iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 27篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【AWS後疫新戰略1：容器、AP現代化】搶攻企業加速AP現代化需求，打包雲端容器服務成軟體卡位機房
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「什麼是混合架構？」AWS執行長Andy Jassy在今年全線上的自家年度大會開場演講時，最後拋出這個大哉問，也揭露了AWS產品戰略的新方向。</p> <p>Andy Jassy的答案不是公有雲和企業內部機房的基礎架構混合，「內部環境（on-premises）的概念不應只侷限於內部資料中心，而是各式各樣的邊緣節點，資料中心只是其中一種節點環境，」他指出：「AWS的混合架構，是雲與各種邊緣節點的組合。」</p> <p>改變了對混合架構的看法，對所謂「雲」概念重新定義之後，Andy Jassy指出，我們才看到顧客真正的需求是，到處都能用如同在AWS區域服務中的同一套API、工具、管理介面。「這正是混合概念正在發展的方向，也是AWS正在努力實現的混合體驗。」這也是，為何2年前，AWS決定開始發展整櫃式Outposts，成為可以部署於企業內部的產品，而不再只侷限在自家資料中心產品的原因。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS雲正在演化，邁向分散式、微型化、更深入企業</strong></span></span></p> <p>「AWS對雲的定義正在演化。」一手打造出AWS容器產品線的產品和工程負責人AWS運算服務副總裁Deepak Singh更是這樣直言， AWS對「雲」的定義，正從集中、超大規模的雲端機房供應模式，轉向分散式、微型化的雲基礎架構，「越來越靠近企業，甚至讓雲走進了企業內部環境中。」</p> <p>整櫃式設備Outposts只是AWS重新定義「雲」之後，產品光譜中靠近企業端的一種服務類型，而超大型、服務全球市場的區域級資料中心則在產品光譜的另一端。</p> <p>在這兩者之間，近2年，AWS陸續增加更多不同層級的「雲」產品，像是去年亮相的AWS城市級本土區域資料中心Local Zones，今年陸續在更多美國城市推出。而瞄準5G應用，更靠近用戶一步的電信雲基礎架構服務Wavelength，去年開始先與美國Verizon合作，陸續在8個美國城市登場，明年初將在英國Vodafone倫敦機房，後續則會到亞洲的日本KDDI電信東京機房、韓國SK電信大田機房推出。這是從超大型資料中心向下、微型化的發展策略。</p> <p>另一方面，從企業內部環境出發，整櫃式的Outposts則開始微型化，Andy Jassy在今年年度大會中發表了更小尺寸的1U高度和2U高度兩款Outposts伺服器，這也是企業機房中最常見的伺服器尺寸。1U款採用AWS自家Arm處理器Graviton2，可，提供多達64vCPU、128GiB記憶體和4TB本地NVMe儲存容量。而2U款則採用x86架構英特爾處理器，提供多達128vCPU、512GiB記憶體和8TB的本地NVMe儲存容量。</p> <p>Andy Jassy強調，更小尺寸的Outposts，可以在空間有限、電力或網路受限、不需要大容量的企業環境中，將AWS服務的觸角，延伸到如醫院、餐廳、零售商店、工廠中的邊緣節點或機房。這兩款小尺寸Outposts可以提供的本地端服務，包括了EC2、ECS、EKS和Amazon VPC，而AWS則會遠端透過企業用戶網路，來連接本地端Outposts管理基礎設施，預計在2021年推出。有了1U、2U這類標準伺服器規格的產品之後，AWS等於是直接踩進了Dell、HPE等伺服器業者主要市場來競爭中小企業運算需求。</p> <p>改變了對「雲」的定義方式，AWS從一家公有雲業者，變成了一家銷售常規伺服器的硬體廠商，但是，AWS的新產品戰略不只如此，還進一步把自己變成了軟體業者，攻進了微軟、紅帽、VMware的企業商軟地盤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-AWS%E9%9B%B2%E6%96%B0%E6%88%B0%E7%95%A5--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS_j.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>AWS運算服務副總裁Deepak Singh直言， AWS對「雲」的定義，正從集中式、超大規模的雲端機房供應模式，轉向分散式、微型化的雲基礎架構，「越來越靠近企業，甚至讓雲走進了企業內部環境中。」</strong>（圖片來源／AWS）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先推容器基礎架構軟體，未來要發展容器軟體生態系</strong></span></span></p> <p>讓AWS得以揮軍企業軟體市場的關鍵，就是今年底剛發布的兩項重量級產品ECS Anywhere和EKS Anywhere。這兩項都是軟體產品，前者是將雲端AWS容器代管服務ECS的能力，延伸到企業內部機房，可在斷線時自行運作；而後者是將AWS雲端EKS服務，整套打包成一個商業軟體版本，可以直部署到企業內部機房中運作，完全不需要連線到AWS也能獨立運作。</p> <p>ECS Anywhere是一個將AWS雲端ECS容器管理服務，帶進企業內部機房的產品，在企業內部伺服器中安裝了代理程式後，可以透過雲端ECS管理平臺，來統一調度和管理企業內部的ECS容器任務（也就是在企業本地端主機上執行的Docker映像檔部署任務），以及部署在雲端的ECS容器。</p> <p>ECS Anywhere像是一個集中式的容器管理服務工具，可以讓企業用單一的雲端ECS管理介面，來管理各種可執行標準Docker映像檔的ECS容器任務環境，包括了Windows、Mac、Linux環境，甚至支援樹莓派OS，只要安裝了專用代理工具程式之後，上面所執行的容器任務，就可以納入ECS Anywhere的管理範圍。</p> <p>而EKS Anywhere則更像是一款K8s管理平臺軟體，就像是紅帽的OpenShift或是Google的GKE on-prem一樣，可以部署在企業內部機房，是一個可用來建置自家K8s叢集的軟體。AWS還釋出了EKS Anywhere所用的K8s版本EKS Distro程式碼，這是一個K8s上游版本，任何AWS自己的修正，也會貢獻到開源K8s社群中。</p> <p>Deepak Singh更是明白指出，EKS Anywhere就是AWS用來打造EKS雲端服務的底層平臺軟體，甚至連AWS自家維運EKS服務所用的工具、配置、預設參數等EKS經驗，全都打包到這款EKS Anywhere軟體中。</p> <p>幾家推出K8s管理平臺產品的軟體巨頭，也多半會發布自家的K8s版本，例如VMware的VMware Tanzu Kubernetes Grid，用於vSphere，或紅帽的OKD，用於OpenShift。而EKS Distro就是用於AWS所維護，用於雲端EKS服務，以及EKS Anywhere軟體中的版本。企業也可以自行下載EKS Distro，來建置自家的K8s叢集。</p> <p>將自家雲端容器服務，打包成一套提供給顧客的企業級軟體產品，AWS不是第一家這麼做的雲端業者。Google在2年前發表，去年正式定名的Anthos混合雲平臺軟體，就是類似的作法，不過，Google將雲端GKE同樣的介面和功能，開發成另一款軟體，而非移植整套GKE底層系統程式，但AWS則直言是將自家雲端EKS底層系統程式，直接打包而成的商軟。</p> <p>另外還有一項產品策略的不同，AWS傾向打造多產品的組合，採取最小基礎套件再按需求加購的設計，而非將所有功能集中成一套解決方案，如GCP在Anthos中還整合了服務網格套件Istio，或紅帽OpenShift則內建了自家服務網格功能，但AWS將服務網格功能，獨立成另外的雲端管理服務，沒有內建到EKS Anywhere軟體中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AWS%E5%AE%B9%E5%99%A8%E7%94%A2%E5%93%81%E8%97%8D%E5%9C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS_j.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>從AWS容器產品藍圖來看，兩套新發布的ECS Anywhere和EKS Anywhere軟體，將雲端容器管理能力，延伸到企業內部，也將企業內部各種主機、運算環境都納入容器執行層的部署新選擇。</strong>（圖片來源／AWS）</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>搭上後疫轉型加速趨勢，先搶攻企業內部IT現代化需求</strong></span></span></p> <p>從AWS容器產品藍圖來看，這兩套新發布的Anywhere軟體，將雲端容器管理能力，延伸到企業內部，也將企業內部各種主機、運算環境（也有機會將第三方雲端運算環境），都納入容器執行層的部署新選擇。</p> <p>將ECS和EKS軟體化只是AWS新戰略的第一步，另外還發布了EKS add-ons外掛功能及可串接第三方工具的整合型儀表板功能，這都是常見的生態系發展機制，甚至Deepak Singh預告，未來甚至會有容器軟體的市集，也會讓更多AWS服務可以支援這些容器軟體形式，可以預見AWS想要打造出一個從企業內部、邊緣環境到雲的容器軟體生態系。</p> <p>執行實例、容器和無伺服器（Serverless）是AWS各種雲端產品的三種主要提供形式，這兩套新發布的Anywhere類落地軟體，讓容器成為AWS把更多服務、全套AWS介面、工具、雲端使用體驗，延伸到企業內部的關鍵基礎設施。</p> <p>不只如此，容器是企業將老舊AP現代化的常見作法，不論新舊AP，都可以在容器化之後，更容易到處移動、部署和執行，AWS還發表了一個企業架構管理新服務Proton，可以通管容器應用和無伺服器應用，來瞄準企業AP現代化後，要大規模部署或維運時的管理需求。</p> <p>幾年前還在主打全上雲端（Cloud All-in）的公雲龍頭，為何今年開始戰略大轉向，積極落地，把自家服務變成企業內部的軟體？</p> <p>Andy Jassy在開場演講中不斷強調，這場疫情刺激更多企業想要重塑自己，改造體質，也帶動了盡快AP現代化、加速轉型的需求。這也透露出，與其在企業外面等待顧客上雲，AWS的盤算是，不如跨進企業內部，趁著這股趨勢，將AWS雲的API、工具和方法，都變成企業IT熟悉的現代化能力，日後企業就更容易延伸使用AWS的雲端服務，可以說，這正是AWS為了日後企業上雲的超前部署戰略。</p> </div></div></div>
2020/12/21 07:00作者王宏仁https://www.ithome.com.tw/news/141760
一周大事：統一未來超商X-Store首度實驗RFID自助結帳。發展全通路對抗純網銀，永豐銀用AI預測全臺區域發展潛力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#3399ff;">7-Eleven未來超商X-Store 4進駐臺中，首次在上萬件商品導入RFID，加速自助結帳過程</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-X-STORE%204-(2)-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-7-Eleven.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／7-Eleven</span></p> <p>7-Eleven第四間未來超商X-Store 4進軍臺中市，首次在商品上導入RFID，相較於前面三家X-Store的自助結帳是利用電腦視覺辨識商品，雖然一次能為多件商品結帳，但需要將商品平放，且可能受到擺放的位置影響辨識成功率，X-Store 4店內商品含有特製的RFID標籤，讓消費者在自助結帳時不需要平放商品就能感應，以加快結帳流程。<a href="https://www.ithome.com.tw/news/141616" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永豐銀用AI預測全臺區域發展潛力</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-500-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C(1).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／永豐銀行</span></p> <p>近年，銀行不只在數位金融大力衝刺，更將實體分行作為與純網銀抗衡的重要利器，要透過虛實整合來發展全通路，確保在市場上的競爭力。因此，如何將實體分行據點發揮最大效益，也是銀行在數位轉型中需要思量的重要環節。永豐銀行為此與成功大學展開產學合作，用AI模型訓練全臺區域發展潛力綜合指標，作為分行據點評估依據。<a href="https://www.ithome.com.tw/news/141741" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發展臺灣資安產業，協助企業真正落實資安是關鍵，工研院推動產業資安化新戰略</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(BOX%E5%9C%96)%E5%B7%A5%E7%A0%94%E9%99%A2%E6%8E%A8%E5%8B%95%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E5%8C%96_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／工研院、攝影／羅正漢</span></p> <p>為了提升臺灣資安產業成為新經濟動能，臺灣已有行動了嗎？身為政府多項計畫執行單位的工研院，近日公布了他們近三年推動臺灣資安發展的經驗，而他們的下一步，將希望協助一般產業能夠建立資安成熟度的概念，讓企業更札實地一步步做好資安，並藉此驅動國內資安產業。<a href="https://www.ithome.com.tw/news/141686" target="_blank">更多內容</a></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>SolarWinds網管軟體遭駭，美國政府緊急停用</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_SolarWinds%E8%A2%AB%E9%A7%AD.png" style="width: 438px;" /></p> <p>在傳出美國財政部與商務部遭到國家級駭客攻擊，且與這些機構使用的IT監管平臺SolarWinds Orion有關後，國土安全部要求所有聯邦機構立即中止使用SolarWinds Orion產品。SolarWinds為美國專門研發系統/網路/基礎設施管理軟體的業者，全球客戶數為30萬家，包括眾多美國聯邦機構。SolarWinds坦承，從今年3月到6月期間釋出的SolarWinds Orion Platform版本遭到駭客攻擊，影響1.8萬家企業用戶。<a href="https://www.ithome.com.tw/news/141666" target="_blank">更多內容</a></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span><a href="http://www.ithome.com.tw/news/141694" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">微軟將開始封鎖惡意的SolarWinds二進位檔案</span></span></a><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></strong></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span><a href="http://www.ithome.com.tw/news/141718" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">SolarWinds攻擊行動躲過美國政府百億資安系統Einstein</span></span></a><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></strong></span></p> <p><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span><a href="http://www.ithome.com.tw/news/141720" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">微軟、FireEye與GoDaddy建立SolarWinds攻擊的銷毀開關</span></span></a><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/141748" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> CISA：SolarWinds系統並非駭客唯一切入口 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/141747" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 微軟調查發現逾40家客戶因採用SolarWinds產品，淪為駭客供應鏈攻擊目標 </span></strong></span></span></a></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>紅帽將棄守CentOS Linux，不再推新版</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_CentOS_Linux.png" style="width: 352px;" /></p> <p>本月初紅帽（Red Hat）宣布，將把對CentOS的投資從CentOS Linux，完全轉移到CentOS Stream，預計於2021年12月31日，提早終止對CentOS Linux 8的支援。原本紅帽及CentOS要對CentOS Linux 8支援到2029年，但現在改變主意，也不會有CentOS Linux 9。<a href="https://www.ithome.com.tw/news/141582" target="_blank">更多內容</a></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>微軟12月例行修補公布Exchange三個重大弱點</strong></span></span></p> <p>潛藏於Exchange的漏洞CVE-2020-17132，主要是因為不當驗證cmdlet參數造成，駭客必須先通過Exchange的身分驗證，才能展開攻擊。ZDI研究人員推測，假如駭客掌控其中1個使用者的信箱，就有可能藉此漏洞，來控制整個Exchange伺服器。<a href="https://www.ithome.com.tw/news/141606" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GitHub開放企業線上贊助開源專案</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E4%BC%81%E6%A5%AD%E8%B4%8A%E5%8A%A9_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GitHub.png" style="width: 500px;" /></p> <p>GitHub更新該平臺功能，包括可自動合併拉回請求，推出Discussions測試版和GitHub Enterprise Server 3.0。針對Sponsors贊助功能，也進一步打造支援企業既有帳單協議的介面，讓企業得以透過PayPal或信用卡來贊助開源專案。<a href="https://www.ithome.com.tw/news/141583" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google挖角高盛集團資安長擔任雲端部門首位CISO</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Google_Cloud_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>華爾街日報指出，Phil Venables在高盛集團擔任資安長一職近20年，也已成為集團董事，不過Venables自12月14日起，正式加入Google Cloud。根據Venables在LinkedIn的個人檔案，他的頭銜為Google Cloud資安長（CISO）以及Google副總裁。<a href="https://www.ithome.com.tw/news/141665" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蘋果與Cloudflare聯手打造新DNS協定</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_ODoH_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cloudflare.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Cloudflare</span></p> <p>Cloudflare、蘋果及Fastly共同開發新DNS標準Oblivious DNS over HTTPS（ODoH），ODoH架構在DoH上，但額外添增獨立的端對端加密層，並在客戶端與目標伺服器之間新增代理人，讓客戶端傳送的是加密的網址查詢，先傳送到代理人，再傳送到目標伺服器，目標伺服器解密之後回傳使用者所要查詢的網站IP，同樣得先經過代理人，避免ISP或DNS解析業者窺探使用者隱私。<a href="https://www.ithome.com.tw/news/141566" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>谷歌、戴爾發起現代運算聯盟，統整晶片到雲的技術</strong></span></span></p> <p>最近Google號召了Box、Citrix、Dell等業者，發表現代運算聯盟（Modern Computing Alliance），打算執行自晶片到雲端（silicon-to-cloud）的全面整合，以提供差異化的雲端運算平臺及各種業務解決方案予企業客戶，同時也邀請其它業者加入。Chrome OS副總裁John Solomon表示，隨著人們的生活與業務都轉移到雲端，各界對完整技術堆疊（technology stack）的需求漸增，從晶片到雲端，是一個重新定義技術系統與堆疊的好機會。<a href="https://www.ithome.com.tw/news/141630" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Kubernetes 1.20正式加入磁碟區快照操作功能</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220_%20K8s%E6%96%B0%E7%89%88.png" style="width: 500px;" /></p> <p>Kubernetes官方發布2020年最後一個版本1.20，這是今年新增功能最多的版本，包括進入穩定階段的磁碟區快照操作（Volume Snapshot Operations）功能，提供了一個標準操作方法，讓用戶可以觸發磁碟區快照，在任何Kubernetes環境不須顧慮底層儲存，就能夠以可移植方式，操作磁碟區備份。<a href="https://www.ithome.com.tw/news/141650" target="_blank">更多內容</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>掰掰，Adobe釋出Flash Player最終版</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220_Flash%20Player.png" style="width: 500px;" /></p> <p>日前Adobe釋出Flash Player最後版本更新，但Adobe並未要用戶升級，而是呼籲用戶應立即移除Flash Player，因為明年1月1日起，用戶不會再獲得任何功能及漏洞修補程式。<a href="https://www.ithome.com.tw/news/141611" target="_blank">更多內容</a></p> </div></div></div>
2020/12/20 07:00未署名https://www.ithome.com.tw/news/141746
Firefox 84開始支援Apple M1晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla推出了最新<a href="https://www.mozilla.org/en-US/firefox/84.0/releasenotes/">Firefox 84</a>，這個版本的重要更新，是開始支援搭載Apple Silicon CPU的macOS裝置，新版的啟動速度是非原生建置版本Firefox 83的2.5倍，網頁應用程式的回應速度，在SpeedoMeter 2.0的測試結果，則是提高1倍，使用M1晶片的Mac，包括MacBook Air、MacBook Pro和Mac mini，現在已經可以更新到Firefox 84，以獲得更佳的使用者體驗。</p> <p>Firefox在Linux GNOME X11桌面現在預設啟用WebRender，同時，也會從Firefox 84開始，支援MacOS Big Sur，使用英特爾Gen 6 GPU的Windows裝置，以及執行Windows 7和8的英特爾筆電，WebRender是以Rust開發而成的GPU 2D渲染引擎，可帶來明顯的網頁效能提升。不過在Linux上，WebRender仍不支援Wayland環境，因此使用Wayland的Ubuntu用戶，需要先切換至Xorg，才能獲得WebRender加速功能。</p> <p>另外，官方也提到，Firefox現在使用更新的技術，在Linux上使用共享記憶體，可以提高效能，並且增加Docker的相容性。而Firefox 84是支援Adobe Flash的最後一個Firefox版本。</p> </div></div></div>
2020/12/16 14:53作者李建興https://www.ithome.com.tw/news/141695
Docker Desktop 3.0.0開始支援漸增更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docker.com/blog/docker-desktop-3-0-0-smaller-faster-releases/">Docker發布全新Desktop 3.0.0</a>，這個版本採用漸增更新，減少每次更新的容量，官方還刪除穩定和邊緣頻道，以單一發布串流代替，減少版本之間的混淆。而<a href="https://www.docker.com/blog/introducing-docker-engine-20-10/">Docker Engine則釋出20.10版本</a>，開始支援Cgroups V2。</p> <p>Docker Desktop是在MacOS和Windows電腦上，用來建置、共享容器化應用程式和微服務的應用程式。由於不少使用者反應Docker Desktop的更新容量太大，下載和安裝需要花費過多時間，因此官方決定改變作法，過去Docker Desktop的更新發布，都是提供完整的安裝程式，因此用戶每次更新都需要下載數百MB的檔案，而往後的更新，將會是前一個版本的增量更新，更新下載的容量會降至數十MB，而且用戶也將不用停下手邊的工作，才能更新Docker Desktop，更新程序會在背景下載並且安裝，屆時用戶只要重新啟動程式，就可以開始使用新的版本。</p> <p>官方提到，他們還收到用戶對穩定版與邊緣版本的抱怨，穩定版的修復程式更新速度太慢，而邊緣版本的更新頻率又太過頻繁，不時還會包含具有破壞性的更新，從穩定版切換到邊緣版本，還需要重置容器和映像檔。而且穩定版與邊緣版使用平行，但又獨立的版本號，讓使用者難以比較版本的新舊。</p> <p>因此從現在開始，Docker Desktop將只會有一個發布串流，包含最新的修復程式以及實驗性功能，而且皆為累積性更新，解決用戶不清楚每個發布版本差異的問題。統一發布串流後，每個使用者都可以選擇使用最新的功能，且接收的更新容量不只縮小，系統也會自動應用修復程式。</p> <p>另外，官方也釋出了Docker Engine 20.10版本，重要的更新包括支援Cgroups V2。Docker使用了幾種基本Linux核心功能，以隔離正在執行的程序以及相關的檔案，其中一個便是Cgroups，在Linux中，Cgroups會限制程序使用的資源，包括CPU、記憶體和磁碟等，而Docker結合Cgroups與Linux命名空間，來將程序隔離在容器中。Linux核心在2016年加入了Cgroups V2，強化群組管理，以及無根容器的資源限制支援，而現在Docker Engine 20.10也開始支援Cgroups V2，支援這些更多的管理功能。</p> <p>Docker Engine 20.10還支援以各種日誌驅動程式讀取Docker日誌，官方提到，過去jsonfile和journald日誌驅動程式，支援以Docker日誌讀取容器日誌，但是許多第三方日誌驅動程式，並不支援Docker日誌在本地端讀取日誌，而這對於想要以自動化和標準方式收集日誌的使用者，造成許多麻煩，因此從Docker Engine 20.10開始，無論配置的日誌記錄驅動，或是擴充套件為何，都可以使用Docker日誌讀取容器日誌。</p> </div></div></div>
2020/12/16 11:30作者李建興https://www.ithome.com.tw/news/141673
Kubernetes 1.20正式加入磁碟區快照操作功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes官方發布了2020年最後一個版本<a href="https://kubernetes.io/blog/2020/12/08/kubernetes-1-20-release-announcement/">1.20</a>，這是在今年受疫情影響以來，新增功能最多的一個版本，包括進入穩定階段的磁碟區快照操作（Volume Snapshot Operations）以及程序ID（PID）限制功能，而進入Beta階段的功能，則有Kubectl Debug與API優先與公平性（API Priority and Fairness，APF）功能等。</p> <p>Kubernetes 1.20新功能磁碟區快照操作，提供了一個標準操作方法，讓用戶可以觸發磁碟區快照，官方提到，Kubernetes的目標，就是要在分散式應用程式，以及底層叢集中間，建立一個抽象層，讓應用程式可以簡單地在各種叢集上運作。而磁碟區快照操作便是達成此一目標的其中一項功能，讓用戶可以在任何Kubernetes環境，不須顧慮底層儲存，就能夠以可移植的方式操作磁碟區備份。</p> <p>而程序ID限制功能則是可以使Kubernetes工作負載，更加穩定的功能。PID是Linux主機上的基礎資源，而管理員需要一些機制，來確保用戶Pod不會耗盡PID，而導致主機守護行程像是Runtime或是kubelet無法執行，另外，透過限制Pod可取用的PID，也可以限制在節點上對其他工作負載的影響，而在Kubernetes 1.20上進入正式版的程序ID限制功能，便是提供有用的工具，讓用戶能夠限制Pod。</p> <p>另外，從Alpha功能進入到Beta的Kubectl Debug功能，提供了一些常見Kubectl除錯工作流程的支援，讓用戶在特定情境除錯更容易，還有，在Kubernetes 1.18中加入的APF，則現在於Kubernetes 1.20中預設啟用，這項功能可以要求kube-apiserver按優先等級，對流入的請求進行分類。</p> <p>官方提到，在6月的時候，Kubernetes社群成立了一個新的工作組，以響應全美目前黑人的命也是命（Black Lives Matter）的活動，這個命名工作組的目標，就是要徹底消除Kubernetes專案中，存在帶有歧視與定義不清楚的名詞，而這項工作組的初步成果，用戶已經會在Kubernetes 1.20裡看到。</p> </div></div></div>
2020/12/14 15:50作者李建興https://www.ithome.com.tw/news/141650
紅帽棄守CentOS Linux，將於明年底終止對CentOS Linux 8的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.centos.org/2020/12/future-is-centos-stream/" target="_blank">紅帽（Red Hat）在周二（12/8）宣布</a>，將把對CentOS的投資從CentOS Linux完全轉移到CentOS Stream，預計於明年12月31日終止對CentOS Linux 8的支援。</p> <p>CentOS最早是個獨立的開源專案，其CentOS Linux的元件主要來自於Red Hat Enterprise Linux（RHEL）的原始碼，因而又被視為免費版的RHEL。紅帽在2014年將CentOS納入麾下，但依舊讓它獨立運作，繼之雙方於去年推出CentOS Stream。</p> <p>簡單地說，CentOS Linux為RHEL的重製版，而CentOS Stream則是RHEL的測試版，CentOS Stream的腳步會快於RHEL與CentOS Linux，但也相對不穩定。</p> <p>根據紅帽及CentOS的規畫，對CentOS Linux 8的支援應該要到2029年的5月才截止，不過紅帽顯然提早結束了CentOS Linux 8的生命周期，而且宣稱不會再有CentOS Linux 9。</p> <p><a href="https://itwire.com/open-source/red-hat-kills-off-centos,-users-frustrated-and-angry.html" target="_blank">CentOS Linux用戶怒不可抑</a>，有人說使用CentOS Linux唯一的原因就是它是RHEL的重製版，有人說這10年來使用CentOS Linux是因為它夠穩定，還有人說紅帽摧毀了使用者對該公司的信任。</p> <p>而紅帽則解釋，在2014年把CentOS Linux帶進紅帽生態體系時，該專案滿足了當時對穩定系統的需求，但開源的發展模式並不是靜態的，它需要持續地迎合企業與社群的新興需求，例如容器化的應用程式、雲端原生服務、硬體創新，以及正在轉移至軟體即服務（SaaS）的生態體系，作業系統很難快速反應甚至只是其中之一的需求，因此需要藉由CentOS Stream來了解生產動態，<a href="https://www.redhat.com/en/blog/centos-stream-building-innovative-future-enterprise-linux" target="_blank">也相信CentOS Stream會是推動Linux創新的最佳作法</a>，讓它成為RHEL生態體系的主要創新中心。</p> <p>總之，紅帽決定在明年的12月31日之後，將把對CentOS的資源全部投入CentOS Stream，也不再維護CentOS Linux 8，但對用戶較多的CentOS Linux 7網開一面，對CentOS Linux 7的支援終止日將是原訂的2024年。而CentOS專案則建議CentOS Linux 8用戶的最佳選擇是遷移到CentOS Stream 8。</p> </div></div></div>
2020/12/10 10:30作者陳曉莉https://www.ithome.com.tw/news/141582
研究人員揭露Microsoft Teams桌機版App零點擊RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.com/oskarsve/ms-teams-rce/blob/main/README.md" target="_blank">一名研究人員本周揭露</a>位於微軟協同工具Teams Mac、Windows及Linux等桌機版存在一個不需使用者互動即可遠端執行程式碼，甚至可利用SSO機制存取公司系統的漏洞。</p> <p>代號為Vegeris的安全研究人員指出，這個遠端程式碼執行漏洞出在Teams桌機版，可由teams.microsoft.com的跨網站指令碼（Cross-Site Scripting，XSS）注入漏洞觸發。攻擊者可將惡意聊天訊息傳給任何Microsoft Teams成員或頻道，藉此在接到訊息的用戶電腦上執行任意程式碼。攻擊者不僅可在受害者PC上執行任意程式碼，取得電腦完整存取權限，也可透過這些電腦存取公司內部網路。</p> <p>即使用戶電腦沒有被執行任意程式碼，只要攻擊者取得Microsoft Teams及其他微軟服務（如Skype、Outlook、Office 365）的單一簽入（SSO）授權令符，還是可能在企業內部網路遊走。此外，XSS漏洞本身就可以讓攻擊者存取Teams平臺上的私密對話、及重要公司檔案等。研究人員並以PoC示範XSS攻擊程式碼。</p> <p>除了上述風險外，研究人員更指出，結合二項漏洞的攻擊過程為可自我複製散布（wormable），完全不需使用者互動，</p> <p>受XSS 漏洞影響產品為Microsoft Teams Web版teams.microsoft.com，以及RCE漏洞則影響2020年8月31日以前的MacOS、Windows及Linux桌機版App，包括Teams macOS 1.3.00.23764版、Teams Windows 1.3.00.21759版及Teams Linux 1.3.00.16851版。</p> <p>研究人員於8月底通報微軟兩漏洞，但他對微軟回應不以為然。首先，他認為RCE應屬於重大漏洞，不過微軟僅將之列為「（嚴重性）重要，（影響）欺騙」，為相當低風險的評等。此外，微軟也未對這二個漏洞提供漏洞名稱（CVE），理由是微軟對不需使用者互動、而是自動更新修補的產品之漏洞，就不會發派CVE。</p> <p>微軟已經在10月底將兩個漏洞修補完成。</p> </div></div></div>
2020/12/9 09:10作者林妍溱https://www.ithome.com.tw/news/141540
俄國駭客正積極開採VMware存取及身份管理產品漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月底VMware存取控管及身份管理組態工具WorkspaceOne傳出存在重大風險漏洞，影響多個產品，<a href="https://www.nsa.gov/News-Features/Feature-Stories/Article-View/Article/2434988/russian-state-sponsored-malicious-cyber-actors-exploit-known-vulnerability-in-v/" target="_blank">美國國安局本周警告</a>用戶應儘速修補漏洞，因為俄國政府資助的駭客現已積極發動攻擊。</p> <p>VMware Workspace One管理組態工具漏洞CVE-2020-4006影響包括Access 20.01/20.10、Access Connector 20.01/20.10、Identity Manager（vIDM）3.3.x，及Identity Manager Connector（vIDM Connector）3.3.x。漏洞出現在上述產品的Linux版，但vIDM Connector的Windows版本3.3.x及19.x也受影響。</p> <p>攻擊者若經由port 8443存取此一管理介面，就可以偽造SAML（security assertion markup language）登入帳密，即可在底層作業系統以指令注入安裝web shell程式，包括存取受保護的資料機密。CVE-2020-4006漏洞CVSS 3.1風險層級達9.1，屬於重大風險。</p> <p>漏洞公布後，VMware趕忙於上周<a href="https://kb.vmware.com/s/article/81754" target="_blank">釋出修補程式</a>。</p> <p>NSA公告指出，已經察覺俄羅斯政府支持的駭客組織正在利用竊取而來的登入帳密開採這項漏洞。NSA鼓勵所有和國安系統、國防部及國防產業網路有關的系統管理員儘速採取防護措施。</p> <p>NSA提醒，由於開採行動發生在連向Web介面的加密TLS通道，因此網路無法偵測到入侵指標（IoC），但可能在伺服器log中可以捕捉到蛛絲馬跡。</p> <p>不過NSA拒絕公開提供「外國惡意網路活動的受害者」資訊，也未說明攻擊日期。</p> <p>但是按照11月底美國網路安全暨基礎架構安全署（Cybersecurity and Infrastructure Security Agency，CISA）第一時間對企業發出公告，顯示攻擊受害單位的產業關鍵地位。</p> </div></div></div>
2020/12/8 15:00作者林妍溱https://www.ithome.com.tw/news/141518
Cloud周報第90期：AWS展開為期3周線上re:Invent大會，光第一天就宣布43項新服務和功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/11/26～2020/12/02）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫服務 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 容量擴充 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>AWS宣布新一代Amazon Aurora Serverless，一秒內可擴充數十萬次讀寫功能，節省9成費用</strong></span></p> <p>針對Aurora無伺服器資料庫服務，AWS推出新版本Amazon Aurora Serverless v2，主要聚焦優化負載高峰值時，服務使用成本會隨對應效能ACU等比升高的狀況。Amazon Aurora Serverless v2能在一秒鐘內，將資料庫工作負載擴充達處理數十萬次請求的容量，並且，能依照應用程式所需的容量，細緻化地對應調整容量，提供應用程式適量的資料庫資源，不像Amazon Aurora Serverless每次擴充容量時都將容量翻倍。企業只需為使用的容量付費。AWS宣稱，與調配峰值容量的成本相比，可節省多達9成的資料庫成本。</p> <p>Amazon Aurora Serverless v2提供了Amazon Aurora的所有功能，包括實現高可用性的多可用區域支援、實現低延遲的全球資料庫，還有唯讀副本、回溯和並行查詢。既有的Amazon Aurora Serverless則適合具有更廣泛應用程式集的企業使用，例如，具多客戶環境並有成百上千個資料庫的SaaS供應商。Amazon Aurora Serverless v2現已提供預覽版，適用於與MySQL 5.7相容的Amazon Aurora版本。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-next-version-amazon-aurora-serverless-new">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端採用 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太地區 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>IDC：亞太地區有27%企業在雲端廣泛部署生產現場的應用程式</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/11_16_20_CK_Image-1.jpg" style="width: 600px; height: 360px;" /></strong></span></p> <p>IDC日前發布一則文章，聚焦北美、歐洲和亞太地區企業在採用雲端技術上的差異。首先，綜觀各地區於雲端上廣泛部署生產環境應用程式的狀況，北美地區以33%領先，亞太地區以27%居其後，最後是歐洲，占21%。接著，就明年預計投入雲端技術的支出，北美和亞太地區有超過4成的企業表示，他們將大幅增加雲端支出，但，只有27%的歐洲企業有相同的規畫。另外，隨著越來越多企業採多雲架構，IDC也調查了各地區企業僅採用單一雲端的情況，亞洲和歐洲都有超過35%的企業僅採用單一雲端環境，代表該兩地區的企業對採用多雲架構仍然相對保守，相較而言，北美地區則僅有近25%的企業選擇採單一雲端環境。<a href=" https://blogs.idc.com/2020/11/16/top-10-cloud-adoption-trends-in-north-america-europe-asia/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Graviton2處理器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路性能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料封包 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS推搭載Graviton2的新實例，與x86同類實例相比性價比提高4成</strong></strong></p> <p>AWS推出新EC2執行實例C6gn，搭載採用Arm架構的自製Graviton2處理器，可提供100Gbps的網路頻寬（相比C6g提高4倍），還有38Gbps的Amazon EBS頻寬（比C6g高2倍），可用於運算密集型工作負載。與目前網路優化的x86執行實例相比，AWS宣稱，新實例的性價比提高了4成。</p> <p>企業現使用AWS網路優化執行實例，如C5n、M5n、R5n，可處理網路密集型工作負載，如防火牆、路由器、負載平衡設備等，但是，AWS表示，這些執行實例在最大資料封包速率方面有限制，而C6gn執行實例在EC2上提供了最佳的資料封包處理性能，企業能將其工作負載整合到更少的執行實例或較小的執行實例上，降低基礎架構成本。此外，C6gn支援EC2的一種網路介面EFA，能讓HPC技術，像是MPI擴充到數千個CPU核心。AWS將在12月底前，發布8種C6gn型號，配備64vCPUs、100Gbps 網路頻寬，以及38Gbps EBS頻寬。<a href="https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-multiple-new-compute-innovations-including-five">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS故障 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 容量擴充 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 執行續 </span></strong> </span></p> <p><strong style="font-size: 22px;">AWS因</strong><strong style="font-size: 22px;">擴充</strong><strong style="font-size: 22px;">Kinesis</strong><span style="font-size: 22px;"><strong>容量造成US-EAST-1</strong></span><span style="font-size: 22px;"><strong>故障逾3小時，波及Adobe與Flickr等眾多企業</strong></span></p> <p>AWS位於美國維吉尼亞州北部的US-EAST-1地區在美東時間11月25日下午3點，發生故障，波及了1Password、Adobe、Autodesk、Flickr、iRobot、Pokémon Go、Roku，以及華盛頓郵報等企業的服務或網站。事後，AWS發布聲明說明此次當機的原因，他們表示，是因即時串流資料平臺Amazon Kinesis進行了一個小規模容量升級的更新。該服務不僅有許多企業在採用，且也支援著AWS的自身營運。AWS表示，Kinesis的伺服器需要相互通訊，而該服務在添加新的伺服器後，有成千上萬臺的伺服器需相互通訊，獲得新增伺服器的訊息，這最多需要一個小時才能完成。本次，增加容量的更新造成所有伺服器接收到的執行續數，超過操作系統配置所允許的數量，而造成當機，再加上，AWS一次只能復原數百臺伺服器，所以整起當機事件歷時逾3小時。<a href=" https://www.trendforce.com/presscenter/news/20201112-10548.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裸機 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Anthos正式開始支援裸機部署</strong></strong></p> <p>Google近日宣布Anthos正式能夠支援裸機部署，企業可直接安裝Anthos到主流硬體的Linux環境中，例如Dell、HPE等的伺服器，來建立混合雲架構。在邊緣環境的裸機上執行Anthos的最低系統要求是，至少具備4個核心、32GB RAM和128GB磁碟空間，不需要專用硬體。</p> <p>Google提供了兩種部署Anthos於裸機的模式，第一種是獨立模式，企業可獨力管理每一個叢集，適合用於邊緣節點的場域，或是希望獨力管理每一個叢集的使用情境。第二種是多叢集模式，讓中央IT團隊從作為管理叢集的單一個特定叢集來管理一群叢集，適合用於建立自動化操作、工具，或是想將叢集的生命週期委託給各團隊，而不想共享敏感憑證（如SSH金鑰）的情境。Anthos在今年也正式推出了AWS版本，而Azure部署版也釋出預覽版，可以用來建立跨三朵公雲的架構。<a href=" https://cloud.google.com/blog/topics/hybrid-cloud/anthos-on-bare-metal-is-now-ga">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 伺服器硬體 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS Outposts新增1U和2U伺服器款，可部署到空間有限的落地環境</strong></strong></p> <p>AWS宣布將推出伺服器硬體AWS Outposts的1U和2U兩款小型型號，讓企業可在有空間、電力或網路限制的地方，還有不需大運算容量的情況下，使用AWS Outposts在本地部署一套AWS原生基礎架構，執行他們的工作負載。既有的AWS Outposts實體機櫃高達203公分，且以42U機櫃為最小單位運送，這樣的大小和容量讓許多企業卻步，無法用於受空間限制的場域。</p> <p>兩個新型號Outposts分別是，採用Graviton2處理器的1U型號（約4.45公分高），提供64vCPU、128GiB記憶體和4TB本地NVMe存儲，另外是，採用英特爾處理器的2U型號（8.89公分高），提供128vCPU、512GiB記憶體和8TB的本地NVMe儲存，可支援加速器，如AWS Inferentia或GPU。通過小尺寸的Outposts，企業能在本地使用如Amazon EC2、Amazon ECS、Amazon EKS和Amazon VPC，而AWS會遠端通過企業用戶的網路，連接Outposts管理基礎設施。小型號的AWS Ouptost將在2021年推出。<a href="https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-multiple-new-compute-innovations-including-five">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 淡江大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端化校園 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行政作業 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>淡江大學打造全雲端化校園，利用雲端工具優化行政作業，下一步要將系統搬上雲</strong></span></strong></p> <p>淡江大學近日宣布朝全雲端化校園發展，要讓校內師生透過公有雲進行各類教學或辦公作業。今年農曆年後各校的開學步調受疫情影響至深，淡江採用雲端遠距教學工具，並開發雲端紅外線體溫量測系統，來因應疫情，也從而開始思考，打造全雲端化校園的可能性。迄今，淡江有超過4,000門課、1,200位老師的課程，利用行動學習平臺iClass結合Microsoft Teams改為線上授課，來滿足學生的遠距學習需求。</p> <p>除了教學上，淡江也開始透過雲端工具來改變行政作業。淡江的主管會議透過SharePoint設計的一套無紙化開會流程，從會前的資料準備到會後的會議紀錄，都用雲端文件共編、共享、進行版本管理，達到無紙化，進一步提升作業效率。下一步，淡江還要逐步將資訊系統上雲，希望借助雲端服務的優勢，解決傳統採購伺服器、建立系統時，走流程的限制，降低人力、時間成本。<a href=" https://news.microsoft.com/zh-tw/tamkang-university-extend-program-of-reimagine-taiwan/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 容器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> K8s </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>企業將能在自己的資料中心執行Amazon ECS和Amazon EKS </strong></span></strong></p> <p>鎖定企業在本地端執行容器的需求，AWS在re:Invent上宣布將推出Amazon ECS Anywhere和Amazon EKS Anywhere，讓企業能夠在自己的資料中心中，執行Amazon ECS和Amazon EKS。通過Amazon ECS Anywhere，企業可於本地資料中心中，使用與AWS中基於雲端、全託管和高可擴展的相同容器調度服務Amazon ECS。Amazon ECS Anywhere將提供適用於所有基於容器應用程式的工具和ECS原生API，以及與Amazon ECS相同的叢集管理、工作負載調度和監控的經驗。藉由Amazon ECS Anywhere，企業不需要在本地執行、更新或維護自己的容器調度器，可更容易地將容器遷移至雲端，並管理混合雲環境。</p> <p>另一個Amazon EKS Anywhere將以軟體形式推出，可讓企業在自己的資料中心使用Amazon EKS執行K8s，且新服務可在任何基礎架構上執行，包含了裸機、VMware vSphere和VM，還提供經優化的K8s管理工具，可透過作業系統、容器儲存庫、日誌記錄、監控、網路和儲存的預設配置，來簡化叢集安裝。Amazon ECS Anywhere與Amazon EKS Anywhere都將於2021年上半年推出。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-four-new-container-capabilities">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 容器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 計價粒度 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AWS更新Lambda功能，提升可配置運算資源，並支援容器映像檔</strong></span></p> <p>AWS在re:Invent大會上發布多項無伺服器運算服務AWS Lambda的更新。企業現可配10GB記憶體給Lambda函式，是過去的3倍，而依AWS記憶體線性分配CPU和其他資源的規則，企業現在可以在每個執行環境，存取最多6個vCPU，這使得多執行緒和多程序應用程式的執行速度能夠提升。</p> <p>由於有更多的記憶體和CPU資源，加上對AVX2指令集的支援，AWS Lambda現可以支援更多的使用需求，包括ML應用程式，或是批次處理與ETL等資料處理工作，也能用於遊戲、媒體處理或是高效能運算工作負載。另一項新功能是，企業可以在AWS Lambda中使用容器工具，將Lambda函式打包成最大10 GB的容器映像檔，來部署到Lambda上。此外，AWS還更新了Lambda的計價方式。計價時間單位從100毫秒降至1毫秒，沒有最小執行時間的限制。<a href="<br /> https://aws.amazon.com/tw/blogs/aws/new-for-aws-lambda-1ms-billing-granularity-adds-cost-savings/">（詳全文）</a></p> <p><strong>圖片來源／AWS、IDC </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. AWS、微軟、Google、IBM和甲骨文一同拿下CIA的新雲端合約，價值數十億美元</strong><a href=" https://www.nextgov.com/it-modernization/2020/11/exclusive-cia-awards-secret-multibillion-dollar-cloud-contract/170227/">（詳全文）</a></p> <p><strong>2. Google Cloud Functions開始支援.NET開發函式，可在本地端開發函式再部署上去</strong><a href=" https://cloud.google.com/blog/products/application-development/introducing-net-google-cloud-functions">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年12月</strong></p> </div></div></div>
2020/12/4 20:23作者黃郁芸https://www.ithome.com.tw/news/141480
AWS Lambda更新，提升可配置運算資源並支援容器映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在年度re:Invent大會中，發布多項無伺服器運算服務AWS Lambda的更新，包括<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-lambda-functions-with-up-to-10-gb-of-memory-and-6-vcpus/">增加用戶可分配的運算資源</a>，並且開始支援<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-lambda-container-image-support/">容器映像檔</a>，而且<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-lambda-1ms-billing-granularity-adds-cost-savings/">計價的時間粒度</a>，也從原本100毫秒，降低至1毫秒。</p> <p>現在用戶可以分配給Lambda函式的記憶體，是過去的3倍達到10 GB，而依AWS記憶體線性分配CPU和其他資源的規則，代表用戶現在可以在每個執行環境，存取最多6個vCPU，這使得多執行緒和多程序應用程式的執行速度，能夠獲得提升，AWS提到，因為Lambda的計費方式，與記憶體配置量和函式執行時間成正比，使用比較多的記憶體，雖然要付出較多的費用，但可能因為執行速度較快時間較短，因此抵銷額外增加的費用。</p> <p>由於有更多的記憶體和CPU資源，加上對AVX2指令集的支援，AWS Lambda現在可以支援更多的使用案例，包括機器學習應用程式，或是批次處理與ETL等資料處理工作，也能用於遊戲、媒體處理或是高效能運算工作負載。</p> <p>另一項新功能，是可以在AWS Lambda中使用容器工具，現在用戶可以將Lambda函式，打包成最大10 GB的容器映像檔，並且部署到Lambda上，這種方式可以降低，有較多相依項目的工作負載部署複雜性，像是機器學習或是資料密集型的工作負載，AWS提到，像是原本將函式打包成ZIP檔案一樣，以容器映像檔的形式部署，同樣可以獲得自動擴展、高可用性，並且與其他服務原生整合的特性。</p> <p>AWS對所有Lambda Runtime，包括Python、Node.js、Java、.NET、Go和Ruby，提供基礎映像檔，用戶可以在這些基礎映像檔中，添加程式碼和相依項目，同時AWS也提供以Amazon Linux為基礎的基礎映像檔，給自定義Runtime使用，而且用戶也可以將建構在Alpine或Debian Linux之上的映像檔，部署到Lambda中，不過要使用Lambda，這些映像檔必須要實作Lambda Runtime API。</p> <p>AWS還開源了Lambda Runtime介面模擬器，讓用戶可以在本機端測試容器映像檔，以確定容器映像檔部署到Lambda時，可以正確運作，這個模擬器隨附在所有AWS提供的映像檔中，但也可以與任意的映像檔一起使用。</p> <p>AWS還更新了Lambda的計價方式，Lambda用戶依程式碼觸發次數和執行時間付費，單位執行時間則四捨五入至100毫秒，也就是說，未滿100毫秒的運算，會以100毫秒的運算時間計費，而現在，單位執行時間從100毫秒降至1毫秒，沒有最小執行時間的限制，AWS提到，這個新的定價方式，可降低用戶大部分運算時間花費，尤其是執行時間遠低於100毫秒的函式。</p> </div></div></div>
2020/12/3 14:20作者李建興https://www.ithome.com.tw/news/141437
VMWare管理平臺產品Workspace One爆重大指令注入漏洞，官方公布緩解措施，修補程式還在路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware本周<a href="https://www.vmware.com/security/advisories/VMSA-2020-0027.html" target="_blank">公布</a>旗下Workspace One管理組態工具存在重大風險漏洞，影響多個產品。由於修補程式還在製作中，VMware因而緊急提供緩解措施。</p> <p>編號 CVE-2020-4006的漏洞為一指令注入漏洞。該漏洞是由第三方研究單位透過私下管道通報VMware。VMware並未提供詳細資訊，僅表示該漏洞能讓經由port 8443存取此一管理組態工具，並持有效的管理員帳號、密碼的攻擊者，以不受限的權限在底層作業系統執行指令。本漏洞CVSS 3.1風險層級達9.1，屬於重大風險。</p> <p> CVE-2020-4006影響VMware Workspace One產品線，主要危及Linux 版本，包括Access 20.01/20.10、Access Connector 20.01/20.10 、Identity Manager（vIDM）3.3.x及Identity Manager Connector（vIDM Connector）3.3.x。其中vIDM Connector 的Windows 3.3.x版本也受到影響。</p> <p>VMware表示目前正在製作修補程式，因此該公司也<a href="https://kb.vmware.com/s/article/81731" target="_blank">提供緩解措施</a>(workaround)協助用戶免於遭駭，主要是加入指令碼。VMWare也提醒用戶，該措施只是暫時性解決方案，而在啟用後，將暫時無法變更Workspace One所管理的設定。</p> <p>而美國網路安全暨基礎架構安全署（Cybersecurity and Infrastructure Security Agency，<a href="https://us-cert.cisa.gov/ncas/current-activity/2020/11/23/vmware-releases-workarounds-cve-2020-4006" target="_blank">CISA）也呼籲</a>企業用戶儘速套用VMware提供的緩解措施，避免被攻擊者接管系統。</p> </div></div></div>
2020/11/25 11:20作者林妍溱https://www.ithome.com.tw/news/141292
Google Cloud Functions開始支援.NET
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google的函式即服務<a href="https://cloud.google.com/blog/products/application-development/introducing-net-google-cloud-functions">Cloud Functions中，現在開始支援.NET Core 3.1</a>，開發者可以使用適用.NET的函式開發框架（Functions Framework），以.NET Core 3.1開發Cloud Functions程式。Cloud Functions是Google雲端的無伺服器運算平臺，讓用戶創建回應事件的單一用途函式，可用在行動或是物聯網應用的後端，或是處理即時資料，分析圖像和情感，也能用於開發聊天機器人和虛擬助理等。</p> <p>.NET Cloud Functions目前處於預覽階段，開發者可以開始以.NET Core 3.1創建應用程式和整合層，在完全託管的環境部署函式，並存取VPC網路中的資源，.NET函式會根據工作負載自動縮放。Cloud Functions是一個由事件驅動的服務，因此開發者可以編寫HTTP函式回應HTTP事件，或是編寫CloudEvent函式，來處理來自各種雲端服務的事件。</p> <p>.NET Core 3.1支援Windows、Mac和Linux多種平臺，開發者可以使用.NET的函式開發框架撰寫函式，函式開發框架是一個用來編寫可移植.NET函式的開源函式即服務框架，透過函式開發框架，開發者可以在本地端開發和執行函式，並將其部署到Cloud Functions或是其他.NET環境。.NET的函式開發框架支援HTTP函式和CloudEvent函式，.NET Runtime能夠回應標準的CNCF CloudEvents。</p> <p>Cloud Functions中的.NET Runtime同時還支援VB和F#，可使用相同的程式碼開發模型。Google在GitHub儲存庫中提供參考範例，而.NET函式開發框架則有提供模板套件，能以命令列或是Visual Studio操作，這些模板也支援VB和F#。</p> </div></div></div>
2020/11/24 09:30作者李建興https://www.ithome.com.tw/news/141267
一周大事：微軟正式發布.NET 5.0。Google預告Photos儲存空間不再提供吃到飽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>微軟正式發布.NET 5.0</strong></span></p> <p>微軟發布.NET最新的主要更新版本5.0，之中也包含了C# 9以及F# 5，.NET 5.0是微軟統一.NET版圖的第一個版本，可讓開發人員不用對.NET Framework程式碼進行大量更改，就能把程式搬遷到.NET 5.0，或者將.NET Core早期版本，直接升級到.NET 5.0。</p> <p>.NET 5.0除了支援與.NET Core 3.1幾乎相同的平臺，還新增支援Windows Arm64，並且強化.NET在Arm64上的執行效能。.NET 5.0的支援時間，僅到2021年11月，也就是.NET 6.0發布後3個月，而.NET 6.0將會是3年長期支援版本。</p> <p>雖然過去.NET已經支援眾多平臺，但在網頁和行動裝置的工具和API，並不相同也不會同時發布更新，因此即便都是以.NET進行開發，但是開發體驗還是不盡相同，而.NET 5.0的目的，是要讓開發者使用同一組API、語言以及工具，就能開發廣泛的應用程式類型，包括行動、雲端、桌面和物聯網應用程式。<a href="https://www.ithome.com.tw/news/141042" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google Photos明年6月要設帳號免費儲存上限</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%964_Google%20Photos_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>在推出免費無限量儲存5年後，Google宣布明年將不再提供無上限的免費Google Photos儲存空間，從2021年6月1日起，每個Google帳號下所儲存的郵件、檔案、相片以及影片若達到15GB上限後，用戶就可能得購買Google One服務。<a href="https://www.ithome.com.tw/news/141060" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>臺廠苦練PSIRT成市場新競爭力</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E4%B8%BB%E5%9C%96-%E9%BB%83%E5%BD%A5%E6%A3%BB%EF%BC%8F%E6%94%9D%E5%BD%B1-PSIRT%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E6%87%89%E8%AE%8A%E9%80%9A%E5%A0%B1%E5%B9%B4%E6%9C%83.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">攝影_黃彥棻</span></p> <p>「對於上市櫃公司而言，無利可圖的事情不會做，所以合勤科技打造PSIRT（產品資安事件回應小組），表示PSIRT對合勤科技營運有幫助，也成為該公司重要的企業競爭力。」合勤科技資安長游政卿如此說道。</p> <p>不只是合勤科技，包括知名的NAS業者群暉科技和威聯通公司等，也都在企業內部成立PSIRT團隊，負責各該公司的產品，一旦遭遇的各種資安問題，PSIRT團隊都可以在第一時間提出相對應的資安措施。<a href="https://www.ithome.com.tw/news/141085" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>明年Q1資安法送立院修法三讀</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/22_%E7%B0%A1%E5%AE%8F%E5%81%89_%E8%A1%8C%E6%94%BF%E9%99%A2%E8%B3%87%E5%AE%89%E8%99%95_%E8%99%95%E9%95%B7_20200715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">攝影_洪政偉</span></p> <p>《資通安全管理法》（資安法）自2019年正式施行後，經歷近兩年的運作，行政院資通安全處處長簡宏偉表示，為了可以讓資安法更為落實，預計年底前舉辦9場修法說明會，將邀請政府機關、學界和業界人士共同參與、交換意見，預計在2021年第一季，將資安法修正草案送交立法院審查，完成三讀程序。<a href="https://www.ithome.com.tw/news/141099" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>票券市場全新監理架構大公開</strong></span></p> <p>臺灣集中保管結算所在今年8月受金管會委託建置「票券金融公司數位監理申報機制」，要將不同平臺的資料整合到數據倉儲當中，透過即時、多維度與視覺化的分析，讓監管單位能以大數據來即時管理市場狀況。新的票券數位監理機制預計在明年第二季上線，未來也可能推廣到銀行、保險等其他金融業務的監理。<a href="https://www.ithome.com.tw/news/141028" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟呼籲用戶別再用簡訊多因素驗證</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961_%E7%B0%A1%E8%A8%8A%E9%A9%97%E8%AD%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>雖然使用多因素驗證的帳號被駭比例極低，但是使用簡訊和語音來傳送OTP驗證碼的機制則另當別論。現有竊取帳號密碼的攻擊，幾乎都可用在電話網路傳送的OTP，包括社交工程、裝置竊取以及帳號綁架攻擊等。微軟為此呼籲用戶停用簡訊、語音形式的多因素驗證，改用App或硬體式的驗證方案。<a href="https://www.ithome.com.tw/news/141088" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>員工年底放大假，微軟將跳過12月Windows 10更新</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%962_Win%2010%E6%9B%B4%E6%96%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F(1).png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟釋出編號KB4586781的11月份Windows 10更新時發出公告，基於年底假期到2021新年期間，公司處於最低人力運作狀態，因此12月份將不會有預覽版釋出，會在2021年1月份連同安全更新回復每月功能更新。<a href="https://www.ithome.com.tw/news/141151" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果採用自製晶片M1的新一代Mac問世</strong></span></p> <p>蘋果發表了首款自製Mac晶片M1，將取代英特爾晶片成為新一代蘋果Mac電腦的處理器。M1是蘋果專為Mac系統所設計的小尺寸系統單晶片，配備8核心的CPU與GPU，也是首款採用5奈米製程技術的個人電腦晶片。<a href="https://www.ithome.com.tw/news/141038" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果釋出兼容英特爾及自家M1晶片的macOS Big Sur</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961_macOS%20Big%20Sur_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_蘋果</span></p> <p>Big Sur是蘋果專為自家M1晶片設計的作業系統，並透過編譯器Rosetta 2，以於採用英特爾晶片的Mac電腦執行應用程式。<a href="https://www.ithome.com.tw/news/141039" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>新任Google臺灣董事總經理馬大康談AI七大挑戰與機會</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-Google%E7%B8%BD%E7%B6%93%E7%90%86-%E5%9C%961%20-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">攝影_余至浩</span></p> <p>在今年臺灣人工智慧年會上，新任Google臺灣董事總經理馬大康，不僅分享近幾年Google在AI方面的重要進展，並歸納提出7項未來AI技術挑戰與機會，包括建立分散式學習架構、AI偵錯、容錯能力，以及零接觸AI應用新機會等。<a href="https://www.ithome.com.tw/news/141118" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>駭客盜用他人臉書投放勒索廣告</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%961-%E5%B3%BB%E4%BD%91-Ragnar_Locker-Campari_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_iTWire.png" style="width: 412px;" /></p> <p><span style="color:#696969;">圖片來源_iTWire</span></p> <p>駭客為了讓勒索軟體攻擊的效益更好，這2、3年來，不僅紛紛將目標轉向企業，也要脅不付錢就公開被加密的機密資料，迫使受害者支付贖金。但近期卻出現駭客為了要贖金，挾持他人的臉書帳號來投放廣告，要求受害企業限期付款的情況。<a href="https://www.ithome.com.tw/news/141070" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>兒童網路遊戲Animal Jam驚傳資料外洩</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%B3%BB%E4%BD%91-AnimalJam-databreach_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_WildWork.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_WildWork</span></p> <p>鎖定遊戲產業的網路攻擊事件，今年已發生多起。新聞網站Bleeping Computer於11月10日，看到駭客論壇出現2個兒童線上遊戲Animal Jam的資料庫，而通報後該遊戲的開發商WildWorks也在網站上證實此事，呼籲玩家與家長最好馬上更換遊戲帳號的密碼，假如他們也在其他網站上使用了相同密碼，也應該一併更換，再者，使用者最好在各式網站服務採用不同的密碼，以防範自己成為密碼填充攻擊（Credential Stuffing）的受害者。<a href="https://www.ithome.com.tw/news/141089" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>RansomExx勒索軟體開始針對Linux環境發動攻擊</strong></span></p> <p>卡巴斯基近期發現一隻新型木馬程式，目的在加密Linux環境下的檔案。經過程式碼分析、以及該木馬作者留下的訊息及勒索手法，顯示就是最近十分猖獗的勒索軟體RansomExx。<a href="https://www.ithome.com.tw/news/141031" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Yubico將推出生物辨識實體安全金鑰</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963_YubiKey_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Yubico.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_Yubico</span></p> <p>安全金鑰開發商Yubico將發布搭載指紋感測器的安全金鑰YubiKey Bio。YubiKey Bio在使用時會要求用戶註冊指紋，以便之後進行身份辨識，部分FIDO2使用情境，用戶可以配置YubiKey Bio，同時要求指紋和PIN碼進行雙重驗證，可以在支援FIDO U2F、FIDO2或WebAuthn的服務或者是平臺上使用。<a href="https://www.ithome.com.tw/news/141054" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>日本超級電腦富岳再度蟬連全球第一</strong></span></p> <p>一年二度的全球500大超級電腦最新名單公布，半年前奪下寶座的日本超級電腦Fugaku（富岳）蟬連第一。此外本次只有2家新系統躋身前10大，也是1993年以來新入榜者最少的一次。國網中心打造的臺灣杉3（Taiwania）則名列183名。<a href="https://www.ithome.com.tw/news/141154" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AWS S3智慧分層新功能讓冷資料自動移至封存層</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%963_S3%E6%99%BA%E6%85%A7%E5%88%86%E5%B1%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_AWS</span></p> <p>AWS物件儲存服務S3的智慧分層功能，現在能自動將用戶90天與180天未被取用的資料，放到二類新增的非同步存取層中，以節省儲存成本開銷。<a href="https://www.ithome.com.tw/news/141033" target="_blank">更多內容</a></p> </div></div></div>
2020/11/21 07:00未署名https://www.ithome.com.tw/news/141236
Cloud周報第88期：臺灣行動網速全球排名上升至第19，但固網排名僅24名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/11/12～2020/11/18）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路速度 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動裝置 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> </p> <p><strong style="font-size: 22px;">全球</strong><span style="font-size: 22px;"><strong>行動網速由南韓奪下冠軍，臺灣排名提升擠進前20</strong></span></p> <p>知名網路測速服務Speedtest日前公布全球行動網路與固網10月份的表現，臺灣本月行動網路速度排名位居第19名，而固網速度則排名第24名。該月全球行動網路平均下載速度為39.18Mbps、平均上傳速度為11.63Mbps，延遲速度則平均落在38毫秒。行動網速最快的前三個國家分別為南韓、阿拉伯聯合大公國和中國，而臺灣雖位居第19名，但，相較去年同期排名提升了4位，平均下載速度為58.71Mbps、上傳速度為15.74 Mbps。固網方面，全球10月份的平均下載速度為87.84Mbps、平均上傳速度為47.16Mbps，延遲速度則平均落在21毫秒。固網速度前三快的國家分別是新加坡、香港和羅馬尼亞，臺灣排名則落在第24，比去年同期下滑1名，平均下載速度為136.95Mbps、上傳速度為110.3Mbps。<a href=" https://www.speedtest.net/global-index?fbclid=IwAR0PDpyaSBitkev-gEsuKj9ctn836-exiEGosmd49tymXmtDJ-CHX0ZfQhk#fixed">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雙11購物 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里雲 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 天貓 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>天貓雲端雙11核心系統處理效率創新高，每秒新增58.3萬筆訂單</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%96_%E5%A4%A9%E8%B2%93%E9%9B%9911_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4.jpg" style="width: 600px; height: 400px;" /></strong></span></p> <p>年度線上購物促銷活動雙11日前落幕，因應銷售熱潮，各電商業者無不做好萬全準備，來支撐暴增的流量。天貓繼去年將雙11核心系統完全搬上雲端，今年再持續發展阿里雲上名為飛天的作業系統，以及神龍伺服器叢集等。這些雲端基礎建設成天貓能承載龐大交易規模的關鍵，技術的能耐更直接反映在活動中。當日0時0分26秒時，天貓新增的訂單數再創新記錄，新增訂單的處理效率達每秒58.3萬筆的新高峰，是2009年首屆雙11的1,457倍。阿里巴巴集團技術長程立表示，今年天貓雙11是一個全新起點，他指出，「應對交易峰值不再是最大挑戰，雙11的技術挑戰已進入新的歷史階段，要通過技術創新提升全產業鏈的商業效率。」阿里巴巴把過去11年的技術和商業創新組合起來，打造數位原生商業操作系統，像是在新品研發階段，幫助品牌商通過AI發掘市場需求，全流程從試銷、量產到評估朝智慧化發展。<a href=" https://www.alibabanews.com/%e9%98%bf%e9%87%8c%e9%a6%96%e5%b8%ad%e6%8a%80%e8%a1%93%e5%ae%98%e7%a8%8b%e7%ab%8b%ef%bc%9a%e9%9b%9911%e6%8a%80%e8%a1%93%e6%8c%91%e6%88%b0%e9%80%b2%e5%85%a5%e6%96%b0%e6%ad%b7%e5%8f%b2%e9%9a%8e%e6%ae%b5/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料庫搬遷服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cloud SQL </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Google終於也推出無伺服器資料庫搬遷服務</strong></strong></p> <p>Google雲端日前終於推出無伺服器資料庫搬遷服務（Database Migration Service，DMS），讓企業可將MySQL、PostgreSQL和SQL Server資料庫的資料、架構與配置，搬遷到由Google全託管的資料庫服務Cloud SQL上，並可與其他Google雲端服務一同整合使用。AWS與微軟都已提供類似服務一段時間，而Google的DMS會先串流資料庫的初始快照，再快速地複製來源中新增的資料。Google表示，維持來源與目標資料同步的方法，是仰賴資料庫自身的複製功能，這種技術能以低延遲、高傳真的方法複製資料。也就是說，企業只要將應用程式指向Cloud SQL，把Cloud SQL上的資料庫作為主要資料庫，隨時都能開始使用新的資料庫。DMS是一項無伺服器服務，因此，企業不需配置、管理或是監控搬遷的資源，並且，來源資料庫的資料、架構和其他資料庫功能，也全都會由DMS大規模地複製上Cloud SQL，企業不需介入。<a href="https://cloud.google.com/blog/products/databases/database-migration-service-now-available-for-cloud-sql-and-more">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端需求 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 伺服器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 新常態生活 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>新常態和數位轉型帶動雲端需求，超大資料中心Q4伺服器需求就占了整體市場需求近4成</strong></span></p> <p>市場分析機構集邦科技（TrendForce）日前針對全球伺服器市場發表了最新的調查，發現數位轉型和新常態生活激發了強勁的雲端需求，本季超大資料中心的伺服器需求已占整體近4成。受疫情影響，全球民眾的生活和工作都因而改變。TrendForce發現，從年初至今，智慧型終端裝置的普及帶動了雲端儲存和運算需求的成長，且該成長既強勁又具延續性，再加上企業推動數位轉型也加速雲端服務的滲透率。因此，今年第四季超大規模資料中心的伺服器需求占比已占總體近4成，而超大規模資料中心現今的數量已達2012至2014年的3倍。另外，市場普遍認為疫情塑造的新常態生活仍會持續帶動雲端服務的需求，而國際緊張局勢導致地緣政治的不確定性，則使得小型資料中心需求浮現，以因應任何變動。TrendForce預期，數位轉型與新常態生活推升的雲端需求，將促使伺服器出貨量明年年成長達7%。<a href=" https://www.trendforce.com/presscenter/news/20201112-10548.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料清理 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS推出資料清理和標準化工具Glue DataBrew，內建250種轉換功能</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E5%9C%96_DataBrew_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.png" style="width: 600px; height: 327px;" /></strong></strong></p> <p>AWS近日推出雲端資料準備工具Glue DataBrew，這是一個以現有ETL服務AWS Glue作為基礎，加以開發的視覺化資料準備新工具，供企業以點擊、拖拉的方式，在視覺化介面上進行雲端資料清理和標準化的操作，不需撰寫任何程式碼。AWS宣稱，新工具可提高8成資料清理和標準化的速度。新工具內建了250種資料轉換功能，像是刪除或修正無效資料值、篩選異常、標準化資料（如時間及日期）格式、產生連結等，並可匯入來自資料湖AWS S3、資料倉儲Redshift、RDS的資料。此外，這項工具可提供資料清理的建議，還具備自然語言處理技術，可處理較複雜的轉換，像是將文字變成資料欄位值。</p> <p>AWS DataBrew會根據企業執行作業使用的節點數，按小時計費，在預設值下，該工具會為每個作業分配10個節點。目前新工具已在北維吉尼亞州、法蘭克福、東京、雪梨等AWS雲端地區上線，之後會再推向其他地區。已開始使用該工具的企業包括了英國石油公司BP及化纖廠Invista等。<a href=" https://aws.amazon.com/tw/blogs/aws/announcing-aws-glue-databrew-a-visual-data-preparation-tool-that-helps-you-clean-and-normalize-data-faster/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯邦快遞 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Dell、Fedex聯手機房業者要打造百萬兆級邊緣運算基礎架構</strong></span></strong></p> <p>瞄準邊緣運算服務的需求，Dell、運輸快遞龍頭聯邦快遞及資料中心設計業者Switch日前宣布，將打造百萬兆級（Exascale）多雲邊緣運算基礎架構服務，將伺服器、儲存及網路基礎架構推向邊緣節點，支援對延遲敏感的企業應用。這項合作將結合Dell的雲端基礎架構產品，涵蓋伺服器、儲存、網路設備及超融合基礎架構，還有Switch的邊緣資料中心方案，要在聯邦快遞的營運地點建造技術中心。各中心將連結到Switch旗下4個主要資料中心，聯邦快遞會負責管理實體建物，Dell則將提供雲端代管服務。第一個技術中心將落腳於聯邦快遞位於田納西州曼菲斯市的站點，預計明年初開始啟用。往後三方將視企業需求，於指定地點部署合作方案的技術中心。<a href=" https://corporate.delltechnologies.com/en-us/newsroom/announcements/detailpage.press-releases~usa~2020~11~20201112-dell-technologies-fedex-and-switch-team-up-to-deliver-exascale-multi-cloud-capabilities-to-the-edge.htm#/filter-on/Country:en-us">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問題排除 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google針對Compute Engine問題更新韌體，提早向用戶發出GPU暫停使用的警示</strong></span></strong></p> <p>Google雲端在11月10日向Compute Engine的使用者發送了一封電子郵件，並隨信附上一份事故報告指出，Compute Engine從今年8月份開始出現問題，將通過更新韌體來解決。Google計畫在11月第3周完成更新的部署，而緩解工作將持續進行。Google指出，受影響用戶將遭遇主機維護事件頻繁發生的情況，更進一步表示，主機在進行維護時，用戶需停止使用GPU執行實例。韌體更新期間，Google也同步在GCP平臺運行狀態儀表板網頁上發布公告，說明服務受影響的原因，並提供暫時性解決方案，建議用戶暫時切換使用不受此更新影響的V100 GPU。<a href="https://status.cloud.google.com/incident/compute/20012">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255); font-weight: bold; background-color: rgb(51, 153, 255);"> S3 </span><span style="background-color: rgb(255, 255, 255);"> </span><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 存取控制 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS更新S3智慧分層功能，新增兩個價格較低封存存取層</strong></span></strong></p> <p>AWS日前為儲存服務S3智慧分層功能，新增封存存取層和深度封存存取層。當S3中的資料90天內未被存取，就可被放入封存存取層，而180天未被取用過，便可被放到深度封存存取層，以節省儲存成本開銷。這項新功能已在所有AWS地區開放，他們的價格和效能與S3 Glacier和S3 Glacier深度封存層相同。S3智慧分層功能可用儲存層現達到4層，頻繁存取的資料仍會放在經常存取層，而30天未被存取的經常存取層資料，一樣就會被放到不常存取層，而當用戶啟用2個新封存存取層後，S3智慧分層便會將90天未經取用的物件，移動到封存存取層，而180天未存取的物件，則會被放到深度封存存取層。</p> <p>當用戶需要取用這些非同步存取層的資料，這些資料會在數小時內，移動到經常存取層，供用戶進行檢索，在封存存取層的資料需要花3到5小時，回到經常存取層，而深度封存存取層則需要約12小時，用戶也能透過支付額外費用，加快可檢索的時間。<a href=" https://aws.amazon.com/tw/blogs/aws/s3-intelligent-tiering-adds-archive-access-tiers/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧機械雲端平臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 工研院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 製造業 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AMD、IBM合作打造混合雲機密運算服務，要加速高效能運算及AI的發展</strong></span></p> <p>AMD、IBM宣布簽定多年合作協議，要發展機密運算方案，來確保混合雲的安全環境，進而推動AI等技術的加速。在合作下，雙方將運用開源軟體、開放標準及開放系統架構實現混合雲環境下的機密運算，並加速高效能運算及AI的發展。雖然IBM沒有明說，不過顯然新發展的技術將會結合其紅帽Enterprise Linux及OpenShift運用於其混合雲服務。今年7月AMD也和Google合作宣布Google Cloud中的機密運算服務Confidential VM。競爭者Intel也正在推動將其相應技術Software Guard Extensions 推到全Xeon系列產品，以防止Meltdown、Spectre漏洞的災情重演。<a href="https://newsroom.ibm.com/2020-11-11-IBM-and-AMD-Announce-Joint-Development-Agreement-to-Advance-Confidential-Computing-for-the-Cloud-and-Accelerate-Artificial-Intelligence">（詳全文）</a></p> <p><strong>圖片來源／阿里巴巴集團、AWS </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. Google推出混合雲平臺Anthos開發者沙盒，供企業免費試用Anthos </strong><a href=" https://cloud.google.com/blog/topics/anthos/introducing-the-anthos-developer-sandbox">（詳全文）</a></p> <p><strong>2. 精誠資訊推出雲端服務品牌Garaotus，打造整合AI、HPC等技術的雲端平臺，鎖定基因工程領域</strong><a href=" https://tw.systex.com/garaotus-2/">（詳全文）</a></p> <p><strong>3. AWS推出VPC網路防火牆服務，可用規則過濾VPC流出的網路流量</strong><a href=" https://aws.amazon.com/tw/blogs/aws/aws-network-firewall-new-managed-firewall-service-in-vpc/">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2020年11月</strong></p> </div></div></div>
2020/11/20 13:01作者黃郁芸https://www.ithome.com.tw/news/141195
Kinvolk推出K8s UI開源專案Headlamp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端原生基礎設施供應商Kinvolk打造了圖形介面，讓Kubernetes使用者不需要使用命令列工具或是配置檔案，就可以方便地管理Kubernetes部署，該專案被命名為<a href="https://kinvolk.io/blog/2020/11/shining-a-light-on-the-kubernetes-user-experience-with-headlamp/">Headlamp</a>，完全開源且獨立於所有供應商，Headlamp提供互動式使用者介面，可以進行讀寫操作，而非僅是唯讀的儀表板。</p> <p>Headlamp是一個通用可擴展的Kubernetes使用者介面，官方希望Headlamp盡可能支援各種不同的使用者，因此無論是剛入門的用戶，或是經驗豐富的專家，以及有著特殊需求的使用者，都能夠使用Headlamp滿足需求，官方提到，由於Kubernetes使用案例太多元，因此下游用戶通常需要自定義UI專案，而Headlamp提供樹外擴充套件系統，來解決這個問題，Headlamp的後端可以載入Javascript檔案，並傳遞給客戶端以動態載入這些擴充套件。</p> <p>擴充套件系統為Headlamp提供了極大的靈活度，可讓用戶創建各種新功能，官方舉例，用戶可以透過擴充套件系統，在Pod細節檢頁面中添加按鈕，提供Pod運作成本資訊。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/headlamp_cluster_overview.png" style="width: 580px;" /></p> <p>而官方開發好用的追蹤小工具Inspektor，來展示擴充套件系統的功能，開發者可將Inspektor小工具安裝在叢集中，在啟用Traceloop小工具後，該工具便會快取Pod所有的系統呼叫，因此用戶就能夠在Pod還在執行的同時，查看Pod的狀態，也能在Pod終止時，查看系統呼叫紀錄，供用戶簡單地調查崩潰紀錄。</p> <p>Headlamp可根據用戶的權限，變更顯示的介面，官方提到，許多Kubernetes讀寫使用者介面，並無法良好整合底層存取控制，因此部分介面上的按鈕，提供用戶實際上不具備的功能，像是當用戶沒有修改資源的權限，但是介面卻出現創建和刪除按鈕，則可能讓用戶產生誤解。而Headlamp會檢查Kubernetes RBAC配置，僅顯示可執行操作的擴充元件，以提供更好的用戶體驗。</p> <p>官方提到，大部分Kubernetes UI可分為託管後端，以及本機桌面應用程式兩種類型，而兩種類型各有優缺點。託管應用程式可以透過單一URL，讓用戶在各處存取使用者介面，並且簡單地同步叢集版本，而桌面應用程式無需託管UI應用程式，具備隔離性，但是應用程式更新的負擔落到了用戶身上。Headlamp提供兩種方法，用戶可以透過使用YAML檔案，將UI託管在叢集中，也能在Linux、Mac和Windows上安裝應用程式。</p> <p>Headlamp是一項獨立於所有Kubernetes發布版本的專案，Kinvolk表示，他們有推出自有的Kubernetes發行版Lokomotive，而Lokomotive的確是使用Headlamp作為其網頁使用者介面，但因為Headlamp為獨立專案的關係，因此Headlamp支援任何經認證的Kubernetes，不僅只有Lokomotive。</p> </div></div></div>
2020/11/19 11:35作者李建興https://www.ithome.com.tw/news/141191
AWS的VPS解決方案Lightsail現可部署容器工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在要降低在雲端部署容器工作負載的障礙，讓用戶使用VPS（Virtual Private Server）解決方案<a href="https://aws.amazon.com/tw/blogs/aws/lightsail-containers-an-easy-way-to-run-your-containers-in-the-cloud/" target="_blank">Amazon Lightsail</a>，以執行虛擬機器相同的簡易程度與價格，將容器映像檔部署到雲端上，執行容器應用程式。</p> <p>AWS提到，Lightsail是用戶要開始使用AWS服務最簡單的方法。Amazon Lightsail是一個簡單的雲端服務，提供部署應用程式和網站需要的一切資源，價格計算方式採用較易理解的包月計畫，Lightsail的典型用戶，通常是希望快速入門雲端的開發人員、小型企業和新創公司，這些用戶在透過Lightsail更了解AWS服務之後，便可隨時採用更廣泛的服務。</p> <p>Lightsail建構在許多AWS服務之上，包括虛擬運算服務EC2、關聯式資料庫服務RDS，還有應用程式負載平衡服務等，用戶在部署應用程式時，可以選擇Linux、FreeBSD或Windows等作業系統，也可選擇直接安裝WordPress和Drupal等熱門CMS，以及Node.js和GitLab等堆疊。</p> <p>除了這些，AWS現在要讓用戶也能簡單地在雲端部署容器，只要提供容器Docker映像檔，Lightsail便會自動進行容器化，並提供在雲端容器執行應用程式的HTTPS端點，Lightsail會自動處理所有負載平衡TLS端點、TLS憑證等工作，還會自動更換無回應的容器，並且分派DNS名稱給端點，在Docker映像檔更新時，Lightsail也會持續維護舊版本，直到新版本完成更新。</p> <p>用戶已經可以在全球有提供Amazon Lightsail服務的AWS地區，用到這項新功能，包括美東、美西和歐洲多個地區，而亞太地區則有孟買、首爾、新加坡、雪梨和東京可以選擇。與過去Amazon Lightsail的定價策略相同，新功能也採用容易理解且可預測的定價，根據使用的容器大小，每個容器每月支付固定的價格，該價格已是每天24小時執行服務，所需要支付的最高金額，價格範圍從Nano容器每月7美元，到X-Large容器每月160美元不等，這個價格不只是容器本身的費用，還包括負載平衡、DNS和資料傳輸等服務。</p> </div></div></div>
2020/11/16 16:10作者李建興https://www.ithome.com.tw/news/141135
研究人員警告：DNS快取污染攻擊可能死灰復燃，Google 8.8.8.8與CloudFlare 1.1.1.1都未能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州大學河濱分校（UC Riverside）的一群安全研究人員<a href="https://dl.acm.org/doi/10.1145/3372297.3417280" target="_blank">在本周指出</a>，近年來已消聲匿跡的DNS快取污染（DNS cache poisoning）攻擊，很可能在多個漏洞的助益下死灰復燃，相關的漏洞波及網路上34%的開放解析器，包括於該領域市占率高達85%的Google 8.8.8.8與CloudFlare 1.1.1.1。</p> <p>DNS系統主要是用來連結網域名稱及其IP位址，而DNS快取污染則是在DNS的快取中注入一個惡意的IP位址，以將使用者連結到由駭客所控制的伺服器上，騙取使用者輸入其憑證。</p> <p>DNS快取污染曾是頗受歡迎的憑證竊取手法，然而，隨著各大瀏覽器隨機採用不同的傳輸埠來傳送解析或轉寄請求，有效地防範了相關的攻擊。然而，<a href="https://www.cs.ucr.edu/~zhiyunq/SADDNS.html" target="_blank">研究人員發現</a>了一系列的漏洞，可用來卸去隨機傳輸埠的保護機制，而讓DNS快取攻擊得以重生。</p> <p>該研究團隊利用一個可用來假冒IP位址的裝置，以及一臺用來觸發DNS轉寄或解析請求的電腦，轉寄與解析機制皆為DNS系統中的元件，以將請求傳送到適合的系統上；在利用轉寄機制的攻擊中，駭客可加入一個公開的無線網路，而在基於解析機制的攻擊中，則可藉由任何公共的解析器，包括Google 8.8.8.8或CloudFlare 1.1.1.1展開攻擊。</p> <p>在進入這些公共服務之後，駭客就能展開旁路攻擊，利用一個位於網域名稱請求主要通道之外的附屬通道，找出來源傳輸埠。研究人員找到一個方法能夠延長通道開啟的時間，並於每秒執行1,000次的猜測，直至找到正確的傳輸埠，接著就如同傳統的攻擊手法，植入惡意的IP位址，執行DNS快取污染攻擊。</p> <p>此一攻擊影響DNS基礎設施的所有快取層，諸如DNS轉寄快取或解析快取，也波及廣泛的DNS軟體堆疊，涵蓋BIND、Unbound，以及於Linux上運作的dnsmasq，也可能有其它作業系統受害，漏洞存在的條件則是作業系統及網路的配置允許ICMP（Internet Control Message Protocol）的錯誤回覆。</p> <p>該研究團隊表示，他們已在實際的環境中實驗了此一攻擊手法，證明它是可行的。此外，他們也建議業者應該採用額外的隨機能力與加密解析決方案，來防堵相關攻擊。</p> <p> </p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Gogk3yEKnaI" width="560px"></iframe></div> <p> </p> </div></div></div>
2020/11/13 15:00作者陳曉莉https://www.ithome.com.tw/news/141096
AMD、IBM合作發展混合雲機密運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD、IBM昨（11）日<a href="https://newsroom.ibm.com/2020-11-11-IBM-and-AMD-Announce-Joint-Development-Agreement-to-Advance-Confidential-Computing-for-the-Cloud-and-Accelerate-Artificial-Intelligence" target="_blank">宣布</a>簽定多年合作協議，將發展機密運算（Confidential Computing）方案以確保混合雲的安全環境，進而推動AI等技術的加速。</p> <p>所謂機密運算（Confidential Computing）是為了解決資料在處理（processing）階段中較易遭受威脅。這是因為不同於資料在儲存及傳輸過程中可在加密下執行，資料在處理階段需要解密，而造成曝露在惡意攻擊的風險中。解決方法是實作以硬體建立VM的信賴執行環境（trusted execution environment, TEE）並可加密記憶體，使處理中的資料僅獲得金鑰的App才得以存取，防止資訊洩露。AMD也在其EPYC處理器產品中加入名為Secure Encryption Virtualization的技術以實現機密運算。</p> <p>IBM和AMD的合作下，雙方將運用開源軟體、開放標準及開放系統架構實現混合雲環境下的機密運算，並加速高效能運算及人工智慧（AI）的發展。雖然IBM沒有明說，不過顯然新發展的技術將會結合其Red Hat Enterprise Linux及OpenShift運用於其混合雲服務。</p> <p>這項合作也符合AMD近來極力向資料中心擴展版圖的策略。今年7月AMD也和Google合作<a href="https://cloud.google.com/blog/products/identity-security/introducing-google-cloud-confidential-computing-with-confidential-vms" target="_blank">宣布</a>Google Cloud中的機密運算服務Confidential VM。</p> <p>競爭者Intel 也正在推動將其相應技術Software Guard Extensions (SGX) 推到全Xeon系列產品，以防止Meltdown、Spectre漏洞的災情重演。</p> </div></div></div>
2020/11/13 09:30作者林妍溱https://www.ithome.com.tw/news/141069
英特爾修補可透過電源測量介面駭進CPU的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在本周二（11/10）發布了40個安全公告，揭露數十個安全漏洞，在<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00389.html" target="_blank">INTEL-SA-00389</a>公告中的CVE-2020-8694與CVE-2020-8695漏洞雖然只被列為中度風險等級，但卻允許駭客利用英特爾的功耗測量（Running Average Power Limit，RAPL）介面汲取存放於裝置上的機密資訊，諸如核心資料架構或是受到SGX（Software Guard Extensions）保護的內容。</p> <p>發現相關漏洞的研究人員分別為來自奧地利格拉茨工業大學的Moritz Lipp、Andreas Kogler與Daniel Gruss，英國伯明翰大學的David Oswald，以及德國CISPA資安研究機構的Michael Schwarz。</p> <p>RAPL為英特爾處理器的功能，可用來監控與管理CPU及記憶體的用電量，研究人員指出，CVE-2020-8695是個電源旁路攻擊漏洞，開採該漏洞將可曝露處理器的電力損耗，進而推估資料並汲取加密金鑰，而且駭客不必實際接觸裝置，只要藉由RAPL便能展開攻擊，研究人員將其攻擊手法稱為<a href="https://platypusattack.com/" target="_blank">鴨嘴獸（Platypus）</a>，如同雄性鴨嘴獸的嘴喙可偵測電流以追捕獵物一樣。</p> <p>鴨嘴獸攻擊所開採的兩個漏洞為CVE-2020-8694與CVE-2020-8695，前者為Linux核心驅動程式對某些英特爾處器的不充份存取控制，後者則僅僅是因透過RAPL介面可觀察到差異。</p> <p>在研究人員展示的鴨嘴獸攻擊中，他們先觀察電力損耗的變化以區隔在操作及載入記憶體時所使用的指令與漢明權（Hamming weights），推測所載入的值，還能進一步推測應用程式的快取控制流、破解KASLR安全機制、自Linux核心與SGX飛地中汲取AES-NI金鑰，以及建立一個秘密通道。</p> <p>儘管Amd處理器也提供RAPL介面，且Arm或Nvidia晶片亦都鑲有電力計算機制，但此次研究人員只鎖定英特爾處理器進行測試，也將研究成果提報給其它業者，惟尚未收到其它業者的回應。</p> <p>在作業系統上，除了Linux的Powercap框架於預設就提供無特權存取RAPL之外，Windows與macOS都必須額外安裝Intel Power Gadget，Linux最近的更新已撤銷該存取能力，至於英特爾則是藉由微碼更新修補了上述漏洞。</p> </div></div></div>
2020/11/12 10:40作者陳曉莉https://www.ithome.com.tw/news/141057
資安一周第119期：仁寶電腦否認遭到勒索軟體攻擊。巴西最高法院慘遭RansomExx毒手而暫時開庭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1105-1111 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">仁寶傳出遭勒索軟體攻擊，但該公司予以否認</strong></h2> <p>筆電代工大廠仁寶電腦於11月9日上午，傳出疑似遭到勒索軟體攻擊，同日傍晚該公司表示並非如此，僅是可能因駭客攻擊而出現網路異常，事故發生於辦公自動化系統（OA）的環境，生產作業並未受到波及。</p> <p>而此事傳出可能是遭到勒索軟體攻擊後，臉書與Line的資安社團裡，出現宣稱是駭客勒索訊息的螢幕截圖，內容提及攻擊的駭客組織是DoppelPaymer，索討1,100個比特幣，且揚言如果仁寶不予理會，將會公開資料，超過3周不付錢則會完全刪除。提供這些截圖的使用者指證歷歷，但是否真的與仁寶電腦有關？有待進一步查證。<strong><a href="https://www.ithome.com.tw/news/141011">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃政府機關</strong></span></h3> <h2><strong style="vertical-align: top;">巴西最高法院坦承遭到勒索軟體攻擊</strong></h2> <p>駭客鎖定司法單位發動勒索軟體攻擊的情況，本月於巴西出現多起事件。當地的最高法院於11月4日指出，他們的資訊系統於3日遭到網路攻擊，迫使正在審理的案件不得不延後或是取消，並預計休庭到9日。根據新聞網站Bleeping Computer指出，該單位是遭到RansomExx勒索軟體攻擊，巴西總統Jair Bolsonaro亦證實此事，並表示駭客要求他們付贖金。</p> <p>事實上，該國法院遭到攻擊的情況，一週內已發生3起。10月27日，當地的Pernambuco Court of Justice被RansomExx攻擊，11月1日，巴西司法委員會傳出遭未經授權存取。<a href="https://www.ithome.com.tw/news/140999"><strong>詳全文</strong></a></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/119-1-STJ-RansomExx.png" style="width: 400px;" /></p> <p>圖片來源：Bleeping Computer</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">多家企業慘遭Ragnar Locker勒索軟體毒手，義大利釀酒廠Campari、日本電玩開發商卡普空等公司紛傳受害</strong></h2> <p>又有知名企業接連成為勒索軟體的攻擊目標。例如，義大利釀酒廠Campari與日本電玩開發商卡普空（Capcom），分別於11月3日與4日，公告公司遭到駭客攻擊。而根據ZDNet、Bleeping Computer等新聞網站報導，這2家公司都是被Ragnar Locker勒索軟體攻擊，駭客宣稱分別竊得2TB與1TB的資料，且要求價值1,500萬與1,100萬美元的比特幣贖金。<a href="https://www.ithome.com.tw/news/140960"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊＃資料外洩</strong></h3> <h2><strong style="vertical-align: top;">雲端業者Blackbaud面臨23起訴訟，原因是遭勒索軟體攻擊導致用戶資料外洩</strong></h2> <p>專門提供大學、政府機關，以及非營利組織雲端運算服務業者Blackbaud，今年5月遭到勒索軟體攻擊，駭客下載並刪除伺服器裡的資料，導致他們面臨23起用戶集體訴訟，以及160個客戶要求賠償。而此事會在11月引起關注的原因，是因為該公司向美國證券交易委員會提交的資料提及。</p> <p>Blackbaud指出，他們在攻擊事件當下就成功阻擋駭客加密資料，但當時駭客已經下載部分內容，因此還是支付贖金換取駭客將手上的資料銷毀，而目前沒有任何證據證明駭客將資料外流。但用戶認為，此起事件造成自身權益受損，因此他們向法院提出訴訟。<strong><a href="https://www.ithome.com.tw/news/140923">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">甲骨文Solaris重大漏洞讓駭客攻入企業，潛伏期間超過1年</strong></h2> <p>在10月下旬，甲骨文修補超過400個漏洞，而其中有漏洞已被駭客濫用超過500天才被發現。資安業者FireEye指出，他們通報的Solaris漏洞CVE-2020-14871，已被UNC1945駭客組織用來攻擊一家企業，而且駭客埋伏至少519天。這個漏洞存在於Solaris插入式驗證模組（PAM），允許攻擊者以多種通訊協定入侵，CVSS風險指標為滿分10分。</p> <p>至於UNC1945駭入Solaris的目的為何？FireEye推測，該組織可能會把存取受害者網路的權限，賣給另一個駭客組織。<strong><a href="https://www.ithome.com.tw/news/140915">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊 </strong></span></h3> <h2><strong style="vertical-align: top;">蘋果推出iOS 14.2，修補的漏洞其中已有3個被於攻擊</strong></h2> <p>蘋果於11月5日推出iOS 14.2及iPadOS 14.2更新，此版本修補了20個漏洞，但值得留意的是，當中有3個Google提報的漏洞，已經出現攻擊行動，這些漏洞分別是CVE-2020-27930、CVE-2020-27950，以及CVE-2020-27932。不過，蘋果與Google沒有公布攻擊細節。<strong><a href="https://www.ithome.com.tw/news/140964">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃公有雲配置不當＃資料外洩＃觀光產業</strong></span></h3> <h2><strong>多家旅客訂房網站驚傳資料外洩，原因與通路平臺的雲端配置有關</strong></h2> <p>根據專門提供架站服務的Website Planet揭露，網站軟體開發商Prestige出售給旅客訂房網站的通路管理平臺Cloud Hospitality，因AWS S3儲存體的配置錯誤，曝露Agoda、Booking.com，以及Expedia等網站使用者個資，範圍涵蓋自2013年迄今的訂房資料，波及全球上千萬名的旅客，亦曝露10萬名旅客的信用卡資訊。Prestige獲報後已修正相關問題。</p> <p>值得留意的是，採用此通路管理平臺的業者，包含多家知名的訂房網站，如Agoda、Booking.com、Expedia、Amadeus，以及Hotels.com等。<a href="https://www.ithome.com.tw/news/140998">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">瑞典保險公司不慎將百萬客戶資料外洩給Google等IT廠商，原因是員工操作不當</strong></h2> <p>瑞典最大保險公司Folksam於11月3日，坦承員工因操作不當，誤將約百萬名保戶的個資，傳給了合作的第三方廠商，包括Adobe、臉書、Google，以及微軟。不過，該公司並未說明發生問題的原因，也沒有說明遭洩露的敏感個資內容，Folksam只有承諾這種情況不會再度發生，未來只會將能分享的資訊提供給合作夥伴，同時他們也向當地主管機關通報。<strong><a href="https://www.ithome.com.tw/news/140919">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣主機託管業者捕夢網再度遭到來自國內IP位址發動的DDoS攻擊</strong></h2> <p>國內主機託管業者遭到分散式阻斷服務（DDoS）攻擊，導致用戶網站無法運作，這樣的情況曾在9月底，出現多家託管業者被大規模攻擊，類似攻擊如今又再度出現。捕夢網自11月2日至5日，接連遭到DDoS攻擊，其共通點是攻擊來源都是來自國內的IP位址。</p> <p>而針對此次攻擊事件，該公司連續於11月2日至4日，每天發出公告，指出攻擊大約在11時出現，他們也對於攻擊採取相關因應措施。然而，捕夢網告訴我們，由於攻擊流量日益增大，他們不只增加頻寬與導入流量清洗來因應，也向臺灣電腦網路危機處理暨協調中心（TWCERT/CC）和國家通訊傳播委員會（NCC）通報，協調ISP業者封鎖攻擊來源。<strong><a href="https://www.ithome.com.tw/news/140950">詳全文</a></strong></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/119-2-DDoS1102_Pumo.png" style="width: 400px;" /></p> <p>圖片來源：捕夢網</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路電視＃線上服務中斷</strong></span></h3> <h2><strong style="vertical-align: top;">線上影視平臺LiTV因遭到網路攻擊導致服務中斷</strong></h2> <p>線上影音平臺出現服務中斷的情況，有可能是因為遭到網路攻擊所致。11月8日，線上影視平臺立視（LiTV），於他們的臉書粉絲頁及應用程式App發布公告，表示他們偵測到網路異常，而啟動系統防護機制，可能使得部分用戶暫時無法收視。該公司後來於網站上再度發布公告，證實他們服務異常的原因，是遭到網路攻擊造成，經資安團隊處理後恢復正常。而對於受到影響的用戶，他們會延長服務3天以作補償。</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/119-3-CyberAttack_LiTV.png" style="width: 400px;" /></p> <p>圖片來源：立視</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/141006">新勒索軟體Pay2Key可在一小時內感染整個網路的電腦</a><br /> ●<a href="https://www.ithome.com.tw/news/141031">RansomExx勒索軟體開始瞄準Linux電腦</a><br /> ●<a href="https://www.ithome.com.tw/news/141025">誇稱全程加密誤導消費者遭起訴，Zoom承諾強化安全</a><br /> ●<a href="https://www.ithome.com.tw/news/141023">中國天府杯網路安全大賽於11月7日舉行</a></h3> </div></div></div>
2020/11/11 17:40作者周峻佑https://www.ithome.com.tw/news/141043
微軟正式發布.NET 5.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟現在發布.NET最新的主要更新版本5.0，之中也包含了C# 9以及F# 5，<a href="https://devblogs.microsoft.com/dotnet/announcing-net-5-0/" target="_blank">.NET 5.0</a>是微軟統一.NET版圖的第一個版本，可讓開發人員不用對.NET Framework程式碼進行大量更改，就能把程式搬遷到.NET 5.0，或也能將.NET Core早期版本，直接升級到.NET 5.0。</p> <p>微軟在2019年5月首度釋出.NET 5.0的消息，現在已經發布正式版，支援與.NET Core 3.1幾乎相同的平臺，更重要的是，.NET 5.0還新增支援Windows Arm64，並且強化.NET在Arm64上的執行效能。.NET 5.0的支援時間，僅到2021年11月.NET 6.0發布後3個月，而.NET 6.0將會是長期支援版本，像.NET Core 3.1一樣受微軟支援3年。</p> <p>雖然過去.NET已經支援眾多平臺，但在網頁和行動裝置的工具和API，並不相同也不會同時發布更新，因此即便都是以.NET進行開發，但是開發體驗還是不盡相同，而.NET 5.0的目的，是要讓開發者使用同一組API、語言和工具，就能開發廣泛的應用程式類型，包括行動、雲端、桌面和物聯網應用程式。</p> <p>在.NET 5.0，還有預計在明年發布的.NET 6.0，微軟要讓.NET提供一致的開發體驗，而且開發者可以僅選擇部分要使用的.NET平臺，像是要開發行動應用程式，開發者就可以不需下載像是WebAssembly等工具，反之亦然。微軟提到，實現一統.NET的願景，第一步是要整合.NET儲存庫，要在各平臺交付相同的程式，讓.NET Runtime和函式庫放置到同一個儲存庫是一個前提，這有助於對Runtime和函式庫進行大規模的更改。</p> <p>網頁應用程式框架Blazor，就在.NET 5.0進行了儲存庫整合，以及.NET統一化的工作，Blazor WebAssembly的Runtime和函式庫，就是從整合的dotnet/runtime儲存庫建置而來，微軟舉例，這代表在Blazor WebAssembly和伺服器上執行的Blazor，使用相同的List<T>程式碼，接下來微軟還會在.NET 6.0中，對Xamarin進行類似的變動。雖然微軟本來想要在.NET 5.0，實現完整的.NET統一願景，但是因為武漢肺炎疫情的影響，他們最後選擇在.NET 5.0和.NET 6.0兩版本，實現此願景。</p> <p>.NET 5.0擁有許多新功能，而特別的是，其支援的平臺新增Windows Arm64，也就是說，.NET應用程式現在可以於Windows Arm64上原生執行，而這是在.NET Core 3.0支援Linux Arm64以來，.NET 最新對Arm64平臺的支援。</p> <p>開發者可以利用.NET 5.0開發，可在Surface Pro X等Windows Arm64裝置上執行的程式，微軟提到，雖然在Windows Arm64上，可以透過x86模擬執行.NET Core和.NET Framework應用程式，但是原生執行的效能還是好上許多。</p> <p>微軟提到，他們在.NET平臺提供可移植性和一致性，因此在.NET Core 3.x中，Arm64與x64擁有相同的功能，不過，因為Arm64的支援缺乏一些重要的效能改進，.NET在Arm64上的效能跟不上x64平臺，而在過去一年，微軟提高對Arm64效能的投資，現在.NET 5.0在Arm64平臺上的效能，已經有很大的進步。</p> <p>大致上.NET 5.0與.NET Core 3.1支援的平臺幾乎相同，在支援.NET Core 3.1的作業系統上，大多數情況在同一作業系統也能使用.NET 5.0。對Visual Studio用戶來說，必須要有Visual Studio 16.8或更高版本，才能在Windows上使用.NET 5.0，在Mac則要使用最新版本的Visual Studio for Mac，Visual Studio Code的C#擴充套件，則是已經支援.NET 5.0和C# 9。</p> </div></div></div>
2020/11/11 16:30作者李建興https://www.ithome.com.tw/news/141042
RansomExx勒索軟體開始瞄準Linux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商卡巴斯基<a href="https://securelist.com/ransomexx-trojan-attacks-linux-systems/99279/" target="_blank">發現</a>，最近十分猖獗的勒索軟體RansomExx，已經開始將目標轉向Linux系統。</p> <p>卡巴斯基近期發現一隻加密檔案的木馬程式，它以ELF執行檔方式流傳騙取用戶安裝執行，目的在加密Linux環境下的檔案。經過程式碼分析、以及該木馬作者留下的訊息及勒索手法，顯示就是今年十分活躍的RansomExx。</p> <p>RansomExx是向來鎖定大公司為主，今年來已經有<a href="https://www.ithome.com.tw/news/139456" target="_blank">Konica Minolta</a>、美國公家機關最大供應商的<a href="https://www.ithome.com.tw/news/140173" target="_blank">Tyler</a>遭到毒手，本周<a href="https://www.ithome.com.tw/news/140999" target="_blank">巴西最高上訴法院</a>被駭也是RansomExx所為。</p> <p>RansomEXX是精準攻擊的勒索軟體，每一隻樣本都會寫入受害目標的名字、而加密檔案副檔名及電子郵件也都是由受害組織名稱組成。根據木馬樣本使用的程式碼組織方式和加密手法判斷，和Windows版RansomEXX來自相同程式碼。卡巴斯基因而將樣本命名為Trojan-Ransom.Linux.Ransomexx。</p> <p>一旦被用戶開啟，Linux版RansomEXX會產生256-bit AES金鑰來加密所有找得到的檔案，而這把AES金鑰還以一把嵌在木馬程式主體的RSA-4096公鑰加密。它還會每0.18秒重新產生及重加密AES金鑰。</p> <p>但有趣的是，研究人員發現，該樣本除了留下加密訊息外，一般木馬程式會有的招式，像是反分析、建立C&C連線、終止行程執行等都沒有。另外，如果受害單位付了贖金，還會同時拿到Linux及Windows版解密金鑰。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomexx-ransomware-also-encrypts-linux-systems/" target="_blank">Bleeping Computer</a>引述安全廠商Emsisoft報導，Linux版RansomEXX可能今年7月、甚至更早便開始流傳。</p> </div></div></div>
2020/11/10 16:30作者林妍溱https://www.ithome.com.tw/news/141031
鎖定Linux伺服器與IoT裝置的新殭屍蠕蟲Gitpaste-12現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網通設備業者Juniper旗下的威脅實驗室近日揭露了一個新的殭屍蠕蟲<a href="https://blogs.juniper.net/en-us/threat-research/gitpaste-12" target="_blank">Gitpaste-12</a>，指稱該病毒目前鎖定基於Linux的x86伺服器，以及基於Linux ARM與MIPS的IoT裝置展開攻擊，Gitpaste-12的名稱來自於它同時藉由合法的GitHub與Pastebin網站來代管元件，且迄今至少已有12種不同的攻擊模組問世。</p> <p>根據該威脅實驗室的調查，Gitpaste-12利用11個已知漏洞及Telnet暴力破解進行散布與感染，它們多數為路由器漏洞，也有Struts及Mongo漏洞，還具備蠕蟲的複製及感染能力。</p> <p>一但成功入侵系統，Gitpaste-12就會設定一個自Pastebin下載的排程（cron job），以平均每分鐘一次的頻率呼叫並執行腳本程式，並於攻擊行動中上傳一個主要的介殼腳本程式至受害者系統上以下載及執行其它的cron job元件，繼之再至GitHub下載並執行shadu1腳本程式。</p> <p>至此，Gitpaste-12的行為都是用來部署攻擊環境，例如shadu1便是用來關閉系統上的各種安全功能，從防火牆規定，Linux安全模組SELinux與AppArmor，一直到常見的攻擊預防及監控軟體等。此外，shadu1腳本程式中的註解都是以簡體中文撰寫。</p> <p>該實驗室所發現的其中一個攻擊案例是關閉了雲端安全機制，顯示它主要是用來攻擊由阿里雲及騰訊所提供的公有雲端運算基礎設施，其它能力還包括執行門羅幣的挖礦任務。</p> <p>Juniper威脅實驗室是在今年的10月15日發現Gitpaste-12，旋即通報Pastebin與GitHub，相關的URL及儲存庫都已在10月30日被關閉，暫時阻止了Gitpaste-12殭屍網路的擴散。</p> </div></div></div>
2020/11/9 14:30作者陳曉莉https://www.ithome.com.tw/news/141003
IT人才月報第9期：Azure落地臺灣，微軟在地工程團隊要先招募這9種職缺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1009~1104)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣Azure資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衍生工作機會 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Azure機房落地臺灣大徵才，微軟在地工程團隊要先招募這9種職缺</strong></span></strong></p> <p>微軟10月底宣布將在臺灣興建雲端資料中心，也將成立150人規模的的Azure雲端硬體與基礎建設（AHSI）團隊，早從9月初開始，在總部招募網站就開出相關職缺。微軟全球有超過100個資料中心，伺服器數量超過1百萬臺，更有一個專門研發Azure硬體的工程團隊AHSI，全球人數超過3千人，微軟預計用2年時間，採取1：1對應的方式，建立一個和美國總部AHSI團隊一樣配置和功能的團隊，讓臺灣團隊完全具備美國總部AHSI的研發能力，來進行研發、測試或解決方案設計。據點將設置在板橋。</p> <p>從微軟總部人才招募網站上可以看到，早從9月開始，微軟總部就陸續公告了臺灣雲端硬體基礎架構工程團隊（Cloud Hardware Infrastructure Engineering，CHIE）的招募需求，將負責建立和維運新機房的<a href="https://careers.microsoft.com/us/en/job/927082/Datacenter-Operations-Manager">資料中心維運主管</a>、<a href="https://careers.microsoft.com/us/en/job/908948/Senior-SW-Program-Manager">軟體資深技術PM</a>、<a href="https://careers.microsoft.com/us/en/job/898681/Software-Engineer-II-Firmware">韌體軟體工程師</a>、提供關鍵企業技術支援的Azure快速反應小組（Azure Rapid Response，ARR）的<a href="https://careers.microsoft.com/us/en/job/909005/Support-Escalation-Engineer-ARR">升級支援工程師</a>。另外也會設立一個雲端硬體製造工程團隊（Cloud Hardware Manufacturing Engineering，CHME），要招募包括10年經驗<a href="https://careers.microsoft.com/us/en/job/910250/Senior-Hardware-Engineer">雲端伺服器資深硬體工程師</a>、<a href="https://careers.microsoft.com/us/en/job/897844/HW-Manufacturing-Quality-Engineer-All-levels-Cloud-server">雲端伺服器硬體製造品質工程師</a>、<a href="https://careers.microsoft.com/us/en/job/909284/Sr-Program-Manager-Cloud-Server">雲端伺服器資深PM</a>、<a href="https://careers.microsoft.com/us/en/job/928291/Data-Engineer-HW-Manufacturing-All-levels">硬體製程優化的資料工程師</a>、<a href="https://careers.microsoft.com/us/en/job/902580/HW-Manufacturing-PCBA-Quality-Engineer-All-levels-Server">PCBA硬體製程品質工程師</a>。 </p> <p><p></p></p> <p>儘管微軟沒有揭露太多投資規模和細節，但根據IDC預估，在臺興建一座雲端資料中心，微軟以及周邊生態系的當地投資支出規模，達到13億美元之高。進一步依此來推估，未來4年，微軟和相關雲端生態系可以創造出3000億元的產值和3萬個工作機會。（<a href="https://www.ithome.com.tw/news/140741" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國H-1B簽證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術人才流動 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>美46家科技業者反對政府提高H-1B簽證門檻，憂人力成本再提升</strong></span></strong></p> <p>美國勞工部（DoL）與國土安全部（Department of Homeland Security，DHS）在10月上旬公布了一項規定，稱為「暫時最終規則（Interim Final Rule，IFT）」，要透過提高專業工作類簽證H-1B的申請門檻，來達到保障美國勞工工作權的目的，美國白宮也表示支持。然而，美國商會（USCC）以及其它12家組織與大學卻對此持反對意見，更有46家企業藉由意見陳述書（Amicus Brief）聲援，包括微軟、Google、蘋果、Amazon、臉書、Adobe、HP及Twitter等重量級科技業者。</p> <p>科技業者在意見陳述書中指出，H-1B簽證替美國經濟與勞工帶來了巨大利益，因為這些技術勞工促進了美國的創新，提高了生產力與美國經濟規模。然而，DoL與DHS新訂的簽證申請規則，將大幅降低企業聘雇這些技術勞工的能力，一名DHS官員就估計，新的規則將打回超過三分之一的H-1B簽證。</p> <p>儘管美國政府希望透過此舉來加強國內勞工的聘雇，但科技業者強調，這些失去的人力，是美國勞工無法填補的職缺，因為大多數持有H-1B簽證者都在資訊部門工作，而美國這類工作者的失業率很低。因此，這項法案反而會對企業<span style="white-space: pre-wrap;">帶來更高的人力成本，在某些情況下，更會迫使公司不得不</span><span style="white-space: pre-wrap;">將工作轉移到美國境外。（<a href="https://www.ithome.com.tw/news/140874" target="_blank">詳全文</a>）</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全球AI人才報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI人才庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國H-1B簽證 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>一項全球AI人才報告指出，美國吸引AI人才的優勢正受到簽證政策影響而下降</strong></span></strong></p> <p>過去曾創辦兩家AI公司並成功販售，2016年又與深度學習三巨頭之一的Yoshua Bengio，共同創辦AI新創Element AI的JF Gagne，近期與他的研究團隊發布了2020年全球AI人才報告，同時也是第三年發表這項研究。</p> <p>研究團隊在今年的研究方法中，納入全球最大電腦科學論文平臺arXiv中所有發布AI論文的作者，來進行全球人才分布的統計。報告中顯示，去年發布AI論文的近5萬8千名作者中，隸屬於美國企業或組織的AI研究者最多，達到2萬6千多名，再來是中國、英國、法國、德國等國家；若將4種AI專業角色納入AI人才庫，包括AI研究人員、AI/ML工程師、資料工程/架構師、AI/ML產品化專家，總共47萬8千多名AI人才中，美國人才的供應最多，有超過18萬人，第二是印度，也有高達8萬多人，再來才是英國、中國與法國。</p> <p>這份報告也提到了AI人才趨勢的5大觀察，其中一項提到，人才是全球流動性的，雖然疫情與遠距工作可能讓人才遷徙的腳步暫停，但人才流動的狀況確實能反映出哪些國家具有較大的拉力，較能吸引人才進入，比如美國就擁有最大的拉力來吸引人才。不過，報告也分析，美國的拉力也正在受到簽證政策影響而下降，反而為鄰近國家創造機會，若是已經跨國設立實驗室的高科技公司，較能減輕政策帶來的影響。（<a href="https://jfgagne.ai/blog/5-highlights-from-the-2020-global-ai-talent-report/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-11-06%20%E4%B8%8B%E5%8D%883_01_02.png" style="width: 700px;" /></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-11-06%20%E4%B8%8B%E5%8D%883_01_18.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才虛擬化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 白板Coding </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術人才招聘新方法 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><b>將白板Coding虛擬化，印度新創找出技術人才招聘新方法</b></span></p> <p>武漢肺癌疫情期間，不只是員工轉為遠距工作，企業徵才也更善用視訊工具，來進行線上面試甚至員工訓練，這也讓一些企業嗅到商機，推出虛擬招募的解決方案。其中一家在2015年開始提供線上徵才產品的印度企業iMocha，今年7月也推出了一項新產品，專門為工程師徵才需求設計了即時程式編寫平臺（Live Coding Platform），讓技術人員的面試也能線上進行。</p> <p>這是因為，許多科技公司招聘技術人員時，通常會設置一個面對面的白板coding環節（whiteboard coding），讓求職者將程式寫在白板上來回答問題，面試官也會隨機與受試者互動，進行技術交流，這個傳統也讓部分科技公司在面試工程師時，仍維持面對面進行，但這項新產品，能讓這個考驗工程師臨場解題能力的環節，也能在線上實現。</p> <p>根據<a href="https://www.interviewmocha.com/platform/live-coding-interview" target="_blank">iMocha官網</a>的資訊，這個平臺提供了三大功能，第一是內建的程式編輯器，提供超過20種程式語言及其預定義的程式段（Stubs），第二是即時協作的功能，也就是在視訊的過程中，面試官可以遠端修改受試者的程式內容，平臺也提供自定義輸入的功能來改善程式編寫效率，還能即時編譯來查看結果，第三，則是讓面試官能快速對每位受試者的能力評分，還能重複播放受試者寫程式的過程。（<a href="https://news.microsoft.com/en-in/features/imocha-indian-startup-reimagines-the-way-the-world-hires-tech-talent/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-11-06%20%E4%B8%8B%E5%8D%885_13_03.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linux </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源工作報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源專業人才 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><b>Linux發布的開源工作報告指出，企業對開源專業人才的需求日益強勁</b></span></p> <p>Linux基金會和非營利線上課程平臺edX最近發布了一份2020年開源工作（Open Source Job）報告。這份報告指出，具備開源軟體相關技能者，已經成為企業越來越需要的人才，尤其在今年，有81%的企業主管都表示，將優先聘僱具有開源技能專業的人才，也有56%的主管正在規劃增加這類人力。但在疫情的衝擊下，開源人力聘僱仍受影響，有41%的主管採取減少聘僱的措施，也有4%主管展開裁員。</p> <p>在所有開源的技能中，74%企業最迫切需要具備Linux技能的人才，65%企業要找更多具備DevOps技能的人才，更有63%企業表示，正在找能用開源軟體來架構出解決問題的員工。疫情期間，這些熟悉開源技術的人才，也希望能學習更多相關技能，並獲取相應的技術認證，根據報告的統計，有70%的企業表示，員工要求企業提供更多開源技能的線上課程資源。（<a href="https://training.linuxfoundation.org/resources/2020-open-source-jobs-report/" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作體驗指數 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><b>Slack發布涵蓋6個國家的遠距工作調查，72%員工喜歡遠距與辦公室</b></span><b style="font-size: 22px;">混搭的</b><span style="font-size: 22px;"><b>工作型態</b></span></p> <p>Slack在10月初發表了一份遠距工作調查報告，這是Slack委託了市場研究公司GlobalWebIndex，調查了9,000多筆涵蓋美國、英國、法國、德國、日本與澳洲等國知識工作者的資料。這份調查中顯示，絕大多數的知識工作者（72%）更喜歡在家與辦公室混搭的工作模式，僅有12％的人希望一直在辦公室工作、13％的人希望在家裡全職工作，這是因為，員工對於在同一個環境進行所有工作的熱情，已經大不如前。</p> <p>這項調查也同時呈現了「遠距員工體驗指數（The Remote Employee Experience Index，REEI）」，共搜集了4,700位遠距工作者的回覆，統計後再以指數形式呈現。從中可以觀察到，擁有不同遠距工作經驗的員工，從辦公室轉換到遠距工作的體驗也不同，曾有三個月以上遠距工作經驗的員工，在過渡期受到的影響較小；另一項觀察，則是帶小孩的女性員工，比起帶小孩的男性員工，更難以在工作與生活中取得平衡。（<a href="https://slack.com/intl/en-tw/blog/collaboration/workplace-transformation-in-the-wake-of-covid-19" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202020-11-06%20%E4%B8%8B%E5%8D%886_51_50.png" style="width: 692px;" /></p> <blockquote><p>大多數受試者更愛混搭的工作形式。</p> </blockquote> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 後疫時代 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業人力招聘預測 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><b>Linkedin針對後疫時代的人力招聘方式提出6大預測</b></span></p> <p>Linkedin近期發佈了一份報告，針對武漢肺炎疫情後的人力招聘方式轉變，提出6種預測。報告中採納了1,500位人才專家的意見，包含Linkedin內部平臺的數據以及深度專訪內容。</p> <p>首先，Linkedin指出，企業招聘的人力將越來越少，但內部流動性（internal mobility）將越來越高，比起從人力市場上找到具有特定技能的人才，企業將開始從內部著手，先將現有員工的技能分類，再透過學習與發展計畫，與HR合作培訓現有員工的特定能力，讓員工可以填補企業內其他技能的空缺。這個做法也將改變人才聘用標準，比如面試時優先考慮受試者的潛能、適應能力與解決問題的能力，而不是他們完成特定任務的技術能力。</p> <p>Linkedin做出的其他5項預測，還包括透過更多元的招聘來擴大人才庫（多元性別、跨族群）、擴大虛擬招聘、直接招聘遠距工作者、企業對員工的品牌形象將影響招聘（比如在危機時對員工的支持）、招聘團隊也需建立新能力等趨勢。（<a href="https://business.linkedin.com/talent-solutions/blog/future-of-recruiting/2020/future-of-recruiting?utm_campaign=TALENT%20EDGE%20WEEKLY&utm_medium=email&utm_source=Revue%20newsletter" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/internal-mobility-increased-20-percent.png" style="width: 700px;" /></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／JF Gagne部落格、iMocha官網、Slack、Linkedin</p> <p>資料來源：iThome整理，2020年11月</p> </div></div></div>
2020/11/9 14:45作者翁芊儒https://www.ithome.com.tw/news/140957
7.1.1版以前的Android 裝置2021年9月起將不支援Let's Encrypt憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>免費憑證機構Let's Encrypt 上周<a href="https://letsencrypt.org/2020/11/06/own-two-feet.html" target="_blank">警告</a>手機跑Android 7.1.1版的用戶，明年9月1日起有約1/3 Android裝置會出現憑證錯誤問題。Let's Encrypt也呼籲用戶升級舊版Android、也希望網站管理員更新憑證。</p> <p>一些新進入市場的根憑證機構（root certificate authority，root CA）為了加速普及，乃藉由與現有CA業者交互簽章（cross-signature）的方式擴大在OS及瀏覽器的信任範圍。Let's Encrypt也是如此。</p> <p>Let's Encrypt 5年前<a href="https://www.ithome.com.tw/news/96871" target="_blank">進入</a>市場時，就是和IdenTrust採行交互簽章，它的DST Root X3在市場流通已久為主要平臺，包括Windows、macOS、Android、iOS及多種Linux發行版信任。交互簽章使Let's Encrypt得以立即發行憑證ISRG Root X1。</p> <p>Let's Encrypt首席開發人員Jacob Hoffman-Andrews指出，現在Let's Encrypt已經在市場站穩腳步，但同一時間，和其憑證交互簽章的DST Root X3卻將在2021年9月1日到期。這對使用Let's Encrypt憑證的新版作業系統來說並沒有什麼影響，但卻會對一些透過交互簽章信任其憑證的早期作業系統引發相容性問題。</p> <p>某些OS軟體從2016年以後就未再更新，就不會信任ISG Root X1根憑證。其中最重要的是7.1.1版本以前的Android版本。這表示這些Android裝置明年9月1日起，就無法再信任Let's Encrypt發行的憑證。</p> <p>由於Android升級權主要掌握在裝置製造商及電信業者手中，致使有相當大比例的裝置跑的是舊版的Android。根據Google 2020年9月的統計，搭載Android 7.1以上版本的裝置占66.2%，表示有33.8%的Android裝置從明年9月起造訪使用Let's Encrypt憑證的網站時，會出現憑證錯誤情形。根據使用Let's Encrypt憑證的大型整合商的統計，這些網站大約占了他們1-5%的流量。</p> <p>為了解決可能到來的憑證錯誤問題，Let's Encrypt計畫從2021年1月11日起，Let's Encrypt將變更API，使ACME用戶端軟體除了預設送出導向ISRG Root X1的憑證串鏈（certificate chain），同樣憑證也能送出導向DST Root X3的憑證串鏈。這是透過為ACME用戶端軟體加入「另類」連結關聯（link relation）實作而成，達到相容目的。目前已有Certbot 1.6.0以上版本支援這項功能。</p> <p>對終端用戶，Let's Encrypt建議舊版Android用戶升級OS，再不然就安裝Firefox Mobile。這是因為Mozilla是Let's Encrypt 的根憑證夥伴之一。</p> <p>對於網站持有人，Let's Encrypt提醒他們檢查所用的其他ACME用戶端是否支援另類連結關聯，也鼓勵網站持有人部署暫時性的解法，即轉到其他憑證串鏈。長期解決方案包括要求網站持有人將（舊版Android裝置的）網站連線降到HTTP、轉到其他CA、停止支援舊版Android，或是要求Android用戶升級裝置的OS（或安裝Firefox）。若網站是代管在其他基礎架構上，則最好問問代管廠商是否有用DST Root X3憑證而會在明年9月過期的問題。</p> </div></div></div>
2020/11/9 09:30作者林妍溱https://www.ithome.com.tw/news/140991
思科揭露已有攻擊程式問世的AnyConnect零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科本周<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-anyconnect-ipc-KfQO9QhK" target="_blank">揭露</a>，旗下專供遠端用戶存取企業網路的AnyConnect客戶端程式藏有CVE-2020-3556安全漏洞，成功的開採將允許駭客執行任意的腳本程式，而且已有概念性攻擊程式問世，思科於本文發布前尚未修補該漏洞，亦無暫時解決措施，但也尚未接獲惡意攻擊報告。</p> <p>AnyConnect Secure Mobility Client為一可供遠端用戶藉由VPN存取企業網路的程式，它支援各種裝置，但此次的漏洞只出現在Windows、macOS及Linux版的程式上。</p> <p>思科說明，CVE-2020-3556漏洞是因行程間通訊（Interprocess Communication，IPC）Listener缺乏認證所致，駭客可藉由傳遞一個特製的IPC訊息到AnyConnect客戶端的IPC Listener進行開採，成功的開採將允許駭客基於被害者權限執行腳本程式。</p> <p>不過，開採該漏洞有幾個先決條件，包括駭客必須於正在進行的AnyConnect期間展開攻擊，同時駭客也必須具備與受害者同一系統的有效憑證，此外，程式必須同時啟用自動更新（Auto Update）及允許腳本程式的執行。在AnyConnect Secure Mobility Client的預設值中，自動更新是啟用的，但腳本程式是關閉的。</p> <p>因此，就算思科尚未修補，也未提出暫時補救措施，但使用者只要關閉自動更新功能也能緩解該漏洞，假設不能關閉自動更新，封鎖腳本程式的執行亦能減輕攻擊表面。</p> </div></div></div>
2020/11/5 15:40作者陳曉莉https://www.ithome.com.tw/news/140945
Oracle Solaris重大零時差漏洞遭駭客開採，曾潛伏企業內長達2年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又一項甲骨文軟體漏洞遭到開採。安全廠商<a href="https://www.fireeye.com/blog/threat-research/2020/11/live-off-the-land-an-overview-of-unc1945.html" target="_blank">發現</a>，Oracle Solaris Server一個風險10.0的零時差漏洞，在2年前便有駭客組織開採並駭入企業網路，直到最近才被發現及修補。</p> <p>FireEye旗下研究單位Mandiant發現這項漏洞及作亂駭客並通報甲骨文。代號UNC1945的駭客組織，過去就被發現會鎖定Solaris、但攻擊目標也包括Windows、Linux，或VM，還具有迴避偵測的高超技術。</p> <p>2018年Mandiant團隊首次發現UNC1945曾駭入一家企業的Solaris 10伺服器，植入後門程式以截取用戶連線帳密及相關資訊。今年中，研究人員再度發現，這家企業的另一臺Solaris 9伺服器連向駭客控制的主機，根據一些證據，顯示這個駭客已在這家公司網路上潛伏了519天。研究人員也發現UNC1945和這臺Solaris 9之間建立了SSH服務連線。</p> <p>在今年的駭入行動中，UNC 1945是利用市售的Evilsun遠端攻擊套件，這個套件包含一個針對Solaris的漏洞開採工具成功駭入網路。研究人員分析，Evilsun可能來自於今年4月在黑市網站出現名為Oracle Solaris SSHD Remote Root Exploit的攻擊套件，當時掛牌價為3,000美元。</p> <p>Mandiant隨後將發現的漏洞，即編號CVE-2020-14871通報甲骨文。這個漏洞存在Solaris插入式驗證模組（Pluggable Authentication Modules，PAM）中，允許攻擊者以多種協定開採並入侵Solaris，而且研究人員判斷攻擊者不需驗證也能遠端開採，CVSS 3.1風險評分達10.0。</p> <p>在駭入Solaris 9後，UNC 1945先後植入不同後門程式執行不同任務，包括以Slapstick蒐集密碼、用作升級權限及長期潛伏，而利用Lemonstick執行指令、檔案傳輸及建立SSH通道連線。之後它還丟進特殊VM以引入多種網路掃瞄、偵察及攻擊工具，以及具有修改檔案時間及清除log以躲避偵探的工具程式。</p> <p>FireEye並未透露這家受害企業的產業，但另一家安全公司曾發現它攻擊金融及專業顧問業。至於UNC1945駭入Solaris的目的為何，FireEye尚不得而知，目前推斷會把駭入受害者系統的整個網路賣給另一個駭客組織。</p> <p>甲骨文已在<a href="https://www.oracle.com/security-alerts/cpuoct2020.html" target="_blank">10月的季度更新</a>中予以修補。這是甲骨文繼WebLogic Server<a href="https://www.ithome.com.tw/news/140888" target="_blank">多項漏洞</a>後，最新一個被開採的軟體。</p> </div></div></div>
2020/11/4 13:45作者林妍溱https://www.ithome.com.tw/news/140915
Google再修補10個Chrome安全漏洞，當中一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周一（11/2）<a href="https://chromereleases.googleblog.com/2020/11/stable-channel-update-for-desktop.html" target="_blank">釋出</a>了支援Windows、macOS與Linux的Chrome 86.0.4240.183，該版並無任何功能上的更新，且是Google繼於10月6日發表Chrome 86以來，第二度緊急更新Chrome，以修補重大的安全漏洞，並警告當中的CVE-2020-16009漏洞攻擊程式已經現身。</p> <p>CVE-2020-16009漏洞牽涉到Chromium專案所開發的開源JavaScript引擎V8，不當的實作將引發遠端程式攻擊漏洞，Google並未公布漏洞細節，僅說該漏洞是由自家Project Zero的Samuel Groß與威脅分析團隊的Clement Lecigne所發現。</p> <p>這次的Chrome總計修補了10個安全漏洞，當中至少有7個被列為高度（High）風險漏洞，除了CVE-2020-16009之外，還包括使用者介面上的釋放後使用漏洞CVE-2020-16004、ANGLE中的政策執行不足漏洞CVE-2020-16005、安裝程序中的資料驗證不足漏洞CVE-2020-16007、WebRTC中的堆疊緩衝區溢位漏洞CVE-2020-16008、Windows介面中的堆積緩衝區溢位漏洞CVE-2020-16011，以及另一個V8實作不當漏洞CVE-2020-16006。</p> <p>Google在10月6日釋出的Chrome 86便已修補了35個安全漏洞，但只有一個屬於高度風險等級，10月20則額外修補5個漏洞，有4個屬於高度風險，本周再修補10個安全漏洞，至少有7個被列為高度風險，讓Chrome 86所修補的安全漏洞總數達到50個。</p> </div></div></div>
2020/11/4 10:55作者陳曉莉https://www.ithome.com.tw/news/140912
【運用SmartNIC技術重新定義資料中心基礎架構】幫SmartNIC找到殺手級應用，Nvidia力推多用途運算卸載技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Mellanox旗下產品中，大家較熟悉的是乙太網路與InfiniBand的網路介面卡、交換器、互連纜線與收發器，在超大規模資料中心、高效能運算領域，佔有一席之地。</p> <p>不過，Mellanox仍有一個系列產品遲遲未受到各界關注，那就是BlueField。這系列產品是在2016年6月問世，後續主打NVMe over Fabrics、SmartNIC等應用，對應儲存與網路需求，並稱其為可程式化處理器或可程式化介面卡。</p> <p><span style="font-size:28px;"><strong>DPU不再坐冷板凳，定位明確，可望跨入資料中心基礎設施領域</strong></span></p> <p>到了2018年，Mellanox改以DPU來稱呼BlueField。然而，性能比SmartNIC性能更為強大的DPU，實際應用仍難與SmartNIC區隔，直到今年10月，Nvidia終於幫這類產品找到明確的使用定位，還能搭配企業級系統軟體平臺，實用性可望大增。目前DPU包含哪些產品呢？</p> <p><span style="color:#800000;"><strong>BlueField-2</strong></span></p> <p>這款DPU產品早在VMware去年8月底舉辦的VMworld大會期間，就與ConnectX-6 Dx一起亮相，而在本次的GTC大會期間，Nvidia創辦人暨執行長黃仁勳正式介紹它，並以「晶片上的資料中心基礎架構來形容。</p> <p>在架構上，黃仁勳提到，BlueField-2能夠進行安全的運算處理，將應用程式範圍，從IT基礎設施的範圍間隔，可儲存加密金鑰，並且加速SHA-256認證與加密協定處理，而且能夠執行正規表示式與深度封包檢測，可用於應用程式辨識、入侵防護、網站應用程式防火牆，以及從頻外（out-of-band）角度來進行的惡意軟體偵測，它也能支援NVMe儲存應用，可支援伸縮式區塊儲存、區塊儲存加密、重複資料刪除、壓縮。</p> <p>Nvidia認為，若純用中央處理器，提供上述這些功能且達到100 Gbps效能，可能會用到125顆處理核心才足夠。</p> <p>黃仁勳強調，BlueField-2是可程式化的資料中心晶片，Nvidia將長期支援。</p> <p><span style="color:#800000;"><strong>DOCA</strong></span></p> <p>這是專為BlueField而設的軟體開發套件（SDK），當中整合了多種開放API，像是用於網路的DPDK、用於儲存的SPDK、用於封包處理的P4，以及Nvidia發展的CUDA、AI軟體應用。</p> <p>如何讓DPU能夠支援更多應用，軟體支援的發展將是關鍵。黃仁勳特別以他們長期發展的CUDA來類推DOCA，表示兩者具有同樣性質，並稱其為可程式化資料中心基礎設施處理器架構，開發者可用它來撰寫軟體定義網路系統、軟體定義儲存系統、網路安全防護系統、遙測（遠端集中管理），以及網路內運算（In-Network Computing）。</p> <p>他強調，DOCA將完全相容與無縫整合到主要的作業系統及Hypervisor，而基於DOCA寫成的應用程式，可執行在BlueFileld-2及後續BlueField版本。</p> <p>另一個DPU前景看好的消息，是Nvidia與VMware在9月底宣布的合作，該項計畫稱為Project Monterey，黃仁勳也在隔周舉行的GTC大會重申此事，因為這項計畫能否奏效的關鍵正是Nvidia DPU。他說，「我們要將VMware移植到BlueField上，誠如BlueField是資料中心基礎設施的處理器，而VMware是資料中心基礎設施的作業系統，我們的合作將重新定義資料中心。」他強調，Nvidia能將虛擬化、網路、儲存、資安等工作，卸載到BlueField，實踐分散式的零信任安全運算，讓全球數千萬臺伺服器的效能與安全防護，獲得大躍進。</p> <p>基於雙方的合作，有機會將軟體定義資料中心的架構提升至新的境界，若要促成這樣的發展，兩家公司都是關鍵，因Nvidia握有BlueField-2資料處理器、DOCA軟體開發套件，VMware掌控作業系統平臺，各擁有可程式化資料中心基礎設施平臺的一部分。</p> <p><span style="font-size:28px;"><strong>Nvidia牽線，系統軟體廠商與伺服器業者都將支援</strong></span></p> <p>為了拓展DPU的應用，Nvidia也找來許多廠商與其合作。舉例來說，與VMware合作研發的Project Monterey，將促使軟體定義資料中心平臺VMware Cloud Foundation（VCF）支援SmartNIC/DPU技術，他們也將針對VCF進行重構，實現伺服器處理的分散運作，並支援裸機型態的伺服器部署。在這樣的架構下，應用程式的工作負載可執行在一臺實體伺服器，所耗用的協同處理器硬體加速資源，則是坐落在其他實體伺服器，分散負載。</p> <p>同時，ESXi這個Hypervisor虛擬層會執行在SmartNIC/DPU當中，VMware表示，不只是ESXi，連帶儲存虛擬化平臺vSAN、網路虛擬化平臺NSX，都是直接執行在SmartNIC當中的Arm處理器，而且是處於持續（persistent）執行狀態，但此時企業仍然可用單一管理框架來控制所有運算基礎設施，並將網路、儲存、資安防護等功能，從原本需集中在主要的伺服器執行，改而釋放到SmartNIC/DPU執行，因此，這些功能的漏洞修補與升級作業，可獨立於伺服器之外執行，無需與Hypervior相依。</p> <p>Project Monterey能否順利推動，除了要克服技術層面的挑戰，廠商、市場生態系統的支持也是關鍵，而這項計畫的主要成員，目前除了VMware、Nvidia，還有英特爾、Pensando Systems，戴爾科技集團、HPE、聯想等伺服器廠商也將基於這個計畫，推出整合系統。</p> <p>單就BlueField-2而言，Red Hat、Canonical這兩大Linux OS開發商，計畫或宣布支援BlueField-2。網路防火牆廠商Check Point也宣布整合BlueField-2，該公司旗下的Infinity Next Nano Agent代理程式軟體搭配DPU之後，可在不需損耗伺服器CPU資源的狀態下，針對伺服器進行微分段（Micro-Segmentation t）等多種安全防護。</p> <p>在硬體伺服器的部份，Nvidia也號召多家廠商與其合作，華碩、Atos、戴爾科技集團、富士通、技嘉、新華三、浪潮、聯想、廣達／雲達、Supermicro等公司，都計畫推出整合DPU的伺服器。</p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>若要發揮DPU的潛能，能否獲得足夠的軟體相容性與相關支援，將會是另一個關鍵，Nvidia在此提供了DOCA架構，當中包含多種加速處理的軟體開發套件。</strong></span></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了拓展DPU的企業級應用與提升伺服器虛擬化平臺的效能，Nvidia與VMware展開密切合作，他們將透過「Project Monterey」，讓DPU能夠以持續的方式執行VMware的ESXi、vSAN、NSX，如此可從原本過於集中於伺服器端CPU的架構，轉為搭配DPU的分散、協同處理架構。</strong></span></p> </div></div></div>
2020/10/29 07:00作者李宗翰https://www.ithome.com.tw/news/140739
適用於Linux桌面的1Password釋出測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AgileBits開發的密碼管理軟體<a href="https://blog.1password.com/1password-for-linux-beta-is-now-open/">1Password</a>，現在向Linux桌面用戶釋出了第一個Beta測試版本，使用者可以在Linux桌面，使用1Password查詢、編輯和組織密碼。官方也提到，他們預計會在明年初釋出正式版。</p> <p>這個Linux版本的1Password，使用Mozilla力推的程式語言Rust開發而成，並且使用高安全性的環形（Ring）加密函式庫，提供端到端加密功能。這個版本因為使用了全新的設計語言，因此外觀跟使用體驗比以往更好，其提供了快速查詢與智慧搜尋建議，讓使用者方便找到想查詢的項目，另外，也提供監控儀表板，能夠建議使用者改進安全的方法。</p> <p>1Password for Linux與作業系統良好整合，用戶可以使用使用apt和dnf套件管理器快速安裝1Password，1Password也會根據GTK主題，自動選擇深色與淺色模式，用戶能夠使用Linux的使用者帳號，包括以生物特徵辨識來解除鎖定，整合X11剪貼簿，並且支援鍵盤快捷鍵。</p> <p>目前1Password for Linux由於還在測試階段，因此官方不建議用戶將其用在重要工作上，另外，由於1Password for Linux建構於多個開源專案之上，所以AgileBits決定回饋自由軟體社群，供開源專案貢獻者免費使用1Password。</p> </div></div></div>
2020/10/23 17:00作者李建興https://www.ithome.com.tw/news/140703
資安一周第116期：木馬程式Emotet攻擊出新招。中國駭客意圖利用公有雲服務掩護攻擊美國總統候選人的意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1015-1021 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃木馬程式攻擊 </strong></span></h3> <h2><strong style="vertical-align: top;">以Windows更新為誘餌，Emotet惡意程式攻擊出現新手法</strong></h2> <p>近期大肆發動攻擊的木馬程式Emotet，主要的感染途徑是透過電子郵件的附件惡意Word文件。此文件若只是檢視內容，並不會受害，但因本文內容提到武漢肺炎、求職者履歷表、訂單等名義，乃至於先前川普染疫的時事，以此誘導受害者開啟Word提示的「啟用內容」與「啟用編輯」等功能按鍵，即可繞過Word應用程式的防護措施，以便Emotet進行後續的攻擊行動。但根據ZDNet與Bleeping Computer等新聞網站報導，現在有研究員發現，駭客發動Emotet木馬攻擊又出現新的手法，要使用者小心防範。</p> <p>日本資安研究員Catnap707在推特上指出，在新的Emotet攻擊手法中，駭客宣稱文件是透過iOS或Windows 10行動版裝置製作而不相容，受害者必須開啟「啟用內容」來執行Windows更新，以此升級Word應用程式之後，才能存取文件，事實上，這只是個陷阱。受害者一旦點選了「啟用內容」按鈕，這個惡意文件便會開始在電腦裡植入Emotet。<strong><a href="https://www.ithome.com.tw/news/140593">詳全文</a></strong></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/116-1-WU-Word-Emotet_Catnap707.png" style="width: 400px;" /></p> <p>圖片來源：Catnap707</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃國家級攻擊＃公有雲服務濫用</strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客APT31向美國總統候選人陣營發動攻擊，利用GitHub與Dropbox進行掩護</strong></h2> <p>Google曾於今年6月提出警告，他們說國家級駭客組織中國APT31與伊朗APT35，企圖透過網釣郵件，滲透美國總統候選人拜登（Joe Biden）與川普（Donald Trump）的競選團隊。他們最近公開了進一步的細節，指出該組織攻擊過程中同時濫用GitHub與Dropbox，導致相關攻擊行動更難偵測，而他們今年於前3季中，發現至少有3.3萬名受害者遭到鎖定。</p> <p>該公司指出，APT31將惡意程式放在GitHub上，這個惡意程式的C&C中繼站則是架設於Dropbox。在他們發現的一個案例當中，是在釣魚郵件引誘受害者自GitHub下載並安裝McAfee防毒軟體，但這個安裝程式實際上已經被駭客植入惡意軟體。<a href="https://www.ithome.com.tw/news/140590"><strong>詳全文</strong></a></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/116-2-APT31-2020-USA_Google.png" style="width: 400px;" /></p> <p>圖片來源：Google</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃網路釣魚＃學術單位</strong></h3> <h2><strong style="vertical-align: top;">伊朗APT駭客組織鎖定全球12所大學發動網路釣魚攻擊</strong></h2> <p>隨著大專院校9月陸續開學，鎖定學術單位的駭客組織也蠢蠢欲動。端點防護業者Malwarebytes指出，他們自9月中旬，得知伊朗APT駭客組織Silent Librarian（亦稱為TA407、Cobalt Dickens），開始針對12所大學發動網路釣魚攻擊。根據Malwarebytes掌握的情資，此次這個組織攻擊的大專院校，分散在不同的12個國家，因此推測駭客在挑選攻擊目標的範圍，可能沒有特定的區域。</p> <p>Silent Librarian的手法究竟為何？Malwarebytes表示，該組織註冊了與學校圖書館網站極為相似的網域名稱，用來建造釣魚網站，網頁內容與實際的圖書館網站登入頁面雷同，使用者很可能不疑有他而輸入帳號與密碼，而被駭客側錄下來濫用。從該公司掌握的資訊來看，不少此次釣魚網站的頂級網域名稱（TLD），採用了.me、.tk、.cf結尾。<a href="https://www.ithome.com.tw/news/140565"><strong>詳全文</strong></a></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/116-3-adelaide_Malwarebytes.png" style="width: 400px;" /></p> <p>圖片來源：Malwarebytes</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃網路攻擊</strong></h3> <h2><strong style="vertical-align: top;">美國最大連鎖書店Barnes and Noble驚傳遭駭，書店與電子書服務皆受波及</strong></h2> <p>美國最大實體連鎖書店Barnes and Noble（B&N）於10月14日證實遭到駭客攻擊，從企業網路到實體書店，以及電子書服務Nook，皆受到影響而全面停擺。</p> <p>新聞網站The Register取得該公司寄給用戶的通知，內容中坦承於10月10日遭到網路攻擊，駭客非法存取特定系統，可能取得了使用者的電子郵件、帳單、寄送地址，以及電話號碼等，但不包括信用卡卡號等金融資訊。<strong><a href="https://www.ithome.com.tw/news/140562">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國IT供應商Intcomex傳遭勒索軟體攻擊，有1TB資料被外洩</strong></h2> <p>於拉丁美洲及加勒比海提供IT的廠商Intcomex，傳出遭到駭客入侵。而此事是由科技媒體CyberNews所揭發，他們在駭客論壇中，發現有人在散布該公司的資料，於是向Intcomex求證，而該公司也坦承有此事。</p> <p>根據CyberNews的報導指出，駭客於俄羅斯的論壇網站上，宣稱取得了近1TB的Intcomex客戶資料。該媒體認為，Intcomex遭到勒索軟體攻擊，原因是駭客曾經要脅此公司，若是不願意付款就會公開機密資料，但此事並未得到該公司證實。<strong><a href="https://www.ithome.com.tw/news/140551">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料庫配置不當</strong></span></h3> <h2><strong style="vertical-align: top;">美國VoIP業者Broadvoice語音郵件曝光，起因是資料庫配置不當</strong></h2> <p>研究機構Comparitech透過物聯網裝置搜尋引擎Shodan，發現不需輸入帳號及密碼就能存取的Elasticsearch資料庫叢集，內有約10個資料集，共涉及3.5億筆記錄，其中含有200萬筆語音郵件，他們追查資料庫的所有者，是美國專門提供VoIP網路電話的Broadvoice。該公司獲報後於10月2日啟動有關防護措施。<strong><a href="https://www.ithome.com.tw/news/140571">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃VPN</strong></span></h3> <h2><strong>SonicWall網路設備存在VPN漏洞</strong></h2> <p>安全廠商Tripwire發現，SonicWall旗下的防火牆產品，存在可造成阻斷服務（DoS）與遠端程式碼執行的重大漏洞，這些漏洞影響超過80萬臺防火牆設備，所幸Tripwire尚未發現遭到濫用的跡象，而SonicWall也推出新版韌體進行修補。<a href="https://www.ithome.com.tw/news/140591">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃藍牙</strong></span></h3> <h2><strong style="vertical-align: top;">BleedingTooth漏洞可使駭客對Linux裝置發動DOS攻擊、執行惡意程式</strong></h2> <p>Google安全研究人員提出警告，Linux核心中的藍牙協定堆疊BlueZ存在3項漏洞，其中1個是高風險漏洞，可能使駭客對鄰近用戶裝置發動阻斷服務（DoS）攻擊、執行惡意程式碼，或是竊取資訊。使用者應升級Linux核心到5.10版，或者關閉藍牙來暫時緩解相關風險。<strong><a href="https://www.ithome.com.tw/news/140549">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃硬體漏洞 </strong></span></h3> <h2><strong style="vertical-align: top;">研究人員展示T2晶片概念性驗證攻擊</strong></h2> <p>先前被揭露存在於Mac電腦T2晶片上的安全漏洞，研究人員於10月13日公布概念性驗證攻擊的影片。他們將特製的USB-C傳輸線連接到一臺MacBook Pro筆電發動攻擊，這臺筆電重開機後的開機圖示便遭到竄改。這些研究人員表示，由於這項漏洞可利用iOS越獄工具checkra1n破解T2晶片，進而置換Mac電腦的EFI韌體，因此駭客可藉此植入金鑰記錄器來側錄所有的憑證。<strong><a href="https://www.ithome.com.tw/news/140516">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃電話詐騙＃銀髮族</strong></span></h3> <h2><strong style="vertical-align: top;">銀髮族遭電話詐騙的受害情況日益惡化</strong></h2> <p>存至今依舊非常猖獗的電話詐騙，政府單位與警政機關經常透過各種管道進行宣導，提醒民眾了解相關手法而能加以防範。然而，由於銀髮族接收資訊管道相對缺乏，被騙的人數比例這幾年不斷增加。在一場記者會上，內政部警政署刑事警察局揭露他們最新的統計數據，他們指出60歲以上的長者受害人數，再創下近4年來的新高，去年總共有5,416人，相較於民國107年的5,094人高出不少。<strong><a href="https://www.ithome.com.tw/news/140631">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/140530">挪威指控國會遭駭是俄羅斯駭客所為</a><br /> ●<a href="https://www.ithome.com.tw/news/140613">6名俄羅斯情報局軍官涉及全球多起網路攻擊遭起訴</a><br /> ●<a href="https://www.ithome.com.tw/news/140589">針對2017年遭到大規模DDoS攻擊的情況，Google透露當時發生的細節</a><br /> ●<a href="https://www.ithome.com.tw/news/140517">Flash驚傳遠端程式碼執行漏洞</a></h3> </div></div></div>
2020/10/22 17:39作者周峻佑https://www.ithome.com.tw/news/140686
微軟釋出Linux版Chromium Edge開發預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼9月間在Ignite開發者大會上<a href="https://www.ithome.com.tw/news/140143" target="_blank">預告</a>後，微軟本周<a href="https://blogs.windows.com/msedgedev/2020/10/20/microsoft-edge-dev-linux/" target="_blank">宣布</a>，Linux版Chromium-based Edge釋出到<a href="https://www.microsoftedgeinsider.com/en-us/" target="_blank">開發者頻道</a>，提供技術預覽版。</p> <p>這次釋出使新的Microsoft Edge已全面提供主要桌機及行動平臺，包括之前的Windows、macOS版。微軟指出，透過技術預覽版，將可讓Linux開發人員開發App及進行部署測試。Linux版的Web平臺及開發工具、擴充程式、瀏覽器開發工具及測試自動化工具等，和macOS及Windows版都相同。</p> <p>這個預覽版支援主要發行版包括Ubuntu、Debian、Fedora及openSUSE，微軟之後也計畫每周釋出小幅更新。微軟同時宣布<a href="https://www.microsoft.com/en-us/msrc/bounty-new-edge" target="_blank">Edge抓漏獎勵</a>方案開放Linux版本的漏洞上傳，以及開發人員從<a href="https://techcommunity.microsoft.com/t5/microsoft-edge-insider/ct-p/MicrosoftEdgeInsider" target="_blank">論壇</a>或<a href="https://twitter.com/msedgedev" target="_blank">推特</a>反映問題。</p> <p>但是微軟也提醒，部份用戶端功能未全部啟動，像是不支援從微軟帳號或AAD帳號登入Edge，有些需要登入的功能（如同步設定及我的最愛等）也要等之後的預覽版才會開放。</p> </div></div></div>
2020/10/22 14:00作者林妍溱https://www.ithome.com.tw/news/140678
Google緊急修補Chrome的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年的10月6日釋出了Chrome 86，該版本除了具備簡化被駭密碼修改程序，以及限制背景分頁的資源使用等新功能之外，也修補了35個安全漏洞，不過，Google卻在本周二（10/20）釋出<a href="https://chromereleases.googleblog.com/2020/10/stable-channel-update-for-desktop_20.html" target="_blank">Chrome 86.0.4240.111</a>，緊急修補了5個安全漏洞，同時警告當中的CVE-2020-15999已遭駭客開採。</p> <p>這5個安全漏洞有4個被列為高度風險等級，分別是涉及Blink的CVE-2020-16000、媒體的釋放後使用漏洞CVE-2020-16001、PDFium的釋放後使用漏洞CVE-2020-16002，以及Freetype中的堆積緩衝區溢位漏洞CVE-2020-15999，另一個被列為中度風險的CVE-2020-16003，則是屬於列印功能的釋放後使用漏洞。</p> <p>當中最嚴重的應該是CVE-2020-15999，因為Google Project Zero的團隊成員Sergei Glazunov是在10月19日提報該漏洞，而Google隔天就釋出修補程式，此外，Google還說已接獲了許多報告，顯示出坊間已存在針對CVE-2020-15999漏洞的攻擊程式。</p> <p>目前Google並不打算對外公布漏洞細節，以讓使用者有充裕的修補時間，此次的修補主要針對桌面版Chrome，涵蓋Windows、macOS與Linux，且預計在未來幾天或幾周內部署。</p> </div></div></div>
2020/10/21 17:10作者陳曉莉https://www.ithome.com.tw/news/140657
Windows小算盤已被移植到Linux平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在去年3月<a href="https://www.ithome.com.tw/news/129183" target="_blank">宣布</a>開源Windows內建的小算盤（Windows Calculator），上周Uno Platform<a href="https://platform.uno/blog/windows-calculator-on-linux-via-uno-platform/" target="_blank">宣布</a>，已將小算盤移植到Linux平臺，而Canonical也在同一天表示，該平臺用戶或安裝了snapd的Linux用戶，已可自Ubuntu Snap Store下載小算盤。</p> <p>Uno Platform為一開源的跨平臺圖像使用者介面，允許基於WinUI與UWP的程式可在iOS、macOS、Linux、Android及WebAssembly上執行。至於Ubuntu Snap Store則被視為是Linux世界的Google Play，可用來下載各式且基於各種版本的Linux程式。</p> <p>Uno Platform表示，Linux版的小算盤除了可在Ubuntu上執行之外，也支援Red Hat Enterprise Linux、Linux Mint、Debian、Fedora、openSUSE、Manjaro、Kubuntu、KDE Neon、elementary OS、CentOS與Arch Linux，意謂著它幾乎能在所有的Linux桌面版本執行，也能在樹莓派（Raspberry Pi）上運作。</p> <p>根據SatCounter的統計，Windows小算盤已被安裝在全球15億個裝置上，而在Linux版現身後，它可望額外支援60億個裝置。</p> <p>目前Linux版小算盤只釋出x64預覽版，預計未來會支援更多架構。</p> </div></div></div>
2020/10/19 13:50作者陳曉莉https://www.ithome.com.tw/news/140592
AD網域滲透漏洞衝擊企業安全！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一個月來，Zerologon漏洞的消息不斷，這個編號為CVE-2020-1472的漏洞，不論是微軟、揭露漏洞細節的研究人員，以及美國政府官方，還有多家資安業者業者，都相繼發出相關公告與分析報告，提醒企業與組織需要注意這項風險，並且要實際採取行動修補。</p> <p>這個漏洞之所以備受重視，主要原因在於，這是近年來與Active Directory（AD）伺服器有關的最大漏洞，達到CVSS 3.0風險評分的滿分（10分）。更不容企業組織忽視的是，在10月上旬，微軟指出已偵測到攻擊活動，使得這項原本就是重大（Critical）風險的漏洞，已經變成企業實實在在的威脅。</p> <p>不僅如此，從漏洞的影響層面來看，雖然微軟已經表示，目前的更新修補已經能夠緩解並降低風險，要Windows用戶不用太過擔心，但另一方面，由於這項漏洞將分成兩階段修補，仍可看出這次漏洞的影響層面並不小，而這也是容易被外界忽略的部分。</p> <p>舉例來說，不只是Windows的修補，開源碼檔案伺服器軟體Samba也受波及，事實上，實作AD網域控制器（Domain Controller）就可能受弱點影響，因為弱點存在於通訊協定，而微軟可能也是需要給予第三方有時間因應，再做到第二階段修補。</p> <p>無論如何，對於企業而言，了解這次漏洞的風險及嚴重性，盡早做到修補是最重要的事。同時，對於相關漏洞及修補的掌握，也應要持續關注。</p> <p><span style="font-size:28px;"><strong>多家資安業者警示Zerologon漏洞相當嚴重，美國政府已積極因應</strong></span></p> <p>關於CVE-2020-1472的漏洞，是由Secura研究人員Tom Tervoort通報給微軟，微軟已經在8月安全性更新提供相應的修補。簡單來說，這個漏洞存在於Netlogon遠端協定（Netlogon Remote Protocol，MS-NRPC），用來更新密碼的加密驗證演算法，他並將此漏洞命名為Zerologon。</p> <p>而這樣的漏洞，將讓入侵企業的攻擊者連結到AD網域控制器時，無須經過身分驗證加入AD網域，就能成功利用漏洞，而成為該網域管理員，也就是說，能控制公司AD網域，並危及所有連網電腦。同時，研究人員也提供了相關概念驗證（POC）攻擊程式，供企業驗證其網域控制器是否曝險。</p> <p>基本上，隨著微軟在8月11日發布安全修補，對於在這一個月內，已經確實完成此漏洞修補的企業與組織而言，其實可以較為放心。</p> <p>不過，對於知道漏洞還沒來得及修補的企業而言，就該加緊腳步。因為攻擊活動已經出現，至於根本還沒注意到漏洞的企業，更該檢視漏洞及修補情資方面的能力。</p> <p>在微軟公布漏洞修補一個月後，除了CVE-2020-1472漏洞研究報告的揭露，相關漏洞的警示與資訊也已出現。</p> <p>例如，在9月18日，我們看到美國國土安全部發布緊急指令（Emergency Directive 20-04），要求該國政府機關需在21日午夜之前修補，並需在23日午夜之前送交報告。這不僅是美國官方對此漏洞的重視與應對，其實也讓外界對此漏洞的關注度更增加，等於是提醒著企業必須盡快做到修補。</p> <p><span style="font-size:28px;"><strong>重大風險已成實際威脅，美國政府10月已發現相關攻擊事件</strong></span></p> <p>更讓企業不容忽視的是，相關攻擊程式的出現，以及攻擊活動的發現，對於尚未修補的企業而言，這意味著風險更高並成實際威脅。</p> <p>例如，在9月22日，臺灣資安業者奧義智慧發布了中文版的Zerologon漏洞解析報告，當中並指出他們當時的發現網路上出現針對上述漏洞的自動化攻擊程式，包括相關Mimikatz模組、以及PowerShell攻擊腳本等，這意謂著很快就可能出現真正的攻擊。而在9月24日，微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）也在Twitter發文，說明他們正持續追蹤針對此漏洞的威脅活動，並已觀察到有人將漏洞利用整合到公開的攻擊程式中。</p> <p>果不其然，到了10月1日有了更多事證，微軟Microsoft Defender ATP成員在官方技術社群網站發表一篇文章，指出他們在9月13日到29日期間，每天都觀察到鎖定Zerologon漏洞的攻擊跡象。換句話說，駭客很早就在嘗試如何利用此漏洞來攻擊。</p> <p>最近，10月12日，美國網路安全暨基礎架構安全署（CISA），及聯邦調查局（FBI）聯合發布公告，更是證實此漏洞帶來的實際威脅，因為當中的內容指出，已有政府機關遭受APT駭客組織的攻擊，指出對方會串連已知網路設備產品及Zerologon漏洞，例如，駭客先藉由Fortinet FortiOS的SSL VPN漏洞（CVE-2020-13379），或是行動裝置管理平臺MobileIron的漏洞（CVE-2020-15505），滲透至企業內部網路，然後利用Zerologon來入侵AD身分服務，再以受害者的帳號密碼存取政府網路。他們同時提醒，駭客也可能串連其他網路產品近一年的嚴重漏洞，包括Citrix NetScaler的CVE-2019-19871漏洞、Pulse Secure CVE-2019-11510等。</p> <p><span style="font-size:28px;"><strong>網域滲透漏洞風險高，若遭濫用將讓駭客輕易取得網域控制權</strong></span></p> <p>儘管漏洞預警不斷，但是，Zerologon漏洞帶來影響到底有多嚴重？可能還是有人不夠瞭解，對此，我們找到多位專家說明。</p> <p>關於CVE-2020-1472的漏洞，臺灣資安業者奧義智慧資深研究員陳仲寬指出，這是一個罕見可直接繞過身分認證、存取網域高權限的漏洞。</p> <p>他表示，雖然過去也有不少CVSS是10分的漏洞，但必須要注意的是，這次的網域滲透漏洞的泛用性高，且攻擊技術門檻低。他舉例，過去常用於網域滲透測試的漏洞不少，包括CVSSv2.0為9分的CVE-2014-6324、CVSSv3.0為8.1分的CVE-2017-0144（Enternal Blue），CVSSv3.0為5.9的CVE-2019-1040，以及CVSSv3.0為9.8分的CVE-2019-0708。雖然上述漏洞其實都還沒有被評到10分，但都已經常被實際應用於網路攻擊中，儘管CVSS並不代表一切，但從這些被評為高分案例的結果可已看出，這次CVSSv3.0為10分的CVE-2020-1472漏洞，危害程度相當高。</p> <p>換個角度來看，駭客其實最愛這種遠端直接可以提權的漏洞，奧義智慧的創辦人兼執行長邱銘彰說。因為，這可以很輕易地瓦解企業的資安設定，而且，這個漏洞可讓攻擊者無須加入AD，只要透過445埠連接到網域控制器，就能展開攻擊。</p> <p>我們該如何因應？首先是落實漏洞修補，微軟已經不斷提醒用戶更新修補。我們也向微軟詢問，該公司亞太區全球技術支援中心資訊安全暨營運風險管理協理林宏嘉表示，已經做好8月安全性更新的企業，現階段可不必擔心，而他在8月當時也曾提醒企業用戶，包括用戶端的更新，且伺服器端設定要同時進行。</p> <p>對於這次漏洞的嚴重性，林宏嘉也表示，若以CVSS評分來看，在近年與AD相關的重大漏洞中，這次CVE-2020-1472（Zerologon）確實是最嚴重。</p> <p><span style="font-size:28px;"><strong>企業若對於AD修補不積極，駭客就可能會在這一兩年持續利用</strong></span></p> <p>但值得關注的是，雖然Zerologon已經有了修補更新程式，為何還是引發關注？除了尚未修補的企業要盡快更新，已經修補的企業也不能大意。</p> <p>對於尚未修補的企業而言，面對這些接連不斷的消息，應該要能瞭解到上述Zerologon漏洞的嚴重性，趕緊因應。</p> <p>事實上，以一般情況而言，在廠商釋出更新當下，看似修補就可解決問題，但相對地，駭客也可能在同一時間關注，利用企業需要時間修補的空窗期，對方會從更新發布掌握到最新的已知漏洞，並設法找出漏洞利用方式，以在企業更新修補之前加以利用。</p> <p>後續，隨著時間的推移，駭客逆向工程破解漏洞時間越多，企業面對的風險也越來越高。例如，發現漏洞的Secura資安研究人員，在微軟釋出修補的30天後公布其研究，這不僅是讓資安人員與開發人員瞭解漏洞成因，做為借鏡或避免同樣問題的發生，但這也讓關注漏洞的攻擊者可能更容易找出攻擊方式，因此，研究人員同樣提醒用戶儘速修補。</p> <p>在此之後，我們也注意到不少資安業者發布相關漏洞情資，包括奧義智慧、趨勢科技，以及微軟、Cisco與Palo Alto Networks等，希望企業知道相關風險，並及早因應，以及揭露相關攻擊活動。</p> <p>只是，就現實面而言，在漏洞修補實務上，企業可能有難題要面對。例如，過去我們曾看到趨勢科技的一份調查，指出企業平均約要30天左右時間，才能完成修補程式測試。</p> <p>對此，微軟林宏嘉認為，在微軟近年的教育之下，企業修補意願已經比過去好上許多。而在修補速度方面，他說，有企業在8月11日、12日就採取行動，也就是微軟發布更新修補後的一兩日內完成修補，但他也坦言，有企業環境是無法隨時保持更新，他舉例，像是在隔離區，不能對外直接更新等。</p> <p>至於是否可能有用戶擔心，更新修補後容易造成不穩定的現象？他表示，可能是過去用戶有不好的經驗造成，因此後來只要網路上又傳出更新災情，就使得大家更新時間跟著延後。不過他認為，要從實際發生案例的比例來看，會比較精準，其實很多都是極少的個案。</p> <p>對於企業修補一事，奧義智慧創辦人兼執行長邱銘彰說明了他們的觀察。他說，對於越複雜的核心系統，IT人員可能會傾向越晚更新，畢竟瞭解更新後是否有災情，以及修補程式測試，以及相容性方面的問題，都需要時間。而像是AD這樣關鍵的系統，甚至有企業可能是決定暫時不更新的情況，擔心造成變化或是服務中斷。因此，邱銘彰指出，上述情形一旦發生，也就是這次漏洞之所以可能嚴重後果的另一個原因。</p> <p>他認為，只要企業AD的更新修補態度比較保守，漏洞就可能持續被利用，相關攻擊甚至可能在近一兩年都會繼續發生。顯然，這可能也是為何許多資安業者相繼發出警示的原因。</p> <p><span style="font-size:28px;"><strong>微軟表示已修補該漏洞的企業，現階段可以不必擔心</strong></span></p> <p>另一方面，由於微軟表示這次CVE-2020-1472漏洞的修補，將分為兩階段進行，對於已經修補的企業而言，隨著後續相關資訊與報導不斷，這也使得有些企業擔心，修補更新後是否真的足以抵禦針對此漏洞的攻擊。</p> <p>對於這些修補上的疑慮，林宏嘉提出更清楚的說明，他說，這次漏洞問題存在於使用已有多年的Netlogon遠端協定，在微軟的第一階段修補中，已經可以讓外界沒有辦法利用這個風險，但是他們還有更周延的作法，因此會在第二階段強制完全修補。而第二階段的修補時間，是在2021年的2月9日。</p> <p>因此，對於企業而言，面對Zerologon漏洞的威脅，企業及組織必須在微軟提供的8月安全性，針對AD的網域控制器更新，如此一來，現階段應足以緩解此漏洞所帶來的風險。不過，要能夠更完善地修補，則還要依循微軟所提的檢查與處理動作，最後並啟用「強制模式」，也就是讓secure RPC能夠啟用在整個內網環境中，但前提就是要企業環境中，其他裝置製造商與軟體廠商可以支援secure RPC。而第二階段的修補，其實就是要強制啟用。</p> <p><span style="font-size:28px;"><strong>不只影響微軟作業系統，許多會用到AD的軟體及服務都要修補</strong></span></p> <p>對於上述Netlogon遠端協定修補的影響，微軟同時提到，這不只是攸關Windows，而我們在9月中旬也看到Samba與群暉發布Zerologon的修補。</p> <p>同時，我們也<a href="https://kb.cert.org/vuls/id/490028">從美國電腦網路危機處理暨協調中心（CERT/CC），找到與這次事件相關的漏洞公告VU#490028</a>，發現當中公布的內容是，列出至少有20家廠商受影響，包括Google、CentOS及多個波及多個Linux平臺等，而ubuntu、opensuse與Fedora等，也因Samba相繼發布更新通知。因此，企業對於Zerologon漏洞的修補動向，仍需要持續關注。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#0066cc;"> Zerologon漏洞大事記 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年8月11日 </span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/139346" target="_blank"><strong><span style="background-color:#FFD700;"> 微軟發布8月安全性更新，包括CVE-2020-1472漏洞的資安公告 </span></strong></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;"><strong>在8月修補的17個重大漏洞當中，<a href="https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472">CVE-2020-1472存在於Netlogon遠端協定（NetlogonRemote Protocol，MS-NRPC）</a>，並因為是權限提升漏洞中少見的重大漏洞而受關注。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年9月11日 </span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/140014" target="_blank"><span style="color:#000000;"><strong><span style="background-color:#FFD700;"> 研究人員揭露CVE-2020-1472漏洞細節，並將這個關於Netlogon的漏洞，正式命名為「Zerologon」 </span></strong></span></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>資安業者<a href="http://www.secura.com/pathtoimg.php?id=2055">Secura研究人員Tom Tervoort在9月11日於該公司部落格</a>，揭露CVE-2020-1472漏洞細節，使得此漏洞的風險受到外界更大的關注。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年9月17日 </span></strong></span></p> <p><strong><span style="background-color:#FFD700;"> NAS廠商群暉發布資安公告，針對受影響的Synology Directory Server提供更新修補 </span></strong></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_%E7%BE%A4%E6%9A%89.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>群暉在<a href="https://www.synology.com/zh-tw/security/advisory/Synology_SA_20_21">臺灣時間9月17日，針對受CVE-2020-1472漏洞影響的Synology Directory Server</a>，提供新版修補程式。他們表示，是在17日收到美國CERT/CC通知，即於當日完成修補釋出更新。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年9月18日 </span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/140090" target="_blank"><strong><span style="background-color:#FFD700;"> 美國國土安全部發布緊急指令Emergency Directive 20-04，下令3日內修補CVE-2020-1472漏洞 </span></strong></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_DHS_ED20-04.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>面對Zerologon漏洞，<a href="https://cyber.dhs.gov/ed/20-04/">美國官方表現出高度重視的態度，下令</a>該國政府組織需在21日午夜之前修補，也就是3天之內就修補完畢，並需要在23日回報修補狀況，以確認機關做好修補。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年9月18日 </span></strong></span></p> <p><strong><span style="background-color:#FFD700;"> 開源碼檔案伺服器軟體Samba發布資安公告，針對Zerologon漏洞提供更新修補 </span></strong></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_Samba.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>可讓Unix加入Windows的網域的<a href="https://www.samba.org/samba/latest_news.html">Samba，也會受此漏洞影響，在9月18月22日釋出多種版本的修補更新</a>。美國網路安全暨基礎架構安全署（<a href="https://us-cert.cisa.gov/ncas/current-activity/2020/09/21/samba-releases-security-update-cve-2020-1472">CISA）也對Samba修補一事</a>，向企業及組織發出警告，提醒用戶更新。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年9月22日 </span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/140238" target="_blank"><span style="color:#000000;"><strong><span style="background-color:#FFD700;"> 資安廠商奧義智慧提供漏洞解析與警示，並指出已發現相關的自動化攻擊程式 </span></strong></span></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>奧義智慧在9月22日於該公司<a href="https://medium.com/cycraft/cve-2020-1472-zerologon-aa24b97e3fe2">部落格發布文章，強烈提醒國內企業及組織應重視Zerologon漏洞的修補</a>，並指出他們在不到一天時間內，就發現相關自動化攻擊程式已公開在網路上，包括相關Mimikatz模組、以及PowerShell攻擊腳本等。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年10月1日 </span></strong></span></p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-365-defender/zerologon-is-now-detected-by-microsoft-defender-for-identity-cve/ba-p/1734034" target="_blank"><strong><span style="background-color:#FFD700;"> 微軟自9月13日已經偵測到相關攻擊活動 </span></strong></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_%E5%BE%AE%E8%BB%9F%E5%81%B5%E6%B8%AC%E6%B4%BB%E5%8B%95.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>微軟<a href="https://techcommunity.microsoft.com/t5/microsoft-365-defender/zerologon-is-now-detected-by-microsoft-defender-for-identity-cve/ba-p/1734034">Microsoft Defender ATP成員10月初在官方技術社群網站發文</a>指出，在微軟8月安全性更新後的最初幾周內，他們並未觀察到任何攻擊活動是符合利用此弱點。不過，在9月13日後警報數量激增，雖然當中有許多的活動是資安研究人員的紅隊演練或滲透測試，但已有少數的案例屬於正式的攻擊行動。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年10月2日 </span></strong></span></p> <p><a href="https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc" target="_blank"><span style="color:#000000;"><span style="background-color:#FFD700;"> <strong>微軟重申Zerologon嚴重漏洞的正確修補方法，共包含4個步驟 </strong></span></span></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_%E5%BE%AE%E8%BB%9F%E9%87%8D%E7%94%B3%E4%BF%AE%E8%A3%9C.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>在漏洞修補一個半月之後，<a href="https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc">微軟為避免用戶的困擾，再次發布關於此漏洞的修補方法</a>，在此修訂版中提供了更詳細的說明文件，當中提供了4大修補步驟，以及相關參考資料，讓用戶了解如何杜絕此漏洞。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2020年10月6日 </span></strong></span></p> <p><a href="https://www.ithome.com.tw/news/140371" target="_blank"><span style="color:#000000;"><strong><span style="background-color:#FFD700;"> 已有駭客組織鎖定Zorelogon漏洞發動攻擊 </span></strong></span></a></p> <p class="rtecenter"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89Zerologon%E5%A4%A7%E4%BA%8B%E8%A8%98_%E5%BE%AE%E8%BB%9F%E4%BC%8A%E6%9C%97%E9%A7%AD%E5%AE%A2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>微軟威脅情報中心透過Twitter警告，指出伊朗駭客集團Mercury正利用此漏洞。而<a href="https://us-cert.cisa.gov/ncas/alerts/aa20-283a">在10月12日，美國CISA也發布資安公告</a>，指出發現有不同APT組織在單一行動中，串連已知網路設備產品漏洞及Zerologon漏洞，該國已有機關遇害。</strong></span></p> <p class="rtecenter"><span style="color:#800000;"><span style="font-size:28px;"><strong>Zerologon為何分成兩階段修補？</strong></span></span></p> <p><span style="color:#696969;"><strong>關於為何微軟要將CVE-2020-1472（Zerologon）漏洞分成兩階段修補一事，是因為很難修補嗎？應該有不少人對於這樣的情況感到相當好奇，在微軟亞太區全球技術支援中心資訊安全暨營運風險管理協理林宏嘉的答覆中，我們了解到更多細節。</strong></span></p> <p><span style="color:#696969;"><strong>林宏嘉強調，基本上，這次漏洞問題存在於使用已有多年的Netlogon遠端協定，在微軟的第一階段修補中，已經可以讓外界沒有辦法利用這個風險，但是還有更周延的作法，因此需要第二階段完全修補。</strong></span></p> <p><span style="color:#696969;"><strong>之所以微軟會分成兩階段修補，他先強調一件事，就是關於Netlogon遠端協定，其實有很多第三方軟體或工具，需要用到這樣的介面去做登入驗證的動作。因此，現實環境很複雜，廠商修補更新並非簡單的事，不是本身修補沒問題就可以，還要看別人是否有問題。否則，如果微軟一旦完全修補，將會造成其他人可能都不會通的情況。</strong></span></p> <p><span style="color:#696969;"><strong>而根據微軟在CVE-2020-1472漏洞修補的相關文件，已經指出微軟將採secure RPC的機制，強制啟用後就能夠完全修補，不過，在第一階段的修補中，這項機制並非強制執行，需要用戶手動啟用。也難怪在微軟提供4大修補步驟之外，還額外說明，只要安裝2020年8月11日發布的更新，將能解決CVE-2020-1472漏洞對Active Directory網域及Windows裝置的問題。但要完全降低第三方廠商裝置的安全性問題，則需要完成所有步驟。</strong></span></p> </div></div></div>
2020/10/19 07:00作者羅正漢https://www.ithome.com.tw/news/140566
Linux核心BleedingTeeth漏洞可使駭客對裝置發動DOS攻擊、執行惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全研究人員本周<a href="https://twitter.com/theflow0/status/1316071793707364353" target="_blank">警告</a>，Linux核心中的藍牙協定堆疊BlueZ存在3項漏洞，包括一個高風險漏洞，後者可能使鄰近的駭客對用戶裝置發動阻斷服務（DoS）攻擊、執行惡意程式碼，或竊取資訊。</p> <p>這3項漏洞全部是在Linux核心的BlueZ堆疊中發現，因而Google將這批漏洞命名為BleedingTooth。BlueZ是官方釋出的Linux藍牙協定堆疊，提供開發人員透過指令行或使用blueZ library與藍牙裝置通訊。受到影響的Linux核心版本範圍不一，不過全部都在5.9版以下。</p> <p>第一項漏洞為編號CVE-2020-12351的權限升級漏洞。 Google產品安全暨事件小組研究員Francis Perry<a href="https://github.com/google/security-research/security/advisories/GHSA-h637-c88j-47wq" target="_blank">指出</a>，這項漏洞為一記憶體堆積類型混淆（type confusion）漏洞，存在Linux核心的L2CAP_core.c元件對輸入訊息驗證不當。若受害者附近的攻擊者知道目標裝置的藍牙裝置位址（bd address），即可傳送惡意L2CAP封包加以開採，發動DoS攻擊造成系統當機，或執行任意程式碼。此外，惡意或有過<a href="https://www.ithome.com.tw/news/126826" target="_blank">Bleedingbit漏洞</a>的藍牙晶片也能觸發這項漏洞。Google也公布了相關的概念驗證攻擊程式。</p> <p>根據英特爾對用戶發出的安全公告，CVE-2020-12351風險列為8.3。雖然不是重大風險等級，不過首先發現這批漏洞的Google 研究人員Andy Nguyen<a href="https://twitter.com/theflow0/status/1316071793707364353" target="_blank">指出</a>，這是一個零點擊的RCE漏洞，意謂著甚為危險。</p> <p>BleedingTeeth另外還有二項中低風險漏洞。首先<a href="https://github.com/google/security-research/security/advisories/GHSA-ccx2-w2r4-x649" target="_blank">CVE-2020-24490</a>導因於HCI event packet parser記憶體緩衝區限制不當，可讓駭客造成DoS攻擊。但因為這需要鄰近攻擊者發送廣告時，搭配Bluetooth 5晶片的受害系統正好開啟掃瞄模式才會觸發漏洞。其次，<a href="https://github.com/google/security-research/security/advisories/GHSA-7mh3-gq28-gfrq" target="_blank">CVE-2020-12352</a>是藍牙堆疊存取控管不當，讓駭客得以透過發送惡意AMP封包，從系統記憶體堆疊竊取小部份資訊。根據<a href="https://access.redhat.com/security/cve/cve-2020-24490" target="_blank">Red Hat</a>的安全公告，CVE-2020-24490及CVE-2020-12352的CVSS分數分別為7.1及5.3。</p> <p>根據英特爾的安全公告，上述3項漏洞影響 5.10 版以前、支援BlueZ的所有Linux核心，建議使用者或開發人員將Linux核心升級到5.10版本以後。不過按Google公告及<a href="https://www.zdnet.com/article/google-warns-of-severe-bleedingtooth-bluetooth-flaw-in-linux-kernel/" target="_blank">ZDNet</a>說法，則應升級到5.9版本以上。</p> <p>如果來不及更新，Red Hat則指出，關閉藍牙可暫時緩解3項漏洞的風險。</p> </div></div></div>
2020/10/15 13:20作者林妍溱https://www.ithome.com.tw/news/140549
Adobe修補Flash Player RCE執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你還在使用Flash Player嗎？如果是就要小心了。Adobe本周發出<a href="https://helpx.adobe.com/security/products/flash-player/apsb20-58.html" target="_blank">安全公告</a>，修補Windows、macOS、Linux及ChromeOS版Flash Player的重大漏洞。</p> <p>Adobe指出，發生於Flash Player的漏洞CVE-2020-9746，能在使用者造訪網站時，利用網站的HTTP回應插入惡意字串加以觸發。成功開採可能造成應用程式當掉，引發遠端程式碼執行（remote code execution），因而被列為重大漏洞。</p> <p>新漏洞影響Windows、macOS及Linux平臺32.0.0.433版本以前的Flash Player桌機版Runtime。Google Chrome上的Flash Player則還多影響ChromeOS裝置。此外也影響了Windows 10、8.1平臺上32.0.0.387版本以前的Microsoft Edge/IE 11上的Flash Player。</p> <p>Adobe已經針對所有受影響平臺，包括Windows、Linux、macOS及ChromeOS，釋出Flash Player 32.0.0.445版解決這項漏洞。</p> <p>長期而言，由於漏洞過多，加上HTML5、WebGL及WebAssembly標準成熟，功能足以取代，Adobe自己也不鼓勵使用者繼續使用Flash Player。Adobe<a href="https://www.ithome.com.tw/news/115777" target="_blank">宣布</a>在今年底正式終止Flash Player的更新及發行。</p> </div></div></div>
2020/10/14 14:35作者林妍溱https://www.ithome.com.tw/news/140517
微軟與全球資安及電信業者聯手摧毀惡名昭彰的Trickbot殭屍網路，但無法根除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一（10/12）<a href="https://blogs.microsoft.com/on-the-issues/2020/10/12/trickbot-ransomware-cyberthreat-us-elections/" target="_blank">宣布</a>，在取得法院的命令下，旗下的數位安全中心（Digital Crimes Unit，DCU）已與全球的資安及電信業者聯手切斷了Trickbot殭屍網路的關鍵基礎設施，避免Trickbot危及即將來臨的美國大選，同時這也是微軟首次針對殭屍網路的操作者提出侵犯著作權的民事訴訟，原因是著作權法比電腦犯罪法令更為普遍，使得微軟可於更多的國家阻止駭客的行為。</p> <p>Trickbot原本是隻鎖定Windows的金融木馬，它利用時事並透過網釣郵件散布，於郵件中夾帶惡意文件或連結，一旦進駐受害者的電腦，即可執行一連串的秘密行為來挾持受害者的瀏覽器，竊取受害者的網路銀行登入憑證與其它個人資料，再將資訊傳送至C&C伺服器，此外，Trickbot還被用來遞送Ryuk勒索軟體。</p> <p>Trickbot不只能感染Windows裝置，也能感染Linux裝置，使得它的感染範圍從個人電腦蔓延到家庭及組織中的路由器，從2016年以來，Trickbot 已感染全球超過100萬個裝置，迄今尚無法找出幕後黑手，但研究顯示它同時服務不同目標的國家級駭客與犯罪集團。</p> <p>DCU分析了6.1萬個Trickbot惡意程式樣本，指出它之所以危險在於它具備了持續進化的模組能力，而且採用惡意程式即服務（malware-as-a-service）模式，提供客戶存取已被Trickbot感染的裝置，以遞送包括勒索軟體在內的各種惡意程式。DCU的調查發現了Trickbot用來控制及聯繫被駭電腦的基礎設施，被駭電腦之間的通訊，以及Trickbot用來躲避偵測的手法，也得知了駭客C&C伺服器的確切IP位址。</p> <p>總之，在微軟提交了Trickbot細節予法院之後，法院即允許微軟阻止該殭屍網路的活動，於是微軟攜手全球的資安業者與電信業者，先是關閉C&C伺服器的IP位址，讓惡意程式無法存取伺服器上的內容，同時封鎖Trickbot操作者購買或租賃其它伺服器的管道。</p> <p>值得注意的是，微軟在宣布此事時，強調的是Trickbot對美國大選可能帶來的威脅。負責客戶安全與信任的微軟企業副總裁Tom Burt表示，不論是美國政府或資安專家都曾警告，勒索軟體為美國大選最主要的威脅之一，有心人士可能利用勒索軟體以感染用來維護選民名冊或選舉結果的電腦系統，在重要的時刻控制這些系統將會造成更大的混亂與不信任感。</p> <p>此外，這也是微軟首次針對駭客提出民事訴訟，控告駭客侵犯著作權。根據資安部落格<a href="https://krebsonsecurity.com/2020/10/microsoft-uses-copyright-law-to-disrupt-trickbot-botnet/" target="_blank">KrebsonSecurity</a>的報導，微軟宣稱駭客實際上竄改與破壞了微軟的Windows產品，因為Windows用戶一旦被Trickbot感染或控制，它就無法正常操作，且會淪為駭客的竊盜工具，有損微軟的品牌與商譽。</p> <p>Burt解釋，這是因為在全球各地，著作權法比電腦犯罪法令更為普遍，此一新的策略將可讓微軟於更多的國家追捕駭客。</p> <p>儘管微軟已摧毀了Trickbot殭屍網路的基礎設施，但微軟也相信Trickbot的操作者將會努力捲土重來。</p> </div></div></div>
2020/10/13 11:00作者陳曉莉https://www.ithome.com.tw/news/140482
運用DPU技術重新定義資料中心基礎架構，Nvidia力推BlueField多用途運算卸載技術與DOCA軟體開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在現行的伺服器應用方式當中，網路介面卡（NIC）純粹只是用於提供網路連線能力，以及網路流量的卸載處理，可減輕中央處理器的負擔，無論是伺服器虛擬化／軟體定義網路、儲存、資安、IT基礎架構管理等虛擬機器應用，以及容器化應用，都大幅仰賴中央處理器。</p> <p>而Nvidia在2020年3月完成併購Mellanox，正式取得乙太網路、InfiniBand、SmartNIC、DPU（Data Processing Unit，資料處理器）等技術，隨即開始大張旗鼓布局高效能運算與企業IT基礎架構應用，例如，在5月舉行的GTC Digital線上用戶大會上，積極主推資料中心規模的加速運算（Data-Center-Scale Accelerated Computing），當時發表了A100 GPU、AI整合應用設備DGX A100、結合GPU與SmartNIC的邊緣運算加速卡EGX A100、支援Omniverse協同設計平臺的RTX專業繪圖處理共享伺服器。</p> <p>到了本週舉行的GTC秋季大會，Nvidia發表了多款DPU產品，分別是：BlueField-2、DOCA、BlueField-2X。</p> <h2><span style="color:#0000FF;"><strong>源於Mellanox的DPU運算卸載晶片與加速卡不再坐冷板凳，可望跨入泛用的企業IT領域</strong></span></h2> <p>在Mellanox旗下的多種產品當中，大家較熟悉的是乙太網路與InfiniBand的網路介面卡、交換器、互連纜線與收發器，在超大規模資料中心、高效能運算等領域，均佔有一席之地，近期較受各界矚目的技術應用，則是對於NVMe、RDMA、GPUDirect、25GbE，以及SmartNIC的支援。因此，我們也曾陸續報導了<a href="https://www.ithome.com.tw/review/133978">ConnectX-6 Dx</a>與<a href="https://www.ithome.com.tw/review/137969">ConnectX-6 Lx</a>等兩張網路介面卡產品。</p> <p>不過，Mellanox還有一個系列產品遲遲未受到各界關注，那就是BlueField。這系列產品是在2016年6月問世，結合了他們的ConnectX網路卸載技術、64位元Armv8處理器，當時併購EZchip公司而得到的Tilera互連技術，隨後陸續主打NVMe over Fabrics（NVMe-oF）、SmartNIC等應用，對應儲存與網路層面的需求，並以可程式化處理器（Programmable Processors）或可程式化介面卡（Programmable Adapter）來稱呼，並強調其具有系統單晶片（SoC）的特性。</p> <p>到了2018年，Mellanox改以DPU來稱呼BlueField。例如，他們在一篇探討SmartNIC部落格文章當中，提到產品實作類型時，將其區隔成ASIC、FPGA、SoC等三種，而這些類型皆可對應到該公司當時的代表產品，分別是ConnectX-5、Innova-2 Flex、BlueFileld。</p> <p>不過，SmartNIC是因為5G和邊緣運算應用崛起，於是，從去年起受到各界關注，開始拓展許多使用場景，至於性能更為強大的DPU，在實際應用方式上，似乎還是很難與SmartNIC有所區隔，直到今年Nvidia併購Mellanox之後，終於幫這類產品找到明確的使用定位，而且還能搭配企業級系統軟體平臺，實用性可望大增。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-1.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-2.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-2.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000CD;">BlueField-2</span></strong></h3> <p>這款DPU產品其實早在VMware去年8月底舉辦的VMworld大會期間，就與ConnectX-6 Dx一起亮相，到了今年2月，Mellanox宣布BlueField-2的I/O處理器（I/O Processing Unit，IPU）即將推出，而在本次的GTC大會期間，Nvidia創辦人暨執行長黃仁勳正式以該公司產品來介紹它，並以「晶片上的資料中心基礎架構（Data Center Infrastructure-on-a-Chip）」來形容它。BlueField-2包含了8顆64位元Arm A72核心，以及ConnectX-6 Dx的網路介面晶片，可提供2個100 Gb/s的乙太網路埠或InfiniBand埠，而且是採用PCIe 4.0的I/O介面，每秒可處理0.7次AI運算（0.7 TOPS）。</p> <p>在架構上，黃仁勳特別提到，BlueField-2能夠進行安全的運算處理，將應用程式範圍，從IT基礎設施的範圍間隔開來，可儲存加密金鑰，並且加速SHA-256認證與加密協定處理，而且能夠執行正規表示式與深度封包檢測，可用於應用程式辨識、入侵防護、網站應用程式防火牆，以及從頻外（out-of-band）角度來進行的惡意軟體偵測，此外，它也可以支援NVMe儲存應用，能用在可伸縮式區塊儲存（Elastic Block Storage）、區塊儲存加密、重複資料刪除、壓縮。</p> <p>Nvidia認為，若單純使用中央處理器，同時提供上述這些功能且要達到100 Gbps的效能，可能會需要用到125顆處理核心才足夠。</p> <p>黃仁勳強調，BlueField-2使用了70億個電晶體，而且是一套可程式化的資料中心晶片（Programmable data center on-a-chip），他承諾將Nvidia長期提供支援。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-3.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-3.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000CD;">DOCA（Data Center Infrastructure-on-a-Chip Architecture）</span></strong></h3> <p>這是專為BlueField而設的軟體開發套件（SDK），當中整合了多種開放API，像是用於網路的DPDK、用於儲存的SPDK、用於封包處理的P4（編按：這是一種用來控制封包轉送層的程式語言，見於路由器、交換器等網路設備），以及Nvidia發展的CUDA、AI軟體應用。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-4.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-4.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">BlueField-2X</span></strong></h3> <p>相較於BlueField-2，BlueField-2X多了一顆Ampere架構的Nvidia GPU，每秒可處理60次AI運算（60 TOPS），能以軟體的形式執行多種安全防護功能，像是異常偵測、即時流量分析（線速）、主機惡意活動檢測、動態資安調度指揮、即時線上分析已上傳的影片，而且，未來推出的BlueField-4就會直接採用這樣整合的架構。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-8.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-8.jpg" style="width: 600px;" /></a></p> <p>如何讓DPU能夠支援更多應用，軟體支援的發展將是關鍵。也因此，黃仁勳花了一些時間介紹DOCA軟體開發套件。他特別將他們長期發展的CUDA來類推DOCA具有同樣的性質，並將其稱為可程式化資料中心基礎設施處理器架構（Programmable data center infrastructure processor architecture），開發者可用它來撰寫各種IT基礎設施的應用程式，像是軟體定義網路系統、軟體定義儲存系統、網路安防護系統、遙測（遠端集中管理），以及目前尚未開發出來的網路內運算（In-Network Computing）應用程式。</p> <p>他強調，DOCA將完全相容與無縫整合到所有主要的作業系統，以及Hypervisor，而基於DOCA所撰寫而成的應用程式，可執行在BlueFileld-2，以及後續的BlueField版本。</p> <p>接著，關於Nvidia與VMware上週在VMworld大會期間宣布合作，例如Project Monterey，黃仁勳也在此重申此事，因為當中的關鍵正是DPU。他說，「我們要將VMware移植到BlueField上，誠如BlueField是資料中心基礎設施的處理器，而VMware是資料中心基礎設施的作業系統，我們的合作將重新定義資料中心。」他強調，Nvidia能將虛擬化、網路、儲存、資安等工作處理，卸載到BlueField，實踐分散式的零信任安全運算環境，在雙方的努力之下，能讓全球三到四千萬臺伺服器的執行效能與安全防護程度，獲得大躍進。</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-5.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware%20Project%20Monterey0.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware%20Project%20Monterey2.jpg" style="width: 600px;" /></p> <p>為了印證BlueField在卸載、加速與隔離等層面的成效，他們播放了一段影片來比較差異。當中呈現的是汽車製造大廠Vovlo實際設計車輛構造的環境，他們透過虛擬化的環境，來進行產品生命週期（PLM）的CAD資料內容操作，在RTX GPU之上執行的OmniVerse提供逼真的光線路徑追蹤處理，VMware提供虛擬化、軟體定義堆疊架構，以及虛擬工作站應用，基於這樣的架構，可具備良好的網路資安防護能力，而對於大量資料的擷取、串流、載入，用於畫面的渲染，也都相當順暢。</p> <p>企業可以選擇純粹採用中央處理器的伺服器架構，或是採用搭配DPU的伺服器架構，讓安全、儲存、網路的負載都卸除到BlueField當中執行，來實現上述配置。然而，若這兩種系統設計都面臨分散式阻斷服務攻擊（DDoS），就會發生不同的狀況──前者的伺服器端處理器使用率將大幅增加，設計者操作CAD內容的各種互動，將會產生嚴重延遲，因為底層的伺服器端需同時應付攻擊者的網路流量請求；後者的使用體驗維持不變，伺服器端處理器使用率無明顯暴增，設計者操作CAD內容仍然很順暢。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia DPU 2020-6.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-6.jpg" style="width: 600px;" /></a></p> <p>基於上述的展示，以及兩家公司的合作，黃仁勳認為，他們一起擁有了可程式化資料中心基礎設施平臺的一些部分，正如Nvidia握有BlueField-2資料處理器、DOCA軟體開發套件，VMware掌控了作業系統平臺。</p> <p>他也預告，如今的BlueField-2只是開端，目前已經能提供樣品，BlueField-3處於完成階段，而BlueField-4正在加緊腳步開發，在增添了CUDA與Nvidia AI應用技術之後，可望更快實現網路內運算的願景。他強調，BlueField系列將彼此相容，並且採用單一軟體應用架構，也就是DOCA。</p> <p>而在運算效能與網路速度的部份，黃仁勳也揭露BlueField在2020年到2023年的發展藍圖，屆時BlueField的運算吞吐量將提升1,000倍，網路速度也將從現行的200 Gbps增加到400 Gbps。</p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/Nvidia%20DPU%202020-7.jpg" style="width: 600px;" /></p> <h2><strong><span style="color:#0000FF;">Nvidia多方牽線，主要系統軟體廠商與伺服器業者都將支援DPU</span></strong></h2> <p>為了推動、拓展DPU的應用，Nvidia也找來許多廠商與其合作。舉例來說，單是VMware的Project Monterey，他們旗下的軟體定義資料中心平臺VMware Cloud Foundation（VCF），將會支援SmartNIC/DPU技術，他們也將針對VCF進行重構，實現伺服器處理的分散運作，而且可支援裸機型態的伺服器部署。在這樣的架構下，應用程式的工作負載可執行在一臺實體伺服器上，所耗用的FPGA硬體加速資源則是坐落在其他臺實體伺服器。同時，ESXi雖然執行在SmartNIC/DPU之上，企業仍然可以使用單一管理框架來控制所有運算基礎設施，並將網路、儲存、資安防護等功能，從原本需集中在主要的伺服器執行，改而釋放到其他地方（SmartNIC/DPU）執行，而這些功能的漏洞修補與升級作業，可獨立於伺服器本身之外來執行。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware Project Monterey1.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware%20Project%20Monterey1.jpg" style="width: 600px;" /></a></p> <p>Project Monterey的進行，主要成員除了VMware、Nvidia，還有英特爾、Pensando Systems，戴爾科技集團、HPE、聯想等伺服器廠商也將基於這個計畫，推出整合系統。</p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware Project Monterey3.jpg"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/VMware%20Project%20Monterey3.jpg" style="width: 600px;" /></a></p> <p>若單就BlueField-2而言，Red Hat、Canonical（Ubuntu）這兩大Linux作業系統與雲端軟體平臺開發商，也計畫或宣布支援BlueField-2。同時，網路防火牆廠商Check Point也宣布整合BlueField-2，該公司旗下的Infinity Next Nano Agent代理程式軟體搭配DPU之後，可在不需損耗伺服器CPU資源的狀態下，針對伺服器進行微分段（Micro-Segmentation t）等多種安全處理運算。</p> <p>在硬體伺服器的部份，Nvidia也號召多家廠商與其合作，華碩、Atos、戴爾科技集團、富士通、技嘉、新華三（H3C）、浪潮（Inspur）、聯想、廣達／雲達、Supermicro等公司，都計畫推出整合Nvidia DPU的企業級伺服器。</p> </div></div></div>
2020/10/8 10:22作者李宗翰https://www.ithome.com.tw/news/140413
Rancher 2.5借助K8s之力支援大規模GitOps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在SUSE併購Rancher Labs之後，官方發布了第一個<a href="https://rancher.com/blog/2020/rancher-2-5-delivers-computing-everwhere-strategy">Rancher</a>版本2.5，兌現當時要支援百萬叢集的承諾，且開始支援Amazon EKS，提供與自家輕量級Kubernetes發行版K3s相同的管理功能。</p> <p>Rancher 2.5支援百萬叢集的工程，從Rancher 2.4開始，其透過創建一個可供所有叢集使用的管理上下文副本，加上經最佳化的Kubernetes控制器，能夠降低Kubernetes API、etcd和主機CPU的工作負載，使得Rancher 2.4可支援10倍數量的叢集，最多可以支援到2,000個叢集和10萬個節點。</p> <p>當發布Rancher 2.4的時候，官方就預告，在下一個版本將可支援百萬叢集，而現在Rancher 2.5結合GitOps連續交付，已可跨百萬叢集部署應用程式。GitOps讓開發者利用版本控制系統，儲存Kubernetes部署所需的檔案和程式碼，達到持續交付的目的。</p> <p>Rancher 2.5引入了一種用於多叢集管理的新架構，基於Kubernetes部署Pod的方式，讓用戶可以定義以叢集為單位的捆綁包，而之所以是以捆綁包為單位，而非應用程式，官方解釋，是因為Rancher 2.5不僅可以管理應用程式部署，還能處理任何Kubernetes資源。Rancher 2.5提供內建機制，可以讓用戶自定義目標叢集的捆綁包，當在叢集中部署了這些捆綁包，Rancher 2.5便會主動監控這些資源部署就緒。</p> <p>從Rancher 2.5開始，官方也將多叢集管理功能，提供給單一叢集部署使用，官方提到，雖然在2016年他們就發布了多叢集管理功能，但是對單叢集用戶來說，並沒有使用這些多叢集管理工具的理由。因此現在官方讓單叢集部署，也能簡單地使用多叢集部署工具，除了Rancher單一二進位檔和安裝流程，能夠簡化叢集操作之外，也提供企業級安全性與政策應用，同時，單叢集用戶還可以透過應用程式目錄，存取雲端原生生態系。</p> <p>從Rancher 2.5開始，也開始全面支援Amazon EKS，官方提到，EKS是他們用戶中，最受歡迎的託管Kubernetes服務，為了滿足用戶的需求，他們在Rancher 2.5中提供Amazon EKS叢集完整生命週期管理，提供用戶匯入、升級、配置和自動縮放等功能，在單一介面中，就能方便地操作Amazon EKS。</p> <p>另外，Rancher Labs還建置了一個高度安全，符合聯邦資訊處理標準（FIPs）Kubernetes發行版RKE Government，這個版本經CNCF認證，其具有擴展性與靈活性，可跨任何基礎設施，提供安全的工作負載，RKE Government除了可以在containerd或是Docker，啟用安全增強式Linux（SELinux）功能之外，還提供通過FOSS FIPS-140-2驗證的加密模組。</p> </div></div></div>
2020/10/8 10:00作者李建興https://www.ithome.com.tw/news/140410
Chrome 86問世了，簡化被駭密碼修改程序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周二（10/6）<a href="https://blog.chromium.org/2020/09/chrome-86-improved-focus-highlighting.html" target="_blank">釋出</a>了支援Windows、macOS與Linux的Chrome 86，該版本簡化了被駭密碼的修改程序，限制背景標籤的CPU使用，也修補了35個安全漏洞。</p> <p>當Chrome檢查使用者於該瀏覽器中儲存的服務憑證時，若察覺到某些網站曾經遭到駭客入侵並造成資料外洩，Chrome就會提醒用戶變更密碼，同時將使用者引導至該服務的密碼重設網頁，簡化密碼重設流程。</p> <p>而原本要在Chrome 85推出的背景分頁節流功能，則一直到Chrome86才現身。它針對已閒置5分鐘以上的背景分頁採取行動，限制它們最多只能使用1%的CPU資源，此外，背景分頁被設定為每分鐘才喚醒一次，即可節省CPU資源，亦能改善<a href="https://www.ithome.com.tw/news/138612" target="_blank">電池效能</a>。</p> <p>Chrome86還修補了35個安全漏洞，當中只有CVE-2020-15967屬於重大（Critical）安全漏洞，為支付系統的釋放後使用漏洞，Google尚未公布漏洞細節，只說它是由GitHub安全實驗室的Man Yue Mo所揭露。</p> <p>至於Chrome 86原本要開始封鎖所有的混合內容，以防止使用者於HTTPS網頁上下載來自HTTP的內容。但Google在今年4月把該功能延後了兩個版本。根據最新的規畫，Chrome 86只會封鎖與執行檔、Archive檔及磁碟映像檔有關的混合內容，依然會放行圖像、聲音、影片與文字格式的混合內容，預計要到Chrome 88才會封鎖所有的混合內容。</p> </div></div></div>
2020/10/7 15:00作者陳曉莉https://www.ithome.com.tw/news/140402
AI趨勢周報第145期：Nvidia AI基礎架構DGX SuperPOD正式上市，數周就能建置Pflops等級超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1002～1008)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DGX SuperPOD </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia AI基礎架構DGX SuperPOD正式上市，數周就能建置Pflops等級超級電腦</strong></span></p> <p>Nvidia宣布企業用AI基礎架構DGX SuperPOD正式上市，可在數周內安裝、建置AI超級電腦，有別於過去需要數年才能完成。DGX SuperPOD叢集可由20至140個不等的獨立AI加速系統DGX A100組成，可提供至少100 petaflops運算效能，最高可擴充至700 petaflops，加速龐大複雜的AI運算作業，比如電腦視覺任務、對話式AI服務等；而韓國最大搜尋引擎NAVER，就採用由140個DGX A100系統組成的DGX SuperPOD，來擴大自然語言處理模型和對話式AI服務。</p> <p>Nvidia也透露，位於瑞典的林雪平大學也正建造由60個DGX A100系統組成的DGX SuperPOD，要以這款超級電腦來推動量子技術和生命科學研究。不只如此，Nvidia也在大會上宣布與英國聯手，要以80個節點的DGX SuperPOD打造一套超級電腦Cambridge-1，運算效能可達400 petaflops，來加速藥物開發和醫療自然語言相關任務。Nvidia指出，今年底前將先於韓國、印度、英國和瑞典等地安裝DGX SuperPOD，其餘銷售將交由各地代理負責。<a href="https://nvidianews.nvidia.com/news/nvidia-announces-ready-made-nvidia-dgx-superpods-offered-by-global-network-of-certified-partners?ncid=so-twit-93657&linkId=100000015848980">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RTX A6000 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大容量 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>48GB超大容量記憶體，Nvidia新推兩款GPU RTX A6000和RTX A40</strong></span></p> <p>有別於遊戲領域，Nvidia這次在技術年會上，瞄準需大量運算資源的專業工作需求，推出兩款基於Ampere架構的GPU：RTX A6000和RTX A40，皆內建48GB記憶體，也具第二代RT Core、第三代Tensor Core和新一代CUDA Core，可加速圖形處理和渲染，也能加快AI運算作業，如新藥開發等。</p> <p>就性能來說，第二代RT Core吞吐量是前一代的5倍，還能同時執行光影追蹤、著色和運算作業，而第三代Tensor Core則能提供前一代5倍吞吐量，並支援新的資料格式如TF32、BF16；至於新一代CUDA Core，F32吞吐量可達前代的2倍。在記憶體方面，除了一張GPU就具48GB超大容量外，還可用 NVLink連結兩張GPU，把記憶體擴展至96GB。<a href="https://blogs.nvidia.com/blog/2020/10/05/nvidia-ampere-pro-graphics/">（詳全文）</a></p> <p><img alt="" src="https://blogs.nvidia.com/wp-content/uploads/2020/10/NVIDIA-A40-672x378.png.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 精神分裂症 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險評估 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國衛院 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手美國國衛院，要用生物標記開發精神分裂症風險演算法</strong></span></p> <p>IBM接下美國國衛院（NIH）專案，要聯手哈佛醫學院、史丹佛大學和西奈山醫學院等機構，以5年的時間來打造一套精神分裂症風險評估器。這項專案是NIH新精神分裂症計畫（AMP SZ）的一部分，該計畫將由兩個資料收集中心和一個資料分析中心組成，形成臨床精神疾病高風險：資料處理、分析和協調中心（DPACC），其中的成員就是IBM研究院、哈佛醫學院、西奈山醫學院和史丹佛大學等機構。</p> <p>此外，團隊也將與美國精神疾病協會基金會、FDA等組織合作，來收集、分析精神疾病相關數據，同時也將整合現有資料集和AMP SZ中的新資料，來開發生物標記（Biomarker）演算法。而生物標記可用來預測一個人的健康風險軌跡，也可用來產生個人化的健康風險評估器，DPACC的目標就是建立一套風險評估器，來即早找出患者、預防精神分裂症發作。<a href="https://www.ibm.com/blogs/research/2020/10/in-collaboration-with-the-national-institute-of-health-ibm-research-dives-deep-into-biomarkers-of-schizophrenia/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言處理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 參數 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> pQRNN PRADO </span></strong></span></p> <p><span style="font-size:22px;"><strong>機器人入門款新選擇，Nvidia推出60美元有找的開發者套件</strong></span></p> <p>想動手製做機器人的使用者有新選擇了！Nvidia日前揭露新一代機器人開發者套件Jetson Nano 2GB，瞄準師生、機器人愛好者，售價僅59美元，比去年發布的上一代套件便宜40美元；與此同時，Nvidia也提供免費的線上訓練課程和認證。</p> <p>這款開發者套件屬於Nvidia Jetson AI邊緣系列產品，套件包含了Jetson Nano模組和2BG記憶體，搭載128核NVID Maxwell GPU和四核64位元Arm處理器，運算效能達472 Gflops。Nvidia指出，這款新套件預計10月底前，開始在全球供貨。<a href="https://www.nvidia.com/en-us/autonomous-machines/embedded-systems/jetson-nano/education-projects/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="354px" width="630px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="354px" src="https://www.youtube.com/embed/dVGEtWYkP2c" width="630px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI加速器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PyTorch </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Cloud TPU正式支援PyTorch 1.6版</strong></span></p> <p>Google雲端加速器TPU開始正式支援深度學習函式庫PyTorch 1.6版，而PyTorch套件PyTorch/XLA也可正式在Google Cloud TPU上使用，來加速機器學習工作負載。此外，PyTorch/XLA也會生成詳細的報告，幫助使用者找出機器學習工作流程問題。</p> <p>在這次正式支援的版本中，還有其他新功能，包括層內模型平行運算、額外的XLA op、更好的Kaggle和Colab體驗，以及深度學習VM映像檔的支援。以平行運算來說，開發者可在多個TPU核心上，分散大規模嵌入表；就映像檔支援來說，GCP深度學習虛擬機器（DLVM）映像檔也內建PyTorch等深度學習框架，而 PyTorch/XLA 1.6現已預裝在DLVM中，並已最佳化，供使用者快速啟用。<a href="https://medium.com/pytorch/pytorch-xla-is-now-generally-available-on-google-cloud-tpus-f9267f437832">（詳全文）</a></p> <p> </p> <div class="media_embed" height="382px" width="661px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="382px" src="https://www.youtube.com/embed/zXAzkqFXclM?list=PL_lsbAsL_o2BY-RrqVDKDcywKnuUTp-f3" width="661px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">太空專案 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 衛星通訊 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM開源兩太空AI專案，可預測太空垃圾路徑和強化衛星通訊</strong></span></p> <p>IBM日前開源太空情勢感測（SSA）和Kubesat專案，使用者可將這兩個容器化專案，部署到IBM Cloud上的Red Hat OpenShift來執行。首先，太空情勢感測能找出靠近地球的物體，也能預測物體移動的軌道，其中，IBM以機器學習模型來偵測物理模型的誤差，來修正物理模型的預測結果。</p> <p>而KubeSat專案是一個認知自動化框架，專門為立方衛星群設計，可模擬和最佳化多衛星通訊。KubeSat利用低階太空動力學函式庫Orekit來模擬物體軌道，可最佳化NATS訊息平臺上，衛星對衛星、衛星對地面接收站和衛星對地表感測器間的通訊。<a href="https://developer.ibm.com/blogs/open-source-gravitates-to-outer-space/">（詳全文）</a></p> <p><img alt="" src="https://developer.ibm.com/developer/default/blogs/open-source-gravitates-to-outer-space/images/SSA.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">電信業</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure for Operators </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>電信專用雲端平臺Azure for Operators登場，可整合Azure邊緣AI服務</strong></span></p> <p>微軟日前發表為電信業打造的雲端平臺Azure for Operators，整合Azure電信業軟體、邊緣網路產品及既有AI、IoT等雲端服務。其中，邊緣運算來自今年稍早公布的Azure Edge Zones，可將Azure雲端服務如AI、Portal、API和開發及安全管理工具等延伸到邊緣。</p> <p>微軟Azure部門執行副總裁Jason Zanders也指出，透過Azure for Operators，電信業者不論在Microsoft Azure雲端或邊緣，都可使用AI或機器學習來自動執行工作任務、建立新服務，而Azure混合及高擴充能力的基礎架構，則方便電信業在可程式化網路上實驗新5G服務。<a href="https://azure.microsoft.com/en-us/blog/microsoft-partners-with-the-telecommunications-industry-to-roll-out-5g-and-more/">（詳全文）</a></p> <p><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/194b5645-3de5-4e12-9b3d-e27dbfa2cb35.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">自動測試 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Playwright for Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟釋出網頁自動化測試工具Playwright for Python </strong></span></p> <p>微軟強化自家測試工具Playwright，除了原本可用JavaScript來測試網頁應用程式外，現在還擴增支援了Python，讓Python開發者也能輕鬆對網頁應用程式執行端到端測試。</p> <p>Playwright專為現代網頁設計，能應付每年不斷更新發展的網頁平臺，可模擬行動裝置視角（ViewPort）、地理位置和網頁權限，還能攔截和修改網路活動，並跨多個頁面自動執行腳本。Playwright支援Chromium、WebKit和Firefox，由於全平臺支援WebKit，因此開發者可在MacOS、Windows和Linux，測試Safari的渲染功能。<a href="https://devblogs.microsoft.com/python/announcing-playwright-for-python-reliable-end-to-end-testing-for-the-web/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2020/09/playwright-python-repl.gif" style="width: 960px; height: 638px;" /></p> <p>圖片來源／Nvidia、IBM、Google Cloud、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 高醫聯手緯創，以人臉辨識打造一站式偏鄉量測站</strong></p> <p><strong>2. Amazon發表掌紋辨識系統Amazon One </strong></p> <p><strong>3. ML.NET現可訓練自定義物體偵測模型</strong></p> <p><strong>4. 微軟開源多個基因組研究專案，要讓用戶輕鬆以Azure執行生物資訊運算</strong></p> <p>資料來源：iThome整理，2020年10月</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 20px; top: 259.028px; width: 669.351px; height: 24.4444px;"> </div> <div aria-describedby="bubble-24" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: -324px; top: 293px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-24"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 334.5px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2020/10/7 13:16作者王若樸https://www.ithome.com.tw/news/140398
資安一周第114期：臺灣2大人力銀行數百萬個資外洩。駭客組織鎖定臺灣等國企業發動間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1001-1007 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩 </strong></span></h3> <h2><strong style="vertical-align: top;">104、1111人力銀行驚傳數百萬求職個資遭到兜售</strong></h2> <p>在10月4日，根據自由時報等多家臺灣媒體報導，<a href="http://www.ithome.com.tw/news/140352">104人力銀行</a>疑在中秋節前，遭到中國駭客侵入，592萬4,397筆求職個資被張貼在暗網出售。隔日，1111人力銀行亦傳出335萬6,061筆求職者的資料，出現於同一個駭客論壇求售的情況。</p> <p>對於個資外洩的情況，2家公司皆做出回應。104人力銀行發出公告，證實確有此事，他們根據駭客公開的35筆資料研判，此次事件洩露的應為2013年的舊資料，並指出他們已向調查局報案，但尚未對用戶說明該事件的處理與補救措施。1111人力銀行則表示，他們已向刑事警察局偵查九隊報案，同時指出經過比對，這次遭公布的內容是9年前案件。該公司強調已全面提升資安，並於新聞稿中指出為確保會員權益，他們投保第三人責任險，董事會亦提撥2億元成立賠償基金。<strong><a href="https://www.ithome.com.tw/news/140352">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">駭客組織Palmerworm對臺灣等多國企業發動間諜攻擊</strong></h2> <p>博通（Broadcom）旗下的賽門鐵克，發現駭客組織Palmerworm（亦稱為BlackTech）的網路間諜攻擊行動，這波行動自去年開始持續到今年，目標遍及臺灣、中國、日本，以及美國的許多企業。</p> <p>該公司指出，此次攻擊行動中，Palmerworm不僅自製惡意程式，亦搭配合法工具，如Putty、PSExec、SNScan，以及WinRAR，以進行就地取材攻擊（Living-off-the-Land，LotL）。利用這類隱蔽手法，使Palmerworm得以在目標企業網路潛伏許久。例如受害的臺灣媒體公司自去年8月遭到植入惡意程式，直到今年9月才被發現。而臺灣金融服務業的受害期間，則從去年8月至今年3月初。<a href="https://www.ithome.com.tw/news/140293"><strong>詳全文</strong></a></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/114-1-Palmerworm-target-taiwan_Symantec.png" style="width: 400px;" /></p> <p>圖片來源：賽門鐵克</p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃APT攻擊</strong></h3> <h2><strong style="vertical-align: top;">鎖定公部門的APT駭客組織XDSpy暗中活動長達9年</strong></h2> <p>資安業者ESET揭露名為XDSpy的駭客集團，宣稱它是個未曾留下記錄的APT組織，祕密運作長達9年之久，該組織從2011年起開始滲透東歐與巴爾幹半島的政府機關，也有部分企業受害。</p> <p>根據ESET的分析，此駭客組織主要的攻擊手法為魚叉式網釣郵件，不過，他們於今年6月開始濫用IE漏洞CVE-2020-0968，此漏洞微軟在今年4月已經修補。關於XDSpy鎖定此漏洞的原因，研究人員認為是坊間有關細節不多，公部門可能疏於防範而有機可趁。<a href="https://www.ithome.com.tw/news/140345"><strong>詳全文</strong></a></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">大型船運業者CMA CGM遭Ragnar Locker攻擊</strong></h2> <p>總部設在法國的全球第四大貨櫃船運業者CMA CGM，傳出遭到駭客入侵。根據船務新聞網站勞埃德船舶日報（Lloyd’s List）報導，CMA CGM是勒索軟體Ragnar Locker的受害者。</p> <p>CMA CGM於9月28日坦承遭受攻擊，他們於聲明中指出正在處理受影響的伺服器，並中斷應用程式的外部存取，以免惡意程式持續擴散。勞埃德船舶日報指出，從駭客留下的訊息來看，他們限期CMA CGM於2天內付贖金，但沒有提及贖金金額。<strong><a href="https://www.ithome.com.tw/news/140261">詳全文</a></strong></p> <p><a href="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/114-2-Ranger_Locker-CMA_CGM.png"><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/114-2-Ranger_Locker-CMA_CGM.png" style="width: 400px;" /></a></p> <p>圖片來源：勞埃德船舶日報</p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">瑞士鐘錶公司Swatch傳出遭駭客入侵</strong></h2> <p>知名鐘錶業者近期也成為勒索軟體攻擊的目標，旗下擁有10多個手錶品牌的Swatch集團，向資安新聞網站Bleeping Computer證實，駭客攻擊該公司部分IT系統，迫使他們關閉某些系統以防攻擊範圍擴散。不過，Swatch並未透露進一步細節，只有表示部分營運因受影響的系統關閉，而受到影響。Bleeping Computer根據Swatch提供的聲明，認為該公司可能是遭到勒索軟體攻擊。<strong><a href="https://www.ithome.com.tw/news/140302">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">伊朗駭客正利用Zerologon漏洞發動攻擊</strong></h2> <p>存在於Windows伺服器DNS服務的Zerologon漏洞，先前受到美國當局的高度重視，微軟也於9月底揭露發現漏洞已經遭到濫用，然而發動攻擊的駭客身分為何？該公司於10月6日指出，伊朗駭客組織Mercury自2周前，就開始將Zerologon運用於實際攻擊行動。<strong><a href="https://www.ithome.com.tw/news/140371">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃釣魚郵件攻擊</strong></span></h3> <h2><strong>研究人員揭露以回信型式讓受害者上當的釣魚郵件手法</strong></h2> <p>電子郵件釣魚攻擊事件頻繁，許多使用者可能都有基本的資安意識而不去打開來路不明的信件，然而，最近資安研究員Craig Hays揭露一種新的手法，攻擊者利用回信的型式來發送釣魚郵件，由於此種信件的寄件人與收件人，都是受害者近期聯絡的對象，再加上使用了以Re:為開頭的主旨，收到信的人不太可能察覺有異。Craig Hays呼籲，使用者帳號應採用多因素驗證機制，來防範用戶帳號資訊被騙走。<a href="https://www.ithome.com.tw/news/140317">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃VPN</strong></span></h3> <h2><strong style="vertical-align: top;">WSL2網路流量於部分情況會繞過VPN，恐造成隱私洩露</strong></h2> <p>VPN業者Mullvad接獲通報，指出在Windows作業系統提供執行Linux環境的WSL2（Windows Subsystem for Linux 2），Linux用戶端存取網際網路時，會繞過主機端的VPN通道，直接連接網路。該公司指出，這個現象是因為在Linux用戶端使用Hyper-V虛擬網路卡存取網路，流量不會經過主機防火牆，因此，同樣使用Hyper-V虛擬網路卡存取網路的用戶端，像是Windows提供的沙箱或是Docker容器，都可能存在類似的資料洩漏風險。基於上述因素，該公司測試其他VPN業者的用戶端軟體，也出現相同的情況。<strong><a href="https://www.ithome.com.tw/news/140316">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Podcast平臺聲浪部分頻道遭到攻擊</strong></h2> <p>在9月29日晚間，臺灣網路廣播（Podcast）平臺聲浪（SoundOn）遭到網路攻擊，駭客針對4個高流量的頻道下手，導致用戶無法收聽，相關的資訊欄位亦被竄改。該公司於30日下午發出聲明，表示遭受攻擊的當下即進行處理，事件發生數小時內節目資料陸續恢復完畢，他們也重新檢查系統安全性，以防後續播客的權益受到影響。<a href="https://www.facebook.com/soundonfm/posts/1057406914702368">詳全文</a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃NAS</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體AgeLocker鎖定威聯通NAS發動攻擊</strong></h2> <p>臺灣網路儲存裝置（NAS）廠商威聯通（QNAP），旗下的NAS設備傳出遭到勒索軟體AgeLocker鎖定，威聯通於9月25日發出安全性公告，呼籲用戶升級QTS到4.4.1版來防範相關攻擊。</p> <p>最早揭露此波攻擊行動的是資安新聞網站Bleeping Computer，根據報導，AgeLocker自8月底開始鎖定該廠牌NAS發動攻擊，並將系統裡的GPG檔案與備份資料加密，以要求受害者使用比特幣支付贖金。至於AgeLocker如何入侵這些NAS裝置？根據威聯通的安全公告，很可能是針對舊版Photo Station線上相簿應用程式而來。<a href="https://www.ithome.com.tw/news/140313">詳全文</a></p> <p><img alt="" src="https://d3jcp1umdd59vg.cloudfront.net/sites/default/files/images/114-3-AgeLocker-target-qnap-nas.png" style="width: 400px;" /></p> <p>圖片來源：威聯通</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/140350">英國政府指出華為設備存在影響國家安全的瑕疵</a><br /> ●<a href="https://www.ithome.com.tw/news/140344">殭屍網路Trickbot遭不明人士襲擊</a><br /> ●<a href="https://www.ithome.com.tw/news/140348">臉書指控中國駭客入侵用戶帳號以張貼非法廣告</a><br /> ●<a href="https://www.ithome.com.tw/news/140299">Rapid7揭露仍有數以萬計的Exchange伺服器沒有修補</a></h3> </div></div></div>
2020/10/6 18:41作者周峻佑https://www.ithome.com.tw/news/140379
Nvidia推出59美元的AI開發者套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia於本周<a href="https://www.nvidia.com/en-us/autonomous-machines/embedded-systems/jetson-nano/education-projects/?ncid=so-infl-33632#cid=em02_so-infl_en-us" target="_blank">發表</a>AI開發者套件Jetson Nano 2GB，供想要學習人工智慧與機器人的入門者練習，即日起開放<a href="https://developer.nvidia.com/buy-jetson?product=jetson_nano&location=TW" target="_blank">預購</a>，預計於今年10月底出貨。一名愛好機器學習的軟體開發者Adam Geitgey<a href="https://medium.com/@ageitgey/build-a-face-recognition-system-for-60-with-the-new-nvidia-jetson-nano-2gb-and-python-46edbddd7264" target="_blank">則說</a>，利用該套件就能打造一個具備人臉辨識功能的門鈴攝影機。</p> <p>跟樹莓派（Raspberry Pi）一樣，Jetson Nano 2GB也是單板電腦，但它配備1.4GHz的4核心Arm處理器與Nvidia Maxwell GPU，可用來執行GPU加速的應用程式；雖然市面上已有許多支援AI的開發板，但Jetson Nano 2GB的最大優勢在於它奠基在CUDA-X上，此為專為AI及HPC設計的GPU加速函式庫，因此幾乎不需要修改就能直接執行既有的Python深度學習程式。</p> <p>這是Nvidia所推出的第二代Jetson Nano開發者套件，除了售價從129美元調降到59美元以外，新一代的Jetson Nano 2GB也添增了Wi-Fi模組，而不必再接網路線，亦支援最新的USB-C傳輸埠。不過，Jetson Nano 2GB只有2GB的記憶體，第一代卻有4GB，還內建16GB的儲存空間。</p> <p>Jetson Nano 2GB用戶必須自行配備microSD卡、讀卡機、USB滑鼠/鍵盤及螢幕，Jetson Nano 2GB對儲存空間的最低需求為32GB，但建議最好具備64GB或以上的容量，以用來裝載Ubuntu Linux作業系統與其它程式。</p> </div></div></div>
2020/10/6 16:20作者陳曉莉https://www.ithome.com.tw/news/140372
一周大事：Zerologon漏洞攻擊活動出現，AD主機安全拉警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>AD主機出現嚴重威脅！Zerologon漏洞攻擊活動出現</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/Zerologon-DHS.jpg" style="width: 500px;" /></p> <p>在9月上旬，安全廠商Secura研究人員揭露編號CVE-2020-1472的Zerologon漏洞，該漏洞微軟已在8月安全更新中提供暫時緩解的修補，微軟並說明，完整修補可能要等到明年第一季，但不能被忽視的是，企業是否都有重視此漏洞並修補，因為，該漏洞可輕易讓駭客攻入企業Windows ActiveDirectory（AD）網域伺服器，在9月下旬，更是已有相關自動化攻擊與攻擊活動出現。</p> <p>關於Zerologon漏洞的嚴重性，不僅是因為它達到CVSS3.0風險評分的滿分（10分），同時，也是針對微軟Netlogon遠端協定的身分驗證繞過漏洞，影響範圍極大，因此美國國土安全部在9月18日也發出緊急指令（Emergency Directive），要求該國政府機關在9月21日之前完成修補，防範日後可能將面臨的威脅。</p> <p>臺灣資安業者奧義智慧也發出警示，指出該漏洞將能使駭客在短短3秒鐘，就能駭入企業AD伺服器。<a href="https://www.ithome.com.tw/news/140238" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>全臺第一支警用無人機隊成軍</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1004-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-%E6%96%B0%E5%8C%97%E8%AD%A6-drone.png" style="width: 545px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_新北市警察局</span></p> <p>新北市警察局宣布成立全臺第一支警用無人機專責隊，由20名取得G1和G3專業高級操作證照的警員組成，要運用這些具AI辨識能力的無人機，來解決刑案偵防、交通控管、環境破壞，以及防救災等四大問題。</p> <p>這支無人機專責隊的成立依據，是民航局在今年3月發布的遙控無人機管理規則，以及法務部正在擬定的科技偵查法新規。新北市警察局表示，這支無人機隊可強化警局「全方位3D科技維安網」，透過補足空中視角，來改善辦案效率。</p> <p>這些無人機由中光電智能機器人公司打造，中光電智能總經理忻維忠指出，在硬體上，自家無人機完全由臺灣製造、達軍規等級，因此不論是颳風、下雨，對無人機的影響並不大，穩定性高，續航力可達30至40分鐘。此外，該無人機配置10倍光學變焦鏡頭，可擴大視野、監控整體環境。<a href="https://www.ithome.com.tw/news/140214" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>國泰金發布環球貿易共享區塊鏈</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1004-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-%E5%9C%8B%E6%B3%B0%E5%8D%80%E5%A1%8A%E9%8F%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_國泰金控</span></p> <p>國泰金控發布環球貿易共享區塊鏈，找來多家銀行共組跨行聯盟，首波鎖定進出口貿易服務應用，要解決企業客戶重複融資，以及拿假提單資料來貸款的問題。第一階段將介接長榮海運與陽明海運的航運資料。<a href="https://www.ithome.com.tw/news/140215" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>臺灣多家主機代管商遭DDoS攻擊，攻擊來源是國內IP位址，疑大量DVR設備遭入侵</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1004-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-ddos.jpg" style="width: 600px;" /></p> <p>在9月下半，臺灣有多家主機代管業者傳出遭到大規模DDoS攻擊，包括遠振資訊、捕夢網數位科技、匯智資訊與戰國策集團等，而且，攻擊持續多天，導致這些業者所代管的網站服務都受影響。值得關注的是，由於攻擊對象是這些提供主機代管服務的業者，間接導致他們所代管的網站服務都受影響，更不容忽視的是，這段期間是同時多家業者都遭攻擊，由於臺灣有不少企業組織採用這類服務，面對這樣大規模且持續多日的攻擊態勢，等於有成千上萬的網站服務都受衝擊，值得國內政府單位與企業關注。<a href="https://www.ithome.com.tw/news/140158" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>剖析數位身分證資安爭議，臺大研究生公布歐洲4國eID實行狀況研究</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1008-eID_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影_羅正漢</span></p> <p>臺灣政府打算升級數位身分證（eID），全民都很關注後續發展，這幾個月來持續有不同層面的專家發言與討論，在最近舉行的HITCON 2020的議程上，也有針對eID研究的一場演講，當中特別分析愛沙尼亞、比利時、德國與克羅埃西亞的案例，不只從卡片面、系統面、法規面，甚至中介軟體、PIN碼設定過程等面向來比較。<a href="https://www.ithome.com.tw/news/140031" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google育成中心推出工作追蹤工具Tables</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1008-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-_Tables_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 350px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>谷歌育成中心Area 120在美推出工作追蹤工具Tables，強調可協助團隊追蹤工作，還能夠自動化多種待辦任務。Tables的基礎為機器人，只要任務逾期了，機器人就會寄出提醒郵件，若收到新表單，便會在聊天室中宣布，也會在狀態改變時將任務轉移到其他人的工作佇列上，還能檢查及處理不同來源的資料。<a href="https://www.ithome.com.tw/news/140147" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Apple程式語言Swift開始支援Windows</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1008-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B-%E5%9C%961_Swift.png" style="width: 500px;" /></p> <p>過去一年以來，Swift社群努力地將Swift移植到Windows上，而現在這項成果，已經達到初步可以使用的階段，開發者可以下載適用於Windows的Swift工具鏈映像檔，取得在Windows建置和執行Swift程式碼必要的元件，開發能在Windows平臺執行的Swift應用程式。<a href="https://www.ithome.com.tw/news/140148" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AI內容審查誤殺率過高，YouTube重啟人工審查</strong></span></p> <p>因應在家上班局勢，YouTube決定由AI負責下架違規影片，現在坦承AI審查員誤判率太高，將改回人工審查。<a href="https://www.ithome.com.tw/news/140122" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟預告明年下半推出新的買斷版Office</strong></span></p> <p>就在外界以為微軟準備全面將Office從買斷模式轉移到訂閱模式之際，微軟卻於近期舉行的Ignite開發者大會上宣布，預計於明年下半年推出新的買斷版Office，且將同時支援Windows與macOS。<a href="https://www.ithome.com.tw/news/140191" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>一張照片就可讓駭客劫持Instagram用戶帳號</strong></span></p> <p>Check Point研究人員發現Instagram（IG）存在嚴重的漏洞，駭客只要傳送一張惡意的JPEG圖片給被害者，就能夠入侵被害者的IG帳號，甚至存取相機、麥克風和聯絡人資料。臉書獲報後已釋出修補該漏洞的IG程式。問題出在IG使用的第三方函式庫Mozjpeg，IG將這項開源專案用作JPEG格式圖像解碼器的方式存在漏洞。<a href="https://www.ithome.com.tw/news/140211" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google決定關閉Chrome Web Store的支付系統</strong></span></p> <p>Google宣稱於Chrome Web Store偵測到涉及付費擴充程式的大量詐騙交易，企圖剝削使用者，因而暫時禁止開發人員出版付費擴充程式，現在更宣布將永遠關閉Chrome Web Store的支付系統，並直接建議開發人員使用第三方的支付平臺。<a href="https://www.ithome.com.tw/news/140142" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟發表Windows Server VM自動管理服務</strong></span></p> <p>微軟改善Azure多項Windows Server管理功能，包括進入預覽階段的Azure Automanage功能，標榜能自動化Windows Server虛擬機器生命周期各階段，以簡化日常管理任務，管理員只要透過點擊按鈕，就能夠單獨或是大規模管理虛擬機器生命周期。<a href="https://www.ithome.com.tw/news/140186" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>因應雲端熱儲存，微軟發展結合AI的HSD新技術</strong></span></p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/1008-%E4%B8%80%E5%91%A8%E5%A4%A7%E4%BA%8B_Project%20HSD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>在Ignite大會上，微軟研究院公布名為Project HSD的全像儲存技術，以因應雲端時代的大量熱資料存儲需求。HSD可追溯自1960年代，最早使用雷射將資料寫入在感光媒體上，為取代現有磁碟儲存的潛在高容量儲存技術。研究團隊利用綠光把資料寫入在摻鐵的鈮酸鋰（LiNbO3：Fe）晶體中，將晶體中的資料圖示投射到顯示裝置，再結合市售高解析度相機以及深度學習技術，讓其研究成果可做到現有頂尖體積全像儲存系統1.8倍的資料密集度。<a href="https://www.ithome.com.tw/news/140234" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Flutter登陸Windows，還將支援UWP</strong></span></p> <p>Google開發的UI工具Flutter，不只大舉支援iOS和Android應用程式的開發工作，7月時，Canonical還與Google聯手釋出Linux版本Flutter。現在，官方釋出Flutter Windows的Alpha測試版，要讓Windows開發人員也能用Flutter開發應用程式。<a href="https://www.ithome.com.tw/news/140170" target="_blank">更多內容</a></p> </div></div></div>
2020/10/4 07:00未署名https://www.ithome.com.tw/news/140304
微軟釋出網頁自動化測試工具Playwright for Python
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化其端到端測試測試工具Playwright，使其不只能夠使用JavaScript，對網頁應用程式進行測試，現在還擴增支援Python，讓Python開發者也能方便地，對網頁應用程式執行端到端測試。開發者可以從PyPI安裝<a href="https://devblogs.microsoft.com/python/announcing-playwright-for-python-reliable-end-to-end-testing-for-the-web/">Playwright for Python</a>函式庫，開始測試工作。</p> <p>端到端測試是利用程式自動與UI互動，以驗證應用程式功能的方法，微軟提到，自動化端到端測試，可以讓開發團隊更快且更有自信地交付程式碼，而且因為現在團隊交付速度要求更快，又需要建構可在多裝置上執行的應用程式，所以測試的壓力也越來越大。</p> <p>微軟發布Playwright API，讓開發者可以操作熱門網頁瀏覽器，執行端到端測試，微軟提到，Playwright比現有測試工具更快，且提供更強大的自動化功能。之前微軟發布適用於JavaScript的Playwright，其為Node.js函式庫，能夠以單一API，自動化瀏覽器，而現在新增Python支援，在PyPI釋出Playwright for Python函式庫。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/python/wp-content/uploads/sites/12/2020/09/playwright-python-repl.gif" style="width: 580px; height: 385px;" /></p> <p>微軟提到，在自動化測試的過程，端到端測試很容易變得緩慢且不穩定，而Playwright能夠提供可靠，且非利用逾時方法的自動化控制功能。</p> <p>現在的網頁應用程式功能豐富回應快速，而且可以根據用戶互動發出網路請求和更改DOM，而這種非同步行為，使得應用程式碼難以進行自動化測試，因為傳統自動化測試，都是透過睡眠逾時來控制自動化，但是這種方式容易發生無法預測的失敗。</p> <p>Playwright能夠等待UI就緒，以確保測試能夠正確執行，而在背景，Playwright則以事件驅動架構，監聽瀏覽器事件，諸如DOM變更、網路請求或是頁面導覽等。</p> <p>而且Playwright是專門為現代網頁設計，能夠應付每年不斷更新發展的網頁平臺，可模擬行動裝置視角（ViewPort）、地理位置和網頁權限，Playwright還能夠攔截和修改網路活動，並跨多個頁面自動執行腳本。Playwright支援Chromium、WebKit和Firefox，由於全平臺支援WebKit，因此開發者可以在MacOS、Windows和Linux，測試Safari的渲染功能。</p> </div></div></div>
2020/10/2 20:00作者李建興https://www.ithome.com.tw/news/140326
WSL2網路流量在部分情況不受VPN保護，直接洩漏至網際網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VPN業者<a href="https://mullvad.net/en/blog/2020/9/30/linux-under-wsl2-can-be-leaking/">Mullvad</a>經通報，發現在WSL2（Windows Subsystem for Linux 2）存在資料不受VPN保護，洩漏到網際網路上的漏洞。即便用戶配置所有網路流量皆需使用VPN服務，網路流量還是可能未經VPN通道，直接流進網際網路，Mullvad提到，他們目前還沒有找到解決方案，且在其他VPN客戶端軟體上也有相同的情況。</p> <p>WSL是微軟在2016年推出的功能，是個可在Windows上執行Linux應用程式的環境，WSL提供Linux相容的核心介面，允許在其上執行GNU使用者空間，像是Ubuntu、openSUSE與Kali等Linux版本，在2019年的時候，微軟更新釋出WSL2新架構，在Windows中直接內建Linux核心，並且持續強化改進WSL2的功能，目前WSL2已經支援GPU與DirectX，開發者可以在WSL2上，使用GPU加速運算，而且WSL2還開始支援Linux GUI應用程式。</p> <p>Mullvad收到回報，揭露在WSL2中會洩漏VPN流量的安全漏洞，Mullvad進一步查明，這個漏洞發生原因，是因為Linux訪客的流量，會繞過Windows主機防火牆WFP，直接進到網際網路中。由於來自Linux訪客的網路流量，都會經過主機預設的路由不受WFP的檢查，當VPN通道建立且運作，那Linux訪客流量就會透過VPN發送而不會洩漏，但是當應用程式錯誤或是斷線等，在沒有可用VPN通道的情況，WFP又無法攔截Linux訪客網路流量，即便用戶設定總是需要VPN選項，Linux訪客虛擬機器的流量，還是就會直接洩漏到網路上。</p> <p>Mullvad解釋，問題發生在WSL2使用的Hyper-V虛擬網路，Hyper-V模擬乙太網路卡供流量傳入與傳出Linux訪客，因為流量不經過主機防火牆，因此防火牆也無法像檢查一般封包一樣，檢查Linux訪客的網路封包。轉發的封包都只會被視為乙太網路影格（Ethernet Frame）格式資料，因此Mullvad提到，只要是使用Hyper-V進行網路連接，任何在Windows Sandbox或Docker下執行的訪客，都可能發生類似的資料洩漏。</p> <p>Mullvad也對其他VPN業者的客戶端進行測試，發現都會以同樣的方式洩漏資料，Mullvad提到，這並非只是Mullvad VPN的問題，VPN供應商都遇到相同的情況，因為微軟實作Linux訪客虛擬網路的方式，讓保護其網路流量變得困難。</p> <p>早在4月的時候，就有人發現這個問題了，有一位GitHub ID為fibu79的開發者，在微軟WSL儲存庫中開了一個關於在WSL2使用VPN的<a href="https://github.com/microsoft/WSL/issues/5068">問題</a>，說明了WSL2的Linux訪客網路流量，可能不受VPN保護的狀況，不少開發者也附和遇到相同問題，但這個問題並沒有被官方明確處理，有一些人透過改變系統配置，解決流量洩漏的問題。Mullvad在8月曾接過一次回報，但因為當時沒有正確重現漏洞，所以不知道問題所在，等到9月再次收到同樣問題的回報，他們才成功重現這個問題，目前還在研究解決方案中。</p> </div></div></div>
2020/10/1 16:45作者李建興https://www.ithome.com.tw/news/140316
Qnap裝置遭AgeLocker勒索軟體鎖定攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NAS業者Qnap上周發出<a href="https://www.qnap.com/en-us/security-advisory/qsa-20-06" target="_blank">公告</a>，警告用戶小心遭勒索軟體AgeLocker加密其重要檔案，呼籲用戶儘速升級作業系統。</p> <p>這隻勒索軟體因為使用Age（Actually Good Encryption）演算法來加密目標系統中的檔案而得名。Qnap表示，AgeLocker攻擊目標為該公司全球NAS系統及Linux、macOS裝置，安全團隊正在調查中，他們呼籲用戶先儘速升級到最新版QTS（4.4.1版）作業系統及應用程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/agelocker-ransomware-targets-qnap-nas-devices-steals-data/" target="_blank">Bleeping Computer</a>本月稍早率先報導AgeLocker從8月底以來，便以Qnap NAS為目標發動攻擊。一旦發動攻擊，AgeLocker會將Qnap系統中的GPG檔案、備份等加密並留下勒索訊息純文字檔，要求支付比特幣。為了證明付款後就會解密，駭客還允許受害者上傳4MB以下被加密的資料庫、備份或Excel檔由其免費解密。</p> <p>至於AgeLocker怎麼進入Qnap系統尚不得而知，但Qnap安全公告指出，AgeLocker可能攻擊早期版本的Photo Station線上相簿應用程式。</p> <p>這是Qnap裝置最新一次陷於網路威脅中。5月底Qnap也<a href="https://www.ithome.com.tw/news/137748" target="_blank">被爆</a>Photos Station服務有多項漏洞，可能讓駭客串聯起來發動遠端程式碼執行（RCE）攻擊。6月另一隻勒索軟體eCh0raix也經由Photo Station漏洞，感染Qnap客戶的NAS裝置。9月份，安全廠商又<a href="https://www.ithome.com.tw/news/139710" target="_blank">發現</a>網路上有不少Qnap設備，明明3年前已經有修補程式卻仍未修補RCE漏洞，而暴露於被駭風險中。</p> </div></div></div>
2020/10/1 13:15作者林妍溱https://www.ithome.com.tw/news/140313
微軟更新Azure備份服務，Azure PostgreSQL資料備份可留存10年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://azure.microsoft.com/zh-tw/blog/whats-new-in-azure-backup/">雲端Azure備份服務（Azure Backup）新增多項功能</a>，不只強化Azure上資料庫的資料備份功能之外，也提高了備份資料的效能與可用性，並改進安全性，減少備份資料受到惡意攻擊的風險，另外，Azure備份自動管理功能進入預覽階段，可減輕管理人員日常工作負擔。</p> <p>微軟結合Azure備份以及資料庫服務，建構企業級備份解決方案，提供用戶能夠滿足資料保護，以及法遵要求的資料備份策略，現在Azure備份可以留存Azure PostgreSQL資料庫資料，長達10年，用戶可以精細地對單個資料庫進行備份與還原操作，甚至能夠跨PostgreSQL版本進行還原。</p> <p>在Azure Linux虛擬機器上執行的Oracle和MySQL資料庫備份也獲得更新，微軟提到，應用程式的一致性備份，可以確保備份的資料維持交易一致性，但為了維持交易一致性，需要在應用程式靜止時進行快照，以避免存在不完整的交易，而Azure備份提供了一個框架，在備份Azure Linux虛擬機器的時候，能夠維持應用程式的一致性，該框架讓用戶能夠靈活地，在虛擬機器備份之前與之後執行腳本，微軟現在改進這個框架，並且提供打包好的預發布腳本，可對Oracle和MySQL進行一致性備份。</p> <p>過去，Azure備份服務會一次備份虛擬機器中所有的磁碟，而微軟現在提供更多磁碟備份與還原選項，使用者現在可以只選擇備份虛擬機器中一部分的磁碟，每個恢復點僅包含備份操作中包含的磁碟，而且在還原時，還能僅對磁碟子集進行還原，以更靈活滿足備份和還原需求。在之前，Azure備份每個虛擬機器僅支援16個受控磁碟，而現在，每個虛擬機器最多支援備份32個受控磁碟。</p> <p>為了預防惡意軟體、勒索軟體和駭客入侵等安全威脅，Azure備份新增功能以保護遭到刪除的備份資料，新加入的軟刪除功能，無論是遭到惡意攻擊，或是因人為失誤意外刪除備份資料，備份資料會額外留存14天，使用者可以在不丟失任何資料的情況下恢復備份專案，而備份資料多留存的14天，不會產生任何額外費用。</p> <p>另外，Azure備份現在還提供自動管理功能，能夠自動執行頻繁且耗時的管理工作，包括像是Azure備份的成員加以及配置等，Azure備份會自動選擇最佳實踐配置，或是利用自動管理功能自定義備份政策，以符合企業法遵需求。而且自動管理還會持續監控備份配置，當配置偏移，也能自動修復到原來的狀態。</p> </div></div></div>
2020/9/30 14:23作者李建興https://www.ithome.com.tw/news/140295
公有雲新一波容器應用競爭開打
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球大型公有雲服務業者不斷在市場規模與技術等層面競爭，各自都有相當精采的發展，而在他們舉行的全球年度用戶大會期間，正是展示技術火力與解決方案的最佳時刻，以9月而言，先有阿里雲的雲棲大會，在17日與18日舉辦；再來是微軟的Ignite大會，於22日到24日舉辦，都是以線上研討會的形式，呈現最新或即將登場的雲端服務與解決方案。</p> <p>針對容器／Kubernetes、混合雲應用的部份，這兩家廠商都發布了相關消息。</p> <p>例如，阿里雲推出了原生的Kubernetes容器服務，名為安全沙箱容器2.0（Sandboxed-Container 2.0），而在這套服務當中，Kubernetes叢集可提供沙箱隔離式的容器執行階段個體，號稱能讓用戶在輕量的沙箱環境當中，以更快的速度與更低成本的IT資源來執行應用系統，顯然重點特色在於隔離性、效能，以及資源使用。而根據阿里雲的相關線上文件指出，現在安全沙箱的容器overhead可降低90%，啟動速度提升3倍，單機密度也提升10倍。</p> <p>而微軟Azure相關的消息發布較多，他們揭露幾項混合雲的新應用方案，像是Azure Arc-enabled servers、Azure Arc-enabled data services，以及Azure Stack Edge。</p> <p>其中的Azure Arc-enabled servers，已經可用於Windows與Linux伺服器，用戶能夠針對他們的伺服器加上標籤、以階層架構的方式進行整理、從單一位置來搜尋，並且可透過Azure Policy來對伺服組態來設定阻隔，同時，也能運用Azure現有多種管理服務，像是：Azure Security Center、Azure Monitor、Update Management等，執行集中控管。</p> <p>Azure Arc-enabled data services的部份，是指Azure SQL代管執行個體、Azure PostgreSQL等兩種資料庫雲端服務，能夠執行在任何IT基礎架構。</p> <p>同時，Azure Stack Hub現在也能部署Azure Arc for Data Services，有了這項機制，能讓用戶運用Azure Stack，以及採用Azure Kubernetes Services（AKS）引擎的Kubernetes叢集，作為代管Azure Arc data services的IT基礎架構，因此，用戶能以此結合Azure虛擬機器、虛擬網路、儲存、功能（functions）、網站應用程式，來建立SQL Server與PostgreSQL等資料庫伺服器的執行個體。</p> <p>此外，微軟也在Azure Stack Hub推出AKS Resource Provider，透過這套資源提供者的功能，用戶能從Azure網站入口與命令列介面來管理Kubernetes叢集。</p> <p>而上述提到的Azure Stack Edge，微軟將會提供3款整合應用設備，分別是：Azure Stack Edge Pro with GPU、Azure Stack Edge Pro R、Azure Stack Edge Mini R。</p> <p>而在容器安全的部份，Azure Security Center的雲端工作負載防護特色，現在微軟稱為Azure Defender，可針對Azure與混合雲環境提供綜合型的偵測與反應技術（XDR），並且能涵蓋虛擬機器、資料庫、容器與物聯網等環境。目前微軟提供了Azure Defender for Kubernetes，可包含Kubernetes層級的政策管理，以及搭配系統管理控制而提供的強化與政策強制施行，確保Kubernetes工作負載預設的安全性是足夠的。同時，Azure Defender也提供持續的容器映像掃描，可用於容器登錄服務，透過這樣的防護來減少容器存在已知、卻未修補的漏洞。</p> <p>在阿里雲與微軟Azure發表他們的容器、Kubernetes相關服務與功能特色之後，身為公有雲業者的龍頭廠商的AWS，一如往常，將於11月底舉辦年度用戶大會re:invent，屆時，應該會有更多這類消息發布，我們也很期待他們為今年公有雲服務的容器與Kubernetes發展，如何寫下最後的註腳。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cloud">Cloud</a></div></div></div>
2020/9/29 11:40作者李宗翰https://www.ithome.com.tw/voice/140251
Swift System函式庫現在開源並新增支援Linux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月的時候，Apple推出<a href="https://swift.org/blog/swift-system/">Swift System函式庫</a>，提供符合Swift語言特性的系統呼叫介面，而現在官方宣布開源System原始碼，還加入提供Linux支援，官方提到，他們的願景是要讓System，最終能夠包含所有Swift支援平臺的低階系統介面。</p> <p>Swift System並非跨平臺函式庫，而是一個多平臺函式庫，在每個支援的平臺，都提供一組獨立的API和行為，以呈現底層作業系統介面。現今大多數作業系統，都支援存在數十年，用C語言開發的系統介面，而在Swift中也可以使用這些API，但官方提到，從C匯入的這些弱型別系統介面，不只容易出錯而且難以處理，API署名沒有寫明使用規則，因此程式語言也無法引導用戶正確使用API。</p> <p>而新的System模組則帶來多語言功能，以改善表達性和消除可能發生錯誤的機會，像是System在FileDescriptor命名空間中，以預設參數定義開放系統呼叫為靜態函式，而開放版本與C版本比較，System模組普遍使用原始可表示的結構和選項集，強類型有助於編譯器在編譯時捕捉錯誤，而且還能自由地與較弱的C類型相互轉換，另外，開放版本使用起來也較C版本更為安全。整體來說，以System模組撰寫的程式碼，閱讀起來以及行為邏輯，更符合Swift的特性。</p> <p>官方提到，他們近期目標，是要簡化跨平臺函式庫和應用程式的建置工作，諸如SwiftNIO和Swift套件管理器，System並沒有消除使用#if os()條件，來實作跨平臺抽象的方法，但是改善針對特定平臺的部分，使其變得更加安全。System函式庫目前還僅是初期階段，只包含少量的系統呼叫等功能，為了擴大API覆蓋範圍，官方將在Swift套件管理器中採用System函式庫，而這會強化FilePath功能，並對剛宣布的Windows Swift提供更多支援。</p> </div></div></div>
2020/9/29 11:05作者李建興https://www.ithome.com.tw/news/140241
一張照片就可讓駭客劫持Instagram用戶帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2020/09/24/instahack-how-researchers-were-able-to-take-over-the-instagram-app-using-a-malicious-image/">Check Point資安研究人員發現</a>熱門的社交平臺Instagram，存在嚴重的漏洞，駭客只要傳送一張惡意的JPEG圖片給被害者，就能夠入侵被害者的Instagram帳號，甚至存取相機、麥克風和聯絡人資料。Check Point已經向臉書回報該漏洞，臉書也已經釋出修補該漏洞的Instagram程式。</p> <p>這個Instagram漏洞允許攻擊者進行遠端程式碼執行，駭進Instagram應用程式中，執行任意行為，即便這些行為，並非應用程式的邏輯或是功能的一部分也沒問題，Check Point提到，因為Instagram應用程式具有非常大的權限，因此攻擊者甚至可以將受害者手機，轉成間諜工具。</p> <p>值得一提的是，這個漏洞並非來自於Instagram本身的程式碼，而是Instagram所使用的第三方函式庫Mozjpeg。不少現代應用程式開發人員，並不會自己從頭開發應用程式，而是使用第三方函式庫，來處理圖像、聲音和網路連接等複雜的任務，這樣的開發方法，不只讓應用程式的開發速度更快，也能使開發人員專注在應用程式核心邏輯的開發上，也因為如此，當第三方函式庫存在安全性問題，應用程式也會受到影響。</p> <p>Check Point檢查了Instagram所使用的第三方函式庫，Instagram將Mozjpeg用作JPEG格式圖像解碼器，能夠在客戶端處理要上傳至後臺服務的圖片，而Instagram使用開源專案Mozjpeg的方式存在漏洞。Mozjpeg為Mozilla在2014年發布的開源專案，建立於大多數Linux發行版預設提供的函式庫Libjpeg-turbo編碼器之上，其目的是要提供網頁圖像更好的壓縮效果，透過減少檔案大小以降低頻寬使用，使得應用能更快地載入網頁圖像。</p> <p>攻擊者只要傳送一張精心製作的照片，到受害者的電子郵件信箱、WhatsApp或是其他媒體交換平臺，當受害者開啟Instagram應用程式，在Instagram解析JPEG圖像檔案的時候，處理圖像尺寸的功能便會崩潰，而使得攻擊者有機可乘，進而取用Instagram能夠存取的任何手機資源，包括聯絡人、裝置儲存、位置服務和相機。</p> <p>攻擊者也能夠完全控制Instagram應用程式，代表用戶進行任何操作，像是讀取所有個人訊息，或是隨意刪除與發布照片，也能夠將受害者裝置變成監控工具，在用戶不知情的情況下侵害隱私、聲譽，甚至導致更嚴重的安全問題。</p> <p>由於該漏洞使用戶的Instagram應用程式崩潰，因此能有效地拒絕用戶存取該應用，直到用戶刪除應用程式，並且重新安裝之後，才能恢復正常使用。研究人員提到，現代行動作業系統通常會以權限限制應用程式的行為，來保護用戶免受惡意人士，透過竊取資料或是憑證等手段，監控用戶的位置和個人資料。</p> <p>像是地圖應用程式，只能存取裝置位置，但不能存取麥克風，抑或是交友應用程式，應該只能存取相機，限制其他不相關的操作，研究人員表示，當攻擊者入侵具有廣泛權限的應用程式，便能存取GPS、相機、麥克風和聯絡人資料，產生巨大的安全危害。</p> </div></div></div>
2020/9/26 16:00作者李建興https://www.ithome.com.tw/news/140211
Flutter登陸Windows，還預告將支援UWP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發的UI工具Flutter，現不只大舉入侵iOS和Android應用程式的開發工作，在7月的時候，Canonical還與Google合作釋出Linux版本Flutter，而現在，官方釋出<a href="https://medium.com/flutter/announcing-flutter-windows-alpha-33982cd0f433">Flutter Windows的Alpha測試版</a>，要讓Windows開發人員，也能夠用Flutter開發應用程式，並且還開始著手試驗支援UWP。Flutter Windows支援Windows 7以上版本，預計在數月內就會推出穩定版。</p> <p>官方表示，因為Windows仍然是桌上型與筆記型電腦的熱門作業系統選擇，而且有超過一半的Flutter開發人員使用Windows，因此Windows自然成為Flutter支援的目標。</p> <p>Flutter是一個跨平臺的UI開發工具，使得程式碼可在iOS和Android等作業系統上重複使用，而且也能夠讓應用程式，直接與底層平臺服務互動，開發人員可以在各平臺，簡單地交付高效能應用程式，在盡可能共用程式碼的同時，還可使用各平臺獨有的功能。</p> <p>Flutter的核心是一個引擎，能夠提供所有Flutter應用程式需要的原語，在需要繪製新框架的時候，核心引擎便會負責對合成的場景進行光柵化，其提供了Flutter核心API的低階實作，像是繪圖、文字輸出、檔案和網路I/O，還有無障礙存取支援、擴充套件架構、Dart Runtime以及編譯工具鏈。</p> <p>Flutter每新增支援一個平臺，就必須擴充其核心框架，隨著支援的平臺越來越多，Flutter核心功能也就越來越豐富，從一開始的Android和iOS平臺，提供以Material Design和觸碰操作為基礎的行動裝置使用者介面開發，目的是讓程式介面在兩平臺，都能完美地呈現。</p> <p>而現在Flutter開始支援桌面形式的應用程式，包括網頁、Windows、macOS和Linux等，因此Flutter必須提供全新的控制功能，除了輸入方面必須要更好地支援鍵盤、滑鼠等控制器之外，顯示螢幕的尺寸也大上許多。</p> <p>在Flutter新增支援Windows的同時，也必須支援包括CLI與IDE等Windows上的工具鏈，還需要新的Runner，添加用來載入並且執行Flutter程式碼的Win32/C++程式，另外，Flutter套件系統也需要支援每個平臺原生程式碼，Flutter套件本身就是Dart與原生平臺程式碼的混合物，因此要編譯進Windows Flutter應用的擴充套件，之中也包含Windows平臺原生程式碼。</p> <p>現在官方釋出Flutter Windows的Alpha版本，想嚐鮮的開發者已經可以試用，也可以在GitHub上關注Beta測試的進展，目前仍在進行的工作，包括提高無障礙功能、全球化和在地化，強化鍵盤和文字處理功能，而且還需要支援命令列參數等。除了支援經典的Win32 API之外，官方也在測試基於UWP的Flutter殼層版本，而這將使Flutter可以開始支援Xbox（下圖）以及Windows 10X模擬器等裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_cNcLDSm8fwlwux15.png" style="width: 580px;" /></p> </div></div></div>
2020/9/24 17:30作者李建興https://www.ithome.com.tw/news/140170
微軟將於10月釋出支援Linux的Edge預覽版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（9/22）的Microsoft Ignite開發人員大會上<a href="https://blogs.windows.com/windowsexperience/2020/09/22/whats-new-in-web-experiences-ignite-2020-need-to-secure-your-remote-workers-choose-microsoft-edge-as-your-browser-for-business/" target="_blank">宣布</a>，將在今年10月釋出支援Linux的Chromium版Edge，Linux用戶可透過Dev preview channel，或自原生的Linux套件管理員下載。</p> <p>微軟並未公布支援Linux的Chromium版Edge功能，但外界揣測它將與Windows及macOS上的Chrome差不多，也會內建隱私及安全功能。</p> <p>新版Edge現已支援Windows、macOS、iOS及Android等平臺，除了即將支援的Linux之外，微軟亦準備於Edge中提供Kiosk模式的預覽功能，讓用戶可於採用Windows 10的Kiosk或數位看板上，量身訂作瀏覽體驗。</p> <p>根據<a href="https://netmarketshare.com/?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222019-09%22%2C%22dateEnd%22%3A%222020-08%22%2C%22segments%22%3A%22-1000%22%7D" target="_blank">Net Applications</a>的調查，自從微軟於今年1月釋出基於Chromium版的Edge之後，Edge市占率就從6%增加到今年8月的8.52%，Chrome瀏覽器維持70%市占率的不墜地位，而受到擠壓的則是Firefox，這段時間的市占從8.27%下滑至7.11%。</p> </div></div></div>
2020/9/23 14:20作者陳曉莉https://www.ithome.com.tw/news/140143
Google解釋GKE因採用gVisor，不受Linux核心漏洞CVE-2020-14386影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Linux被爆出，存在可能造成容器跳脫（Container Escapes）的嚴重核心漏洞，許多Linux發布版皆被影響，因此容器應用也受到波及，<a href="https://cloud.google.com/blog/products/containers-kubernetes/how-gvisor-protects-google-cloud-services-from-cve-2020-14386" target="_blank">但Google提到</a>，他們在GKE以及無伺服器服務中，使用了開源的沙盒容器Runtime gVisor，因此相關服務不受CVE-2020-14386影響。</p> <p>在5.9-rc4之前的Linux核心存在漏洞CVE-2020-14386，讓駭客能夠使用Linux核心的CAP_NET_RAW功能，造成記憶體毀損（Memory Corruption），使得非特權程序取得根權限，而這個漏洞最大的威脅，是影響資料的機密性以及完整性。</p> <p>由於在Docker中，CAP_NET_RAW功能預設啟用，因此大部分Kubernetes部署，或許原本就存在該核心漏洞，而且即便安全團隊禁用了部分預設功能，但在使用ping和tcpdump等網路工具進行除錯的過程，可能無意間又啟用了CAP_NET_RAW功能。</p> <p>禁用CAP_NET_RAW功能可以保護系統免受該核心漏洞影響，但Google提到，即便CAP_NET_RAW啟用，在GKE、Cloud Run、Cloud Functions或App Engine標準環境，也不會受到漏洞影響，因為GKE以及無伺服器服務皆使用gVisor，gVisor網路堆疊沒有使用Linux中有問題C程式碼，因此不存在該漏洞。</p> <p>gVisor是Google以程式語言Go開發的沙盒容器Runtime，Google提到，容器仰賴命名空間以及cgroup作為主要的隔離層，而gVisor則引入了第2隔離層，以Go編寫的核心Sentry來處理系統呼叫，在使用者空間中模擬Linux。這樣的方式大幅減少對主機核心的系統呼叫數量，因此能夠縮減攻擊面，而且除了Sentry提供的隔離之外，gVisor還使用特殊的TCP/IP堆疊、網路堆疊以及其他保護層，提供額外的隔離。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mitigating_CVE-2020-14386_with_gVisor_max-500x500.jpg" style="width: 500px; height: 228px;" /></p> <p>既使GKE沙盒上的Pod不受漏洞影響，但基於最佳實踐，使用者仍應該更新系統，而未使用GKE沙盒的使用者，應該立刻更新控制平面以及節點，並且根據建議從Policy Controller、Gatekeeper或PodSecurityPolicy中移除CAP_NET_RAW功能。</p> <p>容器的發明，改變了應用程式開發、封裝以及部署的方法，Google表示，容器方式暴露了廣泛的系統表面，對於執行不受信任，或是潛在惡意程式碼存在安全風險，而gVisor能以沙盒執行應用程式，提供像是虛擬機器一樣的隔離性，應用程式設下強健的隔離邊界，把應用程式包在使用者空間中，但是更加輕量，且也能存取核心與系統資源。</p> <p>gVisor直接以Go實作Linux系統呼叫，因此Google提到，由於Go具有類型和記憶體安全性，因此不少Linux問題，像是緩衝區溢位以及陣列逾越邊界的問題也就消失了，gVisor可以說是較安全的Linux輕量版。不過，雖然gVisor是一個更安全的方案，但是目前仍有兩個主要問題，首先，雖然gVisor與Linux很像，能夠執行大部分應用程式，但終究與Linux不同，仍有許多限制，第2個問題則是，攔截系統呼叫，會影響I/O密集工作負載的效能。</p> </div></div></div>
2020/9/22 10:15作者李建興https://www.ithome.com.tw/news/140105
GitHub 10月起將以Main取代Master作為新Git儲存庫預設名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為響應黑人平權運動，<a href="https://github.com/github/renaming" target="_blank">GitHub宣布</a>從10月1日起改變新Git儲存庫的預設命名，以main來取代原本的master。</p> <p>受到年中佛洛依德（George Floyd）遭警方執法過當死亡，引發的黑人平權抗議風潮影響，美國科技界也相繼思考去除慣用名稱中有種族歧視色彩的字眼，例如不要使用master/slave、blacklist/whitelist。<a href="https://www.ithome.com.tw/news/138251" target="_blank">GitHub</a>執行長Nat Friedman也決定進行相關改變。從那時起包括GitHub及Git社群已經著手改變其儲存庫的branch命名法。為協助開發人員更順暢轉變為新的命令方式，Github上周公布指引，說明預設branch的改名計畫，預計從10月1日起，將以main作為所有新建儲存庫的branch預設命名。</p> <p>GitHub其實已經逐步以main取代master。目前已經更新GitHub.com，將把連向已刪除的「master」的branch連結，改導到以「main」為名的branch，並為GitHub.com新建儲存庫增加使用者、組織和公司的branch預設命名設定功能，而GitHub桌面程式本月內也會加入新儲存庫branch的預設設定等等。</p> <p>GitHub指出，main是目前GitHub上用來取代master最常見的新名稱，而GitHub官方也認為它簡明、好記且容易翻譯成各種語言。</p> <p>GitHub計畫從10月1日起，所有新建的儲存庫都會以main為預設branch命名，不再使用master。不過這項變更並不會影響現有儲存庫的名稱。此外，開發人員也可以不要變更，隨時到設定區，把個人、組織和公司的新儲存庫預設命名從main改成別的。</p> <p>事實上將現有儲存庫改名會碰上技術性的問題，像是開啟pull呼叫，或release草案程式碼（draft release）都必須retarget到新branch，而且現有branch的防護也必須轉到新branch。GitHub呼籲用戶可以先保持不動，到了年底會再釋出新工具以協助現有branch改成新的預設名稱。</p> <p>在支持黑人平權風潮下，包括Google、微軟、IBM、<a href="https://www.redhat.com/en/blog/making-open-source-more-inclusive-eradicating-problematic-language" target="_blank">Red Hat</a>、甲骨文下的<a href="https://www.ithome.com.tw/news/138616" target="_blank">MySQL</a>及Linux社群都相繼變更了軟體流程的命名。本月<a href="https://www.theregister.com/2019/09/03/chromium_microsoft_offensive/" target="_blank">微軟</a>也提案修改Chromium中black/whitelist為較中性的blocklist/allowlist。</p> </div></div></div>
2020/9/21 12:10作者林妍溱https://www.ithome.com.tw/news/140094
家電大廠Panasonic揭露自建威脅情資平臺的研究結果，每5個惡意程式就有1個與物聯網有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網資訊安全受到家電大廠的重視，甚至進一步採取較為積極主動的策略，自行建置威脅情資平臺，來收集與分析有關威脅，進而回饋到產品開發的資訊安全工作。Panasonic先前於2020臺灣資安大會上<a href="https://www.ithome.com.tw/news/139427">介紹</a>對於連網家電資安的作法，並特別提到他們的威脅情資平臺，而到了2020臺灣駭客年會（HITCON），該公司則是對於自己掌握的情資，更詳細介紹所發現的威脅態勢，再者，他們甚至在攤位上<a href="https://www.ithome.com.tw/news/139967">展出</a>了Chimera Box，將實際的連網家電攻防模擬情境搬至會場。</p> <h2><strong>物聯網惡意軟體主要來自2大殭屍網路家族</strong></h2> <p>對於整體物聯網裝置面臨的威脅，Panasonic網路安全實驗室工程師張智翔指出，他們從2017年11月到今年6月，總共發現超過6億次攻擊事件，當中收集到的惡意軟體有56,426個，其中針對物聯網者則有12,634個，換言之，平均每5個惡意軟體就有1個可能會影響物聯網裝置的安全。而上述的物聯網惡意軟體的來源，主要來自美國、中國，以及日本等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-accomplishments.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-accomplishments.png" style="width: 580px;" /></a></p> <p>他們將收集到的物聯網惡意軟體樣本，進一步與VirusTotal比對，有超過三分之一（34%）為未知的惡意軟體。而在惡意軟體的其他特性而言，這些樣本大多屬於Gafgyt和Mirai物聯網惡意程式家族，主要鎖定的硬體環境為Arm和MIPS處理器架構的設備。不過，如果是針對Linux作業系統設計的惡意程式，他們發現駭客的攻擊目標，還是以x86架構的電腦與伺服器為主。</p> <p>其中，什麼樣的連網裝置是駭客偏好下手的目標？張智翔說，根據他們在密罐收集的資料分析結果，最主要還是網路攝影機（IP Camera），但值得留意的是，藍光錄放影機與對講機也榜上有名，僅次於家用的網路攝影機。只是在這些從威脅情資平臺所得到的資訊，他們是否藉此發現該公司連網家電遭到攻擊的情事？我們也會後詢問張智翔，他說，目前還沒有發現針對Panasonic家電的攻擊行為，而駭客主要是鎖定有關的服務下手，像是對於Samba檔案共用服務的攻擊，就可能會影響到物聯網家電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hitcon2020-panasoinc-home-iot-trends.png" style="width: 580px;" /></p> <p>在Panasonic發現的惡意軟體中，張智翔特別介紹其中3個殭屍網路病毒，分別是Echobot、LiquorBot，以及Sandbot，就惡意軟體家族而言，前2個隸屬Mirai家族，Sandbot則是屬於Tsunami家族。就這些殭屍網路病毒的特質而言，Echobot鎖定的受害裝置架構最為多元，遍及Arm、MIPS、PPC、SPC，以及x86等；LiquorBot則是鎖定MIPS架構的網路路由器為主，同時具有挖礦的功能；至於Sandbot，他們發現有資料加解密專用的對應表，其感染途徑是透過Telnet協定，而且會在成功後自動切斷連線，以免被察覺。</p> </div></div></div>
2020/9/21 11:27作者周峻佑https://www.ithome.com.tw/news/140032
Windows 10 20H2釋出最後測試版，正式版名為October 2020 Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周五（9/18）<a href="https://blogs.windows.com/windows-insider/2020/09/18/preparing-the-windows-10-october-2020-update-ready-for-release/" target="_blank">宣布</a>將透過Release Preview版通道，將Build 19042.508 (KB4571756)釋出給Insiders測試方案的開發人員及企業用戶，有些將會被自動下載。微軟也宣布Windows 10 20H2正式名稱為Windows 10 October 2020 Update。</p> <p>微軟Windows部門資深計畫經理Brandon LeBlanc指出，相信19042.508是最後一個Build，但是微軟仍然計畫持續改善Windows 10 October 2020 Update的整體使用經驗，以便按計畫釋出到用戶PC上。</p> <p>Windows 10 20H2/ October 2020 Update將會透過seeker模式釋出到Release Preview通道。也就是開發人員得到「設定」、「更新&安全」、「Windows Update」下，點入「選擇下載與安裝20H2」。一旦他們安裝這個版本後，未來就會自動透過Windows Update接獲更新，一如每月更新的安裝過程。</p> <p>另一方面，微軟將對Beta通道的開發人員釋出20H2/October 2020 Update。和Release Preview通道不同的是，這是自動更新；之前尚未安裝20H2的人也會從Windows Update自動接收下載。</p> <p>此外，企業用戶也要注意，Release Preview及Beta通道下的企業PC，也會自動下載October 2020 Update。</p> <p>但事實上，19042.508/ KB4571756已經在兩個星期前包含在Patch Tuesday釋出，而且已<a href="https://www.ithome.com.tw/news/139968" target="_blank">有用戶通報</a>Windows Subsystems for Linux 2 (WSL2)無法啟用的問題，Windows 10電腦會出現Element not found或Process exited with code 4294967295的錯誤訊息，顯示遠端程序呼叫失敗。</p> <p>儘管微軟當時沒有證實這項問題，但上周微軟指出，在Insider開發人員的協助下，他們已經找出導致WSL2問題的原因，表示很快會在20H2下一版（可能是正式版）解決。</p> <p>19042.508（或KB4571756）為非安全更新，微軟提醒希望避免這問題的個人或企業可以之後再卸除這個版本。而使用WSUS（Windows Server Update Services），以及透過Release Preview及Beta通道安裝20H2的用戶，如果碰上安全或電腦運行問題，微軟也提供Windows技術支援。</p> <p>Windows 10 20H2是較小的更新版，最大特色是會內建Chromium-based Edge，將是第一個內建新版Edge瀏覽器的Windows 10。</p> </div></div></div>
2020/9/21 09:45作者林妍溱https://www.ithome.com.tw/news/140088
微軟發布大規模模糊測試框架OneFuzz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於GitHub上開源自家內部Edge、Windows 以及各團隊使用的模糊測試框架<a href="https://www.microsoft.com/security/blog/2020/09/15/microsoft-onefuzz-framework-open-source-developer-tool-fix-bugs/">OneFuzz</a>，讓開發者可以在持續開發工作管線中嵌入模糊測試，以主動發現軟體的臭蟲與漏洞。微軟提到，開發者只要透過單一指令，就能夠啟動各種規模的模糊測試工作，從數臺虛擬機器到數千顆核心的規模都可以。</p> <p>模糊測試是一種提高程式碼安全性和可靠性的方法，讓開發人員在開發生命周期早期，就能夠主動發現臭蟲以及安全性漏洞，但微軟提到，模糊測試是一把雙刃劍，雖然能夠有效率地發現漏洞，但在實際使用上卻非常複雜，甚至需要仰賴專門的安全工程團隊，建構和執行模糊測試功能，因此導入模糊測試的成本也就非常高昂，而為了使自家開發人員能夠輕鬆且持續地進行模糊測試，微軟開發了模糊測試框架OneFuzz。</p> <p>編譯器近期的發展，使得模糊測試的方式產生變化，微軟提到，由Google帶領開發的開源LLVM相關技術，改變模糊測試原生程式碼的安全工程任務，現在模糊測試系統可以嵌入到持續建置系統中，更容易進行崩潰偵測和覆蓋追蹤等工作。</p> <p>現在開發人員可以將模糊測試元件編譯進單元測試二進位檔中，執行呼叫測試、生成輸入和對單個可執行檔進行錯誤偵測等工作，微軟表示，目前在Visual Studio中，這些實驗性功能支援逐漸增加，測試二進位檔已經可以方便地從編譯器建置，因此開發人員開始面臨另外的挑戰，解決在CI/CD工作管線中建置，並且在雲中擴展模糊測試工作負載的問題。</p> <p>已經被微軟大量用來測試Windows作業系統開發的OneFuzz，可讓開發人員靈活組合模糊測試工作流程，開放原始碼的OneFuzz，允許開發者使用自己的模糊測試器（Fuzzer）、變更調度，以及管理種子（Seed）輸入，創建符合需求的模糊測試流程，而且OneFuzz的透明設計，讓開發者可以監控與觀察模糊測試的各個階段狀態。</p> <p>OneFuzz也支援按需崩潰測試，開發者可以按需或是從建構系統中，呼叫即時除錯對話（Session）。由於OneFuzz的多平臺設計，開發者可以選擇在Windows和Linux平臺上進行模糊測試，使用自己的OS建置、核心和巢狀管理程式（Hypervisor）執行測試。</p> <p>目前OneFuzz已經在GitHub上以MIT授權開源，微軟研究和安全團隊會繼續貢獻和維護OneFuzz專案，而微軟也會擴大內部採用OneFuzz的範圍，以提高平臺和產品的安全性。</p> </div></div></div>
2020/9/16 14:30作者李建興https://www.ithome.com.tw/news/140016
Patch Tuesday更新造成WSL2無法啟動、注音無法輸入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本月Patch Tuesday又有個版本出問題。編號KB4571756版本的Windows 10更新，造成部份用戶電腦的Windows Subsystems for Linux 2 (WSL2)無法啟動。</p> <p><a href="https://github.com/microsoft/WSL/issues/5880" target="_blank">一名用戶</a>在GitHub上反映，安裝KB4571756（或19042.508）版本後，他的Windows 10機器就無法啟用WSL2來跑Windows Terminal，而是出現Element not found或Process exited with code 4294967295的錯誤訊息指示遠端程序呼叫失敗。</p> <p>KB4571756主要修補滑鼠、鍵盤等輸入裝置、Windows效能基礎運算及Office產品相關的安全問題，以及改善檔案儲存及管理的功能問題。</p> <p>從其他人的回應來看，不少用戶受影響。至於原因，有用戶猜測可能和Hyper-V有關。未安裝Hyper-V的Windows 10，如Windows 10 Home版就未出現這次的問題。目前唯有移除更新版KB4571756才能回復WSL2。</p> <p>兩個月前，微軟曾經<a href="https://www.ithome.com.tw/news/138961" target="_blank">提醒用戶</a>，由於一項早期推出的GPU虛擬化功能RemoteFX vGPU爆出RCE漏洞，微軟自7月起就從Windows 10中移除掉這項功能。</p> <p>微軟官網尚未顯示WSL2的問題，不過微軟倒是承認，安裝KB4571756版本會在Windows 10從事多項工作時，引發日文及注音輸入程式問題，像是無法輸入。</p> </div></div></div>
2020/9/13 15:35作者林妍溱https://www.ithome.com.tw/news/139968