iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Elasticsearch和Kibana將改用SSPL和Elastic雙重授權，避免雲端廠商愛用又不回饋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.elastic.co/blog/licensing-change">Elastic</a>將更換旗下的分散式搜尋引擎Elasticsearch，以及視覺化資料探索工具Kibana所採用的授權許可，從原本的Apache 2.0轉換到SSPL（Server Side Public License）以及Elastic授權，Elasticsearch和Kibana將使用雙重授權，讓用戶依照需求選用。而這項授權變更將適用兩項產品的所有分支，預計將會於Elastic 7.11版本發布之前執行。</p> <p>在2019年時，因為AWS推Elasticsearch開放版引起原廠Elastic不滿，Elastic提到，過去三年市場不斷發展，他們發現開放原始碼企業必須要更好地保護軟體，才能維持公司利益，由於SaaS交付模式越來越受到歡迎，部分雲端服務供應商利用開源專案開發產品，卻沒有提供對等的回饋，繼續投資開源專案發展，進而傷害社群發展。</p> <p>不少維護開源專案的公司，都曾表示遭到濫用商標，並將其開源產品重新包裝，發布成受歡迎的服務，Elastic甚至指控私有程式碼，成為其他雲端服務供應商產品的開發靈感。</p> <p>不同開源公司採用了不同的策略，以保護對自由軟體的投資，其中一種方法便是修改開源授權，在保持開放性、透明性和協作性的前提下，限制部分應用，而Elastic也針對性地更改了原始碼授權許可，在不影響大多數用戶的情況下，限制雲端供應商以Elastic的軟體提供服務。</p> <p>這項變更與即將發布的Elastic 7.11版本一同到來，Elastic將Apache2.0授權許可下的Elasticsearch和Kibana程式碼，搬遷使用SSPL和Elastic授權。SSPL是由MongoDB創建的原始碼授權，目的是要保護開放原始碼，避免公有雲供應商，在沒有回饋社群的情況下，使用開源軟體開發產品。SSPL允許軟體自由不受限制地使用和修改，而限制是當軟體被作為服務供應給他人使用，則企業必須要公開修改的原始碼，以及管理層的原始碼。</p> <p>Elastic強調，這項授權變更對社群中大多數的使用者沒有影響，對Elastic Cloud或本地端的用戶都不會有任何改變，而預設發行版本也將繼續使用Elastic授權，供免費使用。</p> <p>不只Elastic，在過去Redis、CockroachDB和MongoDB等開源專案，也都不滿雲端廠商，使用其開源專案推出資料庫即服務，但又不開源修改後程式碼，也不付費取得商用授權，因此紛紛改變授權防禦。</p> <p>2018年MongoDB就將開源授權方式，由原本的AGPLv3變更為SSPL，而CockroachDB則在2019年時，以寬鬆的商業原始碼授權（Business Source License，BSL）取代Apache 2.0（Apache License version 2），阻止雲端廠商沒有購買授權許可，就以CockroachDB提供商業服務。</p> <p>不過紅帽（Red Hat）卻對SSPL持有不同的看法，認為SSPL v1並非自由軟體授權，為歧視特定用戶設計，在商業用戶間會引起恐懼、不確定性及懷疑（Fear、Uncertainty、Doubt，FUD）。</p> </div></div></div>
2021/1/15 15:55作者李建興https://www.ithome.com.tw/news/142257
臉書控告Chrome擴充程式開發商暗中搜括用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書與其愛爾蘭總部<a href="https://about.fb.com/news/2021/01/combating-scraping-by-malicious-browser-extensions/" target="_blank">Facebook Ireland近日在葡萄牙控告兩名開發者</a>，這兩名開發者經營了一家名為Oink and Stuff的公司，主要建置Chrome擴充程式，且當中有4款擴充程式暗藏間諜功能，可搜括臉書用戶的個資，包括姓名、使用者名稱、性別、關係狀況、年紀，以及其它帳號資訊。</p> <p>這4款Chrome擴充程式分別為Web for Instagram plus DM、Blue Messenger、Emoji keyboard及Green Messenger，皆已被Google自Chrome Web Store下架。</p> <p>根據臉書的調查，當使用者於瀏覽器中安裝上述任一款擴充程式時，程式中夾帶了可用來搜括瀏覽器與臉書網站資訊的程式碼，倘若使用者造訪了臉書，相關擴充程式即會開始搜括其個人資訊。臉書強調，這兩名被告並未破壞臉書的安全系統，而只是利用使用者裝置上的擴充程式來蒐集資訊。</p> <p>臉書以被告違反臉書服務條款及葡萄牙資料保護法令為由告上了法院，希望取得被告的永久禁制令，並要求被告刪除所持有的所有臉書用戶資料。</p> </div></div></div>
2021/1/15 16:18作者陳曉莉https://www.ithome.com.tw/news/142259
臺電信品牌手機遭駭事件的4大資安教訓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在台灣大哥大自有品牌Amazing A32手機帶來的資安事件中，引發許多關注，從供應鏈安全、產品安全，到SIM冒用、簡訊OTP遭攔截、詐騙遊戲點數，淺扯範圍相當廣泛。問題並不只是手機在生產製造階段就被偷偷植入惡意程式，後續，詐騙集團更是利用該手機所使用的門號，向遊戲公司申請遊戲帳號，並攔截手機用戶的簡訊OTP認證碼，以成功建立冒名的遊戲帳號，再將從其他受害者騙取的遊戲點數，儲值至這些人頭帳戶。</p> <p>因此，這一連串事件之下，其實有相當多的受害者，同時暴露出不同面向的資安議題。</p> <p>例如，被當成詐騙人頭帳戶的民眾，也就是使用Amazing A32手機並收到警方詐欺案通知書的民眾，就是手機遭植入惡議程式的主要受害者，而被詐騙集團騙取遊戲點數的民眾，也是受害者之一。</p> <p>對於台灣大哥大而言，他們自有品牌手機成為駭客下手的目標，並影響到自家用戶，因此，他們既是受害者，同時也需負起主要責任。</p> <p>到底，在Amazing A32手機遭植入惡意程式的事件中，有那些教訓值得我們警惕？</p> <p><span style="color:#B22222;"><strong>政府與業者都需加強白牌手機資安隱憂的把關</strong></span></p> <p>對於這次事件，國家通訊傳播委員會（NCC）首先點名的是，關於白牌手機的資安議題，特別是由中國廠商設計製造的白牌手機，又是以臺灣品牌對外銷售，若品牌業者自身把關不足，容易帶來風險。</p> <p>因此，NCC提出兩項因應措施，分別是：（一）行動業者自有品牌手機在大陸製造者，須符合資安標準才可販售，（二）中國品牌手機、行動業者自有品牌陸製手機，將納入年度抽測標的。</p> <p><span style="color:#B22222;"><strong>用戶平時手機使用就要注意App和上網安全</strong></span></p> <p>不過，我們也要提醒的是，就NCC的作法來看，主要是幫助增加手機出廠時的安全管控，雖然這應該是品牌商本身的責任。</p> <p>而一般民眾也必須要知道的是，還有更多是用戶自己要防範與留意的部分，例如，關於購買後的手機使用，包括上網、軟體更新或App安裝等行為，還是會面臨到同樣的風險，遭植入惡意程式。舉例來說，有新的零時差漏洞被駭客利用，或是從AppStore或Google Paly市集下載的App，雖然蘋果與Google會幫忙把關，但要知道的是，即便如此，還是有未知風險存在，若是使用者自行從其他市集或下載APK檔，風險則是會更大。</p> <p><span style="color:#B22222;"><strong>企業對合作廠商與供應鏈要加強產品資安控管</strong></span></p> <p>對於企業而言，在這次事件中，由於台灣大哥大手機在生產階段就遭植入惡意程式，意即出廠前遭駭，因此，關於產品上的安全品質管理，就成為這次事件下每個自有品牌業者關注的一大焦點。</p> <p>特別的是，這款品牌手機是台灣大哥大交由「力平國際」負責，然後又是委外，因此這起事件也提醒了所有業者，對於合作夥伴與委外供應鏈的資安管理，必須更加重視。</p> <p>目前刑事警察局研發科曾對外表示，發現該手機韌體被植入惡意程式，不過，我們尚未看到業者公布調查結果，因此無法得知攻擊者是從何管道滲透，以及如何植入惡意程式。</p> <p>另外，這起事件除了受害民眾向台灣大哥大求償，而台灣大哥大是否向力平國際求償，以及力平國際是否也向代工的中國廠商華瓏公司求償，或是這款自有品牌手機，是由台灣大哥大開規格，合作廠商僅依規格得標，因此不會有求償合作廠商的狀況，目前我們沒有看到這方面的消息。</p> <p><span style="color:#B22222;"><strong>自有品牌業者對於產品資安事件應變要主動積極</strong></span></p> <p>還有一個普遍企業關注的焦點，就是產品資安事件應變。在這次台灣大哥大的事件應變過程中，我們注意到幾個值得探討的焦點。畢竟，產品資安事件應變的積極態度，以及自我揭露必要資訊，都可能影響品牌商譽，以及消費者對業者產品的信心。</p> <p>首先，這次事件其實在2020年10月就曝光，有媒體報導刑事警察局發現台灣品牌白牌手機遭植入惡意程式，當時，台灣大哥大是否已經注意到這樣的情資，開始調查自家產品是否受影響？</p> <p>畢竟，在當時消息傳出後，台灣大哥大無論知情與否，在這將近兩個月期間，都沒有公布自己產品是否遭駭，也沒有通知用戶處理或回收手機。這是否可能導致更多受害者在這段期間遇害，如能及早通知，或許可以讓更多用戶及早因應，而且，根據近期涉入遊戲點數詐騙案並是Amazing A32手機的用戶表示，他們之前到案說明時，由於不知道問題出在手機，因此當下也沒有特別說明自己是使用這款手機，而可能延誤了辦案，或讓偵辦方以為用戶不配合。</p> <p>為此，我們曾詢問台灣大哥大何時掌握到事件相關情資，不過，他們僅表示，案情以1月6日公布的聲明稿為主，並基於遵守偵查不公開原則，所以不方便回應案情。</p> <p>另外，在1月6日台灣大哥大的聲明中，指出將召回Amazing A32手機，協助進行安全性軟體升級，然而，這樣的產品資安事件應變方式並不周延，因為並沒有顧及已受害的民眾。不過，到了1月12日，台灣大哥大再次出面向用戶致歉，將提供相關用戶必要的法律協助。因此，對於資安事件影響範圍的完全掌控，也是普遍企業要重視的面向。</p> <h1 class="rtecenter"><span style="color:#0099ff;"><strong>簡訊OTP被攔截！<br /> 是詐騙集團冒用身分主因</strong></span></h1> <p>在這次事件中，另一焦點是在簡訊OTP機制的安全議題。根據NCC指出，在產製過程被植入惡意程式的Amazing A32手機，由台灣大哥大冠名授權品牌來臺銷售，當國內民眾購買並使用手機後，攻擊者可竊取該手機所使用的門號資訊，並利用藉此向遊戲公司申請遊戲帳號。</p> <p>對於植入惡意程式的攻擊者，與詐騙集團是否相同，我們並不清楚，不過，關於詐騙的詳細流程，NCC有清楚的說明，當遊戲公司傳送遊戲認證碼簡訊到該門號時，簡訊同時回傳給詐騙集團並在本機上自動刪除，因此，詐騙集團可以攔截到的遊戲認證碼簡訊，建立人頭遊戲帳號。而當詐騙集團騙取遊戲點數時，會透過國外IP位置將點數儲值至該人頭遊戲帳號內，進而導致不知情的Amazing A32手機用戶，變成詐騙集團的人頭。</p> <p>因此，這起事件除了關注產製過程被植入惡意程式，同時也暴露了簡訊OTP被攔截的現況。由於簡訊OTP的安全議題，這幾年歐美都已在關注，包括2016年美國NIST發布的數位認證指導原則草案，以及2019年歐盟PSD2的規範，臺灣政府、企業也要持續關注這方面的議題。</p> </div></div></div>
2021/1/15 14:19作者羅正漢https://www.ithome.com.tw/news/142254
WhatsApp新服務條款引爆使用者出走潮，連全程加密的電郵App用戶也因此大增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在WhatsApp引發資料隱私疑慮後，使用戶轉向提供端到端加密的通訊軟體如Signal及Telegram。連提供端到端全程加密的電子郵件服務如ProtonMail及Tutanota的用戶數，也連帶激增。</p> <p>位於德國的Tutanota表示，從WhatsApp公佈新用戶服務及隱私條款後，Tutanota新增用戶數已經成長2倍。Tutanota共同創辦人Matthias Pfau指出，全球用戶愈來愈了解隱私的重要性，無法再容忍大型科技公司如臉書、Google的監控資本主義。</p> <p><a href="https://techcrunch.com/2021/01/14/e2e-encrypted-email-providers-also-see-sign-ups-surge-as-chat-app-users-flock-to-signal-and-telegram-in-search-of-privacy/" target="_blank">位於瑞士的全程加密Web郵件服務ProtoMail也對Techcrunch表示</a>，近幾周的登錄用戶數已成長3倍。</p> <p>Tutanota提供郵件端到端加密、釣魚郵件過濾，也支援雙因素驗證（2FA）。ProtoMail則提供全程加密，且不保留任何IP log，以防止追蹤匿名郵件帳號。兩者主要皆以提供付費商用服務為營收模式。</p> <p>WhatsApp澄清，2月8日新版本用戶條款生效後，僅影響消費者和店家的WhatsApp通訊內容，不適用於個人用戶的私訊。不過仍無法阻止用戶轉向競爭通訊服務，尤其是Signal及Telegram。</p> <p>WhatsApp共同創辦人Brian Acton在2017年離開臉書，<a href="https://www.ithome.com.tw/news/121427" target="_blank">2018年資助非營利組織Signal</a>，現為Signal董事長。<a href="https://techcrunch.com/2021/01/12/signal-brian-acton-talks-about-exploding-growth-monetization-and-whatsapp-data-sharing-outrage/" target="_blank">Acton日前接受Techcruch訪問時指出</a>，現在是Signal提供用戶另類選擇好的機會，過去三年Signal都在慢慢加溫，後來開始爆炸成長，現在「火箭已經升空」。</p> <p>Signal未公開實際用戶數，但<a href="https://www.ithome.com.tw/news/142189" target="_blank">市調公司估計</a>1月6日起五天內下載安裝次數將近750萬，而Telegram更是在三天內增加2500萬名新用戶。</p> </div></div></div>
2021/1/15 15:07作者林妍溱https://www.ithome.com.tw/news/142255
專為網路應用打造的Windows 10X曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.windowscentral.com/hands-windows-10x-single-screen-pcs" target="_blank">Windows Central</a>與<a href="https://www.theverge.com/2021/1/14/22230554/microsoft-windows-10x-leak-chrome-os-chromebooks-hands-on?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>在本周取得了接近正式版的Windows 10X，證實了它是Windows 10的精簡版，不支援舊有的Windows程式，而且只能在特定的機器上運作，其概念類似Google的Chrome OS。</p> <p>微軟是在去年5月宣布要打造Windows 10X，而且這也是微軟唯一一次公開提及Windows 10X。根據微軟的規畫，Windows 10X以靈活為本，初期鎖定單一螢幕裝置，將可協助用戶透過雲端來工作、學習或遊戲，未來也將與OEM業者合作推出雙螢幕裝置。</p> <p>Windows 10X不再採用Windows 10的動態磚（Live Tiles）設計，它的介面相對乾淨，開始功能表的重點在於提供網路或裝置上的App搜尋，使用者可拖曳App來切換位置，或是將它移到工作列上，它並不支援舊有的Win32程式，但已內建微軟替Windows 10X打造的Edge瀏覽器，此外，當使用者連至特定網站時，可直接將該站存放成桌面App，以方便存取。</p> <p>Windows 10X不僅是概念與Chrome OS相近，外界也相信微軟將會與製造商合作推出類似Chromebook的裝置，Windows Central預期首款Windows 10X裝置，可望於今年春天問世。</p> <p><a href="https://www.canalys.com/newsroom/worldwide-pc-market-Q3-2020" target="_blank">根據Canalys去年第三季的調查</a>，該季全球PC（包含平板電腦）出貨量為1.24億臺，當中Chromebook雖然只占了940萬臺，卻比前一年成長122%，為成長幅度最大的PC產品類別。</p> </div></div></div>
2021/1/15 12:35作者陳曉莉https://www.ithome.com.tw/news/142250
Google完成Fitbit收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2年後，<a href="https://blog.google/products/devices-services/fitbit-acquisition/" target="_blank">Google昨（14）日宣布</a>完成收購智慧手錶廠商Fitbit。</p> <p>創立於2007年的Fitbit從基礎的運動量測手環起家，迄今已賣出1.2億個健康手環。近年Fitbit推出各種進階健康量測手錶及軟體，包括可測心律不整的Fitbit Sense、以及量測長期運動狀態的Active Zone Minutes、可顯示心率變異率、血氧及呼吸率的Health Metrics，以及個人化健身內容及分析服務Fitbit Premium等。</p> <p>Google裝置暨服務部門資深副總裁Rick Osterloh指出，收購Fitbit後，Google將整合Fitbit的技術和產品及Google AI以及其他軟、硬體，繼續推出新的健康量測裝置及服務。</p> <p>2019年Google正式宣布以21億收購Fitbit，Fitbit擁有2900萬用戶，使這樁收購一開始就引發隱私、促成壟斷的質疑。歐盟去年年中啟動調查，Google是否會利用用戶資料庫發送個人化廣告、擠壓其他線上服務對手，或使其他App無法存取Fitbit API，及Fitbit裝置對手無法存取Android API。<a href="https://www.ithome.com.tw/news/141781" target="_blank">去年底歐盟</a>經過調查及基於Google的保證而批准這個收購案。</p> <p>昨日Osterloh特別指出會確保用戶資料隱私，強調和Fitbit的交易重點是裝置，不是資料。他重申Google在歐盟前的保證，包括會切割Fitbit和Google資料庫，並確保Android API的開放性，也允許用戶使用第三方服務來同步第三方健康App到Fitbit帳號。這些措施將全球實施。此外，Google也承諾歐盟境內不會使用Fitbit用戶資料庫，發送Google個人化健康廣告。</p> <p>Fitbit共同創辦人Eric Friedman及執行長、董事長James Park也將加入Google。</p> <p>Fitbit曾經是第一大健康穿戴裝置。不過在Apple Watch、三星及小米等業者崛起後，<a href="https://www.idc.com/promo/wearablevendor/vendor" target="_blank">根據IDC估計</a>，截至去年第三季，Fitbit市占僅剩2.6%，居全球第五。</p> </div></div></div>
2021/1/15 11:35作者林妍溱https://www.ithome.com.tw/news/142247
三星發表Galaxy S21旗艦手機系列，頂級機種要價1,200美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星（Samsung）周四（1/14）<a href="https://news.samsung.com/us/samsung-galaxy-s21-galaxy-s21-plus-unpacked-2021-make-every-day-epic/" target="_blank">發表了Galaxy S21旗艦手機系列</a>，包括6.2吋的Galaxy S21、6.7吋的Galaxy S21+，以及頂級的6.8吋Galaxy S21 Ultra ，它們最低階的機種售價分別是799.99美元、999.99美元，以及1,199.99美元，發布當天即開放預購，在美國預計於1月29日上市。</p> <p>Galaxy S21系列全都屬於5G手機，Galaxy S21與Galaxy S21+之間主要的差別，在於螢幕尺寸與電池容量，這兩款手機的相機規格是一致的，皆擁有1,000萬畫素的前方相機，後方相機則有3個鏡頭，包括1,200萬畫素的超廣角、1,200萬畫素的廣角，以及6,400萬畫素的望遠鏡頭。</p> <p>至於Galaxy S21 Ultra與上述兩款最大的差別則在於相機，它配備4,000萬畫素的前方相機，後方相機則整合了4個鏡頭，包含1,200萬畫素的超廣角，1.08億畫素的廣角，以及2個1,000萬畫素的望遠鏡頭。</p> <p>此外，頂級的Galaxy S21 Ultra額外支援了S Pen，以及最新的<a href="https://www.ithome.com.tw/news/142137" target="_blank">Wi-Fi 6E標準</a>，為全球首批支援Wi-Fi 6E的智慧型手機之一。</p> </div></div></div>
2021/1/15 11:49作者陳曉莉https://www.ithome.com.tw/news/142248
蘋果移除使自家App繞過MacOS第三方安全工具的方便門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周釋出macOS Big Sur 11.2 beta 2，移除了去年底被外界發現，可允許蘋果自家App繞過第三方防火牆、VPN等安全工具的爭議功能。</p> <p>去年10月macOS 11 Big Sur釋出不久，<a href="https://www.ithome.com.tw/news/141175" target="_blank">多名研究人員發現</a>，macOS Big Sur內建的網路功能擴充框架（Network Extension Framework）有圖利自己的嫌疑。這個擴充功能框架旨在讓第三方安全產品，像是防火牆、VPN等可用來過濾內容和網路流量，以阻擋惡意程式／流量進出系統。</p> <p>然而研究人員發現MacOS Big Sur卻在這個框架內加入一項清單ContentFilterExclusionList，使蘋果自家50多款應用程式，包括App Store、FaceTime、Apple Music、Apple Maps等可繞過這些安全機制的檢查。<a href="https://www.patreon.com/posts/46179028" target="_blank">當時包括Patrick Wardle等安全研究人員即指出</a>，這將對Mac電腦用戶帶來安全風險，像是防火牆無法過濾流量，若是駭客攻擊蘋果App，將可長驅直入Mac電腦。此外用戶以蘋果App連接VPN時，VPN無法隱藏用戶的真實IP。</p> <p><a href="https://twitter.com/patrickwardle/status/1349488392732491776" target="_blank">昨日Wardle指出</a>，在新釋出的macOS 11.2 beta 2中，蘋果決定移除這個清單，使所有App都需經過防火牆等安全產品的檢查，也能獲得VPN的掩護。</p> <p>蘋果否認這項功能是自肥。<a href="https://www.zdnet.com/article/Apple-removes-feature-that-allowed-its-Apps-to-bypass-macos-firewalls-and-vpns/" target="_blank">蘋果對ZDNet指出</a>，這個清單原本就是暫時性的，因此與其說是蘋果有什麼企圖，不如說是一隻臭蟲。不過也有安全人員指，從macOS Big Sur測試版階段就已反映這個問題，但皆不見蘋果回應。</p> </div></div></div>
2021/1/15 12:19作者林妍溱https://www.ithome.com.tw/news/142249
Sysdig：Prometheus成主要雲端應用監控工具，Docker容器用戶大縮減
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Sysdig釋出<a href="https://sysdig.com/blog/sysdig-2021-container-security-usage-report/">第4份年度容器使用報告</a>，該報告分析全球各種規模的企業用戶，其使用以及保護容器環境的情況。這份報告共分析了將近200萬個容器，並且整合來自CNCF、Docker Hub以及GitHub等公開資料。</p> <p>Sysdig提到，比起前一次調查，在建構過程就掃描容器映像檔的用戶增加，表示企業逐漸建立提早測試的觀念，而在Runtime的使用上，Docker占比大幅下降，而Containerd以及CRI-O成長率均達到200％。</p> <p>DevOps團隊開始在開發周期早期注意容器安全性，有74％的Sysdig用戶，會在建構容器映像檔的過程進行掃描，官方提到，這個步驟讓容器在真正進入生產之前，就發現有問題的映像檔。不過，企業雖然普遍知道該掃描映像檔漏洞，卻較少掃描常見的配置錯誤，有高達58％的容器都是以root身份運作，使得惡意攻擊者得以取得高權限破壞容器，更嚴重的是，Sysdig發現，即便在執行時系統偵測到有風險的配置，為了部署方便，用戶也不會停下容器。</p> <p>Sysdig點出容器在安全監控上的挑戰，由於容器的平均壽命逐年下降，大部分容器的壽命都在1周以下，49％的容器壽命少於5分鐘，甚至有高達21％的容器，存活時間不到10秒鐘，而這對安全稽核帶來很大的挑戰，許多監控工具並沒有辦法在這麼短的時間進行採樣，提供容器使用的詳細資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sysdig_2021_Container_Report-03-container_lifespans.png" style="width: 580px;" /></p> <p>在Runtime的選擇上，過去一年有不小的變化，Docker從2019年的79％下降至50％，而由Docker釋出的開源Containerd，則從原本的18％成長到了33％，在2019年發布的CRI-O，則從原本的4％增加至17％，官方提到，由於採用開放標準，因此用戶對選擇Runtime，比較不會有選錯或是遭鎖定的憂慮，而且各種平臺包括OpenShift、GKE和IKS，也都同時支援多種Runtime，友善的設計讓用戶不需要特別在開發周期中，決定要使用哪一個容器。</p> <p>在綜合計算私人與公共儲存庫，Docker註冊表目前仍是最多人使用的服務，Sysdig中目前有36％的用戶使用，而由Google雲端提供的註冊表服務也頗受Sysdig用戶歡迎，尤其是在公共雲端儲存庫，總共有26％用戶使用，Quay則是註冊表黑馬，用戶使用比例從上一次調查的14％，成長到今年24％。</p> <p>Sysdig也提到，開源Kubernetes威脅偵測引擎Falco，採用率逐年增加，企業的開發團隊開始設置政策，來偵測異常行為，並在執行時觸發安全警示，讓開發人員更易於解決未被記錄的問題。Falco的採用成長率，從前一年的252％增加到300％，在Docker Hub上已經有超過2,000萬次拉取。</p> <p>企業愛用的雲端監控平臺，非Prometheus莫屬，用戶使用比例從2018年的20％，一路成長到今年62％，而其他兩個主要解決方案，包括StatsD和JMX，用戶的使用比例皆為20％，JMX用戶消退最多，在2018年甚至還有55％。</p> <p>究竟企業都用容器來執行哪些應用？第一名跟前一次調查相同仍是Nginx，有66％的用戶使用容器來執行此網頁伺服器，令人驚訝的是Go語言，不只在去年，有14％的用戶使用容器執行Go超越Java的比例，在今年大幅成長到66％，其他前十名應用還包括PostgreSQL、Redis、JMX、Node.js、MongoDB、Elastic以及Apache網頁伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sysdig_2021_Container_Report-08-technologies.png" style="width: 580px;" /></p> <p>Sysdig根據分析用戶使用容器的方式，給出幾項建議，考量執行時可能遭遇的風險，企業應該在DevOps中整合安全性，且因為容器壽命越來越短，企業要以即時監控工具，來詳細記錄審核與取證資料，而有鑒於Prometheus已經成為雲端原生應用程式指標標準，企業必須能夠穩定地大規模部署Prometheus。</p> </div></div></div>
2021/1/15 10:00作者李建興https://www.ithome.com.tw/news/142242
VMware發布最新Tanzu Advanced助企業在雲端導入DevSecOps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化技術龍頭VMware擴展其Kubernetes解決方案Tanzu產品組合，以Tanzu Standard為基礎建構<a href="https://tanzu.vmware.com/content/blog/tanzu-advanced-generally-available-devsecops">Tanzu Advanced</a>，而Tanzu Advanced的特色功能在於提供企業應用DevSecOps的能力。</p> <p>過去DevOps的重點在於開發以及營運，透過自動化軟體交付以及變更架構，使得建構、測試和發布軟體可以更加頻繁可靠，而DevSecOps則是特別強調在DevOps中的端到端安全性共同責任，並藉助自動化工具持續整合安全性，在縮短開發生命周期的同時，還要兼顧軟體的安全性。</p> <p>Tanzu有三個版本，Basic版本讓用戶可以在雲端虛擬化平臺vSphere上執行Kubernetes，而Tanzu Standard則讓用戶可以跨雲執行並管理Kubernetes，最新發布的Tanzu Advanced要讓企業在其工作負載中，進一步擁抱DevSecOps，於現代化應用程式和基礎設施，交付安全的軟體到生產環境中運作。</p> <p>VMware強調Tanzu Advanced擁有三大特性，第一是藉由自動化容器獲取以及建置，使得開發人員能夠有更多時間進行開發工作，再來是讓營運者可以簡單地跨團隊以及雲端平臺，管理數百個Kubernetes叢集，並且跨雲監控叢集的運作狀況，第三則是提高容器環境整體安全性，包括程式碼來源驗證、自動更新，還有跨所有叢集應用一致的政策和存取控制等功能，來提高從程式碼到最終部署間的安全性。</p> <p>除了Tanzu Advanced，VMware還發布<a href="https://tanzu.vmware.com/content/blog/three-transformations-powering-app-modernization">Iris專案預覽版</a>，這是一項全新的產品，要讓企業探索和分析其應用程式組合，減少營運成本並改善維護步調。Iris專案能夠分析企業完整的應用程式組合，提供應用程式重新託管、重新平臺化甚至是進行重構等建議，使得用戶可以對每個應用程式、產品線以及資料中心，找到適合的轉型方式，像是對需要重新平臺化的應用程式來說，Iris專案能簡化Java應用程式，要轉換到Kubernetes環境中運作的工作。</p> </div></div></div>
2021/1/15 10:20作者李建興https://www.ithome.com.tw/news/142243
Google智慧家用裝置現提供訪客模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開始在其智慧家用裝置中推出<a href="https://www.blog.google/products/assistant/introducing-guest-mode/" target="_blank">訪客模式</a>，讓用戶可以簡單地控制智慧音響與顯示裝置的個人隱私，在Nest Audio和Nest Hub Max中，用戶只要說：「Hey Google, turn on Guest Mode」，之後所有用戶與Google助理的互動，就不會被儲存到用戶的帳戶中。</p> <p>在訪客模式下，用戶仍可以控制智慧家電、配置計時器和播放音樂等操作，只不過在關閉此模式之前，裝置不會顯示專屬於個人的資訊，諸如日曆條目以及聯絡人等。</p> <p>在用戶啟用訪客模式之後，裝置會播放特殊提示音，並且在顯示器上顯示訪客圖示，用戶可以隨時以語音向裝置提問「Is Guest Mode on?」，確認訪客模式啟用與否，而在開啟訪客模式之後，該模式會持續開啟直到用戶將其關閉，用戶可以使用「Hey Google, turn off Guest Mode」指令，將訪客模式關閉，回到個人化Google助理服務。</p> <p>用戶可以在家中多人共用的裝置，利用訪客模式保有隱私，讓搜尋等資料，不會出現在歷史紀錄中，或是不希望來訪的客人與裝置的互動，被儲存到用戶的私人帳戶中，也能隨時透過語音開啟和關閉訪客模式。不過，Google提到，當用戶在訪客模式下，讓Google助理與諸如Google地圖、YouTube或是其他智慧家庭服務互動時，這些服務仍可能會留存該活動紀錄。</p> <p>目前用戶可以在Google Nest音響以及顯示裝置，將語言設定為英語，就能立即開始使用訪客模式，而在接下來幾個月，Google還會在更多語言和裝置上，提供訪客模式。</p> </div></div></div>
2021/1/15 10:40作者李建興https://www.ithome.com.tw/news/142244
從節點編碼看迷宮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迷宮演算法就是為樹的每個節點編碼，同時，節點的資料結構可獨立於迷宮的外觀之外，我們也可以將節點資料轉換，對應至另一組節點資料，從而創造出各式各樣的迷宮，甚至是迷宮之外的應用。</p> <p><span style="font-size:28px;"><strong>0與1的驚奇</strong></span></p> <p>談到迷宮，最簡單的演算法應該是二元樹演算，在先前<a href="https://www.ithome.com.tw/voice/109341" target="_blank">專欄〈迷宮產生演算法之美妙〉</a>曾經談過，若是方形迷宮，只要在每個格子丟硬幣，決定要打掉上牆或右牆，就可以形成迷宮，從編碼的角度來看，每個格子只會被賦予0或1的結果，卻能產生令人驚嘆的圖樣。</p> <p>暫且離開迷宮的主題，只看0與1的賦予，或許你會想起一個古老的文字模式繪圖，每一列（row）的各個文字，是根據隨機產生的數字為奇數或偶數，顯示／或＼（正方形任一對角線），重複個幾列，就會產生類似迷宮的圖樣，你可以自己畫畫看，或者是<a href="https://bit.ly/3flmV5n" target="_blank">參考〈隨機圖樣〉中的繪圖結果</a>。</p> <p>單純地每次丟硬幣是一種編碼的方式，另一種方式是，先丟硬幣產生一組x軸的結果，再丟硬幣產生一組y軸的結果，這樣每個(x,y)交界處，就會有16個可能性，對於(x,y)為左上角的格子來說，這決定出16種牆面狀態，這可以畫出什麼圖案呢？結果也是個類似迷宮的圖樣。</p> <p>有趣的是，這其實是一種古老的日本刺繡法（hitomezashi stitching），而且，實際上，我們也不用找出16種牆面狀態，在x軸丟硬幣時，正面就接著x軸畫、由上往下畫虛線，反面就往下跳一格再畫虛線，在y軸丟硬幣時同理，只不過是往右畫虛線，<a href="https://bit.ly/36DPGG8" target="_blank">繪製的過程可以在〈hitomezashi pattern〉實際看到</a>。</p> <p>每個格子編碼對應的意義不同，就會有不同的結果，以二元樹迷宮為例，每個格子雖然只被賦予0或1，然而若將每格看成是樹節點，就代表了從上、右鄰接節點二選一作為父節點，將節點連接後的結果，就是二元樹了。</p> <p><span style="font-size:28px;"><strong>牆面與遮罩的編碼</strong></span></p> <p>二元樹演算因為只能往右或往上選擇，樹根自然就是最右上角，若用來繪製迷宮，將會產生偏差，而遞迴回溯（recursive backtracker）演算可以避免這個問題，方式是隨機地選擇未造訪的鄰接格子，打通中間的牆後造訪該格，然後重複以上過程；若遇到鄰接格子都造訪過了，退回上一格，試著找出該格未造訪的鄰接格子……將以上流程重複進行至全部格子都造訪完畢為止。</p> <p>因為每次回溯後可以在上一格再次打牆，這表示，每次選擇格子，就是在選擇子節點，最後形成的也是樹狀結構，而樹根節點就是最先選擇的節點，也因為是樹，所以，任兩個節點之間，必然只有一條路徑連通，因而可構成完美迷宮（Perfect maze）。</p> <p>就編碼的角度來看，每次可以隨機上、下、左、右前進，這表示每個節點會是四種狀態之一，若要繪製方形迷宮，只要將編碼對應至無牆、上牆、上右牆、右牆四種狀態，那麼，迷宮必定是方形嗎？當然不是！</p> <p>製造不同形狀的迷宮有多種方式，最簡單的方式是，將迷宮演算結合遮罩，原理很簡單，迷宮是一組細胞組成，事先設定某些細胞不能造訪，就可以將迷宮塑造為不同的形狀，就編碼而言，每個節點就是多了一個狀態的可能性，加上方才的牆面狀態就是有五個狀態。</p> <p>並非所有迷宮演算法都可以使用遮罩，二元樹演算就不行，理由很簡單，某個節點X的左邊若選擇打通上牆，X就不可能成為父節點，若節點X的上方有遮罩，X也不可能成為子節點，那麼，它就是個懸空的節點，不可能是二元樹的一部份；如果對遮罩的實作有興趣，可以進一步探討<a href="https://bit.ly/3kEcquU" target="_blank">〈迷宮與遮罩〉的內容</a>。</p> <p><span style="font-size:28px;"><strong>轉換編碼結果</strong></span></p> <p>若不考慮遮罩的方式，就編碼的角度來看，每次可以隨機上、下、左、右前進，這表示每個節點會是四種狀態之一，若要繪製方形迷宮，只要將編碼對應至無牆、上牆、上右牆、右牆等四種狀態，如果我們想製造不同形狀的迷宮，還可以透過編碼轉換來達成。</p> <p>例如，圓柱迷宮，單純就是將列的y座標資訊轉換為高度的z資訊，行的x座標轉換為圓的第幾段弧資訊，無牆、上牆、上右牆、右牆四種狀態不變，只要在繪製上牆部份時，改為繪製弧就可以了，也就是，迷宮演算本身不用改變，可以單純地就演算後的編碼結果，進行一對一轉換就能形成，類似的方式也可以構成多種的迷宮。</p> <p>我們如果要繪製蜂巢狀迷宮呢？這須根據行（column）為奇數行還是偶數行，將無牆、上牆各又衍生出兩種狀態，也就是細胞最後可能會有六種狀態之一。</p> <p><a href="https://bit.ly/32VtoyO" target="_blank">在〈蜂巢狀迷宮〉</a>，我們可以看到繪製方式，該文中沒有直接改變迷宮演算法的實作，只是在繪圖時針對無牆、上牆各有兩種對應的繪製方式，然而，實際上，就是將既有的編碼結果轉換為另一組編碼。</p> <p>但是，迷宮的編碼結果，不見得就是轉換為另一種迷宮的編碼。</p> <p>先來問一個問題，你知道如何走出迷宮嗎？如果是完美迷宮，最簡單的方式是沿壁法，也就是固定一隻手摸著牆壁，手不離牆面地前進，最後一定可以從入口走到出口。就道理而言很簡單，就像我先前談過的，迷宮的路徑會形成一棵樹，如果摸著牆走，等於繞著整棵樹結構畫一圈，這中間必然會通過出口。</p> <p>也就是說，你可以從迷宮的編碼結果，轉換為走出迷宮的路徑，如果是繞著整棵樹畫一圈，那就是一種哈密頓路徑（Hamiltonian path）；如果我們將迷宮的每個細胞再畫分為四等分，這個路徑必然通過畫分後的每一格，而且，每個格子並不會重複通過。若有興趣看看程式實作，了解如何實作迷宮至哈密頓路徑的轉換，<a href="https://bit.ly/3nBzdJM" target="_blank">我們可以參考〈哈密頓路徑〉</a>。</p> <p><span style="font-size:28px;"><strong>圖論的節點與邊</strong></span></p> <p>研究迷宮到底有什麼用呢？當你將迷宮的細胞資料與外形分離看待，就是僅看待細胞間如何連結，也就步入圖論（Graph theory）的範圍了，方才的哈密頓路徑已經透露出端倪了，它就是一種無向圖（undirected graph）。</p> <p>圖論是研究節點與邊的數學，可用來描述某些事物之間的某種特定關係，就社交軟體、人工智慧為熱門話題的今日而言，圖論的重要性不用多做說明，而且，各式的迷宮演算法中，有不少都跟圖論有關係，像是Kruskal、Prim演算等，只是大家先前所探討的迷宮演算，沒有為節點間的連結加上權重限制罷了。</p> <p>或者從另一個角度來看，圖論中有些演算，可以用來解決迷宮生成的問題，必要時，你也可以為迷宮間的連通加上權重考量，再來採取Kruskal、Prim這類的演算。</p> <p>若你能獨立地看待節點編碼，也就能更清楚地瞭解圖論中這些演算用於迷宮的意義，屆時就能更靈活地用來衍生更多的迷宮，或用這類演算來解決其他的問題！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%BF%B7%E5%AE%AE%E6%BC%94%E7%AE%97%E6%B3%95">迷宮演算法</a></div><div class="field-item odd"><a href="/tags/%E7%AF%80%E9%BB%9E%E7%B7%A8%E7%A2%BC">節點編碼</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/1/15 09:53作者林信良https://www.ithome.com.tw/voice/142245
假冒電商詐騙橫行，2020年「小三美日」與「讀冊生活」連續兩年名列年度高風險網購平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，165反詐騙每周公布民眾通報高風險網路賣場名單，最近2020年度前5名出爐，統計了全年解除分期付款的案件，這當中有哪些新的趨勢變化？</p> <h2><strong>國內大型網購業者首次列入年度高風險賣場</strong></h2> <p>根據刑事警察局統計，2020年度高風險賣場前五名，分別是Momo、小三美日、讀冊生活、486團購網，以及Hito本舖，他們的通報件數都超過200件，其中Momo以383件最為嚴重。</p> <p>特別的是，在最近五年來，我們首次看到國內大型網購業者入榜。自2020年4到6月期間，Momo就連續每周出現於165反詐騙公布的名單。</p> <h2><strong>有兩家網購業者連續2年都有近300件通報</strong></h2> <p>另一關注焦點，有些網購業者是每年都名列榜上，表示警方是持續接獲民眾通報，也意味著，這些網購平臺是持續存在疑似個資外洩的狀況，民眾必須多加留意。</p> <p>例如，小三美日與讀冊生活，在2020年各別有355件與293件通報，是全年第二嚴重與第三嚴重的網路賣場，而這兩家業者在2019年時，其實同樣也是高風險賣場的前五名，當時也都有將近3百件。</p> <p>更受關注的是，讀冊生活已連續三年居於年度前5名，在2017年也有374件，等於是近年來刑事警察局統計最多的高風險賣場，三年總計942件，將近千件，甚至在2020年8月初，短短一周內就有多達45件民眾通報。</p> <p>後續，對於這樣的情形，讀冊生活董事長在2020年8月中旬首度出面回應，表示公司將強化網站安全。目前，狀況看起來是有改善，我們查詢每周165反詐騙公布的高風險網路賣場，自2020年9月中旬後，讀冊生活已經不再名單之中，但仍要持續觀察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）2020年5大高風險賣場.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892020%E5%B9%B45%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.png" style="width: 500px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2019%E5%B9%B4%E4%BA%94%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 500px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020_08_13%E5%B9%B4%E4%BA%94%E5%A4%A7%E9%AB%98%E9%A2%A8%E9%9A%AA%E8%B3%A3%E5%A0%B4.jpg" style="width: 500px;" /></p> <h2><strong>近期還有哪些高風險賣場值得民眾注意？</strong></h2> <p>從近期刑事警察局公布的資訊來看，以知名網購平臺而言，在Momo之外，還有從家電團購起家的486團購網，有242件。</p> <p>另外，還有幾家網購業者，雖然不是年度最嚴重前五，但也值得留意。例如，以2020年下半165反詐騙公布的每周資訊來看，包括東森購物、金石堂網路書局、蝦皮購物、與Gomaji等，警方也都陸續接獲民眾的通報。例如：</p> <p><a href="https://165.npa.gov.tw/#/article/risk/208">2020/09/07~2020/09/13 </a></p> <p>(1)東森購物 30件 (2)FUNNOW 16件 (3)洛碁飯店 9件 (4)PAMU 7件 (5)讀冊生活 5件</p> <p><a href="https://165.npa.gov.tw/#/article/risk/217">2020/11/09~2020/11/15</a></p> <p>(1)金石堂網路書店 26件 (2)亞果元素 17件 (3)486團購網 14件 (4)東森購物 10件 (5)我愛墾丁 10件</p> <p><a href="https://165.npa.gov.tw/#/article/risk/218">2020/11/16~2020/11/22 </a></p> <p>(1)蝦皮購物 22件 (2)東森購物 17件 (3)HITO本舖 13件 (4)金石堂 8件 (5)CAMA咖啡 6件</p> <p><a href="https://165.npa.gov.tw/#/article/risk/219">2020/11/23~2020/11/29 </a></p> <p>(1)Gomaji 18件 (2)志光網路書局 16件 (3)東森購物 11件 (4)486團購網 8件 (5)蝦皮購物 7件</p> <h2><strong>議題以久，電商與消費者都不應該掉以輕心，並要知曉來電號碼可被竄改</strong></h2> <p>無論如何，對於這些疑似個資外洩的電商而言，勢必需要關注自身資安防護的強化，而刑事警察局也說明他們的因應方式，包括要求賣場業者強化資安防護措施，並於網頁置放反詐騙宣導，並將持續對該電商業者進行資安訪談，提供相關技術支援，同時要求業者加強消費者個人資料的保護。</p> <p>而對於「解除分期」的詐騙老梗，警方多年來其實已不斷宣導，但依舊有民眾上當。因此，對於消費者而言，刑事警察局也再度呼籲，應提高警覺，甚至電話中如聽到一些關鍵字，應立即掛斷電話，並通報165反詐騙諮詢專線，這些關鍵字包括：「<span style="color:#FF0000;"><strong>解除分期付款設定</strong></span>」、「<span style="color:#FF0000;"><strong>重複扣款</strong></span>」、「<strong><span style="color:#FF0000;">升級VIP</span></strong>」，以及「<strong><span style="color:#FF0000;">操作ATM</span></strong>」、「<strong><span style="color:#FF0000;">購買遊戲點數</span></strong>」、「<span style="color:#FF0000;"><strong>操作網路銀行</strong></span>」與「<span style="color:#FF0000;"><strong>訂單錯誤</strong></span>」等。</p> <p>另外我們還要提醒的是，之前刑事警察局已經提醒消費者，詐騙集團可以竄改顯示來電號碼，這樣的資訊相當重要，民眾可不要以為打來的電話與自己查詢的號碼一樣，就可以安心，務必需要知道來電號碼是可以被竄改的，不能輕信。</p> </div></div></div>
2021/1/14 18:22作者羅正漢https://www.ithome.com.tw/news/142240
Cloud周報第93期：Netflix、Line頻頻卡頓，中華電信預計APG海纜20日修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/1/07～2021/01/13）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太直達海纜 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 故障 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>APG海纜發生故障，造成連線海外網站</strong></span><strong style="font-size: 22px;">Netflix等出現卡頓</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(42).png" /></strong></p> <p>亞太直達海纜（APG）在1月9日發生故障，導致近期許多民眾連線至Netflix、Line等國外網站時，遭遇延遲現象，且搶修工作受海象影響，預計要待1月20日才可完全修復。事發當日，中華電信與凱擘均在官網公告此情況，並都表示，已緊急調度海纜支援，不過，若用戶連線美國、日本、中國、香港與新加坡的部分網站，仍可能遭遇少許延遲現象。</p> <p>對於修復日程，身為APG投資一員的中華電信進一步表示，海纜由各國業者共同參與投資與維護，且海纜深埋海底，維修是個大工程，不僅受限海象，也須依海纜船的排定時程，難掌握明確時程。至1月12日中華電信再發布公告，初估APG在本月20日前，可完成修復，但，有別事發當日對故障災情的說法，中華電信強調，「當日已緊急調度海纜，客戶完全不受影響、訊務正常。」<a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2021/0112-1155?year=2021&month=1&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7b8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7d">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠傳電信 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Tpark </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>遠傳電信啟用旗下首座Uptime Tier III認證雲端資料中心</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(58).jpg" style="width: 600px; height: 450px;" /></strong></span></p> <p>遠傳電信於1月7日正式啟用旗下首座Uptime Tier III認證的雲端資料中心，位於新北市板橋區台北遠東通訊園區內。遠傳投入數十億美元建置該新資料中心，鎖定金融證券、電商、網路、OTT服務等業者，對IDC機房的使用需求。這座雲端中心採用壁面平吹風牆設計，並搭配熱走道封閉上回風技術，來控制內部氣流方向，避免混風，是國內業界首次以該類型設計，建置機房，同時，藉由拉大機櫃空間，提高散熱效率。遠傳表示，這些做法除能確保設備順暢運轉，也兼顧能源效率。新的資料中心結合太陽能供電，並導入自然進氣冷卻系統，還有主動式智能控管機制，來提高用電效率，PUE值小於1.5。另外，機房採用三段式消防感知滅火設計，增強消防安全與防止複燃，也是國內業界機房首度使用。<a href=" https://corporate.fetnet.net/content/corp/tw/LatestNews/LatestNews_Contents.html?uuid=a260ce22-03bd-4cf5-8740-a2601c8d221b&lang=tw">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對話機器人 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟將Healthcare Bot搬上Azure，推出雲端AI醫療對話機器人服務</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(40).jpg" style="width: 600px; height: 256px;" /></strong></strong></p> <p>微軟近日宣布專為醫療照護產業打造的機器人服務Healthcare Bot，現在正式搬上Azure，轉變為Azure Health Bot，提供醫療照護組織在Azure上建置、部署AI對話服務。Healthcare Bot是微軟針對醫療照護情境需求，所打造的AI對話服務，該服務內建醫療智慧和自然語言功能，可理解臨床術語，以制定臨床和操作使用案例，並且遵守包括HIPAA等隱私規範。醫療機構的開發人員透過該服務，可存取相關醫療服務資訊，並整合電子病歷記錄，快速打造符合自家工作流程的健康照護AI助理。</p> <p>疫情爆發後，美國疾病管制與預防中心就用Healthcare Bot來建置能夠回答COVID-19、就醫等資訊的系統，而從去年開始，累計有數千個機器人是利用Healthcare Bot建置，服務25個國家、逾8千萬人，傳送了近10億條訊息。既有Healthcare Bot用戶能在不需要停機的前提下，將Healthcare Bot無縫搬遷到Azure Health Bot上，而微軟將會再支援Healthcare Bot服務至少12個月。Azure Health Bot具99.9％的SLA承諾，目前在Azure美東與西歐雲端地區提供，接下來預計會在共8個地區上線。<a href=" https://azure.microsoft.com/zh-tw/blog/introducing-azure-health-bot-an-evolution-of-microsoft-healthcare-bot-with-new-functionality/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 傳輸服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> NFS檔案系統 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AWS Transfer Family傳輸服務開始支援雲端原生NFS檔案系統EFS</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/4(23).png" style="width: 600px; height: 269px;" /></strong></span></p> <p>AWS傳輸服務Transfer Family原本僅支援檔案傳輸至S3物件儲存服務，近期增加EFS檔案系統支援，讓企業可提供業務合作夥伴，存取Amazon EFS檔案系統文件的權限。企業現可以通過Transfer Family，在既有的工作流程中使用SFTP、FTPS和FTP協定，將檔案傳輸到全託管的EFS檔案系統上，以減少自己運作系統的負擔。</p> <p>這項新功能可在VPC以及與VPC相連的環境中使用，確保第三方透過支援的協定，大規模地安全存取檔案，而且無需在意基礎設施配置。此外，企業選擇EFS作為Transfer Family伺服器的資料儲存服務時，傳輸的檔案可隨時讓EC2上執行的應用程式取用，也能支援ECS、EKS、Fargate和Lambda等服務。目前提供Transfer Family服務的AWS地區，該服務都開始支援EFS檔案系統，而企業使用EFS作為儲存後端，則按EFS用量付費，不需額外支付Transfer Family費用。<a href=" https://aws.amazon.com/blogs/aws/new-aws-transfer-family-support-for-amazon-elastic-file-system/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 身分驗證服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SLA </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟將更新身分驗證服務AD說明文件，承諾SLA提升為4個9</strong></strong></p> <p>微軟日前宣布將提高Azure身分驗證服務Active Directory（AD）的服務水準協議（SLA），從3個9提高為4個9，並於4月1日起生效。AD服務作為Azure雲端基礎設施的核心要素，是Azure服務、Microsoft 365、微軟應用等用以管理用戶身分和驗證的服務，每月有超過4億活躍用戶使用，每日處理數百億次身分驗證作業。因此，該服務每每發生故障，都會劇烈衝擊Azure多項服務、Microsoft 365等，像是去年9月的故障事件，就導致微軟美洲用戶存取多項服務的成功率僅剩17%，所以保持AD服務正常運作至關重要。</p> <p>AD服務4個9的SLA等級將涵蓋用戶身分驗證和同盟的功能，但，不包含管理功能。另外，微軟也分享了他們提升AD服務可靠性的一些作法，像是將服務調整為細密的細胞化結構，以限縮故障狀況的影響、隔離範圍。微軟還推出作為AD服務附加層的備份驗證服務，可自動地處理工作負載驗證，提供服務額外的容錯空間，並計畫在未來幾個季度內，將這個新備份保護措施整合進關鍵的應用和服務。<a href=" https://techcommunity.microsoft.com/t5/azure-active-directory-identity/99-99-uptime-for-azure-active-directory/ba-p/1999628">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 記錄檔服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google記錄檔服務Cloud Logging新增結尾記錄功能，供用戶查看即時日誌</strong></span></strong></p> <p>Google近日為記錄檔服務Cloud Logging新增結尾記錄功能，還有強化日誌搜尋功能，來讓企業從日誌數據中獲得更多的洞悉。新的結尾記錄功能模仿Linux中tail -f指令的行為，能讓用戶將日誌檔案的內容，即時顯示在控制臺中。通過新的結尾記錄功能，Google也強化了日誌檢視功能，讓用戶可以利用結尾指令，一次搜尋所有資源中的所有日誌，還可以使用Cloud Logging服務日誌查詢語言功能，搭配執行全域搜尋、正規表示式、字串比對等過濾器功能，來即時找出想查看的日誌記錄。目前Cloud Logging的結尾記錄功能為預覽版階段，開放所有用戶使用、測試。除此之外，Cloud Logging現還能讓用戶將日誌串流到Logs Explorer，直接從雲端控制臺操作日誌功能，包含串流、連結追蹤、下載、查詢等。<a href=" https://cloud.google.com/blog/products/management-tools/cloud-logging-gets-real-time-log-searching">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 叢集升級 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟將發布Azure Service Fabric安全性變更，呼籲用戶升級叢集避免服務中斷</strong></span></strong></p> <p>微軟於1月7日針對微服務平臺Azure Service Fabric用戶，除發布版本升級警報外，也於自家技術社群網站發布文章，提醒使用介於5.7至6.3.63.的Service Fabric叢集版本的用戶，必須升級叢集版本，否則使用上會受到一項將生效的服務安全性變更影響。微軟未進一步說明該安全問題的細節，僅表示，服務可支援的所有其他版本都已針對該安全問題，進行了修復，並在所有地區提供使用。這項安全性變更則將在1月19日生效，微軟建議用戶盡早採取措施，升級該服務的叢集到符合使用需求的兼容版本，否則叢集將遭遇執行中斷的狀況。<a href="https://techcommunity.microsoft.com/t5/azure-service-fabric/upgrade-azure-service-fabric-clusters-on-unsupported-versions/ba-p/2041278">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IT轉型調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>IBM調查：疫情加速雲端採用，且6成企業認為雲端需求將永久性提升</strong></span></strong></p> <p>IBM於去年年終，對380位美國與英國中大型企業的CIO和CTO，進行IT轉型現況調查，近日發布調查報告，發現近25%的受訪企業，才剛剛展開IT現代化的工程。這些企業的IT領導者有超過95％表示，他們正在尋求採用公有、混合和私有雲策略，其中，有53％正採積極推行公有雲策略，有48％發展混合雲策略，而有45％採私有雲策略。</p> <p>這個調查也發現，疫情對IT基礎架構帶來的壓力，迫使企業加速雲端基礎設施的建構，並提高對雲端技能和安全升級的需求，有超過6成的受訪者認為，他們對雲端基礎設施需求的提升，將是永久性的。但是，面對IT轉型、適應多雲環境等的挑戰，許多IT領導人不確定組織是否擁有合適的人才因應，有4成受訪者認為自家沒有足夠的技能來滿足。除此之外，美、英兩國企業所處的IT轉型現況也具顯著的差異，美國有56%的受訪者表示，他們正在積極擁抱混合雲架構，而在英國，只有38%的受訪者持積極態度推動。<a href=" https://newsroom.ibm.com/2021-01-04-IBM-Study-Majority-of-Surveyed-Companies-are-Not-Prepared-for-IT-Needs-of-the-Future-Say-U-S-and-U-K-Tech-Leaders ">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬化PC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>微軟技術文件證實新虛擬化PC應用服務Cloud PC的存在</strong></span></p> <p>去年夏天，微軟發布了1則招聘資訊提及了「Cloud PC」，提早曝光這款新桌面即服務（DaaS）的動向，當時微軟不願公開證實此消息，不過，近期微軟發布了兩篇技術文章，皆談及Cloud PC，證實了該新服務的存在。Cloud PC是以Windows虛擬桌面為基礎而發展的Azure服務，讓用戶透過Azure存取桌面應用程式。其中一份文件顯示，Cloud PC會用到Microsoft Graph圖譜搜尋技術、Azure整合及其他功能，而Microsoft Graph 1.0已經升級，加入了Cloud PC專用的API。Cloud PC API目前為預覽版，僅有少部份用戶可以使用，通過Cloud PC API，用戶可位組織中的員工，配置和管理虛擬桌面。Cloud PC將提供三種服務等級，包括中度（通用型運算）、重度（高效能的運算）及進階（企業用戶），並可能會在今年上半年推出。<a href="<br /> https://docs.microsoft.com/en-us/graph/changelog ">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 液冷技術 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>阿里巴巴揭露自家資料中心液冷技術，要降低7成能源消耗</strong></span></p> <p>阿里巴巴分享自家資料中心採用的冷卻技術和巡檢機器人，現今的狀況。位於杭州支撐自家雙11購物節流量的資料中心，採用液冷技術，將伺服器浸泡在特製的絕緣液體冷卻劑中，來快速冷卻硬碟，而無需風扇、空調等降溫設備，即可散熱，降低了超過7成的能源消耗量。並且，搭配了一套可浸泡液體冷卻劑的監控管理系統，降低了5成的故障率。</p> <p>此外，阿里巴巴升級了機房的巡檢機器人「天巡」，來到了第三代，可自動更換故障的硬碟，從巡檢、定位故障硬碟、取硬碟、更換硬碟，到為硬碟通電，全程由機器人自動化操作。阿里巴巴表示，全自動化流程大大提升了維修效率，且只需兩分鐘，即可更換完硬碟。<a href="<br /> https://www.youtube.com/watch?v=tToCyPAE6ug">（詳全文）</a></p> <p><strong>圖片來源／中華電信、遠傳電信、微軟、AWS </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. AWS商標遭中國軟體業者搶先註冊，中國法院一審判決亞馬遜不可在當地使用AWS標識</strong><a href=" https://www.wsj.com/articles/amazon-banned-from-using-aws-logo-in-china-trademark-ruling-11609841232">（詳全文）</a></p> <p><strong>2. Flexera調查：未來3年，全球逾7成SAM團隊將大幅提升對公有雲的關注度</strong><a href=" https://aws.amazon.com/about-aws/whats-new/2020/12/announcing-first-aws-wavelength-zone-in-south-korea/">（詳全文）</a></p> <p><strong>3. Google開源可用來管理API的目錄專案Registry API</strong><a href=" https://opensource.googleblog.com/2021/01/the-api-registry-api.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年1月</strong></p> </div></div></div>
2021/1/14 16:46作者黃郁芸https://www.ithome.com.tw/news/142239
Google開始在函式即服務Cloud Functions支援Ruby
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其函式即服務<a href="https://cloud.google.com/blog/products/application-development/ruby-comes-to-cloud-functions" target="_blank">Cloud Functions新增支援熱門程式語言Ruby</a>，藉由Cloud Functions框架，開發者可以撰寫可移植Ruby函式，來建構重要應用程式以及整合層。</p> <p>新的支援讓開發者可以於完全託管的Ruby 2.6或Ruby 2.7環境部署函式，並存取VPC網路中的資源。Ruby函式會根據工作負載自動縮放，用戶可以撰寫HTTP函式以回應HTTP事件，或是開發CloudEvent函式來處理各種雲端事件。</p> <p>開發者能使用適用於Ruby的Functions框架，這是一個開源的函式即服務框架，可供用來開發可移植的Ruby函式，因此開發者可以在本地端開發、測試和執行函式，之後再將其部署到Cloud Functions以及其他Ruby環境。</p> <p>Google提到，Ruby Functions框架非常適合與Ruby開發程序以及工具一同使用，而且除了撰寫函式之外，開發者還可以在不需要啟動或是模擬網頁伺服器的情況下，使用Minitest和RSpec等Ruby測試框架，來獨立測試函式。</p> </div></div></div>
2021/1/14 16:24作者李建興https://www.ithome.com.tw/news/142237
藝術是打敗人工智慧的唯一方法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0114-yin_xing_fan_gu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「人工智慧」的英文是Artificial Intelligence（AI），德文是Künstliche Intelligenz。人工智慧，實在不是一個好的翻譯，沒有把最重要的那個字「Art」或是「Kunst」翻譯出來，這個字除了「人工」以外，另外的意思就是「藝術」，機器能夠達到創造藝術的境界，才是「人工智慧」的重點，「人工」這兩字實在不是多高明的境界。</p> <p>人工智慧的核心，就是演算法，到底什麼是演算法？具體來說，就是有一個方法或規則，可以逐步推演而得到答案。用簡單的概念來說，做牛肉麵的食譜是演算法，只要按照步驟，一步步從頭執行完成，我們就可以做出牛肉麵。在製造牛肉麵的過程中，如果可以稍微調整，就能製造出不同的口味，像原味、辣味、番茄牛肉麵等等。若製造牛肉麵的目標不變，運用人工智慧，就可以產生各種不同的變化。但是，這些不同口味的做法，會因此讓人類變成機器人的奴隸嗎？這個問題沒有答案。然而，如果我們處於極度飢餓、瀕臨死亡的狀態中，沒有吃這些由機器人製造出的牛肉麵會餓死，那麼答案就是肯定的，不然就是否定。人類未來的存活關鍵，在於是否可以掌握數位時代的主控權。</p> <p>數學在歷史上，有兩大分支：幾何和代數。幾何以柏拉圖、歐基里德等人為代表性人物；而代數則由帕斯卡、萊布尼茲等人為代表等。代數其實就是演算法，例如微積分。幾何證明可以作為演算法思考運行的操作細節，例如畢達哥拉斯定理可以用來計算正三角形的斜邊。演算法的操作細節，在運行上是一個接著一個，逐步地找到問題的答案。例如柏拉圖曾經記載一個奴隸米諾（Minor）的故事，這個奴隸並不知道什麼是幾何，但是藉由和蘇格拉底的逐步討論，他能夠理解什麼是正方形和它的面積。這是一個人工智慧演算法的明顯例子，在沒有任何相關的證明、知識背景之下，利用一步一步地推衍，可以自己找到答案。人工智慧演算法根源於代數，如果人類沒有被代數所征服，假若我們能夠掌握關鍵的重點，世界也就不會被人工智慧的機器人所控制。</p> <p><span style="font-size:28px;"><strong>人類靠什麼贏過人工智慧？</strong></span></p> <p>我曾經聽過一位人工智慧新創的執行長跟我說，他們有一個產品是在處理銀行洗錢的防治工作。各大銀行有很多員工在處理防制洗錢的工作，有些大銀行甚至由幾千人來負責，但他們的產品已經取代了這些人大部分的功能。有很多類似這樣的工作，已經被人工智慧取代而消滅了。家長鼓勵自己的小孩好好念書，如果只是填鴨式地堆砌知識，將來可能無法像過去一樣，可以順利保證讓小孩得到傳統白領階級的工作。醫生、律師、教師、會計師等等，都是岌岌可危的職業。</p> <p>那麼家長對於小孩的教育，應該有什麼樣的認知和調整呢？首先，要瞭解時代的趨勢，放棄填鴨教育和強調不斷透過重複練習取得好成績的傳統想法，要保持小孩的「好奇心」和「創造力」。最重要的課程，將不再是那些堆砌的知識，而是人工智慧原意的「藝術」，屬於機器人最弱的一環，這將是人類想要和機器人競爭、不被其取而代之的唯一方法。</p> <p>在未來的世界裡，小朋友將會比我們更加辛苦。因為生存在以前的時代，創意、創新和創業是為了要成功，或是創造財富的工具，但是在將來的世界裡，這些將成為一個人生存的必備條件，是維持人類尊嚴的唯一選擇。</p> <p>以前高科技產業的朋友講了一個故事，這個朋友認識蘋果電腦創辦人賈伯斯的富豪鄰居。賈的鄰居告訴他，當蘋果電腦第一代iPhone出來的時候，賈在家裡開了一個慶祝派對。他拿著當時生產的iPhone跟大家說：「這是我想做的東西，而且我已經通通把它做完了！將來的iPhone可能功能更強、更薄、更省錢或更便宜，但是它就是這樣，我已經把它做完了！」只有這些以前沒有的知識，才是真正能夠和智慧型機器人競爭的東西，這也是機器人的大數據資料庫裡所沒有的東西。未來的世界，如果你沒有賈伯斯那樣的創意，世界可能就再也不需要你了。</p> <p><span style="font-size:28px;"><strong>世界上不可能有絕對的資訊安全</strong></span></p> <p>資訊安全包括政策、管理和技術，是一門跨領域的綜合科學。我曾經擔任行政院資安稽核工作的委員，一個機關的資安稽核包括政策面、管理面和技術面。資安政策是指制定一個組織的資安行動方針，最重視需要防衛的資產，以及定義內部與外部的敵人。資安不光只是技術問題，資訊安全和科技、機器，以及人的行為有關，盤根錯節。</p> <p>另外，世界上不存在所謂絕對安全、無懈可擊的系統或軟體。資通訊技術（ICT）產品的複雜程度，沒辦法讓我們在使用之前，甚至在使用的過程中，就能先以高規格的資安加以檢測。因為系統太過複雜，檢驗時程曠日費時，產品更替速度太快，甚至檢測成本高過開發產品所需，這是科技界資通訊安全產品檢測標準（共通準則，Common Criteria）失敗的原因。我們根本無法在資通訊設備上市之前，就可以確認其是否為資訊安全可靠的產品。基本上，資通訊產品在它的生命週期，從設計、生產、運送、使用，一直到銷毀的過程，都可能產生資訊安全的問題。但即使現況如此，也並不表示我們對資訊安全就束手無策，沒有任何的方法論。</p> <p>資安重視的就是CIA（Confidentiality, Integrity and Availability的簡稱），即機密性、完整性和可用性。資訊安全強調的管理方式是PDCA（Plan-Do-Check-Act的簡稱），所謂的PDCA是指「計畫—執行—檢核—行動」的過程，也就是說，它是一個動態的管理，先要做風險評估，依照優先順序排列可能發生的危險，然後投注資源來修正高風險產生的威脅。簡單地說，資訊安全就是風險評估、資源配置，管理與技術並重。</p> <p>如果不能評估風險高低，想要全面防衛所有可能的風險，就必須有無限的資源。否則，常常會因小失大，疏漏高風險的因素。世界上本來就不存在絕對的安全，當然也不會有絕對的資訊安全，風險評估之後，投注資源由最高風險往下做，這樣才是解決資訊安全問題的務實辦法。</p> <p>身為哲學型的資安人，到底要討論什麼重要的哲學議題呢？當然第一個要討論的問題是：「人是不是已經變成自己所創造物品的工具？」手機這麼有趣，如間諜的生活般變化多端。拿破崙曾說過：一個在適當地點的間諜，可以相當於在前線作戰的兩萬名士兵。如果把這句話裡的「間諜」換成「手機」，其實也非常適用。現代人已經淪為手機的奴隸了。</p> <p>但是我曾經看過一項調查：有七成以上的德國中學生，還是比較喜歡讀印製出來的紙本書。我在德國和日本旅行時，往往在火車上還可以看到有人在讀實體書，但在其他國家比較少看到這樣的情形。無論如何，實體的東西將會逐漸從人類的主流生活中，一項一項地消失，這是無可避免的事情。</p> <p>其實，在電腦和網路發明以後，人類的工作並沒有減少。手機發明之後，人類的工作反而愈來愈多。</p> <p>人類文明在科學進步神速的今天，尤其在資訊科技的高度發展之下，不管是網路通訊、大數據或人工智慧，就我看起來，就是一輛將全人類帶向毀滅的失速列車。一個人不可能抵抗這個世界的趨勢和潮流，相關議題當然可以討論，但個人能做的改變卻是相當少。政治是大家都需要知道的事情，哲學是大家都要必備的能力，否則，在這個混亂的世界裡，將不知道為何而活，也不知道如何活下去。<strong>（摘錄整理自《隱性反骨》，先覺出版）</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 隱性反骨：持續思辨、否定自我的教授，帶你逆想人生 </span></strong></span></p> <p>李忠憲／著</p> <p>先覺出版</p> <p>售價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>李忠憲</strong></p> <p>哲學型資安人，國立成功大學電機工程學系教授暨資通安全研究與教學中心主任。德國柏林工業大學博士。是產官學界諮詢資安議題不可或缺的對象，也常在網路上針砭時政，累積了一大群死心塌地的追隨者。</p> </div></div></div>
2021/1/14 16:45未署名https://www.ithome.com.tw/article/142238
Google自1月14日起將封鎖政治廣告，直至新任總統拜登就職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周三（1/13）通知廣告主，<a href="https://www.cnbc.com/2021/01/13/google-to-pause-political-ads-again-ahead-of-inauguration-.html" target="_blank">從周四（1/14）起將在旗下各平臺封鎖所有的政治廣告，以及任何有關國會暴動的廣告</a>。</p> <p>Google表示，該公司定期會暫停各種與不確定性或敏感事件有關的廣告，因為這些廣告可能會被用來擴大錯誤資訊，且原本的政策就禁止煽動暴力或仇恨的內容，將對所有違反該規定的廣告保持高度警惕。</p> <p>這項禁令擴及Google Ads、DV360、YouTube與AdX Authorized Buyer等Google旗下所有廣告平臺，只要涉及候選人、選舉、選舉結果、拜登就職、國會暴動，或者是任何有關上述主題的抗議行動的廣告內容，都不被允許上架。封鎖的時間點為1月14日至1月21日，直至新任總統拜登（Joe Biden）就職（1/20）的隔天。</p> <p>Google及臉書從美國大選前就開始封鎖政治廣告，該禁令一直持續到大選之後，Google於去年12月曾一度開放政治廣告，但本周再度祭出封鎖令。至於臉書的政治廣告禁令則自大選延續迄今，<a href="https://www.ithome.com.tw/news/142176" target="_blank">也於日前宣布將持續禁止政治或選舉廣告</a>。</p> </div></div></div>
2021/1/14 15:33作者陳曉莉https://www.ithome.com.tw/news/142234
高通將以14億美元買下晶片設計新創Nuvia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/qualcomm-to-acquire-nuvia-301207370.html" target="_blank">通訊晶片大廠高通（Qualcomm）周三（1/13）宣布</a>，將以14億美元買下甫於2019年成立的晶片設計業者Nuvia。</p> <p>雖然是新創公司，但Nuvia團隊的陣容非常堅強，它的3名共同創辦人都大有來頭，現任執行長Gerard Williams III不但曾任職Arm，也曾是蘋果的CPU架構長，負責矽工程的副總裁Manu Gulati則曾在蘋果與Google主導系統單晶片（SoC）架構，另一名負責系統工程的John Bruno也曾先後任職蘋果與Google，擔任系統架構師的角色，換句話說，他們全都是曾參與蘋果晶片開發的大將，而且此次的交易也包括讓這3名創辦人替高通效力。</p> <p>根據Nuvia的官網說明，該公司的首要目標是發展高效能的晶片設計，替資料中心打造領先業界的CPU效能。</p> <p>高通則說，Nuvia的專長涵蓋高效能處理器、系統單晶片，以及替運算密集的裝置與應用提供電源管理，若整合高通的行動繪圖處理器、AI引擎、數位訊號處理器及各種加速器，可望進一步擴展高通Snapdragon平臺的領先局面，並讓Snapdragon成為未來連網運算的首選平臺。</p> <p>此外，該公司計畫將Nuvia所打造的CPU整合到高通的各種產品中，以嘉惠高階智慧型手機、新一代筆電、數位座艙、先進輔助駕駛系統、擴增實境，以及基礎架構網路等解決方案，迎合了5G運算的需求。</p> <p>高通技術長 Jim Thompson認為，有了Nuvia對高效能設計的深入理解，再把Nuvia的CPU整合到Snapdragon中，將把運算效能提升到全新的水平，以支援不同行業的新功能。</p> </div></div></div>
2021/1/14 15:59作者陳曉莉https://www.ithome.com.tw/news/142235
2020資安重大事件回顧
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>邁入2021年之際，<a href="https://www.ithome.com.tw/article/142129" target="_blank">我們製作了《2021資安大趨勢》的封面故事</a>，展望資安下一步局勢之前，必定要先看看2020年倒底發生了哪些大事。</p> <p>在武漢肺炎疫情迅速席捲全球之際，許多企業與組織為了要維持業務營運，不只是改用遠距工作的模式，而是在家工作，而這也讓大家更加仰賴數位科技與網路，而在疫情大量蔓延的這一整年以來，打著COVID-19、Coronavirus旗號的垃圾郵件、詐騙郵件，開始出現在大家的電子郵件信箱，在此同時，相關的勒索軟體、惡意軟體、惡意網域名稱也隨之暴增，也有越來越多的駭客攻擊團體以此作為誘餌。</p> <p>根據趨勢科技去年11月公布的第三季COVID-19相關威脅觀察報告，他們偵測到的狀況如下：3千8百萬個電子郵件威脅，占比為78.3％，相關的垃圾郵件在6月達到最高點，有182萬封；超過1百萬惡意網址，比例為8.3％，存取這些惡意網址最多的國家是澳洲，將近7成，其次是美國，有2成；以及1.5萬個惡意軟體檔案，占0.3％，在9月暴增到1萬個；而比例較低的，依序有：商業郵件詐騙（BEC）、惡意網域名稱、勒索軟體、木馬程式。</p> <p>若要查閱相關惡意檔案的即時偵測態勢，另一家資安廠商McAfee也基於全球部署的感測器所收集到的數據，設立了威脅儀表板網站服務，稱為COVID-19 Related Malicious File Detections，可呈現近一週內的這類惡意檔案態勢。而在他們11月公布的第2季威脅報告也提到，相較於2020年第一季，COVID-19相關的攻擊事件暴增了6倍之多。</p> <p>而回顧2020年的臺灣資安重大事件，各大國際資安新聞媒體也很關注，而有相關報導，例如，5月中油、台塑等兩大石化公司受到勒索軟體攻擊；7月GPS及穿戴式裝置大廠Garmin（臺灣國際航電）多項應用程式與服務停擺，疑似遭到病毒攻擊，國內外媒體都在猜測是否為勒索軟體攻擊，有報導指出是WastedLocker這支勒索軟體，贖金高達1千萬美元，但該公司在他們的事件公告當中，僅提到他們部分系統遭到加密而導致服務中斷，並未正面承認遭到勒索軟體攻擊。</p> <p>到了下半年，則是幾家製造業大廠遭到攻擊的事件，受到國際資安新聞媒體關注。像是筆電代工大廠仁寶電腦（Compal），在11月初傳出遭到勒索軟體攻擊，但該公司否認這項傳聞，而是表明網路異常，懷疑是遭到駭客攻擊所致，也有其他臺灣媒體詢問到的事發原因是辦公自動化系統（OA）異常，該公司生產環境不受此次事件波及，但仍有國外新聞報導此事件是勒索軟體DoppelPaymer所致，對方提出的贖金高達1,700萬美元。</p> <p>11月底，傳出工業電腦大廠研華科技（Advantech）部分伺服器遭到攻擊的消息，該公司並未揭露是否遭到惡意軟體或勒索軟體的侵襲，僅提到此事故是駭客惡意攻擊資安事件。不過，當時也有一個名為Conti的勒索軟體攻擊團體，宣稱他們手上有研華科技的資料，並陸續公布部分資料，於是有的資安新聞媒體把這兩件事連結起來，但真相是否如此，仍有待確認。</p> <p>到了12月，全球最大的電子製造廠商鴻海（Foxconn），也傳出在11月底遭勒索軟體攻擊的事件，該公司位於墨西哥Foxconn CTBG工廠，面臨DoppelPaymer勒索軟體攻擊，索價3400萬美元的贖金，攻擊發動者並於12月初公布了部分資料。</p> <p>事實上，除了製造業，金融業也飽受網路攻擊與惡意軟體威脅，2020年曾發生臺銀海外分行遭遇商業電郵詐騙，以及多家券商的網站因網路服務業者的流量清洗服務停擺而無法連線。</p> <p>「前事不忘，後事之師」，2020年發生過的資安事故，並不代表2021年不會重演，企業不能鬆懈，該做的預防措施、該修補的漏洞、該測試演練的應變處理流程，都必須設法落實。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/2021%E8%B3%87%E5%AE%89%E5%A4%A7%E8%B6%A8%E5%8B%A2">2021資安大趨勢</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2021/1/14 16:10作者李宗翰https://www.ithome.com.tw/voice/142236
歐洲藥品管理局：駭客盜走的COVID-19藥物與疫苗文件已流落網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲藥品管理局（European Medicines Agency，EMA）在去年12月9日宣布遭到駭客攻擊，同一天聯手打造COVID-19疫苗的輝瑞（Pfizer）與BioNTech則指出，<a href="https://www.ithome.com.tw/news/141605" target="_blank">它們交由EMA審核的BNT162b2疫苗文件已被非法存取</a>，而<a href="https://www.ema.europa.eu/en/news/cyberattack-ema-update-4" target="_blank">本周EMA則說</a>，與COVID-19藥品及疫苗有關的文件已流落在網路上。</p> <p>其實EMA一直未揭露駭客所存取文件的細節，但在察覺遭到駭客入侵之後，EMA旋即聯手資安業者與執法機構展開調查，部署額外的安全措施，並陸續揭露簡短的調查結果。</p> <p>根據EMA的說法，他們已針對所有可疑的行為進行分析，除了<a href="https://www.ema.europa.eu/en/news/cyberattack-ema-update-2" target="_blank">只有有限數量的第三方文件遭到駭客的非法存取</a>之外，<a href="https://www.ema.europa.eu/en/news/cyberattack-ema-update-3" target="_blank">該資料外洩事件也只發生在單一的IT應用程式上</a>，且駭客鎖定的目標就是與COVID-19相關的文件。本周則進一步指出，這些隸屬於第三方的文件已流落在網路上，而執法機構也已採取必要的行動。</p> <p>對於文件的外洩，EMA 除了全力支持相關的犯罪調查之外，也會通知任何可能資料被非法存取的實體或個人。另也強調EMA對COVID-19藥物或疫苗的審核時程，完全未受到此一意外的波及。</p> </div></div></div>
2021/1/14 14:25作者陳曉莉https://www.ithome.com.tw/news/142233
因應遠端工作政策，Dropbox將裁撤全球11%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.dropbox.com/topics/company/-a-message-from-our-ceo" target="_blank">檔案代管服務Dropbox周三（1/13）宣布</a>，將裁撤315個職缺，約占該公司全球11%的人力，此一裁員行動預計於本周就會執行完畢，其營運長Olivia Nottebohm也預計於2月5日離職。</p> <p>儘管遭遇到COVID-19疫情，但Dropbox可說是少數受惠於疫情的企業之一，在家工作/學習風潮，讓該公司在去年前三季的營收，分別成長了18%、16%與14%，每股盈餘也都優於前一年同期。</p> <p>不過，Dropbox共同創辦人暨執行長Drew Houston表示，現在他們必須確定團隊與投資能夠跟上新的領導架構與遠端工作政策，其虛擬優先（Virtual First）代表Dropbox需要更少的資源來支持辦公室環境，因此決定將重新分配資源以推動重要的產品藍圖。</p> <p><a href="https://blog.dropbox.com/topics/company/dropbox-goes-virtual-first" target="_blank">Dropbox是在去年10月轉移到標準的遠端工作政策</a>，代表就算疫情結束了，遠端工作也會成為該公司的日常工作型態，相較於使用傳統的辦公室空間，Dropbox的新作法是在不同的城市設立Dropbox工作室（Dropbox Studios），以讓需要面對面討論或工作的同事可以使用。</p> <p>今年Dropbox的發展重點將是強化該平臺的核心經驗，開發基於分散式工作的新產品，以及讓經營更有效率。</p> <p>Houston說，這是他擔任Dropbox執行長14年以來最艱難的決定之一，受影響的員工都將依據當地法令取得遣散費，員工也會收到在第一季生效的股權，員工與家人可持續使用半年的健康服務，可保留公司提供的裝置，並提供就業安置服務。</p> </div></div></div>
2021/1/14 13:26作者陳曉莉https://www.ithome.com.tw/news/142229
駭客繞過多因素驗證駭入雲端系統帳號，可能和SolarWinds攻擊有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://us-cert.cisa.gov/ncas/analysis-reports/ar21-013a" target="_blank">美國網路安全暨基礎架構管理局（Cybersecurity and Infrastructure Security Agency，CISA）本周警告</a>，駭客發展出成功繞過多因素驗證（multi-factor authentication，MFA）來駭入用戶雲端服務的攻擊手法。</p> <p>CISA近日經手一件網路攻擊案例，攻擊者使用了多種攻擊策略和手法，除了常見的釣魚信件、暴力破解帳號變更，可能也使用一種名為「傳送cookie（pass the cookie）」的手法，以駭入受害者單位的雲端系統。</p> <p>CISA解釋攻擊者在利用釣魚信件誘使用戶下載惡意程式，或以暴力破解帳號進入受害者網路後進行後續攻擊。後續攻擊包括成功登入一個具有多因素驗證（MFA）保護的帳號。CISA相信，攻擊者可能是在用戶電腦上，以竊密程式取得瀏覽器的cookie，以繞過MFA的防護。另外，攻擊者也變更受害者現有郵件的轉寄規則，將重要信件轉寄到駭客控制的帳號，或是轉到駭客設立的RSS資料夾中以免被發現。</p> <p>Pass the cookie手法是指，攻擊者利用竊取來的連線cookie來驗證、登入到Web應用或服務。由於連線已經過驗證，使攻擊者可繞過某些MFA協定。</p> <p>雖然CISA未指這受害者為何，不過可能是指本周雲端郵件安全服務商Mimecast。<a href="https://www.mimecast.com/blog/important-update-from-mimecast/" target="_blank">Mimecast昨（13）日向用戶發佈安全公告</a>，該公司發給客戶以Mimecast雲端系統，包括Sync and Recover、Continuity Monitor及Internal Email Protect登入Microsoft 365 Exchange Web Services的憑證，遭到駭客竊取。亦即攻擊者可繞過Exchange Web Service的MFA驗證竊取、劫持用戶MS365 Exchange的信件。</p> <p>Mimecast建議用戶立即刪除連向Microsoft 365驗證過的連線，並以新憑證重新建立連線。</p> <p>Mimecast表示在其3.6萬家客戶中，有約10%使用了受影響的連線，雖然該公司相信遭到鎖定的企業用戶家數為個位數。</p> <p><a href="https://www.reuters.com/article/us-global-cyber-mimecast/email-security-firm-mimecast-says-hackers-hijacked-its-products-to-spy-on-customers-idUSKBN29H22K" target="_blank">路透社引述三名進行調查的消息人士報導</a>，Mimecast攻擊者可能和SolarWinds駭客為同一批人，後者更波及多個美國政府單位，包括商務部、財政部及國土安全部等。</p> <p>美國政府單位包括FBI、CISA都懷疑這批駭客和俄羅斯政府有關，不過俄羅斯政府否認這個說法。</p> </div></div></div>
2021/1/14 13:46作者林妍溱https://www.ithome.com.tw/news/142230
卡普空：去年11月駭客可能取得了39萬用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本電玩製作商卡普空（Capcom）去年11月遭勒索軟體入侵，竊取近1TB資料。<a href="https://www.capcom.co.jp/ir/english/news/html/e210112.html" target="_blank">本周卡普空指出</a>可能有39萬名用戶個資受到影響。</p> <p>去年11月卡普空公布網路安全事件，指部份郵件伺服器、檔案伺服器等系統，遭到未授權第三方人士存取，同時也造成部分公司網路無法運作。隨後該公司於11月16日證實有9人個資遭到竊取。</p> <p><a href="https://www.bleepingcomputer.com/news/security/capcom-confirms-data-breach-after-gamers-data-stolen-in-cyberattack/" target="_blank">Bleeping Computer當時報導</a>，駭客留下的訊息顯示為勒索軟體Ragnar Locker背後組織。駭客宣稱已經從卡普空日本、美國及加拿大公司網路上加密並竊取了1TB的未加密檔案，包括公司銀行帳戶、營收、報稅資料、公司智財、合約、業務概要，以及公司和外部往來郵件等其他機密資訊，也在網路上公開了一部份。<a href="https://www.bleepingcomputer.com/news/security/capcom-390-000-people-may-be-affected-by-ransomware-data-breach/" target="_blank">駭客告訴Bleeping Computer</a>，他們會將「更有價值的資料」留待拍賣或日後的攻擊。</p> <p>在本周的更新消息中，卡普空指出，進一步調查顯示，又有另外16,406人個資被存取，使受害人總數來到了16,415名。另外，由於攻擊造成部份log檔遺失，使外洩資料明確數量無法確定，卡普空因而採最寬鬆認定，估計受影響的客戶、合作夥伴及其他外部人士，最多可能來到39萬人。</p> <p>在確定受影響的1.6萬人中，涵括合作夥伴3200多人，前任員工和相關單位9100多人、以及現任員工和相關單位近4,000人。外洩的資料類型包含姓名、電子郵件、電話號及住家地址，員工及前任員工的人事資料。其他還包括業務報表、財務資訊、遊戲開發文件及和合作夥伴有關的其他資訊。</p> <p>可能受影響的39萬人主要是業務夥伴及外部人士，其中包含5.8萬名應試者姓名、住址、電話和電子郵件等。卡普空表示，北美地區的販售官網Capcom Store及eports網站會員個資確定並未受影響。</p> <p>雖然帳戶密碼不在列出的資料清單中，不過Bleeping Computer建議用戶最好還是儘速變更密碼。</p> </div></div></div>
2021/1/14 14:07作者林妍溱https://www.ithome.com.tw/news/142231
微軟Linux版端點安全EDR功能正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/edr-for-linux-is-now-generally-available/ba-p/2048539" target="_blank">微軟本周宣佈Defender端點偵測及回應（Endpoint detection and response, EDR）功能，正式在Linux平臺推出。</a></p> <p>EDR是自動化蒐集及偵測Linux機器上的活動事件，分析攻擊手法及屬性，並幾近即時對管理員發出警告通知。這項功能已經推向Windows、macOS及Android與iOS 版本。至於Linux版，微軟是在2019年Ignite上首次展示，並分別於去年2月和6月<a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/microsoft-defender-atp-for-linux-is-now-generally-available/ba-p/1482344" target="_blank">推出Microsoft Defender for Endpoint防毒軟體的公測版及正式版</a>。EDR功能則是去年11月才進入公測階段。</p> <p>完整Defender EDR for Linux需要較新版Linux發行版本，包括Red Hat Enterprise Linux (RHEL) 7.2+、CentOS Linux 7.2+、Ubuntu 16 LTS、SuSE Enterprise Server (SLES) 12+、Debian 9+及Oracle Linux 7.2等。</p> <p>微軟強調Linux版本的新功能和Windows、macOS版完全相同，提供豐富的調查工具，包括用戶建立流程、檔案、網路連線或登入時間的時間軸；進階搜捕功能可查詢30天內的資料來調查，並可分析惡意程式怎麼進入系統或進行活動。它也能調查檔案、流程、IP及通知之間的連結關係。</p> <p>企業用戶可以使用Puppet、Ansible或現有組態管理工具，來部署或設定Defender EDR for Linux。</p> </div></div></div>
2021/1/14 14:13作者林妍溱https://www.ithome.com.tw/news/142232
資安一周第128期：駭客鎖定臺灣公部門及學術機構發動釣魚信攻擊。紐西蘭央行遭駭，業務資料與個資恐遭存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1.7-1.13 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚</strong></span></h3> <h2><strong style="vertical-align: top;">駭客鎖定臺灣公部門、研究機構、大學發動釣魚信攻擊</strong></h2> <p>趨勢科技公開自2019年5月出現的網路釣魚攻擊行動，這些駭客鎖定的目標，包含了臺灣的政府組織、研究機構，以及大學。再者，聲援圖博、維吾爾族，以及香港的人士，也是這起事件被鎖定的目標。不過，對於受害者的人數，該公司沒有說明。</p> <p>這些駭客的手法相當特殊，藉由釣魚郵件讓受害者上鉤之後，他們不僅透過受害者的郵件簽名檔，對他人發動XSS攻擊橫向感染，同時還竊取信箱內容，以及登入電子郵件信箱的憑證，或是連線階段（Session）的金鑰等。該公司指出，這樣的攻擊手法，過往沒有駭客如此做過，他們將發動攻擊的駭客組織命名為Earth Wendigo。<strong><a href="https://www.ithome.com.tw/news/142156">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/128-1-earthwendigo-phishing.png" style="width: 400px; height: 273px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：趨勢科技</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">紐西蘭央行遭駭，業務資料與個資可能遭存取</strong></h2> <p>紐西蘭儲備銀行1月10日公告遭駭，該行用來分享和儲存部分敏感資訊的第三方檔案分享服務，遭不明人士非法存取，可能導致重要的業務及個資曝光。</p> <p>該國中央銀行行長Adrian Orr 指出，不法活動已經被切斷，受影響的系統亦下線，目前正在配合資安廠商及主管機關進行調查。調查團隊正在評估被駭客存取的資訊範圍和種類，但可能包含一些商業及個人敏感資訊。<strong><a href="https://www.ithome.com.tw/news/142144">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩</strong></h3> <h2><strong style="vertical-align: top;">聯合國驚傳Git儲存庫洩露10萬筆員工出差記錄</strong></h2> <p>資安研究團隊Sakura Samurai近日揭露聯合國的資安漏洞，因端點電腦曝露一些Git帳號與密碼，使得他們取得該單位的Git儲存庫，當中存放大量聯合國員工個資，其中包含了近10萬筆的員工出差記錄，以及7千筆員工國籍統計資料、4千筆專案資金來源、283個專案評估報告。</p> <p>除了上述員工資料，研究人員也在該單位旗下的環境規畫署子網域，找到更多GitHub帳密，能下載原本受到密碼保護的GitHub專案。<strong><a href="https://www.ithome.com.tw/news/142177">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩</strong></h3> <h2><strong style="vertical-align: top;">網通設備業者Ubiquiti的雲端系統遭未經授權存取，呼籲用戶儘速變更密碼</strong></h2> <p>網通設備業者Ubiquiti於1月11日發出公告，指出他們建置於第三方雲端服務供應商的資訊系統，遭到未經授權的存取，並建議使用者應立即更換密碼，並啟用雙因素驗證功能。</p> <p>對於受害的範圍，Ubiquiti表示尚不明朗，但他們沒有發現用戶帳號資料被存取的跡象。至於雲端服務業者名稱、攻擊事件發生時間，或者是攻擊的路徑等，該公司則沒有進行說明。<strong><a href="https://www.ithome.com.tw/news/142165">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Google Ads漏洞恐使惡意人士擷取YouTube用戶私人影片</strong></h2> <p>白帽駭客David Schütz公開在2019年發現的漏洞，該漏洞可讓攻擊者透過廣告服務Google Ads，逐個影格偷走YouTube私人影片。Google確認該漏洞存在並且已經完成修復，並發送5千美元給這名白帽駭客。<strong><a href="https://www.ithome.com.tw/news/142175">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">Vodafone子公司被駭，用戶個資及SIM卡資料出現在駭客論壇</strong></h2> <p>Vodafone旗下的義大利電信公司ho.Mobile，於1月5日公告該公司2020年底遭駭，導致用戶個資與SIM卡資料被竊取。此起事件引起許多媒體揭露進一步的資訊，根據義大利媒體Italy24news的報導，攻擊行動可能從2020年5月就發生，且持續了5天。</p> <p>而資安研究人士Bank Security發現，疑似ho.Mobile遭竊的資料在12月28日在網路論壇遭到兜售，亦有其他資安人員證實駭客提供的資料真實性，ho.Moible表示，他們已經通知資料外洩的用戶，並提供用戶免費更換SIM卡的服務。<strong><a href="https://www.ithome.com.tw/news/142061">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/128-2-homobile-it-breach.png" style="width: 350px;" /></p> <p><span style="color:#808080;">圖片來源：Bank Security</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩 </strong></span></h3> <h2><strong style="vertical-align: top;">川普支持者暴動事件曝露美國國會資安威脅</strong></h2> <p>百名川普支持者於1月7日衝進美國國會大廈，國會議員倉皇離開。記者發現眾議院議長Nancy Pelosi的電腦沒有登出，而參議員Jeff Merkley表示他的筆電不見了，這種情況很可能導致國會的重要資料外洩，而引發外界關注。</p> <p>由於在美國國會存取機密文件，必須在指定區域進行，上述2名官員的電腦理應沒有存放機密文件，但新聞網站Ars Technica認為，數千名在國會大廈工作人士的電腦，難保沒有重要的資料。<strong><a href="https://www.ithome.com.tw/news/142107">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/128-3-usa-congress-pc-nologout.png" style="width: 400px;" /></p> <p><span style="color:#808080;">圖片來源：Ars Technica</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊</strong></span></h3> <h2><strong>FBI警告Egregor勒索軟體來襲</strong></h2> <p>美國聯邦調查局（FBI）於1月7日發出公告，要企業當心勒索軟體Egregor，正在網際網路擴散以入侵企業網路。該單位指出，從2020年9月首度觀測到Egregor以來，全球已經有超過150家企業遭到Egregor攻擊。</p> <p>FBI要求，假如企業遭到Egregor攻擊，不論支付贖金與否，都務必通報警方。而在預防措施的部分，他們認為企業應該限制遠端桌面連線（RDP）的存取權限，並檢查公司網路上是否有可疑的BAT、DLL、LOG檔案，或是對外連線程式等。<strong><a href="https://www.ithome.com.tw/news/142108">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國指控SolarWinds供應鏈攻擊疑似俄國發起，自動化開發軟體捲入其中</strong></h2> <p>針對在2020年12月爆發的SolarWinds供應鏈攻擊事件，美國政府於1月5日發布調查報告，指出<a href="http://www.ithome.com.tw/news/142055">攻擊來源可能源自俄羅斯</a>。隨後紐約時報與華爾街日報報導，消息人士指出，承辦此案的調查官員懷疑，駭客透過SolarWinds採用的自動化開發平臺TeamCity，在SolarWinds Orion植入後門程式，進而引發此起攻擊事件。</p> <p>這樣的傳聞隨即遭到推出該開發工具的JetBrains否認，該公司執行長Maxim Shafirov引述SolarWinds發言人的說明，表示經過檢查，TeamCity與攻擊事件無關。<strong><a href="https://www.ithome.com.tw/news/142121">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙</strong></span></h3> <h2><strong style="vertical-align: top;">刑事局公布前5名網購高風險賣場，Momo購物網居冠</strong></h2> <p>針對國內網路購物詐騙橫行的情況，刑事警察局於1月11日公布2020年前5大高風險賣場名單，分別是Momo、小三美日、讀冊生活、486團購網，以及Hito本舖。其中該單位全年受理冒名Momo客服的詐騙案件，共有383件最為嚴重。</p> <p>刑事警察局指出，這類詐騙手法的共通點，皆為歹徒假冒網路購物商城之客服，以工作人員操作錯誤導致誤設分期付款、重複扣款等理由，要求客戶操作ATM、購買遊戲點數、或使用網路銀行與App來解除設定等。該單位指出，電商業者因個資外洩仍需負損害賠償責任，他們也促請高風險電商落實資安防護。<a href="https://www.ithome.com.tw/news/142219"><strong>詳全文</strong></a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/142052">Zend Framework 3.0含有遠端程式執行漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/142113">合勤網通設備與防火牆高權限帳密，傳出被駭客濫用的攻擊行動</a><br /> ●<a href="https://www.ithome.com.tw/news/142086">因SolarWinds事件波及，美國司法部坦承部分電子郵件遭非法存取</a><br /> ●<a href="https://www.ithome.com.tw/news/142124">紅帽準備買下容器安全平臺StackRox</a></h3> </div></div></div>
2021/1/14 10:03作者周峻佑https://www.ithome.com.tw/news/142206
刑事局公布2020年前5名網購高風險賣場，Momo購物網居冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對國內網路購物詐騙橫行的情況，內政部警政署刑事警察局<a href="https://www.cib.gov.tw/News/BulletinDetail/8404">於1月11日公布2020年前5大高風險賣場名單</a>，分別是Momo、小三美日、讀聞生活、486團購網，以及Hito本舖。其中該單位全年受理冒名Momo客服的詐騙案件，共有383件最為嚴重。</p> <p>刑事局指出，這類詐騙手法的共通點，皆為歹徒假冒網路購物商城之客服打詐騙電話，以工作人員操作錯誤導致誤設分期付款、重複扣款等理由，要求受害者操作自動櫃員機（ATM）、購買遊戲點數、或使用網路銀行與App來解除設定等。根據最近幾年的分析，「解除分析付款」是被害案件數量最高的行騙話術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-highrisk-top5.png" style="width: 580px;" /></p> <p>而對於發動此類詐騙手法的過程，刑事局指出，通常是歹徒先駭入電商，或者是電商設置於外部系統商的資料庫，竊取消費者的個資，包含了姓名、電話、消費資料，以及付款方式等資料，以便在後續的電話詐騙過程中取信受害者。之後，歹徒再以工作人員操作錯誤，導致訂單變成多筆分析付款的名義行騙，要求受害者操作ATM、購買遊戲點數，或者透過網路匯款等方式，來解除分期付款設定而得逞。因此，為避免歹徒入侵電商取用戶個資助長相關詐騙行徑，刑事局也提出他們要求電商加強防範的措施。</p> <p>首先，刑事局每週都會對於被害事件數量逾5件的電商，發函通知，並附上電子商務業者防制詐欺作為自評表，供這些業者檢視自己是否存在尚待加強的措施。而這些措施的內容，包含了於網頁明顯處加註反詐騙警語、表明客服專線與客服時間，針對電商平臺的用戶發送反詐騙宣導簡訊，以及將客服時間延長至22時等。</p> <p>除了上述的書面通知之外，該單位也宣稱每日提醒高風險賣場加強資安防護，同時，由於電商業者因個資外洩可能會負損害賠償責任，他們也彙整電商為詐騙事件賠償的判決，呼籲這些業者不要再置身事外。</p> <p>刑事局表示，他們公布疑似個資外洩的電商，都已經依據該單位的建議，實施反詐騙宣導，該單位也承諾會持續對相關電商業者進行資安訪談與提供技術支援。</p> </div></div></div>
2021/1/14 11:10作者周峻佑https://www.ithome.com.tw/news/142219
Google開源可用來管理API的目錄專案Registry API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了一個稱為<a href="https://opensource.googleblog.com/2021/01/the-api-registry-api.html">Registry API</a>的API管理方法，能夠組織企業所開發以及使用的API，進一步提高API的可見性，而在集中整合企業內API的同時，也統一規範了API發布的格式，方便Linters、瀏覽器和文件產生器等應用，重複使用這些API資訊。</p> <p>不少企業面臨管理大量API的困境，由於開發以及使用的API數量越來越多，讓API變得難以追蹤，並可能出現重複開發的情況，而且隨著API應用的領域和主題逐漸擴大，設計風格也有所不同，或將導致生產力下降。</p> <p>Registry API讓開發團隊可以上傳和共享，正在使用或是開發中的API機器可讀資訊，像是OpenAPI、Google API探索服務，和Protocol Buffers語言等標準格式的API規範。Google提到，API規範可以供Linter使用，確保API符合標準模式，文件產生器也可以生成一致且易於存用的格式，而程式碼產生器也可以產生，API客戶端與伺服器框架，且可搜尋的線上目錄，讓API的找尋與使用更簡單。</p> <p>Google提到，透過組織API描述，將讓API更容易用於開發其他工具和服務。Google現在發布的參照實作，實際上來自於之前併購的API管理平臺Apigee，其以Go編寫的gRPC服務，Registry API本身是個API目錄，可以集中整合企業的API，以Protocol Buffers協定描述，嚴格遵循aip.dev上的Google API設計指南。</p> <p>Registry API帶有註解，用來支援gRPC HTTP/JSON轉碼，可以使用代理將其自動發布為JSON REST API，而代理也支援gRPC網頁，可以允許瀏覽器中的應用程式發出gRPC呼叫，該專案還提供了實驗性GraphQL介面。</p> <p>用戶可以在本地端執行Registry API，還可以將其部署到Google Cloud Run或其他容器服務上，使用Google Cloud Datastore API，或是可配置關聯式介面層，將資料儲存到PostgreSQL和SQLite中。根據AIP-181指南，Google將Registry API的穩定層級設為alpha，目前已經在GitHub中開源。</p> </div></div></div>
2021/1/14 12:15作者李建興https://www.ithome.com.tw/news/142201
Grafana Lab更新雲端監控平臺並擴大免費計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發開源監控平臺Grafana的公司Grafana Lab，<a href="https://grafana.com/blog/2021/01/12/the-new-grafana-cloud-the-only-composable-observability-stack-for-metrics-logs-and-traces-now-with-free-and-paid-plans-to-suit-every-use-case/">更新其雲端監控平臺Grafana Cloud</a>，並擴大免費與付費計畫提供的服務，供使用者依需求選擇。由Grafana Lab管理的Grafana監控平臺，可讓用戶以最少的配置，開始部署系統與應用程式監控功能。</p> <p>Grafana是一個熱門的開源監控工具，經雲端原生運算基金會調查，Prometheus和Grafana為目前兩個最受使用者歡迎的監控工具，Grafana可用來追蹤IT基礎設施運作狀況，使用者只要將資料連接到Grafana，就能夠在瀏覽器中檢視資料報表以及警示訊息，Grafana Lab還提供企業版本，以擴充套件的方式，提供更多企業功能。</p> <p>Grafana Cloud更新多項新功能，包括開始提供合成監控（Synthetic Monitoring），這讓管理員可以從終端使用者的角度，觀察系統和應用程式執行的狀況，Grafana Cloud會從全球數十個位置監控應用程式以及API端點，讓用戶在不需要查看指標的情況下，監控這些目標的運作狀況。</p> <p>官方持續改善雲端整合函式庫，支援Go、MySQL和CockroachDB等，用戶可以存取預先配置的儀表板，並且快速從空白狀態，創建出有用的儀表板與警示功能。Grafana Lab還發布輕量級收集器Grafana Cloud代理，使資料能更簡單地發送至雲端，另外，也提供Beta測試版的追蹤後端Tempo。</p> <p>Grafana Lab重新設計Grafana Cloud提供的計畫，現在專業計畫使用者，付費後可以獲得更多的指標數量。而免費計畫則提高可存取人數，之前的Grafana Cloud免費版本，存取權限僅供一個用戶一名成員登入使用，因此用起來綁手綁腳，開發團隊也難以協作，而現在Grafana Cloud的免費計畫，開放給用戶最多3名團隊成員登入Grafana Cloud。</p> <p>另外，Grafana Cloud還新開放免費計畫用戶，使用諸如開源日誌記錄平臺Loki、追蹤後端Tempo，以及指標監控Prometheus和Graphite等功能。官方提到，Grafana Cloud免費計畫提供用戶，包括10,000個Prometheus或Graphite指標，可以儲存50 GB的日誌記錄，指標和日誌最多可以儲存14天，最多讓3個團隊成員存取Grafana Cloud。</p> <p>而在付費專業版方面，Grafana Cloud用戶可使用的指標數量，從過去的3,000個，提升至15,000個，這些指標可以留存長達12個月，而且可儲存100 GB日誌記錄，並保留1個月，還有其他諸如報表輸出以及進階身份驗證等功能。</p> </div></div></div>
2021/1/14 12:25作者李建興https://www.ithome.com.tw/news/142203
英特爾CEO將換人，由VMware CEO繼任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/news-releases/intel-appoints-tech-industry-leader-pat-gelsinger-as-new-ceo/#gs.qipc2a" target="_blank">晶片大廠英特爾昨（13）日宣佈</a>，董事會任命曾在英特爾待了30年的VMWare 執行長Pat Gelsinger為新任執行長，人事命令2月15日生效。</p> <p>Gelsinger將接替現任執行長Bob Swan的職位，也將加入英特爾董事會。</p> <p>英特爾強調新人事命令和該公司2020年財務表現無關。英特爾也預期2020年第四季實際營收和每股盈餘（EPS），超過該公司2020年10月22日公佈的指引。該公司也強調其7奈米製程技術進展良好。英特爾預定於1月21日，公佈第四季完整財報及7奈米製程的產品消息。</p> <p>Swan是在2018年前任執行長Brian Krzanich因職場緋聞下台時，<a href="https://www.ithome.com.tw/news/124019" target="_blank">由財務長一職接任臨時執行長</a>，並<a href="https://www.ithome.com.tw/news/128590" target="_blank">在2019年2月扶正成為正式執行長</a>。</p> <p>Swan執掌期間英特爾接連發生危機。去年夏天英特爾宣佈7奈米電腦晶片出貨要延遲到2022年，伺服器晶片則要遲到2023年。同時間AMD 7奈米晶片也出貨到電腦中。雪上加霜的是，<a href="https://www.ithome.com.tw/news/141038" target="_blank">蘋果秋天推出的三款Mac電腦系列改用自製M1 Arm晶片</a>，揚棄舊時夥伴英特爾。另一方面，在晶片市場上英特爾市佔逐漸流失給對手AMD、三星及台積電，促使<a href="https://www.cnbc.com/2020/12/29/third-point-urges-intel-to-explore-strategic-alternatives-.html" target="_blank">法人大股東去年12月公開呼籲</a>董事會應思考「策略替代人選」（strategic alternative）。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/139072" target="_blank">英特爾去年8月就宣布重整技術、系統架構及客戶端事業群（TSCG）</a>，將它打散成5個不同的團隊，該部門主管Venkata Murthy Renduchintala於8月3日離職。外界揣測與英特爾7奈米製程的進度嚴重落後有關。</p> <p><a href="https://www.cnbc.com/2021/01/13/intel-ceo-bob-swan-to-step-down-in-february.html" target="_blank">CNBC分析</a>，Swan遭人詬病的一點是欠缺財務背景，但Gelsinger完全沒這問題。根據英特爾的資料，Gelsinger在英特爾發跡，之後任職30年。他是第一代80486處理器架構師，並曾領導過Core及Xeon家族產品14個不同處理器計畫，也是英特爾首任技術長。</p> <p>英特爾獨立董事長Omar Ishrak指出，Gelsinger在創新、人才發展有卓著表現，且對英特爾有深刻了解，在仔細評估後，董事會認為英特爾的轉型關鍵期，正應借重Gelsinger的技術和工程背景。</p> <p>Gelsinger於2012年擔任VMWare執行長迄今，成功將該公司轉型為雲端基礎架構、企業行動化及網路安全的大廠，也讓該公司營運成長近三倍。在離開英特爾後、加入VMware之前，Gelsinger曾任職EMC 資訊基礎架構產品部門營運長。</p> <p>CNBC於周三首先報導此事，英特爾股價一度大漲10%，但VMware股價則下跌5%。</p> <p>另一方面，<a href="https://www.businesswire.com/news/home/20210113005625/en/VMware-Board-of-Directors-Initiates-Search-for-Chief-Executive-Officer" target="_blank">VMWare董事會則於同日任命財務長Zane Rowe為臨時執行長</a>，並開始尋覓下一任正式執掌者。Gelsinger仍將為VMware董事會成員。</p> </div></div></div>
2021/1/14 12:59作者林妍溱https://www.ithome.com.tw/news/142228
Fintech周報第168期：債券小額團購新模式即將上線，新創湊伙與一銀合推金融監理沙盒第8案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0109</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0115</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 債券團購平臺 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 湊伙公司 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">債券小額團購新模式即將上線，新創湊伙與一銀合推金融監理沙盒第8案</span></strong><br /><span style="font-size: 14pt;">新創湊伙公司與第一銀行合作，首創小額團購債券模式，已在去年10月經金管會核准為金融監理沙盒第8案，並將於今年1月19日正式上線債券團購平臺。以往，債券市場具有高門檻的進入障礙，未來，投資人可用最低新臺幣100元或美金10元，以團購方式參與債券的團購投資，認購投資門檻較高的海內外債券。此外，也提供投資人在資金上有需求時，可透過轉讓機制將持有的債券部分變現。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">第一銀行在該沙盒實驗案則擔任受託銀行，針對國外債券部分做團購價金的保管，以及後續的債券交割等事宜，並在實驗的退場機制中訂定相關客戶資產返回的作業方式。湊伙公司表示，透過第一銀行的金錢信託模式，投資人的資產將與湊伙做出明確的區隔。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此外，這個沙盒實驗個案中，也運用第一銀行iLEO數位帳戶。湊伙的會員需要在一銀開立數位帳戶，或透過綁定既有的一銀帳戶作為授權扣款帳戶，才可參與團購。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">湊伙公司是運用區塊鏈技術Hyperledger（超級帳本）來建立交易平臺，會將所有客戶交易記錄、團購標的、客戶團購持份都記錄在區塊鏈上，並同時分享給一銀的區塊鏈節點，一銀就可隨時透過數位化方式，查核節點上的資訊，確保所有交易對象、金額，以及目的是否符合信託目的。而一銀透過掌握會員扣款申購債券的帳戶與金流記錄，並透過API串接湊伙的區塊鏈交易記錄，相互比對無誤後，方能處理後續撥付款項。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">債券團購平臺的沙盒實驗案為期1年，在沙盒期間內，每人最高能參與的債券團購總額為新臺幣25萬元或等值美金，且非專業投資人只能買信評A-以上等級的債券。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(2)(2).jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> DBS </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國際金融科技研發中心 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">星展銀行在臺成立全球第三座國際金融科技研發中心</span></strong><br /><span style="font-size: 18.6667px;">星展銀行（臺灣）近期宣布成立國際金融科技研發中心，是星展集團繼新加坡與印度之後，所成立的第三座科技研發中心，預計在2021年第2季以前，招募首批至少30位資訊技術人才，要將臺灣打造為金融科技重要基地。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行（臺灣）科技長蔡祈岩也首度對外露面招攬人才，他指出，星展全球擁有的29,000名員工之中，就有超過1萬名是資訊科技人員。「星展認為自己是一家金融科技公司，而不是一間銀行。」 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行觀察，未來軟、硬體需結合，金融服務大量應用AI，數據驅動的精準行銷成為主流。所以，臺灣研發中心將著重聚焦人工智慧與數據。蔡祈岩強調，整個星展集團所使用的科技工具，不是傳統銀行所用的大型主機，而是跟所有IT公司一樣，盡量採用最新科技及敏捷式開發。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">這次招募對象也聚焦現代化IT人才，包括數據工程師，前端、後端、軟體開發工程師、熟悉如Java, C#, Python, JavaScript等程式語言等。蔡祈岩指出，由於星展銀行的系統是全球一致性，擁有全球金融科技場域，有別於本土銀行在臺的開發中心，金融科技研發中心的任務是國際研發，會融入到整個星展集團的IT開發。不過，今年成立初期，先以臺灣顧客的客製化需求為優先，如Open Banking、My Data、跨國金融等，並想辦法把臺灣優勢與國際銜接。<strong><a href="https://www.ithome.com.tw/news/142185">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國貨幣監理署 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 穩定幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">OCC允許美國國有銀行加入區塊鏈並以穩定幣交易，替貨幣數位化鋪路</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國財政部旗下的貨幣監理署（OCC）在1月初宣布，將允許國有銀行及聯邦儲蓄機構參與諸如區塊鏈等獨立節點驗證網路（Independent Node Verification Networks，INVN），並使用穩定幣進行支付行為或其它銀行所允許的功能，這意味著美國銀行在既有法令的規範下，將可利用公共的區塊鏈來驗證、儲存、記錄與結算支付交易。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OCC負責監管近1,200家的美國國家銀行、聯邦儲存機構與海外的聯邦分行，大約占了美國銀行業務的70%。OCC在去年9月即闡明，國家銀行與美國聯邦儲蓄機構可替穩定貨幣的發行商提供儲存金帳戶，這次則進一步開放區塊鏈與穩定幣的使用，替貨幣數位化舖路。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此一宣布代表國家銀行或聯邦儲蓄機構將可扮演INVN中的一個節點，以驗證、儲存與記錄支付交易，同樣的，銀行亦可透過各種INVN與相關的穩定幣進行其它的支付行為，只是在部署這些技術時，都必須遵循適用的法令及確保安全。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">OCC認為，允許銀行參與INVN可提高支付活動的效率與穩定性，同時享受即時支付的好處，有鑑於INVN的分散式特性，建立在INVN之上的有些支付行為，可能比其它支付網路更具彈性，可利用大量的節點以可靠的方式來驗證交易，且INVN亦可限制於資料庫中竄改或新增錯誤資訊的行為。<a href="https://www.ithome.com.tw/news/142066"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 富邦人壽 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Pay與富邦人壽合作，試辦綁定信用卡繳納保費服務</span></strong><br /><span style="font-size: 18.6667px;">Line Pay在1月6日宣布，與富邦人壽推出Line Pay綁卡繳保費服務，用戶可透過Line Pay綁定3家指定銀行信用卡繳納保費。Line Pay表示，這項服務已獲金管會保險局核准為期6個月的試辦期，試辦期間限以Line Pay綁定台北富邦銀行、中國信託、聯邦銀行等3家銀行的信用卡或前2家的簽帳金融卡繳納保費。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Pay表示，以信用卡繳費首波由這3家銀行提供驗身服務，以確保持卡人ID與要保人或被保險人身份一致，即可進行保費繳費。未來，Line Pay也會持續與更多金融機構合作。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%20Line%20Pay_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Line%20Pay.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BBVA </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">BBVA準備關閉純網路銀行Simple，原帳戶打包賣給另一家美國金融集團</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">西班牙外換銀行（BBVA）近期宣布，即將關閉於2014年收購的純網路銀行Simple，並將Simple的帳戶轉至準備賣給美國金融集團PNC買下的BBVA USA子公司。Simple為一2009年在美國創立的純網路銀行，它沒有任何實體銀行，用戶可透過網站、行動程式或簽帳卡進行交易，並以高存款利率吸引用戶。不過，它在2014年以1.17億美元賣給了歐洲的知名銀行BBVA。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一方面，BBVA在去年11月與PNC簽署了併購協議，將把美國業務BBVA USA賣給PNC，此一交易也包括了Simple。根據BBVA的聲明，Simple存款原本就是由BBVA USA保管，因此未來Simple帳戶將會直接轉成BBVA USA帳戶，並將與BBVA USA一起併入PNC之後。目前BBVA尚未公布關閉Simple的確切日期。<a href="https://www.ithome.com.tw/news/142128"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位檔案公證 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="background-color: rgb(247, 247, 247);"> </span></strong></span><br /><strong style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">區塊鏈新創JustChain推出區塊鏈公證平臺，對數位化檔案進行安全公證</span></strong><br /><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">阿聯酋區塊鏈新創公司JustChain，推出了第一個區塊鏈公證平臺NotaryChain，以區塊鏈分散式帳本技術，對法律文件諸如授權書、結婚證書或是合約等，提供公證力。NotaryChain讓用戶可以對數位檔案，進行數位化安全公證，以節省公證人和其用戶的成本與時間，這些公證數位檔案，會被儲存在分散式帳本中，以加密金鑰保護防止篡改。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif;"><span style="background-color: rgb(247, 247, 247); vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">NotaryChain是一個雲端和企業就地部署解決方案，其進階功能提供用戶以國民身份單一登入（SSO）、數位簽名、電子印章，並能透過二維碼立即驗證公證文件，目前NotaryChain解決方案受阿聯酋採用，因此也整合了阿聯酋身分證的人工智慧驗證功能。<strong><a href="https://www.ithome.com.tw/news/142042">（詳全文）</a></strong></span></p> <p><span style="vertical-align: top; font-size: 18.6667px;">攝影／李靜宜；圖片來源／星展銀行、</span><span style="font-size: 18.6667px; background-color: rgb(247, 247, 247);">Line Pay</span><br /><span style="background-color: rgb(247, 247, 247); font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. </strong><strong style="font-size: 14pt;">玉山銀行與日本NTT Data合作，將跨境支付服務延伸到韓國市場</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2021年1月</span></strong></strong></p> </div></div></div>
2021/1/14 11:09作者李靜宜https://www.ithome.com.tw/news/142217
Google揭露串連Chrome/Windows零時差漏洞、Android已知漏洞的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2021/01/introducing-in-wild-series.html" target="_blank">Google Project Zero團隊在本周揭露了一項串連Chrome及Windows零時差漏洞，以及Android已知漏洞的攻擊行動細節</a>，這是Project Zero與Google威脅分析小組（Threat Analysis Group，TAG）合作的研究項目，目的在於偵測市場上的零時差攻擊程式，還說他們相信資安社群偵測零時差攻擊程式的能力存在著落差。</p> <p>所謂的零時差漏洞是在漏洞被公開時尚未出現修補程式，這些漏洞有時還未被開採，但有時攻擊程式已經現身，還有些時候是先發現了攻擊程式，才使得漏洞曝光，而Project Zero與TAG即是要探究偵測零時差攻擊程式的新方法。</p> <p>這次Google團隊所舉的例子出現在去年第一季。當時它們發現駭客建立了兩個伺服器來進行水坑攻擊，這兩個伺服器一個鎖定Windows裝置，一個鎖定Android裝置，而且串連了4個存在於Windows與Chrome的零時差漏洞，以及存在於Android的已知漏洞展開攻擊。</p> <p>這4個零時差漏洞分別是存在於Chrome的CVE-2020-6418，以及出現在Windows的CVE-2020-0938 、CVE-2020-1020與CVE-2020-1027，在Google團隊發現相關的攻擊行動之前，這4個漏洞都尚未被揭露或修補。</p> <p>經過幾個月的分析，Google團隊相信此一駭客集團訓練精良，他們建立了具備多種先進開採方法的複雜程式，有成熟的紀錄，進階的後開採技術，大量的反分析，還能精確地鎖定攻擊對象。</p> <p>研究人員認為，揭露零時差攻擊程式的細節，將能讓資安社群了解駭客所制定的開採技術與策略，期望透過資訊分享，讓外界能夠明白資源豐富之攻擊行動的真正樣貌。</p> </div></div></div>
2021/1/14 12:02作者陳曉莉https://www.ithome.com.tw/news/142225
AI趨勢周報第155期：不求獎勵的RL代理就更像人類嗎？Google Brain告訴你
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0108～0114)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 增強學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 獎勵機制 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Brain </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不求獎勵的RL代理就更像人類嗎？Google Brain告訴你</strong></span></p> <p>對增強學習（RL）代理來說，獎勵機制是學習的重要手段，用來鼓勵代理探索環境、從嘗試錯誤中找出最佳解法。增強學習的著名案例，包括打敗人類圍棋冠軍的AlphaGo、自學三種棋類且達超人等級的AlphaZero、破解50年蛋白質結構預測難題的AlphaFold，以及近日登上Nature期刊、靠自學精通多種遊戲的MuZero。通常，RL被視為邁向通用AI的關鍵。</p> <p>但要設計RL代理的任務獎勵機制，往往耗時、耗錢，也容易發生人為錯誤。因此，Google Brain聯手多倫多大學和Vector研究院，透過評估3種常見的學習動機機制，來探討AI是否能像人類嬰兒般，只靠內在目標（Intrinsic objective）就能探索世界、找出最佳解法。</p> <p>這3種機制包含輸入熵（Input entropy）、資訊獲取（Information gain）、賦權（Empowerment），其中，輸入熵是鼓勵RL代理接收不常見、稀有的輸入值，而資訊獲取是用來鼓勵代理找出環境規則，賦權則鼓勵RL代理，盡可能運用自己對環境或輸入值的影響。為評估，團隊先建立含不同環境和行為的資料集，再回頭計算RL代理的目標值。團隊以1億幀Atari遊戲環境畫面來訓練7種代理（如隨機、無指令、近端策略優化（PPO）、隨機網路蒸餾（RND）等），並分為有獎勵和無獎勵兩組，而在3D遊戲Minecraft中，則用了1,200萬幀環境影像來訓練。</p> <p>團隊發現，在所有的測試中，3種機制與人類行為的相關性，高於與任務獎勵機制的相關性。這說明，如果要讓AI更像人類，就得採取接近人類的學習方法。團隊同時也指明，目前關於AI可學習的人類行為資料過少，希望能再增加。該研究的資料集和程式碼，<a href="https://danijar.com/project/agenteval/">已於共同作者Danijar Hafner的網站上釋出</a>。<a href="https://arxiv.org/pdf/2012.11538.pdf">（詳全文）</a></p> <p><img alt="" src="https://danijar.com/asset/agenteval/header.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 通用AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言理解 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeBERTa </span></strong></span></p> <p><span style="font-size: 22px;"><strong>離通用AI更近了！微軟新一代自然語言理解模型超過人類表現</strong></span></p> <p>微軟最近揭露一套改良的大型自然語言預訓練模型DeBERTa，一樣採Transformer架構，具15億個參數、48個Transformer層，更在自然語言理解基準測試SuperGLUE上超越人類的89.9分，以90.3分拿下第一名。</p> <p>自Google兩年多前發布Transformer超大自然語言預訓練模型BERT以來，就陸續出現各種變形，比如TinyBERT、DistilBERT、ALBERT，以及微軟的RoBERTa、UniLM。這次，微軟改良BERT和RoBERTa，將改良版命名為DeBERTa。DeBERTa有三大新特點，包括分解式注意力機制（Disentangled attention）、強化的遮罩解碼器（Mask decoder），還有虛擬對抗訓練的微調方法。</p> <p>有別於BERT只用單一個向量來表示一個字，微軟的分解式注意力機制利用兩個向量來代表一個字，這兩個向量分別代表字的內容與位置。而強化的遮罩解碼器，來用來表達一個字的絕對位置，最後，用於微調的虛擬對抗訓練方法，則能加強模型泛化能力。微軟指出，DeBERTa超越人類的表現，代表離通用AI又更進一步了。未來，微軟除了釋出具15億參數的DeBERTa及其程式碼，還會將模型整合到微軟圖靈自然語言表達模型的下一個版本Turing NLRv4中，來支援微軟的各種產品。<a href="https://www.microsoft.com/en-us/research/blog/microsoft-deberta-surpasses-human-performance-on-the-superglue-benchmark/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2021/01/Figure-2_DeBERTa_high-res.jpg" style="width: 1408px; height: 512px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI監管 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 法規制定 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Open Loop </span></strong></span></p> <p><span style="font-size:22px;"><strong>如何監管AI？臉書發起Open Loop計畫，號召全球決策者和科技公司加入</strong></span></p> <p>臉書日前發起<a href="https://openloop.org/?fbclid=IwAR2w3ikWi_D7HWO2Agy9XBT9FlUcxlCEXnpZ4Be3OSSTp-J2CKuxXdMvGgw">Open Loop計畫</a>，要號召世界各國的政策制定者與科技公司加入，來協助制訂AI科技應用的策略。臉書表示，AI技術很難讓人全然了解，它對社會的影響也不易掌握，因此需要一個國際組織來研議、提出相關政策的建議。</p> <p>顧名思義，Open Loop計畫是要為政策制定者與政策執行者，建立一個協作、穩健的回饋迴路（Loop）。也就是說，Open Loop的目標，是要在新法律規範頒布前，先設計原型並進行模擬測試，來讓利害關係人了解現實世界可能發生的狀況。臉書強調，政策制定者可與臉書在內的科技公司協作，建立實用的治理框架、討論出最佳的AI法律規範。<a href="https://ai.facebook.com/blog/introducing-open-loop-a-global-program-bridging-tech-and-policy-innovation">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療對話機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure Health Bot </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟把AI醫療對話機器人服務搬上Azure雲端了！</strong></span></p> <p>微軟近日釋出Azure版的醫療聊天機器人服務Azure Healthcare Bot，用戶可在Azure雲端使用Healthcare Bot服務，而原有的Healthcare Bot用戶，也可將服務直接搬上雲。</p> <p>在疫情期間，微軟Healthcare Bot獲美國疾管署等醫療機構使用，來回答COVID-19相關問題。現在，微軟宣布將Healthcare Bot搬遷到Azure雲端服務上，利用雲端基礎設施來強化Healthcare Bot能力，比如讓開發人員以內建的醫療資料庫和自然語言理解能力，來大規模建立、部署AI對話系統。Azure Health Bot目前在美東與西歐地區上線，未來還會在8個地區上線。<a href="https://azure.microsoft.com/zh-tw/blog/introducing-azure-health-bot-an-evolution-of-microsoft-healthcare-bot-with-new-functionality/">（詳全文）</a></p> <p><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/7e6ec972-e979-41d4-8f12-317156c33b99.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> JupyterLab 3.0 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺化除錯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴充 </span></strong></span></p> <p><span style="font-size:22px;"><strong>JupyterLab新版解決擴充套件的重置痛點</strong></span></p> <p>熱門資料科學工具JupyterLab日前推出第3版，更新了預設的視覺化除錯器，並加入目錄擴充套件，讓使用者查看內容更容易，此外還提供發布擴充套件的新方法。</p> <p>Jupyter Notebook提供網頁互動式運算環境，而JupyterLab是Jupyter Notebook的進階版，是Jupyter專案的新一代UI，提供文字編輯器、瀏覽器和終端等功能。JupyterLab 3.0預設提供視覺化除錯器，讓開發者可在筆記本單元和原始碼檔案下中斷點，還能檢視變數、瀏覽回呼堆疊等各種功能。此外，新版還包括目錄擴充套件，用戶可在JupyterLab中，使用如Word文件般的目錄功能。最後，JupyterLab擴充套件能以預建置的擴充套件發布，這項更新是要解決過去用戶，在使用新的擴充套件，就需要重新建置JupyterLab或是安裝Node.js的問題。<a href="https://blog.jupyter.org/jupyterlab-3-0-is-out-4f58385e25bb">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/max/700/1*RoJnb1XpB6g5geG15WgrMg.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">程式語言 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TIOBE </span></strong></span></p> <p><span style="font-size:22px;"><strong>4度奪冠！Python拿下TIOBE年度程式語言獎</strong></span></p> <p>TIOBE近日發布2021年1月的熱門程式語言排行榜，執行長Paul Jansen指出，Python在2020年的TIOBE Index成長2.01％，是所有程式語言之冠，拿下TIOBE年度程式語言獎第一名。其他得獎的語言包括C、Groovy和R，成長分別為1.66％、1.23％和1.10％。</p> <p>Python近年表現亮眼，從早期作為Perl的競爭對手，被系統管理員用來編寫腳本，到如今已成為資料科學和機器學習領域中最受歡迎的語言。Python這幾年持續挑戰Java第2名的位置，Paul Jansen表示，Python很快就會取代Java，且會坐穩第2的寶座。他分析，開發者採用Python的兩大原因，無非是容易學習且高生產率，而這兩特質對於程式設計供不應求的現況非常重要。<a href="https://www.tiobe.com/tiobe-index/">（詳全文）</a></p> <p>圖片來源／Danijar Hafner、微軟、JupyterLab</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. AI Labs招募新血！聚焦醫療影像、基因、無人機和NLP等AI領域</strong></p> <p><strong>2. 國際新創Ninu在CES亮相AI香水App，可自行設計專屬香水</strong></p> <p><strong>3. 拿捏廣告預算好難？Appier用AI自動分配熱門平臺廣告預算</strong></p> <p>資料來源：iThome整理，2021年1月</p> <div aria-describedby="bubble-16" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 83px; top: 4070px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-16"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowdown" style="left: 78.4445px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/1/14 12:06作者王若樸https://www.ithome.com.tw/news/142226
中國行銷業者「笨鳥」外洩2億名社交網路用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.safetydetectives.com/blog/socialarks-leak-report/" target="_blank">資安產品測試網站Safety Detectives於本周指出</a>，他們在騰訊於香港代管的伺服器上，發現了一個完全沒加密也不需要認證的ElasticSearch資料庫，內含2.14億名的社交網站用戶個資，包括Facebook、Instagram與LinkedIn，而該資料庫屬於中國行銷業者「笨鳥」（Socialarks）所有。</p> <p>在該資料庫所曝光的2.14億名個人檔案中，有超過1.3億為臉書用戶，逾6,600萬為LinkedIn用戶，以及超過1,000萬的Instagram用戶，這些個人檔案主要包括了使用者的姓名與電子郵件位址，臉書與IG的個人檔案中還含有電話號碼、照片及居住地等。</p> <p>至於「笨鳥」則是2014年在中國成立的行銷業者，專門提供國際貿易解決方案，號稱可協助客戶挖掘潛在客戶，尋找目標客戶，並將他們轉化成訂單，在中國設有多個據點。</p> <p>目前並不確定這些個資最初是如何外流的，臉書允許第三方藉由Facebook Login讓臉書用戶直接登入第三方服務，但並不允許第三方出售或轉移它們所收到的用戶資訊，Safety Detectives猜測，假使第三方業者未作好安全設定，駭客就能部署機器人來搜括這些臉書用戶的個資，而「笨鳥」則是自不同來源取得上述使用者的個資。</p> <p>Safety Detectives建議使用者應該盡量避免於網路上分享自己的資料，否則可能會迎來詐騙或網釣攻擊。研究人員在去年的12月14日通知了「笨鳥」，「笨鳥」並未回應Safety Detectives的郵件，但同一天即將資料庫上了鎖。</p> </div></div></div>
2021/1/14 12:14作者陳曉莉https://www.ithome.com.tw/news/142227
2021資安大預測
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1007-26-feng_mian_p1-open-900x373.jpg?itok=0Cau_DNu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#696969;">在全球傳染病COVID-19籠罩的陰影下，我們更加依賴資訊科技，也大幅提升各界對於資安的憂慮與重視，我們不只要積極揭露與修補安全性漏洞，及早預防與即時因應網路攻擊，在本國法遵、產業自律、跨國合作等層面都面臨更高的要求</span></p> </div></div></div>
2021/1/14 07:00未署名https://www.ithome.com.tw/article/142129
Amazing A32手機用戶捲入遊戲點數詐騙案，淪為人頭帳戶，需跑全臺警局說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1月初，台灣大哥大Amazing A32遭植入木馬的新聞傳出，有多位網友在網路上留言，指出他們因涉入遊戲點數詐騙案，已經跑警局或地檢署說明多次，他們看到新聞後才恍然大悟，原來問題出在自己購買與使用的手機。因此，這次事件可能有更多受害者還未浮上檯面。</p> <p>例如，我們在臺灣電子布告欄批踢踢實業坊PTT與Moblie01論壇上，都看到有網友表明自己是Amazing A32事件的受害者，而他們所吐露出的遭遇，也顯示出這起事件所帶來的影響。</p> <p>為了進一步了解受害者遭遇，我們先是聯繫在PTT上法律LAW看板發文的網友，確認事件的詳細經過並取得事件相關圖片，而該圖片顯示，他竟收到了全臺多處地檢處通知信。</p> <p>這位受害者表示，他看到Amazing A32遭植入惡意程式的新聞後，才知道之前莫名涉入的詐欺案，是因為他之前曾使用這支手機。同時，這起事件為他帶來不少麻煩，包括需要跑全臺警察局跟地檢署，不僅需要跟公司請假，也要自出車費到案說明，以敘述自身的清白，這樣的經歷，讓他相當感到相當身心俱疲。</p> <p>而從該網友提供的照片，他所收到的到案通知書，就包括臺北市、臺中市、彰化縣、雲林縣與宜蘭縣警察局，遍及全臺北中南各地。</p> <p>另一位在Moblie01發文的網友也有類似的遭遇，但特別的是，他的手機曾搭配公司門號使用，而這起案件，不僅對他也牽連到他的公司，帶來不小的麻煩。</p> <p>這位受害者表示，他當初在台灣大哥大為自己的孩子申辦門號時，同時獲得Amazing A32這隻搭配專案銷售的手機，原先是給孩子使用，後來由於手機功能陽春，於是用自己的iPhone與孩子手機交換，並將Amazing A32手機當成自己在公務聯繫使用的手機。因此，之後他以公司名義申請了另一間電信公司的門號，並將SIM卡插在這支Amazing A32手機上使用。</p> <p>後續，他收到涉入兩起遊戲點數的詐騙案的通知單，第一案已於2020年9月到案，地點在台南，第二案將於2021年1月中於新北到案說明。</p> <p>令這位受害者更頭痛的是，由於涉案門號所有人為公司，因此行文對象為公司負責人，經與警方確認後，需由這位網友與公司的總務單位擔當窗口兩人負責到案說明。</p> <p>對於這樣的狀況，該網友表示，他身為剛到職的高階主管，卻導致董事長成為刑案到案通知書的受文者，對他個人與公司都帶來極大影響。</p> <p>另外，他也說明，他們在台灣大哥大門市當初購買手機都有記錄，但在這次1月6日新聞曝光之前，台灣大哥大都沒有主動前來聯繫，包括門號申請人與手機使用者的他或他家人，直到他使用台灣大哥大App進行申訴才獲得回覆。</p> <p>綜合來看，這起事件不只是讓受影響的Amazing A32手機用戶因此涉入刑事案件，需要跑全臺多處警局與地檢署，我們還看到其他網友的回應，有人表示自己之前到案時，由於都不知道這樣的資訊，因此並沒有特別說明之前自己使用的是Amazing A32手機；也有人表示自己有一定的資安警覺性，絕沒有誤觸詐騙網址，因此，他們一直在想是哪個環節出問題，甚至想到失眠，還有個人在公司也容易被同事議論，被揶揄是否上色情網站，導致涉及遊戲點數詐騙案。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>台灣大哥大允諾提供法律上的協助</strong></span></h2> <p>自1月6日，Amazing A32手機遭植入惡意程式事件曝光，除了NCC發出聲明，台灣大哥大當日也宣布召回手機，以進行安全性軟體升級，同時也提出回收且申辦指定手機專案，將以1,000元折抵金回收該款手機（可正常開機），並另外提供1,000元帳單減免的方案。</p> <p>然而，隨著越來越多相關受害人出面，並吐露自己因此受刑事案件所擾，面對品牌商譽受影響與消費者集體訴訟，顯然台灣大哥大之前的處理方式，對於實際受影響的手機用戶而言，並不足夠，不僅是業者沒有及早公布產品遭駭，讓手機用戶可以及早防範，對於被當成詐騙人頭帳戶的手機用戶而言，先前也都沒有提出任何補救措施，有網友形容如同被放生一般。</p> <p>在1月12日，台灣大哥大發出新的聲明公告，指出將提供受影響手機用戶必要的法律協助。</p> <p>在新的聲明當中，台灣大哥大允諾提供法律上的協助：包括提供專線聯絡方式，協助用戶備妥相關聲明與文件，並代表與警方溝通，若是法定程序有傳喚必要，台灣大哥大也願意指派律師陪同前往。另外，對於手機用戶因為本次事件到案說明，所造成的來回車資與請假期間薪資損失，台灣大哥大也將提供補償，若有特殊狀況，客服人員也將以專案協助處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%202%E5%9C%96%EF%BC%89Amazing%20A32%E9%81%AD%E6%A4%8D%E5%85%A5%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8F.jpg" style="width: 600px;" /></p> <blockquote><p>台灣大哥大在1月12日發表新的聲明，對於使用Amazing A32手機的用戶，成為詐領遊戲點數人頭帳戶而遭警方調查，表示歉意並承諾提供必要法律協助。</p> </blockquote> <p> </p> </div></div></div>
2021/1/13 22:22作者羅正漢https://www.ithome.com.tw/news/142204
科技部揭2021年四大科技政策方向，透露考慮設嘉義和屏東軟體科學園區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技部今（13日）揭露2021年發展方向，鎖定先進網路、A世代半導體與量子電腦、精準健康、資安等4大領域，要在今年完成國家級海纜交換中心的初步建置，並建立國家級生醫資料分享平臺、成立資安卓越中心（CoE）。同時，科技部也瞄準太空和衛星產業，不只將《太空發展法》草案交由行政院送審，更要發展B5G低軌通訊衛星，來補足5G通訊需求。科技部部長吳政忠也透露，科技部還將評估、建置嘉義和屏東軟體科學園區。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">300億元發展基礎科研與人才培育</span></span></strong></p> <p>回顧2020年，科技部除延續既有基礎科研和人才培育作業外，還成立了量子國家隊、國防科技學研中心，也推動精準健康戰略產業發展方案、簽訂臺美科學及技術合作協定。今年，吳政忠將2021年科技發展策略分為三大部分，也就是基礎科研與人才培育、前沿科技研究，以及創新轉型。</p> <p>就基礎科研與人才培育來說，今年，科技部爭取到300億元預算，要來鞏固基礎研究資源和制度。科技部表示，今年將鼓勵更多女性投入STEM（即科學、技術、工程和數學）領域，透過專題計畫補助方式來推動。</p> <p>就科普而言，去年，科技部舉辦一系列科普活動，如科學家的秘密基地、Kiss Science、科普列車等，今年，科技部將跨部會擴大辦理，將經濟部和教育部等部會納入，並嘗試公私協力來推動。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">建置國家級海纜交換中心、國家級生醫資料分享平臺</span></span></strong></p> <p>接下來是科技部的發展重點：前沿科技研究，可分為4大任務，包括先進網路、A世代半導體和量子電腦、精準健康、資安。</p> <p>針對先進網路，吳政忠坦言，國內的網路建設，在過去十年未有大規模的建設。而去年，「正好是個轉折點，」因為Google、臉書大舉投資，要建置全球最大的跨國海纜，從美國一路連至香港，但後來因故暫停。</p> <p>而科技部自去年初，就開始布局海纜建設，今年，更要建置國家級海纜介接交換中心，預計年底會有初步成果。吳政忠指出，這個海纜交換中心將落腳臺灣南部，海纜將串聯至南向國家，再到歐洲。他表示，國家級海纜中心的建置，不只能提升民間和政府的網路順暢度，更能吸引國際業者來臺設立內容傳遞網路（CDN）、建置資料中心，讓臺灣成為亞太資料樞紐。</p> <p>就A世代半導體和量子電腦來說，科技部將著重半導體人才培育，從大學教育開始著手。吳政忠表示，AI世代半導體的佈局，也是為因應未來AI更高速、更微小化的運算需求。</p> <p>至於精準健康，去年，科技部已提出「臺灣精準健康戰略產業發展方案」，同時透過會議將生技產業領域擴大，除原本的醫藥、醫材業者外，還多納入ICT業者。今年，科技部要整合這些產業，並跨部會與衛福部、經濟部共同推動精準健康大數據永續平臺，來發展預防、診斷、治療、照護相關的智慧應用。</p> <p>除此之外，科技部還要建置國家級的生醫資料分享平臺，以及轉譯生醫巨量資料庫，並研議智慧醫療法規的沙盒實驗架構。</p> <p>再來，科技部前沿科技研究的最後一個任務：資安，則是要建置資安卓越中心（CoE），還要輸出臺灣資安產品至國際，目標是要成為亞洲高捷資安人才及技術創新基地。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">評估設置嘉義、屏東軟體科學園區</span></span></strong></p> <p>科技部2021年的創新轉型策略中，有3大重點。首先是推動新創資金扶助機制，科技部在去年聯手經濟部、國發會，建立一套新創接棒育成機制，針對新創需求，在不同階段給予資金，而今年，才是要持續推動跨部會的新創資金協助政策。此外，科技部也將持續推動TTA黑卡機制，來吸引國外人才進駐臺灣。</p> <p>第二個重點是科學園區的發展。吳政忠透露，今年，科技部將委由南科管理局評估嘉義和屏東科學園區的建置可能性，包括考量當地產業、高鐵站點的分布等。他強調，這2處科學園區將以新型態概念來規畫，也就是小而美、低耗能，並以「軟體為主，」結合當地產業特色。</p> <p>第三個重點是太空發展和衛星產業。去年12月，科技部已研擬《太空發展法》草案，並將草案送審行政院，今年將於立法院審議。太空發展法草案分為4面向，包括法制基礎、產業發展、太空活動和生活福祉，來明定主管機關、研修配套法規，以及提供和管理發射場域等細節。</p> <p>除了法規，為推動太空產業發展，科技部也啟動立方衛星計畫，要培育國內新一代太空技術人才，並驗證國產相關元件。吳政忠解釋，立方衛星體積雖小（約10公分x10公分x20公分），但仍能發揮作用，比如追蹤全球的飛機飛行軌跡、監測環境變化等。目前，臺灣有3顆國產立方衛星，其中2顆將於1月21日由SpaceX火箭發射，可說是臺灣第一起大規模立方衛星發射活動。</p> <p>最後，科技部也將B5G（Beyond 5G）低軌通訊衛星納入發展重點。這是因為，5G時代網路傳輸需求量大增、IoT應用也不斷擴增，可靠B5G衛星來擴大通訊範圍，「讓通訊無死角。」吳政忠表示，今年將啟動低軌通訊衛星計畫，要跨部會開發低軌通訊衛星技術和系統。文◎王若樸</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 284.444px; top: 22.2222px; width: 1017.67px; height: 14.4444px;"> </div> <div aria-describedby="bubble-5" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 114px; top: 46px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-5"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 773.444px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/1/13 18:16作者王若樸https://www.ithome.com.tw/news/142202
SolarWinds供應鏈攻擊的肇事源頭為Sunspot惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SolarWinds與資安業者CrowdStrike在本周揭露了SolarWinds Orion Platform供應鏈遭到駭客攻擊的路徑，CrowdStrike發現，該攻擊的源頭為Sunspot惡意程式，而且駭客自2019年9月便開始布局。</p> <p>SolarWinds聘請了CrowdStrike、DLA Piper與KPMG作為此次資安事件的顧問，<a href="https://orangematter.solarwinds.com/2021/01/11/new-findings-from-our-investigation-of-sunburst/" target="_blank">調查發現</a>，駭客從2019年9月就開始布局，當時SolarWinds曾在內部系統發現可疑行動；同年10月，Orion Platform版本就遭到竄改，似乎是駭客用來測試其嵌入惡意程式碼的能力；而2020年2月釋出的Orion Platform版本便被植入了Sunburst木馬程式。</p> <p>而<a href="https://www.crowdstrike.com/blog/sunspot-malware-technical-analysis/" target="_blank">CrowdStrike在分析SolarWinds軟體建置伺服器之後</a>，指出駭客精心打造了一個名為Sunspot的惡意程式，將它植入Orion Platform的更新套件中，Sunspot內建許多防護機制，以確保Orion Platform版本不會因此而故障，並讓Sunspot不被任何偵測系統察覺，同時避免SolarWinds開發者發現Sunspot的存在。</p> <p>而Sunspot的主要功能為偵測Orion產品的編譯程序，再伺機把Orion Platform的其中一個檔案置換成含有Sunburst木馬程式的檔案。</p> <p>SolarWinds指出，Sunburst攻擊行動可能是史上最複雜也最精密的網路攻擊，駭客同時繞過了由SolarWinds、私人企業與政府機構所建立的多種威脅偵測機制，在Sunburst進入了SolarWinds客戶的IT網路之後，還能躲過這些受害者環境中的防火牆與安全控制。</p> <p>SolarWinds亦強調，該公司所使用的軟體開發與建置程序對整個軟體產業來說是很普遍的，相信分享該公司被駭的程序將能協助軟體產業於未來建置更安全的環境。此外，雖然資安專家的共識是相關攻擊來自外國政府支持的駭客行動，但迄今仍無法確認駭客的身分與來源。</p> </div></div></div>
2021/1/13 16:46作者陳曉莉https://www.ithome.com.tw/news/142196
攻擊者可利用瀏覽器的旁路資訊洩漏，以HTML頁面竊取跨來源圖片資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-16012">Chromium</a>以及<a href="https://blog.mozilla.org/attack-and-defense/2021/01/11/leaking-silhouettes-of-cross-origin-images/">Firefox</a>遭揭露允許攻擊者，透過精心撰寫的HTML頁面，來竊取不應被存取的跨來源圖片內容。該攻擊的原理是利用CanvasRenderingContext2D.drawImage繪製不同透明度畫素的時間差，來推斷每個畫素的透明度，進而讀取透明背景中的文字圖片。</p> <p>由於相同來源政策以及畫布（Canvas）元素的限制，網頁JavaScript並無法讀取其他網站的內容，網站只能夠將不同來源的資源，嵌入到頁面中，但是不能對其進行讀取。發現此臭蟲的軟體工程師Aleksejs Popovs解釋，嵌入的意思是，儘管網站頁面可以包含來自其他來源的圖像，而且瀏覽器也會在頁面上顯示該圖像，但是該頁面還有執行的JavaScript程式碼，都不能夠獲取圖像的內容。</p> <p>而Canvas這個HTML元素，也會阻止網頁獲取第三方圖片內容。Canvas元素類似圖像，但是可透過JavaScript進行操作，以在頁面上繪製形狀、文字和圖像等，並讓開發者能夠對Canvas上的每個畫素，進行讀取和寫入，而使用CanvasRenderingContext2D.drawImage函式，則可以將嵌入到頁面中的圖像，繪製到Canvas上，為了防止攻擊者將Canvas用來繪製圖片，再藉由讀取Canvas的畫素來獲取圖片內容，因此一旦Canvas被標記已繪製，就無法再被讀取。</p> <p>在瀏覽器與HTML元素的機制，能夠確保網站頁面無法讀取第三方圖像，但是這項機制卻能被惡意攻擊者，利用旁路（Side-channel）資訊來破解。由於圖像中的畫素可能具有不同的透明度，經過最佳化的圖像繪製函式庫，會根據不同的透明度，以不同的程式碼來繪製圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/bench.png" style="width: 580px; height: 213px;" /></p> <p>依畫素透明度不同，會有三種情況產生，當畫素為全透明，顏色不需要經任何計算，便可直接繪製，而不透明畫素的處理方式也一樣簡單，直接繪製並覆蓋目標畫素，但是半透明的畫素，就需要經過一些計算，必須將圖像的畫素顏色，與已經繪製的顏色混合，經過一些數學計算才能取得最終顏色。</p> <p>由於繪製三種不同程度的透明度，存在效能上的差異，因此透過量測每個畫素繪製的時間，就可以重現圖片的輪廓，而這足以暴露圖片中的內容，尤其是文字圖片或是透明背景的圖像。由於Firefox和Chromium都是使用Google的Skia繪圖函式庫，該函式庫在blit_row_s32a_opaque函式，特別針對這三種情況進行最佳化，因此反而洩漏圖像資訊。Aleksejs Popovs撰寫的概念性驗證程式，已證實攻擊者可以用此漏洞，破解第三方嵌入圖像。</p> <p>此漏洞存在一些限制，除了只能取得圖像輪廓之外，由於現在瀏覽器會啟用GPU加速，因此使得畫素顏色計算時間沒有明顯差異。不過，Firefox並沒有在所有配置都支援GPU加速，只有大部分Windows用戶可以獲得GPU加速，但是其他平臺則不一定，因此可能受到此漏洞影響，而Chromium已經在大多數硬體提供GPU加速功能，因此只有在瀏覽器無法使用GPU渲染時，才會受到此漏洞影響，Aleksejs Popovs表示，可以透過其他漏洞使GPU驅動程式崩潰，強制切換瀏覽器使用CPU來繪製圖像，攻擊者仍然可以有效使用此漏洞。</p> <p>Aleksejs Popovs在去年5月，已經向Mozilla與Google揭露此漏洞，Google在8月的時候修復Skia函式庫，並合併到Chromium中，使得Chromium不受此漏洞影響，而由於Firefox也使用Skia繪圖函式庫，因此Mozilla也已經將Skia更新合併到Firefox，完成漏洞修復工作。</p> </div></div></div>
2021/1/13 17:00作者李建興https://www.ithome.com.tw/news/142194
Visa收購Plaid一案正式告吹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/135336" target="_blank">Visa在2020年的1月宣布</a>將以53億美元買下金融新創Plaid，但美國司法部同年的12月<a href="https://www.ithome.com.tw/news/140969" target="_blank">針對該案提出反托拉斯訴訟</a>，使得<a href="https://usa.visa.com/about-visa/newsroom/press-releases.releaseId.17586.html" target="_blank">Visa與Plaid在本周二（1/12）宣布</a>，將終止此一併購協議。</p> <p>2013年於美國舊金山成立的Plaid打造了一個技術平臺，以讓各種應用程式能夠連結使用者的銀行帳號，可協助開發人員建置金融應用，原本Visa打算將Plaid納入麾下，以拓展業務，然而，司法部卻認為Plaid技術對Visa造成威脅，Visa是藉由併購來消弭競爭。</p> <p>同意放棄收購Plaid的Visa表示，他們認為Plaid與Visa是互補的，而非競爭的，也相信在法院會取得最終的勝利，但從宣布併購Plaid迄今已整整一年，而要解決此一複雜的訴訟可能曠日廢時，因而與Plaid達成共識，決定終止雙方的併購協議，未來彼此將持續以投資者及合作夥伴的角色進行合作。</p> <p>而<a href="https://www.justice.gov/opa/pr/visa-and-plaid-abandon-merger-after-antitrust-division-s-suit-block" target="_blank">司法部負責反托拉斯部門的Makan Delrahim則</a>說，美國消費者與企業仰賴網路來購買及出售商品，Visa在美國具有強大的網路借方勢力，現在Visa放棄了對其競爭對手Plaid的收購案，代表Plaid與其它金融科技創新者，將能自由地發展有別於Visa網路借方服務的各種新服務，有更多的競爭，消費者才能期待更低的價格與更好的服務。</p> <p>消息傳出的當天，Visa股價微幅下滑了1.89%，以208.86美元作收。</p> </div></div></div>
2021/1/13 13:26作者陳曉莉https://www.ithome.com.tw/news/142191
WhatsApp澄清：資訊分享臉書不適用個人私訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/142081" target="_blank">WhatsApp上周傳出</a>要求用戶同意將資料分享給臉書才能繼續使用，引發用戶轉向Telegram、Signal等通訊軟體。但<a href="https://twitter.com/WhatsApp/status/1348839600333049857" target="_blank">WhatsApp昨天說</a>這是誤傳，因為資訊分享給臉書的措施，不會影響到個人用戶和親友的私訊。</p> <p><a href="https://twitter.com/WhatsApp/status/1348839603071930368" target="_blank">WhatsApp表示</a>該公司要100%釐清，該公司會持續以端對端加密來保護用戶私訊。預計於2月8日生效的新版隱私政策，並不會影響用戶和親友通訊的隱私性。</p> <p><a href="https://twitter.com/wcathcart/status/1347660770746585089" target="_blank">WhatsApp主管Will Cathart上周報導隔天出面解釋</a>，新政策只適用於消費者以WhatsApp和店家之間的通訊。每天有1.75億人透過WhatsApp和店家帳號通訊，但目前沒有工具可以幫店家有效並快速回應這些消費者訊息，新用戶政策目的是在藉由分析WhatsApp上的支付和購物功能資訊，幫消費者更容易在WhatsApp上購物。而且這些資訊蒐集也是可選擇不加入。</p> <p>他指出，WhatsApp的安全技術，像是端到端加密，以及訊息自動消失功能都會持續存在，並表示WhatsApp也會持續發展技術和措施，確保用戶通訊的私密和安全。</p> <p><a href="https://twitter.com/WhatsApp/status/1348839600333049857" target="_blank">WhatsApp宣稱</a>該公司不會記錄用戶通訊對象、不會將聯絡人分享給臉書，WhatsApp和臉書都看不到用戶分享出來的定位。</p> <p>該公司的新版用戶政策要求，用戶若要繼續使用WhatsApp，必須同意WhatsApp將它蒐集到的用戶資料，包括電話、使用者身份、上網紀錄、裝置軟、硬體及定位資訊分享給臉書及旗下業務，包括Portal裝置、以臉書帳號登入的Oculus等等，以便顯示個人化廣告或服務建議。</p> <p>新版用戶政策預計2月8日生效並推行到全球。但有三者除外，一是歐盟經濟區域（EEA）及英國用戶，<a href="https://www.vice.com/en/article/mg7pa3/whatsapp-facebook-phone-number-how-to" target="_blank">以及2016年8月底起算30天內有設定Opt out，退出不分享資訊給臉書的用戶</a>。</p> <p>不知道這番澄清是否能挽回用戶的心，因為上周Signal五天內用戶增加750萬，Telegram更在三天內新增2500萬用戶。</p> </div></div></div>
2021/1/13 13:40作者林妍溱https://www.ithome.com.tw/news/142192
思科控告反悔不想被收購的Acacia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.cisco.com/news/news-details/2021/Cisco-Provides-Update-on-Acacia-Acquisition/default.aspx" target="_blank">思科本周告上法院，阻止</a>反悔不想給它收購的光纖通訊模組供應商Acacia解除關係，不過Acacia隨後也反控思科。</p> <p><a href="https://www.ithome.com.tw/news/131784" target="_blank">思科2019年宣佈</a>欲以26億美元收購供應該公司光纖網路元件的Acacia，表示該收購將能補足現有企業網路產品線。</p> <p><a href="http://ir.acacia-inc.com/news-releases/news-release-details/acacia-communications-terminates-merger-agreement" target="_blank">不過Acacia上周表示要終止這樁收購</a>，且立即生效。原因本案成立前提是思科必須滿足特定必要條件，包括在2021年1月8日前內取得審理本案的市場競爭主管機關批准，否則其中一方都有權終止收購。然而思科未能在期間內獲得中國國家市場監督管理總局（ State Administration for Market Regulation）的批准，因此Acacia認為沒有完成收購的義務，並行使終止交易的權利。</p> <p><a href="https://investor.cisco.com/news/news-details/2021/Cisco-Provides-Update-on-Acacia-Acquisition/default.aspx" target="_blank">思科在同一天做出反擊</a>，向德拉瓦州商業法院申請臨時限制令，意在禁止Acacia終止兩公司的收購案，該限制令已經生效。思科並要求法院確認它已滿足收購Acacia的所有條件。思科宣稱，1月7日中國主管機關已經通知思科，繳交的文件已足以解決相關的競爭疑慮。</p> <p><a href="http://www.globenewswire.com/news-release/2021/01/11/2156644/0/en/Acacia-Communications-Files-Counterclaim-Against-Cisco.html" target="_blank">周一Acacia對此回應</a>，並對思科提出反訴。Acacia認為中國市場監督管理總局一名員工於1月7日發出的電子郵件，並不足以視為正式批准。Acacia表示會捍衛自己的立場，不過期間仍將持續遵守法院暫時限制令相關的合併案條款。</p> </div></div></div>
2021/1/13 14:01作者林妍溱https://www.ithome.com.tw/news/142193
WhatsApp宣布用戶資料分享給臉書後，對手Signal、Telegram下載量爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從WhatsApp傳出將分享用戶資料給臉書等集團公司後，用戶湧向其他以提供全程加密為號召的通訊軟體，包括Signal及Telegram都在短短幾天內下載量爆增。Signal 五天成長43倍，Telegram三天新增2500萬用戶。</p> <p><a href="https://www.cnbc.com/2021/01/12/signal-telegram-downloads-surge-after-update-to-whatsapp-data-policy.html" target="_blank">CNBC引述網路調查業者SensorTower的數據報導</a>，從WhatsApp宣佈那天（1/6）到1/10，短短五天內App Store及Google Play Store下載安裝Signal的次數，已將近750萬次，是前一周的43倍。</p> <p>Signal用戶激增可能要歸功於特斯拉執行長Elon Musk，在粉絲數4200萬的推特上號召改用Signal，下載流量爆增導致多家行動電信業者發送驗證碼延遲，以及部份新用戶聯絡人顯示速度太慢等問題，狀況也持續三天才解決。</p> <p>另一個取代方案Telegram也在上周下載量爆增。<a href="https://t.me/durov/147" target="_blank">Telegram創辦人暨執行長Pavel Durov昨天指出</a>，1月第一周，Telegram每月經常用戶數超過5億人。但WhatsApp事件後短短三天內就有2500萬名新增用戶。分析來源地區，新增用戶來自全球各洲，38%來自亞洲，27%來自歐洲、拉丁美洲佔21%，中東及北非（MENA）佔8%。</p> <p>他指出，雖然Telegram去年每天新增150萬名用戶，也經常有下載流量爆增的現象，但這次不同了。這顯示使用者再也不想拿隱私換取免費服務，不想成為科技巨擘們的人質，被掌握多數用戶群的大廠們予取予求。</p> <p>不過為了應付大量增加的用戶頻寬，<a href="https://www.ithome.com.tw/news/141929" target="_blank">Telegram也宣布</a>在今年於部份商用訊息頻道加入廣告，以籌措財源。</p> </div></div></div>
2021/1/13 12:33作者林妍溱https://www.ithome.com.tw/news/142189
擔心遭報復，臉書告誡員工不要穿戴有公司商標的服飾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.theinformation.com/articles/facebook-tells-employees-to-avoid-wearing-facebook-branded-apparel" target="_blank">The Information的報導</a>，臉書最近告誡員工不要穿戴有公司商標的服飾，<a href="https://www.businessinsider.com/amazon-cloud-exec-warns-employees-vigilant-after-parler-ban-2021-1?r=US&IR=T" target="_blank">Business Insider則說</a>，AWS要工程師注意該公司資料中心中任何不尋常的活動，儘管這兩家業者並未明說，但顯然是擔心因封鎖川普（Donald Trump）及Parler而遭到報復。</p> <p>臉書在內部備忘錄中表示，有鑑於最近發生的事件，為了謹慎起見，這個時候最好不要穿戴有臉書商標的服飾。</p> <p>至於AWS副總裁Chris Vonderhaar則發了封主旨為「保持安全與警覺」（be safe, be vigilant）的內部電子郵件，督促團隊記得回報在資料中心所發生的任何異常行為，不論多小的事件都不應輕忽，並說Amazon正密切注意美國的內亂情況。</p> <p>此外，AWS也禁止工程師在周一（1/11）與周二（1/12）進行任何的服務變更或升級，要執行任何更動之前都必須事先取得授權。</p> <p>在臉書或AWS的告誡信中，並未提及川普或Parler。然而，美國近來的暴動、臉書封鎖川普、AWS關閉Parler，都讓業者擔心遭到報復，包括實際攻擊或是網路攻擊，因而提醒員工要保持安全。</p> </div></div></div>
2021/1/13 13:09作者陳曉莉https://www.ithome.com.tw/news/142190
研究人員在Parler服務被AWS中斷前封存用戶貼文，被FBI用來調查國會暴動案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名崇尚言論自由的駭客@donk_enby，在AWS切斷Parler服務之前封存了Parler用戶曾張貼的所有內容，並將它們公諸於世，@donk_enby是利用合法途徑取得了這些內容，但因Parler並未移除用戶所上傳的照片與影片上的位置資料，外傳美國聯邦調查局（FBI）已利用這些資料進行蒐證，尋找參與上周美國國會暴動的嫌犯。</p> <p>在Google與蘋果相繼下架Parler行動程式之後，@donk_enby決定採取行動封存Parler上所有用戶張貼的內容，並在AWS宣布將中斷Parler服務之外，@donk_enby廣邀其他駭客加入，總計封存了80TB的資料，宣稱該站99.99%的貼文都已被存檔。@donk_enby除了公開其封存內容之外，也說未來會將相關檔案提交給網際網路檔案館（Internet Archive）進行保留。</p> <p><a href="https://twitter.com/donk_enby/status/1348666166978424832" target="_blank">@donk_enby強調</a>，她是利用合法程序取得了Parler站上的內容，並未存取Parler用戶的電子郵件位址、電話號碼或信用卡資訊，除非使用者自行於貼文中公布。</p> <p>網站資料輕易被封存使得外界開始質疑Parler的安全機制。<a href="https://arstechnica.com/information-technology/2021/01/parlers-amateur-coding-could-come-back-to-haunt-capitol-hill-rioters/" target="_blank">Ars Technica的安全編輯Dan Goodin指出</a>，Parler網站簡直是一團亂，要使用其公開API完全不需認證，且當使用者刪除貼文時，該站只是加註了刪除標誌，而未真的將貼文從伺服器上移除；此外，用戶的每則貼文都有連續編號，因此很容易利用自動化工具進行蒐括；Parler的另一個錯誤是，它並未消除用戶所上傳照片及影片時的位置資訊。</p> <p><a href="https://blog.avast.com/parler-data-hacktivism-avast" target="_blank">資安業者Avast則說</a>，雲端通訊平臺Twilio在1月10日移除對Parler的支援，更讓此事雪上加霜，因為這代表當時Parler用戶已無法再使用電話認證或雙因素認證服務，讓打算存取Parler網路的駭客更容易建立個人檔案。</p> <p>Parler標榜自己是個中立的社交平臺，在遭到AWS封鎖之前擁有1,500萬名用戶，不過，Avast批評Parler的安全性不足，根本無法保護用戶的隱私，去年11月就曾傳出Anonymous取得了6.3GB的Parler用戶個資，涵蓋電子郵件帳號、密碼與照片。</p> <p>總之，由於@donk_enby封存了Parler站上所有的貼文，包括已被刪除的貼文，以及圖片/影片的地理資訊，<a href="https://gizmodo.com/parler-users-breached-deep-inside-u-s-capitol-building-1846042905?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Gizmodo則報導</a>，FBI已利用這些內容來進行蒐證。</p> </div></div></div>
2021/1/13 12:02作者陳曉莉https://www.ithome.com.tw/news/142188
【2021資安大預測】趨勢11：金融業資安｜金融科技新興風險與資安水平再提升成無可避免的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，金融科技、數位金融創新議題不斷，各式日新月異的技術正促使金融服務型態改變，加上金融業原本就是高度利用資訊科技的產業，這也使得現在金融業的資訊安全風險議題，成為2021年的一大焦點。</p> <p><strong><span style="font-size:28px;">開放銀行下的資安議題最受注目</span></strong></p> <p>隨著國內金融法規的鬆綁，金融數位轉型的驅動，包括開放金融業資料可以存放到雲端服務、核發純網銀執照、開放銀行（Opening Banking），以及擴大行動支付之應用與創新等，帶來新的業務型態，也打破了傳統金融面貌。</p> <p>相應而來的資安防護挑戰，就成為現下金融業者將面臨的一大挑戰。舉例來說，關於雲端服務面向的安全，過去金融業可能不用關注，但現在，對於雲端的控制措施、風險評估、監控與查核等，也成守備範圍。此外，在開放銀行之下，將讓更多方單位擁有金融資訊，相對而言，駭客也有更多攻擊的途徑。</p> <p>因此，不論是個資安全與風險、第三方服務提供者（TSP）的相關資安規範要求，資料共享與風險權責畫分，還有大數據的潮流之下，去識別化應用的發展趨勢，甚至AI應用的可信賴準則等，金融科技下的安全思維轉變，都會成為需要關注的議題。</p> <p><span style="font-size:28px;"><strong>金融業資安現況仍有強化空間</strong></span></p> <p>除了新興資安風險議題，當前金融業的資安防護現況，也值得關注。特別的是，我們近期看到有業者公布相關調查報告，打破以往我們對金融業的印象。</p> <p>在2020年，安侯建業聯合會計師事務所（KPMG）有一項調查，是以外部的網際網路風險來檢視，並篩選50家臺灣各產業企業。調查中指出，雖然金融業在許多防護面向都優於產業平均，包括SSL/TLS強度、漏洞修補管理等，不過KPMG認為，金融業在相關方面能力並未顯著領先，特別是DNS防護與DDoS緩解措施的部分，他們發現部分金融業者還比產業平均值落後。而這樣的調查結果，其實也提醒了國內金融業者，不要以為金融業受高度監管，資安投資通常也比其他產業高，就可以滿足於現況。</p> <p><strong><span style="font-size:28px;">強化金融產業資安成國際共同目標</span></strong></p> <p>對於如何強化金融業資安，我國金融監管單位與金融業都在關注，也期望向國際經驗借鏡。現今有哪些重點值得關注？例如，美國聯邦金融機構檢查委員會（FFIEC）發展的網路安全評估工具（Cybersecurity Assessment Tool），就是能幫助金融機構精進資安治理，當中包含資安風險與情資的管理，內控與委外關係的管理，以及事件回應等面向。</p> <p>因此，金管會在2020年提出的金融資安行動方案，就鼓勵金融機構辦理資安治理成熟度評估，他們也正推動十多家金融機構，試行網路安全評估工具。</p> <p>此外，近年還有歐洲銀行監理總署（EBA）發布的「資通科技及安全風險管理指引」，以及新加坡金融管理局發布的「網路安全公告」，這樣的國際趨勢，都突顯強化金融產業網路安全的必要性，相關強化措施也成我國需要密切關注的趨勢。另外，針對金融界的攻擊手法越來越精密，為讓關鍵金融資產的保全能夠多一道防線，近年美國產業提出的「避風港計畫」，也被視為金融業在資料保護上的新焦點。</p> </div></div></div>
2021/1/13 07:00作者羅正漢https://www.ithome.com.tw/news/142125
GitLab發布更新以修復API存取權杖漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab發布最新適用於<a href="https://about.gitlab.com/releases/2021/01/07/security-release-gitlab-13-7-2-released/">社群版以及企業版的13.7.2、13.6.4和13.5.6更新</a>，這次更新版本包含高嚴重性的API存取令牌漏洞，以及多個中度嚴重等級的阻斷服務漏洞修復程式，官方強烈建議使用者立即將所有GitLab安裝，升級至這幾個最新版本。</p> <p>官方提到，從GitLab 11.5開始的所有版本，都存在一個高嚴重性漏洞，可讓惡意攻擊者透過GitLab Pages竊取使用者API存取權杖，這個問題是因為GitLab Pages中，對身份驗證參數驗證不足所產生。</p> <p>這個漏洞是透過HackerOne漏洞獎勵計畫回報，目前該漏洞尚未取得CVE ID，不過官方已經修復，並且強烈建議所有受影響的安裝版本，應該盡快升級到最新版本。GitLab Pages是讓使用者可以簡單地從GitLab儲存庫，發布靜態網站的功能。</p> <p>內部開發團隊發現GitLab 13.7以上的安裝，存在一個中等嚴重性的CVE-2021-22166漏洞，該漏洞允許攻擊者發送格式錯誤的HTTP請求，阻斷Prometheus的服務，解決辦法也是要求用戶，盡快更新到最新GitLab版本。</p> <p>這次更新還修復了另一個中等嚴重性的漏洞，該漏洞讓未經過授權的用戶，可以在特定條件下存取私人儲存庫資訊，所有GitLab 12.1以上的版本，都受到該漏洞影響，官方提到，在特定專案的頁面中使用不正確的標頭，讓攻擊者可以暫時讀取，在公開儲存庫中僅供成員存取的專案資訊，該漏洞是由白帽駭客通過HackerOne漏洞獎勵計畫，將漏洞回報給GitLab。</p> <p>另外，舊版GitLab的NuGet API以及套件上傳功能，存在正規表示式阻斷服務漏洞，NuGet API漏洞影響所有GitLab 12.8以上版本，而套件上傳漏洞則影響GitLab 12.8以上版本。後者漏洞的形成原因，是由於套件名稱的正規表示式實作方法造成，在接受惡意輸入字串後，執行時間會以平方的速度增加。</p> <p>GitLab在這次的更新版本中，變更了資料庫配置，將原本設定為可信任（Trusted）的所有執行個體OAuth應用程式，變更設定為機密（Confidential），而根據最佳實踐，這樣的改變將要求應用程式，在OAuth流程中發送client_secret，如此才能解決過去版本存在的安全性問題。</p> <p>官方提到，當用戶有任何自定義執行個體的應用程式，在配置變更後出現問題，這代表客戶端在OAuth身份驗證過程中，沒有發送client_secret，或是正在使用隱含流程（Implicit Flow）。官方給出兩個解決辦法，除了客戶端在授權碼流程中，發送client_secret之外，也能將應用程式切換回非機密狀態，不過在這個情況，官方也建議用戶要將應用程式設定為不受信任，如此在沒有發送client_secret時，當應用程式請求存取權杖，則系統會要求用戶進行明確地對應用程式進行授權驗證。</p> </div></div></div>
2021/1/13 10:00作者李建興https://www.ithome.com.tw/news/142180
.NET 5強化多項網路功能，並開始提供HTTP/3實驗性支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 5在去年的時候正式發布，而直到現在微軟才詳細地揭露，他們對<a href="https://devblogs.microsoft.com/dotnet/net-5-new-networking-improvements/">.NET 5網路堆疊</a>所做的功能強化，獲得改善的網路功能範疇，包括HTTP、Sockets、網路相關安全性以及部分網路原語。</p> <p>在.NET 5中，HTTP開始擁有更好的錯誤處理能力，微軟提到，他們對HTTP領域進行了多項改進和修復，像是其中一個常被要求的功能，是在使用HttpClient的時候，希望能從取消的情況中區分逾時。</p> <p>微軟所做的改進包括讓開發者可以使用自定義CancellationToken，來區分逾時和取消，為了向後相容，客戶端仍會丟出TaskCanceledException訊息，但是內部的異常情況則是TimeoutException。另一個改進是在HttpRequestException中加入HTTP狀態代碼（HttpStatusCode），新的狀態代碼屬性可為空值，並在EnsureSuccessStatusCode被呼叫的時候進行設定，可以用在異常過濾器中。</p> <p>.NET 5的特色之一，便是提供一致的開發體驗，而這個想法也在網路相關的實作中貫徹，過去.NET Core中的HTTP堆疊，相依於平臺的處理程式（Handlers），像是WinHttpHandler以Windows的WinHTTP為基礎，而適用於Linux和Mac的CurlHandler，則是以libcurl為基礎，微軟提到，由於這兩個函式庫的差異，因此不可能對每個平臺維持一致性。</p> <p>所以微軟開始在.NET Core 2.1中，加入了一個稱為SocketsHttpHandler的HTTP實作，並且花費大量心力強化其功能與可靠性，並且從System.Net.Http.dll中，完全刪除相依於特定平臺的處理程式。在.NET 5中，微軟持續強化這樣的想法，拿掉讓開發者自由切換回舊方法的選項，不過開發者仍然可以透過下載獨立的NuGet套件，繼續使用WinHttpHandler。</p> <p>微軟提到，因為HttpClient是高階API，使用起來很方便，但是相對的，也就缺少一些靈活性。考量進階情境可能需要更靈活地使用方式，微軟在.NET 5中，對SocketsHttpHandler加入了兩個擴充功能點ConnectCallback和PlaintextStreamFilter，以強化其靈活性。</p> <p>ConnectCallback讓開發者可以創建自定義連接，當每次開啟新的TCP連接時，都會呼叫ConnectCallback函式，該回呼函式能夠被用來創建程序內傳輸、控制DNS解析，甚至是控制通用或是特定平臺的底層Socket選項。而另一個回呼函式PlaintextStreamFilter，則讓開發者可以在新開啟的連線上，插入自定義層，應用程式在完全建立連接之後，但在發送任何HTTP之前，會先觸發此回呼函式，開發者可以將其用於監聽安全連線中，發送的明文資料等應用。</p> <p>由於HTTP/3和其底層傳輸層QUIC，還在最後標準化階段，.NET 5使用開源QUIC協定跨平臺實作MsQuic，加入了對HTTP/3的實驗性支援，官方仍不建議將其用在正式產品中。QUIC是一種基於UDP的傳輸標準，比建立在TCP之上的連接，擁有更快的交握速度，還對單一連接中的多請求，提供更穩定的多路複用能力，也能對行動客戶端，在多重網路環境中，提供更平順的切換體驗。</p> <p>而.NET 5也彌補了.NET Core在遙測方面的弱點，過去要監控.NET Core應用程式並不方便，用戶只會收到冗長且不一致的日誌訊息，而且監聽這些訊息，還可能會對效能產生影響。.NET 5以EventSource為基礎，設計並且實作了一系列新的遙測事件和計數器，僅占用少量CPU資源，就可讓用戶良好地監控.NET 5應用程式。</p> <p>.NET的安全層，仰賴底層作業系統的功能，在以Linux為基礎的系統，微軟使用OpenSSL來支援TLS 1.3，而在Windows 10，TLS 1.3僅在1903版本後才可用，而且僅提供用作測試目的，因此過去的.NET Core版本，在Windows中並無法使用TLS 1.3，不過這個情況從Windows預覽版20170之後情況改變，TLS 1.3預設啟用，開發者可以透過新的Schannel API使用TLS 1.3。</p> </div></div></div>
2021/1/13 10:35作者李建興https://www.ithome.com.tw/news/142184
全球最大網路黑市DarkMarket遭歐洲多國警方拿下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/newsroom/news/darkmarket-worlds-largest-illegal-dark-web-marketplace-taken-down" target="_blank">包括德國、澳洲及丹麥在內的多國警方昨（12）日宣佈</a>周末破獲號稱是全球最大網路黑市的網站DarkMarket，查緝其伺服器，也逮捕主嫌。</p> <p>這樁行動是德國警方為首發動，並獲得歐洲刑警組織、澳洲、丹麥、英國、瑞士、烏克蘭及摩爾多瓦等國警方，以及美國聯邦調查局、緝毒局及國稅局協助。</p> <p>DarkMarket成員將近50萬，賣家超過2400人。這個網站上已進行超過32萬次交易，種類涵括各種假藥、偽鈔、竊得或仿冒的信用卡資料、匿名SIM卡及惡意軟體，以規模論為全球最大網路黑市。警方指出，DarkMarket上也交易超過4650個比特幣及12800個門羅（Monero）幣，以現今匯率計算，總值也超過1400萬歐元（約4.8億元臺幣）。</p> <p>此次行動源於德國警方為了調查一個代管毒品交易和其他非法活動的資料中心，該資料中心設於德國境內北約廢棄軍事地堡中，之後擴大為追查DarkMarket，舊資料中心已在2019年被關閉。</p> <p>這次行動共查獲DarkMarket位於摩爾多瓦及烏克蘭境內的20多臺伺服器及代管的網域。該網站主持者據信為一名34歲的澳洲人，也在周末為德國、丹麥警方於兩國邊境聯手逮捕。警方也將藉由伺服器中的資料循線追查其他共犯、買家和賣家等。</p> <p>歐洲警方2019年6月破獲全球第二大暗網市集Wall Street Market之後，<a href="https://www.ithome.com.tw/news/140165" target="_blank">去年9月再度聯手逮捕近200名不法商品的賣家</a>。此外，<a href="https://www.ithome.com.tw/news/141828" target="_blank">去年12月才歐美警方也破獲</a>為犯罪活動提供掩護的最大VPN服務Safe-Inet等。</p> </div></div></div>
2021/1/13 10:52作者林妍溱https://www.ithome.com.tw/news/142186
日本純網銀20年經驗助攻，樂天國際銀行在臺IT戰略大公開
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進這間松江路尾，能遠眺陽明山景的低調辦公室，沒有精緻玄關、繽紛裝潢，除了董事長，所有人都比鄰、面對面地坐在同一間超大辦公空間，連桌面中隔都沒有，視線側過螢幕就能展開討論，中英文、夾雜著日語和笑聲。這裡，就是臺灣第一家純網銀，率先取得營業執照的樂天國際銀行誕生之處。</p> <p>「所有一級主管，連總經理都是一樣形式的工作環境，這就是日本樂天向來的工作風格，彼此都是一起工作的夥伴，不分上下屬。」首度對外亮相的樂天國際銀行資訊處處長津司豪直言。</p> <p>「2年前我就來臺灣準備了。」他說。2018年臺灣打算要開放純網銀時，日本樂天銀行就展開了籌備，直接指派當時擔任日本樂天銀行IT營運部門主管的津司豪，來臺籌組團隊，全程參與了系統設計、開發建置與資訊處組織的建立，可見日本樂天對臺灣這家純網銀謹慎與重視的程度。</p> <p>這位在日本銀行業與資訊業超過24年資歷的IT大將，來臺之前是日本樂天銀行系統的維運團隊主管，得負責確保純網銀系統每天都能正常運作。這套系統現在已有超過900萬人開戶。津司豪還參與過日本銀行匯款服務近年最大一次服務變革的改造開發專案。不像臺灣很早就能全天線上跨行轉帳，日本銀行匯款系統過去只在營業時間開放，也就是上午8點半到下午3點半，才提供跨行轉帳服務，直到2018年，才決定改為365天24小時全年無休，而且是即時到帳。</p> <p>日本所有跨行轉帳交易需透過日本全國銀行協會（JBA）營運的全銀系統，來連接全國各金融機構。為了從每天7小時轉變為不中斷的服務，各銀行都展開改造專案。當時，津司豪就是日本樂天銀行全銀協會專案的負責人之一，他坦言，這是在日本樂天銀行任內，帶領團隊所完成最有挑戰性的工作之一。</p> <p>這項服務變革，大大拓展了日本銀行數位金融服務的可能樣貌和市場規模，隨時能匯款，也讓所有銀行激烈的線上競爭更加白熱化。對已有20年純網銀經驗的日本樂天銀行而言，這是新機會也是挑戰，一方面必須吸引更多人來使用，相應地，津司豪表示，維運部門得事先預期，未來的可能使用量，來評估系統所需擴充的容量。</p> <p>津司豪回想，最大考驗是得在有限時間內，完成系統調整的開發，才能順利與其他家銀行同步進行測試。為了因應新服務模式，不只得盡快擴編人力，也要重新訂定各部門之間的維運規則。</p> <p>順利完成匯款系統改造任務的津司豪，後來就成為日本樂天銀行來臺從無到有，籌設一家新純網銀的主力戰將。</p> <p>不過，他坦言，自己不是技術能力最傑出的人才，之所以能夠來臺，除了開發能力，過去在日本樂天銀行IT營運與成本控管的經驗、與各部門協調的技能，更是他被指派來臺掌管樂天純網銀IT的關鍵。</p> <p><strong><span style="font-size:28px;">日本樂天銀行首次跨足海外，20年經驗作為樂天純網銀靠山</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%82%E5%A4%A9%E5%9C%8B%E9%9A%9B%E9%8A%80%E8%A1%8C-CIO-270_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 270px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);">樂天國際銀行資訊處處長津司豪表示，所有</span></strong><strong><span style="color: rgb(105, 105, 105);">一級主管都是一樣形式的工作環境，這就是</span></strong><strong><span style="color: rgb(105, 105, 105);">日本樂天向來的工作風格，不分上下屬。</span></strong>攝影／洪政偉</p> </td> </tr></tbody></table><p>津司豪強調：「這是日本樂天銀行第一次跨足海外市場，以往並沒有這樣的經驗。」但是，日本樂天銀行經營了20年純網銀的經驗與人馬，成了拓展在臺金融市場最強而有力的靠山。「日本樂天銀行現有重要技術會引進臺灣。」他說。</p> <p>他舉例，「樂天超級點數系統會直接從日本引進。」這是一個上線已久的全球資訊系統，臺灣樂天銀行會介接到現有系統上加入生態系，臺灣IT團隊負責技術支援，而臺日點數兌換則是與日本樂天集團合作。樂天銀行預告，開業後的純網銀平臺會有點數回饋獎勵機制。</p> <p>另一項會從日本引進的是資安經驗。津司豪表示，系統建置時，樂天最注重穩定性，臺灣樂天純網銀會有自己的資安主管，但將借助日本長年累積的資安知識與技術，例如將日本資安系統引入臺灣，「臺日雙方資安負責人已在密切規畫中。」</p> <p>日本來臺的資安經驗，還包括將引進AI來偵測異常的網路行為。樂天銀行過去彙整了大量顧客行動、犯罪者行為資料，甚至是網路交易進行的時刻、授權裝置位置等各種資訊，來訓練AI模型，能透過不同條件組合來追蹤異常的帳戶活動，可以全天24小時不間斷的監測。</p> <p>不過，津司豪強調，網路上的恐怖攻擊不分國界，每個國家犯罪的手法其實不太一樣，即便是日本經驗也不能直接拿來套用。樂天銀行將會考量臺灣的狀況，累積實際的經營資料後，來建立資安系統上更精準的預測模型，作為在地化因應之用。</p> <p>在2020年最後一天，樂天銀行正式展開內部試營運，首批試營運對象是樂天銀行、樂天集團、國票金控在臺員工。</p> <p>津司豪也首度公開了在臺籌備的過程。樂天銀行籌設可分為4階段，日本樂天銀行決定與國票金控合作後，雙方先決定未來純網銀發展方向，以及銀行系統的建構策略，直接從日本引入或採用臺灣在地系統等，這是第一階段籌備。</p> <p>第二階段則是建立整個組織體制，比如評估人力需求和招募計畫。接下來，樂天銀行才開始進入產品設計，確認銀行相關功能，像是與消費金融部門討論所需功能，釐清每項功能的定義與所要達到的目的，這是第三階段。</p> <p>在這階段時，樂天銀行也同步啟動了第二階段所訂出的招募計畫，不過，進度不如預期，不少需要的人才都還沒到位，津司豪很清楚，不可能在一開始就找齊所有人員，才開始執行所有工作，各項專案的時程仍舊得繼續往前。如何面對雙重壓力，是樂天銀行當時最大的挑戰。甚至，後續新進人員對系統建置了提出不錯的建議，在專案時程壓力下，「如何取捨是主管的一大挑戰。」</p> <p>接下來，樂天銀行才真正推進到系統開發部分，開發完成後的功能和系統，還得進入測試環境測試，進行使用者驗收測試（UAT），這個過程是第四階段。他提到，開發與測試階段，日本樂天銀行團隊給了許多建議，所以，真正動手開始打造純網銀系統的過程中，沒有碰到太大的問題。</p> <p>比如，系統廠商提供的軟硬體規格建議，臺灣IT團隊除了自行評估之外，也會同時請教日本團隊，或像是專案時程安排、新服務委外開發成本評估，甚至是純網銀App介面與使用者體驗設計等，日本樂天銀行團隊都幫了不少忙。</p> <p><strong><span style="font-size:28px;">IT人力將聚焦確保系統穩定，並持續招募開發人力</span></strong></p> <p>為了在臺快速建立起一家銀行，樂天銀行先找來臺灣IBM合作，使用現成的套裝金融系統。不過，來到臺灣後，最讓津司豪驚訝的是：「臺灣企業與廠商的技術合作模式，與日本大不相同。」日本的銀行在系統建構上，大多委外給業者，甚至，負責銀行內部資料中心的維運人員，也不見得是銀行自家員工，也可能以委外廠商的人力為主來運作。</p> <p>津司豪坦言，一開始，他們帶著日本思維來到臺灣，以為可透過委外方式來維運系統。後來才了解到，原來臺灣銀行業自家資料中心，一定都得是本行員工來負責。</p> <p>因此，樂天銀行在金管會核准取得營業執照前，已將該問題改善，達到核心系統自行維運，也包括自主修改程式等。津司豪強調：「樂天銀行在開業時，基本上核心系統已可自行維運，可是對於一些周邊系統，則會逐漸減少委外的依存度。」</p> <p>甚至，津司豪也透露，在樂天純網銀最初的營運計畫書中，原本的組織更精簡，聚焦在系統維運，系統的程式開發則是委外，但由銀行負責設計和品質確認。</p> <p>原本，樂天銀行在臺第一線和第二線（津司豪稱為L1和L2人力）人力計畫主要聚焦營運面及開發管理，但考量在臺不一樣的營運模式後，也調整了招募計畫和時程。目前，樂天銀行IT人力的配置重點，將著重於確保開業後系統的穩定。</p> <p>未來，津司豪表示：「在開業前會將系統運作穩定擺在最優先，開業後會再積極招募開發人力，持續優化產品及服務。」</p> <p>津司豪傾向於招募有銀行經驗的IT人才，他解釋，這類人才的資安意識較強，對於資安控管，甚至是金融倫理道德面較有經驗，輪番面試多人後，他得到這樣的體會。</p> <p>他認為，樂天銀行就像是一家企業創業初期，從事前準備到開業會有許多狀況發生，身在其中，可能沒有前例經驗可遵循，必須自己想辦法處理狀況。所以，他希望，進入樂天銀行工作的人，得勇於挑戰新事物，彈性地適應組織的改變，還要積極提出自己的想法。他也將籌備到開業這個逐漸建構體制的過程，視為一種人才招募特色。</p> <p><strong><span style="font-size:28px;">開業第一天即採用微服務架構建構大型系統</span></strong></p> <p>相較於既有銀行的系統包袱，純網銀最大優勢是可以重新建構一套系統，要直接採用新架構與技術也相對容易。所以，樂天銀行一開始就採用了微服務架構，將不同業務邏輯切分獨立成數個微服務，以組合微服務的的方式來建構大型銀行系統。</p> <p>樂天銀行看重的微服務架構好處是，相較於過往的單一架構，微服務在系統維運層面提升了系統服務水準，可以彈性地針對負荷大的微服務來擴充服務能力，並且，遇到定期系統升級時，也可以進行局部微服務的升版，維持其他服務持續提供，而不再侷限於單一架構只能整體服務升版的作法。</p> <p>不只如此，樂天銀行還看重微服務在開發層面的優點，按業務邏輯來切分不同的微服務後，業務邏輯能反應到程式碼結構上，也可以提升資訊單位的開發能量與開發品質，使得樂天銀行推出新產品和服務的頻率能夠更快。</p> <p>甚至，在未來的產品開發和產品優化，樂天銀行也規畫在開行後，運用敏捷開發框架Scrum，來管理應用系統的開發。樂天銀行透露，自家資訊團隊在建立初期就有Scrum Master證照和有經驗的好手加入，雖然還沒全面落實Scrum，但應用系統開發與管理日常工作中，已經開始融入敏捷精神。</p> <p>津司豪也表示，樂天銀行相當重視新技術的應用，並研究如何落實到銀行服務中，但他更重視的是如何使用現有資源解決問題的能力。這也是臺灣首家純網銀的CIO，對自家團隊深切的期許。</p> <p><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span><strong><span style="background-color:#3399ff;">CIO小檔案 </span></strong></span></p> <p><strong>津司豪樂天國際商業銀行資訊處處長</strong></p> <p>學歷：日本立教大學經濟系畢業</p> <p>經歷：具有24年銀行與資訊業IT經驗，曾在日本系統整合公司Intec Solution Power任職。原為日本樂天銀行IT營運部門主管，負責系統維運；現為樂天國際銀行資訊處處長，從籌備初期即加入，全程參與系統設計、開發建置及資訊處組織的建立。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>樂天國際商業銀行</strong></p> <p>● 成立時間：2020年5月18日</p> <p>● 主要業務：提供金融服務</p> <p>● 董事長：簡明仁</p> <p>● 總經理：佐伯和彥</p> <p>● 資本額：新臺幣100億元</p> <p>● 股東結構：日本樂天銀行持股50%、國票金控持股49%、日本樂天信用卡持股1%</p> <p>● 網址：<a href="http://www.rakuten-bank.com.tw">www.rakuten-bank.com.tw</a>（正式對外開業時才開放）</p> <p>● 總部地址：臺北市中山區松江路433號11樓</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>● 資訊部門名稱：資訊處</p> <p>● 直屬主管：佐伯和彥</p> <p>● 資訊部門主管：津司豪</p> <p>● 資訊部門分工：包括銀行各應用系統之設計、建置及維運，網路銀行與行動銀行及官網介面的設計（UI/UX）、系統技術基盤之管理及維運等</p> <p>公司大事記：</p> <p>● 2019年7月30日：經金管會核可設立純網路銀行</p> <p>● 2020年5月18日：正式成立公司</p> <p>● 2020年12月8日：成為臺灣首家獲取金管會核發純網銀營業執照的銀行</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/le_tian_guo_ji_yin_xing_cio-960-she_ying_hong_zheng_wei_.png" width="960" height="420" alt="" title="樂天國際商業銀行資訊處處長津司豪　（攝影／洪政偉）" /></div></div></div>
2021/1/13 07:00作者李靜宜https://www.ithome.com.tw/people/142109
【2021資安大預測】趨勢9：乾淨網路｜美國新總統上臺，5G乾淨網路發展值得關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普將中國視為頭號敵人，激烈的美中貿易大戰加上武漢肺炎疫情的影響，各界對於中國業者信任度大為降低，加上未來是5G網路的時代，如果網路電信業者採用不可信任的中國業者所製造的5G設備後，難保這些5G設備沒有隱藏任何惡意程式在內。因此，美國公布一份「全球5G乾淨網路名單」，就是希望確保關鍵的電信網路、雲端、數據分析、行動應用、物聯網和5G相關技術，都不會使用到「不受信任」的設備商的產品。</p> <p>但是，美國第46任總統拜登即將於今年1月20日正式就任，不過，拜登在外交政策上，向來將俄羅斯視為首要敵人，與副總統賀錦麗都與中國政、商業者關係良好，對比川普的各種仇中、排中的政策，尤其是5G乾淨網路的名單中，直接排除中國華為的5G設備。面對拜登未來的四年任期，能否維持川普既有與中國保持距離的外交關係，是否會轉頭恢復與中國的互動，值得各界持續關注。</p> <p><span style="font-size:28px;"><strong>臺灣名列美國5G乾淨網路清單，美國、印度陸續宣布禁用中國App</strong></span></p> <p>在2019年5月，包括全球30多國的官員、歐盟、美大西洋公約組織（NATO）和工業界代表，共同發表有關5G安全的「布拉格提案」，未來每個國家在評選5G供應商的時候，應該將國家安全、經濟、商業等因素納入評選標準做，作為各國在設計、建設、和管理5G基礎設施時的建議原則。</p> <p>2020年美國國務院在4月公布「5G乾淨網路計畫」，公布全球5G乾淨網路名單，到了8月，美國國務卿龐佩奧更擴大乾淨網路計畫，鎖定的對象更包含：乾淨營運商、乾淨商店、乾淨行動應用程式、乾淨雲端、乾淨電纜以及乾淨通道。</p> <p>臺灣的5家電信業者都全數名列「5G乾淨路徑」（5G Clean Path）的乾淨電信公司清單中，在2020年8月，臺美簽署「5G安全共同宣言」，外交部長吳釗燮表示，臺灣在佈建5G的資安考量上，已經超前部署，完全排除具有資安疑慮的中國軟體應設備與服務。</p> <p>在美國推出的5G乾淨網路計畫後，印度在與中國邊境衝突不斷、關係極度惡化下，印度官方在6月率先禁用中國59款App，9月第二波禁用118款中國App，11月第三波禁用43款App。印度官方宣布禁用中國App的政策，精神上也符合美國5G乾淨網路計畫中的「乾淨行動應用程式」。</p> <p>川普從2020年11月開始，為了確保總統任內對於中國各種反制政策得以存續，他也簽署各種的行政命令。例如，川普引用「國際緊急經濟權力法」、「國家緊急法」及301條款頒布行政命令，宣稱中國正加強利用美國的資本，進行軍事、情報和其他安全機構的發展和現代化，已經對美國構成威脅，禁止美國投資認定由中國解放軍擁有或掌握的31家中國企業的股票。</p> <p>川普即將卸任之際，他也以資安威脅為由，簽署行政命令禁止使用8個中國應用程式，包括：支付寶、CamScanner、QQ錢包、SHAREit、騰訊QQ、VMate、微信支付和WPS Office，這也是繼先前禁用中國微信和抖音後，第二波中國App的禁用名單。</p> <p>川普任內推動的5G乾淨網路計畫，搭配簽署相關的行政命令，就是希望可以相對維持與中國政府的距離，不要因為拜登上任後而有所改變。未來，拜登的中國政策的走向，不僅影響5G乾淨網路計畫的延續性，也影響臺美關係未來的發展。</p> </div></div></div>
2021/1/13 07:00作者黃彥棻https://www.ithome.com.tw/news/142122
【2021資安大預測】趨勢10：製造業資安｜駭客鎖定製造業發動目標式勒索和DDoS攻擊，成為新常態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用產業共通系統或平臺的漏洞入侵企業的手法層出不窮，2020年臺灣爆發多起鎖定製造業的攻擊，攻擊手法除了威脅以勒索軟體加密企業的系統和磁碟的目標式勒索攻擊（Target Ransom）外，也有鎖定製造業的目標式DDoS（Target DDoS）攻擊，甚至有傳出駭客發動DDoS攻擊的目的，在於癱瘓製造業的供應鏈平臺，對方可能認為，唯有威脅受害者將遭受到實際損失，受害企業才可能願意支付贖金，而駭客鎖定製造的攻擊手法，不論是目標式勒索或者是目標式DDoS，即便到2021年仍不會消退。</p> <p><span style="font-size:28px;"><strong>目標式勒索攻擊透過RDP等弱點，入侵企業並勒索高額贖金</strong></span></p> <p>利用勒索軟體加密資料，然後威脅受害者支付贖金的手法，從WannaCry勒索軟體之後，這種恐嚇取財的手法一直沒有消失，但不同的是，早期包括WannaCry在內的勒索軟體，鎖定對象是一般個人使用者，即便受害者是企業，通常也都是個人電腦端漏洞未修補造成。</p> <p>但是，從去年5月起，石油公司、自動化設備業者、半導體封測業者、PCB業者，以及穿戴式大廠等，都爆發遭駭客以勒索軟體加密企業資料，並提出高額贖金要求的受駭事件。</p> <p>趨勢科技全球核心技術部資深協理張裕敏表示，上述資安事件可以稱之為目標式勒索攻擊，若進一步分析駭客攻擊手法，通常是利用網路、RDP（遠端桌面協定），以及VPN（虛擬私有通道）的弱點，或者是利用釣魚郵件的方式，入侵並潛伏在企業內部，主要是鎖定AD目錄服務伺服器並在特定的時間點散布大量的勒索軟體，目的在於加密AD伺服器等重要的主機內容，駭客可以趁機跟企業勒索高額贖金，一旦企業不願意支付贖金，這些駭客也會威脅要將企業資料公開在網路上，或者是將加密資料先備份一份後，等到企業因為沒有備份資料導致無法復原相關資料時，駭客便可以趁機要求企業支付勒索贖金。他也發現，很多開發者常用的程式代管平臺，例如GitHub、GitLab等，也都成為駭客儲存從企業偷來資料的管道。</p> <p>穿戴式大廠在7月傳出遭到駭客加密並勒索高達3億元贖金後，在11月9日也傳出電腦組裝業者遭到駭客組織DoppelPaymer勒索高額贖金，雖然該業者對外公開不是遭到勒索軟體攻擊，而是網路系統有問題，不過，區塊鏈資安業者Xrex創辦人黃耀文則是在11月19日觀察到，上述駭客傳出的區塊鏈勒索錢包中，發現有人存入28.3顆的比特幣（約50萬美元），反洗錢業者CipherTrace也進行金流分析發現，這些存入的比特幣是透過場外交易市場（Over the Counter，OTC）的方式購買，但無法確定該比特幣是否為電腦組裝業者支付贖金。</p> <p>而根據安碁資訊技術副總黃瓊瑩的觀察，他發現，有些駭客組織鎖定臺灣高科技業者，他們通常會找到有弱點的網站來突破，像是具有上傳檔案功能的網站則是被攻擊大宗，而多數防毒軟體幾乎無法順利偵測到這些上傳檔案網站的惡意Web Shell；其他常見的攻擊標的，則有舊系統忘記下線、測試用主機沒有適當防護，或忘記下線的不設防無主主機，也是駭客最愛鎖定攻擊的對象之一。</p> <p>他繼續指出，駭客藉此入侵企業內部後，可以透過側錄密碼或橫向移動的方式，找到高權限使用者的帳號密碼，例如AD伺服器的Administrator，甚至有機會控制單位最高權限的Domain Controller（DC）；當駭客順利掌握該公司後，也會在企業內部安裝VPN軟體，留下未來回到企業內部的管道。一旦駭客順利掌握受駭企業的高權限使用者，就可以發動地毯式攻擊，不管是潛伏企業內部或控制企業重要的伺服器，全都在駭客一念之間。「這樣的攻擊方式，即便到2021年，也都是很有效的攻擊手法，不見消退。」黃瓊瑩說道。</p> <p><span style="font-size:28px;"><strong>駭客發動目標式DDoS，臺灣業者曾遭8小時100Gbps流量攻擊</strong></span></p> <p>2020年上半年，傳出多家高科技製造業遭駭客以勒索軟體加密，並要求高額贖金的資安事件，不過，在下半年有駭客組織威脅臺灣的製造業者，若不支付贖金，將會發動DDoS攻擊，主要攻擊的標的除了這些公司的官網，也傳出駭客鎖定攻擊更有價值的高科技業者的供應鏈下單平臺，透過癱瘓這些系統，讓高科技業者遭到損失後，更願意支付贖金。</p> <p>根據不具名消息來源指出，在中秋連假附近，9月26日有系統整合業者接到自稱是Fancy Bear駭客組織的勒索信件，要求業者要支付10個比特幣（約新臺幣300萬元），否則一週後將再度發動DDoS攻擊。該公司隨即遭到第一次DDoS攻擊，但一週後的二度攻擊沒有發生。</p> <p>在國慶連假期間的10月9日，也有系統整合業者遭到類似的DDoS勒索信件，要求支付20個比特幣（約新臺幣600萬元），同時間，也有主機板業者收到同樣的勒索信件；到了10月底，先前10月上旬接到勒索信件的系統整合業者，則遭到持續8小時、攻擊流量高達100Gbps～105Gbps的DDoS攻擊；11月初，也傳出有零組件業者遭到二度DDoS攻擊，但該次並沒有收到勒索信件。</p> <p>對於臺灣製造業遭到的目標式DDoS攻擊，黃瓊瑩指出，駭客都會先透過公開資訊，獲得企業的聯繫窗口，如公關、人資、投資人聯繫窗口或客服等，寄送勒索郵件。基本上，攻擊者都會先發動試打行動，以取信於受害企業。他表示，駭客試打流量大約是1Gbps，對於企業對外網路，已經會面臨明顯的停頓或中斷狀況；駭客也會透過網際網路取得受攻擊企業的AS Number（自治系統號碼）作為攻打標的，這通常是企業轄下一個很大的網段。</p> <p>他進一步說道，駭客試打後，都會宣稱下一波正式攻擊的火力會達到2Tbps到2.5Tbps規模，但實際上，安碁協防的客戶有截獲駭客試打過程的真實記錄，但沒有遇到真正的大規模攻擊，而試打的攻擊來源大部分來自俄羅斯與東歐（俄羅斯、白俄羅斯、烏茲別克、哈薩克），另有其他較少量攻擊來自歐（英國、荷蘭）、美、香港與臺灣，其中臺灣被利用的攻擊來源是IP Camera。</p> </div></div></div>
2021/1/13 07:00作者黃彥棻https://www.ithome.com.tw/news/142123
【2021資安大預測】趨勢12：FIDO身分識別｜更多網路服務重視帳戶安全性，提供FIDO無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去使用者在登入網路服務時，對於輸入密碼這件事，應該已經習以為常，但隨著越來越多的雲端應用，問題也越來越多，包括難以記憶密碼，許多人只想設定簡單密碼或相同密碼，而隨著各種網路服務帳號越來越有「價值」（涉及金錢交易或個資），也促使網路釣魚與密碼外洩事件不斷，因此，FIDO標準成為近年焦點，可使用生物辨識技術或硬體式裝置，提供更強的雙因素認證。</p> <p><strong><span style="font-size:28px;">FIDO應用已讓普遍民眾都可體驗</span></strong></p> <p>值得關注的是， FIDO應用是越來越普遍。除了過去就有大型雲端業者，包括Google與微軟，在多因素認證選項中，新增FIDO標準實體安全金鑰的登入方式。</p> <p>近年來，政府導入FIDO實例大幅增加，至今全球有12國在不同機關網路服務提供應用，讓民眾或政府機關員工，可使用FIDO標準的方式登入。臺灣也包括在內，TAIWAN FidO臺灣行動身分識別（TW FidO）就是例子。</p> <p>不僅如此，還有許多提供網路服務的產業，都開始著手導入FIDO，目的就是希望透過結合公開金鑰、生物特徵等技術，讓網站服務或App登入可以不用手動輸入密碼，又能更安全且簡便。</p> <p>例如，Line即時通訊是國人生活常用的工具，該公司為了強化登入安全，新增「使用智慧型手機登入」的選項，其實就是透過FIDO標準用手機上的生物辨識來認證。</p> <p>特別的是，這樣的功能在2020年11月時，只有iPad版登入可以使用，現在我們發現，Line電腦版也支援。</p> <p>對於用戶而言，這意謂著在iPad或電腦上登入Line時，都可以不用輸入密碼，而且比以往Line提供的掃描QRCode登入方式，更為安全。而且，預計2021年還有多個身分識別場景也將支援FIDO，包括用戶更換手機要移動Line帳號，以及登入Line家族服務等。</p> <p><strong><span style="font-size:28px;">商業產品服務導入態勢比過往積極</span></strong></p> <p>此外，提供企業應用的產品服務，已有業者將強化登入安全、導入FIDO，視為產品策略重點，而且國內現在就有應用實例。</p> <p>舉例來說，提供企業身分識別集中管理解決方案的全景軟體，他們在2019年於ID Expert產品加入FIDO 2登入的支援；以及NAS大廠群暉，在2020年12月釋出的DSM 7.0 Beta版，對於DSM帳號新支援FIDO 2標準硬體金鑰的登入方式，同時也開發「Approve SignIn」App，提供另一種無密碼登入選項。</p> <p>除此之外，國內金融業者提供的網路行動銀行App，同樣需要重視網路服務的身分驗證。先前已有案例，包括2018年上線的中國信託銀行「Home Bank」App，以及2020年上線的「國泰世華行動銀行」與「KOKO」App，讓用戶在生物辨識登入App時可以維持相同使用習慣，但更安全，甚至有些App的轉帳機制也能基於FIDO。</p> <p>而在2021年，我們已聽聞數家銀行將在今年完成導入，顯然，國內金融業在FIDO應用的腳步是比過去積極，這將帶動更多雲端服務業、科技業、資安產業、電信業或電商業者投入，此類應用趨勢未來勢必有增無減。</p> </div></div></div>
2021/1/13 07:00作者羅正漢https://www.ithome.com.tw/news/142127
星展銀行在臺成立全球第三座國際金融科技研發中心，今年第2季預估招募30名IT人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>星展銀行（臺灣）在今天（1/12）正式宣布成立國際金融科技研發中心，是星展集團繼新加坡與印度之後，所成立的第三座科技研發中心，預計在2021年第2季以前，招募首批至少30位資訊技術人才，要將臺灣打造為金融科技重要基地。</p> <p>星展銀行（臺灣）科技長蔡祈岩也首度對外露面招攬人才，他進一步指出，星展全球擁有的29,000名員工之中，就有超過1萬名是資訊科技人員。「星展認為自己是一家金融科技公司，而不是一間銀行。」</p> <p>他解釋，臺灣科技人才擁有一些獨特優勢，像是軟硬體整合，以及紮實的訓練等，進而也能降低研發總成本。設立研發中心能夠引入臺灣的優勢科技，創造科技人才多元化。臺灣的防疫成果，也使得星展集團為了分散風險而來臺設立。</p> <p>星展銀行觀察，未來軟、硬體需結合，金融服務大量應用AI，數據驅動的精準行銷成為主流。所以，蔡祈岩表示，臺灣研發中心將著重聚焦人工智慧與數據。</p> <p>蔡祈岩強調，整個星展集團所使用的科技工具，不是傳統銀行所用的大型主機，而是跟所有IT公司一樣，盡量採用最新科技及敏捷式開發。這次招募對象也聚焦現代化IT人才，包括數據工程師，前端、後端、軟體開發工程師、熟悉如Java, C#, Python, JavaScript等程式語言等。</p> <p>蔡祈岩指出，由於星展銀行的系統是全球一致性，擁有全球金融科技場域，有別於本土銀行在臺的開發中心，金融科技研發中心的任務是國際研發，會融入到整個星展集團的IT開發。不過，今年成立初期，先以臺灣顧客的客製化需求為優先，如Open Banking、My Data、跨國金融等，並想辦法把臺灣優勢與國際銜接。</p> <p>星展銀行（臺灣）總經理林鑫川則表示，在臺客製化需求以消金為主，以往這類的需求，星展集團優先考量新加坡、印度、印尼等國，現在在臺也有IT研發團隊，就會先考量臺灣的在地化需求。</p> <p>星展銀行研發中心這次徵才也首次採用線上團隊開發的方式來評選，稱為Coding Warrior Challenge（碼神擂臺技術挑戰），讓應徵者組隊完成專案開發的線上測驗，也有機會與新加坡、印度及臺灣三地的技術主管在線上進行技術切磋，藉此考驗應徵者臨場問題解決能力，以及技術實作能力。文⊙李靜宜</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-01-12%20%E4%B8%8A%E5%8D%8811_21_36.png" /></p> </div></div></div>
2021/1/12 19:27作者李靜宜https://www.ithome.com.tw/news/142185
嚴禁選舉不公言論，任何含有Stop the steal字樣貼文將通通被臉書及IG下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/01/preparing-for-inauguration-day/" target="_blank">臉書（Facebook）於周一（1/11）宣布</a>，有鑑於上周於國會大廈發生的暴動，即日起至1月22日止，舉凡臉書或Instagram上含有「Stop the steal」（停止偷竊選舉）字樣的貼文，都將通通被移除。</p> <p>臉書表示，這是因為一直有人企圖組織活動來對抗美國總統大選，而這類的行動可能促成暴力，再加上上周的暴動就是使用這類的辭彙，這使得該平台決定在新任總統就職典禮之前採取額外的行動。</p> <p>美國國會已經認證拜登（Joe Biden）當選美國新一任總統，且即將於1月20日進行就職典禮，但臉書則計畫在1月22日之前，都會日以繼夜地強制執行有關就職典禮的政策，即時回應任何的威脅，包括主動接觸聯邦與地方執法機構，並基於有效的法律請求提供必要的資訊，亦將移除那些可能對大眾安全造成實際傷害與威脅的內容或帳號。</p> <p>不只是加強偵測站上的內容，臉書亦宣布將繼續禁止政治或選舉廣告的措施，代表不會接受任何政客的廣告，包括川普在內。</p> </div></div></div>
2021/1/12 15:21作者陳曉莉https://www.ithome.com.tw/news/142176
聯合國外洩10萬名員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群自稱為Sakura Samurai的資安研究人員，因為看到聯合國提供了漏洞揭露專案與名人榜，於是決定尋找聯合國的資安漏洞，很快就發現有個端點曝露了一些Git憑證，使得他們得以下載該Git儲存庫，進而發現大量的聯合國員工個資，估計有超過10萬名員工的個資外洩，此外，他們亦在聯合國的網站上發現許多公開的.git目錄，還可利用各種工具來汲取這些目錄的內容。</p> <p>Sakura Samurai團隊在此一Git儲存庫中，找到了逾10萬名聯合國員工的出差資料，包括姓名及員工編號等；另有內含7,000名員工的國籍統計資料，包括姓名、員工編號、國籍、性別、薪資等級；以及內含4,000筆紀錄的專案與資金來源；內含283個專案的評估報告。</p> <p>該團隊還取得了隸屬於國際勞工組織（ International Labour Organization，ILO）的SQL資料庫與調查管理平臺的控制權，儘管其資料庫及調查管理平台似乎已被棄用，但資料庫與管理帳號可被接管依然可稱為重大漏洞。</p> <p>Sakura Samurai亦於聯合國環境規畫署的子網域中找到了一些GitHub憑證，利用相關憑證可下載許多原本被密碼保護的GitHub專案。</p> <p>研究人員並未繼續深究再找下去還會發現些什麼，而是決定直接通報聯合國。</p> <p><a href="https://www.itpro.co.uk/security/data-breaches/358284/united-nations-reveals-potential-data-breach" target="_blank">ITPro引用資安專家Javvad Malik的看法指出</a>，全球化的組織經常在不同的系統或平臺上存放資料，但要同時追蹤這些不同的系統並確保正確設定卻是個挑戰；漏洞管理公司Outpost24安全長Martin Jartelius則說，此一案例看起來都是屬於使用上的漏洞，而非軟體上的漏洞，倘若這些曝露在網路上的系統，存放了其它系統的憑證，那麼著實令人擔憂。</p> </div></div></div>
2021/1/12 15:31作者陳曉莉https://www.ithome.com.tw/news/142177
去年全球PC出貨量成長率創下10年來新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因COVID-19疫情衍生的在家工作/學習風潮，激勵了2020年的全球PC出貨量，<a href="https://www.idc.com/getdoc.jsp?containerId=prUS47274421" target="_blank">根據市場研究機構IDC的調查</a>，去年第四季全球PC出貨量成長26.1%，且全年出貨量成長13.1%，上一次PC出貨量出現類似成長幅度的時候是2010年的13.7%。在這十年來，全球PC出貨量有6年是衰退的，1年是持平的，其它時候則僅有微幅成長。</p> <p>IDC研究經理Jitesh Ubrani表示，在今年第四季時，由於供不應求，PC供應鏈的每個環節都延伸到了極限，且PC製造商與ODM不僅要面臨元件與產量短缺的問題，還得處理物流問題，供應商被迫利用空運來遞送，墊高了成本。</p> <p>另一方面，雖然這波的成長有賴於疫情，但IDC副總裁Ryan Reith認為，消費者市場的力道不容輕忽，因為他們持續看到遊戲PC與螢幕的出貨量創下新高，且Chrome裝置也從教育拓展到消費者市場，透露出疫情不僅刺激了PC的市場需求，也創造了擴大市場的機會，所有的跡象皆顯示PC市場的出貨量仍會往上攀爬。</p> <p>2020年全球PC的出貨量為3億臺，前五大業者依序是聯想（24%）、HP（22.4%）、Dell（16.6%）、蘋果（7.6%），以及Acer（6.9%）。</p> </div></div></div>
2021/1/12 15:44作者陳曉莉https://www.ithome.com.tw/news/142178
Google Ads存在漏洞，使惡意人士可擷取任意YouTube用戶私人影片內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>白帽駭客David Schütz公開了他在2019年所發現的Google漏洞，該<a href="https://bugs.xdavidhu.me/google/2021/01/11/stealing-your-private-videos-one-frame-at-a-time/">漏洞</a>可讓惡意攻擊者透過Google Ads，一個影格一個影格地偷走YouTube私人影片的影像內容。Google已經確認該漏洞存在，並且已經完成修復，還透過漏洞獎勵計畫發送5,000美元的獎勵給David Schütz。</p> <p>YouTube服務本身並不會直接洩漏私人影片內容，而是必須要透過Google Ads。Google Ads是一個廣告服務，可以讓使用者製作廣告，在YouTube等Google服務中播放，包括在YouTube影片前的廣告影片，都可以在Google Ads中製作。而在Google Ads中，有一個稱為Moments的功能，可讓廣告商可以指定影片時間，標記像是企業商標出現的時間戳。</p> <p>Moments便是洩漏私人影片內容的主角，David Schütz提到，當用戶標記一個指定時刻，則Moments功能便會向/GetThumbnails端點發出POST請求，請求訊息會包括影片的ID和以毫秒為單位的影片時間，而取得的回應則是Base64編碼影像，以用於Google Ads的縮圖。而Moments的漏洞，使得請求訊息中的影片ID，可以使用非用戶所有的私人影片，也就是說，這是一個不安全直接物件參照（Insecure Direct Object Reference，IDOR）漏洞，可讓惡意人士任意存取私人影片中的任意影格。</p> <p>David Schütz實作了這個IDOR漏洞的概念性驗證，只要計算好每影格在螢幕上停留的時間，就能重複動作擷取不同影格，並且串接在一起還原成為影片，這個Moments漏洞提供攻擊者，下載任何用戶YouTube私人影片的能力。</p> <p class="rtecenter"><img alt="" src="https://bugs.xdavidhu.me/assets/posts/2021-01-11-stealing-your-private-videos-one-frame-at-a-time/ads-moments.gif" style="width: 600px;" /></p> <p>不過，這個漏洞仍有其限制，在實際應用上，攻擊者必須要知道目標私人影片的ID，因此攻擊者要大量取得影片ID仍有其障礙，再來是，惡意攻擊者取得的內容是圖片，因此不會有聲音訊號，私人影片聲音內容不會遭到洩漏。另外，取得的Base64編碼影像解析度很低，但是仍為足以辨識影片內容的程度。</p> <p>David Schütz在2019年12月向Google回報了這個漏洞，Google也迅速地確認該漏洞，並且暫時禁用Moments功能，在2020年1月，Google就發出漏洞獎勵獎金5,000美元。David Schütz表示，兩個不同後臺溝通的環節，通常是值得關注的地方，因為兩個產品團隊可能只了解各自的系統，並在使用其他產品時，遺漏重要細節，因此容易出現安全性漏洞。</p> </div></div></div>
2021/1/12 16:00作者李建興https://www.ithome.com.tw/news/142175
遭AWS終止服務，Parler告上法院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創社交平臺<a href="https://www.courtlistener.com/docket/29095511/1/parler-llc-v-amazon-web-services-inc/" target="_blank">Parler在周一（1/11）狀告Amazon Web Services（AWS）</a>，理由為AWS妨礙市場競爭。</p> <p>就在臉書與Twitter等社交平臺封鎖美國總統川普（Donald Trump）帳號之後，川普的支持者轉移到2018年成立的社交平臺Parler，但Google與蘋果相繼把Parler程式從應用程式商店中下架，AWS則宣布要切斷Parler的代管服務，這3家業者所持原因都是Parler未能適當控管該平臺內容，縱容煽動暴力的貼文。</p> <p>而Parler周一即向法院遞出了訴狀，指控AWS雖然同為Twitter與Parler的代管服務供應商，但不對含有仇恨內容的Twitter作出處分，卻決定終止Parler的服務，認為AWS的動機一來為政治導向，二來是替Twitter減少市場上的競爭。</p> <p>此外，Parler也控告AWS違反了雙方的合約，根據合約內容，AWS必須要在終止服務的前30天提醒，但這次AWS卻在30小時內就要終止服務，希望法院能夠釋出臨時禁令，禁止AWS撤下對Parler的服務。</p> <p>同時遭到Google、蘋果與AWS封殺之後，<a href="https://video.foxnews.com/v/6221679825001#sp=show-clips" target="_blank">Parler執行長John Matze向Fox News表示</a>，不只是這三大業者，從文字傳訊服務、電子郵件供應商，到該公司的律師，都在同一天拋棄了Parler，此事不僅涉及言論自由，可能直接摧毀Parler這家公司，且也許會發生在任何公司身上。</p> </div></div></div>
2021/1/12 13:29作者陳曉莉https://www.ithome.com.tw/news/142167
藥廠Biogen以Apple Watch進行認知退化研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以失智症藥物聞名的美國藥廠<a href="https://investors.biogen.com/news-releases/news-release-details/biogen-launch-pioneering-study-develop-digital-biomarkers" target="_blank">百健（Biogen）昨（11）日宣布與蘋果展開多年期的合作</a>，將運用Apple Watch及iPhone展開研究，了解使用穿戴科技用於監控和發現認知衰退，包括失智症的潛力。</p> <p>這項研究將在今年展開，研究人員將招募從年輕成人到長者，且涵括不同認知表現的自願者參加，展開一系列認知表現的研究。結合Apple Watch、iPhone，以及Biogen在神經科學的研究基礎，本研究主要將發展數位生物標記，協助長期監控使用者認知表現，並能於早期發現輕微認知障礙（mile cognitive impairment，MCI）的徵兆。</p> <p>Biogen指出，認知健康衰退，包括MCI為神經退化、阿茲海默及失智症的早期徵兆。研究顯示，65歲以上成年人，有15到20%的人有認知健康衰退問題，但卻太晚發現而喪失治療先機。成功發展大腦的數位生物標記，將可加速診斷與及早介入治療。對醫療體系來說也能因此減少大量醫療成本。</p> <p>研究機構也強調確保受試者的隱私，研究會詳細說明蒐集的資料型態，以及用途及分享資料的單位，以取得受試者的明顯同意。他們也可以隨時退出研究。蒐集的資料將加密儲存在有安全控管的系統內。</p> <p>Apple Watch上具有加速度計（accelerator）、陀螺儀等感測器，可偵測配戴者手部動作。此外，iPhone也有醫療大規模研究用的Research App，包括可供受試者填寫問卷等功能。</p> <p><a href="https://www.ithome.com.tw/news/132313" target="_blank">2019年蘋果也和藥廠Elli Lilly合作研究失智症</a>。Apple Watch之前已多次用於大規模醫學研究，包括<a href="https://www.ithome.com.tw/news/127786" target="_blank">心臟</a>、聽力、<a href="https://www.ithome.com.tw/news/134223" target="_blank">女性健康</a>，和活動研究。</p> </div></div></div>
2021/1/12 12:29作者林妍溱https://www.ithome.com.tw/news/142163
Ubiquiti雲端系統遭駭，籲用戶變更密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mailchi.mp/ubnt/account-notification?ubiquiti-20201101" target="_blank">提供UniFi系列網通產品業者Ubiquiti昨（11）日公告</a>，其代管於一家雲端平臺上的系統遭不明人士存取，因為不確定資料完全沒外洩，因而呼籲用戶儘速變更密碼。</p> <p>Ubiquiti指出，由第三方雲端業者代管的數個IT系統遭未授權存取，目前沒有跡象顯示客戶帳號有任何非授權的存取活動。他們表示目前沒有發現代管客戶資訊的資料庫有被存取的情形，但是無法確認用戶資料完全沒有曝光。這些資料可能包括客戶姓名、電子郵件、經雜湊及加鹽處理過的密碼。此外，也可能包括用戶住家地址及電話號碼。</p> <p>Ubiquiti提供企業及家用無線網路系統，以高效能、擴充性強、平價及好管理聞名。用戶可以從瀏覽器來遠端存取及管理路由器等設備。</p> <p>該公司並未說明是哪家雲端業者，事件發生的時間，以及攻擊路徑等。</p> <p>Ubiquiti表示，以防萬一，建議用戶變更手上Ubiquiti產品密碼，最好連使用同一組帳密的網站密碼也變更。該公司也建議用戶Ubiquiti上的帳號都啟用雙因素驗證（2FA）。</p> </div></div></div>
2021/1/12 12:48作者林妍溱https://www.ithome.com.tw/news/142165