iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google：微軟LSASS漏洞修補不全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二<a href="https://www.ithome.com.tw/news/139346" target="_blank">在Patch Tuesday修補了近120項漏洞</a>，但Google Project Zero<a href="https://twitter.com/tiraniddo/status/1293327807439831040" target="_blank">研究人員昨（13）日指出</a>，至少Project Zero發現的一項Windows認證漏洞並未修補完全。</p> <p>Project Zero研究員James Forshaw是<a href="https://twitter.com/tiraniddo/status/1293239425208651778" target="_blank">在5月間揭露並向微軟通報編號CVE-2020-1509的漏洞</a>。這項漏洞是發生在Windows本地安全認證子系統服務（Local Security Authority Subsystem Service，LSASS）的權限升級漏洞。LSASS是用戶登入Windows電腦或伺服器時，驗證用戶身份的程式。</p> <p><a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1509" target="_blank">根據微軟的安全公告</a>，在有CVE-2020-1509漏洞的系統中，攻擊者可傳送惡意驗證呼叫來開採這項漏洞，一旦成功，攻擊者則可在目標系統上升級到管理員權限以執行指令，在CVSS 3.0風險評分表名列8.8，屬於「重要」漏洞。</p> <p>這項漏洞影響所有Windows 10版本，包括最新版的2004版。</p> <p>微軟於周二的Patch Tuesday 已經釋出修補程式。但<a href="https://twitter.com/tiraniddo/status/1293327807439831040" target="_blank">Forshaw隨後指出修補不完全</a>，只要系統有代理伺服器，就可以繞過修補過的版本。</p> <p>Forshaw發現，LSASS在執行企業驗證（Enterprise Authentication capability）上出現漏洞，導致任何包裹在AppContainer沙箱的UWB程式，都可以用戶密碼執行網路驗證。在LSASS驗證過程中，他發現，若用戶端驗證的目標機器是代理伺服器，則驗證就可以被允許，且呼叫的網址不一定要是註冊（許可）的代理伺服器。</p> <p>這表示攻擊者可以經由AppContainer沙箱，以特定具備網路存取功能的App來驗證進入任何想要的網路資源，繞過一些SPN checking和SMB簽章等防護。攻擊者也可以存取本地主機服務。他也公布了概念驗證攻擊程式，顯示應用程式繞過EA來升高權限，而得以連接SMB伺服器並列出網路磁碟機清單，這些都是超過AppContainer權限的行為。</p> <p><a href="https://www.zdnet.com/article/google-to-microsoft-nice-windows-10-patch-but-its-incomplete/" target="_blank">ZDNet報導</a>Project Zero之所以公布CVE-2020-1509細節，是因為通報已經過90天，因此按照Google政策，無論是否修補完成，研究人員都會公布漏洞細節。Google也拒絕再延長緘默期。</p> </div></div></div>
2020/8/14 14:45作者林妍溱https://www.ithome.com.tw/news/139406
【臺灣資安大會直擊】封閉網路強化安控從資安框架做起！臺灣證券交易所維運管理挑戰大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國內關鍵基礎設施的安全議題備受關注，如何做好封閉網路的安全管理，就是各界關注的一大焦點，而在金融領域當中，臺灣證券交易所（以下簡稱證交所）在證券集中交易市場扮演重要腳色，重要性不言而喻，他們的證券交易核心系統也就是在封閉系統環境上執行，對於封閉網路內的安全議題，該公司統維運工程師徐子浩在近日2020臺灣資安大會上，揭露他們提升安全控制的經驗，並說明封閉網路在維運管理時所面對的挑戰。</p> <h2><strong>需貫徹CSC基本控制項以強化安控</strong></h2> <p>對於封閉網路的維運管理，在資安上該怎麼做？徐子浩指出，透過現成的資訊框架檢視封閉網路內需加強的安控機制，就是最具體的方式，例如NIST Cybersecurity Framework（CSF），以及CIS Critical Security Controls（CSC）資安框架，都是他們會參考的資訊。</p> <p>特別是在CIS CSC的部分，提供了較具體的安控措施，他舉例，在此框架中，與SANS Top 20的控制項目相同，較值得注意的是，當中依實施單位規模Implementation Group分成1到3級，數字越大代表對應的企業組織規模越大，並依資安需求等級分級為基本型（Basic）、基礎型（Foundational）與組織型（Organizational）。</p> <p>在這樣的框架底下，徐子浩認為，在封閉網路的管控措施上，至少要能符合CSC中的基本型控制，以及IG2的規模。簡單來說，基本控制項目也就是CSC中的前6個控制項目，他表示，除非是很針對的APT攻擊，組織若能徹底做好上述安全控制，其實就不容易受到一些攻擊。</p> <p>舉例來說，在硬體資產盤點與控制一項上，雖然證交所內部的硬體資產，照理說是不會很常有變更，但如果因為沒有變更就不去掌握，如果內部被偷偷接上一臺電腦、一臺無線AP就可能有破口出現，因此，對於封閉網路而言，硬體資產盤點控制也很重要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%B0%81%E9%96%89%E7%B6%B2%E8%B7%AF%E7%B6%AD%E9%81%8B%E7%AE%A1%E7%90%86%E6%8C%91%E6%88%B0_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h2><strong>運用開源軟體輔助需求蒐集</strong></h2> <p>較特別的是，他也提供了自己在開源軟體應用的經驗，並指出其最大好處就是可以快速建置測試環境，方便招標採購前，能先確定需求，同時，他還將CSC控制措施與開源軟體的應用結合，像是上述的硬體資產盤點控制，對應的開源軟體是Open-Audit資訊資產盤點工具，而他也借助建置測試環境的經驗，比較各商業產品能否滿足自身需求。</p> <p>他強調，這裡並不是指證交所都是用這些開源軟體，而是因為他研究封閉網路管控的過程中，透過開源軟體輔助需求蒐集，在有明確需求後才能找到合適產品，他認為這點很有幫助。</p> <p>而在CSC的這6個控制項目中，對應到開源軟體方面，他也提供了可以參考的工具。例如，項目4的軟體資安盤點與控制一項，對應是Open-Audit，以及OSSEC主機型入侵偵測；項目3的持續執行弱點管理一項，包括系統內部檢查合規性的OpenSCAP、ComplianceAsCod，以及系統外部檢查弱點的OpenVAS；項目4的妥善配置系統管理權限一項，包括FreeIPA/IDM與FreeRADIUS；項目5的設備套用安全組態設定，包括OpenSCAP與自動化部署工具Ansible；項目6的維護、監控與分析稽核日誌，則是日誌匯總、搜尋、分析的ELK Stack，以及資源監控警告的Prometheus、Grafana與LibreNMS。</p> <p>另外，他也強調，面對目前的資安威脅，必須假設滲透已經發生，因此必須設定安全控制的點，或是讓風險降到最低，而在這次議程中，他也介紹了NIST網路安全框架，當中也就有提到除了識別、保護之外，還要有偵測、回應與復原。</p> <h2><strong>封閉網路維運管理五大挑戰</strong></h2> <p>除了強化封閉網路的安控機制，封閉網路本身也有維運管理的挑戰要面對，現場徐子浩不僅說明了證交所本身遇到的挑戰，同時也談論到他們的因應與經驗。</p> <p>徐子浩指出，封閉網路在維運管理上有五大挑戰，包括：難以遠端管理、資料傳輸需求、設備相依性，以及內部防禦空窗與人員操作管理。</p> <p>例如，在遠端管理上，由於封閉網路的特性，使得封閉網路內的警告出不去、支援進不來，難道只能讓人員24小時守在機房嗎？徐子浩表示，這確實是一個很大的挑戰，為了解決這樣的問題，因此他們需要一個符合實體隔離的遠端管理機制，因此，他們試著規畫出一個這樣的架構，並且是從電信業者一直到內部系統環境，做出一層層安全防護，來解決這樣的問題，當中除了採用雙路機制被援、還包含像是3層防火牆的應用，以及搭配IPKVM、功能管控嚴格的Thin Client跳扳機，以及內外雙重Log Server與SMS Server等配置。</p> <p>在資料傳輸需求上，由於證交所常有一些重要的Log記錄需要從系統裡面匯出，還有重大漏洞必須更新的狀況，但是又怕被入侵、系統不安全。因此，這方面需要仰賴單向網路與邏輯網路來解決。對此，徐子浩說明，其中邏輯網路比較常見，像是防火牆的管控，而單向網路更是從硬體層著手，直接讓資料的封包只能單向傳輸，</p> <p>同時，徐子浩也詳細說明了單向網路的用途，包括資料可以從高安全區域下載到低安全區域，例如，設備日誌、告警訊息與生產數據，此外，資料也能從低安全區上傳至高安全區域，例如，病毒碼、設定檔與更新檔等，而在上傳前，他們也會有一道風險掃描的機制，檢查是否有惡意程式。</p> <p>特別的是，他針對挑選單向網路設備提出建議。他先解釋了單向網路設備的技術困難點，例如，無法完成三項交握建立TCP連線，移除RX或TX接收不到窄波訊號，無法透過ARP取得MAC對應的IP位址，以及協定需接收伺服器端回應封包才開始傳輸資料，雖然現有設備都能解決這樣的問題，但他提醒，廠商如果可以很詳細解釋產品是如何做到，就是挑選上可以評估的部分。</p> <p>對於設備相依性的挑戰，這也是他們經常遇到的問題。徐子浩指出，證交所內有的設備相當老舊，甚至到了廠商已經不再維護，面對漏洞等問題，但他們又必須要使用，短時間無法淘汰，對此，他指出，證交所會將老舊的設備集中管理，透過類似Proxy防火牆的方式，只開放特定連接埠可以從這個防火牆出去，並限制其他進不去。</p> <p>另外還有兩個IT環境維運也很常見的挑戰，包括終端的設備管控，以及人員管理。徐子浩表示，過往由於依賴封閉網路，內部缺少防禦，現在端點控管與入侵偵測就要強化，而對於人員管理上，他特別提醒，由於大家普遍覺得封閉網路一定安全，這反讓大家安全意識下降，造成人員輕忽的問題，但封閉不等於安全，因此相關的訓練獎勵與教育訓練就很重要。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%B0%81%E9%96%89%E7%B6%B2%E8%B7%AF%E7%B6%AD%E9%81%8B%E7%AE%A1%E7%90%86%E6%8C%91%E6%88%B0_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>另外，在這次議題中，徐子浩也特別強調一件事，對於資訊安全除考量三要素CIA，還必須考量3P，這裡指的3P是指人（Poeple）、產品Product）與程序（Procedure），他進一步解釋，組織內部要避免使用操作複雜的尺產品，這不僅是讓人員沒辦法很順利作業，降低可用度，而這樣的結果，很可能會讓維運的人想出一些偏門的做法，去繞過這些安控機制，這造成的風險將會更大。</p> <p> </p> </div></div></div>
2020/8/13 23:22作者羅正漢https://www.ithome.com.tw/news/139390
NSA、FBI警告俄羅斯發動Linux惡意程式Drovorub攻擊政府及國防單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）及聯邦調查局（FBI）昨（13）日<a href="https://www.fbi.gov/news/pressrel/press-releases/nsa-and-fbi-expose-russian-previously-undisclosed-malware-drovorub-in-cybersecurity-advisory" target="_blank">發布聯合網路安全公告</a>，警告俄羅斯情報機關正以名為Drovorub的Linux惡意程式，攻擊政府及國防工業用Linux系統。</p> <p>發動攻擊的是隷屬於俄羅斯情報總局（GRU）85主要特勤中心（GTsSS）的軍事單位26165，一般又被稱為Fancy Bear、Strontium以及APT 28。Fancy Bear被指控曾在2016年<a href="https://www.ithome.com.tw/news/106551" target="_blank">入侵美國民主黨伺服器</a>竊取川普陣營資料、<a href="https://www.ithome.com.tw/news/125399" target="_blank">以釣魚網站干擾2018年期中選舉</a>、及<a href="https://www.ithome.com.tw/news/133879" target="_blank">攻擊運動及反禁藥組織</a>。</p> <p><a href="https://www.nsa.gov/Portals/70/documents/resources/cybersecurity-professionals/DROVORUB-Fact%20sheet%20and%20FAQs.pdf?ver=2020-08-13-114246-203" target="_blank">NSA及FBI指出</a>，這波間諜行動使用的Drovorub是一組Linux工具，包含植入載體（implant）、核心模組rootkit、檔案傳輸與傳輸埠轉送（port forwarding）工具及C&C伺服器。一旦部署到目標系統中，Drovorub植入用戶端載體可能從事多種行動，包括和駭客控制的外部C&C伺服器建立通訊、下載和上傳系統檔案、以及以根權限執行任意程式碼，還能利用傳輸埠轉送功能，將網路流量傳到同一網路上的其他主機上。</p> <p>另外，報告還提醒，Drovorub核心的rootkit模組，也會利用多種手法以長期隱身於受害主機上。除非機器UEFI Secure Boot安全開機功能啟用「完整」或「徹底」模式，否則即使主機重新開機也不會被刪除。依據其多種功能，安全廠商McAfee 專家稱其為駭入Linux 系統的「瑞士小刀」。</p> <p>這項安全公報並未說明美國政府是否已有單位受害，但NSA及FBI指出，Drovorub已對使用Linux系統的美國國安系統、國土安全部、生產軍隊設備的國防工業基地構成威脅。</p> <p>本公告也呼籲網路及系統管理員採取防禦措施，包括升級到最新版Linux 3.7版核心，以符合核心簽章安全措施。此外，系統也應啟動UEFI Secure Boot，以防系統載入惡意核心模組。</p> </div></div></div>
2020/8/14 12:15作者林妍溱https://www.ithome.com.tw/news/139403
WordPress 5.5新增延遲載入與自動更新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名內容管理系統（CMS）<a href="https://wordpress.org/news/2020/08/eckstine/">WordPress</a>釋出了最新的5.5版本，這個版本把重點放在改進運作速度、搜尋以及安全性上，另外，也更新了區塊編輯器，並強化無障礙功能。</p> <p>WordPress 5.5的網站貼文以及頁面存取速度提升不少，官方提到，圖片是頁面重要的元素，但是龐大的圖片，會讓網站的速度變慢，而官方在最新的WordPress，採用延遲載入（Lazy Loading）技術來解決這個問題，現在圖片載入的時機推延，不會在使用者存取網站時，一次全部載入，而是直到圖片即將要在視野內顯示前，才會被載入。在行動裝置上，延遲載入還可以避免瀏覽器，載入用於其他裝置的檔案，能減少用戶下載的資料量，並且延長裝置電池壽命。</p> <p>WordPress 5.5也改進了網站可搜尋性，WordPress現在預設包含XML網站地圖（Sitemap），可讓搜尋引擎在網站上線數分鐘內，立刻探索到重要的頁面，使更多用戶能夠輕易發現開發者的網站。</p> <p>在安全性上，官方現在為WordPress添加套件和主題自動更新功能，以確保網站總是執行最新的程式碼，而且開發者還能個別設定每個套件或是主題的更新狀態，可只對特定的套件或是主題啟用自動更新功能。</p> <p>區塊編輯器也有幾項更新，包括編輯器現提供了新區塊目錄，讓開發者更容易找到需要的區塊，且不需要離開編輯器，就可以將新的區塊類型安裝到網站上，此外，還能直接在圖像區塊上，執行剪裁、旋轉和縮放照片，節省處理圖片的時間。</p> </div></div></div>
2020/8/14 11:30作者李建興https://www.ithome.com.tw/news/139381
Google釋出Chrome OS開發者資源網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布自家筆電作業系統Chrome OS的開發者資源網站<a href="https://developers.googleblog.com/2020/08/introducing-chrome-os-dev.html">ChromeOS.dev</a>，目前該網站提供英文與西班牙語版本，公布Chrome OS的最新消息、產品公告、技術文件以及程式碼範例，主要服務Chrome OS的開發人員、設計人員、產品經理以及管理高階。Google承諾，之後還會陸續提供其他語言的服務。</p> <p>Google提到，ChromeOS.dev中的內容，來自Google與Chrome OS專家的實戰經驗，除了分享實用技巧之外，也會提醒開發者創建應用程式會遇到的挑戰，開發者可以查看ChromeOS.dev中最新的Chrome OS布局以及UX指南，其中包含了設計應用程式和遊戲，所有相關的UI元件、導覽、字體和布局等最新設計資訊。ChromeOS.dev是一個完全開源的線上資源，Google開發時採用了漸進式網頁應用程式（PWA）技術，讓開發者可以容易取用這些資源，甚至在離線狀態也能存取。</p> <p>已經有一些最新的Chrome OS功能在ChromeOS.dev公開，像是現在開發者可以在Chrome OS中，使用自定義Linux終端機，終端機現在提供分頁籤與快捷鍵功能，開發者可以輕易地在Linux終端機，處理多重任務，另外，還能自定義終端機的主題，調整背景、視窗、字體和游標顏色。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-7b6WatO6EfA/XzM01pbtRwI/AAAAAAAAJQA/OcvDS48Iwc063kPy55FewRqpYHZ25RxEgCLcBGAsYHQ/s1600/linuxtheme.gif" style="width: 580px;" /></p> <p>Chromebook現在還能夠執行完整的Android模擬器，讓開發者不需要實際擁有Android裝置，就能夠模擬地圖位置以及感測器資料，以測試應用程式在各種裝置動作、朝向和環境條件下的效能，因此開發者能在Chromebook中，針對不同的Android版本和裝置，最佳化應用程式。</p> <p>ChromeOS.dev上還提到，執行Chrome OS M81及更高版本開發者，甚至已經可以在Chromebook上部署和測試應用程式，不需要使用開發者模式，或是透過USB物理連接其他裝置，結合Android模擬器，在Chrome OS上也能進行完整的Android開發工作。</p> </div></div></div>
2020/8/14 11:35作者李建興https://www.ithome.com.tw/news/139384
Coinbase將在美國推出以比特幣作抵押的現金貸款服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名的加密貨幣交易中心Coinbase在周四（8/13）宣布，將在美國17個州<a href="https://blog.coinbase.com/borrow-cash-using-bitcoin-on-coinbase-4fa9bbbc9100" target="_blank">推出以比特幣作為抵押品的現金借貸服務</a>，最多允許該平台的用戶借出30%或最高2萬美元的現金，年利率為8%。</p> <p>要使用此一服務的先決條件是，使用者必須在Coinbase開立帳戶並存有比特幣。Coinbase表示，有些用戶可能要進行房屋修繕，或是改裝汽車，但並不想賣出自己的比特幣，才使得該平台規畫了此一服務。</p> <p>不過，使用者最多只能借出所存有比特幣市價的30%，最高為2萬美元。Coinbase強調，8%的年利率低於大多數的個人借貸利率，而且不必審核信用，也能選擇每個月只支付利息，一年後才開始償還本金，只要幾個步驟就能完成貸款，並在3天內取得款項。</p> <p>新的現金借貸服務支援阿拉斯加、亞利桑那、康乃狄克、佛羅里達、喬治亞、伊利諾、麻薩諸塞、新罕布夏、紐澤西、北卡羅來納、奧勒岡、德克薩斯、維吉尼亞、內布拉斯加、猶他、威斯康辛及懷俄明等17個州。</p> <p>比特幣的價格近來再度水漲船高，今年3月中旬只剩5,000美元左右，但8月13日又達到了11,500美元。</p> </div></div></div>
2020/8/14 11:50作者陳曉莉https://www.ithome.com.tw/news/139400
Chrome 86將實驗隱藏網頁完整URL以防釣魚網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止網路釣魚，Google Chrome已經做過各種嘗試。Google最近又決定利用Chrome 86用戶做個實驗，看看隱藏網頁完整URL的作法，是否能刺激使用者更加注意網址。</p> <p>直到今天，URL仍然是使用者判定網頁真假的主要依據，但是使用者仍然可能被騙，例如攻擊者可操弄URL，而讓使用者信以為真，導致網路釣魚、社交工程或詐騙等行為。一項調查顯示，如果URL路徑上出現知名品牌名，60%的使用者會上當。</p> <p>瀏覽器廠商對此有不同因應之道，例如有的預設只顯示網域，有的則突顯可註冊（registrable）網域（即網域名中最顯著的部份）。<a href="https://blog.chromium.org/2020/08/helping-people-spot-spoofs-url.html" target="_blank">Google Chrome安全團隊表示</a>，他們將利用Chrome 86實驗，桌機版Chrome的網址列應該怎麼顯示URL才對，其目的是想透過真實使用情境來了解，隱藏完整URL是否有助用戶理解他們上的是惡意網站，藉此避免網路釣魚和社交工程攻擊。</p> <p>Google將隨機選擇Chrome 86用戶參與上述實驗。當使用者被挑中時，他們的Chrome 網址列將不會顯示完整URL，而只顯示網域名。這時他們有兩種選擇，一是將滑鼠移到URL上，就會展開完整版URL。或者他們也可以在URL處按滑鼠右鍵，在選單中選擇「永遠顯示完整URL」，這麼一來以後Chrome都會一直顯示完整URL。</p> <p>這項實驗將排除企業用裝置。</p> <p>反之，一般個人用戶如果沒被選到，卻又想參加實驗，則可以安裝Chrome Canary或Dev版，並在網址列輸入chrome://flags，啟動以下flag（#omnibox-ui-reveal-steady-state-url-path-query-and-ref-on-hover、#omnibox-ui-sometimes-elide-to-registrable-domain或 #omnibox-ui-hide-steady-state-url-path-query-and-ref-on-interaction）再重開Chrome即可加入實驗。</p> </div></div></div>
2020/8/14 12:00作者林妍溱https://www.ithome.com.tw/news/139402
臺灣終於有國際級資安大會
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「今天，政府部門大概算是傾巢而出了。」<a href="https://www.ithome.com.tw/news/139312" target="_blank">蔡英文總統在臺灣資大會第一天開場時</a>強調：「因為這（資安）是很重要、很重要的產業，這是很重要的場合。資安是臺灣最重要的戰略產業之一，不只關係到國家安全，更和國家產業發展都相關的就是資安產業。」</p> <p>蔡英文在今年5月第二個任期就職典禮上，就宣布，要將資安列入臺灣下一階段要發展的6大戰略產業之一。</p> <p>甚至，更早在2018年，蔡英文在總統府資安周活動，就首度宣示了「資安及國安」的國家戰略新方向，當時有三大目標，打造國家資安機制、建立國家資安體系和推動國防資安自主研發。前兩項目標是為了確保數位國家安全和加速數位經濟的發展，而第三項則希望能用來帶動產業成長。</p> <p>這個國家級資安戰略的定調，將原本只是輔助政府運作的資安作為，拉高到國安等級，橫跨各部會都要重視，也讓臺灣各政府部門，兩年來加速推動了不少資安政策和措施，例如資安管理法的立法和實施，還有國安三法的修訂完成。但是，2年前，資安產業還不是蔡英文首要目標，還沒有列為臺灣整體產業發展的重心，直到今年520就職典禮。</p> <p>資安產業，現在和半導體產業、生物醫療產業、國防戰略產業、能源產業等並列，蔡英文的新目標是，在臺灣打造出一個能獲得世界信賴的資安產業鏈。</p> <p>這個願景，就像是臺灣的半導體產業，同樣不是靠單打獨鬥、一兩家公司而奠定全球領先地位，而是由老大哥帶頭，透過服務型商業模式，串起了整個供應鏈、產業鏈來打世界市場的競爭。而現在，資安產業成了臺灣想要壓寶的下一個世界級產業鏈。</p> <p>臺灣有沒有這樣的資安能力和產業能量？若是在6年前，當時臺灣最強的資安能量展現，是在HITCON臺灣駭客年會，許多臺灣資安高手，知名駭客出沒，甚至當年就引起全球資安圈的關注，也是亞太資安高手的交流盛會。但是，資安產業呢？6年前，儘管有許多國際大廠來臺銷售資安產品，但有能力自行研發產品的本土資安公司，有但不夠多，資安產業還沒有成形，但已有不少資安新創，或有意踏入資安產品領域的企業。可以說，臺灣資安圈有實力，但可以發揮的舞臺不夠大、也不夠多。</p> <p>但在這一波數位經濟、數位轉型浪潮下，個資、隱私議題火熱，資安屢屢成了全球科技話題，更帶動全球資安產業發展，而臺灣的政府機關，也比過去更加重視資安，更透過各種政策作為，開始創造出更大的資安場域和舞臺。世界浪潮再加上本土政策帶頭，臺灣資安產業，也逐漸有了更大的舞臺、機會和市場。</p> <p>今年進入第6年的臺灣資安大會，正見證了臺灣資安產業最快速發展的階段，甚至今年的規模，更達到了國際級會議的水準，報名人數近萬人，超過180場演講，單日更有13軌議程並行，而且大多數場次都是臺灣資安界專家、高手分享世界級的成果，甚至有不少是全球獨步的研究。</p> <p>許多資安主管，更將逛攤位視為重要任務，今年可以一口氣了解250個國內外知名資安品牌的最新產品，第三屆臺灣資安館的本土資安品牌，更達到了40家之多。</p> <p>首次舉辦的智慧臺灣安全展，更展出了5大應用場域的實機資安防護演練。工業4.0產線上的機器手臂、串接加壓馬達、管線和水箱的水廠工控系統、精簡版變電站架構的設備、智慧路燈系統、醫院床邊生理監視器設備，都直接搬到現場，實際模擬遭遇資安攻擊以及如何對抗、防護的過程。</p> <p>兩天臺灣資安大會，人潮滿滿，許多場次座無虛席，這樣的熱度也反映出臺灣資安產業現在的活躍力，也正是臺灣打造世界級資安戰略產業鏈的重要沃土。</p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020 臺灣資安大會現場報導 </span></strong></span></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139315" target="_blank">趨勢科技專家警告：更多駭客目標式勒索攻擊發動將鎖定臺灣各產業，今年下半恐將爆發大規模攻擊潮</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139329" target="_blank">首屆智慧臺灣安全展亮相，從智慧製造、工控到物聯網，實機展示資安防護應用</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139330" target="_blank">中華電信揭露本土DDoS攻擊最新災情數據，7月攻擊近4千次，最高流量達75Gbps</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139331" target="_blank">調查局完整揭露中油、台塑遭勒索軟體攻擊事件調查結果，駭客集團入侵途徑大公開</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139333" target="_blank">純網銀資安如何實現縱深防禦部署策略？將來銀行資訊長周旺暾揭露關鍵</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139335" target="_blank">38家醫院遭勒索攻擊情資共享200家提高警覺，衛福部下一步要用醫院評鑑帶動更多醫院加入資安聯防</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139334" target="_blank">為對抗量子電腦攻擊手法，後量子加密PQC演算法有望變成未來全球加密與數位簽章新標準</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139336" target="_blank">針對中油5月初遭受勒索病毒攻擊，奧義智慧共同創辦人推敲更全面的事件樣貌，點出駭客精心策畫的作案過程</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139340" target="_blank">NCC：明年1月初將成立國家級通訊軟體安全實驗室，聚焦4大5G網路資安議題，更要建DevSecOps與安全分析檢測兩大平臺</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139357" target="_blank">8大金融資安行動方案最大目的是超前做好資安規範，金管會揭露更詳細作法</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139367" target="_blank">揚名美日資安新創第一手AI研發秘訣，奧義從失敗練出10道資安ML開發課題</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139371" target="_blank">第一銀行副總劉培文：銀行面臨數位轉型需打造新型數位安全架構，連帶資安典範也要跟著轉移</a></strong></span></p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/139356" target="_blank">單日4.4億筆查詢能攔6千萬次惡意網站連線，IBM免費DNS如何靠ML分群億級時序資料揪出惡意網站</a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2020/8/14 10:40作者王宏仁https://www.ithome.com.tw/voice/139394
【臺灣資安大會直擊】單日4.4億查詢能攔6千萬次惡意網站連線，IBM免費DNS如何靠ML分群億級時序資料揪出惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM旗下免費DNS服務Quad9（9.9.9.9）不只是提供DNS查詢，更大特色是內建了釣魚網站資料庫，可以預先阻擋，避免使用者或端點裝置接觸到惡意網站，但是這個服務每天查詢量高達4.4億次，每天會接觸到500萬個獨特的網域名稱，IBM Security部門資安軟體工程師郭柏妤，在臺灣資安大會上接露，IBM從海量時序性資料，揪出惡意網域，可以做到單日阻擋6千萬筆惡意網站連線行為的關鍵，就是機器學習，</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">利用Quad9網域查詢流量曲線，分群找出異常模式</span></span></strong></p> <p>Quad9的海量資料中，還包括了網域名稱的查詢流量曲線（Query traffic curve），可讓使用者查看特定網域名稱（比如google.com）在一段時間內的查詢次數（如下圖）。郭柏妤指出，有些網域流量曲線會有相似特色，比如早上查詢流量特別多；於是，IBM就想根據這些流量特徵，來進行分群（Clustering），找出擁有類似特徵的惡意網域群。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9747.jpg" /></p> <p>查詢流量曲線的分群可分為三步驟，也就是預處理、分群和評估。郭柏妤表示，預處理十分重要，因為它影響了之後的辨識準確度。而預處理階段又可分為兩部分，首先是將自家資料預處理，「通常會遇到資料量太大的問題，」她指出，常見的解法就是切割（Split），比如將三個月的資料量，分割為一個月，或是再細分為周、日。</p> <p>不過，資料分割難免會流失資訊，這時，郭柏妤就推薦以主成分分析（PCA）來代替。「PCA能將高維度資料，轉換為低維度資料，而且轉換之後，效能會更好。」</p> <p>處理完自家資料後，再來就是Quad9資料的預處理，可分為過濾（Filtering）、聚合（Aggregation）和標準化（Normalization）。過濾的目的，是要剔除不符合網域名稱規範的網域，比如loca,gaia-tech.com，同時也剔除總查詢次數少於10的網域。</p> <p>再來是聚合，也就是將查詢流量對應到一段特定時間，比如在某1小時內的網域總查詢次數。最後則是標準化，要來解決不同網域間的查詢差異，比如級距、數量，如此才能聚焦於曲線本身。標準化後的值，會介於0與1之間（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_9754.jpg" /></p> <p>這些預處理完的資料，會輸入到分群的機器學習模型中來計算。在這個階段，可分為三個步驟，首先是決定「要分多少群」，再來是網域之間的距離量測，最後才是演算法運算。進一步來說，在決定群的數量時，郭柏妤推薦輪廓係數（Silhouette Coefficient）方法，來計算群與群之間的距離，並找出最佳的分群數。</p> <p>再來，為測量網域之間的距離，最常見的方法是歐幾里德距離（Euclidian Distance），來進行一對一的映射。然而，當兩條平行線出現波峰和波谷時，就難以準確對應，所以兩側的距離就不夠相符。</p> <p>這時，可靠動態規畫（DTW）演算法來解決。DTW會先在時間序列間尋找最佳路徑，將「直線映射到直線，波峰映射到波峰，」映射完後才會開始計算距離。雖然DTW可以解決問題，「但不代表是最佳解。」郭柏妤指出，DTW所耗費的計算時間，可高達歐幾里德距離的2,800多倍。</p> <p>量測距離後，下一個步驟是演算法計算。除了常見的k-means演算法，郭柏妤還推薦了DBSCAN，「因為它能夠分辨離群值（Outlier），」不像k-means會將離群值歸類到其他群。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">IBM實作找出有害的DGA網域群，還可作為特徵指標</span></span></strong></p> <p>「我們也用以上方法，找出有害的域名生成演算法（DGA）網域群。」郭柏妤指出，DGA是指透過演算法和隨機字元生成網域名稱，來躲避黑名單的檢測，而在IBM實作中，團隊只用了網域查詢流量曲線，就能分群找出DGA網域，「完全不需要IP資料或其他特徵資料。」</p> <p>此外，透過分群機制，IBM也找出了網域中含有Spam類別的網域，另外也成功在19個網域中，找出8個未被Quad9忽略的惡意網域。</p> <p>郭柏妤認為，用Quad9資料找出的分群結果，還可作為特徵指標，來幫助團隊找出惡意程式。文◎王若樸</p> <div id="gtx-trans" style="position: absolute; left: 691px; top: 38px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2020/8/14 09:18作者王若樸https://www.ithome.com.tw/news/139356
卡巴斯基：IE 11的零時差漏洞CVE-2020-1380曾被用來攻擊南韓企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在本周二（8/11）修補了120個漏洞，<wbr></wbr>其中有一個零時差漏洞CVE-2020-1380是由資安業者卡<wbr></wbr>巴斯基（Kaspersky）所揭露，在微軟修補該漏洞的隔天，<wbr></wbr>卡巴斯基便詳述了發現漏洞的過程，<wbr></wbr>宣稱駭客利用該漏洞並串連其它漏洞來攻擊一家南韓企業。</p> <p>卡巴斯基將此一在今年5月發現的攻擊行動命名為<a href="http://https://securelist.com/ie-and-windows-zero-day-operation-powerfall/97976/" target="_blank">Operatio<wbr></wbr>n PowerFall</a>，而且相信是由<a href="https://securelist.com/the-darkhotel-apt/66779/" target="_blank">Darkhotel APT</a>駭客集團所為。Operation PowerFall總計開採了兩個微軟的安全漏洞，先是以藏匿在<wbr></wbr>IE 11上的<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1380" target="_blank">CVE-2020-1380漏洞</a>作為滲透Windows 10的媒介，再藉由Windows kernel中的<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0986" target="_blank">CVE-2020-0986漏洞</a>擴張權限以在系統上執行任意程式。</p> <p>CVE-2020-1380是個記憶體損毀漏洞，<wbr></wbr>肇因於腳本引擎處理IE記憶體中物件的方式，<wbr></wbr>成功的攻擊將允許駭客取得與使用者相同的權限並接管系統，至於C<wbr></wbr>VE-2020-0986則是個權限擴張漏洞，<wbr></wbr>成功的開採則可於核心模式執行任意程式。</p> <p>其實趨勢科技旗下的Zero Day Initiative（ZDI）在去年12月，<wbr></wbr>就發現並向微軟提報了CVE-2020-0986漏洞，<wbr></wbr>但當時微軟認為這是個不太可能被開採的漏洞而遲遲未修補，使得Z<wbr></wbr>DI在今年的5月19日公布了漏洞細節，隔天，<wbr></wbr>卡巴斯基便發現了利用CVE-2020-0986與CVE-<wbr></wbr>2020-1380的攻擊行動。</p> <p>當卡巴斯基分析了Operation PowerFall行動，並於6月8日知會微軟時，<wbr></wbr>微軟已著手修補CVE-2020-0986，且在6月9日的Pa<wbr></wbr>tch Tuesday釋出，因而微軟當時並未將CVE-2020-<wbr></wbr>0986列為零時差攻擊行動。</p> <p>另一個值得觀察的是Darkhotel APT駭客集團，Darkhotel APT名稱的由來是因為該集團專門滲透各大飯店，從2008年以<wbr></wbr>來便開始於飯店系統中植入間諜程式，在數千家受到感染的飯店中，<wbr></wbr>有9成位於日本、台灣、中國、俄羅斯及南韓，<wbr></wbr>同時鎖定了入住這些飯店的高階主管，受害者遍布不同的產業，<wbr></wbr>從電子製造、創投、醫療、化妝品與化學製造、汽車製造、<wbr></wbr>自動組裝、國防、執法及軍事服務到非政府組織等。</p> <p>目前卡巴斯基僅說Darkhotel APT是個擁有豐沛資源與先進開採技術，<wbr></wbr>同時具備大型與動態基礎設施的駭客集團，並未公布它的來歷。</p> </div></div></div>
2020/8/13 23:55作者陳曉莉https://www.ithome.com.tw/news/139391
JupyterLab模型開發輔助擴充套件集Elyra發布正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由IBM發起的人工智慧擴充套件集<a href="https://blog.jupyter.org/elyra-reaches-1-0-0-41039dc06405">Elyra</a>，可在Jupyter Notebooks的基礎上，於模型開發生命周期的各階段輔助用戶，降低模型開發複雜度。在第一個版本釋出後三個月，Elyra就進到了1.0主要版本，新版本強化了既有功能的可用性，並修復已知錯誤，而且由於Elyra 1.0.0建立在JupyterLab 2.x之上，因此能夠被輕易地整合進JupyterHub，或是Kubernetes與OpenShift等容器環境。</p> <p>Elyra的筆記本工作管線編輯器，能夠簡化將多個筆記本，轉換為批次作業或是工作流程的程序，利用雲端資源來加速實驗，資料科學家們可以因此獲得更高的生產力。由於之前用戶的回饋，官方強化了Elyra內聯使用者文件，而且現在工作管線編輯器，會告知用戶缺少或是無效的配置值，並且能夠讓用戶簡單地存取之前提交的實驗。</p> <p>由於不少時候，開發者必須要在不同地方，重複撰寫相同功能的程式碼，因此新版Elyra加入了一個可以有效減少開發工作的功能，用戶現在能重複使用任務導向的程式碼區塊，Elyra的程式碼片段擴充套件，能夠簡單地在JupyterLab工作區中探索、創建，並插入可用的程式碼片段，到Notebooks、Python Scripts甚至是Markdown檔案中。可用程式碼片段會被收納在視窗左邊窗格，並且顯示部分程式碼預覽，用戶可以選擇複製程式碼，或是直接插入到正在編輯的檔案中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_yuU1PfPr5O04-V31EmRfbg(1).png" style="width: 580px;" /></p> <p>另外，現在Elyra的Python編輯器，還附帶能夠自動產生目錄的功能，官方提到，要在大檔案中導覽並尋找Notebooks特定的部分，或是Python腳本中的函式定義，並非一件簡單的事，而內容目錄擴充套件，則可以自動生成檔案輪廓，讓用戶找查內容更簡單。</p> <p>除了用戶可以直接從GitHub取用Elyra之外，也可以下載Elyra Npm套件，而IBM也在自家的Cloud Pak和Watson Studio中提供Elyra，另外，為了降低使用者的進入門檻，讓新手更快地開始認識Elyra，官方建議用戶可以先在網頁服務Binder中試用，或是下載官方的Elyra Docker映像檔，在本地端試用。</p> </div></div></div>
2020/8/13 17:50作者李建興https://www.ithome.com.tw/news/139378
臉書、Google、Twitter及微軟發表共同聲明，以捍衛今年美國總統大選
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書、Google、Twitter及微軟等9家科技業者，<a href="https://twitter.com/fbnewsroom/status/1293631278953029632" target="_blank">罕見地在今天（8/13）發表了共同聲明</a>，宣誓將捍衛今年美國大選的完整性。</p> <p>業者表示，過去幾年它們之間早就緊密合作，於各自平臺上對抗資訊的操作，為了準備即將到來的美國大選，它們也與政府機構定期開會，討論各種趨勢以及如何捍衛選擇的完整性，它們不只分享了在各自平臺上所看到的趨勢，也預測了未來可能發生的事件。</p> <p>具體而言，這些科技業者之間的合作，是為了沙盤推演大選結果出爐當天，可能會出現的對話及場景，並準備各種因應的策略。</p> <p>簽署了該聲明的業者包括臉書、Google、Twitter、Reddit、微軟、Verizon、Pinterest、LinkedIn與WikiMedia。而參與此一討論的美國政府機關，則有網路安全及基礎設施安全局、FBI、司法部國家安全部及情報局局長辦公室等。</p> <p><a href="https://www.politico.com/news/2020/08/12/election-silicon-valley-394354" target="_blank">Politico則引述消息來源報導</a>，業者們關注的議題包括國外駭客公布所竊取的候選人陣營資訊，或是散布各種經過操弄的影片；它們也準備對郵寄投票或也許有人宣稱選舉無效等爭議作出共同回應。</p> <p>在上次的總統大選時，不少社交平臺被批評是國外政府的傳聲筒，而這次它們將連袂出手，防堵不實資訊與謠言在不同的平臺上流竄。由於國際局勢的變動，預計於今年11月3日投票的美國大選將比上一屆更受矚目，使得這些原本屬於競爭對手的社交平臺，決定共同擺出陣仗來迎接此一考驗。</p> </div></div></div>
2020/8/13 16:10作者陳曉莉https://www.ithome.com.tw/news/139377
印度集團Reliance也有意買下當地的TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/139174" target="_blank">微軟準備向字節跳動買下TikTok海外市場的消息</a>搬上檯面之後，TechCrunch於本周引述消息來源報導，印度最大的私人企業Reliance Industries Limited（RIL）其實也在印度封鎖了TikTok之後，向字節跳動提出收購印度TikTok服務的請求。</p> <p><a href="https://www.ithome.com.tw/news/138506" target="_blank">印度是在今年的6月29日宣布封鎖</a>包括TikTok在內的59款中國程式，<a href="https://techcrunch.com/2020/08/12/bytedance-in-talks-with-indias-reliance-for-investment-in-tiktok/" target="_blank">而TechCrunch則報導</a>，RIL在7月就接洽了字節跳動，打算買下印度的TikTok服務，且估計它價值至少30億美元，只是雙方迄今尚未達到交易共識。</p> <p>RIL在印度經營許多重要的業務，包括提供技術及電信服務、獲得臉書投資的Jio Platforms，或是受到Amazon青睞並準備投資的零售業務Reliance Retail，還有涉及生命科學的Reliance Life Sciences、提供物流解決方案的Reliance Logistics、研發太陽能技術的Reliance Solar等。在2020年的《財富五百強企業》（Fortune Global 500）名單中，RIL位居第96名。</p> <p>印度為TikTok的海外最大市場，當地有超過2億的TikTok用戶，卻在印度政府的一聲令下而被迫退出該市場。現在TikTok在美國也面臨類似的困境，美國則是TikTok海外第二大市場。</p> <p>微軟在8月2日公開宣布有意買下字節跳動位於美國、加拿大、澳洲及紐西蘭的TikTok服務，然而，金融時報隨後引述消息來源報導，微軟擴大了原先的規畫，打算併購TikTok所有的海外服務。由於川普已簽署行政命令要在9月20日封鎖TikTok，因此，字節跳動、RIL與微軟之間的協商結果，也可望在此之前出爐。</p> </div></div></div>
2020/8/13 16:40作者陳曉莉https://www.ithome.com.tw/news/139379
被駭事件後，推特正式啟用新版第三方App的API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月中發生被駭入而導致許多名人帳號被用來發送比特幣詐騙訊息，<a href="https://www.ithome.com.tw/news/138928" target="_blank">迫使推特延後新版第三方App API正式啟用時程</a>。本周<a href="https://blog.twitter.com/developer/en_us/topics/tools/2020/introducing_new_twitter_api.html" target="_blank">推特宣布新的API正式啟用</a>。</p> <p>舊版API常遭惡意人士用來做非法行為，像是<a href="https://www.ithome.com.tw/news/135682" target="_blank">以電話號碼搜尋出用戶帳戶</a>，或<a href="https://www.ithome.com.tw/news/121401" target="_blank">散布垃圾推文</a>。7月中的詐騙事件雖與推特API無關，但兩周前推特決定新版API上線但不啟用，直到今天。</p> <p>新的API是推特自2012年以來的首次改版，採用全新基礎，也加入多項新功能，包括開發人員呼聲最高的訊息串列（conversation threading）、在推文中投票、在使用者資料中釘選推文、垃圾郵件過濾，以及更強大的推文串過濾及搜尋查詢語言功能。此外，新版API更簡潔、更好用，包含新的開發功能像是指定回傳欄位等。</p> <p>此外新版API也一改三個平臺三種使用族群，而改成同一平臺三種等級，根據標準、學術研究和商業使用目的，提供Basic、Elevated和Custom三個存取等級，開發人員未來要轉換也更方便。</p> <p>此外推特也強調會更清楚<a href="https://trello.com/b/myf7rKwV/twitter-developer-platform-roadmap" target="_blank">公布未來API藍圖</a>，以及<a href="https://developer.twitter.com/en/products/twitter-api/early-access/guide" target="_blank">未來API的方向指引</a>。</p> </div></div></div>
2020/8/13 15:10作者林妍溱https://www.ithome.com.tw/news/139375
Cloud周報第75期：六大公雲雲端機房122座在亞洲，未來2年全球將增加29個雲端服務地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/08/06～2020/08/12）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 分布地圖 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>六大公雲雲端機房122座在亞洲，未來2年全球將增加29個雲端服務地區</strong></strong></p> <p>以發布全球海纜地圖聞名的電信研究機構TeleGeography，日前首度發布全球雲端基礎設施的分布地圖，供企業了解如何連結雲端環境。這個地圖標示了六大公有雲業者，涵蓋亞馬遜、微軟、Google、IBM、甲骨文和阿里巴巴，旗下雲平臺於全球各地的運算節點，其中包含與平臺連結的專用網路服務之托管位置。根據該地圖顯示，亞洲是全球擁有最多雲端資料中心的地區，共有122座雲端資料中心，美國和加拿大則有98座資料中心，而亞洲、美國和加拿大的雲端資料中心數總和，更占全球雲端資料中心數量的67%，另外歐洲占23%，拉丁美洲僅占2%。以雲端可用區域來看，美國和中國擁有最多的雲端可用區域，分別有65個和55個區域，緊接在後的是，日本、英國和新加坡，但，各都僅具10到20個區域。全球上雲需求暴增，單今年就啟用了19個新地區，未來兩年內，預計更將新增29個雲端服務地區。<a href=" https://www.cloudinfrastructuremap.com/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電信業 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS正式推出5G邊緣運算服務Wavelength</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Wavelength_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E5%AE%97%E7%BF%B0.JPG" style="width: 600px; height: 450px;" /></strong></span></p> <p>AWS近日宣布正式啟用邊緣運算服務Wavelength的服務區域，而首先開放的兩個區域分別是在波士頓和舊金山。Wavelength是AWS在去年re:Invent大會發表的新邊緣運算服務，AWS藉與多家5G電信業者結盟，包括Verizon、Vodafone、SK Telecom與KDDI等，將自家運算與儲存服務和硬體嵌入電信業者5G網路邊緣的運算中心，來提供超低延遲的服務。如此，通過5G通訊設備的應用程式流量，不需離開電信網路，而是直接存取在Wavelength區域的應用程式伺服器，可以避免流量經過網際網路，產生不必要的延遲，進而充分利用5G網路的低延遲與大頻寬優勢。</p> <p>此外，每個Wavelength區域都與一個被稱為母地區的特定AWS地區連結，使Wavelength可同步存取該區域的AWS服務，讓開發人員能夠打造鎖定行動裝置的低延遲應用，包括遊戲、影片串流、邊緣機器學習推論，以及AR/VR等。像是波士頓的Wavelength區域是跟美東北維吉尼亞地區相連結，而舊金山則是與美西俄勒岡地區相連結。開發者現可在Wavelength區域使用EC2所有功能，並能在幾分鐘內啟用EC2執行實例。AWS今年還計畫於歐洲、日本及南韓等市場推出該新服務。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-wavelength-zones-are-now-open-in-boston-san-francisco/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消費電子零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>推動數據驅動的零售策略，Best Buy要上雲端整理大數據來打造客製化消費體驗</strong></span></p> <p>美國消費電子零售業者Best Buy近日宣布，與Google雲端簽訂一紙多年合約，將採用GCP平臺的基礎設施和分析服務，來推動數據驅動的零售策略，提供消費者客製化的購物體驗。Best Buy將分兩個階段進行，第一，優先整合資料來源，Best Buy計畫將數個傳統平臺的資料，皆整合到單一的企業數據平臺，繼而利用雲端機器學習服務建立ML模型，來分析消費者的消費偏好和記錄，推播客製化的商品組合和商品推薦等資訊。第二項則為開發新的消費體驗，藉整合多面資料的單一數據平臺，Best Buy將打造全通路服務，以多方了解消費者的需求，還有提供客製化的消費獎勵機制。<a href=" https://cloud.google.com/press-releases/2020/0804/bestbuypartnership">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧機械雲端平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工研院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 製造業 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>臺灣智慧機械雲端平臺首度公開，預計明年Q1供百款App給6千家製造業者下載使用</strong></span></p> <p>由經濟部力推的產業智慧機械雲，近日首度揭露了其營運計畫與更多技術細節。不論是設備製造業者、系統整合商、或購買生產設備的企業用戶，未來只要透過單一入口網站，就能夠登入使用這個機械產業雲端服務，且從審核App軟體、上架／下載應用到收費金流服務，都能在該軟體雲平臺上來完成，相當於操作手機軟體市集的介面，可依不同產業和應用分類，找合適的機械應用軟體來下載。該平臺主要由工研院執行，並由資策會、精機中心、金屬中心於去年聯手展開建置後，他們更拉攏機械與資通訊兩大產業公會：機械公會與電機電子公會，一同加入協助產業導入該平臺。預計9月中，平臺就會展開內部測試，三大應用模組近百款App將於年底上架，最快明年第一季就會對外正式營運，並將從全臺6千家機械與資通訊業者先推行，未來再擴大到其他產業。<a href="https://www.ithome.com.tw/news/139256">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國務院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 乾淨網路計畫 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>美國擴大乾淨網路行動，雲端也列入控管領域</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Clean%20Path_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%9C%8B%E5%8B%99%E9%99%A2.JPG" style="width: 600px; height: 336px;" /></strong></span></p> <p>美國國務卿Mike Pompeo近日親自宣布，擴大「乾淨網路」（Clean Path）行動的控管對象，針對5大領域，排除不被信任的中國網路與通訊企業，建構全球乾淨的網路體系，而雲端也被納為必須受保護的新領域。該行動是美國國務院於4月發布的計畫，當時因應5G網路世代的來臨，要求進出美國的5G流量都應奠基在可靠的設備供應商，把華為與中興等中國業者列為拒絕往來戶，如今，擴大為5個領域，包含了電信業者、應用程式市集、應用程式、雲端及海底電纜，就是要確保美國公民與企業的隱私不受中國等侵擾，並降低潛在的國安危險。</p> <p>其中，在雲端方面，該行動要防止存放在被美國政府視為不可靠雲端服務上，例如阿里巴巴、百度與騰訊等的美國公民個資和企業知識財產權等，被存取。Mike Pompeo表示，國務院將與商務部及其他機構緊密合作，限制中國雲端服務商在美國，收集、儲存和處理大量資料和敏感資訊。另外，該行動也將確保連結美國與全球的海底電纜，不受中國大規模的滲透。<a href="https://www.state.gov/secretary-michael-r-pompeo-at-a-press-availability-10/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 投資額 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Synergy調查：全球雲端市場單季營收首度突破3百億美元大關</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Synergy%20Research%20Q2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Synergy%20Research.jpg" style="width: 600px; height: 285px;" /></strong></strong></p> <p>市場研究機構Synergy Research近日發布了一份第二季全球雲端服務市場的調查報告。該季全球企業投入雲端服務的金額，首度突破3百億美元大關，達約305億美元的規模，相比去年同期，增加75億美元。過去12個月，雲端基礎設施服務的營收則達1,110億美元，其中，IaaS和PaaS服務為占比最大的雲端服務，第二季成長了34%。根據該調查，前五大雲端服務商控制著近8成的市場，亞馬遜在雲端服務市場穩居第一位，市占率達33%，排名第二的微軟，市占為18%，第三名是Google，市占為9%，而中國三大雲端服務商的總體市占，則達逾12%，包含了阿里巴巴、騰訊和百度。從地理上來看，雲端市場在世界各地都持續強勁成長。Synergy Research首席分析師表示，雖然，全球雲端服務總體營收的成長率正在下滑，但，如果單看增長金額仍非常可觀，且該市場有望在今年實現3成的成長力度。<a href=" https://www.srgresearch.com/articles/quarterly-cloud-spending-blows-past-30b-incremental-growth-continues-rise ">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 憑證授權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容器 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>鎖定DevOps環境使用私有憑證的需求，Google推出雲端憑證機構服務</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_CAS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.gif" style="width: 600px; height: 283px;" /></strong></span></strong></p> <p>鎖定新型應用的需求，Google雲端日前推出憑證授權服務（Certificate Authority Service，CAS），可簡化和自動化私有憑證授權（Certificate Authority，CA）的管理和部署。透過CAS，使用者從雲端控制臺或gcloud命令列工具，花數分鐘即可建立私有的CA，且可以利用描述性RESTful API，讓應用程式自動化獲取和管理憑證，並整合到現有的CI/CD通道。Google表示，企業想在DevOps環境和裝置管理中，使用憑證保護容器、微服務、虛擬機器和服務帳戶，需要頻繁地更新憑證，而憑證有效期短暫，但，使用公鑰基礎設施（PKI）難配置CA，也無法大規模運作。再加上，舊有憑證註冊流程不支援新型應用程式，以及CI/CD工具鏈，且也可能和雲端供應商內建的CA不相容，因此使用者無法一致地管理和監控憑證。如今，Google推出這個新的憑證授權服務，就是為消弭這個需求缺口，讓企業不需要自建私有CA。<a href=" https://cloud.google.com/blog/products/identity-security/introducing-cas-a-cloud-based-managed-ca-for-the-devops-and-iot-world">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅偵測服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon S3 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Amazon GuardDuty現可用來保護S3儲存桶存取</strong></span></strong></p> <p>AWS優化原本用於Amazon S3偵測異常以及威脅的服務Amazon Macie，並將其併入到智慧威脅偵測服務Amazon GuardDuty中。GuardDuty偵測威脅範圍從原本的工作負載和AWS帳號，擴展到在S3中儲存的資料，能持續監控和分析S3資料的存取事件，以及S3的配置，來找出可疑的活動。此外，GuardDuty還能以API呼叫模式，偵測錯誤配置的儲存桶權限等安全威脅，並結合了異常偵測和機器學習技術，使用不斷更新的威脅情報，可全面偵測S3可能遭遇到的安全威脅，一旦偵測到威脅，便會在控制臺和無伺服器事件匯流排服務Amazon EventBridge產生詳細的偵測結果，供用戶能夠採取行動。</p> <p>因為GuardDuty與S3整合，企業不需在AWS CloudTrail中手動啟用，或是配置S3資料事件日誌，就可以立刻使用這項新功能。GuardDuty的收費方式也有所改變，根據企業威脅偵測所需要處理的日誌和事件數量支付費用。AWS表示，由於GuardDuty僅會處理可用於偵測威脅的資料事件，因此可大幅降低處理的事件數量，進一步降低了用戶支付的費用，價格可降低達80％。 <a href=" https://aws.amazon.com/tw/blogs/aws/new-using-amazon-guardduty-to-protect-your-s3-buckets/ ">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 關聯式資料庫服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 多地區 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google關聯式資料庫服務Spanner現於亞洲、歐洲提供多地區配置功能</strong></span></strong></p> <p>Google在亞洲以及歐洲為關聯式資料庫服務Spanner，增加多地區配置功能，可提供99.999％可用性，讓企業在全世界派送高品質，且一致的用戶體驗。相比起地區性Spanner執行實例，多地區架構提供99.999％的可用性，而地區性執行實例的可用性為99.99％，且欠缺Spanner擴展一致性功能的保障。多地區Spanner最少包含3個地區和5個備份，企業也可以為一個執行實例配置5、7或9個備份，除了讀寫備份和唯讀備份之外，多地區架構還支援見證地區（Witness Region），並產生不提供讀取服務的見證備份。Google提到，Spanner在亞洲有不小的市場，不少金融服務、零售、醫療保健、媒體、娛樂和遊戲都採用Spanner作為後端資料庫，因此Google才決定於亞洲提供該新功能。<a href=" https://cloud.google.com/blog/products/databases/spanner-database-new-regions-for-scalability ">（詳全文）</a></p> <p><strong>圖片來源／</strong><strong>TeleGeography、</strong><strong>美國國務院、Synergy Research 、Google雲端攝影／李宗翰</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 甲骨文正式推出混合雲服務Oracle Cloud VMware Solution，讓企業在甲骨文雲上執行VMware工作負載</strong><a href=" https://www.oracle.com/emea/news/announcement/oracle-cloud-vmware-solution-2020-08-06.html ">（詳全文）</a></p> <p><strong>2. AWS更新ETL服務推Glue 2.0，作業啟動速度是前一代的10倍，且最小計費區間降低到1分鐘</strong><a href=" https://aws.amazon.com/tw/blogs/aws/aws-glue-version-2-0-featuring-10x-faster-job-start-times-and-1-minute-minimum-billing-duration/ ">（詳全文）</a></p> <p><strong>3. Google雲端和哈佛全球健康研究所開發武漢肺炎公共預測模型，能夠預測美國未來14天內染疫死亡人數</strong><a href=" https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-is-releasing-the-covid-19-public-forecasts ">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年8月</strong></p> </div></div></div>
2020/8/13 15:47作者黃郁芸https://www.ithome.com.tw/news/139374
微軟發表雙螢幕手機Surface Duo，首款採用Android的Surface產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2020/08/12/available-for-preorder-today-surface-duo-is-purpose-built-for-mobile-productivity/" target="_blank">微軟本周三（8/12）發表了</a>該公司首款雙螢幕手機Surface Duo，同時它也是微軟首款採用Android平臺的硬體產品。它看起來像平板，卻又具備手機與生產力能力，而微軟產品長Panos Panay則說，Surface Duo並不是新發明的電話，而是企圖激發人們重新思考想要如何使用放在口袋中的隨身裝置，開創一個全新的類別。</p> <p><a href="https://medium.com/microsoft-design/designing-for-the-microsoft-surface-duo-8a83f232100" target="_blank">Surface Duo</a>是由兩個5.6吋的螢幕組成，合併後的螢幕為8.1吋，具備360度的轉軸，它可同時執行兩個程式，像是在一個螢幕上參與Microsoft Teams會議，並在另一個螢幕上執行簡報程式，或是在一個螢幕上回覆郵件時，在另一個螢幕上叫出行事曆，在兩個螢幕上也能順暢的移動圖片、文字或檔案，使用Amazon Kindle程式時，則能像真正閱讀一本書的體驗一樣。</p> <p>為了提供良好的雙螢幕體驗，微軟使用了客製化的像素堆疊，校準兩個螢幕的顏色與亮度，並透過特別的演算法讓使用者的手指滑過轉軸時，會以為它是一個單一的螢幕。</p> <p>值得一提的是，Surface Duo既是Surface家族的第一款手機，也是微軟第一個採用Android平臺的硬體產品。此外，<a href="https://www.ithome.com.tw/news/117319" target="_blank">微軟在2017年正式終止對自家Windows Phone手機平臺的開發</a>，使得市場將Surface Duo稱為微軟的手機回歸之作。</p> <p>在改用Android平臺之後，微軟替雙螢幕的Surface Duo最佳化了各種常用的微軟程式在雙螢幕上的使用經驗，涵蓋Office、Outlook、Teams、Edge、OneNote、OneDrive與Microsoft To Do等，使用者還可透過微軟打造的Your Phone讓Surface Duo與PC上的程式無縫交流。另也與Google合作以強化Android平臺，推動更多的程式支援雙螢幕配置。</p> <p>Panay指出，微軟希望Surface Duo可突破既有硬體類別的疆界，不只是推動技術的創新，也提升人們的使用經驗，期待人們發現Surface Duo能以不同的形式符合他們在生活與工作流程上的需求。</p> <p>雖然微軟不希望外界將Surface Duo簡單地定義成手機或平板，而是賦予它一個新類別，但微軟亦未替這個類別命名。</p> <p>內建128GB儲存空間的Surface Duo售價為1399.99美元（約41,545元新臺幣），256GB則是1499.99美元，在本地端播放影片的電池續航力為15.5小時，即日起在美國開放預購，預計於9月10日上市。根據外電報導，微軟似乎有計畫將Surface Duo的銷售擴大至全球市場，惟目前尚未公布任何時程表。</p> </div></div></div>
2020/8/13 15:50作者陳曉莉https://www.ithome.com.tw/news/139376
Jupyter Book更新建置引擎，支援更強大的MyST Markdown語法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將可計算內容編排成書的開源專案<a href="https://blog.jupyter.org/announcing-the-new-jupyter-book-cbf7aa8bc72e" target="_blank">Jupyter Book</a>，已經交由Executable Book Project支援，並且現在發布了最新版本，更換建置引擎支援，使得建置更為快速，支援強大的MyST Markdown語言，並允許使用者將書籍輸出為更多元的類型。</p> <p>Jupyter Book是一個方便用來編輯程式與科學相關書籍的開源專案，用戶可以在Jupyter Notebook中，完全以Markdown語法撰寫，並將其建置成為書籍，其特色是能將包含可計算內容等來源材料，編輯成為具出版水準的書籍、網站和文件。而原本Jupyter Book為Jupyter底下的一個專案，但現在被轉移到了Executable Book Project（EBP）之下，EBP是一個Jupyter生態系的開放社群，專為Jupyter可互動和可執行文件建置開源工具。</p> <p>新版Jupyter Book最亮眼的功能，便是開始支援MyST（Markedly Structured Text）Markdown語言，而該語言實作了所有Sphinx文件引擎的功能，也就是說，可以在Sphinx執行的功能，就能夠使用MyST進行，讓用戶方便地以Markdown語言撰寫科學出版品。</p> <p>由於Jupyter Notebook所使用的Jupyter Markdown，僅是MyST Markdown的子集，這代表Jupyter Notebook中任何預設的Markdown語法，在Jupyter Book中均有效，但如果用戶需要用到引用、圖表和參照等功能時，便可以在內容加入使用MyST Markdown語法。</p> <p>舊版Jupyter Book使用Python和Jekyll來建構書本HTML，而新的Jupyter Book則僅使用Python，這簡化了建構書籍HTML的程序，另外，新的建置系統利用Jupyter Cache，僅會在程式碼有更新時才執行筆記本內容，並在建置時，插入來自快取的輸出，因此沒有更改的程式碼就不會被重新執行，進而節省建置時間。</p> <p>而且因為使用Sphinx文件引擎，Jupyter Book除了支援HTML網站之外，也能執行更複雜的輸出，像是能夠利用HTML和LaTeX製作PDF，官方表示，多元格式的支援，讓Jupyter Book更具靈活性，能根據用戶需求，產生適合的書籍形式。</p> <p>之所以新版Jupyter Book能有這麼多強大的功能，都要歸功於全新的堆疊，過去Jupyter Book使用Jekyll建置書籍，但現在則是使用Sphinx文件引擎，且因為Sphinx豐富的生態系，Jupyter Book能夠有效率地利用既存工具建立新功能，也能將開發的元件貢獻出來。</p> </div></div></div>
2020/8/13 16:05作者李建興https://www.ithome.com.tw/news/139373
【臺灣資安大會直擊】揚名美日資安新創第一手AI研發秘訣，奧義從失敗練出10道資安ML開發課題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年屢屢在美國和日本的資安產品評選或技術評比上，大獲佳績，端點防護產品的偵測評比更勝過不少資安大廠。AI是奧義研發出頂尖資安偵測能力的關鍵，但是，要在資安領域發揮AI的威力，不是一件容易的事，光是如何蒐集和分析各式各樣駭客攻擊行為資料就是一大挑戰，更不用說ML開發過程繁複，實作過程中更會不斷碰壁。「究竟會遇到哪些困難？會怎麼失敗？」奧義智慧科技研究團隊的資深研究員陳仲寬，在今年臺灣資安大會中，分享了資安領域ML開發的挑戰。</p> <p dir="ltr">去年從交大網路安全實驗室取得博士學位的陳仲寬，專注於網路攻防、惡意程式分析、漏洞分析與自動化攻防的研究，過去曾參與開發的ML應用，涵蓋惡意程式分類、事件log威脅獵捕（Event Log Threat Hunting）、用戶行為異常偵測、資安文章分析、端點資安鑑識（Endpoint Forensic）等類型。從這些資安ML實作經驗中，陳仲寬歸納出10項曾遭遇的挑戰，來提供其他開發者借鏡。</p> <h3 dir="ltr"><span style="color:#FF8C00;">資料處理眉角多，稍有不慎都會影響模型準確率</span></h3> <p dir="ltr">要用ML來訓練資安類的模型，要經過多個環節，包括特徵選擇、模型選擇、ML Pipeline、調校模型、解釋分析結果等步驟。其中，涉及資料蒐集與處理方面的問題，就佔了10項開發挑戰中的一半。</p> <p dir="ltr">陳仲寬首先指出，在多數情況下，開發者難以蒐集到到公開、高品質的資料集。這是因為，一般資安公司握有的高品質資料，並不會輕易公開釋出，能公開找到的資料集，大多也奠基在過去長期的研究基礎上，若今天是從頭發想一個新應用、新點子，可能就會面臨無資料可用的困境。</p> <p dir="ltr">且在ML實作過程中，也可能因軟體工具、分析技術不斷改版更新，導致資料集在不同版本間的實作不一致（inconsistence），比如新版本需要的特徵值（feature），無法從舊資料集中取得，這時，就需要花費人力來處理這些細節。「參考的論文上通常也不會提到，因為沒有學術上的貢獻。」陳仲寬說。</p> <p dir="ltr">第二，在資安領域中，時常發生資料集不平衡（Imbalance Dataset）的問題。在真實世界中，大部分蒐集到的資料，以正常程式為主，遭駭客攻擊的情況仍是少數，惡意程式可能只占全部資料的十分之一到百分之一。由於正常程式佔多數，以這些資料訓練出來的模型，會傾向判定每筆資料為正常程式，因為猜對的機率更高，且容易放過惡意程式。</p> <p dir="ltr">陳仲寬建議，在訓練模型之前，需要先平衡正常與惡意程式的數量，或轉而用非監督式學習先進行前處理，以避免資料集不平衡對模型帶來的影響。</p> <p dir="ltr">第三，蒐集到的資料缺乏高品質的資料標記。眾所皆知，資料標記本來就是一項高人力成本、費時的任務，尤其在資安領域中，惡意與正常程式的界線並非壁壘分明，比如流氓軟體、廣告軟體是劃分為黑名單還是白名單？而許多資料在不同的情境脈絡下，資料標記也可能不一樣，比如事件Log，可能在某些情境下被定義為惡意事件，但到了另一個環境，又能成為網管人員的管理工具。</p> <p dir="ltr">也就是說，在資安資料的標記上，開發者需要針對ML的應用情境來標記資料，且這批標記好的資料，也難以直接移植到其他環境使用，需要針對其他應用環境重新標記才行。</p> <p dir="ltr">第四，蒐集到的資料來源都不一樣，也可能對模型表現產生影響。比如說，提供惡意軟體分析服務的VirusTotal，匯集了各個資安廠商的分析引擎，從中可發現，儘管是同一支程式，不同廠商的分析結果可能不同，在進行資料標記時，應採用哪一個分析結果作為標準？而且，有些分析引擎判定某程式6成可能為惡意程式，標記時，應視為正常還是惡意？「這些都是要設計的，設計不好模型可能會不準。」</p> <p dir="ltr">陳仲寬也舉例，過去曾開發惡意程式偵測模型，來偵測端點的惡意程式，當時從公開資料庫蒐集了樣本，也在模型訓練與測試上取得了良好表現，不過，研究團隊實際從端點蒐集資料來測試時，模型表現卻不如預期。推測可能的原因，在於公開資料集的惡意程式來源為Email和誘捕系統（Honeypot），但是端點蒐集到的程式，則多來自於後門程式、APT，由於兩者資料來源不一致，導致了這個問題。</p> <p dir="ltr">最後一點，則是在資料處理過程中，可能因不正確的資料傳輸（Data Transfer）和資料過濾（Data Filtering）作法，導致訓練資料偏誤而影響模型表現。以惡意程式偵測為例，開發ML過程中，可能需要將PE檔的惡意程式進行語意分析（parser），若過程出錯，可能導致訓練出來的模型，只能辨識PE格式的惡意程式，非PE檔案都不行。</p> <p dir="ltr">又或是說，處理加殼程式的分析軟體失效，但沒有回去修復程式，就可能導致後續模型訓練完成後，只能處理不加殼的程式，將某些類型的程式排除在外。陳仲寬也舉例，就像某些難以標記的資料，若因為不確定為白名單或黑名單內容，就直接捨棄掉，也會導致資料偏誤，導致後續訓練出來的模型，難以辨識特定類型的程式。</p> <h3 dir="ltr"><span style="color:#FF8C00;">模型設計遵循KISS原則，依據資料特性選擇適合的ML框架</span></h3> <p dir="ltr">在模型設計過程中，陳仲寬也列舉了3項需要注意的問題。</p> <p dir="ltr">首先，是取得了資料之後，要選哪個模型框架來實作？陳仲寬表示，需要根據資料特性，選擇具代表性的模型來應用。比如在事件Log分析上，通常會將Log資料以關聯圖形式（Graph）來呈現，就適合套用社群發現（Community Detection）演算法；用戶行為異常偵測的行為資料，則因為有周期性的價值，適合套用時間序列預測分析之一的ARIMA模型；而資安文章分析，由於是文字內容，就可以用NLP來處理。</p> <p dir="ltr">第二，則是要避免過早使用複雜的模型，應該用最簡單的方法解決問題（Keep it simple, stupid，KISS）。陳仲寬認為，使用簡單的模型有三項優點，一是在建立簡單模型的過程中，能進一步了解資料特性以及模型執行過程，二是從簡單模型推及到複雜模型，可以避免一開始就耗費大量運算資源，三則是在部分應用中，Rule-based的分析，反而比龐大的神經網路模型還好用。</p> <p dir="ltr">第三，則是在模型設計上，建議將資料視覺化（Visualization），比如運用主成分分析（PCA）或是t-隨機鄰近嵌入法（t-SNE），除了能藉此選擇合適的演算法，調校模型、除錯時也很實用。陳仲寬舉例，過去在做資安文章分析時，建立了BERT模型，但發現模型表現不佳，準確率甚至不到50%，為此，團隊運用t-SNE將數據視覺化，找出問題所在並調整了模型架構，才成功提升了模型準確率。</p> <h3 dir="ltr"><span style="color:#FF8C00;">模型驗證需解釋決策原因，問題設計更需考量實際應用場景</span></h3> <p dir="ltr">最後，在模型驗證過程中，陳仲寬也歸類出兩大重點。第ㄧ，是要運用模型可解釋性來驗證模型，透過了解模型決策的原因，除了判斷決策是否合理，也可以進一步學習模型判斷的原理。</p> <p dir="ltr">比如臺大電機系助理教授李宏毅，就曾經訓練一個AI模型，判斷一堆卡通圖案中，哪些屬於神奇寶貝、哪些是數碼寶貝，辨識準確率超過98%，但實際用顯著圖（Saliency map）檢測發現，模型是以png檔的背景底色來分類圖像，並非以圖像本身的差異。從這個例子中，說明了解釋模型決策原因的重要性。</p> <p dir="ltr">陳仲寬也提醒，單從資料取得的知識是有限的，還需要實際應用場景中的領域知識（Domain Knowledge）。舉例來說，許多企業在建立ML應用時，會將資料欄位去識別化，比如使用者上、下線時間，改以欄位A、B代替，再交由資料分析師去處理，但是，將資料去識別化之後，也限制了資料的應用分析方式；又或是現在常見學校組成ML團隊，除了取得不同產業的資料，也需要各產業的專家提供領域知識，來協助ML應用落地。</p> <p dir="ltr">「在做ML過程中，一定要有人提供回饋、指導、專家知識，這樣做出來的ML系統才更穩定。」陳仲寬說。</p> </div></div></div>
2020/8/13 13:26作者翁芊儒https://www.ithome.com.tw/news/139367
【臺灣資安大會直擊】第一銀行副總劉培文：銀行面臨數位轉型需打造新型數位安全架構，連帶資安典範也要跟著轉移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，臺灣資安大會的主題是韌性決勝（Resilience Matters），第一銀行資訊管理中心副總經理劉培文在8月12日舉辦的金融安全論壇專場，以一個淺顯易懂的比喻，來解釋資安與韌性的關係。他提到，如果將河岸堤防譬喻為資安的防護，那麼韌性需要考慮的除了修築堤防，還得考慮當堤防擋不住百年洪水的時候，沿河的居民要如何快速遷移，讓居民生活不因這場洪水而被中斷。</p> <p>劉培文進一步指出，資安是企業經營面臨的風險之一，而企業應對風險的態度與方式，決定了企業的韌性。他提到，如果企業的文化與價值觀長期不重視資訊安全，或對資安有錯誤的認知，會導致這家企業的資源錯置，還有流程也會不成熟到位，使得資安事故發生的機率大幅增加。而在發生資安事故的當下，就沒有辦法做好的應變。</p> <p>在談企業的資安防護，劉培文認為，談技術與管理做得到不到位，其實是落後指標。「資安防護的領先指標，是企業的價值觀與文化」，企業能不能掌握自身的實際狀況，同時掌握外頭環境發生的變化，透過變革領導，來決定資源如何做重新分配，才能持續應對資安的變革甚至其他風險。</p> <h3><span style="color:#0000FF;"><strong>把資安事件危機視為轉機，是建立企業韌性重要環節之一</strong></span></h3> <p>在2016年發生的ATM盜領案後，劉培文坦言，這對第一銀行（以下簡稱一銀）帶來一場貨真價實的震撼教育，從董事會到各個高階主管，對資安都有了深刻的體認，就像是打了疫苗一樣，資安事故衝擊帶來的集體記憶，直到3年後的今天，他觀察到，這樣的效益仍然存在。「對企業來說，得把資安事件看作把危機化為轉機的機會，這也是建立企業韌性重要的一個環節。」劉培文強調。</p> <p>他更提到，也因為這樣的效益，一銀過去3年多，在資安的資本投資的預算，都是ATM事件發生之前的2倍，也做了30幾項的資安建置專案，像是EDR、虛擬上網、檔案清洗、網路區隔等，基本上都是為了強化終端的設備，因為這過去在一銀的環境是較被忽略的弱點。</p> <p>在資安防護的投資上，劉培文提醒：「資安設備絕對不是萬靈丹」，每一種資安設備都有其長處與它的限制。此外，許多事情即便買了資安設備也無法解決。比如，ATM事件後，一銀花了2年多時間，把海內外全行的網路架構重新檢討調整，伺服器重新盤點，再移置到適當的位置。他解釋，如果不做這些清理調整，資安監控人員每天得花上許多時間處理雜訊，根本沒有時間去處理真正的資安訊號。</p> <h3><span style="color:#0000FF;"><strong>企業推動資安事件應變與資安系統架構工程，需成立資安專責部門</strong></span></h3> <p>除了要了解資安設備的長處與限制，劉培文提到，大多數時候，許多資安設備偵測到的情報含金量，相對是低的。所以，必須把不同設備並聯或串接，建立起資安訊號放大器，可以把各別設備監測到微弱的訊號放大，讓隱藏的威脅或弱點，可以提早偵測到。</p> <p>劉培文強調：「資安防護的重點是，在採購的各種有形的資安設備之上，把無形的資安情資訊號放大器建立起來。」他解釋，這樣的放大器連結的可以是企業內部的資安設備與設備間，也可能是ISAC與企業內部設備間，也許是VA／PT資安檢測流程與資安應變的流程。它是資訊與資訊間的轉換與加成、系統與系統間如何做到自動介接，以及流程與流程之間怎樣因應外在狀況的不同，能夠動態串連。</p> <p>他進一步提到，針對這樣的資安系統架構工程，市場上也開始有新的技術解決方案，像是SOAR（Security Orchestration, Automation and Response）就宣稱可以將威脅情報平臺、資安監控平臺、事件應變平臺等，透過劇本（Playbook）把這些東西串起來。不過，劉培文表示，這些解決方案還很新，導入時要花許多時間調校劇本。所以，最重要的核心點是，他提到，尤其是銀行過去大部分是資訊部門凌駕於安控部門，沒有技術人員扮演訊號放大器，也就是類似CSIRT團隊的角色，提升監控的效率與速度。</p> <p>然而，要推動資安事件應變與資安系統架構工程，劉培文強調，就需要專責的資安單位與專業的資安人員來實現。一銀在ATＭ事件的隔年，便決定成立資安專責部門，組成了數位安全處，並將資訊處安控部移轉到數位安全處，改名為安全管理部外，還增加了安全技術部。</p> <p>他提到，原本資訊部底下的安控單位人員的工作，包括資安管理與落實安控、內稽內控等仍然很重要。但是，一定要有人去掌握分析內外部的資安威脅情報，等於是資安防護系統架構的構成，必須要有自家的專責團隊來負責。</p> <p>此外，金管會要求超過兆元資產的銀行與保險公司，都要設立獨立的資安專責部門，劉培文表示，資安專業人才難尋。好在金管會近期提出金融資安行動方案，金管會願意協調周邊單位開設金融資安人才養成專班，訓練更多資安人才。</p> <h3><strong><span style="color:#0000FF;">企業推動資安得注意資訊、資安兩部門的溝通</span></strong></h3> <p>不過在實務上，劉培文表示，成立了資安專責部門，現下的問題反而是資訊部門與資安部門要如何分工合作。即便可以清楚地定義這兩部門的職責分工，但仍有許多灰色地帶講不清楚。以長期發展的工作，比如銀行的數位轉型，現階段可能根本無法清楚定義資安部門應該扮演的角色或承擔的責任；但是，他坦言，現在資安部門若不參與，再過了2到3年後，系統已開發完成、數位產品都上線，那就來不及了。</p> <p>資訊與資安單位磨合的這段時間，他提到，總是會有本位主義或者涉及部門績效的問題，反而是企業在推動資安，真正要去注意的事情，否則長期下來就可能造成部門間的摩擦。一銀的作法是，在資安推動的組織設計，成立了資安管理小組，該小組是由資訊處與數位安全處組成，由劉培文親自主持聯席會議，讓雙方在分工合作上得到共識。</p> <p>此外，「資安絕對不只是資訊與資安單位的事情」，必須有機制讓企業從上到下，包括董事會一直到每位員工，都知道自身應負的資安責任。而董事會則需從企業治理的角度，讓資安成為企業治理的一環。</p> <h3><strong><span style="color:#0000FF;">傳統銀行面對數位轉型，也須打造新型數位安全架構</span></strong></h3> <p>然而，劉培文表示，這些作為仍是以傳統銀行的資訊架構與傳統分行業務的思維所設計，以邊境防禦及核心固守的企業資訊架構為前提所做的事情。</p> <p>他進一步表示，傳統銀行不只面臨駭客帶來的資安威脅，更面臨BigTech、FinTech及即將要開放的純網銀，這對銀行來說是經營風險。為了要因應這些經營風險，傳統銀行必須盡快擁抱數位轉型，從商業模式、數位產品、到資訊系統及架構都需要全面革新。劉培文比喻：「資安事故就像颱風、地震，是短期的災害；但是，數位轉型對傳統銀行的衝擊不下於全球暖化。」這也意味著，資安也必須打破邊境防禦及核心固守的思維，打造新的數位安全架構。</p> <p>劉培文提到，以信用貸款系統舉例，傳統銀行的資訊系統是從客戶提出申請、進件、銀行照會、審核、核貸結果通知與申覆、對保簽約到最後撥款使用，都在eLoan系統上由銀行行員操作，而系統是渾然天成，無法切分。</p> <p>但，隨著開放銀行的發展，可能貸款客戶會先在比價平臺進行比價，所以，銀行必須在第一時間，就透過API將核貸試算金額傳送給比價平臺。所以，他表示，銀行就必須將原本eLoan系統，像樂高積木一樣重新把功能拆解，可能必須要用微服務、開放API因應新產品的需求。而面臨系統爆量需求，也可用容器化方式，讓系統架構能向外擴充。</p> <p>一銀也觀察到，各家銀行推出行動銀行、數位存款帳戶後，顧客登入手機銀行查看銀行帳戶的頻率變高。甚至，未來在開放銀行架構下，顧客可能一人下載了好幾個App，都綁定銀行的帳號，又或許TSP那邊的App自動每半小時登入客戶的銀行帳戶檢查一下，使得銀行每年要付出的大型主機CPU費用也同樣會大幅增加。</p> <h3><strong><span style="color:#0000FF;">業務帶來的變革，使得銀行採取的資安典範也要轉移</span></strong></h3> <p>劉培文指出，這也代表業務帶來的變革，讓銀行的資訊架構、流程、軟體工程等也會改變，相對帶動銀行採取的資安典範也要跟著轉移。就以資安檢測為例，現在的系統是需求談好開出規格，系統設計與開發完成後，功能測試完再交給資安單位做資安測試後才能上線，過程得花上1到2年的時間。</p> <p>然而，因應數位轉型，這樣的方式沒辦法應付市場的變革，得用敏捷開發、CI／CD、DevOp。劉培文提到，未來，也許由資安人員操作資安檢測軟體的過程被轉換成script，程式人員開發的過程中，開發完的模組馬上就做測試，朝向Security as Code的方向發展。所以，他強調，軟體的資安測試未來絕對不能只有在新開發或改版上線前才進行，銀行必須建立可以持續執行的自動驗證機制。</p> <p>不只資安檢測，劉培文更列出需要因應數位轉型，來調整的12個面向。包括設備升級（APIM、WAF）、建立資料管理標準、建立API標準、建立資安管理標準、Cloud-Ready資訊架構、數位軟體安全（DevSecOp）、智能化資安監控、供應鏈安全管理、資安共享生態圈、隱私保護、法令遵循、數位轉型治理。</p> <p>他更指出，像是資安監控、供應鏈安全管理及資安共享生態系，可能對大部分銀行來說都是新議題。在資安監控，過去銀行的許多監控設備，是由網路層、傳輸層的攻擊訊號來發現惡意行為。</p> <p>不過，開放銀行後，駭客可能會先攻擊TSP後，再假冒TSP客戶透過API向銀行發出交易指示。這時從銀行角度來看，是合法的客戶與交易行為，無法從網路流量判斷是否為駭客入侵、攻擊行為。劉培文表示：「資安監控須朝向智慧化、自動化、高階化邁進，並與應用及產業知識結合來判斷。」</p> <p>而銀行與TSP夥伴之間的關係，得回到供應鏈安全下手，資安更將轉變為共享責任。在資安監控，金管會將推動金融機構SOC與二線SOC協同運作，劉培文認為，如何將TSP業者納入金融資安共享體系將是重大挑戰。因為，「這是供應鏈的關係，大家被綁在一起，沒有人能獨善其身。」此外，不光是銀行在業務上要發展生態系，資安本身也要往生態系的方向前進。</p> <p>劉培文強調，銀行的治理方式必須轉變，要往數位治理的方向前進。對於資安從業人員來說，除了顧好每日工作，別忘了外頭的世界已經在改變，從韌性的角度，資安部門也有責任去了解外面的數位變革，將對企業造成何影響，這影響也會決定企業資安的資源與流程該如何改變。文⊙李靜宜</p> </div></div></div>
2020/8/13 14:13作者李靜宜https://www.ithome.com.tw/news/139371
又撞名，微軟悄悄拿下低程式碼資料庫Dataflex品牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月底微軟<a href="https://www.ithome.com.tw/news/138964" target="_blank">宣布低程式碼關聯資料庫Dataflex</a>，讓Power Platform及Teams用戶可以開發Power Apps及聊天機器人，不過還沒來得及大作行銷，就發生和一家公司撞名事件。微軟本周已悄悄拿下這個名稱。</p> <p>Dataflex是以Common Data Service (CDS)為基礎，它是一個供商務應用程式使用的關聯資料庫。它原本是作為微軟生產力Power Platform的資料庫，方便非IT的員工，也能開發出資料分析應用程式PowerApps，以Power Automate開發流程，或是以Power Virtual Agents開發聊天機器人。隨後微軟又將CDS加入到Teams平臺，同時在7月推出正式版時，<a href="https://www.ithome.com.tw/news/138964" target="_blank">公布CDS新品牌Dataflex</a>。於是在Teams中的CDS改作Dataflex，而在Power Platform中的CDS叫做Dataflex Pro。</p> <p>但隔天一家名為<a href="https://www.dataaccess.com/blog/dataflex/microsoft-dataflex-1606" target="_blank">Data Access Worldwide的公司表達不滿</a>。該公司也有一個產品名叫Dataflex，是一套應用開發工具，宣稱客戶以單一語言、單一studio、單一框架即可開發行動、Windows及瀏覽器App。這家公司其產品1981年就問世了，但微軟公布Dataflex的當天仍然接到混淆的客戶來信詢問。Data Access重申其產品和微軟的Dataflex沒有關係。</p> <p>Data Access也在7月28日，向佛羅里達州地方法院控告微軟侵害商標。</p> <p><a href="https://powerApps.microsoft.com/en-us/blog/introducing-microsoft-dataflex-a-new-low-code-data-platform-for-microsoft-teams/" target="_blank">本周微軟介紹Teams版Dataflex的網址已經導向介紹Project Oakdale</a>，並描述為「Microsoft Teams內的低程式碼資料庫平臺」。<a href="https://powerapps.microsoft.com/en-us/blog/a-closer-look-at-data-platform-capabilities-in-project-oakdale/" target="_blank">從Microsoft.com下介紹Dataflex品牌的網址</a>，也顯示名稱為Project Oakdale，只剩留言中有Dataflex的字樣。</p> <p>Project Oakdale應為Dataflex的工程代號，顯示還沒有正式名稱。</p> <p>這不是微軟產品第一次上市後才發現和別公司撞名。其雲端儲存服務2014年上市時名為SkyDrive，但<a href="https://www.ithome.com.tw/node/85035" target="_blank">名稱和媒體大亨梅鐸旗下的英國天空廣播集團發生撞名</a>，因而改名為現有的OneDrive。</p> </div></div></div>
2020/8/13 13:20作者林妍溱https://www.ithome.com.tw/news/139370
Mozilla傳再延長與Google搜尋引擎預設合作三年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，<a href="https://www.ithome.com.tw/news/139339" target="_blank">本周宣布</a>因受武漢疫情衝擊，全球將裁員250人並關閉臺北辦公室的Mozilla，將與Google延長Firefox預設搜尋引擎的合約以換取三年營收。</p> <p><a href="https://www.zdnet.com/article/sources-mozilla-expected-to-extend-its-google-search-deal/" target="_blank">ZDNet引述多位消息人士報導</a>，雙方新合約下，Google將以每年4億到4.5億的代價，換取成為Firefox預設搜尋引擎直到2023年。</p> <p>報導指出，Mozilla高層原本預計今年11月會計年度終了才會宣布此事。Mozilla官方仍然證實這項消息指出，Mozilla和Google的搜尋合作持續多年，在全球許多地方Firefox預設使用Google搜尋。近日雙方也延長了合作，夥伴關係沒有改變。</p> <p>Google一直是Mozilla的主要營收來源，過去雙方合作代價為3年10億美元，Google方面的收入佔每年Mozilla營收比例達75%到95%。但Mozilla也一直希望能擺脫此種依賴關係，這是為什麼2014年Firefox<a href="https://www.ithome.com.tw/news/92428" target="_blank">以Yahoo取代Google作為預設搜尋引擎</a>。</p> <p>不過隨著Yahoo大部份業務被賣給了Verizon，<a href="https://www.ithome.com.tw/news/118283" target="_blank">雙方又再於2017年重續前緣</a>，三年合約於今年到期。但事實上Firefox在不同地區還有不同預設搜尋引擎夥伴，例如在中國是百度，在俄羅斯為Yandex。</p> <p>雖然Mozilla近年多次裁員，不過消息人士指出，Mozilla其實財務相當穩健。這次裁員是因應Mozilla從一網際網路標準前鋒及實驗性角色，轉型為更商業化的廠商，希望開發能更賺錢的產品，像是Firefox相關訂閱及付費服務，因而裁減不再那麼重視的部門，如Mozilla 執行長Mitchell Baker指出，包括開發工具、內部工具及平臺功能。</p> <p>ZDNet報導，這包括實驗性瀏覽器引擎Servo、Firefox開發工具以及Mozilla Developer Network入口網站的開發工程師。此外，威脅管理安全團隊也遭到關閉。臺北辦公室原本則是為開發FirefoxOS而設，後者也已不再是Mozilla的策略重點。</p> </div></div></div>
2020/8/13 12:40作者林妍溱https://www.ithome.com.tw/news/139368
VMWare再傳裁員，2高層走人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼母公司Dell裁員近千名人力後，旗下虛擬化平台VMware 也傳出裁減人數不詳的員工。此外也有二名高層主管走人。</p> <p>CRN本周首先<a href="https://www.crn.com/news/virtualization/vmware-layoffs-confirmed-global-channel-vp-is-out?itc=refresh" target="_blank">報導此事</a>。VMWare也指出，本月該公司有「少量」人力變動，而這只是公司正常的人力「重新平衡」（rebalancing），視業務機會調整資源與投資。</p> <p>受影響部門、區域及人數不明，但報導指出，至少VMware全球夥伴部門Shawn Toldo 及全球通路最高主管Jenni Flinder，確定在這波裁員中走人。</p> <p>專門爆料裁員的網路論壇<a href="https://www.thelayoff.com/vmware" target="_blank">The Layoff有使用者聲稱</a>，網路與安全業務單位（Network and Security Business Unit, NSBU）業務部門有一波大裁員，而網路與安全虛擬化平台VMware NSX業務人員可能將整併到NSBU其他單位。VMware並未證實這點。</p> <p>這是VMware今年內至少第二波裁員。一月時，VMware也有過一次人數不詳的「人力再平衡」行動。VMware全球員工達3.1萬人。</p> <p>而VMware的母公司<a href="https://www.ithome.com.tw/news/139151" target="_blank">Dell則在二個星期前裁員</a>，可能影響2千人左右，但公司強調和COVID-19疫情無關。</p> <p>CRN另外也報導，在Dell資歷達20年的全球通路最高主管Joyce Mullen也將捲舖蓋走人。Dell及VMWare都從5月起，實行員工凍薪以及縮減退休金補貼等撙節成本的措施。</p> </div></div></div>
2020/8/13 13:05作者林妍溱https://www.ithome.com.tw/news/139369
GCP要成為數位轉型協助者，靠資料保護新戰略搶上雲跨雲需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Google Cloud年度產品大會Next非常不一樣，甚至有根本性的大改變。不只是從實體收費活動，變成了線上免費課程，也不是從4天會議活動，變成了長達9周的隨選影片，而是Google Cloud放下了過去強力塑造的雲端技術領先者形象，轉而變成了強調顧客優先的數位轉型協助者，最明顯的改變實例，就是GCP今年在資料和隱私戰略的全新產品布局。</p> <p>這正是Google Cloud執行長Thomas Kurian，第一次展現出18個月來推動Google Cloud組織文化改造的成果。Google Cloud開始變得不一樣了，更像是一家商業軟體供應商，而不是頂尖技術研發團隊。</p> <p>不同於以傳奇創業、技術創新起家的第一任執行長雲端女王Diane Greene，來自老牌商軟巨頭甲骨文的Thomas Kurian，幾乎三分之一的人生都在甲骨文，率領了3萬5千人的研發團隊，一手推動了甲骨文所有產品的雲端轉型，還建立了年營收8億美元的250人雲端銷售團隊，更主導了60次軟體併購。</p> <p>去年4月9日的2019年Next產品大會，Thomas Kurian上任剛滿100天，第一次站上Next主場演講。眾人最好奇的問題是，他要如何將Google Cloud帶往下一階段的發展？</p> <p>可是，去年這場產品大會105項發布中，涵蓋了顧客、夥伴、行動裝置與Chrome、AI和機器學習、基礎架構服務、應用系統開發、資料分析、資料庫、IoT、資安、企業協作與生產力到社會影響力，仍舊像是原本的Google Cloud戰略方向，處處呈現出技術優先、產品優先的布局。</p> <p>在去年亞太媒體群訪上，Thomas Kurian坦言，剛上任的前幾個月，大部分時間都用於了解現況和產品，但他揭露了上任後的首要目標，要讓GCP不只是聚焦於打造最棒產品，還要能反映顧客心聲，協助企業轉型。</p> <p>所以，去年他在開場演講中，花了最多時間描繪的重點就是，GCP的願景。他指出，GCP的願景要聚焦在企業數位轉型旅程，主要提供了3項協助，分別提供全球分散式基礎架構、提供數位轉型平臺和垂直產業方案，以及支援協作模式的改變。去年正式定名推出的混合雲平臺Anthos，更是他要用來實現數位轉型平臺的關鍵，「可以提供一個維運和管理多雲、跨雲架構的平臺，讓企業不用各自學習各家雲端業者的技術。」他強調。</p> <p>瞄準數位轉型需求，作為GCP的發展願景，並不令人意外，這正是許多大型商軟業者、雲端供應商近幾年的產品戰略，Google Cloud過去也標榜要瞄準企業數位轉型浪潮，只是，想靠的是創新技術和領先產品來吸引顧客。</p> <p>可是，在去年Next開場演講中，Thomas Kurian做了一件格外引人注目的事，他大動作揭露了Google Cloud的7大隱私宣言，第一項就是「你的資料就是你的，不是Google。」其次包括如不會賣資料、不會用於廣告、預設加密、杜絕內部不當存取、不給政府開後門、隱私作法經過國際標準稽核等。</p> <p>這是GCP第一次如此慎重地發布對隱私的承諾，甚至，這是在其他雲端業者產品大會中也少見的公開宣示。</p> <p>在群訪中，Thomas Kurian更進一步解釋，為何要特別強調隱私宣言？「競爭對手常放話，若把資料放上Google，Google會拿去做其他用途，這是百分之百錯誤的說法。」他強調：「我們從來沒有將這些資料，拿出顧客所用雲端服務的範圍之外。」</p> <p>但是，這樣的隱私宣言如何具體落實到產品上，Thomas Kurian去年沒有進一步說明，只簡單解釋，Anthos可以讓顧客有所選擇，把資料搬回企業內部。可是，當時的Anthos只能部署在vSphere環境中，無法真正支援多種私有雲環境，甚至遑論能搬到不同的公有雲上部署。</p> <p>直到今年7月的這次Next大會，Thomas Kurian去年的願景，終於化為實際的戰略和產品，其中一項更成了GCP創造差異化的競爭優勢。</p> <p><span style="font-size:28px;"><strong>全球疫情帶來3大衝擊，7成企業要加速轉型帶動上雲需求</strong></span></p> <p>今年因為全球疫情大爆發，Google取消了消費端產品大會，但將企業產品大會Next延後到7月並改為線上形式。</p> <p>Google執行長Sundar Pichai在開場演講中直言，儘管這波疫情對未來的改變還不明朗，但已經帶來了三大影響，未來工作型態將更數位化、需要更多協作、工作模式也會更有彈性。這也讓許多企業要長期推動數位化，甚至75%企業有加速轉型的計畫。</p> <p>「越數位化，就越重視合作、彈性，也就越需要上雲。」Sundar Pichai指出，這正是Google Cloud第一季業務量比去年同期增加超過5成的推力。</p> <p>Thomas Kurian今年也重新界定了Google Cloud的新願景是，要透過資料強化的創新，來提高企業數位轉型和重新想像業務的能力。他將資料導向、加值的創新，視為是GCP成為企業數位轉型協助者的關鍵。</p> <p>資料上雲，向來是企業擁抱雲端時最擔心的議題，尤其這股數位轉型帶來的上雲潮，更挑戰了企業傳統保護資料作法。傳統企業保護資料的作法，可以分為4大類，一是將資料保存在內部，二是自己掌握資料所在地，三是管控可以存取資料的人員，最後是自己建立專責人力來保護資料。Google Cloud機密運算首席產品經理Nelly Porter指出，上雲趨勢帶來的新課題是，企業的資料不只出現在內部，還會在雲端上，而且企業自己得和雲端供應商共同分攤資料保護的責任。</p> <p>前者提高了資料保護的技術難度，後者更帶來了新的管理和治理問題，這就出現了多項資料保護的新挑戰，她舉例，如何保護敏感資料或智慧財產？資料保護如何落實法規遵循？如何和其他企業協作，來處理他們的敏感資料，也就是如何經手第三方資料的挑戰，如何保護用戶與其顧客的資料？這些都是Google Cloud今年資料產品新戰略想要回答的問題。</p> <p><span style="font-size:28px;"><strong>去年7大隱私宣示成今年9項產品隱私承諾</strong></span></p> <p>而Thomas Kurian去年的7項隱私宣言，今年更進一步更具體成了9項產品隱私承諾，「你的資料就是你的」成了基本精神，不再名列其中，反而轉化成具體的作法。例如企業自己決定資料或任何副本的儲存位置，也可以全權控制資料的存取者身分， Google管理和存取資料的方式都可以控制也會高度透明化，甚至企業可以拒絕自己的資料被解密，也能將加密用的金鑰移到其他地方，不讓Google拿得到，而資料預設加密的宣示，則更進化成了提供資料全程加密的承諾。</p> <p>從這些資料隱私的新承諾，和GCP想要解決的資料課題，可以更清楚的了解，保護資料的新戰略如何貫穿到Google Cloud今年多項雲端產品的布局。第一個關鍵性的資料服務新產品，就是機密運算服務產品線（Confidential Computing）。</p> <p><span style="font-size:28px;"><strong>機密運算才真正實現端到端的全程加密</strong></span></p> <p>「機密運算才真的實現了端到端的加密」Thomas Kurian強調，不只資料靜止儲存的時候，或是資料傳輸的時候加密，連資料在CPU中處理的時候，都能夠提供加密的防護。</p> <p>Google Cloud機密運算工程總監Gilad Golan解釋，企業通常採取多層次的資料保護策略，例如像是限制敏感資料被公開的透明化程度、控管度敏感資料的存取，另一個常見作法是加密敏感資料來建立防護層。機密運算是利用晶片硬體來加密正在處理中的記憶體內資料，可以在現有的儲存加密和傳輸加密上，再增加使用中加密的防護層，補齊資料保護生命週期的最後一環。</p> <p>機密運算主要是先建立一個可信任的運算環境，再來進行敏感資料的處理。GCP利用了AMD第二代EPYC處理器的安全加密虛擬化SEV（Secure Encrypted Virtualization），這是一個CPU內建的硬體加密技術，可以在虛擬層上進行硬體加密來建立可信任的環境，再讓獲得授權的應用程式，存取加密後的記憶體內的資料，來進行處理，只有在虛擬環境中的應用程式可以「看見」解密後的資料，避免資料在虛擬環境外曝光，就連維運的Google都看不到處理中遭加密的資料。</p> <p>GCP機密運算產品線的第一個產品是機密運算VM，只要是GCE的N2D虛擬機器，就可以開啟機密運算VM功能，這也是業界第一個VM型雲端機密運算服務。GCP在今年2月發表了採用AMD第二代EPYC處理器的通用型GCE虛擬機器產品N2D系列實例，可以提供最大到224個vCPU和896GB的記憶體，今年4月正式推出，目前可以在部分雲端區域中心提供，包括臺灣彰化的GCP雲端區域中心。</p> <p>這個機密型VM就像是GCP一般提供的VM，GCE原有VM的工作量也都可以轉移到N2D實例上，來啟用機密運算VM功能。Thomas Kurian指出，這類機密型VM的應用，就可以用於高度規範產業，高度機敏業務或高度隱私相關的業務應用。</p> <p><span style="font-size:28px;"><strong>Anthos終於支援跨雲、多雲，讓企業自己決定運算工作所在地</strong></span></p> <p>影響就是企業對於自家運算工作量、資料所在地的選擇權。GCP基礎架構服務今年實現了更進一步的分散式架構，不只支援GCP自家公有雲，還包括混合雲、跨多雲和邊緣運算雲。Anthos開始能夠支援裸機部署，直接安裝到主流硬體的Linux環境中，例如Cisco、Dell、HPE伺服器等，來建立混合雲架構，Anthos在今年也推出了AWS版本，而Azure部署版也釋出預覽版，可以用來建立跨三朵公雲的架構。「支援到跨雲、多雲，才可以讓企業有所選擇。」Thomas Kurian說。</p> <p>這個跨雲多雲能力，也是GCP數位轉型平臺的關鍵能力，更容易將企業應用程式現代化，另外也會透過統一的工具來提供跨多雲的管理、部署，以及維運工作。</p> <p><span style="font-size:28px;"><strong>BigQuery關鍵資料服務終於支援多雲，讓分析服務更靠近顧客資料源</strong></span></p> <p>Anthos有了跨多雲的能力後，Google Cloud今年資料產品線的主力產品資料倉儲分析服務BigQuery，也開始能進入其他公有雲環境中，並且推出了一個新的BigQuery Omni版本，可以透過Anthos，部署到AWS和Azure雲端環境，來分析企業儲存在這兩朵公有雲上的資料集。</p> <p>Thomas Kurian解釋，簡單來說就是，將BigQuery分析功能，帶到資料所在地，使用同樣的BigQuery介面，就能處理AWS和Azure上的資料，企業不用將資料搬到GCP。</p> <p>BigQuery Omni將大數據的運算和儲存拆解成獨立運作的元件，透過單一的BigQuery介面，例如API或SQL指令查詢介面，甚至今年增加了一個自然語言查詢功能，可以查詢跨不同公有雲上，使用各自不同雲端儲存的BigQuery運算叢集。BigQuery還強化了即時串流分析能力，可以平行處理100項分析任務，來支援更複雜的跨雲分析應用。</p> <p>另一方面，Google去年大砸26億美元，買下了大數據分析新創Looker，這是Thomas Kurian上任後的第一起併購，也是Google史上金額第四高的併購案。當時，他解釋，Looker可以補足Google Cloud兩大不足，一是可以針對企業所有資料源，建立一個一致性的業務衡量指標（Business Metrics），來簡化資料查詢，也能建立一套一致化的資料運算定義。</p> <p>其次，Looker提供了一個完整的資料分析產品線，涵蓋了資料提取、分析結果視覺化、工作流程整合、特定產業分析等。今年2月，Google完成了這起併購案，因此，在7月Next大會中，Thomas Kurian也正式將Looker納入了GCP企業資料平臺產品線。</p> <p>甚至不只資料倉儲服務，「BigQuery Omni的出現，更意味著GCP資料平臺能夠在多雲架構中執行。」今年亞太媒體線上群訪時，Thomas Kurian的一句話，更透露了日後更多資料平臺產品也將支援多雲跨雲的可能性。不過，G Suite倒是目前沒有支援跨雲的計畫。</p> </div></div></div>
2020/8/13 09:00作者王宏仁https://www.ithome.com.tw/news/139261
新一代機密運算不一樣，從VM層建立加密環境免改AP就能保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「機密運算（Confidential Computing）會成為新的雲端運算類型，將改變企業在雲端處理資料的模式，而且會像Email一樣，成為了改變遊戲規則的關鍵服務。」網際網路之父也是Google副總裁Vint Cert強調。</p> <p>他觀察，雲端運算的發展重心，將從公開的雲端服務，轉向私有的加密服務，要讓使用雲端服務的企業，不用擔心供應商或內部人員會取得自己的資料。而機密運算正是用來實現資料保護生命周期最後一哩的關鍵，不只靜止的儲存狀態或是傳輸移動過程，現在連CPU處理中的資料都能加密來保護。</p> <p>Google不是最早提出機密運算服務的雲端供應商，早在2017年9月，微軟技術長Mark Russinovich就在自家部落格上，發表了Azure機密運算服務，採用了Intel處理器內建的硬體晶片加密技術SGX（Software Guard Extension），微軟自己還打造了一個機密運算開發套件Open Enclave，可供企業修改自家程式碼，來使用機密運算的處理。</p> <p>去年，微軟更和英特爾、Google、IBM聯手，成立了機密運算聯盟（Confidential Computing Consortium），要來建立一套可以通吃資料中心、雲端和邊緣運算的安全信賴環境標準和規範，也就是透過硬體來建立一個處理加密資料的安全區環境，可以避免這些資料暴露在系統外面。</p> <p>以Intel SGX技術所實現的機密運算服務，可說是第一代的機密運算技術，可以將特定區域的記憶體加密後，只允許獲得授權的可信賴程式碼能解密來進行處理運算。但是因為這種機密運算服務，必須修改這段程式碼，來進行授權驗證和記憶體解密，因此需要花一番功夫客製原有的程式碼才能支援機密運算的使用環境。不只微軟，Google自己也有一套支援SGX技術的機密運算框架Asylo，或像紅帽則有Enarx框架。</p> <p>但是，Google這次推出的機密運算VM，採用了AMD第二代EPYC處理器，利用安全加密虛擬化SEV（Secure Encrypted Virtualization），實現了截然不同於Intel SGX的加密運作架構，甚至可以說是第二代的機密運算服務。</p> <p>不論是Intel SGX或AMD SEV，都同樣是靠硬體加密記憶體的安全技術。但是，不同的是各自實作出來的安全信賴環境架構，卻很不一樣。</p> <p>Intel SGX技術所實作的第一代機密運算，是針對一段應用程式，來建立可信任的安全環境，每一支程式碼，要個別取得授權才能解開遭加密記憶體上的資料來進行處理，因此需要針對每一支程式碼進行修改。</p> <p>而AMD SEV技術的第二代機密運算，則是透過虛擬層來建立一個安全的虛擬機器，只要是在這個受信賴的VM內執行的任何程式，都可以取得金鑰來解開遭加密記憶體上的資料，進行處理。因為VM所用的加密金鑰，是處理器內建的硬體加密機制隨機亂數產生，而且每一個VM都不一樣，因為在VM外部，無法取得這個金鑰來解開記憶體內處理中的資料，就達到了阻絕外部瀏覽的保護效果。</p> <p>因為實作信賴安全環境作法的差異，第二代機密運算從VM層來建立加密保護的優點是，應用程式不用修改，只要能放入這個VM環境來執行，就可以具有機密運算的作用。但是，第一代機密運算需要修改才能支援，尤其是老舊系統更是得大幅重構才能支援。但是，第一代技術的好處是，適合用於各種微服務或微型工作量，可以運用在行動裝置等運算能力較低的環境中。</p> <p>Google更是直接將第二代機密運算服務，變成了N2D通用型虛擬機器的一項預設功能，只需要開啟就能支援，可以讓老舊應用程式或大型應用程式，不用任何客製化修改，都能使用機密運算環境。而微軟推出的雲端機密運算服務，則是提供了一個支援Intel SGX技術的虛擬機器，再加上一套機密運算工具包，企業還得花一番客製化開發，才能實現機密運算的效果。</p> </div></div></div>
2020/8/13 09:00作者王宏仁https://www.ithome.com.tw/news/139263
程式碼的品味
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們對「品味」的概念各有見解，談到程式碼是否有品味，開發者又是如何執行判斷？Linux之父 Linus Torvalds曾提到一個案例來說明，他認為，重點並不在於邊界情況（Edge case），而是能以不同的角度看問題、直覺地選擇出正確的方法。</p> <p><span style="font-size:28px;"><strong>Linus的品味案例</strong></span></p> <p>在2016年舉行的一場<a href="https://bit.ly/2DepvLe">TED訪談〈The mind behind Linux〉</a>，Linus說明了Linux的創建、對開放原始碼的想法、Git的發想，以及程式碼是否具有好的品味（good taste）等內容，在這次公開訪談中，Linus展現其率真的一面，也坦誠自己不擅社交，很多目前看來偉大的專案，其實一開始都只是以自己為出發點，想要能好好地獨立工作而開始的。</p> <p>整個訪談內容滿對我的胃口，畢竟我也不是那麼愛社交的人，如果你也是個以自身為出發點在做事的開發者，應該也能從中獲得不少共鳴；在訪談中，有一個稍微技術性的區段是，主持人問到了Linus具有的特點之一，也就是對於「品味」的想法（14:10），為了具體地示範品味，Linus秀了一張不算是有好品味的程式碼，以及另一段有較好品味的程式碼。</p> <p>這兩張擷圖的內容，都是從單向鏈結串列移除指定項目的實現，有趣的部份是後者少了if/else，而這個if/else本來是要判斷想移除的項目是否就在鏈結開頭，希望顯著區隔出兩種不同的情況，而開發者第一次試著寫個鏈結串列，多半也是從這個教科書式的範本實現開始的。</p> <p>而且，Linus的第二張擷圖使用了指標，直接用指定項目的下個項目，將指定項目覆蓋，就該實現來看，整個過程只有一種情況，從而不必使用if/else來判斷項目是否就在鏈結開頭；自此之後，有些文件談到程式碼的品味時，會稱這種對邊界條件（edge case）的消除，是對於品味的一個基本要求。</p> <p>不過，在Linus的訪談中，他並完全沒有談到邊界條件的相關字眼，最多就只是提到：有趣的部分是if的那個情況。他後續也補充，表示這個例子甚至跟品味不太相關，因為太小了，實際上，好的品味跟大的模式有關，那是一種直覺上知道正確處理事物的方式。</p> <p><span style="font-size:28px;"><strong>程式碼有品味？</strong></span></p> <p>那麼「品味」是什麼？具體一點來說，談到一個人對於酒有品味時，單單只是他對味道的感受嗎？</p> <p>不是吧！味道是很主觀的感覺，談及對酒的品味，往往涉及人們對酒的認識，像是品牌、產地、原料、歷史、釀造方式、製作者等，又或者是對於相關事物的文化認識，像是使用的杯子、相佐的食物、侍酒師、禮儀應對等。</p> <p>因此，人們對品味的見解不同，往往就在於各自具有的知識、文化等深度的不同，從而影響了判斷何謂「美」、「好」和「對」的能力。</p> <p>事實上，Linus的第一張擷圖本身沒有錯，正如他談到的，任何學過鏈結串列開發者都知道要這麼寫，然而，第二張圖結合了語言的特性，而懂得C語言的開發者只要兩相比較，自然而然地都會對後者發出「對喔！這麼做更漂亮！」之類的感想，從而顯得前者的實現上膚淺許多。</p> <p>也就是說，程式碼的品味在於，展現出開發者對使用語言的認識，是否在對的場合使用了對的元素，這類元素有時是語法，有時是慣例，有時是語言的特性、更大的模式，或像是社群文化之類的概念。因此，當我們面對問題時，如果選擇了什麼，往往牽涉到許多細節，而對於具有這類深厚知識的開發者而言，能夠整合這些元素，從中找出適當而正確的處理方法。</p> <p>若要具體一些，我們可以舉出多個例子。像是在Java中，適當地使用Stream API；而在Python中面對錯誤時，我們知道該選擇採用LBYL風格，或是EAFP風格（參考先前專欄〈把例外當成例外〉）；到了JavaScript中，可以善用一級函式、非同步、物件實字等，而這些做法都是展現程式碼品味的一種表現。</p> <p>一般而言，學過多門語言的開發者，有不少會落入「語言不重要」的想法，確實地，各語言能解決的問題集是有重疊的部份，A語言解決問題的方式，依樣畫葫蘆地用B語言實現，也是有可能的，只不過從程式碼品味的角度來看，這樣的程式碼一定沒有品味，就像個粗製濫造的成品。</p> <p>是的，或許它可以運作，也可以解決問題，只不過，如果是個有品味的開發者，一定無法忍受這樣的程式碼。當然，有人會說：「公司花錢是請你來解決問題的，不是展開品味的」，只不過經營管理是另一番話，這邊純粹是在談程式碼的品味，另一方面來看，這也是種二分法的謬誤，為什麼面對品味與解決問題時，我們只能二擇一呢？</p> <p><span style="font-size:28px;"><strong>不同的角度看問題</strong></span></p> <p>事實上，關於品味與解決問題，並不是個二選一的難題。Linus在訪談中也說過，他希望大家瞭解的是：有時候，你可以用不同的角度看問題，而對於語法、慣例、語言特性、模式、社群文化等，如果可以認識得越多，當下能選擇的角度也就越多。粗製濫造的程式碼固然是可以解決問題，然而，這可能也代表了一件事：手邊可以解決問題的方式，少得可憐。</p> <p>好吧！來個經典的戰文標題：「寫程式需不需要用到數學？」的確，許多領域可以不用到數學，而且，也可以透過寫程式來解決問題，這也是一部份開發者（引以為傲）的想法，他們認為，重要的是邏輯能力。事實上，邏輯當然是解決問題的一種方式，只不過面對一些問題，數學可以讓你用其他的角度來看待同一個問題，你也能處理更多需要數學才能解決的問題。</p> <p>據說過去有個老師，給小朋友們出了道題目「1+2+3+...+100是多少」，許多小朋友開始埋頭從1開始逐一加上數字，然而有個叫高斯的小朋友，一下子就算出結果是5050。</p> <p>許多初學程式的新手，面對「1+2+3+...+100是多少」，可能會想到使用迴圈吧！就像高斯的同學那樣；然而，如果是對數學稍微敏感的人，應該會意會到這是個等差級數，套個公式就解決問題了，據說當年的小高斯是觀察出來的，因為他發現這些數，頭尾兩兩相加的結果都是相同的，也就是有50個101，很快就能算出結果是5050。</p> <p>有人會說，那些高深數學都有人包好程式庫，我拿到之後、兜一兜就可以啦！的確，這也沒錯，只不過，有能力包程式庫的人為什麼不是你呢？哪天如果想用的東西，卻沒人包好程式庫，屆時又該怎麼辦呢？</p> <p><span style="font-size:28px;"><strong>直覺地選擇出正確的方法</strong></span></p> <p>Linus說到程式碼的品味，往往展現在面對問題時，能否以不同的角度看待，而他之所以舉出第一張圖，我想，他只是想表示：「喔！標準而教條式的處理方式，像個小學徒似的，只會用這種方式解決問題！」。</p> <p>對於Linus想與其共同工作的人，他也說，這些人都有個現象，就是有好的品味。他談到，這些人好像有直覺，可以選擇出正確的方法，當然能找到對的方式，絕不是憑空得來，應該是表示，他想跟一群「有料」的人合作，也就是，與看待事情不會只有一種解決方法的人做事吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E7%A2%BC">程式碼</a></div><div class="field-item even"><a href="/tags/linux%E4%B9%8B%E7%88%B6">Linux之父</a></div><div class="field-item odd"><a href="/tags/linus-torvalds">Linus Torvalds</a></div></div></div>
2020/8/13 09:00作者林信良https://www.ithome.com.tw/voice/139264
兆豐銀大膽重用新技術拼轉型，更靠容器全面改造金融數位通路
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「數位轉型已經是一個浪潮，不轉型的話，銀行馬上會被拖累，變成銀行業的後段班。」這是兆豐銀行資訊管理中心副總經理陳國寶，對於銀行業必須展開數位轉型的深刻觀察。</p> <p>早在2年前，這家歷史悠久的公股銀行，便開始用金融科技的角度，來訂定資訊策略的發展藍圖。兆豐銀行（簡稱兆豐銀）的第一步，是先盡可能數位化前臺與顧客接觸的服務。第一件事，是將舊有行動銀行與網路銀行打掉重練。</p> <p><span style="font-size:28px;"><strong>用微服務架構與容器技術，打造新一代行動銀行與網路銀行</strong></span></p> <p>陳國寶提到，原有的行動銀行與網銀並沒有整合所有資料，如信用卡資料，或像用戶在查詢操作速度較慢，或希望能具備臉部辨識登入行動銀行等功能。</p> <p>面對這類需求不斷出現，兆豐銀在2018年春天，啟動新一代行動銀行與網銀建置，並採用微服務架構與容器技術來打造。陳國寶提到，為了打造這基礎架構，硬體系統也需跟著動；甚至，資訊處、數金處及外部廠商，幾乎每天開站立會議，來加速開發速度，而這也是兆豐銀第一個嘗試敏捷式開發的專案。</p> <p>花了一年多時間，兆豐銀去年底上線新一代行動銀行。緊接著在今年4月，推出新一代網銀。陳國寶坦言，最大挑戰是來自用戶的壓力，因此絕不能失敗。</p> <p>兆豐銀並不吝於採用微服務、容器等新興技術，來重新打造自家服務。陳國寶提到，「採用容器技術最根本的原因是，讓銀行的反應快，面對爆量需求時，用容器作法，才能橫向擴充。」</p> <p>他進一步解釋，一直以企金為主要客戶的兆豐銀，過去在即時性或突然爆炸性的需求較少。不過，近年也開始搶攻消金市場，包括信用卡、財富管理、台灣Pay等這類業務，常突然需要舉辦行銷活動，便會產生突然暴增的需求，「這使得我們非做不可」。不過，也不是全部業務都適合用容器技術，他表示，假設無爆發性成長的業務，則不需用到。</p> <p>對於採用新技術，陳國寶表示：「兆豐銀採用新技術的邏輯是，如果能早就盡量早。」他也提到，新應用最好的部署環境是直接搬上雲端；不過，金融業要使用公有雲，現在仍有主管機關與資安兩大顧慮，所以，兆豐銀上雲的策略是，讓私有雲環境準備好，有能力先採用容器這類新技術，來應付系統爆量的需求。未來，一旦主管機關鬆綁上雲規定，就能將私雲內的應用搬上公雲。</p> <p><span style="font-size:28px;"><strong>有了敏捷式開發練兵經驗，今年勞工紓困貸款即派上用場</strong></span></p> <p>有了打造行動銀行與網銀的練兵經驗，兆豐銀也將敏捷式開發這套作法擴大到其他業務上。因疫情關係，在今年4月開始的勞工紓困貸款業務，這組敏捷團隊便立馬派上用場，在短短1個月內，一口氣在勞工紓困專區改了5次版本。</p> <p>陳國寶提到，紓困很急，大概三、四天要改一版，來增加新功能。這次紓困，除原有敏捷團隊中，來自資訊處、數金處、業務單位的成員，更加入了授信人員，共十多名成員共同打造，來讓紓困專區的開發更為順暢。</p> <p>他更認為，敏捷式開發最大價值，在於縮短開發流程，各業務單位一開始在提需求時，IT與數金的成員都在，當所有東西尚未確定前，心裡能先有個底，並在開發時保留彈性，讓業務單位到後面能有修改空間；而遇上授信的規定，也能與授信單位馬上討論。甚至，陳國寶也會親自參與敏捷團隊的會議，讓決策可以更快。</p> <p>他坦言，敏捷式開發作法會讓參與其中的成員變得更忙。不過，可以讓銀行的反應比以往快。未來，兆豐銀的敏捷團隊也會持續增加，假設新業務要推出，也會採用敏捷式開發的方式進行。</p> <p><span style="font-size:28px;"><strong>打造智慧櫃員機，解決銀行櫃檯開戶最大痛點</strong></span></p> <p>除了翻新行動銀行與網銀，兆豐銀更在去年4月，於實體分行推出智慧櫃員機（STM）。陳國寶強調：「對銀行櫃檯來說，最花時間的就是開戶，這是最大痛點。」以往民眾到銀行臨櫃開戶，流程平均須花費60到90分鐘的時間才能完成；現在，民眾透過智慧櫃員機自動開戶的時間縮短到18到20分鐘，而且，在現場能立即拿到卡片與存摺。</p> <p>這項新型開戶體驗，兆豐銀不僅E化了櫃檯，更將開戶所需的KYC一併自動化完成。包括採用OCR技術，來辨識顧客身分證資訊；在洗錢防制，更是在機臺即可直接串接聯徵中心等機構，來查詢開戶所需的資料；而流程中的動作，更用RPA來達到自動化。</p> <p>陳國寶提到：「最大好處是流程調整，讓開戶時間變快，而且減少錯誤發生狀況。」不過，重新改造原本的開戶流程，挑戰是牽涉到既有業務流程，在創新同時，也得符合稽核單位與法遵單位的要求，將稽核軌跡通通留下。也因為靠數位方式記錄了所有資料，比起過往人工作業，資料的記錄反而更為完整。兆豐銀智慧櫃員機推出1年多以來，已在全臺分行推展共84臺，累積開立超過5萬多個帳戶。</p> <p>約莫2年前，兆豐銀資訊處規畫數位轉型5年期計畫，隔年便會再檢討去年的規畫。不過，陳國寶透露，今年開始，兆豐銀董事長張兆順直接要求規畫需大破大立，並有較為具體的作法。於是，兆豐銀在今年初成立數位轉型小組，由陳國寶主持兩週一次的會議，並由總經理蔡永義全程參與督導，</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E9%99%B3%E5%9C%8B%E5%AF%B6_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>兆豐銀行資訊管理中心副總經理陳國寶表示，數位轉型得要業務單位、資訊單位、數金單位一起推動，才能夠做得好。</strong></span><span style="color:#808080;"><strong>（攝影／洪政偉）</strong></span></p> </td> </tr></tbody></table><p>包括資訊處、數金處、洗錢防制處、業務管理處、外匯營運處等各單位，通通都得出席。「主要是來梳理兆豐銀內部流程。」</p> <p>兆豐銀董事長更直接要求各個事業群得自行預估未來3到5年之後，各自的需求與願景，同時梳理出自己部門的作業流程，發現既有流程痛點。兆豐銀這個作法，等於是將數位轉型的範圍，擴及到銀行各個部門。陳國寶認為：「數位轉型得要業務單位、資訊單位、數金單位一起推動，才能做得好，不能只靠資訊、數金等單一單位。」</p> <p>找出各業務流程的痛點後，下一步，兆豐銀才找外部顧問看各痛點能用何方式解決，陳國寶提到，顧問案至少得花上半年到9個月時間，這個確定之後，兆豐銀才開始進行核心系統轉換。</p> <p><span style="font-size:28px;"><strong>核心系統轉換採新舊雙軌並行，8月上線核心系統讀寫分離</strong></span></p> <p>陳國寶進一步透露，兆豐銀的核心系統原則上是整套換掉，不過，採取建構與遷移（Build & Migrate）方式，逐步汰換系統，新的客戶資料匯入就用新系統，等到新系統穩定，再讓舊有顧客與業務也移動到新系統，透過新舊系統雙軌並行方式，來降低系統轉換的風險。「這時間會拉得很長，預估需要3到5年進行汰換。」</p> <p>他表示，今年初兆豐銀便開始進行核心系統的讀寫分離，目前如系統查詢已經移出，用戶大量的查詢需求，會從這份匯出的資料副本提供，而不是進到核心系統查詢。他提到，在架構的調整，必須先梳理出哪些是用戶最頻繁查詢的資料，再將這些資料抓到另一個地方。</p> <p>「盡量讓核心系統的壓力減輕，降低系統的負擔。」陳國寶透露，讀寫分離在今年8月即將上線。他更認為，這是銀行擁有快速反應能力的過程之一，而且是非做不可，雖有一點風險，可是資訊一定得持續往前走才行。</p> <p>這是兆豐銀核心系統現代化工程的第一步，陳國寶表示，下一個核心系統瘦身的目標是會計系統，以往會計是寫在核心系統裡面，且會計牽涉到所有交易，現在他們打算讓會計系統獨立出來，也將會是個大工程。</p> <p>陳國寶提到，除了核心系統轉換，兆豐銀在數位轉型還有兩大方向，其一是建置數據中臺，如何整理大數據應用在精準行銷，以及如何整合全部客戶資料在這平臺上，他坦言，目前兆豐銀還沒做好。不過，在現有大數據應用，則已有企業關係分析圖的作法，可透過曾在銀行有匯款記錄的客戶，得知其金流的上下游，藉此讓分行去開發新客戶。</p> <p>另一數位轉型方向是API，是銀行對外的通路。陳國寶坦言，目前對外的Open API，若有資安與資料外洩顧慮，兆豐銀會特別小心，現階段是做好API，也規畫導入API管理系統。在異業結盟與經營生態圈，他透露，近期兆豐銀的外匯營業處也正在跟關貿洽談，評估用區塊鏈取得關貿的倉儲提單與船運公司資料，讓銀行在放款給某位客戶時，能有真實提單資料作為評估。</p> <p>此外，陳國寶提到，兆豐銀2年前便開始將RPA應用在洗錢防制作業流程。目前，全行已用40～50個RPA，包括洗錢防制、信託、信用卡等業務，現在都靠RPA取代。他強調，導入RPA除了需有做流程自動化的IT人才，業務單位則必須擁有非常了解流程的商業分析師（BA），且這類角色更是越來越重要。</p> <p>除需具備足夠人才，更需訓練、傳承，趁著數位轉型時，保留這些知識。「知識傳承制度的好處是，即便人員換了，衝擊比較不會那麼大。」陳國寶認為，盡量用流程梳理，將工作流程、程式流程全部都記錄起來，留住專業的東西，此時，人這因素的重要性便可以稍微降低。這也是這名浸淫金融業35年之久的大將，最深刻的體會。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>兆豐銀行資訊管理中心副總經理陳國寶</strong></p> <p>學歷：政治大學高階經營班經營管理碩士</p> <p>經歷：在兆豐銀行擁有約35年豐富資歷，從資訊處辦事員做起，歷練過業務部、洛杉磯分行、國際金融部、財務部、金融市場交易管理中心等不同部處，2014年接任資訊處處長，2017年升任兆豐銀行資訊管理中心副總經理迄今，統領數位金融處、資訊處、資訊安全處共430人。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>兆豐國際商業銀行</strong></p> <p>● 成立時間：兆豐銀行是由中國商銀及交通銀行合併組成，兩家銀行於2006年8月21日合併。中國商銀改制民營前為「中國銀行」，成立為民國元年，其前身可溯至清光緒時期之戶部銀行及大清銀行。交通銀行創立於民國前5年</p> <p>● 主要業務：提供金融服務</p> <p>● 董事長：張兆順</p> <p>● 總經理：蔡永義</p> <p>● 年營收：2019年稅前淨利283億元</p> <p>● 資本額：逾850億元</p> <p>● 員工數：約6,700人（含海外分行）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中心檔案 </span></strong></span></p> <p>● 事業群名稱：資訊管理中心</p> <p>● 直屬主管：蔡永義</p> <p>● 事業群主管：陳國寶</p> <p>● 事業群分工：數位金融處、資訊處、資訊安全處</p> <p>● 單位人數：數位金融處、資訊處、資訊安全處共約430人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2012年：行動銀行App、電金業務作業風險關鍵指標作業系統、海外分行網路銀行、海外分行徵信管理系統上線</p> <p>● 2013年：美元清算財金外幣結算系統平臺、印鑑集中暨開戶影像管理系統、行動銀行外匯服務上線</p> <p>● 2014年：全球金融行動網、行動金融卡、跨境網路交易代收代付系統上線</p> <p>● 2015年：海外分行跨系統資料交換作業平臺、票交所即時線上扣款（eACH）、行動ATM、Bank3.0之12項線上交易服務上線</p> <p>● 2016年：臺幣數位存款帳戶、全球金融網跨網系統、FircoSoft黑名單掃描系統上線；大數據視覺化工具（TABLEAU）導入；進階持續攻擊(APT)偵測系統建置；與財付通合作跨境代收業務、網路代收平臺上線</p> <p>● 2017年：財金外幣代收（付）系統、行動理專App應用系統、供應鏈融資系統、ECP客服平臺應用系統、外幣代收付服務、HCE雲支付金融卡上線</p> <p>● 2018年：RPA建置；MegaBot迎賓機器人、台灣Pay QRCode支付、STM智慧櫃員機上線；Line BC、外幣數位存款帳戶、金融區塊鏈函證業務系統、行動銀行無卡提款、行動銀行指紋及臉部辨識快登服務、線上智能文字客服上線</p> <p>● 2019年：不動產線上即時鑑價系統、數位行為軌跡蒐集及分析系統、財管退休（財務）健檢系統、線上結匯網站改版（RWD）上線</p> <p>● 2020年：線上機器人理財系統、臺外幣現鈔兌換機建置、人臉辨識差勤打卡系統、新版官網、新版行動銀行App、新版網路銀行上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-chen_guo_bao_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="兆豐銀行資訊管理中心副總經理陳國寶。（攝影／洪政偉）" /></div></div></div>
2020/8/13 09:00作者李靜宜https://www.ithome.com.tw/people/139266
從一鍵購買看亞馬遜的金服攻略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0807-5glai_liao_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大塊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般人不太會把亞馬遜看成金融服務機構，但貝佐斯在亞馬遜創立之初，便曾經心生一計，奠定在金融界舉足輕重的基調。貝佐斯成立亞馬遜幾年後，就開始尋找支撐公司成長的方法。</p> <p>一九九七年初某一天，他在仔細思考電商常遇到的問題。很多購物者會在結帳的關卡直接放棄消費。貝佐斯發現，問題出在系統裡有太多阻礙。購物者必須停下來輸入信用卡資訊、帳單資訊和送貨地址，還要再三檢查，確認沒有填錯。那一年，貝佐斯成為「411號專利」的發明人，這項專利描述一套網路購物系統，而這套系統後來變成亞馬遜網站的「一鍵購買」（Buy now with 1-Click）按鈕。花了近六個月，以及三千五百小時的人力，這項功能在一九九七年九月上線。</p> <p>亞馬遜很快就發現，一鍵購買按鈕大幅提升消費者完成購物的機率。這套軟體讓購物者不必思考就能買東西，在網路零售掀起革命。購物者非常喜歡一鍵購物的便利性，所以亞馬遜的註冊會員人數開始快速增加，每年累積數百萬名新會員。一鍵購物按鈕大受歡迎，連邦諾書店都推出自己的版本，叫作「快速通道」（Express Lane），亞馬遜因此提出了專利侵權告訴。訴訟案後來在庭外和解，和解條件不對外公開。兩家公司和解以後，蘋果公司從亞馬遜取得授權，將一鍵購買按鈕的技術用於iTunes商店。</p> <p>除了吸引更多購物者，這項發明在亞馬遜的發展過程中，還扮演另一個較不明顯、卻同樣重要的角色：一鍵購買讓亞馬遜能儲存和蒐集個人的金融資料，包括信用卡號、地址，以及顧客花多少錢、買什麼和購物頻率。而且從事網路零售生意的亞馬遜，可以長期這麼做，因為這些顧客是永久註冊會員。雖然顧客用的是大銀行發出的信用卡，但亞馬遜能存取的金融資訊，來自一大群有錢又忠實的顧客。</p> <p><span style="font-size:28px;"><strong>針對平臺百萬獨立賣家發展借貸事業</strong></span></p> <p>亞馬遜不只掌握顧客的金融資訊，還有數百萬名在亞馬遜獨立賣家的資料。這件事代表，亞馬遜有發展借貸事業的大好機會。二○一一年，貝佐斯決定開始為這些小商家提供貸款，讓他們擁有成長需要的資金。這項計畫名為「亞馬遜借貸」，成為推動亞馬遜AI飛輪的另一項重要元素。如果小商家有擴張需要的資金，亞馬遜網站就能有更多商品，吸引更多顧客，進而吸引更多商家。</p> <p>借錢給信貸記錄不是很好的小公司風險很高，但亞馬遜設計演算法降低風險，演算法幾乎能即時掌握商家的銷售成長幅度、庫存周轉率和商品評價。如果那些指標數據開始停滯不前，或是負評數量開始增加，亞馬遜可以縮減賣家的信用額度。從借款人的角度來看，亞馬遜借貸不需要填寫冗長的表格，也不需要經過銀行經理的審核。突然有一天，賣家的亞馬遜帳戶頁面蹦出一個按鈕，問他們要不要借點錢。這顆由演算法掌控的按鈕，也有可能就那樣消失，讓需要借錢的賣家周轉不靈。</p> <p>就像亞馬遜的多數創舉，亞馬遜借貸剛開始發展很慢，後來大受歡迎。二○一一年至二○一五年，亞馬遜平均每年撥出約三億美元的小型企業貸款。接著貝佐斯開始大力推動亞馬遜借貸。到了二○一七年，亞馬遜的每年借貸金額攀升至十億美元。超過兩萬家在亞馬遜市集賣東西的小型企業─不只美國市場，還有英國和日本的賣家─向亞馬遜借錢。亞馬遜市集副總裁皮尤許．納哈（Peeyush Nahar）表示，亞馬遜希望將業務擴大到所有亞馬遜市集營運的地方，例如加拿大和法國。借貸金額從一千美元到七十五萬美元不等。賣家說利息可能高到百分之十二。納哈在新聞稿裡寫道：「小型企業在我們的DNA裡。亞馬遜為小型企業提供資金，幫助他們在關鍵的成長階段擴大存貨數量與經營規模。我們明白，小型貸款影響至深。」</p> <p>不難想像在不久的將來，亞馬遜有可能成為數位金融服務公司，提供支票帳戶、個人貸款、房貸，甚至保險。亞馬遜已經和摩根大通合作推出Visa信用卡了，而且正在擴大應用「亞馬遜支付」（Amazon Pay）。購物者可以用亞馬遜支付，向亞馬遜勢力範圍外的商家購買產品或服務。亞馬遜支付的運作方式很像PayPal、蘋果支付（Apple Pay）和Stripe支付，顧客用筆記型電腦或行動電話就能輕鬆付款。與Paypal的顧客數相比，亞馬遜的服務顧客人數很少，但是隨著亞馬遜尊榮會員發現，在其他地方用亞馬遜帳戶購物也很方便，例如加油站和餐廳，亞馬遜支付的成長速度正在加快。在此同時，有愈來愈多在亞馬遜賣東西的零售商使用亞馬遜支付，因為亞馬遜是個值得信任的名字。</p> <p><span style="font-size:28px;"><strong>成為金融巨擘的捷徑：找銀行合作</strong></span></p> <p>亞馬遜追求的商業模式，在許多方面與螞蟻金服雷同。螞蟻金服隸屬於阿里巴巴，經營約十億用戶的全球最大手機支付服務「支付寶」。螞蟻金服的業務已經擴大到信用評分、財富管理、保險與借貸，甚至設有貨幣市場基金「餘額寶」。餘額寶在二○一八年有兩千一百一十億美元的存款。二○一八年十月CB洞見的報告指出，螞蟻金服股票市值達一千五百億美元，比高盛、摩根士丹利、西班牙桑坦德銀行（Banco Santander）、加拿大皇家銀行（Royal Bank of Canada）的市值都還要高。</p> <p>亞馬遜很難打進中國的行動支付生意，因為螞蟻金服和擁有微信支付的騰訊，就掌握了百分之九十二的市場。但美國的行動支付系統發展比中國慢。研究機構電子行銷人指出，二○一八年，僅四分之一的美國智慧型手機用戶使用行動支付系統在商店買東西，而中國有七成九的人使用行動支付。亞馬遜只在美國與行動及線上支付龍頭業者較勁，對象為PayPal、Google支付服務、蘋果支付。</p> <p>對亞馬遜來說有個好消息，就是消費者似乎對網路銀行躍躍欲試。埃森哲顧問公司（Accenture）調查發現，全球消費者有七成會利用機器人理財顧問服務，來管理他們的銀行事務、保險和退休規劃。哈囉，Alexa，我的銀行戶頭餘額有多少？波士頓的貝恩管理顧問公司從調查中發現，年齡介於十八至二十四歲的美國人，將近四分之三表示，會從科技公司購買金融產品。同份調查指出，將錢的事交給科技公司，他們最信任亞馬遜─信任度超越蘋果和Google。</p> <p>成為金融巨擘的道路不會好走。舉例來說，要成為商業銀行，亞馬遜必須在美國海內外符合令人望之卻步的法令規定。比較有可能的情況是，亞馬遜會和一兩間大銀行合作，快速學到其中的竅門。二○一八年三月《華爾街日報》報導，亞馬遜與摩根大通、第一資本（Capital One）等銀行業者洽談合作，讓亞馬遜推出支票帳戶。在這樣的安排下，由於顧客的存款放在大型銀行業者那裡（非亞馬遜），所以電商龍頭亞馬遜不必受銀行法規的管控。亞馬遜將成為消費銀行的光亮數位門面，由傳統金融機構在後面做吃力的工作。</p> <p>根據貝恩公司在二○一八年的報告〈銀行業的亞馬遜時刻〉（Banking’s Amazon Moment）所描述，電子零售商亞馬遜除了向亞馬遜支票帳戶的合作銀行收取費用，還能直接從支票帳戶扣除顧客在亞馬遜網站購物的款項。如此一來，亞馬遜就不必再向信用卡公司支付高額費用。貝恩公司估計，光是美國一地，亞馬遜每年能省下超過兩億五千萬美元的信用卡手續費。貝恩公司預測，等電子零售商亞馬遜推出基本銀行服務，就「一定會逐步進軍其他金融產品，包括借貸、房貸、房地產、意外險、財富管理（從簡單的貨幣市場基金開始，持有更多資金）和壽險」。貝恩公司相信，到二○二○年代中期，亞馬遜會有七千萬名銀行顧客─媲美富國銀行（Wells Fargo）。<strong>（摘錄整理自第13章）</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書籍簡介 </span></strong></span></p> <p><strong>貝佐斯經濟學</strong></p> <p>布萊恩．杜曼（Brian Dumaine）著；趙盛慈／譯</p> <p>大塊出版</p> <p>售價：480元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>布萊恩．杜曼（Brian Dumaine）</strong></p> <p>任職《財星》雜誌特約編輯，是一位獲獎肯定的新聞工作者，尚著有《地球拯救計畫》（The Plot to Save the Planet），並與另外三位作者共同撰寫《深謀遠慮：為何長期思維是最棒的短期策略》（Go Long: Why Long-Term Thinking Is Your Best Short-Term Strategy）。</p> </div></div></div>
2020/8/13 09:00未署名https://www.ithome.com.tw/article/139268
【臺灣資安大會直擊】8大金融資安行動方案最大目的是超前做好資安規範，金管會接露更詳細作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安重視永遠不嫌多，但，資安需成本，怎樣尋求好的分際，讓業者願意做並獲好的後果，是主管機關需嘗試尋求的平衡。」金管會主委黃天牧在臺灣資安大會金融安全論壇致詞時道。金管會上週發布了「金融資安行動方案」，就是望能藉此提供各金融機構及公會，檢討資安策略、管理制度及防護技術等遵循的指引，強化金融業資安防護能力，進而建構安全的金融服務發展環境。</p> <p>除了黃天牧親自出席大會，給予開場致詞，強調金融業不管是維持營運穩定，或是發展新業務和商品，都需靠資安，金管會副主委暨資安長邱淑貞也出席論壇，並進一步說明整體金融資安行動方案的8大重點，凸顯了金融業主管機關對資安的重視。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/_200812%20(3).jpg" style="width: 600px; height: 420px;" /></p> <blockquote><p>金管會副主委邱淑貞</p> </blockquote> <p>金融資安行動方案第一個要做的是，型塑金融機構重視資安的組織文化。邱淑貞表示，需從董事會開始重視資安議題，把資安當作業務推動的基礎，讓資安成為整體銀行策略的一部分，而非只是一個技術。具體措施為，金管會將鼓勵金融機構遴聘具資安背景的董事、顧問或設置資安諮詢小組，增加專業人員參與董事會運作。</p> <p>就資安諮詢小組，邱淑貞提到，除了技術人員，還需有法務、公關等部門成員，使資安成為業務的一部分。並且，金管會將推動一定規模金融機構或純網銀，設置副總經理層級的資安長，統籌資安政策推動協調與資源調度。</p> <p>邱淑貞指出，金融機構不能抱持先搶市場，發生問題再收拾的態度，如此，不僅顧客不能接受，管理階層也不能接受，因為一旦發生資安問題，信譽受影響，後續要恢復信譽將會更加困難。</p> <p>因此，金管會第二項行動方案重點是，建議公會增修訂新興金融科技資安自律規範，納入行動App、雲端服務、開放銀行、Open API、物聯網、網路身分驗證及資訊服務供應鏈等技術或議題的風險評估。</p> <p>第三項是，系統化培育金融資安專業人才。邱淑貞表示，金管會除觀察到金融機構非常缺乏資安人才外，也不清楚自身資安需求所需的人才，需要受哪些訓練。金管會將協調周邊單位開設金融資安人才養成專班，與科技公司合作，充實師資及課程，透過產學合作、跨業合作，培育跨領域人才，並依據金融資安職能需求訂定人才培訓地圖。</p> <p>接著，鼓勵導入資安國際標準。邱淑貞提到，資安是國際語言，除監管部分要求與國際接軌，資安部分也需導入國際資安管理標準，她期許，未來臺灣金融機構獲得高資安評分。金管會鼓勵金融機構導入國際資安管理標準（ISMS），還有國際營運持續管理標準（BCM），並取得相關驗證，透過第三方獨立機構檢視管理制度及持續營運之有效性。</p> <p>第五點，資安情資分享與國際合作。目前金管會成立了由財金公司營運的F-ISAC，現階段有374家金融機構加入，而明年開始，該組織將以新的方式運作，改由會員付費並自主營運。邱淑貞說明，會員將自行設定營運目標，決定資訊的使用方式、分析深度，她認為，這將提升情資分享的效益。國際合作我們也會持續進行。同時，金管會將藉與其他國家金融資安機構交流合作，掌握國際金融資安情勢，共同對抗駭客。</p> <p>下一項，資安監控的部分。金管會鼓勵金融機構建置資安監控機制（SOC），及早發現異常行為，即時掌握資安風險。邱淑貞表示，過去，金融機構多被動面對資安問題，待問題發生後，再解決、處理，少有對業務進行資安監控的觀念，除了大型銀行，會透過大數據分析，事先偵測異常狀況，她分享，像是疫情期間，有銀行利用系統監控信用卡交易的異常情況，若海外刷卡頻率增加，會主動與客戶做確認。</p> <p>第七點，資安共享的資安應變機制。單一機構資源有其限制，因此，除了個別金融機構資安處理機制，金管會將從三個方向，推動資源共享的資安應變機制，分別是金控集團資源挹注旗下子公司，成立集團的應變小組，協助各子公司聯防，還有公會和周邊單位成立支援小組，協助業者快速掌握並回應資安問題，以及F-ISAC聯防。</p> <p>最後一項，落實復原應變運作機制。邱淑貞表示，各金融機構都有備援系統，但，時常問題發生時，卻不敢切換，她指出，就是因平時缺少演練，不清楚切換後，會發生什麼事情，導致需花時間才可復原業務。金管會將督導公會訂定災害應變運作、復原能力實證等作業韌性參考規範，作為業者遵循依據，並鼓勵金融機構於異地備援演練時，納入實際作業運作驗證。邱淑貞強調落實演練的重要性，她直言，不然，備援系統根本沒有很大的用處。</p> <p>金管會將以4年為期，分階段推動金融資安行動方案，同時每半年會檢討一次成果，來隨資安發展趨勢及實務運作情形，調整行動方案內容。邱淑貞也提到，針對各業別屬性、機構規模及業務風險等，金管會會採不同的資安要求，來推動該方案。文⊙黃郁芸</p> </div></div></div>
2020/8/13 09:13作者黃郁芸https://www.ithome.com.tw/news/139357
Google釋出資料格式轉換工具TFRecorder，解決模型訓練資料載入瓶頸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源了深度學習框架TensorFlow相關專案<a href="https://opensource.googleblog.com/2020/08/introducing-tensorflow-recorder.html">TFRecorder</a>，TFRecorder讓用戶利用幾行程式碼，就能夠創建基於圖像的TFRecords格式資料，以解決因資料載入瓶頸，所導致機器學習效能低落的問題。</p> <p>在訓練機器學習模型的時候，資料載入有時候會成為效能瓶頸，這是由於GPU或TPU加速器運算速度很快，但將資料載入到模型的速度相對較慢，因此造成GPU或TPU需要等待資料的狀況，而使得運算資源利用率不足。</p> <p>要解決資料載入瓶頸的方法之一，便是使用TFRecord檔案格式將資料儲存成為檔案集，每個檔案集包含了被序列化為二進位紀錄的Protocol Buffer序列，能夠被有效率地讀取。TFRecord格式透過預擷取的方式提高資料載入效能，也就是說，當模型正在執行訓練的時候，下一階段要用到的訓練資料，就已經先開始載入，這樣平行交錯的方式，系統可以同時讀取多個TFRecord分片，並且對這些資料串流進行預處理，以減少讀取訓練批次的延遲，對於需要透過網路讀取資料的情境特別有用。</p> <p>Google提到，雖然使用TFRecord格式能夠解決資料載入瓶頸問題，但是要產生TFRecord需要複雜的程序。過去，開發者為了要產生大量的TFRecord資料，需要編寫資料工作管線，以解析結構化資料，並從儲存裝置載入圖像，最終還要序列化結果為TFRecord格式，為此，Google開源釋出了TFRecorder來簡化格式轉換，讓用戶能夠將資料從Pandas資料框架或是CSV格式，簡單地產出TFRecord格式資料。</p> <p>TFRecorder目前還是有一些限制，TFRecorder可用格式有限，Google提到，他們之後希望可以擴展TFRecorder支援的格式。另外，TFRecorder有規模限制，雖然可以簡單地處理數千張圖像，但是要處理數百萬張圖像又是另一回事，為了解決規模問題，TFRecorder可以連接到Google雲端的Apache Beam服務Dataflow，以處理大量圖像應用。</p> </div></div></div>
2020/8/12 22:50作者李建興https://www.ithome.com.tw/news/139351
研究：駭客挾持Tor流量以竊取比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/@nusenu/how-malicious-tor-relays-are-exploiting-users-in-2020-part-i-1097575c0cac" target="_blank">一名代號為Nusenu的獨立安全研究人員在本周指出</a>，Tor網路中存在著大量的惡意出口節點，藉由SSL Strip中間人攻擊取得HTML流量，而且只在發現造訪目標為Bitcoin Mixer服務時發動攻擊，並將使用者所輸入的錢包位址置換成自己的。</p> <p>Tor網路是個開源的匿名傳輸架構，藉由3道加密程序與3個節點來傳送流量，這3個節點依序是入口節點、中繼節點與出口節點，從使用者端到出口節點之間的流量都是加密的，只有入口節點知道流量的來源，也只有出口節點知道流量的目的，且從出口節點到目標網站之間的連結並未加密。Tor網路上的節點是由志工組成，估計全球至少有7,000個節點。</p> <p>然而，Nusenu卻發現，由於Tor專案並未嚴格審核該網路上的節點，使得駭客得以部署惡意的出口節點，挾持使用者連至網站的流量，在今年5月下旬時，駭客控制了Tor網路上24%的出口流量，即便是在他提出警告之後，截至今年的8月8日，仍有超過10%的出口流量被駭客操縱。</p> <p>駭客只透過SSL Strip手法攻擊那些連向Bitcoin Mixer服務的流量，Bitcoin Mixer服務讓使用者把比特幣從一個錢包轉移到另一個錢包，但當中會先將比特幣打散，先傳輸到數以千計的臨時錢包，再轉移到目標錢包；SSL Strip指的是駭客介入了將HTTP流量變更為HTTPS流量的過程，移除了將HTTP流量重新定向為HTTPS流量的能力，讓駭客得以存取未加密的HTTP流量，置換Tor用戶所輸入的目標錢包位址，用偷天換日的方式盜走比特幣。</p> <p>Nusenu說，他在去年底就曾知會Tor專案，當時該專案原本要指派專人來改善此事，然而，隨著武漢肺炎（COVID-19）疫情的爆發，人力的裁減讓該計畫不了了之。</p> <p>由於最終連向Bitcoin Mixer服務網站的流量是採用HTTP協定，因此只要這些網站啟用HSTS（HTTP Strict Transport Security）或HTTPS Everywhere，都能避免相關的攻擊，但在Nusenu察覺攻擊行動的當下，並未有任何Bitcoin Mixer網站採行HSTS與HTTPS Everywhere政策。</p> </div></div></div>
2020/8/12 21:05作者陳曉莉https://www.ithome.com.tw/news/139355
受武漢肺炎疫情衝擊，臉書內容審查人力吃緊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書發布了最新2020年<a href="https://about.fb.com/news/2020/08/community-standards-enforcement-report-aug-2020/">第2季的社群守則執法報告（Community Standards Enforcement Report）</a>，仇恨言論主動偵測率上升了6％，處理的仇恨言論內容數量大幅提升，且得力於技術的改進，也提升了偵測恐怖主義內容的能力。不過，臉書也提到，因為許多內容審查人員受武漢肺炎（COVID-19）疫情影響，無法正常的工作，因此仍有一些領域的審查受到影響。</p> <p>臉書表示，在3月的時候，許多內容審查人員被迫待在家躲避疫情，臉書只好大量倚靠程式來審核內容，即便之後內容審查人員逐漸開始在家工作，也有少部分人員回到辦公室上班，但由於部分內容領域上，仍需要人工進行審查或是訓練模型，因此在疫情爆發時候受到衝擊，導致報告缺少了部分領域的數據。</p> <p>在自殺、自殘以及兒童剝削內容，臉書仍然非常倚重人工審查，並且需要人工改進主動發現與刪除違反政策內容的技術，因此在內容審查人員不足的情況下，在臉書與Instagram平臺上的自殺與自殘內容，還有Instagram上的未成年裸露與性剝削內容，整體處理的數量下降，臉書提到，他們目前僅能優先處理這些內容中最為嚴重的部分，並且努力在可行的範圍提升審查能量。</p> <p>儘管審查能力受疫情影響，但臉書仍透過提升偵測技術，提高了部分內容的偵測率，像是在仇恨言論部分，主動偵測率從原本的89％上升到了95％，共提高6％，臉書處理的仇恨內容數量，從第1季的960萬擴增到第2季的2,250萬，臉書提到，他們在第1季的時候，強化了西班牙文、阿拉伯文和印尼語的自動化技術，並且還改進了英文偵測技術，因此在第2季的時候，英文、西班牙文和緬文的內容偵測數量得以提升。</p> <p>主動偵測技術在英文和西班牙文的改進，也使Instagram的內容審核品質獲得提升，仇恨言論的主動偵測率從45％上升到84％，成長了39％，因此臉書處理的內容數量，也從第1季的80萬，上升到了330萬。另外，在恐怖主義內容的偵測上，由於技術改進與內容審核人員開始恢復工作，因此處理的貼文內容數量從630萬提升到第2季的870萬。</p> <p>而報告也顯示，臉書處理申訴的能力下降，即便用戶仍然可以對官方的處理提出上訴，但臉書僅能處理部分請求，另外，在這段時間，臉書只能先將重點放在移除有害內容上，沒有多餘的人力資源評估這些行動，因此在這季的報告中，缺乏對處理違反暴力政策的影像內容、成人裸露和性活動的行動評估，臉書計畫在第3季的報告，重新補上這些指標。</p> <p>臉書也正在改進內容政策，更具體的解決隱含仇恨的言論，像是描述黑臉扮裝的歧視內容，以及猶太人控制全世界的刻板印象等。臉書也預計會從2021年開始接受獨立第三方審核，以驗證社群守則執法報告中的數字。</p> </div></div></div>
2020/8/12 20:40作者李建興https://www.ithome.com.tw/news/139343
Scribd買下LinkedIn的SlideShare簡報分享服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的文件分享平臺<a href="https://blog.scribd.com/home/welcome-slideshare-to-the-scribd-community" target="_blank">Scribd在本周二（8/11）宣布</a>，已經買下LinkedIn旗下簡報分享服務SlideShare，雙方並未公布交易金額。</p> <p>Scribd除了提供公開的文件分享，也建立付費訂閱服務，內容涵蓋電子書、有聲書、播客、樂譜與雜誌等。迄今該站社群已上傳超過1億的文件，從學習指南、商業範本、學術報告到法院訴狀等，內容可說是五花八門，因而被譽為文件界的Netflix。</p> <p>至於SlideShare則是一個簡報與文件分享平臺，在2012年被LinkedIn買下，迄今已蒐集逾4,000萬份簡報，現在則由Scribd接手。</p> <p>Scribd共同創辦人暨執行長Trip Adler表示，收購SlideShare是Scribd邁向全球最大數位圖書館的重要一步，雖然SlideShare的內容已正式成為Scribd內容家族的一部份，但同樣也會保留在SlideShare.net與SlideShare行動程式上。</p> </div></div></div>
2020/8/12 20:50作者陳曉莉https://www.ithome.com.tw/news/139354
Google利用裝置上模型，助視障者辨認超級市場商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/07/on-device-supermarket-product.html">Google</a>發布了一個稱為Lookout的Android應用程式，利用電腦視覺為視障人士建立無障礙空間。當用戶將智慧型手機，對準超級市場貨架上的商品時，Lookout能夠即時辨識商品，並且大聲地唸出品牌名稱以及容量。</p> <p>Google提到，視障人士日常生活遇到的挑戰之一，便是在超級市場或是廚房中，辨識包裝食品，因為許多包裝食品使用一樣的容器，像是相同形狀大小的盒子和罐子，只是標籤上的文字和圖像不同。這樣的包裝增加了視障人士辨認商品的困難度，因此Google嘗試使用行動裝置與機器學習技術，來解決這樣的問題。</p> <p>由於近年來人工智慧的發展，裝置上的神經網路準確度大幅提升，再加上行動裝置的運算能力越來越好，因此不少電腦視覺的運算，已經可以在行動裝置上高效能地執行，Google表示，只要結合裝置索引技術，以及諸如MnasNet和MobileNets等裝置上模型，就能在行動裝置上開發完整的電腦視覺系統，即時辨識標籤。</p> <p>Lookout內含具裝置上產品索引的超級市場產品偵測和辨識模型，還有MediaPipe物件追蹤和光學字元辨識模型，研究人員特別設計結合兩者的架構，能夠有效率地在裝置上即時辨識商品。Google解釋，完全裝置上系統的優勢，是低延遲且不用依賴網路，但是這也代表，要商品辨識系統有用，裝置上的資料庫必須要良好地覆蓋產品範圍，其中包括根據用戶地理位置，動態選擇兩百萬種熱門商品。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-evIOqC7twgY/XyHbBfrwVeI/AAAAAAAAGSA/6fO0Q1txQvAkbhTtqc2o_-idvrLS9QnwgCLcBGAsYHQ/s400/image2.gif" style="width: 195px;" /></p> <p>但是傳統的電腦視覺產品辨識方法，仰賴比對部分圖像特徵來進行，這些沒有使用機器學習技術的方法，雖然能夠可靠地配對符合的圖像，但是索引圖像的儲存容量卻相當大，每張圖像大小約為10 KB到40 KB，要儲存200萬種商品是一個不小的數字，而且傳統方法對於處理照明不佳或是模糊的圖像，辨識能力並不好，Google還指出，僅使用部分圖像特徵也就代表了，索引圖像僅提供局部資訊，無法捕捉更全面的外觀。</p> <p>另一種方法，則是使用基於機器學習技術的光學字元辨識系統（OCR），以擷取產品包裝上的文字，但同樣會有索引文字檔過於龐大的問題，而Google最後則是選用了神經網路方法，替每個圖像產生全域特徵，大小僅有64位元組，由於大幅縮小索引容量，因此可以在索引添加更多產品，提升商品辨識的覆蓋範圍，使得用戶體驗更好。</p> <p>Lookout除了可以在超級市場中，辨識產品品牌以及容量之外，還能提供包括營養成分、過敏原等詳細產品資訊，附加用戶評價、產品比較和價格追蹤等額外資訊，Google提到，他們也還持續提升Lookout的功能，強化模型品質和強健性。</p> </div></div></div>
2020/8/12 21:00作者李建興https://www.ithome.com.tw/news/139350
Google提供歌詞被控違反著作權，遭法官駁回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>音樂資料庫網站Genius去年12月指稱Google OneBox所呈現的歌詞出自該站，侵犯了著作權，不過，美國聯邦法官認為，Genius並未握有歌詞的所有權，並無立場控告Google侵權，<a href="https://www.hollywoodreporter.com/thr-esq/google-beats-song-lyric-scraping-lawsuit-1306788" target="_blank">因而撤銷了該案</a>。</p> <p>Google OneBox為Google搜尋搜尋結果頁上的功能，它以非常簡潔的介面提供可能最符合搜尋關鍵字的結果，像是天氣、航班、包裏追蹤、電影時刻表或歌詞等，以讓使用者直接在搜尋結果的上方就能找到所需的答案。</p> <p>然而，Genius去年先向華爾街日報投訴，指稱該公司在Google OneBox看到由該站所建立的歌詞，因為Genius在所有的歌詞中都加上了浮水印。雖然Google已澄清Google OneBox中所呈現的歌詞，是付費向第三方供應商LyricFind取得，但Genius依然在隨後告上了法院，指控Google違反著作權法。</p> <p>不過，紐約聯邦法官Margo Brodie認為，就算Google OneBox中出現的歌詞的確源自Genius，但Genius對原版歌詞並沒有所有權，因此沒有立場控告Google侵犯著作權。</p> <p>先前Google的歌詞供應商LyricFind曾解釋，這些歌詞都是從Genius以外的網站爬梳而來，並非故意採用Genius的作品，而Google也已移除相關的歌詞。</p> </div></div></div>
2020/8/12 17:55作者陳曉莉https://www.ithome.com.tw/news/139352
TikTok暗中蒐集Android裝置識別資料長達一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TikTok陷入多事之秋。<a href="https://www.wsj.com/articles/tiktok-tracked-user-data-using-tactic-banned-by-google-11597176738?mod=e2tw" target="_blank">華爾街日報揭露</a>，TikTok在內的300多個App曾經違反Google政策，蒐集Android手機的MAC（media access control）位址資訊，直到去年11月才停止。</p> <p>華爾街日報一項針對Google Play Store上App的分析報告顯示，包括Tiktok等將近350款App，曾經蒐集Android用戶手機的MAC位址。</p> <p>MAC位址是標示裝置網卡的一組號碼，也是具高度識別性的資訊。蘋果App Store及Google Play Store都明訂禁止App蒐集裝置MAC位址資訊。因此這些App都是在違反Android政策下暗中蒐集資料，可能單純用以發送廣告，也可能為了追蹤用戶位置。</p> <p>報導指出，TikTok這項行為持續了一年多，直到美國政府壓力升高才終止。不過<a href="https://www.theverge.com/2020/8/11/21364017/tiktok-mac-address-collected-identifier-android-violation" target="_blank">TikTok表示</a>，其App經常因為各種安全挑戰而不斷更新，目前版本的TikTok並未蒐集MAC資訊，也鼓勵使用者下載使用最新版本。</p> <p>TikTok引發的隱私關切不只來自美國政府。法國資料主管機關<a href="https://techcrunch.com/2020/08/11/tiktok-is-being-investigated-by-frances-data-watchdog/" target="_blank">CNIL昨日也證實</a>，於5月針對這家中國短影片App廠商展開調查。起因是一名用戶接到TikTok刪除一則影片的要求訊息後，向CNIL提出投訴。CNIL遂將議題擴大為TikTok處理用戶資料的透明度、用戶資料存取、歐盟用戶境外資料之轉移，以及TikTok如何確保未成年人資料安全等面向。</p> <p>不過CNIL並未透露投訴內容和具體時間，但表示曾鼓勵該用戶行使GDPR的用戶權利。</p> <p>TikTok表示將全力配合調查。<a href="https://techcrunch.com/2020/08/06/tiktok-announces-first-data-center-in-europe/" target="_blank">TikTok上周宣布</a>將在愛爾蘭設立資料中心，專門儲存歐盟用戶的資料。</p> <p>目前TikTok面臨美國行政部門極大壓力，川普已宣布啟動封鎖，9月20日起美國企業將不得與TikTok母公司字節跳動（ByteDance）進行交易，也可能要求Google及蘋果將TikTok從其軟體市集下架。但<a href="https://www.ithome.com.tw/news/139298" target="_blank">字節跳動上周發表聲明</a>，表示將透過各種管道挑戰該行政命令。</p> </div></div></div>
2020/8/12 16:15作者林妍溱https://www.ithome.com.tw/news/139349
Google正著手利用Android手機來建立全球最大的地震偵測網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/earthquake-detection-and-alerts/" target="_blank">Google本周宣布</a>，該公司正利用分散在各地的Android手機，來建立全球最大的地震偵測網路，把Android手機上的加速器當作迷你地震儀，用戶只要加入Android地震警報系統（Android Earthquake Alerts System），就能傳送所在地區的地震訊號，也能在第一時間收到Google的地震警告。</p> <p>Google說明，地球上每天都有地震，而且有數十億人口居住在地震帶，然而，要在所有地震帶安裝地震儀的成本太高了，因而決定藉由Android平臺來協助地震的偵測。</p> <p>Android地震警報系統將成為Google行動服務（Google Mobile Services，GMS）的一部份，支援Android 5.0及以上的平臺。</p> <p>Android首席軟體工程師Marc Stogaitis解釋，所有的智慧型手機都配備了可感應地震訊號的加速器，當手機把訊號及發生震動的大略位置傳送到Google的地震偵測伺服器之後，伺服器即會集結眾多手機所傳遞的資訊來判斷地震的發生。</p> <p>Stogaitis說，Google基本上是在跟地震的蔓延速度競賽，幸運的是，手機近似光速的傳輸速度快過地震的傳遞，就算只是在地震發生的幾秒前送出警告，就能幫助人們尋找遮蔽物或提前作準備。</p> <p>Android地震警報系統除了可以用來輔助地震儀，或是替缺乏地震儀的地區提供地震警報之外，也能讓Google搜尋的地震查詢結果更為準確。該系統將率先應用在已安裝了逾700個地震儀的加州，並預計在未來的一年陸續擴充到更多的州別與國家。</p> </div></div></div>
2020/8/12 15:25作者陳曉莉https://www.ithome.com.tw/news/139345
微軟修補120個安全漏洞，當中有兩個已遭駭客開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在8月的Patch Tuesday修補了120個安全漏洞，當中有17個被列為重大（Critical）漏洞，還出現了兩個已遭駭客開採的零時差漏洞CVE-2020-1380與CVE-2020-1464。此外，從今年1到8月，微軟總計修補了862個安全漏洞，<a href="https://www.zerodayinitiative.com/blog/2020/8/11/the-august-2020-security-update-review" target="_blank">已經超越2019年全年的851個</a>。</p> <p>此次微軟所修補的安全漏洞涉及Windows、Edge、IE、ChakraCore、Microsoft Scripting Engine、SQL Server、.NET Framework、ASP.NET Core、Office、Windows Codecs Library與Microsoft Dynamics。</p> <p>在已被開採的零時差漏洞中，被列為重大等級的CVE-2020-1380，是個腳本引擎記憶體損毀漏洞，會在腳本引擎處理IE記憶體中的物件時被觸發，進而破壞記憶體並允許駭客以現有使用者的權限執行任意程式。該漏洞有許多開採途徑，包括代管一個惡意網站並誘導使用者造訪，或是在應用程式中嵌入一個標註為可安全初始化的ActiveX控制器，還是在合法網站上植入惡意內容或廣告，都能危害用戶系統。該漏洞波及所有平臺上的IE 11。</p> <p>CVE-2020-1464則是個Windows欺騙漏洞，會在Windows不適當地驗證檔案簽章時被觸發，成功開採將可繞過安全功能並載入未正確簽章的檔案，波及Windows 7、Windows 8、Windows 10與Windows Server等平臺，僅被列為重要（Important）等級。</p> <p>其它受到矚目的安全漏洞還有CVE-2020-1472，駭客可藉由Netlogon遠端協定（Netlogon Remote Protocol）來建立一個連結到網域控制器的安全通道，成功開採將可在該網域的裝置上執行特製的應用，雖然它只是個權限擴張漏洞，而非遠端程式執行漏洞，但卻被微軟歸類為重大漏洞。</p> <p>值得注意的是，<a href="https://support.microsoft.com/zh-tw/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc" target="_blank">微軟計畫分兩階段來修補CVE-2020-1472</a>，本周釋出的是第一階段的修補，下一階段的修補則會在明年第一季出爐。</p> <p>資安研究人員也<a href="https://threatpost.com/0-days-active-attack-bugs-patched-microsoft/158280/" target="_blank">奉勸使用者應優先修補CVE-2020-1046</a>，這是.NET框架的遠端程式攻擊漏洞，起因為該框架處理輸入不當，駭客必須上傳特製檔案到一個Web應用上，成功的開採將允許駭客接管系統，影響.NET Framework 2.0到.NET Framework 4.8。</p> </div></div></div>
2020/8/12 15:40作者陳曉莉https://www.ithome.com.tw/news/139346
晶片專利授權官司逆轉，法院：高通商業模式並不違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對美國政府控告高通手機晶片授權政策打壓對手的官司，<a href="https://pacer-documents.s3.amazonaws.com/3/19-16122/009132019519.pdf" target="_blank">美國第九上訴巡迴法院昨（11）日做出判決</a>，認定高通的專利授權政策並未造成打壓競爭的事實，也推翻了去年5月底由地方法院做出高通敗訴的判決。</p> <p><a href="https://www.ithome.com.tw/news/111263" target="_blank">這項官司是2017年美國聯邦交易委員會（FTC）對高通提出的控訴</a>。主要議題環繞在高通對CDMA及LTE晶片所設計的「沒授權，沒晶片（no license, no chips）」條款。這是指高通要求手機製造商（OEM）必須同意，當他們採用競爭者基頻處理器時，必須支付權利金給高通，如果他們不同意，高通就不供貨給手機廠商。FTC認為高通是利用其在行動數據晶片的獨大地位一方面超收權利金，另一方面也排擠對手，鞏固其壟斷地位。</p> <p><a href="https://www.ithome.com.tw/news/130836" target="_blank">去年5月聯邦地方法院判定高通敗訴</a>，並要求高通必須停止此類反競爭手段，不得要求手機製造商簽專利授權條款，並應在公平、合理、無歧視（FRAND）基礎上，授權給其他行動數據機晶片廠商。不過高通隨後上訴到巡迴法庭。</p> <p>在昨日的判決書中，法官指出，高通的專利授權條款是和OEM簽定，高通沒有義務授權給競爭晶片廠商；所謂高通違反了FRAND原則，是屬於合約專利法範疇，非反托拉斯法。其次，從FTC提出的證明，無法證明高通收取專利權利金及「沒授權、沒晶片」的條款對競爭者造成壟斷影響，高通的商業模式是「hypercompetitive」（過度競爭），但不是「anticompetitive」（反競爭），後者行為才是違法。</p> <p>另外，法官認為，蘋果和高通於2011到2013年簽定的獨家合約，並沒明顯打壓CDMA數據機晶片市場的競爭。另一方面，<a href="https://www.ithome.com.tw/news/130035" target="_blank">蘋果和高通已在去年4月達成和解</a>，雙方的合約也都終止。</p> <p>而去年4月兩大廠和解後，撤回了在各地的專利官司大戰，使本案某方面也失去意義。</p> <p><a href="https://www.nytimes.com/2020/08/11/technology/qualcomm-antitrust-appeal-ruling.html" target="_blank">紐約時報引述法界人士指出</a>，FTC仍然可以要求上訴法院法官重審判決，或上訴到最高法院，但兩者的成功機會都不高。</p> <p>報導指出，在高通議題上，FTC的立場和司法部等其他部門相左。支持高通的陣營認為，一旦維持地方法院判決，要求高通終止專利授權商業行為可能動搖其在晶片的獨大地位。而在進入5G年代的今天，若美國廠商無法維持獨大，將對美國國家安全有不良影響。</p> </div></div></div>
2020/8/12 15:05作者林妍溱https://www.ithome.com.tw/news/139344
【臺灣資安大會直擊】NCC：明年1月初將成立國家級通訊軟體安全實驗室，聚焦4大5G網路資安議題，更要建DevSecOp…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣在7月第一家5G開臺後，不到一個月內，國內4家電信業者都推出5G服務，僅剩一家也將於第三季開臺。在今天（8/12）臺灣資安大會一場5G資安的演講上，NCC委員孫雅麗透露，明年1月初將成立國家級通訊軟體領域安全實驗室，提供給5G網路業者，與第三方服務商來使用，可以將5G相關軟體送測，確保其安全性，未來還將聚焦4大5G網路資安議題，更要建DevSecOps與安全分析檢測兩大平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/line_164964751914866.jpg" style="width: 600px; height: 400px;" /></p> <p>有別於4G網路，5G採用新架構設計全新電信網路架構，對於電信業者來說，雖然在整體網路運營及服務提供上，帶來更靈活彈性的網路調度與管理方式，但也將以往企業資料中心網路架構存在的資安風險，一併帶進5G網路環境。尤其，未來很多5G服務與功能，都變成是軟體化架構，或以虛擬化方式提供網路服務，也帶來新的資安風險與威脅。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0238.JPG" style="width: 600px; height: 330px;" /></p> <p>有鑒於5G資安對國家數位發展的重要性，孫雅麗也預告，NCC之後將會成立一個國家級通訊軟體領域安全實驗室，提供給5G網路業者，與第三方服務提供者來利用，來補足業者在5G軟體安全檢測能力的不足，若是以後這些業者對使用軟體本身有安全性疑慮，就能將該軟體送交到實驗室來測試，藉由實驗室檢測，以確保其5G網路安全、可靠且具韌性，該實驗室預計明年1月1日正式啟用。</p> <p>她表示，未來這個實驗室，將聚焦4大議題與兩大平臺。其中4大議題，依序是強化5G相關軟體系統與應用程式的安全性，並要建立軟體更新的安全管理機制，以及提供安全可信賴的5G網路供應鏈管理，最後則是加強對於用戶隱私保護的政策、制度、相關技術與防護措施。</p> <p>再者，該實驗室還要建置兩大平臺，其中一個是5G安全軟體整合暨開發程序的平臺，也就是要將資安導入開發流程之中，做到DevSecOps，以及還有一個平臺是軟體系統資通安全分析及檢測平臺。更會有三大產出，除了有相關測試結果，會提供業者參考外，未來還將提供5G網路軟體系統建置與營運安全管理的參考框架、指引文件與機制，並會協助業者提高資安防護能量與能力，此外，除了提供檢測之外，也會有相關驗證的服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0213.JPG" style="width: 600px; height: 321px;" /></p> <p>除了要成立國家級5G通訊軟體安全實驗室，其實早在5G開臺前，NCC就有依規定要求5G電信業者於開臺前，須提交資通安全維護計畫，說明對資通安全防護的整體規劃及架構，確保其5G系統是安全、可信賴，並且須經過NCC審議通過後，才准許業者開始布建5G。這份資通安全維護計畫，主要包括5G系統的資通安全防護政策、目標、範圍、措施等時程、人力與資源配置、流程管理、風險評估及設置等事項。</p> <p>孫雅麗表示，由於這是不同過去3G、4G的作法，因此，一開始，當她看到電信業者提交的計畫書後，連自己也嚇了一跳，「只用能慘來形容」她坦言，這些電信業者，雖然對於5G建設很積極，但是對於5G資安議題卻不是那麼清楚。後來，NCC先在這份計畫書中框列了17個項目，要求業者確實落實執行，再搭配自述方式，了解他們會如何做好資安防護，另外還設計出一個參考框架，讓這些業者可以很快聚焦到須關注的重要5G資安議題上。</p> <p>她也提到5G網路圍繞的8大資安議題，包括有軟體開發與品質控管、軟體更新安全、供應鏈安全管理、資安落實OT、MEC邊緣運算、隱私保護，以及5G專網。除了不要用到禁止的網路設備軟硬體外，她特別強調，5G業者也須做到透明度，來完善供應鏈安全管理，另外，她也提醒，電信或服務業者需謹慎使用開源軟體，在使用前須檢查其安全性，確認沒問題才用。</p> <p>又以5G專網為例，即使將網路從5G電信商搬到企業家裡，一樣會有資安風險，舉例來說，當以後工廠生產流程，都是透過5G專網做訊息傳遞與機臺控制，也同樣會有資安問題，例如駭客可能透過訊號干擾方式，而阻斷5G訊號傳遞，，嚴重可能導製整座工廠產線受牽連，生產延遲後果，容易造成財產上損失。</p> </div></div></div>
2020/8/12 13:42作者余至浩https://www.ithome.com.tw/news/139340
Mozilla裁員250人，關閉臺北辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到武漢肺炎（COVID-19）衝擊，<a href="https://blog.mozilla.org/wp-content/uploads/2020/08/Message-to-Employees-Change-in-Difficult-Times.pdf" target="_blank">Mozilla昨日宣布</a>強化能加速獲利的產品策略，以及裁減近250名人力，包括關閉臺北的辦公室。</p> <p>Mozilla執行長Mitchell Baker指出，從武漢肺炎爆發之前，公司就已計畫多項變革，包括加速創新提升Firefox產品價值、調整財務支出，並啟動停止招募、減少福利津貼及取消All-Hands大會等立即措施，但是肺炎爆發之後這些已經不夠了，Mozilla需要更大刀闊斧的變更，包括裁員。</p> <p><a href="https://www.ithome.com.tw/news/135396" target="_blank">繼今年1月裁員70人之後</a>，Baker宣布將再裁減近250個職位，包括關閉位於臺北的營運。此外還有60人左右將調動職位。被裁員的人將可獲得今年度剩餘工作日數的薪水， 2020年上半的紅利以及轉職協助等資源。</p> <p>Mozilla臺北辦公室<a href="https://www.ithome.com.tw/news/120796" target="_blank">曾在2018年初裁員70人</a>，目前員工數在40人左右。</p> <p>此外Baker表示，未來Mozilla產品開發也將更著重透過差異化的使用者體驗，推動Firefox瀏覽器成長，而減少對開發工具、內部工具及平臺功能開發的投資。</p> <p>另一方面Mozilla將成立Firefox以外的新產品部門，以創造新營收。初步投資包括書籤Pocket、VR會議室Hubs、<a href="https://www.ithome.com.tw/news/138337" target="_blank">VPN</a>、Web Assembly，新部門也將接管現有的安全與隱私產品。此外還會成立設計及UX團隊，以及新的機器學習部門以便為產品加入ML功能。</p> <p>其他計畫包括集中行銷資源於Firefox及新產品，以及除了產品支援及開發人員關係外，將更著重產品開發、科技、法律及學術機構的社群經營。</p> <p>Firefox原本是第二大瀏覽器，不過今年已被微軟Chromium Edge 追過，根據市調服務<a href="https://netmarketshare.com/?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222019-08%22%2C%22dateEnd%22%3A%222020-07%22%2C%22segments%22%3A%22-1000%22%7D" target="_blank">Net Applications的數據</a>，目前市占僅剩7.36%。另一方面，Mozilla近年試圖開發Firefox以外的產品，包括物聯網裝置作業系統FirefoxOS，不過成效不彰，導致<a href="https://www.ithome.com.tw/news/111660" target="_blank">2017年Mozilla裁減</a>了相關部門的50名員工。<a href="https://www.theverge.com/2020/8/11/21363424/mozilla-layoffs-quarter-staff-250-people-new-revenue-focus" target="_blank">今年初Mozilla表示</a>全球員工數約為750人。</p> </div></div></div>
2020/8/12 11:25作者林妍溱https://www.ithome.com.tw/news/139339
Google Maps終於支援蘋果CarPlay儀表板模式的分割畫面了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/new-ways-get-around-google-maps-ios/" target="_blank">Google於本周宣布</a>，Google Maps將開始支援蘋果車載iOS系統CarPlay的儀表板模式（CarPlay Dashboard），能在螢幕上同時檢視導航功能與音樂播放畫面，並讓Google Maps重新支援Apple Watch。</p> <p>蘋果是在2014年隨著iOS 7.1的釋出發表CarPlay，在汽車上安裝CarPlay將可直接與iPhone互動，並內建電話、音樂、地圖、傳訊、有聲書及播客等蘋果功能，雖然允許第三方的程式進駐，但蘋果一直到2018年發表的iOS12，才開始讓CarPlay支援第三方的導航系統，繼之在去年釋出的iOS13新增了多工的儀表板模式，但當時僅限Apple Maps使用，一直到今年3月釋出的 iOS 13.4，才允許第三方的地圖程式採用儀表板模式。</p> <p>在還沒有儀表板模式之前，不管是Apple Maps或Google Maps都必須在全螢幕的狀態下使用，因此，車主若要操作音樂或播客等服務，必須切換到另一個螢幕，而儀表板模式則採用了分割的畫面，讓車主在同一個螢幕上能夠檢視地圖，也能操作音樂功能。</p> <p>Google表示，現在Google Maps將可在全球所有安裝CarPlay的汽車上，使用儀表板模式。</p> <p>至於Google Maps早期就曾支援Apple Watch，但2017年因為Apple Watch平台上第三方程式的使用率太低，而造成大量程式的出走潮，其中也包括Google Maps在內，現在Google則決定讓Google Maps重返Apple Watch。</p> <p>不過，在手錶上的Google Maps功能很陽春且力求方便，它讓使用者儲存常用地點，或是其它指定的捷徑，然後提供一步步的導航功能，並估計到達時間。對於其它的地點，Google則建議使用者可先在手機上設定，之後再透過手錶導航。</p> <p>Google Maps on CarPlay Dashboard的功能，將會隨著iOS本周的更新而出爐，至於支援Apple Watch的Google Maps，則會在未來幾周釋出。</p> </div></div></div>
2020/8/12 10:25作者陳曉莉https://www.ithome.com.tw/news/139337
睽違兩年半主要版本更新，官方竟釋出沒有新功能的React 17！？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>官方發布了最新<a href="https://reactjs.org/blog/2020/08/10/react-v17-rc.html">React 17</a>候選版，距離上個主要版本React 16已經有兩年半，但是經過這麼長的時間，官方卻推延所有新功能，為的是將焦點擺在改善React本身版本升級上，從React 17開始支援漸進式升級，也就是說，開發者未來將可以對應用程式進行部分升級，而不用一次升級整個應用程式使用的React 版本。</p> <p>React 17並非一般的升級版本，因為沒有添加任何給開發人員的新功能，官方提到，React 17是應用程式升級到未來React版本的墊腳石，使React能夠安全地將React樹，嵌入到另一個版本的React樹中，而這將是他們推廣React的關鍵戰略。過去React升級必須採取全有或是全無策略，開發人員必須要選擇，將整個應用程式升級使用React新版本，或是不升級繼續使用舊版本，沒有部分升級的選項。</p> <p>不過，全有全無升級策略限制了React本身的發展，官方提到，當部分API變更，像是過時淘汰的上下文API，即便現在大部分應用程式都不再使用這個API，但是React還是必須提供支援，官方面臨做選擇，不是無限期地在React中繼續支援，要不就不在新的React支援，讓這些應用程式只能使用舊版React，但官方認為這兩個選項都不好。</p> <p>因此官方決定在React中支援逐步更新，當應用程式要從React 15升級到16，或是即將要把React 16的應用程式升級到17版，開發者會一次升級整個應用程式，官方提到，這樣的方式適用於大部分的應用程式，但是對於那些有一點年紀，且沒有被積極維護的應用程式，升級面臨的挑戰可能很大，過去儘管在頁面上可以同時使用兩個版本的React，但是仍然容易故障，可能會有事件處理上的問題。</p> <p>在React 17中，官方已經解決了許多相關的問題，而這代表未來當開發者要將React 17應用程式，升級到React 18或是更高版本時，將會有更多選擇，除了跟像過去一次升級整個應用程式之外，未來也能選擇一次僅升級一部分，保留React 17上諸如延遲載入對話或是子路由等功能。</p> <p>React開始提供逐步升級功能，這不代表鼓勵開發者就要逐步更新應用程式，官方提到，一次完整升級應用程式仍然是最好的解決方案，載入兩個版本的React，即便其中一個是按需載入，都並非理想的方法，但是對於不受積極維護的大型應用程式，逐步升級是可以考慮的升級方法，React 17能讓這些應用程式不落伍。</p> <p>為了要在React中支援漸進式更新，官方對React事件系統進行了一些更改（下圖），由於這些更改可能使部分應用程式故障，因此官方將React 17訂為主要版本，不過，事實上這個版本僅變更了React超過10萬個元件中的不到20個，因此官方認為大部分的應用程式都能夠順利升級，而為了要降低升級的難度，因此官方也把所有本來要加入的新功能都延後，確保應用程式能夠更簡單地升級到React 17中，官方提到，如果連要升級到React 17都很困難了，漸進式更新也終將失敗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/react_17_delegation(1).png" style="width: 580px;" /></p> </div></div></div>
2020/8/12 10:45作者李建興https://www.ithome.com.tw/news/139327
AWS更新ETL服務推Glue 2.0，作業啟動速度是前一代的10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新其ETL（Extract、Transform、Load）服務釋出<a href="https://aws.amazon.com/tw/blogs/aws/aws-glue-version-2-0-featuring-10x-faster-job-start-times-and-1-minute-minimum-billing-duration/">AWS Glue 2.0</a>，能夠執行Spark ETL作業，啟動時間較前一代還要快10倍，最小計費時間更短，可被靈活地用來處理互動性高的工作負載。目前AWS Glue 2.0已經在美東、歐洲、亞太、中東和南美各區上線。</p> <p>AWS Glue是一項無伺服器ETL服務，使用者無需配置或是管理主機，能夠簡單地準備和載入需要分析的資料。最新的Glue服務，主打能快速啟動的Spark ETL作業，啟動速度是前一代的10倍，官方提到，啟動等待時間減少，可以降低整體作業時間，而且透過腳本開發和資料探索，能良好地支援微批次、高互動性的工作負載，並提升生產力。</p> <p>除此之外，AWS Glue 2.0的Spark作業能以每秒計費，而且還降低了最小計費時間，從原本最少計費時間10分鐘降到了1分鐘，如此用戶能夠以更划算的價格，將AWS Glue靈活地用來處理較小且互動性高的工作負載。</p> <p>AWS提到，因為AWS Glue 2.0的啟動作業速度更快，用戶能夠更可靠地執行SLA資料工作管線，並且使資料探索和實驗更具互動性。另外，AWS Glue 2.0還有一項新功能，能讓用戶從Wheel檔案或是儲存庫中，安裝Python模組。</p> </div></div></div>
2020/8/12 10:45作者李建興https://www.ithome.com.tw/news/139328
【臺灣資安大會直擊】針對中油5月初遭受勒索病毒攻擊，奧義智慧共同創辦人推敲更全面的事件樣貌，點出駭客精心策畫的作案過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年年初的延燒武漢肺炎疫情之下，導致全球的情勢產生大幅變化，許多資安活動被迫中斷或是改以線上舉辦。首度移師南港展覽館2館的2020 Cybersec臺灣資安大會，在8月11日如期登場，針對臺灣企業接連發生的目標式勒索攻擊事件，也成為第1天開場Keynote熱門議題。其中，奧義智慧共同創辦人邱銘彰便針對5月4日中油發生的勒索病毒攻擊事件，推測其中可能發生的過程。</p> <p>他們藉著5月上旬，有1家遇到類似攻擊的企業，因發現惡意程式與中華電信公布的Hash值相同，而請奧義協助鑑識的過程，邱銘彰從中他們找出可能的跡證，再加上法務部調查局與中華電信公開的資料，來進行事件過程的串聯。雖然奧義沒有直接參與中油事件的調查，但是這次依據取得的疑似同一起攻擊事件受害企業資料，來對於整個發生過程進行推敲，仍然相當有參考價值。</p> <p>臺灣今年上半發生的目標式勒索攻擊事件，可說是時有所聞，其中又以5月4日中油因遭到勒索病毒攻擊，導致民眾到加油站只能使用自助加油機，開始引發民心不安，甚至調查局也罕見於同月15日<a href="https://www.ithome.com.tw/news/137659">透過新聞稿</a>，針對5月初一系列針對重要能源產業和高科技公司的勒索軟體攻擊事故，發表他們的調查結果，表示是中國駭客組織Winnti Group，或者是與其關係密切的組織所為，並強調發動攻擊的駭客也鎖定另外10家企業，只是還沒有爆發，要這些企業及早防範。</p> <p>邱銘彰認為，從調查局新聞稿所透露的訊息，可以看到這起事件幾個值得留意的地方，首先，勒索病毒是從網域伺服器透過群組原則（GPO）進行派送，這顯然不是一般的勒索病毒的感染行為，因為，病毒不會自行先找到網域伺服器才進行散布，邱銘彰由此推斷，這不是單純的勒索軟體攻擊事件。</p> <p>再者，從中華電信的<a href="https://hisecure.hinet.net/secureinfo/popup.php?cert_id=HiNet-2020-0046">資安通報</a>中，所列出的C&C中繼站資訊，他認為此次發動攻擊的惡意程式僅有2個，不應該存在那麼多中繼站伺服器。</p> <p>不過，光是從調查局和中華電信所揭露的資料，還是難以進一步分析。正好有一家企業因為遭受勒索軟體攻擊，而找上奧義來進行鑑識，這家企業特別引起他們注意的原因，是因為尋求鑑識的動機：該企業發現有個惡意程式的Hash值，竟與上述中華電信公布的資料符合。</p> <p>雖然有了這一個新的線索，但是因為這家委託的公司在勒索軟體攻擊爆發後，已將大多數的電腦重灌，導致事後調查極度困難，所幸邱銘彰他們發現，網管的電腦仍然保留在事故發生後的狀態，並未重灌處理，因此就從這臺電腦著手進行調查。</p> <h2><strong>駭客早於一周前有所行動</strong></h2> <p>結果發現，這臺電腦仍然與C&C中繼站，分別是64.64.234[.]24，及104.233.224[.]227通訊，奧義便利用該電腦殘存的證據，進行分析，他們找到駭客最早4月26日23時48分開始有所動作，駭客經由排程派送惡意程式到網管的電腦，並執行qwin5.exe和dewm.exe。邱銘彰推測，駭客其實早就在這間受害企業裡面潛伏，並且已經取得高權限，只是在等待時機，因為一旦發動攻擊就有可能觸發企業的警報，導致攻擊工具因為企業重灌而消失。</p> <p>由於5月20日是總統的就職大典，駭客挑選4月底下手的時間點也相當吻合。因此，邱銘彰指出這是精心策畫的攻擊事件。</p> <p>在派送惡意程式到網管電腦後，4月27日凌晨1時1分，駭客又在這臺電腦植入後門程式CDPSSVC.DLL。不過，從駭客執行的指令來看，其中使用的批次檔install.bat，邱銘彰初步從這個檔名判斷，這起攻擊事件與APT10（Cloud Hopper）有關。</p> <p>然後，駭客在5月4日和5日之間，在不同受害企業，按下勒索軟體攻擊的按鈕。邱銘彰說，當駭客凌晨發出指令，下達派送新的GPO內容之後，這些公司裡的電腦，一旦使用者登入，GPO規則也隨之更新，載入勒索軟體工具，就進入到電腦裡面，這是由PowerShell編寫而成的工具。雖然這些惡意程式在電腦一早開機就植入，但是直到12點10分才開始加密檔案。為何駭客要挑選在中午下手？邱銘彰認為，中午午餐時段是使用者最鬆懈的時間之一。</p> <p>邱銘彰猜測，當員工發現電腦遭受攻擊之後，接下來就是IT人員全部召回，進行一連串的電腦重灌。不過，由於這次駭客使用的2隻惡意程式裡，第1隻發動攻擊的並沒有勒索訊息，因此邱銘彰認為，駭客的目的是要讓企業難堪，造成民生與經濟的重創，要求贖金應該不是真正的動機。</p> <p>從上述的分析結果，邱銘彰推測整起事件發生的過程：駭客在4月26日開始活動，並具在隔日凌晨第1次安裝後門程式，接著在4月29日，又再度安裝後門程式。為何駭客要這麼做？邱銘彰說，很有可能是駭客第1次安裝之後，進行與C&C中繼站連線測試發現配置有誤，而在隔了2天後重新安裝了新的後門程式，這個程式的檔案名稱與前一個相同，但Hash值不同。</p> <p>直到5月4日，中油加油站開始傳出無法正常運作的情況，但邱銘彰說，事實上從5月4日到6日，還有其他企業也開始遭到攻擊。相同的是，駭客都是半夜更新GPO，早上電腦套用後，中午檔案就被加密。</p> <h2><strong>背後發動攻擊的組織，僅能確定與中國有高度關連</strong></h2> <p>為何邱銘彰認為背後可能發動攻擊的駭客組織，與調查局點名的Winnti Group有所不同？邱銘彰提出另一項證據，他找出C&C中繼站的IP位址，位於中國陝西，是一家購物網站「賺錢貓」所屬網域。他也透過自家分析系統的人工智慧引擎，將這些中繼站資料與過往的文獻進行比對，發現相關的特徵與APT10攻擊手法比較接近。至於會有這樣的結果，邱銘彰表示，他後來找到2016年有一些研究報告指出，這2個駭客組織存在合作關係，會共享攻擊的工具，Winnti Group有時候也會使用APT10的工具。</p> <p>雖然分析結果有所不同，但假如邱銘彰找到的報告所述為真，硬是要區別由那個駭客組織所發動，其實相當困難。事實上，調查局的新聞稿也沒有一口咬定就是Winnti Group所為，他們指出也有可能是其他與這個組織有關的駭客。因此即使結果上有所差異，但可以肯定的是，這起針對臺灣多家企業發動的目標式勒索攻擊，基本上應該與中國有極大的關連。</p> <p>但比起攻擊來源，邱銘彰強調，企業不應該只有看到後面的勒索軟體攻擊，因為那往往是駭客作案完成，進行毀屍滅跡的破壞行為。他認為企業要留意的是，這起事件中駭客從開始有所行動，中間有10天左右的時間，假如企業能夠察覺，或許就能阻止勒索軟體發動攻擊。</p> </div></div></div>
2020/8/12 09:27作者周峻佑https://www.ithome.com.tw/news/139336
【臺灣資安大會直擊】純網銀資安如何實現縱深防禦部署策略？將來銀行資訊長周旺暾揭露關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣即將迎來3家純網路銀行，不能設立實體分行，完全靠數位通路提供金融服務的純網銀，資安是系統建置的關鍵要素之一。可以從零開始，在全無既有系統包袱下，如何將資安原生植入到銀行資訊架構中，將來銀行資訊長周旺暾今天（8/11）在臺灣資安大會，揭露了純網銀的縱深防禦部署策略，</p> <p>一開場，周旺暾先提出資訊安全市場的6大迷思，從零開始的純網銀正可以打破這些迷思，來實現更積極的資安作為。</p> <p>第一大迷思，資訊安全是資訊處的責任。周旺暾提到，資安絕對不是資訊單位單方面的責任，但是，即便是純網銀這樣新的銀行，也面臨這樣的文化挑戰；所以，得由資訊處帶頭做，花更多力氣跟各單位溝通，讓全公司了解資安是所有人的責任。</p> <p>另一個普遍迷思是，企業以為採購最新、最好、最貴的資安設備，就可以阻擋大多數的駭客。不過，周旺暾觀察到，大部分的資安人員只是想證明自己沒有責任，才選擇了貴的資安設備，不敢買太便宜的產品以免出事。</p> <p>將來銀行內部在討論資安架構時更發現，很多人都誤以為，只要有防火牆加上一套妥善的VPN，就可以讓通訊變得安全。周旺暾提到，「這是徹底錯誤的觀念」，VPN就像是一把鑰匙，只是用來把關是否持有正確帳號密碼或認證的存取，但它並沒有真正實際確認登入者是誰。這是第三個迷思</p> <p>一旦進入了銀行的VPN環境後，等於打開了內部所有網路。他解釋，假設一名系統管理者透過VPN登入需要保護的系統，一旦他登入桌面後，其實整個網路是全通。換句話說，病毒或駭客也可以從背地透過這通路，讓駭客程式也跟著爬過去。周旺暾強調，VPN從來不安全，只是像一把鑰匙開啟需要的身分，問題是有無第三者在監看。</p> <p>周旺暾表示，從銀行角度來看，完全不能接受這樣的狀況發生，所以，純網銀只能用VPN來確認確認身分、確認識別，還得有第二道防線，來確保VPN如何被使用，來進行約束和監控，比如有無駭客私底下默默從VPN爬進去，都是需要監控的地方。</p> <p>第四件迷思，企業認為，員工定期教育訓練是面對社交工程最好的方法。不過，他提到，這樣還不夠，不只要做好教育訓練，讓員工至少不要犯低級的錯誤，而資安人員還需思考，萬一企業內部員工不小心點進惡意連結，企業下一道防線要如何設計，把攻擊行為阻斷。</p> <p>另一點迷思是資安工作就是落實內稽內控，周旺暾提到，目前主管機關還是把大部分力量花在內稽內控，雖然這很重要，但不能只有做到這件事情。第六點是管理問題，他提到，所有人都認為被駭客入侵是資安人員的怠惰。可是，當發生事情時，所有人都想盡辦法舉出各種證明自己有善盡管理責任，但沒有人在認真解決問題，而是在想如何讓自己的責任到此為止。</p> <p>不過，他強調，真正要做的資安是，顧客把身家財產交給銀行，而銀行是否真正確保顧客不會被挾持。若碰到機房發生挾持事件，將來銀行必須做到駭客拿不走任何資料，另外是5分鐘之內要重啟整家銀行，但不付贖金。</p> <h3><span style="color:#0000FF;"><strong>資安防護得先了解駭客行為來進行防堵</strong></span></h3> <p>「資安工作真正的對手，不是會計師與查核人員，而是對企業有興趣的駭客。」周旺暾認為，得從駭客角度著手，充分了解駭客行為的每個過程中，找出防堵的作法。</p> <p>駭客APT攻擊大致分為6道步驟：偵察、入侵提升權限、命令與控制（C&C）、橫向移動、找到目標、破壞。他表示，大部分系統的基礎資安只做第一道防線，就是設立防火牆，把VPN設在防火牆上面，將內部機器裝上防毒軟體就結束了。</p> <p>但是，周旺暾提到，第一道防線很容易被駭客攻下，而設計在第一道防火牆後面、第二道防火牆前面的非戰區（Demilitarized Zone，DMZ），就是隨時可能被攻下，同時企業也要在這隨時奪回主控權的地方。但是，很多企業的DMZ是空白的，直接從第一道防火牆打穿到第二道防火牆，中間什麼都不留。</p> <p>他表示，非戰區越長，表示企業跟駭客拉鋸的空間越大，應該是讓駭客掉進DMZ後，抓到他再把他打出去。整個系統的設計，「非戰區要有非戰區的價值，成為企業跟駭客攻防的主要戰場，而不是單純僅有此區域而無所作為。」</p> <p>周旺暾進一步指出，其實，駭客進來系統的每一個動作，都會有特別的反應。假設，駭客進入DMZ，第一件事會去提升權限，想辦法取得這臺機器主控權，才能植入程式往下一步走。提升權限後，就會去掃描周邊環境，試著探索其他機器，慢慢一路打下去。</p> <p>周旺暾提到，駭客這些動作其實有跡可循，當駭客開始探索周邊機器時，會有奇怪的特權帳號被提升、或是莫名產生新的帳號、被植入新的程式、還有開始掃描周邊網路探索其他可能性。當登入錯誤的訊息突然變多時，資安人員要非常緊張了，代表已經有人在內部展開橫向探索。他建議，資安人員得在系統內部找到特徵，趕快把有問題機器找出來，讓機器下線或是把機器控制權收回來。</p> <h3><strong><span style="color:#0000FF;">企業從發現到消滅駭客的時間必須縮短</span></strong></h3> <p>周旺暾表示，銀行應該要做到積極的資安，目標是防堵駭客的攻擊，而非只是修補掃描程式發現的漏洞。他也認為，教育訓練是提高到全民資安的手段，而非只是例行公事。另外是，倘若企業員工誤觸惡意連結，資安人員也要有本事攔阻，就算攔不下來，病毒發作時也能及時看到並直接阻斷。所以，得設立許多感測器在環境中，來追蹤哪些機器有奇怪的行為。</p> <p>不過，天下沒有攻不破的城池，即便資安做得再完整仍有可能被攻破。他表示，目標得在最短時間消滅敵人，從駭客發動攻擊，企業發現駭客，到消滅敵人的時間都必須要縮短。</p> <p>另外是最重要的客戶的交易與資料，要保存在銀行最深處，且在遙遠的一方有一個即時的複本。周旺暾提到，複本目的是一旦其中一個機房決定棄守，另一個機房可以在短時間內開起來，持續提供服務給顧客。</p> <p>他表示，將來銀行在資安的佈局上，不單只要考慮資安設備、資安手段，還得考慮銀行在做這件事，能達到何種成果。這時，基礎架構團隊、資安團隊就會一起合作，設計出對銀行有意義的系統，他們也總結出了3大原則。</p> <h3><strong><span style="color:#0000FF;">將來銀行資安佈局三大原則</span></strong></h3> <p>第一原則是，零信任工作環境。周旺暾解釋，銀行行員的工作環境是不可被信任的，所以，只要電腦要操作交易或是顧客個資等機敏資料的處理，都必須經過跳板到另一個安全的環境工作，不會在行員的個人電腦完成。</p> <p>另外是，所有機敏資料都無法下載到個人電腦，因為機敏資料永遠不能離開資料中心，得要完全進行隔離，即便行員也無法取得顧客的個資清單。如此一來，他表示，便能讓駭客的社交工程停留在行員的個人電腦，沒有機會爬進資料中心。而這樣的設計，還有一個好處，一旦在行員的個人電腦發生任何狀況，資安人員能直接收走電腦，鑑識駭客如何駭入。</p> <p>第二個原則是，除了縱深防禦，將來銀行更多做了橫向隔離。周旺暾解釋，讓所有應用系統之間看不到彼此，只能透過API溝通，就像航空母艦一樣的隔離設計，即便其中一個船艙被雨雷打到破了洞，被海水灌滿之外，整艘船仍能正常運行。他提到，在設計目標上，是希望假設每個應用系統一旦不小心遭感染時，可以直接把該應用區直接下線，換一套新的上來。</p> <p>比如說，假設HR系統或會計系統被攻擊，就只會在這個區域被感染；也因為所有應用程式與資料全部虛擬化，所以，只要將虛擬機離線即可，在最短時間內重新部署一套全新的系統。周旺暾提到，將來銀行完全不用實體機，因為部署時間太長，所以，採用百分之百虛擬化環境，可以在機房隨時開通一套新系統，光是現在進行核心系統測試，就開通了好幾套。</p> <p>同時，在縱深防禦與橫向隔離的架構中，要考慮到非戰區（DMZ）的價值，以及讓系統與系統之間互相不被感染，以及災損如何在最短時間內控制。</p> <p>周旺暾透露，將來銀行會營運一套的7x24的資安戰情中心，因為駭客進來的時間，都不是銀行想像的，全世界駭客可能從不同時區來攻擊。「既然純網銀是24小時營運，就要24小時監控。」他強調，得監控每一臺機器奇怪的行為。目的是讓監控發生效果，同時，在設計架構時也考慮到如何讓事件快速跳出。</p> <p>比如，只要發生任何提升權限的事件，就會馬上發出紅色警戒，前提是不能發出假訊號。所以，在系統設計上，沒有任何管理工作靠特殊權限完成，也就是日常性的維護，不管是備份、帳號設定、資料轉移，都不用最高權限，而是一個權限只能做一個事情。</p> <p>「當整個機房沒有特權帳號存在時，任何一個特權帳號被提升起來，或是一個使用者被賦予特權帳號時，就是紅色警戒，因為它不應該出現。」周旺暾強調，用這方法能快速鎖定真正的異常。</p> <p>除了24小時防禦，將來銀行也會透過AI輔助偵測異常。預計先讓AI學習系統的網路環境、連線方式，再用這套模型回來偵測未來的環境，就可以很快發現差異。</p> <p>周旺暾提到，將來銀行資安防護的目標是，系統即便被攻擊，也要能在最短時間內修復，最好是能在非戰區解決所有戰爭。更採取雙中心制，主要是作為異地備援，他指出，兩邊中心權限完全隔離，不共用權限，所有登入都要分開，程式碼也是兩邊同時部署。透過這方式，讓兩個中心雖然對稱，但是權限完全不為被複製或感染，其中一個中心才能發揮備援的效果。他更透露，開業之後會考慮規劃建置第三中心。文⊙李靜宜</p> <p> </p> </div></div></div>
2020/8/12 01:49作者李靜宜https://www.ithome.com.tw/news/139333
【2020年臺灣資安大會直擊】：38家醫院遭勒索攻擊情資共享200家提高警覺，衛福部下一步要用醫院評鑑帶動更多醫院加入…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「去年8月29日，臺灣有38家醫院受到WannaCry勒索病毒威脅。」衛福部關鍵基礎設施資安工作推動專案辦公室主任范仲玫指出，當時，受到攻擊的醫院即時通報威脅狀況，這關鍵的一步讓衛福部和其他醫院掌握情資，才能在短時間內控制，未造成太大的影響。這個資安情資共享的機制，還可歸功於衛福部3年前開始推動的醫療資安政策。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">醫療資安首要任務：聯防機制建立情資共享</span></span></strong></p> <p>這項政策可分為五大面向，首要就是強化聯防機制。聯防機制指的是情資分享（ISAC）、緊急應變處理（CERT）和聯合監控（SOC），透過醫院在訊資安分享與分析平臺（H-ISAC）上通報資安事件，來給OT風險評估輔助系統、情資及弱點資料庫等分析，再回饋給醫院。</p> <p>最初，衛福部先要求關鍵基礎設施（Critical Infrastructure，簡稱CI）醫院加入衛福部建置的H-ISAC，只要發生資安事件，就得通報。國內CI醫院共有64家，非CI醫院則有400多家，目前加入聯防機制的則有49家。<br /> 而H-ISAC上線已滿兩年，范仲玫指出，衛福部也於去年開始推動資安通報機制，「目前加入情資交換的醫院有200多家，」而去年WannaCry勒索病毒事件，就是這200家中的38家來通報。</p> <p>除了H-ISAC，衛福部去年也完成了H-CERT的建置，目前還在累積實際運作經驗。至於SOC，則預計今年底完成系統建置，並正式上線使用。</p> <p>衛福部其他的醫療資安政策，還包括辦理資安課程、舉行資安演練、完成法遵事項，以及擴大實施規模等。她指出，辦理資安課程是要由上而下，從資安長開始營造資安管理共識，此外也要培養醫院內部的稽核人才；至於資安演練，則是要擴大規模，將非CI醫院也納入演練中。</p> <p>而法遵部分，則是要訂定CI醫院的資安稽核計畫，一方面也協助醫院評鑑執行相關資安要求；此外，衛福部也計畫擴大H-ISAC會員招募範圍，將醫療資安產業鏈的相關廠商也納入其中，甚至要加入美國的H-ISAC會員。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">衛福部籲：落實OT生命周期的資安管理</span></span></strong></p> <p>范仲玫指出，醫院要提高資安防護，還得從醫療儀器（OT）、第三方驗證和系統委外管理著手。首先，醫院越來越多醫療儀器能夠聯網、傳輸數據，雖然便利，卻也成為資安隱憂。為防止這個問題，她建議醫療院所在購買醫療儀器時，先查驗該醫療器材上市前、後，是否具有資安認證、符合相關規範，「雖然資訊安全現在只是參考指引，未來會是必備的項目。」</p> <p>不只如此，醫院對於OT的資安控管，也要有一套生命周期管理流程。她指出，首先是採購的資安評估，再來是交機驗收，包括資安防護資訊的登錄、防毒軟體安裝和硬碟備份等。第三步則是教育訓練，比如如何處理、判斷異常狀況，接著是維護保養，像是人員授權、軟體安全性更新和資安異常管理等。</p> <p>下一步則是風險管理，「醫院得定期到現場盤點資安狀況，進行紅隊演練等。」最後，醫院該淘汰資安風險較高的老舊設備。</p> <p>另一個保障醫療資安的做法，則是第三方驗證。范仲玫指出，由於推行電子病歷的關係，衛福部一直以來要求醫院須通過ISO 27001等第三方資安驗證，但她建議，醫院應逐步將所有核心系統也導入ISO 27001或CNS 27001等驗證，來確保資料安全性。</p> <p>然而，不只是OT和系統要做好資安管理，「系統委外也需完善的管理。」比如醫院委外的資訊廠商，應具備完善的管理系統或第三方驗證，此外，「醫院也應定期稽核。」</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">下一步：調整醫院評鑑來鼓勵加入聯防機制</span></span></strong></p> <p>范仲玫坦言，光靠資安法難以推動全面的醫療聯防和資安防護，衛福部打算在醫院評鑑制度中，納入相關資安要求，來吸引醫療院所加入聯防機制、分享情資。此外，衛福部也計畫逐步要求醫療資訊業者，具備資安防護措施，或能說明防護機制，來降低醫院資安風險。文◎王若樸</p> <p> </p> <div id="gtx-trans" style="position: absolute; left: 772px; top: 83px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2020/8/12 02:36作者王若樸https://www.ithome.com.tw/news/139335
【臺灣資安大會直擊】中華電信揭露本土DDoS攻擊最新災情數據，7月攻擊近4千次，最高流量達75Gbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道每個月有多少DDoS攻擊事件在臺灣發生嗎？中華電信今天（8/11）在臺灣資安大會揭露，近幾個月DDoS攻擊數據，HiNet今年7月攻擊次數近4千次，最大攻擊流量高達75Gbps。</p> <p>中華電信以今年5至7月間，其防護或觀察到的DDoS攻擊數據，作為此次分享的焦點，並以兩個面向來分析，分別是旗下DDoS防護服務的進階防護區，以及HiNet接取網路部分。首先，就DDoS進階防護區的部分，5月份時，中華電信就阻擋了369次的攻擊，6月時阻擋749次攻擊，而7月份則大為減少，與前一個月相比，攻擊次數減少逾7成，降至165次。單看7月份DDoS防護區的攻擊狀況，單次最大攻擊流量達71.2 Gbps，相比前一個月68.6 Gbps的流量，增加3.7%。</p> <p>而HiNet接取網路的部分（非DDoS進階防護區），也就是中華電信可看到的所有DDoS攻擊，5月份時，一共觀測到3844次攻擊。中華電信數據通信分公司資訊處資安產品與技術顧問組組長吳明峰表示，這個數字非常可觀，相當於每日平均發生數百次的攻擊事件。6月時，中華電信觀測到的攻擊數更達4312次，到了上個月，攻擊數則稍微減少，下降了8.7%，但，其仍觀測到3935次，將近4千次的攻擊。其中，7月份單次最大攻擊流量達75 Gbps，相比前一個月47.9 Gbps的流量，增加了56.5%。</p> <p>吳明峰進一步分享兩面向遭受到的DDoS攻擊類型。不管是DDoS進階防護區，或是HiNet接取網路的部分，5至7月間遭受的主要攻擊類型，皆為異常流量。吳明峰指出，現在的駭客很少使用單一方式，進行攻擊。</p> <p>接著，以產業別受DDoS攻擊的影響來看。DDoS攻擊防護區內受攻擊的對象，6月份時，以金融保險業和貿易銷售業為主，分別占60.7%和 17.9%，接續則是資訊通信、百貨超商等產業，而7月份被駭客盯上的產業，一樣是金融保險業和貿易銷售業，不過接續的產業則有變化，除了資訊通信業外，製造業、服務業等取代了百貨超商業，成為受DDoS攻擊的主要對象。</p> <p>HiNet接取網路的部分，6月份，DDoS主要攻擊對象除了金融保險業外，另一個則是資訊通信產業，分別占44.2%和32.6%，接著是製造業、電信業等，且7月份的主要攻擊對象同樣是金融保險業和資訊通信產業，不過，資訊通信占42.9%，高過了金融保險35.7%的占比，成為最主要的攻擊對象。</p> <p>吳明峰表示，DDoS攻擊從2013年開始，規模越來越大，至今已過7年仍持續發生，未有消退的現象，他進一步道，代表該攻擊是有用的，且可持續影響企業整體營運。</p> <h3><strong>惡意連線在北市和臺東存活時間最短，約存活7天</strong></h3> <p>另外，吳明峰還揭露中華電信用情資掌握的惡意連線事件分析數據，來勾勒惡意連線的輪廓。4到6月份間，全臺各地遭惡意連線的企業數超過3.1萬家，且各縣市企業受惡意活動連線的數量，與縣市內的企業數量成正比關係。</p> <p>其中，臺北市占28.5%居冠，其次是臺中市，占15.1%，接著是，新北市、桃園市、高雄市、臺南市、新竹縣市、彰化縣市，他們是惡意活動連線企業數量的前八大縣市。吳明峰表示，這些縣市內的企業數本身就較多，惡意連線活動也就相對較高。而惡意連線活動的存活天數，以臺北市和臺東縣市的存活時間為最短，約為7天，南投縣市的存活天數則最長，存活長達約11天。</p> <p>以產業別來看惡意網站連線的狀況，批發零售業遭受感染的企業數量最高，超過1萬家，占近4成，再來是製造業，有6,766家企業受感染，占21.82%，接著是，營造工程業占6.27%、不動產業占6.15%，還有專業科學及技術服務占5.04%，相當於1,562家企業受惡意連線威脅。</p> <p>除了DDoS攻擊、惡意連線活動外，吳明峰也點出今年企業應注意的其他主流資安威脅，包含了勒索軟體、AI攻擊技術、IoT裝置漏洞、網路釣魚、關鍵基礎設施網絡攻擊等，並向企業提出因應資安風險的建議。</p> <p>他建議企業採用美國NIST網路安全框架（CSF）作為資訊安全的基準。企業可從CSF的五大防護構面：辨識、保護、偵測、回應和復原，來快速找到方向，將內部有限的資源，充分運用在需要優先強化的地方。</p> <p>此外，他還建議企業運用零信任策略，建構資安防禦體系。零信任模式可區分為三個核心概念，首先，不論資源的地點，都需確保存取方式是安全的；其次，採用最低權限的策略，嚴格實施存取控制，包含系統分區隔離、特權帳號管理等；第三，則是檢測與記錄所有的流量，像是端點資料外洩防護與監控。文◎黃郁芸</p> </div></div></div>
2020/8/11 23:55作者黃郁芸https://www.ithome.com.tw/news/139330
【臺灣資安大會直擊】調查局完整揭露中油、台塑遭勒索軟體攻擊事件調查結果，駭客集團入侵途徑大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年5月4號，法務部調查局獲報，中油、台塑內部系統遭不明人士植入勒索病毒，儲存的檔案均無法開啟，營運受到嚴重影響。當時，調查局迅速成立專案小組來偵辦這起案件，也在獲報的10天之後，就揭露了初步清查的結果，同時對國內其他企業提出6大建議，要企業檢查內部系統來降低被駭風險。也因駭客攻擊後，留下後門程式連往境外中繼站，也就是位於美國境內的雲端主機，因此，調查局也透過國際合作管道，請美國檢察單位協助查案。</p> <p dir="ltr">由於中油、台塑屬於臺灣的關鍵基礎設施，已經涉及國家安全問題，因此，這兩起同一組織所為的資安攻擊事件，由調查局主動介入偵辦，而法務部調查局資通安全處處長吳富梅，今天在臺灣資安大會中，更完整揭露這起事件的調查經過。</p> <p dir="ltr">吳富梅指出，其實中油最早在2016年4月，電腦就被執行了惡意程式，意味著駭客可能在當時就已經取得了主機的控制權，而台塑最早也在2018年9月，就已經被入侵。在首次入侵之後，駭客也持續展開攻擊，去年9月，駭客更提權並利用PsExec遠端管理工具，連線到中油內部系統，台塑則是在去年4月被取得特權帳號，來遠端登入AD伺服器。這類瞄準目標、長時間潛伏來鋪陳下一階段攻擊的手法，就是進階持續性威脅（APT）攻擊的類型。</p> <p dir="ltr">根據調查局偵辦的結果，在這起攻擊事件中，駭客首先從Web伺服器、員工電腦等途徑，入侵公司系統長期潛伏及探測，而後竊取帳號權限，進入AD伺服器，利用凌晨時段竄改群組派送原則（GPO），同時預埋lc.tmp惡意程式到內部伺服器中，等到員工上班打開電腦後，電腦立即套用遭竄改的GPO，依據指令就會自動將勒索軟體載到記憶體中來執行。最後，檔案加密成功，再顯示勒索訊息及聯絡電子信箱，向企業勒索贖金。</p> <p>而調查局也以掌握的後門程式、中繼站的IP及網域名稱等資訊，研判該駭客組織為Winnti Group，或與該組織具密切關聯的駭客。</p> <h3 dir="ltr"><span style="color:#FF8C00;">調查局成立專責單位來防堵假訊息、偵辦敵對勢力資訊戰攻擊</span></h3> <p dir="ltr">調查局從1999年成立電腦偵辦科以來，就開始依據刑法36條規範的妨害電腦使用罪，來偵辦電腦犯罪。不過，由於境外網路攻擊越來越多，甚至連假訊息，都已經成為資訊戰攻擊手法，因此，調查局在108年8月成立了假訊息防治中心，於選舉及武漢肺炎疫情期間追查假訊息來源，今年4月更成立了資安工作站，希望透過專責的組織單位，針對網路駭侵案件，或是危及國安、社安的假訊息案件來偵辦，發揮主動防禦的功能。</p> <p dir="ltr">不只偵辦案件，調查局也負責資安情資蒐報的工作，並同步分享情資給國家資安資訊分享與分析中心（N-ISAC），與各領域的ISAC，以及國家關鍵基礎設施提供者，來進行跨領域的資安威脅與訊息交流。吳富梅表示，希望透過情資分享，來提升各機關、企業的資安防禦意識，進而達成更全面的資安防護。</p> <p dir="ltr">吳富梅也觀察，近年來，境外敵對勢力的威脅增加，當今資訊戰的手法，已經不是單純竊取機密資料、破壞關鍵基礎建設的網路戰，也不是單純利用輿論、社群媒體來散播不實訊息的認知戰，而是將兩者結合來發動攻擊，比如駭入具影響力的網站平臺、取得使用權限，再來散播假訊息、帶風向等作法。</p> <p dir="ltr">而且，資訊戰的攻擊手法也更加複雜，從調查局偵辦的案件類型來看，大致可分為情報戰、心理戰、電子戰、駭客戰等四大手法，但複合式的攻擊已經越來越多，再加上駭客匿蹤手法更先進，這對調查局來說，辦案上面臨很大考驗，對於數位國土防禦的情勢，也就更加嚴峻。</p> <p dir="ltr">因此，調查局除了成立專責資安工作團隊來偵辦相關案件，也鼓勵團隊成員精進自身技術能力、考取專業證照，不只如此，還要教導民眾辨假、識假、打假，為國家資安防禦貢獻一己之力，「因為假訊息防治不能只靠偵辦案件，還需要提升民眾意識，全民一起努力，」吳富梅說。</p> </div></div></div>
2020/8/12 01:17作者翁芊儒https://www.ithome.com.tw/news/139331
【臺灣資安大會直擊】為對抗量子電腦攻擊手法，後量子加密PQC演算法有望變成未來全球加密與數位簽章新標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於量子電腦技術，近年來發展越來越成熟，也對於現行加密機制帶來挑戰，臺大數學系兼任助理教授陳君明就明白表示，現今一些虛擬貨幣、自然人憑證常使用的加密機制，如RSA、ECC等，以後很多都不再能用，就算用了，也很快就會被擁有超高算力的量子電腦攻擊手法破解，進而產生資安威脅。</p> <p>陳君明過去在密碼學、破密學、後量子密碼學研究方面很有經驗，更是一家專做硬體密碼模組的資安科技公司董事長，在業界實務經驗十分豐富。</p> <p>一般來說，現今的密碼系統，大致上可分為對稱密碼與公鑰密碼兩類。前者如手機硬體加密，或是網路HTTPS加密通道經常使用的AES加密演算法，就是這一類，另外不少提款卡、金融卡，和銀行系統也都有採用類似對稱加密系統。後者，則以RSA、ECC與DHKE為代表，例如比特幣等虛擬貨幣就是採用ECC（橢圓曲線加密演算法）做為它的數位簽章機制，又如內政部的自然人憑證，則使用RSA加密，以此來確認使用者身分。</p> <p>陳君明也以更簡單易懂的方式，來說明兩者的差異。他形容，對稱密碼就像是保險箱，不論放或拿出文件，都只能用同樣或對稱鑰匙（加解密）才能打開鎖頭拿走裡面的文件。反之，公鑰密碼則像是信箱，任何人都能把信（透過公鑰）放進信箱，但只有信箱主人，才有鑰匙（私鑰）打開信箱來收信，看到信裡的內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0164.JPG" /></p> <p>一直以來，不論是採用對稱密碼，或公鑰密碼加密，使用上都相當安全，駭客就算想要破解也很難，以公鑰密碼系統為例，一個RSA 1024非對稱加密，其公鑰是1024位元大整數，透過質因數分解，即使用最快的演算法來解出私鑰，以現在的電腦架構來說，單一核心來做計算，至少要花上3千萬年才能解開。</p> <p>但他直言，未來一旦量子電腦成熟後，現今密碼系統，就可能會快速被破解。「尤其，對公鑰密碼系統的衝擊最大，甚至有可能帶來毀滅性的影響。」他進一步說明，量子電腦的厲害之處，在於很會解高難度的計算難題，舉例來說，當用它解質因數分解或離散對數等的計算問題時，效果就完勝現今的電腦，因此量子計算很適合用來破解公鑰密碼系統。如RSA等。</p> <p>近幾年，在IBM、英特爾、Google等硬體、科技大廠相繼投入下，也加快量子電腦發展腳步，不只將量子位元（qubit）的數量，一舉提高到最多72個，至今也有商用量子電腦，可提供多達53個量子位元。當量子位元數量持續增長，並被駭客拿來用於密碼系統的破解，也將對公鑰密碼系統造成威脅，</p> <p>甚至先前曾有專家就提出警告，在2026年，以量子電腦來破解現有公鑰系統，每7次只會有一次成功，但到了2031年，機率將提高到二分之一。</p> <p>儘管，距離量子破密的日子還有段時間，但為了提早因應，現在也有一些可用來對抗量子電腦攻擊的作法出現，其中又以後量子密碼系統（PQC, Post-Quantum Cryptography ）最受囑目。</p> <p>相比其他作法，他提到，使用PQC系統有兩個好處，一個是建置與研發成本較低，可以直接用於現行的電腦與系統之中，另一個則是能納入使用公鑰加密技術的數位簽章機制。</p> <p>為了要能夠與量子電腦攻擊相抗衡，PQC本身也融合多領域密碼知識，包括編碼密碼、網格密碼、多變化密碼、雜湊密碼，以及超奇異橢圓曲線同源密碼等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0169.JPG" /></p> <p>現在，也有一些國家正在制定新標準，就是要用來對抗未來量子電腦攻擊。像是曾制定出AES和DES加密標準的美國標準與科技研究院（NIST），早從幾年前就在著手進行PQC的國家標準制定。在歷經3年制定，前一陣子，NIST更公布了進入決選的7個PQC演算法，其中有4個是加解密演算法，分別為Classic McEliece、CRYSTALS-KYBER、NTRU、SABER，其餘三個是數位簽章，則有CRYSTALS-DILITHIUM、FALCON、Rainbow。未來將從這裡面選出加解密與數位簽章標準，成為美國對抗量子電腦攻擊的新標準。</p> <p>陳君明估計大約一年到一年半後，新標準就會確定，未來一旦制定成美國國家標準，這些標準很快就會成為國際標準，在全球通用，屆時，將會取代現有的公鑰密碼系統，這也意味著，將大大的衝擊到現在這些使用公鑰密碼加解密的服務及應用，如比特幣等，未來就需要替換成採用PQC當作新標準的數位簽章。</p> </div></div></div>
2020/8/12 03:49作者余至浩https://www.ithome.com.tw/news/139334
【臺灣資安大會直擊】首屆智慧臺灣安全展亮相，從智慧製造、工控到物聯網，實機展示資安防護應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>邁入第六個年頭的2020臺灣資安大會，於8月11日正式展開，今年是首次移師到場地更大的於南港展覽二館進行，現場除了上百場、12大主題的資安專業論壇，並集結250家以上國際大廠，這次展場上的臺灣資安館與智慧臺灣安全展，也是這場大會的主要焦點之一。</p> <p>由iThome與經濟部共同主辦的第三屆「臺灣資安館」，這次以資安自主研發為題，展現近40個臺灣資安品牌，不只強調安全、安心的臺灣資安技術實力，讓政府和企業更了解臺灣資安業者的實力，更希望能一同促進我國的產業推動發展。</p> <p>首次舉辦的「智慧臺灣安全展」，是這場大會的全新重點，特別以實機現場展示的方式，讓外界能一睹臺灣在專業領域資安防護應用的能量。</p> <p>具體而言，這次智慧臺灣安全展共有四大領域，涵蓋臺灣產業正積極發展的智慧製造、智慧醫療，以及資安議題備受關切的工業控制與物聯網等場域，並透過五大實機展示，以展現不同場域的資安防護應用成果。</p> <h2><strong>以實機呈現智慧製造、工業控制、物聯網與智慧醫療等場域的資安防護應用成果</strong></h2> <p>在智慧製造方面，我們可以看到展區設置了工業4.0產線架構與機械製造手臂，在現場展示的情境中，當設備遭駭客入侵，資安分析畫面將能即時警告並進行防護。</p> <p>走入智慧製造的場景中，多支機械手臂不停地在產線上工作，吸引與會眾人的目光，這裡主要展示的是產線上的資安。具體而言，該場景是設有3支機械手臂與其機聯網環境，儼然就是一個迷你的生產線，而這條產線上正運作生產手機支架的動作。</p> <p>為了展示資安防護，現場假設的攻擊情境，是產線上的第二支機械手臂會因攻擊而做出奇怪的動作，而這樣的行為，可以被資安防護系統偵測到，我們從產線旁椰棗科技提供的的資安分析畫面，將能看到該系統能夠發出警告，他們並表示，即使要做到防護也是可行，雖然實際場景遭遇的攻擊並不會如此簡單，這次主要用一個例子，來展現國內在智慧製造的資安威脅，同時也展現我國正發展的資安防護能量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）智慧臺灣安全展R0243233s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243233s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）智慧臺灣安全展R0243237s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243237s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在智慧製造的場景中，產線上的機器手臂正進行手機支架產品製作的工作。而</span>在模擬的攻擊中，產線中的第二支機器手臂會突然遭受攻擊而做出原有排程之外的舉動。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1C）智慧臺灣安全展R0243286s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961C%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243286s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>2020臺灣資安大會於8月10日正式展開，現場多項資安議程之外，展區中的「臺灣資安館」與「智慧臺灣安全展」是大會重點之一，其中首度舉行的智慧臺灣安全館，更是以實機展示臺灣在場域的資安能量，總統蔡英文也在本屆大會上現場參觀這五大實機展示。</p> </blockquote> <p>在工控場域方面，展示了水廠與電廠的安全。對於關鍵基礎設施的資安防護，已是近年不斷強調的重點，在這次智慧臺灣安全展上，與會者相當難得有機會能一睹這類系統的模擬實景。</p> <p>關於工控水廠安全的部分，去年的臺灣資安大會上，資策會資安所就曾談及建構工控資安測試平臺（Testbed）實驗場域，並透露他們在2019年7月將建置化工水位串級控制流程Test bed，因此去年他們就已經打造完成，主要希望用於國內資安廠商藉此場域產品萃煉，以及教育國內認識可能風險，難得的是，今日是他們首度將此Testbed搬到外部場域展示，讓外界都能見識到這樣的實驗場域。</p> <p>在此化工串級DCS工控系統中，一個機櫃內所包含的是水廠常見的加壓馬達、電磁閥、電動控制閥、流量傳送器、PID電動控制閥，以及管線與水箱等。另一機櫃則有PLC控制器、電源供應器與I/O接點等。在現場模擬的攻擊情境中，駭客可以控制開啟加壓馬達灌滿機櫃中的第二個水箱，這時，透過Mirror Port去監聽的工控資安系統就能偵測封包異於平常，並發出警告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）智慧臺灣安全展R0243239s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243239s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3A）智慧臺灣安全展R0243239s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243239s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>價值數百萬的化工水位串級控制流程Test bed，首次對外亮相，現場也實際模擬駭客攻擊偷偷啟動加壓馬到將第二水箱加滿的情形。</p> </blockquote> <p>關於電廠安全的部分，這類關鍵基礎設施一般人更是不容易接觸到，在這次智慧臺灣安全展中也首度亮相。現場主要展示了電力系統發生故障後的保護裝置「保護電驛」，也有遭受攻擊的可能性。</p> <p>現場，展示了電力的相關架構與設備，包含一套工業電腦主機，IPS主機、交換器與兩個保護電驛。這是一個簡化後的變電站架構。</p> <p>多數人對於變電站可能都不熟悉，從展示人員的說明來看，隨著變電站的數度演進，從類比到數位，現在的智慧變電站，也就是依據智慧電網相關的國際標準IEC 61850，讓子系統間的資料交換變得比過去容易，簡單來說就是透過網路，但網路也就有資安問題要面對。</p> <p>而這次電廠安全展示的一個重點，在於保護電驛，它的主要作用就是可以測量電壓，控制「斷路器」，保護電力饋線，例如，當風箏撞倒天線，為了確保設備、人員安全及用戶用電無慮，保護電驛在偵測到電力不穩或電壓過低，會通知鄰近的一個保護電驛，將控制斷路器開啟，以隔離故障區域，同時，也會通知另一個保護電驛，以協助維持供電。而保護電驛彼此之間的溝通，是透過IEC 61850的通訊協定GOOSE來進行資訊交換。</p> <p>而這次現場的攻擊情境，展示了駭客透過假冒GOOSE去攻擊所有保護電驛，這時模擬變電站前的模擬街景電力就會中斷，而為了展示對於GOOSE的防護，現場一側螢幕畫面，顯示的是Moxa交換器系統介面，現在已有針對GOOSE防護的功能，可使得原有模擬攻擊變得無效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）智慧臺灣安全展R0243305s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243305s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5A）智慧臺灣安全展R0243305s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243305s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>現場展示的數位變電站的自動化控制系統，當中突顯了國際標準IEC 61850、保護電驛與GOOSE通訊協定的資安問題。</p> </blockquote> <p>在物聯網方面，這兩年來，政府已經帶頭推動「物聯網資安檢測認證標準」，相關認可測試實驗室也擴展到8家，認驗證項目從網路攝影機，到車載資通訊系統與無線路由器等，今年最新進度是即將通過的智慧共桿系統系列的智慧路燈。</p> <p>現場也展示了相關攻擊情境，是將智慧路燈系統取下，針對上面的晶片韌體取出，搜尋可用資訊，發現調整電壓後可帶來影響，進而修改韌體上的參數，再將韌體寫入回晶片並裝回原處，就能造成異常狀況而關閉燈光。現場也難得的展現了智慧路燈系統的內部結構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）智慧臺灣安全展R0243212s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243212s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9A）智慧臺灣安全展R0243220s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243220s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於智慧路燈的資安問題，現場除了展示相關攻擊手法，同時也突顯國內正在推動的物聯網資安檢測，對設備保護的差異。</p> </blockquote> <p>至於智慧醫療方面，近年我們注意到政府正鼓勵各關鍵CI建置SOC系統，而去年衛生福利部也曾做過統計，有半數的國內CI醫院已建置SOC，其中多數又屬於委外監控。</p> <p>這次的展示也突顯臺灣建置醫院SOC系統，強調即時監控與資安事件回應，以及醫療OT設備與資安。現場是中國醫藥大學與中華資安國際將床邊生理監視器等設備搬到大會上，現場也布置了逼真的場景，擺設了病床、血壓計。而在模擬的情境中，一旦該生理監視器出現狀況，現場一側的SOC螢幕畫面，就可以即時監控異常與發出警告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）智慧臺灣安全展R0243392s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243392s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7A）智慧臺灣安全展R0243257s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243257s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>智慧醫療場域也實際搬到智慧臺灣安全展中，價值數十萬的床邊生理監視器一旦發生異常，危急的將是病人的安全，這項展示醫院建置SOC系統可即時監控，說明國內在智慧醫療場域的資安推動。</p> </blockquote> </div></div></div>
2020/8/11 22:04作者羅正漢https://www.ithome.com.tw/news/139329
Windows版TeamViewer含有遠端存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Praetorian安全研究人員Jeffrey Hofmann近日公布了Windows版TeamViewer的安全漏洞CVE-2020-13699，該漏洞肇因於TeamViewer沒有適當引用其客製化的統一資源標誌符（Uniform Resource Identifier，URI），而讓未經授權的駭客有機會破解TeamViewer的密碼，或於使用者的系統上執行程式。</p> <p>TeamViewer為一知名的遠端遙控軟體，提供遠端控制、桌面分享、線上會議或檔案分享等功能，且支援Windows、macOS、Linux、Chrome OS、iOS與Android等平臺，但CVE-2020-13699漏洞只存在於Windows版。</p> <p>包括TeamViewer在內的應用程式需要辨識它們所要與之互動的網站URI，然而，TeamViewer並沒有妥善引用URI的值，而是把它視為命令，於是駭客就能在URI值中嵌入惡意資料。</p> <p><a href="https://jeffs.sh/CVEs/CVE-2020-13699.txt" target="_blank">根據Hofmann的說法</a>，駭客只要在一個網站上嵌入惡意的iframe，再吸引TeamViewer用戶點選，就能執行Windows桌面版的TeamViewer，並迫使它開啟遠端的SMB分享，在建立連結之後，Windows就會執行NTLM認證，再藉由工具捕獲內部網路的SMB認證對話，並將它們傳送到目標裝置上，就能讓駭客存取使用者電腦，也可用來取得雜湊密碼，進行暴力破解。</p> <p>該漏洞影響teamviewer10、teamviewer8、teamviewerapi、tvchat1、tvcontrol1、tvfiletransfer1、tvjoinv8、tvpresent1、tvsendfile1、tvsqcustomer1、tvsqsupport1、 tvvideocall1與tvvpn1。</p> <p>非營利的網路安全中心（Center for Internet Security，<a href="https://www.cisecurity.org/advisory/a-vulnerability-in-teamviewer-cloud-allow-for-offline-password-cracking_2020-106/" target="_blank">CIS）也針對該漏洞提出了警告</a>，呼籲使用者應該升級到最新版本，也應避免造訪由不明來源所提供的網站或連結。<a href="https://community.teamviewer.com/t5/Announcements/Statement-on-CVE-2020-13699/m-p/99129" target="_blank">TeamViewer則是已於兩周前修補了相關漏洞</a>。</p> </div></div></div>
2020/8/11 16:15作者陳曉莉https://www.ithome.com.tw/news/139322
vBulletin零時差漏洞修補不全，遭研究人員公開攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年知名網路論壇軟體vBulletin被爆有零時差遠端程式碼執行（RCE）漏洞，雖然維護單位已釋出修補程式，但有研究人員在未通知vBulletin的情況下，逕自公開官方修補不全的問題，並公布新的攻擊程式。</p> <p><a href="https://www.ithome.com.tw/news/133295" target="_blank">編號CVE-2019-16759的漏洞</a>首先於2019年9月23日曝光，可讓攻擊者遠端執行PHP程式碼，影響vBulletin 5.0到5.4版。這項漏洞攻擊之簡易而被戲稱為bugdoor，其實相當危險，CVSS 3.0風險評分達到9.8分。不過vBulletin的維護單位3天後即釋出了修補程式。</p> <p>不過代號zenofex的研究人員<a href="https://blog.exploitee.rs/2020/exploiting-vbulletin-a-tale-of-patch-fail/" target="_blank">Amir Etemadieh本周日指出</a>，即使vBulletin釋出了2個版本修補程式，他仍然在vBulletin Connect找到零時差漏洞，影響vBulletin Connect 5.6.0到5.6.2版。他並在未通知vBulletin小組情況下公開了Python、Ruby及Bash等語言編寫的攻擊程式，分別上傳到群組郵件及Github上，雖然同時也提供從vBulletin選單中，關閉Python以防止PHP攻擊程式的方法。</p> <p>和Wordpress、Joomla等內容管理平臺不同，vBulletin專門用於社群論壇，因此往往包含大量使用者個資。就在這名研究人員公布漏洞及攻擊程式後，知名安全大會<a href="https://forum.defcon.org/" target="_blank">DefCon的論壇</a>就遭到攻擊。</p> <p>負責維護vBulletin的組織也<a href="https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4445227-vbulletin-5-6-0-5-6-1-5-6-2-security-patch" target="_blank">在周一釋出修補程式</a>，但呼籲跑在舊版vBulletin的論壇都應升級到5.6.2版。</p> <p>不過維護小組指出，架在vBulletin Cloud上的網站則不受影響。</p> </div></div></div>
2020/8/11 14:05作者林妍溱https://www.ithome.com.tw/news/139320
研究人員揭露Chromium內容安全政策繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PerimeterX安全研究人員<a href="https://www.perimeterx.com/tech-blog/2020/csp-bypass-vuln-disclosure/" target="_blank">Gal Weizman在本周揭露一個存在於Chromium的安全漏洞</a>，此一編號為CVE-2020-6519的漏洞將允許駭客繞過網站的內容安全政策（Content Security Policy，CSP），以竊取資料或執行惡意程式，而且波及Chrome73~Chrome 83版本，以及其它採用Chromium的瀏覽器，幸好Google已在今年7月釋出的Chrome 84修補了該漏洞。</p> <p>CSP是由各家網站所制定的安全政策，用來向瀏覽器宣告該站允許或禁止載入的內容，像是一些特定的呼叫或javaScript程式碼等，可用來保護使用者避免受到跨站指令碼（XSS）或惡意javaScript程式碼的攻擊，然而，Weizman卻發現Chromium的CSP強制執行機制可被繞過，除了Chrome瀏覽器之外，基於Chromium的Opera或Edge也都被波及，且涵蓋Windows版、Mac版及Android版。</p> <p>這代表就算網站設定了CSP，但只要透過Chromium瀏覽器造訪的使用者就有可能會遭到攻擊。有些倖免於難的網站，是因為它們在部署CSP時使用了Nonce或Hash加以保護，進而保障了它們的用戶，像是 Twitter、Github、LinkedIn、Google Play Store, Yahoo登入頁面、PayPal與Yandex等。根據Weizman的估計，該漏洞至少波及了數十億的使用者。</p> <p>不過，要開採該漏洞需要一些程序。<a href="https://threatpost.com/google-chrome-bug-data-theft/158217/" target="_blank">Weizman向Threatpost解釋</a>，駭客首先必須透過暴力破解或其它方法存取Web伺服器，以修改該伺服器所使用的JavaScript，並於該JavaScript程式碼中添增frame-src或child-src指令，以允許程式注入及執行，才能繞過瀏覽器的CSP安全機制並危害網站用戶。</p> <p>這也是為什麼CVE-2020-6519僅被列為中度等級的漏洞。除了Weizman之外，騰訊安全玄武實驗室的Wenxu Wu也向Google提報了同一個漏洞，他們各自獲得了3,000美元的抓漏獎勵。</p> <p>目前主要的瀏覽器多採用自動更新，所以除非使用者變更了該預設值，否則都應該已經自動升級到最新的版本。</p> </div></div></div>
2020/8/11 14:30作者陳曉莉https://www.ithome.com.tw/news/139321
【臺灣資安大會直擊】趨勢科技專家警告：更多駭客目標式勒索攻擊發動將鎖定臺灣各產業，今年下半恐將爆發大規模攻擊潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】由於近日國外盛傳，有臺灣穿戴式裝置大廠因勒索軟體攻擊而支付了高額贖金給駭客，在今天（8/11）第一天舉行的臺灣資安大會上，趨勢科技全球核心技術部資深協理張裕敏提出警訊，這將使臺灣企業更容易成為駭客勒索攻擊的目標，甚至他大膽預測，今年下半年，臺灣將有可能出現大規模目標式勒索攻擊潮，而且不分產業，都有可能成為未來遭受攻擊的目標對象。</p> <p>2020臺灣資安大會第一天，一如往年，張裕敏也擔任首日大會Keynote講者，來分享最新的資安威脅趨勢與剖析駭客攻擊手法，他開宗明義就點出近兩個月在國內外發生數幾資安攻擊事件，都跟目標式勒索攻擊有關，不容企業忽視。</p> <p>由於今年COVID-19疫情加速企業轉型，但也帶來更大資安隱憂，張裕敏觀察到，今年和以前很不一樣，許多駭客因為沒辦法外出，所以這些人都透過網路來發洩，因此，今年上半年各種漏洞或攻擊事件頻傳，數量更甚以往。</p> <p>他分析國外近來幾起資安重大事件，大多以資料外洩為主，反觀，臺灣則是以目標式勒索攻擊占大宗，光是今年5、6、7月，臺灣就有多起的企業資安重大事件都跟它有關，舉凡穿戴式裝置大廠、PCB廠、到自動化設備商、半導體封測，以及石油公司都有。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0019.JPG" style="width: 600px; height: 326px;" /></p> <p>駭客一般採用目標式勒索攻擊的常見步驟，像是有經常使用網頁、RDP甚至VPN弱點，或是釣魚式郵件手法，入侵到企業系統內部，並潛伏在目標主機，如AD server，然後在特定時間點透過勒索軟體發動大規模散布，將其目標主機內容加密，讓企業措手不及。</p> <p>但他指出，這種目標式勒索攻擊，也不斷在持續演進，近來，雖然在攻擊手法上，並沒有採用新技術，但駭客卻開始採用各種手法，來誘使被駭企業願意付錢了事，包括了要脅將偷到的資料公開在網路上，迫使企業付款，或是將加密資料自己備分一份，等到企業因未備份，無法救回資料，駭客反過來將這些資料賣要企業，藉此大賺一筆。「這也反應出，駭客這幾年心態上已有所轉變，從以往好玩、測試，轉變破壞與勒索。」他說。</p> <p>又如Ragnar Locker這個勒索軟體，雖然仍是採用舊手法，但卻加入新的規避機制，也讓它難以被資安軟體察覺。他另外也舉其中一個他稱之為GDPR勒索的作法，雖然不是透過勒索軟體，但在獲利手法上，一樣將資料從資料庫偷出後，駭客會再以通知歐盟違反GDPR資料保護，須付出高額罰款為由，勸誘對方用錢贖回，，他表示，這類的手法，未來將成為常態。就算是開發者在進行常用的幾大開源程式代管平臺GitHub、GitLab等，也都成為駭客存放偷來資料的路徑。</p> <p>張裕敏也提到，近日國外盛傳一家穿戴式裝置大廠付了3億元臺幣給駭客，沒過多久，他便發現到不少暗網上的駭客討論熱絡，一副躍躍欲試的樣子。他說，當有企業願意付這麼多錢，駭客食髓知味後，接下來，就會有更多駭客傾巢而出，加上臺灣有很多中小型製造業，都是他們可以攻擊勒索的目標，</p> <p>甚至他大膽預測，今年下半年，臺灣各產業都將可能發生大規模目標式勒索攻擊，而且不分行業，不論是工業、商業、銀行、政府機構，未來都是有可能成為受攻擊的目標。</p> <p>當然，不只是勒索軟體盛行，近來，也有不少重大資安漏洞頻傳，尤其，是今年7月，有6家網通或系統業者，不約而同都出現CVSS風險分數最高等級的重大漏洞，也就是遠端執行程式碼的安全漏洞，只要這些網路設備存在有這些漏洞，駭客就能輕而易舉就進到企業內部，竊取重要機密資料，這也讓資安人員疲於奔命，修補漏洞，甚至被資安圈形容是七月浩劫。</p> <p>他發現，就在7月底，一個惡名昭彰的惡意程式Emotet，已經在伺機而動，把這6大漏洞全部打包進到他的攻擊模組，並且在8月初就開始在網路大規模掃描，尋找有這些漏洞，且還未修捕的設備，他也擔憂，目前不少企業尚未完成修補，很容易成為下手的目標。</p> <p>張裕敏也提到一些知名資料庫，如elasticsearch、mongoDB、cassandra，近來都有遭到駭客成功入侵過，而出現資安問題，他並建議，企業只要有資料庫有連網，平時就得要注意其組態設定或是安全設定有無確實落實，以避免存在資料庫裡的資料被竊取或清空的情況。</p> <p>講到5G、雲端安全防護，他也強調，面對後5G或後雲端時代的來臨，網路架構越來越IT化、複雜化，使得網路安全防護邊界正在改變當中，因此，他指出，企業也得重新思考，現有的資訊設備，甚至是資安管控強度，是否足以應付這些新威脅。</p> <p>甚至隨著漏洞與攻擊事件越來越普遍，他表示，企業也得改變過去只有大型企業才容易會被駭客鎖定的舊思維，現在即使是無名的小企業，也都可能成為其攻擊目標，因此，「企業應該關注的，不再是自己會不會被攻擊，而是攻擊何時會發生。」他表示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0046.JPG" style="width: 600px; height: 361px;" /></p> <p>面對這些因數位轉型帶來的資安威脅，張裕敏也提出三大防護建議。首先，企業應建立情資分享管道，從政府或是民間單位，建立多元情資管道，藉由彼此通報，掌握各種資安事件以提前反應，早一步針對攻擊威脅採取應變措施，其次，資安防護面向，也得要從傳統IT，延伸到不同應用場景，不論是企業內部IT、工控OT、企業BYOD，或居家辦公的場景，企業都要有所掌握才行。最後，就算做好了萬全的資安準備，他說，面對不可預測的未來，企業仍可持續做好提前預測和預防的準備，來進一步達到資安超前部署。</p> </div></div></div>
2020/8/11 14:43作者余至浩https://www.ithome.com.tw/news/139315
千呼萬喚始出來！1Password也有Linux版本了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名密碼管理服務<a href="https://discussions.agilebits.com/discussion/114964/1password-for-linux-development-preview">1Password</a>終於要推出Linux桌面版本了！1Password開發商AgileBits創辦人，親自宣布這項消息，他提到，AgileBits論壇中最長串的貼文，便是要求他們開發Linux版本的1Password，而作為對這項請求的回應，他們現在釋出Linux桌面版應用程式開發者預覽版，並且計畫將在今年正式上市。</p> <p>這個Linux桌面版本考量到安全與效能需要，後端完全以Mozilla力推主打安全性的Rust程式語言編寫，並且使用環形（Ring）加密函式庫，強化端到端加密功能，以確保用戶資料安全。在整合Linux桌面功能上，用戶將可以使用apt和dnf套件管理器簡單地安裝應用程式，介面將會依據GTK主題設定，自動啟用深色模式，用戶可以使用Linux使用者帳戶解鎖密碼，並且執行資料匯出等功能。</p> <p>官方針對Debian、Ubuntu、CentOS、Fedora和RHEL維護簽章apt和rpm套件儲存庫，目前官方釋出的這個版本還在非常初期的階段，許多功能尚未完成，現在也只提供唯讀模式，無法編輯或是組織項目，所以這個版本僅用於測試和驗證功能，還不適合用在重要的業務環境中，要在Linux穩定的使用1Password X，仍然要在瀏覽器環境。</p> <p>Dave Teare提到，由於新的應用程式大量使用開源專案建置，不論是用來開發底層邏輯的Rust，或是回應式使用者介面開發框架React，都是集合社群眾人之力的開源專案，因此為了要回饋自由軟體開發者社群，當開源專案團隊需要密碼管理器，只要在1Password開源專案儲存庫開拉取請求，1Password就會提供團隊每個人免費帳戶，即便是Linux桌面版1Password開發預覽結束，開源專案團隊也仍可以繼續使用免費的密碼管理服務。</p> </div></div></div>
2020/8/11 14:45作者李建興https://www.ithome.com.tw/news/139319
美國Capital One銀行個資外洩案遭罰8千萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國Capital One銀行去年7月遭駭客入侵雲端系統，遭駭客竊取上億用戶個資及企業資訊，本周遭主管機關處以8千萬美元民事罰金。</p> <p>美國財政部轄下的貨幣監理官辦公室（Office of the Comptroller of the Currency，OCC）指出，之所以做出這項處分，是因Capital One在把重要資訊搬移到公有雲環境前未能建立有效的風險評估流程，並及時修補缺失。但所幸銀行迅速通知客戶及補救。</p> <p>OCC指出，雖然它鼓勵所有銀行採取「負責任」的創新，但是健全的風險管理及內部控管才是確保銀行安全運作、提供客戶充份防護的關鍵，OCC認為Capital One的缺失造成了不安全的環境，也違反了《建立資訊安全標準跨部會指引》的法規。</p> <p>去年3、4月Capital One員工Paige Thompson利用對公有雲AWS的了解，利用網路防火牆組態漏洞而<a href="https://www.ithome.com.tw/news/132117" target="_blank">駭入該銀行代管在AWS S3服務的客戶資料庫</a>，超過1億名北美客戶資料遭存取，包括解密了部份資料。<a href="https://www.ithome.com.tw/news/132455" target="_blank">事後警方發現</a>她也竊取了30多家企業、教育機構及其他實體組織的資料達數Terabyte。</p> <p>不過Capital One仍然提供了加密及部分資料欄位變造（tokenized），像是社會安全碼與銀行帳號等，因而減少資料損失的幅度。<a href="https://www.theverge.com/2020/8/8/21359761/capital-one-80-million-fine-2019-data-breach" target="_blank">Capital One銀行指出</a>，該公司原有的安全措施協助警方更快逮捕到駭客，他們也進一步強化了網路防護及控管流程，以防止類似事件再發生。</p> </div></div></div>
2020/8/11 13:30作者林妍溱https://www.ithome.com.tw/news/139316
臉書成立新的金融部門，由David Marcus領軍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾擔任PayPal總裁，之後負責臉書Libra專案的David Marcus，<a href="https://twitter.com/davidmarcus/status/1292832948941660161" target="_blank">周一（8/10）透過Twitter宣布</a>，臉書（Facebook）已成立了新的支付暨金融服務部門，以掌管臉書旗下的所有相關服務，包括Facebook Pay、Novi及WhatsApp payments等，並由他負責領軍，外界則解讀臉書將全力發展各種支付服務。</p> <p>Facebook Pay同時支援臉書、Messenger、Instagram以及WhatsApp上的付款行為，它可以直接匯款給朋友，也可以用來購物或是捐贈給募款機構，但使用者必須在不同的應用上分別啟用，已支援包括台灣在內的眾多國家。</p> <p>Novi原名為Calibra，是臉書的加密貨幣子公司，其基礎為Libra區塊鏈網路，打算在Libra上線時推出Novi數位錢包服務。至於WhatsApp Pay則是今年6月才推出的服務，但它其實是奠基在Facebook Pay上，且目前僅於巴西推出。</p> <p><a href="https://www.bloomberg.com/news/articles/2020-08-10/facebook-financial-formed-to-pursue-company-s-commerce-ambitions" target="_blank">根據彭博社的報導</a>，此一支付暨金融服務部門在內部被稱為F2，為Facebook Financial的縮寫，該部門將負責執行所有的支付專案。</p> <p>該報亦分析，如果使用者可直接在臉書、Messenger、Instagram以及WhatsApp上購買商品，那麼臉書的廣告就更有價值，且使用者在這些應用的停留時間也會更久。</p> </div></div></div>
2020/8/11 13:50作者陳曉莉https://www.ithome.com.tw/news/139317
俄羅斯也對蘋果開槍：App Store違反市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯的資安業者卡巴斯基去年3月，<a href="https://www.ithome.com.tw/news/129469" target="_blank">控告蘋果App Store</a>以不公平的手段排擠競爭對手，拒絕讓該公司所開發的家長管理程式登上App Store，而<a href="https://www.reuters.com/article/us-russia-apple-law/russian-watchdog-says-apple-abused-mobile-app-market-dominance-idUSKCN25622E" target="_blank">路透社</a>與俄羅斯通訊社<a href="https://interfax.com/newsroom/top-stories/69512/" target="_blank">Interfax</a>則相繼於周一（8/10）報導，俄羅斯聯邦反壟斷服務（Federal Anti-monopoly Service，FAS）已判定蘋果濫用其主導地位而限制了市場競爭，準備要求蘋果改善。</p> <p>卡巴斯基指控，蘋果無理地拒絕該公司所打造的Kaspersky Safe Kids家長控制程式，並在卡巴斯基刪減該程式的部分功能之後才放行，認為蘋果濫用其市場地位，護航蘋果於2018年10月才在iOS平台上所內建的家長控制功能。但蘋果則說，禁止家長控制程式的特定功能，是為了保護使用者的隱私與安全。</p> <p>FAS則是在同年的9月立案展開調查，在本周一作出裁決。FAS認為，蘋果在iOS作業系統的行動程式擁有百分之百的掌控權，因為它只允許使用者自App Store下載iOS程式，而且就算程式符合所有規範，蘋果依然握有將程式下架或封鎖的生殺大權。</p> <p>FAS打算正式發出命令，要求蘋果修改違反反壟斷法令的作法，不過，蘋果已準備提出上訴。</p> </div></div></div>
2020/8/11 14:00作者陳曉莉https://www.ithome.com.tw/news/139318
蔡英文：提升數位國力，加速成立數位發展部、布局AI和物聯網，打造世界信賴的資安產業鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對武漢肺炎疫情衝擊，臺灣透過科技防疫、超前部署，讓有一萬人報名的「臺灣資安大會2020」，得以和美國RSA資安大會，並列全球唯二可以實體舉辦的資安會議。總統蔡英文則在今日（8月11日）於「臺灣資安大會2020」致詞，這也是她第二次親自蒞臨臺灣資安大會，目的就是希望展現政府和臺灣資安產業站在一起的立場和態度。</p> <p>為了因應複雜的網路環境與國際挑戰，蔡英文在致詞中允諾，將加速成立整合資訊、資安、電信、網路和傳播五大數位發展相關業務領域的「數位發展部」，並且搶先布局AI人工智慧以及物聯網的資安應用，同時強化政府部門關鍵基礎設施，建立以數據驅動為核心的主動防禦體系，達到超前部署目標，並透過結合5G和數位轉型，提升臺灣整體數位國力，打造結合數位實力以及國家安全的資安產業，以及被世界所信賴的資安系統及產業鏈。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>政府將在5+2產業創新基礎上，打造資安核心戰略產業</strong></span></span></p> <p>在520總統就職演說中，便已經揭櫫六大核心戰略產業，資安產業更是其中和國家安全及整體產業經濟發展息息相關的重要關鍵產業。蔡英文致詞表示，臺灣未來將在5+2產業創新的基礎上，打造六大核心戰略產業，施政團隊也秉持「資安即國安」的精神，積極發展各種施政目標。</p> <p>在第一任總統任期中，已經完成資安管理法的立法施行，以及及「國安三法」的修訂完成，有許多臺灣民間團隊在很多全球競賽中表現傑出，展現臺灣資通訊產業優異實力。</p> <p>資通訊科技都是促進全球產業發展進步的核心所在，也是臺灣產業發展的關鍵動能，面對武漢肺炎疫情挑戰，臺灣透過科技防疫，打造全球矚目的防疫成果，這是數位國力的展現，也是解除危機、拯救國家、維持競爭力的關鍵核心力量；而資安防護就是最重要的免疫力。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>成立數位發展部及布局AI、物聯網，提升數位國力</strong></span></span></p> <p>因此，在面對全球數位科技的多重挑戰，蔡英文表示，政府將加速成立「數位發展部」，藉由整合「資訊」、「資安」、「電信」、「網路」和「傳播」五大數位發展領域，以整合性思維，讓政府未來面對各種危機時，有更好的應變能力，並透過推動前瞻數位科技與資安產業應用發展，提升數位國力。</p> <p>其次，她認為，藉由強化核心戰略產業的資安防護，應該搶先布局AI人工智慧及物聯網資安應用，目的就是希望確保產業研發的資安安全，可以讓臺灣科技產品獲得全世界的信任，成為臺灣重要的競爭優勢。</p> <p>第三點，她指出，藉由強化政府關鍵基礎設施，落實資安防護，建立以「數據驅動」為核心的主動防禦體系，達到「早期預警、緊急應變、持續維運」目標，真正做到超前部署。最後，結合5G和數位轉型，提升臺灣整體數位國力，並促進政府、民間和國際夥伴PPP公私協力的合作模式，完成更多資訊分享、溝通及合作。</p> <p>蔡英文表示，上述這些關鍵目標的實踐，讓臺灣有能力打造結合數位實力和國家安全、可以被世界信賴的資安系統及資安產業鏈。目前，政府也已經和資安業者共同打造資安物聯網中心，這也會是未來資安驗證和資安服務的重要據點。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>防疫同防駭，唯有韌性得以決勝</strong></span></span></p> <p>「臺灣資安大會2020」今年是第六年舉辦，原訂於三月舉辦，因為突如其來的武漢肺炎疫情，延期至8月11日、12日舉辦。iThome總編輯暨臺灣資安大會主席吳其勳表示，武漢肺炎疫情考驗人類對抗病毒的韌性，而企業在面對武漢肺炎帶來的營運衝擊，也同樣必須透過加速數位轉型以提升營運韌性。</p> <p>吳其勳說，武漢肺炎讓駭客窩在家裡、趁機擴大網路攻擊戰場，面對企業組織的永續發展，也必須具有資安韌性，而不單看一次性的攻擊或防禦。他認為，資安威脅是常態，網路攻擊無所不在，防禦如何成功，不保證明天不會淪陷，企業組織永續發展的關鍵，唯有韌性、得以決勝（Resilience Matters，韌性決勝）。</p> <p>「臺灣資安大會2020」展現臺灣資安業者的實力，在各國邊境嚴格控管的當時，可以有250個國內外知名資安品牌，以展會的方式展出相關的解決方案和產品，提供一萬名報名來賓，可以透過「一站式購足」的方式，即時掌握各家資安業者最新的資安產品和解決方案。</p> <p>而兩天的會議，更有單日13軌、超過180場演講、講座和實機操作模式，內容涵蓋：技術演講、攻防演練實戰課程、資安長論壇（Cyber Leadership Forum）、產業與政策對談，以及金融安全、IoT物聯網安全、OT工控安全、AI安全、供應鏈安全、資安事件應變（IR & CSIRT）、資訊戰、駭客攻防、數位身分證New eID風險論壇等主題的13場資安專業論壇，以及「從防疫學防駭」、「為什麼勒索軟體無法根絕」兩場座談會，透過多元資安議題啟發，並達到資安交流目標。</p> <p><span style="color:#0000FF;"><span style="font-size:18px;"><strong>第三屆臺灣資安館集結近40家業者參展</strong></span></span></p> <p>政府希望從政府採購國產資安產品著手，可以鼓勵臺灣資安產業的發展，也讓政府和企業更了解臺灣資安業者的實力。今年舉辦的第三屆「臺灣資安館」是iThome與經濟部共業局共同主辦，也是臺灣資安產業品牌與產業推動的發展平臺。</p> <p>其中，「臺灣資安自主研發特展」展出安全安心的臺灣資安產品；「智慧臺灣安全展」則以實機展示方式，呈現智慧製造、智慧醫療、工業控制、物聯網場域資安防護成果，也在現場展示實機攻防模擬。在智慧製造資安場域，則以實境模擬當駭客入侵工業4.0產線架構與機械製造手臂的情況；也展示3種針對數位變電所的IED、SCADA自動化控制系統攻擊情境。</p> <p>另外，為了展示關鍵基礎設施的資安防護能量，展示工控場域資安防護的化工串級DCS工控系統，模擬從資料收集、可視化介面以及現場設備狀態指示燈警示情境，在正常與異常狀態下，供資安人員監控與測試。</p> <p>也展示模擬駭客攻擊IP Cam（數位監視系統）、智慧路燈，而驗證產品是否有通過資安檢測對設備安全性的差異；在智慧醫療資安場域中，則展示智慧醫院如何打造醫院SOC（資安監控系統），建立即時監控與資安事件回應的資安聯防機制，包括醫療OT設備如何導入資安技術以解決OT訊息傳輸完整性與正確性等問題。</p> <p> </p> <p> </p> </div></div></div>
2020/8/11 12:17作者黃彥棻https://www.ithome.com.tw/news/139312
出售所有股權，東芝正式退出筆電市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2018年出售大部份筆電事業部股權後，<a href="https://www.toshiba.co.jp/about/press/2020_08/pr0401.htm" target="_blank">東芝上周悄悄宣布</a>再將剩餘的股權全部賣給夏普（Sharp），正式退出筆電市場。</p> <p>2018年6月東芝與夏普簽定合約，將旗下全資子公司東芝終端解決方案（Toshiba Client Solutions，TCS）80.1%的股權售與夏普。本交易於同年10月完成，TCS也改名為Dynabook。今年6月30日，夏普依據合約再行使收購剩餘19.9%股權的權利，完全收購筆電事業。</p> <p>這是一個具里程碑意義的事件。<a href="https://en.wikipedia.org/wiki/Toshiba_T1100" target="_blank">根據維基百科</a>，1985年東芝的T1100是全世界第一款量產的開闔式可攜性電腦，奠定了現今筆記型電腦的設計原型。而東芝於1990年代更是全球筆電霸主，進入2000年代東芝為輕薄型筆電的代表性品牌，也名列前五大PC廠商之林。然而2000年後期隨著蘋果MacBook Air、HP、Dell的創新，以及台灣及中國業者崛起，東芝逐漸式微，東芝於2016年結束光碟機業務，並在2018年做出退出筆電市場的準備。</p> <p>Dynabook出售給夏普後，應該會持續存在。東芝也仍會繼續發展其他業務，但它在筆記型電腦產業的位置，將和許多廠商一樣，留在電腦發展史中。</p> </div></div></div>
2020/8/11 12:50作者林妍溱https://www.ithome.com.tw/news/139313