iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 29篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

資安韌性已成企業組織永續發展的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣資安大會的主要口號是韌性決勝（Resilience Matters），正如總編輯吳其勳所言：資安的威脅已是常態，網路攻擊無所不在，今天無論我們防禦得多麼成功，都無法保證明天不會淪陷，因此，我們必須更重視企業組織永續發展的致勝關鍵：資安韌性，唯有韌性，得以決勝。</p> <p>而在大會第二天下午，我們也舉辦了從防疫學防駭的座談會，當中也提及相關的議題。這場活動的與談人有資安主筆黃彥棻、資安主編羅正漢、中央研究院資訊科學研究院博士後研究員潘美連，以及我，希望基於iThome在7月製作的封面故事<a href="https://www.ithome.com.tw/article/138913" target="_blank">《從防疫學防駭》</a>的內容來探討。</p> <p>在座談的過程當中，潘美連提到一個論點相當值得省思，她認為防駭比防疫難，臺灣因為防疫有成，因此，基本上，經濟民生已恢復日常運作，雖然我們需配合政府推動的「防疫新生活運動」政策，僅須保持社交距離、勤洗手、佩戴口罩即可，享受日常、如常，但相較之下，資安並非如此，網路威脅攻擊事件層出不窮，所以，我們身處的狀態並不是「平時」，而是「戰時」，所採取的因應策略也必須符合當前的態勢。</p> <p>另外，防駭必須做到「除惡務盡」，對於潛藏在企業內部的惡意程式與受駭電腦，都必須要找出來，實施必要的鑑識與還原程序，相當費工，更何況我們面對的並不是單一的嚴重威脅；但若要預防武漢肺炎病毒的大規模傳染，我們可以透過居家隔離、居家檢疫的方式，並不需要針對入境者進行普篩，就如同衛福部在8月6日發布的新聞稿所言：「即使有極少數無症狀者個案未於入境時被攔檢，經過14天居家檢疫，其傳染力已大幅降低或幾乎已無傳染力，於檢疫期滿後再自主健康管理7天，持續密切追蹤健康狀況，已可有效防堵社區傳播風險。」</p> <p>究竟是防駭難？還是防疫難？8月19日彰化縣衛生局篩檢居家檢疫無症狀者的爭議事件，又掀起一波網路論戰，癥結點仍是中央與地方對於防疫處理程序與彼此立場的認定有落差，顯然在作業過程當中出現了不同層級單位彼此溝通的問題，而這類各執一詞的狀況無論是防疫或防駭，都在所難免，彼此之間如何約束、磨合、包容，達成共同目標，當然也考驗我們的「韌性」。</p> <p>企業若要取得應變的韌性，在許多層面都要布局，就像近幾年來，在IT領域當中，韌性這個詞彙也經常被許多專家所提及。例如，IBM一直在推動業務持續營運管理（BCM）、雙主中心、兩地三中心的備援架構等議題，他們在2016年也買下一家資安事件回應業者Resilient Systems；BSI英國標準協會台灣分公司總經理蒲樹盛，也在許多場資安研討會發表相關演講，不斷呼籲企業關注組織韌性的議題。</p> <p>事實上，企業IT韌性不只是確保IT服務的高可用性，也適用於資訊安全相關工作的推動，目的都是希望具備足夠的容錯（Fault Tolerance）能力，提供更高的可靠度（Reliability）與可用性（Availability）。</p> <p>然而，就我目前的認知而言，IT層面的韌性，我們可運用各種IT資源備用／備援（redundancy）的機制來支撐，一旦發生故障，可由其他正在執行的系統或啟動備援系統來接手，雖然還是要釐清事故的根本原因，但以服務的持續運作為最主要考量，而這也跟OT環境資安營運要點很類似，一般而言，優先順序為可用性（Availability）、完整性（Integrity）、機密性（Confidentiality）。</p> <p>若是資安層面的韌性，過去主要考量的是IT環境，優先順序為機密性、完整性、可用性，而隨著如今OT環境大舉連網，這兩種處理順序都需要一起考量，企業在管理這兩種環境時，則需要建立統一的管理制度，避免發生顧此失彼的局面，或是因各自為政而導致控管成本大增、難以負荷。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7%E6%B1%BA%E5%8B%9D">韌性決勝</a></div><div class="field-item odd"><a href="/tags/resilience-matters">Resilience Matters</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">網路攻擊</a></div><div class="field-item even"><a href="/tags/%E5%BE%9E%E9%98%B2%E7%96%AB%E5%AD%B8%E9%98%B2%E9%A7%AD">從防疫學防駭</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%9F%8C%E6%80%A7">資安韌性</a></div></div></div>
2020/8/21 11:05作者李宗翰https://www.ithome.com.tw/voice/139533
TensorFlow採用OpenCL後端使GPU推理效能加倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TensorFlow團隊以異構平臺開發框架<a href="https://blog.tensorflow.org/2020/08/faster-mobile-gpu-inference-with-opencl.html">OpenCL</a>為基礎，在Android開發了新的行動GPU推理引擎，在適當大小的神經網路上，以及足夠的GPU工作負載，其執行的效率是現有OpenGL後端的2倍。 </p> <p>目前常用的GPU推理引擎是以OpenGL開發，是一種渲染圖形API，雖然在OpenGL ES 3.1版本加入了運算著色器（Compute Shader），可用來計算任意的資訊，但開發團隊提到，其為了要向後相容的API設計，限制了GPU的運算能力，因此TensorFlow Lite（TFLite） GPU團隊在繼續發展基於OpenGL行動CPU推理引擎的同時，也在尋求各種可能性。</p> <p class="rtecenter"><a href="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif"><img alt="" class="media-image img__fid__60276 img__view_mode__media_large attr__format__media_large" src="https://2.bp.blogspot.com/-afLl3xBw7DY/XzcHL2u_9tI/AAAAAAAADdw/KT3D3vIIvgM0VJyYc_KaEJEHPlarO501QCLcBGAsYHQ/s1600/gpu.gif" style="width: 148px; height: 240px;" /></a></p> <p><span style="color:#696969;"><strong>Duo App中的AR效果，使用OpenCL後端處理</strong></span></p> <p>而同樣可用來發展機器學習應用的OpenCL（Open Computing Language），一開始就是為各種計算加速器設計，更適合用於行動GPU推理，所以TFLite開發團隊便也投入資源，研究基於OpenCL的推理引擎，發現其確實能用來最佳化GPU推理工作負載。TFLite開發團隊提到，與OpenGL相比，最佳化OpenCL後端要簡單許多，因為OpenCL提供良好的分析功能，利用概要分析API，開發團隊能夠精確地量測核心調度效能。</p> <p>OpenCL能夠良好地支援用於高階Android行動裝置的高通Adreno GPU，但是Adreno GPU對於工作組大小非常敏感，配置適當大小的神經網路工作組可以提高效能，錯誤大小的工作組，卻會降低效能，雖然在具有複雜記憶體存取模式的複雜核心，要找出適當的工作組大小並不容易，但是因為OpenCL具有完整的效能分析功能，因此可被用來最佳化工作組大小，使平均運算速度提升50％。</p> <p>而且OpenCL還原生支援16位元浮點數精度，即便是在2012年推出的Adreno 305老舊GPU，都夠完全發揮GPU的效能，另外，OpenCL具有常數記憶體（Constant Memory）的概念，高通在GPU加入的實體記憶體非常適合用於OpenCL的常數記憶體，這使得OpenCL在高通GPU的效能大幅超過OpenGL。</p> <p>TFLite開發團隊將常用的2個行動機器學習模型MNASNet和MobileNet v3，拿來比較CPU、OpenGL和OpenCL的效能表現，無論是在MNASNet（如下圖）或MobileNet v3，新的OpenCL後端延遲都是最低的，約是OpenGL後端的2倍，而且在標有SD字樣使用Adreno GPU的裝置上，OpenCL後端效能表現特別好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-OpenCL-600.png" style="width: 512px;" /></p> <p>開發團隊提到，使用OpenCL推理引擎的主要障礙，是OpenCL不包含在標準Android發布版中，即便有一些Android裝置廠商在系統函式庫加入OpenCL，但是部分用戶還是可能因為缺乏OpenCL必要元件，則必須回退使用OpenGL後端。</p> <p>為了簡化開發人員的工作，TFLite GPU一開始會檢查OpenCL Runtime的可用性，當不可用或無法載入時，便會切換使用OpenGL後端，開發團隊提到，從2019年中期開始，OpenCL後端就進到TensorFlow存儲庫中，並整合進TFLite GPU委託API裡，因此現有TFLite GPU程式可能已經透過委託回退機制，使用到了最新的OpenCL後端。</p> </div></div></div>
2020/8/20 23:30作者李建興https://www.ithome.com.tw/news/139513
Compute Engine現支援CPU超額分配，單租戶節點VM的CPU資源可相互轉移
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的Compute Engine單租戶節點，現支援<a href="https://cloud.google.com/blog/products/compute/cpu-overcommit-for-sole-tenant-nodes-now-ga">CPU超額分配（CPU Overcommit）</a>，用戶將能依據需求選擇具成本效益的配置。用戶能夠在專用主機上，超額配置2倍的虛擬CPU資源。</p> <p>CPU超額分配功能會自動在單租戶節點裡，重新分配虛擬CPU資源，將空閒的虛擬機器執行個體中的資源，配給需要額外資源的執行個體，如此在專用硬體上執行企業工作負載，用戶便能將CPU資源當作資源池考量，減少運算資源配置過量。</p> <p>Google提到，單租戶節點的CPU超額分配，能夠解決降低一些常見的企業應用成本，像是建立雲端虛擬桌面解決方案時，便能夠根據使用情況，在虛擬機器間共享資源，建構具有成本效益的虛擬桌面解決方案。另外，還能提高主機利用率，降低基礎設施成本，用戶可以增加單租戶節點上可用的CPU，透過客製化機器類型，CPU超額分配可以最佳化記憶體使用，提高記憶體利用率。</p> <p>CPU超額分配還能夠降低授權成本，對於以主機實際核心數為單位的授權許可，諸如Windows Server或Microsoft SQL Server的自備授權，單租戶節點的CPU超額分配，可以讓用戶在每個伺服器上放置更多的虛擬機器，在Google雲端減少授權成本的負擔。</p> <p>用戶可以配置每個虛擬機器最小虛擬CPU數量，以及最大可增加的虛擬CPU數量，Google表示，用戶能在虛擬機器執行個體層級，控制單租戶節點CPU超額分配，因此能夠靈活地控制運算資源，滿足各種工作負載需求。每個執行個體最多只能夠配置2倍虛擬CPU數量，也就是在具有80個虛擬CPU的n2-node-80-640，CPU超額分配使節點最多可用160個虛擬CPU。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/virtual_CPU_resources_max-500x500.jpg" style="width: 490px;" /></p> </div></div></div>
2020/8/20 23:40作者李建興https://www.ithome.com.tw/news/139516
Google新版GKE資料平面支援eBPF技術，增加容器可見性與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出最新使用<a href="https://ebpf.io/">eBPF</a>（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面<a href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-ebpf-and-cilium-to-google-kubernetes-engine">GKE Dataplane v2</a>，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。</p> <p>Google提到，隨著Kubernetes使用案例的發展，用戶對於安全性、可見性和可擴展性等要求越來越多，而且像是服務網格和無伺服器等新技術，用戶都需再對Kubernetes底層，加入許多自定義功能。要方便地支援這些新用例，Google表示，需要高度可程式化的資料平面，在不犧牲效能的前提，使該平面可執行更多Kubernetes封包相關的操作。</p> <p>Linux在3.18版本時，加入的擴展BPF虛擬機器，不需要重新編譯核心或是載入核心模組，就可以在Linux核心中執行沙盒程式，eBPF能將可程式化的Hook開放給Linux核心中的網路堆疊，程式不需要在使用者和核心空間中來回切換，就可以讓核心使用豐富的使用者空間資訊，來高速地處理網路封包。</p> <p>過去需要依賴核心變更和核心模組才能解決的問題，在近幾年eBPF已經成為解決這些問題的標準方法，並且讓部分網路、安全性和應用程式分析工具，可以不依賴核心功能，並在不影響執行效率和安全性的情況下，主動再程式化Runtime行為。</p> <p>而Cilium則是一個建構在eBPF之上的開源專案，能夠滿足容器工作負載的可擴展性、安全性和可見性需求，Google提到，他們積極貢獻Cilium專案，目前Cilium已經是所有eBPF實作中，最成熟的專案。</p> <p>Google表示，Kubernetes用戶會想以網路政策，來宣告Pod之間通訊的方式，但是過去沒有可擴展的方法，對這些政策行為進行故障排除或是審核，因此無法有效地達成目的，但在GKE支援eBPF之後，便能實作即時政策執行等相關操作。</p> <p>Google進一步解釋（下圖），當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Container_Networking_Interface_max-1100x1100.jpg" style="width: 580px;" /></p> <p>GKE Dataplane v2用戶將能獲得更好的基礎設施可見性，並用來改善其安全狀況，像是快速辨識異常流量模式，或是透過Kubernetes網路政策日誌記錄，用戶可以直接在Cloud Logging控制臺查看允許和拒絕的網路連接，並對政策進行故障排除，探索不尋常的網路活動。</p> </div></div></div>
2020/8/20 23:55作者李建興https://www.ithome.com.tw/news/139519
美國公布北韓駭客所使用的RAT惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部網路安全及基礎架構安全署（CISA）與聯邦調查局（FBI），本周共同<a href="https://us-cert.cisa.gov/ncas/analysis-reports/ar20-232a" target="_blank">發表惡意程式分析報告</a>，指出名為Blindingcan的惡意程式為北韓駭客集團Hidden Cobra所開發的遠端存取木馬（Remote Access Trojan，RAT），鎖定美國政府的承包商發動攻擊，以竊取與軍事及能源技術相關的機密資訊。</p> <p>Hidden Cobra假借國防承包商的名義，寄出了求才電子郵件，以誘導使用者開啟惡意文件。在CISA所收到的攻擊樣本中，有4個Word的Open XML（. docx）檔案，兩個DLLs檔案，其中，. docx檔案企圖連結外部網域以下載惡意程式，而DLLs檔案則是用來安裝與執行木馬程式，並允許駭客自遠端操控木馬。</p> <p>此外，由駭客所掌控的命令暨控制伺服器，是架設在已被該集團入侵的、不同國家的基礎設施上，藉以掩人耳目。</p> <p>分析顯示，Blindingcan能夠取得所安裝磁碟的資訊，包括磁碟類型及可用空間，也能建立、開始或終止新程序，或是搜尋、寫入、移動與刪除檔案，還能變更檔案或目錄的時間戳，修改檔案或程序的目錄，還能刪除自己的蹤跡。</p> <p>CISA與FBI透過反向工程取得了Blindingcan的詳細資訊，用來提醒其它組織應多加防範。</p> </div></div></div>
2020/8/20 22:15作者陳曉莉https://www.ithome.com.tw/news/139529
如何做好Linux物聯網裝置資安？專家呼籲要從慎選核心開始
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的Linux作業系統，由於能夠免費取得等特性，而廣受各界採用，無論是雲端服務、Android智慧型手機、網域名稱伺服器，以及超級電腦等，幾乎都是此類作業系統的天下，許多物聯網裝置也同樣使用Linux來開發。然而許多企業運用來開發連網設備產品之後，卻可能因為難以維護相關韌體，導致漏洞一旦被發現的時候，企業需要花費大量時間才能修復，這種情況在最近幾年可說是時有所聞。</p> <p>到底要如何改變這種窘境？Moxa軟體發展中心專案副理林上智（SZ Lin）在2020年臺灣資安大會上，以自身參與嵌入式Linux設計與開發的經驗，呼籲開發者要從「挑選Linux核心（Kernel）」做起，後續才能減少維護和修補漏洞的負擔。</p> <p>林上智指出，近年來許多執行Linux作業系統的連網設備，陸續被發現安全漏洞，甚至可能已經被駭客用來發動攻擊，其原因與他們採用的作業系統缺乏維護有關。他引用了德國弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）對於家用路由器的研究報告，該份報告針對7個廠商推出的127款設備進行研究，指出其中有許多執行的是久未更新的舊版Linux核心，甚至有46款在一年內都沒有發布修補軟體等情況。林上智說，這些路由器廠商沒有定期修補漏洞是最主要的問題，而使用極為老舊的作業系統核心倒是其次。探究其原因，他認為很可能是一開始沒有選擇合適的核心導致。</p> <p>而對於運用於製造業、醫療、政府單位等關鍵基礎設施的物聯網裝置，最近幾年政府也開始要求企業必須遵循有關標準。像是由美國國家標準暨技術研究院（NIST）推出的供應鏈風險管理標準SP800-161，由國際自動化學會（ISA）制訂的ISA/IEC 62443-4-1，以及北美電力可靠度公司（NERC）發表的CIP-010-2等。</p> <p>但即使不是運用在上述關鍵基礎設施場域的連網裝置，還是有可能因為設備的漏洞遭到揭露，甚至是上到新聞版面，導致企業必須面臨用戶對於資安防護的存疑，若是因此洩露歐洲民眾的個資，還可能遭到歐盟的裁罰，對於如此的情況，企業勢必要更加正視物聯網裝置的資安維護工作。</p> <h2><strong>挑選合適Linux核心是增加設備資安的開始</strong></h2> <p>那麼，企業要做好Linux連網裝置的安全，林上智認為，最好從開發的初期流程著手。因為，企業想要修補軟體的缺陷，在軟體開發生命週期（SDLC）的各階段中，所需的資源和成本會隨之不斷增加。根據NIST的研究，在產品上市之後才來處理軟體缺陷，比起在開發初期，也就是在收集與分析需求，以及設計架構的階段，上市後耗費的成本是開發初期的30倍。林上智說，在他的經驗裡，前述兩個階段修補花費所需資源，差距實際上可是超過NIST指出的比例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-SDLC-fixcost.png" style="width: 580px;" /></p> <p>其中，Linux作業系統的核心，由於牽涉範圍甚廣，因此一旦出現漏洞，就有可能導致企業疲於修補。因此，林上智表示，在軟體開發流程裡，依據營運模型和相關需求，挑選合適的核心，是改善連網裝置安全的重要課題，他還說核心「早期選得好，之後沒煩惱」。</p> <p>但究竟要如何挑選合適的核心版本？林上智說這個沒有能夠一體適用的答案，因為企業必須根據開發的時程、資源，以及藍圖等層面，進行評估，但是有3個大原則可以依循，首先是選用的核心必須擁有開發連網設備所需之核心技術（Core Technology），再者是遵循足夠優秀（Good Enough）和簡單易懂（KISS）的原則，做為選擇的考量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-reqanalysis.png" style="width: 580px;" /></p> <p>林上智以城市基礎建設系統（Civil Infrastructure System）的連網裝置開發為例，這類的裝置所採用的Linux核心，必須要有工業等級的可用性，還要能夠長達10年以上的支援、維護，以及具備足夠資安防護，進而達到降低開發的成本與時間，以及後續維護的成本等目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-CIP.png" style="width: 580px;" /></p> <p>在市面上企業可選用的Linux核心，基本上包含了Linux基金會推出的主要版本，還有PREEMPT_RT專案，是應用於工業控制即時系統的核心版本。</p> <p>而根據核心的來源，則可以區分是來自處理器廠商的SoC Board Support Package Kernel，還有Linux基金會推出的長期支援版本（Long Term Support，LTS），以及針對城市基礎建設，由相關業者共同維護的城市基礎建設平臺（Civil Infrastructure Platform，CIP）等。</p> <p>其中，由處理器廠商提供的Linux核心，其優點是特別針對指定硬體設計，企業能夠快速運用來開發連網裝置，但與一般的核心相比，這種核心也相當仰賴處理器廠商的支援周期長短，而且不同的處理器往往有對應版本的Linux核心，因此企業很有可能因為廠理器廠商終止支援，面臨被迫更換新版核心開發的情況，而在進行漏洞修補的時候，企業也必須對於不同處理器的版本個別開發更新程式。</p> <p>而Linux基金會推出的LTS版本，則是在他們每年推出的主線版本裡，挑選其中一個分支來開發這種長期維護的版本，該基金會最初的政策是提供2年支援，但目前實際支援的周期大約都延長到6年左右。而這種版本所提供的支援，主要是對於臭蟲和漏洞的修補，並不會加入新的硬體支援，因此，如果企業選擇了LTS版，未來很有可能會面臨無法搭配新的硬體運作的情況。為了解決上述不足的情況，Linux基金會曾一度推出了增加硬體支援的專案，名為Long Term Support Initiative（LTSI），不過目前已經停止開發。</p> <p>至於著眼於城市基礎建設的CIP，也是從LTS延伸而來，由開發相關設備的廠商共同維護，他們對於核心與主要功能模組（Core Package），計畫維護10年至20年。為何這些廠商決定合作？林上智說，他們目的是要減少自己在維護核心上的心力，進而將更多資源運用在開發設備的主要功能上。</p> <p>此外，林上智也提醒開發者，千萬不要因為正在開發的測試版核心納入了自己需要的新功能而採用，因為這種版本很可能還有很多臭蟲，會造成企業日後維護上的困擾。</p> <h2><strong>回報上游和慎選必須的套件，可減少日後維護的負擔</strong></h2> <p>值得留意的是，企業很可能會基於商業秘密的考量，取得Linux核心的程式碼後，就想要開發成專屬版本（Own Community），修補的程式碼只有自己能夠使用。林上智說，如果採用這種方式來維護所使用的核心，企業同樣也無法直接套用日後源頭提供的新版本內容，一旦要自行逐次加入相關修補，將會耗費大量的開發資源，尤其是Linux核心大約每3個星期就更新一次，若是企業依照這個周期自己修改大量程式碼，將會是非常繁重的工作。因此，林上智認為，企業應該要採取「Upstream First」的概念，把自己修補完成的程式碼提報給上游，也就是企業取得核心的來源，如此一來，日後只要再從上游升級新版核心，也能一併取得他人修補的內容，避免所有的漏洞都要自己修改的情況。</p> <p>另一方面能減少Linux連網裝置遭到攻擊的風險，就是只使用必須的套件。雖然許多開發者會把Linux核心相關的套件全部納入，但這也代表了一旦用不到套件出現漏洞，企業還是必須設法修補，反之，如果是沒有採用的套件，即使漏洞的CVSS第3版風險指標達到滿分10分，這些採用此版核心的連網裝置還是不受影響。</p> </div></div></div>
2020/8/20 19:17作者周峻佑https://www.ithome.com.tw/news/139528
Cloud周報第76期：豐田汽車將採用AWS數據分析服務，強化車聯網應用體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/08/13～2020/08/19）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 豐田汽車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 車聯網 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>豐田汽車計畫利用AWS數據分析服務，處理日本、中國和美國新車的數據來開發新服務</strong></span></p> <p>豐田汽車宣布將採用AWS服務，來強化自家行動服務平臺（Mobility Services Platform）的數據處理和分析能力，用於開發新的車輛相關服務。行動服務平臺是豐田汽車工程師開發、部署和管理，以數據驅動的汽車行動服務的系統。豐田汽車計畫在年底前，在日本、中國和美國市場的新車中，安裝新的數據通訊模組，來利用API收集數據至平臺，並使用AWS的雲端機器學習服務，建立ML模型，來處理和分析聯網汽車的數據，改善車輛的設計和研發，還有打造新的駕駛服務和體驗，包含汽車共享、駕駛行為保險、維修保養通知等。藉由新服務，車主可依自身駕駛行為來繳交相對應的保費，並獲得需安排車輛進廠保養的提醒通知。<a href="https://global.toyota/en/newsroom/corporate/33080260.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路表現 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路中斷 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業者 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>美國網路監控業者：上半年雲端服務網路中斷逾4百次</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E8%B7%AF%E4%B8%AD%E6%96%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ThousandEyes.JPG" style="width: 600px; height: 354px;" /></strong></span></p> <p>美國網路監控業者ThousandEyes近日發布其首份年度網路表現報告，針對了各類網路服務的可用性和表現，進行調查，涵蓋ISP業者、雲端業者、CDN業者和DNS服務供應商。全球網路中斷狀況在今年上半年，出現了前所未有的增長，相比1月，3月份網路中斷次數增加了63%，而6月份網路中斷情況雖有趨緩，但仍比1月增加了44%。綜觀今年上半年的網路中斷水平，與疫情爆發前相比，高出許多。該報告也調查了各類網路服務業者所受的衝擊，其中尤以ISP業者受到的影響最大，而雲端服務商的網路表現，整體來說則具較高的穩定性。1月至7月間，全球ISP網路中斷超過4,500次，占了8成的整體網路中斷次數，雲端業者則經歷了約400次的服務中斷事件，僅占1成。</p> <p>該報告也以各地區ISP網路表現的情況來看，網路中斷所帶來的影響，北美和亞太地區在3月份，皆面臨了ISP網路中斷的最高峰值，相比1月，北美地區中斷數增加了65%，亞太地區則增長高達99%，不過，所幸該兩個地區的中斷災情已逐漸恢復至疫情前的水平。但是，歐洲、中東和非洲地區的ISP網路中斷次數則持續逐月增加，6月的中斷次數與1月相比，仍增加了45%。且ThousandEyes發現，網路服務業者為確保自家網路可處理激增的需求，而調整基礎架構、配置或互連等設定，來確保網路不面臨全面崩潰的狀況，是造成網路中斷次數暴增最大的原因。<a href=" https://www.thousandeyes.com/press-releases/2020-internet-performance-report-covid-19-impact">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ARM晶片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> K8s服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS宣布企業現可在Amazon EKS使用Graviton 2，執行工作負載</strong></strong></p> <p>AWS近日宣布K8s服務Amazon EKS可使用AWS Graviton 2晶片執行工作負載。Graviton 2是AWS自己設計的ARM晶片，提供256位元DRAM加密，且支援雙SIMD單元，相比前一代，提供高7倍的效能。Amazon EKS現可以選擇Graviton 2處理器來執行工作負載，也代表AWS現在支援64位元的ARMv8.2基礎架構，並且支援端到端多重架構，而且EKS API以及相關工具，也都能夠處理架構的特殊配置，像是啟動Arm的控制平面元件CoreDNS或是kube-proxy Pod。此外，AWS在GitHub建立了儲存庫，提供Graviton相關使用資訊，支援要在Amazon EKS使用Graviton 2的用戶。現階段，Amazon EKS對Graviton 2的支援，目前僅在能夠同時支援兩種服務的區域，提供企業使用。<a href=" https://aws.amazon.com/tw/about-aws/whats-new/2020/08/amazon-eks-support-for-arm-based-instances-powered-by-aws-graviton-now-generally-available/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 追蹤報告 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>IDC調查：公有雲服務市場規模自2016年以來，已翻倍成長</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_IDC%202019_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IDC.JPG" style="width: 600px; height: 412px;" /></strong></span></p> <p>市場調查機構IDC近日發布了一份，半年度全球公有雲服務市場的追蹤報告，總結2019全年度全球公有雲服務市場的表現。全球公有雲市場規模於去年達2,334億美元，與前年相比，年增長達26%，且自2016年以來，已增長了一倍以上。其中，SaaS為最大類別的雲端服務，占總體市場63.6%，達1,485億美元，而IaaS居次，占21%，達490億美元，PaaS則占15.4%，達359億美元。IDC特別點出，IaaS和PaaS的收入相比2016年，成長了三倍，凸顯越來越多企業採雲端基礎架構和平臺，來部署內部應用程式。IDC更預期，IaaS和PaaS方面的收入，將在未來幾年以高於整體公有雲市場的成長速度增長。根據這個追蹤報告，AWS、微軟、Salesforce、Google和甲骨文為前五大公有雲服務提供商，而他們於2019年的總收入占全球市場規模逾三分之一，同比增長達35%。<a href=" https://www.idc.com/getdoc.jsp?containerId=prUS46780320&utm_medium=embedd&utm_campaign=idc_embedd&utm_source=referral">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子電腦 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>搶先微軟，亞馬遜正式推出量子運算服務Braket</strong></strong></p> <p>AWS近日宣布正式推出量子運算服務Amazon Braket。該服務是AWS透過與多家量子電腦硬體商合作，供企業使用D-Wave、IonQ以及Rigetti的量子電腦執行模擬實驗，進行有關量子位元和量子電路的實作，在模擬環境中建置和測試電路，之後再在實際的量子電腦中執行。Amazon Braket提供全託管的Jupyter Notebook，供企業建立與測試應用程式，並可將結果以視覺化呈現。企業可以從頭開始設計自己的量子演算法，或是選擇預先建置的演算法，在演算法定義完成後，Amazon Braket會提供模擬服務，來協助用戶排除故障與驗證。待一切就緒後，企業就能在不同的量子電腦上執行應用程式。AWS表示，福斯汽車、波音、義大利大型電力公司Enel等，已經對新服務進行了測試。現階段，新服務於美東北維吉尼亞州、美西北加州，還有美西俄勒岡州，共3個AWS區域提供。而微軟旗下相似的服務Azure Quantum，目前則仍處於預覽版階段。<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-braket-go-hands-on-with-quantum-computing/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Microsoft 365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IE 11 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器支援 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>明年夏天起，Microsoft 365將不再支援IE 11</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_M365_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 136px;" /></strong></span></strong></p> <p>為加速推動Chromium-based Edge，微軟日前宣布，Microsoft 365將不再接受IE 11存取。Microsoft 365中的Teams從11月30日起，將不再支援IE 11，而從2021年的8月17日開始，Microsoft 365其他應用程式和服務也都將終止支援。用戶屆時若再以IE 11使用這些服務，會面臨使用體驗不佳的情形，像是無法連上新功能，且現有某些功能也會遭停用。微軟表示，採用開放標準的Chromium Edge更適合消費者或企業使用Microsoft 365服務，包含Outlook、Teams、SharePoint等。用戶現可利用新Edge的IE mode以不同分頁存取舊有應用，而無需同時使用新、舊兩種瀏覽器之間切換。但，微軟提醒，以新Edge的IE mode並不能延長Microsoft 365對IE 11的支援，因此，他建議用戶在明年8月前，不要再用IE 11存取M365。<a href=" https://techcommunity.microsoft.com/t5/microsoft-365-blog/microsoft-365-apps-say-farewell-to-internet-explorer-11-and/ba-p/1591666">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 計費調整 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS新版ETL服務Glue 2.0加快10倍作業啟動速度，且可從1分鐘開始計費</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Glu%202_0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 258px;" /></strong></span></strong></p> <p>AWS日前正式釋出無伺服器ETL服務的更新版本AWS Glue 2.0，可以更快速啟動Spark ETL作業，並降低了計費的最短時間。相比前一代，AWS Glue 2.0啟動Spark ETL作業的速度，提高了10倍，能減少企業啟動該類作業的等待時間，進而降低整體作業時間。AWS表示，透過腳本開發和資料探索，該服務能支援企業執行微批次、高互動性的工作負載，來提升生產力。此外，新版AWS Glue的Spark作業降低了計費的最小時間，從原本10分鐘降為1分鐘，並加上以每秒計費。AWS表示，這樣的計價方式可供企業用來處理較小、對期限敏感，且互動性高的工作負載。另外，AWS Glue 2.0還有一項新功能，可讓企業從Wheel檔案或是儲存庫中，安裝Python模組。現階段，企業可在俄亥俄州、法蘭克福、巴黎、首爾、東京、新加坡等區域使用AWS Glue 2.0。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-glue-version-2-0-featuring-10x-faster-job-start-times-and-1-minute-minimum-billing-duration/">（詳全文）</a></p> <p><strong>圖片來源／豐田汽車、ThousandEyes、IDC 、微軟、AWS</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 臺南市政府以Azure打造登革熱防疫平臺，利用雲端認知服務分析病媒蚊</strong><a href=" https://www.tainan.gov.tw/News_Content.aspx?n=13370&s=7702724 ">（詳全文）</a></p> <p><strong>2. 遠傳預計年底啟用Tpark IDC雲端機房，將成旗下最大的雲端運算中心</strong></p> <p><strong>3. HPE宣布與SAP聯手，將推出搭配HPE GreenLake的SAP HANA Enterprise Cloud</strong><a href=" https://www.hpe.com/us/en/newsroom/press-release/2020/08/hpe-and-sap-partner-to-deliver-sap-hana-enterprise-cloud-with-hpe-greenlake-cloud-services.html">（詳全文）</a></p> <p><strong>4. Nissan計畫將流體力學、結構力學模擬和3D可視化等工作負載搬遷上Oracle Cloud Infrastructure，望加快新車上市的速度</strong><a href="https://www.oracle.com/news/announcement/nissan-moves-to-oracle-cloud-infrastructure-081120.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年8月</strong></p> </div></div></div>
2020/8/20 13:03作者黃郁芸https://www.ithome.com.tw/news/139512
研究：新一代殭屍網路FritzFrog感染500臺伺服器以幫駭客挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Guardicore Labs本周<a href="https://www.guardicore.com/2020/08/fritzfrog-p2p-botnet-infects-ssh-servers/" target="_blank">揭露了一個新型態的P2P殭屍網路FritzFrog</a>，駭客撰寫了一個全新的惡意程式，企圖攻擊全球數百萬個裝置的IP位址，進而感染逾500臺SSH伺服器，利用它們替駭客開挖門羅幣（Monero）。</p> <p>Guardicore Labs是在今年1月察覺FritzFrog的行動，這是一個以Golang撰寫的無檔案惡意程式，它以SSH公鑰的形式在受害系統上建立後門，以讓駭客能夠持續存取被駭系統，且這8個月以來，Guardicore Labs已發現20種不同的FritzFrog執行版本。</p> <p>FritzFrog有許多特點，它採用無檔案技術，在記憶體中運作，因而無從追蹤。相較於其它只使用固定用戶名稱，來滲透IP裝置的P2P殭屍網路，FritzFrog使用了相對積極的暴力破解技術，它會持續更新攻擊對象與被駭機器的資料庫，而且使用了私有的P2P協定。</p> <p>此外，FritzFrog相準了全球政府機構、教育機構、醫療中心、銀行與電信業者的數千萬個IP位址發動攻擊，而且成功地入侵了這些組織的逾500臺伺服器，受害者包括美國與歐洲的多所知名大學，還有一家鐵路公司。這些受害的伺服器藉由P2P協定相互聯繫及同步，就算有哪個節點遺失了，很快就會被其它節點遞補，以保持殭屍網路的資訊暢通。</p> <p>FritzFrog不只儲存了被駭系統的登入憑證，也在系統上的授權金鑰檔案中新增了SSH-RSA公鑰，於是，即便組織變更了憑證的密碼，握有私鑰的駭客依舊可以繼續存取被駭系統。</p> <p>駭客利用FritzFrog殭屍網路替他們挖掘門羅幣，不過，Guardicore Labs並未公布該惡意行動迄今的收益。</p> <p>Guardicore Labs建議各大組織應該設定強密碼且使用公鑰認證，也呼籲受害系統記得從授權金鑰檔案中，移除FritzFrog所植入的公鑰。此外，將SSH曝露在外的IoT裝置則是FritzFrog主要的切入點，組織應變更相關裝置SSH傳輸埠，或是關閉SSH的存取能力。</p> </div></div></div>
2020/8/20 17:15作者陳曉莉https://www.ithome.com.tw/news/139520
如何卡位金融生態圈激戰？玉山銀揭露未來5年數位大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著3家純網銀即將開業，加入臺灣數位金融市場的競爭，國泰金、台新金日前揭露了新的金融生態圈戰略，而玉山金控第二季法說會中，玉山銀行董事長黃男州揭露了未來5年的玉山生態圈戰略，「會採取Banking as a Services（銀行即服務）模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」</p> <p>黃男州認為，純網銀的確加快了數位金融的發展腳步，但這是短空長多。「5年來看，臺灣銀行產業將成長10~15%，餅變得更大了，正在打基礎的純網銀約只會占1～2％，反而是有競爭力，數位發展很快的銀行，可以獲取更多市場占有率。」這個對未來臺灣數位市場的樂觀觀察，也影響了玉山當前的數位發展戰略。</p> <p>玉山近幾年大力發展數位通路，統計到今年第二季為止，個人外匯買賣交易超過95%都透過數位完成，而小額信貸也高達8成利用數位方式完成，基金或信用卡申辦交易也過半數，有6成採數位完成。另外，也推出更多第三方整合機制，例如7月上線的行動付款通API，讓第三方網購App，可以一鍵整合多家銀行行動銀行App的付款機制。</p> <p>不只如此，玉山也逐步打造虛實整合的全通路架構，例如，7月時發表的玉山新的數位會員服務e.Fingo，不只整合旗下行動網銀、支付和各類數位申辦服務的單一數位帳號機制，還會進一步整合線上和線下的金融服務。</p> <p>玉山發展數位戰略時，有三個考量，黃男州指出，不是用數位取代實體，而是注重兩者互補關係，實體通路不會消失。其次，數位策略中最重要的不是科技，而是顧客，要用科技讓顧客更滿意和更好體驗。第三則是採取漸進改善的作法，靠不斷改進來達到更好的服務，而非破壞式創新。</p> <p>他觀察，越來越多生態圈的建立，就是過去談的場景金融。數位形式會讓生態圈的合作更積極出現，數位化產品不斷創新，數位產品運用越來越深，而數位化顧客也越來越多，尤其顧客數位行為的改變更是挑戰，最後是新科技也會影響銀行的數位發展。生態圈蓬勃發展，會帶動更多場景金融的出現，數位方式降低了銀行服務的中間障礙，能降低交易成本，可以吸引更多客群，來實現普惠金融，AI、5G等新科技則可以讓銀行發展智慧金融，提供更好的顧客服務，不論是行銷、風控或產品研發等。「未來數位銀行最重要的三大發展趨勢是，場景金融、普惠金融和智慧金融。」他強調。</p> <p>全球金融業都看到這股數位趨勢，黃男州歸納，金融業數位戰略可以分為三種模式，第一是銀行即服務（Banking as a Services）模式，銀行自身成為服務，可以嵌入到任何場景中，螞蟻金服就是採取這樣的模式。例如鎖定民眾出國旅遊的場景，銀行可以將外匯買賣服務嵌入到旅行社的服務中，或像是銀行融資服務可以嵌入買車服務的過程，銀行顧客到任何地方買車時也都能用。「銀行把自己變成了一種服務，金融服務結構沒有改變，但是改為嵌入別人的場景，這是臺灣正在發生的模式。」他觀察。</p> <p>第二種模式是，銀行變成了平臺（Banking as a Platform），新加坡的DBS是最典型的銀行平臺化實例，黃男州點出，DBS正因在新加坡擁有大量顧客，才鎖定重要的房貸市場，直接在DBS旗下的數位市場平臺，囊括購屋前、中、後所需的各項服務，讓銀行網站成了一個可以提供完整購屋服務的平臺，自然就能吸引顧客向DBS貸款。另一個實例是中國平安集團，也採取同樣的平臺戰略，要建構一個健康的生態圈，可以提供線上醫生、取藥，也直接結合了支付。「銀行平臺化的難度很高，臺灣也有銀行嘗試，但很不容易。」黃男州評估。</p> <p>第三種金融數位戰略，他指出，就是Open Banking（開放銀行）模式，這是銀行與第三方聯手的模式。臺灣儘管採3階段推動開放銀行，已經上路的商品公開資料查詢API，正在推動的消費者資訊查詢API，以及未來的交易面資訊API開放，但他評估，開放銀行模式仍有2大問題待解決，一是銀行無法確保，自家資料串接到第三方服務後的安全，其次是，目前還沒找到可以讓銀行、第三方服務和消費者三贏的商業模式。</p> <h3><span style="color:#FF8C00;"><strong>玉山金數位戰略是銀行即服務模式</strong></span></h3> <p>「玉山的戰略是銀行即服務模式，而且是進行式。」黃男州終於揭露自家銀行未來數位戰略的主軸。而玉山帶頭發展這個模式的金融服務是支付。玉山在信用卡支付的規模目前排名全國第二，電子支付則是在銀行兼營電子支付者中排名第一，所以，「玉山將用支付的力量來提供服務，」</p> <p>他舉例，玉山年初推出了全自動化的信用貸款，將申貸流程全程數位化，縮短到最快58秒撥款，就可以進一步整合到電商服務中，來滿足電商經營者、上架產品的商家，到電商平臺購物的顧客的融資需求。還有另一個玉山考慮用來提供場景嵌入能力的金融產品是外匯服務，例如未來疫情趨緩後，考慮將其整合到旅遊業者的服務中。</p> <p>「未來生態圈和夥伴關係的發展，如何建立對方願意嵌入服務的信賴是關鍵。」黃男州指出，以金融專業的玉山，好處是可以和各行各業合作，彼此不會是競爭關係。就像2008年金融海嘯危機，反而是玉山成長最快的時候，而數位發展和疫情衝擊，都是接下來銀行的考驗。</p> <p>玉山的戰略要瞄準3～5年後的金融市場、顧客改變和數位演進，來決定當前作法。「目前最重要的事情是準備未來，而場景金融，將是玉山未來發展中非常重要的一環。」黃男州強調。文⊙王宏仁</p> <table border="0" cellpadding="1" cellspacing="3"><tbody><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <h3><strong><span style="color:#0000FF;">玉山金控新任科技長出爐</span></strong></h3> <p><strong><span style="color:#0000FF;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E7%8E%89%E5%B1%B1%E6%96%B0%E7%A7%91%E6%8A%80%E9%95%B7%E5%BC%B5%E6%99%BA%E6%98%9F-%E6%94%9D%E5%BD%B1-%E7%BF%81%E8%8A%8A%E5%84%92.jpg" /></span></strong></p> </td> </tr><tr><td style="background-color: rgb(204, 255, 255); width: 100%;"> <p>在這場法說會中，玉山金控也宣布，將借調臺大資訊工程系教授張智星，來擔任玉山金控新任的科技長，也就是接替已故前科技長陳昇瑋的職務。玉山董事會已通過這項人事案，目前正待金管會核准後就會正式生效。張智星是臺大金融科技研究中心主任，也曾是陳昇瑋在學時的老師，去年玉山和臺大合作成立AI和Fintech研發中心時，就找來張智星擔任計畫主持人。當時陳昇瑋希望，能藉助張智星，來優化銀行各項服務的語音客服，甚至連轉帳或付款都可以透過人機對話來處理。</p> <p>張智星擅長領域是語音辨識和合成技術，他於1993年的ANFIS論文，在Google Scholar學術搜尋服務上被引用次數超過一萬次，研究成果頗具影響力。取得加州大學柏克萊分校的電機電腦博士學位隔年，就是1993年，他加入美國數值分析軟體商MathWorks，這是工程科學計算知名軟體Matlab的母公司，張智星負責研發模糊邏輯工具箱，也累積了國際大廠第一線軟體開發的實務經驗。</p> <p>1995年回臺，張智星先後在清華大學、臺灣大學任教，他在機器學習的研究，涵蓋了語音、音樂、文件和影像辨識領域。甚至，張智星率領的研究團隊所開發的音樂檢索技術，曾多次贏得MIREX國際音樂檢索評比多個項目第一名。</p> <p>2017～2019年間，張智星擔任臺大醫院資訊室主任長達2年，也致力於推動AI在醫療和衛生保健的應用。玉山銀行董事長黃男州更點出，他在大型醫院所累積的大型IT系統維運經驗，也有助於這個職務的挑戰。文⊙王宏仁</p> </td> </tr></tbody></table><p> </p> </div></div></div>
2020/8/20 19:13作者王宏仁https://www.ithome.com.tw/news/139527
短期住宿出租平臺Airbnb申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短期住宿出租平臺<a href="https://news.airbnb.com/airbnb-announces-confidential-submission-of-draft-registration-statement/" target="_blank">Airbnb本周三（8/19）宣布</a>，已向美國證券交易委員會（SEC）遞送首次公開發行（Initial Public Offering，IPO）申請書，準備登上美國股市。</p> <p>目前Airbnb尚未決定公開發行的股票數量與價格，而且該S-1申請書仍為保密狀態，因此尚無法一窺Airbnb的經營狀態。</p> <p>不過，根據流量偵測平臺<a href="https://www.alexa.com/siteinfo/airbnb.com" target="_blank">Alexa的統計</a>，Airbnb的流量落後貓途鷹（Tripadvisor）、Yelp、Hotels與Vrbo等競爭對手，而貓途鷹、Yelp與Hotels母公司Expedia，都已登上美國那斯達克或紐約股市。</p> <p>Airbnb官網上的資料顯示，該平臺在全球逾220個國家的10萬個城市，提供超過700萬個出租項目。</p> <p>今年初以來的武漢肺炎重創了全球的旅遊產業，Airbnb亦無法倖免於難，2017年時該公司增資時的身價高達310億美元，但Airbnb在今年4月增資時，市值已滑落至180億美元，縮水近一半。</p> </div></div></div>
2020/8/20 15:35作者陳曉莉https://www.ithome.com.tw/news/139514
BlackBerry明年將以5G手機型態重出江湖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得黑莓機（BlackBerry）嗎？這個一度是全球商務人士愛用的智慧型手機品牌，可望2021年以5G手機面貌重出江湖。</p> <p>在iPhone及三星、華為、Oppo等現代化智慧型手機品牌崛起後，黑莓機消失在產業版圖上。加拿大廠商BlackBerry已不再生產手機，而是將其BlackBerry品牌、安全軟體及服務套件授權第三方業者設計、製造和銷售手機。最近一家取得授權的知名手機廠商是中國的TCL。不過<a href="https://www.ithome.com.tw/news/135644" target="_blank">TCL年初宣布授權到今年8月31日為止</a>，之後TCL將不再生產黑莓手機。外界則認為這代表著黑莓機將從此消失。</p> <p>但BlackBerry品牌近日又有動向。一家新創公司<a href="https://www.businesswire.com/news/home/20200819005202/en/OnwardMobility-Announces-Agreements-BlackBerry-Foxconn-Subsidiary-FIH" target="_blank">OnwardMobility本周宣布</a>和加拿大公司Blackberry及鴻海子公司富智康（FIH Mobile）達成協議，將生產具有實體鍵盤的Android黑莓機，預定明年上半在北美和歐洲推出。</p> <p>雖然沒有明說，不過顯然這隻手機將會由富智康代工生產。富智康也負責Nokia 品牌手機的生產。</p> <p><a href="https://techcrunch.com/2020/08/19/blackberrys-brand-switches-hands-again-set-to-return-as-a-5g-android-handset/" target="_blank">Techcrunch</a>及<a href="https://www.pcmag.com/news/new-blackberry-with-keyboard-coming-in-2021" target="_blank">PC Magazine</a>報導，OnwardMobility成員主要來自美商索尼姆技術（Sonim Technologies），後者以生產耐操的強固型（rugged）手機及配件出身。此外還有來自TCL及擁有黑莓機軟體背景的員工。</p> <p>在這項協議下，加拿大BlackBerry公司將授權OnwardMobility開發、設計及銷售5G版黑莓機。OnwardMobility執行長Peter Franklin表示，黑莓機以保護通訊安全、資料隱私聞名，這些特點是幫助黑莓機切入商務5G手機市場的利器。Franklin說新手機將擁有頂級相機、BlackBerry的安全軟體和部份Android App，以及「具競爭力」的價格。</p> <p>不過媒體認為，智慧型手機發展到今天，黑莓機重出江湖後，BlackBerry的品牌會激起多少市場迴響，以及有多少消費者想用回實體盤的手機，都是值得觀察的問題。</p> </div></div></div>
2020/8/20 16:30作者林妍溱https://www.ithome.com.tw/news/139517
G Suite又發生全球大規模故障事件，Gmail和雲端硬碟出狀況已持續超過3小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google G Suite部分服務今天下午再傳大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet和Google Voice，皆出現異常，使得許多用戶遭遇無法登入、無法附加檔案等狀況，包含部分臺灣用戶在內。</p> <p>根據監控網站<a href="https://downdetector.com/status/gmail/">Downdetector</a>的用戶通報記錄，此次故障事件影響範圍遍及全球各地，不只臺灣，美國、澳洲、日本、馬來西亞等多國，皆有用戶提交了服務故障通報。Downdetector在下午1點16分時，共收到超過1,800件Gmail故障通報，其中有60%的用戶通報附加檔案的問題，另有23%的用戶通報他們無法登入服務，還有16%用戶通報收信問題。臺灣許多用戶也在PTT上抱怨，Gmail無法收到信件、無法登入Google雲端硬碟等狀況。</p> <p>Google於下午1點29已經在G Suite的運行<a href="https://www.google.com/appsstatus#hl=zh-TW&v=status">狀態儀表板</a>網頁上，顯示Gmail、Google雲端硬碟、Google文件等服務中斷的消息，並表示正在進行事故調查。而Google原先預計在4點可修復問題，但，截至記者發稿前，各項受影響服務仍尚未復原，儀表板網頁還顯示著「發生問題」的橘燈。</p> <p>Google發布的最新消息目前則停留在下午4點38分，顯示團隊會「繼續調查問題所在，並在下午5點38分之前公佈更多相關資訊」，並坦承現有問題包含了Gmail發送、雲端文件建立、語音郵件發送、聊天訊息發送等。目前各項服務當機已持續超過3小時。文⊙黃郁芸</p> </div></div></div>
2020/8/20 16:45作者黃郁芸https://www.ithome.com.tw/news/139515
NEC在臺展示最新自助結帳系統，可快速影像辨識商品，還能刷臉完成支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為減輕櫃檯人員工作負擔，國內零售業開始導入自助結帳，但大多需要消費者手持結帳商品，靠近掃碼窗口辨識商品，再搭配非現金支付工具，達到自助結帳的目的。NEC本周在臺展示一項自助結帳方案，在辨識商品部分，除了整合商品條碼掃描、RFID感應之外，還能透過影像辨識商品，結合人臉辨識及電子支付進一步實現刷臉支付。</p> <p>使用這套自助結帳系統之前，消費者需先註冊會員身分，綁定個人臉部特徵及電子支付工具，當消費者使用自助結帳系統時，先看向螢幕上方鏡頭，通過人臉辨識，螢幕上會顯示出會員身分，再讓系統辨識想要結帳的商品，在螢幕上列出結帳商品清單、金額，選擇付款就能以會員綁定的電子支付工具付款。</p> <p><strong>這套自助結帳系統配備大型螢幕，用以顯示結帳者的身分及商品，螢幕下方則支援三種商品辨識技術，RFID、條碼、影像辨識：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4193-1(1).jpg" style="width: 300px; height: 451px;" /></p> <p>在辨識商品方面，NEC展示的這套自助結帳系統，支援三種商品辨識技術，包括可感應商品包裝上的RFID標籤，以及傳統的條碼掃描技術，還可透過鏡頭拍攝商品，利用影像辨識技術快速辨別商品。</p> <p>NEC現場展示的自助結帳影像辨識技術為GAZIRU，適用於有固定形狀、包裝的商品，例如瓶裝飲料、袋裝零食或是盒裝餅乾等，店家需要事先建立每項商品的六個角度影像，透過演算法進行精準辨識，這類辨識技術可辨識同樣為瓶裝的不同廠牌礦泉水或是茶飲。當消費者實際使用時，需將結帳商品攤平放置於影像辨識平臺上，NEC表示，側邊可額外加裝鏡頭，提高商品辨識的準確性。</p> <p><strong>消費者將商品攤平放置在辨識平臺上，系統就會自動辨別要結帳的商品名稱及對應的金額，顯示於上方的螢幕，供消費者確認購物及應付金額：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4195(1).jpg" style="width: 300px; height: 451px;" /></p> <p>除了展示的GAZIRU，NEC流通製造解決方案事業群副總經理王昌元指出，另一項NEC開發的影像辨識技術則是運用深度學習，適用於不規則形狀、沒有固定包裝的商品，如沒有包裝或使用透明包裝的麵包、便當或是生鮮商品，利用大量影像訓練AI辨識商品的外型，用於辨識外型相似，但有細微差異的物品，例如不同種類的蘋果，但是成本也相對比較高。在日本已被用於辨識麵包，國內已有廠商測試評估中。</p> <p>在人眼虹膜辨識技術上，NEC也展示的遠距虹膜辨識技術，克服傳統虹膜辨識的需要人眼貼近鏡頭，才能擷取虹膜影像的限制，遠距虹膜辨識技術允許使用者在兩公尺距離內，只要看向鏡頭就能快速擷取到虹膜影像，不再需要貼近鏡頭，可以更自然的方式完成身分驗證。NEC指出，這項技術可運用在金庫、資料中心機房等安全性要求較高的場景。</p> <p><strong>遠距虹膜辨識可透過鏡頭擷取左右眼虹膜影像：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4213-1(1).jpg" style="width: 600px; height: 399px;" /></p> <p>虹膜辨識技術主要擷取人眼虹膜特徵進行比對，即使戴眼鏡也不受影響。這項遠距虹膜辨識技術，可擷取左、右眼虹膜影像，和原先已註冊的虹膜特徵進行比較，以確認使用者的身分正確。</p> <p>NEC今年在臺灣營運重點，將包括生物辨識、智慧零售、智慧辦公、RPA四項解決，聚焦在政府、金融、零售、製造成產業，本周成立卓越中心展示相關方案。</p> <p> </p> <p> </p> </div></div></div>
2020/8/20 17:13作者蘇文彬https://www.ithome.com.tw/news/139505
忘了更新憑證，Spotify當機逾一小時
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的音樂串流業者Spotify，在美國東部時間19日的上午8點（台灣19日晚上9點），發生大規模的服務中斷事件，且持續了一個多小時，儘管Spotify並未說明原由，但Cloudflare的一名工程師<a href="https://twitter.com/lpoinsig/status/1296062546236104705" target="_blank">Louis Poinsignon在Twitter上表示</a>，看起來像是Spotify忘了更新TLS憑證所導致的。</p> <p><a href="https://downdetector.com/status/spotify/" target="_blank">根據Down Detector的數據</a>，當時有眾多的Spotify用戶無法使用音樂串流服務，播放音樂時只放了幾秒就停了，繼之便出現錯誤訊息，而且不管是行動或桌面用戶、付費或免費用戶，都遭遇了同樣的問題。</p> <p>Poinsignon不只發現了Spotify的憑證過期，也察覺Spotify在更新憑證之後，服務便恢復正常了。雖然Spotify因為憑證過期而造成服務中斷，但Poinsignon亦稱讚至少Spotify使用了安全傳輸，不像另一家音樂串流服務Tidal依然透過HTTP來串流音樂，同時期許Spotify下次別再忘了更新憑證。</p> </div></div></div>
2020/8/20 12:15作者陳曉莉https://www.ithome.com.tw/news/139510
Zoom今年內將可相容臉書Portal、Google、Amazon智慧顯示器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>視訊軟體廠商<a href="https://blog.zoom.us/zoom-expands-to-smart-displays-at-home/" target="_blank">Zoom昨（19）日宣布</a>將相容於更多智慧顯示器，今年之內用戶將可在臉書Portal、Amazon Echo Show和Google Nest Hub Max使用Zoom。</p> <p>最新宣布是Zoom透過智慧顯示器方案，將其視訊會議軟體往家用市場擴大的一環。上個月該公司發表的<a href="https://zoom.us/docs/en-us/zoom-for-home.html" target="_blank">Zoom for Home</a>包含Zoom Meetings和Zoom Phone使用授權，使任何企業或硬體公司都可以部署協同裝置，用以視訊、打電話、啟動互動電子白板及加註。Zoom也發表了<a href="https://www.ithome.com.tw/news/138876" target="_blank">相容的硬體業者</a>，包括DTEN的第一款599美元的Zoom硬體DTEN ME。其他廠商還包括Neat及Poly（即Polycom的品牌名）。</p> <p>這項方案最新支援的智慧顯示器包括Amazon Echo Show 8、臉書Portal系列及Google Nest Hub Max。其中臉書的Portal 9月即可跑Zoom，至於Amazon 和Google則預定今年秋天開始支援Zoom。</p> <p><a href="https://about.fb.com/news/2020/08/new-video-conferencing-apps-on-portal/" target="_blank">臉書表示</a>其Portal系列，包括Portal Mini、Portal及Portal+將支援第三方視訊軟體，除了Zoom外，還可使用WebEx、BlueJeans及GoToMeeting，臉書也計畫這些視訊軟體也會支援未來的Portal TV。</p> <p><a href="https://blog.google/products/google-nest/zoom-video-call-nest" target="_blank">對Google而言</a>，則是在Nest Hub Max上跑自有的Google Meet和Duo、Google Assistant AI助理外，再支援Zoom。現在Nest Hub Max用戶已可透過「Hey Google」，來啟用Google Meet和最多100人同時視訊，今年秋天起則可使用Zoom，前提是用戶必須具備Zoom帳號。</p> <p>至於Amazon Echo Show，將從Echo Show 8在美國開始支援Zoom，同樣也可以Alexa啟動，而如果用戶以Alexa App連結行事曆，則AI助理Alexa時間到了就會自動啟動排定的會議，無需輸入meeting ID或密碼。</p> </div></div></div>
2020/8/20 11:00作者林妍溱https://www.ithome.com.tw/news/139507
蘋果市值一度突破2兆美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挺過3月的低潮後，蘋果創下歷來第3季營收和獲利新高的紀錄，並帶動股價攀升，<a href="https://techcrunch.com/2020/08/19/apple-reaches-2-trillion-market-cap/" target="_blank">使其市值於昨（19）日一度突破2兆美元</a>。</p> <p>疫情爆發後，美國政府積極救市，帶動整體科技股近幾個月持續攀升，蘋果股價今年已經上漲了將近59%。<a href="https://www.ithome.com.tw/news/139152" target="_blank">蘋果7月底發表的第3季財報中</a>，也交出了營收年成長11%的成績單，成為史上表現最好的第3季，帶動股價持續上攻，昨日突破468美元，而使其公司市值一度超過2兆美元，雖然最後以462.25美元收盤，但市值也來到1.98兆美元，位居5大科技龍頭（FAAMG）之首。</p> <p>才不過兩年前的8月，蘋果市值才正式<a href="https://www.ithome.com.tw/news/124963" target="_blank">突破1兆美元大關</a>。</p> <p>今年上半年美國科技龍頭Amazon、微軟、Google及臉書股價，皆從3月低谷一路上漲，有4個目前躋身兆元俱樂部。根據最新數據，Amazon以1.63兆美元居第二位，第三名為微軟的1.59兆美元，其次是Google的1.5兆美元。</p> <p>事實上，除了電子商務為主的Amazon外，武漢肺炎疫情帶給Google/Alphabet、<a href="https://www.ithome.com.tw/news/138983" target="_blank">微軟</a>及<a href="https://www.ithome.com.tw/news/139156" target="_blank">臉書</a>程度不一的衝擊。Alphabet更是出現<a href="https://www.ithome.com.tw/news/139153" target="_blank">史上首次營收下滑</a>。昨日聯準會（Fed）公布報告，預期下半年美國在疫情影響下，經濟復甦面臨高度不確定性，造成美國股市全面下挫，中斷了近期的漲勢。</p> </div></div></div>
2020/8/20 11:30作者林妍溱https://www.ithome.com.tw/news/139508
微軟修補兩個Windows權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4578013/security-update-for-windows-8-1-rt-8-1-and-server-2012-r2" target="_blank">微軟在本周三（8/19）修補了</a>Windows 8.1、Windows RT 8.1與Windows Server 2012 R2等平臺的兩個安全漏洞，它們皆屬於Windows遠端存取權限擴張漏洞，雖僅被微軟列為重要（Important）等級，但微軟呼籲用戶應該要立即更新。</p> <p>其中的CVE-2020-1530肇因於Windows Remote Access不當處理記憶體，CVE-2020-1537則是因Windows Remote Access不當處理檔案操作，駭客若要開採這兩個漏洞，必須先取得系統的執行權限，再以特製的應用程式來擴張權限。</p> <p>其實這兩個漏洞不僅影響Windows 8.1、Windows RT 8.1與Windows Server 2012 R2，也波及Windows 10與其它Windows版本，只是其它版本的修補程式已在8月11日的Patch Tuesday釋出，可能是來不及修補所有的Windows版本，才延至本周更新。</p> </div></div></div>
2020/8/20 11:45作者陳曉莉https://www.ithome.com.tw/news/139509
AWS客服中心服務現可整合第三方AI解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了<a href="https://aws.amazon.com/tw/blogs/aws/aws-announces-aws-contact-center-intelligence-solutions/">Contact Center Intelligence（CCI）</a>解決方案，這是一項服務組合，可以讓用戶將第三方的人工智慧功能整合到客服中心服務裡，用戶可以從AWS的夥伴網路APN中，取得這些人工智慧功能。CCI提供了自助服務、即時來電分析和專員協助，以及其他後續的通話分析解決方案，讓用戶能夠在既有的客服工作流程中，快速部署人工智慧功能。</p> <p>即便客服中心服務用戶缺乏機器學習專業，CCI也可以讓用戶簡單地利用雲端服務，實作機器學習功能，解決業務問題，AWS提到，CCI解決方案讓用戶可以使用各種機器學習功能，包括轉錄、文字轉語音、翻譯、企業搜尋、聊天機器人和商業智慧等。用戶目前可透過參與APN的AWS合作夥伴，取得CCI人工智慧解決方案，這些解決方案範疇，集中於解決客服工作流程中3階段的問題，分別是自助服務、即時來電分析和專員協助，以及通話分析。</p> <p>自助服務解決方案可以讓用戶創建聊天機器人，或是採用機器學習互動式語音回應，來解決客服人員常遭遇到的問題，自助服務還能夠整合聊天機器人服務Amazon Lex，與企業搜尋服務Amazon Kendra一起使用，這兩項服務可提供事務性的查詢，幫來電者解決預定飯店房間或是重設密碼等任務，AWS提到，過去問答集必須要在Amazon Lex中寫死，實作和維護有其難度，但現在整合CCI使用，能夠簡化部署該服務的程序。</p> <p>而即時來電分析與專員協助功能，可以提升客服人員的工作效率和參與度，相關的解決方案除了可以使用Amazon Transcribe即時轉錄語音，也能使用自然語言處理服務Amazon Comprehend分析通話互動，並偵測來電者的情緒，同時辨識話語中的關鍵詞和短語，也能以翻譯服務Amazon Translate將對話翻譯成特定語言。</p> <p>客服中心用戶可能會想要對所有通話進行分析，而CCI中的通話分析解決方案，能對所有通話進行自動化分析，取得的分析結果能夠回饋給產品或是服務流程，作為後續改進的根據。AWS提到，通話分析與即時來電分析很像，這個解決方案也是結合了Amazon Transcribe進行語音辨識，並為每通電話創建文字轉錄，並且可使用Amazon Translate將轉錄的文字，翻譯成為特定語言，還能把Amazon Kendra用於上下文自然語言查詢中。</p> <p>CCI解決方案地區的可用性，與所使用的基礎服務，諸如Amazon Lex、Amazon Transcribe和Amazon Translate等相對應。</p> </div></div></div>
2020/8/20 10:25作者李建興https://www.ithome.com.tw/news/139501
繽紛版Google Maps上線，更容易從地圖上區隔自然景觀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/maps/more-detailed-colorful-map/" target="_blank">Google宣布</a>，自本周起將藉由新的彩色映射演算技術，改善Google Maps上的自然景觀呈現方式，讓使用者得以辨識地圖上是沙灘還是沙漠，是湖水、河流還是海水，甚至能辨識山頂上是否有積雪。</p> <p>Google是先利用電腦視覺技術來判斷衛星照片上的自然景觀，特別是在沙漠、寒冷、森林或山區，分析後再根據HSV顏色模型來指派顏色範圍，例如茂密的森林就是深綠色，若是片狀的灌木林區則不那麼綠。於是，充滿自然景觀的冰島在Google Maps上看起來就更繽紛了，除了可以看到不同層次的綠色樹林之外，也可明顯看出知名的冰帽位置。</p> <p>除了在地圖上以更多的顏色來表達自然景觀以外，Google也計畫建立更仔細的街道資訊，可望精確地秀出道路的形狀與相對寬度，還能區隔人行道、行人穿越道及行人避車島。</p> <p>Google認為，在此一疫情時期，這些街道上的細節將更能協助人們以步行或其它單人運輸的方式，在街道上行進。</p> <p>色彩繽紛的Google Maps已於本周上線，而詳細的街道資訊則會在未來幾個月，率先出現在倫敦、紐約與舊金山。</p> </div></div></div>
2020/8/20 10:40作者陳曉莉https://www.ithome.com.tw/news/139506
資料自主權風潮當道，衝擊多國政策，更開始吹進臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位轉型浪潮襲捲下，資料的價值比過去更受到重視，被視為驅動經濟發展，催生創新服務良方，釋放原本鎖在政府機關或民間組織內的資料，讓資料能被更靈活的運用、流動，也被各國視為鼓勵創新服務、公私協同合作、深化數位經濟發展的重要手段。</p> <p>然而資料的運用，特別是極具價值的個人資料，因涉及到個人隱私，在注重人權的西方先進國家，大多制定法律或設立專責機關，節制對個人資料的使用，以避免個人資料被濫用，而因應數位經濟的發展，西方國家更融入個人資料的自主運用控制的精神。</p> <p>以歐盟在2016年制定，2018年5月上路施行的一般資料保護規範(General Data Protection Regulation，GDPR)為例，因為規範涵蓋歐盟成員國，只要業務往來中蒐集到歐盟民眾個資，就會受到GDPR的規範，若企業發生個資外洩事件，可能遭到全球營收4%或2千萬歐元的裁罰，對企業營運直接帶來衝擊，影響之大不只歐盟成員國境內的企業，境外的企業也連帶受影響。</p> <p>然而，在外界關注GDPR對企業營運帶來的衝擊之外，另一項不容忽視的是GDPR彰顯在全球個資保護的一些重要原則，取回個人對資料的控制權，讓個資主體對資料擁有拒絕被使用的權利，進而可要求業者刪除其資料。</p> <p>另一項權利則是資料可攜權，即業者必需容許用戶帶走自己的資料，在不同的服務中移動自己的個資，充分展現個人資料的自主運用權利。這意謂過去政府機關、民間企業及組織以「資產」為名鎖在公私部門組織內的用戶資料，可讓民眾或用戶帶著走。</p> <p>相似的概念也出現在2018年上路的歐盟支付服務指令第二版（PSD2），為鼓勵新業者進入金融市場帶動創新，PSD2推動金融數據共享，要求銀行應提供Open API，讓第三方得以存取銀行的資料，並要求銀行採用更高的資安機制，控管可能的風險。</p> <p>澳洲的消費者資料權法（Consumer Data Right）也保障了消費者資料的自主權，可要求業者調閱其資料、刪除資料、停止或限制機構使用其資料，或是將資料帶走提供他人使用等等。</p> <p>不論是GDPR或是澳洲的消費者資料權法，對資料的使用權有更明確的保障，看似極大化限制企業對民眾個資的運用，但相對地訂下遊戲規則，讓遵守規定的企業能夠合理運用民眾的資料。</p> <p><span style="font-size:28px;"><strong>資料自主運用在各國興起</strong></span></p> <p>政大電子治理中心副主任蕭乃沂認為，善用個資創造價值，保護個資也是重要價值，兩者之間並不衝突，應找出有創意的方式平衡，既不相互衝突且互相幫助「個資保護愈好，相對地，善用個資的價值也愈高」。從過去消極的保管資料，到沒有犧牲、妥協個資保護的條件下去善用資料。</p> <p>MyData資料自主運用即是找出個資保護、個資利用兩者間平衡的一種方法，在一些先進國家中推展，涵蓋政府、金融、健康醫療、電信、能源等領域。</p> <p>美國政府蠻早開始推動資料自主的概念，由於美國沒有健保制度，民眾的健康資料散落在各機構，在2009年美國政府針對退伍軍人推出Blue Button，在退伍軍人事務部網站設計一個藍色按鈕，退伍軍人按下網站上的藍色按鈕，就能下載個人的健康資料，提供給醫生、醫療保險或照顧者。隨後美國在能源領域也推出Green Button。</p> <p>澳洲政府除了推動開放資料、數位政府服務，2012年更制定法規，推動「我的健康紀錄」（My Health Records），讓澳洲民眾可自主管理個人的健康資料，並可和醫療服務者、代理人共享資料，這些資料包括藥物處方紀錄、醫師診療紀錄及其他健康相關的個人紀錄。2017年澳洲更提倡消費者資料權法，讓民眾自由控制個人資料，可要求資料的控管者提供可機讀的資料，提供給第三方使用，澳洲政府也加強對「我的健康紀錄」資料二次利用的監管。</p> <p>英國在消費者資料賦權的概念下推動midata，倡議參與的企業提供可機讀、重覆使用的格式，提供消費者對其資料的訪問權，以及資料的可攜運用，後來指定金融、電信、能源產業配合釋出midata。其中在金融領域，英國推動開放銀行，要求9家銀行建立及採用開放銀行API標準，並透過API將顧客資料授權第三方使用，以提供創新的服務。英國推動開放銀行更運用沙盒實驗，解決現行法規不允許的問題，透過實驗評估創新的資料運用、服務效益及潛在的問題及風險，成為其他國家參考借鏡對象。</p> <p>由於個資運用相當敏感，許多數據的加值應用可能違法，蕭乃沂推崇英國沙盒實驗的機制，建立創新的實驗機制相當關鍵。「先透過創新實驗，瞭解效益及可能的風險在哪，才能評估是否推出創新服務，如果在法規不允許下，就什麼都不能做」，他說。</p> <p>身處北歐的芬蘭在2014年提出了MyData架構，提倡個資的自主管理及運用，並從2016年開始每年舉辦MyData年會，讓個人、組織在MyData進行經驗交流。他們並將開放資料的精神落實到個資的蒐集和使用，確保民眾有知情、查閱、修正、使用、分享、出售、分享個人資料的權利。</p> <p>芬蘭政府並將MyData的資料自主精神推向民眾的電子醫療紀錄，讓民眾得以取得自己的醫療紀錄、用藥處方、個人健康資訊，並可和醫療保健服務業者、藥局分享資料。</p> <p>其他還有新加坡、日本、韓國等推動資料自主運用。其中日本發展出情報銀行的個資信託制度，建立資料授權機制，讓消費者和企業在安全環境中進行資料蒐集和利用，創造資料的附加價值。用戶將自己的資料信託給情報銀行保管、移轉，並可決定是否收費授權其他企業使用。</p> <p><span style="font-size:28px;"><strong>資料自主在臺灣</strong></span></p> <p>臺灣也趕上這股資料自主的趨勢，衛福部健保署在2014年9月，先在健保署官網推出「健康存摺」，民眾只要使用自然人憑證或已註冊的健保卡，完成線上身分驗證，就能查詢或下載個人的健康資料，包括在各個醫療院所的資料，手術、住院、用藥、檢驗資料、個人健保計費、繳納資料、預防接種、器捐意願等等。</p> <p>健保署更推出健保快易通App，讓民眾可在手機上完成身分驗證，查詢或下載健康存摺的健康資料。</p> <p>蕭乃沂認為，健康存摺就是一個臺灣MyData推動的成功案例，由健保署擔任營運者、資料提供者、身分驗證、資料授權等多種角色，為單純的MyData架構實例。</p> <p>而主管國內金融市場的金管會也在2019年推動開放銀行政策，開放銀行的核心精神為消費者資料自主權，在消費者同意下，金融業者和第三方服務者TSP，透過Open API共享金融資料，刺激創新服務的推出。</p> <p>不僅健康醫療、金融領域，今年政府機關資料也趕上這股My Data趨勢。</p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 學界觀點：政治大學金融科技研究中心副主任陳恭 </span></strong></span></span></p> <p><span style="font-size:24px;"><strong>營造以人為本的資料運用才能促成資料經濟發展</strong></span></p> <p>過去曾參與MyData研究，並熟悉國內開放銀行發展的政治大學金融科技研究中心副主任陳恭表示，資料自主運用，可能西方國家對資料的重視有關，而逐漸發展出的理念，而這幾年有更進一步的發展。</p> <p>以澳洲的消費者資料權法（Consumer Data Right，CDR）為例，就提出資料的雙向交流原則，也就是業者不能只有取得別人的資料，也必須貢獻自己的資料。</p> <p>而芬蘭在2015年推動資料經濟時提倡以人為本的資料運用。過去資料被鎖在機關裡，以組織為導向，應改成以人為本位，讓資料跟著人，資料從組織中解放出來，這種以人為本位的資料運用概念，人們在各個組織、機關留下的數位足跡應該要有使用權，甚至授權給第三方使用。</p> <p>陳恭認為，這是進步的地方，如此才能發展資料經濟，甚至可能發展出創新的應用，例如微型支付機制，當消費者購物時，第三方會徵求消費者同意，把購買商品這件事用於廣告或銷售，並提供消費者一些報酬。</p> <p>歐洲更進一步提出公平的資料經濟(Fair Data Economy)，主張民眾(資料提供者)應該獲得公平待遇，民眾提供資料讓第三方使用，隨時可以撤回或查詢資料使用情形，甚至能獲得微薄的各種形式利益或報酬，或是服務升級。公平的資料經濟也強調資料使用者相對的責任。</p> <p>陳恭認為，如果資料共享不僅在個別產業內，還能跨產業共享，例如在民眾同意下，將醫療資料分享保險業，將催生出創新的服務。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139395
MyData解放政府資料大門，31項官方個人化資料使用權自己作主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國外資料自主風潮吹向臺灣，國發會歷經三年多的政策規畫，今年7月底以試營運為名推出MyData數位服務個人化平臺（簡稱MyData平臺），這個平臺嘗試為過去被視為敏感的民眾資料建立一個合理運用的模式。</p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-350-%E9%AB%98%E4%BB%99%E6%A1%82.jpg" style="width: 300px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>國發會副主委高仙桂表示，MyData將過去政府保管</strong></span><span style="color: rgb(105, 105, 105);"><strong>的民眾資料，在符合個資法的條件下，讓民眾自主運</strong></span><strong style="color: rgb(105, 105, 105);">用。</strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>民眾使用MyData取得個人化資料，需要先以自然人憑證、健保卡、TW FidO等通過線上身分驗證，將資料暫存至MyData個人雲，線上預覽個人資料、下載到自己的電腦儲存，或是攜帶MyData平臺條碼至地方政府臨櫃核驗辦理服務，甚至在民眾知情同意下，將資料授權給提供服務的第三方，改善線上服務體驗。</p> <p>國發會副主委高仙桂表示，開放資料的運用是政府的重要工作，資料的開放及加值運用，是驅動數位經濟發展的關鍵。過去政府基於業務執掌，或依法定業務需要蒐集了非常多的資料，「政府資料就是一座寶庫」。</p> <p>她將政府資料分為三類，開放資料(Open Data)、共享資料(Shared data)、不開放資料(Closed data)。其中開放資料，以開放格式、開放授權提供免費使用的公共去識別化資料，目前政府已開放4萬多筆資料；共享資料則是在未來開放資料法中，允許在特定限制條件下有限度運用，政府機關可收費或保留撤回權；不開放資料因為機密、敏感而受到保護，不對外開放，例如國家機密、個人資料。</p> <p><strong style="font-size: 28px;">MyData扮演政府個人化資料交換平臺</strong></p> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P3P4-graph-600.jpg" style="text-align: center; width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">MyData已試營運上線，目前提供31項政府機關資料可供民眾下載、運用。</strong></p> <p>MyData即是將不開放資料中，非關國家機密的個人化資料，開放民眾自主運用，等於扮演一個資料下載、交換的中介平臺，居中連結政府機關扮演的資料提供者（Data Provider），以及需要資料的服務提供者（Service Provider）。</p> <p>國發會和政府機關、服務提供者達成資料交換共識，以API介接合作的政府機關，釋出資料經機關憑證加簽章，確保資料的真實性，傳輸採用HTTPS加密，資料格式包括不可編輯的PDF和可機讀的json，平臺通過ISO 27001等等。服務提供方也透過API介接MyData，驗證資料確實來自資料提供機關，資料完整性，再讀取資料欄位。</p> <p>目前在試營運階段，已有內政部、財政部、經濟部、勞動部、衛福部、教育部、交通部等7個部會開放31項資料集，包括個人戶籍資料、現戶全戶戶籍資料、地籍及實價資料、國民身分證影像，財政部的財產資料、個人所得資料、房屋稅繳納證明等等。</p> <p>而服務提供者則有教育部、經濟部，以及桃園市、花蓮縣、雲林縣、嘉義縣4個地方政府、國營事業的中油，還有透過金管會加入的7家銀行，目前共有40項線上服務可使用MyData平臺取得。</p> <p><span style="font-size:28px;"><strong>主推3大個人化資料應用情境</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-600-1-V2.png" style="width: 600px;" /></strong></span></p> <p>國發會目前聚焦三種個人化資料的應用情境；第一種是最單純的個人下載應用，將政府機關資料下載至MyData暫存，民眾再從MyData平臺下載到自己的資料；第二種情境是臨櫃核驗應用，資料下載至MyData暫存後，使用者拿著平臺產生的專用條碼及密碼，便可在地方政府臨櫃辦理服務時，提供條碼掃描、授權承辦人員至MyData存取資料；第三種線上服務情境，則是授權MyData將資料交給服務者，簡化申請線上服務的流程，提升使用者的體驗。</p> <p>不論是哪種應用情境，資料的移動都是通過MyData中介處理，從政府機關（資料源頭）先下載至MyData個人暫存空間，再依三種應用情境，下載到民眾的個人電腦、地方政府臨櫃業務系統，或是第三方服務提供者（其他政府機關、國營事業及銀行）。</p> <p>以較為複雜的線上服務應用為例，假設民眾在某家銀行官網線上申辦信用卡，先在銀行的線上申請系統提出請求，銀行系統就會引導民眾至MyData，民眾通過身分驗證、授權MyData從政府機關下載資料，並暫存於MyData的個人空間，同時MyData也向銀行呼叫個人資料驗證金鑰序號，由銀行服務系統呼叫MyData取得民眾資料，同時民眾也被引導回到銀行官網，完成線上申請程序。</p> <p>MyData在民眾同意下從政府機關下載資料，暫存於MyData上的個人資料空間，一旦資料被存取，該資料就會移除，或是8小時內沒有任何存取動作，系統也會自動清除資料。民眾可以在MyData個人專區裡，查看資料的各種活動紀錄。</p> <p><span style="font-size:28px;"><strong>誰能用MyData拿資料？</strong></span></p> <p>許多產業可能對政府釋出的民眾個人化資料感興趣，不過現階段國發會試營運的MyData平臺以公務機關為主，使用資料的服務提供者包括中央部會、地方政府及國營事業，還有透過金管會和國發會合作，唯一以民營業者身分加入MyData平臺線上服務應用的銀行業者。</p> <p>至於為何銀行業者可以加入MyData平臺？主要是因為金管會代銀行業者和國發會協商，考量到銀行業對個資保護具有一定的嚴謹程度、公會自律，加上主管機關金檢等高度監督，因此開放銀行業者加入。</p> <p>依據國發會所公布的平臺介接作業要點，除了政府機關、地方縣市政府，一般大專院校需經教育部同意，銀行、聯徵中心及部會所屬國營事業，需經各目的事業主管機關同意，才能向國發會申請試辦介接MyData平臺。從作業要點來看，產業如想介接MyData平臺，或許可向主管機關表達，透過主管機關和國發會協商介接的可能。</p> <p>儘管現在國發會並沒有規畫讓其他民營業者介接MyData，不過，這不代表民間業者就沒有機會拿到民眾的資料，民眾自MyData平臺下載個人資料後，只要民眾同意下，還是可授權其他業者使用，但是列印出的文件資料不易辨別真偽，可能有偽造的風險。</p> <p>另外，在MyData的臨櫃核驗應用情境裡，雖然主要應用是方便民眾在臨櫃辦理時核驗資料，但是民眾也能將條碼及密碼提供給其他業者，授權其他業者至MyData下載資料，在這個應用情境中，資料的存取權是以MyData專用條碼及一次性密碼為依據。國發會並沒有限制使用條碼的存取者身分，尊重民眾的資料自主運用。</p> <p><span style="font-size:28px;"><strong>中央與地方跨機關資料交換有新管道</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P3P4-500-%E8%95%AD%E4%B9%83%E6%B2%82.jpg" style="text-align: center; width: 300px;" /></td> </tr><tr><td> <p><strong style="color: rgb(105, 105, 105);">政治大學電子治理中心副主任蕭乃沂表示，政府可以先從申</strong><strong style="color: rgb(105, 105, 105);">請頻繁、但資料取得不便的地方，找出讓民眾有感的</strong><strong style="color: rgb(105, 105, 105);">MyData殺手級應用。</strong><span style="color: rgb(105, 105, 105);">（攝影／余至浩）</span></p> </td> </tr></tbody></table><p>目前民眾向政府機關申辦服務，多需要取得其他機關核發的證明文件，過去只能前往各機關取得服務需要的紙本證明文件，在便民趨勢下，儘管業務往來密切的機關間可能通過協議，建立點對點的資料查驗管道，但仍然缺乏一個共通的跨機關資料取得機制。</p> <p>「政府推動電腦化已相當久，各機關都已電腦化，但他們之間為什麼不講話」，這是政治大學電子治理中心副主任蕭乃沂一語道破政府機關間缺乏資料流通、共享機制的缺點。</p> <p>以民眾向C機關申請服務為例，因需要A和B機關資料，得先到A和B機關取得紙本資料，再到C機關申請服務，A機關要看A證件才能提供資料，B要看B證件才提供資料，C機關不看A和B的證明，只看A和B的資料。「從行政分權精神來看這是合理的，但是卻不便民的」，蕭乃沂說。</p> <p>他表示，現在通過MyData平臺，使用者線上先取得A和B機關的資料，再到C臨櫃辦理，將來如通過修法或其他方式進一步克服臨櫃的限制，讓C機關業務也能線上進行，就能達成A、B、C服務全程線上化。</p> <p>業界建議找出有感殺手級應用，建立安心的資料分享環境</p> <p>對民眾、政府和第三方服務提供者來說，對MyData嘗試建立的個人資料運用機制可能需要時間熟悉，目前MyData以試營運方式上線，一方面蒐集問題，滾動式調整，另方面藉由釋出少數和民眾相關的資料，先建立資料開放運用的示範，再逐漸擴大平臺釋出的資料及服務規模。</p> <p>不過，有鑑於個資濫用、個資外洩事件頻傳，民眾可能會擔心將自己的資料給第三方使用有風險，影響對MyData的資料運用機制的接受度。</p> <p>對此，台新金控資訊長孫一仕認為，要讓民眾願意和企業分享資料，要有足夠的誘因，以及能提出安全的保證，消費者會擔心提供資料出去，是不是會被濫用或外洩，企業若能滿足兩條件，就能取得更多資料，回饋客戶更好的服務。關鍵是心態的調整，要讓客戶覺得提供資料，能獲得更好的服務及產品。</p> <p>蕭乃沂則建議政府可先找出民眾使用頻率較高的業務，但申請很不方便的服務，在法規允許下，利用MyData平臺幫民眾解決資料取得問題，建立讓民眾有感的殺手級應用，才能吸引更多機關加入。此外，為了降低政府機關的抗拒心理，說明平臺的風險控管，提高其他機關加入的意願。</p> <p><strong style="font-size: 28px;">學界提醒得強化民眾了解風險，同時更嚴格管理資料運用</strong></p> <p>曾參與MyData政策研究，以及國內開放銀行策略推動的政大金融科技研究中心副主任陳恭認為，MyData是一種資料賦權概念，讓民眾有個人資料的使用權，但相對的有權就有責，政府應該引導民眾了解提供資料供第三方使用背後可能要承擔的風險。</p> <p>陳恭更建議，政府機關對資料集的提供和使用上，應該要有更周延的管理，以銀行業者線上服務為例，理論上，依金融服務的性質不同，申請時需要檢附的資料也理應不一樣，但銀行透過MyData取得相同的官方民眾財產資料，「這和MyData平臺要求服務提供者的最小化個資蒐集原則，可能會相抵觸。」他提醒得進一步檢視或細分管理。</p> <p>另外，目前MyData平臺只開放給資料的所有人自己使用，但是，部份服務的申請，如需要申請長照服務的老人家或行動不便者，可能需要代理人協助申請，陳恭建議，政府應開放適當代理機制，涉及政府資料敏感程度，以及代理人和被代理人之間的關係親疏。</p> <p>類似於MyData開放資料運用概念，目前國內在金融領域也推動開放資料，金管會推動的開放銀行(Open Banking)，鼓勵國內銀行開放銀行客戶資料供第三方業者使用，以帶動金融服務的創新，目前開放銀行即將進入第二階段，除了民眾帳戶餘額、交易歷史紀錄資料，也提供少數服務申請。</p> <p>比較兩邊推動上的差異；MyData以政府機關的資料開放運用為主，政府機關間使用API，在服務提供者方面，開放讓銀行加入，讓銀行可從MyData下載民眾資料，並提供線上信用卡、信貸、車貸申請等服務；反觀開放銀行第二階段同樣涉及MyData概念，採用Open API，但第二階段開放服務申則比較保留，僅有高速公路拖吊等少數服務開放申請。</p> <p>他認為，MyData和開放銀行都有銀行涉入，但兩邊管理步調不太一致，銀行在MyData提供線上服務，但在開放銀行第二階段僅有少數服務開放申請。政府應從整體角度推動開放資料運用。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139396
【MyData企業實例：台新銀行】金融服務全程自動化有新途徑，優化顧客體驗簡化銀行作業創雙贏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「希望在客戶同意下，使用客戶的資料來提供更好的金融服務體驗」，台新金控資訊長孫一仕點出為何台新積極成為MyData首波合作串接的7家銀行之一，甚至一口氣推出最多服務的銀行。</p> <p>今年1月初，國發會宣布會在今年開始試營運MyData平臺，過去被政府機關視為敏感的民眾個人資料，現在只要民眾同意，就能透過該平臺將資料提供給第三方服務商，對第三方而言，有機會拿到民眾同意授權的政府個人化資料。</p> <p>多家銀行業者看到這個消息很感興趣，透過主管機關金管會提出串接平臺的需求，國發會考慮到銀行業的個資保護、資安要求及金檢等高強度監管水準，決定開放銀行業者加入MyData平臺，經過國發會、金管會及銀行討論，確認銀行線上服務如何與平臺介接，相關身分驗證、流程、資安保護、資料格式等等。</p> <p>7月底，MyData試營運上線，民眾只要到這些整合MyData平臺的銀行官網上，申請特定服務時，如信用卡、信貸、車貸、房貸、資料維護、線上補件，就能利用MyData將自己在政府手上的個人資料，直接授權提供給銀行業者使用。國發會更預告，不只7家，未來還將有十多家銀行也會加入串接。</p> <p><span style="font-size:28px;"><strong>簡化客戶使用線上服務體驗</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><strong style="font-size: 28px; text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P5-600-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></strong></td> </tr><tr><td> <p><span style="color:#696969;"><strong>台新金控資訊長孫一仕表示，透過MyData推動個人</strong></span><span style="color: rgb(105, 105, 105);"><strong>資料自主運用，能讓民眾慢慢體驗，在安心的環境</strong></span><span style="color: rgb(105, 105, 105);"><strong>下，分享個資可以帶來更好的服務體驗。</strong>（攝影／洪</span><span style="color: rgb(105, 105, 105);">政偉）</span></p> </td> </tr></tbody></table><p>「加入MyData平臺，讓銀行提供更簡單、方便的服務」，孫一仕說。</p> <p>舉例來說，國內銀行很早便開放線上信用卡申請，雖然申請時可以線上填寫表格，但還是要準備紙本財力證明資料，再郵寄至銀行申請，而現在透過MyData，銀行業者直接取得客戶授權提供的所得稅資料，簡化消費者準備資料的過程，直接省下申請資料郵寄過程。</p> <p>而在後端作業上，也可以簡化資料處理過程，以線上申請信用卡為例，台新現有的線上信用卡申請服務，當消費者寄來的資料送到銀行，得經過人工登打或OCR處理後，將資料集中存放，再定期將資料匯入申辦的進件系統中。台新為MyData平臺另開一個流程，因銀行是以API和MyData平臺介接，並提供json格式資料，消費者申請資料進來後，系統會先存放在另一處資料源，由於MyData提供的是電子資料，因此少了資料人工登打的處理過程，進件系統可以直接取得所需資料，來執行後續的自動化申請程序。</p> <p>因此，台新銀行在收到客戶申請資料後，在進件系統之前先分為兩個資料源，一個資料源專門存放經過登打或OCR處理的申請資料，另一個資料源用以存放MyData的電子化資料，對應處理不同的資料。</p> <p><span style="font-size:28px;"><strong>未來擬提供更多服務</strong></span></p> <p>台新銀行目前介接MyData的5項線上服務，包括線上信用卡、信貸、房貸、車貸及客戶資料維護，消費者除了可在MyData平臺申請之外，也能從台新銀行的官網申請，選擇以MyData提供資料，在台新銀行官網輸入身分資料後，系統會引導消費者至MyData下載資料，並同意授權台新銀行使用。</p> <p>台新根據MyData首波開放的31項資料集，評估後才決定了第一波先整合哪些線上服務，孫一仕表示，下一階段銀行將和金管會、國發會溝通討論，希望能釋出更多、更詳細的民眾資料，例如現在只釋出民眾勞保保額資料，但銀行希望可以取得12個月勞保繳款資料，或是更詳細的所得資料，供銀行評估推出更多的服務，例如法人戶服務。</p> <p>對於MyData推動的資料自主運用，孫一仕看好在服務層面上具有發展潛力，但他認為，民眾提供資料的多寡，會決定能得到多少加值服務。要讓客戶放心和企業分享個人資料，關鍵是企業能否提供足夠的誘因和安全的保證，消費者會擔心資料對外提供後可能會遭到濫用或洩露，企業如果能滿足兩條件，就能取得更多資料，回饋客戶更好的服務。他認為，這並非技術問題，而是心態調整，銀行須讓客戶覺得提供資料，能獲得更好的服務、產品。</p> <p>民眾自主運用政府資料，將資料提供給第三方服務提供者，雖然享受更便利的服務，但孫一仕也提醒，民眾也應對風險有足夠的認知，在個人同意之下，將資料交給第三方使用，當發生個資濫用、洩露事件，民眾將需承擔部分責任。</p> <p><span style="font-size:28px;"><strong>開放資料應用不應只聚焦特定產業</strong></span></p> <p>國內銀行業者在MyData平臺中扮演服務提供者角色，取得民眾資料提供金融服務，是資料的使用方，不像在金管會推動的開放銀行政策裡，銀行是扮演資料提供者，必須開放資料供第三方使用。</p> <p>孫一仕表示，MyData讓擁有個人資料的客戶能夠自主使用資料，和Open Data的理念接近，銀行將資料開放給消費者認可的單位使用。理論上，所有擁有資料的單位，不分公私部門都應將資料開放出來，在民眾的自由意願下使用。「真正擁有資料的是客戶，只要在客戶的同意下，就應開放出來」。他相信資料的傳送流動，可以激發化學反應。</p> <p>他認為，開放資料應從資料擁有者的角度來看，而不是從擁有資料的企業來看，不能只看到個別產業擁有大量資料，卻忽略了其他領域有更多資料。以澳洲為例，澳洲政府推動跨產業開放資料，金融資料的開放只是起步，下一步將推到能源、電信、零售等產業。</p> <p>儘管距離跨產業資料共享可能還有些距離，但孫一仕相信，將來仍有可能達成。不論是現在推動的MyData或是Open API，隨著不斷的實驗、試行，讓消費者慢慢體會在安全的環境下能獲得的益處，比如用MyData申請服務有更好的體驗。將來透過Open API給第三方變化資料的運用。</p> <p>他樂觀相信，隨著種種的實驗，讓消費者慢慢改變心態，不再將提供資料視為毒蛇猛獸。這需要時間慢慢去改變，如同MyData試驗想讓消費者感受到好處、安全，這也是台新銀行投入的原因，在資料交換、處理上累積足夠實戰經驗，才能說服消費者安心分享資料。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139397
【MyData地方政府實例：桃園市政府】中央與地方跨機關資料交換新作法，臨櫃申辦不只簡化更能無紙化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在六都中，桃園市政府是第一個加入MyData平臺的地方政府機關，靠著MyData簡化民眾跨機關取得資料的不便，優化桃園市政府便民服務。</p> <p>關鍵推手桃園市資訊科技局長陳崗熒表示，桃園市政府雖然透過網路e指通提供各種市民所需的線上服務，讓市民直接線上申請、繳費等，但這些線上服務和其他機關間的平臺，彼此沒有貫穿，直到MyData平臺推出後，透過和統一的平臺介接，就能跨機關取得服務所需的民眾資料。</p> <p>加入MyData之前，民眾使用網路e指通進行線上查詢、繳費或是申請服務，必須先準備好各種資料，這些資料可能散布在不同機關，陳崗熒指出，由於機關間沒有橫向串連，民眾取得附件資料，需向各個機關申請，再將準備好的資料上傳至服務系統。現在加入MyData平臺後，民眾只要在MyData準備各機關的資料，市府就能透過MyData一次取得資料。</p> <p><span style="font-size:28px;"><strong>降低多機關資料取得的複雜度</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0820-%E5%B0%81%E9%9D%A2P6-300-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>桃園市資訊科技局長陳崗熒表示，MyData平臺推</strong></span><span style="color: rgb(105, 105, 105);"><strong>出，地方政府自己的線上服務，就能透過統一平臺的</strong></span><span style="color: rgb(105, 105, 105);"><strong>串接，跨機關取得服務所需要的民眾資料。</strong>（攝影／</span><span style="color: rgb(105, 105, 105);">洪政偉）</span></p> </td> </tr></tbody></table><p>「以前民眾申請線上服務，需要準備多種附件佐證資料，雖然這些資料都和個人有關，而且機關都有保留，但民眾仍要進行很多動作才能完成，現在透過MyData就能取得資料，簡化資料取得的問題。」陳崗熒說。</p> <p>以民眾在網路e指通上申請身心障礙停車識別證為例，現在民眾已可選擇透過MyData提供資料，系統會引導至MyData平臺，民眾只要通過線上身分驗證並同意，資料就會提供給桃園市政府取用，完成線上申辦過程。</p> <p>桃園在網路e指通網站上，整合了旗下各機關提供的線上服務，包括581項便民行動申請服務，以及71項的線上申辦服務。為了讓這個入口網站能和MyData平臺介接，桃園市政府去年花費相當多的時間，先對府內機關進行深度的需求訪談，掌握不同機關線上服務，例如監理站、稅務局等單位，業務屬性不同，業務需要的表單資料也不同，並瞭解哪些資料能從MyData取得。另外，因為剛開始對MyData平臺不熟悉，桃園市政府也花了不少力氣，完成系統介接。</p> <p>儘管如此，但陳崗熒認為，因為市府已有一個單一服務入口平臺，透過e指通和MyData介接，可省下個別的局處機關和MyData介接的過程，也降低工作的複雜度。</p> <p>目前桃園市已有6項線上服務可使用MyData，例如地政士開業（變更）登記申請、核發社會工作師執業執照、身心障礙者專用停車位識別證、中醫助孕養胎調理申請等服務。</p> <p>不過，儘管網路e指通和MyData平臺介接，降低民眾及市府取得跨機關資料難度，但因為e指通、MyData有各自的身分驗證機制，民眾使用兩個平臺仍需完成兩邊的身分驗證。</p> <p>對此，陳崗熒認為網路e指通提供市民線上服務，MyData平臺提供e指通線上服務所需跨機關資料管道，儘管目前兩者的身分驗證沒有整合，但都能在手機上完成，對民眾的使用不會造成不便。</p> <p><span style="font-size:28px;"><strong>臨櫃服務</strong></span></p> <p>桃園市政府也在臨櫃資料核驗和MyData平臺合作，現在已有4項業務可利用MyData的電子資料取代紙本資料，完成臨櫃資料的核驗。</p> <p>陳崗熒表示，過去民眾臨櫃辦理服務，可能要先到不同的機關，甚至依順序不同申請各種書件謄本資料，雖然市府後來基於便民推出免書證免謄本櫃檯，櫃檯人員透過後端系統至市府各機關取得資料，並且取得的資料有限，市民利用MyData暫存資料後，再授權市府臨櫃服務撈取資料，且取得的資料也較為齊全。</p> <p>臨櫃資料核驗整合MyData服務之後，在桃園市的經驗中，不只是對民眾有利，陳崗熒更點出，除了簡化民眾臨櫃申請服務流程，經由系統化的處理，也能大幅減輕櫃檯服務人員工作量。</p> <p><span style="color:#3399ff;"><strong><span style="font-size:28px;">臨櫃申辦改用手機授權取資料，民眾不用準備紙本文件</span></strong></span></p> <p class="rtecenter"><strong><span style="font-size:28px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/986-%E5%B0%81%E9%9D%A2P6-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%A1%83%E5%9C%92%E5%B8%82%E6%94%BF%E5%BA%9C.jpg" style="width: 600px;" /></span></strong></p> <p><span style="color:#696969;"><strong>民眾前往櫃檯辦理服務，現在可憑MyData平臺提供的條碼，取代紙本資料，櫃檯人員掃碼後，至MyData平臺取得民眾的資料。 </strong> 圖片來源／桃園市政府</span></p> <p>目前桃園市政府共有4項臨櫃業務可使用MyData，包括個人使用牌照稅、房屋稅、地價稅繳納證明；補發個人使用牌照稅、房屋稅、地價稅當期繳款書；個人當期房屋稅籍證明；個人房屋稅、地價稅課稅明細表。</p> <p>在還未導入MyData之前，民眾至櫃檯辦理業務，需要持身分證正本，櫃檯人員驗證身分，再輸入民眾的身分相關資料後，產出申請書，由民眾在電子簽名板上簽名，完成申辦程序。</p> <p>而導入MyData之後，民眾可先在MyData平臺從政府機關下載好個人的相關資料，在臨櫃辦理服務時，將MyData產生的動態條碼交由櫃檯人員掃描，再輸入一次性密碼，授權櫃檯人員從MyData取用資料。</p> <p>儘管業務流程中可能變化不大，但是從MyData平臺取得電子資料，可取代紙本資料，減少民眾準備紙本資料的辛苦，也能簡化市府後檯文件處理流程，同時縮短臨櫃辦理的時間。</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/news/139398
為克服工廠少量多樣的生產挑戰，宜鼎靠IT打造一條龍資訊服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「訂單只有5片都要下單做」這是臺灣一家工業儲存裝置製造公司，每天應付少量多樣訂單的生產，所要面對的營運考驗，但為了讓工廠能應付處理各種訂單、急單，不只要具備有靈活彈性的生產調度的能耐，甚至還得因應後疫情時代新常態，加快集團轉型腳步，這也成了宜鼎國際資訊部門所要面對的IT大挑戰，要透過持續優化流程改造IT加以解決。</p> <p><span style="font-size:28px;"><strong>長年少量多樣的訂單型態，讓IT成為滿足營運所需的重要推手</strong></span></p> <p>與其他製造業不同，由於宜鼎的工控產品，大多屬於少量多樣的訂單型態，如工業用SSD等，單是建立的產品料號就有多達11萬項，一共累積至少10萬張BOM表，更得應付每天超過200多筆生產工單，來滿足這些客製化需求，以服務全球逾3千家企業顧客。</p> <p>廖德璋在2014年接掌資訊主管一職時，當時，宜鼎營運發展正從草創進到成長擴張的階段，因此，他便依據公司當時的發展，來制定相對應的IT資訊策略與執行計畫。身為臺灣第一家工控記憶體模組供應商，多年來，宜鼎的經營腳步不只與時俱進，也持續運用IT優化生產流程，就在兩年前，武漢肺炎疫情還沒出現前，宜鼎就開始推動組織內部數位轉型，因為宜鼎高層相當清楚，工業4.0的關鍵是IT與數位化，早在多年前，宜鼎就展開一系列IT優化改造工程，來為之後的轉型路做準備，為此，還特地升格IT，改設資訊處，升為內部一級單位，並由宜鼎國際資訊處副總經理廖德璋，一肩擔起了這個關鍵任務。</p> <p>他回憶，2014年剛上任時，當時資訊部門員工僅有3人，所以很多時候，IT常常一人當多人用，因此，他進來第一件事，就是先重新安排工作職務與建立明確分工，並依據系統功能將關鍵核心業務概分為ERP與非ERP兩類。即使後來，IT人員增加到現在的14人，他依然維持這樣的作法，「ERP是製造業的核心命脈，得要優先確保它可不中斷且穩定運作。」他說。</p> <p>宜鼎在2005年成立隔年，便導入了ERP系統，後來隨著營運成長，在使用5年之後也更新一代，之後就一直延用到現在，即使10年來都用一套ERP系統，宜鼎資訊部門也持續透過在既有系統上，增加各種客製功能，來回應業務單位不同需求。</p> <p>由於宜鼎的資訊服務系統，至今多數是自行開發，包括CRM、PCS、PLM系統等，僅少數系統例外，如ERP，但長期下來，隨著公司發展規模逐漸壯大，需要加入更多的客製功能，來滿足業務上的推動，使得這些系統變得日益複雜而難以整合，這也成了宜鼎IT團隊的另一個考驗。為了要解決這個難題，廖德璋先是界定問題，並重新審視梳理系統，讓各自系統及其資料庫能夠達成資料整合，再透過API方式串接，逐步整合這些系統的功能與服務。</p> <p>應用系統與服務在切分後，也讓整個系統運作更具擴充與延展性，但是要幫助這家公司從成長期，要跨越到壯大期，甚至進到成熟的發展階段，單靠現有IT架構，已無法跟上公司發展成長。因此，宜鼎在2013年時決定導入虛擬化技術，從集中整併IT架構做起，在廖德璋接掌之後，更全面擴大導入，將舊有的系統與新系統，逐一轉換到虛擬化環境，就連關鍵核心系統ERP，後來都改用VM方式，來提供原有的資訊服務，之後更將其進一步延伸到了災難恢復。</p> <p><span style="font-size:28px;"><strong>引進HCI超融合架構建立新的災難恢復機制，確保工廠生產不中斷</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 350px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80_%E5%BB%96%E5%BE%B7%E7%92%8B_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 350px;" /></td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>宜鼎國際資訊處副總經理廖德璋表示，製造業IT必須要走在最前線，甚至必須要跑比老闆更前面，才能夠幫助公司持續發展成長。 </strong> （攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>由於宜鼎在異地備援機制，是採用主／備援中心的模式，在汐止總部設置主要資訊機房，另一座異地備援的機房則設在宜蘭廠，一旦汐止的資訊服務中斷時，還可以切換到宜蘭備援機房，來支撐工廠生產。</p> <p>儘管使用虛擬化技術，簡化了異地災難備援的建置，但卻遇到無法很快將中斷系統或服務恢復的問題，廖德璋表示，先前一旦主機房的服務中斷後，至少半天到一天，備援機房才能完成接手，這段停機期間，就可能造成公司營運受影響。後來，他決定採用HCI超融合架構，來建立新的災難恢復機制。</p> <p>在2018年導入HCI架構後，宜鼎先是部署了具有6臺節點主機的HCI叢集，並優先將採取經常備份，屬於核心服務的Tier 1系統，例如ERP、CRM、MES系統與重要的檔案伺服器都放進HCI環境執行。他說，透過HCI架構，現在即使汐止機房因停電停機時，另一間宜蘭廠在30分鐘內就可以將系統全部重啟，並且保持兩地資料同步在一小時內的誤差，可將停機影響降到最低，確保產線運作維持穩定。</p> <p>他表示，使用超融合架構有幾個好處，首先是擁有更大擴充彈性，其次，它的資料互相抄寫粒度更細膩，而且壓縮功能較好，資料壓縮後，不僅加快兩地資料抄寫，資料更新的時間差也大大縮短，且在反應速度上，較傳統虛擬機器更快。</p> <p>不僅如此，在歷經多次IT架構調整，宜鼎2年前也展開了混合雲、多雲的網路服務架構的部署，目前該公司不少非關鍵性應用已搬上公有雲，包括文書處理、郵件與視訊會議服務等，至於關鍵性應用則繼續放在本地私有雲環境。</p> <p>除了翻新內部IT架構，資訊部門後來也因應該公司朝向智慧工廠發展，除了在工廠導入MES製造執行系統之外，這幾年，更從接單流程、交期預估到生產排程著手，加入各種智慧化管理方式，以便於讓工廠運作能更有效率。</p> <p>雖然與傳統IT相比，工廠更注重廠區內OT機臺管理與產線數據蒐集，並做有效運用，來提高生產效率，但不論如何，廖德璋認為，IT任務始終不變，就是維持公司營運成長，「我們沒有慢的理由」他再三強調，製造業IT必須要走在最前線，甚至必須要跑比老闆更前面，才能夠幫助公司持續發展成長。</p> <p><span style="font-size:28px;"><strong>打造接單到生產一條龍資訊服務，以克服少量多樣生產挑戰</strong></span></p> <p>尤其，為了克服少量多樣生產難題，他們從前端的接單流程下手，設計一套從接單、交期預估，到整個生產排程串接的一條龍資訊服務，更將這個服務稱為i發單。</p> <p>以往，生管部門接單後，便會根據料況、產能情況，回覆適當的交期給前線的業務人員，但有時得重新調整交期，例如因應急單、插單等變動情況，因此常常得由老練資深生管人員才能接手處理。但為了打造資訊服務到生產一條龍作業，資訊部門先是建立一套工單回復交期與發單系統，他們從過去接單、庫存料況、交期等相關資訊，來設計出一套基於業務邏輯與生產規則的判斷方式，可提供優化發單建議，作為輔助生管人員給出預估交期的參考依據。</p> <p>廖德璋表示，以前需由生管人員到各系統逐一查詢後，才能夠根據判斷回覆對方交期，現在有了這套系統，直接能將這些參考資訊統一集中在同一系統介面上即時呈現，讓使用者一目了然，而且還可依據接單狀況、料件庫存、採購、成品庫存情況加以綜合判斷後，自動給出一個預估交期時間，讓生管人員可以依據它來決定是否要發工單，以利於後續作業進行。</p> <p>只是這階段產生出的發單建議，仍需要人工處理，直到去年底，i發單服務發展到了上線的第2階段，進一步提升自動化程度，他表示，這套系統至今已可根據客戶客製需求、工單開立規則與多張訂單交期合併，做到自動開立製令。</p> <p>他還指出，現階段已有7～8成訂單都可以透過這樣的方式完成，讓業務員可以很快向顧客回報，而且交期預估的準確度有達到9成以上。</p> <p>甚至在導入i發單後，不僅在處理訂單作業效率提升28%，還因而加快了工廠SMT製程的排程作業，讓經過SMT加工完的PCB電路板，能夠很快進到下一階段的功能測試、成品包裝與檢測等步驟。</p> <p>舉例來說，以前，一條SMT產線的生產排程，從補料、確認料況、領料，完成簽核，通常需要近兩個工作日，約13小時，但採用i發單服務後，現在僅須原來一半時間，約7.5小時就完成，大大縮短產線作業處理時間。再下一階段，除了要提供智慧化交期查詢，還要做到可依據成品產能來計算生產排程，生管人員可以更快確認工單、回覆交期，接著進到產線生產。</p> <p>除了提供整合性資訊服務，宜鼎近來開始於工廠內導入行動化，讓作業員只須簡單透過一臺平板或簡易電腦，就能完成製造現場盤點與卡控作業。並藉由RWD網頁設計，能根據系統介面與使用裝置，來自動調整呈現方式，讓操作員可在產線、倉庫及物流成品出貨區作業上來使用，來提高盤點正確率以及工作效率。</p> <p>後來，宜鼎資訊團隊更運用盤點系統與行動化，來建立生產過程的全序號管理機制，從而實現可追溯的生產履歷。他表示，這個生產履歷服務，不只可用來追溯工控品項從生產到出貨所有的過程記錄，甚至連每片SMT電路板生產的每一個環節都能追蹤得到，因此一旦有某一批貨品質或製程出現問題，馬上就能回溯，調出所有生產過程記錄，迅速查出有問題的物料或製程環節，將損害降到最低。</p> <p>由於今年COVID-19全球疫情爆發，加上中美貿易戰的衝擊，加速企業轉型需求，這也讓宜鼎加快轉型的腳步，特別是在後疫情時代，廖德璋也提到說，許多思維和作法都要重新調整，像是以前同一個產品品名能在全球通用，但現在就行不通，例如工廠將每批產品出貨給客戶前，得先須區分是屬於中國或美國產地，就連很多物料也都要一分為二，無法再像以前同一種用料，其產品就能銷往全球，如此一來，這也使得產線上的生產管控比以前更加複雜。這也成了IT部門下一階段的新挑戰，他目前還在摸索，面對後疫情時代帶來的製造布局改變，該如何運用IT持續幫助工廠加強生產管理，能夠做到有品質的交期，履行對於客戶承諾。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>宜鼎國際資訊處副總經理廖德璋</strong></p> <p>學歷：淡江大學資管碩士</p> <p>經歷：曾先後於長榮集團、研揚IT服務多年，2014年10月進到宜鼎國際擔任副總經理，負責掌管資訊部門，除了一手規畫與主導宜鼎IT架構發展，在他的領軍之下，更持續透過IT改造與流程優化，提升工廠生產效率，來強化少量多樣的生產力，未來更要幫助公司全面升級轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>宜鼎國際</strong></p> <p>● 地址：新北市汐止區大同路一段237號5樓</p> <p>● 成立時間：2005年</p> <p>● 網址：<a href="http://www.innodisk.com">www.innodisk.com</a></p> <p>● 主要業務：以生產工業級嵌入式快閃記憶體、記憶體解決方案為主</p> <p>● 員工數：約600人</p> <p>● 資本額：6.5億元</p> <p>● 年營收：73.6億元（2019年）</p> <p>● 創辦人：李鐘亮</p> <p>● 董事長兼總經理：簡川勝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：資訊處副總經理</p> <p>● 資訊部門主管姓名：廖德璋</p> <p>● 資訊部門人數：14人</p> <p>● 資訊部門分工：營運資源、基礎設施、應用技術開發</p> <p>● IT預算：約3,000萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2006年：導入ERP/BPM系統</p> <p>● 2010年：升級ERP及導入BPM系統</p> <p>● 2013年：導入伺服器虛擬化，集中整併IT架構、導入第二代MES系統</p> <p>● 2014年：建置各項Web應用系統</p> <p>● 2015年：自行建置iCRM系統、完成綠色供應鏈暨零件承認系統導入</p> <p>● 2016年：完成將核心系統ERP主機轉換到虛擬化環境</p> <p>● 2018年：完成第一階段「i發單」導入、完成HCI架構部署及建立災難復原異地備援機制、建置混合雲多雲架構、工廠出入庫盤點作業逐步導入行動化</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_liao_de_zhang_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="宜鼎國際資訊處副總經理廖德璋。　（攝影／洪政偉）" /></div></div></div>
2020/8/20 09:00作者余至浩https://www.ithome.com.tw/people/139399
漫談希爾伯特曲線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於初學程式的人來說，透過一些繪圖的處理來認識程式設計的元素，是常見的作法，例如，在接觸遞迴觀念時，也經常透過碎形圖案的繪製來熟悉遞迴的實作，而我這次想特別介紹的希爾伯特曲線（Hilbert curve），就是常見的碎形圖案之一。</p> <p>基本上，這種曲線是一種碎形曲線，若要從程式設計上，透過遞迴來實現，我們可使用L-system正式地描述，而這亦是Google S2幾何程式庫中空間索引演算的原理。</p> <p><span style="font-size:28px;"><strong>希爾伯特曲線</strong></span></p> <p>希爾伯特曲線不單只是個美麗的圖像藝術，它與皮亞諾曲線（Peano curve）、Z階曲線（Z-order curve）等，都想解決一個數學難題：可否使用一條無限長的線，連接空間中全部的點？</p> <p>不過，開始介紹希爾伯特曲線之前，我們可以先來談談皮亞諾曲線。它是Giuseppe Peano在1890年提出，依照當時大家對於維度的認識而言，曲線的維度是1，正方形的維度是2，而「線」不可能填滿正方形，然而，皮亞諾曲線在極限情況下，卻是個可以填滿正方形的曲線，也就是說，若以碎形維數計算（可參考先前<a href="https://www.ithome.com.tw/voice/110732" target="_blank">專欄〈遞迴、碎形與數學〉</a>），皮亞諾曲線的維度會是2。</p> <p>至於希爾伯特曲線，是由David Hilbert在1891年提出，也是個可以填滿正方形的曲線，維度是2，與皮亞諾曲線相比之下，差異之一在於，希爾伯特曲線的每個頂點可屬於一個小正方形。</p> <p>例如，一階希爾伯特曲線是個通過四個網格中心點的⊓曲線，二階是透過將一階的曲線位移、旋轉，畫出四個曲線並頭尾連接而成，依此類推，三階是透過將二階的曲線位移、旋轉、頭尾連接而成。</p> <p>顯然地，上述的每一階都是小任務，程式設計上，我們可以透過遞迴來簡單地實現，相關圖片與程式碼可參考<a href="https://bit.ly/30wUQRy">〈希爾伯特曲線〉</a>。</p> <p>我在先前<a href="https://www.ithome.com.tw/voice/137795" target="_blank">專欄〈碎形與L-system〉</a>中談過，若想以簡約語言來記錄碎形生成過程，可以採用L-system制定正式文法。因此，若公理為L，轉動角度為90，那麼，希爾伯特曲線的L-system衍生規則是「L→−RF+LFL+FR−」與「R→+LF-RFR-FL+」。</p> <p><strong><span style="font-size:28px;">打造希爾伯特龍</span></strong></p> <p>最初提出的希爾伯特是二維版本，實際上，也可以擴充為三維曲線。</p> <p>例如，一階可由z軸的上下兩個曲線，連接上下同一個(x, y)座標的頂點來構造；類似的道理，二階是透過將一階的曲線旋轉、位移與連線，三階是透過將二階的曲線旋轉、位移與連線，如果要使用L-System描述，可參考<a href="https://bit.ly/30EqNHo">〈lsystem3_collection〉</a>。</p> <p>而三維的希爾伯特曲線，理論上，可填滿整個立方體，例如，在<a href="https://bit.ly/3fSPxlJ">〈Three.js WebGL 3D Hilbert curve〉</a>中，就有三維版本的希爾伯特曲線的示範，其中，亦有平滑版本的曲線，於是，這就讓我有了個靈感：如果這曲線是一條填滿整個立方體的龍，而且，還可以列印出來的話，會有多酷呢？</p> <p>為了能構造龍身，曲線必須連續，而希爾伯特曲線滿足這個條件；另一個問題是，原本的希爾伯特曲線轉角處是90度，而作為一條龍，龍身直接轉90度可不好看，因此我必須先令曲線平滑，這時，我可以使用貝茲曲線（Bezier curve），取轉角兩側兩個點，加上轉角處45度往外延伸上的一個點，就有了三個控制點，透過貝茲曲線公式內插，就可以求得平滑的希爾伯特曲線。</p> <p>為了令龍更有真實感，龍身必須隨著曲線轉動，因而不能單純連接曲線上每個點，這需要有個路徑推移的模組，可以計算龍腹與龍背等必須轉動的角度。由於L-System、貝茲曲線與路徑推移模組，在我的dotSCAD程式庫中都有了，因此，實現第一個版本的<a href="https://bit.ly/30AGL5p">希爾伯特龍</a>，並不困難。</p> <p>只不過，在第一個版本當中，龍身上的麟片過多，算圖耗費時間很長（十幾個小時），而且龍麟因為龍身的轉動，會產生各個角度，對熔融沉積成型（FDM）的3D列印機來說，列印上難度太高了，因而我又打造了第二個低面數的<a href="https://bit.ly/2BlfyLr" target="_blank">希爾伯特龍</a>，列印出來算是帥氣，也有了幾分幾何之美。</p> <p><span style="font-size:28px;"><strong>空間填充曲線</strong></span></p> <p>不管是二維或三維，都可以使用一條希爾伯特曲線來填滿，意味著希爾伯特曲線是一種空間填充曲線（Space-Filling Curve），代表了二維或三維的資訊，可以使用這類曲線來編碼，換言之，這類曲線具有「降維」的特性。</p> <p>例如，在地圖應用程式中，若使用者想搜尋目前位置附近的餐廳，透過查找資料庫中全部的餐廳，並且計算出相對位置小於某範圍的方式，雖然可行，然而，會因資料量過於龐大而顯得沒有效率；此時，如果我們可以將地圖切割為小範圍的格子，並且為這些格子編上索引，之後在查找資料時，就可以根據這些索引，只搜尋格子內的資料，而能增加查詢效率。</p> <p>這時就會有個疑問，為什麼要用希爾伯特曲線？其他曲線不行嗎？我在先前<a href="https://www.ithome.com.tw/voice/137054" target="_top">專欄〈隨機演算之美〉</a>中提過的哈密頓路徑（Hamiltonian path），不也是在求不重複地走過每個網格的路線？甚至更簡單地，逐列由下而上繪製S形曲線，不也能填滿整個空間嗎？</p> <p>要能做為有效率的空間索引曲線，降維只是其中一個要求，因為，希爾伯特曲線還有的另一特性是「穩定」，也就是在階數變化時，某點在曲線中相對的位置，不會有過劇的變化。</p> <p>例如，我們在<a href="https://bit.ly/2CA3NS0">〈高效的多維空間點索引算法〉</a>中，就可以看到：如果使用S形曲線的話，階數變化時，某點的位置會是忽左、忽右地變化；然而，若是希爾伯特曲線，變化就會很小。</p> <p>在該篇文件中，我們也可以看到，Google的S2 Geometry程式庫中，是基於希爾伯特曲線進行空間索引；此外，我們還可以看到：Geohash採用的Z階曲線也是一種空間索引，而且，它具有一個特性：某點附近的區域，編碼後的雜湊值總會有相同的前置，而且，相同的前置越長，表示越接近，這就適合用來快速搜尋鄰近的區域。</p> <p><span style="font-size:28px;"><strong>出自好奇的一連串探索</strong></span></p> <p>會有這一連串的探索，主要是來自我實現出希爾伯特龍後的一個好奇：希爾伯特曲線最初是為了什麼而發明出來的？</p> <p>事實上，常作為遞迴練習對象的科赫曲線（Koch curve）、龍曲線（Dragon curve）、謝爾平斯基曲線（Sierpiński curve）等，其實，也都是空間填充曲線，或許各自去探究的話，也都會有各個有趣的事物與應用。</p> <p>除此之外，我還有一個有趣的事想跟大家分享。據說有個遊戲玩家運用了希爾伯特曲線，將《薩爾達傳說曠野之息》的完成度，從98.59%拉到100%，有興趣的話，可參考<a href="https://bit.ly/39fsSxy">〈Using Hilbert Curves to 100% Zelda〉</a>。</p> <p>看來這類空間填充曲線真有其意想不到的用途，不只是畫出來好看而已呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%81%9E%E8%BF%B4">遞迴</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E5%B8%8C%E7%88%BE%E4%BC%AF%E7%89%B9%E6%9B%B2%E7%B7%9A">希爾伯特曲線</a></div><div class="field-item odd"><a href="/tags/hilbert-curve">Hilbert curve</a></div><div class="field-item even"><a href="/tags/%E7%A2%8E%E5%BD%A2%E5%9C%96%E6%A1%88">碎形圖案</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2020/8/20 09:00作者林信良https://www.ithome.com.tw/voice/139401
MyData趨勢進臺灣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/986-mydatafeng_mian_p1-open-960x420.jpg?itok=Tm2bJ3Fl" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年美國、英國、芬蘭、日本等國家相繼推動資料自主使用的概念，釋放政府、金融、健康、能源等領域資料潛力，這股風潮也吹進臺灣，從健康醫療、金融，現在吹向政府</p> </div></div></div>
2020/8/20 09:00作者蘇文彬https://www.ithome.com.tw/article/139404
【臺灣資安大會直擊】從區塊鏈架構剖析4大類常見駭客攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>區塊鏈發展至今，歷經了多次變革，最初主要作為比特幣的底層技術，而後出現了區塊鏈平臺以太坊（Ethereum），開發者開始能在區塊鏈上開發多元應用，甚至近年來，區塊鏈逐漸走到不同場域，比如加密貨幣IOTA，就是針對IoT應用所設計，許多現實生活中的服務，也透過區塊鏈走向虛擬化，尤其近期受到廣泛討論的去中心化金融（Decentralized Finance，DeFi），就是在鏈上提供金融服務的作法。</p> <p>在區塊鏈應用愈趨多元且蓬勃發展下，隨之而來的資安攻擊，也成為開發者需小心慎防的威脅來源。現任Line資安工程師，且具有超過3年網路安全、區塊鏈安全滲透測試經驗的Vic Huang，就將區塊鏈架構分為資料層、點到點網路層（P2P network）、共識層及應用層，分別列舉各層中常見的駭客攻擊手法，並以具代表性的案例來說明資安防護的重要性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B0%A1%E5%A0%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vic%20Huang.JPG" style="width: 700px;" /></p> <blockquote><p>區塊鏈架構各階層可能遭遇的資安攻擊。</p> </blockquote> <h3><span style="color:#FF8C00;">資料層威脅：小心社交工程騙私鑰</span></h3> <p>首先，在資料層常見的攻擊手法，包括惡意軟體、釣魚攻擊、不安全的網路位址、粉塵攻擊（Dusting）等。Vic Huang表示：「對使用者來說，在資料層中最重要的就是私鑰，所以駭客會利用社交工程、惡意軟體等手法來騙取私鑰，進而掌握用戶的數位財產。」也就是說，在資料層中，駭客攻擊目標大多以用戶私鑰為主，用戶需妥善保護私鑰不被取得。</p> <p>但同時，Vic Huang也提醒，私鑰雖重要，但也不要過度保護，以避免私鑰不慎遺失導致錢包內的資金無法取回。比如比特幣交易所QuadrigaCX創辦人Gerald Cotten，就是在 2018年底在印度旅遊時驟逝，導致交易所冷錢包的私鑰丟失，積欠了客戶價值約1.9億美元的加密貨幣資產。</p> <p>除了需妥善保管私鑰，Vic Huang也建議，用戶利用私鑰生成器網站生成自己的私鑰時，不要用非官方的服務，尤其是WalletGenerator.net、BitcoinPaperWallet.com、BitAddress.Org等網站，因為這些網站使用相同的原始程式碼進行二次開發，而這些程式碼也已經被發現存在漏洞或後門程式，比如WalletGenerator.net提供的生成器服務，允許同一組錢包的公、私鑰，重複發送給多名用戶，而非獨一無二且隨機生成。</p> <p>不只個人用戶，企業內也會有私鑰管理的需求，需遵照一套私鑰使用的規則，通常包含5個角色，分別是私鑰的擁有者（Owner）、保管者（Holder）、私鑰（Key）、驗證者（Validator）及執行者（Operator）。當企業老闆、高管（Owner）需要使用私鑰時，需先經由驗證者簽核，再帶著執行者去找私鑰的保管者拿取私鑰，最後交由執行者來執行。</p> <p>Vic Huang推薦，企業可以使用由HashiCorp所開發的開源管理工具Vault，來管理企業中的API金鑰、私鑰、密碼、身份驗證等資訊，因為Vault能提供嚴格的存取控制，以及紀錄詳細的數據軌跡（Audit Log），且除了完全開源的特性，Vault也已經被部分企業客製化用於企業內部系統中。</p> <h3><span style="color:#FF8C00;">點對點網路層威脅：常見DDoS、BGP狹持攻擊</span></h3> <p>而點對點網路層，也就是公、私鏈主要的網路架構，常見的攻擊手法包括了阻斷服務攻擊（DDoS）、洪水攻擊、BGP狹持攻擊（BGP Hijacking）、日蝕攻擊（Eclipse Attack）等。</p> <p>區塊鏈的DDoS、洪水攻擊，是攻擊者透過不斷向區塊鏈發起大量無用的交易，導致整個網路服務暫時中斷或停止。而日蝕攻擊，則是透過干擾網路節點，使節點無法獲取有效資訊而引發網路中斷的攻擊手法。</p> <p>在2018年，也發生過BGP狹持攻擊，是指駭客駭進ISP業者或其它網路架構供應商的BGP伺服器，散布錯誤的路由資訊以干預流量。Vic Huang說明，當時，以太幣（Ether）加密錢包服務MyEtherWallet，就遭到駭客將流量導至偽造的俄國網站，誘導MyEtherWallet用戶輸入憑證，共被盜走了價值17萬美元的以太幣。</p> <p>在這個案例中，外界初期以為這是尋常的DNS挾持（DNS hijacking），而後發現，駭客是藉由挾持BGP把Amazon Route 53服務的流量導至駭客所操縱的DNS伺服器，再將造訪MyEtherWallet的用戶導向偽造的網站，因此判定為是攻擊範圍與規模都更大的BGP挾持攻擊。不過，由於駭客導向的假網站未取得有效的SSL憑證，經部分警覺性高的用戶發現後舉報，才曝光這起攻擊事件。</p> <h3><span style="color:#FF8C00;">共識層威脅：小型區塊鏈需注意51%攻擊</span></h3> <p>區塊鏈架構中的共識層，能夠讓分散、去中心化的區塊鏈節點，針對數據的有效性達成共識，其中可能遇到的資安攻擊，包括51%攻擊、雙重支付（Double Spending）、女巫攻擊（Sybil Attack）等。</p> <p>區塊鏈網路靠去中心化及分散式節點來維護，透過共識機制來驗證交易，藉此來維持整個區塊鏈的唯一性，同時阻止單一個組織操控整個系統。Vic Huang進一步說明，在工作量證明（Proof-of-Work，PoW）的共識機制下，常見以最長鏈原則來處理可能的分岔，也就是當擁有較多的運算能力者，率先計算出亂數（Nonce）並獲得完成該區塊（Block）的獎勵後，其他節點在最長鏈原則下，會拋棄原本的鏈，把更長的鏈複製過來，在這條鏈的基礎上繼續運算。</p> <p>這就導致，如果攻擊<wbr></wbr>者在一個區塊鏈系統內擁有整體超過50％的算力，就可能以遠超過其他節點的速度連續計算出亂數，<wbr></wbr>進而操縱及偽造多個區塊內的交易內容，而其他節點也會在最長鏈原則下，驗證過後無條件以最長鏈為主，這些由攻擊者偽造的內容，也就會成為鏈上的「真相」。這就是51%攻擊的攻擊手法。</p> <p>也因51%攻擊需要掌控大量的運算資源，區塊鏈系統越大，駭客越不易成功發動攻擊，比如Crypto51網站就統計對各個區塊鏈系統發動51%攻擊的成本，其中以攻擊比特幣網絡的成本最高，需要的成本市值超過10億美元，每小時攻擊成本也超過50萬美元。不過，對小型區塊鏈系統來說，由於攻擊成本較低，就容易成為攻擊對象，比如今年8月，以太坊經典（Ethereum Classic，ETC）就在一周內遭受51%攻擊兩次，上千個區塊被重組，駭客從中獲利的金額遠大於租用的運算成本。</p> <h3><span style="color:#FF8C00;">應用層威脅：開發漏洞易發生重入攻擊</span></h3> <p>最後，區塊鏈應用層的資安威脅，在於開發者自行開發的智能合約可能因程式出現漏洞，或是開發者對智能合約的應用不熟悉，導致邏輯上的錯誤，引起駭客有機可趁。</p> <p>Vic Huang說明，2016年發生的DAO遭竊事件就是一例。當時，The DAO創投組織採用了以太坊技術，建立了一個智能合約平臺，要打造出一個分散式自治組織，因此在4月時啟動募資專案，並在短短一個月內就募得超過1.5億美金價值的以太幣。雖然資安專家曾在5月警告其智能合約有漏洞問題，呼籲DAO進行修補，但不久後，駭客仍在6月17日成功攻擊了DAO，盜領了約370萬個以太幣，約等於5,000萬美金，而當天以太幣的市值，也因此下降了四分之一，從21.5美元下跌到15美元。</p> <p>當年駭客對DAO發動的攻擊，就是重入攻擊（Reentrancy），是藉由Fallback函數的特性，以重複呼叫的方式，反覆地獲取同一智能合約裡的以太幣。Vic Huang舉例，若將DAO視為銀行，並將惡意程式視為領款人，提款人要去銀行取出一千元，銀行一定會先驗證提款人存款是否有足夠的錢，確認後再提供相應款項，並扣除相應金額。但是，重入攻擊鎖定智能合約的漏洞，在金錢轉出但尚未扣款之前，重複不斷提款，也就是在銀行沒有扣款的情況下，重複提領大量金錢。</p> <p>Vic Huang指出，重入攻擊不僅盜取金額高，直到今年仍持續發生，近2年興起的DeFi服務，也成為駭客攻擊目標之一。</p> </div></div></div>
2020/8/19 19:20作者翁芊儒https://www.ithome.com.tw/news/139472
資安一周第107期：加拿大政府網站上萬民眾帳密被竊。俄羅斯Linux惡意程式鎖定美國政府與國防單位下手。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0813-0819 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">加拿大政府網站遭駭客攻擊，上萬用戶帳密被竊</strong></h2> <p>加拿大政府在8月15日公告，駭客鎖定該國政府所提供的身分驗證服務（GCKey）及國稅局（CRA）帳號發動網路攻擊，估計有9千多個GCKey帳號與5千多個CRA帳號遭破解，已緊急關閉這些帳號並重新要求用戶取得憑證。</p> <p>GCKey是加拿大政府替當地民眾所設計的單一身分驗證服務，經過身分驗證的使用者可獲得GCKey帳號，用以存取30種政府服務，在3千8百萬加拿大人中，已有1千2百萬人擁有此項帳號。至於CRA帳號則是獨立的憑證，專門用來存取加拿大國稅局的服務。</p> <p>加拿大政府表示，駭客是藉由帳號填充攻擊來竊取GCKey及CRA憑證，利用先前已外洩的資料，再加上使用者習慣在不同的服務上使用同樣密碼的特性，取得了9,041個GCKey帳密與5,500個CRA帳密，且已企圖利用這些資料存取相關服務。<strong><a href="https://www.ithome.com.tw/news/139438">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-1-GCKey-CRA-leakage.png" style="width: 400px;" /></p> <p>圖片來源：加拿大政府</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家安全＃惡意軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">俄羅斯發動Linux惡意程式Drovorub攻擊，鎖定美國政府及國防單位</strong></h2> <p>美國國家安全局（NSA）及聯邦調查局（FBI）於8月13日，發布聯合網路安全公告，警告俄羅斯情報機關正以名為Drovorub的惡意程式，攻擊該國政府及國防工業用Linux系統。</p> <p>這份報告中提到，Drovorub的核心模組，會利用多種手法長期隱身於受害主機，若是主機沒有使用UEFI安全開機的完整模式，重新開機之後，Drovorub仍會存在。不過，此報告並未提及是否有單位已經受到攻擊。NSA與FBI也在報告裡提出呼籲，系統管理員應該採取下列防禦措施，包括升級到最新版Linux核心，再者，系統也應啟動UEFI安全開機，以防上述惡意核心模組遭到載入。<a href="https://www.ithome.com.tw/news/139403"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-2-Drovorub.png" style="width: 400px;" /></p> <p>圖片來源：美國國家安全局</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃國家安全</strong></h3> <h2><strong style="vertical-align: top;">美國大選將至，中國、俄羅斯、伊朗駭客遭到點名</strong></h2> <p>美國反間諜執法辦公室（NCSC）指控，隨著該國總統大選即將於今年的11月3日舉行，許多國家的駭客集團都已展開干擾活動，而他們主要關注中國、俄羅斯，以及伊朗可能會帶來的威脅。其中，中國與伊朗不想讓川普連任，而俄羅斯則是專門詆毀拜登，希望讓川普當選。<a href="https://www.ithome.com.tw/news/139306"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃應用程式安全</strong></h3> <h2><strong style="vertical-align: top;">抖音驚傳暗中收集Android裝置識別資料長達一年</strong></h2> <p>在美國打算封鎖抖音（TikTok）之際，華爾街日報於8月11日爆料，該應用程式曾經收集Android裝置的MAC位址，明顯違反Google Play市集的規定，直到去年11月因美國政府施壓才終止，收集相關資料一年之久。<strong><a href="https://www.ithome.com.tw/news/139349">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊＃macOS ＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></h2> <p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，藉由滲透到開發者電腦的Xcode專案，讓開發者編譯的軟體成為散布此木馬的途徑，再者，XCSSET也利用蘋果軟體的漏洞竊取重要資訊，包括帳號、密碼等，甚至駭客能經由C&C伺服器下達指令，讓XCSSET加密macOS電腦的檔案，並顯示勒索訊息要受害者付錢。</p> <p>趨勢科技並沒有說明漏洞其他細節，只表示他們已經通報蘋果，而表示蘋果現正開發Data Vaults漏洞的修補程式。不過，蘋果提到駭客濫用的開發版Safari的問題不是漏洞，而是本來預設的行為，因此這個部分並不打算處理。<a href="https://www.ithome.com.tw/news/139432"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">語音助理Amazon Alexa存在洩漏使用者資料的漏洞</strong></h2> <p>Check Point資安研究人員發現語音助理Amazon Alexa存在漏洞，可讓惡意人士操縱Alexa功能，或是存取使用者個人資料。研究人員提到，這個漏洞與Alexa網頁服務的幾個子網域有關，因為，這些網域容易受到跨站腳本攻擊（XSS）與跨域請求攻擊（CSRF）。</p> <p>駭客可透過發送惡意連結讓使用者上當，使用者一旦點選，駭客便能透過程式碼注入來使得伺服器產生錯誤，進而掌握使用者的Alexa帳號，接著可刪除功能或是植入惡意功能，並且竊取用戶的語音記錄，導致受害者的金融資料與隱私外洩。</p> <p>雖然Amazon不會記錄用戶的銀行登入憑證，但是由於駭客能夠透過前述存取聊天對話記錄，因此能夠存取受害者與銀行互動的歷程，並取得使用者帳號、電話，甚至可能還有家裡住址，以及更多其他資訊。<strong><a href="https://www.ithome.com.tw/news/139424">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong>微軟的本地安全認證子系統服務漏洞沒修好，研究人員指出可輕易繞過</strong></h2> <p>在微軟8月份的例行修補星期二（Patch Tuesday），總共修補120個漏洞，但Project Zero的研究人員James Forshaw指出，他提報的CVE-2020-1509並未得到完全修補，只要Windows電腦設置了代理伺服器（Proxy），駭客照樣能夠繞過這個漏洞。</p> <p>這項漏洞存在於Windows的本地安全認證子系統服務（Local Security Authority Subsystem Service，LSASS），影響所有版本的Windows 10，駭客一旦濫用，便能取得管理員權限來執行命令，CVSS 3.0的風險評分為8.8分。<a href="https://www.ithome.com.tw/news/139406">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">IE 11漏洞已被用來攻擊南韓企業</strong></h2> <p>在微軟8月份的例行修補星期二，其中有個漏洞CVE-2020-1380，是出現在IE 11上，且已經出現攻擊事件。通報這個漏洞的是資安業者卡巴斯基，他們於8月11日揭露，此漏洞已被鎖定飯店業者的駭客組織Darkhotel APT在5月下旬濫用，並且串連另一個在6月被修補的漏洞CVE-2020-0986，發動Operation PowerFall攻擊行動，鎖定一家南韓企業下手。<strong><a href="https://www.ithome.com.tw/news/139391">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃網路詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">讀冊會員個資外洩事件爆增，一周45名受害者報案</strong></h2> <p>網路書店「TAAZE讀冊生活」會員遭到詐騙的事件，從今年初開始時有所聞，而最近傳出受害者數量大幅增加的現象，刑事警察局的165專線於8月16日發布新聞稿指出，從1月到8月9日，他們收到235件報案，累計損失達2千2百萬餘元；但值得留意的是，光是8月初的一個星期裡（8月2日到9日），他們就接到45名受害者報案，占所有事件近2成（19.5%），使得該網路書店成為當週解除分期付款詐騙事件次數最多的平臺。</p> <p>由於8個月來陸續有民眾受害，共通點都是在讀冊買書後，接到詐騙電話而上當，刑事警察局認為讀冊的資安防護顯然出現漏洞，導致因個資外洩而衍生相關詐騙事件，呼籲民眾要慎選電子商務平臺。<a href="https://165.npa.gov.tw/#/article/news/257">詳全文</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-3-165-taaze.png" style="width: 400px;" /></p> <p>圖片來源：刑事警察局</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139316">美國銀行Capital One個資外洩案遭罰8千萬美元</a><br /> ●<a href="https://www.ithome.com.tw/news/139320">論壇架設軟體vBulletin修補不全，導致DEF CON論壇遭攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/139322">TeamViewer驚傳漏洞可導致密碼遭到破解</a><br /> ●<a href="https://www.ithome.com.tw/news/139319">密碼管理軟體1Password首度推出Linux版應用程式</a></h3> </div></div></div>
2020/8/19 18:15作者周峻佑https://www.ithome.com.tw/news/139503
調查局首度揭露國內政府委外廠商成資安破口的現況，近期至少10個公家單位與4家資訊服務供應商遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於國內政府組織內資訊委外的安全問題，今日（19日）法務部調查局資安工作站發出警示，指出近來他們偵辦數起政府機關遭駭案件中，發現政府單位及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，最新發現至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>對於有那些政府單位與業者遭駭的問題，調查局資安工作站副主任劉家榮表示，基於調查不公開的作業原則，他們並不會透露，但他們呼籲，尚未遭受攻擊的單位與業者，都應以此為鑑，同時資安工作站提供了相關情資與建議，希望能避免這波攻擊下會出現更多受害者。</p> <h2><strong>承包政府標案的供應鏈廠商成資安破口，調查局歸納出近期兩種駭客攻擊模式</strong></h2> <p>對於臺灣政府單位遭駭的現況，劉家榮表示，他們從最近偵辦的數起案件，歸納出近期駭客攻擊的兩種模式。</p> <p>例如，在第一種模式中，由於駭客清楚國內政府單位資訊委外的習慣，例如，政府機關會提供VPN帳號供資訊服務供應商進行遠端操作與維運，因此，駭客便從該單位的委外廠商入侵。</p> <p>調查局並剖析了入侵過程，劉家榮表示，以MustangPanda與APT40駭客組織為例，在他們的偵辦調查結果發現，對方首先會透過中繼站攻擊，他們追查到該中繼站的IP位址，包含3個香港IP位址與1個中國IP位址，接著，駭客會透過該中繼站侵入一家為政府提供服務的資訊供應商，因此竊取了政府機關提供的VPN帳號，之後就能以合法掩護非法的方式，遠端登入到政府機關網路，伺機取得具管理權限帳號，並進行橫向擴散。</p> <p>值得注意的是，調查局資安工作站也發現，駭客在入侵政府機關內部的主機與伺服器後，為了要長期潛伏以及將獲取資料傳出，還會偷偷安裝SoftEther VPN程式，以連線到駭客指定的C&C中繼站。另外，他們也會登入機關內部的網域／目錄（AD）伺服器，嘗試建立具管理權限的網域帳號，最後還會清除入侵相關軌跡。</p> <p>特別的是，在這種攻擊模式下，他們還發現有幾個案例是這些資訊服務商託管或代管了政府的主機，因此在資訊服務供應商遭駭時，這些託管的伺服器與主機也可能遭到駭侵。根據他們的調查，一家資訊服務供應商代管某署的5臺郵件伺服器，就遭植入Webshell後門，因此他們合理懷疑，該單位的6,000多個郵件帳號，可能都已經被駭客竊取到需要或必要的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-08-19_183040.jpg" style="width: 600px;" /></p> <p>在第二種模式中，他們發現主要是Blacktech與Taidoor背後的駭客組織所為，駭客一開始也是從政府機關委外的資訊服務供應商開始入侵，之後將會控制AD伺服器，並藉由GPO群組原則將惡意程式派送到每一臺電腦。</p> <p>同時，對方還會駭入一般家用的無線路由器，藉此掌控設備並設定VPN連線，以作為受駭主機向中繼站報到的跳板。</p> <p>劉家榮表示，經過他們調查分析，發現受駭主機內藏有Waterbear後門的惡意程式，這是Blacktech駭客組織平常所使用的惡意程式，將使受感染電腦向中繼站報到，並以VPN傳送竊取資訊。</p> <p>對此，調查局揭露了從遭駭路由器所查到的11個惡意網域，以及前述攻擊的5個IP位址，希望尚未遭受此一攻擊的政府機關與資訊服務供應商，應儘速阻擋這些惡意網域。</p> <p><strong><span style="color:#FF8C00;">【調查局公布以下惡意網域及IP位址，供國內機關自我檢查並加以封鎖】</span><br /> ●manage.lutengtw.com　●43.240.12.81<br /> ●dccpulic.lutengtw.com　●45.124.25.31<br /> ●trust.utoggsv.com　　　●45.124.25.226<br /> ●wg1.inkeslive.com　　　●113.193.149.26<br /> ●k3ad01.rutentw.com　　●103.240.202.34<br /> ●ams05.cksogo.com<br /> ●edgekey.whybbot.com<br /> ●shed.inkeslive.com<br /> ●ap21.gckerda.com<br /> ●cornerth.com<br /> ●teamcorner.nctu.me</strong></p> <p>事實上，這次事件相當嚴重，在調查局揭露的資訊中，他們追查到這些惡意網域後，又再進一步追蹤到，發現國內還有許多IP位址連線到該中繼站的情形，當中包含市政府、水資源局、國立大學等6個公家單位，以及4家資訊服務供應商。</p> <p>此外，駭客還會藉由原先入侵的資訊服務供應商，遠端攻擊該業者的政府機關客戶。這是因為供應商的IP位址是政府防火牆的白名單，駭客同樣是藉由合法掩護非法的方式，使得政府機關難以發現。對此，調查局也說明他們的發現，在今年3月到4月間，分別有署級機關、司級單位與某市政府遭到這樣的攻擊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-08-19_183106.jpg" style="width: 600px;" /></p> <h2><strong>對於委外廠商的遠端管理一事需檢討，還要檢視VPN的異常登入及阻止被偷裝VPN軟體</strong></h2> <p>雖然揭露駭客的攻擊手法，會讓對方更有防備，但如果其他政府單位或資訊供應商都不能瞭解攻擊現況，已知的攻擊都無法預警、防範，情況將會更嚴重。</p> <p>對於近期駭客從供應鏈下手的威脅態勢，調查局提供幾項建議，首要的焦點，他們認為，就是要檢討委外資訊服務供應商透過遠端進行管理的必要性。由於國內政府機關往往可能為了追求便利，提供VPN帳號供廠商遠端操作與維運，但這些廠商若缺乏資安意識或吝於資安設備投入，甚至未配置資安維運人員，容易形成資安破口。白話一點來說，等於關了大門卻開了小門，讓駭客有機可趁。</p> <p>此外，從近期的受駭案件來看，還有一些資安管理上必須重視的問題，像是要能監控AD伺服器的軟體派送情形，並要有辦法能夠監控網域帳號的異常新增與登入。</p> <p>機關內部的VPN安全管理，也是這次事件揭露的一大重點，因此調查局也建議，需檢視VPN是否有異常登入情形，對於駭客侵入後在主機安裝VPN連線網路軟體的問題，同樣需要留意，畢竟組織內本來就應該不允許安裝才是。</p> <p>其他建議方面，還包括經常檢視防毒主機稽核報告，重新審視防火牆規則，限制重要主機的對外連線，以及定期修補IP分享器或路由器的漏洞，以及檢視VPN帳號與定期更換密碼。</p> <p>劉家榮表示，在這些案例中，由於駭客會將入侵相關軌跡與資料抹除，因此他們調查時無法得知那些資料被竊取，但他強調，當機關內部的伺服器及主機被駭侵後，其實當中的資料也都已經被看光光，這樣的危害非常大，因此，他們認為，透過調查局公開的資訊與情資，希望還沒有遭到攻擊的政府機關與廠商，應該要針對提供的惡意網域與IP位址去防範，不要讓這類攻擊繼續蔓延，是現在要關心的重點。</p> </div></div></div>
2020/8/19 18:28作者羅正漢https://www.ithome.com.tw/news/139504
【iThome 2020 資安大調查】企業常見資安風險在哪裡？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_da_diao_cha_-56-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年資安大調查時，我們都會請資安主管自評對自家資安能力的信心程度，再轉化成一個資安信心分數，60分及格，代表資安主管對自家資安防護大致上有信心。連續三年下來，資安主管自評的分數都是低空飛過、略高於及格線，2019年還些微下滑，2020年的信心又略增，但仍然只有63.8分。這個分數顯示出資安主管的為難，因為資安預算、人力有限，資安防護處於夠用或堪用，但一直沒有達到讓資安主管可以高度放心的程度。</p> <p>從資安風險排名來看，員工仍舊是最多主管擔心的風險，過半企業列為首要風險，每年都是。另外，惡意程式（50.1%）和勒索軟體（48.5%）都有近半數企業資安主管擔心。這兩類威脅，往往會透過惡意連結、惡意郵件、漏洞入侵等手段，暗中植入到企業內部，幾乎成了資安團隊每天都要面對的日常挑戰。企業得不斷持續地強化如即時偵測攔截機制、平時預警監控能力，漏洞即時修補，快速復原或清除能力，甚至因應新出現的惡意程式及時調整作法，例如強化防火牆政策等。</p> <p>值得注意的是，BEC商業電子郵件詐騙的威脅程度越來越嚴重，成了資安主管名列前十擔心的風險，另外，假新聞資安風險也開始浮現，5.4％的企業也列為需重視的資安風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-56-600-1-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span></strong></span><br /><strong><span style="color: rgb(51, 153, 255);">以臺灣2千大規模的企業，<wbr></wbr>搭配iThome歷屆CIO大調查企業、政府一級機構、<wbr></wbr>大專院校IT和資安主管，進行線上問卷調查。<wbr></wbr>調查時間1月20日到2月20日，有效問卷數373份。73.<wbr></wbr>4％填答者是企業資安最高主管。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136642" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 資安大調查</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/article/138473" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(五) 數位轉型的兩難</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138350" target="_blank"><span style="color: rgb(178, 34, 34);"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(四) 數位轉型加速</strong></span></span></a></p> <p><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/138102" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露</span></a></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136319" target="_blank"><span style="color: rgb(178, 34, 34);">iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136361" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技</span></a></span></strong></p> </div></div></div>
2020/8/19 17:50作者王宏仁https://www.ithome.com.tw/article/139493
【iThome 2020 資安大調查】企業為何防不了資安攻擊和威脅？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_da_diao_cha_-57-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年，近2成企業遭遇了超過50次以上的資安事件，幾乎是每一周都會發生一次。若從資安攻擊源頭來看，6成資安事件的來源是駭客（60.3%），但也有3成多資安事件的觸發來源是內部員工（35.7%）。外部駭客是惡意發動的攻擊，但內部員工為何也是名列第二個攻擊來源？並非這些員工都想惡意破壞，而是因為員工的資安意識不足，而成了外部攻擊者發動社交工程的覬覦目標。</p> <p>企業資安主管也相當清楚，員工資安意識是企業資安潛在的破口，54.7%的企業已經意識到這個問題。除此之外，企業資安預算不足、資安工具不易使用和缺乏資安老手等，也是造成企業資安武裝不足的關鍵原因。也因此，已有不少企業採取資安攻防演練的方式，來強化員工意識，26.8%的企業每年實施一次，甚至有4%企業每季實施一次或更多。</p> <p>過去，管理階層支持力道不足，是企業推動資安的障礙之一，但從今年調查結果來看，多數企業高層已經認知到資安的重要性和必要性，因此，只有7.2%的企業自評高層支持不足，但是，仍有16.9%資安主管希望能強化管理階層的資安意識，企業高層仍舊需要更多資安培訓。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-57-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5-57-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span></strong></span><br /><strong><span style="color: rgb(51, 153, 255);">以臺灣2千大規模的企業，<wbr></wbr>搭配iThome歷屆CIO大調查企業、政府一級機構、<wbr></wbr>大專院校IT和資安主管，進行線上問卷調查。<wbr></wbr>調查時間1月20日到2月20日，有效問卷數373份。73.<wbr></wbr>4％填答者是企業資安最高主管。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 相關報導 </span></span></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136642" target="_blank"><span style="color:#B22222;">iThome 2020 資安大調查</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/article/138473" target="_blank"><span style="color:#B22222;"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(五) 數位轉型的兩難</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/138350" target="_blank"><span style="color:#B22222;"><span style="font-size: 20px;"><strong>iThome 2020 CIO大調查系列(四) 數位轉型加速</strong></span></span></a></p> <p><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/138102" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查系列(三) 臺灣AI企業現況大揭露</span></a></strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136319" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(上) 數位轉型加速，驅動IT投資成長</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/136361" target="_blank"><span style="color:#B22222;">iThome 2020 CIO大調查(下) 企業數位轉型布局多樣化，加速搶進新科技</span></a></span></strong></p> </div></div></div>
2020/8/19 17:50作者王宏仁https://www.ithome.com.tw/article/139495
Citrix產品重大漏洞沒修補讓駭客有機可趁，全球最大遊輪業者Carnival遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大遊輪業者<a href="https://www.carnivalcorp.com/news-releases/news-release-details/carnival-corporation-plc-identifies-ransomware-incident" target="_blank">Carnival本周坦承</a>，該集團旗下某一品牌的資訊系統在8月15日遭到勒索軟體攻擊，駭客下載並加密了特定的資料，包含客戶與員工資料，目前Carnival仍與執法機關及鑑識機構合作進行調查。</p> <p>成立於1972年的Carnival為全球最大的遊輪業者，旗下有十多個遊輪品牌，包括公主遊輪、愛達遊輪或嘉年華遊輪等，總計有超過100艘遊輪在全球航行，員工數為15萬，每年載運的旅客數量則有1,300萬。</p> <p>Carnival只透露有一個品牌的資訊系統被駭客入侵，員工與客戶資料被存取，系統遭加密，但並未公布被駭品牌或勒索軟體名稱，只強調其它品牌或該公司的營運並未受到波及。</p> <p>在Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/worlds-largest-cruise-line-operator-carnival-hit-by-ransomware/" target="_blank">發表該新聞時</a>，資安業者Bad Packets旋即回覆該攻擊行動並不令人訝異，因為Carnival使用了許多含有CVE-2019-19781漏洞的Citrix伺服器。</p> <p>CVE-2019-19781漏洞藏匿在Citrix應用程式交付控制器（Application Delivery Controller，ADC）與Citrix Gateway上，前者為一應用程式交付與負載平衡解決方案，後者則是一個自遠端存取混合雲端與SaaS服務的解決方案，皆為Citrix的知名產品。</p> <p>CVE-2019-19781屬於路徑穿越漏洞，成功的開採將允許駭客無需經過認證而執行任意程式，在去年12月揭露後，<a href="https://www.ithome.com.tw/news/135461" target="_blank">攻擊程式在一個月內便現身</a>，使得<a href="https://www.ithome.com.tw/news/135355" target="_blank">美國國土安全部</a>及Citrix相繼釋出<a href="https://www.ithome.com.tw/news/135512" target="_blank">CVE-2019-19781漏洞掃描工具</a>，協助使用者辨識系統上是否含有該漏洞以便展開修補。</p> <p>Carnival顯然沒有採取最佳安全措施，此一案例再度彰顯了及時修補重大安全漏洞的重要性。</p> </div></div></div>
2020/8/19 16:20作者陳曉莉https://www.ithome.com.tw/news/139500
新版TeamTNT挖礦蠕蟲會竊取AWS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cadosecurity.com/2020/08/17/teamtnt-the-first-crypto-mining-worm-to-steal-aws-credentials/" target="_blank">資安業者Cado Security近日揭露</a>，他們發現TeamTNT駭客集團所打造的新一代挖礦蠕蟲，多了一項用來竊取存放在Docker及Kubernetes系統上AWS憑證的功能，這些Docker及Kubernetes系統可能因為缺乏密碼保護，或是配置錯誤，而成為TeamTNT蠕蟲的目標。</p> <p>TeamTNT蠕蟲首次現身是在今年的5月，<a href="https://www.trendmicro.com/vinfo/hk-en/security/news/virtualization-and-cloud/coinminer-ddos-bot-attack-docker-daemon-ports" target="_blank">當時趨勢科技分析</a>，這是一個鎖定Docker傳輸埠的分散式阻斷服務攻擊（DDoS）殭屍網路，而且也會植入惡意挖礦程式。</p> <p>而今，TeamTNT蠕蟲不只將危害範圍擴大到Kubernetes系統，也新增了竊取AWS憑證的功能，把在Docker與Kubernetes系統中找到的AWS憑證傳送到駭客伺服器上。</p> <p>此外，Cado Security警告，絕大多數的挖礦蠕蟲都是從不同的挖礦程式東拼西湊而成，在新版TeamTNT蠕蟲現身之後，相信其它的挖礦蠕蟲也會複製它的AWS憑證竊取能力。</p> <p>Cado Security建議開發者應該要盤點有哪些系統存放AWS憑證，若非必要應將它們刪除；也應利用防火牆規則限制Docker APIs的存取能力，強烈推薦使用白名單機制；檢查系統的網路流量是否連至任何的採礦池，或是AWS憑證檔案是否曾被輸出。</p> </div></div></div>
2020/8/19 15:20作者陳曉莉https://www.ithome.com.tw/news/139496
微軟Defender ATP新增惡意行為封鎖功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟陸續強化終端安全軟體Defender進階威脅防護（Defender ATP）的功能。<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/microsoft-defender-atp/edr-in-block-mode" target="_blank">本周又宣布</a>加入端點偵測與回應封鎖模式（EDR in block mode）功能，以阻斷企業裝置上的惡意行為。</p> <p>這項功能主要用於發生駭客入侵事件後，以背景執行模式掃瞄裝置上的惡意活動、惡意軟體或其他有害物件。啟動這項功能時，Defender ATP即會在偵測到惡意行為時，予以封鎖和修復。</p> <p>EDR in block mode使用Defender ATP的機器學習引擎，來分析惡意程式的行為。它可以即時偵測和封鎖威脅行動，即使惡意程式已經開始執行也沒問題，有助於更及時防範威脅，減少人為操作的麻煩和時間延宕。<a href="https://techcommunity.microsoft.com/t5/microsoft-defender-atp/introducing-edr-in-block-mode-stopping-attacks-in-their-tracks/ba-p/1596617" target="_blank">微軟指出</a>，今年4月EDR in block mode已經成功找出或阻擋NanoCore RAT攻擊。</p> <p>EDR in block mode目前以不公開預覽版開放測試。EDR in block mode可透過Defender Security Center中的「設定」、「進階」功能啟動、關閉。但這項功能無法從登錄檔金鑰、Intune或群組政策控制。</p> <p>EDR in block mode只提供給Windows 10或是Server 2016以上，或是具備Microsoft 365 E3/ E5授權的機器。機器上的Microsoft Defender Antivirus防毒軟體也需升級到最新版本，且開啟雲端防護功能。</p> </div></div></div>
2020/8/19 15:35作者林妍溱https://www.ithome.com.tw/news/139497
Mozilla裁員衝擊Rust發展，官方急成立基金會穩陣腳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust官方在部落格<a href="https://blog.rust-lang.org/2020/08/18/laying-the-foundation-for-rusts-future.html">公告</a>，他們將會設立基金會，為Rust專案打下基礎，讓專案能獨立穩定地繼續發展。由於Rust專案已經到了有法律和財務需求的階段，但沒有合法的名稱或是地址，Rust專案難以執行合約簽訂等事宜，因此成立基金會成為需要立刻面對的問題。</p> <p>Rust專案發展的歷史，最早可以追溯到2006年，是由Mozilla Research啟動的專案，長期目標是要讓Rust成為一個可自營運的專案，在2015年的時候，Rust正式發布了1.0版本，確定獨立於Mozilla，是一個自指導與治理的自治組織，Mozilla僅扮演贊助財務和法律服務的角色。</p> <p>就在最近，Mozilla發布了重組公司的消息，於8月11日裁員250人，甚至連Mozilla在臺北的辦公室都被關閉。被裁員的員工中，包括了部分積極參與Rust專案和社群的人，而這帶給Rust專案許多不確定性，因此Rust官方開始著手解決面臨的問題。</p> <p>Mozilla裁員確實對Rust社群成員造成影響，雖然如此，官方提到，Rust是一個開源社群，有來自不同背景的貢獻者，而多樣性是支撐Rust專案重要的力量。Rust官方試圖澄清Mozilla與Rust專案之間的關係，官方表示，部分參與領導Rust專案的成員，過去的確是Mozilla的員工，但是這些Mozilla員工都是利用個人時間貢獻專案，Rust專案並非這些員工在Mozilla工作的一部分。</p> <p>而且Rust團隊的成員資格是授與個人，跟雇主沒有關係，即便這些原為Mozilla員工的Rust團隊成員，遭到了裁員，他們仍然是Rust團隊的成員，官方表示，雖然這些之中有一些人，可能會選擇減少參與，也並非所有人都能夠繼續做出貢獻，官方也會選擇尊重，並且感謝他們過去對專案的貢獻。</p> <p>從去年開始，Rust官方就在研究設立基金會的可能性。由於隨著Rust專案規模的發展，已經有越來越多法律以及財務上的需求，過去Rust專案缺乏這樣的資源與能力，因此Mozilla提供了一段時間的協助，但是在沒有合法的名稱、地址和銀行帳戶情況下，Rust專案的發展將會受到限制。</p> <p>官方提到，不少企業雖有興趣在財務上資助Rust專案，但誤解Rust專案為Mozilla所有，使他們不願投資，而創建基金會則將專案獨立運作這件事付諸實踐，使Rust專案真正由獨立組織運作，同時成立基金會可使贊助更為直覺，提供企業明確資助專案的方法。</p> <p>對成立開源基金會有經驗的Rust團隊成員，討論了當前的形勢，並且確認了成立基金會需要的資源，Rust核心團隊與Mozilla共同宣布創建Rust基金會的計畫，預計Rust基金會將會在年底前，開始啟動營運。</p> <p>Rust基金會的首要目標是取得所有權，包括Rust、Cargo和crates.io相關的各種商標和域名，都會進到基金會中，而基金會也會負擔產生的費用。目前已經有不少大型企業皆持續贊助Rust專案，包括微軟、AWS、Integer 32、1Password、ARM、Google雲端、GitHub以及Mozilla，微軟贊助Rust的CI支出，而AWS支付Rust專案使用S3的費用，在成立基金會之後，Mozilla對Rust專案的影響將會減弱，角色退回到僅是贊助商之一。</p> </div></div></div>
2020/8/19 16:00作者李建興https://www.ithome.com.tw/news/139494
AWS推出快速創建機器人模擬環境的工具WorldForge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了可以讓機器人模擬更簡單的虛擬世界建構工具<a href="https://aws.amazon.com/tw/blogs/aws/aws-announces-worldforge-in-aws-robomaker/">WorldForge</a>，用戶可以利用WorldForge創建多個立體虛擬世界，並讓AWS RoboMaker機器人與這些虛擬世界互動，使得大規模模擬工作成本更低，也更簡單快速。目前這個服務已經在美東、美西、歐洲和太平洋地區上線。</p> <p>RoboMaker是AWS的機器人程式模擬和部署工具，用戶可以使用RoboMaker在雲端進行大規模的機器人模擬，並且將模擬好的機器人程式部署到機器人機群上。現在機器人的應用越來越普及，無論是貨物遞送、救援還是環境監控等應用，機器人可以處理的工作越來越複雜。</p> <p>AWS提到，機器人要能高效率的運作，需要整合電腦視覺、人工智慧和強化學習等各種技術，因此智慧型機器人應用程式的開發、模擬和部署並不容易。而AWS提供的AWS RoboMaker服務，試圖要加速機器人應用程式開發生命周期。</p> <p>為了開發機器人，開發團隊需要執行模擬以測試和訓練機器人，而大規模模擬可以讓測試效果更好，增強學習速度也更快，由於採用合成的資料，也就是資訊由人工產生，而非來自實際事件，可以大幅降低模擬的成本。</p> <p>但是要在虛擬世界進行大規模模擬，仍然是一件困難的事，因為要建立一個3D虛擬世界昂貴且耗時，並且需要建模和模擬引擎的專業知識，考量建置單個模擬世界的資源成本，幾乎無法將3D虛擬世界用於大規模模擬上。而AWS今天發布的RoboMaker WorldForge，可讓機器人開發人員，快速創建大量模擬環境，進而提高程式品質，縮短機器人開發時間。</p> <p>現在於AWS RoboMake選單可以找到新的WorldForge功能，用戶可以在WorldForge中從頭開始建立虛擬世界，或是使用內建的範例模板，範例模板經過調整參數的自定義和編輯操作後，就可以快速創建一個或是多個隨機虛擬世界，用戶最多可以請求創建50個世界，並將RoboMaker機器人程式放到這些虛擬世界中進行模擬。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2020-08-13-at-10_10_27-PM-1024x625.png" style="width: 580px;" /></p> </div></div></div>
2020/8/19 16:15作者李建興https://www.ithome.com.tw/news/139499
澳洲學生引發Reply All風暴，迫使學校關閉Google系統一星期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲學校上周因為一起Google系統全部回覆風暴（Reply All Storm），迫使學校關閉系統事件長達一周。</p> <p><a href="https://www.theregister.com/2020/08/17/act_schools_email_incident/" target="_blank">The Register報導</a>，事情起源是澳州坎培拉首都特區數間學校上周五發生郵件系統癱瘓，迫使該特區教育理事會暫時關閉學校使用的Google平臺，包括Gmail、Google Drive和雲端學習系統Google Classroom，表示將關閉系統直到事件平息及完成調查。</p> <p><a href="https://www.education.act.gov.au/about-us/all-news-and-news-alerts/news-items/august-2020/update-on-act-public-school-student-email-incident" target="_blank">該學區的教育理事會調查指出</a>，該校並非發生系統駭客入侵，而是一名學生以郵件傳送作業給同學，卻不慎使用了全球通信群組代碼（global distribution list code），而使某個郵件群組成員都收到該信件。其他成員於是以全部回覆（reply all）回信引發混亂，部份學生則趁機發送色情圖片。由於群組人數眾多導致信件流量爆增，引發整個郵件系統發生全部回覆風暴。</p> <p>全部回覆風暴源自於1997年微軟員工以「全部回覆」（reply-all）功能，回覆公司電子郵件造成流量過大，超過系統負載而癱瘓。只要群組夠大以及許多人都按全部回覆就可能發生，這種情況現在也屢見不鮮。<a href="https://www.ithome.com.tw/news/137535" target="_blank">5月微軟為全球Office 365加入</a>防止全部回覆郵件風暴的功能。</p> <p>在澳洲首都特區學校關閉Google系統後，也暫時影響仰賴Google Classroom存取上課內容、寫作業的學生。</p> <p>教育理事會本周表示，經過移除存取全球通訊群組代碼以防未來類似事件再發生，預計本周五（8/21）前學生可以恢復使用電子郵件。</p> </div></div></div>
2020/8/19 14:10作者林妍溱https://www.ithome.com.tw/news/139486
Android版Chrome 85將標示下載快速的手機網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了方便使用者行動上網，<a href="https://blog.chromium.org/2020/08/highlighting-great-user-experiences-on.html" target="_blank">Google宣布從Chrome 85 Beta版開始，將標示能更快下載的手機網頁</a>。</p> <p>在新政策下，Google將會根據今年5月公布的<a href="https://www.ithome.com.tw/news/137434" target="_blank">Core Web Vitals指標數據</a>來為網頁下標籤，將顯示在Chrome for Android的連結屬性選單中。Core Web Vitals量測了網頁可用性的多個面向，像是下載時間、回應率及下載時的內容穩定度，也為這些數值定義出網頁良好使用經驗的門檻。超過Core Web Vitals門檻一段時間的網頁連結，就會被加上「快速網頁」（Fast page）的標籤，<a href="https://1.bp.blogspot.com/-jgi5B8DX1oQ/XzpTtS3Hj0I/AAAAAAAABSo/sbzOruKxQ1oI8S-dFb2f2mWxMCD44wtdACLcBGAsYHQ/s2048/performance-hints-fast-labelling%25402x.png" target="_blank">使用者只要在網頁連結處長按就會顯示這個標籤</a>，表示大部分該網頁用戶都會獲得良好體驗。</p> <p>當Google下標籤時，該網站類似結構的URL的歷史資料就會被集結起來評估。若URL資料不足，像是新URL或流量較低時，會以主機為單位來評估歷史資料。Google指出，他們網頁標籤計畫會以Core Web Vitals為準，因此已根據Core Web Vitals數據優化到足夠水準的網頁，也都會獲得標籤。</p> <p>除了加上標籤外，<a href="https://www.ithome.com.tw/news/137949" target="_blank">今年5月底Google還預告</a>，明年某個時刻就會把使用者的網頁經驗納入Google搜尋結果的排序依據，這也包括Core Web Vitals數值。</p> <p>Google知道為Core Web Vitals優化網頁，需要一定投資，也提供了<a href="https://web.dev/vitals-tools/" target="_blank">開發商工具資源和指引</a>，並<a href="https://support.google.com/webmasters/answer/9205520" target="_blank">在Search Console加入Core Web Vitals的統計</a>。</p> <p>標籤將從Chrome 85 Beta版開始，如果使用者躍躍欲試，也可以輸入brave://flags/，啟動「Context menu performance info and remote hint fetching」選擇顯示標籤。</p> <p>本周<a href="https://www.ithome.com.tw/news/139450" target="_blank">Google也預告</a>從10月的Chrome 86起，將會對HTTPS網頁中的不安全Web表單顯示警告訊息，以防網頁在非加密連線下將用戶敏感資訊傳送出去，導致資訊外洩。</p> </div></div></div>
2020/8/19 12:15作者林妍溱https://www.ithome.com.tw/news/139476
甲骨文也有意買下TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/272cfc69-b268-45ac-88d6-d55821f27e78" target="_blank">金融時報本周引述消息來源報導</a>，除了微軟與Twitter之外，甲骨文（Oracle）也正在考慮買下字節跳動位於美國、加拿大、澳洲及紐西蘭的TikTok服務。</p> <p>根據報導，甲骨文聯手字節跳動的既有股東，包括General Atlantic與Sequoia Capital等，且已與字節跳動展開協商。</p> <p>外界估計TikTok的身價超過500億美元，而Twitter的市值只有300億美元，因此相較於Twitter，市值接近1,700億美元的甲骨文，再加上聯手既有的字節跳動股東，將握有足以於微軟競爭的籌碼。</p> <p>只不過，令外界好奇的是，身為全球第二大軟體公司，專門提供企業軟體服務且並無任何消費者服務的甲骨文，為何想入主TikTok，有分析師認為，一來甲骨文擁有龐大的雲端架構，得以支撐這4個TikTok市場的運作，以及存放大量的使用者資料，同時也可藉此推廣甲骨文Data Cloud的廣告業務。</p> <p>另一方面，金融時報也指出，其實微軟正在認真考慮接管字節跳動在全球的TikTok服務，但字節跳動目前並不想出售上述4個市場以外的TikTok服務。</p> </div></div></div>
2020/8/19 12:30作者陳曉莉https://www.ithome.com.tw/news/139477
蘋果第三方維修計畫從iPhone擴大到Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-apple-repair/apple-expands-independent-repair-shop-program-to-mac-computers-idUSKCN25D1F7" target="_blank">路透社於本周一（8/17）報導</a>，蘋果已擴大其「獨立維修中心計畫」（Independent Repair Provider Program），讓符合資格的第三方維修中心不只能取得維修iPhone的資源，也能取得維修Mac電腦的資源。</p> <p>蘋果是在去年8月揭露「獨立維修中心計畫」，供第三方維修中心存取iPhone的官方零件、工具、訓練，維修手冊或診斷，且在今年7月將該計畫所支援的市場從美國擴大到加拿大與歐洲。</p> <p>而路透社則說，蘋果已經把Mac電腦也納入了「獨立維修中心計畫」，將提供同樣的官方資源予符合資格的第三方維修中心。不管是iPhone或Mac電腦，只要仍在保固期內，使用者應該都會選擇蘋果門市或「蘋果授權維修中心」（ Apple Authorized Service Providers，AASPs）進行維修，至於第三方維修中心主要負責的則是過保固的相關產品。</p> <p>蘋果營運長Jeff Williams在提供給路透社的聲明中表示，當裝置需要維修時，蘋果希望用戶能夠取得安全及可靠的解決方案，這一年來已有數千個維修中心加入，期待把同樣便利及可靠的維修經驗帶給Mac用戶。</p> <p>iPhone與Mac電腦為蘋果營收最大的兩個硬體產品類別，在今年3月29日到6月27日之間，蘋果締造了597億美元的營收，其中有264億美元來自於iPhone的銷售，71億美元來自Mac的銷售，第三大硬體營收則是iPad的66億美元，或許之後「獨立維修中心計畫」亦會延伸到iPad。</p> <p>「獨立維修中心計畫」讓許多坊間的維修業者都能存取蘋果的官方資源，還可接受蘋果的訓練與認證，然而，<a href="https://www.vice.com/en_us/article/qjdjnv/apples-independent-repair-program-is-invasive-to-shops-and-their-customers-contract-shows" target="_blank">根據Vice的報導</a>，蘋果與這些第三方維修中心簽署的合約既繁瑣又瘋狂。</p> <p>首先，第三方維修中心必須接受蘋果的突擊檢查，稽核業者所使用的零件是否合法，而且就算退出了該計畫，蘋果在之後的5年仍有突擊檢查的權利；其次，蘋果也要求這些維修中心必須與之分享客戶資訊，包括姓名、電話號碼及住址；此外，為了與「蘋果授權維修中心」區隔，第三方維修中心必須明白告知客戶它們並非蘋果授權的維修中心；這些第三方維修中心的客戶還必須簽署同意書，確認蘋果不保證其維修品質。萬一維修中心被查獲使用非法零件，還得罰錢。</p> </div></div></div>
2020/8/19 11:15作者陳曉莉https://www.ithome.com.tw/news/139471
臉書以AI加快MRI掃瞄，速度提升最高4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/fastmri-breakthrough-shows-ai-accelerated-mris-interchangeable-with-slow-traditional-mris/" target="_blank">臉書本周和紐約大學研究人員合作開發的一項AI模型</a>，可用1/4資料量產生供診斷的核磁共振（MRI）影像，因而可加速MRI掃瞄速度。</p> <p>最新消息為臉書旗下AI研究中心和紐約大學朗格尼醫學中心（Langone Health）合作開發名為fastMRI的AI模型研究的成果。<a href="https://www.ithome.com.tw/news/125367" target="_blank">雙方2018年啟動合作</a>，並在當年將fastMRI模型及150萬張MRI掃瞄片開源。有別於其他AI醫學影像專案以AI來判讀醫療影像，偵測異常之處，fastMRI卻是利用AI來產生醫學影像。</p> <p>傳統MRI掃瞄需要病患平躺通過掃瞄隧道，以產生身體組織的核磁影像。但為了產生足夠資料，掃瞄過程耗時長達一小時，患者不能亂動，且需忍受噪音及幽閉空間的恐懼。本專案就是希望創新資料產生方法，以加速掃瞄過程。</p> <p>利用NYU朗格尼醫學中心2018年底開源的MRI影像資料集，臉書以大約1,200名匿名患者的膝蓋掃瞄影像來訓練fastMRI模型。研究人員利用原始影像製作出解析度較低的版本，每張新影像的資料量都是原始影像的1/4，然後以fastMRI來比對高、低解析度的影像，藉此訓練其預測能力，之後這個AI模型就能以更少（即1/4）資料量產生高解析度影像。若這樣的資料可以使用，則臨床上可望加快MRI掃瞄的速度。</p> <p>而在之後的一項<a href="https://www.ajronline.org/doi/abs/10.2214/AJR.20.23313?fbclid=IwAR2vvLu2Qh4v4_dNTHp0gEI2VdUlSc1T4VFKc8nyHhivXHsjFSWcrTFi-sY" target="_blank">可交互性（interchangeability）研究</a>中，由放射科醫師分別針對傳統MRI，以及由fastMRI演算法產生資料量少75%的影像進行盲測，結果顯示醫生都能做出相同診斷，且無法分辨哪些是由AI產生的影像。</p> <p>NYU朗格尼醫師及放射科主任Michael Recht指出，這項研究是MRI領域AI研究一大進展，因為這也是首次AI影像達到和標準臨床MRI影像無法區分，而診斷準確度達到可交互水準。</p> <p>研究人員指出，fastMRI已是開源專案，因此開放其他研究人員和廠商使用和測試。他們希望硬體業者可以在取得FDA許可後，協助fastMRI演算法的投產。</p> </div></div></div>
2020/8/19 11:25作者林妍溱https://www.ithome.com.tw/news/139473
IBM釋出最新經AI最佳化的Power10晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM推出最新自家設計的伺服器處理器<a href="https://newsroom.ibm.com/2020-08-17-IBM-Reveals-Next-Generation-IBM-POWER10-Processor#assets_all">Power10</a>，最新的Power10晶片除了受惠於三星的7奈米製程，更為節能之外，Power10還能更好地處理新興科技工作負載，像是人工智慧推理速度可達Power9的20倍，而且其採用的隔離技術，能夠更安全地執行容器應用程式。</p> <p>Power10是IBM第一個使用7奈米製程的商業處理器，大小約為一張郵票，內有30個核心共180億個電晶體，比起上一代多了18個核心。官方提到，Power10的效能是Power9的3倍，能在相同功率下負擔更多的工作負載，Power10的系統能夠在混合雲環境，提供3倍的使用者、工作負載和OpenShift容器密度運作。</p> <p>而且Power10每核心的AES加密引擎數量，是Power9的4倍，因此能夠更快的執行加密工作，由於現在高安全性的加密演算法，像是全同態加密等，對於運算資源的要求頗高，而Power10內建比前一代更多的加密引擎，以符合當今與未來的加密標準使用。另外，為了解決高密度容器帶來的安全性問題，Power10從硬體設計考量容器保護與隔離，當有容器受到入侵時，能避免同一虛擬機器中的其他容器也受到影響。</p> <p>Power10還使用了一種稱為記憶體啟動（Memory Inception）的技術，能夠支援PB級記憶體叢集，有效提高雲端容量以及效益。由於資料中心的伺服器都有各自的隔離記憶體容量，這樣的隔離難以將多餘的容量釋出，提供給應用程式使用，而記憶體啟動將可允許伺服器的記憶體資源整合，成為一個大型集中式記憶體池，來支援諸如SAP、SAS或是其他記憶體密集的人工智慧推理工作負載。</p> <p>為了支援當前火熱的人工智慧技術，Power10晶片搭載了嵌入式矩陣數學加速器（Matrix Math Accelerator），由於機器學習模型運用大量的矩陣運算，因此Power10有了矩陣數學加速器，就能更快地處理機器學習工作負載，與Power9相比，Power10在FP32、BFloat16和INT8精度的運算速度，分別提高了10倍、15倍和20倍。</p> <p>IBM提到，Power10是專為混合雲架構設計的處理器，OpenShift是其預設的支援平臺。搭載Power10晶片的系統，預計將會在2021下半年陸續出貨。</p> </div></div></div>
2020/8/19 10:35作者李建興https://www.ithome.com.tw/news/139462
Amazon EKS現可選用Graviton2 Arm處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/containers/eks-on-graviton-generally-available/">AWS</a>宣布在其AWS全託管的Kubernetes服務Amazon lastic Kubernetes Service（EKS）上，正式可以使用AWS Graviton 2晶片執行工作負載。</p> <p>Graviton 2是AWS自己設計的ARM晶片，提供256位元DRAM加密，且支援雙SIMD單元，整個提供的效能，比前一代高了7倍，而且浮點數運算效能也提高1倍，還擁有更大的記憶體通道，在人工智慧的支援上，Graviton 2支援int8和fp16精度運算，能夠大幅提升機器學習預測工作負載的計算速度。</p> <p>而Graviton 2處理器的優勢，便是價格更為低廉，能提供用戶更高的性價比選擇，在今年前些時候，AWS在EC2上推出了多個採用Graviton 2的執行個體，與M5、C5和R5執行個體相比，採用Graviton 2的M6g、C6g和R6g執行個體的成本降低了20％，而性能提高了40％。</p> <p>現在Amazon EKS正式可以使用Graviton 2處理器來執行工作負載，也就是說，AWS現在支援64位元的ARMv8.2基礎架構，並且支援端到端多重架構，而且EKS API以及相關工具，也都能夠處理架構的特殊配置，像是啟用Arm的控制平面元件CoreDNS或是kube-proxy Pod。</p> <p>AWS在GitHub創建了入門支援儲存庫，其提供了Graviton相關的使用資訊，要在Amazon EKS使用Graviton 2的用戶，可以從該儲存庫開始探索。官方提到，要在Amazon EKS上選用Graviton2執行官方提供的範例，目前還是建議使用官方CLI工具eksctl。不過，Amazon EKS對Graviton 2的支援，目前僅有在能夠同時支援兩種服務的地區使用。</p> <p>另外，<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-fargate-for-amazon-eks-now-supports-amazon-efs/">AWS</a>今天還發布了另一項消息，適用Amazon EKS的容器無伺服器服務AWS Fargate，現在開始支援Amazon Elastic File System（EFS）。EFS是一個全託管的共享文件系統，Kubernetes應用程式可以透過EFS，將資料寫入到多個AWS可用區域，實現高可用性。</p> <p>AWS提到，因為容器本質是暫時的，雖具有能夠動態縮放的特點，但是容器結束時，便會清除狀態以及資料，如此便無法儲存持久性資料，也難以共享儲存。AWS Fargate無伺服器運算引擎可在ECS與EKS上運作，在今年4月的時候，AWS先支援可在ECS上的AWS Fargate使用EFS，而現在輪到EKS，從現在開始，在EKS上執行Fargate的用戶，同時也能使用EFS。</p> </div></div></div>
2020/8/19 10:45作者李建興https://www.ithome.com.tw/news/139467
蘋果威脅要關閉Epic的所有開發者帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/139405" target="_blank">Epic Games本月13日</a>因在《要塞英雄》（Fortnite）行動遊戲中，添增了自家的Epic Direct Payment支付機制，使得該遊戲同時遭到蘋果App Store與Google Play封鎖，<a href="https://twitter.com/epicnewsroom/status/1295430127455596544" target="_blank">周二（8/18）Epic Games透過Twitter發聲</a>，指出蘋果準備關閉Epic Games所有的開發者帳號，也將拒絕該公司存取iOS與macOS平台上的開發工具，讓Epic Games當天就<a href="https://cdn2.unrealengine.com/epic-v-apple-8-17-20-768927327.pdf" target="_blank">請求法院制止蘋果的行為</a>。</p> <p>根據Epic Games所提交的法院文件，蘋果先是在8月13日通知該公司，因Epic Games的程式（《要塞英雄》）違反App Store的審核準則，因而將它移除。</p> <p>14日Epic Games再度收到蘋果通知<a href="https://arstechnica.com/gaming/2020/08/impending-aphttps://www.ithome.com.tw/news/139405ple-ban-an-existential-threat-to-the-unreal-engine-epic-says/" target="_blank">，宣稱Epic Games違反了多項蘋果開發者專案</a>（Apple Developer Program）授權協議，因而暫時終止其會員資格，若未在14天內改善，即會終止該公司的開發者帳號，未來將無法再提交程式至App Store，也會移除該公司在App Store上的所有程式。</p> <p>倘若Epic Games的蘋果開發者會員資格被撤銷，那麼Epic Games就無法再存取蘋果的軟體、SDKs、APIs與開發者工具，14天的到期日為8月28日。</p> <p>Epic Games批評蘋果一直以來都壟斷了iOS程式的遞送，強迫開發人員使用蘋果的支付系統，以向開發者收取30%的佣金，希望法院能夠頒布暫時禁制令，禁止蘋果移除《要塞英雄》或其更新，也禁止蘋果針對Epic Games的提告執行報復性行動，打擊Epic Games所開發的其它遊戲。</p> </div></div></div>
2020/8/19 10:45作者陳曉莉https://www.ithome.com.tw/news/139470
用演算法替高中生打分數被控歧視，英國改為人工計分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約有數百名剛從高中畢業的英國學生在最近走上街頭，抗議英國的資格考試辦公室（Ofqual）使用了含有歧視的演算法，使得約有40%學生的A-level成績低於學校老師的預估，嚴重影響他們的大學申請資格，<a href="https://www.gov.uk/government/news/statement-from-roger-taylor-chair-ofqual" target="_blank">促使Ofqual臨時改弦易轍</a>，決定以老師的估計為準。</p> <p>A-level在英國為16歲學生參與的兩年期課程，課程結束後的A-level考試成績則用來作為申請大學的參考，因為武漢肺炎（COVID-19）疫情的關係，英國自今年3月就取消了所有的考試，同時要求Ofqual開發一演算系統來計算學生的成績。</p> <p>根據外電報導，Ofqual所打造的演算法基於兩大標準，一是學生在學校的排名，二是各校的歷史表現，打算透過該系統產生與往年藉由考試相當的結果。</p> <p>然而，許多A-level學生在上周收到成績單之後氣急敗壞，大約有35.6%的學生所收到的成績單比學校老師的預測低了一級，3.3%低了兩級，還有0.2%低了三級，整體而言，有40%、超過12萬名學生，收到比預測還差的成績單。</p> <p>另一個惹怒學生的是，就讀昂貴私立學校的學生，透過該演算法所得到的成績卻有不同的結果。<a href="https://news.sky.com/story/35-of-a-level-results-downgraded-by-one-grade-figures-reveal-12048251" target="_blank">根據Sky News的報導</a>，藉由該系統，公立學校的學生獲得A或以上成績的數量，比去年增加了2%，但私立學校的學生卻增加了4.7%。</p> <p>紛至沓來的批評讓Ofqual不得不宣布，決定以學校老師估計的成績為準，將會重發成績單，但若透過系統而得到較高成績的學生，則可保留該成績作為申請大學之用。且此一決定不只適用於A-level，也適用於本周即將寄發的GCSE成績（普通中等教育證書，14~16歲）。</p> </div></div></div>
2020/8/18 17:40作者陳曉莉https://www.ithome.com.tw/news/139466
武漢肺炎疫情導致美國選舉相關網站被攻擊次數大幅增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/election-cybersecurity-preparing-for-the-2020-u-s-elections/">Cloudflare</a>發現即將到來的美國總統大選，因為武漢肺炎（COVID-19）疫情，使得州與地方政府的選舉網站，遭遇到的網路攻擊量大幅增加，平均每天會受到約12萬次網路攻擊，並且有199次的SQL注入攻擊嘗試，對一般競選活動網站來說，平均每天需要面對約5,000次攻擊，而大型的活動則會面臨更大規模的攻擊。</p> <p>美國許多選舉活動為因應防疫，包括虛擬募款、競選活動都轉移到了線上平臺，另外，許多郵件作業也用線上表格代替，Cloudflare提到，他們一直在關注這樣的轉變，所帶來的網路攻擊變化，他們觀察到，今年4月到6月的DDoS攻擊數量上升，L3/4的攻擊較今年前3個月增加1倍。</p> <p>雖然可以預期距離投票的時間越來越近，選民存取選舉和投票資訊的網站流量也隨之上升，許多政府選舉網站的請求量是之前的2到3倍，Cloudflare表示，造成流量上升的原因有很多，像是緊急命令發布變更投票辦法，導致選民湧入網站查看最新投票資訊，或是之前各州舉辦總統初選，都是導致網站流量上升的原因。</p> <p>在今年的DEF CON中，美國國土安全部提到，由於武漢肺炎疫情爆發，選舉系統所面臨最大的故障風險，就是不可預測的存取量暴增，甚至在選舉周期之外，都會出現無法解釋的流量高峰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-7.png" style="width: 580px;" /></p> <p>Cloudflare提供州和地方政府免受網路攻擊的Athenian Project，其網頁應用程式防火牆在3月的時候，就偵測到了9,000萬個威脅，另外，試圖擷取額外網站資訊的SQL注入攻擊，光在Athenian Project底下的網域，平均每天就偵測到43,884次攻擊，而針對政府選舉網站，Cloudflare的防火牆每天平均會偵測到199次SQL注入攻擊。</p> <p>Cloudflare提到，由於競選活動經常是短期性且資金緊繃，因此通常不會有專門的IT人員或是預算，來發展網路安全防護措施，也就成為網路攻擊的目標。Cloudflare研究為候選人網站提供的安全防護服務Cloudflare for Campaigns，底下的美國聯邦政治競選活動，從今年1月以來，這些網站被偵測到接近8,000萬次攻擊威脅，平均每天接近5,000次，而且參議院選舉所面對的網路攻擊，比眾議院候選人的規模大上不少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4-2.png" style="width: 580px;" /></p> <p>武漢肺炎導致美國實體競選活動減少，競選活動現在仰賴視訊會議軟體、線上募款和社交平臺等線上活動吸引選民，因此隨著選舉活動的進行，針對競選活動的網路攻擊頻率也逐漸增加，從5月到6月增加了187％。成本低且技術門檻低的DDoS攻擊，被大量地用來攻擊候選人網站，Cloudflare表示，DDoS攻擊具有很大的破壞力，可在關鍵時刻塞爆競選網站，對候選人造成嚴重影響，雖然競選網站可透過限速來緩解63％的DDoS攻擊，但仍然是個不容小覷的問題。</p> </div></div></div>
2020/8/18 16:20作者李建興https://www.ithome.com.tw/news/139458
Notepad++新版以支持香港為名，遭中國封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名文字與程式碼編輯器Notepad++本周<a href="https://twitter.com/Notepad_plus/status/1294991670245818369" target="_blank">透過推特指出</a>，Notepad++近日遭到中國封鎖，顯然是和去年和上個月釋出的新版本代號有關。</p> <p>Notepad++去年的7.8.1到7.8.3版代號為「自由維吾爾」（Free Uyghur），<a href="https://notepad-plus-plus.org/news/v789-stand-with-hong-kong/" target="_blank">7月釋出的7.8.9</a>代號則為「與香港同在」（Stand with Hong Kong）。</p> <p><a href="https://techcrunch.com/2020/08/17/notepad-plus-plus-blocked-in-china/" target="_blank">Techcrunch引述</a>Notepad++開發者Don Ho指出，一名使用者通知他，Notepad++從8月12日起在中國被封鎖。他說中國政府動手之前從沒聯繫他，但他也不打算做什麼來解除封鎖。</p> <p>Techcrunch測試，只有當使用者透過中國瀏覽器，像是騰訊QQ、阿里巴巴AC、微信、360及搜狗等存取Notepad++的下載頁時會被封鎖。這時瀏覽器會顯示「網站可能存在非法內容」，以及「網站被大量用戶舉報，可能發佈了國家明令禁制的內容」的警告訊息。不過如果使用Chrome或DuckDuckGo則不受影響。</p> <p>在<a href="https://notepad-plus-plus.org/news/v789-stand-with-hong-kong/" target="_blank">Notepad++7.8.9中的下載頁</a>中，Ho指出，數百萬港人從2019年6月以來為捍衛自由和自主而抗議，但現在情況更加險峻，因為6月30日中國通過了適用香港的《國安法》，欲剝奪港人的自由和人權。</p> <p>Ho對用戶警告，這本法律不只攸關香港人，而是所有人都脫不了關係。不論美國人、歐洲人，不論他們身在美國或歐洲，都會因支持香港而觸法，日後他們人造訪香港或只是在香港轉機，都可能被逮捕。簡言之，中國政府力圖破壞香港民主和自由，且不允許關於香港的言論自由，而作者堅決反對言論自由受極權國家所限，而Notepad++也將與香港人民站在同一陣線。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/133940" target="_blank">去年作者釋出「自由維吾爾」</a>時即引來大量不滿的中國使用者湧入GitHub留言版灌爆，而Notepad++網站也一度遭DDoS攻陷斷線數小時。</p> <p><a href="https://notepad-plus-plus.org/news/v664-tiananmen-64-edition/" target="_blank">Notepad++之前也分別以軟體表達不同政治主張</a>。其他包括2014年的Notepad++6.6.4版「六四天安門事件」、6.7.4為「我是查理」（法國一家雜誌社遭恐怖份子開槍射擊）、7.3.3為CIA Hack fixed、7.6.2版為「黃背心運動」（Gilet Jaune）。</p> </div></div></div>
2020/8/18 15:45作者林妍溱https://www.ithome.com.tw/news/139459
澳洲要求Google支付新聞費用，Google以公開信反擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日<a href="https://www.theguardian.com/technology/2020/aug/17/google-open-letter-australia-news-media-bargaining-code-free-services-risk-contains-misinformation-accc-says#img-2" target="_blank">Google在澳洲於自家的服務上嵌入了一則廣告</a>，該廣告其實是封針對澳洲民眾的公開信，指責澳洲政府的新規定將傷害澳洲民眾使用Google搜尋及YouTube的權利，然而，澳洲政府在周一（8/17）澄清，這封公開信內含不實資訊。</p> <p>此一事件源起於澳洲競爭及消費者委員會（Australian Competition and Consumer Commission，ACCC）在今年7月底發布了《新聞媒體議價法令》（News Media Bargaining Code）草案，要求Google及臉書必須就平臺上所使用的新聞服務與當地的新聞媒體議價，以支付適當的授權費用。</p> <p>根據該草案，Google及臉書應與新聞媒體進行價格的協商，限期3個月，若雙方未能在期限內達成協議，將會有獨立的仲裁者在45天之內決定最後的價格；另也允許小型媒體結盟以與這兩大平臺協商。總之，澳洲政府的立場是新聞媒體應該自Google或臉書獲得合理的報酬。</p> <p>除了要求Google及臉書付費給澳洲新聞媒體之外，該草案也擬定了其它規定，包括要Google及臉書在變更演算法的前28天通知新聞媒體，以讓媒體得以適時因應；亦要求Google及臉書應與媒體分享它們與讀者的互動資訊，例如讀者花在文章上的時間，或是所閱讀的文章數量等。</p> <p>《新聞媒體議價法令》促使Google在當地服務中以跳出視窗的廣告形式發布了公開信，表示根據該草案，Google被迫提供更糟的搜尋及YouTube服務予澳洲民眾，一來可能造成使用者的資料被移交給大型新聞媒體，二來也可能危及相關服務的免費型態。</p> <p>Google也進一步<a href="https://australia.googleblog.com/2020/08/regulation-impact-on-YouTube-Community.html" target="_blank">透過澳洲的官方部落格作出解釋</a>，指出YouTube可能會被迫交出系統的機密資訊予新聞媒體，將讓媒體能夠創造排序更高的內容，將不利其他創作者；而且YouTube原本就會與創作者分享廣告收益，假使新聞媒體要求更高的金額，也將擠壓其它創作者的獲利空間；且該法令允許新聞媒體存取讀者的使用資料，但YouTube卻認為應該保護讀者資料，不應交給任何人。</p> <p>Google認為，《新聞媒體議價法令》將會對澳洲的創作者生態體系帶來重大的負面影響。</p> <p>然而，<a href="https://www.accc.gov.au/media-release/response-to-google-open-letter" target="_blank">ACCC很快就發表了聲明</a>，抨擊Google的公開信中含有不實資訊，指出他們並未要求Google向當地使用搜尋或YouTube的民眾收費，除非Google自己決定收費，也未要求Google分享額外的使用者資料予澳洲新聞媒體，除非Google自願分享。</p> <p>ACCC還強調，《新聞媒體議價法令》是為了讓澳洲的新聞媒體能夠與Google協商出一個合理的價格，以補償新聞工作者的努力，同時還能解決這些新聞媒體與Google及臉書之間，在談判籌碼上的失衡問題。</p> <p>目前ACCC、Google、臉書，與其它第三方仍在商討此一草案的內容，預計於8月28日結束討論，屆時才會有最終結果與正式法令。</p> </div></div></div>
2020/8/18 16:00作者陳曉莉https://www.ithome.com.tw/news/139460
美國再掐華為晶片供應鏈，38家華為關係企業被列入實體名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/137665" target="_blank">今年5月，美國修改了</a>出口管理規定（Export Administration Regulations，EAR）中的「外國直接產品規則」（Foreign Direct Product Rule），要求晶片製造商不得使用美國的軟體與技術替華為生產晶片，有鑑於華為持續利用第三方關係企業或其它方法來規避美國的制裁，<a href="https://www.commerce.gov/news/press-releases/2020/08/commerce-department-further-restricts-huawei-access-us-technology-and" target="_blank">使得美國商務部本周一（8/17）再度修改EAR</a>，並將38家華為關係企業列入實體名單（Entity List），進一步限制華為的晶片取得管道，也讓迄今被納入實體名單的華為關係企業總數已達152家。</p> <p>「外國直接產品規則」（Foreign Direct Product Rule）原本的規定很簡單，只適用於那些在國外利用與美國國家安全有關的技術或軟體所生產的產品，以及不得輸出到特定國家（如中國），而且只要所使用的美國技術在25%以內就不在此限。</p> <p>因此，在華為於2019年5月被美國列入實體名單，美國要求當地業者在取得許可前，不得與華為交易之後，華為開始透過美國以外的製造商取得晶片，另也藉由未被列入實體名單的關係企業向業者購買晶片。</p> <p>於是，美國在今年5月針對華為修改了「外國直接產品規則」，要求晶片製造商在利用美國技術及軟體替華為或被列入名單的相關企業生產晶片時，都必須取得美國的同意。該禁令著重在華為所開發的晶片設計，在9月15日正式生效，<a href="https://www.ithome.com.tw/news/139297" target="_blank">也讓華為自家設計的高階晶片麒麟9000正式斷炊</a>。</p> <p>然而，上有政策，下有對策，華為依舊透過其它關係企業及購買既有的產品來取得晶片，促使美國本周一（8/17）再將38家華為關係企業納入實體名單，並進一步修改「外國直接產品規則」。</p> <p>新的規則要求只要是利用美國軟體或技術所生產的產品，不管是被用作零件或設備的開發，或者是買家、中間商、收貨人或使用者，有任一方被列為實體名單，都必須經過美國的允許。此一規則主要是為了避免華為與其關係企業在市場上收購既有的晶片產品。</p> <p>5月的規則讓華為無從生產高階晶片，新的規則則制止華為購買市場上涉及美國技術的現有晶片，此外，有別於5月的規則有90天的緩衝期，直至9月15日才生效，新規則即刻生效，為的是阻止華為再度企圖規避美國的出口管制措施。</p> <p>另一方面，美國商務部也證實，<a href="https://www.ithome.com.tw/news/139433" target="_blank">針對華為所提供的臨時通用許可（Temporary General License，TGL）已經到期</a>，而且決定讓它過期，還說美國已經提供了充份的時間讓受到影響的企業或個人，改用其它的設備、軟體或技術，現在時間已經到了。</p> <p>美國國務院表示，川普政府相信華為是中國共產黨進行監控的左右手，上述措施都是為了保障美國的國家安全、民眾隱私，以及5G基礎設施的完整，不受來自北京的惡意影響。</p> </div></div></div>
2020/8/18 13:20作者陳曉莉https://www.ithome.com.tw/news/139457
【資安關鍵字：網路加密技術｜量子加密通訊】抵抗量子電腦問世的威脅，以光子傳送密碼或金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著能力遠超現代電腦的量子運算技術出現，現在看似安全的密碼，將在極短時間被破解，資安出現新的隱憂，而量子技術的另一發展道路──量子通訊加密，則是實現密碼安全的作法。</p> <p>在國際上，對於量子電腦、量子通訊的技術，都已研發了相當多年的時間，例如，Google更在2019年11月發表量子電腦新成果，他們指出，原本超級電腦要用1萬年處理的運算，量子電腦只要3分多鐘可完成，而市面上，也已有量子加密通訊產品問世。</p> <p><span style="font-size:28px;"><strong>以光的最小組成傳遞密碼</strong></span></p> <p>為何這樣的技術能因應未來量子電腦帶來的資安挑戰？簡單來說，這是利用「光子」，也就是光的最小組成粒子，來傳遞加密所需要的密碼。</p> <p>關於加密的問題，科技部前瞻量子科技研究中心量子通訊組副教授褚志崧表示，現在的公開金鑰加密法，是基於一個相當大的質數乘積，超級電腦都要花很多時間破解，但今日如有比超級電腦更厲害的電腦出現，過去的安全就變得不夠安全。而在密碼學中，最安全加密的方法，要能夠隨時交換密碼或密鑰，然而，以往沒有好的方法產生安全的密碼，而量子加密通訊引入量子力學的特性，讓通訊雙方產生安全的密碼，並且能做到隨時更新更換。</p> <p>對於光子不容易被破解的原因，褚志崧進一步解釋，當東西在很小或能量很低的時候，會有「測不準」的特性。等於是借助物理特性，來達到真正安全的密碼產生與傳輸。他認為，除非物理的原理被證明是錯的，否則安全性應該是百分之百。而且，一旦發現有外界測量的情況，由於數據將會變得不同，因此系統將能察覺到窺探的跡象，而這也是與現行加密技術的一大差異。</p> <p>值得注意的是，目前這樣的量子加密通訊技術，褚志崧表示，國外已有銀行業應用的案例，直接用做加密通訊，或增強加密通訊安全性。另外，我們也看到商業化解決方案，像是ID Quantique（IDQ）等廠商推出的相關產品。</p> <p><span style="font-size:28px;"><strong>臺灣取得技術新突破</strong></span></p> <p>事實上，關於量子加密通訊的發展，在20年前美國就已經成功實現，不過，當時是在無干擾的實驗室中完成，且通訊距離只有30公分；在2016年，中國也發射了量子衛星「墨子號」，通訊距離到可常達1,200公里，但光子在大氣傳播很容易發散，導致通訊效率變低；在2018年11月，奧地利也在實驗室內，成功完成400多公里光纖的量子加密通訊測試。至於臺灣，雖然從2018年3月開始起步，但在短短一年半的時間內，已取得戶外測試成功的成果。</p> <p>為了讓臺灣可以跟上國際在量子技術的發展，科技部從2018年開始，將量子技術列為優先補助的項目之一，並協同教育部，共同成立前瞻量子科技研究中心。最近，該研究中心的清華大學團隊宣布，已經打造出量子加密通設備原型，在2019年7月，成功測試25公里室內光纖量子加密通訊，到了9月，他們也實現4公里的戶外光纖量子加密通訊。</p> </div></div></div>
2020/8/18 12:30作者羅正漢https://www.ithome.com.tw/news/139453
【資安關鍵字：AI影像合成技術與假新聞｜Deepfake】影像合成技術門檻將變低，經由AI偽造的數位內容成全球新風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俗話說，有圖有真相，有片有真相，意思是文字描述不夠真實，但配上圖片或影片就能提高可信度。雖然過去已經有不少修圖、電影修片專家能合成逼真的影像，但製作門檻還是有，只是，隨著深度學習（Deep Learning）技術與之結合發展，將為全球社會帶來新興風險。</p> <p>基本上，深度學習是有助於實現機器學習的一種技術，能為許多科技面向帶來好處，若用在影像合成領域時，能協助電影、遊戲領域製作，處理上可以更省時，但在現實應用場景中，與假訊息結合之後，卻也開始讓影像偽造門檻降低，不實內容影像製作變得氾濫，於是，深度偽造（Deepfake）一詞也油然而生。</p> <p><span style="font-size:28px;"><strong>AI讓影片換臉應用發展快速</strong></span></p> <p>關於Deepfake，根據維基百科說明，是英文「Deep Learning」和「Fake」所混合而成的單字，也就是將「深度學習」加上「偽造」，專指基於人工智慧的人體圖像合成技術的應用。</p> <p>而近年來，已經出現了不少相關事件，讓大眾認識到這類AI變換人臉的技術發展，並開始注意到未來應用於假消息時的可能影響。</p> <p>例如，2017年俄羅斯開發商打造的FaceApp，就利用了AI技術，讓用戶能夠針對人臉來增加笑容，變年輕或變老，甚至變換性別；到了2019年，由中國軟體開發商打造的ZAO，也利用AI技術，讓使用者可將自己的人臉直接套用到電影角色。顯然，這些App使用AI技術打造了有趣的變臉應用，但也額外衍生用戶隱私的問題。</p> <p>此外，市面上，這類Deepfake的工具已經不少，還包括：DeepFaceLab、Fakeswap、Openfaceswap、Myfakeapp等，其中，有一些是開放原始碼軟體。</p> <p><strong><span style="color:#800000;">用AI將知名女星換臉到成人影片</span></strong></p> <p>令人擔憂的是，這樣的技術若遭到大量濫用，可能為全球社會帶來極大的負面影響。舉例來說，在2017年12月，美國知名網路論壇Reddit有網友發布了一則文章及影片連結，內容是以AI技術來假造知名女星AV成人影片，而該片的女主角，竟是飾演電影《神力女超人》的女主角Gal Gadot。當然，這影片並非Gal Gadot下海主演，而是利用AI技術產生而成，將知名女星的臉直接替換到某支A片，且真實程度已經到了讓人感到訝異的地步。</p> <p>顯然，這種使用AI的移花接木手法，在吸引廣大關注的同時，也引起一些人的反思，像是可能用於蓄意破壞他人名聲，或是惡搞，而且，未來人們也可能更難分辨其真偽。而且，在操作手法上，Deepfake除了能假造一個人沒做過的事，也還能夠反向操作，像是假造一個人沒做過的好事。</p> <p><strong><span style="color:#800000;">有影片將不再有真相？</span></strong></p> <p>另一起事件，是在2018年4月有國外網路媒體Buzzfeed製作了AI假影片，目的是呼籲大眾要謹慎判斷網路上的消息。他們發布了一則以AI技術假造的演講影片，當中是以AI技術來改變前美國總統歐巴馬的致詞內容，當中大部分都是歐巴馬對著鏡頭說話的原始影片，但有一句話居然變成「川普總統完全就是個笨蛋！」當然，這句話也不是歐巴馬所說，而是利用AI技術改變嘴型與聲音而成，若觀眾不仔細觀察，很難察覺異常。</p> <p>在這樣的Deepfake情境中，我們不難想像到更多的可能性，包括假造候選人、官員或專家沒說過的話，用於政治、社會與經濟等面向的干擾，又或是假造企業高層或同仁的發言，像是發布企業利多或利空的消息，進而在投資市場獲利，或是干擾企業營運等。而且，比起文字式的假消息，若是這類造假影片在網路上大量散布，更是讓企業及組織闢謠增添難度。</p> <p><span style="font-size:28px;"><strong>杜絕假消息會變得更困難</strong></span></p> <p>綜觀上述的Deepfake的發展與事件，顯然AI的普及不只是助長了影像合成技術的發展，從偽造內容的面向來看，Deepfake也讓假消息的威脅更上一層樓。</p> <p>畢竟，假消息的問題本就是越來越嚴重，尤其是智慧型手機普及之後，現在人人都能夠上網，而且是無時無刻，這也包括了原本對網路不熟的民眾，有些人經歷即時通訊與社群平臺的時間較短，可能更容易受到假消息的影響與煽動。再加上我們身處於資訊量爆炸的時代，如今又有Deepfake出現，假訊息的問題只會變得更嚴重。</p> <p>譬如說，多數人很可能因為只看標題，加上又有影片證實，看個幾秒後就快速分享，而在假造影片氾濫之下，相對地，真實的影片也會因為立場不同而被說是假造的。至於整個社會環境，還將可能產生更多的對訴訟或司法程序，造成重大影響。</p> <p>事實上，影像類的資訊早已有人為操弄的空間，像是從單一角度來拍攝影片，讓觀眾誤會是特定狀況，但從另個角度看並非如此，或是可以擷取部分片段來誤導。如今用AI快速產生逼真的造假影片，將讓問題變得更氾濫。</p> <p><span style="font-size:28px;"><strong>AI身分冒用讓詐騙手法翻新</strong></span></p> <p>Deepfake的影響不僅止於此，還有一個不能忽略的面向，就是AI身分冒用的問題，可能讓網路犯罪更難防範。舉例來說，原本鎖定企業的商業電子郵件詐騙（BEC），也可能在Deepfake技術加持下，讓身分冒用攻擊的管道從電子郵件延伸至視訊與電話。</p> <p>簡單來說，BEC詐騙是網路犯罪組織策畫的複雜騙局，對方會從許多面向取得企業與合作廠商的交易匯款訊息，並以竄改或假冒電子郵件等方式，像是伺機假冒高階主管，或往來供應商的來信，通知要求更改匯款帳號，導致未察覺出異常的企業財務主管或老闆上當。</p> <p>在今年2月FBI發布的2019年度網路犯罪報告中，更是指出BEC詐騙這類犯罪所造成的損失，已高達17億美元，帶來的危害持續擴大。臺灣近年也有不少企業受害，向警方報案處理。</p> <p>而這樣的身分冒用攻擊，在Deepfake技術發展之下，也有了新的威脅面向。例如，在2019年下半，有一家英國能源公司的執行長，就因為誤以為接到德國總部執行長的來電，進而聽從對方指示匯錢，因此被訛詐了22萬歐元。其實，這並非真正德國總部執行長的來電，是駭客集團以Deepfake技術偽裝成老板聲音，所下的命令。</p> <p><span style="font-size:28px;"><strong>如何因應成各界關心焦點</strong></span></p> <p>無論如何，很多人都擔心AI生成影片的技術，可能會被大量濫用，像是成為操控輿論及名聲的新工具。</p> <p>對此難題，許多科技大廠也正試圖號召更多好手，發展可辨識惡意惡意偽造影片的偵測模型。例如，在2019年9月，微軟和臉書發起了競賽，名為Deepfake Detection Challenge，就是希望集眾人之力，找出更好的偵測方式。而在2020年6月，全球2千位AI專家參賽，陣容相當龐大，但從公布的比賽結果來看，辨識假造影片成效最高只能認出8成，而且，參賽模型無法準確判讀未知資料，而這也顯示現有技術辨識假造影片仍有困難。</p> <p>此外，面對AI、Deepfake用於詐騙的威脅，相關作法的發展狀態，也將成為企業與民眾關心的新課題。例如，通訊平臺能否提供更精準的過濾技術，以及用戶應從不同管道來進行二次確認，並且建立多個審核的程序。</p> <p>不論如何，隨技術演進，Deepfake產生的影像將讓人更無從判斷真假，製作門檻也只會越來越低，全球社會都必須積極應戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0818-deepfake-500.jpg" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">隨著Deep learning技術在影像合成領域的發展，在2017年，就有網友以AI將知名女星的臉替換到某個A片，而引起廣大注意。</span></strong></p> </div></div></div>
2020/8/18 12:50作者羅正漢https://www.ithome.com.tw/news/139454
【資安關鍵字：資安威脅｜Web Skimming】透過常用網頁元件與分析工具來攻擊，手法更隱密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在各式各樣的網路威脅裡，最常見的攻擊型態，有釣魚郵件、偷渡式下載（Drive-by Download）、殭屍網路攻擊等等，而隨著近年來網路購物變得相當普遍，駭客也暗中側錄使用者輸入的交易資料，來盜賣個資或是用來發動其他攻擊。尤其是今年的武漢肺炎疫情，導致許多人因居家隔離，必須透過電子商城，來取得生活所需的日用品，使得許多較為小型的電子商城，也成為駭客的攻擊目標。</p> <p><span style="font-size:28px;"><strong>網頁攻擊策略出現重大轉變</strong></span></p> <p>關於這種鎖定線上交易內容的側錄攻擊，最常稱為Web Skimming，也有人稱為E-Skimming、Formjacking，而擅長發動此類攻擊的駭客組織，主要是擁有多個攻擊小組的Magecart集團。而且，最近3到4年，這類攻擊事件，出現得相當頻繁，例如，在2018年的前後，曾出現多起重大攻擊事件，像是：訂票網站TicketMaster、電商購物平臺Newsegg、英國航空（British Airways）都傳出受害消息，此時駭客的主要目標，多半以竊得大量個資為目的，而採取特定的攻擊策略。</p> <p>像是前述TicketMaster受攻擊事件，發動者是Magecart第5組駭客，鎖定該網站採用的即時通訊服務Inbenta下手，進行供應鏈攻擊，換言之，不只是Ticketmaster旗下多個網站受害，影響範圍還包含其他同樣採用Inbenta服務的網站。而Newsegg和英國航空的事件，是受到Magecart第6組駭客的攻擊，原因可能是這兩家公司網站擁有龐大的交易量。</p> <p>但直到去年年底到今年上半，駭客的攻擊手法出現許多變化，與過往的事件之中，他們傾向影響範圍極大化策略，存在著明顯不同。</p> <p>從這些新興手法來看，在近幾個月的事件裡，駭客採用更為細緻及隱匿的做法，企圖讓電商網站難以發現他們的攻擊行動，像是藏匿程式碼，甚至是借用合法的外部服務，達到裡應外合。</p> <p><span style="font-size:28px;"><strong>躲藏在網頁元件和外部服務裡面，使得攻擊行動更加隱匿</strong></span></p> <p>在大部分的網站側錄攻擊事件中，駭客往往藉由網站的管理不當與配置錯誤，或者是元件的漏洞，進而在網頁裡植入指令碼，來側錄使用者輸入的交易內容。而為了讓網站管理者難以察覺，駭客往往會採用混淆手法，來大幅增加解讀這些指令碼的難度。</p> <p>而在上述的混淆內容之餘，近期攻擊事件又出現了新的手法，增加網站管理者察覺攻擊的難度。</p> <p>例如，在網站埋入側錄程式碼的做法上，原本駭客會直接於網頁的檔案裡面，加入執行的惡意指令，而最近卻有駭客將指令藏匿到網站圖示，也就是使用者瀏覽網站時，在瀏覽器分頁上所看到的網站代表圖案，他們將程式碼存放在這個圖片的EXIF欄位。因此，管理者如果只檢查網頁程式碼是否有異動，很難察覺已經遭到攻擊。</p> <p>從網站截取到的交易資料，駭客又是如何傳送到自己手上？在大部分的攻擊事件中，往往是藉由事先架設的中繼網站來做為管道。不過，在今年6月下旬，防毒廠商卡巴斯基，以及電商網站防護服務業者：PerimeterX和Sansec，揭露濫用Google Analytics服務的手法，駭客申請這項流量分析服務，來接收竊得的交易資料，導致相關行蹤更難被發現。</p> </div></div></div>
2020/8/18 13:00作者周峻佑https://www.ithome.com.tw/news/139455
Konica Minolta傳遭勒索軟體攻擊，系統斷線數日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/business-technology-giant-konica-minolta-hit-by-new-ransomware/" target="_blank">Bleeping Computer報導</a>，日本影像及光學大廠柯尼卡美能達（Konica Minolta）近日遭到勒索軟體攻擊，致使網站下線及服務中斷至少近一周。</p> <p>事情起於7月30日，<a href="https://www.reddit.com/r/sysadmin/comments/i0kyn9/konica_minolta_web_and_support_errors/" target="_blank">有用戶反映</a>Konica Minolta的耗材下單網站及下載頁皆出現錯誤訊息，而自動電話訂貨系統也無法運作。一名Konica Minolta業務人員對用戶表示公司資料中心斷線，而且這情形已經持續了將近一周。</p> <p><a href="https://www.reddit.com/r/sysadmin/comments/i3kbd0/was_konica_minolta_hackedransomwared/" target="_blank">另有用戶表示</a>，在此期間他們無法訂購耗材，且印表機也出現「無法顯示服務通知」的奇怪訊息。</p> <p><a href="https://www.bleepingcomputer.com/news/security/business-technology-giant-konica-minolta-hit-by-new-ransomware/" target="_blank">Bleeping Computer隨後接獲爆料</a>，這家日本影像大廠是被一隻名為RansomEXX的勒索軟體攻擊。駭客留下勒索訊息告知，該公司為數不詳的裝置遭到加密，而產生以.K0N1M1N0為副檔名的檔案，要求受害企業支付贖金。</p> <p>報導指出，RansomEXX背後組織是先駭入受害企業網路後長期潛伏及竊密，一旦取得管理員帳密，就會存取Windows網域控制器以部署勒索軟體。今年6月德州運輸部也遭到RansomEXX的攻擊。</p> <p>Konica Minolta並未回覆媒體，因而無法得知受影響的業務範圍，而<a href="https://printers.shopkonicaminolta.us/shop/contactus.jspx?section=ordering" target="_blank">該公司訂單網站</a>也已恢復運作。</p> <p>這是近幾個月來最新一起受勒索軟體之害的日本公司。6月及8月間就前後有<a href="https://www.ithome.com.tw/news/138139" target="_blank">本田汽車</a>及<a href="https://www.ithome.com.tw/news/139234" target="_blank">Canon</a>分別遭到Snake及Maze加密系統，導致部份工廠停工或資料外洩。</p> </div></div></div>
2020/8/18 13:00作者林妍溱https://www.ithome.com.tw/news/139456
Microsoft 365明年不再接受IE11存取、舊Edge 3月終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為全面推動Chromium-based Edge，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/microsoft-365-apps-say-farewell-to-internet-explorer-11-and/ba-p/1591666" target="_blank">微軟昨（17）日公布</a>以IE11存取Microsoft 365及微軟對舊版Edge的支援期限，預定明年不再支援兩個舊版瀏覽器。</p> <p>IE 11方面，Microsoft 365中的Teams從今年11月30日起不再支援IE11，而從2021年的8月17日開始，Microsoft 365應用程式和服務也都將終止支援。屆時再以IE 11使用這些服務，就會發生使用體驗不佳的情形，包括新功能完全無法連上，現有某些功能也會停用。</p> <p>微軟呼籲用戶全面升級到新版Chromium-based Edge。微軟指出，採用開放標準的Chromium Edge更適合消費者或企業用戶使用Microsoft 365服務，包括Outlook、Teams、SharePoint等。</p> <p>現有IE 11是2013年推出，許多企業也在IE 11上開發了公司內部Web應用，迫使IE11退役將造成衝擊。對此微軟說，升級新Chromium Edge並不會推翻這些舊有投資，企業用戶仍可利用新Edge的IE mode以不同分頁存取舊式應用，而無需同時使用新、舊兩種瀏覽器之間切換。</p> <p>但微軟補充提醒，以新Edge的IE mode並不能延長Microsoft 365對IE11的支援，因此微軟說，在明年8月大限到來前，用戶最好不要再用IE 11存取M365。</p> <p>除了IE11，微軟昨日也公布，於2021年3月9日終止對非Chromium核心的舊版Edge 桌機應用程式的支援。從那天起，微軟不會再對舊版Edge派送安全更新程式。</p> <p>微軟呼籲企業儘速規劃轉移方案。針對轉移IE11或舊版Edge造成的App或網站相容問題，微軟則提供App Assure支援方案。</p> <p>最新宣布是微軟推廣新Edge的最新一招。在此之前，<a href="https://www.ithome.com.tw/news/138070" target="_blank">微軟已經自6月</a>強制為Windows 10甚至Windows 7的個人及<a href="https://www.ithome.com.tw/news/138528" target="_blank">企業、教育版用戶</a>自動將舊版Edge升級為Chromium Edge。但過程中使用干擾性的提示、<a href="https://www.ithome.com.tw/news/138479" target="_blank">竊取其他瀏覽器資訊</a>、<a href="https://www.ithome.com.tw/news/139175" target="_blank">造成電腦效能速度下降及預設Google搜尋的電腦當機</a>，引發用戶不滿。從Window 10 20H2版，微軟索性將預設內建新版Edge。</p> </div></div></div>
2020/8/18 12:00作者林妍溱https://www.ithome.com.tw/news/139451
【雙北300條公車路線優化就靠上下車嗶卡】公車票證大數據應用新突破
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市跨新北市遍布近300條公車路線，超過3,500輛公車在其中移動，每日通勤量更高達130萬人次。在如此龐大的公車路線網絡中，每個人，都是改善交通運輸效率的重要一環，靠的就是手中一張小小的電子票證，以及在上下公車時，習以為常的刷卡付款動作，因為這些刷卡留下的票證交易紀錄，就是政府用來調整公車路線的關鍵數據。</p> <p>「數字更精確，資源就能更有效的配置。」臺北市公共運輸處處長常華珍點出票證資料帶來的效益。</p> <p>過去，公運處要了解一個路線是否有效率的運行，得靠人工一個個計算上下車的人頭，統計各時段的車上人數，才能得知車上人數變化，直到2013年，開始從悠遊卡公司（而後推及四大票證公司），取得民眾搭乘大眾運輸工具的上下車刷卡紀錄後，才開始改以票證資料分析的方式，取代人工計數的做法。</p> <p>不過，要從票證資料還原公車行駛過程中的車上人數變化，需要民眾上車與下車刷卡的成對站點資訊，但在雙北公車分段收費的設計下，近9成只付一段票的民眾，上下車刷只刷一次卡，導致政府蒐集到的票證資料，大多都只有上車或下車其中一筆刷卡紀錄。因此，政府要了解一輛公車的運量變化，還得先將搜集到的單筆站點紀錄，透過該票證的歷史刷卡資料或轉乘資料，推測成對，才能進行後續分析。</p> <p>為了解決這個問題，雙北歷經多次討論，終於在2018年底達成共識，並從2019年七月開始實施上下車刷卡新制度，要靠民眾上下車都刷卡，來取代不確定的站點推估結果，試圖透過更精確的數據，作為路線變更決策的佐證。</p> <p><span style="font-size:28px;"><strong>新制上路挑戰多，多方協調成關鍵</strong></span></p> <p>不過，要實現這個新制度，並非易事。因為這項決議，不只是改變了民眾的刷卡習慣，實際上，決策的背後還涉及跨縣市的合作、軟硬體技術的部署與更新，還有執行面的細節訂定，這些都要靠雙北市政府，與公車業者、驗票機業者密切討論，才有辦法讓新制度落地。</p> <p>常華珍指出，從2016年開始，雙北市就開始討論制度轉換的可行性。剛開始，一度想從分段收費改為里程收費，因為里程計費就是靠上下車都刷卡，來計算乘車距離並扣款。但是，這項提議在當時並無取得新北市的共識，主要是考量到轉換的成本太大，才決定維持分段收費的現狀。</p> <p>當時，雙北也正在進行一項政策，也就是在公車後門處，多裝設一臺驗票機，來讓民眾上下車的動線更順暢。而這項政策，後來也成為公車上下車刷卡制度的硬體基礎，能避免民眾上下車都擠在前門，降低公車的運行效率。</p> <p>全面部署了硬體驗票機後，雙北也針對上下公車刷卡制度，展開新一輪的討論。在政策形成、制定的過程中，公運處也與相關業者一步步制定執行面的細節。</p> <p>比如對驗票機業者來說，需要負責將驗票機內的軟體程式，配合政策同步調整，不僅前後門驗票機的程式要能連動，也需要改變扣款設定，才能在民眾上下車刷卡時，自動依據公車行經段數來扣款。也因過去到站刷卡時，驗票機並不會紀錄站名，目前，驗票機廠商也在陸續修改各公車的驗票機程式，來記錄每一次刷卡的上下車站點，並同步顯示在驗票機螢幕畫面中。</p> <p>而對公車業者來說，則更在意現實的收益問題，比如改為上下車刷卡制度後，究竟要上車刷卡還是下車刷卡時扣款？雖然對民眾沒有影響，但在不強制民眾一定要上下車刷卡的條件下，上車刷卡先扣款，才能避免民眾下車忘記刷卡的收益損失。</p> <p>對民眾來說，更在意的可能是政府提供的誘因，是否足以驅動自身改變刷卡習慣，來因應新制度。為此，公運處同步制定獎勵性質的配套措施，如轉乘優惠，讓民眾願意買單。「要做成功一件事情，所有人站在自己角度，都要有執行的理由。」常華珍說。</p> <p><span style="font-size:28px;"><strong>9成精準上下車站點資料，大幅降低過去資料分析的不確定性</strong></span></p> <p>實施了公車上下車刷卡的政策後，對公運處來說，最大的效益來自於更精準的票證資料分析結果。負責公運處委外資料分析業務的創代科技，其技術長李易儒，也進一步說明了票證資料分析的流程，以及新制上路後帶來的改變。</p> <p>過去，在未有上下車刷卡制度之前，資料分析最主要的工作，就是透過歷史票證資料，及民眾轉乘其他大眾運輸工具的票證資料，來媒合出搭乘公車的起訖點。</p> <p>李易儒表示，從公運處拿到四大票證資料後的第一步，就是進行資料清洗，將不屬於公車的刷卡紀錄、交易時間異常、欄位有空值等資料先排除，也因為票證資料並無紀錄到上下車站點資訊，創代還需要從政府開放資料平臺取得公車動態定點資料，從刷卡時間點來媒合出上下車站點，再進入資料分析與推估的流程。</p> <p>在進行上下車站點的推估時，需要經過一系列的媒合與比對。首先，運用Youbike、捷運、客運、臺鐵等轉乘票證資料，能媒合出一部分的結果。比如A卡號的上車點為公館站，雖然沒有下車點資料，但是發現A卡號同一天內有從捷運臺北車站進站的刷卡紀錄，同時，北車又在與上車點相同的公車路線上，這時，就能推測A卡號持有者從公館搭車到北車。</p> <p>若轉乘資料的比對沒有結果，接著，可以進一步運用過去一個月的歷史刷卡紀錄，找出該卡號最常出現的站點，來進行媒合。比如A卡號近一個月最常在公館站及臺北車站刷上車，若兩站點於又同一條公車路線上，就能推測為上下車的站點。</p> <p>若還是無果，下一步，同樣可以利用歷史資料，統計A卡號過去在各站點刷卡的紀錄，並依數量多寡排出順序，再進行媒合，比如說，先鎖定公館站刷上車的紀錄作為起點，接下來，輪流媒合其他歷史站點紀錄，如果在同一條路線上，就視為下車的站點。若最後仍比對不出結果，才視為無法推估的資料。</p> <p>過去，只有大約1成的資料，可以直接得到準確的上下車站點，其餘搭乘記錄都得靠推算。但是，花了很大力氣，結合四大票證資料來估算的作法，準確率卻不夠高，大約只有7～8成，還是很難完整地掌握每一條公車路線的全程載客情況，就無法進行更有效的路線優化。</p> <p>不過，一改成了上下車刷卡制度後，常華珍表示，目前超過9成乘客都願意遵守，尤其武漢肺炎疫情期間，這個數字更成長到9成4，這意味著，現在已經可以從票證資料中，直接取得高達9成民眾的精確上下車站點，需要媒合的資料比例已經大幅降至1成以下。</p> <p><span style="font-size:28px;"><strong>靠數據分析結果輔助決策，提升公車運行效率</strong></span></p> <p>創代科技也不止設計了一套演算法，來推估民眾上下車站點，也因應公運處的需求，開發出大臺北運輸旅次查詢系統，將分析完的資料匯入系統資料庫，讓政府能透過簡易查詢的功能，快速取得視覺化的分析結果。</p> <p>公運處大眾運輸科股長張佑華表示，這套查詢系統中的多個查詢欄目中，公運處最主要使用的功能有三個，分別是上下車站點（Original Destination，OD）需求分佈查詢、車上人數查詢以及旅次鏈查詢。</p> <p>OD需求分佈查詢，最主要是用來評估不同行政區域之間，民眾乘車需求的分析，包括使用哪一種大眾運輸工具在該區域中移動、在哪裡上下車；而車上人數查詢，顧名思義，則是可以查詢不同路線公車，行經每一個站點的車上人數變化；至於最後的旅次鏈查詢，則是能透過直接框選地圖的方式，框出點到點、線到線、面與面之間的區域範圍，去看框選範圍乘車站點的轉乘分析，比如前十大轉乘站位分析等。</p> <p>運用這些資料分析結果，公運處現階段每年大約調整40～50條路線，逐一審視每條路線的效率及在整個公車網絡中扮演的角色，來進行路線新增、裁撤或變更。</p> <p>張佑華就以261區間車為例，來說明運用數據來輔助決策的作法。目前，還在蘆洲與市政府間往返行駛的261區間車，單程停靠超過50個站點，從蘆洲開往臺大醫院，接仁愛路廊後再一路行駛到市政府。</p> <p>但是，這個路線有確實滿足民眾需求嗎？從票證資料分析來看，有將近7成乘車民眾，都只在蘆洲上下車，另外有近2成民眾，也都只在仁愛路廊上下車，真正有從蘆洲跨仁愛路廊搭車需求者，只有一成多。換句話說，261區間車的熱門路段，仍然以蘆洲端為主。</p> <p>因此，公運處預計要縮駛261區間車的路線，將原先從蘆洲開往市政府的路線，縮駛到臺大醫院就好，藉由縮短單程行駛時間，來提升該路線的運行效率。同時，考慮到少數欲前往市政府的人，會在臺大醫院被迫轉乘幹線公車，公運處也計畫以轉乘優惠，來提高民眾轉換的意願。</p> <p>不只如此，公運處也從數據觀察到，小26、542與小14等路線，在特定時段乘車人數幾乎掛零，因此，今年7月也頒布一項最新政策，要開放冷門公車路線，改採預約制來提供服務，來避免無人乘車造成資源浪費。而542與小14，也因同一時段的車上人數幾乎從未超過8人，早在去年底，就以9人座小巴取代原先行駛的中型巴士，讓多出來的中巴，能調度到其他運量需求較大的地區來使用。</p> <p>除了能用來調整路線，數據的另一項優勢，則是能更有效的說服公車業者或民眾，來遵循政府的決策。尤其是要裁撤路線時，會直接影響一地民眾的搭乘權益，常華珍表示，民眾過去遇到這類情形，通常會堅持有搭車需求，但有了資料佐證，乘車需求一目了然，再配合幾個月的試辦，就能一步步降低民眾抵抗的心理，進一步達成路線變更的目的。</p> <p>目前，這套系統不只提供政府單位使用，也提供公車業者查詢自家公車路線資料，但不對外開放。李易儒建議，票證資料未來若要公開釋出，需要進一步去識別化，僅管其中的內碼編號，就是已經去識別化之後的卡號資料，但是，靠著精確的刷卡時間、車號、站點等資訊，還是可能被有心人士比對出實際刷卡者的身份，因此，將時間或站點模糊化，比如將精確的交易時間改為一段時間，或是將精確的站點改為行政區的資訊，會是可以參考的做法。</p> <p><span style="font-size:28px;"><strong>結合AI、資料分析發展智慧交通新應用</strong></span></p> <p>公運處也在思考，未來，除了靠上下車刷卡資料來打造智慧交通運輸網絡，還有哪些新型態的資料或技術能運用？</p> <p>比如說，當前公車靠站時，不少汽機車佔用公車停車格的違停問題，仍需要靠人工檢舉或取締，但是，公車外部本來就因事故取證所需，裝設了多臺攝影機，若能在靠站時結合AI車牌辨識，來進行科技執法，就能在不需要增加硬體成本的情況下，進一步改善違停問題。而這個想法，2018年也曾經在大都會客運277路公車上試辦，未來是否擴大運用，公運處還在評估可行性。</p> <p>另一項正在研議的措施，則是運用電動公車上的ADAS系統，以公車行駛狀況來分析駕駛人行為，透過糾正駕駛人的開車習慣，來進一步降低不可控的公車事故機率。常華珍解釋，ADAS系統可以偵測車子煞車、踩油門、是否保持安全距離等事件，累積足夠的數據後，就能以此回推駕駛人的開車習慣，是否在短時間內多次踩煞車、催油門、未保持安全距離，針對駕駛習慣不良者來進行教育訓練，就有機會減少事故發生的潛在因子，提升行車安全。</p> <p>不過，由於ADAS系統會從電動公車開始部署，目前投入雙北行駛的電動公車也還不多，未來陸續汰換舊車款後，才能進一步施行這個計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0818-%E5%B8%B8%E8%8F%AF%E7%8F%8D__%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>臺北市公共運輸處處長常華珍認為，上下車刷卡能夠帶來更精確的上下車站點資料，讓公運處能完整地掌握每一條公車路線的全程載客情況，來進行更有效的路線優化與資源配置。</strong>攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0818-%E5%85%AC%E8%BB%8A%E4%BA%BA%E6%95%B8__%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90%20_%E5%85%AC%E9%81%8B%E8%99%95.png" style="width: 415px;" /></p> <p><span style="color:#696969;"><strong>公運處可透過系統，查詢每一條公車路線的上下車人數（橫向長條圖），以及車上人數變化（折線圖），並以此作為路線調整的依據，比如找出冷門路段，來進行裁撤或整併。</strong>圖片來源／公運處</span></p> </div></div></div>
2020/8/18 12:10作者翁芊儒https://www.ithome.com.tw/news/139452
Pulumi用戶現可使用GitOps方法管理雲端基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基礎設施即程式碼廠商<a href="https://www.pulumi.com/blog/new-kubernetes-superpowers/">Pulumi</a>釋出了一系列Kubernetes專案，目標是要提供用戶新的自動化部署功能，並與第三方更好的整合，同時還降低工具使用的難度，讓雲端原生開發者，能夠更簡單地將Kubernetes用於生產中。</p> <p>這次Pulumi釋出了一個新的叢集內Pulumi Kubernetes Operator，能讓用戶以GitOps的方式，管理雲端和Kubernetes叢集上的基礎設施，該Kubernetes Operator能夠透過Git儲存庫，部署Pulumi更新並且執行Pulumi程式。</p> <p>Pulumi現在已經與不少第三方CI/CD系統整合，能夠自動將雲端設施變更交付到AWS、Azure、GCP與Kubernetes等，官方提到，因為用戶要求希望可以利用GitOps交付方法，在Kubernetes中執行自動化交付，因此他們才釋出了Kubernetes Operator開源專案。</p> <p>Kubernetes Operator提供用戶一個新的Kubernetes原生基礎設施交付方法，讓用戶可以使用Kubernetes叢集中新的Stack CustomResource，指定部署的雲端基礎設施，Stack CustomResource可以是任何儲存庫中的Pulumi程式，並且利用該Pulumi程式來定義基礎設施的狀態，官方提到，Kubernetes叢集不只能夠管理該叢集的基礎設施，甚至還能管理其他的Kubernetes叢集，包括AWS資源、Datadog以及其他Pulumi支援的平臺，都可以這種方式管理。</p> <p>Pulumi還釋出了稱為crd2pulumi的工具，可以為任何Kubernetes CRD（Custom Resource Definition）創建強類型的API，讓用戶能夠簡單地使用雲端原生社群的各種API擴充，目前僅支援TypeScript以及Go，未來還會支援Python和.NET。</p> <p>官方提到，在Kubernetes生態系，各專案都透過CustomResources在Kubernetes資源上，建構各種擴充功能，過去Pulumi利用核心Kubernetes API提供了強類型API，但這些強類型API並沒有全面對外開放，而現在crd2pulumi工具則提供強類型API豐富的支援，讓用戶可以直接從CRD的OpenAPI規範，生成強類型程式語言API，並且還會在規範更新時，重新產生這些API。</p> <p>強類型的好處，是讓CRD程式碼可以利用IDE工具，執行類型檢查和自動完成等功能，減少程式碼撰寫錯誤，而這些功能在自定義資源管理的基礎設施複雜性增加時，將顯得特別重要。</p> <p>另外，Pulumi還推出可以將Kubernetes YAML清單轉換為Python、TypeScript、Go或者.NET程式語言的工具kube2pulumi，由於Pulumi支援完整的Kubernetes API，因此kube2pulumi產生的程式碼，就包含了Kubernetes所有功能。用戶可以利用kube2pulumi一次轉換一個資源，或是整個清單資料夾，而且一經轉換，用戶就能夠簡單地部署到叢集中。</p> <p>最近Pulumi也強化了互通性，發布了用於持續交付平臺Spinnaker的擴充套件，用戶可以將相同的雲端原生持續交付平臺，同時用於應用程式和基礎設施部署上，而且還支援了Kubernetes套件管理工具Helm 3和配置管理工具Kustomize，兩者可以作為Pulumi程式的一部分，使用核心Pulumi Kubernetes函式庫。</p> </div></div></div>
2020/8/18 10:00作者李建興https://www.ithome.com.tw/news/139444
Amazon公開內部機器學習教育訓練課程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/latest-news/machine-learning-course-free-online-from-amazon-machine-learning-university">Amazon</a>開始逐步免費地釋出內部的機器學習大學（Machine learning University，MLU）教育訓練用課程，一開始雖僅有3堂課程，但在年底還會再增加9堂，而預計到了2021年，所有MLU課程都會公開，釋出的內容除了影片還會有相關的程式碼。</p> <p>Amazon提到，機器學習是人工智慧領域的子集，同時也是Amazon業務的核心，Amazon全公司上下的團隊都在使用該技術，無論是最佳化供應鏈，或是智慧助理Alexa功能的開發，都離不開機器學習。但是要企業要大量應用機器學習存在限制，目前機器學習人才的供給遠小於需求。</p> <p>為了解決這個問題，Amazon在2016年的時候，在內部成立了機器學習大學，發展課程以提升機器學習開發者的技能，並且提供新手可立即上手使用的工具，而這些課程都是由機器學習專家教授。目前Amazon釋出的3堂課程有自然語言處理，探討機器對人類語言的理解；電腦視覺課程的內容，則是有關機器對圖像和影片的理解；第3堂課的範疇是表格資料，則是講解像是試算表等表格在機器學習的應用。</p> <p>AWS研究科學家Brent Werness提到，現在的大學無法培養出夠多具有機器學習技能的學生，因此Amazon很難找到足夠的機器學習人才，而且不只Amazon有機器學習人才的需求，所有正在發展機器學習技術的公司，也都積極地尋求相關人才，因此他們決定公開MLU的課程，讓機器學習知識更加普及。</p> <p>MLU課程以多種機制設計開發，通常一堂課的內容是針對特定的業務問題，像是電腦視覺或是自然語言處理，Brent Werness表示，透過這種方式，課程能夠與時俱進，與業務保持連結。MLU課程的核心課程頗具挑戰性，有部分課程甚至需要學習者，研讀機器學習和人工智慧的基礎數學數周，不過為了加速學習節奏，Amazon為這些課程提供加速的教材軟體，讓學習者能夠快速瀏覽課程主題。</p> <p>3級課程通常需要學習者，花費18到20星期的學習時間才能完成，而加速課程可以讓學生立刻動手執行機器學習，雖然無法讓學習者學到完整的內容，但卻可以讓他們知道，這些內容是否能夠用於解決自己業務上的問題。</p> <p>MLU的教材軟體與其他開源專案的發展方式相同，會隨著社群的意見而發展改進，Brent Werness表示，隨著機器學習的應用越來越熱門，相關的學習課程需求也會跟著成長，Amazon現在正在重新建置這些課程，並且將深度學習的內容整合進課堂內容中。</p> </div></div></div>
2020/8/18 10:20作者李建興https://www.ithome.com.tw/news/139449
Chrome 86將試圖攔阻以不安全網頁表單傳送資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome逐漸採取封鎖HTTP網頁內容的行動，<a href="https://www.ithome.com.tw/news/135712" target="_blank">今年2月Google預告</a>從10月的Chrome 86起完全封鎖不安全的混合內容，<a href="https://blog.chromium.org/2020/08/protecting-google-chrome-users-from.html" target="_blank">昨（17）日也宣佈</a>，將對於以HTTPS網頁中不安全表單傳送資訊發出明顯警告，甚至阻止行動。</p> <p>Google所謂的混合內容（mixed content）是指在HTTPS網頁下，卻以HTTP協定傳送的文字、影、音檔或執行檔等。Chrome小組指出，從M86版起，若使用者打算在HTTPS網站上的「混合表單」，即非以HTTPS傳送資訊的網頁表單填寫內容，Chrome將發出警告，因為混合表單對於使用者隱私和安全構成風險，經由這些表單傳送的資訊可能被竊聽，而讓有心人士讀取，甚至變更敏感的表單內容。</p> <p>雖然之前版本的Chrome 已開始警告混合內容，但只有移除網址列上的安全鎖頭，但Chrome小組表示，他們發現這對使用者來說並不明顯，無法有效傳達在混合表單輸入訊息的風險。</p> <p>因此從Chrome 86起將加入更積極行為，包括混合表單上的autofill功能將關閉，使用者著手輸入時，就會看到表單下方顯示紅色的文字，警告表單不安全。使用者要傳送出去時更會看到全頁式的警告訊息，允許用戶返回前頁，或是按下確定傳送（send anyway）的按鍵。</p> <p>不過在包含登入帳號和密碼提示的混合表單中，Chrome的密碼管理器仍然會運作，協助使用者輸入不重覆密碼。Google說即使在不安全表單中，使用不重覆密碼，還是比同一密碼多網站共用來得安全。</p> <p>Google也鼓勵網站開發商全面將Web表單轉移到HTTPS協定，以提升使用者防護。</p> </div></div></div>
2020/8/18 10:25作者林妍溱https://www.ithome.com.tw/news/139450
【臺灣資安大會直擊】供應鏈安全層面大剖析，奧義揭露臺灣多起APT攻擊都是被從供應鏈下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>潛在的攻擊管道不斷增加，企業在關注終端、裝置與網路等內部風險之外，合作夥伴、供應商與委外的外部風險，以及各式IoT風險，都讓當前企業對於資安威脅可見性與控制能力，顯得越來越低。特別是在供應鏈安全方面，近年來駭客藉此滲透的情形是越來越多。</p> <p>在2020臺灣資安大會上，奧義智慧共同創辦人叢培侃（PK）指出，從近年臺灣遭遇的APT攻擊中，已發現有多起案例，駭客都是從供應鏈下手，令人防不慎防，這也說明了駭客相當擅長突破保護機制，因此，企業對於應變與復原必須更加重視。</p> <h2><b>供應鏈安全成近年成焦點，從供應商到軟體元件等不同層面都是挑戰</b></h2> <p>對於供應鏈安全的議題，有那些構面值得關注？叢培侃給出了答案，一般所指的供應鏈，大可以大到公司對公司，小也可以小到軟體的元件和元件。</p> <p>他進一步解釋，以公司對公司的供應鏈安全而言，企業除了做好自己的安全，當供應商可能有部分網路與企業自家的網路介接，或是有部分資料跟自家的系統做交換，不僅是造成了突破口的出現，也意謂著，對方的安全也變成我的安全的一部分。</p> <p>因此，從網路上觀察供應商的外在表現，建立資安評核標準，評估對方的資安成熟度，就是很具挑戰性的課題，他表示，現在國內企業正慢慢開始意識到這樣的問題。</p> <p>進一步來看，各個產業都有自己的供應鏈體系要面對，舉例來說，以政府單位而言，包含從屬機關，以及各部會專屬的內外網，包括健保、警政、外交可能都有自己的VPN網路環境，還有各式交換系統委外開發；而以高科技業而言，包括上下游供應商、協力廠商，還有實例是新被併購的公司有資安風險，而影響到併購者，因此現在創業投資（Venture Capital）或大企業在併購公司時，資安也會變成評估時的一大項目；以金融業而言，包括各地區分行、聯徵、SWIFT與ATM；至於電子商務的面向則是更多，包括物流、金流、客服、簡訊、倉儲與委外開發等。因此，各領域是否有辦法盤點這些守備範圍，就是一件重要的事。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%E5%A4%A7%E8%A7%A3%E6%9E%90_%E5%A5%A7%E7%BE%A9.jpg" style="width: 600px;" /></p> <h2><strong>供應鏈評核與軟體物料清單（SBOM）將成因應重點</strong></h2> <p>在公司對公司的供應鏈安全之外，不同層次的軟體供應鏈元件安全，也是近年關心的一大焦點。例如，單從原始碼部分而言，就有安全破口存在，叢培侃表示，有時一些程式碼，可能從網路或從Stack overflow或Pastebin複製、貼上而來，但裡面是否被摻雜了什麼，或是存在弱點，使用者在第一時間很難知道；又或者是從教科書上直接抄下一段程式碼，但他提醒，一般教科書上最主要不是教你寫出安全程式碼，只是教你如何去實作這個功能，因此其實沒有什麼安全性。</p> <p>而在原始碼之後，還包括版本控制（Version Control）、編譯器（compiler）、連結器（linker）到執行檔（executables）的過程，以及後續CI、更新部署再到執行檔。而這些開發環節，其實也都存在供應鏈攻擊的風險，並有不少攻擊實例。</p> <p>例如，駭客即便無法修改原本的程式碼，但從第三方Library下手，在2019年的Ruby_Strong_passward Backdoor，就是駭客將後門放在Ruby密碼強度檢查的Liberay Code當中；在Compiler的環節，2015年曾發生的XcodeGhost事件，駭客將蘋果開發工具Xcode植入惡意程式碼，並散布到雲端空間與論壇，竟導致多款知名App都受影響；在executables的環節，像是2017年CCleaner遭植入後門，攻擊者非法修改CCleaner.exe binary，並植入一個2階段的後門程式；還有2019年華碩筆電的Live Update更新伺服器遭駭等。這些事件，已經顯示了駭客在不同階段都有可利用的方式。</p> <p>面對這樣的威脅，叢培侃強調了軟體物料清單（Software Bill of Materials，sBOMs）的重要性。因為有很多遭受攻擊的案例，是第三方Library有問題，但該企業卻沒法即時修正Binary，原因在於，他們根本不知道Binary裡面用了那些第三方的元件，也不清楚這些元件使用的版本。</p> <p>對於電子產業興盛的臺灣而言，相信不少人對於物料清單BOM（Bill Of Material）都很熟悉，但軟體物料清單較少人關注。而這樣的觀念，之前已經受到討論，例如，在2014年，美國曾經立法提案The Cyber Supply Chain Management and Transparency Act of 2014，要求政府機關為其購買的任何新產品需取得軟體BOM表，雖然當時法案沒有通過，但叢培侃認為，這樣的觀念相當不錯，並給了後續IoT相關法案有很大的啟發，其他相關法案也正慢慢將這樣的概念放進去。</p> <p>不論如何，叢培侃強調，軟體元件、廠商等供應鏈錯綜複雜，因此突破口都需要持續風現控管，而供應鏈評核，以及軟體原物料管理，將是企業關注的重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%E5%A4%A7%E8%A7%A3%E6%9E%90_%E5%A5%A7%E7%BE%A9.jpg" style="width: 600px;" /></p> <h2><strong>近一年來鎖定臺灣企業、組織的APT攻擊，多起案例都與供應鏈有關</strong></h2> <p>那麼，臺灣企業與組織遭遇供應鏈攻擊的情形嚴重嗎？叢培侃表示，駭客除了直接攻擊使用者或企業，現在更開始嘗試從供應鏈體系下手，而這樣的趨勢有明顯增加。</p> <p>在這次議程上，叢培侃挑出了8起針對臺灣企業或組織的APT攻擊，都是在這一年多內發生，並具代表性的最新威脅，來說明他們關注到的攻擊趨勢，值得注意的是，當中有6起事件都與供應鏈安全有關。</p> <p>例如，2019年1月針對政府產業的攻擊，他們稱之為Lateral Movement Master。這是利用國內政府單位會導入政府共通組態基準（GCB），以規範資通訊設備的一致性安全設定，駭客當時則偽裝成合法程式FGCBUpdater.exe，並利用GPO來派送；2019年4月鎖定科技與金融業的攻擊，他們稱之為Cobalt Strike Fake Certificaties，這是華碩更新伺服器遭駭的後續，他們發現有潛在的攻擊行動，是有攻擊者在祕密製作看似Live Update的程式，但裡面卻是滲透測試工具Cobalt Strike的程式碼；2019年5月針對政府與科技業的華碩Asus Webstroage事件，駭客透過入侵華碩雲端儲存服務的軟體更新服務，作為下載Plead惡意程式的手法。</p> <p>此外，還包括2019年8月針對政府的You Can’t See Me，2019年針對科技業與製造業的Semichimera等，以及2020年4月發生的TFG Hijacking與OWL_Proxy攻擊。</p> <p>這些攻擊實例，顯示出駭客會將攻擊延伸到相關目標供應鏈的廠商或軟體，且利用供應鏈的攻擊趨勢正在增加。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%E5%A4%A7%E8%A7%A3%E6%9E%90_%E5%A5%A7%E7%BE%A9.jpg" style="width: 600px;" /></p> <h2><strong>剖繪駭客攻擊手法與共通特性，可作為檢視企業安全的參考</strong></h2> <p class="MsoNormal"><span lang="EN-US" style="font-size:13.5pt;<br /> mso-fareast-font-family:標楷體;mso-bidi-font-family:標楷體" xml:lang="EN-US"><p></p></span></p> <p>對此一攻擊趨勢，叢培侃說，奧義分析了這些攻擊，找出其中的共通性。對於攻擊者的身分，叢培侃表示，以臺灣常見的APT族群而言，主要是與中國有關的WaterBear、Winnti Group、APT 27與APT 10，這些族群都已經活躍了10年之久。他笑著說：「這些針對我們的朋友已經跟著我們10年，研究了我們10年，陪伴了我們10年，提供了天然的養分讓我們研究，這也造就臺灣現在有如此蓬勃的資安新創產業。</p> <p>在攻擊手法的共通性方面，大量使用合法簽章或無檔案式攻擊，值得關注。叢培侃強調，關於程式碼的簽章驗證，在今日已經不具顯著的參考性，他認為，這對於現在駭客來說，已經沒有任何門檻；而在無檔案攻擊上，駭客使用Powershell、WMI已經相當常見，因此企業無法用傳統防毒來阻擋這樣的APT攻擊。</p> <p>而且，VPN是駭客主要侵入管道之一，叢培侃指出，許多案例駭客都是從VPN進入，或者是駭客「幫」單位裝一個VPN，像是Softether VPN等。他表示，普遍而言，企業不會允許同仁安裝Softether VPN這樣的工具，因此，企業是否有辦法能盤點出這樣的狀況，或是其他不必要的程式，是值得關注的一件事。</p> <p>叢培侃並提醒，這類駭客攻擊主要以竊取資料為目的，擅長內網滲透，平均一周內可拿下企業Active Directory（AD），使用單位合法程式攻擊，善於偽裝，而且潛伏期長，當一個單位發現有攻擊活動，通常會有連鎖反應，其他受害單位也會在這段時間遭受攻擊。</p> <p>特別的是，他們將這些攻擊案例套用到MITRE ATT&CK，以觀察並分析駭客常用的手法。根據他們的統計，在這些案例中最常見的10種駭侵技術，前三名分別是WebShell、Phishing、Credential Dumping，其他依序是Connection Proxy、PowerShell、Logon Autostart Execution、Masquerading、User Discovery、Exploit Public-Facing Application與Dll Side-Loading。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%E5%A4%A7%E8%A7%A3%E6%9E%90_%E5%A5%A7%E7%BE%A9.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%E5%A4%A7%E8%A7%A3%E6%9E%90_%E5%A5%A7%E7%BE%A9.jpg" style="width: 600px;" /></p> <p>同時，他們也將這些技術手法放在ATT&CK戰術對應表上呈現，也就是ATT&CK矩陣的12大階段，叢培侃指出，這時我們可以看到一些現象，例如，駭客在前面幾個階段，包括在執行（Execution）、持續潛伏（Persistence）、權限提升（Privilege Escalation），需結合多種滲透技術，但到了後面幾個階段，駭客使用的技術手法相對要少上許多。</p> <p>對此，叢培侃進一步解釋，他說，駭客在拿到灘頭堡之前，在躲避相關保護需要使用較多的技術，而防禦機制突破後，接下來竊取資料與橫向移動就容易許多。</p> <div>因此，他提醒，企業往往在資安投資上有不平衡的狀況，但由於駭客擅長突破保護機制，因此應變與復原更是格外重要。而且，由於駭客平均一周內可成功進入企業內網，因此企業需要知道的是，需要比駭客能更快反應。</div> </div></div></div>
2020/8/17 18:17作者羅正漢https://www.ithome.com.tw/news/139448
加拿大政府網站遭駭客攻擊，上萬用戶憑證被竊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.canada.ca/en/treasury-board-secretariat/news/2020/08/statement-from-the-office-of-the-chief-information-officer-of-the-government-canada-on-recent-credential-stuffing-attacks.html" target="_blank">加拿大政府在上周揭露</a>，駭客鎖定該國政府所提供的身分驗證服務（GCKey）及國稅局（CRA）帳號發動網路攻擊，估計有9千多個GCKey帳號與5千多個CRA帳號遭破解，已緊急關閉這些帳號並重新要求用戶取得憑證。</p> <p>GCKey為加拿大政府替當地民眾所設計的單一身分驗證服務，經過身分驗證的使用者可獲得一組GCKey憑證，用以存取30種政府服務，在3,800萬的加拿大人口中，已有1,200萬擁有GCKey憑證。至於CRA帳號則是獨立的憑證，專門用來存取加拿大國稅局的服務，GCKey並無法存取CRA服務。</p> <p>加拿大政府表示，駭客是藉由憑證填充攻擊來竊取GCKey及CRA憑證，利用先前已外洩的資料，再加上使用者習慣在不同的服務上使用同樣密碼的特性，取得了9,041個GCKey憑證與5,500個CRA憑證，且已企圖利用這些憑證存取相關服務。</p> <p>在察覺此事後，加拿大政府也規勸使用者於不同的服務，不要採用同樣的密碼。</p> </div></div></div>
2020/8/17 15:20作者陳曉莉https://www.ithome.com.tw/news/139438