iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/10 00:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟以語言模型改進Bing自動字詞建議與相關問答功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將自家自然語言生成模型T-NLG用在<a href="https://blogs.bing.com/search-quality-insights/september-2020/Introducing-the-next-wave-of-AI-at-Scale-innovations-in-Bing">Bing</a>搜尋引擎中，改進字詞預測，並且利用自然語言表示模型T-ULR，提升多語言智慧問答的品質，還能在摘要中，突出顯示與用戶搜尋相關的資訊。</p> <p>微軟提到，Bing每日執行用戶數億次的查詢，這些查詢因使用者意圖、語言和地區不同，呈現多元且動態的形式，為了要能夠良好地處理這些查詢，微軟在Bing上大規模的使用AI模型。在過去一年，自然語言處理模型有了很大的進展，無論是微軟自家的T-NLG模型，還是OpenAI的GPT-3模型，其參數規模都大幅成長，微軟也就將這些模型用於Bing中，以提升搜尋體驗與結果的品質。</p> <p>首先，微軟以T-NLG模型改進Bing搜尋欄的自動建議功能，自動建議功能能夠根據用戶輸入的字詞，配對最相關的查詢建議，來改善搜尋體驗，其目的是要讓用戶以更少的時間以及鍵盤輸入次數，獲得更佳的查詢結果。最常用的解決方案，是根據其他使用者的輸入，來提供搜尋前綴，但是隨著用戶輸入更具體的搜尋字詞，該方法也逐漸失效，因此Bing需要能夠即時生成建議，提供用戶準確的搜尋建議。</p> <p>因此微軟使用T-NLG模型，使Bing具備即時生成建議的能力，不受限於以前使用者輸入的資料，也不侷限於用戶當前輸入的字詞，自動建議覆蓋的範圍大幅增加，也改善了整體用戶體驗。微軟提到，以技術的角度來說，無論是模型的大小還是推論的數量，使用生成模型具有一定的挑戰性，他們應用了壓縮以及快取技術，來解決推論的效率問題。</p> <p>微軟也改善了Bing的其他人也問了這些問題（People Also Ask，PAA）功能，來覆蓋用戶的搜尋意圖，微軟解釋，PAA讓用戶能夠直接探索與原始搜尋有關的問題，不需要花費時間修正搜尋，就能夠取得想要的解答，與自動建議功能同樣的情況，由於Bing已經回應過許多用戶的搜尋，因此能輕易地提供類似的問題與解答，不過，有時候還是會遇到沒有類似意圖的搜尋，於是Bing就必須要生成有用的問答，來提供PAA內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(13).png" style="width: 580px;" /></p> <p>微軟使用模型對數十億個網頁文件，產生問題與答案配對，因此當有相同的文件出現在搜尋引擎結果頁面上時，微軟除了會在PAA區塊顯示現存類似的問題之外，也會加入預先生成的問題與答案配對，補充PAA區塊內容。</p> <p>另外，Bing也應用自然語言表示模型T-ULR，提升多語言和多地區的搜尋結果品質，現在Bing的智慧問答功能，已經可以對超過100種語言和200個地區，提供零次問答服務，而且微軟也應用該模型，突出顯示搜尋結果中的摘要重點，讓用戶能夠更快地找到需要的答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image9(1).png" style="width: 580px;" /></p> </div></div></div>
2020/9/25 10:30作者李建興https://www.ithome.com.tw/news/140175
微軟發表Windows Server VM自動管理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟改善Azure多項Windows Server管理功能，以提升IT人員的工作效率，除了添加<a href="https://azure.microsoft.com/zh-tw/blog/gain-it-efficiency-for-windows-server-with-new-azure-innovation/">Azure</a>自動管理（Automanage）功能，以自動化IT人員日常工作，IT管理員現在還可以在Azure Portal，直接管理Azure Windows Server虛擬機器，另外，對於無法搬遷至雲端的Windows Server應用程式，微軟現在提供Azure Arc服務，用戶可以將Windows Server部署在本地端。</p> <p>進入預覽階段的Azure自動管理功能，能夠自動化Windows Server虛擬機器生命周期各階段，以簡化日常管理任務，微軟提到，Windows Server管理員每天要負責許多維運工作，包括備份、災難恢復以及安全更新等，而利用自動管理功能，管理員只要透過點擊按鈕，就能夠單獨或是大規模管理虛擬機器生命周期。</p> <p>新的自動管理功能，可以搭配Azure新的或是現有的Windows Server虛擬機器一起使用，該服務將自動實作Azure虛擬機器管理最佳實踐，用戶只需要選擇配置文件，系統便會自動啟用像是Azure安全中心等服務，以實行最佳安全實踐。當虛擬機器的配置，偏離了所應用的最佳實踐，Azure自動管理功能會主動偵測，並且自動將虛擬機器恢復成原來的配置。</p> <p>微軟還在Azure Portal提供Windows管理中心預覽功能，Windows管理中心提供整合式的瀏覽器介面，讓用戶可以配置伺服器，並且對伺服器進行故障排除，還能透過將本地端Windows Server連接到Azure服務進行備份、災難恢復，還有安全管理與威脅防護。微軟把Windows管理中心整合到Azure Portal中，讓用戶能以熟悉的界面，在Azure管理Windows Server虛擬機器。</p> <p>另外，微軟提到，有許多企業因為法遵因素，所以無法將現有的Windows Server應用程式搬遷到雲端，而微軟提供Azure Arc和Azure Kubernetes服務，可讓用戶在本地端部署Azure服務。使用跨基礎設施解決方案Azure Arc，用戶可以透過Azure Portal，管理本地端的Windows Server，而超融合基礎架構解決方案Azure Stack HCI，現在提供了Azure Kubernetes服務功能預覽，讓用戶可以簡單地在雲端、本地端和邊緣，部署Windows Server應用程式。</p> </div></div></div>
2020/9/25 10:30作者李建興https://www.ithome.com.tw/news/140186
COVID-19疫情未退，巴賽隆納MWC 2021將延後到明年6月底舉行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擔心武漢肺炎疫情持續延燒，全球最大手機及通訊展世界通訊大會（MWC）主辦單位昨（24）日<a href="https://www.gsma.com/newsroom/press-release/gsma-announces-date-changes-for-its-mwc21-series/" target="_blank">宣布</a>，明年於西班牙巴賽隆納舉行的MWC 2021 將延後至6月28到7月1日舉行，比往年延後了4個月。</p> <p>MWC主辦單位GSM協會（GSMA）指出，將原訂於3 月第一周舉辦的MSC 21巴賽隆納改期，有助於GSMA因應與COVID-19相關的外部環境局勢。</p> <p>而除了實體展延期，明年MWC也會有線上活動元素，以彌補實體展會的需求。另一方面，往年於夏天舉辦的MWC上海，明年度將和巴賽隆納展對調，提前於2月23日到25日舉行。</p> <p>GSMA總經理Mats Granryd指出，因應持續變化的全球局勢，並在理事會、會員及首要展覽業者的建議下，GSMA審慎決定後，將MWC巴賽隆納及上海展的時間改期。</p> <p>GSMA此次決定相當合理。武漢肺炎於今年一月在中國爆發，隨後蔓延到世界各地。原訂於2月24日當周舉行的MWC 2020巴賽隆納，在多家大廠退出後於開幕前不到2周<a href="https://www.ithome.com.tw/news/135799" target="_blank">被迫取消</a>，造成主辦單位極大損失。6月的上海場也同樣取消，目前<a href="https://www.mwcshanghai.cn/" target="_blank">MWC上海</a>官網已經公告明年的舉辦時間。</p> <p>今年疫情下，主要IT業界活動，包括Google I/O、蘋果的WWDC、AWS Summit、微軟Build及最近的Ignite等全數改為線上形式。而消費電子大展（CES）主辦單位也早在去年<a href="https://www.ithome.com.tw/news/139082" target="_blank">宣布</a>，CES 2021改成純線上活動。</p> </div></div></div>
2020/9/25 10:55作者林妍溱https://www.ithome.com.tw/news/140188
Flutter登陸Windows，還預告將支援UWP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發的UI工具Flutter，現不只大舉入侵iOS和Android應用程式的開發工作，在7月的時候，Canonical還與Google合作釋出Linux版本Flutter，而現在，官方釋出<a href="https://medium.com/flutter/announcing-flutter-windows-alpha-33982cd0f433">Flutter Windows的Alpha測試版</a>，要讓Windows開發人員，也能夠用Flutter開發應用程式，並且還開始著手試驗支援UWP。Flutter Windows支援Windows 7以上版本，預計在數月內就會推出穩定版。</p> <p>官方表示，因為Windows仍然是桌上型與筆記型電腦的熱門作業系統選擇，而且有超過一半的Flutter開發人員使用Windows，因此Windows自然成為Flutter支援的目標。</p> <p>Flutter是一個跨平臺的UI開發工具，使得程式碼可在iOS和Android等作業系統上重複使用，而且也能夠讓應用程式，直接與底層平臺服務互動，開發人員可以在各平臺，簡單地交付高效能應用程式，在盡可能共用程式碼的同時，還可使用各平臺獨有的功能。</p> <p>Flutter的核心是一個引擎，能夠提供所有Flutter應用程式需要的原語，在需要繪製新框架的時候，核心引擎便會負責對合成的場景進行光柵化，其提供了Flutter核心API的低階實作，像是繪圖、文字輸出、檔案和網路I/O，還有無障礙存取支援、擴充套件架構、Dart Runtime以及編譯工具鏈。</p> <p>Flutter每新增支援一個平臺，就必須擴充其核心框架，隨著支援的平臺越來越多，Flutter核心功能也就越來越豐富，從一開始的Android和iOS平臺，提供以Material Design和觸碰操作為基礎的行動裝置使用者介面開發，目的是讓程式介面在兩平臺，都能完美地呈現。</p> <p>而現在Flutter開始支援桌面形式的應用程式，包括網頁、Windows、macOS和Linux等，因此Flutter必須提供全新的控制功能，除了輸入方面必須要更好地支援鍵盤、滑鼠等控制器之外，顯示螢幕的尺寸也大上許多。</p> <p>在Flutter新增支援Windows的同時，也必須支援包括CLI與IDE等Windows上的工具鏈，還需要新的Runner，添加用來載入並且執行Flutter程式碼的Win32/C++程式，另外，Flutter套件系統也需要支援每個平臺原生程式碼，Flutter套件本身就是Dart與原生平臺程式碼的混合物，因此要編譯進Windows Flutter應用的擴充套件，之中也包含Windows平臺原生程式碼。</p> <p>現在官方釋出Flutter Windows的Alpha版本，想嚐鮮的開發者已經可以試用，也可以在GitHub上關注Beta測試的進展，目前仍在進行的工作，包括提高無障礙功能、全球化和在地化，強化鍵盤和文字處理功能，而且還需要支援命令列參數等。除了支援經典的Win32 API之外，官方也在測試基於UWP的Flutter殼層版本，而這將使Flutter可以開始支援Xbox（下圖）以及Windows 10X模擬器等裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_cNcLDSm8fwlwux15.png" style="width: 580px;" /></p> </div></div></div>
2020/9/24 17:30作者李建興https://www.ithome.com.tw/news/140170
Adobe公布可為小型螢幕調整PDF的AI工具Liquid Mode
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於愈來愈多人在手機上處理公事或讀文件，Adobe也為PC時代產生的Adobe Acrobat加入新功能，名為液態模式<a href="https://www.youtube.com/watch?time_continue=77&v=3H4nRx7r7nY&feature=emb_logo" target="_blank">（Liquid Mode）</a>，方便用戶在小螢幕裝置查詢及閱覽PDF文件。</p> <p>這項功能是Adobe去年<a href="https://www.ithome.com.tw/news/134347" target="_blank">公布</a>，以AI引擎Sensei為核心的多年產品再造計畫的一環。當使用者開啟一份PDF文件時，「液態模式」的AI功能會分析文件的結構，包括標題、段落、圖片、清單列表或表格，並依螢幕大小重新排版，以方便在小螢幕裝置上讀取，而不會像過去使用者必須不斷左右移動來讀取看不到的內容。</p> <p>Adobe表示，用戶以Acrobat Reader App開啟PDF時，App會判斷是否支援液態模式，如果支援，App的液態模式按鍵就會亮起，點下按鍵即可將檔案送到Adobe Document Cloud處理，完成後再送回用戶端展示。</p> <p>這項功能提供客製化讀取，例如使用者可設定文字大小。此外，它也能提綱挈領列出文件標題於左欄，方便使用者直接讀取想要的段落。</p> <p>液態模式已釋出到iOS及Android版App，之後會再擴及桌機版。</p> <p> </p> </div></div></div>
2020/9/24 16:40作者林妍溱https://www.ithome.com.tw/news/140172
美國公部門最大軟體供應商Tyler遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於美國德州的Tyler Technologies周三（9/23）傳出遭到駭客入侵，不管是電話系統或官網都處於停擺狀態，雖然Tyler並未公布攻擊細節，但外界相信Tyler已淪為勒索軟體的受害者。</p> <p>成立於1966年的Tyler，號稱是美國最大的公部門軟體供應商，針對稅賦、法院、金融、監管、公共安全及文件管理等領域提供軟體服務，總計有超過5千名員工，並在去年首度創下10億美元的營收規模。</p> <p><a href="https://twitter.com/tylertech/status/1308824207262965762" target="_blank">Tyler在Twitter上</a>只簡單地對外宣布，聲稱是網路問題影響該公司的電話與官網，並將儘快解決。</p> <p>然而，多家媒體取得了Tyler寄給客戶的通知，Tyler向客戶坦承有不明人士入侵了該公司的內部系統，於是他們緊急關閉對外部系統的存取管道，並即刻聯手安全及鑑識專家展開調查，也已通知執法機構。此外，Tyler也強調，並無任何客戶的資料、伺服器或代管系統受到波及。</p> <p><a href="https://www.bleepingcomputer.com/news/security/government-software-provider-tyler-technologies-hit-by-ransomware/" target="_blank">BleepingComputer</a>則額外取得了來自加州市政資訊系統協會（Municipal Information Systems Association of California，MISAC）論壇上的討論內容，傳出Tyler其實是遭到勒索軟體的攻擊，還有另一名安全消息來源向BleepingComputer透露，襲擊Tyler的勒索軟體是RansomExx。</p> <p>RansomExx今年6月才現身，但外傳的受害者就包括德州運輸部、光學影片大廠<a href="https://www.ithome.com.tw/news/139456" target="_blank">Konica Minolta</a>、光纖雷射器製造商IPG Photonics，以及最新的Tyler，惟目前並未有受害者出面證實遭到RansomExx攻擊，或揭露駭客所要求的贖金金額。</p> <p>另一方面，<a href="https://statescoop.com/tyler-technologies-reports-apparent-cyberattack/" target="_blank">StateScoop</a>引述了安全專家Mike Hamilton的看法，建議Tyler的客戶應該立即重設提供給Tyler的存取憑證，以避免駭客自Tyler系統取得了相關憑證，進一步危害其客戶。</p> </div></div></div>
2020/9/24 16:45作者陳曉莉https://www.ithome.com.tw/news/140173
微軟公布Web App智慧同步技術Project Nucleus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟一直設法推動加速Web應用，在本周Ignite 2020線上大會上，公布用於大幅加速Web應用程式及Portal的<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/collaboration-communication-and-knowledge-sharing-with-microsoft/ba-p/1696335" target="_blank">Project Nucleus</a>。</p> <p>Project Nucleus是結合微軟的PWA（progressive web App），以及原用於最佳化OneDrive的智慧同步與資料庫技術，再加入其他資料和App型態。（Project Nucleus未來將先整合到Microsoft Lists。）</p> <p>Project Nucleus運用OneDrive的智慧同步技術，將Web內容快取在終端機器上，以大幅提升Web應用程式效能。微軟指出，Project Nucleus可協助使用者以極快速度完成常見任務，像是欄位分類、重組，不論其環境的連網速度為何。用戶在Web內容的所有變更，都會同步到本機快取上，因此Project Nucleus也支援離線作業，等用戶重新上網時再將變更上傳到Web。</p> <p><a href="https://www.zdnet.com/article/microsoft-shows-off-project-nucleus-intelligent-sync-technology-for-web-Apps/" target="_blank">ZDNet</a>引述微軟的說法，Project Nucleus未來將會是微軟Web App/portal使用體驗的基礎，也會擴及整個Microsoft 365。</p> <p>至於Project Nucleus何時問世，微軟並未說明，只說第一個整合的產品是5月宣布的<a href="https://techcommunity.microsoft.com/t5/microsoft-sharepoint-blog/microsoft-lists-evolving-the-value-of-sharepoint-lists-and/ba-p/1400714" target="_blank">Microsoft Lists</a>。Microsoft Lists是由SharePoint Lists擴大而來，類似To-Do List程式。</p> </div></div></div>
2020/9/24 17:10作者林妍溱https://www.ithome.com.tw/news/140174
AI趨勢周報第143期：AI晶片設計更快速！工研院秀出AI晶片開發工具連台積電都採用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0918～0924)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AI晶片設計 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 架構搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模擬器 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI晶片設計更快速！工研院秀出AI晶片開發工具連台積電都採用</strong></span></p> <p>工研院日前在年度技術日上，展示自家開發的AI晶片設計工具，可縮短AI晶片的架構設計時間，並在模擬器中模擬成品參數與效能，省下打造樣品嘗試的成本，連台積電都採用。</p> <p>這個工具由三部分組成，分別是NNArch、NNMap、NNSim。NNArch專門探索合適的AI晶片架構，號稱比一般架構搜尋器還要快上326倍，且準確度達99.38%。NNMap包括了資源排程器和深度學習編譯器，這個編譯器負責將深度學習模型轉換為可在晶片上執行的程式碼，最後由NNSim，也就是模擬器，來模擬、驗證所設計的架構。工研院資通所所長闕志克指出，編譯器包括了一系列工具，有模擬器、加速器、深度類神經網路函式庫，以及程式碼產生器和優化器，除了能轉換程式碼，還可藉量化或架構修剪，來壓縮大小、省下硬體資源，此外也能調整輸入模型的影像解析度，或是以知識蒸餾來優化模型。<a href="https://www.itri.org.tw/index.aspx">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-AI%E6%99%B6%E7%89%87%E8%A8%AD%E8%A8%88%E5%B7%A5%E5%85%B7-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言處理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 預訓練模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟取得超大自然語言模型GPT-3獨家授權，要來開發更多自然語言生成服務</strong></span></p> <p>微軟日前宣布取得OpenAI開發的超大自然語言預訓練模型GPT-3獨家授權，微軟技術長Kevin Scott表示，團隊將藉GPT-3的自然語言生成能力，來開發更多與自然語言相關的AI解決方案。微軟舉例，自然語言生成技術可用於創作，或是描述、總結長篇文檔（包括程式碼），甚至將自然語言轉換為另一種語言。</p> <p>GPT-3是OpenAI今年6月發表的模型，具1,750億個參數，在各項自然語言基準測試中，皆達高階水準。OpenAI表示，這項獨家授權並不會影響用戶從OpenAI API來使用GPT-3模型，未來仍可繼續用來開發不同的應用程式<a href="https://blogs.microsoft.com/blog/2020/09/22/microsoft-teams-up-with-openai-to-exclusively-license-gpt-3-language-model/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI加速器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cloud AI 100 </span></strong></span></p> <p><span style="font-size:22px;"><strong>高通最新AI雲端加速晶片開始出貨，明年正式商用，同時發布Edge開發套件</strong></span></p> <p>高通日前宣布，旗下AI加速晶片Cloud AI 100開始供貨，預計明年上半年正式商用化。高通去年在AI Day大會上揭露這款加速晶片產品，專為機器學習推論和邊緣運算而設計，瞄準資料中心、5G基礎設施和先進駕駛輔助系統（ADAS）等特定市場需求。Cloud AI 100運算能力可達每秒400兆次運算，該產品搭配的軟體套件則支援熱門ML框架，像是TensorFlow、PyTorch、Caffe等，該套件也包含應用程式SDK，來支援多種生產環境。</p> <p>與此同時，高通也發布Cloud AI 100 Edge開發套件，要提供高效能AI推論、影片處理和5G資料處理能力，這款開發套件包括了Cloud AI 100加速器、用來處理影片的Snapdragon 865模組化平臺，以及處理5G訊號連結的Snapdragon X55 ModemRF系統模組等3個元件。<a href="https://www.qualcomm.com/news/releases/2020/09/16/qualcomm-announces-first-shipments-qualcomm-cloud-ai-100-accelerator-and">（詳全文）</a></p> <p><img alt="" src="https://www.qualcomm.com/sites/ember/files/styles/optimize/public/components/two-column-hdi/side/qc-cloud-ai-image.png?itok=3WisICZA" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高頻交易</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FPGA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 證交所 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工研院以金融FPGA網路卡打造高頻交易系統</strong></span></p> <p>工研院日前展示一款FPGA加速網路卡，專門用於券商機房工作站，來加速交易時間。這個網路卡有三大功用，首先是接收、解析證交所發出的交易訊息封包，再來是執行券商的交易策略，最後則是處理協定。其中，處理協定又可分為三部分，包括處理行情封包、決策運算和下單，工研院指出，傳統做法得靠三臺伺服器來分別執行這些工作，而他們自建的FPGA網路卡，一卡就能處理。</p> <p>工研院透露，目前一家國內券商已採用這款網路卡，用來加速第一階段的封包解析；由於反饋良好，接下來，雙方也將利用該網路卡來執行券商策略、加速下單速度。<a href="https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=109092218194891308">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E9%87%91%E8%9E%8DFPGA-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 乳房超音波 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺大醫院揭露醫療AI新進展，還斥資導入兩臺新一代超級電腦</strong></span></p> <p>臺大醫院日前分享兩項醫療AI新進展，分別是與臺大聯手開發的心臟主動脈鈣化和脂肪分析系統，以及乳房超音波電腦輔助診斷系統。以心臟主動脈鈣化來說，雙方團隊以心胸部電腦斷層掃描影像和自行設計的類神經網路架構，採聯合學習方法來訓練AI，該模型現可自動分類、計算胸腔鈣化量和脂肪定量，其中，心臟影像分割準確率達94.2%，分析一個病例只要0.4秒。</p> <p>再來，乳房超音波電腦輔助診斷系統是透過醫生先掃描，再由機器輔助找出腫瘤位置。臺大資工系教授張瑞峰指出，光是以超音波掃描一位病人，就會產生1800張影像，要從中找出病灶十分耗時。而現在這套系統，可在0.8秒內看完300張影像，5秒就能檢查完一位病人。</p> <p>不只如此，臺大醫院近日還斥資導入新一代AI超級電腦Nvidia DGX A100，要來加速醫療影像和臨床文字資料的處理時間，預計AI影像訓練可快上兩倍、自然語言模型訓練則快上五倍。<a href="https://www.ntuh.gov.tw/ntuh//dtra/www.ntuh.gov.tw/IMSC-jp/www.ntuh.gov.tw/IMSC/News.action?q_type=-1&q_itemCode=6300">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/ckfinder_file/ntuh/images/2020%E6%9C%80%E6%96%B0%E6%B6%88%E6%81%AF/20200922%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2%E5%95%9F%E7%94%A8%E6%96%B0%E4%B8%80%E4%BB%A3AI%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6%E7%B3%BB%E7%B5%B1DGX%20A100%E6%B7%B1%E8%80%95%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82%E8%A8%98%E8%80%85%E6%9C%83-%E5%90%B3%E6%98%8E%E8%B3%A2%E9%99%A2%E9%95%B7%E4%BB%8B%E7%B4%B9AI%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6%E7%B3%BB%E7%B5%B1%E6%87%89%E7%94%A8%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82.JPG" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">3D重建 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Kubernetes </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kartta Labs </span></strong></span></p> <p><span style="font-size:22px;"><strong>靠歷史地圖和照片就能打造3D舊城，Google開源3D重建工具Kartta Labs </strong></span></p> <p>Google宣布將開源一套基於Google雲端和Kubernetes的3D重建工具Kartta Labs，可透過歷史地圖和照片，來重建舊城市的3D樣貌。Kartta Labs包含了3個模組，分別是時間地圖伺服器、群眾外包平臺，以及3D平臺；時間地圖平臺可用來顯示一地隨時間變化的動態過程，群眾外包平臺則是讓使用者上傳歷史地圖、修正地理位置，手動校正舊地圖的座標並對應到現今地圖的位置。而3D平臺藉助深度學習，結合資料庫中的地圖資訊和歷史照片，來重建3D建築場景。<a href="https://opensource.googleblog.com/2020/09/recreating-historical-streetscapes.html">（詳全文）</a></p> <p><img alt="" src="https://lh5.googleusercontent.com/-shrAMx7s0KBFvk5rr2xeimZaiAhm1zan4sY3viifck1ZQ03cSqLx33XsiJYIy4tqONxuHvWOqyXiH9o6EYWpNwnxF311krVCo7XNngpCoS-etC7bNtHSF_UI-y7M_V6DY-4lHyPpA=s16000" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 量子電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 處理器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM目標在2023年建置1,000量子位元處理器</strong></span></p> <p>IBM日前發表量子電腦發展藍圖，揭露未來3年的量子電腦計畫，要從目前充滿雜訊的小型裝置，發展到具有百萬量子位元的裝置。9月時，IBM發布最新65量子位元的Hummingbird處理器，明年還要推出127量子位元的處理器，而2022年，則要發布433量子位元的Osprey系統，並計畫在2023年發表1,121量子位元的Condor處理器。</p> <p>IBM指出，Condor的出現，將代表IBM有糾錯和擴展量子系統的能力，也意味著量子電腦將達夠複雜的程度。為因應Condor的到來，IBM還需建造夠大的稀釋冰箱。完成後，每個冰箱將可容納100萬個量子位元，還能透過連接冰箱，組成一個大規模平行量子電腦。<a href="https://www.ibm.com/blogs/research/2020/09/ibm-quantum-roadmap/">（詳全文）</a></p> <p><img alt="" src="https://www.ibm.com/blogs/research/wp-content/uploads/2020/09/Scaling-quantum-in-action.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">去背 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 降噪 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>一般配備也能產出專業級直播效果！Nvidia釋出AI去背和降噪的影音直播套件</strong></span></p> <p>Nvidia釋出一款通用的即時直播擴充套件Broadcast，可提供聲音降噪、虛擬背景甚至是自動追蹤攝影鏡頭的影音處理功能，用戶可結合熱門的即時串流媒體、語音聊天和視訊會議應用程式一起使用。</p> <p>這款Broadcast套件，能讓直播主靠一般標準攝影機和麥克風，就能擁有工作室等級的效果。這是因為，Broadcast在聲音處理上，能即時消除狗叫聲或門鈴聲等噪音，甚至可消除通話另一方的鍵盤打字聲。在影像處理上，Broadcast能即時處理視訊畫面，移除人物背景，替換成其他背景。另外，Broadcast還能自動追蹤直播主的頭部運動，即便左右移動，AI模型仍能讓頭部維持在畫面中心，該功能以Beta測試版釋出。<a href="https://www.nvidia.com/en-us/geforce/news/nvidia-broadcast-app/">（詳全文）</a></p> <p><img alt="" src="https://www.nvidia.com/content/dam/en-zz/Solutions/geforce/news/nvidia-broadcast-app/nvidia-broadcast-app-screenshot-001.png" /></p> <p>圖片來源／高通、臺大醫院、Google、IBM、Nvidia</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Adobe深度學習模型HDMatt可處理影像中比髮絲還細的細節</strong></p> <p><strong>2. 柏克萊大學打造無獎勵機制強化學習模型，勝過現有高階獎勵機制模型</strong></p> <p><strong>3. IBM與ProMare打造的無人自駕船正式啟航進行海洋研究</strong></p> <p>資料來源：iThome整理，2020年9月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 6632.1px; width: 237.875px; height: 14.4444px;"> </div> <div aria-describedby="bubble-18" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 124px; top: 6510px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-18"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 119px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/9/24 11:09作者王若樸https://www.ithome.com.tw/news/140162
自中國進口零件關稅大漲，特斯拉控告川普政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，全球電動車大廠特斯拉（Tesla）本周向美國國際貿易法院（United States Court of International Trade）遞狀，指控川普政府向該公司從中國進口的特定零件徵收非法關稅。</p> <p>特斯拉所質疑的是被美國政府列在List 3與List 4上的中國進口產品，其中，List 3自2018年起就被徵收25%的關稅，List 4則是去年開始被徵收7.5%的關稅。</p> <p>去年特斯拉曾向美國貿易代表處（United States Trade Representative，USTR）申請特定產品的關稅減免，包括用來支援全自動駕駛車的Autopilot ECU 3.0客製化模組，該模組入境美國會被徵收25%的關稅；儘管特斯拉宣稱Autopilot ECU 3.0不只是該品牌汽車的大腦，它採用特殊規格，且有大量需求，因而無法在美國生產，但USTR依然拒絕特斯拉的申請。</p> <p>本周特斯拉則直接告上法院，指責USTR所列出的List 3與List 4是任意且反覆無常的，並未在作出決策時進行合理的考量，還說這些強加的關稅讓該公司的成本大增，連帶影響其獲利。特斯拉不只要求法院直接撤銷上述兩個關稅列表，還希望可以取回這兩年特斯拉為此所支付的關稅。</p> <p>特斯拉不是唯一為了關稅而控告美國政府的企業，根據<a href="https://www.bloomberg.com/news/articles/2020-09-23/tesla-sues-to-block-trump-tariffs-on-trade-with-china?sref=AwwRcx4b" target="_blank">彭博</a>社的報導，自從川普擴大並提高中國進口商品的關稅以來，美國國際貿易法院已收到數百起相關的訴訟，而<a href="https://www.theguardian.com/technology/2020/sep/24/tesla-sues-trump-administration-over-unlawful-tariffs-on-chinese-parts" target="_blank">衛報</a>則說，不只是特斯拉，包括Volvo、福特汽車及Mercedes也都受到關稅大增之苦，紛紛向美國國際貿易法院遞狀。</p> </div></div></div>
2020/9/24 16:00作者陳曉莉https://www.ithome.com.tw/news/140171
Google Cloud公布威脅偵測技術Chronicle Detect
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud去年6月將<a href="https://www.ithome.com.tw/news/131528" target="_blank">Alphabet子公司Chronicle</a>整併進來作為企業安全偵測的一環，昨（23）日公布針對企業大規模及即時偵測威脅需求的<a href="https://medium.com/@chroniclesec/introducing-chronicle-detect-ef16dd324434" target="_blank">Chronicle Detect</a>技術。</p> <p>今年二月Google公布Chronicle根據威脅偵測YARA規則改成的<a href="https://www.ithome.com.tw/news/135992" target="_blank">YARA-L</a>，可大範圍、即時及回溯執行威脅偵測，以及能將多起事件串連到單一時間序列加以分析的資料融合工具。</p> <p>最新的Chronicle Detect即是在這些技術基礎上最新發展成果。Google強調Chronicle Detect是以Google基礎架構為底層打造的現代偵測技術，可協助企業以極快速度和規模偵測威脅。</p> <p>Chronicle偵測方案包含Google最新的規則引擎、一組可有效描述複雜的威脅行為的規則語言，和即時更新的新規則及入侵指標（indicators of compromise）。</p> <p>Google解釋，想精準偵測威脅，需要有多樣化、有用的安全遙測（telemetery）資料。但是大量的安全遙測資料，像是端點偵測與回應（EDR）及包括EDR與郵件的擴展性偵測與回應（XDR）資料，卻因為量太大、成本太高、系統效能太低不彰而效果有限。</p> <p>結合Google的雲端底層，企業的資安部門就可以將他們的端點安全遙測資料以固定成本送到Chronicle，而得到完整的資料分析，資料送到Chronicle會被套用整合資料模型（Unified Data Model，UDM），這個模型是專為EDR、NDR、DNS、SaaS等安全遙測資料的威脅偵測而設計。Google指出，它加入了情境（如資產、使用者、漏洞及威脅情報）及關聯（如IP和主機的關聯性），因而比SIEM（Security information and event management）更廣，更能實現XDR的願景。</p> <p>Google指出，Chronicle Detect讓企業可以很容易建立偵測規則，也可以直接使用Chronicle Detect內建的進階偵測規則，或是沿用舊式工具的規則。它的規則引擎包含了大數據分析能力，整合現代威脅偵測分析的構念（constructs），像是巨量資料的多事件序列、資料整合、視窗加權（windowing），讓企業內的安全分析人員偵測一連串攻擊事件。</p> <p>另外，雖然Chronicle Detect規則引擎是以Google新的YARA-L威脅偵測語言存取，但有鑒於許多企業使用Sigma作為系統日誌文件語言，Chronicle Detect也整合了Sigma到YARA-L的轉換工具，方便企業將現有規則匯出或轉移到Google Cloud Chronicle上。</p> <p>最後，Chronicle Detect 也整合了由Chronicle 情報研究團隊Uppercase提供的偵測規則及最新威脅指標，支援即時偵測。並加入API，以方便企業整合市面上的SIEM工具，包括Palo Alto Cortex XSOAR、D3 SOAR、SIEMplify及 Splunk Phantom。</p> </div></div></div>
2020/9/24 13:30作者林妍溱https://www.ithome.com.tw/news/140167
Google Maps新增武漢肺炎圖層以查看染病趨勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼於Google Maps上<a href="https://www.ithome.com.tw/news/138147" target="_blank">提供</a>有關武漢肺炎（COVID-19）的大眾運輸規定及汽車檢查哨之外，本周更直接於Google Maps新增一個武漢肺炎圖層，以展示各地的疫情狀況。</p> <p>當使用者於Google Maps上搜尋特定地點時，可進入圖層選項，並點選COVID-19資訊時，就能看到當時每1萬人的每周平均感染數量，還有一個用來顯示感染趨勢（上升或下滑）的標籤。相關的資訊會出現在全球220個國家，以及可查到資料的州、郡或城市。</p> <p>根據Google的<a href="https://blog.google/products/maps/navigate-safely-new-covid-data-google-maps/" target="_blank">說明</a>，這些數據是由約翰霍普金斯大學、紐約時報及維基百科等單位提供，數據來自各大公衛組織，包括世界衛生組織、政府的衛生部門，或是各州與地方衛生機構及醫院等。其實這些資料原本就是公開的，只是Google一次將它們整合在Google Maps的圖層上，而且本周就會藉由更新Android 與iOS上的Google Maps進行部署。</p> </div></div></div>
2020/9/24 13:50作者陳曉莉https://www.ithome.com.tw/news/140168
Airbnb因門號回收造成用戶帳號劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者換門號情形很普遍，但卻可能帶來安全隱憂。<a href="https://www.securityweek.com/airbnb-accounts-exposed-hijacking-due-phone-number-recycling" target="_blank">SecurityWeek</a>報導，Airbnb近日發生因用戶舊門號被回收後，讓他人得以劫持Airbnb帳號及相關個資被存取的情形。</p> <p>SecurityWeek接獲其讀者投訴，她的丈夫最近無意間涉入Airbnb帳號劫持的事件。這名用戶以其手機號碼登錄Airbnb，驗證期間以系統派發的4位數密碼登入帳號後，卻登入了另一個人的Airbnb帳戶。</p> <p>從這帳戶中可以看到持有人是一名女性，帳戶還包含其相片、電子郵件及其他個資，此外還有有效的信用卡資訊，表示可以用來訂房或其他消費。</p> <p>具有安全技能的這名讀者經過一些驗證，證明這顯然是因為門號回收造成的資料外洩，而且Airbnb並未告知門號現任持有人（即其丈夫），他登入的帳號已被他人註冊，也未通知該帳戶使用者（那名女性）其帳號有可疑登入活動。</p> <p>這名讀者本月稍早通報Airbnb後，Airbnb要她及丈夫以另一支門號登錄，並宣稱保證每個帳號都只能由合法持有人登入。不過她到本周仍然能再次登入該名女性的帳戶，顯然問題並未解決。</p> <p>在媒體追問下，Airbnb昨（23）日表示已經解決和門號回收及新帳號登錄相關的事件。Airbnb說這問題只影響「非常少數使用者」，該公司也持續評估及改進Airbnb站上服務的防護及安全控管。</p> </div></div></div>
2020/9/24 14:05作者林妍溱https://www.ithome.com.tw/news/140169
全球警方的暗網掃蕩行動總共逮補了179人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/newsroom/news/international-sting-against-dark-web-vendors-leads-to-179-arrests" target="_blank">歐洲刑警組織</a>與<a href="https://www.justice.gov/opa/pr/international-law-enforcement-operation-targeting-opioid-traffickers-darknet-results-over-170" target="_blank">美國司法部</a>於本周宣布，繼於去年6月破獲全球第二大暗網市集Wall Street Market之後，它們再度聯手展開DisrupTor行動，這次鎖定的是專門於暗網中銷售不法商品的嫌犯，特別是毒販，已於全球逮捕了179人。</p> <p>DisrupTor行動是由德國聯邦刑事警察（Bundeskriminalamt）所主導，再加上荷蘭國家警察、歐洲刑警組織、歐洲正義組織及多個美國政府機構的支持，各地的調查人員皆提供了特定的資料，以辨識於暗網中從事不法活動的嫌犯身分。</p> <p>在此次被捕的嫌犯中，有121名位於美國境內，42名位於德國，8名在荷蘭，4名在英國，3名在奧地利，還有1名是在瑞典被逮捕。在逮捕這些嫌犯的同事，警方也扣押了價值逾650萬美元的現金及加密貨幣，以及500公斤的各式毒品。</p> <p>歐洲刑警組織表示，暗網市集的黃金時代已經終結了，DisrupTor行動意謂著執法機構已經具備了對抗加密及匿名特性的能力，執法機構不再只能關閉這類的非法市集，甚至能夠在這些市集上追蹤與辨識買家與賣家的身分。</p> <p>該組織也奉勸要在暗網中購買非法商品的買家最好要三思而後行，除了毒品可能危害自己的生命之外，也很可能淪為網路詐騙的受害者，或是讓自己的裝置染上惡意程式，還會遭到逮捕。事實上，各國警方仍持續在追查暗網中的非法份子，DisrupTor行動尚未結束。</p> </div></div></div>
2020/9/24 12:00作者陳曉莉https://www.ithome.com.tw/news/140165
開發者現可在Visual Studio 2019使用GitHub Codespaces服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Ignite 2020大會，發布了<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-v16-8-preview-3-1/">最新的Visual Studio 2019功能消息</a>，開發者現在可以在Visual Studio中創建GitHub Codespaces，同時Visual Studio也與Git更好的整合，並且提供C++20語言一致性，還改進了.NET生產力。</p> <p>適用於Visual Studio的GitHub Codespaces，現在於Visual Studio 2019 Preview 3.1中，以Beta測試功能釋出。GitHub Codespaces提供即時的雲端開發環境，讓開發者可以靈活地在任何地方，使用Visual Studio 2019的功能，遠端開發ASP.NET Core網頁程式、.NET Core、CMake以及C++控制臺或是函式庫等應用。</p> <p>微軟提到，Visual Studio與電腦上其他應用程式爭奪CPU以及磁碟空間，透過使用GitHub Codespaces，可以將許多CPU密集的運算工作，交給雲端執行，因此開發者可以更輕易地開發企業規模應用程式，而不會占用本地端電腦資源，且在Codespace建構應用程式，也能大幅減少在本地端安裝的內容。目前適用Visual Studio的GitHub Codespaces，僅開放給部分GitHub使用者，之後還會開放給更多的用戶測試。</p> <p>微軟還釋出稱為Devinit的命令列工具，幫助開發者設定開發環境。要在新環境中，從頭開始配置完整的開發環境是一項挑戰，正確地配置儲存庫更是耗費時間，而Devinit可以讓開發者以宣告性格式定義程式碼中的相依關係，該宣告性格式將會隨著原始碼一同發布，因此可以在任何程式碼分支，總是維持最新狀態。Devinit支援一系列現有的套件管理器，能夠自動配置程式碼中的相依關係。</p> <p>微軟持續改進Visual Studio中的Git使用體驗，在最新的預覽版中，開發者可以從Azure DevOps Work Items創建新的分支，只要點選Team Explorer中的Work Items面板，以右鍵點擊其中一個工作項目，就能從對話框中選擇創建分支。另外，現在Visual Studio還會顯示可用的本地Git儲存庫列表，當開發者打開專案、解決方案或是資料夾時，Visual Studio便會偵測並且添加到Git列表中，開發者可以選擇該列表的存儲庫，在Visual Studio中開啟Git上下文，接著從Solution Explorer載入需要的解決方案或是資料夾。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/168P31ListofRepos.png" style="width: 580px;" /></p> <p>官方還提到，Visual Studio C++小組已經改進編譯器、標準函式庫以及IDE，支援最新C++20功能，現在開發者可以在同一個專案中，使用模組和協程等C++20新功能。同時，最新版本還提供C++20 Ranges的主要支援，支援大部分以範圍為基礎的演算法。</p> <p>從.NET 5.0開始，.NET編譯器平臺分析器，將包含在.NET SDK中，在預設情況，.NET 5.0或更新版本的專案將會啟用程式碼分析，該分析器會檢查C#和Visual Basic程式碼的安全性、效能、設計和各種問題。此外，微軟也添加了EnableNETAnalyzers屬性，開發者可以透過啟用與關閉該屬性，選擇對較舊的.NET版本程式碼進行分析，也可以禁用專案程式碼分析功能。</p> </div></div></div>
2020/9/24 09:10作者李建興https://www.ithome.com.tw/news/140149
微軟推出Azure Orbital衛星資料處理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於9月22日發表了<a href="https://azure.microsoft.com/en-gb/blog/introducing-azure-orbital-process-satellite-data-at-cloudscale/" target="_blank">Azure Orbital</a>衛星資料處理服務，它屬於地面站即服務（Ground Station As-a-Service），提供衛星的通訊與控制，並透過各種Azure服務來處理及儲存大規模的衛星資料，惟目前該服務仍處於預覽階段。</p> <p>與<a href="https://aws.amazon.com/tw/ground-station/" target="_blank">AWS Ground Station</a>模式一樣，Azure Orbital同樣是依照使用量計價，讓客戶不必自行建置衛星的地面站，就能夠與衛星或太空船通訊，下載及處理來自它們的資料。</p> <p>此外，微軟還與多家業者結盟，以支援必要的服務，包括專門開發衛星數據機的Amergint與Kratos，在全球擁有逾200個衛星天線及數十個地面站的KSAT，專門開發衛星飛行軟體框架及任務控制軟體的Kubos，提供衛星地面服務解決方案的Viasat，以及衛星通訊業者US Electrodynamics。</p> <p>Azure網路的首席專案經理Yves Pitsch解釋，Azure Orbital將讓衛星營運商得以按照排程連繫衛星，並將資料直接下載至Azure的虛擬網路（VNet），Azure VNet是獨立且高度安全的，並受到微軟所持有的逾90種合規性認證的約束。此外，當Azure收到衛星資料後，就能立即藉由該平臺的各式服務來處理與儲存它們。</p> <p>另一方面，AWS則是在2018年就發表AWS Ground Station地面站即服務，<a href="https://blog.aboutamazon.com/innovation/amazon-web-services-unveils-new-space-business-segment" target="_blank">更於今年</a>直接成立航太與衛星解決方案事業部，針對航太及衛星產業發動攻勢，企圖改變太空系統架構，協助太空產業轉型，也會推出各種新服務以支援於地球或軌道上處理太空資料，以及服務全球政府與企業的太空計畫。</p> </div></div></div>
2020/9/24 09:35作者陳曉莉https://www.ithome.com.tw/news/140160
【活用多種資安框架，建構面面俱到的資安策略】擬定完整資安策略，需從四大構面著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業準備要推動資安防護的工作時，可能已經聽過不少資安概念與框架，但太多的資訊仍讓企業不知從何下手，或者是只在遇到資安事件時，著急解決當下的問題。</p> <p>因此，現在一些企業最常見的難題，就是資安策略不夠明確、難以實踐，那麼，我們能否有更有更好的做法，來建立資安防護策略？在上個月舉行的2020臺灣資安大會上，戴夫寇爾執行長兼共同創辦人翁浩正認為，資安不能一直處於短期應急的狀態，必須要有中長期的規畫，而活用資安框架，就是幫助企業擬定長期資安策略的重要工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover2-500-1.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>擬定資安策略需活用資安框架，在2020臺灣資安大會上，戴夫寇爾執行長兼共同創辦人翁浩正（圖左），與該公司另一位事業發展經理鍾澤華（圖右），共同說明擬定資安策略的基礎就是資安框架，並要能夠從風險、程序、控制與技術層面來對應。</strong></span></p> <p><span style="font-size:28px;"><strong>規畫資安策略要同時從風險、程序、控制與技術面看起</strong></span></p> <p>關於資安策略需要關注的構面有那些？在這次活動上，翁浩正與該公司一位事業發展經理鍾澤華，他們從風險、程序、控制與技術面，並搭配熱門資安框架與Cyber Defense Matrix模型的應用，讓企業在資安策略擬定上能套用更具邏輯的方法。</p> <p>翁浩正表示，在他們紅隊演練經驗中，當企業收到技術報告，雖然技術人員可以理解漏洞問題、入侵途徑與解決之道，但從企業資安高層角度來看，將是資安策略該如何定義。對此，他們利用現有資安框架，剖繪出可綜覽全局又立體的構面，提出具體參考建議。讓企業不論在平時或演練後，能有好的方式去規畫資安策略。</p> <p>對於規畫資安策略這件事，翁浩正用相當白話的方式來解釋，他說，資安策略就等於是有順序的代辦清單，當中包括了短期、中期與長期的計畫，同時，資安策略也等於企業導入防禦措施後仍須持續處理的事項。而這裡有兩個重點，一是順序，一是導入後持續降低風險，是他特別強調的部分。</p> <p>那麼，資安策略該如何擬定呢？翁浩正指出：「資安策略的基礎是資安框架，而資安框架要有效果，要靠真實威脅調整。」只是，雖然參考這些框架就可以事半功倍，但彼此間的關連，以及如何應用，仍是不少人會問的問題。</p> <p><span style="font-size:28px;"><strong>制定各層面資安策略，可仰賴對應的資安框架</strong></span></p> <p>為了讓各界更清楚這些資安框架的定位，鍾澤華從企業資安管理階層與資安框架的關連說起。</p> <p>對此，他們定義出企業內有4種資安人員，角色層級分別是資安長、資安官、資安主管，與第一線資安人員，因此，企業制定資安策略將以由上而下的方式來進行，而這些不同層級也意謂著，將從風險、程序、控制與技術，來建構出完整的安全層面。（編按：關於上述資安官一詞，意指資安高階主管，而非中國用法是指資安長，特此說明）</p> <p>在這4大層面中，資安上的任務各自不同，翁浩正表示，各層都有對應的資源可以參考，他從SANS歸納的風險框架（Risk framework）、計畫框架（Program framework），以及控制框架（Control framework）來說明。</p> <p>例如，以資安長而言，主要考量的是風險與風險評鑑等，相關風險框架可參考的資源，包含NIST 800-39、NIST 800-30，以及ISO 27005與CIS RAM；在資安官的角色上，主要著重在程序面，相關計畫框架可參考資安管理上所熟知的ISO 27001，以及近年熱門的NIST CSF；在資安主管方面，關注的是控制措施該怎麼做，包括控制項較具體的NIST 800-53、CIS CSC；最後的是第一線資安人員，或是一般技術人員，他們專注在技術面，主要掌握的是防禦解決方案與服務。</p> <p>對此，翁浩正也補充說明，例如，在資安高階主管負責的程序面來說，當中可對應NIST CSF與ISO 27001，他認為這兩種框架可以互補，主要依據使用情境；而在資安主管負責的控制面來說，如果企業不知該如何做好控制，他非常建議企業可以參考CIS CSC，也就是CIS Controls，從中找到企業本身所需。</p> <p>更重要的是，翁浩正認為，藉由這樣的架構，將有助於企業釐清更多資安上的問題，他並提醒要用長期方式來規畫，像是3年或5年，要求自己達到更好的控制。</p> <p><span style="font-size:28px;"><a href="https://www.ithome.com.tw/article/140101" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> 資安框架活用新思維</strong></a></span></p> </div></div></div>
2020/9/24 08:00作者羅正漢https://www.ithome.com.tw/news/140092
【用Cyber Defense Matrix搭配資安框架改善資安弱點】資安策略成效要靠真實威脅調整
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業在擬定資安策略後，如何驗證，以及要讓資安框架更有效果，仍要靠真實威脅調整。戴夫寇爾執行長兼共同創辦人翁浩正表示，他們從自身幫助客戶進行紅隊演練的經驗，來說明在面對真實威脅時，可以如何透過活用資安框架，去緩解一連串的脆弱環節。</p> <p><a href="https://www.ithome.com.tw/news/140092" target="_blank">在先前的部分，他們已經說明了各管理階層的考量</a>，包含：資安長、資安官（資安高階主管）、資安主管，與第一線資安人員，由上而下分別對應風險、程序、控制與技術的層面，各自有可以參考的資安框架，視為資安策略的基礎。但不僅於此，從攻擊角度來看，這樣的4層架構，其實也能有助於做好資安的驗證與精進。</p> <p>戴夫寇爾事業發展經理鍾澤華表示，當發生資安事件或進行攻防演練，也可透過由下而上的方式，來檢視每一層是否能做好管控。</p> <p>以最下一層的資安設備及服務而言，他舉例，當廠商聲稱有一個100%防禦無敵的解決方案，企業該如何搞懂實際該解決方案的適用範疇？對此，他談到了一個安全模型Cyber Defense Matrix（CDM）。</p> <p>這是2016年美國銀行擔任首席安全科學家的Sounil Yu所提出，並納入OWASP，或稱之為OWASP CDM，目前臺灣較少人提及。</p> <p>簡單來說，這個CDM其實就是一個5乘5的矩陣，橫軸分別是NIST CSF的五大類別，項目包括：識別、保護、偵測、回應、復原，並且加入了以資產類別畫分的縱軸，項目分別是：設備（Devices）、（Application）、應用程式（Application）、網路（Network），資料（Data）與人員（User）。</p> <p>透過這樣的CDM矩陣，企業要知道每個解決方案所涵蓋的面向，就能有較容易的方式，去看待與盤點這些產品。換言之，用CDM矩陣將能有更直觀的方式，掌握到企業本身的資安缺口。而且，這種衡量方式，可以更簡單去理解，一個解決方案無法解決一切問題。</p> <p>不過，翁浩正也強調，這並不是要企業拼命買設備與解決方案，以填補資安缺口。若將先前所提的4層架構立體化，這個CDM矩陣，不只是可以應用在最下方的技術層，他們也提出可將不同層串接在一起的概念，如此一來，企業將可知道攻擊由下而上穿透時，有那些部分還沒有顧到。他舉例，企業除了從最下層的方案面來著手，往上也能藉由流程面的資安框架來因應，補足設備面的不足，但也不能全靠流程面來解決就是，因此需要平衡。</p> <p><span style="font-size:28px;"><strong>對於資安策略規畫與精進，可從真實威脅來驗證</strong></span></p> <p>為了讓大家更好理解上述概念，翁浩正與鍾澤華也特別從他們紅隊演練的經驗，透過實際的案例來說明。企業除了由上而下做到資安策略規畫，也能利用上述資安框架與模型，透過演練結果由下而上去回顧與精進。</p> <p><span style="color:#800000;"><strong>利用紅隊演練結果案例找出實際威脅</strong></span></p> <p>翁浩正以一場實際紅隊演練來說明。他指出，在攻擊過程中，他們先是找出了該企業對外網站上的漏洞，這是企業率先遭攻擊的防禦弱點。</p> <p>值得注意的是，該網站是一個網站管理後臺系統，但因疏於管理，所以被他們找到了任意上傳檔案漏洞，因此可以上傳Webshell後門，之後透過記憶體分析得到管理者密碼的雜湊，經破解密碼，進而取得一個管理者的關鍵帳號，而這個帳號能夠登入另外30多臺主機，他們在這些主機上蒐集帳密後，又找到一個主機的網站程式碼，因此取得關鍵連線資料庫的IP位址與帳號密碼，取得了企業的申請業務的敏感個資資料。</p> <p>接下來，紅隊進一步瞄準目標內網的控制權，由於他們先前入侵的網站管理後臺系統，本身也有串連到內部網路，因此紅隊循此路徑，就進入了企業的內部網路。他們先是透過WMI取得內網一臺主機的管理者帳號，仿效先前的攻擊手法，從記憶體分析出更多的帳號與密碼，包括取得了可登入RDP服務的子管理者帳密，可控制21臺主機並且持續蒐集帳密。</p> <p>特別的是，他們還得到了另一臺主機的PMPweb帳號密碼，以及從這些主機中得到一個備份的帳號密碼，最終，他們藉由取得的一個網域／目錄（AD）伺服器的備份檔，找出AD內的密碼雜湊，破解後進而得到大量使用者的資料。翁浩正提醒，現在許多的備份方案，都希望企業的備份帳號具有最高權限，等同於管理者帳號，由於這個備份帳號可以取得全部的資料，一旦被竊取，後果相當嚴重。</p> <p>從上述攻擊結果來看，企業會發現防禦有那些問題？從一般簡單的推想來看，鍾澤華說明，首先就是程式寫不好，所以該網站管理後臺系統可以被上傳Webshell，還有就是在偵測機制上的不足，回應時間不夠即時，以及帳號密碼或網路管理的問題，但是，問題就只有這樣嗎？</p> <p>對此，鍾澤華特別強調，這也是企業為何需要框架或標準的原因，因為這些內容其實已經設想了多數常犯的錯誤，而透過將資安標準結合前述CDM矩陣的使用方式，將讓企業可以更精確的盤點出完整防護能力，例如，在防禦縱深的哪一階段沒有做好，才能知道要挑選何種設備、增加什麼樣的程序，以及需要強化的控制措施。</p> <p>如果沒有這樣的架構，鍾澤華強調，企業將無法知道問題，也就是看出風險或安全問題的全貌，而且，只要這些問題有一小部分沒有解決，這意謂著這個風險其實是持續存在的。</p> <p><strong><span style="font-size:28px;">該如何依據攻擊演練結果修正資安問題？</span></strong></p> <p>對於企業待補強的防禦縱深機制，鍾澤華表示，在使用方法上，CDM矩陣不只適用於技術層，具體而言，往上也能對應到控制層與程序層，透過資安框架的活用，並要能夠瞭解不同層之間如何串接在一起。</p> <p><span style="color:#800000;"><strong>在控制層依循CIS CSC來管控</strong></span></p> <p>他以控制層為例，透過資安框架CIS CSC控制項搭配CDM矩陣，說明上述紅隊演練結果所對應的內容。</p> <p>在上述紅隊演練結果中，可以先整理出可對應的相關CSC控制項，總共包含21項，例如：4.2的變更預設密碼，6.3的開啟更詳盡的日誌記錄，12.1的維護網路邊界清單等。</p> <p>而這些項目，將可對應到CDM矩陣中的不同位置，讓企業更具體知道其涵蓋範圍。例如，4.2的變更預設密碼，是在設備與保護的面向：6.3的開啟更詳盡的日誌記錄，是在網路與偵測的面向；以及12.1的維護網路邊界清單，是在網路與識別的面向。</p> <p>同時，鍾澤華還說明了一個重要的觀念，就是要制定優先順序（優先權），才能夠一步步解決問題。簡單而言，CIS CSC可分成基本型、基礎型與組織型，並依據企業規模（Implementation Group）分成IG1、IG2與IG3，他表示，最優先要做的項目是基本型IG1，接著是基礎型IG1、組織型IG1，再來才是基本型IG2，以此類推。</p> <p>例如，在使用者與保護面向的4.2變更預設密碼，就是該次紅隊演練後首要做到的控制項，然後再陸續達到其他20個控制項的要求。</p> <p><span style="color:#800000;"><strong>從程序面借助ISO 27001來補強</strong></span></p> <p>進一步來看，在控制面之外，還有另一個重要關鍵，是在程序面是否能與控制面做結合，例如，這些控制項是否對應到ISO 27001的項目。鍾澤華表示，當控制措施對應程序層，才能夠更完整思考企業防禦策略的問題在哪裡，例如，套用到Cyber Defense Matrix矩陣後，像是在網路與偵測面向的6.3開啟更詳盡的日誌記錄，從ISO 27001來看將是A16.1.5對資訊安全事故的回應，但此一程序面其實不只是包含於偵測，還有回應、復原。綜合來說，可藉此發現待補強的防禦縱深機制。綜合來看，透過設備、程序與流程面的搭配，才能夠降低弱點被利用的可能性，而上述例子，也就是說明了要從更完整的角度，以檢視面對真實威脅的緩解方式。</p> <p>另外，鍾澤華提醒，標準跟框架其實都是一個輔助工具，畢竟框架本身有些要求相當高標，即便國內大企業都不一定是有預算，就能做到，例如，一些控制項要以自動化來完成，因此，企業最好將它們當成思考方針來看待，並依據資源決定要做到什麼程度。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>何謂Cyber Defense Matrix？</strong></span></span></p> <p><strong><span style="color:#696969;">關於Cyber Defense Matrix的發展，這是2016年美國銀行擔任首席安全科學家的Sounil Yu提出，目前他任職SCVX Corp和FAIR Institute的董事會，並以兼職教授身分教授資訊安全。這個矩陣的橫軸，是NIST CSF的五大類別，而縱軸則是資產類別，可幫助企業理解供應商產品的用途面，並讓整體資安綜合防護的評估更有邏輯與結構。特別的是，這樣的矩陣也漸漸受到業界關注，例如，這個矩陣也納入OWASP當中，而近年RSAC大會上，Sounil Yu也多次在發表相關內容，特別的是，在今年RSAC大會2020現場，會中也提供了Cyber Defense Matrix（CDM）Learning Lab的活動，讓與會者能以互動形式，實際體驗這項矩陣的用法。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：Sounil Yu，iThome整理，2020年9月</span></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96B%EF%BC%89Part2_%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6%E8%88%87Cyber%20Defense%20Matrix.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">對於Cyber Defense Matrix的應用，Sounil Yu提到幾個實例。例如，可藉由矩陣幫助資安防護產品分類，以盤點產品類型對應在矩陣上的範疇，也有類型是跨區塊。以Network Security而言，涵蓋面是網路的保護，而以DDoS Mitigation類型而言，涵蓋是網路的偵測與回應，兩者都是部分的網路面，不能涵蓋到裝置、應用程式、資料與使用者。</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96A%EF%BC%89Part2_%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6%E8%88%87Cyber%20Defense%20Matrix(1).jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">另一個應用實例，Sounil Yu在2019年也以當年RSAC新創業者來舉例，用Cyber Defense Matrix將這些業者分類，可以看出該年資安新創的發展趨勢，是聚焦在那個面向。</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>可借助將CIS CSC融入Cyber Defense Matrix的應用方式，做好控制層的資安管控與規畫</strong></span></span></p> <p><strong><span style="color:#696969;">以資安主管負責的控制層為例，將資安框架CIS CSC控制項對應到Cyber Defense Matrix來檢視，例如，圖中淺藍色是基本型控制項、灰色是基礎型控制項，深藍色則是組織型控制項，可讓企業更具體知道各控制項的涵蓋範圍，並能用於制定資安改善優先順序。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：戴夫寇爾，iThome整理，2020年9月</span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0924-cover3-graph%20big%2001(1).jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1413,height=726'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover3-graph%20small%2001.jpg" style="width: 600px;" /></a></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>如何透過演練結果調整資安策略？可將發現問題套用到與CDM結合的CIS CSC，再依最低實施要求依序強化</strong></span></span></p> <p><strong><span style="color:#696969;">對應攻擊演練結果，企業能夠將資安標準與Cyber Defense Matrix結合使用，以盤點需要強化的設備、控制措施與程序。以上述紅隊演練結果為例，就控制面而言，企業在此案例中，可以利用CIS CSC，先找出需強化的21個控制項，接著標示3大控制群組類型，再依據各控制項的最低實施要求，來決定這項風險企業該補強的先後順序。值得注意的是，這裡建議的順序排列，是從基本型IG1、基礎型IG1、組織型IG1，再來才是基本型IG2、基礎型IG2、組織型IG2，循序做到補強。在此例中，企業第一個動作就是針對「4.2變更預設密碼」先做改善，有順序性的達到目標。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：戴夫寇爾，iThome整理，2020年9月</span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0924-cover3-graph big 02.jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1408,height=840'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover3-graph%20small%2002.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/140101" style="font-size: 28px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> 資安框架活用新思維</strong></a></p> </div></div></div>
2020/9/24 08:00作者羅正漢https://www.ithome.com.tw/news/140095
【面對多種資安標準遵循要求，要設法融會貫通，而非各行其是】建立統一的管理制度，同時對應IT與OT資安防護需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位轉型的風潮之下，為了因應各種資料交換與分析的需求，IT（資訊科技）與OT（營運科技）環境的融合已成必然的趨勢，但這也打破了過往OT環境的網路實體隔離，減少保護，再加上OT環境的設備往往採用相對老舊的作業系統平臺，不僅存在許多漏洞，也因為需要持續運作，即使有對應的修補程式與軟體、韌體的更新版本，也不易找到合適的空檔來套用，結果導致OT環境面臨極大的資安風險。</p> <p>而在今年的臺灣資安大會的OT安全論壇當中，資誠（PwC）智能風險管理諮詢公司風險及控制執行董事張晉瑞，也針對上述這樣的防護實作困境，提出建議，他認為，可透過資安認證與框架的導入，持續落實與強化工控系統安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover4-%E5%BC%B5%E6%99%89%E7%91%9E.jpg" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">隨著工業控制系統環境實體隔離的狀態逐漸被打破，許多企業在推動資安防護的工作上，也需要涵蓋到OT的網路存取風險與威脅控制，資誠智能風險管理諮詢公司風險及控制執行董事張晉瑞表示，我們可以將資安規範融合，建立可適用於不同資安框架要求的管理制度。</span></strong></p> <p><span style="font-size:28px;"><strong>工控系統的資安問題，來自外部威脅、政府管制及內部風險</strong></span></p> <p>工業控制系統（ICS）或OT相關的網路威脅，已經是真實發生的事件，張晉瑞舉出一些實例來證明。回顧過去這十多年，全球各地已陸續發生相關的重大資安事故，像是：2008年土耳其輸油管線被攻擊，2010年伊朗核電廠遭到Stuxnet惡意程式攻擊，2015年烏克蘭因惡意程式攻擊發電廠的SCADA系統，而發生大停電，以至2018年WannaCry勒索軟體攻擊臺灣半導體公司，到了今年，也出現攻擊廢水處理設施的事件。</p> <p>而在設備製造商的部份，政府也開始祭出鐵腕，對於沒有做好產品安全的業者提出法律控告，例如，美國聯邦交易委員會就針對網路設備廠商發起訴訟，去年7月達成和解，但條件是導入軟體安全防護計畫，確保他們生產的無線網路路由器和網路攝影機是安全的。</p> <p>另一個資安風險的議題，是與近期興起的工業4.0、智能製造的風潮有關，企業必須儘快發展，而廠商的解決方案未實現完整的資安風險控管框架。有企業在完成相關的規畫之後找上PwC，請他們幫忙評估安全性，結果發現當中對於這方面並未多做著墨，例如，在設計這類解決方案時，因為想得到效果，對於存取權限提升、變更程序，並無考量安全性的因素。張晉瑞認為，當中可能存在6大風險：未訂定資訊安全政策、未訂定開發及維護管理標準作業規範、產品存取控制技術老舊（明碼處理／未加密）、供應鏈安全交互關係不清（多個供應商各自該負起的責任）、無資訊安全事故管理機制、沒有資安資產盤點管理。</p> <p>為何工業控制系統安全難管理？張晉瑞認為，可區分為IT和OT，IT是指企業整體資訊治理，而OT是指工業現場資安管理。</p> <p>對IT而言，會有6大問題，首先，工業控制系統難盤點，因此無法管理（設備位於產線現場，IT人員不知數量、無法即時監控，且正式上線後就未關機，一旦將其關機，後續可能無法重啟）；第二，面對智能設備製造現場的網路環境，缺少安全監測防護措施；第三，企業內未設置負責網路安全的專門組織和力量，未制定防護、應急和恢復的預備計畫（可能由IT人員兼任、處於人力與資源不足的狀態，且不像金融業有相關法律遵循要求）；第四，普遍處於沒有任何防護手段的空窗狀態；第五，企業不了解的智慧製造系統資產，以及系統如何互聯；第六，對於當前的勒索軟體危害與安全事件發展趨勢和應對策略，缺乏了解。</p> <p>在OT的部份，也有許多挑戰。例如，本身的資安認知不足（過去並未考慮資安防護需求）、不了解物聯網與雲端資安威脅及需求、內部沒有資安組織及合規知識、欠缺資安人力資源規畫、對自身資安應變措施一無所知，老舊設備無法更新資安修補程式，而在面對資安需求時，往往也需要供應商協助。</p> <p><span style="font-size:28px;"><strong>資安治理、IT安全、OT安全要均衡發展，可兼容多種框架</strong></span></p> <p>若要全面確保IT與OT整體安全防護，我們可透過資安認證與相關管理框架的導入來持續落實。從企業的角度來看，IT安全已投入許多資源來進行，雖然不同公司的成熟度有別，但至少對這個議題有一定程度的了解，然而，若公司的環境同時存在著OT設備與技術，並不希望顧此失彼，仍須關注相關安全議題，因此，要追求的是企業整體資安治理，並且兼顧IT與OT這兩邊的防護。</p> <p>在IT安全的部份，我們對於應用程式、系統如何設計、修改與管理，都較為熟悉，而從制度面來要求時，會透過ISO 27001來推動，當中融合資安管理制度與控制技術，至於OT安全的部份，則是遵循IEC 62443，並且融合物聯網與雲端的工業控制系統防護機制</p> <p>然而，面對這樣不同的資安需求，只能各行其是？張晉瑞說：「我們難道要左邊穿一件衣服，右邊也穿一件衣服嗎？兩邊的制度還不一樣，這很不合理。」因此，要從整個企業資訊安全的角度來考量，此時，我們可以參考NIST Cybersecurity Framework（CSF），透過識別、保護、偵測、回應、復原等面向，來進行資安管理。</p> <p>而在IT安全的作法上，我們可以運用ISO 27001的管理制度，來評估風險、重要性，再把資源放在較優先處理的部分，這是風險管理的過程；而OT安全的作法上，目前最熱門的議題就是關於IEC 62443的標準，它就是針對OT、工控系統的安全規範，而我們可以參考當中的要求來強化防護。</p> <p>不過，這樣的局面可能會讓人感到混亂，因為一邊要做ISO 27001，但另一邊要做IEC 62443，張晉瑞說，「一家大公司同時穿好幾件衣服，很奇怪」，因此，他呼籲我們該思考的是，如何將這些資安規範融合在一起。</p> <p>針對這樣的需求，張晉瑞也用他們為一家製造業控股公司的規畫，來說明實際的作法。一般而言，想要實現管理目標，固然有許多面向要考量，但相關的因應作為是可以兼容各種要求，舉例來說，IT的部份，我們可能已經導入ISO 27001，而有144個控制項，而在OT的部份，導入IEC 62443，又有一些必須採用的控制手段，甚至我們還可以將道瓊永續指數（DJSI）整合進去對應。</p> <p>如果有些企業需要取得這樣的分數，由於DJSI近幾年來也開始針對資安層面提出問題，他們會詢問企業相關的控管防護程度、是否有所作為，然而，企業若被對方要求揭露這樣的資訊，張晉瑞說，難道要為了DJSI重新做一套？事實上，相關作為是一樣的，但提報給DJSI的作法是有對應的，而且是能符合當中的特定條款規範，以及提供回覆方式，因此，只需做一次就能因應多種相關的要求，就像「穿一件衣服，就能因應三種不同的場合需求」早上要開會、中午要與客戶見面、晚上要參加宴會，都只需要穿著同一套服裝，而這也是企業要追求的目標。張晉瑞強調，並不是透過一個個資安框架的導入來達成要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover4-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>企業若要做好IT與OT的資安防護，不只是要針對這些場域推動相關的控管與評估作業，同時，也需要從資安治理的角度來縱觀全局。</strong>圖片來源／資誠智能風險管理諮詢公司</span></p> <p><span style="font-size:28px;"><strong>了解IEC 62443架構與認證範圍，可用來協助資安策略規畫</strong></span></p> <p>而在IT與OT並存的營運架構下，企業該如何檢視與實施資安控管與防護？基本上，我們可區分為5個層級，最頂端是企業管理層，接下來是業務邏輯層，當中有ERP等各種管理系統，也是IT安全過去經常要去強化的部份，再往下是OT的範疇，裡面包含了營運管理層（MES）、流程監控層（SCADA）、自動控制層（PLC）、現場設備層（感測器、致動器），而在後三層當中，就有工業控制系統的設備。面對這些層級，該把風險管理的重點擺在哪裡？我們必須要有制度規範來找出這些關鍵。</p> <p>以IEC 62443而言，分成4個區塊。</p> <p>第1部分（IEC 62443-1系列）是這項標準的概論與通用介紹，包含4種規範。</p> <p>第2部分（IEC 62443-2系列）是「政策」與「執行程序」，主要規範的對象是業主（Asset Owner），例如，高鐵公司想要管理自動控制系統的資安，因此想要推動相關的制度，該公司就是業主，他們就可以選擇IEC 62443-2-1，他們需要導入工業自動化與控制系統（Industrial Automation and Control System，IACS）的安全管理系統，而這系統就像ISO 27001的第二管理系統。</p> <p>張晉瑞說，在規範當中只要提到「Requirement」的部份，都是可驗證的（Cross-validation，CV）、驗證公司可發證書的；而對於提供解決方案的供應商要求，可參考IEC 62443-2-4的規範。</p> <p>第3部分（IEC 62443-3系列）是針對「系統」。如果業主需採用監控系統，有廠商想要投標、負責這項建置案，那麼，廠商遵循的標準，就是這邊的規範，因為此部分要求遵循的對象正是系統整合者（System Integrator），該廠商要注意當中的系統安全要求，以及資安等級。張晉瑞也舉例說明這邊的原則，例如，一般人使用的可能是第一級，企業用的是第二級，軍用是第三級，需上到太空的是第四級。而有了這些依據，廠商就可以去規畫承包的監控系統。</p> <p>第4部分（IEC 62443-4系列）是針對「元件」。一家廠商提供的解決方案，未必全部由他們生產、製造，可能會使用到多個元件，像是監視器、硬碟、路由器，廠商再將這些元件組成一整套系統，而元件的供應商可以考量是否遵循相關的OT安全標準。</p> <p>以IEC 62443-4-2來看，所規範的就是元件本身的產品安全，是否符合技術規格的需求，不過，產品送驗時通常都是最佳狀態，但驗過之後，還是有可能因為受到修改而未能維持高水準，張晉瑞表示，因此，現在的趨勢是，驗證必須同時涵蓋IEC 62443-4-1（安全的軟體開發生命週期，SSDLC）。</p> <p>簡而言之，如果你是元件提供商，可考慮IEC 62443-4-1、IEC 62443-4-2；如果你是系統整合廠商，考慮IEC 62443-3-3、IEC 62443-2-4；如果你是業主，要知道如何管理，或要求供應商注意安全，注意IEC 62443-2-1、IEC 62443-2-4；其餘的部份（IEC 62443-1）是這項標準的指南，所有人都可以參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover4-600-1.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>IEC 62443是針對工控系統的資訊安全認證，由外而內依序包含通用、政策與程序、系統、元件等四大項目，我們可分別針對企業整體、資產擁有者、系統整合商、產品或服務供應商，來進行檢核和查驗。</strong>圖片來源／資誠智能風險管理諮詢公司</span></p> <p><span style="font-size:28px;"><strong>建立統一的管理制度，將資源放在重要、高風險的部份</strong></span></p> <p>關於IT與OT融合，已是企業須面對的挑戰，然而，在資安防護的工作推動上，我們該思考的是如何提升效率，而不只是扮演救火的角色，疲於奔命。</p> <p>張晉瑞認為，要做好資安，並不只是區分IT與OT，各行其是，而應該要好好的一起做。</p> <p>一般而言，我們往往若面臨資安問題、事故，就必須設法修補與善後，但不一定能掌握IT與OT資產的風險，以及重要性的高低，因此出現資源不斷投入，成效卻不彰的狀況。然而，企業的資源（人力、預算）有限，因此，我們還是要思考整體資安的管理，注意哪些組織要對流程進行管控、稽核，並且制定策略、實施正確的處置措施。</p> <p>此時，若能有一套管理制度，企業就可以知道哪些是重要的、風險較高的部分，再將資源放在這邊，就能有效保護重要資產、大幅降低風險。而在實際營運的過程當中，我們也會面臨種種工作的要求，可參考資安認證的標準來驗證，舉例來說，在弱點更新的管理上，在ISO 27001裡面，我們可參考A.12.6技術脆弱性管理的規範，如果是OT的部份，則可根據IEC 62443-2-3 IACS環境的弱點修補管理來進行控管。</p> <p>整體而言，張晉瑞建議，上述這些都是該做的項目，但我們應該想的是如何由上而下，而且是橫跨整個企業來施行，以及該把資源放在何處較適當。若能建立一套管理制度，就能夠幫我們找到開始著手的起點，知道從哪裡開始做，而相關規畫，企業可以自己做，或找專業顧問公司來協助。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>兼容各種資安制度的資安成熟度評估模型</strong></span></span></p> <p><span style="color:#696969;">資料來源：資誠智能風險管理諮詢公司，iThome製表，2020年8月</span></p> <p class="rtecenter"><span style="color:#696969;"><a href="https://s4.itho.me/sites/default/files/files/0924-cover4-graph%20big.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1409,height=547'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-cover4-small.png" style="width: 600px;" /></a></span></p> <p><a href="https://www.ithome.com.tw/article/140101" style="font-size: 28px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> 資安框架活用新思維</strong></a></p> </div></div></div>
2020/9/24 08:00作者李宗翰https://www.ithome.com.tw/news/140100
合庫靠數據驅動數位轉型，要讓資料變成關鍵戰略資產
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家走過70幾個年頭，擁有8,400名員工的老牌公股銀行，要推動數位轉型是多大挑戰？一肩接下逐步改造全組織任務的合作金庫銀行（簡稱合庫）電子金融部最清楚。</p> <p>「用數據作為基礎，來訂定和管理合庫的業務發展策略，取代過去靠經驗法則決策的作法。」合作金庫銀行電子金融部協理張孝維道出合庫轉型戰略的三大核心：策略、人力、管理。</p> <p><span style="font-size:28px;"><strong>建置個金、企金360度客戶視圖，作為資料驅動決策之基礎</strong></span></p> <p>合庫要靠資料驅動決策的戰略，先從對顧客數據的運用方式，展開數位大改造。早在2018年，合庫便開始建置360度客戶視圖分析系統，先從個人戶做起，2020年，更進一步擴大到企業戶。合庫的目標是，未來銀行內各部門都能以數據分析或視覺化數據成果，作為各種業務的出發點，要將數據資料真的變成一種戰略資產。</p> <p>為了建置這套分析系統，合庫先從個金內部資料開始盤點，梳理與顧客帳戶或交易相關的系統數據，並導入數位軌跡工具，蒐集顧客在合庫網站、行動App等的行為資料。不只如此，合庫還同步引入多項政府公開資料源，以獲取更多參考資訊，來建置多個不同主題的資料市集，囊括多維度顧客屬性標籤。</p> <p>張孝維提到，不同的數據代表不同的特性，在數據分析上就要有更多標籤。當合庫的標籤越來越多元化，對顧客的了解就越趨完整，「360度客戶視圖最終目標就是全方位刻劃顧客樣貌。」</p> <p>完成了數據貼標後，下一步，合庫就會開始針對不同業務目標建模。為了挖掘各種分析應用，合庫的電金單位、資訊單位，以及數據分析人員，每年都會與各業務單位合作，共同執行數據專案，針對不同業務主題，執行合適的分析方法，並結合商業智慧（BI）系統視覺化的呈現，為各業務解決問題。「透過內部、外部蒐集到的資料，用自動化方式整合起來，再用一個較好的介面呈現，來讓業管單位進行決策。」他說。</p> <p>目前，合庫在個金的360度客戶視圖應用領域，已經涵蓋了信用卡業務、理財業務、放款業務等。張孝維舉例，像房貸增貸就是一種應用，這是舊顧客的新貸款需求，一名顧客原本用一套房子向合庫貸款800萬元，經過幾年後，已還款300萬元，只剩下500萬貸款，反過來說，這間房子的貸款額度空間還有300萬元，合庫就會希望顧客再來貸款。透過客戶視圖的數據分析，就能找到這群對象來進行接觸。</p> <p>張孝維更提到，使用數據分析模型來行銷，跟過往行銷作法的差別很大。「在這不斷建模的過程中，合庫資料市集的模型也會越來越充實，往後，就能運用在更多不同的業務。」</p> <p>360度客戶視圖在個金應用逐漸展現成果，合庫也在今年啟動了企金部分的專案，相較於個金，合庫透露，企金專案，撈取的資料會更多，除了交易資料與公開資料之外，還會有企業客戶的資金鏈，以及企業戶與上下游之間的關係。「供應鏈金融絕對是重要關鍵，當銀行想了解一家企業客戶，從其上下游著手會最清楚。」張孝維直言。</p> <p>此外，合庫還會去撈取公開資料上的輿情資料，也就是企業客戶的正負面新聞，來讓業管單位判斷貸放與否，客戶視圖除了挖掘商機，也可讓分行放貸時有個參考依據。合庫更透露，企金部分的360度客戶視圖，預計明年能上線。</p> <p>360度客戶視圖不是合庫第一次善用數據的應用。早在2016年，合庫就開始發展大數據分析，主要用於行銷。過去，電銷人員要打10通電話才能賣出1份理財產品，後來透過大數據資料庫的建檔，篩選名單後，現在只要打2通電話，就能做到一樣的業績。</p> <p>合庫透過自主創建的模型，在700多萬客戶海量資料中，進行多維度演算，如進行多階變數分析，並同步加入顧客地理與行為特徵等架構，來增加數據的多樣性，用來預測顧客現階段金融需求，進而整合顧客消費習慣與數位行為等資訊。而為了整合更多不同來源及不同特性的數據資料，合庫也不斷調整內部的數據架構，除了既有的關聯式資料倉儲架構外，也早就開始採用商業開源軟體，比如Hadoop，運用MapReduce及Spark等技術，來進行大規模的資料分析。未來，對資料整合與資料治理也有進一步的規畫。</p> <p>在分析工具，合庫目前採用R語言，近期也開始讓內部員工學習Python，為之後進行網頁搜尋的技術做準備，甚至，合庫未來也規畫把客服中心的客訴語音，轉為文字檔後再進行分析。</p> <p>今年，合庫進一步引進了正夯的監督式機器學習技術，透過AI程式訓練資料來建立數據模型，用來推測高關鍵因子的機率，進而打造出潛在客群的機率模型。也將AI模型實際應用到貸款上，讓金融產品滲透率比以往提高2倍以上。</p> <p>合庫對大數據應用的野心不只如此，未來，還計畫強化多元數據分析能力，包含公開資訊、文本分析等技術，並增加數位互動場景建置等。而合庫的360度客戶視圖，也計畫採取更視覺化、更完整的自助式資料模式，讓業務單位自己就能動手，容易分析、運用所需的數據資料，讓更多內部員工或中階主管，也能建立以資料為基礎來決策的習慣。</p> <p><span style="font-size:28px;"><strong>精進數位金融作法，更要強化執行面的創新</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:300px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/0924-%E5%90%88%E5%BA%ABCDO-300.png" style="width: 300px; float: right;" /></td> </tr><tr><td><strong style="color: rgb(105, 105, 105);">既有文化與思維，讓組織內推動數位轉型的腳步快不了，但這是潛移默化的過程，得一步步走，總有一天會走到。── 合作金庫銀行電子金融部協理張孝維</strong><span style="color: rgb(105, 105, 105);">　攝影／洪政偉</span></td> </tr></tbody></table><p>除了在管理面推動數據決策，合庫在策略上又細分為兩部分，一是精進數金的策略，為了因應數位金融需求，合庫也持續與科技公司、顧問公司、智庫、新創孵化器等合作，來提升自家各項服務。二是執行策略，以客戶使用體驗為出發點，來設計前端介面。比如，去年9月，合庫用UI、UX設計理念，將自家行動App全面改版，今年下半更規畫推出手機號碼轉帳、雙語版本等服務。</p> <p>合庫還引進更多數位通路或原有服務的創新作法。去年底在Line與臉書推出的社群機器人「ｉ秘書」則是合庫另一個新的數位通路，提供資訊查詢、商品資訊、行銷推播等服務。這款Chatbot用自然語言處理（NLP）技術，訓練大量用戶問句，再加上各類業務專家的金融知識，來提高用戶意圖的判斷準確度，遇到對話資訊不足以判斷意圖時，也會採取多輪式對話，可記憶對話內容，藉由持續的對話將用戶提問參數化，進而解析出足夠的資訊套用到對話分析中。</p> <p>合庫還有另一項創新應用，去年底開始嘗試推出遠程視訊櫃臺（Video Teller Machine，VTM）試辦，張孝維表示，這臺VTM整合了OCR技術，以辨識顧客申辦開戶的文件，KYC的部分則由客服中心負責進行，除了基本存提也可以提供開戶功能。合庫VTM已在今年3月底完成試辦，是國內兩家投入這項創新應用的銀行之一，合庫正準備向金管會申請正式開辦。未來，可讓顧客在銀行以外的據點，比如百貨公司，也能24小時與客服中心的真人客服連線對話進行開戶，在現場直接發卡給顧客，整個流程大約25分鐘能完成。</p> <p><span style="font-size:28px;"><strong>靠RPA展開內部流程數位大改造</strong></span></p> <p>除了大力發展對外的數位通路，合庫今年也展開內部流程的數位大改造，導入了機器人流程自動化（RPA）。合庫先透過設計思考（Design Thinking）會議，讓各業管單位了解如何盤點流程來尋找RPA切入點。業管單位有了基本概念後，就能自行盤點，從業務角度找出適合RPA的流程，再由電金部針對這些提案進行評分，挑出優先適合導入者。</p> <p>合庫有一套RPA流程導入評分機制，會考慮費力度、適合度、業務價值等面向。一般來說，若有一個流程，承辦人員得打開8、9個系統才能完成，這樣複雜的流程對人員的費力度很高，就是一個需要簡化的流程，改用RPA來做也最適合。另外，如果同一流程，由機器取代人工操作，能節省更多時間，RPA的業務價值就更大，就更值得投入。</p> <p>挑出優先導入的流程後，下一步，就是針對個別流程進行敏捷式開發，合庫會與相關單位共同討論出需求，再把許多流程拆成一個個細項的模組，再讓IT個別開發RPA程式。合庫這麼做的原因是，希望在不同流程找出共同模組，統一由IT進行，來節省開發時間。目前，一條流程的RPA，從專案啟動到開發上線，合庫最快3個月就可以完成。</p> <p>今年，合庫已有6支RPA上線，應用在信用卡、電金部、信託部、個金、法金的流程。比如，信用卡消費爭議帳款處理作業，原有流程需要大量人工登打、查詢及建檔等單純且重覆性高的作業，合庫表示，導入RPA後，減少了原有二分之一的人力時間。後續，合庫還會陸續在開戶流程改善、外幣整批匯款交易導入RPA。甚至，銀行內部還有很多報表系統都適合導入RPA，如貸後異常檢核，可有效控管信用貸款的償還情形；信託保管銀行業務，則可透過結合API技術，加速與金控集團內的橫向溝通。</p> <p>合庫也考慮將RPA結合AI，透過OCR的識別技術來掃描開戶或是信用卡進件的表單，把這些相關資訊放入RPA參數檔，當RPA運作時，就可以模擬傳統人工登錄的動作，快速識別文件的編號、日期、金額，並製作文件。</p> <p>除了管理面、策略面，合庫數位轉型另一大面向，是內部人力的轉型。張孝維表示，合庫有8,400人，大家的思維、背景、專業都不一樣，所以當時在規畫人力的轉型時，整個工程也特別大。</p> <p>合庫推動人力的轉型已有3年。第1年，聚焦訓練電子金融部人員，尤其是數據分析人員，合庫安排了一整年與大數據、AI相關的課程；第2年，則拓展到行員與業管單位；然而，組織裡有決策權的中、高階主管，也需要具備數位轉型思維，所以，從去年底，合庫開始針對中、高階主管開設一系列專班或講座等，研議當代數位轉型、敏捷變革開發的議題，包括總經理、副總們都參與。</p> <p>不過，他坦言，3年下來，實際受訓人數仍然有限，可是，合庫會逐年往這方向繼續邁進，最終目標是提升全行的數位力。「雖然，既有文化與思維下，組織內部數位轉型的腳步快不了；但，這是一個潛移默化的過程，得一步步走，總有一天會走到。」張孝維堅信著。</p> <p>張孝維更提到，從他接掌電金部這3年多以來，主要核心工作就是把轉型方法，逐步帶進合庫的各部處，讓各單位直接執行創新專案，做過之後他們的心態就會有所轉變，然後接受新作法。「先灑下一些種子，總有一天會開花結果。」他這麼認為著。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>張孝維</strong></p> <p><strong>合作金庫銀行電子金融部協理</strong></p> <p>學歷：美國中央奧克拉荷馬大學應用數學所電腦組碩士</p> <p>經歷：在合作金庫銀行有約32年的豐富資歷，早年任職資訊部，2015年擔任合作金庫銀行寶橋分行經理，2017年接任電子金融部協理迄今，負責執行全行數位轉型，以及產出各種創新產品、金融專利及與各式生態圈夥伴合作等業務</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>合作金庫商業銀行</strong></p> <p>● 成立時間：1946年10月5日</p> <p>● 主要業務：提供金融服務。截至2019年底，國內外分支機構達294家，為全國通路數最多的銀行</p> <p>● 董事長：雷仲達</p> <p>● 總經理：陳世卿</p> <p>● 年營收：（淨收益）465.52億元</p> <p>● 員工數：8,400人</p> <p>● 數位部門名稱：電子金融部</p> <p>● 直屬主管：顏武雄</p> <p>● 部門主管：張孝維</p> <p>● 數位部門人數：64人</p> <p>● 數位部門分工：共有5個科別執掌不同業務，分為自動化服務科、電子銀行科、電子商務科、特約商店科、數據分析暨行銷科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電子金融部門大事記 </span></strong></span></p> <p>● 2017年8月：開辦銀行雲支付行動金融卡服務</p> <p>● 2017年9月：開辦mPOS行動收單業務；配合財政部台灣Pay上市及開辦QR Code行動支付</p> <p>● 2017年10月：營業部成立數位體驗區，設備包含遠程視訊櫃臺（VTM）體驗、Pepper迎賓機器人、iPad、指靜脈自動櫃員機</p> <p>● 2018年6月：結合內外部資料進行精準行銷，藉由深入資料挖掘進行樣貌分析及機率模型建置；行動網銀增加生物辨識（指紋與臉部）功能</p> <p>● 2019年2月：大數據分析平臺數位軌跡蒐集暨互動行銷建置</p> <p>● 2019年3月：開放指靜脈無卡提款服務</p> <p>● 2019年9月：以開放API方式提供本行存款商品及匯利率查詢</p> <p>● 2019年10月：遠程視訊櫃臺（VTM）即時開戶、發卡服務上線</p> <p>● 2019年11月：ATM無卡存款、提款服務上線</p> <p>● 2019年12月：Line官方帳號（i秘書）上線</p> <p>● 2020年6月：新臺幣一卡多帳號服務上線；啟動RPA機器人流程自動化</p> <p>● 2020年底：預計上線API管理平臺（APIM）</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0924-he_ku_cdo.png" width="960" height="420" alt="" title="合作金庫銀行電子金融部協理張孝維　（攝影／洪政偉）" /></div></div></div>
2020/9/24 08:00作者李靜宜https://www.ithome.com.tw/people/140102
聊聊自造物理引擎
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對遊戲開發者而言，應該滿熟悉物理引擎的使用，現今已經有不少優秀的物理引擎，有必要自造嗎？當然，可以有各種理由，像是《電玩物理學》中，就談到：「開發遊戲時需要用到某項物理知識時，就將其納入遊戲」、「通用物理引擎的效能可能還會比專用物理引擎差，因為後者是針對所要模擬的對象開發出來的」。</p> <p>對我來說，是因為看到3D列印的同好，運用了粒子系統、彈簧、反向重力等物理模擬，<a href="https://bit.ly/2ExLc9O" target="_blank">將方形迷宮逐步展開為一棵樹</a>，雖然我知道迷宮本身就是個樹狀結構，不過這樣的展示過程還是讓我驚奇不已。</p> <p>之後該位同好又示範了更多物理引擎來做出各種有趣的迷宮，不禁讓我也想試著用OpenSCAD實現看看，畢竟OpenSCAD本身也有製作動畫的功能，問題在於他是用Processing搭配物理引擎做的，然而如果我想在OpenSCAD中玩，代表我須靠自己搞出基本的物理引擎，該入坑嗎？這坑感覺很深啊！</p> <p><span style="font-size:28px;"><strong>物理引擎的入門資源</strong></span></p> <p>在試著理解如何自造物理引擎的過程中，《電玩物理學》看似是個可參考的資源，不過，它比較像是概論，幫你複習一下電玩常用的力學基礎，談談剛體模擬時的積分模型、碰撞、旋轉、連接等，以及物理引擎的基本構成模組等，其中涉及不少公式的導證，然而，程式碼方面的輔助說明少了一些。</p> <p>以我自造dotSCAD的經驗而言，理解公式的來源確實是必要的，不過我更想知道的是：以程式實現時該注意哪些細節？例如，力該如何表示？如何將力套用到一個物體？如果環境中有多個力的來源時，彼此之間該怎麼互動？如何分離力的計算與力的呈現等問題。</p> <p>如果你同我一樣有著以上的疑問，《The Nature of Code》會是個比較合適的資源，可以在網路上免費閱讀或付費購買紙本，當中一到四章從力到粒子系統，都使用了範例逐步實現，第五章談到了如何使用物理引擎（Box2D）。</p> <p>《The Nature of Code》是本2012年出版的書，範例使用Processing實現（也就是Java），不過，最近作者在YouTube錄製了〈The Nature of Code 2〉系列的影片，重新以p5.js（也就是Processing的JavaScript移植版）實現了原書的範例，如果想在網頁上展現一些物理模擬，是非常值得參考的資源。</p> <p><span style="font-size:28px;"><strong>物理模擬的基礎</strong></span></p> <p>在程式中進行物理模擬，自然要去接觸一些座標等計算，因而物理引擎會涉及一些圖學基礎，例如，座標系統的轉換、旋轉公式、向量計算等，這並不是為了繪圖，物理引擎往往是與呈現分離，你只是以物理引擎計算相關資料，取得結果之後，再以想要的方式呈現。</p> <p>物理模擬可以從單一個物體開始，物體可以僅涉及「位置」、「速度」、「加速度」，這麼一來，就可以模擬簡單的物體移動。舉例來說，若物體是a，position是其位置，speed是速度，acceleration是加速度，那麼，下一個畫面的物體位置就是：</p> <pre> a.speed += a.acceleration a.position += a.speed</pre><p>用數值積分方式來解運動方程式是最基本的概念，上式是尤拉法（the Euler method），為最基本的積分方法，雖然不夠精確，容易有誤差，然而易於學習與實作，作為理解物體移動模擬是個不錯的開始，若想認識一下改良方式，可參考《電玩物理學》第七章〈即時模擬〉的內容。</p> <p>由於速度與加速度都有方向，所以，speed、acceleration會以向量表示。因為向量有方向，而position也會以向量表示，因為常會需要從兩個物體的位置計算出法向量之類的需求，那麼，力呢？力有各式各樣的來源，我們可以設計為各個獨立的物件，而對於物體本身來說，我們可以提供一個applyForce方法，接受各種的力的物件。</p> <p>因為物體本身只涉及position、speed，以及acceleration，而力要怎麼改變它們呢？根據牛頓第二定律F=M*A，其中F是力，A是加速度，M是代表質量的純量，F與A是向量，因此A=F/M，你的物體需要有質量屬性mass，applyForce若接受force，applyForce可以實現如下：</p> <pre> acceleration = force / mass; a.acceleration += acceleration;</pre><p>你可以多次呼叫applyForce，將各種力換算為加速度後累加，得到物體最後的加速度，之後就可以用來計算物體的位置，因此力的設計就可以獨立於物體之外，你可以將重力、摩擦力、彈力等獨立設計，或者使用多個物體來組成粒子系統，這些就是《The Nature of Code》一到四章在討論的內容。</p> <p><span style="font-size:28px;"><strong>碰撞偵測的基礎</strong></span></p> <p>《The Nature of Code》第五章之後，使用了物理引擎Box2D的Java實現，如果沒使用過物理引擎，這裡的內容，是可以對物理引擎的世界觀有個基本認識，而且很簡單地就獲得了物體碰撞偵測的功能，只不過到底來說，碰撞偵測是怎麼實現的呢？畢竟物體可能會有各式各樣的外形！</p> <p>在<a href="https://bit.ly/3ltrJIu" target="_blank">〈How to Create a Custom Physics Engine〉</a>的系列文件中，第一篇就談到碰撞偵測的基本原理（之後才談力的套用），最基本的就是軸對齊包圍盒（Axis-aligned Bounding Box，AABB）碰撞偵測，簡單來說，就是偵測矩形是否碰撞，這只要以矩形的最小邊與另一矩形的最大邊來進行判斷，就可以了。</p> <p>問題在於AABB只能處理矩形，而且無法處理旋轉後的情況，這時就要認識分離軸理論（Separating Axis Theorem，SAT），也就是若能在兩個物體間，找到一條可分離兩者的直線，也就是分離軸，而且，這兩個物體之間沒有發生碰撞。</p> <p>比較生動的比喻是，拿著光以各種角度照射兩個物體，如果有某個角度，光可以投射至牆上，表示兩個物體沒有重疊；換個方式來說，只要各種角度下，物體的影子投影至牆上都不重疊，就表示沒有碰撞，也就是說，這種情況下，就可以進一步套用AABB碰撞偵測。</p> <p>問題就在於如何找到分離軸，每個角度都要找嗎？就電腦而言，物體的形狀是由頂點組成，將頂點連接就能組成了多邊形，我們可以把每個邊先當成分離軸，求得的法向量來當成投影軸，然後將投影軸上的影子邊界，以AABB碰撞偵測都檢查一遍，就可以了。</p> <p>SAT的原理比較容易理解，然而缺點是多邊形物體的邊數若增加，效率就會下降，而且只能檢測凸多邊形（可以透過將凹多邊形分解為多個凸多邊形來解決）；如果想要看看如何透過程式碼來實現以上的概念，我們可以參考<a href="https://bit.ly/3ji1W4a" target="_blank">〈遊戲中的碰撞檢測〉</a>，其中使用了JavaScript實現SAT。</p> <p><span style="font-size:28px;"><strong>更多的資源</strong></span></p> <p>認識物理引擎背後的實現原理，從中理解程式面上需要做的考量，以及各種方法的優缺點，其實是滿有趣的摸索過程，我們從中也可以累積閱讀開放原始碼物理引擎的基礎能力。</p> <p>如果你也曾經想要試著自造物理引擎，然而不得其門而入，可以從以上所談及的資源與觀念來試著入門，若需要更多的學習資源，可以參考<a href="https://bit.ly/2Qrkwdq" target="_blank">〈Game physics from scratch〉</a>，當中還有十幾篇文件。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%89%A9%E7%90%86%E5%BC%95%E6%93%8E">物理引擎</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E7%90%86%E6%A8%A1%E6%93%AC">物理模擬</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E9%81%8A%E6%88%B2%E9%96%8B%E7%99%BC">遊戲開發</a></div></div></div>
2020/9/24 08:00作者林信良https://www.ithome.com.tw/voice/140103
臺灣多家主機託管商遭DDoS攻擊，有大量元凶疑是國內IP遭入侵的DVR設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，臺灣有多家主機商傳出遭到DDoS攻擊，包括遠振資訊、捕夢網數位科技、匯智資訊與戰國策集團等其他多家業者，紛紛遇害，而且，目前攻擊仍持續不斷發生，導致這些業者所代管的網站服務都受影響。值得關注的是，由於攻擊對象是這些提供主機代管服務的業者，這造成了他們所代管的網站服務都受影響，更不容忽視的是，這段期間是同時多家業者都遭攻擊，由於臺灣有不少企業採用這類服務，這樣大規模的攻擊態勢，等於臺灣有相當多的企業網站服務都受衝擊，值得國內政府單位與企業關注。</p> <p>關於這次事件，最早公布遭DDoS攻擊的是遠振資訊，在最近連續三天都有發布相關公告。</p> <p>他們先是在9月20日，於官方網站證實遭受攻擊，而根據他們在21日揭露的資訊顯示，這次事件的發生，最早是從週六19日傍晚23時開始，到了隔日20日，情況變得更嚴重，一日內就遭遇3波攻擊，早上、下午與晚上都有，每次都持續1到2小時。</p> <p>這樣的狀況，已導致國內不少企業組織的網站服務受影響。例如，兒童福利聯盟（兒福聯盟）在21日於臉書上公布，該組織官方網站因主機故障以至於無法連線，相關網站也處於同樣狀況，包括愛孩子小舖、兒少權益網、小舵手助學計畫，以及助我長大幫我找家等。這起事件是否與這次DDoS攻擊有關？我們向兒福聯盟詢問，他們表示，他們的主機商是遠振資訊，而他們的網站主要是21日受影響情況嚴重，在22日則時好時壞。從時間點來看，應該就是受到遠振遭受DDoS攻擊的影響。</p> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%9C%8B%E5%85%A7%E5%A4%9A%E5%AE%B6%E4%B8%BB%E6%A9%9F%E8%A8%97%E7%AE%A1%E5%95%86%E9%81%ADDDoS.jpg" style="width: 600px;" /></h2> <blockquote><p>在這波DDoS攻擊之下，由於提供主機代管服務的業者遇害，連帶影響的是各個租用服務的企業或組織，像是兒福聯盟就是一例。</p> </blockquote> <p>不僅如此，在遠振資訊的臉書粉絲專頁上，我們也看到不少網友對於此事留言，顯示了這次災情的衝擊相當之大，例如，有人表示今天一整天已無法接受訂單及出貨，也有人說，他有四臺經銷主機，上百間客戶同時掛點。</p> <p>然而，更引發憂心的是，這波DDoS攻擊的對象不只是一家國內主機商，其實多家業者同樣受害。除了遠振資訊，在22日下午16時，捕夢網數位科技在該公司臉書粉絲專頁上發布訊息，說明正在面臨DDoS攻擊，因此網路無法順利連線；接下來，戰國策在今日凌晨0時50分，也在他們的臉書粉絲專頁表示，他們的機房正連續遭受DDoS攻擊。此外，我們在今日早上11時還發現，戰國策的官方網站也無法開啟。</p> <h2><strong>有業者已遭受10多波攻擊，攻擊最大量達15Gbps</strong></h2> <p>由於DDoS攻擊持續不止，不僅是國內這些主機商可能難以招架，也引發國內許多用戶的擔憂，因為已經造成用戶主機連線緩慢或網站異常，到底廠商因應的現況如何？以及攻擊來源為何？都是關注焦點。</p> <p>對此，遠振資訊技術長吳尚儒提出回應，他表示，該公司遭遇攻擊的時間是從9月19日晚上開始，至今攻擊仍持續，每隔幾小時就發動一次，總計已有十餘波攻擊，而每次攻擊量在數Gbps到15Gbps之間。</p> <p>吳尚儒表示，這波DDoS攻擊帶給他們較嚴重的災情是在20與21兩日，影響範圍遍及他們所管理的數千個IP位址。在因應方式上，他提到已經藉由DDoS流量清洗服務過濾，目前觀測到的攻擊內容，從較單純的各式flood attack，到複雜的Layer 7攻擊都有發現，且攻擊者會轉換攻擊方式，其中當Layer 7的攻擊手發生時，由於他們需進行pattern識別，再配合清洗中心針對特定模式清洗，因此容易出現短暫服務不穩定的情況。此外，他也提到包括選擇國外的清洗服務，以及與遠傳等上游ISP業者一起商討解決方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ddos_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E9%81%A0%E6%8C%AF%E8%B3%87%E8%A8%8A200922.png" style="width: 600px;" /></p> <blockquote><p>關於這波DDoS攻擊，遠振資訊指出，這波攻擊是從9月19日23時開始，在20日與21日為他們帶來極大影響，現在隨著他們持續透過清洗服務來因應，已經好轉。但他們也觀察到攻擊者會轉變DDoS攻擊方式，包括使用Layer 7的攻擊。（圖中時間為UTC）</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）國內多家主機託管商遭DDoS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%9C%8B%E5%85%A7%E5%A4%9A%E5%AE%B6%E4%B8%BB%E6%A9%9F%E8%A8%97%E7%AE%A1%E5%95%86%E9%81%ADDDoS.jpg" style="width: 600px;" /></a></p> <blockquote><p>在9月20、21、22日，遠振資訊持續發布遭受DDoS攻擊的最新狀況，其中22日的公告說明了較詳細的現況，包括對用戶說明處理狀況與後續補償，並統整相關用戶的問題。</p> </blockquote> <p>另一家業者捕夢網，也說明了他們觀察到的攻擊現況。該公司技術長趙永弘表示，對於DDoS攻擊，如果是來自國外的攻擊，主機業者應該容易有相對應的防禦措施，像是他們可以在攻擊活動發生時，暫時阻擋國外IP位址，但這次DDoS的攻擊來源，都是國內IP位址。他們除了請中華電信協助因應，特別的是，他們發現有近一半比例的攻擊來源，是來自臺灣固網。</p> <p>而根據他們的進一步追蹤，目前蒐集兩三千筆攻擊來源的IP位址，有大量都是視訊監控錄影主機（DVR），顯然已經淪為攻擊跳板，並持續對國內主機託管商發動攻擊，而這些DVR設備被入侵的原因，該公司指出，包括用戶使用了過於簡單的密碼，並有很多是開啟Telnet服務，使得入侵難度大幅降低。</p> <p>對於這次DDoS攻擊帶來的威脅，趙永弘認為，國內各大電信服務商（ISP）需要正視這樣的問題，因為他們遭受的是來自臺灣的攻擊，這會讓不少業者無法招架，而且攻擊可能還會持續發生。該如何解決？他的看法是，不只是DVR業者要盡快修補漏洞，DVR用戶也應修補、更換密碼，並重新開機，另一方面，則是透過ISP業者，針對惡意攻擊封包進行阻斷。</p> <p>另外，我們也詢問到戰國策與匯智資訊，不過，目前戰國策尚無回應，匯智未否認並表示將在明日回覆。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%9C%8B%E5%85%A7%E5%A4%9A%E5%AE%B6%E4%B8%BB%E6%A9%9F%E8%A8%97%E7%AE%A1%E5%95%86%E9%81%ADDDoS(1).jpg" style="width: 600px;" /></p> <blockquote><p>在9月22晚間22時48分，捕夢網數位科技也在該公司的臉書粉絲專頁上，表示遭受DDoS攻擊，並指出攻擊來源是來自臺灣IP位址的DVR設備。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E5%9C%8B%E5%85%A7%E5%A4%9A%E5%AE%B6%E4%B8%BB%E6%A9%9F%E8%A8%97%E7%AE%A1%E5%95%86%E9%81%ADDDoS(1).jpg" style="width: 600px;" /></h2> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在今日（9月23日）凌晨0時50分，戰國策集團</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">也在他們的臉書粉絲專頁上表示</span>機房連續遭受DDoS攻擊。</p> </blockquote> <h2><strong>繼國內券商之後，主機託管商</strong><strong>集體遭DDoS攻擊</strong></h2> <p>這次國內主機商集體遭DDoS，已是繼2017年13家國內券商遭攻擊之後，少有的大規模攻擊事件。值得關注的是，這次國內主機商是否會像之前券商一樣，遭到駭客勒索，要脅業者若不支付贖金將以DDoS癱瘓服務。</p> <p>目前，根據遠振與捕夢網的回應，他們並未收到這樣的勒索訊息，至於其他業者則尚待確認。但值得注意的，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）在今日也對此DDoS攻擊事件發出提醒，當中並提到在一些網管人員討論區，有關於此事件的情報，只是他們認為訊息還要進一步查證，例如，有人分享疑似勒贖者的對話，要求受駭者支付每月100美元的贖金。</p> <p>但這樣DDoS的攻擊趨勢值得關注，因為在國際間，近期也有嚴重的事件發生，例如，在一個月前，紐西蘭證券交易所（NZX）就曾發生至少連續五日遭受DDoS攻擊的狀況，造成多次交易停擺。</p> <p>關於現階段業者的處理方式？目前，遠振資訊也已向警察局報案，而捕夢網也表示他們已通報NCC與調查局協助處理。不過，這些業者當前該如何提供防護，仍是用戶關心焦點。</p> <p>至於捕夢網提到國內DVR設備淪為DDoS攻擊來源的問題，在今年初曾有相關事件，例如，在今年1月16日，臺灣學術網路危機處理中心（TACERT）曾發布相關漏洞預警，指出可取國際（iCatch）DVR攝影主機遭網路惡意入侵，對外進行DDoS攻擊，該公司也在同日於官方網站發出資安通報，表示將提供安全性升級，並要用戶注意修補。面對這樣的IoT攻擊趨勢，未來仍需要製造商、用戶、ISP業者與執法單位，共同想辦法來解決。</p> </div></div></div>
2020/9/23 19:26作者羅正漢https://www.ithome.com.tw/news/140158
PChome打造一站式跨境電商服務，要助臺灣賣家將商品一次上架東南亞5國電商平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼成立PChomeThai進軍跨境電商市場，PChome今日（9/23）再宣布打造跨境電商服務平臺PChomeSEA，透過與東南亞4國包含越南、新加坡、馬來西亞、印尼的當地電商平臺結盟，再加上自營的泰國PChomeThai，提供一站式跨境電商服務，讓臺灣賣家可上架商品一次，即將商品賣到東南亞5國。</p> <p>賣家只要開通PChomeSEA服務的帳戶，新增各項欲銷售商品的資訊後，即可於服務後臺選擇商品將銷往的國家，之後，商品就會出現在PChomeSEA於各國合作的電商平臺，包含了越南營收最高的電商平臺Tiki、新加坡最大電商平臺Qoo10，還有印尼網站流量排名第4的電商平臺Blibli和馬來西亞前三大B2C電商Youbeli的商城頁面，以及PChome於泰國自營的電商平臺PChomeThai上。</p> <p>且PChomeSEA不僅提供賣家將商品上架至各店商平臺的服務，還提供賣家各項跨境電商服務，包含了商品資訊翻譯、物流服務、金流服務等，還有收費的行銷代操服務，像是開箱影片、社群廣告推播、行銷活動、網紅推薦等。</p> <p>過往，賣家若想將商品上架至海外電商平臺，往往會遭遇將商品資訊翻譯為當地語言的挑戰，對此，PChomeSEA將使用機器翻譯，搭配人工輔助確認語義的方式，來提供商品資訊翻譯的服務，以確保翻譯的品質。</p> <p>物流方面，PChomeSEA也提供了國際物流服務。賣家收到海外訂單後，只需將商品送抵PChomeSEA的臺灣集貨中心，接著，PChomeSEA就會代理清關，並透過集貨寄送的方式，將商品空運至各國，最後，再運送到東南亞各結盟電商平臺的物流中心，由當地電商平臺負責配送商品至買家的手中。</p> <p>PChomeSEA總經理蔡文雄表示，以集貨方式寄送商品，可降低整體跨境銷售的國際運費成本，然而，他也提到，因目前採空運的方式寄送，所以，上架的商品有體積和重量上的限制，像是大型家具現階段便無法銷售。</p> <p>除了提供集貨國際物流服務，PChomeSEA也提供寄倉出貨的服務。當賣家經過一段時間累積了一定的實際銷售數據後，PChomeSEA會分析賣家商品的銷售狀況，篩選出屬熱銷、長銷等性質的商品，供賣家參考。賣家可進而將這些商品批量交給PChomeSEA，以寄存在當地電商平臺的倉儲，未來收到訂單時，可直接從當地倉儲出貨。</p> <p>另外，在金流的部分，PChomeSEA採臺幣計價的模式，供賣家標註商品價格，並也以臺幣提供賣家提領貨款。蔡文雄表示，如此，可排除賣家的匯兌風險。現階段，賣家需負擔的基本費用則是每筆交易金額5%的手續費，開通帳號、上架商品、物流、國際匯款等作業，目前則不需另外付費。</p> <p>PChome董事長詹宏志表示，臺灣電商環境從商家、平臺到消費者，皆是區域裡發展最成熟的，臺灣電商總交易金額超過東協10國的總和，從經濟規模上來看，代表著東南亞電商未來有很大的發展空間。</p> <p>同時也是PChomeThai總經理的蔡文雄也提到，東南亞電商市場快速增長，PChomeThai截至8月的交易金額和交易筆數，與去年全年相比，已成長10倍。由此可見，東南亞市場的成長潛力。</p> <p>PChomeSEA目前規畫採單一國家僅與單一平臺合作的模式，但，未來將持續拓展此服務至更多東南亞國家，而根據PChomeSEA官網顯示，菲律賓服務正在準備中。文⊙黃郁芸</p> </div></div></div>
2020/9/23 19:42作者黃郁芸https://www.ithome.com.tw/news/140159
微軟取得OpenAI文字產生器模型GPT-3的獨家授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（9/22）<a href="https://blogs.microsoft.com/blog/2020/09/22/microsoft-teams-up-with-openai-to-exclusively-license-gpt-3-language-model/" target="_blank">宣布</a>，已取得OpenAI文字產生器模型GPT-3的獨家授權，將可把GPT-3模型應用在微軟自己的產品及服務上，替客戶提供先進的AI解決方案。</p> <p>OpenAI為知名企業家Elon Musk在2015年共同創辦的人工智慧研究實驗室，該公司在今年2月發表基於1,750億個參數的GPT-3文字產生器模型，繼之於6月釋出可存取包含GPT-3模型在內的OpenAI API，而這也是OpenAI的首個商業化產品。</p> <p>微軟與OpenAI先前就展開合作，微軟先是在去年7月宣布將投資10億美元予OpenAI，以共同發展通用人工智慧（Artificial General Intelligence，AGI），雙方亦攜手開發全新的Azure AI超級運算技術，在今年5月發表號稱效能相當於全球第五名的超級電腦，微軟同時也是OpenAI的獨家雲端供應商，於Azure上訓練與執行各種AI模型。</p> <p>現在微軟更進一步取得了GPT-3的獨家授權。微軟技術長Kevin Scott說明，GPT-3不只是全球最大也最先進的語言模型，而且它將釋放深厚的商業與創造潛力，也將超乎人們的想像，目前只知道它能協助人們寫作，可以文字描述或摘錄包含程式碼在內的大量數據，亦能將自然語言轉換成其它語言，它的能力只會受限於人們的想法。</p> <p>根據雙方的說法，此一獨家授權將允許微軟於自家的產品及服務中整合GPT-3，提供各種AI解決方案予微軟客戶。不過，<a href="https://openai.com/blog/openai-licenses-gpt-3-technology-to-microsoft/" target="_blank">OpenAI也說</a>，他們將會繼續藉由OpenAI API提供GPT-3或其它模型予一般用戶。</p> </div></div></div>
2020/9/23 11:40作者陳曉莉https://www.ithome.com.tw/news/140140
Firefox 81更新PDF瀏覽程式支援表單填寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla發布最新的<a href="https://www.mozilla.org/en-US/firefox/81.0/releasenotes/">Firefox 81</a>，這個版本有幾項方便的新功能，除了添加新的<a href="https://support.mozilla.org/zh-TW/kb/control-audio-or-video-playback-your-keyboard?redirectslug=control-audio-or-video-playback-your-headset-or-keyboard&redirectlocale=en-US">媒體控制方法</a>之外，Firefox還開始支援AcroForm，<a href="https://support.mozilla.org/en-US/kb/view-pdf-files-firefox-or-choose-another-viewer">讓用戶可以填寫、列印和儲存PDF表單</a>，另外，Firefox還加入新的主題，按鈕與視窗外觀呈現更加多彩繽紛。</p> <p>Firefox內建了PDF瀏覽程式，可以讓使用者不需要外部應用程式，就能夠開啟網頁上大部分的PDF檔案，而Mozilla更新了Firefox 81內建的PDF瀏覽程式，讓用戶現在可以操作PDF表單。由於部分PDF檔案具互動性欄位，供用戶能夠輸入資料，而使用Firefox 81，用戶將可以填寫與點選PDF中的文字、核取方塊或是單選鈕，而當用戶在欄位輸入完資料後，便能夠下載檔案，在電腦儲存一份填寫完畢的PDF檔案。</p> <p>Firefox 81新的媒體控制功能，則是讓用戶不需要在網頁中，直接點擊影片或是音訊本身，就能透過鍵盤或是頭戴裝置的硬體控制按鈕，控制Firefox媒體播放。這項媒體控制功能僅支援一般的音訊以及影片播放，不支援web-audio、web-speech以及Flash擴充套件。</p> <p>現在無論是在全螢幕播放，還是子母畫面模式播放的影片，都可以利用鍵盤媒體控制按鈕操作，但是無聲的媒體，像是沒有包含音軌的影片、類GIF的圖片，或是警示聲音，則都無法利用新媒體控制功能操控。</p> <p>當有多個瀏覽器頁籤播放媒體時，則媒體控制將會控制最後一個分頁籤，或使用子母畫面模式播放影片時，用戶將能優先控制子母畫面中的媒體，部分情況鍵盤控制權可能會被其他應用程式搶走，用戶可以嘗試關閉干擾的應用程式，以正確地控制瀏覽器內媒體。</p> <p>另外，Firefox現在除了預設主題的淺色與深色模式，Firefox 81加入了新的Alpenglow主題，按鈕、選單和視窗的配色都更加鮮艷，同樣具有淺色與深色模式，用戶可以在設定中配置啟用。</p> </div></div></div>
2020/9/23 15:40作者李建興https://www.ithome.com.tw/news/140145
微軟發表Azure Communication Services，讓企業直接把通訊功能嵌入程式及網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周發表了<a href="https://azure.microsoft.com/en-gb/blog/build-rich-communication-experiences-at-scale-with-azure-communication-services/" target="_blank">Azure Communication Services</a>，採用與Microsoft Teams同等級的通訊網路，根據微軟的說法，企業只要利用幾行程式碼，就能輕易地將語音、視訊、聊天及簡訊功能添增到行動程式、桌面應用程式及網站上，成為知名雲端通訊平臺Twilio的競爭者。</p> <p>負責智慧通訊的微軟副總裁Scott Van Vliet指出，在這個以遠端為優先的世界，企業正在尋找一個能夠快速適應客戶需求並與之連結的通訊經驗，對企業而言，不管是建置新的通訊解決方案、或把它們整合到既有的應用中，都是複雜且耗時的，而Azure Communication Services則是首個由主要雲端供應商所提供的全面管理通訊平臺。</p> <p>其實目前市場上已有許多業者提供類似的能力，包括 8x8、RingCentral與Twilio等，且AWS所提供的開發者服務中，亦允許開發人員將傳訊及視訊功能整合到應用程式中，但最受外界關注的競爭者為雲端通訊平臺先鋒Twilio。</p> <p>成立於2008年的Twilio定位為雲端通訊平臺即服務（cloud communications platform as a service，CPaaS）業者，開發人員可透過該平臺的各種API建置通訊功能。<a href="https://www.cnbc.com/2020/09/22/microsoft-launches-developer-services-for-calls-chats-and-sms.html" target="_blank">CNBC則分析</a>，Twilio採用的是AWS的雲端架構，並不違反微軟當初聲稱不會與自家客戶競爭的承諾。</p> </div></div></div>
2020/9/23 15:45作者陳曉莉https://www.ithome.com.tw/news/140146
Google推出工作追蹤工具Tables
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不斷釋出新作的Google育成中心Area 120，在本周發表了<a href="https://tables.area120.google.com/u/0/about#/?utm_source=Keyword,%20blog&utm_medium=referral&utm_campaign=Keyword_blog_post" target="_blank">工作追蹤工具Tables</a>，其設計概念是讓團隊更專心於任務上，而把工作的追蹤交給Tables。該服務提供了免費及付費版，但現階段僅於美國試行。</p> <p>Tables總經理Tim Gleason表示，在他的職場經驗中，專案的追蹤一直是個難題，因為團隊成員在不同的文件中存放筆記與任務，這些文件經常會過時，於是必須手動同步資料，也必須花費很多時間來協調成員，確定優先順序與更新狀態，因此，追蹤工作的時間通常多過於實際的工作。</p> <p>而Tables則標榜是個直覺的工作追蹤工具，它可協助團隊追蹤工作，還能自動化多種任務，在不需撰寫任何程式碼的狀況下就能增進團隊的協作能力。</p> <p>Tables的基礎為機器人，只要任務逾期了，機器人就會寄出提醒郵件，若收到新表單，便會在聊天室中宣布，也會在狀態改變時將任務轉移到其他人的工作佇列上，還能檢查及處理不同來源的資料。此外，它整合了許多Google服務，像是可自Google Sheets匯入資料，或是與Google Groups分享資料，也能將任務分配給既有的Google聯絡人。</p> <p>Tables免費版支援100個表單、1,000行、1GB附加檔案及50個行動，而付費版的月費為10美元，可支援1千個表單、1萬行、10GB附加檔案及500個行動。</p> </div></div></div>
2020/9/23 16:00作者陳曉莉https://www.ithome.com.tw/news/140147
Apple程式語言Swift開始支援Windows
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年以來，Swift社群努力地將<a href="https://swift.org/blog/swift-on-windows/">Swift移植到Windows</a>上，而現在這項成果，已經達到初步可以使用的階段，開發者可以下載適用於Windows的Swift工具鏈映像檔，取得在Windows建置和執行Swift程式碼必要的元件，開發能在Windows平臺執行的Swift應用程式。</p> <p>官方提到，要將Swift移植到Windows上，並非簡單地移植編譯器而已，還要確保整個Swift生態系都能在Windows平臺使用，除了編譯器之外，還要移植標準函式庫以及核心函式庫，讓開發者能夠簡單地編寫功能強大的應用程式，而不需要擔心底層作業系統的細節。有了這些函式庫，再加上Swift與C靈活的互通性，開發者就能夠在Windows中，完全使用Swift開發應用程式，還能結合使用Windows平臺現有的函式庫。</p> <p>目前要在Windows上開發Swift程式，除了需要安裝適用Windows的Swift工具鏈之外，還必須安裝Visual Studio 2019，以取用必要的CMake、Ninja和Windows SDK。但官方提到，支援Windows的Swift套件管理器即將釋出，屆時開發者就可以不需要使用CMake或是Ninja，來建置Swift應用程式。</p> <p>社群也開始試驗用Swift開發跨平臺應用程式，如此便能在不同平臺使用同一份程式碼，還可將許多現有的Swift函式庫，帶到Windows上使用，官方提到，在Windows上支援Swift僅是第一步，還有其他生態系的部分，諸如lldb和Swift套件管理器等部分需要移植，才能完整支援跨平臺功能。</p> </div></div></div>
2020/9/23 17:05作者李建興https://www.ithome.com.tw/news/140148
微軟將於10月釋出支援Linux的Edge預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（9/22）的Microsoft Ignite開發人員大會上<a href="https://blogs.windows.com/windowsexperience/2020/09/22/whats-new-in-web-experiences-ignite-2020-need-to-secure-your-remote-workers-choose-microsoft-edge-as-your-browser-for-business/" target="_blank">宣布</a>，將在今年10月釋出支援Linux的Chromium版Edge，Linux用戶可透過Dev preview channel，或自原生的Linux套件管理員下載。</p> <p>微軟並未公布支援Linux的Chromium版Edge功能，但外界揣測它將與Windows及macOS上的Chrome差不多，也會內建隱私及安全功能。</p> <p>新版Edge現已支援Windows、macOS、iOS及Android等平臺，除了即將支援的Linux之外，微軟亦準備於Edge中提供Kiosk模式的預覽功能，讓用戶可於採用Windows 10的Kiosk或數位看板上，量身訂作瀏覽體驗。</p> <p>根據<a href="https://netmarketshare.com/?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222019-09%22%2C%22dateEnd%22%3A%222020-08%22%2C%22segments%22%3A%22-1000%22%7D" target="_blank">Net Applications</a>的調查，自從微軟於今年1月釋出基於Chromium版的Edge之後，Edge市占率就從6%增加到今年8月的8.52%，Chrome瀏覽器維持70%市占率的不墜地位，而受到擠壓的則是Firefox，這段時間的市占從8.27%下滑至7.11%。</p> </div></div></div>
2020/9/23 14:20作者陳曉莉https://www.ithome.com.tw/news/140143
研究：Google Cloud儲存貯體有6%的配置允許未經授權的存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon S3儲存貯體因配置錯誤而造成資料外洩時有所聞，然而，隱私與VPN專家Paul Bischoff<a href="https://www.comparitech.com/blog/information-security/google-cloud-buckets-unauthorized-access-report/" target="_blank">在本周指出</a>，Amazon Web Services（AWS）並非唯一一家提供雲端檔案儲存的業者，他分析了2,064個位於Google Cloud的儲存貯體之後，發現其中有131個若非配置錯誤就是含有漏洞，允許未經授權的存取。</p> <p>Bischoff說，他透過通常是管理人員或是駭客才會使用的特製工具，同時依照Google Cloud的命名規定來掃描位於該服務的儲存貯體，2.5個小時就找到了超過2千個儲存貯體，繼之再檢查這些儲存貯體是否含有漏洞或有否配置錯誤，並發現約有6%（131個）允許未經授權的存取。</p> <p>相關的錯誤配置或安全漏洞將允許駭客上傳或下載檔案，且這些儲存貯體也許含有機密文件、資料庫、原始碼或任何憑證。</p> <p>Bischoff建議企業或網管人員應該要試著掃描整個網路，例如利用Google官方的命令列工具gsutil或是BucketMiner，於Google及AWS的架構上掃描公司名稱，便可得出各種統計訊息、圖片及檔案名稱，也能得知所查詢的儲存貯體是否暴露在外。</p> <p>總之，盡量遵守各家雲端儲存業者的配置指南，且定期監控網路上的儲存貯體、資產與安全參數才是維護資料安全的上策。</p> </div></div></div>
2020/9/23 14:30作者陳曉莉https://www.ithome.com.tw/news/140144
Google決定永遠關閉Chrome Web Store的支付系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年的1月25日，Google宣稱於Chrome Web Store偵測到涉及付費擴充程式的大量詐騙交易，企圖剝削使用者，因而於3月27日起，暫時禁止開發人員出版付費擴充程式，本周更<a href="https://developer.chrome.com/webstore/cws-payments-deprecation" target="_blank">宣布</a>將永遠關閉Chrome Web Store的支付系統，並直接建議開發人員使用第三方的支付平臺。</p> <p>從頭到尾，Google都未說明這些付費程式是如何剝削使用者，也未回應媒體的詢問，且在最新的聲明中，Google宣稱關閉Chrome Web Store支付系統的原因是因為坊間已有眾多的支付處理選項，已無任何有關詐騙的字眼。</p> <p>今年3月時，Google即禁止開發人員出版新的付費擴充程式或程式內購買項目，並在9月21日成為永久的決定之後，今年12月1日起，Chrome Web Store不再接受付費程式的免費試用功能，自明年的2月1日起，就算是既有的付費擴充程式或程式內購買項目，亦無法再透過Chrome Web Store的支付系統向使用者收費，預計於明年7月以後，終止用來判斷使用者是否付費取得授權的Licensing API。</p> <p>Google說，開發人員依然可以向使用者收費，但只能遷移到其它支付處理系統，同時也應切換至其它的Licensing API來追蹤使用者的授權狀態。</p> </div></div></div>
2020/9/23 13:50作者陳曉莉https://www.ithome.com.tw/news/140142
資安一周第112期：臺美聯手追緝駭客組織APT41。振華數據握有240萬全球影響力人士資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0917-0923 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家資安聯防 </strong></span></h3> <h2><strong style="vertical-align: top;">臺美聯手防駭，追緝並起訴APT41中國網軍</strong></h2> <p>臺灣在今年5月爆發中油、台塑，以及科技公司力成等公司，先後遭到駭客以勒索軟體加密勒索的資安事件。我國調查局追查到中繼站與惡意程式資訊後，立刻提供美國聯邦調查局進行調查，當地司法部於8月起訴5名APT41駭客組織成員，以及2名馬來西亞業者。調查局和美方FBI駐臺聯絡官Nicholas J. Garcia，於9月16日召開記者會，揭露臺美雙方合作查緝駭客的細節。</p> <p>調查局資安工作站副主任劉家榮表示，根據美國調查，APT41駭客組織與中國國安單位有密切聯絡，並在5月鎖定臺灣關鍵基礎設施業者與高科技產業，發動攻擊，中國政府默許相關行為且提供相關司法保護。<strong><a href="https://www.ithome.com.tw/news/140054">詳全文</a></strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/112-1-apt41.png" style="width: 400px;" /></strong></p> <p><strong>圖片來源：法務部調查局</strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">中國深圳振華數據握有240萬全球影響力人士資料</strong></h2> <p>駭客鎖定醫療機構發動勒索軟體攻擊的事件頻傳，如今開始有病人因此種攻擊而喪命。德國杜塞道夫大學醫院（Duesseldorf University Hospital）於9月10日傳出，因遭到勒索軟體攻擊而被迫關閉急診室，使得一名病患必須轉到20英里外的醫院，因而延誤救治身亡，這是全球首度因勒索軟體攻擊致死的案件。當地警方朝過失殺人的方向進行偵辦。<a href="https://www.ithome.com.tw/news/140017"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊＃醫療院所</strong></h3> <h2><strong style="vertical-align: top;">醫院遭勒索軟體攻擊傳出首起致命案件</strong></h2> <p>澳洲新南威爾斯州服務處（NSW Service）於9月8日公告，4月底該單位發生網釣郵件攻擊，波及該單位曾經服務過的民眾，估計有將近18.6萬人。</p> <p>根據澳洲政府公布的訊息，該單位47名員工電子郵件信箱被駭，駭客經由這些信箱竊得738GB民眾資料，內有380萬份文件。<a href="https://www.ithome.com.tw/news/140055"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊</strong></h3> <h2><strong style="vertical-align: top;">重大漏洞Zerologon可讓駭客輕易掌控網域，美國政府發布緊急指令限期修補</strong></h2> <p>Secura研究人員Tom Tervoort揭露Windows重大安全漏洞Zerologon，可讓駭客駭入並控制AD網域，CVSS第3版風險評分為10.0。對此，美國國土安全部發出第20-04號緊急指令（Emergency Directive），要求所有聯邦機構應在9月21日午夜前完成修補，而這已是該單位今年第4次發布此種層級的命令。</p> <p>這個漏洞編號為CVE-2020-1472，出現於Netlogon遠端協定用來更新密碼的加密驗證演算法，此漏洞微軟已於8月11日提供修補軟體，由於緩解措施僅有安裝修補程式一途，Secura呼籲企業應儘速修補。微軟則是表示，此次提供的更新程式是第1階段修補，他們計畫於明年第1季進行更完整的修補作業。<strong><a href="https://www.ithome.com.tw/news/140014">詳全文</a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/112-2-Zerologon_Secura.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/112-2-Zerologon_Secura.png" style="width: 400px;" /></a></p> <p>圖片來源：Secura</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊＃電子商務</strong></span></h3> <h2><strong style="vertical-align: top;">近2千個採用1代Magento軟體平臺的電商網站被植入側錄程式，資安廠商呼處站方應儘速升級</strong></h2> <p>專門監控線上支付側錄犯罪行動的Sansec指出，從9月11日到14日，1,904家採用Magento 1軟體平臺的電子商務網站遭到入侵，駭客挾持這些網站的付款頁面，以搜括消費者的付款資訊，是Sansec從2015年以來所發現的最大規模線上側錄行動。由於Magento 1已於今年6月終止支援，原廠不再提供修補程式，該公司呼籲，電子商務網站應儘速採取行動，例如升級至Magento 2，或是尋求第三方業者取得漏洞修補服務。<strong><a href="https://www.ithome.com.tw/news/140004">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊＃行動裝置</strong></span></h3> <h2><strong style="vertical-align: top;">伊朗駭客鎖定移民和反政府人士竊取帳密，行動長達6年之久</strong></h2> <p>以色列資安業者Check Point揭露名為Rampant Kitten的駭客行動，指出這是由伊朗當局所主導的攻擊，鎖定當地移民、少數民族、反政權組織，以及反抗運動人士發動攻擊，該行動透過各種途徑滲透目標對象，包括竊取個人文件、Telegram與KeePass帳號資訊的惡意程式，建立Telegram網釣頁面，並且開發出截取雙因素認證碼的Android後門程式，而且該行動至少已祕密執行6年之久，迄今才被發現。<strong><a href="https://www.ithome.com.tw/news/140001">詳全文</a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/112-3-RampantKitten_CheckPoint.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/112-3-RampantKitten_CheckPoint.png" style="width: 400px;" /></a></p> <p>圖片來源：Check Point</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong>美國退伍軍人事務部被駭，外洩4.6萬人員個資</strong></h2> <p>美國退伍軍人事務部於9 月14日，證實他們的網路系統遭駭，導致近4.6萬名退伍軍人個資外洩，存放在國庫的錢也被盜走。事件起因於該單位的金融服務中心與健保有關的應用系統被不當存取，攻擊者取得權限且變更財務資訊，進而移轉金錢。<a href="https://www.ithome.com.tw/news/140087">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃社群網站</strong></span></h3> <h2><strong style="vertical-align: top;">推特替美國大選把關，強化知名政治人物帳號安全</strong></h2> <p>國際半導體展SEMICON Taiwan 2020於9月23至25日展開，資訊安全成為此次的主題之一，大會延續去年探討資安標準的座談會，今年出現更多有關活動，例如，首度推出晶片資安論壇，當中不少主題強調硬體信任根（Root of Trust），以及物理不可仿製功能（Physically Unclonable Function）的概念。</p> <p>此次會場的智慧製造舞臺專區，大會亦設立資安主題館，拉近製造與資安的距離，這在過去的國際半導體展相當少見，顯然今年展覽更呼應了產業資安防護的趨勢。<strong><a href="https://www.ithome.com.tw/news/140060">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃產業資安動態</strong></span></h3> <h2><strong style="vertical-align: top;">國際半導體展登場，資安成大會焦點主題</strong></h2> <p>國際半導體展SEMICON Taiwan 2020於9月23至25日展開，資訊安全成為此次的主題之一，大會延續去年探討資安標準的座談會，今年出現更多有關活動，例如，首度推出晶片資安論壇，當中不少主題強調硬體信任根（Root of Trust），以及物理不可仿製功能（Physically Unclonable Function）的概念。</p> <p>此次會場的智慧製造舞臺專區，大會亦設立資安主題館，拉近製造與資安的距離，這在過去的國際半導體展相當少見，顯然今年展覽更呼應了產業資安防護的趨勢。<a href="https://www.ithome.com.tw/news/140134">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃公部門資安</strong></span></h3> <h2><strong style="vertical-align: top;">北市府揭露資安現況，事件數量增加是因為強化偵測能力所致</strong></h2> <p>北市議員許家蓓揭露臺北市政府資安事件倍增的現況，其嚴重程度成為外界關注的焦點。北市資訊局對此表示：因為他們導入資安監測設備發現更多異常，以今年年初到7月底而言，處理18起事件，雖然已多於去年事件數（8件），不過，今年沒有3級事件，幾乎都是1級資安事件。至於駭客從供應商下手衍生的資安議題，該單位建議各機關單位對委外廠商提出五大管理要求。<a href="https://www.ithome.com.tw/news/140083">詳全文</a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/140012">為協助企業建立漏洞揭露流程，英國政府推工具包</a><br /> ●<a href="https://www.ithome.com.tw/news/140042">美國政府提供UEFI安全開機的客製化安全指引</a><br /> ●<a href="https://www.ithome.com.tw/news/140099">Android版Firefox爆會導致駭客挾持裝置的漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/139977">東非塞席爾開發銀行遭勒索軟體攻擊</a></h3> </div></div></div>
2020/9/23 11:28作者周峻佑https://www.ithome.com.tw/news/140138
WebThings專案脫離Mozilla，控制權移交社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla的物聯網平臺專案<a href="https://discourse.mozilla.org/t/an-important-update-on-mozilla-webthings/67764">WebThings，將離開Mozilla</a>成為獨立的開源專案，名稱將會從原本的Mozilla WebThings更改成為WebThings，新網站也將遷移到webthings.io。</p> <p>這項消息由Mozilla新興科技部門院士David Bryant在討論板公開，他提到，因為Mozilla縮減對WebThings的投資，並且將控制權和責任移交給社群，所以為了凸顯Mozilla與專案各自獨立，因此需要重新命名專案，同時變更專案基礎設施運作的方式，雖然如此，所有專案的貢獻以及全球WebThings Gateways的工作，都仍持續進行。</p> <p>WebThings專案治理，將使用獨立於Mozilla公司組織結構的模組所有權系統，但為了要保持其連續性，頂級WebThings模組的最初模組所有人，將會是Mozilla IoT團隊的成員，這些模組擁有者能創建子模組，並且指定新模組擁有者以及同儕，以共同協助治理專案。WebThings不會再直接與Mozilla關聯，因此會停止使用Mozilla商標，並使用自有的WebThings品牌營運。</p> <p>由於WebThings Gateways的設計，就是要能在家庭中獨立運作，而不需要集中式的雲端服務，因此更名以及控制權轉移工作，並不會影響既有的智慧家庭閘道器運作，只不過未來的軟體更新，將由WebThings社群提供，而非原本的Mozilla企業。</p> <p>原本使用*.mozilla-iot.org網域安全通道服務，遠端存取閘道器的用戶，需要特別注意，該服務僅持續運作至2020年12月31日，而官方則會在webthings.io提供替代服務，用戶可以選擇在Mozilla伺服器關閉之前，手動轉移到新的伺服器上。目前WebThings專案將會繼續使用Mozilla IoT論壇以及Mozilla Discourse，也會繼續使用Mozilla的Matrix聊天伺服器#IoT頻道。</p> </div></div></div>
2020/9/23 11:20作者李建興https://www.ithome.com.tw/news/140124
Visual Studio本地端微服務開發工具更名釋出正式版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在之前稱為Local Process with Kubernetes的Kubernetes開發工具，現在微軟宣布將其更名為<a href="https://devblogs.microsoft.com/visualstudio/bridge-to-kubernetes-ga/">Bridge to Kubernetes</a>，釋出正式版支援Visual Studio和VS Code，讓開發者可以在開發工作站中，從Kubernetes環境獲取相依性以及既存配置，以撰寫、測試和微調微服務程式碼。</p> <p>微軟提到，微服務應用程式由許多服務組成，通常需要相互呼叫，但是每個服務都有自己的配置和相依性，這讓開發者在本地端配置和執行應用程式，非常困難而且耗時。而Bridge to Kubernetes讓開發者可將開發工作站連接到Kubernetes叢集，不需要手動於工作站配置以及編譯外部相依項目，直接使用叢集中的環境變數以及儲存等資源，就能在本地端執行微服務程式碼。</p> <p>Bridge to Kubernetes帶來3個好處，除了讓微服務開發更為快速之外，也能執行端到端除錯與測試，還可以在共享環境隔離開發工作。該工具可以將Kubernetes資源延伸擴展到開發工作站，降低開發者將程式碼部署到叢集的複雜性，快速地測試、除錯以及迭代。使用Bridge to Kubernetes，便不需要配置Docker和Kubernetes，只要將開發工作站連接到Kubernetes叢集，就能夠使用Visual Studio和VS Code工具，在本地端執行微服務程式碼。</p> <p>Bridge to Kubernetes的特性，使得開發者可以更簡單地對大型應用程式上下文進行開發、測試和除錯，Bridge to Kubernetes可讓開發者選擇將叢集中現有的服務請求，路由到在本地端執行的開發機器上，也就是說，當正在除錯的服務被呼叫時，請求將會從原本的叢集，重新導向到本地端開發機器上，以執行經開發者變更的程式碼。</p> <p>另外，當多個開發人員在同一叢集中，同時開發同一個應用程式，除錯對話很容易互相干擾，微軟提到，這是因為部署到應用程式命名空間的每個服務僅有一份副本，而為了讓開發人員可以更有效率的一起工作，需要隔離各自的內部循環，而這需要每個成員擁有自己的服務副本。Bridge to Kubernetes支援在共享的叢集提供隔離性，該工具可以設置隔離服務，以及專門的子網域，以確保使用該URL的流量，會被正確地重新導向開發者的工作站中。</p> </div></div></div>
2020/9/23 11:25作者李建興https://www.ithome.com.tw/news/140132
工研院用4年打造全球首套臺灣街景自駕資料庫，今年要擴增預碰撞事件資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工研院資通所所長闕志克22日揭露工研院自駕車技術進展，今年要擴充全球首套臺灣自駕車街景影像資料集Formosa Dataset的預碰撞事件（Pre-crash Event），要納入不同環境下的道路標誌、地面標誌、車尾燈等影像，來讓AI模型學習避免碰撞。明年，還要整合多元感測資料，來提高時空間中，物件半自動預標記的效率。同時，他也揭露自駕車產業化應用，明年除了要生產7臺Level 3自駕巴士外，還要將技術應用於工廠或物流中心裡的自動搬運車（AGV）。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">鎖定自駕車感知能力，以AI辨識為核心</span></span></strong></p> <p>自駕車技術可分為感知、決策和控制三部分，他回顧，三年半前工研院投入自駕車領域時，就聚焦於感知。而自駕車的感知資訊，來自於相機鏡頭、光達和雷達等設備，工研院也根據這些設備，研發出一系列感知系統。</p> <p>首先是針對相機鏡頭的車用視覺技術，可分為三大技術，第一是影像預處理系統，可用來除雨去霧、檢測和去除鏡頭畫面中的鬼影，也能用於高動態範圍成像；再來是辨識行車環境的深度學習模型，「我們仿照Nvidia，訓練了7個環境辨識模型。」闕志克指出，這7個模型分別負責辨識空間、道路交通標誌、車道巷弄、紅綠燈號，以及對車輛燈號、機車燈號和行人的偵測。</p> <p>第三個技術則是工研院獨創的影像分割技術，「是領先全球的自駕車影像分割演算法！」該架構為工研院自行研發的ITRI-Seg，辨識準確率達99.5％，遠高於基準測試的即時影像分割類神經網路ENet準確率（95.2％），且速度也略勝一籌。</p> <p>接下來，工研院針對自駕車的另一感知來源：雷達和光達，開發了複合式的長短距離偵測系統。這個系統整合了長距離和短距離雷達與相機，能擴大偵測範圍、辨識距離物件，減少死角視差。</p> <p>不只如此，工研院也針對多種感測器，建立兩套感知融合系統，也就是Early Fusion和Late Fusion，能分別利用全車數十個相機、光達和雷達，來提供100公尺內的高精度深度圖（RGBD），或是根據當下環境條件，來融合這些感測器的辨識決策，提高辨識精準度。</p> <p>有了對環境的感知後，再來，就是對行人穿越馬路和車輛行駛的意圖預測。首先，為預測行人是否會穿越馬路，工研院建立一套人體辨識系統，先定位出人體骨架，再結合姿態語意分析，來即時了解行人穿越馬路的意圖，比如是否會闖紅燈。</p> <p>對於車輛行蹤預測，則是仰賴車尾燈、方向燈等影像辨識和物件追蹤技術，來即時預測前方車輛是否會緊急剎車、臨停或轉向等。不過，闕志克坦言，光是要讓AI模型辨識方向燈，就是一件很不容易的事，「因為車子有各種形式的方向燈，有時還搭配停車燈，需要很多訓練資料才行。」</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">4年打造全球首套臺灣街景影像資料庫，今年要完成預碰撞影像收集</span></span></strong></p> <p>由於這些感知系統都以AI辨識模型為基礎，因此需要大量訓練資料才行。為此，工研院在2年前開始，逐步建立一套專屬臺灣的街景影像資料庫Formosa Dataset。他們鎖定臺灣300多條重要道路中，容易發生碰撞的道路，並在不同天氣條件下，收集這些道路的影像資料，目標要達到10萬公里資料量。</p> <p>這些資料涵蓋了不同級別的道路，像是市區、巷弄、圓環、交通標誌等道路場景，其中的物件還可分為150項。這套資料庫，也包括了自動化標記平臺，可用來加速物件標記時間。</p> <p>經過2年發展，這套資料庫已具備交通物件和地面道路圖形標誌的標記影像，去年也完成了部分車尾燈狀態的標記。今年則是要擴充行車影像難以收集的預碰撞事件，也就是車輛發生碰撞前的影像資料。</p> <p>進一步來說，這些預碰撞資料包括了黎明、黃昏和起霧時的交通標誌與地面道路圖形標誌，以及日夜陰晴情境下，共10萬臺汽機車的車尾燈影像。此外，還要收集光達點雲物件標記的資料，以及立方體影像物件的標記。</p> <p>工研院也將預碰撞影像資料，分為五大類，像是同車道追撞、闖紅燈、對向相撞等。為了讓資料更豐富，團隊也在YouTube上尋找車禍影片，以影片為基礎，透過電腦繪圖在模擬器中產生不同場景的車禍情境，比如雨天、夜晚等。</p> <p>除了今年要完成預碰撞事件資料的收集，明年，工研院還要結合可見光影像、熱感應影像、光達點雲等多種感測影像資料，來自動進行時間、空間的整合性標記。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">打造整輛自駕巴士，明年要能行駛在一般道路上</span></span></strong></p> <p>闕志克表示，工研院自駕車感知系統瞄準車用電子業，「比如提供光達辨識模組或相機影像辨識模組，給ADAS廠商發揮。」不只如此，工研院後來也實際將自家的感知系統，整合開發出自駕巴士，目標是明年要在一般道路上行駛、速度要達每小時50公里。而且，感知程度也要有所精進，比如能感知大雨、交通警察和弱勢用路人，並讀懂交通警察的手勢。</p> <p>他也揭露了工研院自駕車的產業化成果，首先，透過與車王電子聯手，他們整合了國內14家設備和軟硬體廠商，在今年打造3臺自駕能力為Level 3的自駕接駁中巴和大巴，明年還是要生產7臺。所謂Level 3，是指系統能自動行車，進行加減速和超車，而且在特定條件下，駕駛人的手可以完全離開方向盤，腳也不必踩在踏板上。除了打造Level 3自駕巴士，工研院也與車王電子發展電動大巴的Level 2輔助駕駛系統。</p> <p>闕志克也指出，工研院不只將這套自駕感知技術用於汽車產業，還用來發展「自主室內移動搬運車」（AMR），改善工廠和物流中心的AGV。也就是說，AGV不再只受限於固定路線，能藉助感知系統來動態行車，而且在避障上，還能繞越障礙物，不像傳統AGC只會停在原地。工研院也在8月時，完成場域試驗。</p> </div></div></div>
2020/9/23 09:38作者王若樸https://www.ithome.com.tw/news/140135
知名跑步程式Strava含有隱私臭蟲，可洩露附近使用者的個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Experian資料產品開發負責人<a href="https://twitter.com/MrAndrew/status/1305530276127428609" target="_blank">Andrew Seward近日發現</a>，他所使用的Strava跑步程式含有一個隱私漏洞，可窺探在跑步時經過他身邊的其他跑者的個人資訊，包括對方的姓名、照片，以及跑步的路線，而且全是因為Strava的預設惹的禍。</p> <p>Strava是個具備社交功能運動程式，吸引了不少愛好跑步與自行車的人士，它仰賴裝置上的GPS來追蹤與紀錄使用者的路線，它在Google Play上的下載次數超過1,000萬次，也被SimilarWeb列為全球前十大最受歡迎的運動程式之一。</p> <p>不過，Seward表示，他在9月14日找了一條新路線跑步，當時有一個陌生女性跑過他的身邊，雖然只是短暫的交會，但他回家之後Strava自動在他的跑步路線上標記了這個女性的大頭照，點選後就出現她的全名、照片，以及跑步路線，讓他可清楚辨識她家位置。</p> <p>之後即有其他使用者向Seward解釋，這是因為Strava不管是在個人檔案、運動紀錄，或是專門追蹤運動路徑的Flyby預設值都是公開的，允許所有經過身邊的用戶能夠查看相關個資，其中最嚴重的是用來重播運動路徑的Flyby，因為它不只根據時間與地點紀錄了使用者的活動，也可看到活動地圖上附近的其他使用者。</p> <p>Strava用戶可以在登入自己的帳號之後，將Flyby的預設值從Everyone變更為No One，就可避免運動時在路上遇見的每個Strava用戶都能得知自己的路線與目的地。</p> </div></div></div>
2020/9/23 10:30作者陳曉莉https://www.ithome.com.tw/news/140137
推特照片剪裁演算法被指存在種族偏差，推特承諾進一步研究並開源成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特會對推文照片進行剪裁，以突出呈現照片重點，不過，有用戶卻發現，當照片同時存在黑人與白人臉孔時，推特照片的演算法會優先選擇有白人臉孔的部分，而且甚至在卡通人物上，也有同樣的現象發生。</p> <p>在這個BLM（Black Lives Matter，黑人的命也是命）之火還在延燒的時刻，官方也迅速回應社群，表示雖然他們有檢查機器學習模型的偏差，但是顯然還有一些課題需要研究，之後會把相關成果開源出來。</p> <p>這件事的起源，是由加密貨幣基礎設施廠商Iqlusion共同創辦人<a href="https://twitter.com/bascule/status/1307440596668182528">Tony Arcieri</a>開始，他在推特上發了多張共和黨參議院領袖Mitch McConnell以及美國前總統Barack Obama的拼貼照，實驗推特照片演算法，結果發現，膚色較白的Mitch McConnell總是被演算法選中，在縮圖中突出顯示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201146%20-%20(1)%20Tony%20%E2%80%9CAbolish%20(Pol)ICE%E2%80%9D%20Arcieri%20%F0%9F%A6%80%20%E5%9C%A8%20Twitter%20%E4%B8%8A%EF%BC%9A_Trying%20a%20horribl_%20-%20twitter_com.jpg" style="width: 580px;" /></p> <p>接著許多網友開始進行各種實驗，包括更換人物身上的領帶顏色、幫歐巴馬戴上眼鏡，還有在拼貼圖中增加歐巴馬的照片的數量，甚至拿歌手Michael Jackson的照片進行比對，似乎在特定的情況下，演算法會傾向選擇突出顯示白皮膚人物，但有一些實驗卻呈現相反的結果，推特設計長<a href="https://twitter.com/dantley/status/1307720190805696513">Dantley Davis</a>以穿著同一套西裝的黑人與白人上半身相片為例，推特演算法選擇將黑人重點呈現，而把白人剪裁掉。</p> <p>為了研究推特照片剪裁演算法是否存在偏差，身份認證平臺UnifyID首席科學家<a href="https://medium.com/@VinayPrabhu/on-the-twitter-cropping-controversy-critique-clarifications-and-comments-7ac66154f687">Vinay Prabhu</a>進行了更為嚴謹的實驗，以探索演算法的特性，他使用了93張經本人同意的自拍照，這些照片控制了飽和度、大小、解析度、光照條件、臉部表情和衣著等條件。他製作了多張拼貼圖，每張拼貼圖都有兩張人臉，這些拼貼圖被實際發布到推特上，以觀察照片剪裁演算法的行為。</p> <p>實驗結果出乎意料，93張照片有92張成功發送出去，其中有1張因為自動隨機發送推文失誤而失敗，而成功發送的92張拼貼圖中，演算法重點呈現白人與黑人的比例為40:52。對於這項實驗結果，Vinay Prabhu提到，這樣的結果，雖然表面上看起來，演算法並沒有種族偏見，但是因為種族主義是經驗性的，並非統計可以說明。另外，這項實驗使用的資料集也有缺陷，自然的人像背景通常不會是白色，而這可能會影響演算法的判斷。</p> <p>對於推特演算法的行為眾說紛紜，Dantley Davis表示，他們仍在研究神經網路技術，而看起來的確有一些變數需要進一步查看，而<a href="https://twitter.com/TwitterComms/status/1307739940424359936?s=20">推特的公關團隊</a>也即時地跳出來回應，說明推特對部署的模型，都有經過偏差測試，但是在測試結果，他們並沒有發現任何性別或是種族偏差存在的證據，但從結果看起來，他們需要進行更多的分析，而之後將會公布他們的發現以及新的行動，也會開源相關研究結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201140%20-%20Graham%20Christensen%20%E5%9C%A8%20Twitter%20%E4%B8%8A%EF%BC%9A_%40dantley%20%40polotek%20%40jack%20I%20wonder%20how_%20-%20twitter_com.jpg" style="width: 580px;" /></p> <p>由於最近臉部辨識開始被大量應用在各種情境，從社交平臺的好友標記，到政府單位執法甚至是邊境控管，因此臉部辨識演算法，是否存在種族偏差的議題被大量的討論。</p> <p>美國國家標準暨技術研究院（NIST）在去年的時候，研究了市面上200多種臉部辨識演算法，發現其中大部分演算法存在種族偏差，尤其是美國開發的演算法，亞裔和非裔美國人臉孔偽陽性誤判率，比白人高出10到100倍，且在部分應用下，非裔美國女性錯誤率明顯偏高。NIST提到，偽陽性誤判會把錯誤的人擺進需要審查的名單中，對這些人造成權利上的侵害，使用者不應該完全相信系統，而且應質疑用途的合理性。</p> </div></div></div>
2020/9/23 11:15作者李建興https://www.ithome.com.tw/news/140121
國際半導體展即將登場，不只是先進製程與智慧製造，資安也漸成為大會焦點主題之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年國際半導體展SEMICON Taiwan 2020將於9月23至25日，於台北南港展覽館一館舉行，現場不只聚焦半導體產業的先進製程、智慧應用、綠色製造、人才培育與企業創投，臺灣半導體業的資安防護議題也越來越受重視，同時，國內的產業資安發展也越來越活躍。</p> <p>今年展覽共推出13大主題專區與19場國際論壇，其中值得關注的焦點，除了探討AI及5G半導體產業的大師論壇，以及受AI、5G、HPC與汽車等終端應用帶動需求的半導體先進製程論壇，還有包括異質整合創新技術館、SiP系統級封測國際高峰論壇、扇出型封裝主題專區與化合物半導體創新技術館，值得我們關注的是，在資安方面的議題，也漸漸成為這場半導體年度盛會所關注的議題，例如，去年就曾安排了探討資安標準的座談會，今年則出現更多資安相關活動，舉例來說，首度推出了晶片資安論壇，當中並有不少主題特別強調了Root of trust與PUF的概念，而在大會智慧製造舞臺專區，現場也有資安主題館的設立，拉近製造與資安的距離。</p> <p>對於這樣的變化，我們也詢問SEMI國際半導體產業協會全球行銷長暨臺灣區總裁曹世綸，他也認同半導體產業與資安的關聯緊密，例如，隨著物聯網裝置的發展，不同應用層面都有資安的需求，而資安防護也一路從軟體、韌體到晶片，而智慧製造所帶來的智慧化與生產機器具連網能力，也讓半導體產業更重視現在的網路威脅，在某種程度上，甚至也可以說是國安問題，因為資安事件衝擊到產業鏈也可能讓臺灣經濟受影響。</p> </div></div></div>
2020/9/22 21:24作者羅正漢https://www.ithome.com.tw/news/140134
Line Taxi上線將屆滿一周年，要小改版新增3種安全通報機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line生態系叫車平臺Line Taxi，成立即將屆滿1周年，今日（9/22）宣布服務將小改版，新增含3種安全通報機制的安全支援中心，並首度對外分享營運成果。</p> <p>在臺有逾2千萬活躍用戶數的Line，去年10月底，將使用自家聊天機器人來提供叫車服務的TaxiGo，也就是Line Taxi的前身，納入生態系，以擴大平臺功能。Line Taxi去年上線時，約有3,000臺車輛，如今已翻倍成長，突破6,500輛。</p> <p>而在司機數快速成長的同時，服務註冊用戶數也從上線時的47萬，成長至100萬，且實際搭乘人數也在過去這一年內，成長了3倍。服務地區則從以雙北為主，逐漸拓展至其他縣市，其中，臺中和高雄為這一年內，成長最快速的地方，不管是司機數還是乘客搭乘趟次，皆翻倍成長。</p> <p>隨著乘客與司機數量不斷地增長，Line Taxi即將新增安全支援中心，提供3項安全通報機制，來強化乘客於行程途中的安全性，讓乘客在遭遇緊急狀況時，可快速得到協助。首先是緊急聯絡人通知機制，乘客可預先設定緊急聯絡人，以在遇到危急狀況時，藉此機制快速使用簡訊通報預設的緊急聯絡人，並分享行程資料。</p> <p>第二，快速報案機制，乘客可透過安全支援中心，撥打110向警局報案，同時，系統會自動傳送路線給警局。第三，簡訊報案機制，若是乘客遇危時無法通話，一旦啟動了報案功能，該機制會傳送簡訊給所在地警局，並連帶傳送行程路徑。</p> <p>另外，在搭乘服務體驗上，Line Taxi原已提供雙向評分機制，讓乘客和司機雙方都可在行程結束後，相互評分，而一旦司機服務平等低於4.6，平臺會予以司機停權處分，不過，在此之前，乘客仍有可能再遇到曾有不佳體驗的司機。</p> <p>因此，Line Taxi為雙向評分機制新增封鎖功能，日後乘客若對司機的服務感到不滿意，或是對行程乘坐車輛的整潔度有疑慮，除可給予司機相對應的評分，還可封鎖該名司機，如此，系統就不會再媒合設為封鎖的司機，作為乘客叫車派遣的接單對象。</p> <p>而去年，交通部開放多元計程車相關法規時，Line Taxi也著手開發系統，設計因應該模式的計費演算法，並於今年6月底，通過交通部多元化計程車網際網路平臺免裝錶計費審核，成為首家取得多元化計程車免裝錶計費審核的本土叫車平臺。</p> <p>7月底，Line Taxi正式在臺北市區啟動多元化計程車「LINE TAXI Plus」營運服務，首月即吸引超過200位司機申請加入。該服務讓司機可免安裝計費錶，只需安裝服務的司機端App，即可接單，而乘客則可在叫車時，便預先知道該行程的固定車資，免除因司機繞路或遇上塞車而導致車資增加的情況。</p> <p>能讓乘車服務免跳錶的關鍵就是，該服務背後的演算法，該公式會根據多項參數，包含路線、車程、路況、天氣等，來計算行程的車資。Line Taxi執行長陳泰成表示，演算法經過了數次路測，才順利取得了車輛安全檢驗中心的認證。下一步，Line Taxi計畫在第四季將多元計程車服務，擴展至臺中，目前正在進行路測。</p> </div></div></div>
2020/9/22 19:56作者黃郁芸https://www.ithome.com.tw/news/140133
AI影片錯殺率太高，Youtube重設審查人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一度認為AI過濾不當影片內容成效驚人的Youtube，近日對媒體表示，將重新引入審查內容的人員，原因是有過高比例合規的影片遭AI誤判下架。</p> <p>YouTube於2017年6月首度引進人工智慧（AI）協助檢視與標註違規影片，並指出導入AI後成效卓著，同年最後3個月AI已為YouTube移除了超過800萬則違規影片。今年3月隨著Google員工被迫在家上班，Youtube決定擴大AI應用，由AI負責下架影片。</p> <p><a href="https://transparencyreport.google.com/youtube-policy/removals?hl=en" target="_blank">Youtube </a>上個月指出從今年4到6月，一共有1,140萬則影片被下架，其中1,085萬則是由AI標註並移除。</p> <p>不過Youtube產品長Neal Mohan上周對<a href="https://www.ft.com/content/e54737c5-8488-4e66-b087-d1ad426ac9fa" target="_blank">英國金融時報</a>（Financial Times）表示，將再把人員調來審查影片。原因是AI誤判率太高。上一季下架的11,000多萬則中，有32萬則接獲作者的申訴，其中近半經審查後重新上架。</p> <p>例如一個粉絲上看1200萬的<a href="https://twitter.com/markiplier/status/1301163007649611776" target="_blank">Youtuber 9月初抱怨</a>Youtube封鎖了他的頻道，顯然AI不只下架單則影片，也能封鎖整個頻道。Youtube隨後也對「執法過當」（over-enforcement）<a href="https://twitter.com/TeamYouTube/status/1301238290360623104" target="_blank">道歉</a>，並將影片重新上架。</p> <p><a href="https://www.theverge.com/2020/9/21/21448916/youtube-automated-moderation-ai-machine-learning-increased-errors-takedowns" target="_blank">The Verge</a>指出，這個誤判率是人工審查的近2倍，顯示AI審查過於嚴苛。</p> <p>Mohan 指出，Youtube原本也知道AI準確度不如人類，但在疫情開始前他們仍然決定為了保護使用者而願意犯錯，即使他們的下架率比人工審查來得高。調回審查人員後，他說尤其是在仇恨言論、醫療假消息或騷擾上，人類比較能判別細微的差別。</p> <p>五月時<a href="https://www.ithome.com.tw/news/137869" target="_blank">The Verge</a>也發現，只要Youtube用戶留言中包含「五毛」、「共匪」等批評中國政府的詞彙，就會被立即自動刪除，引發懷疑是言論檢肅，但Youtube表示應該是系統錯誤所致。</p> <p>除了Youtube，<a href="https://www.ithome.com.tw/news/138154" target="_blank">微軟年中使用AI編輯</a>取代人類來產製新聞報導，也發生認錯人、配錯圖的問題。</p> </div></div></div>
2020/9/22 16:10作者林妍溱https://www.ithome.com.tw/news/140122
美國財政部闡明加密貨幣規定，允許國家銀行為穩定貨幣發行商提供儲備金帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國財政部旗下的貨幣監理官辦公室（Office of the Comptroller of the Currency，OCC）本周<a href="https://www.occ.gov/news-issuances/news-releases/2020/nr-occ-2020-125.html" target="_blank">發布了一項指南</a>，首次對外闡明允許國家銀行與美國聯邦儲蓄機構替穩定貨幣發行商提供儲備金帳戶，過去美國財政部對於穩定貨幣從未有明確的規範。</p> <p>穩定貨幣一般是指具備法定貨幣支撐的加密貨幣，也可以直接兌換成法定貨幣，而OCC的鬆綁條件為：該穩定貨幣與法定貨幣的兌換比例為1:1，且穩定貨幣發行商必須具備托管錢包，擁有足夠的資產來支撐穩定貨幣的價值。此外，OCC也要求提供服務的銀行，每日都必須確認其儲備金帳戶餘額是否滿足或超過穩定幣的價值。</p> <p>OCC表示，穩定貨幣發行商經常想要置放基金或設置儲備基金來支持穩定貨幣，它們想把這些基金置放在銀行，以向使用者確保其穩定貨幣的可靠性。有鑑於這些儲備金帳戶中的公共利益，此一公開信主要是用來闡明國家銀行擁有持有穩定貨幣儲備金的法律授權。</p> <p>OCC的代理主管Brian Brooks指出，此一聲明替美國聯邦金融系統內的銀行提供了監管確定性，允許它們以安全及完善的方式提供服務予穩定貨幣發行商。</p> <p>由於此一宣布可能與美國證券交易委員會（SEC）對加密貨幣的立場有些牴觸，SEC擔心這可能會助長非法的首次代幣發行（ICO）行動，但SEC顯然不願意以官方身分發表聲明，取而代之的是公布了旗下創新與金融技術策略中心<a href="https://www.sec.gov/news/public-statement/sec-finhub-statement-occ-interpretation" target="_blank">（Finhub）的員工對此事的看法</a>。</p> <p>根據FinHub員工的意見，包括穩定幣在內的特定數位資產是否屬於證券，必須經過仔細的評估與分析才能判斷，諸如其權利、散布與出售的方式，他們相信有些發行商可能以不構成證券的方式出售數位資產，但為了安全起見，建議這些發行商還是先諮詢FinHub之後再行動，以免違反美國的證券法令。</p> </div></div></div>
2020/9/22 16:30作者陳曉莉https://www.ithome.com.tw/news/140123
微軟擴大對遊戲領域的布局，以75億美元買下遊戲業者ZeniMax Media
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一（9/21）<a href="https://news.microsoft.com/2020/09/21/microsoft-to-acquire-zenimax-media-and-its-game-publisher-bethesda-softworks/" target="_blank">宣布</a>，將以75億美元的現金買下遊戲業者ZeniMax Media，目的在於吸引更多的遊戲玩家訂閱Xbox Game Pass，可望進一步擴大微軟於遊戲領域的足跡。</p> <p>成立於1999年的ZeniMax Media在全球有超過2,300名員工，旗下資產最受矚目的是負責遊戲發行的Bethesda，它在1994年發行的《上古卷軸》（The Elder Scrolls）遊戲系列迄今依然膾炙人口，也在2007年接手了知名的《異塵餘生》（Fallout）。</p> <p>微軟表示，遊戲的文化現象讓它成為娛樂產業成長最快的形式，估計它明年的全球產值將能突破2,000億美元，此外，遊戲本身不只是遊戲產業的最大推手，也將豐富像是Xbox Game Pass的全新雲端遊戲服務。</p> <p>在併購ZeniMax Media之後，微軟的創意遊戲團隊將從既有的15個團隊增加到23個，而且會把Bethesda所發行的遊戲納入Xbox Game Pass中。微軟計畫於2021財年的下半年完成交易。</p> <p>根據微軟截至今年6月底的2020財年第四季<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2020-Q4/press-release-webcast" target="_blank">財報</a>，Xbox內容及服務營收在該季增加了12億美元，成長幅度達65%，透露出微軟該季的Xbox內容及服務營收為30.5億美元，占更多個人運算（More Personal Computing）部門營收的24%，占微軟整體營收的8%。Xbox Game Pass為微軟所提供的遊戲訂閱服務，可同時支援Xbox及Windows裝置，迄今該服務已吸引了超過1,500萬名玩家訂閱。</p> <p><a href="https://gs.statcounter.com/os-market-share/console/worldwide" target="_blank">Statcounter</a>今年8月的調查顯示，遊戲機市場占有率最高的是Playstation的64.22%，Xbox則以35.77%位居第二，第三名的任天堂只占了0.01%。</p> <p>微軟執行長Satya Nadella指出，遊戲是娛樂產業中最廣泛的類別，在品質上提供差異化的內容將是Xbox Game Pass成長的重要支柱，該交易使得微軟可進一步實現提供遊戲予全球逾30億玩家的野心。</p> </div></div></div>
2020/9/22 16:00作者陳曉莉https://www.ithome.com.tw/news/140119
Amazon遭內賊外洩營運資料、竄改Marketplace賣家帳號權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-wdwa/press-release/file/1317986/download" target="_blank">美國法院</a>上周對包括Amazon前員工在內的6人提出告訴，指其行賄Amazon員工竄改Amazon Marketplace平臺上第三方賣家及產品資料、以及外洩數TB內部營運資料，包括對手資料及Amazon演算法以不法獲利。</p> <p>Amazon Marketplace是供第三方賣家刊登、銷售商品及服務給一般消費者的平臺。根據美國西雅圖地方法院文件，這6人有4人對外提供第三方賣家顧問服務，另兩人為Amazon前員工，隨後也自立門戶提供賣家顧問服務，他們最少從2017年起陸續支付超過10萬美元，以行賄Amazon員工或約聘人員為其從事不法行為。</p> <p>根據文件，他們的不法行為包括買通Amazon現任員工非授權存取公司系統，以盜取數TB的機密資訊，包括內部標準作業程序（SOP）、Wiki、Amazon Marketplace搜尋引擎演算法公式、Amazon賣家帳號及產品停權標準、Amazon上數千名賣家員工或消費者個資。</p> <p>被買通的Amazon員工還配合被告，將被停權的賣家列入「推薦商品」（buy box）、協助恢復被停權的帳號、把被下架的產品重新上架，傳授他們如何繞過Amazon對過大或長期庫存的收費，並假冒Amazon允許賣家銷售營養補充品等禁賣產品、假造開立明細、假造灌水評價。此外，被告也利用Amazon內應來取得競爭者資料，以抹黑、威脅對手、甚至吊扣對手賣家帳號。</p> <p>超過10名Amazon員工涉入此案。</p> <p>法院指出，透過非法恢復帳號而出售的產品獲利超過1億美元。6人遭到法院起訴的罪名，包括利用通訊工具商業行賄、密謀未授權存取受保護電腦、密謀電匯詐欺、電匯詐欺等。後二項罪名最高可判處20年徒刑。</p> <p>Amazon也發出聲明<a href="https://www.businesswire.com/news/home/20200918005533/en/Amazon-Supports-Department-of-Justice%E2%80%99s-Prosecution-of-Six-Defendants-Charged-with-Fraud-Among-Others" target="_blank">指出</a>，該公司有專門偵測可疑賣家或員工行為的系統，也有團隊從事調查及遏止非法活動，平臺上絕不允許詐欺行為。</p> </div></div></div>
2020/9/22 12:30作者林妍溱https://www.ithome.com.tw/news/140116
反制美國《實體名單》？中國《不可靠实体清单规定》出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國商務部在9月19日公布了《不可靠实体清单规定》，準備把危害中國主權、安全與發展利益的外國組織或個人列入黑名單，儘管中國商務部表示，該規定既不針對特定國家也不針對特定實體，但外界一面倒地認為，此一規定就是為了反制美國的《實體名單》（Entity List），也可能影響臺灣，例如波及出售軍備給臺灣的企業，或是與中國政府立場相左的臺灣企業。</p> <p>根據《不可靠实体清单规定》，只要是危害中國主權、安全、發展利益，或是違反正常的市場交易原則，就可能會被中國列入黑名單，該規定還強調中國堅持獨立自主的對外政策，互相尊重主權且互不干涉內政等，意謂著只要涉及此類行為的組織或個人都有被列入黑名單的風險。</p> <p>至於被視為不可靠實體之後，中國的作法則包括限制從事與中國有關的進出口活動，限制或禁止在中國的投資，限制或禁止相關人員的入境，限制其中國境內的工作許可或停留資格，以及罰款等。</p> <p>當媒體詢問此一規定是否為中國針對美國行為的反制，商務部則表示，《不可靠实体清单规定》是既定的安排，並未針對特定國家或實體。</p> <p>然而，<a href="https://www.wsj.com/articles/chinese-leaders-split-over-releasing-blacklist-of-u-s-companies-11600708688?mod=rsswn" target="_blank">華爾街日報</a>分析，中國的確是在去年5月時宣布建立黑名單的計畫，但時間點湊巧是在美國將華為納入實體名單之際，在這期間美國與中國仍持續展開貿易協商，一直到最近美國總統川普（Donald Trump）接連對Tiktok及微信出手之後，中國才正式發表了《不可靠实体清单规定》，而這就是中國對美國《實體名單》的回應。</p> <p>另外，<a href="https://www.cnbc.com/2020/09/21/china-releases-details-on-unreliable-entity-list-raising-uncertainty-for-foreign-businesses.html" target="_blank">CNBC</a>則引述了全球最大政治風險諮詢公司Eurasia Group分析師Michael Hirson的看法，指出中國的新規定很可能是針對那些與中國產品競爭的實體，也可能波及販售軍備給臺灣的實體。Eurasia也列出了可能成為首批被中國列入黑名單的實體，涵蓋思科、Dell/EMC與HP等IT業者，以及美國航太製造商Lockheed Martin與Rockwell Collins。</p> </div></div></div>
2020/9/22 13:35作者陳曉莉https://www.ithome.com.tw/news/140117
微軟持有的Elasticsearch伺服器因配置不當，遭攻擊刪除6.5TB用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小型公司伺服器組態不當，資料外洩影響有限。若是微軟等級雲端供應商的系統防護不當，造成的風險可就完全不同。<a href="https://www.wizcase.com/blog/bing-leak-research/" target="_blank">安全公司本月稍早發現</a>，微軟一臺伺服器曝露於公開網路上，當中存放了6.5TB的Bing用戶搜尋資料，而且已經遭到攻擊刪除大部分資料。</p> <p>安全廠商WizCase偕同白帽駭客Ata Hakcil於本月發現，一臺隷屬於微軟的連網伺服器未加密碼。這臺伺服器為一Elasticsearch伺服器，此類伺服器是企業將大量資料彙整起來以利日後搜尋及查詢。經過探究，這臺伺服器存放Bing App用戶使用而產生的相關資料，包括查詢關鍵字、裝置資訊、GPS座標、查詢詳細時間、使用者由搜尋引擎連出去的網址、作業系統、使用者ID資料如微軟帳號ID、裝置ID及、Firebase通知令符等。</p> <p>為了驗證，研究人員下載Bing App後立即搜尋了Wizcase，即可立即發現他的搜尋關鍵字、裝置資料及GPS座標等，證實這個資料庫的確直接來自Bing App。</p> <p>儘管Bing並非最主要的搜尋引擎，但是使用者還是很多，光是Google Play下載的Android版就超過1,000萬、每天產生數百萬次搜尋。</p> <p>研究團隊於9月12日發現這個資料庫，但同時也在9月10日到12日之間，這臺伺服器遭到Meow攻擊（以自動化工具刪除資料的攻擊行為），對方刪除了幾乎整個資料庫。到了12日資料庫又新增了1億筆資料，而到了14日，駭客再度發動Meow攻擊。</p> <p>根據資料庫的紀錄，這批資料數量可能達6.5TB，每天以200GB速度增長，而從使用者地點資訊研判，用戶遍布70餘國。研究團隊推測任何以Bing App搜尋的用戶資料都在曝險範圍中。不過這批資料並不包含使用者個資。</p> <p>至於理應擁有嚴謹資安防護的微軟，何以出現此一重大疏漏，研究團隊掃瞄得知，這臺伺服器在9月第一周前一直有設密碼防護。大約兩天前（9月10日）驗證不知為何被移除。他們於9月13日先後通知微軟及微軟安全回應中心（Microsoft Security Response Center，MSRC），微軟於9月16日重新加上防護。</p> <p>除了這幫駭客外，研究人員指出，這些資料如果落在歹徒手中，可能引發勒索信件、釣魚詐騙信、或是真的上門偷竊等威脅。</p> <p>此外，研究人員也發現他們調查期間，還有其他人以Bing搜尋過買槍枝、射擊等，但這不代表一定是歹徒，也有可能是美國用戶近來想買槍自保的人變多所致，但是也有搜尋「兒童色情」、「殺掉共黨分子」這類明顯不法的行為。</p> <p>研究人員提醒，雖然這次曝險的並不包含個資，但對不肖人士來說已經提供了充分資料，例如地點資訊。由於Bing（以及Google）等搜尋引擎都會存取大量用戶資訊，研究人員建議，為避免洩露地點資訊，使用時應關閉GPS、並啟用VPN上網。或者直接換隱私搜尋引擎，像是DuckDuckGo。</p> </div></div></div>
2020/9/22 10:50作者林妍溱https://www.ithome.com.tw/news/140115
Google借助群眾外包的力量重建歷史地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院推出一個稱為<a href="https://opensource.googleblog.com/2020/09/recreating-historical-streetscapes.html">Kartta Labs</a>的系統，要借助Google雲端以及Kubernetes可擴展能力，解決重建城市舊地圖的難題。Kartta Labs將生成具有時間軸地圖，讓使用者能夠探索特定歷史年份的城市地圖樣貌。</p> <p>Kartta Labs主要有3個部分，分別是時序地圖伺服器，用來呈現隨時間變化的地圖，第2個則為群眾外包平臺，讓用戶能夠上傳城市歷史地圖，透過地理校正以及向量化，與當前世界座標配對，第3個則是即將要發布的3D體驗平臺，Google將使用深度學習技術，透過有限的歷史圖像和地圖資料，重建3D建築物模型。</p> <p>由於重建歷史地圖，需要有龐大的歷史資料，因此Google以開源網頁應用程式MapWarper創建了Warper，讓用戶可以上傳歷史地圖影像，並透過尋找歷史地圖的控制點，以及當前參考地圖的對應點進行地理校正。用戶在上傳掃描的歷史地圖之後，Warper會透過擷取文字資訊，對地圖的地理位置進行猜測，並且擺放在參考地圖粗略的位置，接著用戶可以透過設置成對的控制點與對應點進行校正，Warper應用程式會自動改變歷史圖像形狀，使其能夠對齊參考地圖。</p> <p class="rtecenter"><img alt="" src="https://lh5.googleusercontent.com/-shrAMx7s0KBFvk5rr2xeimZaiAhm1zan4sY3viifck1ZQ03cSqLx33XsiJYIy4tqONxuHvWOqyXiH9o6EYWpNwnxF311krVCo7XNngpCoS-etC7bNtHSF_UI-y7M_V6DY-4lHyPpA=s16000" style="width: 580px;" /></p> <p>Google還利用OpenStreetMap編輯器，自定義了適用於Kartta Labs系統的編輯器，除了增加時間維度的支援之外，也與其他Kartta Labs擴充套件整合。該編輯器可讓用戶載入經過地理校正的歷史地圖，並追蹤其諸如建築和道路等地理特徵，這些特徵會以向量格式儲存，並儲存在地理空間資料庫中，供後續進行查詢、編輯，或是渲染至新地圖之用。</p> <p>另外，Google則以開源專案Tegola為基礎，建置了時序地圖前端Kartta，可視覺化向量貼圖，讓使用者能依時間瀏覽歷史地圖，Google提到，Kartta的使用方式類似Google地圖，只是多了時間控制條，可供用戶選擇要查看地圖的年份。接下來，為了更真實呈現城市的歷史樣貌，Google還會利用歷史地圖資料，重建建築物的3D模型，在具有時間維度的歷史地圖上渲染呈現。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/Ek9tlJz2GI4rvtooCbmj1UOwYMsxRaUkPghgqyYBdD1QLG8Uam_NJ1fa8GWuZrO5gXzqT6zc0hcneCaEB79sPoZPVZjFbFUFecuXAi_rohC1oTyUVSjTgwDbobFL4oq15IKQe3P0cQ" style="width: 580px;" /></p> </div></div></div>
2020/9/22 10:30作者李建興https://www.ithome.com.tw/news/140112
Google解釋GKE因採用gVisor，不受Linux核心漏洞CVE-2020-14386影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Linux被爆出，存在可能造成容器跳脫（Container Escapes）的嚴重核心漏洞，許多Linux發布版皆被影響，因此容器應用也受到波及，<a href="https://cloud.google.com/blog/products/containers-kubernetes/how-gvisor-protects-google-cloud-services-from-cve-2020-14386" target="_blank">但Google提到</a>，他們在GKE以及無伺服器服務中，使用了開源的沙盒容器Runtime gVisor，因此相關服務不受CVE-2020-14386影響。</p> <p>在5.9-rc4之前的Linux核心存在漏洞CVE-2020-14386，讓駭客能夠使用Linux核心的CAP_NET_RAW功能，造成記憶體毀損（Memory Corruption），使得非特權程序取得根權限，而這個漏洞最大的威脅，是影響資料的機密性以及完整性。</p> <p>由於在Docker中，CAP_NET_RAW功能預設啟用，因此大部分Kubernetes部署，或許原本就存在該核心漏洞，而且即便安全團隊禁用了部分預設功能，但在使用ping和tcpdump等網路工具進行除錯的過程，可能無意間又啟用了CAP_NET_RAW功能。</p> <p>禁用CAP_NET_RAW功能可以保護系統免受該核心漏洞影響，但Google提到，即便CAP_NET_RAW啟用，在GKE、Cloud Run、Cloud Functions或App Engine標準環境，也不會受到漏洞影響，因為GKE以及無伺服器服務皆使用gVisor，gVisor網路堆疊沒有使用Linux中有問題C程式碼，因此不存在該漏洞。</p> <p>gVisor是Google以程式語言Go開發的沙盒容器Runtime，Google提到，容器仰賴命名空間以及cgroup作為主要的隔離層，而gVisor則引入了第2隔離層，以Go編寫的核心Sentry來處理系統呼叫，在使用者空間中模擬Linux。這樣的方式大幅減少對主機核心的系統呼叫數量，因此能夠縮減攻擊面，而且除了Sentry提供的隔離之外，gVisor還使用特殊的TCP/IP堆疊、網路堆疊以及其他保護層，提供額外的隔離。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mitigating_CVE-2020-14386_with_gVisor_max-500x500.jpg" style="width: 500px; height: 228px;" /></p> <p>既使GKE沙盒上的Pod不受漏洞影響，但基於最佳實踐，使用者仍應該更新系統，而未使用GKE沙盒的使用者，應該立刻更新控制平面以及節點，並且根據建議從Policy Controller、Gatekeeper或PodSecurityPolicy中移除CAP_NET_RAW功能。</p> <p>容器的發明，改變了應用程式開發、封裝以及部署的方法，Google表示，容器方式暴露了廣泛的系統表面，對於執行不受信任，或是潛在惡意程式碼存在安全風險，而gVisor能以沙盒執行應用程式，提供像是虛擬機器一樣的隔離性，應用程式設下強健的隔離邊界，把應用程式包在使用者空間中，但是更加輕量，且也能存取核心與系統資源。</p> <p>gVisor直接以Go實作Linux系統呼叫，因此Google提到，由於Go具有類型和記憶體安全性，因此不少Linux問題，像是緩衝區溢位以及陣列逾越邊界的問題也就消失了，gVisor可以說是較安全的Linux輕量版。不過，雖然gVisor是一個更安全的方案，但是目前仍有兩個主要問題，首先，雖然gVisor與Linux很像，能夠執行大部分應用程式，但終究與Linux不同，仍有許多限制，第2個問題則是，攔截系統呼叫，會影響I/O密集工作負載的效能。</p> </div></div></div>
2020/9/22 10:15作者李建興https://www.ithome.com.tw/news/140105
Nvidia釋出AI去背和降噪的影音直播輔助程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia釋出通用即時直播擴充套件<a href="https://www.nvidia.com/en-us/geforce/news/nvidia-broadcast-app/">Broadcast</a>，可提供聲音降噪、虛擬背景甚至是自動追蹤攝影機影音處理功能，用戶可以結合熱門的即時串流媒體、語音聊天和視訊會議應用程式一起使用。</p> <p>即時影音直播串流應用逐漸熱門，Nvidia開始提供額外的GPU功能，輔助直播串流的進行，像是在GeForce RTX 20系列，Nvidia更新了編碼器NVENC，以提供更好的視訊品質，並且因為工作負載從CPU轉到了GPU上，也提升了在遊戲中的影格率，另外，Nvidia也與OBS、Discord以及Twitch等串流媒體平臺合作整合，以提高即時直播的效能。</p> <p>不過，之前的工作限於提高視訊編碼的品質，而這些僅是提供高品質影音直播的一部分，另外像是音訊、攝影機和房間擺設，也是直播觀賞體驗的一部分，但由於諸如昂貴的攝影機、麥克風和綠幕等高階工作室設備，並非每個人都負擔得起，因此直播主要在這些部分提升品質，也就相對困難。</p> <p>而Nvidia在GeForce RTX 30系列GPU推出的同時，也釋出了Broadcast應用程式，透過人工智慧，讓直播主可以使用標準攝影機和麥克風，就能夠擁有工作室等級設備的效果。Broadcast在聲音處理上，擁有強大的降噪能力，能夠即時消除狗叫聲或是門鈴聲等噪音，甚至可以消除通話另一方的鍵盤打字聲。</p> <p>在影像處理上，Broadcast應用程式能夠即時處理視訊畫面，移除人物後面的背景，替換成為遊戲畫面或是其他背景，也能直接模糊背景以凸顯人物。另外，Broadcast應用程式還能放大，並且自動追蹤使用者的頭部運動，即便使用者左右移動，人工智慧技術仍可以讓使用者的頭維持在畫面中心，像是由專屬攝影師拍攝一樣。</p> <p>Broadcast是通用擴充套件，可以與各種影音應用程式搭配使用，不只可以用於遊戲直播上，也能用於Discord與朋友一同通訊玩遊戲，甚至是在Zoom進行視訊會議。支援的硬體包括Nvidia GeForce RTX、TITAN RTX和Quadro RTX GPU，Broadcast會使用專門的張量核心人工智慧處理器，在玩家進行遊戲的同時，執行人工智慧運算。</p> <p>官方提到，由於收到之前降噪測試軟體RTX Voice的大量回饋，他們進一步改善降噪功能，因此Broadcast降噪效果更好，耗費的效能成本更低，而虛擬背景和自動追蹤攝影機功能目前是以Beta測試版釋出。使用較舊GeForce GTX GPU的用戶，仍可以使用更新過後的RTX Voice，不過效果會因顯卡的效能而異。</p> </div></div></div>
2020/9/22 10:20作者李建興https://www.ithome.com.tw/news/140110
誠品3年打造全通路策略，新推分眾新會制和個人化App為年底新EC平臺鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>誠品近年積極發展全通路平臺策略，於9月1日推出全新的會員制度，打造更分眾的會員級別，並同步推出新的會員App「誠品人」，來為年底前將推出的全新電商平臺「誠品線上」，提前做準備。今日（9/21）誠品也正式對外分享新會員制度和App的細節。</p> <p>新會員制度有兩大改變，首先，會員級別從2階轉變為3階，新增加了一個更高的會員級別黑卡，也調降原先金卡升等門檻，成為第二級別，再加上申辦即取得的白卡，3個級別各自瞄準不同消費力的客群，其次，新制增加了書籍和酒兩個商品類別的消費徽章制度，來吸引這兩類商品有高消費偏好的族群，給予額外回饋。</p> <p>目前誠品有260萬名會員，透過新的會員制度，誠品目的是要實現以會員為中心，提供360度服務的全通路平臺戰略，而從新會員制度在分眾上的著墨即可看見，誠品欲更明確掌握會員屬性的企圖。</p> <p>然而不只如此，誠品於新會員制上路的同時，還同步推出了全新會員App，希望能藉此提供專屬會員的個人服務。新App介面增加了個人化推薦功能，會根據會員消費行為的分析結果，還有會員自行勾選的偏好選項，提供文章、藝文活動、書籍等推薦資訊，來導引會員至藝文活動購票頁面，或是電商平臺，來完成購買動作。其他新增的App功能還包含了誠品自有行動支付eslite Pay、餐廳訂位等。誠品目標年底新會員App下載數達100萬。</p> <p>過去，誠品各通路包含實體門市、電商平臺、社群媒體、會員App和內容網站，皆各自獨立運作，除非是為因應個別服務的需求，才會進行串接整合，否則每個通路的資訊難以互通。</p> <p>根據今年8月法說會資料，誠品為了要提供一致性的顧客體驗，掌握顧客在各端點的移動，已經一步步從多通路走向全通路，讓每個通路背後都連接同一套核心服務，換句話說，各通路無論是商品、庫存、訂單或是會員服務等資訊，皆已逐步整合在一起，現可直接從單一視角掌握。</p> <p>為了發展全通路計畫，誠品早在3年前，先著手整合線下及線上會員資料，以提供會員更全面性的服務，接著，一連翻新了CRM系統、POS系統等，還有導入新倉儲物流系統，並進行顧客行為分析，來落實精準行銷，以打造有感的顧客體驗。</p> <p>這幾年更展開一連串數位基礎建設的布局，誠品全通路策略將從七大面向實現，包括官方電商個人化體驗、結合社群媒體並分享體驗，還有跨渠道銷售與配送、即時的個人化行銷、跨渠道客戶準確洞察，以及360度會員行為蒐集和擴展行動應用與內容呈現。</p> <p>而誠品今年除了將藉新會員制度和新會員App，打造全通路平臺，年底前，還將推出新的電商平臺誠品線上，來取代現有的誠品網路書店平臺，屆時App也將成為新電商的導購入口之一。</p> <p>現距離新電商上線還有一些時間，誠品又會如何於這期間推動新會制和App，對此，誠品會員關係處會員管理部經理陳冠伶提表示，在此期間有許多事情需與會員溝通，讓會員認識新活動和服務，而待越多會員人數下載App，對年底新電商上線也會非常有幫助。此外，誠品還將啟用位於桃園的新倉儲物流中心，以進一步完善全通路的整體戰略，提升電商出貨的速度。</p> </div></div></div>
2020/9/21 22:48作者黃郁芸https://www.ithome.com.tw/news/140111
IBM與ProMare打造的無人自駕船正式啟航進行海洋研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由非營利的海洋研究組織ProMare及IBM共同打造的<a href="https://newsroom.ibm.com/2020-09-15-Mayflower-Autonomous-Ship-Launches" target="_blank">五月花號自駕船（Mayflower Autonomous Ship，MAS）</a>於上周正式啟航了，它與400年前（1620年）美國第一代移民從英國普利茅斯（Plymouth）搭乘五月花號（Mayflower）到美國的航線相似，但這次它的任務是協助蒐集重要的海洋數據，以替ProMare的專案作出貢獻。</p> <p>MAS長15米，寬6.2米，重約5噸，最快船速為10節，船上有超過30個感應器，6個AI攝影機，以太陽能供電，還配備一個AI船長。MAS採用第五級（Level 5）的自駕技術，可全面自動駕駛，而且它是一艘無人船，船上完全沒有任何人類。</p> <p>MAS主要協助ProMare進行各種海洋專案的研究，從海洋哺乳動物、海裡的塑膠垃圾、海平面的高度與波型、海洋環境數據的蒐集等。</p> <p>IBM表示，與ProMare共同打造的AI船長讓MAS具備偵測、思考與決策的能力，它奠基在IBM最新的邊緣運算系統、自動化軟體、電腦視覺技術與紅帽的開源軟體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0921-IBM_MAYFLOWER-2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／IBM</span></p> <p>IBM在英國暨愛爾蘭的技術長Andy Stanford-Clark則說，MAS能夠掃描地平線以發覺潛在的危險，並根據各種即時數據來變更路線，就算面臨各種艱困的狀況也都能夠持續航行，根本就是21世紀企業的縮影。</p> <p>雙方也替自駕五月花號設置了專屬網站<a href="https://mas400.com/" target="_blank">MAS400</a>，以讓外界可隨時觀察MAS的位置、環境狀況及所蒐集的資料，站上還有一個聊天機器人Artie，可提供有關MAS的各種資訊及它的冒險故事。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/n8wPUCPX6ss" width="560px"></iframe></div> <p> </p> <p> </p> </div></div></div>
2020/9/21 16:40作者陳曉莉https://www.ithome.com.tw/news/140104
舊版Firefox漏洞會導致Android裝置被同Wi-Fi網路的駭客劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Android版Firefox一項漏洞，可讓攻擊者劫持同一Wi-Fi網路上的火狐瀏覽器用戶，使之連到惡意網站。Android版Firefox 79以後版本已解決該漏洞。</p> <p>這項漏洞是由澳洲研究人員<a href="https://gitlab.com/gitlab-com/gl-security/security-operations/gl-redteam/red-team-tech-notes/-/tree/master/firefox-android-2020" target="_blank">Chris Moberly</a>發現，它存在於Android版Firefox上的簡單服務發現協定（SSDP，Simple Service Discovery Protocol）中。SSDP為構成通用隨插即用（UPnP）技術的UDP協定；一臺裝置發送SSDP廣播訊息尋找到同一區域網路上的其他裝置，以分享內容。Android版Firefox即是透過發送SSDP訊息，尋找其他裝置，像是Roku，以實現第二螢幕（second-screen）的使用情境，例如播放影音或網頁內容。</p> <p>研究人員解釋，在Firefox發送廣播訊息時，同一區域網路上的裝置會加以回應，並回傳一個UPnP裝置所在位置的訊息。Firefox就會試圖存取這位置，並下載符合UPnP規格的XML檔案。但研究人員發現，攻擊者可以設立一臺惡意SSDP伺服器，然後以包含指向Android intent URI的惡意訊息取代位置訊息，驅動Firefox瀏覽器執行這個意圖（intent）。例如迫使Android手機上的Firefox連向惡意網址，而全部都不需受害者的任何動作。</p> <p>研究人員說，這個漏洞並非很新奇的記憶體毁損漏洞，只是簡單的邏輯bug，但是卻可以從遠端驅動。</p> <p>他說這項漏洞像RCE （remote command execution）漏洞一樣，允許駭客在不經用戶互動下執行未授權的功能，唯獨它只能執行預先定義的應用意圖（intents）而非任意程式碼。但是光是如此，它就能可能造成網釣攻擊，或是攻擊別的App上已知有問題意圖。研究人員還示範了如何劫持同一網路下Android手機連上惡意網址、開啟郵件應用程式、或撥打電話，只要手機上安裝Firefox。</p> <p>這項漏洞出現在Firefox 79以前的Android版本，因此研究人員呼籲用戶升級到79以後的版本。桌機版則不受影響。</p> </div></div></div>
2020/9/21 14:20作者林妍溱https://www.ithome.com.tw/news/140099
印度的蘋果線上商店將於本周開張
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周宣布，即將在9月23日於印度設立線上商店，專門提供蘋果的各式產品與支援服務，且將具備與全球其它蘋果線上商店同樣的體驗。</p> <p>其實蘋果早在20年前就進軍印度市場，還於2016年在當地設立了程式設計與開發加速中心，然而，根據Canalys今年第二季的調查，蘋果的iPhone只占印度手機市場的1.4%，遠遠落後小米、Vivo、三星與Oppo，且迄今蘋果在印度的產品銷售都是透過第三方的網路與實體門市，並未有官方自營通路，而蘋果線上商店即會是蘋果在印度的首個官方銷售中心。</p> <p>值得一提的是，蘋果在印度並非全無建樹，在<a href="https://www.idc.com/getdoc.jsp?containerId=prAP46764220" target="_blank">印度售價超過500美元的手機市場</a>上，蘋果以高達48.8%的市占率傲視三星與OnePlus等其它品牌。</p> <p>蘋果表示，該線上商店將成為印度民眾添購蘋果產品最方便的地方，並有專門協助消費者的線上專家，像是協助配置Mac或設定任何新的蘋果裝置，且支援英語及印地語。</p> </div></div></div>
2020/9/21 14:00作者陳曉莉https://www.ithome.com.tw/news/140098
GitHub 10月起將以Main取代Master作為新Git儲存庫預設名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為響應黑人平權運動，<a href="https://github.com/github/renaming" target="_blank">GitHub宣布</a>從10月1日起改變新Git儲存庫的預設命名，以main來取代原本的master。</p> <p>受到年中佛洛依德（George Floyd）遭警方執法過當死亡，引發的黑人平權抗議風潮影響，美國科技界也相繼思考去除慣用名稱中有種族歧視色彩的字眼，例如不要使用master/slave、blacklist/whitelist。<a href="https://www.ithome.com.tw/news/138251" target="_blank">GitHub</a>執行長Nat Friedman也決定進行相關改變。從那時起包括GitHub及Git社群已經著手改變其儲存庫的branch命名法。為協助開發人員更順暢轉變為新的命令方式，Github上周公布指引，說明預設branch的改名計畫，預計從10月1日起，將以main作為所有新建儲存庫的branch預設命名。</p> <p>GitHub其實已經逐步以main取代master。目前已經更新GitHub.com，將把連向已刪除的「master」的branch連結，改導到以「main」為名的branch，並為GitHub.com新建儲存庫增加使用者、組織和公司的branch預設命名設定功能，而GitHub桌面程式本月內也會加入新儲存庫branch的預設設定等等。</p> <p>GitHub指出，main是目前GitHub上用來取代master最常見的新名稱，而GitHub官方也認為它簡明、好記且容易翻譯成各種語言。</p> <p>GitHub計畫從10月1日起，所有新建的儲存庫都會以main為預設branch命名，不再使用master。不過這項變更並不會影響現有儲存庫的名稱。此外，開發人員也可以不要變更，隨時到設定區，把個人、組織和公司的新儲存庫預設命名從main改成別的。</p> <p>事實上將現有儲存庫改名會碰上技術性的問題，像是開啟pull呼叫，或release草案程式碼（draft release）都必須retarget到新branch，而且現有branch的防護也必須轉到新branch。GitHub呼籲用戶可以先保持不動，到了年底會再釋出新工具以協助現有branch改成新的預設名稱。</p> <p>在支持黑人平權風潮下，包括Google、微軟、IBM、<a href="https://www.redhat.com/en/blog/making-open-source-more-inclusive-eradicating-problematic-language" target="_blank">Red Hat</a>、甲骨文下的<a href="https://www.ithome.com.tw/news/138616" target="_blank">MySQL</a>及Linux社群都相繼變更了軟體流程的命名。本月<a href="https://www.theregister.com/2019/09/03/chromium_microsoft_offensive/" target="_blank">微軟</a>也提案修改Chromium中black/whitelist為較中性的blocklist/allowlist。</p> </div></div></div>
2020/9/21 12:10作者林妍溱https://www.ithome.com.tw/news/140094
家電大廠Panasonic揭露自建威脅情資平臺的研究結果，每5個惡意程式就有1個與物聯網有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網資訊安全受到家電大廠的重視，甚至進一步採取較為積極主動的策略，自行建置威脅情資平臺，來收集與分析有關威脅，進而回饋到產品開發的資訊安全工作。Panasonic先前於2020臺灣資安大會上<a href="https://www.ithome.com.tw/news/139427">介紹</a>對於連網家電資安的作法，並特別提到他們的威脅情資平臺，而到了2020臺灣駭客年會（HITCON），該公司則是對於自己掌握的情資，更詳細介紹所發現的威脅態勢，再者，他們甚至在攤位上<a href="https://www.ithome.com.tw/news/139967">展出</a>了Chimera Box，將實際的連網家電攻防模擬情境搬至會場。</p> <h2><strong>物聯網惡意軟體主要來自2大殭屍網路家族</strong></h2> <p>對於整體物聯網裝置面臨的威脅，Panasonic網路安全實驗室工程師張智翔指出，他們從2017年11月到今年6月，總共發現超過6億次攻擊事件，當中收集到的惡意軟體有56,426個，其中針對物聯網者則有12,634個，換言之，平均每5個惡意軟體就有1個可能會影響物聯網裝置的安全。而上述的物聯網惡意軟體的來源，主要來自美國、中國，以及日本等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-accomplishments.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-accomplishments.png" style="width: 580px;" /></a></p> <p>他們將收集到的物聯網惡意軟體樣本，進一步與VirusTotal比對，有超過三分之一（34%）為未知的惡意軟體。而在惡意軟體的其他特性而言，這些樣本大多屬於Gafgyt和Mirai物聯網惡意程式家族，主要鎖定的硬體環境為Arm和MIPS處理器架構的設備。不過，如果是針對Linux作業系統設計的惡意程式，他們發現駭客的攻擊目標，還是以x86架構的電腦與伺服器為主。</p> <p>其中，什麼樣的連網裝置是駭客偏好下手的目標？張智翔說，根據他們在密罐收集的資料分析結果，最主要還是網路攝影機（IP Camera），但值得留意的是，藍光錄放影機與對講機也榜上有名，僅次於家用的網路攝影機。只是在這些從威脅情資平臺所得到的資訊，他們是否藉此發現該公司連網家電遭到攻擊的情事？我們也會後詢問張智翔，他說，目前還沒有發現針對Panasonic家電的攻擊行為，而駭客主要是鎖定有關的服務下手，像是對於Samba檔案共用服務的攻擊，就可能會影響到物聯網家電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-home-iot-trends.png" style="width: 580px;" /></p> <p>在Panasonic發現的惡意軟體中，張智翔特別介紹其中3個殭屍網路病毒，分別是Echobot、LiquorBot，以及Sandbot，就惡意軟體家族而言，前2個隸屬Mirai家族，Sandbot則是屬於Tsunami家族。就這些殭屍網路病毒的特質而言，Echobot鎖定的受害裝置架構最為多元，遍及Arm、MIPS、PPC、SPC，以及x86等；LiquorBot則是鎖定MIPS架構的網路路由器為主，同時具有挖礦的功能；至於Sandbot，他們發現有資料加解密專用的對應表，其感染途徑是透過Telnet協定，而且會在成功後自動切斷連線，以免被察覺。</p> </div></div></div>
2020/9/21 11:27作者周峻佑https://www.ithome.com.tw/news/140032
加州法院擱置川普的微信禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部原本準備要在9月20日執行美國總統川普（Donald Trump）的13943行政命令，於境內封鎖微信（WeChat），然而，美國的微信使用者成立了美國微信用戶聯盟（U.S. WeChat Users Alliance），向加州法院<a href="https://www.courtlistener.com/docket/17470217/59/us-wechat-users-alliance/" target="_blank">申請初步禁制令</a>，加州法官Laurel Beeler在上周六（9/20）接受該聯盟的提議，<a href="https://www.cnbc.com/2020/09/20/judge-halts-trump-administration-order-banning-wechat-from-app-stores.html" target="_blank">暫時擱置該禁令的執行</a>。</p> <p>川普是在8月6日簽署13943行政命令，準備全面封鎖美國的微信使用，包括將微信下架、不再允許WeChat於美國境內執行轉帳或支付功能，亦禁止任何網路代管服務、內容遞送網路或網路傳輸服務支援WeChat。根據外電報導，一旦實施該命令，就無法再下載微信，而已下載的使用者，亦可能遭遇功能或傳輸故障的問題。</p> <p>美國微信用戶聯盟指出，微信是美國絕大多數華人與部份非華人最常用的通訊工具，全面封殺將嚴重影響數百萬在美華人的生活與工作，也無法再與中國的親友以微信進行聯繫，而且那些利用微信來開發與聯繫客戶的個人或實體，也將遭受巨大的經濟損失。</p> <p>該聯盟認為此一行政命令違反了美國《憲法》及《行政程序法》的多條規定，並向美國聯邦法院提出訴訟。</p> <p>法官Beeler認為，美國政府所提出的有關微信危及美國國家安全的證據並不充份，而且亦無證據顯示禁止所有美國用戶使用微信，就能解決中國的威脅。因此同意原告的請求，發布初步禁令，暫時擱置了微信的封鎖行為。</p> <p>不只是微信，美國商務部原本也要在9月20日將TikTok下架，但因TikTok母公司字節跳動已與甲骨文及Walmart等業者達成協議，且已獲得川普的首肯，因此亦將對TikTok的封鎖行動延後到9月27日。</p> </div></div></div>
2020/9/21 12:05作者陳曉莉https://www.ithome.com.tw/news/140093
正視資安框架的價值
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年初，我們看到有資安廠商正式在臺介紹一套資安框架，名為<a href="https://www.ithome.com.tw/article/133173" target="_blank">NIST Cybersecurity Framework（CSF）</a>，接著，在3月下半的臺灣資安大會上，也有會計師事務所高層前來主講NIST CSF。後續舉辦的Cybersec 101系列研討會當中，更是以此為題，根據CSF當中的五大資安防禦功能（Identify、Protect、Detect、Respond、Recover），逐一進行探討。</p> <p>而在今年臺灣資安大會，就有多場演講以CSF為主題，例如，〈前進NIST資安架構 – 以鐵山公司為例〉〈強化後疫情時代資安韌性的新架構：NIST CSF應用實務〉；有些則是介紹CSF與其他資安框架，像是〈你的資安策略夠明確嗎？透過框架優先緩解真實威脅〉，以及〈工業控制系統資訊安全架構介紹〉，同時，〈迎擊封閉網路的維運挑戰〉也提及兩套資安框架，也就是CSF與CIS Critical Security Controls（CSC）。</p> <p>值得注意的是，目前資安框架的選擇相當多，除了NIST CSF、CSC，以及大家先前較熟悉的ISO 27001，我們也曾報導過<a href="https://www.ithome.com.tw/news/131274" target="_blank">MITRE ATT&CK</a>，在去年資安年鑑裡面，也介紹了<a href="https://www.ithome.com.tw/article/129576" target="_blank">CIS Controls V7</a>，以及澳洲政府實施的八大減緩策略<a href="https://www.ithome.com.tw/news/129541" target="_blank">ACSC Essential Eight</a>。</p> <p>而這些資安框架的崛起，也影響公務機關與企業的資安策略制定。</p> <p>以臺灣而言，行政院資通安全辦公室已依據「安全控制措施參考指引」，以及美國NIST 「加強關鍵基礎設施網路安全框架」，來明定資安防護基準，而在2019年底所發布的《國土及公共治理季刊》，也刊登了一篇<a href="https://ws.ndc.gov.tw/Download.ashx?u=LzAwMS9hZG1pbmlzdHJhdG9yLzEwL3JlbGZpbGUvMC8xMzExMi9kMGY2N2Q2YS02Yjk2LTRiOGQtOTRhZS01ZDU2YzliYzIyODMucGRm&n=5pS%2F562W5paw55%2BlMDQt5pS%2F5bqc5qmf6Zec6LOH5a6J5rK755CG5oiQ54af5bqm6KmV5Lyw5qmf5Yi2LnBkZg%3D%3D&icon=..pdf" target="_blank">〈政府機關資安治理成熟度評估機制〉</a>，當中提及我國政府資安治理成熟度評估架構，已經參考了多種法規與國際標準而設計，而NIST CSF正是其中之一。</p> <p>可惜的是，在其他資安活動與資安廠商舉行的研討會當中，我們還是鮮少看到大家討論他們本身如何協助企業來進行資安框架的運用，以及規畫。</p> <p>甚至，大多數時候，每當我們一談到資安威脅的防護，仍然是以問題導向來思考解決之道，諸如勒索軟體、APT攻擊、DDoS攻擊、網路釣魚郵件／商業郵件詐騙，或是內部威脅（Insider Threat）、大量（機敏或隱私）資料外洩。但這些威脅之所以發生，往往不是出於單一因素或條件，而是日積月累的管理與控制失當所致。</p> <p>因此，若要降低這些資安風險，公務機關與企業不能只懂得救急、亡羊補牢，處於被動因應的狀態，平常也必須做好基本功，設法提高自家的資安防護「成熟度」，此時，資安框架就提供了相當值得參考的指引方向，讓組織的相關防護與反應機制，盡可能地「面面俱到」。</p> <p>不過，資安框架在實務上到底該怎麼推動、執行？我們需要先導入一個框架之後，接下來，再換另一個框架來施行嗎？有些專家認為，不同的資安框架彼此之間有許多共通之處，我們可以將當中的控制要求項目進行對應與整合，再考量自身的資安策略來規畫，設計出統一的管理制度，以符合要求。</p> <p>關於如何同時遵循不同的標準，「一以貫之」是最有效率的方法。這讓我想到在佛教當中，據說有多達8萬4千個法門，人卻只有短短一生數十年的時間，有辦法全部修行這些法門嗎？面對這樣的難題，有位佛法的大譯師說：「應遵照各宗派所說而修持吧」，但另一位大師的回答卻更發人深省，也與我們上述討論的作法，相當類似，他說：「應將一切法歸納為一要訣而修持」。廣大無邊的佛法修行是如此，或許我們也可依此教言來思考資安策略的規畫與施行。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E6%A1%86%E6%9E%B6">資安框架</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E6%A1%86%E6%9E%B6">網路安全框架</a></div><div class="field-item even"><a href="/tags/nist-cybersecurity-framework">NIST Cybersecurity Framework</a></div><div class="field-item odd"><a href="/tags/csf">CSF</a></div><div class="field-item even"><a href="/tags/mitre-attck">MITRE ATT&CK</a></div><div class="field-item odd"><a href="/tags/cis-controls-v7">CIS Controls V7</a></div><div class="field-item even"><a href="/tags/acsc-essential-eight">ACSC Essential Eight</a></div></div></div>
2020/9/21 10:20作者李宗翰https://www.ithome.com.tw/voice/140089
美政府發布緊急指令，要求周一前完成Zerologon修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員上周揭露Windows一項風險評分10.0的重大安全漏洞Zerologon，可讓駭客駭入並控制公司Active Directory網域。<a href="https://cyber.dhs.gov/ed/20-04/" target="_blank">美國國土安全部</a>上周因而發布今年第4次緊急指令（Emergency Directive），要求所有政府機構應在周一午夜前修補好該漏洞。</p> <p>最新編號CVE-2020-1472，又名為Zerologon的漏洞位於Windows Server中Active Directory核心驗證元件Netlogon遠端協定（MS-NRPC）中，可讓未經授權的攻擊者藉由和網域控制器建立TCP連線時，送入假造的Netlogon驗證令符而登入網域控制器，進而完全掌控所有AD網域內的身份服務，結果就是在網域下任何一臺裝置執行惡意程式。</p> <p>這項漏洞安全風險達到最嚴重的10.0分。除了從網路上移除AD網域控制器外，目前唯一緩解威脅的方法就是安裝<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472" target="_blank">微軟8月11日釋出的修補程式</a>。</p> <p>國土安全部20-04號緊急指令（Emergency Directive）指出，有鑒於聯邦企業架構內受影響網域控制器之普遍、漏洞公告已持續30天以上，加上網路已流傳攻擊程式碼，美國網路安全暨基礎架構安全署（CISA）要求聯邦政府機關立即修補Windows Server中網域控制器的漏洞。</p> <p>所有聯邦機關應在9月21日周一的晚間11:59，將所有Windows Server安裝8月安全更新，而所有新配發或之前未連網的裝置，應在連上政府網路前確保做好技術及管理控管。本命令要求任何資訊系統內的Windows Server AD網域控制器皆在修補範圍內，包括代替政府蒐集、處理、儲存、傳輸、發送政府資訊的IT系統。除了掃瞄任何漏洞外，CISA也建議政府機關使用其他方法來確定已部署好更新。</p> <p>此外CISA也要求各政府機關要在9月23日的11:59前傳送完成報告到CISA，包括現有系統安裝更新，新系統也保證會在連網前修補好。</p> <p>CISA表示之後也將對各機關展開遵循的稽核驗證，並預計10月初向國土安全部及美國行政管理和預算局（Office of Management and Budget，OMB）提交報告。</p> <p>微軟8月初的安全更新只是第一階段修補，預計明年第一季再會做更完整的修補。</p> </div></div></div>
2020/9/21 10:35作者林妍溱https://www.ithome.com.tw/news/140090
川普原則上同意甲骨文與TikTok的協議，封鎖行動延後一周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在上周六（9/19）<a href="https://www.whitehouse.gov/briefings-statements/remarks-president-trump-marine-one-departure-092020/" target="_blank">表示</a>，原則上同意TikTok與甲骨文及Walmart之間的協議，三方也都在同一天發表了正式聲明，TikTok母公司字節跳動將設立新的TikTok Global公司，奠基於甲骨文的第二代雲端（Generation 2 Cloud）資料中心，原本要在周日（9/20）將TikTok下架的美國商務部也因一樂觀的發展，而將封鎖行動延後一周至9月27日實施。</p> <p>美國為TikTok全球第二大市場，繼印度以國安為由封鎖TikTok後，川普也要求字節跳動把TikTok美國經營權出售給美國企業，否則就要封鎖它。</p> <p>根據TikTok、甲骨文與Walmart<a href="https://www.oracle.com/news/announcement/oracle-walmart-announce-tentative-us-government-approval-091920.html" target="_blank">三方之間的協議</a>，TikTok將建立一個名為TikTok Global的新公司，提供TikTok服務予美國市場及其它全球市場的大多數用戶，並由甲骨文擔任TikTok的安全服務供應商。</p> <p>此外，TikTok Global將是一家獨立的美國企業，除了將總部設於美國之外，美國投資者將握有該公司大多數股權，且董事會的5名董事中，就有4名為美國人。</p> <p>迄今對外揭露的TikTok Global股權中，甲骨文將占12.5%，Walmart占7.5%，而<a href="https://www.theinformation.com/briefings/def557" target="_blank">The Information</a>則引述消息來源報導，美國投資人總計將占53%的TikTok Global股權，字節跳動則握有36%的股權。</p> <p>根據甲骨文的說法，TikTok Global準備在1年內登上美國股市，在首次公開發行股票之後，美國對TikTok Global的控股應該會日益增加，且TikTok Global預計在美國創造2.5萬個職缺，同時也將替美國財政部帶來50億美元的新稅收。</p> <p>甲骨文表示，TikTok的所有技術都將轉移到TikTok Global，1億美國用戶的資料也都會遷移到甲骨文的第二代雲端資料中心，將可完全消除美國用戶受到國外政府監控的風險，或是避免國外政府企圖透過不實資訊滲透美國用戶。</p> <p>該協議不管是從隱私、安全、控制權或稅收上，看起來皆已符合川普對字節跳動與TikTok的要求，至於Walmart在此一交易中所扮演的角色則與線上服務有關，可望在TikTok上整合該公司的Walmart.com、eCommerce市集、物流、金流，以及廣告服務。</p> <p>另一方面，TikTok Global、甲骨文、Walmart、SIG、General Atlantic及Sequoia也將共同設立一個教育基金，以共同發展及推動基於AI的線上視訊課程，將提供閱讀、數學、科學、歷史與電腦工程等課程予美國兒童。</p> </div></div></div>
2020/9/21 10:50作者陳曉莉https://www.ithome.com.tw/news/140091
德國研究人員於HITCON公開胰島素泵浦的藍牙傳輸漏洞，駭客可從中進行中間人攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>糖尿病的情況臺灣相當可說是相當嚴重，根據國家衛生研究院《2019臺灣糖尿病年鑑》，盛行率已經超過11%，患者人數超過230萬人，而能協助他們穩定提供胰島素的泵浦（insulin pump）裝置，一旦存在資安漏洞，影響層面便會相當廣泛，例如，去年美敦力（Medtronic）為此<a href="https://www.ithome.com.tw/news/131565">召回</a>他們售出的胰島素泵浦。不過，這類裝置的漏洞在臺灣鮮少有資安專家探討，直到今年臺灣駭客年會（HITCON）上，有德國講者透過視訊會議，在臺灣首度講解這種泵浦存在的漏洞，呼籲資安界重視這種設備的資訊安全。</p> <p>ERNW資安分析師暨研究員Julian Suleder表示，這項漏洞的研究動機，是德國資安辦公室（German Federal Office for Information Security，BSI）於2018年底發起的ManiMed專案（Manipulation of Medical Devices），委由ERNW資安實驗室來檢測韓國業者Sooil所推出的Dana Diabecare RS。</p> <p>此次進行研究的Dana Diabecare RS，可說是具有時下此類設備的主要特色。Julian Suleder表示，這款胰島素泵浦的主打特色，就是可藉由藍牙低電壓協定（BLE）連接智慧型手機，讓病人能使用AnyDANA手機App操作這臺泵浦。再者，Julian Suleder指出，這款裝置是具有程式開發能力的病人所喜愛的產品之一，他們會為此打造專屬的行動應用程式，也有開發者將自己的App公開於GitHub供其他使用者下載，或是進一步製作人工肝臟系統（Artificial Pancreas Systems，APS）等。</p> <p>ManiMed是BSI針對連網醫療器材的網路安全風險，企圖在設備製造商、資安研究員，以及主管機關之間，建立彼此信賴的溝通與合作管道，進而提升這些設備的資訊安全。</p> <p>此次ERNW的研究發現，這款胰島素泵浦存在著採用容易被猜到的預設PIN碼，再加上與手機之間的藍牙交握所採用的加密金鑰強度不足，以及使用者身分驗證機制極為薄弱等現象，他們於2019年8月透過BSI通報之後，Sooil在同年10月22日向德國當局提交修補韌體，2020年4月Sooil首度正式向歐洲用戶提供相關韌體，次月德國聯邦藥物與醫療器材研究所（Federal Institute for Drugs and Medical Devices，BfArM）亦發布安全性矯正行動（Field Safety Corrective Action，FSCA），來公告此事。而這次ERNW不僅在臺灣駭客年會揭露他們的發現，同一天（9月11日）也在網站上<a href="https://www.ernw.de/en/whitepapers/issue-69.html">提供</a>完整的報告內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-insulinpump-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-insulinpump-timeline.png" style="width: 580px;" /></a></p> <blockquote><p>從ERNW提供的漏洞通報時程來看，廠商自獲報後到提供修正版韌體的時間大約接近2個月，經遇德國主管機關驗證後，使用者實際能夠取得新版韌體的時間已是隔年4月，長達半年，突顯醫療器材審查與驗證的流程相當費時。</p> </blockquote> <h2><strong>泵浦與手機之間的通訊，以及使用者驗證機制都存在顯著弱點</strong></h2> <p>ERNW究竟發現了那些可被利用的弱點呢？Julian Suleder指出，主要可以區分為胰島素泵浦與手機應用程式藍牙通訊的防護不足，以及缺乏資安意識的PIN碼規畫等2個層面。</p> <p>Julian Suleder表示，手機與泵浦之間的藍牙連線過程，防護機制明顯有所不足，例如，交握過程所需的金鑰，是透過固定的規則產生，他舉例像是以泵浦裡的時間為產生金鑰的依據，而且是透過明文傳送給手機，導致可能被攻擊者破解，進而冒充使用者的行動裝置來與泵浦連線並進行控制，形成所謂的中間人攻擊。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/0GMe2poiYtE" width="560"></iframe></p> <blockquote><p>ERNW在Dana Diabecare RS發現的漏洞中，較為嚴重的還是與藍牙通訊有關，他們也展示概念性驗證攻擊（PoC）的影片，攻擊者透過藍牙與胰島素泵浦連接後，可從中竄改設定，導致使用者無法透過泵浦面板操作。（影片來源／ERNW）</p> </blockquote> <p>在藍牙通訊的漏洞之餘，Julian Suleder也提及廠商對於PIN碼組態的輕忽。例如，鍵盤鎖定的PIN碼預設是0000，而修改組態的PIN碼則是3022，但後者必須透過廠商協助才能調整，使用者無法自行變更。再者，在搭配智慧型手機之後，ERNW發現，如果使用者透過手機應用程式AnyDANA操作，來更動鍵盤鎖定PIN碼，這項工作的流程竟全部在手機執行，胰島素泵浦本身沒有參與驗證，換言之，這種情況下攻擊者仍然可以使用舊的PIN碼來解鎖泵浦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-insulinpump-weakpin.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-insulinpump-weakpin.png" style="width: 580px;" /></a></p> <blockquote><p>胰島素泵浦廠商對於PIN碼身分驗證機制的疏忽，也同樣隱含弱點，只是和前述的藍牙漏洞相比，攻擊者往往需要實際接觸泵浦才能濫用。</p> </blockquote> </div></div></div>
2020/9/21 11:18作者周峻佑https://www.ithome.com.tw/news/140061
Check Point：伊朗駭客已發展出可以破解雙因素認證的Android惡意程式，並企圖挾持Telegram帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者Check Point Research近日揭露一名為Rampant Kitten的駭客行動，指出這是由伊朗實體所主導的攻擊行為，鎖定伊朗移民、伊朗少數民族、反政權組織及抵抗運動人士發動攻擊，該行動透過各種途徑滲透目標對象，包括可竊取個人文件、Telegram與KeePass帳號資訊的惡意程式，建立Telegram網釣頁面，也開發出可汲取雙因素認證碼的Android後門程式，而且該行動至少已秘密執行6年之久，迄今才被發現。</p> <p>根據<a href="https://blog.checkpoint.com/2020/09/18/rampantkitten-an-iranian-surveillance-operation-unraveled/" target="_blank">Check Point的分析</a>，駭客是透過一個惡意文件展開攻擊，該文件的標題是「政權擔心人民聖戰者組織的蔓延」，但當受害者開啟該文件時，就會自外部伺服器載入一個文件範本，但該範本被植入了惡意巨集，以執行批次腳本程式，進一步下載其它的酬載，該酬載即會檢查受害者是否安裝了Telegram，假設答案是肯定的，它就會載入其它3個可執行檔。</p> <p>此一惡意程式的主要功能包括自受害者電腦上上傳Telegram檔案，將允許駭客充份利用受害者的Telegram帳號，還能竊取開源密碼管理程式KeePass的資訊，上傳駭客所指定副檔名的任何檔案，或是記錄剪貼板上的資料並自螢幕截圖。</p> <p>駭客似乎對Telegram特別感興趣，除了利用惡意程式取得Telegram的帳號資訊之外，也設立了Telegram的網釣頁面，並利用偽造的Telegram服務帳號來散布這些要求使用者輸入登入資訊的網釣頁面。</p> <p>此外，駭客亦打造了一個Android後門程式，一旦該程式進駐受害者的Android裝置，就能汲取裝置上的簡訊，破解雙因素認證機制，還能記錄手機周遭環境的聲音。</p> <p>有鑑於受害者大多為伊朗國民，研究人員判斷這是伊朗政權用來蒐集潛在對手情報的大規模監控行動。</p> </div></div></div>
2020/9/21 09:30作者陳曉莉https://www.ithome.com.tw/news/140087
Windows 10 20H2釋出最後測試版，正式版名為October 2020 Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周五（9/18）<a href="https://blogs.windows.com/windows-insider/2020/09/18/preparing-the-windows-10-october-2020-update-ready-for-release/" target="_blank">宣布</a>將透過Release Preview版通道，將Build 19042.508 (KB4571756)釋出給Insiders測試方案的開發人員及企業用戶，有些將會被自動下載。微軟也宣布Windows 10 20H2正式名稱為Windows 10 October 2020 Update。</p> <p>微軟Windows部門資深計畫經理Brandon LeBlanc指出，相信19042.508是最後一個Build，但是微軟仍然計畫持續改善Windows 10 October 2020 Update的整體使用經驗，以便按計畫釋出到用戶PC上。</p> <p>Windows 10 20H2/ October 2020 Update將會透過seeker模式釋出到Release Preview通道。也就是開發人員得到「設定」、「更新&安全」、「Windows Update」下，點入「選擇下載與安裝20H2」。一旦他們安裝這個版本後，未來就會自動透過Windows Update接獲更新，一如每月更新的安裝過程。</p> <p>另一方面，微軟將對Beta通道的開發人員釋出20H2/October 2020 Update。和Release Preview通道不同的是，這是自動更新；之前尚未安裝20H2的人也會從Windows Update自動接收下載。</p> <p>此外，企業用戶也要注意，Release Preview及Beta通道下的企業PC，也會自動下載October 2020 Update。</p> <p>但事實上，19042.508/ KB4571756已經在兩個星期前包含在Patch Tuesday釋出，而且已<a href="https://www.ithome.com.tw/news/139968" target="_blank">有用戶通報</a>Windows Subsystems for Linux 2 (WSL2)無法啟用的問題，Windows 10電腦會出現Element not found或Process exited with code 4294967295的錯誤訊息，顯示遠端程序呼叫失敗。</p> <p>儘管微軟當時沒有證實這項問題，但上周微軟指出，在Insider開發人員的協助下，他們已經找出導致WSL2問題的原因，表示很快會在20H2下一版（可能是正式版）解決。</p> <p>19042.508（或KB4571756）為非安全更新，微軟提醒希望避免這問題的個人或企業可以之後再卸除這個版本。而使用WSUS（Windows Server Update Services），以及透過Release Preview及Beta通道安裝20H2的用戶，如果碰上安全或電腦運行問題，微軟也提供Windows技術支援。</p> <p>Windows 10 20H2是較小的更新版，最大特色是會內建Chromium-based Edge，將是第一個內建新版Edge瀏覽器的Windows 10。</p> </div></div></div>
2020/9/21 09:45作者林妍溱https://www.ithome.com.tw/news/140088