iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

筆電銷售解救了HP及Dell的第二季營收表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）疫情讓居家工作與學習成為常態，帶動了市場對筆記型電腦的需求，而從HP及Dell本周公布的第二季財報來報，筆電銷售顯然解救了這兩家公司該季的營收表現。</p> <p>Dell截至今年7月31日的2021財年第二季財報顯示，該季Dell創下了227億美元的營收，比去年同期微幅下滑3%。其中，客戶端解決方案的營收為112億美元，比去年同期下滑5%，其中的商用產品占了80億美元，下滑11%。而消費者產品則占了32億美元，大幅成長18%。基礎設施解決方案部門在第二季帶進82億美元的營收，亦比去年同期下滑5%。而VMware事業部營收為29億美元，成長10%。</p> <p>Dell指出，教育機構、政府及消費者對遠距工作及學習的需求，帶動了消費者客戶端及筆電的業績，讓不管是筆電或遊戲系統的銷售都有兩位數的成長。</p> <p>HP也有類似的趨勢，截至今年7月31日的2020財年第三季財報顯示，該季營收為143億美元，比去年同期下滑2.1%。其中，個人系統的營收為103億美元，比去年同期成長了25%；若細看其個人系統營收類別，筆電營收占了73億美元，大增44%，桌上型電腦則占22億美元，下滑8%，工作站為4.3億美元，亦下滑3%。印表機營收則是39.3億美元，下滑了5%。</p> <p>Dell與HP在今年第二季的每股盈餘（EPS）達到1.37美元與0.52美元，與去年相較，分別下滑了69%及33%，若缺乏筆電的助益，財報可能更難看。</p> <p>另外，根據IDC今年<a href="https://www.idc.com/getdoc.jsp?containerId=prUS46691020">第二季的調查</a>，該季全球PC出貨量達到7,230萬臺，與去年同期相較成長了11.2%，主要肇因於市場對筆電的強大需求，且HP以25%的市占率成為全球PC龍頭，微幅領先聯想的24.1%。不過Gartner的調查卻有不同的<a href="https://www.gartner.com/en/newsroom/press-releases/2020-07-09-gartner-says-worldwide-pc-shipments-grew-2point8-percent-in-second-quarter-of-2020">結果</a>，Gartner的數據顯示該季的全球PC出貨量為6,480萬臺，只成長2.8%，且聯想是以25%的市占率領先HP的24.9%。</p> <p>IDC與Gartner唯一看法一致的是，它們都認為PC的強勁成長可能延續到7月，之後就會隨著全球的經濟衰退，而使得該市場狀況惡化。</p> </div></div></div>
2020/8/28 17:55作者陳曉莉https://www.ithome.com.tw/news/139675
Amazon首家生鮮超市在LA開幕，整合無人結帳系統、Alexa
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商大廠Amazon昨（27）日<a href="https://blog.aboutamazon.com/shopping/introducing-the-first-amazon-fresh-grocery-store">宣布</a>，第一家整合無人結帳系統Cash Dart及AI助理Alexa的生鮮超市品牌Amazon Fresh在洛杉磯開幕。</p> <p>Amazon Fresh提供農產品、肉類及海鮮。第一家店位於洛杉磯Woodland Hills社區中心，除了供店內銷售，也可作為Amazon.com訂購或包裹寄送的提貨區。Prime會員則可享免費同日到貨服務。</p> <p>Amazon Fresh也整合Amazon招牌的智慧化購物系統，包括7月<a href="https://www.ithome.com.tw/news/138850">宣布</a>智慧購物車（Amazon Dash Cart）方案。消費者以Amazon App產生Fresh QR條碼後即可取用智慧購物車，並在籃子放入最多2個購物袋，購物車整合電腦視覺演算法和感測器融合（sensor fusion）技術，能辨識購物籃中的商品。購物完畢，消費者從專用車道經由系統自動扣款後即可離開。之後費用會計入信用卡帳單寄給消費者。</p> <p>使用者還可使用Amazon App中或Dash Card螢幕上的Alexa購物清單（Alexa Shopping List），以便在店中尋找商品。店內也設有Echo Show可提供以Alexa查詢。</p> <p>目前Amazon Fresh僅以邀請制開放部分消費者入內購物，預計未來幾周後正式對外營業。Techcrunch<a href="https://techcrunch.com/2020/08/27/amazon-opens-its-first-amazon-fresh-physical-grocery-store-in-la/">報導</a>，Amazon證實之後會在伊利諾州、加州等其他4座城市開設Amazon Fresh超市。</p> </div></div></div>
2020/8/28 18:00作者林妍溱https://www.ithome.com.tw/news/139676
Walmart證實將攜手微軟一起競標TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國零售業者Walmart周四（8/27）向CNBC<a href="https://www.cnbc.com/2020/08/27/walmart-is-teaming-up-with-microsoft-on-tiktok-bid.html">證實</a>，將與微軟結盟，一起競標字節跳動旗下的TikTok短影音平臺，著眼於在TikTok中整合電子商務及廣告服務。</p> <p>根據報導，其實Walmart原本是與軟體銀行及Alphabet結盟，計畫共同買下TikTok，由於美國政府希望是由美國的科技業者主導TikTok收購案，以確保能夠解決TikTok可能衍生的國家安全問題，但若以Alphabet為首可能讓該結盟面臨嚴格的反壟斷審核，使得該結盟最終破局，Walmart轉而與微軟攜手。</p> <p>Walmart在聲明中表示，相信若能與微軟共同買下TikTok，將可替Walmart帶來更多的用戶，推動第三方市集及廣告業務的成長。</p> <p>2016年問世的TikTok，在不到4年的時間就於全球建立了超過10億的使用人口，其海外的最大市場為印度，有2億用戶，居次的即是美國的1億用戶，不過，印度已以國安為由<a href="https://www.ithome.com.tw/news/138506">封鎖了TikTok</a>，美國也以同樣的理由準備<a href="https://www.ithome.com.tw/news/139260">封鎖</a>它。</p> <p>除了微軟及Walmart之外，甲骨文也打算聯手字節跳動的既有股東<a href="https://www.ithome.com.tw/news/139477">求娶TikTok</a>。</p> <p>TheWrap本周則引述消息<a href="https://www.thewrap.com/oracle-nears-20-billion-tiktok-deal-with-white-house-support-exclusive/">來源報導</a>，甲骨文向字節跳動提出了200億美元的收購價，其中的100億美元以現金支付，另外的100億美元則以甲骨文的股票折抵，還同意在收購後的前兩年，拆分TikTok一半的年度獲利予字節跳動。</p> </div></div></div>
2020/8/28 16:20作者陳曉莉https://www.ithome.com.tw/news/139670
IT人才雙周報第6期：金融業挖角科技人才任職高管更容易！金管會年底前將修正跨業人才招攬條件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0813~0827)</span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨業人才</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技證照 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>金管會擬放寬金融機構招攬跨業人才條件，預計年底前上路</strong></span></strong></p> <p>隨著金融市場多元化發展，金融業也需要多面向、跨領域的人才，金管會在8月20號表示，將研議修正金控、銀行、信託、票券商、信用合作社負責人資格等草案，增列金融機構相關負責人的資格條件，開放具有資訊、科技、法律、電子商務、數位經濟或企業管理等專業領域背景，且工作經驗超過一定年限者，不需經過主管機關認可，也有資格成為金融機構負責人，不過，聘任這些人才擔任相關負責人的職務，還是要與該人才原領域相關。換句話說，未來通過了「跨業人才」條款後，未來金融機構若挖角科技人才，將不用逐案認定，能招募的人才也更多元。而修正案也預計在今年底前上路。</p> <p>繼放寬金融機構負責人資格後，金管會也在8月27日宣布，將建立金融科技證照制度，未來金融機構要申請相關業務時，需有一定比例人員具有金融科技證照，同時也會輔以誘因，來鼓勵業者培養金融科技人才，這項政策預計在2022年8月前推動。（<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202008200002&dtable=News" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監理科技 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 黑客松</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣第一屆國際級監理科技黑客松開跑！主辦方將協助盤點法規加速點子落地實現</strong></span></strong></p> <p>為了推動監理科技（Regulation Technology，RegTech），並持續建構完善的金融監理法規，金管會指導臺灣金融服務業聯合總會（簡稱金融總會）以及臺灣集中保管結算所（簡稱集保結算所）兩大單位，參考英國監理科技黑客松TechSprint的作法，共同主辦臺灣第一屆國際級監理科技黑客松（Taiwan RegTech Challenge 2020），以eKYC、市場資訊即時監理、防詐欺預警三大主題，來向參賽者募集好點子，即日起至10月16日對全球開放報名。</p> <p>主辦方表示，為了促進提案內容落地應用，這次活動設計了「資料提供者（data partner）、業師（mentor）」與「個案評估輔導」二套機制，前者由大會媒合，主要提供給對國內金融產業不熟悉的參賽團隊應用，後者則是由大會在複賽到決賽期間，提供法規、法遵及資安的可行性檢測，協助參賽團隊盤點資安、法規等基本項目，甚至提供主管機關的監理諮詢。而決賽獲獎者更有機會進駐金融科技創新園區，享有最多一年的園區輔導資源，以及在2021 FinTech Taipei參展的機會，來加速好點子落地實現。（<a href="https://www.fintechspace.com.tw/zh-hant/activity/taiwan-regtech-challenge2020/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F-1-%E8%A4%87%E6%9C%AC.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中國海外人才招攬政策 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術移轉</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 陸委會 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><b>中國慣用海外人才招攬政策作為技術移轉手段，陸委會呼籲臺灣研究員提高警覺</b></span></p> <p>中國科技部8月21日在官網公告「2020年臺灣青年科學家交流計畫」，欲招攬10位臺灣科研人才，提供每人每月1.5萬人民幣補助（約6.4萬新臺幣），赴中國進行半年以上的交流。而臺灣陸委會也隨即在同一天表示，學者、專家應遵守政府政策及相關法令，針對中國透過人才交流手段吸納臺灣高科技或機敏科技的作法，加強提高警覺，防範國家重要科研成果外流中國。</p> <p>陸委會早在2018年就曾發函要求各公私立科研機構及大學院校現職、專任教師及相關人員，未經許可不得參與陸方各項國家基金及國家重點研發計畫，因為中國透過招攬外國科研人才來竊取企業機敏資料的行為早有先例，比如2008年啟動的千人計畫，明面上是招攬海外科技人才，實際上卻藉此剽竊各國商業機密、智財權或先進技術，臺灣也有72人名列其中，美國2018年也曾展開大規模的調查，來揪出這些竊密者。</p> <p>而近來更有一份研究報告指出，中國招攬全球科技人才的規模遠勝於千人計劃中的數字。隸屬澳洲政府的澳洲戰略政策研究所（Australian Strategic Policy Institute），主要工作是向澳洲政府提供有關國防、安全與戰略政策的新方向，就在8月20日發表了一份中國全球招募計畫研究，指出中國共產黨把人才招聘作為一種技術移轉（Technology transfer）的手段，中國政府聲稱，在2008年至2016年期間，實施了200多個人才招募計畫，共招募了6萬名海外科學家和企業家，千人計劃只是其中一項，這份報告也推論，中國除了將美國作為最主要的人才庫，他們可能也已經從英國、德國、新加坡、加拿大、日本、法國、澳洲等國家各招募了上千位人才。</p> <p>為了招攬人才，中國更在全球各國成立了約600個人才招聘工作站，這還只是明面上的數字，實際數字可能還要再多上百個。這些工作站與中國中央同調、因應政府需求所建，通常不額外成立辦公室及專責人員，而是直接由已經在華人社區建立聯繫的海外組織所維運，比如社區協會、商業協會、專業組織、校友會、甚至是設立於遍佈各國的孔子學院中。這份報告也指出，這些工作站，就是中國招攬人才政策裡鮮為人知的重要基礎建設，每招募一名科研人員，工作站可以獲得20萬元人民幣酬勞，外加每年15萬人民幣的活動經費，而這個錯綜復雜的龐大工作站網絡，雖然不是中國的情報單位，但所蒐集到的訊息，也可能間接提供情報單位使用。（<a href="https://www.aspi.org.au/report/hunting-phoenix" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-08-28%20%E4%B8%8B%E5%8D%882_13_31.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KPMG </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CEO觀點</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎疫情 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>KPMG調查疫情前後企業策略轉變：CEO更聚焦人才、技術來建立韌性且敏捷的企業文化</strong></span></strong></p> <p>KPMG在8月24日發布一項調查報報告，揭露各企業CEO在武漢肺炎疫情前後對於企業策略的轉變。KPMG首先在今年1月執行了CEO年度調查，接著在7～8月間訪問了年初接受調查的數百位企業CEO，並歸納出三項結論，第一，有70％的人正在重新設計辦公室空間，且正在增設在家工作條款確保能在必要時實施；第二，75％的人進一步投資技術，確保團隊具備的應有的技術能力；第三，則是80％的人正在重新評估公司宗旨及存在的理由。</p> <p>KPMG指出，受到疫情影響，CEO在短短6個月內轉變作法，被迫更加依賴技術，並加快企業數位轉型的腳步，同時也需向外尋求人才來因應這些轉變，並透過新投資來滿足需求。因此，許多企業領導者專注於透過人才、配備對的技術工具以及明確的目標，在面對疫情的挑戰時，建立起韌性且敏捷的企業文化。（<a href="https://home.kpmg/xx/en/blogs/home/posts/2020/08/the-pandemic-makes-leaders-focus-on-what-matters.html" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 世界經濟論壇 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎疫情 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工管理</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>世界經濟論壇：企業與員工需在疫情後重新思考工作的目的、方式與管理方法</strong></span></strong></p> <p>世界經濟論壇（World Economic Forum，WEF）8月17日發佈一篇文章，指出在武漢肺炎疫情爆發至今，人們應該重新思考工作不同面向的意義。首先，在工作的目的方面，WEF建議企業在成長與賺錢的同時，也要兼顧社會責任，尤其在疫情後，更多消費者希望企業能恪守更高的道德標準，除了員工、客戶，還要對更大的社會、環境負責。其次，是工作場所，企業應建立更有彈性的工作場所來包容勞動力，同時又不犧牲生產力，也應透過混合的工作方式，讓不同部門可以依據工作性質採取面對面或遠距工作策略。</p> <p>最後，WEF也對企業高管階層拋出幾個問題，包括與員工相關的決策如何民主化？要用哪種心態、管理方式及指導方式來監督員工生產力？如何兼顧法規與監理？這些議題都是疫情帶動工作形式轉變後，需要思考的問題。（<a href="https://www.weforum.org/agenda/2020/08/covid-19-future-of-work-employees/?utm_campaign=TALENT%20EDGE%20WEEKLY&utm_medium=email&utm_source=Revue%20newsletter" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Deloitte </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科技工具</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 求職體驗 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>Deloitte：運用新科技提升求職者應徵體驗，有助於企業招聘到優秀人才</strong></span></strong></p> <p>Deloitte在8月13日發表一篇文章，提到企業招攬人才過程中需要注意的重要環節，若能帶給應徵者良好的用戶體驗及印象，有助於爭取到優秀的人才，Deloitte將這些重要環節稱為Moments that Matter（MTM）。根據Deloitte 2019年的人力資源調查，只有6％的受訪者認為自家企業擁有一流的招聘流程與技術，意味著多數企業沒有提供應徵者良好的應徵體驗，而在這個過程中加入新興技術，可能是驅動變革的好方法。</p> <p>比如在求職申請的環節，有6成求職者表示曾因申請流程太長而放棄應徵，若回到使用者體驗來看，最理想狀態是讓候選人在申請工作時，就像把喜歡的商品加入購物車一樣容易，但過於簡易的申請流程，可能導致企業無法搜集足夠的資訊來篩選應徵者，企業應試圖在兩者間達成平衡。也因求職者通常對企業內各個職位不熟悉，Deloitte也建議，若能透過AI先根據求職者的技能與經驗，來推薦合適的職位，提供個性化推薦獨特體驗的作法，也可以在一開始先與求職者建立較緊密的聯繫。</p> <p>又或是在面試方面，由於負面的面試經歷可能改變求職者對一家公司的看法，從協調面試時間、面試方式到後續決定是否錄取，都可以利用科技工具來輔助進行，比如用視訊面試取代實體面試，在時間安排上可以更有彈性。（<a href="https://capitalhblog.deloitte.com/2020/08/13/is-your-organizations-talent-acquisition-experience-driving-talent-away/?utm_campaign=TALENT%20EDGE%20WEEKLY&utm_medium=email&utm_source=Revue%20newsletter" target="_blank">詳全文</a>）</p> <div data-async-context="query:intive" eid="wXBIX9y7OomFr7wPr6uv0A0" id="rso"> <div data-hveid="CAEQAA"> <div data-hveid="CAEQAQ" data-ved="2ahUKEwicoK7U8bzrAhWJwosBHa_VC9oQFSgAMAB6BAgBEAE"> <div> <p>責任編輯／翁芊儒</p> </div> </div> </div> </div> <p>圖片來源／金管會、金融科技創新園區、Australian Strategic Policy Institute</p> <p>資料來源：iThome整理，2020年8月</p> </div></div></div>
2020/8/28 16:27作者翁芊儒https://www.ithome.com.tw/news/139648
GitLab 13.3開始提供模糊測試，可發現Go和C/C++應用程式臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式碼託管平臺GitLab釋出最新<a href="https://about.gitlab.com/releases/2020/08/22/gitlab-13-3-released/">13.3</a>版本，這個版本的最大亮點在於使開發者能夠在開發工作流程中，更簡單地對軟體進行安全性測試，不只導入覆蓋率指引模糊測試（Coverage-Guided Fuzz Testing），還讓用戶按需執行動態應用程式安全性測試（Dynamic Application Security Testing，DAST），另外，在GitLab 13.3中，用戶也能更全面監控Kubernetes Pod的狀態，儀表板現在會呈現所有Pod原始健康狀態。</p> <p>GitLab 13.3是第一個導入模糊測試的版本，用戶可以開始對Go和C/C++應用程式執行模糊測試，官方提到，模糊測試能夠發現其他安全掃描程式，或是傳統QA遺漏的安全性問題和臭蟲，因為模糊測試使用應用程式相關的上下文資訊，隨機產生輸入，藉此嘗試觸發程式崩潰或是錯誤，讓問題真正影響用戶之前，可以先被發現並修復。</p> <p>模糊測試新功能來自於GitLab近期收購的兩間模糊測試公司Peach Tech和Fuzzit，而模糊測試的主要方法有兩種，分別是覆蓋率指引模糊測試，另一種則是行為模糊測試，GitLab 13.3加入的是覆蓋率指引模糊測試，是利用應用程式的原始碼和測試版本，在程式執行過程或是動態地執行新測試，以觀察應用程式各部分的表現，藉此找出臭蟲。</p> <p>官方提到，過去模糊測試不只困難也很難獲得有效的結果，但GitLab將Peach Tech和Fuzzit模糊測試技術，加入到現有的GitLab工作流程，可讓用戶方便地對Go和C/C++應用程式執行測試，儘早發現漏洞。</p> <p>在這個版本，所有用戶都可以免費使用靜態應用程式安全性測試（Static Application Security Testing，SAST）功能，同時，ULTIMATE/GOLD等級的使用者，現在可以按需執行DAST安全性測試。GitLab的DAST整合到了DevOps工作管線中，在特定步驟便會觸發掃描，但官方提到，在沒有程式碼變更或是創建合併請求的情況下，有時候用戶也有對已部署應用程式執行DAST掃描的需求，因此現在不需要由程式碼更改等事件觸發，用戶就能夠按需進行掃描，這版本GitLab UI提供掃描配置選項，在掃描時不會對程式效能或是安全性造成影響。</p> <p>而在GitLab 13.3中，用戶可以在Pod執行狀況指標儀表板中，簡單地查看Kubernetes Pod的狀態，官方提到，無論用戶使用託管的Prometheus執行個體，或是在自有的叢集中執行Prometheus執行個體，只要連接到了GitLab，就能從內建儀表板查看CPU、記憶體和網路等重要指標。</p> </div></div></div>
2020/8/28 16:30作者李建興https://www.ithome.com.tw/news/139671
維基百科蘇格蘭瀕危語詞彙，超過1/3為美青少年亂入撰寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>維基百科是許多人入門了解某個詞彙時必上的網站，而維基百科也支援上百種語言以確保不同語言的用戶都能存取、新增及編輯條目。但是衛報<a href="https://www.theguardian.com/uk-news/2020/aug/26/shock-an-aw-us-teenager-wrote-huge-slice-of-scots-wikipedia">報導</a>，有人發現有人亂搞維基百科，而且還維持很長一段時間直到現在才被發現。</p> <p>Reddit上一位名為Ultach的用戶<a href="https://www.reddit.com/r/Scotland/comments/ig9jia/ive_discovered_that_almost_every_single_article/">指出</a>，維基百科低地蘇格蘭語（Scots）文章品質卻是出名地差，差到有人在論戰中以此為證據，指這語言不是一種獨立語言，早已經跟英文混雜在一起。但Ultach近日發現，目前維基百科上有27,000個Scots相關條目，是由一名不會講低地蘇格蘭語的美國青少年寫成。</p> <p>Ultach相信這名美國青少年幾乎不懂低地蘇格蘭語，條目中許多常見低地蘇格蘭語字都會用錯，有些是用美語字再轉成低地蘇格蘭的拼法發明新字。如果一些低地蘇格蘭字若在美語中找不到對等的字，則維基百科幾乎也不會出現。此外，作者也幾乎不使用這個語言的文法，而是用低地蘇格蘭字代換而成。有些句子甚至用的是一整句美式英文句子或片語。</p> <p>這名美國青少年住在卡羅萊納州，現年19歲，以AmaryllisGardner為名投入編輯。根據Ultach的追查，這名青少年在2018年就編寫了20,000個條目，編輯次數達20萬，當時就占了整體的1/3。如今，他貢獻的條目在只有約60,000則的低地蘇格蘭語維基百科中，比例來到將近一半。Ultach指出，低地蘇格蘭語是一種瀕危語言，這名作者的文化破壞行為（cultral vandalism）對這語言造成前所未見的傷害。</p> <p>這名青少年被肉搜出來並遭到騷擾。根據維基對此事的<a href="https://meta.wikimedia.org/wiki/Requests_for_comment/Large_scale_language_inaccuracies_on_the_Scots_Wikipedia">紀錄</a>，AmaryllisGardner說他當時才12歲，一開始以為這樣做是做好事，沒想到引起眾怒。他說不在乎別人修改他編的條目，但是要大家不要再霸凌他及其他無辜的友人。</p> <p>維基百科上許多人認為，應刪除這名作者7年來貢獻的條目，不過伯斯的低地蘇格蘭語中心主任Michael Dempster反而認為，這名青少年做了很不可思議的事，也打下可編輯的基礎，這是很棒的資源，只是需要了解該語言的人士加以修改，未來就有潛力成為保存這語言的線上重鎮。</p> <p>發現此事的Ultach也說，這少年犯了錯，但他沒有惡意，且相當有熱誠也很有恆心，相信他也已得到很好的教訓。</p> </div></div></div>
2020/8/28 16:35作者林妍溱https://www.ithome.com.tw/news/139673
美國打算沒收280個隸屬於北韓駭客的加密貨幣帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部本周<a href="https://www.justice.gov/opa/pr/united-states-files-complaint-forfeit-280-cryptocurrency-accounts-tied-hacks-two-exchanges">提出</a>了民事沒收（civil forfeiture）訴訟，以期沒收北韓駭客在兩次網路攻擊行動中所盜走的加密貨幣，涉及了280個加密貨幣帳號。</p> <p>根據美國執法部門的調查，其中一起攻擊行動發生在2019年7月，當時北韓駭客自一加密貨幣交易平臺盜走了價值27.2萬美元的加密貨幣與各種代幣，之後藉由洗錢程序把它們置換成比特幣（BTC）或以太幣（ETH）等加密貨幣，以模糊化這些被盜代幣的蹤跡。第二起攻擊行動的受害者，則是美國的加密貨幣交易中心，這次盜走了價值250萬美元的加密貨幣。</p> <p>調查還發現，這兩次行動的不法所得，都是透過中國同一集團的場外交易（Over-The-Counter，OTC）進行洗錢。</p> <p>美國聯邦調查局（FBI）芝加哥辦公室的特別探員主管Emmerson Buie表示，過去駭客集團認為加密貨幣不可能會被追蹤或扣押，此次的訴訟證明了北韓駭客無法利用網路的匿名性來遮掩它們的犯罪行為，國際性的加密貨幣洗錢活動破壞了美國與全球金融系統的完整性，FBI將善用所有的工具來追蹤與摧毀這類的犯罪事件。</p> <p>負責國家安全科的美國司法部助理部長 John Demers則說，就算北韓駭客不太可能因此而停止掠奪全球的金融資金，以贊助失敗的北韓政治與經濟，但這次司法部的行動是在向各國政府及私人機構表明，與美國合作對抗這類的威脅將能從中受益。</p> </div></div></div>
2020/8/28 16:45作者陳曉莉https://www.ithome.com.tw/news/139674
宏佳騰明年推新智慧電車瞄準物流業需求，將和台灣大哥大聯手打造車聯網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出一款智慧電車Ai-1之後，宏佳騰準備在明年再推出Ai-2 Gather，鎖定物流等商用領域需求，並將和台灣大哥大聯手打造4G車聯網。</p> <p>宏佳騰並沒有揭露Ai-2 Gather太多規格，僅在今天揭露這輛智慧電車的概念，包括支援PBGN（Power By Gogoro Network）的能源網路，並採用宏佳騰自行研發的車架，外型則是少見的三輪設計（後兩輪），搭配升級的Croxera智慧儀表系統，可連動車聯網服務，以滿足物流業者需求，包括駕駛行為、安全提醒、系統連動。</p> <p>該公司也公布一段影片，讓外界一睹這輛智慧電車雖為三輪設計，仍有靈巧的快速穿梭在前後並排的三角錐間。目前這輛智慧電車已進入最後階段，預計明年才會推出。</p> <p>去年該公司瞄準消費市場推出智慧電車Ai-1系列，並先後推出Ai-1 Sport、Comfort及Comfort+，今年6月再推出Ai-1 Sport ABS。為何下一輛智慧電車Ai-2 Gather鎖定物流業等商用市場？</p> <p>宏佳騰執行長林東閔提出了他自己的觀察，他認為在武漢肺炎這波疫情影響下，許多人減少出門，開始使用網路購物、叫餐，以往可能要花時間停車，現在透過網路就能購物、快速取得餐點，使得物流需求大增，未來即使疫情過去了，人們的習慣已經養成，這些服務的背後都需要更多的物流服務支撐。過去物流業者沒有太多選擇，只能選擇最便宜的車款，例如出清庫存的車款，宏佳騰鎖定物流業的需要推出車款。</p> <p>談到物流業者的商用市場和消費市場兩者需求不同，林東閔指出，消費車款講求速度、娛樂，而商用市場需要的並非極速，而是安全駕駛及效率，Ai-2 Gather採用後兩輪的三輪設計，除了避免倒車的問題，還考慮提供較穩定的駕駛外，配重也依物流業者的載重需要設計，未來也將推出加載玻璃罩的車款，為騎士遮風避雨。</p> <p>為了搶攻物流市場，該公司找上台灣大哥大，雙方將合作開發4G車聯網機車，包括4G OTA空中下載、車隊管理。不過，這並不代表Ai-2 Gather只能使用台灣大哥大的服務，也能使用其他電信商的網路。林東閔透露，宏佳騰與台灣大哥大合作，若用戶使用台灣大哥大服務，未來將會有更進階的車聯網功能。</p> <p>宏佳騰的智慧儀表系統Croxera是透過BLE和手機App連結，再連接雲端運算服務，系統視需要在機車、手機、雲端間分配運算工作，目前升級的Croxera儀表系統規畫是以4G網路為主。</p> <p>對於為何車聯網不直接使用5G？林東閔解釋，主要是因為5G目前的成本偏高，且現在基地臺密度也不足。如果駕駛者將手機升級為5G，系統就能運用5G網路的高速、低延遲，享有更優化的App和使用體驗。</p> </div></div></div>
2020/8/28 17:13作者蘇文彬https://www.ithome.com.tw/news/139672
臺灣資安大會直擊（下）臺灣資安最大展，第一手實戰經驗再進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/feng_mian_1-960.jpg?itok=sSFaJ5d6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的資安產品競技場，250家國內外資安業者，更有40個本土品牌同場較勁。金融、高科技製造、醫院資安主管揭露第一線實戰，更首度把產線機器手臂、水廠工控、變電站、病床生理監視器，都搬到現場實機演練攻防</p> </div></div></div>
2020/8/28 15:00未署名https://www.ithome.com.tw/article/139658
做對的事
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月下旬，傳出彰化縣衛生局要無症狀的居家檢疫者進行篩檢一事，中央流行疫情指揮中心指揮官陳時中對彰化衛生局長葉彥伯喊話：「我知道他很努力，所以他很傷心，但我還是要鼓勵他做對的事情。」，在這之前他說：「希望他能明白，雖然是好意，但也可能做不好事情，影響是很大的。如果普篩引發醫療崩潰，任何人都擔不起這樣的責任」。</p> <p>「做對的事」這句話應該對很多人有很大的啟發。管理學之父彼得杜拉克也有相關的名言，他說：「管理是把事情做對，領導則是做對事情。（Management is doing things right ; leadership is doing the right things.）當我們投入工作之際，必須反思自己的所作所為真的能達成最終目的嗎？還是誤把手段當成目的？我們的一舉一動，是為了順利實現目標？還是導致了阻礙？而對於企業IT人員而言，這種狀況似乎經常發生，而可能被其他同事認為太過技術導向了，一味追求架構、平臺、組態配置、程式碼等層面的完美，沒有更通盤考量到實際的需求，例如，上線時程，使用的範圍、期間。</p> <p>就動機而言，可能從決策者到現場執行人員，都認為自己是一番好意，難道就錯了嗎？然而，即便動機良善，也不必保證最終能成事，甚至還有可能造成大災難。這讓我想到，去年1月我引用金庸小說《笑傲江湖》一段話：「天下庸醫殺人，又有哪一個不是好意？你知不知道，每天庸醫害死的人數，比江湖上死於刀下的人可多得多了？」</p> <p>或許很多人因此感到氣餒，他們會認為，既然多做多錯、少做少錯，乾脆不做！組織高層這麼說，下屬照辦便是，省得日後麻煩、避免出錯。但這麼想，似乎又失之極端了，很可能因為沒有及早突顯問題、提報處理，終究導致大家都錯的結局。</p> <p>另外，彰化與中央防疫作法不一的狀況來看，在通報作業程序上，似乎雙方也有認知差異的爭議。例如，陳時中說，彰化執行此類篩檢有研究精神很好，但應通報；葉彥伯則說，篩檢依照中央所規定的標準程序來進行，相關資料都建置在系統裡面，中央隨時都看得到查得到。領導階層固然有時時監督考核之責，但基層也必須主動、積極回報處理的狀況，雙方通力合作、充分互通情報，才能把資訊缺口補足，並且與對方達成如何處理的共識。</p> <p>對照企業和組織的內部管理，很多工作的進行也跟這樣的情況類似。像是請假、請款、報帳等大大大小的作業，若要讓主管知道我們的進度與狀態，並不只是把相關資料登錄在系統當中，通常我們也會搭配其他的溝通形式，例如：開會、口頭報告、書面報告、電話、電子郵件、表單／工作流程簽核程序，確保對方知道我們的狀態，讓後續工作能夠更順利地進行下去。</p> <p>無論如何，現在全球武漢肺炎感染的態勢，仍然十分嚴峻，維護國人健康是大家的共識，這類認知不同的衝突勢必還會繼續上演，人非聖賢，孰能無過，「做對的事」該如何認定，並沒有一套絕對的標準可供遵循，但還是需要透過持續的交流來建立一個可接受的作法。</p> <p>我們相信每個專業人員都想盡最大心力來因應疫情，但仍希望大家都能秉持著充分溝通的態度來進行協同運作，才能讓所有人的努力發揮最大的效益，而不是彼此消耗。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%A0%98%E5%B0%8E">領導</a></div><div class="field-item odd"><a href="/tags/%E7%AE%A1%E7%90%86-0">管理</a></div><div class="field-item even"><a href="/tags/%E6%BA%9D%E9%80%9A">溝通</a></div></div></div>
2020/8/28 15:30作者李宗翰https://www.ithome.com.tw/voice/139668
【直擊臺灣首屆智慧安全展】實機展示場域資安防護應用，涵蓋製造、工控、物聯網與醫療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>邁入第六個年頭的2020臺灣資安大會，今年首次移師到場地更大的南港展覽二館進行，現場舉行上百場演講、橫跨12大主題的資安專業論壇，並集結250家以上國內外資安公司，還有iThome與經濟部共同主辦的第三屆「臺灣資安館」，以資安自主研發為題，展現近40個臺灣資安品牌，不只展示安全、安心的技術實力，讓政府和企業更了解臺灣資安業者的實力，更希望能一同促進產業發展。</p> <p>更受關注的是，今年首次舉辦的「智慧臺灣安全展」，是這場大會的新亮點，特別以現場實機展示的方式，讓外界能一睹國內專業領域資安防護能量。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-5(1).png" style="width: 600px;" /></p> <p>將資安視為國家戰略產業，是今年最重要的進展。而在這次舉行的智慧臺灣安全展，呼應了這股趨勢，相當難得的一次展現國內4大領域的資安技術能量，當中涵蓋臺灣產業正積極發展的智慧製造、智慧醫療，以及資安議題備受關切的工業控制與物聯網等場域，並透過五大實機展示，呈現出這些場域的資安防護應用成果。</p> <p>從這次的實機展示來看，與會者可以發現，原來資安還能這樣呈現，藉由現場動態的實機的操作，親自感受場域的攻擊模擬實景，以及資安防護應用，同時，更突顯了不同產業知識與資安需求的結合，需要領域業者與資安業者共同合作、討論與實測。</p> <p>而且，在如此近距離地公開展示，除了讓外界接觸到不同領域的資安問題，也是讓相關領域或其他業者，都能有所借鏡，透過案例的呈現，應當也將提升更多人投入的興趣，讓各產業對於如何做好資安，都可更有感。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-6(2).png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>2020</strong></span><strong style="font-size: 28px;">智慧臺灣資安展</strong><span style="font-size:28px;"><strong>有5大實機展示重點</strong></span></p> <p>具體而言，這次實機呈現的內容，包含智慧製造、工業控制、物聯網，以及智慧醫療等場域，展示多個面向的資安防護應用成果。</p> <p><span style="color:#800000;"><strong>智慧製造資安防護</strong></span></p> <p>近年來政府持續積極推動智慧製造，如何強化相關資安防護應用是一大焦點。在現場展示的情境中，我們可以看到展區設置了工業4.0產線架構與機械製造手臂，而當設備遭駭客入侵，資安分析畫面將能即時警告並進行防護。</p> <p>當我們走入智慧製造的場景中，可以看到多支機械手臂不停地在產線上工作，這裡主要展示的是產線上的資安。</p> <p>具體而言，該場景是設有3支機械手臂與其機聯網環境，儼然就是迷你的生產線，而這裡正實際製作「手機支架」產品的Logo印製過程，並可供現場領取。</p> <p>為了展示資安防護成效，現場假設的攻擊情境，是產線上的第二支機械手臂會因攻擊而做出奇怪的動作，而這樣的行為，可以被資安防護系統偵測到，而及早進行處裡。我們從產線旁布置的資安分析畫面，看到該系統在遭遇事件時可發出警告，現場人員表示，即使要做到主動防護也是可行，雖然實際場景遭遇的攻擊並不會如此簡單，這次主要用一個例子，來呈現產線上可能的資安威脅，以及我們目前也在實際發展相關資安防護方案。</p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#800000;"> 智慧臺灣資安展焦點1 </span></span> 智慧製造產線資安防護 </span></strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1(76).jpg" style="height: 374px; width: 590px;" /></strong></p> <p><span style="color:#696969;"><strong>在臺灣資安大會的智慧臺灣安全展中，現場實際搬來了一個迷你生產線，包含3支機械手臂與其機聯網環境，這是一個實際可運行的產線，正運行手機支架印製Logo的生產作業。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在這樣的智慧製造的資安防護場景中，現場模擬了駭客的攻擊。例如，產線中的第二支機器手臂，會突然做出原有排程之外的舉動（往上舉起三下）。同時，為了要展示資安防護成效，透過產線一旁的布置的機臺安全監控畫面，將可看到在遭遇這樣的攻擊時，將可以偵測到產線系統的異常行為並發出警告。</strong></span></p> <p><span style="color:#800000;"><strong>工業控制資安防護（水廠安全）</strong></span></p> <p>對於關鍵基礎設施的資安防護，已是近年各國防範網路攻擊重點，蔡英文總統今年在參觀智慧臺灣安全展前的演說，也指出要強化政府關鍵基礎設施，落實資安防護的應用。</p> <p>在這次智慧臺灣安全展上，主辦單位展示了水廠與電廠的安全，同時也讓與會者很難得有機會，能一睹這類系統的模擬實景，相當難得。</p> <p>在水廠安全方面，現場布置的是一個化工串級DCS工控系統，共設有兩個機櫃，一個機櫃內所包含的是水廠常見的加壓馬達、電磁閥、電動控制閥、流量傳送器、PID電動控制閥，以及管線與水箱等；另一機櫃則有PLC控制器、電源供應器與I/O接點等。這樣的工控系統環境，一般企業或資安領域可能都不易能接觸。</p> <p>在現場模擬的攻擊情境中，駭客將控制開啟加壓馬達灌滿機櫃中的第二個水箱，而這樣的行為，透過一旁布置的工控資安系統，將能透過Mirror Port去監聽，並偵測封包異於平常，發出警告。這裡也是透過一個遭外部控制的簡單例子，來呈現水廠馬達遭控制的資安威脅</p> <p>其實，關於這個化工水位串級控制流程的Testbed，在去年的臺灣資安大會上，資策會資安所就曾談及將建構工控資安測試平臺（Testbed）實驗場域，希望用於國內資安廠商藉此場域產品萃煉，以及教育國內認識可能風險，難得的是，今日是他們首度將此Testbed搬到外部場域展示。根據現場人員的說明，要模擬打造真實水廠使用的系統，這個測試環境的建置在300萬元以上。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(128, 0, 0);"> 智慧臺灣資安展焦點2 </span></span> </span></strong><span style="font-size:22px;"><strong>工控水廠安全資安防護 </strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>上面兩張圖是依據現實水廠環境設計的化工水位串級控制流程Test bed實驗場域，這次也搬到智慧臺灣安全展上，是首度對外亮相，現場並實際模擬駭客攻擊偷偷啟動加壓馬達，將第二水箱加滿，及防護偵測的情境。</strong></span></p> <p><span style="color:#800000;"><strong>工業控制資安防護（電廠安全）</strong></span></p> <p>關於電廠安全的部分，這類關鍵基礎設施一般廠商同樣不容易接觸到，在智慧臺灣安全展中，相關被駭與防護方式也首度亮相，現場主要展示了電力系統發生故障後的保護裝置「保護電驛」，因為在現在的智慧變電站架構中，雖依據智慧電網相關的國際標準IEC 61850，讓子系統間的資料交換變比過去容易，但這樣透過網路的方式，也有遭受攻擊的可能性。</p> <p>本場展示的環境，主要是一組小型的電力相關架構與設備，包含一套工業電腦主機，入侵防禦系統（IPS）主機、交換器與兩個保護電驛。這其實是一個簡化的變電站架構。</p> <p>而這次電廠安全展示的一個重點，在於保護電驛，它的主要作用就是可以測量電壓，控制「斷路器」，保護電力饋線，例如，為了確保設備、人員安全，及用戶用電無慮，保護電驛在偵測到電力不穩或電壓過低時，會通知鄰近的保護電驛，將控制斷路器開啟，以隔離故障區域，同時，也會通知另一個保護電驛，協助維持供電。而保護電驛彼此之間的溝通，是透過IEC 61850的通訊協定GOOSE來進行資訊交換。</p> <p>在駭客攻擊情境上，現場示範的是，駭客透過假冒GOOSE去攻擊所有保護電驛，這時變電站前的模擬街景就會電力中斷，而為了展示對於GOOSE攻擊的防護，現場一側螢幕也顯示國產的交換器系統介面，已有對應的防護功能，開啟後將使得原有模擬攻擊變得無效。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(128, 0, 0);"> 智慧臺灣資安展焦點3 </span></span> </span></strong><span style="font-size:22px;"><strong>工控電廠安全資安防護 </strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-400-3.png" style="width: 322px;" /></p> <p><span style="color:#696969;"><strong>在電廠安全的資安防護場景中，展示了一個簡化後的變電站架構，並說明電力系統發生故障後的保護裝置「保護電驛」，也有遭受攻擊的可能性。現場並展示了利用GOOSE通訊協定攻擊的情境，將造成一旁的街景模型出現無法供電的影響，並示範相關防護功能。</strong></span></p> <p><span style="color:#800000;"><strong>物聯網資安防護</strong></span></p> <p>在物聯網安全方面，本場展示的內容是智慧路燈的攻擊情境，以及相關安全標準的進度。例如，若是駭客將智慧路燈系統取下，針對上面的晶片韌體取出，搜尋可用資訊，發現調整電壓後可帶來影響，進而修改韌體上的參數，再將韌體寫入回晶片並裝回原處，就能造成異常狀況而關閉燈光。</p> <p>現場也特別呈現出智慧路燈系統的內部結構，根據現場人員說明，對於物聯網資安的議題，其實政府這幾年已經開始著墨，從制定認驗證標準，及建立產業環境出發，推動「物聯網資安檢測認證標準」，而這項標準今年的最新進度，就是智慧共桿系統系列的智慧路燈，目前智慧路燈實驗室認可已開始受理申請，並已有智慧照明大廠參與。</p> <p>關於智慧路燈系統資安測試規範有那些？簡單來說，將從10大構面來檢測，包括身分識別、鑑別、權限控管，以及資料機密性與完整性、系統完整性、軟韌體更新、警示與紀錄、已知漏洞安全、軟體應用程式，還有後臺監控伺服器安全要求的部分，包括資源可用性、隱私保護與雲端平臺安全等，目前已經訂定一般要求與智慧照明這兩項。</p> <p><span style="color:#800000;"><strong>智慧醫療資安防護</strong></span></p> <p>至於智慧醫療方面，本場展示的是醫院資安監控，我們可以看到這裡布置了逼真的場景，擺設了血壓計、病床，還有床邊生理監視器等，這些原本放在醫院的醫療設備通通呈現在大會現場。</p> <p>在攻擊模擬情境上，現場示範的是，一旦該生理監視器出現狀況，現場另一側的SOC螢幕畫面，將可以即時監控該臺生理監視器的異常與發出警告。</p> <p>其實，近年政府正鼓勵各關鍵CI建置SOC系統，而去年衛生福利部也曾做過統計，有半數的國內CI醫院已建置SOC，其中多數又屬於委外監控。這次展示，突顯國內推動醫院SOC系統建置，強調即時監控與資安事件回應，醫療OT設備也不例外。</p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(128, 0, 0);"> 智慧臺灣資安展焦點4 </span></span> </span></strong><strong><span style="font-size:22px;"> 智慧醫療資安監控 </span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>智慧醫療場域也實際搬到智慧臺灣安全展中，當床邊生理監視器一旦發生異常，危急的將是病人的安全，這項展示醫院建置SOC系統可即時監控，說明國內在智慧醫療場域的資安推動。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>現場直擊多種OT威脅與防護的場景，拉近產業與資安的距離</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95-600-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>在智慧製造的資安防護場景中，不只展現模擬攻擊與偵測的情境，由機械手臂製作的手機支架，供參與者領取，也有供不應求的情形，突顯大家對於這樣的展示都相當有興趣。</strong></span></p> <p>在這次智慧臺灣安全展上，以實機呈現資安威脅與防護能量，讓與會者能近距離地接觸到產業領域的資安防護實例，另一個目的是希望鼓勵更多業者投入。</p> <p>對此，我們也詢問到身為這次計畫執行團隊之一的工研院資訊與通訊研究所資深管理師蔡淑瑜。她表示，這次資安展的展示方式，讓許多人驚豔，因為他們沒有想過原來資安可以這樣去呈現，從展後他們獲得的回饋中，就有不少這樣的意見。她認為，透過實機展示，讓參觀者知道資安是看得到、摸得到的，這點相當重要。</p> <p>同時，這樣實際的場景，也能提升大家的參與度。蔡淑瑜表示，例如，現場由機械手臂製作的手機支架，供不應求，若要領取，要等上3小時大家都願意等，這也顯示參觀者很喜歡這次的展示設計。</p> <p>對於這次智慧臺灣安全展的成效與目標，蔡淑瑜認為，臺灣資安產業可以說十年磨成一劍，在既有優勢產業如製造、醫療的基礎下，國內廠商逐漸發展出具有領域特色的解決方案。</p> <p>更關鍵的是，這需要該領域的需求方提供產業知識，以及實際會面臨的安全問題，並與資安供給方共同來討論、實測與驗證。然而，這並非一蹴可及，需要長時間的磨練、建立信任才能達成。這也是為什麼在智慧臺灣安全展會特別用實機展示的方式，把迷你產線、智慧醫院場景、化工串級DCS模擬系統直接設在會場，目的就是想呈現出，資安是需要企業聯防、跨域整合的理念，同時透過案例的呈現，喚起更多人投入，讓如何做好資安是值得分享的事。</p> <p>不過，可惜因為疫情的關係，許多國際人士無法來臺。畢竟能將實機展示搬至現場，這樣的資安展覽不多見。他們希望明年在國際能見度與媒合活動有更多著墨，將對廠商們帶來更大的幫助</p> <p><span style="font-size:18px;"><strong>將OT資安搬到會場展示的挑戰</strong></span></p> <p>要將這些實機從場域內轉移到展場，當中的工程並不簡單，我們現場也聽聞像是將化工水位串級控制實驗場域Test bed，移動到現場展示，因為搬動後需要大量的調校，原本希望能提前一周時間進場，但因為場地只給予兩天時間，因此帶來很大的挑戰。蔡淑瑜表示，這對他們計畫執行團隊與協力廠商來說，真的不容易，無論是設備測試、整合資安解決方案、撰寫資安模擬攻擊與防禦措施程式，以及機臺的搬運設置等，還要做到多方協調。</p> </div></div></div>
2020/8/28 15:00作者羅正漢https://www.ithome.com.tw/news/139654
【臺灣資安大會直擊】企業要設立資安專責單位，應先考慮的3大資安管理建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安議題已是各企業無法避免的挑戰和考驗，為抵抗資安威脅，許多企業紛紛設立資安專責單位，訂定資安出錯率的容許度，還有列出資安業務清單，來擬定資安組織的目標和策略地圖。不過，中國文化大學推廣教育部數位科技中心主任陳仁偉認為，企業應透過管理思維，來訂定資安組織的目標和策略。</p> <p>陳仁偉是中國文化大學推廣教育部的資訊主管，近年他致力於發展一套將資安融入企業架構的方法論。他在臺灣資安大會中，分享了多項資安管理思維的建議。</p> <p>第一建議是，陳仁偉指出，企業要建立資安管理思維框架，來探索資安問題。他解釋，建立管理框架除是為因應法規需求，更重要的是，採取監督管理的積極作為，來確保所有作業符合SOP，達成零缺失的目標，並可搭配滲透測試，找出資安不足之處。</p> <p>他建議企業，獨立第三方驗證（Independent Verification and Validation，IV&V）也必須要納入管理框架。他解釋，由第三方協助管理，更可確保每個驗證業務項目，環環相扣，達到零缺失的目標。所以，他強調，建立資安管理思維框架的目的就是，要看清楚資安問題。</p> <p>第二建議，資安單位必須超越單一的法遵，打造整合式資安管理制度。陳仁偉解釋，法律是道德的最低標準，同樣地，法遵是資安作為的下限。因此，企業通過資安法並不能代表，一切沒有問題，換句話說，企業只依資安個資相關法遵，來採取對應的資安作為，是不夠的。他建議，企業構思資安作為時，結合相關標準制度，進一步建立整合式資安法遵體系。</p> <p>他建議，企業至少整合三項標準，包含了品質管理標準ISO 9001認證，還有資安管理認證標準ISO 27001作業規範，以及隱私保護與個資管理ISO 27701標準，從三面向打造資安管理制度。其中，陳仁偉建議優先導入ISO 9001，有系統地規畫應執行的工作方向，確認內部整體作業的每一項流程。</p> <p>「企業若無法盤點和標準化組織作業流程，便難以規範資安制度」，他補充，就像個資管理，若流程反覆變動，就容易出現資訊的變動性風險。企業先導入ISO 9001品質管理認證，確立整套作業流程之後，才能了解各流程潛在的漏洞，進行風險分析，接著，再導入ISO 27001作業規範和ISO 27701標準。</p> <p>不過，要將這三項標準整合管理和驗證，還需跨部門整合。陳仁偉表示，因資安多由資訊單位負責，個資通常是法務單位負責，而品質則是由研考或品保單位負責，因此需要跨部門整合，才可以結合不同的標準，打造整合式資安管理制度。</p> <p>他進一步提到，許多人認為資安是資訊部門的事情，但，這必須改變，只有資訊部做好資安是不夠的，資安是企業全員的責任。有鑒於此，他提出了下一點資安管理思維的建議，將資安作為融入組織作業，建立無感常民資安文化。</p> <h3><strong>資安作為需全面落實到組織流程，首先從流程改造開始</strong></h3> <p>陳仁偉將企業所有人都具資安意識的組織文化，稱之為常民資安文化，而要做到這樣的資安程度，他表示，需先進行組織流程再造，讓每位企業成員皆能在日常作業中，融入資安作為。而何謂「無感的」常民資安文化？他則表示，就是低負荷的文化，讓人員不需做很多額外的資安工作，即達到資安效果。</p> <p>他進一步說明如何建立常民資安文化。企業檢視既有流程後，需依據資安需求重新定義企業的作業流程，再將符合資安要求的作業流程列入ISO規範，也就是配合ISO 9001認證。接著，透過監管和稽核兩個動作，來確保作業流程符合資安規範。陳仁偉說明監管與稽核的差異，監管是由內部人員隨時監督管理作業流程，確保運作機制符合資安規範，而稽核則是定期由外部人員來檢查流程，確保機制未違反規範。</p> <p>而一旦企業在監管與查核過程中，發現問題，則需立即進行作業流程修正。陳仁偉表示，如此，便可打造低負荷的常民資安文化，「簡單來說，讓企業成員沒有任何資安犯錯的空間。」</p> <p>陳仁偉強調，企業設定的資安目標不應是負責組織資訊安全，也不是業務清單，更不是資安出錯率，而是導入資安管理思維，來建構零缺失的資安環境，還有打造整合式資安管理制度，以及建立組織常民資安文化等。文⊙黃郁芸</p> </div></div></div>
2020/8/28 13:49作者黃郁芸https://www.ithome.com.tw/news/139666
【臺灣資安大會直擊】企業如何強化資安韌性？BSI建議可以從4大面向做起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，資安已成為企業管理不容忽視的一環，如今，更可看到資安議題擴大成為企業永續經營的重要指標，而從道瓊永續指數（DJSI）的年度調查，就可看出端倪。BSI英國標準協會東北亞區總經理蒲樹盛指出，該指數的問卷從2019年開始，發生了變化，大幅增加了與資安相關的項目。</p> <p>1999年，由美國標準普爾道瓊指數公司與瑞士永續集團共同提出的道瓊永續指數（DJSI），是第一個衡量企業永續性能力和風險的指數，這也是評比全球企業永續能力最重要的指標之一。而道瓊永續指數所使用的評比指標，也屢屢成為企業優先自身戰略和治理的重要參考項目。</p> <p>蒲樹盛表示，從2019年開始，該指數問卷增加與資安相關的項目，涵蓋了隱私保護、資訊安全、網路資安和系統可用性等，且新增的議題中，約百分之五十都與資安有關。從永續指數對資安與隱私保護的重視，即可見，資安對於企業經營的重要性，已不言而喻。</p> <p>進一步來看資安治理，蒲樹盛先詮釋了治理的義涵，他表示，治理就是管理階層須善盡職責，確保所有制度有效，以保護利害關係人。而企業想要提升資安治理的成熟度，可參考行政院資安處的資安治理成熟度架構，從策略、管理、法遵等面向來著手。</p> <p>策略面上，高階管理層，也就是董事會和資安長，需訂定明確的資安目標和政策，還有提供預算資源，同時，也要確保企業全體員工都具備了良好的執行力，才能跟隨領導階層達到目標。蒲樹盛強調，企業需把資安視為一種業務來思考，策略面就是思考人和資源的規畫。</p> <p>接著，他從管理面來談，如何提升資安治理的成熟度。蒲樹盛表示，管理面上相對容易掌握，因企業通常引用不同的國際標準，作為自身的管理規範。但，他也提到，困難點在於落實程度不佳，而且沒有全面實施，缺少了日常管理。</p> <p>另外，企業也需從法遵面向，提升資安治理成熟度，尤其是金融業。法務與科技分屬不同單位負責，需確保雙方具有相同的語言，如此，法遵長才可支援資安團隊，確保該團隊的作為符合法遵。蒲樹盛觀察，目前臺灣金融業仍存在著法遵和科技兩領域講不同語言的情況，他警告，這很危險，發生問題時，將很難找到資安證據力。</p> <h3><strong>從4大面向強化資安韌性</strong></h3> <p>關於企業如何做資安韌性，蒲樹盛則表示，企業須做到四個面向，包含管理、保護、偵測，以及回應和復原，才能建立韌性。針對管理面向，首先，蒲樹盛表示，企業高階管理者需先具備資安治理思維。換句話說，資安治理就是資安韌性的基礎。</p> <p>待有了治理思維後，企業高層還需進一步具備資安風險管理的能力。蒲樹盛表示，風險管理已是老生常談，但，許多組織所做的風險管理，實際上與現實脫離。公司面臨最大的資安風險是什麼？蒲樹盛表示，如果有確實做好風險管理，管理者便一定可以回答這個問題，但，他直言：「最大的風險就是，不知道自己的風險。」</p> <p>蒲樹盛解釋，許多管理者因沒有時間，以及不知道用何種方法做，便直接把風險管理的任務，交予下面執行。他打了個有趣的比方，若是一個家庭做風險管理，有可能交由小孩來預測未來的家庭風險嗎？他強調，高階管理階層一定須親自參與風險管理，才可帶領組織找到正確的方向。</p> <p>此外，企業也需做好供應鏈管理。他表示，許多企業會覺得自身沒有供應商，但，現今辦公空間裡的事務機器、網路設備，還有關鍵基礎設施等，皆是聯網設備，像是許多影印機會將Log記錄備份在雲端，便可能成為供應商偷取資料的缺口。除此之外，企業也需進行資產管理，在新的資產進入組織時，確實執行檢查及核准的程序，同樣地，報廢舊有資產時，也須完成一定的流程。</p> <p>第二面向是保護。蒲樹盛表示，企業需訂定保護措施，確保自身免受攻擊威脅，並透過不同的安控措施，像是行動裝置攜帶限制、無線網路連線管制等，提高自身的保護力度。</p> <p>除了訂定保護措施，企業還需偵測事故，所以，第三面向便是做好偵測工作。蒲樹盛特別以APT攻擊為例，該類型攻擊潛伏期長，平均超過140天，若企業無法於APT潛伏期便偵測異樣，一旦，其發動攻擊，便已來不及阻擋。</p> <p>最後一項回復和復原面向，蒲樹盛表示，其實就屬企業如何管理事故，他進一步說，企業需確保業務可持續進行，不中斷。企業平時就需落實備援系統的演練，才可在問題發生時，順利切換系統，保持業務的持續性。</p> <p>蒲樹盛表示，如果企業能做到以上4大面向的要求，就能具備一定的資安韌性，不過他也補充，但有這樣還不夠，企業還要透過一套可以自我評估機制，來了解自身資安韌性的狀態，才能作為持續改善的參考。文⊙黃郁芸</p> </div></div></div>
2020/8/28 13:53作者黃郁芸https://www.ithome.com.tw/news/139667
美國政府將設立12個與AI及量子運算有關的研發中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/articles/trump-administration-investing-1-billion-research-institutes-advance-industries-future/">白宮</a>、美國國家科學基金會（National Science Foundation，NSF）與美國能源部（Department of Energy，DOE）在周三（8/26）宣布，將在未來的5年內每年投入超過10億美元，以設立5個人工智慧（AI）研發中心及7個量子資訊科學（QIS）研發中心，它們都將扮演美國國家研發中心的角色，以確保美國未來在這些關鍵領域中的領導地位。</p> <p>其中，7個AI研發中心將由NSF主導，專注於各式的AI技術領域，包括機器學習、合成生產、精準農業，以及預測等，一開始NSF將提撥1.4億美元的資金，預計明年夏天還能自其它機關募得逾3億美元的資金，整體而言，NSF期望每年贊助這些AI研發中心的經費可超過5億美元。</p> <p>至於QIS研發中心則是由DOS國家實驗室負責，未來5年每年將投入6.25億美元以支持5個QIS研發中心，每個研發中心都會整合跨機構的研究團隊，以及工程與科學系，學術界與私人機構也將額外贊助3億美元予這些研發中心。</p> <p>QIS研發中心的主軸將圍繞在量子網路、感測、運算及材料生產，藉由這些重要的基本研究，替美國奠定QIS商業技術的基礎。</p> <p>白宮表示，建立這些AI與QIS研發中心，不只是為了加速創新，也能促進就業機會及勞動力的發展，它們同時也會強調訓練、教育，以及對外拓展的能力，以協助不同背景、年齡及技術水平的美國人，能夠參與21世紀的經濟活動。</p> </div></div></div>
2020/8/28 11:30作者陳曉莉https://www.ithome.com.tw/news/139659
Salesforce將裁撤1千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>客戶關係管理龍頭業者Salesforce本周對內宣布，將裁撤1,000個左右的職缺，占該公司總員工數的1.8%，且預計於兩個月內完成。</p> <p>外界對於該消息感到有些意外，一來Salesforce執行長Marc Benioff在今年3月底時曾保證，至少在未來的90天內不會因為武漢肺炎（COVID-19）所帶來的經濟影響而裁員，二來Salesforce甫於本周公布截至今年7月31日的2021財年第二季營收，顯示該季創下51.5億美元的營收，成長29%，讓Salesforce周三（8/26）股價大漲26%，以272.32美元作收。</p> <p>根據<a href="https://www.geekwire.com/2020/salesforce-cuts-1k-jobs-including-tableau-vows-keep-hiring-reshaping-company/">GeekWire</a>所取得的內部郵件，Benioff向員工說明，為了推動策略性的成長領域，該公司必須重新分配資源以保持下半年及之後的動能，因而必須作出艱困的決定。</p> <p>另一方面，Salesforce發言人則向CNBC<a href="https://www.cnbc.com/2020/08/26/salesforce-cuts-about-1000-jobs-even-as-stock-has-record-surge.html">透露</a>，Salesforce打算先協助可能被裁撤的員工於企業內部找到合適的職位，最終的離職人數應該不到1,000人。</p> <p>市場分析認為，僅管疫情看似未對Salesforce第二季的表現造成衝擊，但全球經濟的不確定性，也讓Salesforce不得不趨近保守與謹慎的策略。</p> </div></div></div>
2020/8/28 11:40作者陳曉莉https://www.ithome.com.tw/news/139661
Amazon推出首款AI智慧腕帶Halo Band，可測體脂、分析情緒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在市場上已有滿滿的智慧腕帶和手錶後，Amazon昨（27）日<a href="https://press.aboutamazon.com/news-releases/news-release-details/introducing-amazon-halo-and-amazon-halo-band-new-service-helps" target="_blank">宣布推出</a>自有健康腕帶Amazon Halo Band及Amazon Halo App，主打結合人工智慧（AI）的健康偵測功能，包括量測體脂率，以及透過聲音分析了解情緒。</p> <p>Amazon標榜Amazon Halo使用該公司長久累積的AI及機器技術，提供全新的健康量測及管理功能。</p> <p>Amazon Halo主打Halo Band的多種感測器以及Amazon Halo App以AI為基礎的功能，協助提供健康管理。Halo Band包含加速度計（G Sensor）、體溫、心率感測器、2個麥克風及開關鍵、以及LED指示燈。除了現行主流的步數計算，利用三種感測器Halo Band還可提供睡眠時間、睡眠時體溫、及深／淺眠及快速動眼期（REM）等睡眠偵測。</p> <p>Amazon指出，有別於智慧手錶和健康追蹤手環，Halo Band刻意不提供觸控螢幕或不停送來的通知，而是以小型的感測器膠囊可將極精準資料傳送到Halo App。Halo App可提供使用者健康管理，像是整合美國心臟學會及醫療科學背書的運動管理評分，協助使用者了解健康狀況。</p> <p>Halo App 另一特色是Tone功能，會擷取用戶一段說話錄音，再以機器學習功能分析使用者聲音反映的能量和積極態度，讓使用者更了解自己聲音給他人的感受以強化溝通。</p> <p>此外，Amazon以電腦視覺及機器學習打造出Halo App中的Body功能。只要以手機拍攝全身，Halo App即可分析出體脂率。Amazon強調體脂率比體重和BMI更能反映身體健康狀況。</p> <p>最後，Amazon也強調隱私防護，健康資訊會以加密傳送並儲存於AWS上，使用者可以從Halo App下載及刪除，全程僅用戶可以看到。而Body的全身掃瞄圖像也會在處理完後，立即從雲端刪除。Tone產生的錄音則只會留在用戶手機上，且處理完後也會立即刪除，連用戶本人未來也聽不到。</p> <p>在硬體功能方面，Halo Band 90分鐘內即可充飽，一次可用7天，防水、舒適的錶帶設計方便整天配戴。</p> <p>每個Halo Band 99.99美元，但需搭配月費3.99美元的Halo會員訂閱健康管理方案。目前Amazon Halo僅提供<a href="https://www.amazon.com/Staging-Product-Not-Retail-Sale/dp/B07QK955LS" target="_blank">邀請制購買</a>，提供64.99美元早鳥價及免費6個月Halo會員方案，但目前僅在美國上市。全球銷售時程不明。</p> <p>本周稍早Google預定收購的<a href="https://www.ithome.com.tw/news/139612" target="_blank">Fitbit也推出</a>具備膚電和心率感測器的智慧型手錶Sense，能提供心電圖（ECG）、體溫及壓力量測。不過和蘋果Apple Watch及Fitbit Sense不同，Amazon Halo定位為非醫療裝置。</p> </div></div></div>
2020/8/28 11:50作者林妍溱https://www.ithome.com.tw/news/139664
Container周報第129期：K8s終於釋出今年第二次更新，Ingress和安全運算模式雙雙進入正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>8/1~8/28 精選容器新聞</strong></p> <h3><span style="color:#0000FF;"><strong>#版本更新 #K8s #Igress</strong></span><br /><span style="color:#FF8C00;"><strong>K8s終於釋出今年第二次更新，Ingress和安全運算模式雙雙進入正式版</strong></span></h3> <p>K8s官方網站最近宣布終於釋出今年第二次的K8s新版本1.19版。最大特色是用來控管對外連線流量的Ingress機制，終於發布了正式版，而安全運算模式seccomp也同樣成為正式版功能。預計這次改版，一口氣有34項更新，包括10項功能進入穩定階段，15項Beta版和9項新增加的Alpha版功能，例如新增加的Node除錯機制。</p> <p>原本K8s一年會釋出四次改版，平均每季一次，但是今年受到疫情影響，開發團隊希望參與開發的貢獻者，可以花更多的時間在日常生活，因此延後了發布時程，這次改版距離上一個版本，足足隔了20周，也因此這次改版的幅度很大。<br /> 其中第一個重所關心的功能是Ingress成為穩定正式功能。這是一個用來控管K8s叢集對外存取的API，可以用來控制外部對內部微服務的存取路徑和權限，包括來自外部的HTTP或HTTPS加密連線的路由控制，等於這是一個負載平衡機制，可以用來管理K8s叢集內所有節點或應用，對外的網路流量，也是分散調度來自外部存取請求的關鍵API，早在2年前的1.11版就登場，但直到現在終於穩定了，這次也有一點小幅強化，增加了Ingress網路API，可以用來設計存取範本或驗證存取的變動。</p> <p>K8s安全運算模式seccomp也進入正式版，這是一個利Linux核心來提供的資安機制，可以用來限制一個容器應用所能執行的系統呼叫數量，因此可以做到限制容器應用能力的效果。1.19版中，seccomp也增加了一個功能，可以分別針對單一個Pod叢集或容器，來設定資安政策的seccompProfil檔案，來提高資安控管的精細度。</p> <p>另外，去年K8s官方找來第三方進行專案稽核，其中有一項件事就是要支援TLS 1.3加密連線，現在也在1.19版中支援了，可以用於Orchestrator調度時改採加密連線的呼叫。另外有一個重要的新功能是Node除錯機制，目前這個功能仍就是Alpha版。Node除錯機制可以在原有主機環境的命名空間中，立即建立和執行一個新的Pod，以便用來除錯找問題。換句話說，一個正在執行中得Pod節點不用關機重開，就能新增一個處在同樣命名空間有同樣存取權限的Pod來除錯。另外，值得注意的是，1.19版也列出了一些老舊不推薦的API功能，這也意味著後續版本將逐漸停止對這些功能的維護。</p> <h3><span style="color:#0000FF;"><strong>#CNCF #K3S </strong></span><br /><span style="color:#FF8C00;"><strong>Rancer捐出超輕量級K8s發布版K3S，正式成為CNCF沙盒專案</strong></span></h3> <p>去年2月登場的輕量級K8s坂本K3S，最近開發者Raner決定將K3S捐給CNCF基金會，目前處於沙盒階段，這表示CNCF已取得所有權，但專案還需經過一段時間調整，才能釋出成為推廣孵化的對象。K3S是一個專門用來執行1個節點的輕量級K8s版本，大幅移除了複雜的多節點調度和管理元件，來簡化K8s部署的檔案大小，目的是能夠在運算能力較弱的邊緣運算裝置或筆電中建立一個K8s環境。K3S安裝檔的檔案只有40MB，但已經可以提供內建儲存後端，包括支援Etcd3、MySQL和Postgres資料庫。</p> <h3><span style="color:#0000FF;"><strong>#Fargate #容器長期儲存</strong></span><br /><span style="color:#FF8C00;"><strong>AWS容器無伺服器容器服務Fargate新增檔案儲存功能EFS，可用於長期和有態儲存</strong></span></h3> <p>最近AWS宣布自家無伺服器容器Fargate服務，增加了新的檔案儲存功能EFS（Elastic File System），可以用來儲存長期使用的資料，不會隨著所用Fargate關閉，就儲存的資料就同步消失，也可用於有態應用，將資料傳遞給下一個應用程式來接手。目前這個功能可以支援到1.17版K8s版，未來幾周才會支援到更新的K8s版本。</p> <h3><span style="color:#0000FF;"><strong>#軟體開發 #VS2019 </strong></span><br /><span style="color:#FF8C00;"><strong>Visual Studio 2019版開始支援Kubernetes本地端連線開發</strong></span></h3> <p>最近微軟在官方開發部落格上，發布了VS 2019版 16.7版的一項新功能，可以在本地端主機上，針對一項.NET微服務進行開發修改、測試除錯，但又同步連線到遠端的K8s叢集上的其餘所有應用或服務，等於可以將一套微服務其中一項服務拉到本地端來進行程式碼開發和測試，但又同時可以成為遠端叢集中的其他微服務互動，不用像過去得把這個.NET微服務，部署到叢集中執行才能進行測試。</p> <h3><span style="color:#0000FF;"><strong>#Docker #映像檔</strong></span><br /><span style="color:#FF8C00;"><strong>匿名無人用的檔案爆量，Docker決定限制免費帳號的映像檔拉取次數</strong></span></h3> <p>由於Docker平臺上，超過6個月無人存取的映像檔容量高達10 PB，幾乎占了在Docker Hub上的15 PB映像檔中的三分之二，其中更有4.5 PB來自免費帳號。這些映像檔僅被短暫的使用過，包括了來自結合Docker Hub持續整合工作管線的映像檔，使用者通常會遺忘過程產生的映像檔。因此，Docker官方決定開始實施新的政策，將移除免費帳戶中，長時間無人使用的映像檔之外，而且為了解決匿名帳戶映像檔拉取過於浮濫的問題，也將限制免費使用者拉取映像檔的次數。新的映像檔留存政策將會從11月1日開始實行，系統僅會刪除免費帳戶託管的映像檔，付費帳戶、由官方驗證的發布者以及官方發布的映像檔則不在此限。匿名的免費用戶每6小時拉取次數限制為100次，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，付費使用者則不在此限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-All-Together-scaled.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>#銀行容器實例 #微服務 #行動銀行</strong></span><br /><span style="color:#FF8C00;"><strong>兆豐銀新一代行動銀行和網銀全面改用微服務架構和容器</strong></span></h3> <p>最近，兆豐銀揭露，早在2018年春天，開發新一代行動銀行與網銀時，就積極採用了微服務架構與容器技術來打造。花了一年多時間，兆豐銀去年底上線新一代行動銀行，而與網銀則在今年4月上線。兆豐銀行資訊管理中心副總經理陳國寶提到：「採用容器技術最根本的原因是，讓銀行的反應快，面對爆量需求時，用容器作法，才能橫向擴充。」不過，也不是全部業務都適合用容器技術，他表示，假設無爆發性成長的業務，則不需用到。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E9%99%B3%E5%9C%8B%E5%AF%B6_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89(1).jpg" /></p> <h3><span style="color:#0000FF;"><strong>#容器安全 #GKE</strong></span><br /><span style="color:#FF8C00;"><strong>新版GKE資料平面支援eBPF技術，增加容器可見性與安全性</strong></span></h3> <p>Google釋出最新使用eBPF（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面GKE Dataplane v2，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <h3><span style="color:#0000FF;"><strong>#Arm處理器 #EKS</strong></span><br /><span style="color:#FF8C00;"><strong>EKS現可選用AWS自行設計的Graviton2 Arm處理器</strong></span></h3> <p>AWS宣布EKS服務也可以使用AWS自行設計的專用Graviton 2晶片來執行工作負載。Graviton 2提供256位元DRAM加密，且支援雙SIMD單元，整個提供的效能，比前一代高了7倍，而且浮點數運算效能也提高1倍，還擁有更大的記憶體通道，在人工智慧的支援上，Graviton 2支援int8和fp16精度運算，能夠大幅提升機器學習預測工作負載的計算速度。</p> <h3><span style="color:#0000FF;"><strong>＃服務網格＃Envoy</strong></span><br /><span style="color:#FF8C00;"><strong>微軟宣布捐出自家開發的輕量級服務網格OSM給CNCF</strong></span></h3> <p>微軟開發了一個輕量級，且可擴充的雲端原生服務網格（Open Service Mesh，OSM），用戶可以一致且安全的方法，管理高動態的微服務環境。OSM解決方案建構在Envoy專案之上，以服務網格介面（Service Mesh Interface，SMI）實作，現在微軟要把OSM貢獻給雲端原生運算基金會（CNCF）。OSM可用來簡化各項服務網格管理工作，像是在常見的部署情境配置流量轉移，或是透過自動mTLS以保護服務間的通訊，也能對服務應用精細的存取控制政策</p> <p>責任編輯／王宏仁 </p> <p><strong>更多Container相關動態</strong></p> <ul><li>Atlassian一口氣推出12項DevOps新功能，能整合GitHub、Git等多種雲端程式碼服務庫的追蹤</li> <li>Mirantis收購知名Kubernetes IDE Lens</li> <li>Linux 5.8成為有史以來最大更新版本</li> </ul><p>GitLab免費使用者帳戶將無法重置多因素驗證<br /> Google推雲端憑證頒發機構服務，支援物聯網與容器等大規模使用情境</p> </div></div></div>
2020/8/28 12:15作者王宏仁https://www.ithome.com.tw/news/139660
金管會首度揭露金融科技發展路徑圖8大重點，分3年打造更友善的FinTech發展生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在8月27日正式對外發布金融科技發展路徑圖，以普惠、創新、韌性、永續4大目標；以及，聚焦功能及行為監理、科技中立、友善創新等3大推動原則；並從8大面向推動，包括了單一窗口溝通平臺、資料共享、法規調適及倫理規範、能力建構、數位基礎建設、園區生態系發展、國際鏈結、監理科技等。</p> <p>近年金融科技發展快速，為協助金融機構以及FinTech新創團隊排除發展金融科技所面臨的困難，並且提供必要協助。因此，金管會彙整了生態系參與者的觀點與建議，同時，參考當前國際金融科技趨勢，統合我國目前發展金融科技所需專注的領域及實際需要，研訂金融科技發展路徑圖，作為未來3年推動的依據。</p> <p>金管會訂定金融科技發展路徑圖的目的在於，希望解決市場參與者的共通痛點。像是業者反應，金融科技服務跨域、跨界，需要單一窗口協助；或是業者各自蒐集建置資料無效率；法規分業管理，無法順應變化；又或者是金融科技人才不足；行動身分識別待普及與互通；新創團隊缺少國際資源與宣傳；監理科技要一起發展；金融科技創新園區太小，功能要更強大等，來自業界最真實的聲音。</p> <p>因此，金管會希望，藉由這套金融科技發展路徑圖，形塑友善的金融科技發展生態系，促進相關服務或商業模式的推出，提升金融服務的效率、可及性、使用性及品質。並將以3年為期分階段推動，並每年進行滾動式檢討。</p> <p>金管會也解釋，在3大推動原則的第一點：功能及行為監理，是指將金融監理思維框架將由以往金融機構別（銀行、保險、證券）管理導向，轉化為功能及行為導向，做相關法規調適與法規引導，鼓勵金融機構跨域、跨界的創新商業模式研發。第二點的科技中立，則是要鼓勵金融機構運用技術，精進經營效率與效能，只要對市場、消費者有利，金管會都會支持。而第三點的友善創新，金管會將藉由鬆綁法令來達成，並提供創新及創業資源的政策支持。</p> <h3><span style="color:#0066ff;"><strong>以強化基礎工程、擴展應用、協調協力3大構面，區分8大推動面向</strong></span></h3> <p>以這4大目標、3大原則，向下延伸的8大主要推動面向，金管會主委黃天牧表示，其中，有4個面向是屬於強化基礎工程，包括資料共享、法規調適、能力建構、數位基礎建設。另3個面向是關於擴展應用，包括了園區生態系、國際鏈結、監理科技。</p> <p>最後一個面向是屬於協調協力，黃天牧表示，今年，金管會將建立單一窗口溝通平臺。策略上，將強化金管會創新中心，作為議題溝通窗口以及跨部會合作的平臺，協助業者解決共通性議題，並由周邊單位協力設置金融科技共創平臺，協助推動金融科技發展事項。黃天牧強調，金融科技發展得透過共創平臺，以金融總會為主體，整合各單位資源，各就其所長，各自承擔金融科技發展工作的一定責任，共同來推動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(51).jpg" /></p> <h3><span style="color:#0066ff;"><strong>強化基礎工程共有4大面向：資料共享、法規調適、能力建構、數位基礎建設</strong></span></h3> <p>金管會綜合規劃處副處長胡則華則進一步揭露各面向的推動措施。在資料共享部分，推動措施一，是要加速推動開放銀行。金管會已於今年6月底，同意備查銀行公會與財金公司研訂的開放銀行第二階段相關規範，銀行可向金管會申請辦理開放銀行第二階段，胡則華表示，預計2020年底前開放銀行第二階段可正式上路。</p> <p>至於開放銀行第三階段規範修正的時程，金管會將視第二階段運作及檢討成果後再行研議。她進一步透露，比如英國目前正在推動開放金融（Open Finance），金管會推動完開放銀行後，會逐漸研究哪些金融業，也可比照開放銀行的模式，把公開數據或客戶資料等分享出來。</p> <p>資料共享的推動措施二，是要建立第三方服務機構（TSP）合作資訊揭露制度。金管會表示，金融機構皆需具備高強度管理機制，而TSP業者規模不一，且未有主管機關督導，在擔憂危及消費者權益及可能引發資安漏洞風險等考量下，影響金融機構與TSP業者合作意願，外界也建議應要建立TSP分級認證制度。不過，金管會考量到，在現行法律制度下無法直接監理TSP，但可以透過銀行與TSP簽署契約的方式，間接要求TSP。</p> <p>所以，在作法上，金管會將協調周邊單位建立金融機構與TSP合作資訊揭露制度。金融機構與TSP合作時，應到金管會指定的周邊單位上傳TSP基本資料、合作業務項目等，並揭露給外界與金融機構參考，胡則華補充，初步至少這兩個資料須揭露，金管會也將再與周邊單位討論何資訊可揭露。此外，銀行公會在開放銀行相關規範，也要求TSP需通過某些認證，這些認證是否要揭露，也需要看TSP是否願意。</p> <h3><span style="color:#0066ff;"><strong>資料分層逐步共享將分3階段推動，依序為金控與旗下子公司、金融市場跨機構間、跨市場客戶資料共享</strong></span></h3> <p>資料共享的措施三，將把資料分層逐步共享，其中又分為3階段推動，依序為訂定金控旗下子公司（銀行、保險、證券）、金融市場跨機構間，以及跨市場客戶資料共享的相關機制與規範。在金控與旗下子公司客戶資料共享部分，金管會表示，因既有法令規範，所以許多金控要為旗下子公司建置客戶資料庫的規劃受限，無法以集團整體的客戶資料建立風險評估模型，作為子公司認識客戶及評估客戶風險的參考。</p> <p>不過，目前已有一些可供分享資料卻不違反客戶隱私權的技術，比如資料去識別化、加密、機器學習領域的聯合學習（Federated Learning）等。因此，金管會指出，應可研議在符合個人資料保護法的前提下，經客戶同意，在合理的使用範圍內，允許金控與旗下子公司共享客戶資料的相關機制，並調適相關法令。胡則華表示，希望未來集團旗下子公司，包括銀行、保險、證券的客戶資料，可以彙集到金控端，建置風控模型，免去各子公司的建置成本。</p> <p>金管會也規劃訂定金融市場跨機構間，客戶資料共享的機制，將蒐集金融市場相關周邊單位現有數據種類，比如聯徵中心的授信資料、壽險公會投保通報資料、保發中心出險資料等，以及各業者對數據或資訊的需求、金融市場發展需要後，進行綜合評估。</p> <p>在跨市場客戶資料共享的相關機制與規範訂定，金管會將蒐集金融市場服務者所需的跨市場數據資料，比如電信、台電、台水使用度數、發票開立金額與張數、海關進出口金額、勞保投保人數、大股東持股等，如果可以透過國發會My Data平臺機制取得，金管會鼓勵其加入My Data平臺，成為服務提供者。目前，已有聯徵中心與12家銀行，申請成為My Data平臺的服務提供者，金管會透露，未來將視銀行的試辦成效，擴展到證券期貨及保險等業別，共同加入成為服務提供者。</p> <p>金融科技發展路徑圖基礎工程的第二大面向，是法規調適及倫理規範，金管會將整理與增修目前數位金融服務相關法令規範，以因應跨業跨域及場景金融的發展。並且，金管會將在今年開始，委外研究訂定數位金融服務管理規範的可行性；同時，評估數位金融服務的監理，採取比例原則、分級管理或限制性執照的可行性。</p> <p>此外，還要提升監理沙盒與業務試辦的運作效率；訂定資料分級及資料治理規範；更要追蹤金融科技發展情況，研議就特定領域訂定最佳實務守則，胡則華舉例，比如AI預測模型，在蒐集資料進行模型訓練時，也可能產生歧視、偏見等問題。同時，金管會也要強化消費者對金融科技相關應用的認識，如個資授權與保護，並增強消費者的資安意識。</p> <p>而能力建構，是這套路徑圖基礎工程的第三大面向，金管會將研議建立金融科技證照制度，培養金融科技人才；研議調整金融業負責人等資格條件及職能基準；增加產學合作機制；建立監理人員金融科技學習地圖。</p> <h3><strong><span style="color:#0066ff;">2021年金融機構將組成金融行動身分識別聯盟F-FIDO</span></strong></h3> <p>而基礎工程的第四大面向，則是數位基礎建設，將研究發展金融行動身分識別標準化機制。在推動方向上，金管會表示，金融機構共同籌組金融行動身分識別聯盟F-FIDO，研擬規劃導入國際FIDO標準，初期將針對中低風險的金融服務，提供通用的行動身分識別與簽署功能，並由金融機構向金管會申請業務試辦方式，驗證低風險業務採用FIDO作為身分驗證方式的可行性。並預計在2021年8月完成F-FIDO籌組。</p> <p>金管會解釋，目前金融機構在行動身分識別尚未形成一個標準，而是各家自行開發，在開發成本上較高，造成資源上的浪費。但未來，導入國際FIDO標準，建立F-FIDO這樣的機制，各家金融機構，包括銀行、保險、證券等，都可用同一標準來導入，降低開發成本。甚至，未來，各家金融機構身分識別強度拉到同一水準時，便可以做跨機構行動身分識別互通。</p> <p>另一項推動措施是，目前，僅開放自然人與獨資企業在線上開戶，金管會也將在未來開放企業線上開戶作業，而這部分將由銀行公會研擬逐步開放企業線上開戶作業，以及建置相關管理機制。</p> <h3><span style="color:#0066ff;"><strong>擴展應用3大面向：園區生態系、國際鏈結、監理科技</strong></span></h3> <p>除了基礎工程的4大推動面向，還有另外3大推動面向，是關於擴展金融科技應用，包括園區生態系、國際鏈結、監理科技。金管會指出，在園區生態系發展面向，將建立園區場域實證機制；擴充園區場域及功能；建立新創業者名錄，以掌握金融科技整體生態系發展概況；此外，還要擴大監理門診參與單位，比如央行，以統籌處理共通性議題；更要協助新創募資及媒合；並且辦理金融科技獎項。</p> <p>在國際鏈結面向，金管會計畫培養金融科技國際隊，跨國拓展商業模式與業務；招募遴選金融科技形象大使及廣宣人員；並將持續辦理台北金融科技展或論壇等，展現金融科技的發展成果；更要以合作強化實質交流與拓展商機。</p> <p>在監理科技面向，金管會將採行數位監理申報機制，並與目前單一申報機制，採雙軌制執行，以階段性推動方式，先從純網銀開始，再來是票券業，以及銀行業推動數位監理申報。此外，金管會也將評估監理自動化、數位化、智慧化的需求，並參考國外作法及技術可行性，研擬分階段導入數位監理機制。同時，金管會也要透過舉辦監理黑客松，來發展監理科技。文⊙李靜宜</p> </div></div></div>
2020/8/28 12:19作者李靜宜https://www.ithome.com.tw/news/139662
微軟警告Anubis竊密木馬程式已在網路散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟安全情報中心昨（27）日<a href="https://twitter.com/MsftSecIntel/status/1298752223321546754">警告</a>，一隻名為Anubis的木馬程式目前已經在網路上發動攻擊，以竊取Windows用戶的密碼、信用卡號及系統資訊。</p> <p>名為PWS:MSIL/Anubis.G!MTB的木馬程式，原本是6月首見於駭客論壇中兜售，但微軟的防毒軟體Microsoft Defender ATP近日偵測到，認為已經開始在網路上活動。</p> <p>這隻木馬程式和<a href="https://www.ithome.com.tw/news/135723">今年初發現</a>的Anubis金融木馬同名，但是兩隻屬於不同的惡意程式家族。2月發現的Anubis鎖定250款Android App攻擊，但最新的Anubis目標則較為集中，目前微軟僅發現迄今它只使用很少的下載URL及C&C伺服器。</p> <p>分析其程式碼，微軟推斷它使用的是分支於Loki竊密木馬程式的程式碼。根據<a href="https://success.trendmicro.com/solution/1117830-loki-malware-information">趨勢科技</a>的資料，Loki出現於2016年，主要透過網釣及垃圾郵件攻擊企業用戶以竊取電子錢包、瀏覽器/郵件/FTP密碼。微軟分析，一旦植入用戶機密，Anubis可竊取用戶敏感資料，包括系統資訊、登入帳密、信用卡資訊和加密貨幣錢包等等。</p> <p>微軟未說明Anubis的散布方式、攻擊目標平臺等資訊，表示會再持續觀察其擴散情形。</p> </div></div></div>
2020/8/28 13:00作者陳曉莉https://www.ithome.com.tw/news/139663
網路戰是新常態
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0821-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">貓頭鷹出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有些人說網路戰即將到來，有些人說網路戰已展開，有些人則說網路戰已無所不在。無論我們如何稱呼這類行為，各國都在利用網際網路固有的不安全特質攻擊彼此。相較於防禦能力，各國更重視攻擊能力，導致我們繼續身處在不安全的網際網路內。</p> <p>在二○一○年發現的Stuxnet，是由美國和以色列一起開發的精密武器，用以攻擊伊朗納坦茲的核武工廠。Stuxnet經過特別設計，會將西門子品牌的可程式邏輯控制器作為攻擊目標，讓濃縮武器級鈾的離心機等工廠設備自動執行作業。透過Windows電腦傳播的Stuxnet會尋找特定的西門子離心機控制器，找到控制器後，Stuxnet會讓離心機一再地加速與減速運轉，造成離心機自毀，同時Stuxnet也會隱匿行徑。</p> <p>網際網路上的所有軍方人員和國家情報機關都會侵入外國電腦，有時還會同時在虛擬與實體環境中造成損害。目前在國際規則和常規中，對於哪些是受到允許的行為、哪些是正當合宜的回應等相關標準，大都仍缺乏明確定義。現在這種環境有利於攻擊而非防禦，正如網際網路的安全性技術使攻擊比防禦更容易一樣，而且其中的變動方式跟傳統武器大相逕庭。</p> <p>各國擁有的能力大不相同，高端的國家擁有已完全成熟的軍方網路指揮單位和情報機關，能夠根據需求打造自有的攻擊工具，如美國、英國、俄羅斯、中國、法國、德國和以色列皆屬此列。這些國家有著充沛資金、優異技能，而且難以說服他們收手。不過這些國家大多數的網路行動都不是精密複雜的行動，這是因為安全性普遍過於低劣，所以行動也不需要多精密。比高端國家低一階的國家，會向網路武器製造商購買市售工具和服務，更低階的國家則會直接使用從網際網路上下載的違法駭客軟體。這兩類等級較低的國家也可能會雇用網路傭兵。提升能力似乎已成為各方的優先要務。若連北韓這類與世隔絕且受到嚴厲制裁的國家，都可在不到十年內，從網路中無足輕重的小角色化身為重大威脅，那麼所有人都可以辦到。</p> <p>美國國家情報總監每年皆會向參議院和眾議院的特定情報委員會提交全球威脅評估文件。這份評估是個良好的指南，說明了大家所擔憂的事項。到了二○一○年，網路威脅已名列這份年度報告中的首要威脅。</p> <p>至今為止，大多數網路攻擊都不是在戰時發生。美國和以色列在二○一○年使用Stuxnet攻擊伊朗時並無戰爭；伊朗在二○一二年攻擊沙國石油公司時也非戰時；北韓在二○一七年利用WannaCry鎖住全球各地電腦時亦然。在發生WannaCry事件的幾年前，美國曾企圖執行網路行動以破壞北韓的核計畫，但那時也沒有發生任何戰爭。俄羅斯一位高階將軍在二○一二年發表了一篇文章，其中闡述的概念後來成為我們所知的「格拉西莫夫準則」（Gerasimov Doctrine）。文中呼籲應「利用特種部隊和內部反對勢力，建立永續留存的行動前線」，包含應透過「資訊行動、裝置和管道」，藉此「對敵人執行遠距離的無接觸行動」。上述論點聽來跟俄羅斯於二○一六年美國選戰期間所從事的駭客行動非常類似。在現今的世界裡，戰爭與和平間的界限已模糊不明，而網路行動等祕密戰術則漸趨重要，其他國家似乎也都同意這一點。這也是為何某些人說我們已身陷網路戰。</p> <p><span style="font-size:28px;"><strong>介於和平與戰爭灰色地帶的網路攻擊行動日趨頻繁</strong></span></p> <p>未來，某些網路攻擊可能會被視為戰爭行為，而美國已聲明回應行動不一定僅限於網路空間內。但是網路內的進攻行動，大多數都是在介於和平與戰爭之間的灰色地帶內執行，政治學家凱羅（Lucas Kello）稱此為「無和平」（unpeace）狀態。大家都不確定該如何回應這類行動。當北韓攻擊索尼，美國的回應是實施了幾項輕微的制裁。對於俄羅斯在二○一六年選舉時的駭客行為，美國的回應則是關閉俄羅斯領事館，並且將俄羅斯外交官驅逐出境。若國家決定回應攻擊行動，大多數都選擇以嚴詞譴責。</p> <p>有幾項理由導致回應行動如此有限。首先，我們尚未確立清楚的界線，因此難以區分哪些行動屬於戰爭行為。大家一般認為國際間諜行動是和平時期的合理行為，而大肆殘殺則屬於戰爭行為。其他行為則介於這兩者之間。</p> <p>歸屬責任可能並不容易，特別是政府還會不斷介入網路攻擊行動。網路政策專家希利（Jason Healey）曾建立一套完整的攻擊頻譜，頻譜內涵蓋了國家鼓勵的攻擊、國家策畫的攻擊與國家執行的攻擊等等，並且也包含其他多種介於中間地帶的介入形態。因此，即使我們能將某起攻擊歸屬到特定的地理位置，也可能難以釐清某國政府是否應對攻擊負責，或是應擔負多少責任。</p> <p>最後一個讓對攻擊的回應行動偏於低調的原因，在於大家可能難以分辨網路間諜行為和網路攻擊，等到能夠辨別的時候，往往已經太遲。這是因為不管未獲授權的侵入者只是複製所有資料，或其實是施放了毀滅性武器，直到最後一刻之前，所有舉動看來都如出一轍。</p> <p>長久以來，軍事網路攻擊一直嚴重缺乏成效。執行間諜活動很容易，若要造成短期有害但轉瞬即逝的影響，也很容易，例如烏克蘭大停電事件就是一例。但是任何效力更強的行動似乎就相當困難。雖然Stuxnet行動獲得成功，但此行動最多只是將伊朗的進度拖慢了幾年，而且對國際談判只帶來極其微弱的影響。美國也曾利用網路攻擊阻撓北韓製作原子武器和發射系統的企圖，但是此行動同樣未能帶來多少長期成效。雖然網路武器曾用在近期的烏克蘭武裝衝突及敘利亞內戰中，可是造成的影響一樣微乎其微。</p> <p>此外還有幾項問題凸顯出在現代網路戰略裡，攻擊行動的重要性與普及性都高於防禦。網路武器變動不定的本質讓它成為了獨樹一格的武器。換句話說，如果某人擁有的網路武器需利用特定漏洞來施加攻擊，這代表當某國發現自己暫時占有優勢時，即必須權衡輕重，判斷究竟是發起先制攻擊行動的風險較嚴重，還是為了持續鑽研防禦措施而耗盡自家軍火庫存的風險更嚴重。這種不穩定性讓網路武器更易於吸引大家使用，而且當下就要使用，以免有其他無關人士也發現這些網路武器。</p> <p>現在各國攻擊行動也愈發明目張膽。俄羅斯、中國和北韓持續對美國施加的攻擊，以及伊朗、敘利亞和其他國家偶爾執行的攻擊行動，都證明了他國攻擊美國後無須遭受任何懲罰。</p> <p>老實說，在這方面美國只能怪自己。因為美國將進攻看得比防禦更重要。美國也是率先利用網際網路執行間諜活動與攻擊行動的國家。國家安全局的所作所為削弱了大眾對美國科技公司的信心。我們逾越了可接受行為的極限。因為美國覺得自己擁有勝過其他國家的優勢，所以不曾嘗試談判協定或建立規範。同時，我們將網際網路作為商業空間開發，如果其中具備任何安全性措施，都是事後才加進去的。我們採取了目光短淺的行動，因此現在必須承擔那些行動造成的負面後果。</p> <p>前述下場就是外交政策學者所謂的「安全困境」（security dilemma）。若某國希望在網路空間中更加強大，那麼較明智的做法是將資源集中在進攻上，也就是利用網際網路與生俱來的不安全特質。但是如果所有人都這麼做，整個環境將會更為不穩定，網際網路的安全性也會進一步降低。這就是網路戰軍備競賽，也是各國發現自己現在所陷入的處境。（摘錄整理自本書第4章）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書籍簡介 </span></strong></span></p> <p><a href="https://www.books.com.tw/products/0010865440?loc=M_0004_068" target="_blank"><strong>物聯網生存指南：5G世界的安全守則</strong></a></p> <p>布魯斯．施奈爾（Bruce Schneier）／著；但漢敏／譯</p> <p>貓頭鷹出版</p> <p>售價：590元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>布魯斯．施奈爾（Bruce Schneier）</strong></p> <p>國際知名科技安全專家、密碼學家，以電腦安全與多項密碼運算法開發聞名，被《經濟學人》稱為「安全大師」。《達文西密碼》中亦有提及他對密碼學界做出的貢獻。學術與大眾著作等身，包括全球熱銷的《應用密碼學》、《當信任崩壞》、《隱形帝國》等書。</p> </div></div></div>
2020/8/28 09:00未署名https://www.ithome.com.tw/article/139535
API管理平臺Kong Enterprise現支援混合雲環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://konghq.com/blog/kong-ke-2-1-released/">Kong</a>在其API管理平臺企業版，釋出了最新的2.1，這個版本加入了重要的混合模式，可以簡化用戶在混合雲和多雲環境中，實作以及調度大規模部署工作，官方提到，這個新功能將會改變整個企業組織部署、管理和擴展Kong Enterprise的方式。</p> <p>Kong Enterprise 2.1支援的混合模式部署，可以讓用戶直接跨多個資料中心、雲端平臺，以及地理位置執行Kong資料平面實例，而不需要額外部署Cassandra資料庫，來跨越資料平面。官方提到，混合模式相當於分離控制平面以及資料平面，允許Kong代理部署在任意的位置，整個叢集都能夠從單個控制平面進行控制。</p> <p>使用混合模式時，資料平面配置會根據需要，從控制平面推送，而非從專用的共享資料庫推送，官方表示，這項功能已經在Kong Gateway社群中大量測試，大幅提升了Kong叢集的安全性和效能，並降低營運成本。</p> <p>用戶可以利用跨不同資料中心和平臺的多叢集單一控制平面，管理Kong Enterprise附加元件，包括Kong Manager、Vitals和Brain等，而這代表在任何Kong支援的環境中，資料平面模式仍可以發布Kong Enterprise實例，還能同時連接回控制平面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed(1).png" style="width: 512px;" /></p> <p>在Kong Enterprise 1.5時，官方開始提供應用程式註冊Beta版本，讓用戶可將後端服務打包在一起，而在Kong Enterprise 2.1，官方再度強化了應用程式註冊功能，開發人員入口應用程式現支援任何OIDC（OpenID Connect）相容的身份供應商（Identity Provider，IdP），用戶可以更容易將Kong納入到技術堆疊中，將API當作產品供應，並允許API使用者在開發人員入口中自助存取API。</p> <p>另外，除了現有的Lua套件之外，在Kong Enterprise 2.1，也開始支援以程式語言Go來建置套件，透過官方提供的Golang PDK，開發者多了一個開發工具選項。</p> </div></div></div>
2020/8/28 11:50作者李建興https://www.ithome.com.tw/news/139634
Google釋出Android全新UI開發工具包Jetpack Compose
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了Android使用者介面開發工具包<a href="https://developer.android.com/jetpack/compose">Jetpack Compose Alpha測試版本</a>，讓開發者能夠原生存取平臺API，簡單地建構介面好看的Android應用程式介面。官方提到，使用Jetpack Compose開發Android應用程式，能夠撰寫較少的程式碼，而且互動式工具和直覺的Kotlin API，能提高開發者生產力。</p> <p>Jetpack Compose提供可用於大規模應用程式的穩定API，開發者可以簡單地使用宣告式API、直覺的語言，以及回應式程式開發模型，來建構應用程式介面。Google提到，Jetpack Compose擁有建構完整Android應用程式需要的一切工具，其提供與現有Android View的互通性，因此開發者不需要重寫既存的應用程式。</p> <p>Compose使用的程式開發模型，與現有Android上建構UI的模型完全不同，目前Android View的階層被表示為UI小工具樹，隨著應用程式狀態的變化，更新UI階層（Hierarchy）來顯示當前資料，Google提到，這個方法過於繁瑣，手動更新View會增加錯誤發生的可能性，而Jetpack Compose是一種使用完全宣告式元件的方法，這代表開發者可以把UI描述為函式，可將資料轉換為UI階層，當底層資料改變時，Compose框架會自動更新UI階層，使得建構UI工作更為輕鬆。</p> <p>在現有專案採用新框架是一項大工程，因此Google建議，建構新的應用程式可以直接使用Compose實作整個UI，但對於現有的程式碼庫，Compose能與既有的UI設計結合，讓開發人員不用重寫應用程式。</p> <p>Android Studio內建了Jetpack Compose好的開發工具，開發人員可以快速迭代使用者介面，Compose布局預覽功能可在不需要部署應用程式到裝置或是模擬器的情況下，直接預覽Compose元件，開發者一邊開發應用程式，介面預覽會同時更新，以更直覺的方式呈現程式碼的變更。而且Android Studio還提供了互動預覽模式，在UI上點擊或是輸入文字，UI便會像已部署的應用程式一樣回應。</p> </div></div></div>
2020/8/28 11:55作者李建興https://www.ithome.com.tw/news/139647
細胞自動機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於細胞自動機的研究，最早可追溯至1950年代，這篇文章想從生命遊戲（Game of life）開始談起，或許不少程式人也曾聽過或實作過這個簡單的遊戲。</p> <p>而由英國數學家John Conway創造的生命遊戲，屬於細胞自動機（Cellular automaton）範疇，理論上，這樣的運算具有圖靈完備的能力，甚至可應用於許多科學領域。</p> <p><span style="font-size:28px;"><strong>Conway的生命遊戲</strong></span></p> <p>在1970年10月的《Scientific American》的數學遊戲專欄中，John Conway發表了生命遊戲，他建議你兩種顏色棋子要夠多，以及一個夠大的棋盤，棋盤中各方格的細胞與鄰居形成九宮格，也就是每個細胞的鄰居有八個，一開始各細胞會有個初始狀態：要不就活著，要不就死亡。</p> <p>遊戲的規則是這樣的：如果細胞的鄰居為二個或三個，該細胞在下一代（generation）的狀態會是存活（穩定）。若細胞的鄰居小於一個或在四個以上，下一代將會死亡（孤單死或擁擠死）。死亡狀態的細胞若有三個存活狀態的鄰居，下一代將會復活（繁殖）。</p> <p>顯然地，想使用程式建構這樣的遊戲並不難，單純就是迭代所有棋盤方格，計算每個細胞的鄰居數量，從而決定各方格細胞的下個狀態。</p> <p>如果懶得寫程式，網路上也會有許多生命遊戲的模擬程式，例如<a href="https://bit.ly/2DBQPDg">Golly</a>，有桌機或行動裝置的版本，下載回來後可用滑鼠點選各位置初始細胞狀態，模擬每一代的狀態變化。</p> <p>在隨意玩耍生命遊戲的過程中，你也許會發現一些有趣的特性。例如，有些初始狀態最後會形成穩定狀態，也就是最後始終是存活或死亡，而有些初始狀態最後在每一代或數代週期之間，重複相同的圖案（振盪狀態），運氣好的話，你可能還會發現一些會移動的圖案（會移動的振盪狀態）。</p> <p>如果你玩不出這些狀態也沒關係，可以查看維基百科〈康威生命遊戲〉條目，試著在Golly中畫出對應的初始圖案，或者是載入Golly提供的既有初始狀態模式，看看各種有趣的生命遊戲演化。</p> <p><span style="font-size:28px;"><strong>基本細胞自動機</strong></span></p> <p>生命遊戲是二維的，狀態極為複雜，1983年英國電腦科學家Stephen Wolfram發表了基本細胞自動機（Elementary cellular automaton），細胞只存在於一維的方格中，有左右兩個鄰居，各細胞的初始狀態為活著或死亡，若存活為1而死亡為0，細胞與其鄰居可能的狀態可以用三個位數的二進位數來表示，也就是000、001、010一直到111。</p> <p>根據細胞與其鄰居可能的狀態，Wolfram制定細胞的演化規則是：在000時，細胞會維持死亡，也就是中間的位數依舊為0，而在001時，細胞復活，也就是中間的位數為1，以此類推。而從000至111，細胞下一代的新狀態，各會是：0、1、1、1、1、0、0、0，我們通常將其稱為規則30。</p> <p>如果將規則30每一代的狀態，依照舊代至新代，以由上至下的方式畫出來，會是個特殊圖案的三角形。型態可參考維基百科〈Rule 30〉條目中的照片，有趣的是，該條目中有張織錦芋螺的照片，螺殼上的圖案跟規則30非常相似。</p> <p>因為細胞與其鄰居可能的狀態，使用000至111表示，下一代的狀態各可以對應至0或1，這表示演化規則會有256個可能性。而在不同的規則下，Wolfram的基本細胞自動機如果畫出來，將會呈現不同的樣貌，例如，在規則90當中，初始狀態從000至111，對照的演化狀態是：0、1、0、1、1、0、1、0，所畫出來的圖案，竟然是碎形圖案謝爾賓斯基三角形（Sierpinski triangle）（可參考先前專欄<a href="https://www.ithome.com.tw/voice/110732" target="_blank">〈遞迴、碎形與數學〉</a>）。</p> <p>不過，並非每個規則都能生成類似自然界生成的圖案，因此，Wolfram在2002年發表的《A New Kind of Science》匯集了他的研究成果，其中將細胞自動機的演化，分為了四個類型：平衡（equilibrium）、暫時均勻（temporally uniform）、混亂（chaotic）與複雜（complex）。</p> <p>當中的平衡或暫時均勻，相當於之前提到的穩定或振盪；規則30屬於混亂，甚至可作為隨機產生器；規則110屬於複雜，像是類型二與三的混合，圖案可參考維基百科〈Rule 110〉條目，而且被證明是圖靈完備（Turing complete）。</p> <p><span style="font-size:28px;"><strong>圖靈等價？</strong></span></p> <p>如果你下載了之前提到的Golly，可能會注意到首頁中的文字跑馬燈，那是由生命遊戲產生的，我們可以在Golly的Life/Guns中找到golly-ticker。這令人感到神奇，生命遊戲也可以執行運算？</p> <p>Conway的生命遊戲或者是Wolfram的基本細胞自動機，具有狀態與規則，每一代的演化就是狀態轉移，很自然地，會令人聯想到有限狀態機，生命遊戲也能呈現一些重複模式，最有名的是Conway發現的滑行者（glider），以及在Conway的50英鎊懸賞下，由美國數學家Bill Gosper發表的槍（gun），可以不斷地發射出滑行者。</p> <p>更多複雜行為的模式被發現，甚至可以自我複製。在《深入理解運算原理》的〈康威的生命遊戲〉談到，Conway本人曾在1982年示範，如何用滑行者表示二進位資料流，以及設計AND、OR、NOT邏輯閘，從而完成邏輯運算，他只差一點就可以設計出可運作的機器。而Wolfram在1985年亦曾經猜想，規則110或許能進行通用運算。</p> <p>而Wolfram的助理Matthew Cook也證明了規則110是圖靈完備，也就是它具有與圖靈機等價的運算能力。實際上，Cook在Wolfram發表《A New Kind of Science》之前，就曾經在研討會上提出證明，然而，因為違反了保密協議，直到2004年，才發表了<a href="https://bit.ly/3fvJNx8">〈Universality in Elementary Cellular Automata〉</a>。</p> <p>在生命遊戲這方面，2002年Paul Chapman實作了一個特殊的通用電腦，稱為<a href="https://bit.ly/2PrD0Kk">Life Universal Computer</a>，而Paul Rendell在2010年基於生命遊戲，也設計了一個<a href="https://bit.ly/2Dx0PxV">通用圖靈機</a>。</p> <p><span style="font-size:28px;"><strong>複雜系統核心原則</strong></span></p> <p>我第一次接觸生命遊戲，是在冼鏡光著的《名題精選百則》中，當時只當它是個練習用的題目，而不以為意。後來，在十幾年後的《深入理解運算原理》中，才再次看到生命遊戲的簡介。但直到最近，於《The nature of code》中看到基本細胞自動機，發現竟可構造謝爾賓斯基三角形而感到訝異，開始思考著這其中的道理究竟是什麼！</p> <p>或許也不需要訝異，正如《The Nature of Code》中談到的複雜系統核心原則「複雜系統是由許多個體元件組成，個體並行地運作，相互之間存在簡單的關係，整體上表現出一些自發現象。」遞迴是如此、碎形是如此，細胞自動機也是如此，順便一提，你知道巴斯卡三角形也隱含著謝爾賓斯基三角形嗎？（提示：將巴斯卡三角形中的奇數、偶數標示不同顏色！）</p> <p>關於細胞自動機，還有許多有趣的事實，除了《深入理解運算原理》、《The Nature of Code》，如果想要看到更多有趣的資料，我們可參考<a href="https://bit.ly/2DzNzZm">〈電腦裡的生命遊戲，等你挑戰讓生命無限延續！〉</a>、<a href="https://bit.ly/3fuexPh">〈一文讀懂細胞自動機的起源、原理和應用〉</a>等文件。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B4%B0%E8%83%9E%E8%87%AA%E5%8B%95%E6%A9%9F">細胞自動機</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E5%91%BD%E9%81%8A%E6%88%B2">生命遊戲</a></div><div class="field-item even"><a href="/tags/%E5%9C%96%E9%9D%88%E5%AE%8C%E5%82%99">圖靈完備</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2020/8/28 09:00作者林信良https://www.ithome.com.tw/voice/139532
【臺灣資安大會直擊】從一次主機連線異常事件的反思，彰基：做好體系醫院聯防架構才能有效預防
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未知才是最可怕的！」彰化基督教醫院資安中心資安長粘良祁指出，今年2月，他開始導入託管式偵測及回應（MDR）的POC驗證，先鎖定資安中心主機。結果6月時，發現院內主機連線異常、卻找不出原因。當時，他緊急擴大導入MDR，終於在3臺主機上找到同一來源的木馬病毒，也完成清除作業。這次經驗，讓他意識到醫療IT系統維護合約的重要，彰基也持續大力推動醫療聯防架構，從防毒、無線網路和防火牆著手。</p> <p><strong><span style="color:#FF8C00;"><span style="font-size:22px;">2月開始導入資安服務POC驗證，也是之後揪出病毒的關鍵</span></span></strong></p> <p>談到資安工作，粘良祁認為，就算系統已完成更新、防毒軟體已經安裝，就連上網功能也已封鎖，還是不能掉以輕心。他以自家發生的事件為例，今年2月，彰基規畫導入MDR服務，開始與委外廠商在彰基資安中心數十臺主機進行POC驗證。</p> <p>一切看似正常，但就在6月23日，卻突然收到主機異常連線的通知，「我們的DBA發了封Email給大家，詢問是誰嘗試連線資料庫但登入失敗；」這封Email中，還附上了7個可疑IP。奇怪的是，粘良祁檢查這7個IP，卻未發現任何問題。於是，他馬上找來資安廠商，緊急擴大MDR安裝範圍，要揪出問題所在。</p> <p>隔天，他們在院內30幾臺主機安裝了MDR軟體，當下就發現其中3臺感染木馬病毒，「且三支病毒來自同個IP，」當天也立即啟動緊急處理作業。而這些中毒的主機，其中包含掛號主機，「由於它只單純啟動服務、不儲存任何重要資料，」因此，團隊在當天晚上就直接重新安裝、解決問題了。</p> <p>然而，如果是儲存重要資料、屬於重要服務的系統，就得注意是否簽署維護合約。粘良祁指出，由於彰基有些系統未簽署維護合約，團隊得額外花時間向服務供應商請教，來驗證病毒是否清理完畢。所幸驗證完後，就沒發現病毒存在了。</p> <p>除了在院內30多臺主機安裝MDR，後來也擴大到100臺，也未發現新感染的主機。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">防患未然，持續推動體系內醫療資安聯防</span></span></strong></p> <p>「彰基伺服器上約有500多個IP，是否還暗藏木馬病毒？」他指出，防患未然的解法，就是目前正在推動的體系醫院資安聯防架構，可分為防毒、無線網路、防火牆等三大部分。粘良祁指出，防毒聯防架構又分為三部分，也就是客戶端電腦（Client）和進階持續性威脅（APT）、入侵防護（IPS）、安全傳輸協定加解密（SSL），「去年已完成第一部分，今年要完成IPS，明年則是SSL。」</p> <p>至於無線網路聯防，則是要設計一個機制，來阻擋透過無線網路且未通過認證的使用者。最後的防火牆聯防，則是透過對內網的嚴格掌控，來避免臺灣醫界去年發生的電子病歷（EEC）勒索病毒事件。文◎王若樸</p> <p> </p> </div></div></div>
2020/8/28 10:57作者王若樸https://www.ithome.com.tw/news/139566
【臺灣資安大會直擊】面對供應鏈資安風險，半導體龍頭台積電設立供應商資訊安全協會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>供應鏈安全的議題近年備受關注，該如何積極因應？而在國內半導體領域當中，向來是資安模範生台灣積體電路製造（以下簡稱台積電），對於這樣的風險也已經開始重視，在2020臺灣資安大會的供應鏈安全論壇中，該公司部經理張啟煌在一場專題演講分享供應鏈資訊安全實務，並分享了他們近一年來在資安上的新作為。</p> <p>在這場議程中，有兩大焦點值得關注，首先是因應公司對公司的供應鏈安全議題，現在，台積電與相關供應鏈已經成立了一個供應商資訊安全協會，另一個供應鏈議題的層面，是面對半導體設備的資安難題，台積電在國際半導體產業設備與材料協會SEMI已成立相關小組，正訂定機臺資安的標準，促使設備供應商應從設備開發就要將資安納入考量。</p> <p>而這些作為其實突顯出，台積電對於資安的要求，已經不只專注於自身，甚至要帶領供應鏈與產業前進，為各界做出相當成功的示範。</p> <p>值得一提的是，關於供應商資訊安全協會的成立，是在2019年7月成立，只是外界較不清楚，直到在今年5月底，台積電在其企業社會責任（CSR）網站正式對外公布此事，後續我們也曾詢問該協會的成效，與改善供應商實例，不過當時未獲回應。難得的是，在這次議程上，張啟煌剛好提到協會的發展近況。</p> <h2><strong>不只是要幫助供應鏈強化資安，甚至長期也將能影響各自的供應鏈</strong></h2> <p>對於上下游、合作夥伴等供應鏈的面向，張啟煌在議程上講解簡報時，他用了一個很生動的比喻：「如果我家圍牆築得很高，可是我的鄰居都遭小偷了，那我住起來會安心嗎？」他表示，透過這個供應商資訊安全協會的平臺，他們會定期開會，與供應商溝通一些資安規範，更重要的是，他們還有一套資安風險評鑑的分析。</p> <p>現在，台積電已建立強化供應鏈資安系統（TSMC Supplier Chain Security Association，TSMC-SCSA），以確保公司的持續營運與競爭力，而初期納入導入目標的是重點供應商與合作夥伴。在具體作法上，有兩種形式，包括透過第三方服務做到快速風險評估，同時，台積電本身也有自己的評鑑方式。</p> <p>張啟煌說明，在談供應鏈的資安時，最重要還是要知道有什麼弱點。例如，透過第三方的企業資安風險評等服務，就是一種方式，可以快速對供應商做資安評鑑，他覺得這點很重要，否則，不知道弱點在哪，又該如何改善？</p> <p>此外，台積電本身也有自己的一套評鑑方式，這是因為第三方服務通常是情資蒐集，從外部的資訊分析狀況，分析弱點及改善重點，這種方法雖快，但如果要知道資安的政策、組織與人力，甚至實體安全程度等，因此，他們還會用自己的方式來評估，並建立資安評核標準，來與供應商溝通，而對於合作緊密的供應商，也會有更高的要求。</p> <p>同時，台積電也會定期發布供應商資訊安全電子報，當中包含資訊分享與遵守規範，例如，近期的新政策，合作的解決方案，或是資安警覺性的資訊，以及供應商違規的狀況，藉此與供應商一起合作加強資安。張啟煌指出，大家相互的成長，台積電的供應商也可以影響到他們的供應商，達到聯防的概念。</p> <p>長期而言，這意謂著，將可藉此影響各自的供應鏈，進而提升臺灣半導體產業的資安環境與水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89960x420%E5%8F%B0%E7%A9%8D%E9%9B%BB%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8R0243470__%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h2><strong>從產業標準發力，在SEMI成立資安標準工作小組，讓半導體設備供應商也要在其產品考量資安</strong></h2> <p>面對半導體設備的資安難題，張啟煌在議程上曾提到，例如，在半導體製造領域，半導體設備的生命週期超過30年，因此這些設備將面臨系統終止支援（End of Support，EOS）的威脅，舉例來說，Windows XP就缺乏安全更新去修補弱點。此外，還有設備幾乎不停機在運作，系統難以更新修補的狀況，以及面臨缺乏產業標準、更多系統整合、遠端等議題的風險。</p> <p>由於近年資安攻擊事件已對臺灣的半導體產業帶來威脅，在這次議程上，張啟煌指出，台積電已經帶領半導體供應鏈制定機臺資安標準。</p> <p>這項標準的制訂，還在進行階段。他們去年初在SEMI就成立相關小組，後續相關草案也已經訂出。現場，張啟煌也說明了目前的最新進度，該草案已經送交給全球的SEMI會員投票。</p> <p>顯然，這是希望藉由建立相關標準，讓半導體設備廠商在資安上能有遵循的規範，而特別的是，這樣的標準是由臺灣產業來帶頭及參與標準制定。</p> <p>最後值得一提的是，精進資安防衛，產業交流合作也很重要，我們看到近年台積電也已有了較積極的作法。例如，近年他們參與多場臺灣營業祕密保護的研討會，今年也參與2020臺灣資安大會，還有多項在產業界與學術界的合作，這些都是協助臺灣產業強化營業祕密、資安、人才等能量的具體行動。</p> </div></div></div>
2020/8/28 10:00作者羅正漢https://www.ithome.com.tw/news/139644
【臺灣資安大會直擊】從大型製造業實例，看FAB廠房、OA、RD和IoT內網防護新作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於臺灣今年5、6月接連發生多起重大資安事件，又以高科技電子產業與傳統製造業為大宗，包含PCB廠、半導體及自動化設備商，都曾遭遇駭客攻擊，而且不少都是屬於企業內網入侵事件，駭客透過入侵公司的內部網路，進而發動攻擊，造成企業營運或服務受影響。曜祥網技技術顧問處經理黃士滄近日也以臺灣一家大型製造商實務經驗為例，來說明它如何運用建立內網資安管理新作法，提高資安防護實力，以應對這些攻擊的威脅。</p> <h3><strong>對抗未知駭客攻擊，製造業資安得有新的內網防護作法</strong></h3> <p>一般來說，製造業內網資安管理的挑戰，主要涵蓋4大區域，包括產品測試、開發為主的RD、廠房FAB、工控IoT以及OA區域。這4個區域都有個共通性，就是有著受病毒感染的潛在風險，不僅僅可能因為病毒入侵感染產線機臺、大量IoT連網裝置與Windows設備，導致廠區營運停擺，嚴重甚至可能造成RD機敏資料外洩，產生巨額的損失。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0089.jpg" style="width: 600px; height: 432px;" /></p> <p>以這家大型製造公司為例，黃士滄表示，為了加強在這些資安風險區域的安全管理，後來，他們決定採用建立內網資安防護新的作法，來對應不同內網區域面對的資安挑戰。</p> <p>他們先是建立一個內網病毒防護機制檢查流程，並架構在一個智慧化的內網資安管理平臺上，來落實這4個內網區域的裝置防護。這個檢查流程分為Pre-Check與Re-Check兩個流程。前者是一個預檢查流程，只有通過相關資安檢驗的機臺或設備才能放行，若是不符合其資安要求，例如未安裝企業版防毒軟體等，就會加以阻擋，禁止其使用，以確保所有接入設備資安都合規。後者則是要求對於進到內網所有機臺或OA設備，每隔一段時間就要進行資安政策檢查，如查驗內網工作站Agent回報有無異常情況，一旦出現未回報、回報時間過長、病毒碼過舊的情形，就會當機立斷將其封鎖。</p> <p>有了這個內網資安防護機制後，接著，再從每個區域各別資安風險著手，來建立相應的防護管理機制，例如在RD區域，除了要求所有RD工作站軟硬體、高風險Windows裝置都要通過資安檢查流程，這家公司也要求確實做好相關資產清點，如詳細盤點RD筆電裝有商用軟體套數等，以掌握內部真正使用情況。再者，針對RD硬碟抽換或測試用的資料存取都有嚴格規範，例如在使用USB取資料時，會搭配USB管理軟體，來防止USB洩密與中毒。</p> <p>在FAB廠區方面，這家業者也建立一套廠區自動化盤點機制，來掌握工廠設備的實際數量及其位置，還利用室內有線定位技術來追蹤這些設備移動的歷程軌跡，以便於在發生資安事件，馬上就能回溯，調出所有機臺移動記錄，迅速查出有問題的設備，將影響降到最低。有了這些移動歷程軌跡，也讓這家公司更容易完成相關資訊資產的定期盤點。而且對於配置有IoT裝置的區域，同樣是透過採取新設備接入封鎖管理，搭配IoT設備自動盤點定位機制，來強化其資安防護。</p> <p>即使是非工廠的OA區域也都是採相同標準執行，更搭配了多種異常偵測機制，像是有結合了網域使用者異常登入警示，還有搭配本機及網域提權及分享資料夾異動檢查、異常開關機設備檢查，以及工作站資安管理Agent有效性檢查等等。</p> <p>黃士滄也從這次臺灣成功防疫經驗，來對照企業應採取的內網資安防護措施，他建議，企業除了要有全貌性的視野，及早掌握目前資安政策的落實狀況，並早一步發現潛在風險；其次更要做好超前部署，落實設備接入管制，並留下其歷程軌跡，以利於日後的追蹤。再者是針對異常或不合規設備做原地隔離與矯正，最後還要建一個即時通報系統，來打造內外網聯防體系。</p> <p>他指出，面對層出不窮的內網攻擊事件，企業的資安防禦得化被動為主動，來強化資安防護完整性與有效性，才能應對未知攻擊的威脅。文☉ 余至浩</p> </div></div></div>
2020/8/28 08:19作者余至浩https://www.ithome.com.tw/news/139649
臉書：iOS 14將減少開發商50%的廣告收入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書昨（26）日針對iOS 14隱私政策說明臉書的因應作法，<a href="https://www.facebook.com/business/news/preparing-our-partners-for-ios-14-launch/">同時警告</a>即將釋出的iOS 14，將導致其廣告網路Audience Network的客戶收入減少可能超過50%。</p> <p>6 月公布的iOS 14蘋果實作了一項隱私政策，在使用者下載並首次開啟App前會跳出通知對話框，要求用戶同意該App蒐集IDFA。如果用戶不同意，App開發商就無法蒐集這項訊息。IDFA ( Identifier for Advertising)是蘋果分派給用戶裝置的隨機識別碼，能用來追蹤使用者上網行蹤，而藉由蒐集IDFA，廣告商或行銷人員將可發送客製化廣告、了解廣告或行銷工具和使用者互動以決定廣告成效。若iOS 14上路，IDFA將失去精準廣告效果，也將衝擊仰賴相關廣告收入的網站或App。</p> <p>配合iOS 14的推出，臉書周四表示，未來在iOS14裝置上臉書旗下各App將不再蒐集IDFA，除非蘋果有進一步指引。其次，臉書將告知用戶臉書會如何使用其資訊，也將明列第三方App或網站蒐集用戶上網行為並傳給臉書的資訊概況，並允許使用者中止這些行為。</p> <p>臉書也將釋出新版Facebook SDK，支援蘋果的SKAdNetwork API，這會限制行銷活動帶來的資訊。為減緩衝擊，臉書會要求其廣告客戶另外開設專用帳號，以便在iOS 14裝置上跑行動應用程式安裝廣告（App install ad）。</p> <p>臉書警告，iOS 14將對臉書平臺上1.9萬家開發商和出版帶來極大衝擊。它預期這些變動將嚴重影響臉書Audience Network的廣告效果，差到Audience Network未來根本沒必要在iOS 14上推出，出版商也要有心理準備，來自Audience Network的收入一定會降低。</p> <p>至於減少的幅度，<a href="https://www.facebook.com/business/news/preparing-our-partners-for-ios-14-launch/" target="_blank">臉書表示</a>因目前不確定性甚高、很難量化，但是在內部測試中，在從行動應用程式安裝廣告移除個人化功能後，Audience Network上一家出版商收到將減少超過50%，而真實情況可能又會更糟，對此臉書正在開發短、長期的因應措施以支持開發商生計。</p> <p>雖然蘋果尚未公布，不過一般預期，iOS 14今年秋天就會正式釋出。</p> <p>iOS 14之前已經破壞了一班App的好事。6月間有用戶利用iOS 14 beta版<a href="https://www.ithome.com.tw/news/138509" target="_blank">發現</a>，50多家App及網站暗中蒐集iOS裝置上的剪貼簿內容，犯案者不乏知名網站如Weather、華爾街日報、Fox News、AliExpress和抖音。</p> </div></div></div>
2020/8/27 23:00作者林妍溱https://www.ithome.com.tw/news/139646
Cloud周報第77期：傳Google將在臺興建第3座資料中心，落腳雲林斗六
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/08/20～2020/08/26）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲林 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>加碼投資臺灣，傳Google將在雲林蓋第三座資料中心</strong></span></p> <p>傳Google日前已在臺灣再買下數萬坪土地，要作為興建資料中心之用，而該筆土地就位在雲林斗六，面積達6萬坪。對此，Google目前低調回應，僅表示，「不對此消息評論，」而雲林縣政府官員則說，該筆土地尚未完成所有權轉移，無法得知土地是否為Google買下。Google於2013年啟用了位在彰化彰濱工業區的旗下臺灣首座資料中心，去年9月，再宣布，要擴大在臺投資，將在臺南興建第二座資料中，如今，若再加上最新的投資案，Google將在臺擁有三座資料中心。此外，參照Google投入彰濱和臺南資料中心的費用，都超過200億元，業界推測，新資料中心的投資金額應不會低於前兩座，所以相關投資額至少上看200億元。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中斷通知 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟：Azure中斷若未影響多個地區或多項服務，不會於服務狀態頁面對外說明事件</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/tu_azure_status_tu_pian_lai_yuan_wei_ruan_.jpg" style="width: 600px; height: 263px;" /></strong></strong></p> <p>微軟近日發布了一篇文章，就Azure若發生中斷狀況，其當前是如何對外發布消息，來做出說明。微軟表示，其目標是在Azure發生中斷的15分鐘內，通知所有受影響的用戶，而目前通知中斷消息的方式有兩種，包含了人工通知和自動推送通知。此外，微軟目前僅在Azure發生大規模中斷事件時，使用公開的Azure狀態網頁，來對外說明事件，也就是僅在中斷事件同時影響多個雲端地區，或是同時影響多項服務時，才會公開發布中斷消息。而若是Azure發生小規模中斷事件，微軟則會透過健康狀態服務Service Health，直接向受影響的企業進行說明。微軟表示，目前有逾95%的服務事故，都是透過Service Health與用戶進行溝通，因絕大多數的事故僅影響小部分的用戶。未來，微軟還計畫將Azure當前服務中斷的通知方式，也套用在其他雲端產品上，包含Microsoft 365和Power Platform。<a href=" https://azure.microsoft.com/zh-tw/blog/advancing-the-outage-experience-automation-communication-and-transparency/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> G Suite </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 故障事件 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gmail </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>G Suite又發生全球大規模故障事件，Gmail和雲端硬碟出狀況持續超過6小時</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20gmail%E7%95%B6%E6%A9%9F082020_%E6%88%AA%E5%9C%96%202.JPG" style="width: 600px; height: 522px;" /></strong></span></p> <p>Google G Suite部分服務於8月20日下午再傳大規模故障事件，包含Gmail、Google雲端硬碟、Google文件、Google Meet、Google Voice等服務，皆出現異常，使得許多用戶遭遇無法登入、無法附加檔案等狀況，包含部分臺灣用戶在內。根據監控網站Downdetector的用戶通報記錄，此次故障事件影響範圍遍及全球各地，不只臺灣，美國、澳洲、日本、馬來西亞等多國，皆有用戶提交了服務故障通報。Downdetector在當日下午1點25分時，共收到超過1,900件Gmail故障通報，其中有60%的用戶通報附加檔案的問題，另有23%的用戶通報他們無法登入服務，還有16%用戶通報收信問題。</p> <p>服務出現問題後，Google隨後在G Suite的運行狀態儀表板網頁上，顯示Gmail、Google雲端硬碟、Google文件等服務，發生問題的消息，並表示正在進行事故調查。該日傍晚，Google陸續宣布各服務恢復正常，而根據Google於8月25日發布的事故報告，整起事件共歷時6小時35分鐘。Google表示，事件主因是，有大量流量湧入中繼資料（Metadata）服務，導致請求增加且延遲，因此，工程師進行了流量限制的配置更改，來緩解錯誤。後續，Google將評估及改善中繼資料操作失敗時的重試策略。<a href=" https://www.google.com/appsstatus#hl=zh-TW&v=status&ts=1597939199000">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Zoom </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視訊斷線 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距教學 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>美國進入開學季，Zoom發生斷線事件中斷網課逾4小時</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Meeting6.jpg" style="width: 600px; height: 404px;" /></strong></strong></p> <p>美國各地學校近期陸續開學，然而，因疫情仍未趨緩，擔心爆發群聚感染，許多學校仍選擇以遠距教學的方式，進行授課，而就需仰賴視訊軟體，如Zoom等。但是，Zoom在美東時間8月24日早上8點左右，即出現大規模斷線狀況，許多使用者抱怨無法登入Zoom網站、使用Meetings及Webinar服務，影響了教學、會議等需求。Zoom隨後於服務狀態網頁上表示，已經找出造成用戶無法登入網站及加入會議、Webinar的原因，並將針對雲端環境的問題，進行修補。根據Downdetector的統計，受影響用戶主要分布在北美洲，但歐洲、澳洲、紐西蘭以及部份亞洲國家包括日本、新加坡等地用戶，也反映服務出現問題。整起斷線事件共持續超過4小時。<a href=" https://status.zoom.us/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>阿里雲上一季營收年成長達59%</strong></span></p> <p>阿里巴巴日前公布2021財年第一季的財報，時間從今年4月截至6月30日，該集團整體營收達1,537.51億人民幣，同比增長達34%，主要由中國零售業及雲端業務的驅動成長。雲端業務方面，本季營收則為123.45億人民幣，相較去年同期增長59%，而該業務的收入主要來自公有雲與混合雲營收。根據IDC最新IaaS及PaaS的市場規模調查，阿里雲是中國最大公有雲服務供應商。現階段，零售依舊是該集團的主要營收來源，達939億人民幣，占總體營收逾8成。阿里巴巴預期，2021財年總營收將突破6,500億人民幣。<a href=" https://www.alibabagroup.com/en/news/press_pdf/p200820.pdf">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Compute Engine </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CPU </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google Compute Engine現可超額分配單租戶節點VM的CPU資源</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Compute%20Engine%20overcommit_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Goolge%E9%9B%B2%E7%AB%AF.jpg" style="width: 600px; height: 612px;" /></strong></strong></p> <p>Google雲端日前宣布，Compute Engine單租戶節點現支援CPU超額分配（Overcommit），企業將能依據需求選擇具成本效益的配置，在專用主機上，超額配置2倍的虛擬CPU資源。CPU超額分配功能會自動在單租戶節點裡，重新分配虛擬CPU資源，將閒置的VM執行實例中的資源，配給需要額外資源的VM執行實例，如此，企業在專用硬體上執行工作負載時，便能將CPU資源視為資源池考量，減少運算資源配置過量。</p> <p>企業可以配置每個VM最小虛擬CPU數量，以及最大可增加的虛擬CPU數量。Google表示，企業能在VM執行實例層級，控制單租戶節點CPU超額分配，因此能夠靈活地控制運算資源，滿足各種工作負載需求。每個執行實例最多只能夠配置2倍虛擬CPU數量，比方說，具有80個虛擬CPU的n2-node-80-640，CPU超額分配使節點最多可用160個虛擬CPU。<a href=" https://cloud.google.com/blog/products/compute/cpu-overcommit-for-sole-tenant-nodes-now-ga">（詳全文）</a></p> <p><strong>圖片來源／Downdetector、Zoom、Google雲端 </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 疫情促雲端軟體需求大增，Salesforce上季營收創歷史最佳年增29%，而行銷和商務雲成長逾21%</strong><a href=" https://investor.salesforce.com/press-releases/press-release-details/2020/Salesforce-Announces-Strong-Second-Quarter-Fiscal-2021-Results/default.aspx">（詳全文）</a></p> <p><strong>2. Google正式推出遊戲伺服器託管服務，讓遊戲開發商用K8s管理全球遊戲伺服器機群</strong><a href=" https://cloud.google.com/blog/products/gaming/announcing-the-ga-of-google-cloud-game-servers">（詳全文）</a></p> <p><strong>3. Google資料分析服務Dataflow現可在同一工作流程支援多個程式語言</strong><a href=" https://cloud.google.com/blog/products/data-analytics/multi-language-sdks-for-building-cloud-pipelines">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年8月</strong></p> </div></div></div>
2020/8/27 18:41作者黃郁芸https://www.ithome.com.tw/news/139645
吹哨者揭露丹麥情報機關監控公民通訊，局長、官員遭停職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥國防情報局遭吹哨者揭露不當監控公民通訊長達6年，涉事主管本周遭到停職處分，丹麥政府也承諾將提供吹哨者保護。</p> <p>去年11月數名吹哨者，包括情報局員工及外部人士舉報關於丹麥國防情報局（FE）對公民的監控行為，促使丹麥資安及安全服務（TET）獨立管理人展開調查，並<a href="https://www.tet.dk/wp-content/uploads/2020/08/PRESSEMEDDELELSE.pdf" target="_blank">在8月21日公布調查結果</a>。</p> <p>根據調查，國防情報局於2014到2020年期間「以不法手段」取得大量丹麥公民的資訊並傳送出去，根據舉報資料，該局甚至在2014年情報局成立前就違反丹麥法律蒐集資訊。</p> <p>此外，國防情報局還屢次向調查的TET提供不實資訊，以隱匿其非法監控行動。調查也發現，在調查期間該局企圖「處理」某名員工的資訊，丹麥政府決定將國防情報局長 Lars Findsen及兩名高層官員，在全面調查期間予以暫時停職。</p> <p>此外，調查管理人也建議加入員工保護條款，以鼓勵現任及前任情報局員工指正組織行為，而不必擔心被報復、失業或追究刑責，同時也提供外部爆料者保護，並允許在安全情況下解密國防情報局的資訊。</p> <p>相較之下，美國知名吹哨者史諾登（Edward Snowden）則因揭露東家國安局違法監控國人及外國元首，而遭到剝奪國籍、流落俄羅斯、封鎖金援。美國政府對於赦免史諾登看法分歧，有最後決定權的總統川普雖然鬆口考慮，但是司法部長<a href="https://www.ithome.com.tw/news/139598" target="_blank">William Barr近日卻稱其為叛國者</a>，將會堅決反對此事。</p> </div></div></div>
2020/8/27 17:20作者林妍溱https://www.ithome.com.tw/news/139641
科學家首次以機器學習方法發現行星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://warwick.ac.uk/newsandevents/pressreleases/fifty_new_planets">英國華威大學科學家</a>，利用機器學習技術，從上千萬個候選行星，挑選出真正的行星，這是天文學家第一次使用機器學習分析潛在行星樣本，從候選行星中確認出真正的行星，還一次找出了50顆新行星。由於機器學習比舊方法能更快獲得結果，並且可以自動化，能夠有效加速行星探索的速度。</p> <p>目前不少搜尋系外行星使用凌日法（Transit），透過尋找行星經過望遠鏡和恆星中間的訊號，來發現候選行星。當行星通過望遠鏡和恆星中間，望遠鏡探測到的恆星亮度會明顯下降，也就是說，當科學家鎖定大量恆星，並尋找周期性變暗的恆星，就能發現可能存在的系外行星。雖然理論很單純，但是實際操作起來有許多複雜因素需要排除，研究人員提到，雙星系統或是背景物體的干擾，甚至因為相機微小的誤差，都可能影響觀測結果。</p> <p>在行星驗證過程，必須要排除被誤判為行星的偽陽性結果，而華威大學的研究人員，建立了一個機器學習系統，來幫助人們驗證從NASA克普勒與TESS等太空望遠鏡，所發現成千上萬個候選行星，找出真正的行星。訓練模型的資料集，來自NASA克普勒太空望遠鏡兩大經確認的行星以及偽陽性樣本。</p> <p>這次科學家發表的成果，他們最找到了50顆行星，這50個行星大小，最大的與海王星相當，也有比地球還小的行星，行星軌道有長達200天，也有短至1天，經機器學習驗證後的行星，天文學家就能夠透過專用的望遠鏡，優先執行進一步的觀測。</p> <p>過去的機器學習技術，僅能對候選行星進行排名，但無法確定候選者是否為真正的行星，但這個步驟是行星驗證的必要階段。華威大學物理系博士David Armstrong提到，過去沒有科學家，真正應用機器學習技術驗證行星，頂多僅用來排名候選者，找出可能為行星的候選者，但是最新的機器學習系統，現在可以切確的算出機率，當候選者被確認為行星的偽陽性機率小於1％，便可以確認其為經驗證的行星。</p> <p>有50個候選行星，通過研究人員所開發的演算法閾值篩選，他們希望未來可以將這個技術，用於TESS和PLATO等當前或是未來的行星尋找任務中，大規模搜尋太空中的行星，因為像是TESS太空望遠鏡執行的調查，可能一次發現成千上萬的候選行星，而機器學習方法能夠一致且快速地分析驗證這些發現，使得探索行星任務更有效率。</p> </div></div></div>
2020/8/27 17:50作者李建興https://www.ithome.com.tw/news/139630
連續三天遭到網路攻擊，紐西蘭證券交易所暫停交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐西蘭證券交易所（New Zealand Exchange，NZX）本周連續三天遭到來自境外的分散式阻斷服務（DDoS）攻擊，乾脆在今天（8/27）暫停主板、債券市場及Fonterra股東市場的交易，以專心解決此一網路威脅。</p> <p>NZX先是在本周二（8/25）面臨DDoS攻擊，因而在當地下午3點57分時暫停現貨市場的交易；<a href="https://www.nzx.com/announcements/358636" target="_blank">周三（8/26）</a>早上開盤沒多久又遭到DDoS攻擊，於是在早上11點24分時再度暫停交易；結果<a href="https://www.nzx.com/announcements/358816" target="_blank">今天（8/27）</a>早上相關的攻擊又現身，使得NZX於早上11點10分再度停止交易。</p> <p>有別於前幾天NZX都在緩解攻擊之後重新開放交易，今天NZX決定不再恢復主板、債券市場與Fonterra股東市場的交易，以專心解決此一鍥而不捨的攻擊行動。</p> <p>奧克蘭科技大學電腦科學系教授<a href="https://www.news.com.au/finance/markets/world-markets/new-zealand-stock-exchange-down-24-hours-after-cyber-attack/news-story/fcaf5236692beb4f05d64e81465186d1" target="_blank">Dave Parry向媒體表示</a>，這是個針對紐西蘭重要基礎設施的大型攻擊行動，連續的攻擊是少見的，也顯示出它的複雜度。</p> <p>至於NZX則僅說相關的攻擊是來自境外，並未公布更多的細節，但宣布已與安全專家合作，會盡一切能力恢復明天（8/28）的交易。</p> </div></div></div>
2020/8/27 18:00作者陳曉莉https://www.ithome.com.tw/news/139643
美國公布搶劫全球銀行的北韓駭客集團BeagleBoyz分析報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國財政部、網路安全暨基礎架構安全署（Cybersecurity and Infrastructure Security Agency，CISA）、聯邦調查局（FBI）與美國國防部旗下的網路司令部（U.S. Cyber Command，USCYBERCOM），在本周公布了針對席捲全球多國銀行，盜走近20億美元的<a href="https://us-cert.cisa.gov/ncas/alerts/aa20-239a" target="_blank">北韓駭客集團BeagleBoyz分析報告</a>。BeagleBoyz隸屬於北韓駭客組織HIDDEN COBRA，也是在2016年企圖<a href="https://www.ithome.com.tw/article/117399" target="_blank">盜走臺灣遠東銀行6,000萬美元</a>的元兇。</p> <p>根據美國的調查，BeagleBoyz現身於2014年，自2015年到2020年間鎖定全球數十個國家的金融機構發動攻擊，涵蓋臺灣、孟加拉、巴西、印度、日本、新加坡、烏干達、智利及南韓等，嘗試自當地的金融機構竊取近20億美元的金額，最惡名昭彰的一次，是<a href="https://www.ithome.com.tw/news/105463" target="_blank">在2016年時成功自孟加拉銀行取走8,100萬美元</a>。</p> <p>駭客行動為北韓政府主要的財務來源之一，該研究並未公布BeagleBoyz真正得手的金額，僅說不法所得最終都流向了北韓的銀行，但揭露了該集團的攻擊手法，同時也提供緩解措施。</p> <p>外界將BeagleBoyz搶劫全球銀行的行動稱為FASTCash，該集團先藉由網釣、水坑攻擊，或是委託第三方駭客取得入侵受害銀行網路的管道，接著尋找特定的攻擊目標並長駐系統，一方面下載其它惡意程式，另一方面還會躲避偵測，再取得關鍵憑證。</p> <p>BeagleBoyz相準銀行內部的兩大系統，一是與環球銀行金融電信協會（SWIFT）介接的終端系統，二則是負責銀行支付交換應用的伺服器。SWIFT為銀行與其它銀行或分行交流的平臺，駭客藉由建立偽造的電文，把資金盜轉到駭客的帳號；而在入侵了支付交換系統之後，駭客則可指示該行在全球的提款機（ATM）同時吐鈔。</p> <p>孟加拉銀行及遠東銀行的案例屬於前者，駭客企圖透過孟加拉央行的SWIFT終端機，指使美國紐約聯邦儲備銀行轉出9.51億美元，駭客原本準備分數十次盜轉該款項，但在成功移轉8,100萬美元之後就被發現而阻止；駭客亦試圖透過遠銀的SWIFT系統盜轉6,000萬美元。</p> <p>至於後者的攻擊場景則更像科幻片，在2017年時，攻陷銀行支付交換系統的BeagleBoyz讓散布在全球逾30個國家的ATM同時吐鈔，隔年亦成功讓23個國家的ATM在同一時間自動吐鈔。臺灣的第一銀行也曾在2016年，<a href="https://www.ithome.com.tw/news/107294" target="_blank">發生類似的遭駭事件</a>。</p> <p>該報告建議全球的金融機構應該全面性強化其安全措施，才能有效防堵FASTCash攻擊，任何單一的防範機制都是不足的，從強化發送電文的憑證認證、獨立支付系統架構、將重要任務與操作環境隔離、加密與憑證有關的所有傳輸，到監控異常行為等，當然也包括最基本的即時修補各種安全漏洞、關閉不用的連網服務、嚴格規定使用權限、採用防火牆與安全軟體，以及限制員工的下載及隨身碟的使用行為等。</p> </div></div></div>
2020/8/27 15:05作者陳曉莉https://www.ithome.com.tw/news/139632
【臺灣資安大會直擊】EC-Council ECIH全球試題命題委員黃信智：企業董事會高層該有資安治理2大思維，從7面向…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資訊安全治理的基礎階段若沒打好，管理就做不好，更遑論談論治理，這之間有必然的因果關係。」這是網路安全技術認證機構EC-Council（國際電子商務顧問局）ECIH全球試題命題委員黃信智，在臺灣資安大會演講中的開場白。他更建議，董事會成員與高階主管，資訊安全治理應該要有的2大思維。</p> <p> 首先，「董事會得從戰爭角度，來看待資訊安全治理。」黃信智坦言，企業內部缺乏這樣的思考，資安作為將會是一盤散沙。</p> <p>因為當企業把網路視為戰爭的一部分時，就會意識到企業面對的是一種全新的領域，也代表了一個全新的領土。將網路空間視為新戰場，黃信智提到，一有戰爭發生，不管是公部門、私部門、非政府組織、非營利組織，都有遭圍剿的可能。甚至，網路空間會變成一個政治工具，比如以國家的力量發動的網路攻擊。</p> <p>黃信智強調：「企業應該建立防護單位（Defense unit）及情報單位（Intelligence unit）等體系。」如果企業內部的資訊部門，沒有人力負責這兩種體系，他表示，這代表企業還是將IT視為後勤、支援的單位，而完全忽略了防護與情報的角色，這會使得企業在資安上力不從心。</p> <p>然而，除了建立防護單位與情報單位，甚至，黃信智認為，企業還需要準備一批負責打仗的戰隊。因為，現在網路無所不在，他提醒，不管是公部門還是企業，早就身在戰場，只是自己還不知情。</p> <p>過去10年來，全球許多重大資安事件，造成各式各樣的資料外洩災情，不論是商業機密、營業秘密、政府資料、個人資料都遭外洩，外洩規模少則幾十萬筆，多至上億筆資料，不論是企業或政府機關都受到牽連。</p> <p>不只如此，黃信智提到，企業更要意識到間諜無所不在。比如多年前，美國總統川普拜訪北韓領導人金正恩舉辦川金會時，就發現了現場贊助廠商發送的USB小涼扇，內藏了惡意程式。他提醒，任何一個小破口，都可能導致大破洞。</p> <p>面對駭客攻擊，特別是臺灣受到的攻擊，大多為國家級駭客組織所發動，企業到底要不要與駭客對打，或者是否要反擊回去？都是企業高層應該思考的面向。然而，黃信智指出，這又回到各企業或組織，是否有成立防護單位與情報單位。</p> <p>不過，他認為，大部分公司資源相當有限，不太可能成立防護單位與情報單位，充其量是讓IT部門進行部分的防禦，甚至，有些企業IT部門根本不清楚自家資安的作為，只是因為某項資安產品賣得很好，就跟著買來用。「當企業沒有整體的目標與長遠的規畫，通常都是處於被動、被動、再被動的狀態。」黃信智直言。</p> <p>對於有心思考網路空間、網路安全、資訊安全是一種戰爭的企業高層。黃信智則建議，得考慮企業是要防禦，還是要拿下主導權。他比喻，歷史上發生過的戰爭，相同點都是要搶下灘頭堡，在網路戰爭也是一樣的邏輯與脈絡，「企業一定要想辦法拿下主導權，否則永遠都只能防禦，而防禦的作法往往是道高一尺，魔高一丈。」他認為，市面95%的資安產品僅有防禦功能，很難實現主動出擊，企業若採購了這類資安產品，自然不會有主導權，永遠只有挨打的份。</p> <h3><span style="color:#0066ff;"><strong>資安治理需通盤考量，可從7大面向來進行規畫</strong></span></h3> <p>黃信智建議董事會高層，應思考的資安治理第二大面向，是多維度空間。他解釋，談論到資訊安全有三大原則，主要是資安防護三角錐，也就是CIA三大支柱：機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）。不過，他認為，若只聚焦在CIA這三大支柱的點、線、面，沒有辦法進一步跨越到多維度空間。</p> <p>他更提出資安治理要思考的7個面向。第一，是否有將國家發展議題考慮進去？黃信智表示，這項重點會放在公部門，尤其是中央部會，以及金融、醫療、交通、能源等臺灣8大關鍵基礎領域。</p> <p>第二項是文化面考量。黃信智提醒，董事會也不能忽略了文化面對資安治理的影響，社會文化有些的發展或趨勢，可能也會影響網路空間的發展，進而影響了企業資安治理的考量。</p> <p>此外，在產業上的差異也是另一考量面向。他表示，企業必須認知到，各種產業本身就會有不同差異，得訂定清楚自家在資安的目標，比如，在CIA三大支柱要以哪個優先執行？哪個又需做到最徹底？如此來思考，企業的資安作為會完全不同。</p> <p>而在資安治理上，黃信智強調，企業要懂得用時間爭取空間，或是反過來用空間去爭取時間。「所有的資安防護、資安管控、資安措施，唯一要達到的目的，是延緩入侵者入侵的時間。」他坦言，潛臺詞是企業只能降低入侵者入侵的可能，把入侵者的時間盡可能拉長，並用這些時間來爭取我方的防護。這是他認為容易忽略的第四個面向。</p> <p>此外，他進一步提到，第五個須考量的面向是宗教議題，根據相關數據顯示，全世界有30個國家想在網路領土插旗，企圖拿下整個網路空間主導權，而這其中有超過一半，都是跟宗教有關，比如伊斯蘭國ISIS。</p> <p>最後兩個企業在資安治理須考量的面向，黃信智表示，包括產業上的間諜，以及你的「鄰居」，他提到，所謂的鄰居，可能就在公司隔壁或上下樓，也可能是同業的競爭者，也可能是你產業鏈的上下游。他坦言，這些都是企業經常沒有思考，而直接埋頭苦幹做所謂的資安治理。「當企業忽略了這些面向的考慮，資安治理會顯得力不從心，只能在有限資源下做出當下較好的判斷，但在大方向卻完全不知所在。」</p> <p>黃信智建議，企業董事會成員與高階主管，必須通盤評估上述角度，綜觀組織裡相關資源，衡量資安治理待辦事項、即將採取的措施，以及組織未來的發展，才能夠釐清自家公司在資安治理該往哪條路前進。文⊙李靜宜</p> </div></div></div>
2020/8/27 15:28作者李靜宜https://www.ithome.com.tw/news/139631
競爭對手雇用ATP駭客在3ds Max軟體植入惡意外掛，入侵知名建商系統竊資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產業競爭愈來愈白熱化，安全公司<a href="https://www.bitdefender.com/files/News/CaseStudies/study/365/Bitdefender-PR-Whitepaper-APTHackers-creat4740-en-EN-GenericUse.pdf" target="_blank">Bitdefender發現</a>，一家公司被競爭對手聘請駭客駭入其Autodesk 3ds Max軟體，以竊取價值數百萬美元的商業機密文件。</p> <p>近年駭客謀利的方法之一是轉變為APT傭兵組織（APT mercenary group），指的是受僱於企業，向競爭對手發動駭客攻擊，目的在竊取巨額合約的財務資訊或合約細節，也可能意在軍事國防機密。近年知名的APT傭兵組織包括Dark Basin、Deceptikons，以及涉及土耳其軍事行動的StrongPity APT。</p> <p>最新受害者是一家據點橫跨紐約、倫敦、澳洲及阿曼的國際知名的建商，其設計涵括豪宅、知名建物及和世界頂尖室內設計師配合的專案。Bitdefender發現這家企業近日遭到高明的進階滲透威脅（advanced persistent threat，APT）手法，發動產業間諜攻擊，也是APT傭兵組織（mercenary group）所為。</p> <p>分析顯示，其手法之高顯示駭客組織相當熟稔受害者安全系統及所用的設計軟體Autodesk 3ds Max，還詳細做過攻擊規畫，以便滲透進其網路並暗中竊取其資料。Autodesk 3ds Max是知名的3D動畫、建模和設計視覺化軟體。</p> <p>研究人員發現駭客在3ds Max植入名為PhysXPluginMfx的惡意外掛，它是MAXScript攻擊程式的變種。若不知情的使用者下載且執行後，它就會破壞3ds Max的設定、執行惡意程式碼Max Script，甚至擴散到Windows機器上的其他MAX檔案。但該Max Script主要目的乃是下載其他惡意元件，包括和外部C&C伺服器建立連線，以將商業文件與受害者Firefox、Chrome和IE中的網站密碼傳送出去。</p> <p>而除了完整而強大的間諜工具外，攻擊程式還能躲避安全軟體的偵測，一是長期休眠以免被發現，二來還從位於南韓的C&C伺服器控制攻擊程式，測試受害者電腦的安全軟體以避免偵測。研究人員相信這家公司已經被潛入一段時間。研究人員還發現同一台伺服器還連向其他地區，包括南韓、美國、日本及南非，顯示同一集團還鎖定其他受害企業。</p> <p>至於背後是哪個駭客集團，Bitdefender並未說明。</p> <p>研究人員指出，雖然這不是第一宗APT傭兵集團為害，但在暴利驅使及高度需求下，這類產業間諜活動未來也可能愈來愈頻繁。</p> <p>Autodesk本月也針對PhysXPluginMfx<a href="https://www.autodesk.com/trust/security-advisories/adsk-sa-2020-0005?_ga=2.195054248.546884189.1597408951-950846007.1597408951" target="_blank">發布安全公告</a>，也釋出了免費工具供客戶下載清除這隻外掛。</p> </div></div></div>
2020/8/27 13:15作者林妍溱https://www.ithome.com.tw/news/139629
【臺灣資安大會直擊】永豐金控數位科技長萬幼筠：金融資安出現6大典範轉移，數位金融更將成為資安治理最大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安趨勢的面貌，已經跳脫了傳統資安的貓抓老鼠形式。」永豐金控數位科技長萬幼筠在臺灣資安大會的金融安全論壇專場，分享過去5年來，他所觀察到金融資安變革，「有6大典範開始轉移了。」</p> <p>他首先點出的第一項變革是，在資料集與分析應用上，從集中式典範，轉移為聯邦式的典範。萬幼筠解釋，現今的金融機構熱門的生態圈、API開放金融、區塊鏈等，都會讓金融業者開始將自己資料，分享到與合作廠商的共享環境，或是為了跟外部夥伴交流，得將資料改儲存到周邊系統內等，因此，原本集中式儲存資料的資料中心，也得轉變為聯邦式資料中心。</p> <p>不只如此，萬幼筠坦言，金融業現在仍不敢將資料提供給第三方，所以，會限制第三方的使用，所提供的資料精細度也不夠高，如此一來，就得準備好幾套經過去識別化的資料集，放置在不同的地方。</p> <p>但，這種資料集分散的作法，反而帶來一個好處，正因金融機構與非自家集團的第三方夥伴合作時，會仔細評估對方機制的安全性，確保安全後才能交換資料。在這前提之下，金融機構反而能透過API，來發展開放銀行，打造生態系，進一步實現360度客戶視圖分析，投放最適合的金融產品給顧客。</p> <p>資料集和分析應用轉為聯邦式典範後，也會出現更多金融創新的機會。萬幼筠以Home Banking為例，假設有一名學生想要申辦車貸，銀行如果要執行360度的客戶分析，不能只分析該名學生，更要連帶研究他家人的需求，比如，家庭成員中的爸爸可能想換房，妹妹想出國玩，這個家庭所有成員的整體資金流動，可能牽涉到某一家金融機構的消金、企金，再加上另一家金融機構的理財業務，這些相關的銀行可以思考，透過開放銀行的作法，用家庭金融的角度來分散、設計各自銀行的金融商品服務，但是直接給這個家庭一個總體資金額度。</p> <p>當然，他進一步表示，銀行對整體放款核貸與曝險，更可能因為事前AI的精準分析，用最快的速度來提供。同時，如果健全的監理科技技術佈建完成，資金動用的狀況更會被準確的追蹤，以達成最佳的信用風險管理。</p> <p>透過開放架構，生態圈發展所帶來的金融創新，是臺灣正在發生的進行式。萬幼筠指出，現在的交易可以跨越不同金融機構，來形成一個服務，金融機構都想獲客，提供更為整體性的服務，所以，逐漸出現了很多跨部門、跨機構形式的理財分析內容，「這樣的躍進，駭客往往會選擇攻擊幾家企業共同串接的金融服務。攻擊型態改變了，過往以系統為基礎的安全事件，也轉為以企業實體為基礎的攻擊活動。」這就是第2項典範轉移。</p> <p>攻擊典範改變，也連帶影響了防禦面的典範。他表示，過去鎖定入侵指標（Indicators of Compromise）的威脅情資（Threat Intelligence）防護對策，到現在仍是主流。但是更進一步，金融機構開始針對攻擊行為（Indicators of Attack）來分析行為與脈絡（Behaviors and Context）的對策，「數據的分析變成資安防護的重點，要透過分析來找出異常行為。」而這個防護典範的轉變，進一步讓金融機構從固定規則的資安策略思維，得轉變成以「風險變異」為考量的資安策略思維，這是萬幼筠觀察到的第4個典範改變。企業得思考，不同的規則形式，得依它的風險形式，而有不同的安全取向。</p> <p>第5項典範轉移，萬幼筠提到，以前金融機構很清楚自己要面對外部攻擊者，現在，連外部攻擊者是誰都不清楚，因為這些攻擊，大多是透過釣魚郵件、APT攻擊，來滲透企業內部的帳號或設備。攻擊來源從有明確標的，現在轉而變成了不確定來源的典範。</p> <p>最後一項典範轉移是基礎架構安全的變革，他進一步提到，以往系統、網路、框架、DNZ等都是基礎架構的安全議題。可是，新型態資安的焦點是使用者與資料安全，這類安全議題轉而都連結到消費者所用的設備，「這是一種顛覆」。甚至，還會影響到顧客所使用的應用程式，這又將安全議題延伸到業務層次。</p> <p>萬幼筠強調：「資安治理變成了業務議題，不再只是技術議題，技術人都有機會步入資本家的天堂，到董事會裡談資安議題以及相關前景。因為，未來企業都是數位化。」</p> <h3><span style="color:#0066ff;"><strong>數位金融發展帶來新型態資安風險，成金融資安治理最大挑戰</strong></span></h3> <p>不只資安典範轉移，萬幼筠更分享他所觀察到的金融資安治理趨勢。在FinTech的浪潮下，包括AI、區塊鏈、雲端、大數據，以及身分識別等新興技術，為金融機構帶來數位變革，並呈現在銀行許多業務面的服務，比如支付、房貸、車貸、清算、市場金融投資、衍生性金融商品操作等應用。然而，這些數位金融發展，同時也帶來新型態資安風險，而資安的挑戰更是來自全球。</p> <p>他舉例，金融機構如果用Python撰寫AI程式，再用開源機器學習框架TensorFlow來開發和部署，開發過程若欠缺了系統生命周期的概念，將訓練好的AI模型，直接上線放到容器化應用中執行。企業若為了效率，直接放行這樣的作法，安全上要如何進行？萬幼筠點出這個擔憂。他強調：「數位金融，是目前金融資安治理、數位治理的最大挑戰。」</p> <p>因此，萬幼筠進一步提到，在金融資安治理，不只資訊安全、法遵、風控部門，現在還要再加上數位科技部門，來去解決新型態資安風險的議題。他坦言，企業的資訊安全若還停留在傳統的WAF、防火牆層面來解決問題，只是一種工程改造（Engineering Relevel），但若考慮到企業內部更上層的影響，很多資安作為涉及了政策部署（Policy Deployment），討論議題是企業該用何種防禦解決資安問題，政策上又採取何種模式。</p> <p>不過，他也提醒，資安治理必須將權責和義務切分清楚，更要在企業內部對這樣的區分有共識。比如，他觀察到，一些國內金控設立資安長的同時，也成立了資訊安全管理委員會，透過資訊安全管理委員會來整合所有相關資安議題。因為，「資安議題已經凌駕傳統的技術議題。」萬幼筠指出。</p> <p>企業在資安治理上，也要考量自身能力與能量。他也觀察到，目前大多數企業採取資安委外，因為自己做不來，或者是沒能力做。這時，挑選廠商時，就要思考要以何種形式來形塑資安。</p> <h3><span style="color:#0066ff;"><strong>金融資安合規挑戰</strong></span></h3> <p>在資訊治理上，他觀察，因為資訊安全供應鏈的影響，資安韌性（Cyber Resilience）已經走到資安（Cybersecurity）的舞臺中央。「資安韌性談的是，怎麼打都不會死」，他舉例，像可以透過國際合作，一旦遭遇駭客攻擊時，讓大多數企業可以存活，這就是設立資安資訊分享與分析中心（ISAC）的原因，透過集體的力量發揮資安聯防。</p> <p>同時，企業緊急應變的能力也很重要，才能在出事時盡快找出漏洞且及時修復，萬幼筠提到，這是企業建立資安韌性的第一步。其次，相關遭駭情況調查過程和結果，必須通知經營單位；第三步是，企業得思考，如何快速將欠缺的資安服務，變成基礎服務內涵。</p> <p>不過，他表示，建立資安韌性，有時，企業得重新定義自家資安的架構，得思考整體框架的設計。但，不少企業的系統，多年來採取疊床架屋的架構，真的能防禦安全？萬幼筠坦言，其實，企業內部都知道一些自家的漏洞，但可能一直沒時間改。他表示，特別是金融業資安從業人員，推動資安時，牽涉到預算、人力、配合的廠商，還有業務急迫性，這種種事情的交錯，「資安永遠是個治理問題，必須要攤在檯面上來討論，所以，企業得形成一個資安策略藍圖。」他提醒。</p> <p>不少國家透過法規力量，要來強化企業的資安水準，不只臺灣，如歐洲、美國、新加坡、韓國、澳洲等國家，都通過了資訊安全系列法案，都以關鍵基礎建設為主。法規也尤其注重資訊安全供應鏈的規範，涉及管理、供應、諮詢、開發、測試、驗證、金流、資訊流、商流，甚至是供應商提供的服務內容，都會影響到企業整體安全。這正是金融資安目前的合規挑戰。</p> <p>對於關鍵基礎建設安全，他建議，金融業要思考2大概念，「相互依存」（Inter-dependency）和「資安韌性」（Resilience）。比如臺灣保險業與保發中心串接，銀行與財金公司、聯徵中心、票交所串接，許多服務不只單靠金融機構本身，介接之後，機構間的安全都會影響到彼此。所以，「介接後的資安強度，才是整體服務的資安強度」。尤其，萬幼筠坦言，這些機構採用的設備都高度相似。所以，資安資訊分享與分析中心及資安事件監控中心（SOC）的重要性在於，可以即時掌握不同資安事件的資訊源。</p> <p>另外一個要重視的概念是資料保護，如何用隱私工程，比如差分隱私、被遺忘權、Privacy by design and default、去識別化等，企業會需要符合歐盟一般資料保護規則（GDPR）要求的隱私工程框架。萬幼筠提到，企業需要大量資訊工程人員、數位科技應用人員，以及資安人員一起共同合作。</p> <p>「在資料保護上，沒有數據資料，就沒有數位金融。」他認為，治理本身是資料整合的問題，像是雲端跨境，就涉及美國的雲端法案，以及蒐證等問題，企業在雲端這條路選擇如何前進，這些都得考慮進去。</p> <p>而新科技如AI可以成為資安的助力，他認為，金融資安的複雜程度需要透過AI來緩解。不過，AI應用與演算法安全，也需要治理，包括事前與事後的檢閱結果的驗證，以及持續的稽核還有監控。文⊙李靜宜</p> </div></div></div>
2020/8/27 15:16作者李靜宜https://www.ithome.com.tw/news/139628
Google更新混合雲平臺Anthos，可讓AI模型在本地端執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/google-cloud-next/latest-anthos-release-adds-hybrid-ai-and-other-features">Google更新自家的混合雲平臺Anthos</a>，以更好地支援人工智慧應用，並且與開發工具整合，加速應用程式開發周期。</p> <p>Google提到，人工智慧模型需要使用大量的資料，這些資料因為其敏感性，通常儲存於企業的資料中心內，而非在雲端上，因此企業要開發人工智慧應用，可能需要在雲端和本地端部署複雜的人工智慧解決方案，而新的Anthos的混合人工智慧功能，便是要解決這個問題，利用差異化人工智慧技術（Differentiated AI），使工作負載可以在混合環境執行。</p> <p>Anthos可將人工智慧部署到本地端，便能在資料旁，就近執行人工智慧工作負載，除了取用資料更方便外，也能維護資料與工作負載的安全性。應用混合人工智慧功能的第一個產品，是本地語音轉文字功能，讓企業完全控制資料中心內的語音資訊，在符合資料留存以及法規要求下，使用由Google開發的最新語音辨識模型，將語音資料轉成文字。用戶現在可以從Google雲端市集取用該功能，目前支援英語、法語、西班牙語、粵語和日語5種語言。</p> <p>而Anthos裸機現在也正在Beta測試中，Anthos裸機可以在沒有管理程式的本地和邊緣位置，執行混合工作負載，Google提到，裸機Anthos目的是要提供輕量級，具成本效益的平臺，能用來開拓新的雲端和邊緣用例。Google內部早已經利用Anthos裸機執行容器，處理生產環境相關的工作負載。</p> <p>這次的Anthos更新，Google也強化了開發者生產力，將Cloud Code整合開發環境套件與Cloud Run for Anthos結合在一起，讓用戶可以直接從VS Code以及Intellij等IDE，建置無伺服器應用程式，目前支援的語言有Java、Node.js、Python和Go。</p> <p>當開發者編寫完程式碼後，Cloud Code上的Cloud Run模擬器還能用來快速驗證程式碼，並在每次程式碼變更後，自動重新部署，Google提到，開發者可以使用Cloud Run模擬器，在本地端除錯Cloud Run應用程式，在程式碼就緒之後，從IDE直接將程式碼推送到遠端開發環境。</p> </div></div></div>
2020/8/27 12:20作者李建興https://www.ithome.com.tw/news/139617
歷經一年的改版，全新的Android版Firefox Daylight終於登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/blog/2020/08/25/introducing-a-new-firefox-for-android-experience/" target="_blank">Mozilla在本周二（8/25）發表</a>了已經超過一年沒翻修的Android版Firefox，它的版本別為Firefox 79 for Android，亦被特別命名為Firefox Daylight。Mozilla表示，如同第一個導入Quantum引擎的Firefox 57，被稱為Firefox Quantum一樣，Firefox Daylight意謂著，Firefox 79 for Android是一個全新的Android瀏覽器，全面改善了Android版Firefox瀏覽器的效能、介面與使用者經驗，外界相信這就是之前Mozilla曾經曝光的<a href="https://www.ithome.com.tw/news/130339" target="_blank">Fenix專案</a>。</p> <p>負責Firefox Mobile的Mozilla產品經理Vesta Zare表示，Firefox Daylight擁有重新設計的介面，而且是個既快速又安全的行動瀏覽器。在隱私與安全性上，Firefox Daylight預設即採用進階追蹤保護（Enhanced Tracking Protection，ETP）模式，可封鎖各種追蹤Cookie，也允許使用在Android首頁上，建立Firefox Daylight隱私模式的捷徑，方便使用者透過隱私模式瀏覽特定的網站。</p> <p>此外，Firefox Daylight具備更簡潔的介面，亦可自行決定網址列的位置是上方或下方；並新增收藏（Collections）功能，可分門別類地整理使用者所造訪的網頁；另可根據個人喜歡、環境或Android裝置的設定，來切換淺色或深色主題；並提供9種最熱門的擴充程式。</p> <p>Firefox Daylight採用Mozilla自行研發的GeckoView行動引擎，Mozilla宣稱GeckoView不但是以隱私與安全為中心，還能大幅增加行動瀏覽器的效能，同時也是獨立的。因為目前包括Edge、Brave與Chrome，都是使用Google研發的Blink行動引擎，Mozilla認為，採用自製行動引擎的優點在於，對於標準及功能的實現握有完全的自由度，例如打造更有效能的使用者介面，也可在Blink出現安全漏洞時逃過一劫。</p> <p>因受到武漢肺炎（COVID-19）衝擊，<a href="https://www.ithome.com.tw/news/139339" target="_blank">甫於日前宣布</a>裁撤250名員工並關閉台北辦公室的Mozilla，於瀏覽器市場的表現亦節節敗退，根據NetApplications今年7月的偵測數據，Firefox雖然仍位居全球第二大桌面瀏覽器，但市占率只剩7.83%，遠遠落後Chrome的68.81%，且Microsoft Edge亦以7.04%的市占率緊追其後。</p> <p>而在行動瀏覽器市場上，Firefox的能見度更低，它落後Chrome、Safari、Samsung Browser、QQ、UC Browser及百度，以0.8%的市占率排名第七。</p> <p>儘管Mozilla準備以Firefox Daylight反攻行動瀏覽器市場，但有媒體批評，即使經過了一年的準備，Firefox Daylight對擴充程式的支援反而退步了，舊的Android版Firefox可使用數千款擴充程式，但Firefox Daylight卻只有9款可供選擇。</p> </div></div></div>
2020/8/27 12:25作者陳曉莉https://www.ithome.com.tw/news/139625
NetApp裁員600人，先前收購的SolidFire技術團隊也在資遣名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2020/08/26/netapp_layoffs_solidfire/" target="_blank">The Register報導</a>，在發布財報前夕，儲存廠商NetApp裁減約600名職位，占員工總數的5.5%。</p> <p>報導指出，周二（8/25）被裁員的人接到通知，表示當天是他們工作的最後一天。受影響人數占其現有1.1 萬員工的5.5%，其中大多數是行銷人員，包括技術行銷員工。</p> <p>此外，這波裁員也波及NetApp 2015年收購的全快閃儲存部門SolidFire的工程師和開發人員。<a href="https://blocksandfiles.com/2020/08/26/netapp-layoff/" target="_blank">BlocksandFiles報導</a>，位於科羅拉多州辦公室的SolidFire員工約100人被裁。</p> <p>NetApp對此只簡單回應媒體，表示公司將著重以儲存軟體和硬體，以及雲端資料服務，持續聚焦在其兼具知名度和競爭力的市場，NetApp也不斷調整資源和投資，以便掌握這些機會，協助公司邁向長期成功。</p> <p>周三<a href="https://www.netapp.com/us/company/news/press-releases/news-rel-20200826-results-178619.aspx" target="_blank">NetApp發布</a>2021年會計年度第1季營運財報。上季總營收13億美元，較2020年同期的12.4億美元成長，但淨收入卻從去年的1.03億衰退為7700萬美元。<a href="https://www.netapp.com/us/media/financial-q1-fy21-45101.pdf" target="_blank">細分來看</a>，產品營收比去年同期下滑1700萬美元，主要成長來自軟體授權及硬體維護、其他服務。</p> <p>NetApp過去以儲存硬體聞名，但近年重心轉向儲存軟體ONTAP，用以管理本地部署和公有雲組成的混合雲。此外NetApp也發展自有Kubernetes產品，結合SolidFire為中心的超融合運算產品。</p> </div></div></div>
2020/8/27 12:40作者林妍溱https://www.ithome.com.tw/news/139626
臺美發表5G安全共同宣言，要聯手從供應鏈把關5G網路安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國與臺灣發表5G安全共同宣言，強調5G將帶動各種新興應用，成為驅動全球數位經濟發展的關鍵基礎建設，為確保通訊網路不被破壞或操控，應確保可靠、可信賴的網路軟硬體供應商，確保5G供應鏈沒有安全疑慮。</p> <p>這項共同宣言為美國在臺協會（AIT）與我國駐美國臺北經濟文化代表處（TECRO），代表雙方政府發表，代表美國與臺灣政府均認同5G通訊服務安全的重要性，為確保5G軟硬體供應商與供應鏈安全，應評估供應商是否的可信賴，具體做法包括評估5G供應商是否在沒有獨立司法審查下，受外國政府控制，資金來源是否公開，還有供應商的所有權、管理結構、採購、投資等資訊是否透明，是否尊重智財產等等。</p> <p>共同宣言也倡議透過定期的生命周期更迭，將現有不受信任的軟硬體供應商，轉為可信賴的供應商，提升雙方的安全，並為民間提供創新的機會，在自由公平的環境中，促進數位經濟發展。</p> <p>這項安全共同宣言，呼應了美國與32個國家、歐盟及北大西洋公約組織在2019年5月發表布拉格提案（The Prague Proposals）延伸，該提案倡議各國投入5G電信網路的基礎建設，應考慮到國家安全、經濟與商業發展等因素，以及後續的管理安全，避免受第三國影響的設備供應商帶來的潛在風險。</p> <p>美國在臺協會處長酈英傑致詞時指出，2019年的布拉格提案，對各國投入5G網路建設提出可供參考的建議及原則。政府及電信營運商對5G部署所做的選擇，將會影響未來數十年，各國需要知道並且確信5G設備及軟體公司不會危害國家安全、民眾隱私、智財權或人權。如果電信商聽從中國等威權政府指示，將導致信任不存在，因為中國沒有獨立的司法機構及法治制度，對隱私的有限保護將造成安全漏洞。</p> <p>而在今年4月美國國務卿Pompeo提出5G乾淨路徑（Clean Path），要求所有進出美國外交系統的行動流量需經過乾淨路徑，這個通訊路徑不使用不受信賴的通訊商提供的傳輸、控制、運算及儲存設備，例如華為和中興通訊。酈英傑表示，美國很高興臺灣支持5G乾淨路徑倡議。臺灣的5家電信營運商也被美國列為乾淨電信商。</p> <p>美國不只自己推動，也號召友好的國家加入，獲得許多國家的響應。今年8月美國又進一步擴大，除了杜絕有安全疑慮的中國電信設備商，也擴大到電信營運商、App市集、App、雲端儲存、海纜。</p> <p><strong><span style="color:#FF0000;">臺灣在5G網路安全做了什麼？</span></strong></p> <p>外交部長吳釗燮則表示，布拉格提案建議各國建置5G應徹底確保供應鏈的安全，而總統在今年就職所提出的六大核心產業戰略裡，其中一項就是結合5G應用、數位轉型及國家安全的資安產業，在資安就是國安下，保持高度的資安意識，在5G佈建上，臺灣完全排除具有資安疑慮的軟硬體設備及服務。我國期待和具有相同理念的國家建立安全、可信賴的5G通訊網路，促進經濟的穩定發展。此次臺美5G安全共同宣言，除了響應布拉格會議提案，也讓臺美雙方未來深化5G資安合作關係。</p> <p>今年初完成國內首波5G釋照，推動臺灣進入5G時代的推手，國內通訊主管機關NCC主委陳耀祥也指出，在資安即國安之下，資通安全已非產業的議題，已成為國家的重要課題。5G已成為國家重要關鍵基礎設施， NCC在今年5G釋照時已納入資安管理的概念，要求業者提出5G資通安全的維護計畫。同時也設立了國家通訊暨網際安全中心（NCCSC），強化通訊傳播事業的資通安全通報、應變時效，維護國家及社會的正常運作。去年通過的電信管理法也要求電信設備需符合國家安全考量。</p> <p>今年我國5G首波釋照，指導電信業者提出完整5G資通安全維護計畫的NCC委員孫雅麗認為，隨著5G開臺，資安的仗才要開始打，未來在數位經濟的時代，許多的經濟活動都在網路上進行，5G通訊網路的安全相當重要。我國除了4G釋照時禁止電信營運商使用具有國安疑慮的中國電信設備，5G也在國安會議下，同樣禁用中國的設備，不僅是硬體設備，還包括軟體服務，今年國內5G首波釋照中，要求電信業者在網路建設前需先提出5G資通安全維護計畫，為協助業者提出完善的5G資通安全維護說明，NCC匡列17個重點項目及參考架構，落實安全設計的概念。</p> </div></div></div>
2020/8/26 19:37作者蘇文彬https://www.ithome.com.tw/news/139624
資安一周第108期：全球最大遊輪業者Carnival遭勒索軟體攻擊。猶他大學為保護學生資料不被外洩，仍決定付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0820-0826 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞修補 </strong></span></h3> <h2><strong style="vertical-align: top;">沒修補Citrix重大漏洞讓駭客有機可趁，全球最大遊輪業者Carnival遭勒索軟體攻擊</strong></h2> <p>全球最大遊輪業者Carnival於8月17日坦承，該集團旗下資訊系統在8月15日遭到勒索軟體攻擊，駭客下載並加密客戶與員工資料，目前Carnival仍與執法機關及鑑識機構合作進行調查。</p> <p>該公司只透露旗下其中一個品牌的資訊系統被駭客入侵，員工與客戶資料被存取，系統遭加密，但並未提供進一步細節。而資安業者Bad Packets則是透過推文表示，他們認為Carnival遭到入侵的管道，是尚未修補CVE-2019-19781漏洞的Citrix網路設備。<strong><a href="https://www.ithome.com.tw/news/139500">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/108-1-CyberIncident_Carnival.png" style="width: 400px;" /></p> <p>圖片來源：Carnival</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃資料外洩 </strong></span></h3> <h2><strong style="vertical-align: top;">猶他大學遭勒索軟體攻擊，決定付錢贖回被盜的學生資料</strong></h2> <p>這兩年有愈來愈多的勒索軟體駭客集團在加密系統上的資料前，會先下載備份，使得受害單位面臨資料外洩的風險。美國猶他大學在7月17日遭到勒索軟體攻擊之後，以一己之力復原被駭客加密的系統，卻為了保護被駭客下載的員工與學生資料不被外洩，而選擇向駭客支付45.7萬美元贖金。<a href="https://www.ithome.com.tw/news/139547"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞修補</strong></h3> <h2><strong style="vertical-align: top;">Gmail冒名信件漏洞通報超過4個月終於得到修補</strong></h2> <p>Google稍早針對Gmail和G Suite郵件系統釋出修補程式，解決已通報137天、可用來發出冒名郵件的漏洞。這項漏洞是由研究人員Allison Husain發現，發生在Google後端郵件流程規則上，可造成冒名轉發，再配合運用郵件閘道，使攻擊者得以繞過現代郵件系統嚴格的驗證機制，包含了寄件者政策框架（Sender Policy Framework，SPF），以及採用網域為基礎，來對於郵件進行驗證、報告與一致性檢查（Domain-based Message Authentication, Reporting, and Conformance，DMARC）等，使得攻擊者得以冒充用戶發送冒名郵件。<a href="https://www.ithome.com.tw/news/139568"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/108-2-Gmail-AllisonHusain.png" style="width: 400px;" /></p> <p>圖片來源：Allison Husain</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露</strong></h3> <h2><strong style="vertical-align: top;">IBM DB2資料庫出現漏洞，恐導致資料遭到外洩</strong></h2> <p>TrustWave研究人員Martin Rakhmanov揭露，混合式資料管理產品IBM DB2的追蹤工具（Trace Facility）上，存在共享記憶體漏洞CVE-2020-4414，會導致資料遭到未經授權的讀取，或是造成阻斷服務（DoS）攻擊，本項漏洞波及Windows版的DB2，適用於大型主機z/OS的版本則不受影響。<strong><a href="https://www.ithome.com.tw/news/139575">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">蓄意隱瞞資料外洩事件，Uber前資安長被起訴</strong></h2> <p>在2015年至2017年間擔任Uber安全長的Joe Sullivan，因為隱瞞駭客攻擊事件，在8月20日遭到美國司法部起訴，罪名是妨礙司法及隱匿重大犯罪，最多可能面臨8年牢獄之災。</p> <p>司法部的起訴內容指出，Joe Sullivan任內發生的事件，是2016年遭入侵後，駭客盜走5千7百萬名乘客和司機的資料，但該名安全長當時非但沒有向主管機關通報，而是以抓漏專案為名義，支付10萬美元給駭客，並且與駭客簽定保密協議。這名資安長在接受Uber調查後於2017年離職，並接受美國司法部調查。<a href="https://www.ithome.com.tw/news/139542"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃挖礦攻擊＃容器安全</strong></span></h3> <h2><strong style="vertical-align: top;">新版TeamTNT挖礦蠕蟲會竊取AWS憑證</strong></h2> <p>資安業者Cado Security揭露，TeamTNT駭客集團所打造的新一代挖礦蠕蟲，多了用來竊取存放在Docker及Kubernetes系統上AWS憑證的功能，這些系統很可能因為缺乏密碼保護，或是配置錯誤等因素，而成為TeamTNT蠕蟲的攻擊目標。</p> <p>該資安業者表示，大多數挖礦蠕蟲都是從不同挖礦程式拼湊而成，因此竊取AWS憑證的能力，其他挖礦軟體日後也會納入相關功能。<strong><a href="https://www.ithome.com.tw/news/139496">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃挖礦攻擊＃容器安全 </strong></span></h3> <h2><strong>AWS社群映像檔暗藏惡意程式</strong></h2> <p>使用者可能透過社群網站下載所需的工具，而沒有注意到來源，成為駭客藏匿與散播惡意程式的途徑。例如，雲端資安業者Mitiga發現，AWS社群上，竟然出現了含有門羅幣（Monero）挖礦程式的AMI映像檔（Amazon Machine Image）。該公司警告，社群上的AMI檔案取得容易，但很有可能來源不明，企業應該在關鍵業務選擇可靠來源的AMI，並且要進行驗證之後再使用。<a href="https://www.ithome.com.tw/news/139576">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃挖礦攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">新一代殭屍網路FritzFrog感染500臺伺服器幫駭客挖礦</strong></h2> <p>資安業者Guardicore Labs揭露新型態的P2P殭屍網路FritzFrog，駭客撰寫了全新的惡意程式，企圖攻擊全球數百萬個裝置的IP位址，進而感染逾500臺SSH伺服器，並利用它們替駭客開挖門羅幣（Monero）。</p> <p>FritzFrog有許多特點，它採用無檔案技術，在記憶體中運作，因而無從追蹤。相較於其他只使用固定用戶名稱，來滲透IP裝置的P2P殭屍網路，FritzFrog使用了相對積極的暴力破解技術，它會持續更新攻擊對象與被駭機器的資料庫，而且使用私有的P2P協定。</p> <p>Guardicore Labs建議，企業應該設定強密碼且使用公鑰認證，受害系統也要移除FritzFrog所植入的公鑰。此外，將SSH曝露在外的物聯網裝置，是FritzFrog主要的滲透點，組織應變更相關裝置連接埠，或是關閉存取能力。<strong><a href="https://www.ithome.com.tw/news/139520">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/108-3-FritzFrog.png" style="width: 400px;" /></p> <p>圖片來源：Guardicore Labs</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃行動裝置安全 </strong></span></h3> <h2><strong style="vertical-align: top;">逾20萬中國傳音手機預載廣告詐騙程式</strong></h2> <p>資安業者Secure-D警告，中國業者傳音（Transsion）生產的手機預載了廣告詐騙程式，這些低階手機鎖定非洲市場，從2019年3月到2020年8月，該公司總計從19個國家的逾20萬支傳音手機，封鎖1,920萬個可疑的訂閱交易，這些訂閱很可能都是透過背景執行，完全沒經過使用者的同意。</p> <p>由於攻擊過程都是在背景中自動執行，不會受到電信業者的干預，使用者亦無從察覺。在追查之後，Secure-D發現相關的惡意網站與傳音並無關聯，判斷駭客是入侵了傳音的供應鏈。<a href="https://www.ithome.com.tw/news/139600">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">調查局首度揭露國內政府委外廠商成資安破口的現況</strong></h2> <p>對於國內政府組織內資訊委外的安全問題，8月19日法務部調查局資安工作站發出警示，指出近來他們偵辦數起政府機關遭駭案件中，發現政府單位及其資訊服務供應商遭中國駭客組織滲透的問題嚴重，最新發現至少有10個政府單位，以及4家資訊服務供應商都已經受到攻擊。</p> <p>調查局揭露了從遭駭路由器所查到的11個惡意網域，加上前述攻擊的5個IP位址，希望尚未遭受此一攻擊的政府機關與資訊服務供應商，應儘速阻擋這些惡意網域。<a href="https://www.ithome.com.tw/news/139504">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139529">美國公布北韓駭客所使用的RAT惡意程式</a><br /> ●<a href="https://www.ithome.com.tw/news/139578">FBI與CISA警告美國正出現大規模語音網釣活動</a><br /> ●<a href="https://www.ithome.com.tw/news/139545">MITRE公布近兩年全球最危險的25種軟體安全缺陷</a><br /> ●<a href="https://www.ithome.com.tw/news/139573">Windows 10預覽版將預設啟用TLS 1.3支援</a></h3> </div></div></div>
2020/8/26 17:56作者周峻佑https://www.ithome.com.tw/news/139618
華為在今年第二季超越三星成為全球最大手機製造商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球都陷於武漢肺炎（COVID-19）疫情的危機、全世界的手機出貨出現兩位數下滑之際，多家研究機構的調查卻顯示，華為在今年第二季已超越三星，成為全球最大的手機製造商，主要原因是有別於其它國家在第二季仍忙於應付疫情，但中國卻已開始復甦。</p> <p>各家研究機構對今年第二季手機出貨量的調查數字都不太一致，例如<a href="https://www.counterpointresearch.com/huawei-surpassed-samsung-become-number-one-global-smartphone-shipments-q2-2020/" target="_blank">Counterpoint</a>宣稱今年第二季比去年同期下滑24%，<a href="https://www.gartner.com/en/newsroom/press-releases/2020-08-25-gartner-says-global-smartphone-sales-declined-20--in-" target="_blank">Gartner</a>說下滑20.4%，<a href="https://www.idc.com/getdoc.jsp?containerId=prUS46750220" target="_blank">IDC</a>說下滑16%，<a href="https://www.canalys.com/newsroom/canalys-global-smartphone-market-declines-q2-2020" target="_blank">Canalys</a>則說僅下滑14%。</p> <p>不過，除了Gartner之外，Counterpoint、IDC與Canalys都說華為的手機出貨量已凌駕三星，站上世界龍頭，且該季的前五大手機製造商中，只有蘋果iPhone的出貨量呈現微幅成長。至於Gartner則說，三星與華為仍在伯仲之間，且Gartner的數據亦顯示，iPhone出貨量略遜於去年同期。</p> <p>根據各家調查機構的說法，儘管所有製造商的手機出貨量都是下滑的，但三星手機下滑的程度遠大於華為，才讓華為拔得頭籌，此外，就算華為受到美國制裁而多少波及其海外市場，但中國市場成功支撐了華為。</p> <p>IDC的數據顯示，今年第二季華為於全球取得了20%的市占率，高過三星的19.5%。其中，華為在中國市場的出貨量成長了10%，彌補了該公司於海外市場的損失。</p> <p>而Counterpoint與Gartner的數據則顯示，華為在中國市場握有逾40%的占有率，主要受惠於中國市場在第二季的復甦。Counterpoint副總監Tarun Pathak分析，光是中國市場就占了華為全球手機出貨量的71%，高於去年同期的62%，但其實華為該季在海外市場的手機出貨量下滑了29%，當全球都日益恢復正常之後，華為不見得能再維持其手機龍頭地位。</p> </div></div></div>
2020/8/26 17:05作者陳曉莉https://www.ithome.com.tw/news/139615
網頁版Word新增語音逐字稿功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2020/08/25/microsoft-365-transcription-voice-commands-word/" target="_blank">微軟於本周二（8/25）宣布</a>，已於網頁版Word新增語音逐字稿（Transcribe in Word）功能，使用者可於會議開始時按下錄製，或是上傳語音檔，Word即可將這些語音轉錄成文字，還會自動辨識不同的發言人，該功能目前僅支援英文版，供所有Microsoft 365用戶使用。</p> <p>這對許多人來說都是個非常有用的功能，舉凡是在開會、面試或討論，都只要在網頁版的Word上按下錄製，它就可以紀錄與會人員的談話，讓與會者可以專心討論，不必再作筆記，且在錄製完畢之後，語音檔還可直接轉錄成文字，並依照談話的對象與段落進行分段，使用者亦可再根據段落重聽，編輯轉錄錯誤的文字，等於是自動化的會議紀錄。</p> <p>除了在會議上所錄製的聲音之外，Transcribe in Word 亦允許使用者上傳既有的語音檔，它支援mp3、wav、m4a、mp4等檔案格式，主要的差別在於，直接使用網頁版Word錄製及轉錄時並無數量上的限制，但若是透過上傳語音檔，那麼目前微軟僅開放每個月上傳5小時的語音檔案，且每個檔案不得超過200MB。</p> <p>Transcribe in Word可供所有的Microsoft 365訂閱用戶使用，但它目前只支援英文，預計未來才會支援更多的語言版本，此外，除了網頁版Word之外，行動版Office也將在年底新增相關功能。</p> </div></div></div>
2020/8/26 17:35作者陳曉莉https://www.ithome.com.tw/news/139616
電子閱讀裝置Kindle遭指收集極大量使用者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎DuckDuckGo的隱私與安全工程師Charlie Belmer，在自己的<a href="https://nullsweep.com/kindle-collects-a-surprisingly-large-amount-of-data/">部落格</a>提到，他發現Amazon的電子閱讀裝置Kindle，雖然提供了許多方便的功能，但是還會收集許多額外的資訊，包括使用者的瀏覽習慣以及本地網路上的IP位置，因此他決定不再使用Kindle裝置。</p> <p>Charlie Belmer提到，Kindle的確提供了一些閱讀傳統書籍無法擁有的體驗，像是在裝置之間同步書籤與筆記，並在所有裝置上同步閱讀的頁面，還會顯示廣告，推薦讀者下一本可以閱讀的書籍。</p> <p>Charlie Belmer研究Kindle是否僅發送服務所需要的資料，又或是額外發送了其他使用者的資訊，經Charlie Belmer研究顯示，Kindle會追蹤使用者在閱讀時，所執行的每次點擊和互動，在讀取每個頁面時，都會發送開啟頁面的時間、頁面上第一個與最後一個字元，並記錄頁面是圖像還是文字。</p> <p>Kindle收集了大量的資料，還包含Kindle會發送裝置資訊、使用情況元資料以及用戶與裝置每個互動的詳細資訊，光是用戶打開應用程式、閱讀幾頁書籍，然後關閉書籍，Kindle就向伺服器送出100多個請求。</p> <p>在用戶開啟應用程式的時候，無論是在前臺還是後臺執行，裝置都會發送類似的資訊，而且當用戶在突出顯示或是點擊任何單字的時候，Kindle會將文字發送到Bing翻譯服務、維基百科以及Amazon，Charlie Belmer提到，這些請求都沒有用在用戶功能上。</p> <p>這些請求產生之後，裝置不會立即發送，不少是儲存在本地端，到達一定量的時候才會上傳，而且當讀者在閱讀處於離線狀態，Kindle也會等待裝置重新連上網路後，發送這些儲存的資料。</p> <p>不只如此，Kindle還會回傳一些裝置資訊，包括居住國家、本地網路的IP位置、裝置資訊與版本，以及裝置朝向是垂直還是水平等，Charlie Belmer表示，這些資訊有一些可能有助於Amazon改進應用程式，但是上傳本地IP是有問題的動作。</p> <p>過去Charlie Belmer是一個狂熱的讀者，擁有過幾代的Kindle裝置，但基於這個理由，Charlie Belmer決定不再使用Kindle閱讀電子書，他提到，他一直在關注Amazon電子書新格式遭到濫用的可能性，雖然用戶購買了電子書，但是從技術上來說，Amazon擁有用戶的內容，因此在必要的時候，Amazon能夠隨時移除用戶裝置上的內容，過去就曾有案例，Amazon從用戶的帳戶移除了特定書籍的案例，而且在部分情況下，Amazon還能夠停用使用者帳戶，並且禁止用戶存取已經購買的書籍。</p> </div></div></div>
2020/8/26 17:45作者李建興https://www.ithome.com.tw/news/139614
法院要求蘋果不能封鎖Epic Games的虛幻引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國加州地方法院法官Yvonne Gonzalez Rogers<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/21814075/cf2dcbbf_4f0b_4762_94fc_6b0f42ede3ff.pdf" target="_blank">在本周一（8/24）裁決</a>，Epic Games不應要求蘋果免費讓《要塞英雄》（Fortnite）登上App Store，但另一方面，Rogers也認為<a href="https://www.theverge.com/2020/8/25/21400240/epic-apple-ruling-unreal-engine-fortnite-temporary-restraining-order?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">蘋果不得封鎖Epic Games的虛幻引擎</a>（Unreal Engine）。</p> <p>Epic Games因在《要塞英雄》中植入了自家的Epic Direct Payment支付機制，企圖閃避蘋果所收取的30%佣金，釀成蘋果直接將《要塞英雄》踢出了App Store，繼之宣稱Epic Games違反多項蘋果開發者專案的授權協議，要求Epic Games在8月28日之前改善，否則便會終止Games所有的開發者帳號，移除Epic Games在App Store的所有程式，Epic Games也無法再存取蘋果的軟體、SDKs、APIs與開發者工具，同時將波及Epic Games所打造的虛幻引擎。由於包括微軟在內的多個遊戲開發者都利用虛幻引擎來建置遊戲，使得微軟也出面聲援Epic Games。</p> <p>在Epic Games向法院提出臨時禁制令，要求法院制止蘋果的作法之後，法官Rogers指出，Epic Games與蘋果之間的爭議顯然已蘊釀一段時間，並不清楚為何現在會變得如此緊急，Epic Games向法院請求要免費使用蘋果的平台，因為蘋果會從Epic Games的交易中抽成，就算法院預期專家會認為蘋果抽佣30%是違反市場競爭的，但並不認為專家會覺得蘋果不應抽取任何的佣金，如同Epic Games也不會免費釋出遊戲一樣。</p> <p>Rogers也覺得是Epic Games選擇違反與蘋果之間的協議而改變了現狀，目前法院並無任何可用來偏袒Epic Games的依據。</p> <p>另一方面，蘋果若封鎖Epic Games存取蘋果資源的能力，將造成許多採用虛幻引擎的第三方遊戲無法在iOS與macOS運作，Rogers則認為這將牽連許多無辜的第三方。</p> <p>於是Rogers駁回了Epic Games要蘋果重新上架《要塞英雄》的請求，但同意授予臨時限制令，要求蘋果不得封鎖虛幻引擎或其它受影響的開發者工具存取蘋果資源。</p> </div></div></div>
2020/8/26 17:55作者陳曉莉https://www.ithome.com.tw/news/139619
Fitbit推出具膚電感測器的智慧型手錶，挑戰Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google計畫收購的Fitbit昨（25）日宣布最新智慧型手錶<a href="https://investor.fitbit.com/press/press-releases/press-release-details/2020/Fitbit-Debuts-Sense-Its-Most-Advanced-Health-Smartwatch-Worlds-First-With-EDA-Sensor-for-Stress-Management-Plus-ECG-App-SpO2-and-Skin-Temperature-Sensors/default.aspx" target="_blank">FitBit Sense</a>，可提供壓力、體溫及心電圖量測。</p> <p>Fitbit表示，Sense是該公司第一隻具心電圖（ECG）量測、24x7心率追蹤功能的手錶，更整合膚電活動（electrodermal activity，EDA）感測器可提供壓力量測，並具備腕式體表溫度感測器。若搭配Fitbit Premium量測方案，Sense用戶將可把生理量測數據，整合到Health Metrics儀表板軟體，提供心率變異（HRV）、呼吸率及血氧飽和度（SpO2）管理。</p> <p>這款手錶是Fitbit挑戰Apple Watch最新嘗試。心電及心率量測使Apple Watch在健康管理功能上，領先眾家廠商。三星也在最新<a href="https://www.samsung.com/tw/wearables/galaxy-watch3-r840/SM-R840NZKABRI/" target="_blank">Galaxy Watch 3</a>加入ECG功能。兩款手錶的心電圖功能受各地法規限制，僅在美國及南韓等少數市場可用。</p> <p>目前同時兼具體溫量測和ECG的穿戴裝置不多，以Oura智慧型戒指最為知名。為了對抗武漢肺炎（COVID-19），不少醫療及研究機構都採用Oura作為患者的<a href="https://www.ithome.com.tw/news/136533" target="_blank">體溫監控</a>及<a href="https://www.ithome.com.tw/news/138047" target="_blank">AI預測模型</a>。</p> <p>Fitbit表示目前其ECG App正申請美國主管機關FDA及歐盟的審核，不過核准日期不明。</p> <p>Sense售價330美元，Fitbit 同時宣布<a href="https://www.fitbit.com/global/us/products/smartwatches/versa3" target="_blank">Versa 3</a>，兩款充飽都可配戴6天、具備GPS、OLED觸控螢幕及Google Assistant支援，但Versa 3少了ECG及EDA感測器，售價230元，預計冬天開賣。Fitbit另外也推出改版款Inspire 2智慧腕帶，加入活動區間分鐘數（Active Zone Minutes）的功能。</p> </div></div></div>
2020/8/26 15:20作者林妍溱https://www.ithome.com.tw/news/139612
Google普查網路資料集，數量大宗為社會科學，地球科學次之
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.googleblog.com/2020/08/an-analysis-of-online-datasets-using.html">Google普查網際網路上的資料集</a>，發現資料集大宗為社會科學26.2％，其次為地球科學19％，接下來則是生物學，約占了15％，Google提到，最近因為武漢肺炎爆發，生物學和醫學資料集的查詢需求上升。整體來說，資料集重用的方便性仍不足，因為只有11％的資料集擁有數位物件辨識碼（Digital Object Identifier，DOI）。</p> <p>資料集是機器學習技術發展很重要的一環，不少人工智慧應用，需要使用適當的資料集，訓練與測試模型才能完成，而Google在2018年開始了資料集搜尋引擎專案，將網路上數百萬個資料集，和數千個資料儲存庫集結在一起，提供單一入口以提升取用資料集的方便性，這些資料集內容包羅萬象，包括帝王企鵝的食性以及遠端工作者的居住地都有。</p> <p>這個資料集搜尋引擎在2020年1月的時候正式啟動，截至今日，資料集語料庫包含了來自4,600個以上網際網路網域，所提供超過3,100萬個資料集，其中一半都是來自.com網域，而.org和政府網域也占了很大的比例。</p> <p>過去兩年資料集的數量大幅成長，Google調查了資料集，並且發表資料集的概況，同時也提供未來發表科學資料集最佳實踐作法，Google公開了該研究的部分資料，供其他研究人員進行分析和建構工具。</p> <p>資料集主題的分布，其中有接近三分之一是社會科學，而地球科學占19％，接下來則是生物學、農業、醫學和機械工程等。Google提到，現在研究人員的共識是，透過發布詳細的相關資訊，以及在使用資料集的時候增加引用資訊，以增加資料集的可用性，目前許多機構以及學術出版商，都要求作品發布以及引用資料。</p> <p>即便有許多組織共同努力耕耘，非營利組織DataCite提供資料集DOI，還有諸如identifiers.org等解析服務，提供永久可引用的辨識碼，但是在當前Google資料集搜尋引擎中，只有11％約300萬個資料集擁有DOI，其中約有230萬個資料集，是來自datacite.org和figshare.com兩個網站。</p> <p>而資料集的授權，也是資料可重用的重要指標，資料集發布方可以利用schema.org元資料屬性，指定特殊的存取要求，但目前只有34％的資料集，有附加授權許可資訊，Google提到，資料集沒有授權許可，用戶就難以判斷資料集可否允許重用，因此在理想情況下，資料集添加開放授權，可大幅提升資料重用性。</p> <p>另外一個影響資料可重用性的關鍵要素，便是提供可下載資訊，但是當前只有44％資料集在元資料中註明下載資訊，而之所以這項資訊提供比例偏低的原因之一，是資料集託管平臺擔心從schema.org元資料暴露的下載連結，會使得搜尋引擎或是應用程式，提供用戶直接下載資料集，因而竊取了該平臺的流量，Google特別強調，他們在資料集搜尋引擎中，不會直接顯示下載連結，使用者仍須造訪發布者網站，才能下載完整資料集。</p> <p>Google提到，近期查詢資料集的情況，與搜尋引擎中擁有的資料集主題分布不同（下圖），地球科學資料集的查詢量偏低，而生物學和醫學的查詢量則大得多，可能跟武漢肺炎疫情爆發有關。隨著資料集的調查結果釋出，Google也將擁有DOI，和其他類型永久辨識碼的300萬個資料集元資料釋出，供其他研究人員執行深入分析或是使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/SearchResults.png" style="width: 580px;" /></p> </div></div></div>
2020/8/26 15:45作者李建興https://www.ithome.com.tw/news/139611
臉書把AR與VR團隊統整為Facebook Reality Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.fb.com/introducing-the-new-facebook-reality-labs-plus-save-the-date-for-facebook-connect-on-september-16/" target="_blank">臉書於本周二（8/25）宣布</a>，將把內部各個與虛擬實境（VR）及擴增實境（AR）有關的團隊全都納入Facebook Reality Labs，並將Oculus Connect年度會議更名為Facebook Connect。</p> <p>Facebook Reality Labs原本是Oculus研究部門<strong>O</strong>culus Research所使用的名稱，但臉書決定賦予它更廣泛的定義，成為臉書內部打造新一代運算平臺的實驗室，整合內部所有與VR及AR相關的研發，涵蓋Oculus的頭戴式VR裝置、Portal視訊通話裝置，以及Spark AR平臺。</p> <p>臉書表示，未來Facebook Reality Labs的任務將是打造各種工具，以協助人們不管在何時何地都能彼此聯繫，未來的AR與VR將會改變工作、互動、生活及玩樂的方式，但人們甚至還沒開始想像其使用情境，且實現AR眼鏡願景的技術亦尚未出爐，而Facebook Reality Labs將從原本的研究中心，擴大成為容納相關軟體及硬體研發的實驗室，探索一切的可能性。</p> <p>因此，原本名為Oculus Connect的年度會議，也將更名為Facebook Connect，以更符合臉書對AR/VR的野心及企圖，今年的Facebook Connect將於9月16日舉行，它將採虛擬形式並開放大眾參與，屆時臉書將會公布更多有關Facebook Reality Labs的願景與最新的創意。</p> </div></div></div>
2020/8/26 15:50作者陳曉莉https://www.ithome.com.tw/news/139613
【臺灣資安大會直擊】特定場域需資安供需雙方共同配合，案例呈現帶動產業資安投入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將資安視為國家戰略產業，是今年最重要的進展。而在今年<a href="https://www.ithome.com.tw/news/139329">首度舉行的「智慧臺灣安全展」</a>上，也正呼應這樣的趨勢，特別以實機呈現資安威脅與防護能量，讓與會者能近距離地接觸到產業領域的資安防護實例，另一個目的是希望鼓勵更多業者投入。</p> <p>對此，我們也詢問到身為這次計畫執行團隊之一的工研院資訊與通訊研究所資深管理師蔡淑瑜。她表示，這次資安展的展示方式，讓許多人驚豔，因為他們沒有想過原來資安可以這樣去呈現，從展後他們獲得的回饋中，就有不少這樣的意見。她認為，透過實機展示，讓參觀者知道資安是看得到、摸得到的，這點相當重要。畢竟，一般人要接觸這些領域的資安防護實機，並不容易。</p> <p>同時，這樣實際的場景，也能提升大家的參與度。蔡淑瑜表示，例如，現場由機械手臂製作的手機支架，供不應求，若要領取，要等上3小時大家都願意等，這也顯示參觀者很喜歡這次的展示設計。</p> <p>對於這次智慧臺灣安全展的成效與目標，蔡淑瑜認為，臺灣資安產業可以說十年磨成一劍，在既有優勢產業如製造、醫療的基礎下，國內廠商逐漸發展出具有領域特色的解決方案。</p> <p>更關鍵的是，這需要該領域的需求方提供產業知識，以及實際會面臨的安全問題，並與資安供給方共同來討論、實測與驗證。然而，這並非一蹴可及，需要長時間的磨練、建立信任才能達成。這也是為什麼在智慧臺灣安全展會特別用實機展示的方式，把迷你產線、智慧醫院場景、化工串級DCS模擬系統直接設在會場，目的就是想呈現出，資安是需要企業聯防、跨域整合的理念，同時透過案例的呈現，喚起更多人投入，讓如何做好資安是值得分享的事。</p> <p>不過，她也提到，可惜因為疫情的關係，許多國際人士無法來臺。畢竟能將實機展示搬至現場，這樣的資安展覽不多見，這次其實也有不少人的意見，認為活動具備國際級大展的水準。因此，他們希望明年若能在國際能見度與媒合活動有更多著墨，將對廠商們帶來更大的幫助。</p> <h2><span style="color:#0099ff;"><strong>將模擬場域搬到會場展示的挑戰</strong></span></h2> <p>要將這些實機從場域內轉移到展場，當中的工程並不簡單，我們現場也聽聞像是將化工水位串級控制實驗場域Test bed，移動到現場展示，因為搬動後需要大量的調校，原本希望能提前一周時間進場，但因為場地只給予兩天時間，因此帶來很大的挑戰。蔡淑瑜表示，這對他們計畫執行團隊與協力廠商來說，真的不容易，無論是設備測試、整合資安解決方案、撰寫資安模擬攻擊與防禦措施程式，以及機臺的搬運設置等，還要做到多方協調。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）智慧臺灣安全展IMG_5522s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5522s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 600px; height: 400px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）智慧臺灣安全展IMG_5543s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5543s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖3）智慧臺灣安全展IMG_5549s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5549s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）智慧臺灣安全展IMG_5580s_攝影iThome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95IMG_5580s_%E6%94%9D%E5%BD%B1iThome.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖7A）智慧臺灣安全展R0243257s_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967A%EF%BC%89%E6%99%BA%E6%85%A7%E8%87%BA%E7%81%A3%E5%AE%89%E5%85%A8%E5%B1%95R0243257s_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a></p> <h3><span style="color:#FF8C00;">相關報導請見</span>：<a href="https://www.ithome.com.tw/news/139329"><span style="color:#0000FF;">【臺灣資安大會直擊】首屆智慧臺灣安全展亮相，從智慧製造、工控到物聯網，實機展示資安防護應用</span></a><br /> </h3> </div></div></div>
2020/8/26 14:35作者羅正漢https://www.ithome.com.tw/news/139609
Chrome 85出爐，網頁載入速度快10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周二（8/25）釋出了Chrome 85，這是一個重大的版本，除了網頁載入速度提升10%，還具備分頁群組功能，於桌面版新增QR code分享功能，改善處理PDF文件的能力，支援AVIF圖片格式，另也修補了20個安全漏洞。不過，Cisco Talos日前公布了一個藏匿在Chrome中的CVE-2020-6492高風險漏洞，並宣稱Google會在Chrome 85中修補，然而，剛出爐的Chrome 85漏洞修補列表中，並未包含CVE-2020-6492。</p> <p>Chrome 85最受矚目的變更是效能變快了，它強化了特性指引最佳化（Profile-guided Optimizations，PGO），這是一個編譯器優化技術，以讓最關鍵的程式碼能夠更快執行。其實Google在Chrome 53就開始部署PGO，但當時採用的是Microsoft Visual C++（MSVC），Chrome 85則改用了Clang。</p> <p><a href="https://blog.chromium.org/2020/08/chrome-just-got-faster-with-profile.html" target="_blank">根據Chrome團隊的測試</a>，基於Clang的PGO讓Chrome 85的瀏覽器回應速度（回應使用者輸入），於macOS平臺上快了3.9%，在Windows平臺上快了7.3%；首次內容繪製（First Contentful Paint，FCP）的速度，在macOS平臺上快了2.3%，於Windows上快了3.5%，FCP指的是瀏覽器將使用者看得見的內容，渲染到螢幕上的開始時間；而在模擬使用者互動之網頁應用回應速度的Speedometer 2.0評測上，Chrome 85在macOS平臺上的速度快了7.7%，於Windows上則快了11.4%。</p> <p>Chrome團隊指出，當裝置的CPU執行更多的程式或處理更多的分頁時，Chrome 85對效能的改善則更為明顯。</p> <p>至於分頁群組（Tab groups）功能則是可替分頁設定主題與顏色，以整理雜亂的分頁，使用者可將同一主題的分頁收起或展開。</p> <p>Chrome 85桌面版還支援QR code分享功能，允許使用者在造訪特定網頁時，產生QR code，透過QR code進行分享，該功能先前即已現身於Android版Chrome。對PDF的改善在於允許使用者直接於Chrome中，填寫PDF格式的表單，並直接儲存。</p> <p>Chrome 85內建了對<a href="https://chromestatus.com/feature/4905307790639104" target="_blank">AVIF圖像格式</a>的支援。根據Google的說法，與JPEG或WebP檔案格式相較，AVIF的檔案小很多，但對圖像品質並未造成太大的影響，根據Netflix的測試，AVIF的檔案大小最多比JPEG少了50%。被視為新一代圖像格式的AVIF亦支援高動態範圍（High Dynamic Range，HDR），同時不管是臉書、Netflix或YouTube也都打算要出版AVIF格式的圖像，而微軟或蘋果則參與了AVIF底層的MIAF規格制定，可望造就一個完整的生態體系。</p> <p>此外，Chrome團隊也在本周分享了兩個已進入<a href="https://blog.google/products/chrome/organize-your-tabs-and-stay-productive-chrome" target="_blank">Beta版的新功能</a>，一為分頁節流功能，Chrome會根據分頁的使用狀況，將背景分頁所使用的資源轉移到正在使用的分頁上，直接的效益是讓正在使用的分頁會有更快的載入速度，另也能夠節省裝置的電力與記憶體的使用。</p> <p>另一個Beta功能則是分頁預覽功能，只要將滑鼠移到分頁上，就能看到該分頁的預覽畫面，以方便使用者更快找到所需的分頁。</p> <p>除了功能上的變更之外，Chrome 85還<a href="https://chromereleases.googleblog.com/2020/08/stable-channel-update-for-desktop_25.html" target="_blank">修補了20個安全漏洞</a>，其中有兩個被列為高度（High）風險等級，分別是CVE-2020-6558與CVE-2020-6559。</p> <p>為了讓使用者先行修補，Chrome團隊並未在此時公布漏洞細節，然而，<a href="https://talosintelligence.com/vulnerability_reports/TALOS-2020-1085" target="_blank">Cisco Talos日前公布</a>了一個存在於Chrome的高度風險漏洞CVE-2020-6492，並宣稱Google會在Chrome 85中修補，但該漏洞並未出現在Chrome 85的修補列表中。</p> <p>根據Cisco Talos的描述，CVE-2020-6492為一記憶體釋放後使用（Use-after-free）漏洞，肇因於WebGL元件無法妥善處理記憶體中的物件，成功的開採將允許駭客執行任意程式，且同時波及Chrome 81與Chrome 84。</p> <p>由於Cisco Talos已揭露CVE-2020-6492的漏洞細節，使得該漏洞更容易成為駭客的焦點，但不管是Google或Cisco Talos，截至稿件發出前（8/26），都沒有對未修補該漏洞一事作出說明。</p> </div></div></div>
2020/8/26 14:45作者陳曉莉https://www.ithome.com.tw/news/139608
白宮對中國禁令導致美國中小學校大缺筆電，缺口可能達百萬臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國當地學校陸續開學，但受到美國對中國封鎖令及疫情影響，<a href="https://apnews.com/01e9302796d749b6aadc35ddc8f4c946" target="_blank">美聯社報導</a>，多家品牌電腦都出現筆電缺貨，無法及時供給中小學校，得要等上好幾個月。</p> <p>報導訪問了美國15州學區及近30所學校和主要品牌電腦商。受到武漢肺炎影響，新學年將以遠距教學方式提供授課，而一些經濟弱勢的學生，將在政策補助下由校區免費提供電腦。但包括聯想、HP及Dell的電腦廠商表示，中小學校今年下訂的電腦來不及在開學前交給客戶。</p> <p>報導引述加州一個學區的處境。該學區7月向聯想訂購5000臺Chromebook，不過聯想告知它接不了單，因為美國政府禁止所有中國元件。他轉向HP採購，HP原本說可在8月底交貨，後來又將交貨期延到9月，之後又延到10月。該學區現有電腦不足以供給需要的學童使用。</p> <p>北達科塔區另一個學區向聯想訂購2000臺Chromebook，交期從7月延到8月，現在聯想說「希望」年底前可以交貨。而丹佛市學區4月下訂的Chromebook，現在也還沒到齊。</p> <p>聯想曾有高層告知加州教育局，有300萬多臺Chromebook未清關。丹佛等學區客戶，在7月接到聯想北美高層以郵件通知，受到聯想Chromebook的供應商之一合肥寶龍達（Hefei Bitland），在7月被美商務部列入實體名單，將導致另一波交期延遲，影響了學校及企業機型。</p> <p>另一個學區被HP延遲交付筆電，HP告知學區主任，目前短缺170萬臺，因為中國工廠現在處理器、觸控螢幕、主機板都缺料，可能要等上3個月才交得了貨。</p> <p>現在多州學校沒有足夠電腦可用，擔心經濟能力不好的家庭首先受害。光是加州，就欠缺至少30萬臺學童用電腦</p> <p><a href="https://www.ithome.com.tw/news/138941" target="_blank">美國商務部7月再公布</a>了11家被列入實體名單（Entity List）的中國企業，原因是這些企業協助中國進行鎮壓並侵犯人權。這些廠商將被禁止出貨到美國或在美國港口轉送貨物。商務部表示，美國學童都不應使用以奴工生產的中國電腦。</p> <p>HP、Dell和聯想都否認其產品被扣押在美國海關。三家公司的發言人也不願說明缺貨明確數量，只說他們將動用全球供應鏈資源滿足客戶需求。</p> </div></div></div>
2020/8/26 14:50作者林妍溱https://www.ithome.com.tw/news/139610
由臉書共同創辦人Dustin Moskovitz所建立的軟體公司Asana也申請IPO了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2008年創立、專門提供專案及任務管理工具的Asana，本周向美國證券交易委員會（SEC）遞出了首次公開發行<a href="https://www.sec.gov/Archives/edgar/data/1477720/000119312520228462/d855753ds1.htm" target="_blank">（IPO）申請書</a>。Asana是由臉書共同創辦人Dustin Moskovitz所建立，且可望成為繼Spotify與Slack之後，第三家採用直接上市（Direct Listing）模式的美國企業。</p> <p>Moskovitz是臉書執行長Mark Zuckerberg在哈佛大學時的室友，為臉書的五名共同創辦人之一，他在2018年離開臉書，並創辦了Asana，專門開發專案管理、任務管理及團隊協作等應用，迄今已於190個國家展開業務，供應320萬個免費帳號與120萬個付費帳號。</p> <p>根據Asana的IPO申請文件，該公司在2019財年的營收為7,680萬美元，虧損5,090萬美元，2020財年的營收為1.43億美元，虧損1.19億美元。</p> <p>Asana的宗旨是協助團隊能夠更不費力地合作，提高生產力，認為市場上雖有大量的通訊工具，但超載的通訊其實會傷害競爭力，諸如Skype、WeChat及WhatsApp等程式即便可改善溝通，卻不是用來追蹤及協調任務的。</p> <p>Asana打算採用直接上市模式登上紐約股市，目前交易代號未定。直接上市模式代表Asana不必委託承銷商，且股東沒有閉鎖期，上市當天就能交易股票，而股價則由市場決定。Asana最近一次的市值估價為2018年12月，當時身價為15億美元。</p> </div></div></div>
2020/8/26 13:10作者陳曉莉https://www.ithome.com.tw/news/139605
微軟公測以容器開啟可疑Office文件的安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止用戶開啟惡意Office檔案，<a href="https://techcommunity.microsoft.com/t5/office-365-blog/application-guard-for-m365-apps-public-preview/ba-p/1608640" target="_blank">微軟昨（25）日釋出</a>Application Guard for Office公眾預覽版，可讓企業用戶在隔離環境下開啟可能有害的Office文件。</p> <p>Application Guard來自微軟為Edge瀏覽器和Windows 10開發的安全功能Windows/Microsoft Defender Application Guard。它是一種硬體隔離機制，當用戶透過Edge或IE造訪不被信任的網站時，Edge會在隔離的Hyper-V容器中開啟網站。這項功能也在去年<a href="https://www.ithome.com.tw/news/129403" target="_blank">開放給Chrome和Firefox用戶</a>。</p> <p>現在微軟將這項功能擴大到Office文件，並改名為Microsoft Defender Application Guard for Office，將提供給Microsoft 365以及Windows 10 Enterprise用戶。微軟指出，來自網路或其他不安全地點的檔案，可能包含病毒、蠕蟲等惡意程式，進而傷害電腦或資料，新功能可在用戶開啟未受信任的地方傳來的Word、Excel及PowerPoint檔案時，在Application Guard容器中開啟這些檔案，也可以編輯、列印及儲存文件，確保企業用戶不受惡意程式之害。</p> <p>這項功能預設關閉。<a href="https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/install-app-guard?view=o365-worldwide" target="_blank">根據微軟說明</a>，要部署這項功能，用戶除了須具備KB4566782版本Windows 10更新外，還需<a href="https://download.microsoft.com/download/e/4/c/e4c1180a-fcff-462a-8324-4151c44973a8/Windows%20Preview%20-%20WDAG%20Office%20070920%2001.msi" target="_blank">下載相關檔案</a>來實作並啟動群組政策。</p> </div></div></div>
2020/8/26 13:40作者林妍溱https://www.ithome.com.tw/news/139607
Safari藏漏洞使iPhone及Mac用戶陷點擊詐騙風險，但蘋果計畫2021年初才要補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.redteam.pl/2020/08/stealing-local-files-using-safari-web.html" target="_blank">研究人員發現</a>Safari有資料外洩漏洞可能導致駭客竊取iOS及Mac裝置檔案，不過4月通報後，蘋果卻計畫2021年春天才會修補。</p> <p>這項漏洞是由波蘭安全公司REDTEAM創辦人Pawel Wylecial發現，存在Safari的Web Share API中。Safari Web Share API允許使用者經由第三方App（包括蘋果自己或第三方郵件和通訊App）分享連結、檔案、文字或其他內容。利用file:語法即可將用戶裝置上的檔案分享出去。</p> <p>但當某個外部網站指向這個file:連結，就會出問題。Wylecial解釋，此時連結會被傳送到Safari的navigator.share函式，就會把使用者裝置上檔案系統的某個檔案加入到郵件或對話訊息中而傳送出去，導致本機檔案外洩。</p> <p>原本問題並不大，因為這需要使用者有傳送連結的動作，但是在某些情況下，使用者會看不到被分享的檔案，例如使用macOS及iOS版Mail App時。研究人員舉例，當駭客發動點擊詐騙，在惡意網站上以可愛的動物圖片或文章，邀請使用者分享給他人，並加入以郵件或訊息App分享的選項。使用者以為他分享的是動物相片，但其實駭客要使用者分享的是/etc/passwd的本機檔案。</p> <p>使用時macOS及iOS版Mail App會發生用戶看不到分享出去的檔案。在macOS版本中，用戶若不將滑鼠拉到最下方，看不到包含密碼的附檔。在iOS版本中，使用者更只會看到沒有檔名的附檔。iOS版的Gmail App則會顯示被混淆（obfsucated）檔名的檔案。</p> <p>唯一例外是iOS版Message App，細心一點的用戶會看到密碼檔案被附加上在訊息中。</p> <p>研究人員僅列出他測試過的問題版本，包括iOS (13.4.1, 13.6)和macOS Mojave 10.14.16 的Safari 13.1 (14609.1.20.111.8) ，以及macOS Catalina 10.15.5上的Safari 13.1.1 (15609.2.9.1.2)。</p> <p>Wylecial於今年4月中通報蘋果這項漏洞，蘋果也說會調查。不過之後就沒有下文，直到7月研究人員揚言要公布漏洞，蘋果才有所回應。蘋果8月中要求他延遲公布，表示會在2021年春天修補。由於研究人員認為蘋果態度輕忽，且一個漏洞要等快1年才修補過於離譜，於是拒絕這個要求，並於本周公布漏洞細節。</p> </div></div></div>
2020/8/26 13:50作者林妍溱https://www.ithome.com.tw/news/139606
研究：App Store上有超過1,200個程式採用惡意廣告SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於軟體開發安全性的<a href="https://snyk.io/blog/sourmint-malicious-code-ad-fraud-and-data-leak-in-ios/" target="_blank">Snyk在本周揭露一個惡意的廣告SDK</a>，該SDK來自中國的行動廣告平臺Mintegral，會挾持其它廣告網路的流量，且已被部署在蘋果App Store上的逾1,200個程式中，而這些程式每月的下載數量總計超過3億次。</p> <p>行動廣告網路主要負責展示廣告主所提供的廣告內容，一旦使用者點選該廣告或安裝程式，廣告網路就能取得廣告費用，而於程式中植入該廣告網路的開發者也能獲得佣金。一般而言，開發者通常會利用廣告協調機制，於程式中嵌入多個廣告網路的SDK，該機制也負責策畫程式中所出現的廣告。</p> <p>而Mintegral則允許開發者直接自該站下載SDK，並將它嵌入程式中。然而，當應用程式開啟連結時，Mintegral SDK就會注入程式碼，以檢查這些連結是否源自於競爭對手的廣告網路。倘若屬於廣告連結或下載，Mintegral SDK即利用所獲得的資訊，偽造點選通知，假裝程式是透過Mintegral廣告網路點選的，獲取不法的廣告營收。</p> <p>Mintegral SDK一來可攔截競爭廣告網路的收入，二來負責協調廣告網路的SDK，也會誤判Mintegral廣告網路的效能，而予以更優惠的待遇。此外，研究人員亦警告，Mintegral SDK所取得的資訊超過了偽造廣告歸因所需的資訊，它蒐集了作業系統版本、IP位址、充電狀態、網路型態、手機型號、程式請求的網址、請求的標題、請求的來源，以及裝置的廣告識別標記等，並將它們傳送到遠端伺服器上。</p> <p>其實這類惡意的廣告SDK在Android平臺上很常見，而Mintegral SDK之所以能夠繞過相對嚴格的App Store審核機制，是因為它具備了「反除錯」（anti-debug）保護機制，一旦偵測到程式正在被掃描，它就會變更其行為模式，遮掩其惡意行為。</p> <p><a href="https://www.forbes.com/sites/johnkoetsier/2020/08/24/malicious-chinese-sdk-in-1200-ios-apps-with-billions-of-installs-causing-major-privacy-concerns-to-hundreds-of-millions-of-consumers/#7d6b969f1aa0" target="_blank">根據Forbes的報導</a>，蘋果已在上周收到Snyk的通知並展開調查，同時蘋果也建議開發者於程式中嵌入SDK時應謹慎以對。</p> </div></div></div>
2020/8/26 11:50作者陳曉莉https://www.ithome.com.tw/news/139604
Google資料分析服務Dataflow現可在同一工作管線支援多個程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在資料分析服務Dataflow加入全新基礎架構<a href="https://cloud.google.com/blog/products/data-analytics/multi-language-sdks-for-building-cloud-pipelines">Runner v2</a>，現在全面提供多語言支援，讓開發團隊能夠共用以各自喜好語言開發的元件，並且組織成為一高效能分散式處理工作管線。Google正透過多語言工作管線框架，使得更多的Java轉換可以用在Beam Python上。</p> <p>過去Dataflow執行程式在運作Apache Beam工作管線時，僅使用特定語言的工作程序，Google提到，在資料工作管線開發時，當開發團隊成員使用不同語言SDK進行開發工作，或是主要使用的開發語言，沒有某種特別的功能時，團隊總會面臨抉擇，不知道應該要選擇創建解決方案來橋接各種語言，或是重新開發需要的功能，而無論是哪一種方法，都相當耗費資源。</p> <p>最新的Dataflow中，Google提供了解決這個問題更好的辦法，將Dataflow執行程式逐漸轉變成為以服務為基礎的架構，提高整體的可縮放性、通用性和效率。現在Dataflow加入了多語言工作管線Runner v2，是一個以C++開發的高效能可移植框架，基於資料處理工作管線開發模型Apache Beam開發而成，與用來進行批次作業的Dataflow Shuffle，以及用來處理串流任務的Streaming Engine打包在一起。</p> <p>現在Dataflow Runner v2已經能夠用於Python串流工作管線中，Google建議，使用者可以先在現有的工作負載測試，之後再於新的工作管線預設啟用Runner v2。Runner v2加入了許多前一版本沒有支援的功能，除了多語言工作管線之外，Runner v2還原生支援Apache Beam資料來源框架Splittable DoFn，並且可以在Dataflow中使用自定義的容器，另外，Dataflow Runner v2也啟用Python串流工作管線的新功能，包括計時器、狀態、視窗以及觸發擴展支援。</p> <p>Google提到，因為Apache Beam的多語言功能，因此用戶可以使用單一語言開發特定功能，並且藉由Runner v2，簡單地在多個Beam SDK提供相同的新功能，像是Google在Apache Beam 2.23時，就已經讓Apache Beam Java SDK中的Apache Kafka連接器以及SQL轉換功能，可以用於Python工作管線中。</p> <p>要在新支援的Dataflow Runner v2使用Python轉換工作管線，只要電腦已安裝Apache Beam提供的最新Java開發套件（JDK），便能夠在Dataflow Python工作管線中使用Python轉換。</p> <p>在後臺，Google為了使Java轉換可以用於Dataflow Python工作管線中，Apache Beam Python SDK在用戶的電腦上，啟動了本地端Java服務，在Python工作管線中，創建Java工作管線片段，接著SDK會下載需要的Java相依項目來執行這些轉換。在執行時，Dataflow Workers平行執行Python和Java程式碼，以運作用戶的工作管線。</p> </div></div></div>
2020/8/26 13:00作者李建興https://www.ithome.com.tw/news/139599
Kali Linux 2020.3釋出，官方預告準備更換預設殼層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位鑑識以及滲透測試專用的Kali Linux發行版，釋出了<a href="https://www.kali.org/news/kali-2020-3-release/">最新的2020.3版本</a>，這是繼去年2019.4版之後，較大的更新。官方宣布從這個版本開始，預設殼層即將從bash換成ZSH，而且由於微軟發布了WSL2，因此官方也做出相對應的更新，新的Win-KeX功能可在Windows上，藉由WSL2開啟持久對話GUI。</p> <p>目前Kali Linux預設使用的殼層為bash，但是官方現在宣布，從下一個版本2020.4開始，預設殼層將會正式轉換使用ZSH，但是如果用戶是安裝全新的Kali Linux 2020.3，系統便會幫用戶預先安裝ZSH，用戶可以在這個版本嘗試使用新殼層，而從較舊版本升級到2020.3的用戶，系統會缺少預設ZSH配置，因此用戶需要手動新增。</p> <p>之所以官方要更換殼層，是因為ZSH比bash的功能更加豐富，但官方提到，殼層更換是一個非常大的變化，他們現在也仍在收集用戶的意見回饋，希望在設計和功能之間取得適當的平衡。接下來官方還會進行更廣泛的測試，所以先推延預設配置，並保留未來更改的可能性。官方還提到，他們不打算預設使用任何的ZSH框架，包括Oh-My-ZSH或Prezto，原因是這些框架對於低功率裝置來說太耗能，但是用戶可以自行斟酌安裝。</p> <p>由於WSL2改善了整體功能以及用戶使用體驗，官方現在提供Win-KeX（Windows + Kali Desktop EXperience）功能，可以進一步提升用戶的使用體驗，只要在安裝之後，無論是使用殼層或是圖形介面，用戶都能簡單地在Windows上，開啟Kali Linux持久對話GUI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/release-2020_3-win-kex.png" style="width: 580px;" /></p> <p>另外，由於HiDPI（High Dots Per Inch）越來越普遍，但是Linux的開箱即用支援並不好，因此Kali Linux加入自動調整功能。官方提到，當使用者執行全新安裝之後，還需要進行一些調整，才能讓畫面變得舒適正常，否則有一些文字或是內容會小到難以閱讀。因此Kali Linux 2020.3加入了自動化HiDPI功能來解決這個問題，官方提供了kali-hidpi-mode，無論是用輸入指令或是從選單選擇，系統都能自動切換HiDPI模式。</p> <p>而官方也發布可支援Nokia 3.1和Nokia 6.1手機的Kali NetHunter，Kali NetHunter是以Kali Linux為基礎的開源Android行動裝置滲透測試平臺，可用於非Root裝置，目前Kali NetHunter支援不少型號的Android手機，包含NEXUS、OnePlus、Galaxy Tab S4以及Sony XPeria Z1等。</p> </div></div></div>
2020/8/26 13:05作者李建興https://www.ithome.com.tw/news/139601
【臺灣資安大會直擊】導入熱門開源資料庫PostgreSQL的第一步，安全管理政策得先強化防呆才能杜絕自己人不當操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">開源資料庫PostgreSQL可說是近兩年來最熱門的資料庫軟體之一，根據資料庫流行度排行榜DB-Engines的統計，PostgreSQL流行度從2017年初超越MongoDB後，就蟬聯第4至今，名列Oracle、MySQL、Microsoft SQL Server之後，若以開源資料庫來看，排名更僅次於MySQL，因成本低、開源、社群活躍的特性，受到許多開發者青睞。不過，隨者PostgreSQL用戶越來越多，伴隨而來的安全管理問題也需更加重視，PostgreSQL臺灣使用者社群召集人古永忠就在今年的臺灣資安大會上，分享企業使用PostgreSQL時，應採取的安全管理策略。</p> <p dir="ltr">「在發展初期，駭客攻擊機率沒那麼高，比較容易出問題的反而是自己人。」古永忠表示，談到安全性，許多人都先聯想到外部的惡意入侵，但現實上，多數時候造成資料庫無法運作的原因，是內部工程師操作失誤使然，因此，企業使用資料庫需要遵循一套安全策略，來協助開發者自然防呆。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線前：需避免不慎連入資料庫的風險</span></h3> <p dir="ltr">古永忠將這套安全策略分為資料庫連線前、連線中、連線後三個階段來討論。</p> <p dir="ltr">首先，在連線前，最主要的任務，就是要避免工程師在多應用程式的開發環境下，不小心連入、連錯資料庫。古永忠解釋，由於工程師在開發多個資料庫時，都會有命名及結構設定的慣性，導致有時連錯資料庫而不自知，一旦改錯資料，就會造成資料損壞的風險。</p> <p dir="ltr">要防止用戶連錯資料庫，古永忠提出3項作法。第一，在網路限制方面，建議將資料庫主機兜在同一個子網路，訂定較嚴格的管理規則，比如將防火牆需設定為正面表列，預設為拒絕。此外，PostgreSQL也具有資料庫連線管理的機制pgBouncer，也就是連線池（Connection Pool）的功能，能用來保護資料庫不受異常連線影響、維持正常作業。</p> <p dir="ltr">第二，在連線主機的操作環境上，古永忠表示，資料庫操作這類重要的任務，應離開原先熟悉的辦公環境，在虛擬桌面（VDI）或特定實體主機來執行，以免喝個咖啡、聊個天就忘了正在進行的作業流程或任務。</p> <p dir="ltr">第三，由於PostgreSQL預設可供所有使用者登入，應重新授權，<wbr></wbr>設定每個資料庫可登入的使用者白名單。同時，古永忠也建議，若要完全避免攻擊者或非白名單者透過遠端連線登入的風險，可以限制資料庫系統管理者（postgres）的登入途徑，不要設定密碼，而是讓管理者只能透過作業系統的一般使用者登入，再授權管理者以sudo（Superuser Do）的功能切換登入權限，來提高系統安全性。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線中：需避免用戶越權更新資料的風險</span></h3> <p dir="ltr">而在資料庫連線中容易碰到的安全問題，則是要避免使用者不小心越權更新資料，以免對資料庫帶來巨大損害。</p> <p dir="ltr">首先，在權限方面，古永忠建議將大部分的權限最小化。由於PostgreSQL預設任何使用者都能建立資料庫物件，為了提高安全性，應盡量縮小權限，調整為僅資料庫擁有者能建立資料庫物件，再依使用者需求額外授權操作資料庫物件。且資料庫結構（schema）維護者，與資料存取者也應分開授權，限制存取者無法隨意調整資料庫結構。</p> <p dir="ltr">第二，應使用statement_timeout指令，限制查詢的最長回應時間，因為過長時間的查詢，可能代表查詢程式邏輯與資料分布不一致，限制查詢時間，才能在資源互相排擠之前提早回報錯誤。</p> <p dir="ltr">第三，則是可以安裝側錄軟體，來紀錄使用者操作行為，包含操作畫面、SSH傳輸內容等。古永忠表示，有些操作不容易透過log看出來，運用側錄軟體，不僅能在事件發生後追蹤用戶行為，有些軟體也具備即時告警的功能，比如在用戶下特殊指令時先行通報。</p> <p dir="ltr">第四，是部分行業可能會碰到資料遮蔽的問題。古永忠指出，真實的資料與遮蔽後的資料，最好獨立放置在不同的資料庫中，或者依權限顯示真假資料，且在應用時，只有在必須存取個資時才接觸個資，應用程式設計也不應與特定個資有關聯。若需要進行系統測試，用戶可以自定遮蔽函數，使用遮蔽過的資料來測試，保持正式系統使用正式資料、測試系統使用測試資料的習慣，來減少正式資料被竄改或外洩的意外發生。</p> <h3 dir="ltr"><span style="color:#FF8C00;">連線後：透過備份、版本還原將可能的損害降到最低</span></h3> <p dir="ltr">不過，縱使已經建立了完整一套安全管理機制，還是不可能達到全然的安全，需要考量到意外發生後的彌補措施，盡量將傷害降到最低。</p> <p dir="ltr">首先，永遠必須要備份，即使有增量備份的功能可以使用，還是必須時常重新完整備份，因為增量備份只要發生一次失敗，部分備份資料就可能損壞、無法還原。古永忠也提醒，備份資料也可能成為竊取目標，因此，備份主機的安全等級甚至要比資料庫本身來的更高，來保障資料安全。</p> <p dir="ltr">第二，要盡量將資料庫更新到最新版本，在安全性與效能才更有優勢。第三，由於pgdata磁碟空間不足時，可能會連刪除資料都無法運作，因此，需要在儲存空間8成滿就限制使用，或擴充磁碟空間，否則若磁碟用盡，會造成資料不一致、影響資料安全。最後，則是要將config檔案納入版本管理，若不慎因設定出錯而影響資料庫運作時，才能快速回復可用的設定。</p> <p dir="ltr">古永忠認為，資料庫安全的三個要素分別是保密（Confidentiality）、完整（Integrity）及可用性（Availability），任何一項被破壞，都可能代表資料庫安全性已經不足。而企業的安全策略，也隱含了重視客戶資料的程度，他也建議，企業制訂的策略不應打高空，應循序漸進、制定能實際能執行的內容，一步步讓使用者養成具有安全意識的操作習慣。</p> </div></div></div>
2020/8/26 11:22作者翁芊儒https://www.ithome.com.tw/news/139594
【臺灣資安大會直擊】金融犯罪持續演進，應對行為風險成臺灣銀行業者的當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】光是今年上半年，就有三起銀行理專盜用客戶資金的案件，每一位理專盜用客戶資金多將近億元，金管會對於發生相關事件的銀行也重金裁罰；去年也有發生八起理專盜領客戶資金的案件。</p> <p>臺灣舞弊防治與鑑識協會理事曾韵表示，其實，從2015年～2020年上半年，光是金融理專挪用資安案件就有21起，對金融單位裁罰的罰金超過一億元，每年都有類似案件，除了銀行理專之外，其他像是保險業務員向客戶推銷投資型保單，宣稱一定會賺錢，但最後並無法達到預期獲利目標等，也是有類似的風險狀況。</p> <p>這種理專盜用客戶資金的案件就是一種金融犯罪，在有利可圖的前提下，金融犯罪已經是全球趨勢；同樣的，對企業而言，只要是可以預防金融犯罪和網路安全的項目，都是好的投資標的。</p> <p>傳統的金融犯罪包括：洗錢（Money Laundering ）、制裁（Sanction ）、資恐（Terrorist Financing ）、貪腐（Bribery and Corruption）等；後來，慢慢擴增金融犯罪的定義，逐步加入了針對市場濫用（Market Abuse）、不當行為及內線交易（Misconduct and Insider Dealing）的舞弊偵查。</p> <p>隨著科技應用越來越成熟，後來也在擴增傳統金融犯罪的範圍，再將身分盜用（Identify Theft ）、電子犯罪（Electronic Crime ）、資訊安全（Information Security ）和資料安全（Data Security）等，納入廣義的金融犯罪定義中。</p> <p>曾韵表示，這種因為個人或團體行為，對客戶帶不公平的結果，破壞市場誠信並損害公司聲譽和競爭地位的風險，一般稱之為行為風險（Conduct Risk ）；像是英國金融行為監管局（FCA）的工作便是以行為風險的概念為基礎，並將行為風險定義為公司行為可能帶給消費者不良後果的風險，所以企業必須遵守FCA規定的行為風險遵循，就是要做到「公平對待客戶（TCF）的原則和預期結果」。</p> <p>行為風險其實就是金融犯罪的一種，曾韵表示，關於行為風險的偵測和預防，則是近年來，臺灣金融業在風險應對的當務之急。</p> <p><strong><span style="color:#0000FF;">過去十年，銀行風險從財務面轉向非財務面</span></strong></p> <p>從金融海嘯過後，銀行的風險管理持續轉型中，正如EY（安永顧問公司）和IIF（國際金融協會）進行的10年全球銀行風險管理調查所顯示的，自上次金融危機以來，全球銀行風險管理持續轉型中。</p> <p>從這幾年銀行風險管理的變化來看，前面幾年專注財務風險，曾韵指出，2008年金融海嘯剛過，2010年開始談新的風險管理架構，這時候偏重市場風險、流動性風險，強調要有壓力測試，要確定金融單位撐的起考驗。</p> <p>但到了2012年則開始談風險胃納，開始評估風險可以接受的程度，畢竟，之前銀行業的習慣是，只要有風險就要有對應策略，這時候對風險的觀念開始改變，銀行應該要針對重大的、必要的風險去處理，而不是大大小小的風險都要處理，這是一個很大的風險觀念轉變的關鍵時刻。</p> <p>到了2014年，銀行風險開始關注到行為和文化的層面，非財務面向的風險開始變得更重要；到了2015年，金融業三道防線的框架變成主流，尤其強調第一線業務人員的當責，此時，行為風險更成為所有非財務面向風險中的顯學。</p> <p>2016～2019年，開始有數位科技力量引進，開始探討風險管理也要轉型，運用科技力量做一些事情，像是網路安全在2017年就變成是最主要的銀行風險，迄今未變；2018年則開始強調，銀行透過數位轉型，加速銀行擴大規模時帶來的風險；到了2019年，為了因應下一個十年的銀行業發展，更要主動落實十大銀行業的風險管理。</p> <p><span style="color:#0000FF;"><strong>操作性風險是銀行最難管理的風險，行為風險正是其一</strong></span></p> <p>曾韵表示，這整個十年銀行業的風險管理歷程中，前半段大部分著重在傳統銀行業在乎的財務性風險指標，例如：資本、流動性，交易對手風險、壓力測試和模型風險管理等；治理方面則有了早期改進，像是增加董事會的參與，並增強風險長（CRO）的角色和地位，有的銀行甚至有風險管理的團隊。</p> <p>到了這十年的後半段，曾韵指出，銀行業的風險管理雖然從傳統的金融風險轉向非金融風險，但是，金融風險並沒有從銀行業的風險項目中消失，相關的監管改革計劃仍在持續中。不過，可以確定的是，風險管理的精力逐漸轉移到多年來，被歸類為操作風險的大範圍風險，包括：資安風險、個資問題、行為風險、詐欺、法規遵循等，到後來，包括網路安全和其他IT風險等，也都算是操作性風險的範疇，這也是銀行業最難管理的風險之一。</p> <p>曾韵也引用EY所做的一份銀行風險長關注的十大風險報告，可以分成財務面風險和非財務面風險，財務面風險包括：監管資本管理（Regulatory Capital Management）、信用（Credit）、流動性（Liquidity）、市場風險（Market Risk）、模型（Model）、監管實施（Regulatory Implementation）、壓力測試（Stress Testing）等風險。</p> <p>另外，非財務面風險則包括：商業模式（Business Model）、合規（Compliance）、行為（Conduct）、文化（Culture）、網路安全（Cybersecurity）、資料安全（Data Security）、企業風險管理（Enterprise Risk Management）、營運（Operational）、營運韌性（Operational Resilience）、商譽（Reputation）、風險胃納（Risk appetite）、風險控管（Risk Control）、風險技術架構（Risk Technology Architecture）以及數位轉型策略（Transition to Digital Strategies）等風險。</p> <p>從2012年～2015年，財務面風險在十大風險過半，但到2016年開始，非財務面風險類型大幅被關注，網路安全風險排名快速上升到第二名，並且在2017年～2019年成為十大風險排名第一名；行為風險在2016年首度上榜後，之後每一年都持續上榜；其他特殊風險，例如隱私保護、營運持續以及一些風險管理和數位轉型議題，也陸續進入榜單。從這樣的排名也可以發現，操作性風險越來越多，面向也越來越多元。</p> <p><span style="color:#0000FF;"><strong>金管會透過理專十誡，改善臺灣金融業盜領客戶資金的行為風險</strong></span></p> <p>臺灣近幾年來，金融業爆發各種盜用客戶資金的行為，不僅是一種金融犯罪，也是一種行為風險，對客戶帶來重大影響，也對銀行本身帶來不少衝擊。</p> <p>金管會也在2019年6月14日備查銀行公會，訂定簡稱理專十誡的「銀行防範理財專員挪用客戶款項相關內控作業原則」，並讓各銀行參考此原則，在6個月內進行內部檢視並完善相關規範，同時辦理內控三道防線查核（業務單位自行查核的第一道防線；法遵、風管等單位查核的第二道防線；內部稽核單位獨立查核的第三道防線），以降低再犯的可能性。</p> <p>曾韵表示，要改善盜領客戶資金這類的行為風險，首先要做到案例分享，這和資安情資分享目的類似，可以學習經驗，即便犯案手法不完全相同，透過知道他人狀況、互相了解。以前講反洗錢會談到「認識你的客人」（KYC），但在盜領客戶資金的行為風險這件事情上，反而著重「要知道你的員工狀況」（Know Your Employee，KYE），包括員工個人是否誠信以及有沒有財務突發狀況等。</p> <p>她也說，其他像是比較規範性的作為，則包括：員工秉持誠信原則招攬服務；公司要有相對應的監控行為；對理專要有防弊措施；要有輪休以及輪調機制等，這些都是一些基本要求。</p> <p>更進一步，在相關管理規範中，曾韵表示，也必須要做到「事前宣導、事中控管、事後查核」，主管可以不定期抽查理專人員的抽屜，建立風險的監控樣態名單，目的就是讓主管可以跟客戶確認，相關的買賣交易是否是經由客戶授權而非理專個人行為。</p> <p>其他的，除了可以系統化方式產生報表，監控可能的問題，還可以進行帳戶監控、舉報機制：讓大家覺得有問題可以舉報，也強化相關對帳機制，避免客戶太相信理專導致問題產生；銀行也要主動跟客戶進行相關交易的再確認，內部也要強化查核機制，透過系統化自動偵測可能風險，像是進行自動化通路交易異常檢核，例如不同客戶間，是否有以同一手機或IP位址執行交易的情形。</p> <p><span style="color:#0000FF;"><strong>要發現行為風險，必須透過分析許多非結構性資料才行</strong></span></p> <p>理專盜領客戶資金只是行為風險的一種，更大範圍的行為風險偵測、管理和預防，曾韵認為，企業則應該要從整體流程上做全面的了解與管理。一般而言，行為風險分成五個階段，從一剛開始的定義（Identify）、接取（ Access）、調查（Investigate）、糾正（Address）和改善（Improve）。</p> <p>她說，企業可以定義分析，有哪些來源可以發現行為風險？當發現異常時，應該怎麼評估以及升級到調查？最後應該怎麼檢討並改善風險？在行為風險五個階段流程，企業相對應的權責規畫、通報機制和組織的風險辨識等，都是面對行為風險時，應該具備的監督和稽核能力。</p> <p>曾韵表示，行為風險很多是非結構化的資料，例如理專，業務員、交易員等，很多是透過電話跟客戶溝通，企業要偵測可疑狀況時，要從哪些面向去定義行為風險呢？最重要的就是客戶的抱怨；第二則是員工本身的抱怨；第三是員工行為資料；第四是透過分析交易等資料去定義行為風險。</p> <p>也因為客戶的抱怨都是非結構化資料，要做分析會碰到困難，像是，企業收集這些非結構性資後，得先去判斷哪些來源可以發現行為風險？企業若要從整體結構要去規畫的話，流程要如何規畫呢？例如，誰去負責監控？誰去回報？回報對象是誰？不是所有的監控結果都是有問題，什麼情況下需要進一步調查呢？要該如何確認真的有問題？如何去做後續的分析和改善呢？</p> <p>曾韵坦言，偵測和分析行為風險聽起來簡單，做起來其實很複雜，所以，大家都希望可以藉由科技，簡化並加速行為風險的偵測與分析，但事實上，常見的風險監控方法，並不足以應對行為風險。</p> <p>大多數監視客戶投訴的方法，無法識別出幾種常見的不當行為根源，像是企業透過和客戶聯繫了解潛在問題，但當這些問題還沒有解決時，就會被歸類為客戶投訴；企業很難針對這些客戶抱怨做正確分類，而且這些客戶抱怨只有來自少數管道，一些常見的投訴來源，像是網路聊天室等，並不會被企業掌握到。</p> <p>除了通訊監察方式外，曾韵表示，針對行為風險和交易的監控方式可以分成三種，第一種是仰賴客戶投訴或是內部舉報，但這往往是事後才知道的落後指標；第二種則是透過活動驗證方式來確認事情是不是對的，像是抽查檢驗新開戶客戶簽名是否屬實、某些交易資料是否由第三方與客戶聯繫確認等，但因為只能透過人工抽查，並無法全面性發現問題所在。</p> <p>第三種監控方式則是，基於規則進行的分析。她表示，因為是規則所有就會有門檻問題，不同產品交易特性不一樣，如果員工知道公司會監控某些作為並產出異常報告，員工也會想辦法避開；其他如果想要基於規則性，監控財富顧問的交易警報或交易中的交易監控，往往會有很多誤報，員工也容易規避。</p> <p>為什麼會有這些行為風險，她說，有很多也是來自於公司太在乎業績，導致理專會有不當行為，想要有效偵測行為風險就需要新方法，必須利用來自各種來源的數據，包括客戶回饋、銷售和產品數據以及績效管理數據等。</p> <p><span style="color:#0000FF;"><strong>做好行為風險偵測的四種方式</strong></span></p> <p>要怎麼做好行為風險的偵測呢？曾韵表示，首先可以擴增資料來源，像是：客戶抱怨、客服電話、銷售資料、員工行為、績效資訊... 等，都是好的資料來源，其中，結構化資料像是銷售和帳戶使用情況，非結構化資料則像是客戶電話記錄、調查和投訴等。</p> <p>可以擷取的資料包括交易和銷售績效數據；客戶模式，例如：用於財富管理的投資組合活動；客戶情報，例如，到客服中心的通話記錄、調查及投訴等，並整合各種資料來源，提供了以個人和銷售團隊或分支機構（總行或分行）活動的視圖，還可以加上其他資料來源，像是企業的管理層次結構或辦公室位置等，就可以發現不一樣的行為風險。</p> <p>她也以2012年英國倫敦銀行同業拆放利率的欺詐和串通醜聞為例，這件事情是先在交易員使用聊天室提到，並透過即時通訊和電子郵件傳遞相關訊息。如果企業可以先從公司通訊平臺中，檢索這類通信的關鍵信息並將其添加到發現行為風險的數據模型中，就可以及早發現相關的行為風險。</p> <p>曾韵說：「以前做企業舞弊調查很大一塊資料來源是來自於電子郵件和通訊軟體，行為風險最難的地方也在此。」因為，分析文字容易，但要了解其意思，往往需要花力氣訓練。</p> <p>第二種方式則是大海撈針型。曾韵指出，大家常用離群值檢測（Outlier Detection）做舞弊偵防，透過非監督式學習方式，將所有交易用視覺化方式呈現。多數的交易會分散在某個範圍，表示大部分正常，不論是稽核或是舞弊調查，要找出問題就是找異常的點，可以透過機器學習的方式找出異常點，檢測以前未知的模式異常，用這種方式也可以找出以前不知道的模式。</p> <p>第三種則是利用自然語言處理來挖掘與客戶的互動。她表示，資料來源有很多非結構化資訊，例如客服人員的電話，就可以利用語音轉成文字後，再用自然語言處理方式去分析內容；了解文字意涵後去知道聊天內容，再利用此來做訓練分析，就可以知道哪一些是有風險的，同時可以結合管理數據做分析。不過，目前這些非結構化資料雖然可以提供豐富的資訊，但還沒有被普遍使用。</p> <p>第四種就是從員工行為透明度找出行為風險所在。曾韵進一步指出，通過捕獲有關員工行為的所有數據，並將數據與分支機構、主管和任期等上下文詳細信息結合起來，企業就可以構建員工績效的綜合圖景。</p> <p>舉例而言，藉由分析通話內容和聊天內容，第一個視角可以從全球不同分支機構有什麼樣類型的風險；第二個視角可以從這個交易員來看，例如理專或交易員本身的風險指數有多高？是否要針對她特別留意？這些都可以透過資訊結合的方式，達到分析的目的。</p> <p>她說，這個方式最重要的目的就是，希望可以在不當行為風險發生前，可以識別風險趨勢並製定具體的干預措施；也可以通過適當的行為，像是培訓或產品控制的方式，來挖掘和處理慢性行為模式；最後則是通過將標準化數據匯總到主管、分支機構或地區級別，藉此識別系統行為和普遍行為。</p> <p><span style="color:#0000FF;"><strong>偵測行為風險的三大挑戰</strong></span></p> <p>雖然行為風險是臺灣金融業常見的風險之一，但要做好行為風險的偵測，還面臨三大挑戰。</p> <p>第一個挑戰就是資料不足或孤立的狀況。曾韵表示，大家都覺得資料可以分析、建模型，但事實上，大部分金融機構收集的數據並不夠完整，傳統的結構化資料一定都有，但大家以前根本不會想到要去監控同仁的聊天資料，當然就沒有收集到相關的資料，也就沒有資料可以分析，最後的結果就是無法全面性瞭解員工行為。</p> <p>她也說，許多金融機構都說要做資料分析、大數據、數位轉型，有許多金融機構內部都建立數據團隊，但團隊建立後就發現，除了沒有資料可以分析外，光是拿一份跨部門的資料就要三個月，先跟IT部門講要什麼資料，檢視是否有違反內部資安程序，再經過相關業務部門審核，歷時三個月後才拿資料，後來發現拿到的資料不對，就得再另開需求拿資料。曾韵指出，許多金融部門的數據團隊經常抱怨，建立模型的時間頂多一週，但要資料卻可能要三個月，實在太沒有效率。此外，金融機構也普遍存在資料孤立的問題，資料之間無法做有效整合，或者是，以前其實沒有做這樣的資料收集，所以必須要先收集資料。</p> <p>金融業要做行為分析之前，必須要有完整的資料來源，就得先做好資料收集的工作。曾韵認為，基本功比華而不實的口號更重要，很多金融機構老闆因為看到數位轉型、金融科技這些關鍵字，有團隊後，就想著很快要有產出，但這些資料產出後的下一步是什麼？如果無法有效的商業化，這些資料分析就只會曇花一現、無法永續。</p> <p>第二個挑戰就是缺乏專家。曾韵指出，很多金融機構已經有數據分析的專家，目前趨勢就是找業界有名的學者來擔任公司高階的技術長或數位長，若問其他業務單位的看法，可能因為這些數據專對對金融領域不熟悉，往往會認為這些學界找來的數據專家作法並不落地，想法太高空，無法切中產業需要的核心。</p> <p>她認為，面對這種情況，金融機構必須在數據專家和領域專家中打造一個溝通橋樑，讓彼此知道對方正在做什麼事情，才能創造真正的產業應用；此外，許多銀行雖然有數據分析團隊，但仍缺乏AI人才及領域專家，可以透過人才培育和人才交流的問題，打弭平中間的隔閡。</p> <p>第三個挑戰就是組織的抗拒。曾韵表示，早期在做個資保護或者是數位鑑識時，常有金融機構的長官質疑，企業為什麼要做這些事情？當企業做偵測、找到問題時，不就是企業自己找到問題後，主動送上門讓主管機關就發現的問題進行裁罰嗎？也因此，造成許多金融機構對於一些風險偵測作法的抗拒。此外，也有企業因為這些大量的風險管理投資，並無法對企業帶來明顯的商業利益，而不願意進行投資。</p> <p>但她認為，這些風險管理需要許多自動化的流程和工具，可以降低許多人力成本；加上，金融機構開始以風險管理的角度出發，收集許多包含客戶抱怨的多種資料來源，若可以分析這些資料，不僅有助於找到行為風險，也可以進一步了解客戶的喜好和看法，達到一魚多吃的加成效果。文⊙黃彥棻</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202020-08-25%2019_58_47.png" style="width: 1329px; height: 615px;" />不同單位對於金融犯罪各有不同定義，但可以確定的是，隨著科技演進，以前常見的IT和網路安全、身分竊盜等風險，也成為金融犯罪的範疇。</p> <p>資料來源：曾韵整理，2020年8月</p> </blockquote> <p> </p> </div></div></div>
2020/8/25 19:19作者黃彥棻https://www.ithome.com.tw/news/139602
蘋果買下夢工廠旗下VR視訊會議平臺Spaces
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.protocol.com/apple-vr-ar-spaces-acquisition" target="_blank">Protocol本周報導</a>，蘋果已悄悄地買下夢工廠（DreamWorks Animation）旗下VR視訊會議平臺Spaces，並獲得蘋果的證實，而Spaces則是在上周關閉服務，僅簡短說明該平臺將有新規畫，並未揭露細節。</p> <p>Spaces原本只是夢工廠的專案之一，但在2016年獨立，專門開發各種虛擬實境（VR）體驗，然而，因受到武漢肺炎（COVID-19）疫情的影響，Spaces關閉了VR中心並裁撤部份員工，一直到居家工作/上課風潮興起，Spaces開始提供VR視訊會議服務。</p> <p>Spaces曾向Digital River<a href="https://www.digitalriver.com/ecommerce-proves-essential-age-covid-19/" target="_blank">透露</a>，在疫情蔓延後，人們不再聚集於公開場所，該公司的主管也發現自己淪陷在無休止的視訊會議中，激發他們把VR應用在視訊會議中的靈感。</p> <p>在Spaces所建立的VR視訊會議服務中，使用者可選擇各種背景或白板，也能設計自己的動畫角色，還可相容於各種聊天軟體，涵蓋Zoom、Meet、Microsoft Teams、Skype、思科Webex、臉書Messenger、Houseparty及Chime等，並支援市場上可執行SteamVR的各種VR眼鏡，從Oculus Rift/Rift S、Vive、Index、WMR到Oculus Quest。</p> <p>蘋果僅向Protocol證實收購Spaces一事，但拒絕說明對Spaces的未來規畫。這幾年不斷傳出蘋果打算開發VR/AR裝置的消息，彭博社更說蘋果會在2022年推出AR頭戴裝置，而就在今年5月，<a href="https://www.ithome.com.tw/news/137643" target="_blank">蘋果也買下</a>了VR播放平臺商NextVR。</p> <p>目前VR/AR所面臨的主要困境，除了技術及高成本的硬體裝置之外，內容的缺乏，也是相關技術遲遲無法躍居主流應用的關鍵因素之一。</p> </div></div></div>
2020/8/25 16:25作者陳曉莉https://www.ithome.com.tw/news/139597
是否赦免Edward Snowden，美總統、司法部長不同調
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於是否原諒美國最知名的洩密者Edward Snowden，美國總統川普和司法部長William Barr想法差異很大。</p> <p><a href="https://apnews.com/49fce0a36f134da56786608aa5dfa4bc" target="_blank">美聯社報導</a>美國總統川普本月中在記者會上提及，將「好好思考」是否原諒Snowden。</p> <p>不過上周美國司法部長William Barr卻說，他會堅決反對此事。Barr說Snowden是叛國者，他提供給敵人的資訊嚴重傷害美國人的安全，他像個商人沿街兜售，「我們絕無法容忍。」</p> <p>美國國安局（NSA）前約聘員工Snowden於2013年，因為向媒體揭露了NSA名為稜鏡（Prism）的監控計畫，包括開發先進的竊密工具或網路攻擊程式，以及竊聽外國元首通訊等計畫，引發全球嘩然。美國2013年以間諜罪起訴Snowden，可能面臨數十年的刑期。2016年超過110萬人<a href="https://www.ithome.com.tw/news/111226" target="_blank">連署要求</a>前總統歐巴馬赦免Snowden，包括律師、人權組織、作家、蘋果共同創辦人Steve Wozniak。</p> <p>Snowden護照被美國政府註銷，目前Snowden出逃俄羅斯。Snowden 去年9月出版回憶錄《永久檔案》（Permanent Record），美國司法部認為Snowden出書違反當初與中情局及國安局簽署的工作保密協定，控告他違約及背棄信託義務。<a href="https://www.ithome.com.tw/news/134950" target="_blank">法院判決美國政府勝訴</a>，可獲得該書的版稅及演講收入，企圖切斷Snowden的金援。</p> </div></div></div>
2020/8/25 16:35作者林妍溱https://www.ithome.com.tw/news/139598