippet）的訊息的過程中。Zoom分享程式碼片段時會是以壓縮檔ZIP進行。不同於普通ZIP檔，CVE-2020-6110下，ZIP接到的ZIP檔若為共享程式碼片段，會自動解壓縮以便預覽，而未驗證ZIP檔的內容檔案。這使得攻擊者得以植入任意二進位檔，而在目標電腦上執行。而路徑穿越問題，讓這個ZIP檔可以在原本應有的目錄以外寫入檔案，進而開採其他漏洞，但研究人員指出，後者攻擊需要使用者有動作。CVE-2020-6110 CVSS 3.0風險評分為8.0。</p> <p>兩項漏洞都影響Zoom 用戶端4.6.10，而CVE-2020-6110還另外影響4.6.11版，包括Windows、macOS及Linux版本。CVE-2020-6109 CVSS 3.0風險評分為8.5，而在Talos Intelligence通報後，Zoom已經釋出新版<a href="https://support.zoom.us/hc/en-us/articles/201361953-New-updates-for-Windows" target="_blank">4.6.12版</a>予以解決。</p> </div></div></div>
2020/6/5 15:25作者林妍溱https://www.ithome.com.tw/news/138090
德國與法國聯手建立歐盟雲端資料基礎設施，以降低對AWS、微軟與Google的依賴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國與法國在本周正式發表了<a href="https://www.data-infrastructure.eu/GAIAX/Navigation/EN/Home/home.html" target="_blank">GAIA-X</a>專案，同時在比利時成立了實體的GAIA-X基金會（GAIA-X Foundation），打算建置一個供全歐使用的資料基礎設施，以減輕對美國或中國雲端業者的依賴，新的架構預計於明年上線。</p> <p>GAIA-X基金會的創始會員有22家，德國與法國分別占了11家，然而，該基金會定位為非營利組織，且將採用開放架構，邀請歐洲的國家一同參與，打算支援歐洲數位生態體系的開發，推動以資料驅動的各式創新服務與應用，最終目標是建立具備互動及可攜能力的架構、資料與服務，且奠基在高度的使用者信賴上。</p> <p>德國聯邦經濟事務暨能源部（BMWi）去年就<a href="https://www.bmwi.de/Redaktion/EN/FAQ/Data-Infrastructure/faq-projekt-gaia-x.html">提出</a>了GAIA-X專案，根據BMWi的規畫，他們想替歐洲各國、企業與民眾建立一個新一代的資料基礎設施，既符合數位主權的高標準，也能協助推動創新，期望在一個彼此信賴的環境中，提供資料與服務的應用、蒐集與共享。</p> <p>BMWi表示，推動GAIA-X專案有三大因素，分別是資料主權、資料可得性，以及創新。因為市場上的雲端服務都是由非歐洲業者主導，它們擁有強大的市場與資金，但同時他們也看到國際間漸增的緊張局勢與貿易衝突，歐洲需要確保自己能夠永久地維護數位主權。</p> <p>至於GAIA-X的資料基礎設施的核心，包括分散式、安全、信任、透明、開放，以及作為生態體系的基礎，期許它能夠激發新的生態系統，以強化雲端服務使用者的數位主權，同時協助歐洲的雲端服務供應商擴大業務並改善競爭力。</p> <p>BMWi亦強調，GAIA-X的目的並非與既有的雲端服務供應商競爭，而是透過開放介面與標準，連結不同的元素以聚集資料，並建立一個創新平臺，歡迎各個國家及多元的產業參與。</p> </div></div></div>
2020/6/5 15:40作者陳曉莉https://www.ithome.com.tw/news/138092
蘋果以公開信悼念George Floyd，網頁變黑白
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國明尼蘇達州非裔男子佛洛伊德（George Floyd）日前疑遭警方執法過當而致死，就在全美因此而掀起遊行、示威、抗議，甚至演變成暴動之際，蘋果執行長Tim Cook發表了一篇<a href="https://www.apple.com/speaking-up-on-racism/" target="_blank">公開信</a>來悼念Floyd，且蘋果官網也改用黑白色系來致哀。</p> <p>Cook說，人們必須為了彼此而站出來，承認Floyd被無理殺害所引發的恐懼、傷害與憤怒，以及美國長期以來的種族主義。過去的傷痛迄今仍存在，不只是以暴力的形式，也根植於日常生活的歧視中，不管是在司法系統上、在特定社區不成比例的疾病上、在社區服務的不平等上，或者是孩子所接受的教育上。</p> <p>就算法律已經改變了，但對種族的保護依然未得到普遍的應用，儘管這些年來有所進步，可是有色人種繼續遭受歧視與創傷也是事實。</p> <p>Cook認為，為了推動改變，人們必須重新審視此一經常被忽視的、深感痛苦的觀點與行動。現在許多人都想恢復正常狀態，但不得不說的是，這樣的想法是一種特權的象徵，Floyd的死亡令人震驚，也是個悲劇，代表人們的眼光應該要遠高於「正常」的未來，著眼於建立一個基於平等與正義的未來。</p> <p>事實上，不只是蘋果，美國許多科技公司都出面回應了Floyd事件，Google除了在美國的Google與YouTube首頁上悼念Floyd之外，執行長Sundar Pichai在Twitter上<a href="https://twitter.com/sundarpichai/status/1267094364976672768" target="_blank">表示</a>，那些感到悲傷、憤怒與恐懼的人並不孤單，Google支持種族平等；臉書也立刻表達要捐出1,000萬美元予人權組織；Tesla執行長Elon Musk在Twitter上提及此事時，採用了「替George追尋正義」（#JusticeForGeorge）的標籤；Amazon則在Twitter上<a href="https://twitter.com/amazon/status/1267140211861073927/photo/1" target="_blank">寫下</a>「美國必須停止對黑人的殘酷與不公正的對待，他們將與黑人社群一同對抗系統性的種族主義與不公平的現象。」</p> </div></div></div>
2020/6/5 15:05作者陳曉莉https://www.ithome.com.tw/news/138089
Fintech周報第147期：國內電子支付使用人數逾829萬人，街口支付用戶233萬人超越LINE Pay Money
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0530</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0605</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國內電子支付使用人數逾829萬人，街口支付用戶233萬人超越LINE Pay Money</span></strong><br /><span style="font-size: 18.6667px;">金管會銀行局副局長黃光熙日前公布4月份電子支付機構業務市場最新現況。他指出，截至今年4月底，共有5家專營電子支付機構與23家兼營電子支付機構，電子支付總使用者人數約829萬人，較上月增加39萬人。而當月代理收付實質交易款項金額約37.2億元，較上月增加2.2億元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">根據金管會4月統計，國內使用者人數最高的電子支付是街口支付，使用人數約233.6萬人；一卡通與LINE Pay合作的LINE Pay Money（原</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">LINE Pay </span>一卡通<span style="font-size: 18.6667px;">）則排名第二，使用人數約229.2萬人；第三名則是玉山銀行的電子支付，有116.2萬名使用者。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 悠遊付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 未成年註冊 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">未成年人也能註冊悠遊付，經兩名法定代理同意即可線上申辦</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">悠遊付自6月1日開始正式開放未滿20歲的未成年人註冊，悠遊卡公司表示，未成年人只要在雙法定代理人同意下，即可在線上申請註冊。在申請流程上，未成年人申請時需檢具2名法定代理人資料，來完成申請程序，再由悠遊卡公司核對身分資料、並經法定代理人同意後，就可以開通悠遊付帳戶。需注意的是，法定代理人須成年且為經悠遊付會員認證。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，悠遊付僅支援Android 6.0以上且具NFC功能的手機，未成年族群也能用手機嗶搭乘捷運或公車了。甚至，悠遊卡公司表示，父母還能透過悠遊付的轉帳功能，發放零用錢給小孩，且不需負擔轉帳費用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20544%20-%20%E6%82%A0%E9%81%8A%E4%BB%98%EF%BD%9C%E4%B8%80%E5%8D%A1%E4%B8%80%E4%BB%98%20%E7%84%A1%E7%8F%BE%E7%94%9F%E6%B4%BB%E6%9B%B4%E9%80%B2%E4%B8%80%E6%AD%A5%EF%BC%81%20-%20easywallet_easycard_com_tw.png" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> QR Pay </span></strong></span></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">搶攻微型、個人商家行動支付收款市場，永豐銀首創自然人特約商店可線上申辦QR Pay收單</span></strong><br /><span style="font-size: 18.6667px;">永豐銀行6月1日宣布，推出網路申辦自然人特約商店QR Pay收單，讓微型、個人商家可在一站式平臺線上申辦QR Pay收單。永豐銀行零售金融處處長吳建毅表示，政府推廣行動支付，去年超過6,000個小規模營業商家申請適用相關租稅優惠，比起2018年增加超過3倍，同時，主管機關也推行自然人可成為信用卡收單特約商店等政策。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">永豐銀行表示，不具備營利事業登記的個人商戶，以往多受限於營業額較小、不符合佈建刷卡機成本等因素，傳統收單銀行往往不願受理自然人申請特約商店。為加速微型或個人商家導入，永豐銀行推出的自然人特約商店線上申辦，申辦人即便沒有公司登記或營利事業登記，只要能夠列舉營業事實，即可在線上完成QR Pay收單申辦作業，不用臨櫃申請，若需補繳文件，也能在線上直接完成。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">永豐銀提到，申辦自然人特約商店採QR Pay掃碼收款解決方案經該行審核通過後，店家不須額外安裝硬體設備，消費者只要打開QR Code 掃描器，就能以信用卡、Apple Pay或Google Pay付款消費。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電動車車聯網 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰金控推電動車車聯網區塊鏈金融平臺，先聚焦銀行與產險業務場景</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控數位數據暨科技發展中心近期對外發表第一個區塊鏈計畫「電動車車聯網區塊鏈金融平臺」，找來電動車充電站服務平臺ChargeSmith與區塊鏈新創BSOS合作，採用Hyperledger Fabric區塊鏈框架，要把電動車行車電腦資料上鏈。目前，已先找來4位特斯拉電動車車主，進行為期3個月的PoC驗證，來證明整套資料流運作模式的可行性之後，就會開始大量招募電動車車主。國泰金控預估，正式服務將在今年底陸續上線。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控計畫先用於銀行與產險業務場景。比如，國泰產險可針對車主的行車習慣或駕駛行為，評估規畫發送行車安全提醒簡訊，或是推薦合適的個人化保險商品。同時，也正在研究當車主發生交通事故時，運用區塊鏈資料不可竄改的特性，優化理賠審核流程。銀行則規畫用在融資申貸，未來當車主要用車體履歷申請融資時，國泰世華銀行的評估人員可透過區塊鏈來獲取車主行車資訊如里程數，以及維修記錄等來評估車況，像是用維修記錄判斷車子有無撞過，藉此減少車主與銀行一來一往的時間，加快核貸速度。<a href="https://www.ithome.com.tw/news/138049">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%85%A71.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰世華銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM查繳信用卡費 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">不用帶帳單也能繳卡費，國泰世華銀行ATM推出信用卡費即時查繳服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰世華銀行近期在自家ATM推出信用卡費即時查繳功能，讓客戶繳卡費不用再帶帳單。國泰世華銀行表示，客戶到ATM直接點選繳信用卡費功能，不用插入金融卡，只要輸入身分證字號與生日，即可查詢當期信用卡帳單，接著可選擇插入金融卡，自帳戶扣繳、或放入紙鈔來繳費。此外，也可用國泰世華銀行有零錢機功能的ATM，選擇用零錢繳費，繳完還能找零。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰世華銀行表示，截至5月底，在全臺擁有近4,500個ATM服務據點，177臺有零錢機功能的ATM。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3668_%E9%9D%9C%E5%AE%9C.jpeg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放API </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">開放銀行第二階段共3大類18支消費者資訊開放API，預計Q3上路</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會主委黃天牧宣布開放銀行第二階段將在今年Q3上路。財金公司更揭露第二階段最新進程，去年底已完成第二階段消費者資訊查詢技術與資安標準制定，今年，財金要進行技術與資安標準的核備，下半年金融機構即可與合作的TSP業者，針對現行核備的自律規範與技術與資安標準，來提報金融機構業務申請試辦，試辦內容可依據金融創新試辦要點來進行。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">財金也揭露第二階段API應用項目，共分為存款、貸款、其他銀行服務3大類，共有18支API，比如貸款類就開放了10支API，像是申請信用卡本期帳單分期、查詢信用卡當期帳單資訊等。不過，財金強調，這些未來都會滾動式調整修訂。另外，財金也針對開放API第二階段測試驗證進行說明，主要有訊息處理、憑證作業和認證機制三大要求。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，財金今年也會持續觀察英國、澳洲、香港、新加坡等國的發展情勢，蒐集金融機構、產業界與學界需求與意見，再配合主管機關的核定時程，來訂定第三階段交易面資訊的標準，並滾動式增訂技術規格與完備資安規範。<a href="https://www.ithome.com.tw/news/137909">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/OPEN%20API%20%20(4)(1).png" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位科技 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐金控今年要招募200名數位科技人才</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐金控總經理朱士廷日前宣布，2020年計畫全年徵才目標約為1,500人，其中銀行約800人、證券約550人，主要招募對象為策略、數位科技、海外人才。然而，因疫情影響，所以金融業今年的校園招募紛紛取消，永豐金也改採遠距視訊面試模式，讓面試主管、應徵者、人資人員三方線上進行面試。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">朱士廷指出，永豐金控今年要招募200位數位科技人才。他提到，在數位科技人才方面，永豐金投入大量資源發展AI，延攬了10位儲備AI科學家加入永豐AI實驗室，並啟動數位人才希望工程，從人才接觸永豐的形象前端，到後面一系列的甄選、任用、培育、晉升、發展與留任等部分進行全方位的檢視和調整，以吸引與留任科技人才。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 臉書Libra </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位錢包 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臉書加密貨幣子公司Calibra更名為Novi，首個服務將推數位錢包</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臉書旗下的加密貨幣子公司Calibra近期宣布，已將公司名稱變更為Novi Financial，打算提供全球用戶更易存取金融服務的長期目標是不變的，而且會在Libra網路上線時，盡快推出Novi數位錢包服務。負責Novi Financial的David Marcus說明，Novi Financial的首個服務，將是基於Libra區塊鏈網路的Novi數位錢包。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Marcus解釋，Novi可讓轉帳變得跟傳訊一樣方便，使用者可單獨使用Novi程式，也能在Messenger或WhatsApp程式中使用Novi服務，不管是儲值、轉帳、收款或提錢都不會有任何的隱藏費用，而且帳款也會即時到達。此外，所有Novi用戶都能藉由政府頒發的身分證件進行認證，也將內建多種詐騙保護機制，並提供全天候的客戶支援服務。不過，Novi服務的推出時程得視Libra網路的上線日期而定，惟目前Libra並無明確的發表日。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;">圖片來源／</span>悠遊付<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;">、</span>永豐銀行<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt; background-color: rgb(247, 247, 247);">、</span>國泰金控、政大金融科技研究中心線上直播<span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt; background-color: rgb(247, 247, 247);">；攝影／</span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;">李靜宜</span><br style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);" /><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px;">責任編輯／李靜宜</span></p> </div></div></div>
2020/6/5 15:11作者李靜宜https://www.ithome.com.tw/news/138088
Google揭露中國與伊朗駭客企圖滲透美國總統候選人陣營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google的威脅分析小組（Threat Analysis Group，TAG）總監Shane Huntley今日（6/5）在Twitter上<a href="https://twitter.com/ShaneHuntley/status/1268589219842109440" target="_blank">透露</a>，他們最近發現兩個由國家支持的駭客組織，企圖利用網釣郵件，滲透美國總統候選人拜登（Joe Biden）與川普（Donald Trump）的競選團隊，幸好並未成功。</p> <p>自2012年起，Google就會針對國家級駭客的攻擊向用戶提出警告，這次TAG則揭露，攻擊拜登團隊的是由中國政府支持的<a href="https://malpedia.caad.fkie.fraunhofer.de/actor/apt31" target="_blank">APT31</a>，打算滲透川普團隊的則是來自伊朗的<a href="https://malpedia.caad.fkie.fraunhofer.de/actor/apt35" target="_blank">APT35</a>，他們除了已向使用者示警之外，亦已將調查內容提交給美國聯邦執法機構。</p> <p>Huntley說，在此一大選期間，於競選團隊工作的使用者很可能成為駭客的攻擊目標，建議他們透過基於實體金鑰的雙因素認證，來保護個人帳號，就算駭客以網釣攻擊取得了使用者的登入密碼，也會因缺乏實體金鑰而功虧一簣。</p> <p>根據德國暨歐洲最大應用科學研究機構夫郎和斐協會（Fraunhofer）的資料，APT31是由中國政府支持的駭客組織，主要任務為竊取智慧財產權；而源自伊朗的APT35看來，與微軟去年揭露的Phosphorus駭客集團<a href="https://www.ithome.com.tw/news/129647" target="_blank">是同一個</a>，該組織擅長於長期的埋伏以收集戰略情報，通常鎖定美國與中東的軍事、外交及政府的個人，或是媒體、能源、國防基地、工程、電信及商業服務等領域的組織。</p> <p>其實微軟去年8月亦曾<a href="https://blogs.microsoft.com/on-the-issues/2019/10/04/recent-cyberattacks-require-us-all-to-be-vigilant/" target="_blank">觀察</a>到APT35對選戰的興趣，當時APT35企圖攻擊241個微軟帳號，這些個人帳號有些屬於美國總統競選團隊，有些是美國前後任的政府官員，還有專跑全球政治新聞的記者，儘管駭客成功入侵了其中的4個帳號，但都非競選團隊或政府官員的帳號。</p> <p>Threatpost引用了Digital Shadows安全工程師Charles Ragland的看法指出，這些進階持續性威脅（APT）團隊鎖定政治活動展開攻擊並非新鮮事，他們可能想要尋找可用來分化特定國家的資訊，或者是可用來支持其它駭客行動的情報。</p> </div></div></div>
2020/6/5 13:05作者陳曉莉https://www.ithome.com.tw/news/138083
AWS將導入Slack，雙方產品整合以對抗微軟Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Slack、AWS昨日（6/4）<a href="https://slackhq.com/slack-aws-drive-development-agility" target="_blank">宣布一項多年合作</a>，整合雙方產品及服務，提供企業遠端協同服務，並讓企業從Slack管理AWS資源，以便對抗共同對手微軟，而AWS也將導入Slack作為AWS員工協同平臺。</p> <p>在這項合作下，Slack將把Slack Calls語音和視訊服務搬到Amazon通訊平臺Amazon Chime上，提供員工會議、聊天和通話服務。Slack並以AWS遍布各區域的資料中心，作為企業用戶服務的雲端底層。Slack也持續優先選用AWS的儲存、運算、資料庫、安全、分析及機器學習等服務，以開發新的協同功能。</p> <p>除了技術整合外，AWS也將導入Slack作為內部協同平臺，成為Slack繼今年二月取得<a href="https://www.ithome.com.tw/news/135755" target="_blank">IBM</a>這家客戶後，另一家重量級客戶。雙方顯然希望透過這項合作，以對抗共同主要競爭對手微軟。</p> <p>雙方將有多項產品進行整合。首先Amazon Chime SDK即將原生整合於Slack Calls，提供即時影音通訊和螢幕分享等企業服務。</p> <p>雙方也將整合金鑰管理服務（Key Management Service），Slack利用AWS金鑰管理服務，提供企業客戶加密金鑰的控管和發送。目前有超過90家企業，使用這項服務自行管理加密金鑰。</p> <p>其次，Slack將整合AWS Chatbot。AWS Chatbot主要提供開發人員關於AWS應用的事件、安全問題、工作流程以及其他通知，透過雙方的整合，將讓Slack企業用戶的開發人員，利用AWS Chatbot 175項服務在不離開Slack環境下進行協同。最後，AWS雙向資料傳輸服務Amazon AppFlow將和Slack整合，使Slack用戶可在Slack和AWS服務如Amazon S3或RedShift進行資料傳輸。雙方也預告未來幾個月間會將加入新功能，讓多個Slack頻道（channel）可以在單一資料流和AWS服務，進行雙向資料傳輸。</p> <p>Slack執行長Stewart Butterfield指出，藉由整合AWS和Slack頻道為基礎的通訊平臺，將可協助團隊在不離開Slack環境下，輕鬆和無縫管理雲端基礎架構專案，啟動雲端服務。</p> <p>另一方面，Slack昨日（6/4）同步<a href="https://investor.slackhq.com/news/news-details/2020/Slack-Announces-Record-First-Quarter-Fiscal-Year-2021-Results/default.aspx" target="_blank">公布</a>第一季財報，上季雖增加1.2萬家付費用戶，所有付費及免費新用戶來到9萬家，營收也成長50%來到2億美元，但扣除成本後仍然呈現負成長，每股盈餘虧損0.13美元遜於分析師預期，股價一度大跌13%，目前縮小到-5%來到37.94美元。</p> </div></div></div>
2020/6/5 12:50作者林妍溱https://www.ithome.com.tw/news/138081
Firefox 77讓DoH供應商超載，Mozilla緊急釋出Firefox 77.0.1修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla於本周二（6/2）釋出了Firefox 77，其中一項新功能是可自動選擇DNS over HTTPS（DoH）供應商，然而，Mozilla卻發現它造成部份供應商不堪負荷，於是在6月3日緊急釋出<a href="https://www.mozilla.org/en-US/firefox/77.0.1/releasenotes/" target="_blank">Firefox 77.0.1</a>，關閉了該功能。</p> <p>DoH為網域名稱系統DNS（Domain Name System）的加密解決方案，它利用HTTPS協定加密了瀏覽器傳送到DNS伺服器的內容，以防遭到窺探。Mozilla在去年的9月即宣布，要讓DoH成為Firefox瀏覽器的預設，目前的合作夥伴為Cloudflare與NextDNS。</p> <p>在Firefox 77實施了可自動選擇DoH供應商之後，Mozilla資深軟體工程師Nihanth Subramanya卻<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=1642723" target="_blank">發現</a>該功能，可對NextDNS造成有效的服務阻斷攻擊，因此釋出Firefox 77.0.1將它關閉。Subramanya說，他們決定要按部就班地推出此一功能，才不會造成任何的供應商超載。</p> <p>上述也是Firefox 77.0.1的唯一目的，至於本周出爐的Firefox 77主要提供了新的口袋名單推薦功能，在分頁上向使用者推薦全球網路最值得瀏覽的內容，另也針對Windows用戶，擴大部署新一代的2D渲染GPU引擎WebRender，以及修補了8個安全漏洞。</p> </div></div></div>
2020/6/5 10:10作者陳曉莉https://www.ithome.com.tw/news/138078
Visual Studio 2019將支援Ninja，顯著提升Linux專案建置效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/cppblog/linux-development-with-visual-studio-first-class-support-for-gdbserver-improved-build-times-with-ninja-and-updates-to-the-connection-manager/">微軟更新Visual Studio 2019，新增多個可提升Linux開發體驗的功能</a>，包括在Linux上支援建置系統Ninja，以及更完整地支援gdbserver，而且現在開發者也可以使用連接管理器（Connection Manager），編輯和配置預設的遠端連接。</p> <p>使用Visual Studio 2019，可以在遠端Linux系統或是WSL上開發C++專案，開發者能選擇以建置引擎MSBuild來建置Linux專案，也能透過原生CMake支援進行Linux開發，微軟提到，使用CMake可以讓開發者以相同原始碼和建置腳本，建置跨平臺程式，而這也是微軟推薦的跨平臺解決方案。現在微軟要進一步改善Linux的開發支援，讓Linux的開發工作更加便捷。</p> <p>Visual Studio現在於Linux支援Ninja，Ninja是一個高效能的建置系統，Ninja一直是針對Windows的CMake配置預設生成器（Generator），不過在最新的Visual Studio 2019版本中，微軟在Linux增加對Ninja的支援，微軟提到，Ninja通常執行得比Unix Makefile還要快，目前是遠端系統和WSL新的CMake配置生成器。</p> <p>微軟使用bullet3以及LLVM兩個開源專案，來比較Ninja以及Unix Makefiles的效能，在虛擬機器中以Visual Studio完全重新建置這兩個專案，Ninja建置bullet3僅需要3分鐘，而Unix Makefiles則要11分鐘，LLVM的差異就更大了，Ninja只要40分鐘，Unix Makefiles卻需要花費143分鐘。</p> <p>微軟在Visual Studio的第2項Linux開發改進，是強化對gdbserver的支援，gdbserver是可讓開發者遠端在Linux上除錯的程式，在最新的Visual Studio中，微軟新增了除錯器配置，讓開發者在遠端系統中，使用gdbserver對CMake專案進行除錯，這對目標系統可能沒有足夠資源執行gdb的嵌入式使用案例特別有用。</p> <p>另外，微軟還改進了連接管理器，連接管理器是在Visual Studio中的好用工具，可讓開發者管理和儲存遠端系統的安全SSH連接，由於開發者的回饋，微軟在Visual Studio 2019 16.7版本中，開發者可以在連接管理器中，編輯和配置預設的遠端連接，也就是說，現在開發者可在不移除原本連接的情況，編輯已建立的遠端連接，Visual Studio不用重新複製遠端系統上編譯器引用（Include）目錄，這些目錄會自動複製到Windows上，提供IntelliSense使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/connectionManager.png" style="width: 580px;" /></p> </div></div></div>
2020/6/5 10:30作者李建興https://www.ithome.com.tw/news/138072
駭客以偽造的VPN配置，針對Microsoft Office 365用戶展開網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>定位為Microsoft Office 365電子郵件安全平臺的Abnormal Security，近日揭露多起鎖定Microsoft Office 365用戶的<a href="https://abnormalsecurity.com/blog/abnormal-attack-stories-vpn-impersonation-phishing/" target="_blank">網釣攻擊</a>行動，指出駭客假冒為使用者所服務的組織，聲稱自己是IT支援部門，要使用者進行VPN配置，但其實是為了竊取使用者的Office 365憑證。</p> <p>Abnormal Security指出，由於疫情的關係，許多組織都要求員工在家上班，同時仰賴VPN以讓遠端的員工連結至重要的伺服器，同時確保安全的資料分享，然而，駭客也利用了此一現況，寄送謊稱為來自組織IT支援部門的郵件，並提供一個連向VPN配置的連結，以竊取使用者的Office 365帳號。</p> <p>儘管駭客採用了不同的IP位址、不同的電子郵件帳號、鎖定不同的組織，但所連結的網釣網站卻是一致的，它是由一個Microsoft .NET平臺代管，看起來就像是Office 365的登入網站，只是它是假冒的。</p> <p>根據估計，相關的網釣郵件已傳送到5千至1.5萬個Office 365用戶的信箱中。</p> </div></div></div>
2020/6/5 10:40作者陳曉莉https://www.ithome.com.tw/news/138079
今年前5個月全球加密貨幣竊取與詐騙損失高達13.6億美元，中國Wotoken騙局便占了10億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自詡為全球首家區塊鏈鑑識公司的CipherTrace，在本周<a href="https://ciphertrace.com/spring-2020-cryptocurrency-anti-money-laundering-report/" target="_blank">公布</a>了今年前5個月的加密貨幣犯罪活動，指出在此一期間，有關加密貨幣竊盜、駭客及詐騙的損失，高達13.6億美元，其中貢獻最大的是發生在中國市場的Wotoken詐騙案，占了10億美元。</p> <p>Wotoken被視為是一場龐式騙局，它在2018年7月以區塊鏈為名推出了Wotoken錢包，對外宣稱只要存入價值1,000美元的加密貨幣，就能換取等值的WOR幣，並參與加密貨幣的套利投資：在不同的交易平臺上買賣加密貨幣，以賺取中間的價差，並說每天的投資報酬率可達0.25%到0.5%，同時它也採用多層次傳銷架構，只要拉進新人，就可得到WOR幣。</p> <p>然而，投資人在2019年的12月底發現，該錢包已無法交易或領錢，之後即被關閉，在短短的一年半，Wotoken吸引了71.5萬名投資人註冊，集資超過77億元人民幣（10.9億美元）。</p> <p>這場騙局的受害者應該不只位於中國本土，因為連加拿大的不列顛哥倫比亞證券委員會，都曾在2019年的10月發出警告，指出Wotoken的高獲利與傳銷模式都是高風險投資的經典警報，呼籲投資人要多加留意。</p> <p>其它在此一期間的詐騙案，則多半以武漢肺炎（COVID-19）為幌子，詐騙犯通常偽稱自己是合法機構，向投資人募集加密貨幣以救助受害者。</p> <p>CipherTrace也公布了在2019年，接收最多犯罪加密貨幣的國家，第一名為芬蘭，在2019年所有犯罪所得的比特幣中，就有12.01%流入芬蘭，而當地的交易平臺LocalBitcoins即占了99%，居次的是俄羅斯的5.23%，英國則排名第三。這些比特幣可能來自於黑市交易、勒索軟體、駭客行動，或其它以加密貨幣交易的非法行為。</p> </div></div></div>
2020/6/5 10:50作者陳曉莉https://www.ithome.com.tw/news/138080
全球2020第一季企業行動裝置釣魚攻擊增加37％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Lookout發布了最新的資安報告，<a href="https://www.lookout.com/phishing-spotlight-report-lp">Lookout調查了在過去一年的行動網路釣魚攻擊</a>，發現去年專針對行動裝置的網路釣魚攻擊，在全球都呈現上升的趨勢，從2019年第四季到2020年第一季，全球行動釣魚攻擊事件更是大幅成長37％</p> <p>而以區域各別來看，亞太區成長27.7％，歐洲、中東及非洲地區（EMEA）成長25.5％，美國則更是行動釣魚攻擊的重災區，從2019年底以來共成長了66%，Lookout提到，隨著釣魚攻擊越來越普遍，企業應該對員工進行適當的安全訓練，否則將會付出高昂的代價。</p> <p>該報告提到，一旦網路釣魚攻擊成功，通常會讓企業損失慘重，在擁有1萬臺行動裝置的企業，每個釣魚攻擊事件會讓企業損失3,500萬美元，而擁有5萬臺行動裝置的企業，在每次釣魚攻擊事件中，損失將可能達1.5億美元。而在個人隱私資料更為重要的醫療保健產業，企業每年平均需要花費50萬美元來因應網路釣魚攻擊，Lookout表示，新興的技術通常是主要的攻擊目標，而行動裝置則提供有心人士攻擊企業的絕佳管道。</p> <p>報告提到了今年2月，發生在加拿大銀行的大規模釣魚攻擊事件，有超過4,000個銀行客戶，收到了偽造的SMS訊息，這個訊息附帶網址，可連到一個看起來像是銀行線上服務的行動網站，雖然用戶可以從URL發現這是一個釣魚網站，但是多數使用者習慣快速操作手機，不會特別注意網址，導致多人上當。</p> <p>Lookout提到，也由於在家工作的緣故，增加企業員工使用手機和平板的機會，雖然企業通常會部署電子郵件網路釣魚防護解決方案，攔截來自電子郵件的威脅，但是行動裝置的管道還有SMS、通訊軟體以及社交平臺，在簡化用戶體驗的同時，也讓使用者更容易受到攻擊。</p> </div></div></div>
2020/6/5 11:10作者李建興https://www.ithome.com.tw/news/138073
美國警方執法過當引發種族歧視爭議，匿名者宣稱竊得警方電子郵件信箱帳密，但資安專家發現並非屬實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月25日，居住於明尼蘇達州明尼阿波利斯（Minneapolis）的非裔美國人喬治·佛洛伊德（George Perry Floyd），他被白人警察德里克·蕭文（Derek Michael Chauvin）逮捕時，這名警員跪在佛洛伊德的頸部超過8分鐘，導致該名非裔人士當下失去知覺且送醫不治，有民眾將警員壓制的過程在臉書直播，使得此事曝光，引發美國各地民眾嘩然，發起示威遊行，要求當局重視種族歧視問題，並嚴審涉案的警察。這起事件也引發國際駭客組織匿名者（Anonymous）關注，並且採取行動，多次釋出影片，表示執法過當的警員要為此負責，否則要公布明尼阿波利斯警察的諸多罪行。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">ANONYMOUS IS BACK AND HAVE ALREADY <a href="mailto:H@CKED">H@CKED</a> THE MINNEAPOLIS POLICE DEPARTMENT WEBSITE<a href="https://t.co/W7AcHyh3gV">pic.twitter.com/W7AcHyh3gV</a></p> <p>— nutella⁷ IA | BLM (@pjnkmin) <a href="https://twitter.com/pjnkmin/status/1266950212976644097?ref_src=twsrc%5Etfw">May 31, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>匿名者先是在28日在臉書上傳影片，表明要對於佛洛伊德遇害的事件有所行動，30日開始，明尼阿波利斯警局的網站無法存取，隔日該組織於推特上表示，此事是他們所為，並且也宣稱洩露了警方的電子郵件帳號密碼。然而，Troy Hunt認為，此事並非完全是事實，因為根據他與自己架設的Have I Been Pwned網站中，所採用的帳號密碼資料庫進行比對，發現駭客提出的資料其實早就已經外洩，沒有與這起攻擊事件直接相關。他認為各界在群情激憤的情況下，匿名者拿出這些資料，宣稱洩露警方的個資，很容易造成民眾和警方加深對立，引發更嚴重的衝突。因此，Troy Hunt也提出他的發現，來說明匿名者根本沒有從明尼阿波利斯警局的網站上，偷取電子郵件的帳號和密碼。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">I'm seeing a bunch of tweets along the lines of "Anonymous leaked the email addresses and passwords of the Minneapolis police" with links and screen caps of pastes as "evidence". This is almost certainly fake for several reasons:</p> <p>— Troy Hunt (@troyhunt) <a href="https://twitter.com/troyhunt/status/1267237884949483522?ref_src=twsrc%5Etfw">May 31, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>Troy Hunt指出，匿名者洩露了789組警方的電子郵件帳密，但實際上不重複的帳號只有689個，其中有87個在這組資料裡出現至少2次，有一個出現了7次之多。而這689個電子郵件信箱，有654個已經在Have I Been Pwned的資料庫裡，換言之，約有95％是曾經被洩露的帳號。</p> <p>再者，大部分的明尼阿波利斯警局電子郵件帳號，還出現在不只一次攻擊事件中。根據Troy Hunt的統計，平均每個帳號已經被曝光5.5次，其中，有38個帳號資料只被洩露一次，最多的是有4個帳號曝光多達14次，換言之，這些資料多半在許多資料外洩事件出現過。附帶一提，他也從自己的推文分析，美國網頁應用程式服務的帳號資料一旦遭到外洩，通常有6成至8成的機率會再度被駭，但這些警局信箱帳號平均遭駭的頻率，還是比一般受害帳號要高出許多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image-2.png" style="width: 568px;" /></p> <blockquote><p>Troy Hunt分析這些警方電子郵件信箱曾經被洩露的次數，大部分都有出現2次的記錄，其中有4個帳號次數最多，曾出現在14起資料外洩事件。</p> </blockquote> <p>為什麼這些警員的電子郵件信箱外洩的頻率這麼高？Troy Hunt指出，這些警官的密碼使用習慣，和許多社會大眾一樣差，近9成都是使用極為容易被猜到的密碼，再加上郵件系統管理者沒有要求密碼的強度，允許使用者設定8個全部是小寫字母的密碼，他不只看到像是123456這種懶人密碼，甚至還有只有「le」2個小寫字母的密碼，足見警員們對於密碼的設定可說是極度隨便，也有很多人是設定了像是andrew、maggie，以及martin等常見的人名。</p> </div></div></div>
2020/6/4 19:29作者周峻佑https://www.ithome.com.tw/news/138075
勒索軟體DopplePaymer宣稱成功入侵NASA外包商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NASA上周末（5/30）在與民營公司Space X合作下成功發射火箭上太空，不料一個勒索軟體DopplePaymer背後的駭客組織也宣稱，他們成功入侵NASA一家IT外包商，取得NASA人事檔案。</p> <p>DopplePaymer作者日前在暗網中貼出部落格文，首先恭禧SpaceX和NASA完成了成功發射任務，但指出，NASA的合作夥伴再一次沒有注意資料安全。這群駭客宣稱已竊取NASA IT外包商Digital Management Inc (DMI)的內部檔案，並貼出20多個壓縮檔為證，顯示已入侵DMI公司管理NASA資訊的系統。</p> <p>駭客宣稱是NASA的壓縮檔中包含一個專案成員的人事檔案，如薪資、電子郵件等個資。<a href="https://www.zdnet.com/article/ransomware-gang-says-it-breached-one-of-nasas-it-contractors/" target="_blank">ZDNet</a>透過公開資料比對，證實似乎不假。</p> <p>此外，暗網上也貼出超過2500個，疑似是DMI內部網路上的伺服器和工作站清單，駭客宣稱已經利用DopplePaymer加密提出勒索。</p> <p>Cybersecurity Insiders<a href="https://www.cybersecurity-insiders.com/ransomware-gang-breaches-nasa-and-us-nuclear-missile-it-contractors/" target="_blank">報導</a>，DMI提供IT外包的客戶除了NASA，還包括美國能源部和國防部。</p> <p>DMI還未對此做出評論。</p> <p>DopplePaymer作者的慣用手法是，他們會先公布受害組織一小部份資料樣本以勒索贖金，若受害組織拒不付錢，駭客就會在自己經營的網站上公布所有資料作為報復。</p> <p>不過這群駭客也不是無差別攻擊。DopplePaymer<a href="https://www.ithome.com.tw/news/136444" target="_blank">宣稱</a>自己從來不攻擊公立醫院、消防急救單位或照護機構。三月間如果有醫療機構不小心中了他們的招，他們還會免費為之解密。</p> <p>政府外包商已經成為駭客攻擊的目標。5月間英國政府外包商也<a href="https://www.ithome.com.tw/news/137676" target="_blank">發生</a>駭客攻擊事件，導致高達10萬名現任及前任員工個資及銀行帳戶等資訊外流。去年也分別發生<a href="https://www.ithome.com.tw/news/131956" target="_blank">俄羅斯</a>情報機關及<a href="https://www.ithome.com.tw/news/131190" target="_blank">美國</a>海關外包商被駭，導致重要資訊外洩。</p> </div></div></div>
2020/6/4 18:00作者林妍溱https://www.ithome.com.tw/news/138074
IBM與微軟等企業組成新聯盟InterWork Alliance，以標準化令牌定義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又一個由多家科技公司組成的非營利組織成立了，新的聯盟稱為<a href="https://interwork.org">InterWork Alliance</a>，目標是要建立令牌（Token）生態系的新標準。這個無關平臺的聯盟初創成員，包含了科技公司、金融組織以及區塊鏈新創，如Nasdaq、IBM、微軟以及Accenture等，由Azure區塊鏈首席架構師，同時也是微軟董事會成員的Marley Gray，擔任聯盟主席，而總裁則是來自以太坊聯盟（Enterprise Ethereum Alliance，EEA）的Ron Resnick。</p> <p>InterWork Alliance提到，令牌讓用戶能夠定義、交換以及使用有價物品，無論是加密貨幣，或是其他形式的價值，諸如藝術品、資產以及忠誠度積分等，都可以透過令牌化價值進行交換以及使用。而InterWork Alliance便是要對令牌的定義方式，以及各種協定和條款取得共識。</p> <p>InterWork Alliance會提供企業需要的框架，用非技術性的商業術語來創建標準化令牌定義和合約，並方便開發人員將這些定義和合約轉成程式碼。該聯盟會提供Token Taxonomy框架，其包含通用語言和工具集，讓各方可以就令牌定義、交換方式以及價值達成共識，也會提供InterWork框架，讓企業使用令牌標準相關的條款，組合成多方合約，之後企業無論採用何種技術，都可以定義通訊協定並連接到框架元件。</p> <p>該組織還會提供分析框架，讓企業能夠從多方合約中的隱私保護分析以及共享資料模式，獲得額外的商業價值，產生加值人工智慧服務以及市場驅動的資料報告。InterWork Alliance表示，令牌化資產和可推動這個趨勢的分散式應用程式，可進行各種組合應用，透過標準化元件屬性、令牌行為以及合約，分散式應用程式在不同技術平臺的互通能力將獲明顯改善，同時也可讓個人、企業和監管單位，能夠更清楚地理解令牌系統的運作。</p> </div></div></div>
2020/6/4 17:35作者李建興https://www.ithome.com.tw/news/138068
SAP ASE資料庫軟體出現任意程式碼執行、資料外洩等漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Trustwave昨日（6/3）揭露Adaptive Server Enterprise (ASE)關聯式資料庫內，有7項中到高風險等級的漏洞，最嚴重者可造成任意程式碼執行及資料庫可被公開存取。</p> <p>ASE關聯式資料庫是來自SAP收購的Sybase ASE產品。過去這項產品廣受金融業採用。SAP也宣稱全球25大銀行中，有24家以Sybase ASE來跑關鍵應用。但是自2010年SAP<a href="https://www.ithome.com.tw/node/61323" target="_blank">收購</a>以來，ASE已甚少釋出修補程式。</p> <p>SAP本周<a href="https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=545396222" target="_blank">公告</a>的7項安全漏洞中，有6項為Trustwave發現。其中最嚴重的是CVE-2020-6248，它是備份資料庫程式碼注入漏洞，出在備份作業覆寫重要組態檔時未做安全檢查，導致任何能執行DUMP指令者（如資料庫管理員），可以簡單指令取代原有的備份伺服器組態檔，再以DUMP指令驅動攻擊程式碼執行，如果SAP ASE跑在Windows平臺上，程式檔即可預設以本機權限執行。</p> <p>CVE-2020-6252出在ASE中Cockpit元件使用的小型資料庫SQL Anywhere，它是以本機權限執行，但登入這個資料庫的密碼卻存在Windows一個可公開讀取的組態檔中，使任何Windows用戶可以取得密碼登入SQL Anywhere資料庫，再覆寫OS檔案，以執行惡意程式碼。CVE-2020-6248和CVE-2020-6252的CVSS 3.0風險評分，分別為9.1及9.0，屬於重大漏洞。</p> <p>ASE另外存在CVE-2020-6241、CVE-2020-6243漏洞，前者為發生在ASE全域暫存表格（Global temporary tables）處理DDL宣稱不當，透過傳送SQL指令，造成資料庫合法用戶升級到管理員權限，後者則出在ASE中的XP Server元件使惡意程式碼以管理員權限執行。CVSS 3.0風險評分各為8.8及8.0。</p> <p>另外，研究人員還發現ASE一個處理Web Services不當的漏洞（CVE-2020-6253），讓合法用戶透過SQL注入升級權限，以及ASE build log包含明碼密碼的漏洞（CVE-2020-6250），兩個漏洞風險評分各為7.2和6.8。</p> <p>上述漏洞全部影響SAP Sybase ASE 16.0版本，但有些也擴及更早的ASE 15.7或15.8版。除了這些漏洞，SAP另外也<a href="https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=545396222" target="_blank">修補</a>了發生在Business Objects BI Platform、NetWeaver Application Server ABAP、Identity Server、Enterprise Threat Detection、Master Data Governance等元件的漏洞。</p> </div></div></div>
2020/6/4 15:50作者林妍溱https://www.ithome.com.tw/news/138069
Windows 10開始自動升級Chromium版Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在上周更新了<a href="https://support.microsoft.com/en-in/help/4559309/update-for-the-new-microsoft-edge-for-windows-10-version-1803-to-2004" target="_blank">支援文件</a>，表示已開始透過Windows 10內建的自動更新機制，主動將使用者的舊版Microsoft Edge，升級到基於Chromium的新Microsoft Edge。</p> <p>微軟今年2月就開始將新版Microsoft Edge遞送給Windows 10預覽版用戶，現在則是正式發表至所有Windows 10穩定版上。</p> <p>可接收新版Microsoft Edge的Windows 10版本，涵蓋Windows 10 1803、1809、1903、1909與2004。</p> <p>根據該文件的說明，舉凡過去在Windows 10上可看到的Microsoft Edge蹤跡，都會自動置換成基於Chromium的新版Microsoft Edge，像是開始功能表、動態磚與捷徑等；新版Microsoft Edge也會直接釘選在工作列上，並在桌面上出現捷徑；若企圖要啟用舊版Microsoft Edge，也會被導向新版Microsoft Edge；但舊版所存放的密碼或我的最愛等資料，則會被轉移到新版。</p> <p>轉換成Chromium版Microsoft Edge之後，使用者將可安裝所有的Chrome擴充程式，只是它預設的搜尋引擎為Bing，另也支援Azure Active Directory（AAD）、IE模式、4K串流、杜比音效，以及可在PDF檔中作筆記等功能。</p> </div></div></div>
2020/6/4 16:40作者陳曉莉https://www.ithome.com.tw/news/138070
Snap表態不再推廣川普帳號與內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影像分享平臺Snap執行長Evan Spiegel在本周一（6/1）宣布，未來將不會藉由Snapchat上的Discover功能，推廣那些煽動種族暴力的帳號。Spiegel並未指名道姓，但除了外界一致認為Spiegel所指的，就是最近在Twitter及臉書造成發言風波的美國總統川普（Donald Trump）之外，川普競選團隊則主動對號入座，發表聲明，指責Snap的作法是在壓制川普。</p> <p>Spiegel本周對內<a href="https://www.snap.com/en-US/news/post/we-stand-together/" target="_blank">發表</a>了一篇長文，表達他對於美國黑人及有色人種的待遇感到傷心與憤怒，也認為美國長期存在著種族暴力與不公正的現象，並提及將不再於Snapchat上推廣那些煽動種族暴力的美國帳號，不管這些帳號是不是在該平臺上倡導種族暴力。</p> <p>Spiegel解釋，Snapchat上的Discover功能是一個經過策畫的平臺，由他們決定要推廣什麼，一直以來他們都致力於推動那些可對用戶造成正面影響的內容，未來可能會允許這些製造分裂的人繼續保有Snapchat帳號，只要他們所發表的內容符合該平臺的社群標準，但未來不再推廣這些帳號或內容。</p> <p>Snap的決定應與非裔美國人George Floyd之死有關。今年的5月25日，明尼蘇達州的警察疑因執法過當而造成Floyd死亡，此事引燃了美國潛藏已久的種族歧視炸彈，迄今有數十州出現抗議、示威遊行，甚至是暴動行為。川普除了29日在Twitter上放話「一旦有人開始搶劫，就是開槍之時。」以外，30日更說出「那些穿越警方封鎖線的抗議民眾，將會迎來最兇猛的警犬及武器，那時人們就會真的受到嚴重的傷害，還有許多特勤局幹員嚴陣以待，他們把年輕人派到前線，這些年輕人喜歡這樣，而且是好的練習....」</p> <p>也許是川普的暴力威脅促使Snap表態，同時也讓川普競選團隊經理Brad Parscale對此發表了<a href="https://www.donaldjtrump.com/media/trump-campaign-statement-on-snapchat/" target="_blank">聲明</a>。Parscale批評Snapchat企圖操縱2020年的美國總統大選，非法利用其企業資源來替拜登（Joe Biden，另一美國總統候選人）造勢，並壓制川普。Parscale還說，Snapchat是因為不想看到該平臺有這麼多用戶觀看川普的內容，才會積極壓制選民。</p> </div></div></div>
2020/6/4 15:05作者陳曉莉https://www.ithome.com.tw/news/138065
iOS上Google帳戶現原生支援WebAuthn
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新iOS上Google帳戶的安全防護功能，開始<a href="https://security.googleblog.com/2020/06/making-advanced-protection-program-and.html">原生支援W3C WebAuthn實作</a>，這將可以讓使用者於相容的iOS裝置上，在Google帳戶和進階保護計畫（Advanced Protection Program），使用更多類型的安全金鑰。</p> <p>WebAuthn是一個網頁標準，其提供了簡單且強健的瀏覽器驗證流程標準，網頁和應用程式可以透過API呼叫，啟動FIDO 2強驗證機制，用戶便不需要記憶和輸入密碼，可利用行動裝置、指紋辨識或是安全金鑰來登入帳戶，並免於遭受釣魚攻擊。進階保護計畫則是Google提供給高風險人士的安全防護機制，用戶需要同時輸入密碼，並使用實體安全金鑰，才能登入Google帳號。</p> <p>Google的這項更新適用於執行iOS 13.3或是以上版本的裝置，由於USB-A和藍牙Titan安全金鑰均內建NFC功能，現在當用戶要在iPhone上登入Google帳戶時，用戶可以將這些金鑰輕觸iPhone背板，即可進行解鎖；而像是YubiKey 5Ci與其他USB安全金鑰等Lightning安全金鑰，可以使用Lightning對USB相機轉接器進行解鎖；USB-C安全金鑰，則可以直接用於iPad Pro等具USB-C插槽的裝置。</p> <p>Google也建議用戶可以安裝Google Smart Lock應用程式，不只可以使用藍牙安全金鑰，還可以使用手機內建的安全金鑰，把iPhone當作一個Google帳戶額外的安全金鑰。要將Google帳戶新增到iOS裝置中，用戶需要先在iPhone設定中的密碼和帳戶中配置，或是安裝Google應用程式。Google提到，他們建議高安全風險的用戶使用安全金鑰，並加入進階保護計畫。</p> </div></div></div>
2020/6/4 15:40作者李建興https://www.ithome.com.tw/news/138066
視訊會議Zoom的安全頻受關注，未來付費版將內建E2EE全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從疫情期間使得在家工作成為常態，市面上的視訊會議產品變得熱門，用戶數均大增，不過，其中一家視訊會議Zoom卻引起了各種的安全爭議，例如，該公司被踢爆產品服務沒有全程加密技術（End-to-End encryption，E2EE），卻聲稱自己使用該技術，有誤導與欺騙的問題存在，還有加密作法不夠周延，以及其他地區的會議金鑰會由中國資料中心傳遞等問題，還有一連串的漏洞問題被爆出，雖然後續Zoom也宣布將啟動90天安全計畫將改善資安，但已經讓外界對該公司產品引發一連串不信任的危機。</p> <p>最近，Zoom執行長袁征在第一季財報會議上，特別公布，未來他們會將E2EE加密功能提供給付費版用戶，但免費版用戶則不會享有這樣的功能。</p> <p>在這次的財報會議現場，現場JPMorgan分析師Sterling Auty就特別針對技術方面問題提問，希望能了解該公司何時將提供E2EE全程加密功能，</p> <p>袁征先從產業現況來簡短說明，他說，多數視訊會議廠商都使用AES 256位元GCM或CBC加密模式，因此這就是產業標準。</p> <p>當中他也提到如果啟用E2EE全程加密的問題，例如，將無法用傳統電話撥入，也無法支援硬體視訊會議設備H.323的連線，此外雲端視訊錄影也將受制而無法使用，所以現在多數視訊會議產業都不提供這樣的功能。</p> <p>從上述回應來看，說明了原本的雲端視訊會議服務，由於擴展到硬體視訊會議的支援，因此在E2EE的問題方面，是比較複雜一些，換言之，對於只有行動視訊應用的產品型態而言，要實作E2EE可能較為容易。只不過，並沒有解釋當初為何他們要聲稱採用E2EE的技術，造成使用者可能被誤導。</p> <p>此外，袁征表示，他們認為，Zoom還是需要提供這樣的進階功能給使用，如果用戶覺得會議相當重要，可以在功能有限的情形下啟用加密功能，這樣也還可以讓傳統電話撥入。</p> <p>根據袁征的說法，針對企業付費版的用戶，他們正在開發E2EE，成為付費版內建功能，但不會將這樣的功能提供給免費版用戶。同時他也提及這麼做的原因，是因為與FBI或政府執法合作方面，希望讓大眾可以更好去使用Zoom，避免不當用途。</p> <p>對於袁征上述所提，前Facebook資深首席安全官、現任Zoom安全顧問Alex Stamos，後續也在Twitter上說明更多資訊。當中他提到，該公司不會主動監控會議內容，並強調未來也不會，此外，Zoom正在處理一些嚴重的安全問題，包含有外人突入打擾會議時，會議主持人可以舉報，並說明Zoom正與執法單位打擊這樣的行為。</p> <p>先不論因應執法單位的說法，但至少，現在Zoom能明確說明付費版的E2EE功能正在開發，免費版則不會提供。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-06-04_150113.jpg" style="width: 600px;" /></p> <p>對於視訊會議產品在E2EE功能問題，我們也曾訊問國內廠商的動向。在今年4月9日，我們將這方面的問題詢問國內視訊會議廠商訊連科技，當時他們清楚表示，以訊連的產品而言，U企業版可選購E2EE全程加密功能，免費版沒有提供，隔日他們也發出新聞稿說明此事，指出該選購方案可將U會議的視訊會議進行E2EE加密，也可針對U通訊所傳輸的文字、貼圖與圖片，進行E2EE加密。而這樣的功能，他們是在2018年提供。</p> <p>至於E2EE方面的其他討論，一般外界最常比較的對象，通常則是通訊軟體的視訊功能，像是Line、Telegram，以及蘋果iMessages與臉書的WhatsApp，視訊會議平臺通常聚焦多人視訊與簡報分享。此外，就E2EE的實作範圍而言，也是一個切入面向，以國人熟知的Line而言，在E2EE上的功能，清楚說明了加密內容是文字訊息、位置資訊，以及一對一免費通話。</p> </div></div></div>
2020/6/4 15:52作者羅正漢https://www.ithome.com.tw/news/138067
Zoom開發中的端對端加密功能，不會出現在免費版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>之前一直努力強化安全功能的Zoom計畫提供端對端加密，但這項功能將僅限付費服務，免費版本並不會獲得保護，以免有人用來做壞事。</p> <p>路透社於5月間<a href="https://www.reuters.com/article/us-zoom-encryption-exclusive/exclusive-zoom-plans-to-roll-out-strong-encryption-for-paying-customers-only-idUSKBN23600L" target="_blank">報導</a>，Zoom正在規畫的端對端加密將只提供付費版用戶。昨日（6/4）Zoom執行長袁征在分析師視訊會議上證實此點，<a href="https://zoom.us/rec/play/uZEpcLj9_Wg3TILBsQSDC_UtW47sLK6s0SMX86BemkzhBXEEZAKnY7BBYbDue7jKLdOYCyKirVMaACC-?startTime=1591133389000&_x_zm_rtaid=gceCtJ5WTOiWZmCfP-gi2A.1591203162496.0312dd620318a767054ce247471c4b18&_x_zm_rhtaid=303" target="_blank">表示</a>端到端加密並不會提供給免費版用戶，因為Zoom也會和FBI及執法單位合作，因為有些人會利用Zoom從事不良意圖。</p> <p>Zoom五月初<a href="https://www.ithome.com.tw/news/137500" target="_blank">宣布</a>收購具備端對端加密技術的新創公司Keybase，目的在打造端對端加密服務。目前這項計畫還在進行中尚未完成，但是Zoom已預告，這項加值服務只會提供給所有付費用戶。</p> <p>Zoom發言人表示，新的端對端加密服務是為了保障弱勢族群的隱私，對象是他們可以驗證身份的使用者。但免費用戶僅以電子郵件登入，不足以提供身份辨識所需。</p> <p>另一方面，為防有人利用加密服務為惡，Zoom說不會主動監控會議內容，但會使用自動化工具收集作亂人士的證據，此外，除了孌童罪犯之外，他們不會洩露用戶資訊給執法機關。</p> <p>Zoom同時也強調，不會為了讓政府或執法單位合法監控而打造解密工具，或加入後門讓其他人，進入使用者會議進行祕密監控。</p> <p>相較之下，免費版通訊軟體iMessages及臉書的WhatsApp，都採用端到端加密機制，Telegram及Line則可設定端到端加密功能。</p> </div></div></div>
2020/6/4 14:30作者林妍溱https://www.ithome.com.tw/news/138057
在Chrome無痕模式還被追蹤，Google面臨百萬用戶發起集體訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國一家律師事務所Boies Schiller Flexner本周代替Chrome用戶，向Google<a href="https://www.reuters.com/article/us-alphabet-google-privacy-lawsuit/google-faces-5-billion-lawsuit-in-u-s-for-tracking-private-internet-use-idUSKBN23933H" target="_blank">提出集體訴訟</a>，指稱就算在Chrome中採用無痕模式（Incognito mode），Google還是持續追蹤使用者的瀏覽行為，違反美國的竊取與隱私法令，向Google求償50億美元，不過Google已決定力爭到底。</p> <p>在Chrome上切換到無痕模式後，Chrome就不會儲存使用者的瀏覽紀錄或在表格中所輸入的資料，而且在瀏覽當時所使用的cookies與網站資料，也都會在退出無痕模式之後全數刪除。</p> <p>然而，使用者指控，就算在該模式中，Google依然藉由Google Analytics、Google Ad Manager、其它應用程式或網站外掛來蒐集使用者資料，而讓Google得知使用者的交友或消費習慣，以及使用者所搜尋的字串，認為Google是秘密蒐集了這些未經授權的用戶資料。</p> <p>Boies Schiller Flexner<a href="https://www.bbc.com/news/business-52887340" target="_blank">估計</a>，該案可能聚集100萬名自2016年6月以來的Chrome用戶，每位用戶將請求5,000美元的賠償，估計Google至少要賠償50億美元。</p> <p>然而，Google已決定要力爭到底，因為在使用者開啟無痕模式時，Chrome都會提醒，網站可能會蒐集使用者的瀏覽行為。事實上，根據Chrome的<a href="https://support.google.com/chrome/answer/7440301" target="_blank">無痕模式說明</a>，該模式只是讓Chrome不儲存瀏覽資料或所輸入的資訊，只有儲存書籤與所下載的檔案；但還是有一些服務可觀察使用者的活動，包括所造訪的網站、所登入的服務、雇主或學校、ISP業者，以及搜尋引擎等，而且它們也許能得知使用者的活動、IP位址或身分。</p> </div></div></div>
2020/6/4 14:50作者陳曉莉https://www.ithome.com.tw/news/138058
Visual Studio 2019將可延伸K8s資源至本地端，加速微服務測試開發程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將在Visual Studio 2019中加入稱為<a href="https://devblogs.microsoft.com/visualstudio/introducing-local-process-with-kubernetes-for-visual-studio%E2%80%AF2019/">Local Process</a>的Kubernetes功能，Local Process讓開發者將開發工作站連接到Kubernetes叢集，使用Kubernetes資源直接在開發工作站上編寫、測試和除錯.NET微服務程式碼。</p> <p>微軟提到，典型的Kubernetes微服務應用程式開發流程，包括了修改程式碼、建置容器映像檔，以及將映像檔部署到Kubernetes叢集中這幾個階段，開發者每天必須重複這個複雜程序很多次，而這將會降低開發者真正花費在解決核心問題的時間資源。</p> <p>Local Process便是要來簡化這個過程，開發者可以將Kubernetes資源擴展到開發工作站中，讓開發者不需要將程式碼同步到叢集中，就能進行測試、除錯，以及快速迭代。要使用這項功能，開發者不需要使用Dockerfile或Kubernetes清單，只要連接到Kubernetes叢集，便可以在開發工作站中，原生地執行程式碼。</p> <p>微軟提到，由於微服務應用程式由多個服務組成，通常互相互叫，每個服務都有各自的配置和相依關係，這使得本地端執行應用程式耗時又複雜，而Local Process讓開發者不需要在開發工作站中，手動獲取、配置和編譯外部相依項目。</p> </div></div></div>
2020/6/4 12:00作者李建興https://www.ithome.com.tw/news/138048
VMware Cloud Director含有可讓駭客接管雲端服務基礎設施的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供滲透測試的Citadelo，近日揭露一個存在於VMware Cloud Director的程式碼注入漏洞，VMware Cloud Director為鎖定雲端供應商的雲端管理平臺，若成功開採該漏洞，可能允許駭客接管雲端服務的整個基礎設施。</p> <p>VMware Cloud Director原本名為VMware vCloud Director，是VMware專為雲端供應商打造的雲端管理平臺，可用來建立虛擬資料中心、支援多租戶管理與容器即服務，也內建資料保護及災難復原等安全機制。</p> <p>此一編號為CVE-2020-3956的安全漏洞，被歸類為程式碼注射漏洞，取得授權的駭客只要傳送一個惡意的流量到VMware Cloud Director，就能自遠端執行任意程式，駭客可透過HTML 5及Flex介面，或是API Explorer與API開採該漏洞。</p> <p><a href="https://citadelo.com/en/blog/full-infrastructure-takeover-of-vmware-cloud-director-CVE-2020-3956/" target="_blank">Citadelo指出</a>，那些開放潛在客戶進行免費使用，且採用VMware Cloud Director的雲端服務供應商，將因此而面臨高風險，因為它們容許不可靠的使用者存取服務。</p> <p>成功開採CVE-2020-3956漏洞可能造成以下的後果，允許駭客檢視內部的系統資料庫，包括該基礎設施上任何客戶的雜湊密碼；變更系統資料庫，以竊取在Cloud Director中分配給不同組織的外部虛擬機器；把組織管理員的權限擴大成系統管理員，而能存取所有的雲端帳號；變更Cloud Director的登入頁面，進而竊取其它客戶的明文密碼；存取客戶的機密資料，包括姓名、電子郵件位址與IP位址等。</p> <p>Citadelo執行長Tomas Zatko表示，一般認為雲端基礎設施是相對安全的，因為它部署了許多不同的安全層，像是加密、隔離網路流量或客戶分群，然而，任何應用都可能出現安全漏洞，包括雲端服務供應商本身。</p> <p>此一藏匿在Cloud Director中的漏洞，將影響採用該平臺的公有雲供應商、私有雲供應商、大型企業或政府組織。</p> <p>VMware在接獲通知後，已於5月19日<a href="https://www.vmware.com/security/advisories/VMSA-2020-0010.html?PID=9041660&PubCID=2774599&cjevent=a70ab619a57711ea835500410a18050c" target="_blank">修補了該漏洞</a>，遭到波及的版本包括vCloud Director 9.1.x、vCloud Director 9.5.x、vCloud Director 9.7.x，以及vCloud Director 10.0.x。至於已經更名為Cloud Director的Cloud Director 10.1.0，則未受到影響。</p> </div></div></div>
2020/6/4 12:10作者陳曉莉https://www.ithome.com.tw/news/138055
微軟正在開發49窗格的Teams視訊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了不讓當紅的Zoom專美於前，微軟也正在為其Teams開發一次顯示最多49人上線的視訊功能。</p> <p>華爾街日報<a href="https://www.wsj.com/articles/microsoft-aims-to-dominate-technology-at-work-starting-with-those-video-calls-11591108757" target="_blank">報導</a>，微軟內部一個50人的團隊，正在和紐約學區的學校IT和教師合作趕工，希望能為Teams增加讓競爭對手Zoom大受歡迎的功能，像是7x7窗格，最多可以一次看到49人上線的功能。</p> <p>微軟對CRN<a href="https://www.crn.com/news/applications-os/microsoft-teams-video-calls-expanding-to-49-visible-participants" target="_blank">證實</a>，Teams發展藍圖的確包含將影像通訊時可見人數，擴大到最多49人。</p> <p>在此之前Microsoft Teams的視訊窗格為4格（2x2），五月中微軟<a href="https://microsoftteams.uservoice.com/forums/555103-public/suggestions/17010055-show-video-for-all-people-in-video-meeting" target="_blank">宣布</a>新開發出9格（3x3）畫面，才正式100%部署到Windows和Mac用戶端。微軟工程師指出，3x3只是開始，還不夠好，因此公司正努力擴大視訊可見用戶人數，也計畫支援行動裝置。</p> <p>不過微軟並未說明這項計畫的時程。</p> <p>微軟希望至少藉由功能強化，拉近Microsoft Teams和Zoom的距離。在武漢肺炎疫情期間爆紅的Zoom，昨日（6/3）<a href="https://www.ithome.com.tw/news/138039" target="_blank">公布</a>第一季財報，營收達3.28億美元，比去年同期成長169%，而每天的參與會議人次也突破3億。</p> </div></div></div>
2020/6/4 12:35作者林妍溱https://www.ithome.com.tw/news/138056
AI趨勢周報第134期：Transformer也能用來解電腦視覺任務！臉書發表DETR模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0530～0604)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書發表DETR模型，用Transformer架構來解電腦視覺任務</strong></span></p> <p>Transformer是一款新興深度學習模型架構，在序列性任務的表現特別好，常用於自然語言處理（NLP）、語音辨識、增強式學習等領域。而臉書最近發表的<a href="https://github.com/facebookresearch/detr">影像辨識模型DETR</a>，特別把Transformer架構用來解決電腦視覺任務。</p> <p>DETR可進行偵測物件和全景影像分割任務，但結構與先前的電腦視覺模型截然不同。DETR由一系列全局損失（Global loss）組成，可進行獨特的預測，比如給定小部分的已知物件查詢，DETR可推導出物件與整體影像的關係，可直接平行輸出最終的預測結果。</p> <p>臉書解釋，DETR簡化了影像辨識的工作流程，省去不少須手動設定的作業，也不需要特殊的函式庫。經COCO影像資料集測試，DETR達到高階方法（如Faster R-CNN）的預測水準，不過對小型物件偵測仍不夠準確，這也是團隊未來的研究方向。<a href="https://arxiv.org/pdf/2005.12872.pdf">（詳全文）</a></p> <p><img alt="" src="https://github.com/facebookresearch/detr/raw/master/.github/DETR.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 偏差 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind：句法偏差讓BERT更上層樓</strong></span></p> <p>自Google前年發布大型自然語言預訓練模型BERT以來，就成為自然語言處理（NLP）的標竿，即使不了解階級句法結構，也能很好地判斷文法和句法。不過，DeepMind和加州大學柏克萊分校的研究員聯手研究，發現句法上的偏差，可提高BERT的準確度。</p> <p>進一步來說，團隊採知識蒸餾（KD）方法，透過提取（Distill）語言模型的句法預測，來把句法偏差嵌入BERT預訓練。為了順利做到這一點，團隊先建立了新的預訓練設置，可直接提取KD中遞迴歸類神經網路文法（RNNG）的單字邊際分布，同時也保持BERT的擴展性。後來，團隊利用6個結構預測任務，來測試改良的BERT，表現都比原本的BERT要好，錯誤率可下降2至21％。<a href="https://arxiv.org/pdf/2005.13482.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI釋出1,750億個參數的超大型自然語言模型</strong></span></p> <p>30多位OpenAI研究員日前聯手發表最新研究，也就是一套<a href="https://github.com/openai/gpt-3">超大自然語言模型GPT-3</a>，擁有1,750億個參數，而且在一系列的基準測試任務中，比如翻譯、新聞生成、回答SAT問題等領域，都達到高階等級（SOTA）。</p> <p>OpenAI曾在去年發表GPT-3的前身GPT-2，參數最多也才15億個。這次發布的GPT-3模型，利用近上兆個單字的CommonCrawl資料集和網路文件、維基百科等相關資料，採非監督式方法訓練而成。團隊指出，GPT-3處理任務時，完全不須任何微調或梯度更新，只需要少量與模型交互的文字示例（Demonstration）即可。在NLP測試中，團隊指出，GPT-3在單樣本學習和少樣本學習中表現優異，但對常識推理、句子比較等任務則稍弱。<a href="https://arxiv.org/pdf/2005.14165.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gpt-3.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百度</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 量子機器學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Paddle Quantum </span></strong></span></p> <p><span style="font-size:22px;"><strong>百度開源量子機器學習平臺Paddle Quantum </strong></span></p> <p>百度日前在自家深度學習開發者大會上，宣布釋出量子機器學習平臺Paddle Quantum，要來加速資料科學家利用量子運算來訓練和開發AI的時間。這款平臺建置於自家深度學習平臺PaddlePaddle上，支援三種量子應用：量子機器學習、量子化學模擬，還有量子組合優化；開發者可以利用這些工具從頭打造量子模型。</p> <p>百度指出，Paddle Quantum具通用性和擴展性，因為它支援了量子電路模型的變量定義和矩陣乘法，還有一般的量子計算研究。此外，Paddle Quantum還提供一系列量子機器學習模型，為複雜的運算如Gibbs state preparation打下基礎。<a href="https://github.com/PaddlePaddle/Quantum">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個資隱私 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不拿走任何資料！Google發表聯合分析技術，兼顧隱私和服務品質</strong></span></p> <p>Google利用聯合學習（FL）基礎，發展一套聯合分析（Federated Analytics）技術，可用來改善Google自家鍵盤Gboard和音樂辨識應用的準確度。Google表示，這項技術最大的優點，就是讓使用者的資料留在裝置上，同時工程師也能獲取匯總的資料，來改善服務。</p> <p>聯合分析原本用來支援聯合學習，讓模型品質評估也能在用戶手機上進行。舉例來說，Gboard工程師可用來評估單詞預測模型的品質，在本地端計算該模型的預測和實際輸入單詞間的差異，並上傳比對結果，透過多個使用者手機上傳的指標，工程師就能了解模型的效能。<a href="https://ai.googleblog.com/2020/05/federated-analytics-collaborative-data.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Cloud 超級電腦 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺灣AI雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技部 </span></strong></span></p> <p><span style="font-size:22px;"><strong>自動評估更準確，Google最新NLG自動化指標BLEURT上線</strong></span></p> <p>現有NLG自動評估指標只評估表面相似度，Google開發一套可自動衡量句子間語意相似性的指標BLEURT，能達到接近人類註釋的準確性，準確度還比常用的自動指標BLEU高48％。</p> <p>BLEURT是一個以機器學習為基礎的自動指標，能捕捉句子間語意的相似性。在開發時，Google採遷移學習來解決訓練資料不足的問題，透過BERT的上下文單詞表示法來輔助，以及其他預訓練方法，來提高BLEURT強健性。後來，Google也對BLEURT進行基準測試，在機器翻譯和資料生成文字等任務都超越現有的方法，比應用WMT Metrics Shared Task的BLEU，人工評估分數還要高48％。<a href="https://ai.googleblog.com/2020/05/evaluating-natural-language-generation.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-xOAKHx3zxvQ/XtFXUcIrhvI/AAAAAAAAGCE/2mIXJ0Gas-wRCvoHzQi-V_1k4nmAmokhgCLcBGAsYHQ/s640/image2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure Cosmos DB </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吞吐量 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Azure Cosmos DB可自動配置預設吞吐量，用戶不必再緊盯流量</strong></span></p> <p>微軟更新自家雲端NoSQL資料庫服務Azure Cosmos DB，除了強化和分析服務Azure Synapse的整合，還能自動縮放配置的吞吐量，用戶還可使用自己的金鑰對靜態資料加密。</p> <p>首先，微軟釋出Azure Synapse Link功能預覽，鎖定混合交易和分析處理，可讓Azure Synapse存取Cosmos DB，以獲取接近即時的分析結果。另一方面，Cosmos DB也將之前預覽的自動模式更名為自動縮放預配置吞吐量，並正式釋出，藉由自動縮放功能，可以在維護SLA的同時，自動快速擴展以滿足突如其來的流量峰值，讓用戶不用監控流量。<a href="https://devblogs.microsoft.com/cosmosdb/build-2020-announcements/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/cosmosdb/wp-content/uploads/sites/52/2020/05/synapse_spark_snippet-1024x370.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">大規模預訓練模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電腦視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BiT </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開源大規模預訓練電腦視覺模型BiT </strong></span></p> <p>Google發布一款電腦視覺預訓練模型BiT，透過大規模預訓練，可快速運用其他資料集，來解決電腦視覺任務，而且實驗顯示，這款模型可獲得極佳的Top-5精確度。</p> <p>首先，Google利用自然語言預訓練模型BERT的方法，來調整預訓練的BiT模型。為微調超參數，Google運用了啟發式超參數調校方法BiT-HyperRule，並利用圖像辨識率和標籤範例數量等高層級的資料特徵，調整參數配置。在實驗上，Google利用ILSVRC-2012訓練和微調的模型，Top-5精確度可達到80％，比之前最好的成果還要高25％。<a href="https://ai.googleblog.com/2020/05/open-sourcing-bit-exploring-large-scale.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-NkAlO48dW_k/XsWz-8CLuLI/AAAAAAAAF-8/xbPH2061a8IT4ipiRqwP_6Mutmu3M1IjACLcBGAsYHQ/s400/image1.gif" /></p> <p>圖片來源／臉書、OpenAI、微軟、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 明年Google搜尋將把網頁經驗納入排序依據</strong></p> <p><strong>2. 運算效能提升20倍，Nvidia新款資料中心等級GPU上陣</strong></p> <p><strong>3. OpenAI聯手Uber，打造最新搜尋方法Virtual Petri Dish，幫開發者挑選最佳模型</strong></p> <p>資料來源：iThome整理，2020年6月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 157.5px; width: 1348.78px; height: 35.5556px;"> </div> <div aria-describedby="bubble-3" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 16px; top: 204px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-3"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 674.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/6/4 11:26作者王若樸https://www.ithome.com.tw/news/138054
Chef推出程式化安全與桌面自動化兩新產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>組態工具廠商Chef推出了兩款新產品，分別是<a href="https://blog.chef.io/now-available-chef-compliance/">Chef Compliance</a>以及<a href="https://blog.chef.io/now-available-chef-desktop/">Chef Desktop</a>，可讓企業以更簡單的方式，跨系統應用網路安全政策。</p> <p>Chef Compliance建立在開源的資安法遵框架InSpec之上，Chef在InSpec添加了額外的功能，推出商業版本，Chef Compliance可讓企業防範混合雲以及多雲環境間的安全事件發生，為有特殊要求的應用程式創建安全規則，並且也有儀表板供用戶快速查看違規事件，還提供自動修復工具，讓用戶快速緩解違規事件。</p> <p>Chef Compliance包含了稽核（Audit）以及補救（Remediation）兩部分，稽核可提高企業資產的法遵狀態可見度，其使用CIS（Center for Internet Security）和DISA（Defense Information Systems Agency）標準，可以滿足各種特殊需求。而補救的部分，則是讓基礎設施和營運團隊，可以解決稽核階段所發現的問題，維持企業的法遵狀態，官方提到，使用補救功能讓使用者不需要撰寫程式碼，就能解決稽核揭露的問題。</p> <p>另一個新產品Chef Desktop，讓IT團隊簡單地將配置和法遵需求，轉換成人類可讀的程式碼，並以自動化功能來保護員工的筆電、桌電以及工作站，Chef Desktop提供了預先編寫的配置程式碼，可用來稽核和強化電腦作業系統。</p> <p>Chef Desktop對Mac和Windows支援零接觸程序，可快速地在企業員工電腦上啟動，自動化應用程式的部署和管理工作，在端點上的自動化政策，可靈活地進行精細的調校，用戶可以使用配置檔案、資料加密和系統更新來實施安全政策，官方提到，Chef Desktop是同類產品中，唯一的IT資源自動配置工具，可讓企業採用一致的方法，進行自動化配置、管理和安全維護。</p> <p>IT管理員利用Chef Desktop來處理通用裝置的管理任務，像是在員工的電腦啟用硬碟加密或是推送作業系統修補程式，或是用來安裝工作用軟體。即便企業員工在家工作，IT人員也能利用Chef Desktop，向遠端的電腦提供必要的安全防護，降低安全風險。</p> </div></div></div>
2020/6/4 11:55作者李建興https://www.ithome.com.tw/news/138045
美國打造出結合監控App、穿戴裝置及AI的COVID-19預測模型，可提前發現90%的無症狀患者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然現在各國推出接觸追蹤App希望能抑制武漢肺炎（COVID-19）病毒傳播，但仍然屬於亡羊補牢的作法。美國一項研究顯示，智慧戒指等穿戴裝置量測，可以在病患症狀出現前三天就預測到，準確度高達90%。</p> <p>今年4月，西維吉尼亞大學、洛克斐勒神經科學研究所（Rockefeller Neuroscience Institute，RNI）、西維吉尼亞醫院和智慧戒指商Oura Health<a href="https://wvutoday.wvu.edu/stories/2020/04/08/wvu-rockefeller-neuroscience-institute-and-oura-health-unveil-study-to-predict-the-outbreak-of-covid-19-in-healthcare-professionals" target="_blank">合作</a>，打造結合COVID-19監控App、智慧戒指及人工智慧（AI）為基礎的預測模型，希望能發展出一套結合生理資訊及身心量測的系統，以在前線醫護人員有症狀前，便提早辨識出是否受感染，防止他們在無症狀情況下散播病毒。</p> <p>這項研究是由RNI主導的研究計畫的第一階段，利用Oura智慧戒指偵測受試者體溫、心率及心率變異（HRV）、呼吸頻率及睡眠、行為樣態，還以RNI開發的App問卷，蒐集他們的心理、認知及行為資訊，包括壓力、焦慮、記憶力、韌性及復原功能等，來訓練RNI開發的AI模型對COVID-19症狀的預測能力，包括發燒、咳嗽、呼吸困難、疲憊等。第一階段共有600多名西維吉尼亞醫院的醫護人員參加研究。</p> <p>研究顯示，這套模型可以在受試者出現症狀之前3天預測到，準確度超過90%。RNI表示，這套方法或許可用於協助減緩病毒散布，解封社區，輔助公衛及經濟政策。</p> <p>RNI同時也和紐約市、費城、納許維爾等其他城市的醫院合作，針對10,000多名醫護人員，進行類似的COVID-19研究。</p> <p>智慧穿戴裝置及AI技術，被大量用於這次的抗疫行動。智慧型手錶<a href="https://www.ithome.com.tw/news/136997" target="_blank">Fitbit</a>四月間也宣布與史丹福醫學院合作，開發以偵測COVID-19等病毒感染早期症狀的演算法。加州大學舊金山分校三月也和<a href="https://www.ithome.com.tw/news/136533" target="_blank">Oura Health</a>合作開發及早辨識出COVID-19感染的演算法。</p> </div></div></div>
2020/6/4 10:35作者林妍溱https://www.ithome.com.tw/news/138047
馬偕IT全靠開發力守住防線，2個月快建數十支AP支援抗疫
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一位病人插卡查旅遊史，只要3秒！」馬偕紀念醫院（以下簡稱馬偕醫院）資訊室主任鄭聰貴驕傲地說。但起初，這樣一個簡單插健保卡查詢動作，卻得耗上一分鐘，才能完成，只要人一多，查詢就得等待，醫院門口因此常常大排長龍，造成民眾抱怨，但在馬偕資訊團隊不斷改良程式之後，後來進醫院，民眾只要插入卡片，就能馬上確認有無旅遊史，甚至無須等待。在臺灣疫情升溫期間，也讓馬偕多了一項成功守住防線的武器，來保存醫療能量。</p> <p>而這僅是馬偕醫院資訊部門近期推出的眾多IT防疫措施之一，光是疫情期間，他們合力開發出大大小小的程式或App，就有多達20多支，都逐一放進原本的醫療服務之中，來提供更多服務或功能，協助醫院加強防疫。</p> <p>由於中國武漢肺炎（COVID-19）年初爆發，造成全球疫情大流行，亞洲、歐美各國先後淪陷成為重災區。臺灣疫情雖然沒有國外嚴峻，但仍遭遇一波感染疫情，尤其是在2月、3月時，不少本土和境外移入確診個案不斷增加，甚至，做為防疫第一線的醫院，都出現首宗院內感染的案例，各家醫院如臨大敵，紛紛加強醫院進出管制，並升級防疫措施。</p> <p>馬偕醫院也是其中一家，3月中便開始加強防疫措施，包括查檢旅遊史、增加戶外門診與暫停夜診等，以降低院內群聚感染的風險。而去年中接任資訊主管一職的鄭聰貴，剛上任不到一年，就得面對這個突如其來的IT大考驗，他更站在第一線率領資訊團隊運用IT協助醫院抗疫。</p> <p>他回憶，疫情期間，醫院每周都會召開緊急應變會議，隨時根據疫情局勢發展，來滾動式調整政策，決定接下來要採取的防疫措施。由於防疫是跟時間賽跑，所以，只要醫院一有新的防疫政策或措施下達，需要IT協助，馬偕資訊部門馬上就會著手進行開發，而且開發完立即就要能派上用場，「甚至於，今天接到指示決定要做，隔周新作法就要馬上上線」他說。</p> <p><strong><span style="font-size:28px;">醫院門口插健保卡查旅遊史，從一分鐘縮減到3秒搞定！</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350%20-%E8%87%B3%E6%B5%A9-%E9%A6%AC%E5%81%95%E7%B4%80%E5%BF%B5%E9%86%AB%E9%99%A2-%E5%9C%962.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>馬偕紀念醫院資訊室主任鄭聰貴表示，醫院IT具備自主開發能力很重要，否則遇到像這次疫情危機時，如果單靠委外，就會來不及。 </strong></span>攝影／洪政偉</span></p> </td> </tr></tbody></table><p>門禁疫調系統的開發就是其中一例。為了因應3月臺灣疫情升高，該醫院也依據中央流行疫情指揮中心的建議，提升院內防疫管制，加入旅遊史查驗程序，並自同月20日起實施，要求所有人進醫院前，都須先查驗旅遊史，確認這些看診民眾皆沒有相關旅遊史，方可進入院內看診。</p> <p>為此，馬偕資訊團開發了一套門禁疫調系統，以多達12臺電腦搭配健保專屬讀卡機，分別設置於醫院入口處與停車場，來做為病人旅遊史的查檢。</p> <p>這套疫調系統，雖然核心的資料庫是放在健保署，但是透過他們自行開發的操作介面與健保署雲端藥歷系統連線查詢，來取得該名健保病人近期旅遊史、或接觸史的相關資料，再將查詢結果顯示在電腦螢幕上，供現場醫護人員確認。短短一周就完成開發並推出上線。</p> <p>但才一推出，就遇到了實際執行上的考驗，光是一個健保卡插入的動作，從插入卡片讀取到拔出，大約需要一分鐘，才能完成確認其有無旅遊史。由於醫院每日有大量看病、陪病的人流，一天就有高達一萬次的插卡查詢，只要人一多，等待時間就越長，導致隊伍大排長龍，看診民眾抱怨連連。</p> <p>為了改善這個問題，他們也思考了很多方式，不斷改良程式，來簡化讀卡流程，期間就歷經3次重大改版，直到最後一個版本，才將插卡查詢時間，從原來的一分鐘，縮短為3秒就完成，大大加快了整個查驗的速度，幫助民眾能快速通關。而且，為了能夠消化這些人流，醫院後來也做出相應的調整，控制每日掛號的上限人數，藉此降低醫院外面的排隊人潮。</p> <p><strong><span style="font-size:28px;">兩個月迅速開發出20多支程式，強化醫院防疫</span></strong></p> <p>除了門禁疫調系統之外，這段期間，馬偕醫院還有更多結合IT的防疫功能或措施推出。</p> <p>像是疫情嚴峻時期，不少民眾因懷疑自己染疫而要求醫院篩檢，馬偕資訊部門也配合在院內會診系統內，新增一個COVID-19篩檢風險評估的功能，讓病人進到門診後，可先由主治醫生初步問診，取得包含旅遊史、職業別、接觸史、群聚等相關資訊並輸入到會診平臺後，再交由會診團隊透過其會診系統上的記載內容，做進一步疫調，以評估該名病人有無篩檢的必要。他表示，透過這樣的方式，就能只對評估後有高風險的對象進行篩檢，把寶貴篩檢資源花在刀口上。</p> <p>又如醫院病房門禁的管制，同樣也使用他們開發的一套病房門禁疫調系統，在家屬或民眾還可以進到病房探病的時期，護理人員就會透過這套系統查詢其有無符合探病的資格要件，才允許其進入病房探病。另外，對於在醫院內負責清潔或工程的外包人員，他們後來也推出一個行蹤通報系統，能用來完整記錄每一位人員在院內活動軌跡，還能顯示出國記錄，以及體溫等健康資訊，藉此來降低院內人員染疫的風險。</p> <p>不光如此，連曾有過特定旅遊史的病人，進到戶外門診區看診時，院內門診醫師也能遠端以看診系統結合視訊方式，來進行會診，人不用到現場看診。又或是針對居家隔離或居家檢疫者，則可通過防疫專線1922協助，使用該醫院提供的通訊診療掛號服務，讓病人可透過手機視訊遠端看診，醫師線上就能即時開立處方。</p> <p>上述這些防疫措施或服務，每一個都是疫情期間，馬偕資訊團隊一手開發完成。光是這段期間，資訊團隊前後自行開發出來的程式與App，就有20多支，有的是直接掛載在現有的醫療服務平臺上，也有的是變成獨立服務，來強化防疫措施。</p> <p>尤其，疫情當前，為了盡快投入防疫，馬偕採取了先上線，後改良的策略，先完成一個初版搶時效先推出，等到上線之後，他們再針對有問題的地方來逐一改善。</p> <p>他強調，面對疫情，醫院的資訊團隊具備自主開發能力很重要，否則遇到像這次疫情危機時，如果單靠委外，就會來不及。</p> <p>因為都是自行開發，他也坦言，這段期間，壓力很大，但完成後很有成就感，「因為大家都同坐在一艘船，也更進一步凝聚彼此革命情感與團隊精神，一起努力為臺灣防疫盡一份心力。」他直言。</p> <p>不過，近來，臺灣疫情有逐漸獲得控制的跡象，原來因為防疫而開發的服務或功能，使用率也因此逐漸降低，甚至不再使用，例如該醫院自5月初已放寬門禁，免查旅遊史等。</p> <p>鄭聰貴也很清楚，這些短期開發出來的功能或服務，生命周期都很短，往往在疫情緩和以後，就不需要提供了，「甚至有次連夜趕工出來，功能才剛上線，就因為疫情趨緩，而根本用不到」他笑著說。</p> <p>就算如此，鄭聰貴一點也不覺得可惜，反倒是樂觀看待這件事。他說，每一支支程式，都是為了能夠服務使用者而存在，假使今天它的生命周期走到盡頭，那也代表它完成交付任務，可以功臣身退。從另一方面來說，正是因為有了這次寶貴經驗，資訊團隊能得到更多磨練機會，可以站在第一線實際了解使用者的問題，讓以後開發出來的介面或功能更到位，貼近使用者需求。</p> <p>當然，在等到疫情緩和之後，還是有一部分功能或服務，以後仍可繼續延用，甚至在未來擴大使用，馬偕疾時通服務就是一個例子。它是一個Line聊天機器人服務，類似於疾管署疾管家，主要提供給院內部員工使用，讓他們用手機就能隨時取得院內最新防疫政策、人事更新訊息、疫情訊息、感控措施，還有醫師採檢示範短片等等。</p> <p>這項服務，也是資訊團隊在疫情期間所推出，從推出上線至今，已有一千名北淡院內員工都在用。他預計，下一版還要推出護理師、藥師專用版本。例如，以後藥師在盤點管制藥品的時候，人不一定要到現場清點，可直接由護理站人員以手機掃描藥盒上的QR條碼，就能取得庫存系統上的資料，同時對照手機拍下藥盒內的照片並上傳，再讓藥師核對數量就行，省去原本得逐一到各個護理站現場盤點藥品的時間。</p> <p>「醫療業IT就是一群解決問題的人」鄭聰貴反覆強調。由於理工出身，造就他負責解決問題的強烈性格，而且他更要求，解決問題的方式，除了要夠快，還要能夠兼顧成本的效益。</p> <p>當然，在面對疫情衝擊下，馬偕醫院能夠有效結合IT對策來防疫，其實也跟近幾年，這家百年教會醫院朝向智慧醫院來發展有關，持續不斷地運用IT提升醫療品質、簡化流程。</p> <p>像在簡化流程方面，馬偕資訊團隊去年也導入一套醫材單一識別系統，統一改以刷UDI條碼方式讀取醫材資料，包括產品識別、生產識別等資訊，取代原本人工輸入的作法，甚至更用它快速掌握院內器材庫存狀況與延遲交貨異常回報，來提高管理效率。</p> <p>又如急診行動資訊站平臺，也是這個時期推出的另一項新服務，可用來改善急診病人就診經驗。他們在急診室設置有數位資訊看板，能即時顯示目前治療狀況，包括等候人數、檢傷級數、等待病床等，讓就醫民眾及陪病家屬，等待急診掛號或看診時，能夠更容易掌握治療狀況，而不用反覆向醫護人員詢問。病患亦能使用健保卡插入看板，以取得目前就醫狀態及檢查報告進度等資訊。即使人在急診室外，還可透過手機App隨時掌握看診進度，或是可先預辦掛號，來縮短其到院後的就醫檢傷程序。</p> <p>鄭聰貴今年也計畫引進AI技術，來輔助醫生診斷，舉例來說，未來可以用它檢測乳癌，利用已建立好的AI模型先做初步篩選，將有疑似病灶標記影像的乳房X光片挑選出來，醫師再根據這個結果進一步判讀，讓患者能即早治療。他另外還提到一套併發症低血壓AI專家系統，目前已有裝在該醫院血液透析病房裡，可提前預測洗腎患者血壓異常，並通報醫護人員即時處置。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>鄭聰貴</strong></p> <p><strong>馬偕紀念醫院資訊室主任</strong></p> <p>學歷：海洋大學電機工程碩士</p> <p>經歷：在馬偕醫院逾25年IT資歷，從基層資訊人員做起，後來升為課長並擔任多年，去年7月時，他正式接下資訊室主任一職，兼負起整家醫院IT發展重任，在今年初武漢肺炎疫情在臺延燒時，他更率領資訊團隊，運用IT技術協助醫院防疫，將院內感染風險減到最低</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>馬偕紀念醫院</strong></p> <p>● 成立時間：1880年</p> <p>● 員工數：約6,900人</p> <p>● 董事長：胡志彊</p> <p>● 院長：劉建良</p> <p>● 年營收：170億元（2018年）</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門人數：約70人（含臺北、淡水院區）</p> <p>● 資訊部門分工：淡水資訊課（系統組、業務組）、系統規畫課（行政組、醫事組、醫技組、醫護組、DBA）、系統維護課（系統組、業務組）、新竹分院資訊課、臺東分院資訊課</p> <p><strong style="color: rgb(51, 153, 255);">IT大事記</strong></p> <p>● 2014年：完成將北淡院區醫療資訊系統轉移到Linux作業系統主機</p> <p>● 2016年：推出馬偕醫生館App</p> <p>● 2019年：完成建置急診行動資訊站App及資訊看板、完成導入醫療器材單一識別系統</p> <p>● 2020年：建立院內防疫資訊平臺、Line@馬偕疾時通推出上線、完成醫院入口及停車場門禁疫調系統、病房門禁疫調系統上線、外包人員健康資訊行蹤通報系統推出、替院內會診系統新增COVID-19篩檢風險評估功能</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_-zhi_hao_-ma_xie_ji_nian_yi_yuan_-tu_1.png" width="960" height="420" alt="" title="馬偕紀念醫院資訊室主任鄭聰貴（攝影／洪政偉）" /></div></div></div>
2020/6/4 09:00作者余至浩https://www.ithome.com.tw/people/137937
國泰金控終於發布第一個區塊鏈應用，首推電動車車聯網區塊鏈金融平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2年前，國泰金控就開始發展區塊鏈技術，不過，在全球區塊鏈最火紅的這兩年間，國泰金遲遲沒有出手，直到最近，終於揭露了第一個區塊鏈應用，率先鎖定的就是電動車車聯網新型態應用。</p> <p>國泰金控數位數據暨科技發展中心（簡稱數數發中心）近期對外發表第一個區塊鏈計畫「電動車車聯網區塊鏈金融平臺」，找來電動車充電站服務平臺宅電（ChargeSmith）與區塊鏈新創BSOS合作，採用超級帳本（Hyperledger Fabric）區塊鏈框架，要把電動車行車電腦資料上鏈後。國泰金控計畫先用於銀行與產險業務場景，將規畫提供電動車車主融資申貸、保險理賠、個人化商品推薦等金融服務。</p> <p>數數發中心區塊鏈技術發展科資深工程師楊俊書表示，目前鎖定特斯拉電動車的行車電腦資料，臺灣現有約8,000臺，7～8成車主會使用宅電充電站查詢App。國泰這個車聯網平臺，會在車主授權後取得電動車行車數據，包括開車時間、時段、時速、里程數、煞車、充電電池的電量、車門有沒有關好等駕駛行為，再將這些數據加密存證並上到部署在宅電公司的區塊鏈節點，再與國泰旗下子公司的其他區塊鏈節點同步資料。</p> <p>在作法上，楊俊書解釋，特斯拉原本就建置了一個Data Hub平臺，會定期搜集每一臺特斯拉汽車的行車電腦資料，也對外釋出了官方開放API。數數發區塊鏈團隊自行寫了DApp與智能合約，而BSOS協助宅電建立節點後，並確保資料來自特斯拉原廠的原始資料，車主授權後直接串接官方API後，將指定電動車行車電腦資料直接放入DApp，DApp再依據智能合約，將資料上鏈到宅電節點。這個作法的好處是，「可以將特斯拉電動車車主第一手行車電腦資料，直接上到國泰的區塊鏈。」他強調。</p> <p>目前，國泰先找來4位特斯拉車主，進行為期3個月的PoC驗證，來證明整套資料流運作模式的可行性之後，就會開始大量招募電動車車主。同時，也透過PoC讓集團子公司了解運作模式，以利後續發展其他應用。國泰金控預估，正式服務將在今年底陸續上線。</p> <h3><strong><span style="color:#008000;">靠排除法找出合適區塊鏈應用場景，國泰每次先問這3個問題</span></strong></h3> <p>數數發中心早在2018年9月就先成立了區塊鏈小組，後來進一步轉為正式編制，成立了區塊鏈技術發展科，隸屬於數數發數位架構發展部，目前共有9名團隊成員。</p> <p>成立初期，這個團隊花了很長的時間，先研究不同區塊鏈技術的底層架構，多方評估後最後決定採用超級帳本技術框架，而且決定要自行建鏈。2019下半年，區塊鏈團隊開始與金控旗下子公司合作，正式展開區塊鏈產品研發。</p> <p>楊俊書表示，國泰區塊鏈團隊的目的是，要將區塊鏈價值落實應用到子公司，甚至是子公司的顧客。為了找出合適的應用場景，國泰後來發展出了一套排除法策略，「與子公司合作時，透過3個問題，先排除不需用區塊鏈的業務。」楊俊書解釋，一是，這個業務能否想出可以和哪一家公司分享資料？如果找不到可成為節點的合作夥伴，這個業務可能就不適合區塊鏈。第二個問題，即便有了分享資料的合作夥伴，還需評估雙方應用區塊鏈是不是有必要性？比如，這個資料分享若不透過區塊鏈便永遠拿不到，就有必要性。</p> <p>找出了非用區塊鏈不可的場景還不夠，楊俊書強調，國泰區塊鏈應用的原則是個資不上鏈，還會詢問子公司是否同意這個作法？若對方也同意，區塊鏈團隊才會開始建鏈。他解釋，國泰未來可能需要做國際生意，若是合作對象是歐洲公司，就得遵循歐盟GDPR個資保護規範，就算在臺灣，也逐漸開始注重個資，為了避免外界對個資洩露的疑慮，國泰才決定個資不上鏈，只讓一些公開資料或半公開資料上鏈。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04_%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7_%E6%95%B8%E4%BD%8D%E6%95%B8%E6%93%9A%E6%9A%A8%E7%A7%91%E6%8A%80%E7%99%BC%E5%B1%95%E4%B8%AD_20200520_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(1).jpg" style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;" /></p> <blockquote><p><i data-stringify-type="italic" style="box-sizing: inherit; color: rgb(29, 28, 29); font-family: Slack-Lato, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);">國泰金控2年前成立區塊鏈團隊，後來更在正式編制中設計了數數發數位架構發展部區塊鏈技術發展科，目前共有9名團隊成員。（攝影／洪政偉）</i></p> </blockquote> <h3><span style="color:#008000;"><strong>主流區塊鏈技術比較，採用超級帳本自行建鏈關鍵</strong></span></h3> <p>楊俊書更回顧了1年前，數數發區塊鏈團隊在國際幾個主流區塊鏈底層架構，選擇超級帳本開發框架，並決定自行建鏈的關鍵原因。「因為，金融業最在意的是資料隱密性。」</p> <p>他進一步指出，以太坊（Ethereum）是一般區塊鏈團隊採用的首選，因為以太坊的資料最多，很容易就能建立以太坊私有鏈。國泰區塊鏈團隊在去年做了一個物流鏈POC，就是在私有鏈上採用權威證明（Proof-of-Authority，PoA）共識演算法。而PoA共識的運作是有授權的節點，才有產生區塊鏈網路中下一個區塊的權限。</p> <p>楊俊書透露，在以太坊私有鏈採用PoA共識機制雖然好用，不過，在資料的隱密性上有些麻煩。他解釋，所有參與方都在同一條鏈上，若要對部分參與方屏蔽資料時，需要另外開發屏蔽資料的功能。</p> <p>不過，像超級帳本就採取許可制區塊鏈架構，能夠指定特定節點參與及共同維護運作，並預設提供Channel功能可確保資料隱密性。他提到，該功能像是資料通道的概念，比如，A、B、C、D四家參與方在同一鏈上，普遍性資料開放給所有人瀏覽，若A與B有一天想單獨做生意，不想讓其他兩家知道，就能用Channel功能建立一個通道，A與B雙方合作的特定生意的資料，只會在這個通道進行。而且，當第三家公司有一天要加入這場私下交易時，依然能看到過去A與B雙方的歷史資料。</p> <p>「這樣隨時可加入新業務的彈性作法，可讓鏈上多家參與方未來能做的生意更為多樣化。」楊俊書說。</p> <p>其實，摩根大通使用以太坊開發的Quorum區塊鏈平臺，也有類似通道的概念來確保資料隱密性，當其中兩家公司進行私下交易時，雙方可以透過一個private data小池區，來存取僅有彼此才能看到的資料。缺點是，雖然第三家公司後續也可以再加入該通道，但卻看不到原本兩家先前的歷史資料。</p> <p>楊俊書指出，這也是為何他們選擇超級帳本的原因，因為曾合作的歷史資料，對金融業展開另一場合作來說至關重要，這是可供後續合作對象評估的一項指標。</p> <p>他進一步比較，主打金融專屬設計的R3區塊鏈平臺，重頭到尾都採一對一通道，其實也可以做到資料隱密性。但，國泰考量到數位轉型不只要做子公司內部擁有的生意，未來更可能進一步與外部夥伴做生意來擴大生態圈，這時，R3一對一的通道設計，會導致通道數呈現指數性成長，會大大降低效率，或有管理平臺維運難度較高的問題。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0%E8%BB%8A%E8%81%AF%E7%B6%B2%E5%8D%80%E5%A1%8A%E9%8F%88%E6%9E%B6%E6%A7%8B%E5%9C%96(1).jpg" /></p> <p><i data-stringify-type="italic" style="box-sizing: inherit; color: rgb(29, 28, 29); font-family: Slack-Lato, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);">國泰金控數數發中心區塊鏈團隊，選擇了超級帳本作為開發框架，主因是超級帳本有預設的Channel功能，能夠確保資料隱密性，且通道能彈性加入新參與方，並能瀏覽先前的歷史資料。（圖片來源／國泰金控提供）</i></p> </blockquote> <h3><span style="color:#008000;"><strong>自行建鏈踩過的坑，未來計畫建立自家的共識演算法</strong></span></h3> <p>用了一整年超級帳本的數數發區塊鏈團隊，其實在剛開始建鏈時，也踩了不少坑。楊俊書舉例，超級帳本使用Kafka訊息佇列來進行共識演算法，對所有交易資訊進行排序。然而，他坦言，Kafka是一門新技術，仍有一些小臭蟲，有時太多資料要上鏈，可能會發生交易順序錯誤的問題。</p> <p>或是，有時，鏈上四個節點，其中一個節點當機要重開時，得利用其他三個資料完成的節點，來回復資料，但曾發生過，回復後的資料版本，跟其他三個節點不同。楊俊書提到，這也跟交易順序有關，後來找出一些解方，比如為每個節點做備援，或是把某項元件跟節點拆開來運作，一旦有節點故障重啟時，就能透過正常運作的某項元件將資料同步回來。</p> <p>他更透露，未來，國泰區塊鏈團隊也不一定堅持使用超級帳本，而更希望能建立自己的共識演算法，比如用開源的實用拜占庭容錯演算法（Practical Byzantine Fault Tolerance，PBFT）來修改。主要原因是，國泰現在有些業務場景，需要高速度交易或高安全性等不同需求，「若未來建立自家的共識演算法，只要修改底層，用共識演算法調參數，就能符合集團不同業務需求。」</p> <p>國泰自建的區塊鏈，在架構也有不少長期發展的設計考量，例如，區塊鏈團隊也從一開始打造區塊鏈時，就遵循數數發的企業基礎架構與技術。楊俊書表示，例如建置超級帳本時就直接採用微服務，未來，若需要將區塊鏈變成一個基礎架構模組時，較容易整合到數數發的整套基礎架構中。</p> <p>另外，國泰區塊鏈也採雲端原生（Cloud-Native）設計，國泰日後若需要與外部公司合作，可以直接在雲端部署對方所需的節點。不過，金融業上雲還有許多法遵考量和設計要求，數數發數位架構發展部的雲端團隊，也會來支援這個區塊鏈平臺的雲端架構與維運。</p> <p>區塊鏈技術發展科另一位資深工程師李肇筌提到，他們使用Docker容器技術，將程式碼與執行環境打包成一個映像檔，只需要1到2天時間，就能快速在子公司或是外部公司建置一個區塊鏈節點。他提到，目前盡量採取容器化的方式來部署，後續處理問題較為方便。</p> <p>國泰不只把區塊鏈作為發展數位金融的新興技術，更考慮把區塊鏈變成未來金融各領域可共用的架構，之後就能快速發展其他應用，只是目前尚未揭露太多細節。</p> <h3><span style="color:#008000;"><strong>電動車車聯網區塊鏈金融平臺先聚焦銀行、產險應用</strong></span></h3> <p>最新發布的電動車車聯網區塊鏈金融平臺，未來應用將分為兩階段。楊俊書表示，第一階段是跟國泰產險與國泰世華銀行合作；第二階段則計畫找到更多節點，比如修車廠，透過修車廠的ERP，或是維修記錄的資料庫成為一個節點，再與國泰的節點同步資料。</p> <p>在產險的應用，國泰產險可針對車主的行車習慣或駕駛行為，評估規畫發送行車安全提醒簡訊，或是推薦合適的個人化保險商品。同時，也正在研究當車主發生交通事故時，運用區塊鏈資料不可竄改的特性，優化理賠審核流程。</p> <p>銀行的部分，目前則規畫用在融資申貸。楊俊書提到，比較簡單的應用是，未來當車主要用車體履歷申請融資時，國泰世華銀行的評估人員可透過區塊鏈來獲取車主行車資訊如里程數，以及維修記錄等來評估車況，像是用維修記錄判斷車子有無撞過，藉此減少車主與銀行一來一往的時間，加快核貸速度。不過，融資申貸這塊目前尚未設計完成，像是在融資額度的部分，因涉及審查單位，所以還要進行規畫。</p> <p>國泰金控也透露，除了電動車車聯網區塊鏈金融平臺，目前，國泰產險與數數發中心也正透過技術架構重整中後臺，不久後就會推出全新的科技金融應用。文⊙李靜宜</p> </div></div></div>
2020/6/4 10:01作者李靜宜https://www.ithome.com.tw/news/138049
美國密西根州立大學遭勒索軟體攻擊，駭客要脅不付贖金就要公開該校資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大專院校遭受網路攻擊，如果能在短短的幾個小時就做出相關的應變，算是反應相當得宜。例如，5月28日，美國密西根州立大學（Michigan State University）在網站上發布一則<a href="https://msu.edu/issues-statements/2020-05-28-data-intrusion.php">公告</a>，表示在幾個小時之前，校園裡出現資料遭到非法存取的情事，為避免受害範圍擴大，被影響的系統與伺服器已經下線處理，他們也與當地警方合作，進行事件調查。而這起事件也引起<a href="https://www.zdnet.com/article/michigan-state-university-hit-by-ransomware-gang/">ZDNet</a>的報導，他們揭露這起攻擊事件與名為NetWalker（或稱Mailto）的勒索軟體有關，而且駭客要求校方限期付款，否則他們就會公開學校的機密資料。</p> <p>駭客在發動攻擊並加密學校的資料後，主動告訴ZDNet是他們所為，並提供相關的證據來佐證。這些證據包含了5張電腦螢幕截圖，其中有2張呈現了密西根州立大學的檔案伺服器目錄結構，還有一名中國人的護照，以及銀行往來記錄影本和費用明細等。其中，從檔案目錄結構截圖旁邊，該組織加了一行註解，表示僅給予密西根州大學6天支付贖金的時間，不然時間到了他們就會公開這些資料。ZDNet也向密西根州立大學求證，駭客攻擊的管道與發生原因，但發言人並未證實。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en"><a href="https://twitter.com/hashtag/NetWalker?src=hash&ref_src=twsrc%5Etfw">#NetWalker</a> <a href="https://twitter.com/hashtag/Ransomware?src=hash&ref_src=twsrc%5Etfw">#Ransomware</a> is threatening to <a href="https://twitter.com/hashtag/leak?src=hash&ref_src=twsrc%5Etfw">#leak</a> data from <a href="https://twitter.com/hashtag/breach?src=hash&ref_src=twsrc%5Etfw">#breach</a> of Michigan State University (<a href="https://twitter.com/michiganstateu?ref_src=twsrc%5Etfw">@michiganstateu</a>) in 6 days. MSU has nearly 40k students. Included in the leak sample is student identification like passports and banking info. <a href="https://t.co/SNXu5cbLwx">pic.twitter.com/SNXu5cbLwx</a></p> <p>— Ransom Leaks (@ransomleaks) <a href="https://twitter.com/ransomleaks/status/1265691845402779649?ref_src=twsrc%5Etfw">May 27, 2020</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p><img alt="" src="https://s4.itho.me/sites/default/files/images/msu-file-server.png" style="width: 580px;" /></p> <blockquote><p>駭客提供給媒體的第一張截圖，就是該校檔案伺服器的資料夾內容，並顯示將會在6天23小時後公開這些秘密資料（箭頭處）。</p> </blockquote> <p>濫用NetWalk的駭客是今年出現的新興組織，他們鎖定大型企業與組織下手，而且也像使用Maze等勒索軟體的駭客組織，會以不付贖金就公開機密資料要脅受害單位。其勒索軟體攻擊的<a href="https://news.sophos.com/en-us/2020/05/27/netwalker-ransomware-tools-give-insight-into-threat-actor/">特色</a>，是利用許多常見的合法工具來搭配運作。例如，滲透受害電腦的管道，是透過常見的遠端存取工具，像是TeamViewer。再者，為了規避防毒軟體的攔截，他們的勒索軟體也納入了ESET和趨勢科技的防毒軟體反安裝工具，來移除受害電腦裡的防毒軟體。</p> </div></div></div>
2020/6/3 17:40作者周峻佑https://www.ithome.com.tw/news/138046
印度的反中程式Remove China Apps遭Google下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度開發者OneTouch AppLabs在今年的5月20日透過Google Play<a href="https://webcache.googleusercontent.com/search?q=cache:LKhR1yyGYaEJ:https://play.google.com/store/apps/details%3Fid%3Dcom.chinaappsremover+&cd=8&hl=zh-TW&ct=clnk&gl=tw" target="_blank">釋出了</a>Remove China Apps，主要功能是讓使用者偵測自己的手機是否安裝了來自中國的行動程式，由於它引來了反中的爭議，使得Google在6月2日直接將它下架。</p> <p>也許是想要避免爭議，Remove China Apps的說明上寫著它是款基於教育目的的行動程式，可用來辨識應用程式的來源國家，並未推動或強迫使用者移除任何的應用程式。</p> <p>然而，該應用程式的名稱「移除中國程式」卻直接曝露了開發者的用意，而且它除了能夠掃描手機上的中國程式之外，只要使用者於手機上安裝了任何來自中國的行動程式，就會跳出通知。</p> <p>TechCrunch<a href="https://techcrunch.com/2020/06/02/remove-china-apps-google-play-store/" target="_blank">報導</a>，Google是以該程式違反Google Play的欺騙行為政策為由將它下架，該政策禁止應用程式欺騙使用者或助長欺騙行為，例如功能不實或未提供正確的揭露事項。</p> <p>媒體分析認為，此事應與中印邊界的糾紛有關，在長達2,000公里的中印邊界中，有超過12萬平方公里的面積存有領土爭議，而且最近雙方關係日益緊張，更於邊界上增兵對峙。</p> <p>OneTouch AppLabs表示，Remove China Apps在上線10天內的下載數量就突破100萬次，而Google Play也紀錄它的下載次數已突破500萬次，Google Play的數字代表它可能介於100萬到500萬之間。至於根據行動程式分析平台Sensor Tower的追蹤，Remove China Apps已突破400萬次的下載。</p> <p>OneTouch AppLabs似乎已經預見程式可能會被Google移除，在官網上宣布此事之際，<a href="https://onetouchapplabs.com/" target="_blank">還說</a>「謝謝你們這兩周以來的支持，你們真是太棒了！」</p> </div></div></div>
2020/6/3 17:05作者陳曉莉https://www.ithome.com.tw/news/138044
中華電信取得首張5G特許執照，5G開臺快了!
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC本周三通過中華電信取得行動寬頻業務（5G）3.5GHz及28GHz兩頻段的特許執照，中華電信搶先其他業者完成開臺前的法規程序，臺灣最快將在7月迎來5G服務。</p> <p>為搶進5G市場，今年2月首波5G頻譜釋照競標結果，中華電信砸下約483億元，取得3.5GHz頻段90MHz頻寬，以及28GHz頻段400MHz頻寬，依規定向NCC提出事業計畫書變更、資通安全維護計畫、網路建設及審驗，最後在本周獲NCC通過，取得3.5GHz頻段及28GHz兩頻段特許執照。</p> <p>NCC發言人蕭祈宏表示，中華電信取得特許執照之後，只要營運面準備好，隨時可以宣布開臺，至於開臺時間，則要視業者自己的規畫而定。</p> <p>據了解，依規定業者開臺的基地臺數量門檻需要至少250臺，中華電信初期布建的5G基地臺分布以人口密集的六大都會區為主。至於5G資費，依規定不需要NCC審核，只要在開臺前知會NCC即可，目前中華電信尚未公布5G資費。</p> <p>為了擴大國內5G服務及涵蓋範圍，NCC未來將會繼續監督業者擴建基地臺。</p> <p>中華電信也積極擴展5G相關應用，日前宣布和Gamestream合作，未來將運用5G的高速、低延遲特性，提供4K雲端服務；另外，中華也和網聯科技合作，未來結合中華電信的企業AR平臺，以及網聯科技的工業物聯網應用平臺（Tangram IoT Cloud），瞄準智慧工廠轉型需求。</p> <p>除了中華電信早一步取得特許執照外，目前進度上居次的遠傳電信，已申請系統審驗，本周取得系統審驗合格證明，並提出特許執照申請，下週可能緊接在中華電信之後取得特許執照，可望成為第二家開通5G的業者。至於台灣大哥大及台灣之星尚在網路建設中，尚未提出系統審驗，亞太電信仍在事業計畫書審核中，為五家電信業者中進度最落後者。</p> <p>未來5G服務開通後，外界可能關心5G裝置的普及性，目前國內已上市的5G手機還不夠多，多以旗艦級手機為主，例如三星的Galaxy S20系列、LG的V60 Thin Q 5G Dual Screen，還有這週將發表的Sony Mobile Xperia 1 II。隨著國內即將正式開通5G服務，下半年可望看到更多的5G手機推出。</p> </div></div></div>
2020/6/3 17:34作者蘇文彬https://www.ithome.com.tw/news/138043
Matrix推P2P去中心化架構，可大幅提高對話隱私安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國用來打造官方通訊軟體的開源通訊標準Matrix，現在開始測試<a href="https://matrix.org/blog/2020/06/02/introducing-p-2-p-matrix">P2P</a>（Peer To Peer）功能，該基礎架構可讓用戶都擁有絕對的自治權以及對話所有權，對話紀錄僅會儲存在用戶的裝置上，官方提到，這樣的運作邏輯是Matrix的終極目標之一，讓用戶能夠完全掌控通訊，而不被特定服務供應商綁住。</p> <p>P2P Matrix的特色不只讓用戶可以儲存自己的對話，而且還可以不仰賴網際網路連接，在區域網路或是網狀網路中使用，而且因為這種通訊架構，不需要家用伺服器（Homeserver），因此也就沒有元資料累積的問題，用戶交談的對象以及時間都不會留下紀錄，官方提到，所有用戶的家庭伺服器，都會儲存對話的元資料，而P2P將能解決這個社群一直在抱怨的問題，另外，P2P也簡化了新用戶的註冊過程，且當用戶不需要選擇伺服器就能開始使用Matrix，則可以避免在公共伺服器中累積用戶資料。</p> <p>簡單來說，Matrix的P2P架構概念，就是把家用伺服器合併用戶端上執行，官方提到，由於這樣的設計，當前所有Matrix用戶端要使用P2P Matrix開始通訊，實際上不需要進行任何修改，P2P Matrix可直接在Riot和其他現有的相關應用程式上運作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2p-diag.png" style="width: 580px;" /></p> <p>現在Matrix釋出了P2P功能Alpha測試，目前可在桌面版Chrome以及Firefox執行，用戶以非私密瀏覽模式就能開始使用。在P2P Matrix中，用戶的對話會利用IndexedDB儲存在瀏覽器儲存中，只要參與特定對話的所有瀏覽器，都沒有清空本機端儲存，那P2P網路的對話房間就會持續存在。</p> <p>用戶的房間目錄列表會列出所有網路上活動節點所發布的房間名稱，當用戶加入了網際網路上的公開對話房間，則系統會自動在本地端發布該房間，讓區域網路可以透過該用戶看到公共對話房間。</p> <p>P2P Matrix的程式碼都以Apache授權許可開源，官方提到，目前的版本可能不是最終應用程式的樣子，他們還在持續修改中。官方也提到了P2P Matrix接下來發展的方向，像是讓內容儲存庫可以在瀏覽器中運作，並提供端到端加密，還會支援多裝置的分散式帳號。</p> <p>由於P2P Matrix沒有儲存和轉傳功能，因此當所有參與特定對話的裝置都離線，則沒有節點能夠作為中繼，官方提到，其中一個方法是提供P2P功能的家用伺服器，但這又會讓伺服器端累積元資料，他們正在研究可以混淆用戶對話身份的方法，並且阻止流量分析。另外，官方希望未來可以統一P2P Matrix和現行的聯盟網路，除非用戶想要固定於特定的伺服器上，否則就會讓Matrix新用戶帳戶在P2P網路上浮動。</p> </div></div></div>
2020/6/3 17:00作者李建興https://www.ithome.com.tw/news/138042
Zoom首季財報出爐，營收成長169%，客戶大增3倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因疫情而大放異彩的視訊會議平臺Zoom<a href="https://investors.zoom.us/news-releases/news-release-details/zoom-reports-first-quarter-results-fiscal-year-2021" target="_blank">公布了</a>截至今年4月30日的2021財年第一季財報，指出該季創下了3.28億美元的營收，比去年同期成長169%，而擁有10名以上員工的企業客戶則達到26.5萬家，更比去年同期增加354%。</p> <p>儘管Zoom在大紅之後，因為受到各方矚目，使得研究人員陸續揭露該平臺的安全漏洞、隱私問題、加密問題、有陌生人亂入會議，甚或是採用由中國伺服器產生的金鑰，但依舊不損其受歡迎的程度。</p> <p>在今年2月到4月底之間，Zoom創下了3.28億美元的營收，比去年同期成長169%，淨利則達到2,700萬美元，也遠高於去年的20萬美元。</p> <p>Zoom的創辦人暨執行長袁征表示，在家工作及社交距離大幅地加速了各界對Zoom平臺的採用，他們在這一季不只看到企業客戶的增加，也見到許多不少第一次使用Zoom的一般消費者。</p> <p>根據Zoom的統計，員工數超過10人的企業客戶數量比去年同期增加了364%，有一家新的金融客戶在該季更購買了17.5萬個新授權，全球前兩千大企業採用Zoom的數量也成長200%。此外，今年4月，每日參與Zoom會議的使用者數量首度突破3億，遠高於去年12月的1,000萬。</p> <p>由於第一季的表現良好，Zoom也提高了年度財報預測，原本預期今年營收將介於9.05億到9.15億美元之間，現則大幅提高到17.8億到18億美元之間。在今年1月時，Zoom的股價尚未突破100美元，但2月開始向上攀爬，本周二（6/2）的收盤價為208.08美元。</p> </div></div></div>
2020/6/3 15:15作者陳曉莉https://www.ithome.com.tw/news/138039
臉書發表Manage Activity功能，讓你大量封存或刪除舊貼文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在本周發表了新的活動管理（<a href="https://about.fb.com/news/2020/06/introducing-manage-activity/" target="_blank">Manage Activity</a>）功能，以讓用戶在準備展開新工作或新生活時，能夠大量封存或刪除過去所張貼的內容。</p> <p>當臉書用戶進入自己帳號的活動紀錄時，就能看到活動管理的標籤，可透過篩選工具來決定是要依照類別、日期或人來進行篩選，倘若選擇了類別，則可進一步選擇文字、照片/影片，或是來自其它應用程式的貼文。篩選後就會出現所有該類別的內容，以供使用者選取。</p> <p>所選取的內容可直接刪除它們，丟到垃圾桶，或是將它們封存。其中，前者代表將永遠刪除其貼文，但會在垃圾桶存放30天以防使用者後悔；後者則只能讓使用者自行存取相關的貼文，而不再允許其他人檢視。</p> <p>活動管理功能將率先出現在行動版與Facebook Lite上，之後才會支援桌面版，此外，臉書也承諾未來將持續改善該功能，賦予用戶管理他們在臉書上的數位足跡的能力。</p> </div></div></div>
2020/6/3 15:25作者陳曉莉https://www.ithome.com.tw/news/138040
G Suite Marketplace第三方App過度透過API存取用戶Drive、Gmail資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項研究<a href="https://www.twosixlabs.com/api-privacy-a-look-at-g-suite-marketplace-permissions-and-policies/" target="_blank">顯示</a>G Suite Marketplace上的應用程式，可能透過API存取過多企業資訊，包括Drive、行事曆及Gmail，可能重演臉書的劍橋分析事件。</p> <p>G Suite用戶除了Google提供的企業應用程式外，還可從G Suite Marketplace下載第三方企業用App，有些安裝量高達數百萬，這些程式透過Google API整合G Suite。為了了解這些應用程式要求的API存取權限，安全廠商Two Six Labs研究人員Irwin Reyes and Michael，今年1月針對G Suite Marketplace上的987個網頁應用程式進行分析。</p> <p>他們發現987個Marketplace App中，50%會在Google應用程式內，以通知或邊欄執行顯示Web內容；49%（481個）連到外部服務。此外，27%可以讀取或刪改Google Drive試算表；25%在用戶未上線時執行應用程式；20%還可以讀取、新增、刪改Google Drive檔案。</p> <p>研究人員進一步分析連到外部服務的App，其中超過20%可完整存取Google Drive，17%可在以外掛形式執行時讀取Gmail資料，3%可完整存取聯絡人資訊。</p> <p>相對於這些App輕易存取用戶資料，然而G Suite Marketplace卻未清楚告知用戶什麼外部服務App存取其資料，以及分享了哪些資料，用戶僅能依賴App的主動揭露。</p> <p>Google政策規定，外部App存取Gmail和Drive資料被列為敏感存取，需要Google驗證，而未驗證的App最多只能有100名新用戶安裝，因此本研究檢視的另一個議題是，Google是否有確實執行這個政策的安裝數量。</p> <p>經過分析，研究顯示277個「未驗證」G Suite Marketplace Apps中，有124個在16天後還可以安裝，而且有24個即使未驗證，還是有超過100名新用戶安裝，其中一個在16天增加近萬用戶，並有另一個App不但5個月下來未完成驗證，卻還可以擁有Gmail、Drive和聯絡人資料的完整存取權限，顯示Google未落實安全政策。這也會使臉書平台上第三方App存取用戶資訊的劍橋分析事件，可能在G Suite上重現。</p> <p>研究人員指出，G Suite第三方API濫用原因之一在於使用安裝時存取許可（install-time permission），即安裝當下就取得了存取許可。他們建議Google可以改用，目前手機應用程式普遍採用的執行時存取許可（run-time permission），臉書也是在劍橋分析案後，藉此改善了API濫用問題。</p> </div></div></div>
2020/6/3 14:30作者林妍溱https://www.ithome.com.tw/news/138037
資安一周第96期：已被修補的漏洞被駭客大肆濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0528-0603 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">駭客藉由SaltStack漏洞入侵思科伺服器</strong></h2> <p>漏洞一旦被公布之後，可能很快就有駭客用來發動攻擊。像是由SaltStack所打造的Salt開源管理框架，存在2個安全漏洞，雖然官方在4月底就完成修補，但在漏洞曝光的一周內便傳出多起攻擊事件，受害廠商包含了思科，還有LineageOS、DigiCert、Xen Orchestra，以及Algolia等軟體及服務。其中，思科針對採用SaltStack而受漏洞波及產品，在5月7日進行修補，並發出公告要用戶趕快更新。</p> <p>這兩款受影響的產品，是Cisco Modeling Labs Corporate Edition，以及Cisco Virtual Internet Routing Lab Personal Edition。而該公司的後端伺服器亦受到波及，有6臺遭到入侵。<strong><a href="https://www.ithome.com.tw/news/137960">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">已修補的Exim漏洞遭到俄羅斯駭客濫用</strong></h2> <p>軟體廠商已經修補的漏洞，許多企業仍未安裝更新而導致駭客能加以濫用。例如，美國國安局（NSA）最近發出警告，俄羅斯駭客集團Sandworm正在濫用舊版Exim的安全漏洞CVE-2019-10149，呼籲各大組織應儘快修補。</p> <p>Exim是開放原始碼的的郵件傳輸代理程式（Mail Transfer Agent，MTA），廣泛應用在Unix系統上，也是許多Linux版本的預裝程式，市占率高達57%。CVE-2019-10149漏洞波及的範圍相當廣，從2016年4月釋出的4.87版，以及之後的版本都受到影響，官方已於2019年2月發布4.92版來修補該漏洞。</p> <p>不過，顯然還有許多組織尚未修補該漏洞。NSA表示，從去年8月起，Sandworm便持續地鎖定CVE-2019-10149漏洞發動攻擊，迄今仍不間斷，呼籲採用Exim的組織應儘快修補。<a href="https://www.ithome.com.tw/news/137947"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a2-nsa-exim.png" style="width: 400px;" /></p> <p>圖片來源：美國國安局</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞修補</strong></h3> <h2><strong style="vertical-align: top;">蘋果隱私登入機制驚傳可被劫持帳號的漏洞</strong></h2> <p>廠商力推的新興防護機制，一旦出現漏洞，有可能影響層面甚廣。例如，蘋果自去年在iOS 13加入的隱私登入技術Sign in with Apple，被研究人員Bhavuk Jain發現漏洞，能讓駭客劫持用戶的帳號。由於去年秋天開始，蘋果規定所有支援第三方登入工具的App，都必須整合這項機制，因此這項漏洞影響相當重大，所有知名應用程式，像是Dropbox、Spotify、Airbnb，以及Giphy等都受影響。</p> <p>Bhavuk Jain在4月通報後，目前蘋果已經完成修補，並且發出10萬美元獎勵。該公司也表示，他們尚未發現這項漏洞被濫用的跡象。<a href="https://www.ithome.com.tw/news/137972"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a3-signinwithapple.png" style="width: 400px;" /></p> <p>圖片來源：Bhavuk Jain</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃木馬程式</strong></h3> <h2><strong style="vertical-align: top;">木馬程式ComRAT利用Gmail遠端下達指令</strong></h2> <p>駭客濫用常見的雲端服務，也包含利用電子郵件來傳送攻擊指令。資安業者ESET指出，他們發現新的ComRAT木馬程式使用客製化C&C協定，更利用Gmail作為傳送命令或接收所盜資料的媒介。</p> <p>ESET認為，這個木馬程式與先前的ComRAT相同，都是出自俄羅斯駭客集團Turla Group，該公司也看到駭客已經用來攻擊兩國外交部，以及某個國家的議會。<strong><a href="https://www.ithome.com.tw/news/137885">詳全文</a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/96-2-comrat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/96-2-comrat.png" style="width: 400px;" /></a></p> <p>圖片來源：ESET（WeLiveSecurity）</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">供應鏈攻擊鎖定GitHub開源軟體專案，讓開發人員上傳程式碼一併植入後門</strong></h2> <p>針對開發人員的供應鏈攻擊可說是日益氾濫，而且駭客的手法不斷推陳出新。今年3月，一個署名為JJ的資安人員，向GitHub資安事件因應團隊通報，他發現新的攻擊手法，駭客鎖定採用NetBeans整合開發環境的電腦發動攻擊，導致這些開發者提交到GitHub的程式碼帶有後門。該團隊獲報後，隨即展開調查，發現有26個開源專案，被名為Octopus Scanner惡意軟體「借殼上架」後門。值得留意的是，程式碼資料庫的所有人完全不曉得自己遭駭，仍持續提交帶有後門的程式碼。<a href="https://www.ithome.com.tw/news/137953"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">NTT代管服務被駭，波及621家企業客戶</strong></h2> <p>在5月28日，日本最大電信公司及網路服務供應商 NTT公告，代管服務自本月7日開始，發生駭客入侵事件，可能導致621家客戶資訊外洩。該公司也展開調查，並切斷駭客存取的管道。<strong><a href="https://www.ithome.com.tw/news/137936">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a5-ntt.png" style="width: 400px;" /></p> <p>圖片來源：NTT</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃資料庫配置不當</strong></span></h3> <h2><strong style="vertical-align: top;">泰國最大電信業者AIS外洩數千萬用戶即時瀏覽資料</strong></h2> <p>因配置不當導致資料庫公開的情況頻傳，即使存放的是DNS查詢與NetFlow記錄，也可能會曝露使用者的隱私。安全研究人員Justin Paine揭露一個不需使用者身分驗證就能存取的ElasticSearch資料庫，隸屬於泰國最大電信業者AIS旗下的子公司AWN，當中存放數千萬用戶的即時瀏覽資料，包含了DNS查詢與NetFlow記錄，因而能得知特定IP位址的網路瀏覽行為。</p> <p>這名研究人員表示，他於5月7日發現這個資料庫，但自1日起就能公開存取。AWN直到22日才將其從公開網路移除。<a href="https://www.ithome.com.tw/news/137843">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃紅隊演練＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">國軍網路戰聯隊軍士官傳模擬攻擊被當共諜偵辦，調查局提出說明</strong></h2> <p>在5月27日，有多家媒體報導，國軍的網路戰聯隊因在漢光演習裡，執行模擬紅軍攻擊任務，但卻被依內亂外患罪送辦的消息，實際情況成為外界議論焦點。國內媒體對於此事有不同的論點，例如，蘋果日報指出，此案引發國軍高層內鬥，找出漏洞的軍士官被調查局當成共諜偵辦，導致有官兵申請退伍。自由時報則指出，5名軍士官涉犯內亂外患罪移送高檢署，並強調是官兵辯稱好玩所致。</p> <p>對此，法務部調查局也提出他們的說法，表示這起案件牽扯到國防部資通電軍指揮部多名軍士官，涉嫌於2017年非法取得國軍具有管理者權限的帳密清單，且多次在非演習期間查詢及下載國防秘密資訊，因此調查局在2019年11月將嫌疑人移送臺灣高等檢察署偵辦。<strong><a href="https://www.ithome.com.tw/news/137883">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-3.png" style="width: 400px;" /></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣戶政資料傳出外洩疑雲，行政院資安處揭露更多細節，強調與戶政單位無關</strong></h2> <p>駭客宣稱取得政府的資料，引發各界關注，經分析後才被揭穿，其實是在暗網流傳多年的舊資料。美國資安公司Cyble在5月29日揭露，他們在暗網裡發現一個外洩資料庫，駭客宣稱是全臺灣的戶籍資料（Taiwan Whole Country Home Registry DB），包含超過2千萬筆民眾個資，內容來源是內政部戶政司。</p> <p>對此，30日行政院資通安全處處長簡宏偉接受訪問時，表示該資料庫其實不是戶政資料，是多組個資資料庫整併而成。行政院資安處也先後於30日與31日兩天，發出新聞稿來澄清此事，其中，在31日的新聞稿裡，他們揭露調查的結果，強調該筆資料從政府單位流出的傳聞，並非屬實，表示駭客是為了吸引買家，才宣稱是臺灣的戶政資料。<a href="https://www.ithome.com.tw/news/137980">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/137904">德國政府呼籲蘋果用戶儘速修補iOS郵件漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/137929">研究人員計畫推出USB驅動程式漏洞測試框架</a><br /> ●<a href="https://www.ithome.com.tw/news/137933">HackerOne成立至今已發出1億美元抓漏獎金</a><br /> ●<a href="https://www.ithome.com.tw/news/137899">OpenSSH預告即將終止支援SHA-1演算法</a></h3> </div></div></div>
2020/6/3 11:51作者周峻佑https://www.ithome.com.tw/news/138020