iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

擔心遭報復，臉書告誡員工不要穿戴有公司商標的服飾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.theinformation.com/articles/facebook-tells-employees-to-avoid-wearing-facebook-branded-apparel" target="_blank">The Information的報導</a>，臉書最近告誡員工不要穿戴有公司商標的服飾，<a href="https://www.businessinsider.com/amazon-cloud-exec-warns-employees-vigilant-after-parler-ban-2021-1?r=US&IR=T" target="_blank">Business Insider則說</a>，AWS要工程師注意該公司資料中心中任何不尋常的活動，儘管這兩家業者並未明說，但顯然是擔心因封鎖川普（Donald Trump）及Parler而遭到報復。</p> <p>臉書在內部備忘錄中表示，有鑑於最近發生的事件，為了謹慎起見，這個時候最好不要穿戴有臉書商標的服飾。</p> <p>至於AWS副總裁Chris Vonderhaar則發了封主旨為「保持安全與警覺」（be safe, be vigilant）的內部電子郵件，督促團隊記得回報在資料中心所發生的任何異常行為，不論多小的事件都不應輕忽，並說Amazon正密切注意美國的內亂情況。</p> <p>此外，AWS也禁止工程師在周一（1/11）與周二（1/12）進行任何的服務變更或升級，要執行任何更動之前都必須事先取得授權。</p> <p>在臉書或AWS的告誡信中，並未提及川普或Parler。然而，美國近來的暴動、臉書封鎖川普、AWS關閉Parler，都讓業者擔心遭到報復，包括實際攻擊或是網路攻擊，因而提醒員工要保持安全。</p> </div></div></div>
2021/1/13 13:09作者陳曉莉https://www.ithome.com.tw/news/142190
研究人員在Parler服務被AWS中斷前封存用戶貼文，被FBI用來調查國會暴動案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名崇尚言論自由的駭客@donk_enby，在AWS切斷Parler服務之前封存了Parler用戶曾張貼的所有內容，並將它們公諸於世，@donk_enby是利用合法途徑取得了這些內容，但因Parler並未移除用戶所上傳的照片與影片上的位置資料，外傳美國聯邦調查局（FBI）已利用這些資料進行蒐證，尋找參與上周美國國會暴動的嫌犯。</p> <p>在Google與蘋果相繼下架Parler行動程式之後，@donk_enby決定採取行動封存Parler上所有用戶張貼的內容，並在AWS宣布將中斷Parler服務之外，@donk_enby廣邀其他駭客加入，總計封存了80TB的資料，宣稱該站99.99%的貼文都已被存檔。@donk_enby除了公開其封存內容之外，也說未來會將相關檔案提交給網際網路檔案館（Internet Archive）進行保留。</p> <p><a href="https://twitter.com/donk_enby/status/1348666166978424832" target="_blank">@donk_enby強調</a>，她是利用合法程序取得了Parler站上的內容，並未存取Parler用戶的電子郵件位址、電話號碼或信用卡資訊，除非使用者自行於貼文中公布。</p> <p>網站資料輕易被封存使得外界開始質疑Parler的安全機制。<a href="https://arstechnica.com/information-technology/2021/01/parlers-amateur-coding-could-come-back-to-haunt-capitol-hill-rioters/" target="_blank">Ars Technica的安全編輯Dan Goodin指出</a>，Parler網站簡直是一團亂，要使用其公開API完全不需認證，且當使用者刪除貼文時，該站只是加註了刪除標誌，而未真的將貼文從伺服器上移除；此外，用戶的每則貼文都有連續編號，因此很容易利用自動化工具進行蒐括；Parler的另一個錯誤是，它並未消除用戶所上傳照片及影片時的位置資訊。</p> <p><a href="https://blog.avast.com/parler-data-hacktivism-avast" target="_blank">資安業者Avast則說</a>，雲端通訊平臺Twilio在1月10日移除對Parler的支援，更讓此事雪上加霜，因為這代表當時Parler用戶已無法再使用電話認證或雙因素認證服務，讓打算存取Parler網路的駭客更容易建立個人檔案。</p> <p>Parler標榜自己是個中立的社交平臺，在遭到AWS封鎖之前擁有1,500萬名用戶，不過，Avast批評Parler的安全性不足，根本無法保護用戶的隱私，去年11月就曾傳出Anonymous取得了6.3GB的Parler用戶個資，涵蓋電子郵件帳號、密碼與照片。</p> <p>總之，由於@donk_enby封存了Parler站上所有的貼文，包括已被刪除的貼文，以及圖片/影片的地理資訊，<a href="https://gizmodo.com/parler-users-breached-deep-inside-u-s-capitol-building-1846042905?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Gizmodo則報導</a>，FBI已利用這些內容來進行蒐證。</p> </div></div></div>
2021/1/13 12:02作者陳曉莉https://www.ithome.com.tw/news/142188
【2021資安大預測】趨勢11：金融業資安｜金融科技新興風險與資安水平再提升成無可避免的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，金融科技、數位金融創新議題不斷，各式日新月異的技術正促使金融服務型態改變，加上金融業原本就是高度利用資訊科技的產業，這也使得現在金融業的資訊安全風險議題，成為2021年的一大焦點。</p> <p><strong><span style="font-size:28px;">開放銀行下的資安議題最受注目</span></strong></p> <p>隨著國內金融法規的鬆綁，金融數位轉型的驅動，包括開放金融業資料可以存放到雲端服務、核發純網銀執照、開放銀行（Opening Banking），以及擴大行動支付之應用與創新等，帶來新的業務型態，也打破了傳統金融面貌。</p> <p>相應而來的資安防護挑戰，就成為現下金融業者將面臨的一大挑戰。舉例來說，關於雲端服務面向的安全，過去金融業可能不用關注，但現在，對於雲端的控制措施、風險評估、監控與查核等，也成守備範圍。此外，在開放銀行之下，將讓更多方單位擁有金融資訊，相對而言，駭客也有更多攻擊的途徑。</p> <p>因此，不論是個資安全與風險、第三方服務提供者（TSP）的相關資安規範要求，資料共享與風險權責畫分，還有大數據的潮流之下，去識別化應用的發展趨勢，甚至AI應用的可信賴準則等，金融科技下的安全思維轉變，都會成為需要關注的議題。</p> <p><span style="font-size:28px;"><strong>金融業資安現況仍有強化空間</strong></span></p> <p>除了新興資安風險議題，當前金融業的資安防護現況，也值得關注。特別的是，我們近期看到有業者公布相關調查報告，打破以往我們對金融業的印象。</p> <p>在2020年，安侯建業聯合會計師事務所（KPMG）有一項調查，是以外部的網際網路風險來檢視，並篩選50家臺灣各產業企業。調查中指出，雖然金融業在許多防護面向都優於產業平均，包括SSL/TLS強度、漏洞修補管理等，不過KPMG認為，金融業在相關方面能力並未顯著領先，特別是DNS防護與DDoS緩解措施的部分，他們發現部分金融業者還比產業平均值落後。而這樣的調查結果，其實也提醒了國內金融業者，不要以為金融業受高度監管，資安投資通常也比其他產業高，就可以滿足於現況。</p> <p><strong><span style="font-size:28px;">強化金融產業資安成國際共同目標</span></strong></p> <p>對於如何強化金融業資安，我國金融監管單位與金融業都在關注，也期望向國際經驗借鏡。現今有哪些重點值得關注？例如，美國聯邦金融機構檢查委員會（FFIEC）發展的網路安全評估工具（Cybersecurity Assessment Tool），就是能幫助金融機構精進資安治理，當中包含資安風險與情資的管理，內控與委外關係的管理，以及事件回應等面向。</p> <p>因此，金管會在2020年提出的金融資安行動方案，就鼓勵金融機構辦理資安治理成熟度評估，他們也正推動十多家金融機構，試行網路安全評估工具。</p> <p>此外，近年還有歐洲銀行監理總署（EBA）發布的「資通科技及安全風險管理指引」，以及新加坡金融管理局發布的「網路安全公告」，這樣的國際趨勢，都突顯強化金融產業網路安全的必要性，相關強化措施也成我國需要密切關注的趨勢。另外，針對金融界的攻擊手法越來越精密，為讓關鍵金融資產的保全能夠多一道防線，近年美國產業提出的「避風港計畫」，也被視為金融業在資料保護上的新焦點。</p> </div></div></div>
2021/1/13 07:00作者羅正漢https://www.ithome.com.tw/news/142125
GitLab發布更新以修復API存取權杖漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab發布最新適用於<a href="https://about.gitlab.com/releases/2021/01/07/security-release-gitlab-13-7-2-released/">社群版以及企業版的13.7.2、13.6.4和13.5.6更新</a>，這次更新版本包含高嚴重性的API存取令牌漏洞，以及多個中度嚴重等級的阻斷服務漏洞修復程式，官方強烈建議使用者立即將所有GitLab安裝，升級至這幾個最新版本。</p> <p>官方提到，從GitLab 11.5開始的所有版本，都存在一個高嚴重性漏洞，可讓惡意攻擊者透過GitLab Pages竊取使用者API存取權杖，這個問題是因為GitLab Pages中，對身份驗證參數驗證不足所產生。</p> <p>這個漏洞是透過HackerOne漏洞獎勵計畫回報，目前該漏洞尚未取得CVE ID，不過官方已經修復，並且強烈建議所有受影響的安裝版本，應該盡快升級到最新版本。GitLab Pages是讓使用者可以簡單地從GitLab儲存庫，發布靜態網站的功能。</p> <p>內部開發團隊發現GitLab 13.7以上的安裝，存在一個中等嚴重性的CVE-2021-22166漏洞，該漏洞允許攻擊者發送格式錯誤的HTTP請求，阻斷Prometheus的服務，解決辦法也是要求用戶，盡快更新到最新GitLab版本。</p> <p>這次更新還修復了另一個中等嚴重性的漏洞，該漏洞讓未經過授權的用戶，可以在特定條件下存取私人儲存庫資訊，所有GitLab 12.1以上的版本，都受到該漏洞影響，官方提到，在特定專案的頁面中使用不正確的標頭，讓攻擊者可以暫時讀取，在公開儲存庫中僅供成員存取的專案資訊，該漏洞是由白帽駭客通過HackerOne漏洞獎勵計畫，將漏洞回報給GitLab。</p> <p>另外，舊版GitLab的NuGet API以及套件上傳功能，存在正規表示式阻斷服務漏洞，NuGet API漏洞影響所有GitLab 12.8以上版本，而套件上傳漏洞則影響GitLab 12.8以上版本。後者漏洞的形成原因，是由於套件名稱的正規表示式實作方法造成，在接受惡意輸入字串後，執行時間會以平方的速度增加。</p> <p>GitLab在這次的更新版本中，變更了資料庫配置，將原本設定為可信任（Trusted）的所有執行個體OAuth應用程式，變更設定為機密（Confidential），而根據最佳實踐，這樣的改變將要求應用程式，在OAuth流程中發送client_secret，如此才能解決過去版本存在的安全性問題。</p> <p>官方提到，當用戶有任何自定義執行個體的應用程式，在配置變更後出現問題，這代表客戶端在OAuth身份驗證過程中，沒有發送client_secret，或是正在使用隱含流程（Implicit Flow）。官方給出兩個解決辦法，除了客戶端在授權碼流程中，發送client_secret之外，也能將應用程式切換回非機密狀態，不過在這個情況，官方也建議用戶要將應用程式設定為不受信任，如此在沒有發送client_secret時，當應用程式請求存取權杖，則系統會要求用戶進行明確地對應用程式進行授權驗證。</p> </div></div></div>
2021/1/13 10:00作者李建興https://www.ithome.com.tw/news/142180
.NET 5強化多項網路功能，並開始提供HTTP/3實驗性支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 5在去年的時候正式發布，而直到現在微軟才詳細地揭露，他們對<a href="https://devblogs.microsoft.com/dotnet/net-5-new-networking-improvements/">.NET 5網路堆疊</a>所做的功能強化，獲得改善的網路功能範疇，包括HTTP、Sockets、網路相關安全性以及部分網路原語。</p> <p>在.NET 5中，HTTP開始擁有更好的錯誤處理能力，微軟提到，他們對HTTP領域進行了多項改進和修復，像是其中一個常被要求的功能，是在使用HttpClient的時候，希望能從取消的情況中區分逾時。</p> <p>微軟所做的改進包括讓開發者可以使用自定義CancellationToken，來區分逾時和取消，為了向後相容，客戶端仍會丟出TaskCanceledException訊息，但是內部的異常情況則是TimeoutException。另一個改進是在HttpRequestException中加入HTTP狀態代碼（HttpStatusCode），新的狀態代碼屬性可為空值，並在EnsureSuccessStatusCode被呼叫的時候進行設定，可以用在異常過濾器中。</p> <p>.NET 5的特色之一，便是提供一致的開發體驗，而這個想法也在網路相關的實作中貫徹，過去.NET Core中的HTTP堆疊，相依於平臺的處理程式（Handlers），像是WinHttpHandler以Windows的WinHTTP為基礎，而適用於Linux和Mac的CurlHandler，則是以libcurl為基礎，微軟提到，由於這兩個函式庫的差異，因此不可能對每個平臺維持一致性。</p> <p>所以微軟開始在.NET Core 2.1中，加入了一個稱為SocketsHttpHandler的HTTP實作，並且花費大量心力強化其功能與可靠性，並且從System.Net.Http.dll中，完全刪除相依於特定平臺的處理程式。在.NET 5中，微軟持續強化這樣的想法，拿掉讓開發者自由切換回舊方法的選項，不過開發者仍然可以透過下載獨立的NuGet套件，繼續使用WinHttpHandler。</p> <p>微軟提到，因為HttpClient是高階API，使用起來很方便，但是相對的，也就缺少一些靈活性。考量進階情境可能需要更靈活地使用方式，微軟在.NET 5中，對SocketsHttpHandler加入了兩個擴充功能點ConnectCallback和PlaintextStreamFilter，以強化其靈活性。</p> <p>ConnectCallback讓開發者可以創建自定義連接，當每次開啟新的TCP連接時，都會呼叫ConnectCallback函式，該回呼函式能夠被用來創建程序內傳輸、控制DNS解析，甚至是控制通用或是特定平臺的底層Socket選項。而另一個回呼函式PlaintextStreamFilter，則讓開發者可以在新開啟的連線上，插入自定義層，應用程式在完全建立連接之後，但在發送任何HTTP之前，會先觸發此回呼函式，開發者可以將其用於監聽安全連線中，發送的明文資料等應用。</p> <p>由於HTTP/3和其底層傳輸層QUIC，還在最後標準化階段，.NET 5使用開源QUIC協定跨平臺實作MsQuic，加入了對HTTP/3的實驗性支援，官方仍不建議將其用在正式產品中。QUIC是一種基於UDP的傳輸標準，比建立在TCP之上的連接，擁有更快的交握速度，還對單一連接中的多請求，提供更穩定的多路複用能力，也能對行動客戶端，在多重網路環境中，提供更平順的切換體驗。</p> <p>而.NET 5也彌補了.NET Core在遙測方面的弱點，過去要監控.NET Core應用程式並不方便，用戶只會收到冗長且不一致的日誌訊息，而且監聽這些訊息，還可能會對效能產生影響。.NET 5以EventSource為基礎，設計並且實作了一系列新的遙測事件和計數器，僅占用少量CPU資源，就可讓用戶良好地監控.NET 5應用程式。</p> <p>.NET的安全層，仰賴底層作業系統的功能，在以Linux為基礎的系統，微軟使用OpenSSL來支援TLS 1.3，而在Windows 10，TLS 1.3僅在1903版本後才可用，而且僅提供用作測試目的，因此過去的.NET Core版本，在Windows中並無法使用TLS 1.3，不過這個情況從Windows預覽版20170之後情況改變，TLS 1.3預設啟用，開發者可以透過新的Schannel API使用TLS 1.3。</p> </div></div></div>
2021/1/13 10:35作者李建興https://www.ithome.com.tw/news/142184
全球最大網路黑市DarkMarket遭歐洲多國警方拿下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/newsroom/news/darkmarket-worlds-largest-illegal-dark-web-marketplace-taken-down" target="_blank">包括德國、澳洲及丹麥在內的多國警方昨（12）日宣佈</a>周末破獲號稱是全球最大網路黑市的網站DarkMarket，查緝其伺服器，也逮捕主嫌。</p> <p>這樁行動是德國警方為首發動，並獲得歐洲刑警組織、澳洲、丹麥、英國、瑞士、烏克蘭及摩爾多瓦等國警方，以及美國聯邦調查局、緝毒局及國稅局協助。</p> <p>DarkMarket成員將近50萬，賣家超過2400人。這個網站上已進行超過32萬次交易，種類涵括各種假藥、偽鈔、竊得或仿冒的信用卡資料、匿名SIM卡及惡意軟體，以規模論為全球最大網路黑市。警方指出，DarkMarket上也交易超過4650個比特幣及12800個門羅（Monero）幣，以現今匯率計算，總值也超過1400萬歐元（約4.8億元臺幣）。</p> <p>此次行動源於德國警方為了調查一個代管毒品交易和其他非法活動的資料中心，該資料中心設於德國境內北約廢棄軍事地堡中，之後擴大為追查DarkMarket，舊資料中心已在2019年被關閉。</p> <p>這次行動共查獲DarkMarket位於摩爾多瓦及烏克蘭境內的20多臺伺服器及代管的網域。該網站主持者據信為一名34歲的澳洲人，也在周末為德國、丹麥警方於兩國邊境聯手逮捕。警方也將藉由伺服器中的資料循線追查其他共犯、買家和賣家等。</p> <p>歐洲警方2019年6月破獲全球第二大暗網市集Wall Street Market之後，<a href="https://www.ithome.com.tw/news/140165" target="_blank">去年9月再度聯手逮捕近200名不法商品的賣家</a>。此外，<a href="https://www.ithome.com.tw/news/141828" target="_blank">去年12月才歐美警方也破獲</a>為犯罪活動提供掩護的最大VPN服務Safe-Inet等。</p> </div></div></div>
2021/1/13 10:52作者林妍溱https://www.ithome.com.tw/news/142186
日本純網銀20年經驗助攻，樂天國際銀行在臺IT戰略大公開
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進這間松江路尾，能遠眺陽明山景的低調辦公室，沒有精緻玄關、繽紛裝潢，除了董事長，所有人都比鄰、面對面地坐在同一間超大辦公空間，連桌面中隔都沒有，視線側過螢幕就能展開討論，中英文、夾雜著日語和笑聲。這裡，就是臺灣第一家純網銀，率先取得營業執照的樂天國際銀行誕生之處。</p> <p>「所有一級主管，連總經理都是一樣形式的工作環境，這就是日本樂天向來的工作風格，彼此都是一起工作的夥伴，不分上下屬。」首度對外亮相的樂天國際銀行資訊處處長津司豪直言。</p> <p>「2年前我就來臺灣準備了。」他說。2018年臺灣打算要開放純網銀時，日本樂天銀行就展開了籌備，直接指派當時擔任日本樂天銀行IT營運部門主管的津司豪，來臺籌組團隊，全程參與了系統設計、開發建置與資訊處組織的建立，可見日本樂天對臺灣這家純網銀謹慎與重視的程度。</p> <p>這位在日本銀行業與資訊業超過24年資歷的IT大將，來臺之前是日本樂天銀行系統的維運團隊主管，得負責確保純網銀系統每天都能正常運作。這套系統現在已有超過900萬人開戶。津司豪還參與過日本銀行匯款服務近年最大一次服務變革的改造開發專案。不像臺灣很早就能全天線上跨行轉帳，日本銀行匯款系統過去只在營業時間開放，也就是上午8點半到下午3點半，才提供跨行轉帳服務，直到2018年，才決定改為365天24小時全年無休，而且是即時到帳。</p> <p>日本所有跨行轉帳交易需透過日本全國銀行協會（JBA）營運的全銀系統，來連接全國各金融機構。為了從每天7小時轉變為不中斷的服務，各銀行都展開改造專案。當時，津司豪就是日本樂天銀行全銀協會專案的負責人之一，他坦言，這是在日本樂天銀行任內，帶領團隊所完成最有挑戰性的工作之一。</p> <p>這項服務變革，大大拓展了日本銀行數位金融服務的可能樣貌和市場規模，隨時能匯款，也讓所有銀行激烈的線上競爭更加白熱化。對已有20年純網銀經驗的日本樂天銀行而言，這是新機會也是挑戰，一方面必須吸引更多人來使用，相應地，津司豪表示，維運部門得事先預期，未來的可能使用量，來評估系統所需擴充的容量。</p> <p>津司豪回想，最大考驗是得在有限時間內，完成系統調整的開發，才能順利與其他家銀行同步進行測試。為了因應新服務模式，不只得盡快擴編人力，也要重新訂定各部門之間的維運規則。</p> <p>順利完成匯款系統改造任務的津司豪，後來就成為日本樂天銀行來臺從無到有，籌設一家新純網銀的主力戰將。</p> <p>不過，他坦言，自己不是技術能力最傑出的人才，之所以能夠來臺，除了開發能力，過去在日本樂天銀行IT營運與成本控管的經驗、與各部門協調的技能，更是他被指派來臺掌管樂天純網銀IT的關鍵。</p> <p><strong><span style="font-size:28px;">日本樂天銀行首次跨足海外，20年經驗作為樂天純網銀靠山</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%82%E5%A4%A9%E5%9C%8B%E9%9A%9B%E9%8A%80%E8%A1%8C-CIO-270_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 270px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);">樂天國際銀行資訊處處長津司豪表示，所有</span></strong><strong><span style="color: rgb(105, 105, 105);">一級主管都是一樣形式的工作環境，這就是</span></strong><strong><span style="color: rgb(105, 105, 105);">日本樂天向來的工作風格，不分上下屬。</span></strong>攝影／洪政偉</p> </td> </tr></tbody></table><p>津司豪強調：「這是日本樂天銀行第一次跨足海外市場，以往並沒有這樣的經驗。」但是，日本樂天銀行經營了20年純網銀的經驗與人馬，成了拓展在臺金融市場最強而有力的靠山。「日本樂天銀行現有重要技術會引進臺灣。」他說。</p> <p>他舉例，「樂天超級點數系統會直接從日本引進。」這是一個上線已久的全球資訊系統，臺灣樂天銀行會介接到現有系統上加入生態系，臺灣IT團隊負責技術支援，而臺日點數兌換則是與日本樂天集團合作。樂天銀行預告，開業後的純網銀平臺會有點數回饋獎勵機制。</p> <p>另一項會從日本引進的是資安經驗。津司豪表示，系統建置時，樂天最注重穩定性，臺灣樂天純網銀會有自己的資安主管，但將借助日本長年累積的資安知識與技術，例如將日本資安系統引入臺灣，「臺日雙方資安負責人已在密切規畫中。」</p> <p>日本來臺的資安經驗，還包括將引進AI來偵測異常的網路行為。樂天銀行過去彙整了大量顧客行動、犯罪者行為資料，甚至是網路交易進行的時刻、授權裝置位置等各種資訊，來訓練AI模型，能透過不同條件組合來追蹤異常的帳戶活動，可以全天24小時不間斷的監測。</p> <p>不過，津司豪強調，網路上的恐怖攻擊不分國界，每個國家犯罪的手法其實不太一樣，即便是日本經驗也不能直接拿來套用。樂天銀行將會考量臺灣的狀況，累積實際的經營資料後，來建立資安系統上更精準的預測模型，作為在地化因應之用。</p> <p>在2020年最後一天，樂天銀行正式展開內部試營運，首批試營運對象是樂天銀行、樂天集團、國票金控在臺員工。</p> <p>津司豪也首度公開了在臺籌備的過程。樂天銀行籌設可分為4階段，日本樂天銀行決定與國票金控合作後，雙方先決定未來純網銀發展方向，以及銀行系統的建構策略，直接從日本引入或採用臺灣在地系統等，這是第一階段籌備。</p> <p>第二階段則是建立整個組織體制，比如評估人力需求和招募計畫。接下來，樂天銀行才開始進入產品設計，確認銀行相關功能，像是與消費金融部門討論所需功能，釐清每項功能的定義與所要達到的目的，這是第三階段。</p> <p>在這階段時，樂天銀行也同步啟動了第二階段所訂出的招募計畫，不過，進度不如預期，不少需要的人才都還沒到位，津司豪很清楚，不可能在一開始就找齊所有人員，才開始執行所有工作，各項專案的時程仍舊得繼續往前。如何面對雙重壓力，是樂天銀行當時最大的挑戰。甚至，後續新進人員對系統建置了提出不錯的建議，在專案時程壓力下，「如何取捨是主管的一大挑戰。」</p> <p>接下來，樂天銀行才真正推進到系統開發部分，開發完成後的功能和系統，還得進入測試環境測試，進行使用者驗收測試（UAT），這個過程是第四階段。他提到，開發與測試階段，日本樂天銀行團隊給了許多建議，所以，真正動手開始打造純網銀系統的過程中，沒有碰到太大的問題。</p> <p>比如，系統廠商提供的軟硬體規格建議，臺灣IT團隊除了自行評估之外，也會同時請教日本團隊，或像是專案時程安排、新服務委外開發成本評估，甚至是純網銀App介面與使用者體驗設計等，日本樂天銀行團隊都幫了不少忙。</p> <p><strong><span style="font-size:28px;">IT人力將聚焦確保系統穩定，並持續招募開發人力</span></strong></p> <p>為了在臺快速建立起一家銀行，樂天銀行先找來臺灣IBM合作，使用現成的套裝金融系統。不過，來到臺灣後，最讓津司豪驚訝的是：「臺灣企業與廠商的技術合作模式，與日本大不相同。」日本的銀行在系統建構上，大多委外給業者，甚至，負責銀行內部資料中心的維運人員，也不見得是銀行自家員工，也可能以委外廠商的人力為主來運作。</p> <p>津司豪坦言，一開始，他們帶著日本思維來到臺灣，以為可透過委外方式來維運系統。後來才了解到，原來臺灣銀行業自家資料中心，一定都得是本行員工來負責。</p> <p>因此，樂天銀行在金管會核准取得營業執照前，已將該問題改善，達到核心系統自行維運，也包括自主修改程式等。津司豪強調：「樂天銀行在開業時，基本上核心系統已可自行維運，可是對於一些周邊系統，則會逐漸減少委外的依存度。」</p> <p>甚至，津司豪也透露，在樂天純網銀最初的營運計畫書中，原本的組織更精簡，聚焦在系統維運，系統的程式開發則是委外，但由銀行負責設計和品質確認。</p> <p>原本，樂天銀行在臺第一線和第二線（津司豪稱為L1和L2人力）人力計畫主要聚焦營運面及開發管理，但考量在臺不一樣的營運模式後，也調整了招募計畫和時程。目前，樂天銀行IT人力的配置重點，將著重於確保開業後系統的穩定。</p> <p>未來，津司豪表示：「在開業前會將系統運作穩定擺在最優先，開業後會再積極招募開發人力，持續優化產品及服務。」</p> <p>津司豪傾向於招募有銀行經驗的IT人才，他解釋，這類人才的資安意識較強，對於資安控管，甚至是金融倫理道德面較有經驗，輪番面試多人後，他得到這樣的體會。</p> <p>他認為，樂天銀行就像是一家企業創業初期，從事前準備到開業會有許多狀況發生，身在其中，可能沒有前例經驗可遵循，必須自己想辦法處理狀況。所以，他希望，進入樂天銀行工作的人，得勇於挑戰新事物，彈性地適應組織的改變，還要積極提出自己的想法。他也將籌備到開業這個逐漸建構體制的過程，視為一種人才招募特色。</p> <p><strong><span style="font-size:28px;">開業第一天即採用微服務架構建構大型系統</span></strong></p> <p>相較於既有銀行的系統包袱，純網銀最大優勢是可以重新建構一套系統，要直接採用新架構與技術也相對容易。所以，樂天銀行一開始就採用了微服務架構，將不同業務邏輯切分獨立成數個微服務，以組合微服務的的方式來建構大型銀行系統。</p> <p>樂天銀行看重的微服務架構好處是，相較於過往的單一架構，微服務在系統維運層面提升了系統服務水準，可以彈性地針對負荷大的微服務來擴充服務能力，並且，遇到定期系統升級時，也可以進行局部微服務的升版，維持其他服務持續提供，而不再侷限於單一架構只能整體服務升版的作法。</p> <p>不只如此，樂天銀行還看重微服務在開發層面的優點，按業務邏輯來切分不同的微服務後，業務邏輯能反應到程式碼結構上，也可以提升資訊單位的開發能量與開發品質，使得樂天銀行推出新產品和服務的頻率能夠更快。</p> <p>甚至，在未來的產品開發和產品優化，樂天銀行也規畫在開行後，運用敏捷開發框架Scrum，來管理應用系統的開發。樂天銀行透露，自家資訊團隊在建立初期就有Scrum Master證照和有經驗的好手加入，雖然還沒全面落實Scrum，但應用系統開發與管理日常工作中，已經開始融入敏捷精神。</p> <p>津司豪也表示，樂天銀行相當重視新技術的應用，並研究如何落實到銀行服務中，但他更重視的是如何使用現有資源解決問題的能力。這也是臺灣首家純網銀的CIO，對自家團隊深切的期許。</p> <p><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span><strong><span style="background-color:#3399ff;">CIO小檔案 </span></strong></span></p> <p><strong>津司豪樂天國際商業銀行資訊處處長</strong></p> <p>學歷：日本立教大學經濟系畢業</p> <p>經歷：具有24年銀行與資訊業IT經驗，曾在日本系統整合公司Intec Solution Power任職。原為日本樂天銀行IT營運部門主管，負責系統維運；現為樂天國際銀行資訊處處長，從籌備初期即加入，全程參與系統設計、開發建置及資訊處組織的建立。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>樂天國際商業銀行</strong></p> <p>● 成立時間：2020年5月18日</p> <p>● 主要業務：提供金融服務</p> <p>● 董事長：簡明仁</p> <p>● 總經理：佐伯和彥</p> <p>● 資本額：新臺幣100億元</p> <p>● 股東結構：日本樂天銀行持股50%、國票金控持股49%、日本樂天信用卡持股1%</p> <p>● 網址：<a href="http://www.rakuten-bank.com.tw">www.rakuten-bank.com.tw</a>（正式對外開業時才開放）</p> <p>● 總部地址：臺北市中山區松江路433號11樓</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>● 資訊部門名稱：資訊處</p> <p>● 直屬主管：佐伯和彥</p> <p>● 資訊部門主管：津司豪</p> <p>● 資訊部門分工：包括銀行各應用系統之設計、建置及維運，網路銀行與行動銀行及官網介面的設計（UI/UX）、系統技術基盤之管理及維運等</p> <p>公司大事記：</p> <p>● 2019年7月30日：經金管會核可設立純網路銀行</p> <p>● 2020年5月18日：正式成立公司</p> <p>● 2020年12月8日：成為臺灣首家獲取金管會核發純網銀營業執照的銀行</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/le_tian_guo_ji_yin_xing_cio-960-she_ying_hong_zheng_wei_.png" width="960" height="420" alt="" title="樂天國際商業銀行資訊處處長津司豪　（攝影／洪政偉）" /></div></div></div>
2021/1/13 07:00作者李靜宜https://www.ithome.com.tw/people/142109
【2021資安大預測】趨勢9：乾淨網路｜美國新總統上臺，5G乾淨網路發展值得關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普將中國視為頭號敵人，激烈的美中貿易大戰加上武漢肺炎疫情的影響，各界對於中國業者信任度大為降低，加上未來是5G網路的時代，如果網路電信業者採用不可信任的中國業者所製造的5G設備後，難保這些5G設備沒有隱藏任何惡意程式在內。因此，美國公布一份「全球5G乾淨網路名單」，就是希望確保關鍵的電信網路、雲端、數據分析、行動應用、物聯網和5G相關技術，都不會使用到「不受信任」的設備商的產品。</p> <p>但是，美國第46任總統拜登即將於今年1月20日正式就任，不過，拜登在外交政策上，向來將俄羅斯視為首要敵人，與副總統賀錦麗都與中國政、商業者關係良好，對比川普的各種仇中、排中的政策，尤其是5G乾淨網路的名單中，直接排除中國華為的5G設備。面對拜登未來的四年任期，能否維持川普既有與中國保持距離的外交關係，是否會轉頭恢復與中國的互動，值得各界持續關注。</p> <p><span style="font-size:28px;"><strong>臺灣名列美國5G乾淨網路清單，美國、印度陸續宣布禁用中國App</strong></span></p> <p>在2019年5月，包括全球30多國的官員、歐盟、美大西洋公約組織（NATO）和工業界代表，共同發表有關5G安全的「布拉格提案」，未來每個國家在評選5G供應商的時候，應該將國家安全、經濟、商業等因素納入評選標準做，作為各國在設計、建設、和管理5G基礎設施時的建議原則。</p> <p>2020年美國國務院在4月公布「5G乾淨網路計畫」，公布全球5G乾淨網路名單，到了8月，美國國務卿龐佩奧更擴大乾淨網路計畫，鎖定的對象更包含：乾淨營運商、乾淨商店、乾淨行動應用程式、乾淨雲端、乾淨電纜以及乾淨通道。</p> <p>臺灣的5家電信業者都全數名列「5G乾淨路徑」（5G Clean Path）的乾淨電信公司清單中，在2020年8月，臺美簽署「5G安全共同宣言」，外交部長吳釗燮表示，臺灣在佈建5G的資安考量上，已經超前部署，完全排除具有資安疑慮的中國軟體應設備與服務。</p> <p>在美國推出的5G乾淨網路計畫後，印度在與中國邊境衝突不斷、關係極度惡化下，印度官方在6月率先禁用中國59款App，9月第二波禁用118款中國App，11月第三波禁用43款App。印度官方宣布禁用中國App的政策，精神上也符合美國5G乾淨網路計畫中的「乾淨行動應用程式」。</p> <p>川普從2020年11月開始，為了確保總統任內對於中國各種反制政策得以存續，他也簽署各種的行政命令。例如，川普引用「國際緊急經濟權力法」、「國家緊急法」及301條款頒布行政命令，宣稱中國正加強利用美國的資本，進行軍事、情報和其他安全機構的發展和現代化，已經對美國構成威脅，禁止美國投資認定由中國解放軍擁有或掌握的31家中國企業的股票。</p> <p>川普即將卸任之際，他也以資安威脅為由，簽署行政命令禁止使用8個中國應用程式，包括：支付寶、CamScanner、QQ錢包、SHAREit、騰訊QQ、VMate、微信支付和WPS Office，這也是繼先前禁用中國微信和抖音後，第二波中國App的禁用名單。</p> <p>川普任內推動的5G乾淨網路計畫，搭配簽署相關的行政命令，就是希望可以相對維持與中國政府的距離，不要因為拜登上任後而有所改變。未來，拜登的中國政策的走向，不僅影響5G乾淨網路計畫的延續性，也影響臺美關係未來的發展。</p> </div></div></div>
2021/1/13 07:00作者黃彥棻https://www.ithome.com.tw/news/142122
【2021資安大預測】趨勢10：製造業資安｜駭客鎖定製造業發動目標式勒索和DDoS攻擊，成為新常態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用產業共通系統或平臺的漏洞入侵企業的手法層出不窮，2020年臺灣爆發多起鎖定製造業的攻擊，攻擊手法除了威脅以勒索軟體加密企業的系統和磁碟的目標式勒索攻擊（Target Ransom）外，也有鎖定製造業的目標式DDoS（Target DDoS）攻擊，甚至有傳出駭客發動DDoS攻擊的目的，在於癱瘓製造業的供應鏈平臺，對方可能認為，唯有威脅受害者將遭受到實際損失，受害企業才可能願意支付贖金，而駭客鎖定製造的攻擊手法，不論是目標式勒索或者是目標式DDoS，即便到2021年仍不會消退。</p> <p><span style="font-size:28px;"><strong>目標式勒索攻擊透過RDP等弱點，入侵企業並勒索高額贖金</strong></span></p> <p>利用勒索軟體加密資料，然後威脅受害者支付贖金的手法，從WannaCry勒索軟體之後，這種恐嚇取財的手法一直沒有消失，但不同的是，早期包括WannaCry在內的勒索軟體，鎖定對象是一般個人使用者，即便受害者是企業，通常也都是個人電腦端漏洞未修補造成。</p> <p>但是，從去年5月起，石油公司、自動化設備業者、半導體封測業者、PCB業者，以及穿戴式大廠等，都爆發遭駭客以勒索軟體加密企業資料，並提出高額贖金要求的受駭事件。</p> <p>趨勢科技全球核心技術部資深協理張裕敏表示，上述資安事件可以稱之為目標式勒索攻擊，若進一步分析駭客攻擊手法，通常是利用網路、RDP（遠端桌面協定），以及VPN（虛擬私有通道）的弱點，或者是利用釣魚郵件的方式，入侵並潛伏在企業內部，主要是鎖定AD目錄服務伺服器並在特定的時間點散布大量的勒索軟體，目的在於加密AD伺服器等重要的主機內容，駭客可以趁機跟企業勒索高額贖金，一旦企業不願意支付贖金，這些駭客也會威脅要將企業資料公開在網路上，或者是將加密資料先備份一份後，等到企業因為沒有備份資料導致無法復原相關資料時，駭客便可以趁機要求企業支付勒索贖金。他也發現，很多開發者常用的程式代管平臺，例如GitHub、GitLab等，也都成為駭客儲存從企業偷來資料的管道。</p> <p>穿戴式大廠在7月傳出遭到駭客加密並勒索高達3億元贖金後，在11月9日也傳出電腦組裝業者遭到駭客組織DoppelPaymer勒索高額贖金，雖然該業者對外公開不是遭到勒索軟體攻擊，而是網路系統有問題，不過，區塊鏈資安業者Xrex創辦人黃耀文則是在11月19日觀察到，上述駭客傳出的區塊鏈勒索錢包中，發現有人存入28.3顆的比特幣（約50萬美元），反洗錢業者CipherTrace也進行金流分析發現，這些存入的比特幣是透過場外交易市場（Over the Counter，OTC）的方式購買，但無法確定該比特幣是否為電腦組裝業者支付贖金。</p> <p>而根據安碁資訊技術副總黃瓊瑩的觀察，他發現，有些駭客組織鎖定臺灣高科技業者，他們通常會找到有弱點的網站來突破，像是具有上傳檔案功能的網站則是被攻擊大宗，而多數防毒軟體幾乎無法順利偵測到這些上傳檔案網站的惡意Web Shell；其他常見的攻擊標的，則有舊系統忘記下線、測試用主機沒有適當防護，或忘記下線的不設防無主主機，也是駭客最愛鎖定攻擊的對象之一。</p> <p>他繼續指出，駭客藉此入侵企業內部後，可以透過側錄密碼或橫向移動的方式，找到高權限使用者的帳號密碼，例如AD伺服器的Administrator，甚至有機會控制單位最高權限的Domain Controller（DC）；當駭客順利掌握該公司後，也會在企業內部安裝VPN軟體，留下未來回到企業內部的管道。一旦駭客順利掌握受駭企業的高權限使用者，就可以發動地毯式攻擊，不管是潛伏企業內部或控制企業重要的伺服器，全都在駭客一念之間。「這樣的攻擊方式，即便到2021年，也都是很有效的攻擊手法，不見消退。」黃瓊瑩說道。</p> <p><span style="font-size:28px;"><strong>駭客發動目標式DDoS，臺灣業者曾遭8小時100Gbps流量攻擊</strong></span></p> <p>2020年上半年，傳出多家高科技製造業遭駭客以勒索軟體加密，並要求高額贖金的資安事件，不過，在下半年有駭客組織威脅臺灣的製造業者，若不支付贖金，將會發動DDoS攻擊，主要攻擊的標的除了這些公司的官網，也傳出駭客鎖定攻擊更有價值的高科技業者的供應鏈下單平臺，透過癱瘓這些系統，讓高科技業者遭到損失後，更願意支付贖金。</p> <p>根據不具名消息來源指出，在中秋連假附近，9月26日有系統整合業者接到自稱是Fancy Bear駭客組織的勒索信件，要求業者要支付10個比特幣（約新臺幣300萬元），否則一週後將再度發動DDoS攻擊。該公司隨即遭到第一次DDoS攻擊，但一週後的二度攻擊沒有發生。</p> <p>在國慶連假期間的10月9日，也有系統整合業者遭到類似的DDoS勒索信件，要求支付20個比特幣（約新臺幣600萬元），同時間，也有主機板業者收到同樣的勒索信件；到了10月底，先前10月上旬接到勒索信件的系統整合業者，則遭到持續8小時、攻擊流量高達100Gbps～105Gbps的DDoS攻擊；11月初，也傳出有零組件業者遭到二度DDoS攻擊，但該次並沒有收到勒索信件。</p> <p>對於臺灣製造業遭到的目標式DDoS攻擊，黃瓊瑩指出，駭客都會先透過公開資訊，獲得企業的聯繫窗口，如公關、人資、投資人聯繫窗口或客服等，寄送勒索郵件。基本上，攻擊者都會先發動試打行動，以取信於受害企業。他表示，駭客試打流量大約是1Gbps，對於企業對外網路，已經會面臨明顯的停頓或中斷狀況；駭客也會透過網際網路取得受攻擊企業的AS Number（自治系統號碼）作為攻打標的，這通常是企業轄下一個很大的網段。</p> <p>他進一步說道，駭客試打後，都會宣稱下一波正式攻擊的火力會達到2Tbps到2.5Tbps規模，但實際上，安碁協防的客戶有截獲駭客試打過程的真實記錄，但沒有遇到真正的大規模攻擊，而試打的攻擊來源大部分來自俄羅斯與東歐（俄羅斯、白俄羅斯、烏茲別克、哈薩克），另有其他較少量攻擊來自歐（英國、荷蘭）、美、香港與臺灣，其中臺灣被利用的攻擊來源是IP Camera。</p> </div></div></div>
2021/1/13 07:00作者黃彥棻https://www.ithome.com.tw/news/142123
【2021資安大預測】趨勢12：FIDO身分識別｜更多網路服務重視帳戶安全性，提供FIDO無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去使用者在登入網路服務時，對於輸入密碼這件事，應該已經習以為常，但隨著越來越多的雲端應用，問題也越來越多，包括難以記憶密碼，許多人只想設定簡單密碼或相同密碼，而隨著各種網路服務帳號越來越有「價值」（涉及金錢交易或個資），也促使網路釣魚與密碼外洩事件不斷，因此，FIDO標準成為近年焦點，可使用生物辨識技術或硬體式裝置，提供更強的雙因素認證。</p> <p><strong><span style="font-size:28px;">FIDO應用已讓普遍民眾都可體驗</span></strong></p> <p>值得關注的是， FIDO應用是越來越普遍。除了過去就有大型雲端業者，包括Google與微軟，在多因素認證選項中，新增FIDO標準實體安全金鑰的登入方式。</p> <p>近年來，政府導入FIDO實例大幅增加，至今全球有12國在不同機關網路服務提供應用，讓民眾或政府機關員工，可使用FIDO標準的方式登入。臺灣也包括在內，TAIWAN FidO臺灣行動身分識別（TW FidO）就是例子。</p> <p>不僅如此，還有許多提供網路服務的產業，都開始著手導入FIDO，目的就是希望透過結合公開金鑰、生物特徵等技術，讓網站服務或App登入可以不用手動輸入密碼，又能更安全且簡便。</p> <p>例如，Line即時通訊是國人生活常用的工具，該公司為了強化登入安全，新增「使用智慧型手機登入」的選項，其實就是透過FIDO標準用手機上的生物辨識來認證。</p> <p>特別的是，這樣的功能在2020年11月時，只有iPad版登入可以使用，現在我們發現，Line電腦版也支援。</p> <p>對於用戶而言，這意謂著在iPad或電腦上登入Line時，都可以不用輸入密碼，而且比以往Line提供的掃描QRCode登入方式，更為安全。而且，預計2021年還有多個身分識別場景也將支援FIDO，包括用戶更換手機要移動Line帳號，以及登入Line家族服務等。</p> <p><strong><span style="font-size:28px;">商業產品服務導入態勢比過往積極</span></strong></p> <p>此外，提供企業應用的產品服務，已有業者將強化登入安全、導入FIDO，視為產品策略重點，而且國內現在就有應用實例。</p> <p>舉例來說，提供企業身分識別集中管理解決方案的全景軟體，他們在2019年於ID Expert產品加入FIDO 2登入的支援；以及NAS大廠群暉，在2020年12月釋出的DSM 7.0 Beta版，對於DSM帳號新支援FIDO 2標準硬體金鑰的登入方式，同時也開發「Approve SignIn」App，提供另一種無密碼登入選項。</p> <p>除此之外，國內金融業者提供的網路行動銀行App，同樣需要重視網路服務的身分驗證。先前已有案例，包括2018年上線的中國信託銀行「Home Bank」App，以及2020年上線的「國泰世華行動銀行」與「KOKO」App，讓用戶在生物辨識登入App時可以維持相同使用習慣，但更安全，甚至有些App的轉帳機制也能基於FIDO。</p> <p>而在2021年，我們已聽聞數家銀行將在今年完成導入，顯然，國內金融業在FIDO應用的腳步是比過去積極，這將帶動更多雲端服務業、科技業、資安產業、電信業或電商業者投入，此類應用趨勢未來勢必有增無減。</p> </div></div></div>
2021/1/13 07:00作者羅正漢https://www.ithome.com.tw/news/142127
星展銀行在臺成立全球第三座國際金融科技研發中心，今年第2季預估招募30名IT人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>星展銀行（臺灣）在今天（1/12）正式宣布成立國際金融科技研發中心，是星展集團繼新加坡與印度之後，所成立的第三座科技研發中心，預計在2021年第2季以前，招募首批至少30位資訊技術人才，要將臺灣打造為金融科技重要基地。</p> <p>星展銀行（臺灣）科技長蔡祈岩也首度對外露面招攬人才，他進一步指出，星展全球擁有的29,000名員工之中，就有超過1萬名是資訊科技人員。「星展認為自己是一家金融科技公司，而不是一間銀行。」</p> <p>他解釋，臺灣科技人才擁有一些獨特優勢，像是軟硬體整合，以及紮實的訓練等，進而也能降低研發總成本。設立研發中心能夠引入臺灣的優勢科技，創造科技人才多元化。臺灣的防疫成果，也使得星展集團為了分散風險而來臺設立。</p> <p>星展銀行觀察，未來軟、硬體需結合，金融服務大量應用AI，數據驅動的精準行銷成為主流。所以，蔡祈岩表示，臺灣研發中心將著重聚焦人工智慧與數據。</p> <p>蔡祈岩強調，整個星展集團所使用的科技工具，不是傳統銀行所用的大型主機，而是跟所有IT公司一樣，盡量採用最新科技及敏捷式開發。這次招募對象也聚焦現代化IT人才，包括數據工程師，前端、後端、軟體開發工程師、熟悉如Java, C#, Python, JavaScript等程式語言等。</p> <p>蔡祈岩指出，由於星展銀行的系統是全球一致性，擁有全球金融科技場域，有別於本土銀行在臺的開發中心，金融科技研發中心的任務是國際研發，會融入到整個星展集團的IT開發。不過，今年成立初期，先以臺灣顧客的客製化需求為優先，如Open Banking、My Data、跨國金融等，並想辦法把臺灣優勢與國際銜接。</p> <p>星展銀行（臺灣）總經理林鑫川則表示，在臺客製化需求以消金為主，以往這類的需求，星展集團優先考量新加坡、印度、印尼等國，現在在臺也有IT研發團隊，就會先考量臺灣的在地化需求。</p> <p>星展銀行研發中心這次徵才也首次採用線上團隊開發的方式來評選，稱為Coding Warrior Challenge（碼神擂臺技術挑戰），讓應徵者組隊完成專案開發的線上測驗，也有機會與新加坡、印度及臺灣三地的技術主管在線上進行技術切磋，藉此考驗應徵者臨場問題解決能力，以及技術實作能力。文⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-01-12%20%E4%B8%8A%E5%8D%8811_21_36.png" /></p> </div></div></div>
2021/1/12 19:27作者李靜宜https://www.ithome.com.tw/news/142185
嚴禁選舉不公言論，任何含有Stop the steal字樣貼文將通通被臉書及IG下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/01/preparing-for-inauguration-day/" target="_blank">臉書（Facebook）於周一（1/11）宣布</a>，有鑑於上周於國會大廈發生的暴動，即日起至1月22日止，舉凡臉書或Instagram上含有「Stop the steal」（停止偷竊選舉）字樣的貼文，都將通通被移除。</p> <p>臉書表示，這是因為一直有人企圖組織活動來對抗美國總統大選，而這類的行動可能促成暴力，再加上上周的暴動就是使用這類的辭彙，這使得該平台決定在新任總統就職典禮之前採取額外的行動。</p> <p>美國國會已經認證拜登（Joe Biden）當選美國新一任總統，且即將於1月20日進行就職典禮，但臉書則計畫在1月22日之前，都會日以繼夜地強制執行有關就職典禮的政策，即時回應任何的威脅，包括主動接觸聯邦與地方執法機構，並基於有效的法律請求提供必要的資訊，亦將移除那些可能對大眾安全造成實際傷害與威脅的內容或帳號。</p> <p>不只是加強偵測站上的內容，臉書亦宣布將繼續禁止政治或選舉廣告的措施，代表不會接受任何政客的廣告，包括川普在內。</p> </div></div></div>
2021/1/12 15:21作者陳曉莉https://www.ithome.com.tw/news/142176
聯合國外洩10萬名員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群自稱為Sakura Samurai的資安研究人員，因為看到聯合國提供了漏洞揭露專案與名人榜，於是決定尋找聯合國的資安漏洞，很快就發現有個端點曝露了一些Git憑證，使得他們得以下載該Git儲存庫，進而發現大量的聯合國員工個資，估計有超過10萬名員工的個資外洩，此外，他們亦在聯合國的網站上發現許多公開的.git目錄，還可利用各種工具來汲取這些目錄的內容。</p> <p>Sakura Samurai團隊在此一Git儲存庫中，找到了逾10萬名聯合國員工的出差資料，包括姓名及員工編號等；另有內含7,000名員工的國籍統計資料，包括姓名、員工編號、國籍、性別、薪資等級；以及內含4,000筆紀錄的專案與資金來源；內含283個專案的評估報告。</p> <p>該團隊還取得了隸屬於國際勞工組織（ International Labour Organization，ILO）的SQL資料庫與調查管理平臺的控制權，儘管其資料庫及調查管理平台似乎已被棄用，但資料庫與管理帳號可被接管依然可稱為重大漏洞。</p> <p>Sakura Samurai亦於聯合國環境規畫署的子網域中找到了一些GitHub憑證，利用相關憑證可下載許多原本被密碼保護的GitHub專案。</p> <p>研究人員並未繼續深究再找下去還會發現些什麼，而是決定直接通報聯合國。</p> <p><a href="https://www.itpro.co.uk/security/data-breaches/358284/united-nations-reveals-potential-data-breach" target="_blank">ITPro引用資安專家Javvad Malik的看法指出</a>，全球化的組織經常在不同的系統或平臺上存放資料，但要同時追蹤這些不同的系統並確保正確設定卻是個挑戰；漏洞管理公司Outpost24安全長Martin Jartelius則說，此一案例看起來都是屬於使用上的漏洞，而非軟體上的漏洞，倘若這些曝露在網路上的系統，存放了其它系統的憑證，那麼著實令人擔憂。</p> </div></div></div>
2021/1/12 15:31作者陳曉莉https://www.ithome.com.tw/news/142177
去年全球PC出貨量成長率創下10年來新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因COVID-19疫情衍生的在家工作/學習風潮，激勵了2020年的全球PC出貨量，<a href="https://www.idc.com/getdoc.jsp?containerId=prUS47274421" target="_blank">根據市場研究機構IDC的調查</a>，去年第四季全球PC出貨量成長26.1%，且全年出貨量成長13.1%，上一次PC出貨量出現類似成長幅度的時候是2010年的13.7%。在這十年來，全球PC出貨量有6年是衰退的，1年是持平的，其它時候則僅有微幅成長。</p> <p>IDC研究經理Jitesh Ubrani表示，在今年第四季時，由於供不應求，PC供應鏈的每個環節都延伸到了極限，且PC製造商與ODM不僅要面臨元件與產量短缺的問題，還得處理物流問題，供應商被迫利用空運來遞送，墊高了成本。</p> <p>另一方面，雖然這波的成長有賴於疫情，但IDC副總裁Ryan Reith認為，消費者市場的力道不容輕忽，因為他們持續看到遊戲PC與螢幕的出貨量創下新高，且Chrome裝置也從教育拓展到消費者市場，透露出疫情不僅刺激了PC的市場需求，也創造了擴大市場的機會，所有的跡象皆顯示PC市場的出貨量仍會往上攀爬。</p> <p>2020年全球PC的出貨量為3億臺，前五大業者依序是聯想（24%）、HP（22.4%）、Dell（16.6%）、蘋果（7.6%），以及Acer（6.9%）。</p> </div></div></div>
2021/1/12 15:44作者陳曉莉https://www.ithome.com.tw/news/142178
Google Ads存在漏洞，使惡意人士可擷取任意YouTube用戶私人影片內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>白帽駭客David Schütz公開了他在2019年所發現的Google漏洞，該<a href="https://bugs.xdavidhu.me/google/2021/01/11/stealing-your-private-videos-one-frame-at-a-time/">漏洞</a>可讓惡意攻擊者透過Google Ads，一個影格一個影格地偷走YouTube私人影片的影像內容。Google已經確認該漏洞存在，並且已經完成修復，還透過漏洞獎勵計畫發送5,000美元的獎勵給David Schütz。</p> <p>YouTube服務本身並不會直接洩漏私人影片內容，而是必須要透過Google Ads。Google Ads是一個廣告服務，可以讓使用者製作廣告，在YouTube等Google服務中播放，包括在YouTube影片前的廣告影片，都可以在Google Ads中製作。而在Google Ads中，有一個稱為Moments的功能，可讓廣告商可以指定影片時間，標記像是企業商標出現的時間戳。</p> <p>Moments便是洩漏私人影片內容的主角，David Schütz提到，當用戶標記一個指定時刻，則Moments功能便會向/GetThumbnails端點發出POST請求，請求訊息會包括影片的ID和以毫秒為單位的影片時間，而取得的回應則是Base64編碼影像，以用於Google Ads的縮圖。而Moments的漏洞，使得請求訊息中的影片ID，可以使用非用戶所有的私人影片，也就是說，這是一個不安全直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，可讓惡意人士任意存取私人影片中的任意影格。</p> <p>David Schütz實作了這個IDOR漏洞的概念性驗證，只要計算好每影格在螢幕上停留的時間，就能重複動作擷取不同影格，並且串接在一起還原成為影片，這個Moments漏洞提供攻擊者，下載任何用戶YouTube私人影片的能力。</p> <p class="rtecenter"><img alt="" src="https://bugs.xdavidhu.me/assets/posts/2021-01-11-stealing-your-private-videos-one-frame-at-a-time/ads-moments.gif" style="width: 600px;" /></p> <p>不過，這個漏洞仍有其限制，在實際應用上，攻擊者必須要知道目標私人影片的ID，因此攻擊者要大量取得影片ID仍有其障礙，再來是，惡意攻擊者取得的內容是圖片，因此不會有聲音訊號，私人影片聲音內容不會遭到洩漏。另外，取得的Base64編碼影像解析度很低，但是仍為足以辨識影片內容的程度。</p> <p>David Schütz在2019年12月向Google回報了這個漏洞，Google也迅速地確認該漏洞，並且暫時禁用Moments功能，在2020年1月，Google就發出漏洞獎勵獎金5,000美元。David Schütz表示，兩個不同後臺溝通的環節，通常是值得關注的地方，因為兩個產品團隊可能只了解各自的系統，並在使用其他產品時，遺漏重要細節，因此容易出現安全性漏洞。</p> </div></div></div>
2021/1/12 16:00作者李建興https://www.ithome.com.tw/news/142175
遭AWS終止服務，Parler告上法院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創社交平臺<a href="https://www.courtlistener.com/docket/29095511/1/parler-llc-v-amazon-web-services-inc/" target="_blank">Parler在周一（1/11）狀告Amazon Web Services（AWS）</a>，理由為AWS妨礙市場競爭。</p> <p>就在臉書與Twitter等社交平臺封鎖美國總統川普（Donald Trump）帳號之後，川普的支持者轉移到2018年成立的社交平臺Parler，但Google與蘋果相繼把Parler程式從應用程式商店中下架，AWS則宣布要切斷Parler的代管服務，這3家業者所持原因都是Parler未能適當控管該平臺內容，縱容煽動暴力的貼文。</p> <p>而Parler周一即向法院遞出了訴狀，指控AWS雖然同為Twitter與Parler的代管服務供應商，但不對含有仇恨內容的Twitter作出處分，卻決定終止Parler的服務，認為AWS的動機一來為政治導向，二來是替Twitter減少市場上的競爭。</p> <p>此外，Parler也控告AWS違反了雙方的合約，根據合約內容，AWS必須要在終止服務的前30天提醒，但這次AWS卻在30小時內就要終止服務，希望法院能夠釋出臨時禁令，禁止AWS撤下對Parler的服務。</p> <p>同時遭到Google、蘋果與AWS封殺之後，<a href="https://video.foxnews.com/v/6221679825001#sp=show-clips" target="_blank">Parler執行長John Matze向Fox News表示</a>，不只是這三大業者，從文字傳訊服務、電子郵件供應商，到該公司的律師，都在同一天拋棄了Parler，此事不僅涉及言論自由，可能直接摧毀Parler這家公司，且也許會發生在任何公司身上。</p> </div></div></div>
2021/1/12 13:29作者陳曉莉https://www.ithome.com.tw/news/142167
藥廠Biogen以Apple Watch進行認知退化研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以失智症藥物聞名的美國藥廠<a href="https://investors.biogen.com/news-releases/news-release-details/biogen-launch-pioneering-study-develop-digital-biomarkers" target="_blank">百健（Biogen）昨（11）日宣布與蘋果展開多年期的合作</a>，將運用Apple Watch及iPhone展開研究，了解使用穿戴科技用於監控和發現認知衰退，包括失智症的潛力。</p> <p>這項研究將在今年展開，研究人員將招募從年輕成人到長者，且涵括不同認知表現的自願者參加，展開一系列認知表現的研究。結合Apple Watch、iPhone，以及Biogen在神經科學的研究基礎，本研究主要將發展數位生物標記，協助長期監控使用者認知表現，並能於早期發現輕微認知障礙（mile cognitive impairment，MCI）的徵兆。</p> <p>Biogen指出，認知健康衰退，包括MCI為神經退化、阿茲海默及失智症的早期徵兆。研究顯示，65歲以上成年人，有15到20%的人有認知健康衰退問題，但卻太晚發現而喪失治療先機。成功發展大腦的數位生物標記，將可加速診斷與及早介入治療。對醫療體系來說也能因此減少大量醫療成本。</p> <p>研究機構也強調確保受試者的隱私，研究會詳細說明蒐集的資料型態，以及用途及分享資料的單位，以取得受試者的明顯同意。他們也可以隨時退出研究。蒐集的資料將加密儲存在有安全控管的系統內。</p> <p>Apple Watch上具有加速度計（accelerator）、陀螺儀等感測器，可偵測配戴者手部動作。此外，iPhone也有醫療大規模研究用的Research App，包括可供受試者填寫問卷等功能。</p> <p><a href="https://www.ithome.com.tw/news/132313" target="_blank">2019年蘋果也和藥廠Elli Lilly合作研究失智症</a>。Apple Watch之前已多次用於大規模醫學研究，包括<a href="https://www.ithome.com.tw/news/127786" target="_blank">心臟</a>、聽力、<a href="https://www.ithome.com.tw/news/134223" target="_blank">女性健康</a>，和活動研究。</p> </div></div></div>
2021/1/12 12:29作者林妍溱https://www.ithome.com.tw/news/142163
Ubiquiti雲端系統遭駭，籲用戶變更密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mailchi.mp/ubnt/account-notification?ubiquiti-20201101" target="_blank">提供UniFi系列網通產品業者Ubiquiti昨（11）日公告</a>，其代管於一家雲端平臺上的系統遭不明人士存取，因為不確定資料完全沒外洩，因而呼籲用戶儘速變更密碼。</p> <p>Ubiquiti指出，由第三方雲端業者代管的數個IT系統遭未授權存取，目前沒有跡象顯示客戶帳號有任何非授權的存取活動。他們表示目前沒有發現代管客戶資訊的資料庫有被存取的情形，但是無法確認用戶資料完全沒有曝光。這些資料可能包括客戶姓名、電子郵件、經雜湊及加鹽處理過的密碼。此外，也可能包括用戶住家地址及電話號碼。</p> <p>Ubiquiti提供企業及家用無線網路系統，以高效能、擴充性強、平價及好管理聞名。用戶可以從瀏覽器來遠端存取及管理路由器等設備。</p> <p>該公司並未說明是哪家雲端業者，事件發生的時間，以及攻擊路徑等。</p> <p>Ubiquiti表示，以防萬一，建議用戶變更手上Ubiquiti產品密碼，最好連使用同一組帳密的網站密碼也變更。該公司也建議用戶Ubiquiti上的帳號都啟用雙因素驗證（2FA）。</p> </div></div></div>
2021/1/12 12:48作者林妍溱https://www.ithome.com.tw/news/142165
IT服務商Atos向對手DXC提出收購，開價100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://atos.net/wp-content/uploads/2021/01/Atos-Statement.pdf" target="_blank">法國IT服務業者Atos本周證實</a>將向競爭對手美商DXC Technology提議收購，以建立起一家「數位服務領導者」。</p> <p><a href="https://www.reuters.com/article/dxc-technology-ma-atos-idCNL8N2JI2FT" target="_blank">上周路透社首先獨家披露這項消息</a>。消息人士指出提議的金額為100億美元。</p> <p>Atos指出，它已經向DXC提出兩家集團的「友善交易」，將在收購策略下輔以嚴謹的財務考量評估此次機會，但它強調雙方討論還在很初期的階段，此時完全不保證交易或收購是否能成案。</p> <p><a href="https://www.dxc.technology/newsroom/press_releases/149818-dxc_technology_statement" target="_blank">DXC也發出聲明</a>證實接到Atos的主動收購提議。該公司董事會也將展開評估。</p> <p>路透社報導，一旦成功，將可讓Atos一舉跨入美國IT服務市場取得重要客戶，以及多項技術能力，包括分析、雲端應用及IT委外服務。DXC Technology是2016年HPE 將原本的企業服務部門獨立出來和CSC合併而成，目前市值達67億美元，擁有6,000多家客戶。HPE的企業服務部門主體即為EDS。</p> <p>Atos則號稱歐洲第一大資安、雲端及IT服務商，全球在73個國家設有據點，全球員工達11萬人，年營收120億歐元。Atos過去三個月來連續收購了<a href="https://atos.net/en/2020/press-release_2020_12_16/atos-to-acquire-leading-cybersecurity-services-company-motiv" target="_blank">資安雲端服務商Motiv</a>、<a href="https://atos.net/en/2020/press-release_2020_10_22/atos-to-acquire-leading-cyber-security-consulting-company-sec-consult" target="_blank">SEC Consultant</a> 、及代管威脅偵測業者<a href="https://www.globenewswire.com/news-release/2020/12/16/2145860/0/en/Atos-to-acquire-leading-cybersecurity-services-company-Motiv.html" target="_blank">Paladion</a>。</p> </div></div></div>
2021/1/12 13:08作者林妍溱https://www.ithome.com.tw/news/142166
Prometheus 2.24強化安全性，開始在HTTP服務端點支援TLS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源監控系統Prometheus開發團隊，發布了2021年第一個版本<a href="https://github.com/prometheus/prometheus/releases/tag/v2.24.0">2.24</a>，這個版本除了改善系統的安全性，以及更新其命令列工具、時間序列資料庫之外，其一大重點是在Prometheus伺服器的HTTP服務端點上，實作內建TLS支援。</p> <p>Prometheus最初是在2012年，由線上音樂發布平臺SoundCloud所開發，以代替其既有的指標平臺，而為了滿足SoundCloud的需求，開發團隊特別在多維度資料模型、操作簡易性和查詢語言等功能下功夫，並在2016年時貢獻給雲端原生運算基金會，現在受到Google、紅帽與Digital Ocean等企業使用。</p> <p>要在HTTP服務端點，支援TLS以及基本的身份驗證功能，早從2018年就開始討論，直到現在才實作完畢，這個功能的目的，是要提供更安全的資料傳輸方法，隨著Prometheus受到更多的企業採用，對於安全的需求越來越大，因此開發團隊在最新版本，實作了這個受到用戶持續要求的功能。</p> <p>Prometheus 2.24能夠重用EC2客戶端，不再需要每次重新創建，開發團隊使用AWS Go SDK，快取需要的憑證，這可使得憑證請求的頻率下降，Prometheus現在還能正確處理EC2執行個體的IPv6位置。這版本在時間序列資料庫也有更新，由於對記憶體操作的更新，現在資料庫在壓縮工作完成後，就不再需要立即執行垃圾回收工作，而對於花費時間較久的壓縮工作，資料庫現在會新增日誌記錄。</p> </div></div></div>
2021/1/12 11:20作者李建興https://www.ithome.com.tw/news/142157
Google量子電腦部門取得首家藥廠客戶，投入新藥研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國藥廠百靈佳殷格翰<a href="https://www.businesswire.com/news/home/20210111005440/en/" target="_blank">（Boehringer Ingelheim）昨（11）日宣布</a>與Google量子AI部門一項為期三年的合作，以量子運算用於疾病研究及最終的新藥研發。</p> <p>這項合作將結合Google量子電腦與演算法，以及百靈佳殷格翰的電腦輔助藥學設計和電腦模擬建模（in silico modeling）的經驗，重點放在量子運算於研究和實作藥學研發的尖端使用情境（use cases），特別是分子動力學模擬。百靈佳殷格翰也成為Google量子運算的第一家製藥業合作案例。</p> <p>雙方指出，雖然業界已大量運用IT運算推動新藥開發，但受限於演算法結構，今天的電腦還有許多複雜、卻是製藥開發早期關鍵的問題無法解決，像是疾病機轉的分子模擬及分析。而量子運算將有潛力比現行技術，更精確模擬和比較大型分子，以加速新藥和療法的研究。</p> <p>Google量子演算法部門主任Ryan Babbush指出，分子系統的極精確建模是量子運算很理想的應用，此次合作將有助於探索化學量子模擬的應用情境和方法。</p> <p>百靈佳殷格翰近年為加速潛力新藥研發流程，已推動多項數位轉型計畫，試圖運用AI、機器學習和資料科學，增進對疾病、生物標記、驅動因子以及數位療法的了解。該公司成立的量子實驗室，也將與Google共同主持這次研究，百靈佳殷格翰旗下創新事業群、IT等部門也將加入這項研究。</p> <p>具有龐大資金及研究需求的製藥業，自然是量子運算業的首選客戶。<a href="https://cambridgequantum.com/cambridge-quantum-announce-ph-d-studentship-to-develop-quantum-algorithms-for-pharmaceutical-application/" target="_blank">去年10月英國的劍橋量子運算（Cambridge Quantum Computing）</a>也和荷蘭藥廠葛蘭素史克（GSK）合作設計演算法，以促進藥物開發。美國藥廠百健（Biogen）早<a href="http://www.pmlive.com/blogs/digital_intelligence/archive/2017/june/biogen_develops_quantum_computing-based_app_to_speed_drug_discovery_1197412" target="_blank">在2017年就曾和Accenture及1Qbit攜</a>手，以量子運算技術加速失智、阿茲海默及多發性硬化症的新藥研究。</p> </div></div></div>
2021/1/12 11:39作者林妍溱https://www.ithome.com.tw/news/142161
德國總理梅克爾譴責Twitter封鎖川普的行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter在1月9日宣布將永遠暫停美國總統川普（Donald Trump）在該平臺的<a href="https://twitter.com/TwitterSafety/status/1347684877634838528" target="_blank">@realDonaldTrump帳號</a>，但此舉已惹來德法的批評，德國總理梅克爾（Angela Merkel）認為言論自由應是由政府決定而非私人企業，法國也有多名政治人物抨擊這些社交平臺的行為，對民主帶來了威脅。</p> <p>梅克爾在周一（1/11）一場例行性記者會中，由發言人Steffen Seibert表達了她的觀點，她說，完全關閉一個總統的帳號是有問題的，言論自由是可被干預的，但應該是法律而非一家私人企業的決定；梅克爾也呼籲美國政府應該參考德國的作法，以法律來限制網路上的煽動行為，而非讓Twitter或臉書等平臺自己作決定。</p> <p>法國的歐洲事務副總部<a href="https://www.bloomberg.com/news/articles/2021-01-11/merkel-sees-closing-trump-s-social-media-accounts-problematic" target="_blank">Clement Beaune在接受彭博社的訪問時則說</a>，他很訝異看到一家私人企業逕行作出如此重大的決定，這應該是由民眾決定，而不是執行長，大型的科技平臺需要受到公共監督，否則它們將是民主的一大威脅。</p> <p>其實不只是Twitter，臉書執行長祖克柏（Mark Zuckerberg）早在7日就宣布要無限期延後臉書與Instagram對川普帳號的封鎖期限，至少直至新總統拜登（Joe Biden）上任為止。其它封鎖了川普帳號的平臺還包括Snapchat、Reddit與Pinterest。</p> <p>來自法國的歐盟內部市場專員<a href="https://www.politico.eu/article/thierry-breton-social-media-capitol-hill-riot/" target="_blank">Thierry Breton在Politico Europe於周日（1/10）刊出的專欄中指出</a>，那些封鎖川普的社交平臺是基於川普言論威脅民主並煽動暴力，而這些平臺之所以有此作法是因為它們認知到了自己的責任，必須避免違法內容的散布，這也意味著，它們無法再以代管業者的身分來逃避責任。</p> <p>Breton指出，一名執行長可以在沒有任何制衡的情況下將人噤聲，不只是確認了這些平臺的權力，也顯示出社會組織在數位空間裡的脆弱性。</p> <p>近來歐盟企圖規範數位市場，於去年12月提出了<a href="https://www.ithome.com.tw/news/141699" target="_blank">《數位服務法》（Digital Services Act，DSA）與《數位市場法》（Digital Markets Act，DMA）</a>，前者是用來保護數位服務用戶的基本權利，也替科技業者列出新的義務，後者則是保障數位市場的競爭，在要求科技業者替站上內容負責的同時，也督促它們必須與競爭對手的服務互動。</p> <p>不確定是否是受到這起風波的影響，Twitter周一股價下滑6.41%，以48.18美元作收，臉書則下滑4.01%，收盤價為256.84美元。</p> </div></div></div>
2021/1/12 12:04作者陳曉莉https://www.ithome.com.tw/news/142162
HP針對遠端工作用戶，推出強化協作與隱私功能的新筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.hp.com/us/en/press-releases/2020/hp-ces-2021-powering-experiences.html">HP</a>在CES 2021發表了全新的筆電，透過強化這些裝置的隱私和協作功能，以更好地支援遠端工作的使用者，而因應在家工作者較長的工時，HP推出採用低藍光技術的螢幕，在減輕用戶眼睛負擔的同時，提供精確的顏色表現。</p> <p>HP提到，從COVID-19疫情開始，全球有一半的勞動力開始遠端工作，新型態的工作方式，存在一特殊需求，包括有30％的人沒有可以關起門工作的空間，因此有隱私與視訊降噪的需求，72％知識工作者希望能夠擁有混合遠端工作型態，48％Z世代人們傾向發展自由業工作。</p> <p>HP針對這些需求，在新裝置的軟體，提供視訊會議用照明控制功能，並提供更多周邊裝置的自定義能力，也讓用戶能夠更簡單地監控和管理裝置。針對協作需求，HP發表了Dragonfly G2和Dragonfly Max兩個型號的筆電，HP Elite Dragonfly G2重量不到1公斤，方便使用者攜帶，減輕家中與辦公室之間移動的負擔，支援混合遠端工作需求。</p> <p class="rtecenter"><img alt="" src="https://s7d6.scene7.com/is/image/hpassetsprod/dragonflyg2_press_release?$wide$&wid=800&fmt=webp" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_HP</span></p> <p>Elite Dragonfly G2採用英特爾第11代Core以及全新英特爾整合式繪圖晶片，並提供5G以及4G LTE連線功能，在安全功能方面，其內建防丟小幫手Tile，還使用入侵偵測技術HP Tamper Lock，可在裝置被物理打開或是破壞時，將其鎖定並且通知用戶。HP在Elite Dragonfly Max系列加入4個人工智慧音訊最佳化廣範圍麥克風，以及500萬畫素和紅外線攝影機，以支援高品質視訊會議，而且採用經Eyesafe認證的HP Eye Ease的護眼顯示器，讓用戶在長時間工作後，眼睛也不會有太大的負擔。</p> <p>而新產品HP Elite Folio則是將手機、平板與個人電腦特色結合為一體的筆電，其訴求高度的隱私性，該裝置使用Qualcomm Snapdragon 8cx第二代5G運算平臺，可以持續保持電腦連線狀態，除了具有5G連線功能，還支援最新Wi-Fi 6，其電力可以支援本地端影片播放長達24.5小時。針對遠端工作的需求，HP Elite Folio內建76度視角網路攝影機，以及雙麥克風陣列，能讓用戶進行高品質不受干擾的視訊會議，且採用無風扇設計和靜音鍵盤，最大程度降低裝置運作噪音，還使用HP Sure View Reflect隱私面板，可視角僅有45度，能夠避免螢幕遭到窺探。</p> <p class="rtecenter"><img alt="" src="https://s7d6.scene7.com/is/image/hpassetsprod/hp_elite_folio?$wide$&wid=700&fmt=webp" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_HP</span></p> <p>經調查，由於COVID-19疫情，使得不少人必須遠端在家工作，而這些人平均每周使用電腦工作的時間增加了7小時，因此HP這次也推出適用於長時間使用電腦人士的螢幕，HP M系列FHD顯示器接採用不影響顏色精確度的低藍光技術，通過Eyesafe認證，讓用戶能以99％ sRGB色域觀看多媒體內容。</p> <p class="rtecenter"><img alt="" src="https://s7d6.scene7.com/is/image/hpassetsprod/fhd_monitor_front?$wide$&wid=600&fmt=webp" style="width: 353px;" /><span style="color: rgb(105, 105, 105);">圖片來源_HP</span></p> </div></div></div>
2021/1/12 10:40作者李建興https://www.ithome.com.tw/news/142147
Linux核心開發者討論棄用一系列老舊CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>重要Linux核心開發者，同時也是Arm核心樹共同維護者的Arnd Bergmann，於信件列表中<a href="https://lore.kernel.org/lkml/CAK8P3a2VW8T+yYUG1pn1yR-5eU4jJXe1+M_ot6DAvfr2KyXCzQ@mail.gmail.com/">提到</a>，在Linux 5.10成為長期支援版本核心之後，他檢視了Arm平臺，發現有部分CPU至少有5年甚至更久，沒有從維護者或是硬體使用者那獲得任何修補程式，經過Arnd Bergmann的調查與統計，他提出支援移除建議。</p> <p>Arnd Bergmann提到，刪除這些CPU基礎架構，能夠簡化系統對不再使用的裝置，所進行的驅動程式、標頭檔和Kconfig選項腳本搜尋工作。Arnd Bergmann建議刪除的平臺，包括asm9260、axxia、dove、prima2以及vt8500等。而對於那些雖然老舊，但是過去幾年依然還有在動作的Arm平臺，Arnd Bergmann傾向留下，包括clps711x、cns3xxx、ep93xx與mv78xx0等，但是當維護者同意，這些老舊Arm平臺就可能被棄用。</p> <p>部分非Arm平臺的CPU，也被列入移除候選名單，像是h8300、c6x、powerpc/chrp以及mips/jazz等，這些平臺也都很久沒有受到維護或是使用，但除非維護者提出特別的請求，否則Arnd Bergmann暫時不會調整這些平臺支援。除此之外，Arnd Bergmann還列出了一些非常老舊的CPU平臺，經調查這些平臺幾乎已經沒有用戶使用，包括80486SX/DX、MIPS R3000/TX39xx和PowerPC 601等，都可成為淘汰目標。</p> <p>在討論中，並沒有確定要移除哪些平臺的支援，不過，即便這些平臺在往後Linux平臺不再支援，Arnd Bergmann表示，那這些用戶還是可以繼續使用Linux 5.10或5.4穩定版本核心數年。不過，也有其他開發者持<a href="https://lore.kernel.org/lkml/[email protected]/">反對意見</a>，他們認為清理核心固然重要，但是最重要的是，必須要確保終端用戶能夠繼續穩定使用系統，他們認為，當程式沒有受到維護，並不代表沒有人使用了，或許僅是這些程式受到完全支援且可正常運作，並提到過去有類似事件，導致部分機器成為孤兒，存在的臭蟲無法被修復。</p> </div></div></div>
2021/1/12 10:55作者李建興https://www.ithome.com.tw/news/142151
Firefox預設啟用檔案更小且支援HDR的AVIF影像格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla確定會在Firefox 86時，<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=1682995">預設啟用AVIF（AV1 Image File Format）</a>。在2020年5月的時候，Mozilla首次在Firefox Nightly版本加入AVIF的支援，不過用戶必須要手動啟用該功能，才能夠在Firefox中使用。</p> <p>AVIF是開放媒體聯盟所推出的標準圖像格式，其建立在AV1影片格式之上，瀏覽器將透過現有的AV1解碼器，來支援AVIF內容的解碼。AVIF的優點包括節省頻寬，可讓頁面更快速地載入，並減少整體資料消耗，與JPEG或WebP相比，AVIF明顯檔案小得多，在經過全面最佳化之前，根據Netflix所發布的實驗結果顯示，使用AVIF可以比JPEG省下約50％的流量。</p> <p>除了省流量之外，AVIF的另一個特色是支援HDR顏色，也就是說，AVIF成為網頁HDR支援的途徑之一。由於現在的顯示器技術提升，具有更高的亮度、色彩深度和色域，而JPEG僅能提供8位元色彩深度，無法保存真正的圖像細節，而AVIF則可讓顯示器顯示更真實的圖像。而且現在已有諸多大型網路公司，決定要支援AVIF，包括臉書、Netflix，YouTube、微軟以及Apple，造就一個龐大的生態系。</p> <p>Mozilla在一個月前於Bugzilla，創建了要預設啟用AVIF的臭蟲條目，而現在該條目已經被完成並且關閉，AVIF已在Firefox 86 Nightly中預設啟用，接下來就會進到Firefox Beta以及穩定版中。接著Mozilla還會<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=1680396">更新Firefox所使用的解碼器dav1d</a>，以提升AVIF的解碼速度，預計將會在Firefox 87更新到最新的dav1d版本。</p> </div></div></div>
2021/1/12 11:00作者李建興https://www.ithome.com.tw/news/142155
【2021資安大預測】趨勢5：供應鏈攻擊｜臺灣遭遇多起供應鏈攻擊，此類事件未來勢必有增無減
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，供應鏈攻擊手法越來越常見，不僅是透過軟體供應鏈的入侵，從相關委外廠商與合作廠商的滲透行為，也都成為2021持續要正視的焦點。</p> <p><span style="font-size:28px;"><strong>臺灣已發生APT攻擊事件，調查後是與軟體供應鏈有關</strong></span></p> <p>可別以為臺灣企業與組織遭遇的供應鏈攻擊不多，事實上，近一兩年來，臺灣就遭遇多起APT攻擊事件，經調查後，這些與供應鏈有關。</p> <p>在2020年8月臺灣資安大會上，國內資安業者奧義智慧指出，供應鏈攻擊增加的趨勢需要關注。他們舉例，有駭客組織鎖定國內政府機關攻擊，因此鎖定政府單位都會導入的政府共通組態基準（GCB），並成功偽裝合法程式FGCBUpdater.exe並派送；後續，又發現國內有5個A級政府機關與地方政府，被植入Plead惡意程式，原因是駭客入侵華碩雲端儲存服務的軟體更新服務，作為惡意程式下載的途徑。</p> <p>不只是政府機關遭駭客鎖定，國內半導體業者也是目標，例如有竹科公司遭遇APT攻擊的事件，發現惡意程式偽裝成Google Chrome更新程式，駭客並利用雲端服務建置中繼站，進一步掩飾惡意行為。</p> <p>而在2020年下半，我國法務部調查局資安工作站也公開示警，指出政府單位委外廠商成入侵管道。例如，在他們偵辦的數起案件中，遭駭的原因是承包政府標案的供應鏈廠商遭入侵，使得原本政府機關提供VPN帳號供業者遠端操作維運，變成駭客可以遠端入侵的破口。而且，當這些政府委外廠商遭駭時，委外廠商所託管的政府伺服器與主機也可能遭到駭侵。</p> <p>從上述這些供應鏈攻擊相關事件，其實可以看出供應鏈攻擊的變化多端。駭客為了滲透目標企業，除了選擇直接正面攻擊，一旦發現滲透目標相關的軟體廠商、委外廠商與合作夥伴，有更好的弱點可以利用時，都有可能被駭客視為入侵管道。</p> <p><strong><span style="font-size:28px;">將委外廠商與合作廠商納入守備範圍成新趨勢</span></strong></p> <p>對於委外供應商方面的攻擊趨勢，國內調查局已經提醒政府機關與企業，檢討委外廠商透過VPN遠端進行管理的必要性，是當務之急，並要監控駭客可能擅自建立加密連線通道的非法行為。此外，對於這些委外供應商的資安防護水準，該如何提升與規範，也成為接下來要關注的重點。</p> <p>至於如何強化供應商的安全，近年我們看到半導體龍頭台積電設立了供應商資訊安全協會，這樣的作法值得肯定。</p> <p>還記得在2020年臺灣資安大會上，台積電部經理張啟煌在一場專題演講曾講過一句話：「如果我家圍牆築得很高，可是我的鄰居都遭小偷了，那我住起來會安心嗎？」</p> <p>該公司為了確保公司的持續營運與競爭力，他們對於供應商與合作夥伴，會透過第三方服務做到快速風險評估，以及公司本身設計的一套專屬的評鑑方式，來協助供應商改善其資安。而這樣的模式，其實也將能夠帶動臺灣更多產業做好資安，至於是否能在2021年成功複製到其他產業生態鏈，也成為產業資安上的焦點。</p> <p><strong><span style="font-size:28px;">SolarWinds事件風暴持續擴大，再次敲響供應鏈攻擊的警鐘</span></strong></p> <p>對於軟體供應鏈方面的攻擊趨勢，則相當令人憂心，因為在2020年底，<a href="https://www.ithome.com.tw/article/141943" target="_blank">美國政府機構遭遇的國家級SolarWinds供應鏈攻擊事件</a>，更是突顯了這類攻擊的危害極大，並且是防不勝防。</p> <p>關於這起事件，一開始是美國資安公司FireEye遭駭，宣布他們的紅隊演練測試工具外流，隔週又有美國財政部與商務部表示遇害，而且，這場風暴遠演越烈，後許微軟也證實多家客戶遇害，且自家內部程式碼也遭未經授權存取。而這一切攻擊，都是因為企業及組織使用的網路監控軟體公司SolarWinds，早在2019年10月就被滲透，以至於公司的Orion軟體後來被植入名為SunBurst的後門。不僅如此，隨著持續揭露的事件調查報告，該公司軟體還發現應為不同攻擊的第二個後門程式Supernova。</p> <p>這也說明了，現在的駭客組織不僅擅長突破防護機制，隱匿能力也相當高明。而且，駭客以企業組織使用的軟體為突破口，他們除了可以攻陷該軟體廠商的開發環境、軟體、更新部署，也可能從開源軟體下手，甚至是濫用與偽冒，因此整個開發維運環節，都存在軟體供應鏈攻擊的風險。</p> <p>然而在2021年，我們還是需要面對這樣的威脅，除了軟體業者要意識到，在各環節落實安全，而在弱點管理方面，近年資安界也提倡軟體物料清單的概念，讓第三方套件有弱點揭露時可及早修補。另一方面，對企業與組織而言，勢必要更看重偵測、應變與復原，以及攻擊情資的交換與聯防。</p> </div></div></div>
2021/1/12 07:00作者羅正漢https://www.ithome.com.tw/news/142116
【2021資安大預測】趨勢6：資安成熟度｜資安成熟度升格為產業落實資安重要議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去企業組織推動落實資安，導入資訊安全管理制度已是常見的作法，但隨著資通訊科技發展，及資安威脅趨勢變化，除了內部資通安全稽核、相關資安演練，資安成熟度自評也是重要的概念。</p> <p>特別是在這兩三年來，資安成熟度的概念已經越來越浮上檯面，在我們之前也介紹過的資安框架與標準中，其實就有資安成熟度的展現。例如，近年當紅的資安框架，就是由<a href="https://www.ithome.com.tw/article/133173" target="_blank">美國NIST推出的Cybersecurity Framework（CSF）</a>，最新為2018年推出的1.1版，供美國政府與民間企業能從五大面向，包括辨識、防護、偵測、應變到復原，評估自身防護程度與能力，而其核心精神，就是一個能夠持續運作的成熟度評估框架。</p> <p>而由英國國家標準協會推出的BS 31111:2018，同樣強調掌握自我安全成熟度現況，能提供組織高層對風險決策方向，並強化對資安事件威脅的韌性。</p> <p>還有像是，由澳洲政府發展出的網路攻擊減緩八大策略──<a href="https://www.ithome.com.tw/news/129541" target="_blank">ACSC Essential Eight</a>，當中也定義了5個成熟度層級，要讓各組織在每種緩解策略中，都能達到安全基準，進而提升更高安全層級。</p> <p><span style="font-size:28px;"><strong>資安成熟度將在臺灣產業間發酵</strong></span></p> <p>資安成熟度的觀念，其實已經在臺灣慢慢成形，甚至變成2021年的焦點。</p> <p>舉例來說，我國政府為落實資安，早已在持續推動這樣的概念。例如在7年前，國家資通安全發展就計畫輔導部分政府機關，試行導入資安治理成熟度評估模式，多年下來，推動規模已經越來越擴大，而在2020年的規畫中，已是推動所有A級政府機關，都落實資安治理成熟度自評，並達到成熟度第3級以上。</p> <p>對於國內企業而言，也有一些公司公開表示他們重視這樣的概念。封測大廠日月光投控就是一例，他們在自家官網率先揭露了公司資安作為，強調注重資安成熟度評量，並指出他們是透過導入NIST CSF，作為落實企業資安規畫第一步，並定期制定改進計畫。國內電信龍頭中華電信也有行動，他們在官網揭露其資安與個資風險管理機制，是參考NIST CSF，並會衡量資安治理成熟度。</p> <p>只是，現在仍有許多企業可能還不知該如何著手強化資安，亦沒有資安成熟度的概念。不過，近期我們看到國內已有政策要將此一概念，推動到國內各產業，尤其是製造業與金融業。</p> <p>舉例來說，在2020年9月，經濟部工業局旗下工研院打造的資安整合服務平臺Secpaas，就推出「資安成熟度評級服務」，目的就是希望促進國內產業在強化資安時，可以藉此找到方向。</p> <p>同時，金管會在2020年8月提出的金融資安行動方案，新增措施中也包括相關事項，例如，要研議訂定金融機構資安治理成熟度評估方法，並鼓勵金融機構辦理資安治理成熟度評估。</p> <p>另外，除了上述政府機關與大型企業，對於國內普遍的中小企業而言，資安成熟度的概念同樣能帶來幫助。畢竟，資安重要性已不言而喻，當在擬定資安強化策略時，已有許多資安框架與標準可以參考，而資安成熟度是重要概念，讓企業能自評現況並設定目標，讓提升資安能夠有方向地持續精進。</p> <p><span style="font-size:28px;"><strong>成熟度模型應用於資安的面向廣</strong></span></p> <p>還有更多成熟度模型在不同資安面向的應用，也很值得關注。</p> <p>例如，美國國防部對於競標承包商的管理，在2020年推出了網路安全成熟度模型認證── Cybersecurity Maturity Model Certification（CMMC），最大重點就是要求今後的承包商，須經由美國防部授權的第三方評估單位，取得專案相應等級的安全認證；還有像是微軟在談零信任時，不僅是從六大要項切入，包括身分、設備、應用程式、資料、基礎設施與網路，同時定義三個層級的成熟度等級，讓企業在建立零信任的管理機制上，能有階段性的安全改進目標。</p> <p>另一方面，對於資安策略的規畫，在資安成熟度的概念之外，資安標準與框架的活用也成焦點。例如，近年Cyber Defense Matrix（CDM）正受到重視，在近年美國舉行的RSA大會上，都有分享這樣的議題，而在2020年，臺灣也提倡這樣的概念，包括<a href="https://www.ithome.com.tw/news/139567" target="_blank">戴夫寇爾執行長翁浩正</a>、奧義智慧創辦人邱銘彰等，都在公開演講上說明CDM的好處，因為它是有助於剖繪企業防禦範圍的矩陣，而且搭配其他資安框架做到靈活應用後，同樣有助於擬定資安策略。</p> </div></div></div>
2021/1/12 07:00作者羅正漢https://www.ithome.com.tw/news/142117
【2021資安大預測】趨勢7：法規遵循｜臺灣資安法及個資法都面臨修法壓力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年，除了臺灣，世界各國或多或少都受到武漢肺炎疫情的影響，帶來大量染疫人口死亡、經濟衰退等後遺症，面對2021年的資安發展趨勢，臺灣在法規遵循的面向上，主要的挑戰在於資安法及個資法的修法，這也同時攸關公務機關及非公務機關：關鍵基礎設施業者及行政法人如何因應資安法的修法；另外，臺灣面對歐盟個資法GDPR（一般資料保護規則）正式施行後，臺灣政府與歐盟談適足性認定時，對於法律應該如何調適，才能夠接軌GDPR的要求，也都必須提出因應對策。</p> <p><span style="font-size:28px;"><strong>行政院推動資安法修法，預計第一季送立法院三讀</strong></span></p> <p>《資安法》從2019年元旦開始實施後，因為該法主要規範政府部門、關鍵基礎設施業者，以及相關的法人等，為了更落實《資安法》的規定，行政院資安處也從2020年12月開始，在北、中、南、東舉辦共九場的「資安法修法說明會」，行政院資安處處長簡宏偉說：「預計在今年第一季，將《資安法》的修法條文送進立法院審查，希望能夠儘速完成三讀程序。」</p> <p>這次《資安法》的修正，包括母法和六個子法在內，其中，針對母法的部份，主要是有法規調適，例如，要配合新通過的《財團法人法》做必要的條文修正，畢竟，《資安法》通過時，還沒有《財團法人法》。此外，這次的修法中，原本被《資安法》排除的軍事機關及情報機關，則被納入要求，這些單位必須要另外制定《資通安全維護計畫》送主管機關行政院備查。</p> <p>對於委外業者的管理也越來越重要，原本《資安法》對於委外合作的業者規範並不嚴厲，只明文要求「不得洩露在執行或辦理相關事務過程中，所獲悉關鍵基礎設施提供者的秘密。」但是，簡宏偉認為，除非有正當的理由，所有的委外單位都負有保密的義務，保密的範圍構不應該只局限在關鍵基礎設施提供者，因此，在針對《資安法》母法的修法中，也強化委外業者的保密義務。</p> <p>至於，《資安法》的六個子法中，修法影響程度最大的，其實就是《資通安全責任等級分級辦法》。簡宏偉說：「《資通安全責任等級分級辦法》主要是因應網路威脅增加及技術發展提升，修正資通安全責任等級A級、B級和C級機關的應辦事項，並針對附表中的「資通系統防護基準」，配合實務需求而修訂許多條文。」</p> <p>《資通安全責任等級分級辦法》將許多公務及非公務機關的資安責任向上集中，並將資安責任等級分成A級到E級，其中，資安責任等級E級機關就是不負擔任何資安責任的單位，相關的資安責任都是由上級機關負責。</p> <p>相關條文的修訂，主要是強化A級、B級和C級的公務機關，以及非公務機關，這些單位要在規定的時間內，完成完成資安弱點通報機制導入作業，以及導入資安弱點通報機制。</p> <p>此外，也針對更實務操作面規定的附表「資通系統防護基準」，針對「存取控制構面」、「遠端存取措施」、「稽核與可歸責性構面」、「營運持續計畫構面」以及「識別與鑑別構面」的相關措施中，制定更符合實務需求的操作規範。</p> <p><span style="font-size:28px;"><strong>為滿足GDPR法規適足性認定，臺灣積極成立個資保護專責機構</strong></span></p> <p>歐盟GDPR號稱是歐盟最嚴格的個資法規範，在2018年5月25日正式實施後，歐盟各國也必須以GDPR作為歐盟的個資保護的法律規範，目的在於排除會員國間的個資流通障礙、提升個資當事人權利，以及強化個資專責機關權限。</p> <p>GDPR面對個資跨境傳輸的規定是「原則禁止、例外允許」，如果要將歐盟個資傳輸至歐盟以外國家，應符合GDPR的法規要求，包括：該國家取得適足性認定（Adequacy Decision）；企業自主採行符合規範適當保護措施；獲得個資當事人同意等。</p> <p>GDPR在正式實施後，與歐盟有密切往來的國家，像是日本、韓國、印度、拉丁美洲及歐洲鄰近國家等12個國家或地區，由該國政府機關出面和歐盟執委會談判，藉由適足性認定的方式，滿足雙方的個資跨境傳輸，可以符合GDPR的法律要求。</p> <p>歐盟也是臺灣重要的貿易往來對象，在GDPR正式施行後，行政院則在2018年7月，指示國家發展委員會成立「個人資料保護專案辦公室，並將個資法的法律主管機關轉移到國發會；而為了達到GDPR適足性認定，臺灣也積極與歐盟進行適足性認定的談判。</p> <p>國發會副主委高仙桂之前曾表示，因為2020年受到武漢肺炎疫情的影響，加上歐盟必須優先處理英國脫歐後與歐盟的互動，包括個資的跨境傳輸規範等，因此，臺灣與歐盟在GDPR適足性認定的協定談判中，一直沒有更長足的進展。</p> <p>要滿足歐盟GDPR適足性認定，臺灣必須要有可以和歐盟接軌的《個資法》，並且具備獨立的個資監管機關，也必須簽訂相關國際協定或合約。</p> <p>臺灣既有的《個人資料保護法》在2012年10月1日正式實施，條文內容也高度參考歐盟1995年個人資料保護指令，不過，歐盟在2016年以GDPR取代個人資料保護指令後，臺灣在幾次的個資法修正過程中，一直沒有做到成立獨立的個資保護專責機構，這也成為臺灣在進行GDPR適足性認定時的一大障礙。</p> <p>達文西科技法律事務所主持律師葉奇鑫表示，國發會已經針對個資法的修法內容，進行一整年的討論，原本都預計在2021年第一季的時候，有機會送立法院審查。但是，他也說，目前行政院有意成立結合科技、資安、網路、通訊和傳播的數位發展部，甚至有傳言表示，也要將《個資法》的修法權利，從現有的國發會轉移到未來即將成立的數位發展部。</p> <p>一旦《個資法》的修法單位可能產生變動，葉奇鑫說：「不敢保證過去一年針對個資法修法的討論內容，是否還可能保留，更無法確認個資法接下來的修法方向，是否會有變動。」</p> </div></div></div>
2021/1/12 07:00作者黃彥棻https://www.ithome.com.tw/news/142118
【2021資安大預測】趨勢8：數位身分證｜數位身分證政策不會喊停，但時程和方式將再評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原訂2020年7月，內政部預計將逐年全面換發數位身分證（New eID）的政策，原先已經因為武漢肺炎疫情之故，導致相關設備無法如期抵達臺灣，政策因此順延。但更重要的關鍵在於，面對數位身分證的應用，許多立委、學者和民間團體共同提出質疑，行政院對於訂定數位身分證的專法、資安與隱私保護議題等都存有疑慮的前提下，為何要堅持推出數位身分證的政策呢？</p> <p>政府此舉，不僅引發各界不滿，連原本預計在今年一月由澎湖縣、新北市和新竹市率先推動數位身分證試辦的政策，在彼此信任不足的狀況下，澎湖縣、新北市率先退出試辦活動，而最後一個試辦縣市新竹市，雖然放寬為小規模、自願申辦數位身分證，能在難抵內部壓力下，最後仍決定陣前縮手，決定暫緩新竹市數位身分證的小規模試辦活動。</p> <p>行政院院長蘇貞昌日前在面對立委質詢時也終於鬆口，強調數位身分證不一定要在2021年7月正式換發，也會邀請資安專家針對數位身分證平臺找漏洞，確認沒有資安問題後，才會進行全國換發。而行政院秘書長李孟諺接受媒體訪問時則強調，數位身分證政策不會中途喊卡，但在推動時程、方式、規模上會重新評估，未來也會透過小規模試辦解除民眾疑慮後，再大規模推動。</p> <p><span style="font-size:28px;"><strong>就算沒有數位身分證，也可以推動智慧政府</strong></span></p> <p>其實在馬英九政府時代，已經有數位身分證的政策推動，當時也引發許多學者的連署反對，相關政策也沒有進一步發展。但是，內政部戶政司對於推動換發數位身分證的政策，其實一直都沒有放棄。</p> <p>國發會在2018年12月發表「智慧政府發展藍圖」中，正式對外公布數位身分識別證是智慧政府基礎架構，要推動「智慧政府」目標，就必須率先完成「全面換發數位身分識別證」及「建立具安全且可信賴的資料交換機制」（T-Road）等基礎架構，並預計於2020年啟動數位身分證全面換發作業。</p> <p>為什麼要推動智慧政府，就一定得要將現有的紙本身分證換成數位身分證呢？從2020年1月爆發武漢肺炎疫情以來，光是以口罩實名制的政策推動來看，就可以發現，許多民眾都能以健保卡的晶片卡，作為串連政府服務的介面。從這個政策推動的方式也可以證明，要達到智慧政府的目標，民眾可以便利使用智慧政府所提供的服務，即便沒有數位身分證，有健保卡，或者是其他可以證明個人身分的工具，例如行動裝置等，也可以達到同樣的目的。</p> <p>嚴格說來，數位身分證只是民眾串連智慧政府服務的其中一種工具而已，「有，很方便；沒有，不妨礙」的情況下，數位身分證就應該只是其中的一種選項而已。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_TW%20eID%202021%E5%85%A7%E6%94%BF%E9%83%A8%E5%85%AC%E9%96%8B%E8%B3%87%E8%A8%8A2%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%85%A7%E6%94%BF%E9%83%A8.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">數位身分證原訂由新竹市、澎湖縣及新北市3個縣市小規模試辦，但這些地方政府陸續退出，於是，2020年12月初內政部宣布新竹市將是唯一試辦地區，然而，到了12月底，新竹市也決定暫緩試辦。</span></strong></p> <p><strong><span style="color:#696969;">關於漏洞檢測的部分，12月21日內政部在網路公共政策參與平臺網站，公布了數位身分識別證賞金獵人活動計畫草案。</span></strong><span style="color:#696969;">圖片來源／內政部</span></p> <p><span style="font-size:28px;"><strong>將紙本身分證轉變成晶片身分證明文件，並不等於數位身分證</strong></span></p> <p>不可諱言，其他世界各國發行的身分證明文件中，已經有許多是朝向發行晶片式身分證明，根據2017年一份調查報告指出，全球已經有82％國家使用晶片卡作為身分證明文件，預估到2021年，採用晶片式身分證明文件的國家，比例將成長到89％。</p> <p>像是德國、日本或是愛沙尼亞等國，都有推動晶片身分證，但上述有些國家本身，並沒有如同臺灣一樣同時具備身分證字號、足資證明個人身分，且需隨身攜帶的「身分證」。晶片身分證重點在於識別個人身分而已，像是，德國沒有身分證字號，日本不強制領晶片身分證，愛沙尼亞雖然有身分證字號，也有晶片身分證，但該國已經有獨立的個資保護機關，一旦出現爆發個資外洩或隱私保護疑慮的事件時，有專責的機關出面負責。</p> <p>臺灣的數位身分證其實是將既有的紙本身分證，轉換成晶片身分證外加自然人憑證的功能，紙本身分證的防偽功能不足，轉換成具有高規格AES-128或AES-256對稱式加密演算法的晶片身分證，其實是大勢所趨。</p> <p>但若只是把紙本身分證數位化，轉變成加密程度較高的晶片身分證，其實可以就晶片卡的規格本身去做各種安全性的討論即可，數位身分證更多的應用在於，新增自然人憑證的功能在內——雖然換發時，當事人可以選擇不啟用，或者是申請後再關閉自然人憑證功能，但民眾對於晶片身分證和自然人憑證兩證合一的資安及應用上，仍有疑慮未解時，推動數位身分證並無法讓民眾真正安心。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_TW%20eID%E6%99%BA%E6%85%A7%E6%94%BF%E5%BA%9C%E9%A1%98%E6%99%AF%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%9C%8B%E7%99%BC%E6%9C%83(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在國家發展委員會制定的服務型智慧政府2.0推動計畫當中，數位身分證屬於基礎架構層級的建設，透過這項身分識別機制的普及，可串連政府所有服務，之後，也將建立跨機關的資料共享與介接機制T-Road。</strong>圖片來源／國發會</span></p> <p><span style="font-size:28px;"><strong>數位身分證招標過程重硬體、輕軟體</strong></span></p> <p>這次數位身分證在推動的過程中，也罕見地先完成印製數位身分證的硬體設備發包，更從原本的公開招標轉成限制性招標，原本編列40億元的預算，直接發包一個大採購案，由中央印製廠負責印製並對外招標，最後並由東元電機得標。</p> <p>不過，數位身分證不只有晶片身分證的識別功能，還有串連其他應用功能的自然人憑證功能，而這次詭異的發包流程，先是40億元的硬體發包案，沒有對外公開相關的規畫案，卻快速進行硬體設備發包，但真正決定數位身分證會有多好用的後續相關軟體標案，整整歷經三次的流標，直到第四次，才強迫由中華電信得標。</p> <p>臺灣向來輕軟體、重硬體，明明數位身分證最重要的環節，是提供相關的軟體功能和API串連的服務，高價的硬體標案早早發包得標，軟體標案卻像委屈的小媳婦，遲遲無法獲得政府和業者的垂青，最後不得不由中華電信低價得標，這樣的下場將是未來全體民眾必須要共同承受的苦果。</p> <p><span style="font-size:28px;"><strong>建構完善的數位身分證法制基礎是推行的關鍵</strong></span></p> <p>數位身分證是紙本身分證數位化加上自然人憑證的結合，因此相對應的法源依據，則來自於紙本身分證法律授權的戶籍法，以及自然人憑證的法律授權依據的數位簽章法。</p> <p>不過，戶籍法規範國民身分證是用以識別個人身分，電子簽章法則是為了規範自然人憑證作為電子文件簽署的身分識別之用，而對於結合兩者功用的數位身分證，政府宣稱其存在的目的是為了可以做到跨機關使用，但這樣的目的，臺灣駭客協會理事王仁甫認為，內政部推動數位身分證的作法，已經逾越單一戶籍法或電子簽章法的法律授權範圍，以及資料收集的目的。</p> <p>而數位身分證之後須透過T-Road平臺，與政府各個部門進行各種個資存取和服務串連，同時，也必須符合個資法的規範，王仁甫認為，如果數位身分證要真正做到有完整的法律授權，應該要制定數位身分證專法，或者是在現有的法律中，另外制定數位身分專章，力求法律授權的完整性。</p> <p>中研院院士李德財則表示，內政部在推動數位身分證New eID計畫時，在缺乏完整的法制規範基礎，加上各種包括晶片卡、讀卡機、系統面、平臺和API等資安考量未完備，也沒有獨立的個資主管機關下，強推數位身分證成了問題所在。</p> <p>李德財也認為，儘早完備法制基礎、確立個資主管機關，加上針對政府具有法規監理的服務項目，提供民眾小規模而非地域性的試行政府規畫的T-Road，進而提升民眾的信任度，也有助於政府逐步完善推動數位身分證政策的不足之處。</p> </div></div></div>
2021/1/12 07:00作者黃彥棻https://www.ithome.com.tw/news/142120
駭客鎖定臺灣公部門、研究機構、大學發動網釣攻擊，並在網頁郵件系統注入惡意JavaScript竊密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路郵件釣魚攻擊事件層出不窮，但駭客為了能夠掌控受害者的電子郵件信箱帳號，他們也發展出較為複雜的手法，來暗中收集能存取這些帳號的資料，而且，這樣的手法還針對臺灣公部門與研究機構而來。</p> <p>在1月5日，<a href="https://www.trendmicro.com/en_us/research/21/a/earth-wendigo-injects-javascript-backdoor-to-service-worker-for-.html">趨勢科技公開自2019年5月出現的網路釣魚攻擊行動</a>，駭客的手法相當特殊，藉由釣魚郵件讓受害者上鉤之後，他們不僅透過受害者的郵件簽名檔，對他人發動XSS攻擊橫向感染，同時還竊取信箱內容，以及登入電子郵件信箱的憑證，或是連線階段（Session）的金鑰等。該公司指出，這樣的攻擊手法，過往沒有駭客如此做過，他們將發動攻擊的駭客組織命名為Earth Wendigo。</p> <p>這個網釣郵件會發起的惡意行為，包含了會竊取瀏覽器Cookie和網頁信箱的連線金鑰，並傳送到遠端伺服器；再者，則是在受害者電子郵件的簽名檔加入惡意腳本，並感染聯絡人。</p> <p>駭客為了能讓惡意腳本持續注入在網頁郵件系統上，他們濫用系統的XSS漏洞。不過，趨勢並未透露漏洞CVE編號與受到波及的網頁郵件系統為何。</p> <p>另一方面，駭客也將惡意JavaScript程式碼註冊於受害電腦瀏覽器的Service Worker，這是瀏覽器內建功能，能讓JavaScript在受害者關閉瀏覽器後，持續在背景運作。而這個被註冊的腳本，不僅會偷取登入帳密，還能竄改網頁郵件頁面內容，以便透過上述的XSS漏洞植入惡意腳本。趨勢科技表示，這是他們首度發現駭客實際濫用瀏覽器Service Worker的攻擊行動。</p> <p>對此，該公司呼籲，企業不只要培養員工的資安意識，也應該要落實內容安全管制政策（CSP），來防範這種濫用XSS發動攻擊的手法。</p> <p>這些駭客鎖定的目標為何？趨勢科技指出，駭客不只鎖定臺灣的政府組織、研究機構，以及大學，還有聲援圖博、維吾爾族，以及香港的人士，也是這起事件被鎖定的目標。不過，對於受害者的人數，該公司沒有說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Earth Wendigo 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Earth%20Wendigo%202.png" style="width: 580px;" /></a></p> <blockquote><p>在駭客組織Earth Wendigo發動的網路釣魚攻擊中，他們寄送如圖中的信件，讓誘使收信人上當。這乍看之下是Google的異常存取警告信，不過一旦收信者按下了「立即檢查」按鈕，他的電子郵件信箱的簽名檔，便會被植入惡意腳本替駭客散布釣魚信件。</p> </blockquote> </div></div></div>
2021/1/11 19:07作者周峻佑https://www.ithome.com.tw/news/142156
美國消費者信用報告Equifax打算買下AI身分認證服務供應商Kount
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國第三大消費者信用報告業者<a href="https://www.prnewswire.com/news-releases/equifax-announces-definitive-agreement-to-acquire-kount-301203473.html" target="_blank">Equifax在8日宣布</a>，已與詐騙預防及數位身分解決方案供應商Kount簽署併購協議，將以6.4億美元併購Kount。</p> <p>Equifax蒐集了全球超過8億名消費者，以及8,800萬個企業的資訊，以提供信貸及人口統計數據服務予企業，另也直接針對消費者提供信用監控及預防詐欺的服務。至於成立於2007年的Kount則專門提供數位支付及詐騙預防解決方案，該公司利用機器學習與人工智慧模型來協助企業預防數位支付詐欺、新帳號詐欺，以及帳號被接管等，主要的客戶為數位企業、銀行與支付服務供應商。</p> <p>Kount以AI模型來偵測與比對可靠及可疑的身分或交易訊號，所用來訓練的資料量涵蓋來自全球200個國家、170億個裝置的320億次數位交易，迄今全球已有超過9千個品牌採用Kount的Identity Trust Global Network來保護交易安全。</p> <p>Equifax執行長Mark Begor表示，隨著企業加快數位化腳步，管理線上詐騙與身分認證成為主要挑戰，Kount的技術將能擴大Equifax協助客戶建立網路上可靠身分的能力。此外，Begor也相信Equifax在資料及雲端技術上的投資，可快速把Kount的技術與服務整合到Equifax的全球解決方案中。</p> <p>雙方預計於今年第一季完成交易，未來Kount團隊將被納入Equifax的美國資訊解決方案（USIS）事業部。</p> </div></div></div>
2021/1/11 17:16作者陳曉莉https://www.ithome.com.tw/news/142150
報導：半導體供不應求，衝擊全球汽車產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外電相繼報導，全球半導體的供不應求已對汽車產業造成衝擊，包括Volkswagen、Ford、Fiat Chrysler、Toyota、Honda與Nissan皆坦承它們因缺乏半導體，而被迫延後某些車型的生產，<a href="https://www.ft.com/content/e264fd41-7ee9-4fba-be3c-21446298efd9" target="_blank">金融時報則說</a>，Volkswagen將因此而影響今年第一季的生產，估計將減產10萬量汽車。</p> <p>隨著科技的進展，汽車產業也使用愈來愈多的半導體來提供各種新功能，包括藍牙傳輸、駕駛輔助、導航，或者是混合動力系統。</p> <p>根據金融時報與<a href="https://abcnews.go.com/Business/wireStory/semiconductor-shortage-forces-automobile-production-cuts-75140296" target="_blank">ABC News</a>的報導，因為半導體的供應不足，Volkswagen、Nissan與Honda今年一季都將減產；Fiat Chrysler更將暫時關閉部分工廠；福特部份工廠提前停工；Toyota正在評估半導體短缺的問題，並正在尋找對策。</p> <p>全球半導體的供貨吃緊最早始於去年初，當時COVID-19疫情的現身造成供應鏈停擺，儘管半導體工廠陸續恢復運作，但川普在去年6月制裁了11家壓榨勞工的中國供應鏈，再加上疫情造成的在家工作風潮，讓全球的筆電需求大幅攀升。這兩家媒體分析，比起汽車製造商，手機與電腦製造商擁有更龐大的財力，取得了絕大多數的半導體產量，才讓汽車產業陷入更嚴重的半導體短缺困境。</p> <p>專門調查汽車零件市場的<a href="https://www.mes-insights.com/automotive-semiconductors-where-we-are-and-where-we-are-headed-a-893735/" target="_blank">MES Insights估計</a>，目前汽車產業約占全球半導體總營收的9%，相信當電動車在2030年占據全球汽車出貨量的30%時，汽車占半導體領域的營收比重只會有增無減。</p> <p>另一方面，<a href="https://www.wsts.org/esraCMS/extension/media/f/WST/4820/WSTS_nr-2020_11.pdf" target="_blank">世界半導體貿易統計組織（WSTS）指出</a>，半導體產業並未如外期預期般地受到疫情的影響，去年全球半導體市場的規模為4,330億美元，比2019年增加了5.1%，預期今年的成長力道將達到8.4%，其中，記憶體與光電元件將會有兩位數的成長。</p> </div></div></div>
2021/1/11 16:35作者陳曉莉https://www.ithome.com.tw/news/142149
紐西蘭央行遭駭，業務資料與個資可能遭存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.rbnz.govt.nz/news/2021/01/reserve-bank-responding-to-illegal-breach-of-data-system" target="_blank">紐西蘭儲備銀行周日公告網路遭駭</a>，該行用來分享和儲存部份敏感資訊的第三方檔案分享服務，遭不明人士非法存取，可能導致重要的業務及個資曝光。</p> <p>紐國央行行長Adrian Orr 指出，不法活動已經被切斷，受影響的系統也已經下線，目前正在配合安全廠商及主管機關進行調查。調查團隊正在評估被駭客存取的資訊範圍和種類，但可能包含一些商業及個人敏感資訊。</p> <p>紐西蘭央行強調，央行核心功能未受影響，且系統下線期間仍能正常運作。</p> <p>這是紐西蘭半年來第二起主要金融機關遭到網路攻擊。<a href="https://www.ithome.com.tw/news/139643" target="_blank">去年8月</a>紐西蘭證交所連續三天，遭到來自境外的分散式阻斷服務（DDoS）攻擊，主板、債券市場及Fonterra股東市場的交易被迫暫停一天。</p> <p>各國央行經常成為駭客攻擊目標。2017年孟加拉央行SWIFT系統遭駭，致10億美元被盜轉，<a href="https://www.ithome.com.tw/news/139632" target="_blank">事後調查疑為北韓駭客所為</a>。<a href="https://www.ithome.com.tw/news/125514" target="_blank">2018年西班牙央行</a>也遭阻斷服務攻擊，癱瘓網站近2天。</p> </div></div></div>
2021/1/11 14:01作者林妍溱https://www.ithome.com.tw/news/142144
英國高等法院裁定：情報服務不得只靠一張搜索票就監控大量電腦及手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過5年的拉鋸之後，英國高等法院推翻了英國調查權力法庭（Investigatory Powers Tribunal，IPT）在2016年的裁決，指出英國的安全及情報機構利用所謂的空白搜索票（General Warrant）就駭進與監控大量的電腦與手機，<a href="https://www.forbes.com/sites/emmawoollacott/2021/01/08/uk-mass-hacking-ruled-illegal/?sh=16c075ba1934" target="_blank">為一違法行為</a>。</p> <p>此一訴訟的源起要追溯到美國吹哨者Edward Snowden在2014年，公布了自美國國安局盜走的機密資訊，曝露出英國的安全與情報機構利用駭客技術來存取大量的運算設備，涵蓋電腦及手機，非營利的英國隱私保護組織Privacy International（PI）旋即向負責監察英國各個安全與情報部門的英國獨立司法機關IPT提告，然而，IPT卻在2016年時裁決英國情報機構GCHQ並未違法。</p> <p>PI的主張為，包括GCHQ在內的英國安全與情報組織不得利用主題式搜索票（Thematic Warrant）來進行大規模的監控，主題式搜索票允許搜索的範圍涵蓋所有的財產、個人或行為，例如犯罪集團成員使用的所有手機，而不必明確指出該成員的位置或名字，因而又被稱為空白搜索票（General Warrant）。</p> <p>當時PI企圖挑戰IPT的決定，然而，英國政府卻認為IPT不受一般司法監督，且英國高等法院與上訴法院在2017年時皆與英國政府站在同一立場，一直到了2019年，最高法院認為IPT應該受到高等法院的監督，而允許高等法院複審該案。</p> <p>上周高等法院即裁決，英國《情報服務法》（Intelligence Services Act，ISA）並不允許安全及情報服務仰賴非特定的搜索票或所謂的空白搜索票，來執行大規模的駭客行動，政府機關不應豁免於英國的基本憲法準則，而且，這類的搜索票將讓負責進行搜索的人決定搜索範圍，而非法院。</p> <p>倘若此一裁決未受到挑戰，那麼便將發還IPT執行。</p> </div></div></div>
2021/1/11 14:14作者陳曉莉https://www.ithome.com.tw/news/142145
Musk號召棄WhatsApp改用Signal的威力之大，與Signal同名公司股價沾光狂飆1100%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142081" target="_blank">WhatsApp更新用戶服務條款</a>要求分享個資引發眾怒，Musk上周號召粉絲改用Signal，也引發多種副作用，包括一家名稱相近的公司股價兩天內一度大漲1100%。</p> <p>WhatsApp將在2月8日生效的新版用戶服務條款，要求使用者必須同意WhatsApp把用戶個資、上網紀錄或軟、硬體、定位資訊等，分享給臉書旗下姐妹公司「以改善服務」，否則就應刪除帳號。除了歐盟國家外，新版服務條款適用於全球各個市場。</p> <p>剛登上全球新首富的特斯拉創辦人暨執行長<a href="https://twitter.com/elonmusk/status/1347165127036977153" target="_blank">Elon Musk周四透過推特呼籲粉絲們改用Signal</a>。而這也讓Signal一天內湧入大量新用戶，導致帳號驗證作業不及。<a href="https://twitter.com/signalapp/status/1347240006444675072" target="_blank">Signal上周公告</a>，因為大量新增用戶導致多家行動電信業者發送驗證碼延遲，以及<a href="https://twitter.com/signalapp/status/1347629649090600963" target="_blank">部份新用戶聯絡人顯示速度太慢</a>，在電信業者放大頻寬後，問題一直持續到周日才陸續解決。<a href="https://twitter.com/signalapp/status/1347960260191948800" target="_blank">Signal表示其用戶數已經屢次破紀錄</a>。</p> <p>除了Signal獲益外，<a href="https://www.cnbc.com/2021/01/08/elon-musk-boosts-signal-app-signal-advance-stock-jumps-1100percent.html" target="_blank">CNBC報導</a>，一家名為Signal Advance，但和Signal App無關的公司股價上周四、五股價先後大漲527%和91%。一度從60美分漲到7.19美元，漲幅達1100%。</p> <p><a href="https://twitter.com/signalapp/status/1347622177437151233" target="_blank">Signal也澄清</a>，Signal為非營利單位，靠的是用戶支持及捐獻，這家股價大漲的公司並非他們。</p> <p>不過即使如此，到App Store搜尋Messenger，搜尋結果頁排名第一的仍然是臉書Facebook Messenger，第二名才是Signal。<a href="https://twitter.com/signalapp/status/1348079223701794819" target="_blank">Signal指出</a>雖然臉書比較會賣廣告勝於買廣告，但為了排名第一，他們會使出任何必要的手段。Signal強調永遠不會有廣告。</p> </div></div></div>
2021/1/11 13:01作者林妍溱https://www.ithome.com.tw/news/142139
英國將調查Google Chrome封鎖第三方cookies是否違反市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google預定2022年全面封鎖第三方單位的cookies以防止跨網站追蹤，不過<a href="https://www.gov.uk/government/news/cma-to-investigate-google-s-privacy-sandbox-browser-changes" target="_blank">英國政府上周宣布</a>，將啟動調查此舉是否可能影響市場競爭。</p> <p>英國競爭及市場管理局（Competition and Markets Authority，CMA）指出，基於網路內容的投訴，調查將了解Google Chrome此舉是否會造成廣告支出更向Google的生態體系集中，而犧牲競爭者。</p> <p>由於cookies允許網站或廣告主追蹤用戶上網行蹤，Google 2019年宣布名為隱私沙箱（Privacy Sandbox）的計畫，將以Chrome封鎖第三方網站cookies，而改以一組API提供網站及行銷人員必要的資訊，例如取代CAPTHCA的信任令符（Trust Token）API，是協助網站辨識所謂的用戶是真人還是機器人，以避免點擊詐騙。隱私限額API則是限制網站經Google API蒐集到的用戶資訊量。轉換測量API顯示用戶從看到廣告到出現購買行為的過程。Google希望其他網路業者及科技廠商加入，也將隱私沙箱技術送到W3C討論。</p> <p>但並不是所有人都以Google馬首是瞻。一群由新聞出版商及科技廠商合組的Market for an Open Web（MOW）的業界聯盟，於去年11月<a href="https://marketersforanopenweb.com/marketers-for-an-open-web-calls-on-uk-competition-and-market-authority-to-block-googles-privacy-sandbox/" target="_blank">要求CMA阻止Google實行新措施</a>，他們聲稱Google的作法和隱私無關，而是要讓開放網路變成Google獨大的遊戲，不給存取cookies也讓仰賴網路廣告的網站內容業難以維生。</p> <p>CMA主席Andrea Coscelli則指出，現階段該局對Google作法是否阻礙競爭沒有預設立場。<a href="https://www.engadget.com/uk-regulators-google-chrome-privacy-sandbox-third-party-cookies-114953394.html" target="_blank">Google則聲明</a>隱私沙箱藉由建立更隱私的網路，也支持出版商和廣告主，需要產業一同加入以促成數位廣告的改變，也歡迎CMA參與開發新草案，協助建立不需第三方cookies的網路廣告。</p> </div></div></div>
2021/1/11 13:10作者林妍溱https://www.ithome.com.tw/news/142140
報導：Apple Car要5到7年才會推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然近日蘋果自有品牌電動車再度成為話題，不過<a href="https://www.bloomberg.com/news/articles/2021-01-07/apple-s-aapl-tesla-tsla-killer-won-t-ship-for-at-least-half-a-decade" target="_blank">彭博上周引述消息人士報導</a>，Apple Car距離真正推出，可能還要5到7年。</p> <p>彭博報導指出，蘋果Project Titan的確已從幾年前的單純自駕系統，擴大為更具野心的專案。蘋果內部已經籌組一個小型的硬體工程師團隊生產駕駛系統、車輛內裝及設計外部車體，成員也包括自特斯拉挖來的數名高層主管。</p> <p>但是一些成員認為，汽車計畫現在根本還沒來到量產階段，Apple Car如果真的推動計畫，也要5到7年產品才會上市，雖然時程也可能會變。原因之一是COVID-19疫情之下，專案小組成員只能在家上班，或在公司工作一小段時間，使整個計畫進度遭到延宕。</p> <p>這項消息是蘋果Apple Car最新市場報導。<a href="https://www.ithome.com.tw/news/141824" target="_blank">去年12月23日路透社報導</a>蘋果計畫2024年量產自有品牌電動車，主打更省電及安全的新式電池技術，目標是2024年推出。路透社及彭博皆報導，蘋果最有可能找現有汽車廠商生產汽車。</p> <p>上周韓國媒體<a href="https://www.kedglobal.com/newsView/ked202101080003" target="_blank">《現代經濟每日新聞》報導</a>的回應。而後<a href="https://www.cnbc.com/2021/01/08/hyundai-motor-says-it-is-in-early-talks-with-apple.html" target="_blank">現代汽車公司對CNBC證實</a>，與蘋果正在洽談生產電動車。</p> <p>不過現代汽車指出，據該公司的了解，蘋果正在多家全球汽車商洽談中，包括現代汽車。由於雙方討論還在早期階段，什麼都還沒有決定。</p> <p>現代汽車去年12月才宣布以11億美元，取得機器人公司Boston Dynamics 8成股權。當時現代汽車表示，計畫將Boston Dynamics的機器人用以實現公司智慧行動解決方案的願景，投入自駕車、連網及電動車、及智慧工廠、運籌、營建等自動化方案。</p> <p>Project Titan是在2014年展開，蘋果最初希望能在2020年初推出第一臺汽車，不料卻命運多舛。Project Titan陸續發生團隊變動、複雜的零件供應鏈，造成時程延宕。2016年該專案方向由全車自製改為專注在自駕系統。</p> <p>路透社報導指出，目前主掌者為2018年跳槽至特斯拉後回鍋蘋果的Doug Field。</p> </div></div></div>
2021/1/11 13:18作者林妍溱https://www.ithome.com.tw/news/142141
Ryuk駭客靠勒索就賺進價值逾1.5億美元的比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Advanced Intelligence與Hyas本周連袂公布了<a href="https://www.advanced-intel.com/post/crime-laundering-primer-inside-ryuk-crime-crypto-ledger-risky-asian-crypto-traders" target="_blank">針對Ryuk勒索軟體的研究報告</a>，指出此一於2018年現身的勒索軟體集團在展開攻擊的兩年之後，其加密貨幣錢包就累積了價值超過1.5億美元的比特幣。</p> <p>Ryuk駭客會先利用各種惡意程式來蒐集目標對象的資料，替每個潛在受害者建立分數，以判斷這些受害者支付大規模贖金的能力，Ryuk不但是個具備企業化組織的團隊，胃口也很大，所要求的贖金通常自數十萬到數百萬美元不等。</p> <p>研究人員追蹤了隸屬於Ryuk駭客集團的61個加密貨幣位址，發現受害者都是經由同一家知名的仲介業者以比特幣支付贖金，而這些位址已累積價值超過1.5億美元的比特幣。</p> <p>建立在區塊鏈的比特幣位址是公開，因此人人都可看到，但無法得知位址所有人的身分，不過，當駭客企圖把比特幣兌換成法定貨幣時，必須藉由加密貨幣交易平臺兌現，就可能曝露身分。研究人員發現，Ryuk集團主要透過火幣網與幣安來兌現比特幣，這兩個交易平臺都是由中國人所建立，也都座落於亞洲。</p> <p>藉由加密貨幣交易平臺兌換法定貨幣之所以會曝露身分的原因之一為，這些平臺都會要求使用者提供身分文件，也承諾會遵循包括反洗錢法在內的國際金融法令，願意在執法機構的合法請求下提供使用者身分，然而，研究人員並不確定火幣網與幣安的身分審查程序是否足夠嚴謹，另也猜測Ryuk集團應該不會透過美國的交易平臺來兌現比特幣。</p> <p>除了火幣網與幣安之外，其實Ryuk的帳號中還有大量的加密貨幣是流向了一堆位址，研究人員推測這是其它地下交易平臺所提供的兌現服務。</p> <p>Advanced Intelligence與Hyas指出，在部署Ryuk之前，駭客會先利用各種惡意程式滲透受害者組織，因此，組織若能早期防堵，就能躲過勒索軟體的攻擊，包括限制Office檔案的巨集執行，採用雙因素認證，以及在使用遠端存取工具時要特別小心，最好限制可存取的IP位址。</p> </div></div></div>
2021/1/11 11:14作者陳曉莉https://www.ithome.com.tw/news/142136
微軟推出雲端AI醫療保健對話機器人服務Azure Health Bot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟醫療保健機器人服務Healthcare Bot，現在提供Azure版本，用戶可以在Azure雲端上使用Healthcare Bot服務，以獲得雲端基礎設施帶來的優勢，現有的Healthcare Bot用戶，也能簡單地將原本的服務搬遷到<a href="https://azure.microsoft.com/zh-tw/blog/introducing-azure-health-bot-an-evolution-of-microsoft-healthcare-bot-with-new-functionality/">Azure Health Bot</a>。</p> <p>Healthcare Bot是微軟針對醫療保健組織，所打造的人工智慧對話服務，該服務內建醫療智慧和自然語言功能，供終端用戶可以存取相關醫療服務資訊。從COVID-19疫情爆發之後，Healthcare Bot也被美國疾病管制與預防中心等機構，用來建構能夠回答COVID-19相關問題，以及附近診所等資訊的系統，而從去年開始，Healthcare Bot被廣泛的應用，已經建構了數千個機器人，服務25個國家8,000萬人，傳送將近10億條訊息。</p> <p>而現在微軟宣布將Healthcare Bot搬遷到Azure雲端服務上，利用雲端基礎設施來強化Healthcare Bot的能力，現有用戶在不需要停機的前提下，就可以將Healthcare Bot無縫搬遷到Azure Health Bot上。微軟將繼續對Azure Health Bot添加新功能，包括快速檢查COVID-19疫苗是否合格，或是相關問題的模板。</p> <p>微軟表示，Azure Health Bot讓醫療院所的開發人員，可以大規模建構和部署人工智慧對話式醫療服務系統，其整合內建醫療資料庫和自然語言功能，可理解臨床術語，以制定臨床和操作使用案例，並且遵守包括HIPAA等隱私規範。</p> <p>Azure Health Bot為Azure原生服務，可讓用戶使用Azure管理工具，且擁有99.9％的SLA承諾，微軟提到，在Azure雲端上，用戶可更容易地建構醫療用對話機器人。微軟將會在接下來12個月，繼續支援原本的Healthcare Bot服務，而Azure Health Bot目前僅在美東與西歐地區提供，接下來預計會在8個地區上線。</p> </div></div></div>
2021/1/11 11:15作者李建興https://www.ithome.com.tw/news/142131
Wi-Fi 6E裝置認證專案開跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www2.wi-fidev.org/news-events/newsroom/wi-fi-alliance-brings-wi-fi-6-into-6-ghz" target="_blank">Wi-Fi聯盟（Wi-Fi Alliance）日前宣布</a>，已經開始展開Wi-Fi 6E裝置的認證專案，相信當各國釋出6 GHz頻段之後，支援該頻段的產品及服務將會迅速成長。<a href="https://www.cnet.com/news/wi-fi-industry-standardizes-next-gen-6ghz-connections-ahead-of-ces/" target="_blank">IDC研究總監Phil Solis向CNET透露</a>，預期今年將有超過3.38億個支援Wi-Fi 6E的裝置進入市場，到了明年，所有的Wi-Fi 6裝置將有接近20%支援Wi-Fi 6E。</p> <p>Wi-Fi 6E是在Wi-Fi 6標準所使用的2.4 GHz與5 GHz頻段之外，額外支援6 GHz頻段。6 GHz的重要性在於它能夠解決現有Wi-Fi頻譜短缺的問題，它具備了寬廣的連續頻譜，可容納14個額外的80 MHz頻道，或是7個額外的160 MHz頻道，此外，由於6 GHz有明確的頻譜，因而不會受到舊有Wi-Fi 4或Wi-Fi 5裝置的干擾。</p> <p>因此，Wi-Fi 6E裝置將適用於需要快速資料吞吐量的高頻寬應用，諸如高解析度的影片串流與虛擬實境等，也能利用這些更寬廣的頻道與容量來提供更佳的網路效能，或是一次支援更多的Wi-Fi用戶。</p> <p>由於美國聯邦通訊委員會（FCC）已於去年4月宣布，釋出6 GHz頻段的1,200MHz頻譜供非授權使用，因此，Solis認為美國將在6 GHz市場取得領先地位，但同時歐洲與APAC地區，也正在探索開放此一頻段的機會。</p> <p>分析師預期，一旦各國監管機關鬆綁6 GHz頻段的使用，率先使用該頻段的裝置將是Wi-Fi 6E消費者無線基地臺與智慧型手機，接著就是企業等級的無線基地臺，隨之也將看到工業環境的大量採用，將其應用於機器分析、遠端維護或是虛擬員工訓練上。</p> </div></div></div>
2021/1/11 11:25作者陳曉莉https://www.ithome.com.tw/news/142137
AWS Transfer Family傳輸服務開始支援EFS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS傳輸服務Transfer Family除了原本支援將檔案傳輸到S3物件儲存服務外，現在額外<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-transfer-family-support-for-amazon-elastic-file-system/">增加EFS檔案系統支援</a>，用戶可以提供業務合作的夥伴，存取Amazon EFS檔案系統文件的權限，而且還能供EC2、Lambda與Fargate等服務上的應用程式，隨時取用EFS檔案。</p> <p>AWS Transfer Family是一個完全託管的檔案傳輸服務，可以讓用戶以SFTP、FTPS和FTP協定，將檔案傳入或是傳出S3，以便將工作流程搬遷到AWS上。而Amazon EFS則是一個可擴展的雲端原生NFS檔案系統，能夠在不中斷應用程式的情況下，按需求自動擴展與縮減規模，用戶不須介入管理容量使用。</p> <p>而現在除了S3，用戶還可以將檔案傳輸到Amazon EFS檔案系統上，在既有的工作流程中使用SFTP、FTPS和FTP協定，把檔案傳輸到全託管的檔案系統上，以減少自己運作系統的負擔。</p> <p>這項新功能能在VPC以及與VPC相連的環境中使用，以便安全地讓第3方透過支援的協定，大規模地存取檔案，而且無需在意基礎設施配置。AWS提到，當用戶選擇Amazon EFS作為AWS Transfer Family伺服器的資料儲存服務時，傳輸的檔案就可以隨時讓EC2上執行的應用程式取用，也能支援ECS、EKS、AWS Fargate和AWS Lambda等服務。</p> <p>目前所有提供AWS Transfer Family服務的AWS地區，Transfer Family都開始支援Amazon EFS檔案系統，使用EFS作為儲存後端，不需要支付額外AWS Transfer Family費用，而EFS則是用多少付多少，沒有最低承諾額度與前期費用。</p> </div></div></div>
2021/1/11 11:28作者李建興https://www.ithome.com.tw/news/142132
Google更新Cloud Logging加入結尾紀錄功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其記錄檔服務Cloud Logging加入一個新工具，讓用戶將日誌檔案的內容，即時顯示在控制臺中，並且強化日誌搜尋功能，讓<a href="https://cloud.google.com/blog/products/management-tools/cloud-logging-gets-real-time-log-searching" target="_blank">結尾紀錄指令</a>可以搭配正規表示式等過濾器功能一起使用。目前Cloud Logging的結尾紀錄功能向所有使用者開放，以供預覽測試。</p> <p>Cloud Logging服務能在1分鐘內的時間，匯總來自Google雲端、本地端和其他雲端平臺的日誌，並且建立索引，使日誌可供搜尋，還可將日誌匯總到指標，或是掃描錯誤報告中的錯誤，方便用戶排除故障使用。</p> <p>新的結尾紀錄功能，是模仿Linux中tail -f指令的行為，能在控制臺中即時顯示所有日誌，不只如此，Google強化日誌檢視功能，讓用戶可以搭配使用Cloud Logging日誌查詢語言，執行全域搜尋、正規表示式或是字串比對，來即時找出想查看的日誌記錄。</p> <p>除了這項更新之外，官方還提到，雲端控制臺現在還可以將日誌串流到Logs Explorer，並且在控制臺直接控制串流、瀏覽與視覺化等日誌功能。</p> </div></div></div>
2021/1/11 11:31作者李建興https://www.ithome.com.tw/news/142133
蘋果、Google與Amazon聯手封殺川普支持者群聚的社交平臺Parler
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書與Twitter於7日，相繼封鎖了美國總統川普（Donald Trump）於Facebook/Instagram及Twitter平臺上的帳號之後，川普的支持者湧向了2018年才成立的社交平臺Parler，不過，Google在8日就將Parler自Google Play上移除，9日蘋果把Parler踢出App Store，Amazon Web Services（AWS）也宣布要在10日晚上11點59分，切斷Parler的代管服務。</p> <p>Parler成立於2018年8月，提供微型部落格與社交網路服務，標榜言論自由，主要藉由Android與iOS行動程式提供服務，在去年11月時，其註冊用戶僅略超過1,000萬名，活躍用戶數則是400萬名，遠低於臉書的27億名及Twitter的3.3億名每月活躍用戶數。</p> <p>此外，儘管強調言論自由與中立，但Parler不僅曾被批評其內容政策比競爭對手還要嚴格，也被視為是支持川普的保守派大本營。</p> <p>Twitter與臉書原本僅決定暫時封鎖川普帳號，但之後臉書宣布將無限期延後對川普的封鎖時程，Twitter則說將永久停用煽動暴力的@realDonaldTrump川普帳號，使得川普的支持者轉移到Parler平臺，<a href="https://sensortower.com/ios/rankings/top/iphone/us/all-categories?locale=zh-CN&date=2021-01-09" target="_blank">行動程式分析機構Sensor Tower的數據顯示</a>，Parler在9日成為App Store免費程式下載排行榜的第一名。</p> <p>不過，Parler的風光可說是曇花一現，根據外電報導，Google率先移除了Parler程式，理由是該平臺未能移除諸如煽動暴力等內容，蘋果移除Parler的理由也差不多，表示Parler並未妥善解決威脅人們安全的言論，而AWS亦說Parler的內容管理不當，違反AWS的服務條款。</p> <p><a href="https://twitter.com/parlertakes/status/1348129495589392388/photo/1" target="_blank">Parler共同創辦人暨執行長John Matze證實了媒體的報導</a>，呼籲該平臺的用戶透過電子郵件或電話向國會議員或參議員，抗議Google、蘋果與Amazon的反競爭行為，還說，就算服務被AWS撤銷，預期在12小時內就會恢復正常。代表Parler應該已找到其它的代管服務業者。</p> </div></div></div>
2021/1/11 11:49作者陳曉莉https://www.ithome.com.tw/news/142138
2020年12月10大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年是失控的一年，全球因為武漢肺炎疫情改變了生活型態，也使得資安威脅變得更加嚴峻。在2020年的最後一個月，正當大家仍然在與疫情對抗之際，美國傳出了SolarWinds Orion的供應鏈攻擊，駭客先是入侵了SolarWinds的開發環境，導致該公司發出的特定版本修補程式，暗藏後門程式而難以被發現。而此起攻擊被發現的開端，竟是資安公司FireEye公告紅隊演練工具遭到外洩。這起攻擊調查至今，案情仍然不是很明朗，就連美國政府的公告也是指稱，「可能」是俄羅斯的駭客所為。</p> <p>而對於疫情相對趨緩的臺灣，我們更需要留意的是即將上路的數位身分證（eID），雖然在各界對於資安與法源的質疑下，先是內政部宣布縮小試辦範圍，再來是試辦區域的新竹市政府表態傾向暫緩而延期，但未來發展的方便還是相當值得關注。</p> <p>除此之外，疫情延燒多時，開始出現疫苗研發成功，卻傳出送審文件遭竊，而疫苗輸送所需的冷鏈供應鏈，也有駭客發動網路釣魚攻擊，意圖左右全球復原的速度。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/141885">數位身分證試辦生變！新竹市政府表態傾向暫緩試辦</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-01.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span><a href="https://www.ithome.com.tw/news/141666">美國政府發布緊急指令，要求聯邦機構即刻關閉SolarWinds系統</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-02.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span></strong><a href="https://www.ithome.com.tw/news/141462"><strong style="vertical-align: top;">駭客針對疫苗冷鏈供應鏈展開網釣攻擊</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-03.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/141605">歐洲藥品管理局遭到網路攻擊，導致武漢肺炎疫苗申請文件外洩</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-04.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/141521">俄羅斯自動化郵箱業者PickPoint遭駭，近3千個儲物設備同時開啟</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-05.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/141610">TrickBot捲土重來且更難纏，具備竄改UEFI韌體的能力</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-06.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/141414">美國巴爾的摩郡公立學校學區網路資訊系統遭勒索軟體攻擊，虛擬教學課程停擺</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-07.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/141517">鴻海墨西哥工廠遭勒索軟體攻擊，駭客公布部分竊得資料</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-08.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/141502">為脅迫受害企業付贖金，勒索軟體歹徒找客服打恐嚇電話</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-09.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/141825">微軟、McAfee等公司合組對抗勒索軟體的聯盟</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-12-10.png" style="width: 400px; height: 180px;" /></p> </div></div></div>
2021/1/11 12:02作者周峻佑https://www.ithome.com.tw/news/141939
【2021資安大預測】趨勢2：漏洞攻擊｜CVSS近滿分漏洞頻傳，企業難以招架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定漏洞攻擊的現象，曾在2018年就有數家資安廠商提出警告，指出利用已知漏洞的攻擊事件會日益氾濫。因為，對於駭客而言，這麼做可以省下自己找尋弱點的工夫。回顧2020年，我們看見有許多大型IT業者的系統，出現CVSS第3版風險層級接近滿分（10分）的漏洞，而這樣的情況有多嚴重？從美國國土安全部一年之內發出3次緊急指令（Emergency Directive），這種史無前例的現象，可以看出端倪。</p> <p>該單位於2020年發布的命令內容，有2個都與危險程度達滿分的漏洞有關，包含了DNS伺服器漏洞SIGRed<a href="https://www.ithome.com.tw/news/138831" target="_blank">（CVE-2020-1350）</a>，以及與AD權限擴張有關的Zerologon<a href="https://www.ithome.com.tw/news/140014" target="_blank">（CVE-2020-1472）</a>。這樣的態勢，也使得他們在2020年發出緊急指令數量，創下有史以來最多的一年。</p> <p><strong><span style="font-size:28px;">大型IT廠商網通與資安產品重大漏洞頻傳，已出現攻擊事件</span></strong></p> <p>除了上述的微軟Windows作業系統漏洞，還有許多企業會運用的網路設備，也在2020年被發現這種CVSS風險層級接近滿分的漏洞，這些包含了F5 BIG-IP設備的RCE漏洞<a href="https://www.ithome.com.tw/news/138576">CVE-2020-5902</a>、Palo Alto Networks防火牆作業系統（PAN-OS）<a href="https://www.ithome.com.tw/news/138526" target="_blank">漏洞CVE-2020-2021</a>，以及2019年底被發現、Citrix於2020年1月修補的<a href="https://www.ithome.com.tw/news/135512" target="_blank">CVE-2019-19781漏洞</a>等。而這些漏洞也出現被駭客濫用的案例，例如，<a href="https://www.ithome.com.tw/news/139500">2020年8月大型遊輪業者Carnival遭到勒索軟體攻擊</a>，就有資安業者點名該公司被入侵的管道，就是沒有修補CVE-2019-19781的Citrix網路設備。</p> <p>這種企業應用系統出現重大漏洞的情況，還有SAP Netweaver AS Java的<a href="https://www.ithome.com.tw/news/138851" target="_blank">CVE-2020-6287（RECON）</a>，以及出現在基礎架構自動化管理系統Salt的<a href="https://www.ithome.com.tw/news/141105" target="_blank">CVE-2020-16846與CVE-2020-25592</a>，還有HPE分別針對容器軟體Ezmeral、BlueData EPIC，以及儲存裝置3PAR StoreServ，修補CVSS風險評分接近10分的重大漏洞，也就是<a href="https://www.ithome.com.tw/news/140770" target="_blank">CVE-2020-7196與CVE-2020-7197</a>。</p> <p>而在工作站電腦的部分，Dell旗下的精簡型電腦產品線Wyse，存在容易遭到濫用的<a href="https://www.ithome.com.tw/news/141848">CVE-2020-29491與CVE-2020-29492</a>。提供端點防護的趨勢企業防毒OfficeScan、Apex One，也被揭露存在<a href="https://www.ithome.com.tw/news/136422" target="_blank">CVE-2020-8470、CVE-2020-8598，以及CVE-2020-8599</a>等滿分漏洞，甚至<a href="https://www.zdnet.com/article/trend-micro-antivirus-zero-day-used-in-mitsubishi-electric-hack/">ZDNet報導指出</a>，2019年日本重工業<a href="https://www.ithome.com.tw/news/135468">三菱電機遭駭</a>，駭客疑似就濫用該廠牌防毒軟體的部分重大漏洞而得逞。</p> <p>這種重大漏洞連接於2020年被揭露的現象，也遍及許多領域的解決方案，尤其是與遠距辦公有關的系統，更是受到關注。像是在VMware Workspace One數位工作平臺中，身分管理模組的漏洞<a href="https://www.ithome.com.tw/news/141292" target="_blank">CVE-2020-4006</a>，在公布一個月後，就傳出被用來發動攻擊的情況。</p> <p>再者，視訊會議系統和協作平臺也是漏洞頻傳，不只有因中國人創業與系統設計瑕疵接連引發各界關注的Zoom，還有思科的WebEx、Jabber，以及微軟Teams等，能夠藉著傳送惡意訊息發動攻擊的漏洞，也是時有所聞。</p> <p><strong><span style="font-size:28px;">開機程式與通訊協定漏洞影響層面甚廣，恐波及數億臺裝置</span></strong></p> <p>有些在2020年被發現的漏洞，不僅危害程度非常嚴重，同時影響範圍還擴及各式的系統。例如，開源開機程式Grub2存在的漏洞BootHole<a href="https://www.ithome.com.tw/news/139133" target="_blank">（CVE-2020-10713）</a>，影響所有執行安全開機的個人電腦、伺服器，以及物聯網裝置等，不僅各大版本Linux業者相繼修補，就連<a href="https://msrc.microsoft.com/update-guide/vulnerability/ADV200011">微軟也發出安全公告</a>，並提供安全開機DBX黑名單更新檔案。</p> <p>而這樣的情況，也出現在協定層面的漏洞，涉及的範圍同樣相當廣泛。資安研究人員在2020年揭露此種型態的漏洞，包含了存在於TCP/IP網路協定程式庫的<a href="https://www.ithome.com.tw/news/138395" target="_blank">Ripple20</a>，與4項TCP/IP堆疊元件有關的<a href="https://www.ithome.com.tw/news/141572" target="_blank">Amnesia:33</a>；而出現在網域名稱系統（DNS）的漏洞，包含了可被用於快取污染（Cache Poisoning）攻擊的<a href="https://www.ithome.com.tw/news/141096" target="_blank">SAD DNS</a>，以及查詢遞迴漏洞<a href="https://www.ithome.com.tw/news/137777" target="_blank">NXNSAttack</a>等，這種型態的漏洞發現，研究人員粗估影響10億臺裝置。</p> <p>不只是有線的網路通訊協定存在嚴重漏洞，無線通訊也存在類似的情況，例如，存在於Wi-Fi晶片的<a href="https://www.ithome.com.tw/tech/136619" target="_blank">Kr00k（CVE-2019-15126）</a>，還有出現在藍牙協定的<a href="https://www.ithome.com.tw/news/139917" target="_blank">BLURtooth（CVE-2020-15802</a>）、<a href="https://www.ithome.com.tw/news/135969" target="_blank">SweynTooth</a>等。由於此類漏洞牽涉範圍甚廣，需要許多廠商修補自家裝置才能緩解，後續引發的效應為何？在新的一年也相當值得觀察。</p> </div></div></div>
2021/1/11 10:14作者周峻佑https://www.ithome.com.tw/news/142112
【2021資安大預測】趨勢3：BEC詐騙｜商業電郵詐騙持續攀升，防不勝防
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著疫情的蔓延，居家辦公變成常態，電子郵件是極為重要的溝通管道之一，駭客也盯上這樣的情勢，從中進行詐騙。在2020年被揭露的商業電子郵件詐騙（BEC）攻擊事件中，不少駭客刻意採取幾可亂真的手法，讓收信者難以察覺異狀而上當。</p> <p>這種精心策畫攻擊策略，也導致一旦攻擊成功，得手的利益相當可觀，受害者察覺被騙往往為時已晚，金錢損失難以追回。回顧2020年，5月有數件此類詐騙事件被公布，包含了<a href="http://ttps//www.ithome.com.tw/news/137591">駭客冒名向臺灣銀行洛杉磯分行轉帳得逞</a>，以及私募基金被騙的情況，然而直到受害者察覺不對勁並展開調查，錢已經被轉走數星期甚至數個月。</p> <p>針對BEC攻擊的態勢，郵件安全業者Abnormal Security，<a href="https://abnormalsecurity.com/blog/announcements/q3-bec-report/">在2020年第3季的研究報告中指出</a>，他們看到相關的攻擊數量持續增加，比起同年第2季，第3季攻擊事件增加15%。而且，該公司也提出警告，幾乎是所有主要的產業，遭遇BEC詐騙的現象都有明顯成長。</p> <p>值得留意的是，縱觀許多資安廠商的年度預測報告，鮮少特別呼籲大家要重視BEC詐騙攻擊升溫的趨勢，但這種現象已有數家郵件安全業者提出警告，表示這種攻擊極為難以發現，卻接連在各行各業發生，對於這種可能被輕忽的現象，我們也認為大家需要關注。</p> <p><strong><span style="font-size:28px;">攻擊者對於受害組織交易模式掌握程度極高，操控郵件內容行騙</span></strong></p> <p>究竟這種詐騙手法造成的危害有多嚴重？<a href="https://www.fbi.gov/news/stories/2019-internet-crime-report-released-021120">根據FBI揭露的數據</a>，他們在2019年獲報近2.4萬件BEC詐騙案件中，總共造成約17億美元的損失。而在2020年4月下旬，臺灣銀行洛杉磯分行向金管會通報的詐騙案件，因該分行未確認匯款資料正確性就進行轉帳，結果被騙走45萬美元，相當於新臺幣1,350萬元。</p> <p>不光是金融單位被當作下手目標，駭客也可能鎖定有大量資金往來的組織。例如，2020年5月，Check Point揭露<a href="https://www.ithome.com.tw/news/137452">英國私募基金2019年遇害</a>，被騙110萬英鎊；而這樣的事件，甚至出現在政府機關旗下的組織。<a href="https://www.ithome.com.tw/news/137660">隸屬於挪威外交部的國家投資基金Norfund</a>，他們於同月坦承遭到BEC詐騙，損失1千萬美元。</p> <p>但為何會上當？以上述的3起事件而言，臺灣銀行歸咎是人為疏失，經手人員在確認客戶的資料不夠確實所致；不過，其餘2起私募基金的部分，Check Point與Norfund則是透露較多發現，並且不約而同指出駭客的手法精細，對於受害組織的資金往來瞭若指掌，捏造收信人難以辨識的詐騙郵件，操弄郵件對話而得手。</p> <p>這種攻擊者已經摸清攻擊目標底細，掌握郵件往來內容並進行操控的現象，將是企業在防範BEC電子郵件詐騙所需面臨的挑戰。</p> <p><strong><span style="font-size:28px;">取得高階主管電子郵件信箱門檻降低，且可能波及其他應用系統</span></strong></p> <p>我們可能會認為，駭客需要投資大量成本來取得情報，特別是掌控大型企業高階主管的電子郵件帳號，得花不少錢，然而，事實上，攻擊者取得的代價並不高。</p> <p>根據新聞網站ZDNet於11月的報導，<a href="https://www.ithome.com.tw/news/141386">有人在駭客論壇上銷售高階主管與財務人員的電子郵件帳號</a>，依據職等和公司規模，每個帳號價碼自100美元至1,500美元不等，換言之，最多不到新臺幣5萬元的代價，就可以濫用大型企業的高階主管身分，來向公司員工發號施令。</p> <p>再者，企業其他的IT系統上，很可能也使用同樣的電子郵件信箱名稱，做為使用者帳號，一旦電子郵件信箱遭駭，駭客可以藉此觸及其他系統。</p> <p>以上述的事件而言，這名駭客宣稱提供的是Office 365電子郵件帳號，對於想要發動BEC詐騙攻擊的駭客而言，他們不僅能藉著購得的帳號和密碼假冒受害人身分，很有可能還會得到儲存在SharePoint的機密文件，而得知更多可用於向受害企業攻擊的資料，或是藉著Teams即時通訊等方式，來向企業的其他員工行騙。</p> <p>另外，<a href="https://www.ithome.com.tw/tags/BEC" target="_blank">在近期的BEC詐騙事件中</a>，駭客也開始嘗試利用較為特殊的手法，讓受害企業更加難以發覺攻擊行動蹤跡。例如，FBI在2020年11月，表示<a href="https://www.ithome.com.tw/news/141492">在8月發現的2起攻擊事件裡，駭客為了暗中收集所需情資而不被發現，竄改網頁信箱的自動轉寄規則</a>，轉寄特定主旨的郵件給自己。由於受害企業監控相關規則的範圍，只針對電腦版的收信軟體，再加上收信軟體與網頁信箱的規則沒有同步，這些企業並未發現駭客從中轉寄信件的現象，結果其中一家醫療設備公司被騙走了175,000美元。</p> </div></div></div>
2021/1/11 10:28作者周峻佑https://www.ithome.com.tw/news/142114
【2021資安大預測】趨勢4：勒索軟體攻擊｜讓受害者難堪成勒索的目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及2020年最常聽聞的網路攻擊型態，勒索軟體攻擊肯定榜上有名。幾乎每個星期都有大型企業或組織傳出受害的情況，而且，這些事故的過程，多半還伴隨著資料外洩的風險，駭客在加密檔案前備份，之後再以此要脅受害者，如果不付錢就將這些機密資料公開，或是在暗網販賣。這種有利可圖的情況，駭客食髓知味持續發動相關攻擊，很可能會在2021年延續。</p> <p>但是，駭客發動勒索軟體攻擊不完全是為了錢，也可能帶有其他目的。例如，在攻擊的目的達成後以勒索軟體來破壞現場，讓受害企業恢復正常運作更加困難。</p> <p>這樣的情況究竟在2020年有嚴重？根據北美資安險業者Coalition統計，美國上半年逾4成的資安險理賠，都與勒索軟體攻擊有關。該公司指出，美國2020年上半受理的理賠事故數量，僅約有2019年同期的8成，但損害的情況更加嚴重，在2020年第2季，平均一起攻擊事故的贖金高達33.8萬美元。</p> <p>而勒索軟體攻擊的氾濫，也衍生出整個產業鏈，許多資安廠商曾在2017年到2018年的時候，提到的勒索軟體即服務（Ransomware-as-a-service，RaaS），也在這2年大行其道。根據威脅情報業者Intel 471指出，他們在2019年與2020年，看到有25個RaaS問世，而其中有17個是2020年才出現的服務。這種作案工具隨手可得的情況，也助長了勒索軟體攻擊的更加猖獗。</p> <p>不只上述勒索軟體攻擊氾濫的態勢，造成的影響也相當值得關注。在2020年，德國有急診病人因駭客在9月攻擊醫院，被迫轉到30公里外的另一家醫院而延誤救治，成為因勒索軟體攻擊導致死亡的首例。乍看之下，2020年許多駭客鎖定大型企業、公部門下手，可能和個人沒有直接關係，但實際上，當中不少是關乎民生的關鍵基礎設施（CI），在這波疫情蔓延的情況下，首當其中的醫療院所，因受到相關攻擊而嚴重影響防疫工作，即使部分駭客組織宣稱抗疫期間不會對醫院出手，但鎖定醫院攻擊的情況可說是時有所聞。</p> <p>可能是大家已經逐漸落實資料備份，相較於過往，駭客不再偏重藉由撕票檔案來恐嚇被害者，而是以外洩機密來要脅，企業光是單靠備份資料難以自保。</p> <p><span style="font-size:28px;"><strong>可能會出現更多脅迫手法</strong></span></p> <p>在2020年的勒索軟體攻擊中，透過公布資料來要脅受害者付錢，是最為普遍的做法。不過，駭客為了達成目的，在2020年底出現一些新的手段。</p> <p>像是攻擊義大利酒莊Campari的駭客組織Ragnar Locker，在發動攻擊數日後，盜用音樂DJ人員的臉書帳號，以廣告的方式公開攻擊事件，意圖迫使這家酒莊付贖金。</p> <p>無獨有偶，類似的索討手法並非是個案。資安公司Coveware發現，多個勒索軟體駭客組織，包括Conti、Ryuk，以及現在已經收手的Sekhmet及Maze等，透過客服中心打電話，藉由心理戰的方式，要受害者不要白費力氣自救，趕快聯繫駭客安排後續付款事宜，否則受害單位的網路，將會永無寧日。這些過往不曾出現的索討贖金手法，在2021年可能會更加頻繁。</p> <p>再者，也有駭客針對攻擊目標是零售業，利用受害企業門市的收銀機來印出勒索訊息，造成更大的恐慌。例如，智利零售業龍頭Cencosud，於12月遭勒索軟體Egregor攻擊，不只門市張貼公告，表明無法使用自家信用卡付款或退貨，有資安人員錄下一段影片，內容是該集團一間門市的熱感應式列表機，在收銀機檔案被加密後，不斷印出勒索訊息。</p> <p>由於濫用企業印表機發出恐嚇訊息或表達特定訴求的情況，曾在2017年與2018年，傳出多起事件，再加上2020年6月有資安研究人員指出，全球仍8萬臺印表機曝露於網際網路，而且當中有很大比例還會透露企業名稱。駭客是否會在2021年的勒索軟體攻擊裡，運用印表機施壓？有待日後觀察。</p> <p><strong style="font-size: 28px;">索討贖金並非發動攻擊唯一動機</strong></p> <p>除了上述以謀財為目的的勒索軟體攻擊，2020年也有疑似在國家級APT攻擊行動中，運用勒索軟體達成特定訴求的情況。例如，2020年5月爆發中油、台塑，以及高科技製造業力成等，一連串遭到勒索軟體攻擊的事件，震驚全臺灣，我國調查局與美國FBI聯手，追緝發動攻擊的駭客，並於9月16日公布攻擊者是中國的APT41。</p> <p>不過，這波攻擊顯然與前述以獲利為目的攻擊有所不同，雖然，駭客在受害電腦上留下勒索訊息，每臺電腦的資料要支付3千美元來換回，但要贖金是這些駭客的真正目的嗎？在2020臺灣資安大會上，奧義智慧共同創辦人邱銘彰指出，從時間點來看，駭客潛伏在這些企業已有一段時間，特別選在5月20日總統就職日前夕發動攻擊，最主要的目的應該還是讓我國政府沒有面子。</p> <p>從駭客發動勒索軟體攻擊的意圖來看，雖然多半還是以贖金為主要目的，但這種運用在APT攻擊的過程中，做為破壞受害單位IT環境的手段，在現今國際間局勢日益緊張的態勢下，2021年很可能還會再出現。</p> </div></div></div>
2021/1/11 10:30作者周峻佑https://www.ithome.com.tw/news/142115
【2021資安大預測】趨勢1：後疫資安新常態｜遠距與在家上班成主流，疫苗資訊淪網釣誘餌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>武漢肺炎（COVID-19）從中國武漢爆發，到肆虐全球191個國家地區，至今已超過1年之久，確定病例數已突破8千萬，死亡人數也上看180萬，面對這樣極具威脅的傳染病，許多企業也都大幅採用遠距辦公、在家辦公，或是分組輪流上班的人力資源配置模式，以維持業務營運，然而，由於疫情並未趨緩，有不少公司在2021年仍將採行這樣的工作方式。</p> <p>而為了因應這樣的工作模式新常態，公司絕大多數的員工，可能都要從自己家中的個人電腦或行動裝置，橫跨網際網路連到企業內部網路，以便存取公司架設的IT應用系統或網路共享檔案儲存區，以及與同事、合作廠商進行線上協同作業，也因此，由企業本身所維運的各種網路服務用量大增，而須自行新建、擴建或承租對應系統或服務。</p> <p>例如，透過加密通道安全銜接公司內外網路的VPN連線（IPsec VPN、SSL VPN）；遠端登入公司電腦與伺服器操作的軟體平臺（Remote Desktop）；透過網頁介面讓使用者存取企業應用系統的網站伺服器、中介軟體（Middleware），以及負載平衡、SSL卸載、DDoS防護、流量管控的應用程式遞送控制器（ADC）；集中控管個人電腦與行動裝置的端點統一管理系統（UEM），甚至是虛擬化桌面基礎架構（VDI）、精簡用戶端（Thin Client）等，都派上用場。</p> <p>此外，由於員工進不了辦公室，因此，企業對於整合通訊與協作的需求大增──不只是電子郵件的收發，像是雲端視訊會議、雲端總機、行動分機、雲端檔案多人共享、群組即時通訊，這些不再是跨國或大型企業才用到的技術，而是一般公司維持業務營運而必備的通訊基礎設施，而且都需經由網際網路。在這樣不得不開放的態勢之下，企業固有網路邊界消弭的程度變得更徹底了！</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-1-%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FKnowBe4.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>COVID-19疫苗在去年12月初宣布開始施打的消息，隔沒幾天，資安意識訓練服務廠商KnowBe4就接到用戶回報的網路釣魚郵件，而這封信特別以疫苗供不應求為名，誘使收信者打開信中的PDF網址連結，希望能盡快填寫表單申請，以便讓疫苗更快送到自己手中，但這其實是一種社交工程的誘餌。</strong>圖片來源／KnowBe4</span></p> <p><strong><span style="font-size:28px;">與遠端存取相關應用的漏洞與網路攻擊，將持續受到關注</span></strong></p> <p>而從2020年的重大資安事件來看，的確有不少安全性漏洞公告與遠端存取的網路應用有關，例如，根據美國國土安全部（NSA）在9月、10月發布的公告，一再警告大家注意。</p> <p>像是：應用程式遞交控制器──F5 Big-IP的CVE-2020-5902、Citrix NetScaler ADC、NetScaler Gateway、SD-WAN WANOP的CVE-2019-19781，VPN設備──Pulse Secure VPN的CVE-2019-11510，以及電子郵件伺服器──Microsoft Exchange Server的CVE-2020-0688，行動裝置管理平臺MobileIron的CVE-2020-15505，此外，作業系統Windows、Windows Server，以及電子郵件伺服器元件Exim、防火牆Palo Alto的重大漏洞，也都被點名。</p> <p>市面上可提供遠端存取能力的IT系統與網路設備多如牛毛，在安全性漏洞陸續被揭露之後，公部門、企業、各組織都已經妥善修補了嗎？根據資安廠商RiskIQ於2020年中的分析，仍有許多設備仍未修補已知漏洞，上述的部分產品也名列其中，而且設備數量甚至上看百萬臺，像是F5 BIG-IP（967,437臺）、Citrix NetScaler Gateway（86,773臺）；VPN與防火牆的部份，則有Palo Alto Global Protect（61,869臺），遠端桌面應用有Microsoft Remote Desktop Gateway（42,826臺）。</p> <p>另外，在遠端辦公的IT技術上，遠端桌面登入、VDI／桌面虛擬化／應用程式虛擬化也是許多企業組織大規模採用的應用類型，雖然這些操作方式原本就是縮小受攻擊面而著稱，然而還是有可乘之機，能讓駭客滲透進來。舉例來說，使用者帳號與密碼的保護必須更加確實，啟用雙因素身分認證，以及避免採用與其他系統相同的密碼。</p> <p>相關軟體系統的安全性漏洞也必須多加留意。像是8月微軟AD網域登入的Zerologon漏洞，也就是CVE-2020-1472，駭客可透過他們掌控的企業內部虛擬機器，登入並變更網域控制器的密碼，而能控制整個AD網域，連帶地，無論是實體的伺服器、個人電腦或虛擬機器的存取，都無法倖免於難。</p> <p>VDI／桌面虛擬化／應用程式虛擬化平臺本身的漏洞，更是駭客針對這類應用發動攻擊必備的要素。像是：VMware在11月爆出CVSS 3.1風險層級達9.1分的弱點CVE-2020-4006，就是出在該公司的數位工作區平臺VMware Workspace One，產品具有指令注入漏洞，用戶必須儘快修補或設法緩解。</p> <p>除了要注意安全性漏洞的修補與遮蔽，以免慘遭駭客濫用與滲透，各種遠端存取的IT設備與系統，尤其是會直連網際網路的產品，也要當心分散式阻斷攻擊（DDoS）。像是上述屢屢被提到的Citrix NetScaler Gateway，在12月24日也遭到這類型攻擊，攻擊者運用資料包傳輸層安全（DTLS）協定，向Citirix NetScaler發出大量網路流量傳輸需求，意圖耗盡用戶環境的連外網路頻寬。</p> <p>而這類阻斷網路服務正常運作的手法，當然也能影響其他的IT系統與網路設備的正常運作，因此，企業也要注意到大規模癱瘓網路的攻擊行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FCheck%20Point.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>12月初，資安廠商Check Point在暗網發現有人張貼COVID-19疫苗的廣告，開價250美元，但無法判斷對方販售的疫苗是否為真，而且對方還要求買家需以比特幣支付。</strong>圖片來源／Check Point</span></p> <p><strong><span style="font-size:28px;">疫苗相關組織將成攻擊目標，疫情資訊恐淪為網路釣魚誘餌</span></strong></p> <p>為了遏止武漢肺炎疫情持續擴大，各國這一年來除了持續管制邊境、實施隔離、宵禁、封城等措施，以及宣導戴口罩、保持社交距離，近期最受各界關注的議題是疫苗相關資訊，因此，許多資安廠商都提出這方面的預測。</p> <p>例如，趨勢科技認為，疫苗相關的機構及產業鏈，像是生技公司、疫苗研發機構，將面臨更多目標式攻擊。Check Point也指出，有意竊取疫苗資訊的網路犯罪分子或國家，將持續鎖定開發疫苗的製藥公司作為目標，因此，要注意以疫苗為誘餌的網路釣魚，攻擊者會打著疫苗開發或各國新增限制措施消息的旗幟，誘使大眾開啟電子郵件或網址。</p> <p>事實上，隨著輝瑞（Pfizer）、阿斯特捷利康（AstraZeneca）、莫德納（Moderna）等藥廠的疫苗問世，資安廠商也在12月上半發現網路釣魚活動。</p> <p>例如，在英國宣布疫苗大規模接種當天，資安意識訓練服務廠商KnowBe4隨即接收到以此為主題的網路釣魚郵件；Check Point也在暗網觀察到與疫苗有關的廣告：有業者宣稱他們手上有多種疫苗可販售，開出250美元的價碼，也有業者喊出14劑300美元的高價，而且他們只接受比特幣交易。</p> <p>除此之外，Check Point也注意到11月起，隨著疫苗試用的正面消息出現與即將問世，包含vaccine這個字的網域名稱遭人大量註冊（1,062個），其中的400網域名稱同時包含了covid或corona的字樣，這裡面有6個網站被判定為可疑。</p> <p>12月初，正當英國政府批准輝瑞疫苗上市之際，歐洲刑警組織也發布早期預警公告，提醒大眾注意暗網（Darknet），有人張貼假疫苗的廣告。雖然這類訊息數量有限，但隨著合法疫苗變得普及，Check Point認為，假疫苗的廣告屆時有可能會增加，到了最終測試階段，網路犯罪份子還會冒用真正藥廠的品牌，販售假疫苗。</p> </div></div></div>
2021/1/11 09:45作者李宗翰https://www.ithome.com.tw/news/142111
一周大事：臺灣開放銀行第二階段起跑，讓電信產業也能正式跨足金融
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>臺灣正式邁向開放銀行第二階段</strong></span></p> <p>金管會在2020年最後一天宣布，臺灣開放銀行邁向第二階段「消費者資訊查詢」業務，主要開放內容包括申請金融帳戶等相關金融往來資訊。未來，消費者可在第三方服務提供者（TSP）的App，透過相關身分認證及授權同意程序後，即可在TSP業者的App查詢銀行存款帳戶餘額，以及交易明細等資訊。</p> <p>金管會首波同意了兩組合作模式，辦理開放銀行第二階段業務。其中一組的TSP業者為臺灣集中保管結算所，合作對象為華南銀行、元大銀行、中國信託銀行、兆豐銀行、第一銀行及國泰世華銀行等6家銀行。另一組的TSP業者則是遠傳電信，合作對象為遠東銀行。這二組TSP業者已完成上線前測試，待相關程序完備後，服務便能正式上線。<a href="https://www.ithome.com.tw/news/141991" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>合勤網路與資安設備含程式碼寫死漏洞，快更新韌體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%90%88%E5%8B%A4CVE-2020-29583.png" style="width: 500px;" /></p> <p>荷蘭資安業者Eye Control在研究合勤防火牆裝置 Zyxel USG40時，於它的4.60韌體中發現了一個名為zyfwp的使用者帳號，以及一個無法修改（寫死）的明文密碼，還發現此一帳號同時適用於SSH與網頁介面。</p> <p>此一含有漏洞的韌體同時支援ATP、USG、USG FLEX與VPN系列的防火牆，以及NXC2500及NXC5500兩款AP控制器。</p> <p>在獲得Eye Control的通報之後，合勤於去年12月中陸續修補此一編號為CVE-2020-29583的安全漏洞。本文發布前已修補4個系列的防火牆產品，至於另外兩個AP控制器的修補程式，官方預計於1月8日提供。<a href="https://www.ithome.com.tw/news/142021" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>台灣大哥大Amazing A32手機遭植惡意程式，用戶恐淪詐騙人頭帳戶</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-%E5%8F%B0%E5%93%A5%E5%A4%A7amazing%2032.png" style="width: 500px;" /></p> <p>由台灣大哥大推出的一款自有品牌手機「Amazing A32」，在去年下半被刑事警察局發現，手機生產製程階段被暗中植入了惡意程式，使得詐騙集團可將用戶門號作為遊戲點數詐騙的人頭帳號，並且已有多位無辜民眾因此收到全臺地檢署通知單，案由為詐欺。這起事件，最近有了一些新的結果。<a href="https://www.ithome.com.tw/news/142100" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>食藥署研擬鬆綁AI智慧醫材軟體上市前驗證流程</strong></span></p> <p>配合即將上路的醫材新法，食藥署將研訂新指引和原則，來簡化智慧醫材產品上市前的驗證流程，並考慮讓符合特定情況者免提申請。食藥署也準備成立專案辦公室，來協助產業因應將上路的新法，快速推出產品，並推動醫療業與其他產業的跨域整合。<a href="https://www.ithome.com.tw/news/142045" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Linux之父呼籲製造商應重視記憶體ECC技術</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Linux%E4%B9%8B%E7%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_TFiR.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／TFiR</span></p> <p>近期Linus Torvald與資深程式設計師，討論AMD與英特爾多核心處理器的效能與價格時，提到了他對修正錯誤記憶體（Error-Correcting Code memory，ECC）的看法。Torvald認為ECC技術非常重要，能夠預防DRAM發生Rowhammer錯誤，但是英特爾的市場策略，幾乎扼殺了整個ECC產業。<a href="https://www.ithome.com.tw/news/142024" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>新版Rust開始對Arm Linux裝置提供一級支援</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Rust.png" style="width: 400px;" /></p> <p>Rust 1.49版本強化Arm平臺的支援，64位元Arm Linux進入第一級支援，64位元Arm macOS和Windows，則達到第二級支援。<a href="https://www.ithome.com.tw/news/142027" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Alphabet員工成立工會，抵制高層不當決策</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Google%E5%B7%A5%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Alphabet%20Workers%20Union.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_ Alphabet Workers Union</span></p> <p>近年針對公司優待性騷擾員工的高階主管，以及簽署不道德的政府合約等事件提出抗爭後，Alphabet和Google員工正式籌組工會，以持續對公司不當政策提出糾正。<a href="https://www.ithome.com.tw/news/142038" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google實驗從IG、Tiktok搜影片的功能</strong></span></p> <p>Google悄悄實驗在搜尋服務中，加入從IG、Tiktok等外部短影片社交平臺爬影片的功能。這項功能和Android版Google Discover當中的Short Videos服務有關。<a href="https://www.ithome.com.tw/news/142004" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>COVID-19追蹤資料庫竟成新加坡警察犯罪調查工具</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_TraceTogether_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20GovTech%20of%20Singapore.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／GovTech of Singapore</span></p> <p>新加坡有高達8成民眾採用官方COVID-19追蹤程式TraceTogether，是全球COVID-19追蹤機制密度最高的國家之一。該國政府決定將TraceTogether蒐集到的民眾個資，提供警方進行犯罪調查。<a href="https://www.ithome.com.tw/news/142040" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google reCAPTCHA v2語音驗證又被破解了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_reCAPTCHA%20v2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Nikolai%20Tschacher(1).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Nikolai Tschacher</span></p> <p>美國馬里蘭大學研究團隊在2019年釋出unCAPTCHA 2.0，以破解Google reCAPTCHA v2專供盲人使用的語音驗證，即便Google已著手修補，但近日一名電腦科學研究人員，則以unCAPTCHA 2.0為基礎，並利用Google的Speech-to-Text API，再度破解reCAPTCHA v2語音驗證，同時相信該開採程式也適用reCAPTCHA v3。<a href="https://www.ithome.com.tw/news/142041" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>阿聯酋區塊鏈新創發表第一個區塊鏈公證服務</strong></span></p> <p>由阿聯酋MBRIF新創基金扶植的JustChain，推出第一個區塊鏈公證平臺NotaryChain，以區塊鏈分散式帳本技術，對法律文件諸如授權書、結婚證書或是合約等，提供公證力。強調能從任何位置對數位檔案進行公證，以提高公證人作業效率，在以企業級區塊鏈平臺的基礎之上，具有防篡改特性。<a href="https://www.ithome.com.tw/news/142042" target="_blank">更多內容</a></p> </div></div></div>
2021/1/10 07:00未署名https://www.ithome.com.tw/news/142130
針對合勤韌體出現寫死的高權限帳密，傳出駭客已用來嘗試存取網路設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭資安廠商在2020年12月23日，揭露合勤網路與資安設備的韌體，存在一組高權限的帳號，以及被寫死的密碼，這項漏洞以CVE-2020-29583列管。但在不到半個月內，2021年1月5日<a href="https://twitter.com/GreyNoiseIO/status/1346167640717471754">威脅情報公司GreyNoise發現</a>，有駭客在網路上鎖定開放SSH連線的設備進行掃描，並利用多組帳號密碼嘗試存取，而其中一組就是合勤這組高權限的帳密。如果受影響的使用者沒有修補上述漏洞，很有可能就會成為被這些駭客盯上的攻擊目標。</p> <p>為何CVE-2020-29583受到高度重視？這項漏洞存在於2020年底才推出的韌體ZLD 4.60，當中含有具有管理者權限的使用者帳號zyfwp，以及無法修改（寫死）的明文密碼。此漏洞影響該公司旗下的多款產品線，合勤也自12月底推出修補程式。</p> <p>但在這項漏洞被揭露不久，GreyNoise指出，他們在1月5日發現至少3個不同的IP位址，正在積極掃描可透過SSH連線存取的網路設備，而且嘗試使用許多帳號密碼組合，其中一組就是前述合勤韌體中出現的高權限帳號，測試能否成功存取目標裝置。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">GreyNoise is observing both opportunistic exploitation of the newly discovered Zyxel USG SSH Backdoor and crawling of SOHO Routers. Tags available for all users via the GreyNoise web interface and API now.</p> <p>hat tip <a href="https://twitter.com/nathanqthai?ref_src=twsrc%5Etfw">@nathanqthai</a> & <a href="https://twitter.com/ackmage?ref_src=twsrc%5Etfw">@ackmage</a> <a href="https://t.co/UgX7dOoHVs">https://t.co/UgX7dOoHVs</a> <a href="https://t.co/p8zIubXdzL">pic.twitter.com/p8zIubXdzL</a></p> <p>— GreyNoise (@GreyNoiseIO) <a href="https://twitter.com/GreyNoiseIO/status/1346167640717471754?ref_src=twsrc%5Etfw">January 4, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>對於攻擊者的手法，嚴格來說，不是直接鎖定合勤的設備而來。GreyNoise執行長Andrew Morris<a href="https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-the-new-backdoor-in-zyxel-devices/">向Bleeping Computer說明</a>，此波攻擊行動中，駭客並非只針對合勤的設備而來，而是掃描網路上開啟SSH協定的設備，一旦偵測該裝置到可透過SSH存取，攻擊者就會嘗試藉由暴力破解來掌控裝置，而其中一組被運用的帳號密碼，就是存在於前述合勤設備漏洞的zyfwp。</p> <p>附帶一提的是，其中一個被發現大肆掃描的IP位址，駭客運用了Cobalt Strike內建的SSH用戶端軟體來進行，Andrew Morris表示，這可能是攻擊者想要規避威脅情報廠商偵測的手法。</p> <p>關於CVE-2020-29583漏洞的情況，根據兆勤提供給我們的資料，在1月5日，全球尚有約9千臺防火牆設備受到影響，其中臺灣有122臺；而到了1月6日，臺灣仍有76臺受到影響的設備。但上述在暴力破解攻擊的過程中，駭客納入此次漏洞出現的帳號資料，造成的影響為何？恐怕有待日後的觀察。</p> </div></div></div>
2021/1/8 15:02作者周峻佑https://www.ithome.com.tw/news/142113
Firefox 85將以ECH取代加密SNI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla在2年前，宣布於Firefox Nightly加入加密伺服器名稱指示（Encrypted Server Name Indication，ESNI）實驗性擴充功能，以保護用戶隱私，但是經研究發現，ESNI並無法提供完整的保護，因此Firefox 85將改變作法，透過加密整個客戶端Hello訊息，來解決ESNI的缺點，而<a href="http://blog.mozilla.org/security/2021/01/07/encrypted-client-hello-the-future-of-esni-in-firefox/" target="_blank">這個新作法稱作</a><a href="https://blog.mozilla.org/security/2021/01/07/encrypted-client-hello-the-future-of-esni-in-firefox/">ECH</a><a href="http://blog.mozilla.org/security/2021/01/07/encrypted-client-hello-the-future-of-esni-in-firefox/" target="_blank">（Encrypted Client Hello）</a>。</p> <p>ESNI的出現，是為了要解決主機名稱洩漏的問題，伺服器名稱指示（Server Name Indication，SNI）是TLS的一個擴充協定，該協定會在交握過程開始時，由客戶端在TLS Client Hello訊息中，以明文傳送要連接的伺服器主機名稱，以連接到特定伺服器，並選擇使用的憑證。SNI協定是要讓伺服器，在相同的IP位置和TCP埠號上，能夠使用多個憑證，以便讓相同的IP位置上，不只可提供多個HTTPS網站，且可以使用不同的憑證。</p> <p>SNI存在隱私疑慮，會有類似DNS隱私洩露的問題，因此Mozilla等組織共同開發了ESNI，為的就是避免在TLS交握時，導致主機名稱洩漏，提供像是HTTP-over-HTTPS，避免DNS查詢向路徑上觀察者，公開主機名稱相似的功能。</p> <p>不過，在IETF發布ESNI規格草案後，經過分析顯示，ESNI擴充提供了不完整的保護，像是在對話恢復期間，預共享的金鑰（Pre-Shared Key）擴充，仍會包含ESNI加密的伺服器主機名稱，也就是說ESNI必須為所有具有潛在隱私風險的擴充，提供加密變體，但這反而暴露出一系列廣播的擴充。這個原因使得ESNI的互相操作性以及部署受到挑戰，因而無法擴展使用範圍。</p> <p>為了解決ESNI的問題，在最新版本中，不只加密SNI擴充，而是加密整個客戶端的Hello訊息，因此名稱也從原本的ESNI，更改為ECH。現在任何涉及隱私，但原本被廣播為未加密ClientHelloOuter的擴充，現在可以轉為加密的ClientHelloInner，當伺服器支援ECH並且解碼後，ClientHelloInner就可用做TLS連接基礎。另外，ECH也更改了金鑰分派與加密過程，支援ECH的TLS伺服器，可透過HTTPSSVC DNS紀錄，公開其公鑰。</p> <p>Mozilla、Cloudflare、Fastly和蘋果開發者合作，在IETF中標準化加密客戶端Hello規格，而從 Firefox 85開始，ECH草案將會取代ESNI，about:config中ESNI相關選項也會被移除，官方建議用戶可以在Firefox預設啟用ECH時，才開始使用該功能，但用戶仍可以手動開啟相關設定，不過因為ECH現在還在開發中，且ECH要求客戶端與伺服器必須使用相同版本，因此其中一方版本變更，便會影響可用性。目前Firefox ESR將繼續支援舊的ESNI功能。</p> </div></div></div>
2021/1/8 16:20作者李建興https://www.ithome.com.tw/news/142119
自家軟體被指是駭客攻入SolarWinds產品破口，JetBrains否認
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多家國際媒體報導，去年12月底發現的SolarWinds供應鏈攻擊，可能和該公司使用的開發管理軟體TeamCity有關。不過消息遭TeamCity的開發商JetBrains否認。</p> <p>JetBrains是由俄羅斯人在捷克布拉格成立的軟體公司。它的TeamCity為知名CI/CD(continuous integration/continuous deployment)平臺，全球擁有數萬家客戶，包括SolarWinds。TeamCity是用於自動化開發、測試和部署軟體，目前只有本地部署版，表示用戶要自行安裝、組態和維護，包括安全及存取設定。</p> <p><a href="https://www.nytimes.com/2021/01/06/us/politics/russia-cyber-hack.html" target="_blank">紐約時報</a>及<a href="https://www.wsj.com/articles/solarwinds-hack-breached-justice-department-systems-11609958761" target="_blank">華爾街日報</a>本周分別引述和SolarWinds調查有關的消息人士報導，承辦SolarWinds案的調查官員正在調查，駭客是否利用這家公司的TeamCity軟體，在SolarWinds等客戶軟體內植入後門程式，進而引發後續感染美國政府及許多企業的災難，消息人士並指，SolarWinds中的TeamCity伺服器存在數個重大風險漏洞。<a href="https://mobile.reuters.com/article/amp/idUSKBN29B2RR" target="_blank">路透社</a>則報導，美國聯邦調查局（FBI）啟動類似的調查。</p> <p>不過這些臆測遭到JetBrains的否認。<a href="https://blog.jetbrains.com/blog/2021/01/06/statement-on-the-story-from-the-new-york-times-regarding-jetbrains-and-solarwinds/" target="_blank">該公司執行長Maxim Shafirov表示</a>，SolarWinds從未就攻擊一事聯繫他們，且公司也沒有接到任何政府或安全機關針對此事的聯繫，也不聽說有任何調查。</p> <p>Shafirov指出，TeamCity是相當複雜的產品，需要適當組態。如果TeamCity有任何被利用的情形，也會是出自組態不當，而非特定漏洞。而且若有漏洞，該公司也會定期發布安全公告通知及發布軟體更新。</p> <p><a href="https://blog.jetbrains.com/blog/2021/01/07/an-update-on-solarwinds/" target="_blank">在新版聲明中</a>，Shafirov指出，TeamCity只是SolarWinds開發過程使用的眾多工具之一。他也引述SolarWinds發言人證明，經過檢查，TeamCity和攻擊事件無關。</p> <p>但JetBrains表示，如果真的政府對他們啟動調查，他們也會全力配合。</p> <p>SolarWinds攻擊風波愈燒愈大，<a href="https://www.ithome.com.tw/news/142055" target="_blank">美國政府本周宣布</a>這波攻擊背後「可能是」和俄羅斯政府有關的駭客組織。政府單位的受害者名單除了財政部、商務部外，<a href="https://www.ithome.com.tw/news/142086" target="_blank">司法部也證實</a>駭客駭入該單位的Office 365，並可能存取了3%的郵件帳號。</p> </div></div></div>
2021/1/8 15:53作者林妍溱https://www.ithome.com.tw/news/142121
紅帽準備買下容器安全平臺StackRox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/about/press-releases/red-hat-acquire-kubernetes-native-security-leader-stackrox?sc_cid=701f2000000tyBjAAI" target="_blank">開源解決方案供應商紅帽（Red Hat）7日宣布</a>，打算收購專門提供容器與Kubernetes威脅偵測服務的新創業者StackRox，將StackRox的技術整合到紅帽的企業Kubernetes平臺OpenShift上，還計畫建立一個統一的平臺，以讓使用者能夠建置、部署及安全執行可於混合雲端上運作的任何應用，雙方預計於今年第一季完成交易。</p> <p>紅帽表示，Kubernetes為全球成長最快的開源專案之一，它是許多雲端原生應用的基礎，亦為數位轉型的核心，儘管有愈來愈多的生產環境採用容器與Kubernetes，但仍存在著安全上的挑戰，為了解決有關容器與Kubernetes應用的安全、監控、資料管理及網路問題，企業需要相關的解決方案來確保現代任務的安全性。</p> <p>2014年成立的StackRo定位為Kubernetes原生安全平臺，其軟體藉由在Kubernetes叢集架構中直接部署執行元件並蒐集資料，提供所有Kubernetes叢集的可見性，減少了導入安全所需的精力，簡化安全分析、調查及緩解程序。</p> <p>StackRox原本即支援各種環境，涵蓋AWS、Azure、Docker、GCP、OpenShift、Pivotal Container Service、Rancher及聯邦機構等。紅帽除了承諾仍將讓StackRox支援OpenShift以外的環境，未來也將開源StackRox技術。</p> </div></div></div>
2021/1/8 16:01作者陳曉莉https://www.ithome.com.tw/news/142124
BBVA準備關閉純網路銀行Simple
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙外換銀行（BBVA）本周宣布，<a href="https://www.oregonlive.com/silicon-forest/2021/01/simple-portland-online-banker-is-shutting-down.html" target="_blank">即將關閉於2014年收購的純網路銀行Simple，並將Simple的帳戶轉至準備賣給PNC金融服務集團的BBVA USA</a>。</p> <p>Simple為一2009年在美國創立的純網路銀行，它沒有任何實體銀行，用戶可透過網站、行動程式或簽帳卡進行交易，並以高存款利率吸引用戶。不過，它在2014年以1.17億美元賣給了歐洲的知名銀行BBVA。</p> <p>另一方面，BBVA在去年11月與PNC簽署了併購協議，將把美國業務BBVA USA賣給PNC，此一交易也包括了Simple。</p> <p>根據BBVA的聲明，Simple存款原本就是由BBVA USA保管，因此未來Simple帳戶將會直接轉成BBVA USA帳戶，並將與BBVA USA一起併入PNC之後。目前BBVA尚未公布關閉Simple的確切日期。</p> </div></div></div>
2021/1/8 16:15作者陳曉莉https://www.ithome.com.tw/news/142128
SolarWinds遭駭事件讓聯邦法院機密文件的存放回歸傳統：紙本文件或隨身碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uscourts.gov/news/2021/01/06/judiciary-addresses-cybersecurity-breach-extra-safeguards-protect-sensitive-court" target="_blank">美國法院管理辦公室（USCourts）周三（1/6）宣布</a>，為了因應SolarWinds產品遭駭事件，美國所有的聯邦法院即日起都將採用新的安全措施，未來提交給法院的機密文件，都只能透過紙本格式或是隨身碟等安全裝置傳遞，而且會存放在獨立的電腦系統上，不再上傳至司法機關的案件管理系統暨電子案件檔案系統（Case Management/Electronic Case Files system，CM/ECF）上。</p> <p>雖然USCourts沒有明確表示是否被危害，但<a href="https://www.wsj.com/articles/federal-judiciarys-systems-likely-breached-in-solarwinds-hack-11610040175?mod=djemalertNEWS" target="_blank">華爾街日報則認為</a>，美國聯邦司法系統可能已經遭到滲透SolarWinds產品的駭客入侵。</p> <p>USCourts說，在<a href="https://www.ithome.com.tw/news/141666" target="_blank">CISA於12月中發布</a>有關SolarWinds Orion漏洞的緊急指令之後，美國司法機構即停用了所有聯邦與地方法院的Orion系統，且法院行政辦公室亦與國土安全部展開密切的合作，稽核在CM/ECF上的相關漏洞，因為此一系統內含了高度機密的非公開文件，特別是密封文件，目前正在調查這些漏洞對CM/ECF所造成的明顯危害。</p> <p>儘管已經停用了有漏洞的SolarWinds Orion系統並展開調查，但USCourts還是祭出了新的安全措施，包括各聯邦法院將只接受紙本或透過諸如隨身碟等安全電子裝置，所提交的高度機密文件，而且它們會被存放在安全而且獨立的電腦系統上，也不再將它們上傳至CM/ECF。</p> </div></div></div>
2021/1/8 14:48作者陳曉莉https://www.ithome.com.tw/news/142110
FBI警告企業Egregor勒索軟體來襲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://assets.documentcloud.org/documents/20444693/fbi-pin-egregor-ransomware-bc-01062021.pdf" target="_blank">美國聯邦調查局（FBI）昨（7）日發出公告</a>，要企業當心勒索軟體Egregor正在網路擴散以入侵企業網路。</p> <p>Egregor是在<a href="https://www.ithome.com.tw/news/140826" target="_blank">去年Maze宣佈退出江湖</a>後，接手其攻擊程式等資產而興起。FBI發出的TLP:White「私人企業通知」（Private Industry Notification，PIN）指出，從2020年9月FBI首度觀測到Egregor以來，全球已經有超過150家企業遭到Egregor變種攻擊的消息。</p> <p>FBI觀測到Egregor是一種「勒索軟體即服務」的服務模式，供歹徒訂閱發動攻擊。Egregor使用多種不同機制駭入企業，包括發送具惡意附件的釣魚信件到員工個人帳號，或是開採遠端桌面協定（RDP）或VPN漏洞駭入企業網路。而進入公司網路後，攻擊者也可能利用Egregor的RDP開採能力。</p> <p>當Egregor成功存取企業網路後，會使用常見的滲透測試法及工具，像是CobaltStrike、Qakbot/Qbot、IP 掃瞄工具和AdFind等，以擴張權限並在內部網路橫向移動。加密企業重要檔案的同時，Egregor也會利用同步軟體Rclone及7zip等工具，有時也會偽裝成svchost行程將資料竊取傳送出去。而且它還經常利用受害者機器的列印功能，把勒索訊息列印出來。</p> <p>FBI要求，企業不論拒絕或同意支付贖金，都務必通報警方。FBI也提供了防範Egregor的指引，包括修補對外的遠端存取應用的相關漏洞，尤其是RDP漏洞，包括CVE-2020-0609、CVE-2020-0610、CVE-2020-16896、 CVE-2019-1489、CVE-2019-1225、CVE-2019-1224、CVE-2019-1108。</p> <p>此外，企業除了資料備份、定期更新防毒軟體、要求員工不得點選來路不明的郵件附件或連結等基本知識外，IT管理員也應限制RDP存取權限，並檢查公司網路上是否有可疑的.bat、dll檔，.log檔，或是對外連線程式等。</p> </div></div></div>
2021/1/8 13:25作者林妍溱https://www.ithome.com.tw/news/142108
臉書：和Luxottica合作的智慧眼鏡今年內問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.fb.com/no-looking-back/" target="_blank">臉書主管昨日表示</a>，和Luxottica合作的智慧眼鏡將在2021年公開和世人見面。</p> <p><a href="https://www.ithome.com.tw/news/133133" target="_blank">2019年臉書與知名眼鏡品牌「雷朋」（Ray-Ban）的母公司Luxottica合作</a>，由Facebook Reality Labs與Luxottica共同打造擴增實境（AR）眼鏡。這副眼鏡結合臉書App及AR軟硬體技術，以及Luxottica的眼鏡設計和鏡片製造技術。</p> <p>臉書Reality Labs主管Andrew Bosworth報告2021年的預定事項時，指出「差不多」（sooner than later）可以公開展示了。他並未說明這副眼鏡的上市時間。</p> <p>不過按照<a href="https://www.ithome.com.tw/news/140039" target="_blank">去年臉書執行長Mark Zuckeberg的說法</a>，應該也會在今年內推出，臉書並會在推出前公布產品規格、軟體功能、價格等細節。</p> <p>同時間，為了提供AR應用，臉書也需要招募第三方App開發人員。臉書的AR特效開發平臺 Spark AR，公開在Instagram上使用一年多後，目前已經有40萬名創作者，創造出社交互動應用，例如即時影像通話或購物等。Bosworth表示，目前他們著重在地點及實地放大等面向，以提供真正的AR眼鏡，也會設定清楚的隱私規範。</p> <p>除了AR，Bosworth也談到虛擬實境（VR）產品的計畫。他表示，去年許多人使用智慧顯示器Portal遠端聯繫及協同工作，今年臉書計畫為Portal擴增VR功能以支援企業協同及生產力。</p> </div></div></div>
2021/1/8 12:53作者林妍溱https://www.ithome.com.tw/news/142106
川普支持者暴動事件曝露美國國會資安威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三（1/7）有數百名的川普（Donlad Trump）支持者衝進了美國的國會大廈，而讓國會議員倉皇離開，其中，有一名記者Elijah Schaffer進入了美國眾議院議長Nancy Pelosi的辦公室，發現她的桌上型電腦沒關，也未登出，而美國參議員Jeff Merkley 則說，他放在辦公室桌上的筆電不見了，而讓外界開始討論其潛藏的資安危機。</p> <p>根據外電報導，若要在美國國會大廈中存取機密文件，必須進入一個位於保護區域內的辦公室才行，因此，不管是Pelosi的桌機或是Merkley的筆電，理論上都未含有國會的機密文件。</p> <p><a href="https://arstechnica.com/tech-policy/2021/01/pro-trump-reporter-gloats-over-access-to-fleeing-hill-staffers-computer/" target="_blank">Ars Technica認為</a>，雖然可存取機密資訊的國會員工都在撤離前就已登出，但在國會大廈中工作的數千名人士的電腦中，難保沒有任何重要資料。</p> <p><a href="https://www.nextgov.com/cybersecurity/2021/01/capitol-riot-opens-congress-potential-it-compromise/171258/" target="_blank">先前曾管理國會IT事務的Daniel Schuman則向Nextgov透露</a>，一般重要的電腦都會預設自動鎖住時間，缺乏這類資安機制的電腦，可能存放重要資料的機率也較低。此外，國會大廈平常經常招待外賓或訪客，因此，這些電腦也會在半控制的環境中對外公開，亦通常較無重要資料。</p> <p>也有人擔心也許有間諜趁亂冒充為川普支持者，進入國會並於電腦上安裝惡意程式。不過，駭客要入侵美國聯邦機構或重要政府人物的電腦，其實只要藉由網路就行，並不一定要實際存取。</p> </div></div></div>
2021/1/8 13:14作者陳曉莉https://www.ithome.com.tw/news/142107
Python第4度拿下TIOBE年度程式語言獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TIOBE發布了2021年1月的<a href="https://www.tiobe.com/tiobe-index/">熱門程式語言排名</a>，並且回顧了2020年程式語言的交替變化。TIOBE執行長Paul Jansen提到，Python在2020年TIOBE Index成長了2.01％，為所有語言之冠，拿下了TIOBE年度程式語言獎第一名，其他得獎的語言還有C，在2020年成長了1.66％，接著還有Groovy以及R，分別成長1.23％以及1.10％。</p> <p>Python近年表現亮眼，從早期作為Perl的競爭對手，被系統管理員用來編寫腳本，到如今已成為資料科學和機器學習領域中，最受歡迎的語言，同時也被大量用在網頁以及後端開發上，並向行動應用程式，以及嵌入式系統開發擴張。</p> <p>Python這幾年持續挑戰Java第2名的位置，Paul Jansen表示，Python很快就會取代Java，並且永久交換位置，開發者採用Python的兩大原因，無非是容易學習且高生產率，而這兩特質對於程式設計供不應求的現況非常重要。</p> <p>至於Python會不會威脅到C，取代其第1名的地位，Paul Jansen則認為，目前還很難說，因為C的效能是Python難以提供的優勢，Python要在TIOBE取代C，官方預計可能還需要好幾年的時間，至少近期不會發生劇烈改變。</p> <p>除了Python和Java的第2名戰爭，2020年TIOBE指標的重要事件，還有C打敗Java重回第一名的位置，Java在一年之間，TIOBE Index分數少了將近5％。而前20名程式語言的狀況，統計愛用語言R從第18名往上爬到第9名，主要用於CI/CD工具Jenkins腳本撰寫的語言Groovy，則從第23名爬到第10名。</p> <p>2020年COVID-19全球疫情，大大影響了程式語言的排名，不只是Python，還有C以及R。由於C和C++被大量應用在醫療器材軟體開發上，因此疫情爆發使得C和C++都向上成長，尤其是C更是超過持續5年第一名的Java，且因為全球大學和研究機構，致力開發COVID-19疫苗的關係，也帶動了統計和資料探勘需求，讓容易學習和使用的Python與R，受歡迎程度上升。</p> <p>另外，程式語言新興黑馬非Julia莫屬，在過去12個月，從47名大躍進到了23名，官方提到，Dart跟Rust也都是受到大量關注的語言，雖然兩者都曾進入前20名，但是終究停留不久。</p> </div></div></div>
2021/1/8 11:00作者李建興https://www.ithome.com.tw/news/142099
微軟AI模型在SuperGLUE基準超越人類位居排行榜第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/microsoft-deberta-surpasses-human-performance-on-the-superglue-benchmark/">微軟的DeBERTa模型</a>在SuperGLUE基準中，超過了人類基準線的89.9分，以90.3分成為<a href="https://super.gluebenchmark.com/leaderboard/">SuperGLUE排行榜</a>的第一名。SuperGLUE是2019年，臉書人工智慧研究院、Google DeepMind、華盛頓大學和紐約大學共同推出的一系列基準任務，用來衡量現代高效能語言理解人工智慧的能力。</p> <p>DeBERTa是一種變換（Transformer）神經語言模型，使用自我監督式學習技術，以大量原始文字資料進行預訓練，與其他預訓練語言模型一樣，DeBERTa目的在於學習通用語言表達形式，用來解決各種自然語言理解任務。</p> <p>由於對話式人工智慧深度學習模型已發展到一定的程度，過去的基準測試被認為不敷使用。紐約大學、華盛頓大學和DeepMind在2018年的時候，發布通用語言理解評估（GLUE）基準，來評估模型的語言理解程度，但是有不少自然語言處理模型，在GLUE特定任務的表現，已經遠遠超過人類，但是即便這些模型可以在GLUE超越人類，但是卻無法良好處理某些人類可以輕鬆且完美解決的問題，因此研究人員設計出SuperGLUE，來更好地評估模型能力。</p> <p>微軟提到，SuperGLUE是目前評估NLU模型最具挑戰的基準。SuperGLUE共含有8種不同任務，包括選擇合理的替代方案（COPA）的因果推理任務，模型必須在取得前提之後，從兩個可能的選擇判斷其因果關係，人類能在COPA任務簡單地達到100％精確度，但是人工智慧模型則還有許多進步空間。</p> <p>微軟舉例，當考慮到前提是「孩子對疾病免疫了」，並且提問「造成這種結果的原因？」，要求模型從「他避免暴露在疾病中」和「他使用了該疾病疫苗」中做選擇，通常人類都可以選對，但是這卻對人工智慧是很大的挑戰，因為模型必須要了解前提，才能夠正確選擇因果關係。</p> <p>而微軟最近透過更大規模地訓練DeBERTa模型，使得模型能力獲得提升，最新版本的模型擁有15億個參數48個變換層，光單個DeBERTa模型就能超越人類在SuperGLUE上的表現達到89.9，而組合DeBERTa模型更可達到90.3分，更大幅度超過人類的89.8，另外，DeBERTa模型也在GLUE基準獲得90.8分，也是排名第一。</p> <p>微軟將會對外發布這個具有15億參數的DeBERTa模型以及其程式碼，此外，該DeBERTa模型，也會整合到微軟圖靈自然語言表達模型的下一個版本Turing NLRv4中，支援微軟的各種產品。</p> <p>圖靈模型融合了多種微軟開發的語言創新技術，並且經過大規模訓練，用在Bing、Office、Dynamics和Azure認知服務等產品中，提供諸如聊天機器人、推薦、搜尋以及內容生成等人機互動任務中。</p> <p>在SuperGLUE超過人類基準的模型，不只有微軟的DeBERTa模型，還有Google大腦結合T5與Meena的語言模型，得分為90.2，分數僅差距DeBERTa分數0.1分，另一個分數也很接近人類基準的Google T5模型，也有89.3分。</p> </div></div></div>
2021/1/8 11:15作者李建興https://www.ithome.com.tw/news/142101