iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 8篇
近 24 小時: 24篇
近 7 天: 136篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 136 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

VLC媒體播放器修補遠端程式攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>支援眾多壓縮格式的跨平臺開源媒體播放器VLC Media Player，在本周釋出了<a href="http://www.videolan.org/security/sb-vlc3011.html" target="_blank">3.0.11版</a>，以修補多個安全漏洞，當中包含一個遠端程式攻擊漏洞CVE-2020-13428。</p> <p>打造該播放器的VideoLAN說明，駭客只要誘導使用者開啟一個特製的檔案或串流，就能觸發相關漏洞，進而以使用者權限執行任意程式，波及VLC media player 3.0.10及之前的版本。</p> <p>VideoLAN表示，儘管相關漏洞在大多數的時候只會造成播放器無法運作，但無法排除駭客可能結合這些漏洞而取得使用者資訊，或是執行任意程式，惟迄今尚未發現針對相關漏洞的攻擊行動。</p> <p>VLC Media Player不只支援Windows、Linux與macOS等桌面平臺，也支援Android、iOS及iPadOS等行動平臺，所能讀取的媒體格式則超過100種。VideoLAN呼籲使用者儘快升級到最新版，在更新前最好不要自不明來源開啟媒體檔案，或是暫時關閉VLC的瀏覽器擴充程式。</p> </div></div></div>
2020/6/18 12:10作者陳曉莉https://www.ithome.com.tw/news/138293
【2020新世代中階儲存產品精選1：Dell EMC PowerStore】嶄新系統架構與部署模式，引領潮流的新一代中…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0618-dell_emc_powerstore-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell EMC</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新推出的PowerStore，可說是集Dell EMC過去中階產品技術特性大成的全新產品線。</p> <p>在與Dell合併之前，EMC有著從CLARiiON開始，歷經VNX、Unity系列，一直延續到合併後推出的Unity XT等中階儲存陣列產品線。Dell方面，也透過併購取得了SC（Compellent）等中階產品線。而今年發表的PowerStore一方面繼承了這些產品線，另一方面也有許多異於以往中階產品之處，以及許多技術與架構方面的創新。</p> <p>首先，在產品定位方面，PowerStore與過去的中階產品不同，硬體規格與效能明顯超出了以往的中階產品線。</p> <p>Dell EMC聲稱，PowerStore的IOPS效能比Unity XT提高7倍，延遲則只有1/3，這樣的效能表現，填補了以往PowerMax高階儲存陣列與Unity XT中階儲存陣列之間的產品間隙，按原廠的說法，PowerStore是「高階企業儲存」，但「價格接近中階產品」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-%E4%B8%BB%E5%9C%961%20PowerStore-Scale-Up-Out%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FDell%20EMC.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(105, 105, 105);">Scale-Up與Scale-Out雙向擴充能力｜PowerStore的基本雙控制器單元，都能外接儲存櫃擴充容量，也能結合4組雙控制器系統，組成一個含有8組控制器的叢集，同步擴展效能與容量。</strong><span style="color: rgb(105, 105, 105);">圖片來源／Dell EMC</span></p> <p>其次，PowerStore在技術架構方面也有異於過去中階產品的創新，其中最重要的是這幾點：</p> <p><strong>（1）同時支援Scale-Up與Scale-Out擴充：</strong>以往，Dell EMC只有VMAX、PowerMax等高階儲存陣列，或是針對特應用領域的PS、XtremIO、Isilon等產品線，才擁有Scale-Out擴充能力。至於他們的中階陣列產品，都是雙控制器與Scale-Up擴充架構，也因此制約了擴展靈活性。一直到了PowerStore，才終於兼具Scale-Up與Scale-Out擴充，既可透過SAS埠外接擴充櫃擴展容量，也能結合最多4套雙控制器的PowerStore系統，組成一共8組控制器的叢集。</p> <p><strong>（2）全Container化的系統軟體核心架構。</strong>從2011年的VNXe起，經過2014年的VMAX，再到2016年的Unity，以至2020年最新的PowerStore，Dell EMC的儲存陣列系統軟體核心架構，從虛擬化走向Container化。</p> <p>VNXe開創了儲存陣列軟體核心虛擬化的先河，在Linux-based系統軟體上，部署了分別提供區塊與檔案服務的VM式控制器，從而達到了以單一實體控制器融合SAN與NAS兩種服務的目的，不再需要兩種實體控制器。VMAX則以VM形式的eNAS控制器，來提供NAS應用，所以，不需要額外的實體NAS控制器。Unity則更進一步，以更輕量的Container來運行NAS服務。</p> <p>而到了最新的PowerStore，核心的PowerStoreOS，則全面以Container來運行所有服務，是業界第一種「全Container化」的儲存核心作業系統架構，藉此能得到前所未見的系統架構與功能調整、升級的靈活性。</p> <p><strong>（3）全面支援新世代I/O介面與儲存級記憶體（SCM）。</strong>PowerStore的前端介面提供了25GbE、32Gb FC，後端介面引進了NVMe，也保留了SAS介面。在儲存媒體方面，除了SAS SSD與NVMe SSD以外，也能選用NVMe SCM，成為繼高階的PowerMax之後，Dell EMC第2款支援Intel雙埠Optane SSD的產品。</p> <p><strong>（4）嶄新的部署模式。</strong>PowerStore提供了4種部署模式：</p> <p><span style="color:#B22222;"><strong>● 傳統陣列式：</strong></span>即PowerStore的T系列，將PowerStoreOS系統軟體以裸機形式（bare metal），安裝於PowerStore控制器硬體上運行。</p> <p><span style="color:#B22222;"><strong>● 超融合式：</strong></span>即PowerStore的X系列，在PowerStore控制器硬體運行VMware ESXi虛擬化平臺，再將PowerStoreOS，以VM形式在ESXi運行，但只提供區塊服務。藉此還能構成原廠稱作AppsON的應用模式，也就是將前端應用程式VM，放到PowerStore的ESXi上執行。</p> <p><span style="color:#B22222;"><strong>● 融合式：</strong></span>將PowerStore系統整合到PowerOne融合式基礎架構套件中。</p> <p><span style="color:#B22222;"><strong>● 軟體定義式：</strong></span>PowerStoreOS系統軟體安裝到通用伺服器上，用於提供儲存服務（日後推出）。</p> <p>其中的AppsON超融合式部署模式，是業界首創的嶄新模式。以往，雖然也有將儲存系統以VM形式，部署到Hypervisor主機的做法（如Dell EMC自身的UnityVSA），但AppsON模式則是顛倒過來，把前端應用程式VM放到PowerStore儲存設備上運行，藉此能讓PowerStore設備扮演儲存+伺服器虛擬化的雙重角色，也能把PowerStore設備資源，融入用戶的ESXi虛擬化環境。</p> <p><strong>（5）提供無損效能的資料縮減功能。</strong>壓縮與重複資料刪除等資料縮減功能，是當前全快閃組態儲存設備，不可或缺的功能之一，但啟用資料縮減功能後，相關運算處理會占用相當大的控制器資源，以致損及整體效能。而PowerStore則藉由引進專用硬體晶片，來處理資料縮減運算，從而提供不減損控制器I/O效能的資料縮減技術應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-%E4%B8%BB%E5%9C%962%20AppsON_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FDell%20EMC.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>獨特的「超融合」部署與應用模式｜PowerStore X系列的控制器可以透過內含的ESXi虛擬化平臺，以VM方式同時運行PowerStoreOS儲存作業系統，與用戶的前端應用程式，Dell EMC將這種應用架構稱作AppsON。</strong>圖片來源／Dell EMC</span></p> <p><a href="https://www.ithome.com.tw/article/138209" style="font-size: 18px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> 企業級中階儲存陣列新紀元</strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dell-emc-powerstore">Dell EMC PowerStore</a></div><div class="field-item odd"><a href="/tags/%E4%B8%AD%E9%9A%8E%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">中階儲存陣列</a></div></div></div>
2020/6/18 09:00作者張明德https://www.ithome.com.tw/tech/138185
資安一周第98期：任天堂事件受害用戶規模擴大近一倍。本田汽車因勒索軟體攻擊導致部分產線停工。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0611-0617 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">任天堂被駭事件擴大，坦承30萬用戶個資外洩</strong></h2> <p>在4月24日，任天堂坦承發生大規模的用戶資料外洩事件，Wii U與Nintedo 3DS用戶帳號的舊系統遭駭，駭客藉此存取新系統上的用戶帳號，導致有部分用戶帳號被盜刷，當時任天堂初步調查後，指出有16萬名用戶受到影響。而在6月10日，他們公開新的調查結果，發現還有另外14萬個舊系統帳號，也可能遭到惡意存取。</p> <p>針對這些疑似遭駭的帳號，任天堂重設了密碼，禁止用戶以舊系統的帳密登入新系統的移轉機制，並通知這些受到影響的使用者。<strong><a href="https://www.ithome.com.tw/news/138173">詳全文</a></strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/98-1-nintendo-cyber-incident.png" style="width: 400px;" /></strong></p> <p><strong>圖片來源：任天堂</strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">本田汽車疑遭勒索軟體Snake攻擊，部分產線停工</strong></h2> <p>日本汽車大廠本田自去年傳出資料外洩事件之後，如今又被爆遭到勒索軟體攻擊。根據NBC報導，本田在6月8日表示，公司於7日時，發現因電腦網路毀損，造成無法連線的情況，因而影響業務運作，取消部分工廠作業，隨後在9日才坦承，他們遭遇到網路攻擊，部分在美國俄亥俄州的工廠停擺，目前大部分的工廠已經恢復生產。</p> <p>而根據惡意軟體分析平臺VirusTotal在8日的資訊，本田的伺服器疑似遭到名為Ekans的勒索軟體感染，這是Snake的變種勒索軟體。<a href="https://www.ithome.com.tw/news/138139"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/98-2-honda-ransom.png" style="width: 400px;" /></p> <p>圖片來源：VirusTotal</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">航太服務供應商淪為Maze勒索軟體受害者</strong></h2> <p>總部位於美國的航太服務供應商VT San Antonio Aerospace（VT SAA）在6月5日坦承，該公司受到Maze勒索軟體駭客集團的攻擊。駭客集團也在官網上宣布，他們得手該公司1.5TB資料，意謂著駭客可能以這些資料來要脅受害者支付贖金。</p> <p>為了證明成功入侵了VT SAA，Maze集團公布了超過100份文件，包括財報、網路保險契約，以及提案等。該集團向Bleeping Computer透露，他們所取得的文件還有IT安全系統資訊，以及母公司新加坡科技工程有限公司（ST Engineering）對拉丁美洲特定政治組織的金援。<a href="https://www.ithome.com.tw/news/138124"><strong>詳全文</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/97-3-dmi-nasa-zdnet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/98-3-vtsaa-maze.png" style="width: 400px;" /></a></p> <p>圖片來源：VT San Antonio Aerospace</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">二度傷害！假冒知名勒索軟體解密工具的勒索軟體現身</strong></h2> <p>為了散布勒索軟體，駭客竟然無所不用其極，謊稱是知名勒索軟體的解密工具。最近ID Ransomware的創辦人Michael Gillespie指出，他發現Zorab勒索軟體假冒成勒索軟體Stop（又稱Djvu）的解密工具，一旦按下這個「解密工具」的檔案掃描按鈕，Zorab便會將電腦裡的檔案進行加密。</p> <p>至於為何Zorab要佯稱是勒索軟體的解密工具？很有可能與Stop的氾濫有關，根據Emsisoft去年的統計，Stop在勒索軟體領域的市占率高達56%<strong><a href="https://www.ithome.com.tw/news/138116">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃SMB</strong></span></h3> <h2><strong style="vertical-align: top;">新的SMB第3版漏洞能讀取Windows記憶體內容，還可與SMBGhost串聯</strong></h2> <p>微軟在6月10日發布了修補星期二更新，總共修補了129個漏洞，其中有一個Windows 10的漏洞，特別引起資安廠商的關注，那就是CVE-2020-1206，這項漏洞與第3版SMB有關，駭客若是加以濫用，便能遠端讀取Windows 核心記憶體的內容，該漏洞也因此被稱為SMBleed。</p> <p>安全廠商ZecOps指出，駭客還能將SMBleed與微軟在3月修補的SMBGhost串連，便能在無須進行驗證的情況下，在Windows 10電腦上執行任意程式碼。對此微軟表示，如果用戶來不及安裝更新軟體，可以暫時關閉SMB的壓縮功能來因應。<a href="https://www.ithome.com.tw/news/138177"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃社群網站＃隱私爭議</strong></span></h3> <h2><strong style="vertical-align: top;">臉書協助FBI駭入嫌犯電腦，並將工具交給警方</strong></h2> <p>社群網站為了幫助警方辦案，竟與其他廠商合作，入侵自家用戶，並提供相關工具，引發刺探用戶的爭議。根據Motherboard報導，臉書曾經於2017年，找了外部廠商開發駭客工具，目的是協助美國聯邦調查局（FBI）收集證據，以便逮捕兒童色情犯Buster Hernandez，該公司也將相關工具輾轉交給FBI。臉書也證實確有此事，但強調是個案，知情的前員工表示，這項駭客工具只適用於該名犯人的電腦。</p> <p>上述工具鎖定的對象，是嫌犯電腦執行的匿名Linux作業系統Tails漏洞，有許多人權運動者、記者，以及政府官員使用這套作業系統，但開發者並未被告知相關漏洞。臉書前員工表示，他們本來打算在犯人落網後進行通報，不過他們研判，基於這個漏洞應在Tails改版會被修補，認為無須告知。<strong><a href="https://www.ithome.com.tw/news/138174">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃武漢肺炎＃供應鏈攻擊</strong></span></h3> <h2><strong>德國防疫設備採購團隊與供應鏈遭網釣駭客鎖定</strong></h2> <p>武漢肺炎期間，與防疫有關單位遭到駭客攻擊的事件，可說是時有所聞。例如，IBM X-Force安全回應與情報服務（Incident Response and Intelligence Services，IRIS）揭露，有駭客鎖定德國防疫設備的採購團隊，發動網路釣魚攻擊，呼籲各國的採購團隊都應該多加留意。</p> <p>這個團隊是德國政府於今年3月30日，召集9家跨國企業共同成立，利用他們的全球供應鏈來採購相關物資，供應當地醫院使用。然而，IRIS發現，當天就有來自俄羅斯的魚叉式網釣攻擊，一半鎖定採購團隊高階主管，另一半鎖定的是第三方的供應鏈主管，涵蓋歐洲與美國地區的化學製造、航空運輸、醫療、金融、石油與天然氣，以及通訊產業。<a href="https://www.ithome.com.tw/news/138142">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃即時通訊軟體</strong></span></h3> <h2><strong style="vertical-align: top;">30萬筆WhatsApp用戶電話號碼外洩，用Google搜尋就能找到</strong></h2> <p>印度獨立安全研究人員Athul Jayaram揭露，只要利用Google搜尋，他找到2.9萬筆到3萬筆的WhatsApp用戶電話號碼，起因是與WhatsApp的點擊對話（Click to Chat）功能有關。</p> <p>上述的點擊對話功能，是針對商家設計，藉由產生含有電話號碼的連結，讓使用者點選後就能啟動WhatsApp傳送訊息。但是該連結並未加密，使用者從網址就能看到電話號碼，再加上WhatsApp的網頁伺服器並未禁止搜尋引擎索引，導致搜尋引擎能夠爬梳並索引這些電話號碼。<strong><a href="https://www.ithome.com.tw/news/138119">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">遠傳電信續約服務網頁傳個資漏洞，業者證實並發現少數不當存取個案</strong></h2> <p>在6月10日早上蘋果日報報導，有民眾投訴，遠傳499續約簡訊中的網址存在漏洞，因網址帶有用戶的手機號碼，因此只要變更連結的手機號碼，再搭配瀏覽器的網頁開發人員工具，就能檢視網頁後臺資料，輕易窺探他人個資。</p> <p>為確認詳細狀況，我們在中午詢問遠傳電信，該公司傍晚提供正式聲明，證實確有此事，他們也將續約簡訊服務關閉，並表示發現少數不當存取的個案，但沒有提到有多少用戶資料被存取。<strong><a href="https://www.ithome.com.tw/news/138165">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/138156">誰是漏洞最多的開源專案？答案是MySQL和Jenkins</a><br /> ●<a href="https://www.ithome.com.tw/news/138153">單月修補漏洞數量最多！微軟6月修補129個漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/138196">FBI警告駭客可能鎖定行動銀行服務攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/138121">隱私瀏覽器Brave遭爆擅自填入推薦代碼引發爭議</a></h3> </div></div></div>
2020/6/17 15:05作者周峻佑https://www.ithome.com.tw/news/138269
資安一周第97期：Zoom付費版將會有全程加密模式。美國總統候選人陣營遭國家級駭客攻擊。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0604-0610 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃視訊會議＃E2EE</strong></span></h3> <h2><strong style="vertical-align: top;">Zoom付費版可望內建全程加密，但免費版不會有</strong></h2> <p>自疫情期間在家工作成常態，市面上的視訊會議產品變得熱門，但其中的Zoom卻引起各種安全爭議，該公司也宣布啟動90天的改善計畫，最近，他們又有新的進展。Zoom執行長袁征在第一季財報會議上公布，他們在5月併購Keybase，將藉此來構建Zoom的全程加密（End-to-End Encryption，E2EE）會議模式，未來他們會將此功能提供給付費版用戶，但免費版用戶確定無法使用。</p> <p>袁征表示，他們不打算在免費版本提供E2EE的原因，與FBI及各國政府執法的合作有關，為的是避免該版本被不當使用。<strong><a href="https://www.ithome.com.tw/news/138067">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家級攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">中國與伊朗駭客企圖滲透美國兩大總統候選人陣營</strong></h2> <p>由國家在背後支持的駭客，近年來不斷試圖左右他國選舉。例如，6月5日，Google威脅分析小組總監Shane Huntley在推特上透露，他們發現由國家支持的駭客組織，企圖利用釣魚郵件，針對美國兩大總統候選人陣營下手，目標也就是拜登（Joe Biden）與川普（Donald Trump）的競選團隊，所幸沒有成功。</p> <p>Shane Huntley指出，攻擊拜登團隊的是由中國政府支持的APT31，而打算滲透川普團隊的，則是伊朗駭客組織APT35。他也呼籲競選團隊的工作者，應該透過實體金鑰來執行雙因素身分驗證，來保護自己的帳號，減少可能會被駭客濫用的情況。<a href="https://www.ithome.com.tw/news/138083"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/97-2-tag-ShaneHuntley.png" style="width: 400px;" /></p> <p>圖片來源：Shane Huntley</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃供應鏈攻擊＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">勒索軟體DopplePaymer宣稱成功入侵NASA外包商</strong></h2> <p>企業合作的協力廠商，也成為駭客滲透的管道。像是根據ZDNet報導，勒索軟體DopplePaymer作者在暗網中的部落格張貼文章，表示他們竊得美國航空暨太空總署（NASA）的人事檔案，而拿到這些資料的管道，就是入侵NASA的IT外包廠商Digital Management LLC（DMI）。</p> <p>為了證明確有此事，駭客提供ZDNet一個壓縮檔，宣稱內容是NASA專案成員的人事檔案，包含薪資與電子郵件等資料，而ZDNet透過公開資料比對，初步認定駭客所言為真。再者，駭客也宣稱加密了DMI的電腦，並在暗網張貼該公司的伺服器與工作站電腦清單。<a href="https://www.ithome.com.tw/news/138074"><strong>詳全文</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/97-3-dmi-nasa-zdnet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/97-3-dmi-nasa-zdnet.png" style="width: 400px;" /></a></p> <p>圖片來源：ZDNet</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">研究人員發現以Java映像檔製作的跨平臺勒索軟體</strong></h2> <p>為了規避企業的偵測機制，駭客也嘗試使用非典型的攻擊手法。例如，BlackBerry與KPMG聯手，發現名為Tycoon的勒索軟體，駭客採用Java映像檔（.JIMAGE）格式製作而成。研究人員表示，Tycoon已經存在一段時間，但他們沒有觀察到大規模感染的情況，代表這個勒索軟體具有鎖定特定目標的性質。</p> <p>研究人員是在去年12月發現Tycoon，這個勒索軟體可針對Windows和Linux電腦發動攻擊，目標是中小型教育組織與軟體公司，其入侵管道，是透過曝露於網際網路的RDP伺服器，進而植入攻擊服務與禁用防毒軟體，再逐一感染企業內部的伺服器。<strong><a href="https://www.ithome.com.tw/news/138095">詳全文</a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/97-4-rdp-jimage-ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/97-4-rdp-jimage-ransom.png" style="width: 400px;" /></a></p> <p>圖片來源：BlackBerry</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Valak惡意程式可竊取Exchange伺服器帳密</strong></h2> <p>駭客用來輔助作案的工具，竟發展成功能複雜的惡意程式。美國資安業者Cybereason揭露惡意程式Valak，這個軟體最初是駭客用於下載惡意程式（Malware Loader），但短短半年內，駭客推出超過30個不同版本，Valak也演變為具備至少6個模組的惡意程式，其中1個模組能被用來竊取Exchange伺服器帳密。</p> <p>研究人員指出，Valak主要被用來執行目標式攻擊，對象包括個人，以及美國與德國的大型企業。值得留意的是，駭客為了迴避偵測機制，捨棄無檔案攻擊（Fileless）常見的PowerShell，而是採用NTFS檔案系統的替代資料流（Alternative Data Stream，ADS），來挾帶攻擊工具。<a href="https://www.ithome.com.tw/news/137971"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/97-5-valak-tasks-blackberry.png" style="width: 400px;" /></p> <p>圖片來源：Cybereason</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">俄羅斯駭客鎖定Exim的3個漏洞發動攻擊，逾90萬臺仍尚未修補</strong></h2> <p>在5月底，美國國家安全局（NSA）發出警告，俄羅斯駭客集團Sandworm自去年8月開始，針對郵件傳輸代理程式（Mail Transfer Agent，MTA）Exim，利用一個在去年6月被公開的漏洞CVE-2019-10149，不斷發出攻擊，呼籲企業要趕快修補Exim。但實際曝露於已知漏洞風險的Exim伺服器數量，究竟有多少？威脅鑑識公司RiskIQ公布了他們的分析結果，從5月1日到27日之間，他們總共發現有至少90萬臺Exim主機，存在被上述駭客集團攻擊的風險。</p> <p>RiskIQ認為，駭客還可能同時利用2個Exim漏洞，它們是CVE-2019-15846與CVE-2019-16928，企業不能只有修補CVE-2019-10149。RiskIQ指出，企業至少要升級Exim到4.93版，才能防範上述3個漏洞。<strong><a href="https://www.ithome.com.tw/news/138100">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃SMB ＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國政府警告駭客開始針對SMBGhost漏洞發動攻擊</strong></h2> <p>軟體廠商已經提供修補程式的漏洞，使用者如果還沒有安裝，便可能成為駭客鎖定的目標。美國國土安全部於6月5日發出公告，呼籲Windows 10使用者，要趕快修補CVE-2020-0796，因為相關攻擊程式已經在網路上流傳。</p> <p>這項漏洞又被稱為SMBGhost，是遠端程式碼執行（RCE）漏洞，存在於第3版SMB協定中，影響1903與1909版Windows 10，微軟於3月中旬提供修補程式。<a href="https://www.ithome.com.tw/news/138115">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃物聯網裝置</strong></span></h3> <h2><strong style="vertical-align: top;">Totolink等多家廠商無線路由器存在漏洞，遭駭客鎖定駭入並設定VPN作為跳板</strong></h2> <p>在<a href="https://www.ithome.com.tw/news/138094">5月29日</a>，刑事警察局公布有駭客集團假防疫名義架設釣魚網站，當中釣魚信的寄發，是透過一家企業的無線路由器作為跳板轉發，而這臺設備之所以成為跳板，原因是存在CVE-2019-19822及CVE-2019-19823的漏洞，導致設備管理者密碼被駭客取得，進而掌控並設定VPN連線造成。</p> <p>上述的無線路由器漏洞，是去年12月波蘭西里西亞技術大學研究人員Błażej Adamczyk揭露，受影響設備的共通點，是採用瑞昱（Realtek）SDK。這名研究人員估計，市面上有70萬臺無線路由器受到影響，其中有7萬臺是易受攻擊的對象。<strong><a href="https://www.ithome.com.tw/news/138103">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/138090">Zoom再傳2個安全漏洞，可讓駭客執行任意程式碼</a><br /> ●<a href="https://www.ithome.com.tw/news/138111">加拿大特許專業會計師協會遭駭，近33萬人資料外洩</a><br /> ●<a href="https://www.ithome.com.tw/news/138118">自動化設備廠盟立公告遭勒索軟體攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/138069">SAP ASE資料庫軟體出現任意程式碼執行漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/138055">VMware雲端管理平臺出現漏洞，可讓駭客接管雲端服務</a></h3> </div></div></div>
2020/6/11 10:51作者周峻佑https://www.ithome.com.tw/news/138166
IBM發布完全同態加密工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/blogs/research/2020/06/ibm-releases-fully-homomorphic-encryption-toolkit-for-macos-and-ios-linux-and-android-coming-soon/">IBM發布了完全同態加密（Fully Homomorphic Encryption，FHE）免費工具包</a>，讓開發人員可以利用同態加密技術，在處理資料的同時，又能保護個人資料安全。目前這個工具包支援MacOS和iOS，在不久之後還會釋出支援Linux和Android的版本。</p> <p>同態加密是一種加密類型，當使用者對加密資料進行特定形式的運算，會得到經加密的結果，將其解密所得到結果，會與未加密資料進行相同運算所得到的結果相同。</p> <p>同態加密的發展可追溯至1970年代，由密碼學家Craig Gentry提出，並證明了這項理論的可行性，但這項技術一直都無法被真正的應用，因為其計算非常複雜，需要龐大的計算資源，對於日常使用來說過於緩慢。</p> <p>IBM經過多年研究，改進了同態加密效能，因此現在IBM釋出的FHE工具包，已經可以滿足部分應用的需求，且隨著硬體不斷地發展，同態加密可應用的案例將越來越多，特別是那些受嚴格監管的產業，也將能外包資料儲存和運算。</p> <p>IBM提到，雖現在檔案在傳輸以及儲存時都會加密，不過在運算時解密就提供了一個破口，讓駭客或是組織內部的有心人士，能夠洩漏這些未加密的資料，而同態加密則堵住了這個破口，因為同態加密讓資料在運算時，仍可維持加密狀態，最大程度降低資料暴露的風險，而且同態加密還能夠限制解密功能，讓特定對象僅看到有權存取的部分。</p> <p>FHE工具包以HELib加密函式庫為基礎，其中包含了範例程式，讓開發人員能夠更快速地上手，使用同態加密撰寫程式。</p> </div></div></div>
2020/6/9 10:00作者李建興https://www.ithome.com.tw/news/138132
研究人員發現以少見Java格式開發的新勒索軟體Tycoon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>BlackBerry資安研究單位與KPMG合作，最近發現了一個稱為<a href="https://blogs.blackberry.com/en/2020/06/threat-spotlight-tycoon-ransomware-targets-education-and-software-sectors">Tycoon</a>的勒索軟體，這個軟體以木馬化JRE（Java Runtime Environment）形式部署，研究人員提到，雖然Tycoon已經存在一段時間，但他們沒有觀察到大規模感染狀況，代表其具有很高的針對性。</p> <p>研究人員第一次在網際網路上觀察到Tycoon是在2019年12月，這是一個針對Windows和Linux的多平臺勒索軟體，其使用了特殊的Java映像檔格式來規避偵測，並經高針對性的感染途徑，滲透到中小型的教育組織和軟體公司，藉由加密檔案伺服器來要求被害企業支付贖金解密。</p> <p>經分析，Tycoon透過暴露在網際網路的RDP跳轉伺服器入侵企業網路，攻擊者使用網路上的RDP伺服器連接到系統，並且搜尋目標，尋找管理員的憑證，接著安裝駭客攻擊服務並且禁用防毒軟體，在留下後門後便離開。之後攻擊者會再次連接到RDP跳轉伺服器，並且把該伺服器當作樞紐，橫向地在網路中移動，連接到企業各系統，經過分析後，執行駭客攻擊服務，並以批次檔安裝勒索軟體，逐一感染企業網路中的伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-tycoon.png" style="width: 580px;" /></p> <p>為了讓惡意程式在受害者系統可長時間留存，攻擊者使用了一種稱為映像檔劫持（Image File Execution Options，IFEO）注入的技術，IFEO設定會儲存在Windows註冊表中，原本是讓開發者可以在執行主要應用程式的時候，能同時執行附加監控程式，來對主要應用程式進行除錯，而駭客利用這個方式載入惡意程式，作為獨立的程序執行。</p> <p>攻擊者還使用了駭客攻擊工具禁用了企業網路的安全解決方案，並更改Active Directory伺服器密碼，讓受害者無法存取系統，最後，攻擊者執行了Java勒索軟體模組，對所有檔案伺服器加密，包括連接到網路的備份系統。</p> <p>Tycoon勒索軟體是以ZIP檔案的方式散布，其中包含了一個木馬化的JRE，該惡意軟體被編譯成為Java映像檔（JIMAGE），研究人員提到，JIMAGE是一種特殊的檔案格式，用來儲存自定義的JRE映像檔，這個JRE映像檔會在執行時給JVM使用，其包含了支援特定JRE建置程式的所有Java模組資源和類別檔案。JIMAGE是在Java 9開始提供，不像是常用的JAR格式，JIMAGE通常用於JDK內部，相關的文件資源也很少，一般開發者很少使用。</p> <p>勒索軟體映像檔解開後，裡面包含命名為Tycoon的專案，研究人員提到，因為JRE包含了Windows和Linux版本，這代表Linux伺服器也在鎖定目標中。</p> <p>勒索軟體使用AES-256演算法加密檔案系統中的檔案，並且以10 MB為單位加密成檔案塊，研究人員解釋，勒索軟體會跳過大檔案，以求加速加密過程，更快地讓整個系統無法使用。由於勒索軟體使用非對稱的RSA演算法，對AES金鑰進行加密，因此要解密檔案，便需要攻擊者的RSA私鑰。雖然理論上可以破解1024位元RSA金鑰，但需要用上非常大量的運算資源，目前也尚未有實現的例子。</p> <p>不過，在網路論壇有一名受害者發布了一個RSA私鑰，研究人員推測該私鑰來自於支付贖金的受害者，所取得的解密金鑰，而經過他們試驗，該金鑰可以破解最早版本的Tycoon勒索軟體加密的部分檔案，但在最新版本的Tycoon便已經失效。</p> <p>發現Tycoon勒索軟體的重要性在於，該惡意程式應用了非典型的駭客技術，研究人員提到，攻擊者一直在尋找可以規避偵測的方法，而事實證明，這些惡意軟體開始使用一些非傳統的混淆技術，採用了不常見的程式語言以及資料格式，用Java和Go程式語言所撰寫的勒索軟體大幅成長，而Tycoon是他們發現第一個使用JIMAGE格式的惡意JRE程式。</p> </div></div></div>
2020/6/6 06:40作者李建興https://www.ithome.com.tw/news/138095
Zoom兩安全漏洞可讓駭客執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科安全研究團隊Talos Intelligence<a href="https://blog.talosintelligence.com/2020/06/vuln-spotlight-zoom-code-execution-june-2020.html" target="_blank">發現</a>Zoom兩項安全漏洞，可能導致攻擊者在受害電腦上執行任意程式碼，或者結合其他漏洞。在思科團隊的通知下，Zoom已經完成修補。</p> <p>Zoom的通話功能是跑在XMPP標準上，並以其他擴充功能增加訊息豐富度，而二項漏洞都是和擴充功能有關，一是支援包含GIF動畫檔，二是支援包含程式碼片段。</p> <p>第一項漏洞CVE-2020-6109為一項路徑穿越（path traversal）漏洞，出在Zoom用戶端處理包含GIF圖檔的訊息過程中。Zoom原本允許使用來自Giphy（現為臉書買下）伺服器的動畫圖檔，為訊息加入效果，但在本漏洞中，卻讓Zoom接收任何伺服器的圖檔。這讓駭客對單一用戶或目標群組傳送惡意訊息觸發漏洞，造成任意檔寫入而引發任意程式碼執行，結果為洩露資訊。</p> <p>在CVE-2020-6109中，攻擊者傳送的檔案可以.gif為副檔名，但內容可能是執行檔或腳本程式，協助開採其他漏洞。CVE-2020-6109 CVSS 3.0風險評分為8.5。</p> <p>另一個漏洞編號CVE-2020-6110，則發生在Zoom用戶端處理有共享程式碼片段（code snippet）的訊息的過程中。Zoom分享程式碼片段時會是以壓縮檔ZIP進行。不同於普通ZIP檔，CVE-2020-6110下，ZIP接到的ZIP檔若為共享程式碼片段，會自動解壓縮以便預覽，而未驗證ZIP檔的內容檔案。這使得攻擊者得以植入任意二進位檔，而在目標電腦上執行。而路徑穿越問題，讓這個ZIP檔可以在原本應有的目錄以外寫入檔案，進而開採其他漏洞，但研究人員指出，後者攻擊需要使用者有動作。CVE-2020-6110 CVSS 3.0風險評分為8.0。</p> <p>兩項漏洞都影響Zoom 用戶端4.6.10，而CVE-2020-6110還另外影響4.6.11版，包括Windows、macOS及Linux版本。CVE-2020-6109 CVSS 3.0風險評分為8.5，而在Talos Intelligence通報後，Zoom已經釋出新版<a href="https://support.zoom.us/hc/en-us/articles/201361953-New-updates-for-Windows" target="_blank">4.6.12版</a>予以解決。</p> </div></div></div>
2020/6/5 15:25作者林妍溱https://www.ithome.com.tw/news/138090
Visual Studio 2019將支援Ninja，顯著提升Linux專案建置效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/cppblog/linux-development-with-visual-studio-first-class-support-for-gdbserver-improved-build-times-with-ninja-and-updates-to-the-connection-manager/">微軟更新Visual Studio 2019，新增多個可提升Linux開發體驗的功能</a>，包括在Linux上支援建置系統Ninja，以及更完整地支援gdbserver，而且現在開發者也可以使用連接管理器（Connection Manager），編輯和配置預設的遠端連接。</p> <p>使用Visual Studio 2019，可以在遠端Linux系統或是WSL上開發C++專案，開發者能選擇以建置引擎MSBuild來建置Linux專案，也能透過原生CMake支援進行Linux開發，微軟提到，使用CMake可以讓開發者以相同原始碼和建置腳本，建置跨平臺程式，而這也是微軟推薦的跨平臺解決方案。現在微軟要進一步改善Linux的開發支援，讓Linux的開發工作更加便捷。</p> <p>Visual Studio現在於Linux支援Ninja，Ninja是一個高效能的建置系統，Ninja一直是針對Windows的CMake配置預設生成器（Generator），不過在最新的Visual Studio 2019版本中，微軟在Linux增加對Ninja的支援，微軟提到，Ninja通常執行得比Unix Makefile還要快，目前是遠端系統和WSL新的CMake配置生成器。</p> <p>微軟使用bullet3以及LLVM兩個開源專案，來比較Ninja以及Unix Makefiles的效能，在虛擬機器中以Visual Studio完全重新建置這兩個專案，Ninja建置bullet3僅需要3分鐘，而Unix Makefiles則要11分鐘，LLVM的差異就更大了，Ninja只要40分鐘，Unix Makefiles卻需要花費143分鐘。</p> <p>微軟在Visual Studio的第2項Linux開發改進，是強化對gdbserver的支援，gdbserver是可讓開發者遠端在Linux上除錯的程式，在最新的Visual Studio中，微軟新增了除錯器配置，讓開發者在遠端系統中，使用gdbserver對CMake專案進行除錯，這對目標系統可能沒有足夠資源執行gdb的嵌入式使用案例特別有用。</p> <p>另外，微軟還改進了連接管理器，連接管理器是在Visual Studio中的好用工具，可讓開發者管理和儲存遠端系統的安全SSH連接，由於開發者的回饋，微軟在Visual Studio 2019 16.7版本中，開發者可以在連接管理器中，編輯和配置預設的遠端連接，也就是說，現在開發者可在不移除原本連接的情況，編輯已建立的遠端連接，Visual Studio不用重新複製遠端系統上編譯器引用（Include）目錄，這些目錄會自動複製到Windows上，提供IntelliSense使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/connectionManager.png" style="width: 580px;" /></p> </div></div></div>
2020/6/5 10:30作者李建興https://www.ithome.com.tw/news/138072
馬偕IT全靠開發力守住防線，2個月快建數十支AP支援抗疫
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一位病人插卡查旅遊史，只要3秒！」馬偕紀念醫院（以下簡稱馬偕醫院）資訊室主任鄭聰貴驕傲地說。但起初，這樣一個簡單插健保卡查詢動作，卻得耗上一分鐘，才能完成，只要人一多，查詢就得等待，醫院門口因此常常大排長龍，造成民眾抱怨，但在馬偕資訊團隊不斷改良程式之後，後來進醫院，民眾只要插入卡片，就能馬上確認有無旅遊史，甚至無須等待。在臺灣疫情升溫期間，也讓馬偕多了一項成功守住防線的武器，來保存醫療能量。</p> <p>而這僅是馬偕醫院資訊部門近期推出的眾多IT防疫措施之一，光是疫情期間，他們合力開發出大大小小的程式或App，就有多達20多支，都逐一放進原本的醫療服務之中，來提供更多服務或功能，協助醫院加強防疫。</p> <p>由於中國武漢肺炎（COVID-19）年初爆發，造成全球疫情大流行，亞洲、歐美各國先後淪陷成為重災區。臺灣疫情雖然沒有國外嚴峻，但仍遭遇一波感染疫情，尤其是在2月、3月時，不少本土和境外移入確診個案不斷增加，甚至，做為防疫第一線的醫院，都出現首宗院內感染的案例，各家醫院如臨大敵，紛紛加強醫院進出管制，並升級防疫措施。</p> <p>馬偕醫院也是其中一家，3月中便開始加強防疫措施，包括查檢旅遊史、增加戶外門診與暫停夜診等，以降低院內群聚感染的風險。而去年中接任資訊主管一職的鄭聰貴，剛上任不到一年，就得面對這個突如其來的IT大考驗，他更站在第一線率領資訊團隊運用IT協助醫院抗疫。</p> <p>他回憶，疫情期間，醫院每周都會召開緊急應變會議，隨時根據疫情局勢發展，來滾動式調整政策，決定接下來要採取的防疫措施。由於防疫是跟時間賽跑，所以，只要醫院一有新的防疫政策或措施下達，需要IT協助，馬偕資訊部門馬上就會著手進行開發，而且開發完立即就要能派上用場，「甚至於，今天接到指示決定要做，隔周新作法就要馬上上線」他說。</p> <p><strong><span style="font-size:28px;">醫院門口插健保卡查旅遊史，從一分鐘縮減到3秒搞定！</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350%20-%E8%87%B3%E6%B5%A9-%E9%A6%AC%E5%81%95%E7%B4%80%E5%BF%B5%E9%86%AB%E9%99%A2-%E5%9C%962.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>馬偕紀念醫院資訊室主任鄭聰貴表示，醫院IT具備自主開發能力很重要，否則遇到像這次疫情危機時，如果單靠委外，就會來不及。 </strong></span>攝影／洪政偉</span></p> </td> </tr></tbody></table><p>門禁疫調系統的開發就是其中一例。為了因應3月臺灣疫情升高，該醫院也依據中央流行疫情指揮中心的建議，提升院內防疫管制，加入旅遊史查驗程序，並自同月20日起實施，要求所有人進醫院前，都須先查驗旅遊史，確認這些看診民眾皆沒有相關旅遊史，方可進入院內看診。</p> <p>為此，馬偕資訊團開發了一套門禁疫調系統，以多達12臺電腦搭配健保專屬讀卡機，分別設置於醫院入口處與停車場，來做為病人旅遊史的查檢。</p> <p>這套疫調系統，雖然核心的資料庫是放在健保署，但是透過他們自行開發的操作介面與健保署雲端藥歷系統連線查詢，來取得該名健保病人近期旅遊史、或接觸史的相關資料，再將查詢結果顯示在電腦螢幕上，供現場醫護人員確認。短短一周就完成開發並推出上線。</p> <p>但才一推出，就遇到了實際執行上的考驗，光是一個健保卡插入的動作，從插入卡片讀取到拔出，大約需要一分鐘，才能完成確認其有無旅遊史。由於醫院每日有大量看病、陪病的人流，一天就有高達一萬次的插卡查詢，只要人一多，等待時間就越長，導致隊伍大排長龍，看診民眾抱怨連連。</p> <p>為了改善這個問題，他們也思考了很多方式，不斷改良程式，來簡化讀卡流程，期間就歷經3次重大改版，直到最後一個版本，才將插卡查詢時間，從原來的一分鐘，縮短為3秒就完成，大大加快了整個查驗的速度，幫助民眾能快速通關。而且，為了能夠消化這些人流，醫院後來也做出相應的調整，控制每日掛號的上限人數，藉此降低醫院外面的排隊人潮。</p> <p><strong><span style="font-size:28px;">兩個月迅速開發出20多支程式，強化醫院防疫</span></strong></p> <p>除了門禁疫調系統之外，這段期間，馬偕醫院還有更多結合IT的防疫功能或措施推出。</p> <p>像是疫情嚴峻時期，不少民眾因懷疑自己染疫而要求醫院篩檢，馬偕資訊部門也配合在院內會診系統內，新增一個COVID-19篩檢風險評估的功能，讓病人進到門診後，可先由主治醫生初步問診，取得包含旅遊史、職業別、接觸史、群聚等相關資訊並輸入到會診平臺後，再交由會診團隊透過其會診系統上的記載內容，做進一步疫調，以評估該名病人有無篩檢的必要。他表示，透過這樣的方式，就能只對評估後有高風險的對象進行篩檢，把寶貴篩檢資源花在刀口上。</p> <p>又如醫院病房門禁的管制，同樣也使用他們開發的一套病房門禁疫調系統，在家屬或民眾還可以進到病房探病的時期，護理人員就會透過這套系統查詢其有無符合探病的資格要件，才允許其進入病房探病。另外，對於在醫院內負責清潔或工程的外包人員，他們後來也推出一個行蹤通報系統，能用來完整記錄每一位人員在院內活動軌跡，還能顯示出國記錄，以及體溫等健康資訊，藉此來降低院內人員染疫的風險。</p> <p>不光如此，連曾有過特定旅遊史的病人，進到戶外門診區看診時，院內門診醫師也能遠端以看診系統結合視訊方式，來進行會診，人不用到現場看診。又或是針對居家隔離或居家檢疫者，則可通過防疫專線1922協助，使用該醫院提供的通訊診療掛號服務，讓病人可透過手機視訊遠端看診，醫師線上就能即時開立處方。</p> <p>上述這些防疫措施或服務，每一個都是疫情期間，馬偕資訊團隊一手開發完成。光是這段期間，資訊團隊前後自行開發出來的程式與App，就有20多支，有的是直接掛載在現有的醫療服務平臺上，也有的是變成獨立服務，來強化防疫措施。</p> <p>尤其，疫情當前，為了盡快投入防疫，馬偕採取了先上線，後改良的策略，先完成一個初版搶時效先推出，等到上線之後，他們再針對有問題的地方來逐一改善。</p> <p>他強調，面對疫情，醫院的資訊團隊具備自主開發能力很重要，否則遇到像這次疫情危機時，如果單靠委外，就會來不及。</p> <p>因為都是自行開發，他也坦言，這段期間，壓力很大，但完成後很有成就感，「因為大家都同坐在一艘船，也更進一步凝聚彼此革命情感與團隊精神，一起努力為臺灣防疫盡一份心力。」他直言。</p> <p>不過，近來，臺灣疫情有逐漸獲得控制的跡象，原來因為防疫而開發的服務或功能，使用率也因此逐漸降低，甚至不再使用，例如該醫院自5月初已放寬門禁，免查旅遊史等。</p> <p>鄭聰貴也很清楚，這些短期開發出來的功能或服務，生命周期都很短，往往在疫情緩和以後，就不需要提供了，「甚至有次連夜趕工出來，功能才剛上線，就因為疫情趨緩，而根本用不到」他笑著說。</p> <p>就算如此，鄭聰貴一點也不覺得可惜，反倒是樂觀看待這件事。他說，每一支支程式，都是為了能夠服務使用者而存在，假使今天它的生命周期走到盡頭，那也代表它完成交付任務，可以功臣身退。從另一方面來說，正是因為有了這次寶貴經驗，資訊團隊能得到更多磨練機會，可以站在第一線實際了解使用者的問題，讓以後開發出來的介面或功能更到位，貼近使用者需求。</p> <p>當然，在等到疫情緩和之後，還是有一部分功能或服務，以後仍可繼續延用，甚至在未來擴大使用，馬偕疾時通服務就是一個例子。它是一個Line聊天機器人服務，類似於疾管署疾管家，主要提供給院內部員工使用，讓他們用手機就能隨時取得院內最新防疫政策、人事更新訊息、疫情訊息、感控措施，還有醫師採檢示範短片等等。</p> <p>這項服務，也是資訊團隊在疫情期間所推出，從推出上線至今，已有一千名北淡院內員工都在用。他預計，下一版還要推出護理師、藥師專用版本。例如，以後藥師在盤點管制藥品的時候，人不一定要到現場清點，可直接由護理站人員以手機掃描藥盒上的QR條碼，就能取得庫存系統上的資料，同時對照手機拍下藥盒內的照片並上傳，再讓藥師核對數量就行，省去原本得逐一到各個護理站現場盤點藥品的時間。</p> <p>「醫療業IT就是一群解決問題的人」鄭聰貴反覆強調。由於理工出身，造就他負責解決問題的強烈性格，而且他更要求，解決問題的方式，除了要夠快，還要能夠兼顧成本的效益。</p> <p>當然，在面對疫情衝擊下，馬偕醫院能夠有效結合IT對策來防疫，其實也跟近幾年，這家百年教會醫院朝向智慧醫院來發展有關，持續不斷地運用IT提升醫療品質、簡化流程。</p> <p>像在簡化流程方面，馬偕資訊團隊去年也導入一套醫材單一識別系統，統一改以刷UDI條碼方式讀取醫材資料，包括產品識別、生產識別等資訊，取代原本人工輸入的作法，甚至更用它快速掌握院內器材庫存狀況與延遲交貨異常回報，來提高管理效率。</p> <p>又如急診行動資訊站平臺，也是這個時期推出的另一項新服務，可用來改善急診病人就診經驗。他們在急診室設置有數位資訊看板，能即時顯示目前治療狀況，包括等候人數、檢傷級數、等待病床等，讓就醫民眾及陪病家屬，等待急診掛號或看診時，能夠更容易掌握治療狀況，而不用反覆向醫護人員詢問。病患亦能使用健保卡插入看板，以取得目前就醫狀態及檢查報告進度等資訊。即使人在急診室外，還可透過手機App隨時掌握看診進度，或是可先預辦掛號，來縮短其到院後的就醫檢傷程序。</p> <p>鄭聰貴今年也計畫引進AI技術，來輔助醫生診斷，舉例來說，未來可以用它檢測乳癌，利用已建立好的AI模型先做初步篩選，將有疑似病灶標記影像的乳房X光片挑選出來，醫師再根據這個結果進一步判讀，讓患者能即早治療。他另外還提到一套併發症低血壓AI專家系統，目前已有裝在該醫院血液透析病房裡，可提前預測洗腎患者血壓異常，並通報醫護人員即時處置。</p> <p><strong style="color: rgb(51, 153, 255);">CIO小檔案</strong></p> <p><strong>鄭聰貴</strong></p> <p><strong>馬偕紀念醫院資訊室主任</strong></p> <p>學歷：海洋大學電機工程碩士</p> <p>經歷：在馬偕醫院逾25年IT資歷，從基層資訊人員做起，後來升為課長並擔任多年，去年7月時，他正式接下資訊室主任一職，兼負起整家醫院IT發展重任，在今年初武漢肺炎疫情在臺延燒時，他更率領資訊團隊，運用IT技術協助醫院防疫，將院內感染風險減到最低</p> <p><strong style="color: rgb(51, 153, 255);">公司檔案</strong></p> <p><strong>馬偕紀念醫院</strong></p> <p>● 成立時間：1880年</p> <p>● 員工數：約6,900人</p> <p>● 董事長：胡志彊</p> <p>● 院長：劉建良</p> <p>● 年營收：170億元（2018年）</p> <p><strong style="color: rgb(51, 153, 255);">資訊部門檔案</strong></p> <p>● 資訊部門人數：約70人（含臺北、淡水院區）</p> <p>● 資訊部門分工：淡水資訊課（系統組、業務組）、系統規畫課（行政組、醫事組、醫技組、醫護組、DBA）、系統維護課（系統組、業務組）、新竹分院資訊課、臺東分院資訊課</p> <p><strong style="color: rgb(51, 153, 255);">IT大事記</strong></p> <p>● 2014年：完成將北淡院區醫療資訊系統轉移到Linux作業系統主機</p> <p>● 2016年：推出馬偕醫生館App</p> <p>● 2019年：完成建置急診行動資訊站App及資訊看板、完成導入醫療器材單一識別系統</p> <p>● 2020年：建立院內防疫資訊平臺、Line@馬偕疾時通推出上線、完成醫院入口及停車場門禁疫調系統、病房門禁疫調系統上線、外包人員健康資訊行蹤通報系統推出、替院內會診系統新增COVID-19篩檢風險評估功能</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_-zhi_hao_-ma_xie_ji_nian_yi_yuan_-tu_1.png" width="960" height="420" alt="" title="馬偕紀念醫院資訊室主任鄭聰貴（攝影／洪政偉）" /></div></div></div>
2020/6/4 09:00作者余至浩https://www.ithome.com.tw/people/137937
資安一周第96期：已被修補的漏洞被駭客大肆濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0528-0603 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">駭客藉由SaltStack漏洞入侵思科伺服器</strong></h2> <p>漏洞一旦被公布之後，可能很快就有駭客用來發動攻擊。像是由SaltStack所打造的Salt開源管理框架，存在2個安全漏洞，雖然官方在4月底就完成修補，但在漏洞曝光的一周內便傳出多起攻擊事件，受害廠商包含了思科，還有LineageOS、DigiCert、Xen Orchestra，以及Algolia等軟體及服務。其中，思科針對採用SaltStack而受漏洞波及產品，在5月7日進行修補，並發出公告要用戶趕快更新。</p> <p>這兩款受影響的產品，是Cisco Modeling Labs Corporate Edition，以及Cisco Virtual Internet Routing Lab Personal Edition。而該公司的後端伺服器亦受到波及，有6臺遭到入侵。<strong><a href="https://www.ithome.com.tw/news/137960">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">已修補的Exim漏洞遭到俄羅斯駭客濫用</strong></h2> <p>軟體廠商已經修補的漏洞，許多企業仍未安裝更新而導致駭客能加以濫用。例如，美國國安局（NSA）最近發出警告，俄羅斯駭客集團Sandworm正在濫用舊版Exim的安全漏洞CVE-2019-10149，呼籲各大組織應儘快修補。</p> <p>Exim是開放原始碼的的郵件傳輸代理程式（Mail Transfer Agent，MTA），廣泛應用在Unix系統上，也是許多Linux版本的預裝程式，市占率高達57%。CVE-2019-10149漏洞波及的範圍相當廣，從2016年4月釋出的4.87版，以及之後的版本都受到影響，官方已於2019年2月發布4.92版來修補該漏洞。</p> <p>不過，顯然還有許多組織尚未修補該漏洞。NSA表示，從去年8月起，Sandworm便持續地鎖定CVE-2019-10149漏洞發動攻擊，迄今仍不間斷，呼籲採用Exim的組織應儘快修補。<a href="https://www.ithome.com.tw/news/137947"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a2-nsa-exim.png" style="width: 400px;" /></p> <p>圖片來源：美國國安局</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞修補</strong></h3> <h2><strong style="vertical-align: top;">蘋果隱私登入機制驚傳可被劫持帳號的漏洞</strong></h2> <p>廠商力推的新興防護機制，一旦出現漏洞，有可能影響層面甚廣。例如，蘋果自去年在iOS 13加入的隱私登入技術Sign in with Apple，被研究人員Bhavuk Jain發現漏洞，能讓駭客劫持用戶的帳號。由於去年秋天開始，蘋果規定所有支援第三方登入工具的App，都必須整合這項機制，因此這項漏洞影響相當重大，所有知名應用程式，像是Dropbox、Spotify、Airbnb，以及Giphy等都受影響。</p> <p>Bhavuk Jain在4月通報後，目前蘋果已經完成修補，並且發出10萬美元獎勵。該公司也表示，他們尚未發現這項漏洞被濫用的跡象。<a href="https://www.ithome.com.tw/news/137972"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a3-signinwithapple.png" style="width: 400px;" /></p> <p>圖片來源：Bhavuk Jain</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃木馬程式</strong></h3> <h2><strong style="vertical-align: top;">木馬程式ComRAT利用Gmail遠端下達指令</strong></h2> <p>駭客濫用常見的雲端服務，也包含利用電子郵件來傳送攻擊指令。資安業者ESET指出，他們發現新的ComRAT木馬程式使用客製化C&C協定，更利用Gmail作為傳送命令或接收所盜資料的媒介。</p> <p>ESET認為，這個木馬程式與先前的ComRAT相同，都是出自俄羅斯駭客集團Turla Group，該公司也看到駭客已經用來攻擊兩國外交部，以及某個國家的議會。<strong><a href="https://www.ithome.com.tw/news/137885">詳全文</a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/96-2-comrat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/96-2-comrat.png" style="width: 400px;" /></a></p> <p>圖片來源：ESET（WeLiveSecurity）</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">供應鏈攻擊鎖定GitHub開源軟體專案，讓開發人員上傳程式碼一併植入後門</strong></h2> <p>針對開發人員的供應鏈攻擊可說是日益氾濫，而且駭客的手法不斷推陳出新。今年3月，一個署名為JJ的資安人員，向GitHub資安事件因應團隊通報，他發現新的攻擊手法，駭客鎖定採用NetBeans整合開發環境的電腦發動攻擊，導致這些開發者提交到GitHub的程式碼帶有後門。該團隊獲報後，隨即展開調查，發現有26個開源專案，被名為Octopus Scanner惡意軟體「借殼上架」後門。值得留意的是，程式碼資料庫的所有人完全不曉得自己遭駭，仍持續提交帶有後門的程式碼。<a href="https://www.ithome.com.tw/news/137953"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">NTT代管服務被駭，波及621家企業客戶</strong></h2> <p>在5月28日，日本最大電信公司及網路服務供應商 NTT公告，代管服務自本月7日開始，發生駭客入侵事件，可能導致621家客戶資訊外洩。該公司也展開調查，並切斷駭客存取的管道。<strong><a href="https://www.ithome.com.tw/news/137936">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-a5-ntt.png" style="width: 400px;" /></p> <p>圖片來源：NTT</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃資料庫配置不當</strong></span></h3> <h2><strong style="vertical-align: top;">泰國最大電信業者AIS外洩數千萬用戶即時瀏覽資料</strong></h2> <p>因配置不當導致資料庫公開的情況頻傳，即使存放的是DNS查詢與NetFlow記錄，也可能會曝露使用者的隱私。安全研究人員Justin Paine揭露一個不需使用者身分驗證就能存取的ElasticSearch資料庫，隸屬於泰國最大電信業者AIS旗下的子公司AWN，當中存放數千萬用戶的即時瀏覽資料，包含了DNS查詢與NetFlow記錄，因而能得知特定IP位址的網路瀏覽行為。</p> <p>這名研究人員表示，他於5月7日發現這個資料庫，但自1日起就能公開存取。AWN直到22日才將其從公開網路移除。<a href="https://www.ithome.com.tw/news/137843">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃紅隊演練＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">國軍網路戰聯隊軍士官傳模擬攻擊被當共諜偵辦，調查局提出說明</strong></h2> <p>在5月27日，有多家媒體報導，國軍的網路戰聯隊因在漢光演習裡，執行模擬紅軍攻擊任務，但卻被依內亂外患罪送辦的消息，實際情況成為外界議論焦點。國內媒體對於此事有不同的論點，例如，蘋果日報指出，此案引發國軍高層內鬥，找出漏洞的軍士官被調查局當成共諜偵辦，導致有官兵申請退伍。自由時報則指出，5名軍士官涉犯內亂外患罪移送高檢署，並強調是官兵辯稱好玩所致。</p> <p>對此，法務部調查局也提出他們的說法，表示這起案件牽扯到國防部資通電軍指揮部多名軍士官，涉嫌於2017年非法取得國軍具有管理者權限的帳密清單，且多次在非演習期間查詢及下載國防秘密資訊，因此調查局在2019年11月將嫌疑人移送臺灣高等檢察署偵辦。<strong><a href="https://www.ithome.com.tw/news/137883">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/96-3.png" style="width: 400px;" /></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣戶政資料傳出外洩疑雲，行政院資安處揭露更多細節，強調與戶政單位無關</strong></h2> <p>駭客宣稱取得政府的資料，引發各界關注，經分析後才被揭穿，其實是在暗網流傳多年的舊資料。美國資安公司Cyble在5月29日揭露，他們在暗網裡發現一個外洩資料庫，駭客宣稱是全臺灣的戶籍資料（Taiwan Whole Country Home Registry DB），包含超過2千萬筆民眾個資，內容來源是內政部戶政司。</p> <p>對此，30日行政院資通安全處處長簡宏偉接受訪問時，表示該資料庫其實不是戶政資料，是多組個資資料庫整併而成。行政院資安處也先後於30日與31日兩天，發出新聞稿來澄清此事，其中，在31日的新聞稿裡，他們揭露調查的結果，強調該筆資料從政府單位流出的傳聞，並非屬實，表示駭客是為了吸引買家，才宣稱是臺灣的戶政資料。<a href="https://www.ithome.com.tw/news/137980">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/137904">德國政府呼籲蘋果用戶儘速修補iOS郵件漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/137929">研究人員計畫推出USB驅動程式漏洞測試框架</a><br /> ●<a href="https://www.ithome.com.tw/news/137933">HackerOne成立至今已發出1億美元抓漏獎金</a><br /> ●<a href="https://www.ithome.com.tw/news/137899">OpenSSH預告即將終止支援SHA-1演算法</a></h3> </div></div></div>
2020/6/3 11:51作者周峻佑https://www.ithome.com.tw/news/138020
美國安局警告，俄羅斯駭客正在開採Exim漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（National Security Agency，NSA）於本周<a href="https://www.nsa.gov/News-Features/News-Stories/Article-View/Article/2196511/exim-mail-transfer-agent-actively-exploited-by-russian-gru-cyber-actors/" target="_blank">警告</a>，俄羅斯駭客集團Sandworm正在開採Exim上既有的安全漏洞CVE-2019-10149，呼籲各大組織應儘快修補該漏洞。</p> <p>資安業者Qualys在去年6月揭露了CVE-2019-10149的細節，<a href="https://www.ithome.com.tw/news/131270" target="_blank">該漏</a>洞同時允許本地端或遠端駭客進行攻擊，只是難易度不同，成功開採將允許駭客執行任意程式。該漏洞可能讓未經授權的駭客，自遠端傳送特製的電子郵件，就能以根權限執行命令，諸如安裝程式、變更資料，或者是建立新帳號。</p> <p>Exim為一開源的郵件傳輸代理程式（Mail Tansfer Agent，MTA），除了被廣泛應用在Unix系統上之外，也是許多Linux版本的預裝程式，市占率高達57%。CVE-2019-10149漏洞波及2016年4月釋出的Exim 4.87及之後的版本，Exim已於2019年2月發表的Exim 4.92修補了該漏洞。</p> <p>不過，顯然還有許多組織尚未修補該漏洞，NSA表示，從去年8月起，Sandworm便持續地攻擊CVE-2019-10149漏洞，迄今仍不間斷，呼籲採用Exim的組織應儘快修補。</p> <p>NSA相信Sandworm團隊隸屬於俄羅斯情報局（GRU），Sandworm在2015年及2016年間曾針對烏克蘭的電廠展開攻擊，也曾在全球大規模散布NotPetya勒索軟體，並於2018年襲擊冬奧網站。</p> </div></div></div>
2020/5/29 15:25作者陳曉莉https://www.ithome.com.tw/news/137947
研究人員準備開源USB驅動程式漏洞測試工具USBFuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自美國普渡大學（Purdue University）的Hui Peng，以及來自瑞士洛桑聯邦理工學院（EPFL）的Mathias Payer，近日公布了有一個專門偵測USB驅動程式漏洞的USBFuzz框架，在Linux子系統、FreeBSD、macOS、Windows 8 及Windows 10等系統上總計找到26個新的漏洞，並準備將USBFuzz開源。</p> <p>研究人員說明，用來連結外部裝置與主機的USB介面，將允許駭客透過惡意裝置來攻擊作業系統核心與裝置驅動程式，然而，核心與驅動程式的開發都是奠基在信任所連結的裝置上，驅動程式只會用來判斷硬體的故障而非攻擊，因此，要測試驅動程式的安全性，必須同時橫跨硬體與軟體的疆界。</p> <p>而他們所打造的USBFuzz是個可攜、靈活且模組化的框架，能夠針對USB驅動程式進行模糊測試，它是利用軟體來模擬USB裝置，以提供隨機的裝置資料予驅動程式。</p> <p>由於該模擬裝置是在裝置層級上運作，因此很容易移植到其它平台，可用來測試基於Linux核心的各種USB驅動程式，以及其它作業系統，或者是專注於分析USB視訊攝影機驅動程式。</p> <p>研究人員透過USBFuzz找到了20個既有的USB驅動程式漏洞，以及26個新漏洞，這些新漏洞有16個存在於Linux子系統上，1個在FreeBSD，3個在macOS，4個在Windows 8與Windows 10，還有1個在Linux USB主機控制驅動程式中，另一個在USB視訊攝影機驅動程式中。與Linux有關的漏洞中，研究人員已修補了當中的11個，取得了10個漏洞編號。</p> <p>Peng與Payer認為，現有的USB模糊測試器若不是效率太低，就是無法移植，而且只能探測驅動程式的功能，而USBFuzz則能支援廣泛的模糊測試，或是聚焦於特定裝置的驅動程式上。</p> <p>其實這兩名研究人員原本計畫要在今年8月舉行的Usenix安全研討會（Usenix Security Symposium）上發表該研究成果，只是ZDNeT率先<a href="https://www.zdnet.com/article/new-fuzzing-tool-finds-26-usb-bugs-in-linux-windows-macos-and-freebsd/" target="_blank">將它曝光</a>。Payer已於網站上公布了研究內容，並準備將USBFuzz透過GitHub開源，不過預計的開源網址尚無任何內容。</p> </div></div></div>
2020/5/29 10:55作者陳曉莉https://www.ithome.com.tw/news/137929
eBay私自掃瞄網站訪客電腦的遠端存取傳輸埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上eBay購物的民眾要小心了，安全研究人員發現，eBay網站會對上門的訪客在未告知情況下，以程式掃瞄電腦的遠端存取傳輸埠。</p> <p>傳輸埠掃瞄是滲透測試人員和駭客常見行為，他們以工具掃瞄連向網際網路的機器，以了解機器是否有應用或服務聽取網路，通常結果是攻擊行動。但反過來說，若一個網站掃瞄訪客電腦傳輸埠，往往是為了獲知電腦上跑什麼軟體，例如遊戲平台Steam使用port 27036，因此如果這個傳輸埠開啟，大概就可推估用戶上網時同時在玩Steam。</p> <p>安全研究人員<a href="https://nullsweep.com/why-is-this-website-port-scanning-me/" target="_blank">Charles Belmer</a>利用一套市售偵測傳輸埠掃瞄行為的軟體，在eBay進行測試，結果發現有14個傳輸埠成為掃瞄目標。其中包括5900~5903 VNC (Virtual Network Computing) port、3389 Windows Remote Desktop (RDP)、5931 Ammy Admin Remote Desktop、5950 WinWNC等，許多都是作為遠端存取或遠端支援連線之用。</p> <p>研究人員發現，eBay網站上一支腳本程式嘗試對這些傳輸埠建立WebSocket連線，這可讓網站傳送資訊給用戶端瀏覽器，但不需使用者動作。他研判eBay透過這支腳本程式以了解用戶本機網路上跑些什麼程式，但這個過程只在Windows PC上發生，並不掃瞄Linux電腦。</p> <p>另一研究人員<a href="https://twitter.com/JackRhysider/status/1264415922741116929" target="_blank">Jack Rhysider</a>也發現eBay網站繞過防火牆，對其筆電進行傳輸埠掃瞄。</p> <p>eBay掃瞄用戶電腦目的可能是為了發送廣告、辨識瀏覽器指紋或詐欺偵測，但Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/ebay-port-scans-visitors-computers-for-remote-access-programs/" target="_blank">指出</a>，eBay作為一個電商網站，最有可能是想檢查用戶電腦是否被駭而在eBay上詐欺購買，而不是太邪惡的事。eBay隨後也發表了行禮如儀的聲明，表示他們視客戶隱私和安全為第一要務，致力創造安全及可信賴的網站和服務。</p> <p>但Belmer指出，不管eBay的目的為何，掃瞄傳輸埠相當危險，也可能落入歹徒之手帶來不良後果。他建議消費者安裝能封鎖掃瞄傳輸埠的外掛。此外，Tor及Opera也會預設封鎖此類掃瞄行為。</p> </div></div></div>
2020/5/27 15:35作者林妍溱https://www.ithome.com.tw/news/137876
GitLab紅隊向在家工作的員工發動釣魚攻擊測試，五分之一的人被攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab為了解自家員工對於釣魚攻擊的敏感程度，於是由紅隊向在家工作的員工，發動<a href="https://gitlab.com/gitlab-com/gl-security/gl-redteam/red-team-tech-notes/-/tree/master/RT-011%20-%20Phishing%20Campaign">釣魚攻擊測試</a>，但結果不甚理想，有五分之一的員工成功被騙走GitLab.com登入資料，而且只有6人向安全團隊回報，因此未來安全團隊除了會加強與其他成員溝通之外，也會每季舉辦釣魚測試。</p> <p>網路釣魚是透過偽造的登入頁面，收集身份驗證登入資料的攻擊，GitLab提到，這個測試的目的，是要針對GitLab團隊成員進行針對性的網路釣魚，目標是要獲得GitLab.com憑證。在這次的釣魚攻擊演練中，紅隊利用域名gitlab.company，並且使用GSuite寄送釣魚郵件，而域名和GSuite服務的設定，則使用數位簽章DKIM以及合法的SSL憑證等最佳方法配置，這使得無論是自動釣魚網站偵測還是人工檢查，都難以發現其可疑之處，而任何攻擊者都能以非常低的成本，建置這種看起來合法的基礎架構。</p> <p>練習用的網路釣魚框架，紅隊選用開源的GoPhish專案，GoPhish是個可高度自定義的框架，內建追蹤和捕捉網路釣魚活動回應的功能，紅隊並將其託管在GCP基礎設施中的小型Linux系統中。</p> <p>這次紅隊隨機挑選了50個GitLab團隊成員，作為網路釣魚的目標，他們設計了一封電子郵件，內容是GitLab IT部門所提供的筆電升級方案，要求團隊成員點擊連結進行升級，連結是在gitlab.company網域上託管的偽造GitLab.com登入頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedTeamPhishEmailMay2020.png" style="width: 580px;" /></p> <p>在這次的演練測試中，紅隊設立的目標，只要能獲取電子郵件地址或是帳戶名稱就算釣魚成功，在50個網路釣魚電子郵件中，共有17個收件人點擊了電子郵件中的連結，而這17個人中有10個人，嘗試在偽造的網站中登入，輸入登入資料的成員，會被重新導向到GitLab手冊中。總共只有6個收件者，將電子郵件回報給安全團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedTeamPhishingGraphs.png" style="width: 580px;" /></p> <p>電子郵件中有許多線索，可作為團隊成員發現釣魚攻擊的線索，包括電子郵件地址<a href="mailto:[email protected]">[email protected]</a>並不在合法的gitlab.com網域中，而且郵件內容所提供的筆電更新，是比大多數使用者所擁有筆電還舊的型號。紅隊提到，使用相似的域名，是針對性網路釣魚攻擊常用的技術，而且信中微小的事實錯誤，通常是非法來源的指標，而且信中沒有提供第二個聯絡方法，像是Slack或公司電話等輔助通信方法，另外，使用者也可以從電子郵件標頭細節，查看更多的線索。</p> <p>紅隊除了建議團隊成員，多瀏覽GitLab手冊中網路釣魚攻擊的章節之外，由於過少的成員向安全團隊回報釣魚攻擊，因此安全團隊會加強和團隊成員的溝通，每季也會對其他抽樣群體進行額外的釣魚演練。</p> </div></div></div>
2020/5/26 10:20作者李建興https://www.ithome.com.tw/news/137832
微軟2021年合併Windows 10 IoT Core及IoT Enterprise 版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周Build 2020<a href="https://news.microsoft.com/build-2020-book-of-news/" target="_blank">宣布</a>，將把Windows 10 IoT Core及Windows 10 IoT Enterprise兩個版本合併為一，預計2021年釋出第一版，同時也承諾新版本將更精簡，且增加執行Linux容器等新功能。</p> <p><a href="https://docs.microsoft.com/en-us/windows/iot-core/windows-iot-core" target="_blank">Windows IoT Core</a>跑在小型連網智慧裝置上，執行UWP App，除了Intel CU也支援ARM CPU。<a href="https://docs.microsoft.com/en-us/windows/iot-core/windows-iot-enterprise" target="_blank">Windows IoT Enterprise</a>則具有Windows 10完整功能，使IoT裝置也能具備企業管理及安全性。未來新合併的版本則以Windows 10 IoT Enterprise為名，並於今年內釋出給Insider測試開發人員，2021年釋出正式版。</p> <p>微軟並未說明合併的理由，只說明新的Windows 10 IoT Enterprise將新增多項功能及支援晶片種類。例如OS大小將縮減40%以便跑在小型裝置上，未來也可以OTA（over-the-air）更新，可透過Azure IoT Edge on Windows支援，以Windows跑Linux容器應用。</p> <p>現在僅（舊的）IoT Enterprise提供LTSC （Long-term Servicing Channel）及SAC （Semi-Annual Channel）版本。微軟承諾，下一個LTSC版本，將同時涵蓋IoT Core及（舊的）IoT Enterprise ，而新的Windows 10 IoT Enterprise的LTSC版本，也會在2021年釋出。</p> <p>此外，新的Windows 10 IoT Enterprise 除了現有Intel、AMD及Qualcomm處理器外，也將支援NXP的i.MX8處理器。現有夥伴如華碩及安富利（Avnet），也會支援NXP處理器上跑IoT Core。</p> </div></div></div>
2020/5/25 14:00作者林妍溱https://www.ithome.com.tw/news/137822
IBM欲裁員數千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報上周<a href="https://www.wsj.com/articles/ibm-announces-first-job-cuts-under-new-chief-executive-11590113061" target="_blank">報導</a>，IBM新任執行長Arvind Krishna將進行一波影響數千人的大規模裁員，而IBM也已證實此消息。</p> <p>IBM解釋，這是讓人力結構更適合公司新的策略方向，該公司今日處於高度競爭的市場，這項人力決策是因應長期的業務利益而執行。</p> <p>Krishna今年4月正式上任時<a href="https://www.ithome.com.tw/news/136793" target="_blank">宣示</a>，將以混合雲、AI為公司策略目標，將結合現有軟、硬體及服務資源，並推動Linux、Red Hat及容器打贏混合雲基礎架構戰。</p> <p>事實上裁員早在新CEO上任就開始。IBM告訴<a href="https://www.cnbc.com/2020/05/22/ibm-to-cut-jobs-for-first-time-under-new-ceo.html" target="_blank">CNBC</a>，2019第4季及2020年第1季公司就已經著手人事精簡，接下來還會有再採取「結構調整」以利成本撙節。同時因應武漢肺炎衝擊，IBM也會補貼這些受影響的員工相關醫療支出到2021年6月。此外，IBM也會推動員工再訓練及教育方案，以促使員工學習新的成長領域所需的技能，例如雲端運算及AI。</p> <p>截至2019年IBM員工總數超過35萬。</p> <p>IBM經常以組織活化理由裁員。例如去年有前員工<a href="https://www.ithome.com.tw/news/132214" target="_blank">指控</a>，IBM為了降低公司人力平均年齡及像Google等公司一樣「很潮、很酷」，而有計畫性裁減高齡員工再招募千禧世代，估計幾年內已裁了5到10萬人。</p> </div></div></div>
2020/5/25 11:00作者林妍溱https://www.ithome.com.tw/news/137817
駭客企圖開採已修補的Sophos防火牆漏洞來散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月底緊急<a href="https://www.ithome.com.tw/news/137239" target="_blank">修補</a>被開採的Sophos XG Firewall產品漏洞後，Sophos<a href="https://news.sophos.com/en-us/2020/05/21/asnarok2/" target="_blank">指出</a>，駭客在該公司釋出修補程式之後的幾個小時，就改變了攻擊策略，而且企圖透過同一個漏洞來散布勒索軟體，但已修補的系統將可逃過一劫。</p> <p>當初現身於Sophos XG Firewall中的漏洞，是個資料隱碼（SQL injection）遠端程式執行漏洞，將允許駭客竊取防火牆資料，包括防火牆的授權與序號，防火牆管理員及使用者的電子郵件帳號，防火牆用戶的姓名、使用者名稱與加密密碼，以及可使用該防火牆執行SSL VPN通訊的使用者帳號等。且這也是駭客最早的攻擊目的，企圖藉由該漏洞植入Asnarök木馬程式。</p> <p>Sophos除了關閉該漏洞之外，也移除了駭客所植入的惡意程式及腳本程式，且不必重新啟動防火牆。但駭客後來針對Sophos的修補執行了新一波的攻擊行動，且這次變本加厲的企圖於目標系統上部署勒索軟體。</p> <p>此次駭客利用美國中情局的EternalBlue與DoublePulsar攻擊程式，來滲透受害者網路，並嘗試部署Ragnarok勒索軟體，幸好Sophos原先的修補亦能有效地防範最新攻擊。不過，研究人員提醒，駭客不只使用較少見的Ragnarok勒索軟體，在攻擊行動中也罕見地利用Linux ELF，來散布惡意程式，</p> <p>Sophos XG Firewall的安裝預設值為自動更新，若曾變更該設定，則應儘速進行手動更新。</p> </div></div></div>
2020/5/22 16:05作者陳曉莉https://www.ithome.com.tw/news/137809
資安一周第94期：勒索軟體大肆攻擊關鍵基礎設施。商業電子郵件詐騙盯上國家投資基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0514-0520 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃特定目標攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">調查局證實，近期多起臺灣企業遭受勒索軟體攻擊事件是特定駭客組織發動</strong></h2> <p>自5月4日到5日，臺灣兩大石化公司與高科技製造廠接連受到網路攻擊，再加上時間點接近20日總統就職日，很難令人不禁聯想是目標性攻擊，但真是如此嗎？法務部調查局於15日對外說明處理狀況及駭客攻擊過程，他們表示，近期針對臺灣企業的勒索軟體攻擊事件，是由中國政府資助的駭客Winnti（或稱為APT 41）所為，而且還有10家企業也被鎖定，成為該組織下一波攻擊的目標。<a href="https://www.ithome.com.tw/news/137659"><strong>詳全文</strong></a></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/94-1-apt41-winnti-ransom.png" style="width: 400px;" /></strong></p> <p><strong>圖片來源：法務部調查局</strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃BEC詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">臺銀海外分行爆發商業電郵詐騙，金管會要求加強控管</strong></h2> <p>因武漢肺炎疫情蔓延，使得許多員工在家上班，而疏於防範歹徒的詐騙電子郵件。例如，臺灣銀行洛杉磯分行向金管會通報4月24日爆發的資安事件中，該分行行員收到往來客戶指示匯款轉帳的電子郵件，並未充分確認客戶的電子郵件信箱及匯款資料的正確性，便執行轉帳作業，導致遭到詐騙約45萬美元，相當於新臺幣1,350萬元。金管會在接獲通報後，也要求各銀行必須要落實相關的資安及內控要求。</p> <p>一名不具名資安顧問認為，電子郵件是企業連繫的重要管道，此事不應該以在家上班模糊事件焦點。他建議銀行可以師法國外，透過檢查電子郵件網域的作法（DMARC），來降低用戶面臨釣魚郵件受騙的機率。<a href="https://www.ithome.com.tw/news/137591"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃BEC詐騙</strong></h3> <h2><strong style="vertical-align: top;">挪威國家投資基金遭BEC詐騙，被盜走千萬美元</strong></h2> <p>駭客進行商業電子郵件詐騙的目標不只是一般企業，如今也盯上了國家投資基金。例如，挪威的國家投資基金Norfund於5月13日坦承，他們遭遇商業電子郵件詐騙，損失1千萬美元，而且是在駭客再度犯案時，才發現已經受騙。</p> <p>根據初步調查的結果顯示，駭客先是藉由Norfund外洩的資料，長期觀察該單位與柬埔寨一家小額信貸公司之間的郵件往來，來偽造文件與支付細節。等到時機成熟，駭客於3月16日誘導Norfund將1千萬美元匯入與該信貸公司同名的帳號，得手後隨即將錢轉移到墨西哥，後來駭客於4月30日故技重施，Norfund才察覺有異。<a href="https://www.ithome.com.tw/news/137660"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/94-2-Norfound-BEC.png" style="width: 400px;" /></p> <p>圖片來源：Norfund</p> <p> </p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體＃醫療產業</strong></h3> <h2><strong style="vertical-align: top;">美國大型醫療照護業者Magellan Health遭勒索軟體攻擊</strong></h2> <p>擅長使用勒索軟體發動攻擊的駭客，不僅大肆鎖定醫療產業下手，而且也打算一併竊取機密。美國有一家醫療照護業者Magellan Health就因此受害，他們於5月12日坦承遭到駭客入侵，駭客先是在4月6日假冒成客戶，透過釣魚郵件取得憑證，於11日展開勒索軟體攻擊，並且在加密檔案前，從該公司的伺服器上竊得機密資料。</p> <p>不過，該公司在去年下半就遭到網路攻擊，影響旗下3家子公司，與本次事件之間也有共通點，那就是駭客都是利用釣魚郵件做為入侵的管道。<strong><a href="https://www.ithome.com.tw/news/137604">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體＃金融產業</strong></span></h3> <h2><strong style="vertical-align: top;">自動櫃員機製造商迪堡多富受勒索軟體攻擊，表示沒有付贖金向駭客低頭</strong></h2> <p>近期駭客鎖定跨國大型企業，發動勒索軟體攻擊的情況，可說是相當頻繁。像是資安部落格Krebs on Security揭露，針對大型自動櫃員機製造商迪堡多富（Diebold Nixdorf）發動的勒索軟體攻擊事故，造成該公司部分營運受到影響，並指出發動攻擊的勒索軟體是ProLock。迪堡多富對於此事也做出回應，他們表示，於4月25日傍晚發現公司的網路異常，懷疑是遭到勒索軟體攻擊，隨即進行相關處理程序。該公司說，本起事件只有影響合作廠商的網路，沒有波及自動提款機與客戶網路。同時，他們也沒有依據駭客要求，支付贖金換回檔案。<a href="https://www.ithome.com.tw/news/137559"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體</strong></span></h3> <h2><strong style="vertical-align: top;">紐約知名法律事務所遭勒索軟體入侵，危及明星合約</strong></h2> <p>為演藝界服務的企業，也成為駭客下手的目標。根據娛樂新聞網站Variety報導，專門服務媒體及娛樂業的法律事務所Grubman Shire Meiselas & Sacks，疑似遭到勒索軟體攻擊，駭客宣稱握有756GB知名藝人資料，要脅法律事務所支付高額贖金，否則將公布藝人個資及合約等敏感資訊，後來，該法律事務所也證實遭到攻擊。</p> <p>資安公司Emsisoft則在暗網的論壇上發現其他事證，因為有人宣稱從這間法律事務所取得大量一線藝人資料，Emsisoft研判，張貼這則訊息的人，就是勒索軟體Sodinokibi（又稱REvil）背後的駭客組織。<strong><a href="https://www.ithome.com.tw/news/137584">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃硬體漏洞</strong></span></h3> <h2><strong style="vertical-align: top;">配備Thunderbolt埠的個人電腦含有無法修補的安全漏洞</strong></h2> <p>隨著Thunderbolt埠越來越普遍，這種介面存在的資安漏洞開始受到重視。荷蘭安荷芬理工大學（Eindhoven University of Technology）的研究人員揭露，Thunderbolt介面含有安全漏洞，只要駭客能實體接觸裝置5分鐘，就能讀取及複製裝置上的所有資料，他們將這一系列漏洞統稱為ThunderSpy。</p> <p>研究人員警告，Thunderspy不僅無法藉由軟體修補，還可能影響日後的USB 4與Thunderbolt 4，須重新設計晶片才能解決。<a href="https://www.ithome.com.tw/news/137570">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">華為工程師提出的Linux修補程式存在後門，華為急撇清關係</strong></h2> <p>許多IT大廠採用Linux，同時也回饋來強化Linux Kernel的情況，算是相當普遍，但近期有一項名為華為核心自我防護（HKSP）的專案，提供了一批Linux修補程式，被資安研究團隊Grsecurity發現當中大有問題，因為裡面存在完全欠缺安全防護意識的漏洞，能夠被輕易濫用，引發許多開發人員質疑，批評華為釋出有後門的修補程式，別有居心。</p> <p>華為表示，這些修補程式與該公司無關，也沒有應用在旗下的產品。提出這些修補程式的作者也感謝Grsecurity的披露，並移除有問題的程式碼，強調這是個人的作品。不過，Grsecurity指出，修補程式的作者身分，是華為公司等級最高的首席安全部門成員，即使華為強調與該專案無關，還是很難說服其他開發人員。<strong><a href="https://www.ithome.com.tw/news/137611">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/94-3-HKSP-Grsecurity.png" style="width: 400px;" /></p> <p>圖片來源：Grsecurity</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">新北市國民運動中心防疫表單遭到外洩</strong></h2> <p>新北市公有的運動中心的防疫資料，竟傳出公開在網路上的狀況，還能隨意任人更改。新北市體育處證實此事並表示，此起事件發生在5月13日上午10時36分，淡水運動中心的員工發現，疑似是駭客竄改表單存取權限，導致內容變成公開，他們接獲運動中心通報後，已經報警處理，並要求各運動中心檢查表單的設定是否出現異常。<a href="https://www.ithome.com.tw/news/137657">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/137530">黑帽與DEF CON會議改為線上舉行</a><br /> ●<a href="https://www.ithome.com.tw/news/137666">歐洲超級電腦被植入挖礦程式，數國研究機構遭殃</a><br /> ●<a href="https://www.ithome.com.tw/news/137665">華為禁令再擴大，禁止使用美國技術的半導體業者供貨</a><br /> ●<a href="https://www.ithome.com.tw/news/137576">美國德州司法單位系統遭植入勒索軟體</a></h3> </div></div></div>
2020/5/20 17:18作者周峻佑https://www.ithome.com.tw/news/137732
微軟開始在WSL 2環境中的Linux支援DirectX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在//build 2020大會上宣布，<a href="https://devblogs.microsoft.com/directx/directx-heart-linux/">適用於Linux的Windows子系統WSL 2（Windows Subsystem for Linux 2）開始支援GPU硬體加速</a>，簡單來說，微軟發布了一個虛擬GPU驅動程式，將虛擬化的GPU暴露給Windows主機上，在虛擬機器中執行的使用者模式應用程式，而這樣可以讓WSL 2環境中的Linux虛擬機器，能夠和Windows主機共享GPU，實現GPU硬體加速。</p> <p>WSL是一個可以在Windows上執行Linux應用程式的環境，因此當開發者要開發在雲中部署的Linux容器應用程式，則可以先在Windows上進行本地開發和測試，而為了要支援更廣泛的應用，現在微軟讓Linux應用程式和工具，也可以在WSL中獲得GPU加速。</p> <p>微軟在過去一段時間，發展了客戶端GPU虛擬化技術，而這項技術現在已經整合到了Windows顯示驅動程式模型（WDDM）中，所有WDDM v2.5以及更高版本的驅動程式，都原生支援GPU虛擬化。微軟提到，這項技術被稱為WDDM GPU半虛擬化（GPU Paravirtualization），已經是Windows基礎的一部分，被用在Windows Defender、Application Guard、Windows Sandbox和Hololens 2模擬器等使用案例，不過目前這項技術還僅限於Windows訪客使用，像是在Windows中執行的虛擬機器以及容器。</p> <p>將GPU加速帶入WSL 2，是透過WDDM將GPU半虛擬化擴展到Linux訪客，而這仰賴新的Linux核心驅動程式實作，該驅動程式利用半虛擬化協定將GPU暴露給用戶模式的Linux，GPU投射抽象遵循WDDM GPU抽象模型，並將針對該抽象所建構的API和驅動程式，移植到Linux環境中使用。</p> <p>Dxgkrnl是一個全新的Linux核心驅動程式，會將/dev/dxg裝置暴露給使用者模式Linux，微軟提到，當主機上有多個GPU，則所有GPU都會提供給Linux環境使用，在Linux環境中執行的應用程式，其對GPU存取權限和在Windows上的主機應用程式相同，Linux和Windows之間沒有資源分區，也沒有對Linux應用程式設下限制，資源共享是完全動態的，取決於當下哪個程式需要什麼資源。微軟強調，共享GPU的兩個Windows應用程式，和共享GPU的Linux和Windows應用程式沒有差別，當只有Linux應用程式需要GPU，那該應用程式將占用所有GPU資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-7.png" style="width: 580px;" /></p> <p>由於要在Linux投射相容WDDM的抽象，因此微軟便重新編譯圖形API DirectX，使其可以在WSL環境中的Linux上運作，微軟提到，這個是真正完整的D3D12 API，並非模擬或是重新實作，libd3d12.so是使用Windows上d3d12.dll相同的程式碼編譯而來，在不考慮虛擬化造成的影響，其提供與Windows相同等級的功能和效能。唯一例外是Present()，D3D12 API目前可用於螢幕外渲染和運算，但尚未支援Swapchain將畫素直接複製到螢幕上。</p> <p>除此之外，微軟還移植了機器學習API DirectML，現在DirectML可在WSL中的Linux上運作，因此開發者將可以在Linux執行高效能機器學習訓練和預測功能。DirectML建立在D3D12 API之上，提供最佳化的機器學習工作負載運算集合，為了簡化開發者使用DirectML的工作，微軟還發布整合DirectML後端的TensorFlow預覽套件，加速初學者上手。</p> <p>而且WSL也將會支援Nvidia CUDA加速功能，CUDA是跨平臺API，可以藉由Windows上的WDDM GPU抽象，或Linux上的Nvidia GPU抽象和GPU溝通，微軟和Nvidia合作建置Linux的CUDA版本，該版本針對/dev/dxg暴露的WDDM抽象，微軟提到，這是libcuda.so的完整功能版本，可以用來加速cuDNN、cuBLAS、TensorRT等CUDA-X函式庫。</p> <p>另外，WSL還支援Nvidia的Docker工具，讓原本在雲端中執行的容器化GPU工作負載，也可以搬到WSL上執行，微軟提到，他們不會在使用者電腦上預裝Nvidia Docker工具，而是跟目前一樣，讓用戶選擇安裝軟體套件包，只是新的軟體套件相容WSL並且提供硬體加速功能。</p> </div></div></div>
2020/5/20 16:05作者李建興https://www.ithome.com.tw/news/137729
Nvidia CEO揭GPU新戰略，更推出一系列整合GPU加速運算新產品，搶攻資料中心AI、HPC應用需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受武漢肺炎疫情衝擊的影響，每年3月在美國聖荷西舉辦的GTC技術大會，今年首度改為線上進行，Nvidia更將主題演講延到5月中以網路播送方式舉行。而Nvidia執行長黃仁勳更是直接在家裡開講，不只向網路收看的資料科學家、還有眾多AI開發者，發表一系列整合GPU加速運算新產品，以及新AI開發工具或應用框架，他會中更揭露該公司新的戰略方向，就是要以打造全程端到端的資料中心等級GPU運算平臺為目標，以便能在單一臺運算設備，能實現有如資料中心規模等級的運算性能（data center-scale computing）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-05-15%20%E4%B8%8A%E5%8D%886_14_14.png" style="width: 600px; height: 266px;" /></p> <p>一開場，黃仁勳便回顧過去25年來GPU加速運算的發展，從最早平行運算GPU晶片，CUDA運算核心軟體堆疊，系統架構發展到單一整合架構。但是真要說到，近幾年，促使加速運算在資料中心領域迅速受到重用的關鍵，他分析主要有兩大原因，一個是以大量資料餵送來提高準確率的新型演算法，或稱為機器學習演算法的出現，使得如何處理資料中心內部大量資料傳遞與資料運算處理，變得極為重要。而應用類型越來越龐大且複雜則是他提到的另一個原因，難以再像以前，單靠提高單臺伺服器本身的運算效能，就能應付處理各類型應用工作負載。</p> <p>因此，黃仁勳直言：「伺服器已不是資料中心的最小運算單元，資料中心本身已成為新的運算單元，」甚至他認為，下一個十年，具備有資料中心處理等級的運算設備，將會是一種常態，意味著，資料中心將成為數據運算的最基本單位。這也是Nvidia的新戰略方向，未來也要能夠提供全程端到端的資料中心等級的GPU運算平臺方案。</p> <p>由於越來越多企業資料中心走向軟體定義資料中心，許多開發者都將自己應用放在上面執行，為了要能涵蓋這些不同類型應用的執行，特別是AI應用，他認為，新一代資料中心等級的運算平臺，不只要有高效能運算處理能力，還要能夠涵蓋網路、儲存，甚至從上層應用到底層所有軟體堆疊優化都包含在內，藉此來達到最佳化的加速運算。這正是Nvidia去年決定買下Mellanox這家公司的原因，甚至不惜重砸69億美元，為的就是補足其在資料中心內部高速網路架構和資料處理這一塊拼圖。前不久，Nvidia更加碼買下另一家以Linux為基礎核心的網路OS軟體公司Cumulus，也是為了這個目的。</p> <p>在完成併購後，Mellano如今已成為Nvidia的網路部門，Nvidia今日也以Mellanox品牌推出新產品，包含一臺高速乙太網路交換器Spectrum 4000、新一代可程式SmartNIC平臺BlueField 2 等。</p> <p>而在AI加速運算方面，Nvidia發布新一代Ampere架構GPU產品Tesla A100，也是首款採用台積電7奈米製程打造的GPU晶片，內含540億顆電晶體。這代GPU提供了多達6,912個CUDA核心、外加432個Tensor Core的AI運算核心，並加入許多可用於AI運算加速與處理新技術，像是這代GPU就採用多實例GPU技術 (<span class="s1" style="font-kerning: none;">Multi-instance GPU），來提高在GPU上同時並行執行</span>AI運算任務的<span class="s1" style="font-kerning: none;">能力，另外，</span>對於稀疏矩陣格式運算也進行優化，可提供2倍執行加速，並支援TF 32、FP16、BFLOAT16等浮點格式，以及INT8與INT4資料類型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-05-15%20%E4%B8%8A%E5%8D%882_27_09.png" style="width: 600px; height: 228px;" /></p> <p>根據Nvidia內部測試數據顯示，當以Tesla A100加速卡進行AI模型訓練時，其運算效能比起前一代Volta架構V100高出20倍之多，達到312 TFLOPS（以單精度浮點運算為基準），另在執行AI推論表現亦優於V100，可提供1,248 TOPS的運算力。就連在HPC應用，對比前一代也有近2.5倍的提升，達到19.5 TFLOPS。另以Google自然語言模型BERT進行訓練與推論的話，A100則較V100分別高出6倍與7倍之多。</p> <p>基於這代GPU運算加速器產品，Nvidia還推出一臺整合8張Tesla A100 GPU加速卡組成的AI超級電腦系統DGX A100，效能是前一代DGX-2的兩倍，可達到5 PetaFLOPS，但只需用原來一半價格，大約臺幣600萬元就能買到，這樣一臺媲美AI資料中心算力級別的運算設備。目前已於全球出貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-05-15%20%E4%B8%8A%E5%8D%882_44_01.png" style="width: 600px; height: 263px;" /></p> <p>黃仁勳還介紹了邊緣AI運算用的新一代EGX融合加速器平臺EGX A100，同樣採用Ampere架構GPU，並整合Mellanox的martNIC網卡，一併放進該加速器平臺，能用於各種產業邊緣AI應用。除了可在該平臺上執行預設AI模型，該公司也提供了EGX參考AI應用框架，對應到不同產業，像是針對智慧城市提供Metropolis，醫療保健用的Clara，還有用於5G電信的Aero，以及對話式AI的Jarvis與機器人技術的Isaac等。 </p> <p>Nvidia公布首波採用HGX A100的業者名單，雲端廠商如AWS、GCP、Azure、阿里雲、百度雲、Oracle Cloud Infrastructure、騰訊雲等，系統商則有Cary、Dell、富士通、技嘉、HPE、聯想、Inspur等公司，將用它開發新一代運算平臺或設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-05-15%20%E4%B8%8A%E5%8D%886_38_06.png" style="width: 600px; height: 324px;" /></p> <p>Nvida這次也有不少相關的AI開發工具、軟體推出，例如，最新一個多樣態對話式AI服務的應用框架Jarvis就是其中一個，可讓開發者用於建立ASR 、NLU、TTS、A2F等AI推論模型，Nvida還展示以該技術搭配3D設計協作平臺Omniverse打造的一個3D聊天機器人Misty，有著水滴卡通造型的Misty，使用audio to face模型能模擬人<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">講話動態以及</span>嘴型，可以用自然地口吻與人交談和互動，或回答對方的提問。另一個推出的AI簡化和管理應用工具Merlin，則是可用於推薦系統優化。</p> </div></div></div>
2020/5/15 06:39作者余至浩https://www.ithome.com.tw/news/137625
Cloud周報第64期：AWS推出自動調整基礎設施的解決方案Trusted Advisor Explorer，來兼顧企…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/05/07～2020/05/13）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenStack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新版本 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全性 </span></strong></span> </p> <p><strong style="font-size: 22px;">OpenStack釋出第21個版本，Ironic可自動化調度裸機硬體</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Ussuri_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_OpenStack%202.JPG" style="width: 600px; height: 263px;" /></strong></p> <p>受武漢肺炎（COVID-19）疫情影響，OpenStack基金會原定於6月上旬在溫哥華舉辦的上半年度峰會，被迫取消，不過，該基金會仍按原計畫於5月13日釋出代號為Ussuri的第21個OpenStack版本。新版OpenStack由188個組織或企業，總計超過1千名開發者共同參與開發，並聚焦3大面向來改版。首先，在提升核心基礎設施層的穩定性方面，運算服務Nova新增了單元間伺服器冷遷移和大小調整的功能，而整合OpenStack與容器網路的網路服務Neutron子專案Kuryr，增加了對IPv6的支援，讓Neutron可以更易與現有容器網路框架整合，此外，裸機部署服務Ironic增加了自動化調度裸機硬體的功能。</p> <p>第二個面向是圍繞安全性和加密性功能的強化，負載平衡服務Octavia現支援傳輸層安全協定（TLS），企業可指定被集區（pool）和接聽程式（listener）接受的TLS加密名單，使負載平衡器強制執行安全上的合規性要求。最後一個面向則是強化新使用場景的支援力度，特別是針對AI應用場景，像是管理硬體加速器的專案Cyborg現與Nova整合，企業可採用Nova啟動伺服器實例，並由Cyborg管理GPU或FPGA加速器。<a href="https://www.openstack.org/software/ussuri/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本地端 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>IBM將推出新服務Satellite，把自家雲端服務搬進企業機房和邊緣</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_IBM%20Cloud%20Satellite_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IBM.JPG" style="width: 600px; height: 376px;" /></strong></span></p> <p>IBM於年度大會Think宣布，年底前將推出新服務IBM Cloud Satellite，讓企業把IBM Cloud雲端服務搬回內部資料中心使用，甚至是邊緣運算節點。為建立IBM Cloud服務搬回本地端所需的執行環境，還有讓本地端具與雲端環境一樣的管理方式，企業需先利用紅帽OpenShift打造相近於IBM Cloud的K8s環境，再部署一個中間層軟體，來複製一份IBM Cloud的管理介面至本地端，而這個中介軟體包含了3個元件。</p> <p>首先是配置工具Satellite Config，他提供企業一個應用程式的視圖，可配置和部署應用。其次是Satellite Mesh，他提供了聯合的微服務管理器Istio服務網格，可連接不同本地雲端服務執行環境的叢集，從而管理應用的政策、安全性和可見性。第三個Satellite Link則可供企業管理應用程式的網路條件，像是防火牆、稽核等，而每個本地環境也是通過Link與IBM Cloud連接。IBM還新增了一個管理單位Location，作為雲端服務搬遷至的環境之名稱，每個Location由一組Red Hat Enterprise Linux主機組成，提供執行應用和IBM雲服務實例所需的容量，企業則可選擇於既有的硬體架構上，或是IBM Cloud Pak System上打造新服務的Location。<a href=" https://www.ibm.com/cloud/satellite">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端地區 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐洲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟宣布3個雲端地區的建置計畫，擴大雲端基礎設施投資</strong></strong></p> <p>面對幾個月來，Azure出現了幾起容量限制的情況，微軟近日一口氣宣布3個雲端地區的建置計畫，分別是在義大利米蘭、紐西蘭和波蘭，也呼應其日前承諾保留一定雲端資源用量供企業使用的策略。目前微軟尚未於這三個國家設有雲端地區。微軟將於三個新雲端地區提供Azure服務，還有開放Office 365、Dynamics 365和Power Platform，不過，微軟未進一步揭露各新雲端地區的啟用時間。</p> <p>義大利和波蘭的雲端地區興建計畫另伴隨著微軟於當地的投資計畫，微軟預計於義大利投資15億美元，在波蘭投資10億美元，要來搶攻兩國政府機構和企業組織的數位轉型需求市場，甚至將建置雲端資料中心。微軟表示，新地區將使用戶可遵守資料落地權的規範，把資料儲存於境內。在新雲端地區的建置消息發布後，微軟全球雲端地區的布局達到61處，遍布25個國家。微軟於稍早第三季財報的會議上也表示，下個季度的雲端基礎設施支出預計將大幅增加。<a href=" https://news.microsoft.com/europe/2020/05/08/microsoft-announces-1-5-billion-investment-plan-to-accelerate-digital-transformation-in-italy-including-its-first-cloud-datacenter-region/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 電信業 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端管理平臺 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>搶攻5G與邊緣運算市場，IBM推出電信網路雲端管理平臺Telco Network Cloud Manager </strong></span></p> <p>IBM於Think 2020線上會議活動上，揭露下一階段戰略，將透過混合雲、多雲技術，搶進5G與邊緣運算市場，而去年併購的開源商軟巨頭紅帽，將成為其發展5G與邊緣方案的關鍵利器。IBM在會中推出了電信網路雲端管理平臺Telco Network Cloud Manager，這是一個網路功能虛擬化管理雲端方案，可以在幾分鐘內，自動化調度虛擬化或容器化的網路功能，同時可自動化管理網路功能，並在OpenShift平臺上執行。OpenShift原是一個容器調度和管理平臺，後來，紅帽將它帶到了邊緣端，把它打造成為一個邊緣運算平臺，這次IBM便將該平臺引進新的電信邊緣雲方案，讓電信營運商或CSP業者也可以透過它自動化管理邊緣端網路功能和服務，並且加快在邊緣的部署，來縮短服務推出時間。<a href=" https://newsroom.ibm.com/2020-05-05-IBM-and-Red-Hat-Launch-New-Edge-Computing-Solutions-for-the-5G-Era">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EC2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 費用調降 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS宣布新一波EC2降價調整消息，降幅最高達18%</strong></strong></p> <p>AWS日前宣布調降雲端服務EC2部分定價模式的價格，針對標準預留執行實例（RI）類型和承諾使用節省計畫（Savings Plans）做調整。這次降價的VM實例規格包含M5、C5、R5等，然而，價格調降幅度從1%到18%不等，取決於企業使用的雲端地區，還有購買服務的期長。以鄰近臺灣的東京雲端地區為例，1年期M5降幅為10%，C5為12%，R5則不變，而3年期M5降幅為14%，C5達16%，R5則為5%。M5、C5和R5實例規格中，以M5的降價幅度最大，1年期降幅以美西北加州16%的調幅最高，3年期則以德國法蘭克福18%的改變最大。新價格現已生效，所以購買EC2新RI或節省計畫的企業，將可感受到新的價格變化。AWS表示，此波降價所有雲端地區皆適用，但強調並非所有定價模式都適用，像是不含按需取用的實例類型和可轉換型式的預留執行實例（convertible reserve instance）。<a href=" https://aws.amazon.com/blogs/aws/ec2-price-reduction-for-ec2-instance-saving-plans-and-standard-reserved-instances/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端儲存服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dropbox </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距辦公 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>遠距辦公需求大增，Dropbox最新財報首出現盈餘</strong></span></strong></p> <p>Dropbox日前發布截至3月31日的今年度第一季財報，受疫情影響，雲端儲存需求提升，使Dropbox服務的用戶數也連日成長，營收達到4.55億美元，這是該公司自 2018年上市以來，首次出現季度盈餘。使用者利用Dropbox產品來實現遠距辦公，也反映於他們服務試用、購買和使用度的增加，像是企業方案Business和個人方案Plus，自3月中以來，試用人數分別成長了40%和25%。Dropbox表示，受武漢肺炎（COVID-19）疫情打擊更為嚴峻的地區，例如義大利、法國、德國和西班牙，基本用戶數在3月首兩周的升幅又更為明顯。現階段，Dropbox有1,460萬名付費用戶，較去年同期的1,320萬名，成長超過1成。<a href=" https://investors.dropbox.com/news-releases/news-release-details/dropbox-announces-fiscal-2020-first-quarter-results">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 成本優化 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS推出基礎設施成本優化解決方案，依企業需求和成本自動調度基礎設施</strong></span></strong></p> <p>AWS日前推出基礎設施成本優化的解決方案AWS Trusted Advisor Explorer，可主動地追蹤企業的雲端租用成本使用狀況，進而依據需求和成本自動調度基礎設施。這個工具還建立了一個資料湖，來匯整企業各類型資源的運作狀態，包含收集資源調度建議工具AWS Trusted Advisor的成本建議，還有收集用來管理大量資源AWS Resource Groups標籤編輯器的資料，並能進一步建立儀表板供企業檢視多方資料。<a href="https://aws.amazon.com/about-aws/whats-new/2020/05/introducing-aws-trusted-advisor-explorer/?nc1=h_ls">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫即服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NoSQL資料庫 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Google雲端現提供DataStax的Cassandra即服務</strong></span></p> <p>Google宣布DataStax的Cassandra即服務Astra，供企業在Google雲端市集中選用，將Astra用作資料庫即服務，建構網際網路應用程式。Cassandra最初是由臉書開發的分散式NoSQL資料庫系統，其橫向擴展架構具良好的可擴展性和效能，能夠支援擁有大量資料的應用程式。不過，其部署、管理和擴展工作都很複雜，所以Google雲端的Cassandra即服務Astra簡化了企業管理Cassandra資料庫的工作。Astra整合於Google雲端控制臺中，開發人員可在數分鐘內，於雲端啟動Cassandra叢集，將其用作資料庫即服務來建構應用程式，並不需管理Cassandra的運作。<a href="https://cloud.google.com/blog/products/databases/open-source-cassandra-now-managed-on-google-cloud">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資料搜尋 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 非結構化資料 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS正式推出企業認知搜尋引擎Amazon Kendra</strong></span></strong></p> <p>AWS正式推出可以理解結構化和非結構化資料的企業搜尋引擎Amazon Kendra，利用機器學習技術索引企業中，儲存在不同後端的結構化和非結構化資料，來回應各種領域的問題。且資料在傳輸過程都會以HTTPS加密，並利用AWS KMS對資料進行靜態加密。AWS提到，Amazon Kendra經過最佳化，因此可以理解IT、醫療保健和生命科學等各種專業領域的用語，使其能夠針對問題找到準確的答案，而且開發人員也可以利用專業資料來源，或是文件發布時間等標準，來調校搜尋結果的相關性。</p> <p>企業可以在AWS控制臺中，利用程式碼範例或是API，將Kendra搜尋部署到搜尋頁面、聊天應用程式和聊天機器人等應用程式中，就能夠啟動和執行Kendra語義搜尋。根據企業對Kendra預覽版提供的反饋，AWS除了改善索引編輯以及搜尋準確度之外，還加入了一些新功能，包含新增OneDrive、Salesforce和ServiceNow三種新的雲端連接器，還增加汽車、保健、法律和電信等8個新領域專業知識。<a href=" https://aws.amazon.com/tw/blogs/aws/reinventing-enterprise-search-amazon-kendra-is-now-generally-available/">（詳全文）</a></p> <p><strong>圖片來源／OpenStack、IBM、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Synergy市調：全球首季雲端基礎設施服務支出達290億美元，比去年同期成長37%</strong><a href=" https://www.srgresearch.com/articles/covid-19-fails-dent-aggressive-growth-cloud-spending-half-q1-market-belongs-amazon-microsoft">（詳全文）</a></p> <p><strong>2. 微軟推新版Azure VMware Solution，網路層採用NSX-T供企業建立Azure私雲</strong><a href=" https://azure.microsoft.com/en-us/updates/new-azure-vmware-solution-is-now-in-preview/">（詳全文）</a></p> <p><strong>3. 甲骨文宣布將啟用南韓第二個雲端地區，且今年整體雲端地區規模預計達36個</strong><a href=" https://blogs.oracle.com/cloud-infrastructure/oracle-opens-a-second-south-korea-cloud-region ">（詳全文）</a></p> <p><strong>4. IBM近日發表容器環境軟體的市集Red Hat Marketplace，可提供企業於此搜尋、購買、快速部署和管理獲認證的軟體，現為技術預覽版</strong><a href=" https://www-01.ibm.com/common/ssi/cgi-bin/ssialias?infotype=AN&subtype=CA&htmlfid=897/ENUS220-120&appname=lenovous&language=en">（詳全文）</a></p> <p><strong>5. AWS宣布調降IoT裝置管理服務AWS IoT Device Management的任務費用至少9成</strong><a href=" https://aws.amazon.com/blogs/aws/new-price-reduction-for-aws-iot-jobs-globally-available/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年5月</strong></p> </div></div></div>
2020/5/14 14:18作者黃郁芸https://www.ithome.com.tw/news/137609
經常在Chrome上開啟一堆分頁？Chrome新增分頁群組功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://www.blog.google/products/chrome/manage-tabs-with-google-chrome/" target="_blank">宣布</a>，已於Chrome Beta中新增了分頁群組功能，讓使用者能夠根據主題來整理雜亂的分頁，並打算在下周釋出的新版Chrome中部署。</p> <p>此一群組分頁功能很直覺，可替特定的分頁設定名稱與顏色，並把同類的分頁納入同一個名稱，或是直接移動分頁讓它併入某個群組。使用者不僅能以文字設定分頁群組的名稱，也可直接以表情符號作為群組名稱。倘若直接關閉Chrome，重新開啟時這些群組仍依然會存在。</p> <p>Chrome的使用者經驗工程師Edward Jung表示，內部測試及使用者研究發現，有些人喜歡根據主題來整理分頁，例如在同時執行多個專案，或是搜尋不同的購物及評論網站時，還有些人是基於任務的急迫性來替分頁分類，像是「儘快處理」（ASAP）或「等等再處理」（Later）。</p> <p>現在該功能已存在於Chrome Beta中，支援Chrome OS、Windows、Mac及Linux等桌面作業系統，為了確保Chrome的效能及穩定性，Google打算在下周釋出的Chrome穩定版中慢慢部署此一功能。</p> </div></div></div>
2020/5/14 14:20作者陳曉莉https://www.ithome.com.tw/news/137610
爆Linux修補專案有後門，華為否認與之有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日的一批疑似來自華為的Linux修補專案引爆後門程式疑慮，華為對此出面駁斥和該專案的關聯性。</p> <p>近日一個名為<a href="https://www.openwall.com/lists/kernel-hardening/2020/05/10/3" target="_blank">HKSP</a>（Huawei Kernel Self Protection）專案上傳到開發社群Openwall網站上，宣稱專案旨在強化Linux核心的安全性。原作者<a href="https://github.com/cloudsec/hksp" target="_blank">說明</a>，這專案是他工作之餘的研究結果，和華為公司無關。他並表示，由於個人精力有限，無法面面俱到，因此警告本專案欠缺品質控管，像是檢查或測試，也說只是一個示範程式。</p> <p>不過由於名稱中有華為字樣，外界仍相信這個專案來自華為。事實上，Google、微軟或Amazon、IBM等公司因為大量使用Linux具有足夠開發資源，回饋Linux核心強化的專案也所在多有，華為上傳程式碼也無可厚非。然而華為在網路設備上的爭議猶存，使這個專案格外受關注。</p> <p>一家安全廠商GRsecurity<a href="https://grsecurity.net/huawei_hksp_introduces_trivially_exploitable_vulnerability" target="_blank">發現</a>HKSP中有漏洞，該公司認為該漏洞出於完全欠缺安全防護意識的編寫，而「可輕易開採」（trivially exploitable）。這引發其他開發人員質疑華為釋出了一個有後門的修補程式。</p> <p>周一華為出面否認。華為<a href="https://www.huawei.com/en/psirt/security-notices/2020/huawei-sn-20200511-01-hksp-en" target="_blank">指出</a>，經過調查顯示，這批修補程式並非華為提供的官方版本，而是由一位開發人員上傳Openwall的示範程式碼，也未用於所有華為裝置中。</p> <p>華為重申對產品程式碼有嚴格品質要求，對官方版本釋出開源社群也有嚴厲的管理和流程要求。</p> <p>原作者也在引發爭議後感謝GRSecurity點出「大量臭蟲」，並移除有問題的程式碼。此外他也移除和華為有關的字串，強調因為是個人作品、不是華為官方專案之故。</p> <p>華為聯絡GRSecurity，希望後者能修正描述。不過GRsecurity說，依據公開資訊，原作者乃華為員工，且雖然他撇清程式碼和華為的關係，但他們從私下管道得知，該員工還是華為公司等級最高的首席安全部門成員。這家廠商並認為原作者在Github repo偷偷摸摸的修改啟人疑竇，因此決定僅以更新方式說明，並未刪除其說法。</p> </div></div></div>
2020/5/14 14:45作者林妍溱https://www.ithome.com.tw/news/137611
資安一周第93期：勒索軟體攻擊、資料外洩、漏洞濫用攻擊事件頻傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0507-0513 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">駭客論壇驚見兜售67萬筆饗食天堂3年前顧客帳密</strong></h2> <p>舊的帳號和密碼個資，仍可能在地下論壇流竄。在5月9日，駭客論壇Raidsforum出現兜售67萬筆臺灣民眾個資的貼文，至少有姓名、帳號、密碼、生日，以及地址等欄位。據資安專家表示，這批外洩個資是臺灣知名連鎖餐飲業者饗食天堂在2011年到2016年的會員資訊。</p> <p>我們也在5月11日上午向饗食天堂母公司饗賓餐飲查證，他們當時才得知3年前疑遭盜的舊資料重新被上網兜售的消息，並表示這批舊帳密早在2017年隨網站改版，已全數移除而失效。</p> <p>不過，饗賓餐飲仍發出公告通知顧客自行更換密碼，後續也計畫採取強制重設密碼等對策，來降低風險。<a href="https://www.ithome.com.tw/news/137532"><strong>詳全文</strong></a></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/93-1.png" style="width: 400px;" /></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">11家企業用戶資料淪落暗網，近半數來自印尼最大電商</strong></h2> <p>企業個資遭到駭客竊取，很有可能直到資料於暗網出現，才發覺事態嚴重。根據BleepingComputer與ZDNet報導，名為Shiny Hunters的駭客集團，近來在暗網銷售11家遭駭企業的用戶資料，大約涉及1.6億名使用者。目前僅有照片列印服務ChatBooks坦承遭到入侵。</p> <p>其中，最大宗的是印尼最大的電子商務網站Tokopedia，共洩露9,100萬筆用戶資料，叫價5千美元。此外，駭客宣稱取得GitHub帳號個資，展示微軟私有的原始碼儲存庫，內含500GB產品原始碼，但該公司尚未證實此事。<a href="https://www.ithome.com.tw/news/137529"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體＃醫療產業</strong></h3> <h2><strong style="vertical-align: top;">歐洲最大民營醫院營運商遭勒索軟體攻擊</strong></h2> <p>醫療產業遭到勒索軟體攻擊的情況，不光是醫院與政府機構受害，提供營運管理的業者也是駭客攻擊的目標。歐洲最大醫院運營商及透析設備經銷商的費森尤斯集團（Fresenius Group），電腦系統遭到勒索軟體攻擊，被迫在某些系統無法運作下照護病患。根據資安部落格Krebs On Security的報導，此起事件影響該公司全球各地分公司電腦，禍首是今年初開始崛起，並且鎖定大型企業發動攻擊的勒索軟體Snake。</p> <p>費森尤斯集團也證實此事，並表示公司某些功能已受限，IT人員正在盡力解決。<a href="https://www.ithome.com.tw/news/137515"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體</strong></h3> <h2><strong style="vertical-align: top;">勒索軟體LockBit在3小時內加密25臺伺服器與225個工作站</strong></h2> <p>針對特定目標下手的勒索軟體攻擊，在短時間就能造成嚴重的傷害。根據Bleeping Computer的報導，駭客成功入侵企業並利用勒索軟體LockBit，於3個小時內加密25臺伺服器與225個工作站。而針對這起攻擊事件，McAfee與Northwave聯手，公布LockBit的攻擊軌跡，要企業加以留意。</p> <p>研究人員表示，這款勒索軟體的散播方式，是駭客暴力破解過時的VPN服務，進而取得管理員權限，以遠端存取伺服器（RAS）來派送勒索軟體。<strong><a href="https://www.ithome.com.tw/news/137420">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">半導體封測廠力成湖口廠區遭勒索軟體攻擊</strong></h2> <p>臺灣多家大型公司接連傳出受到網路攻擊，封測大廠力成也傳出於5月4日下午遭到勒索軟體攻擊，引發自由時報與ETtoday新聞網站報導，6日上午8時，力成在證交所發布即時重大訊息證實他們遭受攻擊，事件發生於湖口廠區，造成生產作業短暫停工，受影響的伺服器已逐漸復原，機密資料沒有遭到波及。<a href="https://www.ithome.com.tw/news/137447"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/93-2.png" style="width: 400px;" /></p> <p>圖片來源：臺灣證券交易所公開資訊觀測站</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞濫用</strong></span></h3> <h2><strong style="vertical-align: top;">已於4月修補的Oracle WebLogic Server漏洞遭駭客濫用</strong></h2> <p>軟體廠商剛推出修補軟體不久，駭客鎖定尚未安裝更新的電腦下手的情況，時有所聞。例如，甲骨文在4月13日發布每季重大安全更新後，30日便提出警告，表示他們已接獲消息，指出駭客已著手濫用4月所修補的許多安全漏洞，尤其是CVE-2020-2883，危及不同版本的WebLogic Server，這項漏洞出現在處理T3協定上，駭客可利用一個特製的T3訊息，觸發不可靠資料的反序列化，而得以在無需通過身分認證的情況下，遠端執行任意程式。<strong><a href="https://www.ithome.com.tw/news/137403">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">SAP正在修補多項雲端產品漏洞，3萬多家企業用戶受影響</strong></h2> <p>因多家公司的產品整併而無法及時更新原始碼，也導致漏洞接連出現。像是德國軟體業者SAP，表示旗下7項雲端產品有安全漏洞，共有9%的客戶受影響，該公司也啟動修補機制，並通知受影響的用戶，預定在第二季完成大部分作業。</p> <p>這批含有安全漏洞產品中，有多項是近年購入。彭博社指出，為快速轉型，向雲端發展，SAP大量併購產品，在無法及時更新這些產品原始碼的狀況下，產生了漏洞。</p> <p>SAP強調，他們並非因資安事件才啟動調查，而經過評估後，沒有任何客戶資料因這些漏洞受害。<a href="https://www.ithome.com.tw/news/137432">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃附加元件漏洞</strong></span></h3> <h2><strong style="vertical-align: top;">駭客利用外掛漏洞，鎖定近百萬個WordPress網站發動大規模攻擊</strong></h2> <p>名不見經傳的老舊外掛程式，也成為駭客攻擊WordPress網站的目標。根據專門提供WordPress網站安全服務的Wordfence表示，他們在最近一個月看到相同的駭客組織，針對約90萬個 WordPress網站發動攻擊，企圖引導使用者到惡意網站。這起攻擊行動中，駭客主要濫用的是跨網站指令碼（Cross-Site Scripting，XSS）漏洞，鎖定不甚知名的WordPress外掛程式，像是Easy2Map、Blog Designer，以及WP GDPR Compliance等。</p> <p>研究人員在4月28日發現大規模攻擊，那幾天的攻擊量是平常的30倍，光是在5月3日，駭客便針對超過50萬個網站，展開逾2千萬次的攻擊。近一個月來，超過90萬個網站遭到來自2.4萬個IP位址的攻擊。<strong><a href="https://www.ithome.com.tw/news/137432">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/93-3.png" style="width: 400px;" /></p> <p>圖片來源：WordPress</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃間諜軟體</strong></span></h3> <h2><strong style="vertical-align: top;">北韓駭客把間諜軟體暗藏在macOS的雙因素認證應用程式</strong></h2> <p>原本鎖定特定作業系統電腦的惡意程式，之後駭客可能不只移植到其他平臺，還改變了散布的方法。例如，資安業者Malwarebytes揭露，北韓駭客集團Lazarus（亦稱為Hidden Cobra、APT 38）又有新的行動，他們改造原本鎖定Windows和Linux平臺的遠端存取木馬程式Dacls，轉而瞄準macOS電腦，並藉由MinaOTP密碼產生器來進行散布。</p> <p>這個木馬程式家族Dacls，最早是在去年底由奇虎360網路安全實驗室發現，特點是與C&C中繼站協定採用雙層加密，而且採模組化設計，並支援中繼站動態指令更新功能。<a href="https://www.ithome.com.tw/news/137491">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.google.com/url?client=internal-element-cse&cx=007216589292210379395:mfcapxjffo4&q=https://www.ithome.com.tw/news/137412">GoDaddy網站代管客戶帳號遭不明人士入侵</a><br /> ●<a href="https://www.ithome.com.tw/news/137425">澳洲物流業者Toll Group今年二度遭勒索軟體攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/137517">中國駭客集團在亞太地區展開新一波間諜行動</a><br /> ●<a href="https://www.ithome.com.tw/news/137533">三星手機修補2014年起即存在的RCE漏洞</a></h3> </div></div></div>
2020/5/13 15:57作者周峻佑https://www.ithome.com.tw/news/137595
AWS推出採用自製ARM晶片的EC2執行個體M6g
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-m6g-ec2-instances-powered-by-arm-based-aws-graviton2/" target="_blank">EC2服務加入新的成員M6g</a>，這是使用AWS客製化ARM晶片Graviton2的執行個體，適合用於應用程式伺服器、遊戲伺服器、中型資料庫、快取佇列和網頁層等。AWS提到，比起部署在x86-64基礎架構上的開源應用堆疊，使用Graviton2的執行個體能使性價比增加40%。</p> <p>Graviton 2是AWS使用64位元Arm Neoverse N1核心設計的ARM晶片，提供256位元DRAM加密，並且支援雙SIMD單元，與前一代Graviton相比，效能提升7倍，浮點效能提升1倍，除了擁有更大的記憶體通道，每核心快取的容量也增加1倍，而且Graviton 2支援int8和fp16指令，可以加速機器學習預測工作負載。</p> <p>採用Graviton 2推出的M6g執行個體有8種規格，分別有1、2、4、8、16、32、48和64個vCPU，也有裸機執行個體可供選擇，最高支援256 GiB記憶體、25 Gbps網路頻寬以及19 Gbps EBS頻寬。</p> <p>AWS對Arm架構執行個體提供了不少主要的Linux發布版，包括Amazon Linux 2、Ubuntu、Debian和FreeBSD等，而各程式語言Java、NodeJS、Python和Go的Runtime也提供ARM版本，容器服務Docker、Amazon ECS和Amazon Elastic Kubernetes等，與開發工具Jenkins、GitLab和Chef等廣泛的軟體生態系，皆有針對ARM的支援。</p> <p>使用者可以利用yum、npm與pip等機制來安裝Arm版本套件，除了部分應用程式需要重新編譯之外，諸如Java、NodeJS、Python與Go這類基於直譯技術的語言，絕大多數都可以不需要修改原有程式碼，就能在M6g執行個體上執行。</p> <p>AWS在去年的時候釋出M6g預覽，經過廣泛的資料搜集，AWS提出了一些具體實測資料，M6g與C5執行個體相比，在執行複雜系統除錯工具Honeycomb上可以減少30％的執行個體用量， NoSQL資料庫KeyDB的效能則提升65％，成本降低20％。</p> <p>將M6g與同等級的M5執行個體相比，使用M6g可讓資料庫管理系統InterSystems的效能提升28％、成本降低20％；使用類似大小的M6g和M5執行個體執行企業資料平臺Treasure Data，M6g的效能增加30％，而成本降低20％。在AWS內部的ElastiCache團隊，經測試也發現以M6g執行個體來執行Redis，可多交付達50％的吞吐量。</p> <p>目前M6g已經在美東、美西、歐洲和亞太各區推出，而除了M6g，接下來AWS接下來還會推出專為計算最佳化的C6g，以及記憶體最佳化的R6g執行個體。</p> </div></div></div>
2020/5/13 10:30作者李建興https://www.ithome.com.tw/news/137571
採用Thunderbolt埠的個人電腦含有無法修補的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭安荷芬理工大學（Eindhoven University of Technology）的研究人員近日<a href="https://thunderspy.io/" target="_blank">揭露</a>，由英特爾（Intel）與蘋果共同開發的Thunderbolt介面含有安全漏洞，只要給駭客實體接觸裝置5分鐘的時間，就能讀取及複製裝置上的所有資料，影響Thunderbolt 1、2、3，並波及自2011到2020年間、支援Thunderbolt連結埠的個人電腦。此外，研究人員指出，其實英特爾早就知道相關漏洞的存在，但遲遲未修補，推斷相關漏洞無法透過軟體修補，只能藉由變更晶片設計解決。</p> <p>Thunderbolt為一硬體連結介面，可用來連結其它周邊設備或進行充電，目前已釋出3個版本，是許多個人電腦的連結規格之一。</p> <p>研究人員在Thunderbolt上發現了7個安全漏洞，包括不夠充份的韌體驗證、脆弱的裝置認證、可使用未經驗證的裝置元資料、利用向後相容性執行降級攻擊、採用未經認證的控制器配置、SPI快閃接口缺陷，以及在Boot Camp上缺乏Thunderbolt安全機制，並將它們統稱為Thunderspy。</p> <p>Thunderspy漏洞可用來執行9種攻擊場景，而研究人員的作法則是打造一個任意的Thunderbolt裝置身分，克隆經使用者認證的Thunderbolt裝置，最終取得PCIe連線並執行直接記憶體存取（Direct Memory Access，DMA）攻擊。</p> <p>相關攻擊完全不需要使用者的互動，也不受以下情境的限制，包括：電腦是否處於休眠的鎖住狀態、裝置已設定Secure Boot、採用強大的作業系統或BIOS、啟用硬碟加密，只要讓駭客能夠實際存取Thunderbolt裝置，再加上一支螺絲起子與客製化的Thunderbolt硬體，5分鐘就能攻陷電腦。</p> <p>所有自2011年到2020年間出貨的、支援Thunderbolt的個人電腦都受到Thunderspy漏洞的影響，包括Windows、Linux與macOS。2019年之後出貨的某些系統，因為具備Kernel DMA Protection功能，受到的衝擊相對輕微，但無法完全倖免於難，仍舊面臨類似邪惡USB（BadUSB）的攻擊風險。</p> <p>研究人員警告，Thunderspy不僅無法藉由軟體修補，還可能影響尚未出爐的USB 4與Thunderbolt 4，得重新設計晶片才能解決。</p> <p>英特爾也在同一天發表了<a href="https://blogs.intel.com/technology/2020/05/more-information-on-thunderspy/#gs.5snktw" target="_blank">官方聲明</a>，表示他們是在今年2月接獲研究人員的通知，但相關漏洞並非是新的，而且作業系統業者已在去年修補。英特爾強調，研究人員使用客製化周邊設備所展示的攻擊行動，並未影響那些已修補的系統。</p> <p>英特爾指的是，包括Windows、Linux與macOS都在去年導入了DMA保護，而研究人員以客製化設備所示範的攻擊行動，並不能攻陷這些系統。</p> <p>然而，研究人員則說，就算作業系統嵌入了DMA保護，但該機制需要硬體與UEFI（BIOS）的支援，因此只有在2019年之後的系統才可能具備該功能，而其它系統則會永遠曝露在Thunderspy漏洞風險中。</p> <p>此外，研究人員表示，除了DMA保護之外，英特爾並未提供任何可解決Thunderspy漏洞的緩解措施，也未分配相關的漏洞編號，或公布任何的安全公告，可推測這些漏洞其實是無法藉由軟體修補，而是需要變更晶片設計。</p> <p>事實上，英特爾只建議所有個人電腦用戶，都應該遵循標準的安全作法，像是只使用可靠的周邊裝置，以及避免讓未經授權的人存取電腦。</p> </div></div></div>
2020/5/12 16:10作者陳曉莉https://www.ithome.com.tw/news/137570
北韓駭客把間諜程式藏在macOS的雙因素認證程式中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Malwarebytes近日揭露，北韓駭客集團 Lazarus Group（或稱Hidden Cobra與APT 38）改造了原本鎖定Windows及Linux平臺的Dacls遠端存取木馬程式（RAT），轉而瞄準macOS用戶，並藉由支援macOS的雙因素認證程式MinaOTP進行散布，而MinaOTP主要的用戶為中文人士。</p> <p>其實是奇虎360的網路安全研究實驗室（Qihoo 360 NetLab）在去年底率先<a href="https://blog.netlab.360.com/dacls-the-dual-platform-rat-en/" target="_blank">發現Dacls</a>，指出該木馬程式的命令暨控制伺服器（C&C）協定採用了TLS與RC4雙層加密，配置檔案也使用AES加密機制，還支援C&C指令的動態更新，而且它是個模組化的木馬，Windows版可自遠端動態載入模組，Linux版的模組則直接內建在程式中。</p> <p>奇虎360去年就認為Dacls是由 Lazarus Group所開發，但當時只有鎖定Windows及Linux的版本，Malwarebytes則是在今年看到macOS版的Dacls，而且寄生在雙因素認證程式MinaOTP上。</p> <p><a href="https://blog.malwarebytes.com/threat-analysis/2020/05/new-mac-variant-of-lazarus-dacls-rat-distributed-via-trojanized-2fa-app/" target="_blank">Malwarebytes的分析顯示</a>，當macOS用戶執行了MinaOTP之後，它會透過LaunchDaemons或LaunchAgents建立一個屬性列表文件（plist），指定在開機後必須執行的程式，以讓它長駐在電腦上，而前者會以登入用戶的身分執行程式，後者則是以管理員身分執行程式。</p> <p>此外，macOS版與Linux版的Dacls架構較為相近，主要的不同在於Linux版載入了6個外掛程式，而macOS版則有7個，它們分別是用來接受與執行命令的CMD plugin，讀取、刪除、下載或搜尋目錄檔案的File Plugin，關閉、移除、取得程序ID或蒐集程序資訊的Process plugin，可用來檢查C&C所指定傳輸埠的Test plugin、作為傳輸代理伺服器的RP2P plugin，以及掃描網路或執行長期運作系統命令的Logsend plugin，以及以Socks4作為代理通訊埠的Socks plugin。</p> <p>Malwarebytes指出，他們相信macOS版的Dacls同樣來自Lazarus Group，該集團從2009年便開始執行各種網路間諜及犯罪行為，不僅是全球最幹練的駭客集團之一，也精通於替不同的平臺客製化惡意程式，新的發現顯示Lazarus Group依然積極發展可為之所用的惡意程式工具。</p> </div></div></div>
2020/5/8 11:45作者陳曉莉https://www.ithome.com.tw/news/137491
IBM將推出Cloud Satellite，把IBM Cloud雲端服務搬進企業機房內，甚至是邊緣節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM於本周年度大會Think宣布新雲端產品的消息，年底前將推出新服務Cloud Satellite，讓企業把IBM Cloud雲端服務搬回內部資料中心使用，甚至是邊緣運算節點。</p> <p>有別於利用網路與公有雲環境連線，使用雲端服務，這個新服務將可讓企業把雲端服務直接搬回本地端使用，且在斷網情況下，使用也不會受到限制。IBM雲端技術長Hillery Hunter表示，這是真正的分散式雲端。</p> <p>為建立IBM Cloud服務搬回本地端所需的執行環境，還有讓本地端具與雲端環境一樣的管理方式，企業需先利用紅帽OpenShift打造相近於IBM Cloud的K8s環境，再部署一個中間層軟體，來複製一份IBM Cloud的管理介面至本地端，這個中介軟體包含了3個元件。</p> <p>首先是配置工具Satellite Config，他提供企業一個應用程式的視圖，可配置和部署應用。其次是Satellite Mesh，他提供了聯合的微服務管理器Istio服務網格，可連接不同本地雲端服務執行環境的叢集，從而管理應用的政策、安全性和可見性。第三個Satellite Link則可供企業管理應用程式的網路條件，像是防火牆、稽核等，而每個本地的雲端服務執行環境也是通過Link與IBM Cloud連接。</p> <p>IBM更為新服務Satellite新增了一個管理單位，並將企業欲把雲端服務搬遷至的環境，視為一個Location。每個Location由一組Red Hat Enterprise Linux主機組成，提供執行應用和IBM雲服務實例所需的容量，企業可選擇於既有的硬體架構上，或是IBM Cloud Pak System上打造新服務的Location。</p> <p>同樣聚焦混合雲市場的需求，但不同於IBM去年推出的雲原生軟體產品組合Cloud Paks，Cloud Satellite並不是預先配置的PaaS產品，而是通過廣義的IaaS環境，延伸IBM雲，來提供各種IBM雲端服務的訪問權限，還包含IBM Cloud資料庫、IBM Cloud Continuous Delivery、AI服務等。</p> <p>且新服務支援邊緣節點，而邊緣運算正是IBM今年雲端戰略中，重要的一環。Cloud Satellite目前為技術預覽版，預計於今年底前正式上線。文⊙黃郁芸</p> </div></div></div>
2020/5/7 17:14作者黃郁芸https://www.ithome.com.tw/news/137467
AR‧VR月報第44期：雲端PDF文件也能加入AR文字註解，Adobe要讓線上PDF檔案與實體書本能共享同一內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>2020/04/08~05/08精選AR‧VR新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PDF檔案 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe展示雲端PDF文件AR新功能，要讓實體和數位檔案能共享同一虛擬內容 </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap10(1).jpg" style="width: 600px; height: 307px;" /></p> <p>Adobe最近正在<a href="https://theblog.adobe.com/new-adobe-project-bridges-physical-and-digital-documents-with-ar/">展開一項混合實境實驗專案計畫Dually Noted</a>，試圖將AR功能帶進雲端PDF儲存服務Adobe Document Cloud裡，讓以後實體和數位文件可以共享同一虛擬內容。這個專案是來自Adobe一名暑期實習生Jing Qian所發起，儘管目前還只是預覽階段，但如果成為正式專案，放進Acrobat Reader功能裡，將使得全球已安裝該軟體的10億臺桌上電腦和行動裝置都能使用。</p> <p>Adobe表示，這個AR文字註解功能，讓使用者能夠對PDF檔案加入虛擬文字註解，並對應到有相同內容的實體書本，Adobe以線上教學為例，當老師使用Adobe Document Cloud對PDF檔案加入AR文字註解的圖示，通過AR技術，學生<span data-offset-key="4u0kc-0-0"><span data-text="true">只要用手機對準實體書本，就能在上面看到先前老師在PDF檔案上註記那頁的內容</span></span>，學生也可以對書本有問題段落進行反饋，老師從線上PDF文件裡馬上就能看到學生提問並能直接給予回覆。</p> <p> </p> <p p=""><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">虛擬會議 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HTC </span></strong></span></p> <p><span style="font-size:22px;"><strong>VR遠距協作工具VIVE Sync公開測試版，未來將支援第三方VR頭戴設備 </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962-AR%E2%80%A7VR%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 338px;" /></p> <p>HTC於4月底推出VR遠距協作工具VIVE Sync的公開測試版，可供企業和居家辦公者在舉行虛擬會議、線上討論使用。該工具去年就已發布，但直到現在才釋出，可以讓企業和一般使用者在共享虛擬空間中進行互動與溝通。HTC表示，目前最多可支援30名參與者，每位參加者亦可建立虛擬的個人角色，並透過這個3D虛擬化身來與虛擬同事或客戶互動交流。VIVE Sync本身還支援Tobii眼球追蹤技術，以便於讓使用者與其他用戶進行更自然互動，就像是在會議室開會那樣。</p> <p>雖然，該VR工具一開始僅支援VIVE頭戴裝置產品系列，不過，該公司表示，其他主流VR設備，包括臉書Oculus Ri、Oculus Quest、微軟混合實境裝置和Valve Index頭戴設備等，之後將會支援，還會推出免VR頭戴裝置的版本，讓線上參加者能使用。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">VR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬鍵盤 </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>臉書展示VR虛擬打字系統PinchType，動動手指1分鐘能輸入12個單字</strong></span></strong></p> <p>臉書虛擬實境實驗室（Facebook Reality Labs）研究人員最近展示一個VR虛擬打字系統PinchType，能夠讓使用者更容易在VR介面中進行文字輸入或打字，提高使用者體驗。他們在VR環境中打造出一個英文輸入的標準QWERT Y虛擬鍵盤，每當使用者要輸入文字時，就可以開啟該鍵盤來打字，並運用手勢追蹤技術，讓鍵盤上每一組按鍵的字母，對應到左右手指，以不同顏色標記，接著再透過追蹤手指與手指之間的動作（例如用食指捏住姆指），從中選出相應的字母輸入。</p> <p>研究人員表示，透過這樣的方式，平均每分鐘可以輸入12個英文單字，雖然比起傳統VR介面輸入方式快，但對照手機上的輸入，約為35個英文字，該輸入方式仍有改善的空間。目前仍處於實驗階段。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">VR觸覺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CMU大學 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>實現VR觸感操控有新作法，CMU研究員展示可穿戴VR觸覺反饋系統Wireality</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963-AR%E2%80%A7VR%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 334px;" /></p> <p>美國卡內基美隆大學（CMU）研究人員近日開發了一套可穿戴VR觸覺反饋系統Wireality，讓用戶在進行VR體驗時，也能感受到觸摸物體的逼真感受。他們利用多條可伸縮的弦線，連接手指關節和手腕，並透過在肩膀上安裝一個彈簧加壓控制器來對這些弦線進行拉扯或放鬆，藉此模擬手掌碰觸各掌感受到虛擬牆面、欄杆或不規則表面產生的不同阻力，來與這些虛擬物件進行更沉浸互動。CMU研究人員表示，透過這種方式來實現VR觸覺反饋，既可減輕裝置本身重量，也較為省電，而且更省成本。他們預估，單價將不到50美元。這項研究成果先前獲得今年CHI 2020會議最佳論文獎。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境 </span></strong></span></strong></p> <p><strong><strong><span style="font-size:22px;"><strong>微軟延攬前蘋果硬體研發大將Rubén Caballero負責下一代HoloLens研發</strong></span></strong></strong></p> <p>微軟近日找來了前蘋果硬體研發大將Rubén Caballero，來擔任該公司混合實境與AI部門工程研發副總裁。Ruben Caballero曾是開發出蘋果iPhone硬體的最重要推手之一，後來更負責過包括iPad、Apple Watch、Macintosh和其他硬體產品的研發，過去他也曾一手打造前二代Apple TV與Airport裝置，還是蘋果無線設計和技術小組的主要負責人，負責主導下一代5G手機硬體技術。Ruben Caballero在蘋果任職15年，直到去年才離開，期間也曾在一家新創公司Humane擔任技術顧問，直到今年3月才正式加入微軟。之後RubenCaballero也將負責包括下一代HoloLens產品研發，及其相關的硬體專案。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">虛擬實境</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SteamVR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>德國VR應用開發商推出VR新工具Holoswitch，讓用戶體驗VR能不漏接手機訊息</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964-AR%E2%80%A7VR%E6%9C%88%E5%A0%B1.jpg" style="width: 600px; height: 297px;" /></p> <p>德國VR應用開發商Triple A Code GmbH近日推出一個VR工具Holoswitch，能夠讓用戶無須拿下VR頭戴裝置的情況下，仍可查看真實世界的手機訊息，雖然還只是Early Access體驗版本，尚未推出正式版本，但該公司表示，通過使用該VR工具，可以將VR頭戴裝置與手機進行配對，讓使用者在全神貫注體驗VR遊戲的同時，依然可以接收到手機上來電、查看訊息、或應用通知等，透過將這些訊息轉成虛擬通知，即時呈現在VR頭戴裝置的螢幕畫面裡，提醒使用者注意，而較不容易錯過該訊息。甚至還可以將VR體驗中拍攝的照片儲存在手機裡。該工具可以支援HTC Vive、Valve Index、Oculus Ri/RiS、Oculus Quest和Windows Mixed Reality等VR或MR設備，不過，目前僅能在SteamVR虛擬實境平臺與Android行動裝置上來執行，iOS平臺之後才會支援。目前該VR工具已推出，售價5.99元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">AR眼鏡 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Arm </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>Arm調查顯示年輕人對於AR眼鏡最感興趣，最想結合手機App功能 </strong></span></strong></p> <p>Arm近日委託完成一份AR眼境的消費者調查顯示，有半數受訪者對於使用AR眼鏡抱持興趣，特別是運用在語言翻譯上，而有戴眼鏡者，比起沒帶眼鏡的人對於AR眼鏡表現更高興趣。進一步以年齡分布來看，16到24歲的年輕人對於使用AR眼鏡的態度最積極，反觀，55到64歲年長者使用意願最低。該報告還發現，年輕一代更傾向用AR眼鏡的同時，也能夠繼續使用手機App功能。至於多數年長者則傾向使用它來改善日常生活行為。責任編輯／余至浩</p> <p><strong>圖片來源／HTC、Adobe、卡內基美隆大學、Triple A Code GmbH</strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多AR‧VR動態 </span></strong></span></strong></strong></p> <p><strong><strong>1.Valve決定以後SteamVR軟體更新不再支援macOS，將專注Windows和Linux版本開發</strong></strong></p> <p><strong><strong>2.臉書將停止提供三星手機用的VR頭戴裝置Gear VR的軟體更新</strong></strong></p> <p><strong><strong>3.遭受疫情拖累，混合實境裝置製造商Magic Leap傳將大幅重整裁撤半數員工，人數多達千人</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2020年4月</strong></strong></p> </div></div></div>
2020/5/7 11:13作者余至浩https://www.ithome.com.tw/news/137453
Visual Studio Online改名Visual Studio Codespaces
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/introducing-visual-studio-codespaces/">微軟</a>為了要讓Visual Studio Online的名稱，更能體現不僅僅是在瀏覽器中執行的瀏覽器，而是能撰寫任意程式碼的雲端空間，因此決定將Visual Studio Online重新命名成為Visual Studio Codespace，並且大幅調降執行個體價格，還新增了更低階的執行個體，以滿足小規模開發工作需求。</p> <p>微軟在去年11月的Ignite大會上，釋出了Visual Studio Online的消息，這是一個託管在Azure雲端上的服務，開發者可以利用Visual Studio Code、Visual Studio IDE或是隨附的網頁編輯器連接，執行開發工作，Visual Studio Code帶來的好處，不只是讓用戶在瀏覽器上編輯程式碼，而是讓使用者可在不同的開發IDE和瀏覽器編輯器間切換，使其能在任意裝置上進行開發工作，而且Visual Studio Online內建了Live Share對話功能，開發團隊可以更簡單地進行協作，共同創建、編輯和除錯。</p> <p>因此為了要傳達Visual Studio Online是一個雲端託管的開發環境，可作為開發者撰寫任何程式碼空間的概念，微軟現在正式將Visual Studio Online更名為Visual Studio Codespace。在改名的同時，微軟也調降價格，Visual Studio Codespace使用Azure的運算資源，原本標準Linux執行個體價格每小時0.45美元，而新的價格每小時只要0.17美元，而進階執行個體原本價格每小時為0.87美元，而調整之後的價格為每小時0.34美元。</p> <p>另外，為了讓Visual Studio Codespace能符合各種規模的開發工作負載使用，微軟添加更低階的Basic執行個體選項，該執行個體擁有2個虛擬核心、4 GB記憶體和64 GB SSD儲存，無論核心和記憶體容量都是標準執行個體的一半，而價格則為每小時0.08美元。</p> </div></div></div>
2020/5/4 23:40作者李建興https://www.ithome.com.tw/news/137382
R大改版發布4.0.0，導入字串將不再預設轉換成類別變數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://stat.ethz.ch/pipermail/r-announce/2020/000653.html" target="_blank">資料科學熱門語言R推出了最新版本4.0.0</a>，除了修復不少臭蟲之外，還有許多重大更改，因此新發布的版本號也就跟著大躍進，其中甚至有可能影響R運算結果的變動，因此開發者在執行以先前版本R撰寫的腳本，需要先經過驗證，而且所使用的套件，也需要為R 4.0.0重新安裝。</p> <p>R 4.0.0中最重要的更新，便是導入的字串資料，不再被預設轉換成類別變數（Factor），過去stringsAsFactors的選項預設為True，因此導入的字串資料都會被轉換成Factor物件，但是在最新的版本中，stringsAsFactors的預設改為FALSE。</p> <p>對於先前的R使用者來說，stringsAsFactors預設為True，雖然讓統計模型更簡單，並且使用較少的記憶體，但是可能造成混淆，因為使用者會以為是普通字串。這個改動破壞了許多套件的相容性，但目前大多數CRAN上的套件已經更新，另外，這同時也可能影響使用者自己撰寫的腳本，使用者可以更改寫法，或是在導入函式呼叫中，加入顯式stringsAsFactors宣告。</p> <p>新版本R添加了用來指定原始字符字串的新語法，使用者現在可以使用類似於C++的表示法r"(...)"，在括號中填入任何字符序列，包括雙引號、中括號和大括號等，這對於在寫HTML程式碼、正規表示式，和其他包含引號和反斜線的字串時特別有用。</p> <p>R 4.0.0強化了參照計數系統，由於當用戶刪除R中的物件時，通常關聯的記憶體會跟著釋出給作業系統，在過去的R版本，當對任何記憶體區塊具有兩個以上的參照，則系統便會直接崩潰，而從R 4.0.0開始，所有的參照都有計數，R能夠盡量收回記憶體，減少R的整體記憶體使用量。</p> <p>這個改變不會影響開發者撰寫程式碼的方式，但會使R的執行更為快速，特別是在記憶體有限的系統上。在效能改善上，還有網格圖系統（Grid Graphics System）也重新翻新，ggplot2繪圖渲染速度變得更快，Socket連接更快速，各式函式也多獲加速。</p> <p>於R 4.0.0中，處理矩陣和陣列更加一致，雖然在概念上矩陣只是二維陣列，但是過去版本的R，在部分情況下，處理矩陣和陣列物件的方法並不一樣，而在這個最新版本中，矩陣物件將繼承陣列類別，以消除不一致的情況。</p> <p>目前R 4.0.0已經發布在cran.r-project.org上，而Windows、Mac和Linux的二進位檔案，也都已經可以下載使用。</p> </div></div></div>
2020/5/1 01:25作者李建興https://www.ithome.com.tw/news/137330
紅帽發布最新OpenShift強化混合雲工作負載支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽發布了新的OpenShift版本以及技術預覽功能，最新的<a href="https://www.openshift.com/blog/openshift-4.4-continues-the-evolution-of-the-kubernetes-platform" target="_blank">OpenShift 4.4</a>建基在Kubernetes 1.17，紅帽改進其安裝功能，並且使其更好地支援混合雲架構，而新加入技術預覽功能則是<a href="https://www.redhat.com/en/blog/introducing-openshift-virtualization-unifying-virtual-machines-and-cloud-native-apps" target="_blank">OpenShift虛擬化</a>，可以讓企業更方便地管理容器化應用程式和傳統虛擬機器工作負載。</p> <p>不少企業開始把傳統應用程式從虛擬機器搬遷到容器上，無論是以Linux容器或微服務的形式，抑或是以Kubernetes管理調度，紅帽提到，轉換工作需要花費一些時間與精力，特別是在開發人員和營運人員需要維護兩種獨立平臺的情況下，而新發布的OpenShift虛擬化能夠解決這樣的問題，在同一個平臺管理兩類技術，讓企業能夠有效率地實踐DevOps，進而提高生產力。</p> <p>OpenShift虛擬化仍在技術預覽階段，該功能是從開源專案KubeVirt衍伸而來，針對那些無法輕易容器化的虛擬機器工作負載，OpenShift虛擬化提供統一開發平臺，開發人員可以在雲端原生和傳統工作負載的統一共享平臺上，建置、部署和管理容器、虛擬機器和無伺服器應用程式。OpenShift虛擬化完整支援執行Windows 2008舊版本的虛擬機器，讓企業能夠有時間對其進行重構，以遷移到更新的技術上。</p> <p>紅帽表示，利用虛擬化功能，企業不需要對應用程式全面容器化，可以先將虛擬機器搬遷到OpenShift上，以混合應用程式的形式營運，並在必要時才將其搬遷到容器上運作。</p> <p>紅帽也釋出了最新的OpenShift 4.4，這是以Kubernetes 1.17為基礎的版本。OpenShift 4.4運用Kubernetes Operator改善OpenShift整體安裝體驗，在混合雲中，減少安裝OpenShift所需要的基礎設施額外成本，讓安裝作業系統到終端用戶服務都能更方便。</p> <p>此外，這個版本OpenShift安裝程式還支援DNS轉遞（DNS Forwarding），可以讓OpenShift DNS使用叢集外部的DNS伺服器，以解析端點名稱查詢，使得企業更容易將OpenShift納入混合雲的基礎容器平臺。而紅帽也在OpenShift 4.4加入了一個新的指標儀表板，提供以開發者為中心的監控平臺，整合紅帽Operators，能夠監控成本管理，管理員將能夠在混合雲中，掌握特定應用程式的成本花費。</p> </div></div></div>
2020/4/30 12:50作者李建興https://www.ithome.com.tw/news/137292
【關鍵作法解密：臺灣證券交易所】單日最高2億筆委託！證券交易系統砍掉重練大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「這次逐筆交易，不僅是30年來證交所與證券商之間，所有業務變動最大的一次，更是證交所IT十年來最大的變動。」這是臺灣證券交易所電腦規劃部協理趙龍，在證交所31個年頭以來，所見證的歷史時刻。</p> <p>證交所的系統負責了整個臺股交易市場的委託接收、撮合、行情揭示與成交回報。因應逐筆撮合，對原本證交所的交易系統帶來革命性的影響，不僅要升級硬體主機系統，也必須重新調整系統架構，來克服逐筆撮合之後，瞬間大量交易行情揭示量的挑戰。</p> <p>為此，證交所在2011年決定，汰換使用超過25年的第一代證券交易系統，重新改造核心交易系統，甚至自行開發逐筆撮合系統。當時系統規畫有兩個重要考量，除了系統架構必須採開放標準之外，就是交易處理速度反應要更快。</p> <p>在這樣的前提下，證交所選擇了標準的開放Unix平臺大型主機。在系統架構設計時，一方面採用訊息中介軟體（Message Middleware）重新建構所有交易處理作業，來打開架構的限制，讓大量訊息可以分散到不同主機上處理，提升軟體開發彈性，增加系統擴充能力。</p> <p>新一代系統能夠大幅提高處理能力的關鍵是，趙龍指出，系統跟系統之間，AP跟AP之間，程式跟程式之間，都利用訊息中介軟體連結，讓訊息交換與資料交換可以達到較高的效率。</p> <p>不只如此，證交所還改用C++語言重新開發應用程式，並使用記憶體內儲運算結果，以取代傳統檔案系統，來提升主機處理能力。花了3年時間，第二代證券交易系統終於在2014年上線，陸續將現有股票交易作業轉移到新平臺執行。他提到，當時，第二代證券交易系統從接收委託到交易撮合，每秒已可處理1萬筆的委託交易量，其委託延遲時間（Latency）在3毫秒內。</p> <p>這是證交所對內的改造，對外，考慮到未來交易筆數的增加，第二代證券交易系統改用串流形式的設計，讓券商可以不停地傳送交易委託到證交所系統。</p> <p>另一項改變是，新系統採用了更多國際標準，委託資料的傳輸採取了FIX傳輸協定應用訊息格式，回報時則採用了資料流壓縮技術協定FAST資料壓縮技術。這個向國際標準靠攏的作法，也有助於臺灣證券商到全球不同市場下單，對證券商的作業更方便。</p> <p><strong><span style="font-size:28px;">因應逐筆交易，提升行情傳輸與成交回報速度與效能是關鍵</span></strong></p> <p>趙龍進一步提到，第二代證券交易系統在規劃開發時，就配合未來交易業務規劃，納入各項交易機制架構，比如逐筆交易競價、多種委託功能、強化市場穩定措施、開收盤資訊揭露、暫停交易與收盤後延續交易等。此外，應用系統也採取參數化、模組化設計，來縮短新功能上線時程。</p> <p>所以，到了2020年，逐筆交易系統正式上線時，主要架構反而沒有大幅度的變動，只需對相關模組進行調整修改，並進行充分的測試驗證。證交所除了在前端與撮合部分，做了一些優化與調整，並新增多種委託方式與5分鐘動態價格穩定措施等功能之外。趙龍表示，最大的變動，在於提升行情傳輸以及成交回報的速度與效能。</p> <p>「本次全面逐筆交易案，撮合改採隨到隨撮，讓資訊即時性的挑戰變得更為嚴苛。」趙龍解釋，集合競價與逐筆交易的最大差異，其實是在於5秒一撮合到逐筆撮合這一段，依據業務發展推估，這兩者平均每秒委託量與揭示量就差了10倍，而尖峰每秒需要處理的委託量與揭示量資料，預估也會成長3倍。</p> <p>為此，證交所在行情傳輸與成交回報這兩部分，重新進行架構的調整與開發，以提升速度與效能。他談到，為了提升處理效能，證交所從2015年至今，持續開發了十幾個函式庫，等於開發了整支AP，優化了許多處理流程與整體作業效率。</p> <p>在2019年時，證交所更再次升級了證券交易平臺的硬體主機系統，讓CPU處理效能提升2.5倍。趙龍說，目前的架構下，全市場每秒可處理到3萬筆委託。若券商主機採共置服務（Co-Location）在證交所相同機房時，單一筆委託送出後的回應時間，甚至可以縮短到3毫秒。一整天的交易下來，證交所的日處理量已經可達2億筆委託資料。</p> <p>其實，技術上，證交所單一筆的交易處理速度已可達到微秒等級，但，趙龍認為，處理速度跟測試環境與交易委託筆數多寡有很大關係，量多就慢，而筆數少就能速度快。不過，因為證交所負責整體市場，交易委託量很大，所以，在速度考量上，會以總體效能為主。</p> <p>不只如此，證交所也從去年6月開始做行情傳輸壓測，而壓力測試用的數據，也以真實股市撮合筆數為目標，他提到，目前已能做到每秒3萬筆的行情傳輸速度。還有另一個數據，可以反應出證交所系統逐筆交易的效率與功能，早在2010年，權證交易就啟用逐筆交易，也等於驗證過證交所第二代交易系統的能耐，趙龍提到，即便是一天最多有4,500萬到5,000萬筆的委託，系統都能正常運作。所以，對於每天大約才300萬到400萬筆委託的股票買賣市場，現有證券交易系統的效能相當足夠。</p> <p><strong><span style="font-size:28px;">打造擬真平臺供券商和投資者適應</span></strong></p> <p>不只證券交易系統大改造，在新制度上路之前，證交所還花了4個月打造出一套逐筆交易擬真平臺，讓證券商與投資人先試用，有更多時間準備與適應。</p> <p>擬真平臺去年3月推出，投資人可以實際模擬委託下單與觀看行情資訊，也能熟悉逐筆撮合方式與6種新的委託單。累計到新制上線前，使用人數超過了40萬人次。為了評估各界準備度，證交所還開放正式環境給證券商與資訊廠商，依照其資訊系統測試需求，提供裝機測試，以及行情傳輸壓力測試，藉此評估其行情傳輸環境的承載能力。此外還辦理了三次市場會測，要求全部券商都必須參與，個別的測試也有十幾次。</p> <p><span style="font-size:28px;"><strong>前端交易系統將從大型主機AIX轉移到開放式Linux環境</strong></span></p> <p>因應逐筆交易，證交所從10年前，展開了IT大變革，而且，這個歷程還沒有結束，趙龍進一步揭露了未來計畫。</p> <p>大方向上，自從2014年第二代證券交易系統的上線，證交所就持續往開放式系統架構的路前進。去年更進一步，證交所開始規畫從大型主機AIX移轉到開放式Linux環境，主要有兩大考量，其中之一是為了符合國際間各交易所建置交易系統的趨勢。</p> <p>再者，證交所目前使用的一些工具軟體，標準版大多只支援Linux和X86架構，若要改用於AIX環境得另請廠商轉換版本，考量成本效益與更好的系統效能，這也是證交所決定移轉平臺的另一原因。</p> <p>趙龍提到，前端交易系統轉移到Linux主機採取一次性移轉方式，目前正進行應用系統驗證與上線部署作業，預計今年上半年就可以上線。目前的挑戰是，系統整合與容錯備援機制的設計，他解釋，開放系統雖然較有彈性，但另一方面，設備間的整合和容錯備援機制考量，可能就不如大型主機完整，得花更多時間加以測試驗證。在這樣的過程中，來找出最合理的資源調整與參數設定，讓系統效能最佳化，這正是證交所IT花最多心力的部分。</p> <p>另外，考量到未來逐筆交易還會開放更多業務，證交所當需要進一步提升與擴大系統處理效能時，也會先針對訊息中介軟體進行提升。趙龍表示，目前證交所是使用套裝功能，雖功能完整，但是效率差；所以，今年已經開始研究如何自行開發符合精簡、高效的特性，專屬證交所的訊息中介軟體。</p> <p>「當我們能掌控訊息中介軟體，就能像國外大型交易所一樣，打造出更具彈性的架構，也能夠使用更開放的硬體。」趙龍強調。</p> <p>未來，證交所將持續朝向開放式架構邁進，讓系統具備可移轉（Portable）的能力，方便往後能夠順利移轉到其他平臺。他提到，包括前端交易系統、證券核心檔案傳輸等，也會陸續往開放平臺走。不過，「最重要的撮合與交易核心則是留在最後階段，假設驗證完效能、架構、穩定性都沒有問題，證交所就會朝開放平臺架構去努力。」</p> <h1><span style="color:#3399ff;"><strong>盤中零股交易新業務為臺股今年另一大變革</strong></span></h1> <p>不只逐筆交易制度，臺股還將迎來另一項重要變革，證交所在今年10月26日即將上線盤中零股交易這項新業務，甚至只買1股也可以。現行盤中交易是以1,000股為1張，作為最小交易單位，低於千股的零散股票，得等到盤後才能交易。</p> <p>盤中零股交易上路後，投資人在盤中交易時段也能買賣零股了，但只能用電子交易方式來委託。不過，這項新業務並非強制，券商可自行決定是否提供這項服務。既有的盤後零股交易作法與機制則照舊。</p> <p>金管會證期局副局長張振山提到，開放盤中零股交易的目的，是要讓更多年輕人參與股票市場，也藉此活絡證券市場。他舉例，一張3百多萬元的大立光電股票，月薪不高的社會新鮮人根本買不起，透過買零股的方式，在能力範圍內也能參與股票市場。</p> <p>證交所表示，盤中零股交易時間規劃由早上9點到下午1點半，然而，盤中零股交易採取每3分鐘集合競價撮合，與集中市場普通交易採逐筆撮合不同。撮合方式為早上9點10分起第一次撮合，依照價格與時間優先原則成交，撮合後才會對外揭露成交價格及數量等資訊，而零股交易未成交委託，則不會保留到盤後零股交易時段。</p> <p>為因應此新業務推行，證交所得獨立開發一套全新的盤中零股交易系統。證交所電腦規劃部協理趙龍提到，這工程可不小，得開發委託下單、撮合、委託回報、成交回報及行情傳輸等子系統，另外還有盤後帳務及產製各項統計報表等子系統，最後還要把每天產製的結果，跟普通交易原有帳務合併，整個電腦作業才算完成。他補充，盤中整股普通交易與盤中零股交易各自的資料管理，在前端交易部分一定會分開，只有到最後要做帳務處理時，才會進行整合。</p> <p>而為了滿足投資人買賣需求與資金運用效率與彈性，提升投資人與證券商參與意願，活絡零股交易進而擴大規模，證交所規劃零股得進行當日沖銷交易並分階段實施。</p> <p>但，趙龍強調，主管機關的態度較為謹慎，同時考慮當日沖銷交易業務較為複雜，10月中將上線的盤中零股交易，第一階段僅開放現股買賣，等系統上線後視此新業務的實施情形，再逐步推動當日沖銷交易。</p> </div></div></div>
2020/4/30 09:00作者李靜宜https://www.ithome.com.tw/news/137208
紅帽展開首次線上年度大會，新任執行長Paul Cormier仍混合雲老調重談，沒揭露下一步發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽全球年度用戶大會今日登場。如同許多科技年會，受武漢肺炎（COVID-19）疫情影響，活動改於線上展開，紅帽也以線上的方式，記錄其正式被IBM併購後的第一場大會，這亦是邁入第16年的紅帽大會，頭一回以虛擬形式舉辦。</p> <p>儘管大會改以線上方式進行，參與人數卻創新高。新任紅帽總裁暨執行長Paul Cormier表示，今年總註冊人數超過3.8萬人次，是迄今為止，規模最大的峰會。因為各界都期待從大會中，一探這位新執行長將為紅帽注入什麼新氣象，並如何帶領紅帽實現開放混合雲（Open Hybrid Cloud）的願景。</p> <p>4月初甫上任的Paul Cormier，原擔任紅帽產品與技術部門執行總裁，自2001年加入紅帽以來，他推動了許多公司重大的轉型策略，包含建立訂閱制模式，還有讓Red Hat Linux從一套可免費下載的作業系統，轉變為核心產品Red Hat Enterprise Linux，以及推動主力混合雲產品OpenShift底層改採K8s的大改版工程，他更是開放混合雲願景的提倡者。</p> <p>Paul Cormier簡短開場後，便邀請IBM新任執行長Jim Whitehurst，也是前任紅帽掌門人，加入談話。去年大會一開場，Jim Whitehurst也請時任IBM執行長Ginni Rometty，一同於臺上說明兩家公司整併後的運作模式，如今，他轉變身分，代表著IBM，不過不變的是，仍要破除外界對紅帽能否保有完整獨立性的疑慮。</p> <p>Jim Whitehurst承諾，紅帽將於IBM之下，保持獨立性，他強調，如此才可確保紅帽於開源生態系的腳色，並持續與各方合作，包含IBM的競爭對手。但是，IBM仍會與紅帽有緊密的關係，他提到，IBM將幫助紅帽擴展混合雲平臺，而紅帽Openshift則將整合於IBM軟體中，讓IBM用戶可於各環境部署IBM軟體，也就是IBM去年推出的雲原生軟體產品組合Cloud Paks。</p> <p>可惜的是，Paul Cormier未於後續的開場演說中，提及紅帽產品下一步的計畫，對公司發展也沒有太多的著墨，僅再次聚焦紅帽一直以來的開放混合雲戰略，強調這仍是他們的願景，使活動缺少了新人新氣象的氛圍。</p> <p>他著重和參與者回溯開源、虛擬化、混合雲和雲端的歷史。Paul Cormier表示，這些概念都起始於一個構想，而現在已深入地融入我們的生活，尤其是混合雲，他進一步道，為了擴展規模，混合雲需要一個通用的開發、維運、安全和自動化的環境，並強調，混合雲非趨勢，而是勢在必行的戰略。</p> <p>開場演說後的專場上，紅帽宣布了基於K8s 1.17版本重新開發的新版Openshift 4.4。這個版本增加了衡量指標和監控視圖，供開發者和應用維運者可掌握工作負載的性能。</p> <p>而針對上周已搶先發布的新版Red Hat Enterprise Linux（RHEL）8.2，紅帽特別開設了一場議程介紹。其中，系統分析工具Red Hat Insights移除了需靠手動調整，才可進行系統分析的機制，以提升用戶管理大型且複雜環境的效率，此外，該工具還新增政策服務，讓用戶可定義和監控重要的內部政策。新版RHEL也增加了新的監視工具Subscription Watch，供用戶管理和查看跨混合雲環境裡，自身的RHEL和OpenShift Container Platform的訂閱服務。</p> <p>對於活動內容似乎未多加揭露紅帽的下一步，紅帽也表示，此次大會將有別於以往，不聚焦發布產品的新動向，而是專注提供疫情當前企業或IT人員所需的資源，要與大家共度難關。有鑑於此，紅帽宣布了一系列政策，首先，技術客戶管理（Technical Account Management）服務組合將提供新用戶5折優惠，其次，延長部分產品的生命週期，緩解用戶因應版本升級而要面臨的搬遷壓力，像是RHEL 7.6延長更新的技術支援（Extended Update Support）將多提供6個月，延後至明年5月31日結束支援。</p> <p>第三，提供放無薪假者和求職者免費的技術訓練，像是紅帽系統管理員認證（RHCSA）課程，參與者可獲得RHEL系統的管理知識與技能。最後，開放超過50萬堂線上免費訓練課程，提供所有人使用。文⊙黃郁芸</p> </div></div></div>
2020/4/29 16:12作者黃郁芸https://www.ithome.com.tw/news/137280
Firefox Nightly開始支援WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Safari之後，<a href="https://hacks.mozilla.org/2020/04/experimental-webgpu-in-firefox/">Firefox也宣布開始支援WebGPU</a>，WebGPU是一個新興的繪圖API，用法比WebGL API還要簡單，提供由硬體加速的高效能3D繪圖，以及資料平行運算功能。</p> <p>WebGPU由所有瀏覽器供應商、英特爾以及其他等多個組織，所組成的W3C GPU網頁工作群組從頭設計，具有安全、可移植性、高效能和高可用性等特色。Safari在去年9月的時候宣布，從其第91版開始支援WebGPU，而在Firefox則是從當前Nightly版本開始支援。</p> <p>Mozilla提到，WebGPU能讓更豐富更複雜的圖形應用程式移植到網頁中執行，而且也讓原本專注開發原生平臺應用程式的開發團隊，可透過WebAssembly的支援，容易地在網頁平臺上進行開發。WebGPU建構在諸如Vulkan、D3D12和Metal新興的圖形API之上，向開發者開放低階API基礎原語相關功能。</p> <p>Firefox對WebGPU的支援，其核心邏輯是由獲Mozilla協助的Rust社群，所撰寫的wgpu-core專案提供，而該專案是以gfx-rs專案為基礎，可將類Vulkan的GPU工作負載，轉換成D3D12、D3D11、Metal，甚至是OpenGL工作負載。Mozilla表示，他們還在開發著色器基礎設施，以應用WebGPU著色語言，將其轉換成驅動程式支援的後端著色語言。</p> <p>想要趕快在Firefox嘗試最新的WebGPU功能的使用者，可以使用Firefox Nightly並將配置選項dom.webgpu.enabled以及gfx.webrender.all都設為true，就能在具有Vulkan驅動程式的Windows 7、Windows 10、Linux、macOS，以及有支援的Android裝置上，執行WebGPU應用程式。</p> <p>目前Firefox Nightly可以執行大部分基於Google SPIR-V的WebGPU範例，但是由於Mozilla還未實作WebGPU中的GPURenderBundle，因此範例中的animometer還無法執行。Rust社群正在開發wgpu-rs專案，這是以相同的wgpu專案來實作的Rust API，如此便可讓許多Rust生態系中的應用程式，在瀏覽器中執行，（下圖）有影子的綠色方塊就是在macOS/Metal中以Firefox Nightly渲染而成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS-shadow.png" style="width: 580px; height: 374px;" /></p> <p>Mozilla表示，目前Firefox Nightly支援WebGPU還在初期階段，仍有許多功能尚未實作，像是畫面呈現加速功能就是其中一個，目前要將渲染的圖像顯示到HTML畫布中，該圖像會先在GPU上渲染，並且讀回CPU緩衝區中，並以外部圖像提供給WebRender，WebRender會再次將圖像內容傳入GPU中，最後才在HTML畫布上顯示；這樣的往返是多餘的，Mozilla將會制定專門的機制，讓WebGPU後端API以及WebRender擁有共享介面。</p> <p>WebGPU規範的發展仍有許多問題待解決，未解的問題如制定CPU和GPU之間資料傳輸的API，Mozilla提到，網頁平臺與原生平臺的差異，在於是否能夠直接存取系統記憶體，由於CPU和GPU間資料傳輸的方式還沒取得共識，因此尚有許多提案正在討論中；WebGPU規範目前還無法被穩定的用於生產環境中，在2020年底有望可出現能用於產品的最低版本。</p> </div></div></div>
2020/4/26 01:15作者李建興https://www.ithome.com.tw/news/137217
一周大事：基隆長庚以AI強化急救轉診效率。疫情衝擊營運，科技巨頭也得樽節成本謹慎面對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>基隆長庚引進AI判讀系統，30秒就能判斷病患是否出現腦出血</strong></span></p> <p>基隆長庚醫院腦神經外科助理教授及主治醫師顏君霖指出，腦出血是急診醫師經常處理到的急症，一旦發生，很容易造成患者傷亡，因此「時間就是關鍵」，急救團隊更要與時間賽跑。</p> <p>然而，一般中小型區域性醫院，在接收、處理腦出血急診病患的流程上，較容易遇到資源不足、等待時間長等挑戰，難免延誤黃金治療時間。顏君霖解釋，當病患發病後，送至初診醫院時，會先進行腦部電腦斷層掃描（CT），再送至外傷急救中心，由急救中心神經外科醫師來會診，決定治療方法，比如進一步檢查，或轉診至較大醫院進行手術。</p> <p>特別是，在拍攝腦部CT時，每一位病患拍攝一次，就會產生數十至數百張影像，還得等待醫師一一檢查後，才能決定後續診療決策。</p> <p>有鑑於此，基隆長庚醫院導入醫療AI新創開發的腦出血判讀AI，來進行研究試驗。這套AI系統強調只要30秒，就能判斷一位病患是否出現腦出血。<a href="https://www.ithome.com.tw/news/137064" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>疫情衝擊，Google縮減招聘、資料中心及行銷預算</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-google.jpg" style="width: 340px;" /></p> <p><span style="color:#696969;">Photo by Outreach Pete on <a href="https://www.flickr.com/photos/182043990">https://www.flickr.com/photos/182043990</a>@N04/48077951218/in/photostream/ (CC BY 2.0)</span></p> <p>根據媒體取得Google暨Alphabet執行長Sundar Pichai的內部公開信，他認為現在是時候大幅減緩招募速度，以維持小部分策略領域的動能，包括提供使用者和企業營運支援，以及攸關公司成長的關鍵業務，並計畫縮減資料中心、硬體及非必要的行銷及差旅支出。他說，藉由縮減其他方面的計畫，才能確保Google今年以「適當規模」再出發。</p> <p>Google對媒體證實此事，表示今年內將減緩招募速度，把重點放在維持策略領域運作。</p> <p>Pichai指出，一如2008年金融危機重創全球經濟，許多企業受到極大衝擊，現在，Google和Alphabet也同樣面臨COVID-19疫情，對大環境形成的挑戰。<a href="https://www.ithome.com.tw/news/137037" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Tomcat Server存在Ghostcat漏洞全球網站拉警報</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AD%A3%E6%BC%A2-%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89Tomcat%20Server%20Ghostcat%E6%BC%8F%E6%B4%9E.jpg" style="width: 500px;" /></p> <p>近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是駭客開採該漏洞所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，臺灣資安業者發現，國內許多企業與組織的Tomcat Server具有該漏洞，未即時修補。此外，Ghostcat漏洞也讓多個Linux平臺在這兩個月陸續發布修補，就連商用軟體也受影響。<a href="https://www.ithome.com.tw/news/137207" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>黑市出現Zoom零時差漏洞攻擊程式</strong></span></p> <p>Zoom的一夕竄紅，讓全球的駭客都在尋找它的安全漏洞，媒體Motherboard報導，已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom客戶端程式，且Windows版的售價高達50萬美元。<a href="https://www.ithome.com.tw/news/137044" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟運用AI精準標記出軟體重大安全性臭蟲</strong></span></p> <p>每個月微軟內部專案會產生將近3萬多個程式錯誤，為了更精準地解決重要的臭蟲，微軟用機器學習技術，提升辨識與分類安全漏洞的能力。強調可用少量的資訊精準分類臭蟲，該系統能夠以99％精確度區分安全性和非安全性軟體臭蟲，並以97％精確度辨識出高優先度安全性錯誤，還能夠容忍資料存在雜訊。<a href="https://www.ithome.com.tw/news/137056" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google公布假疫情之名的惡意郵件詐騙手法</strong></span></p> <p>Google公布了常見的網釣郵件供外界參考。包括仿冒成世界衛生組織（WHO）或其它官方組織的郵件，內容可能是要求使用者捐款，或是開啟含有惡意程式的附加檔案。</p> <p>還有一種網釣郵件是鎖定在家工作的使用者，偽裝來自企業的管理部門，要求使用者輸入個人資料；另一種則是針對小型企業，偽裝成要提供紓困方案的政府組織，要求收件者下載含有惡意程式的附加檔案；或是假裝是被隔離企業的潛在客戶，宣稱無法與企業聯繫，要求收件者下載惡意檔案。總之，駭客針對有意捐款的民眾、在家工作者，以及受疫情影響的企業，都編造了不同的故事，好誘騙收件者輸入個資。<a href="https://www.ithome.com.tw/news/137082" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google發布安卓專用的新版WebView除錯工具</strong></span></p> <p>WebView可視為具有部分功能的瀏覽器，當開發者需要強化對使用者介面進行控制，或是提供進階選項的時候，WebView就能派上用場，讓開發者將網頁嵌入到應用程式中。</p> <p>Google持續以更新的方法，改進WebView穩定性和效能，並加入網頁新功能以及安全性補丁，但Google提到，更新是一把雙面刃，在提升其穩定性和相容性的同時，也可能產生另外的新問題，Google還表示，由於所有應用程式都存在臭蟲，要在應用程式中載入網頁內容，更是有其挑戰性，WebView崩潰很容易成為應用程式的痛點。</p> <p>要對WebView崩潰測試並不容易，因為容易跟Java和C堆疊追蹤混淆，因此為了讓開發者可以提早發現問題，Google釋出WebView Beta計畫，開發者可用來對WebView程式除錯。<a href="https://www.ithome.com.tw/news/137103" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>G Suite用戶可直接自Gmail撥打Meet視訊電話</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Meet_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 337px;" /></p> <p>圖片來源／Google</p> <p>隨著外界對視訊會議的需求愈來愈高，Google繼3月宣布讓所有G Suite用戶，都能享受大型企業等級的Google Meet功能之後，近期進一步讓G Suite使用者能夠自Gmail，直接撥打Google Meet視訊電話。<a href="https://www.ithome.com.tw/news/137059" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>福特和福斯車用系統驚傳漏洞</strong></span></p> <p>英國消費者權益組織旗下的媒體Which?，與資安公司Context聯手，鎖定歐洲兩款熱銷的汽車進行研究，分別是最新年式的福斯Polo，以及福特Focus。</p> <p>首先，在Polo的各式車用系統上，Which?與Context發現，透過能夠停用循跡控制系統（Traction Control System，TCS）的命令，他們便能入侵這臺車的資訊娛樂系統，竊得車主的個人資料，包含電話的通訊錄，以及行駛過的地點等內容。</p> <p>再者，這臺車的實體防護層面也被忽略。研究人員留意到，如果駭客要存取車輛前方雷達模組其實相當容易，只要移開水箱罩上的福斯廠徽就行，駭客便能竄改汽車的防碰撞警示（Collision-warning）系統。然而，無論是遠端開關循跡控制系統，還是變更防碰撞警示系統設定，都可能在車輛失控的時候，導致這些輔助機制失效，造成車上人員傷亡。<a href="https://www.ithome.com.tw/news/137104" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Maze勒索軟體攻擊大型IT服務商</strong></span></p> <p>勒索軟體大肆攻擊各種產業，利用Maze來發動攻擊的駭客更因為行徑極度招搖而引發關注，不僅炫耀攻陷的政府機關和公司行號數量，並且恐嚇不付贖金就公開遭加密的機敏資料，現在驚傳大型跨國IT服務廠商也遇害。例如，Cognizant內部系統受到Maze勒索軟體攻擊，導致部分客戶的服務被迫中斷。</p> <p>由於Cognizant是IT服務供應商，採用該公司服務的企業也可能間接成為攻擊目標。這種透過合作廠商來間接發動攻擊的策略，這幾年也不斷發生，例如，空中巴士於去年遭到一系列攻擊，駭客的目標就是他們的供應商。<a href="https://www.ithome.com.tw/news/137112" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>4.7吋的iPhone SE 2問世，Home鍵回來了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_iPhone%20SE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>蘋果發表第二代iPhone SE，這是蘋果所打造的入門款iPhone，距離第一代（2016年）已有4年之久。</p> <p>iPhone SE 2是目前螢幕最小的iPhone，蘋果在2019年時發表的3款iPhone 11中，螢幕尺寸最小的為5.8吋，最大的則是6.5吋。</p> <p>不過，iPhone SE 2的螢幕已經大於第一代的4吋，而且整支手機的尺寸也比第一代多出30%，這令許多人感嘆「可以一手操作手機的時代，已經結束了。」</p> <p>此外，蘋果在2017年推出的iPhone X，所取消的實體Home鍵，則重新回歸到iPhone SE 2上，並整合了Touch ID指紋辨識功能。<a href="https://ithome.com.tw/news/137026" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>iChef POS新增串接Uber Eats系統，餐廳內場管理能直接整合外送訂單</strong></span></p> <p>智慧餐飲科技公司iChef宣布自家POS與Uber Eats系統完成串接，可自動彙整該平臺的外帶或外送訂單，讓餐廳用戶透過單一頁面，掌握現場和該平臺的所有訂單。<a href="https://www.ithome.com.tw/news/137042" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>臉書Libra協會讓步：改推對應單一貨幣的穩定幣</strong></span></p> <p>臉書在去年6月所發表的加密貨幣Libra，由於受到各國政府與各大銀行的抵制，使得它幾乎寸步難行，為此，支撐該貨幣的Libra協會更新了Libra白皮書，宣布除了支援多貨幣的Libra幣之外，也將推出可對應單一貨幣的穩定幣，並已向瑞士金融市場監督管理局（FINMA）申請支付系統的經營授權，可說是Libra正式踏出的第一步。</p> <p>最初Libra幣（LBR）的設計是一次可對應不同的貨幣，為了化解外界認為一籃子Libra幣，可能會干擾各國貨幣主權的疑慮，Libra協會決定擴大Libra網路，納入單一貨幣的穩定幣，如對應英鎊的LibraGBP（GBP）。<a href="https://www.ithome.com.tw/news/137057" target="_blank">更多內容</a></p> </div></div></div>
2020/4/25 18:20未署名https://www.ithome.com.tw/news/137227
受Ghostcat漏洞波及，多家IT平臺軟體接續發布相關修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前Tomcat Server被揭露一個名為Ghostcat的漏洞，Apache Tomcat已在2月中旬於官方網站上，針對現行不同版本發布更新修補，<a href="https://www.ithome.com.tw/news/137074">近期，則有臺灣資安業者TeamT5杜浦數位安全發現有中國駭客組織疑似利用該漏洞，在臺灣校園網站上傳BiFrost後門程式，因此呼籲企業與組織要注意此GhostCat漏洞的嚴重性</a>。值得關注的是，該漏洞也波及多個Linux平臺，因而陸續修補，就連商用軟體也受影響。</p> <p>關於這個Ghostcat漏洞（CVE-2020-1938），它在CVSS v3.1的分數是9.8，屬於重大風險漏洞，由資安業者長亭科技在2月20日揭露其風險，指出該漏洞存在於Apache JServ Protocol（AJP）中，而若是網站應用提供了文件上傳的功能，將導致遠端指令執行（RCE）漏洞。</p> <p>值得注意的是，在Ghostcat漏洞被揭露後，隔沒幾日，開放原始碼資安公司Snyk研究員Brian Vermeer，在2月25日針對Spring Boot伺服器端框架提出警示。這是因為，Spring Boot是廣泛使用的伺服器端框架，而它使用了嵌入式Web服務器，當中安裝的就是Tomcat，這將導致SpringBoot Web Starter存在風險。</p> <h2><strong>漏洞波及多個Linux平臺、雲端服務與商用軟體</strong></h2> <p>目前Ghostcat漏洞的影響有多大呢？根據W3techs在4月2 0日的統計調查中，在主流網頁伺服器方面，以使用的網站數量而言，Tomcat雖然落後於Apache、Nginx、Cloudflare Server、MicrosoftIIS與Litespeed，不過，以用於高流量網站的角度來看，Tomcat則是上述6者之中最普遍使用的平臺。而根據資安公司BinaryEdge在2月底的偵測，在目前的網路上，至少有超過100萬個Tomcat Server。</p> <p>在臺灣，這樣的情形也要特別注意，之前TeamT5揭露中國駭客疑似利用這個漏洞的攻擊事件時，該公司資深經理侯翔齡就曾表示，在他們近期的客戶案例中，就在國內多個企業與機關內，發現有數十臺TomcatServer，其實都存在Ghostcat漏洞未修補的狀況。</p> <p>更讓人關切的是，Tomcat的這個漏洞，其實還會影響到其他產品，而這些產品的修補速度，也引起我們的關注。</p> <p>首當其衝的，就是多款Linux平臺的作業系統，近期有一系列的對應處置。以openSUSE而言，在3月5日到3月27日期間，該平臺也陸續針對旗下產品，</p> <p>發布CVE-2020-1938等漏洞修補的<a href="https://www.suse.com/security/cve/CVE-2020-1938/">安全公告，多款產品受影響，包括SUSE Linux Enterprise Server、SUSE OpenStack Cloud等眾多產品</a>與版本。</p> <p><a href="https://access.redhat.com/security/cve/cve-2020-1938">Red Hat也有多款產品受影響</a>，他們在3月中旬已經先修補的包括Red Hat Enterprise Linux7/6，與Red Hat JBoss WebServer 3.1等，於4月15日再度修補其他多款產品，但至今還有一些產品尚未完成修補。</p> <p>還有許多Linux發行版本也受波及，包括<a href="https://lists.debian.org/debian-lts-announce/2020/03/msg00006.html">Debian Linux</a>、<a href="https://security.gentoo.org/glsa/202003-43">Gentoo Linux</a>，以及<a href="https://lists.fedoraproject.org/archives/list/[email protected]/message/2XFLQB3O5QVP4ZBIPVIXBEZV7F2R7ZMS/">Fedora專案</a>，他們陸續在3到4月間，發布相關修補的更新通知。</p> <p>除了上述作業系統平臺用戶要注意更新，雲端服務的用戶也要留意。例如，在微軟開發者部落格上，<a href="https://devblogs.microsoft.com/java/addressing-ghostcat-on-azure/">Azure App Service產品經理Jason Freeberg也在3月10日撰文</a>指出，由於在Azure Kubernetes服務、Azure Container Instances（ACI），以及Azure WebApps for containers之中，系統預設都是開啟AJP connector，因此他們也提醒用戶，需要注意修補及關閉AJP connector。</p> <p>最近，更有商用軟體平臺受Ghostcat漏洞影響。例如，在4月15日，行動裝置管理平臺廠商<a href="http://support.blackberry.com/kb/articleDetail?articleNumber=000062739">Blackberry表示</a>，已確認自家產品受此漏洞影響，包括旗下的企業檔案安全同步和分享產品BlackBerry Workspaces Server（Appliance-X、vApp）、以及企業行動管理Good Control，他們並已釋出軟體更新，呼籲用戶儘速修補。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-04-20_120801.jpg" style="width: 600px;" /></p> <blockquote><p>對於使用Tomcat AJP的用戶，他們建議，在升級到新版的同時，也要將AJP connector設定secret參數，並設定高強度的密碼；如果用戶本身未使用Tomcat AJP，且又無法更新或是版本老舊，長亭科技也提供了解決辦法，那就是關閉AJP connector，或是以防火牆的管控辦法，阻擋不信任來源IP位置對於AJP connector的存取。</p> <p>因此，即使用戶沒有使用AJP協議，仍有修補工作要進行，而從其他業者對此漏洞的處置建議來看，例如趨勢科技與微軟，他們也都是建議用戶，依長亭科技的修補方式來進行。</p> </blockquote> <p> <a href="https://s4.itho.me/sites/default/files/images/（圖6）Tomcat漏洞影響Linux平臺.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Tomcat%E6%BC%8F%E6%B4%9E%E5%BD%B1%E9%9F%BFLinux%E5%B9%B3%E8%87%BA.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於Ghostcat漏洞的影響，SUSE在最近一個多月期間，陸續針對多款產品發布安全更新。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Tomcat%E6%BC%8F%E6%B4%9E%E5%BD%B1%E9%9F%BF%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99.jpg" style="width: 600px;" /> </p> <blockquote><p>雲端服務的用戶也要留意，微軟也提醒Ghostcat漏洞在Azure上的影響，並指出由於系統預設都是開啟AJP connector，因此提醒用戶需要注意修補及關閉AJP connector。</p> </blockquote> <h2><span style="color:#0099ff;"><strong>已知具有Ghostcat漏洞的IT產品</strong></span></h2> <table border="1" cellpadding="1" cellspacing="1" style="width:500px;"><tbody><tr><td>Liunx作業系統</td> <td>●<strong><a href="https://www.suse.com/security/cve/CVE-2020-1938/">SUSE</a> </strong>Linux Enterprise Server<br /> ●<strong><a href="https://access.redhat.com/security/cve/cve-2020-1938">Red Hat</a></strong> Enterprise Linux <br /> ●<strong><a href="https://lists.debian.org/debian-lts-announce/2020/03/msg00006.html">Debian</a></strong><br /> ●<strong><a href="https://security.gentoo.org/glsa/202003-43">Gentoo</a></strong><br /> ●<strong><a href="https://lists.fedoraproject.org/archives/list/[email protected]/message/2XFLQB3O5QVP4ZBIPVIXBEZV7F2R7ZMS/">Fedora</a></strong></td> </tr><tr><td>雲端服務</td> <td>●<strong><a href="https://devblogs.microsoft.com/java/addressing-ghostcat-on-azure/">Azure</a></strong> Kubernetes服務<br /> ●Azure Container Instances（ACI）<br /> ●Azure WebApps for containers</td> </tr><tr><td>商用軟體</td> <td>●<strong><a href="http://support.blackberry.com/kb/articleDetail?articleNumber=000062739">BlackBerry</a></strong> Workspaces Server（Appliance-X、vApp）<br /> ●BlackBerry Good Control</td> </tr></tbody></table><p>資料來源：各廠商，iThome整理，2020年4月</p> </div></div></div>
2020/4/24 15:28作者羅正漢https://www.ithome.com.tw/news/137207
新版Vivaldi瀏覽器內建廣告封鎖功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Opera的創辦人暨前執行長Jon Von Tetzchner所建立的Vivaldi瀏覽器，在本周推出了Vivaldi 3.0，該版本首度內建追蹤器及廣告封鎖功能，除了支援Windows、macOS與Linux之外，也是首個支援Android的穩定版。</p> <p>新增的追蹤器與廣告封鎖功能，同時適用於Vivaldi桌面版與行動版，它出現在網址列左邊的盾牌上，它的預設值是關閉的，提供3個等級，一是完全不封鎖，二是只封鎖追蹤器，三是同時封鎖追蹤器及廣告。也允許使用者於不同網站採用不同的設定。</p> <p><a href="https://vivaldi.com/zh-hant/blog/1-day-2-big-vivaldi-browser-releases/" target="_blank">Vivaldi表示</a>，該公司相信有許多使用者，並不想阻止他們經常造訪的網站失去廣告營收，因此未於預設中啟用廣告封鎖機制，而是讓使用者自行控制隱私保護。</p> <p>至於Vivaldi 3.0也是第一個支援Android平臺的穩定版，它適用於Android 5及以上的平臺，也相容於平板電腦與Chrombook。</p> <p>許多瀏覽器都已提供追蹤器或廣告的封鎖能力，例如Safari、Firefox與Edge預設就封鎖了追蹤器，Brave的預設則直接同時封鎖追蹤器及廣告，Google Chrome的進展相對緩慢，Chrome用戶目前主要仰賴擴充程式來封鎖追蹤器或廣告。</p> <p>2015年問世的Vivaldi 也是奠基在Chromium專案上，因此可支援所有的Chrome擴充程式，當初Tetzchner曾將它設定為科技宅專用瀏覽器，鎖定的族群為那些在網路上花很多時間、需要開啟大量分頁，並同時檢視很多內容以提高工作效率的使用者。不過，根據Net Applications的桌面瀏覽器調查，今年3月Vivaldi的市占率只有0.07%，位居排行榜上的第十五名。</p> </div></div></div>
2020/4/24 13:42作者陳曉莉https://www.ithome.com.tw/news/137201
開源的Flutter UI框架已有超過200萬名用戶，Google公布社群輪廓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/flutter-spring-2020-update-f723d898d7af" target="_blank">Google本周宣布</a>，在2018年12月才推出穩定版的Flutter UI框架，迄今已有超過200萬用戶，而且每月平均用戶數接近50萬。</p> <p>Flutter為一開源的使用者介面軟體開發套件，可利用單一的程式庫開發支援Android、iOS、Windows、macOS、Linux及網頁的應用程式，它並非要取代既有的程式碼，而是與這些程式碼共生。</p> <p>在穩定版問世16個月以來，Flutter已經累積了200萬用戶，當中有60%是在Windows上開發，有27%在macOS上開發，也有13%以Linux來開發。使用族群中，有35%是在新創公司任職，有26%在大型企業工作，有19%為自僱者，還有7%替設計機構工作。</p> <p>此外，雖然大多數的Flutter用戶都使用穩定版，占了78%，但有11%使用測試版，另外的11%則使用更早期的dev及master版。全球的Flutter用戶主要位於印度、中國、美國、歐洲與巴西。</p> <p>迄今Google Play上已出版了5萬個基於Flutter的應用程式，而且開發人員在上個月就上傳了1萬個Flutter程式。在Flutter程式中最受歡迎的框架套件為http、shared_preferences、intl、meta、path_provider與pedantic；在Flutter程式中最熱門的第三方套件為provider、rxdart、cached_network_image、sqflite、font_awesome_flutter與flutter_launcher_icons。</p> <p>有鑑於Flutter的規模愈來愈大，Google也準備調整它的發表程序，從今年4月起採用分支模型，Flutter測試版及穩定版也將有固定的發表周期，4月的測試版將開始分支，並透過cherry-picking執行各種重大修補，每季再將現有的測試版提升為穩定版，必要的話還會對穩定版進行修補。</p> <p>此外，Flutter團隊架構現在已可支援針對不同分支的測試，因此除了可驗證各種cherrypick之外，也能根據嚴重性接受某些請求。而未來Flutter測試版，也會包含Dart元件的測試版。</p> <p>Google預計於下周發表新的Flutter穩定版。</p> </div></div></div>
2020/4/24 11:55作者陳曉莉https://www.ithome.com.tw/news/137200
資安一周第90期：Tomcat Ghostcat漏洞影響受關注。另起焦點事件是調查局與微軟聯手破獲非法VPN並發現源頭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h1><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">0416-0422一定要看的資安新聞</strong></h1> <p> </p> <h3><span style="color:#B22222;"><strong>開源軟體安全</strong></span></h3> <h2><strong>Tomcat存在Ghostcat漏洞，有中國駭客在臺灣校園網站上傳 BiFrost後門程式 </strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Tomcat%20Server%E5%AD%98%E5%9C%A8Ghostcat%E6%BC%8F%E6%B4%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TeamT5.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／TeamT5</span></p> <p>近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是因為該漏洞受到利用所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，國內安業者發現許多企業的Tomcat Server具有該漏洞，未即時修補。此外，該漏洞也波及多個Linux平臺，因而陸續修補，就連商用軟體也受影響。<a href="https://www.ithome.com.tw/news/137074"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>殭屍網路</strong></span></h3> <h2><strong>調查局與微軟合作拿下非法VPN與殭屍網路，源頭竟是一個LED燈控制器</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E8%AA%BF%E6%9F%A5%E5%B1%80%E7%A0%B4%E7%8D%B2VPN%E9%9D%9E%E6%B3%95IP%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%AA%BF%E6%9F%A5%E5%B1%80.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／法務部調查局</span></p> <p>在今年3月，微軟宣布與35國警方與安全業者共同破獲Necurs，臺灣執法單位也名列其中，不過，其實調查局在去年就與微軟合作採取行動。在去年7月8日，調查局接獲臺灣微軟數位安全中心（Digital Crimes Unit，DCU）通報，得知臺灣政府網路IP位址（117.56.xxx.xxx）可能感染Necrus，進而追蹤此一非法的VPN IP位址，查出攻擊所在是北臺灣鄉下的圖書館大樓內，更意外的是，駭客用來散布惡意程式的，竟然是一個不起眼的LED燈控制裝置，調查局在分析調查後將它關閉，阻止該IP與裝置繼續成為攻擊跳板。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/137154">更多內容</a> <a href="https://www.ithome.com.tw/news/137110">更多內容</a> </span></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>MITRE ATT&CK</strong></span></h3> <h2><strong>第二輪MITRE ATT&CK評估計畫結果出爐，臺灣資安廠商也入列</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%EF%BC%86CK_2nd%20Round%20Evaluations_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／擷取自MITRE ATT&CK's Twitter</span></p> <p>MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架，而他們發起的ATT&CK評估（ATT &CK Evaluations）也越來越受到資安業者的響應與認可，在今年4月22日，MITRE公布了第二輪針對APT29的評估計畫結果，這回共有21家資安業者參與，比第一回合更多（初期7家參與、後續5家跟進），特別的是，臺灣資安新創公司奧義智慧，以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布，不論是企業或資安業者，都將能藉此衡量EDR的偵測能力與覆蓋範圍。</p> <p>值得一提的是，兩個月前MITRE也已表示將持續推動這項計畫，希望能藉由透明的評估過程，幫助用戶評估端點檢測工具，他們並公布了新一輪評估計畫，將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。<a href="https://twitter.com/MITREattack/status/1252635963479777288"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　Zoom</strong></span></h3> <h2><strong>傳出Zoom零時差漏洞攻擊程式正在黑市販售</strong></h2> <p>雲端視訊會議Zoom的爆紅，讓全球駭客都在找這套平臺的安全漏洞，近期國外媒體Motherboard爆料，指出已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom用戶端程式，其中Windows版Zoom的攻擊程式，可用來執行遠端程式攻擊，需搭配其他的漏洞才能控制整個受害系統，同時也要加入到Zoom的會議中，但由於這個零時差漏洞尚未被揭露，因此駭客開價高達50萬美元。<a href="https://www.ithome.com.tw/news/137044"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>微軟Patch Tuesday</strong></span></h3> <h2><strong>本月微軟共修補113個零時差漏洞，其中有3個已遭成功利用</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%BE%AE%E8%BB%9FPatch%20Tuesday%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%93%B7%E5%8F%96%E8%87%AAZDI.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自ZDI</span></p> <p>微軟在4月例行性漏洞修補，總計修補了113個安全漏洞，其中有17個屬於重大等級，並且有3個漏洞要特別注意，因為已經被駭客成功利用，分別是CVE-2020-1020、CVE-2020-0938與CVE-2020-1027，前兩個漏洞是關於Adobe Type Manager Library無法正確處理特製字型，後者則是WindowsKernel的權限擴張漏洞。同時，漏洞懸賞平臺ZDI也對這次更新內容，指出有兩個漏洞需先考慮優先修補，一個是DNS服務阻斷漏洞CVE-2020-0993，另一個則是可繞過Token機制的CVE-2020-0981。<a href="https://www.ithome.com.tw/news/136999"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全　vCenter Server</strong></span></h3> <h2><strong>VMware修補企業虛擬化解決方案高風險漏洞</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89VMware%20vCenter%20Server%E9%87%8D%E5%A4%A7%E4%BF%AE%E8%A3%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAVMware.jpg" style="width: 220px; float: right;" /></strong></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自VMware</span></p> <p>近日VMware針對vCenter Server上的高風險漏洞發布修補，他們指出該產品具有CVE-2020-3952弱點，肇因於VMware Directory Service（vmdir）無法正確實現存取控制，一旦遭成功濫用，將讓駭客得以竊取機密資訊，是CVSS v3.1評估為10分的最高風險漏洞。美國電腦緊急應變小組（USCERT）也已針對該漏洞提出警告，呼籲使用者應儘速部署必要更新。<a href="https://www.ithome.com.tw/news/136958"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>資料外洩</strong></span></h3> <h2><strong>透過風扇震動竊取不連網PC的資料，大學研究人員展示攻擊新手法</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AiR%20ViBeR_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ben%20Gurion%20University%20Cyber%20Security%20Labs.jpg" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Ben Gurion University Cyber Secuirty Labs' Youtube</span></p> <p>即使不連網的PC也還是有可能被駭客竊取資訊，以色列本古里安大學網路安全研究中心教授Mordechai Guri的團隊，近日展示了新式攻擊手法，只要先在電腦內安裝惡意軟體，使其不斷改變風扇轉速，可對桌面產生不同頻率的震動，接著，攻擊者需要搭配能偵測震動的裝置，例如，透過智慧型手機將震動頻率解析成資料，隨後攻擊者再透過手機瀏覽器的JavaScript接收手機的感測器資訊，再以手機網路把資料傳送到遠端駭客。<a href="https://www.ithome.com.tw/news/137125"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BGP安全　RPKI</strong></span></h3> <h2><strong>避免BGP路由遭到綁架，Cloudflare推出可檢查ISP安全的公鑰網站</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89blogpost2-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cloudflare.png" style="width: 220px; float: right;" /></p> <p class="rteright"><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Cloudflare</span></p> <p>為了改善BGP的安全性，業界提出了資源基礎架構（RPKI），近日Cloudfl are則是發布了Is BGP Safe Yet網站，可用來測試使用者的網路服務供應商，是否正確部署RPKI，以預防BGP外洩或挾持。根據Cloudflare的觀察，目前大約有50%的網路部署RPKI，並希望各界督促業者部署RPKI，共同來保障全球網路的健全。<a href="https://www.ithome.com.tw/news/137088"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>BEC詐騙　SilverTerrier</strong></span></h3> <h2><strong>奈及利亞駭客組織的BEC詐騙攻擊盯上臺灣，去年受攻擊程度居北亞之冠</strong></h2> <p>商業電子郵件詐騙（BEC）持續鎖定全球，而臺灣比其他地區面臨更大風險，近期Palo Alto Networks公布一份BEC相關調查報告，是針對奈及利亞駭客組織SilverTerrier的活動進行分析。報告中指出，SilverTerrier在詐騙計畫與技術能力上變得更成熟，並有越來越多採用遠端管理工具（RA T）的現象，而這類為了讓BEC詐騙能更順利進行的惡意軟體部署，將是企業必須注意的最大威脅，此外，他們觀察到該組織在去年的攻擊比前一年度增加172%。</p> <p>特別的是，Unite 42副處長Jen Miller-Osborn近日提供了該組織在臺灣的攻擊統計數據，在2019年，他們共發現1,747個樣本，以及38,270次的攻擊，比起鄰近的中國、日本、香港與南韓都高，這樣的威脅現況值得注意。<span style="color: rgb(169, 169, 169);"><a href="https://unit42.paloaltonetworks.com/silverterrier-2019-update/">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>密碼安全　PTT</strong></span></h3> <h2><strong>PTT使用者反應帳號出現非本人嘗試登入行為，疑似對方利用自動化工具猜密碼</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%894%E6%9C%88%E4%B8%AD%E6%97%ACPTT%E5%B8%B3%E8%99%9F%E7%99%BB%E5%85%A5%E7%95%B0%E5%B8%B8s.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／iThome</span></p> <p>近一個月來，臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先，在今年3月底到4月初的期間，傳出第一波受害者，每次都是同個IP位址連續登入失敗三次，並且是在2到3秒內就完成，相隔沒幾天，又有不同IP位址嘗試登入。到了4月中旬，又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論對此事件，由於用戶每次登入PTT時，若是密碼錯誤，其實都會斷線並留下一次記錄，因此這樣短時間連續三次被嘗試密碼的情形，可能是有惡意人士或集團，透過自動化工具以密碼噴灑（Password Spraying）的攻擊方式，利用常見弱密碼嘗試進行盜取用戶帳號。<a href="https://www.ithome.com.tw/news/137175"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><span style="color:#0099ff;"><strong>更多資安動態</strong></span></h4> <p><a href="https://www.ithome.com.tw/news/137104">福特和福斯連網車輛傳嚴重漏洞，可能洩露個資、影響行車安全</a><br /><a href="https://www.ithome.com.tw/news/137112">大型IT服務業者Cognizant遭到Maze勒索軟體攻擊</a><br /><a href="https://www.ithome.com.tw/news/137095">美國國土安全部再次督促使用者修補Pulse Secure VPN漏洞</a><br /><a href="https://www.ithome.com.tw/news/137116">Dropbox曾私下找駭客調查Zoom的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/137076">Zoom的安全問題不只是漏洞，更是信任問題</a><br /> </p> </div></div></div>
2020/4/23 17:54作者羅正漢https://www.ithome.com.tw/news/137184
Go開發者大調查：8成受訪者不滿意Go不支援泛型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼新興語言Rust之後，<a href="https://blog.golang.org/survey2019-results" target="_blank">Google力推的程式語言Go，也發布了自家的開發者大調查</a>，這次Go官方總共收到了10,975份回覆，總數接近去年的兩倍。這次他們增加了許多有關使用者統計問題，以更好地了解受訪者的輪廓，官方表示，他們這次做的調查結果，與程式設計問答網站StackOverflow所做的2019年度調查結果相近。</p> <p>這此問卷調查的受訪者56％使用Go不到兩年，整體使用者年資偏短，將Go用在工作中的比例占所有受訪者72％，而有62％的人把Go用在工作之外的專案，官方表示，在2018年的時候，將Go用在工作或是工作外專案的比例，都較前一年大幅增加，但是今年得到的結果與之前不同，也就是說這次受訪者較傾向在工作外使用Go，而在工作使用另一種語言，官方提到，他們在這份調查中的不同問題，看到了相似的異常值。</p> <p>建置API/RPC和CLI仍是Go最多見的用法，比例分別為71％以及62％，問卷調查也詢問了受訪者使用Go的領域，有66％的人將Go用於網頁應用程式開發，其他常見的應用領域還有資料庫、網路程式、系統程式和DevOps任務等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig20.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>在套件管理上，絕大多數的受訪者（89％），都已經透過Go命令使用Modules，官方提到，改變套件管理方法對於開發人員來說，是一個巨大的轉變，而此時整個社群正同時經歷這樣的改變。</p> <p>由於Go在設計時，考慮了現代分散式運算，因此Go可以說是一個雲端語言，今年官方在問卷增加了有關雲端開發的問題，以更全面了解Go開發者和雲端供應商的關係。這次的調查可以明顯看到兩個趨勢，三大全球雲端供應商AWS、GCP和Azure，在受訪者的使用率都上升，其他的供應商每年使用率皆只有一小部分，且大部分都衰退，另外，企業自有或是就地部署的比例持續減少，已經和AWS的市占比例相去不遠。</p> <p>開發者在不同雲端平臺以不同的方式部署Go工作負載，將工作負載部署到AWS和Azure的受訪者，有很大比例直接使用虛擬機器，分別為65％和51％，而部署到GCP的受訪者，則有64％的人使用Kubernetes平臺，幾乎是虛擬機器35％的兩倍。受訪者使用GCP和Azure的無伺服器平臺比例低，僅有17％和7％，而AWS卻有33％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig25.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>大致所有的受訪者，對於三大主要雲端供應商的Go使用體驗都感到滿意，排序分別是AWS有80％的滿意度，GCP也有78％，而Azure較低只有57％，受訪者反應，Azure並沒有優先支援Go，也就是說沒有持續支援最新的Go版本，使得開發人員無法使用到最新的功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig26.jpg" style="width: 580px;" /></p> <p><span style="caret-color: rgb(105, 105, 105); color: rgb(105, 105, 105);">圖片來源／Go Team</span></p> <p>針對Go的痛點，有79％的受訪者認為Go缺乏關鍵功能泛型（Generics），而有22%的受訪者認為官方應該繼續改進Go的除錯功能，另外還有13%的人要求更多的函式程式語言功能，特別像是map、filter和reduce等，官方特別指出，當Go提供了這些關鍵程式語言功能，則開發者將能夠更廣泛地使用Go。</p> <p>在開源的表現上，Go雖然是一個開源專案，但是不代表Go的開發者也都會用Go來開發自由或是開源專案，從問卷的資料看起來，Go社群參與開源專案的比例正在縮小，不常與不曾參與開源專案的受訪者百分比，從2016年的71％逐年增加，到2019年達到75％；而受訪者中，僅有約7％到8％的受訪者，是穩定的開源專案貢獻者，會每天參與開源貢獻，每周與每月開源貢獻者比例皆逐年降低。</p> <p>Go開發者主要在Linux和macOS上開發Go程式，分別有66％與53％，而Windows只有20％，而在編輯器選擇上，GoLand成長非常快速，從24％的使用率上升到34％，雖然VS Code成長速度減緩，但仍然位居Go開發者最愛IDE，有41％受訪者使用，第3與第4名分別為Vim和Emacs，前四名使用率占受訪者四分之三，且除了前兩名，其他編輯器使用率都在衰退。</p> <p>官方提到，根據這次的調查，受訪者對於泛型、套件管理和工具三個領域最不滿意，因此在今年，這三個領域將會是Go團隊的重點關注項目，接下來幾個月內，他們會大幅改善模組、工具和開發者入門的體驗。</p> </div></div></div>
2020/4/22 12:50作者李建興https://www.ithome.com.tw/news/137129
微軟記事本App又重新上架Microsoft Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在離不離開Windows這件事上反覆數次的獨立記事本（Notepad）App，上周又重新上架Microsoft Store。</p> <p><a href="https://www.ithome.com.tw/news/132493" target="_blank">微軟去年8月</a>，將記事本獨立成為可由Microsoft Store下載的App，不過在12月的Windows 10更新中，又取消這項計畫，重新讓記事本回歸Windows，但也沒說明理由。不過上周記事本App又重新回到了<a href="https://www.microsoft.com/zh-tw/p/windows-notepad/9msmlrh6lzf3?activetab=pivot:overviewtab" target="_blank">Microsoft Store中</a>供下載。</p> <p>如果你去年更新過記事本，新的記事本App除了圖示有更換之外，兩者的功能是差不多的：包括全文循環查找／替換選項（wrap-around）；可記憶搜尋／取代關鍵字和選項留待下次使用；以Ctrl+、Ctrl-或Ctrl+滑鼠滾輪，來縮放文字、啟動文字換行時，還能正確顯示行列數；效能提高，打開大型檔案速度更快；按Ctrl+Backspace刪除鍵，可以刪除游標前的整個單詞（而不是單個字母）；以及支援Linux/Unix、macOS換行字元。安裝後用戶也可將之釘選到開始選單或工作列中。</p> </div></div></div>
2020/4/21 15:10作者林妍溱https://www.ithome.com.tw/news/137117
Google修補Chrome 81 RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2020/04/stable-channel-update-for-desktop_15.html" target="_blank">Google上周釋出</a>Windows、Mac、Linux版Chrome 81.0.4044.113，以修補一項重大風險的遠端程式碼執行（RCE）漏洞，可能讓遠端攻擊者暗中執行惡意程式，用戶應儘速升級到最新版本。</p> <p>Google指出，最新版本Chrome將在未來幾天，最遲幾周內部署到桌機用戶。</p> <p>本次版本修補的漏洞，由中國安全廠商奇虎360 Alphabet實驗室的研究人員於4月初通報。該漏洞編號為CVE-2020-6457，屬於影響Chrome語音辨識元件中的使用已釋放記憶體（Use after free，UaF）漏洞。</p> <p>不過Google並未公開本漏洞細節，表示要等到大部份用戶，都接獲更新才會公布。此外，擔心其他專案使用的第三方函式庫尚未修補這項漏洞，因此Google也限制存取相關資訊。</p> <p>UaF漏洞是記憶體毁損漏洞，通常是由攻擊者發送指令觸發，進而在記憶體內寫入並執行惡意程式。安全廠商<a href="https://nakedsecurity.sophos.com/2020/04/17/critical-bug-in-google-chrome-get-your-update-now/" target="_blank">Sophos指出</a>，某些情況下UaF漏洞可能讓攻擊者變更程式內的控制流，像是導引CPU執行由攻擊者寫入記憶體、不受信任的程式碼，而繞過瀏覽器正常的安全檢查，或「你確定要執行？」的對話框，也是遠端程式碼執行（remote code execution，RCE）漏洞。</p> <p>Sophos解釋，這類漏洞可讓攻擊者在不觸發警告，在受害電腦上遠端執行程式碼，也是最嚴重的漏洞類型。</p> <p>該漏洞僅影響Windows、Mac、Linux版Chrome 81。<a href="https://support.google.com/chromebook/thread/41304060?hl=en" target="_blank">Google表示</a>並不影響ChromeOS版。</p> <p>GitHub安全研究人員本周稍早也揭露影響Chrome 80 WebAudio元件的另一個重大風險RCE漏洞，<a href="https://securitylab.github.com/advisories/GHSL-2020-053-chrome" target="_blank">編號CVE-2020-6450</a>，可讓駭客引誘用戶連上惡意網站開採。它起於2月間<a href="https://securitylab.github.com/advisories/GHSL-2020-035-chrome" target="_blank">CVE-2020-6427</a>，以及<a href="https://securitylab.github.com/advisories/GHSL-2020-038-chrome" target="_blank">CVE-2020-6429</a>這二項漏洞修補不全所致，如果用戶Chrome仍在80.0.3987.162 之前版本，也應儘速升級。</p> </div></div></div>
2020/4/21 11:40作者林妍溱https://www.ithome.com.tw/news/137111
Rust公布2019大調查：Rust太難社群學不動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Mozilla主導開發的程式語言Rust，釋出了<a href="https://blog.rust-lang.org/2020/04/17/Rust-survey-2019.html" target="_blank">最新的2019社群大調查</a>，顯示Rust在2018年有所成長，但是成長的力道較前一年小，從開發者使用Rust的狀況，可以略知一二，2019年每日使用Rust的比例為27.6％，而2018年則為25％，成長2.6％，不過前一年卻有7.5％的成長；2019年每周使用Rust的受訪者為40％，較前一年略降。</p> <p>全職使用Rust的受訪者，最多將Rust應用於開發網頁應用程式後端，其他應用依序為分散式系統、嵌入式裝置、IT、網路程式開發、前端應用程式以及安全性應用等。而主要應用Rust的專案，有43％規模落在1千行與1萬行程式碼間，第2名的專案規模則是1萬行與10萬行間，官方提到，Rust中大型專案的比例持續成長，從2016年的8.9％，到2017年16％、2018年23%，而2019年達到34％。</p> <p>問券調查要求受訪者對自己的Rust技能評分1到10分，7為人數高峰，大部分的人集中在3到8之間，而這與使用Rust的時間有關，依據統計，使用Rust在1到3個月內，約可掌握3成技能，而6到12個月則能掌握5成技能，平均掌握7成以上技能的開發者，使用Rust的年資可能需要超過3年。</p> <p>這次官方收到了接近4千份的回應，其中有82.8%的受訪者正在使用Rust，而過去曾使用以及從未使用Rust的受訪者，則分別佔7.1與10.1%，與2018年比較起來，受訪者使用Rust的比例上升了接近8％。使用Rust的受訪者，最大的使用原因來自於任職的公司使用Rust，其他原因則有Rust剛好有他們需要的函式庫，或是覺得IDE好用，也有人是因為覺得Rust簡單好學而來用。</p> <p>官方對那些未曾或是曾經使用Rust的受訪者進行了調查，除了最大的原因是任職的公司沒有使用之外，第2名原因是他們覺得Rust太難太複雜不好學，接下來幾個原因則是與Rust成熟度有關，包括Rust沒有他們需要的函式庫、工具，或是覺得IDE不夠好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4-Why-Stopped-Rust.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>官方提到，很明顯的開發者要不要用Rust，直接受企業採用數量左右。問卷調查問了受訪者，什麼樣的資源可以降低採用障礙，絕大多數受訪者一致認為，官方最應該提供更好的訓練教程以及文件，再來才是更好的函式庫、IDE整合，並且加速編譯時間。</p> <p>有不少受訪者對學習Rust給出了具體的意見，有人認為，官方應該盡可能讓Rust的學習曲線平滑，因為對小企業來說，學習Rust要在四到六周才能有生產力，有點稍嫌太久，另外，也有人建議官方，應該要給更多的範例，並且提供Crates使用建議。</p> <p>Rust陡峭的學習曲線，是阻礙不少開發者開始學習使用Rust的原因之一，根據官方調查，37％的人認為學用Rust，約在1個月的時候會開始感覺有生產力，70％的人都在學用Rust一年內，會感覺到有生產力。不過，也有高達21％的人，感到無法具備滿意的生產力，這個族群高峰落在1到3個月的學習時間，其中也不少學用了一年，甚至二到三年，官方提到，這些人將是往後他們發展學習材料的重點對象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/8-How-Long-To-Be-Productive.jpg" style="width: 580px;" /></p> <p><span style="color:#696969;">圖片來源／Rust Team</span></p> <p>另一個Rust受挑戰的點便是函式庫的成熟度，有受訪者認為穩定的函式庫不夠多，而官方也對社群專案使用函式庫的情況做了調查，專案使用的相依項目完全為1.0以上版本，比例只有0.8％，大多數為穩定版的只有6.7％，僅部分相依項目穩定版的專案則高達66.4％，還有21.4％的受訪者不了解自己專案相依項目的版本狀況。</p> <p>在平臺與環境的選擇上，34.9％的Rust開發者都使用VSCode開發Rust程式，第2與第3名IDE則為Vim和Intellij，都有約20％的使用率。開發的應用程式主要鎖定Linux平臺，有36.9％，第2則是Windows的16.3％，macOS和WebAssembly則各占14％。</p> </div></div></div>
2020/4/20 16:30作者李建興https://www.ithome.com.tw/news/137094
Google發布可簡化裝置上TensorFlow Lite模型部署的工具Model Maker
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.tensorflow.org/2020/04/how-tensorflow-lite-helps-you-from-prototype-to-product.html">Google發布了一個稱為TensorFlow Lite Model Maker的工具</a>，能使用轉移學習使機器學習模型，適應開發者自定義的資料集。Model Maker使用API封裝了複雜的機器學習概念，讓開發人員僅需要撰寫幾行程式碼，就能以TensorFlow框架訓練模型，並將模型部署到裝置上的人工智慧應用程式。</p> <p>TensorFlow Lite在2017年時發布，專為邊緣裝置設計的TensorFlow模型預測框架，是TensorFlow的精簡版本，讓開發者可以在行動、物聯網與嵌入式裝置中部署機器學習模型，目前已經被大量部署於全球40億個裝置中，支援Android、iOS以及Linux的物聯網裝置和微控制器。</p> <p>Model Maker是要讓開發者能夠根據自己的使用案例，自定義預訓練模型，使這些預訓練模型能夠應用開發者的資料集，Model Maker支援TensorFlow Hub上各種可用的模型，同時也包括這次新發布的EfficientNet-Lite、MobileBERT以及ALBERT模型，官方提到，開發者只需要修改一行程式碼，就可以切換使用不同模型基礎架構。Model Make目前支援兩種使用案例，分別是圖像分類以及文字分類。</p> <p>而官方新發布的EfficientNet-Lite、MobileBERT以及ALBERT三種模型基礎架構，可提供開發者應用於更廣泛的使用案例，解決各式問題。EfficientNet-Lite是一種新型的圖像分類模型，僅需要少量的計算以及參數，就能夠實現高精準度的預測結果；EfficientNet-Lite模型針對TensorFlow Lite進行了最佳化，能以可忽略的精度損失支援量化，並由GPU達到更快速的預測。</p> <p>MobileBERT則是熱門的BERT模型最佳化版本，BERT模型能夠以高準確性，執行一系列自然語言處理任務，包括問答、自然語言預測等工作，而MobileBERT的執行速度約比BERT還要快4倍，容量更小且可以維持相似的精準度。</p> <p>另一個新模型ALBERT，同樣是BERT的另一個輕量級版本，是個與TensorFlow Lite相容的版本，官方對模型的大小進行了最佳化，比BERT小6倍，比MobileBERT小1.5倍，但是延遲與BERT相當，也能提供相似的預測精準度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/bertmobilebertalbert.png" style="width: 580px;" /></p> <p>官方也說明了接下來他們的發展方向，仍然會繼續發布裝置上模型，推出更多模型支援電腦視覺以及自然語言處理的使用案例，同時也會發布新的教學教材與範例，展示在行動裝置上使用C/C++ API進行預測的方法。</p> <p>Model Maker也會獲得改進，能夠支援更多元的任務，包括物件偵測和更多自然語言處理任務，官方表示，他們要讓沒有機器學習專業的開發人員，可以透過遷移學習來建置新的自然語言處理模型，另外，他們也會擴展元資料和程式碼生成工具，並且與Android Studio和TensorFlow Hub等更多平臺整合。</p> </div></div></div>
2020/4/15 20:45作者李建興https://www.ithome.com.tw/news/137004
大型主機疫情期用量飆高，美數個州急徵COBOL人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎重創美國經濟，除了造就遠距協同、視訊軟體的需求，也對政府系統形成另一項挑戰。例如政府運行數十年的大型主機系統，已欠缺維護人才。</p> <p><a href="https://www.cnbc.com/2020/04/06/new-jersey-seeks-cobol-programmers-to-fix-unemployment-system.html" target="_blank">CNBC報導</a>，紐澤西州州長Phil Murphy發出徵才公告，要找COBOL程式設計師進來，維修該州的失業補助系統。</p> <p>該州的失業補助系統跑在40歲的大型主機上，近來武漢肺炎衝擊之下，許多企業倒閉或裁員，致使失業率短期間衝高。該州請領失業救濟補助的人飆至36萬人，大量作業令這套年久失修的系統不堪負荷。CNBC引述州長說法指出，紐澤西州有多個系統已年逾40，需要做很多維修檢查，但該州政府其中一項難題是，怎麼找到COBOL工程師？</p> <p>紐澤西州長登高一呼後，<a href="https://twitter.com/stansburyj/status/1246564517624119304" target="_blank">獲得多人出面協助</a>。不過紐澤西並不是唯一缺COBOL人才的州政府。<a href="https://edition.cnn.com/2020/04/08/business/coronavirus-cobol-programmers-new-jersey-trnd/index.html" target="_blank">CNN報導</a>，康乃狄克州也表示，近來該州一台由COBOL 大型主機及其他4個機器組成的40年老系統，因為得應付突然增加的失業補助申請，而變得十分吃力。康州目前和其他州正在合作開發新的補助系統，不過新系統要明年才會完成。</p> <p>另外，堪薩斯州原本想將COBOL應用改造為現代化雲端應用，但是受疫情影響而停工，現在只能靠舊系統勉強撐下去。</p> <p>現今仍然有許多銀行及金融業應用，還是一直停留在COBOL系統上，估計還有2,200億行COBOL程式還在運行中。</p> <p>因應公部門需才孔急，成員包括IBM、SUSE、Phoneix與高通的Linux基金會下的開放大型主機專案（Open Mainframe Project），<a href="https://www.openmainframeproject.org/blog/2020/04/09/open-mainframe-project-helps-fill-the-need-for-cobol-resources" target="_blank">本周也宣佈</a>提供免費資源給政府部門，包括提供COBOL人才媒合、COBOL技術論壇，此外，IBM也貢獻其COBOL訓練課程成為開源教材，將在未來幾天內放在<a href="https://github.com/openmainframeproject" target="_blank">GitHub網站</a>上。</p> <p>有鑒於COBOL人才危機，一些廠商也正強化服務能力。例如BMC在3月初，<a href="https://www.ithome.com.tw/news/136105" target="_blank">收購了</a>老牌COBOL程式開發管理軟體商Compuware。Google Cloud也在2月<a href="https://www.ithome.com.tw/news/135920" target="_blank">宣布收購</a>荷蘭大型主機應用搬移軟體商Cornerstone Technology，希望吸引想轉向雲端應用的傳統大型主機客戶。</p> </div></div></div>
2020/4/13 14:55作者林妍溱https://www.ithome.com.tw/news/136942
Azure歐洲網路塞爆延遲通報客戶，原因是管理員還沒起床
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎疫情讓許多人必須在家上班，Microsoft Azure等雲端服務一旦斷線或不穩，將嚴重影響工作效率。上月底Azure發生網路塞爆問題，微軟卻等了5小時才向用戶說明情況。<a href="https://status.dev.azure.com/_event/181122901/post-mortem" target="_blank">周四微軟解釋</a>，因為負責管理的人員當時還在被窩中。</p> <p>西歐時間3月24日到3月26日，歐洲及英國Azure用戶感受到Windows及Linux agents開發作業變得十分慢。微軟Azure工程總監Chad Kimes指出，這是因為當天巨大流量導致Azure VM配置錯誤，造成VM reimage時間增加，進而拉長可用agents的等候時間。微軟技術人員發現後做了緊急變更，對Linux agent改使用暫時（ephemeral）OS磁碟，並以擴充Azure VM和使用巢狀虛擬化（nested virtualization）解決Windows agents 問題。</p> <p>三天內共有6,136名客戶感受到作業延遲，平均延遲21分鐘，有人甚至等了9小時。</p> <p>但除了技術問題，微軟坦承線上網站事件通報也出了狀況。情況最嚴重的第一天，微軟方面卻遲了快5小時，才向用戶通知此事，遠遠超過10分鐘內通知的正規程序。按照Azure的作業流程，Azure系統的自動化工具會在發生事件時，通知指派負責人員（designated responsible individual，DRI）和主要事件管理員（primary incident manager，PIM），後者負責將事件的對外（客戶）通訊。當天事件發生時，DRI努力尋找原因及排除問題的同時，PIM卻還未起床，直到5小時後美東時間一早，他才發出通報。</p> <p>微軟對此向用戶致歉，並承諾做出改善，包括強化運算資源配置失誤率及agent reimage時間的監控，並在發現問題時，迅速擴大使用暫時OS磁碟及巢狀虛擬化，以解決Linux和Windows agents問題。最後，微軟也會改善線上網站對作業延遲事件的通報流程。</p> </div></div></div>
2020/4/10 12:30作者林妍溱https://www.ithome.com.tw/news/136898
抑制資料量成長，各種縮減技術應運而生
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在大數據、物聯網、人工智慧等技術浪潮的推波助瀾之下，整體資料量呈現爆炸性的增長，從市場調查機構IDC近年來發布的預測，我們可以看到所需處理的規模有多大。</p> <p>例如，在2017年4月，他們認為2025年的資料量將達到163 ZB，是2016年的10倍，而到了2018年11月，他們將2025年的資料量上修至175 ZB，以儲存位置來看，當中有將近一半是存放在公有雲環境（2023年超越存放在企業環境的比例），而即時產生的資料量占比也將達到整體的30%。</p> <p>就儲存媒體的年度出貨總儲存容量而言，IDC認為，單是2018到2021年期間，將達到6.9 ZB，若以更長的時間來看，也就是從2018年到2025年之間，可達到22ZB的規模。其中，硬碟與快閃儲存的比例分別為59%、26%，而在企業環境的核心與邊緣儲存應用當中，屆時仍有高達80%以上的資料量，是存放在硬碟。</p> <p>無論如何，企業、組織與個人都要正視資料量大幅增長的狀況，我們不只是要準備足夠的儲存空間，也必須考量到處理器運算、記憶體載入與網路傳輸的負擔，勢必也將因此變得更為沈重。不過，在IT技術的發展歷程當中，對於如何抑制資料量的增長，一直都是業界重要的課題。</p> <p>以個人電腦為例，從DOS時代開始，就陸續發展出各種檔案壓縮與硬碟壓縮的程式，後來這些工具甚至由作業系統直接內建提供（Windows 2000以後，微軟就不再提供硬碟壓縮程式）。而在Linux環境當中，若要管理檔案，往往也需要熟悉gzip、tar這類壓縮、打包指令的操作。</p> <p>而在企業儲存環境的應用上，過去我們曾陸續介紹其他後續興起的資料瘦身技術，像是精簡儲存配置（Thin Provisioning）、重複資料刪除（Data DeDuplication），原本這些功能可能都需要額外選購或搭配專屬設備，才能應用在儲存系統當中，現在已有不少產品均已內建，而且，單就本土廠牌來看，就有一些選擇。</p> <p>以Thin Provisioning為例，有不少國產的儲存設備廠商，都已經在他們的NAS或儲存陣列提供，像是：捷鼎國際、華芸科技、希瑞科技、普安科技、喬鼎資訊、先智雲端數據、威聯通科技、廣盛科技、群暉科技、商丞科技。</p> <p>若是重複資料刪除的功能，也有不少廠商的產品能夠提供，例如，捷鼎國際、希瑞科技、普安科技、喬鼎資訊、先智雲端數據、廣盛科技。</p> <p>除了企業級儲存系統提供這些資料縮減技術，在主要的作業系統平臺上，我們也看到廠商陸續有相關的進展。像是微軟Windows Server、昇陽Solaris、紅帽Red Hat Enterprise Linux，VMware伺服器虛擬化平臺所提供的儲存虛擬化環境vSAN，也引入這樣的功能。</p> <p>接下來，還會有哪些環境有可能整合資料縮減技術？</p> <p>或許接下來會輪到智慧型手機，以及各式各樣的物聯網設備、邊緣運算裝置。</p> <p>因為，這些設備的儲存空間都相當有限，系統雖然可將資料上傳至雲端服務，集中處理與儲存，但若能在裝置本機端直接進行作業，可省去一來一往的網路頻寬與等待時間，而這部份當然也可寄望儲存媒體與運算技術的進步，提供更大、更便宜的容量與運算力，但若能同時結合資料縮減技術，想必能夠替這些連網設備，提供更好的儲存空間使用效率。</p> <p>另一方面，有些儲存廠商與我們的技術主筆張明德也相當看好區塊鏈，有機會與這些資料縮減技術相互搭配。畢竟各節點傳輸的資料量過於龐大，仍是現今區塊鏈平臺發展時，索必須持續克服的重大挑戰。</p> <p>總而言之，不論IT應用是新穎或傳統，關於資料的處理能力與儲存效率，仍是整個業界能否進步的關鍵，值得大家持續關注。</p> <p><a href="https://www.ithome.com.tw/article/136749" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">企業儲存瘦身術邁向新境界</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E7%B8%AE%E6%B8%9B%E6%8A%80%E8%A1%93">資料縮減技術</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98">企業儲存</a></div><div class="field-item even"><a href="/tags/thin-provisioning">Thin Provisioning</a></div><div class="field-item odd"><a href="/tags/%E9%87%8D%E8%A4%87%E8%B3%87%E6%96%99%E5%88%AA%E9%99%A4">重複資料刪除</a></div><div class="field-item even"><a href="/tags/nas">NAS</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E7%89%A9%E8%81%AF%E7%B6%B2">物聯網</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3%E9%81%8B%E7%AE%97">邊緣運算</a></div><div class="field-item even"><a href="/tags/%E5%8D%80%E5%A1%8A%E9%8F%88">區塊鏈</a></div></div></div>
2020/4/9 09:00作者李宗翰https://www.ithome.com.tw/voice/136687
【應用更普及、運作更有效率】質、量全面擴展的儲存資料縮減技術應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/967-feng_mian_-2-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業資料量的增長速度，通常更甚於儲存媒體的容量擴展速度，單靠儲存媒體的擴充，不可能滿足近乎永無止盡的資料儲存容量需求，於是，這也成了當前資料縮減技術大行其道的根本原因。</p> <p>企業儲存應用所涉及的資料縮減技術，一般包含了Thin Provisioning、壓縮（Compression）與重複資料刪除（Deduplication）等3種。其中壓縮在IT儲存中的應用，已有數十年的歷史，至於Thin Provisioning與重複資料刪除，雖然歷史相對短了許多，但問世至今也有超過15年時間。</p> <p>過去幾年來，資料縮減技術的應用有了顯著的新進展，首先，是應用的情境，從早先的特定領域專屬功能，逐步擴展成為多數環境都能提供的通用功能。其次，是結合了新的硬體卸載技術，提供了更具效率的應用架構。</p> <p><strong><span style="font-size:28px;">資料縮減技術應用的局限與轉機</span></strong></p> <p>資料縮減技術雖然問世已久，但是在2010年代以前，應用都局限在備份、歸檔、檔案分享等二線儲存領域（Secondary Storage）。主要原因可以歸納為這兩點：</p> <p>首先，是需求的因素。比起講求高效能、高可用性的第一線主儲存（Primary Storage），二線儲存則強調擴展性與單位容量成本，尤其是備份、歸檔領域的容量耗用特別大，必須保存持續累積的資料歷史複本，因而對儲存成本也更為敏感，連帶的，對於資料縮減技術的需求也更為迫切。</p> <p>其次，是效能的因素，資料縮減技術運作時，會消耗主機或儲存設備的效能，特別是重複資料刪除的資料縮減效果最好，但耗用的資源也最大，將嚴重衝擊效能，因而也制約了這項技術適用的範圍，被限制在相對不講求效能的二線儲存領域。</p> <p>不過，到了2010年代以後，情況開始有了轉變，資料縮減技術的應用面向迅速擴大。</p> <p>一方面，出現了其他同樣對儲存成本敏感的應用領域，也需要透過資料縮減技術來幫助降低儲存成本，在當前的IT應用中，從最高階、單位成本高昂的全快閃儲存領域，到必須應付巨量資料的物件儲存，以及承擔了龐大遠端資料傳輸作業、網路頻寬成本負擔沉重的遠端複製等，資料縮減技術都能發揮顯著的作用。</p> <p>另一方面，隨著處理器效能的提高，新一代的主機與儲存設備硬體，性能有了長足進步，更能承受資料刪減作業的效能衝擊。</p> <p><strong><span style="font-size:28px;">資料縮減技術應用的新趨勢</span></strong></p> <p>過去3、4年間，資料縮減技術的應用，又有了新的進展，其中最重要的是下列這兩個面向：</p> <p><strong>第一，是走向通用與普遍化</strong>，從特定系統的專屬功能，邁向一般系統即可操作的通用功能，具體指標是Windows與Linux陸續開始內建重複資料刪除功能，任何較新版本的Windows與Linux平臺，都能啟用資料縮減，大幅降低了這類技術的應用門檻。</p> <p><strong>第二，是出現了結合硬體加速的新應用架構。</strong>過去一直困擾資料縮減技術應用的問題——資料縮減運算過於消耗主機資源，近來出現了新的解決辦法，也就是透過專門的加速硬體，來卸載資料縮減運算負擔，有效改善了資料縮減技術的運作效率，從而幫助擴大這類技術的應用範圍。</p> <p>接下來，我們便將從應用範圍擴展，以及與硬體加速的結合兩個面向，來檢視資料縮減技術應用的變化。</p> <p><a href="https://www.ithome.com.tw/article/136749" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">企業儲存瘦身術邁向新境界</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E7%B8%AE%E6%B8%9B">資料縮減</a></div><div class="field-item odd"><a href="/tags/%E9%87%8D%E8%A4%87%E8%B3%87%E6%96%99%E5%88%AA%E9%99%A4">重複資料刪除</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98">儲存</a></div></div></div>
2020/4/9 09:00作者張明德https://www.ithome.com.tw/tech/136693
從專屬功能邁向通用功能，重複資料刪除技術的全面擴散
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/967-feng_mian_-4-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在當前企業儲存應用的資料縮減技術中，重複資料刪除是效果最卓著的一種，可說是這類技術發展的指標，也是我們觀察這領域的重點。</p> <p>重複資料刪除技術問世至今，已有超過15年時間，從最初的特定領域的專屬應用功能，逐漸擴散為一般環境的通用功能，我們可將這個過程分為3個階段：</p> <p><strong><span style="font-size:28px;">第一階段：備份應用時期</span></strong></p> <p>大約在2003～2004年間，Avamar、Data Domain、ADIC等廠商，率先推出應用了重複資料刪除技術產品，都是用於備份領域，包括備份軟體、備份儲存伺服器與虛擬磁帶櫃（VTL）。</p> <p>接下來的2、3年內，又有更多廠商推出含有重複資料刪除功能的產品，而其應用的形態亦大致不脫前述的範圍，不過，此時，也開始出現其他領域的重複資料刪除應用，例如，NetApp用於FAS與NearStore儲存伺服器的A-SIS重複刪除，以及Riverbed內含重複資料刪除處理能力的Steelhead網路閘道器。</p> <p>到了2009年，這項技術在備份應用上，迎來一波高潮，在CA與CommVault帶頭下，重複資料刪除開始整合到主流備份軟體，而Acronis與Symantec（Veritas）等備份軟體大廠，也緊隨其後，重複資料刪除從此成為備份軟體的一項基本功能。</p> <p><strong><span style="font-size:28px;">第二階段：進入全快閃儲存應用</span></strong></p> <p>在2010年，備份領域完成了重複資料刪除技術的普及，與此同時，這項技術也開始被應用到一個新領域，也就是當時相當熱門的全快閃儲存陣列。</p> <p>有別於早先的全快閃儲存陣列廠商，在2010年的前後，以Pure Storage、SolidFire、XtremIO為首的新創公司，在他們發展的全快閃儲存陣列，引進重複資料刪除功能，訴求藉此減少昂貴的快閃記憶體容量耗用與寫入損耗。這樣的作法獲得了市場肯定，於是一線大廠也陸續跟進，到了2015～2016年以後，重複資料刪除開始成為全快閃儲存陣列領域的標準功能。到了今日，甚至可以說，全快閃儲存陣列必須要有這項功能，才會被視為擁有足夠的競爭力。</p> <p><strong><span style="font-size:28px;">第三階段：邁向通用環境應用</span></strong></p> <p>重複資料刪除的應用，在2016年以後又跨了一大步，開始進入一般通用應用領域。以往，只有用於備份、全快閃儲存系統的專用平臺才會提供重複資料刪除，而在此之後，通用的作業系統與應用平臺也開始內建重複資料刪除功能。</p> <p>事實上，很早就有通用作業系統提供重複資料刪除功能，但應用上一直不能打開局面。如微軟的Windows Storage Server 2003 R2，就有稱作單實例儲存（SIS）的檔案級重複資料刪除功能，但局限較大，無法發揮縮減資料的潛力。</p> <p>後來在2009年初，昇陽（Sun）Solaris提供ZFS檔案系統，成為第一個擁有完整重複資料刪除功能的通用作業系統，但Sun於2010年為Oracle併購後，Solaris與ZFS的發展便陷入低谷。接下來，到了2012年，Windows Server 2012也導入了重複資料刪除功能，但限制頗多，且只適用於NTFS，而不適用於新的ReFS檔案系統。稍後的Windows Server 2012 R2，也只略微升級了重複資料刪除。</p> <p>這樣的情況，到了2016年以後有了變化，代表性的事件，是VMware在vSAN 6.2中，提供了包含重複資料刪除在內的完整資料縮減功能，讓vSphere平臺藉此得到重複資料刪除技術應用。</p> <p>Windows平臺也有新發展。在2016年推出的Windows Server 2016，對重複資料刪除作了顯著改進；隨後，2017年發行的新版Windows Server（1709版），搭配的ReFS 3.2版檔案系統，也終於新增支援重複資料刪除，讓Windows平臺的重複資料刪除功能趨於完整。</p> <p>在Linux平臺方面，過去我們若要取得這項服務，雖然可以透過所謂的使用者空間檔案系統（Filesystem in Userspace，FUSE），來掛載ZFS、Lessfs之類具備重複資料刪除功能的檔案系統，但遠比不上原生支援來得方便與高效。</p> <p>直到2018年，RedHat在RHEL 7.5當中，導入併購Permabit後取得的VDO虛擬資料最佳化工具（Virtual Data Optimizer），可透過整合在儲存服務底層的VDO層，提供壓縮與重複資料刪除服務，而這也讓Linux平臺終於擁有完整的原生資料縮減技術。</p> <p>至此，VMware vSphere、Windows與Linux等3大主流通用平臺，都擁有了重複資料刪除功能，讓這項技術的普及進入一個新階段。綜觀目前的主流通用平臺中，重複資料刪除技術應用尚未進入的領域，也只剩公有雲平臺而已。</p> <p><a href="https://www.ithome.com.tw/article/136749" target="_blank"><span style="font-size: 22px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> <span style="color: rgb(51, 153, 255);">企業儲存瘦身術邁向新境界</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%8D%E8%A4%87%E8%B3%87%E6%96%99%E5%88%AA%E9%99%A4">重複資料刪除</a></div><div class="field-item odd"><a href="/tags/%E5%85%A8%E5%BF%AB%E9%96%83%E5%84%B2%E5%AD%98">全快閃儲存</a></div><div class="field-item even"><a href="/tags/vmware-vsphere">VMware vSphere</a></div><div class="field-item odd"><a href="/tags/windows">Windows</a></div><div class="field-item even"><a href="/tags/linux">Linux</a></div></div></div>
2020/4/9 09:00作者張明德https://www.ithome.com.tw/tech/136696
Cloud周報第60期：微軟：需求暴增，7個Azure地區運算資源的部署成功率低於平時水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/04/02～2020/04/08）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:rgb(51, 153, 255);"> 用量限制 </span></strong></span></p> <p><strong style="font-size: 22px;">為平衡用戶的使用體驗，Azure採取臨時性措施來限制服務的資源使用量</strong></p> <p>針對激增的雲端使用需求，微軟稍早宣布新資源將優先給第一線救護人員使用，使得用戶產生了許多疑慮，為此，微軟近日發布了一份公告，說明服務近期的使用情況，並回答相關疑問。以3月下旬為例，微軟觀察到北歐、西歐、英國南部、法國中部、東亞等7個雲端地區的服務需求尤其顯著，並坦言，這些地區部分運算資源的部署成功率低於平時99.99%的水準值。不過，微軟強調，儘管服務的需求明顯增加，但未出現重大的中斷情況，且因應需求的激增，他們正加快在這些地區增加新的資源容量。</p> <p>而就其頒布的資源優先支援準則，將造成用戶什麼樣的影響，微軟表示，他們正採取一些臨時性的措施，來平衡每位用戶的服務使用體驗，包含限制免費服務的使用，以優先提供容量給既有用戶，還有限制特定資源的新訂閱申請，這相當於軟性的配額限制。微軟表示，用戶若需更多資源可提出提高限制量的請求，如無法即時獲得足夠的用量，微軟則進一步建議用戶，選擇需求量較低的雲端地區作為替代地區，使用該服務。<a href=" https://azure.microsoft.com/en-us/blog/update-2-on-microsoft-cloud-services-continuity/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 故障 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google雲端基礎架構發生問題，導致資料庫服務Cloud SQL等服務故障逾12小時</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_GCP%E4%B8%AD%E6%96%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.JPG" style="width: 600px; height: 301px;" /></strong></span></p> <p>Google雲端於太平洋時間3月30日晚上6點左右，發生服務故障事件，導致部分用戶無法正常使用多個服務，包含資料庫服務Cloud SQL、資料融合服務Cloud Data Fusion和流程編排服務Cloud Composer。事發後，Google隨即於雲端服務的狀態資訊頁表示，因Google雲的基礎架構設備出現了問題，造成用戶無法建立或刪除Cloud SQL實例，還有使用Cloud Data Fusion和Cloud Composer時，將遇到較高的錯誤率，而且暫無解決方案可採取應對。Google持續更新修復進度，不過，一直到隔日早上7點，Google才宣布問題全面排除。整起事件歷時超過12小時，而Google並未說明其如何修復基礎架構的問題，也未提出任何將採取的改善措施。<a href=" https://status.cloud.google.com/incident/zall/20004">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端流量 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 協作工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療優先 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong>用量暴漲7倍的服務不是Azure，微軟澄清只有Teams服務義大利用戶數成長775%</strong></strong></p> <p>武漢肺炎（COVID-19）促使雲端及協作工具的使用需求大增，微軟於3月28日公布其雲端服務負載量的增加情況，他指出，自家雲端服務在實施社交安全距離或就地避難命令的地區，流量近期增加了775%。不過，2天後，微軟又發布了一份聲明，更正其說法，改為，「過去一個月內，Teams服務於實施社交安全距離或就地避難命令的義大利，通話和會議月用戶數增加了775%。」且除了更正官網文章的內容，微軟也向美國證交所發布了一則更正訊息。外界認為此舉是為防止用戶因飆升的使用量，而轉向使用其他公有雲業者的服務。微軟進一步表示，Teams每日用戶數已經超過4,400萬，而這些用戶一周內產生的每日會議和通話時間達9億分鐘。其Windows虛擬桌面用量成長則超過3倍之多，此外，因美國政府使用PowerBI來和民眾分享COVID-19疫情的資訊，使得PowerBI的用量一周內增加42%。微軟也再次申明，疫情期間優先提供Azure新資源給醫療急救領域的用戶使用的政策不變，包含支援緊急通報應用、災害警告系統、醫療用品供應管理及交貨系統，還有遠端工作的Teams核心功能等。<a href=" https://azure.microsoft.com/en-us/blog/update-2-on-microsoft-cloud-services-continuity/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 人事命令 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>找來業主當產品舵手，IBM延攬美國銀行前技術長擔任雲端平臺最高主管</strong></span></p> <p>IBM雲端暨認知軟體資深副總裁Arvind Krishna於4月6日正式接替Ginni Romett，擔任IBM執行長一職，他向員工發表了一封公開信，宣示混合雲和AI為公司的策略目標，同時宣布將延攬美國銀行技術長Howard Boville，出掌雲端平臺的最高主管，也就是他留下的職務空缺。Howard Boville於2012年加入美國第二大銀行美國銀行，一路負責建立和執行其雲服務，直至今年3月初傳出他已離開該銀行。而去年11月，為吸引銀行將關鍵應用和工作負載搬上公有雲，IBM於自家雲端上，打造符合金融機構法遵、資安和恢復力需求的雲端平臺，當時，美國銀行便是該平臺的第一個用戶。Howard Boville則將於5月1日正式加入IBM。</p> <p>為全力推動混合雲與AI，Arvind Krishna宣示三大行動方向。一是運用IBM資源，包括開源碼及安全方面的服務，讓用戶開發的關鍵應用可在任何地方執行；第二是推動Linux、容器和Kubernetes為新標準；第三則是持續滿足客戶需求。<a href=" https://www.linkedin.com/pulse/my-first-day-ceo-our-journey-together-arvind-krishna/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全調查工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS正式推出安全事件調查工具Amazon Detective，可自動收集分析用戶的日誌資料</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Detective_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 360px;" /></strong></strong></p> <p>AWS在去年re:invent大會上發布的資安工具Amazon Detective，近日正式推出。這個全託管服務可自動處理大量AWS日誌資料，讓用戶可在雲端環境發生資安事件時，像是駭客、惡意程式入侵等，進行調查，來找出問題的原因和影響範圍。Amazon Detective會從AWS現有安全服務，包含AWS Guard Duty和AWS CloudTrail，還有Amazon Virtual Private Cloud Flow Logs中，自動擷取用戶整個AWS環境的資源行為和互動資料，匯總到圖模型，進而利用機器學習技術來產出帳戶行為的圖表，以幫助用戶了解特定情況，像是找出異常的API呼叫或是異常的執行實例流量。AWS強調，用戶不需自行編寫程式碼，或是配置與調校查詢。</p> <p>Amazon Detective是個多帳號的服務，可以將多達1,000個成員帳號匯總到1個主帳號中，不過，因其屬地區性服務，用戶需在每一個需進行分析工作的AWS地區，分別啟用該服務。用戶可從AWS管理控制臺中啟用該服務，並且配置需要監控的成員帳戶，以及用來匯整資料的主帳戶。而該服務的使用費是根據其從各安全服務擷取的用戶資料量，按GB向用戶收費。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-detective-rapid-security-investigation-and-analysis/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>布局5G邊緣運算市場，微軟推小型版邊緣雲服務Azure Edge Zones </strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Azure%20Edge%20Zones_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 284px;" /></strong></span></strong></p> <p>鎖定5G邊緣運算的需求，微軟日前宣布推出Azure Edge Zones，挑戰AWS去年底和Verizon合作推出的邊緣雲服務AWS Wavelength。Azure Edge Zones是一個小型版的Azure雲服務，整合了Azure服務、應用平臺及管理功能，與Azure具有相同的Azure Portal、API及開發與安全工具，可開發跨雲、本地部署及邊緣環境的分散式應用，或使用AI及機器學習處理即時分析的需求。此外，該服務還整合各業者如Affirmed、Mavenir、Nuage Networks、Metaswitch、Palo Alto和VeloCloud的5G軟體、SD-WAN與防火牆技術，讓用戶使用。</p> <p>由於Azure Edge Zones仰賴電信業者的資料中心將Azure結合5G網路，微軟也宣布將和AT&T合作，在洛杉磯、達拉斯及亞特蘭大地區提供該服務，而雙方預計在今年夏天前，於洛杉磯推出服務的正式版。下一階段，微軟則計畫將該服務推向紐約及邁阿密，並增加合作的電信業者，包含加拿大Rogers、Vodafone及阿聯電信。</p> <p>Azure Edge Zones之外，微軟同時還推出另一個服務Azure Private Edge Zones，它整合的是Azure Stack Edge及電信網路專線，鎖定希望將邊緣運算搬到自家資料中心的大型企業。 <a href=" https://azure.microsoft.com/en-us/blog/microsoft-partners-with-the-industry-to-unlock-new-5g-scenarios-with-azure-edge-zones/?ranMID=24542&ranEAID=IokOf8qagZo&ranSiteID=IokOf8qagZo-EMZOSufxilF6_8PvgLb23w&epi=IokOf8qagZo-EMZOSufxilF6_8PvgLb23w&irgwc=1&OCID=AID2000142_aff_7593_1243925&tduid=(ir__nleuyqjlqgkft33xkk0sohzx0v2xn2sq3ank1xv900)(7593)(1243925)(IokOf8qagZo-EMZOSufxilF6_8PvgLb23w)()&irclickid=_nleuyqjlqgkft33xkk0sohzx0v2xn2sq3ank1xv900">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> </span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS推出專為微軟工作負載設計的上雲方案Migration Acceleration Program for Windows </strong></span></strong></p> <p>AWS近日宣布正式推出，針對微軟設計的搬遷方案Migration Acceleration Program for Windows，執行大規模微軟工作負載的搬遷工程。該方案提供規範性指引，以及專家、工具和服務的諮詢支援，來降低用戶上雲的風險和成本，並協助用戶採用雲原生和開源技術，來降低授權衍生的成本。整個方案分三階段進行，首先是準備階段，旨在讓用戶了解進行搬遷工程需具備的能力，其次是調動資源的階段，讓用戶建立可支援搬遷工程的維運能力，同時，建立搬遷計畫，最後才進入搬遷或升級的階段，由AWS 合作夥伴成員和the AWS專業服務團隊協助用戶實行計畫。<a href="https://aws.amazon.com/tw/blogs/compute/use-map-for-windows-to-simplify-your-migration-to-aws/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Office 365 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 消費版本 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>刺激消費市場雲端營收，微軟Office 365消費版本將改名並增加更多功能</strong></span></strong></p> <p>為了提升消費市場的雲端營收，微軟日前宣布Office 365消費版本從4月21日起，改名為Microsoft 365，價格維持一樣，而既有Office 365消費版用戶將陸續轉換到Microsoft 365服務。微軟表示，Microsoft 365將以現有Office 365為基礎，在Word、Excel及Powerpoint融合AI和模板，例如文字糾錯、帳戶管理功能等，協助用戶編輯文字、設計簡報或管理財務。現今Office 365個人及家用版皆提供雲端Office 365、OneDrive雲端儲存空間1TB，及Skype撥打手機或固網的60分鐘通話時間，目前已有3,800萬名訂閱用戶。Microsoft 365也將提供二種方案，分別是個人（Personal）及家庭（Family），家庭版方案則提供最多6人使用。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2020/03/30/introducing-new-microsoft-365-personal-family-subscriptions/">（詳全文）</a></p> <p><strong>圖片來源／微軟、Google雲端、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. VMware正式推出採用K8s API的vSphere 7，測試版則累計約1千名用戶使用</strong><a href="https://blogs.vmware.com/vsphere/2020/04/vsphere-7-new-generation-vsphere.html">（詳全文）</a></p> <p><strong>2. IBM Cloud終於跟進其他公有雲龍頭，宣布最新裸機伺服器將採用AMD第2代 EPYC處理器</strong><a href="https://www.globenewswire.com/news-release/2020/04/01/2010000/0/en/2nd-Gen-AMD-EPYC-Processors-Power-New-IBM-Cloud-Bare-Metal-Servers.html">（詳全文）</a></p> <p><strong>3. 印度政府鼓勵民眾使用雲端硬碟，減少實體文件傳播病毒的機會</strong><a href="https://twitter.com/_DigitalIndia/status/1244519407457415168?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1244519407457415168&ref_url=https%3A%2F%2Fwww.theregister.co.uk%2F2020%2F03%2F31%2Findia_digilocker_promotion%2F">（詳全文）</a></p> <p><strong>4. 行動程式分析機構App Annie：視訊會議程式下載量呈十倍數成長</strong><a href="https://www.appannie.com/en/insights/market-data/video-conferencing-apps-surge-coronavirus/">（詳全文）</a></p> <p><strong>5. AWS更新Redshift推出更小巧的RA3執行實例成員</strong><a href=" https://aws.amazon.com/tw/blogs/aws/amazon-redshift-update-ra3-4xlarge-instances/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年4月</strong></p> </div></div></div>
2020/4/8 16:38作者黃郁芸https://www.ithome.com.tw/news/136841
Krustlet可讓用戶在K8s上簡單部署WebAssembly工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deislabs.io/posts/introducing-krustlet/">雲端開源工具廠商Deislabs釋出了一個名為Krustlet的工具</a>，Krustlet這個字是結合Kubernetes-Rust-Kubelet創造出來的，說明Krustlet是用程式語言Rust所開發，用來提供類似Kubernetes Kubelet功能，Krustlet可簡化用戶在Kubernetes上，部署WebAssembly工作負載任務。</p> <p>之所以要在Kubernetes中支援WebAssembly，Deislabs提到，Linux容器和WebAssembly各有優點，可以成為互補的技術。Linux容器提供了作業系統等級的虛擬沙盒，可以讓用戶在單個主機上執行多個隔離的Linux系統，容器直接在物理硬體上執行，不需要進行模擬，因此執行的額外成本很小；而WebAssembly則是一種新的二進位開放格式開放標準，具有記憶體安全以及可移植的特性，能以接近原生效能執行，目前Rust、C/C++與AssemblyScript都可交叉編譯成WebAssembly。</p> <p>一開始WebAssembly是為瀏覽器所發展的，但是隨著發展，Mozilla開始把WebAssembly擴展到瀏覽器之外，建立了WASI（WebAssembly System Interface）標準，讓WebAssembly的功能可以擴展到作業系統，有了這個抽象層，開發者的WebAssembly程式，就能夠在任何支援WASI的地方執行，達到一次編譯，隨處執行的目的。</p> <p>Deislabs表示，Linux容器與WebAssembly並不處於互相競爭的位置上，Linux容器目的是要提供作業系統層級的沙盒環境，由於要靠Linux核心提供沙盒環境，因此在英特爾晶片編譯的程式碼，就無法在ARM硬體上執行；而WebAssembly是可移植的二進位格式，無論底層硬體為何，只要是支援WASI的硬體，WebAssembly程式就能夠在上面運作，不過由於WebAssembly是二進位格式，無法提供跟作業系統沙盒相同的靈活性。</p> <p>因此開發者可以依據需求，將編譯程式放在Linux容器上執行，或是將應用程式編譯成WebAssembly，而後者就可以利用Krustlet工具來部署。Deislabs提到，Krustlet的設計類似Virtual Kubelet，可以從Kubernetes API事件串流中監聽新的Pod；Virtual Kubelet是一個開源Kubelet實作，而Kubelet則是Kubernetes叢集的必要元件，叢集中每個節點都會啟動Kubelet，來處理主節點派送的任務，以及管理節點上的Pod。</p> <p>現在Kubernetes API也可以調度Pod到Krustlet上，並在waSCC或是WASI Runtime上執行，同一個Kubernetes叢集，可以同時擁有傳統Linux容器工作負載與WebAssembly工作負載，兩者也可以互相溝通。</p> <p>Deislabs現在釋出的是Krustlet第一個版本0.1.0，0.2.0版本將會支援卷宗掛載，並提供更多範例，及補充Krustlet文件。Krustlet專案完全開源，想搶先嘗試的用戶可以在<a href="https://github.com/deislabs/krustlet">GitHub</a>上取得程式。</p> </div></div></div>
2020/4/7 20:55作者李建興https://www.ithome.com.tw/news/136799
IBM新CEO上任，揭示混合雲、AI為策略目標，靠Red Hat、K8s打贏架構戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>接任Ginni Rometty的IBM新任執行長Arvind Krishna本周一走馬上任，<a href="https://www.linkedin.com/pulse/my-first-day-ceo-our-journey-together-arvind-krishna/" target="_blank">發表員工公開信</a>，宣示以混合雲、AI為公司策略目標，並視力推Red Hat、Kubernetes及容器為贏得架構戰的重點，同時公布高層新人事。</p> <p>為了爭取企業用戶，Krishna指出，IBM必須創新並引領客戶轉型，而混合雲和人工智慧（AI）為最其中兩大推力，必須成為全公司全力投入的重點。他指出IBM已經建立起大型主機、服務、中介軟體（middleware）三大平台，三者仍將支持存在，但他相信現在是時候以混合雲建立第四大平台：一個客戶能賴以執行關鍵系統的無所不在、持久的混合雲平台。</p> <p>為全力推動混合雲與AI，Krishna宣示三大行動方向。一是運用IBM其他資源打贏混合雲與AI這兩場仗，包括開源碼及安全方面的優勢及服務能量，協助客戶開發一次關鍵應用後在任何地方執行。</p> <p>第二是贏得雲端架構戰，推動Linux、容器和Kubernetes為新標準，IBM必須推動Red Hat OpenShift為混合雲的最優先選擇，一如當年將Red Hat Enterprise Linux（RHEL）推向作業系統首選一樣。第三方向則是致力於持續滿足客戶所需。</p> <p>這位新CEO也宣布新高層人事。首先，Red Hat原CEO Jim Whitehurst將出任IBM策略部門，並接下Krishna原先管理的雲端暨認知軟體部門，主管基礎技術。而Red Hat CEO一職，則由Red Hat產品與技術部門執行副總裁Paul Cormier接任，他任內最大成就是推動Red Hat訂閱制，將Red Hat由免費軟體變成巨大營收，Red Hat宣稱財星前500大企業都使用RHEL。</p> <p>此外，美國銀行技術長Howard Boville將於5月1日加入IBM，出掌雲端平台最高主管。IBM全球產業及整合客戶主管Bridget van Kralingen，將接替即將退休的Martin Schroeter，出任IBM全球市場（Global Markets）資深副總裁，並兼任現職。</p> <p>Krishna自上任起加入IBM董事會，Whitehurst也於今年初任命為總裁。而卸下執行長暨總裁身份的Rometty，則將擔任IBM董事長一職到2020年底然後退休。</p> <p>根據<a href="https://www.canalys.com/newsroom/global-cloud-market-Q3-2019" target="_blank">Canalys去年10月的統計</a>，第三季全球公有雲端市場呈現AWS（32.6%）、微軟Azure（16.9%）及Google Cloud（6.9%）三巨頭局面，IBM已在公有雲市場落敗，轉向多雲及混合雲市場為必然方向。<a href="https://fortune.com/2020/04/06/new-ibm-ceo-arvind-krishna-coronavirus-resilience/" target="_blank">Fortune報導</a>，IBM希望藉由提拔Krishna協助109年的老店改頭換面，一如Satya Nadella為微軟注入活力。不過Krishna一上任，將面臨遭武漢肺炎疫情重創的全球經濟，更加深其挑戰。</p> </div></div></div>
2020/4/7 11:35作者林妍溱https://www.ithome.com.tw/news/136793
Container周報第125期：2019年CNCF雲端原生大調查出爐，75%企業在正式環境用K8s了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong>3/26~4/1 精選容器新聞</strong></h3> <h3><span style="color:#0000FF;"><strong>#CNCF、#K8s</strong></span><br /><span style="color:#FF8C00;"><strong>2019雲端原生大調查出爐，75%企業在正式環境用K8s了</strong></span></h3> <p>CNCF基金會最近公布了一年一度的雲端原生大調查2019年報告，調查了全球1,337家企業或組織，其中3成是規模超過5千人的大企業。根據這次調查結果，在正式環境擁抱容器企業的比例已經高達了84%，在開發環境導入者也高達9成。高達19%企業在正式環境中的容器數量超過了5千個。在CNCF已經畢業的專案中，K8s的普及速度更快了，全球在正式環境使用K8s的組織超過了75%，比2018年的5成多增加了許多，而Prometheus專案的在正式環境使用的比率，在2019年也快速接近75％。另一個開始大量正式使用的專案是CoreDNS。</p> <p>K8s的用量調查上，大多數企業正式環境中管理的K8s叢集約2到5個，4成企業都是如此。但也有1成企業的K8s叢集超過了50個。K8s應用程式的打包機制以Helm為主，超過6成應用程式都支援這個格式。在本地端開發環境上，最主流的K8s環境是Minikube（39%），其次是Docker Kubernetes(32%)，使用雲端業者提供的託管K8s者和自建整套本地端K8s者都是只有2成多。</p> <p>導入無伺服器架構的企業也增加很多，至少有41%的作答者已經採用。在雲端，最多人使用的雲端Serverless服務是AWS Lambda，超過了5成採用率，其次是Google Cloud Functions，但不到2成採用率。而微軟Azure Functions排名第三，略低於GCP。而在自建平臺上，最多人利用Knative來自建Serverless平臺（34%）。</p> <p>目前已有18%組織導入服務網格技術，所用相關專案中，以Consul專案在正式環境的採用率最高，但Istio評估採用者很多，有後來居上的潛力，排名第三高的是Linkerd。</p> <p>CI/CD是雲端原生應用的關鍵流程，越來越多CI/CD工具的問世和普及，也讓企業可以加快應用程式的開發和釋出周期，從應用程式改版釋出的步調更可以看出企業CI/CD流程的成熟度。根據2019年調查，可以做到每天釋出新版的企業，從去年的15%，今年大幅增加到了27%，而2019年可以做到每周釋出的企業也有28%，等於有6成企業都具備了在一周內改版的能力。</p> <h3><span style="color:#0000FF;"><strong>#DevSecOps、#跨K8s叢集</strong></span><br /><span style="color:#FF8C00;"><strong>資安新創Zettaset資料加密平臺可以支援K8s多叢集了</strong></span></h3> <p>主打軟體加密的資安新創Zettaset最近宣布自家資料加密平臺可以支援K8s跨叢集了。企業可以用一套K8s來管理跨叢集間的加密資料流通，可以自動將加密政策管理發布到各叢集，來建立更大規模的DevSecOps計畫。原本K8s就有一套機密資料的加密保護機制，Zettaset則是提供了一個加密外掛工具，可利用軟體金鑰來進行K8s機密資料的加密，來取代常見用硬體金鑰加密的作法。另外，Zettaset指出，因為採取軟體金鑰加密的作法，企業將K8s上的加密資料處理延伸到更多DevOps流程上，讓其他微服務也能存取加密過的機密資料。</p> <h3><span style="color:#0000FF;"><strong>#監控維運、#K8s管理</strong></span><br /><span style="color:#FF8C00;"><strong>開源監控平臺OpenTelemetry進入Beta階段，提供6種語言SDK</strong></span></h3> <p>Google在去年開源釋出了一項整合式的追蹤監測平臺OpenTelemetry，這個工具可以蒐集或發送監測資訊到Prometheus、Jaeger、Cloud Monitoring、Cloud Trace等平臺，來打造一個K8s整合式監測管理基礎之用，蒐集Ap層的監控陣列資料，也支援分散式追蹤架構。在3月底時，Google終於宣布，OpenTelemetry推出了第一個Beta版本，提供了6種語言的SDK，可以用來串接和蒐集不同語言所開發的應用系統，包括了 Erlang、Go、Java、JavaScript和Python和微軟.NET的SDK支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_OpenTeemetry(1).jpg" /></p> <h3><span style="color:#0000FF;"><strong>#持續整合、#GitHub</strong></span><br /><span style="color:#FF8C00;"><strong>容器CI/CD核心元件官方版來了，Docker釋出第一個GitHub Action</strong></span></h3> <p>GitHub去年推出了Action功能，可以透過事件來驅動指定的專案動作，成了開發者打造CI/CD的關鍵功能，不少用Docker容器也建立整套CI/CD流程的開發者，也自行打造了Docker的Action功能來驅動這些流程。現在Docker終於推出的自家的第一個官方版GitHub Action功能（專案名稱build-push-action），從Docker預安裝、在雲端配置到執行部署，都能支援，像是用git SHA來進行Tagging、用OCI的標籤來進行Labelling、也支援部建階段參數和多階段版控，另外還有提供Push filter可以用來更清楚的設定，何時才需要進行容器映像檔的部建。</p> <h3><span style="color:#0000FF;"><strong>遊戲主機調度、Agones</strong></span><br /><span style="color:#FF8C00;"><strong>全球AB測試也能自動化，Google推出K8s遊戲叢集服務</strong></span></h3> <p>Google新推出K8s遊戲主機託管服務Game Servers，可以自動擴充或縮小全球各地的遊戲叢集，也可用來進行A/B或是金絲雀測試。2017年Google與法國知名遊戲開發公司Ubisoft合作，利用容器調度工具Kubernetes打造開源平臺Agones，可讓用戶直接在Kubernetes上託管、執行和擴展專有的遊戲伺服器，Agones可取代原本的伺服器管理和擴展方式，以Kubernetes來分配遊戲資源，並且管理遊戲伺服器的生命周期。現在Google推出的遊戲伺服器服務測試版，可說是一項付費的Agones託管服務。<br /> 使用者能以kubectl結合yaml，或是Kubernetes API來定義單一的遊戲伺服器，或是大型預啟用的遊戲伺服器機群。甚至，遊戲開發者很容易進行A/B測試，或是在進行配置變更時，先進行金絲雀測試，並在發生問題時，快速回退到穩定版本上。</p> <h3><span style="color:#0000FF;"><strong>#應用程式派送、#CI/CD</strong></span><br /><span style="color:#FF8C00;"><strong>Akamai強化CI/CD支援，應用全球派送速度縮短到以分計算</strong></span></h3> <p>網路派送服務商Akamai最近宣布自家大力擁抱DevOps方法，因此，提高了應用程式全球派送的速度。原本Akamai就支援DevOps工具Terraform，讓開發者可以將應用程式派送整合到自家CI/CD工作流程上，現在則加快這個派送速度，可以讓開發者調整部署配置後，數分鐘就能套用。另外，Akamai的邊緣運算機制EdgeWorkers也新增內容快取的控制，開發者可以利用快取內容來進行A/B測試或實驗新功能</p> <h3><span style="color:#0000FF;"><strong>#CIO大調查、#IT人才</strong></span><br /><span style="color:#FF8C00;"><strong>臺灣重度上雲企業更多了，2成企業大搶基礎架構人才</strong></span></h3> <p>臺灣已有近2成企業是重度雲端化的企業，內部半數應用都已經搬上了雲，根據iThome今年1、2月間，針對全臺373家兩千大規模企業IT主管的調查，基礎架構人才開始成了搶手人才之一，包括了機房維運、虛擬化管理、容器技術、K8s技術、雲端維運人才等，平均臺灣有2成大型企業今年都有相關職缺，尤其是金融業者高達45.7%要搶，政府機關也有4成要招募基礎架構人才。網路維運人才依舊熱門，有一成企業開缺，但是也有5.9％企業指明要找容器技術人才，4.8%企業有K8s人才的職缺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-964-cover-04-%E5%93%AA%E4%B8%80%E7%A8%AE%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E4%BA%BA%E6%89%8D-V2(1).png" /></p> <p><strong>責任編輯／王宏仁 </strong></p> <p><span style="color:#0000FF;"><strong>更多Container相關動態</strong></span></p> <ul><li><strong>對抗疫情，SUSE宣布將提供醫療製造業業免費容器技術支援</strong></li> <li><strong>WireGuard VPN 1.0.0隨同Linux 5.6正式出爐</strong></li> </ul></div></div></div>
2020/4/5 10:12作者王宏仁https://www.ithome.com.tw/news/136747
AI趨勢周報第126期：國、臺語和客語都能讀寫！DeepQ用12年大數據訓練出國產自然語言平臺，未來將開源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0327～0402)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeepQ </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> T-BERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言處理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國、臺語和客語都能通！DeepQ用12年新聞大數據訓練出T-BERT未來還要開源</strong></span></p> <p>HTC健康醫療事業部DeepQ不止打造擁有百萬用戶的抗疫機器人疾管家，近日還推出新一代自然語言處理平臺T-BERT，是團隊利用12年來國、臺語和客語新聞、線上教材、朗讀比賽等資料訓練而成，可讀、寫國臺語和客語，並將應用於Chatbot的語義分析和問答互動，像是疾管家、蘭醫生等。</p> <p>該平臺由DeepQ與臺大資工系副教授廖世偉聯手開發，DeepQ資深處長鄭志偉指出，團隊在Google發表超強自然語言處理預訓練模型BERT後，就開始計畫以其Transformer架構，來打造適合臺灣本土的BERT。於是，團隊鎖定國語、臺語和客語，蒐集了數十年新聞資料，以及臺語和客語等專屬文字資料，作為訓練素材；而在訓練T-BERT模型時，團隊特別利用了64萬多顆GPU和平行運算架構，來加速訓練，提升60倍運算時間，將學習時間縮短為6小時。目前，T-BERT已能自動分類9大類的國語新聞，如財經、國際等，準確度達93.7％。另一方面，由於臺語、客語資料庫相對較小，團隊採2階段微調方法，來提升準確度。</p> <p>接下來，T-BERT將支援語音轉文字功能，就可聽懂國、臺語和客語，來進行問答。DeepQ總經理張智威也指出，未來，團隊將開源釋出T-BERT。<a href="https://deepq.com/deepq-ai-tbert/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公共資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigQuery ML </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google發起COVID-19公共資料集計畫，研究員還可用BigQuery ML來建模不收額外費用</strong></span></p> <p>科技巨頭Google結合數據力和運算力來對抗武漢肺炎（COVID-19）疫情，日前宣布啟動COVID-19公共資料集計畫，來網羅目前各組織釋出的資料集，比如約翰霍普金斯大學CSSE的疫情追蹤地圖、世界銀行的全球衛生資料、開放街圖資料（OpenStreetMap）等，然後整合為一個資料庫，免費讓研究員快速查找資訊。</p> <p>此外，Google也指出，研究員可直接使用自家機器學習服務BigQuery ML和資料集中的數據，來訓練機器學習模型，不須額外付費。最後，對公共資料集計畫有興趣的研究者，可自Google Cloud Console使用這些資料集，該計畫有效期至今年9月15日。<a href="https://cloud.google.com/blog/products/data-analytics/free-public-datasets-for-covid19">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Uber </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 分散式訓練 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 計算函式庫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>上千臺機器大規模訓練AI更輕鬆！Uber開源分散式訓練函式庫Fiber </strong></span></p> <p>大量的算力可讓機器學習演算法大規模擴展，也讓分散式訓練成為可能。但這種大規模分散式訓練仍有些挑戰，比如在本地端和在生產端執行程式碼，會有一大段落差，而且缺乏動態擴展方法、沒有錯誤控管和學習成本過高等。</p> <p>為解決這些問題，Uber和OpenAI團隊聯手<a href="https://github.com/uber/fiber">開發分散式訓練函式庫Fiber</a>，可輕鬆執行分散式機器學習訓練，還能擴展至上百甚至上千臺機器，且不需要專用硬體或設備。Fiber提供了和Python一樣的標準多重處理（Multi-processing）API，因此容易上手；另一方面，使用者不需要部署Fiber，只要在電腦叢集上，像執行其他普通應用程式即可。</p> <p>在架構上，Fiber由API層、後端層和叢集從組成，API層提供基本常用的模組，像是流程處理、管理器、佇列等。後端層負責電腦叢集上建立或終止的任務，叢集層則由不同管理器組成，可幫助Fiber管理、追蹤不同工作，降低Fiber本身所需追蹤的任務。在使用上，Fiber可支援Python 3.6版本或以上的Linux系統，也能支援Google Cloud等公有雲上的K8s。<a href="https://uber.github.io/fiber/introduction/">（詳全文）</a></p> <p><img alt="" src="https://uber.github.io/fiber/img/fiber_overview.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Element AI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 武漢肺炎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言處理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>加拿大AI新創免費開源NLP工具，幫研究者找出武漢肺炎關鍵文獻</strong></span></p> <p>加拿大AI新創Element AI日前開源一套搜索工具，可讓研究者利用自然語言，從COVID-19開放研究資料集（CORD-19）中找出關鍵資訊。進一步來說，CORD-19是美國產官學界為對抗疫情，聯合建立的開放研究資料集，號稱資訊全球最豐富，彙集了4萬4千多篇相關論文。然而，其中有許多論文尚未經過同儕評審，因此，要找出關鍵資訊，可得花上一番功夫。</p> <p>為幫助研究者快速找到所需的資訊，Element AI開源自家語義搜索工具Knowledge Scout，研究者可以自然語言輸入關鍵字、片語，甚至是整個段落，搜尋引擎就能從CORD-19中，找出語義相關的資料。Element AI指出，這套語義搜索模型可以找出不同資訊間的關係，並會隨著時間來學習、改進，同時建立隱性知識庫。未來，Element AI還要將更多武漢肺炎相關資料集，納入這套工具的搜索範圍。<a href="https://www.elementai.com/covid-research">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級採樣技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DLSS 2.0 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia新版AI超級採樣技術DLSS 2.0亮相，玩Game也可享受4K畫質</strong></span></p> <p>Nvidia近日發表新版深度學習超級採樣技術DLSS 2.0，不僅能即時渲染畫面，還能達到超解析度等級。這是因為，DLSS 2.0可渲染更少像素，再以AI產生清晰、高解析度的影像。</p> <p>相較於DLSS 1.0，DLSS 2.0採用全新模型，先以非特定遊戲內容來訓練跨遊戲的通用網路，再於遊戲執行時，取得其他訓練資料，產出品質更高的畫面。此外，DLSS 2.0執行AI模型的速度，是前一代的兩倍，大幅提高每秒幀數（FPS）。而DLSS 2.0提供品質、平衡和效能三種模式，其中，效能模式可提高渲染影像4倍解析度，等於可從1080p轉換為4K解析度。<a href="https://blogs.nvidia.com/blog/2020/03/23/dlss-2-ai-gaming-directx-12-ultimate/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="412px" width="733px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="412px" src="https://www.youtube.com/embed/0X1RtXCvPFQ" width="733px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遊戲伺服器託管 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kubernetes </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出遊戲伺服器託管服務，讓遊戲開發商用K8s管理全球遊戲伺服器機群</strong></span></p> <p>Google發表雲端遊戲伺服器服務Game Servers測試版，是一款K8s遊戲伺服器託管平臺Agones的服務，可讓企業簡單管理全球多叢集遊戲伺服器機群，提供了自動縮放排程規畫，也可用來進行A/B或金絲雀測試。</p> <p>3年前，Google與法國知名遊戲開發業者Ubisoft打造Agones平臺，用戶可直接在K8s上託管、執行和擴展專有的遊戲伺服器，並管理遊戲伺服器的生命周期。現在，Agones現有用戶，只要使用Game Servers API在Agones叢集中註冊，就能加入託管服務。Google指出，該服務可讓用戶簡單調度資源，比如遊戲舉辦特別活動時，可按日期事先安排額外容量，來應付爆量等。<a href="https://cloud.google.com/game-servers">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">MetNet </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 天氣預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 降雨率 </span></strong></span></p> <p><span style="font-size:22px;"><strong>快狠準！MetNet模型精準告訴你未來8小時降雨率</strong></span></p> <p>Google近日發表了神經天氣模型MetNet，可精準預測未來8小時降雨率。MetNet是一款深度神經網路（DNN），能以每2分鐘為區間來預測，解析度可達1公里，表現還比起美國最先進的物理模擬模型好，幾秒鐘就能完成計算，比原本1小時快上好幾倍。</p> <p>有別於傳統物理模擬，Google開發的天氣預報方法，是以深度神經網路來預測，可利用TPU或GPU等資源來執行平行運算，來找出資料模式。MetNet可自動取得雷達感測系統（MRMS）和環境觀測衛星系統（GOES）的降雨預測值，作為模型輸入值，而且不需人工註釋。然後，模型會產生機率分佈，團隊可用來判斷各區域的降雨機率。<a href="https://ai.googleblog.com/2020/03/a-neural-weather-model-for-eight-hour.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-8un0Nu92sxg/XnpmRAwVH7I/AAAAAAAAFj0/44DiKjDlTfc8JxaaSKZyjcP5W8UMDzdiwCLcBGAsYHQ/s640/image1.gif" style="width: 640px; height: 388px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">呼吸音 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 肺炎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聽診系統 </span></strong></span></p> <p><span style="font-size:22px;"><strong>時時把關！AI隔空讓醫生聽見患者心音</strong></span></p> <p>自疫情爆發以來，許多醫生穿上隔離衣，卻難以透過聽診器檢查病人心跳。臺灣新創聿信醫療開發的AI連續輔助聽診系統，正好可解決這個問題。這套系統包含貼在病人胸口、僅13克的微型聽診器和貼片，以及一支可執行AI的手機，可不間斷檢測呼吸聲，隨時偵測肺臟與不同肺葉的變化，並視覺化呈現，來告訴醫護人員病人動態。</p> <p>這套AI模型由過去臨床測試紀錄的資料訓練而成，包括1,800人次、8,000多小時的呼吸聲音資料，其中30萬筆資料也已完成標註。該系統目前於臺大醫院、亞東醫院測試，能正確檢測呼吸率、氣喘音、痰音、囉音等肺部異常音。除了肺炎患者，連續呼吸監測還可應用於非插管的麻醉手術，以降低意外發生。<a href="https://heroic-faith.com/media-news/">（詳全文）</a></p> <p>圖片來源／TensorFlow、Sam's Club、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 華為開源專門打造AI App的深度學習框架MindSpore </strong></p> <p><strong>2. Nokia 5G AVA認知服務平臺將為電信商推出AI服務</strong></p> <p><strong>3. Google發表語義反應器Semantic Reactor，來強化自然語言理解能力</strong></p> <p><strong>4. 必勝客靠AI追蹤顧客瀏覽軌跡，挑出猶豫客及時發送限時折價券搶訂單</strong></p> <p>資料來源：iThome整理，2020年4月</p> <div aria-describedby="bubble-11" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -324px; top: 742px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-11"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 334.667px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/4/1 13:07作者王若樸https://www.ithome.com.tw/news/136692
又有臺廠DVR設備被揭露資安漏洞，過去半年遭多個攻擊組織鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只是監控攝影機，近期視訊監控主機（DVR）遭駭事件不斷，淪為DDoS攻擊來源，最近奇虎360旗下的網路安全研究實驗室（Netlab），揭露利凌企業（Lilin）的數款DVR存在多項漏洞，他們指出，近半年來已有多個網路組織，利用這些產品的零時差漏洞，散布殭屍網路，該研究中並提到殭屍網路的攻擊趨勢正改變，不再是過去多是使用已知漏洞入侵。利凌企業在收到通報後，已於2月14日發出資安公告，並提供修補，提醒用戶應儘速更新。</p> <h3><strong>有殭屍網路鎖定特定廠牌DVR設備漏洞，因而被發現</strong></h3> <p>關於這起事件，最早發生於2019年8月30日，Netlab 360指出，當時他們的未知威脅檢測系統偵測到，有攻擊組織的行動，是利用利凌企業DVR產品的NTPUpdate零時差漏洞，傳播Chalubo殭屍網路。</p> <p>到了今年1月，他們發現更多攻擊組織的活動，是利用該公司產品的FTP，與NTP零時差漏洞，散布FBot、Moobot殭屍網路。這也意謂著，在這半年期間，這些零時差漏洞已接連被多個攻擊組織利用。</p> <p>對於這樣的發現，Netlab 360先是在1月11日通知利凌企業，2月10日再次通報時得到對方回應。兩日後，雙方確認該資安問題，再隔兩日，回覆漏洞已修補並發布新版韌體。</p> <p>關於這次漏洞的問題，根據Netlab 360的說明，利凌DVR存在三大嚴重漏洞，包括：登入帳號密碼寫死（hard-coded）、命令注入漏洞，以及任意檔案讀取漏洞。</p> <p>其中，Netlab 360指出利凌產品的登入帳號密碼，寫死在韌體，包括root/icatch99與report/8Jg0SR8K50，而這兩組帳號密碼，其實我們在另一起之前臺廠DVR設備遭入侵的IoT攻擊事件中，曾看到該帳密在網路上被揭露過；此外，在利凌DVR網頁介面上，也有命令注入漏洞，出現多個可被注入的參數，包括NTPUpdate、FTP與NTP。</p> <p>例如，在NTPUpdate執行過程可讓攻擊者執行命令注入，原因是其中相關函式缺乏對Server字段的檢驗。此外，透過寫死在韌體的兩組帳密，攻擊者可以修改設備配置文件，之後讓設備定時同步FTP或NTP配置時，觸發注入後門命令。</p> <p>值得關注的是，Netlab 360指出，過去攻擊者行動時，多半都是透過已知漏洞入侵，而現在，一些攻擊者逐漸開始利用零時差發動攻擊，並且手段也漸趨成熟，這是他們認為需要被重視的議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%88%A9%E5%87%8C%E4%BC%81%E6%A5%ADDVR%E5%AD%98%E5%9C%A8%E5%A4%9A%E9%A0%85%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E_%E6%93%B7%E5%8F%96%E8%87%AANetlab%20360.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%88%A9%E5%87%8C%E4%BC%81%E6%A5%ADDVR%E5%AD%98%E5%9C%A8%E5%A4%9A%E9%A0%85%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E.jpg" style="width: 295px;" /></p> <blockquote><p>近日資安業者奇虎360旗下的網路安全研究實驗室（Netlab）指出，近半年有多個攻擊組織，利用利凌企業（Lilin）的DVR弱點散布殭屍網路，並認為殭屍網路出現利用零時差漏洞的攻擊新趨勢。</p> </blockquote> <h3><strong>估計影響裝置破萬，並非所有DVR產品線都受影響</strong></h3> <p>此事件發生後，在2月中旬，利凌企業已發布網路產品資安漏洞公告，說明資安風險，包括：DVR設備被惡意植入，並發動DDoS攻擊其他設備，而設備的Telnet連線，也可被外部HTTP指令惡意開啟，以及PPPoE會被更改為DHCP。</p> <p>近日，我們進一步詢問利凌企業實際情況。根據該公司在3月26日的回覆，他們除了在網站上發出資安公告，也通知用戶、主要代理商與安裝商，警告此事件的風險，是CVSS v3.1評估最高風險10分的漏洞。</p> <p>至於影響範圍方面，根據他們估計，影響裝置數量破萬，達13,062臺。這些產品有DHD5、DHD3與DHD2系列等DVR設備，因使用相同的韌體架構而受影響，型號分別為：DHD516A、DHD508A、DHD504A、DHD316A、DHD308A、DHD304A，DHD216、DHD216A，以及已經停產的DHD204、DHD204A、DHD208、DHD208A。</p> <p>另外，該公司最新發布的DVR產品線並不受影響，包括：DHD5104、DHD5216與DHD5108，與其他類型產品。</p> <p>對於產品韌體更新的機制方面，也是用戶關心的議題，該公司產品經理胡志剛表示，他們的產品是採手動更新方式，而根據該公司對於更新事項的說明，用戶在升級韌體後，首次登入系統時，將強制用戶需變更預設的帳號與密碼；此外，新版韌體將驗證NTP服務器與FTP服務的主機名稱，並增加系統加密機制，防止注入與執行任何Linux腳本或命令。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%88%A9%E5%87%8C%E4%BC%81%E6%A5%ADDVR%E5%AD%98%E5%9C%A8%E5%A4%9A%E9%A0%85%E9%9B%B6%E6%99%82%E5%B7%AE%E6%BC%8F%E6%B4%9E.jpg" style="width: 450px;" /></p> <blockquote><p>關於這次被揭露的利凌企業DVR設備的漏洞，該公司已經在2月14日發布資安公告，說明影響範圍包括DHD5、DHD3與DHD2系列等DVR設備，並指出這是CVSS評分10分的漏洞，提醒用戶盡快更新至2.0b1_20200122的新版韌體。</p> </blockquote> <h3><strong>廠商新產品將依循國內影像監控系統資安標準強化防護</strong></h3> <p>對於日後在資安方面的改進上，利凌企業提到，他們在此次事件之前，就已經著手推動，較可惜的是，在這些舊款產品中，仍然出現這個漏洞而不自知。</p> <p>事實上，利凌企業的確參與了國內近年新推動的物聯網資安檢測認證標準，目前，他們已經有幾款網路攝影機，送至台灣資通產業標準協會（TAICS）驗證資安標準，在今年初，他們也開始針對NVR與DVR系列產品進行驗證。</p> <p>在防護機制的增強上，胡志剛表示，由於駭客反組譯查出韌體內的密碼漏洞，後續為了確保開源程式碼的潛在漏洞，他們將再加上一層防護，透過AES256的加密，以更進一步確保韌體的加密性，並且驗證是否為自家韌體。</p> <p>而目前，在新款DVR系列產品，如DHD5104等，他們就提到，已使用這樣的加密韌體技術，以預防攻擊者進行反組譯分析。</p> <p>對於加州物聯網安全法的因應，也是利凌必須強化資安的主因，對於該公司的產品而言，他認為，主要議題在於不使用預設密碼及強化密碼，因此，該公司也利用相容TAICS的規範，遵守美國加州物聯網安全法，以保障當地客戶。</p> <h3><strong>多家廠商出現DVR漏洞，有可能是供應鏈安全所致</strong></h3> <p>在這次事件中，我們還注意到一個議題，可能涉及供應鏈安全方面，是上述分析報告中並未提及的部分，那就是不同廠牌的同類設備，所使用的預設帳密卻是相同的。</p> <p>在今年1月中旬，可取國際曾對旗下DVR產品發出資安通報，我們注意到該公司在1月16日與2月3日，陸續針對多款產品提供新版韌體修補。</p> <p>當時，我們針對相關漏洞問題向該公司提出詢問。根據可取國際在1月22日，所回覆的系統通知信指出，這類問題交由代理商德勝監控負責處理，於是我們也詢問德勝監控，他們表示正針對問題整理資料，但遲遲未能回覆細節。而在德勝監控的臉書粉絲專頁上，他們則宣稱，是遭受同業的惡意程式網路攻擊事件。不過，包括預設密碼、韌體寫死敏感資料等，其實是常見的資安問題。</p> <p>為此，我們當時也曾詢問到台灣學術網路危機處理中心（TACERT），因為該單位在1月16日，曾經對此事件發布漏洞預警，他們表示，這起事件應是IoT板韌體漏洞，若產品使用相同板子，就可能存在同樣問題發生。綜觀這一連串的事件，出現了一些巧合，我們認為，這背後的產品元件生態要釐清，可能牽扯到整個供應鏈安全的議題。</p> <p>是否還有其他品牌業者的DVR產品，可能存在相同風險？以及是否知道要修補？有意願修補？我們在3月27日再次詢問可取國際，以瞭解其關連與現況，但至截稿前，該公司仍未答覆。此外，我們詢問其他國內業者的DVR產品，請他們回答是否可能受同樣問題影響，例如泰景科技（Forenix），以及慧友電子（EverFocus），他們也都尚未回應。</p> <h2><span style="color:#0099ff;"><strong>近期還有另一家DVR出現漏洞，但與其他韌體後門漏洞有關</strong></span></h2> <p>在近期的國產DVR產品資安議題上，在2月底，有通航（Tonnet）DVR產品的漏洞通報事件，在台灣漏洞紀錄平臺（TVN）上揭露，同樣受到我們關注。</p> <p>在這項通報中，指出該公司TAT-76與TAT-77系列產品存在CVE-2020-3923弱點，包含韌體更新檔注入漏洞，以及維護管理介面可被未經授權存取，將讓攻擊者可取得設備權限，導致可能感染殭屍網路與發動DDoS攻擊。通航已經提供新版韌體修補。</p> <p>對此事件，我們詢問到發現該弱點的中華資安國際，該公司資安研究員蔡振華指出，這起事件與2月初俄國研究員揭露海思半導體晶片的後門漏洞有關，而他們找到的上層廠商，是中國的海思跟雄邁，由於兩家業者開發出的韌體有出現這樣的弱點，因此，其他廠商用他們的SDK進行二次開發後，這個弱點出現在其他廠商設備中。而業者修補則是直接將其中的後門服務關閉。</p> </div></div></div>
2020/3/31 14:44作者羅正漢https://www.ithome.com.tw/news/136667
WireGuard VPN 1.0.0隨同Linux 5.6正式出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多開源人士期待的VPN 軟體<a href="https://lore.kernel.org/wireguard/CAHmME9qOpDeraWo5rM31EWQW574KEduRBTL-+0A2ZyqBNDeYkg@mail.gmail.com/T/#u" target="_blank">WireGuard本周日宣布進入1.0.0正式版</a>，並隨同Linux 5.6核心釋出。</p> <p><a href="https://www.wireguard.com/" target="_blank">WireGuard</a>是由Jason A. Donenfeld開發的開放原始碼VPN程式，主打簡單快速，強調比IPSec更快、更輕巧而容易設定，且比OpenVPN效能更快。此外WireGuard還使用更強大的加密技術，包括Noise協定框架、Curve25519、ChaCha20、Poly1305、BLAKE2、SipHash24及HKDF等等。去年12月<a href="https://ithome.com.tw/news/134865" target="_blank">Donefeld宣布</a>WireGuard將內建於Linux 核心版5.6，成為Linux VPN新標準。</p> <p>WireGuard旨在像SSH一樣容易設定和部署。用它來建立VPN連線只需交換幾把簡單的公鑰，和交換SSH金鑰一樣，其他都交給WireGuard來處理即可。WireGuard甚至可以不同IP間漫遊，用戶也不需管理連線、daemon、擔心其狀態或底層複雜原理。此外還有簡單但強大的介面。</p> <p>WireGuard強調簡單，只以約4,000行程式碼實作，因而比IPSec或OpenVPN/OpenSSL容易維護及稽核安全漏洞。另一方面使用高效能的密碼學基礎及內建於Linux核心中，意謂可提供高速網路連線，很適合用於手機等小型嵌入式裝置，或是完整的骨幹路由器中。</p> <p>Donefeld指出，一些改版快的Linux發行版如Arch、Gentoo、Fedora、Clear Linux，很快就會升級到5.6 版核心。至於穩定發行版如Ubuntu、Debian或 CentOS，Donefeld表示WireGuard已經回溯移植（backported）到Ubuntu 20.04 及Debian Buster版本，最終會到Linux LTS 版5.4版核心。</p> <p>WireGuard雖然一開始是為Linux核心設計，但現在已經推出了Windows、macOS、BSD、<a href="https://apps.apple.com/tw/app/wireguard/id1441195209" target="_blank">iOS版</a>。</p> <p><a href="https://www.phoronix.com/scan.php?page=news_item&px=Linux-5.6-The-Best-Features" target="_blank">Linux 5.6</a>方面，除了WireGuard外，其他新增功能還包括支援USB 4、解決32-bit系統的2038年（Year 2038）問題（2038年問題是指西元2038年時，導致某些軟體在2038年1月19日3時14分07秒之後，無法正常作業）、支援F2FS（Flash-Friendly File System）的透通檔案系統壓縮支援、支援Amazon Echo智慧喇叭。此外，也加入AMD信賴執行環境（Trusted Execution Environment，TEE）、GeForce RTX 2000 Turing支援、修正AMD DRM驅動程式、ASUS AMD Ryzen-based 筆電，及Oracle VirtualBox共享資料匣驅動程式支援問題等等。</p> </div></div></div>
2020/3/31 13:00作者林妍溱https://www.ithome.com.tw/news/136664
一周大事：企業遠距辦公的IT對策。HITCON ZeroDay調查：僅2成臺灣企業積極處理漏洞通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>網通業抗疫實例：靠建立VPN備援機制，支撐千名員工遠距辦公需求</strong></span></p> <p>武漢肺炎疫情在全球持續延燒，即使大企業也難以倖免，像是Amazon、Google皆有員工相繼確診，使得與其接觸的員工也得採取預防措施改在家辦公，韓國也有不少企業受到衝擊，例如三星、LG Display半導體廠區，皆有員工確診染疫後，導致其中一間工廠緊急停工，造成產線停擺，恐面臨營運的損失，就連臺灣也有兩家工廠，也因所有員工必須在家隔離而無法運作。<a href="https://www.ithome.com.tw/news/136161" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣證券市場逐筆交易正式上線</strong></span></p> <p>臺股展開新的篇章，臺灣證券市場全面實施盤中逐筆交易制度。金管會證券期貨局副局長張振山表示，現今國際主要的交易市場都已採取逐筆交易，為跟上國際潮流，同時，提高交易速度與效率，是金管會推動逐筆交易的動機。</p> <p>有別於以往盤中每5秒鐘撮合一次的「集合競價」，「逐筆交易」實施後最大的不同，是委託單隨到隨撮，藉此提升交易效率。張振山表示，逐筆交易是以微秒（百萬分之一秒）為概念的速度進行撮合，相較於先前快了許多。</p> <p>證交所2014年上線的新一代交易系統，是基於證券交易制度邁向逐筆撮合的趨勢所打造的。除了升級硬體主機，也重新改造交易系統架構核心系統，自行開發逐筆撮合系統。<a href="https://www.ithome.com.tw/news/136473" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>2019臺灣資安漏洞通報大公開</strong></span></p> <p>一般而言，絕大多數的網站系統，不一定有專人定期執行漏洞檢測的工作，然而，近年開始有資安社群發起漏洞通報的活動，從這個層面來揭露相關的風險，提醒網站管理者注意。在臺灣，則有漏洞通報平臺HITCON ZeroDay提供這類服務，這是由社團法人台灣駭客協會建立的社群，iThome獨家取得最新年度統計數據，發現2019年收到漏洞通報數量最多的產業，以教育業占比最高，製造業次之，傳播及資通訊服務業排第3，光是這三者加總，就佔所有產業的一半。<a href="https://www.ithome.com.tw/news/136541" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size:28px;">Wi-Fi晶片出現安全性弱點，已有多家廠商發出公告</span></strong></p> <p>在2017年揭露的KRACK攻擊手法，震撼全球Wi-Fi用戶，因為WPA2加密連線協定被發現多個安全漏洞，今年另一個WPA2安全漏洞Kr00k浮出檯面，根據ESET目前公布的研究報告來看，當中已經列出經過他們測試而發現具有這類安全性弱點的一些設備，同時，也設置專屬網頁公布最新的修補狀態，我們根據這裡列出的資訊、向其他網路設備廠商所詢問到的相關消息，以及網路上找到的廠商公告，整理成一份清單。<a href="https://www.ithome.com.tw/news/136257" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>新光人壽防詐欺AI能快速揪出詐保業務員</strong></span></p> <p>新光人壽近幾年偶有業務員侵占保費或詐保，不僅損害商譽，也影響業務運作，光是單一個案，就會造成上千萬元損失。但要找出詐保業務員並不容易，查案時間動輒數個月，也不知道是否有共犯，或有其他受害者，也無法在出現異常的當下，先發制人。對此新光人壽利用過去10年累積的資料，來訓練關聯網路分析（SNA）模型，再根據業務員可疑行為，列出警示名單。對新光人壽來說，關聯網路分析不只縮短查案時間，更能進一步找出共犯。<a href="https://www.ithome.com.tw/news/136434" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>新版Windows終端機開始支援滑鼠輸入</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E7%B5%82%E7%AB%AF%E6%A9%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟去年推出的開源終端應用程式「新版Windows終端機」，可用來執行命令提示字元、PowerShell以及WSL（Windows Subsystem for Linux）等。在最新的Windows終端機版本0.10中，WSL應用程式以及使用虛擬終端（Virtual Terminal，VT）的Windows應用程式，現在開始支援滑鼠輸入，這代表像是tmux或是Midnight Commander這類應用程式，可以辨識用戶在終端機視窗中點擊的項目。<a href="https://www.ithome.com.tw/news/136431" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Slack大改版，對武漢肺炎研究者提供免費升級</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Slack_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Slack.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Slack</span></p> <p>協作平臺Slack翻修了使用介面，在螢幕最上方新增了一個導覽列，具備了可快速切換頻道的來回按鍵，也能用來搜尋內容；邊欄則可用來展示更多的資訊，如重要對話、檔案或程式等；另有一個撰寫快捷鍵，可先寫完之後，再決定要把訊息傳送給誰或哪個群組；也允許使用者把頻道、訊息或程式納入客製化的折疊區，如同文件夾的功能般。</p> <p>此外，Slack宣布只要是從事與武漢肺炎相關研究、回應或緩解措施的團隊，可以申請免費升級到付費版。<a href="https://www.ithome.com.tw/news/136463" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>需求量太大，微軟決定調降Microsoft Teams部份功能服務品質</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%9C%8D%E5%8B%99%E7%95%B0%E5%B8%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_downdetector.png" style="width: 350px;" /></p> <p><span style="color:#696969;">圖片來源_downdetector</span></p> <p>因應在家上班的人太多造成的爆量需求，微軟宣布將縮減Microsoft Teams部份功能，以避免服務斷線或不穩。預計的調整包括，檢查線上狀態頻率降低，顯示對方正在打字的時間間隔拉長，以及影像通話解析度等等。<a href="https://www.ithome.com.tw/news/136442" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟要求串流服務限制內容品質以免占用頻寬</strong></span></p> <p>歐盟的內部市場委員Thierry Breton多次呼籲串流服務業者、電信業者與使用者，應該努力避免網路擁塞狀況，同時要求串流業者應與電信業者配合，只提供標準品質的內容，不要再以高清內容來占用頻寬，對此全球最大影片串流服務業者Netflix同意了，表示將降低歐洲當地所有串流內容的位元速率。<a href="https://www.ithome.com.tw/news/136442" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>2019年圖靈獎得主出爐，3D電腦繪圖元老獲獎</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-turing.png" style="width: 600px;" /></p> <p>美國電腦協會（ACM）宣布2019年圖靈獎得主，也是兩位專精於3D電腦繪圖的先驅Hanrahan和Catmull。他們發表的技術不只顛覆了電腦成像，更改寫動畫電影、逼真特效和電玩遊戲的發展，47部奧斯卡金像獎提名的電影，就有44部採用他們的技術。此外，Hanrahan更與學生開發GPU程式語言Brook，間接催生了Nvidia的平行運算架構CUDA。<a href="https://www.ithome.com.tw/news/136472" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>蘋果更新MacBook Air以及iPad Pro</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_MacBook%20Air_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>蘋果發表新一代MacBook Air與iPad Pro。相較於2019年的MacBook Air，新款MacBook Air提供2倍CPU效能，繪圖效能增加80%，最陽春的版本，其儲存空間也從128GB提高到256GB，並把售價調降100美元。</p> <p>蘋果也更新11吋與12.9吋的iPad Pro，相較於2018年問世的第三代iPad Pro，第四代產品搭載了A12Z仿生晶片，內建超廣角相機、錄音室等級的麥克風，以及光達（LiDAR）感測器，打算把iPad Pro打造為全球最好的擴增實境（AR）裝置。<a href="https://www.ithome.com.tw/news/136443" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>香港以電子腕帶追蹤武漢肺炎隔離者</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%9B%BB%E5%AD%90%E8%85%95%E5%B8%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%A6%99%E6%B8%AF%E6%94%BF%E5%BA%9C%E6%96%B0%E8%81%9E%E7%B6%B2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_香港政府新聞網</span></p> <p>香港政府要求武漢肺炎居家隔離檢疫者，必須配戴電子腕帶，以掌握隔離者的行蹤。港府資訊科技總監林偉喬表示，電子腕帶內建的App並未直接蒐集配戴者的位置，而是位置的變化情形，特別是他們所在地區的電信及通訊信號，以確保當事人沒有擅自外出。<a href="https://www.ithome.com.tw/news/136468" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Microsoft Teams推出視訊會議新功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Teams_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟發表了一系列Microsoft Teams產品功能更新，例如能改善背景干擾的降噪功能，能將旁人吃零食聲音自動靜音，但仍可聽到說話者的聲音，另一個是Raise Hand功能，則是能讓遠端會議參與者想要發表意見時，能夠先發送一個視覺提示（visual cue）來取得大家注意目光，簡報者再開始說話。</p> <p>微軟這次也將Teams視訊通話功能整合到工業用頭盔，可以讓現場維護人員透過這個頭盔搭配攝影鏡頭，就能以語音方式現場與公司總部技術人員直接通話，協助他完成現場檢修作業。<a href="https://www.ithome.com.tw/news/136460" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Android 11預覽開始支援5G</strong></span></p> <p>Android 11第2預覽版加入許多新的API，例如，開發者可以利用5G狀態API，檢查使用者是否正在使用5G新無線（5G New Radio，5G NR）網路，或是使用依賴現有LTE 4G基礎設施的非獨立網路（Non-Standalone Network），藉此向使用者提示應用程式的連線品質，Google提到，開發者能結合5G動態量測API、頻寬評估API以及其他現有的連接API，以充分運用5G網路帶來的速度提升與延遲改進。<a href="https://www.ithome.com.tw/news/136519" target="_blank">更多內容</a></p> </div></div></div>
2020/3/29 03:00未署名https://www.ithome.com.tw/news/136640
IoT雙周報第78期：工廠機器人抓取技術有新突破！瑞士ETH團隊開發新型觸覺感測器，靠ML技術能識別物體施力大小
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/06~03/21精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 救災物聯網 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Linux基金會 </span></strong></span></p> <p><span style="font-size:22px;"><strong>救災物聯網專案OWL加入Linux基金會，將以開源IoT韌體打造全球救災網狀網路</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/home_duck.png" style="width: 600px; height: 404px;" /></p> <p>繼LF Edge、EdgeX、Zephyr、Project EVE等開源物聯網專案，Linux基金會近日宣布，將把救災物聯網韌體專案Project OWL納入旗下。OWL專案旨在建立一個稱為DuckLinks的網狀網路，來支援相容DuckLink技術的IoT裝置，以便於在緊急情況下提供網際網路連接。在由Linux基金會託管之後，OWL專案共同創辦人Bryan Knouse表示，成為Linux社群一分子，將有助於更快達到他們想要的救災目標，透過開源物聯網韌體共同建立一個全球緊急溝通網路。Linux基金會也廣邀開發人員，加入建立全球緊急溝通網路的行列。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧零售 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞馬遜 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鎖定智慧無人店開業需求，亞馬遜推整套Amazon Go無人商店整合方案</strong></span></p> <p>不單是自己用，亞馬遜最近宣布將把自家無人商店技術Just Walk Out商品化，可供企業自己打造出跟Amazon Go一樣的無人店。Just Walk Out是源自於Amazon Go的解決方案，整合了攝影機、感測器及電腦視覺與深度學習技術，來判斷顧客的購買行為，只要從貨架上拿了商品就可以走人，不需排隊結帳。目前亞馬遜全美已開設至少25間Amazon Go商店，都採用相同技術，近來更推出首間無人超市賣場，不只是坪數更大、商品種類也更多樣，多達5千項商品。但有一點與Amazon Go不同，亞馬遜表示，未來導入Just Walk Out的店家中，消費者不需要下載專用App，產生QR Code後刷進閘門，而改以刷信用卡來通過閘道進入店內。這套系統會偵測用戶從貨架上拿出或放回的商品及其金額，再從用戶的信用卡扣款，且能自動將收據寄給消費者。Amazon並未透露Just Walk Out的商業模式或價格，但目前已有OTG集團採用將導入美國機場餐廳及零售據點。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北市 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北市無人自駕公車獲准上路測試，9月率先開放民眾試乘</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(9).png" style="width: 600px; height: 263px;" /></p> <p>臺北市政府近日宣布將於市區展開無人自駕車公車的道路實測。其實早在3年前，臺北市就有過短暫進行無人公車上路測試，但直到今年2月獲得經濟部允許，才得以合法上路測試，這也是臺灣第二件獲准的自駕車沙盒實驗案。未來臺北市也將使用臺灣智慧駕駛公司打造的無人巴士來進行實測，最快將在5月上路測試，自駕巴士測試將會在凌晨時段進行，會以時速15公里在臺北市信義路的公車專用道展開測試。這項計畫將為期一年分3個階段進行，包括環境建置、實際道路測試，以及開放民眾試乘，並會有三輛自駕巴士進行測試，分別為1輛4米小巴，以及2輛6米中巴，測試期間將乘載測試人員，並在9月開放民眾搭乘體驗，至明年2月。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Eclipse基金會 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Eclipse基金會IoT使用者調查，6成企業開源技術自建IoT平臺</strong></span></p> <p>Eclipse基金會在最新一分年度IoT商業採用調查中指出，目前僅不到4成受訪企業正在部署IoT解決方案，另有2成企業則計畫在未來兩年內開始導入IoT。這分調查報告主要訪查全球近400家企業，雖然受訪對象多半是開發者，但也可提供企業未來採用IoT方案的參考。在IoT投資方面，該調查指出，雖然有近4成企業計畫在下一個財年增加對於物聯網的支出，但IoT預算低於10萬美元的企業也不少，比例也達3成。另外，調查還發現，破6成的企業優先採用開源技術來部署物聯網平臺，而混合雲物聯網方案，也成為另一個企業主要部署方式，有近3成受訪企業計畫採用兩朵或多朵雲搭建自己的物聯網環境，還高於私有雲（22%）和公有雲（20%）比例，並以AWS、Azure和GCP三大雲端供應商為主，且應用範疇涵蓋能源管理、樓宇自動化、智慧城市、智慧工廠及智慧農業等領域。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">物聯網安全</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧電視 </span></strong></span></p> <p><span style="font-size:22px;"><strong>雲端安全業者：2千家企業使用未驗證IoT設備，8成傳輸流量未加密</strong></span></p> <p>雲端安全廠商Zscaler近日公布研究指出，在企業防火牆內發現大量未經安全驗證的物聯網裝置，恐增加企業資安風險。該公司研究部門ThreatLabZ最近分析2千家企業用戶兩周近5億筆IoT網路封包發現，來自200多家不同製造商提供超過550款不同IoT設備，而且絕大多數都是未經授權的物聯網設備，包括了資料蒐集終端設備、數位媒體播放器、工控設備、醫療設備，就連智慧喇叭、智慧手錶、電視機上盒、IP攝影機等家庭設備都包含其中。進一步分析這些IoT網路流量發現，8成以上物聯網資料交換都是基於未加密的明文方式進行HTT P傳送，只有約1成使用SSL加密方式傳輸。該公司表示，目前每月能檢測出約1.4萬種IoT惡意軟體，數量比去年增長了7倍多，而企業IoT裝置大開門戶，也將讓駭客因此有可乘之機。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧工廠</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器手臂 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工廠機器人抓取技術有新突破，瑞士研究團隊開發新型觸覺感測器靠ML技術能識別物體施力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(49).jpg" style="width: 600px; height: 300px;" /></p> <p>瑞士蘇黎世聯邦理工學院（ETH）研究人員最近開發了一種新型的觸覺感測器，可以讓機器手臂更容易抓住濕滑或易碎的物體。就像人用手抓東西時，會依據物體觸感相應地調整握力的強度，好將它牢固握在手上，同樣地，機器人在抓夾物品時也需要有相同反饋機制，因此，研究人員透過在機器手臂上加裝一個觸覺感測器，這個感測器是由一個可彈性伸縮的矽膠材料（如同機器人皮膚）和攝影鏡頭組成，當與物體接觸時，便會在這個矽膠製皮膚上出現凹痕形狀，進而改變矽膠顏色，再由感測器下方的鏡頭記錄，並根據顏色圖案的變化，來計算出適合施加的力量。他們還使用ML技術，用來辨識不同凹痕形狀和圖案顏色對應到施力物體位置和大小，並在該物體要滑出手臂時，感測器就能識別出來，機器人便能自行調整其抓地力將物品抓牢。由於該感測器厚度為1.7公分，研究團隊目標是要達到0.5公分薄度，才容易安裝在機器手臂上使用，未來也計畫運用到可穿戴設備，或提供VR裝置加強觸覺體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">思科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AIoT </span></strong></span></p> <p><span style="font-size:22px;"><strong>思科雲端物聯網管理平臺終於採用ML技術，可供企業強化IoT裝置異常偵測</strong></span></p> <p>思科物聯網管理平臺IoT Control Center終於引進ML強化異常偵側，讓企業用戶可以使用訓練完的ML模型來管理自己IoT裝置，用來加強異常偵測以及預警通報等功能。IoT Control Center是思科2016年併購Jasper之後主推能管理物聯網平臺的雲端服務，推出至今，已有包含IoT裝置在內超過1.6億個連網裝置部署在該平臺上，其中也有不少是連網汽車。責任編輯⊙余至浩</p> <p>圖片來源／亞馬遜、Linux基金會、臺北市政府、ETH</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.無人機管理新制3月底將上路，民航局搶先開放用戶免費註冊無人機身分</strong></p> <p><strong><strong><strong>2.Nokia雲端IoT網格服務WING推出支援5G網路的IoT邊緣功能</strong></strong></strong></p> <p><strong><strong><strong>3.Waymo首度導入Alphabet以外的資金，首輪募得22.5億美元</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2020年3月</strong></strong></p> </div></div></div>
2020/3/27 10:50作者余至浩https://www.ithome.com.tw/news/136588
Firefox 76新增HTTPS-only模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wiki.mozilla.org/Firefox/Roadmap/Updates" target="_blank">Mozilla打算在Firefox 76新增HTTPS-only模式</a>，一旦啟用該模式，使用者就只能以HTTPS造訪特定網站，以強化網路瀏覽的安全性。</p> <p>HTTPS為HTTPS協定的加密版本，通常是利用SSL或TSL來加密使用者端與伺服器端的所有流量，此一安全的傳輸機制，將可避免駭客從中汲取機密資訊，特別是當使用者在進行線上購物或使用金融服務時。</p> <p>在Firefox 76中啟用了HTTPS-only模式之後，假如使用者以HTTP造訪特定網站，Firefox會自動將它升級到HTTPS版本，若未發現HTTPS版，就會跳出警告，提醒使用該站含有潛在安全風險，同時建議使用者離開，但使用者依然可堅持造訪，未來該站就會被列入HTTPS-only的白名單中。</p> <p>不過，不少人覺得這是個沒必要的功能，因為絕大多數的網站都已改用HTTPS，例如所有的Firefox流量中，已有超過80%是基於HTTPS傳輸，而<a href="https://transparencyreport.google.com/https/overview" target="_blank">Chrome的流量中</a>，除了Linux平臺的HTTPS流量低於80%之外，其它皆已超越85%，Chrome OS上的HTTPS連結率更達到96%。</p> <p>目前Firefox 76仍在早期的Nightly測試版，預計於4月釋出Beta測試版，正式版則可望於5月5日出爐。</p> </div></div></div>
2020/3/26 17:25作者陳曉莉https://www.ithome.com.tw/news/136581