iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 12篇
近 24 小時: 33篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟下周將關閉Windows所有SHA-1檔案下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在多次提醒後，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/sha-1-windows-content-to-be-retired-august-3-2020/ba-p/1544373" target="_blank">微軟昨（29）日宣布</a>將在下周一正式關閉所有SHA-1的相關資源下載。</p> <p>微軟將在下周一，即2020年8月3日關閉從Microsoft下載中心下載SHA-1檔案的服務，以推動SHA-2的採用，以滿足現代化安全標準，協助用戶防範常見的攻擊。</p> <p>從2017年Google和荷蘭科學家實現碰撞攻擊，<a href="https://www.ithome.com.tw/news/112347" target="_blank">成功破解SHA-1加密演算法</a>後，軟體公司即已相繼預告將揚棄這個不安全的技術，敦促使用者和開發商升級到SHA-2。</p> <p>在Windows方面，微軟數年前就開始動作，2019年8月起，不支援SHA-2的電腦就無法接獲Windows安全更新。微軟呼籲還在使用SHA-1的用戶，儘速升級到最新版Windows並採用更安全的加密技術，如SHA-2。</p> <p>微軟早在2017年就<a href="https://www.ithome.com.tw/news/114106" target="_blank">終止IE及Edge瀏覽器對SHA-1的支援</a>。<a href="https://www.ithome.com.tw/news/114106" target="_blank">蘋果也於去年6月</a>從iOS 13、macOS 10.15 Catalina開始不再支援SHA-1。</p> </div></div></div>
2020/7/30 10:30作者林妍溱https://www.ithome.com.tw/news/139110
數學網紅的演算法脫口秀
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420fan_ben__11.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">貓頭鷹出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我有準確到很誇張的料理秤，因為我看著食譜烹飪時會想完全遵照。生活中已經充滿複雜的選擇和決定，但至少像烤蛋糕這種事有完整又詳盡的步驟說明，所以不必擔心做出無知的決定。我也很喜歡量東西。</p> <p>悲哀的是，生活的其他各方面很少有「食譜書」，但這不表示我們無法應用同樣的思維。有一些其他的情況，譬如選擇終身伴侶，仍然能運用通常只會在食譜書上看到的條理清楚的決策類型。把引導你進行某種活動的預先決定步驟條列出來，這在數學上稱為算則或演算法（algorithm），有點像發展到極致的蛋糕食譜，它會讓你做決定，然後根據你的決定來指示接下來要做什麼，而不是在告訴你究竟要做什麼。</p> <p><span style="font-size:28px;"><strong>如何尋找理想另一半</strong></span></p> <p>尋覓終身伴侶是一種微妙的平衡。一般而言，第一次開始約會的時候，你並不知道對方跟自己的可能愛情速配程度，在沒有比較基準的情況下，你無法確定某個人是不是高於平均標準的合適對象，是否應該跟某個人定下來。這會讓跟第一次約會對象共度一生有點像在賭博：你應該多跟幾個人約會，先了解一下情況。話雖如此，如果你和人約會的時間花太久，這樣也很冒險，可能會錯過理想伴侶，最後只好隨便找個單身的人將就。這是個棘手的狀況。理想的做法是約會人數恰到好處，得到選擇的最佳益處，同時又讓不會錯過理想對象的可能性最大。</p> <p>幸好數學替我們省了一些事：那個適當人數是你這輩子能約會的總人數的平方根。要如何估計可能約會人數的多寡，全看你的統計熟練度和自信程度，就像你接下來要如何收集樣本。「自發性回應樣本」通常算是被社會接受的，而「分層隨機樣本」可能就會害你關進監獄。</p> <p>暫時先不管這個，下面是尋覓最理想的愛情的方法：</p> <p><span style="color:#696969;"><strong>第1步：估計你這輩子能約會的人數n。</strong></span></p> <p><span style="color:#696969;"><strong>第2步：算出那個數字的平方根√n。</strong></span></p> <p><span style="color:#696969;"><strong>第3步：開始約會，並刷掉前面√n個人；當中最棒的人選會是你的衡量標準。</strong></span></p> <p><span style="color:#696969;"><strong>第4步：繼續約會，在遇到超越前面√n個約會對象所設標準的第一個人時定下來。</strong></span></p> <p>誰會曉得事情可以這麼容易？像決定要跟誰定下來這類的問題，有個令人微微焦慮的數學名稱叫做「最佳停止問題」（optimal stopping problem）。最初的那個最佳停止問題稱為祕書問題（secretary problem），以下就是原始的版本。</p> <p>你想新聘一個私人助理，公司的人資部門已經遵照正式的多元化政策所制定的準則刊登徵人廣告，此刻你的辦公室外面有十個應徵者，有各種性別種族，全都準備好要面試這份工作，每位應徵者將逐一走進你的辦公室，讓你評定他們的條件是否足以勝任。跟每個應徵者面試過後，你必須立刻決定要錄用還是繼續面試下一位。你沒有錄用的人，馬上就會被一個競爭對手錄用：你無法事後再請他們回頭替你工作。</p> <p>你現在的處境很有意思。邏輯建議你不應該錄用你面試的第一個人，因為你還不清楚應徵者的一般素質如何，但你也不想等到第十個人，因為如果只剩一個人可面試，你就只能錄取這個人，不管他的工作適任程度如何。中間一定有某個理想的地方，你可以不要再面試更多的應徵者，而只是看看他們的長相，然後趕緊挑選出優秀者，這就是最佳停止點。這和為了找終身伴侶而跟人約會，是同樣的限制條件；如果你和某個對象分手，而後來才發覺那人是理想人選，很少能回頭再面試一次。</p> <p>1950年代，祕書問題在美國數學家之間拋來拋去，我們不知道是誰先解決的〔不過大家認為可能是美國數學家梅瑞爾‧弗拉德（Merrill Flood）］。出現在印刷品上的第一個正式解法，是英國統計學家丹尼斯‧林德利（Dennis Lindley）在1961年出版的。要解開這個問題，需要意識到所有的十個應徵者可以從最佳排到最差，然後打散成某種隨機順序。第一個走進來的應徵者是最佳人選的機會是十分之一，但問題是你根本不知道。</p> <p>分析了天分的可能分布，計算出如果你面試等候應徵的任何一群人的前面37%，然後挑選出比你目前為止面試過的人來得優秀的下一位，那麼你就有37%的機會選中最佳應徵者。因此，他的演算法跟我們的約會演算法一樣，只是以0.37×n代替了√n。37%這個數字之所以一直出現，是因為它是這個1/e比率，e就是常數2.718281828...。為什麼e這個常數擅自闖入，簡單說是跟最佳應徵者在隊伍中的可能位置的估計有關。利用這個方法，你就有超過三分之一的機會，選到總體而言最適合的人選。</p> <p>不過，原始的祕書問題是假設你採取寧缺勿濫的極端態度。林德利在數學上證明了，他的37%演算法是最好的方法，但那是只在你完全滿意最佳人選、完全不滿意其他人的情況下。在現實情況下，取得略遜於最佳選擇的東西只會讓你稍微不滿意。更好的解決之道，是會讓你盡可能選到應徵者當中排名在很前面的人，即使不一定是最好的。</p> <blockquote><p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>心理學家尼爾‧比爾登（Neil Bearden）在2006年計算出，可用來挑選出與理論上最佳人選相比，排名在最前面的應徵者的最佳策略，他正是√n方法的發現者。平均來說，√n方法會讓你從十個人當中選到滿意度75%的人選；而在一百人的排隊應徵者中，這個數字大約是90%。</strong></span></span></p> </blockquote> <p>面對生活上的任何抉擇，從選擇終身伴侶到購物，你都可以採用這個演算法。我要買二手車的時候，就採用了這個策略，確定自己在非買下不可之前，去看了我有時間查看的車子數量當中的至少√n輛。我認為這個方法最大的好處是讓人待時而動，不要衝動之下接受了自己的第一個選擇。針對現實決策過程案例的分析均發現，大家決定得太快，考慮的選項不夠多（線上交友除外，有些人在交友網站會因為選擇太多，而變得難以抉擇，只要可能有更好的人選，他們就無法讓自己定下來）。最佳停止演算法可以免除一切的遲疑不決。</p> <p>以這種方式尋覓另一半，聽起來或許很冷淡無情，不過曾經有人用數學來尋找愛。（提出克卜勒猜想的那位）克卜勒的第一任妻子因霍亂亡故後，決心把尋找新任妻子變成一個數學步驟。在1613年寫的一封信中，他描述自己計畫以兩年的時間跟十一個可能人選面談、排序，然後做出精心計算過的抉擇。我們不知道他用來排序的「為妻相宜函數」是什麼，不過倒是知道他感覺到祕書問題的限制。他企圖回頭向他面談的第四位小姐求婚，但她已經準備好迎接新的生活，所以拒絕了。最後他幸福快樂地娶了十一人中的第五位，這下子可就是嚴謹的愛意了。</p> <p><span style="font-size:28px;"><strong>魔術怎麼變？</strong></span></p> <p>撇下兩性關係，我們也可以把演算法應用到正整數上，甚至更好！只不過，按預先規定逐步做數字運算，聽起來也許不大刺激，主要是因為這真的不刺激。但那不是重點：執行演算法這件事本身就不大有趣。數學家對演算法興致高昂的原因，不是他們喜歡做重複的差事（儘管很多人還是愛做），那就像你是因為很喜歡量好材料然後攪拌而去烤蛋糕（我就是這樣）。數學家之所以喜歡演算法，是因為演算法能夠做到的事。數學家喜歡做計算，也喜歡把它吃掉。</p> <p><span style="color:#696969;"><strong>第1步：取任何一個正整數。</strong></span></p> <p><span style="color:#696969;"><strong>第2步：把每位數字相加起來。</strong></span></p> <p><span style="color:#696969;"><strong>第3步：如果算出的數字和超過一位數，就重複做第2步。</strong></span></p> <p><span style="color:#696969;"><strong>第4步：把最後的一位數答案寫下來。</strong></span></p> <p>這個演算法是找出任何一個整數除以9的餘數的方法。你可以隨便找個整數來驗算看看，答案會等於比它小的第一個9的倍數與它的差數。像這樣反覆把所有的數字相加，直到得出一位數的答案為止的產出結果，稱為一個整數的數字根（digital root）。這個過程本身稱為去九法（casting out nines），因為它是從一個整數去掉9的倍數。去九法是數學上最古老、最重要的演算法之一。</p> <p>在上一個千禧年之交，活躍於現今伊朗的科學家伊本‧西那〔（Ibn Sina，他的拉丁文名字是阿維森納（Avicenna）〕在寫到這個去九法時，把它稱為「印度人的方法」，暗示這個方法已經使用很久了。在費波納契（Fibonacci）把印度-阿拉伯數字引進歐洲前，管帳的人早就在使用去九法了。已知最早的金融數學印刷本《特雷維索算術》（Treviso Arithmetic，出版於1478年），就描述了確認複雜算術問題答案的數字根，要等於所相加的數的數字根總和的方法。他們把9去掉，來驗算重要的財務計算結果。接下來我們準備用這個方法變個魔術。</p> <p><span style="color:#006400;"><span style="font-size:20px;"><strong>自願的觀眾：</strong></span></span></p> <p><span style="color:#696969;"><strong>第1步：取任何一個正整數。</strong></span></p> <p><span style="color:#696969;"><strong>第2步：把這個數乘以9。</strong></span></p> <p><span style="color:#696969;"><strong>第3步：大聲唸出乘出來的答案，但其中一位數字不要唸出來。</strong></span></p> <p><span style="color:#006400;"><span style="font-size:20px;"><strong>魔術師：</strong></span></span></p> <p><span style="color:#696969;"><strong>第1步：算出自願觀眾唸出來的所有數字的數字根。</strong></span></p> <p><span style="color:#696969;"><strong>第2步：知道所缺的那個數字是數字根與9的差數。</strong></span></p> <p><span style="color:#696969;"><strong>第3步：宣布漏掉沒說出的是哪個數字。</strong></span></p> <p><span style="color:#006400;"><strong><span style="font-size:20px;">觀眾：</span></strong></span></p> <p><span style="color:#696969;"><strong>第1步：感到不可思議。</strong></span></p> <p>這是個很棒的魔術，因為不論自願的觀眾選了哪個整數，只要乘上9，乘出的新數的數字根一定是9。算出他們告訴你的那些數字的數字根後，你就能知道缺的那個數字是讓數字根加到9所欠缺的那個數。利用去九法算出數字根，也很容易心算出來，因為需要處理的數永遠不會超過一位數。這聽起來實在太簡單了，但是效果很讚。我有一次在倫敦漢默史密斯阿波羅（Hammersmith Apollo）會館的舞台上，在三千多人的面前表演這個把戲，當時最令人緊張的一點，是希望自願的觀眾按電子計算機的時候不要出錯。</p> <p>這個把戲更具雄圖的版本（有這麼多人在場，我還不敢嘗試）需要掩飾一下乘以9的步驟。如果請自願的觀眾拿著計算機，不斷地把隨機的數字相乘起來，直到螢幕上無法顯示更多位數的答案為止，這時他們很可能在無意間乘了9，要不然就是至少乘了兩個帶有因數3的數。確切地說，把許多隨機的一位數相乘起來，得出的八位數答案有96.75%的機會，會是9的倍數。不過，我不願意承擔那3.25%的機會，讓自己在那麼多人面前像個白痴！（註：為了算出這個機率，我寫了一個電腦程式，產生100億次這樣的隨機數字，而100億個當中有9,674,919,018個是9的倍數。寫電腦演算法來檢驗一個魔術演算法，讓我非常開心。）</p> <p>有一整套稱為免手法魔術（self-working trick）的魔術，其實就是靠演算法做到的魔術，只要魔術師一步一步照著指示做，魔術就一定會成功。有一個免手法魔術，是幾乎每個人一生當中似乎都會遇到的紙牌魔術，它通常叫做三疊紙牌魔術（Three Pile Trick），傳統上是用21張牌來玩，理由我搞不懂：用到27張牌也能變一模一樣的魔術。魔術師誇口說（這是一定要的）他可以找出自願者隨機選出的任何一張牌。</p> <p class="rtecenter"><strong style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98%E5%9C%963(1).png" style="width: 400px;" /></strong></p> <p><span style="color:#696969;"><strong>第1步：自願的觀眾從</strong></span><strong style="color: rgb(105, 105, 105);">一疊27張牌中挑出一張，記住花色和數字，然後把牌放回去並重新洗牌。</strong></p> <p><span style="color:#696969;"><strong>第2步：魔術師以牌面朝上的方式發牌，分成三疊（依照同樣的發牌方向，每次在每疊牌各發一張）。</strong></span></p> <p><span style="color:#696969;"><strong>第3步：自願者指出他們選中的牌在哪一疊裡，但不要指出是哪張牌。</strong></span></p> <p><span style="color:#696969;"><strong>第4步：魔術師收起三疊牌，把自願者所指的那一疊放在中間。</strong></span></p> <p><span style="color:#696969;"><strong>第5步：第2、3、4步再重做兩次。</strong></span></p> <p><span style="color:#696969;"><strong>第6步：現在自願者挑選的那張牌正好在27張牌的正中央，也就是從最上面開始算的第十四張。</strong></span></p> <p>魔術師現在可以運用自己最具創意的方法，揭曉第十四張牌。我個人最喜歡的方式，是一開始先把牌一張一張翻開，一邊聲稱自己在搜尋自願者臉上的反應，接著你就一直翻到差不多第十七張牌，然後聲稱下一張絕對是他們挑出的那張牌。有時候他們甚至會跟你賭一杯酒之類的，因為他們很確定你會猜錯。</p> <p>接下來你就往回翻，把已經翻開的第十四張牌翻面，實踐了你誇口說出的話，如果你又老謀深算打了賭，就還賭贏了。但要提醒一下，要是自願者沒有把他們選中的牌，告訴獨立的第三人或是寫在某處，他們很容易就會靠謊騙來逃避賭輸請客。</p> <p>這類型的紙牌魔術已經夠好了，不過有一類稱為「任意牌、任意數字」的戲法，是紙牌魔術當中夢寐以求的戲法。這是指自願者所選出的牌可以移動到一副牌的指定位置（而不是淪落在中間）。稍加調整並多思考一下，「三疊紙牌魔術」也能做到這一點。在我的版本中，我在把牌發成三疊的時候，會隨便問問自願者最喜歡哪個小於27的數字，而在魔術終了，他們的牌就出現在那個位置。</p> <p>唯一的差別是有時你可以把指出的那疊牌放在最上面或最下面，而不是每次都放在中間。為了找出它在哪裡，就把疊在最上面稱為位置0，中間位置稱為1，最下面稱為2，然後只要把你想擺在自願者的牌上方的牌數轉換成三進位。第一次重組三疊牌的位置時，根據1的數目把指出的牌放進位置0、1或2，第二次就依據3的數目，而第三次依據9的數目；因此，如果你想把七張牌放在自願者選出的牌的上方，7的三進位表示是021（它有零個9，兩個3，一個1），於是就按照這個順序（從1開始倒過來進行）把指出的那疊放在中間、最下面及最上面。在魔術終了，你從最上面數七張牌拿走，在第八個位置的下一張就是自願觀眾所選出的牌。</p> <p>我有點懊悔在我的書裡解釋這個魔術，因為這個魔術讓我成功地給觀眾，還有數學家和魔術師，留下深刻印象。我當初是在葛登能1956年的第一本數學書《數學、魔術與謎》裡偶然發現這類型的魔術，他在書中把它稱為「熱爾崗的疊牌問題」（Gergonne's Pile Problem），並暗示這個問題在前一個半世紀已經為人熟知。在那之後的半個世紀，它似乎給人遺忘了，而我在重新探究它背後的數學的過程中獲得很大的樂趣，還把它用在我最喜歡的魔術表演中。</p> <p>葛登能在他的書裡用了一章的篇幅來介紹27張牌魔術的各種變化，不過重點還是放在魔術表演的可能性，他在章末附上加拿大人梅爾‧史多佛（Mel Stover）寄給他的短箋。史多佛指出了這套魔術的進位制，以及改成不同牌數的魔術變法，他的短箋裡說明了如何把牌數增加到100億張的假想狀況。理論上，把100億張牌發成十疊，共發牌十次，就能把所選出的任何一張牌移動到100億種可能位置當中的任何一個位置，若每秒發一張牌，就是不到3,169年的時間。史多佛先生強調，發這一百疊、每疊十億張牌的過程要很細心，因為稍有不慎就會全毀。用他的話來說：「這會讓魔術從頭再來，很少有觀眾願意看第二遍。」（摘錄整理自第11章）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書籍簡介 </span></strong></span></p> <p><strong>數學大觀念2：從掐指一算到穿越四次元的數學魔術</strong></p> <p>麥特‧帕克（Matt Parker）／著；畢馨云／譯</p> <p>貓頭鷹出版</p> <p>售價： 600元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></p> <p><strong>麥特‧帕克（Matt Parker）</strong></p> <p>人稱脫口秀數學家，經常出現在BBC、《衛報》、英國各地的舞台上、科展、科學節和劇場，跟大家談數學。原本在澳洲教數學，現居英國基爾福（Guildford）。</p> </div></div></div>
2020/7/30 09:00未署名https://www.ithome.com.tw/article/139014
【突破兩大陣營的寡占局面】超融合基礎架構平臺的第三條道路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/983-cover2-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去5、6年以來，超融合基礎架構市場一直呈現兩大集團寡占的形勢。目前市場上的超融合系統產品供應商，至少有30家以上，但就品牌來說，光是Dell與Nutanix兩大廠商，就占了50%以上的市占，而位居第3、4、5位的Cisco、聯想（Lenovo）與HPE，則分別只有5、6%的市占，遠遠不能和前兩大廠商相比。</p> <p>而就系統軟體平臺來說，目前存在的超融合軟體平臺至少有20個以上，但VMware vSAN與Nutanix Acropolis（AOS）這兩大平臺，便占了整個市場將近70%的比重，位居第3位的Cisco HyperFlex HX平臺，市占還不到5%。</p> <p>因此，我們可以毫不誇張地說，Dell/VMware與Nutanix這兩大集團，已「統治」了整個超融合基礎架構產品市場。但即使面臨龍頭廠商寡占市場的沉重壓力，仍有許多廠商並未就此放棄，依舊努力發展超融合系統平臺與產品，希望能在這個正在高速成長中的市場，占有一席之地，藉此走出一條不同的道路，同時，也能為用戶提供更多元化的產品選擇。</p> <p><span style="font-size:28px;"><strong>壟斷超融合領域的兩大主流軟體平臺，市占居高不下</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/983-cover2-600.png" style="width: 600px;" /></p> <p>從統計數字可以看出，超融合系統在軟體平臺方面的寡占情況，又比品牌方面更嚴重許多，原因是許多沒有自身系統平臺的廠商，都是藉由OEM方式引進Nutanix或VMware的系統平臺，來打造自身的的超融合系統產品。這也意味著，雖然當前的超融合系統供應商至少有30個以上，乍看之下選擇很多，但若論及核心的系統軟體平臺，卻是「非Nutanix即VMware」，許多廠商的產品都是採用這兩種平臺，以致產品功能、特性的同質性很高。</p> <p>舉例來說，Nutanix除了推出基於自身AOS平臺的超融合系統產品，也將AOS平臺授權給HPE、聯想、富士通（Fujitsu）、浪潮（Inspur）、Dell EMC與IBM等廠商，推出同樣基於AOS平臺的超融合伺服器產品。</p> <p>而在VMware平臺方面，事實上，VMware只擔任純粹的軟體平臺供應商角色，而不直接提供完整的超融合系統產品，但採用VMware vSAN軟體平臺來打造超融合伺服器產品的廠商，有將近二十家之多，其中較知名的如宏碁（Acer）、Altos、Cisco、Dell、Ericsson、富士通、HPE、Hitachi Vantara、華為、Intel、浪潮、聯想、NEC、新華三（H3C）、廣達、中科曙光（Sugon）、Supermicro，以及華雲數據（Huayun）等。</p> <p>Nutanix AOS與VMware vSAN這兩大平臺的本家廠商——Nutanix與VMware的母集團Dell，原本就是超融合市場上最強勢的兩家品牌廠商，再加上眾多採用這兩大平臺的廠商，讓超融合市場形成了兩大陣營，如前所述，以平臺而論，這兩大平臺的產品，占了7成以上的市占比重。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/983-cover2-600-2(1).png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>追求平臺自主的努力</strong></span></p> <p>Nutanix AOS與VMware vSAN在超融合領域這樣高的市占，一方面可以看作是用戶與市場對這兩種平臺的肯定，它們在功能與成熟性方面，確實有過人之處，但另一方面，卻也形成了市場的寡占，從而帶來產品技術缺乏多樣性與選擇性的副作用。</p> <p>對於超融合系統供應商來說，直接採用Nutanix或VMware的軟體平臺，固然方便，但也受制於人，而且與其他廠商採用相同平臺的產品同質性過高，難以形成產品區隔與塑造自身特色。</p> <p>對於用戶來說，Nutanix與VMware在超融合平臺的寡占，也將帶來相應的副作用。首先，Nutanix AOS與VMware vSAN即便是當前功能最完善、成熟的超融合平臺，但也未必能完全滿足用戶端千變萬化的應用環境需求，例如這兩大平臺都有著只支援運算與儲存資源對稱式擴充的限制，vSAN還有著綁定vSphere環境的限制，連帶的，這兩大平臺的寡占，也將造成用戶端的產品架構選擇受限等問題。</p> <p>而對整個超融合基礎架構領域來說，軟體平臺的寡占，也造成了產品技術多樣性與競爭性降低，有不利於長遠發展的疑慮。</p> <p>因此，無論是就供應商、用戶，還是對整個市場來說，Nutanix與VMware之外的超融合系統平臺，都有重要的存在意義。</p> <p>事實上，一些超融合系統的供應商，也不打算把自身的產品線綁在單一平臺上，而試圖藉由維持軟體平臺的多樣性，來保有一定的自主性。而這些試圖打破兩大平臺壟斷的嘗試，又可分為下列幾個層次。</p> <p>第一個層次，是同時採用Nutanix與VMware兩種平臺。例如聯想、富士通與Dell EMC等廠商，都同時擁有基於Nutanix與VMware兩種不同平臺的超融合產品線，降低對於單一平臺的依賴。</p> <p>第二個層次，則是在採用Nutanix與VMware兩大平臺之外，同時維持自身獨立發展的超融合系統平臺。如Cisco、HPE與華為等廠商，旗下除了擁有採用Nutanix與VMware平臺的超融合產品線之外，也維持著自身獨立發展的超融合平臺產品線，如HPE的SimpliVity OmniStack平臺、Cisco的HyperFlex平臺，華為的FusionCube平臺等，這些廠商可藉由自身的平臺保有自主性，而不會被兩大平臺給完全綁住。</p> <p>第三個層次，則是完全以獨立自有軟體平臺為基礎，來進入超融合市場，完全擺脫兩大平臺的影響，這類型的廠商，既有一線軟體與儲存大廠，也有規模較小的新創廠商。前者如NetApp，以及RedHat與微軟兩大作業系統巨頭；後者則有Scale Computing、Pivot3、SmartX、ZeroStack與Stratoscale等規模較小的廠商。</p> <p>整體而言，第三個層次的獨立超融合軟體平臺，目前市占雖不起眼，但其存在具備重要意義，不僅產品架構各具特色，也豐富了超融合領域的技術多樣性，為用戶提供兩大平臺之外的選擇。</p> <p><span style="font-size:28px;"><strong>別具特色的獨立平臺超融合產品們</strong></span></p> <p>為了在Nutanix與VMware兩大平臺的夾擊下生存與發展，這些兩大平臺外的獨立超融合平臺，往往擁有兩大平臺不具備的特性，例如NetApp HCI與HPE Nimble dHCI的運算與儲存節點分離架構，NetApp HCI、Cisco HyperFlex，以及Pivot3 Acuity提供的非對稱擴充模式，HPE Simplivity的硬體I/O加速架構，還有NetApp HCI與Pivot3 Acuity的精細QoS調節功能，另外，HPE Simplivity與Pivot3 Acuity提供的內建備份功能，以及Scale Computing HC3的自動化系統健康管理功能等等，也都值得一提。</p> <p>這些平臺與產品藉由別具特色的架構與功能，不僅形成了有別於兩大主流平臺的產品區隔，也讓整個超融合領域的發展，更加地多元化。</p> <p>接下來，我們便從這些各具特色的獨立平臺超融合系統產品中，挑選代表性的幾款進一步檢視。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139034
【超融合系統獨立平臺點將錄（1）NetApp HCI】獨特運算與儲存節點分離架構，提供更靈活、高效的資源運用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_3_netapp_hci_console.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【嵌入式管理介面】用戶可透過vCenter的plug-in介面，來同時管理NetApp HCI的運算與儲存節點，也可透過NetApp ActiveIQ與Cloud InSights兩種雲端平臺，來監控與管理NetApp HCI的節點。圖片來源／NetApp</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>問世於2017年的NetApp HCI，可以說是超融合產品中的異類。標準的超融合系統如Nutanix的產品，都採用運算與儲存合為單一節點的架構，若要擴充資源時，則透過堆疊更多這種標準化節點來組成叢集，只要增加節點，運算與儲存資源也將對稱地同步擴展。</p> <p>「運算+儲存合一」，以及「對稱的擴充能力」這2個特性，讓超融合系統的擴充變得十分簡單，當資源不夠時，堆疊更多節點即可。但連帶的，也帶來運算與儲存負載互相干擾。以及無論需要擴充的資源為何，都得一併擴充運算與儲存資源的問題。</p> <p>而NetApp則別樹一幟地分離了運算與儲存節點，由此帶來「運算與儲存負載互不干擾」，以及可單獨擴充運算或儲存資源的「非對稱擴充」等特性。</p> <p><span style="font-size:28px;"><strong>獨特的系統架構</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961%20NetApp%20HCI%20Arc.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【運算與儲存節點分離架構】NetApp HCI由各自獨立的運算節點與Flash儲存節點組成，可提供「運算與儲存負載互不干擾」，以及可單獨擴充運算或儲存資源的「非對稱擴充」兩大特性。</strong>圖片來源／NetApp</span></p> <p>NetApp HCI由運算節點（compute node）與儲存節點（storage node）兩種節點組成，其中運算節點負責執行Hypervisor虛擬化軟體，用於提供VM運作功能；儲存節點則一律採用全快閃組態，以保證I/O效能，負責執行SolidFire Element儲存作業系統，提供了VM儲存所需的全快閃儲存空間。</p> <p>由於NetApp HCI的運算節點與儲存節點各自獨立，可以個別擴充運算能力、儲存效能與空間；而且，這種架構也徹底分離了運算與儲存負載，自然也沒有運算與儲存負載互搶資源的問題，可以更精確地調派系統資源。</p> <p>NetApp HCI有別於其他超融合系統的另一個關鍵，是底層儲存節點所運行的Element儲存作業系統，這是源自SolidFire全快閃儲存陣列的儲存系統，以極為靈活的叢集化擴展架構，以及精細的I/O效能管理能力著稱。</p> <p><span style="font-size:28px;"><strong>持續升級的硬體規格</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962%20NetApp%20HCI%20Node.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【多樣化節點硬體選擇】NetApp目前一共可提供3種運算節點，分別是：H410C、H610C與H615C，以及3種儲存節點，分別是H410S、H610S與H610S-2F。而其中的H610S-2F，是具備FIPS-140等級加密功能的儲存節點。</strong>圖片來源／NetApp</span></p> <p>比起2017年中剛推出時的規格，現在的NetApp HCI已經過兩次更新。最初NetApp HCI採用2U/4節點機箱，並將運算與儲存節點各自區分為高、中、低等的H300、H500與H700等3種款式，所有節點均為1U半寬規格。在擴充時，最小組態是2臺運算節點加上4臺儲存節點，最大則可擴充到32臺運算節點與40臺儲存節點。</p> <p>而到了2019年以後，NetApp HCI改款為H410與H610兩種款式，其中H410為原本NetApp HCI的升級版本，仍採用2U/4節點機箱，分為H410C運算節點與H410S儲存節點兩種節點，均為1U半寬的規格。</p> <p>至於H610，分為H610C運算節點及H610S儲存節點。前者為2U機箱節點，可容納GPU（Nvida Tesla M10），是為VDI應用設計的節點；另一款H601S為1U儲存節點，分為H610-S1、H610-S2，以及H610S4，提供3種不同容量配置。此外，H410C與H610C兩種運算節點的處理器，都從2017年第一代機型的Intel Xeon Broadwell，升級為Skylake架構。</p> <p>到了2020年，NetApp HCI又新增兩種節點，包括H615C運算節點，以及H610S-2F儲存節點。其中H615C是採用1U機箱的全新運算節點，處理器核心升級為新的Cascade Lake架構，並包含1款內含GPU（Nvidia Tesla T4 ×3)，專為CAD或高效能VDI而設計的運算節點。另一款H610S-2F，則是原有H610S-2儲存節點升級FIPS資安規格的版本，可符合FIPS-140加密規範。</p> <p>而在擴充性方面，現在的NetApp HCI也更為彈性，運算節點為最小2節點、最大64節點，儲存節點的最小規模也降到2節點、最大規模則與先前同樣是40節點，整個叢集最大規模為104節點（64個運算節點+40個儲存節點）。</p> <p><span style="font-size:28px;"><strong>擴展的軟體規格與管理機制</strong></span></p> <p>在軟體方面，現在的NetApp HCI也比最初有顯著擴展。其中的運算節點執行的Hypervisor虛擬化平臺，最初只支援VMware vSphere，現在則能同時支援VMware vSphere（包括6.5與6.7版），以及Red Hat OpenStack/OpenShift，而能搭配兩種虛擬化平臺。</p> <p>而在NetApp HCI儲存節點運行的儲存作業系統SolidFire Element Software，目前則已經升級到最新的12.0版，提供Multiple vCenter VASA的支援、 Customizable Protection Domains，以及增強的外部密鑰管理等功能。</p> <p>在系統管理方面，用戶可透過vCenter的plug-in介面，來同時管理NetApp HCI的運算與儲存節點，也可透過SolidFire Element控制臺來單獨管理儲存節點。另外，用戶也可透過NetApp ActiveIQ與Cloud InSights兩種雲端平臺，來監控與管理NetApp HCI的節點。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/netapp-hci">NetApp HCI</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139035
【超融合系統獨立平臺點將錄（2）HPE SimpliVity】持續進化的老牌超融合平臺，獨特硬體加速架構結合雲端AI管理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_simplivity_380_gen10.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE SimpliVity 380 Gen10</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在超融合領域，SimpliVity是資歷可與Nutanix相比的老牌廠商，成立於2009年，2012年推出首款基於專屬OmniStack平臺的超融合伺服器產品OmniCube，在超融合領域享有不錯的評價，2017年初併入HPE旗下。而HPE在併購SimpliVity後，也重整了長期以來搖擺不定的超融合產品發展策略，以SimpliVity的OmniStack平臺，作為此後的超融合產品核心。</p> <p>HPE在2014到2017年之間，曾先後推出過基於VMware vSAN平臺，與自身StoreVirtual平臺的超融合產品，而從2018年以後，HPE的超融合產品全面轉為採用SimpliVity OmniStack平臺。</p> <p><span style="font-size:28px;"><strong>獨有的硬體整合架構</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8E%BB%E8%83%8C-%E4%B8%BB%E5%9C%962%20Simplicity%20OAC.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【專屬OAC加速卡】HPE SimpliVity最大特色，是內含稱作OmniStack Accelerator Card（OAC）的硬體加速卡，可搭配OmniStack儲存平臺，為系統卸載壓縮與重複資料刪除運算。</strong>圖片來源／HPE</span></p> <p>如同其他超融合平臺，SimpliVity OmniStack也是一套分散式儲存系統，可將多個節點的儲存空間，結合組成具備高可用性與擴展性的Scale-Out叢集儲存空間，供上層的Hypervisor使用。</p> <p>OmniStack不同之處，在於獨有的硬體整合架構，每組節點都有RAID卡與專屬加速卡的配置。這能帶來哪些好處？基本上，OmniStack的每臺節點都可透過RAID卡獲得基本資料保護，即使是單節點也有一定程度的高可用性，再結合跨節點分散複製機制提供進階保護，相較下，其他超融合平臺大多是完全依靠跨節點分散複製，來提供資料保護與可用性，無法提供單節點的保護能力。</p> <p>至於OmniStack的加速卡，則是用於執行壓縮與重複資料刪除運算作業，因而能有效減輕伺服器主機的負擔，對於一般超融合產品因負載混雜，而導致難以管理效能的問題，也能予以解決。</p> <p><span style="font-size:28px;"><strong>多樣化硬體選擇</strong></span></p> <p>經過2年多發展後，HPE的SimpliVity超融合產品線在過去一年多時間內，有大幅的更新，在原本的標準機型SImpliVity 380之外，又延伸發展出多種版本，目前一共有6種款式：</p> <p><span style="color:#2F4F4F;">SimpliVity 380 Gen10：</span>標準機型，以ProLiant DL380 Gen10 伺服器為基礎，搭載硬體加速卡，採全快閃儲存組態。</p> <p><span style="color:#2F4F4F;">SimpliVity 2600：</span>以Apollo 2600多節點伺服器為基礎，提供2U/2節點或2U/4節點的高密度組態。</p> <p><span style="color:#2F4F4F;">SimpliVity 380 Gen10 G：</span>以ProLiant DL380 Gen10 伺服器為基礎，省略硬體加速卡，改以純軟體方式執行重複資料刪除與壓縮，同時也將加速卡占用的空間騰出，讓用戶獲得更多可用I/O介面卡安裝空間，還有新的磁碟組態選項。</p> <p><span style="color:#2F4F4F;">SimpliVity 380 Gem10 H SFF：</span>以ProLiant DL380 Gen10 伺服器為基礎，採用SSD與2.5吋SFF規格硬碟的混合儲存組態。</p> <p><span style="color:#2F4F4F;">SimpliVity 380 Gen10 H LFF：</span>以ProLiant DL380 Gen10 伺服器為基礎，採用SSD與3.5吋LFF規格硬碟的混合儲存組態。</p> <p><span style="color:#2F4F4F;">SimpliVity 325 Gen10：</span>以ProLiant DL325 Gen10 伺服器為基礎，為採用AMD EPYC處理器平臺的版本。</p> <p>其中SimpliVity 380 Gen10 G，以及SimpliVity 380 Gem10 H SFF，都是剛在2020年3月新推出的款式。</p> <p>目前SimpliVity的6款機型中，SimpliVity 380系列的4款都是採用Intel Xeon Cascade Lake架構處理器，近期內還將支援Cascade Lake Refresh處理器。SimpliVity 2600為較舊的Skylake處理器，但近期內將支援Cascade Lake Refresh，至於SimpliVity 325則採用AMD EPYC Rome處理器。</p> <p><span style="font-size:28px;"><strong>擴展的叢集規模與管理功能</strong></span></p> <p>相對於其他超融合平臺，SimpliVity OmniStack的擴展規模相對較小一些，兩年前我們接觸這套平臺時，OmniStack為3.7.x版，最大的單一叢集規模是8節點，另可將最多32個節點組成統一管理的聯邦架構（Federation），簡化多叢集環境的管理。</p> <p>而到了今日，OmniStack已升級到4.0.1版，擴展規模也有相當程度的提高，單一叢集規模提高到16節點，而單一聯邦的規模也增加到96節點。</p> <p>在同一個聯邦架構下，不僅可以同時管理多個OmniStack叢集，不同叢集的節點也可以共用相同的中繼資料，因此在不同叢集之間遷移VM時，仍能維持VM的重複資料刪除與壓縮狀態，藉此大幅減少遷移VM、VM備份與備援時的I/O資源與傳輸頻寬。</p> <p>另外，OmniStack平臺在近期的更新中，還提供了改進的管理功能，包括新增支援InfoSight for SimpliVity雲端AI平臺管理，改善部署設定的自動化（單鍵系統升級，搭配Aruba交換器時的自動設定），以及與StoreOnce備份儲存系統的整合，可透過SimpliVity內含的備份功能，將資料直接備份到StoreOnce。</p> <p>在上層的Hypervisor方面，SimpliVity OmniStack最初只支援vSphere，2018年5月時增加了Hyper-V的支援。不過HPE在稍早的2020年3月，停止銷售內建Hyper-V的SimpliVity節點硬體，目前只提供內建vSphere的SimpliVity節點硬體。但SimpliVity OmniStack仍保有支援Hyper-V的能力，而既有內建Hyper-V的SimpliVity設備，也會繼續提供OmniStack平臺的更新。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/hpe-simplivity">HPE SimpliVity</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139036
【超融合系統獨立平臺點將錄（3）Cisco HyperFlex】急速成長的超融合系統後起之秀
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_3_cisco_hyperflex_nodes.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【同時支援融合式與純運算節點】HyperFlex一大特色是支援非對稱擴充，用戶可將純運算節點納入HyperFlex叢集，而且，除了有運算與儲存合一的融合式HyperFlex節點，這裡也提供純運算HyperFlex節點。圖片來源／Cisco</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去2、3年來，超融合系統市場上最大的驚奇，便是Cisco HyperFlex的迅速崛起。</p> <p>Cisco在融合式系統耕耘已久，但重心都放在整櫃式的認證參考系統，直到2016年3月，Cisco藉由Springpath軟體平臺，推出全新的HyperFlex超融合產品線，接著Cicso在2017年8月併購了Springpath，正式大舉進入超融合領域。僅僅2年多時間，Cisco在超融合領域便從無到有，有了顯著的成長，雖然還不能與Dell EMC或Nutanix相比，卻是第3勢力的重要角色。</p> <p>HyperFlex是由Cisco的UCS系列伺服器，搭配HyperFlex HX Data Platform軟體平臺組成。其中核心的HyperFlex HX Data Platform，是源自Springpath的Springpath Data Platform，Cisco改稱為HX Data Platform，這是一套專為超融合架構設計的儲存服務平臺，核心是來自Springpath的HALO叢集檔案系統，可跨多臺節點建立具備高可用性與高效能的叢集儲存空間，並透過區塊、檔案或物件等不同形式的介面提供存取服務。</p> <p>與其他超融合平臺相比，HX Data Platform最大特色便是支援非對稱的應用組態，標準組態是運算與儲存合一的融合式節點，但允許單純的運算節點參與HyperFlex叢集，讓Hypervisor主機直接存取HX Data Platform儲存空間。這也意味著，用戶可以只單獨擴充HyperFlex叢集的運算能力，而無需對稱地擴展運算與儲存資源。Cisco除了提供運算+儲存合一的標準融合式節點外，也提供了不含儲存資源的純運算節點。</p> <p>HyperFlex HX Data Platform目前已發展到4.0版，支援能力與擴展性都有很大的提升。單一叢集最大規模從3～8節點，擴展到最大64節點（32個融合式節點+32個純運算節點），對於Hypervisor的支援，也從原本的vSphere擴展到Hyper-V，還新增了Stretched叢集的遠端備援功能，並支援Cisco Intersight雲端管理平臺。</p> <p>在硬體方面，Cisco目前提供了4種HyperFlex節點，包括混合式儲存架構、全快閃/全NVMe儲存架構等兩類標準節點，用於遠端與分支辦公室的HyperFlex Edge節點，以及純運算節點。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cisco-hyperflex">Cisco HyperFlex</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139037
【超融合系統獨立平臺點將錄（4）Bigtera VirtualStor Converger】持續進化的國產虛擬儲存平臺…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_1_bigtera_nodes.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【國產的Bigtera超融合系統】VirtualStor Converger是由VirtualStor虛擬儲存平臺，結合標準的x86伺服器而成。圖片來源／Bigtera</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>慧榮科技的Bigtera VirtualStor Converger，並不是唯一的國產超融合產品，但卻是極少數基於自主核心軟體平臺的國產超融合產品。</p> <p>其他如Acer、ASUS與廣達等國產廠商，也都曾推出超融合產品，但這些產品大多是基於VMware SAN、微軟Azure Stack HCI等第三方平臺，而慧榮VirtualStor Converger的核心軟體平臺，則是自主獨立研發的VirtualStor。</p> <p>VirtualStor源自大兆科技（Bigtera）2012年推出的EZCloudStor虛擬儲存軟體，自2014年的3.0版以後改稱為VirtualStor，該公司2017年底併入慧榮科技，Bigtera成為後者旗下品牌。</p> <p>VirtualStor是典型的分散式儲存系統，可將多個節點的儲存空間結合為統一的儲存池，再從中建立儲存區，並透過區塊（FC、iSCSI）、檔案（CIFS、NFS）與物件（Amazon S3、OpenStack Swift與WebDAV）等不同傳輸協定，掛載給前端主機使用，並內含一系列資料服務功能，可支援高可用性、資料保護與節省儲存空間等進階應用。</p> <p>依照不同的應用面向，VirtualStor可以構成3種產品形態，其中VirtualStor Converger便是超融合型式的產品，由VirtualStor軟體平臺，結合標準的x86機架式伺服器而成，可支援最小3節點、最大無限制的叢集規模，上層的Hypervisor則可搭配vSphere、Hyper-V與KVM等3種主流平臺。</p> <p>VirtualStor Converger除了預載於伺服器的標準超融合形態產品外，也能以純軟體形式銷售，由用戶自行部署VirtualStor軟體、架構到自身的伺服器硬體上，成為超融合系統。</p> <p>自併入慧榮科技旗下後，VirtualStor Converger無論在軟體核心還是在硬體方面，都有重大的更新。</p> <p>在核心的VirtualStor軟體平臺方面，接連推出7.0與8.0兩個新版本，2018年中發表的7.0版，是Bigtera併入慧榮後推出的第一個新版本，更新重點放在升級底層儲存架構，引進了BigteraStore V2 I/O儲存引擎，可透過SSD作為快取與日誌，藉此提高I/O效能，還能改善作為快取的SSD壽命。其他更新還有多檔案系統、多租戶功能，以及部署程序與管理介面的改進。</p> <p>而剛在2020年初發表的8.0版，重點則放在強化對於大規模物件儲存應用的支援，特別是針對S3物件儲存應用環境，提供了S3-to-S3 物件無縫遷移、S3-to-S3 自動層級、S3 物件版本控制、S3 物件鎖定等功能。</p> <p>至於在硬體方面，VirtualStor Converger目前採用的是技嘉的機架式伺服器，分為H1030J、H1030S、H1030E與H2080/H2084等4種款式，分別對應10臺VM、50臺VM、100臺VM，以及150臺VM等4種應用負載規模，所有機型的儲存裝置，都是採用硬碟+快取用SSD的混合組態。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/bigtera-virtualstor-converger">Bigtera VirtualStor Converger</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139038
【超融合系統獨立平臺點將錄（5）Pivot3 Acuity】擁有專屬分散存取架構的元老級超融合平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_3_pivot3_acuity-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【Acuity超融合家族】Acuity超融合平臺可支援VMware虛擬化環境，並提供一般資料中心通用與視訊監控兩大產品類型。圖片來源／Pivot3</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於2003年的Pivot3，是超融合基礎架構這個領域的創始者之一，事實上在「超融合」這個名詞尚未誕生前，Pivot3便已在市場上銷售這種形式的產品。</p> <p>Pivot3的核心軟體平臺是vSTAC OS分散式儲存作業系統，後來改稱Acuity，與大多數基於跨節點複製的超融合軟體平臺相比，Acuity透過專屬的Scalar Erasure Coding技術，將I/O分散到叢集的所有節點中，藉此可提高可用性與效能，搭配PCIe NVMe寫入緩衝機制，Pivot3宣稱效能與延遲表現都超越其他超融合平臺。</p> <p>Acuity另一特點擁有精細的效能調節功能。另外，Pivot3還透過AI技術來協助調整VM的資源調度，改善工作負載與遷移的效率。在搭配的Hypervisor方面，Pivot3只提供vSphere這一種，在叢集規模方面，則視儲存組態而有所不同，採用SSD+硬碟混合儲存組態的Acuity超融合伺服器可支援3～12節點，採用全快閃組態的Acuity超融合伺服器則為3～16節點。</p> <p>不過，Pivot3雖然是資歷比Nutanix更深的元老級超融合廠商，但發展遠不如後者順遂。Pivot3在2016年併購了全快閃儲存陣列廠商NexGen後，曾一度聲勢大漲，當時該公司旗下一共擁有3大產品線，包括通用型超融合伺服器、視訊監控用超融合伺服器，以及延續自NexGen的PCIe全快閃儲存產品，產品涵蓋面相當廣泛。</p> <p>其中在通用型超融合產品線中，包含了相當多樣化的款式，有全快閃型、混合儲存型、Edge辦公室型、刀鋒式機箱型，由Pivot3超融合伺服器+NexGen全快閃儲存陣列組成的SLX系列，還有與Cisco UCS伺服器搭配的版本。至於視訊監控用超融合產品系列，則是針對視訊傳輸與儲存應用最佳化的衍生版本。</p> <p>然而在2020年3月時，傳出Pivot3經營困難、大幅裁員的消息，該公司網站上的產品線目錄，如今也縮減到只剩視訊監控系列產品，未來的發展還有待進一步觀察。</p> </div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139039
【超融合系統獨立平臺點將錄（6）Scale Computing HC3】從資料中心應用向邊緣運算擴展的老牌超融合平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_4_scale_computing.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【訴求高可用與管理簡易的Scale Computing HC3】HC3平臺內含了KVM，可免除另外購買Hypervisor的麻煩，再結合強大的自我修復功能，可顯著降低用戶管理負擔。圖片來源／Scale Computing</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於2008年的Scale Computing，也是超融合領域的先驅廠商之一，2012年推出基於專屬HC3虛擬化平臺的超融合產品，2018年推出專供邊緣運算環境應用的衍生版本HC3 Edge。</p> <p>Scale Computing除了擁有自身的超融合伺服器產品線外，也與聯想與NEC等廠商有OEM關係，分別有HC3平臺搭配聯想與NEC伺服器的版本。</p> <p>Scale Computing專屬的HC3平臺，由HyperCore作業系統、SCRIBE儲存引擎，以及HCI網頁控制臺介面等3個主要元件組成。其中HyperCore內含了KVM虛擬化平臺，負責提供運算平臺功能與系統整體管理，SCRIBE儲存引擎負責提供底層高可用性的叢集化儲存空間，並透過HEAT（HyperCore Enhanced Automated Tiering）自動化分層儲存引擎，來管理資料放置。</p> <p>HC3平臺的標準叢集組態為至少3節點以上，最大可擴充到8節點，不過針對分支辦公室等邊緣運算環境，可提供單節點組態，再搭配遠端複製機制來提供資料保護。</p> <p>與其他的超融合平臺相比，Scale Computing HC3的特點，是擁有強大的自我修復（Self-healing）與高可用性功能，每臺節點包括網路埠在內的所有元件都有雙重備援配置，任何元件失效時，系統都可自動切換到完好的元件上，而叢集中任一節點失效時，可利用叢集中剩餘節點自動重新配置資料與VM，而不會影響用戶端的存取。另外由於HC3內含了KVM虛擬化平臺，所以用戶也無須另外購買Hypervisor授權。</p> <p>不過另一方面，HC3也只支援KVM這一種Hypervisor，再加上較小的叢集擴展規模，是這平臺在應用上的較大限制所在。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/scale-computing-hc3">Scale Computing HC3</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139040
【2020值得關注的新興超融合平臺】超融合領域最新參與者，嶄新架構翻新超融合應用面貌
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2020zhi_de_guan_zhu_de_xin_xing_chao_rong_he_ping_tai_-960-v2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們前面介紹的6款自主平臺超融合產品，在超融合基礎架構這個年輕的領域，都已算是中生代產品，最晚發表的NetApp HCI問世已經有3年時間，其餘如：HPE SimpliVity、Cisco HyperFlex、Bigtera VirtualStor Converger、Pivot3 Acuity ，以及Scale Computing HC3等，這些產品的問世都已有4～7年以上之久。</p> <p>不過，超融合這個高速成長的領域，仍持續吸引眾多廠商投入，僅僅在最近2年內，便誕生了多款獨立超融合平臺新產品，這裡我們選出6種較受矚目的新生世代產品作進一步介紹，其中包括了HPE、微軟、Red Hat等一線大廠產品，也有HiveIO，Datrium等新創廠商。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> HPE Nimble dHCI </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961%20HPE%20Nimble%20dHCI.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／HPE</span></p> <p>這是HPE在去年年中發表的新產品，HPE對dHCI這個產品名稱的解釋，是「非聚合式」的超融合產品（Disaggregated HCI，dHCI），採用了類似NetApp HCI的運算與儲存節點節點分離架構，嚴格來說，算是介於融合式與超融合產品之間的中介形態產品，兼具融合式產品的彈性，以及超融合產品的簡易性。</p> <p>HPE Nimble dHCI由Nimble儲存陣列、ProLiant Gen10伺服器，以及VMware vSphere與vCenter軟體平臺共同組成，能支援InfoSight雲端AI管理平臺，至於整個系統的核心平臺，自然便是Nimble儲存陣列的NimbleOS。每個dHCI環境含有1臺作為儲存節點的Nimble AF或HF儲存陣列，加上2～20臺ProLiant Gen10伺服器作為運算節點、負責運行vSphere的ProLiant DL360或DL380伺服器。</p> <p>比起Nutanix之類的標準超融合系統，Nimble dHCI並不採用與Hypervisor整合為一的叢集儲存層，而是由底層獨立的Nimble儲存陣列提供儲存空間，但由於拆分了運算與儲存節點，擁有更靈活的擴充能力，可單獨擴充運算與儲存節點，同時也藉此分離了運算與儲存負載，可更精確地管理工作負載。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> CTERA Networks Edge X </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%962%20CTERA%20node.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／CTERA Networks</span></p> <p>成立於2009年的CTERA Networks，專長是雲端儲存閘道器（Cloud Storage Gateway），幫助用戶整合本地端與雲端儲存資源的存取。</p> <p>以自身的雲端閘道器技術為基礎，CTERA在去年（2019）推出了一款產品，名為Edge X系列，主打邊緣運算環境，結合了超融合應用、混合雲檔案存取服務與多雲管理能力。</p> <p>Edge X的節點同時提供了運算與儲存功能，基本上，一套系統由兩臺節點構成高可用性組態，每臺節點含有提供儲存空間的SSD，而且，同時運行了CTERA專屬的Global File System分散式儲存系統，以及VMware ESXi伺服器虛擬化平臺，CTERA的系統實際上也是以VM形式部署在ESXi上，負責管理底層儲存空間，而ESXi另外還用於執行用戶端的工作負載。</p> <p>CTERA在Global File System上建構了多雲檔案系統與全域命名空間服務，可將Edge X的本地端儲存空間與公有雲儲存空間，結合成Edge-to-Cloud的檔案存取服務，從而為遠端分支辦公室環境，提供一種兼具超融合系統便利性，以及混合雲儲存彈性的應用裝置。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> HiveIO Hive Fabric </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963%20HiveIO.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／HiveIO</span></p> <p>HiveIO在2017年7月併購了超融合系統先驅廠商Atlantis Computing，隨後在2018年8月，推出了Hive Fabric軟體定義儲存式的超融合軟體套件。</p> <p>Hive Fabric算是Atlantis Computing的USX軟體平臺後繼者，特點是採用開源軟體建構核心，包括KVM Hypervisor，以及GlusterFS分散式檔案系統，再加上HiveIO的管理平臺而成。（除了HiveIO的管理元件外，Hive Fabric 的基本架構，與Red Hat在2017年推出的Red Hat Hyperconverged Infrastructure for Virtualization是相同的。）</p> <p>將Hypervisor與分散式儲存叢集結合在一個套件中，並採用純軟體形式銷售，由用戶自行部署在x86伺服器硬體上，主要訴求是簡易性與低成本。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 微軟Azure Stack HCI </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%964%20Azure%20HCI.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>這是內嵌於微軟伺服器作業系統Windows Server 2019 Datacenter版的超融合套件，由Hyper-V虛擬化平臺與Storage Spaces Direct（S2D）儲存平臺組成，用戶則可透過Windows Admin Center、System Center與PowerShell等工具來管理，還可與Azure雲端環境搭配，構成混合雲架構。在系統規模方面，雖然Hyper-V具備單一叢集最大64節點的擴展能力，但受底層S2D儲存平臺的限制，叢集規模為2～16個節點。</p> <p>原則上，任何搭載了新版本Windows Server作業系統的伺服器主機，都能啟用微軟的Azure Stack HCI超融合平臺，微軟也與20家伺服器廠商合作，推出經認證的Azure Stack HCI解決方案，意圖仿照VMware vSAN Ready Nodes的模式，打造一個龐大的超融合平臺陣營。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Red Hat Hyperconverged Infrastructure for Cloud </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%965%20Redhat.PNG" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Red Hat</span></p> <p>這是RedHat推出的第2個超融合平臺，先前2017年推出的Red Hat Hyperconverged Infrastructure for Virtualization（RHHI for Virtualization），是由KVM虛擬化平臺，與基於GlusterFS檔案系統的Gluster儲存系統組成核心，再加上Red Hat Ansible自動化平臺而成。</p> <p>而2018年推出的Red Hat Hyperconverged Infrastructure for Cloud（RHHI for Cloud），則是由Red Hat版本的Ceph儲存平臺，與Red Hat的OpenStack平臺組成，比起RHHI for Virtualization，RHHI for Cloud可以支援更大的叢集規模，最大可達50個節點，而前者則只有12個節點。</p> <p>基本上，RHHI for Virtualization與RHHI for Cloud都是純軟體套件，由用戶自行部署到標準的x86伺服器當中。</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Datrium DVX </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%966%20Datrium-DVX.png" style="width: 497px;" /></p> <p><span style="color:#696969;">圖片來源／Datrium</span></p> <p>最後我們來看一個不算是新產品，但在超融合應用概念發展上，占有重要地位的產品Datrium DVX。</p> <p>Datrium是分離運算與儲存元件的「非聚合式」超融合架構先驅，2016年1月發表的DVX平臺，是第一個採用這種型式的產品，該公司把這種架構稱作「開放式融合（open converged）」，算是NetApp HCI與HPE Nimble dHCI的前輩產品。</p> <p>Datrium DVX由兩種節點組成，一為含有VMware虛擬化平臺與DVX管理軟體的運算節點，另一為提供儲存空間的資料節點，最小組態是1臺主機加上1臺資料節點，可擴充到32臺運算節點與10臺資料節點。另外也有稱作Cloud DVX、運行於AWS EC2的雲端版本，2019年5月又推出ControlShift災難備援功能，可為兩個DVX環境，或是本地端DVX與雲端Cloud DVX之間提供災難備援服務。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/hpe-nimble-dhci">HPE Nimble dHCI</a></div><div class="field-item odd"><a href="/tags/ctera-networks-edge-x">CTERA Networks Edge X</a></div><div class="field-item even"><a href="/tags/hiveio-hive-fabric">HiveIO Hive Fabric</a></div><div class="field-item odd"><a href="/tags/azure-stack-hci">Azure Stack HCI</a></div><div class="field-item even"><a href="/tags/red-hat-hyperconverged-infrastructure-cloud">Red Hat Hyperconverged Infrastructure for Cloud</a></div><div class="field-item odd"><a href="/tags/datrium-dvx">Datrium DVX</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">超融合平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E5%B9%B3%E8%87%BA">超融合基礎架構平臺</a></div><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1%E7%8D%A8%E7%AB%8B%E5%B9%B3%E8%87%BA">超融合系統獨立平臺</a></div><div class="field-item odd"><a href="/tags/%E6%96%B0%E8%88%88%E8%B6%85%E8%9E%8D%E5%90%88%E5%B9%B3%E8%87%BA">新興超融合平臺</a></div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/tech/139041
透視超融合平臺第三勢力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/983-feng_mian_p1-open-960x420.jpg?itok=_v3zP2yT" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去超融合基礎架構產品的軟體平臺，一直是Nutanix與VMware寡占的局面，許多廠商都是使用這兩家廠商的平臺來打造超融合產品，但還有許多值得關注的超融合平臺，為用戶提供了不同的選擇</p> </div></div></div>
2020/7/30 09:00作者張明德https://www.ithome.com.tw/article/139042
Google開始打造連結英國與西班牙的第四條私有海底電纜Grace Hopper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/infrastructure/announcing-googles-grace-hopper-subsea-cable-system?utm_source=twitter&utm_medium=unpaidsocial&utm_campaign=googlecloud-IMother-notrelevant&utm_content=productlaunchandupdate&linkId=95263402" target="_blank">Google本周宣布</a>，已在今年初與光纖海底電纜製造商 SubCom簽約，準備建置連結美國、英國與西班牙的Grace Hopper海底電纜，預計於2022年完工，而Grace Hopper也將是繼Curie、Dunant與Equiano之後，Google的第四條私有海底電纜。</p> <p>Grace Hopper海底電纜是由美國紐約連結到英國的布德（Bude），以及西班牙的畢爾包（Bilbao），藉以強化Google消費者及企業產品的網路彈性，而這也是Google首個連結到英國與西班牙的首個私有海底電纜，將用來支援即將於西班牙馬德里新設立的Google Cloud雲端服務區域。</p> <p>Grace Hopper將配置16對光纖，且採用新的光纖交換架構，以在服務中斷時能夠更順暢地轉移流量。Google表示，Grace Hopper將是全球第一個整合創新光纖交換架構的海底電纜，未來亦可望將該技術部署至其它海底電纜系統上。</p> <p>迄今Google已參與投資全球的16條海底電纜，但有4條是私有的，除了Grace Hopper之外，當中的Curie連結洛杉磯與智利，Dunant連結美國與法國，Equiano則是自葡萄牙沿著非洲西海岸到南非。</p> <p>企業獲得海底光纖電纜能力的途徑包括購買現有電纜的能力、召集有同樣需求的合作夥伴共同建置，或是自行建置，自行建置的優點在於可主導電纜路徑，以替最大化的客戶提供最低延遲的傳輸能力。</p> </div></div></div>
2020/7/29 23:15作者陳曉莉https://www.ithome.com.tw/news/139106
卡巴斯基：VHD勒索軟體出自北韓駭客集團Lazarus之手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基（Kaspersky）本周揭露了<a href="https://securelist.com/lazarus-on-the-hunt-for-big-game/97757/" target="_blank">被用來執行目標式攻擊的VHD勒索軟體</a>，分析後發現該勒索軟體應是出自北韓駭客集團Lazarus之手，而且與勒索軟體攻擊專業分工的生態不同，Lazarus從入侵目標系統到所部署的VHD勒索軟體，全都是自己包辦。</p> <p>卡巴斯基的研究人員表示，勒索軟體攻擊生態體系具備各自獨立的高度專業分工，例如可能有人專門開發勒索軟體，有人專門出售殭屍網路，而駭客在摸清攻擊目標的金融與IT程序後，再選擇不同的合作夥伴展開攻擊，使得主使者通常模糊難辨。</p> <p>然而，在今年3月及5月發生的兩次VHD勒索軟體攻擊，卻與既有的生態體系截然不同，3月的攻擊引起了卡巴斯基的關注，一來是因VHD非常冷門，樣本很少，也沒在暗網中看過它被兜售，二來是駭客所使用的散布手法，令人聯想到進階持續性威脅（APT）攻擊。</p> <p>研究人員說明，他們在VHD中所發現的散布工具，含有一個專替受害者企業建立的管理憑證及IP位址列表，以針對所發現的任何機器執行暴力破解攻擊，只要成功建立連結，就會安裝網路共享，VHD便透過WMI呼叫被複製與執行，而這卻是APT攻擊常見的手法。</p> <p>5月的VHD攻擊進一步曝露了駭客的身分。當時駭客藉由開採VPN閘道的安全漏洞滲透到目標網路，取得了管理員權限，並在受害系統上部署了後門，進而掌控Active Directory伺服器，再於該網路的所有機器部署VHD勒索軟體，整個感染過程在10小時內完成。</p> <p>然而，卡巴斯基發現，駭客所使用的後門為MATA跨平臺框架的一個實例，而且不管是卡巴斯基或其它資安業者都認為，Lazarus集團是MATA框架唯一所有人，再加上VHD並非是個商業產品，因而斷定VHD也是Lazarus所有。</p> <p>研究人員表示，Lazarus向來處於APT與金融犯罪的交叉口，決定單打獨鬥的原因，也許是該集團發現自己很難與網路犯罪的黑社會互動，或者只是單純的不想與別人拆分獲利。</p> </div></div></div>
2020/7/29 23:20作者陳曉莉https://www.ithome.com.tw/news/139107
RedMonk熱門語言程式排名Java被Python取代，首次落至第3名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>RedMonk發表了<a href="https://redmonk.com/sogrady/2020/07/27/language-rankings-6-20/">2020年第3季的熱門語言程式排名</a>，相較於2019年同期的排名，JavaScript仍穩占第一名寶座，而Python正式擠掉Java成為第2名，Java則退到了第3名，第4名多年來都是PHP，接下來則是由C++和C#共享第5名。</p> <p>RedMonk熱門語言程式排名是綜合GitHub以及Stack Overflow平臺得到的排行結果，GitHub能夠反應程式碼實際使用狀況，而Stack Overflow則能呈現程式語言被討論的熱度，因此RedMonk熱門程式語言排行，可看出程式語言未來的採用趨勢。</p> <p>這季的贏家就屬Python了，Python在2020年第1季的排名，就已經與Java共居第2名，到了第3季Python排名沒有調動，是這些年來，除了JavaScript和Java之外，唯一進入過第2名的程式語言，官方提到，Python的多功能性過去一直被低估且忽略，但這是其持續強盛的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/lang-rank-q320-wm.png" style="width: 580px;" /></p> <p>Python是一種膠水語言（Glue Language），成千上萬的專案都靠Python黏合，而且<a href="https://www.ithome.com.tw/article/137552" target="_blank">Python也在新興技術找到立足之地，像是資料科學以及人工智慧應用</a>，官方認為，只要Python成為開發專案的熱門選擇，就會繼續在語言排名中表現亮眼。</p> <p>值得關注的是，從2012年以來，這是Java首次沒有進入排行第1名與第2名，雖然Java能夠滿足新使用案例的需求，因此目前仍被大量地使用，官方提到，在未來的幾年，Java也還會是企業的主流，但是Java目前遭遇到前所未有的競爭，這個名次的變動可能僅是暫時出現的波動，還需要在接下來幾個季度持續觀察，才能確定是短暫變化，還是長期下降的指標。</p> <p>除了這些發展一段時間的強勢語言，這次RedMonk熱門語言程式排名，也可以發現一些新興語言，積極的往上竄升，像是Mozilla力推的通用系統程式語言Rust，在5年前還在48名來回徘徊，落後Haskell、Matlab、Clojure和Groovy約30名，但現在已經超越這些前輩站穩第20名，官方提到，Rust的安全性設計，能夠被用來開發講究安全的應用程式，所以越來越受到關注，不過也正因為其特性，可能會與Go一樣，在10幾名的時候碰觸排名天花板。</p> <p>而另一匹黑馬則是Kotlin，在5年前，Kotlin的排名還在第68名，而現在已經領先Rust達到第19名，不過，官方提到，Kotlin、Dart和Julia這3個語言，近期成長呈現停滯的狀態，在Stack Overflow中的討論呈現負成長，但是在GitHub中的拉取請求又卻增加，他們不覺得這樣的發展跟武漢肺炎（COVID-19）疫情有關，還需要持續觀察。</p> <p>官方特別點出了第9名的TypeScript，官方提到，要維持高排名並不容易，像是Swift這類的語言，因為受特定平臺支援，所以可預期會處於高排名的位置，但是TypeScript算是特別的例子，官方指出，可能是因為基於JavaScript的普遍性，提供可選的類型安全性，且可以在VS Code方便地使用，成為了支撐TypeScript位居高排名的特色，但是TypeScript也有潛在排名天花板的問題。</p> </div></div></div>
2020/7/29 23:00作者李建興https://www.ithome.com.tw/news/139095
Lyft開源基礎設施統一管理平臺Clutch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Lyft開源了自家內部使用的基礎設施工具<a href="https://eng.lyft.com/announcing-clutch-the-open-source-platform-for-infrastructure-tooling-143d00de9713" target="_blank">Clutch</a>，其提供了可擴展UI以及API平臺，讓工程團隊能夠建置、執行和維護用戶友善的工作流程，包括特定的安全機制以及存取控制，另外，Clutch還提供了管理AWS、Envoy和Kubernetes等平臺的功能，官方提到，由於Clutch可擴展性設計，可以支援系統堆疊中的任何元件。</p> <p>Lyft提到，雲端運算採用的成本已經大幅下降，根據CNCF Landscape，現在已經有300多個開源專案，並衍伸出1,000多個商業產品，雖然企業已經可以快速選用這些專案，以及供應商提供的解決方案，但是每種技術都有自己的配置、工具、日誌和指標，開發人員要可以快速且安全地，在整個堆疊中執行變更，需要大量且持續投資工具開發，而這是大部分企業做不到的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_V8ABbw4r5b8sZHIL.png" style="width: 580px;" /></p> <p>在使用Clutch之前，Lyft的工程師需要仰賴各種命令列工具和網頁介面等，才能執行一些簡單的任務，官方舉例，像是在Lyft中最常處理的警示，就需要綜合6種不同的來源才能解決，包括警示、其他服務的儀表板、Runbook、文件、供應商控制臺或是腳本、配置設定。而這使得Lyft意識到，他們的工具已經無法跟上業務的發展。</p> <p>所以就算新基礎設施越來越容易採用，隨著平臺以及工程團隊規模的成長，管理新元件也會變得困難，而Lyft花了一年開發Clutch，就是要來解決因為內部開發人員經驗與工具不足，所產生的問題，讓基礎設施團隊能夠為整個工程團隊，提供直覺且安全的基礎設施管理介面。</p> <p>Clutch由兩部分構成，後端是以Go開發而成，設計成可擴展的基礎設施控制平面，可進行一般身份驗證，並且提供系統的可觀察性以及日誌紀錄稽核功能。而React前端是可插拔，以工作流為導向的UI，讓使用者不需要先具備豐富的JavaScript知識，能以更少的程式碼創建新功能，且更易於維護。</p> <p>Clutch採用了Envoy代理的許多核心模式，同樣也由配置、架構驅動，在不影響可維護性的狀態下，使用者可以利用模組化擴展基礎架構，使其能夠用於不同的使用案例中。Lyft提到，擴展Clutch不需要進行分叉或是重寫工作，自定義的公共和私有外部儲存庫的程式碼，可以直接被編譯到應用程式中，這使得大小企業採用的特殊技術，都能夠匯整到Clutch，將Clutch作為基礎設施控制平面。</p> <p>經過一年的發展，Lyft內部團隊積極地採用Clutch，並且將許多具風險的基礎設施管理，都透過Clutch處理，官方提到，在2020年底前，內部會有7個工程團隊採用Clutch。</p> </div></div></div>
2020/7/29 23:05作者李建興https://www.ithome.com.tw/news/139099
GitHub公開產品路線圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub一直以來都非常積極的發布新功能，為了讓使用者更清楚官方正在進行的計畫，以及即將到來的新功能，官方發布了<a href="https://github.com/github/roadmap/projects/1">GitHub公開路線圖</a>（GitHub Public Roadmap），這讓使用者能夠掌握，在未來幾個季度，GitHub將會發布的新功能以及相關消息。</p> <p>官方提到，他們希望能夠提高開發工作的透明度，讓使用者可以規畫接下來的採用計畫，並且也能提供回饋，為新功能的開發貢獻意見。</p> <p>GitHub公開路線圖是GitHub上新的公開儲存庫，任何人都能夠存取查看，其中的專案看板，詳列了即將要發布的版本，以及即將推出的功能。專案看板上的每個項目，都能連結到問題（Issue），並且詳細記載著官方規畫的內容，以及該項目重要的原因，開發者能夠查看官方交付該項功能的時程，還有一些操作細節。</p> <p>板上的項目有許多標籤，官方舉例，當開發者以beta、server與security & compliance標籤過濾專案看板，就能查看到程式碼掃描以及機密掃描兩項功能，即將被添加到GitHub企業伺服器Beta版本中。另外，開發者也能夠查看儲存庫，或是訂閱公開路線圖的問題，並在GitHub直接收到相關通知。</p> <p>GitHub過去會在大型活動或是部落格上，發布產品公告，雖然他們現在公開路線圖，但今後他們也還會繼續這項工作，官方提到，雖然公開路線圖還不夠完整，但已經涵蓋GitHub大多數的產品計畫，官方也會定期更新路線圖。除了內容，官方也計畫更新路線圖本身的格式，他們認為，社群對問題的評論以及GitHub Discussions上的討論，都讓官方可直接接收來自社群的意見，補充不足的想法。</p> <p>在去年，GitHub就發布了200多項新功能，包括支援開發者工作流程的Actions、Packages和Codespaces，還有新的行動與桌面客戶端以及CLI，可助開發團隊更容易的合作，同時，GitHub也建構了新功能來支援社群，像是正在Beta測試的GitHub Discussions，就可讓社群分享想法與知識。</p> </div></div></div>
2020/7/29 23:10作者李建興https://www.ithome.com.tw/news/139101
國發會MyData平臺試營運上線! 31項政府個人化資料現在讓民眾自己決定怎麼用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經多年規畫，國發會終於推出MyData（數位服務個人化）平臺，民眾可透過自然人憑證、健保卡等完成線上身分驗證，就能從教育部、內政部等部會機關下載儲存個人化資料，或是將資料授權給第三方服務業者線上取用，如銀行、國營事業，申請信用卡、個人信貸或停復用天然氣等等。</p> <p>國發會副主委高仙桂表示，政府資料的開放及運用，如何透過資料加值運用刺激整個數位經濟發展，一直是國發會的重要工作之一，政府基於業務推動及需要，蒐集許多重要資料，政府資料如同一個寶庫，國發會推動政府資料開放運用，除了已釋出4萬多筆資料的開放資料（Open Data）外，在比較敏感的個人資料方面透過MyData，讓民眾取回放在政府資料庫的個人化資料，同時保有自主運用的權利。</p> <p><span style="color:#B22222;"><strong>三種資料運用模式</strong></span></p> <p>為實現政府的個人化資料自主運用，MyData平臺讓民眾通過線上身分驗證及授權機制，身分驗證依每項資料的敏感性不同，要求自然人憑證、健保卡、TW FidO、雙證件卡號等不同驗證方式，目前MyData上提供了三種資料運用模式：自行下載、臨櫃核驗、線上服務。</p> <p>自行下載模式是讓民眾以自然人憑證、健保卡、通過身分驗證後，自行將資料下載儲存到個人電腦上，目前共有教育部、內政部、財政部、經濟部、交通部、衛福部、勞動部共7個部會，釋出戶役政、勞保、地政、交通、商工等類別共31項資料集。</p> <p>目前開放民眾下載的政府資料類型，包括地政、交通、商工、健保等類別：（圖片來源：MyData）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dataset.jpg" style="width: 600px; height: 264px;" /></p> <p>這些釋出的資料集包含內政部的個人戶籍資料、現戶全戶戶籍資料、地籍及實價資料、國民身分證影像，財政部的財產資料、個人所得資料、房屋稅繳納證明，經濟部的公司登記資料，交通部的車籍、駕籍、違規資料，勞動部的勞保被保險人投保資料、國民年金給付資料，還有衛福部的個人投保資料、保險費繳納紀錄，以及教育部釋出的全國高中學生學籍資料等等。民眾只要通過線上身分驗證，就能線上瀏覽這些資料，或是下載至個人電腦中儲存。</p> <p>至於臨櫃核驗模式則和地方縣市政府合作，民眾通過身分驗證後，先將資料下載至MyData平臺暫存，每個暫存資料集產生專屬的條碼及一次性密碼，當民眾到地方縣市政府臨櫃辦理服務時，只要將條碼交給櫃檯承辦人員，再輸入密碼，就能授權地方縣市政府在MyData存取暫存的資料，地方縣市政府存取民眾資料後，系統會自動通知民眾，並移除暫存的資料。</p> <p>臨櫃核驗模式讓民眾可以MyData上暫存的個人資料數位檔案，取代紙本資料通過臨櫃核驗，不過，現在可接受臨櫃核驗模式的縣市只有花蓮縣、桃園市、嘉義縣三個地方政府，三縣市開放共13項業務支援臨櫃核驗，例如停車識別證申請、個人使用牌照稅、房屋稅、地價稅繳納證明，敬老卡或愛心卡、長期照護申請等。</p> <p>國發會以民眾向花蓮縣政府臨櫃申辦身心障礙者停車識別證為例，過去需要準備戶籍、車籍、駕籍等紙本文件資料，現在只要先在MyData平臺通過身分驗證，先將三項資料下載暫存至MyData上，再將三項資料對應產生的條碼交給臨櫃人員，輸入一次性密碼，地方政府就可取得MyData暫存的相關資料辦理服務。</p> <p>至於第三個線上服務模式，是讓民眾通過線上身分驗證，同意個資蒐集、授權第三方的政府機關、國營事業或銀行業者使用特定的資料，即不需要臨櫃就能線上提供個人資料辦理。目前可接受該模式的有教育部、經濟部、中油，還有金管會協助的台新銀行、玉山銀行、中信、台北富邦、彰化銀行、台中銀行、遠東7家銀行部分金融服務，例如信貸、信用卡、車貸、房貸等金融服務，共40項服務項目。</p> <p>民眾使用MyData線上服務模式，授權給第三方服務提供者使用個人化資料，以當次立即授權為主，並非永久授權，同一筆資料若要再授權其他服務提供者，民眾需要再重新下載資料至MyData暫存，再一次授權其他服務提供者存取。</p> <p>國發會也強調，MyData不會儲存民眾的個人化資料，資料傳輸及檔案均加密處理，民眾下載資料、線上授權第三方使用都會留下Log紀錄，可透過MyData平臺查詢個人化資料的流向。</p> <p><span style="color:#B22222;"><strong>未來逐步擴大MyData平臺</strong></span></p> <p>目前MyData數位服務個人化平臺剛試營運，由於這是政府開放資料供民眾個人運用的新模式，國發會寄望透過試營運，吸引更多政府機關、縣市政府、第三方服務提供者加入。</p> <p>高仙桂指出，未來國發會推動MyData的中長期目標，包括持續擴充個人資料及服務、擴大試辦領域，目前該平臺限民眾本人使用，未來也會研擬代理人制度，並且朝向資料經濟發展。</p> <p>以資料為例，現在參與MyData平臺釋出的政府機關資料項目只有31項，國發會表示，未來會繼續協調政府機關釋出更多資料，預計今年底將可達到100項資料；臨櫃核驗模式，目前只有三個地方政府支援，國發會希望透過三個縣市政府的示範效果，未來吸引更多縣市加入MyData的臨櫃核驗模式，國發會也預告新竹縣市、高雄未來也可望加入，但並未提及臺北市、新北市、臺中市等其他重要縣市，國發會僅表示透過MyData試營運，未來在便民政策下，希望更多縣市政府加入MyData。</p> <p>現在，MyData線上服務項目為40項，今年底將增加至70項，其中銀行業者的金融服務方面，國發會將和金管會合作，讓更多銀行的金融服務加入MyData的線上服務項目中。</p> <p>其他政府機關或民間服務業者若想加入MyData平臺，根據國發會已公開的MyData平臺介接作業試辦要點，可介接平臺的資料提供者、第三方服務提供者身分，包括行政院及其所屬二、三級機關（構），行政院以外及其所屬機關、直轄市、縣市政府及其所屬一級機關、經教育部同意的大專院校，還有銀行、聯合徵信中心及國營事業。</p> <p>對於想要介接MyData平臺的第三方服務提供者，國發會要求必需對民眾個資的蒐集以最小化為原則，且資料利用方式應和蒐集目的相符；在取得民眾同意提供個人化資料之前，明確告知服務條款、確保民眾瞭解，且通過平臺取得的民眾個人化資料，權利仍歸民眾所有。另外，資料提供者或服務提供者都需要滿足一定的資安要求，例如保留資料傳輸紀錄至少一年等等。</p> <p> </p> </div></div></div>
2020/7/29 21:28作者蘇文彬https://www.ithome.com.tw/news/139105
Garmin坦承遭遇加密攻擊，多項停擺服務近日開始復原，已有超過半數正常上線運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="https://www.ithome.com.tw/news/139004">Garmin疑遭勒索軟體攻擊</a>的狀況，該公司遲遲沒有揭露遇害細節，在7月28日下午，Garmin更新了他們的事件公告內容，當中透露出他們確實遭到勒索軟體。</p> <p>根據Garmin最新公布的資訊，他們表示是網路攻擊的受害者，並指出這樣的攻擊導致他們某些系統被加密，雖然內容沒有提到勒索軟體，但遭受攻擊與系統被加密的狀況，其實也間接坦承了他們是受到加密勒索軟體攻擊，只是尚未公布事件調查結果，是否真如外界傳出的資訊，是<a href="https://www.ithome.com.tw/news/139043">遭遇到WastedLocker勒索軟體</a>。</p> <p>關於Garmin旗下平臺與功能的復原狀況，是許多用戶關注的焦點，在這幾日已有陸續復原的跡象。自7月23日傳出服務大當機事件以來，服務中斷一直持續到了第三日，也就是7月26日中午左右，此時，他們的航空產品線有多項服務恢復正常運作，也是該公司最先復原的項目。不過，從官方Connect服務狀態網頁來看，他們的6大平臺與主要功能，還是呈現紅色燈號的當機（Down）狀態。</p> <p>7月27日中午左右，也就是在事件傳出的第五天，我們再度檢視官方Connect服務狀態網頁，開始看到其平臺與主要功能，部分開始恢復運作，或是有限度的功能啟用。</p> <p>例如，在27日11時30分左右，先是Garmin Connect平臺，從紅色當機燈號，開始變為橘色燈號的有限度上線運作（Limited），接著再12時30分左右，更多平臺開始恢復運作，例如，包括高爾夫產品線平臺Garmin Golf、潛水產品線平臺Garmin Dive與運動即時追蹤平臺LiveTrack，都從紅色燈號變為綠色燈號的運作（Online）狀態，而像是軟體商店Connect IQ、兒童手環產品線平臺vivofit Jr.，。</p> <p>此外，雖然更多服務開始復原，不過還是有一些狀況，像是飛航資料庫平臺flyGarmin.com，在27日又服務中斷了1小時2分鐘，而Garmin Pilot Data Services也出現有限度上線運作達1小時6分鐘，目前後續狀況已經排除，恢復正常上線狀態。</p> <p>另外，還有一個未經證實的消息，但也受到不小的關注。根據BleepingComputer之前的報導，他們的消息來源之一說，攻擊者要求提供1千萬美元（約新台幣3億元）的贖金，才能取得解密金鑰。而後續也有諸多國外媒體引用這項資訊，例如BBC與Forbes等。不過，Garmin官方並未證實這則訊息。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89Garmin%E5%9D%A6%E6%89%BF%E9%81%AD%E5%8A%A0%E5%AF%86%E8%88%87%E6%81%A2%E5%BE%A9%E7%8B%80%E6%B3%81.jpg" style="width: 600px;" /></p> <blockquote><p>我們在7月26日於Garmin官方網站，看到他們發布第二次針對這次事件的公告，說明Garmin伺服器因為系統中斷，連帶影響了Garmin Connect和Garmin Pilot，並列出Q＆A以回應相關問題，當中雖然並未公布預估的復原時間，但也說明目前未發現有用戶資料外洩。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Garmin%E5%9D%A6%E6%89%BF%E9%81%AD%E5%8A%A0%E5%AF%86%E8%88%87%E6%81%A2%E5%BE%A9%E7%8B%80%E6%B3%81.jpg" style="width: 600px;" /></p> <blockquote><p>後續，他們也不斷更新這份公告。例如，在他們復原Garmin Pilot平臺後，對於受系統中斷影響的相關Garmin系統和服務，只留下Garmin Connect；之後，他們在28日又補充了更多資訊，包含表達他們是網路攻擊的受害者，並指出該攻擊導致他們某些系統被加密，而這也等於他們間接坦承遭遇勒索軟體。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2A）Garmin坦承了遭加密與恢復狀況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%89Garmin%E5%9D%A6%E6%89%BF%E4%BA%86%E9%81%AD%E5%8A%A0%E5%AF%86%E8%88%87%E6%81%A2%E5%BE%A9%E7%8B%80%E6%B3%81.jpg" style="width: 297px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2B）Garmin坦承了遭加密與恢復狀況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89Garmin%E5%9D%A6%E6%89%BF%E4%BA%86%E9%81%AD%E5%8A%A0%E5%AF%86%E8%88%87%E6%81%A2%E5%BE%A9%E7%8B%80%E6%B3%81.jpg" style="width: 297px;" /></a> </p> <blockquote><p>關於Garmin服務中斷的復原狀況，適用戶關注的重點，而這三天有了更多的好消息傳出，在7月27日11時之前，我們再度檢視官方Connect服務狀態網頁，當時其6大平臺與主要功能，都是紅色燈號的當機狀態（左圖），不過到了12時30分後，已有一半的平臺與功能<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">開始恢復運作，另一半也呈現出有限度服務上線的情況。</span></p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Garmin坦承遭加密與恢復狀況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Garmin%E5%9D%A6%E6%89%BF%E9%81%AD%E5%8A%A0%E5%AF%86%E8%88%87%E6%81%A2%E5%BE%A9%E7%8B%80%E6%B3%81.jpg" style="width: 600px;" /></a></p> <blockquote><p> 這次事件對Garmin的營運造成不小衝擊，就連旗下飛航導航產品平臺也受影響，雖然復原進度最快，不過到了27日再出狀況，所幸其飛航資料庫平臺flyGarmin.com只停擺1小時2分。</p> </blockquote> </div></div></div>
2020/7/29 16:31作者羅正漢https://www.ithome.com.tw/news/139096
資安一周第104期：臺灣知名GPS及穿戴式裝置大廠遭網路攻擊，因部分系統被加密導致線上服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0723-0729 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Garmin疑遭勒索軟體攻擊，飛航與多項產品服務停擺</strong></h2> <p>企業受到勒索軟體攻擊而影響營運，最近幾個月可說是時有所聞。例如，臺灣知名GPS及穿戴式裝置大廠Garmin（臺灣國際航電），於7月23日<a href="http://www.ithome.com.tw/news/139004">傳出遭駭的消息</a>，IT部門針對臺灣各部門發送通知，指出內部IT伺服器和資料庫受攻擊，產線停工兩天。多家國外媒體私下向Garmin員工查證，該公司可能是遭到WastedLocker勒索軟體攻擊。</p> <p>經過2天搶修，Garmin優先恢復多項飛行導航服務，並再度於26日發出公告，坦言伺服器因系統中斷，影響Garmin Connect和Garmin Pilot平臺上的部分服務，並表示用戶資料不受影響。不過，該公司後來於28日更新了公告內容，證實他們遭到網路攻擊，某些系統被加密而導致許多線上服務中斷。<strong><a href="https://www.ithome.com.tw/news/139043">詳全文</a></strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/101-1-Xerox-MazeRansom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/104-1-garmin-twitter.png" style="width: 400px;" /></a></strong></p> <p>圖片來源：Garmin</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">基因資料庫GEDmatch遭駭客攻擊，120萬用戶基因檔案全曝光，電子郵件信箱疑被用於網路釣魚攻擊</strong></h2> <p>提供基因比對服務的GEDmatch，坦承在7月19日遭到駭客濫用既有用戶的帳號展開攻擊，使得所有用戶的資料全數曝光。根據維基百科記載的資料，GEDmatch至少存放120萬名用戶的DNA檔案。</p> <p>GEDmatch表示，此攻擊造成所有使用者的權限全被重設，讓他們的DNA檔案曝光約3小時。在這段期間，原本設定不允許執法機關比對的DNA檔案，突然解除限制，而且執法機關的檔案也遭到曝光。</p> <p>該公司強調並未發現用戶的個資遭到下載，但提供族譜服務的MyHeritage卻在21日提出警告，表示他們發現駭客對自己的用戶發動網路釣魚攻擊，而其使用的電子郵件名單，很可能就是來自GEDmatch網站。<a href="https://www.ithome.com.tw/news/139033"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃供應鏈攻擊</strong></h3> <h2><strong style="vertical-align: top;">Fintech獨角獸Dave傳出750萬用戶資料外洩，起因是前合作廠商遭駭客入侵</strong></h2> <p>在2016年創立的數位銀行服務Dave，於7月25日坦承，由於先前合作的第三方服務供應商Waydev遭到駭客入侵，輾轉使得駭客存取Dave的用戶資料。根據ZDNet的報導，駭客當天就在地下論壇散布逾750萬名Dave用戶資料。</p> <p>Dave表示，Waydev為該公司之前的服務供應商，由於Waydev遭到駭客入侵，才使得駭客得以存取他們的用戶資料。Dave通知受到波及的用戶，並強制重設密碼，但他們強調，尚無證據顯示外洩帳號遭到未經授權的操作，或是造成財務損失。<a href="https://www.ithome.com.tw/news/139056"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃社群網站＃影音串流平臺＃加密貨幣詐騙</strong></h3> <h2><strong style="vertical-align: top;">推特比特幣詐騙事件延燒，蘋果創辦人Steve Wozniak等18人提告，控訴YouTube放任相關詐騙行為</strong></h2> <p>推特在7月15日<a href="http://www.ithome.com.tw/news/138986">遭到駭客入侵</a>，並控制130個名人帳號，用來張貼比特幣詐騙訊息，引發各界關注，但類似的事件也在其他社群平臺發生。蘋果創辦人Steve Wozniak與其他17名受害者指控，駭客時常冒用他們的名義，在YouTube上進行比特幣詐騙，但屢次向站方反映，他們卻毫無作為，該網站甚至提供廣告服務給這些不法份子。這些受害者指控，相較於推特事發後採取一系列保護措施，YouTube根本是在助長這種金融犯罪行為。<strong><a href="https://www.ithome.com.tw/news/139022">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃殭屍網路＃SMB ＃挖礦攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">殭屍網路病毒Prometei利用SMB漏洞植入挖礦軟體</strong></h2> <p>思科安全研究部門Talos揭露一波攻擊行動，駭客利用多種能力的殭屍網路病毒Prometei，感染Windows電腦並植入挖礦軟體。這起攻擊從今年3月開始，研究人員在6月首度看到並加以分析，發現Prometei具備超過15種功能模組，其中主要模組的用途，是利用受害電腦挖礦，賺取門羅幣，再者，該病毒也會收集比特幣的電子錢包帳號密碼，研究人員認為也可能會竊取比特幣。</p> <p>至於駭客散布Prometei的管道，也相當值得留意，因為方法非常多元，包含了利用竊得的SMB帳號密碼，或者是相關的漏洞（如SMBGhost），也有部分是經由Windows其他元件的漏洞下手。<a href="https://www.ithome.com.tw/news/138981"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">快速充電器也會被駭！攻擊者控制其供電行為能導致遠端燒毀手機</strong></h2> <p>能縮短智慧型手機、平板電腦充電時間的快速充電器，也被發現韌體不夠安全，能夠造成實體破壞。騰訊安全玄武實驗室於7月16日，在部落格上揭露一種名為BadPower的攻擊手法，攻擊者藉由竄改快速充電器的韌體，大幅增加導入充電裝置的電壓，進而遠端將受害者的裝置溫度升高，甚至能熔毁裝置上的元件。</p> <p>該實驗室取得市面上35款充電器進行測試，至少有18款產品存在此類情況；而對於快充控制晶片，34個廠牌的晶片也有18個能被竄改韌體。不過，他們並未公布受影響的充電器與品牌。而對於使用者，研究人員呼籲，不要隨意把自己的充電器借給他人使用。<strong><a href="https://www.ithome.com.tw/news/138942">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/104-2-trencend-badpower.png" style="width: 400px;" /></p> <p><strong>圖片來源：騰訊安全玄武實驗室</strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃應用程式安全</strong></span></h3> <h2><strong>大疆無人機手機應用程式DJI Go 4爆出會暗中收集資料，存在不安全的C&C伺服器連線機制</strong></h2> <p>今年初美國當局下令限縮無人機運用範圍，僅能緊急任務出動，當地無人機市占近8成的中國品牌大疆（DJI），被認為是美國發布禁令的主要原因。而這個廠牌的爭議最近再添一樁，因為安全廠商Synacktive揭露對於安卓版手機應用程式DJI Go 4的研究，他們發現大疆使用多種類似惡意程式的迴避分析手法，部分功能會呼叫遠端C&C伺服器等待檔案下載，在繞過Google的防護機制下，強制為手機安裝軟體。再者，DJI Go 4不只會要求多種存取權限，還會藉由SDK分享資料給微博，其中收集的資料包含了IMSI、IMEI，以及SIM序號，不僅與無人機飛行無關，也逾越該公司隱私政策的範圍。</p> <p>針對資安廠商的發現，大疆也提出回應，他們表示上述的情況並沒有發現遭到濫用，部分漏洞已經修補，至於應用程式的更新，也會要求用戶改從Google Play市集下載。<a href="https://www.ithome.com.tw/news/139048">詳全文</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/104-3-djigo4-forced_update.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/104-3-djigo4-forced_update.png" style="width: 200px;" /></a></p> <p>圖片來源：Synacktive</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態</strong></span></h3> <h2><strong style="vertical-align: top;">推動國內資安人才培育，網通大廠合勤舉辦首屆網路攻防大賽</strong></h2> <p>透過網路攻防競賽的舉行，已成為發掘與驗證臺灣資安人才實力的重要活動。繼資安公司、政府，以及社群舉辦的相關競賽之後，網通大廠合勤今年也投入這樣的活動，首度舉辦「榮耀資戰－重裝上陣」賽事，吸引190組選手參賽，7月24日進行決賽階段。而參賽者的任務，就是在主辦方提供的網路環境中，執行弱點探測、系統入侵，以及漏洞防護等項目。<strong><a href="https://www.ithome.com.tw/news/139055">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139050">6年培養近千名資安人才，暑期課程AIS3將續辦</a><br /> ●<a href="https://www.ithome.com.tw/news/138893">英國向俄羅斯喊話，要求別再偷武漢肺炎疫苗研發機密</a><br /> ●<a href="https://www.ithome.com.tw/news/138971">以色列水利系統遭到網路攻擊，駭客鎖定農用水泵下手</a><br /> ●<a href="https://www.ithome.com.tw/news/138990">蘋果啟動iOS安全研究裝置計畫，漏洞揭露規則惹議</a></h3> </div></div></div>
2020/7/29 15:58作者周峻佑https://www.ithome.com.tw/news/139094
美國連鎖藥妝店Rite Aid遭爆於200個門市安裝人臉辨識監視系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/investigates/special-report/usa-riteaid-software/" target="_blank">路透社本周刊出了一篇調查報導</a>，指出美國連鎖藥妝店Rite Aid最近這8年，已於200家門市安裝了人臉辨識監視系統，目的是為了減少竊盜，不過，在路透社準備出刊的前一周，Rite Aid便說它們已關閉了這些監視器且不再使用人臉辨識軟體。</p> <p>Rite Aid為美國東岸最大的連鎖藥妝店，也是美國第三大連鎖藥妝店，在全美部署了近2,500家的門市，但僅有200家採用具備人臉辨識功能的監視器。</p> <p>這些監視器通常安裝在門市入口或化妝品走道上，在拍下消費者的人臉之後與Rite Aid的資料庫進行比對，該公司的資料庫主要存放了過去所觀察的、可能涉嫌犯罪行為的顧客，若成功配對就會傳送通知到保全的手機，保全會先再次確認其比對的準確度，再採取行動，例如勸說顧客離開。</p> <p>路透社的分析則發現，比起富裕的社區，這些人臉辨識監視器更容易出現在貧窮的社區，例如貧窮社區的25家門市中，就有17家安裝了監視器，但富裕社區的40個門市中，只有10家安裝監視器。此外，儘管Rite Aid宣稱會在門市及官網上貼出含有人臉辨識監視器的公告，但實際的走訪發現有超過1/3的門市並未看到任何公告。</p> <p>此外，不只是Rite Aid，其實也有其它零售商店對人臉辨識監視系統很感興趣，例如家庭裝修連鎖店Home Depot這一年來便曾進行相關系統的測試，但已於今年喊停，而同樣銷售居家裝潢用品的Menards及美國知名賣場Walmart，也傳出在特定門市中部署了人臉辨識監視系統。</p> <p>這些商家部署人臉辨識監視系統的企圖不難理解，它們都是為了減少店內的竊盜損失，得以透過人臉辨識技術預先防範。然而，人臉辨識涉及了隱私與歧視等議題，不僅是IBM、Amazon及微軟等科技業者，<a href="https://www.ithome.com.tw/news/138204" target="_blank">都不再銷售人臉辨識服務予警方</a>，包括<a href="http://www.ithome.com.tw/news/138438" target="_blank">舊金山與波士頓在內的多個美國城市</a>，也已直接立法禁用人臉辨識技術，<a href="https://www.ithome.com.tw/news/135445" target="_blank">歐盟亦計畫</a>在未來5年內，禁止公、私機構在大眾場所使用人臉辨識技術。</p> </div></div></div>
2020/7/29 17:00作者陳曉莉https://www.ithome.com.tw/news/139097
工業級VPN產品爆RCE漏洞，危及工控系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於工控系統的安全廠商<a href="https://www.claroty.com/2020/07/28/vpn-security-flaws/" target="_blank">Claroty Research發現</a>，Moxa在內的三家工控系統的VPN產品存在遠端程式碼執行（RCE）漏洞，使其工控系統及網路曝露於駭客攻擊風險中。</p> <p>該公司發現漏洞的VPN主要用於直接存取工控系統（ICS），後者的角色是維護和監控煉油、核電、水利／發電廠的廠區控制器及裝置，包括PLC及I/O裝置。這些工控系統主要是位於網路層Level 5，但其監控及可存取的設備則是位於網路Level 1/0。這些漏洞使攻擊者可經由VPN實作上的漏洞，直接存取廠區控制裝置，造成實際損害。</p> <p>出現漏洞的產品分別來自Moxa、Secomea和 HMS Networks。首先CVE-2020-14511漏洞影響Moxa EDR-G902和EDR-G903的工業VPN路由器伺服器。成功開採這漏洞可讓攻擊者發送惡意HTTP呼叫，在目標系統的網頁伺服器觸發記憶堆疊（stack）的緩衝溢位，而不需任何輸入密碼便能遠端執行程式碼。</p> <p>其次是Secomea GateManager，它是 ICS遠端存取伺服器，常部署為SaaS服務，可提供快速連網服務，但免於伺服器的繁複設定。研究人員發現它的路由執行個體元件存在重大風險的CVE-2020-145漏洞。GateManager伺服器的執行個體元件為了接收遠端網站或裝置的連線，曝露於外部網路如網際網路。新發現的漏洞出在它處理終端發出的HTTP呼叫標頭不當，使駭客可以執行任意程式碼、取得企業內部網路控制權，還能解密所有經由VPN傳送的流量內容。</p> <p>GateManager另外還出現兩個非由Claroty Research揭露的漏洞，包括RCE漏洞CVE-2020-14508以及指令執行漏洞CVE-2020-14510。</p> <p>另一個問題產品是HMS Networks的eWon，它是提供機器設備商等製造廠遠端監控工廠設備效能的VPN連線伺服器。使用者透過名為eCatcher的VPN用戶端軟體來連結eWon。Claroty研究人員發現eCatcher存在重大的堆疊記憶體緩衝溢位漏洞（CVE-2020-14498），如果使用者被引誘造訪惡意網站，或是開啟包含HTML的惡意郵件，就能觸發這項漏洞。研究人員進行PoC測試下，只要用戶電腦的Outlook接收並載入一封包含惡意圖檔的郵件，就能以最高權限執行程式碼，接管用戶整臺機器。</p> <p>研究人員發現這三個漏洞後分別在4月及5月通報業者，後者也在6月、7月完成修補。</p> <p>研究人員指出，由於COVID-19疫情擴散，許多企業員工在家上班，使得提供遠端存取工控系統的工具運用愈來愈普及，但也會成為駭客攻擊的焦點。研究人員相信，攻擊者可能使用阻斷服務（DoS）、ICS勒索軟體、釣魚信件等手法來攻擊這些設備。</p> <p>ICS相關的攻擊事件已屢見不鮮。<a href="https://www.ithome.com.tw/news/138610" target="_blank">伊朗7月間一個星期內連續發生核武及軍事設施兩起爆炸</a>，媒體報導可能和駭客攻擊有關。</p> </div></div></div>
2020/7/29 15:15作者林妍溱https://www.ithome.com.tw/news/139092
川普又被打臉！Twitter、YouTube及臉書移除被川普轉推的影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在本周一（7/27）於Twitter上，轉貼了一則宣稱羥氯奎寧（hydroxychloroquine）可治療武漢肺炎（COVID-19）的新聞影片，但<a href="https://www.businessinsider.com/facebook-youtube-twitter-take-down-false-covid-video-shared-trump-2020-7?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">該影片不但在隔天被Twitter以散布不實疫情資訊為由將它移除</a>，YouTube及臉書也都以同樣的理由，移除了各自平臺上的相關影片。</p> <p>川普所轉貼的影片是由一群自稱為美國第一線醫生所召開的一場記者會，這群醫生宣稱羥氯奎寧可以治療武漢肺炎病毒，還說這樣一來大家就不需要再戴口罩了。</p> <p>事實上，最近已有不少研究指出，以羥氯奎寧來治療武漢肺炎病毒是無效的，還將它稱為偽科學，但不只是川普，最近染疾的巴西總統波索納洛（Jair Bolsonaro）也相信羥氯奎寧是有效的。</p> <p>不論如何，這則宣稱羥氯奎寧是有效的新聞在各大平臺上被瘋狂傳播，當天在臉書上被點閱的次數超過1,400萬，分享60萬次，在YouTube上被觀看的次數也超過4萬次，還被川普在Twitter上轉推，不過，這三大平臺在當天或隔天，就相繼把該則影片以不實資訊為名移除了。</p> <p>Twitter顯然加深了與川普之間的嫌隙，<a href="https://www.ithome.com.tw/news/137895" target="_blank">該平臺在今年5月</a>在川普批評郵寄投票是種詐欺行為的言論上，直接嵌入事實查核連結，指出川普的宣稱是錯誤的，引發川普簽署了去除社交網站保護傘的<a href="https://www.ithome.com.tw/news/137946" target="_blank">行政命令</a>，現在Twitter則是直接把川普所轉貼的影片移除，更讓川普臉上無光。</p> <p>其實Twitter不只移除了川普所轉貼的影片，也移除了該平臺上所有該新聞的影片，不過，川普的兒子Donald Trump Jr 也轉貼了同樣的影片，Twitter則是直接把小川普停權12小時。</p> </div></div></div>
2020/7/29 15:30作者陳曉莉https://www.ithome.com.tw/news/139093
Amazon、臉書、蘋果與Google共同面臨美國的壟斷調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.house.gov/Committee/Calendar/ByEvent.aspx?EventID=110883" target="_blank">美國國會將在今日（7/29）舉行一場聽證會</a>，對象是美國的四大科技業者--Google、蘋果、臉書與Amazon，調查這些業者的商業手法是否妨礙了市場競爭，而這也是 Alphabet/Google執行長Sundar Pichai、蘋果執行長Tim Cook、臉書執行長Mark Zuckerberg與Amazon執行長Jeff Bezo<a href="https://www.nytimes.com/2020/07/28/technology/amazon-apple-facebook-google-antitrust-hearing.html" target="_blank">s首度一起於國會露面</a>，以捍衛他們的作法是合理的，而他們針對這場聽證會所準備的開場陳述也提前曝光。</p> <p>其實美國國會為了這場聽證會已作了充份的準備，在這一年來進行了數百小時的訪談，也取得了逾130萬份與上述科技業者有關的文件。其中，Amazon被指控濫用其既是零售商又是第三方交易平臺的角色，蘋果的App Store則被質疑阻撓競爭對手並強迫開發者支付高額分潤，臉書被指控壟斷了社交網路市場，而Google在廣告、搜尋與Android平臺上的主導地位，早就讓母公司Alphabet疲於處理來自四面八方的壟斷指控。</p> <p>美國眾議院已公布了各執行長的開場陳述，其中，蘋果執行長Cook表示，在App Store的170萬的程式中，只有60個是蘋果開發的，很明顯地蘋果扮演的是守門員的角色，因此努力地讓更多的程式在App Store上架，而非防堵它們。</p> <p>而在App Store的程式拆帳比例上，Cook則解釋在2008年設立App Store時，所參考的是精心替消費者挑選商品的高級百貨公司，強調App Store的訂價結構讓開發者擁有比過去更好的選擇，因為實體商店不但收取高額的上架與分潤費用、覆蓋範圍有限，而且光碟格式不但需要運送也難以更新。此外，App Store上絕大多數的程式，都由開發人員取得了100%的收益。</p> <p>對於身為美國的線上零售龍頭，Amazon執行長Bezos則說，Amazon在全球零售市場的占有率不到1%，在美國不到4%，Amazon每天都在與Target、Costco及Walmart等對手競爭，也面臨來自Shopify等新興服務的競爭，在海外則面臨來自阿里巴巴與樂天的競爭。</p> <p>此外，就算Amazon同時經營自家的商場與代管平臺，但代管第三方零售商的平臺現在已占了Amazon所有實體商品銷售金額的60%，成長速度快過Amazon自己的零售操作。</p> <p>Bezos也提及了Amazon對於創造工作機會、提高零售商收入、捍衛全球氣候，以及替消費者創造更便宜、便利與良好購物經驗的貢獻。</p> <p>Google執行長Pichai則說，相較於過去，使用者現在已有更多搜尋資訊的方法，除了搜尋引擎之外，他們可以問Alexa，可以在Twitter上看新聞，可以透過WhatsApp問朋友，能夠在Snapchat或Pinterest上取得建議，或者是直接造訪Amazon、eBay與Walmart的網站來搜尋商品。而在網路廣告上，包括Twitter、Instagram或Pinterest都是Google的競爭對手，而且這樣的競爭已讓這十年來的廣告價格下滑了40%。</p> <p>至於開放的Android平臺則免費供全球數千家裝置製造商與電信業者使用，也不要求必須整合Google服務，這使得某些市場甚至推出只要50美元的Android手機，替許多人開啟了學習及經營商業的機會。</p> <p>面臨外界要求拆分Instagram與WhatsApp的聲浪，臉書執行長Zuckerberg認為，它們已是臉書家族程式的一部份，並藉由臉書的架構與技術促進Instagram與WhatsApp的成長，包括打擊這兩個程式上的有害與垃圾訊息。WhatsApp原本是個付費程式，但臉書讓它變成免費，還透過臉書的技術使它具備通話與視訊能力，而且還在繼續替WhatsApp及Instagram打造新功能。</p> <p>上述科技業者在開場陳述中沒有例外的都在捍衛自己的行為，認為所採取的作法無非是為了改善服務、造福使用者，以及因應市場競爭，不過，反壟斷小組委員會的15名成員在聽取他們各自的開場陳述後，即會提出各式各樣的問題，這場聽證會將在周三中午展開，由於涉及4家大型科技業者的市場競爭態勢異常複雜，不少人猜測該聽證會可能會持續到晚上。</p> </div></div></div>
2020/7/29 14:30作者陳曉莉https://www.ithome.com.tw/news/139091
NBA利用微軟Teams將觀眾影像投射到場館
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎影響下，所有大型活動及比賽一度全部喊卡，即使近日復賽也都不開放觀眾進場。<a href="https://pr.nba.com/nba-venue-broadcast-enhancements/" target="_blank">美國職籃（NBA）上周宣布引進微軟協同軟體Teams</a>，可讓觀眾透過視訊科技不但虛擬觀賽，還能進入球場。</p> <p>在經過四個月的停賽後，NBA於上周在不開放觀眾進場下復賽，以完成19/20年賽季。但是沒有觀眾的球賽將相形失色，不僅球員也打得不起勁，空盪盪的場地也使得球賽變得十分詭異。</p> <p>在NBA和微軟合作下，每場比賽將可邀請至少300位球迷透過Teams加入視訊，並映射到場邊17吋電視螢幕上。<a href="https://www.ithome.com.tw/news/138687" target="_blank">Teams本月宣布的Together mode</a>可移除每位參加者的背景，使他們好比坐在場邊觀眾席上，分兩邊為自己的球隊加油、喝采及彼此互動。虛擬觀眾的影像和聲音也會成為球賽轉播內容的一部分。</p> <p>微軟表示，Together mode可讓球迷更融入比賽，也讓球隊感受球迷的熱情，即使他們人無法進入場內。</p> <p>其他科技方面，為了提供觀眾更具臨場感的體驗，負責轉播的ESPN、Turner Sports將出動30多臺攝影機，包括機器人，將更近距離拍攝場以提供過去看不到的視角，並強化麥克風收音品質，以便提供球鞋摩擦地板及球彈起的聲響。</p> <p>此外，所有觀眾也可以透過NAB App、推特、NBA.com為支持球隊加油，這些內容也會以圖像及動畫形式出現在場邊的電視螢幕上。NBA也和社群平臺合作，讓球迷將自己的影片播送到TikTok或Snapchat上。</p> <p>6月底在復賽前<a href="https://www.kltv.com/2020/06/22/nba-offering-players-smart-ring-track-covid-/" target="_blank">NBA也提供球員由廠商Oura提供的智慧戒指</a>，以便監測體溫等 COVID-19相關生理資訊。</p> </div></div></div>
2020/7/29 12:15作者林妍溱https://www.ithome.com.tw/news/139090
微軟推出大學科技人才培育考證計畫，東吳率先加入提供20門AI與雲端認證課程，目標要讓全校1萬多名師生選課都能用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日在臺灣推出前瞻人才培育計畫（FRS)，以培育一流大學雲端、AI人才。東吳大學則是第一間加入該計畫的國內大學，9月將於該校陸續開辦20門認證與考照課程，涵蓋辦公室應用、數據科學家、AI人工智慧、Azure雲端應用與服務等，甚至不只推廣部，未來也有意提供全校1萬多名師生來使用。</p> <p>東吳大學校長潘維大表示，在COVID-19疫情之後，全球政治與經濟體制有了新常態，這也衝擊到了大學高等教育，得要有所轉型，朝向高教4.0來發展，他表示，透過微軟學習平臺，藉由最新產業技術與知識養成，將有助於學校培養一流的科技人才，提升學生競爭力。</p> <p>但這不是微軟首次在臺灣教育推動人才培育。近兩年，微軟在中小學、高中職及大學都有相關培育計畫推動中，像在高雄旗山國小已導入AI科技應用於教育課程，而去年一場微軟教育計畫，更有超過百名國中小與高中職教職員響應這項計畫加入學習新技能，後來推出的AI扎根系列活動，同樣有百間學校共千名高中職生透過 AI 線上課程完成學習。微軟去年也與政大合作在校內開辦AI商學院並廣開理論與實務課程，加強產業實務人才培育。</p> <p>這次推出的FRS培育計畫，則是微軟落實臺灣雲端與AI人才培訓新計畫，並聚焦在高等教育跨領域的數位技能培養，東吳大學則是第一間加入該計畫的臺灣大學，雙方將合作打造一條龍式學習模式，從培育師資、學生學習與實作到完整證照考照。</p> <p>東吳大學推廣部主任吳吉政表示，這次專案合作將為期一年，最多將提供600人證照考照，不只推廣部與校內師生，就連校友都能報名課程與考照。他表示，9月開課之後，預計將開設20門以上的認證課程，之後將會視需求來調整證照數量或增加認證課程。這些課程涵蓋辦公室應用、數據科學家、AI人工智慧、Azure雲端應用與服務等。</p> <p>他表示，目前先從推廣部先做試範，若是之後成效不錯，未來也有機會這些認證課程，變成可以折抵學分的選修或通識課程，但要納入學分計算，他說，最快109學年下學期或110年上學期，才會進到校內，提供該校一般生選修。</p> <p>由於東吳以人文法商為主，他也舉例，比如商學院學生就適合學習使用Power BI數據分析工具，巨資學院則可適用AI或雲端應用服務相關課程。甚至也能讓學生在校發展第2專長，並藉由這些課程來取得相關專業證照。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200728_105335_1.jpg" style="width: 600px; height: 450px;" /></p> <p>微軟也提供Role based導向基礎認證課程學習藍圖，分為Apps 與基礎架構、數據與AI、現代化工作模式與商用應用四類。舉例來說，在數據與AI方面，學生可以選擇Azur資料科學家、AI工程師與數據工程師一系列相關課程，來取得基礎與專業技能檢定認證，或是在App與基礎設施方面，則有跟Azure 安全、管理員與開發者相關課程可供學生修課。</p> <p>為了要有足夠認證課程可以開設，供學生或老師修課，東吳也從校內展開師資人員培訓。他表示，目前已有近30位取得合格師資，目標是在年底前達到50位有效師資，目前開設的6堂種子師資培訓課程，又以資料視覺化課程最為搶手，占報名人數快一半。</p> <p>吳吉政也提到說，雖然微軟有提供Microsoft Learn平臺，供全校師生使用，但是一些學習認證課程，在實作上須使用雲端服務，仍須付費，以其中Azure雲端服務訂閱為例，他們一共訂閱200個單位（含網路、儲存與運算)，每單位3千元，合計一共60萬元。基於使用者付費，他表示，預計9月在進修推廣部開課之後，也會針對修課的學生或校友收取課程相關費用。</p> </div></div></div>
2020/7/29 09:59作者余至浩https://www.ithome.com.tw/news/139081
Wi-Fi聯盟要求認證裝置必須支援WPA3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Wi-Fi產業組織<a href="https://twitter.com/WiFiAlliance/status/1287873075514490880" target="_blank">Wi-Fi聯盟宣布</a>，從7月1日起，所有由其認證的裝置，都必須支援最新一代安全標準WPA3。</p> <p>Wi-Fi聯盟指出，WPA3成為W-Fi認證裝置的必要規格，將可確保產品提供最高的安全防護。</p> <p><a href="https://www.ithome.com.tw/news/124154" target="_blank">WPA3是Wi-Fi聯盟2018年公布</a>。它分成個人（Personal）及企業版（Enterprise）。個人版更能抵禦離線字典攻擊，防止駭客破解密碼，且提供前向保密（forward secrecy），資料傳送出後即使密碼遭破解也不會外洩。企業版則在加密協定、密碼金鑰匯出、產生與驗證演算法及訊息安全協定都更升級，並支援192-bit加密。</p> <p>WPA3也與現有主流的WPA2相容。去年下半新推出的Wi-Fi連網產品大致都已支援WPA3標準。</p> </div></div></div>
2020/7/29 11:05作者林妍溱https://www.ithome.com.tw/news/139089
NIST實驗：大部分臉部辨識演算法拿口罩沒轍，但不會影響安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準與技術研究所（NIST）<a href="https://www.nist.gov/news-events/news/2020/07/nist-launches-investigation-face-masks-effect-face-recognition-software">對89種商業臉部辨識演算法進行測試</a>，發現這些演算法都沒辦法良好地處理戴上口罩的人臉，準確性隨著鼻子覆蓋率上升而降低，而且顏色和形狀也都影響著演算法的錯誤率，即便表現最好的演算法，以同一人不戴口罩的照片，辨識戴著口罩的人臉，錯誤率在5％和50％之間。</p> <p>由於戴口罩有助於阻止武漢肺炎（COVID-19）病毒的傳播，因此全世界人們紛紛戴上了口罩，而這也對臉部辨識演算法產生極大的考驗，逼得<a href="https://www.ithome.com.tw/news/137747" target="_blank">蘋果更改iOS對戴口罩人臉的辨識機制</a>。NIST電腦科學家Mei Ngan提到，隨著武漢肺炎疫情爆發，相關單位需要了解，人臉辨識技術處理戴口罩人臉的方式。NIST團隊探索了各種演算法一對一配對的能力，也就是將一張照片與同一個人的另一張照片進行比較，這種功能的用途通常是進行驗證，像是解鎖智慧型手機和檢查護照。</p> <p>研究人員以口罩形狀的色塊，蓋在原始人臉照片的口鼻上，以測試演算法的效能，考量到口罩的樣式不同，依形狀、顏色和鼻子覆蓋範圍，研究團隊測試了9種口罩版本，測試口罩顏色除了黑色，還有與手術口罩接近的淺藍色，形狀有覆蓋鼻子和嘴巴的圓形口罩，也有和臉部一樣寬的大口罩，寬口罩依覆蓋鼻子的程度不同，分為高、中和低。</p> <p>經實驗，研發團隊得出了幾點一般性的結論，臉部戴口罩讓所有臉部辨識演算法準確性下降，最精確的演算法在人們未戴口罩時，錯誤率只有0.3％，而戴上口罩後，錯誤率則約有5％，大部分演算法錯誤率則在20％到50％之間。</p> <p>演算法無法良好地處理戴口罩人像，是因為無法擷取足夠的人臉特徵，一般來說，人臉辨識演算法，是透過量測各個人臉特徵的大小和之間的距離，而戴上口罩導致演算法無法擷取人臉特徵，也就無法進行有效的比較。而且實驗發現，當口罩遮住鼻子越多，演算法準確性就越低。</p> <p>雖然臉部辨識無法正確辨識人臉，但是演算法也不會亂認人，又就是說，演算法無法配對同一人兩張照片的偽陰性增加，而錯誤將兩個不同人照片，辨識為同一人的偽陽性也會下降，因此研究團隊認為，戴口罩並不會影響臉部辨識演算法的安全性。</p> <p>另外，口罩形狀與顏色同樣都影響著演算法的錯誤率，使用圓形口罩錯誤率較低，而與藍色手術口罩相比，黑色口罩降低了演算法的效能，而使錯誤率增加，不過，研究團隊並沒有完整地測試各種顏色效果。</p> <p>這項測試是由美國國土安全部科學技術局、生物特徵辨識管理辦公室，以及美國海關及邊境保衛局合作進行，Mei Ngan表示，他們測試了口罩對各家臉部辨識演算法的影響後，他們接下來，要開始測試對口罩最佳化的臉部辨識演算法。</p> </div></div></div>
2020/7/29 10:20作者李建興https://www.ithome.com.tw/news/139079
AWS為多款Graviton 2執行個體加入NVMe SSD支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月的時候，AWS才推出使用Graviton 2處理器的EC2執行個體M6g，6月的時候又推出了C6g與R6g執行個體，而AWS積極發展高性價比的執行個體系列，現在更進一步發布這些<a href="https://aws.amazon.com/tw/blogs/aws/new-graviton2-instance-types-c6g-r6g-and-their-d-variant/">Graviton 2執行個體的更新</a>。這次AWS提供用戶在M6g、R6g和C6g執行個體，加入本地基於NVMe的SSD儲存選項，推出M6gd、R6gd和C6gd。</p> <p>Graviton 2是AWS專為雲端工作負載設計的ARM晶片，採用64位元Arm Neoverse N1核心的7奈米製程打造，除了提供256位元DRAM加密，還支援了雙SIMD單元，因此大幅提升運算效能，與前一代Graviton相比，整體效能提高7倍，而且浮點數運算效能也多了1倍，Graviton 2有比前一代更大的記憶體通道，每核心快取容量也多1倍，另外，Graviton 2支援int8和fp16指令，能夠良好地支援機器學習工作負載。</p> <p>採用Graviton 2的C6g、R6g和M6g執行個體的功能取向皆不同，M系列的目的是在處理各種通用工作負載，像是應用程式伺服器、遊戲伺服器、中型資料庫或是快取機群等，而C系列執行個體則適用於處理運算密集的工作負載，諸如高效能計算、廣告投放、影片編碼、科學建模，以及分散式分析或是基於CPU的機器學習推理。</p> <p>R系列執行個體則是專為需要大量記憶體的工作負載設計，像是開源資料庫、記憶體快取和即時大資料分析。AWS提到，與同等級基於x86的M5、C5和R5系列相比，使用Graviton 2處理器的執行個體提供了達40％的價格優勢。</p> <p>而現在這3個系列都多了d型號，添加本地連接的NVMe（NVM Express）SSD儲存，新推出M6gd、C6gd和R6gd。有了NVMe SSD的加持，這些執行個體最大可以擁有2*1.9 TB的儲存容量，支援需要高速且低延遲本地儲存的應用程式，可用來暫存資料、檔案和快取。</p> <p>所有採用AWS Graviton 2處理器的執行個體，都建立在AWS的虛擬化系統Nitro上，因此M6gd、C6gd和R6gd都擁有，高達19 Gbps的Amazon EBS頻寬以及25 Gbps的網路頻寬。Nitro系統是AWS的軟硬體集合，可用來建構具備隔離多租戶、專用網路和高速本地儲存等功能的執行個體。</p> <p>新的M6gd、C6gd和R6gd執行個體可以選用的本地儲存容量，從medium規格的59 GB開始，隨著vCPU數量上升，可搭配的NVMe SSD容量也越來越多，16xlarge與裸機規格擁有64個vCPU，能搭配2*1.9 TB的儲存容量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20881%20-%20New%20%E2%80%93%20Amazon%20EC2%20Instances%20based%20on%20AWS%20Graviton2%20with%20local%20NVMe-bas_%20-%20aws_amazon_com.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/29 10:38作者李建興https://www.ithome.com.tw/news/139080
CES 2021將改為線上形式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎疫情持續發燒，也將為明年的活動規劃帶來不確定性。<a href="https://www.ces.tech/News/Press-Releases/CES-Press-Release.aspx?NodeID=321a27ba-86f2-4c8d-92d2-fb0f4580ed18" target="_blank">消費電子大展（CES）舉辦單位昨（28）日公告</a>，明年1月6月到9日的CES 2021大展將改為全數位形式。</p> <p>主辦單位消費科技協會（Consumer Technology Association, CTA）執行長Gary Shapiro指出，在COVID-19疫情及全球公共衛生疑慮持續蔓延時，明年一月不太可能在拉斯維加斯安全聚集數萬人…藉由轉到全數位平台上，將能提供不一樣的經驗協助廠商和新、舊觀眾建立連結。他指出，CES 2021 將提供「沈浸式」及個人化體驗，展示最新科技。</p> <p>CTA並表示計畫CES 2022將結合實體和數位的展會形式，再重新回到拉斯維加斯舉行。</p> <p>CES是最大科技展會，每年吸引超過4500多家廠商參展，今年CES共有18.2萬人參加。而在一月底武漢肺炎於中國大爆發，世界通訊大會（Mobile World Congress, MWC）是第一個宣布停辦的大型國際活動，之後包括Google I/O、蘋果WWDC、臉書開發者、微軟Build大會等皆全數改為線上舉行。微軟也宣布到2021年6月底之前，公司的大型實體活動也都會是虛擬形式。</p> <p>由於疫情可能無法如預期於年底消退，Google上周首先宣布<a href="https://www.ithome.com.tw/news/139071" target="_blank">將延長員工在家上班的時間</a>，到明年6月30日。</p> </div></div></div>
2020/7/29 10:45作者林妍溱https://www.ithome.com.tw/news/139082
Cloudflare推出運算能力更強的無伺服器服務Workers Unbound
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出無伺服器新服務<a href="https://blog.cloudflare.com/introducing-workers-unbound/">Workers Unbound</a>，這是無伺服器服務Workers的進化版，提供了一個輕量級的JavaScript執行環境，讓開發人員不需要配置基礎設施，就能部署和建置應用程式，而Workers Unbound則拿掉了CPU限制，適合需要較大運算資源的應用程式。</p> <p>Cloudflare在2017年推出Workers，開發者可在Workers上建立JavaScript應用程式，由Cloudflare管理配置和維護基礎設施，並將應用程式部署到邊緣網路上，在需要的時候提供擴展能力。而新的Workers Unbound服務與Workers類似，主要針對需要較長時間執行的應用程式，擁有更多的CPU運算資源，讓用戶也可將運算密集的任務搬上Workers Unbound上，用戶可用來執行影像處理，或是複雜的演算法。</p> <p>Workers Unbound使用了JavaScript引擎V8的隔離技術，能以最少的冷啟動時間，快速執行用戶的應用程式。V8隔離由Google Chrome團隊開發，已被應用在Chrome瀏覽器中，使用了可執行多租戶程式碼的新模型，是比容器更輕量的技術，Cloudflare提到，大多數的無伺服器服務都是從雲端運算容器發展而來，容器在虛擬機器中運作，存在許多執行成本開銷，因此容器工作負載也就很難在集中式環境外執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/isolates-model%402x.png" style="width: 580px;" /></p> <p>而Workers單個執行緒就可以執行數百或是數千個隔離，並且能夠無縫地進行切換，這代表在單一作業系統程序中，可以執行許多不同用戶的程式碼，具有較低的Runtime成本開銷，也就可以良好地支援多租戶環境。而且由於V8隔離技術，使得無伺服器邊緣應用程式十分輕巧，Cloudflare能夠方便地將Worker腳本，立即部署到全球每個資料中心的伺服器中，服務世界各地的終端使用者。</p> <p>Cloudflare提到，Workers Unbound對於他們的平臺來說是一個重大的改變，在之前已經開放給部分企業用使用，而現在正式公開測試，之後還會一邊調整一邊逐步擴大釋出。</p> </div></div></div>
2020/7/29 10:00作者李建興https://www.ithome.com.tw/news/139077
Windows 10更新版有臭蟲，會導致Windows沙箱及網站安全功能無法開啟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟新近Windows 10三個更新版本發生兩項安全功能，包括Microsoft Defender應用程式防護及Windows 沙箱（Windows Sandbox）無法開啟的臭蟲，微軟表示將在下次更新<a href="https://support.microsoft.com/en-us/help/4575917/receiving-an-error-message-when-attempting-to-open-windows-defender-ap">釋出</a>修補程式。</p> <p>兩者皆是Windows 10 1903版本以後為Pro和企業版（Enterprise）加入的功能，Windows沙箱是一個臨時性的沙箱環境，能讓用戶在隔離環境下開啟App，以免開啟惡意程式。Windows 應用程式防護（Windows Defender Application Guard, WDAG）則是作用於透過 Microsoft Edge 或 Internet Explorer 前往不受信任的網站，讓Microsoft Edge在Hyper-V中開啟網站，以防止連上惡意網站。</p> <p>微軟本周表示接獲用戶反映無法開啟WDAG及沙箱功能，且顯示ERROR_VSMB_SAVED_STATE_FILE_NOT_FOUND (0xC0370400)或E_PATHNOTFOUND (0x80070003)的錯誤訊息。</p> <p>受影響的版本是Windows 10 Pro/Enterprise版1903、1909及2004版。</p> <p>一旦看到錯誤訊息，只要重啟電腦就能正常使用。微軟沒有說明原因，只表示正在開發修補程式，會在下一次更新時釋出。</p> <p>去年5月釋出的KB4497936版Windows 10更新Insider preview，也曾出現Windows沙箱開啟失敗的問題。</p> </div></div></div>
2020/7/28 16:40作者林妍溱https://www.ithome.com.tw/news/139075
DevOps應用程式配置不當，微軟、Adobe等50家知名企業原始碼全都露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名來自瑞士的開發人員暨反向工程師Tillie Kottmann近日在GitLab上，公開了逾50家知名企業的原始碼，從微軟、Adobe、Amd到臺灣的聯發科（Mediatek），而Kottmann則說，這是因為這些公司的DevOps應用程式配置不良才讓他有機可趁，存取了它們的私有原始碼。</p> <p>Kottmann把所有的原始碼都置放在GitLab的公開儲存庫中，而且透過Twitter公開了連結，可能引起了太大的騷動，Kottmann隨後自Twitter上移除了檔案連結，不過其GitLab儲存庫依然可公開存取部份檔案。</p> <p>資安業者Bank Security紀錄了受害者<a href="https://pastebin.com/aAnaLgS8">名單</a>，顯示出它們橫跨了金融、零售、電子商務、製造業及科技產業，總計有53家企業受害，而包括聯想、Adobe、Amd、微軟、Motorola、高通、聯發科等科技業者，都在名單上。</p> <p>Bank Security指出，當中至少有兩個金融領域的受害者，一個是專門開發銀行軟體的西班牙業者Mercury TFS，另一為奈及利亞的支付架構建置商TeamApt。此外，有些文件內容還藏有企業憑證。</p> <p>至於Kottmann則向BleepingComputer<a href="https://www.bleepingcomputer.com/news/security/source-code-from-dozens-of-companies-leaked-online/">透露</a>，只要有人合法提出移除請求，他就會遵循，也很願意提供資訊以讓業者強化它們的安全架構。</p> <p>擅於尋找配置失誤的Kottmann經常出現在媒體上，今年他曾向ZDNet<a href="https://www.ithome.com.tw/news/137695">爆料</a>，宣稱他在汽車大廠Mercedez-Benz母公司Daimler AG就地部署的GitLab伺服器上，發現一個配置問題，使他得以下載隸屬該公司的Git儲存庫，內含許多機密資訊，包括一個應用在Mercedes-Benz廂型車上的機載邏輯元件（Onboard Logic Unit，OLU) 原始碼；而去年初當Google公布暗藏Google I/O的舉辦日期與地點的謎題時，<a href="https://www.ithome.com.tw/news/128498">Kottmann是第一個解開謎題</a>的，但他並非真的解題成功，而是直接從Google儲存貯體中一個JSON檔案中找到了答案。</p> </div></div></div>
2020/7/28 17:00作者陳曉莉https://www.ithome.com.tw/news/139076
駭客正在開採思科的CVE-2020-3452安全軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通訊設備大廠思科（Cisco）在7月22日修補其Adaptive Security Appliance（ASA）軟體與Firepower Threat Defense（FTD）軟體的安全漏洞，此一編號為CVE-2020-3452漏洞，允許未經授權的遠端駭客執行目錄穿越（directory traversal）攻擊，以讀取系統上的機密檔案，當時尚未傳出攻擊事件，不過隔天思科便修改了該<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-ro-path-KJuQhB86">安全公告</a>，表示坊間已出現攻擊程式與實際的開採行動。</p> <p>CVE-2020-3452漏洞存在於ASA與FTD的網頁服務介面上，肇因它們在處理HTTP請求時，缺乏妥善的URL輸入驗證，駭客只要傳送一個含有目錄穿越字元序列的HTTP請求，就能開採該漏洞，檢視該網頁服務檔案系統上的任何檔案。</p> <p>當時資安業者Rapid7就曾督促用戶應該要儘速修補該漏洞，且透過Sonar搜尋到網路約有超過8.5萬臺ASA/FTD，且其中有398臺屬於Fortune前五百大企業所有。</p> <p>而一名安全研究人員Ahmed Aboul-Ela在23日便<a href="https://twitter.com/aboul3la/status/1286012324722155525">釋出</a>了CVE-2020-3452的概念性驗證攻擊程式，無獨有偶地，思科在同一天就變更其安全公告，改口說該漏洞已遭到駭客開採。</p> </div></div></div>
2020/7/28 17:10作者陳曉莉https://www.ithome.com.tw/news/139078
Google在家上班措施延到明年6月底
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街時報<a href="https://www.wsj.com/articles/google-to-keep-employees-home-until-summer-2021-amid-coronavirus-pandemic-11595854201" target="_blank">報導</a>，隨著武漢肺炎（COVID-19）疫情再度升溫，Google將把員工在家上班的措施至少延到明年6月底，影響近20萬人。Google隨後證實這項消息。</p> <p>報導指出，這項措施是Google/Alpahabet執行長Sundar Pichai在與高層主管討論後，於上周在公司內宣布。Google發言人也證實這項消息，表示Pichai透過員工公開信宣布，為了讓員工及早準備，Google將把全球自願在家工作的措施延長到2021年6月30日，對象是不需在辦公室作業的員工。</p> <p>美國武漢肺炎感染人數近日因各地解封後，再度於加州、佛州等地增加。Google這項宣布可能為原本打算秋冬讓員工重新回公司的許多矽谷科技公司計畫帶來變數。</p> <p>Amazon本月中才<a href="https://blog.aboutamazon.com/company-news/amazons-actions-to-help-employees-communities-and-customers-affected-by-covid-19" target="_blank">宣布</a>，由於肺炎疫情持續不退，將針對適合遠距工作的員工延長居家辦公期間到2021年1月8日，雖然員工還是可以選擇到公司上班。</p> <p>Google原本計畫大部份員工在家上班的時間可望延續到年底，但7月開始逐步讓員工回到公司辦公短暫時間，並在9月擴大開放人數。Google還發放1千美元補貼員工購置辦公傢俱。所有科技公司中，只有推特做好心理準備，<a href="https://www.ithome.com.tw/news/137585" target="_blank">允許</a>員工永遠在家上班。</p> <p>COVID-19疫情入夏後再度在歐美升高，目前美國確診人數已逼近430萬。上周傳出白宮國家安全顧問歐布萊恩（Robert O'Brien）確診，是最接近總統川普者。</p> </div></div></div>
2020/7/28 15:15作者林妍溱https://www.ithome.com.tw/news/139071
英特爾組織重整，工程主管離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在發布今年第二季財報之後的幾天，英特爾<a href="https://newsroom.intel.com/news-releases/intel-changes-technology-organization/#gs.bce7ze" target="_top">宣布</a>了組織重整，重整的對象為技術、系統架構及客戶端事業群（Technology, Systems Architecture and Client Group，TSCG），將它打散成5個不同的團隊，並指派不同的主管，且即刻生效，而原本領導TSCG的Venkata Murthy Renduchintala則會在8月3日<a href="https://www.theverge.com/2020/7/27/21340993/intel-hardware-chief-venkata-murthy-renduchintala-leaving?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">離職</a>。外界揣測這與英特爾7奈米製程的進度嚴重落後有關。</p> <p>TSCG為英特爾於2015年成立新事業群，原名為Client and Internet of Things (IoT) Businesses and Systems Architecture Group，當時英特爾也自高通（Qualcomm ）挖角<a href="https://newsroom.intel.com/news-releases/intel-appoints-dr-venkata-murthy-renduchintala-president-client-and-internet-of-things-businesses-and-systems-architecture-group/#gs.bce8ox" target="_blank">Renduchintala</a>來擔任該事業群的首任總裁，也是英特爾的工程主管。Renduchintala在高通負責的是有關運算與行動的半導體業務，而英特爾賦予他的任務則是整合英特爾的平臺工程、客戶端運算、IoT、軟體及服務，以及技術解決方案，媒體則報導Renduchintala幾乎掌管了英特爾的所有硬體。</p> <p>現在英特爾則直接把TSCG打散成5個不同的團隊，分別是技術開發，生產及作業，設計工程，架構、軟體與繪圖，以及供應鏈，它們有不同的負責人，且都直接向執行長Bob Swan彙報。</p> <p>Swan除了感謝Renduchintala對英特爾的貢獻之外，也說將期待與這些經驗豐富的技術領導人直接合作，以在關鍵時刻推動英特爾前進。</p> <p>Swan在上周的財報會議上除了證實該公司的7奈米製程晶片，最快要到2022年才會出爐之外，也透露不排除把晶片生產業務外包給其它業者。</p> </div></div></div>
2020/7/28 15:40作者陳曉莉https://www.ithome.com.tw/news/139072
高通發表Quick Charge 5，15分鐘就可把4,500mAh電池充飽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不讓中國業者專美於前，高通在7月27日<a href="https://www.qualcomm.com/news/releases/2020/07/27/qualcomm-announces-worlds-fastest-commercial-charging-solution-quick-charge" target="_blank">發表了Quick Charge 5快充解決方案</a>，且號稱是全球最快的商業化充電解決方案，它在5分鐘可把4,500mAh的電池充電到50%，15分鐘即可把電充飽，支援Quick Charge 5的裝置預計在今年第三季就會出爐。</p> <p>Quick Charge 5可支援超過100W的充電能力，而且尺寸與先前的版本一樣，代表使用者不需要購買額外的配件，也採用標準的USB Type-C協定，將可相容於逾1,200種行動裝置、配件與控制器，像是車載充電器或是各種擴充基座等，或者是手機及筆電。</p> <p>Quick Charge 5亦內建了高通的Battery Saver及Smart Identification of Adapter Capabilities技術，以強化效能並保護電池，協助延長電池壽命。</p> <p>根據高通的分析，Quick Charge 5的充電效率比Quick Charge 4多了70%，而電力供應則是Quick Charge 1的10倍，它支援2S電池與20伏特的電力傳輸。</p> <p>在<a href="http://www.marketwatch.com/press-release/mobile-quick-charge-market-size-share-2020-by-worldwide-industry-demand-regional-overview-trends-evaluation-top-manufacture-business-growth-strategies-and-forecast-to-2026-says-industry-research-biz-2020-06-17" target="_blank">全球行動快充技術的10大業者</a>中，就有8家為中國業者，包括Oppo、Vivo、華為、OnePlus、小米、中興的Nubia、魅族及360Phone。其中，Oppo甫於本月中發表新的快充技術，其中包含一項<a href="https://saydigi-tech.com/2020/07/oppo-125w-event.html">125W快充</a>，但它5分鐘只能將4000mAh電池充電41%，20分鐘才能充飽它；而Vivo也在7月發表了120W的快充技術，宣稱可在5分鐘將4000mAh電池充電50%，13分鐘就能將它充飽，不過，Vivo的快充技術必須使用客製化的USB-C纜線。</p> </div></div></div>
2020/7/28 15:50作者陳曉莉https://www.ithome.com.tw/news/139073
FBI警告4種可能發生DDoS攻擊的新興網路協定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（FBI）<a href="https://image.communications.cyber.nj.gov/lib/fe3e15707564047c7c1270/m/2/FBI+PIN+-+7.21.2020.pdf" target="_blank">本月發布公告</a>要企業IT特別注意一些新興的裝置內建的網路協定，可能遭到駭客發動分散式阻斷服務（DDoS）攻擊。</p> <p>DDoS是駭客造成大規模破壞的一種手法，攻擊者冒充呼叫來源的IP，針對一臺伺服器傳送少量呼叫，引發伺服器針對目標機器大量回應，以癱瘓其運作。而從2018年12月，駭客開始針對物聯網（IoT）裝置內建的網路協定發動DDoS攻擊，使終端機器運作效能下降或功能喪失。所謂內建網路協定涵括網路管理、網路裝置發現（discovery）及網頁傳輸協定。</p> <p>研究人員發現，過去一些新興的內建網路協定如Jenkins、ARMS、WS-DD、CoAP尚未或鮮少被開採，但近年可能性大增。首先是Jenkins開源軟體開發自動化伺服器，今年2月英國研究發現Jenkins一個漏洞，可能被用來對目標Jenkins伺服器傳送100倍流量的DDoS放大攻擊。</p> <p>其次是蘋果的Apple Remote Management Service (ARMS)。它屬於蘋果遠端桌面（Appel Remote Desktop）的一部份，許多大學和企業以ARD來管理大量蘋果Mac電腦。當蘋果裝置開啟ARD時，ARMS開始聽取port 3283的傳入指令，可使攻擊者傳送放大因素（amplification factor）達35.5:1的DDoS放大流量。</p> <p>第三是Web Services Dynamic Discovery（WS-DD）。去年5月和8月駭客分別發動130幾次的DDoS攻擊，其中2波攻擊中幾次好幾次出現超過350 Gbps的流量。下半年還有駭客利用非標準協定及組態錯誤的IoT裝置發動DDoS放大式攻擊。FBI指出，IoT裝置之所以成為目標，因為這些裝置使用WS-DD協定自動偵測附近的新連網裝置，此外WS-DD靠的是UDP運作，這讓攻擊者可假冒受害機器的IP，而使其遭到附近IoT裝置流量的圍攻。到去年8月為止，開啟WS-DD協定的IoT裝置竟高達63萬臺。</p> <p>最後是Constrained Application Protocol (CoAP)。2018年12月有駭客濫用了CoAP的群播（multi-cast）和指令傳送功能，製造DDoS反射式及放大攻擊，放大因素（amplification factor）達到34倍。截至2019年1月，大部份CoAP裝置位於中國，且使用行動點對點（p2p）網路。</p> <p>關閉上述4種內建網路協定可以防止DDoS放大攻擊，但是卻會降低企業生產力和連網功能，影響企業關閉的意願。另一方面，廠商也會擔心影響使用經驗而不會預設關閉這些協定，因此FBI呼籲用戶應該自己做好預防規劃。</p> <p>FBI建議企業可以使用DoS攻擊緩解服務，業者可協助偵測DDoS及流量重導引服務、找ISP提供網路流量控管，後者也能發生攻擊時提供調查用的鑑識資料。此外企業也應確保裝置安裝最新的軟體及安全修補程式、變更裝置的預設用戶名稱和密碼，並啟用網路防火牆，關閉傳輸埠轉發（port forwarding）。</p> </div></div></div>
2020/7/28 16:00作者林妍溱https://www.ithome.com.tw/news/139074
北韓駭客Lazarus濫用跨平臺惡意程式框架MATA，散布勒索軟體與竊取資料庫內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒業者卡巴斯基<a href="https://securelist.com/mata-multi-platform-targeted-malware-framework/97746/">揭露</a>一款名為MATA的惡意軟體框架，與北韓的駭客組織Lazarus有所關連，在波蘭、德國、土耳其、韓國、日本，以及印度等國家都傳出攻擊事件，而受害的公司類型，包含軟體開發公司、電子商務網站，以及網路服務供應商（ISP）等。卡巴斯基指出，這個惡意程式框架，能同時針對Windows、macOS，以及Linux作業系統的電腦發動攻擊，他們看到駭客運用該框架目的，主要是竊取受害企業的資料庫，但也有勒索軟體攻擊的事件傳出。不過，對於具體的受害企業數量，卡巴斯基沒有進一步透露。</p> <p>至於卡巴斯基何以認為背後的攻擊者是Lazarus？該公司指出，MATA與惡意軟體Manuscrypt（又稱Copperhedge）的變種，具有相同的特徵，而濫用這個惡意軟體家族發動攻擊的駭客組織，就是Lazarus。Manuscrypt鎖定攻擊的目標，是加密貨幣的交易平臺，美國國土安全部（DHS）才在<a href="https://www.ithome.com.tw/news/137592">今年5月</a>，公布這個惡意軟體的分析報告，呼籲各界留意他們發動的攻擊，因此，卡巴斯基認為，Lazarus近期的動作算是很頻繁，使得MATA的後續發展也相當值得關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MATA-malware-framework-cls.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MATA-malware-framework-cls.png" style="width: 580px;" /></a></p> <blockquote><p>卡巴斯基指出，他們在MATA的工作調度器（Orchestrator）程式碼裡，發現呼叫2個CLS檔案（下圖白框處），是Lazarus（亦稱Hidden Cobra）的惡意軟體所獨有。他們拿出先前該組織被揭露、針對加密貨幣交易平臺的攻擊程式Manuscrypt來比對（上圖），指出兩者都有c_2910.cls和k_3872.cls，因此認為濫用MATA的就是Lazarus。</p> </blockquote> <p>雖然卡巴斯基沒有提及受害規模，但是Lazarus的犯行可說是罄竹難書，包括於2014年入侵索尼影業（Sony Picture）、盜轉孟加拉央行1億美元，以及在2017年散布勒索軟體WannaCry，導致全球各地的發電廠與醫療院所等關鍵基礎設施，接連傳出災情等，我們必須留意MATA可能造成的威脅。</p> <p>該公司指出，這個框架具備啟動器與工作調度器（Orchestrator），然後可搭配許多的外掛模組使用，工作調度器會從C&C中繼站接收駭客的攻擊指令，來發動進階持續性攻擊（APT）。他們最早於2018年4月看到這款工具出現，並且在今年4月看到鎖定macOS電腦的攻擊，卡巴斯基表示，他們觀察到大多數受害的電腦，都有MATA的啟動器與工作調度器，並且藉由前者載入受到加密保護的負載（Payload），但不確定是否就是上面提及的工作調度器。一旦MATA惡意軟體框架成功進入到企業的環境，攻擊者便會試圖尋找含有重要個資或是商業機密的資料庫，並下達資料庫查詢的指令，然後外洩相關資料清單，至於駭客竊得了那些資料，卡巴斯基沒有說明。</p> <p>雖然駭客是以竊密為主，但卡巴斯基還是發現其他災情，例如，他們看到其中1個受害企業，同時被植入了VHD勒索軟體。卡巴斯基指出，儘管這個惡意程式框架仍然在發展當中，不過它已經能運用在2種不同型態的攻擊上，也具備支援跨平臺的特性，對3大類型的作業系統電腦都能下手。這個可通用於入侵多種環境的惡意軟體框架，代表駭客也朝向採行一體適用的方向，發展能滲透受害企業的工具，一旦發動攻擊，範圍可能不再局限特定的作業系統，也有可能伴隨2種以上的攻擊模式。</p> </div></div></div>
2020/7/28 13:48作者周峻佑https://www.ithome.com.tw/news/139069
美、英政府：感染6.2萬臺QNAP的惡意程式QSnatch會阻撓更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月NAS設備業者QNAP爆發QSnatch惡意程式攻擊。美國及英國資安主管機關昨（27）日發布研究報告指出，迄今全球已將近6.2萬臺產品遭到感染，而且提醒企業IT人員小心，因為它會阻撓系統安裝更新版韌體。</p> <p>根據<a href="https://us-cert.cisa.gov/ncas/alerts/aa20-209a">美國網路安全暨基礎架構安全署</a>（CISA）及<a href="https://www.ncsc.gov.uk/news/legacy-risk-malware-targeting-qnap-nas-devices">英國國家網路安全中心</a>（NCSC）的研究，QSnatch曾經爆發兩次攻擊。第一次是2014年初到2017年中，第二波則由2018年底延續到2019年底，本研究探討的也是第二波攻擊。</p> <p>第二波感染由德國及芬蘭資安主管機關首先揭露，當時光是在德國就有超過7,000臺QNAP設備感染，它們因執行舊版韌體且開啟傳輸埠轉發（port forwarding）功能，而遭QSnatch由網際網路入侵。所有版本產品都有風險，QNAP當時已經釋出更新版韌體，呼籲用戶更新。根據美、英政府的研究，到2020年6月中，全球有將近6.2萬QNAP裝置感染，其中7,600臺和3,900臺分別位於美國和英國。總計所有感染機器大多數位於西歐（46%），北美占15%，東歐占8%，其他地區總和為31%。</p> <p>經過了數個月的研究，QSnatch背後的組織以及它的目的為何目前仍不得而知。此外，它一開始如何進入QNAP，究竟是透過舊版韌體的漏洞，還是破解管理員帳號密碼，研究人員也還不確定。目前可以確定的是QSnatch是一個相當複雜的惡意程式，顯見攻擊者能力之高。</p> <p>QSnatch一進入系統中，攻擊者就會利用網域產生演算法（domain generation algorithm, DGA）定期產生多個網域名以建立C&C伺服器連線，發送HTTP呼叫。另一方面，它擁有多種能力，包括竊取帳密、SSH後門、竊取系統設定或log檔在內的重要檔案並加密傳給C&C伺服器、以及植入web shell供駭客遠端存取。它還能安裝假的CGI裝置管理員登入頁以記錄密碼。</p> <p>值得注意的是，研究人員懷疑QSnatch具備持續攻擊的能力。雖然QNAP已經釋出更新程式，但是QSnatch會修改系統主機的檔案，將NAS更新使用的核心網域名改成過期版本的位置，讓機器無法獲得更新。</p> <p>因此雖然發動QSnatch攻擊的網路現在已經沒在運作，但基於它具有阻撓更新的能力，CISA和NCSC建議，如果用戶的設備未曾安裝更新版，必須先進行完整的回復出廠設定，再來升級韌體。同時，CISA/NCSC也建議曾經感染過、且移除過QSnatch的設備，執行同樣措施以避免再次感染。</p> </div></div></div>
2020/7/28 15:00作者林妍溱https://www.ithome.com.tw/news/139070
臉書利用深度學習技術開發原始碼翻譯器TransCoder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書開發了一個稱為<a href="https://ai.facebook.com/blog/deep-learning-to-translate-between-programming-languages">TransCoder</a>的自我監督神經原始碼翻譯器（Transcompiler），可以將程式碼轉換成為另一種程式語言的程式碼，這樣將使得程式碼移植更加簡單快速。</p> <p>臉書舉例，要把像是COBOL這類較舊的程式語言，搬遷到Java和C++等較現代的語言，並非一件簡單的任務，需要付出大量的時間與勞力，而且還同時需要具備來源語言以及目標語言的專業，目前許多企業和政府部門的大型主機系統仍廣泛使用COBOL，並且繼續維護老舊的程式碼庫。</p> <p>而臉書開發的這個原始碼翻譯器，有望能夠讓老舊程式碼移植工作變得簡單，TransCoder使用完全自我監督的神經網路開發而成，臉書表示，TransCoder是第一個不需要平行資料訓練的人工智慧系統，就可以將程式碼從一種語言，轉換到另外一種語言，現在TransCoder能將函式程式碼，在C++、Java以及Python 3三個語言間轉換。</p> <p>經臉書評估，TransCoder比當前開源和商業基於規則的轉換程式，效能都還要好。TransCoder將Java函式翻譯成C++的正確率達90％，將C++函式翻譯成為Java的正確率為74.8%，而市售工具將將C++函式翻譯成為Java的正確率為61%，而開源工具將Java函式翻譯成C++的正確率僅有38.3％。</p> <p>臉書提到，自我監督訓練對於程式語言之間的翻譯相當重要，傳統的監督式學習法，仰賴大規模平行資料的訓練，但是無論是從COBOL到C++，或是C++到Python等，都沒有類似的資料集。而TransCoder只需要用一種程式語言編寫的程式碼，不需要使用來源語言與目標語言的相同程式碼範例，因此能夠輕易的擴充支援的語言。</p> <p>TransCoder或許對於將老舊的程式碼庫，更新成現代程式語言可以幫上不少忙，臉書認為，自動翻譯程式碼可以使企業，更容易地使用開源專案，因為透過將老舊程式碼翻譯成為其他語言，就能夠整合其他開源專案的程式碼，而且現代程式語言通常效能較好，也就容易維護。</p> </div></div></div>
2020/7/28 09:35作者李建興https://www.ithome.com.tw/news/139058
Fintech獨角獸Dave遭駭客入侵，750萬用戶資訊外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年創立的金融獨角獸公司Dave.com，<a href="https://dave.com/blog/post/" target="_blank">於7月25日坦承</a>，由於先前的第三方服務供應商Waydev遭到駭客入侵，輾轉使得未經授權的駭客存取Dave.com的用戶資料。而根據<a href="https://www.zdnet.com/article/tech-unicorn-dave-admits-to-security-breach-impacting-7-5-million-users/" target="_blank">ZDNet的報導</a>，駭客在同一天稍早已於駭客論壇中免費散布逾750萬名的Dave用戶資料。</p> <p>Dave.com為一數位銀行服務，強調不向用戶收取任何的透支費用，可基於使用者的帳戶及收入紀錄來預測使用者支付貸款的能力，也會在使用者的支出可能超過餘額時寄出通知，並提供貸款功能，在2019年10月的市值為10億美元，剛好符合獨角獸新創的定義。</p> <p>至於Waydev則是一替開發人員設計的平台，根據Waydev官網上的說明，它能夠自動追蹤工程師的git倉庫，分析來自Github、Gitlab、Azure DevOps與Bitbucket程式碼庫，以協助工程師發揮其最佳能力。</p> <p>Dave.com表示，Waydev為該公司之前的服務供應商，由於Waydev遭到駭客入侵，才使得駭客得以存取Dave.com的用戶資料，包括使用者名稱、電子郵件位址、生日、實體住址及電話，以及雜湊密碼，不過，駭客並未存取用戶的銀行帳號、信用卡帳號、金融交易紀錄或社會安全碼。</p> <p>雖然Dave.com在發表聲明時，駭客已經在地下論壇大方贈送逾750萬名Dave.com用戶的資料，但Dave.com依然表示，尚無證據顯示這些帳號遭到未經授權的操作，或是蒙受任何的財務損失。</p> <p>同一天Dave.com已開始通知所有受到波及的用戶，並強制用戶重設密碼，也與FBI及其它執法機關合作展開調查。</p> </div></div></div>
2020/7/27 22:05作者陳曉莉https://www.ithome.com.tw/news/139056
GitLab 13.2強化整合專案追蹤工具Jira
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab最新版本13.2釋出，這個版本重點在於以里程碑迭代簡化專案規畫以及管理，並且提升回饋速度，以改善協作效率，另外，官方也改善了GitLab.com搜尋功能，使搜尋結果不只更好，執行速度也更快。</p> <p>官方提到，開發者整天的工作，可能會因為要管理不同團隊的工作流程或是規畫，需要不停地中斷開發工作，而官方試圖將最小可行變更（Minimal Viable Change，MVC）迭代，分解成更小更容易管理的任務，以減少對開發者的干擾。為此，官方在GitLab 13.2加入了多項更新，解決這個問題。</p> <p>包括對Jira的支援，把Jira當作主要任務追蹤工具的團隊，現在於GitLab能夠簡單地查看Jira的問題（Issue），專案管理員可以選擇在GitLab專案中，原生地顯示Jira問題列表，這將可以讓利用GitLab工作的開發人員，維持工作狀態，不用使用第二個追蹤工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/jira-demo-issues.png" style="width: 580px;" /></p> <p>在這個版本之前，使用者沒辦法將問題與多個時間盒（Timebox）相關聯，而這對於採用Scrum或XP方法的團隊來說，會有一些麻煩，因為這些團隊通常需要將問題和迭代相關聯，同時還要將問題分派到更長期的里程碑中。而GitLab 13.2讓使用者不需要利用另外的試算表來管理這件事，可以將問題直接分派給迭代或是里程碑，或是同時分派給兩者。</p> <p>而由於GitLab產品設計團隊，以及開源Pajamas設計系統團隊，都轉移使用介面設計工具Figma，因此官方也決定重新建置Figma擴充套件，這個擴充套件可以將Figma上載到GitLab Issues中，而這會使得程式碼開發，與介面設計的協作更加便捷，設計環境與程式碼管理被無縫地連接起來。</p> <p>GitLab 13.2還提供了負載效能測試功能，官方提到，開發者需要掌握應用程式的負載效能，才能回答諸如「API是否能夠支援1,000個用戶？」這種問題。而現在於合併請求之前，就能夠簡單地測試合併請求影響基準效能的情形，GitLab負載效能測試功能，可執行自定義的負載測試，並且提供各種效能指標，開發者可以在合併程式碼前先查看結果，與通用基準進行比較。</p> <p>官方提到，在過去要跨專案進行程式碼搜尋，GitLab.com需要先在電腦本地端複製儲存庫，而這是一件耗時的工作，在這個新版本中，GitLab.com使用者可以使用進階全域搜尋，在UI中直接對群組中所有專案進行程式碼搜尋，除了搜尋結果的相關性更好，速度也更快，並且可以使用進階搜尋語法。</p> <p>另外，GitLab Geo效能也獲得改善，GitLab Geo支援分布各地的開發團隊成員，透過創建並維護本地副本，除了不需要等待檔案下載外，也能降低操作延遲，GitLab Geo會比對追蹤資料庫，以決定從主資料庫複製的內容，但是有時候當資料庫查詢超時，便會導致檔案複製失敗，現在官方更新管理檔案變更的方法，使得資料庫不再超時。</p> </div></div></div>
2020/7/27 22:27作者李建興https://www.ithome.com.tw/news/139054
SAP打算獨立Qualtrics服務並推向IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>源自德國的企業資源管理軟體業者<a href="https://news.sap.com/2020/07/sap-announces-intent-qualtrics-ipo/" target="_blank">SAP於近日宣布</a>，計畫拆分2018年以80億美元買下的經驗管理平台Qualtrics，準備透過首次公開發行股票（IPO）讓它在美國上市。</p> <p>2012年創立的Qualtrics原本就是家美國公司，專門提供客戶經驗、員工經驗、產品經驗，以及品牌經驗等管理服務，在2018年11月被SAP以80億美元買下，為SAP史上第二大的併購案。</p> <p>有趣的是，其實Qualtrics在2018年的10月就已向美國證券交易委員會（SEC）提出IPO申請，打算在那斯達克（Nasdaq）掛牌，但隔月即被SAP併購，當時離Qualtrics公開上市的日期只有4天，IPO的計畫也因此而擱淺。</p> <p>而現在SAP則說，該公司將保留Qualtrics的大多數股權，IPO是為了能夠完全釋放Qualtrics的市場潛力，提高Qualtrics的自主權，並擴大Qualtrics在SAP客戶與其它客戶的足跡。</p> <p>SAP執行長Christian Klein表示，Qualtrics的IPO將有助於該公司擴大其經驗管理服務版圖，除了服務自己的客戶之外，也能追求自己的併購策略，培養專有的人才，而SAP則會是Qualtrics的最大也最重要的研發合作夥伴，只是賦予Qualtrics更大的獨立性來擴充其基礎。</p> </div></div></div>
2020/7/27 10:15作者陳曉莉https://www.ithome.com.tw/news/139057
推動國內年輕資安人才培育，網通大廠合勤舉辦首屆網路攻防大賽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過資安競賽、網路攻防競賽的舉行，已成為發掘與驗證國內資安人才實力的重要活動，過去幾年，例如，資安業者趨勢科技，每年在全球各地舉辦將近20場CTF競賽，臺灣駭客協會舉辦的HITCON CTF也成為國際知名駭客賽事，國內也有在地的活動，例如，行政院國家資通安全會報技術服務中心主辦的金盾獎，教育部資訊安全人才培育計畫的AIS3 EOF CTF與MyFirstCTF，以及聚焦企業攻防的HTICON Defense競賽等，特別的是，近年不只是資安公司、政府與資安社群這麼做，又有臺灣企業在這一塊發力。</p> <p>今年剛舉辦的合勤資安大賽「榮耀資戰－重裝上陣」，由合勤基金會與國家實驗研究院國家高速網路與計算中心共同主辦，就是一例，主辦方共提供了50萬元的總獎金，鼓勵學生在資安上的興趣與發展，給予未來臺灣資安人才更多可以表現的舞臺。</p> <h3><strong>賽制分為初賽與決賽，吸引190組選手參賽</strong></h3> <p>在賽制上，這次合勤資安大賽分成兩個階段，5月30日舉行線上初賽，並於7月24日與25日進行決賽，同時選手區分為一般組與進階組。這次活動，共吸引190組隊伍、409人報名參賽，初賽透過搶旗攻防賽（Capture the Flag，CTF）方式線上舉行，以選出進入現場決賽的30組隊伍。</p> <p>在7月24日決賽開幕典禮上，主辦方於現場提供了不同的網路環境，例如，一般組是在同一網段上，部署了100臺含有漏洞的主機，進階組的環境則是稍有不同，會有兩個不同的網段，需跨越不同網段來競賽，而參賽者的任務就是在提供的網路環境中，執行弱點探測、系統入侵與漏洞防護。</p> <p>最終，一般組則由台灣大學隊伍「忘了問Gino」奪冠，將金5萬元；進階組由逢甲大學隊伍「Soy_sauce::Dǎ_jiàngyóu」拿下冠軍，獲得20萬元獎金。</p> <p>對於合勤資安大賽的未來發展，我們也很關注，雖然合勤已表示這項活動將每年定期舉辦，要讓更多有志者投入資安領域的發展，但我們在決賽開幕典禮會後，仍向合勤投資控股公司董事長朱順一確認此事，他指出，這項資安競賽明年會舉行第二屆。</p> <p>無論如何，近年合勤在推動資安上的動作頻頻，除了投入資安設備產品發展，在2017年12月，該公司將內部資安團隊獨立出來的子公司黑貓資訊（Black Cat），以及在2019年3月設立資安長，今年他們更是藉由舉辦資安競賽，希望藉由投入舉辦資安競賽，希望大量年輕的資安人才來參與，共同推動資安產業發展。</p> </div></div></div>
2020/7/27 19:50作者羅正漢https://www.ithome.com.tw/news/139055
耳機製造商Koss控告蘋果與Bose的無線耳機侵犯專利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有逾60年歷史的美國耳機設計與製造商高斯電子（Koss），在上周分別<a href="https://www.scribd.com/document/470204505/Koss-Corporation-v-Apple-Patent-Infringement-Case#from_embed" target="_blank">具狀控訴了</a>蘋果、Bose，以及旗下擁有多個耳機品牌的PEAG LLC等業者，所生產的無線耳機<a href="https://appleinsider.com/articles/20/07/23/koss-suing-apple-over-basic-concept-of-wireless-connection-to-headphones-and-speakers" target="_blank">侵犯了該公司的技術專利</a>。</p> <p>Koss副總裁Michael Koss表示，該公司相信這些被告是故意侵犯了Koss的數個專利，這些專利為Koss在2005年左右所開發，當時他們積極投資與發明可雙向運作的真正無線耳機，專案名稱為Striva，而後來Koss生產的各種耳機及裝置都應用了當時Striva所申請的許多專利技術。</p> <p>在Koss指控蘋果的訴狀中，聲稱蘋果從iPhone、iPad、Apple Watch、HomePod、AirPods到Apple Beats by Dre，都或多或少地侵犯了該公司的5項專利技術，分別是10,206,025、10,298,451、10,469,934、10,491,982與10,506,325，相關專利主要圍繞在無線耳機的設計，以及從電腦或播放器透過無線網路的聲音串流技術等。</p> <p>Koss認為，蘋果在2019年就知道相關技術屬於該公司的專利，卻依然無視其專利權。</p> <p>不過，Koss是在2019年才取得上述專利，而蘋果在2016年就推出了AirPods。</p> </div></div></div>
2020/7/27 17:30作者陳曉莉https://www.ithome.com.tw/news/139053
Mozilla實驗在Unity虛擬實境嵌入網頁體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozvr.com/a-browser-plugin-for-unity/">Mozilla發布了一個Unity原生擴充套件，以及一組Unity C#腳本元件</a>，可讓第三方將Servo網頁瀏覽器添加到Unity虛擬場景中，連虛擬實境（VR）與擴增實境（AR）應用程式也沒問題，這個套件提供在Unity虛擬環境中，使用網頁平臺的方法。目前的版本僅支援macOS平臺，接下來官方還會讓Servo支援擴增到其他平臺上。</p> <p>Unity是一款跨平臺的遊戲引擎，可以開發跨Windows、MacOS及Linux平臺，以及iOS、Android行動平臺，還有PlayStation、XBox與Switch等遊戲主機的電玩遊戲。Unity引擎的多平臺套件系統，可安裝第三方開源或是專有的套件，該套件系統可以執行作業系統原生模組，並且直接連結在Unity腳本環境中執行的元件。</p> <p>而Servo則是由Mozilla資助，並使用Rust系統程式語言開發而成的平行瀏覽器引擎，Servo專案的目的，是要開發更具平行性、安全性、模組化和高效能的瀏覽器。Mozilla將Servo當作瀏覽器技術的孵化器，專注於研發新的瀏覽器技術，目前從Servo轉移到Firefox使用的Gecko引擎的新技術，包括GPU渲染引擎WebRender以及CSS引擎Stylo。</p> <p>Unity開發工具以及引擎，成為常用來開發VR與AR應用的方法，Mozilla之前嘗試了在網頁環境以Unity提供VR體驗，而現在反過來，Mozilla啟動另一項早期實驗性專案，則是要在Unity虛擬環境中，提供網頁體驗。</p> <p>利用Mozilla最新釋出的Unity擴充套件，開發者可以在Unity編輯器中，使用瀏覽器視窗和控制元件，將Servo視窗放置在Unity場景中的任何位置，在Mozilla釋出的展示範例中，他們將瀏覽器視窗擺進了Mozilla蘑菇洞穴中，使用者可以利用操作器，在洞穴中四處移動，並且看到以3D呈現的瀏覽器內容。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/bO4fmyZKRIU" width="560px"></iframe></div> <p>Mozilla使用Unity的元件架構，來開發這個網頁擴充套件，Unity會執行開發者程式碼，在Unity虛擬環境創建Servo視窗物件，並將瀏覽器內容以貼圖形式呈現。由於Servo使用GStreamer框架，能提供高品質的媒體串流播放功能，因此使用者可以在Unity環境中觀看MPEG4影片，當前Servo已經支援各種多元的網頁內容，現在還能顯示WebGL內容，而Mozilla也正在擴充Servo的網頁相容性。</p> <p>Mozilla提到，因為Unity的腳本環境是以單執行緒進行，而Servo則是以多個輕量級執行緒來執行多種任務，雖然他們已經將Servo的工作編組對應到Unity的執行緒中，但是現在網頁內容更新僅在影格刷新時發生，因此他們還需要做一些最佳化，進行更精細的網頁內容更新控制。另外，他們也會持續改進在Unity中所提供的瀏覽器功能，加入包括多視窗、多頁籤、歷史紀錄以及書籤等功能。</p> </div></div></div>
2020/7/27 17:45作者李建興https://www.ithome.com.tw/news/139051
殭屍網路病毒Emotet被惡搞，惡意程式被換成無害GIF檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://paste.cryptolaemus.com/emotet/2020/07/23/emotet-malware-IoCs_07-23-20.html" target="_blank">一群研究人員發現</a>，一名不知名人士近日發動惡搞，將近年最危險的金融木馬及殭屍網路惡意程式Emotet的下載連結，置換成下載無害的GIF圖檔，至少暫時癱瘓其感染能力。</p> <p><a href="https://www.zdnet.com/article/a-vigilante-is-sabotaging-the-emotet-botnet-by-replacing-malware-payloads-with-gifs/" target="_blank">ZDNet報導</a>Emotet最初出現於2014年，一開始是一隻金融木馬程式，專門潛伏在用戶電腦中，等用戶登入網路銀行帳戶時竊取其帳密，然後讓駭客得以盜轉受害者的金錢。但近幾年它改變了「商業模式」，變成一隻殭屍網路病毒。它會先傳送垃圾郵件或連結誘使用戶下載Office檔案植入電腦，藉此感染大量機器，並提供服務下載其他駭客撰寫的惡意程式，從勒索軟體、挖礦程式、木馬、竊密軟體。Emotet今年初還<a href="https://www.ithome.com.tw/news/135769" target="_blank">加入感染Wi-Fi網路的能力</a>。由於它能在企業網路建立殭屍網路，被視為最危險的殭屍網路病毒之一。</p> <p>一群安全研究人員組成的白帽駭客聯盟Cryptolaemus上周發現，一個或一組不知名的駭客對下載Emotet的連結發動破壞。原本Emotet把惡意程式暫時代管在一些被駭入的Wordpress網站上，利用開源web shell來控制這些網站，等感染大量機器後再下載。但是它犯了一般企業用戶相同的錯誤：所有web shell使用相同密碼。</p> <p>7月21日，別的駭客發現並破解了web shell的共用密碼，將所有應該下載Emotet的Office檔案，全數置換成Giphy和Imgur代管的搞笑動態GIF檔（如<a href="https://giphy.com/gifs/optical-illusions-asap-science-aZ3LDBs1ExsE8" target="_blank">這個</a>和<a href="https://giphy.com/gifs/are-you-serious-insane-Ni4cpi0uUkd6U" target="_blank">這個</a>）。也就是說，即使受害者下載了一個惡意Office檔，也不會感染Emotet。</p> <p>Emotet自7月23日起下線，管理員忙著驅逐惡搞的駭客及恢復下載連結，但後者惡搞速度比Emotet管理員動作還快，將這個殭屍網路搞得人仰馬翻。到上周五為止，Emotet網路只剩1/4還在運作，管理員仍在搶回web shell控制權。</p> <p>這不知名的駭客身份仍不得而知。Cryptolaemus研究人員猜測可能是安全研究人士，也可能是競爭對手。</p> </div></div></div>
2020/7/27 16:00作者林妍溱https://www.ithome.com.tw/news/139049
美國政府把手伸進非營利的Open Technology Fund，17家網路自由組織聲援OTF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門經營美國國有媒體的全球媒體管理局（U.S. Agency for Global Media，USAGM）執行長Michael Pack，在今年6月接管了非營利的開放技術基金（Open Technology Fund，OTF），一口氣撤換了OTF及旗下4家媒體的負責人，還解散並置換了這5個組織的管理委員會，<a href="https://www.nytimes.com/2020/06/23/us/politics/michael-pack-global-media.html" target="_blank">遭OTF以違憲為由告上法院</a>，而包括電子前線基金會（EFF）、Wikimedia及Mozilla等17個支持網路自由的組織則共同提出了意見陳述書（amicus brief）以聲援OTF。</p> <p>2012年創立的OTF其實是USAGM旗下的獨立公司，但它為非營利公司，目的是為了解決全球網路審查與監控問題，打造了各種數位工具，以協助民眾、媒體及人權組織對抗政府的監控及網路攻擊，估計全球已有超過20億人使用了OTF所開發的工具。</p> <p>至於Pack則被視為美國總統川普（Donald Trump）的人馬，紐約時報分析，Pack的舉動是企圖把獨立經營的OTF轉為白宮的傳聲筒。</p> <p>OTF很快就告上法院，認為Pack的行為違反了美國憲法第一修正案及其它美國法令，因為OFT是獨立於政府之外的組織，本月初地方法院拒絕了OTF的請求，但上訴法院則認為Pack對於非營利的OTF並不具備行政權力，在7月下旬阻止Pack接管OFT。</p> <p>包括EFF、維基百科母公司Wikimedia、國際組織Human Rights Watch、Mozilla及Tor專案在內的17家推動網路自由的組織，則在上周提出意見陳述書，共同聲援OTF的立場。</p> <p>EFF在<a href="https://www.eff.org/document/otf-v-pack-amicus-brief" target="_blank">意見陳述書</a>中表示，OTF之所以受到全球的信賴，主要原因為它是個獨立的非營利組織，而且不受美國政府的影響，此外，儘管OTF接受了美國政府的資助，但美國國會早就宣布OTF並不屬於聯邦實體，允許Pack接管將建立一個危險的先例。</p> <p>EFF執行董事Cindy Cohn強調，面臨風險的不僅是那些獲得美國政府資金的小型非營利組織的獨立性，還可能波及多年以來它們替那些受壓迫政權的民眾，在言論自由、民主與數位安全所建立的技術及教育理念。</p> </div></div></div>
2020/7/27 16:30作者陳曉莉https://www.ithome.com.tw/news/139052
新型態資安暑期課程AIS3過去6年已經培養千名高手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣對於資安人才培育計畫已經邁入第六年，臺科大資工系副教授鄭欣明同時也是新型態資安暑期課程（AIS3）專案計畫主持人在今（7月27日）AIS3開訓典禮時表示，今年是該項四年計畫的最後一年，總計有612名學生參加資安測驗，錄取186名學員，是歷年來錄取人數最多的一年。</p> <p>鄭欣明指出，過去六年來，AIS3已經培育998名對資安有興趣的優秀學生，這些學生畢業後在產業的表現，也獲得不少企業資安長的肯定。他說，今年是這個AIS3四年計畫的最後一年，因為已經獲得顯著成效，將會繼續規畫下一個四年計畫，目的就是讓臺灣資安人才培育不要出現斷層，可以。</p> <p>國安會諮詢委員李漢銘針對AIS3開訓典禮致詞時也表示，臺灣科技人才包括資安在內的人才不足，除了教育部針對大學生的AIS3，科技部也有相關專案，此外，除了總統蔡英文在就職典禮上提到的將資安視為六大核心戰略計畫，「未來，資安將在所有的產業生根，因為每個產業都需要做資安。」他說。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>AIS3發展六年，從偏重攻擊面課程轉向防禦和貼近產業需求</strong></span></span></p> <p>鄭欣明表示，AIS3最早從2015年開始，剛開始兩年，都是一年一次的短期專案，後來因為逐漸展現成效，2017年則規畫成四年專案，今年是AIS3四年專案的最後一年，課程也從以往純攻擊技術和漏洞挖掘的課程，更大幅增加國家以及企業所需的資安人才，希望可以更貼近產業和民眾關切的資安實務及防護相關的應用。</p> <p>所以，他說，AIS3在課程規畫上，也特別納入假新聞、5G安全及關鍵基礎設施防護等議題，並將課程分成五大主題，包括：國家安全、關鍵基礎設施安全、軟體開發安全、網頁安全及數位鑑識。</p> <p>目前AIS3是臺灣唯一一個長期資安實務暑期營隊活動，鄭欣明指出，臺灣資安人才需求大，但學用落差也大，在學界和產業界力挺動手操作的實務課程下，課程內容也逐漸從剛開始的CTF （搶旗攻防賽）、紅隊演練和挖掘漏洞的課程中，轉向可以跟產業需求接管的課程，希望可以培育出更多符合企業需求的資安人才。</p> <p>臺灣科技大學校長廖慶榮表示，該校某上市公司校友遭到勒索軟體勒索，即便該公司有資安人員，最後仍得透過支付贖金方式取得被加密的資料。他說，資安問題日新月異，AIS3透過最新實務經驗和產學合作，教授學校學不到的資安知識，讓這些知識傳遞對國家資安有貢獻。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>落實資安即國安2.0，每一個產業發展都跟資安脫離不了關係</strong></span></span></p> <p>李漢銘指出，過去四年，在前任國安會諮詢委員李德財帶領下，落實「資安即國安」的國家資安政策，在組織面上，則有2016年8月成立行政院資通安全管理處；法規面則是2018年通過「資通安全管理法」，2019年元旦實施；防禦面則是在2017年正式成第四軍種的立資通電軍。</p> <p>李漢銘說，接下來的重點在於「資安即國安2.0」政策的落實，必須要更重視涉及民眾生活和生命的關鍵基礎設施安全性，畢竟，4G時代駭客偷個資的目的在謀財，當進入5G的物聯網時代，一旦出現任何資安事件，例如醫療設備連網遭駭，就可能落得害命的下場。</p> <p>因此，他認為，接下來除了資安管理法的落實，不只要培育資安人力，這些資安人力也要變成資安種子，繼續播種培育未來的資安人才；而產業的推動，除了原先行政院為了下世代產業成長核心及資通訊產業轉型所提出的5+2產業創新計畫外，資安產業也成為臺灣朝向數位國家及轉位經濟的基礎外，未來每一個產業發展都脫離不了資安，也必須有資安作為產業發展的基礎才行。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>AIS3成臺灣資安人才培育搖籃，要做到理論和實務整合</strong></span></span></p> <p>臺科大資管系特聘教授吳宗成表示，資安是一門跨理論和實務的專業，更難的事情是，怎麼做到讓學校教授的理論可以無縫和產業實務接軌。他認為，透過以培育大學生或研究所的AIS3資安人才培育計畫外，也有向下往高中生挖掘優秀資安人才，規畫高中生的資安營隊；也讓AIS3學生往上安排，可以接受更多資安實務導師的輔導；甚至於，透過產學合作，連教授資安的老師也都可以投入更多實務課程的教授，做到理論與實務結合的向上提升。</p> <p>中央研究院院士李德財表示，AIS3創造出政府和企業對資安人才的需求，而透過教育部持續提供經費，也讓這樣的AIS3資安人才培育課程，甚至培育出臺灣第二個可以揚名國際的CTF戰隊。</p> <p>李德財也說，過去六年培育出近千名學員，是臺灣培育資安人才的搖籃，也奠定臺灣培育資安人才的基礎；未來，更要打造資安產業和研發人才聚落，在臺灣頻頻遭受各種網軍攻擊的同時，可以讓資安攻擊和防禦的人才在全臺灣遍地開花，也有機會做到全民資安素養的提升。</p> <p> </p> </div></div></div>
2020/7/27 16:34作者黃彥棻https://www.ithome.com.tw/news/139050
研究：DJI Android App多項功能有安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>屢屢<a href="https://www.ithome.com.tw/news/135334" target="_blank">被美國懷疑</a>以無人機協助中國政府間諜行動，而計畫停飛的大疆（DJI）近日又<a href="https://www.synacktiv.com/en/publications/dji-android-go-4-application-security-analysis.html" target="_blank">被一家安全廠商指其DJI Go 4 Android版本App多項行為很可疑</a>，包括有強制下載程式、蒐集敏感的裝置資訊及暗中背景執行，即使不是惡意軟體，也有侵犯隱私的疑慮。</p> <p>DJI Go 4是將手機連結遙控器以及操控DJI無人機的App，在Google Play Store上下載超過百萬。安全廠商Synacktive本月公佈對DJI Go 4.1及4.3版做的分析，並揭露兩項疑似漏洞的行為。他們發現DJI使用了數種類似惡意程式的反分析手法，像是反除錯（anti-debug）、混淆程式碼（obfuscation）、程式及動態加密來防止被分析。成功破解後，他們發現這款App有兩項功能會呼叫遠端伺服器並等待某個檔案下載，這個檔案會強制用戶手機安裝更新或某個新App，行為很像控制木馬程式的C&C伺服器。由於DJI Go 4已在手機上要求存取多種功能，像是聯絡人、麥克風、相機、地點、儲存裝置、變更網路連線，且會透過SDK分享到微博，這讓DJI或微博伺服器取得用戶手機的幾乎完整的控制權。另一方面，這類更新或推送Android App 的行為乃繞過Google管理機制，Google無法驗證DJI在其中送了什麼東西或做了什麼修改。如果有什麼安全風險，就會波及上百萬用戶。</p> <p>研究人員也發現DJI Go 4近來版本中的MobTech元件，會蒐集包括IMSI（International Mobile Subscriber Identity，國際行動用戶辨識碼）、IMEI（International Mobile Equipment Identity number，國際行動設備辨識碼）、SIM卡序號等資訊，不但和無人機飛行不相關，也超過DJI隱私政策說明的範圍。</p> <p>另外，DJI GO 4並不會在使用者關閉時向右滑時真正關閉，而是暗中重啟名為Telemetry的服務並以背景執行，並發出網路呼叫。</p> <p>研究人員提醒用戶要小心DJI Go App有造成隱私資料外洩或誤用、以及不安全的C&C伺服器連線功能。但研究人員也指出，上述這些行為都只出現在Android版DJI Go 4，iOS版並沒有混淆程式碼或隱匿更新機制的行為。</p> <p>不過<a href="https://www.dji.com/newsroom/news/dji-statement-on-recent-reports-from-security-researchers" target="_blank">DJI上周回應</a>疑似功能漏洞並沒有遭到濫用的行為。該公司也解釋，強制下載App的功能，是在偵測到用戶使用的不是官方版本，或DJI App被修改以關閉高度限制或地理圍柵功能時，強制要求使用者從DJI官網下載官方版本App所致。但未來他們會修改下載路徑，要求使用者從Google Play下載App。如果用戶不允許下載，則系統會關閉修改過的舊版App。</p> <p>此外，DJI說MobileTech元件的漏洞已在之前安全研究人員揭露後移除，也說並沒有發現有被開採的現象。至於微博SDK分享DJI資訊，以及何以DJI Go會在關閉後背景重啟一事，他們表示會再研究以及向微博反映SDK安全問題。</p> <p>最後，DJI強調DJI Go主要用於消費機種的無人機控制，並不用於政府部門使用的機種，後者只使用非商業用的DJI Pilot App。</p> </div></div></div>
2020/7/27 14:20作者林妍溱https://www.ithome.com.tw/news/139048
美國公布量子網路藍圖，打造無從被駭的網路系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國能源部（Department of Energy，DOE）在7月23日<a href="https://www.energy.gov/articles/us-department-energy-unveils-blueprint-quantum-internet-launch-future-quantum-internet" target="_blank">公布了量子網路（Quantum Internet）藍圖</a>，期望打造一個無從被駭的網路系統，科學家們相信可在未來10年內建立美國量子網路的原型架構。</p> <p>DOE說，要建立一個完整的量子網路原型需要美國產官學之間的密切合作，從DOE、國家科學基金會、國防部、國家標準技術院、國家安全局、美國太空總署、各個國家實驗室，到學術機構及產業，並以DOE旗下的17個國家實驗室作為量子網路的骨幹。</p> <p>此一量子網路藍圖是美國總統川普（Donald Trump）在2018年所簽署的《國家量子倡議法案》（National Quantum Initiative Act）的一環，將奠基在由阿貢國家實驗室（Argonne National Laboratory ）與芝加哥大學<a href="https://news.uchicago.edu/story/argonne-uchicago-scientists-take-important-step-developing-national-quantum-internet" target="_blank">在今年2月所發表的量子迴圈（quantum loop）</a>，它們在芝加哥的郊區成功讓光量子的糾纏綿延了52英里，而這是美國最長的陸上量子網路之一，且很快就會連結到費米實驗室（Fermilab），建立從阿貢實驗室、芝加哥大學到費米實驗室等3個節點的80英里試驗網路。費米實驗室主任Nigel Lockyer表示，數十年之後，當人們回顧量子網路時，就能說量子網路的起點就位於芝加哥。</p> <p>量子之間一旦產生糾纏，就成為一個綜合的整體，但它非常容易損耗，而且只要其中一個粒子遭到觀測，就會造成糾纏態的坍塌。因此，量子傳輸的特性之一就是它在傳遞資訊時，很難被竊聽，而美國科學家即計畫要利用此一特性來打造幾乎不可能被入侵的網路。</p> <p>DOE預期量子網路的早期採用者可能包括金融及健康服務產業，以及國家安全與飛機通訊的應用，並可普及到人們日常生活中的手機，未來亦可建立異常敏銳的量子感應器網路，以監控及預測地震，或者是用來尋找地底下的各種礦產。</p> <p>此一量子網路藍圖的研究目標涵蓋了建立並整合量子網路設備、永遠儲存及引導量子資訊及校正等，所訂定的4大里程碑則依序是驗證現有光纖網路上的安全量子協定，在校園與城市間傳送糾纏資訊，擴大城市間的網路，以及透過量子中繼器來放大訊號並建立各州之間的連線。</p> </div></div></div>
2020/7/27 14:10作者陳曉莉https://www.ithome.com.tw/news/139047
蘋果因防堵iTunes禮品卡詐騙不力挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本月稍早因疑似未能儘力防範騙取消費者利用iTunes禮品卡消費的詐騙行為，而遭一群消費者<a href="http://www.documentcloud.org/documents/7006952-Apple-class-action-for-iTunes-gift-card-scam.html" target="_blank">向加州地方法院集體控告</a>。</p> <p>100多名受害消費者控訴，多年來許多消費者被騙透過iTunes禮品卡消費大筆金額，而蘋果可能是因為能從每筆交易賺取30%的佣金，而多年來無心或刻意放任禮品卡詐騙行為。</p> <p>被騙者多半是老年人或知識水準不夠高的民眾。他們接到歹徒冒充親友打來緊急求助借錢付醫藥費、保釋金、還債等電話，要他們去買iTunes禮品卡，並將卡片的序號、密碼告知對方以證明有「付錢」。但是這些民眾並不知道iTunes禮品卡只是儲值卡，只能用於購買蘋果實體零售店內的蘋果產品、iTunes節目內容或遊戲點數。</p> <p>當歹徒取得iTunes禮品卡的序號、密碼後，就會到蘋果實體或線上商店購買iPhone等產品後脫手、以這些點數購買合作或自有App貨幣、遊戲寶物洗錢，或是直接將這些序號密碼轉賣給其他人。</p> <p>文件指出，多年來受騙者不知凡幾，單單在2015年到2019年間通報美國聯邦交易委員會（FTC）及報警的受騙金額，就高達9,350萬美元，還不包含大部份沒通報的黑數，推估這幾年iTunes禮品卡詐騙金額高達10億美元，而蘋果就從中賺到3億以上的佣金。而提出控告的100多人被騙金額也超過500萬美元。</p> <p>他們相信蘋果完全能掌控金錢和點數，卻有心或無意放任詐騙行為發生。當消費者發現被騙後聯絡蘋果，蘋果會詢問消費者Apple ID，並一律告知，如果詐騙者尚未兌現iTunes點數，則蘋果可以取消訂單，但若已兌現，則蘋果無能為力。事實上，即使已經兌現，會將金額保留4到6周後才付給商品或服務供應商，因此支付的金額是可能取回的，但蘋果卻在網頁或客服宣稱已支付的錢無法退回。</p> <p>這群受害人要求法院禁止蘋果繼續支付已知的iTunes禮品卡詐騙歹徒，並且要求蘋果將他們被騙的錢退回。</p> <p>線上平臺儼然成為詐騙者的天堂。本月包括蘋果共同創辦人Steve Wozniak在內的17人也<a href="https://www.ithome.com.tw/news/139022" target="_blank">控告Youtubue放任侵權和比特幣詐騙</a>。更明顯的例子是推特，這家社群訊息平臺本月中<a href="https://www.ithome.com.tw/news/138917" target="_blank">遭駭客入侵後端管理系統</a>後，接管了包括比爾蓋茲、貝佐斯（Jeff Bezos）等45個名人帳號發出比特幣詐騙訊息，成功騙到價值11萬美元的比特幣，還有5萬美元的比特幣匯到別的電子錢包。</p> </div></div></div>
2020/7/27 11:45作者林妍溱https://www.ithome.com.tw/news/139045
Kubernetes正悄悄改變HCI的未來
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期我們所接觸到的新一代企業級系統軟體平臺，以及SaaS雲端服務當中，已經或打算採用Kubernetes、微服務架構的比例，越來越多，而向來仰賴Hypervisor來統合伺服器的運算、儲存資源的超融合基礎架構（HCI），是否也將走向這樣的發展趨勢？</p> <p>幾年前，已經有一些HCI廠商開始支援Kubernetes。例如，Nutanix在2018年11月預告將推出企業級Kubernetes版本，稱為Karbon，也提供技術預覽版供大家試用；隔年4月Karbon正式發布，該公司也以此建構Nutanix Cloud Native解決方案，而在當時公布的架構圖解來看，Karbon是執行在Nutanix發展的Acropolis Hypervisor之上；到了今年2月，Karbon的2.0版也已經問世，可整合在Nutanix AOS平臺的Prism Central管理介面。</p> <p>而在Dell Technologies、VMware陣營的部份，早在2017年8月，VMware就與Pivotal、Google Cloud合作，推出企業級Kubernetes版本，名為Pivotal Container Service（PKS）；在2019年上半，PKS已衍生為3種平臺，分別是：VMware Essential PKS、VMware Enterprise PKS、VMware Cloud PKS，以對應模組化自建、整合VMware既有企業級產品、SaaS服務等不同的部署需求；到了2019年上半，VMware推出Tanzu Mission Control，來搭配現有的PKS，以及2020年推出的vSphere 7 with Kubernetes。</p> <p>Dell Technologies則於2019年8月宣布，Dell Technologies Cloud Platforms解決方案將支援VMware PKS，讓企業能夠部署、執行與管理Kubernetes，以此來承載關鍵生產環境的工作負載。舉例來說，超融合基礎架構產品VxRail將提供VMware PKS的自動部署，整合關於Kubernetes與容器的相關支援；而在VMware當時的部落格當中，也有文章提到PKS與VMware Cloud Foundation（VCF）整合，因此能在VCF（3.8.1版）當中自動部署PKS，由於VxRail可以搭配VCF，也就能透過這樣的作法來支援Kubernetes部署。</p> <p>除此之外，Dell Technologies也陸續針對其他Kubernetes平臺，推出適用的解決方案或參考架構，目前可涵蓋：Red Hat OpenShift Container Platform、Canonical Ubuntu Charmed Kubernetes、SUSE Containers as a Service，以及Google Cloud的Anthos，而能搭配的超融合基礎架構硬體平臺，也相當多元，例如自家的PowerFlex（原名為VxFlex）、微軟Azure Stack Hub。</p> <p>值得注意的是，現行HCI產品對於Kubernetes的支援，大多都是在Hypervisor之上的層級來執行，而這又牽涉到企業的IT基礎架構偏好，因此早期是VMware vSphere與微軟Hyper-V獨領風騷，最受企業用戶歡迎，許多廠商也樂於搭配這兩種系統平臺，而後來有些廠商基於開放原始碼的KVM，來打造他們的超融合基礎架構產品。</p> <p>然而，今年起，若企業想要運用伺服器虛擬化的架構來建置Kubernetes，將會有新的選擇，那就是容器原生型虛擬化（container-native virtualization），而當中的關鍵是KubeVirt這套開放原始碼的軟體，能在Kubernetes容器平臺之上執行虛擬機器，而且是在Kubernetes容器裡面來運用KVM。</p> <p>是的，你沒看錯，過去我們總是將Kubernetes放到虛擬機器當中執行，如今，我們可以將虛擬機器放到Kubernetes當中來執行。而關於這樣的應用方式，目前我們看到紅帽正在積極發展，他們在今年4月底舉行的全球用戶大會上，宣布OpenShift將結合KubeVirt，而這項機制稱為<a href="https://www.ithome.com.tw/news/137292" target="_blank">OpenShift virtualization</a>。由於紅帽過去也默默發展超融合基礎架構，也許未來有可能藉此開創HCI的新局面，且讓我們拭目以待。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/openshift-%E8%99%9B%E6%93%AC%E5%8C%96">OpenShift 虛擬化</a></div><div class="field-item odd"><a href="/tags/kubernetes">Kubernetes</a></div><div class="field-item even"><a href="/tags/hci">HCI</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8%E5%8E%9F%E7%94%9F%E5%9E%8B%E8%99%9B%E6%93%AC%E5%8C%96">容器原生型虛擬化</a></div><div class="field-item odd"><a href="/tags/kubevirt">KubeVirt</a></div></div></div>
2020/7/27 09:00作者李宗翰https://www.ithome.com.tw/voice/139010
Garmin服務全球大當機破3天，疑似攻擊程式樣本曝光，官方也終於回應用戶資料無損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過2天搶修，Garmin遭遇勒索軟體攻擊的災情依舊沒有完全恢復，多數服務和客服中心仍舊是中斷停擺的情況，但Garmin也優先恢復了多項飛行導航的相關服務。Garmin官方網站第二次針對這次事件發布公告，這次是<a href="https://www.garmin.com/zh-TW/outage/">伺服器維修公告</a>，坦言伺服器仍舊因系統中斷，而影響了Garmin Connect和Garmin Pilot平臺上的部分服務，這次公告不再承諾修復時間，僅表示還在搶救中，而用戶資料都不受影響。</p> <p>這起全球性服務中斷事件，引發了全球各地的Garmin用戶抱怨，甚至擔心自己的活動記錄或健康狀態資料是否遺失等問題，如何從Garmin裝置離線匯出資料的討論也大獲關注。</p> <p>Garmin終於在第二次公告中，進一步說明當機事件對用戶資料的影響，Garmin Connect服務中斷期間，活動和健康數據會儲存在裝置上，不會遺失，而他們也表示，目前沒有跡象發現，這此事件會影響使用者資料，包括活動記錄、支付或個資都不受影響。從<a href="https://status.flygarmin.com/">Garmin部分服務狀態網頁</a>上可以發現，少數原本當機的服務，現在也有部分開始恢復運作，例如FlyGarmin飛航資料庫網站、飛航導航應用Garmin Pilot App等。</p> <h3><span style="color:#FF8C00;"><strong>曾賣出2億多個產品，全球上百國用戶都受到大當機影響</strong></span></h3> <p>Garmin是GPS設備大廠，產品涵蓋了穿戴產品、戶外用品、車用導航、航空或航海設備系統，許多私人飛機採用了Garmin飛航導航或自動飛航輔助系統，甚至還有提供緊急通訊的服務等。根據該公司今年第一季財報，穿戴產品類營收只占了26%，航空、航海和車用產品也各約占2成比例。除了航空產品之外，其餘產品賣到全球超過100個國家，至今賣出了2.2億個各類產品，光是2019財年就賣出了1,500萬個裝置。這次服務中斷等於影響了全球上百個國家的這些裝置的用戶。</p> <p>最早在7月23日時，Garmin官方<a href="https://www.garmin.com.tw/news/announcement/news-2020-jul-announcement1/">突然公布了為期2天（從7/23星期四傍晚、7/24星期五到7/25星期六）的維修公告</a>，Garmin相關應用程式和服務服務幾乎全面暫停服務，甚至包括客服中心都停擺。</p> <h3><strong><span style="color:#FF8C00;">員工私下向媒體透漏遭勒索軟體攻擊</span></strong></h3> <p>iThome當時接獲讀者報料，<a href="https://www.ithome.com.tw/news/139004">獨家披露了Garmin對內部員工的通告內容</a>，指出Garmin內部伺服器遭受病毒攻擊，導致臺灣工廠生產線全面大停擺，得停工2天的情況。我們也向Garmin公關部門查證，但他們不願證實遭攻擊的消息。</p> <p>後續，多家國外媒體分別私下向Garmin員工查證才得知，可能是WastedLocker這支勒索軟體造成了這起大當機事件。國外知名資安媒體<a href="https://www.bleepingcomputer.com/news/security/garmin-outage-caused-by-confirmed-wastedlocker-ransomware-attack/">BleepingComputer更取得勒索軟體攻擊電腦後的檔案列表螢幕照片</a>，螢幕上列出了遭加密的檔案，附檔名也變更為GARMINWASTED，這是這支勒索軟體習慣的命名特徵，以攻擊對象公司加上WASTED為附檔名，也是以此為名的緣故，而且會有一個附檔名為「_info」的說明檔案。不過，Garmin官方目前仍未證實，自己遭勒索軟體攻擊。</p> <p>據BleepingComputer從Garmin員工得知，7月23日星期四早上，就發現遭到勒索軟體的攻擊，Garmin為了避免災情擴大，直接將一座資料中心的設備進行強制關機，來避免更多電腦上的資料遭加密，這才進一步導致了Garmin全球服務的大當機。另一家科技媒體Techcrunch<a href="https://techcrunch.com/2020/07/25/garmin-outage-ransomware-sources/">同樣也從未獲授權的員工得知</a>，發動攻擊的勒索軟體是WastedLocker，不過沒有更多細節。</p> <p>WastedLocker是今年5月才被一家<a href="https://www.ithome.com.tw/news/138706">英國資安研究公司NCC Group披露的新型態勒索軟體</a>，專門鎖定大型企業發動攻擊。根據這家公司的分析，幕後操控這款勒索軟體的駭客組織是，惡名昭彰的俄羅斯駭客集團Evil Corp。6月時，賽門鐵克披露，美國曾出現了一波鎖定大型企業的勒索軟體攻擊。Evil Corp利用一個JavaScript惡意程式框架SocGholish，將入侵程式偽裝成軟體更新工具，再利用150個遭駭的合法網站來散布，一旦感染到大型企業的網路後，就會暗中利用滲透測試工具Cobalt Strike，搭配企業內部電腦上的合法工具，例如PowerShell，來竊取帳號、權限，在企業內網中移動，最後再將WastedLocker勒索軟體植入到受害企業的大量電腦上，來發動攻擊，進行勒索。遭駭的企業多達31家，其中8間是名列財星500大的企業，其中一個入侵手法是，員工瀏覽了遭駭的新聞網站而遭植入惡意程式。</p> <p>賽門鐵克當時也將他們發現的WastedLocker攻擊過程，<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/wastedlocker-ransomware-us">製作成流程圖</a>，可以清楚看到展開大規模攻擊前的手法和所用合法工具，這有助企業偵測出不正常的使用行為，以便提早發現潛伏的惡意程式。</p> <h3><span style="color:#FF8C00;"><strong>疑似攻擊Garmin的勒索軟體樣本上網曝光</strong></span></h3> <p>另外，在免費線上病毒分析服務VirusTotal上，7月23日也<a href="https://www.virustotal.com/gui/file/905ea119ad8d3e54cd228c458a1b5681abc1f35df782977a23812ec4efa0288a/details">出現了一支疑似是用來攻擊Garmin的勒索軟體WastedLocker</a>。根據平臺上的自動分析工具<a href="https://www.vmray.com/analyses/905ea119ad8d/report/files.html">追蹤這支程式發動攻擊後的影響</a>，同樣會出現GARMINWASTED的加密檔案，就如同Garmin遭駭後的電腦螢幕畫面一樣。這支惡意程式建立時間是世界標準時間7月22日18:43，也就是臺灣時間7月23日凌晨2點43分，等於可能是在當天凌晨才植入程式來發動攻擊。這個時間也符合BleepingComputer從Garmin員工得知，勒索軟體在早上發動攻擊的情況。在世界標準時間7月23日5點55分（臺灣時間是7/23 13:55），也就是在Garmin維修公告發布之前，有人上傳了這支惡意程式來進行檢測。同樣地，這個消息也沒有獲得Garmin官方證實。</p> <h3><span style="color:#FF8C00;"><strong>6大產品平臺和關鍵飛航服務都受衝擊而停擺</strong></span></h3> <p>在Garmin第一次公告中，所揭露的受影響服務包括了Garmin Connect、Garmin Express、Launcher等，不過，進一步從<a href="https://connect.garmin.com/status/">官方Connect服務狀態網頁</a>可以看到更詳細的災情，Garmin旗下6大平臺（Garmin Connect、高爾夫產品線平臺Garmin Golf、潛水產品線平臺Garmin Dive、軟體商店ConnectIQ、兒童手環產品線平臺vivofit Jr.、運動即時追蹤平臺LiveTrack）都呈現當機（Down）狀態，主要功能也全面停擺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Garmin%E4%B8%BB%E8%A6%81%E6%9C%8D%E5%8B%99%E7%8B%80%E6%85%8B.jpg" /></p> <p>另外，Garmin另一個重要的<a href="https://status.flygarmin.com/incidents/1xd8rn9k3mmt">航空產品線也受到嚴重衝擊而幾乎全面停擺</a>，包括了最重要的飛航資料庫平臺flyGarmin也是從臺灣時間7月23日晚上8點43分開始當機（EDT 7/23 早上08:43)，這個資料庫主要用於提供即時飛航資料、氣象資料等，給所有Garmin的飛航導航軟體、飛行輔助系統之用，這也是會影響飛機能否起飛的關鍵資料庫。另外，Garmin Pilot飛航導航App、FitPlan飛航規畫網站、飛航用Connext服務也受影響，部分服務失效。</p> <p>就連Garmin衛星通訊服務inReach也受到影響，例如帳單機制和登入功能失效，導致用戶無法進入網站或Explore app，但關鍵的文字簡訊、SOS求就和Email功能可以正常運作。</p> <h3><span style="color:#FF8C00;"><strong>主要飛航產品服務先恢復，其餘多數服務仍停擺</strong></span></h3> <p>經過官方公告的2天維修時間，大多數Garmin服務仍舊處於停擺狀態。Garmin Connect服務狀態網站一片紅色「當機」圖示，直到7月26日晚上，仍舊沒有任何服務恢復。倒是Garmin航空產品線有多項服務，在臺灣時間7月26日中午左右，恢復正常運作，根據FlyGarmin服務狀態網頁，包括了Garmin Pilot App、FlyGarmin網站、Connext服務和FltPlan.com都可以正常運作。而Garmin也針對飛航服務，啟用限量人數的電話客服服務，作為緊急支援之用。而inReach衛星通訊服務的登入機制已經恢復正常，使用者可以成功登入Explore網站和App，但部分功能仍舊無法使用，例如網站和App資料同步，inReach帳單功能直到7月26日時也依舊是停擺狀態。</p> </div></div></div>
2020/7/26 23:59作者王宏仁https://www.ithome.com.tw/news/139043
一周大事：GitHub要讓開源碼流傳千年。知名企業接連中標，臺灣勒索軟體災情浮上檯面，企業如何防範？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>從醫院到知名企業接連中標，臺灣勒索軟體攻擊白熱化</strong></span></p> <p>臺灣繼2019年發生數十家醫院同時遭受勒索軟體襲擊的重大資安事件後，今年多家能源與高科技業者，也遭駭客鎖定植入勒索軟體而影響營運。目前最新災情疑似發生在穿戴裝置大廠Garmin。</p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/139004" target="_blank"><span style="color:#A52A2A;">【iThome獨家】Garmin疑遭勒索軟體攻擊，影響產線運作，手機App更新無法同步</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/137659" target="_blank"><span style="color:#A52A2A;">調查局5月證實多家企業遭駭客組織入侵滲透，恐成勒索軟體攻擊未爆彈</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/134112" target="_blank"><span style="color:#A52A2A;">2019國家級資安事件：勒索軟體侵襲臺灣醫院</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129425" target="_blank"><span style="color:#A52A2A;">【勒索軟體防護指南】擺脫勒索軟體威脅，落實端點防護與資料備份是關鍵</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/135174" target="_blank"><span style="color:#A52A2A;">【2020十大資安趨勢】勒索軟體持續成為企業慎防的資安焦點</span></a></strong></span></p> <p> </p> <p><span style="font-size:28px;"><strong>GitHub將程式碼以膠卷形式封存於北極圈</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/github(2).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Github</span></p> <p>基於開源程式碼是現代文明的基石，也是全人類的遺產，GitHub去年發表GitHub封存計畫（GitHub Archive Program），要將程式碼儲存一千年，讓後代在需要的時候取用，目前已完成這項計畫，將程式碼以特製膠卷形式封存於北極圈。<a href="https://www.ithome.com.tw/news/138905" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>未達GDPR保障，歐盟法院廢除美隱私盾協議</strong></span></p> <p>本月歐盟法院（CJEU）以美國無法提供與歐盟一致的隱私保障為由，宣布廢除《隱私盾》（Privacy Shield）資料傳輸保護協議，《隱私盾》旨在簡化美國企業將歐洲民眾資料傳送到美國的流程。外界認為，此一裁決將衝擊所有在歐盟設立子公司的美國企業，這些企業必須把歐洲民眾個資移出美國。<a href="https://www.ithome.com.tw/news/138915" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐盟將對IoT裝置及服務展開壟斷調查</strong></span></p> <p>歐盟執委會（EC）宣布，有鑑於消費者端的物聯網（IoT）裝置數量快速成長，決定針對相關裝置的製造商、軟體開發者與服務供應商展開壟斷調查，評估它們是否危及市場競爭。<a href="https://www.ithome.com.tw/news/138916" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>港版國安法上路後，GCP強調將繼續投資香港資料中心</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_GCP%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GCP.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_GCP</span></p> <p>Google在港版國安法生效之初，即表示會暫停通過香港政府提出的任何資料請求，隨後就傳出，Google可能會進一步考慮撤出香港的傳言。對此Google雲端執行長Thomas Kurian則澄清，Google會繼續維運香港雲端地區，並繼續投資香港，不論是技術還是用戶面。針對外界質疑香港GCP用戶是否可將資料搬遷至其他雲端地區的疑慮，Kurian表示，用戶始終都有可以選擇在何處儲存自身資料，在何處執行運算工作，還有在何處使用GCP平臺雲端服務的自由。<a href="https://www.ithome.com.tw/news/138860" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google研究如何用海底光纖電纜偵測地震與海嘯</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%B5%B7%E5%BA%95%E9%9B%BB%E7%BA%9C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>只要使用現有的海底電纜，就能夠偵測數萬公里外的地震，Google正在研究利用在光纖中的光，所產生的偏振狀態，追蹤地震活動，這或將可用在全球的地震以及海嘯預警系統。<a href="https://www.ithome.com.tw/news/138892" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>DDR5標準出爐，頻寬是DDR4的兩倍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20DDR5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20SK%20Hynix.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ SK Hynix</span></p> <p>專門制定固態技術標準的聯合電子裝置技術協會（JEDEC），公布第五代雙倍資料傳輸率（DDR）同步動態隨機存取記憶體（SDRAM）標準，DDR5的頻寬是DDR4的兩倍，估計首個模組的傳輸速率可達4.8 Gbps，比DDR4現有最新模組的3.2 Gbps快上50%，但未來DDR5的傳輸速率可望達到6.4Gbps。<a href="https://www.ithome.com.tw/news/138859" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>亞馬遜智慧購物車讓普通超市也能導智慧零售</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%99%BA%E6%85%A7%E8%B3%BC%E7%89%A9%E8%BB%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%9E%E9%A6%AC%E9%81%9C.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_亞馬遜</span></p> <p>繼Amazon Go無人商店後，亞馬遜再展示智慧購物車Amazon Dash Cart。Dash Cart和Amazon Go一樣，強調讓消費者拿取所需物品後，經由專用道出去即可完成結帳。<a href="https://www.ithome.com.tw/news/138850" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>【從防疫學防駭】成本是防疫與資安都面臨的挑戰</strong></span></p> <p>打擊看不見的病毒，在防疫與防駭上，有不少互通之處，上周我們介紹了<a href="https://www.ithome.com.tw/article/138913" target="_blank">從防疫成功經驗學防駭</a>，較特別的是，在這次防疫經驗中，最多爭議的焦點，就是檢驗感染者的方法，我們到底要不要實施大規模的PCR篩檢與快篩？是否要入境全面篩檢或是針對全民的普篩？在這樣的議題下，資安防駭其實也是有類似的概念能夠借鏡。<a href="https://www.ithome.com.tw/news/139027" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>大批名人推特帳號貼出詐騙訊息，竟是推特公司內部管理帳號被駭</strong></span></p> <p>推特（Twitter）發生資安事件，比爾蓋茲、馬斯克、巴菲特以及蘋果等知名推特帳號遭不明人士駭入，張貼加密貨幣的詐騙訊息。推特官方調查指出，這起事件是肇因於駭客取得公司內部管理系統的員工帳號，鎖定了130名用戶，並成功接管其中45個帳號。<a href="https://www.ithome.com.tw/news/138917" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>國內自駕車監理沙盒法已通過六項實驗，不只自駕車還有自駕船</strong></span></p> <p>國內推動無人交通載具已有初步成果。經濟部在近期公布「無人載具科技創新實驗計畫」，即自駕車監理沙盒法審核成果，截至六月為止，通過六件無人載具實驗申請。顯示無人載具創新朝多元化發展，從陸地上的自駕車、自駕巴士，擴大至水上的自駕船。<a href="https://www.ithome.com.tw/news/138837" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國政府呼籲儘速修補DNS漏洞</strong></span></p> <p>一項存在於Windows伺服器的DNS元件漏洞，可能讓攻擊者遠端執行程式碼，還能自主感染其他機器，CVSS風險評分達最高的10.0分。微軟對此已釋出修補程式，呼籲IT管理員儘速安裝。這個漏洞的嚴重程度之高，也引發美國國土安全部重視，發布緊急指令要求所有受影響的聯邦機構，都應該限時修補或是採取緩解措施。<a href="https://www.ithome.com.tw/news/138891" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟進行年度改組，成立顧問服務部門</strong></span></p> <p>媒體報導，微軟新的會計年度進行改組，包括整合技術支援部門，及成立新的顧問服務部門。微軟通路部門主管已證實顧問服務部門的成立，並解釋新的顧問服務「主攻難度較高的專案或新科技」，旨在贏得大單或指標客戶，透過提供示範應用或參考架構幫客戶把系統建立起來。這類新技術主要是指Microsoft Azure提供的AI或雲端服務。<a href="https://www.ithome.com.tw/news/138896" target="_blank">更多內容</a></p> </div></div></div>
2020/7/26 07:00未署名https://www.ithome.com.tw/news/139030
Google研究以AI分級前列腺癌，準確度達72％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/health/using-ai-identify-aggressiveness-prostate-cancer/?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+blogspot%2FMKuf+%28The+Keyword+%7C+Official+Google+Blog%29">Google</a>開發了一種可用來對前列腺癌進行分級的人工智慧系統，能夠精確地以Gleason分級方法，對較小的前列腺活體組織切片進行分類，以進行初步的癌症診斷，而實驗結果顯示，這個人工智慧系統診斷的精確度，比經驗一般的病理學家表現更好。</p> <p>在美國約有九分之一的男性，一生中都曾罹患前列腺癌，但因為大部分的前列腺癌都是非惡性的，因此判斷病患是否有其急迫性，需要承擔手術和放射性治療的風險，成為了一件具有挑戰性的工作，特別是用來分級前列腺癌嚴重程度的Gleason分級方法，實際執行有其難度。</p> <p>Gleason分級方法有助於病理學家評估前列腺癌患者，Gleason分級是根據顯微鏡上玻片所觀察到的癌細胞，與正常細胞的相近程度做比較。進行Gleason分級依賴主觀的視覺檢查和評估，病理學家對於腫瘤的正確分級存在很大的分歧，因此Google在2018年的時候發表了一篇相關的研究，利用人工智慧演算法對大樣本，也就是以手術切除的前列腺組織進行Gleason分級，幫助病患了解病情以及預後。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/963px-Gleasonscore.jpg" style="width: 580px;" /><br /> （圖片來源／Wiki）</p> <p>而Google現在將這項研究往前推進，要以Gleason分級對較小的前列腺活體組織切片進行分級，Google提到，因為活體組織切片是在前列腺癌護理初期進行，用來初步診斷癌症，並且決定癌症患者的治療方式，比起真正的切除手術還要常執行。不過，因為切除的組織較少，而且組織擷取和製備的過程，可能使樣本出現變化，所以活體組織切片比手術樣本更難分級。</p> <p>Google開發了一個人工智慧系統，對活體組織切片的各個區域進行分級，最後總結區域分級，產生整個活體組織切片的分級。</p> <p>因為Gleason分級的複雜性，Google請了6位經驗豐富的病理學家，合作評估這個新的人工智慧系統。這些平均年資25年的專家，先對498個腫瘤樣本進行Gleason分級，並接著請19位經驗一般的病理學家再次進行Gleason分級，發現準確度只有58％，而Google新的人工智慧系統，平均準確度卻達到72％，Google提到，這個結果凸顯了Gleason分級的困難度。不過仍有一些前列腺癌的樣本過於模稜兩可，連專家的意見也出現分歧，而Google提到，在這種情況下，深度學習系統的同意比率（Agreement Rate）和專家間的同意比率相當。</p> <p>這一系列將人工智慧用於前列腺癌診斷的研究顯示，深度學習系統能夠良好地支援專家診斷癌症，並且提升癌症醫護的品質，Google提到，要使這個技術成為輔助工具，並且進一步用於臨床上或是更大的病患群體，仍需要評估系統在診斷上的準確性與一致性，但實驗結果已經證實，這項人工智慧工具，可以協助進行病理學家的診斷工作，特別是在專業技能受限的情況下。</p> </div></div></div>
2020/7/26 00:03作者李建興https://www.ithome.com.tw/news/139026
研究：27款PDF閱讀程式中有15款可能遭受影子攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群專門研究PDF程式安全漏洞的研究人員在本周揭露了<a href="https://pdf-insecurity.org/download/report-pdf-signatures-2020-03-02.pdf" target="_blank">新的影子攻擊（Shadow Attacks）手法</a>，可竄改已被簽章的PDF文件，在所檢測的27款桌面PDF程式中，就有15款至少含有一個相關漏洞。</p> <p>研究人員解釋，相關攻擊的概念是駭客可在一個PDF檔案中建立兩種不同的內容，在負責簽章的使用者收到PDF檔案，檢查並簽署它之後，照理說該檔案就無法再被竄改；假設檔案被變更了，那麼PDF程式會分析這些已採用數位簽章之後才被變更的內容，以判斷相關的變更是否合法，例如不得覆蓋頁面上的內容等；然而，有些變更會被這些PDF程式視為無害的，斷定簽章依然有效，而且不會祭出任何警告，這使得他們進一步找到如何濫用這些合法變更的功能，竄改已簽章PDF檔案的內容。</p> <p>該團隊已經打造出不同形式的影子攻擊，分別是把內容藏在已簽章的PDF文件中，或是置換已簽章PDF文件的內容，以及隱藏及置換已簽章PDF文件的內容。</p> <p>以藏匿型的攻擊來說，駭客可以把「你被開除了」的文字，藏匿在「簽名就能獲得獎勵」的圖片後面，只要該檔案是透過線上簽章服務簽署，而且受害者透過關鍵字來搜尋文件，就能找到駭客所藏匿的文字。</p> <p>在置換內容的攻擊上，則是把被視為無害的物件加在已簽章的PDF檔案中，但卻可直接影響PDF檔案的內容呈現。例如變更字型有時便會造成數字或字元的不同，或是濫用其互動式表單功能，讓受害者看到不同的數值。</p> <p>而隱藏暨置換的攻擊手法則是最強大的，它可讓已簽署的PDF文件內含一個擁有完全不同內容的隱藏文件，該隱藏文件從每一頁的內容到文件頁數，可能都跟原始文件不同。</p> <p>研究人員在今年3月就陸續通報各家PDF程式開發者，目前確定的是Adobe已修補了影子攻擊所開採的CVE-2020-9592與CVE-2020-9596漏洞，其它PDF程式開發者亦可利用研究人員所釋出的攻擊程式進行測試。</p> <p>在所測試的27款PDF程式中，有15款至少含有一個完整的相關漏洞，至於完全不受影響的程式只有3個，它們是macOS版的Master PDF Editor、PDF Editor 6 Pro與PDFelement。</p> </div></div></div>
2020/7/26 00:10作者陳曉莉https://www.ithome.com.tw/news/139032
基因資料庫GEDmatch遭駭客攻擊，120萬用戶基因檔案全曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門供使用者上傳自己的基因檔案，以比對該平台資料庫中是否有類似基因，以尋找親人或建立族譜的GEDmatch，坦承該平台在7月19日遭到駭客以一名既有用戶的帳號展開攻擊，使得用戶資料全數曝光。根據維基百科的內容，GEDmatch至少存放了120萬用戶的DNA檔案。</p> <p><a href="https://www.facebook.com/officialGEDmatch/posts/226701508802584" target="_blank">GEDmatch表示</a>，此一攻擊造成所有使用者的權限全被重設，而讓所有用戶的DNA檔案都曝光，約持續了3小時，此外，在這段期間，不只是用戶DNA檔案曝光，那些原本設定不讓執法機關比對的DNA檔案突然可以被比對了，而且所有執法機關的檔案也全曝光。</p> <p>不過，除了上述之外，GEDmatch說該站的用戶資料並未被破壞或下載。由於GEDmatch發現該站仍存有安全漏洞，決定與資安業者合作以部署一個長久的安全措施，因此迄今該站依然是關閉的。</p> <p>雖然GEDmatch強調用戶資料並未被下載，但另一個提供族譜服務的MyHeritage卻在GEDmatch遭駭事件曝光的幾天後<a href="https://blog.myheritage.com/2020/07/security-alert-malicious-phishing-attempt-detected-possibly-connected-to-gedmatch-breach/" target="_blank">提出了警告</a>，他們發現駭客設立了一個仿冒的myheritaQe.com網站，並寄送網釣電子郵件予MyHeritage用戶，要求使用者連至偽造網站輸入自己的憑證。</p> <p>MyHeritage指出，這些電子郵件很可能是來自於GEDmatch網站上的名單，因為駭客的網釣郵件出現在GEDmatch遭駭的兩天後，同時在調查這些被設局的使用者時，他們最大的共通點就是皆為GEDmatch用戶，且其中更有一名被駭客鎖定的MyHeritage用戶在網釣郵件中，看到了他在GEDmatch檔案使用的名字，猜測駭客是利用GEDmatch名單來開採MyHeritage用戶，</p> <p>只是，MyHeritage並不確定駭客的網釣郵件是寄給了所有的GEDmatch用戶，還是只寄給那些從MyHeritage把DNA資料上傳到GEDmatch的用戶。</p> </div></div></div>
2020/7/26 00:30作者陳曉莉https://www.ithome.com.tw/news/139033
TikTok設立2億美元的創作基金，傳出將稀釋中資背景以換取美國接納
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短影音平臺<a href="https://newsroom.tiktok.com/en-us/introducing-the-200-million-tiktok-creator-fund" target="_blank">TikTok在7月23日宣布</a>設立創作者基金（Creator Fund），將準備2億美元的資金以付費給該平臺的創作者，而這幾天<a href="https://www.ft.com/content/2b79b921-0b8c-4230-8699-190a949f6418" target="_blank">金融時報</a>與紐約時報則相繼報導，抖音的母公司字節跳動（ByteDance）正在考慮是否將稀釋TikTok的中資背景，透過增資讓外國資金取得大多數的TikTok股權，以換取美國或其它國際市場的接納。</p> <p>根據TikTok的說明，此一新的TikTok Creator Fund是美國專屬基金，主要將用來鼓勵那些嘗試藉由TikTok平臺開創事業的內容創新者，該基金可能延續許多年，基金規模亦會隨之擴大。</p> <p>TikTok的舉動很可能是為了因應，近日川普政府傳出考慮封鎖該平臺的消息。除了美國國務卿<a href="https://www.ithome.com.tw/news/138651" target="_blank">Mike Pompeo曾經放出風聲</a>以外，川普的大選陣營還在近日於臉書上<a href="https://www.reuters.com/article/us-usa-election-trump-tiktok/trump-campaign-runs-facebook-ads-on-whether-tiktok-should-be-banned-idUSKCN24L2M8" target="_blank">張貼廣告</a>，以調查臉書用戶對於封鎖TikTok的看法。</p> <p>這讓TikTok動作頻頻，因為中國、美國與印度是TikTok在全球的前三大市場，而<a href="https://www.ithome.com.tw/news/138506" target="_blank">印度已於今年6月底全面封殺了</a>包含TikTok在內的59款中國程式，使得TikTok勢必得挽留其全球第二大市場。</p> <p>除了祭出TikTok Creator Fund之外，<a href="https://www.cnbc.com/2020/07/21/tiktok-hiring-10000-staff-in-us.html" target="_blank">TikTok日前亦宣布</a>計畫於未來3年內於美國聘請1萬名員工，這兩天更傳出其母公司字節跳動有意稀釋TikTok的中國資金。</p> <p>根據<a href="https://www.nytimes.com/2020/07/23/business/dealbook/tiktok-bytedance-investors-trump.html" target="_blank">紐約時報的報導</a>，字節跳動打算讓其兩大既有股東紅杉資本（Sequoia Capital）與大西洋資本（General Atlantic），藉由增資來取得大多數的TikTok股權，而字節跳動只會保留少數股權，不管是紅杉資本或大西洋資本的總部皆位於美國，以減輕美國懷疑字節跳動會將TikTok用戶資料移交給中國政府的疑慮。</p> <p>關於股權一事尚未定案，而字節跳動則拒絕回應此一傳聞。</p> </div></div></div>
2020/7/26 00:00作者陳曉莉https://www.ithome.com.tw/news/139031
臉書開發用於預防隱私外洩的AI資料分類系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書結合多種資料訊號、可擴展的系統基礎架構，以及機器學習技術，建構了一個<a href="https://engineering.fb.com/security/data-classification-system/">資料分類系統</a>，以偵測語義類型，臉書提到，這對於以多種格式儲存資料的組織特別重要，先以分類系統分類資料，後續才能讓組織得以執行像是存取控制政策等，自動化隱私與安全相關的政策。</p> <p>傳統的資料外洩防護（Data Loss Prevention，DLP）系統，是利用資料指紋進行辨識，透過監控端點以偵測與指紋相符的資料，但臉書表示，這種方法對於擁有大量且不斷變化資料資產的組織來說，不只難以擴展，而且也無法有效率的探索資料的所在。而臉書的新系統，強調採用可縮放的基礎架構，以多種訊號以及機器學習技術，透過持續訓練模型來解決這個問題，且可擴展應用到持久性與非持久性用戶資料，處理各種資料類型和格式。</p> <p>臉書提到，資料通常以兩種形式進入組織，因此需要使用兩種不同的策略，來偵測和分類這些資料。對於離線儲存的持久性資料，系統必須了解資料資產的範圍，該系統會在不使客戶端和其他資源過載的情況下，收集每個資料儲存的元資料，並且建立成目錄，使得資料檢索更有效率。該系統會根據目錄中需要掃描的資產，個別啟動工作程式對資料資產進行實際的掃描。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Live-Data.jpg" style="width: 580px;" /></p> <p>每個工作程式都是已編譯的二進位檔案，並對可用的新資料進行採樣，這些資料會被分成幾列，並以列為單位截取特徵，預測服務會根據這些特徵，啟用基於規則的機器學習分類，預測每列資料的標籤，所有下游程序都能夠從資料集讀取這些預測結果，也可以從即時資料目錄API讀取預測結果。</p> <p>而線上的非持久性資料，也需要受到保護，因此系統提供了一個線上API，可對非持久性流量產生即時的分類預測，該即時預測系統可對流出的流量、流入機器學習模型的流量，以及任何的即時資料進行分類。另外，臉書也設計了特別的機器學習系統，來處理非結構化資料分類。</p> <p>臉書提到，企業通常需要制定一套明確的隱私政策，以保護人們的個人資料隱私，因此企業需要了解哪些元資料與特定訊息相關聯，以加快政策執行並且減少錯誤發生。臉書的新系統為自家數十個來源的資料資產，進行資料類型分類，以確保隱私與安全政策的執行，而且比傳統資料外洩防護服務更靈活，能夠簡單增加對其他資料類型的偵測支援，並在有限的記憶體使用下，進行低延遲分類。</p> </div></div></div>
2020/7/26 00:02作者李建興https://www.ithome.com.tw/news/139024