iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

殭屍網路病毒Emotet被惡搞，惡意程式被換成無害GIF檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://paste.cryptolaemus.com/emotet/2020/07/23/emotet-malware-IoCs_07-23-20.html" target="_blank">一群研究人員發現</a>，一名不知名人士近日發動惡搞，將近年最危險的金融木馬及殭屍網路惡意程式Emotet的下載連結，置換成下載無害的GIF圖檔，至少暫時癱瘓其感染能力。</p> <p><a href="https://www.zdnet.com/article/a-vigilante-is-sabotaging-the-emotet-botnet-by-replacing-malware-payloads-with-gifs/" target="_blank">ZDNet報導</a>Emotet最初出現於2014年，一開始是一隻金融木馬程式，專門潛伏在用戶電腦中，等用戶登入網路銀行帳戶時竊取其帳密，然後讓駭客得以盜轉受害者的金錢。但近幾年它改變了「商業模式」，變成一隻殭屍網路病毒。它會先傳送垃圾郵件或連結誘使用戶下載Office檔案植入電腦，藉此感染大量機器，並提供服務下載其他駭客撰寫的惡意程式，從勒索軟體、挖礦程式、木馬、竊密軟體。Emotet今年初還<a href="https://www.ithome.com.tw/news/135769" target="_blank">加入感染Wi-Fi網路的能力</a>。由於它能在企業網路建立殭屍網路，被視為最危險的殭屍網路病毒之一。</p> <p>一群安全研究人員組成的白帽駭客聯盟Cryptolaemus上周發現，一個或一組不知名的駭客對下載Emotet的連結發動破壞。原本Emotet把惡意程式暫時代管在一些被駭入的Wordpress網站上，利用開源web shell來控制這些網站，等感染大量機器後再下載。但是它犯了一般企業用戶相同的錯誤：所有web shell使用相同密碼。</p> <p>7月21日，別的駭客發現並破解了web shell的共用密碼，將所有應該下載Emotet的Office檔案，全數置換成Giphy和Imgur代管的搞笑動態GIF檔（如<a href="https://giphy.com/gifs/optical-illusions-asap-science-aZ3LDBs1ExsE8" target="_blank">這個</a>和<a href="https://giphy.com/gifs/are-you-serious-insane-Ni4cpi0uUkd6U" target="_blank">這個</a>）。也就是說，即使受害者下載了一個惡意Office檔，也不會感染Emotet。</p> <p>Emotet自7月23日起下線，管理員忙著驅逐惡搞的駭客及恢復下載連結，但後者惡搞速度比Emotet管理員動作還快，將這個殭屍網路搞得人仰馬翻。到上周五為止，Emotet網路只剩1/4還在運作，管理員仍在搶回web shell控制權。</p> <p>這不知名的駭客身份仍不得而知。Cryptolaemus研究人員猜測可能是安全研究人士，也可能是競爭對手。</p> </div></div></div>
2020/7/27 16:00作者林妍溱https://www.ithome.com.tw/news/139049
美國政府把手伸進非營利的Open Technology Fund，17家網路自由組織聲援OTF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門經營美國國有媒體的全球媒體管理局（U.S. Agency for Global Media，USAGM）執行長Michael Pack，在今年6月接管了非營利的開放技術基金（Open Technology Fund，OTF），一口氣撤換了OTF及旗下4家媒體的負責人，還解散並置換了這5個組織的管理委員會，<a href="https://www.nytimes.com/2020/06/23/us/politics/michael-pack-global-media.html" target="_blank">遭OTF以違憲為由告上法院</a>，而包括電子前線基金會（EFF）、Wikimedia及Mozilla等17個支持網路自由的組織則共同提出了意見陳述書（amicus brief）以聲援OTF。</p> <p>2012年創立的OTF其實是USAGM旗下的獨立公司，但它為非營利公司，目的是為了解決全球網路審查與監控問題，打造了各種數位工具，以協助民眾、媒體及人權組織對抗政府的監控及網路攻擊，估計全球已有超過20億人使用了OTF所開發的工具。</p> <p>至於Pack則被視為美國總統川普（Donald Trump）的人馬，紐約時報分析，Pack的舉動是企圖把獨立經營的OTF轉為白宮的傳聲筒。</p> <p>OTF很快就告上法院，認為Pack的行為違反了美國憲法第一修正案及其它美國法令，因為OFT是獨立於政府之外的組織，本月初地方法院拒絕了OTF的請求，但上訴法院則認為Pack對於非營利的OTF並不具備行政權力，在7月下旬阻止Pack接管OFT。</p> <p>包括EFF、維基百科母公司Wikimedia、國際組織Human Rights Watch、Mozilla及Tor專案在內的17家推動網路自由的組織，則在上周提出意見陳述書，共同聲援OTF的立場。</p> <p>EFF在<a href="https://www.eff.org/document/otf-v-pack-amicus-brief" target="_blank">意見陳述書</a>中表示，OTF之所以受到全球的信賴，主要原因為它是個獨立的非營利組織，而且不受美國政府的影響，此外，儘管OTF接受了美國政府的資助，但美國國會早就宣布OTF並不屬於聯邦實體，允許Pack接管將建立一個危險的先例。</p> <p>EFF執行董事Cindy Cohn強調，面臨風險的不僅是那些獲得美國政府資金的小型非營利組織的獨立性，還可能波及多年以來它們替那些受壓迫政權的民眾，在言論自由、民主與數位安全所建立的技術及教育理念。</p> </div></div></div>
2020/7/27 16:30作者陳曉莉https://www.ithome.com.tw/news/139052
新型態資安暑期課程AIS3過去6年已經培養千名高手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣對於資安人才培育計畫已經邁入第六年，臺科大資工系副教授鄭欣明同時也是新型態資安暑期課程（AIS3）專案計畫主持人在今（7月27日）AIS3開訓典禮時表示，今年是該項四年計畫的最後一年，總計有612名學生參加資安測驗，錄取186名學員，是歷年來錄取人數最多的一年。</p> <p>鄭欣明指出，過去六年來，AIS3已經培育998名對資安有興趣的優秀學生，這些學生畢業後在產業的表現，也獲得不少企業資安長的肯定。他說，今年是這個AIS3四年計畫的最後一年，因為已經獲得顯著成效，將會繼續規畫下一個四年計畫，目的就是讓臺灣資安人才培育不要出現斷層，可以。</p> <p>國安會諮詢委員李漢銘針對AIS3開訓典禮致詞時也表示，臺灣科技人才包括資安在內的人才不足，除了教育部針對大學生的AIS3，科技部也有相關專案，此外，除了總統蔡英文在就職典禮上提到的將資安視為六大核心戰略計畫，「未來，資安將在所有的產業生根，因為每個產業都需要做資安。」他說。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>AIS3發展六年，從偏重攻擊面課程轉向防禦和貼近產業需求</strong></span></span></p> <p>鄭欣明表示，AIS3最早從2015年開始，剛開始兩年，都是一年一次的短期專案，後來因為逐漸展現成效，2017年則規畫成四年專案，今年是AIS3四年專案的最後一年，課程也從以往純攻擊技術和漏洞挖掘的課程，更大幅增加國家以及企業所需的資安人才，希望可以更貼近產業和民眾關切的資安實務及防護相關的應用。</p> <p>所以，他說，AIS3在課程規畫上，也特別納入假新聞、5G安全及關鍵基礎設施防護等議題，並將課程分成五大主題，包括：國家安全、關鍵基礎設施安全、軟體開發安全、網頁安全及數位鑑識。</p> <p>目前AIS3是臺灣唯一一個長期資安實務暑期營隊活動，鄭欣明指出，臺灣資安人才需求大，但學用落差也大，在學界和產業界力挺動手操作的實務課程下，課程內容也逐漸從剛開始的CTF （搶旗攻防賽）、紅隊演練和挖掘漏洞的課程中，轉向可以跟產業需求接管的課程，希望可以培育出更多符合企業需求的資安人才。</p> <p>臺灣科技大學校長廖慶榮表示，該校某上市公司校友遭到勒索軟體勒索，即便該公司有資安人員，最後仍得透過支付贖金方式取得被加密的資料。他說，資安問題日新月異，AIS3透過最新實務經驗和產學合作，教授學校學不到的資安知識，讓這些知識傳遞對國家資安有貢獻。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>落實資安即國安2.0，每一個產業發展都跟資安脫離不了關係</strong></span></span></p> <p>李漢銘指出，過去四年，在前任國安會諮詢委員李德財帶領下，落實「資安即國安」的國家資安政策，在組織面上，則有2016年8月成立行政院資通安全管理處；法規面則是2018年通過「資通安全管理法」，2019年元旦實施；防禦面則是在2017年正式成第四軍種的立資通電軍。</p> <p>李漢銘說，接下來的重點在於「資安即國安2.0」政策的落實，必須要更重視涉及民眾生活和生命的關鍵基礎設施安全性，畢竟，4G時代駭客偷個資的目的在謀財，當進入5G的物聯網時代，一旦出現任何資安事件，例如醫療設備連網遭駭，就可能落得害命的下場。</p> <p>因此，他認為，接下來除了資安管理法的落實，不只要培育資安人力，這些資安人力也要變成資安種子，繼續播種培育未來的資安人才；而產業的推動，除了原先行政院為了下世代產業成長核心及資通訊產業轉型所提出的5+2產業創新計畫外，資安產業也成為臺灣朝向數位國家及轉位經濟的基礎外，未來每一個產業發展都脫離不了資安，也必須有資安作為產業發展的基礎才行。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>AIS3成臺灣資安人才培育搖籃，要做到理論和實務整合</strong></span></span></p> <p>臺科大資管系特聘教授吳宗成表示，資安是一門跨理論和實務的專業，更難的事情是，怎麼做到讓學校教授的理論可以無縫和產業實務接軌。他認為，透過以培育大學生或研究所的AIS3資安人才培育計畫外，也有向下往高中生挖掘優秀資安人才，規畫高中生的資安營隊；也讓AIS3學生往上安排，可以接受更多資安實務導師的輔導；甚至於，透過產學合作，連教授資安的老師也都可以投入更多實務課程的教授，做到理論與實務結合的向上提升。</p> <p>中央研究院院士李德財表示，AIS3創造出政府和企業對資安人才的需求，而透過教育部持續提供經費，也讓這樣的AIS3資安人才培育課程，甚至培育出臺灣第二個可以揚名國際的CTF戰隊。</p> <p>李德財也說，過去六年培育出近千名學員，是臺灣培育資安人才的搖籃，也奠定臺灣培育資安人才的基礎；未來，更要打造資安產業和研發人才聚落，在臺灣頻頻遭受各種網軍攻擊的同時，可以讓資安攻擊和防禦的人才在全臺灣遍地開花，也有機會做到全民資安素養的提升。</p> <p> </p> </div></div></div>
2020/7/27 16:34作者黃彥棻https://www.ithome.com.tw/news/139050
研究：DJI Android App多項功能有安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>屢屢<a href="https://www.ithome.com.tw/news/135334" target="_blank">被美國懷疑</a>以無人機協助中國政府間諜行動，而計畫停飛的大疆（DJI）近日又<a href="https://www.synacktiv.com/en/publications/dji-android-go-4-application-security-analysis.html" target="_blank">被一家安全廠商指其DJI Go 4 Android版本App多項行為很可疑</a>，包括有強制下載程式、蒐集敏感的裝置資訊及暗中背景執行，即使不是惡意軟體，也有侵犯隱私的疑慮。</p> <p>DJI Go 4是將手機連結遙控器以及操控DJI無人機的App，在Google Play Store上下載超過百萬。安全廠商Synacktive本月公佈對DJI Go 4.1及4.3版做的分析，並揭露兩項疑似漏洞的行為。他們發現DJI使用了數種類似惡意程式的反分析手法，像是反除錯（anti-debug）、混淆程式碼（obfuscation）、程式及動態加密來防止被分析。成功破解後，他們發現這款App有兩項功能會呼叫遠端伺服器並等待某個檔案下載，這個檔案會強制用戶手機安裝更新或某個新App，行為很像控制木馬程式的C&C伺服器。由於DJI Go 4已在手機上要求存取多種功能，像是聯絡人、麥克風、相機、地點、儲存裝置、變更網路連線，且會透過SDK分享到微博，這讓DJI或微博伺服器取得用戶手機的幾乎完整的控制權。另一方面，這類更新或推送Android App 的行為乃繞過Google管理機制，Google無法驗證DJI在其中送了什麼東西或做了什麼修改。如果有什麼安全風險，就會波及上百萬用戶。</p> <p>研究人員也發現DJI Go 4近來版本中的MobTech元件，會蒐集包括IMSI（International Mobile Subscriber Identity，國際行動用戶辨識碼）、IMEI（International Mobile Equipment Identity number，國際行動設備辨識碼）、SIM卡序號等資訊，不但和無人機飛行不相關，也超過DJI隱私政策說明的範圍。</p> <p>另外，DJI GO 4並不會在使用者關閉時向右滑時真正關閉，而是暗中重啟名為Telemetry的服務並以背景執行，並發出網路呼叫。</p> <p>研究人員提醒用戶要小心DJI Go App有造成隱私資料外洩或誤用、以及不安全的C&C伺服器連線功能。但研究人員也指出，上述這些行為都只出現在Android版DJI Go 4，iOS版並沒有混淆程式碼或隱匿更新機制的行為。</p> <p>不過<a href="https://www.dji.com/newsroom/news/dji-statement-on-recent-reports-from-security-researchers" target="_blank">DJI上周回應</a>疑似功能漏洞並沒有遭到濫用的行為。該公司也解釋，強制下載App的功能，是在偵測到用戶使用的不是官方版本，或DJI App被修改以關閉高度限制或地理圍柵功能時，強制要求使用者從DJI官網下載官方版本App所致。但未來他們會修改下載路徑，要求使用者從Google Play下載App。如果用戶不允許下載，則系統會關閉修改過的舊版App。</p> <p>此外，DJI說MobileTech元件的漏洞已在之前安全研究人員揭露後移除，也說並沒有發現有被開採的現象。至於微博SDK分享DJI資訊，以及何以DJI Go會在關閉後背景重啟一事，他們表示會再研究以及向微博反映SDK安全問題。</p> <p>最後，DJI強調DJI Go主要用於消費機種的無人機控制，並不用於政府部門使用的機種，後者只使用非商業用的DJI Pilot App。</p> </div></div></div>
2020/7/27 14:20作者林妍溱https://www.ithome.com.tw/news/139048
美國公布量子網路藍圖，打造無從被駭的網路系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國能源部（Department of Energy，DOE）在7月23日<a href="https://www.energy.gov/articles/us-department-energy-unveils-blueprint-quantum-internet-launch-future-quantum-internet" target="_blank">公布了量子網路（Quantum Internet）藍圖</a>，期望打造一個無從被駭的網路系統，科學家們相信可在未來10年內建立美國量子網路的原型架構。</p> <p>DOE說，要建立一個完整的量子網路原型需要美國產官學之間的密切合作，從DOE、國家科學基金會、國防部、國家標準技術院、國家安全局、美國太空總署、各個國家實驗室，到學術機構及產業，並以DOE旗下的17個國家實驗室作為量子網路的骨幹。</p> <p>此一量子網路藍圖是美國總統川普（Donald Trump）在2018年所簽署的《國家量子倡議法案》（National Quantum Initiative Act）的一環，將奠基在由阿貢國家實驗室（Argonne National Laboratory ）與芝加哥大學<a href="https://news.uchicago.edu/story/argonne-uchicago-scientists-take-important-step-developing-national-quantum-internet" target="_blank">在今年2月所發表的量子迴圈（quantum loop）</a>，它們在芝加哥的郊區成功讓光量子的糾纏綿延了52英里，而這是美國最長的陸上量子網路之一，且很快就會連結到費米實驗室（Fermilab），建立從阿貢實驗室、芝加哥大學到費米實驗室等3個節點的80英里試驗網路。費米實驗室主任Nigel Lockyer表示，數十年之後，當人們回顧量子網路時，就能說量子網路的起點就位於芝加哥。</p> <p>量子之間一旦產生糾纏，就成為一個綜合的整體，但它非常容易損耗，而且只要其中一個粒子遭到觀測，就會造成糾纏態的坍塌。因此，量子傳輸的特性之一就是它在傳遞資訊時，很難被竊聽，而美國科學家即計畫要利用此一特性來打造幾乎不可能被入侵的網路。</p> <p>DOE預期量子網路的早期採用者可能包括金融及健康服務產業，以及國家安全與飛機通訊的應用，並可普及到人們日常生活中的手機，未來亦可建立異常敏銳的量子感應器網路，以監控及預測地震，或者是用來尋找地底下的各種礦產。</p> <p>此一量子網路藍圖的研究目標涵蓋了建立並整合量子網路設備、永遠儲存及引導量子資訊及校正等，所訂定的4大里程碑則依序是驗證現有光纖網路上的安全量子協定，在校園與城市間傳送糾纏資訊，擴大城市間的網路，以及透過量子中繼器來放大訊號並建立各州之間的連線。</p> </div></div></div>
2020/7/27 14:10作者陳曉莉https://www.ithome.com.tw/news/139047
蘋果因防堵iTunes禮品卡詐騙不力挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本月稍早因疑似未能儘力防範騙取消費者利用iTunes禮品卡消費的詐騙行為，而遭一群消費者<a href="http://www.documentcloud.org/documents/7006952-Apple-class-action-for-iTunes-gift-card-scam.html" target="_blank">向加州地方法院集體控告</a>。</p> <p>100多名受害消費者控訴，多年來許多消費者被騙透過iTunes禮品卡消費大筆金額，而蘋果可能是因為能從每筆交易賺取30%的佣金，而多年來無心或刻意放任禮品卡詐騙行為。</p> <p>被騙者多半是老年人或知識水準不夠高的民眾。他們接到歹徒冒充親友打來緊急求助借錢付醫藥費、保釋金、還債等電話，要他們去買iTunes禮品卡，並將卡片的序號、密碼告知對方以證明有「付錢」。但是這些民眾並不知道iTunes禮品卡只是儲值卡，只能用於購買蘋果實體零售店內的蘋果產品、iTunes節目內容或遊戲點數。</p> <p>當歹徒取得iTunes禮品卡的序號、密碼後，就會到蘋果實體或線上商店購買iPhone等產品後脫手、以這些點數購買合作或自有App貨幣、遊戲寶物洗錢，或是直接將這些序號密碼轉賣給其他人。</p> <p>文件指出，多年來受騙者不知凡幾，單單在2015年到2019年間通報美國聯邦交易委員會（FTC）及報警的受騙金額，就高達9,350萬美元，還不包含大部份沒通報的黑數，推估這幾年iTunes禮品卡詐騙金額高達10億美元，而蘋果就從中賺到3億以上的佣金。而提出控告的100多人被騙金額也超過500萬美元。</p> <p>他們相信蘋果完全能掌控金錢和點數，卻有心或無意放任詐騙行為發生。當消費者發現被騙後聯絡蘋果，蘋果會詢問消費者Apple ID，並一律告知，如果詐騙者尚未兌現iTunes點數，則蘋果可以取消訂單，但若已兌現，則蘋果無能為力。事實上，即使已經兌現，會將金額保留4到6周後才付給商品或服務供應商，因此支付的金額是可能取回的，但蘋果卻在網頁或客服宣稱已支付的錢無法退回。</p> <p>這群受害人要求法院禁止蘋果繼續支付已知的iTunes禮品卡詐騙歹徒，並且要求蘋果將他們被騙的錢退回。</p> <p>線上平臺儼然成為詐騙者的天堂。本月包括蘋果共同創辦人Steve Wozniak在內的17人也<a href="https://www.ithome.com.tw/news/139022" target="_blank">控告Youtubue放任侵權和比特幣詐騙</a>。更明顯的例子是推特，這家社群訊息平臺本月中<a href="https://www.ithome.com.tw/news/138917" target="_blank">遭駭客入侵後端管理系統</a>後，接管了包括比爾蓋茲、貝佐斯（Jeff Bezos）等45個名人帳號發出比特幣詐騙訊息，成功騙到價值11萬美元的比特幣，還有5萬美元的比特幣匯到別的電子錢包。</p> </div></div></div>
2020/7/27 11:45作者林妍溱https://www.ithome.com.tw/news/139045
Kubernetes正悄悄改變HCI的未來
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期我們所接觸到的新一代企業級系統軟體平臺，以及SaaS雲端服務當中，已經或打算採用Kubernetes、微服務架構的比例，越來越多，而向來仰賴Hypervisor來統合伺服器的運算、儲存資源的超融合基礎架構（HCI），是否也將走向這樣的發展趨勢？</p> <p>幾年前，已經有一些HCI廠商開始支援Kubernetes。例如，Nutanix在2018年11月預告將推出企業級Kubernetes版本，稱為Karbon，也提供技術預覽版供大家試用；隔年4月Karbon正式發布，該公司也以此建構Nutanix Cloud Native解決方案，而在當時公布的架構圖解來看，Karbon是執行在Nutanix發展的Acropolis Hypervisor之上；到了今年2月，Karbon的2.0版也已經問世，可整合在Nutanix AOS平臺的Prism Central管理介面。</p> <p>而在Dell Technologies、VMware陣營的部份，早在2017年8月，VMware就與Pivotal、Google Cloud合作，推出企業級Kubernetes版本，名為Pivotal Container Service（PKS）；在2019年上半，PKS已衍生為3種平臺，分別是：VMware Essential PKS、VMware Enterprise PKS、VMware Cloud PKS，以對應模組化自建、整合VMware既有企業級產品、SaaS服務等不同的部署需求；到了2019年上半，VMware推出Tanzu Mission Control，來搭配現有的PKS，以及2020年推出的vSphere 7 with Kubernetes。</p> <p>Dell Technologies則於2019年8月宣布，Dell Technologies Cloud Platforms解決方案將支援VMware PKS，讓企業能夠部署、執行與管理Kubernetes，以此來承載關鍵生產環境的工作負載。舉例來說，超融合基礎架構產品VxRail將提供VMware PKS的自動部署，整合關於Kubernetes與容器的相關支援；而在VMware當時的部落格當中，也有文章提到PKS與VMware Cloud Foundation（VCF）整合，因此能在VCF（3.8.1版）當中自動部署PKS，由於VxRail可以搭配VCF，也就能透過這樣的作法來支援Kubernetes部署。</p> <p>除此之外，Dell Technologies也陸續針對其他Kubernetes平臺，推出適用的解決方案或參考架構，目前可涵蓋：Red Hat OpenShift Container Platform、Canonical Ubuntu Charmed Kubernetes、SUSE Containers as a Service，以及Google Cloud的Anthos，而能搭配的超融合基礎架構硬體平臺，也相當多元，例如自家的PowerFlex（原名為VxFlex）、微軟Azure Stack Hub。</p> <p>值得注意的是，現行HCI產品對於Kubernetes的支援，大多都是在Hypervisor之上的層級來執行，而這又牽涉到企業的IT基礎架構偏好，因此早期是VMware vSphere與微軟Hyper-V獨領風騷，最受企業用戶歡迎，許多廠商也樂於搭配這兩種系統平臺，而後來有些廠商基於開放原始碼的KVM，來打造他們的超融合基礎架構產品。</p> <p>然而，今年起，若企業想要運用伺服器虛擬化的架構來建置Kubernetes，將會有新的選擇，那就是容器原生型虛擬化（container-native virtualization），而當中的關鍵是KubeVirt這套開放原始碼的軟體，能在Kubernetes容器平臺之上執行虛擬機器，而且是在Kubernetes容器裡面來運用KVM。</p> <p>是的，你沒看錯，過去我們總是將Kubernetes放到虛擬機器當中執行，如今，我們可以將虛擬機器放到Kubernetes當中來執行。而關於這樣的應用方式，目前我們看到紅帽正在積極發展，他們在今年4月底舉行的全球用戶大會上，宣布OpenShift將結合KubeVirt，而這項機制稱為<a href="https://www.ithome.com.tw/news/137292" target="_blank">OpenShift virtualization</a>。由於紅帽過去也默默發展超融合基礎架構，也許未來有可能藉此開創HCI的新局面，且讓我們拭目以待。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/openshift-%E8%99%9B%E6%93%AC%E5%8C%96">OpenShift 虛擬化</a></div><div class="field-item odd"><a href="/tags/kubernetes">Kubernetes</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8%E5%8E%9F%E7%94%9F%E5%9E%8B%E8%99%9B%E6%93%AC%E5%8C%96">容器原生型虛擬化</a></div><div class="field-item odd"><a href="/tags/kubevirt">KubeVirt</a></div></div></div>
2020/7/27 09:00作者李宗翰https://www.ithome.com.tw/voice/139010
Garmin服務全球大當機破3天，疑似攻擊程式樣本曝光，官方也終於回應用戶資料無損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過2天搶修，Garmin遭遇勒索軟體攻擊的災情依舊沒有完全恢復，多數服務和客服中心仍舊是中斷停擺的情況，但Garmin也優先恢復了多項飛行導航的相關服務。Garmin官方網站第二次針對這次事件發布公告，這次是<a href="https://www.garmin.com/zh-TW/outage/">伺服器維修公告</a>，坦言伺服器仍舊因系統中斷，而影響了Garmin Connect和Garmin Pilot平臺上的部分服務，這次公告不再承諾修復時間，僅表示還在搶救中，而用戶資料都不受影響。</p> <p>這起全球性服務中斷事件，引發了全球各地的Garmin用戶抱怨，甚至擔心自己的活動記錄或健康狀態資料是否遺失等問題，如何從Garmin裝置離線匯出資料的討論也大獲關注。</p> <p>Garmin終於在第二次公告中，進一步說明當機事件對用戶資料的影響，Garmin Connect服務中斷期間，活動和健康數據會儲存在裝置上，不會遺失，而他們也表示，目前沒有跡象發現，這此事件會影響使用者資料，包括活動記錄、支付或個資都不受影響。從<a href="https://status.flygarmin.com/">Garmin部分服務狀態網頁</a>上可以發現，少數原本當機的服務，現在也有部分開始恢復運作，例如FlyGarmin飛航資料庫網站、飛航導航應用Garmin Pilot App等。</p> <h3><span style="color:#FF8C00;"><strong>曾賣出2億多個產品，全球上百國用戶都受到大當機影響</strong></span></h3> <p>Garmin是GPS設備大廠，產品涵蓋了穿戴產品、戶外用品、車用導航、航空或航海設備系統，許多私人飛機採用了Garmin飛航導航或自動飛航輔助系統，甚至還有提供緊急通訊的服務等。根據該公司今年第一季財報，穿戴產品類營收只占了26%，航空、航海和車用產品也各約占2成比例。除了航空產品之外，其餘產品賣到全球超過100個國家，至今賣出了2.2億個各類產品，光是2019財年就賣出了1,500萬個裝置。這次服務中斷等於影響了全球上百個國家的這些裝置的用戶。</p> <p>最早在7月23日時，Garmin官方<a href="https://www.garmin.com.tw/news/announcement/news-2020-jul-announcement1/">突然公布了為期2天（從7/23星期四傍晚、7/24星期五到7/25星期六）的維修公告</a>，Garmin相關應用程式和服務服務幾乎全面暫停服務，甚至包括客服中心都停擺。</p> <h3><strong><span style="color:#FF8C00;">員工私下向媒體透漏遭勒索軟體攻擊</span></strong></h3> <p>iThome當時接獲讀者報料，<a href="https://www.ithome.com.tw/news/139004">獨家披露了Garmin對內部員工的通告內容</a>，指出Garmin內部伺服器遭受病毒攻擊，導致臺灣工廠生產線全面大停擺，得停工2天的情況。我們也向Garmin公關部門查證，但他們不願證實遭攻擊的消息。</p> <p>後續，多家國外媒體分別私下向Garmin員工查證才得知，可能是WastedLocker這支勒索軟體造成了這起大當機事件。國外知名資安媒體<a href="https://www.bleepingcomputer.com/news/security/garmin-outage-caused-by-confirmed-wastedlocker-ransomware-attack/">BleepingComputer更取得勒索軟體攻擊電腦後的檔案列表螢幕照片</a>，螢幕上列出了遭加密的檔案，附檔名也變更為GARMINWASTED，這是這支勒索軟體習慣的命名特徵，以攻擊對象公司加上WASTED為附檔名，也是以此為名的緣故，而且會有一個附檔名為「_info」的說明檔案。不過，Garmin官方目前仍未證實，自己遭勒索軟體攻擊。</p> <p>據BleepingComputer從Garmin員工得知，7月23日星期四早上，就發現遭到勒索軟體的攻擊，Garmin為了避免災情擴大，直接將一座資料中心的設備進行強制關機，來避免更多電腦上的資料遭加密，這才進一步導致了Garmin全球服務的大當機。另一家科技媒體Techcrunch<a href="https://techcrunch.com/2020/07/25/garmin-outage-ransomware-sources/">同樣也從未獲授權的員工得知</a>，發動攻擊的勒索軟體是WastedLocker，不過沒有更多細節。</p> <p>WastedLocker是今年5月才被一家<a href="https://www.ithome.com.tw/news/138706">英國資安研究公司NCC Group披露的新型態勒索軟體</a>，專門鎖定大型企業發動攻擊。根據這家公司的分析，幕後操控這款勒索軟體的駭客組織是，惡名昭彰的俄羅斯駭客集團Evil Corp。6月時，賽門鐵克披露，美國曾出現了一波鎖定大型企業的勒索軟體攻擊。Evil Corp利用一個JavaScript惡意程式框架SocGholish，將入侵程式偽裝成軟體更新工具，再利用150個遭駭的合法網站來散布，一旦感染到大型企業的網路後，就會暗中利用滲透測試工具Cobalt Strike，搭配企業內部電腦上的合法工具，例如PowerShell，來竊取帳號、權限，在企業內網中移動，最後再將WastedLocker勒索軟體植入到受害企業的大量電腦上，來發動攻擊，進行勒索。遭駭的企業多達31家，其中8間是名列財星500大的企業，其中一個入侵手法是，員工瀏覽了遭駭的新聞網站而遭植入惡意程式。</p> <p>賽門鐵克當時也將他們發現的WastedLocker攻擊過程，<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/wastedlocker-ransomware-us">製作成流程圖</a>，可以清楚看到展開大規模攻擊前的手法和所用合法工具，這有助企業偵測出不正常的使用行為，以便提早發現潛伏的惡意程式。</p> <h3><span style="color:#FF8C00;"><strong>疑似攻擊Garmin的勒索軟體樣本上網曝光</strong></span></h3> <p>另外，在免費線上病毒分析服務VirusTotal上，7月23日也<a href="https://www.virustotal.com/gui/file/905ea119ad8d3e54cd228c458a1b5681abc1f35df782977a23812ec4efa0288a/details">出現了一支疑似是用來攻擊Garmin的勒索軟體WastedLocker</a>。根據平臺上的自動分析工具<a href="https://www.vmray.com/analyses/905ea119ad8d/report/files.html">追蹤這支程式發動攻擊後的影響</a>，同樣會出現GARMINWASTED的加密檔案，就如同Garmin遭駭後的電腦螢幕畫面一樣。這支惡意程式建立時間是世界標準時間7月22日18:43，也就是臺灣時間7月23日凌晨2點43分，等於可能是在當天凌晨才植入程式來發動攻擊。這個時間也符合BleepingComputer從Garmin員工得知，勒索軟體在早上發動攻擊的情況。在世界標準時間7月23日5點55分（臺灣時間是7/23 13:55），也就是在Garmin維修公告發布之前，有人上傳了這支惡意程式來進行檢測。同樣地，這個消息也沒有獲得Garmin官方證實。</p> <h3><span style="color:#FF8C00;"><strong>6大產品平臺和關鍵飛航服務都受衝擊而停擺</strong></span></h3> <p>在Garmin第一次公告中，所揭露的受影響服務包括了Garmin Connect、Garmin Express、Launcher等，不過，進一步從<a href="https://connect.garmin.com/status/">官方Connect服務狀態網頁</a>可以看到更詳細的災情，Garmin旗下6大平臺（Garmin Connect、高爾夫產品線平臺Garmin Golf、潛水產品線平臺Garmin Dive、軟體商店ConnectIQ、兒童手環產品線平臺vivofit Jr.、運動即時追蹤平臺LiveTrack）都呈現當機（Down）狀態，主要功能也全面停擺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Garmin%E4%B8%BB%E8%A6%81%E6%9C%8D%E5%8B%99%E7%8B%80%E6%85%8B.jpg" /></p> <p>另外，Garmin另一個重要的<a href="https://status.flygarmin.com/incidents/1xd8rn9k3mmt">航空產品線也受到嚴重衝擊而幾乎全面停擺</a>，包括了最重要的飛航資料庫平臺flyGarmin也是從臺灣時間7月23日晚上8點43分開始當機（EDT 7/23 早上08:43)，這個資料庫主要用於提供即時飛航資料、氣象資料等，給所有Garmin的飛航導航軟體、飛行輔助系統之用，這也是會影響飛機能否起飛的關鍵資料庫。另外，Garmin Pilot飛航導航App、FitPlan飛航規畫網站、飛航用Connext服務也受影響，部分服務失效。</p> <p>就連Garmin衛星通訊服務inReach也受到影響，例如帳單機制和登入功能失效，導致用戶無法進入網站或Explore app，但關鍵的文字簡訊、SOS求就和Email功能可以正常運作。</p> <h3><span style="color:#FF8C00;"><strong>主要飛航產品服務先恢復，其餘多數服務仍停擺</strong></span></h3> <p>經過官方公告的2天維修時間，大多數Garmin服務仍舊處於停擺狀態。Garmin Connect服務狀態網站一片紅色「當機」圖示，直到7月26日晚上，仍舊沒有任何服務恢復。倒是Garmin航空產品線有多項服務，在臺灣時間7月26日中午左右，恢復正常運作，根據FlyGarmin服務狀態網頁，包括了Garmin Pilot App、FlyGarmin網站、Connext服務和FltPlan.com都可以正常運作。而Garmin也針對飛航服務，啟用限量人數的電話客服服務，作為緊急支援之用。而inReach衛星通訊服務的登入機制已經恢復正常，使用者可以成功登入Explore網站和App，但部分功能仍舊無法使用，例如網站和App資料同步，inReach帳單功能直到7月26日時也依舊是停擺狀態。</p> </div></div></div>
2020/7/26 23:59作者王宏仁https://www.ithome.com.tw/news/139043
一周大事：GitHub要讓開源碼流傳千年。知名企業接連中標，臺灣勒索軟體災情浮上檯面，企業如何防範？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>從醫院到知名企業接連中標，臺灣勒索軟體攻擊白熱化</strong></span></p> <p>臺灣繼2019年發生數十家醫院同時遭受勒索軟體襲擊的重大資安事件後，今年多家能源與高科技業者，也遭駭客鎖定植入勒索軟體而影響營運。目前最新災情疑似發生在穿戴裝置大廠Garmin。</p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/139004" target="_blank"><span style="color:#A52A2A;">【iThome獨家】Garmin疑遭勒索軟體攻擊，影響產線運作，手機App更新無法同步</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/137659" target="_blank"><span style="color:#A52A2A;">調查局5月證實多家企業遭駭客組織入侵滲透，恐成勒索軟體攻擊未爆彈</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="color:#A52A2A;">2019國家級資安事件：勒索軟體侵襲臺灣醫院</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129425" target="_blank"><span style="color:#A52A2A;">【勒索軟體防護指南】擺脫勒索軟體威脅，落實端點防護與資料備份是關鍵</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/135174" target="_blank"><span style="color:#A52A2A;">【2020十大資安趨勢】勒索軟體持續成為企業慎防的資安焦點</span></a></strong></span></p> <p> </p> <p><span style="font-size:28px;"><strong>GitHub將程式碼以膠卷形式封存於北極圈</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/github(2).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Github</span></p> <p>基於開源程式碼是現代文明的基石，也是全人類的遺產，GitHub去年發表GitHub封存計畫（GitHub Archive Program），要將程式碼儲存一千年，讓後代在需要的時候取用，目前已完成這項計畫，將程式碼以特製膠卷形式封存於北極圈。<a href="https://www.ithome.com.tw/news/138905" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>未達GDPR保障，歐盟法院廢除美隱私盾協議</strong></span></p> <p>本月歐盟法院（CJEU）以美國無法提供與歐盟一致的隱私保障為由，宣布廢除《隱私盾》（Privacy Shield）資料傳輸保護協議，《隱私盾》旨在簡化美國企業將歐洲民眾資料傳送到美國的流程。外界認為，此一裁決將衝擊所有在歐盟設立子公司的美國企業，這些企業必須把歐洲民眾個資移出美國。<a href="https://www.ithome.com.tw/news/138915" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟將對IoT裝置及服務展開壟斷調查</strong></span></p> <p>歐盟執委會（EC）宣布，有鑑於消費者端的物聯網（IoT）裝置數量快速成長，決定針對相關裝置的製造商、軟體開發者與服務供應商展開壟斷調查，評估它們是否危及市場競爭。<a href="https://www.ithome.com.tw/news/138916" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>港版國安法上路後，GCP強調將繼續投資香港資料中心</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GCP%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GCP.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_GCP</span></p> <p>Google在港版國安法生效之初，即表示會暫停通過香港政府提出的任何資料請求，隨後就傳出，Google可能會進一步考慮撤出香港的傳言。對此Google雲端執行長Thomas Kurian則澄清，Google會繼續維運香港雲端地區，並繼續投資香港，不論是技術還是用戶面。針對外界質疑香港GCP用戶是否可將資料搬遷至其他雲端地區的疑慮，Kurian表示，用戶始終都有可以選擇在何處儲存自身資料，在何處執行運算工作，還有在何處使用GCP平臺雲端服務的自由。<a href="https://www.ithome.com.tw/news/138860" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google研究如何用海底光纖電纜偵測地震與海嘯</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%B5%B7%E5%BA%95%E9%9B%BB%E7%BA%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>只要使用現有的海底電纜，就能夠偵測數萬公里外的地震，Google正在研究利用在光纖中的光，所產生的偏振狀態，追蹤地震活動，這或將可用在全球的地震以及海嘯預警系統。<a href="https://www.ithome.com.tw/news/138892" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>DDR5標準出爐，頻寬是DDR4的兩倍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20DDR5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20SK%20Hynix.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ SK Hynix</span></p> <p>專門制定固態技術標準的聯合電子裝置技術協會（JEDEC），公布第五代雙倍資料傳輸率（DDR）同步動態隨機存取記憶體（SDRAM）標準，DDR5的頻寬是DDR4的兩倍，估計首個模組的傳輸速率可達4.8 Gbps，比DDR4現有最新模組的3.2 Gbps快上50%，但未來DDR5的傳輸速率可望達到6.4Gbps。<a href="https://www.ithome.com.tw/news/138859" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>亞馬遜智慧購物車讓普通超市也能導智慧零售</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%99%BA%E6%85%A7%E8%B3%BC%E7%89%A9%E8%BB%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%9E%E9%A6%AC%E9%81%9C.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_亞馬遜</span></p> <p>繼Amazon Go無人商店後，亞馬遜再展示智慧購物車Amazon Dash Cart。Dash Cart和Amazon Go一樣，強調讓消費者拿取所需物品後，經由專用道出去即可完成結帳。<a href="https://www.ithome.com.tw/news/138850" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>【從防疫學防駭】成本是防疫與資安都面臨的挑戰</strong></span></p> <p>打擊看不見的病毒，在防疫與防駭上，有不少互通之處，上周我們介紹了<a href="https://www.ithome.com.tw/article/138913" target="_blank">從防疫成功經驗學防駭</a>，較特別的是，在這次防疫經驗中，最多爭議的焦點，就是檢驗感染者的方法，我們到底要不要實施大規模的PCR篩檢與快篩？是否要入境全面篩檢或是針對全民的普篩？在這樣的議題下，資安防駭其實也是有類似的概念能夠借鏡。<a href="https://www.ithome.com.tw/news/139027" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>大批名人推特帳號貼出詐騙訊息，竟是推特公司內部管理帳號被駭</strong></span></p> <p>推特（Twitter）發生資安事件，比爾蓋茲、馬斯克、巴菲特以及蘋果等知名推特帳號遭不明人士駭入，張貼加密貨幣的詐騙訊息。推特官方調查指出，這起事件是肇因於駭客取得公司內部管理系統的員工帳號，鎖定了130名用戶，並成功接管其中45個帳號。<a href="https://www.ithome.com.tw/news/138917" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>國內自駕車監理沙盒法已通過六項實驗，不只自駕車還有自駕船</strong></span></p> <p>國內推動無人交通載具已有初步成果。經濟部在近期公布「無人載具科技創新實驗計畫」，即自駕車監理沙盒法審核成果，截至六月為止，通過六件無人載具實驗申請。顯示無人載具創新朝多元化發展，從陸地上的自駕車、自駕巴士，擴大至水上的自駕船。<a href="https://www.ithome.com.tw/news/138837" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國政府呼籲儘速修補DNS漏洞</strong></span></p> <p>一項存在於Windows伺服器的DNS元件漏洞，可能讓攻擊者遠端執行程式碼，還能自主感染其他機器，CVSS風險評分達最高的10.0分。微軟對此已釋出修補程式，呼籲IT管理員儘速安裝。這個漏洞的嚴重程度之高，也引發美國國土安全部重視，發布緊急指令要求所有受影響的聯邦機構，都應該限時修補或是採取緩解措施。<a href="https://www.ithome.com.tw/news/138891" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟進行年度改組，成立顧問服務部門</strong></span></p> <p>媒體報導，微軟新的會計年度進行改組，包括整合技術支援部門，及成立新的顧問服務部門。微軟通路部門主管已證實顧問服務部門的成立，並解釋新的顧問服務「主攻難度較高的專案或新科技」，旨在贏得大單或指標客戶，透過提供示範應用或參考架構幫客戶把系統建立起來。這類新技術主要是指Microsoft Azure提供的AI或雲端服務。<a href="https://www.ithome.com.tw/news/138896" target="_blank">更多內容</a></p> </div></div></div>
2020/7/26 07:00未署名https://www.ithome.com.tw/news/139030
Google研究以AI分級前列腺癌，準確度達72％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/health/using-ai-identify-aggressiveness-prostate-cancer/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+blogspot%2FMKuf+%28The+Keyword+%7C+Official+Google+Blog%29">Google</a>開發了一種可用來對前列腺癌進行分級的人工智慧系統，能夠精確地以Gleason分級方法，對較小的前列腺活體組織切片進行分類，以進行初步的癌症診斷，而實驗結果顯示，這個人工智慧系統診斷的精確度，比經驗一般的病理學家表現更好。</p> <p>在美國約有九分之一的男性，一生中都曾罹患前列腺癌，但因為大部分的前列腺癌都是非惡性的，因此判斷病患是否有其急迫性，需要承擔手術和放射性治療的風險，成為了一件具有挑戰性的工作，特別是用來分級前列腺癌嚴重程度的Gleason分級方法，實際執行有其難度。</p> <p>Gleason分級方法有助於病理學家評估前列腺癌患者，Gleason分級是根據顯微鏡上玻片所觀察到的癌細胞，與正常細胞的相近程度做比較。進行Gleason分級依賴主觀的視覺檢查和評估，病理學家對於腫瘤的正確分級存在很大的分歧，因此Google在2018年的時候發表了一篇相關的研究，利用人工智慧演算法對大樣本，也就是以手術切除的前列腺組織進行Gleason分級，幫助病患了解病情以及預後。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/963px-Gleasonscore.jpg" style="width: 580px;" /><br /> （圖片來源／Wiki）</p> <p>而Google現在將這項研究往前推進，要以Gleason分級對較小的前列腺活體組織切片進行分級，Google提到，因為活體組織切片是在前列腺癌護理初期進行，用來初步診斷癌症，並且決定癌症患者的治療方式，比起真正的切除手術還要常執行。不過，因為切除的組織較少，而且組織擷取和製備的過程，可能使樣本出現變化，所以活體組織切片比手術樣本更難分級。</p> <p>Google開發了一個人工智慧系統，對活體組織切片的各個區域進行分級，最後總結區域分級，產生整個活體組織切片的分級。</p> <p>因為Gleason分級的複雜性，Google請了6位經驗豐富的病理學家，合作評估這個新的人工智慧系統。這些平均年資25年的專家，先對498個腫瘤樣本進行Gleason分級，並接著請19位經驗一般的病理學家再次進行Gleason分級，發現準確度只有58％，而Google新的人工智慧系統，平均準確度卻達到72％，Google提到，這個結果凸顯了Gleason分級的困難度。不過仍有一些前列腺癌的樣本過於模稜兩可，連專家的意見也出現分歧，而Google提到，在這種情況下，深度學習系統的同意比率（Agreement Rate）和專家間的同意比率相當。</p> <p>這一系列將人工智慧用於前列腺癌診斷的研究顯示，深度學習系統能夠良好地支援專家診斷癌症，並且提升癌症醫護的品質，Google提到，要使這個技術成為輔助工具，並且進一步用於臨床上或是更大的病患群體，仍需要評估系統在診斷上的準確性與一致性，但實驗結果已經證實，這項人工智慧工具，可以協助進行病理學家的診斷工作，特別是在專業技能受限的情況下。</p> </div></div></div>
2020/7/26 00:03作者李建興https://www.ithome.com.tw/news/139026
研究：27款PDF閱讀程式中有15款可能遭受影子攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群專門研究PDF程式安全漏洞的研究人員在本周揭露了<a href="https://pdf-insecurity.org/download/report-pdf-signatures-2020-03-02.pdf" target="_blank">新的影子攻擊（Shadow Attacks）手法</a>，可竄改已被簽章的PDF文件，在所檢測的27款桌面PDF程式中，就有15款至少含有一個相關漏洞。</p> <p>研究人員解釋，相關攻擊的概念是駭客可在一個PDF檔案中建立兩種不同的內容，在負責簽章的使用者收到PDF檔案，檢查並簽署它之後，照理說該檔案就無法再被竄改；假設檔案被變更了，那麼PDF程式會分析這些已採用數位簽章之後才被變更的內容，以判斷相關的變更是否合法，例如不得覆蓋頁面上的內容等；然而，有些變更會被這些PDF程式視為無害的，斷定簽章依然有效，而且不會祭出任何警告，這使得他們進一步找到如何濫用這些合法變更的功能，竄改已簽章PDF檔案的內容。</p> <p>該團隊已經打造出不同形式的影子攻擊，分別是把內容藏在已簽章的PDF文件中，或是置換已簽章PDF文件的內容，以及隱藏及置換已簽章PDF文件的內容。</p> <p>以藏匿型的攻擊來說，駭客可以把「你被開除了」的文字，藏匿在「簽名就能獲得獎勵」的圖片後面，只要該檔案是透過線上簽章服務簽署，而且受害者透過關鍵字來搜尋文件，就能找到駭客所藏匿的文字。</p> <p>在置換內容的攻擊上，則是把被視為無害的物件加在已簽章的PDF檔案中，但卻可直接影響PDF檔案的內容呈現。例如變更字型有時便會造成數字或字元的不同，或是濫用其互動式表單功能，讓受害者看到不同的數值。</p> <p>而隱藏暨置換的攻擊手法則是最強大的，它可讓已簽署的PDF文件內含一個擁有完全不同內容的隱藏文件，該隱藏文件從每一頁的內容到文件頁數，可能都跟原始文件不同。</p> <p>研究人員在今年3月就陸續通報各家PDF程式開發者，目前確定的是Adobe已修補了影子攻擊所開採的CVE-2020-9592與CVE-2020-9596漏洞，其它PDF程式開發者亦可利用研究人員所釋出的攻擊程式進行測試。</p> <p>在所測試的27款PDF程式中，有15款至少含有一個完整的相關漏洞，至於完全不受影響的程式只有3個，它們是macOS版的Master PDF Editor、PDF Editor 6 Pro與PDFelement。</p> </div></div></div>
2020/7/26 00:10作者陳曉莉https://www.ithome.com.tw/news/139032
基因資料庫GEDmatch遭駭客攻擊，120萬用戶基因檔案全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門供使用者上傳自己的基因檔案，以比對該平台資料庫中是否有類似基因，以尋找親人或建立族譜的GEDmatch，坦承該平台在7月19日遭到駭客以一名既有用戶的帳號展開攻擊，使得用戶資料全數曝光。根據維基百科的內容，GEDmatch至少存放了120萬用戶的DNA檔案。</p> <p><a href="https://www.facebook.com/officialGEDmatch/posts/226701508802584" target="_blank">GEDmatch表示</a>，此一攻擊造成所有使用者的權限全被重設，而讓所有用戶的DNA檔案都曝光，約持續了3小時，此外，在這段期間，不只是用戶DNA檔案曝光，那些原本設定不讓執法機關比對的DNA檔案突然可以被比對了，而且所有執法機關的檔案也全曝光。</p> <p>不過，除了上述之外，GEDmatch說該站的用戶資料並未被破壞或下載。由於GEDmatch發現該站仍存有安全漏洞，決定與資安業者合作以部署一個長久的安全措施，因此迄今該站依然是關閉的。</p> <p>雖然GEDmatch強調用戶資料並未被下載，但另一個提供族譜服務的MyHeritage卻在GEDmatch遭駭事件曝光的幾天後<a href="https://blog.myheritage.com/2020/07/security-alert-malicious-phishing-attempt-detected-possibly-connected-to-gedmatch-breach/" target="_blank">提出了警告</a>，他們發現駭客設立了一個仿冒的myheritaQe.com網站，並寄送網釣電子郵件予MyHeritage用戶，要求使用者連至偽造網站輸入自己的憑證。</p> <p>MyHeritage指出，這些電子郵件很可能是來自於GEDmatch網站上的名單，因為駭客的網釣郵件出現在GEDmatch遭駭的兩天後，同時在調查這些被設局的使用者時，他們最大的共通點就是皆為GEDmatch用戶，且其中更有一名被駭客鎖定的MyHeritage用戶在網釣郵件中，看到了他在GEDmatch檔案使用的名字，猜測駭客是利用GEDmatch名單來開採MyHeritage用戶，</p> <p>只是，MyHeritage並不確定駭客的網釣郵件是寄給了所有的GEDmatch用戶，還是只寄給那些從MyHeritage把DNA資料上傳到GEDmatch的用戶。</p> </div></div></div>
2020/7/26 00:30作者陳曉莉https://www.ithome.com.tw/news/139033
TikTok設立2億美元的創作基金，傳出將稀釋中資背景以換取美國接納
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短影音平臺<a href="https://newsroom.tiktok.com/en-us/introducing-the-200-million-tiktok-creator-fund" target="_blank">TikTok在7月23日宣布</a>設立創作者基金（Creator Fund），將準備2億美元的資金以付費給該平臺的創作者，而這幾天<a href="https://www.ft.com/content/2b79b921-0b8c-4230-8699-190a949f6418" target="_blank">金融時報</a>與紐約時報則相繼報導，抖音的母公司字節跳動（ByteDance）正在考慮是否將稀釋TikTok的中資背景，透過增資讓外國資金取得大多數的TikTok股權，以換取美國或其它國際市場的接納。</p> <p>根據TikTok的說明，此一新的TikTok Creator Fund是美國專屬基金，主要將用來鼓勵那些嘗試藉由TikTok平臺開創事業的內容創新者，該基金可能延續許多年，基金規模亦會隨之擴大。</p> <p>TikTok的舉動很可能是為了因應，近日川普政府傳出考慮封鎖該平臺的消息。除了美國國務卿<a href="https://www.ithome.com.tw/news/138651" target="_blank">Mike Pompeo曾經放出風聲</a>以外，川普的大選陣營還在近日於臉書上<a href="https://www.reuters.com/article/us-usa-election-trump-tiktok/trump-campaign-runs-facebook-ads-on-whether-tiktok-should-be-banned-idUSKCN24L2M8" target="_blank">張貼廣告</a>，以調查臉書用戶對於封鎖TikTok的看法。</p> <p>這讓TikTok動作頻頻，因為中國、美國與印度是TikTok在全球的前三大市場，而<a href="https://www.ithome.com.tw/news/138506" target="_blank">印度已於今年6月底全面封殺了</a>包含TikTok在內的59款中國程式，使得TikTok勢必得挽留其全球第二大市場。</p> <p>除了祭出TikTok Creator Fund之外，<a href="https://www.cnbc.com/2020/07/21/tiktok-hiring-10000-staff-in-us.html" target="_blank">TikTok日前亦宣布</a>計畫於未來3年內於美國聘請1萬名員工，這兩天更傳出其母公司字節跳動有意稀釋TikTok的中國資金。</p> <p>根據<a href="https://www.nytimes.com/2020/07/23/business/dealbook/tiktok-bytedance-investors-trump.html" target="_blank">紐約時報的報導</a>，字節跳動打算讓其兩大既有股東紅杉資本（Sequoia Capital）與大西洋資本（General Atlantic），藉由增資來取得大多數的TikTok股權，而字節跳動只會保留少數股權，不管是紅杉資本或大西洋資本的總部皆位於美國，以減輕美國懷疑字節跳動會將TikTok用戶資料移交給中國政府的疑慮。</p> <p>關於股權一事尚未定案，而字節跳動則拒絕回應此一傳聞。</p> </div></div></div>
2020/7/26 00:00作者陳曉莉https://www.ithome.com.tw/news/139031
臉書開發用於預防隱私外洩的AI資料分類系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書結合多種資料訊號、可擴展的系統基礎架構，以及機器學習技術，建構了一個<a href="https://engineering.fb.com/security/data-classification-system/">資料分類系統</a>，以偵測語義類型，臉書提到，這對於以多種格式儲存資料的組織特別重要，先以分類系統分類資料，後續才能讓組織得以執行像是存取控制政策等，自動化隱私與安全相關的政策。</p> <p>傳統的資料外洩防護（Data Loss Prevention，DLP）系統，是利用資料指紋進行辨識，透過監控端點以偵測與指紋相符的資料，但臉書表示，這種方法對於擁有大量且不斷變化資料資產的組織來說，不只難以擴展，而且也無法有效率的探索資料的所在。而臉書的新系統，強調採用可縮放的基礎架構，以多種訊號以及機器學習技術，透過持續訓練模型來解決這個問題，且可擴展應用到持久性與非持久性用戶資料，處理各種資料類型和格式。</p> <p>臉書提到，資料通常以兩種形式進入組織，因此需要使用兩種不同的策略，來偵測和分類這些資料。對於離線儲存的持久性資料，系統必須了解資料資產的範圍，該系統會在不使客戶端和其他資源過載的情況下，收集每個資料儲存的元資料，並且建立成目錄，使得資料檢索更有效率。該系統會根據目錄中需要掃描的資產，個別啟動工作程式對資料資產進行實際的掃描。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Live-Data.jpg" style="width: 580px;" /></p> <p>每個工作程式都是已編譯的二進位檔案，並對可用的新資料進行採樣，這些資料會被分成幾列，並以列為單位截取特徵，預測服務會根據這些特徵，啟用基於規則的機器學習分類，預測每列資料的標籤，所有下游程序都能夠從資料集讀取這些預測結果，也可以從即時資料目錄API讀取預測結果。</p> <p>而線上的非持久性資料，也需要受到保護，因此系統提供了一個線上API，可對非持久性流量產生即時的分類預測，該即時預測系統可對流出的流量、流入機器學習模型的流量，以及任何的即時資料進行分類。另外，臉書也設計了特別的機器學習系統，來處理非結構化資料分類。</p> <p>臉書提到，企業通常需要制定一套明確的隱私政策，以保護人們的個人資料隱私，因此企業需要了解哪些元資料與特定訊息相關聯，以加快政策執行並且減少錯誤發生。臉書的新系統為自家數十個來源的資料資產，進行資料類型分類，以確保隱私與安全政策的執行，而且比傳統資料外洩防護服務更靈活，能夠簡單增加對其他資料類型的偵測支援，並在有限的記憶體使用下，進行低延遲分類。</p> </div></div></div>
2020/7/26 00:02作者李建興https://www.ithome.com.tw/news/139024
認識APT攻防概念有新招，資安新創奧義智慧設計卡牌類桌遊，將在8月臺灣資安大會首登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要增進大家對於某一領域的興趣，遊戲化一直都是最容易吸睛的方式，資安也是如此，盛行多年的CTF駭客搶旗遊戲，就是一例。特別的是，最近我們看到一個桌遊（桌上遊戲）的粉絲專頁，張貼了一則未上市遊戲的訊息，是名為Cyber War的卡牌類桌遊，由臺灣資安新創奧義智慧所設計，將在8月舉辦的臺灣資安大會公開。特別的是，卡片內容上竟然還印著MITRE ATT&CK所列出的技術手法，對此，我們也詢問奧義智慧並請他們介紹。</p> <h2><strong>首款基於ATT&CK的卡牌類桌遊，藉此拉近大家與專業攻防知識的距離</strong></h2> <p>關於MITRE ATT&CK框架，在近年成為熱門的資安攻防必學的知識庫，當中彙整了現實攻擊者所用的不同技術手法，不過，要能快速理解這樣的內容，可能並不容易。而這次我們看到的卡牌遊戲，或許將是一種不錯的方式，可以拉近一般人或資安從業人員與ATT&CK的距離。</p> <p>根據奧義智慧的說明，這是一款卡牌遊戲機制簡單的主題遊戲，可以讓剛接觸資安攻防的人，或是對進階威脅防護（APT）有點概念的人，都可藉由這樣的卡牌遊戲，來多認識資安防護的概念。</p> <p>從近年我們接觸的許多資安活動來看，這將是第一款用ATT&CK來設計的卡牌遊戲，過去雖然也有以資安為題的桌遊，大多是屬於抽象化的層次，但以Cyber War的內容而言，則讓我們感受到其具體程度，舉例來說，攻擊卡片的內容包含像是APT3與APT29使用的攻擊手法，例如手牌背面T1086 Power Shell，T1064 Scripting，而防禦卡片的手牌正面則包含Process Monitor、File Monitoring等。</p> <h2><strong>遊戲規則簡單、內容不簡單，要讓玩家更懂得怎麼「防」</strong></h2> <p>不過，這麼生硬的資安遊戲內容，真的是一般人都能玩的卡牌類桌遊嗎？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0243146s.jpg" style="width: 600px;" /></p> <blockquote><p>在這款Cyber War的卡牌設計上，我們可以看到攻擊卡牌背面，內容是MITRE ATT&CK的技術手法，</p> </blockquote> <p>根據奧義智慧全球產品經理Chad Duffy表示，他們的設計會讓不懂資安的人也能夠玩，多玩幾次就可以上手，但如果你是SOC事件調查人員，將可從中獲得更多體驗。</p> <p>在遊戲設計上，他們目前設計了兩種玩法，包括一對一，以及多人遊玩的方式。該公司資深研究員陳仲寬說明，這是一款以從防禦角度出發的遊戲，希望讓新進人員或是合作夥伴，能夠更清楚知道怎麼做決策，遇到什麼攻擊要怎麼做。</p> <p>不僅如此，貼近現實攻防層面也是一大特色，另一位數位行銷專員柏睿哲指出，ATT&CK的概念本就是對應真實世界的情況，因此在遊戲規則設計上，也處處體現出這樣的情況，像是攻擊的卡牌比防禦的卡牌要多，此外，以一對一的紅隊藍隊對抗而言，攻擊卡牌一方的玩家先攻，若是平手也算攻擊方獲勝。</p> <p>至於這樣的遊戲會販售嗎？「我們是資安公司不是遊戲公司」Chad Duffy笑著說，主要是因為卡牌內容是以MITRE ATT&CK為根基，培訓教育還是最大目的。</p> <p>無論如何，用淺顯直白的方式讓大家認識專業資安的內容，一直都是資安領域想要做的事。在過去，近年以資安為題的遊戲雖然也有像是安卓紀元，或是HITCON在2014年的《League of Hackers駭客聯盟》，這些其實都帶入了抽象化層面的資安概念，但不過，在這些遊戲的遊玩上，對於完全不懂資安與董資安的人，玩起來其實不會有太大差異。而Cyber War則融合了較具體的資安攻防元素，是奧義智慧的新嘗試，相當有別於以往，因此後續發展相當值得關注。</p> <p>對於普遍資安從業人員來說，若是這樣的卡牌真能將生硬的資安技術，轉化成遊戲的型態來認識與學習，應該是會感到好奇與期待；換個角度，企業透過設計這種卡牌遊戲方式，培訓新進員工對攻防技術的認識，這種創新的嘗試，這種推動資安的方式，其實值得各界思考與借鏡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyber%20War%E6%93%B7%E5%8F%96%E8%87%AA%E6%A1%8C%E9%81%8A%E8%8F%9C%E9%B3%A5.jpg" style="width: 600px;" /></p> <blockquote><p>在7月中旬的桌遊菜鳥臉書粉絲專頁上，貼出了一則名為Cyber War的卡牌遊戲，不僅結合資安，卡牌美術設計也相當吸睛，吸引到一些國內資安人員的目光，而這款遊戲是臺灣資安新創奧義智慧所設計，將以防禦角度出發，讓資安從業人員與一般人更好理解ATT&CK攻防。</p> </blockquote> </div></div></div>
2020/7/25 18:36作者羅正漢https://www.ithome.com.tw/news/139029
AWS正式推出AI客服、轉錄與分析服務Contact Lens
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS昨（23）日宣布以機器學習為基礎的<a href="https://aws.amazon.com/connect/contact-lens/features/?nc1=h_ls" target="_blank">雲端客服服務Contact Lens</a>正式上線。</p> <p><a href="https://aws.amazon.com/connect/contact-lens/" target="_blank">Contact Lens</a>是AWS雲端客服服務Amazon Connect新增以機器學習為基礎的一組服務，可理解客服對話中訊息表達情感、轉錄（transcribe）出文字紀錄，還能分析趨勢、找出問題、管理客服服務。Amazon Connect客戶包括Capital One、Intuit、GE、富士通、Square、道瓊、保險公司John Hancock及Mutual of Omaha等。</p> <p>客服電話中客戶對話包含許多寶貴的客戶意見，但由於數量龐大，許多企業往往無法及時蒐集並分析出來。傳統客服資料分析產品不但昂貴，而且轉錄電話內容速度很慢，準確度也很低，也無法即時分析進行中的客服內容，使客服中心管理員往往無法及時發現碰到困難的客戶，最終導致客戶流失、客服人員流動頻繁，甚至造成服務出錯而引來法令處罰。</p> <p>而Contact Lens即是為了解決這些問題而生。Amazon強調Contact Lens使用精準的機器學習技術轉錄來電內容，還能自動加上索引以方便從Amazon Connect控制臺搜尋。Amazon指出，Contact Lens的機器學習讓管理員根據來電內容（如取消訂閱或退貨）、客戶情感（如氣沖沖掛上電話）及對話屬性（說話速度、停頓、是否爭辯）等搜尋互動紀錄，再點入檢視轉錄文字、客服及客戶表現的情感，以及相關視覺化圖表，作為客服分析及改進的依據。它還運用自然語言處理技術分析轉錄中的用字遣詞，協助管理員找出新問題（如網站和電子郵件促銷價格不一）。Contact Lens的機器學習還可自動偵測出轉錄內容中的客戶個資（PII）如姓名、地址、社會安全碼，並將之塗黑去除，以符合客戶個資保護法規。</p> <p>Contact Lens預計今年下半還會再加入即時顯示客服電話過程中情感變化的儀表板、並提供即時警示，以便管理員即時干預或協助，防止事件惡化。</p> <p>使用Contact Lens，企業必須具備Amazon S3以儲存轉錄紀錄，這些紀錄可以匯出，並以Amazon QuickSight或Tableau等工具進行分析。</p> <p>Contact Lens即日正式在美國東、西區、歐盟、亞太（新加坡、雪梨和東京）區上線，未來還會推向其他地區。</p> </div></div></div>
2020/7/24 16:20作者林妍溱https://www.ithome.com.tw/news/139021
Slack帳密不好用，在網路黑市乏人問津
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名企業網路平臺的用戶帳密向來是駭客眼中好目標，但是一項<a href="https://ke-la.com/slacking-off-slack-and-the-corporate-attack-surface-landscape/">研究發現</a>，駭客論壇或暗網交易市集雖然許多人販售Slack的帳密，實則卻不太好賣。但是研究人員認為可能只是目前如此。</p> <p>企業網路平臺的用戶帳密很受網路罪犯歡迎，因為拿到後可以用來駭入用戶公司的內部系統。上周推特發生駭客存取推特後臺，藉變更2FA和回復設定來接管名人帳號並發送比特幣詐騙訊息。至於駭客如何存取推特內部管理系統，有人猜測是內部員工被收買，另一個理論是攻擊者可能駭入推特的內部Slack頻道，找到管理系統的用戶帳密。</p> <p>安全廠商KELA指出，駭客論壇或暗網交易市集上可以很容易找到由竊密者或木馬程式蒐集到的Slack登入資料。該公司在數個市集上搜尋到超過1.7萬筆Slack帳密正在兜售殭屍網路服務，分屬1.2萬個不同的工作空間（workspace），每臺殭屍機器人叫價0.5美元到300美元不等。若只看以格式化電子郵件登入的工作空間，則有4300多個符合條件；實體企業偏向使用這種電子郵件格式來註冊工作空間。研究分析，4300多個工作空間包含政府部門、銀行、保險公司，都剛好是駭客最愛的攻擊目標。</p> <p>雖然駭客市場的供給端很熱烈，但需求端卻相對冷淡。研究人員發現一名駭客在暗網交易市集張貼出售Slack帳密的訊息將近一年，卻沒有任何人回應。他們也發現地下論壇幾乎沒什麼人討論利用Slack帳密攻擊的方法，顯示網路罪犯對攻擊Slack興趣缺缺。</p> <p>研究人員認為，利用Slack帳密獲利，至少到現在駭客界還沒發展出好用的策略、工具和程式（TTP）。從技術層面，研究人員推測原因之一是不容易辨識出使用的組織；雖然列舉出Slack工作空間很容易，但要證明很不容易，因為用戶可以自己選擇列在URL中的組織名稱，這讓攻擊者很難發現切入機會。其次Slack原生支援多家SSO（single sign-on），讓攻擊無法以被竊的帳密經由Slack 入侵用戶公司應用程式。在KELA找到的1.2萬個工作空間中，許多還只支援SSO登入。此外，成本效益不高；取得Slack帳密只能發送釣魚訊息，但又不像電子郵件能大量發送。能透過Slack交談獲取敏感檔案，但不保證成功，雖然駭入推特的事件「成效」很顯著。</p> <p>但是研究人員並不認為Slack用戶可以完全安心。首先，他們認為已有進階滲透攻擊（APT）和國家資助的駭客已經開始攻擊Slack，因為他們並不在乎什麼成本效益或難度高低。而且，網路犯罪產業的「服務化」、自動化，如提供殭屍網路服務，以及技術演進，前述的技術難度終將會克服，也使攻擊成本降低。</p> </div></div></div>
2020/7/24 15:20作者林妍溱https://www.ithome.com.tw/news/139017
英特爾財報出爐，7奈米CPU將延到2022或2023年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）於7月23日公布<a href="https://s21.q4cdn.com/600692695/files/doc_financials/2020/q2/Q2-2020_Earnings-Release.pdf" target="_blank">今年第二季財報</a>，顯示該季營收達197億美元，比去年同期成長20%，每股盈餘為1.19美元，成長29%。此外，英特爾也在財報會議上透露，由於良率的問題，7奈米CPU將延後到2022或2023年才問世，比該公司內部原本預期的目標晚了一年。</p> <p>197億美元的營收中，有95億美元來自於以PC為主的客戶運算事業群（CCG），成長7%，另外的102億則來自於由資料驅動的業務，涵蓋資料中心事業群（DCG）的71億美元，非揮發性記憶體（NSG）的17億美元，物聯網事業群（IOTG）的6.7億美元，可程式化解決方案（PSG）的5.01億美元，以及自駕車Mobileye的1.46億美元。</p> <p>資料驅動業務的整體營收成長了34%，但當中的非揮發性記憶體成長76%，資料中心成長43%，而物聯網與Mobileye的營收卻分別下滑了32%與27%。</p> <p>此外，英特爾曾在去年5月宣布<a href="https://www.ithome.com.tw/news/130534" target="_blank">將在2021年推出7奈米製程的晶片</a>，但本周卻於財報中透露，由於良率的問題，此一時程將比內部預估的時間再延後一年，代表英特爾的7奈米晶片可能要到2022或2023年才能問世，而競爭對手AMD最近就已開始推出7奈米晶片。</p> <p>儘管英特爾在第二季創下了高於預期的財務表現，但可能因為在晶片製程上的落後，使得當天盤後反而下滑了1.06%，股價為60.40美元。</p> </div></div></div>
2020/7/24 15:25作者陳曉莉https://www.ithome.com.tw/news/139020
Google購物與第三方平臺PayPal、Shopify合作，簡化賣家訂單與金流處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年發布的購物平臺（Google Shopping），讓零售商可以將商品資訊放在Google購物上，而這些商品會出現在使用者關鍵字搜尋結果中，藉此將流量導向零售商網站。現在Google進一步<a href="http://blog.google/products/shopping/buy-on-google-is-zero-commission/">擴展Google購物的能力</a>，向第三方開放購物平臺，開始與PayPal和Shopify合作，讓賣家能以熟悉的工具處理金流以及物流。</p> <p>零售商除了可以使用免費列表，或是購買購物廣告來增加網站流量，也可以使用在Google上購買的功能，增加商品曝光機會，讓使用者以關鍵字搜尋到產品後，能夠方便地購買商品，而現在Google取消抽佣，降低各種規模的零售商在Google開展業務的成本，目前Google開始試驗計畫，在數個月後，將全面擴大適用至美國賣家。</p> <p>另外，Google也向數位商務服務供應商開放平臺，零售商將能夠利用Shopify進行庫存和訂單管理，並且利用PayPal和Shopify處理收款，直接在Google上銷售產品，並且操作已經熟悉的工具，而線上銷售新手則可以從Merchant Center註冊，從選用其他選項開始。</p> <p>為了讓賣家能夠更方便地將商品上架到Google購物，Google支援了常用的商品資料格式，零售商可以將Google上的銷售連接到庫存，不用重新格式化資料，而且零售商也可以直接從Google現有的資料庫擷取圖片或是技術規格等商品資訊，而不用自己手動上傳。Google提到，最近他們發現支持小型商家的需求明顯增加，因此他們加入了小型商家過濾器，讓買家更容易發現這些小型商家，而他們也會持續地加入一些功能，幫助小型商家的線上銷售。</p> <p>這些Google購物的政策調整，目的是要讓小型商家與國際連鎖等企業，都能在Google上接觸到更多的買家，而有更多的產品和商店可供探索，買家可在零售商網站或是直接在Google上購買。目前這些功能都僅在美國推出，預計將在今年稍晚與2021年，推廣至更多國家。</p> </div></div></div>
2020/7/24 15:35作者李建興https://www.ithome.com.tw/news/139019
YouTube放任侵權及比特幣詐騙，蘋果創辦人之一的Steve Wozniak與其他17人提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到<a href="https://www.ithome.com.tw/news/138986" target="_blank">Twitter遭駭事件</a>的刺激，有18名原告在本周提出了控訴，指控Google與YouTube放任不法份子在YouTube平臺上進行比特幣詐騙，而<a href="https://www.cpmlegal.com/news-Steve-Wozniak-and-Victims-Sue-YouTube-and-Google-Over-Bitcoin-Giveaway-Scam" target="_blank">蘋果共同創辦人Steve Wozniak也是原告之一</a>。</p> <p>Twtter在今年的7月15日傳出遭到駭客入侵，駭客控制了該平臺上130個名人的帳號，以用來張貼加密貨幣詐騙訊息，宣稱只要使用者在30分鐘內寄送比特幣到特定的錢包中，就可獲得雙倍的回饋，而且在短短兩個小時之內某個比特幣錢包就收到逾320筆交易，金額超過11萬美元。而Twitter在同一天立即採取緊急措施，除了刪除駭客所發出的詐騙貼文之外，也封鎖了所有名人帳號的發文與密碼重設功能。</p> <p>就在此事發生之後，Wozniak與其他17名使用者即狀告YouTube及Google，因為類似的比特幣詐騙案也早就在YouTube上流竄，而且冒用Wozniak之名來取信於使用者，但YouTube與Google不僅無所作為，甚至還提供廣告服務予不法份子來行銷詐騙行為。</p> <p>訴狀中多次提到Twitter，指出相較於Twitter保護用戶及使用者的措施，Google及YouTube根本就鼓勵並助長這類的金融犯罪行動。</p> <p>根據訴狀，YouTube上的比特幣詐騙活動使用了Wozniak的照片及影片，以讓使用者相信Wozniak主持了BTC Giveaway活動，只要使用者匯出比特幣，就能得到雙倍的回饋，但事實上，使用者並沒有得到任何回饋。而且就算原告或其他使用者不斷向YouTube投訴，卻多次遭到YouTube拒絕或未能即時干預，當中最成功的騙局在一天之內就騙走了13萬美元，且該騙局僅僅奠基在只有一個首頁的網站、一個比特幣位址，以及大量的YouTube廣告。</p> <p>YouTube向The Verge<a href="https://www.theverge.com/2020/7/23/21335554/steve-wozniak-youtube-lawsuit-bitcoin-scam-cryptocurrency-apple?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">發表了聲明</a>，表示YouTube非常重視平臺上的濫用行為，而且在偵測到違反平臺政策的活動時，通常很快就會採取行動，像是詐騙或是身分遭到冒用。</p> </div></div></div>
2020/7/24 15:45作者陳曉莉https://www.ithome.com.tw/news/139022
臉書Messenger Rooms可支援即時廣播
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書五月全球推出最多50人同時視訊的<a href="https://www.ithome.com.tw/news/137630" target="_blank">Messenger Rooms</a>，昨（23）日宣布<a href="http://about.fb.com/news/2020/07/go-live-on-facebook-from-messenger-rooms/" target="_blank">加入支援即時廣播（live broadcast）的功能</a>，讓更多人能即時觀看群組視訊。</p> <p>Facebook Live讓用戶可以從粉絲專頁、社團或活動頁啟動直播。臉書表示，從今年3月武漢肺炎疫情大起後，用戶使用Facebook Live直播需求大增，今年6月從臉書粉絲頁直播量相較去年同期成長翻倍。即時廣播這項新功能即是結合Messenger Rooms和Facebook Live，讓用戶可即時廣播Rooms視訊，大量觀眾可以點入並即時觀看。這有助於疫情期間，座談會、會議或表演活動即使人們被限制在家，仍然得以舉行並公開播放。</p> <p>在這項新功能中，Rooms建立者可控制Rooms視訊在粉絲專頁、社團或活動中播放、誰有權觀看，以及誰有權獲邀參加視訊。所有參加Rooms視訊者都會收到邀請通知，也有權選擇是否參加。</p> <p>即時廣播期間建立者任何時間都可以新增或移除成員，他們也能上鎖或解鎖Rooms。參加Rooms視訊者也可以隨時離開即時廣播。</p> <p>臉書也提醒，利用這項功能表示，Rooms視訊會被廣播，因此任何人都可能看到。此外，和Live上的直播影片一樣，臉書也可能會蒐集並檢視Rooms視訊，以確保符合社群準則。</p> <p>目前這項功能已推向部份國家的Web版臉書及Messenger，但很快就會推向所有具備Messenger Rooms，以及Facebook、Messenger桌機及手機版app的地區，未來幾個月內也會陸續新增功能。</p> <p>Messenger Rooms以及今天的新功能，皆意在挑戰Zoom的視訊龍頭位置。除了臉書外，Zoom的競爭者還包括Google Meet、微軟Teams及Amazon Twitch，以及思科WebEx、Verizon/Bluejeans、GoToMeeting等。</p> </div></div></div>
2020/7/24 16:00作者林妍溱https://www.ithome.com.tw/news/139023
AT&T加入T-Mobile，提供全美第二個全國性5G網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/134588" target="_blank">T-Mobile</a>在去年12月於美國推出全國性的5G網路之後，美國第一大電信業者<a href="https://about.att.com/story/2020/att_5g_nationwide.html" target="_blank">AT&T也在7月23日宣布</a>，正式於全美推出5G服務，可望覆蓋逾395個地區的2.05億個使用者。</p> <p>不管是T-Mobile或AT&T現有的5G網路，在美國當地都可覆蓋約2億名使用者，而這也是美國聯邦通訊委員會（FCC）所定義的全國性網路，以美國有3.3億人口來計算，代表它們的5G覆蓋率皆落在6成左右。</p> <p>隨著5G網路的部署，AT&T也提供了各式的5G手機，包括三星的Galaxy Note10+ 5G、Galaxy S20、Galaxy A71 5G，以及LG的V60 ThinQ 5G與VELVET 5G。</p> <p>此外，原本AT&T的5G網路僅供Unlimited Extra及Unlimited Elite等兩種高價吃到飽方案的消費者免費使用，但從8月7日起，就算只是訂閱每月35美元的Unlimited Starter用戶也能免費使用5G服務。同一時間也將把可存取5G網路的企業方案從Business Unlimited Performance及Business Unlimited Elite擴大到Business Unlimited Web-Only與Business Unlimited Starter。</p> <p>其實AT&T部署了基於兩種不同技術的5G網路，一是採用Sub-6（6GHz以下）頻段的5G網路，另一是採用高頻段毫米波（mmWave）的5G+網路，簡單地說，Sub-6傳得遠，但速度慢，mmWave速度快但傳不遠。因此現在不管是T-Mobile或AT&T的全國性5G網路，都是奠基在Sub-6上，但兩家業者同時也都部署了mmWave網路，只是覆蓋範圍並不大。</p> <p>AT&T及T-Mobile都未公布其5G服務的速率，但根據行動網路分析業者<a href="https://www.opensignal.com/2020/05/20/quantifying-the-global-5g-experience-across-ten-operators" target="_blank">Opensignal在今年1~4月的調查</a>，AT&T的5G網路平均下載速率為62.7Mbps，T-Mobile則是47 Mbps。</p> </div></div></div>
2020/7/24 15:00作者陳曉莉https://www.ithome.com.tw/news/139018
微軟為歐盟企業用戶推出Windows 10新隱私控制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為符合歐盟GDPR法規政策，<a href="https://blogs.microsoft.com/eupolicy/2020/07/23/introducing-new-option-customers-control-windows-10-diagnostic-data/" target="_blank">微軟昨（23）日宣布</a>針對歐盟地區的Windows 10企業版用戶提供自己控管診斷資料的選項。目前已開放公眾測試。</p> <p>Windows診斷資料又稱遙測資料（telemetry），主要是Windows蒐集執行效能或功能的資訊並回傳給微軟分析，以確保作業系統軟體安全順暢、版本是最新的、或用於排除問題、改進產品。之前企業客戶有兩種方法來管理診斷資料，一是完全關閉蒐集資料，二是允許微軟作為資料的控管者（controller），由其決定資料的用途或處理方法。</p> <p>現在，針對歐盟地區的Windows企業用戶，微軟提供第三種選項，名為Windows Enterprise資料處理者服務（Data Processor Service for Windows Enterprise）。它讓企業自己當Windows 診斷資料的控管者，但是仍然能保有資料蒐集的好處，像是裝置驅動程式或Windows更新的品質。因為在這種情況下，微軟的角色是資料處理者（processor），代表控管者處理Windows診斷資料。</p> <p>在第三種設定下，企業用戶可以原有工具，例如以Azure入口網站來管理、匯出或刪除Windows診斷資料以符合法規，或處理自有使用者的要求。管理員運用群組政策或行動裝置管理（MDM），就可以新增或移除Windows裝置。</p> <p>有興趣的歐盟企業用戶<a href="https://forms.microsoft.com/FormsPro/Pages/ResponsePage.aspx?id=v4j5cvGGr0GRqy180BHbR6tMGsSA7uxIvw6v9Tpong5UN1hRTVJZQjRLQ000QjFYMjZFNElEU0VEVC4u" target="_blank">可以註冊登入試用</a>。不過這項服務僅相容Windows 10 Enterprise 1809以上版本的裝置。</p> <p>這是微軟再次為歐盟GDPR法規加入的隱私保護。去年初荷蘭政府發現微軟的Office 365 ProPlus及Office 365在未告知並取得用戶同意情況下，就蒐集了這些產品用戶的遙測資料，違反GDPR，微軟於11月<a href="https://www.ithome.com.tw/news/134287" target="_blank">修改服務條款</a>，明白告知企業它怎麼處理這些資料。後來也將之推向全球。</p> </div></div></div>
2020/7/24 14:10作者林妍溱https://www.ithome.com.tw/news/139016
資安一周第103期：大規模名人推特帳號被駭，被用來詐騙比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0716-0722 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃社交網站＃加密貨幣</strong></span></h3> <h2><strong style="vertical-align: top;">比爾蓋茲、馬斯克、貝佐斯等130個名人推特帳號被駭，散布比特幣詐騙訊息</strong></h2> <p>大批名人的推特帳號，包括比爾蓋茲、馬斯克，以及巴菲特等，他們的帳號於<a href="https://www.ithome.com.tw/news/138849">7月16日</a>凌晨遭不明人士駭入，張貼加密貨幣的詐騙訊息，這些詐騙訊息大約出現在16日凌晨3時，根據加密貨幣新聞網站Coindesk的調查發現，在短短的2小時以內，已有多人上當，而詐騙者的電子錢包至少得到11.5個比特幣。</p> <p>由於受害規模大，許多研究人員懷疑，駭客可能是從推特內部系統下手，聯邦調查局（FBI）與紐約州政府也陸續<a href="https://ithome.com.tw/news/138889">介入調查</a>，確認是否涉及國家攻擊。</p> <p>隔日，推特揭露初步的調查結果。他們表示，駭客取得該公司內部管理系統的員工帳號，藉此竄改用戶的密碼，進而接管帳號，然後發送詐騙訊息。而關於實質受害狀況，該公司說，約有130個高知名度人士與公司官方的推特帳號，遭駭客鎖定，其中45個帳號被接管。<strong><a href="https://www.ithome.com.tw/news/138917">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃DNS漏洞</strong></span></h3> <h2><strong style="vertical-align: top;">美國國土安全部發布緊急指令，要求各聯邦機構限時修補Windows Server的DNS安全漏洞</strong></h2> <p>安全廠商Check Point揭露一項漏洞<a href="http://www.ithome.com.tw/news/138831">CVE-2020-1350</a>，存在於Windows伺服器的DNS元件，這項弱點可讓攻擊者遠端執行程式碼，還能感染其他電腦，CVSS風險的評分也達最高的10.0分。這項漏洞影響的範圍相當廣，包含2003以後版本的Windows Server作業系統，而微軟已於7月14日釋出修補程式。</p> <p>由於這個漏洞的嚴重程度極高，已引發美國國土安全部（DHS）的高度重視。該單位旗下的網路安全及基礎設施安全局（CISA），在16日發布緊急指令，要求所有聯邦機構都應該在指定時限內，完成相關的弱點修補作業，而這也是CISA有史以來發布的第3次緊急指令。<a href="https://www.ithome.com.tw/news/138891"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/103-1-cve-2020-1350_CheckPoint.png" style="width: 400px;" /></p> <p>圖片來源：Check Point</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃VPN</strong></h3> <h2><strong style="vertical-align: top;">標榜捍衛用戶資安的VPN服務竟暗中收集用戶資料，且存放於缺乏防護的伺服器，2千萬用戶個資外洩</strong></h2> <p>免費的VPN服務相當多，有些業者強調不會記錄上網資訊，卻傳出偷偷收集用戶個資的爭議行為，引發外界抨擊。專門評測全球VPN服務的vpnMentor網站在月中揭露一項調查報告，他們指出，有7款總部位於香港的免費VPN服務，竟使用同一臺Elasticsearch伺服器存放用戶個資，且缺乏安全保護，vpnMentor研究團隊找到這臺伺服器，並發現當中有超過2千萬用戶個資。</p> <p>諷刺的是，這些服務都標榜提供軍事等級的安全防護，以及採用零記錄（No-Log）政策，來保護用戶的上網隱私，但是從前述暴露的伺服器來看，這7個服務不只記錄使用者個人資訊與上網行為，還儲存了明文密碼。因此，vpnMentor也提醒這些服務的用戶，小心資料外洩引發的後續效應，像是詐欺或是網路攻擊，很可能會找上他們。<a href="https://www.ithome.com.tw/news/138924"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃國家安全＃5G</strong></h3> <h2><strong style="vertical-align: top;">英國正式宣布禁用華為5G設備</strong></h2> <p>美國在5月對華為實施的新禁令，導致其他國家重新評估該廠牌產品對於國家安全帶來的衝擊。例如，英國政府於7月14日宣布，從12月31日以後，將禁止採購新的華為5G設備，且在2027年底之前，當地電信業者的5G網路應移除所有華為設備。英國文化大臣Oliver Dowden發布聲明，為了要求電信業者遵循禁令，《電信安全法案（Telecoms Security Bill）》將會納入這項規定。</p> <p>而禁用與移除華為設備的代價，將導致英國建置5G網路的時間與成本大幅增加，估計部署5G的時間點將延後2至3年，總成本將提高至20億英鎊。<strong><a href="https://www.ithome.com.tw/news/138830">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/103-2-uk-remove-huawei5g.png" style="width: 400px;" /></p> <p>圖片來源：英國政府</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">SAP修補NetWeaver重大漏洞RECON，可讓駭客接管系統，影響4萬企業</strong></h2> <p>安全廠商Onapsis發現SAP重大漏洞，它出在NetWeaver AS Java中，LM組態精靈對外部連線驗證不足，可讓攻擊者藉由建立惡意HTTP連線，進而接管整個SAP系統。安全公司將該漏洞命名為RECON（Remotely Exploitable Code On NetWeaver）。而SAP在獲報後，發出公告並提供修補程式，也表示尚未觀察到攻擊事件發生。</p> <p>RECON影響SAP多項產品，包含SAP ERP、Enterprise Portal、SCM、CRM、Process Integration（PI），以及SAP Solution Manager，全球受波及的企業超過4萬家。<a href="https://www.ithome.com.tw/news/138851"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃觀光產業</strong></span></h3> <h2><strong style="vertical-align: top;">MGM飯店資料外洩再擴大，1.4億筆住客個資於暗網兜售</strong></h2> <p>今年2月，MGM渡假村飯店（MGM Resorts Hotel）超過千萬筆住客資料外洩，但有媒體報導，受害人數與範圍可能不只於此。ZDNet於 7月14日報導，同集團的MGM大飯店（MGM Grand）也被發現，有超過1.4億筆用戶個資外洩，且正在暗網以不到3千美元的價格，賤價出售。ZDNet指出，MGM集團的雲端伺服器應是在去年年中被駭，但該集團沒有公告，只私下通知被影響的顧客，而後來承認的資料外洩範圍僅限於MGM渡假村。</p> <p>威脅情報業者KELA指出，這批資料至少從去年7月起，就已在駭客論壇流傳，張貼的人疑似和駭客組織GnosticPlayers有關。<strong><a href="https://www.ithome.com.tw/news/138832">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong>藝術品拍賣平臺LiveAuctioneers驚傳競標者資料外洩</strong></h2> <p>專門提供藝術品、古董、珠寶，以及收藏品線上拍賣服務的LiveAuctioneers，在7月11日坦承，負責處理該平臺資料的第三方合作夥伴遭到駭客入侵，造成競標者資料外洩，當天LiveAuctioneers也要求所有競標者重新設定新的密碼。</p> <p>儘管LiveAuctioneers並未公布受到波及的使用者數量，但根據數位風險監控平臺CloudSEK在暗網的觀察，他們發現駭客已開始兜售340萬名競標者資料。<a href="https://www.ithome.com.tw/news/138819">詳全文</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/103-3-LiveAuctioneers.png" style="width: 400px;" /></p> <p>圖片來源：LiveAuctioneers</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">中國廠商西迪特的光纖線路終端設備含有7項漏洞</strong></h2> <p>研究人員Pierre Kim及Alexandre Torres揭露，中國光纖線路終端設備廠商西迪特（C-Data），旗下的產品存在多種漏洞，可能引發各種威脅，包含：後門、密碼洩露、指令注入，以及遠端DoS攻擊等。</p> <p>這2名研究人員經過靜態分析，發現了這些產品當中有7種漏洞，共影響27種型號。當中最嚴重的漏洞，是寫死在telnet伺服器的後門帳號，其Telnet伺服器可從WAN和FTTH LAN介面（即ONT）存取。而利用這些後門帳號，攻擊者可以完整存取受害產品的命令列介面（CLI）。同時，相關的後門帳號與密碼，都可以從韌體的映像檔擷取出來。</p> <p>一旦攻擊者能夠存取CLI，就可以濫用2種漏洞。其中一種是資訊洩露漏洞，可取出管理員帳密；另一種則是指令注入漏洞，利用CLI的TFTP協定設定元件，就能以根權限執行Shell指令。</p> <p>研究人員表示，由於他們擔心這些後門程式是刻意置入產品，因此決定完整公布漏洞細節，但C-Data並未針對這項疑慮進行回應。<strong><a href="https://www.ithome.com.tw/news/138821">詳全文</a></strong></p> <p> </p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/138853">取得總統授權，美國CIA將對多個國家發動網路攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/138919">蘋果修補多個程式碼執行與DoS攻擊漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/138867">山寨版思科交換器暗藏安全風險</a><br /> ●<a href="https://www.ithome.com.tw/news/138930">Thunderbird 78將提供郵件全程加密</a></h3> </div></div></div>
2020/7/24 11:07作者周峻佑https://www.ithome.com.tw/news/139009
一次完整揭露30個國產數位轉型應用！資策會更歸納出三類型、五步驟指引要替企業找到轉型策略的新解方
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資策會今日（7/23）一次完整揭露30個本土企業的數位轉型應用成果，涵蓋了傳統製造、零售、醫療、運輸等不同行業，明年更將以完成100個數位轉型應用為目標。資策會更整理歸納出三種數位轉型企業，以及五步驟轉型作業指引，對應企業不同階段轉型需求與挑戰，讓以後每一家企業都可以依據自身發展階段，從中來找到相似實務案例與問題癥點加以解決，加快轉型的腳步。</p> <p>早從去年5月，資策會開始提供國內企業數位轉型的技術顧問、輔導服務，更組成百人規模的數位轉型顧問團隊，可對應企業不同服務與轉型需求，近日他們將過去一年來與國內企業合作的部分數位轉型成果，多達30個企業內部轉型應用，一次公開揭露，甚至也將<a href="https://tinyurl.com/y4mgqnnu">這些案例集結成一本電子手冊</a>，免費提供企業與個人下載。</p> <p>資策會副執行長楊仁達表示，這些應用都是目前已完成或正在執行的企業數位轉型案例，而且不僅僅是以中小企業為主，甚至也有一些是大型企業和新創等都有，另從產業類別來看，更涵蓋了傳統製造、零售、醫療、服務、運輸、農業、通訊、觀光等行業。</p> <p>資策會還根據這30個本土案例的一些共通特徵，加以整理歸納出三種不同類型的數位轉型企業，分別是數位化企業、數位優化企業，以及數位創新企業。從這三種階段性分類，也可以反應出，臺灣企業在不同階段對於數位科技的需求程度，以及可能面臨到的轉型挑戰，也讓對應有這類需求的業者較容易參考。</p> <p>首先，企業開始使用數位科技來建立資訊服務系統，以提升作業效率，就是第一階段，這階段的企業，以傳統產業的中小企業為主，大多已具備基本數位化的程度，這類企業如寬泰食品等。當具一定程度數位化之後，就進到第二階段，也就是在現有資訊基礎架構上持續精進，利用IT技術來優化整體作業流程或降低營運成本，也就成為數位優化企業。資策會觀察，目前臺灣大部分企業都是屬於這個階段，如友達光電、安碁科技、網訊電通、銘異科技、聿信醫療等都被歸為此類。</p> <p>進到第三階段的數位創新類型，對於企業轉型程度要求更高，甚至更進一步要透過先進數位科技的使用，改變這家公司既有的商業模式，提供創新商業模式的新作法，或從根本上帶來服務模式新變革。這一類代表企業，則有友嘉、儀展科技、皇輝科技、千盛實業、泓格科技、業安科技與佐臻等。</p> <p>在今天這場資策會數位轉型活動現場上，也有企業分享自身轉型初步成果，例如臺灣硬碟零件供應商銘異科技去年開始於自家工廠導入智慧製造技術，透過整合IT與生產OT以蒐集生產數據進行分析，找到提高生產效率的作法，進一步將生產製程的時間由平均6分鐘縮短到半分鐘內，後來，還透過AI模型建立，能夠提早數秒內就能預測出有問題的異常設備並發出預警，讓工廠管理者可以早一步反應。</p> <p>又如醫療新創聿信醫療，先前開發了一款AI聽診器，能使用貼片偵測及記錄病患的呼吸音，並能結合AI演算法根據偵測結果來判讀病患有無生命危險，除了目前在臺灣多家醫院展開臨床測試外，為了因應COVID-19疫情帶來遠距聽診的需求，他們下一階段，更計畫在醫院內建置小型5G專網，來加快傳輸速度，不再經由5G公網來處理這些生理數據，而是通過本地端基地台、MEC將數據上傳雲端，並在手機或平板上運算處理後快速呈現結果，來提供醫護人員判斷診療。這家公司使用的5G專網，正是來自資策會自有技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200723_110413.jpg" style="width: 600px; height: 350px;" /></p> <p>身為數位轉型服務的提供者，資策會也持續加強內部人員培訓，提高他們在與企業各方面應對能力，甚至更組成ACE數位轉型顧問團隊，提供全方位且專業協助，楊仁達表示，去年5月開始第一梯次學員培訓，現在進到第2梯次，目前顧問團隊規模已達100多人，他表示，這些人皆是從各部門推派參加受訓，包括有MIC產業分析人才、技術研發人才、產業輔導人才等。透過專業培訓，這些人將可提供整合型的顧問服務，逐一協助企業解決問題。接下來也會結合教研所對外提供教育培訓，吸引更多優秀人才加入。</p> <p>他們還依據過往經驗建立一套數位轉型導入程序，做為企業參考及遵循的作業指引，該程序分為5個步驟，從知識建構、健診評估，到需求發掘、方案規畫與導入執行，來協助企業找到轉型策略的新解方。另外針對每一個個案執行，也提出需求挖掘、主題目標、鏈結組隊、先導驗證、服務擴散等不同階段執行作法，以幫助企業確認轉型的主軸，進而逐步引導它跨出數位轉型一大步。</p> <p>在商業模式上，楊仁達表示，目前還是以專案形式來提供顧問服務，至今並未發展成單一數位轉型解決方案，來提供某一產業領域可用的轉型方案，他表示，待某一產業個案積累夠多，這些數位轉型作法可以標準化，未來就有機會將它變成解決方案，運用在不同垂直產業領域，如智慧製造、智慧交通、智慧醫療等。他期望透過這些企業個案擴展到領域產業，進而複製到上中下游產業形成生態系。資策會明年更將以完成100個數位轉型應用實例為目標。</p> <p>相較於歐美，目前臺灣企業數位轉型腳步仍較慢，在資策會最近一項對於國內3千家中小企業的調查也顯示出，有近半數企業還沒有數位轉型，尤其是製造業居多，其次是服務業。楊仁達就觀察到，臺灣企業數位轉型常見問題，不外乎是缺乏可供參考的國內案例，還有缺少有效執行方法，以及沒有足夠數位人才等。這也成為資策會的當務之急，要替企業解決這些共通問題。</p> <p>但他也提到，數位轉型課題多樣且廣泛，不能僅靠一家做完全部的事，而是需要透過需求端或供應端夥伴一起來努力，才能把事情做到完善，像是在產業公協會合作上，資策會就與資通訊產業聯盟（TEEMA）聯手從需求端下手，瞄準智慧製造需求，另外在供給端部分，則有CISA資訊軟體協會的相關合作等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200723_110544.jpg" /></p> </div></div></div>
2020/7/24 01:41作者余至浩https://www.ithome.com.tw/news/139007
Google雲端推出能處理千萬品項的AI推薦工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/online-shopping-gets-personal-with-recommendations-ai">Google雲端推出推薦工具Recommendations AI公開測試版</a>，讓線上零售與各種服務，都能大規模地向終端消費者，提供高度個人化的產品推薦。Google於去年首次釋出Recommendations AI，開發團隊持續與Google大腦與Google研究院合作強化其功能，現在Recommendations AI模型能夠處理上千萬個項目的推薦。</p> <p>Google提到，零售業需要提供消費者高度個人化的購物體驗，以建立客戶忠誠度，而對推薦產品則是提供個人化服務的一種方法。但是要產生推薦模型，不只需要克服技術障礙，且還需要手動調整規則，並持續維護推薦模型，這個過程通常很繁瑣，而Google推出的Recommendations AI，目的是要用來替代或是補充現有推薦解決方案，改善使用者的個人化策略。</p> <p>Recommendations AI能夠匯總消費者的購物歷程，並且提供個人化的產品推薦，Google提到，<br /> Recommendations AI特別擅長處理長尾產品，或是還沒有足夠資訊的冷啟動用戶與產品，其深度學習模型使用品項與使用者元資料，可跨百萬品項分析推薦結果，並即時地迭代分析結果。另外，Recommendations AI擁有直覺的操作介面，使用者不需要編寫程式碼訓練自定義推薦模型，就可以快速地得到良好的推薦結果。</p> <p>開發團隊提到，他們和Google大腦與Google研究院合作，以擴大推薦系統的規模，現在Recommendations AI能夠支援擁有千萬品項的目錄，使得消費者有機會探索完整的商品目錄。更重要的是，Recommendations AI能夠校正受歡迎商品的偏差，更好地處理季節性和資料稀疏的商品，Google表示，Recommendations AI的模型訓練基礎設施設計，能每天更新使用者的模型，從不斷變化的商品目錄、用戶行為與購物趨勢分析結果，並且將分析結果納入推薦建議中。</p> </div></div></div>
2020/7/24 10:15作者李建興https://www.ithome.com.tw/news/138991
【從「防疫國家隊」學防駭】打造資安國家隊發展資安產業，企業仿效提高資安防護量能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎全球大流行，口罩成為保護自己也同時是保護他人最好的防疫戰略物資。只不過，當全世界都面臨口罩荒，你再有錢也買不到口罩的同時，臺灣卻在「自己口罩自己做」的政策目標下，由臺灣工具機業者協助組裝60臺口罩生產線，讓原本每日不到二百萬片的口罩產能，可以提升到每日一千萬片的產能，甚至提升到目前每日可以生產二千萬片口罩。</p> <p><span style="font-size:28px;"><strong>臺灣在40天內，打造92條口罩生產線提供民眾防疫所需</strong></span></p> <p>疫情指揮中心自1月20日正式成立後，便開始要求防疫物資整備，過年期間釋出600萬個戰備口罩存量，並配送到全臺1萬多個超商據點，每人只能購買3片口罩。</p> <p>為了確保臺灣口罩夠用，行政院長蘇貞昌也很快在1月23日下令，除了專案申請外，全臺口罩禁止出口，「先自救，才能救人，」，但此舉也引爆許多政治人物和名嘴點名批評。</p> <p>農曆年間，時任行政院副院長陳其邁則要求時任經濟部長沈榮津，應儘速向海外採購口罩，當時才發現，原來中國早在一個月前，已經把國外可以買到的口罩數量全買光了，也都已經先向口罩業者下訂單了。</p> <p>由於對外採購的口罩數量不足，即便政府當時已經下令口罩禁止出口，但還是有許多人買不到口罩。所以，在1月31日，中央流行疫情指揮中心便開始徵用一般一用口罩，以及外科手術口罩，當時也同步宣布，政府將投入1.8億元，自建60條口罩生產線，業者只需要將第一批120萬片口罩無常提供給政府，剩下的380萬片由政府以每片2.5元徵收口罩，等到生產量能達到每日500萬片後，60臺口罩生產線則無償給業者使用。</p> <p>而且，這項自建口罩生產線的政策，從無到有，只花一週就定案，動作相當迅速。2月1日正式成立口罩國家隊，臺灣工具機業者也大方拋棄過往的門戶之見，積極展開合作，於是，在2月10日當天進駐廠房時，總共有29家工具機廠、3家法人投入這60條生產線，傾全力製造組裝口罩機，只花了25天，就把過往必須花半年才能組裝完成的60臺口罩機，送到口罩廠商業者身邊。</p> <p>之後經濟部又立刻追加30條口罩生產線，在政府和相關工具機業者及法人的通力合作下，40天內完成總計92條口罩產線的組裝、上線，也讓臺灣一舉成為世界第二大的口罩生產國，口罩每日生產量也從原本的188萬片，提升到現在每日2千萬片。</p> <p>口罩國家隊在2月1日正式成立之後，疫情期間，除了提供臺灣民眾最寶貴的戰略物資──口罩，工具機業者拋棄門戶之間的通力合作，搭配從2月6日推出藥局購買的口罩實名制1.0版，以及後續提供網路預購方式的口罩實名制2.0版，一直到現在可以在超商預購、取貨的口罩實名制3.0版，每一個環節配合無間，並且讓業者與全體國民產生極大的榮譽感，使得口罩國家隊成為臺灣優異防疫成績的驕傲。</p> <p><span style="font-size:28px;"><strong>打造資安國家隊帶動資安產業發展，也提升企業資安量能</strong></span></p> <p>疫情期間，由經濟部出面整合工具機業者和口罩業者提高口罩的生產量，之後再協調包括超商、藥局、郵局等業者協同作業，進行口罩的配送和販售，打造出特有的口罩國家隊，這樣的成果舉世稱羨。</p> <p>不過，同樣的狀況類比到資安防駭，是否也需要打造資安國家隊呢？臺科大資管系特聘教授吳宗成表示，從口罩國家隊的模式，我們可以也看到類似的作法：由資安鐵三角（國安會、NCC和資安處）出面統整資安產業資源，提升資安自主研發能力，打造具備縱深防禦的資安國家隊，像是由技服中心維運的N-SOC即為一例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Z08_web-960-chi_cun_wei_diao_zheng_-wu_zong_cheng_-tu_pian_lai_yuan_-ithome.jpg" style="width: 600px;" /></p> <blockquote><p>臺科大資管系特聘教授吳宗成表示，仿效口罩國家隊的作法，資安鐵三角出面統整資安產業資源，協助提升資安自主研發能力，就可以打造具備縱深防禦能力的資安國家隊。圖片來源／iThome</p> </blockquote> <p>在網路攻擊複雜多變的此時，發展具有自主研發技術能力的資安國家隊，不只是帶動整體資安產業發展，也有助於進行全球合作，畢竟，網路無國界，資安攻擊也無國界。</p> <p>KPMG顧問服務部執行副總經理謝昀澤認為，臺灣防疫成功的關鍵，包含臺灣對各種醫療緊急物資的自有供應能力不虞匱乏，雖然部份原物料需要外援，但大多數的醫療設備與人力，均能充分因應需求。</p> <p>他說，企業也可以援引口罩國家隊的概念，打造企業的「資安國家隊」，這麼做的目的在於提升企業的資安量能，而基本作法除了培養資安專責人力外，也可以讓資訊人員具備資安管理與操作資安的專業能力，或者讓資訊設備使用者具備有基礎的資安知識與意識，同時培養具有協作聯防的第三方合作廠商。由於彼此之間能夠密切合作，這些都有助於企業透過打造「資安國家隊」，提升資安防護能力。</p> <p>國際電腦稽核協會（ISACA）資訊風險治理諮詢小組委員楊博裕認為，企業要打造好的資安國家隊，必須做好第三方服務供應商管理，所以要了解組織關鍵服務供應商，對於關鍵服務供應商，應於合約與服務水準協定（SLA）中，明確註明當發生緊急狀況時，作為關鍵服務供應商的業者，應提供維持本組織最低營運持續需求的服務品質。</p> <p>像是金融業打造的F-ISAC（資安情資分享平臺）為例，從分享資安情報和資安防護經驗，可以提高整體產業資安防護水準，就是一種透過資安國家隊的力量，自我提升的案例。</p> <p><span style="font-size:28px;"><strong>企業國家隊不只是產業打群架，也能模擬資源運用的作為</strong></span></p> <p>資誠智能風險管理諮詢公司執行董事張晉瑞表示，資安國家隊不可能是單一單位公司或組織，重點是要做到「跨部門」、「跨產業」的整體作戰模式，這是另外一種資安產業「打群架」的方式，大家一起投入發展資安產業，提高資安自主研發的技術能力，也可以從國家角度，整合各種可以運用的資源。</p> <p>他也說，當遇到重大資安事件爆發時，我們也可以仿效疫情期間的政府採用徵收口罩、自建口罩生產線的作為，從國家層級介入。</p> <p>而目前政府八大關鍵基礎設施都已打造ISAC（資安情資分享平臺）、CERT（緊急應變）和SOC（資安監控平臺），若能妥善整合這些可以運用的資源，都可以化身資安國家隊的成員。</p> <p>臺灣安永諮詢服務總經理張騰龍則提醒，防疫作為上，包括制度、法律和政府執行力，這些都是打造防疫國家隊的重要關鍵。</p> <p>相反地，如果沒有相對應的法律，加上民間配合度差，像是政府沒有下令，疫情期間口罩不可以外銷的話，此時，臺灣口罩不僅不夠用，政府沒有機會出面整合產業資源，也就沒有口罩國家隊的出現。</p> <p>同樣的情況類比到企業本身的資安防駭上，張騰龍表示，遵守法律、進行公司資源整合，搭配良好的產業關係，以及具備足夠的資安防駭意識，知道哪一些是重要的關鍵業者，並掌握企業內部應該具備的資安防駭資訊等，而這就是一個仿效政府打造口罩國家隊的手法，模擬出來企業版的資安國家隊運作模式。</p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/24 09:00作者黃彥棻https://www.ithome.com.tw/news/138881
【從「疫調完整不獵巫」學防駭】落實追查潛在風險與鼓勵通報，資安觀念要更進步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣防疫成功經驗中，除了一開始的及早掌握情資，為了不讓疫情在臺擴散，具有足夠而迅速的疫調與緊急應變的能力，是我們現在還能自由活動、還不用採取嚴厲手段的重要關鍵。</p> <p>當臺灣在1月21日出現首例確診病例後，疫調工作也同步開始啟動，為的就是進一步追查與分析，找出潛在與疫情事件相關的所有可用資訊，像是我們會追溯每個病例的旅遊及接觸史，目的就是要防範大規模社區傳染於未然，阻止疫情隨市場人口流動而擴散。</p> <p><span style="font-size:28px;"><strong>要讓資安事件追查順利，第一時間不應重灌電腦</strong></span></p> <p>關於傳染病的疫調工作，這樣的概念對於資安人員來說，並不陌生。因為我們平時面對資安事件處理應變，從完成損害控制與復原作業，到事件調查及處理與事件根因分析的流程，都有不少共通之處。</p> <p>不過，這裡我們更想要提醒的是，在事件應變與調查過程中，許多企業在第一時間確認電腦遇害後，往往不是先著手追查問題根源與保全證據，反而是針對相關的電腦，進行拔網路線、重開機與重灌系統的工作，希望盡快讓被入侵的該臺電腦恢復正常運作。但這種只求即刻復原，不繼續追查潛在風險的作法，看似合情合理，其實並不能夠真正幫助企業做好資安。</p> <p>當然，會發生這種情況，也代表企業沒有做好備援的準備工作，否則，企業應能視資安事件損壞程度，啟動備援機制，而遇害主機的組態與相關資訊也就能夠保留下來，供後續鑑識之用。</p> <p>對於這樣的問題，戴夫寇爾執行長兼共同創辦人翁浩正表示，當這些電腦主機被惡意程式感染時，表示有駭客活動，代表該電腦可能會成為感染源的起點，因此，這確實跟疫調有一樣的道理。他並提醒，企業必須盤點自己的資產在什麼地方，而這就跟掌握誰有可能被感染一樣。</p> <p>此外，在資安事件處理的當下，企業最優先要進行的工作，就是要確認狀況，以控制資安事件造成的損害，以及預防更進一步的災情發生。事後也要找出事件發生真正原因，改善問題，才能避免下次受到同樣威脅仍然束手無策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Z10_%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD_DEVCORE%E7%BF%81%E6%B5%A9%E6%AD%A3.jpg" style="width: 600px;" /></p> <blockquote><p>正向防疫不獵巫，是疫情控制時會強調的觀念，戴夫寇爾執行長兼共同創辦人翁浩正表示，上級對資安事件通報的態度，也該要有正向鼓勵的態度，才能真正有助於做好資安工作。</p> </blockquote> <p><strong style="font-size: 28px;">鼓勵通報是正向資安心態</strong></p> <p>較特別的是，在這次疫調的過程中，各界也都出現了呼籲不要「獵巫」、正向防疫為重的提醒。特別是在敦睦艦隊事件爆發後，許多民眾擔心這些官兵成為防疫破口，而在輿論出現獵巫聲浪的當下，中央流行疫情指揮中心指揮官陳時中也公開呼籲不應譴責確診者與居家隔離的民眾，因為這種獵巫的態度，可能反會讓感染者不願出面篩檢與治療，並不利於防疫。</p> <p>而且，之所以採取這樣態度來看待疫情，最主要是因為，臺灣疫情現在能控制住，有賴於大眾的信任，以及誠實告知，而這也讓疫調人員能夠很快釐清可能來源；反之，若是對確診者獵巫的情況越嚴重，感染者貼上種種汙名的標籤，導致他們不願出面篩檢與治療，對於事實、真相的呈現，就會越來越困難，因此，很容易對疫情的調查與控制造成阻礙。</p> <p>而在資安上，我們也有類似的問題要面對，經歷過這次防疫不獵巫的經驗與同理心之後，其實是可以讓大家對資安威脅遇害的狀況，能夠有更積極、正面的體認，而非一味譴責，導致受害者不得不隱瞞實情，而導致無法徹底掌握資安威脅的動態。</p> <p>例如，當企業自己受駭時，若要避免別人也可能成為下一個受害者，所以要鼓勵通報，整體資安環境才會健全；而當企業內有人主機感染電腦病毒，病毒是有可能擴散造成更嚴重的影響，所以員工也是要通報IT或資安單位。</p> <p>只是，通報資安事故的人往往受到四面八方的責怪。翁浩正表示，如果上級不能獎勵通報者，反而強烈責怪他，試問：對方是否也有可能因此隱匿不報？反之，如果上級鼓勵他趕快通報，企業還可以及早確認這個狀況，了解是被駭客、惡意程式入侵，或是系統誤判。</p> <p>而對於資安往往面對上級的責難，在資安界還有其他一些意見，也呈現類似上述的道理。例如，TeamT5杜浦數位安全執行長蔡松廷表示，資安事件是會發生的，但我們要關注的重點是，企業是否有應變的準備與計畫，如果出事後卻發現自己都沒有準備，這的確是可以責難的。</p> <p>此外，資安長的設置，不僅是因為無法期待所有企業組織高層都要能懂資安，除了交由他統籌資安編組與規畫，其實也能夠趁機認可資安團隊的表現。</p> <p>另外，勤業眾信風險諮詢服務執行副總經理林彥良舉例，企業在內部稽核或外部稽核時，並不是一發現缺失就對其進行處罰，應該是要責罰企業不改善的情況。因為，發現「缺失」並非發現「事件」，面對缺失，我們還有時間可以改善，但是企業如果有問題卻仍不改善，這才是需要罰的情況。而且，有更多問題若能先被發現，其實是件好事，而不是有問題，卻都沒有發現，相對地，也就沒有機會能夠及早處理。</p> <p><span style="font-size:28px;"><strong>每個人都可能是破口</strong></span></p> <p>最後提醒的是，在這次疫調經驗的省思中，不少資安專家都談到一件事，那就是：資安就跟疫情一樣，每個人都可能是破口，責任是每個人都要有的。</p> <p>因此，如何能夠持續警覺，是很重要的。一旦察覺身體有異常要去檢查、定期健康檢查，類似的這些概念，我們從小就被灌輸，而資安防護也是如此，如果已經察覺異常，就要能夠通報。對於資安防護的鞏固，需要持續地進行驗證和教育訓練，例如，我們需要針對系統定期弱點掃描、滲透測試，對於員工資安意識，需要定期執行社交工程演練、資安教育宣導等。</p> <p>畢竟，經歷過這次防疫，大家都能體認到，如果自己一旦被感染，其實是有可能害到其他人，如不能誠實告知，更會造成國家在防疫上的缺口。</p> <p>這樣的觀念並不難理解，衛福部資訊處處長龐一鳴也深有同感，他說，從前傳統傳染病防制，都是衛生部門再做，現在是全部的人都在動員，而在資安上，面對網路釣魚郵件等威脅，也是如此，因為只要任何一個員工不小心點了惡意郵件，就有可能會害到整個單位的防護破功，因此，資安不是只有資安團隊才要做的事，而是每個人都要去守護的。</p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/24 09:00作者羅正漢https://www.ithome.com.tw/news/138883
【從「發送細胞簡訊」學防駭】善用ISAC或CERT分享資安情報，通知潛在利害關係人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年二月初，武漢肺炎疫情爆發初期，乘客上千人的鑽石公主號油輪因為曾經在臺灣靠港，並且有在基隆港下船。因為下船乘客人數眾多，加上足跡遍佈北北基（臺北市、新北市、基隆市），因此，流行疫情指揮中心為了提醒，曾經在鑽石公主號乘客旅遊地停留的民眾注意防疫，透過「災防告警細胞廣播訊息系統」（Public Warning Cell Broadcast Service）」發送細胞簡訊給北北基民眾，提醒在1月31日當天上午六點到傍晚五點半，曾經過鑽石公主號乘客停留相關景點的民眾，都應該立刻進行自主健康管理。</p> <p><span style="font-size:28px;"><strong>針對特定區域民眾發送細胞簡訊，部會和縣市政府才有發送權限</strong></span></p> <p>當大家經歷第一次發送細胞簡訊的震撼教育後，接著來到清明連續假期的考驗。因為臺灣民眾已經悶了二個月不能出門，結果造成清明連假各個景點都是人，而在墾丁大街湧現的大批人潮，也讓流行疫情指揮中心採取因應措施，那就是直接在4月4日上午11點40分下令，針對全臺灣11處旅遊景點以及在墾丁旅遊的民眾發送細胞簡訊，提醒民眾注意，如果不能保持室外1公尺、室內1.5公尺的社交距離的話，就一定要戴上口罩以確保安全。</p> <p>而上述發送的細胞簡訊，就類似各種提醒防災的國家級警報，這麼做的主要的目的就是：讓民眾及早掌握各種災防資訊。一般而言，臺灣政府發送的細胞廣播訊息，分成四種類型：國家級警報、緊急警報、警訊通知、每月測試用訊息，目前包括16個部會、政府機構，以及22個縣市政府，都擁有發送細胞簡訊的權限。</p> <p>基本上，細胞廣播訊息發送的方式，是利用4G系統的細胞廣播服務功能，透過串接五大電信業者系統，可以快速、大量地針對特定區域民眾，進行全區發送，一旦警示訊息從發布機關送出後，民眾大約在4～10秒內，就可以收到訊息；但是，當對象離開該地點時，就無法接收訊息。</p> <p>另一個大量發送警示的例子，則是流行疫情指揮中心公布磐石艦隊確診武漢肺炎官兵的個案活動足跡，並針對在90多處公共場所、停留15分鐘以上的民眾，發送21萬封「類細胞簡訊」。</p> <p>事實上，這種類細胞簡訊和一般簡訊一樣，由電信業者找出曾在同一時間，和確診官兵停留地點的手機基地臺交換過訊號的手機號碼，進行類細胞簡訊的發送。如果當地的手機基地臺越密集，這種類細胞簡訊發送的精準度越高，而發送類細胞簡訊的好處是，可以精準掌握停留者的手機號碼，即便已經離開確診官兵的活動區域，當時停留在此地的人員，還是可以接到相關通知，而能提高警覺。</p> <p><span style="font-size:28px;"><strong>資安事件主動示警違反人性，善用CERT或ISAC主動分享資安情報</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%89%E6%B0%B8%E5%BC%B5%E9%A8%B0%E9%BE%8D2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BC%B5%E9%A8%B0%E9%BE%8D(1).jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>臺灣安永諮詢服務總經理張騰龍表示，企業面對資安事件往往不會主動告知，但可以透過鼓勵企業主動通報資安事件，搭配資安教育訓練、提高員工資安意識，提高整體資安防護水準。（圖片來源／張騰龍）</strong></span></p> </td> </tr></tbody></table><p>臺科大資管系特聘教授吳宗成表示，細胞簡訊發送並不是針對特定高風險使用者，反而是針對部分區域的不特定當事人，因此，只有在法律授權下，相關權責單位在發生災難、緊急事故時，才能進行細胞簡訊的廣播。</p> <p>若從發送細胞簡訊的防疫作為，來類比企業資安防駭作為，他說，除了像是上市櫃公司需遵循國家的規定，有任何重大訊息都必須對外公告外，從政府到企業面對各種資安事件或是遭駭時，企業資安公告通常是「被動」的，而且，也常是「被迫的」。</p> <p>吳宗成認為，對企業而言，發送資安事件的通報，都需要經過查證，他建議可以善用各級ISAC（企業情資分享平臺）轉發情資，可查證資料正確之餘，同時，也可以找到相對應的解決辦法，以及避免受害的措施。</p> <p>不過，臺灣安永諮詢服務總經理張騰龍指出，防疫因為和人人相關，主動發送細胞簡訊的作法，的確可以達到提醒和警示的效果；但若類比到企業防駭的角度，主動針對資安事件發送告警簡訊，通常只有業內人士會感興趣，一般民眾往往對於資安事件通報無感；甚至，因應個資法規範，如果企業或組織發生個資外洩事件，企業或組織必須主動通知當事人，但很多當事人也缺乏足夠的個資防護意識和素養。</p> <p>張騰龍進一步解釋，疫情可以主動通知，但企業資安事件，因為涉及許多利害當事人，經常會影響企業是否公告或主動告知的意願。而且，企業資安通報或示警都必須從與大眾溝通的角度出發，避免因為錯誤的說明造成不必要的誤解。</p> <p>事實上，各種資安事件爆發，通常都是企業或組織本身處理不好、出事、失控了，再加上就人的本性而言，通常不會想讓人知道自己沒有做好的事情，因此，不管是誰，當然不會想主動公告資安事件。</p> <p>即便不強制企業主動通報公告資安事件，但人員往往是資安最脆弱的環節，他認為，可以積極透過員工資安教育訓練、提高資安意識。雖然政府目前不會強制企業主動公告資安事件，但可以善用國家、主管機關有SOC（資安監控中心）和ISAC（資安情資分享平臺），藉此鼓勵企業主動通報資安事件，提升整體資安防護水準。</p> <p><span style="font-size:28px;"><strong>風險主動預警，通知潛在受影響利害關係人</strong></span></p> <p>關於細胞簡訊的概念，該如何應用到企業資安防駭上呢？</p> <p>KPMG顧問服務部執行副總經理謝昀澤認為，我們可從企業內、外部的事件告警與通報程序，來著手進行。過去企業資安通報多是被動接收使用者所發現的異常資訊，然後進行後續通報與處理；未來可以進一步調整為：將可疑的資安事件，主動通知潛在受影響的內部使用者，或外部客戶、供應商等，以防止資安事件擴大。</p> <p>對此，國際電腦稽核協會（ISACA）資訊風險治理諮詢小組委員楊博裕認為，發送細胞簡訊是一種資訊通報、風險告知，透過即時分享資訊與網網路安全事件給利害關係人，以便分析影響程度，並研擬暨追蹤相關應變行動。</p> <p>就像鑽石公主號的狀況，是由國家出面發送細胞簡訊告知民眾風險所在，但企業若面臨網路攻擊，很難由國家發送細胞簡訊告知。那麼，企業該怎麼做呢？公司如何保護員工以及供應商？他建議，可以透過CERT的電子郵件，或者是ISAC情資分享，主動發布相關資安資訊。</p> <p>他舉例，當示威民眾路線影響員工上下班時，公司也可以主動通知員工在家上班（WFH），這就是一種風險主動通知和預警的作為；其他像是許多外商銀行都有一些網路防護中心的組織，會主動發送簡訊或電子郵件給利害關係人，如果有收到相關的威脅情資，都可以主動發送。</p> <p>資誠智能風險管理諮詢公司執行董事張晉瑞認為，若以發送細胞簡訊來類比企業資安防駭的情況，那會是下列狀況：企業知道出現一個零時差漏洞後，會針對自己內部IT系統和環境，事先盤點是否有風險，再看後續如何因應或修補。他以2018年Apache Struts2的零時差漏洞為例，有些企業與組織的作法，就是先讓IT或資安人員知道風險所在，在修補程式還沒有釋出前，先不要把Apache伺服器暴露在網路上，確保安全，而等到修補程式釋出後，就可以主動修補。</p> <p>這麼做的重點在於，面對風險時，IT要主動檢查是否有異常狀況，把訊息傳遞給所有管理者後，並檢視所有系統安全性，及早準備。</p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/24 09:00作者黃彥棻https://www.ithome.com.tw/news/138885
【從「勤洗手與戴口罩」學防駭】企業與個人都該有資安衛生習慣，落實與持續是重要關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎持續在全球擴散，在臺灣的防疫期間，勤洗手、戴口罩與保持社交距離，就是我們最常聽到的宣導口號，簡單來說，就是要我們做好基本衛生習慣，降低自己被感染的風險。</p> <p>在資安宣導上，我們常常也會聽到類似的概念，例如，公司或組織要大家定期更新系統更新檔及病毒碼，發現可疑信件就不要開啟，不隨便開啟附件檔與網址，以及啟用雙因素驗證等，這些小小的舉動，雖然很瑣碎，但其實，也都有助於降低被電腦病毒感染，或是被駭客入侵的風險。</p> <p><span style="font-size:28px;"><strong>強化企業資安衛生習慣有方法</strong></span></p> <p>關於這類從使用者著手的資安衛生習慣，其實，近年也有人在談論這個議題──資安衛生習慣（Cyber Hygiene），強調在既有的資安管理上，採取更主動的防衛措施，以預防可能遭受的各種威脅事件，而且，現在國際間已有從法規面來著手推動的實例。</p> <p>對此，勤業眾信風險諮詢服務執行副總經理林彥良指出，近年美國與新加坡政府其實都有資安衛生習慣的規定，例如，新加坡金融管理局（MAS）就是可以參考的實例。</p> <p>簡單來說，該單位在2019年8月6日發布資安衛生通函（Notice on Cyber Hygiene），透過法令來推動，當中具有6大重點，包含針對帳號的管理、定期安裝修補程式、安全標準、網路邊界防禦，以及惡意軟體防護與多因子認證。其實，這些都是基本的安全概念，不過林彥良特別指出，在這樣的機制下，會讓企業相關做法變成內部控制的一環，而不是僅以資安管理看待。</p> <p>除此之外，國際上一些較為實務面的資安框架，也可以說是做好資安衛生習慣的參考指引，包括澳洲網路安全中心（ACSC）的Essential Eight，以及美國非營利組織網路安全中心（CIS），發展出的CIS Critical Security Controls（CSC），這些資安框架在iThome之前的報導也介紹過，都可看做企業在規畫資安衛生習慣時的建議。</p> <p>對此，勤業眾信風險資訊服務協理陳威棋說明，企業只要做好Essential Eight的8項安全控制措施，將能減緩85％的網路攻擊威脅。</p> <p>戴夫寇爾執行長兼共同創辦人翁浩正也提到，可以參考CIS Control的一連串控制措施，像是最基本的第1到6項，就可視為資安衛生習慣，可以奠定良好、強健的整體防禦根基。</p> <p>但要提醒的是，資安衛生習慣的基本觀念要先形成，這可能需要時間，不是現在開始做，就會馬上立竿見影，快速看到成效。</p> <p><span style="font-size:28px;"><strong>需透過資安規定來落實，以及持續進行</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/Z07_%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD_BSI%E8%87%BA%E7%81%A3%E7%B8%BD%E7%B6%93%E7%90%86%E8%92%B2%E6%A8%B9%E7%9B%9B.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>資安衛生習慣將是防護根本之道，BSI臺灣總經理蒲樹盛表示，這次全民都有防疫概念，政府從早到晚的每日防疫短片，宣導勤洗手、戴口罩等衛生習慣，就是教導民眾容易做到的方法。（攝影／洪政偉）</strong></span></p> </td> </tr></tbody></table><p>再從這次臺灣防疫經驗來看，全民之所以都能對於防疫很有概念，政府在衛生習慣的持續教育宣導，效果顯著。</p> <p>例如，電視上從早到晚播放著防疫小短片，政府也召開每日記者會持續宣導，大家看久了、聽久了，也就知道該怎麼做，而且，一旦養成勤洗手、戴口罩這些衛生習慣，不僅可大幅減少病毒與細菌傳播，也是民眾最容易做到的動作。因為口罩可以阻隔病毒的飛沫傳染的途徑，勤洗手則是能避免接觸傳染。</p> <p>對於這樣的持續教育，以及防止傳播途徑，BSI臺灣總經理蒲樹盛表示，這是防疫上很成功的經驗，企業在進行資安防護時也是如此，可以依照組織資安規定來進行，如果有人不遵守，那關鍵就是在規定要能落實。</p> <p>蒲樹盛並提醒，企業在內部資安教育上，同樣要有不斷的宣導、教育與演練，而且，普遍企業可能實施範圍不夠全面，但是，資安防護並非只有資安團隊的責任，而是全公司同仁都要做到的分內工作，就像這次全民防疫一樣，大家都要遵守，才能擋得住疫情。</p> <p>換言之，企業除了要落實資安管理，資安意識的教育訓練也是輔助執行的一種方法。例如，企業採取上課、考試的方式，來教導員工郵件安全、帳密安全、電腦安全，以及資料外洩保護等資安觀念，以及利用舉行社交工程演練的方式，寄送釣魚測試信，促使員工對釣魚信能有更高警覺性。</p> <p>關於這些作法，大家可能已經知道，認為是老生常談，然而，要定期且持續進行，才是真正的關鍵，就像這次防疫一樣，要持續宣導不能鬆懈。</p> <p>畢竟，人往往生病了，才會重視身體健康和個人衛生，但平時應該就要保持良好習慣，而資安衛生習慣的概念，同樣是需要持續進行的事。</p> <p>至於全民防疫，主要也是因為這件事與每個人切身相關，因此民眾配合度高，能夠配合政策來做好防疫，但論及全公司都要做好資安，企業員工可能因為不涉及人身安全，因此在資安教育宣導上，必須更要採取正面積極的方式，讓大家能認同這件事，因為，每個人都可能是企業的破口，而導致受害。</p> <p><span style="font-size:28px;"><strong>衛生習慣教育不分年紀，但資安習慣教育仍需多多努力</strong></span></p> <p>無論如何，從這次臺灣成功的防疫經驗來看，如果大眾對於資安的態度，能提升到與防疫的態度一樣水準，這將讓我們在資安即國安的政策施行成效上，更具說服力。</p> <p>關於防疫與防駭，兩者本身就有很多原理相同，像是病毒（Virus）這兩個字，就是從生物學而來。對此，衛生福利部資訊處處長龐一鳴表示，他對此很有感概，因為他本身就是公共衛生背景出身。</p> <p>在龐一鳴的經驗中，他用預防醫學中的三段預防概念，來說明資安防護的觀念。這裡指的三段預防，分別是初期預防、次級預防，以及三級預防，這與資安領域所談的預防概念看似不同，不過，兩者仍有共通之處。</p> <p>他說，初期預防著重的是預防生病，生病之後是次級預防（變重症），而重症則是三級預防（死亡），這其實與資安防護上，所談論的事前、事中與事後概念，相當一致。</p> <p>對於資安衛生習慣的議題，龐一鳴特別點出一個令人需要關注的問題。他說，香港小學生在學校會習得資安的知識，反觀臺灣呢？為何我們的資安沒能從小開始教育？</p> <p>確實，對於衛生習慣養成這件事，大家應該都不陌生，畢竟這是老師、家長從我們年幼時就在教導的觀念，或是說現代大家都該有的基本認知。也就是說，關於衛生習慣的教育宣導，其實並不分年齡對象。</p> <p>儘管近年來，臺灣在校園上的資安人才培育，在高中、大學都有一些課程與活動，但這些是為了培養更多資安專家及從業人員，而在各學齡層的資安衛生習慣宣導，卻未受到長足重視，呈現很大的落差。</p> <p>單就國小學童來看，過去我們常看到電腦課的內容，包括資訊素養與網路倫理，隨著時代演進，甚至現在國小生就要開始學AI了，但基本的資安衛生習慣養成，卻似乎沒有從小開始扎根，包括智慧財產權的認識，如何安全使用網路、隱私資料保護，以及如何在網路上保護自己等。這樣的問題，值得政府與學校去思考與重視。</p> <p><strong><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/24 09:00作者羅正漢https://www.ithome.com.tw/news/138886
從防疫學防駭
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/982-feng_mian_gu_shi_-1_open-960x420.jpg?itok=_Sc3Ya0f" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年上半年，武漢肺炎疫情持續嚴峻，臺灣防疫策略成為全球矚目焦點，從PTT護國神文、疫情指揮中心，到每日記者會等作為，都是阻擋疫情擴散的重要措施，資安防護同樣也是面對看不見的敵人（病毒），而我國防疫成功的經驗，在資安防禦上又能帶給我們什麼樣的啟發呢？</p> </div></div></div>
2020/7/24 09:00未署名https://www.ithome.com.tw/article/138913
Google與Balena合作，簡化大規模Coral邊緣AI應用部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/2020/07/coral-summer-2020-updates.html" target="_blank">Google更新本地人工智慧開發平臺Coral</a>，除了擴充平臺相容性、簡化開發與改善裝置的機器學習功能之外，還與物聯網機群管理平臺Balena合作，讓Coral使用者能夠進行大規模的建置、管理和部署物聯網應用程式。</p> <p>Coral平臺包含了開發人工智慧裝置必要的軟硬體，開發人員可以在本地端裝置先建立、訓練和執行神經網路，先小規模的打造出想法雛形，並在之後將雛形擴充到生產階段。Coral的開發板搭載Google的Edge張量處理器（Tensor Processing Unit，TPU）、SoM模組、記憶體與eMMC，並支援Wi-Fi和藍牙無線傳輸協定。</p> <p>Google更新了適用於Coral的作業系統Mendel Linux 5.0，現已支援Coral開發板以及SoM模組，提供更穩定的軟體套件儲存庫，並且改進相容性，加入新的GPU驅動程式。Google還將Edge TPU Runtime在GitHub上開源，其中包含了建置Linux和Windows函式庫的腳本與說明，如此便可讓那些，將Coral用於ARMv7和RISC-V等非官方正式支援平臺的使用者，可以自行編譯Edge TPU Runtime開始進行試驗，並使其更容易將Runtime整合到自定義的建構工作管線中。</p> <p>在Coral軟體堆疊的更新上，Google更新Edge TPU編譯器到14.1版本，新加入的模型工作管線API，可讓開發者將模型分散到多個Edge TPU上執行，而新的Colab筆記本，可使用TensorFlow 2.0重新訓練分類模型。另外，Google還發布了人物分割新模型BodyPix（下圖），這個模型過去僅適用於TensorFlow.JS，而現在可用在Coral中，即時地理解人物和人的各部位。</p> <p class="rtecenter"><img alt="" src="https://4.bp.blogspot.com/-rFkCjXuhHHY/XxdM5iQ1W8I/AAAAAAAAJKk/2GR4m3KHB10rsw3vT4WNyHAhrrcpcxpKACLcBGAsYHQ/s1600/gif1.gif" style="width: 512px;" /></p> <p>Google還和Balena合作實現大規模邊緣人工智慧應用，Google提到，在邊緣執行大量機器學習裝置的企業，需要持續部署安全修復程式以升級系統，保護資料、模型和硬體不受入侵，而且機器學習應用也需要不斷的重新訓練與更新，才能在更新的使用案例中維持高效能。</p> <p>而Coral搭配Balena解決方案，可簡化邊緣機器學習專案的管理，使得配置、部署、更新和監控變得更簡單，也協助開發者能將早期的應用原型，搬遷到大規模的生產環境中。</p> <p>Google釋出新的Windows驅動程式來補充現有的驅動程式，現在Coral使用者可在Windows平臺使用Mini PCIe和M.2加速器。開發者可以先用之前發布，適用USB加速器的Windows驅動程式，以Coral USB加速器在Windows上創建出雛型，之後於生產階段轉而使用Mini PCIe與M.2加速器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pcie-inhand.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/24 10:15作者李建興https://www.ithome.com.tw/news/139006
網路涵蓋、平價手機、資費誘因多管齊下，中華電信：下半年國內5G用戶將快速成長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在國內5G開臺搶下頭香的中華電信，今天啟動新一波行銷活動，除了找來知名天團五月天代言，加強5G服務宣傳力道之外，5G體驗車也將在明天上路，巡回展示5G應用，儘管開臺初期網路涵蓋不足、5G手機價位也偏高，外界擔憂恐拖累5G用戶成長速度，但中華電信預期未來隨著手機選擇性增加、更多資費誘因等帶動下，國內5G用戶將在下半年快速成長。</p> <p>在6月底的開臺活動中，中華電信喊出第一年將達成100萬5G用戶目標，3年後將滲透現有4G用戶的一半，相當於500萬用戶以上。日前中華電信董事長謝繼茂更表示，以4G用戶發展速度，3G用戶轉為4G約花了4年，4G用戶都轉到5G可能也只需要4年時間。</p> <p>然而，國內5G開臺初期，網路涵蓋範圍不足，5G手機選擇性不多，且價格偏高，以中華電信搭配資費的三款5G手機，Galaxy S20、LG V60、Sony的Xperia 1 II三款，均為旗艦級手機，空機價格都在3萬元以上，恐影響4G用戶升級至5G的意願。</p> <p>對此，中華電信行動通信分公司總經理陳明仕指出，從市場面來看，雖然現在主要為3個品牌、5款手機，但以現今半導體產業的產量規模，很快將有更多高階或中階5G晶片推出，預料5G用戶客群即將有大量爆發，成長的原因除了5G網路要涵蓋夠廣、速度夠快，還有手機走向平價、應用服務多樣，加上業者祭出資費誘因，他相信5G客群應該會快速成長。</p> <p>在網路涵蓋部分，中華電信已預告今年底將建設4千餘座5G基地臺，3年內建設1萬座基地臺，提升5G網路涵蓋外；而在5G手機方面，中華電信透露8月將會銷售兩萬元以下中階5G手機，包括宏達電的HTC U20 5G，還有LG Velvet，加上預期中國品牌5G手機進入臺灣，還有蘋果下一代的iPhone可能支援5G，消費者在5G手機、價位帶上的選擇將會增加。</p> <p>目前中華電信也銷售7月下旬推出市場的三星A71、A51，兩款手機均為中階5G手機，空機價位在1.6萬到2萬元之間，但因為這兩款手機不支援2.1GHz頻段，而目前中華電信是以2.1GHz頻段提供捷運站、車廂、活動場館5G網路，若用戶在室內場所使用5G，可能出現5G涵蓋不足的問題。</p> <p>在資費方面，中華電信在開臺時提出的5G資費裡，999及1199元資費每月可使用資料留60GB、100GB，考量網路的公平使用原則，用戶若超過使用量將降速至10Mbps；遠傳電信抓住這點，針對999/1199用戶推出超量仍能使用4G網速，意在拉攏用戶；台灣大哥大則是祭出月租1599元，可享光纖上網、5G上網雙飽。</p> <p>中華電信不甘示弱祭出限時優惠，10月底以前，999及1199元用戶若超量也可繼續使用4G網速，網速最高至50Mbps。另外，在10月底之前，1399元資費用戶熱點分享吃到飽。在5G資費上和競爭對手較勁。</p> <p>利用5G高速率、低延遲的特性，中華電信在消費應用上，目前鎖定4K、AR/VR、雲端串流遊戲，日前在職棒桃猿主場提供多視角4K轉播，讓5G用戶在Hami Video上選擇切換不同觀眾席視角，甚至可切換至主審視角觀看比賽。</p> </div></div></div>
2020/7/23 19:23作者蘇文彬https://www.ithome.com.tw/news/138999
【獨家】Garmin疑遭勒索軟體攻擊，產線預計將停擺兩天，手機App更新無法同步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome接獲讀者爆料，臺灣知名GPS及穿戴式裝置大廠Garmin（臺灣國際航電）疑遭駭，IT部門針對臺灣各部門發送通知指出，內部IT伺服器和資料庫受攻擊，產線也停工兩天。據推測，Garmin可能是遭到勒索軟體的攻擊。</p> <p>Garmin立即在官網公告，因為系統維護，包括：Garmin客服中心、地圖及軟體更新，以及相關應用程式如：Garmin Connect、Garmin Express、Launcher……等應用程式的更新，都將暫停。</p> <p>iThome也致電詢問Garmin公關部門表示，目前正在詢問內部相關單位，還沒有獲得進一步回應，目前無法回答該公司產線，是否因為遭到勒索軟體攻擊而必須停工兩天。</p> <p>不過，有使用Garmin穿戴式裝置的使用者表示，目前運動手錶的App都因為無法同步取得更新資料，部分存放在穿戴式裝置中的生理資訊的歷史資料消失。使用者擔心相關機敏資訊是否有外洩的隱憂。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>Garmin產線疑遭勒索軟體攻擊，產線將暫停2天</strong></span></span></p> <p>根據讀者提供的資料顯示，Garmin內部員工被告知，IT伺服器遭到病毒攻擊，整條產線無法開線，據資安專家推測，這可能是遭到勒索軟體的攻擊；員工也被告知，在7月24日（五）和7月26日（六）臺灣工廠生產產線將停止生產線開工2天。</p> <p>這個產線停線2天的內部通知，也與Garmin官網公告不謀而合。</p> <p>Garmin官網表示，因為系統維護，包括：Garmin客服中心（包含客服電話及汐止服務中心）將從 7月23日（四）下午5點半～6點（上班日服務時間式上午九點到下午六點）以及7月24日（五）～7月25日（六）都將暫停服務。</p> <p>公告中也包括Garmin各地區的科技生活體驗館，暫時無法提供地圖及軟體更新服務；其他像是Garmin相關應用程式與系統（包含Garmin Connect、Garmin Express、Launcher…等）都將暫停服務；另外，Garmin官網網路商城服務、以及部分頁面可能無法正常顯示。</p> <p>由於Garmin是臺灣穿戴式裝置知名廠商，記載許多個人敏感生理資訊以及運動資料的穿戴式裝置，因為「系統維修中」無法同步，使用者也發現有部分生理資料的歷史資料消失，也讓使用者對於Garmin對其敏感的個人資料保護的落實程度，帶來許多的不確定性。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>近期勒索軟體國內外橫行，臺灣製造業產線日前曾因勒索軟體停工</strong></span></span></p> <p>Garmin傳出產線疑遭勒索軟體攻擊，預計停工兩天外，其實，光是五月份臺灣中油、台塑爆發內部系統遭到勒索軟體攻擊，許多系統服務暫停提供服務外，像是半導體封測廠力成的湖口廠區，之前也傳出5月初遭到勒索軟體攻擊，而自動化設備廠商盟立也在6月7日下午2點於臺灣證交所公開資訊觀測站公告，該公司系統遭到勒索軟體攻擊，導致資料庫無法正常存取，目前啟動備援作業並逐漸復原，公司機密資料沒有遭受波及。</p> <p>國外也傳出許多製造業者的產線遭到勒索軟體攻擊而必須停工，例如，提供飛機的維護與修改以及組合零件的生產的航太服務供應商VT SAA，在今年6月，受到Maze勒索軟體駭客集團的攻擊，取得超過100份的文件，包括財報、網路保險契約及提案等1.5TB的資料。</p> <p>日本汽車大廠本田（Honda）也在6月7日發現「電腦網路毁損造成無法連線」，因而影響業務運作，本田也取消了部份工廠作業，像是位於美國、歐洲及日本分公司的伺服器，因為遭駭客以勒索軟體攻擊，也使得電腦和其他裝置無法作業，至少造成美國廠區運作停擺，只好要求員工回家。</p> <p>7月初，也傳出印表機大廠全錄，在6月下旬遭勒索軟體Maze駭入網站，且加密並竊走高達100GB的資料，但此事並未獲得全錄公司的證實。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Garmin%E6%89%8B%E9%8C%B6%E6%9B%B4%E6%96%B0.jpg" style="width: 443px; height: 960px;" /></p> <blockquote><p>也有使用者發現，Garmin的穿戴式裝置在系統維修的過程中，無法更新同步App，也發現有部分生理資訊的歷史資料不見。</p> </blockquote> <p> </p> <p> </p> <p> </p> </div></div></div>
2020/7/23 18:45作者黃彥棻https://www.ithome.com.tw/news/139004
救護車上心電圖辨識有新方法，不只結合AI預判心肌梗塞，更串連Line自動推送辨識結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">救護車上的心電圖設備，是突發性心肌梗塞患者的救命設備，越早一步診斷，醫院就能越快在病患抵達前做好手術準備，錯過黃金救援時間，心肌壞死區域擴大，不只後續治療困難，病人復原也更慢。如何加快車上心電圖診斷流程，結合AI技術，澎湖醫院開始嘗試一個新作法。</p> <p dir="ltr">過去，已經有方法可以加快就醫流程，透過可攜式的心電圖量測系統，由消防隊派遣的救護人員帶上救護車，就能在車上先針對疑似心肌梗塞的病患量測心電圖，再由救護人員將量測結果拍照傳給醫生，由醫生決定是否需要進行心導管手術。若有需要，就能提前啟動相關儀器、進行準備工作，若院內無心導管手術設備，也能快速安排救護車轉往其他醫院來救治病患。</p> <p dir="ltr">衛生福利部澎湖醫院醫秘兼急診室醫師蔡文祥指出，啟動心導管儀器等準備工作，大約需要15～20分鐘，若沒有相關設備可以預先讓醫生了解患者心電圖狀況，以澎湖的情況來看，救護車護送患者到院平均要20～40分鐘，到院後再量測、診斷，確定病症後再準備手術，就可能錯失救治的最佳時機，甚至若診斷的醫院無法進行手術，還需再緊急轉院，更可能因此耽誤救治，「對路程比較遠的病人來講，提前做好判斷就能早點啟動儀器、縮短準備時間。」</p> <p dir="ltr">目前，這類用於救護車上量測心電圖的可攜式設備已經越來越多，臺灣超過半數的縣市都有導入，不同廠商也推出不同的產品來競爭。以澎湖消防局來說，去年導入了一套醫療業資服業者商之器的心電圖量測設備，今年又獲贈兩套，分別配備在不同鄉鎮的消防分隊中，均已實際應用於救護車上的檢測場景。</p> <p dir="ltr">不過，這個技術與流程仍有未臻完善之處。商之器臺灣區總經理丁偉能就指出，過去運用這套系統量測心電圖時，由於救護車處於移動狀態，加上患者可能因疼痛而肢體扭曲，所測得的數據大多都不夠精準，系統顯示異常（Abnormal）的狀態居多，除非是典型心肌梗塞的症狀，才會顯示AMI（Acute myocardial infarction）的畫面。這就導致，幾乎所有異常的狀態都要回傳給醫生再次判斷是否為心肌梗塞，加上醫生不一定有空能回復判讀結果，這些額外的通知一定程度的增加了醫生的負擔，若能進一步將檢測結果再分級，讓醫生只需判讀極有可能為AMI的病例，就能讓整個流程更有效率。</p> <p dir="ltr">而且，過去在測量心電圖後，需要由人工將檢測結果拍照傳給醫生看，在救護車移動過程中拍照、使用通訊軟體傳送照片，可能發生照片模糊、傳送失誤的情形，對於分秒必爭的救護場景來說，若能將系統檢測結果直接傳送到醫院端，將整個資訊流串接起來，搶救患者的時間又能再加快幾分。</p> <h3 dir="ltr"><span style="color:#FF8C00;">商之器升級可攜式心電圖量測設備，加入心肌梗塞預判機制提升醫生決策效率</span></h3> <p dir="ltr">現在，有資服業者改善了可攜式心電圖儀器的軟體辨識技術，更串起了檢測設備到醫院端的資訊流，這家業者就是在7年前著手開發出可攜式心電圖量測系統的商之器，同時也是臺灣最早開發這套設備的業者之一。</p> <p dir="ltr">在軟體技術方面，商之器採用Amazon SageMaker平臺，開發了一個心電圖AI辨識技術，結合自家的設備，讓救護人員在量測完病患心電圖後，系統能自動將結果同步上傳雲端來判讀心肌梗塞的機率（如患者為心肌梗塞症狀的機率為80%），進行判讀之後，儀器畫面將會根據判讀結果顯示綠色（正常狀態）、黃色（注意：緊急個案）、紅色（疑似為心肌梗塞）等資訊。同時，在資訊流方面，系統也會將判讀結果打包成兼具文字敘述與心電圖圖片的訊息，串連Line自動推送到醫院群組中，通知醫生檢閱。</p> <p dir="ltr">運用AI技術後，商之器預期要達到的效果，是讓心臟科醫師不必再把精神花在瀏覽所有的心電圖，只需針對極有可能是AMI情況的訊息再介入判讀，省去不必要的判讀時間。且整個AI辨識流程，從量測到患者心電圖、將資料傳回消防隊或醫院伺服器、連接外部雲端平臺來進行AI辨識，最後將結果推送到Line群組中，整個過程只需2秒，比起過去由救護人員拍照上傳圖片，整體流程更有效率。</p> <p dir="ltr">這套系統從7月中開始，已經先在澎湖消防隊及澎湖醫院的場域進行試驗，蔡文祥表示，儘管目前還沒有救護車護送的心肌梗塞個案已經使用這套系統，但消防單位與醫院已經建立起一套通報流程，比如因救護車上量測到的心電圖結果，無論是否為異常情況，均會推送到Line群組中，澎湖醫院目前的做法為，當儀器自動在Line中推送訊息後，還會以無線電來通知醫院再次判讀。</p> <p dir="ltr">而且，過去在使用舊的心電圖量測設備時，需要在Line群組中加入多位消防隊的救護員，才能由當天出勤的人員拍照上傳心電圖資訊，現在直接由系統推送訊息後，群組人數也縮減許多，只要加入急診室與心臟科醫生即可。</p> <p dir="ltr">丁偉能說明，在訓練模型過程中，共運用了2,000～3,000張心電圖歷史影像資料，其中確診為心肌梗塞的影像約有200多張，在研發場景測得準確率約96%。未來進入實際場域使用時，還需要再以新測得的影像來持續調校AI模型，更要將模型交由醫院端來負責後續的調校。除了澎湖之外，商之器也將陸續升級其他縣市可攜式心電圖儀器的功能，來擴大AI心電圖辨識技術在救護車場域的應用。</p> </div></div></div>
2020/7/23 19:05作者翁芊儒https://www.ithome.com.tw/news/138980
不讓你的訊息被偷看，臉書Messenger新增鎖住功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化Messenger的隱私，臉書本周替Messenger<a href="https://about.fb.com/news/2020/07/messenger-app-lock-and-privacy-settings/" target="_blank">新增了鎖住功能</a>，而且開宗明義地說，這功能可讓使用者把手機借給親友使用的時候，他們將無從存取Messenger的聊天內容。</p> <p>Messenger鎖住功能初期只適用於採用iOS的iPhone及iPad，而且鎖住之後可利用Touch ID指紋辨識或Face ID人臉辨識解鎖，預計要在未來的幾個月才會部署至Android平臺上。</p> <p>其實不只是鎖住功能，臉書也替Messenger用戶提供了其它的隱私設定選項，包括限制Messenger Stories觀眾、把Messenger Stories 關靜音，或是封鎖友人等。</p> <p>之後Messenger還會增加其它的隱私設定功能，例如允許使用者控制誰可以直接傳訊或打電話，也將測試在接收陌生人訊息時，如何保障使用者的隱私與安全。</p> </div></div></div>
2020/7/23 16:20作者陳曉莉https://www.ithome.com.tw/news/138988
參與蘋果iOS抓漏獎勵的研究人員將收到特製版iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據多家媒體的<a href="https://techcrunch.com/2020/07/22/apple-hacker-friendly-iphone-security/" target="_blank">報導</a>，蘋果本周開始履行<a href="https://www.ithome.com.tw/news/132351" target="_blank">去年8月發表的「iOS安全研究裝置」</a>（iOS Security Research Device，SRD）計畫，寄送特製版的iPhone予參與該計畫的安全研究人員，<a href="https://developer.apple.com/programs/security-research-device/?=tuesday-july-21-2020" target="_blank">並公布完整的SRD規定</a>。</p> <p>這支特製的iPhone是蘋果「借給」安全研究人員的，以供研究人員尋找iOS的安全漏洞，跟一般iPhone不同的是，它允許Shell存取，而且還可執行任何工具，據說還具備強化的除錯能力，除此之外，它的架構就是支標準iPhone。</p> <p>SRD計畫的申請條件，除了必須身為蘋果開發者專案的會員之外，也必須有成功發現蘋果或其它平臺安全漏洞的紀錄，在所居住的國家必須已經成年，而且禁止蘋果員工參加。目前該計畫僅適用於逾20個特定國家，並未包含臺灣在內。</p> <p>而根據蘋果的規定，SRD並不能作為個人使用或隨身攜帶，而是必須一直處於研究人員的住所內，而且只有經過蘋果審核授權的對象，才能存取及使用SRD。</p> <p>此外，利用SRD所找到的蘋果漏洞必須提報給蘋果，也必須由蘋果決定漏洞的公布日期，通常是蘋果釋出修補程式的當天。</p> <p>然而，Google Project Zero安全專家<a href="https://twitter.com/benhawkes/status/1286021329246801921" target="_blank">Ben Hawkes指出</a>，蘋果所公布的SRD限制，顯然排除了包括他們在內的眾多資安業者，因為許多資安業者都採取90天的漏洞揭露政策，亦即在發現漏洞的90天後，假使對方沒修補也會公布漏洞。</p> <p>Hawkes還說，他們其實早在2014或2015年就要求蘋果提供安全測試裝置，從那時到現在，至少已經提報逾350個安全漏洞予蘋果，而現在，就算他因SRD的此一規定感到很失望，但他們還是會持續研究蘋果的平臺，也會提供所有的細節予蘋果，因為這是對使用者安全而言應該做的事。</p> </div></div></div>
2020/7/23 16:30作者陳曉莉https://www.ithome.com.tw/news/138990
Chrome支援多項安全機制，讓網頁應用防禦注入攻擊並增加網頁隔離性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在最近發布的Chrome 83中，<a href="https://security.googleblog.com/2020/07/towards-native-security-defenses-for.html">支援多種新的安全機制</a>，包括可信類型（Trusted Types）、內容安全性政策（Content Security Policy，CSP）和跨來源開放者政策（Cross-Origin Opener Policy，COOP）等，讓網頁開發人員能夠保護其應用程式，免遭到注入攻擊的侵害，並且強化網頁應用程式的隔離性。不只是Chrome，主要的瀏覽器也都開始實作這些安全機制。</p> <p>Google提到，雖然網頁平臺與底層作業系統有著強健的隔離性，但是網頁應用程式之間的隔離性卻相對薄弱，因此產生XSS、CSRF和跨站洩漏等問題，而這些漏洞出現的原因，是由網頁的可組合性、開放性和易開發性等特質帶來的結果，因為當初全球資訊網只是由相互關聯的文件，所組成的網路，並沒有預料會成為豐富的網路應用生態系，且需要處理大量的使用者私密個人資料。</p> <p>因爲這樣的原因，Google認為，可以讓開發人員在網頁平臺上，保護其用戶資料的安全功能發展緩慢，而且通常只針對常見的漏洞提供保護。一般而言，網頁開發人員需要建構額外的安全工程工具或是程序，來保護應用程式免受常見漏洞影響，但是這類的基礎設施通常開發與維護成本並不低。</p> <p>隨著網頁平臺不斷的發展，網頁平臺需要內建更全面的安全機制，才能滿足日益壯大的網頁生態系，為此，主要瀏覽器開發組織合作，共同設計並在瀏覽器中部署幾種重要的安全功能，以防禦常見的網頁漏洞，賦予網頁應用程式具有抵禦注入攻擊的能力，並且有足夠的隔離性，阻擋攻擊者的惡意請求。</p> <p><strong>防禦注入攻擊</strong></p> <p>Google提到，混用程式碼以及資料，是讓網頁平臺產生注入漏洞的根本原因，在網頁上，HTML標記像是<script>元素以及事件處理程序屬性，都允許JavaScript程式碼的執行，而當導向到JavaScript連結時，在腳本執行中URL也能夾帶程式碼與結果。這種方式雖然方便，但是一不小心就可能被注入腳本，攻擊者就能在使用者的瀏覽器中控制應用程式。</p> <p>Chrome與其他瀏覽器便部署可信類型，以及內容安全政策功能，來解決這個問題。可信類型能夠解決基於DOM的XSS漏洞發生的根本原因，可信類型能夠限制危險的操作，像是禁止生成HTML或是創建腳本以要求特殊物件，使得JavaScript在預設情況下都是安全的。而內容安全政策則是讓開發者可以在頁面上的<script>包含攻擊者未知的秘密數值，因此當攻擊者注入部分頁面，瀏覽器也會拒絕執行不具有正確秘密數值的腳本。</p> <p><strong>增加網頁隔離性</strong></p> <p>Chrome與Firefox瀏覽器也實作了，可增加網頁應用程式隔離性的機制。Google提到，攻擊者的網站能夠利用網頁漏洞，強制與其他網頁應用程式進行互動，為了賦予應用程式限制這類行為的能力，HTTP請求現在能夠夾帶擷取元資料標頭（Fetch Metadata Headers），提供應用程式可信資訊，透過檢查這些可信資訊，應用程式可以拒絕不受信任的請求。</p> <p>另外，因為在預設情況下，網頁能夠與另一個網頁應用程式的瀏覽視窗互動，也就是說任何網站都可以開啟網頁電子郵件客戶端，並且使用postMessage API寄送訊息，或是導向其他URL等操作，而這將使得使用者資訊洩露，現在Chrome 83和Firefox 79部署了COOP技術，讓開發者能夠使應用程式阻擋這類互動操作。</p> </div></div></div>
2020/7/23 16:45作者李建興https://www.ithome.com.tw/news/138989
微軟SharePoint漏洞的詳細解析現身了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ithome.com.tw/news/138845" target="_blank">微軟在7月的Patch Tuesday</a>修補了123個安全漏洞，當時最受矚目的是一個藏匿在<a href="https://www.ithome.com.tw/news/138831" target="_blank">Windows Sever DNS元件的CVE-2020-1350</a>漏洞，然而，一名漏洞賞金獵人<a href="https://srcincite.io/blog/2020/07/20/sharepoint-and-pwn-remote-code-execution-against-sharepoint-server-abusing-dataset.html" target="_blank">Steven Seeley本周揭露了另一個安全漏洞CVE-2020-1147的細節</a>，並說他同意微軟所設定的1開採指數，呼籲使用者應儘速修補。</p> <p>CVE-2020-1147為一同時存在於.NET Framework、SharePoint與Visual Studio上的安全漏洞，當軟體無法檢查所輸入XML檔案的來源標記就會出現漏洞。根據微軟的說明，駭客只要上傳一個特製的文件到利用上述軟體來處理內容的伺服器上，就能觸發該漏洞，並執行任意程式。</p> <p>更準確地說，CVE-2020-1147漏洞出現在.NET元件用來管理資料集的 DataSet與DataTable 類型中，且微軟認為它的開採指數為1，代表很可能會被開採。微軟所認定的開採指數從0到4，0表示已被開採，1表示很可能被開採，2表示被開採的可能性不高，3則是不太可能被開採。</p> <p>而Seeley則因對這個漏洞非常感興趣，因而研究並揭露了它的細節，雖然Seeley並沒有提供完整的概念性驗證攻擊程式，但鉅細靡遺的資訊讓打造攻擊程式更為方便。</p> <p>Seeley表示，他認同微軟把CVE-2020-1147列為1開採指數，呼籲使用者應該立即修補它；<a href="https://twitter.com/benhawkes/status/1285356121910214658" target="_blank">Google Project Zero安全專家Ben Hawkes則說</a>，CVE-2020-1147比CVE-2020-1350漏洞更為緊急，因為從經驗上來說，比起記憶體毀損漏洞（CVE-2020-1350），反序列化的遠端程式執行漏洞（CVE-2020-1147）更容易看到惡意的開採程式。威脅情報分析師 Kevin Beaumont也附和，如果企業的SharePoint面向網路，那麼一定要修補CVE-2020-1147。</p> <p>針對CVE-2020-1147的完整修補需要安裝.NET Framework更新，以及其它受到波及的軟體更新。</p> </div></div></div>
2020/7/23 15:25作者陳曉莉https://www.ithome.com.tw/news/138987
以色列水利系統接連遭到網路攻擊，駭客竟是針對農業水泵和氯控制器下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有關水利關鍵基礎設施的網路攻擊事件，過往許多駭客是針對水庫和發電廠，造成相關的服務中斷，但現在駭客也可能朝較不起眼的設施著手，來擾亂運作。根據ZDNet<a href="https://www.zdnet.com/article/two-more-cyber-attacks-hit-israels-water-system/">引述</a>以色列當地媒體<a href="https://www.ynet.co.il/article/rJrCqmAkw">Ynet報導</a>，該國農用水泵在今年6月，遭受2起網路攻擊事件，而這些事件的真實性，也得到當地主管機關水務局的證實。</p> <p>針對攻擊事件發生的地點，Ynet進一步指出，其中一起是針對農業用水，襲擊加利利河上游的水泵，另一起攻擊則是針對該國中部省份馬哈尼耶胡達（Mahane Yehuda）。隨後，以色列水務局發表一份聲明證實此事，表示這些攻擊事件，都是鎖定農業部門的小型排水設施，目前已經由當地負責單位維修完成，沒有造成實質的危害。至於這些遭到攻擊的單位是公有還是民營？設備究竟是採用何種廠牌的工業控制系統，或是自行打造，水務局並沒有進一步說明。</p> <p>事實上，以色列的水利系統已經不是首度出現網路攻擊事件。因為，今年4月就<a href="https://www.zdnet.com/article/israel-says-hackers-are-targeting-its-water-supply-and-treatment-utilities/">傳出</a>當地的水處理系統遭到駭客滲透，水裡添加氯的濃度差點被動了手腳。而對於這次事件的攻擊情形，ZDNet看到《金融時報》<a href="https://www.ft.com/content/3ea57426-40e2-42da-9e2c-97b0e39dd967">揭露</a>的內容，當中提及西方國家情資來源研判，駭客當時滲透到部分以色列水處理系統，企圖改變水裡氯的濃度，但相關行為被偵到到並加以阻止，而沒有得逞。假如駭客得手，很有可能導致飲用的居民慢性中毒，甚至是影響當地醫院的醫療。</p> <p>ZDNet說，經過4月發生的事件後，以色列國家網路安全局（Israel National Cyber Directorate，INCD）協同水務局，對水處理設施發出警告，要求緊急更換連網設備的密碼，尤其是當中的氯含量控制裝置，更需要重新檢視它們的密碼設定。</p> <p>從這些攻擊事件裡，可以發現駭客鎖定的目標都不太顯眼，但要是一時不察，影響可能非常長遠。像是飲用水的氯超量，造成的問題恐怕是好幾年後才會顯現，而農業用水的水泵，也有可能影響農作物灌溉，進而左右收成，波及當地的糧食供應。</p> <h2><strong>以色列與伊朗之間不只是軍事衝突升溫，關鍵基礎設施的網路攻擊也有所增加</strong></h2> <p>而上述4月與6月的攻擊事件，究竟背後的主使者為何，目前並不明朗，不過，ZDNet認為應該是伊朗所為。因為，ZDNet發現《華盛頓郵報》的<a href="https://www.washingtonpost.com/national-security/intelligence-officials-say-attempted-cyberattack-on-israeli-water-utilities-linked-to-iran/2020/05/08/f9ab0d78-9157-11ea-9e23-6914ee410a5f_story.html">報導</a>裡，提到一名外國情報官員的說法，表示這些網路攻擊都與伊朗有關。</p> <p>這名外國情報官員說，在5月中旬發生的<a href="https://www.zdnet.com/article/iran-reports-failed-cyber-attack-on-strait-of-hormuz-port/">網路攻擊</a>，使得位於伊朗阿巴斯港市（Bandar Abbas）的沙希德拉賈伊港（Shahid Rajaei）癱瘓，此起事件應該是以色列報復4月的攻擊事件所為。因此，這名情報官員認為，6月攻擊事件，應該是伊朗針對港口遭到癱瘓所發動的網路攻擊。</p> <p>不只以色列近期出現相關網路攻擊事件，伊朗這2到3個月發生的意外事故，也傳出與關鍵基礎設施遭受網路攻擊有關。例如，在<a href="https://www.ithome.com.tw/news/138610">6月底到7月初</a>，先是伊朗首都德黑蘭東南方的帕爾欽軍事基地，因天然氣槽外洩發生爆炸，接著該國納坦茲的一座戒備森嚴的地下鈾濃縮設施裡，與核武生產有關的工廠建物發生爆炸事件，外傳這些與美國和以色列聯手發動的網路攻擊有關。究竟以色列和伊朗是誰先動手？顯然有待進一步釐清。</p> </div></div></div>
2020/7/23 15:56作者周峻佑https://www.ithome.com.tw/news/138971
蘋果請專家來證明App Store作法並未妨礙競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國眾議院司法委員會（House Judiciary Committee）下周將要求蘋果、Amazon、Google及臉書的高層參與聽證會，主要是為了檢視這些美國高科技業者是否妨礙市場競爭。而同時在歐洲及美國遭到壟斷調查的蘋果，繼日前透過第三方研究機構Analysis Group公布了App Store生態體系規模，以解釋蘋果所創造的生態體系大過於蘋果從中的獲利之外，本周再度揭露了<a href="https://www.analysisgroup.com/globalassets/insights/publishing/apples_app_store_and_other_digital_marketplaces_a_comparison_of_commission_rates.pdf" target="_blank">App Store與其它程式市集或數位市集的差異</a>，企圖彰顯其實所有的市集所收取的費用都大同小異，幾乎都低於或至少等同於實體商店所收取的費用。</p> <p>Analysis Group的調查對象涵蓋了行動程式市集，從App Store、Google Play、Amazon Appstore、Galaxy Store到Microsoft Store，還有包括Xbox、PlayStation、Nintendo、Steam與Epic Games的遊戲市集，以及專門散布影片、電子書、有聲書、播客的數位內容市集，以及提供零售、旅遊、共乘、食物外送及票務等服務的電子商務市集，可說是納入了所有向開發者／創作者收取上架及拆帳費用的所有平臺，再將它們與實體賣場進行比較，指出其實這些數位市集所拆分的利潤，並未高於傳統的實體賣場。</p> <p>在行動程式市集中，不管是App Store、Google Play、Amazon Appstore、Samsung Galaxy Store或Microsoft Store，向付費程式或訂閱服務所收取的拆帳比例皆為30%，App Store與Google Play都在用戶訂閱一年後，將拆帳比例下調到15%，Amazon Appstore影音串流訂閱服務則只收取20%的分潤。</p> <p>在遊戲市集中，Xbox、PlayStation與Nintendo針對付費遊戲的拆帳比例為30%，Steam則根據遊戲的銷售規模而有20%到30%不等的拆帳比例，Epic Games的拆帳比例為12%。</p> <p>在影音平臺上，YouTube向嵌入廣告的影片作者收取45%的廣告分潤；若在Amazon平臺上提供影片的購買或租賃，Amazon則收取50%的分潤；而Roku則是在消費者購買影片時取得20%的分潤，若是基於廣告的影片則是收取30%的廣告分潤。</p> <p>包括Kindle、Nook、Kobo等電子書平臺，向出版商收取的分潤則介於30~35%之間；Amazon對有聲書的分潤高達60~75%，Kobo則是55~68%；Spotify旗下的Anchor對播客內容收取30%的廣告分潤，若是聽眾的打賞則是收取9.5%。</p> <p>像是Amazon、Walmart、eBay與Etsy等電子商務平臺，通常向賣家收取5~20%的商品售價，旅遊平臺的手續費則介於14~20%之間，共乘平臺的手續費介於20~25%，食物外送平臺通常收取30%的費用，售票系統則是拆分30~37%。</p> <p>在上述的各種數位平臺尚未興起前，消費者主要仰賴實體商店購買各種產品及服務，不管是程式、遊戲或書籍，Analysis Group的分析指出，在遊戲上，開發者及出版商通常只獲得遊戲售價的45%，其它都流向了經銷商及賣場。在軟體銷售上，開發者則只取得銷售價格的30~40%。在書籍上，Amazon在紙本書上的拆帳與傳統書局差不多，介於40%到60%之間，而Kindle及Barnes & Noble對於電子書的拆帳比例為30~35%，高於包括Apple App Store在內的其它數位市集。</p> <p>這份研究報告看起來不只可幫蘋果解套，還能幫其它的線上市集解套，不過，目前並不確定歐洲或美國的反壟斷機構，會從哪些角度看待相關業者的商業模式。</p> </div></div></div>
2020/7/23 14:35作者陳曉莉https://www.ithome.com.tw/news/138985
【推特遭駭事件最新調查進度】官方證實駭客存取了36名用戶的推特私訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特今（23）日針對上周的攻擊事件<a href="https://twitter.com/TwitterSupport/status/1286088135525318656" target="_blank">公布最新調查</a>，顯示有36人的推特私訊（direct message, DM）遭到駭客存取。</p> <p><a href="https://www.ithome.com.tw/news/138849" target="_blank">上周攻擊</a>導致大批名人及加密貨幣交易平台的推特帳號遭非法登入，並用來發送詐騙訊息，向被害帳號的追隨者詐騙比特幣。推特相信，攻擊者已存取高達36人的私訊信箱，包括一名荷蘭的民選官員。</p> <p>推特說已經直接聯繫受影響的用戶，也會再告知新的調查發展。不過推特強調沒有其他前任或現任官員DM被存取。</p> <p>推特調查顯示，這起攻擊是該公司內部管理工具遭駭客入侵後，接管了特定帳號並發送假訊息，有45人密碼被變更並用來發送假訊息，包括比爾蓋茲、馬斯克、歐巴馬及民主黨總統候選人拜登（Joe Biden）。今天公布的36人是駭客鎖定的130人的一部份。不過被存取私訊的36人，和45名被接管帳號的用戶是否重疊則不得而知。</p> <p>此外還有8人帳戶下「你的推特資料」檔案遭駭客下載，但推特說並不包括認證帳號（Verified account）。</p> <p>本案是否涉及外國干預總統大選或其他陰謀，<a href="https://www.ithome.com.tw/news/138889" target="_blank">FBI和紐約市已經於上周著手調查</a>。</p> </div></div></div>
2020/7/23 15:00作者林妍溱https://www.ithome.com.tw/news/138986
AI趨勢周報第138期：DeepMind新方法可自動產生強化學習演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0717～0723)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 強化學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 演算法生成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind設計新方法，來自動產生強化學習演算法</strong></span></p> <p>DeepMind近日在一篇論文中，揭露自行設計的後設學習（Meta learning）新方法，透過與環境互動，來產出更合適的強化學習演算法。團隊指出，強化學習能更新AI代理人（Agent）的參數，讓代理人表現更好，但這種更新通常得根據好幾年的研究，以人工方式從多種規則中，找出最佳規則。</p> <p>DeepMind認為，自動從數據中找出新規則，能產出更有效率的演算法，或是更貼近特定環境。雖然已有相關研究來探討自動找規則，但仍無法解決一個問題，也就是找出強化學習基本概念的替代方法，比如價值函數或時間差分學習（TD Learning）。於是，DeepMind設計一套後設學習方法，藉著與環境互動來找出更新的規則，包括代理人該預測什麼（即價值函數）及如何從中學習（也就是自助抽樣法Bootstrap）。該方法的產出值就是一套強化學習演算法，DeepMind稱之為習得策略梯度（LPG）。後來，DeepMind用簡單的玩具環境來訓練LPG，結果發現訓練出的演算法，能泛化應用到複雜的Atari遊戲，並達到非平凡（Non trivial）表現。DeeepMind認為，這個新方法有潛力從數據中，自動產生通用的強化學習演算法。<a href="https://arxiv.org/pdf/2007.08794.pdf">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料保護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>瞄準零售資料保護需求，微軟更新AI防詐欺應用程式</strong></span></p> <p>微軟在今年開發者大會中宣布更新Dynamics 365 Fraud Prevention防詐欺應用程式，並提供預覽版給用戶。微軟在今年5月推出防詐欺應用程式，專門鎖定零售業者，要來解決使用者帳號建立和管理問題，防止使用者惡意建立假帳號，趁交易時獲取機密資料。這次更新可分為兩部分，首先是帳戶防護（Account Protection）功能，可追蹤異常的帳戶活動、偵測假帳戶，也能讓零售商自定義評估細節，比如名稱、API路徑，以及特定事件的有效負載。再來是損失預防（Loss Prevention）功能，可根據全通路的購買紀錄，利用AI來偵測惡意退貨或不合理折扣等異常模式，讓零售商以此來降低損失。<a href="https://docs.microsoft.com/en-us/dynamics365/fraud-protection/overview">（詳全文）</a></p> <p><img alt="" class="media-image img__fid__59648 img__view_mode__media_large attr__format__media_large" src="https://dynamics365cdn.azureedge.net/cvt-03cd5aefc20fc966ab517d4ac6e4cd2f9ab750fe4689a7f731c553b3d91a8f60/pictures/pages/ai/fraud-protection/try-panel.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 皮克斯 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超高解析度 </span></strong></span></p> <p><span style="font-size:22px;"><strong>皮克斯用GAN來產生超高解析度電影畫面</strong></span></p> <p>知名動畫電影公司皮克斯（Pixar）技術總監Vaibhav Vavilala日前揭露如何以對抗生成網路（GAN），來解決動畫影視業常面對的高畫質問題。他指出，為打造更好的視覺體驗，皮克斯常需渲染超高解析度（如2K或4K）的動畫。但這個做法耗時又耗成本，因為，光是渲染1幀2K超高解析度的畫面，就耗費50個GPU小時，對90分鐘的電影來說，團隊每秒需渲染24幀，如果是4K解析度，成本和時間就加倍了。</p> <p>為解決問題，Vavilala決定先讓動畫團隊以較低的解析度來製作電影，再透過ML系統來提高解析度。不過，要教ML系統正確填入光影和顏色並不容易，所以Vavilala決定用善於生成的GAN。於是，他先設置了PyTorch開發環境，然後用皮克斯近期電影中，高、低解析度的影像來訓練模型。他指出，後來，製作團隊用這套系統，來把1K的畫面提高至2K品質，可以降低自家算圖農場5成至7成的處理成本。<a href="https://graphics.pixar.com/library/SuperResolution/paper.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI超級電腦</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 佛羅里達大學 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia聯手佛羅里達大學，要打造學術界最快AI超級電腦</strong></span></p> <p>Nvidia近日聯手佛羅里達大學（UF），宣布要一起開發學術界最快的AI超級電腦計畫。進一步來說，Nvidia將以超級電腦DGX SuperPOD架構，來強化UF現有的超級電腦HiPerGator，效能將達700 Petaflops，預計明年正式上線。</p> <p>UF指出，這套優化過的超級電腦，可為師生提供更好的AI運算工具，來幫助跨領域的研究如人口老化、個人化醫療、都市交通和食物安全等。<a href="https://blogs.nvidia.com/blog/2020/07/21/university-of-florida-nvidia-ai-supercomputer/">（詳全文）</a></p> <div class="media_embed" height="546px" width="1180px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="546px" src="https://www.youtube.com/embed/l87_dbz2VE8" width="1180px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 手術排程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中國附醫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>預計年底上線！中國附醫要靠ML精準預測422種手術時間</strong></span></p> <p>中國附醫開發一套手術排程模型，可根據病患狀況，來準確預測手術所需的時間，目前已可預測25個科別、共422種手術的時間。這套模型能讓醫院能掌握手術室使用時間、提高利用率。中國附醫預計在今年底，將這套模型實際用於臨床手術排程。</p> <p>為訓練模型，團隊收集了中國附醫2017年至2019年、共17萬筆EMR資料，也從70種參數中，選出重要的24種。接著，團隊用清洗過的11萬筆資料來訓練模型，再利用今年3、4月收集的7千多筆資料，來測試模型。團隊發現，XGBoost表現最好，其R2決定係數值可達0.85，已達臨床可用的程度。現在，團隊正將這套模型打造成一套手術排程系統，要在今年底前，實際應用於中國附醫的臨床手術排程。<a href="https://www.medrxiv.org/content/10.1101/2020.06.10.20127910v1?fbclid=IwAR1Q5R0Cm6icfqZ3BSo9D1q883HTD7aL-cTY7TSkniE2RUorYvQTKFpD17o">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96(23).JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Cloud 護理工作 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療語音平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 恩主公醫院 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聽懂中英夾雜和專業術語，恩主公醫院醫療語音平臺95%準確率上線</strong></span></p> <p>恩主公醫院日前揭露一款臨床醫療語音平臺，歷經兩年開發，不僅能聽懂護理專業術語，還能辨識中英夾雜語句。這款平臺搭配小型耳機和麥克風，護理師可以口說方式，來記錄護理工作內容、調閱資料，不必像過去，照護完患者後，還要回到護理站花2個小時輸入護理紀錄。</p> <p>這套系統由恩主公醫院和緯創科技共同打造，為訓練語音辨識系統，緯創收集了2萬多條詞彙，接著與恩主公醫院設計了1,000個句子，由醫院8位護理人員來唸這些句子，再將這些語音用來訓練系統。完成後，這個平臺部署到醫院系統，讓護理人員直接在病床旁邊打開護理車上的系統，透過語音指令選擇要輸入的欄位，再說出照護資訊，系統就能自動輸入到欄位中。<a href="https://www.ithome.com.tw/news/138931?fbclid=IwAR2sPlDvpMIuvUuZNY-KecWhgsAVzxvFyzufFgnvgZljWVM-gyi5A2bOvTc">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9056%20(1)(1).jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 低階基礎設施 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copliot </span></strong></span></p> <p><span style="font-size:22px;"><strong>不需手動管理低階基礎設施！AWS推出命令列工具Copilot </strong></span></p> <p>AWS釋出新的ECS命令列工具AWS Copilot，用戶不再需要手動管理低階的基礎設施，就能在ECS上部署應用程式。AWS指出，要建立雲端應用程式架構，需考慮許多元件，比如VPC子網路、負載平衡器、部署工作流程和應用程式的永久儲存等。</p> <p>而Copilot可處理這些細節，使用者只需提供Dockerfile，再加上幾個指令，Copilot就能在AWS上建立、啟動容器，並配置負載平衡器，甚至能建立CI/CD工作流程，當開發者將新的程式碼提交到儲存庫時，自動重新部署應用程式新版本。<a href="https://aws.amazon.com/tw/blogs/containers/introducing-aws-copilot/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/fe2ef495a1152561572949784c16bf23abb28057/2020/06/24/copilot-help.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">3D姿勢 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 運動員 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紐約時報 </span></strong></span></p> <p><span style="font-size:22px;"><strong>用AI捕捉運動員3D姿勢，賽事報導更精準</strong></span></p> <p>為改善體育賽事的報導方式，紐約時報用AI開發一套3D姿勢量測模型，從連拍相片中計算出體操選手的3D骨架，擷取肉眼容易漏看的姿勢細節，讓記者有更完整的資料，來報導運動員表現。</p> <p>進一步來說，在比賽現場，紐約時報攝影師會從多個角度拍攝運動員，並用機器學習算出每個影格中的運動員2D姿勢，再以相機參數和三角化演算法，從2D姿勢回推3D姿勢，系統可從3D姿勢序列計算出旋轉速度、跳躍高度等評分指標。<a href="https://rd.nytimes.com/projects/estimating-3d-poses-of-athletes-at-live-sporting-events">（詳全文）</a></p> <p><img alt="" src="https://rd.nytimes.com/static/fe7a9c4323794c8b89181e6e8ed6040f/d5b8e/cf58d489-5c10-4eb9-86a3-9c91a953b31f_6-inline6-BurstvsNonburst-2.webp" /></p> <p>攝影／王若樸</p> <p>圖片來源／中國附醫、微軟、Nvidia、AWS、紐約時報</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 緯創集團攜手微軟成立創新產品辦公室，兩年將投五千萬元研發AI新產品</strong></p> <p><strong>2. Google發布電商推薦工具公開預覽版</strong></p> <p><strong>3. Roomality使用AI打造出人工窗景</strong></p> <p><strong>4. Amazon推出深度學習語音模組Alexa Conversations公測版，開發所需的程式碼更少了！</strong></p> <p>資料來源：iThome整理，2020年7月</p> </div></div></div>
2020/7/23 13:09作者王若樸https://www.ithome.com.tw/news/138982
微軟財報出爐：整體營收成長13%，Azure成長幅度首度低於50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2020-Q4/press-release-webcast" target="_blank">微軟在7月22日公布了截至今年6月底的2020財年第四季財報</a>，顯示該季微軟創下380億美元的營收，成長13%，淨利為112億美元，下滑15%。外界關注的是，Azure雲端服務雖然持續成長，但該季營收只成長了47%，成長率首度低於50%，也相信這是微軟當天盤後股價下挫2%的原因。</p> <p>從不同的部門來看，微軟生產力與業務流程（Productivity and Business Processes）營收為118億美元，成長6%；智慧雲端（Intelligent Cloud）為134億美元，成長17%；更多個人運算（More Personal Computing）占了129億美元，成長14%。</p> <p>另外，微軟此次並未公布包含Azure、Office 365、Dynamics 365與Enterprise Mobility + Security Suite（EMS）在內的商業雲端營收，僅說該類別成長12%，且其整年度的營收首度超越500億美元。上一季微軟的商業雲端營收成長幅度為39%。</p> <p>若觀察個別的微軟產品或服務，則可看到因疫情而產生的效應，例如該季營收成長最快的不再是Azure，而是Xbox的內容及服務，大幅成長了65%，Azure以47%居次，Dynamics 365成長了38%，Surface亦成長28%。</p> <p>在上一季的時候，Xbox內容及服務與Surface分別只有2%與1%的成長率，透露出居家防疫讓遊戲及個人裝置等市場快速增溫。</p> </div></div></div>
2020/7/23 13:15作者陳曉莉https://www.ithome.com.tw/news/138983
微軟推出第2代超融合基礎架構方案Azure Stack HCI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周微軟在合作夥伴大會Inspire上，<a href="https://azure.microsoft.com/en-us/blog/deliver-hybrid-cloud-capabilities-with-the-next-generation-of-azure-stack-hci/" target="_blank">公布了第二代超融合基礎架構解決方案AzureStack HCI</a>（Hyperconverged Infrastructure），除了讓企業可在本地資料中心上執行虛擬應用，也強調整合支援混合雲管理功能。</p> <p><a href="https://www.ithome.com.tw/news/129629" target="_blank">微軟於去年3月宣布Azure Stack HCI</a>，是該公司第二個超融合架構方案（第一個是Azure Stack Hub）。Azure Stack HCI關鍵是Hyper-V及Windows Server 2019軟體定義資料中心（SDDC）、儲存空間直接存取等，允許企業以相容的Windows 伺服器在自家資料中心建立超融合架構，以部署執行虛擬機器，並可連結到Azure服務。企業IT則以Windows Admin Center提供備份、網站復原及Azure效能監控、安全更新等功能來管理Azure服務及Azure Stack HCI。</p> <p>微軟指出，新的Azure Stack HCI是一種Azure服務。它的底層不只是單純的Windows Server，而是原生整合Azure混合雲管理功能（包括備份、安全中心及Azure Monitor），是專為跑HCI而設計的新種主機OS。這讓企業可以直接從Azure入口網站管理Azure Stack HCI環境及Azure雲服務，像是管理多個叢集、VM、或利用新的部署精靈快速設立Azure Stack HCI，並連到Azure。管理作業可以利用Windows PowerShell框架撰寫指令。</p> <p>微軟表示，Azure Stack HCI v2提供每核心計算的訂閱，允許企業建立小型環境，像是遠端辦公室或分公司，例如訂閱8核心伺服器或16以下的VM，強調初期成本比市場上其他HCI服務小2.5倍。</p> <p>此外，新版Azure Stack HCI還針對上面跑的Server 2008 VM，免費提供延伸安全更新（Extended Security Updates，ESU）。</p> <p>目前微軟正和硬體業者合作以認證可執行Azure Stack HCI的硬體，包括聯想及英特爾。微軟也說Azure Stack HCI也可跑在現有硬體上，只要相容微軟驗證的節點產品。</p> <p><a href="https://www.zdnet.com/article/microsoft-releases-the-next-generation-of-its-azure-stack-hci-service/" target="_blank">ZDNet報導</a>，新的Azure Stack HCI v2和Azure Stack HCI安裝的並非相同軟體，這表示既有客戶必須重新安裝。</p> <p>第2代Azure Stack HCI 已在本周釋出公開預覽版，但微軟未說明正式版何時推出。</p> </div></div></div>
2020/7/23 13:30作者林妍溱https://www.ithome.com.tw/news/138984
Roomality使用AI打造出人工窗景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>沈浸式服務廠商<a href="https://roomality.com/">Roomality</a>開發了一種能讓觀看者身歷其境的3D系統，不需要頭戴裝置與眼鏡，便能夠以觀看者的視角渲染出3D場景，而這個系統被用來開發出，可變化豐富窗外景色的虛擬窗戶。</p> <p>這個3D系統的運作原理，是利用安裝在螢幕上方的兩個攝影機，結合人工智慧系統，追蹤觀看者眼睛的位置，依據觀看者的行動動態調整顯示器的內容。Roomality提到，這項計畫有3個階段，目前已經完成第一個階段，便是追蹤用戶的眼睛，在螢幕上顯示相對應的畫面。官方釋出的影片，展示了結合虛幻引擎的虛擬窗戶系統，這個系統能夠顯示海灘、森林和田野等景觀，而窗外的景色，會根據使用者的位置微調視野。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/PJcdyE606rI" width="560px"></iframe></div> <p>Roomality第二階段的計畫，則是要將畫面投影至整面牆壁上，而這將可以製造出大片落地窗與陽台的景色，而最終階段，他們要將景色投影至房間的所有牆面上，讓觀看者能夠完全沉浸在投影的環境中，並且能夠在房間中走動，隨意的在虛擬環境中瀏覽。</p> <p>這項系統可用在許多情境中，除了可以透過虛擬環境，讓觀看者依照心情造訪不同地景之外，官方提到，未來建築師也可以在不改變房間裝潢的情況下，利用投影改變房間的照明和布置，而且還能將室內空間打造成攝影棚，透過投影虛擬環境，在室內空間模擬電影場景，簡化部分電影畫面的拍攝工作。</p> </div></div></div>
2020/7/23 12:05作者李建興https://www.ithome.com.tw/news/138972
Slack向歐盟控告微軟Teams搭售Office阻撓競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協同平臺Slack昨（22）日<a href="https://investor.slackhq.com/news/news-details/2020/Slack-Files-EU-Competition-Complaint-Against-Microsoft/default.aspx" target="_blank">在歐盟對微軟提出壟斷訴訟</a>，指控微軟它濫用Office的市占優勢搭售Teams服務，以排擠競爭產品，妨礙用戶的選擇權益。</p> <p>Slack指控微軟非法將Teams整合到市場獨大的Office中，迫使數百萬用戶安裝，且阻撓移除，還對企業用戶隱藏真正的成本。</p> <p>Slack通訊暨政策部門副總裁Jonathan Prince指出，Slack威脅了微軟在商務電子郵件，即Office的核心的掌控地位，意謂他們也危及微軟對企業軟體的把持。他說，Slack提供開放、彈性的特性打破微軟整個軟體堆疊的銷售策略，Slack只需要企業用戶2%的軟體預算，微軟卻要100%。</p> <p>該公司法務長試圖喚起微軟在瀏覽器市場拉抬IE的手法指出，這家軟體巨人又用起過去的技倆，打造了一個模仿的次級品，將之和獨大的Office產品搭售，強迫安裝且阻止用戶移除，是過去瀏覽器戰爭非法行為的翻版。Slack要求歐盟對微軟儘速採取行動以防止它再非法利用其市場優勢，不斷在不同市場推行產品搭售或綁定的策略。</p> <p>微軟回應指出，Microsoft Teams整合了協同及影像通訊的能力，因為企業就需要這樣的產品。在COVID-19疫情期間，市場擁抱Teams締造創紀錄的用戶數，但Slack則苦於缺乏視訊會議的功能。微軟不但提供企業客戶最好的產品，也提供購買及使用產品的多樣化選擇。微軟表示很期待提供歐盟更多資訊，回覆他們任何問題。</p> <p>Slack很早就透露來自微軟的強大壓力。<a href="https://www.theverge.com/2020/5/26/21270421/slack-ceo-stewart-butterfield-microsoft-teams-competition" target="_blank">該公司執行長Steward Butterfield曾經對媒體指出</a>微軟可能病態地充滿要殺死Slack的念頭，而Teams正是這個工具。他說，要是電子郵件對企業變得不重要，那微軟一年營收高達350、400億美元的協同生產力業務部門就危險了。</p> <p>武漢肺炎迫使企業員工在家上班，也帶動了對協同、視訊產品的需求和用量。<a href="https://www.ithome.com.tw/news/137328" target="_blank">根據微軟4月底的數據</a>，Teams的單日用戶數已達到7,500萬人，較前一個月成長70%。Slack則在去年10月公布其每日用戶數為1,200萬，不過之後皆未再更新數據。</p> <p>歐盟接下來將對提告進行評估，決定是否對微軟啟動正式調查。</p> </div></div></div>
2020/7/23 12:35作者林妍溱https://www.ithome.com.tw/news/138979
Prometei 殭屍網路病毒利用Windows SMB漏洞植入挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.cisco.com/security/talos/prometei-botnet-and-its-quest-for-monero" target="_blank">思科旗下安全研究部門Talos近日發現一波攻擊行動</a>，駭客利用多種能力的殭屍網路病毒感染Windows電腦並植入挖礦軟體。</p> <p>研究人員指出，這隻名為Prometei的殭屍網路病毒從今年3月開始流行，但6月才第一次被發現並分析。駭客使用多種方法來散布這隻病毒，像是竊來的SMB帳號密碼、SMB漏洞如SMBGhost、WMI（Windows Management Instrumentation）及PsExec漏洞等進入Windows 系統，此外也使用多種工具，像是EternalBlue來擴大感染範圍。</p> <p>研究人員分析Prometei一共具備超過15種可執行模組，全部都由主要模組下載並控制。一旦進入受害者電腦後，主要模組會產生RAT（remote access trojan）的功能，持續和外部C&C伺服器建立HTTP連線，並以修改過的Mimikatz模組在受害電腦內搜尋管理者密碼。它蒐集到的密碼一方面經由RC4加密連線傳送到C&C伺服器，另一方面分享給其他模組，由後者經由SMB和RDP協定驗證密碼是否可用於其他系統，以便進行橫向散布。</p> <p>但主要模組最主要目的是在受害電腦中植入挖礦軟體，以賺取Monero幣。此外，由於它也會蒐集比特幣電子錢包帳密，因此它可能也竊取比特幣。研究人員指出，這隻病毒使用的手法相當隱密，令受害者很難察覺，也是它3月後才現形的主因。</p> <p>由連線的地點來看，受害者已遍及美國、土耳其、巴基斯坦、中國、中南美等國。雖然執法人員已在6月初查獲一臺伺服器，但研究人員研判這個殭屍網路仍然活躍，其後的駭客為單一組織，可能位於東歐。</p> </div></div></div>
2020/7/23 12:45作者林妍溱https://www.ithome.com.tw/news/138981
Puppet Enterprise釋出2019.8版本，強化自動調度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌自動化組態管理工具廠商Puppet，發布最新的<a href="https://puppet.com/blog/puppet-enterprise-new-release-offers-powerful-orchestration-and-more/">Puppet Enterprise版本更新2019.8</a>，這個版本的重點在於讓DevOps團隊，能夠在Puppet控制臺中建置自動化工作流程，除了可以混用Puppet Forge儲存庫中的模組，以組成和調度工作流程之外，Puppet提供新的開箱即用作業系統修復自動化功能，取代獨立的修補程式管理工具。</p> <p>Puppet在前幾個版本加入了計畫（Plans）功能，讓用戶能以程式邏輯，調度不同的任務與工作流程，這個功能可讓使用者以重複且可擴展的方式，跨基礎設施執行多步驟變更，而在最新的Puppet Enterprise中，Puppet強化了這個功能，讓使用者也能在計畫功能中，使用Puppet Forge中的共享內容。</p> <p>Puppet Forge是一個開源的模組儲存庫，上面存在為數龐大的模組，用戶能夠利用這些模組自動化操作基礎設施，而現在開發者在Puppet Enterprise控制臺，可以將這些Puppet Forge的共享內容，用在調度流程中，調度複雜的任務和計畫，甚至是部署應用程式。</p> <p>使用者不需要在計畫中，重寫一遍在Puppet程式碼已經有的內容，只要在既存的計畫中，進行參照就可以了，官方舉例，當使用者要準備發布應用程式的基礎設施，需要執行配置負載平衡器、使用VMware配置節點，還有設定Apache伺服器等工作，使用者都能夠直接參照模組來完成這些重複性工作。</p> <p>在Puppet Enterprise 2019.8中，官方預建置用於修補作業系統的自動化內容，使用者可以查看Windows和Linux節點上可用的修補程式，在實際應用修補程式後，也能夠得知修補程式，在系統上安裝成功與否，確保系統維持在正常狀態。官方提到，這個修補功能的優點在於，無論作業系統為何，使用者都能夠查看各節點的修補狀態，並且使用同一個工具部署修復程式。</p> </div></div></div>
2020/7/23 12:00作者李建興https://www.ithome.com.tw/news/138970
Fintech周報第154期：玉山銀推出行動付款通API，可讓電商介接多家金融機構行動銀行App付款服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0718</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0724</span></strong></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動付款通 </span></strong></span><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電商 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Open API </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山銀推出行動付款通API，可讓電商介接多家金融機構行動銀行App付款服務</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">後疫情時代網路購物與App消費行為日趨熱絡，玉山銀行在7月21日推出「行動付款通」服務，可一鍵呼叫多家指定金融機構行動銀行App付款的新功能，為業界首創。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">玉山銀指出，全臺的轉帳購物商機一年超過9千億元，玉山銀導入新型態的轉帳應用，網路購物與App業者只要介接玉山銀的行動付款通API，就可以在平臺直接呼叫多家指定金融機構行動銀行App的付款功能。</span><span style="font-size: 18.6667px;">消費者無需自行輸入轉帳帳號及金額，只要通過行動銀行App指紋或密碼安全認證，即可完成網購付款，將有機會提升商店的訂單成功率，以及消費者付款的效率與感受。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">玉山銀行信用卡暨支付金融事業處副總經理劉美玲表示，玉山是國內第一家在發展Open Banking上整合台灣Pay支付標準推出行動收款API的銀行，對網購和App等業者而言，僅需透過簡單的API介接，即可增加線上刷卡以外的創新收款機制，在結帳過程中可以自動開啟多家銀行業者的行動App付款，爭取行動交易商機。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">玉山銀表示，目前已有伴手禮網站、線上遊戲等業者已導入行動付款通，未來將持續與網路購物、線上娛樂、訂閱服務、外送平臺、旅遊住宿等電商平臺合作。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子表單eNote </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 無紙化 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀全臺125家分行導入電子表單eNote，預計全年超過800萬筆交易可轉為無紙化</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行近期宣布，今年7月開始在全臺125家分行全面導入「eNote」電子表單，來提供環保節能、數位無紙化的交易體驗，成業界首創。永豐銀行eNote的規畫建置歷時4年，投入超過3,000萬元建置成本，更在去年率先在成大分行及興大分行推行，今年7月更拓展到全臺各分行正式導入。</span><span style="font-size: 18.6667px;">永豐銀行表示，顧客臨櫃辦理開戶或存款、匯款等業務時，免填紙本表單，交易內容改經由eNote確認，全年預計超過800萬筆交易可轉為無紙化，每年可節省千萬元成本。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">永豐銀行表示，eNote推出之前，顧客到永豐臨櫃辦理開戶或存、匯等交易時，其實已全面採用免填單服務，資料則以口述方式傳達給行員再鍵入系統，以降低客戶填單錯誤率，但是交易內容仍需列印成紙本後，由顧客簽名確認。推出eNote後，口述交易內容將以eNote呈現，顧客在eNote上簽名確認即可。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">永豐銀行表示，應用eNote有助提升營運效能，包括對外提供交易無紙化，及減少紙本流動也讓客戶的個人資料更受保障；對內則讓審核線上化，加上電子式傳票自動化結帳，同步減少倉儲空間需求也降低運輸及印刷表單的成本。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8CeNote%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C(1).jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 單一窗口平臺 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會主委承諾將成立金融科技單一窗口平臺，整合產學Fintech跨部會法規調適建議</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會自6月中以來舉辦了3場金融科技座談會，就是要廣納金融科技業者、金融機構、生態圈促進者的意見，來規畫金融科技發展路線圖。在7月中召開的<a href="https://www.ithome.com.tw/news/138846">最後一場金融科技座談會</a>，中華電信代表就建議，是否能劃出一小塊小額支付的部分，讓非金融業者在低度管制的模式下能夠滋養成長，為金融業灌輸創新想法。此外，他也認為，科技金融不能脫離AI與大數據，但個資法對個資保護非常完整，使得各行各業無法應用，即便已完整去識別化數據，但因為沒有任何一個單位能確保這資料安全，所以企業仍然不敢用。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">對此，金管會主委黃天牧回應，金管會將建立單一窗口平臺或諮詢平臺，所有金融科技生態圈的參與者都能夠加入。他提到，雖然這牽涉到跨部會，但金管會願意承擔單一窗口的責任，整合各業別對金融科技發展的想法，或是跨業在法規調適的意見，並與其他部會溝通。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9593(1).JPG" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 街口支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 託付寶 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">街口託付寶正式上線首日委託金破億，但金管會打臉架構未審不應推出</span></strong><br /><span style="font-size: 18.6667px;">街口集團旗下託付寶服務年初因爭議廣告遭主管機關停止宣傳，最近重整旗鼓在7月20日正式上線，來提供基金委託買賣的服務，並將這項服務拆分給三家公司分段作業，街口投信、街口電子支付、街口金融科技公司三方共同合作，街口投信提供投信開戶、基金的買賣及基金操作；街口電子支付提供實名制金流服務，街口金融科技公司則負責撥付款作業。上線首日開戶數達5,000多戶，委託資金的規模達1.5億元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">然而，消息一出，金管會在7月21日大動作發出新聞稿指稱，託付寶的架構沒有經過主管機關審查，這項服務不應上線。金管會表示，先前同意街口投信所經營街口多重資產基金，新增投資人得透過電子支付帳戶申購買回基金，而該公司檢附三方作業流程及投資人操作介面的電子支付架構，並未涉及託付寶服務，與向金管會遞送的申請書件內容並不符合。金管會更呼籲民眾應注意金融商品的適法性及相關風險，以保障自身權益。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E8%A1%97%E5%8F%A3%E7%A4%BA%E6%84%8F%E5%9C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%A1%97%E5%8F%A3%E6%94%AF%E4%BB%98.JPG" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">（街口示意圖）</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融犯罪 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資誠企管顧問 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 鏈奇科技 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">資誠企管顧問公司與鏈奇科技合作，打擊金融犯罪</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">資誠企業管理顧問公司在7月中宣布技術支持鏈奇科技公司，進行數位貨幣反洗錢（AML）及KYC解決方案的開發。資誠企業管理顧問公司董事長周建宏表示，數位貨幣的匿名特性，成為有心人士洗錢等不法行為的工具。因此，資誠將技術支持鏈奇科技這家新創，為虛擬資產服務提供者與金融機構，規畫數位貨幣反洗錢控制方案，也期望能解決數位交易產生的金融犯罪問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">普華商務法律事務所合夥律師暨金融法律服務負責人梁鴻烈表示，鏈奇科技是一家AI驅動的交易分析與身分追蹤的技術公司，作法上該家新創會收集暗網非法交易數據，擁有相對完整且多面向的暗網資料，可深層追蹤數位貨幣的流向。其次是其AI預測模型，可在交易或損失發生之前偵測可疑活動，第三是跨鏈追蹤，能夠一次追蹤多個鏈，並透過私有幣解決方案，支援法幣對加密貨幣以及不同加密貨幣之間的追蹤。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣詐騙 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Twitter </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 駭客 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">大批名人推特帳號貼出比特幣詐騙訊息，竟是推特公司內部管理帳號被駭客取得</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期發生在推特平臺的大規模比特幣詐騙案中，推特（Twitter）公布進一步調查，表示有130個帳號遭駭客鎖定，近1/3帳號被接管，並有數人帳號內容已被下載。臺灣時間7月19日凌晨包括比爾蓋茲、華倫巴菲特、貝佐斯、馬斯克等大批名人推特帳號被駭客入侵，用來發送比特幣詐騙訊息，並且成功騙到價值10萬美元的比特幣，還有5萬美元的比特幣匯到別的電子錢包。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">初步調查顯示，駭客是取得了推特內部管理系統的員工帳號，藉此篡改用戶的密碼進而接管其帳號，並用來發送訊息。事發之時推特為阻止駭客篡改、接管帳號，立即封鎖所有認證（即名人）帳號發文、及重設密碼的功能，同時刪除駭客發出的貼文。由於時值美國總統大選競選活動如火如荼開跑，美國政府擔心此事可能為外國政府操控的駭客攻擊行為，目前FBI及紐約州財務單位已經展開調查。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">攝影／</span><span style="font-size: 14pt; vertical-align: top;">李靜宜</span><br /><span style="vertical-align: top; font-size: 18.6667px;">圖片來源／</span><span style="font-size: 14pt;">玉山銀行</span><span style="font-size: 18.6667px;">、</span><span style="font-size: 14pt;">永豐銀行</span><span style="font-size: 18.6667px;">、</span><span style="font-size: 14pt;">街口支付</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. 金管會金融資安行動方案將在8月初出爐</strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">2. </strong><strong style="font-size: 14pt;"><a href="https://ithome.com.tw/news/138860" style="font-size: 14pt;">面對港版國安法上路衝擊，Google Cloud執行長正式回應：GCP將繼續投資香港資料中心</a></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年7月</span></strong></p> </div></div></div>
2020/7/23 10:50作者李靜宜https://www.ithome.com.tw/news/138977
【從《傳染病防治法》學防駭】授權企業制定資安防駭準則，資安演練落地是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣因應武漢肺炎的爆發，根據2019年6月19日修正通過的《傳染病防治法》第17條規定，於1月20日正式成立「疫情指揮中心」，由衛福部部長陳時中擔任指揮官，透過中央指揮各相關部會防控疫情，比起武漢於1月23日封城措施，臺灣更早反應。</p> <p>成立「疫情指揮中心」之際，也由行政院副院長陳其邁下達防疫指示，包括：落實國際機場、小三通港埠檢疫措施；加強民眾衛教宣導；確保防疫物資整備；醫療院所管制預備規畫及演練。</p> <p>《傳染病防治法》是為了杜絕傳染病發生、傳染及蔓延而制定的法律，包括各種法定傳染病的分級，各級疫情指揮中心的開設和結束，以及因應疫情，統籌各種資源、設備並整合相關人員、國軍支援等，也在法規架構、醫療資材徵收或加強生產、邊境管制、研發快篩試劑、疫苗、資訊澄清、政府宣導、駐外使領館防疫，甚至是罰則，都依該法來賦予疫情指揮中心統一指揮的職掌。</p> <p>也因為《傳染病防治法》授權，才有一級、二級、三級指揮中心開設，也明定中央、地方政府以及防疫所需相關組織的角色職掌，可作為遵循參考方向。</p> <p><span style="font-size:28px;"><strong>仿效《傳染病防治法》授權精神，制定企業資安防駭準則</strong></span></p> <p>因為防疫有《傳染病防治法》作為各種防疫措施的法源基礎，也奠定疫情指揮中心各種防疫作為的合理性，而同樣的作為，反映到政府和企業資安防駭上，則可以有不同的展現。</p> <p>例如，作為政府和關鍵基礎設施服務提供者的相關業者，可以參考於2019年1月1日正式施行的《資通安全管理法》，作為推動國家資通安全政策，加速建構國家資通安全環境，以保障國家安全，維護社會公共利益的參考基準。</p> <p>如果將防疫作為類推到企業資安防駭，國際電腦稽核協會（ISACA）資訊風險治理諮詢小組委員楊博裕表指出，企業可以仿效《傳染病防治法》，在內部制定「企業資安政策」，或者是「資訊與網絡安全事件應變手冊」。</p> <p>此外，為了增加組織資訊與網絡安全治理韌性（恢復力），楊博裕認為，企業組織也應該超前部署，引進威脅導向（Threat Based）資訊與網絡安全管理機制，透過風險評鑑，找出對組織威脅最大的資訊與網絡威脅情境；再針對這些情境制訂應變手冊／錦囊妙計，以確保當事件發生時，相關人員可按表操課，完成停損與復原。</p> <p>KPMG顧問服務部執行副總經理謝昀澤強調，企業平常要準備資安政策、程序與SOP等制度，也可針對企業各項資訊防治工作，進行系統性的規畫與執行，特別是緊急事故發生時可參考。</p> <p>謝昀澤認為，企業也可以參考《傳染病防治法》的授權精神，作為資安防駭的參考準則。舉例而言，像是日常的風險評鑑與處理計畫，我們可以參考「預防接種」、「傳染病預防」的內容；若是資安監控中心，則參照「流行疫情監視和通報」；如果是數位鑑識程序，則可以參考「疫情調查」和「檢驗」。</p> <p>針對資安演練的規畫，可以對照「疫情演習」、「分級動員」、「訓練」；對於制定相關營運持續計畫，則與防疫藥品、器材、防護裝備之儲備的作法，有異曲同工之妙；至於制定緊急應變計畫，作法則類似疫情爆發處理，以及居家隔離民眾的步驟等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Z05_web-960-yi_wan_cheng_-xie_yun_ze_-she_ying_hong_zheng_wei_.png" style="width: 600px;" /></p> <blockquote><p>KPMG顧問服務部執行副總經理謝昀澤表示，《傳染病防治法》為政府防疫作為提供授權基礎，企業可仿效授權精神，制定企業資安政策及資安緊急應變計畫為資安防護奠基。（攝影／洪政偉）</p> </blockquote> <p><strong><span style="font-size:28px;">落實法遵之餘，更須進行演練</span></strong></p> <p>臺灣安永諮詢服務總經理張騰龍表示，政府有法律授權的時候，對於緊急動員有幫助，例如，當政府遇到重大的資安攻擊時，不管是組織所需要的軟體、硬體、離線作業需要新的設備，甚至是，盤點是否具有足夠的生產能力時，如果有法律授權相關防駭規定，就可以動用國家資源力量對抗資安攻擊。</p> <p>不管是公務機關，或者是受《資通安全管理法》規範的特定非公務機關，依法行政是必然的作為，不過，資誠智能風險管理諮詢公司執行董事張晉瑞表示，對企業而言，更大的挑戰在於，企業資安政策如何運作授權？相關的管理階控，以及二階、三階的資安管理細則，該如何制定並落實？</p> <p>在此同時，當我們已制定資安事件緊急應變計畫，一遇到突發狀況，可緊急調整計畫內容，同時也必須定期演練，才能驗證相關的計畫內容是否可落地。</p> <p>舉例而言，疫情期間有許多企業為了避免群聚感染，開始推動員工在家上班（WFH），但張晉瑞說，這是否也帶來新的資安風險呢？員工是否已妥善設定筆電，以及應用程式的安全呢？當使用家用電腦遠端登入企業系統時，是否已經落實控管包括VPN，以及RDP帳號的風險呢？而且，許多人使用家用電腦的上網行為不佳，可能會不小心點選惡意程式、具有資安威脅的網站，因此，不管是施行遠距IT或是家用IT，此時是否需要安裝代理程式控管呢？</p> <p>張晉瑞表示，從政策制定到實際演練，就是一種法規遵循的過程，如果無法合規，就應該要有後續的矯正措施。</p> <p>從國家制定的法律到企業制定的資安政策，或是資安緊急應變計畫等，楊博裕表示，每個人都必須知道，為什麼要「重視資安」這件事情。他認為，在企業資安政策，以及相關資安緊急應變計畫中的角色與職掌，只要能夠清楚定義，隨後，公司人員就是配合並落實公司的資安政策與標準，「畢竟，資安不是IT或資安部門的事情，而是全公司、每個人的事情。」他說。</p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/23 09:00作者黃彥棻https://www.ithome.com.tw/news/138878
【從「每日記者會」學防駭】讓可公開的資訊盡量透明揭露，是有效溝通之道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球疫情爆發期間，大家每天最關心的事，就是透過中央流行疫情指揮中心每日召開的記者會，瞭解今天臺灣增加了多少確診個案？是境內感染還是境外移入？</p> <p>關於每日記者會的作用，大家都有深刻感受，因為所有民眾都能透過這樣的管道獲取正確訊息，瞭解國內疫情發展，以及防疫新措施。</p> <p>在這次防疫經驗中，為什麼疫情指揮中心會受人喜歡？相信很多人都有同感，那就是資訊透明，包括疫情的資訊，以及對事件的處理。更準確一點來說，就是要讓可公開的資訊盡量能夠透明，透過這樣的溝通方式，讓大眾能夠瞭解事實並理解用意，這不僅是可以化解民眾的不安與恐懼，也能促使大家同心協力配合防疫。</p> <p>這樣的觀念，可以有效提升大眾對政府防疫工作的信心與信任，在資安防護上其實是相當值得學習之處，將能有助於上級單位掌握情形，同時也有助於外界理解與學習。</p> <p><span style="font-size:28px;"><strong>防疫資訊揭露幫助大，企業對於資安事件不該抱持隱匿態度</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD_%E6%AF%8F%E6%97%A5%E8%A8%98%E8%80%85%E6%9C%83_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 350px; height: 321px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>疫情指揮中心每日記者會召開記者會，透明的溝通態度讓全民印象深刻，衛生福利部資訊處處長龐一鳴表示，對於資安事件回應，資訊透明揭露、主動溝通，也是提高大家警覺的有效方法。（攝影／洪政偉）</strong></span></p> </td> </tr></tbody></table><p>對於這次防疫經驗上，每日召開記者會的成效，衛生福利部資訊處處長龐一鳴強調：「透明是溝通的基本態度」。</p> <p>對於政府國家的資安而言，在發生資安事件時，龐一鳴指出，很多單位常常是遇害都不願意講，這也是為何現在政府要鼓勵通報。因為，大家若是都不願意通報，這些情資也就不會知道，他人也無法學習。</p> <p>更嚴重的是，如果自己都不願意講，在這樣的態度之下，搞不好連自己該要掌握的真相，都不見得清楚。</p> <p>因此，企業內部事件處理透明很重要，上下才能齊力一心做好應變。要能讓所有組織的人都掌握情況，共同提升資集體意識，應變指揮才能更順暢。</p> <p>另一方面，對外資訊也應在資訊可公開的前提下，盡量可以透明。他舉例，對於資安事件的問題，一般都會關心是何種病毒、攻擊管道與影響範圍？雖然有些資訊的調查，可能不會那麼快出爐，不過眼前受損與影響範圍，應該是自己能夠掌握的，因此態度很重要。</p> <p>他並以自己的經驗為例，像是去年臺灣多家醫院同時遭受勒索軟體攻擊，關於遇害的醫院數量統計，對於我們每次詢問，他都會提供衛服部這邊有的資訊，儘管當時外界傳言數量更多，因為還有不少民間醫院遇害，但他也表示，衛福部本身就是將能掌握到的資訊公開，並且是可以將名單列出的。</p> <p>至於近期國內臺灣中油發生資訊系統受駭，包括中油自己與經濟部都講不清楚，或許當時面臨的資安威脅有難言之隱，但換個角度來想，對外揭露的公開資訊太少，其實外界也無從理解與包容，所幸，近年開始施行的資安通安全法，從法規面要求關鍵基礎設施必須通報，將有助於上級單位掌握情資，或是通知其他可能感染，或有被滲透風險的企業或組織。</p> <p>要推動這樣的觀念，需要大家能夠更正面去看待資安事件的發生。要知道的是，其實，過去臺灣在面對傳染病時，防疫資訊也並非如此透明，在五十多年前，龐一鳴表示，年幼孩童可能需要接種霍亂疫苗，因為臺灣有些地方真的會爆發霍亂，只是當時政府都不願意公開；此外，還有近年臺灣記錄片導演李惠仁追蹤禽流感疫情，挖掘出農委會隱瞞疫情的情況。</p> <p>過去，我們其實花了很多時間在學習這些，現在，我們的防疫態度是越來越透明，因為，讓可公開資訊盡可能透明才能獲得民眾理解，幫助達到更好的防疫成效。而我們看待資安事件的態度，應該也要有所轉變。</p> <p><span style="font-size:28px;"><strong>資料外洩要能通知使用者</strong></span></p> <p>另一個值得提醒大家的觀念是，在資安事件類型中，對於個資外洩事件，大多數的機構不會主動通知使用者，這樣的問題，近年備受各界關注。</p> <p>在國際上，個資或隱私保護越來越受重視，全球也都在制訂這方面的法規，而通報主管機關與告知當事人，以及發出資料外洩資安事件公告，就是普遍企業應該都要能夠做到的基本工作。</p> <p>不過，臺灣在這方面也應做出努力，多數企業傳出疑似資料外洩事件，有些企業似乎也未察覺事故發生，即便知道，我們也並未看到他們像國外服務業者懂得發出提醒（或許是因為國外企業知道，如不這麼做，會被罰得更重）。</p> <p>無論如何，當資料外洩的問題與企業用戶息息相關時，現在的趨勢就是開始要求，讓用戶在事件發生後，可以知道企業發生了什麼事，影響範圍，以及可以做出什麼樣的因應。</p> <p>至於企業該如何照著做？戴夫寇爾執行長兼共同創辦人翁浩正表示，美國聯邦貿易委員會（FTC）提供了一份資料外洩聲明的範本，就是要讓企業可以參考的指引，能夠清楚描述目前資安事件的情況。當中通知使用者的內容，包括資安事件事如何發生？被取得了什麼資料？說明企業或組織已經採取的處理措施，還有提供的支援與聯絡方式等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%98%B2%E7%96%AB%E8%88%87%E9%98%B2%E9%A7%AD_%E6%AF%8F%E6%97%A5%E8%A8%98%E8%80%85%E6%9C%83a.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%98%B2%E7%96%AB%E8%88%87%E9%98%B2%E9%A7%AD_%E6%AF%8F%E6%97%A5%E8%A8%98%E8%80%85%E6%9C%83b.jpg" style="width: 298px;" /></p> <blockquote><p>為了讓大眾能夠瞭解疫情事實並理解用意，在國內疫情緊張期間，中央流行疫情指揮中心在每日下午2點舉行的記者會，成為全民關注焦點，而這樣的溝通效果，也證實了透明揭露帶來更好的防疫成效。</p> </blockquote> <p><span style="font-size:28px;"><strong>提升防疫成效的兩大秘訣，就是做好溝通與分享</strong></span></p> <p>此外，每日記者會其實隱含了溝通與分享的概念，例如，記者會上會用淺顯易懂得方式，來說明專業醫學與公共衛生，大家會更有概念，資安上也可以這麼做。同時，每日記者會公布的消息，也讓疫情資訊，能夠分享給需要知道的人，而這麼做的目的，就是要讓每個人都能持續提高警覺，促使達到更好的防疫效果。</p> <p>面對更嚴峻的資安威脅態勢，政府在近年也正採取更多行動，例如，針對八大關鍵基礎設施，陸續建置資安資訊分享與分析中心（ISAC），這樣的作法，也是希望要讓情資分享更順暢，並且建構「聯防」的體系，讓需要知道相關重要資訊的單位，在資安預警或事件發生時，能很快提高警覺，以及處理與應變，大家才能一起因應。</p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/138913" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></span> 從防疫學防駭</a></span></strong></p> </div></div></div>
2020/7/23 09:00作者羅正漢https://www.ithome.com.tw/news/138880
和雲先重組IT建立自主開發力，再靠大數據打造多樣態行動租車
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月，和運租車轉投資成立的和雲行動服務（以下簡稱和雲），推出了App機車自助租賃服務，不像App租汽車以小時為單位，機車租賃更縮短到以分鐘為單位計價，甚至所有機車租借，全都採用無站點的隨租隨還模式，不只帶來經營模式改變，日益複雜的App租車服務，也成為IT維運的一大挑戰。</p> <p>身為和雲IT重組的重要舵手，和雲行動服務資訊部部長蔡爵陽，更責無旁貸，一肩扛起IT重任，要透過IT體質大改造，來為轉型成移動服務公司做好準備，以支撐未來更多樣化的服務型態。</p> <p><span style="font-size:28px;"><strong>以分鐘計價的App機車自助租賃，帶來IT維運管理新挑戰</strong></span></p> <p>以汽車租賃起家的和運租車，在2014年時，率先推出以24小時自助租車為主的iRent租車服務，讓使用者簡單透過App就能租借汽車。花了兩年測試，App正式版才終於推出，不只傳統租車常見的同站租還，後來更可以路邊隨租隨還，不再受限於定點，只要在同一個開放服務的區域中，都可以到處租還車，甚至可以跨區還車。</p> <p>在iRent自助租車推出5年後，和運進一步將公司一拆為二，除了和運公司之外，獨立的短租部門成立和雲行動服務，負責共享租車App等租借業務，兩家公司各自獨立經營，也擁有各自IT團隊。原先在和運負責短租業務的蔡爵陽，則接下和雲客服作業部部長一職，同時兼管資訊與客服部門。</p> <p>2019年3月時，和雲還推出App機車自助租賃服務，讓使用者只須用同一款App，就能租借汽車或機車。為了搶上線時間，一開始，和雲資訊團隊採用和汽車版App同樣做法，交由委外廠商負責開發，但App才一推出，他們馬上面臨第一個考驗。不像App租用汽車以小時起算，機車租賃縮短到以分鐘為計價最小單位，打破了過去小時計費的租用模式，甚至使用時間更短，可以只租一小段時間都行，因此，就算只是因作業耽擱個數分鐘，導致短暫無車可用，民眾就會抱怨連連。</p> <p>然而，和雲當時IT的維運人力不足，必須仰賴委外廠商，來提供IT支援與人力，但外部廠商不見得時時都能在IT掌控中，能夠針對使用者問題快速回應與解決，再加上共享汽機車市場競爭激烈，App租車服務型態更多元且複雜，蔡爵陽直言，單靠現有IT開發與維運管理模式，已經難以支撐未來營運發展所需，這也讓和雲高層毅然決定，將iRent服務拿回來自己接手，逐步減少對於委外的依賴，以提高IT對資訊的掌握度。這也成為蔡爵陽首要面對的IT挑戰。</p> <p><span style="font-size:28px;"><strong>要提高IT對資訊的掌握度，先從改變IT組織架構做起</strong></span></p> <p>他先從改變組織架構規畫做起，將原先與客服部合併的資訊部門獨立成立新部門，不再採用跟同集團和潤／和運相似的作法，也就是將IT與其他內勤部門合併，如管理部和資訊部併為管資等。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0P2%E6%8A%BD%E8%A8%80%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-10_(%E6%8A%BD)%E8%94%A1%E7%88%B5%E9%99%BD_%E5%92%8C%E9%9B%B2%E8%A1%8C%E5%8B%95%E6%9C%8D%E5%8B%99-%E8%B3%87%E8%A8%8A%E9%83%A8_%E9%83%A8%E9%95%B720200623-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>和雲行動服務資訊部部長蔡爵陽表示，汽車租賃IT不僅需資訊自主，更得要有先進技術研發能力，才可透過技術主導使用者需求。 </strong>（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>蔡爵陽表示，過去在IT內部運作上，這些公司往往視資訊人員為PM（專案經理）的角色，負責承包商與業務或內部需求單位的溝通，較不需具備程式開發能力，因此，他們並沒有屬於自己內部獨立的IT部門，和雲也是如此，但隨著這家公司App服務與新業務擴展，對於IT依賴日益加深，他表示，勢必得要有所改變，以便於讓IT掌握更高自主權。</p> <p>但成立獨立部門，也不是件容易的事，在將近一年內部組織調整後，和雲才終於成立獨立的資訊部，並同樣由蔡爵陽擔任資訊主管。這也讓他有更多發揮空間，透過與資訊團隊合作，逐步推行IT重組與再造。</p> <p>在調整組織IT運作的同時，蔡爵陽也從IT部門體質改造著手。由於和雲資訊團隊初期約10人，其中只有3到4位是正職，其餘都是廠商派駐人員，以往這些內部IT人員多擔任PM角色，較不具備自主開發能力。但他現在不僅要求他們需具備程式開發專業，未來更得要有先進資訊科技研發能力，他對於IT人員更大期待是，「IT不只回應使用者需求，而是透過技術主導需求」他說。</p> <p>除了改造IT體質，他也進行資訊人力擴編，以招募更多軟體開發人才。儘管有公司高層在背後全力支持，但就像其他傳統產業出現聘不到人的困境，蔡爵陽也遭遇相同的情形，這也成為他的另一個考驗。</p> <p>後來，他想到解決方式是，從該App租車的忠實用戶，來招募優秀人才，因此，也成功吸引不少軟體、App開發者加入，甚至為了要有即時戰力，他更直接找上合作委外廠商，將整家公司成員全部收編，成為IT部門的一員，人數多達15人。他表示，這些人都是他們長期合作對象，對於和雲資訊系統相當熟悉，且大多是資深IT人員，擁有多年開發經驗。在成為和雲資訊團隊的一員後，他們馬上就能夠執行交付IT任務。</p> <p>截至今年下半，和雲已組成了30多人IT團隊，蔡爵陽更依IT功能性來分組，除了原本營運團隊，也有設置系統開發團隊，負責任務編組、App與系統開發等。他期望透過這個IT團隊組成後，未來更能夠提高在App自主開發與維運管理的能力，快速迭代增加新功能，來滿足用戶多樣化的使用型態。</p> <p>以和雲App自助租車服務為例，自2014年推出以來，中間歷經大小不同改版，單是iOS平臺，過去一年來，平均每兩個月就會改版一次，來優化或增加新功能。</p> <p>蔡爵陽也透露，目前正在開發新一代自助租車App，除了將全面翻新UI/UX設計，來提升操作便利性，同時也將改良車輛查詢等介面功能，讓使用者能更快找到附近可租用的車輛。儘管，該版App還是採委外開發，但他表示，未來將藉由技術移轉，交由自己的IT團隊接手後續維運，以及新功能開發。這一版預計年底前推出。</p> <p><span style="font-size:28px;"><strong>傳統租車門市作業流程也將導入數位化</strong></span></p> <p>就算提供24小時App自助租車，和雲未來仍會保留傳統門市，讓顧客還是可以進到門市來租還車，現在已有超過上百個服務據點分散全臺各地，同時提供共享汽機車營運與人力支援的協助。</p> <p>只不過，相較於行動化App租車，和雲在門市租車作業數位化腳步就明顯慢了不少，至今，門市人員與顧客進行車輛點交與契約核對時，仍採用傳統人工紙本記錄方式，所以，蔡爵陽接下來計畫在門市導入數位化提升作業效率，以逐步取代人工輸入作業。</p> <p>舉例來說，以後門市櫃臺人員在服務顧客時，只需要透過手上一臺平板電腦，就能完成點交車輛、合約解說與承租者簽名等作業，相關資料就會回傳到後端系統上。未來更進一步，還能在平板上整合線上付款功能，以後送車到顧客指定處所，門市人員直接在平板上就能完成點交、收費作業，也能因此省下不少手續作業時間。</p> <p>iRent服務推出至今，目前約有3千輛汽車可供租用，機車數量更多，超過4千多輛，服務範圍也遍布六都。在這超過7千多輛的汽車或機車身上，都配備一臺車機，負責行車資料蒐集，包括GPS車輛定位或即時車輛狀態等，這些行車資訊都會透過車上車機回傳到後臺系統上，來做為車輛租還的判定依據。</p> <p>舉例來說，當用戶要還車時，這臺車機就會透過內建4G行動網路，將車輛GPS定位資訊回傳，並透過電子圍籬技術來管理車輛租還，以判定該車是否在原先可還車的區域範圍之內。一旦比對用戶車輛所在位置，是在可還車的區域內，就可允許其還車。</p> <p>以同站租還為例，車輛必須停回到原來租借地點的專屬停車格上，才算是完成還車。對於無站點的隨租隨還，他們後來也透過電子圍籬設定擴大使用涵蓋地區範圍，甚至，現在更進一步也可以做到跨區租還，不再只限定於特定一個地區內才可還車，以臺北為例，目前在該地租借車後，民眾在北北基桃地區皆可還車。</p> <p>現今，和雲無人自助汽車加上機車的會員，就有約40萬人，每月經由車機擷取車輛的各項行車數據多達數GB，多年下來，也累積TB級以上的資料量，該公司目前也開始利用去識別化的行車資訊，來挖掘出更多可用價值，像是用於熱點分析，進而找出使用者租還車的交通熱區，來做為車輛設置的參考依據，讓這些汽機車更容易被租借使用，增加它的使用率。</p> <p><span style="font-size:28px;"><strong>累積TB級資料量，將結合大數據做多種加值應用</strong></span></p> <p>他未來更有兩個大數據應用計畫，希望能從過去累積的使用者行為資料，加以分析，從中掌握顧客習慣用車的模式，找到可以服務的潛在受眾，再通過活動促銷吸引這些人願意使用該服務，也就是透過IT來達到精準行銷。</p> <p>他還有一個更大的目標，是要利用大數據分析建立一站式行動整合服務，以實現MaaS（行動即服務）。他表示，未來將先對內整合包括短租、門市、附駕與停車場事業等，等到完成整併之後，接著，再對外將包括高鐵、臺鐵在內等公共運輸服務一併納入，目標是要做到提供整合性行動服務，例如只須在單一App或網站就能一次完成所有交通行程預約、付款等流程，「這也是我們要朝向的MaaS目標」他說，未來甚至也考慮引進AI技術，對於交通行程與規畫提供個人化建議，例如適合搭乘哪些交通工具和乘車時間等。</p> <p>另外，對於商務或機場接送需求，他計畫將在內部調度中心，導入一套行控中心自動化管理平臺，來用於車輛的追蹤與管理。</p> <p>他表示，透過這套管理平臺，未來不只能透過GPS定位在地圖上自動顯示這些車輛所在位置，還可以根據車輛即時服務狀態、時間和距離計算，來提供一些行程異常的警示。</p> <p>例如，透過資訊看板的建立，以後每位司機當日預定接送行程都可顯示在這個看板上面，並以不同燈號顏色來代表執行狀況，如綠燈是指正常、黃燈是異常，紅燈代表嚴重異常。如此之來，不需要等到司機回報，或客人打電話通知，中心執勤人員就可以根據異常燈號提早採取行動，將問題解決，減少乘客等待時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>和雲行動服務資訊部部長　蔡爵陽</strong></p> <p>學歷：清華大學數學系學士</p> <p>經歷：曾於聲寶、華菱等汽車代銷與租賃IT服務多年，更有過在銀行大型主機維運經驗，2005年進入和潤，之後10多年歷經過IT、客服、短租等不同部門歷練，直到和雲2019年成立，他接下和雲IT主管，一肩扛起IT重任，要透過IT體質大改造，以支撐公司未來更多樣的服務型態</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>和雲行動服務</strong></p> <p>● 地址：臺北市中山區松江路433號4樓</p> <p>● 成立時間：2019年</p> <p>● 主要業務：短期汽車出租、短期機車、重機出租、附駕接送與iRent服務（共享汽車）等</p> <p>● 員工數：450人</p> <p>● 資本額：20億元</p> <p>● 董事長：田天明</p> <p>● 總經理：謝富來</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：資訊部部長</p> <p>● 資訊部門主管姓名：蔡爵陽</p> <p>● 資訊部門人數：35人</p> <p>● 資訊部門分工：系統開發（系統任務編組、app Team、開發Team）、營運技術（infra、QA、研發）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>● 2014年：iRent無人化自助租車服務上線</p> <p>● 2018年：iRent推出更新，增加隨租隨還功能</p> <p>● 2019年：iRent電動機車服務推出上線</p> <p>● 2020年：資訊部門自客服部獨立出來成立新部門、完成IT人力擴編（含PM、PG、MIS人員等）</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/16_tou_mu_cai_jue_yang_he_yun_xing_dong_fu_wu_zi_xun_bu_bu_chang_20200623_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="和雲行動服務資訊部部長蔡爵陽（攝影／洪政偉）" /></div></div></div>
2020/7/23 09:00作者余至浩https://www.ithome.com.tw/people/138890
淺談Flutter渲染樹
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Flutter中有Widget樹、Element樹與渲染樹（render tree），想要更彈性地自定元件，認識渲染樹就是必要的！</p> <p>作為Flutter的直接使用者（end-user），想自定元件時，多半只需要繼承StatelessWidget、StatefulWidget，這兩個類別之目的，是讓直接使用的開發者在不用接觸Element或RenderObject的情況下，也能輕鬆自定元件。</p> <p>這是因為StatelessWidget、StatefulWidget會建立的Element，都是ComponentElement的子類，它有一個無參數的build方法，ComponentElement的子類StatelessElement，其build方法僅回頭呼叫關聯的Widget的build，而StatefulElement的build只是呼叫關聯的State的build，兩者都傳入實例自身而成為BuildContext。</p> <p>這也是定義StatelessWidget、StatefulWidget時，不會接觸Element的原因——都在StatelessWidget，或StatefulWidget的State之build中，組建Widget元件。</p> <p>然而，框架無法（也不能）完全隱藏細節，開發者越能掌握框架提供的流程，越能知道框架是否適用，或能做出何種調整，使用Flutter時即如此，例如，就算只用StatelessWidget、StatefulWidget，也必須知道key特性設置，會影響Widget樹與Element樹的對應，從而影響最終畫面的顯示是否正確。</p> <p><span style="font-size:28px;"><strong>認識RenderObjectWidget</strong></span></p> <p>在Flutter中，除了Widget樹與Element樹之外，實際上，還有一棵渲染樹，它是由Element樹管理，由負責繪圖的RenderObject組成，想使用RenderObject來繪製元件，本身是個極為複雜的議題，不過，若想要更有彈性地設計元件，甚至用用Flutter來實作框架或元件庫，認識渲染樹就是必要的。</p> <p>基本上，負責建立RenderObject的Widget是RenderObjectWidget，直接使用的開發者可能覺得陌生，其實，若追查Flutter中StatelessWidget、StatefulWidget的子類，會發現它們建構（build）的Widget子樹中，必然包含RenderObjectWidget節點，以Text為例，其build傳回的是RichText實例，也就是RenderObjectWidget的子類實例。</p> <p>其實，有些用作排版的元件，例如Center，或者是一些繪圖元件，例如：RawImage、Opacity，也都是RenderObjectWidget，它們的createRenderObject實作會傳回各自實作的RenderObject實例。</p> <p><span style="font-size:28px;"><strong>從Widget到RenderObject</strong></span></p> <p>簡單來說，StatelessWidget、StatefulWidget會建立ComponentElement，而ComponentElement又會建立子Widget，這會持續到獲得RenderObjectWidget為止，這時就會建立RenderObject，開始組合渲染樹，只不過樹本身就有一定的複雜性。若我們想認識Widget到RenderObject的過程，可從指定底下的RichText給runApp開始：</p> <pre> RichText( text: TextSpan(text: 'Hello, World'), textDirection: TextDirection.ltr )</pre><p>RichText是RenderObjectWidget的子類，上面的RichText會指定為根Widget，稍微瞭解Flutter的開發者都知道，接下來會透過它的createElement建立對應的Element，並將Widget實例指定給這個Element，接著呼叫該Element的mount方法，在方法中會執行widget.createRenderObject(this)建立RenderObject，Element與RenderObject也有了關聯，也就是說，Element是Widget與RenderObject的橋樑。</p> <p>於是，現在有了三棵樹了（雖然各只有一個根節點），如果在你的main流程中，又新建了一個RichText實例，並再度指定給runApp會如何呢？根據我先前專欄文章<a href="https://www.ithome.com.tw/voice/138216" target="_blank">〈從Flutter看狀態管理〉</a>，在沒有設置key特性的情況下，因為Widget的型態相同，就會用新的RichText實例來更新Element，也就是Element不會重建，只需參考至新的RichText實例。</p> <p>Element接著會呼叫Widget的updateRenderObject方法，傳入自身（Element實作了BuildContext的行為）與既有的RenderObject，顧名思義，就是在updateRenderObject方法，更新RenderObject的特性，在RenderObject進行特性更新後，會呼叫自身的markNeedsPaint方法，表示需重繪，並在下個繪圖時程會呼叫paint，這時會看到畫面內容有變化。</p> <p>在這種情況下，Widget樹雖然有了變化，然而Element樹只需要更新Widget，透過新的Widget組態來更新渲染樹，也就是不用重建Element樹與渲染樹，藉此獲得效能上的效益；如果想更詳細瞭解這個過程，可以參考<a href="https://bit.ly/3fotQJI" target="_blank">〈How Flutter renders Widgets〉</a>。</p> <p><span style="font-size:28px;"><strong>實作RenderObjectWidget</strong></span></p> <p>想實作簡單且無子元件的RenderObjectWidget，可試著繼承子類LeafRenderObjectWidget，顧名思義，這會是只作為葉節點的RenderObjectWidget，<a href="https://bit.ly/2V7oz1B" target="_blank">我實作了一個小範例</a>，純粹畫個方塊，不考慮排版、父子關係等，主要可用來觀察到createElement、createRenderObject、updateRenderObject等，了解何時被呼叫。</p> <p>開發者何時需要自定RenderObjectWidget呢？一個可能的場合是想介入某元件繪圖前後之時，例如，在圖片上加上文字，或者令子元件呈現半透明等，Flutter提供的Opacity就是個範例，它是個RenderObjectWidget，其createRenderObject傳回的RenderObject，paint方法中會執行context.pushOpacity(offset, _alpha, super.paint)，這會將子元件以指定的半透明值繪製，若要探討詳細的原始碼，可參考<a href="https://bit.ly/2BjNtnh" target="_blank">〈Flutter, what are Widgets, RenderObjects and Elements?〉</a>。</p> <p>從Flutter排版元件不少是RenderObjectWidget來看，自定排版元件也是可能，但排版是極複雜議題，須先認識constraint、size在Flutter的意義，考慮父子元件關係，對此我們可參考官方文件〈Understanding constraints〉。</p> <p>接著，我們可試著考量只有一個子元件的排版，也就是繼承SingleChildRenderObjectWidget，此時，能參考<a href="https://bit.ly/37DHG88" target="_blank">〈Flutter's Rendering Engine〉</a>其中實作了個Stingy，子元件最大也只能是父元件指定constraints的minWidth、minHeight，且子元件總是固定在父元件的右下角。</p> <p>在這些實作RenderObjectWidget的過程中，你會理解到Widget為何只是作為組態資訊，因為經常都只是將Widget包含的訊息，拿來更新RenderObject罷了；至於Element，主要是作為Widget與RenderObject的銜接，以及管理狀態之用。</p> <p><span style="font-size:28px;"><strong>Flutter的三棵樹</strong></span></p> <p>為了要能靈活使用Flutter，開發者必須要瞭解三棵樹？這麼看來，瀏覽器的DOM樹還可愛多了！其實，Flutter受到React的影響，Widget樹就相當於虛擬DOM，Element樹就像是DOM樹，至於渲染樹，瀏覽器中並沒有標準方法可以介入，然而，在Flutter中，可以介入渲染樹的渲染過程，因此，對於開發者而言，提供了更大的彈性。</p> <p>這取決於開發者想基於Flutter達到的目的，直接使用的開發者多半只要知道Widget樹（以及key的作用）；若想介入狀態管理，就要認識Element樹，必要時，甚至可直接繼承Widget、ComponentElement來組建Widget，不一定要繼承StatelessWidget、StatefulWidget；若是想介入渲染過程，如實作出Opacity之類的元件，認識渲染樹就會是必要課題！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ui%E6%A1%86%E6%9E%B6">UI框架</a></div><div class="field-item odd"><a href="/tags/flutter">Flutter</a></div><div class="field-item even"><a href="/tags/renderobject">RenderObject</a></div><div class="field-item odd"><a href="/tags/render-tree">render tree</a></div><div class="field-item even"><a href="/tags/%E6%B8%B2%E6%9F%93%E6%A8%B9">渲染樹</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2020/7/23 09:00作者林信良https://www.ithome.com.tw/voice/138914
ModernWeb'20 召集講者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/banner-960_420-chris-0720.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-slogan field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">技術在我們手上，世界就在我們手上</div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">08/20(四) 截止～</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/index.html#cfp" target="_blank">瞭解詳情</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/index.html#cfp" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Virtual Event</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">臺灣網站技術人跨領域共同探索與交流的場域，在 2019 年已是千人參與的年度盛事；邁入第 6 年的旅程，我們想要進一步探索網路世界的可能性，以線上方式推進 Web 的技術與經驗。這將是大會轉型的中繼站、也是創意蓬勃發展的新契機。讓我們一起開始這場冒險，在未知之地開拓未來。</div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div>
2020/7/22 17:17作者黃博修https://www.ithome.com.tw/seminar/modernweb20-召集講者
ModernWeb'20 召集講者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/banner-960_420-chris-0720_0.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-slogan field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">技術在我們手上，世界就在我們手上</div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">08/20(四) 截止～</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/index.html#cfp" target="_blank">瞭解詳情</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/index.html#cfp" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/call-speaker">Call For Speaker</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Virtual Event</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">臺灣網站技術人跨領域共同探索與交流的場域，在 2019 年已是千人參與的年度盛事；邁入第 6 年的旅程，我們想要進一步探索網路世界的可能性，以線上方式推進 Web 的技術與經驗。這將是大會轉型的中繼站、也是創意蓬勃發展的新契機。讓我們一起開始這場冒險，在未知之地開拓未來。</div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div>
2020/7/22 17:18作者黃博修https://www.ithome.com.tw/seminar/modernweb20-召集講者-0
微軟推出可用於Teams應用的低程式碼資料儲存Dataflex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了一個內建於團隊協作平臺Microsoft Teams的<a href="https://powerapps.microsoft.com/en-us/blog/introducing-microsoft-dataflex-a-new-low-code-data-platform-for-microsoft-teams/" target="_blank">低程式碼資料平臺Dataflex</a>，可讓用戶直接在Teams中，創建、部署和管理Power Platform應用程式與聊天機器人，其提供關聯式資料儲存，支援豐富的資料類型，使用者只要用滑鼠點擊按鍵就能簡單部署。</p> <p>Microsoft Teams是微軟自家的協作平臺，與Slack和臉書的Workplace為競爭對手，由於武漢肺炎（COVID-19）疫情的影響，大量企業讓員工在家工作，因此協作平臺需求也隨之上升，今年3月的數字，Microsoft Teams每日用戶數達到了4,400萬。</p> <p>Power Platform則是微軟的生產力平臺，整合Power BI、PowerApps、Power Automate和Power Virtual Agents，可讓使用者建置資料分析應用程式，以及建構解決方案和自動化流程。微軟在Microsoft Teams中整合Power Platform，使用者在Teams中，就能以低程式碼工具開發應用。</p> <p>Dataflex是以微軟自家的資料服務Common Data Service為基礎，該服務可存放和管理商務應用程式使用的資料，使用者可利用Power Query，在Common Data Service中填入資料，並且建置Power Apps取用Common Data Service中的資料。而微軟發布Teams內建Dataflex消息的同時，微軟也宣布Common Data Service正式更名為Dataflex Pro，支援獨立的Power Platform。</p> <p>Teams有了Dataflex的支援，使用者便能夠直接在Teams中，使用資料建構應用程式和機器人，並依業務需求創建自定義解決方案。由於Team中的回應式網頁應用程式，可以跨網頁、平板和行動裝置共享，因此使用者便能夠創建和共享跨部門的應用程式模板，使用Dataflex上的資料，以Power Automate自動化Teams工作。</p> <p>Teams中整合的Power Apps App Studio和Power Virtual Agents，可讓用戶利用滑鼠拖放操作，建置應用程式和機器人，這些應用可以連接Dataflex資料平臺，所有用戶都能夠創建和編輯資料表，而不需要連接使用另外的儲存服務。</p> <p>Dataflex資料表能夠在Teams中簡單地共享，Teams使用者獲得權限後，便能夠立即存取資料，Dataflex管理員能夠依據Teams成員資格，自動依據存取權限以及安全角色，授與存取權限。</p> </div></div></div>
2020/7/22 17:20作者李建興https://www.ithome.com.tw/news/138964
Adobe緊急修補Photoshop的重大安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe才在今年7月14日的例行性修補日，處理了13個安全漏洞，隔了一周，又<a href="https://helpx.adobe.com/security.html" target="_blank">在7月21日釋出緊急安全更新</a>，修補13個安全漏洞，有12個被列為重大（Critical）等級，其中的5個存在於Photoshop中。</p> <p>這5個涉及Photoshop的安全漏洞中，CVE-2020-9683與CVE-2020-9686屬於越界讀取漏洞，而CVE-2020-9684、CVE-2020-9685及CVE-2020-9687則為越界寫入漏洞，全都可造成任意程式執行，且同時波及Windows與macOS平臺。</p> <p>而CVE-2020-9663漏洞則是影響Android平臺上的Adobe Reader，它是個目錄穿越漏洞，可造成資訊揭露，為此次修補的漏洞中，唯一被列為重要（Important ）等級的。</p> <p>另有4個重大安全漏洞存在於視訊紀錄與收錄工具Adobe Prelude中，其中的CVE-2020-9677與CVE-2020-9686為越界讀取漏洞，CVE-2020-9678及CVE-2020-9680則是越界寫入漏洞，皆可導致任意程式攻擊。</p> <p>至於用來連結程式及管理多媒體檔案的Adobe Bridge亦含有3個重大漏洞，分別是越界讀取漏洞CVE-2020-9675，以及CVE-2020-9674及CVE-2020-9676兩個越界寫入漏洞，同樣都可造成任意程式攻擊。</p> </div></div></div>
2020/7/22 17:30作者陳曉莉https://www.ithome.com.tw/news/138969
Gmail將支援BIMI，企業電子郵件頭像可顯示識別標誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/g-suite/gsuite-security-updates-for-gmail-meet-chat-and-admin">Google更新G Suite產品，加入數項新的安全功能</a>，包括Gmail多了適用於訊息識別的品牌標誌（Brand Indicators for Message Identification，BIMI）支援，企業用戶電子郵件將可顯示品牌標誌，預防被用於電子郵件釣魚攻擊，而Meet增加了更多安全性控制，管理員可設定會議參與者的互動等級。</p> <p>Gmail現在加入的實驗性功能BIMI，可讓使用DMARC協定對電子郵件進行身份驗證的組織，驗證企業標誌的所有權，再將其傳輸至Google，經過反濫用檢查之後，Gmail便會在電子郵件頭像中，顯示企業標誌。</p> <p>Google提到，BIMI能為整個電子郵件生態帶來好處，經過身份驗證，用戶和電子郵件安全系統便能夠相信電子郵件的來源。在接下來數周，Google將發出數量有限的BIMI試驗，並提到，基於使用BIMI以及整體電子郵件生態安全，他們鼓勵企業開始採用DMARC協定。</p> <p>Google Meet也有安全性更新，主要是讓管理員能更好地控制會議參與者。管理員將能夠控制誰可以請求加入會議，對於那些未收到行事曆會議邀請的人員，需要明確請求加入會議，一旦請求遭到拒絕，除非會議主持人重新邀請，否則這些人將無法請求加入同一會議，當用戶請求加入會議多次被拒絕，則系統會自動禁止該用戶發出更多加入會議請求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Meet_Safety_Locks_max-2000x2000(1).jpg" style="width: 580px;" /></p> <p>會議主持人還可使用新的安全鎖功能，要求用戶經過行事曆邀請或是電話等明確批准，才能加入會議，啟用這個安全鎖功能的會議，會阻擋任何未登入Google帳戶的用戶嘗試加入會議。另外，安全鎖也能讓主持人控制與會人員的互動等級，聊天鎖和簡報鎖可以控制哪些參與會議的人，可以聊天與進行簡報。</p> <p>Google提到，這些保護措施，增加了會議抵禦暴力法攻擊的能力，即便攻擊者猜到了會議代碼，在未經主持人同意下，攻擊者也無法加入會議，而且當主持人意外地讓攻擊者進入會議，也能夠使用聊天鎖和簡報鎖，阻止攻擊者干擾會議。</p> </div></div></div>
2020/7/22 17:45作者李建興https://www.ithome.com.tw/news/138965
微軟公測Microsoft 365雙重金鑰加密，鎖定金融、醫療業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-security-and/announcing-public-preview-of-double-key-encryption-for-microsoft/ba-p/1534451" target="_blank">微軟昨（21）日宣布</a>Microsoft 365雙重金鑰加密（Double Key Encryption）服務上線提供公開測試，鎖定醫療、金融、或高科技等重視資料安全的產業。</p> <p>Microsoft 365已提供資料加密、應用層加密、金鑰管理以及Microsoft Information Protection方案的文件分類、標籤功能。而針對金融、醫療等受嚴格法規管理的產業、或需要把敏感資料安全儲存在雲端的企業，微軟再提供雙重金鑰加密（Double Key Encryption）功能，以保護企業一小部份特別高敏感的資料，像是商業機密、專利、金融演算法、客戶資料、內部法規，並滿足產業法規需求。</p> <p>這項方案需要客戶具備Microsoft 365 E5及Office 365 E5授權。客戶也可以<a href="https://www.microsoft.com/en-us/microsoft-365/business/compliance-solutions#midpagectaregion" target="_blank">登記試用</a>。</p> <p>雙重金鑰加密方案運用兩把金鑰加密資料，一把由客戶保存，另一把儲存在Microsoft Azure。兩把金鑰齊全才能讀取資訊，確保客戶能完全掌握資料的安全及隱私。客戶可以選擇在自家金鑰管理伺服器或公雲上執行雙重金鑰加密。此外，雙重金鑰加密還結合Azure Information Protection的整合標籤用戶端，為所有資料提供一致化的標籤。管理員或授權使用者可在Microsoft 365的「遵循中心」建立標籤，標籤建立後，管理員就可以為資料分派管理政策。而使用者也可以在Office 環境下的敏感度（Sensitivity）區選擇標籤。</p> <p>為了簡化部署儲存及安全，<a href="https://aka.ms/DKErepo" target="_blank">微軟也於Github提供</a>雙重金鑰加密服務的導入程式碼及詳細文件，企業可以從Github上複製下來，代入自家Active Directory和公／私金鑰，以便部署雙重金鑰加密服務。</p> </div></div></div>
2020/7/22 17:05作者林妍溱https://www.ithome.com.tw/news/138966