iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 8篇
近 24 小時: 25篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

YubiKey最新實體金鑰同時支援USB-C、NFC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Yubico本周推出最新實體金鑰裝置<a href="https://www.yubico.com/blog/our-family-is-growing-meet-our-newest-member-the-yubikey-5c-nfc/" target="_blank">YubiKey 5C NFC</a>，是首支同時支援USB-C介面及NFC連線的無密碼登入安全裝置。</p> <p>YubiKey是主流無密碼登入的金鑰裝置，過去也先後推出支援USB-C介面及<a href="http://www.ithome.com.tw/news/126117" target="_blank">NFC連線</a>的產品，但使用者必須同時擁有兩種規格的YubiKey，以運用在相容的手機或電腦上。Yubico公司指出，同時支援USB-C及NFC也是最多消費者反映的需求。</p> <p><a href="https://www.yubico.com/product/yubikey-5c-nfc" target="_blank">YubiKey 5C NFC</a>讓使用者可自由用於具備USB-C連接埠的MacBook、Windows PC、Surface Pro、或是Linux機器，也可以用在支援NFC的Android手機及iPhone。</p> <p>一如Yubico的YubiKey 5系列，最新的YubiKey 5C NFC支援多種驗證協定，除了現代標準FIDO2 及WebAuthn，也支援政府部門智慧卡登入使用的PIV協定，以及OATH-HOTP、OATH-TOTP（hash-based and time-based one-time passwords）、OpenPGP、Yubico OTP，以及挑戰／應答（challenge-response）驗證等。</p> <p>Yubico去年另外推出了首款支援蘋果Lightning及USB-C介面的<a href="https://www.ithome.com.tw/news/132535" target="_blank">YubiKey 5Ci</a>。</p> </div></div></div>
2020/9/10 15:20作者林妍溱https://www.ithome.com.tw/news/139911
支援DirectX 12的GPU現也可用來加速TensorFlow運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布了TensorFlow擴充套件<a href="https://cloudblogs.microsoft.com/opensource/2020/09/08/open-sourcing-tensorflow-with-directml/">TensorFlow-DirectML</a>，讓開發者可以在Windows平臺上以支援DirectX 12的GPU，加速TensorFlow模型運算，而且這項支援還涵蓋適用Linux的Windows子系統（WSL）。目前已經在GitHub開源，供開發者取用程式碼。</p> <p>TensorFlow是一個通用的機器學習框架，可用來開發、訓練和發布機器學習模型，由於通常機器學習工作負載都需要執行大量的運算，因此可以使用類似GPU的專用硬體來加速工作負載，微軟提到，TensorFlow雖可以同時利用CPU和GPU來執行運算，但GPU加速僅限於特定供應商的平臺，有別於Windows或是其他使用者的硬體。</p> <p>另一方面，DirectX一直以來，被廣泛地用於加速Windows上的遊戲和計算應用程式，其DirectML可以讓支援DirectX 12的GPU，執行高效能的數學運算，因此微軟透過整合TensorFlow以及DirectML，讓開發者可以在Windows，使用GPU執行完整的機器學習訓練和推理功能。</p> <p>而且這不只是讓開發者可以在Windows，以GPU加速TensorFlow運算，這項支援還擴及WSL，也就是說，開發者可以在任何使用DirectX 12 GPU的Windows或是WSL環境，執行或是訓練TensorFlow模型。</p> <p>微軟解釋，TensorFlow-DirectML是透過加入名為DML而非GPU的新裝置，將TensorFlow和DirectML整合在一起，其新的核心集建構在DirectML API之上，而非像是現有的CPU和GPU核心，建立在Eigen函式庫之上。</p> <p>由於DirectML又是以Direct3D 12低階函式庫開發，該繪圖API是專為需要對資源分配和工作排程，進行絕對控制的高效能低延遲應用程式設計，因此DirectML與TensorFlow整合，還需要仰賴裝置Runtime負責在裝置與主機間，管理裝置記憶體、複製張量、紀錄GPU命令，以及排程工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/opensource_tfdml_blogimage-1.png" style="width: 624px;" /></p> </div></div></div>
2020/9/10 12:15作者李建興https://www.ithome.com.tw/news/139887
超融合走向邊緣運算應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月底，我們製作了一個封面故事<a href="https://www.ithome.com.tw/article/139042" target="_blank">〈透視超融合平臺第三勢力〉</a>，介紹Nutanix與VMware這兩大陣營以外的廠商，以及他們所發展的超融合基礎架構（HCI）產品，<a href="http://www.ithome.com.tw/article/139836" target="_blank">接著我們將繼續探討超融合基礎架構近期應用的新面向</a>：邊緣（Edge）環境，以及遠端／分支辦公室（Remote Office/Branch Office，ROBO）。</p> <p>我們之所以製作這樣的專題報導，首先是考量到邊緣運算（Edge Computing）興起的這一股風潮。起初的邊緣運算應用方式，在架構上，主要是建置於廠區或家用環境的嵌入式設備、物聯網設備，直接從現場進行資料擷取、收集，之後，再傳送至公有雲服務或企業資料中心進行分析處理，這當中相當仰賴網路傳輸，如果要用於自動駕駛車這類需要大量資料即時處理的場景，業者可能必須要運用其他的作法；後來，有些廠商大幅強化邊緣端設備的運算與儲存能力，直接就地進行資料處理的工作，而不用事事都仰賴公有雲或私有雲服務，於是，促成了邊緣資料中心（Edge Data Center）這類解決方案的發展。</p> <p>而且，在邊緣資料中心的建置方式上，對於原本專注在企業資料中心環境的IT軟硬體廠商而言，在過去幾年苦苦追趕公有雲業者腳步的態勢之下，如今開始多了一些機會，當然他們也必須轉換思維，提供適合的產品與服務，來支援現今物聯網環境的資料存取與處理方式。不過，在此同時，公有雲業者也積極布局，也在發展各種邊緣運算設備。</p> <p>在邊緣資料中心的使用上，我們看到目前比較顯著的部分，一種是對於大數據的儲存與分析，許多產業都可能有這樣的需求；一種則是特定產業的應用，例如，電信業若要建置支援5G網路營運服務的IT基礎架構，可能會導入網路功能虛擬化（NFV），過去我們會認為只需要搞定「核心」的架構即可，不過，如今也可能需要搭配「邊緣」的架構，在基地臺（Base Station）或戶外線路通訊機箱等設備上，提供更強大的運算與儲存能力。</p> <p>以紅帽（Red Hat）這類解決方案的架構來看，在核心的部分，主要是網路功能虛擬化基礎架構（NFVI），而在邊緣的部份，則是支援行動無線存取網路（Mobile RAN）、行動網路核心（Mobile Network Core），以及邊緣服務（Edge Services）的應用。</p> <p>就邊緣資料中心的布建方式而言，如同企業資料中心環境，我們可以透過一臺臺伺服器搭配Linux作業系統，來逐步舖設底層基礎架構；也可以運用VMware、微軟、紅帽等公司的伺服器虛擬化平臺，或是OpenStack這類基礎架構即服務平臺軟體、Kubernetes容器即服務平臺等軟體，這些平臺如今都可以直接裸機安裝部署。</p> <p>而基於伺服器虛擬化而成的超融合基礎架構，原本強調可快速橫向擴充，支援多個節點的叢集部署，由於廠商近期也推出3節點以下的精簡部署彈性，不只針對小型或微型企業有限的IT資源應用規模，對於空間更為局限、同樣不追求大規模部署的邊緣運算環境而言，如今發展到「能伸能縮」的超融合基礎架構，似乎也相當適用。市面上，已經有鎖定邊緣運算應用的超融合產品了嗎？在本期的封面故事當中，我們會整理出現況。</p> <p>除了邊緣運算，我們也看到提供超融合基礎架構的廠商，在更早之前，也陸續推出針對遠端／分支辦公室的解決方案。可惜的是，過往我們很少看到廠商向企業積極介紹這些版本，或是部署形式，但對於小型使用環境而言，並不需要超大規模擴充性，能讓當地員工就近使用小巧的軟體定義資料中心環境，而不需「捨近求遠」，為此橫跨VPN或專線連回公司總部IT基礎架構。</p> <p><a href="https://www.ithome.com.tw/article/139836" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">超融合基礎架構新戰場</span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B">超融合基礎架構</a></div><div class="field-item odd"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1">超融合系統</a></div><div class="field-item even"><a href="/tags/%E9%82%8A%E7%B7%A3%E6%87%89%E7%94%A8">邊緣應用</a></div><div class="field-item odd"><a href="/tags/robo%E7%92%B0%E5%A2%83">ROBO環境</a></div><div class="field-item even"><a href="/tags/%E5%8A%A0%E5%9B%BA%E5%9E%8B%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1">加固型超融合系統</a></div><div class="field-item odd"><a href="/tags/%E7%B2%BE%E7%B0%A1%E5%9E%8B%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1">精簡型超融合系統</a></div></div></div>
2020/9/10 09:00作者李宗翰https://www.ithome.com.tw/voice/139795
程式猴與基因演算法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在不知道什麼樣的搜尋策略，可以找到最佳解時，若能善用基因演算法（Genetic Algorithm），可讓足夠好的方案，有更大機會將基因傳給下一代，最終自行演化出接近甚至等於最佳解的方案。</p> <p><span style="font-size:28px;"><strong>香蕉請到的猴子？</strong></span></p> <p>程式人很愛用猴子來嘲諷一些業界現象，例如程式猴（code monkey）常被用來形容只會依文件、書本、Stack overflow照抄程式而不知思考的傢伙，甚至有本書名為《軟體專案開發實務｜別只當編程猴》的書；另外，對於一些待遇與應徵資格不符的求才貼文，經常會得到「給香蕉只請得起猴子」之類的回應。</p> <p>香蕉請到的猴子真的能用嗎？無限猴子定理（Infinite monkey theorem）指出：「讓一隻猴子隨機地在打字機上按鍵，若給予無限的時間，總有可能打出給定的任何文字，例如《莎士比亞全集》。」照這個定理，用香蕉請猴子，還是有機會打出想要的程式碼，對吧！</p> <p>別說《莎士比亞全集》了，就算讓猴子在只有26個字母加一個空白鍵的打字機上，要能打出「to be or not to be」的機率就是1/(27^18)，機率已經極小了，無限猴子定理要追溯其最初的來源，其實想表達的是：當一件事發生的機率小到微乎其微時，可以當作不可能發生（可參考<a href="https://bit.ly/343wnGX" target="_blank">〈什麼都有可能發生？無限猴子定理〉</a>）。</p> <p>然而，一隻猴子不可能，那麼，一群猴子呢？例如，有位開發者Jesse Anderson從2011年8月開始，使用Amazon EC2、Hadoop和Ubuntu Linux，以數百萬隻虛擬猴子，隨機產生ASCII字元模擬按鍵，結果還真的重現了《莎士比亞全集》（可參考<a href="https://bit.ly/31Xjpb5" target="_blank">〈A Few More Million Amazonian Monkeys〉</a>）。</p> <p>雇主們看到這個結果，可別就這麼高興地把買香蕉的錢省下來，去買一堆機器與虛擬猴子了，因為，Jesse Anderson可是有著個明確的目標《莎士比亞全集》，如果沒有已經正確運行的程式碼作為目標，我們要怎麼知道百萬隻虛擬猴子打的程式是正確的呢？</p> <p><span style="font-size:28px;"><strong>世代傳承的程式猴</strong></span></p> <p>如果有一群虛擬猴子，子子孫孫都在打程式，我們給予一組繁衍規則，在數百甚至數千代之後，這群猴子可以打出什麼程式呢？如果有種程式語言可以用print helloworld，在螢幕顯示helloworld，並有個演算法實現了繁衍規則，讓某代中某隻猴子打出了print helloworld，那麼，就可以用來驗證演算法的正確性。</p> <p>基因演算法可以是這類演算法之一。以虛擬猴子為例，若每隻猴子的基因隱含打某個鍵的傾向，16個基因組成了染色體，基因排列順序就是打字順序，例如，第一代會有一群猴子，每隻猴子的16個基因值是隨機的26個字母或空白，在這群猴子生存的虛擬世界中，打出的程式越接近print helloworld，適應度越高，越能得到配對繁衍的機會。</p> <p>在繁衍下一代時，類似現實世界中的生物，會交換父母的基因來創造下一代的基因，例如，被配對的猴子的基因，若分別是paddfgqekoxdxllw與abgxhxhelkxtorld，最簡單的方式是各取前半段與後半段，得到paddfgqelkxtorld作為下一代的基因，這時有5個基因符合了目標，適應度更高了一些，讓這隻後代繼續繁衍，子孫打出正確程式的機會就更高一些。</p> <p>有沒有可能一開始的初始猴子，基因全都不含print helloworld的任何字元呢？或者在順序上位置都不正確？有可能！這種情況下無論如何繁衍、交換基因，都不可能產生能打出print helloworld的後代，為了避免這類情況，可以令基因有突變的機會，例如，要求每個基因，可以隨機產生一個數字，若數字小於突變率，就隨機地用某個字元替代該基因。</p> <p>令人驚奇的是，200隻虛擬猴子在數百或上千代的循環之後，真的有猴子能正確地打出print helloworld，而就現代電腦來說，這不過是幾十秒的時間。這樣的做法說穿了是碰運氣，不斷地試誤，對虛擬猴子來說，就是個「to be or not to be（生存還是毀滅）」的問題；但是，也不全然只有運氣，畢竟生存的世界有其規則，在規則的限制之下，讓生命自己找尋出路……呃……也可能沒有出路！</p> <p><span style="font-size:28px;"><strong>概觀基因演算法</strong></span></p> <p>從程式猴的例子中，我們可以看到基因演算法的幾個基本步驟。首先是將問題要處理的資料「編碼（Encoding）」為一組基因，也就是染色體（Chromosome），就上例而言是一組字串，就其他問題而言，可能是火箭力各推力的向量、遊行者造訪的城市座標等；接著是「初始化族群（Population）」，一開始必須產生適當數量的個體，這時個體的基因組合是隨機的，個體數量對求解有很大的影響──過少的話，子代難以多樣化，過多的話，會造成系統負擔等問題。</p> <p>然後，來是進行「選擇（Selection）」，個體的適應度要設計適應函式（Fitness function）來計算，上例可以是每個基因與print helloworld符合的字元個數，然而，並不一定要使用基因作為輸入來計算，例如，可以是火箭目前位置與目標間的距離長度，或者是遊行的各城市間的總路徑長度，這部份是基因演算中最關鍵而困難的部份。</p> <p>適應度值高的個體會被挑選至至交配池（mating pool），但通常不會只挑選菁英（例如只挑選適應度值前50%的個體），因為低適應值的個體可能含有關鍵基因。此時，比較好的方式，是使用幸運之輪（Wheel of fortune）之類的機率方法，也就是讓適應度值高的個體有比較高的機率被挑中，值低的個體被挑中的機率雖然比較小，然而還是有機會被挑中。</p> <p>再來是「繁衍（Reproduction）」，從交配池中挑出的一對個體，進行基因交換的過程稱為交配（Crossover），上例是單點交配法（one-point crossover），實際上交換的點不一定是中間，可能是基因組中隨機的位置，或是在每個位置丟硬幣──若有個體A、B，正面選擇A該位置的基因，反面就選擇B的基因；依不同的情況，也可以選擇雙點、多點交配、均勻分配等方法。</p> <p>突變（Mutation）是為了增加多樣性，就求解而言，是為了交配過程中，遺漏或缺少了關鍵基因，因而落入局部最佳解而非全域最佳解。突變率對於求解也有很大的影響──過小的話，補足關鍵基因的機會不多，過大的話，又會令適應高的基因流失，兩者都有可能造成求解過程成了單純的機率問題，而不是讓有優秀的基因傳承至下一代。</p> <p><span style="font-size:28px;"><strong>黑盒子求解最佳化</strong></span></p> <p>基因演算法適用於求解空間過大，難以在時間、資源等限制下求出的問題，乍看很像個黑盒子，因為無法知道整個族群的演化過程，只知道給一組參數，希望得到最接近目標的結果，例如，維基百科〈基因演算法〉條目中談到，日本新幹線N700系列車的車鼻，就是以基因演算法盡可能找出的風阻最小之車頭結構。</p> <p>如果對基因演算法的實作有興趣，建議參考<a href="https://bit.ly/30PaPvn" target="_blank">〈The Evolution of Code〉</a>，其中使用Processing實作了幾種基因演算，除了打字猴的範例外，還有火箭、生物尺寸的模擬，這裡是個極為簡明的參考資源！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E5%9F%BA%E5%9B%A0%E6%BC%94%E7%AE%97%E6%B3%95">基因演算法</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E7%8C%B4">程式猴</a></div></div></div>
2020/9/10 09:00作者林信良https://www.ithome.com.tw/voice/139796
Fintech周報第159期：元大銀行今年啟動新興科技應用發展5年計畫，投資逾億元聚焦4大主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0905</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0911</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 元大銀行 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位金融 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">元大銀行今年啟動新興科技應用發展5年計畫，投資逾億元聚焦4大主軸</span></strong><br /><span style="font-size: 14pt;">為因應純網銀的到來，元大銀行日前宣布，在今年啟動新興科技應用發展5年計畫，投資逾億元規模。元大銀行表示，將以實體分行通路服務與集團資源整合優勢，結合新興科技應用，提升數位金融發展，主要目標為優化作業流程，以及擴大財管與個金業務規模。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">元大銀行的新興科技應用發展計畫，又分為4大主軸：數位服務、業務行動平臺、機器人流程自動化（RPA）、網路基礎建設暨雲端應用。並分為短、中、長期目標在5年內執行完成。</span><span style="font-size: 14pt;">在數位服務面向，元大銀行指出，將強調簡單與便捷，提升線上申辦、網路銀行、行動銀行等數位平臺流程優化與操作順暢度，優化數位通路客戶體驗。此外，元大銀行更要打造場景金融，創造金融生態圈，將數位服務融入生活。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">業務行動平臺面向，則聚焦業務擴展行動化，透過行動裝置支援前線業務人員行動理專、行動投保等功能；並可透過全通路銷售整合平臺，依據客戶需求來推薦產品。元大銀行也預計導入RPA，提升作業效率及降低人工錯誤率，以快速回應客戶需求和優化作業流程。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">在網路基礎建設暨雲端應用面向，元大銀行表示，將採用新一代SDN網路架構，另將透過軟硬體設備雲端化，節省建置時間與管理成本，並達到彈性化擴充、動態調整頻寬資源，為業務雲端應用打基礎。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 央行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI應用風險 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中央銀行揭露AI在金融服務領域的6大潛在風險</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近年來國際間金融機構逐漸嘗試運用AI在金融服務，若使用不當，也會衍生潛在風險。中央銀行近期揭露AI在金融服務領域的6大潛在風險，一是道德問題，央行指出，運用種族、宗教或性別等敏感數據對客戶進行信用評分，可能產生歧視行為。第二點是隱私保護問題，客戶資料如果不慎使用，可能侵犯客戶隱私。三則是市場波動性提高，央行表示，AI廣泛運用在金融交易，當市場出現壓力時，可能同時發生大量同向交易而提高市場波動性，進而影響金融穩定。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第四點是市場價格遭操縱，有心人可能利用自動交易策略或透過程式交易中的優化技術及預測模式，來操縱市場價格。另外是，集中委外風險，央行提到，如果高度依賴第三方提供相關技術，當第三方發生破產或遭遇營運問題，將導致金融機構營運中斷風險。最後一點是黑箱決策，央行指出，部分AI運算機制複雜度高且不易了解，運用時如果未適當監督，可能導致錯誤決策。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 場景金融 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">一銀與多家異業結盟打造場域金融生態圈，近期更與第三方存錢App合作推夢想存錢計畫</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_iLEO%E5%A4%A2%E6%83%B3%E5%AD%98%E9%8C%A2%E8%A8%88%E7%95%AB.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第一銀行總經理鄭美玲表示，為實現金融即生活的願景，一銀挖掘顧客在金融科技方面的需求，提供場域金融創新服務，包括台灣房屋、i3fresh愛上新鮮、雲端發票App、麻布記帳、demall、591房屋交易網等異業，都是一銀的合作夥伴。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一銀要透過深化資訊合作，共同打造場域金融生態圈，提供從日常生鮮購物、繳費、發票中獎通知、信用卡紅利點數查詢折抵，到一站式購屋諮詢與貸款服務，涵蓋客戶食、衣、住、行、育、樂。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，一銀日前也宣布，與Money錢旗下存錢小豬公App合作推出夢想存錢計畫，讓顧客透過第三方App設定圓夢目標金額與期間，藉由雙方API串接，即可連結到第一銀行的iLEO App將錢存入數位帳戶。這次服務可每日彈性存錢，並可依需求隨時中止計畫提領資金。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰金控智能客服新增三維意圖架構，升級後更擴大導入旗下產險、證券、投信</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰金控數位數據暨科技發展中心（數數發中心）宣布，約莫2年前推出的智能客服機器人（Chatbot）「阿發」再升級，並擴大導入到國泰產險、國泰證券、國泰投信這3家旗下子公司。國泰金控以新一代NLU技術，搭配三維意圖大腦思維，來升級Chatbot的自然語言學習模型。以維度分層定義顧客的意圖，讓阿發的AI大腦結構更像人腦。回應顧客問題時，能快速分層梳理顧客的三維度意圖。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為此，數數發中心得把整個大架構重新整理，以各子公司現有能做的服務，以及該項服務的操作行為，還有執行項目等，都得一一切割出來。以基金服務為例，操作行為又分為買回、申購，執行項目則分為定期定額、單筆等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">接著，再把這些素材拿來訓練自然語言學習模型，當有顧客在Chatbot上提出需求時，就能辨識顧客是否有完整講出這些內容。甚至，遇到語意不清楚的問題，在這個三維意圖架構，還有一個反問引導的功能，智能客服將盤點自身知識與業務範圍來推敲可能的答案，並以多輪對話來釐清用戶需求，提升問答準確率。<a href="https://www.ithome.com.tw/news/139777">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AML </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山人工智慧挑戰賽聚焦AI防洗錢，吸引超過400個團隊參與</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為符合反洗錢（AML）相關規範，銀行在服務顧客時皆須確認顧客身分，若能透過AI持續更新涉及AML高風險人物名單，並搭配自動化比對，將可提升作業效率，大幅降低AML作業所需的人力與時間成本。玉山銀行在今年度舉辦的人工智慧公開挑戰賽，以反洗錢作為競賽題目，總計共409隊來自產學界的AI團隊參與，參賽團隊須整合應用多樣能力，即時從新聞文章中萃取出AML高風險人物名單。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山銀行指出，本屆挑戰賽為臺灣金融業首次以非結構化資料作為AI競賽題目，玉山金控科技長張智星表示，非結構化資料應用除了文字外，尚有圖片、語音等不同樣態的資料。這次挑戰賽以公開的新聞內文為素材，透過自然語言處理NLP技術，應用在金融業的場景。而為了使參賽者體驗實務流程，參賽隊伍需自行實作爬蟲程式（Crawler）獲取新聞內文、進行資料清洗、從中擷取出AML高風險人物名單，最後打包成API服務以回應線上測驗。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> KPMG </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">KPMG揭臺灣保險業新挑戰，建議4大保險科技發展方向</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣保險業滲透度居世界之冠，投保率將近250%。KPMG安侯建業在9月3日出版2020臺灣保險業報告，點出依據目前國內外環境，保險業正面臨4大挑戰，涵蓋低利率、國際財報準則IFRS 17接軌、金融科技與資訊安全、氣候變遷等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">KPMG指出，IFRS 17將翻轉過去保險收入認列方式，且保險負債的衡量需採用現時資訊作為估計基礎，以反映現時的負債水準。同時，精算模型、商品策略、資訊系統等亦將面臨大幅度調整，因此IFRS 17接軌幾乎是帶給保險公司營運全面性的挑戰。報告更提到，創新科技使得非保險業的大型公司，有機會進入保險市場，傳統保險業者面臨的潛在競爭壓力增加。而且，新興科技的運用使得資料外流或遭駭客攻擊等資安風險的機率也大幅提高。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，KPMG建議，本國保險業者仍可把握以創新科技進行數位轉型的發展機會。根據國際機構研究，2018年全球保險科技創造的營收為5.327億美元，預估2023年營收可望達到11.198億美元。而根據相關研究，創新科技對保險業營運可在新型態銷售通路、大數據與人工智慧輔助、物聯網（IoT）加值服務、分散式帳本技術等4大面向產生影響，其中約半數左右的保險科技投資，是與新型態銷售通路有關。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">KPMG更表示，保險科技的發展未來有望更加深入民眾生活，而未來保險公司在數位時代的環境內，應會逐漸轉型成提供顧客多樣化需求的服務平臺之一，生態圈和客群的經營將會是更重要的營運策略。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">圖片來源／第一銀行、玉山銀行</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top;">1.</strong><strong style="vertical-align: top;"> </strong><a href="https://www.ithome.com.tw/news/139770"><strong>Google證實將於雲林建立第三座資料中心</strong></a><br /><strong style="vertical-align: top;">2. </strong><strong>國泰世華銀行與誠品合作推行動支付eslite Pay</strong><br /><strong style="vertical-align: top;">3. </strong><a href="https://www.ithome.com.tw/news/139765"><strong>Linux基金會成立氣候金融基金會，以解決氣候變遷帶來的金融挑戰</strong></a><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">4. </strong><a href="https://www.ithome.com.tw/news/139763"><strong>印度再封鎖118個中國程式，支付寶也入列</strong></a><br /><strong style="font-size: 14pt; vertical-align: top;"> </strong><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2020年9月</span></strong></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"> </p> </div></div></div>
2020/9/9 14:50作者李靜宜https://www.ithome.com.tw/news/139879
Linux基金會成立氣候金融基金會，以解決氣候變遷帶來的金融挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了共同因應極端氣候對各領域帶來的變化，Linux基金會宣布成立<a href="https://www.linuxfoundation.org/press-release/2020/09/new-lf-climate-finance-foundation-to-host-open-source-initiative-to-address-climate-risk-and-opportunity-in-financial-sector/">LF氣候金融基金會（Climate Finance Foundation）</a>，其目的是要透過開源進行大規模創新，使得投資者、銀行、保險公司、企業、政府、非政府組織和學術界，能夠使用人工智慧分析技術以及開放資料，來應變氣候變遷所帶來的風險以及機會。</p> <p>LF氣候金融基金會的規畫團隊有世界自然基金會（WWF）、環境負責經濟體聯盟（Ceres）與美國永續會計準則委員會，目前願意資助LF氣候金融基金會的成員，有安聯、Amazon、微軟和S&P Global。Linux基金會提到，要避免全球因持續暖化，達到嚴重致災的程度，每年至少需要投入1.2兆美元，而為了避免需要投入的資金不斷增加，人們必須發展更好的資料和分析工具，並充分考量氣候相關的風險與機會。</p> <p>為了達到這個目標，LF氣候金融基金會正在建構一個稱為OS-Climate的平臺，讓資產擁有者、管理者和銀行，能夠管理氣候帶來的風險，並且結合能驅動低碳經濟的氣候產業、基礎設施、資金和技術合作。當前面對氣候變遷的議題，不僅是環境挑戰，同時也是經濟和風險管理問題，而OS-Climate能夠提供必要的資料與分析。</p> <p>OS-Climate將由LF氣候金融基金會託管，該平臺預計將包含針對多種實際和經濟情境的解決方案，以及開放資料，還有經濟和金融模型，加速預測性分析工具的開發，並且為氣候風險與金融解決方案提供資金。</p> <p>OS-Climate平臺技術的開發，正在如火如荼的進行中，像是由WWF、世界資源研究所、聯合國全球盟約和國際碳揭露計畫聯合倡議的SBTi（Science-Based Targets Initiative）計畫，才剛發布相關的開源金融工具，官方將會把這個金融工具整合到OS-Climate平臺中。</p> <p>由於全球在2015年簽署的《巴黎協定》，使得投資界面對全新的挑戰與機會，Linux基金會執行董事Jim Zemlin提到，氣候相關的分析成本與複雜度，需要由數百個組織參與並共同承擔，同時還需進行高度協作以及資源共享，在LF氣候金融基金會將會由各界組織中立治理。</p> </div></div></div>
2020/9/3 17:15作者李建興https://www.ithome.com.tw/news/139765
資安一周第109期：蘋果打算在明年才修補4月獲報的Safari漏洞。Slack重大RCE漏洞價值不到2,000美元。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0827-0902 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露 </strong></span></h3> <h2><strong style="vertical-align: top;">Safari漏洞使用戶面臨點擊詐騙風險，但蘋果打算2021年初才修補</strong></h2> <p>研究人員通報漏洞之後，廠商卻遲遲不願處理的情況，最近又被揭露。波蘭安全公司Red Team創辦人Pawel Wylecial發現，Safari存在於Web Share API的漏洞，導致駭客能夠竊取iOS裝置與macOS電腦的檔案。然而4月通報之後，蘋果卻等到Pawel Wylecial揚言要公布細節，才承諾會在2021年春季修補，並要求研究人員暫緩揭露。Pawel Wylecial認為，蘋果處理過程態度極為怠慢，決定在8月24日公開此事。</p> <p>Pawel Wylecial指出，一旦駭客運用這項漏洞，就能在惡意網站引誘用戶，透過郵件軟體或是即時通訊軟體來分享圖片，但此時用戶分享的是蘋果裝置裡的檔案，造成裝置上的機密資料外洩。<strong><a href="https://www.ithome.com.tw/news/139606">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補＃漏洞懸賞</strong></span></h3> <h2><strong style="vertical-align: top;">Slack重大漏洞只值1,750美元引發爭議</strong></h2> <p>研究人員在懸賞平臺通報嚴重的漏洞，應該得到合理的報酬，不過，近期有一起事件是因為獲得的獎金不高，而引起其他資安人員的關注。8月29日Slack修補一項極為危險的遠端程式攻擊漏洞，該公司只支付1,750美元予通報的研究人員Oskars，讓其他研究人員不平。</p> <p>例如，白帽駭客Daniel Cuthbert與研究人員Alon Gal都表示，這名研究員大可將漏洞賣給其他業者，來獲得更合理的報酬。對於此次爭議，Slack發言人告訴Mashable，他們會檢討抓漏獎勵標準，來表示對於研究人員的認同。<a href="https://www.ithome.com.tw/news/139696"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/109-1-Slack-RCE-USD1700.png" style="width: 400px;" /></p> <p>圖片來源：Slack</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞修補＃APT攻擊</strong></h3> <h2><strong style="vertical-align: top;">競爭對手雇用駭客在Autodesk 3ds Max植入外掛，入侵知名建商系統竊資</strong></h2> <p>產業競爭愈來愈白熱化，安全公司Bitdefender發現，一家企業被競爭對手聘請駭客駭入Autodesk公司的3ds Max軟體，竊取價值數百萬美元的商業機密文件。不過，發動此起APT攻擊行動的駭客集團身分，BitDefender並未說明。</p> <p>研究人員發現，駭客在3ds Max植入惡意外掛模組PhysXPluginMfx，這是惡意程式MAXScript的變種。不知情的使用者下載執行後，這個模組就會破壞3ds Max組態，並執行惡意程式碼Max Script來竊密。Autodesk也針對PhysXPluginMfx發出公告，釋出工具供用戶清除此惡意外掛軟體。<a href="https://www.ithome.com.tw/news/139629"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/109-2-Autodesk-3dsmax-APT_Bitdefender.png" style="width: 400px;" /></p> <p>圖片來源：Bitdefender</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃內部威脅＃視訊會議</strong></h3> <h2><strong style="vertical-align: top;">思科離職員工坦承非法存取WebEx後臺，導致1.6萬企業帳號失效2周</strong></h2> <p>思科前員工Sudhish Kasaba Ramesh向加州法院承認，曾在離職半年後，非法存取前東家的雲端視訊系統WebEx Teams，故意刪除公司在AWS上的456個虛擬機器，之後又刻意部署程式碼，造成超過1.6萬個企業帳號關閉，長達2周無法使用，最後思科花費140萬美元搶修，並且把100多萬美元費用退還受影響的用戶。這名員工會有什麼下場？最高可能被判5年徒刑及25萬美元罰金。<strong><a href="https://www.ithome.com.tw/news/139691">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃內部威脅＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">俄國人企圖買通特斯拉員工發動勒索軟體攻擊</strong></h2> <p>美國司法部於8月25日宣布，27歲的俄羅斯人Egor Igorevich Kriuchkov，於今年7月15日到8月22日，企圖以100萬美元為誘餌，買通一名員工，協助在內華達州的公司網路發動勒索軟體攻擊，但並未得逞。根據ZDNet、Bleeping Computer、Tech Crunch等多家媒體報導，這起事件的受害者就是電動車大廠特斯拉，該公司執行長Elon Musk隨後也在推特證實。</p> <p>這名俄國人於8月22日於洛杉磯出境之前遭到逮捕，24日遭到起訴。<strong><a href="https://www.ithome.com.tw/news/139693">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">連續三天遭到網路攻擊，紐西蘭證券交易所暫停交易</strong></h2> <p>紐西蘭證券交易所（New Zealand Exchange，NZX）自8月25日起，連續三天遭到來自境外的分散式阻斷服務（DDoS）攻擊，而且在26日與27日，都是在早上開盤不久，便遭到攻擊。因此該交易所於27日宣布，為了專心解決此起網路威脅，暫停主板市場、債券市場，以及Fonterra股東市場的交易，但對於攻擊的細節並未進一步說明。<strong><a href="https://www.ithome.com.tw/news/139643">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃挖礦攻擊</strong></span></h3> <h2><strong>Lemon_Duck挖礦程式蔓延到Linux平臺</strong></h2> <p>資安業者Sophos警告，自去年現身的挖礦軟體Lemon_Duck，不只會在企業的Windows電腦上植入門羅幣挖礦程式，如今亦鎖定Linux平臺和雲端應用系統，並透過內建的連接埠掃描模組，來搜尋使用SSH協定的連接埠，並執行暴力破解攻擊。</p> <p>值得留意的是，這款挖礦軟體也會在網路上進行掃描，找出配置失誤而曝光的Redis分散式資料庫，以及不需身分驗證即可存取的Hadoop叢集，利用這些伺服器來進行挖礦。<a href="https://www.ithome.com.tw/news/139684">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃特定產業目標攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">針對搶劫全球銀行的北韓駭客集團BeagleBoyz，美國公布分析報告</strong></h2> <p>美國財政部、網路安全暨基礎架構安全署（CISA）、聯邦調查局（FBI），以及美國國防部網路司令部（USCYBERCOM），聯手針對駭客集團BeagleBoyz，公布了分析報告，該集團隸屬於北韓駭客組織Hidden Cobra，席捲全球多國銀行，盜走近20億美元，也是在2016年企圖盜走臺灣遠東銀行6千萬美元的元兇。</p> <p>BeagleBoyz相準銀行內部兩大系統，一是與環球銀行金融電信協會（SWIFT）介接的終端系統，二則是負責銀行支付交換應用的伺服器。此份報告呼籲金融機構應全面強化安全措施，才能有效防堵該集團的攻擊。<strong><a href="https://www.ithome.com.tw/news/139632">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊 </strong></span></h3> <h2><strong style="vertical-align: top;">臺灣電子製造業遭勒索軟體攻擊再添一樁，金橋科技公告總部與旗下兩公司遭感染</strong></h2> <p>勒索軟體攻擊不斷，8月下旬臺灣電子製造業再傳遇害，電子零組件業者金橋科技於8月21日，在臺灣證券交易所發布即時重大訊息，說明該公司部分電腦遭勒索病毒感染，並指出事件發生在臺灣總公司，以及旗下兩家孫公司，分別是位於中國的東莞達晨電業製品，以及金橋科技電子（昆山）。金橋科技在這份公告中指出，他們已經緊急處理，同時也揭露初步盤點結果，說明公司機密資料不受影響，兩家孫公司受影響的程度有限。<a href="https://www.ithome.com.tw/news/139677">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃5G資安＃國家資安策略</strong></span></h3> <h2><strong style="vertical-align: top;">臺美發表5G安全共同宣言，聯手從供應鏈把關5G網路安全</strong></h2> <p>美國在臺協會與我國駐美國臺北經濟文化代表處，於8月26日發表5G安全共同宣言，強調5G將成為驅動全球數位經濟發展的關鍵基礎建設，為避免通訊網路不被破壞或操控，應經由可靠、可信賴的網路軟硬體供應商提供，確保5G供應鏈沒有安全疑慮。<a href="https://www.ithome.com.tw/news/139624">詳全文</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/109-3-5G-tw-usa.png" style="width: 400px;" /></p> <p>圖片來源：外交部</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139692">9月1日起TLS與SSL憑證期限縮短為398天</a><br /> ●<a href="https://www.ithome.com.tw/news/139604">蘋果App Store超過1,200個程式採用惡意廣告SDK</a><br /> ●<a href="https://www.ithome.com.tw/news/139607">微軟公開測試以容器開啟可疑Office文件的安全功能</a><br /> ●<a href="https://www.ithome.com.tw/news/139674">美國打算沒收280個北韓駭客的加密貨幣帳號</a></h3> </div></div></div>
2020/9/2 10:11作者周峻佑https://www.ithome.com.tw/news/139726
Slack修補遠端程式攻擊漏洞，只付1,750美元惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Slack在今年修補了一個遠端程式攻擊漏洞，受到外界注意的不僅是該漏洞極其危險，還加上Slack只支付了1,750美元予發現該漏洞的研究人員，讓其他研究人員紛紛替其抱不平。</p> <p>代號為oskars的研究人員是透過HackerOne平台提交漏洞<a href="https://hackerone.com/reports/783877">予Slack</a>，根據說明，駭客只要利用程式內的重新定向至 logic/open重新定向，或者是HTML或javascript注射，就能於桌面版Slack程式中執行任意程式，而且同時危及Windows、macOS與Linux平台。</p> <p>成功的攻擊不僅允許駭客取得Slack用戶的私有檔案、私鑰、密碼或內部網路存取權，駭客也可注入蠕蟲式的酬載，讓任何點選該酬載的團隊成員一併被感染。</p> <p>HackerOne在Slack修補該漏洞之後公開了漏洞細節，顯示該漏洞被列為重大（Critical）風險等級，且oskars獲得了1,750美元的獎金。</p> <p>同樣身為白帽駭客的Daniel Cuthbert很快就跳出來替oskars<a href="https://twitter.com/dcuthbert/status/1299664065263001601">抱不平</a>，指出一個數千萬人使用的協作平台，竟然只付1,750美元給揭露重大漏洞的研究人員，oskars大可把該漏洞出售給exploit.in等懸賞重大漏洞的第三方業者，呼籲Slack應該制定更合理的獎勵金額。</p> <p>另一位資安研究人員Alon Gal<a href="https://twitter.com/UnderTheBreach/status/1299700464787873792">也說</a>，倘若oskars把該漏洞賣給其它業者，應該至少可賺進數萬美元，政府也許應該規定企業應該支付更高的漏洞獎勵金額。</p> <p>以專門對外懸賞零時差漏洞的Zerodium<a href="http://zerodium.com/program.html">為例</a>，若為路由器、vBulletin、Joomla或Drupal的遠端程式攻擊漏洞，最高價碼為1萬美元，若是更熱門的程式，像是Adobe PDF、WinRAR或7-Zip的遠端程式攻擊漏洞，最高價碼則是8萬美元。</p> <p>Mashable也向Slack詢問，得到發言人制式的<a href="https://mashable.com/article/slack-fixes-critical-remote-code-execution-vulnerabilitybug-bounty/">回應</a>而沒有針對這起爭議說明，Slack表示，該公司非常重視資安社群的貢獻，將會繼續檢討其抓漏獎勵的支付規模，以表達他們對研究人員的認同。</p> </div></div></div>
2020/8/31 15:18作者陳曉莉https://www.ithome.com.tw/news/139696
Lemon_Duck挖礦程式蔓延到Linux平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sophos<a href="https://news.sophos.com/en-us/2020/08/25/lemon_duck-cryptominer-targets-cloud-apps-linux/" target="_blank">在上周警告</a>，厲害的挖礦程式Lemon_Duck日益精進，現在不僅可感染Windows平臺，也把目標轉移到Linux平臺與雲端應用。</p> <p>去年現身的Lemon_Duck主要用來感染企業網路，以於企業內部系統上植入門羅幣（Monero）挖礦程式，根據趨勢科技<a href="https://www.trendmicro.com/en_us/research/19/f/monero-mining-malware-pcastle-zeroes-back-in-on-china-now-uses-multilayered-fileless-arrival-techniques.html" target="_blank">的分析</a>，它使用多重的無檔案手法，利用多個惡意的PowerShell腳本程式下載酬載，且只於記憶體中執行，最後一個PowerShell腳本程式則描述了所有的惡意程序，包括使用EternalBlue攻擊程式來攻陷SMB（Server Message Block），暴力破解系統，執行雜湊傳遞（Pass The Hash）攻擊，以及下載各種酬載等。</p> <p>Sophos則將它稱為坊間最先進的挖礦程式之一，因為Lemon_Duck作者持續更新它的程式碼，讓它的社交程式攻擊跟上時事，也會改善它躲避偵測的能力，最新的Lemon_Duck已不只瞄準Windows平臺，還把目標轉向了Linux平臺，以及Redis資料庫與Hadoop叢集。</p> <p>Lemon_Duck最危險的功能之一應該是它的散布能力，新版Lemon_Duck以武漢肺炎（COVID-19）為主旨的郵件來誘導使用者點選附加檔案，在成功感染系統之後，它會根據受害者的Outlook通訊錄，自行寄送惡意郵件給受害者所有的聯絡人，讓受害電腦成為Lemon_Duck的超級傳播者。</p> <p>此外，新版Lemon_Duck已可感染那些執行Linux的系統，透過內建的傳輸埠掃描模組來搜尋以SSH協定登入的Linux系統傳輸埠，一旦找到目標對象便執行SSH暴力破解攻擊。</p> <p>Lemon_Duck也會掃描網路上是否有因配置失誤而曝光的Redis分散式資料庫，或是不需身分認證的Hadoop叢集，以在這些系統上植入挖礦軟體。</p> <p>Sophos在GitHub上公布可用來辨識是否受到Lemon_Duck<a href="https://github.com/sophoslabs/IoCs/blob/master/Trojan-LDMiner.csv" target="_blank">入侵的指標</a>供外界參考。</p> </div></div></div>
2020/8/30 11:15作者陳曉莉https://www.ithome.com.tw/news/139684
Container周報第129期：K8s終於釋出今年第二次更新，Ingress和安全運算模式雙雙進入正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>8/1~8/28 精選容器新聞</strong></p> <h3><span style="color:#0000FF;"><strong>#版本更新 #K8s #Igress</strong></span><br /><span style="color:#FF8C00;"><strong>K8s終於釋出今年第二次更新，Ingress和安全運算模式雙雙進入正式版</strong></span></h3> <p>K8s官方網站最近宣布終於釋出今年第二次的K8s新版本1.19版。最大特色是用來控管對外連線流量的Ingress機制，終於發布了正式版，而安全運算模式seccomp也同樣成為正式版功能。預計這次改版，一口氣有34項更新，包括10項功能進入穩定階段，15項Beta版和9項新增加的Alpha版功能，例如新增加的Node除錯機制。</p> <p>原本K8s一年會釋出四次改版，平均每季一次，但是今年受到疫情影響，開發團隊希望參與開發的貢獻者，可以花更多的時間在日常生活，因此延後了發布時程，這次改版距離上一個版本，足足隔了20周，也因此這次改版的幅度很大。<br /> 其中第一個重所關心的功能是Ingress成為穩定正式功能。這是一個用來控管K8s叢集對外存取的API，可以用來控制外部對內部微服務的存取路徑和權限，包括來自外部的HTTP或HTTPS加密連線的路由控制，等於這是一個負載平衡機制，可以用來管理K8s叢集內所有節點或應用，對外的網路流量，也是分散調度來自外部存取請求的關鍵API，早在2年前的1.11版就登場，但直到現在終於穩定了，這次也有一點小幅強化，增加了Ingress網路API，可以用來設計存取範本或驗證存取的變動。</p> <p>K8s安全運算模式seccomp也進入正式版，這是一個利Linux核心來提供的資安機制，可以用來限制一個容器應用所能執行的系統呼叫數量，因此可以做到限制容器應用能力的效果。1.19版中，seccomp也增加了一個功能，可以分別針對單一個Pod叢集或容器，來設定資安政策的seccompProfil檔案，來提高資安控管的精細度。</p> <p>另外，去年K8s官方找來第三方進行專案稽核，其中有一項件事就是要支援TLS 1.3加密連線，現在也在1.19版中支援了，可以用於Orchestrator調度時改採加密連線的呼叫。另外有一個重要的新功能是Node除錯機制，目前這個功能仍就是Alpha版。Node除錯機制可以在原有主機環境的命名空間中，立即建立和執行一個新的Pod，以便用來除錯找問題。換句話說，一個正在執行中得Pod節點不用關機重開，就能新增一個處在同樣命名空間有同樣存取權限的Pod來除錯。另外，值得注意的是，1.19版也列出了一些老舊不推薦的API功能，這也意味著後續版本將逐漸停止對這些功能的維護。</p> <h3><span style="color:#0000FF;"><strong>#CNCF #K3S </strong></span><br /><span style="color:#FF8C00;"><strong>Rancer捐出超輕量級K8s發布版K3S，正式成為CNCF沙盒專案</strong></span></h3> <p>去年2月登場的輕量級K8s坂本K3S，最近開發者Raner決定將K3S捐給CNCF基金會，目前處於沙盒階段，這表示CNCF已取得所有權，但專案還需經過一段時間調整，才能釋出成為推廣孵化的對象。K3S是一個專門用來執行1個節點的輕量級K8s版本，大幅移除了複雜的多節點調度和管理元件，來簡化K8s部署的檔案大小，目的是能夠在運算能力較弱的邊緣運算裝置或筆電中建立一個K8s環境。K3S安裝檔的檔案只有40MB，但已經可以提供內建儲存後端，包括支援Etcd3、MySQL和Postgres資料庫。</p> <h3><span style="color:#0000FF;"><strong>#Fargate #容器長期儲存</strong></span><br /><span style="color:#FF8C00;"><strong>AWS容器無伺服器容器服務Fargate新增檔案儲存功能EFS，可用於長期和有態儲存</strong></span></h3> <p>最近AWS宣布自家無伺服器容器Fargate服務，增加了新的檔案儲存功能EFS（Elastic File System），可以用來儲存長期使用的資料，不會隨著所用Fargate關閉，就儲存的資料就同步消失，也可用於有態應用，將資料傳遞給下一個應用程式來接手。目前這個功能可以支援到1.17版K8s版，未來幾周才會支援到更新的K8s版本。</p> <h3><span style="color:#0000FF;"><strong>#軟體開發 #VS2019 </strong></span><br /><span style="color:#FF8C00;"><strong>Visual Studio 2019版開始支援Kubernetes本地端連線開發</strong></span></h3> <p>最近微軟在官方開發部落格上，發布了VS 2019版 16.7版的一項新功能，可以在本地端主機上，針對一項.NET微服務進行開發修改、測試除錯，但又同步連線到遠端的K8s叢集上的其餘所有應用或服務，等於可以將一套微服務其中一項服務拉到本地端來進行程式碼開發和測試，但又同時可以成為遠端叢集中的其他微服務互動，不用像過去得把這個.NET微服務，部署到叢集中執行才能進行測試。</p> <h3><span style="color:#0000FF;"><strong>#Docker #映像檔</strong></span><br /><span style="color:#FF8C00;"><strong>匿名無人用的檔案爆量，Docker決定限制免費帳號的映像檔拉取次數</strong></span></h3> <p>由於Docker平臺上，超過6個月無人存取的映像檔容量高達10 PB，幾乎占了在Docker Hub上的15 PB映像檔中的三分之二，其中更有4.5 PB來自免費帳號。這些映像檔僅被短暫的使用過，包括了來自結合Docker Hub持續整合工作管線的映像檔，使用者通常會遺忘過程產生的映像檔。因此，Docker官方決定開始實施新的政策，將移除免費帳戶中，長時間無人使用的映像檔之外，而且為了解決匿名帳戶映像檔拉取過於浮濫的問題，也將限制免費使用者拉取映像檔的次數。新的映像檔留存政策將會從11月1日開始實行，系統僅會刪除免費帳戶託管的映像檔，付費帳戶、由官方驗證的發布者以及官方發布的映像檔則不在此限。匿名的免費用戶每6小時拉取次數限制為100次，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，付費使用者則不在此限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Docker-All-Together-scaled.jpeg" /></p> <h3><span style="color:#0000FF;"><strong>#銀行容器實例 #微服務 #行動銀行</strong></span><br /><span style="color:#FF8C00;"><strong>兆豐銀新一代行動銀行和網銀全面改用微服務架構和容器</strong></span></h3> <p>最近，兆豐銀揭露，早在2018年春天，開發新一代行動銀行與網銀時，就積極採用了微服務架構與容器技術來打造。花了一年多時間，兆豐銀去年底上線新一代行動銀行，而與網銀則在今年4月上線。兆豐銀行資訊管理中心副總經理陳國寶提到：「採用容器技術最根本的原因是，讓銀行的反應快，面對爆量需求時，用容器作法，才能橫向擴充。」不過，也不是全部業務都適合用容器技術，他表示，假設無爆發性成長的業務，則不需用到。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/350-%E9%99%B3%E5%9C%8B%E5%AF%B6_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89(1).jpg" /></p> <h3><span style="color:#0000FF;"><strong>#容器安全 #GKE</strong></span><br /><span style="color:#FF8C00;"><strong>新版GKE資料平面支援eBPF技術，增加容器可見性與安全性</strong></span></h3> <p>Google釋出最新使用eBPF（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面GKE Dataplane v2，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <h3><span style="color:#0000FF;"><strong>#Arm處理器 #EKS</strong></span><br /><span style="color:#FF8C00;"><strong>EKS現可選用AWS自行設計的Graviton2 Arm處理器</strong></span></h3> <p>AWS宣布EKS服務也可以使用AWS自行設計的專用Graviton 2晶片來執行工作負載。Graviton 2提供256位元DRAM加密，且支援雙SIMD單元，整個提供的效能，比前一代高了7倍，而且浮點數運算效能也提高1倍，還擁有更大的記憶體通道，在人工智慧的支援上，Graviton 2支援int8和fp16精度運算，能夠大幅提升機器學習預測工作負載的計算速度。</p> <h3><span style="color:#0000FF;"><strong>＃服務網格＃Envoy</strong></span><br /><span style="color:#FF8C00;"><strong>微軟宣布捐出自家開發的輕量級服務網格OSM給CNCF</strong></span></h3> <p>微軟開發了一個輕量級，且可擴充的雲端原生服務網格（Open Service Mesh，OSM），用戶可以一致且安全的方法，管理高動態的微服務環境。OSM解決方案建構在Envoy專案之上，以服務網格介面（Service Mesh Interface，SMI）實作，現在微軟要把OSM貢獻給雲端原生運算基金會（CNCF）。OSM可用來簡化各項服務網格管理工作，像是在常見的部署情境配置流量轉移，或是透過自動mTLS以保護服務間的通訊，也能對服務應用精細的存取控制政策</p> <p>責任編輯／王宏仁 </p> <p><strong>更多Container相關動態</strong></p> <ul><li>Atlassian一口氣推出12項DevOps新功能，能整合GitHub、Git等多種雲端程式碼服務庫的追蹤</li> <li>Mirantis收購知名Kubernetes IDE Lens</li> <li>Linux 5.8成為有史以來最大更新版本</li> </ul><p>GitLab免費使用者帳戶將無法重置多因素驗證<br /> Google推雲端憑證頒發機構服務，支援物聯網與容器等大規模使用情境</p> </div></div></div>
2020/8/28 12:15作者王宏仁https://www.ithome.com.tw/news/139660
Kali Linux 2020.3釋出，官方預告準備更換預設殼層
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位鑑識以及滲透測試專用的Kali Linux發行版，釋出了<a href="https://www.kali.org/news/kali-2020-3-release/">最新的2020.3版本</a>，這是繼去年2019.4版之後，較大的更新。官方宣布從這個版本開始，預設殼層即將從bash換成ZSH，而且由於微軟發布了WSL2，因此官方也做出相對應的更新，新的Win-KeX功能可在Windows上，藉由WSL2開啟持久對話GUI。</p> <p>目前Kali Linux預設使用的殼層為bash，但是官方現在宣布，從下一個版本2020.4開始，預設殼層將會正式轉換使用ZSH，但是如果用戶是安裝全新的Kali Linux 2020.3，系統便會幫用戶預先安裝ZSH，用戶可以在這個版本嘗試使用新殼層，而從較舊版本升級到2020.3的用戶，系統會缺少預設ZSH配置，因此用戶需要手動新增。</p> <p>之所以官方要更換殼層，是因為ZSH比bash的功能更加豐富，但官方提到，殼層更換是一個非常大的變化，他們現在也仍在收集用戶的意見回饋，希望在設計和功能之間取得適當的平衡。接下來官方還會進行更廣泛的測試，所以先推延預設配置，並保留未來更改的可能性。官方還提到，他們不打算預設使用任何的ZSH框架，包括Oh-My-ZSH或Prezto，原因是這些框架對於低功率裝置來說太耗能，但是用戶可以自行斟酌安裝。</p> <p>由於WSL2改善了整體功能以及用戶使用體驗，官方現在提供Win-KeX（Windows + Kali Desktop EXperience）功能，可以進一步提升用戶的使用體驗，只要在安裝之後，無論是使用殼層或是圖形介面，用戶都能簡單地在Windows上，開啟Kali Linux持久對話GUI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/release-2020_3-win-kex.png" style="width: 580px;" /></p> <p>另外，由於HiDPI（High Dots Per Inch）越來越普遍，但是Linux的開箱即用支援並不好，因此Kali Linux加入自動調整功能。官方提到，當使用者執行全新安裝之後，還需要進行一些調整，才能讓畫面變得舒適正常，否則有一些文字或是內容會小到難以閱讀。因此Kali Linux 2020.3加入了自動化HiDPI功能來解決這個問題，官方提供了kali-hidpi-mode，無論是用輸入指令或是從選單選擇，系統都能自動切換HiDPI模式。</p> <p>而官方也發布可支援Nokia 3.1和Nokia 6.1手機的Kali NetHunter，Kali NetHunter是以Kali Linux為基礎的開源Android行動裝置滲透測試平臺，可用於非Root裝置，目前Kali NetHunter支援不少型號的Android手機，包含NEXUS、OnePlus、Galaxy Tab S4以及Sony XPeria Z1等。</p> </div></div></div>
2020/8/26 13:05作者李建興https://www.ithome.com.tw/news/139601
IBM DB2資料庫爆資料外洩漏洞，影響Unix、Windows版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員發現<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/ibm-db2-shared-memory-vulnerability-cve-2020-4414/" target="_blank">IBM DB2資料庫有一個共享記憶體漏洞</a>，可導致資料被人讀取或發動阻斷服務（Denial of Service，DoS）攻擊，呼籲企業應儘速修補。</p> <p>TrustWave研究人員Martin Rakhmanov 6月揭露<a href="https://www.ithome.com.tw/news/138324" target="_blank">思科WebEx Meetings Windows版用戶端一項漏洞</a>，讓駭客讀取記憶體而取得驗證用的符記、用戶名稱，進而存取視訊會議內容及密碼。而這問題也影響IBM DB2，特別是在trace工具（trace facility）上。</p> <p>IBM DB2是一組混合式資料管理產品，可用來分析和管理企業的結構和非結構化資料。DB2的trace工具主要是提供DB2技術支援人員診斷資料庫之用，可紀錄、追蹤DB2作業資訊，包括函式及相關參數值，並將這些資訊格式化成可讀取的檔案形式。</p> <p>編號<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4414" target="_blank">CVE-2020-4414</a>的漏洞，是指該平臺忽略在IBM DB2 trace工具所用的共享記憶體加入明示的記憶體防護，這使得本機用戶得以讀寫記憶體區資料。攻擊者只要傳送惡意呼叫，就能開採這項漏洞而存取敏感資料，或是變更trace子系統的運作，導致DoS攻擊。</p> <p>研究人員舉例，在Windows上，啟動Process Explorer或其他類似工具就能開啟DB2主要行程（process），寫個簡單console app即可按名稱找到並開啟記憶體區，倒出開頭的若干位元組，完全無需取得許可。他還示範了只要在記憶體區寫入不正確的資料，即可引發DoS攻擊。</p> <p>本漏洞影響Unix、Linux及Windows版DB2 （包括DB2 Connect Server）9.7、 10.1、10.5、11.1和 11.5版。不過大型主機及z/OS版DB2則不受影響。</p> <p>在其通報下，IBM已在6月30日<a href="https://www.ibm.com/support/pages/node/6242356" target="_blank">發布安全更新</a>，修補CVE-2020-4414及其他安全漏洞。</p> </div></div></div>
2020/8/24 16:00作者林妍溱https://www.ithome.com.tw/news/139575
Google新版GKE資料平面支援eBPF技術，增加容器可見性與安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出最新使用<a href="https://ebpf.io/">eBPF</a>（extended BPF）虛擬機器技術，和開源網路安全軟體套件Cilium的資料平面<a href="https://cloud.google.com/blog/products/containers-kubernetes/bringing-ebpf-and-cilium-to-google-kubernetes-engine">GKE Dataplane v2</a>，現在GKE除了支援即時政策執行之外，還能在最低的效能影響下，將政策操作與Pod、命名空間和政策名稱相關聯，對政策進行故障排除，發現異常網路活動。</p> <p>Google提到，隨著Kubernetes使用案例的發展，用戶對於安全性、可見性和可擴展性等要求越來越多，而且像是服務網格和無伺服器等新技術，用戶都需再對Kubernetes底層，加入許多自定義功能。要方便地支援這些新用例，Google表示，需要高度可程式化的資料平面，在不犧牲效能的前提，使該平面可執行更多Kubernetes封包相關的操作。</p> <p>Linux在3.18版本時，加入的擴展BPF虛擬機器，不需要重新編譯核心或是載入核心模組，就可以在Linux核心中執行沙盒程式，eBPF能將可程式化的Hook開放給Linux核心中的網路堆疊，程式不需要在使用者和核心空間中來回切換，就可以讓核心使用豐富的使用者空間資訊，來高速地處理網路封包。</p> <p>過去需要依賴核心變更和核心模組才能解決的問題，在近幾年eBPF已經成為解決這些問題的標準方法，並且讓部分網路、安全性和應用程式分析工具，可以不依賴核心功能，並在不影響執行效率和安全性的情況下，主動再程式化Runtime行為。</p> <p>而Cilium則是一個建構在eBPF之上的開源專案，能夠滿足容器工作負載的可擴展性、安全性和可見性需求，Google提到，他們積極貢獻Cilium專案，目前Cilium已經是所有eBPF實作中，最成熟的專案。</p> <p>Google表示，Kubernetes用戶會想以網路政策，來宣告Pod之間通訊的方式，但是過去沒有可擴展的方法，對這些政策行為進行故障排除或是審核，因此無法有效地達成目的，但在GKE支援eBPF之後，便能實作即時政策執行等相關操作。</p> <p>Google進一步解釋（下圖），當封包進到虛擬機器中的時候，安裝在核心的eBPF程式將會決定路由封包的方法，不像使用IPTables，eBPF程式能夠存取包含網路政策資訊的Kubernetes特殊元資料，如此eBPF程式不只能決定要允許或是拒絕封包，還可以回報帶註解的操作報告給使用者空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Container_Networking_Interface_max-1100x1100.jpg" style="width: 580px;" /></p> <p>GKE Dataplane v2用戶將能獲得更好的基礎設施可見性，並用來改善其安全狀況，像是快速辨識異常流量模式，或是透過Kubernetes網路政策日誌記錄，用戶可以直接在Cloud Logging控制臺查看允許和拒絕的網路連接，並對政策進行故障排除，探索不尋常的網路活動。</p> </div></div></div>
2020/8/20 23:55作者李建興https://www.ithome.com.tw/news/139519
如何做好Linux物聯網裝置資安？專家呼籲要從慎選核心開始
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源的Linux作業系統，由於能夠免費取得等特性，而廣受各界採用，無論是雲端服務、Android智慧型手機、網域名稱伺服器，以及超級電腦等，幾乎都是此類作業系統的天下，許多物聯網裝置也同樣使用Linux來開發。然而許多企業運用來開發連網設備產品之後，卻可能因為難以維護相關韌體，導致漏洞一旦被發現的時候，企業需要花費大量時間才能修復，這種情況在最近幾年可說是時有所聞。</p> <p>到底要如何改變這種窘境？Moxa軟體發展中心專案副理林上智（SZ Lin）在2020年臺灣資安大會上，以自身參與嵌入式Linux設計與開發的經驗，呼籲開發者要從「挑選Linux核心（Kernel）」做起，後續才能減少維護和修補漏洞的負擔。</p> <p>林上智指出，近年來許多執行Linux作業系統的連網設備，陸續被發現安全漏洞，甚至可能已經被駭客用來發動攻擊，其原因與他們採用的作業系統缺乏維護有關。他引用了德國弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）對於家用路由器的研究報告，該份報告針對7個廠商推出的127款設備進行研究，指出其中有許多執行的是久未更新的舊版Linux核心，甚至有46款在一年內都沒有發布修補軟體等情況。林上智說，這些路由器廠商沒有定期修補漏洞是最主要的問題，而使用極為老舊的作業系統核心倒是其次。探究其原因，他認為很可能是一開始沒有選擇合適的核心導致。</p> <p>而對於運用於製造業、醫療、政府單位等關鍵基礎設施的物聯網裝置，最近幾年政府也開始要求企業必須遵循有關標準。像是由美國國家標準暨技術研究院（NIST）推出的供應鏈風險管理標準SP800-161，由國際自動化學會（ISA）制訂的ISA/IEC 62443-4-1，以及北美電力可靠度公司（NERC）發表的CIP-010-2等。</p> <p>但即使不是運用在上述關鍵基礎設施場域的連網裝置，還是有可能因為設備的漏洞遭到揭露，甚至是上到新聞版面，導致企業必須面臨用戶對於資安防護的存疑，若是因此洩露歐洲民眾的個資，還可能遭到歐盟的裁罰，對於如此的情況，企業勢必要更加正視物聯網裝置的資安維護工作。</p> <h2><strong>挑選合適Linux核心是增加設備資安的開始</strong></h2> <p>那麼，企業要做好Linux連網裝置的安全，林上智認為，最好從開發的初期流程著手。因為，企業想要修補軟體的缺陷，在軟體開發生命週期（SDLC）的各階段中，所需的資源和成本會隨之不斷增加。根據NIST的研究，在產品上市之後才來處理軟體缺陷，比起在開發初期，也就是在收集與分析需求，以及設計架構的階段，上市後耗費的成本是開發初期的30倍。林上智說，在他的經驗裡，前述兩個階段修補花費所需資源，差距實際上可是超過NIST指出的比例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-SDLC-fixcost.png" style="width: 580px;" /></p> <p>其中，Linux作業系統的核心，由於牽涉範圍甚廣，因此一旦出現漏洞，就有可能導致企業疲於修補。因此，林上智表示，在軟體開發流程裡，依據營運模型和相關需求，挑選合適的核心，是改善連網裝置安全的重要課題，他還說核心「早期選得好，之後沒煩惱」。</p> <p>但究竟要如何挑選合適的核心版本？林上智說這個沒有能夠一體適用的答案，因為企業必須根據開發的時程、資源，以及藍圖等層面，進行評估，但是有3個大原則可以依循，首先是選用的核心必須擁有開發連網設備所需之核心技術（Core Technology），再者是遵循足夠優秀（Good Enough）和簡單易懂（KISS）的原則，做為選擇的考量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-reqanalysis.png" style="width: 580px;" /></p> <p>林上智以城市基礎建設系統（Civil Infrastructure System）的連網裝置開發為例，這類的裝置所採用的Linux核心，必須要有工業等級的可用性，還要能夠長達10年以上的支援、維護，以及具備足夠資安防護，進而達到降低開發的成本與時間，以及後續維護的成本等目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SZLin-LinuxKernel-CIP.png" style="width: 580px;" /></p> <p>在市面上企業可選用的Linux核心，基本上包含了Linux基金會推出的主要版本，還有PREEMPT_RT專案，是應用於工業控制即時系統的核心版本。</p> <p>而根據核心的來源，則可以區分是來自處理器廠商的SoC Board Support Package Kernel，還有Linux基金會推出的長期支援版本（Long Term Support，LTS），以及針對城市基礎建設，由相關業者共同維護的城市基礎建設平臺（Civil Infrastructure Platform，CIP）等。</p> <p>其中，由處理器廠商提供的Linux核心，其優點是特別針對指定硬體設計，企業能夠快速運用來開發連網裝置，但與一般的核心相比，這種核心也相當仰賴處理器廠商的支援周期長短，而且不同的處理器往往有對應版本的Linux核心，因此企業很有可能因為廠理器廠商終止支援，面臨被迫更換新版核心開發的情況，而在進行漏洞修補的時候，企業也必須對於不同處理器的版本個別開發更新程式。</p> <p>而Linux基金會推出的LTS版本，則是在他們每年推出的主線版本裡，挑選其中一個分支來開發這種長期維護的版本，該基金會最初的政策是提供2年支援，但目前實際支援的周期大約都延長到6年左右。而這種版本所提供的支援，主要是對於臭蟲和漏洞的修補，並不會加入新的硬體支援，因此，如果企業選擇了LTS版，未來很有可能會面臨無法搭配新的硬體運作的情況。為了解決上述不足的情況，Linux基金會曾一度推出了增加硬體支援的專案，名為Long Term Support Initiative（LTSI），不過目前已經停止開發。</p> <p>至於著眼於城市基礎建設的CIP，也是從LTS延伸而來，由開發相關設備的廠商共同維護，他們對於核心與主要功能模組（Core Package），計畫維護10年至20年。為何這些廠商決定合作？林上智說，他們目的是要減少自己在維護核心上的心力，進而將更多資源運用在開發設備的主要功能上。</p> <p>此外，林上智也提醒開發者，千萬不要因為正在開發的測試版核心納入了自己需要的新功能而採用，因為這種版本很可能還有很多臭蟲，會造成企業日後維護上的困擾。</p> <h2><strong>回報上游和慎選必須的套件，可減少日後維護的負擔</strong></h2> <p>值得留意的是，企業很可能會基於商業秘密的考量，取得Linux核心的程式碼後，就想要開發成專屬版本（Own Community），修補的程式碼只有自己能夠使用。林上智說，如果採用這種方式來維護所使用的核心，企業同樣也無法直接套用日後源頭提供的新版本內容，一旦要自行逐次加入相關修補，將會耗費大量的開發資源，尤其是Linux核心大約每3個星期就更新一次，若是企業依照這個周期自己修改大量程式碼，將會是非常繁重的工作。因此，林上智認為，企業應該要採取「Upstream First」的概念，把自己修補完成的程式碼提報給上游，也就是企業取得核心的來源，如此一來，日後只要再從上游升級新版核心，也能一併取得他人修補的內容，避免所有的漏洞都要自己修改的情況。</p> <p>另一方面能減少Linux連網裝置遭到攻擊的風險，就是只使用必須的套件。雖然許多開發者會把Linux核心相關的套件全部納入，但這也代表了一旦用不到套件出現漏洞，企業還是必須設法修補，反之，如果是沒有採用的套件，即使漏洞的CVSS第3版風險指標達到滿分10分，這些採用此版核心的連網裝置還是不受影響。</p> </div></div></div>
2020/8/20 19:17作者周峻佑https://www.ithome.com.tw/news/139528
資安一周第107期：加拿大政府網站上萬民眾帳密被竊。俄羅斯Linux惡意程式鎖定美國政府與國防單位下手。
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0813-0819 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">加拿大政府網站遭駭客攻擊，上萬用戶帳密被竊</strong></h2> <p>加拿大政府在8月15日公告，駭客鎖定該國政府所提供的身分驗證服務（GCKey）及國稅局（CRA）帳號發動網路攻擊，估計有9千多個GCKey帳號與5千多個CRA帳號遭破解，已緊急關閉這些帳號並重新要求用戶取得憑證。</p> <p>GCKey是加拿大政府替當地民眾所設計的單一身分驗證服務，經過身分驗證的使用者可獲得GCKey帳號，用以存取30種政府服務，在3千8百萬加拿大人中，已有1千2百萬人擁有此項帳號。至於CRA帳號則是獨立的憑證，專門用來存取加拿大國稅局的服務。</p> <p>加拿大政府表示，駭客是藉由帳號填充攻擊來竊取GCKey及CRA憑證，利用先前已外洩的資料，再加上使用者習慣在不同的服務上使用同樣密碼的特性，取得了9,041個GCKey帳密與5,500個CRA帳密，且已企圖利用這些資料存取相關服務。<strong><a href="https://www.ithome.com.tw/news/139438">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-1-GCKey-CRA-leakage.png" style="width: 400px;" /></p> <p>圖片來源：加拿大政府</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家安全＃惡意軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">俄羅斯發動Linux惡意程式Drovorub攻擊，鎖定美國政府及國防單位</strong></h2> <p>美國國家安全局（NSA）及聯邦調查局（FBI）於8月13日，發布聯合網路安全公告，警告俄羅斯情報機關正以名為Drovorub的惡意程式，攻擊該國政府及國防工業用Linux系統。</p> <p>這份報告中提到，Drovorub的核心模組，會利用多種手法長期隱身於受害主機，若是主機沒有使用UEFI安全開機的完整模式，重新開機之後，Drovorub仍會存在。不過，此報告並未提及是否有單位已經受到攻擊。NSA與FBI也在報告裡提出呼籲，系統管理員應該採取下列防禦措施，包括升級到最新版Linux核心，再者，系統也應啟動UEFI安全開機，以防上述惡意核心模組遭到載入。<a href="https://www.ithome.com.tw/news/139403"><strong>詳全文</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-2-Drovorub.png" style="width: 400px;" /></p> <p>圖片來源：美國國家安全局</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃國家安全</strong></h3> <h2><strong style="vertical-align: top;">美國大選將至，中國、俄羅斯、伊朗駭客遭到點名</strong></h2> <p>美國反間諜執法辦公室（NCSC）指控，隨著該國總統大選即將於今年的11月3日舉行，許多國家的駭客集團都已展開干擾活動，而他們主要關注中國、俄羅斯，以及伊朗可能會帶來的威脅。其中，中國與伊朗不想讓川普連任，而俄羅斯則是專門詆毀拜登，希望讓川普當選。<a href="https://www.ithome.com.tw/news/139306"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃應用程式安全</strong></h3> <h2><strong style="vertical-align: top;">抖音驚傳暗中收集Android裝置識別資料長達一年</strong></h2> <p>在美國打算封鎖抖音（TikTok）之際，華爾街日報於8月11日爆料，該應用程式曾經收集Android裝置的MAC位址，明顯違反Google Play市集的規定，直到去年11月因美國政府施壓才終止，收集相關資料一年之久。<strong><a href="https://www.ithome.com.tw/news/139349">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊＃macOS ＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">惡意程式透過Xcode專案散布，鎖定macOS零時差漏洞</strong></h2> <p>趨勢科技發現一個鎖定macOS電腦的木馬程式XCSSET，藉由滲透到開發者電腦的Xcode專案，讓開發者編譯的軟體成為散布此木馬的途徑，再者，XCSSET也利用蘋果軟體的漏洞竊取重要資訊，包括帳號、密碼等，甚至駭客能經由C&C伺服器下達指令，讓XCSSET加密macOS電腦的檔案，並顯示勒索訊息要受害者付錢。</p> <p>趨勢科技並沒有說明漏洞其他細節，只表示他們已經通報蘋果，而表示蘋果現正開發Data Vaults漏洞的修補程式。不過，蘋果提到駭客濫用的開發版Safari的問題不是漏洞，而是本來預設的行為，因此這個部分並不打算處理。<a href="https://www.ithome.com.tw/news/139432"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">語音助理Amazon Alexa存在洩漏使用者資料的漏洞</strong></h2> <p>Check Point資安研究人員發現語音助理Amazon Alexa存在漏洞，可讓惡意人士操縱Alexa功能，或是存取使用者個人資料。研究人員提到，這個漏洞與Alexa網頁服務的幾個子網域有關，因為，這些網域容易受到跨站腳本攻擊（XSS）與跨域請求攻擊（CSRF）。</p> <p>駭客可透過發送惡意連結讓使用者上當，使用者一旦點選，駭客便能透過程式碼注入來使得伺服器產生錯誤，進而掌握使用者的Alexa帳號，接著可刪除功能或是植入惡意功能，並且竊取用戶的語音記錄，導致受害者的金融資料與隱私外洩。</p> <p>雖然Amazon不會記錄用戶的銀行登入憑證，但是由於駭客能夠透過前述存取聊天對話記錄，因此能夠存取受害者與銀行互動的歷程，並取得使用者帳號、電話，甚至可能還有家裡住址，以及更多其他資訊。<strong><a href="https://www.ithome.com.tw/news/139424">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong>微軟的本地安全認證子系統服務漏洞沒修好，研究人員指出可輕易繞過</strong></h2> <p>在微軟8月份的例行修補星期二（Patch Tuesday），總共修補120個漏洞，但Project Zero的研究人員James Forshaw指出，他提報的CVE-2020-1509並未得到完全修補，只要Windows電腦設置了代理伺服器（Proxy），駭客照樣能夠繞過這個漏洞。</p> <p>這項漏洞存在於Windows的本地安全認證子系統服務（Local Security Authority Subsystem Service，LSASS），影響所有版本的Windows 10，駭客一旦濫用，便能取得管理員權限來執行命令，CVSS 3.0的風險評分為8.8分。<a href="https://www.ithome.com.tw/news/139406">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">IE 11漏洞已被用來攻擊南韓企業</strong></h2> <p>在微軟8月份的例行修補星期二，其中有個漏洞CVE-2020-1380，是出現在IE 11上，且已經出現攻擊事件。通報這個漏洞的是資安業者卡巴斯基，他們於8月11日揭露，此漏洞已被鎖定飯店業者的駭客組織Darkhotel APT在5月下旬濫用，並且串連另一個在6月被修補的漏洞CVE-2020-0986，發動Operation PowerFall攻擊行動，鎖定一家南韓企業下手。<strong><a href="https://www.ithome.com.tw/news/139391">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃網路詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">讀冊會員個資外洩事件爆增，一周45名受害者報案</strong></h2> <p>網路書店「TAAZE讀冊生活」會員遭到詐騙的事件，從今年初開始時有所聞，而最近傳出受害者數量大幅增加的現象，刑事警察局的165專線於8月16日發布新聞稿指出，從1月到8月9日，他們收到235件報案，累計損失達2千2百萬餘元；但值得留意的是，光是8月初的一個星期裡（8月2日到9日），他們就接到45名受害者報案，占所有事件近2成（19.5%），使得該網路書店成為當週解除分期付款詐騙事件次數最多的平臺。</p> <p>由於8個月來陸續有民眾受害，共通點都是在讀冊買書後，接到詐騙電話而上當，刑事警察局認為讀冊的資安防護顯然出現漏洞，導致因個資外洩而衍生相關詐騙事件，呼籲民眾要慎選電子商務平臺。<a href="https://165.npa.gov.tw/#/article/news/257">詳全文</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/107-3-165-taaze.png" style="width: 400px;" /></p> <p>圖片來源：刑事警察局</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/139316">美國銀行Capital One個資外洩案遭罰8千萬美元</a><br /> ●<a href="https://www.ithome.com.tw/news/139320">論壇架設軟體vBulletin修補不全，導致DEF CON論壇遭攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/139322">TeamViewer驚傳漏洞可導致密碼遭到破解</a><br /> ●<a href="https://www.ithome.com.tw/news/139319">密碼管理軟體1Password首度推出Linux版應用程式</a></h3> </div></div></div>
2020/8/19 18:15作者周峻佑https://www.ithome.com.tw/news/139503
Mirantis收購知名Kubernetes IDE Lens
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然Kubernetes最近很夯，但其實Kubernetes使用及管理相當複難。因此<a href="https://www.businesswire.com/news/home/20200813005062/en/Mirantis-Acquires-Lens-World%E2%80%99s-Popular-Kubernetes-IDE" target="_blank">Mirantis上周宣布</a>收購知名開源Kubernetes IDE（integrated development environment，IDE）Lens以取得Kubernetes多叢集管理能力。</p> <p>Lens最初由芬蘭新創公司Kontena所開發，但現有持有者是Lakend Labs，後者於今年3月前將Lens開源出來，並以MIT授權開放在GitHub下載。目前Lens在GitHub有3.5萬用戶及7,000個追蹤者（stargazers），涵括蘋果、樂天、Adobe、Zendesk等知名公司的工程師。</p> <p>Lens是桌機版App，支援macOS、Windows、Linux平臺。Mirantis指出，Lens的原始設計就是簡化Kubernetes管理複雜性，使用者可以即時管理、開發、監控、除錯多個Kubernetes叢集。Lens支援任何認證的Kubernetes發行版跑在任何基礎架構，不論是公有雲或本地部署環境上。</p> <p>Lens主要功能包括情境感知（context-aware）終端，可配合叢集安裝適當的kubectl指令行工具、內建多租戶Prometheus統計工具可即時觀看資源利用率、監看效能及問題。它支援多種環境，可從單一IDE管理在叢集，不論是本地的minikube、Docker Desktop，或是外部Docker Enterprise、EKS、AKS（AWS Kubernetes Service）、GKE（Google Kubernetes Engine、Rancher或OpenShift）上的叢集，匯入kuberconfig即可加入叢集。此外多個叢集都能整合到多個workspace來管理組織。</p> <p>這項收購也是Mirantis最新一樁企業產品。該公司去年11月<a href="https://www.ithome.com.tw/news/134199" target="_blank">收購Docker企業版產品</a>。<a href="https://www.mirantis.com/company/press-center/company-news/latest-mirantis-addition-provides-developer-friendly-tool-to-run-kubernetes/" target="_blank">今年2月又收購了</a>Lens的原始開發商Kontena。</p> </div></div></div>
2020/8/17 10:30作者林妍溱https://www.ithome.com.tw/news/139431
一周大事｜蔡英文：臺灣要打造世界信賴的資安產業鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【今年全球第二大資安會議在臺灣】蔡英文要推世界信賴的資安產業鏈</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0816-%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83-500.jpg" style="width: 500px;" /></p> <p>面對武漢肺炎疫情衝擊，今年超過1萬人報名的臺灣資安大會，和美國RSA資安大會是目前全球唯二實體舉辦的資安會議。總統蔡英文在8月11日到場致詞時指出，這是她二度參加，目的就是希望展現政府和臺灣資安產業站在一起的立場和態度。</p> <p>在面對全球數位科技的多重挑戰，蔡英文表示，政府將加速成立「數位發展部」，藉由整合「資訊」、「資安」、「電信」、「網路」和「傳播」五大數位發展領域，以整合性思維，讓政府未來面對各種危機時，有更好的應變能力，並透過推動前瞻數位科技與資安產業應用發展，提升數位國力。<a href="https://www.ithome.com.tw/news/139312" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>臺灣首座5G開放網路驗測平臺啟用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E8%87%B3%E6%B5%A9-5G%E9%96%8B%E6%94%BE%E6%9E%B6%E6%A7%8B-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%B7%A5%E6%A5%AD%E5%B1%80.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_工業局</span></p> <p>為打通企業5G專網的任督二脈，由政府主導，並聯合國內外網通廠商打造的臺灣5G開放網路實驗測試平臺，於近日正式啟用，這也是全臺首座5G開放網路架構驗測平臺，並設置實驗室提供業者免費檢測環境，以加速5G開放產品落地，提供更多企業5G專網服務。5G開放網路實驗室更計畫取得臉書TIP電信開放架構的國際認證，要讓在臺灣通過測試的5G開放架構產品，以後也能在全球各地通用。</p> <p>早從去年，政府就開始積極布局5G，甚至在臺灣第一家5G服務開通時，總統蔡英文也承諾，政府將投入200億元推動5G及其相關產業發展。</p> <p>而新成立的5G開放網路實驗測試平臺，則是來自經濟部工業局主導、為期4年的一項5G+產業生態鏈推動計畫，今年推動的首要重點項目之一，就是要建構5G開放電信網路架構環境，讓更多臺灣網通業者加入，來提供企業5G專網服務。</p> <p>這間5G開放網路實驗室設置於桃園智慧創新應用示範中心，測試網路環境採用NSA非獨立組網架構，年底將轉換到5G SA組網架構。<a href="https://www.ithome.com.tw/news/139282" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>臺灣隊打敗多國好手，奪DEF CON CTF決賽季軍</strong></span></p> <p>受到疫情的影響，今年原應在美國拉斯維加斯舉辦的DEF CON大會，改為線上舉行，但時間不變，一樣是在美國太平洋時間8月7日至9日舉辦。同時，第28屆DEF CON CTF（搶旗攻防賽）決賽也首次改為Safe Mode線上舉辦，在8月10日頒獎直播中，主持人宣布今年臺灣代表隊HITCON x Balsn，拿下本屆DEF CON CTF第三名。<a href="https://www.ithome.com.tw/news/139300" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>美國擴大乾淨網路計畫，程式、雲端儲存與海底電纜都納管</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-Clean%20Network_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90U_S_%20Asia%20Pacific%20Media%20Hub.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_U.S. Asia Pacific Media Hub</span></p> <p>美國政府「乾淨網路」（Clean Network）計畫實施範圍除了5G網路，現在擴及至電信業、程式市集、雲端儲存及海底電纜，將華為、中興、阿里巴巴、百度與騰訊等中國業者列為拒絕往來戶。<a href="https://www.ithome.com.tw/news/139238" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Office 365將終止支援舊版Office軟體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Office%20365_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟宣布從10月13日起，Office 365將不再支援Office 2013和更早以前的版本，另外Office 2016 for Mac也將終止技術支援。<a href="https://www.ithome.com.tw/news/139275" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>英特爾傳被駭，外洩程式碼、工具等機密文件</strong></span></p> <p>名為Tillie Kottmann的開發人員日前張貼宣稱是英特爾Lake平臺相關文件及原始碼的連結，連向20GB的資料，是大批英特爾外洩資料的一部份。他說這些資料被列為機密、保密協議保護以及英特爾限制祕密文件等級。英特爾表示，這批資訊疑似來自資源及設計中心，正在進行調查。<a href="https://www.ithome.com.tw/news/139258" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Android裝置也能離線跨裝置分享檔案了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Nearby%20Share_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p>蘋果的AirDrop讓鄰近的iOS裝置、Mac電腦之間不連網也能傳送檔案和圖片，現在Google終於也趕上了，為Android平臺宣布Nearby Share功能，將釋出到Android 6.0版本以上的部份手機，讓用戶手機即使在離線狀態也能分享檔案、連結、相片及圖片給周邊Android裝置使用者。<a href="https://www.ithome.com.tw/news/139210" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>東芝正式退出筆電市場，相關業務全數賣給夏普</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_Toshiba%E7%AD%86%E9%9B%BB_iThome%E6%AA%94%E6%A1%88%E7%85%A7.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">iThome檔案照</span></p> <p>繼2018年出售大部份筆電事業部股權後，東芝本月悄悄宣布再將剩餘的股權全部賣給夏普（Sharp），正式退出筆電市場。<a href="https://www.ithome.com.tw/news/139313" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Linux釋史上最大更新5.8版，2成核心庫檔案更新</strong></span></p> <p>近期Linux之父Linus Torvalds預告，即將要發布的Linux 5.8，將會是有史以來最大最全面的版本。社群在Linux 5.8進行大量基本的核心開發以及清理工作，並大幅更新檔案系統，也依慣例更新驅動程式，還有執行了一些文件以及基礎架構工作，Torvalds認為，5.8-rc1在提交數量以及新程式碼行數都是目前最好的，社群進行大量的開發工作，總共修改核心儲存庫中約20％的檔案。<a href="https://www.ithome.com.tw/news/139302" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Mozilla裁員250人，關閉臺北辦公室</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_Mozilla%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Taiwan%20Mozilla.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Taiwan Mozilla</span></p> <p>受到武漢肺炎（COVID-19）疫情衝擊，Mozilla於8月宣布調整營運規畫，以期加速獲利，同時也進行組織重整，要裁減全球近250名人力，包括關閉臺北的辦公室。<a href="https://www.ithome.com.tw/news/139339" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>臉書成立新的金融部門，由Libra專案負責人領軍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_David%20Marcus_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%89%E6%9B%B8.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_臉書</span></p> <p>曾擔任PayPal總裁，目前負責臉書Libra專案的David Marcus，宣布臉書已成立了新的支付暨金融服務部門，以掌管臉書旗下的所有相關服務，包括Facebook Pay、Novi及WhatsApp payments等，並由Marcus本人負責領軍。<a href="https://www.ithome.com.tw/news/139317" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Canon雲端儲存分享服務疑遭駭，又傳遭遇勒索軟體</strong></span></p> <p>Canon於7月30日坦承雲端影像儲存及分享服務Image Canon（image.canon）平臺被駭。而Bleeping Computer 則在8月5日接獲爆料，聲稱Canon遭勒索軟體Maze入侵，導致公司多個內部系統及網站停機，目前沒有證據顯示，這二起安全事件彼此相關。<a href="https://www.ithome.com.tw/news/139234" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>蘋果發布新iMac，可能是末代用英特爾晶片的機種</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_iMac_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 350px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>八月初蘋果更新iMac產品線，包括微幅升級21.5吋iMac與iMac Pro，同時大幅翻修27吋的iMac，外界預期這將是最後一代採用英特爾處理器的iMac產品。</p> <p>新款27吋iMac標準版搭載6核心或8核心的第十代Intel Core i5/i7處理器，首度可選配10核心處理器，啟用Turbo Boost的最高時脈可達5.0GHz，讓CPU的效能比前一代增加65%。<a href="https://www.ithome.com.tw/news/139214" target="_blank">更多內容</a></p> </div></div></div>
2020/8/16 08:00未署名https://www.ithome.com.tw/news/139423
Linux基金會、IBM合作地震早期預警
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press-release/2020/08/the-linux-foundation-grillo-and-ibm-announce-new-earthquake-early-warning-open-source-project/" target="_blank">Linux基金會、IBM本周宣布將和新創公司Grillo合推開放地震早期預警（early earthquake warning）專案</a>，以加速地震偵測與預警系統的平價化，以及AI偵測技術和相關感測器的研發。</p> <p>這項計畫是以新創公司Grillo在IBM、美國國際開發署、柯林頓基金會及艾睿電子（Arrow Electronics）的支持下，將其地震早期偵測及預警（EEW）系統開源出來，並由Linux基金會代管。</p> <p>地震經常引發重大傷亡，因此需要及早預警，但是目前僅少數國家，包括墨西哥、臺灣、日本及南韓等提供公眾預警，但全球仍有近30億人無法享受這類科技，原因之一是一套造價超過10億美元。OpenEEW專案的目的，即在降低地震早期預警（EEW）系統造價，以加速其普及。</p> <p><a href="https://openeew.com/" target="_blank">OpenEEW專案</a>由多項IoT元件組成，包括可偵測及傳送地震訊號的感測器硬體和韌體、可部署在多種平臺（從Kubernetes叢集到Raspberry Pi）的即時偵測系統，以及在IoT硬體、穿戴式裝置或手機上接收即時警示的App。本專案將開放出OpenEEW感測器、地震偵測及訊息傳送的科技。</p> <p>IBM過去已透過Call for Code計畫，贊助科技用於解決天災，而Grillo的OpenEEW則是最新透過這項計畫實作的專案。IBM目前已經在波多黎各部署了6座感測器設備進行資料蒐集及測試，並開發一個用於資料視覺化的儀表板軟體。此外IBM也將一個Docker版偵測用軟體加以擴充，使其部署到Kubernetes或IBM Cloud上的OpenShift。</p> <p>從2017年以來，Grillo的感測器已經從墨西哥、智利、波多黎各及哥斯大黎加等地，蒐集了多起芮氏規模6、7以上的地震資料，總量超過1TB。哈佛大學及奧勒岡大學研究人員已經著手利用機器學習技術，以訓練出地震偵測及描繪方法。學術機構也希望加速開源軟體，發展未來的雲端地震偵測系統。</p> <p>OpenEEW計畫也希望鼓勵更多人，包括資料科學家、企業及地震學家，在尼泊爾、紐西蘭、厄瓜多等其他地區建立地震預警系統，甚至吸引他們加入OpenEEW專案，以推動感測器硬體設計、投入機器學習推升地震偵測能力，以及改善將預警訊息傳送給公眾的方法。</p> <p>無獨有偶，<a href="https://www.ithome.com.tw/news/139345" target="_blank">Google本周也展示</a>利用全球Android手機組建成的地震通報網路。</p> </div></div></div>
2020/8/14 15:40作者林妍溱https://www.ithome.com.tw/news/139412
NSA、FBI警告俄羅斯發動Linux惡意程式Drovorub攻擊政府及國防單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）及聯邦調查局（FBI）昨（13）日<a href="https://www.fbi.gov/news/pressrel/press-releases/nsa-and-fbi-expose-russian-previously-undisclosed-malware-drovorub-in-cybersecurity-advisory" target="_blank">發布聯合網路安全公告</a>，警告俄羅斯情報機關正以名為Drovorub的Linux惡意程式，攻擊政府及國防工業用Linux系統。</p> <p>發動攻擊的是隷屬於俄羅斯情報總局（GRU）85主要特勤中心（GTsSS）的軍事單位26165，一般又被稱為Fancy Bear、Strontium以及APT 28。Fancy Bear被指控曾在2016年<a href="https://www.ithome.com.tw/news/106551" target="_blank">入侵美國民主黨伺服器</a>竊取川普陣營資料、<a href="https://www.ithome.com.tw/news/125399" target="_blank">以釣魚網站干擾2018年期中選舉</a>、及<a href="https://www.ithome.com.tw/news/133879" target="_blank">攻擊運動及反禁藥組織</a>。</p> <p><a href="https://www.nsa.gov/Portals/70/documents/resources/cybersecurity-professionals/DROVORUB-Fact%20sheet%20and%20FAQs.pdf?ver=2020-08-13-114246-203" target="_blank">NSA及FBI指出</a>，這波間諜行動使用的Drovorub是一組Linux工具，包含植入載體（implant）、核心模組rootkit、檔案傳輸與傳輸埠轉送（port forwarding）工具及C&C伺服器。一旦部署到目標系統中，Drovorub植入用戶端載體可能從事多種行動，包括和駭客控制的外部C&C伺服器建立通訊、下載和上傳系統檔案、以及以根權限執行任意程式碼，還能利用傳輸埠轉送功能，將網路流量傳到同一網路上的其他主機上。</p> <p>另外，報告還提醒，Drovorub核心的rootkit模組，也會利用多種手法以長期隱身於受害主機上。除非機器UEFI Secure Boot安全開機功能啟用「完整」或「徹底」模式，否則即使主機重新開機也不會被刪除。依據其多種功能，安全廠商McAfee 專家稱其為駭入Linux 系統的「瑞士小刀」。</p> <p>這項安全公報並未說明美國政府是否已有單位受害，但NSA及FBI指出，Drovorub已對使用Linux系統的美國國安系統、國土安全部、生產軍隊設備的國防工業基地構成威脅。</p> <p>本公告也呼籲網路及系統管理員採取防禦措施，包括升級到最新版Linux 3.7版核心，以符合核心簽章安全措施。此外，系統也應啟動UEFI Secure Boot，以防系統載入惡意核心模組。</p> </div></div></div>
2020/8/14 12:15作者林妍溱https://www.ithome.com.tw/news/139403
Google釋出Chrome OS開發者資源網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布自家筆電作業系統Chrome OS的開發者資源網站<a href="https://developers.googleblog.com/2020/08/introducing-chrome-os-dev.html">ChromeOS.dev</a>，目前該網站提供英文與西班牙語版本，公布Chrome OS的最新消息、產品公告、技術文件以及程式碼範例，主要服務Chrome OS的開發人員、設計人員、產品經理以及管理高階。Google承諾，之後還會陸續提供其他語言的服務。</p> <p>Google提到，ChromeOS.dev中的內容，來自Google與Chrome OS專家的實戰經驗，除了分享實用技巧之外，也會提醒開發者創建應用程式會遇到的挑戰，開發者可以查看ChromeOS.dev中最新的Chrome OS布局以及UX指南，其中包含了設計應用程式和遊戲，所有相關的UI元件、導覽、字體和布局等最新設計資訊。ChromeOS.dev是一個完全開源的線上資源，Google開發時採用了漸進式網頁應用程式（PWA）技術，讓開發者可以容易取用這些資源，甚至在離線狀態也能存取。</p> <p>已經有一些最新的Chrome OS功能在ChromeOS.dev公開，像是現在開發者可以在Chrome OS中，使用自定義Linux終端機，終端機現在提供分頁籤與快捷鍵功能，開發者可以輕易地在Linux終端機，處理多重任務，另外，還能自定義終端機的主題，調整背景、視窗、字體和游標顏色。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-7b6WatO6EfA/XzM01pbtRwI/AAAAAAAAJQA/OcvDS48Iwc063kPy55FewRqpYHZ25RxEgCLcBGAsYHQ/s1600/linuxtheme.gif" style="width: 580px;" /></p> <p>Chromebook現在還能夠執行完整的Android模擬器，讓開發者不需要實際擁有Android裝置，就能夠模擬地圖位置以及感測器資料，以測試應用程式在各種裝置動作、朝向和環境條件下的效能，因此開發者能在Chromebook中，針對不同的Android版本和裝置，最佳化應用程式。</p> <p>ChromeOS.dev上還提到，執行Chrome OS M81及更高版本開發者，甚至已經可以在Chromebook上部署和測試應用程式，不需要使用開發者模式，或是透過USB物理連接其他裝置，結合Android模擬器，在Chrome OS上也能進行完整的Android開發工作。</p> </div></div></div>
2020/8/14 11:35作者李建興https://www.ithome.com.tw/news/139384
GCP要成為數位轉型協助者，靠資料保護新戰略搶上雲跨雲需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Google Cloud年度產品大會Next非常不一樣，甚至有根本性的大改變。不只是從實體收費活動，變成了線上免費課程，也不是從4天會議活動，變成了長達9周的隨選影片，而是Google Cloud放下了過去強力塑造的雲端技術領先者形象，轉而變成了強調顧客優先的數位轉型協助者，最明顯的改變實例，就是GCP今年在資料和隱私戰略的全新產品布局。</p> <p>這正是Google Cloud執行長Thomas Kurian，第一次展現出18個月來推動Google Cloud組織文化改造的成果。Google Cloud開始變得不一樣了，更像是一家商業軟體供應商，而不是頂尖技術研發團隊。</p> <p>不同於以傳奇創業、技術創新起家的第一任執行長雲端女王Diane Greene，來自老牌商軟巨頭甲骨文的Thomas Kurian，幾乎三分之一的人生都在甲骨文，率領了3萬5千人的研發團隊，一手推動了甲骨文所有產品的雲端轉型，還建立了年營收8億美元的250人雲端銷售團隊，更主導了60次軟體併購。</p> <p>去年4月9日的2019年Next產品大會，Thomas Kurian上任剛滿100天，第一次站上Next主場演講。眾人最好奇的問題是，他要如何將Google Cloud帶往下一階段的發展？</p> <p>可是，去年這場產品大會105項發布中，涵蓋了顧客、夥伴、行動裝置與Chrome、AI和機器學習、基礎架構服務、應用系統開發、資料分析、資料庫、IoT、資安、企業協作與生產力到社會影響力，仍舊像是原本的Google Cloud戰略方向，處處呈現出技術優先、產品優先的布局。</p> <p>在去年亞太媒體群訪上，Thomas Kurian坦言，剛上任的前幾個月，大部分時間都用於了解現況和產品，但他揭露了上任後的首要目標，要讓GCP不只是聚焦於打造最棒產品，還要能反映顧客心聲，協助企業轉型。</p> <p>所以，去年他在開場演講中，花了最多時間描繪的重點就是，GCP的願景。他指出，GCP的願景要聚焦在企業數位轉型旅程，主要提供了3項協助，分別提供全球分散式基礎架構、提供數位轉型平臺和垂直產業方案，以及支援協作模式的改變。去年正式定名推出的混合雲平臺Anthos，更是他要用來實現數位轉型平臺的關鍵，「可以提供一個維運和管理多雲、跨雲架構的平臺，讓企業不用各自學習各家雲端業者的技術。」他強調。</p> <p>瞄準數位轉型需求，作為GCP的發展願景，並不令人意外，這正是許多大型商軟業者、雲端供應商近幾年的產品戰略，Google Cloud過去也標榜要瞄準企業數位轉型浪潮，只是，想靠的是創新技術和領先產品來吸引顧客。</p> <p>可是，在去年Next開場演講中，Thomas Kurian做了一件格外引人注目的事，他大動作揭露了Google Cloud的7大隱私宣言，第一項就是「你的資料就是你的，不是Google。」其次包括如不會賣資料、不會用於廣告、預設加密、杜絕內部不當存取、不給政府開後門、隱私作法經過國際標準稽核等。</p> <p>這是GCP第一次如此慎重地發布對隱私的承諾，甚至，這是在其他雲端業者產品大會中也少見的公開宣示。</p> <p>在群訪中，Thomas Kurian更進一步解釋，為何要特別強調隱私宣言？「競爭對手常放話，若把資料放上Google，Google會拿去做其他用途，這是百分之百錯誤的說法。」他強調：「我們從來沒有將這些資料，拿出顧客所用雲端服務的範圍之外。」</p> <p>但是，這樣的隱私宣言如何具體落實到產品上，Thomas Kurian去年沒有進一步說明，只簡單解釋，Anthos可以讓顧客有所選擇，把資料搬回企業內部。可是，當時的Anthos只能部署在vSphere環境中，無法真正支援多種私有雲環境，甚至遑論能搬到不同的公有雲上部署。</p> <p>直到今年7月的這次Next大會，Thomas Kurian去年的願景，終於化為實際的戰略和產品，其中一項更成了GCP創造差異化的競爭優勢。</p> <p><span style="font-size:28px;"><strong>全球疫情帶來3大衝擊，7成企業要加速轉型帶動上雲需求</strong></span></p> <p>今年因為全球疫情大爆發，Google取消了消費端產品大會，但將企業產品大會Next延後到7月並改為線上形式。</p> <p>Google執行長Sundar Pichai在開場演講中直言，儘管這波疫情對未來的改變還不明朗，但已經帶來了三大影響，未來工作型態將更數位化、需要更多協作、工作模式也會更有彈性。這也讓許多企業要長期推動數位化，甚至75%企業有加速轉型的計畫。</p> <p>「越數位化，就越重視合作、彈性，也就越需要上雲。」Sundar Pichai指出，這正是Google Cloud第一季業務量比去年同期增加超過5成的推力。</p> <p>Thomas Kurian今年也重新界定了Google Cloud的新願景是，要透過資料強化的創新，來提高企業數位轉型和重新想像業務的能力。他將資料導向、加值的創新，視為是GCP成為企業數位轉型協助者的關鍵。</p> <p>資料上雲，向來是企業擁抱雲端時最擔心的議題，尤其這股數位轉型帶來的上雲潮，更挑戰了企業傳統保護資料作法。傳統企業保護資料的作法，可以分為4大類，一是將資料保存在內部，二是自己掌握資料所在地，三是管控可以存取資料的人員，最後是自己建立專責人力來保護資料。Google Cloud機密運算首席產品經理Nelly Porter指出，上雲趨勢帶來的新課題是，企業的資料不只出現在內部，還會在雲端上，而且企業自己得和雲端供應商共同分攤資料保護的責任。</p> <p>前者提高了資料保護的技術難度，後者更帶來了新的管理和治理問題，這就出現了多項資料保護的新挑戰，她舉例，如何保護敏感資料或智慧財產？資料保護如何落實法規遵循？如何和其他企業協作，來處理他們的敏感資料，也就是如何經手第三方資料的挑戰，如何保護用戶與其顧客的資料？這些都是Google Cloud今年資料產品新戰略想要回答的問題。</p> <p><span style="font-size:28px;"><strong>去年7大隱私宣示成今年9項產品隱私承諾</strong></span></p> <p>而Thomas Kurian去年的7項隱私宣言，今年更進一步更具體成了9項產品隱私承諾，「你的資料就是你的」成了基本精神，不再名列其中，反而轉化成具體的作法。例如企業自己決定資料或任何副本的儲存位置，也可以全權控制資料的存取者身分， Google管理和存取資料的方式都可以控制也會高度透明化，甚至企業可以拒絕自己的資料被解密，也能將加密用的金鑰移到其他地方，不讓Google拿得到，而資料預設加密的宣示，則更進化成了提供資料全程加密的承諾。</p> <p>從這些資料隱私的新承諾，和GCP想要解決的資料課題，可以更清楚的了解，保護資料的新戰略如何貫穿到Google Cloud今年多項雲端產品的布局。第一個關鍵性的資料服務新產品，就是機密運算服務產品線（Confidential Computing）。</p> <p><span style="font-size:28px;"><strong>機密運算才真正實現端到端的全程加密</strong></span></p> <p>「機密運算才真的實現了端到端的加密」Thomas Kurian強調，不只資料靜止儲存的時候，或是資料傳輸的時候加密，連資料在CPU中處理的時候，都能夠提供加密的防護。</p> <p>Google Cloud機密運算工程總監Gilad Golan解釋，企業通常採取多層次的資料保護策略，例如像是限制敏感資料被公開的透明化程度、控管度敏感資料的存取，另一個常見作法是加密敏感資料來建立防護層。機密運算是利用晶片硬體來加密正在處理中的記憶體內資料，可以在現有的儲存加密和傳輸加密上，再增加使用中加密的防護層，補齊資料保護生命週期的最後一環。</p> <p>機密運算主要是先建立一個可信任的運算環境，再來進行敏感資料的處理。GCP利用了AMD第二代EPYC處理器的安全加密虛擬化SEV（Secure Encrypted Virtualization），這是一個CPU內建的硬體加密技術，可以在虛擬層上進行硬體加密來建立可信任的環境，再讓獲得授權的應用程式，存取加密後的記憶體內的資料，來進行處理，只有在虛擬環境中的應用程式可以「看見」解密後的資料，避免資料在虛擬環境外曝光，就連維運的Google都看不到處理中遭加密的資料。</p> <p>GCP機密運算產品線的第一個產品是機密運算VM，只要是GCE的N2D虛擬機器，就可以開啟機密運算VM功能，這也是業界第一個VM型雲端機密運算服務。GCP在今年2月發表了採用AMD第二代EPYC處理器的通用型GCE虛擬機器產品N2D系列實例，可以提供最大到224個vCPU和896GB的記憶體，今年4月正式推出，目前可以在部分雲端區域中心提供，包括臺灣彰化的GCP雲端區域中心。</p> <p>這個機密型VM就像是GCP一般提供的VM，GCE原有VM的工作量也都可以轉移到N2D實例上，來啟用機密運算VM功能。Thomas Kurian指出，這類機密型VM的應用，就可以用於高度規範產業，高度機敏業務或高度隱私相關的業務應用。</p> <p><span style="font-size:28px;"><strong>Anthos終於支援跨雲、多雲，讓企業自己決定運算工作所在地</strong></span></p> <p>影響就是企業對於自家運算工作量、資料所在地的選擇權。GCP基礎架構服務今年實現了更進一步的分散式架構，不只支援GCP自家公有雲，還包括混合雲、跨多雲和邊緣運算雲。Anthos開始能夠支援裸機部署，直接安裝到主流硬體的Linux環境中，例如Cisco、Dell、HPE伺服器等，來建立混合雲架構，Anthos在今年也推出了AWS版本，而Azure部署版也釋出預覽版，可以用來建立跨三朵公雲的架構。「支援到跨雲、多雲，才可以讓企業有所選擇。」Thomas Kurian說。</p> <p>這個跨雲多雲能力，也是GCP數位轉型平臺的關鍵能力，更容易將企業應用程式現代化，另外也會透過統一的工具來提供跨多雲的管理、部署，以及維運工作。</p> <p><span style="font-size:28px;"><strong>BigQuery關鍵資料服務終於支援多雲，讓分析服務更靠近顧客資料源</strong></span></p> <p>Anthos有了跨多雲的能力後，Google Cloud今年資料產品線的主力產品資料倉儲分析服務BigQuery，也開始能進入其他公有雲環境中，並且推出了一個新的BigQuery Omni版本，可以透過Anthos，部署到AWS和Azure雲端環境，來分析企業儲存在這兩朵公有雲上的資料集。</p> <p>Thomas Kurian解釋，簡單來說就是，將BigQuery分析功能，帶到資料所在地，使用同樣的BigQuery介面，就能處理AWS和Azure上的資料，企業不用將資料搬到GCP。</p> <p>BigQuery Omni將大數據的運算和儲存拆解成獨立運作的元件，透過單一的BigQuery介面，例如API或SQL指令查詢介面，甚至今年增加了一個自然語言查詢功能，可以查詢跨不同公有雲上，使用各自不同雲端儲存的BigQuery運算叢集。BigQuery還強化了即時串流分析能力，可以平行處理100項分析任務，來支援更複雜的跨雲分析應用。</p> <p>另一方面，Google去年大砸26億美元，買下了大數據分析新創Looker，這是Thomas Kurian上任後的第一起併購，也是Google史上金額第四高的併購案。當時，他解釋，Looker可以補足Google Cloud兩大不足，一是可以針對企業所有資料源，建立一個一致性的業務衡量指標（Business Metrics），來簡化資料查詢，也能建立一套一致化的資料運算定義。</p> <p>其次，Looker提供了一個完整的資料分析產品線，涵蓋了資料提取、分析結果視覺化、工作流程整合、特定產業分析等。今年2月，Google完成了這起併購案，因此，在7月Next大會中，Thomas Kurian也正式將Looker納入了GCP企業資料平臺產品線。</p> <p>甚至不只資料倉儲服務，「BigQuery Omni的出現，更意味著GCP資料平臺能夠在多雲架構中執行。」今年亞太媒體線上群訪時，Thomas Kurian的一句話，更透露了日後更多資料平臺產品也將支援多雲跨雲的可能性。不過，G Suite倒是目前沒有支援跨雲的計畫。</p> </div></div></div>
2020/8/13 09:00作者王宏仁https://www.ithome.com.tw/news/139261
程式碼的品味
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們對「品味」的概念各有見解，談到程式碼是否有品味，開發者又是如何執行判斷？Linux之父 Linus Torvalds曾提到一個案例來說明，他認為，重點並不在於邊界情況（Edge case），而是能以不同的角度看問題、直覺地選擇出正確的方法。</p> <p><span style="font-size:28px;"><strong>Linus的品味案例</strong></span></p> <p>在2016年舉行的一場<a href="https://bit.ly/2DepvLe">TED訪談〈The mind behind Linux〉</a>，Linus說明了Linux的創建、對開放原始碼的想法、Git的發想，以及程式碼是否具有好的品味（good taste）等內容，在這次公開訪談中，Linus展現其率真的一面，也坦誠自己不擅社交，很多目前看來偉大的專案，其實一開始都只是以自己為出發點，想要能好好地獨立工作而開始的。</p> <p>整個訪談內容滿對我的胃口，畢竟我也不是那麼愛社交的人，如果你也是個以自身為出發點在做事的開發者，應該也能從中獲得不少共鳴；在訪談中，有一個稍微技術性的區段是，主持人問到了Linus具有的特點之一，也就是對於「品味」的想法（14:10），為了具體地示範品味，Linus秀了一張不算是有好品味的程式碼，以及另一段有較好品味的程式碼。</p> <p>這兩張擷圖的內容，都是從單向鏈結串列移除指定項目的實現，有趣的部份是後者少了if/else，而這個if/else本來是要判斷想移除的項目是否就在鏈結開頭，希望顯著區隔出兩種不同的情況，而開發者第一次試著寫個鏈結串列，多半也是從這個教科書式的範本實現開始的。</p> <p>而且，Linus的第二張擷圖使用了指標，直接用指定項目的下個項目，將指定項目覆蓋，就該實現來看，整個過程只有一種情況，從而不必使用if/else來判斷項目是否就在鏈結開頭；自此之後，有些文件談到程式碼的品味時，會稱這種對邊界條件（edge case）的消除，是對於品味的一個基本要求。</p> <p>不過，在Linus的訪談中，他並完全沒有談到邊界條件的相關字眼，最多就只是提到：有趣的部分是if的那個情況。他後續也補充，表示這個例子甚至跟品味不太相關，因為太小了，實際上，好的品味跟大的模式有關，那是一種直覺上知道正確處理事物的方式。</p> <p><span style="font-size:28px;"><strong>程式碼有品味？</strong></span></p> <p>那麼「品味」是什麼？具體一點來說，談到一個人對於酒有品味時，單單只是他對味道的感受嗎？</p> <p>不是吧！味道是很主觀的感覺，談及對酒的品味，往往涉及人們對酒的認識，像是品牌、產地、原料、歷史、釀造方式、製作者等，又或者是對於相關事物的文化認識，像是使用的杯子、相佐的食物、侍酒師、禮儀應對等。</p> <p>因此，人們對品味的見解不同，往往就在於各自具有的知識、文化等深度的不同，從而影響了判斷何謂「美」、「好」和「對」的能力。</p> <p>事實上，Linus的第一張擷圖本身沒有錯，正如他談到的，任何學過鏈結串列開發者都知道要這麼寫，然而，第二張圖結合了語言的特性，而懂得C語言的開發者只要兩相比較，自然而然地都會對後者發出「對喔！這麼做更漂亮！」之類的感想，從而顯得前者的實現上膚淺許多。</p> <p>也就是說，程式碼的品味在於，展現出開發者對使用語言的認識，是否在對的場合使用了對的元素，這類元素有時是語法，有時是慣例，有時是語言的特性、更大的模式，或像是社群文化之類的概念。因此，當我們面對問題時，如果選擇了什麼，往往牽涉到許多細節，而對於具有這類深厚知識的開發者而言，能夠整合這些元素，從中找出適當而正確的處理方法。</p> <p>若要具體一些，我們可以舉出多個例子。像是在Java中，適當地使用Stream API；而在Python中面對錯誤時，我們知道該選擇採用LBYL風格，或是EAFP風格（參考先前專欄〈把例外當成例外〉）；到了JavaScript中，可以善用一級函式、非同步、物件實字等，而這些做法都是展現程式碼品味的一種表現。</p> <p>一般而言，學過多門語言的開發者，有不少會落入「語言不重要」的想法，確實地，各語言能解決的問題集是有重疊的部份，A語言解決問題的方式，依樣畫葫蘆地用B語言實現，也是有可能的，只不過從程式碼品味的角度來看，這樣的程式碼一定沒有品味，就像個粗製濫造的成品。</p> <p>是的，或許它可以運作，也可以解決問題，只不過，如果是個有品味的開發者，一定無法忍受這樣的程式碼。當然，有人會說：「公司花錢是請你來解決問題的，不是展開品味的」，只不過經營管理是另一番話，這邊純粹是在談程式碼的品味，另一方面來看，這也是種二分法的謬誤，為什麼面對品味與解決問題時，我們只能二擇一呢？</p> <p><span style="font-size:28px;"><strong>不同的角度看問題</strong></span></p> <p>事實上，關於品味與解決問題，並不是個二選一的難題。Linus在訪談中也說過，他希望大家瞭解的是：有時候，你可以用不同的角度看問題，而對於語法、慣例、語言特性、模式、社群文化等，如果可以認識得越多，當下能選擇的角度也就越多。粗製濫造的程式碼固然是可以解決問題，然而，這可能也代表了一件事：手邊可以解決問題的方式，少得可憐。</p> <p>好吧！來個經典的戰文標題：「寫程式需不需要用到數學？」的確，許多領域可以不用到數學，而且，也可以透過寫程式來解決問題，這也是一部份開發者（引以為傲）的想法，他們認為，重要的是邏輯能力。事實上，邏輯當然是解決問題的一種方式，只不過面對一些問題，數學可以讓你用其他的角度來看待同一個問題，你也能處理更多需要數學才能解決的問題。</p> <p>據說過去有個老師，給小朋友們出了道題目「1+2+3+...+100是多少」，許多小朋友開始埋頭從1開始逐一加上數字，然而有個叫高斯的小朋友，一下子就算出結果是5050。</p> <p>許多初學程式的新手，面對「1+2+3+...+100是多少」，可能會想到使用迴圈吧！就像高斯的同學那樣；然而，如果是對數學稍微敏感的人，應該會意會到這是個等差級數，套個公式就解決問題了，據說當年的小高斯是觀察出來的，因為他發現這些數，頭尾兩兩相加的結果都是相同的，也就是有50個101，很快就能算出結果是5050。</p> <p>有人會說，那些高深數學都有人包好程式庫，我拿到之後、兜一兜就可以啦！的確，這也沒錯，只不過，有能力包程式庫的人為什麼不是你呢？哪天如果想用的東西，卻沒人包好程式庫，屆時又該怎麼辦呢？</p> <p><span style="font-size:28px;"><strong>直覺地選擇出正確的方法</strong></span></p> <p>Linus說到程式碼的品味，往往展現在面對問題時，能否以不同的角度看待，而他之所以舉出第一張圖，我想，他只是想表示：「喔！標準而教條式的處理方式，像個小學徒似的，只會用這種方式解決問題！」。</p> <p>對於Linus想與其共同工作的人，他也說，這些人都有個現象，就是有好的品味。他談到，這些人好像有直覺，可以選擇出正確的方法，當然能找到對的方式，絕不是憑空得來，應該是表示，他想跟一群「有料」的人合作，也就是，與看待事情不會只有一種解決方法的人做事吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E7%A2%BC">程式碼</a></div><div class="field-item even"><a href="/tags/linux%E4%B9%8B%E7%88%B6">Linux之父</a></div><div class="field-item odd"><a href="/tags/linus-torvalds">Linus Torvalds</a></div></div></div>
2020/8/13 09:00作者林信良https://www.ithome.com.tw/voice/139264
Windows版TeamViewer含有遠端存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Praetorian安全研究人員Jeffrey Hofmann近日公布了Windows版TeamViewer的安全漏洞CVE-2020-13699，該漏洞肇因於TeamViewer沒有適當引用其客製化的統一資源標誌符（Uniform Resource Identifier，URI），而讓未經授權的駭客有機會破解TeamViewer的密碼，或於使用者的系統上執行程式。</p> <p>TeamViewer為一知名的遠端遙控軟體，提供遠端控制、桌面分享、線上會議或檔案分享等功能，且支援Windows、macOS、Linux、Chrome OS、iOS與Android等平臺，但CVE-2020-13699漏洞只存在於Windows版。</p> <p>包括TeamViewer在內的應用程式需要辨識它們所要與之互動的網站URI，然而，TeamViewer並沒有妥善引用URI的值，而是把它視為命令，於是駭客就能在URI值中嵌入惡意資料。</p> <p><a href="https://jeffs.sh/CVEs/CVE-2020-13699.txt" target="_blank">根據Hofmann的說法</a>，駭客只要在一個網站上嵌入惡意的iframe，再吸引TeamViewer用戶點選，就能執行Windows桌面版的TeamViewer，並迫使它開啟遠端的SMB分享，在建立連結之後，Windows就會執行NTLM認證，再藉由工具捕獲內部網路的SMB認證對話，並將它們傳送到目標裝置上，就能讓駭客存取使用者電腦，也可用來取得雜湊密碼，進行暴力破解。</p> <p>該漏洞影響teamviewer10、teamviewer8、teamviewerapi、tvchat1、tvcontrol1、tvfiletransfer1、tvjoinv8、tvpresent1、tvsendfile1、tvsqcustomer1、tvsqsupport1、 tvvideocall1與tvvpn1。</p> <p>非營利的網路安全中心（Center for Internet Security，<a href="https://www.cisecurity.org/advisory/a-vulnerability-in-teamviewer-cloud-allow-for-offline-password-cracking_2020-106/" target="_blank">CIS）也針對該漏洞提出了警告</a>，呼籲使用者應該升級到最新版本，也應避免造訪由不明來源所提供的網站或連結。<a href="https://community.teamviewer.com/t5/Announcements/Statement-on-CVE-2020-13699/m-p/99129" target="_blank">TeamViewer則是已於兩周前修補了相關漏洞</a>。</p> </div></div></div>
2020/8/11 16:15作者陳曉莉https://www.ithome.com.tw/news/139322
千呼萬喚始出來！1Password也有Linux版本了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名密碼管理服務<a href="https://discussions.agilebits.com/discussion/114964/1password-for-linux-development-preview">1Password</a>終於要推出Linux桌面版本了！1Password開發商AgileBits創辦人，親自宣布這項消息，他提到，AgileBits論壇中最長串的貼文，便是要求他們開發Linux版本的1Password，而作為對這項請求的回應，他們現在釋出Linux桌面版應用程式開發者預覽版，並且計畫將在今年正式上市。</p> <p>這個Linux桌面版本考量到安全與效能需要，後端完全以Mozilla力推主打安全性的Rust程式語言編寫，並且使用環形（Ring）加密函式庫，強化端到端加密功能，以確保用戶資料安全。在整合Linux桌面功能上，用戶將可以使用apt和dnf套件管理器簡單地安裝應用程式，介面將會依據GTK主題設定，自動啟用深色模式，用戶可以使用Linux使用者帳戶解鎖密碼，並且執行資料匯出等功能。</p> <p>官方針對Debian、Ubuntu、CentOS、Fedora和RHEL維護簽章apt和rpm套件儲存庫，目前官方釋出的這個版本還在非常初期的階段，許多功能尚未完成，現在也只提供唯讀模式，無法編輯或是組織項目，所以這個版本僅用於測試和驗證功能，還不適合用在重要的業務環境中，要在Linux穩定的使用1Password X，仍然要在瀏覽器環境。</p> <p>Dave Teare提到，由於新的應用程式大量使用開源專案建置，不論是用來開發底層邏輯的Rust，或是回應式使用者介面開發框架React，都是集合社群眾人之力的開源專案，因此為了要回饋自由軟體開發者社群，當開源專案團隊需要密碼管理器，只要在1Password開源專案儲存庫開拉取請求，1Password就會提供團隊每個人免費帳戶，即便是Linux桌面版1Password開發預覽結束，開源專案團隊也仍可以繼續使用免費的密碼管理服務。</p> </div></div></div>
2020/8/11 14:45作者李建興https://www.ithome.com.tw/news/139319
Linux 5.8成為有史以來最大更新版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux之父Linus Torvalds在郵件列表提到，即將要發布的<a href="https://lore.kernel.org/lkml/CAHk-=whfuea587g8rh2DeLFFGYxiVuh-bzq22osJwz3q4SOfmA@mail.gmail.com/">Linux 5.8</a>，將會是有史以來最大最全面的版本，總共有1.4萬個非合併提交，約80萬行新的程式碼，並且有超過1.4萬個文件被修改。</p> <p>就比較第一候選版rc1來說，4.9-rc1占據最大版本寶座已經一段時間，Linus Torvalds表示，之所以4.9-rc1的核心會這麼大，歸因於該版本合併了Greybus子系統，而且因為前一版本4.8的候選版時間很長，因此積壓更多開發功能，才讓4.9核心膨脹。另外，還有一個版本在新程式碼數量也是名列前茅，便是4.12版，但這個版本新程式碼行數，大多來自AMD GPU驅動程式的暫存器說明。</p> <p>儘管5.8-rc1的提交數，仍然比4.9-rc1略少一些，但因為5.8並不像4.9存在影響版本大小的因素，僅是純粹扎實的開發，且撇除4.12核心新增程式碼多為說明的情況，因此Linus Torvalds提到，5.8-rc1雖有一些如habanalabs和atomisp這類較大的驅動程式變更，但整體而言，5.8並沒有任何一個功能特別突出，因此不像過去的大版本一樣單調，而是更加多元豐富。</p> <p>社群在Linux 5.8進行大量基本的核心開發以及清理工作，並大幅更新檔案系統，也依慣例更新驅動程式，還有執行了一些文件以及基礎架構工作，Linus Torvalds認為，5.8-rc1在提交數量以及新程式碼行數都是目前最好的，檔案更新數量更是所有版本中的冠軍，且不是因為利用腳本更改大量諸如授權之類的檔案，而是因為社群進行大量的開發工作，總共修改核心儲存庫中約20％的檔案。</p> <p>Linus Torvalds提供了一些Linux 5.8的統計數字，這個版本有超過1.4萬筆非合併提交，總共超過1.5萬筆計數合併，80萬行新加入的程式碼，以及超過1.4萬個檔案被修改。Linus Torvalds沒預期到Linux 5.8會變得如此龐大，雖然合併起來不一定會比較麻煩，但他提到，接下來幾天他還會詳細了解一些拉取請求的內容，而且因為這次的經驗，他考慮要增訂一條新規則，要求所有新功能的拉取請求，要在合併區間的第一周提交。</p> </div></div></div>
2020/8/10 16:10作者李建興https://www.ithome.com.tw/news/139302
一周大事：智慧機械的App Store！臺灣產業智慧機械雲大公開。微軟、Google與GitHub加入Linux開源安…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>臺灣本土智慧機械雲端平臺首度公開</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-500-1.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／經濟部</span></p> <p>由政府力推的產業智慧機械雲，近日揭露營運計畫與更多技術細節，預計9月中展開內部測試，最快明年第一季正式營運，並將從全臺6千家機械與資通訊業者先推行，未來再擴大到其他產業。</p> <p>負責該雲端建置的工研院智慧機械科技中心羅佐良表示，不論是設備製造業者、系統整合商、或購買生產設備的企業用戶，未來只要透過單一入口網站，就能夠登入使用這個機械產業雲端服務，且從審核App軟體、上架／下載應用到收費金流服務，都能在該軟體雲平臺上來完成，就連操作介面上也跟手機軟體市集一樣，可依不同產業和應用分類，找出適合的機械應用軟體來下載。<a href="https://www.ithome.com.tw/news/139256" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>微軟、谷歌與GitHub加入Linux開源安全基金會</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_OpenSSF.png" style="width: 600px;" /></p> <p>Linux基金會宣布成立開源安全基金會（OpenSSF），集結微軟、IBM、Google、GitHub等跨業界廠商，以強化開源碼軟體安全。OpenSSF計畫代管多個和安全相關的開源技術專案，承諾所有專案及資源都會對外釋出。<a href="https://www.ithome.com.tw/news/139191" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>工業級VPN產品爆RCE漏洞，四零四科技等三家工控設備商接獲通報</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-%E5%B7%A5%E6%A5%AD%E7%B4%9AVPN%E6%BC%8F%E6%B4%9E.jpg" style="width: 500px;" /></p> <p>VPN設備本身的安全性，正成為近年關注的一大焦點，安全廠商Claroty在7月28日公布，包括HMS Networks、Moxa（四零四科技）與Secomea的VPN產品，存在遠端程式碼執行（RCE）漏洞，使其工控系統及網路曝露於駭客攻擊風險中。</p> <p>以Moxa的產品而言，該公司旗下工業VPN路由器伺服器（EDR-G902與EDR-G903系列），存在CVE-2020-14511的漏洞，一旦這項漏洞遭成功利用，可讓攻擊者發送惡意HTTP呼叫，在目標系統的網頁伺服器觸發記憶體堆疊區緩衝溢位。<a href="https://www.ithome.com.tw/news/139092" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>GRUB2含有BootHole安全漏洞，數十億PC、伺服器、工作站或IoT裝置都受影響</strong></span></p> <p>來自GNU專案的啟動程式GRUB2爆出漏洞，波及各大Linux版本，以及相關的開源專案、裝置商與微軟。被稱為「BootHole」的CVE-2020-10713漏洞，將允許駭客繞過安全啟動（Secure Boot）保護機制，在作業系統啟動之前植入任意程式，使得個人電腦、伺服器、工作站到IoT裝置，都受影響。<a href="https://www.ithome.com.tw/news/139133" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>Linux發行商針對Grub2的BootHole漏洞釋出首波修補卻出師不利，一度造成系統無法重開、雲端服務當機</strong></span></p> <p>許多Linux作業系統在安裝發行商釋出的第一波BootHole漏洞修補後，出現無法開機及效能問題大降的狀況。例如Red Hat釋出新版grub2後，隨即發出公告要客戶暫停更新，因為發生安裝後導致系統無法開機的問題。資安業者認為這是因為BootHole漏洞修補牽涉作業系統、微軟及相關開源專案的協同，但第一波修補並未按照應用的順序，而導致系統流程錯亂。<a href="https://www.ithome.com.tw/news/139203" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>中國附醫手術排程AI，能精準預測422種手術時間</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-%E6%89%8B%E8%A1%93%E6%8E%92%E7%A8%8B%E7%B6%B2%E9%A0%81%E6%88%AA%E5%9C%96(1).jpg" style="width: 500px;" /></p> <p>中國醫藥大學附設醫院（中國附醫）開發了一套手術排程模型，可根據病患狀況，來準確預測手術所需的時間。目前已可預測25個科別、共422種手術的時間，透過這套模型，醫院能掌握手術室使用時間，省下不必要的閒置成本、提高利用率。<a href="https://www.ithome.com.tw/news/138906" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>美國將封鎖TikTok，除非它賣給微軟或其它美國業者</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%B7%9D%E6%99%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E7%99%BD%E5%AE%AE.jpg" style="width: 600px;" /></p> <p>圖片來源_美國白宮</p> <p>微軟發布聲明，表示在經過執行長Satya Nadella與美國總統Donald Trump的討論之後，將與字節跳動協商買下短影音平臺TikTok在美國與其它市場的所有權，預計會在今年的9月15日以前定案。</p> <p>川普也對此事發表聲明，表示基於國家安全的考量，在美國運作的TikTok不得由中國掌控，除非有美國業者在9月15日之前收購TikTok，不然他就要對TikTok下禁用令。川普並於8月6日簽署兩項行政命令，禁止美國管轄範圍內的個人或實體，與TikTok母公司字節跳動以及微信母公司騰訊進行任何的交易，該禁令將在9月20日實施。<a href="https://www.ithome.com.tw/news/139192" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>TensorFlow新API能解決資料工作管線載入瓶頸</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-%E5%9C%961_TensorFlow_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_TensorFlow</span></p> <p>機器學習框架TensorFlow團隊發布2.3版，加入了新工具，讓使用者可在一臺或是多臺電腦中，能夠輕鬆地載入並且預處理資料，解決輸入工作管線瓶頸的問題。另外，TF Profiler還加入了記憶體分析器以及Python追蹤器，方便開發者追蹤程式執行狀況。<a href="https://www.ithome.com.tw/news/139181" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>PyTorch 1.6加入自動混合精度訓練功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20PyTorch.png" style="width: 500px;" /></p> <p>機器學習框架TensorFlow釋出更新，PyTorch也緊接著推出PyTorch 1.6版本，而更新的方向也與TensorFlow方向相似，同樣也釋出了新的API改進效能，而且也提供新的效能分析工具，供用戶掌握模型運作情況。<a href="https://www.ithome.com.tw/news/139184" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google刷新MLPerf基準測試訓練速度紀錄</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_MLPerf_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Google釋出自家機器學習加速器TPU的新消息，新一代TPU v4的效能將是前一代TPU v3的2倍以上，同時Google也發表了在機器學習的最新進展，於MLPerf基準測試6個模型打破了目前的訓練速度紀錄，在DLRM模型訓練上，速度甚至是之前紀錄維持者的2.8倍。<a href="https://www.ithome.com.tw/news/139149" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>讓手機變POS刷卡機，蘋果買下加拿大行動支付新創</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%98%8B%E6%9E%9C%E6%94%B6%E8%B3%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Mobeewave.png" style="width: 365px;" /></p> <p><span style="color:#696969;">圖片來源_Mobeewave</span></p> <p>據彭博社報導，蘋果近期買下行動支付業者Mobeewave，這家新創在市場上提供Mobeewave MPOS程式，能把行動裝置變成POS，使用者只要把信用卡貼近支援NFC的手機，就能直接付款，不需使用刷卡機。<a href="https://www.ithome.com.tw/news/139177" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>研究人員公開Zoom會議密碼嚴重漏洞的發現始末</strong></span></p> <p>研究人員Tom Anthony揭露視訊會議服務Zoom已完成修補的一項安全漏洞，由於過去Zoom的私人會議密碼，預設僅有6位數密碼保護，因此最多有100萬種可能的組合，而Zoom的網頁客戶端又沒有限制密碼錯誤輸入的次數與速度，因此惡意人士可暴力破解私人會議密碼。<a href="https://www.ithome.com.tw/news/139116" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>不受疫情影響，Amazon第二季營收暴漲獲利破紀錄</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E4%BA%9E%E9%A6%AC%E9%81%9C%E8%B2%A1%E5%A0%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Amazon</span></p> <p>Amazon今年第二季創下889億美元的營收，比去年同期成長40%，當中的電子商務營收為781億美元，成長42%，而AWS營收則是108億美元，成長29%。此外，該季Amazon的獲利達到52.4億美元，比去年同期增加99.7%，創下該公司最高獲利紀錄。<a href="https://www.ithome.com.tw/news/139157" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>臉書第二季營收依然靠廣告獲利逆勢成長1成</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%B2%A1%E5%A0%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%89%E6%9B%B8.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_臉書</span></p> <p>臉書宣布過去一季創下187億美元的營收，成長11%，其中廣告收入便占了183億美元，比起去年同期成長10%。而與臉書同時揭露財報的Google，廣告營收則比去年同期下滑了8%。<a href="https://www.ithome.com.tw/news/139156" target="_blank">更多內容</a></p> </div></div></div>
2020/8/9 08:00未署名https://www.ithome.com.tw/news/139206
Linux發行商針對Grub2的BootHole漏洞釋出首波修補卻出師不利，一度造成系統無法重開、雲端服務當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/139133" target="_blank">上周安全廠商揭露出現在安全開機程式Grub2中的BootHole漏洞</a>，但多家Linux作業系統及部份雲端業者修補後，反而出現無法開機的狀況。</p> <p>BootHole漏洞編號CVE-2020-10713，一旦遭成功開採，可讓駭客寫入任意程式碼、置換成惡意bootloader程式，弱化UEFI Secure Boot的安全開機驗證，而使得惡意程式得以入侵電腦。由於所有Linux都包含Grub2，因此上周多家Linux發行版商包括Red Hat、Canonical、SUSE、Debian及Oracle相繼修補漏洞。</p> <p>Red Hat上周先行釋出新版grub2後，隨即發出公告要客戶暫停更新，因為發生安裝後導致系統無法開機的問題。確定影響版本包括RHEL 7.8、RHEL 8.2，但也可能影響 RHEL 7.9和8.1版。</p> <p>另外，<a href="https://doublepulsar.com/grub-boothole-vulnerability-patches-cause-mass-denial-of-service-c9e724af6a34" target="_blank">安全研究人員Kevin Beaumont則指出</a>，這個問題也造成Azure及Digital Ocean等雲端業者，以及一些使用舊版BIOS的本地部署系統無法開機。</p> <p>Beaumont說，這問題和2018年修補Meltdown、Spectre漏洞引發的新災難類似。許多Linux作業系統安裝修補程式後，出現無法開機及效能問題大降的混亂狀況。<a href="https://capsule8.com/blog/grubbing-secure-boot-the-wrong-way-cve-2020-10713/" target="_blank">Capsule8 副總裁Kelly Shortridge則解釋</a>，這是因為上周BootHole漏洞修補牽涉作業系統、微軟及相關開源專案的協同，第一波並未按照應用的順序導致系統流程錯亂。</p> <p>同樣的問題也出現在CentOS及Ubuntu、Debian及Mint。不過<a href="https://arstechnica.com/gadgets/2020/07/red-hat-and-centos-systems-arent-booting-due-to-boothole-patches/" target="_blank">Ars Technica報導</a>，<a href="https://www.reddit.com/r/CentOS/comments/i2dj74/boothole_grub2_issue_fixed/" target="_blank">CentOS</a>和<a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/GRUB2SecureBootBypass?WUwbDVmRWk5RCtJZ2IyNUU2SyJ9#Recovery" target="_blank">Ubuntu</a>已經釋出沒有問題的grub2版本。<a href="https://access.redhat.com/security/vulnerabilities/grub2bootloader" target="_blank">Red Hat也已在周一（8/3）釋出新版本grub2</a>解決問題。</p> </div></div></div>
2020/8/4 23:00作者林妍溱https://www.ithome.com.tw/news/139203
Linux基金會成立開源安全基金會，微軟、Google加入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會昨（3）日<a href="https://www.linuxfoundation.org/press-release/2020/08/technology-and-enterprise-leaders-combine-efforts-to-improve-open-source-security/" target="_blank">宣布成立開源安全基金會</a>（OpenSSF），集結跨業界廠商，包括微軟、IBM、Google、GitHub等，以強化開源碼軟體安全性。</p> <p><a href="https://openssf.org/" target="_blank">OpenSSF</a>集結了業界主要開源安全倡議及背後的組織，包括Linux基金會因應2014年Heartbleed漏洞，而成立的核心基礎架構倡議（Core Infrastructure Initiative）， GitHub開源安全聯盟（Open Source Security Coalition, CII），以及業界廠商。創會治理委員會成員包括GitHub、Google、IBM、RedHat、微軟、摩根大通、OWASP（Open Web Application Security Project）基金會等，其他創會成員還包括VMWare、英特爾、抓蟲賞金平台HackOne、GitLab等。</p> <p>Linux基金會指出，開源軟體已普遍用於資料中心、消費裝置及服務上。基於其開發流程，開源軟體來到終端用戶之前，有一個參與者及相依性組成的鏈結，提供用戶或企業安全的人，必須要能了解及驗證這些相依性鏈結的安全性。</p> <p>Linux 基金會主任Jim Zemlin指出，確保開源軟體安全是最重要任務，需要所有人的合作，而OpenSSF將提供真正跨產業協同的論壇。</p> <p>組織方面，OpenSSF包含治理委員會、技術顧問委員會、以及不同工作小組和專案的主管單位。OpenSSF計畫代管多個和安全相關的開源技術專案，所有專案及資源都會置於GitHub上對外開放。</p> <p><a href="https://www.microsoft.com/security/blog/2020/08/03/microsoft-open-source-security-foundation-founding-member-securing-open-source-software/" target="_blank">微軟表示</a>該公司多年來已投入多項開源安全計畫，加入OpenSSF後，已經積極展開辨識開源專案安全威脅、提供安全工具、安全最佳實作及揭露漏洞四大領域工作。</p> <p><a href="https://opensource.googleblog.com/2020/08/google-joins-open-source-security.html" target="_blank">Google則表示</a>，他們目前的重點領域包括共享安全實作自動化的schema及metadata、提供相依性管理及風險評估的工具、開源軟體安全供應鏈工具如<a href="https://github.com/tektoncd/chains/" target="_blank">Tekton專案</a>、回應開源專案漏洞，以及開發商身份管理系統等。</p> </div></div></div>
2020/8/4 11:40作者林妍溱https://www.ithome.com.tw/news/139191
鎖定Windows平臺的惡意程式TrickBot開始攻擊Linux裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員於近日相繼揭露，功能眾多的惡意程式TrickBot鎖定的攻擊對象，已從Windows平臺蔓延到Linux平臺，而且可在同一個網路上感染Windows與Linux裝置。</p> <p><a href="https://blog.malwarebytes.com/detections/trojan-trickbot/" target="_blank">2016年現身的TrickBot</a>，一開始只是個Windows上的金融木馬程式，鎖定各種國際銀行以竊取用戶的登入憑證，但作者不斷強化它的能力，包括可在網路中橫向散布，竊取儲存於瀏覽器中的憑證、Cookies，同時它也是個惡意程式即服務（malware-as-a-service），可租借給其它駭客使用，成為散布勒索軟體的媒介。去年底TrickBot出現了一個利用DNS與C&C伺服器通訊的Anchor_DNS變種，可用來針對知名企業發動攻擊以竊取金融資訊，同時也可作為POS與金融系統的後門，伺機而動；而最近則相繼有研究人員發現了它的Linux版本。</p> <p><a href="https://medium.com/stage-2-security/anchor-dns-malware-family-goes-cross-platform-d807ba13ca30" target="_blank">Stage 2 Security</a>與 <a href="https://twitter.com/IntezerLabs/status/1288487307369222145" target="_blank">Intezer Labs</a>，都在上個月發現了Anchor_DNS的Linux版本，並將它稱為Anchor_Linux。</p> <p>根據研究人員的分析，Anchor_Linux是個輕量型的後門，可在Linux裝置上扔下及執行惡意程式，同時它也嵌入了Windows版的TrickBot執行檔，可透過SMB來感染同一網路上的Windows裝置。</p> <p>Anchor_Linux的現身對眾多的Linux裝置而言無疑是項警鐘，因為這代表了涵蓋路由器、VPN與NAS裝置等採用Linux的各種IoT裝置，都成為潛在的受害者，也提醒Linux裝置製造商應加強防範。</p> </div></div></div>
2020/8/3 16:45作者陳曉莉https://www.ithome.com.tw/news/139180
鎖定大型雲端服務裡的Docker伺服器下手的後門程式，竟透過區塊鏈產生與C&C中繼站連線的網址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業在公有雲建置容器以提供服務的情況，如今逐漸普遍，但這些容器也成為駭客下手用來挖礦的目標。例如，我們看到<a href="https://www.zdnet.com/article/new-linux-malware-uses-dogecoin-api-to-find-c-c-server-addresses/">ZDNet</a>、<a href="https://thehackernews.com/2020/07/docker-linux-malware.html">Hacker News</a>、<a href="https://www.bleepingcomputer.com/news/security/sneaky-doki-linux-malware-infiltrates-docker-cloud-instances/">Bleeping Computer</a>等媒體報導，資安業者Intizer於7月28日，<a href="https://www.intezer.com/container-security/watch-your-containers-doki-infecting-docker-servers-in-the-cloud/">揭露</a>一種鎖定Docker的Linux惡意軟體Doki，它採用了過往曾未出現的攻擊手法，導致在今年1月中旬就被<a href="https://www.virustotal.com/gui/file/4aadb47706f0fe1734ee514e79c93eed65e1a0a9f61b63f3e7b6367bd9a3e63b/detection">上傳</a>到惡意軟體分析平臺VirusTotal，半年內卻沒有防毒引擎發現它是惡意軟體。該公司表示，如果企業建置的Docker提供了能夠公開存取的API，就可能是潛在的攻擊對象，必須加以防範，而且他們已經發現到攻擊事件。不過，Intizer沒有進一步提及受害的規模。</p> <p>Doki是一款鎖定Linux作業系統的後門程式，駭客採用了DynDNS提供的DNS服務，以及極為獨特的網域生成演算法（Domain Generation Algorithm，DGA），來建立與攻擊者通訊的管道。這個DGA的特別之處，在於攻擊者運用了一種名為多奇幣（Dogecoin）加密貨幣的區塊鏈，來算出Doki需要存取的C&C中繼站網域，而這樣的手法讓人難以捉摸。</p> <p>一般來說，後門程式取得C&C中繼站位置的方式，往往是採用了一組字串清單，供後門程式拼湊出可能的網址，嘗試進行連線，只要其中一個中繼站的網址可用，駭客就能對後門程式下達指令，不過，此種作法很可能被企業以黑名單阻擋網址而失效。而Doki透過區塊鏈來即時產生所需的網址，企業便難以透過封鎖的策略來進行防禦。</p> <p>由於因為這樣的做法前所未見，Intizer看到有人在今年1月14日把Doki上傳到VirusTotal，當時60個防毒引擎全都沒有識別出攻擊特徵，過了半年之後，也就是到了7月14日，仍然還是沒有任何一款防毒引擎認為有害。而在Intizer揭露之後，我們在31日早上檢視VirusTotal，發現有27個防毒引擎指出它就是Doki，當中有趨勢、賽門鐵克、卡巴斯基、Check Point，以及FireEye等大型資安廠商，驗證Doki為後門程式或是木馬程式。Intizer呼籲，企業應該要從對外曝露的連接埠著手檢查，並留意環境裡是否出現未列管的容器等現象。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intizer_Doki-virustotal-trends.png" style="width: 580px;" /></p> <blockquote><p>Intizer指出，Doki自今年1月14日有人上傳到VirusTotal後，直到半年後的7月14日，還是沒有防毒引擎認為這個惡意程式有害。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intizer_Doki-virustotal-20200731.png" style="width: 580px;" /></p> <blockquote><p>在Doki被揭露後，我們實際在7月31日上午瀏覽VirusTotal分析網頁，全部60款防毒引擎裡，有27款已標示為後門程式或是木馬。</p> </blockquote> </div></div></div>
2020/7/31 12:04作者周峻佑https://www.ithome.com.tw/news/139140
Container周報第128期：Line改用K8s建置核心機器學習叢集，vSphere則推公測計畫長期招募新功能試用者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>7/1~7/31 精選容器新聞</strong></p> <h3><span style="color:#0000FF;"><strong>＃機器學習叢集 #資料工程 #K8s</strong></span><br /><span style="color:#FF8C00;"><strong>Line改用K8s取代Mesos自建ML叢集，影像辨識、推薦引擎和使用者圖像預測都靠它</strong></span></h3> <p>去年Line在東京開發大會上，首度公開了自家資料工程平臺資料特徵服務化（FssS，Feature as a Service）的新架構，這是用來將資料去識別化變成基礎預設功能，在支援龐大資料量分析需求時又能兼顧隱私規範。去年Line揭露FaaS服務時，只透露這是一個專屬的機器學習叢集，但沒有揭露這個叢集是部署在Line私有雲Verda或是後來增加的K8s環境中。</p> <p>Line原本就利用開源基礎架構軟體OpenStack，自行打造了一套私有雲平臺Verda，每年要維運部署超過2萬個VM，給內部4千個專案使用。因為許多專案規模較小，為了提高主機CPU的利用率，Line基礎架構團隊決定導入一款K8s管理平臺軟體Rancher，來建立方便自動化維運的K8s環境。</p> <p>去年12月時，Line只先完成了K8s簡單叢集部署機制和維運自動化機制，能支援Line基礎運算需求的應用情境，但還是無法滿足原有Verda私有雲所能支援的各種基礎架構使用情況，也沒有將所有專案都搬上K8s環境。當時Line就預告，將逐漸擴大K8s導入範圍，並且增加更多外掛式設計，當時Line的目標是，要將常用的K8s管理功能變成一套功能化服務。</p> <p>今年6月底，在一場<a href="https://linecorp.connpass.com/event/171731/">Data Labs線上招募說明會</a>中，Line日本Machine Learning1（簡稱ML1）團隊經理菊地悠揭露了整套資料工程平臺的基礎架構的最新進展。這個團隊的任務是要建立一套內部標準化和方便運用的機器學習運算工作流程，來強化各種Line服務的競爭力。</p> <p>ML1團隊所負責的資料工程平臺中，其中一項功能是特徵服務化（FaaS）架構，這是一個用來提供標準化ML流程和服務的框架。這個框架包括了一套集中式的通用特徵服務，也就是使用者特徵相關的z特徵服務，穩搖功能用的Y特徵服務，以及抽取內容特徵的c特徵服務，主要由機器學習團隊維護。不過，要滿足Line對外各種機器學習解決方案，只有FaaS共用服務還不夠，ML1團隊自己還有負責維運了一套全公司通用的機器學習元件服務，以及針對特定服務提供的專門元件服務。另外，其他部門也會自己維護元件</p> <p>ML1團隊自行管理的機器學習叢集服務則用來提供各種機器學習解決方案，包括機器學習團隊提供的解決方案，和其他部門也會有自行維護的ML專用元件，來滿足各自ML解決方案之用。換句話說，Line雖然有一套共用的私有雲，各部門在機器學習應用上，還是各自建立一套自行維護的專用服務元件，只有各部分通用的共同ML元件和服務，統一由ML1團隊來負責維護。</p> <p>而ML1團隊除了部分服務使用了Verda私有雲平臺，例如提供z特徵服務的Hadoop資料湖，就是部署在內部基礎架構環境Verda私有雲上，但是ML1團隊也自己另外採用了一款容器管理平臺Mesos，來建立了一套自用的機器學習叢集，作為其他ML元件計算之用。像是常用的Spart的ETL處理，或是一些批次型運算，如影像辨識或音樂分析的DNN深度學習模型訓練、推薦引擎、使用者圖像預測都是利用這套Mesos容器叢集來運算，另外還有一些長期運算任務，例如用來優化機器學習模型用的ABTest功能、相似比對（Look A Like），MAB強化學習計算也會使用Mesos叢集。</p> <p>但是，隨著Verda私有雲去年開始逐漸大力擁抱K8s，ML1團隊也決定換掉Mesos軟體，改用K8s來建立ML叢集，支援內部各項機器學習計算之用，並且也簡化了ML1團隊K8s運算叢集的任務，將部分長期性任務抽離到外部環境中提供，只留下核心處理和批次型運算任務，以及用來自動優化ML模型的ABTest。</p> <p>去年Line在開發日時，Line機器學習開發主管並川淳就預告，希望能建立一個所有服務都能通用的自動推薦系統，並且將推薦結果標準化，透過ABTest來了解推薦模型修正的情況，例如採用不同ML推薦模型來提供推薦圖片後，透過ABTest機制來蒐集每一個模型的使用者點擊率評分，作為優化推建模型的參考依據。而且，他希望這樣的推薦機制發展到極致，就可以讓每一個服務，自動透過各自的推薦機制結合ABTest機制，自動優化每個服務各自所用的推建模型，這是他去年揭露的發展方向。而要實現這個目標，並川淳計畫將ML1團隊的機器學習叢集，改為K8s架構，來善用GPU資源的調度。雖然，今年6月的Data Lab說明會中，沒有進一步揭露這樣的推薦結合ABTest自動優化ML的設計，是否已經完成，但至少，Line已經先將機器學習叢集的環境，轉換到主流的K8s架構了。</p> <h3><strong><span style="color:#0000FF;">#vSphere #公開測試招募</span><br /><span style="color:#FF8C00;">VMware要找用戶來搶先試用新功能，vSphere推出持續公測計畫</span></strong></h3> <p>VMware今年推出了史上最大改版的虛擬化平臺vSphere 7.0，將K8s內建到自家核心虛擬化產品中，這個改變將原本封閉專屬架構的vSphre，轉而變成了採用開源技術的開放架構平臺。因為K8s原本就有一套步調更快的產品改版和發布計畫，每年發布4次新版本。VMware也開始調整自家產品的發布計畫，第一個動作就是推出了持續公測計畫（Continuous Beta），<a href="https://blogs.vmware.com/vsphere/2017/10/new-vmware-vsphere-beta-indicate-interest.html">只要填妥申請表單，審查通過就能加入</a>。這個計畫將提供兩種測試版本，由VMware環境提供的託管測試版，以及可以讓測試用戶下載安裝的版本。VMware也會派出產品經理、技術支援工程師來了解Beta版的試用情況，並提供了一個內部討論區讓測試用戶交流。測試用戶也可以直接提出功能、配置或使用界面設計的建議。</p> <h3><span style="color:#0000FF;"><strong>＃超融合架構＃Azure Stack HCI</strong></span><br /><span style="color:#FF8C00;"><strong>微軟第二代超融合基礎架構產品瞄準混合雲管理，採核心數計價瞄準中小企業需求</strong></span></h3> <p>微軟在今年7月合作夥伴大會Inspire上，公布了第二代超融合基礎架構解決方案AzureStack HCI（Hyperconverged Infrastructure），主打更強的混合雲管理功能。微軟於去年3月宣布Azure Stack HCI，是該公司第二個超融合架構方案（第一個是Azure Stack Hub）。Azure Stack HCI關鍵是Hyper-V及Windows Server 2019軟體定義資料中心（SDDC）、儲存空間直接存取等。新的Azure Stack HCI是一種Azure服務。它的底層不只是單純的Windows Server，而是原生整合Azure混合雲管理功能（包括備份、安全中心及Azure Monitor）。新版採每核心計價訂閱，可用來建立小型環境，像是遠端辦公室或分公司，例如訂閱8核心伺服器或16以下的VM。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/azure-family-updated.png" /></p> <h3><span style="color:#0000FF;"><strong>#基礎架構管理 #K8s</strong></span><br /><strong><span style="color:#FF8C00;">Lyft釋出自家基礎架構管理流程工具，可用來管不同常用工具也能調度K8s</span></strong></h3> <p>Lyft開源了自家內部使用的基礎設施工具Clutch，可以提供一套工作流程的管理工具，可以讓工程團隊能夠建置、執行和維護工作流程，包括特定的安全機制以及存取控制，另外，Clutch還提供了管理AWS、Envoy和Kubernetes等平臺的功能。這套平臺由兩部分構成，後端是以Go開發，採可擴充設計，可進行一般身份驗證，並且提供系統的可觀察性以及日誌紀錄稽核功能。前端則用React，提供以工作流程來設計UI操作，讓使用者不需要先具備豐富的JavaScript知識，能以更少的程式碼創建新功能，且更易於維護。Lyft預計在2020年底前，內部7個工程團隊都會採用Clutch來統一維運工作的管理。</p> <h3><strong><span style="color:#0000FF;">#CICD #Puppet</span><br /><span style="color:#FF8C00;">老牌DevOps工具Puppet更新企業版功能，強化自動化範本共享機制</span></strong></h3> <p>DevOps愛用的老牌自動化組態管理工具Puppet前幾個版本加入了了計畫（Plans）功能，可以使用程式邏輯，來調度不同的任務與工作流程，這個功能可讓使用者以重複且可擴展的方式，跨基礎設施執行多步驟變更，最近Puppet更新了Puppet Enterprise中，更強化了這個計畫功能，甚至可以整合Puppet Forge中的共享內容，來進行複雜的調度任務和計畫，甚至是部署應用程式。官方舉例，當使用者要準備發布應用程式的基礎設施，需要執行配置負載平衡器、使用VMware配置節點，還有設定Apache伺服器等工作，使用者都能夠直接參照模組來完成這些重複性工作。</p> <h3><span style="color:#0000FF;"><strong>#ECS #DevOps自動化</strong></span><br /><span style="color:#FF8C00;"><strong>AWS容器服務ECS推出新款命令列工具Copilot，更容易建立CI/CD流程</strong></span></h3> <p>AWS釋出新的ECS命令列工具AWS Copilot，相較於2015年釋出用於容器服務Amazon ECS的命令列工具，Copilot可以讓使用者不用手動管理低階的基礎設施，就能在ECS上部署應用程式。AWS在去年底發布這個新的ECS命令列工具的消息，現在正式更名為Copilot。使用者只需要提供Dockerfile，再加上幾個指令，Copilot就能夠在AWS上創建和啟動容器，自動以高可用性部署，並創建和配置負載平衡器，Copilot甚至可以創建CI/CD工作管線，在開發者將新的程式碼提交推送到儲存庫的時候，自動重新部署應用程式新版本。Copilot還能跨地區和帳號設定測試和生產環境，而用戶也能透過命令列工具，監控系統並且進行除錯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot-help.png" /></p> <h3><span style="color:#0000FF;"><strong>#Rancher #SUSE ＃併購</strong></span><br /><span style="color:#FF8C00;"><strong>SUSE終於揭露K8s布局併購成果，買下Rancher Labs強化大規模K8s部署能力</strong></span></h3> <p>早在去年底，SUSE工程產品創新總裁Thomas Di Giacomo就預告將會透過併購來強化自家K8s產品的布局，在今年7月終於揭露了併購成果。SUSE買下了2014年成立成立的容器軟體商Rancher Labs，其主要的產品為Rancher，可讓使用者管理和大規模部署Kubernetes到資料中心、雲端和邊緣等各種基礎設施上，Rancher目前擁有37,000個活躍用戶，下載量超過1億。另外，Rancher Labs還開發了為Kubernetes叢集設計的Linux發行版K3OS，以及邊緣專用的Kubernetes輕量級版本K3s。Rancher Labs在併入SUSE之後，將繼續維持開放的策略，同時支援多個Kubernetes發行版和作業系統版本。Rancher採用無關基礎設施的架構，支援所有經過雲端原生運算基金會（CNCF）認證的Kubernetes發行版，包括Google GKE、Amazon EKS和微軟AKS等。Rancher Labs執行長梁勝表示，併購程序將在幾年稍晚時結束，他也會進入SUSE領導合併的工程和創新部門。</p> <h3><span style="color:#0000FF;"><strong>#K8s #VMware</strong></span><br /><span style="color:#FF8C00;"><strong>VMware將K8s輸入控制器專案Contour捐給CNCF</strong></span></h3> <p>CNCF雲端原生運算基金會宣布接收來自VMware的開源Kubernetes輸入（Ingress）控制器Contour，這個專案原本是一家新創Heptio所開發，Heptio後來被VMware併購，Contour也就進到了VMware旗下。Contour透過部署Envoy代理作為反向代理和負載平衡器，來控制流入Kubernetes的流量，Contour支援動態更新，並可透過限制命名空間支援多團隊的Kubernetes叢集，能夠方便地配置虛擬主機和TLS憑證，並提供進階的負載平衡政策。Contour已經被多家企業使用，如Adobe就用來作為自家多租戶Kubernetes平臺Ethos的輸入控制器。社群也已經制定了Contour明確的發展路線，計畫支援Kubernetes Service API以及跨Kubernetes叢集路由服務，另外，Contour還會擴大支援Envoy，加入速率限制、身份驗證以及存取日誌服務等功能。</p> <h3><span style="color:#0000FF;"><strong>#網格服務 #微服務管理</strong></span><br /><span style="color:#FF8C00;"><strong>網格管理平臺Kuma工具推0.6新版，可支援超複雜異質架構的網路流量調度</strong></span></h3> <p>知名的開源API管理工具商Kong最近翻新網格管理平臺Kuma釋出0.6，同時也將這個工具捐給CNCF基金會，成為社群自主發展的孵化專案之一。0.6版特色是支援混合通用模式，讓Kuma能夠支援異構環境的複雜應用程式，能跨包括虛擬機器、Kubernetes叢集和多個資料中心，控制網路流量。現在使用者不只可以分別為Kubernetes和虛擬機器工作負載創建不同的服務網格，還能將兩者放到同一個網格中。Kuma 0.6具有自動服務連接功能，可跨企業環境與平臺自動且抽象化服務網格連接，混合通用模式可在整個企業網路中，提供開箱即用的管理功能，而且新的Ingress資料平面模式，可自動地跨平臺和叢集服務網格溝通。另外野心增加了DNS服務探索，更方便管理跨雲架構中的大量微服務。</p> <p>責任編輯／王宏仁</p> <p><strong>更多Container相關動態</strong></p> <ul><li>GitLab新版13.2強化專案工作流程迭代設計，加強支援任務追蹤工具Jira</li> <li>HPE GreenLake彈性部署服務開始提供Anthos預建置伺服器</li> </ul><p> </p> </div></div></div>
2020/7/31 11:57作者王宏仁https://www.ithome.com.tw/news/139139
Grub2含有安全漏洞，PC、伺服器、工作站或IoT裝置都遭殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專研裝置與韌體安全的Eclypsium，於周三（7/29）<a href="https://eclypsium.com/2020/07/29/theres-a-hole-in-the-boot/#impacts" target="_blank">揭露了一藏匿在啟動程式Grub2的安全漏洞</a>，將允許駭客繞過安全啟動（Secure Boot）保護機制，於作業系統之前植入任意程式，宣稱從個人電腦、伺服器、工作站到IoT裝置都無一倖免。</p> <p>Grub2為一來自GNU專案的啟動程式，可用來啟動任何硬體上的作業系統，它允許使用者在同一裝置上安裝多個作業系統，並在啟動時選擇所要執行的作業系統，而絕大多數的Linux版本都採用了Grub2。</p> <p><a href="https://capsule8.com/blog/grubbing-secure-boot-the-wrong-way-cve-2020-10713/" target="_blank">根據Linux安全業者Capsule8的解釋</a>，一個支援Secure Boot的裝置啟動程序如下：韌體會先載入含有可靠憑證的初始啟動程式（shim）；由shim載入Grub2並進行驗證；Grub2再裝載grub.cfg所描述的任何配置，包括核心載入位置；透過韌體簽章資料庫驗證核心；再把控制權交給核心；最後由核心啟動作業系統。上述的shim指的是含有業者憑證，及可用來驗證與執行Grub2的小型程式。</p> <p>安全研究人員所發現的CVE-2020-10713漏洞，即出現在第三個步驟。因為Grub2是利用文字解析器來讀取grub.cfg配置檔案，一般而言，當一個配置檔的文字太多時，就會退出，但Grub2卻直接把它移到緩衝記憶體去執行，造成緩衝區溢位，而允許駭客在系統記憶體中寫入任何程式。</p> <p>另一方面，Secure Boot原本是用來確保在進入作業系統之前，裝置韌體所執行的任何程式碼，都是可靠且經過驗證的，但grub.cfg是個文字檔案，因此不需檢驗，而讓駭客得以在作業系統啟動之前便植入惡意程式，長期進駐在裝置上。</p> <p>首當其衝的除了Linux平臺之外，任何採用Secure Boot及UEFI CA的Windows裝置也都會受到波及，因此從個人電腦、伺服器、工作站到IoT裝置都難逃一劫。</p> <p>Capsule8警告，CVE-2020-10713非常適合用來植入勒索軟體、鍵盤側錄程式、挖礦工具或進行間諜行為，因為這些惡意程式碼都能在載入作業系統之前就開始運作，還能閃避安裝在作業系統之上的安全程式。</p> <p>值得注意的是，修補CVE-2020-10713漏洞將是個龐大的工程，最基本的是要修補Grub2，繼之是各大Linux版本，以及相關的開源專案，同時業者也得更新啟動程式與安裝程式，微軟亦必須重新簽署新的shim。</p> <p>不過，開採該漏洞必須以管理權限存取EFI系統分區，代表駭客必須先能滲透系統及擴張權限。</p> <p>在Eclypsium揭露CVE-2020-10713漏洞的同一天，微軟、UEFI論壇、Debian、Canonical、紅帽、SUSE、HP、HPE、VMware與Grub2專案，也都同步發表了安全公告。</p> </div></div></div>
2020/7/31 03:20作者陳曉莉https://www.ithome.com.tw/news/139133
微軟將接收PyTorch for Windows維護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pytorch.org/blog/microsoft-becomes-maintainer-of-the-windows-version-of-pytorch/" target="_blank">PyTorch專案本周宣布</a>微軟將接手Windows版本PyTorch 框架的維護工作。</p> <p>PyTorch是臉書於2017年開源的機器學習框架及腳本程式語言。在市場上的眾多框架中，PyTorch受開發人員歡迎程度僅次於Google TensorFlow，也是去年成長最快的開源專案。</p> <p>根據統計，Windows仍是最主要開發平臺（46% Windows vs 28% MacOS），然而使用Windows版PyTorch的開發人員仍落後於其他平臺，原因包括測試覆蓋率較少導致問題層出不窮、核心教學文件不齊全、PyPI不支援PyTorch for Windows造成安裝不易等。此外有些PyTorch功能，像是TorchAudio 函式庫及分散式訓練支援等也不支援Windows。微軟將接手維護PyTorch for Windows以解決這些問題。</p> <p>微軟此舉旨在讓Windows 10 PC及WSL環境下提升PyTorch 執行效能，最終目的是讓開發人員可在WSL環境下執行機器學習訓練。</p> <p>另一方面，6月間，微軟公布WSL 2加入GPU支援，也是為了開發人員可在Windows 10硬體上執行AI和機器學習應用，並獲得了AMD、英特爾和Nvidia的支援。其中微軟和Nvidia聯合推出的<a href="https://developer.Nvidia.com/blog/announcing-cuda-on-windows-subsystem-for-linux-2/" target="_blank">Nvidia CUDA for WSL 2預覽版</a>，即支援PyTorch及TensorFlow。</p> <p>PyTorch專案今天也釋出PyTorch 1.6，新版本將擴大 Windows版核心PyTorch及其函式庫的測試覆蓋率和Linux版相當，其中後者將擴及TorchVision、TorchText及TorchAudio。</p> <p>PyTorch專案人員表示，依據開發社群的意見，分散式訓練支援及以pip安裝，為下一階段的改進目標。</p> </div></div></div>
2020/7/30 16:00作者林妍溱https://www.ithome.com.tw/news/139114
北韓駭客Lazarus濫用跨平臺惡意程式框架MATA，散布勒索軟體與竊取資料庫內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒業者卡巴斯基<a href="https://securelist.com/mata-multi-platform-targeted-malware-framework/97746/">揭露</a>一款名為MATA的惡意軟體框架，與北韓的駭客組織Lazarus有所關連，在波蘭、德國、土耳其、韓國、日本，以及印度等國家都傳出攻擊事件，而受害的公司類型，包含軟體開發公司、電子商務網站，以及網路服務供應商（ISP）等。卡巴斯基指出，這個惡意程式框架，能同時針對Windows、macOS，以及Linux作業系統的電腦發動攻擊，他們看到駭客運用該框架目的，主要是竊取受害企業的資料庫，但也有勒索軟體攻擊的事件傳出。不過，對於具體的受害企業數量，卡巴斯基沒有進一步透露。</p> <p>至於卡巴斯基何以認為背後的攻擊者是Lazarus？該公司指出，MATA與惡意軟體Manuscrypt（又稱Copperhedge）的變種，具有相同的特徵，而濫用這個惡意軟體家族發動攻擊的駭客組織，就是Lazarus。Manuscrypt鎖定攻擊的目標，是加密貨幣的交易平臺，美國國土安全部（DHS）才在<a href="https://www.ithome.com.tw/news/137592">今年5月</a>，公布這個惡意軟體的分析報告，呼籲各界留意他們發動的攻擊，因此，卡巴斯基認為，Lazarus近期的動作算是很頻繁，使得MATA的後續發展也相當值得關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MATA-malware-framework-cls.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MATA-malware-framework-cls.png" style="width: 580px;" /></a></p> <blockquote><p>卡巴斯基指出，他們在MATA的工作調度器（Orchestrator）程式碼裡，發現呼叫2個CLS檔案（下圖白框處），是Lazarus（亦稱Hidden Cobra）的惡意軟體所獨有。他們拿出先前該組織被揭露、針對加密貨幣交易平臺的攻擊程式Manuscrypt來比對（上圖），指出兩者都有c_2910.cls和k_3872.cls，因此認為濫用MATA的就是Lazarus。</p> </blockquote> <p>雖然卡巴斯基沒有提及受害規模，但是Lazarus的犯行可說是罄竹難書，包括於2014年入侵索尼影業（Sony Picture）、盜轉孟加拉央行1億美元，以及在2017年散布勒索軟體WannaCry，導致全球各地的發電廠與醫療院所等關鍵基礎設施，接連傳出災情等，我們必須留意MATA可能造成的威脅。</p> <p>該公司指出，這個框架具備啟動器與工作調度器（Orchestrator），然後可搭配許多的外掛模組使用，工作調度器會從C&C中繼站接收駭客的攻擊指令，來發動進階持續性攻擊（APT）。他們最早於2018年4月看到這款工具出現，並且在今年4月看到鎖定macOS電腦的攻擊，卡巴斯基表示，他們觀察到大多數受害的電腦，都有MATA的啟動器與工作調度器，並且藉由前者載入受到加密保護的負載（Payload），但不確定是否就是上面提及的工作調度器。一旦MATA惡意軟體框架成功進入到企業的環境，攻擊者便會試圖尋找含有重要個資或是商業機密的資料庫，並下達資料庫查詢的指令，然後外洩相關資料清單，至於駭客竊得了那些資料，卡巴斯基沒有說明。</p> <p>雖然駭客是以竊密為主，但卡巴斯基還是發現其他災情，例如，他們看到其中1個受害企業，同時被植入了VHD勒索軟體。卡巴斯基指出，儘管這個惡意程式框架仍然在發展當中，不過它已經能運用在2種不同型態的攻擊上，也具備支援跨平臺的特性，對3大類型的作業系統電腦都能下手。這個可通用於入侵多種環境的惡意軟體框架，代表駭客也朝向採行一體適用的方向，發展能滲透受害企業的工具，一旦發動攻擊，範圍可能不再局限特定的作業系統，也有可能伴隨2種以上的攻擊模式。</p> </div></div></div>
2020/7/28 13:48作者周峻佑https://www.ithome.com.tw/news/139069
Mozilla實驗在Unity虛擬實境嵌入網頁體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozvr.com/a-browser-plugin-for-unity/">Mozilla發布了一個Unity原生擴充套件，以及一組Unity C#腳本元件</a>，可讓第三方將Servo網頁瀏覽器添加到Unity虛擬場景中，連虛擬實境（VR）與擴增實境（AR）應用程式也沒問題，這個套件提供在Unity虛擬環境中，使用網頁平臺的方法。目前的版本僅支援macOS平臺，接下來官方還會讓Servo支援擴增到其他平臺上。</p> <p>Unity是一款跨平臺的遊戲引擎，可以開發跨Windows、MacOS及Linux平臺，以及iOS、Android行動平臺，還有PlayStation、XBox與Switch等遊戲主機的電玩遊戲。Unity引擎的多平臺套件系統，可安裝第三方開源或是專有的套件，該套件系統可以執行作業系統原生模組，並且直接連結在Unity腳本環境中執行的元件。</p> <p>而Servo則是由Mozilla資助，並使用Rust系統程式語言開發而成的平行瀏覽器引擎，Servo專案的目的，是要開發更具平行性、安全性、模組化和高效能的瀏覽器。Mozilla將Servo當作瀏覽器技術的孵化器，專注於研發新的瀏覽器技術，目前從Servo轉移到Firefox使用的Gecko引擎的新技術，包括GPU渲染引擎WebRender以及CSS引擎Stylo。</p> <p>Unity開發工具以及引擎，成為常用來開發VR與AR應用的方法，Mozilla之前嘗試了在網頁環境以Unity提供VR體驗，而現在反過來，Mozilla啟動另一項早期實驗性專案，則是要在Unity虛擬環境中，提供網頁體驗。</p> <p>利用Mozilla最新釋出的Unity擴充套件，開發者可以在Unity編輯器中，使用瀏覽器視窗和控制元件，將Servo視窗放置在Unity場景中的任何位置，在Mozilla釋出的展示範例中，他們將瀏覽器視窗擺進了Mozilla蘑菇洞穴中，使用者可以利用操作器，在洞穴中四處移動，並且看到以3D呈現的瀏覽器內容。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/bO4fmyZKRIU" width="560px"></iframe></div> <p>Mozilla使用Unity的元件架構，來開發這個網頁擴充套件，Unity會執行開發者程式碼，在Unity虛擬環境創建Servo視窗物件，並將瀏覽器內容以貼圖形式呈現。由於Servo使用GStreamer框架，能提供高品質的媒體串流播放功能，因此使用者可以在Unity環境中觀看MPEG4影片，當前Servo已經支援各種多元的網頁內容，現在還能顯示WebGL內容，而Mozilla也正在擴充Servo的網頁相容性。</p> <p>Mozilla提到，因為Unity的腳本環境是以單執行緒進行，而Servo則是以多個輕量級執行緒來執行多種任務，雖然他們已經將Servo的工作編組對應到Unity的執行緒中，但是現在網頁內容更新僅在影格刷新時發生，因此他們還需要做一些最佳化，進行更精細的網頁內容更新控制。另外，他們也會持續改進在Unity中所提供的瀏覽器功能，加入包括多視窗、多頁籤、歷史紀錄以及書籤等功能。</p> </div></div></div>
2020/7/27 17:45作者李建興https://www.ithome.com.tw/news/139051
Google與Balena合作，簡化大規模Coral邊緣AI應用部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/2020/07/coral-summer-2020-updates.html" target="_blank">Google更新本地人工智慧開發平臺Coral</a>，除了擴充平臺相容性、簡化開發與改善裝置的機器學習功能之外，還與物聯網機群管理平臺Balena合作，讓Coral使用者能夠進行大規模的建置、管理和部署物聯網應用程式。</p> <p>Coral平臺包含了開發人工智慧裝置必要的軟硬體，開發人員可以在本地端裝置先建立、訓練和執行神經網路，先小規模的打造出想法雛形，並在之後將雛形擴充到生產階段。Coral的開發板搭載Google的Edge張量處理器（Tensor Processing Unit，TPU）、SoM模組、記憶體與eMMC，並支援Wi-Fi和藍牙無線傳輸協定。</p> <p>Google更新了適用於Coral的作業系統Mendel Linux 5.0，現已支援Coral開發板以及SoM模組，提供更穩定的軟體套件儲存庫，並且改進相容性，加入新的GPU驅動程式。Google還將Edge TPU Runtime在GitHub上開源，其中包含了建置Linux和Windows函式庫的腳本與說明，如此便可讓那些，將Coral用於ARMv7和RISC-V等非官方正式支援平臺的使用者，可以自行編譯Edge TPU Runtime開始進行試驗，並使其更容易將Runtime整合到自定義的建構工作管線中。</p> <p>在Coral軟體堆疊的更新上，Google更新Edge TPU編譯器到14.1版本，新加入的模型工作管線API，可讓開發者將模型分散到多個Edge TPU上執行，而新的Colab筆記本，可使用TensorFlow 2.0重新訓練分類模型。另外，Google還發布了人物分割新模型BodyPix（下圖），這個模型過去僅適用於TensorFlow.JS，而現在可用在Coral中，即時地理解人物和人的各部位。</p> <p class="rtecenter"><img alt="" src="https://4.bp.blogspot.com/-rFkCjXuhHHY/XxdM5iQ1W8I/AAAAAAAAJKk/2GR4m3KHB10rsw3vT4WNyHAhrrcpcxpKACLcBGAsYHQ/s1600/gif1.gif" style="width: 512px;" /></p> <p>Google還和Balena合作實現大規模邊緣人工智慧應用，Google提到，在邊緣執行大量機器學習裝置的企業，需要持續部署安全修復程式以升級系統，保護資料、模型和硬體不受入侵，而且機器學習應用也需要不斷的重新訓練與更新，才能在更新的使用案例中維持高效能。</p> <p>而Coral搭配Balena解決方案，可簡化邊緣機器學習專案的管理，使得配置、部署、更新和監控變得更簡單，也協助開發者能將早期的應用原型，搬遷到大規模的生產環境中。</p> <p>Google釋出新的Windows驅動程式來補充現有的驅動程式，現在Coral使用者可在Windows平臺使用Mini PCIe和M.2加速器。開發者可以先用之前發布，適用USB加速器的Windows驅動程式，以Coral USB加速器在Windows上創建出雛型，之後於生產階段轉而使用Mini PCIe與M.2加速器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pcie-inhand.jpg" style="width: 580px;" /></p> </div></div></div>
2020/7/24 10:15作者李建興https://www.ithome.com.tw/news/139006
Puppet Enterprise釋出2019.8版本，強化自動調度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌自動化組態管理工具廠商Puppet，發布最新的<a href="https://puppet.com/blog/puppet-enterprise-new-release-offers-powerful-orchestration-and-more/">Puppet Enterprise版本更新2019.8</a>，這個版本的重點在於讓DevOps團隊，能夠在Puppet控制臺中建置自動化工作流程，除了可以混用Puppet Forge儲存庫中的模組，以組成和調度工作流程之外，Puppet提供新的開箱即用作業系統修復自動化功能，取代獨立的修補程式管理工具。</p> <p>Puppet在前幾個版本加入了計畫（Plans）功能，讓用戶能以程式邏輯，調度不同的任務與工作流程，這個功能可讓使用者以重複且可擴展的方式，跨基礎設施執行多步驟變更，而在最新的Puppet Enterprise中，Puppet強化了這個功能，讓使用者也能在計畫功能中，使用Puppet Forge中的共享內容。</p> <p>Puppet Forge是一個開源的模組儲存庫，上面存在為數龐大的模組，用戶能夠利用這些模組自動化操作基礎設施，而現在開發者在Puppet Enterprise控制臺，可以將這些Puppet Forge的共享內容，用在調度流程中，調度複雜的任務和計畫，甚至是部署應用程式。</p> <p>使用者不需要在計畫中，重寫一遍在Puppet程式碼已經有的內容，只要在既存的計畫中，進行參照就可以了，官方舉例，當使用者要準備發布應用程式的基礎設施，需要執行配置負載平衡器、使用VMware配置節點，還有設定Apache伺服器等工作，使用者都能夠直接參照模組來完成這些重複性工作。</p> <p>在Puppet Enterprise 2019.8中，官方預建置用於修補作業系統的自動化內容，使用者可以查看Windows和Linux節點上可用的修補程式，在實際應用修補程式後，也能夠得知修補程式，在系統上安裝成功與否，確保系統維持在正常狀態。官方提到，這個修補功能的優點在於，無論作業系統為何，使用者都能夠查看各節點的修補狀態，並且使用同一個工具部署修復程式。</p> </div></div></div>
2020/7/23 12:00作者李建興https://www.ithome.com.tw/news/138970
Linux基金會發表兩個基於Google/蘋果API的開源疫情追蹤程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/tech-leaders-and-health-authorities-from-around-the-globe-collaborate-to-combat-covid-19-301096039.html" target="_blank">Linux基金會（Linux Foundation）在7月20日宣布</a>，成立Linux基金會公共衛生（Linux Foundation Public Health，LFPH）倡議，同時發表兩個基於Google/蘋果API的疫情追蹤開源程式，以協助全球的衛生當局對抗武漢肺炎（COVID-19）疫情。</p> <p>LFPH是由7家企業與該基金會共同組成，包括思科、doc.ai、Geometer、IBM、NearForm、騰訊及VMware，初期發表的兩個追蹤程式則是<a href="https://github.com/CovidShield" target="_blank">COVID Shield</a>及<a href="https://github.com/covidgreen/covid-green-app" target="_blank">COVID Green</a>，而且已被部署在加拿大、愛爾蘭及美國各州。</p> <p>不管是COVID Shield或COVID Green，都是奠基在由蘋果與Google攜手開發的暴露通知API（Exposure Notification API）上，該API可透過藍牙與附近的手機產生連結，並存放彼此的訊號，當出現武漢肺炎的確診者時，衛生機構可在取得病患的同意下，存取其手機藍牙紀錄，並通知那些曾與病患近距離接觸的使用者。</p> <p>LFPH說明，COVID Shield是由Shopify的志工團隊開發的，而且正準備於加拿大部署，至於COVID Green則是由愛爾蘭政府與NearForm團隊合作打造的，已於兩周前部署，且愛爾蘭成人的採用率高達1/3。這兩個程式都即將加入由LFPH代管的開源專案。</p> <p>Linux基金會執行董事 Jim Zemlin指出，在這場嚴重的全球危機中，它將推動所有社群來支持LFPH，開源提供了全球合作的架構，而這正是目前壓力很大的公共衛生基礎設施所需要的，特別是美國的衛生當局常年經費不足，卻需要擴充能力以對抗疫情，也讓科技產業的許多企業與個人急於伸出援手。</p> <p>除了COVID Shield與COVID Green之外，致力於促進疫情追蹤程式的相容性及隱私的TCN Coalition也將併入LFPH，並將成為公衛機關及IT團隊之間的橋樑。</p> </div></div></div>
2020/7/21 11:50作者陳曉莉https://www.ithome.com.tw/news/138938
一周大事：美國政府因Windows DNS Server漏洞發布緊急令，要聯邦機構限時修補。NCC要嚴查愛奇藝、騰訊等…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>美國土安全部要聯邦機構限時修補Windows DNS Server的安全漏洞</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/071901.png" style="width: 500px;" /></p> <p>美國國土安全部發布史上第三次緊急指令，要求美國所有以Windows Server作為DNS伺服器的聯邦機構，都應該在24小時內修補或緩解微軟於日前修補的CVE-2020-1350漏洞。<a href="https://www.ithome.com.tw/news/138891" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>NCC通過OTT管理法草案，將納管大型OTT業者、防堵非法中國業者</strong></span></p> <p>NCC通過「網際網路視聽服務管理法」草案，即俗稱的OTT管理法，針對過去處於灰色地帶的OTT業者將採取更積極的作法。該草案將採捉大放小的原則，將大型OTT業者納入管理，同時也對違反「兩岸人民關係條例」的中國OTT業者，採取更嚴格的防堵措施，禁止相關業者提供電信設備及服務。<a href="https://www.ithome.com.tw/news/138840" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>高醫附醫將醫事憑證管理行動化，手機簽核病歷1.5秒完成</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/071902.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_高醫附醫</span></p> <p>高雄醫學大學附設中和紀念醫院（高醫附醫）分享自家醫事憑證管理（HCA）行動化經驗，透過自行開發的高醫行動憑證App和高醫電子病歷App，一改過去需要醫事卡搭配讀卡機，才能簽核病歷的不便。醫護人員用手機，只要1.5秒就能簽核病人病歷，更不受地點限制，免除醫生在不同院區來回奔波的不便。<a href="https://www.ithome.com.tw/news/138625" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>力推分眾行銷，Line官方帳號Q4大升級</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E7%89%871_Line%E5%AE%98%E6%96%B9%E5%B8%B3%E8%99%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Line.png" style="width: 421px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Line</span></p> <p>Line揭露多項服務改版計畫，其中，Line官方帳號將會增加兩大精準行銷新功能，可以讓店家更方便地追蹤加入好友的顧客，在自家生態圈網站上的去識別化活動軌跡。Line臺灣企業解決方案事業部資深副總經理王俞蓉指出，官方帳號2.0將提供可自訂顧客分類標籤功能「分眾+」，以及透過Line Tag來強化行銷操作的好友識別。她解釋，過去只能從官方帳號單向提供資料到廣告平臺，現在可以反過來，將廣告平臺所用的活動資訊，提供官方帳號的店家建立更完整的利用，就像網站用戶匿名追蹤機制如Google Analysis。<a href="https://www.ithome.com.tw/news/138809" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>優化用戶體驗，Line購物成為獨立App</strong></span></p> <p>Line購物服務從通訊軟體中脫離，變成了一支獨立的App，並新增價格追蹤、降價通知等功能，來優化對第三方店家的導購能力。<a href="https://www.ithome.com.tw/news/138766" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>印度採用WhatsApp、電子郵件等數位工具，發送法院正式通知</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_WhatsApp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20WhatsApp.png" style="width: 500px;" /></p> <p>圖片來源_WhatsApp</p> <p>因應武漢肺炎（COVID-19）疫情，印度最高法院除了允許基於視訊的聽證會之外，現在進一步核准法院透過數位工具來發送傳票或法院通知等訊息，涵蓋傳真、電子郵件，或是WhatsApp與Telegram等即時傳訊程式。<a href="https://www.ithome.com.tw/news/138794" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>底特律警方因臉部辨識誤判抓錯人</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E8%87%89%E9%83%A8%E8%BE%A8%E8%AD%98_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Detroit%20Police%20Department.png" style="width: 423px;" /></p> <p><span style="color:#696969;">圖片來源_ Detroit Police Department</span></p> <p>去年9月一名黑人年輕學生持棒球棒和一群人發生鬥毆，一名老師在車上拿起手機拍攝。這名黑人學生發現後朝這名老師走來，隨後搶取錄影中的手機並將之摔在地上，導致螢幕龜裂。底特律警方獲報後，僅根據臉部辨識系統判斷影片中的學生為Michael Oliver，就對Oliver提出控訴。</p> <p>不過人眼立即可以判斷出，Oliver和嫌犯並非同一人，更別提Oliver手臂上有嫌犯沒有的刺青。Oliver的律師立即向當地警察隊長、檢察官提出質疑，並在受害老師的指證下，底特律警局同意撤告。</p> <p>為了避免製造冤案，此事之後，底特律警方將限制臉部辨識科技，只能用作暴力重罪的輔助查案工具，也規範包括臉部辨識在內的所有證據，一定要由隊長檢視過才能對嫌犯提出指控。<a href="https://www.ithome.com.tw/news/138791" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>甲骨文公有雲現在可以搬進企業自家機房了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Oracle%20Cloud%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%94%B2%E9%AA%A8%E6%96%87.png" style="width: 323px;" /></p> <p><span style="color:#696969;">圖片來源_甲骨文</span></p> <p>挑戰AWS、Azure，甲骨文（Oracle）宣布讓企業可在自家資料中心內部署甲骨文雲端產品，包括Autonomous Database及Oracle Cloud的方案。</p> <p>之前甲骨文曾推出Exadata Database的本地雲端部署方案，最新Autonomous Database on Exadata <a href="mailto:Cloud@Customer">Cloud@Customer</a>方案，則是進一步將其具備自動化能力的Autonomous Database，以本地雲端部署的方式推出。<a href="https://www.ithome.com.tw/news/138751" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>SUSE併購Kubernetes平臺廠商Rancher Labs</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Rancher%20Labs.png" style="width: 320px;" /></p> <p>容器廠商Rancher Lab同意開源軟體公司SUSE提出的收購，兩家在各自領域皆占有一席之地的開源企業結合，目標是要創建全球最大的獨立組織，發展Linux、Kubernetes（K8s）、邊緣運算和人工智慧等領域的開源和雲端原生解決方案。<a href="https://www.ithome.com.tw/news/138686" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>臺南市政府打造5G垂直產業實驗場域</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-5GSA-%E5%9C%961-%E6%94%9D%E5%BD%B1-%E8%98%87%E6%96%87%E5%BD%AC.JPG" style="width: 408px;" /></p> <p><span style="color:#696969;">攝影_蘇文彬</span></p> <p>國內5G甫開臺，看好5G在垂直場域的應用潛力，臺南市政府聯合亞旭、廣達旗下的雲達、國家實驗研究院、國網中心、日本NTT等共同組成「5G臺南隊」，以臺南市公私部門場域為驗證基地，測試各項垂直場域應用，其中雲達首次展示了國產5G n79獨立組網（SA）設備，瞄準企業建置5G專頻專網商機。<a href="https://www.ithome.com.tw/news/138827" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>F5 BIG-IP漏洞已被用於攻擊</strong></span></p> <p>資安設備組態管理介面被發現漏洞的情況，再添一樁。安全廠商揭露F5網路及安全產品──BIG-IP應用遞送控制器（Application Delivery Controller，ADC）存在重大安全漏洞，可能讓不具授權的遠端攻擊者執行指令，並取得系統完整控制權，包括攔截流經該設備的應用流量，研究人員已發現來自中國的大量掃描的行為，來尋找網路上可存取的BIG-IP傳輸介面。<a href="https://www.ithome.com.tw/news/138629" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>近2.3萬MongoDB資料庫遭勒索攻擊</strong></span></p> <p>資料庫設置不當，導致駭客能趁機下手攻擊的事件，最近2到3年可說是時有所聞，現在又有新一波的攻擊行動。根據ZDNet報導，駭客自今年4月開始，發動一波攻擊，他們針對網路上沒有設置密碼保護的MongoDB資料庫，清空內容並留下勒索訊息，受害的資料庫多達22,900個，大約占網路上公開MongoDB資料庫的47%。<a href="https://www.ithome.com.tw/news/138754" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10添核心資料防護工具</strong></span></p> <p>愈來愈多惡意程式作者使用資料毀損手法，來破壞系統安全政策、權限升級、竄改安全憑證，或修改「一次初始化」的資料結構。為此微軟釋出了KDP，要透過虛擬化安全來保護部份Windows核心和驅動程式。KDP是一組API，可將部份核心記憶體標示為唯讀以防止惡意程式修改。<a href="https://www.ithome.com.tw/news/138755" target="_blank">更多內容</a></p> </div></div></div>
2020/7/19 07:00未署名https://www.ithome.com.tw/news/138909
資安一周第102期：防火牆作業系統接連傳出漏洞，可能導致駭客能取得最高權限或是發動阻斷服務攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0709-0715 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Palo Alto修補PAN-OS另一個遠端程式攻擊漏洞</strong></h2> <p>繼6月底，資安業者Palo Alto修補藏匿在防火牆作業系統PAN-OS中的CVE-2020-2021漏洞後，7月8日再度修補另一個漏洞CVE-2020-2034。這項漏洞允許未經授權的駭客，以最高權限執行作業系統命令。</p> <p>該漏洞主要藏匿在GlobalProtect入口網站的功能中，如果駭客事先取得目標防火牆配置的特定資訊，或者是藉由暴力破解攻擊，可能得以最高權限執行任意的作業系統命令。這項漏洞CVSS 3.1版風險指標為8.1分。<strong><a href="https://www.ithome.com.tw/news/138696">詳全文</a></strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/102-1-CVE-2020-2034.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/102-1-CVE-2020-2034.jpg" style="width: 400px;" /></a></strong></p> <p>圖片來源：Palo Alto Networks</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Juniper修補防火牆、路由器可能導致阻斷服務攻擊的漏洞</strong></h2> <p>網路設備業者Juniper，於7月初發布安全公告，修補作業系統軟體Junos OS的安全漏洞，其中2個出現在防火牆產品，1個出現在路由器產品中，可能導致阻斷服務（Denial of Service）攻擊的重大風險漏洞。</p> <p>防火牆中的兩項漏洞為CVE-2020-1647和CVE-2020-1654，都是影響啟用ICAP再導引服務的SRX系列防火牆，若駭客不間斷傳送HTTP訊息，將可能引發大規模的DoS攻擊。</p> <p>另一個漏洞是CVE-2020-1650，影響MX系列路由器，攻擊者藉由重覆傳送惡意封包導致MS-PIC反覆失靈，引發長時間的DoS攻擊。<a href="https://www.ithome.com.tw/news/138793"><strong>詳全文</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/101-2-USMF-security-incident.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/102-2-Junos-3vuln.jpg" style="width: 400px;" /></a></p> <p>圖片來源：Juniper</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃MongoDB ＃GDPR</strong></h3> <h2><strong style="vertical-align: top;">近2.3萬個MongoDB資料庫被清除並遭到勒索</strong></h2> <p>資料庫設置不當，導致駭客能趁機下手攻擊的事件，最近2到3年可說是時有所聞，根據ZDNet的報導，不知名的駭客自今年4月開始，發動一波攻擊，他們針對網路上沒有設置密碼保護的MongoDB資料庫，清空內容並留下勒索訊息，受害的資料庫多達22,900個，大約占網路上公開MongoDB資料庫的47%。</p> <p>駭客要求資料庫的所有者支付0.015個比特幣，限期在2天內付款。駭客揚言，要是受害者沒有如期支付，他們不只會對外公開資料庫的資料，還會向當地GDPR執法單位通報資料外洩事件，讓受害單位面臨高額罰款或是牢獄之災。<a href="https://www.ithome.com.tw/news/138754"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃加密傳輸＃雲端服務濫用</strong></h3> <h2><strong style="vertical-align: top;">Mozilla加密檔案分享服務因遭到駭客濫用，而遭到關閉</strong></h2> <p>Mozilla日前悄悄地關閉去年推出的Firefox Send，官網上僅輕描淡寫地說是為了改善產品。但根據ZDNet與The Daily Swig的報導，Mozilla關閉Firefox Send的主因，是因為許多人檢舉該服務已經遭到濫用，多個駭客集團利用Firefox Send來代管惡意程式，從金融木馬、間諜程式到勒索軟體，再將連結傳給受害者。</p> <p>英國資安專家Colin Hardy指出，對駭客而言，Firefox Send不會被企業的電子郵件過濾機制攔阻，他們也無須自行建立惡意程式代管架構，而且內容是加密的，阻擋防毒機制的偵測，再加上它只要一段時間就會過期，根本無從追蹤。<strong><a href="https://www.ithome.com.tw/news/138797">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/102-3-Firefox-send-unvailable.jpg" style="width: 400px;" /></p> <p>圖片來源：Mozilla</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃視訊會議系統</strong></span></h3> <h2><strong style="vertical-align: top;">Zoom修補允許駭客自遠端執行任意程式的漏洞，影響Windows 7之前版本電腦</strong></h2> <p>資安業者0patch在7月9日揭露，近來爆紅的Zoom視訊客戶端程式，含有一個零時差安全漏洞，將允許駭客自遠端執行任意程式，該漏洞波及Windows 7及之前版本的視窗作業系統，而Zoom也在隔天就釋出了5.1.3版用戶端程式進行修補。<a href="https://www.ithome.com.tw/news/138798"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">鎖定美國大型企業的勒索軟體WastedLocker發動攻擊，企業因員工上網瀏覽遭入侵的網站也跟著受害</strong></h2> <p>賽門鐵克揭露一波目標式WastedLocker勒索軟體攻擊，對象是美國的大型企業，但滲透的管道，是先透過員工上網可能會瀏覽的合法網站，植入惡意JavaScript，一旦使用者瀏覽這些被駭的網站，整個企業可能因此成為勒索軟體的受害者。該公司至少發現31家企業受害，其中包含8間名列財星500大的企業。</p> <p>賽門鐵克指出，6月針對美國大型企業發動的攻擊，是由俄羅斯駭客集團Evil Corp所為，這個駭客組織過去與金融木馬Dridex和另一個勒索軟體BitPaymer有關。<strong><a href="https://www.ithome.com.tw/news/138706">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路設備＃物聯網安全</strong></span></h3> <h2><strong>多款知名家用路由器使用老舊Linux核心，藏匿大量安全漏洞</strong></h2> <p>家用路由器的資安漏洞接連被揭露，也使得這種設備的安全問題引發關注。例如，德國知名的弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）最新研究顯示，許多知名品牌的家用路由器，執行久未更新的Linux作業系統，包含已經公諸於世的漏洞、還把登入密碼存在韌體中，突顯家用網路安全堪憂。</p> <p>FKIE發現，在127臺受測產品中，有46臺過去1年都沒有發布安全更新。其中，90%以上設備執行Linux作業系統，卻有三分之一使用2.6.36以前的版本。此外，這些路由器平均有53個重大漏洞。<a href="https://www.ithome.com.tw/news/138633">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞公告＃物聯網安全</strong></span></h3> <h2><strong style="vertical-align: top;">關於79款Netgear路由器的安全漏洞，該公司公布修補狀況</strong></h2> <p>有79款Netgear路由器，都含有允許駭客執行任意程式的安全漏洞。在相關細節於6月15日被公開揭露後，Netgear先是於6月19日發出安全性通告，並首度提供其中2款設備的新版韌體；而到了7月8日，該公司發出公告，表示完成了大多數設備的修補工作。</p> <p>針對臺灣的用戶，代理商瀚錸科技也在安全性公告中，整理出在臺上市機種的修補狀態。該公司表示，總共有10款路由器受到相關漏洞影響，Netgear已提供8款設備的修補韌體，另外2款停產設備，瀚錸則建議用戶關閉「遠端系統管理」功能，來緩解相關漏洞的影響。<strong><a href="https://www.ithome.com.tw/news/138772">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩＃內部威脅＃加密貨幣</strong></span></h3> <h2><strong style="vertical-align: top;">虛擬貨幣交易公司麒點科技遭入侵，刑事警察局揭露調查結果，是離職員工所為</strong></h2> <p>前員工破解VPN帳號密碼，存取公司研發成果及商業機密資料的事件，竟是因為發現休假的負責人帳號出現在公司內網，才被察覺，而這樣的情況，竟然發生在提供加密貨幣投資決策服務的新創公司。</p> <p>根據中央社等多家媒體的報導，加密貨幣量化交易公司麒點科技（Kronos Research），傳出有駭客入侵，並繞過他們公司的資安系統防火牆，得以從遠端檢視大量研發成果及商業機密，然而該公司在報警進行追查後，發現入侵的駭客是剛離職不久的陳姓男子。該公司向警方報案時表示，假如他們的研發成果與商業機密因此外洩，可能會導致1億5千萬元損失。<strong><a href="https://www.ithome.com.tw/news/138668">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/138664">駭客組織Keeper發動網站交易側錄攻擊，570個網站受害</a><br /> ●<a href="https://www.ithome.com.tw/news/138669">感染Android裝置的惡意軟體或廣告程式，14.8%直接進駐系統</a><br /> ●<a href="https://www.ithome.com.tw/news/138776">逾150億組的外洩帳號密碼在暗網中流竄</a><br /> ●<a href="https://www.ithome.com.tw/news/138755">微軟推出防止作業系統核心資料毁損的保護措施</a></h3> </div></div></div>
2020/7/16 22:42作者周峻佑https://www.ithome.com.tw/news/138871
Cloud周報第72期：瞄準企業跨雲分析資料的需求，Google推出BigQuery的多雲解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/07/09～2020/07/15）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨雲 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google發布多雲解決方案BigQuery Omni，可橫跨GCP、AWS和Azure查詢分析資料</strong></span></p> <p>Google近日發布BigQuery多雲解決方案BigQuery Omni，可直接連結企業儲存在Google雲、AWS和Azure的資料，並進行分析。新解決方案以Google混合雲平臺Anthos為基礎打造，是其可支援不同雲端平臺的關鍵。因此，企業就算並非把資料儲存在GCP平臺，也能透過該解決方案的查詢功能，利用與BigQuery相同的操作介面，進行跨雲的資料查詢、分析作業。舉例來說，電商業者可查詢儲存在GCP平臺的Google Analytics 360廣告資料，以及查詢儲存在AWS S3的應用程式日誌資料，再使用Looker建立一個儀表板，來掌握顧客購買行為與廣告支出的關聯性。因Azure版的Anthos仍處於預覽版階段，所以BigQuery Omni目前僅先支援AWS，稍後才會支援Azure，且現階段新解決方案仍為alpha測試版。<a href=" https://cloud.google.com/blog/products/data-analytics/introducing-bigquery-omni">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電商 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推播系統 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>為縮短行銷訊息推送時間，Momo打造秒級發送百萬則訊息的雲端推播系統</strong></span></p> <p>Momo近日對外分享自家電商服務上雲的經驗，負責傳送優惠資訊的推播系統，是其搬遷上雲的第一個系統。受主機擴充上的限制，推播系統原需逾4小時才能將單筆訊息發送給，Momo挑出的200萬名活躍用戶。因此，Momo希望藉雲端彈性擴充的特性，在不增加成本的前提下，將推送訊息所需的時間縮短。Momo規畫了推播系統上雲的方案，將系統從基礎架構中抽離，再使用AWS訊息推播服務SNS和無伺服器服務等，來建置其的雲端執行環境。Custom Wu表示，團隊僅花了3天即完成雲端推播系統POC。新的雲端推播系統僅需5秒，就可將訊息傳送給200萬名用戶，比預設的分鐘級目標還來的更快，大幅提升了訊息推送的效率，且成本方面，每5萬名用戶的發送費降為1元，是傳統簡訊費用的三萬分之一，大幅壓低了行銷成本。<a href=" https://www.justice.gov/opa/pr/team-telecom-recommends-fcc-deny-pacific-light-cable-network-system-s-hong-kong-undersea">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機密運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料加密 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>鎖定資料高敏感度企業，Google推出保持資料加密狀態的機密運算VM </strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E6%A9%9F%E5%AF%86%E9%81%8B%E7%AE%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.JPG" style="width: 600px; height: 332px;" /></strong></strong></p> <p>Google宣布將推出機密運算VM（Confidential VMs），可讓資料在運算過程中，保持加密狀態。機密運算VM會在採用第二代AMD EPYC處理器的N2D系列VM上執行，藉由AMD安全加密虛擬化（Secure Encrypted Virtualization，SEV）機制，還有使用由AMD EPYC處理器產生和管理專屬每臺VM的金鑰，來保持VM記憶體的加密狀態。這些金鑰則是在VM建立的期間，由AMD安全處理器產生，並且僅留存於處理器內，因此Google或在主機上執行的其他任何VM都無法使用。</p> <p>企業可藉使用機密運算VM，確保資料不論是在使用、索引或訓練時，都受到縝密的保護，對於資料受高度管制的產業，如金融等，更將可提升資料的安全性。且Google表示，新VM在處理資料的過程中，即使處於加密狀態，也與一般情境下運作的VM具相同效能。新的機密運算VM是Google雲端機密運算產品組合的首款產品，目前處於Beta測試階段。<a href=" https://cloud.google.com/blog/products/identity-security/introducing-google-cloud-confidential-computing-with-confidential-vms">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 安全分析 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 記憶體快照 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>微軟發布雲端安全分析引擎Freta，從記憶體快照偵測VM惡意程式</strong></span></p> <p>微軟研究院近日發布了雲端安全分析引擎Freta，可掃描Linux系統的記憶體快照，找出感測器和作業系統遭破壞的證據。Freta的設計概念是以倖存者偏差為核心，提高攻擊者逃避偵測器的成本，並且在技術上，盡可能讓攻擊者無法逃避偵測。該引擎具備處理大規模VM的能力，能以低成本的方式，同時對超過1萬臺Azure VM，進行自動記憶體鑑識稽核。使用者不需要安裝任何程式，只要提交記憶體快照給Freta，接著，Freta就能從記憶體內容偵測新型態的Rootkit和進階的惡意程式。目前Freta可支援4,000多種Linux核心版本，並可在沒有金鑰或是上下文的情況，對經安全機制擾亂的記憶體進行解碼。現階段，微軟以入口網站的形式，公開Freta雛形給大眾使用。<a href=" https://www.microsoft.com/en-us/research/blog/toward-trusted-sensing-for-the-cloud-introducing-project-freta/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中國市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google終止針對控制資訊國家推動的「隔離地區」計畫</strong></strong></p> <p>近日，彭博社引述Google員工的消息指出，Google已於5月放棄名為「隔離地區」（Isolated Region）的雲端計畫。因應部分國家對境內數據具控制要求，Google原計畫推動「隔離地區」計畫，來提供中國和其他數據敏感的國家雲端服務，不過，近日卻傳出Google已放棄該計畫的消息。</p> <p>根據外媒的報導，Google是因地緣政治局勢緊張，再加上全球疫情的衝擊，而決定停止該計畫。不過，這些促使計畫終止的原因，都被Google發言人駁斥。他表示，Google終止該計畫是因正在尋求其他方法，來提供更好的服務結果，且Google並未計畫於中國提供雲端服務，但，他並未進一步說明其他方法是哪些，僅強調，Google將提供別的方法來滿足特定國家對數據治理的需求。而Google原先規畫的「隔離地區」計畫內容是，建立由第三方像是境內公司或政府機構，來控制的雲端服務，讓他們可以監督正在傳輸的數據，與既有雲端服務完全分離，且原有數百名人員分散世界各地參與該計畫。<a href=" https://news.microsoft.com/en-gb/2020/06/15/nhs-chooses-microsoft-365-to-create-a-truly-joined-up-national-health-service/ ">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算密集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google推出採A100 GPU的高效能新VM系列，最高規搭載16顆GPU具640GB 的GPU記憶體</strong></span></strong></p> <p>Google近日宣布推出採用Nvidia新GPU A100的VM系列A2，共有5種規格，其中最高搭載了16顆的A100 GPU，且擁有1.3 TB的系統記憶體。Nvidia在今年5月推出新的資料中心級GPU A100，採用全新的Ampere架構，與上一代採Volta架構的V100 GPU相比，效能可快20倍。此外，A100提供多重執行實例群組功能（Multi-Instance Group），可以將1個GPU劃分成最多7個執行實例，每個執行實例間效能以及故障完全相互隔離。Google表示，A2系列適合用來處理像是CUDA機器學習訓練和推論，以及高效能計算等運算密集工作。</p> <p>新系列提供了5種規格，最低規格的a2-highgpu-1g使用1個A100 GPU，搭配12個vCPU和85 GB的系統記憶體，而最高階的a2-megagpu-16g，則搭載16顆A100 GPU，擁有640 GB的GPU記憶體，並使用96個vCPU配置1.3 TB的系統記憶體。<a href=" https://cloud.google.com/blog/products/compute/announcing-google-cloud-a2-vm-family-based-on-nvidia-a100-gpu">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 本地機房 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>甲骨文宣布企業可在自家資料中心部署自動化資料庫服務Autonomous Database </strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Dedicated%20region_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%94%B2%E9%AA%A8%E6%96%87.JPG" style="width: 600px; height: 266px;" /></strong></span></strong></p> <p>甲骨文日前宣布，推出雲端產品解決方案Dedicated Region Cloud＠Customer，可部署甲骨文雲上的自動化資料庫服務Autonomous Database，和SaaS於企業資料中心。該方案整合了甲骨文雲端地區的服務內容，除了有Autonomous Database外，還包含了應用軟體Oracle Fusion Cloud Applications中的Cloud ERP、Cloud HCM、Cloud SCM和Cloud CX，並全面由甲骨文管理。甲骨文宣稱該方案可提供與雲端地區相同的服務內容，並表示，其適合受法規高度管控，或特別重視安全性的企業採用，可用以降低資料延遲性，且可滿足資料儲存雲本地端的需求。而企業除了可透過Dedicated Region Cloud＠Customer外，還可透過甲骨文推出的另一個新方案Oracle Autonomous Database on Exadata Cloud＠Customer，來部署自動化管理資料庫服務Autonomous Database於自家機房，減少手動作業造成的人為疏失，並降低管理成本。<a href="https://www.oracle.com/corporate/pressrelease/oracle-autonomous-database-cloud-at-customer-070820.html">（詳全文）</a></p> <p><strong>圖片來源／Google雲端、AWS、甲骨文 </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. AWS Outposts現支援關聯式資料庫服務Amazon RDS，可將MySQL和PostgreSQL資料庫延伸進Outposts</strong><a href=" https://aws.amazon.com/tw/blogs/aws/new-create-amazon-rds-db-instances-on-aws-outposts/">（詳全文）</a></p> <p><strong>2. Google推出智慧輔助工具Active Assist，可推薦雲端環境的最佳操作，來簡化企業日常控管作業</strong><a href=" https://cloud.google.com/blog/products/management-tools/active-assist-comes-to-google-cloud/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年7月</strong></p> </div></div></div>
2020/7/16 18:35作者黃郁芸https://www.ithome.com.tw/news/138870
Google釋出Chrome 84，修補38個安全漏洞，正式移除對TLS 1.0/1.1的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在7月14日釋出Chrome 84穩定版，該版本修補了38個安全漏洞，也正式移除了對TLS 1.0/1.1的支援，但<a href="https://developers.google.com/web/updates/2020/07/nic84#top_of_page" target="_blank">新增</a>App圖示捷徑（App Icon Shortcuts）、離線內容索引Content indexing API，以及可防止螢幕睡眠的Wake lock API等新功能。Chrome 84預計於未來幾天就會陸續部署到Windows、Mac與Linux等平臺。</p> <p>Google從2019年12月問世的Chrome 79開始，就不推薦網站使用TLS (Transport Layer Security) 1.0及1.1版的網頁加密驗證協定，原本預計要在今年4月發表的Chrome 81完全移除對TLS 1.0/1.1版的支援，但考量到網站可能正在應對武漢肺炎（COVID-19）疫情而無瑕兼顧，因而它延後到本周釋出的Chrome 84。</p> <p>Chrome安全團隊表示，TLS 1.0/1.1所仰賴的MD5及SHA-1加密演算法不但都已被破解，而且也含有其它漏洞，10年前就發表的TLS 1.2則已修補相關漏洞並受到廣泛的採用。</p> <p>因此，自Chrome 84開始，用戶只要造訪依舊採用TLS 1.0/1.1網站，Chrome就會出現插入式的全頁面警告。</p> <p>而<a href="https://developers.google.com/web/updates/2020/07/nic84#app-icon-shortcuts" target="_blank">App圖示捷徑</a>允許使用者直接在Chrome中點選程式的圖示，就能直接啟用該程式的多種功能，像是在Twitter上撰寫貼文、傳送訊息或檢視通知等。</p> <p>Wake lock API則可用來防止使用者正在參考網頁上的內容時，螢幕忽然變暗或鎖住，根據專門提供食譜並銷售食材的Betty Crocker網站的測試，導入Wake lock API讓該站使用者的購買意願提高了300%。至於Content indexing API則是用來提醒使用者，站上有些內容可以下載以供離線使用。</p> <p>在Chrome 84<a href="https://chromereleases.googleblog.com/2020/07/stable-channel-update-for-desktop.html" target="_blank">此次修補的</a>38個安全漏洞中，只有一個被列為重大（Critical）等級，那是由360 Alpha Lab與360 BugCloud 共同揭露的CVE-2020-6510，會在Chrome處理不可靠的HTML內容時出現邊界錯誤，形成堆積緩衝區溢位漏洞；駭客可打造一個特製的網頁並誘導使用者造訪來開採該漏洞，成功的開採將允許駭客自遠端執行任意程式。</p> </div></div></div>
2020/7/15 21:35作者陳曉莉https://www.ithome.com.tw/news/138842
Cloudflare系統自動擋下每秒7億封包的DDoS攻擊流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月21日的時候，Cloudflare的DDoS防禦系統Gatebot偵測到了<a href="https://blog.cloudflare.com/mitigating-a-754-million-pps-ddos-attack-automatically/?utm_campaign=blog&utm_source=facebook,linkedin,twitter&utm_medium=Cloudflare,Cloudflare,+Inc.&utm_content=no_humans_involved:_mitig">爆量的DDoS攻擊</a>，來自超過30萬個IP地址的攻擊流量，峰值達到每秒7.54億個封包，灌向一個使用Cloudflare免費計畫的IP位址，由於Gatebot即時作用，攻擊期間並未造成該IP服務停止或任何影響，且防禦過程未有任何人員參與。</p> <p>這個爆量DDoS攻擊時間長達4天，從6月18日開始到6月21日結束，攻擊總共結合使用3種攻擊向量，SYN、ACK以及SYN-ACK洪水攻擊，攻擊活動以每秒4到6億個封包，攻擊目標數個小時，多次超過每秒7億個封包，最高峰達到每秒7.54億個封包，而這一連串的攻擊被Gatebot偵測，並且成功抵禦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2-3.png" style="width: 580px; height: 247px;" /></p> <p>DDoS有三種類型，其中一種常見的方法是高位元速率的攻擊法，目的是要發送比網際網路連結每秒能夠處理的頻寬還要多的位元流量，使網際網路連結飽和，進而影響正常用戶存取，Cloudflare提到，要防禦這種密集型的洪水攻擊，就像是為容量有限的運河建立水壩，阻擋水流湧入，僅允許部分的水量通過，因此在高位元速率DDoS攻擊的情況下，網際網路服務商通常會阻擋或是限制網路流量，但同時這也會使得合法用戶遭到阻擋。</p> <p>不過，在這次的DDoS攻擊活動與高位元速率攻擊不一樣的是，攻擊的流量峰值只有250 Gbps，而Cloudflare的全球容量高達37 Tbps，因此Cloudflare認為，攻擊者目的並非要使他們的網際網路連結飽和，而是企圖以每秒高達7.54億的巨量封包，壓垮路由器和資料中心設備，相較於衝向運河大壩的水流量，大量的封包像是成千上萬的蚊子，防禦者必須要把蚊子們一一消除。</p> <p>受巨量封包DDoS攻擊影響的裝置，取決於資料中心裡最弱的環節，可能會使路由器、交換器、網頁伺服器或是防火牆，甚至是DDoS防禦裝置癱瘓，Cloudflare提到，這種攻擊通常會使路由器記憶體緩衝區溢位，而無法處理更多的資料封包。</p> <p>Cloudflare使用了3個機制，層層減輕DDoS攻擊帶來的影響，首先是Cloudflare網路會利用BGP Anycast技術，將攻擊流量分散到全球的資料中心機群，第二則是使用DDoS防禦系統Gatebot和dosd，能以最大效率從Linux核心內部丟棄封包，以處理大量封包洪水攻擊，第三則是Cloudflare建立了自己的L4負載平衡器Unimog，能夠利用各種指標智慧地平衡資料中心內的流量。</p> <p>Gatebot是這次抵禦DDoS攻擊的關鍵，在Cloudflare網路使用BGP Anycast技術，將攻擊表面擴展至全球後，Gatebot便自動偵測並且進行防禦，而且資料中心裡的智慧負載平衡機制，能控制負載避免流量壓垮任何一臺電腦。Gatebot是Cloudflare中兩個DDoS防禦系統之一，會對全球200多個位置的資料中心流量，進行非同步採樣，並且監控用戶伺服器的健康狀況，當Gatebot分析樣本後，發現異常的模式或是流量，便會發送防禦指令到邊緣資料中心，消化攻擊流量。</p> </div></div></div>
2020/7/15 10:07作者李建興https://www.ithome.com.tw/news/138815
微軟將終止在Windows上提供PHP官方支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟內部的PHP專案經理Dale Hirt在<a href="https://news-web.php.net/php.internals/110907">PHP郵件列表</a>上宣布，從PHP 8開始，微軟不會在Windows上提供官方的支援。微軟是從Vista開始在Windows上支援PHP，而PHP 7.4則成為微軟最後的官方PHP版本。</p> <p>由於目前微軟對Windows上PHP的維護期程是，在組建版本釋出後兩年提供漏洞修復，而之後則會再提供一年的安全性修復支援。PHP 7.2將在11月時終止安全性修復支援，而PHP 7.3會於11月，進入為期一年的安全性修復階段，PHP 7.4則還有一年的漏洞修復時間，以及一年的安全性修復支援，Dale Hirt提到，微軟承諾只要受官方支援，便會維護PHP 7.2、7.3和7.4在Windows上的建置與開發，但是確定不會在Windows上提供PHP 8以上版本的支援。</p> <p>PHP核心貢獻者Sara Golemon在<a href="https://www.reddit.com/r/PHP/comments/ho9dgq/microsoft_not_going_to_officially_support_php_8/">網路論壇Reddit</a>則提到，微軟釋出的這個訊息，僅說明微軟不會建置PHP 8以上的組建版本，但這不代表之後就沒有人會進行這項工作。過去微軟運作<a href="https://windows.php.net">https://windows.php.net</a>網站，並且為Windows生成官方的PHP組建版本，當開發者執行php.exe、mod_php7.dll，或是呼叫任何websapi版本，可以選擇使用微軟的組建版本，也能夠自己編譯。</p> <p>只不過現在微軟不釋出官方版本，但Sara Golemon提到，官方不做不代表社群不會撿起來自己做，最後可能會由原本維護官方版本的人，使用微軟提供的雲端運算資源，以自動化建置程序建置。他提到，現在仍然在計畫初期，但微軟這項決定可能對Windows用戶影響不大。</p> <p>部分PHP開發者將這個動作解釋為，微軟暗示開發者應將開發工作移往WSL 2（Windows Subsystem for Linux 2）上，在<a href="https://news.ycombinator.com/item?id=23788602">網路論壇Hacker New</a>有開發者提到，微軟在用來建置和部署網頁應用程式的服務Azure App Service，原本僅能在Windows上提供PHP託管，但是現在Azure App Service用戶也能在Linux建置PHP應用程式，因此微軟提供Windows的PHP組建版本需求減少。</p> <p>PHP目前仍然是熱門的程式語言，在GitHub的Octoverse大調查中，PHP從2015年表現輸給Python後，就一直維持在第四名，排名在JavaScript、Python和Java之後，而從Tiobe程式語言熱門排名來看，PHP在2010年達到高峰後，近十年受歡迎的程度正緩緩下降，從2010年的第三名，到2015年的第六名，目前2020年的排名則暫居第七。</p> </div></div></div>
2020/7/15 10:10作者李建興https://www.ithome.com.tw/news/138826
AI趨勢周報第136期：PSGNet問世，打破CNN無法預測實體世界的瓶頸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0703～0709 )</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">卷積神經網路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛聯手MIT發表PSGNet，打破CNN無法預測實體世界的瓶頸</strong></span></p> <p>卷積神經網路（CNN）是電腦視覺中常用的模型架構，擅長辨識物件，但它卻有個問題，也就是無法理解真實世界的物理原則，比如無法預測物體的動力學，因此限制了CNN在其他電腦視覺的應用。</p> <p>為解決問題，史丹佛大學聯手MIT，設計一套自監督類神經網路架構PSGNet，可從輸入圖像來學習估計物理場景圖。進一步來說，只要輸入任意長度RGB影片，PSGNet就會重建出相同長度的RGB資訊，包括每幀的深度和法線圖預測，還有每幀的物體影像分割，以及對下一幀的空間點預測。這個方法，可以顯示PSGNet對場景結構的理解，團隊也表示，PSGNet在影像分割任務的測試中，表現優於其他非監督方法。未來，團隊打算將PSGNet擴展到CNN難以應用的電腦視覺任務中。<a href="https://arxiv.org/pdf/2006.12373v2.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202020-07-12%2013_37_40.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A100 GPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google雲端開始提供Nvidia最新A100 GPU</strong></span></p> <p>Nvidia最新一代A100 Tensor Core GPU五月中才亮相，近日Google雲端就開始支援了。不過，目前只開放給特殊用戶從Google Compute Engine的A2虛擬機器來使用，今年稍晚才會正式開放所有用戶。</p> <p>進一步來說，A100 GPU在AI模型訓練和推論上，效能比上一代GPU還要高20倍，這次一臺A2虛擬機器，最多還可使用16個A100 GPU，總共640GB的GPU記憶體和1.3TB的系統記憶體，來解決作業負載高的運算任務需求。而對於作業負載較小的用戶，Google Compute Engine也會提供較輕量的A2虛擬機器，來滿足特定應用程式的需求。Google指出，未來還會擴大 A100 GPU對自家Kubernetes Engine、Cloud AI Platform 和其他 Google Cloud服務的支援。<a href="https://cloud.google.com/blog/products/compute/announcing-google-cloud-a2-vm-family-based-on-nvidia-a100-gpu">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/GCP_A2.max-1600x1600.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mozilla </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Common Voice </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mozilla發布最新版開源語音資料集，還要打造網頁版喚醒功能</strong></span></p> <p>Mozilla近日釋出最新的開源語音資料集Common Voice，與上一版相比，新增了36種語言，目前共有54種，總時數更高達7,226小時。不只包含語音，Common Voice還涵蓋了可用來訓練語音引擎的元資料（Metadata），比如說話者的年齡、性別和口音等，而這些資料，還會整合至Mozilla的開源語音辨識引擎DeepSpeech，以及Mozilla機器學習小組的模型中，要來推動文字轉語音（TTS）和語音轉文字（STT）研究進展。</p> <p>不只如此，Mozilla同時也鎖定更細緻的分類和應用需求，發布了個別的資料集分類。這個分類包含了1萬多人共18種語言的語音片段，比如從數字0到9、「是」和「不是」、嘿、Firefox等。Mozilla表示，這個分類可用做基準測試，來評估以Common Voice資料打造的模型表現。此外，他們也會用來測試自家網頁喚醒詞的功能。<a href="https://discourse.mozilla.org/t/common-voice-dataset-release-mid-year-2020/62938">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 差分隱私 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漏洞評分 </span></strong></span></p> <p><span style="font-size:22px;"><strong>TensorFlow新隱私測試模組能幫你評分模型安全性 </strong></span></p> <p>Google釋出了新的實驗性TensorFlow隱私測試模組，讓開發者可評估模型的隱私屬性。該模組會產生一個漏洞評分，來顯示模型是否會因訓練資料集而洩漏資訊。</p> <p>去年，TensorFlow推出差分隱私（Differential Privacy）方法，透過在資料集中加入雜訊，來隱藏個資，但當時TensorFlow所使用的雜訊，可能嚴重影響模型的準確性。因此，Google決定以不同角度來處理隱私問題，打造了一個模組，以成員推理攻擊方法為衡量標準，來評估模型是否洩露資訊，並將模組開源出來。<a href="https://blog.tensorflow.org/2020/06/introducing-new-privacy-testing-library.html">（詳全文）</a></p> <p><img alt="" src="https://3.bp.blogspot.com/-30nZWOIIHqA/XvJS3jGJe5I/AAAAAAAADO4/weFpA_klKv4WUYr_WWslsnbOzPyVayc_gCLcBGAsYHQ/s1600/membership.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 動物辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Context R-CNN </span></strong></span></p> <p><span style="font-size:22px;"><strong>新添時序因素！Google新演算法改善攝影機辨識能力 </strong></span></p> <p>Google開發一套新的物體偵測演算法Context R-CNN，能將時間因素納入考量，利用攝影機一個月拍攝到的影像，來提升電腦視覺模型效能，特別適合用來監控山路或生態的靜態攝影機。</p> <p>進一步來說，Google改良兩階段物體偵測基礎架構Faster R-CNN，打造出Context R-CNN，利用同一臺攝影機中長達一個月的影像作為上下文（Context），來提高物體分類的正確性。這種方法能改進對新攝影機部署的通用性，不需要額外的人工資料標記。經測試，與Faster R-CNN baseline相比，Context R-CNN能從相同的圖像中，辨識出更多動物。<a href="https://ai.googleblog.com/2020/06/leveraging-temporal-context-for-object.html">（詳全文）</a></p> <p><img alt="" src="https://1.bp.blogspot.com/-PJxZGdDg2CQ/XvTcfv7MO9I/AAAAAAAAGKo/7zEBw-Qp4XA2Q-vffmYyNoXs2v1tyYoWwCLcBGAsYHQ/s640/image2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Cloud 臉書 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TaBERT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size:22px;"><strong>同時兼顧自然語言和資料庫查詢，臉書新模型TaBERT未來還可協助事實查核</strong></span></p> <p>臉書開發一套自然語言預訓練模型TaBERT，能從表格查詢結果中，以自然語言來回答如「哪個國家的GDP最高」等問題。研究人員提到，TaBERT是第一個跨結構化與非結構化資料的預訓練方法，克服了查詢對應到資料庫表格結構的挑戰。</p> <p>有別於先前預訓練語言模型，都只使用自由格式的自然語言文字訓練模型，臉書這次使用了2,600萬張表格和關聯的英文句子，來訓練TaBERT，讓模型學習句子和資料庫的上下文示例，可同時進行對自然語言和資料庫的推理。臉書指出，未來，TaBERT還可用於事實查核和驗證應用程式中，因為第三方事實查核單位，通常也是仰賴靜態知識庫資料，而TaBERT能夠比對相關資料庫，並給出參考資料。<a href="https://ai.facebook.com/blog/tabert-a-new-model-for-understanding-queries-over-tabular-data/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202020-07-12%2014_02_35.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">可信任AI</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LFAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM貢獻可信任AI工具給Linux旗下AI基金會</strong></span></p> <p>Amazon在電腦視覺和圖形辨識重要年度會議CVPR中，發表了一篇能合成服裝到模特兒身上的AI論文。這套系統名為Outfit-VITON，相當於虛擬試穿系統，可將參考照片中人物的穿著，合成到另一張照片的模特兒身上，研究人員指出，Outfit-VITON採對抗網路，由生成網路和判別網路的競爭產生最佳結果。</p> <p>Outfit-VITON由三部分組成，形狀生成模型、外觀生成模型以及外觀修正模型，形狀生成模型會圈出要試穿的衣服形狀，並計算試穿模特兒的身材和動作。接著再輸出至外觀生成模型，來結合這個輸出的結果，成為模特兒穿著指定服飾的照片；再來才由第三個模型微調，保留商標和特殊圖案。團隊表示，這個系統比以前的系統產生更自然的結果。<a href="https://developer.ibm.com/blogs/ibm-and-lfai-move-forward-on-trustworthy-and-responsible-ai/">（詳全文）</a></p> <p><img alt="" src="https://developer.ibm.com/developer/blogs/ibm-and-lfai-move-forward-on-trustworthy-and-responsible-ai/images/box-image.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AI研究雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 運算資源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料集 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美科技巨頭聯合頂尖大學，要推動國家級AI研究雲的建置</strong></span></p> <p>在AI領域著墨甚深的22家美國頂尖大學，近日加入科技巨頭如Google、AWS、微軟、IBM和Nvidia等行列，來替建置國家級AI研究雲的法案背書，也就是《美國國家AI研究資源工作小組法案》。這個國家級AI研究雲的概念，最早由史丹佛大學人本AI中心的主任李飛飛在去年提出，她表示，國家級AI雲能提供研究員可負擔的運算成本，也能提供研究所需的大量資料集。為此，美國在6月也陸續啟動了討論會議，來探討如何建立、部署和治理這個國家AI研究雲。<a href="https://eshoo.house.gov/media/press-releases/preeminent-universities-and-leading-tech-companies-announce-support-bipartisan">（詳全文）</a></p> <p>圖片來源／Google、史丹佛大學、臉書、LFAI、TensorFlow</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 臉書AI研究院聯手英美頂尖大學打造NetHack，專門來測試RL代理的穩健性</strong></p> <p><strong>2. Google更新行動機器學習開發套件ML Kit，不再依賴Firebase雲端開發平臺 </strong></p> <p><strong>3. Honeywell最強量子電腦正式上線，將開放客戶使用</strong></p> <p>資料來源：iThome整理，2020年7月</p> </div></div></div>
2020/7/12 14:25作者王若樸https://www.ithome.com.tw/news/138778
一周大事：工研院發表國產AI無人商店解決方案，找超商業者年底試營運。臉書又誤將用戶資料分享給第三方App開發商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>工研院發表國產「拿了就走」智慧商店技術，全家將率先於年底前展開實驗</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-%E6%8F%9B%E5%9C%96_%E5%9C%969_%E8%B3%BC%E7%89%A9%E8%BB%8A_%E6%94%9D%E5%BD%B1_%E7%BF%81%E8%8A%8A%E5%84%92%20(2).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影_翁芊儒</span></p> <p>四年前亞馬遜發表了首個無人商店Amazon Go的概念，成為零售業的創新指標，促使各地零售業者紛紛加入此股風潮。而在臺灣，除陸續有零售業者展開小規模的無人商店測試計畫，工研院也從2017年開始，著手研發全國產的AI無人商店技術，且決心要落地產業現場，所以其技術方案整合了整間商店所需的硬體、軟體和營運管理服務。為了早日讓技術在產業落地，工研院打造了約20坪的模擬超商店鋪，作為技術驗證的實驗場域。<a href="https://www.ithome.com.tw/news/138555" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>臉書又誤將用戶資料分享給5千家第三方App開發商</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711_API%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Tony%20Webster%20CC%20BY%2020.jpg" style="width: 500px;" /></p> <p><a href="https://commons.wikimedia.org/wiki/File:Facebook_App_on_Mobile_Phone_(46848249812).jpg" target="_blank"><span style="color: rgb(105, 105, 105);">圖片來源_ Tony Webster CC BY 2.0</span></a></p> <p>繼2018年劍橋分析（Cambridge Analytica）醜聞，讓外部App開發商取得8千萬名用戶個資後，臉書再度坦承有為數不詳的用戶個資，被透過API不當分享給外部App開發商，牽涉的廠商高達5千多家。</p> <p>為了補救最新一次的資訊外洩，臉書發表新的平臺條款和開發商政策，要求第三方App開發商清楚了解確保用戶資料及隱私的責任。新政策也限制開發商，除非取得用戶明顯同意，否則不得將用戶個資再分享給其他單位。<a href="https://www.ithome.com.tw/news/138573" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>被印度視為中國廠商，臺灣玩美移動App遭禁用</strong></span></p> <p>訊連科技子公司玩美移動（Perfect Mobile Corp.）推出的兩款行動App，遭印度政府列為59款危害印度國土安全App之一，並同步封鎖玩美移動在印度的官網及伺服器。對此玩美移動總經理張華禎召開記者會表示，該公司推出的App全數都由臺灣工程師負責開發，相關資料則儲存在亞馬遜AWS位於東京的機房，並不會任意收集或上傳使用者資料。<a href="https://www.ithome.com.tw/news/138617" target="_blank">更多內容</a></p> <p> </p> <p><strong><span style="font-size: 28px;">軍事研發重鎮中科院誤將百度雲納入採購規格</span></strong></p> <p>我國軍事武器研發機構國家中山科學研究院（中科院），明文規定禁止使用中國產品，近期卻傳出他們採購的網路儲存伺服器，具備將資料備份至中國百度雲（Baidu Cloud）的規格。中科院證實確有此事，表示已對相關人員進行檢討，也強調這些設備並未連接到外部網路。<a href="https://www.ithome.com.tw/news/138608" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>F5 BIG-IP重大RCE漏洞已出現攻擊程式</strong></span></p> <p>F5 BIG-IP ADC產品在7月3日被揭露存在重大漏洞， 7月6日隨即出現針對性攻擊，意圖竊取受害裝置的管理員密碼。Positive Technologies發現，今年6月份全球有8千多臺有漏洞的BIG-IP產品，其中40%位於美國，中國占16%，臺灣曝險機器也占了3%（約250臺）。受影響產品包括 BIG-IP 11.6.x、12.1.x、13.1.x、14.1.x、15.0.x、15.1.x，F5已釋出修補漏洞的版本，企業應儘快修補。<a href="http://www.ithome.com.tw/news/138629" target="_blank">更多內容</a></p> <p> </p> <p><strong style="font-size: 28px;">Redis之父宣布退出專案維護者行列</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Redis%E4%B9%8B%E7%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_dot%20conferences.jpg" style="width: 500px;" /></p> <p><a href="https://www.dotconferences.com/2015/06/salvatore-sanfilippo-introducing-disque" target="_blank"><span style="color:#696969;">圖片來源_dot conferences</span></a></p> <p>Redis之父Salvatore Sanfilippo發文表示，過去十多年來，他的工作從創造Redis，轉變成為維護Redis，但這不是他想要的工作，因此他決定退出Redis維護人員的行列，交棒給他的同事Yossi Gottlieb和Oran Agra，但會繼續在Redis Labs擔任顧問。<a href="https://www.ithome.com.tw/news/138535" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Angular 10正式版釋出，不再預設支援ES5</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Angular%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Angular%E5%AE%98%E6%96%B9(1).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Angular官方</span></p> <p>前端網頁程式開發框架Angular釋出最新第10主要發布版本。針對使用CommonJS打包相依項目可能使應用程式變慢，從Angular 10開始，當開發者在建置時加入這些打包的套件，系統會發出警告，官方提到，當開發者使用的相依項目開始出現警示，建議可以選用ECMAScript模組（ESM）的軟體包。<a href="https://www.ithome.com.tw/news/138508" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟新工具可救回已刪除或毀損的檔案</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Windows%20File%20Recovery_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>你是否偶爾因為發現一個重要檔案被自己刪除，而急著尋找第三方檔案回復工具？現在微軟決定自己來，釋出名為Windows File Recovery的工具，可以救回被刪除或毀損的檔案。這項工具近期已經在Windows Store上架，標榜無論是不小心刪除，清空硬碟、或是不明原因的檔案毀損，都可以救回，支援MP3聲音檔、MP4影片檔、PDF檔、JPEG/PNG圖片，以及常見的Word、Excel及 PowerPoint 文件，ZIP檔等類型。<a href="https://www.ithome.com.tw/news/138511" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>種族正義延燒黑帽大會，Google高層要取消演說</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%BB%91%E5%B8%BD%E5%A4%A7%E6%9C%83.png" style="width: 500px;" /></p> <p>在全球各地蔓延的種族正義行動，也殃及黑帽（Black Hat）安全會議，Google副總裁Dave Kleidermacher宣布退出今年美國黑帽駭客會議的演說，並表示為了支持種族正義與平等，人們應該要改變說話及行動的方式，黑帽及白帽是必須改變的詞彙，這與它們原本的意思無關，也不只是為了種族，人們在性別的中立上也需要改變，像是把中間人攻擊（Man-in-the-Middle）改成Person-in-the-Middle。<a href="https://www.ithome.com.tw/news/138613" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>澳洲政府將斥資近10億美元強化網路安全</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%BE%B3%E6%B4%B2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%BE%B3%E6%B4%B2%E5%9C%8B%E9%98%B2%E9%83%A8.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／澳洲國防部</span></p> <p>基於當地公私組織相繼遭國家級駭客發動大量攻擊，澳洲政府宣布將在未來10年投入13.5億元澳幣（約9.28億美元）以強化該國的網路安全能力，並透過澳洲情報機構ASD與網路安全中心，來協助當地組織對抗網路威脅。<a href="https://www.ithome.com.tw/news/138604" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google為Chrome 86打造延長筆電續航力的新功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Chrome_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>瀏覽器Chrome是公認的吃電怪獸，不過Google正在測試的一項功能，也許能延長筆電續航力。媒體發現Google的技術文件顯示，這家大廠計畫調整Chrome的JavaScript計時器設定，使網頁在背景運作時，最長可以減少JavaScript喚醒次數達到每分鐘1次，以藉此延長電池使用時間。<a href="https://www.ithome.com.tw/news/138612" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>AMD、臉書和Nvidia都加入機密運算聯盟</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20CCC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A9%9F%E5%AF%86%E9%81%8B%E7%AE%97%E8%81%AF%E7%9B%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_機密運算聯盟</span></p> <p>去年由多家科技廠商聯手組成的機密運算聯盟（Confidential Computing Consortium，CCC），是Linux基金會旗下專案，目的在於發展用於資料中心、雲端和邊緣運算等環境的受信任執行環境工具（TEE）以及相關標準。除了谷歌、微軟和英特爾，CCC創立成員還包括IBM、紅帽、ARM、百度、阿里巴巴、騰訊及瑞士電信，現在新加入AMD、臉書和Nvidia等10個成員，要共同來制定安全平臺標準。<a href="https://www.ithome.com.tw/news/138513" target="_blank">更多內容</a></p> </div></div></div>
2020/7/12 07:00未署名https://www.ithome.com.tw/news/138648
Linux Mint決定不支援Ubuntu Snap
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>名列最佳Linux版本的Linux Mint發行版，官方在本月的更新訊息中提到，從<a href="https://blog.linuxmint.com/?p=3906">Linux Mint 20開始</a>，在預設情況下，APT將會禁止安裝snapd工具，APT不會允許儲存庫套件代表使用者安裝Snap套件，此舉是為了避免系統在未經用戶授權就安裝Snap套件管理系統。</p> <p>官方提到，Linux Mint 20的Chromium套件將會是一個空套件，當用戶試圖安裝Chromium時，系統會跳出說明，告訴用戶該套件為空的原因，並且指引用戶取得Chromium的方法。Linux Mint發行版是以Debian和Ubuntu為基礎，繼承了大量來自兩個版本的套件，這些套件是以APT（Advanced Package Tool）打包，而Ubuntu在2014年的時候，開始並用Snap技術與APT發布軟體。</p> <p>Snap是由Canonical開發的自包含的套件部署系統，由於系統映像檔snapd能夠綑綁軟體執行所需要的所有相依項目，因此讓管理應用程式相依項目變得簡單，軟體開發商能以簡單的方法發布軟體，讓軟體可以於存在不相容函式庫的系統上執行，甚至一個系統可以同時存在，多個使用不同相依項目的同一軟體。Snap解決跨Ubuntu版本的軟體支援問題，而且還能讓Canonical所發布的套件，在其他Linux發行版上執行。</p> <p>Linux Mint官方提到，當Fedora用戶想要安裝Spotify，則系統會提示用戶並且跳轉到<a href="https://snapcraft.io/spotify">https://snapcraft.io/spotify</a>，要求用戶從Canonical的Snap商店中安裝，Spotify不再釋出RPM套件、Appimage、Flatpak或其他套件格式，當用戶沒有其他選擇，就只能被迫使用Snap。</p> <p>雖然Snap角色如同Appimage和Flatpak，可以簡單地向不同的發行版發布軟體，但是比起Snap，Linux Mint官方表示，Flatpak自由的多，而且更具開放多元精神，Flatpak允許任何人創建商店，而且Flatpak客戶端也能夠與多個商店溝通，軟體廠商可以選擇在Flathub發布軟體，在理念不合的時候，廠商能創建自己的Flatpak商店發布軟體。</p> <p>不過，Snap推出的時候就僅有一個客戶端，無法與其他伺服器溝通，Linux Mint在當時就對此感到擔憂，但是他們認為，只要Snap沒有成為主流，且軟體廠商繼續發布其他格式的套件，那Linux Mint支援Snap也沒有關係。</p> <p>Canonical在去年改變套件發布的方式，此作法將會影響套件生態的多元性，而讓Linux Mint跳腳的<a href="https://blog.linuxmint.com/?p=3766">事件</a>是，Ubuntu所發布的Chromium瀏覽器套件，使Linux Mint感受到了危機，Ubuntu置換掉原本的Chromium儲存庫套件，以Snap的形式安裝Chromium，也就是當使用者安裝APT（Advanced Package Tool）更新的時候，系統會先安裝Snap套件管理工具，接著才安裝Snap上的Chromium的套件，這使得Snap成為安裝Chromium的必要工具，而且這個安裝過程是以Root身份執行，不需要用戶參與或是授權。</p> <p>這種情況不只發生在Chromium，Canonical也在gnome-software套件採取相同的方法，而Linux Mint在意的點是，用戶使用APT安裝軟體，卻必須要先安裝一個由受商業控制的套件管理系統，Linux Mint官方提到，這件事印證了當初Snap宣布時開發人員的擔心，也破壞了Canonical保證不會取代APT的承諾。經過一年協調未果，官方決定不在Linux Mint上支援Snap。</p> </div></div></div>
2020/7/11 21:05作者李建興https://www.ithome.com.tw/news/138756
Canonical與Google合作，讓Linux發行版開始支援Flutter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical與Google合作釋出<a href="https://snapcraft.io/blog/canonical-enables-linux-desktop-app-support-with-flutter">Linux版本Flutter</a>，開發人員可以利用Snap安裝Flutter SDK，使用Visual Studio Code或Android Studio在Linux上，以Flutter開發介面漂亮的原生Linux應用程式，還能將Flutter應用程式部署到Snap商店中。</p> <p>Flutter是由Google開發的UI工具，可快速建立漂亮且經原生編譯的應用程式介面，起初僅支援iOS與Android行動裝置，但是由於Google內部越來越仰賴Flutter框架，再加上程式語言Dart提供網頁可移植性，Google在2019年宣布，擴大Flutter支援的平臺，不只是行動裝置，現在還擴及到了網頁、桌面以及嵌入式裝置平臺。</p> <p>新版Flutter已經能良好地支援桌面操作體驗，包括桌面滑鼠操作以及鍵盤輸入，還有可調整大小的視窗，而且Flutter也加入了許多適用於桌面的UI新功能，包括Material Density、NavigationRail，並且與桌面作業系統底層深度整合，以Dart的FFI（Foreign Function Interface）功能，提供與C語言的互通性。</p> <p>由於Flutter的積極發展，Canonical認為Linux發行版可以成為對Flutter應用程式開發人員有吸引力的平臺，Canonical提到，驅使他們全力支援Flutter的原因還有，Flutter為一個現代化的UI框架，支援宣告式、回應式與可組合的小工具，而且Visual Studio Code、Android Studio和IntelliJ等開發平臺都有支援。</p> <p>雖然Google一開始公告，Flutter在桌面作業系統將先從macOS開始支援，其後才是Linux和Windows，但是Canonical建立了一個團隊，主動與Google合作，積極地要將Flutter開發體驗帶到Linux發行版上，Canonical提到，他們之後還會持續與Google合作，使Flutter在Linux上的發展，能與其他平臺相同。</p> <p>Canonical盡可能簡化在Linux上開發Flutter應用程式的程序，開發人員可以直接在Snap商店下載Linux版Flutter SDK，這個SDK包含了在Linux發行版上，開發Flutter應用程式需要的元件，開發人員不需要自行安裝大量的相依項目，只要安裝Flutter SDK以及愛用的IDE，就能開始創建並且發布Linux應用程式。</p> <p>Canonical準備了多個範例供開發人員參考，包括與聯絡人工具Flokk合作，Flokk開發人員以Flutter重新開發了應用程式，完整程式碼已經在GitHub上開源，另外，官方也提供了幾個像是照片搜尋等這類較簡單的應用程式，供開發人員參考。</p> </div></div></div>
2020/7/9 22:35作者李建興https://www.ithome.com.tw/news/138690
Visual Studio對基於MSBuild的Linux專案支援Ninja增量建置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/cppblog/c-linux-development-with-visual-studio-incremental-build-improvements-and-expanded-shell-support/">最新的Visual Studio 2019版本</a>，加入了兩個強化Linux開發的改進，第一個是能提升MSBuild專案建置速度的漸增建置功能，另外則是Visual Studio現可支援更多種的Linux發行版以及殼層。</p> <p>微軟讓開發人員可以只利用Visual Studio 2019，以C++開發Windows和Linux的應用程式，而微軟提到，他們提供了兩個方法，讓C++開發人員可以從Visual Studio建置Linux應用程式，第一個是微軟推薦的方法，開發者可以使用Visual Studio原生支援的CMake進行建置，這個方法可以讓開發者對多個平臺，使用相同的原始碼以及建置腳本，第二個則是開發者使用自己熟悉的方法，創建基於MSBuild的Linux專案。</p> <p>而微軟在最新的Visual Studio 2019版本，改進了基於MSBuild的Linux專案建置功能，開發者現在可以利用高效能建置系統Ninja，在基於MSBuild的Linux專案，進行更快速地增量建置，要使用這項功能，使用者需要在屬性頁面手動啟用增量建置以及Ninja選項。</p> <p>微軟以基於MSBuild的Linux專案來測試Ninja的建置效能，測試專案包含了1000個.h檔案和1000個.cpp檔案，使用Ninja的漸增建置，完全重建的時間只要約８分鐘，未使用增量建置則要13分鐘，而檔案僅有一處更改的建置時間，應用漸增建置只要32秒，沒有漸增建置需耗時5分26秒。實驗證明，無論是整個專案重新建置，或是部分更改，使用Ninja漸增建置都能大幅減少建置時間。</p> <p>微軟擴展Visual Studio 2019對各種Linux發行版和Shell的支援，這更新適用針對遠端Linux系統或是WSL的CMake專案，以及基於MSBuild的Linux專案。另外，現在Visual Studio第一次發出命令查詢殼層，當重新導向stderr（Standard Error）時，便會決定格式化命令列的方式，Visual Studio現在支援sh、csh、bash、tcsh、ksh、 zsh和dash殼層，當Linux系統不支援特定殼層，Visual Studio會自動回退使用sh。</p> <p>微軟驗證了Visual Studio在各種Linux發行版支援的殼層，對CMake和基於MSBuild的Linux專案，測試專案創建、遠端標頭同步、建置與除錯等功能，通過驗證的Linux版本和殼層組合，包括FreeBSD支援csh、fish、zsh和bash，Ubuntu 18.04則支援fish、bash、csh和zsh，但WSL的Ubuntu只有bash，而Debian（WSL）僅有dash。</p> </div></div></div>
2020/7/9 23:00作者李建興https://www.ithome.com.tw/news/138699
SUSE併購K8s平臺廠商Rancher Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>容器廠商Rancher Labs在自家部落格<a href="https://rancher.com/blog/2020/suse-to-acquire-rancher/">宣布</a>，已經被開源軟體公司SUSE併購，兩家在各自領域皆占有一席之地的開源企業結合，目標是要創建全球最大的獨立組織，發展Linux、Kubernetes、邊緣運算和人工智慧等領域的開源和雲端原生解決方案，提供企業數位化轉型的開源選擇。</p> <p>Rancher Labs於2014年成立，其主要的產品為Rancher，可讓使用者管理和大規模部署Kubernetes到資料中心、雲端和邊緣等各種基礎設施上，Rancher目前擁有37,000個活躍用戶，下載量超過1億。另外，Rancher Labs還開發了為Kubernetes叢集設計的Linux發行版K3OS，以及邊緣專用的Kubernetes輕量級版本K3s。</p> <p>SUSE則是知名的企業級Linux，近期致力發展邊緣運算以及人工智慧相關產品，搭配上Rancher的容器管理功能，要將人工智慧利用容器化技術，從雲端擴及到邊緣。Rancher執行長梁勝提到，Rancher的Kubernetes平臺結合SUSE開源軟體解決方案，能夠滿足企業無論從資料中心、雲端還是邊緣各種程度數位化轉型的需求。</p> <p>Rancher Labs在併入SUSE之後，將繼續維持開放的策略，同時支援多個Kubernetes發行版和作業系統版本。Rancher採用無關基礎設施的架構，支援所有經過雲端原生運算基金會（CNCF）認證的Kubernetes發行版，包括Google GKE、Amazon EKS和微軟AKS等。</p> <p>梁勝表示，併購程序將在幾年稍晚時結束，他會進入SUSE領導合併的工程和創新部門，而他也提到，SUSE的全球影響力以及企業應用，能夠強化Rancher的發展，改變企業採用雲端原生技術的方式。</p> </div></div></div>
2020/7/9 15:00作者李建興https://www.ithome.com.tw/news/138686
微軟開發分析引擎Freta，掃描記憶體快照揪出VM惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院開發了一個雲端安全分析引擎<a href="https://www.microsoft.com/en-us/research/blog/toward-trusted-sensing-for-the-cloud-introducing-project-freta/">Freta</a>，可掃描Linux系統的記憶體快照，找出感測器和作業系統遭破壞的證據，自動對雲端Linux虛擬機器進行指紋辨識並稽核記憶體快照，以發現新型態的Rootkit和進階的惡意程式。現在Freta分析引擎以入口網站的形式，公開雛形給大眾使用。</p> <p>Freta具備處理大規模虛擬機器的能力，能以低成本的方式，同時對超過1萬臺Azure虛擬機器，進行自動記憶體鑑識稽核，微軟提到，Freta使數位鑑識從原屬高價的顧問諮詢服務，轉變為內建在雲端平臺的自動化服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/montage.jpg" style="width: 580px;" /></p> <p>以快照為基礎的記憶體鑑識領域已經發展超過十年，但微軟提到，目前尚無可用於商業雲端，在無侵入式捕捉機制以及事先鑑識準備的情況下，對數千臺虛擬機器進行全記憶體稽核的功能，而Freta專案的目標則是要讓虛擬機器鑑識自動化與普及化。</p> <p>虛擬機器鑑識普及化可以將雲端惡意軟體的開發成本，提高至理論的最高值，微軟表示，由於在資訊安全的領域，是以證據來驅動防禦方法，但這造成了倖存者偏誤現象，當攻擊者摸透安全偵測器模型，並且設計出避開觸發偵測器的方法時，系統便不會發出攻擊警報，而人們也會因為沒有攻擊報告，誤以為系統是安全的。另外，當攻擊者直接針對安全偵測器、安全代理和特權作業系統元件發動攻擊，就可能關閉攻擊警報系統，因此也不會留下任何攻擊的痕跡。</p> <p>Freta專案設計的概念是以倖存者偏誤為核心，極大程度提高攻擊者逃避偵測器的成本，並且在技術上，盡可能讓攻擊者無法逃避偵測。微軟提到，事實上的確有辦法讓攻擊者無法觸碰安全偵測器，就像是零售商店將監視錄影機設置在搶匪觸碰不到的地方一樣，但是之所以沒有在雲端中應用，為的是要能夠向後相容，無法像是行動裝置經過重新設計，分離計算平面和安全平面。</p> <p>在雲端，計算平面和安全平面分離的情況，主要出現在虛擬機器管理程式上，租戶工作負載能以虛擬機器管理程序屏障，和供應者工作負載分離，但微軟提到，現有研究證明，系統管理程式屏障可能不夠強健，攻擊者仍可穿透屏障並且規避安全偵測器，他們認為，要結束與惡意程式的軍備競賽，以漸進式的方法改變端點技術是不夠的，因為只要攻擊者和防禦者共用一個微基礎架構，無論防禦者以什麼方式防禦，攻擊者總是可以破解。</p> <p>微軟提到，要對所有用戶提供即時鑑識服務是一件困難的事，挑戰包括生成攻擊者無法取用的鑑識成像（Forensic Imaging），由於不少現存的鑑識方法都需要執行像是複製KASLR金鑰等明確的指令，而這就足以讓惡意軟體捕捉到相關的事件，使惡意程式能抹除自己的足跡。</p> <p>而Freta支援4,000多種Linux核心版本，可在沒有金鑰或是上下文的情況，對經安全機制擾亂的記憶體進行解碼。由於支援Linux核心較為困難，因此微軟先實作了Linux版本，Windows將會在後續更新支援。</p> <p>Freta還必須要能以雲端規模執行，微軟設定分析引擎的能力，要能在短時間且低成本的情況下，最少可對10萬臺機器進行程式化稽核，也就是說，Freta的基礎架構設計採用批次處理的概念，而且Freta還需要能支援具有100 GB以上記憶體的高效能虛擬機器。</p> <p>而考量到Freta可能本身成為攻擊目標，為了避免攻擊者利用記憶體漏洞來攻擊Freta，微軟以記憶體安全程式語言Rust，在不使用任何現有軟體的情況下，從頭打造整個專案，微軟提到，Freta是一個高效能的分析引擎，可以儲存任何大小的記憶體成像，並且內建記憶體安全性。</p> <p>目前這個版本的Freta分析引擎，以整個Linux系統的揮發性記憶體快照作為輸入，並且能夠擷取系統物件列舉，Freta能夠自動辨識部分核心掛鈎（Kernel Hooking），可檢測新型態的Rootkit，而且Freta支援各類型的快照，包括使用Hyper-V檢查點生成的VMRS檔案，或是轉換VMWare快照產生CORE檔案等。當快照經過Freta分析之後，用戶可以使用REST和Python API取用報告資料。</p> <p>Freta的第二個重要元件是Azure偵測器，可讓用戶在不中斷執行的同時，即時搬遷揮發性記憶體資料到離線分析環境，微軟提到，這個感測器與Freta分析引擎結合，可以對上萬虛擬機器進行低成本的記憶體鑑識稽核。</p> </div></div></div>
2020/7/7 16:05作者李建興https://www.ithome.com.tw/news/138635
多款知名家用路由器使用老舊Linux核心，連帶藏匿大量安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國知名的弗勞恩霍夫通訊協會（Fraunhofer Institute for Communication，FKIE）最新<a href="https://www.fkie.fraunhofer.de/content/dam/fkie/de/documents/HomeRouter/HomeRouterSecurity_2020_Bericht.pdf" target="_blank">研究顯示</a>，許多知名品牌的家用路由器使用古早而久未更新的Linux作業系統，包含已經公諸於世的漏洞、還把登入密碼存在韌體中，突顯家庭網路安全堪憂。</p> <p>這家研究機構分析了全球7個知名廠商，包括華碩、合勤、友訊（D-Link）、Linksys、TP-Link、AVM及Netgear出品的127款家用路由器產品，並以他們自行研發的韌體分析工具來分析這些裝置韌體何時更新、用什麼作業系統、有多少已知重大漏洞、廠商用什麼方法緩解攻擊及多久啟用一次、韌體映像檔是否包含加密金鑰資訊，以及是否有什麼寫死（hard-coded）的登入帳密等等。而研究結果顯示，沒有一臺路由器是沒有漏洞的。</p> <p>FKIE發現，在127臺受測產品中，有46臺過去一年都沒有發布安全更新。</p> <p>90%以上的產品使用Linux，但是超過1/3使用的是2.6.36以前的版本，那至少是2011年2月以前的版本。AVM是唯一一家未曾使用Linux 2.6版以前的廠商，半數使用4.4版Linux Kernel。而Netgear、TP-Link有半數使用2.6.36版核心，合勤甚至有25%使用2.6.35版本核心。</p> <p>老舊作業系統可能帶有許多安全漏洞，促使研究人員計算這些路由器韌體映像檔中的已知Linux重大安全漏洞。這127臺裝置平均有53個重大風險漏洞，即使表現最好的產品，也有至少21個重大風險或348個高度風險漏洞。高度風險最多的是Linksys WRT54GL，有579個，它使用的Linux核心是所有受測產品中最舊。而合勤的Zyxel NBG6816及Zyxel NBG6815，則並列最多重大風險漏洞的產品，漏洞數各有68個。</p> <p>研究人員也檢視家用路由器產品的韌體，是否包含私有金鑰可能被駭客存取。結果顯示，127臺裝置中平均洩露的私鑰資訊為5種，其中Netgear R6800總共公開了13種資訊，為所有產品之冠。只有AVM的韌體映像檔不會公開任何金鑰資訊。</p> <p>物聯網殭屍病毒Mirai利用寫死（hard-coded）的登入憑證或密碼來入侵許多連網裝置，因而成為本研究的另一檢視標的。華碩、合勤及友訊在內的6成產品韌體映像檔中，都不包含寫死的登入憑證和密碼，但仍有50臺包含寫死的憑證，其中16臺還使用廣為人知或極易破解的憑證。最不安全的是Netgear RAX40，使用password、amazon作為登入密碼。華碩則是唯一在韌體映像檔中，不儲存任何寫死憑證和密碼的廠商。</p> <p>至於廠商使用了多少保護嵌入式裝置的緩解技術，研究顯示AVM使用的防護最多，而友訊最少。整體而言，研究人員結論AVM最安全，華碩和Netgear在某些方面表現優於友訊、Linksys、TP-Link及合勤。</p> <p>這份報告或許也反映近日的<a href="https://www.ithome.com.tw/news/138349" target="_blank">路由器資安事件</a>。6月底資安廠商ZDI揭露79款Netgear R6700系列路由器含有允許駭客執行任意程式的安全漏洞，Netgear在1月就接獲通報，但6個月後仍未完成修補。</p> </div></div></div>
2020/7/7 14:20作者林妍溱https://www.ithome.com.tw/news/138633
Google Chrome 86新功能可能延長28%筆電續航力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome是公認的吃電怪獸，不過Google正在測試的一項功能，可能延長筆電續航力達28%，約2個小時，不過如果你是用來看Youtube，時間可能會短一些。</p> <p>The Windows Club首先<a href="https://news.thewindowsclub.com/google-chrome-ships-a-new-feature-to-increase-the-battery-life-101417/" target="_blank">發現</a>，Chrome 86測試版從網址列輸入chrome://（timer）喚醒時間減少為每分鐘1次，和Safari一樣。</p> <p>當網頁背景模式運作時，Chrome的JavaScript計時器頻繁運作其實弊大於利。例如計算滑鼠滾動位置是否改變、使用者和廣告有無互動等等，對背景運作的網頁效益並沒有太大助益，徒然只增加不必要的電池耗電量。</p> <p>媒體發現Google的技術文件顯示，這家大廠計畫調整Chrome的JavaScript計時器設定，使網頁在背景運作時，最長可以減少JavaScript喚醒次數到每分鐘1次。Google各在有設定限制喚醒，及未做任何設定的電腦上實驗，前景開啟空白（about:blank）網頁，背景則開啟運作36張隨機網頁。而實驗結果顯示，設定限制喚醒次數到每分鐘1次的情境下，最長可延伸電池續航力到2小時，約28%。</p> <p>但是正常情況下，使用者不會只開啟空白頁，因此Chrome又設計了前景網頁執行Youtube，加上36張隨機網頁背景運作的實驗。第二組實驗顯示，限定JavaScript 計時器的機制最多可延長36分鐘，即13%的使用時間。</p> <p>Google希望這項新設計可延長電池使用時間，又不影響仰賴WebSockets的網頁、app或是訊息或更新的接收。</p> <p>此外Chrome 86版還計畫搭配背景運作JavaScript計時器喚醒時間，加入為期數分鐘的設計。</p> <p>這項功能將推向Windows、Mac、Linux、Android及ChromeOS版本的Chrome。不過Google也說一旦新功能上線，也會提供讓企業IT管理員關閉Chrome這項功能的設定。</p> <p>微軟Edge團隊上周也<a href="https://www.ithome.com.tw/news/138329" target="_top">發表</a>了一項和Chrome團隊合作的相關新設計，預計可讓Windows 10 2004上的Edge、Chrome減少耗用27%的記憶體，進而減少耗電量。</p> </div></div></div>
2020/7/6 15:35作者林妍溱https://www.ithome.com.tw/news/138612
AWS釋出移植.NET Framework解決方案到.NET Core的輔助工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS釋出可方便開發者將.NET Framework專案移植到.NET Core，並可在Linux上執行的工具<a href="https://aws.amazon.com/tw/blogs/aws/announcing-the-porting-assistant-for-net/">Porting Assistant for .NET</a>，該工具會分析應用程式原始碼，評估公用API和NuGet套件的相依性，標記出與.NET Core不相容的部分，並且引導開發者採用替代的方案。</p> <p>微軟將.NET發展重心移往.NET Core，.NET Framework ４.8已經是最後一個版本，將來微軟僅會提供臭蟲、安全性與可靠性修復程式，不會再新增功能，當用戶希望繼續發展現有的.NET Framework程式，擴展到Linux和其他開源平臺，便可以考慮將.NET Framework程式移植到.NET Core，不過移植需要花費一些額外的時間資源，更新相依項目的參照。</p> <p>要移植.NET Framework應用程式到.NET Core上，需要尋找相容的NuGet套件，並在專案檔案中更新這些套件參照，而且因為.NET Core僅包含.NET Framework中可用API的一部分，因此開發者需要為部分API尋找替代。這個移植過程很繁瑣，AWS提到，開發人員必須要查看冗長的編譯錯誤和警告列表，找出最需要優先處理的項目，才能繼續後續的動作。</p> <p>為了解決這個問題，AWS推出適用.NET的移植輔助工具，來簡化這個移植過程，該工具能夠分析.NET Framework應用程式其相依項目的關係樹，並在有其他可用的替代方案存在時，提供給開發人員參考，而且這個工具的建議還會隨著時間改進，當該工具獲得更多使用模式以及遺失套件的相關訊息時，經學習後，移植工具將會給出不一樣的建議。</p> <p>AWS表示，這個移植工具跟其他類似工具的不同之處，在於能完整評估套件相依關係樹，而不是只找出不相容的API，而且該工具能處理整個解決方案，因此評估的內容可涵蓋整個解決方案下的多個專案，而不只是分析和匯總單個二進位檔案的資訊，如此能讓開發人員更快地完成移植工作。</p> <p>要使用這個移植輔助工具，使用者需要先安裝.NET Core 3.1 SDK，並且準備憑證配置檔案，這個憑證配置檔案是用來收集，應用程式所使用的公用API和套件相容性資訊。在移植輔助工具分析完應用程式後，會顯示應用程式中與.NET Core不相容的套件以及API數量，並給出一個可移植得分數，使用者可以根據這個分數評估移植成本，或在多個需要移植的程式，排出處理優先順序。</p> <p>移植輔助工具中的參照頁籤，會完整顯示解決方案的套件相依圖，AWS提到，這個圖可以協助使用者決定移植工作的起點，而NuGet套件頁籤則顯示解決方案不相容的相依項目，並且列出不受支援的API，以及API被套件參照的數量，協助工具會建議替代方案，使用者可能只要簡單地更新套件版本，或是必須要手動修改程式碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/portassistant_assessment_dependencies.png" style="width: 580px;" /></p> <p>移植輔助工具背後的建議引擎模型，來自GitHub上大量套件的分析結果，AWS提到，由於建議引擎具有學習的能力，因此當用戶在分析解決方案的同時，能夠跟AWS共享遙測資料，建議引擎的結果將會越來越好。</p> </div></div></div>
2020/7/3 16:20作者李建興https://www.ithome.com.tw/news/138582
IBM貢獻一系列可信AI工具給Linux基金會旗下的AI基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會底下的AI基金會（Linux Foundation AI Foundation，LFAI）技術諮詢委員會同意託管IBM的<a href="https://developer.ibm.com/blogs/ibm-and-lfai-move-forward-on-trustworthy-and-responsible-ai/">可信人工智慧（Trusted AI）專案</a>，因此包括用來處理機器學習偏差的AI Fairness 360工具包，以及可讓人工智慧抵禦攻擊的Adversarial Robustness 360工具包，都將從IBM移往LFAI。</p> <p>IBM在公平機器學習領域發展很早，其所發展的偏差緩解演算法被大量引用，IBM透過先進的機器學習方法，減少特定群體以及個人在機器學習中受到歧視，而這些研究被整合創建成AI Fairness 360開源工具包，可以用來檢測和減輕機器學習模型以及資料集的偏差，其提供了約70種度量標準來檢測偏差，還有11種演算法能夠減輕資料集和模型中存在的偏差。</p> <p>而Adversarial Robustness 360（ART）工具包則是用來強化機器學習安全性的Python函式庫，ART提供了一些工具，讓開發者能夠評估、防禦和驗證機器學習模型，使其能夠抵禦各類針對機器學習模型和應用程式的攻擊，ART支援TensorFlow、Keras、PyTorch、MXNet和scikit-learn等各種熱門的機器學習框架。</p> <p>另外，IBM也將AI Explainability 360（AIX360）工具包貢獻給LFAI，該工具提供機器學習模型可解釋性的各種演算法、程式碼、指南以及範例，AIX360會透過互動式體驗，介紹各種概念以及功能。</p> <p>IBM除了貢獻這些工具包，在去年的時候，也與LFAI合作，成立可信人工智慧委員會，致力於定義和實作人工智慧部署的信任原則，並且希望在Apache Nifi或Kubeflow Pipelines中整合Trust 360工具包。</p> </div></div></div>
2020/7/1 12:09作者李建興https://www.ithome.com.tw/news/138514
AWS推出可簡易容器化Java和.NET應用程式的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS釋出命令列工具<a href="https://aws.amazon.com/tw/blogs/aws/aws-app2container-a-new-containerizing-tool-for-java-and-asp-net-applications/">App2Container</a>，可以容器化Java和.NET應用程式，使其不需要更改程式碼，就能夠將應用程式程式搬上EC2或是其他雲端平臺上執行。使用者只需要選擇想要容器化的應用程式，App2Container就能夠打包所有需要的檔案和相依項目進容器映像檔，並自動完成網路配置以及產生Kubernetes pod定義等工作。</p> <p>AWS提到，現在已經有不少企業使用容器化和無伺服器技術開發應用程式，並以持續整合和交付工具，自動化軟體的交付生命周期，但同時，他們也仍在手動管理和建置既有老舊的應用程式，在現有和新的應用程式，使用同一套管理工具和CI/CD流程，將能夠簡化管理程序。</p> <p>而要實現這個目標，將既有應用程式打包成容器是第一步，不過要容器化現有應用程式並不容易，需要辨識應用程式相依項目、編寫dockerfile，並為每個應用程式設定建置和部署程序，這些工作耗時且容易出錯，因此AWS推出了App2Container來簡化和加速這個過程，能以標準化的工具監控、操作和交付軟體。</p> <p>App2Container能夠探索在伺服器上執行的應用程式，辨識其相依關係以及產生需要的檔案，使其能無縫部署到ECS或EKS，App2Container能自動產生應用程式檔案和文件夾、Dockerfiles、Amazon ECR容器映像檔、Kubernetes部署YAML，還有部署應用程式到ECS或EKS需要的CloudFormation樣板。App2Container還與AWS CodeBuild和AWS CodeDeploy服務整合，讓使用者能以可重複的方式，建置和部署容器化應用程式。</p> <p>App2Container會將以ASP.NET開發的網頁應用程式容器化，並搬上雲端以Windows上的IS 7.5+執行，而Java應用程式則是在Linux上運作。AWS現在免費釋出App2Container工具，開發者將視需求使用EC2、ECS、EKS和S3等AWS服務。</p> </div></div></div>
2020/7/1 16:15作者李建興https://www.ithome.com.tw/news/138530
微軟公測Android版Microsoft Defender ATP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出MacOS版後，微軟昨（23）日<a href="https://techcommunity.microsoft.com/t5/microsoft-defender-atp/announcing-microsoft-defender-atp-for-android/ba-p/1480787" target="_blank">宣布釋出</a>Android版防毒產品Microsoft Defender ATP for Android應用程式公開預覽版。</p> <p>微軟今年二月釋出Linux 版Microsoft Defender ATP後，並在三月的RSA安全大會公布Android及iOS版的第一個預覽版，並在本周釋出第二個公開預覽版。Defender ATP for Android預覽版可在微軟網站<a href="https://www.microsoft.com/zh-tw/microsoft-365/windows/microsoft-defender-atp?rtc=1" target="_blank">下載</a>。</p> <p>Microsoft Defender ATP for Android除了惡意程式掃瞄外，還加入網釣、非法存取企業資料等防護。原本Android已內建掃毒引擎，且提供Google Play Protect在用戶下載Google Play應用程式再掃瞄一次。但微軟資深計畫經理Kanishka Srivastava指出，Android版Defender ATP除了提供病毒特徵比對的檢測外，還會運用微軟深度學習及啟發式（heuristics）偵測的雲端技術來檢查特徵比對處理不到的低傳真（low fidelity）訊號，可同時涵蓋惡意App和裝置上的檔案。</p> <p>Defender ATP for Android會即時掃瞄惡意及垃圾應用（potentially unwanted App, PUA），當它掃瞄完成，就會顯示通知告知用戶。</p> <p>在網釣防護方面，Microsoft Defender ATP for Android可結合Defender的智慧螢幕（SmartSreen）服務，針對SMS、文字簡訊、WhatsApp、電子郵件、瀏覽器及其他App內傳送的URL進行檢查。另外SmartScreen也會偵測從裝置上偷偷連出去的連線。這些功能會整合Android作用，一旦Defender ATP for Android判斷為惡意URL或不安全的網路連線，就會發派Android通知給用戶，由其決定是否允許、是否通報，或關閉通知。如果這是企業Android手機，管理員也可以透過Microsoft Defender的安全中心（Security Center）介面客製更詳細的通知及流程。</p> <p>最後，Defender ATP for Android 配合微軟的端點管理員（Endpoint Manager），還可以防止惡意程式從行動裝置存取企業敏感資料。例如當Defender ATP判斷某臺Android手機上有惡意App，就會將之列為「高風險」裝置，並標示於安全中心內，而端點管理員裏的裝置管理員Intune及組態管理員產品就會根據風險高低，封鎖用戶從手機上存取公司資產，如Outlook郵件。用戶還會受到通知，等他將該App移除才可以恢復存取權。</p> <p>包括Defender ATP for Android在內偵測到安全事件，都會匯整到Defender 安全中心，方便管理員統一讀取威脅（如病毒）名稱、嚴重等級、通報流程、以及用戶在這臺裝置上的行為等其他資訊。</p> </div></div></div>
2020/6/24 14:05作者林妍溱https://www.ithome.com.tw/news/138420
微軟更新WSL 2現可執行GPU機器學習運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新的Windows Insider預覽版本，其包含<a href="https://devblogs.microsoft.com/commandline/gpu-compute-wsl-install-and-wsl-update-arrive-in-the-windows-insiders-fast-ring-for-the-windows-subsystem-for-linux/">最新版本的WSL（Windows Subsystem for Linux）可執行GPU運算</a>，也就是說，Linux二進位檔可以存取GPU資源，在WSL中執行機器學習或是人工智慧等資料科學應用。另外，微軟也加入了新命令來安裝和更新WSL，用戶可以更好地管理WSL核心版本。</p> <p>社群最想要的WSL功能第一名，便是在WSL提供GPU支援，因此微軟在這次的更新，加入對Nvidia CUDA的支援，而這將可讓開發者在本地Windows機器上，進行CUDA程式的開發和實驗。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/commandline/wp-content/uploads/sites/33/2020/06/gif2.gif" style="width: 580px;" /></p> <p>要在WSL 2中使用GPU，<a href="https://devblogs.nvidia.com/announcing-cuda-on-windows-subsystem-for-linux-2/">Nvidia</a>提到，系統必須安裝支援WDDM模型的GPU應用程式，這些程式會由GPU硬體供應商提供，對應WDDM 2.9模型的Nvidia顯示卡驅動程式，開始在WSL中支援CUDA，用戶只要在Windows主機安裝驅動程式，WSL中的CUDA使用者模式驅動程式，便會自動映射進容器，並加入到載入程式搜尋路徑中。</p> <p>微軟表示，WSL支援DirectML，讓使用者可跨AMD、英特爾和Nvidia的GPU，在Windows硬體上應用硬體加速，提升機器學習訓練工作負載速度。而要使用這個功能，用戶需要安裝最新的Windows Insider預覽版本和安裝WSL 2，並且使用最新Linux核心，安裝正確的GPU驅動程式。</p> <p>微軟也不停地改善WSL的使用體驗，在這次更新中，添加了新的命令wsl.exe --install，來簡化WSL的安裝，使用者只會在Windows機器沒有WSL可選元件可用時，看到這個安裝命令選項，該命令可用來啟用WSL可選元件以及虛擬機器平臺可選元件。微軟計畫未來讓這個命令能夠自動化安裝WSL發布版。</p> <p>目前WSL 2發布版所使用的Linux核心，是透過Microsoft Update更新，也就是說，Linux核心會像其他元件一樣自動保持最新狀態，用戶可以在Microsoft Update頁面中看到更新狀態。微軟也增加用戶控制WSL的Linux核心版本的能力，因此提供了新命令wsl.exe --update以及多個參數，wsl.exe --update可用來管理WSL 2核心更新，當用戶沒有指定其他參數，便會更新到最新版，當更新發生問題，也可以使用--rollback將核心還原到先前的版本。</p> </div></div></div>
2020/6/20 11:35作者李建興https://www.ithome.com.tw/news/138339
高通推RB5平臺可用來開發具5G連線能力的機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通（Qualcomm）所發布的<a href="https://www.thundercomm.com/app_en/product/1590131656070623">RB5機器人平臺</a>，可以讓開發者建置具5G連線功能的機器人，並且具備機器學習、複雜運算以及智慧感知等能力。高通提到，RB5機器人平臺可支援下一代消費型、工業型、國防型和專業型等低功耗人工智慧機器人或無人機的開發。</p> <p>該平臺使用特殊設計的晶片，其搭載的QRB5165處理器，是高通專為機器人應用量身定做，其強大的異構計算架構設計，結合Hexagon張量加速器，支援第5代高通人工智慧引擎，可以提供15兆次運算（TOPS），高效能地處理複雜的人工智慧和深度學習工作負載。</p> <p>RB5平臺的異構計算架構，結合使用多種處理單元，包括以Snapdragon 865 CPU為基礎的8核高通Kryo CPU，以及Adreno GPU，並搭載多個數位訊號處理器和影像處理器，另外，其採用專門的電腦視覺硬體模組EVA，目的是要在最佳效能下，支援僅搭載小型電池的機器人運作。</p> <p>EVA是一個影像分析引擎，可為高階電腦視覺應用程式提供硬體加速並減少延遲，在機器人功耗降低的時候，還能進行即時圖像處理決策，釋放DSP、GPU和CPU資源給其他關鍵人工智慧應用程式使用。高通提到，RB5機器人平臺的晶片組是為電腦視覺設計，因此能高效地處理4K和8K的HDR影片以及200萬畫素圖片，並最多支援7個攝影鏡頭。</p> <p>在連線能力上，RB5機器人平臺具支援4G和5G的模組，結合機器人技術與智慧系統，應用最新的5G連線。RB5機器人平臺以綜合開發套件推出，可減少機器人開發時間與複雜度，開發套件內容包括內建QRB5165處理器的機器人開發板，其符合96Boards開放硬體規格，支援廣泛的夾層板擴充，目前RB5平臺支援Ubuntu和Robot Operating System（ROS）等Linux發布版，並且預整合了各種攝影機、感測器、連接裝置的驅動程式。</p> </div></div></div>
2020/6/19 11:40作者李建興https://www.ithome.com.tw/news/138314
微軟釋出Windows 10 21H1的首個預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在6月17日釋出了<a href="https://blogs.windows.com/windowsexperience/2020/06/17/announcing-windows-10-insider-preview-build-20150/" target="_blank">Windows 10 Insider Preview Build 20150</a>，這不僅是Windows 10 21H1的第一個預覽版，也是首個採用新Dev Channel名稱的預覽版。</p> <p>微軟是在日前<a href="https://blogs.windows.com/windowsexperience/2020/06/15/introducing-windows-insider-channels/" target="_blank">宣布變更</a>Windows Insider的預覽設計，把基於發布頻率的Ring模式，改成基於品質的Channel模式。因此，過去的Windows 10預覽版有Fast Ring、Slow Ring與Release Preview Ring，現在則變成Dev Channel、Beta Channel及Release Preview Channel，其中，Dev Channel適用於高階的技術使用者，Beta Channel則適合早期採用者，而Release Preview Channel則是相對穩定的版本。</p> <p>而Build 20150即是屬於Dev Channel，同時它也是預計於明年上半年出爐的Windows 10 21H1的首個預覽版。</p> <p>Build 20150提供了Windows Subsystem for Linux（WSL）的3個<a href="http://devblogs.microsoft.com/commandline/gpu-compute-wsl-install-and-wsl-update-arrive-in-the-windows-insiders-fast-ring-for-the-windows-subsystem-for-linux/" target="_blank">新功能</a>，一是可讓Linux二進位檔案利用GPU運算能力，其次是增加可直接安裝WSL 的wsl –install命令，以及新增了可方便管理Linux核心版本的wsl –update命令。</p> <p>此外，Build 20150也將把Maps程式的圖資從Bing Maps轉換為TomTom，在程式設定頁面新增搜尋視窗，同時也修補了許多臭蟲。</p> </div></div></div>
2020/6/18 18:55作者陳曉莉https://www.ithome.com.tw/news/138312