iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【醫事行動憑證實例：臺中榮總】大宗繁重生理量測記錄簽核不用等，30秒能簽完50筆病歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，許多醫院已大力擁抱行動化醫療，像是護理人員利用行動裝置辨識藥物、執行簽用給藥和輸血作業，或是採用可直接上傳數據的醫療設備，替患者量測生理數值，如血壓、血糖等。然而，對醫院來說，「這些資料都是病歷的一部分，必須在24小時內完成簽章，才符合醫療法規定，」臺中榮總資訊室主任賴來勳說道。</p> <p>正因如此，在臺中榮總院內，護理人員必須先將這些資料上傳至院內醫療資訊系統（HIS），再繼續照護作業。等到工作忙完後，再回到護理站或行動護理推車，使用醫事人員卡、讀卡機和桌機來登入系統、完成電子簽章。不過，賴來勳點出，護理人員因工作繁忙，有時未能即時簽核，「這時，就得在下一個24小時內返回醫院，」透過桌機來簽核病歷才行。</p> <p>這個得靠醫事人員卡、讀卡機和桌機才能簽核病歷的限制，造成護理人員工作上的另一負擔。為改善這個情況，兩年前，臺中榮總決定投入衛福部舉辦的醫事行動憑證試辦計畫，要讓護理人員改用手機，來即時簽核病歷，特別是使用頻率高的生理量測護理記錄。</p> <p><span style="font-size:28px;"><strong>4步驟打造護理記錄簽核應用，0.6秒就簽完一張病歷</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><strong style="font-size: 28px; text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/w96j5600.png" style="width: 350px; height: 300px;" /></strong></td> </tr><tr><td> <p><strong style="color: rgb(105, 105, 105);">臺中榮總鎖定護理人員的生理數值量測記錄簽核，以醫事行</strong><strong style="color: rgb(105, 105, 105);">動憑證打造一款行動簽核App，可直接在病房量測完患者生</strong><strong style="color: rgb(105, 105, 105);">理數值後，以手機簽核病歷。</strong><span style="color: rgb(105, 105, 105);">（圖片來源／臺中榮總）</span></p> </td> </tr></tbody></table><p>賴來勳指出，臺中榮總之所以選擇生理量測數值記錄，作為醫事行動憑證的首要應用，是因為「生理量測資料量大，且護理人員每天至少執行1以上。」此外，生理量測的資料類型單純，多為簡易數值或簡易文字與代碼，再加上護理人員眾多、一天輪三班，「可有效收集行動憑證的使用者意見。」</p> <p>因此，獲選為衛福部醫事行動憑證試辦醫院後，臺中榮總決定先以護理生理量測記錄作為前導應用。在開發流程上，臺中榮總團隊首先根據作業要點，來設計行動憑證的導入流程。這個流程可分為4個步驟，分別是建立行動憑證管理機制、設計系統、建置行動憑證管理平臺，以及實際應用行動憑證，來進行即時生理量測記錄的簽章。</p> <p>賴來勳坦言，建立管理機制對IT人員是一大挑戰。因為，臺中榮總首先得通過衛福部的HCA醫事人員行動憑證管理檢查表（即自評表），也就是說，團隊必須說明，臺中榮總如何符合表中的數十項行動憑證資安要求。由於衛福部審查嚴謹，臺中榮總也因填寫不完整而遭退件，多次修正後才通過。賴來勳建議，希望衛福部未來能提供一套填寫範本，供醫院參考。</p> <p>另一方面，為滿足自評表中的裝置管理規定，臺中榮總在選擇行動憑證裝置時，就排除私人裝置，決定採用較易管理的公發設備（如手機），並僅開放院內網路使用。</p> <p>建立好管理機制後，團隊著手打造網頁版行動憑證管理平臺，用來管理憑證的申請、使用和廢止。護理人員於此平臺申請後，會由院方管理者審核，而申請產生的封包，也會傳送至衛福部HCA閘道器同步審核。通過後，院方系統即以Email通知申請者，再由申請者透過醫事人員卡下載憑證、綁定手機。如此，就完成申請流程了。</p> <p>接下來，護理人員可開始使用行動裝置，來進行即時生理量測記錄的簽核。護理人員只要在手機上登入，就可檢視以行動裝置幫病人量測的生理數值，要是無誤，點擊簽核就可完成。</p> <p>這個方法不僅打破傳統醫事卡、讀卡機和桌機的限制，讓護理人員可即時完成護理記錄簽核外，也節省了簽核時間。賴來勳指出，以50筆病歷簽核時間來計算，傳統方法需要95秒才能完成，而手機簽核時間只需30秒，等於一張0.6秒。院內八成使用者，也對這個應用表示滿意。</p> <p><span style="font-size:28px;"><strong>行動裝置節省簽核時間，但仍需考量投資成本</strong></span></p> <p>這項行動簽章應用雖然打破地理位置限制、縮短簽核時間，但仍有些不足之處。賴來勳指出，衛福部規定，一位醫事人員最多只能申請5張行動憑證，也就是說，一位醫事人員最多只能使用5臺行動裝置，而臺中榮總的公發機使用政策，並非專門配給，而是讓護理人員隨機取用。這個情形，讓護理人員得重新登入，也因此不容易大規模推廣應用。</p> <p>另一方面，投資成本也是臺中榮總面臨的考驗。出於資安考量，行動裝置作業系統如Android應採6.0以上版本，但這意味著，舊有公發設備必須升級或汰換，產生設備成本。</p> <p>再來，行動憑證管理平臺和簽章的技術門檻高，IT人力不足的中小型醫院，還得委外來協助建置。最後，賴來勳也指出，由於臺中榮總的行動電子簽章使用院內網路，因此需投資網路基礎架構，來維持高品質無線網路，這也是另一筆投資。</p> <p>不過，他仍看好行動憑證的潛力，期許衛福部能將醫事憑證全面雲端化，好讓醫院推動更多行動醫療應用，解放醫護行動力。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 醫界觀點 </span></span> <span style="color:#3399ff;">行動醫事憑證的理想情境是居家醫療</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-%E5%8C%97%E5%B8%82%E8%81%AF%E9%86%AB%E8%B3%87%E5%AE%89%E9%95%B7-%E5%9C%961-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89(1).jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>臺北市立聯合醫院資安長許世欣 </strong>（攝影／</span><span style="color: rgb(105, 105, 105);">洪政偉）</span></p> <p>比起傳統醫事人員卡搭配桌機和讀卡機的方法，臺北市立聯合醫院資安長許世欣認為，醫事行動憑證因無實體I/O接口，作業時間快上許多。但是，「如果行動憑證只應用於院內，而非跨院或是走出院外，就難以發揮價值。」</p> <p>他解釋，行動醫事憑證理想的情境，應是居家醫療。因為，醫護人員至院外診療時，除了須攜帶看診工具外，還得帶上讀卡機、醫事卡，「這麼多工具，對醫護人員來說不僅是體力負擔，有時醫事卡或讀卡機損壞、故障，或是忘記帶上，又是另一個問題。」如果能以行動憑證作業，靠行動裝置看診，就能減輕負荷。</p> <p>再來，許世欣認為，衛福部要求醫院須建立行動憑證管理中心，來管控行動裝置和行動憑證的使用狀態，「這等於是把管理、營運機制，建立在醫院端，」醫院所付出的成本太高。他指出，由於憑證管理的要求有別於一般資訊室業務、需特別設置，因此，即便是醫學中心，維運也會有困難。而IT資源不足的醫院，可能都得委外管理，「倒不如政府做一套管理機制，讓醫院來申辦行動憑證，」他建議。</p> </div></div></div>
2020/9/17 08:00作者王若樸https://www.ithome.com.tw/news/139931
衛福部力推醫事人員行動憑證，打破傳統限制更為行動醫療鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在幾年前，行動化風潮就已吹入醫療界。連網醫療儀器的出現，讓醫護人員可直接上傳量測數值，不必靠手抄再滕打輸入電腦；而各種醫療服務App的出現，讓民眾看診更便利之外，也讓醫護人員隨時掌握院內最新訊息。</p> <p>不過，對醫護人員來說，還有一個痛點沒有克服，那就是實體醫事人員卡的羈絆。在日常醫療行為中，凡是牽涉到給藥、出院、住院、看診和病歷簽核，醫事人員都得使用醫事人員卡，搭配讀卡機和桌機來作業。這是因為，衛福部要求醫事機構須以資安等級高的醫事憑證簽章，來註記要上傳至電子病歷交換中心（EEC）的資料，來確保資料不被竄改或攔截。</p> <p>衛福部的要求還不只如此。就病歷簽核來說，醫事人員須簽核的種類高達150種以上，且醫療法第68條規定，電子病歷製作後，醫事人員必須在24小時內完成簽核。因此，多數醫院的做法是，醫生執行當天所有診療後，在下班前須找臺配置讀卡機的電腦，以醫事人員卡插卡來簽核當日看診的病歷。</p> <p>對護理人員來說，也是如此。以臺中榮總為例，盡管現有連網的醫療儀器可將量測數值上傳至院內醫療資訊系統（HIS），但醫護人員還是得在完成護理工作後，回到護理站或護理推車，以醫事人員卡、讀卡機和桌機來簽核護理記錄。</p> <p>但是，一直以來，桌機並非醫護人員的工作核心，因此存在著桌機與醫護人員數量不成比例的問題。這情形再加上時間壓力，使得病歷簽核成為醫護人員另一種負擔。比如，高醫附醫有1,500多位護理人員，而院內護理站電腦約250臺，護理人員得輪流等電腦，才能完成簽核。此外，還有一家醫學中心資訊主管坦言，為了在24小時內完成病歷簽核，院內每日都得提醒醫護人員；有時，院內系統還會因護理人員趕在交班前簽核病歷，因突然湧入大量簽核作業而導致系統當機。</p> <p><span style="font-size:28px;"><strong>著手策畫醫事人員行動憑證，打破讀卡機和桌機限制</strong></span></p> <p>這些問題，衛福部也看在眼裡。因此，2016年時，衛福部便與旗下醫事人員憑證管理中心（HCA）規畫憑證行動化機制，就是打破醫護人員得靠醫事卡搭配讀卡機、桌機，才能執行醫療行為的限制。</p> <p>「醫事行動憑證就像過去的數位銀行風潮，只是現在吹進醫療業！」衛福部資訊處處長龐一鳴指出，醫事人員行動憑證的目的，是要讓醫護人員只靠行動裝置，比如手機、平板等，就能解決過去需要醫事卡片才能執行的作業，比如機密資料讀取、身分驗證、病歷簽核，甚至進一步協助醫院推動遠距醫療，或是配合未來可能實行的健保卡虛擬化政策，來簡化診療流程。在他看來，「舉凡需要醫事人員卡執行的作業，行動憑證都能執行。」</p> <p>為推動這項政策，衛福部在規畫草案的同時，也招標尋找試辦醫院，並於2018年，選出高雄榮總和臺中榮總作為行動憑證試行醫院。這兩家醫院也在同年，分別打造出各自的行動憑證應用，以院內網路和公發設備（如手機、平板），來簡化病歷簽核流程，以及病安事件通報。衛福部也根據兩家醫院的試辦經驗，來調整申辦流程和法規要求，並於去年8月正式開放醫事機構申辦。除了兩家試行醫院，高醫附醫和高雄長庚也通過申請，高醫附醫也實際應用於臨床流程中。</p> <p><span style="font-size:28px;"><strong>40項資安要求建立行動憑證安全基礎</strong></span></p> <p>就醫事行動憑證的申辦流程來說，醫事機構得先自行設置憑證管理服務窗口，並向HCA提出線上申請，再以公文函送通知。接著，HCA會寄送自評表給申請的醫事機構，醫事機構必須按照自評表中的要求填寫，包括說明如何滿足表中的40項資安規範。</p> <p>HCA表示，為制定這些資安規範，他們也找來學者一起商討。最初，他們先參照基本法規制定資安要求，再送至國發會管理憑證機制的政府機關公開金鑰基礎建設（GPKI）中心審核。</p> <p>過程中，HCA來回與GPKI討論，並根據試辦醫院的意見來修正，最終送至負責發放憑證的經濟部商業司審核。這些資安規則，可說是經過層層關卡才正式推出。</p> <p>雖然，申辦醫院都肯定自評表要讓資安做到滴水不漏，卻也是醫院耗費最多心力、遭退件次數最多的部分。像是，高醫附醫曾被退件7次，臺中榮總也曾因描述問題而遭退件，經多次修正才通過；賴來勳直言建議，衛福部未來能否提供一套範例讓醫院參考。</p> <p>自評表得經過HCA和衛福部雙重審查後，醫院還得通過HCA的憑證封包測試，才能取得服務窗口的資格。</p> <p>醫院取得資格還不夠，還需要建製配套的內部系統和App。在醫護人員端，使用者申請行動憑證時，會透過一套網頁平臺來發出申請需求，再透過行動裝置上的行動憑證管理App掃碼，傳送封包資訊至HCA閘道器審核。通過後，申請者即可下載憑證、綁定裝置，開始使用電子病歷簽章App等程式。</p> <p>在行動憑證的運作架構上，醫事機構首先得自行設置行動憑證註冊管理中心和系統（RA），來管理使用者資料、憑證和行動裝置的狀態，包含憑證申請和廢止等。</p> <p>除此之外，醫事機構也得在行動裝置上安裝行動憑證管理App，來負責憑證的申請和下載，此外，該App也負責與需要行動憑證的App（如病歷簽章App）溝通。</p> <p><span style="font-size:28px;"><strong>衛福部更大願景，靠行動憑證帶動行動醫療</strong></span></p> <p>自2019年8月衛福部正式開放醫院申請醫事行動憑證以來，包含兩家試行醫院在內，總共有4家醫院通過申請核准，其中還有一家仍在開發，等於真正使用行動憑證的只有3家。雖然申請狀況算不上踴躍，但龐一鳴指出，最近因高醫附醫舉辦應用成果發表會，帶動更多醫院申請行動憑證。</p> <p>他期許醫事行動憑證能帶動更多行動醫療應用，比如遠距醫療，透過醫事人員行動憑證，醫生可在手機或平板等裝置上查詢患者病歷，因此就算下班離開醫院，還是能透過電話替患者看診，甚至在問診後進行簽核，龐一鳴表示：「這就是遠距醫療可實現的應用場景。」但他強調，前提是，醫療院所得先有一套妥善的遠距醫療政策，比如醫生下班後看診的薪資給付等，再來實行比較妥當。</p> <p>不只如此，龐一鳴表示，未來若搭配健保卡虛擬化政策，醫事人員行動憑證還可讓居家醫療更便利。不需要再如同現在，醫生至患者家中進行居家診療時，除了大型診療儀器外，還得帶上筆電、讀卡機，來讀取醫事人員卡和患者健保IC卡，才能讀取病歷、看診。</p> <p>這正是衛福部更大的行動醫療願景，而醫事行動憑證正是解放醫生行動力的一大關鍵。</p> </div></div></div>
2020/9/17 08:00作者王若樸https://www.ithome.com.tw/news/139934
【實卡憑證行動化，讓醫護徹底擺脫桌機的束縛】解放醫生行動力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/990-feng_mian_p1-open-960x420.jpg?itok=ZjQxyeAK" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動醫療在臺灣發展多年，醫療人員卻仍天天受制於只限桌機驗證的醫事人員卡，衛福部4年前開始規畫醫事人員行動憑證，要讓醫護人員在手機、平板上就能隨時、隨地執行醫療作業，高雄榮總、臺中榮總以及高醫附醫也已率先展開行動憑證新應用</p> </div></div></div>
2020/9/17 08:00作者王若樸https://www.ithome.com.tw/article/139936
北市聯醫資安治理再升級，ISMS資安驗證範圍今年要擴大到所有核心系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市立聯合醫院資安管理中心資安長許世欣日前在臺灣資安大會上，揭露自家醫院的資安治理目標，包括了資安治理成熟度、ISMS資訊安全管理制度和驗證，以及法規遵循等三大重點。其中，北市聯醫資安治理成熟度要在今年達到Level2管理型，法規遵循則是要在兩年內，擴大ISMS管理制度驗證範圍，要導入至所有核心資通系統。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">資安治理成熟度著重架構運作</span></span></strong></p> <p>臺北市立聯合醫院是臺灣少數獨立設置資安管理中心的醫療機構。為因應去年上路的資安法，北市聯醫在前年就先成立資通安全管理委員會和資通安全諮詢委員會，其下更設置了資安長職位，由原資訊室副資訊長許世欣擔任資安長，掌管全院資安事宜。</p> <p>後來，他們逐步制定出資安治理架構，其中的第一個目標──資安治理成熟度，著重於資安治理架構的運作。</p> <p>這個架構可分為兩層面（如圖），底層核心由資安管理單位和執行管理單位組成，資安管理單位負責計畫（Plan），再由執行單位執行（Do），接著雙方共同檢討（Check）和行動（Act），以PDCA流程來確保資安管理系統的運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(1)(9).jpg" /></p> <p>其中，資安管理單位就是資安管理中心，負責資安預防和管理作業，也負責與行政院資通安全處溝通，以及旗下的資訊局和衛生局。而執行單位涵蓋了院內IT和OT的使用與保管單位，比如醫工、工務、秘書、總務和人資等，甚至是外部廠商。</p> <p>在資安管理單位和執行單位間，還包括了機動小組，也就是情資因應小組、緊急應變小組和稽核小組，來處理特殊事件。</p> <p>再來，在架構運作上，經過底層兩單位由PCDA產生的方案或計畫，會進入第二層，交給管理委員會治理。他們的任務包括指導、評估，以及監督成果和績效；同時，委員會也負責與上級機關和第三方驗證機構的溝通。</p> <p>許世欣指出，為評估架構運作，北市聯醫去年也根據行政院的41項資安評核標準，來設定資安治理成熟度目標。他們以能力度、41項得分占比來畫分成熟度，首先，能力度可分為1至5級，成熟度可分為Level 1基礎型、Level 2管理型，今年，北市聯醫的目標就是要達到Level 2管理型（如圖）。也就是說，41項資安評核全都要達到能力度第2級，而且，至少要有32項要達到第3級。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/xu.jpg" /></p> <p>不只如此，在他看來，要建立完善的資安運作架構，還需要適當的資安工具。北市聯醫將資安工具分為技術面和管理面兩方向，其中，技術面著重於網頁程式防火牆（WAF）、動態密碼系統（OTP）、網路活動監測和資產管理（NAC），管理面則鎖定資訊系統分級、營運衝擊分析（BIA）、風險評鑑與處理、資通資產盤點等，北市聯醫也打造一些系統，比如風險評鑑，來加強管理。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">逐年擴大ISMS管理驗證範圍，今年鎖定所有核心資訊系統</span></span></strong></p> <p>在法遵方面，北市聯醫瞄準ISMS，要在兩年內導入至所有核心系統、三年內完成公正第三方驗證。許世欣表示，去年已將ISMS導入所有重要IT系統，今年除了要導入至所有核心IT系統外，還包括影像醫學的OT，特別是具放射性和侵入性的儀器。</p> <p>明年，北市聯醫要納入更多OT，像是中央檢驗室、工務工控系統，後年則是要涵蓋院區檢驗室、ICU監控系統，以及其他OT系統和儀器等。文◎王若樸</p> </div></div></div>
2020/9/16 19:05作者王若樸https://www.ithome.com.tw/news/140027
中國深圳振華數據握有240萬全球具影響力人士的資料庫，8成從公開網路蒐集而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越南富布賴特大學（Fulbright University Vietnam）的副教授Christopher Balding本周<a href="https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3691999" target="_blank">發表了一篇論文</a>，指出他取得了由深圳振華數據所建立的一個資料庫，內含全球240萬名具影響力人士的個人資料，並相信該資料庫主要是提供給中國軍方與情報機構進行分析之用。</p> <p>富布賴特大學是在美國與越南政府的支持下於2016年所創立，Balding為專門研究中國經濟與金融的學者，他說該資料庫是由熟悉深圳振華數據的消息來源所提供，並非透過網釣或駭客等不法行為所獲得。而在該論文曝光之後，振華數據的官網也隨之關閉，但根據<a href="http://webcache.googleusercontent.com/search?q=cache:o7xFi2wQQDUJ:www.china-revival.com/product/saas+&cd=6&hl=zh-TW&ct=clnk&gl=tw" target="_blank">Google的快取頁面</a>，該公司為一數據供應商，聚焦於整合海外的資訊，以服務中國機構，主要產品之一即為Balding取得的海外核心資訊資料庫（Overseas Key Information Database，OKIDB）。</p> <p>Balding指出，振華數據在官網上宣稱該公司蒐集了逾240萬人、65萬個組織、23億則新聞報導，以及21億則的社交媒體貼文，與他所得到的OKIDB資料庫內容是一致的。在240萬人中，有大量的公部門員工，從知名政治家、政治助理到低階的軍事人員，還有教授、智囊團、科學家、技術領袖，以及部份的組織性罪犯。</p> <p>除了這些人士的基本個人資料之外，OKIDB提供了許多第三方連結，以連至與這些人有關的照片、論文、部落格、影片，以及他們的親友關係，亦記錄了個人在社交網站上所張貼、按讚與轉發的文章。</p> <p>Balding分析，OKIDB資料庫有8成的內容都是自公開網路爬梳而來，只有10%~20%的數據無法公開取得，儘管有理由相信某些數據是來自於未經授權的存取，但並無確切的證據。他也認為該資料庫是用來協助中國官方機構對海外人士進行分析或滲透，特別是振華數據曾宣稱包括中國的軍事、安全與情報機構都是該公司的客戶。</p> <p>根據Balding的看法，中國積極透過各種管道進入公共資訊平臺，試圖影響與中國有關的辯論與敘述，整合這些公開的資料可替中國確定所要影響的目標，還能基於對象客製化所要傳遞的訊息，而讓公開資料或OKIDB變得非常有價值。</p> </div></div></div>
2020/9/16 14:45作者陳曉莉https://www.ithome.com.tw/news/140017
Google推出Meet會議室裝置套件Series One
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續強化視訊會議Meet，除了<a href="https://www.ithome.com.tw/news/138467" target="_blank">軟體功能加強</a>、<a href="https://www.ithome.com.tw/news/137492" target="_blank">開放Google帳號免費使用</a>，昨（15）日再宣布推出以Meet為中心的<a href="https://cloud.google.com/blog/products/g-suite/google-meet-hardware-series-one-help-organizations-plan-for-the-future" target="_blank">會議套件Series One</a>。</p> <p>Series One會議室套件是由Google和聯想（Lenovo）合作設計開發而成，包括一個高畫質智慧攝影機Smart Camera、智慧音響Smart Audio Bar，以及名為Meet Compute System的裝置，強調內建Google AI功能，及AI為基礎的影音強化功能，以及Google Assistant聲控。Series One也可結合G Suite提供企業統一管理。</p> <p>首先，Series One中的Smart Audio Bar包含8個波束成型（beamforming）麥克風，以及TrueVoice多頻道降噪及聲音擴大技術，其最大的會議室套件更可同時執行最多44個頻道，達到去除周遭雜音，提升通話人聲音清晰度。Series One還包括4K智慧攝影機，這分成兩個尺寸，一是1200萬像素的Smart Camera，一是具備2030萬像素畫質及4.3x倍變焦的Smart Camera XL，兩個相機都具PTZ功能、能自動放大視野以將人物涵括進畫面中。</p> <p>Compute System則是為Meet打造的Chrome OS 裝置，可作為Meet軟體，包括功能及安全更新的安裝。所有管理作業都經由Google Admin控制臺，來管理包括遠端的裝置設定、狀態檢測以及簡單的問題排除。而進階維護則由聯想提供付費技術支援方案。</p> <p>Compute System還可匿名感測會議室中的參與人數和造訪活動，以作為會議室的安全控管及利用管理。</p> <p>Google強調，所有Series One會議室套件內的Meet Compute System和Smart Audio Bar都使用Google資料中心相同的技術，包括搭載Google Edge TPU Coral M.2加速模組，可執行AI為基礎的影音處理，以及未來研發的機器學習技術，同時維持影音播放的效能與穩定性。</p> <p>Series One除了上述硬體，另外還提供10.1吋觸控控制器、遙控器，並內建Google Assistant聲控，支援加入會議、啟動、終止及靜音等指令。以尺寸分成三個會議室方案，最少整套要價2,699美元，中等為2,999，最大套件則為3,999美元。所有產品提供灰黑及白色款。Google表示即將開放預購。</p> </div></div></div>
2020/9/16 15:15作者林妍溱https://www.ithome.com.tw/news/140018
Dell Q2財報失色，證實裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dell近日公布截至7月31日的第2季財報，較去年同期衰退3%。而在對外暗示目前為「非常時期」後，本周該公司也證實再度裁員。</p> <p><a href="https://www.crn.com/news/data-center/dell-confirms-layoffs-says-it-is-addressing-cost-structure-?itc=refresh" target="_blank">CRN昨日引述Dell發出的聲明</a>，坦承公司近日有減少部分職位及組織調整的動作。Dell指出，公司正在進行業務評估，以確保各部門有適當人數的成員，擔任適當的角色，以滿足支援客戶所需。公司也正在調整成本結構，確保現今與未來具備應有的競爭力。</p> <p>同時Dell也承認，雖然該公司經常從事這類組織檢討，也常有減少職位或架構調整，但公司也體認到，現今的環境乃非常時期。Dell宣稱，所做的每項決策都是為了維護公司及團隊的長久經營。</p> <p>Dell本周已對內公告裁員決定，但未提裁員數。</p> <p>此事也反映COVID-19帶來的營運挑戰。根據Dell公布的<a href="https://investors.delltechnologies.com/static-files/f2b607f1-abe6-4d16-887d-76a70c8ca6f4" target="_blank">2021年第2季財報</a>，該公司上季營收227億美元，比去年衰退3%，Non-GAAP淨收入、稅息折舊攤銷前利潤（EBITDA）及EPS，也分別比去年同期衰退7%、2%及11%。</p> <p>這也是Dell自<a href="https://www.ithome.com.tw/news/139151" target="_blank">今年7月</a>以來第二波裁員。2個月前Dell證實有一波預防性的裁員，至於人數則眾說紛紜，有人指可能高達9千人，也有人說小於2千。早在5月媒體也<a href="https://www.crn.com/news/data-center/dell-confirms-freezing-employee-salaries-401-k-contributions-and-hiring" target="_blank">報導</a>該公司凍薪、削減福利的消息。此外Dell旗下的<a href="https://www.ithome.com.tw/news/139369" target="_blank">VMware</a>也傳人事精簡。</p> </div></div></div>
2020/9/16 16:00作者林妍溱https://www.ithome.com.tw/news/140019
微軟發布大規模模糊測試框架OneFuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於GitHub上開源自家內部Edge、Windows 以及各團隊使用的模糊測試框架<a href="https://www.microsoft.com/security/blog/2020/09/15/microsoft-onefuzz-framework-open-source-developer-tool-fix-bugs/">OneFuzz</a>，讓開發者可以在持續開發工作管線中嵌入模糊測試，以主動發現軟體的臭蟲與漏洞。微軟提到，開發者只要透過單一指令，就能夠啟動各種規模的模糊測試工作，從數臺虛擬機器到數千顆核心的規模都可以。</p> <p>模糊測試是一種提高程式碼安全性和可靠性的方法，讓開發人員在開發生命周期早期，就能夠主動發現臭蟲以及安全性漏洞，但微軟提到，模糊測試是一把雙刃劍，雖然能夠有效率地發現漏洞，但在實際使用上卻非常複雜，甚至需要仰賴專門的安全工程團隊，建構和執行模糊測試功能，因此導入模糊測試的成本也就非常高昂，而為了使自家開發人員能夠輕鬆且持續地進行模糊測試，微軟開發了模糊測試框架OneFuzz。</p> <p>編譯器近期的發展，使得模糊測試的方式產生變化，微軟提到，由Google帶領開發的開源LLVM相關技術，改變模糊測試原生程式碼的安全工程任務，現在模糊測試系統可以嵌入到持續建置系統中，更容易進行崩潰偵測和覆蓋追蹤等工作。</p> <p>現在開發人員可以將模糊測試元件編譯進單元測試二進位檔中，執行呼叫測試、生成輸入和對單個可執行檔進行錯誤偵測等工作，微軟表示，目前在Visual Studio中，這些實驗性功能支援逐漸增加，測試二進位檔已經可以方便地從編譯器建置，因此開發人員開始面臨另外的挑戰，解決在CI/CD工作管線中建置，並且在雲中擴展模糊測試工作負載的問題。</p> <p>已經被微軟大量用來測試Windows作業系統開發的OneFuzz，可讓開發人員靈活組合模糊測試工作流程，開放原始碼的OneFuzz，允許開發者使用自己的模糊測試器（Fuzzer）、變更調度，以及管理種子（Seed）輸入，創建符合需求的模糊測試流程，而且OneFuzz的透明設計，讓開發者可以監控與觀察模糊測試的各個階段狀態。</p> <p>OneFuzz也支援按需崩潰測試，開發者可以按需或是從建構系統中，呼叫即時除錯對話（Session）。由於OneFuzz的多平臺設計，開發者可以選擇在Windows和Linux平臺上進行模糊測試，使用自己的OS建置、核心和巢狀管理程式（Hypervisor）執行測試。</p> <p>目前OneFuzz已經在GitHub上以MIT授權開源，微軟研究和安全團隊會繼續貢獻和維護OneFuzz專案，而微軟也會擴大內部採用OneFuzz的範圍，以提高平臺和產品的安全性。</p> </div></div></div>
2020/9/16 14:30作者李建興https://www.ithome.com.tw/news/140016
蘋果發表新款iPad與Apple Watch，Apple Watch也有SE版了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在本周二<a href="https://www.apple.com/newsroom/2020/09/new-apple-watch-and-ipad-features-enable-wellness-fitness-and-creativity/" target="_blank">（9/15）的發表會</a>上揭露了最新Apple Watch 6，以及入門款的Apple Watch SE，同時更新了10.2吋的iPad，以及10.9吋的iPad Air，而一如外界傳聞，此次蘋果並未發表iPhone 12。</p> <p>第六代的<a href="https://www.apple.com/newsroom/2020/09/apple-watch-series-6-delivers-breakthrough-wellness-and-fitness-capabilities/" target="_blank">Apple Watch 6</a>採用去年應用在iPhone 11上的A13仿生晶片，處理速度比Apple Watch 5快了20%，螢幕亮度是前一代的2.5倍，不到1.5小時就能充飽電，它內建新的血氧濃度（SpO2）感測器與程式，可用來了解身體吸收氧氣的能力，以及輸送到身體的氧氣含量；還能全天候偵測海拔變化，具備可偵測心臟功能的心率程式，以及新的睡眠程式。另有新的家人共享設定，允許使用者透過自己的iPhone替沒有iPhone的家人配對手錶，讓家人能夠藉由電話、簡訊或對講機保持聯繫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20watch%206.gif" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>至於Apple Watch SE則是Apple Watch的特別版（Special Edition），如同iPhone SE是iPhone的入門款一樣，Apple Watch SE為Apple Watch的入門款，它採用Apple Watch 5的S5系統單晶片，儘管效能不如Apple Watch 6，但也是Apple Watch 3的2倍快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-apple%20watch%20SE.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>不管是Apple Watch 6或Apple Watch SE都搭載watchOS 7，也都具備健身追蹤能力，且Apple Watch SE亦提供海拔偵測、家人共享設定能力，以及心率與睡眠程式。這兩款Apple Watch都將在本周五（9/18）開放預購，Apple Watch 6最低階的售價為399美元（12,900元新臺幣），Apple Watch SE則是279美元（8,900元新臺幣）。</p> <p>10.2吋的iPad為蘋果迄今最受歡迎的iPad型號，第八代的iPad採用具備神經引擎的A12仿生晶片，CPU效能比前一代快了40%，繪圖能力則是前一代的2倍。蘋果還特別強調，iPad 8的效能是最暢銷Windows筆電的2倍，是最暢銷Android平板的3倍，也是最暢銷Chromebook型號的6倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-ipad%208-2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>10.9吋的iPad Air則搭載全新的A14仿生晶片，這也是迄今最先進的蘋果晶片，它包含神經引擎與新一代的機器學習加速器，全面提升iPad Air對影像或AI的處理能力。此外，iPad Air提供700萬畫素的視訊鏡頭，以及與iPad Pro同等級的1,200萬畫素後方鏡頭。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-iPad%20Air-V2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>新款iPad與iPad Air都採用新的iPadOS 14作業系統，都預計於下個月開賣，其中，iPad最低規格的售價為329美元（10,500元新臺幣），iPad Air則是599美元（18,900元新臺幣）。</p> </div></div></div>
2020/9/16 12:45作者陳曉莉https://www.ithome.com.tw/news/140013
Windows重大漏洞Zerologon可讓駭客輕易掌控AD網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員揭露Windows一項風險評分10.0的重大安全漏洞，讓駭客可以駭入並控制公司Active Directory網域，危及所有公司連網電腦。微軟已釋出修補程式，企業應儘速安裝。</p> <p>去年安全廠商<a href="http://www.secura.com/blog-cve-2019-1424" target="_blank">Secura研究人員Tom Tervoort</a>發現一個位於Netlogon遠端協定的漏洞，讓攻擊者可利用中間人攻擊（man-in-the-middle）取得AD管理員權限，來控制同一網域內的電腦。這名研究人員<a href="http://www.secura.com/blog/zero-logon" target="_blank">今年發現更危險的漏洞</a>，也是位於Netlogon遠端協定中，可讓未授權使用者取得管理員權限來控制整個網域。</p> <p>Secura公司解釋，Netlogon遠端協定（MS-NRPC）為Windows網域下電腦和AD網域控制器之間的RPC介面，它有許多功能，最常用於以NTLM協定將使用者登入到伺服器，其他功能還包括更新網域中電腦的密碼。</p> <p>最新編號<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472" target="_blank">CVE-2020-1472的漏洞</a>，位於Netlogon遠端協定用來更新密碼的加密驗證演算法上。研究人員發現它讓駭客得以在TCP連線中加入假造的Netlogon功能驗證令符予以操弄，藉此變更AD網域控制器（DC）的密碼。</p> <p>安全公司將該漏洞命名為Zerologon，開採本漏洞只需對有漏洞的DC建立TCP連線，而無需任何網域登入帳密。開採的結果是讓攻擊者得以取得AD管理員權限，進而控管整個Windows網域，包括在公司網路上任何一臺裝置上執行惡意應用程式。</p> <p>由於該漏洞影響重大，風險評分達10.0滿分。在安全廠商通知下，微軟已在<a href="https://www.ithome.com.tw/news/139346" target="_blank">8月Patch Tuesday安全更新</a>中將之修補。修補程式除了解決Zerologon漏洞，也強化安全措施，強制網域中的電腦套用之前可選擇不用的Netlogon協定連線的安全驗證。但這只是第一階段修補，微軟預計明年第一季再會做更完整的修補。</p> <p>安全公司呼籲企業用戶儘速修補，同時也在GitHub公布<a href="https://github.com/SecuraBV/CVE-2020-1472" target="_blank">概念驗證（POC）攻擊程式</a>，供企業驗證其網域控制器是否曝險。</p> </div></div></div>
2020/9/16 12:55作者林妍溱https://www.ithome.com.tw/news/140014
甲骨文釋出雲端安全工具，降低人為資料洩漏風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於企業逐漸把工作負載移往雲端，因而開始面臨了新的安全性問題，時不時就看到有企業因系統配置不當導致資料外洩的新聞，資料洩漏不只可能使品牌聲譽受損，也需要面臨成本損失與罰款。為了解決這樣的問題，<a href="https://www.oracle.com/news/announcement/oracle-announces-new-security-services-091420.html#:~:text=With%20Oracle%20Maximum%20Security%20Zones,errors%20and%20deploy%20workloads%20securely">甲骨文</a>（Oracle）釋出兩個雲端安全工具，用來減少因為人為錯誤，而導致資料外洩的安全風險，這兩個工具分別是Oracle Cloud Guard以及Oracle Maximum Security Zones，Cloud Guard能夠監控雲端平臺的配置和活動，並且在發現問題時，自動採取修復措施，而Maximum Security Zones則透過政策驅動的方法，限制在雲端隔離區中，可以進行的操作與配置，更全面地保護雲端資源。</p> <p>Cloud Guard扮演日誌記錄以及事件聚合器，透過整合甲骨文雲端基礎設施，像是計算、網路和儲存等服務事件，讓用戶能夠指定要檢查的資源或是行為，像是偵測公共儲存桶或是Tor登入，在出現問題的時候發出警報，並自動採取禁用儲存桶或是停用權限等措施，用戶可以使用Cloud Guard評估SaaS和雲端資料庫服務的整體安全性，一旦發現狀況，Cloud Guard便會嘗試自動排除。</p> <p>而Maximum Security Zones則可以讓用戶預先配置政策，以限制不安全的操作和設定，藉此保護企業資料，Maximum Security Zones擴展了對甲骨文平臺基礎設施服務存取的管理，以嚴格且安全的最佳實踐方法，保護在雲端上執行的工作負載，其政策涵蓋的服務，包含了物件儲存、網路、加密、資料庫即服務和文件儲存。</p> <p>Cloud Guard和Maximum Security Zones兩個服務都不需要另外付費，甲骨文提到，安全性算是基礎功能，應該內建在雲端平臺中。目前兩個服務都已經在甲骨文的所有雲端地區上線。</p> </div></div></div>
2020/9/16 11:25作者李建興https://www.ithome.com.tw/news/140008
線上開發環境Repl.it現提供內建資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上整合開發環境服務Repl.it釋出了最新的資料庫，現在<a href="https://docs.repl.it/misc/database">Repl.it</a>內建快速、免費的鍵值儲存資料庫，開發者只要匯入Python、Node.js或Go套件，就能夠立刻開始使用資料庫。官方提到，由於是內建的資料庫，因此不需要設定或是配置，這是目前要在Repl.it中儲存資料最快速的方法，不過目前資料庫有最多5,000個鍵值的限制。</p> <p>Repl.it是2016年成立的公司，在2018年才正式發布開發環境服務Repl.it，目前提供超過50種程式語言的線上編譯服務，每周平臺上活躍的開發者數量為20萬人。</p> <p>鍵值資料庫沒有架構、資料表或是資料列的概念，僅有鍵和值的映射，使用者可以進行的操作，是為一個鍵設定一個值，並且進行取得、刪除以及搜尋鍵值等為數不多的動作，官方提到，這些簡單的資料操作，就足以支援各種應用程式，從可評論的部落格，到遊戲後端的排行榜，甚至是電子郵件平臺都沒問題。</p> <p class="rtecenter"><img alt="" src="https://blog.repl.it/images/database/database1.gif" style="width: 580px;" /></p> <p>Repl.it資料庫支援多個語言，包括Python、Node.js或Go，另外，開發者還可以選擇在任何語言，透過HTTP協定與Repl.it資料庫通訊，而在Python中，客戶端能夠序列化與反序列化字典（Dictionary）以及列表，因此開發者可以用來處理一些更加複雜的資料。</p> <p>不過，這個資料庫目前有一些限制，每個資料庫容量限制為50 MB，且每個資料庫只能儲存5,000個鍵，每個鍵容量為100位元組，而值的容量最大則為5 MB。</p> </div></div></div>
2020/9/16 11:30作者李建興https://www.ithome.com.tw/news/140009
AWS釋出使用Graviton2處理器的EC2爆量效能執行個體T4g
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS新推出使用Graviton 2處理器的低成本爆量效能執行個體<a href="https://aws.amazon.com/tw/blogs/aws/new-t4g-instances-burstable-performance-powered-by-aws-graviton2/">T4g</a>，與T3執行個體相比，T4g執行個體效能多40％，且成本便宜20％，提供用戶另一個高性價比的選擇。</p> <p>AWS提到，T4g執行個體是為大部分時間，都不全速使用CPU的應用程式設計，使用和T3執行個體相同的信用點數模型，在預設情況下啟用無限制模式。T4g能夠應付在處理大量資料才需要高效能CPU的工作負載，包括網頁或應用程式伺服器、中小型資料儲存和各種微服務，但由於T4g的效能較佳，因此可以用來執行更多類型的工作負載，像是快取伺服器、搜尋引擎索引和電子商務平臺。</p> <p>T4g從型號t4g.nano到t4g.2xlarge推出7種規格，搭載的計算資源最小規格t4g.nano為2 vCPU，vCPU基準效能為5％，每小時可以獲得6個CPU點數，記憶體僅有0.5 GiB，而最大規格t4g.2xlarge擁有8 vCPU，vCPU基準效能為40％，每小時可以獲得192 CPU點數，能使用32 GiB記憶體，網路頻寬可使用5 Gbps，對區塊儲存服務EBS頻寬則為2.7 Gbps。</p> <p>AWS開放T4g供使用者免費試用，為了簡化用戶在T4g上開發、測試和執行應用程式的過程，所有AWS用戶都自動註冊，可免費使用t4g.micro執行個體，用戶在今年底前可以免費使用T4g共750個小時。</p> <p>目前T4g執行個體已經在多個地區開放，包括美東維吉尼亞北部、俄亥俄州，還有美西奧勒岡，亞太東京、孟買，以及歐洲愛爾蘭和法蘭克福。</p> </div></div></div>
2020/9/16 11:35作者李建興https://www.ithome.com.tw/news/140010
英國國家網路安全中心釋出漏洞揭露工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國的國家網路安全中心（National Cyber Security Centre，NCSC）在本周發表了漏洞揭露工具包<a href="https://www.ncsc.gov.uk/information/vulnerability-disclosure-toolkit" target="_blank">（Vulnerability Disclosure Toolkit）</a>，以協助各組織建立或改善漏洞揭露流程。</p> <p>NCSC闡明，此一工具包是提供給想要實施漏洞揭露程序的組織，儘管它不是一個全方面的指南，但它具備了各種必要元件。</p> <p><a href="https://www.ncsc.gov.uk/files/NCSC_Vulnerability_Toolkit.pdf" target="_blank">該工具包</a>列出的漏洞揭露程序三大元件，包括：網頁格式的通訊窗口，以利任何發現安全漏洞的人提交資訊；以及必須提供清楚的政策，讓雙方能夠在同意的框架上進行合作，例如安全通訊選項、漏洞報告中應包含的資訊、回應的方式，以及所接受的漏洞範圍等；另也建議各組織應該採用Security.txt。</p> <p>Security.txt為一提供網站安全資訊的建議標準，目的是為了讓安全研究人員更容易舉報漏洞，它的檔案名稱就叫做Security.txt，以文字描述各網站的安全政策、漏洞揭露程序及聯絡窗口，目前包括臉書、Google、GitHub及LinkedIn都已採用Security.txt。</p> <p>此一工具包也特別提供了網站對跨站指令碼（Cross-site scripting，XSS）與子網域接管漏洞的回應方式，因為它們是NCSC所收到的最常見漏洞。</p> <p>NCSC指出，反射性的XSS漏洞常被用來發動偽造網站或網釣攻擊，伺服器端的腳本程式會在網頁客戶端提供資料，替受害者產生一個結果頁面，假設使用者所提供的資料缺乏適當的驗證，客戶端的執行程式可能就會注入動態頁面中，而允許駭客竊取受害者的令牌、紀錄鍵盤輸入，或是執行特權行動等。NCSC則建議網站，應該同時執行特定的脈絡輸入驗證與輸出編碼來緩解相關攻擊。</p> <p>至於子網域接管則是當一個子網域被配置成顯示第三方網站內容時，較容易出現的安全漏洞。這類的配置通常會利用正規名稱記錄（CNAME）機制，以用來替特定網域的正式名稱及別名建立連結，例如將www[.]example.com對應到example.com網域的實際網站，可能應用在由第三方代管的郵件或地圖服務上，但若第三方的子網域過期了、或是因任何原因而無法指向應有的內容，就有可能被駭客接管。</p> <p>NCSC建議網站移除不需要或不再被代管的子網域，以確保不被駭客利用。</p> </div></div></div>
2020/9/16 11:00作者陳曉莉https://www.ithome.com.tw/news/140012
英特爾在臺首次舉行架構日活動，揭露未來下一代筆電與資料中心伺服器產品新布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日（9/15）舉行臺灣英特爾架構日活動上，英特爾不只透露新款<span class="st">Core-i </span>筆電處理器背後採用更多技術細節，也揭露未來筆電與資料中心產品新布局，除了將會有推出採用加強版SuperFin技術的10奈米CPU與GPU產品，更預告明年將會有一款代號為Sapphire Rapids新款伺服器CPU將發表，能支援更高速DDR5記憶體、PCIe5.0介面，以及加入全新CXL快速互連技術等。</p> <p>早在上個月一場北美英特爾架構日上，英特爾就已搶先公布了自家未來5年技術發展藍圖，主要涵蓋了製程與封裝、XPU架構、記憶體、互連架構、安全性、軟體等六大面向。近日在臺首次舉行的架構日活動上，英特爾也透露未來筆電與資料中心處理器產品新布局。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200915_101442.jpg" style="width: 600px; height: 337px;" /></p> <p>首先，在製程與封裝方面，英特爾介紹了在10奈米CPU技術上的新突破，採用了其稱之為SuperFin電晶體新技術，並搭配更先進封裝技術，能做到較前一代處理器提高20%運算效能。同日在美發表第11代筆電處理器Tiger Lake，就是採用這樣的製程技術實作完成。</p> <p>這款<span class="st">Core-i </span>行動處理器是一顆10奈米SoC，採用Willow Cove新架構，並內建整合式Xe GPU，配備更多記憶體，支援AI運算與內建GNA 2.0加速器，另外它也是第一款支援PCIe 4介面的商用筆電處理器，並加入更好的電源管理，整合Wi-Fi 6無線晶片與加入第4代Thunderbolt高速傳輸介面等，未來Tiger Lake處理器更將支援6 GHz頻段的 Wi-Fi 6E。該產品已在9月初上市。。</p> <p>值得一提的是，英特爾臺灣分公司商用業務總監鄭智成表示，這樣的電晶體製程新技術，不只運用在Tiger Lake處理器，同時也用於新款10奈米GPU架構設計上，甚至未來還會有加強版SuperFin技術推出，分別運用在主打高效能與HPC的兩款10奈米Xe GPU新產品上，並也將整合到CPU來推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200915_112553.jpg" style="width: 600px; height: 338px;" /></p> <p>為了對抗Nvidia，英特爾近年來也積極擴大GPU產品線，能夠與自家CPU有效整合，因而推出了Xe GPU產品家族，除了有強調省電的Xe LP，還有主打高延展性的Xe HP，以及高效能運算用的Xe HPC系列，其中Xe LP預計運用在SG1、DG1與Tiger Lake三款處理器產品，分別對應到資料中心雲端遊戲或影音串流、行動創作者與低功耗等相關應用市場。甚至，之後還有一款電競專用的GPU產品，被命名為Xe-HPG也將發表，鄭智成表示，有別於其他英特爾GPU，這顆GPU甚至可以做到即時光線追蹤的運算，未來除了將整合到新款CPU，也將推出獨立顯卡產品。</p> <p>從筆電CPU核心發展藍圖來看，英特爾除了有在上一代採用了Sunny Cove高效能架構核心設計的CPU產品，還有以省電設計為主的Tremont架構的CPU核心產品。後來，還有結合兩者搭配先進封裝設計推出的混合CPU產品Lakefield。至於最新一款Tiger Lake處理器，則採用新一代Willow Cove核心架構。鄭智成預告，2021年還會有下一代CPU核心架構推出，包括具有更高效能的Gold Cove核心和省電設計的Grace Mont核心，還有第二代<span class="st">混合架構處理器產品</span>Alder Lake將發表。</p> <p>另在記憶體方面，鄭智成表示，該公司在設計Tiger Lake處理器的記憶體架構時，也開始加入對於下一代DDR5規格設計的支援，以便於在DDR5之後推出商用後，CPU可搭配來使用，未來最大可提供每秒86GB記憶體傳輸頻寬。</p> <p>英特爾這次也介紹了名為Rambo Cache新型快取記憶體，其頻寬與容量介於SRAM與DRAM之間，可支援最大4096 x 4096矩陣運算，未來將做為最高階Xe HPC裡的快取使用。目前美國Argonne國家實驗室在其超級電腦採用GPU上，就有採用該記憶體配置。至於儲存產品部分，明年初將會推出採用144層QLC技術實作的新一代Optane SSD產品</p> <p>另在I/O方面，今年初由英特爾攜手科技業者建立CXL（Compute Express Link）快速互連技術，該公司也透露，明年底將在代號為Sapphire Rapids的下一代10奈米Xeon系列展開實作，未來做為CPU與CPU之間高速連接的新標準。</p> <p>另外，看好5G專網需求，英特爾先前推出5G基地臺使用一款10奈米處理器Atom P5900，並還有推出Diamond Mesa加速器晶片以及700系列乙太網路卡，提供做為5G網路建設使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_20200915_120154.jpg" style="width: 600px; height: 450px;" /></p> <p>英特爾也揭露未來5年在資料中心布局，其中一項計畫，就是要把矽光晶片（Silicon Photonics）帶進資料中心，它是一種光收發晶片模組，以光來做為機器與機器間互連通信，具備有高速、低功耗的特性，該公司表示，未來將先整合到網路交換器晶片，用於提高網路頻寬密度與改善功耗。另在乙太網路介面卡（NIC），也將加入智慧化SmartNIC，可以對於更複雜資料流來進行優化，或是針對不同工作負載提供加速。</p> <p>對於資料中心處理器下一代產品，除了今年第2季推出採用Ice Lakee架構的伺服器CPU，英特爾表示，下代Sapphire Rapids架構處理器預計明年推出，除了將支援更高速DDR5記憶體，屆時也將搭配新一代PCIe5.0、CXL快速互連技術等。</p> </div></div></div>
2020/9/16 07:26作者余至浩https://www.ithome.com.tw/news/140011
4天內有近2千個Magento 1網站被植入側錄程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門監控線上支付側錄犯罪行動的<a href="https://sansec.io/research/largest-magento-hack-to-date" target="_blank">Sansec在本周指出</a>，從上周五（9/11）到本周一（9/14），就有1,904家採用Magento 1的電子商務網站遭到駭客入侵，駭客攔截了這些網站的付款頁面，以搜括消費者的付款資訊，是該公司從2015年以來所發現的最大規模的線上側錄行動。</p> <p>Magento為一以PHP撰寫的開源電子商務平臺，在2018年被Adobe以16.8億美元<a href="https://www.ithome.com.tw/news/123347" target="_blank">收購</a>，成立於2008年的Magento已在2015年釋出新的Magento 2平臺，並在今年6月終止對Magento 1的支援，雖然Magento提供了從Magento 1遷移到Magento 2的官方工具，但根據Sansec的統計，大約還有9.5萬個電子商務網站依然運作在Magento 1上。</p> <p>Sansec指出，駭客在這些Magento 1網站上的付款頁面植入了惡意程式，來攔截消費者所輸入的付款資訊，該公司上周五僅於10個網站發現相關的側錄程式碼，周六爆增到1,058個，周日630個，周一也有233個，總計至少有1,904個Magento 1網站被開採。</p> <p>值得注意的是，在此次被開採的Magento 1網站中，不少網站過去並未傳出任何安全意外，顯示駭客採用了新的攻擊途徑，同時，駭客已於地下論壇中兜售Magento 1的遠端程式攻擊工具，售價為5,000美元，宣稱不需要取得Magento管理帳號就能發動攻擊，還附上了攻擊指南影片。</p> <p>Sansec猜測，這是因為Magento 1是個壽終正寢的產品，已無任何的官方修補程式，因此一旦被發現漏洞，很容易就成為駭客攻擊的目標，該公司建議採用Magento 1的電子商務業者應該要儘快升級到Magento 2，或是向第三方業者訂閱Magento 1的漏洞修補服務。</p> </div></div></div>
2020/9/15 16:25作者陳曉莉https://www.ithome.com.tw/news/140004
Youtube也推出短影片製作功能Shorts
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TikTok即將被收購，留下的市場空缺成為兵家必爭之地。除了<a href="https://www.ithome.com.tw/news/139237" target="_blank">臉書</a>剛剛推出Instagram Reels外，<a href="https://blog.youtube/news-and-events/building-youtube-shorts" target="_blank">Youtube</a>也在本周宣布製作短影片的功能Shorts。</p> <p>Youtube自2005年成立之初就是設計給用戶上傳自製影片，例如第一支Youtube影片即18秒長的<a href="https://www.youtube.com/watch?v=jNQXAC9IVRw" target="_blank">Me at the zoo</a>，而隨著智慧型手機成為製播影片的主流平台，短影片變成手機用戶學習及娛樂的重要來源。因此Youtube推出Shorts，供用戶在Youtube環境下，利用手機相機即可拍攝、製作15秒鐘以內的短影片。</p> <p>影片製作功能方面，和TikTok或Reels類似，Shorts提供多重相機（multi-segment camera）可將多則短影片串接在一起，也允許一個龐大歌曲資料庫中加入音樂，還具有調節速度、計時及倒數等功能以方便錄製影片。</p> <p>目前Shorts已經在印度找來一些用戶或網紅，針對上述製作影片功能進行早期beta版測試。此外，Youtube也從印度開始，在Android 版Youtube App推廣Shorts。該公司說，不久後會再擴大到iOS版本，也會再增加其他功能，以及測試的國家。</p> <p>印度除了因為當地青少年人口使用Tiktok風氣旺盛，近月也因為和中國邊界問題，<a href="https://www.ithome.com.tw/news/138506" target="_blank">官方封鎖</a>TikTok、微信等<a href="https://www.ithome.com.tw/news/139763" target="_blank">百餘個中國應用程式</a>，使用當地市場成為相關工具的灘頭堡。</p> <p>為了宣傳Shorts，今天起上Youtube首頁已經可看到一排短影片，並展示垂直滑動選擇影片的功能。</p> </div></div></div>
2020/9/15 16:45作者林妍溱https://www.ithome.com.tw/news/140005
微軟更新DeepSpeed深度學習函式庫，現可高效訓練數兆參數AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新了之前釋出的開源深度學習訓練最佳化函式庫<a href="https://www.microsoft.com/en-us/research/blog/deepspeed-extreme-scale-model-training-for-everyone/">DeepSpeed</a>，該函式庫現在能夠使用新方法，訓練擁有數兆參數的機器學習模型，官方提到，DeepSpeed使用了被稱為3D平行技術的新方法，可以自動適應工作負載的需求，在平衡擴展效率的情況下，支援超大型模型。</p> <p>在今年2月的時候，微軟釋出了DeepSpeed函式庫，並且介紹了該函式庫使用記憶體最佳化技術ZeRO，大幅改進大型模型訓練的規模、速度、成本和可用性，微軟使用DeepSpeed來訓練圖靈自然語言生成模型（Turing-NLG），當時發布的Turing-NLG，具有170億個參數和最高的準確性，為當時最大的語言模型。微軟在5月的時候，又發布了ZeRO-2技術，這項改進把模型訓練的參數規模，拉高到2,000億個，而且還能以極快的速度訓練語言模型BERT。</p> <p>而現在，微軟又往前推進DeepSpeed的發展，添加了4項新技術，使得運算、記憶體以及通訊整體效率變得更好。這次的更新，包括微軟利用3D平行化技術，讓DeepSpeed能夠支援數十億到數兆參數的模型訓練，3D的意思也就是結合3種平行化方法，包括ZeRO資料平行化、工作管線平行化以及張量分割模型平行化。</p> <p>微軟提到，透過3D平行化，DeepSpeed能夠適應各種工作負載的需求，支援超過一兆參數的超大型模型，並且達到幾乎完美的記憶體擴展，以及吞吐量擴展效率，另外，透過提高通訊效率，可以讓用戶在網路頻寬有限的叢集，以2到7倍的速度訓練數十億參數的模型。</p> <p>在最新DeepSpeed版本，還能夠更好地支援單個GPU，只要一個GPU就能訓練上百億參數的模型。微軟擴充了ZeRO-2技術，使其同時能夠利用CPU和GPU記憶體來訓練大型模型，以擁有單個V100 GPU的電腦為例，DeepSpeed用戶能夠執行高達130億個參數的模型，而且不會把記憶體耗盡，這個可執行的模型參數量，是當前其他方法的10倍。</p> <p>微軟提到，這些功能性擴展，將使得數十億參數模型的訓練更加普及，讓許多深度學習研究人員，能夠以更低的成本，訓練更大的模型。</p> </div></div></div>
2020/9/15 17:00作者李建興https://www.ithome.com.tw/news/140003
USB攻擊竟能騙過隔離網路的檢疫機制！趨勢揭露鎖定菲律賓軍方的隨身碟竊密攻擊行動USBferry
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多政府機關或是企業，對於極為機密的應用環境，可能認為採用實體隔離（Air-Gapped）的網路環境，與網際網路隔絕，就能防範駭客入侵，但其實不然，因為，資訊人員留下的資料傳送管道，攻擊者也可能利用相同的管道竊取。在HITCON 2020上，趨勢科技網路威脅研究員Joey Chen，就對於鎖定菲律賓軍方發動的USB裝置竊密攻擊，揭露駭客組織使用的工具USBferry，來呼籲建置這種網路隔離環境的單位，不能只是完全倚賴現有的防護機制，來確保進入隔離網路環境的資料無害。</p> <p>一般來說，員工需要將檔案帶入這種封閉環境，企業採取的作法，很可能是透過所謂的「檢疫機」，來掃描隨身碟的檔案，確認當中的內容無害，才允許這個裝置連接封閉環境裡的電腦，甚至有些企業會要求員工必須使用具備指紋辨識功能的儲存裝置，來確保檔案是由該名員工經手。而根據USBferry的命名，駭客顯然就是針對這種資料存取的管道下手。</p> <p>Joey Chen進一步指出，濫用這個攻擊工具的駭客組織是Tropic Trooper，也被稱為Pirate Panda或是KeyBoy，主要的活動範圍在亞洲，曾對臺灣、菲律賓、越南，以及圖博等發動攻擊，他們最早在2011年發現這個組織的蹤跡。而此起濫用USBferry的攻擊行動，該組織是鎖定菲律賓軍方竊取機密，不過，雖然是目標是軍事單位，但是Joey Chen說，駭客的攻擊途徑，是先從資安意識較為薄弱的軍醫院下手，然後再輾轉滲透到軍方的隔離網路環境。</p> <p>為何駭客稱他們的工具為USB「ferry」？Ferry這個字是來自中國的「擺渡攻擊」，意思就是針對隔離網路來竊取機密資料的手段，利用外接儲存裝置來當作「渡船」，進而達到取得隔離網路資料的目的。</p> <p>這種把USB隨身碟當做資料渡船的攻擊手法，Joey Chen表示是在2014年開始出現，前身是名為「砲灰之王（PaoHuiKing）」的後門下載工具。但為何他們會發現USBferry和砲灰之王有所關連？Joey Chen說，因為兩者有共同的特徵，包含了使用相同的C&C中繼站連接埠，還有都會在使用者字串（User Agent）標示攻擊目標的對象資訊等。再者，Tropic Trooper也在上述2種惡意程式裡，註記詳細的版本資訊，這也與許多駭客組織的做法明顯不同。</p> <h2><strong>利用系統資料夾作為掩護，惡意程式與洩密行為難以察覺</strong></h2> <p>在趨勢科技的觀察中，USBferry攻擊的途徑是從寄送釣魚信給軍醫開始，進而讓相關工具經由隨身碟傳送到隔離網路環境，竊得機密檔案後，再回傳到駭客手上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-v1_0-scenario.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-v1_0-scenario.png" style="width: 580px;" /></a></p> <p>由於釣魚信裡附件檔案看起來也很像軍方文件，軍醫便很可能不疑有他就中招。更何況，經手隨身碟的人員還可能沒有依照標準作業程序，跳過檢測的步驟，讓USBferry直接進入到隔離網路環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-decoyfiles.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-decoyfiles.png" style="width: 580px;" /></a></p> <p>該惡意程式為了檢查是否被攜入到隔離網路，它會Ping特定的網址。一旦發現抵達這種網路環境裡的電腦，USBferry會收集該電腦的系統資訊，並複製特定格式的文件檔案到隨身碟（例如，C磁碟機裡所有DOC文件），再伺機準備把資料傳送到外部。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-scripts-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-scripts-1.png" style="width: 580px;" /></a></p> <p>但為何USBferry能夠躲過進入隔離網路的檢測機制？Joey Chen說，因為駭客採用罕見的規避偵測手法，例如複製惡意程式到系統復原資料夾（Recovery）路徑，而對於竊得的機密文件，他們則是存放於隨身碟上的資源回收筒（Recycler）資料夾，由於一般人並不會特別留意這些資料夾裡面的內容，因此也很難察覺有所異狀。再者，趨勢在UF-1.0 20160226版的USBferry上，發現攻擊者將惡意程式注入於受害電腦的RUNDLL32.EXE，光是從工作管理員的內容，企業幾乎無從發現這個攻擊行動的蹤跡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-installer.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-installer.png" style="width: 580px;" /></a></p> <p>當USBferry成功竊得機密文件，並傳送到能夠對外連線的網路環境後，後續又是如何接應的呢？趨勢發現，Tropic Trooper利用了Web Shell來建立後門，以便在受害單位無聲無息將資料傳送出去，而這系列的後門，後續發展出來就是該公司在今年臺灣資安大會上<a href="https://www.ithome.com.tw/news/139906">揭露</a>的Welcome Server系列。至於企業應當如何防範這種APT攻擊手法？Joey Chen表示，相關人員應該無論隨身碟攜入或是攜出隔離網路環境，都要檢查其中的內容，並比對檔案的雜湊值與大小，以免發生資料被駭客竄改，或是加入沒有要攜出的檔案等情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-backdoors.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-usbferry-backdoors.png" style="width: 580px;" /></a></p> </div></div></div>
2020/9/15 14:05作者周峻佑https://www.ithome.com.tw/news/139999
美退伍軍人事務部被駭，外洩4.6萬前官兵個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國退伍軍人事務部（The Department of Veterans Affairs，VA）周一（14）公布<a href="https://www.va.gov/opa/pressrel/pressrelease.cfm?id=5519" target="_blank">網路系統遭駭事件</a>，導致近4.6萬名退伍軍人個資外洩，國庫的錢也被盜走。</p> <p>事件起於由VA金融服務中心（Financial Services Center，FSC）管理一個和軍人健保有關的線上應用遭未授權人士存取，並竊走VA要支付給地區醫療機構的錢。經過初步調查，這名人士利用社交工程手法及驗證協定的漏洞，成功取得權限而存取應用系統，然後變更系統內的財務資訊，以便轉移錢的流向。</p> <p>代管的FSC發現後已經將系統下線，直到內部IT系統完成徹底安全檢查才會恢復開放使用。但是VA並未說明入侵事件發生及發現的時間點。</p> <p>目前調查還在持續，但VA相信駭客也已存取退伍軍人的個資，包括社會安全碼等。VA已通知受影響的前官兵和遺族，並提供信用卡外洩監控服務。</p> <p>這是VA已知第二起重大資料外洩事件。<a href="https://www.ithome.com.tw/node/38839" target="_blank">2006年</a>5月VA一名員工家中遭竊，致使存有2,650萬筆退伍軍人資料的筆記型電腦連帶遺失。介入調查的監察長辦公室曾批評，該部對於硬體資產遺失態度輕忽、毫無警覺心。</p> </div></div></div>
2020/9/15 14:15作者林妍溱https://www.ithome.com.tw/news/140001
KB4576753/KB4576754更新將強制Windows 10用戶安裝Chromium版Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-10-updates-are-force-installing-microsoft-edge/" target="_blank">外電報導</a>，微軟在今年8月31日所釋出的兩個Windows 10累積更新KB4576753與KB4576754，已強制將Windows 10中的舊版Microsoft Edge升級為Chromium版Edge。</p> <p>其中的KB4576753是針對已終止維護的Windows 10 1803所進行的更新，至於KB4576754則是適用於Windows 10 1809/1903/1909/2004，而且它們都只更新了Microsoft Edge。微軟表示，新的Chromium版Edge對擴充程式及網站有更好的相容性，而且它支援最新的描繪能力、網頁應用程式，以及具備支援各作業系統的強大開發工具。</p> <p>這兩個更新將把Windows 10上的HTML版Edge蹤跡，全面置換成Chromium版Edge，從開始功能表中的Edge、工作列上的Edge、把絕大多數舊版Edge協定改成新版、若啟用舊版Edge也會直接引導至新版、把舊版Edge資料移轉至新版，也會在桌面上建立新版Edge的捷徑。</p> <p>此外，Windows 10將會隱藏HTML版Edge的所有使用者介面，包括設定、應用程式、檔案或支援對話窗的協定。</p> <p>儘管微軟宣稱Edge屬於作業系統的一部份，而且是Windows預設的瀏覽器，因而無法卸載，但<a href="https://techdows.com/2020/09/kb4576754-update-force-installs-new-edge-on-windows-10-2004.html" target="_blank">Techdows</a>還是找到方法卸載新版Edge，以讓使用者回復到舊有的HTML版。不過，大多人認為，使用者只是對於被強迫更新至Chromium版Edge而感到不滿，事實上Chromium版Edge遠遠優於HTML版Edge，況且最終微軟也會完全放棄Chromium版Edge，使用者無需再掙扎。</p> </div></div></div>
2020/9/15 14:35作者陳曉莉https://www.ithome.com.tw/news/140002
Google承諾2030年全球辦公室與資料中心都將使用再生能源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於2007年開始實踐碳中和（carbon neutral），2017年於全球所投資或購買的再生能源，已超越Google每年的全球用電量，本周<a href="https://blog.google/outreach-initiatives/sustainability/our-third-decade-climate-action-realizing-carbon-free-future/" target="_blank">Google宣布</a>，該公司所投資的再生能源，已超過Google自1998年成立以來的碳排放量，同時訂定新的目標，指出在2030年時，全球的辦公室與資源中心都將直接使用再生能源。</p> <p>Google執行長Sundar Pichai表示，就在2020年的9月14日，Google已消除該公司自成立以來所製造的碳遺跡，同時承諾全球辦公室與資料中心24/7的運作都將使用再生能源，而且將在2030年全面達成此一目標。</p> <p>Pichai說，這是Google史上最大的、可持續發展的登月專案，同時Google也是全球第一家訂定此一目標的主要企業，預計也能成為首家達成的企業。新的目標意味著使用者不論是以Gmail寄信、觀看YouTube，或是使用Google Maps，都是以乾淨能源作為支撐。</p> <p>之前人們很難想像所有的電力供應都來自乾淨能源，因為人類無法控制風吹與日曬的時間，但在技術的增進與政府政策的協助下，Google整合了風電與太陽能資源，增加對電池儲存的使用，再加上利用AI來最佳化電力需求與預測，除了能夠加速全球乾淨能源的可得性之外，也將在2025年之前創造1.2萬個新職缺。</p> <p>根據Google的規畫，2030年將在該公司所有主要經營的地區提供總計5 GW的乾淨能源，以用來支撐各地辦公室及資料中心的運作，它等同於100萬輛汽車所排放的碳足跡。</p> <p>除了Google之外，其它大型的科技業者也都訂定了自己的除碳時間表，例如<a href="https://www.ithome.com.tw/news/135423" target="_blank">微軟</a>打算要在2030年之前實現負碳目標，<a href="https://www.ithome.com.tw/news/138960" target="_blank">蘋果</a>則是要在2030年全面實現碳中和，<a href="https://www.ithome.com.tw/news/138424" target="_blank">Amazon</a>的碳中和目標則是2040年。</p> </div></div></div>
2020/9/15 13:35作者陳曉莉https://www.ithome.com.tw/news/139998
甲骨文證實取得TikTok合約，有議員反對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/139979" target="_blank">微軟宣布</a>字節跳動拒絕該公司收購TikTok的隔天，<a href="https://www.prnewswire.com/news-releases/oracle-confirms-statement-301130173.html" target="_blank">甲骨文</a>發布了官方聲明，表示甲骨文將擔任TikTok在美國的「可靠技術供應商」（trusted technology provider），但美國共和黨參議員Josh Hawley旋即出聲反對。</p> <p>根據甲骨文的簡短聲明，字節跳動在周末已把與甲骨文之間的協議，交給美國財政部進行審核，而美國財政部長Steven Mnuchin亦已向<a href="https://www.cnbc.com/2020/09/14/oracle-confirms-deal-with-tiktok-owner-bytedance-to-become-trusted-technology-provider.html" target="_blank">CNBC</a>證實此事。</p> <p>然而，參議員<a href="https://www.hawley.senate.gov/sites/default/files/2020-09/Hawley-Letter-CFIUS-Mnuchin-ByteDance-Oracle-TikTok.pdf" target="_blank">Hawley</a>認為，當初美國總統川普（Donald Trump）之所以決定封鎖TikTok，是因為該程式會自動蒐集用戶資料，可能對美國帶來國安問題，然而，根據中國新增的出口管制規定，字節跳動並不打算出售TikTok程式碼與演算法，再加上字節跳動與甲骨文之間的協議，代表字節跳動無意放棄對TikTok的最終控制權。</p> <p>因此，作為TikTok的母公司，字節跳動將持續受到中國法令的約束，讓美國人的資料面臨風險，違反了川普的行政命令。這使得Hawley要求美國海外投資委員會（Committee on Foreign Investment in the United States，CFIUS）拒絕字節跳動與甲骨文的協議。</p> <p>Hawley還建議字節跳動應直接出售TikTok予美國企業，包括其程式碼及演算法，以讓美國企業能夠重新打造TikTok，使它完全脫離中國共產黨的影響。</p> <p>目前尚不清楚美國的官方回應，但美國財政部長Mnuchin向CNBC透露，他們本周將與甲骨文討論此事，以確保TikTok程式碼與美國用戶資料的安全性。</p> </div></div></div>
2020/9/15 13:50作者陳曉莉https://www.ithome.com.tw/news/140000
美國土安全部示警，中國利用各大網路設備已知漏洞對政府部門發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部昨（14）日<a href="https://us-cert.cisa.gov/ncas/alerts/aa20-258a" target="_blank">發出公告</a>，指中國政府有關的駭客利用Citrix、微軟Exchange Server、F5及Pulse VPN等多項產品漏洞，攻擊美國政府單位。</p> <p>國土安全部旗下網路安全暨基礎架構安全署（CISA）指出，過去12個月來他們觀察到由中國國安部指揮的網路駭客，利用開源及市售攻擊工具，策動對美國政府的網路攻擊行動。</p> <p>在開源工具方面，中國駭客利用Shodan來掃瞄有漏洞未修補的連網工具，並使用公開資料庫如CVE資料庫和NVD列出的漏洞作為攻擊的依據。CISA指出，過去12個月遭中國駭客用來發動攻擊的漏洞遍布主要網路設備，包括F5 Big-IP上的CVE-2020-5902執行任意程式指令或Java程式、刪除檔案或關閉服務；以Citrix VPN裝置上的CVE-2019-19781發動目錄穿越攻擊（directory traversal attacks）；駭入Pulse Secure VPN 伺服器的CVE-2019-11510檔案讀取漏洞，以存取受害者網路；以及開採Microsoft Exchange上的CVE-2020-0688執行遠端程式，以便蒐集受害者郵件。</p> <p>遭到點名的產品涵括10多項Big-IP裝置、Citrix（ADC、閘道及SDWAN WANOP）、Pulse Connect Secure及Pulse Policy Secure，以及微軟Exchanger Server。</p> <p>此外，中國駭客也使用市售工具，如Cobalt Strike的滲透測試工具來輔助鍵盤側錄、檔案注入等行動，以網頁應用Webshell程式China Chopper，並以Mimikatz來蒐集受害者的登入密碼以利後續權限升級行動。美國政府某單位即被植入China Chopper，它可用來上傳檔案及暴力破解密碼。</p> <p>一如許多駭客組織，中國駭客使用各種手法，包括網釣郵件、惡意連結或掃瞄已知Web App、Web伺服器、網路裝置漏洞以開啟行動，進入受害網路中即安裝木馬程式與外部C&C建立連線，並在受害者網路內進行竊密或竊取電子郵件等。</p> <p>CISA指出，駭客行動成功大部份原因是受害者網路組態不當，或修補管理方案不夠健全，給了掌握利用已知漏洞和工具的攻擊者可趁之機。CISA和FBI也建議政府單位因定期稽核組態及修補管理方案，以防堵新的威脅。</p> <p>這是繼上個月，美國政府再一次點名特定國家涉入對美發動政府層級的攻擊。上個月<a href="https://www.ithome.com.tw/news/139306" target="_blank">美國</a>也點名中國、伊朗及俄羅斯官方策動駭客攻擊，影響美國總統大選。</p> </div></div></div>
2020/9/15 11:35作者林妍溱https://www.ithome.com.tw/news/139995
侵害蘋果AirPods外形商標，OnePlus無線耳機被美國海關當仿冒品扣押
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國業者OnePlus的智慧型耳機OnePlus Buds，上個月被美國海關誤認為蘋果AirPods仿冒品，而遭到扣押。</p> <p>美國海關及邊境保衛局（U.S. Customs and Border Protection，CBP）本月透過<a href="https://twitter.com/CBP/status/1305300486090825731" target="_blank">推特公告</a>查緝仿冒品的重大收獲。他們在紐約甘迺迪機場一架從香港出發的班機上，查獲2000支仿冒的Apple AirPods。若以真品計算，市價高達39.8萬美金。CBP也以<a href="https://www.cbp.gov/newsroom/local-media-release/cbp-jfk-seizes-counterfeit-apple-airpod-earbuds" target="_blank">新聞稿</a>指出，這次攔截到這批耳機仿冒品，直接反映了CBP人員的高度警覺心及捍衛使命的決心。</p> <p>但一如CBP推文所言，這真的不是蘋果。從產品包裝上貼出的標籤、廠商名稱來看，這批「仿冒品」其實是OnePlus Bubs正品。OnePlus Buds售價79美元，不到蘋果AirPods價格的一半。</p> <p>結果一件原被美國海關視為重大業績的事，變成了一樁烏龍事件。CBP推文下，<a href="https://twitter.com/OnePlus_USA/status/1305366058501509121" target="_blank">OnePlus美國分公司</a>推文回應，叫美國海關把產品還給他們。</p> <p>但這也引起正反不一的評價。有人認為要歸咎於OnePlus抄蘋果抄得太像，也有人認為兩者之間只是很像，甚至有人認為美國海關訓練不足，致使冤枉亞洲公司抄襲美國產品。</p> <p>不過<a href="https://arstechnica.com/gadgets/2020/07/oneplus-nord-review-the-king-of-mid-range-android-phones/" target="_blank">CBP周一</a>對媒體發出聲明，說他們並沒有搞錯。CBP表示，經過仔細檢視問題貨物，CBP進口專家判定這些耳機疑似侵害蘋果的外形商標（configuration trademark）。蘋果耳機產品具有外形商標，並在CBP留有紀錄。經過判定，甘迺迪機場的CBP人員依據美國法令扣押這批貨物。</p> <p>CBP也指出，海關扣押的決定和包裝盒上的圖案或文字無關，廠商不一定得要有「Apple」字樣或設計才算侵害商標。</p> <p>但CBP指出，OnePlus（或任何進口的人）將有機會提出佐證，來證明他們產品沒有侵害已紀錄的商標。</p> <p>One Plus拒絕回應產品被扣押以及CBP的聲明。</p> <p>不過蘋果本身倒是從未對One Plus的無線耳機提出法律告訴。<a href="https://www.theverge.com/2020/9/14/21436760/us-customs-statement-oneplus-buds-seized-apple-airpod-trademarks" target="_blank">The Verge</a>報導美國海關會不會沒收這些商品則不得而知。</p> </div></div></div>
2020/9/15 12:55作者林妍溱https://www.ithome.com.tw/news/139997
ModernWeb'20 網站開發年度盛事來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/banner-960x420.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-slogan field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">技術在我們手上，世界就在我們手上</div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">10/12(一)~10/16(五)</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/" target="_blank">首度免費、立即報名</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://modernweb.tw/" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Virtual Event</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">臺灣網站技術人跨領域共同探索與交流的場域，在 2019 年已是千人參與的年度盛事；邁入第 6 年的旅程，我們想要進一步探索網路世界的可能性，以線上方式推進 Web 的技術與經驗。這將是大會轉型的中繼站、也是創意蓬勃發展的新契機。讓我們一起開始這場冒險，在未知之地開拓未來。</div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div>
2020/9/14 17:45作者黃博修https://www.ithome.com.tw/seminar/modernweb20-網站開發年度盛事來了
慎防內部威脅
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在往年臺灣資安大會的所有活動當中，不只是揭露當前需注意的各種外部威脅態勢，同時，也提醒大家注意內部威脅（Insider Threat），而這樣的思考也牽涉到近期經常被提及的零信任（Zero Trust），簡而言之，也就是「never Trust, always Verify」，或是「verify and never trust」。</p> <p>該如何在IT環境實現零信任？我看到IS Decisions公司有篇部落格文章寫得滿好的，作者用了很生動的比喻來形容現實生活中的零信任，他寫道：我們需要建置稽核與政策遵循的控制，就如同把門鎖住；同時，也要進行驗證，就像在夜裡要聆聽是否有人在撞擊（門）。</p> <p>而在施行上，作者建議大家要注意下列幾個要點，像是：管理使用者時就如同在管理無法信任的人、注意網路傳送的資料、把每件事都記錄下來、追蹤系統的變更，以及網路安全須趕上端點防護。</p> <p>其實，零信任的原則，不只適用於資安，在其他場景也可看到很多現成的例子。</p> <p>就像9月爆發中國製非醫用口罩混充臺灣實名制口罩，當全國民眾都對口罩國家隊的貢獻感到驕傲之際，結果卻出現有廠商進口大量中國製非醫用口罩，並將其混入政府徵用的口罩當中，幸虧新北市三重區有藥師舉報，他們發現收到的加利科技八里廠的實名制口罩當中，有一包附有安徽製等簡體字樣標籤，經新北市藥師公會通報食藥署，隨即進行查核，食藥署也在9月3日發布消息。</p> <p>不過，政府目前徵用口罩作業是否已進行查驗？中央流行疫情指揮中心物資組組長蔡壽洤在記者會提出說明，他說：「徵用時已進行品管，要符合藥證許可條件，指揮中心也會定期抽驗……在入倉或上收之前，針對各個徵用廠商，不管使用熔噴布或其他原料，都有抽驗。」，「六月開始定額徵用前，都有抽驗，加利公司那時是合格的……加利公司在二到六月並沒有從大陸進口口罩，國家隊使用的熔噴布由經濟部統一管控，因此國家隊的口罩除了這批加利進口的大陸口罩以外，其餘都是合格的。」顯然，政府抽驗作法在7月後不同，產生可乘之機。</p> <p>他也表示，「可能會提高抽查比例，讓品質達到百分之百安全。」「現在原則上是每個月抽查，這個頻率在研議中，至少會提高到相當高。不論是實質送驗還是產品外觀的檢查機制，我們一定會提高各種頻率來加強把關。」</p> <p>從源頭管控、過程中檢核，我們呼籲廠商應該秉持職業道德與社會責任，否則賠上多年累積的商譽，得不償失，而政府也需要善盡監督的責任，為民眾權益把關，並且要嚴懲不法業者。而在末端經手的人員、最終拿到口罩的你我，能否察覺異狀，也相當重要，不能因為廠商、政府過去具有好的信譽，而採取鬆懈、隨便的態度。</p> <p>事實上，口罩等防疫物資得之不易，臺灣嚴加防護之下疫情得以妥善控制的成績，也是全民努力配合、犧牲許多不便之後所獲得的共同成果，若要破壞這樣平穩的局面並不難，從業人員或許只是多一點點私心、輕忽，可能就會導致一些不可控的代價。</p> <p>防疫如此，企業在內部作業的程序，以及與眾多廠商的合作過程也不例外，都要必須自我要求、提高警覺、主動通報。</p> <p>就像許多資安專家在資安防護的策略提到的「知己知彼，百戰不殆」，這話不只是呼籲企業要對彼端外部威脅有所認識，也提醒企業要及早察覺此端的內部威脅。若要更簡要的一句話來表達這樣的防備概念，我認為，可能就是「防人之心不可無」這句話，往來廠商、合作對象、同事，甚至自己，都有可能是危安因子，請時時刻刻思考與觀察這樣的可能性，才能及早預防威脅與危機。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">資安大會</a></div><div class="field-item odd"><a href="/tags/%E5%85%A7%E9%83%A8%E5%A8%81%E8%84%85">內部威脅</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2020/9/14 16:00作者李宗翰https://www.ithome.com.tw/voice/139938
Windows 10 1903支援期限還剩三個月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你電腦上的Windows 10為1903版，那麼請注意，微軟的技術支援服務剩下不到三個月。</p> <p>微軟Windows 10技術支援生命周期<a href="https://support.microsoft.com/en-us/help/13853/windows-lifecycle-fact-sheet" target="_blank">網頁公告</a>，去年5月才全面釋出的Windows 10 1903版，將在今年12月8日終止技術支援。這個日期適用於所有版本，包括家用（Home）、專業（Pro）、Pro Education、Pro for Workstation、以及企業（Enterprise）、教育（Education）與IoT Enterprise版。</p> <p>微軟上周再次<a href="https://docs.microsoft.com/en-us/lifecycle/announcements/windows-10-1903-end-of-servicing" target="_blank">發出公告</a>提醒用戶，Windows 10 1903版本自12月8日以後，不會再接到任何安全更新。屆時聯絡微軟技術支援服務的客戶，都會被導向升級Windows 10的網頁。</p> <p>微軟指出，技術支援截止期過後，用戶電腦仍然可繼續使用，但是因為不再有安全更新或功能更新，用戶電腦將可能遭遇安全威脅或病毒。</p> <p>1903版是Windows 10去年兩次更新中，更新程度較大的版本，當時曾引發和AMD、高通<a href="https://www.ithome.com.tw/news/130927" target="_blank">晶片驅動程式不相容</a>，接USB裝置/SD卡時<a href="https://www.ithome.com.tw/news/130203" target="_blank">更新中斷</a>，<a href="https://www.ithome.com.tw/news/136243" target="_blank">電腦效能下降</a>，以及簽署工具（Sign Tool）當掉等問題。</p> <p>如果你今年安裝的是問題較少的1909版，那也請留心，技術支援期到明年的5月11日。</p> <p>而在最近2、3個月內，微軟預計又會再釋出代號20H2的下一個Windows 10半年更新。</p> </div></div></div>
2020/9/14 13:20作者林妍溱https://www.ithome.com.tw/news/139982
字節跳動拒絕微軟收購提議，甲骨文娶回TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2020/09/13/microsoft-statement-on-tiktok/" target="_blank">微軟</a>於本周日（9/13）宣布，字節跳動已於當天拒絕了微軟收購TikTok的提案，不把TikTok的美國經營權出售給微軟，同一天<a href="https://www.wsj.com/articles/microsoft-drops-out-of-bidding-for-tiktoks-u-s-operations-11600039821?mod=djemalertNEWS" target="_blank">華爾街日報</a>即引述消息來源報導，這是因為甲骨文打敗了微軟，贏得TikTok的美國經營權。</p> <p>華爾街日報指出，在字節跳動與甲骨文的協議中，將不會採用「出售」字眼，而是把甲骨文視為TikTok在美國的技術合作夥伴，同時該交易還必須獲得白宮及美國海外投資委員會（Committee on Foreign Investment in the United States，CFIUS）的批准。</p> <p>另一方面，由於<a href="https://www.ithome.com.tw/news/139701" target="_blank">中國</a>在8月底更新了《中國禁止出口限制出口技術目錄》，在所新增的出口管制中，納入了基於數據分析的個人化訊息推送技術，外界相信這與TikTok的技術有關，<a href="https://www.scmp.com/economy/china-economy/article/3101362/tiktoks-algorithm-not-sale-bytedance-tells-us-source" target="_blank">南華早報</a>亦引述消息來源報導，在字節跳動與美國企業的交易中，將不會包含TikTok的程式碼，或是TikTok向使用者推薦個人化內容的技術，但允許TikTok的美國團隊開發自己的推薦演算法。</p> <p>目前不管是甲骨文或字節跳動都尚未回應此事或發表正式聲明，但相信很快就會對外公布。</p> </div></div></div>
2020/9/14 12:00作者陳曉莉https://www.ithome.com.tw/news/139979
蘋果可能推出影音內容包套訂閱服務Apple One
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有媒體根據種種跡象認定，蘋果可能即將推出包括影片、音樂、遊戲及新聞的組合式訂閱服務，可能叫Apple One。</p> <p>上個月<a href="https://www.bloomberg.com/news/articles/2020-08-13/apple-readies-apple-one-subscription-bundles-to-boost-services" target="_blank">彭博</a>報導，蘋果策畫的數位內容包套訂閱服務已屆完成，這個內部代號aristotle、正式稱作Apple One的服務預計在近日推出。與之呼應，<a href="https://9to5google.com/2020/09/10/apple-one-music-unified-subscription-apk-insight/" target="_blank">9to5Google</a>上周在Apple Music Android app 3.4.0 版本beta的程式碼中發現，Included in Apple One、aristotole及Subscription Bundle的字串。姐妹網站<a href="https://9to5mac.com/2020/09/12/apple-one-bundle-ios-code/" target="_blank">9to5Mac</a>再接再厲，發現iOS 14程式碼內含Cancel Apple One及Keep Apple One的功能字串，進一步證實Apple One的存在。</p> <p>而周末<a href="https://www.macrumors.com/2020/09/12/apple-one-domain-names/" target="_blank">Mac Rumors</a>也報導，10多個和AppleOne有關的網域名上周被人註冊。所有網域名皆連向蘋果伺服器，顯然持有人為蘋果，而大手筆註冊多個網域名也符合蘋果一向的作法，因為可確保不會被別公司註冊造成混淆。但是appleone.com及appleone.net則十年前就有別人註冊，端看蘋果是否會花錢買下。</p> <p>彭博報導，Apple One提供多層級內容及不同費率規畫的訂閱服務。例如最低層可能由Apple Music及Apple TV+組成，第2級多加一個Apple Arcade遊戲服務。第3級則是再加入Apple News+。最高層級則是內容服務外加入iCloud雲端儲存。除了現有的內容，蘋果甚至也設計了虛擬健身課程。而由於Apple One主要以家庭為設計標的，因此可能也會搭配Family Sharing 設計收費方式。</p> <p>報導指出，Apple One是蘋果模仿Amazon Prime會員制方案而設計，後者提供影音包套及商務免費送貨到府，還享有多種優惠，促成Amazon會員及營收快速擴張。</p> <p>這個傳說中的蘋果內容訂閱服務，可能會在今年秋天隨新款iPhone一同問世。不過蘋果拒絕對此評論。</p> <p>另一方面，蘋果上周發出最新的<a href="https://www.ithome.com.tw/news/139875" target="_blank">產品發表會</a>邀請函，預定美國時間本周二（9/15）舉行，據信可能將公布Apple Watch 6及新款iPad。</p> </div></div></div>
2020/9/14 12:40作者林妍溱https://www.ithome.com.tw/news/139980
東非塞席爾開發銀行遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>東非塞席爾共和國（Republic of Seychelles）的中央銀行（Central Bank of Seychelles，CBS）於上周<a href="http://www.publicnow.com/view/B0D79D3BA69D020E61B72B5D53F09022A8A3EE7F" target="_blank">揭露</a>，當地的塞席爾開發銀行（Development Bank of Seychelles，DBS）在9月9日遭到勒索軟體攻擊，雙方正試圖釐清受到影響的範圍與監控事態的發展，奇怪的是，這兩天被攻擊的DBS官網依然正常運作，反倒是宣布消息的CBS網站無法存取。</p> <p>塞席爾為一位於印度洋的非洲國家，該國由115個島嶼組成，全國人口僅接近10萬。創立於1977年的DBS是由該國政府與其它國際銀行共同投資，估計政府與CBS掌握DBS約6成的股權。</p> <p>CBS在聲明中並未說明攻擊DBS的勒索軟體種類、駭客是否先行下載了資料，或者是駭客所要求的贖金。</p> <p>今年5月，惡名昭彰的<a href="http://www.2-spyware.com/a-new-ransomware-attack-in-finance-sector-development-bank-of-seychelles" target="_blank">Maze</a>勒索軟體駭客宣稱已攻陷哥斯大黎加銀行Banco BCR，且在加密系統之前先行盜走了內部資料，惟勒索金額並未曝光。然而，根據資安保險公司Coalition<a href="https://www.ithome.com.tw/news/139969" target="_blank">的統計</a>，要求最多贖金的勒索軟體即為Maze，向受害者平均勒索的金額高達42萬美元。</p> </div></div></div>
2020/9/14 11:00作者陳曉莉https://www.ithome.com.tw/news/139977
IT人才雙周報第7期：Google培育臺灣人才兩年有成，近10萬人已獲基礎AI或數位行銷能力培訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0828~0910)</span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧臺灣計畫</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才培訓 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>Google今年擴大培訓數位人才，更鎖定學研界教師提供AI專業課程</strong></span></strong></p> <p>Google智慧臺灣計畫今年邁入第三年，Google也在9月3日舉辦線上記者會，回顧去年成果並揭露今年的人才培訓策略。Google臺灣總經理林雅芳表示，去年設定的目標已經陸續達成，共有1萬人獲得AI基礎訓練，超過9萬人參與數位行銷的培訓。而今年則因應疫情，鎖定受疫情影響最鉅的社會新鮮人及學生，提供免費的數位培訓資源，包含數位行銷、數位洞察與分析、影音素材等課程，目前已有9千多人參與培訓。</p> <p>針對進階人才培訓，尤其是AI與電腦科學等專業領域，Google也將持續提供資源，比如邁入第三屆的Google AI創新研究營，今年與科技部AI創新研究中心和臺大AI研究中心合作，吸引了近2,000位學界人士參與。且Google發現，不只學生有AI與ML知識的需求，臺灣學研界各領域的教授也對AI有高度興趣，因此，今年也著重教師培訓，讓教師先學習ML知識，再進一步傳授給學生。（<a href="https://www.ithome.com.tw/news/139770" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎衝擊 </span></strong></span></strong><strong> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣就業前景 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><b>全球HR顧問公司萬寶華指出，臺灣年底前的就業前景在43個國家中最樂觀</b></span></p> <p>全球人力資源顧問公司萬寶華（ManpowerGroup），近日發布了一份針對企業Q4人力聘僱意願的調查報告。這份調查詢問了全球3萬8千家企業，預期今年Q4與Q3相比的人力聘雇情形。值得注意的是，在參與調查的43個國家及地區中，臺灣企業的人力聘雇需求最強勁，其他需求強勁者還包括美國、土耳其、日本和希臘等地，共有22個地區的企業聘雇意願上升，反之，巴拿馬、哥斯大黎加、南非、哥倫比亞與英國等地區則下降，剩餘5個地區持平。</p> <p>在1,094份有效的臺灣企業樣本中，有23%的企業計劃增加聘雇人員，5％計劃裁員，其餘的將保持當前的人力資源配置，整體來看，企業聘僱意願相較於上一季增強17%，與去年同期相比則下降2%。若以產業需求來看，工程建設業的聘僱意願最為強勁，休閒餐旅業則是由負轉正、增幅最大。萬寶華也指出，各國企業在Q4的聘僱意願，可能反映了武漢肺炎疫情帶來的影響，以及經濟停擺的衝擊，由於臺灣疫情控制得宜，企業對Q4前景較有信心，不過，現在仍無法斷言臺灣經濟景氣已經復甦，不排除再次受到不穩定的疫情影響。（<a href="http://file:///Users/ireneweng/Downloads/MEOS_%E4%B8%AD%E6%96%87_Q420.pdf" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-09-11%20%E4%B8%8B%E5%8D%887_57_34.png" style="width: 700px;" /></p> <blockquote><p>臺灣10年來就業展望趨勢圖。</p> </blockquote> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎衝擊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國科技人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作成常態 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>高達81%美國技術工作者想搬離科技中心，遠距工作型態可能成為疫情後的永久現實</strong></span></strong></p> <p>技術領域的新域名註冊網站.Tech Domains，在8月進行了一項美國技術人員因應武漢肺炎疫情的工作情形調查，報告中指出，隨著技術團隊進入遠距工作環境，無論是關鍵技術的加速採用，或是能更舒服的在家中工作，都對這群占美國勞動力總數約8%的技術工作者，帶來了過去難以想像的工作環境變化，連帶影響了技術人員對工作型態的想法改變。</p> <p>比如說，81％生活在美國重要科技中心附近的技術人才，希望搬遷到其他物價更便宜的地方，尤其61%的技術人才提到，現在已經處於完全遠距的工作形態中，可以更輕易的決定搬家到其他地區；且遠距工作的興起，也影響了74%擁有一份全職工作的技術工作者，興起了從事兼職或成為自由工作者的念頭，他們主動透過LinkedIn和Twitter來推廣個人服務，還有四分之一的人已經擁有自己的個人網站。報告也指出，美國技術人才不想回歸辦公室的想法轉變，也可能反過來影響遠距工作成為美國永久技術工作型態的可能性。（<a href="https://get.tech/blog/us-tech-survey/?__cf_chl_captcha_tk__=fde7c90e509e86b80c3bad06b6debfc424a1de84-1599864580-0-Aa1IHIsEqJCXWVl8uAIYG_frI_3iiOenoxUizHqfupPTPHxqSg5xLhOs4c6AHlfIucJbA1jMhsBQRlEB3QWDtnUERzAHPGnICjbVl56gsnt3nG4rIphXC6TYtXt1rNc5foodrO6wGKmK1tZNy2AiC2Y7nZLKW-PHuCcRgqtzoUpGnfrjW5bb8XthpN8kmYwlg4xdEMCtg3HrfZqRQVtzxp-6qopqxulSL-fNlPvyFQBSm80tzb1idxgf4ELqlIHevj8Gov1chYUUrnkxcce3QP_vyXapkIOn1AoiDPBiZXbGaUQSXtYJ_HxB5pWOBxtFjhsjkSXA5rNqD-xT5VCbj8wrgzJhCL9YBdvKoHPEEh6ZMi3Dx-NbjcKCMt6sej75d2Y1oA16DaCqa09B0P5ys4NuDGavtXTRj_9vVsMnjT-JKIJh2L6STy2LdfVnUi5k9tkG2fSAdOCBn3wwFRlbHbeDC4DpF20NBvELLxaqzPjCVDBkuiI5-D1aZuTJIdgar2-1s_y50Z4ffOpb4wRqLxk" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎衝擊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本兼職人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才招募趨勢</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>為了在後疫情時代活用人力資源，日本大企業開始招聘兼職人才</strong></span></strong></p> <p>受到武漢肺炎疫情影響，日本企業的人才招募策略正在發生轉變，越來越多企業以遠距工作為前提，開始招募兼職人員或是自由工作者，其中不乏大型IT企業如Yahoo，從今年7月開始從其他企業招募兼職人才，以及日本大型電信商KDDI，也在6月建立了企業部門之間的兼職機制，讓員工在執行份內工作之餘，自行選擇是否以遠距工作的方式來兼職另一個部門的業務，藉此來活用人力資源。而近日，又有一家老牌汽車製造商，也是豐田汽車旗下企業大發工業，決定在人才招募網站上徵兼職人才，來負責MaaS（Mobility as a Service，移動即服務）的新業務。</p> <p>為了尋找人力來輔助新業務的發展，大發工業決定在9月10日到10月7日這段期間，開設三項職缺來招募兼職人才，分別是MaaS計畫的業務規劃總監、商業顧問，以及產品開發與機械設計顧問，受聘者將採取遠距工作形式，每周提供一次諮詢服務，每月進一次辦公室即可。大發工業表示，目前也在考慮將這個招聘策略擴大到其他部門。（<a href="https://www.bizreach.jp/job-feed/public-advertising/0vb6iku/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-09-12%20%E4%B8%8A%E5%8D%887_42_03.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎衝擊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國資安人才缺口 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才招募趨勢</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><b style="font-size: 22px;">武漢肺炎疫情帶來了新的資安挑戰，引發英國企業擴大招募資安人才</b></p> <p>總部位於英國的全球HR顧問公司Robert Walters及英國數據分析公司VacancySoft，合作發布了一份英國資安人員聘雇市場的研究報告。這份報告指出，在武漢肺炎疫情期間，遠距工作對企業帶來了資安挑戰，甚至有48%的企業承認，現行的資安策略無法100%保障資訊安全，同時，疫情假新聞、非接觸式科技也帶來了新的資安問題，驅使企業需制定並執行更積極的資安防護措施。</p> <p>因此，英國企業在今年上半年的徵才中，雖然對IT人員的需求下降40%，但網絡安全職位的需求增加6％，尤其對於具有SIEM（安全資訊與事件管理）能力、以及道德性（ethical）駭客技術的資安人才，更較去年同期增長了5成與3成的招聘需求，然而，現行的英國技術人才庫，卻只有1％的技術人才具備上述的技能，就算是具備足夠資安領域知識者，也僅有10%，換句話說，英國資安人才仍有龐大缺口。（<a href="https://www.robertwalters.co.uk/content/dam/robert-walters/country/united-kingdom/files/whitepapers/Cybersecurity-Building-Business-Resilience.pdf" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 武漢肺炎衝擊 </span></strong> <strong><span style="background-color: rgb(51, 153, 255);"> FinTech</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">人才招募趨勢</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><b style="font-size: 22px;">全球頂尖金融市場的FinTech人才需求強勁，但企業徵才策略仍受疫情影響而改變</b></p> <p>總部位於英國的跨國金融人才顧問公司eFinancialCareers，在近日發布一份全球前三頂尖金融市場的科技人才分析調查，分別是分別是美國、英國與新加坡三個國家。報告中提到，這三個國家的科技人才招聘都受到武漢肺炎疫情影響，徵才力道與去年相比有不同程度的下降，而且，疫情也讓企業專注聘僱更迫切需要的人才。</p> <p>比如說，英國金融業者對金融科技人才的需求，以軟體工程師、資料分析、商業分析師與專案經理（PM）的需求最大，而需求成長最快速的職位，則是資安管理專家，較去年同比增加24%，這是因為在遠距工作下，企業對資料安全、詐欺行為與網路安全更為重視的原因所致。至於新加坡市場，金融業者所需的人才與英國市場大致相同，不過，商業情報架構師（Business Intelligence Architect）的需求大幅成長，因為企業在疫情期間，需要更積極擬定分析及復原的策略。</p> <p>而美國金融業者今年則大量招聘軟體開發、商業分析、App開發、資深軟體開發和系統工程師，尤其.Net工程師的需求成長最多，較去年同比增加了49%，因為即便軟硬體系統近年來已經有越來越多元的選擇，仍有許多金融業者仰賴.Net框架來開發行動設備與嵌入式系統的應用。（<a href="https://finance.efinancialcareers.com/efc-tech-in-finance-2020-report-US?utm_source=AMS_US_ENG&utm_medium=PR_PRESS_RELEASE&utm_campaign=CL_TECH_IN_FINANCE_EBOOK_PR_DOWNLOAD_SEP_2020" target="_blank">詳全文</a>）</p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Google、萬寶華、Bizreach日本人力資源網</p> <p>資料來源：iThome整理，2020年9月</p> </div></div></div>
2020/9/14 11:27作者翁芊儒https://www.ithome.com.tw/news/139928
Nvidia發布正式聲明，將以400億美元收購Arm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU及AI晶片大廠<a href="https://nvidianews.nvidia.com/news/nvidia-to-acquire-arm-for-40-billion-creating-worlds-premier-computing-company-for-the-age-of-ai" target="_blank">Nvidia周日宣布</a>已和日本投資巨擘軟體銀行達成協議，將以現金加股票出資400億美元收購手機晶片業務Arm。雙方將整合Nvidia的AI運算技術及Arm的生態系，推動AI運算到新興市場。Arm的品牌名及總部位置將維持不變，同時Nvidia也會在英國劍橋設立AI研究據點、打造Arm-based超級電腦。</p> <p>7月間<a href="https://www.ithome.com.tw/news/138817" target="_blank">傳出</a>軟體銀行計畫出售Arm後，<a href="https://www.wsj.com/articles/softbank-nearing-deal-to-sell-arm-holdings-to-nvidia-for-more-than-40-billion-11599928360" target="_blank">華爾街日報</a>及<a href="https://www.ft.com/content/6bfe40a5-2426-4743-98cd-6fed9dd01b98" target="_blank">金融時報</a>率先報導這項交易傳言即將變成事實。</p> <p>這項交易包含215億美元Nvidia股票及120億美元現金，軟銀也藉此獲得50億美元的現金或股票，對Nividia持股10%以下。</p> <p>不過這宗交易還需獲得英國、中國、美國及歐盟主管機關的核准，預計要花費將近18個月。</p> <p>Nvidia創辦人暨執行長黃仁勳指出，AI是這個時代最具威力的科技力，已經掀起運算新浪潮，未來數兆跑AI的電腦創造出的新一代物聯網，會比今天的網際網路大上數千倍，Nvidia和Arm結合將創造為AI時代打造的公司。透過結合Nivida的AI運算能力及Arm的龐大生態系，將可讓運算從雲、智慧型手機、PC、自駕車和機器人擴大到邊緣IoT，並將AI運算擴展到地球每個角落。</p> <p>不過由於晶片大廠<a href="https://www.ithome.com.tw/news/138659" target="_blank">Arm 7月間</a>已把旗下物聯網業務，包括IoT服務、IoT平臺、企業資料管理分拆出來，轉移到其母公司軟體銀行，以專注於晶片的設計本業。因此這次交易並不包含這些業務。</p> <p>在收購後，Arm會保留品牌名，總部也維持設於英國劍橋，Arm執行長Simon Segars也將持續掌理這個部門。此外Arm表示會持續現有晶片技術授權的商業模式，維持技術中立性，所有現有IP也都會留在英國。雙方也承諾Arm的合作夥伴可享有Arm及Nividia兩邊的技術創新。</p> <p>黃仁勳並說明，Nividia計畫在劍橋建立AI研究中心，支援健康照護、生技、機器人、自駕車和其他領域的研究，同時也將打造以Arm CPU為基礎的AI超級電腦以支援研究及技術開發。</p> <p>軟銀是在2016年以320億美元買下英國手機暨行動晶片廠商Arm。近來軟銀數項投資失利，為籌措資金及安撫大股東而決定處份Arm。此外，Techcrunch報導，雖然Arm近年從手機領域積極跨足物聯網（IoT）裝置、伺服器晶片設計，<a href="https://www.ithome.com.tw/news/138688" target="_blank">蘋果</a>今年秋天推出的最新Mac電腦也宣布將搭載Arm架構晶片，但是這些都尚未能轉化成實質收入。今天這項交易將使軟銀藉由4年前的投資賺進25%的利潤。</p> <p><a href="https://techcrunch.com/2020/09/12/softbank-could-make-gasp-a-profit-on-its-expected-sale-of-arm-for-40b/" target="_blank">媒體分析</a>，這樁交易可整合Nvidia在繪圖及AI處理的專長，以及Arm晶片設計的實力，雖然不見得帶來產業垂直整合的優勢，但可望擴大Nvidia的市場地位。</p> <p>但另一方面，Arm原本作為獨立、中立的晶片IP供應商的地位，也可能隨著賣給Nvidia而消失。<a href="https://www.zdnet.com/article/nvidia-close-to-acquiring-arm-from-softbank-for-more-than-40b-says-wsj/" target="_blank">ZDNet報導</a>，Nvidia首先會面臨主管機關質疑要如何在競爭者AMD及高通之前保持中立。</p> </div></div></div>
2020/9/14 11:50作者林妍溱https://www.ithome.com.tw/news/139974
微軟將於Windows 10整合Skype Meet Now視訊會議功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名開發人員Rafael Rivera近日<a href="https://mobile.twitter.com/WithinRafael/status/1304286487077244929" target="_blank">發現</a>，微軟於上周釋出的Windows 10 Insider Preview Build 20211內含一個隱藏功能，直接整合了Skype Meet Now視訊會議功能。</p> <p>根據<a href="https://support.skype.com/en/faq/FA34926/what-is-meet-now-and-how-do-i-use-it-in-skype" target="_blank">Skype Meet Now</a>的功能介紹，只有召開會議的使用者必須具備Skype帳號，在登入Skype並執行Meet Now之後，它就會產生一個會議連結，召集人就能藉由分享該連結以送出會議邀請；另一方面，當受邀的使用者點選該連結時，它就會自動開啟裝置上的Skype，若未安裝Skype，則會開啟網頁版的Skype，且就算沒有Skype帳號也能參與會議。</p> <p>此外，此一整合在Windows 10的Skype Meet Now是個完整版本，具備通話錄音或背景模糊等功能。</p> <p>只不過，Windows測試者（Windows Insider）必須加入Dev Channel，還得下載ViveTool工具，才能找到此一隱藏在深處的實驗功能，啟用Skype Meet Now後，它就會現身於工作列通知區域（Taskbar Notification Area），且目前並無法確定它是否會成為Windows 10的正式功能。</p> </div></div></div>
2020/9/14 10:00作者陳曉莉https://www.ithome.com.tw/news/139975
Palo Alto防火牆產品OS爆重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Palo Alto上周針對旗下防火牆產品的作業系統PAN-OS一項可能導致駭客執行任意程式碼，風險評分9.8的重大漏洞<a href="https://security.paloaltonetworks.com/CVE-2020-2040" target="_blank">發布安全公告</a>，影響眾多版本OS，呼籲用戶儘速升級到最新版本。</p> <p>編號CVE-2020-2040的漏洞出現在Captive Portal或多因素驗證（Multi-Factor Authentication，MFA）介面，攻擊者對其傳送惡意呼叫即可開採，造成緩衝溢位導致系統行程毁損，而得以用根權限執行任意程式碼。</p> <p>只要防火牆開啟Captive Portal或多因素驗證介面，攻擊就能成功，不需使用者任何動作。由於攻擊難度不高、也無需任何使用者授權，使CVE-2020-2040被列為高風險漏洞，CVSS 3.0風險評分達到滿分10分中的9.8分。</p> <p>本漏洞影響甚廣，涵括PAN-OS 8.0版、PAN-OS 8.1.15以前、PAN-OS 9.0.9以前、以及PAN-OS 9.1.3以前版本。PAN-OS 10.0則不受影響。</p> <p>Palo Alto說，這項漏洞是由該公司研究人員內部研究發現，尚未看到網路上有攻擊行動，但仍呼籲用戶儘速升級到最新版本（PAN-OS 8.1.15、PAN-OS 9.0.9、PAN-OS 9.1.3）。</p> <p>針對還未能更新OS的企業用戶，Palo Alto建議將病毒簽章檔升級到8317，可暫時阻擋攻擊行動。</p> </div></div></div>
2020/9/14 10:30作者林妍溱https://www.ithome.com.tw/news/139976
Coalition：今年上半資安險有41%的索賠源自於勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門在北美市場提供網路與資訊安全保險的Coalition，近日<a href="https://info.coalitioninc.com/rs/566-KWJ-784/images/DLC-2020-09-Coalition-Cyber-Insurance-Claims-Report-2020.pdf" target="_blank">公布今年上半年的索賠報告</a>，指出因為資安事件而索賠的業者涵蓋了各個領域，從消費者產品、能源、材料、健康照護、金融服務到非營利事業等，其中，因遭到勒索軟體攻擊而索賠的案件占了41%，居次的是資金移轉詐騙，占27%，電子郵件被入侵則占了19%。</p> <p>Coalition此一報告不僅統計了自家客戶，也納入美國保險監理官協會（National Association of Insurance Commissioners，NAIC）的資料，以及數千個保險應用資料。</p> <p>報告指稱，勒索軟體攻擊對企業所造成的災難，比其它的資安意外還要嚴重許多，雖然今年上半年因遭勒索軟體攻擊而索賠的案例比去年少了18%，但嚴重等級卻增加了，包括駭客要求更高的贖金，恢復正常運作的成本也增加了，至於前五大被攻擊的產業依序是消費者領域（28%）、專業服務（16%）、健康照護（12%）、金融服務（9%）與資訊科技（8%）。</p> <p>該報告亦統計不同勒索軟體所要求的平均贖金，其中，最獅子大開口的是Maze，它的平均勒索金額高達42萬美元，居次的Ryuk也有28.3萬美元，Netwalker則是17.6萬美元，Zepplin為13.3萬美元，DoppelPaymer為13萬美元，Dharma是8.2萬美元，Sodinokibi則是7.4萬美元。</p> <p>而在今年第二季，勒索軟體駭客所提出的贖金平均金額則是33.8萬美元，比第一季的23萬美元增加了47%。</p> <p>另一件值得注意的是駭客的入侵技術，在所有的資安索賠案件中，有54%是藉由電子郵件或網釣入侵組織，28%是透過遠端存取，6%採用其它的社交工程技術，另有3%透過供應鏈，以及3%使用了暴力破解技術。</p> </div></div></div>
2020/9/13 16:20作者陳曉莉https://www.ithome.com.tw/news/139969
蘋果將開放串流遊戲上架App Store，惟恐窒礙難行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Stadia與微軟xCloud等串流遊戲程式迄今都只出現在Google Play上，而未現身於App Store，近日蘋果更新<a href="https://developer.apple.com/news/?id=xqk627qu" target="_blank">App Store的審核準則</a>，詳述了串流遊戲的上架規定，雖然看似替串流遊戲開啟一道大門，但微軟卻說它將替玩家帶來糟糕的體驗。</p> <p>當初蘋果拒絕xCloud的原因為該公司無法審核串流遊戲程式所提供的每一款遊戲，於是在新的審核政策中，蘋果要求在串流遊戲服務中所提供的遊戲，都必須直接自App Store下載；必須透過程式中付費來解鎖遊戲功能；每款遊戲都應以個別遊戲的身分提交至App Store，得有自己的產品頁面、使用者評論，在使用者裝置上也必須以個別遊戲的樣貌存在。</p> <p>因此，蘋果也允許串流遊戲服務於App Store上提供一個目錄程式，該目錄程式可供使用者登入遊戲服務，並在App Store上尋找該服務所供應的各種遊戲，但所有的遊戲都必須連結到個別的App Store產品頁面。</p> <p>此一政策代表蘋果雖然容許串流遊戲服務，但該服務所提供的所有遊戲都會被獨立看待。對此，<a href="https://www.cnbc.com/2020/09/11/apple-app-store-new-rules-will-affect-google-stadia-microsoft-xcloud.html" target="_blank">微軟</a>向媒體說明，這對玩家來說將是個糟糕的體驗，玩家希望可以直接從單一的串流遊戲程式中存取所有的遊戲，如同他們從單一程式中存取各種電影或歌曲一樣，而不是非得自雲端下載及執行逾100種遊戲。</p> </div></div></div>
2020/9/13 17:20作者陳曉莉https://www.ithome.com.tw/news/139972
Google搜尋應用AI技術，迅速全面偵測突發事件以及錯誤訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/products/search/our-latest-investments-information-quality-search-and-news/">Google</a>揭露其24小時監控全世界新聞的情報臺，使用人工智慧技術以強化事件追蹤的新進展。Google提到，過去幾年他們改進系統，現在已經能夠自動辨識自然災害等突發新聞，能確保Google總是獲取最權威的消息，從幾年前，偵測事件的時間需要長達40分鐘，到現在新聞發布後數分鐘，Google情報臺就能即時掌握資訊。</p> <p>Google在2017年的時候，開始大幅改進系統探索危機事件的能力，以解決部分新聞主題，容易受到煽動性或是誤導性資訊影響的問題，這項改進成為了Google搜尋以及新聞服務的基礎，到現在Google也仍然不斷更新系統，以降低話題可能存在錯誤訊息的風險。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/intelligence_desk.gif" style="width: 580px;" /></p> <p>Google在搜尋、新聞以及圖片服務中，添加事實查核標籤，讓使用者能夠更快速地了解資訊的真偽，這些事實查核標籤是來自出版社，利用ClaimReview結構化資料，標記他們所創建的事實查核項目，而Google提到，到2020年目前為止，Google搜尋和新聞使用者，已經查看過40億次的事實查核資訊，比2019年的總和還多。</p> <p>另外，Google也使用了BERT語言理解模型，改進新聞故事和事實查核的配對，該系統能夠更好地理解，事實查核與故事中心主題的關聯性，並在Google新聞的完整報導功能，凸顯事實查核的資料，使用者只要點選完整報導按鈕，Google便會從各種新聞資料來源，拼湊出事件完整的全貌。</p> <p>改進措施還包括Google搜尋的自動完成系統，除了制定長期的政策，防止仇恨和不恰當的預測結果，出現在搜尋列自動完成功能中，Google也設計自動化系統，一旦偵測到查詢系統可能提供不可靠的結果，就會選擇不顯示預測結果。</p> <p>Google與政府機構、衛生組織和Wikipedia建立緊密的合作關係，透過在Google搜尋提供可靠準確的資訊，防止潛在破壞的可能性。Google提到，他們為了完善維基百科的系統，還添加額外的保護和偵測系統，以避免在知識的供給上，出現不正確的資訊。</p> <p>Google提到，儘管維基百科已經有強健的系統，保護內容的中立性和準確性，大部分的破壞行為，在數分鐘內就會被恢復，但在極少數的情況下，蓄意破壞維基百科的內容還是可能會被遺漏，而Google現在的系統，已經可以偵測其中99％的情況。</p> </div></div></div>
2020/9/13 15:40作者李建興https://www.ithome.com.tw/news/139962
iOS 14將支援用戶把第三方瀏覽器及電子郵件服務設為預設值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的iOS行動平臺一向只以自家的Safari及Apple Mail，作為該平臺的瀏覽器及電子郵件預設服務，但根據<a href="https://www.macrumors.com/how-to/google-chrome-default-browser-ios/" target="_blank">外電報導</a>，在iOS 14中，蘋果已允許使用者把相關的預設值變更為第三方服務，且最新的Chrome瀏覽器已支援該功能，可取代Safari成為iOS上的預設瀏覽器。</p> <p>當iOS用戶下載最新版的Chrome瀏覽器之後，只要進入iOS的設定功能，點選Chrome，就可直接將它設為iOS的預設瀏覽器。</p> <p>依照此一邏輯，使用者也可將Firefox或Opera設為iOS的預設瀏覽器，不過得等這些瀏覽器支援此一功能才行，同樣的，Gmail或其它電子郵件服務在更新程式之後，也可望成為iOS上的預設郵件服務。</p> <p>外界預期蘋果會在9月中旬的<a href="https://www.ithome.com.tw/news/139875" target="_blank">發表會</a>上公布iOS 14的細節，屆時蘋果也將更新Apple Watch與iPad，但iPhone 12可能會延至10月下旬才發表。</p> </div></div></div>
2020/9/13 16:35作者陳曉莉https://www.ithome.com.tw/news/139970
消失的期刊：近20年來有176個開放取用的期刊消失在網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統時代的知識保存仰賴的是圖書館員，在進入數位時代之際，原本外界以為數位時代對知識的保存將更為完整，然而，赫爾辛基漢肯商學院（Hanken School of Economics）、柏林自由大學（Free University of Berlin）與德國哥廷根大學（University of Göttingen）<a href="https://arxiv.org/ftp/arxiv/papers/2008/2008.11933.pdf" target="_blank">的調查卻顯示</a>，從2000年到2019年之間，在網路上開放取用（Open Access）的期刊中，已有176個期刊消失無蹤。</p> <p>網路上的期刊可簡單區分為訂閱模式與開放取用模式，前者通常是由大型的出版商所建立，必須付費訂閱，後者則開放外界存取。儘管坊間已有多個期刊或學術研究的數位保存組織，但奠基在開放取用模式的期刊卻經常因為缺乏資金，或因規模較小、受到忽略而直接消失。</p> <p>其中包括存放超過1.4萬種期刊的公開取用期刊指南（Directory of Open Access Journals，DOAJ），在經過研究人員的比對之後，發現有89種期刊消失了；存放10萬種期刊的全球期刊情報資料庫Ulrichsweb，也流失了52種期刊；即便是大型出版商Elsevier旗下的期刊訂閱服務Scopus，亦讓12種期刊消失，再加上其它直接在網路上消失的期刊，總數至少為176種。</p> <p>研究顯示，在這20年來所消失的176個期刊中，涉及了47個國家與各個研究領域，但與人文社會（52.3%）、健康科學（16.5%）、物理科學數學（16.5%）及生命科學（14.8%）有關的期刊占了大多數。</p> <p>另一方面，其實網際網路檔案館（Internet Archive）亦自2018年開始索引學術期刊，他們也發現了同樣的問題，負責學術內容的Bryan Newbold更向<a href="https://www.theregister.com/2020/09/10/open_access_journal/" target="_blank">The Register</a>透露，從1945年迄今，所有開放取用的文章中，大約有18%並未被任何機構保留，包括出版商自己在內，而這些憑空消失的文章數量超過300萬。</p> <p>研究人員指出，開放並非是永久保存期刊的保證，此事肇因於缺乏全面且開放的存檔，也提醒專門保留學術期刊的組織必須重新評估既有的策略，與各大學及社會期刊保持密切的合作，才能完整且全面地保存所有的科學研究。</p> </div></div></div>
2020/9/13 16:55作者陳曉莉https://www.ithome.com.tw/news/139971
Google發布輕量版Android 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了<a href="https://www.blog.google/products/android/android-11-go-edition-new-features-coming-more-devices/">Android 11的Go版本</a>，最新的Android Go除了啟動速度更快之外，還強化了隱私安全功能。Android Go是Google在2018年釋出，為入門級裝置設計的輕量級Android作業系統，目前已經有超過1億臺安裝Android Go的裝置。</p> <p>相較於前一版本，在Go版Android 11上，應用程式的啟動速度較之前快20％，手機不會進入停滯狀態，使用者可以更順暢地在應用程式間切換，能有效提升用戶體驗。Go版Android 11也改善了即時通訊軟體的對話體驗，現在於通知區塊，會有專門的空間顯示通訊軟體對話，讓用戶可以在同一個地方，查看、回應和管理與親友在任何通訊軟體裡的對話。</p> <p>新版本還進一步強化了隱私功能，用戶現在可以更簡單地控制裝置上，資料共享的方式和時間，可以選擇一次性權限，允許應用程式暫時存取麥克風、相機以及位置，而且當用戶長時間沒有使用應用程式，該應用程式權限將會自動重置，用戶也會立刻收到權限更改通知，在下次開啟應用程式時，能夠重新配置應用程式權限。</p> <p>而且考量到市面上裝置螢幕越來越大，因此新版Android Go也能讓應用程式良好地適應較大的螢幕空間，並且可以使用手勢進行導覽，切換至主畫面、向後瀏覽，或是透過滑動在應用程式間切換。</p> <p>除了作業系統功能之外，Google這次也改善了專為入門級智慧型手機設計的應用程式，像是Google檔案的新功能安全資料夾，用戶可以使用4位數PIN碼保護檔案，防止其他人開啟檔案。</p> <p>由於入門級智慧手機，提供越來越多需要較大記憶體資源的功能，Google提到，他們的合作夥伴要求提高裝置效能，特別是在執行速度、儲存和記憶體上，因此將從下個月開始，Android Go會安裝在擁有2 GB記憶體的新裝置上。隨著記憶體的擴展，應用程式啟動速度提升20％，且還有額外的270 MB記憶體可以使用，因此用戶將可以在後臺執行3到4個應用程式，而搭載2 GB記憶體的裝置，還有多達900 MB的空餘儲存空間，可以放置300張照片或是1部電影。</p> </div></div></div>
2020/9/13 15:15作者李建興https://www.ithome.com.tw/news/139955
Patch Tuesday更新造成WSL2無法啟動、注音無法輸入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月Patch Tuesday又有個版本出問題。編號KB4571756版本的Windows 10更新，造成部份用戶電腦的Windows Subsystems for Linux 2 (WSL2)無法啟動。</p> <p><a href="https://github.com/microsoft/WSL/issues/5880" target="_blank">一名用戶</a>在GitHub上反映，安裝KB4571756（或19042.508）版本後，他的Windows 10機器就無法啟用WSL2來跑Windows Terminal，而是出現Element not found或Process exited with code 4294967295的錯誤訊息指示遠端程序呼叫失敗。</p> <p>KB4571756主要修補滑鼠、鍵盤等輸入裝置、Windows效能基礎運算及Office產品相關的安全問題，以及改善檔案儲存及管理的功能問題。</p> <p>從其他人的回應來看，不少用戶受影響。至於原因，有用戶猜測可能和Hyper-V有關。未安裝Hyper-V的Windows 10，如Windows 10 Home版就未出現這次的問題。目前唯有移除更新版KB4571756才能回復WSL2。</p> <p>兩個月前，微軟曾經<a href="https://www.ithome.com.tw/news/138961" target="_blank">提醒用戶</a>，由於一項早期推出的GPU虛擬化功能RemoteFX vGPU爆出RCE漏洞，微軟自7月起就從Windows 10中移除掉這項功能。</p> <p>微軟官網尚未顯示WSL2的問題，不過微軟倒是承認，安裝KB4571756版本會在Windows 10從事多項工作時，引發日文及注音輸入程式問題，像是無法輸入。</p> </div></div></div>
2020/9/13 15:35作者林妍溱https://www.ithome.com.tw/news/139968
老牌軟體公司Progress買下自動組態管理工具廠商Chef
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體公司<a href="https://investors.progress.com/news-releases/news-release-details/progress-announces-acquisition-chef">Progress</a>宣布將買下自動化組態管理工具廠商Chef，Progress預計以2.2億美元現金收購Chef，Progress執行長Yogesh Gupta提到，由於Chef帶來強健的經常性收入模型，而且能與Progress技術互補，因此這次的併購完全符合Progress成長戰略。只要獲得監管單位同意，Progress預計將在2020年10月完成收購。</p> <p>Progress是一間由MIT畢業學生，在1981年創建的美國軟體公司，提供一系列企業建置商業應用程式的技術，包括適應性使用者體驗、行動、無伺服器、認知服務和網頁建置等，在全世界16個國家都有辦公室，員工總數約為1,500人。</p> <p>在這之前，Progress已經進行了一系列的企業併購，從2002年開始，幾乎以每年併購一間企業的速度成長，近期的包括2014年併購的雲端平臺Modulus，以及應用程式開發工具開發商Telerik，而在去年則是併購了IT管理工具開發商Ipswitch。</p> <p>而Chef是相對Progress年輕許多的公司，提供自動化組態服務，其自動化布建產品Chef Habitat和法遵自動化工具Chef InSpec等，在DevOps和DevSecOps領域表現亮眼，業務觸及不少全球前500大企業，年度經常性收入達7,000萬美元。</p> <p>Progress本身的業務範圍涵蓋開發、部署和管理企業業務應用程式，因此Progress想要藉由併購Chef，獲取多雲和企業本地基礎設施的法遵和應用程式自動化技術，以強化Progress的核心產品，提升企業回應用戶需求的效率。這次的併購，不只擴大了Progress的規模，也提升了企業現金流。</p> <p>Yogesh Gupta提到，將Chef添加到Progress的產品組合中，將能對雙方的客戶、合作夥伴、投資者，甚至是Chef活躍的開發者社群帶來好處。合併之後兩間企業將會進一步發展DevSecOps，Progress會投入資源繼續開發Chef的平臺，Chef執行長Barry Crist表示，Chef補充了Progress在DevSecOps、基礎設施、應用程式和法遵自動化的不足，同時透過加入Progress，Chef也能獲得在開源領域的發展支援。</p> </div></div></div>
2020/9/13 15:10作者李建興https://www.ithome.com.tw/news/139953
HITCON 2020實體與虛擬同步進行，線上密室逃脫與線下多項活動帶出全新體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣駭客年會第十六屆HITCON 2020於昨日（12日）閉幕，連續兩天活動於週五、週六舉行，受到疫情的影響，本屆最大特色就是結合HITCON社群場與企業資安Pacific場次，並且實體與線上方式同步進行方式。今年也特別以「Herd Immunity for Cybersecurity」為主題，期望社群與企業都能在2020這個全球衝擊與變化最大的時刻，能凝聚資安能量，進而共創群體免疫。</p> <p>在這次大會活動上，<a href="https://www.ithome.com.tw/news/139952">重頭戲不只多場資安技術議程，也有數場座談形式的高峰論壇</a>，還有多項場邊活動同樣吸睛，而且是實體、線上形式都有。例如，之前獲得熱烈響應的駭客密室逃脫活動，今年首度改為線上版登場，不只具有Minecraft遊戲的風格，並且還是一個結合了迷宮、CTF與第一人稱射擊遊戲（FPS）的挑戰。</p> <h2><strong>全新線上版駭客密室逃脫，三大關卡考驗腦力與手力</strong></h2> <p>負責相關策劃的HITCON 2020活動組組長Vic Huang表示，這次密室逃脫活動適合初學者闖關，即便新手也都能夠體驗，每次四人組成一隊，挑戰時間為一小時。具體而言，第一關迷宮場景他們設計的稍微複雜，先讓挑戰者熟悉環境，探索下一關的線索，也考驗團隊協力探索地圖的默契；第二關是遊戲的主要重點，包含了類似CTF的資安題目，場景是4個辦公室，但他也指出，玩家們也要能在場經中找到題目的網址才行，才能獲得進入下一關卡的兩組遊戲帳號與密碼，當然遊戲中也提供彈性，只要獲取一組帳密即可；至於第三關的場景更是特別，主辦方利用開放原始碼製作雷神之鎚FPS的遊戲場景，不過遊戲難度非常誇張，正常操作幾乎無法過關，而這類題目就是要引導玩家的思路，瞭解到不能用正常方法過關，要找出別的方式繞過去才行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B7%9A%E4%B8%8A%E6%B4%BB%E5%8B%95%20-%20%E5%AF%86%E5%AE%A4%E9%80%83%E8%84%AB.png" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B7%9A%E4%B8%8A%E6%B4%BB%E5%8B%95%20-%20%E8%99%9B%E6%93%AC%E6%9C%83%E5%A0%B4.png" style="width: 295px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年</span>HITCON 2020採實體、線上雙模式併行，線上活動而言，除了可以觀看直播議程，本屆大會也提供了線上版密室逃脫、虛擬會場 - 攤位，而場景是許多人都很熟悉的Minecraft遊戲的風格。（圖片來源：HITCON 2020）</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89HITCON%202020_%E7%B7%9A%E4%B8%8A%E5%AF%86%E5%AE%A4%E9%80%83%E8%84%AB_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在週六HITCON 2020現場，我們現在也看到有與會者參與到線上版駭客密室逃脫的場次，特別的是，由於今年密室逃脫採線上舉行，因此與會者購買線上票、沒能來現場，同樣也可以參與。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（攝影／羅正漢）</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89HITCON%202020_%E7%B7%9A%E4%B8%8A%E5%AF%86%E5%AE%A4%E9%80%83%E8%84%AB_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>現場我們也請主辦方讓我們從觀察員的角色，見識線上密室逃脫第三關的第一人稱射擊遊戲場景。這裡的遊戲強度可說是非常之高，讓玩家動腦也動手，引導玩家要用不同思路，因為無法靠正常方法在短時間內過關拿到高分。（攝影／羅正漢）</p> </blockquote> <p>Vic Huang指出，不管是線上議程、線上密室逃脫，都是今年因為疫情全新的創新。現在，他們也開始稍微討論到，是不是可以將這樣的線上版密室逃脫內容，繼續更新與擴大。至於未來，是否可能實體與線上版同步進行，也很值得期待。</p> <p>而對於實體與線上版的差異，他認為，以他們的策畫經驗而言，真實環境下，實體設備容易取得，但設計到線上的遊戲之中，就受遊戲框架的限制，不過線上的參與，也將比實體更具彈性。</p> <p>另外值得關注的是，這次主辦方準備的線上活動，還有一個全新的「線上練蠱大會」。HITCON 2020副總召陳立中（John Chen）表示，他們打造一個虛擬機，而且是一臺漏洞很明顯的電腦，讓玩家可以透過輸入指令嘗試各種入侵方法，而不像線上密室逃脫是一關一關闖。</p> <p>對於今年場邊實體活動的變化，我們注意到，今年沒有電路板識別證挑戰（HITCON Badge Challenges），對此，陳立中表示，這次籌辦時間較緊，是從今年2月開始，但當時正值疫情高峰期，不確定性太多，大家也很怕沒有實體會場，甚至考慮過改採全部線上舉行，而像是線上密室逃脫活動，也是從5月才開始規畫。但隨著國內疫情平緩，他們也在一些部分做出調整，這也呼應了線上線下的概念，並希望嘗試在這樣的趨勢下，可以變出不同花樣。</p> <p>另外，去年HITCON社群場就有香港的VXCON帶來VX（Variety eXpliotation) Village，今年主辦方擴大引進Village的活動，仿效海外研討會的Village依主題分別呈現，包括5G Village與TDOH Village等多種主題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%20Village%20%E8%AD%B0%E7%A8%8B%20-%20%E9%81%A0%E7%85%A7.JPG" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Village%20%E6%94%A4%E4%BD%8D%20-%20UCCU.JPG" style="width: 295px;" /></p> <blockquote><p>接軌國際，今年HITCON擴大引進Village的活動，現場包含了5G Village等議程，以及依各主題呈現的多種Village攤位。（圖片來源：HITCON 2020）</p> </blockquote> <h2><strong>物聯網家電與5G專網平臺的資安問題受關注，現場搬出模擬平臺供與會者進行攻擊研究</strong></h2> <p>除了大會本身舉辦的線上與實體活動，我們看到現場攤位也有將攻防模擬平臺實際搬到會場，開放讓與會者能夠實際體驗，而且這些都不是一般的系統平臺，包括物聯網家電與5G專網這樣的環境。</p> <p>例如，由Panasonic Cyber Security Lab打造的一臺Chimera Box，表面上看似一個大箱子，並帶有多種螢幕介面，其實裡面是將多種傳統家電結合的物聯網裝置，包含洗衣機、除濕機、冷氣機與冰箱等真實Panasonic家電的控制面板。</p> <p>由於該公司發展PSIRT（產品資安應變小組）已有一段時間，現在似乎是讓家電產品也朝向Bug Bounty計畫發展。該公司製品資訊安全中心主任工程師曾詠豪表示，這個專案是他們今年的新嘗試，畢竟傳統家電較封閉，而現在家電已經走向連網發展，透過實際搬出這樣的專案讓大家討論與研究這樣的問題。而箱子內包含了這些家電的基板，未來也將讓這個箱子能帶到各大研討會，甚至實際將家電產品搬到現場。</p> <p>在這場活動中，除了兩個禮拜前有封閉式邀請學生來玩，他們這個正式環境是第一次對外，現場也提供兩種架構讓與會者可以嘗試攻擊，找出弱點，包括透過Chimera Box本身的無線SSID或USB埠直接連入，或是透過另一無線基地臺的方式遠端攻擊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89HITCON%202020_Panasonic%E5%AE%B6%E9%9B%BBBounty_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在這個結合多種家電基版的物聯網裝置Chimera Box，從外觀上我們也就可以看到除濕機與洗衣機的控制操作面板，現場也提供以Wi-FI或USB方式連入，讓與會者能夠嘗試攻擊。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（攝影／羅正漢）</span></p> </blockquote> <p>另一個搬到大會現場的是，由資策會打造的5G工控專網模擬平臺，這裡結合了基本的智慧工廠概念，讓與會者可以來嘗試攻擊，而這也是他們今年新打造的項目，並且是首次對外提供模擬攻擊場景。</p> <p>去年資策會曾打造化工串級DCS工控系統的測試平臺，這次平臺有何不同？資策會資安科技研究所組長賴家民表示，在以後5G專網、智慧工廠情境下，整體工廠需要保護的環節包含了通訊網路、核心網路，以及IT與OT。由於外界不容易清楚這樣的概念，因此，他們藉由打造這樣的小型環境，重點是要理解這整個架構可以如何做滲透。</p> <p>在現場的展示設備中，包含了一個客制化的塑料加工製造的局部產線，以及5G核網設備，不過，由於現階段5G基地臺少又貴，因此他們的場域先搭配4G LTE訊號的基站。此外，還包含模擬IT環境的伺服器，以及OT工控設備閘道器。整體而言，這是以核心網路架構為主體，讓與會者可以理解此架構可能有那些滲透方式，讓攻擊者可以從IT環境到5G核網、電信基地臺、工控閘道器，最後入侵到產線工控機器手臂。</p> <p>而現場他們也提供4種層級的難度，最簡單的Level 1是他們會提供參考指引，讓現場參與的人，可以依照只是一路攻擊到工控環境，讓設備停止運作或是出現異常行為。其他Level則提供較少的資訊，讓參與的人自行摸索，例如，最後第四種就是資訊都不提供，要參與的人自行對內網偵搜。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964B%EF%BC%89HITCON%202020_%E8%B3%87%E7%AD%96%E6%9C%835G%E6%A0%B8%E7%B6%B2%E6%94%BB%E9%98%B2%E6%A8%A1%E6%93%AC%E5%B9%B3%E8%87%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>在整個5G工控專網攻防模擬平臺中，當中包含了模擬智慧製造的塑料加工製造局部產線。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（攝影／羅正漢）</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964A%EF%BC%89HITCON%202020_%E8%B3%87%E7%AD%96%E6%9C%835G%E6%A0%B8%E7%B6%B2%E6%94%BB%E9%98%B2%E6%A8%A1%E6%93%AC%E5%B9%B3%E8%87%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>整體而言，這是以5G核心網路架構為主體，建構的環境包含了從IT到5G核網、電信基地臺、工控閘道器，到智慧製造的工控機器手臂。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（攝影／羅正漢）</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89HITCON%202020_%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%A6%96%E8%A8%8A_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /> </p> <blockquote><p>此外，受到今年疫情的影響，HITCON 2020除了提供線上線下的各式議程與活動，現場座談也有透過遠距視訊會議方式舉辦，讓美、日、韓等國際講者仍然能夠一同加入討論，例如，在資安人才培育的一場高峰論壇中，就討論了DEF CON CTF今年線上舉行，以及關於線上課程的趨勢。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（攝影／羅正漢）</span></p> </blockquote> </div></div></div>
2020/9/13 09:58作者羅正漢https://www.ithome.com.tw/news/139967
一周大事：規畫預算達前瞻1.0時期二倍！政府將數位建設列入前瞻2.0重點項目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>政府發布5千億前瞻基礎建設2.0計畫，數位建設成為未來4年推行重點，並將聚焦5G基礎建設與完善資安環境</strong></span></p> <p>國發會發布政府新的前瞻基礎建設2.0推動計畫，4年總預算高達5,100億元，其中又以數位建設增幅比例最多，共有950億元，足足比前瞻1.0高出500多億元，未來將運用在輔助5G基礎公共建設，協助產業數位轉型，以及加強資安與數位基礎環境建設等。<a href="https://www.ithome.com.tw/news/139864" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>遠傳與亞太聯手5G共頻共網</strong></span></p> <p>國內5G市場競爭掀起波瀾，遠傳電信和亞太電信兩家公司結盟，宣布5G進行共頻共網合作，亞太電信將分擔遠傳電信九分之二的5G頻譜費用，以換取3.5GHz頻段相對應網路容量的20年使用權。遠傳則透過亞太電信增資50億元，取得鴻海持有的部分亞太電信股份，成為亞太電信的股東之一。<a href="https://www.ithome.com.tw/news/139823" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>國機國造下一階段目標，不只機體設計，連新一代軍用戰機導航、飛控等關鍵系統件都要完全自製</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/web-%E6%BC%A2%E7%BF%94-%E5%9C%961-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影_余至浩</span></p> <p>負責臺灣軍機研發與製造的漢翔航空工業總經理馬萬鈞近日揭露了，臺灣國機國造下一揭階段目標與發展方向，將以實現整機與關鍵系統件的完全自製為目標，並將整合產、官、學、研組成國家隊，共同打造下一代軍用戰機。<a href="https://www.ithome.com.tw/news/139851" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Kotlin新SDK協助開發者建構跨行動平臺應用程式</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Kotlin%E6%96%B0SDK_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Jetbrains.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_ Jetbrains</span></p> <p>程式語言Kotlin開發商推出Kotlin Multiplatform Mobile（KMM） SDK，讓開發者可以在iOS和Android應用程式中，使用相同的商業邏輯程式碼。目前Jetbrains釋出的KMM SDK為Alpha版本，包含Android Studio與CocoaPods套件，讓開發者能夠以熟悉的環境，進行KMM開發。<a href="https://www.ithome.com.tw/news/139821" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟Patch Tuesday修補23個重大漏洞</strong></span></p> <p>微軟釋出9月安全更新以修補一百多個漏洞，其中遭ZDI點名的CVE-2020-16875漏洞，藏匿在Microsoft Exchange伺服器，駭客只要傳送一個特製的郵件就能開採該漏洞，以系統權限自遠端執行任意程式。由於之前類似的漏洞很快就成為駭客的攻擊目標，在有了前車之鑑之後，ZDI將此漏洞列為這波安全更新中的最危險等級，建議企業優先修補。<a href="https://www.ithome.com.tw/news/139876" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國政府要求所有聯邦機構限時公布漏洞揭露政策</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%BC%8F%E6%B4%9E%E6%8F%AD%E9%9C%B2%E6%94%BF%E7%AD%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_CISA.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_CISA</span></p> <p>美國國土安全部旗下的網路安全及基礎設施安全局（CISA），將2020年定義為漏洞管理年，頒布了2項強制命令，訂下各個聯邦機構針對高風險漏洞的修補時限，同時要求各單位制訂漏洞揭露政策。<a href="https://www.ithome.com.tw/news/139797" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>FBI警告：勒索不成就DDoS的攻擊手法正猖獗</strong></span></p> <p>美國聯邦調查局（FBI）及資安業者相繼警告，勒索式的分散式服務阻斷攻擊（Ransom DDoS，RDoS）正在席捲全球企業，估計從今年8月開始，全球就有數千家不同產業的公司收到勒索信件，駭客要求受害企業支付贖金，否則就會發動DDoS攻擊。<a href="https://www.ithome.com.tw/news/139825" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>谷歌結合物理模擬與ML，讓洪水警報發布時間快一倍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%B4%AA%E6%B0%B4%E9%A0%90%E5%A0%B1%E7%B3%BB%E7%B5%B1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p>Google更新洪水預報系統，不再使用複雜且計算密集的物理模擬，而是利用機器學習加速運算，以擴大洪水預測範圍，讓印度與孟加拉政府與民眾，可以提早至一天前就獲得洪水警報，同時掌握洪水深度資訊。<a href="https://www.ithome.com.tw/news/139819" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>對廣告衝擊過大，蘋果延後iOS App新隱私機制</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_iOS%2014_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpeg" style="width: 500px;" /></strong></span></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>在iOS 14及相關OS中，蘋果原先計畫讓用戶有權決定App開發商能否蒐集其IDFA（Identifier for Advertising）資訊，被臉書認定將嚴重影響網路廣告運作模式，目前蘋果決定提供緩衝期，iOS App從明年初開始才會需要取得用戶的追蹤許可。也就是說，這項措施並不會隨iOS 14一起推出。<a href="https://www.ithome.com.tw/news/139835" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>名字太像，微軟把Visual Studio Codespaces併入GitHub Codespaces</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Codespaces_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GitHub.png" style="text-align: center; width: 300px; float: right;" /></p> <div> <p>微軟今年5月把Visual Studio Online改名為Visual Studio Codespaces，巧的是GitHub也同時間釋出GitHub Codespaces的網頁版IDE。Visual Studio Codespaces主打網頁版Visual Studio。而GitHub Codespaces則標榜能夠直接在儲存庫編輯程式碼，並提供VS Code的瀏覽器版本。</p> <p>因為這兩個服務接連發布之後，讓不少用戶感到困惑，加上GitHub社群有5千萬個成員，因此微軟決定結束Visual Studio Codespaces，將其整合到GitHub Codespaces。<a href="https://www.ithome.com.tw/news/139844" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>加州大學開發全球首個隨插即用腦機裝置</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/web-%E5%9C%963_%E8%85%A6%E6%A9%9F%E8%A3%9D%E7%BD%AE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_UCSF.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_UCSF</span></p> <p>加州大學舊金山分校（UCSF）旗下研究所揭露了基於皮質腦電圖（ECoG）陣列的腦機介面（BCI），宣稱它能夠長期且穩定地紀錄腦部神經活動，無需每天重置，堪稱是全球首個隨插即用的腦機裝置。</p> <p>ECoG陣列已被植入一位四肢癱瘓的病患腦部，最初是讓該病患可用來控制義肢，現在則讓病患用來控制螢幕上滑鼠指標的移動，實驗顯示，即使有44天缺乏訓練，病患控制滑鼠指標的能力並未下滑。<a href="https://www.ithome.com.tw/news/139866" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>C++20草案通過，預計今年底正式發布</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/web-%E5%9C%964_C%E5%8A%A0%E5%8A%A020.png" style="width: 500px;" /></p> <p>本月初ISO C++委員會投票通過C++20的國際標準草案（DIS），預計今年底發布。其實ISO即將發布的版本不應該稱為C++20，因為WG21在2月的時候就已經完成技術工作，原因出在疫情干擾以及目前搜尋引擎有大量C++20搜尋結果，讓C++20已經成為產業名稱，讓委員會決定把C++20的發布日期定在2021年且不改版號。從11月之後，委員會便會開始召開全工作組的虛擬會議，以進行下個版本C++23的相關工作。<a href="https://www.ithome.com.tw/news/139863" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>萊迪思半導體推韌體安全方案</strong></span></p> <p>近年來，韌體與供應鏈開始成為常見的網路攻擊面向，市面上也出現一些相關防護解決方案，例如，萊迪思半導體（Lattice）推出韌體安全的Sentry解決方案，強調符合NIST SP 800-193平臺韌體保護恢復標準（Platform Firmware Resiliency，PFR），並通過相關認證，可幫助企業在開發產品時，快速符合NIST PFR的規範，對於韌體安全保護可以不用從頭開始設計。<a href="https://www.ithome.com.tw/news/139902" target="_blank">更多內容</a></p> </div> </div></div></div>
2020/9/13 07:00未署名https://www.ithome.com.tw/news/139951
臺資安研究員在HITCON全球首度公開，如何利用MDM裝置漏洞再度駭入臉書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎期間，許多企業紛紛展開在家上班（WFH）的工作模式，除了透過VPN（私有虛擬網路）連上企業內部的系統外，更普遍遇到的狀況則是，許多公司員工因為沒有配備足夠的筆記型電腦，要求員工自帶裝置（BYOD），利用自家電腦或手機連網辦公。</p> <p>有許多企業為了控管員工的裝置，便採用MDM（行動裝置管理）軟體控管員工手機的鏡頭、麥克風、筆記型電腦等裝置，部署相關應用程式App，也可以安裝憑證，甚至可以在手機遺失時，遠端將行動裝置上鎖或是移除手機裝置中的軟體和資訊。企業透過導入這類MDM軟體，都可以避免當員工使用自家裝置連網到公司內部系統時，不會造成資料或隱私外洩的情況發生。</p> <p>臺灣戴夫寇爾首席資安研究員Orange Tsai則在臺灣駭客年會HITCON 2020中，全球首度對外公開，他分享如何挖掘MobileIron這套財星五百大企業都有採用的MDM軟體的漏洞，於今年六月回報這個漏洞給MobileIron，在該公司釋出修補軟體後15天，再利用該漏洞取得臉書伺服器權限，並回報給臉書的漏洞獎勵計畫（Bug Bounty Program）。</p> <h1><span style="color:#0000FF;"><strong>選定MobileIron研究，因臉書和財星五百大企業都導入</strong></span></h1> <p>幾年前，BYOD議題正熱，也讓許多企業開始導入MDM管理軟體，希望透過管控員工手機裝置的功能，提高員工從外部連網到企業內部的安全性。</p> <p>Orange Tsai指出，這類MDM軟體的特性就是：可以管控員工行動裝置且一定都在企業外部網路，而這種可以從外網進入企業內網的管道，對於要進行企業紅隊演練而作企業資產盤點的資安研究人員而言，就是一個有機會進入企業內網的入口。</p> <p>目前市面上常見的MDM軟體包括VMware AirWatch以及MobileIron等，Orange Tsai表示，選定MobileIron作為研究標的，是因為根據他們對全世界的掃描，至少有15%以上的財星前500大企業使用MobileIron作為管理BYOD的MDM軟體，而這些MDM軟體同時暴露在外網（實際上一定更多）；這同時是臺灣企業使用比例最高的MDM管理軟體；更重要的是，他在2016年駭入臉書時，當時就發現臉書採用MobileIron的MDM解決方案，因此，Orange Tsai便鎖定MobileIron作為研究標的。</p> <h1><span style="color:#0000FF;"><strong>解析MobileIron軟體架構，找到可利用的Hessian反序列化漏洞</strong></span></h1> <p>這幾年有一些資安專家開始針對MDM資安議題做相關研究，不管是駭客利用惡意MDM感染企業75％的行動裝置，或者是有駭客組織利用MDM作為發動攻擊的管道，都讓MDM安全議題逐漸受到重視。</p> <p>Orange Tsai表示，選定MobileIron作為研究標的，第一時間就必須要設法取得相關的韌體等相關資訊，只不過，各種關鍵字蒐集，只找到一個在公開網站根目錄上，發現疑似是2018年開發者測試用的 RPM包，這也是作為研究的第一步。</p> <p>從這個RPM包可以觀察到MobileIron的一些特色，他表示，MobileIron用Java開發，對外開放的連接埠則有作為使用者裝置註冊介面的443埠；作為設備管理介面的8443埠，以及作為和MobileIron私有裝置同步的9997通訊協定埠（MI Protocol）。</p> <p>他說，這三個連接埠都透過TLS（傳輸層安全性）保護連線的安全性及完整性，網頁部分則是採用比較新的架構，透過Apache的Reverse Proxy（反向代理）將連線導至後方，由Tomcat 伺服器部署的Spring MVC框架開發的網頁應用。</p> <p>「採用比較新的架構，意味著傳統SQL Injection的漏洞比較少，要找漏洞就得從程式邏輯搭配架構面的弱點下手。」Orange Tsai發現問題出在提供Web Service的Tomcat伺服器，存在Hessian反序列化漏洞。不過，他也說：「有漏洞不代表可以利用，反序列化不代表可以遠端執行（RCE），」可以觸發MobileIron的Hessian反序列化漏洞，分別存放在8443埠管理介面和443埠使用者介面的路徑中，但一般企業使用的管理介面通常不會放在外網，導致這個路徑的漏洞利用率低，但如果可以找到443埠使用者介面的Hessian反序列化漏洞，就會是很好的切入點。</p> <h1><span style="color:#0000FF;"><strong>新版Java無法使用JNDI注入攻擊</strong></span></h1> <p>根據研究，有四種已經存在的Hessian反序列化漏洞利用方式，是否可以成功利用，主要還是看當前的執行環境有哪一些函式庫（Library）可以利用，包括：可以造成JNDI注入攻擊的Apache XBean、Caucho Resin、Spring AOP，以及會導致遠端程式碼執行RCE的ROME EqualsBean/ToStringBean。</p> <p>Orange Tsai表示，因為MobileIron使用Spring框架，上述四種反序列化漏洞利用方式，只有Spring AOP造成的JNDI注入攻擊可以利用。</p> <p>什麼是JNDI注入攻擊呢？Orange Tsai 表示，這個攻擊手法出現距今差不多五年，這是Java提供的API介面，方便開發者動態存取物件；JNDI注入攻擊和反序列漏洞其實是個別獨立的兩種攻擊方式，但是反序列化漏洞可以借用JNDI注入攻擊，進一步拓展其攻擊面。</p> <p>他進一步指出，這個JNDI注入攻擊手法，其實之前也被利用在趨勢科技命名為Pawn Storm APT組織，也有其他稱之為APT 28或稱Fancy Bear的網軍用來對外發動攻擊的方式。</p> <p>這種「遇到反序列化漏洞就採取JNDI注入攻擊」的方迷思，Java則在2018年10月時，正式修補漏洞編號CVE-2018-3149的JNDI注入攻擊漏洞，透過將com.sun.jndi.ldap.object.trustURLCodebase 預設值更改為False（假）的方式，達到禁止駭客下載遠端Java Bytecode（位元組碼）取得執行程式碼。</p> <p>也就是說，在新版的Java，包括：Java 8u181、7u191和6u201以上的版本，都無法透過JNDI注入攻擊的方式進行遠端執行程式碼。他坦言：「如果MobileIron採用新版的Jave，就無法利用JNDI╱LDAP注入攻擊，也就無法掌握MobileIron的漏洞。」</p> <p>雖然無法直接在新版Jave利用JNDI注入攻擊，但Orange Tsai表示，仍然可以透過Tomcat的BeanFactory去載入ELProcessor達到任意代碼執行的結果。</p> <p>不過，BeanFactory去載入ELProcessor的手法，必須在新版Tomcat 8.0版以上才會成功，而MobileIron使用的是Tomcat 7.x版。Orange Tsai後來發現，如果Tomcat伺服器的ClassPath剛好有 Groovy存在，就可以利用先前發表的Jenkins漏洞利用的手法，串連不同漏洞達到入侵目標伺服器的目的。</p> <h1><span style="color:#0000FF;"><strong>沒必要不修補的舊版元件Groovy漏洞，成為MobileIron致命核心</strong></span></h1> <p>Orange Tsai後來想到，臉書基於安全考量，會禁止所有對外部的非法連線，這對紅隊想要採用JNDI注入攻擊有重大影響，因為，JNDI注入攻擊的核心就是，透過受害者連線到攻擊者控制的惡意伺服器，然後接收回傳的惡意Name Reference後所導致的一系列利用，「現在第一步連線到攻擊者的惡意伺服器都做不到，更遑論進一步的攻擊利用。」他說。</p> <p>因為現有的方式都無法使用JNDI注入攻擊，達到遠端程式碼執行的目的，他表示，整個研究就必須回到最原始找到的Hessian反序列化漏洞，從這個地方重新找到MobileIron可利用的軟體漏洞。</p> <p>Orange Tsai研究各種文獻資料後發現，Groovy是一個只在內部使用、不會對外的小元件，沒有特殊需求時，開發者通常不會做相關的軟體更新，而MobileIron伺服器上的Groovy版本則是2008年的1.5.6舊版本，是一個十二年前還不支援Meta Programming的版本。</p> <p>他比較舊版和新版Groovy差異發現，舊版Groovy沒有ALLOW_RESOLVE的限制，因為這個ALLOW_RESOLVE的限制，其實是Groovy為了因應2015年出現的Java反序列化漏洞所採用的減緩措施，當年也分配到一個CVE-2015-3253漏洞編號。</p> <p>後來Orange Tsai透過檢視Groovy程式碼，找到一個GroovyShell的漏洞利用方式，成為MobileIron軟體弱點攻擊鏈的一環。他說：「這種看似無足輕重的小元件，也可能成為企業被攻擊的主因。」他最後也因為成功找到MobileIron軟體漏洞，利用這個漏洞成功入侵臉書，取得臉書伺服器上的Shell，並順利回報臉書的漏洞獎勵計畫。</p> <h1><span style="color:#0000FF;"><strong>MobileIron釋出漏洞修補軟體，臉書沒有收到漏洞修補資訊</strong></span></h1> <p>Orange Tsai花了三個月完成整個漏洞研究，在4月3日將研究成果寫成報告，並試圖將漏洞回報給MobileIron。只不過一剛開始找遍MobileIron整個官網，找不到任何漏洞回報的通報窗口，後來是透過LinkIn發信給MobileIron高階主管後，對方才提供<a href="mailto:[email protected]">[email protected]</a>管道，讓他回報此一軟體漏洞。</p> <p>MobileIron在6月15日釋出修補程式，也記錄三個CVE漏洞標號，包括：CVE-2020-15505（Remote Code Execution，遠端代碼執行漏洞）、CVE-2020-15506（Authentication Bypass，繞過認證漏洞）和CVE-2020-15507（Arbitrary File Reading，任意讀檔漏洞）。</p> <p>Orange Tsai在官方釋出修補程式後，同時監控所有使用MobileIron企業的漏洞修補狀況，並透過檢查靜態檔案的Last-Modified Header追蹤修補進度，在官方釋出修補軟體一個月後，大約有六成企業已經完成相關軟體修補；釋出修補軟體二個月後，大約有八成企業完成相關軟體修補。</p> <p>不過，臉書在MobileIron釋出修補軟體的15天後，都還沒有修補該漏洞，Orange Tsai則在7月2日利用MDM漏洞進入臉書伺服器後，再回報臉書漏洞獎勵計畫，但臉書後來則表示，他們並未收到MobileIron的漏洞修補信件，這才讓MDM成為Orange Tsai順利入侵臉書伺服器的關鍵漏洞。</p> </div></div></div>
2020/9/12 17:36作者黃彥棻https://www.ithome.com.tw/news/139966
疫情下臺灣的隱私保護現況如何？政府與醫界專家給出更深入的答案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應疫情，臺灣防疫措施做了相當多，其中各類資訊系統將疫情相關資訊彙整，帶來的效果相當顯著，不論是從入境開始要旅客填寫的電子表單，有時會發防疫手機進行追蹤，後續還有電子圍籬的機制，以及基地台足跡追蹤，此外還有像是口罩分配，入出境資料，職業別註記等，然而，這些幫助疫調的辦法也不時就引起隱私權的爭議。今日（11日）舉辦的HITCON 2020（臺灣駭客年會），也關注這樣的議題，並在其中一場論壇聚焦於此，是由政府、醫界與重視隱私權的專家們主講，當中不乏民眾想知道的許多事，包括政府防疫個資蒐集是否建立退場機制，與健保卡相關隱私權等爭議。</p> <h2><strong>對於因應疫情的個人資料蒐集，資安處已函文要求機關單位盤點</strong></h2> <p>關於外界關注防疫個資的問題，在這場論壇中，身為與談人之一的行政院資通安全處處長簡宏偉，揭露了最新的現況與進度。他說，資安處在8月初已函文各機關及縣市政府，請他們盤點在防疫期間，非本身業務執掌，而另外蒐集的資料。這是一份很細的表格，包含檔案、資料庫與列印出的文件，需盤點出並回覆至資安處。因此，資安處將以此為基準，要各單位在有效期過後需刪除。</p> <p>雖然相關立法院附帶決議中，是要求疫情結束開始刪，但簡宏偉指出，其實資安處從現在開始就已經要求各部會盤點，包括蒐集日期與有效期，時間一到就得刪除。</p> <p>此外，他也以手機定位資訊為例，這項機制是居家檢疫跟居家隔離的14天內，掌握對象是否跑出圍籬，只要檢疫或隔離期間一到，資料其實就會刪除，而在健保署方面，他們更是從4月就開始要求，往前28天的資料都要刪除。</p> <p>同時，他也強調，像是入境資料傳送到健保署，這是因為疫情的關係，這並不是一個常態性作法。而且，政府機關對於對於跨部會資料的管控嚴格，每個機關所蒐集的資料都有法律授權，例如，內政部的戶政資料，是因為有戶政相關的法規，衛福部也是有健保相關的法規，如果某機關要使用不屬於本身業務執掌的資料，資料的提供機關就會去查核，對方是否真的這個需求。</p> <p>簡宏偉再舉一例，他說，在疫情之前，有很多人會抱怨政府明明都有資料，為什麼不能讓政府資料彼此連結，然後提供更好的服務，讓民眾無需一再提供資料，這也就是因為各部會基於業務執掌，資料蒐集機關沒有授權使用的關係。</p> <p>特別的是，這場論壇的主持人李柏鋒更是追問了一個社會也應關心的議題，那就是民眾查詢個人資料的可能性。他說，根據個人資料保護法，民眾有查詢更正刪除的權利，雖然現在政府主動刪除值得稱讚，不過像是之前偽出國的新聞事件，有民眾因此資料被登記為出國，直到新聞曝光才修正回來，因此，未來是否有機會讓民眾個人，可以查詢我們有那些資料被儲存呢？這個問題在會中沒有給出答案，但簡宏偉認為，只要是屬於民眾自己本身的資料，應該都要可以查自己的資料。</p> <p>對此，衛生福利部資訊處處長龐一鳴也表示，以戶政資料為例，健保單位若要查身分資料，包括長照、身障，以及親屬等相關查詢，就要到內政部依法審查，政府這方面的要求是相當嚴格。他舉例，像是前陣子小朋友家暴的案例，要找到相關家屬，就跟內政部溝通許久，說明符合社會公共利益需求。相對地，其他機關要查健保資料，也都要有法源依據。</p> <h2><strong>健保卡有那些隱私權爭議？連線追查出入境資料及病患隱私權</strong></h2> <p>對於健保卡入境資料的查詢，透過健保與出入境管理局合作，因此，醫院與診所只要插入健保卡時，就可以查到出入境資料，不過發生有人故意不帶健保卡的狀況，導致後來開放身分證也能查詢，那麼，現在國內疫情穩定，是否也會將條件限縮回只能用健保卡查詢呢？</p> <p>對於主持人李柏鋒的提問，龐一鳴表示，目前他認為這主要還是依照疫情程度來判斷，目前應該還是維持現況。對於是否能夠像愛沙尼亞的案例一樣，可以讓所有人查資料時都能留下記錄？龐一鳴指出，事實上，從機場入境到民政的資料，所有流程都已經是查詢Log記錄存在。</p> <p>特別的是，李柏鋒再以愛沙尼亞的情境為例，指出國內缺少「知情同意」的問題，例如，一旦醫生是跨院所調病例，病人手機將出現同意選項，需按下同意資料才能被調閱，未來臺灣會不會補強這個面向？對此，龐一鳴提到目前法規設計上有兩種，以第一種而言，若民眾不願意讓他人知道醫療記錄，其實可以設定密碼，他並解釋相關細節，在健保卡的晶片上，其實有三個區域，包括：一般公開資料區、醫療區與公共衛生區，如果設了密碼，後兩個區域就鎖上了。而過去健保局其實有設KIOSK機器，讓民眾可以查詢，但後來因機器缺少經費維護，現在是要健保局臨櫃辦理；在第二種，方式比較簡單，因為大部分醫院是用預先下載告知的作法，而預先下載記錄也要取得病人書面同意，因此，用戶不簽同意書即可。</p> <p>此外，健保卡還有不少討論面向，例如，龐一鳴提到，其實健保卡資料不是單純插進去就可以讀取到，還要醫師卡甚至組織卡。而李柏鋒也已醫師立場來說，其實是比較贊成可以直接讀到醫療記錄，但他也認為，有特殊疾病的病人，其實還是不希望被知道病例史，像是愛滋病等。這也反映了資料在方便與隱私之間的兩難。</p> <h2><strong>這是公共健康安全與個人隱私上的拔河</strong></h2> <p>再從不同面向來看，像是根據傳染病防制法，防疫醫師處理到很多醫療資料，這方面的隱私保護又那些作為？對此，衛生福利部疾病管制署防疫醫師劉宇倫說表示，由於一開始無法得知疾病全貌，他們因此沒有做出適用的問卷表單，因此他們都是紙本問卷去做記錄，資料處理上會將性別與ID另外存放，只留下一組對應的編號。特別的是，他們早期將旅遊史相關情資提供法國的經驗中，當時對於資料交換也有考量安全，將將個資行程等情報提供，也都會將文件檔案加上一定程度的密碼。</p> <p>關於居住者追蹤調查上，政府資料串連給他們很大的幫助，讓他們能在最短時間，聯繫到接觸者，以及需要居家隔離檢疫或採檢的民眾，而他也提到公布足跡的最大挑戰，就是公共健康安全與個人隱私上的拔河，有兩次採取大動作是因為人數過多，如果要靠公共衛生人員去查，可能要花上一個月的時間才能找到人。第一次是鑽石公主號，為掌握下船旅客動向，所以先掌握旅行社，並透過監視器找到計程車，確認旅客去了那些景點，並使用系統廣播的方式通知，隨著對於疾病更多的瞭解，第二次磐石艦採取的就是使用簡訊基地臺，藉由掌握是否使用到同樣基地臺來通知民眾。但這也有人認為是有一點侵犯到隱私。</p> <h2><strong>My Data議題正夯，未來政府能否從健保卡做起，讓民眾清楚個人資料的掌控</strong></h2> <p>最後，論壇中還有一個我們認為很重要的點，就是民眾是否能夠清楚政府的種種動作。例如，MY Data Taiwan秘書長鐘婉嘉表示，從這場論壇討論中，他才知道原來民眾透過健保快易通，可以查到很多我們本身的資料，她認為，現在政府能做的事，應該是「從政府擁有我的那些資料」開始。</p> <p>鐘婉嘉指出，以歐洲倡議的方向為例，民眾對於個人資料要有警覺性、控制權與掌控權，這並不是要政府都不可使用我的資料，而是我想要知道政府用了我那些資料，又可以給我什麼樣的服務。</p> <p>他認為，政府可以舉辦座談會，或是透過製作宣導網頁教學，先讓民眾知道，自己透過健保卡可以得到那些資料，以及這些資料可能備用在那些服務上，一旦大家知道，也可以幫助個人做一些健康的控管。</p> <p> </p> </div></div></div>
2020/9/11 22:15作者羅正漢https://www.ithome.com.tw/news/139965
中華電信5G關鍵基礎建設首次曝光! 靠C-RAN機房集中管理多個基地臺，提高網路穩定度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信今年6月底搶先宣布5G開臺，今天(9/11)首次公開5G C-RAN(Centralized-RAN)機房，透過集中化管理基頻模組(BaseBand Unit，BBU)可降低用電成本，透過集中管理調度，可降低單一基地臺故障的風險。</p> <p>傳統上，4G基地臺是由射頻模組(Remote Radio Unit，RRU)和基頻模組組成，RRU射頻模組主要負責不同頻段的無線電波發射，BBU基頻模組則負責彙集不同頻段的RRU設備，再傳送至後端的核心網路(EPC)，由於BBU和RRU在一起的分散式RAN(D-RAN)架構，每個BBU需要空調，增加空調用電外，維修上也造成不便，例如玉山基地臺的BBU若發生故障，就得派工程師至玉山維修，而在都市地區的基地臺也可能需要進入民房維修，導致維護成本提高。</p> <p>今天中華電信首度展示的C-RAN機房，為集中化的無線接存網路架構，將基地臺的RRU與BBU分離，並將多個基地臺的BBU集中在C-RAN機房一起管理，透過光纖和各地的RRU連接，今天公開的淡水地區5G C-RAN機房集中管理周遭地區25個基地臺的BBU基頻模組，因國內5G現為NSA非獨立組網架構，5G基地臺後端仍仰賴4G核網作信令傳輸，因此這座機房不僅集中控管5G基地臺的BBU，還包括4G基地臺的BBU。</p> <p>為了讓5G基地臺能夠和現有的4G共同組網，中華電信採取先建後拆的策略，先建置5G基站，再升級現有4G基站的軟硬體，因升級過程不可避免的影響4G基地臺的運作，為降低影響性，他們在訊務離峰時間進行升級。</p> <p>目前國際上包括美國、日本、韓國已有電信業者採用C-RAN架構。中華電信強調C-RAN集中各基地臺的BBU於機房內，能在較穩定的環境運作，一方面減少故障率，另方面BBU間透過容量共用，降低訊務尖峰的雍塞情形，同時也能節省空調耗電及空間。</p> <p>儘管採用C-RAN架構的初期建置成本約提高10%，但中華電信執行副總經理林榮賜指出，C-RAN的部署方式好處在後頭，原本分散的BBU集中至機房，透過機房的空調控制室溫，估計可省下20%的電費。當某個BBU發生故障時，不需再派工至各地的基地臺維修，直接在機房就能維護外，還可動態調度其他BBU支援，降低故障導致服務停擺的風險。</p> <p>目前中華電信約有三千座5G基地臺，已有100多座C-RAN架構機房，依機房規模不同，除了淡水的C-RAN機房為中型機房，集中管理25座基地臺的BBU外，大型C-RAN機房甚至可集中50到60個BBU，要將各個基地臺的BBU集中管理，需要密集的光纖網路，是中華電信推動C-RAN架構5G機房的優勢。</p> <p>因先前曾發生過中國人士進入電信機房拍照，中華電信嚴格管理機房安全，要求人員出入都需要登記身分資料，並代為保管個人手機，參觀機房內設置動線，限制隨意走動，全程也禁止拍照及錄影，連淡水機房頂樓的基地站也禁止拍照。</p> <p>今天公開展示的這座C-RAN機房，為固定網路與行動網路的整合機房，在機架上可以看到4G和5G的BBU基頻模組一排排設置，若有單一的4G基地臺BBU發生故障，可以自動由另一個4G BBU支援，5G BBU故障也是如此。</p> <p>林榮賜表示，從4G傳統的D-RAN架構，發展到5G的C-RAN架構，先集中管理BBU，未來才能朝向虛擬化調度資源的O-RAN發展，中華電信目前還沒有進入O-RAN的時間表，但在國外已有樂天行動宣稱採用虛擬化的V-RAN技術。</p> <p>對於5G開臺之後，有用戶反映4G上網速度似乎變慢，中華電信強調是因為網路使用提高的緣故，由於肺炎疫情影響，許多用戶在家少出門，提高網路的使用，以寬頻網路為例，約提高3成，行動網路也看到類似的情形，中華電信正擴展網路改善用戶體驗。</p> <p>目前中華電信約建置3千座5G基地臺，由於加速網路建設，年底預期將可超越既定的4千座基地臺目標，涵蓋至六都核心區域，全國的重要商圈、高鐵沿線及捷運區域。明年計畫擴大至8千座基地臺，甚至可能挑戰一萬座基地臺。</p> <p>國內5G甫開臺不久，日前國發會公布前瞻基礎建設2.0計畫，將5G基礎建設被列入重要項目之一，包括協助營運商加速基地臺布建，以及偏鄉地區5G建設。</p> <p>NCC副主委翁柏宗表示，NCC將以266.5億元，補助電信業者加速5G建設，補助的原則是加速加量，電信營運商必須完成事業計畫書中承諾每年建設的5G基地臺數量，或是業者提早完成承諾的建設數量，符合這些條件才能獲得補助，以一座5G基地臺300萬元為例，NCC最高可補助49%，即140多萬元，加快業者5G基地臺建設的速度。此外，NCC也會鼓勵電信業者採用國產5G相關設備。</p> </div></div></div>
2020/9/11 19:54作者蘇文彬https://www.ithome.com.tw/news/139961
Zoom為企業用戶帳號加入雙因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在年初因爆紅被揭發一連串隱私問題與資安漏洞，而承諾要提升自家雲端視訊產品安全的Zoom，<a href="https://blog.zoom.us/secure-your-zoom-account-with-two-factor-authentication/" target="_blank">本周宣布</a>為企業用戶帳號加入雙因素驗證（2FA）支援。</p> <p>2FA或多因素驗證機制一旦開啟，就會要求用戶登入前提供2種以上的憑證，像是密碼、智慧卡或手機、指紋或聲音來證明他是帳號持有人。企業Zoom平臺實作2FA最大好處是可增加一層保護，防止密碼被猜出、或員工（或學校學生）裝置被人存取後，遭盜用帳號。企業或學校還能滿足資料保管的法規要求、免於密碼管理的麻煩。對企業或學校來說，由於這項功能免費提供Zoom使用者驗證，也讓客戶省了一筆導入單一簽入（SSO）方案的費用。</p> <p>針對2FA，Zoom支援SAML、OAuth及密碼驗證方式，也允許開啟或關閉。企業啟用2FA時，可以選擇使用支援一次性密碼（one-time password）協定的App，如Google Authentication、Microsoft Authenticator或FreeOTP，或是要求Zoom傳送簡訊密碼作為第二項登入憑證。</p> <p>至於2FA的啟用方式，管理員可以循Zoom控制中心>進入「選單」>點選「進階」>「安全性」，找到「以雙因素驗證登入」選項後開啟。他們可以選擇是企業帳號下所有用戶全部開啟，或是僅針對特定角色開啟。</p> <p>之前Zoom在6月宣布加入<a href="https://www.ithome.com.tw/news/138310" target="_blank">訊息全程加密</a>，原本只提供給企業版，不過兩周後就宣布免費版本也獲得全程加密。</p> </div></div></div>
2020/9/11 17:20作者林妍溱https://www.ithome.com.tw/news/139954
OpenJDK程式碼管理系統改用Git
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenJDK原本在Mercurial的jdk/jdk和jdk/sandbox儲存庫，現在已經<a href="https://mail.openjdk.java.net/pipermail/jdk-dev/2020-September/004694.html">完成轉換</a>到Git、GitHub和Skara，Git上的jdk以及jdk-sandbox儲存庫已經開放貢獻者使用。</p> <p>轉換之後，想要參與OpenJDK貢獻的開發人員，也就不需要額外學習Mercurial的使用方式，能以熟悉的方式參與開發。Skara是一個專案名稱，目標是研究使用基於Git而非Mercurial的方法，對JDK原始碼進行程式碼控制以及審查，並且將程式碼託管在第三方。</p> <p>現在從Mercurial到Git、GitHub和Skara的轉換工作已經完成，官方也在Wiki詳細說明了要上手新系統的須知，並且強調，OpenJDK的作者、提交者與審查者，要確實將GitHub使用者名稱與OpenJDK使用者名稱相關聯，如此伺服器端的工具才能將用戶的GitHub身份，成功辨識為OpenJDK中的對應身份。</p> <p>部分需要在JDK Updates專案進行開發工作的貢獻者，仍會繼續操作Mercurial儲存庫，也可以使用，不過因為Skara CLI工具向後相容，因此這些開發者也可以使用新工具，Skara CLI會負責Mercurial和Git的轉換工作，包括將Git修復程式匯入到Mercurial中。</p> <p>官方提到，因為儲存庫搬遷是一項大工程，可能出現一些錯誤與缺失，還需要社群回饋修正。</p> </div></div></div>
2020/9/11 17:25作者李建興https://www.ithome.com.tw/news/139950
副總統賴清德首度於HITCON 2020致詞，鼓勵駭客與政府合作，提高資安產值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎造成全球許多資安會議全部變成線上會議，HITCON 2020（臺灣駭客年會）從原本考慮舉辦線上會議，後來因為臺灣防疫有成，於9月11日～12日舉辦時，除了在中研院舉辦實體會議外，也同步提供線上票，讓海外會眾也可以連線參與外，HITCON更首度將鎖定社群分享資安技術的HITCON CMT以及強調企業資安的HITCON Pacific合而為一。</p> <p>副總統賴清德今日（11日）也代表總統於大會致詞表示，政府希望可以推動社群與政府和企業的合作，讓成熟的資安專家有機會創業，產官學研共同合作，「預計到2025年資安產業產值可以達到780億元。」他說。</p> <h1><span style="color:#0000FF;"><strong>鼓勵駭客與政府合作，未來創業成為資安產業一員</strong></span></h1> <p>賴清德指出，小英總統第一任任期開始，就揭櫫「資安即國安」的政策目標，首任行政院長林全在院長任內成立資安處，到賴清德擔任第二任行政院長時，因為全球化是必然趨勢，智慧國家更是未來發展方向，在這個過程中，落實資安則是必然的，並在任內則通過《資通安全管理法》；蘇貞昌接任第三任行政院長任內，則透過舉辦資安高峰論壇和「資訊安全產業發展行動方案」，希望結合臺灣包括半導體、ICT、電信產業的優勢，可以活絡資安產業發展，同時，藉由建置產品淬鍊場域並接軌國際、行銷全球，預估到2025年，資安產業產值可達到780億元規模。</p> <p>2019年11月，總接見HITCON CTF戰隊和BFKinesiS戰隊成員，當時總統也回應戰隊對資安人才培育與知識傳承的期待。這也讓賴清德開始思考，政府是秩序維護者，駭客挑戰和追求自由，駭客可能跟政府合作嗎？但從臺灣駭客協會網站寫到「具備高超技術、又有挑戰精神，就是駭客」，可以看到政府和駭客的確有合作的可能性。</p> <p>賴清德指出，包括政府和金融單位都有很多機敏資料，政府和駭客的合作，可以從紅隊演練以及漏洞獎勵計畫來看，由駭客組成的紅隊攻擊政府，並且舉辦漏洞獎勵計畫，鼓勵駭客來找政府和金融單位系統的漏洞並給予獎金，幾次之後，這些有能力、有經驗的駭客就可以出去創業，也成為資安產業的一員，也可接政府的資安專案、共同維護政府資安，這就是產官學研的合作，未來也可以持續合作、共創多贏局面。</p> <h1><span style="color:#0000FF;"><strong>整合實體線上議程，引進Village概念</strong></span></h1> <p>HITCON 2020總召陳伯堯（Sean Chen）表示，受到武漢肺炎影響，許多國家都封城，臺灣因為防疫有成，不僅可以舉辦實體資安會議，更首度搭配線上會議提供給海外會眾共同參與，線上票人次超過1,500人，同時也結合社群CMT和企業資安的Pacific場次，這是HITCON 2020的第一大特色。</p> <p>第二個特色就是，hitcoN 2020今年新增企業高峰論壇，從2020年遭遇到的五大難題入手，包括：「金融業如何迎擊數位戰場的第一道烽火」、「主動式資安防禦策略，解決OT資安相依性風險」、「如何兼顧疫情控制與隱私保護」、「疫情後資安人才培育的挑戰與契機」和「人工智慧能否位人類指引網路攻防的基石」。</p> <p>第三個特色就是首度引進DEF CON的Village的概念。陳伯堯表示，這次的Village有賴許多社群支持，有包括TDOH Village、5G Village以及一整天的CTI Village；也有以印鈔公司為故事背景的完整滲透流程、主打「來對我釣魚吧」的社交工程體驗；另外還有包括：Hacking 101、Capture The Flag、IoT Hacking 101、Router議題、Side Channel Attack（旁通道攻擊）、惡意程式分析、Life Hacking和技術分享等。</p> <p>最後，大會的主視覺則結合疫情主題，他指出，希望讓會眾感受到今年主題Herd Immunity for Cybersecurity（網路安全的群體免疫），也可以結合社群和企業的力量，打造臺灣對於資安的群體免疫力。</p> <h1><span style="color:#0000FF;"><strong>議題囊括漏洞挖掘等四大主軸，Orange再度駭入臉書經驗全球首發</strong></span></h1> <p>HITCON 2020副總召鄭仲倫（Mars Cheng）表示，今年HITCON議程分成四大主軸，包括漏洞挖掘、威脅分析、關鍵基礎設施以及企業資安政策。他表示，今年除了曾經連續三年投稿Black Hat和DEF CON會議的戴夫寇爾資深資安研究員Orange Tsai，於HITCON 2020全球首度發表「How I Hacked Facebook Again！」，不只分享再度駭入臉書的經驗外，更是詳細分享駭客思維模式，對於鼓勵漏洞挖掘的駭客思維有幫助。</p> <p>鄭仲倫表示，今年更是有史以來，最多黑帽議程（Black Hat UAS）投稿入選演講者最多的一年。黑帽議程包括：奧義智慧資安研究員陳仲寬、林昆立和姜尚德針對臺灣半導體產業遭遇的大規模APT攻擊的分析始末「APT Chimera - Operation targets Semiconductor Vendors」；HITCON CTF成員趙正宇（Jeffxx）透過USB利用多個漏洞突破防護，成功取得三星手機Galaxy S10的手機控制權「Breaking Samsung's Root of Trust: Exploiting Samsung S10 Secure Boot」；以及趨勢科技資深威脅研究員Federico Maggi針對多間工業機械手臂的攻擊、惡意利用的案例分享，也提供防禦建議「Guarding the Factory Floor: Catching Insecure Industrial Robot Programs」。</p> <h1><span style="color:#0000FF;"><strong>推出線上密室脫逃和練蠱大會，增加會眾互動</strong></span></h1> <p>HITCON 2020副總召陳立中（John Chen）則負責所有線上活動，當駭客逐網路而居，HITCON 2020也提供純線上的網路活動，讓購買線上票種的會眾，除了可以聽議程，也可以透過活動和會眾參與。他表示，把去年的密室逃脫活動轉成線上版，也結合Minecraft密室逃脫與CTF遊戲體驗，在加上FPS刺激結尾，挑戰參賽者的知識與反應，讓所有參賽者能有機會展現文武雙全的實力，拔得頭籌後也能獲得對應的獎勵。</p> <p>另外，陳立中指出，今年也有「線上練蠱大會」，打造一個虛擬機，，讓駭客透過指令可以在獨立環境鬥智，就是說，參賽者透過指定的 IRC 頻道執行自己撰寫的指令，將特殊字串綁定到任意 port 上，活得越久分數越高，可獲得相應的代幣獎勵；大會更再度推出HITCON Token數位虛擬貨幣，也推薦Chrome擴充套件及使用說明，或者可以使用習慣的介面來管理錢包。</p> </div></div></div>
2020/9/11 16:56作者黃彥棻https://www.ithome.com.tw/news/139952
微軟：中國、伊朗、俄羅斯國家級駭客干擾美國大選
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國官方及民間不斷發現和外國政府有關的駭客攻擊介入美國政治。<a href="https://blogs.microsoft.com/on-the-issues/2020/09/10/cyberattacks-us-elections-trump-biden/" target="_blank">微軟昨（10）日表示</a>，他們再度偵測到來自中國、俄羅斯及伊朗的駭客攻擊行動，企圖影響總統大選。</p> <p>微軟客戶安全暨信賴部門企業副總裁Tom Burt指出，該公司最近幾周偵測並成功阻止針對美國總統大選競選活動相關人員和組織的攻擊行動。</p> <p>首先，曾被指為2016年入侵民主黨伺服器主嫌的俄羅斯Strontium，又再次榜上有名。微軟指出，這個駭客組織從2018年9月迄今已接連發動數項攻擊，和2016年時一樣，Strontium仍然透過釣魚信件攻擊駭入目標對象帳號，以竊取情報或搞破壞，此外也使用暴力破解、密碼潑灑（password spray）手法駭入帳號，還會大量輪替使用IP及Tor服務隱匿其攻擊來源。</p> <p>今年以來Strontium攻擊了超過200個和大選有關的組織，包括兩黨顧問、智庫、政黨組織及英國的歐洲人民黨及其他政黨。此外也攻擊醫院、製造業、金融及實體保全業。</p> <p>微軟也點名中國駭客組織Zirconium從今年發動數千次攻擊，並成功造成近150次系統駭入，受害者包括拜登競選團隊人員、至少1名前川普政府重要官員，以及10多個國際事務組及15所大學的重要人士。</p> <p>Zirconium的手法是利用在購買的網域或熱門網頁內容中加入網頁信標（web beacon），然後對特定目標帳號發送包含URL的電子郵件或附檔。這些內容本身可能無害，但網頁中的信標可使 Zirconium得知使用者有沒有登入這些網站，藉此判斷特定目標是否有效。</p> <p>伊朗的Phosphorus向來針對中東地區人權運動者或異議人士進行間諜行動。去年微軟曾經掃蕩過<a href="https://www.ithome.com.tw/news/129647" target="_blank">Phosphorus</a>為干擾美國大選設立的伺服器網路，但今年5、6月間，Phosphorus又試圖登入美國政府官員及川普競選陣營員工郵件帳號，對此微軟關閉了Phosphorus使用的155個網域。</p> <p>微軟此次宣布的三個駭客來源國家，也反映在美國政府上個月公布的<a href="https://www.ithome.com.tw/news/139306" target="_blank">攻擊事件報告</a>。</p> </div></div></div>
2020/9/11 14:05作者林妍溱https://www.ithome.com.tw/news/139949
Amazon Alexa獲臉書、Garmin、小米支援，現在可聲控列印
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon去年宣布語言相容性倡議（voice interoperability initiatives），昨（10）日公布最新結果，<a href="https://developer.amazon.com/en-US/blogs/alexa/device-makers/2020/09/vii-announcement-new-members-and-multi-agent-desigh-guide?tag=theverge02-20">包括</a>招攬到臉書、小米、Garmin等重量級夥伴支援其語音助理Alexa。</p> <p>去年9月Amazon宣布VII，有30多家廠商加入。合作方式包括打造支援Alexa的裝置、開發Alexa為基礎的語音助理以整合其他服務、在單一裝置上整合多個語音助理、以及加速開發機器學習與對話式AI研究。一年後，合作夥伴到達77家，包括38家新增廠商。</p> <p>新增廠商最知名者像是杜比音響（Dolby）、臉書、Garmin及小米，在臉書智慧螢幕Portal家族、小米智慧家庭產品系列、Garmin的GPS裝置、杜比的Atmos智慧喇叭整合Alexa控制以允許聲控。</p> <p>此外，在回應臉書等合作夥伴要求下，Amazon也公布<a href="https://build.amazonalexadev.com/VII_Multi_Agent_Design_Guide.html">多代理設計指引</a>，以便單一裝置可以同時支援多種語音助理。這份指引也涵括隱私安全、呼叫語音代理程式等主題。</p> <p>與此呼應的是，為了促進智慧家庭服務，包括語音助理跨平臺互通，Amazon去年和Google、蘋果及Zigbee聯盟合作Connected Home over IP專案共推相容規格。本周Zigbee聯盟<a href="https://www.ithome.com.tw/news/139882">預告</a>今年底可望推出規格草案，明年釋出正式版。</p> <p>Amazon昨日同時<a href="https://www.amazon.com/b/ref=br_imp?_encoding=UTF8&node=19820259011">宣布</a>Alexa Print功能。這項功能可讓使用者對Echo下達指令列印出內容。除了Alexa彙整出的使用者待辦事項、行事曆外，Amazon也和第三方單位，像是食譜出版商、洛杉磯時報、教學內容廠商等合作，允許使用者列印食譜、新聞、以及教學表單、塗色畫本、填字遊戲等。</p> <p>不過這項服務需要搭配支援網際網路列印協定（internet printing protocol，IPP）的現代印表機。使用者只要具備HP、Canon、Epson或Brother的相容印表機，說「Alexa，discover my printer」即可自動設定網路印表機完成列印工作。</p> </div></div></div>
2020/9/11 12:35作者林妍溱https://www.ithome.com.tw/news/139947
臉書推出大學生限定的社交平臺Campus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書最早就是CEO祖克柏和同學建立的哈佛學生專屬的社交平臺，如今在成為用戶26億的全球網路龍頭後，又回到起點的校園，於昨（10）日宣布大學生限定的Facebook 社交平臺<a href="https://about.fb.com/news/2020/09/introducing-facebook-campus/" target="_blank">Facebook Campus</a>，讓大學生彼此聯繫、分享相片或通訊。</p> <p>Facebook Campus是臉書App的專門區塊，使用者必須以學校電子郵件和畢業年份來建立Campus個人資料夾。臉書主要資料夾中的姓名、相片、封面、家鄉等資訊會被帶到Campus中，但使用者可以編輯家鄉部分，也可以額外輸入主修、輔修、班級。Campus的個人資料夾和主要的臉書個人資料夾分開，而在Campus上分享的內容或通訊，也只有Campus友人可以看到。</p> <p>建好個人資料夾後，學生即可開始使用Campus，包括以宿舍、社團或群組為單位的聊天室、專屬該校的社團（Groups）群組和活動（Events）區，後者供同學取得相關訊息或建立研究社團、規畫線上活動，或和社團及活動成員聯繫。此外Campus也提供通訊錄（directory），一如最初的臉書，可供使用者按照班級、主修、學年等條件尋找同學。</p> <p>為強化隱私，Campus上的大學社團和活動僅限同校學生加入。特定大學粉絲專頁可以加入Campus上的社團和活動，但是無法使用聊天或通訊錄。此外，雖然使用者可利用Campus通訊錄尋找到同學，相對的，使用者也可以封鎖他人。在臉書上被封鎖的人也無法在Campus找到他。臉書也強調用戶可以隨時刪掉Campus個人資料夾，或是在活動紀錄設定中刪除在群組中的留言、貼文和活動紀錄。</p> <p>現階段這項功能僅提供美國部份大學使用，包括約翰霍普金斯大學、杜克大學、萊斯大學等30所大學（不過沒有祖克柏的母校哈佛大學），這些學校的學生可以在臉書App中找到Facebook Campus功能。</p> </div></div></div>
2020/9/11 12:45作者林妍溱https://www.ithome.com.tw/news/139948
Google推出虛擬活動平臺Fundo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不然<a href="https://www.ithome.com.tw/news/139430" target="_blank">臉書</a>專美於前，Google旗下育成中心Area 120也在本周發表了虛擬活動平臺<a href="https://fundo.town/fundo/#/featured" target="_blank">Fundo</a>，而且標榜不管是主持人或來賓都不需下載任何程式及軟體，只要連上Fundo網站就能參與活動。不過，根據<a href="https://variety.com/2020/digital/news/fundo-google-area-120-paid-events-1234763389/" target="_blank">Variety</a>的報導，舉凡是在該平臺上舉行付費活動，Google都會抽取20%的佣金。</p> <p>臉書是在上個月針對粉絲頁提供了線上付費活動功能，也宣布至少到明年都不會向粉絲頁抽取佣金。而Fundo封測版也是在去年上線，當時服務的對象主要是YouTuber，而本周則開放美國與加拿大的創作者使用，而且不限YouTuber，也歡迎作者、健身教練或商業顧問等其他需要舉辦活動的使用者加入。</p> <p>目前<a href="https://fundo.town/fundo/#/featured" target="_blank">Fundo官網</a>已有許多活動，從講習課程、見面會或一對一交談等，類別則從學習、美妝、健身到與偶像見面。</p> <p>Fundo總經理John Gregg表示，Fundo的宗旨是建構一個虛擬活動與虛擬體驗的平臺，而且專為創作者所設計，該平臺上的所有活動都是即時且可互動，也能利用視訊聊天來營造碰面的情境，且只要透過手機或電腦就能進行；該平臺允許活動主持人設定入場券的票價或折扣條件，也可推出免費活動。</p> <p>Gregg說明，儘管Fundo的初衷並不是為了因應武漢肺炎（COVID-19）疫情，但現在看來，在網路上提供一個有意義的體驗變得更重要了，未來該平臺將會拓展至更多的國家。</p> </div></div></div>
2020/9/11 11:10作者陳曉莉https://www.ithome.com.tw/news/139933
臉書、杜比和Garmin都加入Amazon為首的AI語音相容計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Amazon發起，在去年跟微軟、Salesforce、百度等多家廠商，一起推出的<a href="https://developer.amazon.com/en-US/blogs/alexa/device-makers/2020/09/vii-announcement-new-members-and-multi-agent-desigh-guide">人工智慧語音相容計畫（Voice Interoperability Initiative）</a>，透過制定規範使裝置可支援多個語音服務，現在這項計畫的成員陣容越來越壯大，加入了臉書、杜比（Dolby）、Garmin和小米等廠商，目前成員數量已經超過70名。另外，Amazon還收集計畫成員的建議和最佳做法，發布了第1版多代理設計指南（Multi-Agent Design Guide）。</p> <p>人工智慧語音相容計畫的目的，是要在單個裝置上，同時支援多個語音代理，讓用戶擁有更靈活的選擇，其主要有4個優先準則，首先是讓語音裝置能夠接受多個喚醒詞；而且必須在保護用戶隱私安全的前提下，與其他語音助理能無縫協作；透過遵守共同的標準，讓製造商在同一個裝置上更容易整合多個語音代理；還有藉由成員間的合作，加速機器學習和對話人工智慧的研究，改善語音服務的品質與互通性。</p> <p>過去一整年有臉書、杜比（Dolby）、Garmin和小米等38個新成員加入人工智慧語音相容計畫，成員總數達到了77個，其中包括消費電子、汽車製造、電信、硬體製造和系統整合等各領域廠商，臉書提到，在視訊裝置Portal上內建語音助理Alexa，讓用戶得以控制智慧家庭裝置和使用Skills，不只Portal能夠提供更多功能，還能提升用戶的使用體驗。</p> <p>另外，Amazon還發布了第1版多代理設計指南，其提供多個語音代理裝置的建議和最佳做法。該指南收集許多裝置製造商，生產支援多語音代理產品的設計建議，內容總共涵蓋3個領域，分別是用戶選擇與代理啟用、多代理體驗，還有隱私與安全。</p> <p>Amazon提到，客戶選擇是人工智慧語音相容計畫的基石，該指南建議在裝置上註冊多個代理，並且接受用戶使用多個喚醒詞，選擇啟用對應的代理，而多代理體驗的部分，則是說明代理可用來增加用戶參與的基本行為，使用戶能夠找到可用代理，並且順利探索功能。</p> <p>多代理設計指南還包含了代理轉移的通用命令建議，當第一個代理無法解決用戶的請求，可以透過互通性模式，在不共用資料和上下文的情況下，召喚另一個代理出來協助用戶。該指南也介紹了取得用戶信任的一些基本要件，協助廠商能夠建構透明、可預測且符合期望行為與體驗的語音裝置，指南建議裝置應該至少需要擁有3個核心注意力狀態，分別處理聽、思考和說，讓用戶能夠掌握語音助理的活動狀態，以及狀態改變。</p> </div></div></div>
2020/9/11 11:30作者李建興https://www.ithome.com.tw/news/139913
3年前悄悄拿下，Google Maps近日重回Apple Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google許多服務都可在Apple Watch上使用，唯獨2017年卻悄悄讓Google Maps從蘋果智慧手錶消失。不過近日媒體發現，Google Maps又回到App Watch上，並加入Car Play的支援。</p> <p>2015年Google釋出Google Maps for Apple Watch，但2017年卻什麼都沒解釋就將之移除，也沒說何時會回來。8月時Google<a href="https://blog.google/products/maps/new-ways-get-around-google-maps-ios/" target="_blank">宣布</a>將有一款「Apple Watch的新Google Maps App」未來幾周內會全球部署，本周<a href="https://9to5google.com/2020/09/09/apple-watch-google-maps/" target="_blank">9to5Google</a>發現，它已在Apple Watch上出現。</p> <p>Apple Watch的新版Google Maps功能，主要收斂為提供行走方向指示以及預計到達時間。使用者可以儲存數個地點，像是家中或公司以便未來從捷徑存取。但更多地點則必須從手機搜尋，再轉到Apple Watch上使用。</p> <p><a href="https://www.ithome.com.tw/news/139875" target="_blank">蘋果</a>已向媒體發出下周活動的邀請函，一般預料，蘋果可望推出Apple Watch 6，新一代智慧型手錶可能會加入睡眠偵測及血氧飽和度（SpO2）的偵測功能。</p> </div></div></div>
2020/9/11 11:30作者林妍溱https://www.ithome.com.tw/news/139940
微軟Edge瀏覽器加回經典IE檔案下載功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於使用者的要求，微軟決定在基於Chromium的<a href="https://techcommunity.microsoft.com/t5/articles/announcing-the-open-save-as-save-and-delete-prompts-for/m-p/1646521">Edge</a>瀏覽器，加入之前從IE就有的下載檔案功能，當用戶從網頁下載檔案的時候，瀏覽器會在下方顯示檔案下載狀態列，詢問使用者要開啟、另存或是取消下載檔案。這功能將從87.0.629.0以上的版本開始提供，使用者可以在edge://settings/downloads中啟用。</p> <p>除了下載檔案狀態列之外，另一個Edge瀏覽器將添加的新功能，是讓用戶直接從瀏覽器刪除下載內容，在下載頁面用戶可以直接對檔案點擊右鍵，選擇刪除檔案，或是也能在下載檔案狀態列中，選擇刪除檔案。一旦用戶使用該方法刪除下載檔案，檔案便會從電腦中移除，官方提到，這個功能可以讓用戶簡單地管理下載資料夾。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/delete.JPG" style="width: 580px; height: 171px;" /></p> </div></div></div>
2020/9/11 12:05作者李建興https://www.ithome.com.tw/news/139916
Line日本即將推出Line Pay 3.0版新服務，除了官方帳號新增支付功能，更要結合eKYC達成申請流程自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Line日本今天揭露Line Pay在後疫情時代的最新戰略。Line Pay日本CEO長福久弘表示，若說Line Pay 1.0的目標，是要在任何地方都能進行支付，而Line Pay 2.0，是要作為一種擴展支付及企業業務的工具，那Line Pay 3.0，就是要進一步作為公開的身份驗證工具，來降低應用愈趨廣泛的電子支付，所帶來的資訊安全風險。</p> <p dir="ltr">長福久弘首先提到，在武漢肺炎疫情期間，日本中小企業受到不同程度的衝擊，為了協助企業在疫情期間發展線上電商服務，同時降低企業跨入電商領域的門檻，Line Pay日本在Line官方帳號中推出了「支付連結（Link）」的服務。這個服務，是讓店家在Line官方帳號中收到顧客的訂單後，能主動提供一個付款連結，讓顧客能直接點擊連結、透過Line Pay付款。也就是說，從顧客下單、付款到店家確認並發貨，整個金流與訊息流都能在Line中完成。</p> <p dir="ltr">對店家來說，透過官方帳號結合Line Pay來收款，除了能更即時確認款項到帳情形，更大的優勢，是讓過去沒有發展電商服務的業者，也能藉由Line官方帳號來提供網購的服務，成為實體店面業者另一種擴展業務的管道，長福久弘也說明，比如外賣的預付款、郵購、線上課程、二手商品買賣或諮詢服務，都可以應用這項服務。Line也已經在今年7月先上線了初始版本，預計在11月正式推出這項服務。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-09-10%20%E4%B8%8B%E5%8D%8812_14_32.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">消費者先在官方帳號下單，由賣家提供支付連結，消費者點擊並付款後，由賣家確認收款，再提供消費者商品或服務。</p> </blockquote> <p dir="ltr">由於非接觸式支付的需求增加，Line Pay日本也即將開始支援Apple Pay，未來除了能用LINE Pay的Visa信用卡支付，在儲值付款的支付方式上，也要開始支援iPhone與Apple Watch。</p> <p dir="ltr">不只在支付方面有新進展，Line也宣布Line Pay 3.0的戰略，要將電子支付結合線上身份驗證機制（eKYC），來建立更安全、有保障的電子支付服務。長福久弘將這項服務比喻為Line ID護照，也就是當用戶進行Line Pay身份驗證後，該用戶的Line ID就等同於虛擬護照，能用來申請各類服務或交易，比如向官方申請證書、育兒補助、給付金、汽車牌照、預約服務，又或是向民間企業申請金融服務、訂位餐廳、預約住宿、購買菸酒等，在確認身份的同時進行交易。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-09-10%20%E4%B8%8A%E5%8D%8811_49_01.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">用戶的Line ID就等同於虛擬護照，能用來申請各類服務或交易。</p> </blockquote> <p dir="ltr">Line也早在去年4月，就已經發表了結合AI的eKYC應用，提供民眾直接在澀谷區公所的Line官方帳號中申請住民票（類似臺灣的戶口謄本），讓民眾能在Line上傳身份證件，並進行臉部辨識確定是本人後，再透過Line Pay支付相關費用，目前每月平均有100～200件住民票，是透過eKYC結合電子支付的方式來辦理，不僅能在疫情期間降低人與人之間的接觸行為，透過自動化、可信賴的身份驗證技術，也能加速使用者申請服務的流程。</p> <p dir="ltr">Line日本也在近日一場線上AI研討會中，揭露了eKYC技術的新功能，包括帳號開設自動審查、偽造身份的檢查機制（Fake-check），以及4項OCR新技術，分別是特定收據形式辨識、特定發票形式辨識、表格辨識和地址校正等。</p> <p dir="ltr">而針對今日發表的Line Pay新服務，目前也只有在日本推出，Line並無揭露這些服務在其他國家的推出時程。</p> </div></div></div>
2020/9/10 20:16作者翁芊儒https://www.ithome.com.tw/news/139927
【臺灣資安大會直擊】趨勢揭露一連串鎖定IIS網頁伺服器的無檔案攻擊手法，呼籲企業要加以防範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為難以被發現行蹤，進階持續性攻擊的過程中，駭客運用無檔案（Fileless）的攻擊手法可說是日益氾濫，往往潛伏許久才會被發現。在2020臺灣資安大會上，趨勢科技資深威脅研究員Dove Chiu與Tim Yeh，揭露他們從一起APT事件的調查裡，發現新型態的無檔案攻擊手法IIS-Share，駭客利用了IIS網頁伺服器，以及Windows的HTTP API，來打造極為隱蔽的後門程式，而根據他們的分析，保守估計駭客的後門至少存在3年以上。</p> <p>這種攻擊手法究竟有多難被發現？會後有聽眾向他們詢問，企業能否透過網路防護措施，如防火牆或入侵防護系統（IPS）等，來發現相關攻擊行為，Tim Yeh表示，實際上並不容易。因為，除非駭客不小心在HTTP表頭欄位（Server Header）留下證據，此時資安人員才有可能發現，在同一臺網頁伺服器或是郵件伺服器上，有些特定URL網頁的表頭欄位，會與其他網頁的不同，進而懷疑駭客可能植入隱形的網頁木馬，並進行調查。</p> <h2><strong>有別於一般無檔案攻擊，駭客植入後門共運用4層迂迴手法</strong></h2> <p>至於趨勢如何發現IIS-Share？Dove Chiu說，發現這起攻擊行動的起源，在於他們於2017年底進行鑑識工作的時候，發現一臺Exchange前端伺服器上，出現可疑的執行緒（TSVIPSrv.dll），進而展開調查，這個執行緒竟依附在系統檔案WININIT.EXE上運作。經過一系列從記憶體內取出與還原的過程，他們推測是濫用Web Shell攻擊手法，駭客疑似植入ISAPI（Internet Server Application Programming Interface）的Filter後門，來發動攻擊。</p> <p>由於ISAPI Filter牽涉到啟動IIS伺服器的運作，Dove Chiu指出，照理來說，上述過濾器檔案的相關路徑，應該會註冊在指定的機碼裡。然而，詭異的是，當他們想要找到被濫用的DLL檔案卻撲了空，這臺伺服器主機並未出現對應的機碼。調查到此，只能先暫時排除該Exchange伺服器被植入ISAPI Filter的可能性。</p> <p>斷了這個線索後，Dove Chiu他們又回頭檢視攻擊程式的程式碼，發現其中的內容相當怪異，這是一個很大的迴圈且沒有出口，同時只對GET和POST指令有所反應。再對於上述程式碼進行解密後，才確認這是後門程式。但它到底又是如何載入Exchange伺服器的呢？經過一番搜索，他們在開機記錄裡發現一個TSVIPSrv.dll，這個檔案存在於System32系統資料夾裡，而且還被鎖定，Dove Chiu只能將檔案複製出來進行分析，從而挖掘整起攻擊大致發生的過程：駭客透過遠端桌面連線服務載入了正常的SESSENV.DLL，然後利用DLL 劫持攻擊手法，再將TSVIPSrv.dll植入系統，把它的執行緒注入到WININIT.EXE上運作。最後，駭客才將已被注入惡意軟體的WININIT.EXE，登錄在IIS伺服器的機碼上，讓這個惡意的DLL檔案隨著檔案，跟著Exchange伺服器一同執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IIS-Share-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IIS-Share-flow.png" style="width: 580px;" /></a></p> <p>但為何這種攻擊手法如此難被發現？Dove Chiu指出，因為駭客不只沒有在IIS伺服器的Web資料夾裡，留下任何實體的檔案（Fileless）；上述的惡意檔案TSVIPSrv.dll，整個攻擊過程只會載入1次，一旦被注入WININIT.EXE，鑑識人員在記憶體裡就看不到這個DLL執行（Processless）；再者，則是在IIS伺服器的事件記錄當中，REQUESTED.HTML也沒有留下執行的記錄（Logless），導致資訊人員難以發現異狀。</p> <p>在上述提及沒有留下惡意程式檔案、幾乎看不到處理程序，以及不會有執行記錄的情況下，駭客還針對TSVIPSrv.dll採用了一些反鑑識的手法，讓資安人員即使發現異狀，也難以進行調查，像是這個檔案容量很大，再加上檔案被鎖定，使得有些掃描工具會略過或是無法檢測。</p> <p>類似這樣的攻擊手法，趨勢後來在去年5月上旬開始，又發現了一系列的Welcome Server後門程式，他們實際測試，必須透過特殊的指令，才能讓後門程式正常運作，這點與2017年發現的IIS-Share可說是相同。趨勢在去年的5月下旬和11月初，再度看到駭客改版的後門程式Welcome Server，其中，在11月的時候，這個後門程式已經改將傳輸的內容加密，因此企業更難察覺攻擊的跡象。此外，這種無檔案型態的後門程式，去年11月中旬又出現另一個，名為Owl Proxy，這是假冒IIS安裝程式的後門攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IIS-Share-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IIS-Share-timeline.png" style="width: 580px;" /></a></p> <p>相較於過往被揭露的無檔案攻擊行動，IIS-Share的手法可說是極為隱蔽。在許多事件中，資安人員可能就從記憶體的內容，找出躲藏其中運作的惡意程式，但此次攻擊的處理程序，是注入在系統內建的應用程式當中，即使Dove Chiu將從記憶體截取出來的內容，經過一連串的復原工程，仍然無法直接找到後門工具的跡證，而是再加上從其他地方調查的結果，才彙整出整起攻擊行動的樣貌。</p> <h2><strong>從網路連線軌跡難以偵測相關攻擊，資安人員要搭配系統處理程序的檢測工具</strong></h2> <p>至於這種無檔案型態的後門要如何發現？Tim Yeh指出，首先，必須了解駭客使用的手法。此種攻擊是利用Windows內建的HTTP API來打造後門，而這個API微軟自17年前的Windows XP SP2與Server 2003就開始提供，換言之，駭客濫用該API的時間可能遠超乎研究人員的發現。再者，無論電腦是否啟用IIS伺服器，這個後門程式都有機會發動攻擊。</p> <p>由於使用HTTP API需要使用管理員權限，Tim Yeh說，駭客很可能會嘗試取得相關權限，但若是得不到，他們也看到會將IIS伺服器網域加入白名單的方式，來繞過必須取得管理者權限的限制。</p> <p>要找尋網頁型態的後門，一般來說，第一線鑑識人員很可能會先利用Windows內建工具，像是探測網路連線的Netsh來進行檢查。但Tim Yeh表示，對於他們此次發現的無檔案型態後門而言，若是透過Netsh很可能會被駭客繞過，導致資安人員找不到任何證據，因此，他們也使用其他工具輔助，來找出程式碼注入（Code Injection）等較為隱密的攻擊行為。</p> </div></div></div>
2020/9/10 12:36作者周峻佑https://www.ithome.com.tw/news/139906