iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣本土醫院首次聯合學習試驗】臺北榮總靠超級電腦驗證可行性，要讓本土AI有國際盃實力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影像辨識AI要有良好的成效，就需要夠多樣的訓練資料。「用臺北榮總資料訓練的AI模型，放到別家醫院是否還能用？」臺北榮總放射線部主任郭萬祐問道。他就是兩年前，催生臺北榮總腦瘤辨識AI模型DeepMets的關鍵人物，更是國內第一家由醫院發起聯合學習（Federated Learning）試驗的推手。 </p> <p>這套DeepMets，是臺北榮總利用20多年來累積的加馬刀腦部MR影像，與臺灣人工智慧實驗室（AI Labs）共同開發而成，30秒就能揪出腦部病灶、自動計算腫瘤體積，表現更媲美人類醫生。雖然如此，有個問題一直困擾著郭萬祐：模型是否也能精準判讀，不同於臺北榮總的異質MR影像？</p> <p>為找出答案，他先利用轉診患者的腦部MR影像，來測試DeepMets。這些轉診影像來自不同醫院，拍攝的環境、機器廠牌、型號和掃描參數都與臺北榮總不同。結果發現，DeepMets雖有能力判讀，但表現並不理想。</p> <p>於是，去年六月，他決定「走出臺北榮總牆外，」申請了健保資料AI應用服務試辦計畫，要利用健保署雲端集中式的異質醫療影像，來強化DeepMets的判讀力。</p> <p>當時，他利用健保署提供的3,000多例腦瘤資料，對自家DeepMets進行多次再訓練（Retraining），來找出提高模型表現的參數。後來，他用改良過的DeepMets來判讀不同來源的MR影像，發現經過越多次異質資料再訓練的模型，對不同廠牌影像的判讀能力越好。</p> <p><span style="font-size:28px;"><strong>突破集中式機器學習瓶頸，以共享模型取代共享資料</strong></span></p> <p>這個發現促使郭萬祐思考，要打造高解讀力的醫療影像模型，除了集中式機器學習訓練外，是否有其他方法？因為，健保署擁有全國合約醫院上傳的醫療影像資料，科技部也有國家級巨量醫療影像資料庫，供醫療院所申請AI研究，但「這都是獨步全球的作法，」很難複製到其他重隱私的國家。</p> <p>也因此，他看上近年國際上興起的聯合學習，想透過分散式機器學習訓練方法，在共享模型、而非共享資料的情形下，達到集中式訓練的效果。</p> <p><span style="font-size:28px;"><strong>利用國產超級電腦試驗聯合學習，迭代一次就達77％</strong></span></p> <p>於是，臺北榮總決定測試聯合學習在臺灣的可行性。郭萬祐找來擅長AI研究的瑞典查爾摩斯理工大學交換生Lukas Nyström，利用國網中心臺灣杉二號的雲端虛擬環境，建置了5個代表不同醫院的節點（Node），來模擬、測試聯合學習訓練方法。</p> <p>「這場試驗，可分為三大部分，來比對聯合學習與集中式機器學習的差異。」Lukas Nyström解釋，首先，他建立一個腦部MR影像資料集，八成影像來自臺北榮總、其餘來自開源影像，總共3,686例。接著，他選定最常用作腦瘤辨識的3D ResNet U-NET模型，以集中式機器學習方法，先以資料集訓練一套腦瘤辨識模型。</p> <p>這套模型，可辨識7種腦瘤，對不同來源的影像辨識度也不錯。而且，以評估模型表現的相似係數DICE值來說，該模型的DICE中位數為0.87，比人類醫生的0.74至0.85還高。</p> <p>接下來，在第二部分，Lukas Nyström在臺灣杉二號雲端虛擬環境中，設置了5個節點來代表不同的虛擬醫院，並讓訓練資料以非常態分布（Non-IID）的形式，分布在各節點。然後，他在5個節點各自訓練一套模型，用來判讀不同來源的腦瘤影像，發現「這些模型的DICE值，只有0.59。」</p> <p>最後，第三部分，他利用聯合學習方法，來改善這5個模型表現。首先，他收集這5個模型的權重，來進行聚合（Aggregation），也就是以聚合演算法（如FedAvg再加上Adaptive Momentum優化器）來整合這些權重，優化為最適合各模型的參數，再將這個參數回傳至5個節點。</p> <p>按理來說，聯合學習會不斷重複上述過程，讓模型表現越來越好，直到收斂至理想值。不過，在這次試驗中，Lukas Nyström只將迭代過一次的模型拿來測試，就得到0.77的DICE。該模型，同樣也能辨識7種腦瘤，但「模型在辨識腫瘤邊界和擴散情形時，表現不理想。」</p> <p>然而他也發現，經聯合學習訓練的模型，與集中式機器學習方法相比，較不會受到不同廠牌、不同掃描參數的影響。甚至，在一些領域表現特別好，比如多腫瘤辨識、複雜的腦瘤形狀和大小辨識，DICE值最高可達0.98。</p> <p><span style="font-size:28px;"><strong>多層隱私保護機制，讓聯合學習模型更安全</strong></span></p> <p>Lukas Nyström並未就此打住。他還針對這套聯合學習模型，採用不同資料保護方法，並進行模型測試。這是因為，聯合學習雖只分享權重而非原始資料，但攻擊者還是有可能從權重中，回推出特定的個人資料。為此，他在聯合學習模型中加入多層保護演算法，比如同態加密、SHA-256加密、差分隱私（Differential Privacy）等。</p> <p>測試結果發現，在一般加入隱私保護情況下，模型表現並不會受到太大影響（DICE值約0.7）。然而，隱私防護使用得越多、超過臨界值，模型準確度就會大幅下降。</p> <p>這個方法，證實了聯合學習不只能突破個資保護的限制，還能在額外的隱私防護機制下，訓練出可辨識異質性資料的模型。</p> <p><span style="font-size:28px;"><strong>驗證聯合學習可行性，未來要跨出臺灣、鏈結國際</strong></span></p> <p>「這次試驗，證明了聯合學習的可行性。」郭萬祐點出，聯合學習透過交換權重，不僅打破醫療數據難以分享的瓶頸，更可藉此得到集中式訓練的好處，強化AI模型對異質資料的解讀力。</p> <p>他指出，未來，臺北榮總也許能藉聯合學習，以北部總院為首，與北區其他分院來進行特定模型訓練，或更進一步，應用於榮總北、中、南部的體系醫院，甚至與其他體系醫院聯手訓練，來訓練模型。</p> <p>最後，郭萬祐也期望，臺北榮總擴大醫療聯合學習應用，走出臺灣來「打國際盃。」</p> <p><a href="http://www.ithome.com.tw/article/138578" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong> </span><span style="font-size: 20px;"><strong><span style="color: rgb(105, 105, 105);">AI隱私難題新解方：聯合學習</span></strong></span></a></p> </div></div></div>
2020/7/9 09:00作者王若樸https://www.ithome.com.tw/news/138574
【臺灣第一個聯合學習框架】靠聯合學習打造多款醫療AI，AI Labs更開源自家框架力推
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療機構中的病理資料，皆屬高度隱私數據，無法隨意存取。因此，「我們以聯合學習（Federated Learning，亦稱聯邦學習）方法來突破限制，」臺灣人工智慧實驗室（簡稱AI Labs）創辦人杜奕瑾說。</p> <p>AI Labs成立三年，就在智慧醫療領域大放異彩，不只和臺北榮總打造全球第一套腦瘤臨床判讀AI系統，還與臺大醫院、北醫附醫等醫院和疾管署，開發出肝、心、肺醫療影像和瘧疾血液抹片的疾病判讀AI。另外，也跨足精準醫療，打造能進行30億個鹼基的基因定序分析平臺，去年更加入英國國家基因研究計畫Genetic England，要推動跨國基因AI分析合作。</p> <p>然而，AI Labs既非握有醫療數據的醫院，在嚴格的個資保護法規下，就靠聯合學習來訓練模型。杜奕瑾指出，聯合學習可讓參與模型訓練的各方，在Local端以自己的資料訓練模型，再將各自的模型參數（而非原始資料）傳至中央系統，經聚合（Aggregate）後，再回放參與各方，各自利用新的參數來進行下一回合訓練。這個做法，醫院就不必共享高機敏性資料。</p> <p><span style="font-size:28px;"><strong>用聯合學習和健保醫療影像強化AI模型，打破資料藩籬</strong></span></p> <p>他舉例，今年因應武漢肺炎（COVID-19）而打造的胸腔X光判讀系統，就是其中一例。這個系統可分為兩階段，首先是判斷該X光片是否為肺炎，接著再判斷是否為武漢肺炎。</p> <p>這套模型，是以AI Labs與臺大醫院的合作成果為基礎。「今年臺灣疫情爆發前，AI Labs與臺大醫院就先打造一套肺炎檢測AI，」當時，他們利用開源資料集中的4萬多張肺炎X光片和臺大醫院資料，採非監督式方法，以正常的肺部X光片來訓練模型，接著再讓模型「看」肺炎影像，在不須醫生標註病灶的情形下，來學習判斷肺炎。</p> <p>後來，武漢肺炎在臺灣大爆發後，AI Labs與疾管署、健保署和臺大醫院組成試驗小組，利用自家醫療影像平臺TAIMedimg的聯合學習架構，先以臺大醫院的武漢肺炎影像訓練一套模型，再用健保署的武漢肺炎醫療影像，來強化模型表現，20秒就能判斷得到武漢肺炎的風險。這個模型在今年4月上線，是第一個開放給全球醫學專家使用的武漢肺炎AI模型，也部署到5家臺灣醫院使用。</p> <p><span style="font-size:28px;"><strong>從資料正義出發，自行打造開源聯合學習工具Harmonia</strong></span></p> <p>AI Labs大力擁抱聯合學習，還與杜奕瑾秉持的去中心化資訊分享理念有關。他指出，3年前AI Labs發起ptt.ai計畫，主張資料正義運動（Data Justice Movement），設計出一套不需要主機、去中心化的資訊分享演算法，還給用戶資料自主權。</p> <p>隨著AI熱浪越來越強，漸漸地，他也開始思考，如何將這個想法，推廣到AI模型開發和訓練。於是半年前，AI Labs開始著手一項聯合學習專案Harmonia，要將自家使用的聯合學習框架開源出來，讓聯合學習「Made easy」，讓用戶輕鬆訓練、部署聯合學習模型。</p> <p>有別於常見、只限於模擬用的聯合學習框架Tensorflow Federated和PySyft，Harmonia可實際用來部署。此外，Harmonia還使用工程師熟悉的環境和語言，比如熱門的開源工具Kubernetes、Git Large File Storage和GitOps等。</p> <p>在執行流程上，為進行聯合學習訓練，首先會在Git Registry選定訓練計畫，再透過Webhook來通知參與節點。接著，節點便開始訓練各自的模型，完成後，模型參數會回傳到Registry，由一個聚合器（Aggregator）來收集各節點的模型參數。</p> <p>收集完參數後，聚合器便開始整合、優化參數，再將優化過後的參數送至Registry，再回傳給各個節點，進行下一輪訓練，直到達到用戶定義的收斂標準。</p> <p>就在今年6月，AI Labs也釋出了Harmonia第一版，內容包括了Harmonia-operator SDK和差分隱私（Differential privacy）函式庫。「差分隱私是聯合學習常見的資料保護手段，」杜奕瑾指出，雖然聯合學習只取模型權重而非原始資料，但有心人士還是有可能從權重參數中，回推出特定個資。</p> <p>為防止這種攻擊，最常見的就是在回傳的權重中，加入雜訊（Noise），來混淆視聽。AI Labs也將這個方法，應用於自家的開源框架中。杜奕瑾希望，藉由開源Harmonia這一小步，可以推動聯合學習在臺灣的應用，跨出國界來加速國際聯合學習的發展。</p> <p><a href="http://www.ithome.com.tw/article/138578" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong> </span><span style="font-size: 20px;"><strong><span style="color: rgb(105, 105, 105);">AI隱私難題新解方：聯合學習</span></strong></span></a></p> </div></div></div>
2020/7/9 09:00作者王若樸https://www.ithome.com.tw/news/138575
【繞過個資共享障礙找到AI新出路】聯合學習顛覆集中式ML訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年前，Google一篇聯合學習（Federated Learning，又稱聯邦學習）部落格文章，解釋了如何以分散式訓練方法，把資料留在本地端，打造出可部署至上百萬支手機的輸入字推薦模型。這個作法，不再需要收集大量個人資料至資料中心，不僅取代傳統集中式機器學習，更一舉成為現在AI大數據與個資隱私瓶頸的解套方法。</p> <p>2017年，Google為改善自家Android虛擬鍵盤Gboard的輸入功能，設計出一套加密分散式機器學習方法。首先，個別用戶的手機會從中央主機下載一套模型，接著在數以萬計的用戶端，根據用戶端的使用行為，來訓練Local端模型。</p> <p>訓練好後，用戶手機會上傳模型權重（亦稱參數）至中央主機，中央主機收集一定數量的權重後，就會聚合（Aggregation），計算出一個優化過的權重，再回放到用戶端手機，進行下一輪訓練。</p> <p>這個過程會不斷重複，直到模型達到理想的表現。在這過程中，只會上傳模型參數，完全不會上傳使用者資料。Google指出，這個方法訓練出來的模型，不只讓搜尋功能變得更好，還能部署到「數百萬支Android手機上。」</p> <p>AI浪潮興起以來，為打造高準確度、高適應性的模型，就必須使用量大且多樣的訓練資料。但在2018年，歐盟祭出史上最嚴格的個資保護規範GDPR，限制了企業蒐集、使用個人資料的行為，這與AI熱浪的大數據需求，發生衝突。</p> <p>而聯合學習藉分散式訓練，以共享模型取代共享資料，能藉眾人之力，打造效能不輸集中式訓練的模型。這個方法，近年來在著重隱私的金融、醫療領域發酵，比如中國純網銀微眾銀行發起聯合學習框架，邀集全球金融業者，來打造信用卡防詐欺模型，或是在醫療界，Nvidia聯手倫敦國王學院，共同打造一款醫療聯合學習平臺。</p> <p>今年，臺北榮總率先發表了臺灣第一個聯合學習試驗的成果，以國產AI超級電腦來試驗聯合學習可行性，隨後，三總也在6月時宣布，加入全球20多家醫院聯手的聯合學習研究計畫，要來打造一個COVID-19病情預測模型。臺灣也開始跟上了新一波聯合學習全球浪潮。</p> <p><span style="font-size:28px;"><strong>Q：什麼是聯合學習？</strong></span></p> <p><span style="color:#FFFFFF;"><span style="background-color:#A52A2A;"> <strong>A</strong> </span></span> 聯合學習（Federated Learning）是一種分散式機器學習訓練方法，最常見的形式為Server-Client形式，由一個中央伺服器，搭配分散各地來參與訓練的多個節點（也就是Client）。各節點主機先從中央伺服器下載模型，在本地端以自己的資料來進行訓練，完成訓練後，再將各自模型的權重上傳至中央伺服器，由中央伺服器來聚合（Aggregate）這些權重。這種分散式訓練方法，可套用在不同機器學習模型的訓練過程。</p> <p>接著，中央伺服器會將優化過的權重，回傳給各節點，各節點再利用新的權重，進行下一輪訓練。這個過程會不斷重複，直到模型收斂至理想狀態。</p> <p><strong><span style="font-size:28px;">Q：聯合學習最大好處是？</span></strong></p> <p><span style="background-color:#A52A2A;"> </span><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;">A </span></strong></span> 聯合學習靠各節點貢獻自己的模型參數，來同步優化所有模型，而不需要像傳統集中式的訓練方式，需將所有資料集中來訓練。因此，就算資料因故無法共享，也可以進行聯合學習。只要加入訓練的節點夠多、資料多樣性夠高，聯合學習也能解決資料不足和模型偏見問題，訓練出最具代表性的模型。</p> <p><span style="font-size:28px;"><strong>Q：什麼是權重？所有節點都回傳權重後，才能聚合嗎？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span><span style="background-color:#FFFFFF;"> </span></strong></span>類神經網路模型由兩部分組成，一是架構，另一是權重（Weight），也就是參數。聯合學習的每一輪訓練中，不一定要取得所有節點的權重，也可以在過半數節點回傳後就進行聚合。至於這一輪未上傳權重的節點，自己訓練完模型、上傳權重後，就會得到第一輪聚合過的權重，再以新權重繼續訓練模型。</p> <p><span style="font-size:28px;"><strong>Q：採用聯合學習，得有哪些事前準備？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 參與模型訓練的節點，得採用相同的訓練程式和軟體平臺，在資料方面，也得先定義出要使用的訓練資料類型和規格。甚至執行聯合學習時，各方需採用同規格模型，像是類神經網路的層數。</p> <p><span style="font-size:28px;"><strong>Q：聯合學習有哪些種類？適合哪些產業？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 聯合學習可分為兩種，首先是跨裝置（Cross-device），比如Google利用聯合學習來訓練數萬支Android手機的Gboard模型，最後再部署到上百萬支手機。另一個是跨組織（Cross-silo），比如英特爾聯手賓州大學醫學院，與29家跨國醫療機構利用聯合學習，來開發腦瘤偵測AI演算法。聯合學習適合重個資隱私的領域，比如醫療、金融業。</p> <p><span style="font-size:28px;"><strong>Q：聯合學習與集中式訓練的模型，準確度有差別嗎？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 根據臺灣人工智慧實驗室創辦人杜奕瑾的經驗，他們多次用聯合學習來訓練醫療AI模型時，比較過兩種訓練方法的效果，只要各節點的資料分散程度越多元，訓練迭代次數越多，聯合學習的AI模型準確度可以媲美集中式訓練，甚至可以比集中式訓練更高。</p> <p><span style="font-size:28px;"><strong>Q：聯合學習有哪些框架？</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#A52A2A;"> A </span></span></strong> 常見的包括Google的Tensorflow Federated、臉書的PySyft，不過兩者只限於模擬，無法用來部署。其他框架還有Nvidia的Clara、百度的Paddle Federated Learning（PFL），以及中國純網銀微眾銀行的FATE。</p> <p>臺灣人工智慧實驗室也在今年六月，開源自家聯合學習框架Harmonia，已開放Harmonia-operator SDK和差分隱私（Differential privacy）函式庫下載。</p> <p><span style="font-size:28px;"><strong>Q：國際上，聯合學習有哪些應用案例？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 在金融方面，中國純網銀微眾銀行發起開源聯合學習專案，要集結全球金融業者，來打造信用卡防詐欺偵測模型。在醫療方面，則有Nvidia與英國倫敦國王學院，以聯合學習打造腦瘤影像分割模型；此外，還有波士頓大學與麻州總醫院MGH聯手，以電子健康紀錄（EHR）和聯合學習方法，來訓練一套預測心臟病患者住院率的模型。</p> <p><span style="font-size:28px;"><strong>Q：臺灣也有聯合學習實例？</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#A52A2A;"> A </span></span></strong> <a href="https://www.ithome.com.tw/news/138574" target="_blank">臺北榮總</a>今年利用國產AI超級電腦臺灣杉二號的雲端環境，設置了5個節點，來代表不同的虛擬醫院，並利用自家和開源的腦瘤MR影像，以聯合學習方式來訓練模型。</p> <p><a href="https://www.ithome.com.tw/news/138575" target="_blank">臺灣人工智慧實驗室</a>也利用聯合學習，開發不少醫療AI模型，比如武漢肺炎胸腔X光片偵測模型。三總也在六月，加入Nvidia與麻州總醫院體系醫院MGB發起的COVID-19聯合學習計畫。</p> <p><span style="font-size:28px;"><strong>Q：臺灣已有健保大數據計畫可供學術分享，為何還需要聯合學習？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 三總AIoT中心執行長暨醫務企畫管理室副主任李家政指出，健保大數據並未提供AI模型訓練所需的數值，比如只顯示患者在特定時間至某家醫院，進行血鉀濃度檢查，不會顯示血鉀濃度的數值。</p> <p>另一方面，臺灣人工智慧實驗室創辦人杜奕瑾指出，這些開放研究使用的資料，未必是最多樣的，而且會有選擇性偏見的問題。比如，為了確保無個資隱憂，可能選擇開放好幾年前的舊資料。透過聯合學習，可突破上述瓶頸。</p> <p><span style="font-size:28px;"><strong>Q：聯合學習有哪些挑戰？</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#A52A2A;"> A </span></strong></span> 雖然聯合學習不必將原始資料上傳，但在傳遞權重的過程中，仍可能受到模型逆推攻擊（Model Inversion Attack），透過權重來回推特定的使用者資料。常見的解法包括同態加密、差分隱私（Differential Privacy），在傳送的權重中添加雜訊（Noise）。</p> <p><a href="http://www.ithome.com.tw/article/138578" target="_blank"><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong> </span><span style="font-size: 20px;"><strong><span style="color: rgb(105, 105, 105);">AI隱私難題新解方：聯合學習</span></strong></span></a></p> </div></div></div>
2020/7/9 09:00作者王若樸https://www.ithome.com.tw/news/138577
聯合學習
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/980-feng_mian_gu_shi_-1_open-960x420.jpg?itok=57RtLVDh" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI競賽是資料的競爭，訓練資料量越多、種類越廣，AI模型的預測力就越強，但是超嚴格GDPR個資規範和隱私優先的風潮，成了蒐集訓練資料最大的障礙，如何克服？聯合學習找到了一個新出路</p> </div></div></div>
2020/7/9 09:00作者王若樸https://www.ithome.com.tw/article/138578
虛擬貨幣交易公司麒點科技遭入侵，刑事警察局揭露調查結果，是離職員工所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一起前員工破解VPN帳號密碼，存取公司研發成果及商業機密資料的事件，竟是因為發現休假的負責人帳號出現在公司內網，才被察覺，而這樣的情況，竟然發生在提供加密貨幣投資決策服務的新創公司。根據中央社等多家媒體的報導，加密貨幣量化交易公司麒點科技（Kronos Research），傳出有駭客入侵，並繞過他們公司的資安系統防火牆，得以從遠端檢視大量研發成果及商業機密，然而該公司在報警進行追查後，發現入侵的駭客是剛離職不久的陳姓男子。我們也向麒點科技確認，他們坦承確有此事，但基於本案已經進入刑事案件的偵辦流程，對於進一步的細節，該公司表示現階段不便回應。</p> <p>麒點科技由來自美國華爾街與芝加哥的創辦人於2018年成立，總部及研發中心皆在臺灣，目前旗下管理的數位資產達千萬美元，是全球加密貨幣前10大交易量的量化交易公司，於全球主要交易所的每日交易量為5億至20億美元。該公司訴求，他們透過領先的交易基礎架構，以及機器學習技術，來幫助加密貨幣投資者做出更精準的投資決策與判斷。</p> <p>這幾年來，提供加密貨幣交易服務的業者，遭受外部駭客攻擊的事件，可說是時有所聞，使得這些公司開始提升相關資安防護措施。但提供這種虛擬貨幣投資決策服務的麒點科技，此次並非遭到外部攻擊，而是因為內部管理的不足，導致離職員工能夠存取公司的內部機密。</p> <p>這起事件最初被揭露，是內政部警政署刑事警察局於7月6日下午召開記者會，<a href="https://www.cib.gov.tw/News/Detail/42765">宣布</a>破獲一起駭客入侵跨國高科技新創公司的案件。駭客於5月間入侵，並繞過受害公司的資安系統防火牆，得以從遠端檢視大量研發成果及商業機密。受害公司察覺異狀後，向刑事警察局電信偵查大隊報案，經專案小組會同被害公司分析使用者登入資訊，掌握駭客身分為民國79年次的離職員工陳姓男子。專案小組遂向臺北地方法院聲請搜索票，依法搜索及查扣涉案犯罪工具，全案依妨害電腦使用罪、妨害秘密等罪，函送臺北地方檢察署偵辦，該公司向警方報案時表示，假如他們的研發成果與商業機密因此外洩，可能會導致1億5千萬元損失。我們也嘗試聯繫刑事局，確認報案的公司是否就是麒點科技，但截稿前尚未取得聯繫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/KronosResearch-Incident-CIB-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KronosResearch-Incident-CIB-flow.png" style="width: 580px;" /></a></p> <p>刑事局指出，該名前員工具備資通訊學歷與程式編譯專長，極為熟悉電腦網路技術，進而破解該公司的VPN密碼規則，得以遠端入侵在臺負責人與經理人的電子郵件，並取得重要文件資料。而在他們清查之後，受害公司的商業機密資料，並未外流到其他企業。</p> <p>對於整起事件發生的經過，媒體報導又透露了更清楚的資訊。根據中央社<a href="https://www.cna.com.tw/news/asoc/202007060196.aspx">報導</a>，這名陳姓前員工於5月15日離職，於5月24日當天遠端入侵公司在臺負責人與經理人的電子郵件，並取得重要文件資料時，當時因另一名負責人看到，發現應該是休假且不在公司的負責人，帳號竟在公司內網出現，因而驚覺有異並報警。警方循線追查VPN存取的記錄，發現該名前員工在離職後遠端登入到公司5次，並在聲請搜索票後，於6月24日到陳男租屋處搜索及查扣相關涉案工具。</p> <p>中央社指出，這名前員工破解VPN存取前公司內部資料的原因，他供稱只是為了瀏覽自己開發專案撰寫的程式碼和部分資料，並坦承這樣的舉動是不對的行為。</p> </div></div></div>
2020/7/8 18:48作者周峻佑https://www.ithome.com.tw/news/138668
#StopHateForProfit與臉書協商破局，將擴大抵制行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在本周二（7/7）邀請發起#StopHateForProfit活動的其中4家組織進行協商，不過，參與該會議的<a href="https://www.freepress.net/news/press-releases/stophateforprofit-sees-no-commitment-action-meeting-between-campaign-leaders" target="_blank">Free Press表示</a>，他們向臉書提出了10項要求，但臉書並未承諾，也未提供時間表或清楚的結論，這令他們感到很失望。</p> <p>反誹謗聯盟（ADL）、全國有色人種發展協會（NAACP）、自由社會媒體行動組織Sleeping Giants、民權倡導組織Color Of Change、推動媒體改革與民主的Free Press，以及專門推動兒童安全技術與媒體的Common Sense，在今年6月17日發起了#StopHateForProfit活動，批評臉書放任平臺上的仇恨言論，因而鼓勵全球的廣告主在今年7月暫停於臉書上刊登廣告，在短短的半個月內，便獲得將近1,000家的廣告主響應，包括Adidas、可口可樂、百事可樂、福特汽車、本田汽車、Honda及Verizon等知名品牌。</p> <p>為了推動彼此的理解，臉書召集了此次的會議，臉書的代表包括執行長祖克柏（Mark Zuckerberg）、營運長Sheryl Sandberg，流程長 Chris Cox，全球事務及溝通副總裁Nick Clegg等，而#StopHateForProfit的代表則來自Free Press、NAACP、Color Of Change與ADL。</p> <p>不過，Free Press對此次的協商不甚滿意，他們提出了許多的要求都沒有得到預期的回應，包括希望臉書聘請具備民權專長的C級高階主管，以負責評估臉書的產品及政策在歧視、偏見與仇恨上的表現；或是由第三方定期審核該平臺的仇恨及不實資訊；也希望臉書可變更其社群準則，讓它與<a href="https://www.changetheterms.org/" target="_blank">Change the Terms</a>的規範一致，但臉書並沒有給出明確的答案。</p> <p>Free Press共同執行長Jessica González甚至批評，臉書並沒有承諾消除該平臺上仇恨言論或不實資訊的時間點，只是企圖安撫他們，卻又不肯滿足他們的需求，此次的會議就好像臉書的一場公關活動，但#StopHateForProfit的參與者都知道，這場抵制行動攸關社群的生命、安全與自由。</p> <p>而Sandberg也在會議結束後<a href="https://www.facebook.com/717545176/posts/10163750282810177/" target="_blank">發表了聲明</a>，重申臉書反對仇恨，強調臉書在兩年前就聘請第三方針對臉書平臺展開民權稽核，且結果即將出爐；Sandberg也說，儘管臉書不會執行#StopHateForProfit活動所要求的每一項改變，但他們正在改變，也會漸次將各種建議付諸實踐，這並非出自於財務原因或廣告主的壓力，而是因為這是正確的事情。</p> <p>不過González對臉書的說法並不埋單，她說，在臉書認真對待他們的要求以前，將持續擴大抵制。</p> </div></div></div>
2020/7/8 23:10作者陳曉莉https://www.ithome.com.tw/news/138672
卡巴斯基：去年感染Android裝置的惡意/廣告程式有14.8%直接進駐系統分割區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯資安業者卡巴斯基（Kaspersky）本周<a href="https://securelist.com/pig-in-a-poke-smartphone-adware/97607/" target="_blank">指出</a>，在過去一年來，感染Android裝置的惡意程式或廣告程式中，有14.8%直接進駐系統分割區，或者是內建在韌體中，而讓防毒軟體無用武之地，亦難以移除。</p> <p>這是因為Android平臺的安全模式把防毒軟體視為一般程式，因此並不允許防毒軟體處理系統目錄中的惡意程式或廣告程式，此外，更有手機製造商直接把廣告模組嵌入韌體或內建功能中，而讓使用者無所遁逃地必須經常觀看自動跳出的廣告。</p> <p>根據卡巴斯基的統計，平均約有1%~5%的使用者會碰到直接進駐系統分割區的惡意/廣告程式，但有些知名低價手機品牌的Android用戶，遭遇這類廣告程式的比例則高達27%。</p> <p>會安裝在系統分割區的惡意程式最有名的是Lezok與Triada Trojans，其它常見的還包括Agent Trojan、Sivu Trojan、Plague AdWare、Penguin Trojan、Necro Trojan、Facmod Trojan、Guerrilla Trojan、Virtualinst Trojan及Secretad AdWare等，它們有些是廣告程式，有些是會強迫使用者安裝其它程式或執行命令的後門程式。</p> <p>然而，更令人訝異的是那些在出廠前，便於韌體中植入廣告模組的手機製造商。卡巴斯基表示，有些製造商會公開承認手機韌體中就含有廣告模組，而且允許使用者將它關閉，但也有些製造商認為這是商業模式的一部份，可用來補貼低價手機的成本，而未提供關閉功能，亦有些製造商完全未揭露此一操作。</p> <p>例如中國的魅族（Meizu）就坦承手機內建了廣告模組，也提供了關閉功能。不過，研究人員卻發現魅族在手機內建的AppStore程式中暗藏了廣告程式，且魅族所開發的音樂程式則可執行一個特定的Ginkgo SDK，以用來載入廣告或秘密安裝程式。</p> <p>研究人員表示，在這些內建廣告模組的手機中，很難在移除模組時不危及系統，只能寄望以第三方的系統來刷機，但如此一來就會破壞產品的保固，同時也不見得能夠保證系統或裝置的穩定性。</p> </div></div></div>
2020/7/8 22:00作者陳曉莉https://www.ithome.com.tw/news/138669
F5發布能偵測詐欺流量的新工具Silverline Shape Defense
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>應用程式部署服務公司F5發布了一項新的安全服務<a href="https://www.f5.com/company/blog/f5-adds-ai-powered-anti-bot-and-fraud-prevention-to-popular-f5-s">Silverline Shape Defense</a>，可以讓企業用戶抵禦來自惡意Bot與網站自動攻擊。</p> <p>這項全託管服務使用F5去年併購名為Shape Security公司，其所研發的技術，Shape Security在被併購之前，提供的產品為人工智慧偵測平臺，Shape Security當時提到，他們的平臺每天可減少發生在航空、銀行與政府機構等行業，數十億次的虛假交易。</p> <p>Silverline Shape Defense使用人工智慧演算法偵測網路請求，由於詐欺攻擊通常會模擬人類的行為，進行犯罪或是破壞企業業務，而該服務能夠分辨網站上的登入請求是由人發送，還是來自惡意機器人的攻擊。F5提到，Silverline Shape Defense提供了一種線上工具，可讓企業免受到自動化形式的詐欺。</p> <p>該服務能夠阻擋惡意流量，並且增加網路流量的可見性，提供網站預防惡意行為的方法，進而減少網站計算資源的使用，並提升用戶體驗。Silverline Shape Defense被添加到F5 Silverline託管安全服務產品組合中。</p> </div></div></div>
2020/7/8 22:20作者李建興https://www.ithome.com.tw/news/138666
美國起訴了對外出售全球數百個組織登入憑證的哈薩克駭客Fxmsp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-wdwa/pr/citizen-kazakhstan-known-fxmsp-charged-computer-fraud-wire-fraud-and-conspiracy-hacking" target="_blank">美國司法部在本周起訴</a>了成功駭進全球數百個組織，並於地下論壇兜售相關登入憑證的哈薩克駭客Fxmsp。</p> <p>今年37歲的Fxmsp本名為Andrey Turchin，他從2017年10月起便與同夥針對全球組織進行網路攻擊，所採取的技倆包括掃描網路上公開的遠端桌面協定（RDP）連結埠，再執行暴力破解，或是透過網釣攻擊取得組織的員工憑證，再伺機於組織內植入惡意程式並竊取管理員憑證，以建立永久的存取能力。</p> <p>迄今Turchin已成功入侵全球逾40個國家的數百個組織，從私人企業、教育機構到政府組織等，隨後Turchin即在各大犯罪集團聚集的暗網中兜售這些登入憑證，還會提供憑證的免費試用，價格從數千美元到數十萬美元不等。</p> <p>其實Turchin在資安界赫赫有名，因為去年他曾在暗網中銷售宣稱來自Symantec、趨勢科技，以及McAfee等3家<a href="https://www.ithome.com.tw/news/130659" target="_blank">防毒軟體業者的程式碼</a>，每個品牌的售價為30萬美元。但當中只有趨勢科技承認其獨立的測試實驗室遭駭，Symantec則說很確定未被入侵，McAfee迄今未對外表態。</p> <p>Turchin被指控5項罪名，包括共謀駭入電腦、電腦詐欺與濫用、存取裝置詐騙與電信詐欺等，根據BleepingComputer<a href="https://www.bleepingcomputer.com/news/security/doj-indict-fxmsp-hacker-for-selling-access-to-hacked-orgs-av-firms/" target="_blank">的報導</a>，Turchin已在哈薩克被當地警方逮捕。</p> </div></div></div>
2020/7/8 22:30作者陳曉莉https://www.ithome.com.tw/news/138670
Magic Leap延攬微軟前主管Peggy Johnson擔任執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>致力於開發混合實境（MR）頭戴裝置的Magic Leap<a href="https://www.magicleap.com/en-us/news/press-release/magic-leap-appoints-peggy-johnson-as-new-chief-executive-officer" target="_blank">在本周宣布</a>，已延攬之前曾擔任微軟商業開發執行副總裁的Peggy Johnson接掌Magic Leap的執行長一職，並將於今年的8月1日生效。</p> <p>Johnson畢業於聖地牙哥州立大學的電機工程系，之後加入高通擔任工程師，在高通的職業生涯長達24年，也從技術的角色轉型到商業，她在2014年進入微軟，擔任微軟的執行副總裁，負責商業開發及合作關係的建立。</p> <p>另一方面，由Rony Abovitz在2010年創立的Magic Leap曾獲得Google及阿里巴巴的投資，在2016年的市值為45億美元，但該公司一直到2018年才推出首個MR眼鏡產品Magic Leap One Creator Edition，外傳只售出數千個。Magic Leap在今年4月宣布組織重整，裁撤約1,000名員工，同時將重心移至企業市場。</p> <p>Magic Leap今年5月再度募資3.5億美元，Abovitz也宣布將卸下執行長職務。在公布新的執行長人選之後，Abovitz說，隨著Magic Leap準備針對企業推出商業化的空間運算服務，相信Johnson將是最好的執行長人選。</p> </div></div></div>
2020/7/8 22:45作者陳曉莉https://www.ithome.com.tw/news/138671
Google發布採用A100 GPU的高效能虛擬機器A2系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在Compute Engine中，推出採用Nvidia新GPU A100的虛擬機器<a href="https://cloud.google.com/blog/products/compute/announcing-google-cloud-a2-vm-family-based-on-nvidia-a100-gpu">A2系列</a>，該系列目前有5種規格，最高規格a2-megagpu-16g搭載16顆A100 GPU，且擁有1.3 TB的系統記憶體，FP16精度運算能力達10 Petaflops。</p> <p>A100是Nvidia在今年5月才推出的資料中心級GPU，其採用全新的Ampere架構，與上一代Volta架構的V100相比，A100使用新的Tensor Float 32格式，其運算速度比使用FP32的V100快10倍，而且還具有增強的16位元數學運算能力，能以比TF32快兩倍的速度，支援FP16與BF16，A100除了INT8，還支援INT4與INT1的張量運算。</p> <p>而且A100還提供多重執行個體群組功能（Multi-Instance Group，MIG），可以將1個GPU劃分成最多7個執行個體，每個執行個體間效能以及故障相互完全隔離。每個A100 GPU提供的效能，可比上一代多20倍，而且還搭配了40 GB的高效能HBM2 GPU記憶體，Google提到，搭載A100的新虛擬機器系列A2，適合用來處理諸如CUDA機器學習訓練和推論，以及高效能計算等運算密集的工作。</p> <p>為了加速多GPU的工作負載，A2系列使用了Nvidia HGX A100所使用的高速NVLink，GPU對GPU頻寬高達600 GB，A2虛擬機器可選搭配96個英特爾Cascade Lake vCPU、本地端SSD和100 Gbps網路連結。特別的是，A2虛擬機器在底層GPU伺服器平臺架構提供vNUMA（Non-Uniform Memory Access）透明性，可以讓使用者執行進階的效能調校。</p> <p>A2系列提供了5種規格，最低規的a2-highgpu-1g使用1個A100 GPU，搭配12個vCPU和85 GB的系統記憶體，而最高階的規格a2-megagpu-16g，則一次搭載16顆A100 GPU，擁有640 GB的GPU記憶體，並使用96個vCPU配置1.3 TB的系統記憶體，NVLink總頻寬高達9.6 TB/s，這個效能怪獸單個執行個體，能以FP16精度提供10 Petaflops運算能力，而Int8更高達20 PetaOps。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP_A2-1_max-1200x1200.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/8 17:30作者李建興https://www.ithome.com.tw/news/138663
Keeper駭客集團發動Magecart攻擊，滲透570個電子商務網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Gemini Advisory在今年中偵測到頻繁的Magecart攻擊，追查之下才發現相關攻擊源自於Keeper駭客集團，且從2017年4月迄今，Keeper已經成功滲透了全球55個國家的570個電子商務網站，而在2018年7月至2019年4月間，就盜走了18.4萬張金融卡資訊，估計非法取得的金融卡資訊可能多達70萬張。</p> <p>Magecart為一專門鎖定電子商務網站的惡意軟體，它會在網站上注入Skimmer惡意程式碼以竊取使用者的付款資訊，受到許多駭客集團的青睞，包括Keeper在內。</p> <p>根據Gemini Advisory的<a href="https://geminiadvisory.io/keeper-magecart-group-infects-570-sites/" target="_blank">分析</a>，被Keeper滲透的570個電子商務網站中，有超過150家位於美國，且英國、荷蘭、法國、印度、巴西也有不少網站受害。而這些電子商務網站有超過85%採用開源的Magento平臺，5.5%採用WordPress，4.2%採用Shopify，以及2%採用BigCommerce。</p> <p>研究人員在Keeper的控制台上發現了18.4萬張金融卡資訊，時間點位於2018年7月到2019年4月間，估計從Keeper於2017年展開行動以來，應該已蒐集了70萬張金融卡資訊，假設每筆無卡支付資訊（Card Not Present，CNP）在暗網中的售價為10美元，那麼這幾年來該集團的不法獲利可望達到700萬美元。</p> </div></div></div>
2020/7/8 15:50作者陳曉莉https://www.ithome.com.tw/news/138664
ARM分拆IoT業務將轉給軟銀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠ARM昨（7）日<a href="https://www.arm.com/company/news/2020/07/focus-on-core-semiconductor-ip-business" target="_blank">宣布</a>將把旗下兩家物聯網部門分拆出來，轉移到其母公司軟體銀行（SoftBank）中，以專注於晶片的設計本業。</p> <p>這次轉移的部門包括IoT服務事業群（IoT Services Group，ISG）、IoT平臺、企業資料管理（IoT Platform and Treasure Group）及其關係事業。Arm表示，在完成移轉後，Arm將專注在核心的半導體IP業務上，也會和這些單位持續合作。</p> <p>ARM 2018年收購了資料分析公司Treasure Data以打造IoT裝置管理平臺，可配合出貨的ARM晶片提供客戶IoT資料分析服務。而ARM本身則是在2016年為軟銀收購。</p> <p>ARM執行長Simon Segars指出，軟銀在管理新創事業的經驗，將可協助兩個資料部門擴大獲取資料商機的潛力，這次轉移也讓ARM更能從事智財的創新，支援其合作夥伴拿下運算解決方案的市場機會。</p> <p>這樁交易包含董事會審核、內部合約作業等事宜，預計今年9月完成。</p> </div></div></div>
2020/7/8 15:10作者林妍溱https://www.ithome.com.tw/news/138659
CNCF接受K8s輸入控制器Contour成為孵化專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CNCF雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）宣布接收來自VMware的開源Kubernetes輸入（Ingress）控制器<a href="https://www.cncf.io/announcement/2020/07/07/toc-accepts-contour-as-incubating-project/">Contour</a>，成為最新的CNCF孵化專案。</p> <p>Contour由一間名為Heptio的公司開發，Heptio後來被VMware併購，Contour也就進到了VMware旗下。Contour透過部署Envoy代理作為反向代理和負載平衡器，來控制流入Kubernetes的流量，Contour支援動態更新，並可透過限制命名空間支援多團隊的Kubernetes叢集，能夠方便地配置虛擬主機和TLS憑證，並提供進階的負載平衡政策。</p> <p>而Envoy則是Lyft創建，目前同樣是由CNCF託管，是一個開源的邊緣與服務代理，廣泛地被整合在各種雲端原生應用程式中，Envoy以獨立的程序與每個應用程式伺服器共同運作，能夠抽象化基礎設施，提供常用的網路功能，所有的Envoy會組成一個透明溝通網格，應用程式流量便在這個網格之中流動，當有問題發生時，用戶便能快速地找出問題來源。</p> <p>Lyft軟體工程師Matt Klein表示，要使用Kubernetes執行大規模工作負載，關鍵之一便是實作有效的OSI第7層流量輸入管理，而Contour整合Envoy，提供了存取Kubernetes叢集中應用程式的方法。CNCF技術長Chris Aniszczyk則提到，由於現代分散式架構系統仰賴網路以及連接性，這使得Kubernetes輸入控制成為架構不可缺少的部分，他認為，Contour是Envoy邏輯上的補充，可以容易地用於雲端原生與多團隊的環境。</p> <p>Contour已經被多家企業使用，包括Adobe使用Contour作為自家多租戶Kubernetes平臺Ethos的輸入控制器。社群也已經制定了Contour明確的發展路線，計畫支援Kubernetes Service API以及跨Kubernetes叢集路由服務，另外，Contour還會擴大支援Envoy，加入速率限制、身份驗證以及存取日誌服務等功能。</p> </div></div></div>
2020/7/8 15:45作者李建興https://www.ithome.com.tw/news/138653
武漢肺炎主題垃圾信攻擊企業客戶，微軟提告準備掃蕩惡意網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）期間網路罪犯藉機散發療法、健康知識及相關資訊的垃圾郵件獲利。其中一批垃圾郵件向微軟用戶下手，昨（7）日微軟一項民事訴訟請求獲得美國地方法院批准，即將出手掃蕩發送這些垃圾郵件的網域。</p> <p>微軟客戶安全與信任部門企業副總裁Tom Burt<a href="https://blogs.microsoft.com/on-the-issues/2020/07/07/digital-crimes-unit-covid-19-cybercrime/" target="_blank">指出</a>，這幫網路罪犯利用武漢肺炎疫情為名目發送垃圾及惡意郵件，詐騙微軟62個國家的客戶。在取得美國法院發出的命令後，微軟將得以查緝及接管垃圾郵件網路基礎架構的主要網域，以杜絕未來再用於發動攻擊的可能性。</p> <p>其實微軟數位犯罪小組（Digital Crimes Unit, DCU）去年12月就觀察到，駭客利用高明而新式的釣魚技倆來入侵微軟客戶帳號，這批釣魚信件使用所謂的變臉攻擊（BEC）手法，即冒充公司高層主管、客戶或其他可信任的單位，以騙取員工提供公司機敏檔案或資訊，或是直接要求轉帳。而在COVID-19相關詐騙信件中，駭客則是以如「COVID-19補助」為名義，騙取用戶點選釣魚網址連結，誘使用戶輸入Office365的帳號密碼，藉此取得企業員工在Office 365下的電子郵件、聯絡人、工作筆記，或是儲存在OneDrive for Business及SharePoint平臺上的業務文件和其他重要資訊。</p> <p>另外，微軟今年5月也發出<a href="https://www.ithome.com.tw/news/137399" target="_blank">警告</a>，一批信件以「COVID-19相關訊息」為主旨的信件向美國CPA協會會員發送，信中所附的ZIP Archive檔開啟後釋出看似ISO檔，實則為內含Remcos的惡意.SCR檔。而南韓也有數家製造業接到冒充南韓疾管署的衛生警示網路（Health Alert Network，HAN）的垃圾郵件，誘使用戶開啟惡意的ISO附檔。</p> <p>去年以來，微軟也相繼<a href="https://www.ithome.com.tw/news/135119" target="_blank">掃蕩</a>了伊朗、俄羅斯、中國、北韓駭客使用的網域，包括曾在臺灣造成災情的<a href="https://www.ithome.com.tw/news/136274" target="_blank">Necurs</a>。</p> </div></div></div>
2020/7/8 14:20作者林妍溱https://www.ithome.com.tw/news/138654
Alphabet Loon氣球連網商用服務正式在肯亞推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門打造氣球連網服務的Alphabet子公司Loon於本周二（7/7）<a href="https://medium.com/loon-for-all/loon-is-live-in-kenya-259d81c75a7a" target="_blank">宣布</a>，已於非洲的肯亞推出全球第一個氣球連網商用服務，初期該服務已覆蓋近5萬平方公里的地面，讓當地中西部地區的民眾都能透過高空氣球連網。</p> <p>Loon原本只是Google X於2013年建立的實驗專案，2018年7月才成為Alphabet的子公司。Loon執行長Alastair Westgarth坦承，連他自己都沒想到這個瘋狂的點子竟然會成真。</p> <p>Loon被視為飄浮基地臺，利用氣球把通訊設備發送到離地表約18~23公里的平流層，它有兩個主要的無線電收發器，一個用來將網路能力傳送給地面上的LTE手機，另一個則是用來連結地面上的網路基礎設施與其它氣球，跟著氣球升空的還有用來供電的太陽能板，與用來控制氣球位置的GPS套件。</p> <p>現階段每顆氣球可覆蓋直徑約80公里的地面，可服務數千名使用者，其上傳速率為4.74Mpbs，下載則是18.9Mbps，每顆氣球的平均壽命為223天。</p> <p>Westgarth表示，Loon在肯亞是與當地的Telkom Kenya電信業者合作，它不但是全球第一個商業運轉的Loon服務，非洲第一個氣球連網服務，也是Loon首度大規模應用在非緊急事件上。他們預計於肯亞發射至少35顆氣球，以擴大覆蓋範圍，同時強化服務的連貫性。根據實測，Loon氣球連網服務可支援語音通話、視訊通話、YouTube、WhatsApp、電子郵件或網路瀏覽等服務。</p> <p>現階段全球的連網服務主要來自於地面服務（基地臺、光纖或微波連結）與衛星網路。Westgarth指出，Loon並未打算、也不應取代這兩類服務，而是作為與它們互補的服務；目前全球仍有38億人口無法連網，Loon將可協助這些位於偏遠地區的人們連上網路，也能在發生天然災害時派上用場，例如去年秘魯發生8.0大地震，震壞了地面上的基地臺時，Loon在48小時內就發射了連網氣球以協助當地進行通訊。</p> <p>Loon氣球飛行的高度遠高於商用客機，可避免飛安事件；而當氣球要退役時，它會先洩氣並自動跳出降落傘，再由地面的控制中心利用GPS與氣流，把氣球引導至人煙稀少的地區降落。</p> </div></div></div>
2020/7/8 15:00作者陳曉莉https://www.ithome.com.tw/news/138655
法國政府建議電信商避免採購華為產品，英國也考慮逐步禁用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國網路安全主管機關本周表示將限制法國電信業者使用華為，昨（7）日英國首相也一反之前的政策，表示將思考淘汰華為設備。</p> <p>法國政府今年初即<a href="https://world.huanqiu.com/article/3wyuIlZ7bNi" target="_blank">表達出</a>限用華為的意圖。本周一法國國安網路安全署(ANNSI) 署長Guillaume Poupard接受當地媒體Les Echos訪問時<a href="https://www.lesechos.fr/tech-medias/hightech/il-ny-aura-pas-un-bannissement-total-de-huawei-affirme-le-patron-de-lanssi-1221434" target="_blank">又指出</a>，在5G網路布建的時，法國政府不會祭出完全禁令，但該署仍會鼓勵那些目前沒有使用華為設備的電信業者，儘可能避免換成華為的產品。</p> <p><a href="https://www.lesechos.fr/tech-medias/hightech/huawei-pekin-met-la-pression-sur-paris-pour-la-5g-1221652" target="_blank">中國方面</a>重申抗議，要求法國政府應承諾一個「公平而無歧視的」的競爭環境。</p> <p>而英國也可能擴大縮減該國5G網路使用華為設備的比例。英國首相Boris Johnson周一<a href="https://www.washingtonpost.com/world/europe/huawei-5g-uk/2020/07/06/7477b862-bf8e-11ea-8908-68a2b9eae9e0_story.html" target="_blank">表示</a>英國可能改變原有對華為的立場，進一步限制這家中國電信業巨人在英國5G網路的角色。Johnson說雖然他決心將寬頻推向該國每一角落，但是英國無論如何不能受高風險廠商的威脅，因此他們必須審慎思考該如何做出抉擇。</p> <p>英國媒體5月<a href="https://www.ithome.com.tw/news/137820" target="_blank">報導</a>，Johnson政府正在草擬一項電信政策，計畫將華為於英國電信網路的市占率，在2023年之前由原訂的35%將為0%。</p> <p>一般認為，英國方面在華為立場的大反轉，一方面是出於美國政府的壓力、也可能來自歸咎中國處置武漢肺炎不當，以及香港問題引發英方的不滿情緒。去年鎮壓香港反送中運動，上周通過的港版國安法引發英國官員的批評。華盛頓郵報<a href="https://www.washingtonpost.com/world/europe/huawei-5g-uk/2020/07/06/7477b862-bf8e-11ea-8908-68a2b9eae9e0_story.html" target="_blank">引述</a>中國駐英大使劉曉明在和Johnson的視訊會談中說，如果英國視中國為敵而禁用華為，則英國必須承擔後果。</p> <p>英、法政府的決定將讓美國嚴打華為的路線贏得盟友。美國聯邦訊委員會（FCC）上周宣布，因華為、中興協助中國政府進行間諜行為，正式<a href="https://www.ithome.com.tw/news/138534" target="_blank">指稱</a>兩家中國公司為美國的國安威脅。</p> </div></div></div>
2020/7/8 12:00作者林妍溱https://www.ithome.com.tw/news/138650
全球武漢肺炎疫苗研發帶動R語言需求，達到Tiobe排名新高第8名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>R語言在7月的熱門程式語言排行榜<a href="https://www.tiobe.com/tiobe-index/">Tiobe Index</a>，達到了排名新高，去年同期R語言的排名還在21名，而近幾個月由於武漢肺炎（COVID-19）的疫情，大學和研究機構因為開發疫苗的統計需求，因此R語言開始往上爬，從上個月的第9名繼續往上到了第8名。</p> <p>這個現象特別的地方是，近兩年Python與R語言的統計程式語言之爭，Python似乎贏面更大，在<a href="https://spectrum.ieee.org/computing/software/the-top-programming-languages-2019">IEEE Spectrum的程式語言排名</a>，總是位居第一，雖然R語言在2019年的時候進到第5名，但是之間仍然有很大的差距，IEEE Spectrum提到，Python擁有豐富的函式庫，尤其是不少熱門的深度學習函式庫，再加上Python在嵌入式應用的表現，因此讓Python一直很受歡迎。</p> <p>相較起來，R語言不像Python的應用包山包海，但在7月的R語言Tiobe排名，卻在Python仍在成長的情況下，持續成長到了第8名。影響R語言受歡迎程度的原因並不多，TIOBE軟體執行長Paul Jansen提到，其中一種是當像是SAS、Stata與SPSS等商業統計語言和套件結束支援的時候。</p> <p>不過該情況並沒有發生，所以Paul Jansen認為，由於大學以及研究組織使用Python和R語言進行統計分析，而由於武漢肺炎（COVID-19）疫情的爆發，開發疫苗需要進行大量的統計和資料探勘工作，連帶使得容易學習和使用的R語言受歡迎程度上升。</p> <p>其他語言的表現，Python、C++、C#、Visual Basic和JavaScript跟去年同期排名相同，穩居3到7名，第1名則是由同樣受到武漢肺炎疫情帶動，超越Java的C語言占據，而且受歡迎程度持續上漲，Tiobe認為，C語言在這波之所以受歡迎程度上升，是因為C被大量使用在醫療設備上。而相較起來，Java在領先C語言5年後，首次被擠下第1名寶座，雖然目前居於第2，且評分跟第3名仍有一段距離，但是受歡迎的趨勢持續下降，並且受到同樣是JVM語言，但由Google大力支持的Kotlin威脅。</p> <p>當前知名新興語言的表現穩定成長，Apple用來替代Objective-C的新語言Swift，排名一路上升，現在已經進到第10名，而Google力推的新語言Go，也進到了第12名，另外，由Mozilla主導開發的程式語言Rust，雖然普遍認為該語言學習障礙很高，但是因為其記憶體安全的特性，受到許多高安全性要求的專案採用，Tiobe排名從去年同期的33名，現在也上升到了18名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20762%20-%20index%20-%20TIOBE%20-%20The%20Software%20Quality%20Company%20-%20www_tiobe_com.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/8 12:40作者李建興https://www.ithome.com.tw/news/138649
美國國務卿Mike Pompeo：考慮封鎖TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國務卿Mike Pompeo本周一（7/6）在接受美國福斯新聞頻道旗下新聞節目The Ingraham Angle專訪時<a href="https://www.foxnews.com/media/mike-pompeo-tik-tok-china-communist-social-media-spying-fox-ingraham" target="_blank">透露</a>，美國也正在考慮是否封鎖短影音程式TikTok或其它的中國社交程式，以避免美國人的個資落入中國共產黨之手。</p> <p>TikTok是由中國業者字節跳動所開發的短影音社交程式，在中國稱為抖音，在全球逾150個海外市場則稱為TikTok，全球下載量突破20億次，主要用戶群為24歲以下的年輕人。</p> <p>不過，由於它來自中國，外界擔心該程式會受到中國政權的干預，成為中國蒐集與監控全球使用者的工具，率先封鎖TikTok的是與中國有邊界糾紛的<a href="https://www.ithome.com.tw/news/138506" target="_blank">印度</a>，印度在今年6月底一口氣封鎖了包括TikTok在內的59款中國程式。</p> <p>日前澳洲太陽先驅報（Herald Sun）也引用未具名的澳洲議員<a href="https://www.heraldsun.com.au/news/victoria/calls-for-tiktok-app-to-be-banned-in-australia/news-story/5b8b294b0cc2679b76221de89e4e7202" target="_blank">表示</a>，TikTok搜集了大量的用戶數據，且將它們存放在中國得以存取的伺服器上，議會已蘊釀要封鎖該程式。</p> <p>上個月底，澳洲總理Scott Morrison曾出面<a href="https://www.ithome.com.tw/news/138500" target="_blank">警告</a>，當地正遭受國家級駭客的攻擊，攻擊目標涵蓋了政府與私人企業，儘管Morrison未透露攻擊來源，但有不少分析指出相關攻擊來自中國。這可能也是澳洲謹慎看待TikTok的原因之一。</p> <p>另一方面，TikTok回應了澳洲媒體的報導，指出澳洲民眾的資料是置放在新加坡伺服器上，而且他們已儘量減少了跨地區的資料存取。</p> <p>現在封鎖TikTok的聲浪則延燒至美國，Pompeo把TikTok對美國國安的重要性，與華為及中興相提並論，並說他們正認真考慮是否封鎖TikTok，但最後的決定仍將以美國總統川普（Donald Trump）的宣布為準。</p> </div></div></div>
2020/7/8 12:45作者陳曉莉https://www.ithome.com.tw/news/138651
Windows 10 2004更新再傳因PC設定問題，用戶被阻擋升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>May2020 Update首波釋出時即發生10種驅動程式不相容，迫使微軟採取多項中止更新措施。近日又傳出許多Windows 10用戶手動更新時被阻擋，因為他們的PC設定有問題，但目前不知是哪個設定。</p> <p>其中一名用戶在Reddit上<a href="https://www.reddit.com/r/Windows10/comments/hh3ub8/w10_2004_inplace_upgrade_from_home_to_pro_fails/" target="_blank">反映</a>，他最近才全新安裝Windows 10 Home，也在2004版釋出後安裝到PC上。當他試圖在這台PC上以剛購得的Pro版數位授權，透過Windows的Media Creation Tool將Home 2004就地升級到Pro 2004時，卻接獲無法升級的訊息，原因是Windows 10不支援PC現有設定。該訊息說，微軟正在加緊作業，以便近日內支援用戶現有PC設定，屆時微軟會自動透過Windows Update提供Windows 10，</p> <p>但情況不只發生在Home升級到Pro版，也發生在從前版更新升級到2004的用戶身上。知名微軟評論者Paul Thurrott以Windows Update從1809版更新到30%時接到該訊息，<a href="https://twitter.com/thurrott/status/1279876428419469313" target="_blank">他說第一次碰到這種事</a>。其他人則分別從1903或1909版更新到2004版時碰到同樣的狀況，而且根據各大論壇如Reddit、<a href="https://docs.microsoft.com/en-us/answers/questions/40617/error-updating-from-version-1903-to-2004.html" target="_blank">Windows Q&A</a>、<a href="https://answers.microsoft.com/en-us/windows/forum/all/problem-in-performing-repair-upgrade/71915946-e71a-4b85-8ec5-0c8dd2622016" target="_blank">Windows Community討論區</a>看來，影響人數眾多。</p> <p>微軟討論區<a href="https://answers.microsoft.com/en-us/windows/forum/all/problem-in-performing-repair-upgrade/71915946-e71a-4b85-8ec5-0c8dd2622016" target="_blank">有人建議</a>下載Windows 2004的ISO光碟映像檔，驗證後離線安裝可以成功。因此有用戶判斷，可能是Windows 10 2004安裝器軟體驗證電腦過程中的一項臭蟲所致。</p> <p>微軟一名員工在論壇上<a href="https://docs.microsoft.com/en-us/answers/questions/40617/error-updating-from-version-1903-to-2004.html" target="_blank">指出</a>，公司已經獲知更新被阻擋、出現錯誤訊息的事，她解釋這是出於Windows 10 2004和系統及硬體設定間的「各種相容問題」。她建議用戶升級硬體驅動程式，並且從「設定」>Windows Security>開啟Windows Security>裝置安全性，找到「Core Isolation」將之關閉，來排除本問題。</p> <p>這是Windows 10 May 2020 Update 5月底釋出後，最新一次更新中止的事件。但微軟<a href="https://docs.microsoft.com/en-us/windows/release-information/status-windows-10-2004#421msgdesc" target="_blank">官方網頁</a>尚未反映這最新問題。</p> </div></div></div>
2020/7/8 10:30作者林妍溱https://www.ithome.com.tw/news/138647
臉書開源Haskell重構工具Retrie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在<a href="https://github.com/facebookincubator/retrie/">GitHub</a>上開源了Haskell程式碼重構工具<a href="https://engineering.fb.com/open-source/retrie/">Retrie</a>，該工具可簡化Haskell程式重構工作，提升整體重構速度，並且使重構程式碼更加安全，臉書提到，開發人員可以利用Retrie，重新編寫超過100萬行程式碼的大型Haskell程式，其使用Haskell語法中的方程式，而非正規表示式，因此更為簡單，且Retrie還能避免出現大型類別的重構錯誤。</p> <p>重構程式碼可以改善程式碼庫的整體設計，但整個過程可能相當繁瑣耗時，臉書表示，重構時為了避免錯誤，通常是以人工手動更改的方式進行，並且每次少量的漸增進行，但是隨著程式碼增加，這種方法越來越不可行，需要使用工具來協助重構進行。</p> <p>而重構工具主要分為兩類，一類是查詢和替代字串工具，這類工具雖然執行快速，但是很難表達複雜的重寫概念，而另一種則是解析和操作抽象語法樹（Abstract Syntax Tree，AST）的工具，但因為需要廣泛的領域知識門檻較高，且較字串替代的方法慢。</p> <p>Retrie的定位則在兩者中間，相較定義正規表示式和AST走訪，以Haskell語法方程式進行重新編寫更容易，臉書表示，因為方程式比正規表示式更強大，而且可以編寫腳本，因此Retrie比單純取代字串的方法更靈活，而且Retrie還利用多種解析技術，縮小尋找相符項目的搜尋空間，比典型的AST工具更快。</p> <p>臉書提到，在2015年的時候，他們發現反濫用規則引擎Sigma的規則日益增加，為了更容易地管理其規模以及複雜性，便把Sigma移植到了Haskell上，臉書利用Sigma來阻擋垃圾郵件、網路釣魚攻擊和惡意軟體，進而保護臉書上的使用者。Retrie可以讓臉書快速安全地將Sigma的規則，搬遷到新的API以及函式庫上。</p> </div></div></div>
2020/7/8 09:50作者李建興https://www.ithome.com.tw/news/138637
JavaScript引擎V8更新，Chrome 84啟動WebAssembly程式更快速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Google開發的開源JavaScript引擎V8，其<a href="https://v8.dev/blog/v8-release-84#simd-origin-trial">最新的分支版本8.4</a>，其中一個更新重點，在於改進WebAssembly的功能，不只加快程式啟動速度，也改善除錯功能，而且還支援了WebAssembly SIMD提案。V8 8.4現在進入Beta測試階段，在數周後將會用於Chrome 84穩定版中。</p> <p>Google提到，由於V8的WebAssembly基準編譯器Liftoff，現在支援原子指令（Atomic Instructions）和大量記憶體操作（Bulk Memory Operations）功能，因此大幅改進了WebAssembly程式啟動的速度。而Google也改善了WebAssembly的除錯功能，現在V8能夠在使用者暫停執行，或是到達中斷點時，立即查看WebAssembly程式區塊的狀態。</p> <p>而這個功能是使用Liftoff實作的，Google解釋，過去所有中斷點和逐步執行的程式碼，都需要在WebAssembly直譯器中執行，而這大幅降低約100倍的執行速度，但使用Liftoff，就僅會損失三分之一的效能，但可讓開發者逐步執行所有程式碼，並且隨時進行查看。</p> <p>另外，V8 8.4開始支援WebAssembly SIMD提案，該提案讓WebAssembly能夠使用常見的硬體向量指令，以加速運算密集的工作負載，目前要在Chrome中啟用這項功能，需要將chrome://flags/#enable-webassembly-simd旗標設為啟用，或是加入Origin Trial計畫。Origin Trial計畫讓開發人員可以在功能標準化之前先進行測試，加入該計畫的開發者可以在功能測試期間，直接使用該功能，而不用更改Chrome旗標。</p> </div></div></div>
2020/7/8 09:50作者李建興https://www.ithome.com.tw/news/138638
研究人員發表可即時預測武漢肺炎爆發時程的演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>十多名來自哈佛及史丹佛等大學的研究人員本周在arXiv發表了一<a href="https://arxiv.org/abs/2007.00756" target="_blank">研究報告</a>，表示他們結合了包括Google搜尋及Twitter在內的6項串流資訊指標，打造了一個可即時預測武漢肺炎（COVID-19）爆發時程的演算法，以讓美國或其它政府可根據該演算法，來判斷醫療資源的分配或是城市的開放腳步。</p> <p><a href="https://arxiv.org/pdf/2007.00756.pdf" target="_blank">該研究</a>所衡量的6項指標包括Google與武漢肺炎相關的搜尋字串、Twitter上的相關活動、醫療資源搜尋平臺UpToDate上的醫師搜尋、全球疫情與移動模型（Global Epidemic and Mobility Model，GLEAM）、來自於手機的匿名移動資料，以及Kinsa智慧溫度計所上傳的數據等。</p> <p>研究人員先分析了美國前6個月以來，疫情爆發與上述指標的關係，再建立一演算法來進行預測。研究人員指出，上述每一個指標都有各自的侷限，但將它們以不同的加權整合之後，就能打造一個接近即時的COVID-19早期預警系統，以期準確預測確診人數或死亡人數即將大爆發的時間，如同加熱或冷卻系統中的恆溫器，可隨著疫情的起伏而強化或放鬆非藥物介入（Non-pharmaceutical interventions，NPIs）的防疫機制，如衛生教育、隔離、或環境消毒等，也可據此適度地開放商業活動。</p> <p>根據此一演算法，在看到早期跡象到確診人數爆發的中位數為19.5天，或者是在看到早期跡象到死亡人數遽增的中位數為29天。該研究也顯示，在採用非藥物介入的防疫政策的5、6周後，就能看到確診及死亡人數的減少。</p> </div></div></div>
2020/7/8 10:00作者陳曉莉https://www.ithome.com.tw/news/138646
Clearview AI不再於加拿大銷售人臉辨識服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大政府今年2月宣布將對美國的人臉辨識服務供應商Clearview AI展開調查，以判斷Clearview AI是否在未經使用者同意下就蒐集及使用個人資料，不過，Clearview AI已在本月通知加拿大的隱私保護主管機關，<a href="https://www.priv.gc.ca/en/opc-news/news-and-announcements/2020/nr-c_200706/" target="_blank">表示</a>將不再於該國提供人臉辨識服務，也將無限期暫停與當地最後一個客戶的合約，而這個客戶即是皇家加拿大騎警（Royal Canadian Mounted Police，RCMP），為加拿大的聯邦警察機構。</p> <p>在紐約時報於今年1月<a href="https://www.ithome.com.tw/news/135443" target="_blank">踢爆</a>Clearview AI蒐集了超過30億的人臉圖庫，而且供應給數百個執法機構之後，Clearview AI的處境就變得艱難，例如該公司主要是從臉書或YouTube等數百萬個網站蒐集人臉圖像，但之後包括Twitter、YouTube、臉書及LinkedIn都已正式發函予Clearview AI，要求該公司停止再搜括它們網站上的人臉資料，而加拿大也在今年2月啟動調查，以審核Clearview AI是否違反了當地的隱私法令。</p> <p>加拿大隱私委員會辦公室（Office of the Privacy Commissioner of Canada，OPC）表示，Clearview AI的舉動是為了回應該國的調查，除了將撤出加拿大市場之外，當地的隱私保護機構也要求Clearview AI除了不得再蒐集加拿大民眾的資料之外，也必須刪除已蒐集的加拿大民眾資料。</p> <p>即便Clearview AI已作出撤離的決定，但OPC仍會繼續完成未竟的調查，包括了解RCMP如何使用Clearview AI的人臉辨識服務，而且一樣會發布調查報告。</p> <p>根據Buzzfeed的報導，Clearview AI的客戶遍及全球27個國家的2,200個組織，其中大部份為政府與執法機關，但也有不少企業與學校客戶。</p> <p>除了加拿大之外，美國公民自由聯盟（American Civil Liberties Union，ACLU）伊利諾州分部也在今年5月<a href="https://www.ithome.com.tw/news/137956" target="_blank">控告</a>Clearview AI，指出Clearview AI未經使用者同意就蒐集他們的人臉，侵犯了伊利諾州居民的隱私權。</p> </div></div></div>
2020/7/7 17:30作者陳曉莉https://www.ithome.com.tw/news/138639
新瀏覽器擴充程式Behave! 可用來預防惡意網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門協助各大組織建立安全產品及服務的資安業者Minded Security在日前發表了Behave!，這是一個免費的瀏覽器擴充程式，可用來偵測使用者所造訪的網頁是否暗中執行惡意行動，該程式同時支援<a href="https://chrome.google.com/webstore/detail/behave/mppjbkhgconmemoeagfbgilblohhcica" target="_blank">Chrome</a>與<a href="https://addons.mozilla.org/en-US/firefox/addon/behave/" target="_blank">Firefox</a>。</p> <p>Minded Security指出，客戶端程式的攻擊行動通常聚焦在惡意程式攻擊或漏洞攻擊，駭客可能企圖開採軟體漏洞，或是誘導使用者下載與安裝惡意程式，但還是有許多其它的攻擊形式很少被注意到，像是本地端連接埠掃描、跨協定攻擊（Cross Protocol attacks），或是DNS重新綁定（DNS rebinding）等，這些並非新的攻擊形式，只是因為它們濫用的是網頁生態體系的核心功能，而使得瀏覽器製造商很難完全阻止它們。</p> <p>因此，該公司打造了Behave!，藉由監控HTML頁面的行為來協助使用者預防上述攻擊。</p> <p>當Behave!用戶在瀏覽特定網站時，只要在該期間使用的連結埠或協定超過一定數量，Behave!便會提出警告，其預設的警告門檻為20個，但允許使用者自行設定；或者是在網頁企圖連結屬於特定私有IP區塊的IP位址時，也會出現警告；以及若網頁上含有惡意腳本程式以將瀏覽器導至一個完整網域名稱，並把DNS結果解析至一個私有IP，以便執行DNS綁定攻擊時，亦會產生警告。</p> <p>現階段的Behave!只具備警告功能，並沒有任何可封鎖網站行為的選項，但未來可能會整合白名單功能，以及允許使用者追蹤執行可疑行動的程式碼。</p> </div></div></div>
2020/7/7 15:35作者陳曉莉https://www.ithome.com.tw/news/138634
Uber買下食物外送競爭對手Postmates
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Uber於7月6日<a href="https://investor.uber.com/news-events/news/press-release-details/2020/Uber-to-Acquire-Postmates/default.aspx" target="_blank">宣布</a>，已與美國的食物外送平臺Postmates簽署併購協議，將以價值26.5億美元的Uber股票買下Postmates。</p> <p>藉由併購擴大在美國的服務據點與市占率是Uber的策略之一，先前Uber原本計畫購買同樣位於美國的食物外送平臺Grubhub，但最後被歐洲競爭對手<a href="https://www.ithome.com.tw/news/138176" target="_blank">Just Eat Takeaway</a>以更高的價格搶走。</p> <p>這次Uber即將買下的Postmates則是成立於2011年，在美國的2,940個城市提供食物外送服務，除了設立時間點晚於Grubhub的2004年之外，Grubhub在美國的3,200個城市提供服務，規模亦大於Postmates。不過，Just Eat Takeaway買下Grubhub的價格為73億美元，Uber則以逾1/3的價格就取得了Postmates。兩者的交易都全數採用股票，並未涉及現金。</p> <p>Uber表示，Postmates在美國市場的服務將與Uber Eats達到互補的效果，雙方有不同的服務地區及客戶人口，而且Postmates已與在地的中小型餐廳建立了穩固的關係，主打當地美食來吸引消費者，此外，Postmates不只提供外送食物服務，也外送雜貨及民生必需品，是交付即服務（delivery-as-a-service）的早期實踐者。</p> <p>目前Uber計畫讓Postmates維持獨立營運，消費者仍可繼續使用Postmates行動程式，但由Uber提供更多的送貨網路或合作餐廳等支援服務。</p> <p>Uber準備發行8,400萬股的股票來換得Postmates百分之百的所有權，總價約26.5億美元，換算之下Uber每股的價值為31.54美元，而7日當天Uber的收盤價則是32.52美元。雙方預計於明年第一季以前完成交易。</p> </div></div></div>
2020/7/7 15:50作者陳曉莉https://www.ithome.com.tw/news/138636
微軟開發分析引擎Freta，掃描記憶體快照揪出VM惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院開發了一個雲端安全分析引擎<a href="https://www.microsoft.com/en-us/research/blog/toward-trusted-sensing-for-the-cloud-introducing-project-freta/">Freta</a>，可掃描Linux系統的記憶體快照，找出感測器和作業系統遭破壞的證據，自動對雲端Linux虛擬機器進行指紋辨識並稽核記憶體快照，以發現新型態的Rootkit和進階的惡意程式。現在Freta分析引擎以入口網站的形式，公開雛形給大眾使用。</p> <p>Freta具備處理大規模虛擬機器的能力，能以低成本的方式，同時對超過1萬臺Azure虛擬機器，進行自動記憶體鑑識稽核，微軟提到，Freta使數位鑑識從原屬高價的顧問諮詢服務，轉變為內建在雲端平臺的自動化服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/montage.jpg" style="width: 580px;" /></p> <p>以快照為基礎的記憶體鑑識領域已經發展超過十年，但微軟提到，目前尚無可用於商業雲端，在無侵入式捕捉機制以及事先鑑識準備的情況下，對數千臺虛擬機器進行全記憶體稽核的功能，而Freta專案的目標則是要讓虛擬機器鑑識自動化與普及化。</p> <p>虛擬機器鑑識普及化可以將雲端惡意軟體的開發成本，提高至理論的最高值，微軟表示，由於在資訊安全的領域，是以證據來驅動防禦方法，但這造成了倖存者偏誤現象，當攻擊者摸透安全偵測器模型，並且設計出避開觸發偵測器的方法時，系統便不會發出攻擊警報，而人們也會因為沒有攻擊報告，誤以為系統是安全的。另外，當攻擊者直接針對安全偵測器、安全代理和特權作業系統元件發動攻擊，就可能關閉攻擊警報系統，因此也不會留下任何攻擊的痕跡。</p> <p>Freta專案設計的概念是以倖存者偏誤為核心，極大程度提高攻擊者逃避偵測器的成本，並且在技術上，盡可能讓攻擊者無法逃避偵測。微軟提到，事實上的確有辦法讓攻擊者無法觸碰安全偵測器，就像是零售商店將監視錄影機設置在搶匪觸碰不到的地方一樣，但是之所以沒有在雲端中應用，為的是要能夠向後相容，無法像是行動裝置經過重新設計，分離計算平面和安全平面。</p> <p>在雲端，計算平面和安全平面分離的情況，主要出現在虛擬機器管理程式上，租戶工作負載能以虛擬機器管理程序屏障，和供應者工作負載分離，但微軟提到，現有研究證明，系統管理程式屏障可能不夠強健，攻擊者仍可穿透屏障並且規避安全偵測器，他們認為，要結束與惡意程式的軍備競賽，以漸進式的方法改變端點技術是不夠的，因為只要攻擊者和防禦者共用一個微基礎架構，無論防禦者以什麼方式防禦，攻擊者總是可以破解。</p> <p>微軟提到，要對所有用戶提供即時鑑識服務是一件困難的事，挑戰包括生成攻擊者無法取用的鑑識成像（Forensic Imaging），由於不少現存的鑑識方法都需要執行像是複製KASLR金鑰等明確的指令，而這就足以讓惡意軟體捕捉到相關的事件，使惡意程式能抹除自己的足跡。</p> <p>而Freta支援4,000多種Linux核心版本，可在沒有金鑰或是上下文的情況，對經安全機制擾亂的記憶體進行解碼。由於支援Linux核心較為困難，因此微軟先實作了Linux版本，Windows將會在後續更新支援。</p> <p>Freta還必須要能以雲端規模執行，微軟設定分析引擎的能力，要能在短時間且低成本的情況下，最少可對10萬臺機器進行程式化稽核，也就是說，Freta的基礎架構設計採用批次處理的概念，而且Freta還需要能支援具有100 GB以上記憶體的高效能虛擬機器。</p> <p>而考量到Freta可能本身成為攻擊目標，為了避免攻擊者利用記憶體漏洞來攻擊Freta，微軟以記憶體安全程式語言Rust，在不使用任何現有軟體的情況下，從頭打造整個專案，微軟提到，Freta是一個高效能的分析引擎，可以儲存任何大小的記憶體成像，並且內建記憶體安全性。</p> <p>目前這個版本的Freta分析引擎，以整個Linux系統的揮發性記憶體快照作為輸入，並且能夠擷取系統物件列舉，Freta能夠自動辨識部分核心掛鈎（Kernel Hooking），可檢測新型態的Rootkit，而且Freta支援各類型的快照，包括使用Hyper-V檢查點生成的VMRS檔案，或是轉換VMWare快照產生CORE檔案等。當快照經過Freta分析之後，用戶可以使用REST和Python API取用報告資料。</p> <p>Freta的第二個重要元件是Azure偵測器，可讓用戶在不中斷執行的同時，即時搬遷揮發性記憶體資料到離線分析環境，微軟提到，這個感測器與Freta分析引擎結合，可以對上萬虛擬機器進行低成本的記憶體鑑識稽核。</p> </div></div></div>
2020/7/7 16:05作者李建興https://www.ithome.com.tw/news/138635
多款知名家用路由器使用老舊Linux核心，連帶藏匿大量安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國知名的弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）最新<a href="https://www.fkie.fraunhofer.de/content/dam/fkie/de/documents/HomeRouter/HomeRouterSecurity_2020_Bericht.pdf" target="_blank">研究顯示</a>，許多知名品牌的家用路由器使用古早而久未更新的Linux作業系統，包含已經公諸於世的漏洞、還把登入密碼存在韌體中，突顯家庭網路安全堪憂。</p> <p>這家研究機構分析了全球7個知名廠商，包括華碩、合勤、友訊（D-Link）、Linksys、TP-Link、AVM及Netgear出品的127款家用路由器產品，並以他們自行研發的韌體分析工具來分析這些裝置韌體何時更新、用什麼作業系統、有多少已知重大漏洞、廠商用什麼方法緩解攻擊及多久啟用一次、韌體映像檔是否包含加密金鑰資訊，以及是否有什麼寫死（hard-coded）的登入帳密等等。而研究結果顯示，沒有一臺路由器是沒有漏洞的。</p> <p>FKIE發現，在127臺受測產品中，有46臺過去一年都沒有發布安全更新。</p> <p>90%以上的產品使用Linux，但是超過1/3使用的是2.6.36以前的版本，那至少是2011年2月以前的版本。AVM是唯一一家未曾使用Linux 2.6版以前的廠商，半數使用4.4版Linux Kernel。而Netgear、TP-Link有半數使用2.6.36版核心，合勤甚至有25%使用2.6.35版本核心。</p> <p>老舊作業系統可能帶有許多安全漏洞，促使研究人員計算這些路由器韌體映像檔中的已知Linux重大安全漏洞。這127臺裝置平均有53個重大風險漏洞，即使表現最好的產品，也有至少21個重大風險或348個高度風險漏洞。高度風險最多的是Linksys WRT54GL，有579個，它使用的Linux核心是所有受測產品中最舊。而合勤的Zyxel NBG6816及Zyxel NBG6815，則並列最多重大風險漏洞的產品，漏洞數各有68個。</p> <p>研究人員也檢視家用路由器產品的韌體，是否包含私有金鑰可能被駭客存取。結果顯示，127臺裝置中平均洩露的私鑰資訊為5種，其中Netgear R6800總共公開了13種資訊，為所有產品之冠。只有AVM的韌體映像檔不會公開任何金鑰資訊。</p> <p>物聯網殭屍病毒Mirai利用寫死（hard-coded）的登入憑證或密碼來入侵許多連網裝置，因而成為本研究的另一檢視標的。華碩、合勤及友訊在內的6成產品韌體映像檔中，都不包含寫死的登入憑證和密碼，但仍有50臺包含寫死的憑證，其中16臺還使用廣為人知或極易破解的憑證。最不安全的是Netgear RAX40，使用password、amazon作為登入密碼。華碩則是唯一在韌體映像檔中，不儲存任何寫死憑證和密碼的廠商。</p> <p>至於廠商使用了多少保護嵌入式裝置的緩解技術，研究顯示AVM使用的防護最多，而友訊最少。整體而言，研究人員結論AVM最安全，華碩和Netgear在某些方面表現優於友訊、Linksys、TP-Link及合勤。</p> <p>這份報告或許也反映近日的<a href="https://www.ithome.com.tw/news/138349" target="_blank">路由器資安事件</a>。6月底資安廠商ZDI揭露79款Netgear R6700系列路由器含有允許駭客執行任意程式的安全漏洞，Netgear在1月就接獲通報，但6個月後仍未完成修補。</p> </div></div></div>
2020/7/7 14:20作者林妍溱https://www.ithome.com.tw/news/138633
臉書、Google、推特暫停回應香港政府的用戶資訊請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應港版國安法通過，<a href="https://www.wsj.com/articles/whatsapp-to-suspend-processing-law-enforcement-requests-for-user-data-in-hong-kong-11594034580?mod=rss_Technology" target="_blank">華爾街日報</a>、<a href="https://www.nytimes.com/2020/07/06/technology/facebook-temporarily-stops-hong-kong-data-requests.html" target="_blank">紐約時報</a>報導，臉書、Google及推特等社交平臺將暫時不再應香港政府的請求，交出特定使用者資訊，以維護言論自由。</p> <p>上星期在香港回歸中國23年前夕通過的港版國安法，內容旨在禁止香港及中國人民在實體及網路上從事顛覆政權、分裂國家及恐怖主義活動，並無限上綱防止任何境外勢力干預內政。未來在網路、社交平臺或公開媒體上發表涉及港獨、臺獨言論，或單純批評政府都可能輕易入罪，這也對香港甚至臺灣人民形成寒蟬效應。</p> <p>報導指出，臉書旗下的WhatsApp率先表示「暫時」不再接受香港政府提出索取用戶個資的請求，表示他們將透過盡職調查（due diligence）及尋求人權專家的意見，進一步評估港版國安法的影響。</p> <p>推特和Google也在7月1日開始暫停受理港府的相關需求。Google<a href="https://www.theverge.com/2020/7/6/21314900/google-facebook-twitter-hong-kong-government-data-china" target="_blank">指出</a>，（國安法）生效時，該公司就暫停了香港當局任何索取資訊的新要求，Google也會說會持續了解新法的細節。</p> <p>推特表示已經對港版國安法做過初步評估，他們認為許多用語「模糊而欠缺明確定義」，一如許多公益團體、公民權人士、同業，推特對本法的制訂過程和最終意旨極度關切。</p> <p>母公司臉書也在昨（6）日加入暫停回應港府的行動。臉書發言人表示，該公司相信言論自由是基本人權，也支持人們不用擔心安全或其他後果發表言論。臉書強調其回應政府要求有一套全球程序，也會根據臉書、當地法令及國際人權標準來處理個人要求。</p> <p>衛報並<a href="https://www.theguardian.com/world/2020/jul/06/facebook-whatsapp-pause-hong-kong-user-data-requests" target="_blank">報導</a>加密通訊軟體Telegram也不再和香港執法機關合作。</p> <p>社交平臺包括Google、臉書、推特、微軟會因應各國政府基於辦案理由提出請求，而提供特定用戶的個資或活動內容，但為防政府濫權，這些平臺也固定每半年一次發布透明度報告，讓外界了解政府索取資訊的趨勢是否加劇。</p> </div></div></div>
2020/7/7 13:30作者林妍溱https://www.ithome.com.tw/news/138631
美國國安局公布VPN安全指南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）讓愈來愈多的人在家工作與學習，使得虛擬私有網路（VPN）愈來愈普及，使用者透過VPN來連結組織網路，有鑑於此，美國國安局（NSA）近日公布了<a href="https://media.defense.gov/2020/Jul/02/2002355625/-1/-1/0/SECURING_IPSEC_VIRTUAL_PRIVATE_NETWORKS_EXECUTIVE_SUMMARY_2020_07_01_FINAL_RELEASE.PDF" target="_blank">VPN安全指南</a>，以避免VPN成為駭客的攻擊表面。</p> <p>NSA表示，有許多組織目前正利用基於網路安全協定（IPsec）的VPN服務來連接遠端伺服器或啟用遠端辦公能力，利用加密來保護那些通過各個不可靠網路的機密資訊，因此，這些VPN必須採用強大的加密技術，於是他們決定列出常見的VPN配置錯誤與弱點。</p> <p>NSA建議各大組織應該儘量減少VPN閘道的攻擊表面，確認其加密演算法是否符合國家安全系統政策委員會（CNSSP）的規定，避免使用預設的VPN設定，移除未使用或不合規定的加密套件，以及即時部署更新。</p> <p>NSA解釋，VPN閘道直接面向網路，因而容易受到網路掃描、暴力破解攻擊或零時差漏洞的危害，為了減少這些弱點，網路管理員應該採用嚴格的過濾規則來限制連結到VPN裝置的傳輸埠、協定與IP位址的流量，如果無法指向特定的IP位址，那麼則應於VPN閘道之前部署入侵防禦系統。</p> <p>而在VPN的設定上，許多的供應商都提供了預設配置，自動化的配置腳本程式，或是圖形使用者介面來協助組織部署VPN，這些工具會負責設定VPN的各個面向，包括ISAKMP/IKE與IPsec政策，然而，許多設定都納入了廣泛的加密套件來確保相容性，但NSA建議組織避免利用這些工具，以防它們允許那些不需要的加密套件，或者應檢查自動部署的所有設定，以刪除不符規定的加密套件。</p> <p>在確保配置與設定的安全無虞之後，各組織也應即時部署供應商所提供的安全更新，以時時捍衛網路傳輸的安全性。</p> </div></div></div>
2020/7/7 14:00作者陳曉莉https://www.ithome.com.tw/news/138632
甲骨文著手變更MySQL術語，原Master與Slave改用Source、Replica
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國科技界包括Google和GitHub等企業，以及OpenSSL、Powershell與P5.js等知名社群，紛紛響應「黑人的命也是命」（Black Lives Matter，BLM）維權運動，開始不再使用帶有種族歧視色彩的詞彙，而甲骨文旗下知名資料庫專案<a href="https://mysqlhighavailability.com/mysql-terminology-updates/">MySQL</a>，將從8.0版本的文件開始，更換使用的術語，把Master改為Source，而Slave則改為Replica。</p> <p>美國早期的蓄奴制度用語，資通訊產業仍沿用至今，習慣以主（Master）從（Slave）來稱呼伺服器端和用戶端，甲骨文提到，由於這些用詞的出處負面，因此他們決定要更改用語，從部落格文章以及簡報開始，他們之中已經有許多人改使用Primary、Secondary、Source以及Replic，而更進一步，MySQL也在原始碼以及文件中更改語法，使術語用法更加一致。</p> <p>MySQL新產品在其資料庫架構，像是MySQL Group Replication、MySQL InnoDB Cluster以及MySQL InnoDB ReplicaSet已經使用Primary、Secondary來定義不同角色的伺服器，而接下來釋出的MySQL產品，會將原本的Master用詞會改為Source，Slave則改為Replica，而黑名單（Blacklist）與白名單（Whitelist），將改用阻擋列表（Blocklist）和允許列表（Allowlist）替代。</p> <p>官方解釋，之所以Master新的用語會選擇使用Source，是因為MySQL非同步複製，是一個變更串流，每一個複製配置都有一個來源，這無法用來定義該伺服器在整個資料庫架構中，所扮演的角色，因此使用Primary並不適合，特別是在資料庫結構拓樸包含雙向複製、多層複製與循環複製等情況下。</p> <p>由於更改術語是一項不小的工程，因此全部更改需要一些時間，官方表示，要快速刪除某些語法，他們在現有命令添加別名，像是SHOW SLAVE STATUS將會變成SHOW REPLICA STATUS，但是許多命令回傳的文字結果，仍然會包含Master與Slave用語。</p> <p>官方提到，這項工程無法在一個發布版本就處理完，因為仍須考量現有數百萬個MySQL部署，他們會經多次迭代從語法、協定、錯誤訊息和原始碼，棄用和刪除這些不適用的術語，現在文件團隊在MySQL 8.0的文件，已經開始第一階段的術語更改工作。</p> </div></div></div>
2020/7/7 12:25作者李建興https://www.ithome.com.tw/news/138616
英國政府與印度公司共同接收破產的衛星網路業者OneWeb
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年3月聲請破產保護的衛星網路業者OneWeb於7月3日<a href="https://www.oneweb.world/media-center/oneweb-announces-hmg-and-bharti-global-limited-consortium-as-winning-bidders-in-court-supervised-sale-process" target="_blank">宣布</a>，英國政府與印度跨國集團Bharti Global Limited已以逾10億美元，共同買下了OneWeb，此案還必須經過OneWeb債權人、破產法院及各監管機構的核准，預計於今年第四季完成交易，而OneWeb則會儘快重啟營運。</p> <p>成立於2012年的OneWeb目標在於建立提供通訊服務的低軌道衛星網路，初期計畫發射650顆衛星，並在今年5月將衛星總數提高到4.8萬顆，迄今OneWeb已發射74顆衛星。</p> <p>然而，OneWeb原本要在今年初進行的募資因受到武漢肺炎（COVID-19）疫情的影響而中斷，使得OneWeb今年3月向紐約的破產法院聲請破產保護，同時展開收購競標，外傳參與此一標案的還包括創辦另一通訊衛星公司SpaceX的Elon Musk。</p> <p>根據英國金融時報的<a href="https://www.ft.com/content/01e4d379-ac2d-4ca3-9724-b0a982d1fa4f" target="_blank">報導</a>，英國政府與Bharti將各自出資5億美元以分別取得OneWeb的45%股份，剩下的10%股份則屬於OneWeb既有的債權人，包括軟體銀行（SoftBank）在內。</p> <p>該報亦分析，英國政府著眼於推動該國在商業航太領域上的投資，特別是在脫歐、喪失部份歐盟資源之後，也計畫在2030年於該領域取得10%的市占率。</p> <p>至於Bharti集團的企圖則更容易理解，因為該團隊旗下的Bharti Airtel為全球第三大行動營運商，且在全球18個國家提供服務，擁有衛星通訊網路無疑可擴張其全球服務。</p> <p>OneWeb執行長Adrian Steckel表示，英國政府及Bharti將與OneWeb管理團隊合作，進一步制定策略與業務計畫，以儘快重啟OneWeb營運。</p> </div></div></div>
2020/7/7 12:30作者陳曉莉https://www.ithome.com.tw/news/138628
臉書開發新模型TaBERT可理解自然語言並從表格查資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書開發了一個經預訓練的模型<a href="https://ai.facebook.com/blog/tabert-a-new-model-for-understanding-queries-over-tabular-data/">TaBERT</a>，可以理解自然語言的句子，並且從表格查詢結果，以回答自然語言句子的提問，TaBERT能夠回答像是「哪個國家的GDP最高？」這類的問題。研究人員提到，TaBERT是第一個跨結構化與非結構化資料的預訓練方法，克服了查詢對應到資料庫表格結構的挑戰。</p> <p>自然語言處理的改進，無論是網路搜尋還是人工智慧助理的查詢，都能擁有更好的人機互動體驗，而大規模預訓練語言模型，在近期機器理解自然語言文字，扮演了重要的角色。TaBERT則是運用了預訓練技術，連結自然語言理解和結構化資料查詢，研究人員提到，TaBERT可以讓數位助理更精確地回應「下午的氣溫幾度？」和「太平洋西北地區有多少人口？」等問題，因為TaBERT可從各種資料庫或是表格中找到答案。</p> <p>臉書使用了2,600萬張表格和關聯的英文句子來訓練TaBERT，研究人員表示，先前的預訓練語言模型，都僅使用自由格式的自然語言文字訓練模型，而這讓模型僅能夠處理自然語言格式的任務，但並無法處理同時需要對自然語言和資料庫進行推理的問題。</p> <p>臉書以兩個常用的基準資料集進行實驗，分別是用於監督式文字轉SQL任務的Spider資料集，以及弱監督式解析任務的WikiTableQuestions資料集，臉書提到，弱監督式學習會比監督式學習更具挑戰性，因為解析器無法取得標籤查詢，而且必須要探索非常大的查詢搜尋空間。實驗結果顯示，無論是弱監督式或是監督式任務，TaBERT的結果都更好，而且也證明使用表格和語言資料進行預訓練，是可行且有效的方法。</p> <p>TaBERT是以語言處理模型BERT作為基礎，研究人員把自然語言查詢以及表格作為輸入，讓TaBERT學習句子以及資料庫的上下文表示，而該表示也可以用在其他神經網路下游，以產生資料庫命令，並且能以任務相關的訓練資料，來微調TaBERT表示。</p> <p>研究人員提到，TaBERT可以被應用在事實查核和驗證應用程式中，因為第三方事實查核單位，通常也是仰賴已經存在的靜態知識庫資料，而TaBERT可以將查詢對應到相關資料庫中，因此不只能夠驗證事實，也能參照相關資料庫給出解釋。</p> </div></div></div>
2020/7/7 12:40作者李建興https://www.ithome.com.tw/news/138624
Dataproc支援完整Presto可選元件能查詢BigQuery內資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Dataproc加入了完整的開源分散式SQL查詢引擎<a href="https://cloud.google.com/blog/products/data-analytics/presto-optional-component-now-available-on-dataproc">Presto元件支援</a>，不只整合無伺服器資料倉儲服務BigQuery，也可以讓Dataproc方便地進行整合測試。Dataproc是Google的雲端原生Apache Spark和Hadoop叢集服務，使用者可在Dataproc中快速啟動和停止叢集運算工作。</p> <p>Presto可對多種類型資料來源執行互動式分析查詢，因此可跨本地端系統以及其他雲端平臺等多個資料來源，執行資料分析，而使用者也可跨大規模Dataproc執行個體以及多個來源，包括HDFS、Cloud Storage、MySQL、Cassandra以及Kafka，執行聯合查詢。</p> <p>Google依照Presto社群建議調校了JVM，使Presto元件具有更好的垃圾回收以及記憶體分配屬性；並且和BigQuery整合，在預設情況下，現在BigQuery連接器可讓Presto查詢儲存在BigQuery中的資料，並從不同系統諸如BigQuery和Hive關聯資料，該功能是透過BigQuery Storage API，從表格讀取資料達成。</p> <p>使用者還可以將像是Hive等外部元儲存，添加到叢集配置中，以追蹤Presto目錄，Google新上線的Dataproc全託管元儲存服務Metastore，可讓使用者從多個Dataproc叢集收集Presto元資料。另外，Presto現在也整合進Cloud Monitoring和Cloud Logging，可以方便使用者追蹤Presto任務的狀態，Google提到，雖然預設Presto工作資訊不會顯示在叢集監控頁面中，但是使用者可以使用Cloud Monitoring創建儀表板以及指標管理員。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_Presto_max-1300x1300.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/7 12:40作者李建興https://www.ithome.com.tw/news/138626
修補了嗎？F5 BIG-IP重大RCE漏洞已出現攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周F5 BIG-IP ADC產品被<a href="https://www.ithome.com.tw/news/138576" target="_blank">揭露</a>存在重大漏洞，企業應儘快修補，因為昨（6）日有人<a href="https://twitter.com/buffaloverflow/" target="_blank">發現</a>，已經有攻擊程式出現。</p> <p>Positive Security研究人員發現的CVE-2020-5902為一遠端程式碼執行（Remote Code Execution, RCE）漏洞。它位於流量管理使用者介面（Traffic Management User Interface，TMUI）中，攻擊者可傳送惡意HTTPS開採執行TMUI的伺服器進行BIG-IP組態，不需經過授權。這個漏洞讓攻擊者得以完全控制BIG-IP裝置，包括執行任意指令、新增刪除檔案、或執行任意Java 程式碼，甚至進入企業網路其他部份。其危險程度使其在CVSS 3.0風險評分表中拿下最高分的10分。</p> <p>Positive Security另外還發現TMUI裏另一中度風險的跨網站指令執行（XSS）漏洞，編號CVE-2020-5903。CVE-2020-5902、CVE-2020-5903影響BIG-IP的多個版本軟體，F5已經釋出更新版本。</p> <p>英國安全廠商NCC Group研究人員Rich Warren昨日<a href="https://twitter.com/buffaloverflow/status/1279384540847489024" target="_blank">指出</a>從7月4日起，該公司誘捕系統已偵測到大量RCE攻擊，它們使用公開Metasploit模組組合或以Python撰寫而成。Warren對ZDNet<a href="https://www.zdnet.com/article/hackers-are-trying-to-steal-admin-passwords-from-f5-big-ip-devices/" target="_blank">解釋</a>，這些程式大部份都是惡意程式，主要意在竊取受害裝置的管理員密碼。</p> <p>他們還發現大量企圖掃瞄BIG-IP傳輸介面的掃瞄程式來自中國。此外還有像是Mirai變種的DvrHelper蠕蟲，以及一些挖礦程式等。</p> <p>另一名代號為Rapid Safeguard的研究人員則<a href="https://medium.com/@rapidsafeguard/f5-big-ip-vulnerability-cve-2020-5902-1116625f0150" target="_blank">公開了</a>本地文件包含（Local File Include，LFI）及RCE攻擊的概念驗證程式，攻擊者只要傳送一個推文，即可在受害機器上抓取檔案或執行指令。</p> <p>基於編號CVE-2020-5902的危險性，美國網路作戰指揮部（US Cyber Command）也在上周發出<a href="https://twitter.com/CNMF_CyberAlert/status/1279151966178902016" target="_blank">警告</a>呼籲BIG-IP用戶儘速升級軟體，千萬不要因美國國慶日而延遲。</p> </div></div></div>
2020/7/7 12:45作者林妍溱https://www.ithome.com.tw/news/138629
歐洲摧毀遭犯罪集團利用的EncroChat加密手機網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol、歐洲司法組織Eurojust，以及法國與荷蘭的警方及司法組織在7月2日<a href="https://www.europol.europa.eu/newsroom/news/dismantling-of-encrypted-network-sends-shockwaves-through-organised-crime-groups-across-europe" target="_blank">發表聯合聲明</a>，表示它們已共同拆除了遭各個犯罪集團所利用的EncroChat加密手機網路，同時也在各國逮捕了上百名涉嫌販毒、謀殺或暴力犯罪的嫌犯。</p> <p>此案始於2017年，法國憲兵隊與司法機關發現組織性犯罪經常使用EncroChat手機作為加密通訊工具，而且EncroChat的伺服器就位於法國，因而展開調查。進而發現EncroChat的使用遍及國際性的犯罪網路，於是通知了Eurojust與荷蘭，並與荷蘭建立了共同調查小組，再由Europol擔任協商各國調查與逮捕行動的角色。</p> <p>EncroChat標榜可提供端對端的安全解決方案，號稱其安全範圍涵蓋了硬體、作業系統、軟體、資料傳輸、網路架構與伺服器，而且經常在犯罪論壇大作廣告。</p> <p>EncroChat裝置其實就是一支Android手機，內建了私有的加密傳訊程式，透過自家的伺服器傳送訊息，而且手機上完全沒有GPS、攝影機、麥克風或USB傳輸埠等功能，但具備其它特殊能力，像是採用了兩個作業系統，可以隨時切換成犯罪用模式或是一般用模式；且只要輸入特定的PIN碼就能移除裝置上的內容；只要連續輸入錯誤的密碼也會刪除所有資料；也能刪除對方所收到的內容。</p> <p>EncroChat手機的售價為1,000歐元（約33,750元新台幣），6個月的訂閱費用則是1,500歐元（約50,625元新台幣），而且在今年初是最受犯罪份子青睞的加密通訊裝置之一。Europol表示，他們最終是藉由部署了一個可超越EncroChat加密技術的裝置，進而存取EncroChat用戶之間的通訊。</p> <p>然而，根據Vice Motherboard的<a href="https://www.vice.com/en_uk/article/3aza95/how-police-secretly-took-over-a-global-phone-network-for-organised-crime" target="_blank">報導</a>，國際警方其實是架設了伺服器，透過伺服器連結EncroChat手機，並傳送惡意程式，該惡意程式除了會破壞裝置的內容刪除功能，還能紀錄密碼，以及複製應用程式上的資料，並能躲避偵測。</p> <p>在EncroChat偵測到手機被病毒入侵後，很快就遞送韌體更新，但捲土重來的惡意程式再次進駐了使用者的手機。這使得EncroChat不得不向用戶坦承，該平台的網路已遭到滲透，同時警告用戶應立即關機並把手機丟掉。而EncroChat也懷疑，這場突如其來的災難是該服務位於荷蘭的SIM卡供應商KPN與執法機關合作所造成的。</p> <p>EncroChat在今年的6月13日決定棄守，關閉了SIM卡及整個網路。</p> <p>不過，國際警方已經取得了EncroChat用戶的通訊紀錄，已陸續在法國、荷蘭、英國、瑞典及挪威逮補了上百名嫌犯，查獲19個合成毒品實驗室，也扣押了9,200公斤的毒品、武器、高級手錶、25部汽車，以及2,000萬歐元的現金。</p> <p>令人好奇的是，儘管Europol宣稱EncroChat已停止活動，但EncroChat的官網依舊存在，仍可看到首頁的介紹頁面以及聯繫的電子郵件位址。</p> </div></div></div>
2020/7/7 13:10作者陳曉莉https://www.ithome.com.tw/news/138630
手機簽核病歷只要1.5秒！高醫附醫用行動憑證讓醫生不用守在電腦前看病歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高醫附醫今（6日）分享自家醫事憑證管理（HCA）行動化經驗，透過自行開發的高醫行動憑證App和高醫電子病歷App，一改過去需要醫事卡搭配讀卡機，才能簽核病歷的不便，醫護人員用手機就能簽核病人病歷，除了從原本的6.5秒縮短為1.5秒外，更不受地點限制，醫生在不同體系醫院間，來回奔波的時間成本。這款應用，還難得獲得了醫生9成的滿意度。</p> <p><strong><span style="font-size:24px;"><span style="color:#FF8C00;">申請還得先過嚴格資安審核，高醫附醫7次才過關</span></span></strong></p> <p>所謂行動化HCA，指的是透過手機來申請醫事行動憑證，通過嚴謹的身分驗證後，醫事人員就能利用手機來簽核醫事行為，比如病歷簽核，而不用像過去需要使用醫事卡搭配PC和讀卡機來驗證的不便。</p> <p>負責高醫附醫HCA行動化的核心成員之一、高醫附醫資訊室智能組組長蔡文宗指出，衛福部自2016年以來，就開始建立醫事人員行動憑證簽發機制，而隔年，臺中榮總和高雄榮總也相繼推出HCA行動化應用案例。</p> <p>當時，「高醫附醫院長就認定，行動化是未來智慧醫院的走向。」因此，即便在HCA行動化還是草案、不知能否真的派上用場的情況下，高醫附醫依然在2018年初，推動了醫事憑證行動化專案，由資訊室負責行動化HCA的申請和開發作業。</p> <p>高醫附醫的第一步，得先進行自我評量，再用自評表向衛福部申請行動憑證，通過申請後，醫事管理中心就會簽發憑證給醫院下載、並進行封包測試，由醫事憑證管理中心檢查封包格式。檢查通過後，醫事憑證管理中心才會開通認證，醫院就能開始申請行動憑證。</p> <p>其中，「填寫自評表是最耗費時間的部分，占了八成申請時間。」蔡文宗解釋，由於醫事行動憑證涉及醫療機敏資料，非常注重資安；而醫院申請時，必須完全符合自評表內容上的40項安全性要求，比如定義行動憑證服務管理窗口的資格和權責、行動憑證使用管理，以及應用程式設計安全等。蔡文宗也進一步點出其中重點，比如服務窗口應定期清查安裝於行動裝置的憑證狀態，或是行動憑證服務管理系統應設計個人資料顯示時的隱碼機制。他坦言，光是這個表格，「我們送了7次才過關。」</p> <p>另一個他認為比較困難的流程，則是封包審核。醫院需提交申請封包和廢止封包，其中，封包必須包含管理中心定義的資訊和順序，比如醫事機構資訊和案件簽章值、案件內容和公鑰等。「我會建議連明文一起附上，便於管理中心解譯。」</p> <p><strong><span style="font-size:24px;"><span style="color:#FF8C00;">實際稽核再三把關資安，兩支行動憑證App打破電子病歷簽章時間地點限制 </span></span></strong></p> <p>於是，在去年中，高醫附醫通過了衛福部HCA行動化的申請，同時開始開發行動憑證App。「同時，我們也接受稽核，」蔡文宗指出，當時，醫事憑證管理中心也實際到高醫附醫進行GPKI稽核驗證，來訪視醫院的服務窗口管理狀況、行動裝置的行動憑證狀態管理，還有金鑰對產製及保護管理等。高醫附醫也在去年底，通過所有稽核驗證。</p> <p>在開發上，由於衛福部提供的HCA行動化SDK只支援兩大手機平臺iOS和Android，於是，高醫附醫IT團隊選擇了兩者的原生語言Swift和Java來開發。</p> <p>「我們打造了兩個App和一個網頁系統，來執行行動憑證。」同是負責開發的核心人物、高醫附醫資訊室主任莊仙妃說，第一個App是高醫行動憑證，用來讓醫生申請行動憑證、管理帳號，或是切換院區；第二個App則是電子病歷，用來進行電子病歷簽章，這兩個App一起搭配後臺網頁的行動憑證服務管理系統，來進行身分驗證和簽核作業。</p> <p>在使用流程上，醫生先透過第一個App，來申請裝置綁定（如下圖）。App會送出裝置ID和員工編號至後臺網頁系統，醫生再透過網頁系統，以實體醫事卡來驗證身分。綁定成功後，醫生可進行憑證申請，系統再封包給醫事憑證管理中心審核。審核通過後，就會發出憑證到醫院的管理平臺，再由醫院確認、發給醫生，讓醫生綁定裝置。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202020-07-06%2022_18_07.png" /></p> <p>之後，醫生就可使用第二個App，來進行電子病歷的簽章。莊仙妃指出，這個功能，醫生連等電梯時，都用手機來簽章，不必像過往必須待在使用醫院電腦、醫事卡和讀卡機，才能簽章。不只如此，這個App還有推播功能，透過一天兩次推播，來提醒醫生尚未簽章的筆數。</p> <p>不只沒有時間、地點限制，高醫附醫IT團隊也分析了簽章速度。他們發現，比起傳統網頁電子病歷簽章的6.5秒，行動憑證的電子病歷簽章只需要1.5秒，整整減少了77%的時間成本。而且，自App上線以來，高醫附醫申請使用的醫事人員已經超過2,000多人。</p> <p>「甚至，醫護人員來要求我們開設駐點服務，教大家怎麼使用行動憑證App。」莊仙妃笑著說，以往，醫護人員幾乎不會主動要求IT人員，來安裝IT系統，但這次卻一致希望採用行動憑證，可見這對醫護人員帶來極大的便利，而這款應用的流暢度和便利性滿意度，「更高達90%以上。」</p> <p>目前，高醫附醫已全院上線這套HCA行動化的兩個App，在上周也開放旗下體系醫院大同和小港醫院申請，接下來則是要導入到旗津醫院和岡山醫院。文◎王若樸</p> </div></div></div>
2020/7/6 22:28作者王若樸https://www.ithome.com.tw/news/138625
種族正義行動殃及黑帽大會，Google安全副總宣布退出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正在美國與全球各地蔓延的種族正義行動，也殃及了黑帽（Black Hat）安全會議，負責Android、Chrome OS與Google Play安全性的Google副總裁Dave Kleidermacher在7月4日透過Twitter<a href="https://twitter.com/DaveKSecure/status/1279194355585085440" target="_blank">宣布</a>，他將退出今年美國黑帽駭客會議的演說，人們應該改變黑帽與白帽的說法，以打破無意識的偏見。</p> <p>其實Google旗下不管是Chromium或Android團隊自去年起，就開始棄用黑名單（blacklist）與白名單（whitelist）的說法，將它們分別改成封鎖名單（blocklist）與許可名單（allowlist）。</p> <p>而此次Kleidermacher則說，為了支持種族正義與平等，人們應該要改變說話及行動的方式，黑帽及白帽是必須改變的詞彙，這與它們原本的意思無關，也不只是為了種族，人們在性別的中立上也需要改變，像是把中間人攻擊（Man-in-the-Middle，MITM）改成（Person-in-the-Middle）。</p> <p>Kleidermacher認為，這樣的改變可避免傷害，促進包容，以打破這些無意識的偏見。他也強調，以此一原因退出黑帽大會的演說是他自己的決定，與Google無關。</p> <p>不過，有不少資安人員認為，Kleidermacher以乎太過偏激了。因為黑帽一詞其實緣自於美國西部的牛仔文化中，惡棍總是戴著黑色的帽子，而白帽則被視為英雄的配件；此外，黑色也是用來形容躲在黑暗中的駭客，總是穿著一身黑以避免遭到注意，與膚色無關。</p> <p>本身就是非裔的美國資安專家Brian Anderson則<a href="https://twitter.com/btanderson72/status/1279507428128718848" target="_blank">形容</a>，美國社會對黑人的歧視如同一片森林，變更名稱只是當中的一棵樹，但系統性的傷害卻是森林，黑人家長從小就要教小孩如何處理歧視，黑帽大會的問題不見得存在於名稱本身，而是少數民族負擔不起參加該會議的費用，以及講者群與贊助商都是白人，這才是該正視的議題。他想說的是，解決黑人遭到傷害的問題，比起解決他們被冒犯更有意義。</p> </div></div></div>
2020/7/6 16:15作者陳曉莉https://www.ithome.com.tw/news/138613
玩美彩妝App遭印度政府禁用，業者喊冤，稱所有App研發都在臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>訊連科技子公司玩美移動（Perfect Mobile Corp.）推出的兩款行動App，包括玩美彩妝（YouCam Makeup）和玩美相機（YouCam Perfect），在日前遭到印度政府機構—印度電子資訊產業技術部的禁令，將玩美彩妝列為59款危害印度國土安全App之一，並同步封鎖玩美移動在印度的官網及伺服器。</p> <p>玩美移動總經理張華禎今（6）召開記者會表示，該公司超過8成以上股權都是臺灣資金，所有的研發團隊都在臺灣，玩美移動從2015年成立以來，軟體投資總額更超過24億元。對於印度官方明令禁用完美彩妝App一事，除積極尋求包括經濟部國貿局、外貿協會、印度臺北協會等單位協助澄清，亦多次發文，等候印度官方召開針對禁用App的申訴會議。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>印度明令禁用完美彩妝App，安卓平臺卻移除玩美相機App</strong></span></span></p> <p>張華禎指出，印度軍方3年前便將玩美移動旗下App視為中國App，要求軍人不得安裝；隨著中印邊境衝突節節升高，在今年5月，則有印度軟體公司推出一鍵移除59個中國App的App外，並於今年6月，由印度官方直接將玩美彩妝列App，為禁用的59款中國App之一。</p> <p>她進一步解釋，玩美移動旗下推出的App，相關的程式碼都是由臺灣工程師開發而成，除卻臺灣外，並沒有其他的研發基地，相關資料也存放在亞馬遜AWS東京機房，不會任意收集使用者資料。</p> <p>玩美移動雖然有在上海有成立子公司，但張華禎認為，不能將所有在中國成立子公司的業者都視為中國業者。該公司為了因應中國市場的要求，玩美移動推出的App都有中國版和海外版，印度下載的則是海外版App，非中國使用者資料，也不會上傳到中國以外的任何雲端伺服器。</p> <p>因為玩美彩妝和全球280家彩妝業者合作，加上全球下載量超過8.5億次，她也說，為了確保產品的安全性，也有定期進行滲透測試等相關資安防護以及個資與隱私保護措施。</p> <p>不過，這一次印度官方的禁令中，卻出現iOS和Android移除App不同調的情況。張華禎表示，印度官方下令禁用玩美彩妝App，iOS移除玩美彩妝App，但在Android平臺則是移除玩美相機App。</p> <p>玩美移動資深副總暨策略長陳品仁表示，該公司定期委由第三方業者進行滲透測試，今年3月16日～20日，有歐盟資安服務業者SynAckTiv針對OWASP Top 10以及OWASP Mobile Top 10等資安弱點，進行為期一周的滲透測試；臺灣則委由雲勝雲端科技公司，執行相關的滲透測試。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>印度禁令影響玩美移動商譽，積極尋求澄清管道</strong></span></span></p> <p>面對這一次印度禁用風波，張華禎認為，該起事件對玩美移動帶來3大衝擊。首先，這一起印度禁令事件已經成為國際新聞，也造成該公司的品牌合作業者的疑慮；再者，玩美彩妝名列下架名單，印度用戶無法從Apple App Store下載及更新，Google Play Sotre則受印度指示，將玩美相機下架而非對外公布的玩美彩妝。第三點，印度政府下令ISP業者封鎖玩美移動官方網站及伺服器，這也造成現有的用戶無法連上官網或透過App下載更新內容。</p> <p>張華禎說，從2017年印度軍方下令軍人禁用玩美彩妝App，到今年6月，印度官方正式明令禁用玩美彩妝App以來，對於該公司已經造成嚴重的商譽和形象損失，即便印度業績在該公司占比不高，但為了避免「被默認」是中國App業者，該公司也將持續透過各種管道澄清，並尋求臺灣政府協助，並積極與印度政府澄清事宜。</p> <p>陳品仁指出，目前玩美移動去年雖然有獲得阿里巴巴的投資，但整體股份低於2成，並不符合臺灣對於中資企業的定義。</p> <p> </p> </div></div></div>
2020/7/6 16:59作者黃彥棻https://www.ithome.com.tw/news/138617
伊朗核武、軍事設施爆炸，疑和網路攻擊有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗本月在6天內連續發生核武及軍事設施兩起爆炸，媒體<a href="https://www.securityweek.com/cyberattacks-possibly-involved-explosions-iranian-nuclear-military-facilities" target="_blank">報導</a>，這兩宗事件可能是網路攻擊造成。</p> <p>6月26日伊朗首都德黑蘭東南方的帕爾欽一座據信為飛彈製造場所的軍事基地發生爆炸，原因來自天然氣槽外洩。而在一個星期後的7月3日，又傳出伊朗中部城市納坦茲的一座戒備森嚴的地下鈾濃縮設施上方的某台興建中，和核武生產有關的工廠建物發生爆炸。</p> <p>雖然有一個名為「祖國獵豹」（Cheetah of the Homeland）的組織自稱犯案，但美聯社引述伊朗官方媒體指稱，此事和以色列與美國有關。而這個可能與去年以來美、伊之間軍事衝突升溫有關，美國1月出動無人機在伊拉克巴基斯坦炸死伊朗軍事將領，隨後伊朗政府則對伊拉克的美國基地發動飛彈報復攻擊。</p> <p>納坦茲的核武設施曾在2010年<a href="https://www.ithome.com.tw/node/63565" target="_blank">遭到Stuxnet</a>蠕蟲病毒入侵，而<a href="https://www.ithome.com.tw/node/74131" target="_blank">一般認為</a>Stuxnet為以色列和美國研發及策動攻擊，旨在摧毁伊朗的核武發展計畫。Stuxnet可以說是現代化工控系統惡意程式的先驅。</p> <p>一家科威特報紙媒體引述消息來源<a href="https://www.aljarida.com/" target="_blank">報導</a>，兩起攻擊事件都是網路攻擊所引起，其中駭客入侵納坦茲核武設施的一個天然氣壓縮系統，引發大火造成2層樓的反應器建物受損。</p> <p>伊朗官方尚未針對是否為網路攻擊做出評論。</p> </div></div></div>
2020/7/6 14:50作者陳曉莉https://www.ithome.com.tw/news/138610
外洩密碼分析：每139個密碼就有一個是123456
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>土耳其中東科技大學電腦工程系學生Ata Hakçıl日前<a href="https://github.com/FlameOfIgnis/Pwdb-Public" target="_blank">公布</a>了10億筆外洩憑證的分析結果，顯示出人們執著於採用簡單的密碼，即使123456已蟬聯多年的最糟密碼排行榜冠軍，依舊有0.722%的密碼為123456，意謂著每139個密碼中，就有一個使用123456。</p> <p>Hakçıl是在網路上蒐集外洩的10億筆憑證，它們來自於3.9億個使用者名稱與1.7億個密碼，其中最常見的密碼為123456，約有0.722%個密碼為123456。根據密碼管理程式供應商SplashData從2014年到2018年的統計，123456連續5年都是使用者最常用的密碼。</p> <p>如果計算前1,000個最常見的密碼，則占了6.607%，要是最常見的1萬個密碼，占有率則達36.28%。</p> <p>其它Hakçıl藉由這些外洩密碼所得到的數字還包括：密碼的平均長度為9.4822個字元，有12.04%的密碼含有特殊字元，有28.79%的密碼只有字母，有26.16%只使用了小寫字母，還有13.37%只有數字，並有34.41%的密碼以數字結尾，但僅有4.522%的密碼以數字開頭。</p> <p>然而，資安專家在這幾年持續鼓勵使用者採用強度較高的密碼也收到了些許的成效，例如有8.83%的密碼只出現過一次。</p> <p>Hakçıl注意到這些高強度密碼的特性，也能讓使用者作為設定密碼的參考，例如它們全數皆以大寫字母作為密碼的開頭與結尾，密碼本身都與鍵盤排列無關也不具任何字面意義，長度全都達到10個字元，以及皆未包含特殊字元。</p> </div></div></div>
2020/7/6 15:25作者陳曉莉https://www.ithome.com.tw/news/138611
Google Chrome 86新功能可能延長28%筆電續航力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome是公認的吃電怪獸，不過Google正在測試的一項功能，可能延長筆電續航力達28%，約2個小時，不過如果你是用來看Youtube，時間可能會短一些。</p> <p>The Windows Club首先<a href="https://news.thewindowsclub.com/google-chrome-ships-a-new-feature-to-increase-the-battery-life-101417/" target="_blank">發現</a>，Chrome 86測試版從網址列輸入chrome://（timer）喚醒時間減少為每分鐘1次，和Safari一樣。</p> <p>當網頁背景模式運作時，Chrome的JavaScript計時器頻繁運作其實弊大於利。例如計算滑鼠滾動位置是否改變、使用者和廣告有無互動等等，對背景運作的網頁效益並沒有太大助益，徒然只增加不必要的電池耗電量。</p> <p>媒體發現Google的技術文件顯示，這家大廠計畫調整Chrome的JavaScript計時器設定，使網頁在背景運作時，最長可以減少JavaScript喚醒次數到每分鐘1次。Google各在有設定限制喚醒，及未做任何設定的電腦上實驗，前景開啟空白（about:blank）網頁，背景則開啟運作36張隨機網頁。而實驗結果顯示，設定限制喚醒次數到每分鐘1次的情境下，最長可延伸電池續航力到2小時，約28%。</p> <p>但是正常情況下，使用者不會只開啟空白頁，因此Chrome又設計了前景網頁執行Youtube，加上36張隨機網頁背景運作的實驗。第二組實驗顯示，限定JavaScript 計時器的機制最多可延長36分鐘，即13%的使用時間。</p> <p>Google希望這項新設計可延長電池使用時間，又不影響仰賴WebSockets的網頁、app或是訊息或更新的接收。</p> <p>此外Chrome 86版還計畫搭配背景運作JavaScript計時器喚醒時間，加入為期數分鐘的設計。</p> <p>這項功能將推向Windows、Mac、Linux、Android及ChromeOS版本的Chrome。不過Google也說一旦新功能上線，也會提供讓企業IT管理員關閉Chrome這項功能的設定。</p> <p>微軟Edge團隊上周也<a href="https://www.ithome.com.tw/news/138329" target="_top">發表</a>了一項和Chrome團隊合作的相關新設計，預計可讓Windows 10 2004上的Edge、Chrome減少耗用27%的記憶體，進而減少耗電量。</p> </div></div></div>
2020/7/6 15:35作者林妍溱https://www.ithome.com.tw/news/138612
MIT下架含有種族歧視的圖片資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國麻省理工學院（MIT）在上周<a href="https://groups.csail.mit.edu/vision/TinyImages/" target="_blank">撤下了</a>原本開放的Tiny Images資料集，原因為該資料集涉及種族與性別歧視，並呼籲所有以它來訓練AI系統的研究人員，應該刪除該資料集。</p> <p>於2006年建立的<a href="https://web.archive.org/web/20200615170121/https://groups.csail.mit.edu/vision/TinyImages/" target="_blank">Tiny Images</a>定義為視覺字典，它奠基於眾包字典WordNet，可自動從Google的圖像搜尋與其它搜尋引擎找到符合字詞的圖片，內含逾5萬個名詞與8,000萬張圖片，由於其圖片解析度只有32x32 Pixels，因而被命名為Tiny Images。</p> <p>MIT表示，由於Tiny Images資料集的自動圖片蒐集程序仰賴WordNet的緣故，它在許多類別與圖片上使用了貶義詞，再加上它的圖片太小，讓人們很難以肉眼辨識圖片內容，使得就算透過人工檢查，也無法保證能夠完全刪除某些令人反感的圖片。</p> <p>就在全球都因美國非裔男子佛洛依德（George Floyd）之死，而展開種族正義活動的同時，MIT也說，該資料集帶有偏見及貶義的圖像與字眼，將會造成社群的隔閡，也會替利用該資料集來訓練的AI系統帶來偏差，於是他們決定永久撤下該資料集，也要求AI社群不僅不應於未來使用它，也應刪除已下載的任何副本。</p> </div></div></div>
2020/7/6 14:30作者陳曉莉https://www.ithome.com.tw/news/138609
中科院採買伺服器竟內建百度雲，恐將資料外洩給中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研發國防武器裝備，而握有許多軍事機密的國家中山科學研究院（中科院），為了避免機密遭到中國竊取，明文規定禁止使用中國產品，但根據蘋果日報於今日（7月6日）早上的<a href="https://tw.appledaily.com/politics/20200706/MSQDBXVEGXDIMVBYFZ5KKJTUPE/">報導</a>，該單位竟然傳出於2018年招標時，採購了內含中國百度雲（Baidu Cloud）軟體的網路伺服器，而且還驗收通過，直到最近因蘋果日報接獲爆料，向中科院詢問，他們才驚覺有這樣的事情。</p> <p>我們也向中科院進行確認，他們發出新聞稿表示，此事是化學研究所在2018年辦理資訊設備購案時，因作業疏失造成，將含有百度雲的規格誤植採購公告。中科院對於失職人員進行檢討，並記申誡2次。</p> <p>再者，中科院也強調，這次採購的資訊設備並未連接外部的網際網路，只有在內部網路使用，該院內部網路環境也採取內外網實體隔離，並設置資安防護檢測設備等措施。但對於上述的網路伺服器是否會對資安造成影響？他們沒有進一步說明，僅表示日後會對於相關的資安管制更為審慎。</p> <p>對於此事我們也詢問了國防部，他們認為，本次事件與中研院內部資安管理有關，不便發表任何看法。</p> </div></div></div>
2020/7/6 13:10作者周峻佑https://www.ithome.com.tw/news/138608
LinkedIn、Reddit App也被發現竊取用戶剪貼簿資訊，皆承諾改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月底有用戶利用iOS 14的新安全功能<a href="https://www.ithome.com.tw/news/138509" target="_blank">發現53款App</a>暗中存取iPhone或iPad中剪貼簿內容，但周末隨著其他用戶測試，發現連Reddit、LinkedIn也應被加入名單中。兩家公司皆表示沒有把這些資料傳到別處，但都承諾會停止這個行為。</p> <p>iOS 14新增可在iOS App讀取裝置剪貼簿內容時發出警示的功能，先是於上周曝露出抖音、華爾街日報、AliExpress等仍然延續舊有竊取用戶資訊的行為，一名用戶又先後在使用<a href="https://twitter.com/DonCubed/status/1278800136408186881" target="_blank">Reddit</a>及<a href="https://twitter.com/DonCubed/status/1278757106468806656" target="_blank">LinkedIn</a>時也出現通知訊息，顯示App蒐集他們的每一次鍵擊。由於用戶也啟用了iOS的通用剪貼簿（Universal Clipboard）功能，因此還讓iPad Pro上的LinkedIn App存取了MacBook Pro電腦上的剪貼簿內容。</p> <p>Reddit對The Verge<a href="https://www.theverge.com/2020/7/4/21313214/reddit-code-clipboard-privacy-copy-ios" target="_blank">表示</a>，他們已追蹤到問題出在貼文撰寫中的一段程式碼路徑，會檢查剪貼簿中的URL，然後根據該URL的文字內容建議貼文主旨。Reddit也表示他們的App並未曾儲存或傳送剪貼簿內容，現在工程團隊已經移除了這段程式碼，會在7月14日釋出修補程式。</p> <p>LinkedIn對ZDNet<a href="https://www.zdnet.com/article/linkedin-says-ios-clipboard-snooping-after-every-key-press-is-a-bug-will-fix/" target="_blank">表示</a>，這是App的bug，不是故意設計的行為。而LinkedIn消費產品工程副總裁Erran Berger則<a href="https://twitter.com/eberger45/status/1278843576638570496" target="_blank">表示</a>根據該公司團隊的追蹤，判斷這個程式碼路徑只在剪貼簿和目前文字方塊中鍵入的內容進行相等性檢測，LinkedIn並不會儲存或傳輸剪貼簿內容。他說團隊正著手修補這個問題，一旦完成就會加入App中。</p> <p>不過顯然使用者並不太滿意這個回答。許多用戶質疑何以LinkedIn App的「相等性檢測」會用在別人的App上，這個行動毫無理由，根本從一開始就不應存在。</p> <p>至於上周披露再犯（或根本沒有修正過）的53款App，只有因中國企業的身份被放大檢視的抖音出面<a href="https://www.telegraph.co.uk/technology/2020/06/25/tiktok-stop-snooping-users-clipboards-iphone-update-shows-App/" target="_blank">說明</a>會再釋出新版iOS App，不再竊取用戶剪貼簿的內容。</p> </div></div></div>
2020/7/6 11:15作者林妍溱https://www.ithome.com.tw/news/138607
【iThome 2020 CIO大調查系列五】數位轉型最大挑戰是什麼？CIO第一線心聲大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 第一銀行資訊管理中心副總經理劉培文 </span></strong></span></p> <p><span style="font-size:28px;"><strong>從資訊現代化、產品數位化及市場創新化看轉型考驗</strong></span></p> <p>企業內部所有利害關係人必須對數位轉型有相同的認知，要做什麼才能有共識，也才能夠分工合作產生「轉型賺新錢」的力量。否則企業很可能會一直停留在運用新科技優化既有流程與降低成本的階段而不自知，甚至將數位轉型簡化為資訊部門的責任，或新成立一個數位創新部門獨自承擔轉型的重擔，但其它單位Business as usual。</p> <p>對傳統非網路原生的企業來說，套用三化（資訊現代化、產品數位化及市場創新化）來比喻，就是要讓你的兵工廠從製造坦克大砲變成製造戰鬥機，還要訓練你的戰鬥部隊從開坦克變成開飛機，從陸戰打到空戰。所以這整件事的最上層是一個戰略的布局與決定，各事業群CXO與業務部門的頭頭必須下決心跳下來打這場數位空戰，而且要有長期抗戰與死傷慘重的心理準備。因為從市場客群研究、產品企畫、產品研發、行銷、客服到內部作業流程，都必須換血換腦袋。</p> <p>當然實務上，事業群會有各種理由排斥，這時你的海軍陸戰隊也就是數位創新部門就要頂著鋼盔先示範這場仗怎麼打。但數位創新部門應該是領頭羊、傳教士的角色，或是數位通路與數位體驗的主責單位，而不應該把數位產品與市場創新的長期責任也一肩扛下。</p> <p>要打贏這場仗，資源補給與後勤支援也是關鍵。資訊資安部門就是你的兵工廠，你要讓你的子弟兵學會用網路時代的技術，打造新的數位武器（產品、系統、App）。也要讓你的國會（董事會）撥款同意打這場戰爭，更要讓你的人資部門不斷招募新兵或重新訓練戰士，否則這仗是打不下去的。<span style="color:#696969;">（編按：作者看法也曾發布於個人部落格）</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中華電信資訊處副總經理鄭枸澺 </span></strong></span></p> <table border="0" cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/09_%E9%84%AD%E6%9E%B8%E6%BE%BA_%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1_%E8%B3%87%E8%A8%8A%E8%99%95_%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20191223_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 203px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>組織與文化是最大挑戰 </strong></span></p> </td> </tr></tbody></table><p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞旭電腦資訊總部資深處長黃英哲 </span></strong></span></p> <table cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/01_%E9%BB%83%E8%8B%B1%E5%93%B2_%E4%BA%9E%E6%97%AD%E9%9B%BB%E8%85%A6_%E8%B3%87%E6%B7%B1%E8%99%95%E9%95%B7_20181112_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 203px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>數位轉型的題目太大，個別企業對</strong></span><strong style="color: rgb(105, 105, 105);">數位轉型方向的明確性、階段性目</strong><strong style="color: rgb(105, 105, 105);">標的共識，是難題。</strong></p> </td> </tr></tbody></table><p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中華資安總經理洪進福 </span></strong><br /> 先要辨識轉型方向與作為，其次是建立實現轉型的能力</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 瑞助營造資訊中心資深經理丁宏祈 </span></span></strong></p> <p>挑戰是資源取得不易、外部專家不足、資訊缺乏</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 立肯國際資訊部副理周君澤 </span></span></strong></p> <p>挑戰有三，</p> <p><strong>1. </strong>對於內部反彈聲音與抗拒，能否堅持自身信念持續走下去。</p> <p><strong>2. </strong>對於沒有辦法馬上看到的成效與外部質疑，持續地把眼光放遠不輕易改變</p> <p>信念跟作法。</p> <p><strong>3. </strong>要持續確認高階主管的支持與認同。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 彩富電子資訊部經理薛棊一 </span></strong></span></p> <p>需要高層的認知與支持（提供足夠人力或預算）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國泰綜合醫院資訊部部長曾景平 </span></strong></span></p> <p>挑戰是專業人力不足，例如資料科學、人工智慧、資安等等人力不足，<strong>IT</strong>預算爭取不易。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 知名電商開發主管 </span></span></strong></p> <p><strong>1. </strong>讓老闆了解轉型與公司<strong>OKR/KPI</strong>的絕對連結。</p> <p><strong>2. </strong>讓同仁接受了解唯一不變的就是變。</p> <p><strong>3. </strong>了解未來趨勢，決定數位轉型中所採用的系統符合趨勢。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 鼎鼎聯合行銷資訊部協理鍾明峰 </span></span></strong></p> <table border="0" cellpadding="1" cellspacing="1" style="width:600px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/23_%E9%8D%BE%E6%98%8E%E5%B3%B0_%E9%BC%8E%E9%BC%8E%E8%81%AF%E5%90%88%E8%A1%8C%E9%8A%B7_%E8%B3%87%E8%A8%8A%E9%83%A8_%E5%8D%94%E7%90%86_20190517_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 203px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>最大挑戰是制定議題，並取得連續不斷的成功經驗，用以凝聚內部共識以及員工對數位轉型的認同。</strong></span></p> </td> </tr></tbody></table><p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PCB製造業資訊主管 </span></strong></span></p> <p>推動數位趨動的文化，最大的難題在傳統觀念的轉變，如何找到合適的題目及數據的真實性（符合母體實際的資料樣本）。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 私立大學資訊主管 </span></strong></span></p> <p>考驗高階主管的決策能力與執行力，<strong>CIO</strong>可看到新的數位轉型機會，但是不見得高階主管們也看見數位機會，即使能看見數位機會但是在既有制度束縛下，也不見得有能力參與推動。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百億高科技製造業資訊協理 </span></strong></span></p> <p>老闆及員工的認知、<strong>IT</strong>的技術能力</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電子零組件資訊主管 </span></strong></span></p> <p>高層對數位轉型的決心與員工對數位轉型所抱持的意願</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零售流通業資管處主管 </span></strong></span></p> <p>高層的認同及核心價值</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 飯店業IT協理 </span></strong></p> <p>高層支持主導，預算投入高低</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百億半導體通路業資管副處長 </span></strong></span></p> <p>企業無統籌規畫之部門，無明確數位轉型之方向及目標</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 金融資訊副總 </span></strong></span></p> <p>目標的設立與價值評量</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 飯店業系統主管 </span></strong></span></p> <p>數位轉型所達到的成效與投資期望間的落差</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 高科技製造業CIO </span></span></strong></p> <p>人員觀念的改變</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 中央機關資訊處長 </span></span></strong></p> <p>與業務單位的溝通協調</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 物流倉儲業資訊經理 </span></strong></span></p> <p>人員的共識取得與作業改變</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨國服務業資訊技術VP </span></strong></span></p> <p><strong>IT</strong>缺人且不易徵才、培養</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百億製造業電腦高專 </span></strong></span></p> <p>挑戰是效益分析、成效的不可控性；專案投入人員的信心度；可用資源缺乏；數位整合商有關產業生產設備數位化經驗不足；資料數位化不易。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 上市資服公司資訊協理 </span></strong></span></p> <p>缺乏經驗豐富的規畫人員，在進行數位轉型時做全盤的考量與規畫，很多時候浪費太多人力在<strong>Try and Error</strong>，造成很多重工。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百億製造業IT經理 </span></strong></span></p> <p>使用單位無法提出具體需求，不願貢獻生產技術領域知識，經費不足投資暫緩，無法一元化轉型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 政府機關資訊室主管 </span></strong></span></p> <p>現行硬體（<strong>Cloud</strong>）不是問題，惟長官的信任及軟體（<strong>AI</strong>，<strong>Big Data</strong>）尚待加強</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 服務業研發副總 </span></strong></span></p> <p>很難訂定明確的目標與時程規畫，企業經常失望於實際執行的達成率</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電子製造業資訊經理 </span></strong></span></p> <p>高層的支持、同仁對改變的意願，預算的分配</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 日用品製造業資訊主管 </span></span></strong></p> <p>企業轉型與未來策略不明，以致無法精準定義轉型目標與軌跡</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高科技業資訊處處長 </span></strong></span></p> <p>沒有清楚的目標</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 金融技術研發主管 </span></strong></span></p> <p>跨部門整合</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 製造業系統情報室主管 </span></strong></span></p> <p>成本與實際效益難估算，不好說服老闆及資料<strong>Owner</strong>的抗拒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 政府機關資訊組長 </span></strong></span></p> <p>最大挑戰是在人、經費不足情況下，仍須達成年度<strong>KPI</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零售業CIO </span></strong></span></p> <p>要做的事太多，而資源及人力不足</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 銀行資訊協理 </span></strong></span></p> <p>資安是轉型難題</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 銀行CIO </span></span></strong></p> <p>轉型最大難題是，具數位應用經驗之高階<strong>IT</strong>人才缺乏</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 服務業資訊部副理 </span></strong></span></p> <p>高階主管與業務單位支持</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高科技公司技術處經理 </span></strong></span></p> <p>讓高層主管有共識，並願意投資</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 餐飲業IT主管 </span></strong></span></p> <p>高階主管對數位化的觀念</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 食品零售業IT經理 </span></strong></span></p> <p>數位轉型的成效難以精確的預估、使用者參與轉型的意願</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 區域醫院資訊主管 </span></strong></span></p> <p>成本效益有時難以具體呈現</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 證券資訊副總 </span></strong></span></p> <p>資源不足，<strong>IT</strong>與業務單位目標不一致（沒有統籌辦理的單位）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療業IT總監 </span></strong></span></p> <p>內部共識與需求</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 餐飲集團IT主管 </span></strong></span></p> <p>企業內部溝通</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊製造業資訊協理 </span></strong></span></p> <p>公司文化及業務型態改變</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 製造業IT主管 </span></span></strong></p> <p>商業模式與<strong>IT</strong>技術整合</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 老牌服務業CTO </span></strong></span></p> <p>舊系統的包袱</p> <p><span style="color:#696969;">圖片攝影／洪政偉</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span></strong></span></p> <p><a href="https://www.ithome.com.tw/article/138473" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(五) 數位轉型的兩難</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138350" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(四) 數位轉型加速</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138102" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(178, 34, 34);"><strong>iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露</strong></span></span></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136642" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 資安大調查</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136319" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136361" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技</span></a></span></strong></p> </div></div></div>
2020/7/6 12:00未署名https://www.ithome.com.tw/news/138476
澳洲將斥資近10億美元以強化網路安全能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/138500" target="_blank">發布</a>澳洲的公、私組織相繼遭到國家級駭客鎖定的警告之後，澳洲政府<a href="https://www.pm.gov.au/media/nations-largest-ever-investment-cyber-security" target="_blank">宣布</a>，將在未來10年投入13.5億元澳幣（約9.28億美元）以強化該國的網路安全能力，並透過澳洲情報機構Australian Signals Directorate（ASD）與澳洲網路安全中心（Australian Cyber Security Centre）來協助當地組織對抗網路威脅，而這也是澳洲史上對於網路安全最大的一筆投資。</p> <p>此一專案名為「網路增強狀態的感知與回應」（Cyber Enhanced Situational Awareness and Response，CESAR），澳洲政府期望可藉由此一專案辨識更多的網路威脅，摧毀更多的國外駭客，以及與產業及官方建立更多的合作關係來保障澳洲人的網路安全。</p> <p>而這全是因為澳洲總理Scott Morrison已意識到，針對澳洲民眾的惡意網路活動不管是在頻率上、規模上或是複雜度上都有增溫的趨勢，而計畫透過CESAR來強化全面性的保護，不論是個人、小型企業或重大服務的供應商。</p> <p>該預算的用途主要分為兩大部份，一是防禦及破壞惡意網路活動，包括加強ASD辨識惡意活動並與執法機構合作的能力，建立網路威脅共享平台，以及擬定對抗網路威脅的新策略；其次則是改善當地了解惡意網路活動的能力，以更快地辨識及回應新興的網路威脅，因此準備擴充其資料科學與情報能力，打造國家網路威脅情境的感知能力，以及建立各種尖端網路安全實驗室，以能有效地及提供網路安全的即時建議。</p> <p>此一專案亦包含將由ASD招募超過500名的資安人才，大舉擴充其網路安全人力。</p> <p>澳洲國防部長Linda Reynolds表示，該專案是澳洲針對網路及資訊戰所投入的150億元澳幣（105億美元）的其中一環，相關的能力將是該部門2020軍力架構計畫的一部份，以應對快速進化的網路威脅。</p> </div></div></div>
2020/7/6 10:10作者陳曉莉https://www.ithome.com.tw/news/138604
新世代行銷！:eye::lips::eye:迷因在一天內募集20萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年的6月26日，有幾名科技人在Twitter上發表了一項新服務，他們並未說明這是什麼樣的服務、程式或產品，只說即將宣布，但採用了最近熱門的:eye::lips::eye:迷因（meme）作為圖騰，表示只要以電子郵件註冊就能收到產品細節，而在一夜之間，他們即收到2萬封申請郵件，而且募集到20萬美元。</p> <p>崛起於TikTok影片中的:eye::lips::eye:被用來形容有趣、怪異、震驚或無言的感受，若以文字來描述，則是「It is what it is.」（事情就是這樣了。），由於已成為非常流行的迷因，已<a href="https://www.urbandictionary.com/define.php?term=It%27s%20What%20It%20Is" target="_blank">被收錄在</a>基於眾包的Urban Dictionary俚語字典中。</p> <p>:eye::lips::eye:團隊形容自己是由幾個年輕且多元的技術專家所組成，厭倦了技術產業的現狀，特別是這些龍頭業者執迷於獨家的社交平台，而且這些平台經常無視於全球邊緣人所面臨的實際需求，在建置平台時也直接忽視他們。</p> <p>該團隊還建置了一個以:eye::lips::eye:表情符號為名的<a href="https://xn--mp8hai.fm/statement" target="_blank">網站</a>，在郵件中要求提出申請的用戶變更他們的Twitter帳號，以納入:eye::lips::eye:。</p> <p>事實上，此事一開始完全只是一個玩笑。他們只要使用者在Twitter帳號中加入:eye::lips::eye: ，並沒有規畫真正的產品或服務，但這個玩笑卻如滾雪球般地擴大，在26日當天甚至一度登上Product Hunt排行榜上的冠軍，Product Hunt專門陳列各種新興的程式、網站、硬體或服務，但:eye::lips::eye: 只靠迷因便收服了人心。</p> <p>:eye::lips::eye:團隊後來不得不發表了<a href="https://xn--mp8hai.fm/statement" target="_blank">正式聲明</a>，還說當他們開這個玩笑時並未想到會造成如此大的迴響，然而，此刻沒有任何比全球剛意識到的系統性種族主義及反黑人更大的問題了，很高興能夠利用此一新建的平台來推動種族正義，他們成功地藉由一個不存在的產品吸引了使用者，發布的當天便收到2萬封電子郵件，以及在Twitter上的數千個分享，同時也募集到20萬美元的資金。</p> <p>他們打算把相關的資金捐贈給專門推動平等的慈善組織，包括協助黑人婦女治療疾病的 Loveland Foundation Therapy Fund，提供餐點予跨性別黑人的The Okra Project，以及專門提供法律諮詢服務給被冤枉受刑人的The Innocence Project等。</p> </div></div></div>
2020/7/6 10:55作者陳曉莉https://www.ithome.com.tw/news/138606
全錄傳遭勒索軟體Maze加密竊走100GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bleeping Computer於6月30日<a href="https://www.bleepingcomputer.com/news/security/business-giant-xerox-allegedly-suffers-maze-ransomware-attack/" target="_blank">報導</a>，影像方案及印表機大廠全錄（Xerox）可能遭勒索軟體Maze駭入網站，且加密並竊走高達100GB的資料。不過全錄並未證實此事。</p> <p>勒索軟體Maze背後的運作駭客組織6月24日在其網站上，公布一批受害名單及其系統的螢幕擷圖，其中一家受害組織為全錄。</p> <p>駭客貼出了約10張擷圖，包括6月24、25日的全錄網路上的目錄清單、網路共享資料夾，其他畫面則顯示全錄網站已被加密、以及由全錄管理一臺名為eu.xerox.net的主機被駭入。此外也有駭客留給全錄的勒索訊息畫面。</p> <p>駭客指出，他們已經竊得全錄超過100GB的檔案，並表示如果全錄不願支付贖款的話，他們打算全部公開。</p> <p>這批畫面是否屬實不得而知，全錄截至7月2日並未發出公告，也未向媒體證實消息的真實性。</p> <p>Maze已經涉入多起大企業的勒索事件，其受害者還包括南韓電子大廠LG、晶片業者MaxLinear、IT巨人Cognizant及企業服務商Conduent。其中Cognizant 4月遭Maze襲擊，該公司<a href="https://www.zdnet.com/article/cognizant-expects-to-lose-between-50m-and-70m-following-ransomware-attack/" target="_blank">估計</a>造成的營收損失在5,000到7,000萬美元。</p> </div></div></div>
2020/7/6 09:40作者林妍溱https://www.ithome.com.tw/news/138603
Confluent提供Apache Kafka資料永久留存服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Confluent宣布即將在自家雲端平臺加入新功能，在其<a href="https://www.confluent.io/blog/infinite-kafka-data-storage-in-confluent-cloud/">Apache Kafka服務推出無限資料留存</a>功能，現行Confluent所提供的Kafka單位（Confluent Unit for Kafka，CKU）具有資料儲存限制，但在之後，無論是標準叢集和專用叢集，資料都將沒有儲存限制。在AWS上的<span class="s1" style="font-kerning: none;">Confluent Cloud服務可以在7月優先獲得這項功能，其他雲端平臺還需要再等等。</span></p> <p>Kafka是由LinkedIn開發，並於2011年開源釋出的分散式串流平臺，在2014年時，LinkedIn員工離職創立了Confluent，提供企業級的Kafka服務。Apache Kafka可統一、高吞吐量且低延遲地處理即時資料，因此被企業廣泛地用來儲存應用程式的事件資料。</p> <p>Kafka叢集會儲存自生產者（Producer）程式而來的資料，資料會被以不同的分割區和主題儲存，需要資料的消費者（Consumer）程式，便可從叢集的分割區查詢資料，Kafka可以在一臺或是多臺伺服器叢集上運作，而且分割區還能夠分散在跨叢集節點上。</p> <p>典型Kafka的設定是將資料留存數天到數周，但隨著企業對於數位資料的需求，歷史資料需要留存的時間也就越來越長。Confluent提到，由於現在數位體驗對個人化的需求特別高，而企業為了要建構這些應用程式，需要以歷史資料來預測即時事件，在考量龐大即時資料的儲存成本以及使用複雜度，這對於現在的資料基礎結構來說並不容易，事件資料通常在Kafka中保存7天，而這限制了事件串流資料的使用情境，沒有足夠久的歷史資料，就無法進行逐年分析和預測性機器學習應用。</p> <p>因此Confluent在其雲端Kafka服務，提供新的資料無限留存功能來解決這個問題，使企業可以建立資料中樞系統，連結內部所有的系統、SaaS以及微服務等端點，將資料全部儲存到中樞系統中，Kafka中的事件資料會成為其他系統的單一事實來源，具擴展能力同時還可確保資料的完整性。</p> <p>Confluent提到，因為在Kafka中，運算和儲存能力被緊密地綁在一起，所以難以在流量上升時靈活地擴展，因此就無法大量地留存資料，而Confluent Cloud新提供的無限留存功能，使運算和儲存容量脫鉤，還能自動進行擴展，儲存可隨流量上升而擴展。在沒有儲存限制的情況下，企業就能將歷史事件串流資料，應用到更多的案例上。</p> <p>Confluent Cloud隔離新舊資料的讀取，當應用程式讀取歷史資料時，不會影響其他讀取新資料的應用程式，讓叢集中的即時和歷史分析能夠並存。</p> <p>AWS上的Confluent Cloud用戶在7月就可以開始使用資料無限留存功能，無限留存提供彈性可擴展的儲存，Confluent提到，企業不用為預先配置的儲存容量付費，僅就儲存的資料量支付費用。使用其他雲端服務供應商的Confluent Cloud用戶，在今年稍晚時候也將能使用新功能。</p> </div></div></div>
2020/7/6 09:55作者李建興https://www.ithome.com.tw/news/138596
Mozilla釋出最新長達7,226個小時的Common Voice語音資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discourse.mozilla.org/t/common-voice-dataset-release-mid-year-2020/62938">Mozilla的開源語音辨識引擎專案同聲計畫（Common Voice）釋出最新的語音資料集</a>，總共含有7,226個小時的語音資料，而且除了資料集的時間長度持續累積增加之外，多元性也不斷地提升，最新的版本新增了14種資源稀有的語言，現在總共有54種語言的錄音。</p> <p>同聲計畫的目的是要提供Mozilla維護的語音轉文字引擎DeepSpeech，有足夠的訓練資料使用，且該語音資料集不僅包含語音片段，還包含了貢獻者自願提供的元資料，可用來訓練語音引擎，具有像是年齡、性別和口音等特徵。</p> <p>這個新版本擁有550萬個語音剪輯，平均每個剪輯為4.7秒，在長達7,226個小時的語音中，已經有5,591小時已經由社群貢獻者確認為有效語音資料，Mozilla特別提到，英文、德文、法文、義大利文和西班牙文，總共有超過5,000位的語音貢獻者。</p> <p>另外，Mozilla這次還發布了一個針對特殊用途的單字目標字串資料集，這是針對用於特殊使用情境的字串語音資料集，其中包含了用來進行語音數字辨識、喚醒詞等測試資料，其收集數字0到9的發音，還有Hey與Firefox等單字語音。</p> <p>單字目標字串資料集總共有120個小時，由11,000人在一個月內使用18種語言創建而成，同聲計畫的產品負責人Megan Branson提到，這個細分資料集將會用在Deep Speech的準確性基準測試中，以不同的語言完成相似的任務，在獲得回饋細節後，知道繼續改進資料集的方法。</p> </div></div></div>
2020/7/6 10:08作者李建興https://www.ithome.com.tw/news/138597
2020年6月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月國內有幾起資安新聞最受關注，例如，隨著疫情持續，刑事警察局警告防疫為名的網釣攻擊在臺已有受害案例，當中並提到釣魚信的寄發，是透過一家不知情企業的無線分享器作為跳板轉發，並查到已有5到6起事件，都是因網通設備存在漏洞，遭駭客利用成為跳板進行犯罪，更重要的是，這起事件同時點出的產業鏈的資安議題，因為該漏洞存在多家廠商網路產品。</p> <p>在Zoom資安議題之外，資安業者Fortinet產品也引發關注，有立法委員接到匿名檢舉，指稱Fortinet產品是中國製造一事，使得行政院資安處、經濟部和工業局等，在本月都開始針對此事進行清查。</p> <p>此外，臺灣電子產業又傳資安事件，月初有盟立公告遭遇勒索軟體攻擊，月底又有欣興電子證實部分資通訊系統受病毒感染，這也持續提醒國內電子產業與上市公司，遭遇資安事件後應如何做好因應。</p> <p>值得注意的是，近期還有一些漏洞安全問題必須重視，例如，在Windows平臺方面，除了美政府警告駭客開始針對Windows 10 SMBGhost漏洞發動攻擊，後續又微軟又修補了一個能該漏洞串聯使用的SMBleed漏洞。</p> <p>本月還有另一個也是關於產業鏈的議題，就是研究人員揭露名為Ripple20的漏洞，由於漏洞存在於嵌入式TCP/IP函式庫，這也使得IT業者、OT業者以及軟體業者，相繼發出資安公告，影響面相當大。</p> <p>從近期新聞焦點來看，新攻擊手法的演變也值得注目。例如，勒索軟體依然是焦點，特別的是，其中新版Thanos勒索軟體服務，採用新的RIPlace技術，可依賴成功利用Windows作業系統的設計漏洞，來破壞受駭單位的原始檔案；而網頁側錄（Web Skimming）攻擊的新動向，近期也不斷被資安專家揭露，電商網站已被鎖定，駭客竟然利用Google Analytics服務，接收線上交易的側錄資料，或是置換網站圖示並在可交換圖檔格式（EXIF）藏匿攻擊指令與外洩交易資料</p> <p>另一方面，在開源專案的漏洞修補現況，近期RiskSense發布的相關統計報告，當中他們盤點近年開源專案的CVE漏洞，並指出跨網站指令碼（XSS）或Input Validation漏洞，是最常見的兩大類型。</p> <p>在其他國人關心的議題中，還有像是企業與名人都會使用的臉書粉絲專頁，前陣子遭盜事件頻傳，如何認識駭客盜用手法就是焦點。</p> <p>最後，在這些10大資安事件之外，還有一些事件也很值得留意，例如，像是UPnP協定被發現的漏洞，這也將影響大量連網裝置，而路由器產品相關漏洞也是焦點，有研究人員發現Netgear路由器的httpd服務存在漏洞，也引發不少的關注。</p> <p> </p> <h2><strong><span style="color:#B22222;">01.</span> <a href="https://www.ithome.com.tw/news/138103">Totolink等多家廠商無線分享器存在漏洞，已遭駭客鎖定駭入並設定VPN作為跳板</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/138103"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_wu_xian_lu_you_qi_zao_suo_ding_cheng_tiao_ban_.jpg?itok=2rX6HgdR" style="width: 600px;" /></a></strong></p> <h2> </h2> <h2><strong><span style="color:#B22222;">02.</span> <a href="https://www.ithome.com.tw/news/138272">立委踢爆資安業者Fortinet產品來自中國，政府清查中，Fortinet喊冤</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138272"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960-lin_jun_xian_fortinetji_zhe_hui_lin_jun_xian_li_wei_ban_gong_shi_ti_gong_.jpg?itok=yb9Fa3-m" style="width: 600px;" /></strong></a></p> <p><strong><img alt="" src="/news/138272" /></strong></p> <h2><strong>03.<a href="https://www.ithome.com.tw/news/138495">臺灣電子產業又傳資安事件，PCB大廠欣興公告部分系統遭病毒感染</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138495"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_xin_xing_dian_zi_zi_an_shi_jian_.jpg?itok=XsMc6yKw" style="width: 600px;" /></a></p> <p> </p> <h2><strong><span style="color:#B22222;">04. </span><a href="https://www.ithome.com.tw/news/138177">Windows 10再傳可串聯SMBGhost的SMBleed漏洞</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138177"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0611-broken.jpg?itok=tKsb3cez" style="width: 600px;" /></a></p> <p> </p> <h2><strong><span style="color:#B22222;">05.</span> <a href="https://www.ithome.com.tw/news/138229">新版Thanos勒索軟體服務採用了可繞過大多數防毒軟體的RIPlace技術</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138229"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0615-thanos.jpg?itok=tBA82z-G" style="width: 600px;" /></a></p> <p> </p> <h2><strong><span style="color:#B22222;">06.</span> <a href="https://www.ithome.com.tw/news/138395">恐影響上億裝置的Ripple20漏洞，廠商因應現況總整理（至2020年6月30日）</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138395"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_ripple20_jsof_960x420.jpg?itok=Ek4UvHCn" style="width: 600px;" /></strong></a></p> <p> </p> <h2><strong><span style="color:#B22222;">07.</span> <a href="https://www.ithome.com.tw/news/138433">網站交易側錄攻擊出現新手法，Google網站流量分析工具被駭客用來接收外洩資料</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138433"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/magecart_google_analytics_01-w.png?itok=cDbDVOOz" style="width: 600px;" /></strong></a></p> <p> </p> <h2><strong><span style="color:#B22222;">08. </span><a href="https://www.ithome.com.tw/news/138156">MySQL、Jenkins是漏洞最多的兩個開源碼專案</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138156"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0610-opensource_cve.jpg?itok=HBiwnjAP" style="width: 600px;" /></a></p> <p> </p> <h2><strong><span style="color:#B22222;">09.</span> <a href="https://www.ithome.com.tw/news/138223">【透視臉書粉專遭盜案例一】駭客竟用一個不像FB官方隱私公告的粉絲專頁，就要誘騙用戶至釣魚網站 </a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138223"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_lian_shu_fen_zhuan_zao_dao_an_li_1s.jpg?itok=kCU6nsI-" style="width: 600px;" /></a></p> <p> </p> <h2><strong><span style="color:#B22222;">10.</span> <a href="https://www.ithome.com.tw/news/138240">新任國安會資安諮詢委員由臺科大資工系教授李漢銘接任</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/138240"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960-li_han_ming_bu_neng_xie_ti_gong_zhe_.jpg?itok=adchWDAZ" style="width: 600px;" /></a></p> </div></div></div>
2020/7/5 15:11作者羅正漢https://www.ithome.com.tw/news/138602
一周大事：臺灣正式進入5G時代！電信三雄開通5G服務。消防署防救災系統大變革，網路中斷也能離線通報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>電信三雄5G同一周紛紛開臺</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0705-5G%20-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_中華電信</span></p> <p>中華電信搶先在6月30日開臺，成為國內首家開通5G的電信商，台灣大哥大也緊跟在後，宣布7月1日5G服務正式上線。相隔不到兩天，遠傳也將開賣5G。短短一周內，三大電信先後開臺，臺灣終於正式進入5G時代。</p> <p><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/news/138505" target="_blank">5G來了! 中華電信搶先開通5G服務，每月最低599元就可使用</a></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/138510" target="_blank">臺灣5G開臺第二家！台哥大5G商用服務7月1日正式推出上線</a></span></strong></p> <p> </p> <p><span style="font-size: 28px;"><strong>消防署防救災系統大變革</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0705-EMIC2.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影_余至浩</span></p> <p>過去，國家發生如颱風、水災等緊急重大災害時，政府機關可以透過內政部消防署建置的一套救災應變資訊系統（EMIC），迅速支援各地災情通報、管理與追蹤。近日，這套系統也歷經重大改版更新，推出了第二代EMIC系統，不只全面將災情、物資資訊視覺化在地圖上來呈現，還支援離線通報作業，即使網路中斷也不怕。消防署下一步更要運用大數據與AI技術讓災情預測更早一步，來輔助現場指揮官決策，還規畫引進高速5G網路，以加強現場執行資料蒐集任務，讓指揮官人不在現場，也能遠距即時指揮調度。<a href="https://www.ithome.com.tw/news/138538" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>欣興電子證實部分系統遭病毒感染</strong></span></p> <p>在6月底，又有臺灣電子上市公司傳出資安事件，國內印刷電路板（PCB）大廠欣興電子，在6月29日上午傳出資安事件，公司資訊系統網路遭攻擊而斷訊，根據該公司發言體系的回應，已經證實這項消息。<a href="https://www.ithome.com.tw/news/138495" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>奇偶科技遭爆門禁裝置存在漏洞</strong></span></p> <p>備份軟體大廠Acronis發現臺灣安控設備製造商奇偶科技（GeoVision）所生產的門禁設備，含有4個重大的安全漏洞，一旦這些漏洞被利用，駭客不用門禁卡就能開門，或在這些裝置上植入木馬，可永久進駐受害者網路，或是能夠監控內部的使用者，也能竊取指紋或其他數據，而且不會被偵測到。<a href="https://www.ithome.com.tw/news/138488" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>HPE Ezmeral品牌挑戰VMware與紅帽K8s產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Ezmeral_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_HPE.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_HPE</span></p> <p>HPE宣布軟體品牌Ezmeral，是該公司推動軟體訂閱制策略的一環，其中的Kubernetes產品則寄望挑戰VMware Tanzu及Red Hat OpenShift。</p> <p>HPE Ezmeral涵括容器協同與管理/Kubernetes、AI/機器學習、資料分析、成本控管、IT自動化、AI驅動的營運及安全產品。基本上是以HPE收購的MapR、Scytale等產品為核心提供的IaaS、PaaS產品，作為企業營運基礎架構及管理。<a href="https://www.ithome.com.tw/news/138425" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Bootstrap 5不再相依於jQuery，並放棄支援IE</strong></span></p> <p>知名開源前端框架Bootstrap官方釋出最新的Bootstrap 5 Alpha測試版本，做了一些大刀闊斧的改進，包括不再相依於jQuery，放棄了對IE的支援，改善了CSS變數以及JavaScript運作速度，並提供全新公用工具API。<a href="https://www.ithome.com.tw/news/138399" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>AWS新程式工具讓開發網頁和行動App免寫程式</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Honeycode_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS(1).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_AWS</span></p> <p> AWS推出程式開發工具Amazon Honeycode，以試算表形式來儲存資料，強調讓使用者不需要撰寫任何程式碼，就能建置行動和網頁應用程式。<a href="https://ithome.com.tw/news/138437" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google多項服務讓使用者可預設自動刪除隱私紀錄</strong></span></p> <p>谷歌正式向用戶發布自動刪除隱私資料的功能，用戶可自行選擇在3個月或是18個月後，自動且持續地刪除位置紀錄、搜尋、語音和YouTube活動資料。</p> <p>在使用者首次打開位置記錄功能，自動刪除的時間預設為18個月，而Google的新帳戶，其網路和應用程式活動紀錄，自動刪除功能也預設為18個月，而非持續保留至使用者主動刪除。</p> <p>已經啟用位置記錄以及網路與應用活動紀錄的使用者，則必須要手動更改配置。Google也會主動發送通知，提醒用戶可自行調整相關設定。<a href="https://www.ithome.com.tw/news/138443" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>日本奪下全球最快超級電腦寶座</strong></span></p> <p>全球500大超級電腦最新排名出爐，日本以新一代超級電腦Fugaku（中文名「富岳」）重回全球第一寶座，HPL效能達到415.53 petaflops，是排名第二的美國超級電腦Summit近3倍。<a href="https://www.ithome.com.tw/news/138396" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>駭客利用Google Analytics來收取網站側錄資料</strong></span></p> <p>鎖定電商網站發動的交易資料側錄攻擊（Web Skimming）頻傳，隨著這類事件不斷被資安專家揭露，駭客也試圖採取合法服務方式掩人耳目，像是利用現成的Google Analytics服務，接收線上交易的側錄資料。<a href="https://www.ithome.com.tw/news/138433" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>網站側錄攻擊新手法，網站圖示檔案中繼資料遭濫用</strong></span></p> <p>網站圖示（Favorite Icon，Favicon）成為駭客暗藏攻擊指令的地方，而且輸出的外洩資料也透過圖片檔案的中繼資料（Metadata）來挾帶。<a href="https://www.ithome.com.tw/news/138492" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>蘋果宣布首款改用自家晶片Mac電腦產品年底出爐</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%87%AA%E8%A3%BD%E6%99%B6%E7%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C(1).jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>一如外界傳聞，蘋果在WWDC大會正式宣布，未來的Mac產品線改用蘋果自行設計的晶片，並計畫在今年底發表首款採用自家晶片的Mac電腦，同時搭配全新的macOS Big Sur作業系統。這也意謂著蘋果所有的裝置都會有統一的晶片架構，且Mac電腦上將可直接執行iOS及以iPadOS程式，方便開發人員一次撰寫能夠支援整個蘋果生態體系的應用程式。<a href="https://www.ithome.com.tw/news/138398" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>支援Apple下一代自製晶片，Xcode推12新版</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Xcode%2012_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>基於未來Mac電腦將全面改用自家設計的晶片Apple Silicon，蘋果也推出相對應的整合開發環境Xcode 12。Xcode 12扮演著橋接新舊版Mac架構的角色，能夠建置出在英特爾CPU以及Apple Silicon的Mac上，完全原生執行的應用程式。<a href="https://www.ithome.com.tw/news/138423" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>20年最大升級，macOSBig Sur預覽版問世</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0705_macOS%20Big%20Sur_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>蘋果發表新一代Mac電腦作業系統macOS Big Sur，宣稱它是這十多年以來最大的一次升級，也是第一個支援蘋果自製晶片的Mac作業系統。<a href="https://www.ithome.com.tw/news/138400" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>iOS 14提供新Home Screen、App Clips、強化iMessage</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0705_iOS14_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 266px;" /></p> <p>圖片來源／蘋果</p> <p>預計今年第三季釋出的iOS 14，主螢幕頁加入了改版的Widget、App Library，也改良了App Clips、iMessage、Siri、FaceTime等功能。<a href="https://www.ithome.com.tw/news/138397" target="_blank">更多內容</a></p> </div></div></div>
2020/7/5 07:00未署名https://www.ithome.com.tw/news/138585
Fintech周報第151期：國內11家產壽險公司開始試辦保全理賠聯盟鏈服務，1家申請可多家同步受理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0627</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0703</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險區塊鏈 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 理賠申請 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保全變更 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國內11家產壽險公司開始試辦保全理賠聯盟鏈服務，1家申請可多家同步受理</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">臺灣11家保險公司運用區塊鏈技術，試辦保全／理賠聯盟鏈服務，在7月1日正式上線，試辦期間為6個月。壽險公會表示，初期先以有效契約保戶使用頻率較高的保全變更，以及醫療保險金理賠申請為適用範圍。首波參與試辦的保險公司，包括新光人壽、國泰人壽、台灣人壽、南山人壽、富邦人壽、元大人壽、中國人壽、全球人壽、第一金人壽、國泰產險、富邦產險。壽險公會表示，另有保誠人壽、三商美邦人壽、遠雄人壽、安聯人壽、中華郵政、友邦人壽、法國巴黎人壽及安達人壽，也有意願在試辦啟動後陸續加入。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">保全／理賠聯盟鏈服務上線後，這11家保險公司的保戶，若同時持有多家保險公司保單，僅需向其中一家參與試辦的保險公司提出契約變更或理賠申請，並同意保險公司透過由壽險公會所建置的「保險區塊鏈聯盟科技運用共享平臺」，通報其他業者受理，即可同步啟動鏈中所有投保的保險公司的申請作業。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">在流程上，保戶可透過保險公司的網站、App或行動服務，來辦理保全服務與理賠線上申請。比如，富邦人壽的保戶在富邦人壽的介面提出申請，並指定要把資料變更或理賠申請的資料轉送到特定幾家保險公司一併辦理，富邦人壽受理申請後，將申請資料轉送到保戶指定的保險公司。接著，這個聯盟鏈的成員，也就是指定轉送的保險公司就會收到通知，並以Email或簡訊通知保戶已受理申請。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">保戶在變更基本資料的部分，可變更姓名、身分證字號、保單地址、電子郵件、電話等個人資料；理賠申請部分，目前僅限個人險保單的醫療理賠，含傷害險醫療、癌症險醫療。兩項申請，保戶都須簽署一份的「保全申請轉送暨個資蒐集同意書」給首家申請的保險公司，即可指定轉送聯盟鏈的保險公司，辦理相同變更申請或理賠申請。此外，使用保全理賠聯盟鏈限20歲以上的自然人，申辦保全服務須注意要、被保險人為同一人，理賠服務則需完成同意書及醫療單據的影像上傳，且於各家保險公司規定的工作日內將紙本寄到保險公司。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 網路投保 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 異業合作 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 試辦 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">力推保險科技發展，金管會發布保險業3大新制</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9665(1).JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">有鑑於近期保險業申請多項創新服務業務試辦，為順利推展業務、因應消費者退休規劃及保障需求，以及提升保險業務試辦成功案件的效益，金管會在6月30日發布3項新制。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新制一是，新增開放民眾可經由異業合作的網路平臺，將海域活動綜合險及投資型年金險列為網路投保商品。不過，保險局也要求保險公司與異業合作辦理網路投保業務及網路保險服務，該異業建置的網站專區、網頁或App投保平臺，要由保險業負責管理維護與揭露相關資訊。另外，為了提升消費者網路投保身分驗證及繳費方式的便利性，保險局同意金控所屬的銀行子公司之數位存款帳戶（第一類帳戶）可為首次註冊即身分驗證方式。同時，也新增電子支付帳戶（限第二類或第三類）為保險費繳付方式。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新制二是，保險局為了增加新增開放消費者可透過不同網路平臺購買附屬性保險商品的便利性，開放保險業等可與中華郵政合作，在其官網或網路平臺推火災級地震保險；也可與電動機車製造業者合作，在其官網或App推廣UBI機車保險；還可與糖尿病服務管理業者合作，在其網路平臺或App推廣糖尿病患者健康保險。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">保險局更修正了保險業申請業務試辦作業要點。保險局表示，為了完備保險業申請試辦業務計畫的周延性，增訂保險業申請試辦需檢附文件，包括法令遵循、風險控管、內部控制及資訊安全評估等聲明書。此外，試辦業務項目的保險業及委外合作廠商如果涉及蒐集、處理、利用個人資料，應取得資訊安全管理系統國際標準認證（ISO27001）認證。而且，試辦成功案例，可成為其他業者可比照辦理的規範，以利保險業創新永續發展。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 生態圈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰金控以數據壯大服務生態圈，先聚焦7大場景拼新商機</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%85%A7%E4%B8%80.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控在7月1日舉辦的國泰服務生態圈夥伴日活動，首度喊出國泰即服務（Cathay as a Service，CaaS）為核心的服務生態圈，展示在旅遊、交通、電商、保險、電信、生活、金融等7大場景當中的初步成果，以及國泰如何集結旗下子公司並彙整全集團資源，以數位數據能力與既有金融專業，為異業合作夥伴量身打造新型態商業模式，開創新商業模式與商機。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">去年中，國泰金控以數位、數據、技術為基礎，開始與各領域異業夥伴合作並創造許多新商業模式，包括與台灣之星共推辦門號享優惠貸款專案，甚至再延伸發展刷卡金回饋專案。以及，與易遊網共同發起首宗臺灣保險監理沙盒，讓用戶能在旅遊平臺一站式購買行程與投保旅平險。今年初，更與蝦皮購物推出蝦米貸產品，以電商數據為信用評等依據，提供電商賣家更合適的貸款額度與利率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">未來，國泰金控也將與遠通電收旗下子公司遠創智慧合作，推出創新保險商品，作為延伸國道用路人的安心服務。國泰金控數位數據暨科技發展中心副總經理梁明喬也透露，除了展示的7大場景，國泰也正在多個領域包括醫療、社區、IoT等生活場景深耕，將來服務生態圈的領域會更加豐富。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，遠創智慧副總經理陳聲鏗也表示，已推出以車主為服務訴求的App「uTagGO」，區隔出原以國道收費資訊為主的ETC APP。第一階段將以車主繳費時最常遇到的場景停車服務為重點，並推出eTag智慧停車場相關整合性服務，讓車主能透過eTag感應辨識自動開啟停車場柵門，全過程從取票、付費等透過手機即可完成，目前全臺已有超過300多個停車場升級支援此服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> RPA </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">凱基銀行導入RPA系統提升前後臺作業效率，每月可省下736小時人力工作時間</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_%E5%87%B1%E5%9F%BA%E9%8A%80%E8%A1%8C_20171227(1).jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">傳統銀行實務十分仰賴人工登打資料及層層審核，民眾到分行申辦業務通常須耗費比較多時間。凱基銀行自去年第一季開始實驗導入機器人流程自動化（Robotic Process Automation，RPA）系統，來處理重複性高、筆數龐大的外幣匯款交易，每月成功減少約200小時的人工登打及覆核時間。因此，凱基銀行投入更多資源，在去年第四季開始全盤檢視零售業務的日常作業流程，找出具備重複性、規則化、經常性等3大特徵的電腦作業項目，善用RPA改造端到端完整的數位通道。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">凱基銀行表示，導入RPA系統後，一來提升作業效率，讓作業人員能更快速滿足客戶需求；另方面也降低人工錯誤發生機率，相對提高營運管理效能。正式運作以來，共上線了7支流程，每個月共節省近536個小時的人力工作時間，預計今年9月前還將進行17項流程的改造。凱基銀行表示，RPA專案導入零售業務的流程改造，是由儲備幹部MA所推動，透過年輕世代的邏輯與創新眼光，梳理出行員早已習以為常的作業項目，再運用RPA有效改革。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 聯徵中心 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> My Data </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">聯徵中心資料開放給非會員機構？聯徵中心董事長提出3項建議</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會在6月29日舉辦另一場面向金融業的金融科技座談會，對於外界呼籲將聯徵中心資料開放給金融機構以外的非會員機構，聯徵中心董事長郭建中在會議中就技術、資料、產業3面向提出建議與回應。他表示，在技術、資料方面，金融科技業者可以應用現有技術，與政府現在推動的My Data，來即時取得需要的資料，比如，業者若是要取得客戶的聯徵信用資料，在經過當事人同意後，當事人可以運用行動裝置到聯徵中心下載信用報告與評分，在6到10秒的時間內下載，並轉給需要的業者。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，若客戶是信用小白，國發會預計在7月開放31項My Data資料讓客戶查詢，其中更有19項經過臺灣行動身分識別（TW FidO）驗證後，可透過手機直接下載。郭建中建議業者，在客戶同意下，能由客戶用手機經由TW FidO認證、到My Data即時查詢資料並提供給業者，其中資料包括了個人所得、個人投保、財產資料、勞保、非保險投保資料等，能作為業者判斷客戶信用風險的參考。同時，聯徵中心也願意提供測試、實驗性的資料，讓進入金融監理沙盒的業者使用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資誠 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">資誠發布臺灣金融業企業領袖調查報告，揭金融業未來3大變革與應對建議</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">資誠聯合會計事務所近期發布《2020臺灣金融業企業領袖調查報告》，透過這份調查，資誠歸納出臺灣金融業未來的3大變革。資誠聯合會計師事務所金融產業服務副營運長郭柏如揭露，首先，數位轉型將啟動金融業新局面。主因是純網銀的開業會對既有金融通路造成洗牌效應。而隨著開放銀行第二、第三階段上路，也將引發產業內部更深層的數位轉型。郭柏如提到，數位戰需全面升格，相較過去金融業在同質性的紅海廝殺，新服務模式將是針對目標客群，建立獨特價值主張，提供差異化客戶體驗，進而創造長久的營運收入，而更需重視的是客戶體驗報酬率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第二大變革是，隨著數位科技在金融場景中普遍應用，監理科技與資安的議題也重新被重視。郭柏如表示，企業需要重新發展一個運用數據的治理框架，既要和現實世界的業務場景結合，也需要更大的包容性與數位應用彈性，以科技來重塑社會信任。她也建議，金融業者不僅要導入國際資訊安全管理制度，也需要依據資安的趨勢及技術跳脫資安傳統的框架，彈性而靈活地調整資安藍圖與策略。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第三大變革則來自於全球局勢變動，創造了臺灣產業經濟再一次轉型提升的契機，如果金融機構能趁勢升級，提供更多元的商品選擇、客製化體驗、彈性化收費機制，以及更直覺簡單的數位化服務，將有機會爭取到更多商機。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">圖片來源／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">國泰金控</span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">；攝影／</span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;">李靜宜、洪政偉</span><br style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;" /><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">責任編輯／李靜宜</span></p> </div></div></div>
2020/7/4 00:51作者李靜宜https://www.ithome.com.tw/news/138598
新勒索軟體EvilQuest偽裝多種軟體再度指向Mac電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼4年前第一隻Mac版勒索軟體<a href="https://www.ithome.com.tw/news/104390" target="_blank">現身後</a>，研究人員近日又發現一隻macOS版勒索軟體冒充多種合法軟體，包括Google更新軟體、安全工具及DJ軟體在網路流傳，除了加密檔案外，還具有鍵盤側錄及建立C&C連線，而且付了錢也可能救不回檔案。</p> <p>這隻勒索程式是由安全廠商Malwarebytes K7 Labs實驗室研究人員Dinesh Devadoss<a href="https://twitter.com/dineshdina04/status/1277668001538433025" target="_blank">發現</a>。它首先出現在俄羅斯盜版網站連結分享論壇供人下載。EvilQuest名稱原是來自一款合法遊戲，因此Malwarebytes研究人員也將之命名為OSX.ThiefQuest。</p> <p>EvilQuest/ThiefQuest會冒充合法軟體的安裝器（installer）吸引用戶下載，例如Devadoss發現它冒充Google Software Update軟體，但其他研究人員發現它還偽裝的對象還包括Mac版防火牆Little Snitch及DJ軟體Mixed in Key、編曲工具Ableton等等。但是不論使用者下載了什麼，EvilQuest進入電腦會顯示DMG檔且沒有一個自有的圖示，會讓MacOS發出警示。</p> <p>Malwarebytes行動及Mac平台總監Thomas Reed指出，EvilQuest/ThiefQuest是相隔4年之後，又再一次出現的macOS版勒索軟體。和第一隻Mac版勒索軟體KeRanger一樣，EvilQuest也具備延遲加密的特徵，會在感染後幾天才加密檔案，以避免被安全軟體偵查。</p> <p>EvilQuest是隨機挑戰檔案加密，但是由於撰寫的瑕疵，加密過程會造成macOS的Dock被重設、Finder凍住或密碼鑰匙圈（Keychain）也被加密。不過一旦它加密完成，受害檔案名會加入BEBABEDD的副檔名，並顯示勒索50美元的訊息。</p> <p>而且它的能力不只有加密檔案。EvilQuest還會下載鍵盤側錄軟體竊取用戶密碼，而且能開啟反向shell（reverse shell）和外部C&C伺服器建立連線，以下載其他惡意程式及指令。研究人員並發現，EvilQuest的作者賦予它執行於VM、關閉偵錯工具（debugger），以及偵測Little Snitch或防毒軟體（像是卡巴斯基、Norton、Avast、McAfee、Bitdefender、Bullguard等）的能力，以增加偵測的難度。</p> <p>長年從事Mac惡意軟體分析的Principle Security研究人員Patrick Wardle指出，擁有這些能力，將使駭客取得受感染電腦的完整控制權，未來仍可能持續存取電腦、竊取檔案及密碼。</p> <p>研究人員並指出，EvilQuest要求靜態比特幣地址，沒有電子郵件信箱，因此駭客無法確知是誰付款，受害者也無從聯繫駭客，因此即使用戶付款，也不見得能回復檔案。因此最保險的作法是重要檔案都應該至少有2份備份，且存在不同電腦上。</p> </div></div></div>
2020/7/3 11:45作者林妍溱https://www.ithome.com.tw/news/138569
Flutter導覽／路由的是與非
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>探討Flutter的導覽與路由時，若相關資料讀來有違和感，別懷疑，Flutter是相對年輕的平臺，社群經驗還在建立，透過設計概念、隱喻、API架構，甚至是原始碼來探討，才是王道。</p> <p><span style="font-size:28px;"><strong>以紙為隱喻的Navigator</strong></span></p> <p>對於有著一定功能的App來說，不會只有一個功能頁面，開發者使用Flutter涉及多個頁面切換時，若無特別想法，就會使用Navigator與MaterialPageRoute來設計，或者透過具名路由（Named route）設定路由表，單純地遵守框架規則，將路由置入（push）Navigator管理的堆疊，或者從堆疊中彈出（pop）。</p> <p>但看過文件後我有疑問：「嗯？為什麼Navigator要使用堆疊？」這邊指的並不是資料結構上的堆疊，而是頁面切換為何是疊起來的？Flutter提倡並支援Material Design，來看看Material Design官網怎麼說好了，在〈Understanding navigation〉（<a href="https://bit.ly/2AI3Tpj">https://bit.ly/2AI3Tpj</a>）談到「使用者透過導覽通行app」。</p> <p>若只是要通行App的話，就算不透過Navigator，開發者應該也有些直覺的作法吧！像是將Widget樹中代表各頁面的子樹置換掉，或者是用Stack之類的排版元件來實現；然而在毫無規範的情況下，這類作法在頁面複雜時，很快地就會令頁面間的跳轉一團亂，摸不清現在是在App的哪個位置，Android開發者在過去就面臨過這類問題，在Google 2018 I/O年推出的AndroidJetpack中，包含了新的Navigation元件，就是想解決這類問題。</p> <p>Flutter吸取了過去的經驗，直接在框架中內建Navigator，讓開發者透過Navigator來規範，將導覽的設計約束在可控制的範圍，所謂的約束，具體來說，就是Navigator API文件上第一句就談到的：「用堆疊來管理子Widget」。</p> <p>也就是說，只有在導覽設計打算採用堆疊的情況下，使用Navigator才會開心，框架才能幫你處理頁面切換狀態、訊息溝通、轉場動畫等細節，設計時可用紙來隱喻：App首頁是一張紙，若進入另一頁，就是把另一張紙疊在上頭；若想離開頁面，就將最上層的紙拿掉，下方頁面自然就顯現出來。而這就是Navigator.push/pushNamed與pop方法的作用。</p> <p>你也可以把最底下的紙，直接用另一張紙來取代，這可能發生在使用者登入後，直接將登入頁面移去，以會員首頁取代，以簡化堆疊管理的情況，例如，pushReplacement/pushReplacementNamed的作用就是如此；在疊了很多張紙後，有時，我們可能會想直接取閱底層某張紙，這時，可以用popUntil設定條件，一次性地彈出不符合條件的頁面。</p> <p><span style="font-size:28px;"><strong>路由不是頁面！</strong></span></p> <p>在技術面上，Navigator堆疊中管理的不是Widget，而是Route實例。許多開發者經常誤會「路由就是頁面（或螢幕）」，在文件上示範程式碼時，繼承StatelessWidget/StatefulWidget的類別，常被命名為XXXRoute。這或許不該怪開發者，因為Flutter官方文件在許多地方，也都會有「In Flutter, screens and pages are called routes」這類的說明出現，例如：〈Navigate to a new screen and back〉（<a href="https://bit.ly/2ZkhCwJ">https://bit.ly/2ZkhCwJ</a>）。</p> <p>確實！建構Route實例時，經常會指定頁面的建立方式，而將一個Route置入Navigator的堆疊後，最終目的是顯示被建立的頁面，然而Flutter中頁面不等於路由，最多就只能說「路由是畫面／螢幕資源的抽象」，而我會傾向於使用「路由代表某個資源的銜接」這種說法。</p> <p>舉個例子好了，當MaterialPageRoute被置入Navigator的堆疊，最後雖然會透過builder建構的Widget實例，build傳回的Widget來做全螢幕呈現，不過，MaterialPageRoute銜接的資源，除了最後得到的Widget之外，還包含了原生平臺相應的轉場動畫效果。</p> <p>MaterialApp有個routes特性，可以設置路由表，對象是Map<String, WidgetBuilder>實例，也就是，可藉由名稱關聯至最後要建立的Widget頁面，進一步隱藏了Route實例的存在，這更令人容易誤認為路由就是頁面，然而，在MaterialApp的底層，其實會透過routes設定來建立對應的MaterialPageRoute。</p> <p>Fluuter中的路由並不是頁面，而是代表某個資源的銜接，這個銜接也並非只有單向，將Route置入Navigator堆疊的操作，其實含有對路由進行非同步請求的隱喻；將路由從堆疊中彈出時，可以傳回請求結果，也就是技術上來說，Navigator的push等方法，是可以await的，使用pushNamed方法時，也可以附加arguments。</p> <p>路由名稱、引數、非同步回應，感覺就類似Ajax請求的概念，這就有想像空間了，能否不透過arguments，而是透過'/products/1'這類路由名稱，將1當成是給/product的參數呢？透過MaterialApp的onGenerateRoute特性，在取得RouteSettings後，對name進行剖析，並設定給Route物件，就可以實現這點，實際上，MaterialApp預設的Navigator，就只是預設產生MaterialPageRoute罷了。</p> <p><span style="font-size:28px;"><strong>Navigator是個Widget</strong></span></p> <p>在MaterialPageRoute的API文件上談到，它（嚴格說來，是其關聯的頁面）會取代整個螢幕，不過，只有透過MaterialApp預設的Navigator才會有此行為，在MaterialApp的API文件中就談到，只有在home、routes、onGenerateRoute與onUnknownRoute為null，而builder不為null的情況下，才不會生成頂層的Navigator。</p> <p>其實，Navigator是StatefulWidget的子類別，Navigator.pushNamed之類的靜態方法，實際上，是透過Navigator.of取得Widget樹中，最接近的Navigator父裔節點對應的NavigatorState，進一步操作對應的pushNamed等方法。</p> <p>這意謂著，Navigator可以被安排在Widget樹的任何地方，透過路由管理，於該節點進行更有彈性的頁面切換效果。例如，可以設定MaterialApp的body為Navigator，在該Navigator的onGenerateRoute設定路由切換規則，這麼一來，該Navigator路由設定下切換過去的頁面元件，會成為該節點的Widget子樹，也就是說，被切過去的頁面，就不一定佔滿整個螢幕。</p> <p>也就是說，如果Flutter的Scaffold在appBar、bottomNavigationBar等設定，無法滿足導覽設計需求時，透過巢狀的Navigator設計，也可以自行實現頁籤導覽之類的元件。</p> <p>值得注意的是，onGenerateRoute特性的使用，MaterialApp的onGenerateRoute，其實，是委託給預設Navigator的onGenerateRoute，有開發者聲稱可以將它當成攔截器來使用，但這做法不正確，就MaterialApp來說，routes沒有對應名稱時才會運行onGenerateRoute，它其實是彈性自定路由的場合。別誤會它是找不到路由名稱時執行，那應該是onKnownRoute的工作。</p> <p><span style="font-size:28px;"><strong>保持適當懷疑與思考</strong></span></p> <p>會有這一連串的探索，主要是來自於閱讀Flutter相關文件時，總覺得有些令人狐疑之處，或許是因為相對於其他App平臺或框架來說，Flutter是比較年輕的，社群方面的經驗也還在建立當中。</p> <p>釐清這類疑問的方式有很多，像是透過設計概念與隱喻來理解（例如透過Material Design的閱讀），或者是API架構甚至原始碼的探索；無論如何，不要只是流於元件組合，對文件保有適當懷疑並持續思考與探討，過程中就會有令人意外不到的發現。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/flutter">Flutter</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2020/7/3 12:00作者林信良https://www.ithome.com.tw/voice/138568
AWS推出能提升關聯式資料庫應用可擴展性的代理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對關聯式資料庫服務（RDS）提供了代理服務<a href="https://aws.amazon.com/tw/blogs/aws/amazon-rds-proxy-now-generally-available/">RDS Proxy</a>，這是一項全託管的服務，可以讓資料庫應用程式更具可擴展性，並且擁有能抵抗資料庫故障的能力，提升應用程式可靠性，並且提升安全性。</p> <p>AWS提到，許多應用程式，包括建立在AWS Lambda、Fargate、Amazon ECS或EKS服務之上的應用程式，都可以大量且快速地開啟或關閉，與資料庫伺服器間的連結，而這樣的操作容易耗盡資料庫的記憶體和運算資源。</p> <p>Amazon RDS Proxy的執行個體會維護與RDS資料庫執行個體間建立的連接池，減輕建立新連接時，對資料庫記憶體和運算資源造成的影響，並且在應用程式間共用這些連結，進而提高資料庫的效率以及應用程式的可擴展性。</p> <p>RDS Proxy因為可以共用不常用的資料庫連接，所以使得存取RDS資料庫的連接更少，官方提到，這樣的連接池能夠有效率地支援大量和頻繁的應用程式連接，當使用者擴展應用程式時，便不會影響到資料庫效能。</p> <p>而且RDS Proxy能夠在維持現有連接的狀態下，連接新的資料庫執行個體，因此可以最大程度減少因為資料庫服務中斷，所造成的應用程式可用性問題，當資料庫故障時，RDS Proxy會直接將請求路由到新的資料庫執行個體，這樣可以使得故障轉移時間減少66％。</p> <p>另外，由於RDS Proxy讓使用者可強制資料庫存取使用IAM身份驗證，因此將能避免資料庫憑證被寫死在程式碼中的安全性風險，多增加了一道的安全性控制，而且藉由RDS Proxy，使用者還能以AWS Secrets Manager集中管理資料庫憑證。</p> <p>RDS Proxy目前僅可用於MySQL和PostgreSQL引擎系列的資料庫，包括MySQL 5.6、MySQL 5.7，以及PostgreSQL 10.11和11.5。AWS解釋，在Aurora叢集中，連接池的所有連接，都由Aurora主要執行個體處理，因此當使用者想要在讀取密集的工作負載中執行負載平衡，做法是在Aurora叢集使用讀取端點。</p> <p>另外，RDS Proxy必須要和資料庫位於同一個VPC中，雖然資料庫可以被公開存取，但是RDS Proxy卻不行，而且RDS Proxy不支援壓縮模式，像是mysql指令的--compress或-C選項皆不支援。</p> </div></div></div>
2020/7/3 12:25作者李建興https://www.ithome.com.tw/news/138554
5G終於來了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2020年中，臺灣電信3雄，中華電信、台灣大哥大和遠傳電信，終於<a href="https://www.ithome.com.tw/news/138482" target="_blank">推出了5G電信服務</a>。中華電信和台灣大哥大趕在6月最後一天同日上路，而遠傳則相隔不到幾天，也將在同一周的7月3日上路。這意味著，臺灣正式進入5G時代。</p> <p>對於5G服務，大家會先關心實際可用的問題，資費、頻寬和普及度。<a href="https://www.ithome.com.tw/news/138505" target="_blank">中華電信</a>已經布建了2千座基地臺，遍布22個縣市的臺灣重要商圈、近50所大學、科學園區，還有重要交通設施如高鐵、高捷和臺鐵，預計今年底達到4千座，3年超過1萬座。<a href="https://www.ithome.com.tw/news/138510" target="_blank">台灣大哥大</a>5G服務區域初期以6都為主，計畫今年底前完成4千座基地臺。</p> <p>遠傳電信則計畫6月底前完成超過1千座基地臺，目標是年底前達到3千座，5年完成6千座，這數量約占他們自家4G基地臺總數的四分之一，這也意味4G仍舊會是主力。</p> <p>先開臺的中華電信和台灣大哥大都可以提供到1.5Gbps的網速，最低資費也只要價每月599元，同樣提供吃到飽方案，但有超量降速的限制，與過去4G資費模式類似。遠傳電信截至7月2日前，還沒公布資費。</p> <p>中華電信聚焦7大類應用，企業專網、AR企業應用、智慧交通、智慧救護或遠距照護、智慧巡檢、智慧三表以及智慧影音串流。初期主推的5G應用是影音娛樂類服務，例如4K影音內容、多視角的4K棒球賽事直播，甚至也會提供4K畫質的VR演唱會等。</p> <p>而台灣大哥大同樣看重5G企業應用，開臺時也同時展示了智慧零售與物流、智慧球場、智慧娛樂的應用，下一波還要瞄準智慧製造、智慧醫療和智慧交通應用。</p> <p>先前有家零售業者CIO告訴我，旗下分店受限於所租用的網路頻寬有限，因此有很多影音應用或創新服務，無法在有限成本下實施，所以，她相當期待5G電信服務的開通。在差異不大的網路線路成本下，可以擁有更大的頻寬，而且是可以更有部署彈性的無線傳輸模式。</p> <p>不過，目前先上路的是消費端5G服務，企業最關心的5G企業專網服務還處於準備階段。電信業者公布了多種5G企業專網的建置方案，只是上路時程和費用還不明朗。</p> <p>企業應用是5G電信的另一個重要市場，過去2年，電信業者早就展開多項5G的PoC驗證測試專案。例如遠傳電信去年完成了9個5G實驗，台灣大哥大也與7家企業展開PoC測試，涵蓋傳統企業、高科技製造、醫療和展演產業。這也反映出企業的確對5G躍躍欲試。</p> <p>像與台灣大哥大同一個集團的momo電商，就準備在自家倉儲中心導入5G企業專網，要運用到AGV無人搬運車，以及智慧化的AMR自主移動機器人，準備利用5G高速傳輸支援裝置互連的需求，來提升自動揀貨的效率，未來還要用結合AOI視覺檢測，快速回傳影像來判別商品瑕疵。</p> <p>5G電信服務的開臺，將臺灣手機頻寬帶進了Gb級的世界，而且需付出的成本與過去4G電信服務相當，不過，目前在臺上市的5G手機，多屬於高價位或超高價位手機，企業應用所需要的5G網路設備也還沒到位，服務範圍初期也以大都會區為主，但是，企業的網路架構，的確開始多了一個新選擇，也可能是實現創新模式的新契機。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/5g">5G</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3">臺灣</a></div></div></div>
2020/7/3 12:30作者王宏仁https://www.ithome.com.tw/voice/138570
臉書又誤將用戶資料分享給5000家第三方App開發商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2018年的劍橋分析（Cambridge Analytica）醜聞中，讓外部App開發商取得8,700萬名用戶個資後，臉書昨（2）日再度<a href="https://about.fb.com/news/2020/07/improving-data-limits-simplifying-terms/" target="_blank">坦承</a>有為數不詳的用戶個資，被透過API不當分享給外部App開發商，牽涉的廠商高達5,000多家。</p> <p>臉書平臺夥伴方案副總裁Konstantinos Papamiltiadis指出，臉書在2014年提供用戶控管他們登入平臺上第三方App時，授權哪些非公開資訊分享給廠商的選項，2018年臉書又宣布，如果臉書判定用戶過去90天未使用這些App，就會自動取消它們接獲用戶最新資訊的權利。但是最近臉書發現「在某些情況下」，仍有App持續接獲用戶之前授權分享的資訊，即使他們已經至少90天未使用這些App。例如如果有用戶以健身App邀請親友下載登入該App，但他們好幾個月都不再登入，就可能發生個資外流。</p> <p>根據近幾個月的資料，臉書初步評估，有將近5千家開發商涉入此事，並取得了用戶包括語言、性別、電子郵件、生日等個資。但臉書表示，尚未發現有超出用戶當初授權的個資項目流向廠商。</p> <p>臉書表示發現當天已經修正錯誤，並會持續進行調查。但是臉書並未透露受影響的非經常用戶人數規模。</p> <p>而為了補救最新一次的資訊外洩，臉書昨天又<a href="https://developers.facebook.com/blog/post/2020/07/01/platform-terms-developer-policies/" target="_blank">發表</a>新的平臺條款和開發商政策，要求第三方App開發商清楚了解確保用戶資料及隱私的責任。新政策也限制開發商，除非取得用戶明顯同意，否則不得將用戶個資再分享給其他單位。</p> <p>同時臉書也要求開發商，一旦發生資料外洩必須通知臉書並立即展開補救措施，此外也規定，一旦廠商停止產品或服務，或是個資非合法業務需要，都必須刪除個資。</p> <p>這也是臉書繼劍橋分析案之後大刀闊斧改革，第二次發生個資被不當外洩給外部App廠商。2018年初英國資料分析公司劍橋分析，透過臉書上一款人格測驗App取得了高達8,700萬筆個資。臉書去年7月才和FTC就此事達成50億美元<a href="https://www.ithome.com.tw/news/132030" target="_blank">和解</a>，並接受FTC聲稱的嚴格監控條件。不過去年11月臉書就<a href="https://www.ithome.com.tw/news/134043" target="_blank">發生</a>至少有11家開發商疑似透過社團（Groups）API不當存取用戶個資，取用了社團成員姓名、個人檔案相片等。當時臉書承諾會確保開發商刪除不當取得的個資。</p> </div></div></div>
2020/7/3 14:05作者林妍溱https://www.ithome.com.tw/news/138573
F5 BIG-IP ADC產品出現重大RCE漏洞，臺灣近250臺曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Positive Technologies<a href="https://www.ptsecurity.com/ww-en/about/news/f5-fixes-critical-vulnerability-discovered-by-positive-technologies-in-big-ip-application-delivery-controller/" target="_blank">揭露</a>F5 Networks的知名網路及安全產品BIG IP應用遞送控制器（application delivery controller，ADC）存在一個重大安全漏洞，可能讓不具授權的遠端攻擊者執行指令，並取得系統完整控制權，包括攔截流經該設備的應用流量。</p> <p>編號CVE-2020-5902發生在BIG IP ADC的組態工具，或稱流量管理用戶介面（Traffic Management User Interface，TMUI）上。攻擊者針對跑TMUI的主機傳送惡意的HTTP呼叫開採本漏洞。成功開採，非授權的攻擊者即可透過BIG-IP的管理連接埠或Self IP遠端存取TMUI，而能執行任意指令，或刪除、新增檔案、關閉服務，以及執行任意Java程式碼，進而造成整個網路風險。</p> <p>發現該漏洞的Positive Technologies研究人員Mikhail Klyuchnikov解釋，這遠端程式碼執行（RCE）漏洞，可能讓駭客得以深入企業內部網路其他部份，例如執行跨目錄穿越（directory traversal）攻擊，這對某些把F5 BIP-IP Web介面公開曝露於Shodan等搜尋引擎的企業來說尤其危險。</p> <p>Positive Technologies發現，今年6月份全球有8千多臺有漏洞的BIG-IP產品，其中40%位於美國，中國占16%，臺灣曝險機器也占了3%（約250臺），此外，加拿大及印尼各占2.5%。</p> <p>CVE-2020-5902風險等級來到CVSS 3.0滿分10分。受影響的產品包括 BIG-IP 11.6.x、12.1.x、13.1.x、14.1.x、15.0.x、15.1.x，F5已經分別針對這些產品<a href="https://support.f5.com/csp/article/K52145254" target="_blank">釋出</a>修補漏洞的版本，包括11.6.5.2、12.1.5.2、13.1.3.4、14.1.2.6及15.1.0.4，呼籲用戶儘速升級。而公有雲包括AWS、GCP及阿里巴巴等的用戶，廠商也呼籲轉到前述軟體的BIP-P Virtual Edition (VE)。不過，BIG-IQ 中央管理及Traffix SDC皆未受影響。</p> <p>Klyuchnikov另外發現BIG IP組態介面上的跨網站指令執行（XSS）漏洞，編號CVE-2020-5903。如果使用者具備Bash管理員權限，則可開採漏洞，導致透過遠端程式碼執行控制BIG-IP。本漏洞CVSS 3.0風險7.5，F5也已經修補並<a href="https://support.f5.com/csp/article/K43638305" target="_blank">發出公告</a>。</p> </div></div></div>
2020/7/3 14:15作者林妍溱https://www.ithome.com.tw/news/138576