iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 29篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「linux」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

Grub2再現嚴重漏洞，釋出117個修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責維護Grub啟動程式的<a href="https://seclists.org/oss-sec/2021/q1/189" target="_blank">Daniel Kiper在本周指出</a>，他已釋出了一個修補包，內含117個修補程式，當中有8個最嚴重的安全漏洞取得了CVE編號。</p> <p>Grub為一來自GNU專案的啟動程式，允許使用者在同一裝置上安裝多個作業系統，並在啟動時選擇所要執行的作業系統，受到眾多Linux版本的青睞。去年7月時，資安業者Eclypsium揭露了一個藏匿於Grub2的安全漏洞<a href="https://www.ithome.com.tw/news/139133" target="_blank">CVE-2020-10713</a>，它是個緩衝區溢位漏洞，允許駭客於記憶體中寫入任何程式，代表駭客可在作業系統啟動以前便植入惡意程式，還可長駐。</p> <p>Kiper指出，自從該漏洞曝光以來，各方人馬便開始仔細檢驗啟動程序的安全性，特別是Grub，使得他們開始收到不同的漏洞報告，再加上他們自己發現的，在此次一併藉由內含117個修補程式的修補包來解決。</p> <p>Kiper列出了當中因特別嚴重而取得了CVE編號的8個安全漏洞，它們分別是CVE-2020-14372、CVE-2021-20233、CVE-2020-25632、CVE-2020-27779、CVE-2021-20225、CVE-2020-27749、CVE-2021-3418與CVE-2020-25647。</p> <p>其中，CVE-2020-14372存在於當啟用安全啟動時，acpo命令允許特權使用者載入特製的ACPI表格；CVE-2021-20233則是菜單渲染時可能會出現記憶體毀損；CVE-2020-25632為rmmod命令的釋放後使用漏洞；CVE-2020-27779出現在cutmem命令中，允許特權使用者關閉特定的記憶體區域，意謂著也能關閉安全啟動保護；CVE-2021-20225則是因選項解析器含有一個堆積緩衝區，讓特權使用者可於啟用安全啟動時執行任意程式；CVE-2020-27749也是出現在啟用安全啟動之際，在處理命令列選項時出現堆積緩衝區溢位，允許特權使用者執行任意程式。</p> <p>CVE-2021-3418則是因為Grub 2.05而再度出現的CVE-2020-15705漏洞，在缺乏shim的情況下直接啟動，未能驗證核心簽章而繞過安全啟動；CVE-2020-25647可利用特製的USB裝置描述資訊來造成記憶體毀損，讓本地端用戶在啟用安全啟動的狀態下執行任意程式。</p> <p>Kiper提醒，要完整部署所有的CVE必須先更新UEFI撤銷列表，否則可能會無法以現有的啟動構件（Boot Artifact）執行安全啟動。</p> <p>包括 <a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/GRUB2SecureBootBypass2021" target="_blank">Ubuntu</a>、<a href="https://www.debian.org/security/2021/dsa-4867" target="_blank">Debian</a>、<a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-003" target="_blank">紅帽</a>與<a href="https://www.suse.com/support/kb/doc/?id=000019892" target="_blank">Suse</a>都已貼出相關的安全公告。</p> </div></div></div>
2021/3/5 10:52作者陳曉莉https://www.ithome.com.tw/news/143054
Google發布Flutter 2更完整支援網頁平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了跨平臺UI框架Flutter主要版本更新推出<a href="https://developers.googleblog.com/2021/03/announcing-flutter-2.html" target="_blank">Flutter 2</a>，起初Google創建Flutter的目的，僅是要讓iOS和Android應用程式，能夠共用更多的程式碼，但經過一段時間的發展，Flutter擴展到了更多的平臺上，Flutter 2完整支援網頁平臺，開發者已經可以用來開發產品級的網頁應用程式。</p> <p>現在Flutter 2可以將相同的程式碼，發布成原生應用程式，在iOS、Android、Windows、macOS和Linux作業系統上執行，Flutter 2還針對Chrome、Firefox、Safari和Edge瀏覽器最佳化網頁體驗，Flutter甚至可以被嵌入到汽車、電視和智慧家電中。Flutter的執行速度很快，可以將原始碼編譯成為機器碼，但由於Flutter提供熱重載功能，即便應用程式執行時進行更改，開發者仍可立刻查看結果，獲得有如直譯語言的開發生產力。</p> <p>Google提到，早期網頁是以文件為基礎，但是現在網頁平臺已經可用來開發複雜的應用程式，具有豐富的平臺API，能夠提供2D和3D圖形加速功能，也擁有彈性的布局和繪製功能，Flutter以這些創新發展作為基礎，提供了一個以應用程式為中心的框架，以充分利用現代網頁平臺提供的功能。</p> <p>Flutter 2提供的網頁支援，專注在3種應用程式情境，包括漸進式網頁應用程式、單頁應用程式，以及將Flutter行動應用程式移植到網頁上。過去幾個月，Google強化了Flutter在網頁平臺的效能，並且新增一個由WebAssembly所開發的CanvasKit渲染引擎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image%204.png" style="width: 580px;" /></p> <p>另外，Google也在Flutter添加了常見的網頁功能，像是文字自動填寫、控制網址列URL、路由以及PWA清單，而且為了同時提供桌面和行動裝置瀏覽器良好的操作體驗，Flutter添加了互動式滾動條以及鍵盤快捷鍵，並且增加在桌面模式中預設網頁內容密度，並且提供Windows、macOS和Chrome OS螢幕閱讀器無障礙功能。</p> <p>除了之前Canonical與Google合作，將Flutter帶上Ubuntu之外，微軟也擴大對Flutter的支援，除了將在Windows中支援Flutter外，在Flutter 2發布的同時，微軟貢獻可折疊Android裝置中支援Flutter的程式碼，擴展在雙螢幕上使用Flutter的體驗。</p> <p>豐田汽車還宣布要建構以Flutter為基礎的資訊娛樂系統，將Flutter數位體驗帶入到車輛中，Google提到，使用Flutter代表著，豐田將採用與過去大不相同的車載軟體開發方法發展軟體，獲得高效能、一致且可快速迭代等優勢。藉由Flutter的embedder API，豐田汽車可以針對車載系統獨特需求量身訂做Flutter。</p> <p>在幾個月前，Google將支付應用程式Google Pay，以Flutter重新開發，消除了不同平臺間的差異，減少了超過100萬行程式碼，而現在Google還發布行動廣告Flutter測試版，這是一個新的SDK，可以和AdMob和AdManager配合使用，提供多種廣告格式，包括橫幅廣告、插頁式廣告、原生廣告和獎勵影片廣告。另外，Google也針對Flutter，發布了多個Firebase核心服務套件。</p> </div></div></div>
2021/3/5 10:58作者李建興https://www.ithome.com.tw/news/143031
Google釋出Chrome更新修補已遭開採的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周稍早釋出<a href="https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html" target="_blank">Chrome 89.0.4389.72穩定版</a>給Windows、Mac及Linux用戶，以修補47項漏洞，包括一個已遭開採的高度風險漏洞。</p> <p>47項漏洞包含8項高風險漏洞。Google僅列出修補的漏洞，並未公佈細節，理由是必須等大部份用戶完成升級。如果漏洞發生在Google產品內的第三方函式庫，為了怕影響使用該款函式庫的其他產品，Google也不會公佈。</p> <p>不過，Google透露，針對CVE-2021-21166，該公司「得知有一款攻擊程式正在網路上流傳」。它是由微軟研究人員Alison Huffman上個月通報，Huffman描述該漏洞為「音訊中的物件生命周期問題」。她另外還通報了另一個類似的音訊漏洞2021-21165，以及Chrome Reader Mode的資料驗證不足漏洞CVE-2021-21163。三者皆為高風險漏洞。</p> <p>這是Chrome今年第二個遭到開採的漏洞。另一個是2月修補的CVE-2021-21148，存在於Google JavaScript及WebAssembly引擎V8的堆積緩衝區溢位漏洞，該漏洞則發生一款以上的惡意程式攻擊。</p> </div></div></div>
2021/3/4 12:10作者林妍溱https://www.ithome.com.tw/news/143023
資安一周第135期：5國政府聯合對Accellion供應鏈攻擊提出警告。SolarWinds宣稱攻擊事件起因疑似與實習…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">2/25-3/3 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Accellion遭駭災情持續擴大！美、英、新加坡等5個國家聯手發出資安通告</strong></h2> <p>傳出2020年12月中旬遭到攻擊的Accellion，不只美國有用戶因此資料外洩，也有其他國家用戶因此遭到攻擊，而受到當局的重視。2月24日，美國、英國、澳洲、紐西蘭，以及新加坡等國，發布聯合網路安全通報，指出他們的政府機關與企業遭到波及，許多受害組織收到勒索信，要脅若是不付贖金，駭客就會公布機密資料。</p> <p>此聯合公告指出，在Accellion於12月23日修補一個已遭到濫用的漏洞之後，該公司發現還有4個漏洞也被濫用。而協助調查的資安業者FireEye指出，不只這5個國家的用戶受到危害，還包括加拿大與荷蘭境內的組織也遭到攻擊。<strong><a href="https://www.ithome.com.tw/news/142911">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/135-1-Accellion-FTA-Exploitation_CISA.png" style="width: 400px; height: 200px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：美國網路安全與基礎設施安全局</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃密碼安全</strong></span></h3> <h2><strong style="vertical-align: top;">針對供應鏈攻擊事件起因，SolarWinds宣稱疑似源自於實習生使用的弱密碼</strong></h2> <p>自2020年12月爆發的SolarWinds攻擊，事故發生原因為何？先前有資安人員指稱，他發現能夠存取SolarWinds更新伺服器的密碼「solarwinds123」，有可能就是入侵該公司的管道。而根據CNN的報導，近期SolarWinds於聯合聽證會證實此事──該公司高層指出，此密碼是實習生於2017年時，於私人的GitHub帳號公開，有可能是該公司遭到入侵的破口。</p> <p>此消息一出，引起美國眾議員與資安社群質疑：為何SolarWinds允許員工使用這種簡易密碼？但SolarWinds並未對此回應。<strong><a href="https://www.ithome.com.tw/news/142965">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃供應鏈攻擊＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">芬蘭IT服務大廠TietoEVRY遭勒索軟體攻擊，多項服務中斷</strong></h2> <p>駭客鎖定IT服務業者發動攻擊的現象，近期已有數起。芬蘭IT服務大廠TietoEVRY在2月23日揭露，該公司於22日先是發現有多項服務出現異常，調查後才發現遭到勒索軟體攻擊，他們被迫中斷提供給25家用戶的部分服務。不過，該公司並未透露是否有用戶受到此次事件波及。<strong><a href="https://www.ithome.com.tw/news/142887">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃虛擬化平臺</strong></h3> <h2><strong style="vertical-align: top;">甫修補的vCenter漏洞，已出現攻擊者大規模掃描的行為</strong></h2> <p>剛發布修補的軟體被駭客盯上，找尋網路上尚未安裝更新軟體的系統下手，時有所聞。VMware於2月23日發出資安通告，修補vSphere的3個漏洞，這些漏洞存在於兩項核心元件vCenter與ESXi，而其中最為嚴重的是CVE-2021-21972，一旦攻擊者取得443埠的存取權限，就能於vCenter伺服器以最高權限執行任意指令，CVSS風險評分達9.8分。</p> <p>但就在25日，資安廠商Bad Packet宣稱，他們偵測到大規模的掃描行為，是針對未修補CVE-2021-21972的vCenter伺服器而來，呼籲用戶要儘速修補。<strong><a href="https://www.ithome.com.tw/news/142930">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式＃Go語言</strong></span></h3> <h2><strong style="vertical-align: top;">以Go語言開發的惡意程式，近4年來增加20倍</strong></h2> <p>新興的Go語言不只受到軟體開發者歡迎，近年利用這種程式語言打造的惡意程式也時有所聞。</p> <p>但究竟駭客有多愛用Go語言？根據資安業者Intezer近日公布的資安報告，自2017年以來出現的Go語言惡意程式，4年來增加20倍，而且涵蓋各種類型的惡意程式。<strong><a href="https://www.ithome.com.tw/news/142970">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/135-2-Golang-apt28-malware.png" style="width: 400px; height: 180px;" /></p> <p><span style="color:#808080;">圖片來源：Intezer</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃人工智慧＃自動駕駛</strong></span></h3> <h2><strong style="vertical-align: top;">歐盟呼籲車廠重視自駕車的資訊安全，應從開發階段做起</strong></h2> <p>自駕車的技術發展，有助於消弭交通事故人的風險因素。但是，也帶來了人工智慧技術與相關資安風險，近日歐盟網路安全機構與ENISA與JRC發布報告，指出相關風險，當中也強調自駕車資安應從開發過程就開始做起，整個汽車供應鏈也要由人工智慧安全策略來主導，同時整個汽車工業必須提升資安事件的因應能力。<strong><a href="https://www.ithome.com.tw/news/142876">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網站攻擊＃網路釣魚＃惡意程式攻擊</strong></span></h3> <h2><strong>攻擊者滲透合法網站並濫用Google搜尋引擎最佳化機制，誘導用戶下載惡意程式</strong></h2> <p>駭客濫用Google服務發動攻擊的現象，近期出現數起事件，而且手法也變得更加複雜。Sophos於3月1日揭露，駭客先是入侵合法的網站，並植入惡意程式碼，藉此濫用Google搜尋引擎最佳化機制（SEO），誘導使用者下載木馬程式Gootloader，以用來植入勒索軟體REvil，或是金融木馬程式Gootkit。</p> <p>研究人員估計，至少有400個合法網站遭駭客植入惡意程式碼用於相關攻擊，而且管理者不知道自己的網站已淪為跳板。而對於駭客入侵這些網站的管道，研究人員表示有待進一步釐清。<strong><a href="https://www.ithome.com.tw/news/142987">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/135-3-gootloader-fake-search.png" style="width: 400px; height: 170px;" /></p> <p><span style="color:#808080;">圖片來源：Sophos</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃挖礦攻擊＃殭屍網路＃區塊鏈</strong></span></h3> <h2><strong style="vertical-align: top;">攻擊者將殭屍網路C&C伺服器埋入區塊鏈</strong></h2> <p>發動殭屍網路攻擊的駭客為了避免自己被司法單位找到，也企圖掩蓋C&C中繼站的資訊。近期資安業者Akamai揭露在用戶網路發現一起挖礦的殭屍網路活動，駭客藏匿備用中繼站IP位址的方法，竟是利用比特幣的區塊鏈。這樣的手法使得其殭屍網路不致被全面摧毀，駭客得以挖礦長達3年之久，獲利超過3萬美元。<strong><a href="https://www.ithome.com.tw/news/142890">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃作業系統</strong></span></h3> <h2><strong style="vertical-align: top;">Google揭露Windows字型元件的RCE漏洞</strong></h2> <p>作業系統處理文字呈現的模組，也可能成為攻擊者能夠濫用的管道。Google研究人員近日揭露他們於2020年11月通報的漏洞CVE-2021-24093，這項漏洞存在於Windows字型處理的元件Directwrite，攻擊者誘使用戶連上顯示惡意TrueType字型的網頁，用戶電腦便可能因為這項漏洞造成記憶體毀損，使得攻擊者得以執行任意程式碼。</p> <p>此漏洞CVSS風險指數為8.8分，影響多個Windows 10版本，以及Windows Server 2016、2019等。微軟已於2月9日例行性安全更新修補上述漏洞。<a href="https://www.ithome.com.tw/news/142986">詳全文</a></p> <p> </p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃學術機構＃武漢肺炎</strong></span></h3> <h2><strong style="vertical-align: top;">研發武漢肺炎疫苗的牛津大學研究室驚傳遭到攻擊</strong></h2> <p>又有研發武漢肺炎疫苗的單位遭到攻擊！英國牛津大學生技研究所近日證實遭駭，部分和研究相關的系統遭到存取。不過，該校強調，他們研發的武漢肺炎疫苗並未受到此次事件波及。<strong><a href="https://www.ithome.com.tw/news/142935">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/142939">為改善部署修補程式的不便，微軟首度推出合併更新套件</a><br /> ●<a href="https://www.ithome.com.tw/news/142888">為增強用戶隱私，新版Firefox限縮Cookie存取的範圍</a><br /> ●<a href="https://www.ithome.com.tw/news/142967">密碼管理工具LastPass暗中利用7個外部資料蒐集程式惹議</a><br /> ●<a href="https://www.ithome.com.tw/news/142907">為強化Linux安全，Google資助2名專職Kernel開發人員</a></h3> </div></div></div>
2021/3/3 17:48作者周峻佑https://www.ithome.com.tw/news/143012
Spectre漏洞Linux、Windows版攻擊程式出現在VirusTotal平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得2018年令全球企業恐慌的Meltdown、Spectre漏洞嗎？在三年後，Google研究人員發現<a href="https://dustri.org/b/spectre-exploits-in-the-wild.html" target="_blank">針對Spectre漏洞的攻擊程式</a>，竟出現在Google的掃瞄引擎VirusTotal上。</p> <p>Spectre和Meltdown於2018年1月由Google Project Zero首度揭露，針對CPU推測執行程序裏的3個漏洞進行的攻擊手法。其中Spectre涵括CVE-2017-5753 與 CVE-2017-5715，讓駭客竊取系統記憶體內存放的機敏資料，其中又以前者風險最高。Meltdown則是針對CVE-2017-5754的攻擊手法。主要廠商包括英特爾、AMD及ARM的CPU都受影響。其後一年整個PC軟、硬體產業都忙著修補這些漏洞。</p> <p>Google研究人員Julien Voisin發現，上個月似乎有人將Spectre的<a href="https://www.virustotal.com/gui/file/6461d0988c835e91eb534757a9fa3ab35afe010bec7d5406d4dfb30ea767a62c/detection" target="_blank">Linux</a>和<a href="https://www.virustotal.com/gui/file/ecc0f2aa29b102bf8d67b7d7173e8698c0341ddfdf9757be17595460fbf1791a/behavior/C2AE" target="_blank">Windows</a>版攻擊程式上傳到了VirusTotal。現為Google持有的VirusTotal有超過50種掃毒引擎，供研究人員或使用者上傳檔案判讀是否有惡意程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/working-windows-and-linux-spectre-exploits-found-on-virustotal/" target="_blank">Bleeping Computer</a>報導，未授權用戶可以利用這些開採程式在從目標系統的Windows或Linux /etc/shadow檔案，洩露出NT、LM密碼雜湊以及Kerberos票證，後者可結合PsExec以提升本地用戶權限。此外，攻擊程式也允許在Windows系統間橫向移動。</p> <p>Voisin指出，以Linux版本而言，攻擊程式使用了數種手法來躲避偵測，也可讓Linux保護核心的安全機制KASLR（kernel address-space layout randomization，核心地址空間隨機變化）失效。在VirusTotal平臺上，63個掃毒引擎中，僅25個偵測到Linux版的攻擊程式。至於Windows版本，70個引擎只有20個偵測到。</p> <p>雖然Spectre是舊漏洞，處理器業者如英特爾、AMD與ARM，以及作業系統廠商包括<a href="https://www.ithome.com.tw/news/126527" target="_blank">微軟</a>、Linux及蘋果都已釋出新版軟體修補，但是使用舊版作業系統及5年以上（2015年Hasswell以前的Intel）CPU的系統仍可能曝險。</p> </div></div></div>
2021/3/3 16:59作者林妍溱https://www.ithome.com.tw/news/143010
Go惡意程式4年來增加2000%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.intezer.com/wp-content/uploads/2021/02/Intezer-2020-Go-Malware-Round-Up.pdf" target="_blank">Intezer在2020年的資安報告</a>中指出，從2017年以來，以Go語言所撰寫的惡意程式數量增加了2000%，而且出現在各種類型的惡意程式中，這同時符合了Go愈來愈受開發者歡迎的趨勢。</p> <p>Go為Google在2009年所發表的靜態、經編譯的程式語言，由於它的官網網址為Golang.org，因此也經常被稱為Golang語言。根據熱門程式語言排行榜Tiobe Index在2020年7月的統計，Go在排行榜上名列第12名，高於2019年同期的16名。</p> <p>資安業者Palo Alto Networks<a href="https://unit42.paloaltonetworks.com/the-gopher-in-the-room-analysis-of-golang-malware-in-the-wild/" target="_blank">於2019年7月釋出的報告</a>中指出，坊間已有10,700種以Go語言撰寫的惡意程式，當中有92%鎖定Windows作業系統，它們平均的檔案大小為4.65MB，遠高於一般的惡意程式，因此較不適合作為木馬程式或作為網釣郵件的附加檔案。</p> <p>而Intezer的研究則揭露了Go語言已經受到各種惡意程式的廣泛採用，例如俄羅斯駭客集團APT28所使用的Zebrocy木馬程式，除了具備AutoIT、C#、C++與Delphi等語言版本之外，其實也有Go版本，且在去年11月就發現了兩個以Go撰寫的Zebrocy樣本。另一俄羅斯駭客集團APT29所使用的通訊工具WellMess亦是以.NET及Go撰寫。</p> <p>其它以Go語言撰寫的惡意程式還包括後門程式Godlike12，遠端存取木馬Glupteba，加密貨幣竊取程式CryptoStealer.Go，勒索軟體RobbinHood、Nefilim、Snatch及EKANS，並有愈來愈多的殭屍病毒是以Go語言撰寫。</p> <p>Intezer預期，以Go語言撰寫惡意程式的風潮一時半刻不會停歇，其成長速度很可能會持續，此外，Go惡意程式不僅鎖定Windows，也朝向Linux發展，現在針對Linux平臺的Go惡意程式多屬殭屍病毒，以用來執行分散式阻斷服務攻擊或挖礦行為，但也可能會看到其它類型的Go/Linux惡意程式。</p> </div></div></div>
2021/3/1 20:43作者陳曉莉https://www.ithome.com.tw/news/142970
2021年2月10大新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個月中的重大事件，美國淨水廠和軟體供應商遭駭，帶來的後果可能會相當嚴重。前者突顯關鍵基礎設施與SCADA工控系統很可能缺乏足夠的防護，但所幸員工即時阻止駭客的行為而沒有造成災情；後者則是軟體供應鏈的攻擊，導致遍布歐美多國的用戶跟著受害。而彭博在2018年爆料美超微（Supermicro）伺服器遭植入間諜晶片疑雲，該媒體再報導過往有3起事件與之相關，但與2年前最大的差異是，他們聲稱有人實際看過被植入晶片的伺服器。</p> <p>而對於用戶端的部分，近期竄紅的社交平臺Clubhouse、鎖定蘋果M1處理器電腦的惡意程式，都相當值得留意。焦點轉回國內，則是農曆新年期間，冒名網路銀行進行詐騙的情況頻傳，還有用戶比特幣帳號遭異常存取，而導致加密貨幣全數被轉走的事件，突顯使用者保護自己帳號安全的重要性。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/142729">美國淨水廠遭駭，攻擊者意圖加入大量氫氧化鈉汙染水質</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-01.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span></strong><a href="https://www.ithome.com.tw/news/142848"><strong style="vertical-align: top;">美國軟體供應商Accellion遭駭，用戶陸續出面指控因此受害，五國政府發出資安通報</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-02.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span><a href="https://www.ithome.com.tw/news/142736">關於Supermicro遭植入間諜晶片疑雲，彭博新報導3起過往事件與之有關，但Supermicro再度否認</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-03.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/142798">駭客發動為期2年的大規模挖礦攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-04.png" style="width: 400px; height: 190px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/142614">木馬程式Kobalos鎖定Linux超級電腦下手，高效能運算叢集與大型ISP業者成受害者</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-05.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/142618">竊密惡意軟體Agent Tesla出現變種，可關閉電腦惡意軟體偵測機制來隱匿行蹤</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-06.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/142720">Cyberpunk 2077遊戲開發商遭勒索軟體攻擊，傳出原始碼被竊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-07.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/142844">Clubhouse出現聊天室轉播工具引發爭議</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-08.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/142779">研究人員首度發現蘋果M1處理器原生惡意程式</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-09.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/142711">繼假冒國泰世華網銀的釣魚簡訊詐騙，台新銀行、中國信託也遭冒名</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-02-10.jpg" style="width: 400px; height: 175px;" /></p> </div></div></div>
2021/2/26 18:19作者周峻佑https://www.ithome.com.tw/news/142951
Google贊助Linux全職安全維護人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與Linux基金會<a href="https://www.linuxfoundation.org/en/press-release/google-funds-linux-kernel-developers-to-focus-exclusively-on-security/" target="_blank">昨日宣佈</a>，Google將贊助兩名專職人員以投入Linux核心安全的開發。</p> <p>這兩名專職人員為Gustavo Silva及Nathan Chancellor，他們將專門維護和改善Linux核心安全及相關專案，確保Linux的長期安全與穩定。</p> <p>Linux基金會指出，截至2020年8月Linux全球有超過2萬名開發人員，貢獻了100萬commits。隨著Linux成為現代運算及基礎架構的關鍵元件，確保Linux安全更為重要。雖然Linux核心開發人員有數千人，但是他們都是在各自專案工作之餘來解決安全問題，專職安全維護人員將助於減輕他們額外的工作負擔。</p> <p>兩名維護人員中，Nathan Chancellor已成為核心開發人員4年半，2年前開始維護ClangBuiltLinux專案，這是以Clang及LLVM組譯工具開發Linux核心。未來他將會專注在Clang/LLVM組譯工具的所有bug的分類及修補，同時建立相關的持續性整合系統。</p> <p>Gustavo Silva目前已經投入Linux安全，負責防範眾多類別的緩衝溢位攻擊，此外他也已投入防範Linux mainline核心的漏洞，並發展各種類別的漏洞防禦機制。整體而言，Silva自2017年來就多次蟬連Linux核心裏貢獻最多的前五大開發人員，commits超過2,000，從Linux 3.16以來已影響了27個不同的stable trees。</p> </div></div></div>
2021/2/25 12:20作者林妍溱https://www.ithome.com.tw/news/142907
Container周報第135期：北歐最大3C電商如何打造內部K8s來省錢？CNCF大使力推的必讀K8s上手書
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong>2/1~2/25精選容器新聞</strong></h3> <h3> <span style="color:#0000FF;"><strong>#服務網格 #零售業K8s實戰 #POS容器化</strong></span><br /><span style="color:#FF0000;"><strong>年營收40億美元的北歐老牌3C電商如何打造內部K8s平臺來省錢？</strong></span></h3> <p>最近北歐最大規模的3C零售電商Elkjop雲端架構師Henry Hagnäs，揭露了自建K8s平臺，來維運200支微服務應用，降低了8成主機代管費用的經驗。</p> <p>發源於挪威的Elkjop創立近60年，在北歐5國（丹麥、芬蘭、冰島、挪威和瑞典）以Elgiganten電商聞名，擁有超過4百家分店，員工超過1萬2千人，年營收高達47億美元。過開始改變策略，去Elkjop主要採取委外開發，再由小規模IT部門來管理和負責整合，不過，6年前，Elkjop決定擁抱微服務設計，來改造那些用來串接各委外系統間的API，尤其要自己開發一個進階版支付API，來串接電商平臺和店內POS系統。</p> <p>最初第一批微服務都部署在Azure Web App服務上，後來Elkjop找來顧問，自己發展出一套微服務主機平臺來維運這些微服務。這個平臺有3個目標，功能要類似Azure Web App服務，但得更便宜更容易使用，也需要容易擴充，能統一自動或手動管理調度不同的應用，可以提高開發產量。另外，也希望藉此來建立一個SRE團隊。</p> <p>Elkjop先將自家應用容器化，部署到K8s上，因為關閉了ingress控制器的TLS功能，所有服務間的呼叫都沒有加密。Elkjop才意識到，需要一個監控矩陣來管理，所以，進一步採用了Linkerd。Henry Hagnäs解釋，透過Linkerd控制介面，可以提供了一種在資料面的微代理伺服器能力，可以用來提供加密或監控能力。</p> <p>Elkjop利用Linkerd預設的RED（請求數、錯誤數和持續時間）監控矩陣，就足以可以建立足夠的系統可觀測性。另外，也建立了一個全靠記憶體運作的Prometheus伺服器和Gragana實例提供儀表板功能。</p> <p>將POS後端也搬上K8s後，原本以為就可以正常啟用，卻發現Linux主機啟動失敗率下滑，開始針對請求失敗率來建立系統健康追蹤機制。利用TCP連線的持續時間和是掰率，來監測POS後端每一支系統對內和對外的流量，最後才發現，是銷售網站應用無法重複利用Socket通訊，這個問題無法從SNAT埠監控發現，需要詳細的網路遙測（Telemetry）才能發現，後來透過增加系統對外通訊埠來解決這個問題。</p> <p>為了優化後續維運，也採取HA架構來部署Linkerd，這個架構也有助於升級，可以輪流升級而不用關閉服務。透過Linkerd的設定註解和標籤，很容易就可以建立HA架構。隨著Elkjop在各國分店陸續用K8s平臺上的POS，Elkjop也建立了一個跨國備援的叢集。Elkjop預計在2021年底，將K8s上的POS，部署到全球各國的分店據點。</p> <h3><span style="color:#0000FF;"><strong>#K8s自學教材 #第一手實戰經驗 #雲端原生架構設計</strong></span><br /><span style="color:#FF0000;"><strong>14本導入和維運K8s必讀的上手書</strong></span></h3> <p>CNCF基金會推廣大使Chris Short最近整理了<a href="https://kubernetesreadme.com/">14本K8s上手和維運的必讀上手書</a>，從最基本的CNCF發行的兒童K8s讀本《Phippy and Friends》，到雲端架構部署參考書，如以第一線工程師實戰經驗為主的《97件雲端工程師應該知道的事》，提供多種主流雲端原生架構設計樣式的《Cloud Native Patterns》。還推薦了兩位K8s創辦人Brendan Burns和Joe Beda和另一名作者合寫的K8s實踐書《Kubernetes:Up and Running》，在這本書中，介紹了Google如何在一周內啟用20億個容器的管理秘訣，最後如何實踐到K8s這套開源軟體中，也從一個分散式應用系統的開發周期角度來介紹，如何自動擴充這樣的分散式系統，有那些工具或API可用，或是如何自動擴充到實體環境，甚至是樹莓派單版主機上。</p> <p>特別一提的是，Chris Short也推薦了赫爾辛基大學開設的<a href="https://kubeweekly.io/">線上自學教材《DevOps with Kubernetes》</a>，提供了K3s和GKE的入門線上課程，從微服務架構開發到自動化部署的建置都涵蓋。</p> <h3><strong><span style="color: rgb(0, 0, 255);">#雲端K8s #新特色</span><br /><span style="color: rgb(255, 0, 0);">快速一覽三大雲端龍頭K8s代管服務的2月新功能</span></strong></h3> <p>三大雲端巨頭的K8s服務GKE、EKS和AKS在這個月有那些新功能呢？快速整理一下，先來看Google的GKE，叢集自動擴充器可以從0節點的資源池開始啟動，自動擴充設定可以預設指定最大支援32個vCPU和128GB記憶體的E2虛擬機器規格。而AWS的EKS在2月的主要新功能則增加了EKS叢集整合OpenID身分提供者（OIDC）的功能，可以用來代替AWS身分識別和IAM管理的替代機制。微軟的AKS服務在2月主要更新是叢集啟動關閉功能進入正式版，也釋出了多項預覽版功能，包括用自訂DNS區域來建立私有叢集，可重複利用負載平衡流出IP作為流入IP，以及pod資安政策預覽版等。</p> <h3><span style="color:#0000FF;"><strong>#GPU #K8s維運</strong></span><br /><span style="color:#FF0000;"><strong>Nvidia翻新GPU虛擬化軟體，簡化K8s部署GPU的維運框架</strong></span></h3> <p>Nvidia發布GPU虛擬化軟體12.0新版，除了支援Nvidia去年下半發表的3款Amepere架構GPU之外，更大幅簡化了在Kubernetes環境部署與管理GPU的維運框架Nvidia GPU Operator。可以自動安裝與更新vGPU Software用於容器平臺的圖形驅動程式。Nvidia GPU Operator就能自動決定vGPU Software圖形驅動程式版本，是否相容於容器平臺搭配的Virtual GPU Manager軟體。可用於裸機、穿透虛擬化平臺的GPU（GPU passthrough virtualization），以及GPU虛擬化共享（vGPU），也可支援vCS與RTX vWS。</p> <h3><strong><span style="color:#0000FF;">#服務網格 #容器管理整合VM</span><br /><span style="color:#FF0000;">開源服務網格Istio釋出1.9新版，容器服務網格也能整合VM管理</span></strong></h3> <p>在2月初，開源服務網格專案Istio發布了1.9新版，最大特色是Day2維運功能的改善，主要是推出了虛擬機器整合機制，可以將虛擬機器的維運和管理整合到Istio服務中，例如套用同一個政策，跨容器和VM都使用同樣的遙測監控機制，開發社群也提供了多份參考文件，例如Istio架構如何整合VM，如何安裝、除錯等。不過，這項VM整合功能目前還處於Beta版本中。其他新功能如請求分類功能（Beta版），可在配置檔中預先設定要蒐集的遙測請求資料類型，方便更精細地追蹤流量。另外也開始實驗性的新功能是新增支援K8s服務（Alpha版）和外部授權驗證系統（實驗版本）等。這次新版功能大多聚焦在 Day2後續維運面的強化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Istiou%E6%9E%B6%E6%A7%8B%E6%95%B4%E5%90%88VM.jpg" /></p> <p> </p> <h3><span style="color:#0000FF;"><strong>#容器資安 #Azure</strong></span><br /><span style="color:#FF0000;"><strong>Azure Functions出現容器脫逃漏洞，惡意程式能進入底層主機</strong></span></h3> <p>資安公司Intezer研究人員發現微軟的無伺服器運算服務Azure Functions，存在一個特權提升漏洞，且程式碼可從Azure Functions Docker容器逃脫（Escape）至底層的Docker主機，但微軟在收到漏洞報告後，認為這個漏洞並不影響Azure Functions用戶安全，因為即便可以逃脫，但Docker主機本身仍受Hyper-V邊界保護，微軟進一步限制了/etc和/sys的存取來防範。</p> <h3> <strong><span style="color:#0000FF;">#GitOPS #企業級K8s</span><br /><span style="color:#FF0000;">Kubermatic企業級K8s平臺小改版，強化GitOps政策管理</span></strong></h3> <p>另一家企業級K8s軟體商Kubermatic推出了最新的KKP 2.16版本，主要新增支援開放政策代理（Open Policy Agent，OPA），讓用戶可以更好地控制政策，並且新增動態資料中心和其他GitOps功能。OPA可以讓用戶用高階宣告式語言來配置政策，KKP 2.16透過整合OPA，讓用戶可以在微服務、Kubernetes、CI/CD工作管線和API閘道器等，集中管理任務，並且強制應用政策。官方提到，用戶現在可以透過Kubermatic API存取OPA，並且在稍晚時，將該功能整合到使用者介面中。</p> <h3> </h3> <h3><span style="color:#0000FF;"><strong>#Day2維運 #服務網格</strong></span><br /><span style="color:#FF0000;"><strong>網格管理要有企業級工具，Gloo Mesh企業版主推Day2管理觀察工具</strong></span></h3> <p>FaaS服務新創公司Solo.io正式發布企業級服務網格管理解決方案Gloo Mesh Enterprise，可增加服務網格的可用性和可控制性，簡化Istio在多叢集和多雲環境的複雜操作，同時還可以讓用戶以WebAssembly擴充網格資料平面。</p> <p>Gloo Mesh強化Day 2操作，藉由進階API和可觀察性工具，協助開發人員監控和維護系統，其提供的Gloo Portal，可以對Istio中運作的API進行分類並且對外開放，讓開發人員或是其他合作夥伴，能夠更容易使用API。隨著企業的服務網格發展，Gloo Mesh可以讓用戶在其網格，加入回退或是委派等進階功能，同時也促進WebAssembly的開發和部署，讓用戶可將WebAssembly擴展多個叢集中，進而供企業自訂出符合特定需求的服務網格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gloo_Mesh%E6%9E%B6%E6%A7%8B%E5%9C%96.png" /></p> <h3><span style="color:#0000FF;"><strong>#政策管理引擎 #OPA</strong></span><br /><span style="color:#FF0000;"><strong>開源政策管理引擎OPA專案正式畢業，Google、微軟和VMware將持續維護</strong></span></h3> <p>經過3年孵化，政策管理引擎開源專案OPA（Open Policy Agent）正式從CNCF基金會畢業，進入獨力發展階段。這是一個通用型政策管理引擎，主要由Google、微軟、VMware和Styra聯手維護，這也意味著前三家主要科技巨頭的混合雲產品都大力支援同一個政策管理引擎。目前已有超過150家企業或組織採用OPA來派送和管理各種系統政策，尤其可以用OPA來管理微服務API授權政策的擴充和分配。其他常見用途則有用來整合K8s管理控制器，或應用程式授權、雲端資安政策等。不少企業則是專門用OPA來搭配K8s管理控制器，進行政策派送。</p> <p> <strong>責任編輯：王宏仁</strong></p> <h3><span style="color:#FFD700;"><strong>更多新聞</strong></span></h3> <p>#Docker與JFrog進一步合作，JFrog用戶可不受限制存取Docker Hub</p> <p>#Docker將容器註冊表專案Distribution貢獻給CNCF</p> </div></div></div>
2021/2/25 09:56作者王宏仁https://www.ithome.com.tw/news/142897
GitHub：開源有助5G發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家電信暨資訊管理局（NTIA）廣徵創新建議，以加速開放5G堆疊生態系的發展，而GitHub便提交了一份<a href="https://github.blog/2021-02-23-open-source-in-the-5g-stack/">意見書</a>，該文件強調開源實踐以及指標，對於5G創新的重要性與位置。</p> <p>GitHub強調開源是包容性的，將可讓更多方參與合作，而且在安全性和互通性方面，開源一直是最佳的解決方案，因為廣大的安全分析師社群能夠檢查原始碼，並且偵測和解決漏洞，而開發者也將可以在開源專案中，使用開放標準。</p> <p>GitHub提到，許多政府的挑戰和5G堆疊，其實在GitHub都已經開發過了，並且已經有不少組織在5G堆疊上採用開源開發，像是Linux基金會底下的開放式網路自動化平臺（ONAP）與DARPA合作，而美國國家衛生基金會也正與OpenAirInterface合作，還有諸如Open RAN Coalition等組織，也都強調使用開放標準進行開發。</p> </div></div></div>
2021/2/24 23:17作者李建興https://www.ithome.com.tw/news/142894
2021年1月10大新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2020年10月，微軟聯手多家電信業者與資安業者，切斷殭屍網路Trickbot，這個月另一個大型的殭屍網路Emotet也被破獲，已遭到Emotet病毒感染的電腦將與歐洲刑警組織接管的基礎架構連線，同時也傳出歐洲刑警組織預計在3月要遠端清除這些電腦上的病毒。但這樣的情況會不會只是雷聲大雨點小？因為，Trickbot背後的駭客組織在殭屍網路的基礎設施切斷後，很快就東山再起，資安人員也發現更能持續存活在受害電腦的變種病毒，而Emotet被破獲的後續情況又是如何？顯然相當值得觀察。</p> <p>而這個月的攻擊事件中，非常值得留意的是同時有針對資安公司和資安人員而來的事故，前者的受害者是SonicWall，資安公司遭到駭客鎖定的現象時有所聞，但該公司是因為自家的SSL VPN設備漏洞被駭，而且漏洞在他們尚未完成調查的時候，已經被拿來發動其他攻擊。針對資安人員的部分，則是引起Google與微軟高度關注的北韓駭客攻擊行動，他們也先後發表各自的發現。</p> <p>國內資安新聞的部分，首先是數位身分證在民間的疑慮尚未解除之下，行政院決定暫緩換發。但更值得注意的是台灣大哥大自有品牌手機Amazing A32，傳出在製造過程就被植入惡意程式，而導致使用者被捲入詐騙案，淪為人頭帳戶的情況，這起事件自2020年10月就傳出相關消息，但直到2021年1月才隨著NCC和台灣大哥大發布相關聲明，而浮上檯面，值得留意的是，這起事件同時曝露出多種面向的資安議題。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/142504">歐洲刑警組織與8國警方合作拿下Emotet殭屍網路</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-01-emotet_ua-national-police.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span><a href="https://www.ithome.com.tw/news/142585">導致SonicWall被駭的SSL VPN漏洞，傳出已有其他攻擊行動開始運用</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-02-sonicwall-sma100.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span></strong><a href="https://www.ithome.com.tw/news/142472"><strong style="vertical-align: top;">Google、微軟相繼揭露北韓針對資安研究人員的攻擊</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-03-DPRK-target-security-researchers.png" style="width: 400px; height: 324px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/142469">存在近十年Sudo漏洞，可讓Unix、Linux本機使用者取得根權限</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-04-poc-sudo-cve-2021-3156.jpg" style="width: 400px; height: 200px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/142351">開源DNS軟體Dnsmasq含有7個安全漏洞，華碩、D-Link也受影響</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-05-dnsmasq.jpg" style="width: 400px; height: 137px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/141949">芬蘭國會傳駭客入侵，議員電郵遭不法存取</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-06-finland.png" style="width: 400px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/141970">美國駭客劫持物聯網裝置並用來發動謊報攻擊事件頻傳</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-07-iot-devices.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/142100">台灣大哥大引進中國白牌手機貼牌銷售，驚傳資安漏洞</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-08-amazing-a32.png" style="width: 400px; height: 233px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/142156">駭客鎖定臺灣公部門、研究機構、大學發動釣魚信攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-09-earthwendigo-phishing.png" style="width: 400px; height: 273px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/142375">行政院暫停數位身分證換發，將立專法、取得社會共識後再推行</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-01-10-eid-suspended.png" style="width: 400px; height: 199px;" /></p> </div></div></div>
2021/2/20 17:20作者周峻佑https://www.ithome.com.tw/news/142819
Google正在開發遏止Chrome大量消耗Windows、Android資源的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome作為市占第一大瀏覽器，最為人詬病的是相當耗系統資源。不過Google正在開發一項可減少Chrome耗損作業系統資源的技術，近日已經部署到Windows與Android上。</p> <p><a href="https://chromium.googlesource.com/chromium/src/+/master/base/allocator/partition_allocator/PartitionAlloc.md#Overview" target="_blank">根據Chromium專案網站指出</a>，PartitionAlloc為一個記憶體配置器（memory allocator），可為記憶體分割區（partition）中的物件分配足夠的bucket大小。PartitionAlloc最重要的目的是安全性，確保不同分區於行程內網址空間內相互隔離，防止惡意程式入侵作業系統，它的其他作用還包括使Chrome啟動更快、內部網頁載入更快，也能降低RAM的耗用。</p> <p><a href="https://www.windowslatest.com/2021/02/19/chrome-performance-upgrade-ram-usage-windows-android-linux/" target="_blank">Windows Latest報導</a>，Google去年起開發名為PartitionAlloc-everywhere for Chrome的技術，計畫將這項技術推向Windows、Android、Linux或其他作業系統版本。</p> <p>一項最新<a href="https://bugs.chromium.org/p/chromium/issues/detail?id=998048#c159" target="_blank">Chromium專案commit</a>顯示，PartitionAlloc-Everywhere現在已經推向Windows及Android版的Beta版本預設啟用。但是Linux版本則還有些問題。至於Linux版預定進度則不得而知。</p> <p><a href="https://bugs.chromium.org/p/chromium/issues/detail?id=1121427#c76" target="_blank">另一個commit則指出</a>，PartitionAlloc在Android平臺上的測試顯示，這項技術在大多數GPU process環境下，能夠改進記憶體耗用、效能及穩定性。至於在Windows 10及Android上的實際改善效果，目前仍不清楚。</p> <p>使用Chromium專案的微軟Edge團隊，也在設法減少瀏覽器的資源使用。<a href="https://www.ithome.com.tw/news/138329" target="_blank">去年Windows 10 2004加入</a>一項名為SegmentHeap的功能，宣稱可減少Win32應用程式使用的記憶體最多27%。去年12月的<a href="https://blogs.windows.com/msedgedev/2020/12/09/sleeping-tabs-beta-performance/" target="_blank">Edge 88 Beta版則加入了</a>靜止分頁（sleeping tab）支援，可減少閒置分頁使用32%記憶體，以及37%的CPU資源。</p> </div></div></div>
2021/2/20 16:54作者林妍溱https://www.ithome.com.tw/news/142831
Linux基金會接受7個倡議種族正義的開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/en/blog/new-open-source-projects-to-confront-racial-justice/">宣布</a>託管7個源自Call for Code種族正義（Racial Justice）計畫的專案，目的是要敦促全球開發者和開源社群貢獻解決方案來改善種族不平等問題，其中包含Fair Change和Take Two兩專案，要透過紀錄種族歧視事件，以及減少新聞和網頁內容的偏見，進一步為種族正義做出貢獻。</p> <p>IBM在2020年10月啟動Call for Code種族正義計畫，希望鼓勵全球開發者、生態系合作夥伴以及社群，能夠針對3個重點提升種族正義，包括警察與司法改革和問責制；多元性表達；政策和立法改革。這項計畫IBM 2018年所創建的Call for Code計畫的延伸。</p> <p>Linux基金會與IBM目前先公開了兩個專案，分別是Fair Change以及Take Two。Fair Change是一個平臺，可用來記錄、分類和存取潛在種族歧視事件的證據，從公共利益的角度，達到透明化、再教育和改革的目的。使用的情境像是日常受到警方交通臨檢和盤查，Fair Change可以儲存相關人等所記錄的影片，以確認事件是否有處理上的偏差。</p> <p>Fair Change包含3個部分，有使用React Native創建的iOS和Android行動應用程式，以及一個以Node.js建立的API，用來從不同的資料來源抓取資料，Fair Change還提供呈現事件資料的網站，該網站使用Google地圖和React創建地圖功能，能以地理分布的方式呈現事件。</p> <p>而TakeTwo則是用來減少新聞內容、標題、網頁、部落格甚至是程式碼上的偏見，其提供媒體創作者簡單快速的工具，偵測並且減少內容中的種族偏差用語。這項解決方案會使用由受信任單位所彙編的包容性術語目錄，像是由Linux基金會和CNCF共同創建的Inclusive Naming Initiative，所提供的術語目錄，經過分類後用來訓練人工智慧模型以增加準確性。</p> <p>TakeTwo的API可以藉由CouchDB後端資料庫，或是IBM Cloudant資料庫在本地端執行，IBM提到，他們已經在現有的IBM開發者工具中部署了TakeTwo，用來審查IBM員工所產出的內容。</p> <p>除了這2項專案之外，還有其他5項專案也正在發展中，包括可以幫少數族群規畫最佳投票策略的Five-Fifths Voter；還有能夠提供更多目擊證據，對抗警方不實報告的事件精確回報系統；而Open Sentencing則可以幫助公設辯護人，了解人工統計中的種族偏差，以更好地服務少數族群。</p> <p>這些專案使用紅帽OpenShift、IBM雲端、Node.js、Vu.js、Docker、Kubernetes和Tekton等開源技術，Linux基金會和IBM邀請開發者可以共同測試、擴展和實作這些專案，並加入更多元的觀點，使這些專案更加強健。</p> </div></div></div>
2021/2/20 17:01作者李建興https://www.ithome.com.tw/news/142820
駭客利用Drupal等32種軟體漏洞，對Windows及類UNIX系統發動大規模挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/watchdog-cryptojacking/" target="_blank">安全廠商Palo Alto本周揭露</a>一隻名為Watchdog的挖礦程式，鎖定並劫持Windows及類UNIX系統挖礦至少2年，是已知規模最大、時間最長的Monero挖礦劫持攻擊。</p> <p>Palo Alto旗下的Unit42安全實驗指出，WatchDog名稱是從Linux精靈程式watchdogd而來。它至少從2019年1月就開始感染伺服器，並暗中從事門羅幣（Monero）的挖礦。</p> <p>控制WatchDog的駭客利用33種不同的開採工具，來駭入目標系統的32項軟體漏洞。他們的目標軟體包括Drupal、Elasticsearch、Apache Hadoop、Redis、SQLServer、ThinkPHP及Oracle WebLogic。研究人員估計WatchDog由3種Go語言寫成的二進位程式，及一個bash或PowerShell script檔組成。這些二進位程式，一個模擬Linux watchdogd精靈確保挖礦過程不會無預期中斷或終止，一個下載之前掃瞄找到的一組Windows或NIX目標系統的IP位址清單，以便對這些機器執行開採指令，另一個則利用bash或PowerShell script，對這些系統啟動挖礦。使用Go二進位程式讓WatchDog可在不同OS上（Windows或NIX）執行，只要目標系統安裝Go平臺。</p> <p>Unit42小組研究人員找到WatchDog部署的殭屍網路架構，辨識出18個根IP終端及7臺惡意網域，可支援至少125個可下載工具到受害系統的URL。</p> <p>研究人員判斷，WatchDog控制的機器大約在500到1000臺之間，其中以Windows及類UNIX雲端執行個體為主，平均至少控制476臺系統保持運作，產出的算力達1,037KH/s，兩年來這隻程式至少挖了209個Monero（XMR），價格約32,056美元。</p> <p>這並非Palo Alto第一次發現會自主感染的挖礦程式。<a href="https://www.ithome.com.tw/news/133655" target="_blank">2019年他們也曾發現名為Graboid的挖礦蠕蟲</a>，劫持超過2,000臺Docker Hub主機用於挖掘Monero加密貨幣。Graboid在被發現並移除前曾潛伏了3個月。</p> <p>但是WatchDog似乎更高明。它不需要第三方伺服器來下載惡意酬載，這使得它得以持續挖礦活動，時間超過2年。</p> <p>研究人員認為運作WatchDog的駭客經驗老道，雖然目前尚未看到它已駭入雲端系統，像是竊取雲端平臺的身份及存取管理（IAM）系統的登入權限、存取ID或金鑰，但相當有可能日後駭入雲端帳號。這群人極可能在植入挖礦軟體時取得根帳號或管理員存取權限，進而取得了雲端系統的IAM相關資訊。</p> <p>研究人員建議系統管理員應確保系統軟體在新版本，以免自家系統成了駭客的挖礦機器。</p> </div></div></div>
2021/2/19 15:31作者林妍溱https://www.ithome.com.tw/news/142798
資安一周133期：駭客意圖在美國淨水廠加入大量氫氧化鈉。新興語音社交軟體Clubhouse引起資料安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">2/11-2/17 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路攻擊＃水利設施＃SCADA ＃共用密碼</strong></span></h3> <h2><strong style="vertical-align: top;">美國淨水廠遭駭，攻擊者意圖加入大量氫氧化鈉汙染水質</strong></h2> <p>駭客攻擊自來水系統並竄改水質，近期出現數起事故。例如，位於美國佛州奧德馬爾（Oldsmar）市的淨水廠，約於美東時間2月5日上午8時，遭駭客透過TeamViewer存取淨水控制系統，企圖將水中的氫氧化鈉濃度調高111倍，所幸員工及時發現而未造成災情。</p> <p>究竟為何會遭到攻擊？除了當地警方於2月8日記者會揭露初步調查結果，2月11日麻州政府向自來水系統業者發出的資安通告，也提及原因。</p> <p>該通告指出，釀禍的原因在於淨水廠使用Windows 7、TeamViewer，以及公司網路沒有防火牆保護，電腦直接連上網際網路等，形成不安全的網路環境，再加上共用遠端存取密碼，而成為攻擊者下手的目標。<strong><a href="https://www.ithome.com.tw/news/142729">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/133-1_water-supplier-notice-mass.png" style="width: 400px; height: 263px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：美國麻州政府</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃即時通訊軟體</strong></span></h3> <h2><strong style="vertical-align: top;">新興語音社交軟體Clubhouse引起資料安全疑慮</strong></h2> <p>採用邀請制度的語音社交軟體Clubhouse，最近席捲美國、臺灣、中國，以及日本等國家，但也因採用中國技術而引發隱私疑慮。史丹佛大學網路觀測計畫團隊（SIO）研究後證實，該社交系統採用的語音平臺是中國Agora，聊天室中繼資料（Metadata）的傳送過程，亦經過位於中國的伺服器，且未受到端對端加密（E2EE）保護，而導致用戶可能被中國政府秋後算帳。</p> <p>對此，Clubhouse向SIO表示，他們將執行一系列措施來加強資料保護，包含額外的加密機制，以及避免用戶端與中國伺服器通訊等。<strong><a href="https://www.ithome.com.tw/news/142745">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊＃電玩產業</strong></h3> <h2><strong style="vertical-align: top;">Cyberpunk 2077遊戲開發商遭勒索軟體攻擊，傳出原始碼被竊</strong></h2> <p>開發電玩大作「電馭叛客2077（Cyberpunk 2077）」的CD Projekt，在2月9日表示，他們遭到勒索軟體攻擊──駭客入侵該公司的內部網路，盜走了許多資料，還留下勒索信。</p> <p>與過去勒索軟體受害者不同的是，CD Projekt向外界公布勒索信的內容，駭客向他們宣稱已取得3款遊戲的原始碼，並包含尚未發行的內容，而且加密了該公司所有伺服器。對此，CD Projekt表示他們正在復原系統，不打算與駭客妥協。<strong><a href="https://www.ithome.com.tw/news/142720">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/133-2_Ransomware-attack_CD-Projekt.png" style="width: 400px; height: 394px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：CD Projekt</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃供應鏈攻擊</strong></h3> <h2><strong style="vertical-align: top;">關於Supermicro遭植入間諜晶片疑雲，彭博新報導3起過往事件與之有關，但Supermicro再度否認</strong></h2> <p>美超微（Supermicro）伺服器在2018年傳出，製造過程中遭供應鏈攻擊，被中國解放軍控管的駭客植入間諜晶片，藉以竊取機密資訊。彭博社於2月12日再度針對此事報導，消息人士指出有3起攻擊事件與之有關。先是美國國防部於2010年，發現數千臺伺服器利用晶片內處理啟動過程的程式碼，將軍事資料傳給中國；後來，2014年英特爾公司網路遭到中國駭客組織駭入，並利用伺服器於供應商的網站下載惡意軟體；再者，則是美國聯邦調查局於2015年向多家企業提出警告，中國駭客將含有後門程式碼的晶片，嵌入到一家製造商生產的伺服器。</p> <p>對此，Supermicro再度予以否認，表示彭博的報導是由多篇不精準的指控拼湊而成，他們不曾接獲美國政府與合作夥伴的通知。<strong><a href="https://www.ithome.com.tw/news/142736">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃SSL VPN</strong></span></h3> <h2><strong style="vertical-align: top;">思科小型VPN路由器驚傳6項重大RCE漏洞</strong></h2> <p>繼日前SonicWall因自家VPN設備漏洞遭駭，使得此種類型設備的漏洞持續受到高度重視。思科於2月3日發出資安通告，旗下多款中小企業VPN路由器的網頁管理介面，存在8項漏洞，其中6項是遠端程式碼執行漏洞（RCE），屬重大等級。由於沒有其他權宜的緩解方法，思科呼籲用戶儘速升級1.0.01.02版韌體。</p> <p>上述8項漏洞的影響範圍，包含了RV160與RV260系列設備，RV340與RV345系列機型則不受影響。<strong><a href="https://www.ithome.com.tw/news/142701">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃K8s ＃容器安全＃挖礦攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">蠕蟲程式TeamTNT利用Kubernetes叢集挖礦</strong></h2> <p>去年在雲端環境活躍的惡意程式TeamTNT，先是被攻擊者用來建立分散式阻斷服務攻擊（DDoS）殭屍網路、竊取AWS帳密等行為，今年1月Palo Alto Networks發現新的攻擊行動，他們表示，駭客藉由組態不夠安全的Kubelet入侵Kubernetes，並植入TeamTNT發動挖礦攻擊，該公司將新版TeamTNT命名為Hildegard。</p> <p>研究人員指出，Hildegard具備的新功能而更難被偵測。它和C&C伺服器建立連線的管道，包含了IRC，以及利用Unix終端管理工具Tmate執行的反向殼層（Reverse Shell）。同時，Hildegard也冒用Linux環境的處理程序名稱Bioset，掩人耳目，並透過LD_PRELOAD程式庫注入，來隱藏惡意工具的處理程序。<strong><a href="https://www.ithome.com.tw/news/142730">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網站安全＃WordPress ＃外掛程式</strong></span></h3> <h2><strong style="vertical-align: top;">知名WordPress圖庫外掛程式漏洞恐導致網站被接管</strong></h2> <p>網站的外掛程式漏洞頻傳，但開發者提供修補程式後，許多管理者遲遲未安裝的情況時有所聞。WordPress安全外掛程式供應商Wordfence指出，WordPress知名的圖庫外掛程式NextGen Gallery，存在2個跨站請求偽造（CSRF）漏洞，可造成遠端程式執行或跨站指令碼（XSS）攻擊，恐允許駭客接管WordPress網站。</p> <p>該公司表示，他們通報後，開發商Imagely已於2020年12月發布3.5.0版NextGen Gallery修補上述漏洞。但根據資安新聞網站Bleeping Computer統計，仍有超過53萬個網站尚未更新這套外掛程式。<strong><a href="https://www.ithome.com.tw/news/142714">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃防毒軟體＃作業系統</strong></span></h3> <h2><strong>Windows內建防毒軟體出現存在12年的重大漏洞，微軟釋出修補程式</strong></h2> <p>資安廠商SentinelOne近日公布，他們發現微軟防毒軟體Microsoft Defender具有重大權限擴張漏洞，可使攻擊者刪除檔案或接管裝置。由於該軟體為Windows作業系統內建，而此項新發現的漏洞從2009年存在至今，影響的範圍相當廣泛。微軟也已於2月9日的每月例行修補（Patch Tuesday），提供解法。</p> <p>研究人員指出，該漏洞出現在Microsoft Defender的驅動程式BTR.SYS，攻擊者一旦利用硬連結（Hard Link），就可能藉由該驅動程式覆寫指定檔案，進而刪除特定資料或執行程式碼，而不需要管理員權限。<strong><a href="https://www.ithome.com.tw/news/142749">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網頁瀏覽器＃網站圖示</strong></span></h3> <h2><strong style="vertical-align: top;">攻擊者濫用網站圖示與瀏覽器快取漏洞，可追蹤無痕模式用戶</strong></h2> <p>為了避免防堵網站大肆追蹤上網用戶，瀏覽器業者提供了無痕模式等工具，讓用戶有更為隱密的上網方式，但這類保護機制再度遭到破解。伊利諾大學芝加哥分校研究人員近日發布研究報告指出，他們發現只要瀏覽器的快取機制支援網站圖示（Favicon），就能被第三方追蹤器用來辨識與追蹤使用者，無論使用者切換至無痕模式、安裝廣告封鎖外掛程式，或是清除快取，都於事無補。</p> <p>研究人員宣稱，包括Chrome、Safari，以及強調隱私的Brave，都難以防範這種濫用網站圖示的追蹤行為。<strong><a href="https://www.ithome.com.tw/news/142718">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙＃加密貨幣</strong></span></h3> <h2><strong style="vertical-align: top;">民眾加密貨幣帳戶遭異常存取，損失千萬</strong></h2> <p>在農曆春節前，出現歹徒假冒網路銀行的名義，進行釣魚簡訊詐騙的多起事件，刑事警察局於過年期間又接獲其他詐騙，通報有加密貨幣投資人於幣安交易所（Binance）進行交易時，收到同時有其他於香港地區試圖登入帳號的警示訊息，但在這名投資人點選拒絕後，帳戶內的比特幣卻不斷被轉出，在半個小時之內就損失千萬元。</p> <p>刑事警察局指出，歹徒利用跨境網路隱匿身分、去中心化難以追查等特性，屢次運用釣魚網站或其他駭客手法，取得被害人網路銀行或貨幣交易所的帳號密碼來犯案。他們呼籲，投資人應謹慎保管帳號密碼、勿點擊不明連結，並慎選主管機關核可機構來進行交易。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/133-3_Binance-wallet-alerts.png" style="width: 400px; height: 330px;" /></p> <p><span style="color:#808080;">圖片來源：內政部警政署刑事警察局</span></p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/142728">Google推出開源軟體漏洞資料庫</a><br /> ●<a href="https://www.ithome.com.tw/news/142738">2020年濫用Web Shell攻擊事件爆增，較2019年同期增加1倍</a><br /> ●<a href="https://www.ithome.com.tw/news/142700">惡意擴充程式濫用Chrome同步架構竊取用戶資訊</a><br /> ●<a href="https://www.ithome.com.tw/news/142719">蘋果修補macOS的Sudo漏洞</a></h3> </div></div></div>
2021/2/18 18:16作者周峻佑https://www.ithome.com.tw/news/142784
TeamTNT蠕蟲程式再進化，在Kubernetes叢集間感染、挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/hildegard-malware-teamtnt/" target="_blank">安全廠商發現</a>一隻去年開始在雲端活躍的惡意程式TeamTNT，近日又瞄準Kubernetes叢集，企圖在叢集間擴散且挖礦獲利。</p> <p><a href="https://www.ithome.com.tw/news/139496" target="_blank">TeamTNT蠕蟲從去年5月</a>首先被趨勢科技發現感染Docker以建立分散式阻斷服務攻擊（DDoS）殭屍網路，部署惡意容器映像檔，植入惡意挖礦程式。之後Cado Security發現它已經開始感染Kubernetes，且會竊取AWS憑證。</p> <p>而今年一月Palo Alto旗下Unit 42安全研究人員又發現TeamTNT新一波活動，這次是感染到了Kubernetes叢集。在這波活動中，攻擊者是經由組態不良的允許匿名存取的kubelet進入Kubernetes。一旦取得據點，TeamTNT就會試圖儘可能蔓延到其他容器，最後發動挖礦劫持。他們以惡意程式使用的tmate帳號名將這新版TeamTNT稱之為Hildegard。</p> <p>研究人員指出，Hildegard被賦予新功能使其更神祕、更難被偵測到。它會以tmate reverse shell及IRC（Internet Relay Chat）和C&C伺服器建立連線，然後以已知的Linux行程名稱（bioset）自我掩飾，並根據LD_PRELOAD環境變數使用函式庫注入手法隱藏惡意行程。它還會加密二進位程式中的惡意酬載（payload），提高自動化靜態分析工具的偵測難度。</p> <p>Hildegard的程式碼及基礎架構現在還不完整，例如其C&C網域是去年12月24日才註冊，IRC伺服器1月9日才上線，而一些惡意script還經常更新，因此研究人員相信它還在開發中。在這段期間，Hildegard已經具備25.05 KH/s的算力，其電子錢包中已有11 XMR（約1,500美元）。</p> <p>目前研究人員還未觀察到Hildegard有任何活動，表示它還在偵察與武裝化（weaponization）的階段。但他們相信Hildegard背後的組織很快就會發動大規模的攻擊，可能運用Kubernetes充足的運算資源挖礦、甚至從叢集中數以萬計的應用程式中竊取敏感資料。</p> </div></div></div>
2021/2/12 14:22作者林妍溱https://www.ithome.com.tw/news/142730
蘋果修補Sudo版程式漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果昨日針對MacOS Big Sur、Catalina及Mojave<a href="https://support.apple.com/en-us/HT212177" target="_blank">釋出安全更新</a>，以修補包括Sudo程式在內的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/142469" target="_blank">安全廠商Qualys一月底揭露</a>，Sudo程式存在一個堆積緩衝溢位漏洞CVE-2021-3156，在預設組態情況下，任何本機用戶都能傳送sudoedit -s及以單反斜線（\）結尾的指令行參數開採，取得主機上的根執行權限。之後安全研究人員<a href="https://www.ithome.com.tw/news/142619" target="_blank">Matthew Hickey則證實</a>，除了Linux外，這個漏洞也會影響macOS及IBM AIX、Oracle Solaris系統，IBM及Oracle已先後釋出修補。</p> <p>蘋果則是在昨日釋出安全更新，解決macOS Big Sur 11.2、macOS Catalina 10.15.7和macOS Mojave 10.14.6上的sudo 1.9.5p2版本的漏洞。</p> <p>此外，這次的安全更新還解決了Intel顯卡驅動程式2項漏洞，包括CVE-2021-1805頻外（out-of-bounds write）寫入漏洞及CVE-2021-1806競爭條件（race condition）漏洞，兩者都能讓攻擊者以核心權限執行任意程式碼，兩個漏洞都是由ABC Research和趨勢科技下的Zero Day Initiative（ZDI）合作發現並通報蘋果。</p> <p>CVE-2021-1805及CVE-2021-1806影響macOS Big Sur和 Catalina，但不影響Big Sur。</p> </div></div></div>
2021/2/10 15:30作者林妍溱https://www.ithome.com.tw/news/142719
資安一周第132期：法國資安業者StormShield驚傳原始碼遭竊。SolarWinds事件疑似有中國駭客出手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">2/4-2/10 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">法國資安業者StormShield驚傳原始碼遭竊</strong></h2> <p>資安公司遭到攻擊而導致資料外洩的事故，近期可說是時有所聞。法國資安業者StormShield於2月3日坦承，他們的技術入口網站遭未經授權存取，導致部分用戶資料外洩，而且網路資安防護產品（SNS）亦有部分原始碼遭到存取。該公司重設所有使用者的密碼，並推出更新軟體以防範有關攻擊。</p> <p>針對此起事故，法國國家網路安全局（ANSSI）也發出警告，並指出該公司旗下的工業用防火牆設備（SNI）可能同樣受到波及。<strong><a href="https://www.ithome.com.tw/news/142659">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/132-1_StormShield-incident.png" style="width: 400px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：法國國家網路安全局</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">SolarWinds事件疑似有中國駭客出手</strong></h2> <p>在SolarWinds供應鏈攻擊事件爆發後，美國政府與多家資安業者便認為攻擊SolarWinds公司的駭客不只一組，除了可能是俄羅斯駭客所為，路透社引述5個不同的消息來源，指出中國駭客也幾乎在相同時間，找尋SolarWinds軟體的漏洞。</p> <p>上述人士認為與中國有關的原因，在於這個駭客集團使用的基礎設施與工具。不過，他們並未透露駭客的身分或是被鎖定的SolarWinds軟體為何。<strong><a href="https://www.ithome.com.tw/news/142622">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露</strong></h3> <h2><strong style="vertical-align: top;">研究人員證實，macOS、AIX、Solaris皆面臨Sudo權限提升漏洞風險</strong></h2> <p>受到Unix與Linux作業系統用戶普遍採用的Sudo程式，日前被揭露堆積緩衝溢位漏洞CVE-2021-3156，可讓用戶不需登入管理者帳號就就提升權限，引起Linux大型廠商相繼發出公告，呼籲用戶要儘速更新Sudo。近日有研究人員進行驗證，發現macOS、AIX、Solaris等作業系統，同樣會受到這項漏洞影響。</p> <p>對於macOS用戶受到波及的情況，美國電腦網路危機處理暨協調中心（CERT/CC）也表示看法，指出無論是x86或Arm架構的Mac電腦都會受到影響。<strong><a href="https://www.ithome.com.tw/news/142619">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/132-2_CVE-2021-3156-macOS11.png" /></p> <p><span style="color:#808080;">圖片來源：Matthew Hickey</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃惡意軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">木馬程式Kobalos鎖定Linux超級電腦下手，高效能運算叢集與大型ISP業者成受害者</strong></h2> <p>資安業者ESET揭露名為Kobalos的木馬程式，專門鎖定著名的攻擊目標，包括高效能運算叢集、亞洲的大型ISP，以及北美的資安業者等。這個木馬程式具備跨平臺特性，可移植到不同的作業系統執行，諸如Linux、BSD，以及Solaris等。</p> <p>該公司表示，Kobalos具備持續執行的能力，做法是將程式碼存放於函數，而能不斷被呼叫來執行子任務，由於被置入的字串已加密處理，而難以被察覺。<strong><a href="https://www.ithome.com.tw/news/142614">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/132-3_Kobalos.png" /></p> <p><span style="color:#808080;">圖片來源：ESET</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意軟體攻擊＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">竊密惡意軟體Agent Tesla出現變種，可關閉電腦惡意軟體偵測機制來隱匿行蹤</strong></h2> <p>於2020年下半全球第3大惡意程式Agent Tesla，Sophos於2月2日公布，他們近日發現2個新的變種，命名為Agent Tesla v2與Agent Tesla v3，不只能夠竊取更多應用程式的帳號和密碼，還使用獨特的管道與C&C中繼站通訊，而且，攻擊者也藉由竄改Windows作業系統內建的惡意軟體掃描介面（AMSI），來躲避電腦防毒軟體的偵測。</p> <p>比較特別的是，Agent Tesla v3其中一種向中繼站外洩竊得的資料做法相當罕見，是利用即時通訊軟體Telegram的API做為傳輸管道。<strong><a href="https://www.ithome.com.tw/news/142618">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃瀏覽器外掛＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">熱門Chrome外掛The Great Suspender被植入惡意程式</strong></h2> <p>近日Google在Chrome外掛市集中，移除了The Great Suspender外掛程式，理由是該軟體近期推出的7.1.8版，被植入惡意程式，意圖追蹤用戶並進行廣告詐騙。由於該外掛程式的功能，是協助用戶釋放Chrome處理器與記憶體資源，使得瀏覽器執行較為順暢而受到歡迎，全球有超過200萬用戶安裝。<strong><a href="https://www.ithome.com.tw/news/142663">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">駭客攻擊安卓模擬器NoxPlayer更新系統，部分用戶疑似遭到監控</strong></h2> <p>資安業者ESET指出，知名Android模擬器夜神模擬器（NoxPlayer）的更新機制遭到駭客危害，使得駭客得以藉由此植入惡意程式。他們認為駭客自2020年9月滲透，但僅有5名NoxPlayer用戶收到惡意更新，受害者分布於臺灣、香港，以及斯里蘭卡，駭客疑似在監控這些使用者。</p> <p>針對此事，夜神模擬器運營團隊向ESET表明是誤會，並宣稱會透過相關措施在應用程式執行前進行檢查。<strong><a href="https://www.ithome.com.tw/news/142583">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補不確實</strong></span></h3> <h2><strong>2020年新漏洞有1/4是舊漏洞修補不確實造成</strong></h2> <p>漏洞修補不確實時有所聞，但這樣的情況究竟有多嚴重？Google旗下的抓漏團隊Project Zero，近日公布他們的研究結果，2020年有四分一的新漏洞形成原因，是舊漏洞修補不正確或不完整所致，這意味著駭客若是分析舊漏洞，很有可能就可以找出新的弱點加以濫用。<strong><a href="https://www.ithome.com.tw/news/142649">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">抽獎活動臺灣女麗購驚傳150萬筆個資遭到曝光</strong></h2> <p>臺中市政府舉辦為期2個月的「臺中女麗購」活動，自由時報、中國時報、聯合報，以及蘋果日報等媒體報導指出，有民眾向他們投訴，指控登錄網頁曝露個資。對此，臺中市政府經濟發展局於2月3日表示，原因是廠商采威國際當日午時誤植連結，他們要求該廠商負責，如後續出現個資損害情形，將會另行求償。</p> <p>為了防範此起事件所造成的衝擊，臺中市政府也宣布，統一由經濟發展局聯繫中獎民眾，領獎者也不需事先支付相關費用。<strong><a href="https://www.taichung.gov.tw/1722251/post">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙＃網路銀行</strong></span></h3> <h2><strong style="vertical-align: top;">詐騙集團鎖定台新銀行用戶，發送釣魚簡訊竊取網銀帳密，已騙走至少55萬元</strong></h2> <p>刑事警察局在日前公布歹徒假冒國泰世華網路銀行的名義，藉由釣魚簡訊行騙後，他們不久後獲報，有人收到佯稱是台新銀行網路銀行的簡訊，宣稱用戶的銀行帳號更新失敗，必須輸入驗證碼更新資料，呼籲民眾留意。因為，全國警察機關在2天內，就接獲帳號遭到盜用7件，總共損失55萬2千元。</p> <p>對於近期詐騙集團屢屢利用釣魚簡訊要脅銀行用戶，進而竊取網路銀行帳密將帳戶的錢轉走，<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202102090004&dtable=News">金融監督管理委員會也發出公告</a>，要民眾過年期間加以留意，以免受害。</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/142630">導致被駭的自家產品漏洞，SonicWall終於推出修補程式</a><br /> ●<a href="https://www.ithome.com.tw/news/142572">微軟Azure Functions漏洞恐讓惡意程式碼破壞Docker主機</a><br /> ●<a href="https://www.ithome.com.tw/news/142642">大型家具量販業者Costway網站遭2組駭客側錄用戶資料</a><br /> ●<a href="https://www.ithome.com.tw/news/142645">Google修補疑遭到北韓駭客濫用的Chrome漏洞</a></h3> </div></div></div>
2021/2/9 16:27作者周峻佑https://www.ithome.com.tw/news/142708
一周大事：政府要帶領部會及民間產業發展AI聯合學習應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>將AI聯合學習模式擴大到政府部門及各產業應用，政府帶頭成立臺灣聯合學習產業大聯盟</strong></span></p> <p>以分散式機器學習訓練AI而聞名的聯合學習（Federated Learning）技術，去年在臺灣醫療產業應用開始起飛，而看好它在推動臺灣產業AI化的發展潛力，就連政府也決定帶頭力推。<a href="https://www.ithome.com.tw/news/142514" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>行政院資安處推五年期資安人才培育計畫</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/16_%E7%B0%A1%E5%AE%8F%E5%81%89_%E8%A1%8C%E6%94%BF%E9%99%A2%E8%B3%87%E5%AE%89%E8%99%95_%E8%99%95%E9%95%B7_20200715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">攝影／洪政偉</span></p> <p>對網路攻擊手法越來越複雜，政府和產業對具有攻防實務的資安高階人才需求，也愈形殷切，加上政府機關必須補足不足的資安人力，因此，行政院資安處推出一個五年期的資安人才培育計畫《臺灣資安卓越深耕計畫－資安卓越中心計畫》，日前於立法院臨時會院會通過預算審查。</p> <p>行政院資安處處長簡宏偉表示，資安卓越中心偏重研究和訓練，2018年成立的資安學院，則是資安卓越中心的前身。與協助政府提供資安攻防服務的行政院技術服務中心相比，他認為，資安卓越中心銜命國家安全的資安研究，技服中心偏重資安防護，兩者性質並不相同。<a href="https://www.ithome.com.tw/news/142509" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>國發會MyData今年將正式營運</strong></span></p> <p>繼智慧政府行動方案之後，國發會今年起將啟動「服務型智慧政府2.0推動計畫」，包括多元資料治理生態、精準智慧政府服務、強韌政府數位基磐三大政策目標。在多元資料治理方面，去年7月試營運的MyData個人化資料自主運用平臺，今年將會正式營運。<a href="https://www.ithome.com.tw/news/142507" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>國泰產險靠微服務中臺創造碎片化保險新模式</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E4%B8%BB%E5%9C%96%EF%BC%9A%E7%A2%8E%E7%89%87%E5%8C%96%E4%BF%9D%E9%9A%AA%E4%B8%83%E6%8A%80%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／國泰金控</span></p> <p>為了要能實現彈性組合、短天期保障的保險創新模式，國泰金控數數發中心與國泰產險IT團隊共同合作，打造了保險中臺新架構，除了要整合現有國泰產險核心系統，又能在中臺支持碎片化的保險商品快速重組，以彈性反應不同保險情境的顧客需求變化。<a href="https://www.ithome.com.tw/news/142657" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Chrome將預設啟用Web NFC</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_NFC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GitHub.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_GitHub</span></p> <p>最新釋出的Chrome 89 Beta，正式加入了幾個重要功能，包括WebHID API能讓網頁更好地支援遊戲控制，網頁還能夠使用新的Web NFC功能，可供網頁應用程式讀取和寫入NFC標籤，應用情境包括博物館導覽和庫存管理等，這項功能在Android的Chrome 89將預設啟用。<a href="https://www.ithome.com.tw/news/142564" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>執行長異動，VMware也將瘦身裁員數百人</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_VMware_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_VMware</span></p> <p>一開年英特爾宣布挖角資深前員工、VMware執行長Pat Gelsinger回鍋掌舵，Gelsinger預計2月15日正式到任。VMware也立即任命財務長Zane Rowe為臨時執行長。人事異動不到一個月的VMware此時再傳裁員消息。<a href="https://www.ithome.com.tw/news/142552" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>網頁即時通訊標準WebRTC成為W3C標準</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_WebRTC.png" style="width: 600px;" /></p> <p>兩大標準制定組織W3C和IETF宣布，WebRTC（Web Real-Time Communications，WebRTC）已經成為官方標準，可在網頁平臺良好地支援聲音及影像通訊。WebRTC是由網頁即時通訊JavaScript API和一組通訊協定組成，可讓任何網路上的連接裝置，成為網頁上潛在通訊端點，為瀏覽器、行動裝置和桌面應用程式，提供即時視訊通話能力。<a href="https://www.ithome.com.tw/news/142505" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Chromebook和平板去年Q4銷量雙雙創新高</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_ThinkPad%20X12_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%81%AF%E6%83%B3.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_聯想</span></p> <p>疫情推升遠距上班、上課需求，市場分析機構Canalys數據顯示，2020年第四季Chromebook出貨1,120萬臺，較2019年同期成長287%，2020全年則來到3,060萬臺，是前一年的4倍。至於平板2020年第四季全球出貨5,250萬臺，全年出貨1.6億臺，比2019年成長28%。<a href="https://www.ithome.com.tw/news/142550" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>鎖定在家上班，GCP推企業級零信任平臺</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%B9%B3%E8%87%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>日前Google Cloud宣布零信任平臺服務BeyondCorp Enterprise，源於Google內部用了超過10年，用以保護Google應用程式、資料和員工的零信任（zero-trust）模型。藉由將存取控管的對象由網路周界（perimeter）轉為個人用戶，BeyondCorp可確保員工從任何地點安全存取公司網路，而無需傳統VPN。<a href="https://www.ithome.com.tw/news/142467" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>十年Linux Sudo老漏洞超危險，大廠緊急修補</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Sudo%E6%BC%8F%E6%B4%9E.png" style="width: 600px;" /></p> <p>安全廠商Qualys發現類Unix作業系統常用的Sudo程式，存在一個權限升級漏洞，在預設Sudo組態情況下，任何人都能取得主機上的根執行權限。</p> <p>安全公司於今年1月中發現後，通報Sudo的開發維護單位，Sudo已完成修補。Red Hat、SUSE、Ubuntu和Debian也分別發布安全公告，呼籲用戶儘速升級到最新版本的Sudo套件。<a href="https://www.ithome.com.tw/news/142619" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> <a href="https://www.ithome.com.tw/news/142619" target="_blank">更新：Sudo漏洞也影響macOS、AIX、Solaris </a></span></strong></span></span></p> <p><span style="font-size:28px;"><strong>Google將配合蘋果新隱私政策，不蒐集IDFA</strong></span></p> <p>蘋果去年公布App追蹤透明度（App Tracking Transparency）政策，要求App Store上架的iOS App應在第一次啟動時，告知用戶會蒐集哪些個資，以及這些個資會怎麼用來追蹤用戶，用戶可以選擇允許或拒絕App追蹤。蘋果宣布將在下一版iOS 14更新中啟動該項政策，強制要求所有App供應商實作通知，以對用戶揭露相關訊息。對此Google表示將配合蘋果即將上路的隱私規範，不再蒐集規定限制的用戶資訊，也對合作的開發商及廣告商發出公告。<a href="https://www.ithome.com.tw/news/142517" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>SAP要將微軟Teams深度整合至自家應用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Teams_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>看準企業遠距協同需求殷切，商務軟體業者SAP與微軟公布合作計畫，將把Microsoft Teams協同平臺整合到SAP ERP、CRM及HR等應用產品內。這項合作也是雙方針對Salesforce去年收購協同平臺Slack作出的回應。Salesforce計畫把Slack整合到每個Salesforce Cloud環境，成為Salesforce Customer 360新介面。<a href="https://www.ithome.com.tw/news/142459" target="_blank">更多內容</a></p> <p><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> <span style="color:#FFFFFF;">更多重點新聞</span> </span></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/142590" target="_blank">亞馬遜執行長貝佐斯今年底將交棒給AWS執行長Andy Jassy</a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/142581" target="_blank">Linux終止支援英特爾Itanium晶片</a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/142583" target="_blank">Android模擬器NoxPlayer更新機制遭危害，受害者主要位於臺灣、香港與斯里蘭卡</a></strong></span></p> </div></div></div>
2021/2/7 07:00未署名https://www.ithome.com.tw/news/142656
Cloud周報第95期：Google首度揭露臺灣也有雲端資料中心硬體研發人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/1/21～2021/02/03）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端團隊 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google將在臺灣擴大招募雲端服務領域人才</strong></span></p> <p>Google近日在啟用臺北遠東通訊園區全新辦公室時，也對外說明在臺雲端團隊的運作情形，首度透露在臺雲端服務團隊，包含了硬體研發人員，聚焦研發雲端基礎設施的硬體設備。Google臺灣雲端團隊可分為兩大面向，一個是負責基礎設施，像是資料中心的擴建，還有雲端服務相關基礎建設的建置，另一個則是負責商業營運，針對企業客戶為導向的雲端產品或解決方案，進行行銷、銷售等。Google表示，這兩個雲端團隊面向都將會在臺擴大徵才。在實習計畫推動上，Google今年也將擴大實習計畫內容，除有原先軟硬體工程、資料中心、銷售與業務營運和行銷，共5大領域的實習職缺外，今年更新增3大領域的實習機會，其中就包含Google Cloud雲端服務，還有製造工程和技術與專案管理。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 法遵 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google推出基礎設施管理VM Manager，簡化管理大規模VM的操作</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_vm%20manager_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google%E9%9B%B2%E7%AB%AF.png" style="width: 600px; height: 576px;" /></strong></span></p> <p>Google近日發布基礎設施管理工具VM Manager，可自動維護大量的Compute Engine VM群，並提供一系列工具，可自動產出法遵報告和大規模部署軟體。VM Manager是類似於本地端基礎設施管理的工具，供企業從單一儀表板操作自動化維護功能，來即時追蹤基礎設施的清單資料，簡化和降低了大型VM在法遵、可觀察性和安全維護性上的麻煩，並能夠進一步分析、維持基礎設施最佳效能。</p> <p>VM Manager可支援Windows和Linux環境，提供包括修補管理、配置管理以及清單管理服務。修補管理服務讓企業可以從單一儀表板，為一組VM套用修補程式。VM Manager的配置管理服務則讓企業可以對VM部署、查詢和維護一致的配置，並具備自動修復功能，不只能減少手動操作，也可以維持VM的法遵狀態。另外，清單管理服務可讓企業收集OS和套件的資訊，除了可辨識VM執行的OS版本，還可檢視VM安裝的套件。<a href=" https://cloud.google.com/blog/products/compute/introducing-vm-manager">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端採用趨勢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多雲架構 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>IDC：北美和亞太逾4成企業今年將格外加碼雲端投資</strong></strong></p> <p>市場調查機構IDC近日發布了一份企業雲端採用研究報告，調查範圍為北美、西歐和亞太區，並發布雲端採用發展趨勢。首先，2021年雲端投資將顯著增加。根據調查，北美和亞太地區有超過4成的企業，將在2021年大幅增加其在雲端上的投資，歐洲則僅有27％。IDC認為，關注營運敏捷靈活的企業將逐步適應由疫情引起的危機，並將更多的工作負載搬上雲。</p> <p>另外，AI或ML技術將大量用於雲營運。隨著多雲架構普及化，企業更需工具來監控、管理和保護所有雲端資源，而AI或ML技術在檢測入侵、攻擊和入侵方面，都優於傳統方法。IDC表示，雲端運算及部署維運等工作，將朝AIOps發展。目前北美和亞洲使用AI技術進行雲端運算的比例是歐洲的兩倍。接著，各企業對雲端的主要投資方向以雲端基礎架構及資安為主，不過，各地區還是有些微差異。根據IDC調查，北美三大雲端投資分別是，雲端管理、企業應用和安全性，而亞太地區依序是安全性、企業應用與雲端基礎架構，歐洲則聚焦在雲端基礎架構、安全性和人員培訓。</p> <p>於雲端環境開發、部署與維運應用程式，也是一大趨勢。根據調查，北美33%的企業會在雲端環境中開發、部署與維運應用程序，其次是亞洲與歐洲。歐洲占比為21%，IDC表示，這與歐盟法規有關，不過，企業若考量雲端服務有利優化營運成本，會提高上雲意願。</p> <p>IDC也針對未來兩年雲端服務的關鍵工作負載，進行調查。在北美、歐洲和亞洲，第一和第二名為CRM和ERM，第三名在歐洲和亞洲為大數據，北美則是SCM。<a href="https://www.idc.com/getdoc.jsp?containerId=prAP47336421">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施程式碼化 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Pulumi </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Azure新增Pulumi工具支援，可用程式語言定義基礎設施配置</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_pulumi_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 220px;" /></strong></span></p> <p>Azure也開始內建開源的基礎架構程式化工具Pulumi，讓企業可以用程式語言，在Azure上配置基礎設施。微軟已提供Azure資源管理器以及Terraform等工具，供用戶定義Azure上的基礎設施，Pulumi的特色是能用程式語言來實現基礎設施程式碼化，編寫配置基礎設施的檔案。Pulumi不需要開發者額外學習JSON、YAML等資料格式，可以直接使用熟悉的程式語言來定義基礎設施，這代表開發者也可以使用程式語言中的迴圈、變數、錯誤處理等標準功能。微軟表示，使用者依習慣來選擇使用的工具，雲端工程師可能較熟悉JSON或YAML，而開發人員多習慣程式語言，就可以選擇Pulumi。<a href=" https://devblogs.microsoft.com/devops/infrastructure-as-code-azure-python-wpulumi/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端軟體市集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 採購 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS Marketplace私有市集新增多目錄功能，來提升企業雲端軟體採購效率</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_marketplace_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AWS.jpg" style="width: 600px; height: 184px;" /></strong></strong></p> <p>AWS日前為雲端軟體市集Marketplace新增了可設立多個私有市集目錄的功能，讓企業可以為不同的雲端帳號小組，量身訂製合適的軟體市集批准列表。這個新功能是AWS於2018年為市集推出私有市集功能的延伸。AWS表示，有些企業具有不同雲端用戶集群，比如說，一家擁有不同產業子公司的大型企業，每個子公司會有不同的軟體需求和使用策略，若僅有單一軟體市集列表，就需手動調整目錄，才能確保用戶採購了正確的產品，相當耗時。透過新功能，企業AWS帳號管理者可以設立多個私有市場目錄，來從逾8千項Marketplace軟體中，列出經批准，供不同用戶使用的Marketplace軟體產品列表，提高採購流程的效率。<a href="https://aws.amazon.com/blogs/aws/new-multiple-private-marketplace-catalogs/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Azure營收成長5成，依然是微軟成長幅度最多的業務</strong></span></strong></p> <p>微軟公布2021財年第二季財報，該季總營收達431億美元，與去年同期相比，成長17%，而Azure仍是成長幅度最大的業務，成長達5成。與雲端服務相關的業務本季營收表現分別是，生產力與業務流程為134億美元，成長13%；智慧雲端為146億美元，成長23%；更多個人運算類的營收則為151億美元，成長14%。在個別的微軟產品或服務中，除Azure表現依然最亮眼，Dynamics 365營收也成長39%，而Office 365商用服務則成長21%。</p> <p>微軟表示，包含Office 365商用版、Azure、Dynamics 365與其他雲端服務的商業雲端營收，已達167億美元，比前一年成長34%。微軟執行長Satya Nadella指出，微軟在去年見證了第二波數位轉型潮的曙光，數位能力已成每家企業推動成長與提高經營彈性的新籌碼。<a href=" https://www.microsoft.com/en-us/Investor/earnings/FY-2021-Q2/press-release-webcast">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件關係對映 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 查詢效能 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google開源ORM調校工具，找出拖慢查詢的程式碼瓶頸</strong></span></strong></p> <p>Google日前在GitHub上開源了物件關係對映（Object-Relational Mapping，ORM）調校工具Sqlcommenter函式庫，解決ORM函式庫與資料庫效能間的落差，讓開發人員深入了解，ORM與資料庫查詢效能低落之間的關聯，並針對相應狀況解決問題。Google表示，ORM可讓開發人員使用物件導向範例，編寫資料庫查詢，但，因為SQL語句都是由ORM函式庫產生，因此當程式碼所產生的查詢過於緩慢，反而使得開發人員無從理解其原因。Sqlcommenter可讓開發人員了解應用程式中的哪一行程式碼，正是產生緩慢查詢的元兇，藉由讓ORM得以在SQL語句加入評論，以標記ORM與SQL語句之間的關係，如此就可以找出緩慢查詢跟原始碼的關聯性，供開發者了解後端資料庫效能。</p> <p>Google提到，應用程式只需要進行很少的程式碼變更，就可在使用ORM的應用程式中使用Sqlcommenter，而Sqlcommenter所產生的可觀察性資訊，除了能直接供開發人員參考，也能整合到其他的工具中，像是Cloud SQL Insights等，建置以應用程式為中心的監控。<a href="https://cloud.google.com/blog/topics/developers-practitioners/introducing-sqlcommenter-open-source-orm-auto-instrumentation-library">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>IBM營收連4季下滑，包含雲端業務營收也下滑4%</strong></span></strong></p> <p>IBM於1月21日公布2020財年第四季財報，該季總營收為203.7億美元，與前一年同期相比，下滑6.5%。加上這份財報，IBM已連續四個季度營收下滑，且所有部門營收都萎縮，含紅帽在內的雲端及認知軟體業務營收也下滑4.5%，為68億美元。IBM表示，這是由於客戶的年終IT支出反彈不如預期，且強調，今年會恢復成長。IBM重啟了之前取消的營收財測，公布了今明兩年的自由現金流預測。另外，IBM於去年10月宣布切割全球技術服務部門底下的管理基礎結構服務單位，於今年底前拆分為一家獨立的上市公司。IBM執行長Arvind Krishna表示，今年秋季將會提交一份監管文件，詳細介紹拆分後的2家新公司。<a href=" https://www.ibm.com/investor/att/pdf/IBM-4Q20-Earnings-Press-Release.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 零售業 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Google雲端推出電商AI套裝解決方案，讓零售業者可為消費者打造個人化體驗</strong></span></p> <p>Google雲端推出零售業專用雲端套裝解決方案Product Discovery Solutions for Retail，提供強化零售業者電商操作能力，打造消費者個人化體驗。這個新解決方案是Google與一些零售業者，透過使用線上搜尋的語意理解技術，開發出結合AI演算法、雲端基礎設施的方案，包含AI、Vision API產品搜尋和零售雲端搜尋三部分。零售業者可利用這個新解決方案，實作無縫搜尋和推薦功能，以提高消費者的參與度，並改善跨數位資產的轉換能力。以推薦AI為例，零售業者從各通路彙總消費者購物記錄，搭配推薦AI使用Google雲端最新的機器學習架構，動態地適應消費者行為和變化，來產出客製化的產品推薦。<a href="<br /> https://cloud.google.com/press-releases/2021/0119/google-cloud-product-discovery-solutions-for-retail">（詳全文）</a></p> <p><strong>攝影／洪政偉圖片來源／Google雲端、微軟、AWS </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. 看準遠距協同需求，SAP與微軟宣布將把Teams整合進SAP ERP、CRM及HR等應用產品</strong><a href=" https://news.microsoft.com/2021/01/22/sap-and-microsoft-expand-partnership-and-integrate-microsoft-teams-across-solutions/?ranMID=43674&ranEAID=je6NUbpObpQ&ranSiteID=je6NUbpObpQ-KphzmnR8wNa7TFn4D7qegA&epi=je6NUbpObpQ-KphzmnR8wNa7TFn4D7qegA&irgwc=1&OCID=AID2000142_aff_7795_1243925&tduid=%28ir__0tke032zkkkfqxqikk0sohzxzm2xp3zuwank1xv900%29%287795%29%281243925%29%28je6NUbpObpQ-KphzmnR8wNa7TFn4D7qegA%29%28%29&irclickid=_0tke032zkkkfqxqikk0sohzxzm2xp3zuwank1xv900">（詳全文）</a></p> <p><strong>2. Google雲端推出零信任平臺BeyondCorp Enterprise，供遠距上班員工無需VPN也能安全存取公司網路</strong><a href=" https://cloud.google.com/blog/products/identity-security/introducing-beyondcorp-enterprise ">（詳全文）</a></p> <p><strong>3. 防外國駭客用雲端發動攻擊，川普最後一天上班簽行政命令，要驗證IaaS外國交易者身分</strong><a href=" https://trumpwhitehouse.archives.gov/presidential-actions/executive-order-taking-additional-steps-address-national-emergency-respect-significant-malicious-cyber-enabled-activities/">（詳全文）</a></p> <p><strong>4. Google推出雲端客服中心AI解決方案Dialogflow CX，提供更強大的客服中心虛擬專員</strong><a href=" https://cloud.google.com/blog/products/ai-machine-learning/dialogflow-cx-virtual-agents-can-hold-down-the-fort">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年2月</strong></p> </div></div></div>
2021/2/5 16:58作者黃郁芸https://www.ithome.com.tw/news/142662
Docker將容器註冊表專案Distribution貢獻給CNCF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker宣布將開源的容器註冊表專案<a href="https://www.docker.com/blog/donating-docker-distribution-to-the-cncf/">Distribution</a>貢獻出來，現在已成為雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）中的沙盒專案。Docker Distribution是Docker Hub以及其他容器註冊表服務的一部分，官方提到，因為Docker Distribution被廣泛使用，是容器生態系統的基礎，非常適合放在CNCF中發展。</p> <p>Docker Distribution原本是一個以Python撰寫的註冊表專案，一開始的專案目的，並非作為內容尋址儲存之用，後來Docker Distribution以Go語言重新編寫，新版本設計成為可擴充函式庫，適用於不同的後端與子系統。而Docker也在2015年的時候，在Linux基金會底下成立OCI（Open Container Initiative），來標準化容器生態系的規範，包括了註冊表和容器格式。</p> <p>之所以要貢獻Docker Distribution給CNCF的原因，官方提到，現在有許多企業或是組織，自己建立註冊表，或是提供註冊表服務，而這些註冊表許多都是以Docker Distribution為基礎建立，但是這些分支和更改，卻都沒有回饋到上游，使得專案需要額外的人員來維護，而他們認為，既然該專案是整個產業都在使用，那將其貢獻給CNCF，希望可以借助CNCF過去在Kubernetes和Containerd成功的經驗，促使Distribution協作發展。</p> <p>Docker Distribution目前為CNCF沙盒專案，Docker已經邀請了Docker Distribution程式碼主要用戶，包括GitHub、GitLab、Digital Ocean、Mirantis和Harbour專案成員，作為該專案的主要維護者，Docker認為，Docker Distribution是一個成熟的專案，希望之後可以進到孵化器中。</p> </div></div></div>
2021/2/5 16:39作者李建興https://www.ithome.com.tw/news/142655
Google修補已遭開採的Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周四（2/4）釋出Chrome 88.0.4324.150，以修補已遭到駭客開採的CVE-2021-21148零時差漏洞。</p> <p>CVE-2021-21148為一存在於開源JavaScript引擎V8中的堆積緩衝區溢位漏洞，是由資安研究人員Mattias Buelens在1月24日所提報，Google僅說坊間已出現針對該漏洞的攻擊程式，並未描述漏洞細節或相關攻擊行動，但外界揣測它與近日北韓駭客鎖定資安社群的攻擊行動有關。</p> <p>包括Google與微軟，都曾揭露這起針對資安研究人員發動的網路攻擊行動。駭客於Twitter上建立多個帳號，也打造了資安部落格，藉由高品質的資安內容來與資安研究人員建立關係，然而，由駭客寄來的檔案卻含有惡意程式，而造訪該資安部落格的研究人員也會被植入惡意程式。</p> <p><a href="https://www.blog.google/threat-analysis-group/new-campaign-targeting-security-researchers/" target="_blank">根據Google的調查</a>，被惡意程式感染的系統，都是採用最新的Windows作業系統與Chrome瀏覽器，當時Google應也懷疑駭客可能是開採了Chrome的零時差漏洞，進而鼓勵任何知道Chrome安全漏洞的研究人員向Google通報。</p> <p><a href="https://www.microsoft.com/security/blog/2021/01/28/zinc-attacks-against-security-researchers/" target="_blank">而微軟則說</a>，確定有研究人員只是透過Chrome造訪駭客所掌控的部落格，就感染了惡意程式，駭客也許是利用了Chrome的零時差漏洞或是漏洞修補空窗期來展開攻擊。</p> <p>Chrome 88.0.4324.150支援Windows、macOS及Linux作業系統，將在未來幾天自動部署至用戶端。</p> </div></div></div>
2021/2/5 13:14作者陳曉莉https://www.ithome.com.tw/news/142645
Kobalos木馬程式鎖定全球Linux超級電腦、資安業者與個人伺服器展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>斯洛伐克資安業者<a href="https://www.welivesecurity.com/2021/02/02/kobalos-complex-linux-threat-high-performance-computing-infrastructure/" target="_blank">ESET本周揭露一支名為Kobalos木馬程式</a>，指出這只是一個小程式，卻專門鎖定著名的攻擊目標，包括高效能運算叢集、亞洲的大型ISP、北美的資安業者，以及某些個人伺服器都是受害者，且它可移植到不同的作業系統，諸如Linux、BSD與Solaris，也可能適用於AIX與Windows。</p> <p>研究人員在分析了Kobalos之後，發現也許可藉由特定的TCP來源埠連結SSH伺服器，來判斷系統是否感染了Kobalos，因而開始掃描全球網路以尋找可能的受害者，顯示Kobalos感染了北美地區的端點安全軟體業者、政府機構，以及多個個人伺服器，在歐洲地的受害者則包括大學網路的高效能運算叢集、市場行銷業者與代管業者，亞洲則有大型的ISP業者被植入Kobalos。</p> <p>由於Kobalos屬於通用木馬，含有廣泛的命令，可遠端存取檔案系統，具備產生終端對話的能力，亦允許代理連結到其它感染Kobalos的伺服器，其目前唯一明顯的惡意行為是竊取憑證，研究人員尚不清楚駭客的意圖。</p> <p>駭客透過許多方式來接觸遭到Kobalos感染的系統，最常見的是把Kobalos嵌入OpenSSH伺服器的可執行文件，並利用特定的TCP來源埠連結時即會觸發木馬程式。此外，Kobalos有個獨特的功能，它本身即具備執行C&C伺服器的程式碼，因此，任何遭到Kobalos危害的伺服器，只要收到駭客所傳送的單一命令，即可搖身一變成為C&C伺服器。</p> <p>在多數遭Kobalos感染的系統中，其SSH客戶端會被用來竊取憑證，之後這些憑證就會被用來於其它伺服器上植入Kobalos。</p> <p>Kobalos的另一個特性是所有的程式碼都被存放在一個函數中，於是它能不斷地呼叫自己來執行子任務，且所有的字串都是加密的，因而難以察覺與分析。</p> <p>研究人員指出，從網路的角色來看，業者可能可藉由於SSH伺服器連結埠上尋找非SSH的流量來偵測Kobalos的存在，因為當駭客與Kobalos交流時，不管是在從客戶端或伺服器端，都沒有進行SSH Banner交換。</p> <p>有鑑於Kobalos只存在於單一的函數中，且駭客可利用既有的開放傳輸埠來存取，使得受害者更難以察覺它的存在，<a href="https://github.com/eset/malware-ioc/tree/master/kobalos" target="_blank">ESET則在GitHub上公布了Kobalos樣本與入侵指標（Indicators of Compromise，IoCs）</a>，以協助各組織辨識。</p> </div></div></div>
2021/2/4 12:09作者陳曉莉https://www.ithome.com.tw/news/142614
Chrome 88檔案被Microsoft Defender ATP誤判含有後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome瀏覽器最新版本的相關套件，被微軟端點安全軟體Microsoft Defender ATP判定為後門程式，不過稍後微軟也證實為誤判。</p> <p>本周多名Defender ATP用戶接收到惡意程式的警告通知，顯示是被Chrome 88.0.4324.146版本的相關檔案，包括<a href="https://twitter.com/wdwinslow/status/1356964509727002624" target="_blank">sl.pak</a>或<a href="https://twitter.com/ShadyDefender/status/1356955218169241607" target="_blank">sk.pak</a>驅動。Defender ATP判斷Chrome更新遭到PHP後門程式Funvalget的感染。</p> <p><a href="https://chromereleases.googleblog.com/2021/02/stable-channel-update-for-desktop.html" target="_blank">Chrome 88.0.4324.146版</a>為本周釋出的Windows、Mac及Linux版Chrome穩定更新。</p> <p>根據經驗，使用者認為那些是合法檔案，懷疑為誤判。<a href="https://twitter.com/irestartpcs/status/1356949089112514561" target="_blank">另一名研究人員分析證實</a>，sl.pak 和chrome.7z實為同一個檔案，具有相同的雜湊。</p> <p>不過當天微軟即透過Office 365 服務儀表板<a href="https://twitter.com/wdwinslow/status/1357084132388577302/photo/1" target="_blank">發出公告</a>，告知用戶可能收到Defender 端點安全軟體發出PHP/Funvalget.A的誤判通知。</p> <p>稍後<a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-atp-detects-chrome-updates-as-php-backdoors/" target="_blank">微軟也向Bleeping Computer表示</a>，這是自動化機制的錯誤，導致Defender ATP將安裝套件判別為惡意程式。微軟已經修正錯誤。</p> </div></div></div>
2021/2/4 12:41作者林妍溱https://www.ithome.com.tw/news/142616
Sudo漏洞也影響macOS、AIX、Solaris
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月底研究人員發現會影響數個Linux作業系統的Sudo程式漏洞，其他研究人員近日發現，也會影響macOS及IBM AIX、Oracle Solaris系統。</p> <p><a href="https://www.ithome.com.tw/news/142469" target="_blank">一月底Qualys研究人員發現</a>，Sudo程式存在編號CVE-2021-3156的堆積（heap-based）緩衝溢位漏洞。攻擊者不論是一般使用者、系統管理員、sudoer或非sudoer，只要能存取到機器，傳送sudoedit -s及以單反斜線（\）結尾的指令行參數即可開採本漏洞，造成權限擴張，令無權限的用戶取得主機根權限，可能造成資料被刪改、系統被變更或無法使用。</p> <p>當時Qualys研究人員只測試了Ubuntu 20.04 (Sudo 1.8.31)、Debian 10 (Sudo 1.8.27)和Fedora 33 (Sudo 1.9.2)四種Linux環境，證實可能取得根權限。本周</p> <p><a href="https://twitter.com/hackerfantastic/status/1356645638151303169" target="_blank">推特代號Hacker Fantastic 的研究人員Matthew Hickey則證實</a>，CVE-2021-3156也會影響蘋果macOS Big Sur，攻擊者可透過將sudo加軟連結指向sudoedit指令開採本漏洞，來提升權限。事實上，<a href="https://twitter.com/hackerfantastic/status/1356660639649984513" target="_blank">他指出</a>，不只MacOS (vanilla)，連IBM AIX、Oracle Solaris也都受Sudo漏洞影響，這個漏洞在欠缺現代堆積型緩衝溢位漏洞防護的non-glibc系統上可能被開採，但由於chunk檢查總和（checksum）的原因，macOS平台的開採較另二個作業系統要難一些。</p> <p>此外，美國電腦網路危機處理暨協調中心<a href="https://twitter.com/wdormann/status/1356666586371936258" target="_blank">（CERT/CC）研究人員Will Dormann也證實</a>，在X86-64及Arm 64架構（aarch64）上的MacOS Big Sur都能加以開採。</p> <p><a href="https://www.zdnet.com/article/recent-root-giving-sudo-bug-also-impacts-macos/" target="_blank">Hickey並對ZDNet指出</a>即使蘋果最新發布<a href="https://support.apple.com/en-us/HT212147" target="_blank">安全更新</a>，Mac電腦上的Sudo程式還是可能遭到開採。研究人員表示已經通報蘋果，但蘋果官方尚未證實。</p> <p><a href="https://www.oracle.com/security-alerts/bulletinjan2021.html" target="_blank">Oracle已在1月28日發布</a>Solaris版本Sudo漏洞的修補程式。<a href="https://community.ibm.com/community/user/power/communities/community-home/digestviewe[…]ityKey=10c1d831-47ee-4d92-a138-b03f7896f7c9&tab=digestviewer" target="_blank">IBM則是在用戶討論區</a>，提供<a href="https://www.sudo.ws/dist/sudo-1.9.5p2.tar.gz" target="_blank">更新版Sudo下載路徑</a>。</p> </div></div></div>
2021/2/4 12:55作者林妍溱https://www.ithome.com.tw/news/142619
資安一周第131期：北韓針對資安研究人員發動攻擊。大型殭屍網路Emotet基礎設施被切斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">1/28-2/3 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">Google、微軟相繼揭露北韓針對資安研究人員的攻擊</strong></h2> <p>資安研究人員經常透過社群網站來交流的情況，也成為駭客下手的途徑。Google在1月25日向研究人員發出警告，由北韓政府支持的駭客，透過社交工程手法試圖攻擊資安人員，攻擊者以漏洞研究合作的名義，發送Visual Studio專案檔案，宣稱當中含有破解漏洞的程式碼，但實際上，是會連上C&C中繼站的惡意軟體。此外，也有部分研究員因存取攻擊者建置的部落格而受到入侵。</p> <p>由於Google指出，受害研究員的電腦執行最新版Windows 10等微軟軟體，而引起微軟關注，1月28日，<a href="http://www.ithome.com.tw/news/142536">微軟也公布調查結果</a>，包含發動攻擊的駭客組織是Zinc，以及此起攻擊約從2020年中開始布局。<strong><a href="https://www.ithome.com.tw/news/142472">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131-1-DPRK-target-security-researchers.png" style="width: 400px;" /></p> <p><span style="color:#808080;">圖片來源：Google</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃殭屍網路 #Emotet</strong></span></h3> <h2><strong style="vertical-align: top;">歐洲刑警組織與8國警方合作拿下Emotet殭屍網路</strong></h2> <p>歐洲刑警組織（Europol）於1月27日宣布，在歐美多個國家的政府通力合作之下，他們切斷了Emotet的基礎設施運作，而這是全球最危險的殭屍網路之一。這起攻堅行動是荷蘭、德國、美國、英國、法國、立陶宛、加拿大，以及烏克蘭等國家，與歐洲刑警組織、歐洲檢查官組織（Eurojust），進行國際合作的成果。烏克蘭國家警察隊亦宣布，逮捕其中2名嫌犯。<strong><a href="https://www.ithome.com.tw/news/142504">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">美國起訴NetWalker勒索軟體嫌犯，扣押45萬美元加密貨幣</strong></h2> <p>美國司法部於1月27日宣布，他們與國際警方聯手，瓦解知名勒索軟體駭客組織NetWalker，起訴參與攻擊行動的加拿大人Sebastien Vachon-Desjardins，並扣押價值約45萬美元的加密貨幣。而保加利亞的警方，則扣押該集團用來與受害者溝通的網站。</p> <p>關於Sebastien Vachon-Desjardins的不法所得金額，美國司法部表示，總共超過2,760萬美元，他們扣押的加密貨幣來自於其中3起攻擊行動的贖金。不過，該單位並未說明這名嫌犯在組織中的角色。<strong><a href="https://www.ithome.com.tw/news/142494">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">英國研究與創新機構遭勒索軟體攻擊</strong></h2> <p>英國研究與創新機構（UKRI）於1月28日公告，他們遭到駭客入侵，部分網路被加密，影響英國研究辦公室（UKRO）與生物技術與生物科學研究委員會（BBSRC）所提供的服務，該單位表示，這兩項服務都尚未恢復正常，尚未確定是否有資料外流。</p> <p>UKRI表示，除上述2個單位，其餘系統皆未受到影響，他們正對於攻擊事件進行全面調查。<strong><a href="https://www.ithome.com.tw/news/142554">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃SSL VPN</strong></span></h3> <h2><strong style="vertical-align: top;">導致SonicWall被駭的SSL VPN漏洞，傳出已有其他攻擊行動開始運用</strong></h2> <p>日前SonicWall公告因為自家VPN設備出現弱點而被攻擊，當時該公司僅研判，可能與SMA 100系列SSL VPN設備存在的未知漏洞有關。而在1月31日，資安公司NCC Group發布推文指出，對於這系列設備未被公開的潛在弱點，已經有駭客拿來發動攻擊，經通報後此弱點也得到SonicWall的證實，並預計在2月2日提供修補程式。</p> <p>不過，為了防範調查階段駭客就開始大肆濫用漏洞，NCC Group並未透露更多細節，僅建議網管人員要加強該設備的存取監控，及早察覺是否遭到攻擊。<strong><a href="https://www.ithome.com.tw/news/142585">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃製造業</strong></span></h3> <h2><strong style="vertical-align: top;">卡巴斯基揭露SolarWinds事故企業受害規模，近2千家企業感染Sunburst</strong></h2> <p>繼美國政府坦承遭到SolarWinds供應鏈攻擊，究竟有多少企業也是此起事件的受害者？卡巴斯基於1月26日指出，約有近2千家企業遭到後門程式Sunburst鎖定，製造業是其中占比最高者，占18.11%。</p> <p>在受害者的地區分布上，遍及美洲、非洲，以及亞太地區。美國、臺灣、荷蘭、俄羅斯、墨西哥、智利、印尼，以及沙烏地阿拉伯等國，都有企業被感染Sunburst。<strong><a href="https://www.ithome.com.tw/news/142487">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131-2-Sunburst-infection-industries.png" style="width: 400px; height: 233px;" /></p> <p><span style="color:#808080;">圖片來源：卡巴斯基</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">存在近十年Sudo漏洞，可讓Unix、Linux本機使用者取得根權限</strong></h2> <p>安全廠商Qualys研究人員於1月26日揭露，Sudo程式存在權限升級漏洞CVE-2021-3156，在預設組態情況下，任何人都能取得主機上的根執行權限，而且，自2011年7月的Sudo版本就存在此漏洞。經通報後Sudo開發者已完成修補，由於Sudo在Unix與Linux作業系統相當普遍，各大Linux開發商也發布安全公告，呼籲用戶儘速更新相關套件。<strong><a href="https://www.ithome.com.tw/news/142469">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃NAT</strong></span></h3> <h2><strong>網址轉譯服務出現可被濫用的攻擊手法，多款瀏覽器相繼納入防堵措施</strong></h2> <p>資安研究人員Samy Kamkar與Armis研究人員揭露新的攻擊手法，可繞過防火牆網址轉譯（NAT）機制，濫用H.323多媒體內容協定建立連線，並對內部網路環境的設備上下其手，他們將這種手法命名為NAT Slipstreaming 2.0。Google、微軟、Mozilla，以及蘋果也在瀏覽器納入相關防堵機制，推出能防範相關攻擊的Chrome 87、Edge 87、Firefox 85，以及Safari 14.0.3。</p> <p>研究人員指出，NAT Slipstreaming 2.0是1.0版的變形手法，不只濫用的協定不同，2.0版的攻擊範圍也從1.0版的單一裝置，擴及至整個內部網路環境的裝置。<strong><a href="https://www.ithome.com.tw/news/142548">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙＃網路銀行</strong></span></h3> <h2><strong style="vertical-align: top;">詐騙集團冒用國泰世華網路銀行名義，發送釣魚簡訊行騙</strong></h2> <p>內政部警政署刑事警察局於2月1日公告，他們接獲多名民眾報案，表示收到佯稱是國泰世華網路銀行的釣魚簡訊，內容宣稱用戶的銀行帳戶顯示異常，要求必須登入並綁定用戶資料，否則帳戶將遭到凍結。一旦民眾依照指示操作，詐騙集團便能透過竊得的網銀帳號密碼，將受害者帳戶的存款轉走。</p> <p>該單位統計，自1月27日至29日，全國警察機關總共收到83件相關檢舉，帳戶盜用占21件，損失超過300萬元，呼籲民眾要提高警覺。<strong><a href="https://www.cib.gov.tw/News/BulletinDetail/8413">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131-3-cathybank-net-scam.png" style="width: 400px; height: 300px;" /></p> <p><span style="color:#808080;">圖片來源：內政部警政署刑事警察局</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路詐騙＃電商網站</strong></span></h3> <h2><strong style="vertical-align: top;">好物市集用戶接到詐騙電話，發現是網站遭到攻擊所致</strong></h2> <p>電商網站好物市集<a href="https://www.facebook.com/permalink.php?story_fbid=251791846330881&id=108484147328319">於1月25日公告</a>，他們接獲用戶通報，自23日下午3時起開始接到有詐騙電話的情況，該公司彙整疑似詐騙電話號碼的名單，呼籲用戶要多加提防。而到了29日，好物市集再度發出公告，表示他們聘請趨勢科技進行調查，結果發現是惡意的網路駭客攻擊行為造成。<a href="https://www.facebook.com/permalink.php?story_fbid=254091506100915&id=108484147328319"><strong>詳全文</strong></a></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/142569">駭客在中國兩大公有雲發動挖礦攻擊，鎖定多款中介軟體下手</a><br /> ●<a href="https://www.ithome.com.tw/news/142400">英國政府送給小學的筆電驚傳暗藏惡意軟體</a><br /> ●<a href="https://www.ithome.com.tw/news/142555">勒索軟體駭客組織FonixCrypter收山，釋出解密金鑰</a><br /> ●<a href="https://www.ithome.com.tw/news/142474">蘋果推出iOS 14.4，修補3個疑遭濫用的未知漏洞</a></h3> </div></div></div>
2021/2/3 17:48作者周峻佑https://www.ithome.com.tw/news/142611
Google推出以CentOS 7為基礎的高效能運算用VM映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/hpc/introducing-hpc-vm-images" target="_blank">Google雲端推出專為高效能運算（HPC）設計的映像檔</a>，該映像檔無論是在訊息傳遞介面（Message Passing Interface，MPI）基準測試，還是HPC應用程式基準測試，效能都較標準CentOS映像檔快上許多。用戶現在已經可以從Google雲端市集，免費下載最新的HPC虛擬機器映像檔。</p> <p>Google從去年開始，便針對HPC應用進行了一連串調校，為的是要最佳化雲端上MPI效能，使用最佳實踐配置，可將MPI乒乓測試延遲降至10微秒以下，這些調校可以直接被應用到應用程式中，進而提高Google雲端上HPC工作負載的效能。但Google提到，建構最佳實踐虛擬機器映像檔，需要同時具備系統專業和Google雲端知識，因此他們釋出預配置的HPC映像檔，讓用戶能以該映像檔為基礎，更簡單地維護映像檔。</p> <p>預先配置的HPC映像檔讓用戶可開箱即用，快速創建最佳化CPU和網路效能的執行個體，降低小MPI訊息的延遲，使得高度仰賴點對點和集體通訊（Collective Communication）的應用程式，能因此獲得效能上的助益，而且因為減少了可能造成效能變化的系統抖動（Jitter），使得單節點高效能更加可預測。</p> <p>Google表示，HPC映像檔中採用的一系列調校，皆經過廣泛的HPC工作負載測試，能提供一致的多節點高效能，可作為標準CentOS 7映像檔的替代。HPC映像檔的調校與最佳化，包括預設停用英特爾超執行緒，除了效能更可預測之外，也降低部分HPC工作的執行時間，而對於會大幅影響MPI應用程式的MPI集體演算法，Google使用英特爾MPI集體演算法，適用於常見的MPI配置。</p> <p>HPC映像檔還啟用忙碌輪詢（Busy Polling），減少網路接受路徑（Network Receive Path）中的延遲，除此之外，該映像檔還提高原本限制系統資源使用的用戶限制，Google提到，由於系統資源預設限制通常對HPC工作沒有用處，因為叢集中的運算節點不會跟多個用戶共享。Linux防火牆以及SELinux也在HPC映像檔中停用，以進一步提高MPI效能，另外，也會停用CPUIdle，不會讓執行個體進入低功耗模式。</p> <p>Google拿標準CentOS映像檔以及HPC虛擬機器映像檔，比較其MPI乒乓測試延遲，並且執行有限元素分析ANSYS LS-DYNA、計算流體動力學ANSYS Fluent以及天氣建模WRF等實際應用程式，比較兩者效能表現。英特爾MPI乒乓測試量測一對虛擬機器間，傳送固定大小訊息的延遲，與標準CentOS相比，HPC映像檔最高可減少50％的乒乓延遲，而在實際HPC應用程式的測試上，HPC映像檔在ANSYS LS-DYNA，獲得比標準CentOS還多25％的效能，而在ANSYS Fluent以及WRF，則也有6％的效能改進。</p> </div></div></div>
2021/2/3 16:28作者李建興https://www.ithome.com.tw/news/142603
駭客在中國兩大公有雲發動挖礦攻擊，鎖定ActiveMQ、WebLogic、Redis下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>往許多挖礦攻擊鎖定個人電腦下手，但近年來也有駭客看上雲端的運算資源，將當中的Linux伺服器做為攻擊目標，並且把範圍瞄準中國的大型公有雲。在1月28日，<a href="https://unit42.paloaltonetworks.com/pro-ocean-rocke-groups-new-cryptojacking-malware/">資安業者Palo Alto Networks揭露新的攻擊行動</a>，駭客針對阿里雲和騰訊雲上，存在特定漏洞的Apache AcitveMQ（CVE-2016-3088）、Orcale WebLogic（CVE-2017-10271），或是未妥善配置的Redis實體下手，植入XMRig挖礦程式來獲得門羅幣（Monero）。</p> <p>在此次攻擊行動的揭露中，Palo Alto提供了入侵指標（IOC）給企業參考，並認為公有雲業者的防護方案，難以對付這種針對雲端實體的攻擊行動，不過，他們沒有提出具體的因應措施，也沒有提及受害規模。</p> <p>發起這個攻擊行動的駭客組織，是中國駭客組織Rocke，這個組織<a href="https://blog.talosintelligence.com/2018/08/rocke-champion-of-monero-miners.html">在2018年8月被思科揭露</a>，專門鎖定雲端Linux伺服器為目標，藉此挖礦謀利，其攻擊氾濫的情況，<a href="https://www.ithome.com.tw/news/130581">甚至一度傳出有其他組織跟他們搶地盤</a>。而如今，Rocke採用的惡意程式手法更為複雜，不僅採用特殊的機制來規避偵測，同時具備橫向感染的能力，Palo Alto將其命名為Pro-Ocean。</p> <p>而值得留意的是，這個組織本次的攻擊手法，用了許多方法來避免被偵測。首先，Pro-Ocean會移除兩家公有雲業者的監控代理程式，來避免攻擊行動被發現。不過，照理來說，一旦這些代理程式被移除，公有雲業者很可能就要察覺有異，並且通知用戶要留意，但在此起攻擊裡，兩家業者很可能都沒有發現代理程式遭到移除的情況。不過，這種做法Pro-Ocean並非首例，在去年11月出現的<a href="https://www.ithome.com.tw/news/141003">Gitpaste-12惡意程式</a>，就會關閉阿里雲和騰訊雲的雲端安全機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pro-Ocean-uninstall-agent.png" /></p> <p>再者，為了不被防護系統察覺是惡意軟體，駭客利用了常見的打包工具UPX，重新包裝Pro-Ocean的可執行檔案，卻抹除檔案裡被包裝的痕跡，干擾防護機制檢查其中內容。而在執行的過程中，該組織則是就地取材（LoL），運用Linux作業系統內建的工具LD_PRELOAD，來強制預載Pro-Ocean的處理程序，同時以Libprocesshider來隱藏行蹤。這些較為複雜的匿蹤手法，過往在這種雲端挖礦攻擊中可說是相當罕見。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pro-Ocean-obfuscation-layers.png" style="width: 580px; height: 246px;" /></p> <p>附帶一提，如果該實體已有其他的挖礦軟體或惡意程式，像是Luokk、BillGates、XMRig，以及Hashfish等，Pro-Ocean也會清除其處理程序，以便能夠運用接近100%的處理器效能來挖礦。</p> <p>而駭客為了讓能多的雲端實體能夠加入挖礦的行列，Pro-Ocean也具備橫向感染的能力，並且濫用Apache ActiveMQ與Oracle WebLogic的已知漏洞，或是針對未採取安全配置的Redis實體下手。但這3種應用程式都屬不同領域，而且Palo Alto指出，由於惡意軟體是在感染過程才下載到受害實體，因此他們認為，駭客日後還會濫用其他應用程式的弱點，來擴大Pro-Ocean的感染範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pro-Ocean-spread.png" /></p> </div></div></div>
2021/2/2 16:28作者周峻佑https://www.ithome.com.tw/news/142569
Linux終止支援英特爾Itanium晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於Linux宗師<a href="https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=228345bf98cd78f91d007478a51f9a471489e44a" target="_blank">Linus Torvalds日前決定</a>將合併IA64架構的修補工作，意謂著Linux將不再支援Itanium 架構。</p> <p>Torvalds本周發出 asm-generic-fixes時指出，由於英特爾負責IA 64架構的人員也不再維護IA64架構，因此他將合併修補程式（patch），標示Linux核心內的Itanium IA64程式碼為孤兒（Orphaned）。</p> <p>Torvalds指出，HPE已不再接受Itanium硬體新訂單，英特爾也早在一年前就停止收單了。雖然英特爾官方仍會持續出貨Itanium晶片到2021年7 月29日，但那時也不太可能有實際訂單了。他也引用《星際爭霸戰》（Star Trek）中的經典台詞：「它已經死了，Jim（It’s dead, Jim）」。</p> <p>Itanium是由HP和英特爾共同開發，2001年正式問世，主要用於HP Integrity伺服器。Itanium最初目的是打敗DEC Alpha架構，並成為企業運算的主流架構。最盛期Itanium受到主要伺服器作業系統包括Windows NT、HP-UX、Linux、Sun Solaris及OpenVMS等的支援。</p> <p>不過Itanium晶片效能令人失望，而給了AMD64架構崛起的機會。HP於2017年推出代號為Kittson的最後一代Itanium 9700。英特爾開發Xeon作為下一個企業運算架構，<a href="https://www.theregister.com/2019/02/01/intel_kills_itanium_again/" target="_blank">並預告將在2021年7月29日出貨最後一批Itanium晶片</a>。</p> <p><a href="https://www.ithome.com.tw/node/58769" target="_blank">Linux業者Red Hat 2009年從RHEL 6起終止支援Itanium</a>，客戶支援也僅到2017年。SUSE支援到SUSE Linux 10 。微軟最後一個支援Itanium的版本是Windows Server 2008 R2。</p> <p>HP於2019年底停止接收Itanium伺服器訂單，<a href="https://h20195.www2.hpe.com/V2/GetDocument.aspx?docname=4AA4-7673ENW&cc=us&lc=en#" target="_blank">不過承諾</a>將支援現有HP-UX Itanium-based Integrity伺服器客戶，直到2025年12月31日。</p> </div></div></div>
2021/2/2 17:00作者林妍溱https://www.ithome.com.tw/news/142581
一周大事：Google海外最大硬體研發基地在臺正式啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>Google海外最大硬體研發基地，啟用板橋獨棟大樓辦公室，準備再添第二棟</strong></span></p> <p class="rtecenter"><a href="https://lh3.googleusercontent.com/pwhmyLMfVwglY930XG-AlWU3ACKc-NFQqLGyes-OkRaBmyzVz-nQgm-aGbO7mSnJJNm_F7sdohZH1224rWXyXR3mt3f7Eq0Um3pYqHtXymmFT_yp1lqgbuKOyVs-Uw"><img alt="" src="/sites/default/files/images/pwhmyLMfVwglY930XG-AlWU3ACKc-NFQqLGyes-OkRaBmyzVz-nQgm-aGbO7mSnJJNm_F7sdohZH1224rWXyXR3mt3f7Eq0Um3pYqHtXymmFT_yp1lqgbuKOyVs-Uw%5B1%5D" style="width: 500px;" /></a></p> <p><span style="color:#696969;">圖片來源_Google台灣</span></p> <p>Google在2019年預告於板橋建立的全新臺灣辦公室，在1月27日正式啟用，並預告將在2023年，於同一園區再新增一座辦公大樓。這座新啟用的辦公大樓由Google獨立使用，全棟有16層樓，其中，最大亮點是有美國總部以外，首個且最大的硬體實驗空間，提供臺灣研發人員針對Google多種硬體產品，進行開發與測試。<a href="https://www.ithome.com.tw/news/142475" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>國內數位身分證換發喊卡</strong></span></p> <p>對於外界對數位身分證（New eID）換發的疑慮，行政院近期在院會中決議，將暫停換發數位身分證，將制定專法、取得社會共識後再推動換發。<a href="https://www.ithome.com.tw/news/142375" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>AMT發布臺灣第一份Martech版圖</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%8C%E9%8A%B7%E7%A7%91%E6%8A%80%E7%89%88%E5%9C%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_AMT.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_AMT</span></p> <p>近兩年來，Martech在臺灣的討論度顯著提升，不僅更多Martech廠商加入競爭，B2C企業也開始引進Martech技術，來帶動行銷領域的數位轉型。超過150家企業與組織機構組成了一個亞太行銷數位轉型聯盟（AMT），在1月21日正式成立，希望透過聯盟的資源，帶動臺灣產業的行銷數位轉型，長期目標更要推及到整個亞太地區。AMT也同時發布了臺灣第一份行銷科技版圖，要協助企業慎選Martech廠商來加速轉型。<a href="https://www.ithome.com.tw/news/142392" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>今年第一個Win 10半年度更新進入準備釋出階段</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Windows%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">情境示意圖，圖片來源_微軟</span></p> <p>微軟本月釋出Windows 10 Build 19042.782到開發人員頻道，外媒發現Build 19042.782更新檔內含的啟動套件，顯示將把目前20H2轉換成下一個Win 10半年度更新21H1。<a href="https://www.ithome.com.tw/news/142430" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國聯邦交易委員會首度開罰機器人搶票業者</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_ticket%20bots%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E5%9C%8B%E6%94%BF%E5%BA%9C%E7%B6%B2%E7%AB%99.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">情境示意圖，圖片來源_英國政府網站</span></p> <p>在2016年、歐巴馬時代通過的《優化網路售票法案》（Better Online Ticket Sales Act，BOTS Act）終於派上用場，美國聯邦交易委員會（FTC）首度依據此法，開罰3家利用機器人搶票、再藉此高價轉售的機器人黃牛業者。<a href="https://www.ithome.com.tw/news/142434" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果高層人事調動，現任技術主管調任新專案</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Dan%20Riccio_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>蘋果宣布高層異動，執掌公司硬體多年的資深副總裁Dan Riccio<span style="color:#696969;">（上圖）</span>將轉向不知名的新專案，而由負責過iPhone及Apple Silicon晶片的John Ternus接任其職位。Riccio的職涯變動軌跡和其前任老闆Bob Mansfield很類似。2012年Mansfield從硬體工程最高主管一職退下後，也轉任不知名的「未來新專案」，也是直接向庫克報告。2016年他被公開任命為Apple Car專案的負責人，直到去年12月為止。<a href="https://www.ithome.com.tw/news/142438" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>樹莓派基金會發布微控制器等級擴充板Pico</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Pico%E6%93%B4%E5%85%85%E6%9D%BF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%A8%B9%E8%8E%93%E6%B4%BE%E5%9F%BA%E9%87%91%E6%9C%83.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_樹莓派基金會</span></p> <p>本月樹莓派基金會發布第一款微控制器等級的擴充板Pico，其以自家研發的RP2040晶片建構而成，售價只要4美元，開發者可以將其當作獨立的開發板，用在深度嵌入式開發中，或是與樹莓派電腦搭配使用。<a href="https://www.ithome.com.tw/news/142419" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>英國政府誤發內藏惡意軟體的筆電給學童</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%95%99%E8%82%B2%E7%94%A8%E7%AD%86%E9%9B%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E5%9C%8B%E6%94%BF%E5%BA%9C.jpeg" style="width: 500px;" /></p> <p><span style="color:#696969;">情境示意圖，圖片來源_英國政府</span></p> <p>英國教育部接獲外界通報得知，該單位提供給學童的教育用電腦遭植入惡意程式，The Register報導，這批電腦是在2019年底生產，出廠前電腦已經製作image，並在去年安裝教育部指定的軟體，近日才陸續送到學校。<a href="https://www.ithome.com.tw/news/142400" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>英特爾預告：7奈米製程產品將於2023年問世</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%A3%BD%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">情境示意圖，圖片來源_英特爾</span></p> <p>英特爾（Intel）公布去年第四季的財報，現任執行長Bob Swan、與即將於2月15日走馬上任的新執行長Pat Gelsinger，都出席了此次財報會議，外界最關心的是英特爾於7奈米製程產品的進度，以及委外策略。面對外界的關切，不管是Swan或Gelsinger都表示，2023年時，大多數的英特爾產品都將基於該公司的7奈米製程，但同時也會擴大委外的比例。<a href="https://www.ithome.com.tw/news/142415" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>紅帽推免費低成本RHEL計畫</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_RHEL_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B4%85%E5%B8%BD.png" style="width: 500px;" /></p> <p><span style="color:#696969;">情境示意圖，圖片來源_紅帽</span></p> <p>去年底紅帽宣布將CentOS Linux資源，完全轉移到CentOS Stream，此舉引發使用者反彈，為此紅帽發布免費與低成本RHEL計畫，來補充原本CentOS Linux的使用案例。過去僅限單機使用的免費RHEL，現在允許最多使用至16個系統，同時紅帽也讓客戶的開發團隊，皆不需支付額外費用，就可以使用RHEL。<a href="https://www.ithome.com.tw/news/142391" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>日立釋出企業級Kubernetes解決方案</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_k8s_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Hitachi%20Vantara.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Hitachi Vantara</span></p> <p>日立旗下Hitachi Vantara推出企業級Kubernetes Service解決方案，強調讓用戶能夠跨雲端供應商以及本地端，部署、管理、監控和治理Kubernetes（K8s）叢集，不只簡化在不同平臺上部署工作負載的複雜性，同時也避免遭特定供應商鎖定。<a href="https://www.ithome.com.tw/news/142355" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/news/142473" target="_blank"><span style="font-size:22px;"><strong>臺灣第一個區塊鏈綠電交易平臺即將上線</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/142437" target="_blank"><span style="font-size:22px;"><strong>蘋果建議安裝心律調節器與去顫器的用戶，應與iPhone及MagSafe配件保持15至30公分的安全距離</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/142469" target="_blank"><span style="font-size:22px;"><strong>存在近十年的Linux Sudo漏洞，可讓任何本機使用者取得執行根權限</strong></span></a></p> <p><a href="https://www.ithome.com.tw/news/142428" target="_blank"><span style="font-size:22px;"><strong>企業Windows RDP伺服器管控不當，恐被駭客用來放大DDoS攻擊</strong></span></a></p> </div></div></div>
2021/1/31 07:00未署名https://www.ithome.com.tw/news/142486
Google發布可輕鬆管理大規模VM機群的VM Manager
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了基礎設施管理工具<a href="https://cloud.google.com/blog/products/compute/introducing-vm-manager">VM Manager</a>，可自動維護大型Compute Engine虛擬機群，VM Manager設計考量超大規模基礎設施，提供自動法遵報告和軟體部署工具集。</p> <p>Google提到，企業將越來越多的工作負載轉移到雲端，但管理和運作大規模虛擬機群通常很複雜，特別是對基礎設施和營運管理者來說，在雲端規模管理基礎設施安全性和法遵是一大挑戰。因此Google開發了VM Manager雲端原生工具，提供類似本地端基礎設施管理的工具，以簡化用戶操作和資源管理工作。</p> <p>VM Manager自動化功能，仍夠簡化和降低大型機群在法遵、可觀察性和安全維護性上的麻煩，用戶可從單一儀表板，即時追蹤法遵和清查（Inventory）資料，並能夠進一步分析並維持基礎設施最佳效能。VM Manager支援Windows和Linux環境，提供包括修補程式管理、配置管理以及清查管理功能。</p> <p>修補程式管理讓用戶可以對一組虛擬機器，應用修補程式來更新作業系統，除了能夠接收跨作業系統環境的修補程式法遵資料外，還可以跨虛擬機器自動安裝作業系統修補程式。修補程式管理服務包含兩個主要元件，其一是修補程式法遵報告元件，能夠提供Windows和Linux的虛擬機器更新狀態的資訊，另一個元件則是修補程式部署，可以自動執行作業系統和軟體修補程式更新程序。</p> <p>VM Manager還提供配置管理，讓用戶可以對虛擬機器進行一致性地部署、查詢和維護，具備自動修復功能，不只能減少手動工作，也可以維持機群的法遵狀態。</p> <p>另外，清查管理（Inventory Management）可以讓用戶收集作業系統和套件資訊，除了可用來辨識虛擬機器執行的作業系統版本、檢視虛擬機器安裝的套件，還能產生每個虛擬機器套件更新清單，找出缺少的套件進行更新。官方提到，清查管理與Google Asset Inventory整合，可以簡化用戶瀏覽、監控和分析Google機群資料的工作。</p> </div></div></div>
2021/1/29 17:41作者李建興https://www.ithome.com.tw/news/142519
存在近十年的Linux Sudo漏洞，可讓任何本機使用者取得執行根權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit" target="_blank">安全廠商Qualys研究人員發現</a>類Unix作業系統常用的Sudo程式，存在一個權限升級漏洞，在預設Sudo組態情況下，任何人都能取得主機上的根執行權限。</p> <p>Sudo是一種工具程式，用於各種類Unix作業系統，包括BSD、Mac OS X以及GNU/Linux，允許一般使用者以另一人的根權限來執行程式。</p> <p>Qualys研究人員發現的漏洞屬於Sudo的堆積（heap-based）緩衝溢位漏洞，編號CVE-2021-3156。它在本機用戶傳送sudoedit -s及以單反斜線（\）結尾的指令行參數開採，任何本機使用者（包括一般使用者和系統使用者、sudoer或非sudoer）在未經驗證（即無需知道密碼）都能輕易完成。成功開採可造成權限擴張，無權限的本機用戶因此取得主機根權限，可能危及資料隱私或導致系統被變更或無法使用。這項漏洞CVSS 3.1風險評分達7.0，屬中高度風險。</p> <p>這項漏洞從2011年7月就存在，等於公開將近10年，這個漏洞影響所有從1.8.2到1.8.31p2的舊版本，及從1.9.0到1.9.5p1的穩定版本。</p> <p>Qualys研究人員發展了數個概念驗證攻擊程式，並且成功在Ubuntu 20.04 (Sudo 1.8.31)、Debian 10 (Sudo 1.8.27)和Fedora 33 (Sudo 1.9.2)上，取得完整根權限。而其他Linux版本和作業系統，可能也同樣曝險。</p> <p>安全公司於今年1月中發現後，通報Sudo的開發維護單位。Sudo已在本周完成修補。</p> <p><a href="https://access.redhat.com/security/cve/CVE-2021-3156" target="_blank">Red Hat</a>、<a href="https://www.suse.com/security/cve/CVE-2021-3156/" target="_blank">SUSE</a>、<a href="https://ubuntu.com/security/CVE-2021-3156" target="_blank">Ubuntu</a>和<a href="https://security-tracker.debian.org/tracker/CVE-2021-3156" target="_blank">Debian</a>也分別發布安全公告，呼籲用戶儘速升級到最新版本的Sudo套件。根據Red Hat公告，這項漏洞除了影響Red Hat Enterprise Linux 5-8版外，也影響Red Hat OpenShift Container Platform 4.x版。</p> </div></div></div>
2021/1/27 14:01作者林妍溱https://www.ithome.com.tw/news/142469
樹莓派基金會發布4美元Pico擴充板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派基金會發布最新的產品，第一款微控制器等級的樹莓派擴充板<a href="https://www.raspberrypi.org/blog/raspberry-pi-silicon-pico-now-on-sale/">Pico</a>，其以自家研發的RP2040晶片建構而成，售價只要4美元，開發者可以將其當作獨立的開發板，用在深度嵌入式開發中，或是與樹莓派電腦搭配使用。</p> <p>雖然樹莓派過去的單板電腦產品，已經可以支援非常豐富的應用，包括讀取感測器數據、執行運算或是驅動執行器（Actuator）等，但是仍有其限制，即便是最低功率，樹莓派Zero也會消耗100毫瓦的電量，而且樹莓派本身也不支援類比輸入，另外，官方還提到，即便能在樹莓派以裸機的方式執行軟體，但是軟體在Linux這種通用作業系統下執行，仍不適合用於獨立I/O引腳的低延遲控制。</p> <p>因此許多開發者會將樹莓派與微控制器搭配使用，由樹莓派負責比較繁重的計算、網路存取和儲存，而由微控制器處理類比輸入以及低延遲I/O，或是提供低功耗待機模式。官方提到，之所以過去他們還無法擁有自己的控制器產品，是因為他們還沒設計出自己的晶片。</p> <p>而現在樹莓派開發了RP2040晶片，其具有三大特性，高效能，特別是能良好處理整數工作負載，和靈活的I/O以連接外部裝置，最重要的仍是低成本，以消除進入障礙。</p> <p>RP2040被放進7×7 mm QFN-56封裝中，其配備133MHz的雙核Arm Cortex-M0+、264KB晶片上記憶體，透過QSPI匯流排支援多達16MB晶片外快閃記憶體，還有提供8個樹莓派可程式化I/O（PIO）狀態機等特色。</p> <p>對進階用戶來說，樹莓派提供完整的C SDK，並且與VStudio Code整合，官方提到，因為Cortex-M0+缺乏浮點數單元，因此樹莓派委託Qfplib作者Mark Owen，最佳化了浮點數函式，而這將會比GCC函式庫中的要快上許多，並且可在任何以RP2040為基礎的產品上使用。</p> <p>RP2040具有兩個核心與晶片上記憶體，官方提到，RP2040可良好支援機器學習應用程式，而對於熟悉高階語言的開發者，樹莓派也與MicroPython創建者Damien George合作，在RP2040建置了一個連接埠，其公開所有晶片硬體功能，包括PIO子系統。</p> <p>有了這個自己設計的RP2040晶片，樹莓派開發出低成本擴充板Pico，除了RP2040晶片，板上還有2 MB快閃記憶體，並支援輸入1.8-5.5V電壓，這將讓用戶可以方便地替樹莓派Pico充電，包括用兩個或是三個串連的AA電池或單個鋰離子電池。Pico有一個按鈕和一顆LED燈，按鈕可在啟動的時，進入USB大量儲存模式，也可只作為一般輸入。Pico暴露了RP2040 30個GPIO引腳中的26個，用戶可以將接頭焊接到這些焊盤上。</p> </div></div></div>
2021/1/25 10:41作者李建興https://www.ithome.com.tw/news/142419
整合15款既有傳訊服務的Beeper問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">曾建立智慧手錶品牌Pebble的Eric Migicovsky最近又有了新創意，他打造了一個整合15款即時傳訊服務的Beeper程式，讓使用者可於單一介面上接收並回覆來自15款服務的訊息，包括蘋果的iMessage在內，不過，Beeper目前仍處於封閉測試階段，且採取訂閱制，正式上線時的月租費為10美元。</p> <p dir="ltr">Migicovsky在2013年推出Pebble，最初是個藉由Kickstarter集資的智慧手錶專案，可於手錶上顯示來自智慧型手機的訊息，Migicovsky在2016年把Pebble賣給了Fitbit，Fitbit繼之於2018年關閉了對Pebble用戶的各種官方支援。</p> <p dir="ltr">Migicovsky最新打造的Beeper程式則是整合了15款傳訊服務，涵蓋Whatsapp、Facebook Messenger、iMessage、Android Messages、Telegram、Twitter、Slack、Hangouts、Instagram、Skype、IRC、Matrix、Discord、Signal，以及自家的Beeper network等，並未包含臺灣最受歡迎的Line。</p> <p dir="ltr">Beeper是利用開源的聯合傳訊協定Matrix來連結所有的傳訊服務，而且同時支援macOS、Windows、Linux、iOS及Android平臺，當中最受矚目的是，Beeper竟然能夠讓只支援蘋果裝置的iMessage，在Windows、Android與Linux平臺上運作。</p> <p dir="ltr">為了解決外界的疑惑，Beeper<a href="https://www.beeperhq.com/" target="_blank">於官網上</a>公布了作法，指出其它平臺上的用戶有兩種方式可以使用iMessage，一是倘若他們擁有Mac，就能在Mac上安裝Beeper程式，並以它作為橋樑，把iMessage的訊息轉至Windows、Android與Linux裝置上，不過，這臺Mac必須24小時連網。其次則是寄一臺破解版的iPhone給每個Beeper用戶，在這臺破解版的iPhone上安裝Beeper，以作為介接iMessage的橋樑。</p> <p dir="ltr">雖然看起來有點扯，但Migicovsky說這並不是開玩笑，上述方法真的有用，而且<a href="https://twitter.com/ericmigi/status/1351934418961661959" target="_blank">他已經準備了50臺二手的iPhone 4s</a>。</p> <p dir="ltr">Migicovsky並未公布Beeper正式上線的時間，而使用者是否願意每月支付10美元，來使用整合的Beeper程式則值得觀察。</p> </div></div></div>
2021/1/25 10:53作者陳曉莉https://www.ithome.com.tw/news/142424
Mozilla揭露Firefox移植Apple Silicon細節，Firefox 85將提供更完整支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2021/01/porting-firefox-to-apple-silicon/">Mozilla</a>將在Firefox 85提供更完整的Apple Silicon晶片支援，而WebRender之前因為會觸發Big Sur中的繪圖驅動程式臭蟲，因此在Firefox 84版本禁用，但這個問題現在已經解決，因此在Firefox 85也會重新開啟WebRender，另外，Firefox也針對Apple Silicon的異構計算架構進行最佳化，使其更能利用不同特性核心的優勢。</p> <p>去年底Apple發布一系列搭載M1晶片的Mac產品，M1是以Arm為基礎，由Apple自家設計的晶片，而這些新Mac的效能表現，讓使用者充滿驚喜，即便Apple提供了模擬器解決方案，但不少應用程式開始原生支援M1晶片，在瀏覽器市場扮演重要角色的Firefox也不例外，早在Apple真正釋出搭載M1晶片的Mac之前，開發團隊就開始評估Firefox支援Apple Silicon的可行性，以及支援的方法。</p> <p>在Firefox支援Arm並不是一件全新且困難的工作，因為過去Firefox就已經在不同平臺，包括Android和Linux之都支援64位元Arm，因此開發團隊重新檢視原本就支援64位元Arm的Firefox程式碼、相依項目和第三方建置系統等，確認這些部分都可以正確處理新Mac架構。</p> <p>需要修改的程式碼，包括處理低階呼叫慣例，以及JavaScript、C++和Rust間的介面，而且因為Firefox非常依賴Rust程式碼，需要Rust編譯器來建置瀏覽器，因此他們不只更新編譯器，還有所有相依的套件，而且尤為困難的是牽涉SIMD的支援，Mozilla提到，這很難讓舊版本Firefox，在支援Apple Silicon的同時，又不影響到其他平臺。</p> <p>Firefox採用了通用二元檔案（Universal Binary）的方式來支援M1 Mac，同一個安裝檔案可以同時用於英特爾以及Arm的Mac，雖然這樣會讓安裝檔案的大小明顯增加，但是卻可以避免用戶下載錯版本，下載頁面和本地化基礎設施也不需要變動，而且這也僅會影響初始版本的安裝，在更新之後就可以獲得容量較小的新版本，因此權衡優缺點下，Mozilla最終還是採用通用二元檔的方法。</p> <p>在所有Firefox開源的部分都移植到64位元Arm之後，另一個需要處理的問題是數位版權管理（Digital rights management，DRM）內容的支援，包括Netflix、Disney+和Amazon Prime，都要求使用閉源DRM軟體解碼影片。由於閉源DRM軟體對於支援Apple Silicon的不確定性，Mozilla最後將DRM視訊解碼器以單獨程序執行，並在用戶的系統中以沙盒執行這些專有的程式碼。</p> <p>發布新版安裝程式也遭遇到了問題，當舊版Firefox自動下載並更新支援新架構Mac的Firefox，Firefox仍會持續以模擬器運作，這是因為在Apple Silicon上，任何在英特爾X64模擬器下執行的應用程式，另一個程序也會以模擬器執行，因此沒有原生支援Apple Silicon的Firefox 83，即便自動更新到Firefox 84之後，系統不會自動啟動新的原生二位元檔案，必須要等到應用程式重新啟動。</p> <p>2020年12月15日Mozilla正式發布原生支援Apple Silicon的Firefox 84，Mozilla提到，雖然他們從很多報告看到，模擬器Rosetta對效能的影響很小，應用程式都還是能以原生效能70％到80％執行，但是當他們測試原生Firefox版本，還是對效能感到訝異，許多重要效能指標都翻倍之外，啟動速度更是快了2.5倍。</p> <p>不過，因為穩定性的考量，部分功能並沒有在第一個支援Apple Silicon的Firefox 84上啟用，包括因為WebRender在支援Apple Silicon的第一個Big Sur版本，會觸發繪圖驅動程式臭蟲，而這個問題現在已經解決，因此在Firefox 85上將會重新啟用，另外，在Firefox 85預計也會採用新的編譯器Ion。</p> <p>Mozilla表示，Apple Silicon是第一個異構設計的桌面電腦晶片，因此他們還在更改大部分多核心執行序和執行緒池架構，將效能要求不高的工作，放到高效率核心（Efficiency Core）上，把高效能核心（Performance Core）留給重要的工作。另外，Mozilla還要清理和更新舊版macOS繪圖API的用法，解決因為舊版API不支援深色模式，可能導致畫面顏色異常的問題。</p> </div></div></div>
2021/1/22 11:56作者李建興https://www.ithome.com.tw/news/142386
紅帽推出免費與低成本RHEL計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）宣布向小型生產工作負載以及客戶開發團隊，推出<a href="https://www.redhat.com/en/blog/new-year-new-red-hat-enterprise-linux-programs-easier-ways-access-rhel#Bookmark%201">RHEL免費與低成本RHEL計畫</a>，過去僅限單機使用的免費RHEL，現在允許最多使用至16個系統，同時紅帽也讓客戶的開發團隊，皆不需支付額外費用，就可以使用RHEL。</p> <p>過去紅帽的Linux生態系從Fedora專案開始，在Fedora中發展成熟的技術，便會整合到RHEL中，紅帽會強化RHEL的元件，並且提供額外的安全性更新，之後RHEL程式碼會被帶到CentOS Linux專案，並整合到主幹中。</p> <p>而紅帽在2019年的時候，在CentOS社群中，加入了一個與CentOS Linux共存的Linux版本CentOS Stream，其定位有別於原本的CentOS Linux，CentOS Stream是個位於Fedora之後，RHEL之前的Linux版本，CentOS Stream一天更新數次連續串流新內容，其也會包含RHEL程式碼庫最新內容，角色就如同RHEL的預覽發布版。</p> <p>而在去年12月初，紅帽宣布要將CentOS Linux的資源，完全轉移到CentOS Stream，紅帽認為，CentOS Stream是推動Linux創新的最佳方法。不過，紅帽這個新政策卻引來眾怒，部分使用者提到，採用CentOS Linux的原因就是其高穩定度的特性，但CentOS Stream持續串流新功能，就失去原本CentOS Linux的穩定性，也有部分用戶甚至提到，紅帽這項政策，摧毀了使用者對該公司的信任。</p> <p>而紅帽現在發布免費與低成本RHEL計畫，來補充原本CentOS Linux的使用案例。紅帽以開發者計畫提供免費的RHEL，只不過之前的條款，僅限單機開發人員使用，而現在紅帽擴展開發者計畫，讓RHEL個人開發者訂閱，可以最多用於16個系統中，紅帽提到，這個意思是，對於小型生產用力來說，RHEL是免費的。</p> <p>用戶需要登入免費的紅帽帳戶，或是以GitHub、推特、臉書或是其他帳戶單一登入，就可以下載RHEL並接收更新，紅帽強調，除了登入之外沒有其他要求，這並非一個銷售計畫，因此不會有銷售代表跟進。用戶可以在AWS、GCP和微軟Azure上執行RHEL，用戶只需要支付服務供應商託管費用，作業系統用於開發和小型生產工作負載都是免費的，這項訂閱將於2021年2月1日前提供。</p> <p>另外，紅帽也讓客戶的開發團隊可以更簡單地使用RHEL，客戶藉由現有的訂閱，將讓其開發團隊可以免費加入到紅帽開發者計畫之中，整個組織都能更簡單地將RHEL作為開發平台，而且透過這個計畫，用戶可以利用紅帽Cloud Access來部署RHEL，或是在AWS、GCP和微軟Azure公有雲上，無須支付額外費用的使用RHEL。</p> <p>紅帽表示，這兩個計畫並無法完全支援，所有原本使用CentOS Linux的使用案例，因此預計將會在2月的時候，提供另外的更新，以支援更多的使用案例。</p> </div></div></div>
2021/1/22 11:59作者李建興https://www.ithome.com.tw/news/142391
FreakOut殭屍網路程式瞄準熱門軟體高風險漏洞，大舉入侵Linux伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.checkpoint.com/2021/freakout-leveraging-newest-vulnerabilities-for-creating-a-botnet/" target="_blank">安全廠商Checkpoint本周警告</a>，一隻殭屍網路程式正瞄準三種受歡迎的軟體內高風險漏洞，意在感染網路上的Linux系統。</p> <p>這波攻擊背後是一名為FreakOut的惡意程式，研究人員發現它開採三種軟體漏洞，包括知名儲存設備TerraMaster的作業系統TOS的指令注入漏洞CVE-2020-28188、Web應用開發函式庫套件Zend Framework的遠端程式碼執行漏洞CVE-2021-3007，以及開源企業入口網站軟體Liferay Portal反序列化漏洞CVE-2020-7961）。<a href="https://www.ithome.com.tw/news/142052" target="_blank">其中Zend Framework的漏洞還是上周才由安全人員揭露</a>，同時影響Zend Framework及Laminas Project laminas-http 。另二個漏洞分別於去年12月和2月發現。在CVSS 3.1風險評估中，三項漏洞皆達到9.8分，屬於重大風險。</p> <p>CheckPoint指出，本次攻擊主要鎖定Linux系統，像是Linux NAS或網頁伺服器。FreakOut具備掃瞄傳輸埠、蒐集資訊、建立或傳輸資料封包、聽取網路流量等。一旦它成功進入目標系統，即可建立IRC殭屍網路大軍，背後的駭客即可用這些機器進行惡意活動，像是對其他公司網路發動分散式阻斷攻擊（DDoS）或在受害系統上執行挖礦，也可能導致整臺系統關閉。</p> <p>從1月8到13日，Checkpoint客戶遭到380多次攻擊，其中，研究人員從FreakOut的主要C&C伺服器偵測到有185臺裝置被駭入。受害者主要分布在北美和西歐，其中美國佔了27%。而以產業別來看，金融、政府及醫療為最大宗。</p> <p>安全廠商呼籲用戶應儘速升級到最新版本，包括TerraMaster TOS 4.2.07及 Liferay Portal l 7.2 CE GA2 (7.2.1)以上。Zend Framework原維護單位已不再支援，<a href="https://github.com/laminas/laminas-http/pull/48" target="_blank">Laminas Project laminas-http用戶則應安裝2.14.x bugfix</a> 。</p> </div></div></div>
2021/1/21 16:28作者林妍溱https://www.ithome.com.tw/news/142382
Visual Studio將原生支援WSL 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2019年更新Visual Studio，原生支援在WSL 1使用C++，現在進一步要在<a href="https://devblogs.microsoft.com/cppblog/c-with-visual-studio-and-wsl2/">Visual Studio中原生支援WSL 2</a>。所謂Visual Studio原生支援WSL，意思是開發者不需要以遠端連線或是配置SSH，就可以在本地端WSL中，建置和測試C++程式碼，這將能大幅改善用戶需要啟動Linux環境，才能執行程式的情況，而且也不再需要於遠端機器維護另一份程式碼。</p> <p>Visual Studio對WSL 1的原生支援，所有命令都透過wsl.exe在本地端執行，WSL會從掛載在/mnt資料夾下的Windows磁碟存取檔案，由於目前這些命令在WSL 2中執行效率沒這麼好，因此官方建議用戶，只有在WSL 2可以提供更好的效能，以及100％相容系統呼叫的時候，再使用WSL 2。</p> <p>現階段有兩種情況，使用WSL 1會比WSL 2效能更好，第一是檔案必須儲存在Windows檔案系統中時，WSL 1能更快地存取掛載在Windows的檔案，也就是當程式必須使用WSL Linux發布版本，來存取Windows檔案系統中的檔案，且檔案無法儲存在Linux檔案系統時，使用WSL 1能夠更有效率地跨作業系統存取檔案。</p> <p>而第二個情況則是需要使用Windows和Linux工具，對同一個檔案進行交叉編譯的時候，跨Windows和Linux的檔案存取效能，WSL 1明顯比WSL 2更快，因此要用Windows應用程式存取Linux檔案，目前要選用WSL 1。</p> <p>還有另一個辦法可以避免使用WSL 2帶來的效能低落，便是在本地端WSL 2中，安裝和執行SSH，並且在Visual Studio Connection Manager，新增新的SSH連線。不過還要安裝SSH，就是多一層阻礙，因此微軟決定要在Visual Studio提供WSL 2原生支援，這項支援將讓開發者可以不需要新增SSH連線，就可以在WSL 2上建置和除錯程式。</p> <p>微軟採取的支援策略，是讓Visual Studio執行本地端rsync應用程式副本，將檔案從Windows檔案系統複製到WSL 2檔案系統中，當Visual Studio偵測到用戶正在使用WSL 2時，本地端rsync副本就會自動啟用，不需要用戶干預。</p> </div></div></div>
2021/1/18 12:15作者李建興https://www.ithome.com.tw/news/142274
一周大事：台哥大召回A32手機，因其遭惡意軟體滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>電信商手機在供應鏈被惡意軟體滲透，謎底揭曉是台灣大哥大，用戶簡訊OTP被攔截導致身分冒用</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-NCC.png" style="width: 500px;" /></p> <p>由台灣大哥大推出的自有品牌手機「Amazing A32」，在去年下半被警調單位發現，手機生產製程階段被暗中植入了惡意程式，使得詐騙集團可將用戶門號作為遊戲點數詐騙的人頭帳號，並且已有多位無辜民眾因此被控告詐欺。</p> <p>對此NCC表示，這次事件凸顯相關大陸白牌手機帶來的資安議題，未來他們將進一步要求，需符合資安標準及納入年度抽測。台灣大哥大也宣布將全面召回這些有問題的手機，其合作廠商「力平國際」已釋出新版2.0作業系統，將協助用戶進行安全性軟體升級。</p> <p>刑事警察局也揭露這次案件的偵辦經過，他們是接獲民眾陳情開始，察覺被害人都是年長者，進而追蹤調查與分析。</p> <p>值得關注的是，在這起事件下，不只是詐騙集團與黑色產業進而引發的社會事件，以及中國製白牌手機帶來的資安疑慮，行動業者自家產品委外代工的資安品管挑戰，我們還注意到一個容易被外界忽略的焦點，就是簡訊OTP遭攔截的事件，已經在臺灣發生，相關安全隱憂也值得重視。<a href="https://www.ithome.com.tw/news/142253" target="_blank">更多內容</a></p> <p><a href="https://www.ithome.com.tw/news/142254" target="_blank"><strong><span style="color:#FFFFFF;"><span style="font-size:24px;"><span style="background-color:#3399ff;"> 臺電信品牌手機遭駭事件的4大資安教訓 </span></span></span></strong></a></p> <p><span style="font-size:28px;"><strong>德國藥廠要採用Google量子運算技術研發新藥</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%82%99%E7%94%A8_%E5%9C%961_%E8%A3%BD%E8%97%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Boehringer%20Ingelheim.jpg" style="width: 375px;" /></p> <p><span style="color:#696969;">圖片來源_ Boehringer Ingelheim</span></p> <p>近期德國藥廠百靈佳殷格翰（Boehringer Ingelheim）宣布與Google量子AI部門合作，要將量子運算技術用於疾病研究及最終的新藥研發。<a href="https://www.ithome.com.tw/news/142161" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>駭客鎖定臺灣公部門與研究機構發動網釣攻擊</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%B3%BB%E4%BD%91-EarthWendigo-phishing_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_趨勢科技</span></p> <p>趨勢科技揭露一起自2019年開始的網路釣魚攻擊，鎖定臺灣的政府組織、研究機構，以及大學下手。而為了能讓攻擊範圍更廣，駭客進一步在郵件網頁系統上注入惡意JavaScript。<a href="https://www.ithome.com.tw/news/142156" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Linux核心開發者討論棄用一系列老舊CPU</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_CPU%E7%A4%BA%E6%84%8F_%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Luan%20Gjokaj%20on%20Unsplash.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Luan Gjokaj on Unsplash</span></p> <p>在Linux 5.10成為長期支援版本核心之後，重要Linux核心開發者，同時也是Arm核心樹共同維護者的Arnd Bergmann，發現有部分CPU長年缺乏維護，便提出支援移除建議，建議刪除的平臺包括asm9260、axxia、dove、prima2以及vt8500等。<a href="https://www.ithome.com.tw/news/142151" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Wi-Fi 6E裝置認證專案開跑</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Wi-Fi%206E%E8%AA%8D%E8%AD%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Wi-Fi%E8%81%AF%E7%9B%9F.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_Wi-Fi聯盟</span></p> <p>Wi-Fi聯盟展開Wi-Fi 6E裝置的認證專案，Wi-Fi 6E是在Wi-Fi 6標準所使用的2.4 GHz與5 GHz頻段之外，額外支援6 GHz頻段，能夠解決現有Wi-Fi頻譜短缺的問題，也不會受到舊有Wi-Fi 4或Wi-Fi 5裝置的干擾，適用於需要快速資料吞吐量的高頻寬應用，如高解析度影片串流與虛擬實境應用。<a href="https://www.ithome.com.tw/news/142137" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>科技3巨頭聯手封殺川粉群聚的社交平臺Parler</strong></span></p> <p>臉書與Twitter因川普針對美國國會暴動事件的網路發言，而相繼封鎖川普的帳號，川普的支持者改湧向社交平臺Parler，不久之後，Google便將Parler自Google Play上移除，蘋果也把Parler踢出App Store，AWS也切斷Parler的代管服務，理由是Parler未能移除平臺上的煽動暴力內容。<a href="https://www.ithome.com.tw/news/142138" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>德國總理梅克爾譴責Twitter封鎖川普的行為</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E6%A2%85%E5%85%8B%E7%88%BE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%B7%E5%9C%8B%E8%81%AF%E9%82%A6%E5%85%A7%E9%96%A3(1).jpg" style="width: 434px;" /></p> <p><span style="color:#696969;">圖片來源_德國聯邦內閣</span></p> <p>推特（Twitter）在1月9日宣布永遠暫停美國總統川普（Donald Trump）在該平臺的帳號，但此舉已惹來德法的批評，德國總理梅克爾（Angela Merkel）認為言論自由應是由政府決定而非私人企業。<a href="https://www.ithome.com.tw/news/142162" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟技術文件證實Cloud PC服務的確存在</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Cloud%20PC.png" style="width: 447px;" /></p> <p>網路盛傳微軟正在開發，可讓用戶透過Azure存取桌面應用程式的Cloud PC服務，但未獲得微軟證實。近日該公司的網路技術文件則間接證明，的確有Cloud PC專案的存在。<a href="https://www.ithome.com.tw/news/142059" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Python四度拿下TIOBE年度程式語言獎</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%A8%8B%E5%BC%8F%E8%AA%9E%E8%A8%80%E6%8E%92%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_TIOBE.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_TIOBE</span></p> <p>日前TIOBE發布2021年1月的熱門程式語言排名，並且回顧了2020年程式語言的交替變化。Python在2020年TIOBE Index成長了2.01％，為所有語言之冠，拿下了TIOBE年度程式語言獎第一名，其他得獎的語言還有C，在2020年成長了1.66％，接著還有Groovy以及R，分別成長1.23％以及1.10％。<a href="https://www.ithome.com.tw/news/142099" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>用戶個資分享給臉書，WhatsApp新條款惹爭議</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E9%9A%B1%E7%A7%81%E6%94%BF%E7%AD%96_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_WhatsApp.png" style="width: 250px;" /></p> <p><span style="color:#696969;">圖片來源_WhatsApp</span></p> <p>根據WhatsApp網站上公布的新版隱私政策，WhatsApp表示會和用戶說明其服務，也可能為自己及同屬臉書家族的公司行銷服務。條款並指出，作為臉書家族公司的一份子，WhatsApp將把資訊分享給其他成員公司，也會從那接收資訊，以用於改善服務。臉書及其他成員公司也可能利用這些資訊來改善他們的服務，提供產品建議，或顯示相關服務和廣告。<a href="https://www.ithome.com.tw/news/142081" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>英特爾新款RealSense攝影機加入人臉辨識技術</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_RealSense%20ID_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_英特爾</span></p> <p>本月初英特爾（Intel）發表3D攝影機RealSense家族的新款產品RealSense ID，強調同時結合深度感應器與人臉辨識系統，可應用在智慧鎖、存取控制或ATM服務上。<a href="https://www.ithome.com.tw/news/142089" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>.NET 5強化多項網路功能，開始提供HTTP/3實驗性支援</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_dot%20net%205(1).png" style="width: 500px;" /></p> <p>微軟揭露對.NET 5網路堆疊所做的功能強化，包括對HTTP領域進行多項改進和修復，像是其中一個常被要求的功能，是在使用HttpClient的時候，希望能從取消的情況中區分逾時。微軟所做的改進包括，讓開發者可以使用自定義CancellationToken，來區分逾時和取消。<a href="https://www.ithome.com.tw/news/142184" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>GitLab修復API存取權杖漏洞</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20GitLab%E4%BB%8B%E9%9D%A2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_GitLab(1).png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_GitLab</span></p> <p>GitLab發布社群及企業版的13.7.2、13.6.4和13.5.6更新，修補一項高嚴重性的API存取令牌漏洞，影響GitLab 11.5開始的所有版本，可讓攻擊者透過GitLab Pages竊取使用者API存取權杖。<a href="https://www.ithome.com.tw/news/142180" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>去年全球PC出貨量成長率創10年來新高</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_PC%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.jpeg" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>因COVID-19疫情衍生的在家工作／學習風潮，激勵了2020年的全球PC出貨量。根據市場研究機構IDC的調查，2020全年出貨量成長13.1%，上一次PC出貨量出現類似成長幅度的時候，是2010年的13.7%。在這十年來，全球PC出貨量有6年是衰退的。<a href="https://www.ithome.com.tw/news/142178" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/news/142240" target="_blank"><span style="font-size:24px;"><strong>假冒電商詐騙橫行，2020年小三美日與讀冊生活連續兩年名列年度高風險網購平臺</strong></span></a></p> <p><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/news/142217" target="_blank">債券小額團購新模式即將上線，新創湊伙與一銀合推金融監理沙盒第8案</a></strong></span></p> <p><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/news/142202" target="_blank">科技部揭2021年四大科技政策方向，透露考慮設嘉義和屏東軟體科學園區</a></strong></span></p> <p><strong style="font-size: 24px;"><a href="https://www.ithome.com.tw/news/142239" target="_blank">APG海纜發生故障，造成連線海外網站Netflix等出現卡頓</a></strong></p> </div></div></div>
2021/1/17 07:00未署名https://www.ithome.com.tw/news/142251
Cloud周報第93期：Netflix、Line頻頻卡頓，中華電信預計APG海纜20日修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2020/1/07～2021/01/13）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞太直達海纜 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 故障 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>APG海纜發生故障，造成連線海外網站</strong></span><strong style="font-size: 22px;">Netflix等出現卡頓</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(42).png" /></strong></p> <p>亞太直達海纜（APG）在1月9日發生故障，導致近期許多民眾連線至Netflix、Line等國外網站時，遭遇延遲現象，且搶修工作受海象影響，預計要待1月20日才可完全修復。事發當日，中華電信與凱擘均在官網公告此情況，並都表示，已緊急調度海纜支援，不過，若用戶連線美國、日本、中國、香港與新加坡的部分網站，仍可能遭遇少許延遲現象。</p> <p>對於修復日程，身為APG投資一員的中華電信進一步表示，海纜由各國業者共同參與投資與維護，且海纜深埋海底，維修是個大工程，不僅受限海象，也須依海纜船的排定時程，難掌握明確時程。至1月12日中華電信再發布公告，初估APG在本月20日前，可完成修復，但，有別事發當日對故障災情的說法，中華電信強調，「當日已緊急調度海纜，客戶完全不受影響、訊務正常。」<a href=" https://www.cht.com.tw/zh-tw/home/cht/messages/2021/0112-1155?year=2021&month=1&category=5C8583BDFADF4809A09D3913443F0F7E&list=%7b8DAECF69-AEF0-4F1B-B066-3306E547C0CC%7d">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠傳電信 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Tpark </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>遠傳電信啟用旗下首座Uptime Tier III認證雲端資料中心</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(58).jpg" style="width: 600px; height: 450px;" /></strong></span></p> <p>遠傳電信於1月7日正式啟用旗下首座Uptime Tier III認證的雲端資料中心，位於新北市板橋區台北遠東通訊園區內。遠傳投入數十億美元建置該新資料中心，鎖定金融證券、電商、網路、OTT服務等業者，對IDC機房的使用需求。這座雲端中心採用壁面平吹風牆設計，並搭配熱走道封閉上回風技術，來控制內部氣流方向，避免混風，是國內業界首次以該類型設計，建置機房，同時，藉由拉大機櫃空間，提高散熱效率。遠傳表示，這些做法除能確保設備順暢運轉，也兼顧能源效率。新的資料中心結合太陽能供電，並導入自然進氣冷卻系統，還有主動式智能控管機制，來提高用電效率，PUE值小於1.5。另外，機房採用三段式消防感知滅火設計，增強消防安全與防止複燃，也是國內業界機房首度使用。<a href=" https://corporate.fetnet.net/content/corp/tw/LatestNews/LatestNews_Contents.html?uuid=a260ce22-03bd-4cf5-8740-a2601c8d221b&lang=tw">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對話機器人 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟將Healthcare Bot搬上Azure，推出雲端AI醫療對話機器人服務</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(40).jpg" style="width: 600px; height: 256px;" /></strong></strong></p> <p>微軟近日宣布專為醫療照護產業打造的機器人服務Healthcare Bot，現在正式搬上Azure，轉變為Azure Health Bot，提供醫療照護組織在Azure上建置、部署AI對話服務。Healthcare Bot是微軟針對醫療照護情境需求，所打造的AI對話服務，該服務內建醫療智慧和自然語言功能，可理解臨床術語，以制定臨床和操作使用案例，並且遵守包括HIPAA等隱私規範。醫療機構的開發人員透過該服務，可存取相關醫療服務資訊，並整合電子病歷記錄，快速打造符合自家工作流程的健康照護AI助理。</p> <p>疫情爆發後，美國疾病管制與預防中心就用Healthcare Bot來建置能夠回答COVID-19、就醫等資訊的系統，而從去年開始，累計有數千個機器人是利用Healthcare Bot建置，服務25個國家、逾8千萬人，傳送了近10億條訊息。既有Healthcare Bot用戶能在不需要停機的前提下，將Healthcare Bot無縫搬遷到Azure Health Bot上，而微軟將會再支援Healthcare Bot服務至少12個月。Azure Health Bot具99.9％的SLA承諾，目前在Azure美東與西歐雲端地區提供，接下來預計會在共8個地區上線。<a href=" https://azure.microsoft.com/zh-tw/blog/introducing-azure-health-bot-an-evolution-of-microsoft-healthcare-bot-with-new-functionality/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 傳輸服務 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> NFS檔案系統 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>AWS Transfer Family傳輸服務開始支援雲端原生NFS檔案系統EFS</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/4(23).png" style="width: 600px; height: 269px;" /></strong></span></p> <p>AWS傳輸服務Transfer Family原本僅支援檔案傳輸至S3物件儲存服務，近期增加EFS檔案系統支援，讓企業可提供業務合作夥伴，存取Amazon EFS檔案系統文件的權限。企業現可以通過Transfer Family，在既有的工作流程中使用SFTP、FTPS和FTP協定，將檔案傳輸到全託管的EFS檔案系統上，以減少自己運作系統的負擔。</p> <p>這項新功能可在VPC以及與VPC相連的環境中使用，確保第三方透過支援的協定，大規模地安全存取檔案，而且無需在意基礎設施配置。此外，企業選擇EFS作為Transfer Family伺服器的資料儲存服務時，傳輸的檔案可隨時讓EC2上執行的應用程式取用，也能支援ECS、EKS、Fargate和Lambda等服務。目前提供Transfer Family服務的AWS地區，該服務都開始支援EFS檔案系統，而企業使用EFS作為儲存後端，則按EFS用量付費，不需額外支付Transfer Family費用。<a href=" https://aws.amazon.com/blogs/aws/new-aws-transfer-family-support-for-amazon-elastic-file-system/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 身分驗證服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SLA </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟將更新身分驗證服務AD說明文件，承諾SLA提升為4個9</strong></strong></p> <p>微軟日前宣布將提高Azure身分驗證服務Active Directory（AD）的服務水準協議（SLA），從3個9提高為4個9，並於4月1日起生效。AD服務作為Azure雲端基礎設施的核心要素，是Azure服務、Microsoft 365、微軟應用等用以管理用戶身分和驗證的服務，每月有超過4億活躍用戶使用，每日處理數百億次身分驗證作業。因此，該服務每每發生故障，都會劇烈衝擊Azure多項服務、Microsoft 365等，像是去年9月的故障事件，就導致微軟美洲用戶存取多項服務的成功率僅剩17%，所以保持AD服務正常運作至關重要。</p> <p>AD服務4個9的SLA等級將涵蓋用戶身分驗證和同盟的功能，但，不包含管理功能。另外，微軟也分享了他們提升AD服務可靠性的一些作法，像是將服務調整為細密的細胞化結構，以限縮故障狀況的影響、隔離範圍。微軟還推出作為AD服務附加層的備份驗證服務，可自動地處理工作負載驗證，提供服務額外的容錯空間，並計畫在未來幾個季度內，將這個新備份保護措施整合進關鍵的應用和服務。<a href=" https://techcommunity.microsoft.com/t5/azure-active-directory-identity/99-99-uptime-for-azure-active-directory/ba-p/1999628">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日誌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 記錄檔服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Google記錄檔服務Cloud Logging新增結尾記錄功能，供用戶查看即時日誌</strong></span></strong></p> <p>Google近日為記錄檔服務Cloud Logging新增結尾記錄功能，還有強化日誌搜尋功能，來讓企業從日誌數據中獲得更多的洞悉。新的結尾記錄功能模仿Linux中tail -f指令的行為，能讓用戶將日誌檔案的內容，即時顯示在控制臺中。通過新的結尾記錄功能，Google也強化了日誌檢視功能，讓用戶可以利用結尾指令，一次搜尋所有資源中的所有日誌，還可以使用Cloud Logging服務日誌查詢語言功能，搭配執行全域搜尋、正規表示式、字串比對等過濾器功能，來即時找出想查看的日誌記錄。目前Cloud Logging的結尾記錄功能為預覽版階段，開放所有用戶使用、測試。除此之外，Cloud Logging現還能讓用戶將日誌串流到Logs Explorer，直接從雲端控制臺操作日誌功能，包含串流、連結追蹤、下載、查詢等。<a href=" https://cloud.google.com/blog/products/management-tools/cloud-logging-gets-real-time-log-searching">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 叢集升級 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟將發布Azure Service Fabric安全性變更，呼籲用戶升級叢集避免服務中斷</strong></span></strong></p> <p>微軟於1月7日針對微服務平臺Azure Service Fabric用戶，除發布版本升級警報外，也於自家技術社群網站發布文章，提醒使用介於5.7至6.3.63.的Service Fabric叢集版本的用戶，必須升級叢集版本，否則使用上會受到一項將生效的服務安全性變更影響。微軟未進一步說明該安全問題的細節，僅表示，服務可支援的所有其他版本都已針對該安全問題，進行了修復，並在所有地區提供使用。這項安全性變更則將在1月19日生效，微軟建議用戶盡早採取措施，升級該服務的叢集到符合使用需求的兼容版本，否則叢集將遭遇執行中斷的狀況。<a href="https://techcommunity.microsoft.com/t5/azure-service-fabric/upgrade-azure-service-fabric-clusters-on-unsupported-versions/ba-p/2041278">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> IT轉型調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong> </span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>IBM調查：疫情加速雲端採用，且6成企業認為雲端需求將永久性提升</strong></span></strong></p> <p>IBM於去年年終，對380位美國與英國中大型企業的CIO和CTO，進行IT轉型現況調查，近日發布調查報告，發現近25%的受訪企業，才剛剛展開IT現代化的工程。這些企業的IT領導者有超過95％表示，他們正在尋求採用公有、混合和私有雲策略，其中，有53％正採積極推行公有雲策略，有48％發展混合雲策略，而有45％採私有雲策略。</p> <p>這個調查也發現，疫情對IT基礎架構帶來的壓力，迫使企業加速雲端基礎設施的建構，並提高對雲端技能和安全升級的需求，有超過6成的受訪者認為，他們對雲端基礎設施需求的提升，將是永久性的。但是，面對IT轉型、適應多雲環境等的挑戰，許多IT領導人不確定組織是否擁有合適的人才因應，有4成受訪者認為自家沒有足夠的技能來滿足。除此之外，美、英兩國企業所處的IT轉型現況也具顯著的差異，美國有56%的受訪者表示，他們正在積極擁抱混合雲架構，而在英國，只有38%的受訪者持積極態度推動。<a href=" https://newsroom.ibm.com/2021-01-04-IBM-Study-Majority-of-Surveyed-Companies-are-Not-Prepared-for-IT-Needs-of-the-Future-Say-U-S-and-U-K-Tech-Leaders ">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬化PC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>微軟技術文件證實新虛擬化PC應用服務Cloud PC的存在</strong></span></p> <p>去年夏天，微軟發布了1則招聘資訊提及了「Cloud PC」，提早曝光這款新桌面即服務（DaaS）的動向，當時微軟不願公開證實此消息，不過，近期微軟發布了兩篇技術文章，皆談及Cloud PC，證實了該新服務的存在。Cloud PC是以Windows虛擬桌面為基礎而發展的Azure服務，讓用戶透過Azure存取桌面應用程式。其中一份文件顯示，Cloud PC會用到Microsoft Graph圖譜搜尋技術、Azure整合及其他功能，而Microsoft Graph 1.0已經升級，加入了Cloud PC專用的API。Cloud PC API目前為預覽版，僅有少部份用戶可以使用，通過Cloud PC API，用戶可位組織中的員工，配置和管理虛擬桌面。Cloud PC將提供三種服務等級，包括中度（通用型運算）、重度（高效能的運算）及進階（企業用戶），並可能會在今年上半年推出。<a href="<br /> https://docs.microsoft.com/en-us/graph/changelog ">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 阿里巴巴 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 資料中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 液冷技術 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>阿里巴巴揭露自家資料中心液冷技術，要降低7成能源消耗</strong></span></p> <p>阿里巴巴分享自家資料中心採用的冷卻技術和巡檢機器人，現今的狀況。位於杭州支撐自家雙11購物節流量的資料中心，採用液冷技術，將伺服器浸泡在特製的絕緣液體冷卻劑中，來快速冷卻硬碟，而無需風扇、空調等降溫設備，即可散熱，降低了超過7成的能源消耗量。並且，搭配了一套可浸泡液體冷卻劑的監控管理系統，降低了5成的故障率。</p> <p>此外，阿里巴巴升級了機房的巡檢機器人「天巡」，來到了第三代，可自動更換故障的硬碟，從巡檢、定位故障硬碟、取硬碟、更換硬碟，到為硬碟通電，全程由機器人自動化操作。阿里巴巴表示，全自動化流程大大提升了維修效率，且只需兩分鐘，即可更換完硬碟。<a href="<br /> https://www.youtube.com/watch?v=tToCyPAE6ug">（詳全文）</a></p> <p><strong>圖片來源／中華電信、遠傳電信、微軟、AWS </strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1. AWS商標遭中國軟體業者搶先註冊，中國法院一審判決亞馬遜不可在當地使用AWS標識</strong><a href=" https://www.wsj.com/articles/amazon-banned-from-using-aws-logo-in-china-trademark-ruling-11609841232">（詳全文）</a></p> <p><strong>2. Flexera調查：未來3年，全球逾7成SAM團隊將大幅提升對公有雲的關注度</strong><a href=" https://aws.amazon.com/about-aws/whats-new/2020/12/announcing-first-aws-wavelength-zone-in-south-korea/">（詳全文）</a></p> <p><strong>3. Google開源可用來管理API的目錄專案Registry API</strong><a href=" https://opensource.googleblog.com/2021/01/the-api-registry-api.html">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年1月</strong></p> </div></div></div>
2021/1/14 16:46作者黃郁芸https://www.ithome.com.tw/news/142239
微軟Linux版端點安全EDR功能正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/edr-for-linux-is-now-generally-available/ba-p/2048539" target="_blank">微軟本周宣佈Defender端點偵測及回應（Endpoint detection and response, EDR）功能，正式在Linux平臺推出。</a></p> <p>EDR是自動化蒐集及偵測Linux機器上的活動事件，分析攻擊手法及屬性，並幾近即時對管理員發出警告通知。這項功能已經推向Windows、macOS及Android與iOS 版本。至於Linux版，微軟是在2019年Ignite上首次展示，並分別於去年2月和6月<a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-endpoint/microsoft-defender-atp-for-linux-is-now-generally-available/ba-p/1482344" target="_blank">推出Microsoft Defender for Endpoint防毒軟體的公測版及正式版</a>。EDR功能則是去年11月才進入公測階段。</p> <p>完整Defender EDR for Linux需要較新版Linux發行版本，包括Red Hat Enterprise Linux (RHEL) 7.2+、CentOS Linux 7.2+、Ubuntu 16 LTS、SuSE Enterprise Server (SLES) 12+、Debian 9+及Oracle Linux 7.2等。</p> <p>微軟強調Linux版本的新功能和Windows、macOS版完全相同，提供豐富的調查工具，包括用戶建立流程、檔案、網路連線或登入時間的時間軸；進階搜捕功能可查詢30天內的資料來調查，並可分析惡意程式怎麼進入系統或進行活動。它也能調查檔案、流程、IP及通知之間的連結關係。</p> <p>企業用戶可以使用Puppet、Ansible或現有組態管理工具，來部署或設定Defender EDR for Linux。</p> </div></div></div>
2021/1/14 14:13作者林妍溱https://www.ithome.com.tw/news/142232
.NET 5強化多項網路功能，並開始提供HTTP/3實驗性支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 5在去年的時候正式發布，而直到現在微軟才詳細地揭露，他們對<a href="https://devblogs.microsoft.com/dotnet/net-5-new-networking-improvements/">.NET 5網路堆疊</a>所做的功能強化，獲得改善的網路功能範疇，包括HTTP、Sockets、網路相關安全性以及部分網路原語。</p> <p>在.NET 5中，HTTP開始擁有更好的錯誤處理能力，微軟提到，他們對HTTP領域進行了多項改進和修復，像是其中一個常被要求的功能，是在使用HttpClient的時候，希望能從取消的情況中區分逾時。</p> <p>微軟所做的改進包括讓開發者可以使用自定義CancellationToken，來區分逾時和取消，為了向後相容，客戶端仍會丟出TaskCanceledException訊息，但是內部的異常情況則是TimeoutException。另一個改進是在HttpRequestException中加入HTTP狀態代碼（HttpStatusCode），新的狀態代碼屬性可為空值，並在EnsureSuccessStatusCode被呼叫的時候進行設定，可以用在異常過濾器中。</p> <p>.NET 5的特色之一，便是提供一致的開發體驗，而這個想法也在網路相關的實作中貫徹，過去.NET Core中的HTTP堆疊，相依於平臺的處理程式（Handlers），像是WinHttpHandler以Windows的WinHTTP為基礎，而適用於Linux和Mac的CurlHandler，則是以libcurl為基礎，微軟提到，由於這兩個函式庫的差異，因此不可能對每個平臺維持一致性。</p> <p>所以微軟開始在.NET Core 2.1中，加入了一個稱為SocketsHttpHandler的HTTP實作，並且花費大量心力強化其功能與可靠性，並且從System.Net.Http.dll中，完全刪除相依於特定平臺的處理程式。在.NET 5中，微軟持續強化這樣的想法，拿掉讓開發者自由切換回舊方法的選項，不過開發者仍然可以透過下載獨立的NuGet套件，繼續使用WinHttpHandler。</p> <p>微軟提到，因為HttpClient是高階API，使用起來很方便，但是相對的，也就缺少一些靈活性。考量進階情境可能需要更靈活地使用方式，微軟在.NET 5中，對SocketsHttpHandler加入了兩個擴充功能點ConnectCallback和PlaintextStreamFilter，以強化其靈活性。</p> <p>ConnectCallback讓開發者可以創建自定義連接，當每次開啟新的TCP連接時，都會呼叫ConnectCallback函式，該回呼函式能夠被用來創建程序內傳輸、控制DNS解析，甚至是控制通用或是特定平臺的底層Socket選項。而另一個回呼函式PlaintextStreamFilter，則讓開發者可以在新開啟的連線上，插入自定義層，應用程式在完全建立連接之後，但在發送任何HTTP之前，會先觸發此回呼函式，開發者可以將其用於監聽安全連線中，發送的明文資料等應用。</p> <p>由於HTTP/3和其底層傳輸層QUIC，還在最後標準化階段，.NET 5使用開源QUIC協定跨平臺實作MsQuic，加入了對HTTP/3的實驗性支援，官方仍不建議將其用在正式產品中。QUIC是一種基於UDP的傳輸標準，比建立在TCP之上的連接，擁有更快的交握速度，還對單一連接中的多請求，提供更穩定的多路複用能力，也能對行動客戶端，在多重網路環境中，提供更平順的切換體驗。</p> <p>而.NET 5也彌補了.NET Core在遙測方面的弱點，過去要監控.NET Core應用程式並不方便，用戶只會收到冗長且不一致的日誌訊息，而且監聽這些訊息，還可能會對效能產生影響。.NET 5以EventSource為基礎，設計並且實作了一系列新的遙測事件和計數器，僅占用少量CPU資源，就可讓用戶良好地監控.NET 5應用程式。</p> <p>.NET的安全層，仰賴底層作業系統的功能，在以Linux為基礎的系統，微軟使用OpenSSL來支援TLS 1.3，而在Windows 10，TLS 1.3僅在1903版本後才可用，而且僅提供用作測試目的，因此過去的.NET Core版本，在Windows中並無法使用TLS 1.3，不過這個情況從Windows預覽版20170之後情況改變，TLS 1.3預設啟用，開發者可以透過新的Schannel API使用TLS 1.3。</p> </div></div></div>
2021/1/13 10:35作者李建興https://www.ithome.com.tw/news/142184
Linux核心開發者討論棄用一系列老舊CPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>重要Linux核心開發者，同時也是Arm核心樹共同維護者的Arnd Bergmann，於信件列表中<a href="https://lore.kernel.org/lkml/CAK8P3a2VW8T+yYUG1pn1yR-5eU4jJXe1+M_ot6DAvfr2KyXCzQ@mail.gmail.com/">提到</a>，在Linux 5.10成為長期支援版本核心之後，他檢視了Arm平臺，發現有部分CPU至少有5年甚至更久，沒有從維護者或是硬體使用者那獲得任何修補程式，經過Arnd Bergmann的調查與統計，他提出支援移除建議。</p> <p>Arnd Bergmann提到，刪除這些CPU基礎架構，能夠簡化系統對不再使用的裝置，所進行的驅動程式、標頭檔和Kconfig選項腳本搜尋工作。Arnd Bergmann建議刪除的平臺，包括asm9260、axxia、dove、prima2以及vt8500等。而對於那些雖然老舊，但是過去幾年依然還有在動作的Arm平臺，Arnd Bergmann傾向留下，包括clps711x、cns3xxx、ep93xx與mv78xx0等，但是當維護者同意，這些老舊Arm平臺就可能被棄用。</p> <p>部分非Arm平臺的CPU，也被列入移除候選名單，像是h8300、c6x、powerpc/chrp以及mips/jazz等，這些平臺也都很久沒有受到維護或是使用，但除非維護者提出特別的請求，否則Arnd Bergmann暫時不會調整這些平臺支援。除此之外，Arnd Bergmann還列出了一些非常老舊的CPU平臺，經調查這些平臺幾乎已經沒有用戶使用，包括80486SX/DX、MIPS R3000/TX39xx和PowerPC 601等，都可成為淘汰目標。</p> <p>在討論中，並沒有確定要移除哪些平臺的支援，不過，即便這些平臺在往後Linux平臺不再支援，Arnd Bergmann表示，那這些用戶還是可以繼續使用Linux 5.10或5.4穩定版本核心數年。不過，也有其他開發者持<a href="https://lore.kernel.org/lkml/[email protected]/">反對意見</a>，他們認為清理核心固然重要，但是最重要的是，必須要確保終端用戶能夠繼續穩定使用系統，他們認為，當程式沒有受到維護，並不代表沒有人使用了，或許僅是這些程式受到完全支援且可正常運作，並提到過去有類似事件，導致部分機器成為孤兒，存在的臭蟲無法被修復。</p> </div></div></div>
2021/1/12 10:55作者李建興https://www.ithome.com.tw/news/142151
Google更新Cloud Logging加入結尾紀錄功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其記錄檔服務Cloud Logging加入一個新工具，讓用戶將日誌檔案的內容，即時顯示在控制臺中，並且強化日誌搜尋功能，讓<a href="https://cloud.google.com/blog/products/management-tools/cloud-logging-gets-real-time-log-searching" target="_blank">結尾紀錄指令</a>可以搭配正規表示式等過濾器功能一起使用。目前Cloud Logging的結尾紀錄功能向所有使用者開放，以供預覽測試。</p> <p>Cloud Logging服務能在1分鐘內的時間，匯總來自Google雲端、本地端和其他雲端平臺的日誌，並且建立索引，使日誌可供搜尋，還可將日誌匯總到指標，或是掃描錯誤報告中的錯誤，方便用戶排除故障使用。</p> <p>新的結尾紀錄功能，是模仿Linux中tail -f指令的行為，能在控制臺中即時顯示所有日誌，不只如此，Google強化日誌檢視功能，讓用戶可以搭配使用Cloud Logging日誌查詢語言，執行全域搜尋、正規表示式或是字串比對，來即時找出想查看的日誌記錄。</p> <p>除了這項更新之外，官方還提到，雲端控制臺現在還可以將日誌串流到Logs Explorer，並且在控制臺直接控制串流、瀏覽與視覺化等日誌功能。</p> </div></div></div>
2021/1/11 11:31作者李建興https://www.ithome.com.tw/news/142133
【2021資安大預測】趨勢2：漏洞攻擊｜CVSS近滿分漏洞頻傳，企業難以招架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定漏洞攻擊的現象，曾在2018年就有數家資安廠商提出警告，指出利用已知漏洞的攻擊事件會日益氾濫。因為，對於駭客而言，這麼做可以省下自己找尋弱點的工夫。回顧2020年，我們看見有許多大型IT業者的系統，出現CVSS第3版風險層級接近滿分（10分）的漏洞，而這樣的情況有多嚴重？從美國國土安全部一年之內發出3次緊急指令（Emergency Directive），這種史無前例的現象，可以看出端倪。</p> <p>該單位於2020年發布的命令內容，有2個都與危險程度達滿分的漏洞有關，包含了DNS伺服器漏洞SIGRed<a href="https://www.ithome.com.tw/news/138831" target="_blank">（CVE-2020-1350）</a>，以及與AD權限擴張有關的Zerologon<a href="https://www.ithome.com.tw/news/140014" target="_blank">（CVE-2020-1472）</a>。這樣的態勢，也使得他們在2020年發出緊急指令數量，創下有史以來最多的一年。</p> <p><strong><span style="font-size:28px;">大型IT廠商網通與資安產品重大漏洞頻傳，已出現攻擊事件</span></strong></p> <p>除了上述的微軟Windows作業系統漏洞，還有許多企業會運用的網路設備，也在2020年被發現這種CVSS風險層級接近滿分的漏洞，這些包含了F5 BIG-IP設備的RCE漏洞<a href="https://www.ithome.com.tw/news/138576">CVE-2020-5902</a>、Palo Alto Networks防火牆作業系統（PAN-OS）<a href="https://www.ithome.com.tw/news/138526" target="_blank">漏洞CVE-2020-2021</a>，以及2019年底被發現、Citrix於2020年1月修補的<a href="https://www.ithome.com.tw/news/135512" target="_blank">CVE-2019-19781漏洞</a>等。而這些漏洞也出現被駭客濫用的案例，例如，<a href="https://www.ithome.com.tw/news/139500">2020年8月大型遊輪業者Carnival遭到勒索軟體攻擊</a>，就有資安業者點名該公司被入侵的管道，就是沒有修補CVE-2019-19781的Citrix網路設備。</p> <p>這種企業應用系統出現重大漏洞的情況，還有SAP Netweaver AS Java的<a href="https://www.ithome.com.tw/news/138851" target="_blank">CVE-2020-6287（RECON）</a>，以及出現在基礎架構自動化管理系統Salt的<a href="https://www.ithome.com.tw/news/141105" target="_blank">CVE-2020-16846與CVE-2020-25592</a>，還有HPE分別針對容器軟體Ezmeral、BlueData EPIC，以及儲存裝置3PAR StoreServ，修補CVSS風險評分接近10分的重大漏洞，也就是<a href="https://www.ithome.com.tw/news/140770" target="_blank">CVE-2020-7196與CVE-2020-7197</a>。</p> <p>而在工作站電腦的部分，Dell旗下的精簡型電腦產品線Wyse，存在容易遭到濫用的<a href="https://www.ithome.com.tw/news/141848">CVE-2020-29491與CVE-2020-29492</a>。提供端點防護的趨勢企業防毒OfficeScan、Apex One，也被揭露存在<a href="https://www.ithome.com.tw/news/136422" target="_blank">CVE-2020-8470、CVE-2020-8598，以及CVE-2020-8599</a>等滿分漏洞，甚至<a href="https://www.zdnet.com/article/trend-micro-antivirus-zero-day-used-in-mitsubishi-electric-hack/">ZDNet報導指出</a>，2019年日本重工業<a href="https://www.ithome.com.tw/news/135468">三菱電機遭駭</a>，駭客疑似就濫用該廠牌防毒軟體的部分重大漏洞而得逞。</p> <p>這種重大漏洞連接於2020年被揭露的現象，也遍及許多領域的解決方案，尤其是與遠距辦公有關的系統，更是受到關注。像是在VMware Workspace One數位工作平臺中，身分管理模組的漏洞<a href="https://www.ithome.com.tw/news/141292" target="_blank">CVE-2020-4006</a>，在公布一個月後，就傳出被用來發動攻擊的情況。</p> <p>再者，視訊會議系統和協作平臺也是漏洞頻傳，不只有因中國人創業與系統設計瑕疵接連引發各界關注的Zoom，還有思科的WebEx、Jabber，以及微軟Teams等，能夠藉著傳送惡意訊息發動攻擊的漏洞，也是時有所聞。</p> <p><strong><span style="font-size:28px;">開機程式與通訊協定漏洞影響層面甚廣，恐波及數億臺裝置</span></strong></p> <p>有些在2020年被發現的漏洞，不僅危害程度非常嚴重，同時影響範圍還擴及各式的系統。例如，開源開機程式Grub2存在的漏洞BootHole<a href="https://www.ithome.com.tw/news/139133" target="_blank">（CVE-2020-10713）</a>，影響所有執行安全開機的個人電腦、伺服器，以及物聯網裝置等，不僅各大版本Linux業者相繼修補，就連<a href="https://msrc.microsoft.com/update-guide/vulnerability/ADV200011">微軟也發出安全公告</a>，並提供安全開機DBX黑名單更新檔案。</p> <p>而這樣的情況，也出現在協定層面的漏洞，涉及的範圍同樣相當廣泛。資安研究人員在2020年揭露此種型態的漏洞，包含了存在於TCP/IP網路協定程式庫的<a href="https://www.ithome.com.tw/news/138395" target="_blank">Ripple20</a>，與4項TCP/IP堆疊元件有關的<a href="https://www.ithome.com.tw/news/141572" target="_blank">Amnesia:33</a>；而出現在網域名稱系統（DNS）的漏洞，包含了可被用於快取污染（Cache Poisoning）攻擊的<a href="https://www.ithome.com.tw/news/141096" target="_blank">SAD DNS</a>，以及查詢遞迴漏洞<a href="https://www.ithome.com.tw/news/137777" target="_blank">NXNSAttack</a>等，這種型態的漏洞發現，研究人員粗估影響10億臺裝置。</p> <p>不只是有線的網路通訊協定存在嚴重漏洞，無線通訊也存在類似的情況，例如，存在於Wi-Fi晶片的<a href="https://www.ithome.com.tw/tech/136619" target="_blank">Kr00k（CVE-2019-15126）</a>，還有出現在藍牙協定的<a href="https://www.ithome.com.tw/news/139917" target="_blank">BLURtooth（CVE-2020-15802</a>）、<a href="https://www.ithome.com.tw/news/135969" target="_blank">SweynTooth</a>等。由於此類漏洞牽涉範圍甚廣，需要許多廠商修補自家裝置才能緩解，後續引發的效應為何？在新的一年也相當值得觀察。</p> </div></div></div>
2021/1/11 10:14作者周峻佑https://www.ithome.com.tw/news/142112
一周大事：臺灣開放銀行第二階段起跑，讓電信產業也能正式跨足金融
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>臺灣正式邁向開放銀行第二階段</strong></span></p> <p>金管會在2020年最後一天宣布，臺灣開放銀行邁向第二階段「消費者資訊查詢」業務，主要開放內容包括申請金融帳戶等相關金融往來資訊。未來，消費者可在第三方服務提供者（TSP）的App，透過相關身分認證及授權同意程序後，即可在TSP業者的App查詢銀行存款帳戶餘額，以及交易明細等資訊。</p> <p>金管會首波同意了兩組合作模式，辦理開放銀行第二階段業務。其中一組的TSP業者為臺灣集中保管結算所，合作對象為華南銀行、元大銀行、中國信託銀行、兆豐銀行、第一銀行及國泰世華銀行等6家銀行。另一組的TSP業者則是遠傳電信，合作對象為遠東銀行。這二組TSP業者已完成上線前測試，待相關程序完備後，服務便能正式上線。<a href="https://www.ithome.com.tw/news/141991" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>合勤網路與資安設備含程式碼寫死漏洞，快更新韌體</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%90%88%E5%8B%A4CVE-2020-29583.png" style="width: 500px;" /></p> <p>荷蘭資安業者Eye Control在研究合勤防火牆裝置 Zyxel USG40時，於它的4.60韌體中發現了一個名為zyfwp的使用者帳號，以及一個無法修改（寫死）的明文密碼，還發現此一帳號同時適用於SSH與網頁介面。</p> <p>此一含有漏洞的韌體同時支援ATP、USG、USG FLEX與VPN系列的防火牆，以及NXC2500及NXC5500兩款AP控制器。</p> <p>在獲得Eye Control的通報之後，合勤於去年12月中陸續修補此一編號為CVE-2020-29583的安全漏洞。本文發布前已修補4個系列的防火牆產品，至於另外兩個AP控制器的修補程式，官方預計於1月8日提供。<a href="https://www.ithome.com.tw/news/142021" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>台灣大哥大Amazing A32手機遭植惡意程式，用戶恐淪詐騙人頭帳戶</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-%E5%8F%B0%E5%93%A5%E5%A4%A7amazing%2032.png" style="width: 500px;" /></p> <p>由台灣大哥大推出的一款自有品牌手機「Amazing A32」，在去年下半被刑事警察局發現，手機生產製程階段被暗中植入了惡意程式，使得詐騙集團可將用戶門號作為遊戲點數詐騙的人頭帳號，並且已有多位無辜民眾因此收到全臺地檢署通知單，案由為詐欺。這起事件，最近有了一些新的結果。<a href="https://www.ithome.com.tw/news/142100" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>食藥署研擬鬆綁AI智慧醫材軟體上市前驗證流程</strong></span></p> <p>配合即將上路的醫材新法，食藥署將研訂新指引和原則，來簡化智慧醫材產品上市前的驗證流程，並考慮讓符合特定情況者免提申請。食藥署也準備成立專案辦公室，來協助產業因應將上路的新法，快速推出產品，並推動醫療業與其他產業的跨域整合。<a href="https://www.ithome.com.tw/news/142045" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Linux之父呼籲製造商應重視記憶體ECC技術</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Linux%E4%B9%8B%E7%88%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_TFiR.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／TFiR</span></p> <p>近期Linus Torvald與資深程式設計師，討論AMD與英特爾多核心處理器的效能與價格時，提到了他對修正錯誤記憶體（Error-Correcting Code memory，ECC）的看法。Torvald認為ECC技術非常重要，能夠預防DRAM發生Rowhammer錯誤，但是英特爾的市場策略，幾乎扼殺了整個ECC產業。<a href="https://www.ithome.com.tw/news/142024" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>新版Rust開始對Arm Linux裝置提供一級支援</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Rust.png" style="width: 400px;" /></p> <p>Rust 1.49版本強化Arm平臺的支援，64位元Arm Linux進入第一級支援，64位元Arm macOS和Windows，則達到第二級支援。<a href="https://www.ithome.com.tw/news/142027" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Alphabet員工成立工會，抵制高層不當決策</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Google%E5%B7%A5%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Alphabet%20Workers%20Union.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源_ Alphabet Workers Union</span></p> <p>近年針對公司優待性騷擾員工的高階主管，以及簽署不道德的政府合約等事件提出抗爭後，Alphabet和Google員工正式籌組工會，以持續對公司不當政策提出糾正。<a href="https://www.ithome.com.tw/news/142038" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google實驗從IG、Tiktok搜影片的功能</strong></span></p> <p>Google悄悄實驗在搜尋服務中，加入從IG、Tiktok等外部短影片社交平臺爬影片的功能。這項功能和Android版Google Discover當中的Short Videos服務有關。<a href="https://www.ithome.com.tw/news/142004" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>COVID-19追蹤資料庫竟成新加坡警察犯罪調查工具</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_TraceTogether_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20GovTech%20of%20Singapore.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／GovTech of Singapore</span></p> <p>新加坡有高達8成民眾採用官方COVID-19追蹤程式TraceTogether，是全球COVID-19追蹤機制密度最高的國家之一。該國政府決定將TraceTogether蒐集到的民眾個資，提供警方進行犯罪調查。<a href="https://www.ithome.com.tw/news/142040" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google reCAPTCHA v2語音驗證又被破解了</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_reCAPTCHA%20v2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Nikolai%20Tschacher(1).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Nikolai Tschacher</span></p> <p>美國馬里蘭大學研究團隊在2019年釋出unCAPTCHA 2.0，以破解Google reCAPTCHA v2專供盲人使用的語音驗證，即便Google已著手修補，但近日一名電腦科學研究人員，則以unCAPTCHA 2.0為基礎，並利用Google的Speech-to-Text API，再度破解reCAPTCHA v2語音驗證，同時相信該開採程式也適用reCAPTCHA v3。<a href="https://www.ithome.com.tw/news/142041" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>阿聯酋區塊鏈新創發表第一個區塊鏈公證服務</strong></span></p> <p>由阿聯酋MBRIF新創基金扶植的JustChain，推出第一個區塊鏈公證平臺NotaryChain，以區塊鏈分散式帳本技術，對法律文件諸如授權書、結婚證書或是合約等，提供公證力。強調能從任何位置對數位檔案進行公證，以提高公證人作業效率，在以企業級區塊鏈平臺的基礎之上，具有防篡改特性。<a href="https://www.ithome.com.tw/news/142042" target="_blank">更多內容</a></p> </div></div></div>
2021/1/10 07:00未署名https://www.ithome.com.tw/news/142130
高效能WebAssembly Runtime開源專案Wasmer 1.0登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源WebAssembly Runtime專案<a href="https://medium.com/wasmer/wasmer-1-0-3f86ca18c043">Wasmer發布1.0版本</a>，這是一個講究效能，可讓WebAssembly超輕量容器在任何客戶端上執行的Runtime，包括桌面、雲端到物聯網裝置。Wasmer能以接近原生的速度，在沙盒環境執行WebAssembly，而可插拔的特性，能支援像是LLVM和Cranelift等不同的編譯框架，Wasmer也通過WebAssembly測試套件測試，支援WASI與Emscripten。</p> <p>官方表示，不只在瀏覽器中，WebAssembly（Wasm）會是未來軟體執行和容器化的關鍵元件。透過Wasm進行軟體容器化，可以讓二進位檔案在不需要修改的前提下，於Linux、macOS、Windows以及網頁瀏覽器等環境執行，並保護主機不受惡意程式碼、錯誤和臭蟲影響。Wasmer容器的特點之一，便是在Docker容器因過於笨重無法運作之處，執行容器化工作負載。</p> <p>在Wasmer 1.0中，官方特別強化了編譯效能，因為Wasmer使用的後端編譯器，皆可以平行編譯函式，所以Wasmer 1.0得以大幅提高編譯速度，比起舊版本Wasmer 0.17.1，Wasmer 1.0的編譯速度是舊版的9倍。Wasmer 0.17.1與Wasmer 1.0在不同編譯框架，編譯clang.wasm所花費的時間，可以明顯看出Wasmer的效能提升，以及高效的編譯速度表現。</p> <p>以編譯框架Singlepass來說，從原本Wasmer 0.17.1編譯需花費18秒，在Wasmer 1.0只剩2秒，而LLVM也從1,140秒加速到只需117秒，都是9倍速的編譯速度提升，還有Cranelift編譯時間也從27秒降至9秒，速度是之前的3倍。官方還提到，使用Wasmer CLI時，編譯僅會進行一次，藉由快取結果以最佳化未來執行。</p> <p>Wasmer的另一個特點，便是提供可插拔的基礎設施，能夠同時支援多種編譯器，1.0版本現在支援Singlepass、Cranelift以及LLVM，根據用戶需求，用於區塊鏈可以選擇Singlepass，而開發時可以使用Cranelift，需要擁有最佳效能的生產階段，可以使用LLVM。</p> <p>而除了編譯器，Wasmer還支援了可插拔引擎，Wasm引擎是一個抽象層，可以決定編譯器管理組譯程式碼的方法，執行像是載入以及序列化等工作。Wasmer 1.0現在支援JIT引擎，能夠將產生的程式碼，直接推送到記憶體中，且還支援原生引擎，能夠產生可作為共享物件載入的原生程式碼。</p> <p>在邊緣運算上，Wasmer 1.0也改進了過去支援物聯網應用的方式，之前用戶在部署Wasm應用程式時，需要連同Wasmer以及編譯器，都一起放到物聯網裝置上，而從Wasmer 1.0開始提供無頭（Headless）版本，透過支援AOT（Ahead Of Time）編譯，用戶可以僅執行大小只有數百KB的無頭Wasmer，並在任何裝置上執行預編譯的Wasm二進位檔案。</p> <p>官方要讓沒有進階WebAssembly知識的開發者，也能輕鬆的使用Wasmer，因此設計易於使用的API，在Wasmer 1.0，官方以標準Wasm-C-API為基礎，進一步改進API，使其結構更相似通用API，並且具有彈性。官方提到，隨著WebAssembly生態系成熟，社群逐漸統一與WebAssembly互動的API，由於Wasmer在早期版本，先建構類似功能的Wasmer-C-API，但隨著通用API的出現，他們建議用戶切換使用標準Wasm-C-API。</p> <p>另外，Wasmer也跟上支援Apple Silicon的浪潮，Wasmer 1.0開始支援由Apple以ARM為基礎，自行設計的晶片Apple Silicon，而Wasmer成為第一個非直譯伺服器端WebAssembly虛擬機器，支援在Apple Silicon上執行Wasm。</p> </div></div></div>
2021/1/8 11:30作者李建興https://www.ithome.com.tw/news/142102
Zend Framework 3.0含有遠端程式執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員<a href="https://github.com/Ling-Yizhou/zendframework3-/blob/main/zend%20framework3%20%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%20rce.md" target="_blank">Ling-Yizhou本周揭露了一個存在於Zend Framework 3.0的安全漏洞</a>，該編號為<a href="https://vuldb.com/?id.167231" target="_blank">CVE-2021-3007的漏洞</a>屬於反序列化漏洞，可造成權限擴張並允許駭客自遠端執行程式，而讓採用該框架的PHP應用程式受駭。</p> <p>Zend Framework為一開源的物件導向Web應用程式框架，被用來打造各種基於PHP的電子商務平臺、內容管理平臺、健康照護系統、娛樂平臺與傳訊服務等，在2016年釋出支援PHP 7的Zend Framework 3.0，於2019年移至Linux基金會代管的Laminas專案。</p> <p>此一編號為CVE-2021-3007的漏洞涉及Stream.php檔案中的_destruct函數，成功的開採要求簡單的認證，它除了波及Zend Framework 3.0之外，也有部分Laminas實例受到影響。</p> </div></div></div>
2021/1/6 11:23作者陳曉莉https://www.ithome.com.tw/news/142052
Rust 1.49對64位元ARM Linux裝置提供第一級支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust開發團隊趕在2020年最後一天，發布了最新的Rust更新<a href="https://blog.rust-lang.org/2020/12/31/Rust-1.49.0.html">1.49版本</a>，這個版本主要更新重點在於強化Arm平臺的支援。現在64位元ARM Linux進入第一級（Tier 1）支援，64位元ARMmacOS和Windows則達到第二級（Tier 2）支援。</p> <p>Rust編譯器支援各種的目標平臺，但目前Rust開發團隊仍無法對所有平臺提供相同等級的支援，而為了清楚標記每個平臺的支援程度，Rust使用分層系統，來區分支援的程度。第三級（Tier 3）表示編譯器基本上支援該平臺，但是Rust開發團隊不會檢查程式碼建置，以及通過測試與否，而且也不會在發行版中，提供任何預建置的二進位檔案。</p> <p>而受第二級支援的平臺，官方則會提供預建置的二進位檔案，但是不會在這些目標上執行測試套件，因此產生的二進位檔案可能無法作用，或是存在錯誤；第一級支援提供最高程度的支援保證，官方會在這些目標，對合併進編譯器的每一個更改執行完整的測試，同時也會提供預建置的二進位檔案。</p> <p>在Rust 1.49中，aarch64-unknown-linux-gnu目標被升級成為第一級支援，提供64位元ARM裝置Linux用戶，更穩定與更高的品質保證，官方提到，這是Rust的重要歷程碑，因為Rust首次對非x86目標提供第一級支援。不過，Android不受此變更影響，因為其使用另外的第2級平臺。</p> <p>另外，新版Rust還對64位ARM macOS和Windows提供第二級支援，aarch64-apple-darwin目標開始支援Apple M1系統，而aarch64-pc-windows-msvc目標也對執行Windows on ARM的64位元ARM裝置，帶來Rust的第二級支援。官方強調，這兩個目標可從rustup安裝預建置二進位檔案，但是Rust團隊不會在這些平臺上測試套件，因此仍可能存在錯誤。</p> </div></div></div>
2021/1/5 09:00作者李建興https://www.ithome.com.tw/news/142027
KDE將在2021迎來Plasma Wayland並改善指紋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發社群KDE在2021年第一天，發布了<a href="https://pointieststick.com/2021/01/01/kde-roadmap-for-2021/">2021年的未來展望</a>，包括2020年來不及完成的工作，以及數個重要的新功能，KDE開發人員Nate Graham提到，他們預計要在2021年，讓Plasma Wayland達到可用於生產的階段。</p> <p>Plasma為KDE開發的圖形介面殼層，是許多Linux發布版本預設桌面環境，KDE想要在Plasma上實作Wayland協定，而這項工作在之前一片混亂，但是從2020開始，逐漸步上軌道，可用性與穩定性皆逐漸提高，Nate Graham表示，順著這個趨勢繼續發展，Plasma Wayland對話（Plasma Wayland Session）將會在2021年達到可用於生產的階段。</p> <p>除了Plasma Wayland開發工作之外，另一大重點則是對於指紋的支援，為了要在Plasma中提供指紋功能，KDE開發人員新增指紋管理器，並改善整個堆疊對於指紋功能的支援，確保在簡單顯示管理器（SDDM）登入、鎖定螢幕、KAuth以及Polkit等正確運作，Nate Graham同樣預計會在2021年實作完成指紋功能。</p> <p>另外，2021年還會完成Breeze Evolution主題，其中一半已經合併到Plasma 5.21版本中，剩下的將會在5.22或是5.23版本陸續合併，待Breeze Evolution主題完全加入Plasma，應用程式呈現將會更加現代化。替換應用程式啟動器Kickoff的計畫，在2020年如火如荼的進行，目前已經完成，預計將會合併到Plasma 5.21中。</p> <p>Nate Graham提到，KDE接下來的發展策略，會與更多的硬體廠商發展夥伴關係，並且更緊密地與各Linux發布版進行協作，也會努力發展自家發布版KDE Neon。</p> </div></div></div>
2021/1/5 09:30作者李建興https://www.ithome.com.tw/news/142034
Linus Torvald認為ECC技術很重要，可防止因Rowhammer造成的核心崩潰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux之父Linus Torvald在2021年1月1日，在一串以Ryzen 9 5000系列處理器為題的<a href="https://www.realworldtech.com/forum/?threadid=198497&curpostid=198647">討論串</a>，提到他自己對修正錯誤記憶體（Error-Correcting Code memory，ECC）的看法，認為英特爾的定價和市場切分策略，影響了ECC記憶體的普及程度，而AMD對於非官方ECC記憶體的支援，對於ECC在市場普及程度有正向貢獻。</p> <p>Linus Torvald與芬蘭遊戲公司資深程式設計師Jukka Larja，在論壇中討論AMD與英特爾多核心處理器的效能與價格。Linus Torvald提到，由於英特爾的Xeon CPU的定價模型，用戶如果要獲得2倍的運算效能，基本上要付出5倍的價格，因此他自己在個人工作站，都僅使用英特爾的消費型CPU，而使用AMD的Ryzen Threadrippers，即便需要花更多的錢購買主機板和散熱元件，但仍可以讓用戶幾乎以2倍價格，買到2倍的運算效能，也就是說，用戶的花費可以獲得對等的運算效能。</p> <p>Linus Torvald表示，Threadripper還提供ECC功能，他補充說明，過去英特爾毫無疑問的是高核心數CPU的領導廠商，他也對英特爾的消費型產品很滿意，除了定價策略之外，唯獨不認同的就是英特爾對ECC的態度。</p> <p>Jukka Larja同意了Linus Torvald大部分的說法，他自己不只在個人桌上型電腦使用AMD，在工作上，他們也使用Ryzen 9系列以及Threadrippers，同意AMD目前擁有優秀的產品線，但認為AMD非官方支援的ECC並不重要。</p> <p>為此，Linus Torvald以長篇幅的文章，回應Jukka Larja「ECC絕對重要」，他認為ECC的可用與否非常重要，但是因為英特爾的市場切分策略，幾乎扼殺了整個ECC產業。以主機板來說，市場上大部分仍是非ECC的型號，僅有少數支援ECC，但是價格又太過高昂。</p> <p>Linus Torvald也提到，現在要找到ECC雙列直插式記憶體模組（DIMM）並不容易，而由於AMD，這個情況開始有所改善。ECC能夠預防Rowhammer錯誤，Linus Torvald表示，現在連儲存裝置製造商內部都開始進行ECC，因為他們認為有其必要性。Rowhammer是DRAM中會發生的一種意外情況，會導致儲存器單元洩漏電荷，導致位元翻轉，而這是因為現在高密度DRAM單元所造成，可採用ECC技術來防止這問題發生。</p> <p>反對ECC的意見，通常是經濟性與功耗問題，Linus Torvald不認為這是真正的理由，Rowhammer問題已經存在已久，而硬體製造商仍然宣稱Rowhammer的發生是因為攻擊造成，而非偷工減料，他表示，雖然製造商沒有說實話，消費者永遠不會知道，非攻擊性所造成的位元翻轉次數發生頻率，但他斬釘截鐵認為，Rowhammer問題一定會發生，事實不如製造商對外宣稱，現代DRAM夠可靠，不需要ECC的說法。</p> <p>Linus Torvald提到，數十年來，不停地發生無法解釋奇怪的隨機核心錯誤，而這些錯誤的成因，皆指向糟糕的記憶體，這不僅是一個位元翻轉的問題，而是可能造成核心崩潰。他氣憤的認為英特爾是主要廠商，卻是導致ECC市場崩潰的原因，雖然AMD非官方支援ECC，但是卻允許市場開始修復這些問題。</p> </div></div></div>
2021/1/4 16:40作者李建興https://www.ithome.com.tw/news/142024
以Go語言撰寫的新蠕蟲鎖定Windows與Linux系統散布挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intezer.com/blog/research/new-golang-worm-drops-xmrig-miner-on-servers/" target="_blank">資安業者Intezer上周揭露了一個以Go語言撰寫的新蠕蟲</a>，同時針對Windows與Linux系統展開攻擊，並植入挖礦程式，同時Intezer也警告，2021年將持續看到鎖定不同平臺的Go惡意程式趨勢。</p> <p>Go為Google所設計的靜態、經編譯的程式語言，由於它的官網為Golang.org，因此也經常被稱為Golang語言。<a href="https://www.intezer.com/blog/cloud-security/top-linux-cloud-threats-of-2020/" target="_blank">Intezer說</a>，Go語言對於開發同時鎖定不同作業系統的惡意程式非常有效，且它的檔案是與執行時期程式碼一同編譯，比原生檔案還大上許多，使得防毒軟體難以分析而能躲避偵測。</p> <p>Intezer在去年12月初發現了新的Go蠕蟲，它的組成份子包括一個用來植入惡意程式的滴管（Dropper）腳本程式、一個以Go撰寫的蠕蟲，以及用來開採門羅幣的挖礦程式XMRig Miner。它鎖定那些採用脆弱密碼且存在於公開網路上的服務，包括MySQL、Tomcat、Jenkins與WebLogic等，並以暴力破解這些服務的密碼，再植入XMRig Miner，以這些被危害的Windows與Linux系統來替駭客挖礦。</p> <p>此外，駭客透過於遠端設立的控制暨命令（C&C）伺服器來控制與更新該蠕蟲，且紀錄顯示駭客之前所打造的舊版蠕蟲，亦試圖開採存在於WebLogic的CVE-2020-14882漏洞，透露出駭客持續改善其能力。</p> <p>防範憑證遭到暴力破解服務的標準程序，包括使用強密碼、限制登入錯誤次數，以及採用雙因素認證，也應減少組織所使用的公開服務，定期更新軟體，以及部署雲端工作負載保護平臺等。</p> </div></div></div>
2021/1/4 14:00作者陳曉莉https://www.ithome.com.tw/news/142020
2021加速轉型9大趨勢（三）K8s終於通吃跨雲落地各平臺，將成IT現代化主流標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>終於，雲端龍頭AWS也落地，搶進企業商用K8s軟體市場了，這一步也讓K8s成了可以通吃主流公私雲的唯一基礎架構平臺。</p> <p>AWS在2020年底年度大會上發布了兩項重量級產品ECS Anywhere和EKS Anywhere。前者是雲端容器代管平臺的本地端代理軟體，可以讓雲端ECS服務，也能統一管理和調度企業機房內部伺服器上的容器運算工作，算是雲端容器服務向下的延伸。但後者EKS Anywhere，則是一款徹徹底底的商業軟體產品，可以獨立安裝、部署在企業機房內的伺服器上，完全不需要連線到AWS也能獨立運作。AWS變成了企業基礎架構軟體商，踩進了微軟、紅帽擅長的企業軟體市場。</p> <p>回顧2年前，各公雲業者紛紛推出K8s雲端代管服務，可以讓企業上雲部署K8s應用，這也讓企業應用打包成K8s應用之後，更容易自動部署到不同公雲環境中來提供服務，等於打通了多雲之間的壁壘。到了2019年，更進一步吹起了混合雲互通的浪潮，不少業者陸續在2019年推出了以K8s為核心的混合雲產品。當年4月，Google先登場，推出混合雲平臺Anthos，可以雲端GKE服務上或機房內的GKE On-Prem上部署K8s應用。下半年，IBM推出了雲端原生軟體包IBM Cloud Paks，以紅帽OpenShift為基礎，打包IBM服務來落地。為搶攻混合雲需求，IBM後來甚至大砸340億美元買下紅帽，將可以混合公私雲的OpenShift平臺軟體變成自家產品。</p> <p>VMware也從2019年8月底大動作宣布，全面擁抱K8s，先推出可以管理各種K8s環境的新產品線Tanzu，還預告會用K8s重新改造vSphere。</p> <p>到了2019年底，早就在混合雲市場布局的微軟，推出了新款混合雲解決方案Azure Arc，同樣用K8s打造而成，可用來管理各處的K8s叢集，還可以支援邊緣運算環境。四大公雲，只剩下雲端龍頭AWS，沒有推出K8s混合雲產品。</p> <p>在K8s落地部署環境上，除了紅帽和VMware之外，原本力推OpenStack的Mirantis，在2019年底買下Docker公司的Docker企業版業務和產品，後來更名為Mirantis Kubernetes Engine也來卡位。</p> <p>2020年上半，深度整合了K8s的新版vSphere終於正式推出，原生就可以支援K8s的API，能夠通吃虛擬機器和容器型態的工作負載，甚至，企業可以把vSphere轉為K8s容器平臺。企業慣用的虛擬化架構，更容易和容器架構共用同一套管理機制。</p> <p>儘管疫情打亂了所有人的步調，延緩了K8s版本發布時程，但IT廠商競逐K8s市場的腳步沒有慢下來，甚至，K8s的戰場，從公雲、私雲、混合雲，現在還進一步延伸到邊緣運算裝置上。</p> <p>企業級Linux業者SUSE在2020年7月，宣布買下另一家容器管理平臺Rancher Labs，就是看上了他們所打造給邊緣裝置專用的輕量級K8s軟體K3s。早一步支援K8s邊緣部署的微軟，則在9月一口氣推出了3款Azure Stack邊緣運算整合應用設備，可在不同型態邊緣設備中部署K8s。紅帽OpenShift在2020年12月初也宣布支援3節點叢集，要搶攻邊緣架構的部署需求。</p> <p>年終AWS的兩項重量級產品ECS Anywhere和EKS Anywhere，更是確定了K8s加上容器技術，是唯一可以跨主流公雲、混合雲、跨主流私雲，甚至是邊緣裝置的應用程式運算環境。這正是這兩年許多企業發展數位轉型，開始推動老舊AP現代化，或是擁抱雲端原生應用的現代化IT技術時，都同步擁抱K8s的緣故。臺灣已有少數大型企業，開始從虛擬化平臺，轉為擁抱K8s平臺，金控、銀行、高科技製造業都有。甚至如國泰金控、玉山銀行，大力擁抱微服務架構，就是看上容器化應用可以彈性擴充，容易大規模部署的能力。2021年，可以通吃上雲落地的K8s，勢必成為更多企業推動IT現代化的主流，也是唯一的選擇。</p> </div></div></div>
2021/1/3 07:00作者王宏仁https://www.ithome.com.tw/news/141975
【儲存陣列：Dell EMC PowerStore】堪稱新世代儲存陣列標竿，可同時跨足伺服器虛擬化與超融合應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_emc_powerstore_zhu_tu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新推出的PowerStore，可說是Dell EMC近年來最具創新的一款儲存陣列產品，引進了兩項業界首見的嶄新特性，包括全Container化系統軟體核心架構，以儲存硬體執行虛擬化應用程式的AppON架構，另外也支援當前流行的新一代儲存媒體技術與I/O介面，包括儲存級記憶體、NVMe、32Gb FC與25GbE等，並同時兼具Scale-Up與Scale-Out兩種擴充能力，代表了未來儲存陣列新的發展方向。</p> <p><span style="font-size:28px;"><strong>「高階化」的中階儲存陣列</strong></span></p> <p>PowerStore的產品定位，與以往的Dell EMC產品有所不同，並非直接對應、或用於接替既有的某一個產品線，而是介於既有的高階與中階儲存陣列產品之間，可以視為是一款「高階化」的中階儲存陣列。</p> <p>PowerStore的效能規格，明顯超過以往的中階儲存陣列，接近高階儲存陣列的入門門檻，但並不具備高階產品的擴展性，形成了介於高階與中階的新定位，也填補了以往高階與中階儲存陣列之間的產品間隙，提供了效能接近高階，價格則接近中階的產品特性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20EMC_PowerStore%20_400.png" style="width: 400px;" /></p> <p><span style="color:#696969;"><strong>Dell EMC新推出PowerStore系列，是兼具高階產品特性的新世代中階儲存陣列，從部署形態到系統核心，都引進了創新的架構</strong></span>。</p> <p><span style="font-size:28px;"><strong>兩大創新架構</strong></span></p> <p>常見的儲存陣列產品改款或推出新產品，大多是在既有產品的基礎上，升級硬體規格、更新系統核心軟體的「漸進式」路線，而PowerStore則是近年來少有的「躍進式」更新，在最基本的產品組態與系統核心軟體架構兩方面，都提供了完全不同於以往儲存陣列產品的嶄新型態。</p> <p>在產品組態方面，PowerStore有T與X兩個系列，硬體規格相同，但以完全不同的方式，來部署系統核心軟體。</p> <p>T系列為傳統儲存陣列模式，系統核心的PowerStoreOS軟體，直接以裸機的形式，部署在儲存陣列上運行。X系列則是透過ESXi虛擬化平臺的中介，將PowerStoreOS以VM形式在儲存陣列上運行，而儲存陣列也允許透過ESXi虛擬化平臺的中介，運行用戶端的應用程式，這便是Dell聲稱的AppON架構——在ESXi虛擬化平臺的中介下，PowerStore儲存陣列硬體，不僅可以運行自身的PowerStoreOS儲存系統，也能用於用戶端的應用程式。</p> <p>而在系統核心軟體的執行架構方面，PowerStore核心所採用的PowerStoreOS儲存作業系統，則全面改以Container來運行所有服務，在企業儲存業界當中，可說是第一款「全Container化」的儲存核心作業系統架構，藉此得到創新的系統架構與功能調整、升級的靈活性。</p> <p><span style="font-size:28px;"><strong>突破以往產品窠臼的4項新功能</strong></span></p> <p>除了「AppON應用模式」與「全Container化系統核心」等這兩項根本性的創新外，PowerStore還有著3項有別於以往Dell EMC儲存陣列產品的新特性。</p> <p>首先，是兼具Scale-Up與Scale-Out兩種擴充形式。以往，Dell EMC只有少數產品線，才具備Scale-Out擴充能力。主流的入門級與中階陣列產品，全都是雙控制器與Scale-Up擴充架構，也因此制約了擴展靈活性。一直到了PowerStore，才終於兼具Scale-Up與Scale-Out擴充，既可透過SAS埠外接擴充櫃擴展容量，也能結合最多4套雙控制器的系統，組成一共8組控制器的叢集。</p> <p>其次，是全面支援NVMe與儲存級記憶體（SCM）等新一代儲存媒體與I/O介面。先前Dell EMC只有最高階的PowerMax系列，才支援NVMe與SCM，中階的Unity XT則只有備妥NVMe SSD支援，但仍沒有SCM。而到了現在，PowerStore則透過支援NVMe與SCM，讓這兩項新技術的應用，擴展到Dell EMC高階產品以外。</p> <p>第三，藉由引進專用加速硬體晶片，提供無損效能的資料縮減技術應用。過去，Dell EMC只在最高階的VMAX與PowerMax系列，才提供用於壓縮與重複資料刪除的硬體加速模組。到了現在，他們新推出的PowerStore，也在控制器裡面，嵌入了專門支援壓縮與重複資料刪除運算的晶片，從而更充分具備啟用資料縮減的能力，而無需擔心影響I/O效能的特性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色1 高階化的中階儲存陣列</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B21-1.jpg" style="width: 300px;" /></p> <p>與過去的Dell EMC產品不同，PowerStore創造了一個新的「高階化」中階儲存陣列位階。</p> <p>PowerStore與硬體規格，明顯超出了以往的中階產品線，舉例來說，PowerStore的控制器核心擁，有32～112核處理器，與384GB～2.5TB快取記憶體的配置；相較下，前一年推出的新款中階儲存陣列產品Unity XT，即使是最高機型，也只有64核處理器與768GB記憶體。憑藉系統核心規格的強化，也帶來了巨大的效能提升。</p> <p>在以往的Dell EMC儲存陣列產品線中，從中階的SC系列、Unity與Unity XT系列，到高階的PowerMax系列之間，存在較大的效能落差，效能規格從數十萬IOPS，一下子便跳到近200萬IOPS至上千萬IOPS等級。</p> <p>而新推出的PowerStore，Dell EMC聲稱，其IOPS效能比Unity XT提高7倍，延遲則只有1/3，而這樣的效能表現，事實上，已經相當於PowerMax高階儲存陣列的入門款式。填補了以往PowerMax高階儲存陣列與Unity XT中階儲存陣列之間的產品間隙，按原廠的說法，PowerStore是「高階企業儲存」，但「價格接近中階產品」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B21-2.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色2 兼具Scale-Up與Scale-Out雙向擴充能力</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20EMC_PowerStore%20_%E4%B8%BB%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>PowerStore T系列的基本雙控制器單元，都能外接儲存櫃擴充容量，也能結合4組雙控制器系統，組成一個含有8組控制器的叢集，同步擴展效能與容量。</strong>圖片來源／Dell EMC</span></p> <p>對於近10年來新發展的新一代儲存陣列平臺來說，基於叢集架構的Scale-Out擴充能力，可說是這類產品的基本水平規格之一。但是，對於Dell EMC的儲存陣列產品線而言，以往只有VMAX、PowerMax等高階陣列產品線，或是併透過併購取得、針對特定應用領域的PS、XtremIO、Isilon等產品線，才擁有Scale-Out擴充能力。</p> <p>至於作為主力的入門級與中階儲存陣列，受到以往的漸進發展路線所限，一直都是沿用傳統的雙控制器，以及Scale-Up擴充架構，也因此制約了擴展靈活性。</p> <p>一直到了新的PowerStore系列，才藉由全新開發的架構，兼具了Scale-Up與Scale-Out擴充能力，既可透過SAS埠外接擴充櫃擴展容量，也能結合最多4套雙控制器的PowerStore系統，組成一共8組控制器的叢集。</p> <p>而藉由支援Scale-Out擴充能力，也能一定程度地彌補PowerStore，過網在雙控組態下，最多只能支援96臺磁碟的問題，而當結合4套雙控單元後，最大磁碟數量也增加到384臺。</p> <p>不過，要特別注意的是，目前在PowerStore裡面，只有T系列支援Scale-Out擴充，用戶可將1000、3000、5000等不同款式的PowerStore，混搭在同一個叢集架構之中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色3 支援最新儲存媒體與I/O介面</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-1.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">｜Base機箱正面｜</span></strong><strong><span style="color:#696969;">2U/25Bay規格的Base機箱，可安裝NVMe介面的SCM、SSD與NVRAM模組。最右邊4個磁碟槽是NVRAM模組專用，其餘21個磁碟槽則用於安裝SCM或SSD模組，不過SCM不能與SSD混搭，用戶能選擇SCM+NVRAM或SSD+NVRAM的組態。</span></strong><strong><span style="color:#696969;">其中NVRAM模組是用於提供寫入快取功能，比起配置於主機板上的NVRAM，這種設於機箱正面的NVRAM，可提供較佳的維護便利性。</span></strong></p> <p>繼高階的PowerMax系列後，PowerStore也跟上了支援新一代儲存媒體與I/O技術的潮流。首先，PowerStore成為Dell EMC第2個支援儲存級記憶體（SCM），即Intel雙埠Optane SSD的產品。</p> <p>另外，PowerStore也全面支援新世代I/O介面，前端介面提供25GbE、32Gb FC等新規格，後端介面則採用混合配置，引進NVMe介面，但也保留SAS介面，藉此兼顧效能與擴充能力。</p> <p>PowerStore含有控制器的Base機箱，採用的是NVMe介面的磁碟槽，另設有SAS埠，可以外接SAS介面的擴充儲存櫃，而擴充磁碟櫃的磁碟槽，也是採用SAS介面，至於在控制器核心方面，則和早一年推出的Unity XT一樣，都是採用Intel Skylake架構的處理器，但規格高了一階，時脈與核心數都更高、更多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>｜I/O埠配置｜每臺Base機箱含有2組控制器，每組控制器都含有2個選購的I/O模組槽</strong></span><span style="color:#B22222;"><strong>（1）</strong></span><span style="color:#696969;"><strong>，以及1組預設的嵌入式模組</strong></span><span style="color:#B22222;"><strong>（2）</strong></span><span style="color:#696969;"><strong> ，而嵌入式模組則含有1張4埠Mezzanine卡</strong></span><span style="color:#B22222;"><strong>（3）</strong></span><span style="color:#696969;"><strong>，2組用於外接擴充櫃的SAS埠</strong></span><span style="color:#B22222;"><strong>（4）</strong></span><span style="color:#696969;"><strong>，以及2組服務與管理用的RJ45埠</strong></span><span style="color:#B22222;"><strong>（5）</strong></span><span style="color:#696969;"><strong>。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-4(1).png" style="width: 600px;" /></strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-5.png" style="width: 582px;" /></strong></span></p> <p><span style="color:#696969;"><strong>｜多樣化的I/O介面選擇｜PowerStore可透過安裝在嵌入式模組上的Mezzanine卡，以及直接連接控制器的I/O模組，來構成不同的前端I/O介面組合。Mezzanine卡有4埠10GbE與4埠25GbE兩種版本，I/O模組則有4埠32Gb FC、4埠10GbE與4埠25GbE等3種。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B23-6.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>PowerStore的控制器核心，採用的是Intel Skylake平臺的Xeon處理器，每組控制器含2個處理器插槽，以及24組記憶體DIMM插槽，開機與備援用的M.2模組設於DIMM模組中央，備援電池單元（BBU）則位於中央風扇前端。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色4 嶄新的部署模式</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20EMC_PowerStore%20_%E4%B8%BB%E5%9C%969.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>｜獨特的「超融合」部署與應用模式｜PowerStore X系列的控制器可以透過內含的ESXi虛擬化平臺，以VM方式同時運行PowerStoreOS儲存作業系統，與用戶的前端應用程式，而目前Dell EMC將這種應用架構稱作AppsON。</strong>圖片來源／Dell EMC</span></p> <p>系統部署模式的變革，是PowerStore有別於其他儲存陣列產品的最大特色之一。目前PowerStore提供了4種部署模式：</p> <p>第1種，是PowerStore T系列的傳統陣列式部署，將PowerStoreOS系統軟體裸機安裝於PowerStore控制器硬體上運行。</p> <p>第2種，是PowerStore的X系列提供的超融合式部署，在PowerStore控制器硬體上運行ESXi虛擬化平臺，將PowerStoreOS以VM形式在ESXi上運行，同時也能將應前端用程式的VM，放到PowerStore的ESXi上執行，構成原廠稱作AppsON的應用模式，限制是這個模式下只能提供區塊務。</p> <p>第3種，是將PowerStore設備整合到PowerOne融合式基礎架構套件中。</p> <p>第4種，是軟體定義式，PowerStoreOS系統軟體安裝到通用伺服器上運行。</p> <p>最特別的是，上述第2種AppsON超融合式部署模式，可看作是「顛倒的軟體定義儲存」。原本的軟體定義儲存，是讓通用伺服器扮演儲存陣列角色，而PowerStore的AppON模式，則是讓儲存陣列硬體扮演通用伺服器的角色，應用方式恰好顛倒。</p> <p>透過AppsON模式，用戶可以將把前端應用程式VM，放到PowerStore X系列的硬體上運行，讓PowerStore設備同時執行儲存+伺服器虛擬化的雙重角色，也能把PowerStore設備資源，融入用戶的ESXi虛擬化環境。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色5 全Container化的系統軟體核心架構</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20EMC_PowerStore%20_%E4%B8%BB%E5%9C%9610.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Dell EMC</span></p> <p>過去10年來，Dell EMC的儲存陣列系統軟體核心架構，歷經了從虛擬化走向Container化的過程。</p> <p>2011年推出的VNXe，開創了儲存陣列軟體核心虛擬化的先河，在Linux-based系統軟體上，部署了分別提供區塊與檔案服務的VM式控制器，從而達到了以單一實體控制器，融合SAN與NAS兩種服務的目的，不再需要兩種實體控制器。</p> <p>2014年推出的VMAX，則以VM形式的eNAS控制器來提供NAS應用，所以，同樣也不需要額外的實體NAS控制器。2016年發表的Unity則更進一步，以更輕量的Container來運行NAS服務。</p> <p>而到了最新的PowerStore，位居系統核心的PowerStoreOS，則以更大量的Container來運行所有服務，屬於「全Container化」的儲存核心OS架構，所有儲存服務，都分別封裝成Container形式，然後運行於底層平臺上，因此，PowerStore能以單一控制器同時運行不同儲存服務之餘，還能得到更多系統升級與功能更新的靈活性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特色6 提供無損效能的資料縮減</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell_EMC_PowerStore-%E7%89%B9%E8%89%B26.jpg" style="width: 285px;" /></p> <p>圖片來源／Dell EMC</p> <p>壓縮與重複資料刪除等資料縮減功能，是當前採用全快閃組態的儲存設備，不可或缺的資料服務功能之一，但是啟用資料縮減功能後，相關的運算處理往往會損耗多達30%～40%，甚至更高比重的儲存控制器I/O效能。</p> <p>利用專門的加速晶片，來處理資料縮減運算，是克服資料縮減功能影響儲存陣列整體效能的有效辦法，但大多只有高階儲存陣列產品，才得以擁有這種加速硬體的配置，以Dell EMC產品線來說，以往就只有最高階的VMAX與PowerMax系列，才有這種配備。</p> <p>現在PowerStore也引進了專用硬體晶片，每組PowerStore的控制器主機板上，都搭載了1顆Intel含有QAT（QuickAssist Technology）功能的LBG晶片，可以卸載壓縮等資料縮減運算，從而提供了不會損及I/O效能的資料縮減應用，可以保證4：1的資料縮減率，同時在啟用壓縮與重複資料刪除時，也不會影響到效能輸出表現。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產品資訊 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>Dell EMC PowerStore</strong></span></p> <p>●原廠：Dell EMC</p> <p>●建議售價：廠商未提供</p> <p>●機箱型式：Base機箱2U, 擴充磁碟櫃2U</p> <p>●儲存容量：雙控組態最大擴充96臺磁碟, 原生容量898.56TB, Scale-Out最大擴充384臺磁碟（4節點8控制器叢集組態）</p> <p>●主機端介面：32Gb FC, 10/25GbE（iSCSI或NAS）</p> <p>●後端儲存介面：NVMe+12Gb SAS</p> <p><span style="color:#696969;"><strong>【註：產品規格時有異動，以上僅供參考，最新資訊請洽廠商】</strong></span></p> </div></div></div>
2021/1/1 17:35作者張明德https://www.ithome.com.tw/review/142009
Linux Kernel 5.11加入大量AMD更新，支援2021年即將上市的Van Gogh APU系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從Linux Kernel 5.10 LTS發布以來，已經過了2個星期，在聖誕節結束的同時，Linux Kernel 5.11的合併區間也結束了，Linus Torvalds發布了<a href="https://lore.kernel.org/lkml/CAHk-=wg1+kf1AVzXA-RQX0zjM6t9J2Kay9xyuNqcFHWV-y5ZYw@mail.gmail.com/T/#u">Linux Kernel 5.11第一個候選版本</a>。</p> <p>Linux開發者都在假期之前發送了拉取請求，使得Linux Kernel 5.11版本的開發工作得以順利進行，這次在合併區間結束前3到4天，所有較大的拉取請求就已經處理完成，Linus Torvalds提到，這種感覺很好，否則每次都集中在死線結束前趕工，總是倍感壓力。</p> <p>Linux Kernel 5.11-rc1不會如同Linux Kernel 5.10一樣，成為長期支援版本，但是將會是2021年第一個主要穩定核心版本，整體更新大小沒有特別突出，維持平均大小。這個版本更新的重頭戲是大量的AMD GPU描述標頭檔案，為的是替明年即將上市的AMD Van Gogh APU做準備，更新檔案占整個更新程式的三分之二。Linus Torvalds提到，這個現象並非第一次發生，來自硬體更新的標頭檔非常大，預計之後仍會有類似的狀況出現。</p> <p>撇除AMD的更新不看，Linux Kernel 5.11的其他更新部分，與往常的版本類似，驅動程式更新仍然占最大宗，其他的還包括檔案系統、網路和工具的更新。Linux Kernel 5.11正式版預計將會在2021年2月發布，實際編寫這個版本更新程式的開發人員超過1,500名，共約合併了12,500個更改。</p> </div></div></div>
2020/12/31 09:30作者李建興https://www.ithome.com.tw/news/141957
私有雲解決方案ownCloud用戶現也能在Linux桌面使用虛擬檔案功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ownCloud的技術長Klaas Freitag在自己的部落格上提到，他們<a href="https://dragotin.wordpress.com/2020/12/28/ownclouds-virtual-files-on-the-linux-desktop/" target="_blank">改進了ownClouds在Linux桌面，對虛擬文件系統的支援</a>。ownCloud是一個開源的個人雲端儲存解決方案，最早由KDE開發者Frank Karlitschek創建，使用者無須支付費用，可以自由取用ownCloud，只不過需要自行架設ownCloud伺服器，也有商業雲端儲存服務供應商，以ownCloud提供雲端儲存服務。</p> <p>在專業的使用案例中，用戶在雲上儲存大量的資料，但是要將這些資料，完全同步到桌面電腦或是筆電上，不只要花費許多時間，也會占用大量的頻寬以及儲存空間，因此不少成熟的文件同步解決方案，都使用了虛擬檔案的概念，來支援這樣的使用案例。</p> <p>Klaas Freitag解釋，透過在用戶的本地端裝置上，鏡像目錄以及檔案結構，在用戶的電腦僅顯示檔案的占位符，真正的檔案不儲存在本地端磁碟上，僅在需要的時候按需下載，如此用戶可以虛擬查看所有資料，而用不到的檔案也不會占用裝置磁碟。</p> <p>其實ownCloud早在開發虛擬檔案工作上，進行一段時間，但是主要是在Windows支援虛擬檔案，因為Windows存在系統API能夠處理占位符檔案，而在Linux桌面沒有這類API，使得該功能不容易實作，雖然ownCloud開發人員曾進行一些嘗試，設定虛擬文件為1位元組大小的檔案，並且在原始檔案名稱加上.owncloud後綴，來表示虛擬檔案，不過在多數的檔案管理系統都不能良好運作，因為這些系統會丟失MIME類型資訊，而且也無法提供下載和釋放檔案空間的功能，總之，在Linux上缺乏好的虛擬檔案建構元件。</p> <p>因此Klaas Freitag轉而想透過更改文件管理器，來支援虛擬檔案，他看中了使用Qt開發的Elokab檔案管理器，不只功能豐富，且僅擁有少量的相依項目，ownCloud開發團隊因而分叉Elokab檔案管理器，加入ownCloud虛擬檔案功能。</p> <p>經過修改的Elokab檔案管理器，現在可以支援虛擬檔案功能，與ownCloud同步的資料夾，會出現雲端圖案，尚未下載到本地端磁碟的檔案，在右下角則會顯示小雲圖標，而在本地端的檔案，則可正常顯示縮圖。Klaas Freitag表示，這個專案目前仍在概念性驗證階段中，功能還不完整，也存在一些臭蟲，他們之後會繼續更新這個應用。</p> </div></div></div>
2020/12/31 09:40作者李建興https://www.ithome.com.tw/news/141959
Cloud周報第91期：德意志銀行將把部分核心系統搬遷上GCP平臺，提升產品開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2020/12/03～2020/12/23）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 德意志銀行 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> GCP平臺 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 核心系統 </span></strong> </p> <p><span style="font-size: 22px;"><strong>德意志銀行決定</strong></span><strong style="font-size: 22px;">搬遷</strong><strong style="font-size: 22px;">大部份資料上GCP平臺，並與Google開發新產品</strong></p> <p>德意志銀行近日宣布，將把銀行核心系統的部分內容，搬上GCP平臺，來推動資訊系統的現代化工程。德意志銀行資訊長Bernd Leukert表示，IT核心應用程式也將是上雲工程的一環，他們將自行保存和管理解密自家上傳雲端之資料的專屬金鑰。不過，他補充，仍將遵循法規和資料隱私保護的限制，來決定搬遷哪些系統上雲。除了要把大部分資料搬遷到公雲伺服器上，德意志銀行還將與Google共同開發新產品，像是以按使用量計費模式打造的新借貸產品，還有，針對零售業客戶需求建立行動應用，供他們查看各項金融產品。德意志銀行表示，轉向雲端環境後，將提高自身彈性，並能更快地向市場推出新功能。<a href=" https://www.db.com/news/detail/20201204-deutsche-bank-and-google-cloud-sign-pioneering-cloud-and-innovation-partnership">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Arm </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料中心 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟在研發Arm架構自製處理器，要用於Azure雲端資料中心</strong></span></p> <p>最近微軟也傳出正在研發Arm架構處理器，未來將用於Azure雲端資料中心的伺服器。2017年時，微軟就曾宣布會與高通、Cavium等多家Arm供應商合作，嘗試在Windows Server上執行Arm處理器，來評估Azure服務執行於Arm晶片的狀況，不過，當時僅限內部資料中心使用該處理器。如今，眼看競爭對手AWS早在一年前，就推出採Arm架構的自製Graviton2處理器，並表示與英特爾處理器相比，自行客製處理器具成本和性能優勢，微軟似乎也要效法該策略，發展自製Arm架構伺服器處理器。微軟雖沒有證實這項消息，不過，微軟發言人Frank Shaw在一紙聲明中表示，因矽是科技的基礎，他們將繼續在設計、製造、工具等晶片領域，投資自身的能力，同時促進和加強與眾多晶片供應商的合作夥伴關係。<a href=" https://www.bloomberg.com/news/articles/2020-12-18/microsoft-is-designing-its-own-chips-for-servers-surface-pcs">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 身分驗證系統 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Google多項服務全球中斷約50分鐘，主因是身分驗證服務容量不足</strong></strong></p> <p>Google多項服務於12月14日晚上7點47分，發生故障事件，包含GCP平臺服務、Google Workspace服務、Youtube等，都受到影響。Google雖在服務中斷不到一小時內，即恢復各項服務，但此次受影響的範圍並非僅限單一國家或地區，而是波及全球各地。事發後，Google發布了調查報告，來說明事件的主因，是因其自動配額管理系統降低了中央身分驗證管理系統的容量，造成需要使用者登入的服務出現錯誤。因此，此次中斷的服務除了GCP平臺的Cloud Console、Cloud Storage、BigQuery等服務外，還有Google Workspace下的Gmail、行事曆、雲端硬碟等服務，再加上YouTube、Google Play、Google Maps等服務。Google表示，後續將進行徹底的檢查，以確保未來不再發生同樣的狀況。<a href=" https://status.cloud.google.com/incident/zall/20013">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>微軟正式推出資料分析服務Azure Synapse Analytics，串連數個資料分析系統</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(29).png" style="width: 600px; height: 340px;" /></strong></strong></p> <p>微軟近期正式推出Azure Synapse Analytics服務，整合多個資料分析系統，以及Power BI、AI分析工具，來連接並簡化多個資料源。微軟表示，包括自身在內的各軟體廠商都推出了資料分析產品，但，都需具專業技術的工程人員才會使用，且無法相互串連，造成企業採購、人才上的浪費及重工。Azure Synapse Analytics服務結合多家資料倉儲業者，包含Databricks、Informatica、Talend、Attunity等的資料分析工具，來打破資料孤島的界線，讓企業更容易蒐集、分析異質資料源，整合多種結構及非結構化資料源、資料倉儲和大數據分析系統，並利用標準的SQL指令，就能查詢資料。</p> <p>新服務也結合微軟自家Power BI及Azure機器學習等分析工具，以加速提供AI資料分析。微軟表示，Azure Synapse發表至今一年來，執行PB級工作負載的Azure客戶數量增加了五倍。其中，聯邦快遞利用該服務來即時分析，每天運送的1,600萬個包裹經數十次掃描產生的大量物流資訊料，以管理、追蹤存貨，並進而提供客戶貨況的分析洞悉，用以調整供應鏈。<a href=" https://azure.microsoft.com/en-us/blog/shape-your-future-with-data-and-analytics/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 瀏覽器 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端資源 </span></strong></p> <p><strong style="font-size: 22px;">AWS打造瀏覽器環境CloudShell，供開發者用命令列存取AWS資源</strong></p> <p><strong style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/4(22).png" style="width: 600px; height: 390px;" /></strong></p> <p>繼微軟和Google，AWS近日終於推出了CloudShell服務，讓開發者可直接從瀏覽器，利用命令列存取雲端資源和工具。CloudShell提供了一個全託管的Linux 2環境，並預先安裝了常見的AWS命令列介面，以及用於程式語言Python和Node.js的Runtime和AWS SDK。通過新服務，開發人員可以存取Linux控制臺，來快速執行腳本。當企業啟動新的CloudShell段落時，服務會自動對其進行預先配置，使其具有與AWS控制臺中相同的API權限。如此，企業可避免在不同測試和生產環境中，管理多個配置文件或AWS憑證，在啟動新的CloudShell段落上，也會更加容易。企業可免費使用新服務，但需支付用來建置和執行應用程式的其他AWS資源。新服務現已在北維吉尼亞州、愛爾蘭、東京等AWS區域提供。<a href=" https://aws.amazon.com/tw/blogs/aws/aws-cloudshell-command-line-access-to-aws-resources/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 政府單位 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 高機密資料 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">微軟鎖定公部門高機密資料上雲需求，推出新一項政府雲服務</span></strong></strong></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2(34).png" style="width: 600px; height: 338px;" /></span></strong></strong></p> <p>微軟本周公布新一項政府雲服務Azure Government Top Secret，提供政府單位存放列為最高機密的資訊。這項新服務是由微軟和美國政府合作開發，在功能上與商用版Azure雲，以及Azure Government、Azure Government Secret具備相同能力，但是從安全標準來看，新服務更在其他雲服務之上。微軟企業副總裁Tom Keane表示，該公司剛剛完成Azure Government Top Secret服務區域的建置。</p> <p>另外，微軟也為Azure Government Secret加入新的開發、安全管理功能。開發功能包括Azure Kubernetes Service及Azure Container Instances，提供開發人員部署和管理容器應用，而安全管理功能則新增AI安全分析服務Azure Sentinel及混合雲資訊安全中心Azure Security Center。當前使用Azure Government Secret的用戶包含了美國的國防部、執法機關及其他政府單位。</p> <p>至於政府雲Azure Government，微軟也宣布加入高可用性功能。這項功能透過備援及服務的邏輯隔離，可防止重要服務及工作任務斷線。微軟10月也為Azure Government加入Windows虛擬桌面，並獲得美國聯邦風險與授權管理計畫高等級認證，以支援政府單位人員在家上班<a href=" https://azure.microsoft.com/en-us/blog/the-broadest-range-of-cloud-innovation-across-us-government-data-classifications/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工業現場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習服務 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">AWS推出工業AI解決方案Amazon Monitron，可監控設備狀態預測故障</span></strong></strong></p> <p>AWS推出AI垂直產業應用方案Monitron，供企業透過感測器收集產線設備的運作數據，監控設備狀況，並使用機器學習分析數據，以預測設備需進行保養、維修的時間點，減少意外停機情況的發生。這項新解決方案不僅提供了ML服務，還提供了硬體設備，包含感測器和閘道器，以及可供企業即時監控設備狀況的手機App。</p> <p>Monitron專用感測器可以每小時偵測一次設備的溫度和震動數據，再由藍芽傳送至專用閘道器中彙整，下一步，閘道器會透過Wi-Fi將整批數據上傳至AWS，接著，再以機器學習模型分析數據。一旦監測到設備出現異常運轉狀態時，App會發送警報通知，警告企業技術人員。一臺閘道器最多可連結20臺感測器，最多可以與感測器間相距30公尺，而感測器可監控的設備包含了，馬達、空壓機、風扇、軸承等。GE、樂器製造商Fender等企業已開始採用。<a href="https://aws.amazon.com/tw/blogs/aws/amazon-monitron-a-simple-cost-effective-service-enabling-predictive-maintenance/">（詳全文）</a></p> <p>圖片來源／德意志銀行、AWS、微軟</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. Google找來高盛集團資安長擔任雲端部門首位資安長，負責Google雲內部安全及雲端搬遷防禦<a href=" https://www.wsj.com/articles/google-hires-goldman-sachs-veteran-to-lead-cloud-security-11607682604">（詳全文）</a></p> <p>2. AWS發布地圖與地理位置服務Amazon Location，供開發者在網頁及行動應用加入地圖及位置功能<a href=" https://aws.amazon.com/tw/blogs/aws/amazon-location-add-maps-and-location-awareness-to-your-applications/">（詳全文）</a></p> <p>3. Google宣布與30多家獨立軟體供應商合作，將在GCP平臺上新增逾200項邊緣應用<a href=" https://cloud.google.com/blog/topics/anthos/anthos-for-telecom-puts-google-cloud-partners-apps-at-the-edge">（詳全文）</a></p> <p>資料來源：iThome整理，2020年12月</p> </div></div></div>
2020/12/25 09:53作者黃郁芸https://www.ithome.com.tw/news/141871
Container周報第134期：Line臺灣K8s導入經驗首度大公開，導入超過20個專案部署50個K8s叢集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>11/25~12/25 精選容器新聞</strong></p> <h3><strong><span style="color:#0000FF;">#K8s #Line臺灣 #VKS</span><br /><span style="color:#FF8C00;">Line臺灣K8s導入經驗首度大公開，導入超過20個專案用了50個K8s叢集</span></strong></h3> <p>不同於先前完全線上進行的日本開發者活動，Line臺灣在年底仍舊可以舉辦實體開發者大會，在開場演講中，Line臺灣技術長陳鴻嘉表示，後疫情時代的新常態，帶來的挑戰是開發團隊需要更快速的開發速度，而且這些新服務要有承載巨大流量和瞬間爆量的能力，甚至像Line Travel服務，隨著國旅需求浮現，光是從2020年6月到9月，流量就暴增了24倍多。過去1年來，Line臺灣開發團隊正是採用容器技術和K8s來因應新常態下的需求爆量挑戰。</p> <p>原本Line總部就有一套以虛擬化技術為主的IaaS雲端基礎設施服務Verda，可以讓開發團隊自助申請需要的部署資源，另外還有一套提供給外部合作夥伴使用的平臺。但是，陳鴻嘉坦言，自助式IaaS後來出現了兩個挑戰，使用效率問題和維運問題。</p> <p>原來，大部分團隊為了應付可能的流量高峰，例如過年過節可預期傳訊需求的爆量，這些服務的團隊會事先申請了一堆資源來備用，「如果沒用到，這就浪費了VM資源。」陳鴻嘉表示。</p> <p>再者，遇到實體機器維修，需要安排新的VM來轉移服務，服務維運團隊還是得花上不少時間來重新部署，甚至遇到臨時故障的處理更是困難。「需要更即時性的基礎架構調度平臺，可以把應用的程式碼和相依性封裝起來，任意部署到不同環境中。」陳鴻嘉點出擁抱容器最大的考量，這也是許多企業轉而採用容器來取代VM的原因。</p> <p>所以，Line總部開始在Verda平臺上，開發一套K8s平臺來提供一套Veda K8s Services（VKS）容器服務。採用K8s主要有3個考量，第一個原因是K8s的自由擴充彈性，也可以把自己原有的運算資源引進到K8s環境中，其次是易用性，因為K8s已有很多生態系、工具和論壇，而最後一項理由是維運成本較低，因為遇到問題，活躍的社群可以很快幫忙解決問題。</p> <p>而Line臺灣在VKS上線前，為了解決人力資源調度問題，也開始導入容器化服務，自行在臺灣本地建置了一套K8叢集，第一個導入的服務就是2019年中上線的Line Spot熱點服務。陳鴻嘉當時設定了兩個目標，要透過K8s容器化服務，在新人到任後，半小時就可以部署好開發環境，讓新人立刻加入開發工作，不用像過去得花2週準備環境，第二個目標是，為了因應流量高峰，每一個容器化的服務都要具備自動擴充功能。第一個專案導入K8s嚐到好處後，Line臺灣開始推廣到其他專案。</p> <p>隨著Line總部的VKS平臺，在去年年底開發完成後，Line臺灣也決定把本地容器化開發專案，也轉移到總部VKS上，就不需要再自行維護底層K8s叢集。從今年第二季時開始進行轉移K8s專案，轉移速度很快，大部分的困難都是搬上新容器環境後所遇到的問題。Line臺灣還成立了一個DevOps專案小組，就由Line Spot團隊工程師擔任組長，來協助更多其他專案將系統容器化，再搬上VKS環境上部署。</p> <p>越來越多應用搬上容器環境後，不同專案在軟體架構上開始遇到類似的問題，不是原有應用程式開發團隊容易解決的問題，陳鴻嘉表示，這就需要專職的維運團隊，所以，今年第三季，在臺灣成立了SRE團隊，打造了共用的工具和維運管理作法，減少各團隊的部署容器化應用的時間，也加快開發和交付服務的速度。後來，這個經驗豐富的臺灣SRE團隊，更加入總部VKS維運問題的討論中。</p> <p>不過，目前Line臺灣有20個專案部署在VKS上，包括了Line購物、Line音樂、Line旅遊、Line熱點、Line Today、Line訊息查證服務等，超過130個App設定檔，使用了50多個叢集。應用服務搬上VKS之後，陳鴻嘉表示，傳統應用程式的部署時間需要花上1小時，現在縮短到15分鐘，若是雲端原生應用，原本要6分鐘部署時間，現在可以縮短到只要20秒。不過，陳鴻嘉表示，各專案團隊仍使用自己專用的叢集，Line總部也沒有好的解法，未來希望能找出共用K8s平臺的作法，才不會浪費資源。 </p> <h3><span style="color:#0000FF;"><strong>#Windows容器 #OpenShift</strong></span><br /><span style="color:#FF8C00;"><strong>紅帽OpenShift開始支援Windows容器了</strong></span></h3> <p>最近紅帽宣布，自家K8s管理平臺OpenShift，也可以開始執行和管理Windows容器了，成了另一個可以通吃Linux容器和Windows容器的管理平臺，可以用來執行.NET Core應用或.NET Framework的應用。為了啟用Windows容器，OpenShift還需要透過一個由微軟和紅帽共同維護的配置維運器WMCO，才能在OpenShift控制臺內管理Windows容器，使用者也可以在混合雲或跨多朵公有雲環境上，使用OpenShift來執行Windows容器，包括AWS、Azure、GCP、IBM Cloud等，未來也會支援VMware vSphre，不過，紅帽還未公布確切的支援時間。</p> <h3><span style="color:#0000FF;"><strong>#AWS #容器軟體 #本地部署</strong></span><br /><span style="color:#FF8C00;"><strong>AWS將ECS和EKS兩大雲端容器服務打包成軟體，要搶攻企業內部機房</strong></span></h3> <p>在今年AWS年度大會上，最搶眼的重量級產品發表就是ECS Anywhere和EKS Anywhere。這兩項都是軟體產品，前者是將雲端AWS容器代管服務ECS的能力，延伸到企業內部機房，可在斷線時自行運作，可以讓企業用單一的雲端ECS管理介面，來管理各種可執行標準Docker映像檔的ECS容器任務環境，包括了Windows、Mac、Linux環境，甚至支援樹莓派OS。</p> <p>而第二項產品EKS Anywhere則更像是一款K8s管理平臺軟體，是將AWS雲端EKS服務，整套打包成一個商業軟體版本，可以直部署到企業內部機房中運作，完全不需要連線到AWS也能獨立運作。EKS Anywhere就像是紅帽的OpenShift或是Google的GKE on-prem一樣，可以部署在企業內部機房，是一個可用來建置自家K8s叢集的軟體。AWS還釋出了EKS Anywhere所用的K8s版本EKS Distro程式碼，這是一個K8s上游版本，任何AWS自己的修正，也會貢獻到開源K8s社群中。另外AWS還發布了EKS add-ons外掛功能及可串接第三方工具的整合型儀表板功能。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/ECS-Anywhre-%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.jpg" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/EKS-Anywhere%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AWS.jpg" /></p> <h3><strong><span style="color:#0000FF;">#Nomad #大規模部署</span><br /><span style="color:#FF8C00;">22分鐘能調度200萬個容器，容器調度工具HashiCorp Nomad正式釋出1.0</span></strong></h3> <p>HashiCorp旗下打著替代K8s為號召的容器調度平臺Nomad正式推出了1.0版，在企業版現在能夠動態調整應用程式的大小，該功能可監控Nomad工作，並且追蹤資源使用，分析歷史資料提供建議，將應用程式調整至可高效率使用資源的狀態。該功能讓企業能以智慧且無中斷的方法，大規模最佳化應用程式資源使用，不需要使用者人工介入反覆試錯。官方實測，22分鐘就可以跨10個AWS地區，在6,000臺主機上調度200萬個容器，相當於每秒要部署1,500個容器的速度。另外也有提供開源版本，能支援命名空間，讓工作與相關物件可以彼此分割，或是與其他用戶分割，以實現多租戶叢集的概念，這是原本只有企業版才有的功能。Nomad目前最大可擴充的節點數超過了10,000個節點。</p> <h3><span style="color:#0000FF;"><strong>#微服務管理 #無伺服器應用</strong></span><br /><span style="color:#FF8C00;"><strong>AWS發表企業架構管理新服務Proton，可以通管容器應用和無伺服器應用</strong></span></h3> <p>AWS日前發表了一個瞄準微服務管理需求的企業架構管理新服務Proton，能夠自動化管理無伺服器和容器應用程式，以簡化基礎設施配置以及程式碼部署的工作，進而簡化微服務的管理工作，基礎設施團隊可以定義標準模板，讓其他開發者使用模板部署應用程式，基礎設施團隊只要透過管理模板，就能對執行應用程式的基礎設施，進行更新或是維護等操作。</p> <h3><span style="color:#0000FF;"><strong>#紅帽 #CentOS</strong></span><br /><span style="color:#FF8C00;"><strong>不會推任何新版，紅帽決定棄守不再維護CentOS Linux</strong></span></h3> <p>常被視為免費版RHEL的CentOS Linux，將結束官方支援和維護。紅帽宣布，要將把對CentOS的投資從CentOS Linux完全轉移到CentOS Stream，預計於明年12月31日終止對CentOS Linux 8的支援。根據紅帽及CentOS的規畫，對CentOS Linux 8的支援應該要到2029年的5月才截止，不過紅帽顯然提早結束了CentOS Linux 8的生命周期，而且宣稱不會再有CentOS Linux 9。</p> <h3><strong><span style="color:#0000FF;">#K8s改版 #Docker</span><br /><span style="color:#FF8C00;">年終最後一更Kubernetes釋出1.20大更新，但棄用Docker引擎惹爭論</span></strong></h3> <p>這次發布的K8s 1.20版，是今年版本中，新功能最多的一版。包括進入穩定階段的磁碟區快照操作（Volume Snapshot Operations）以及程序ID（PID）限制功能，而進入Beta階段的功能，則有Kubectl Debug與API優先與公平性（API Priority and Fairness，APF）功能等。Kubernetes的目標，就是要在分散式應用程式，以及底層叢集中間，建立一個抽象層，讓應用程式可以簡單地在各種叢集上運作。而磁碟區快照操作便是達成此一目標的其中一項功能，讓用戶可以在任何Kubernetes環境，不須顧慮底層儲存，就能夠以可移植的方式操作磁碟區備份。</p> <p>另外一項引起話題討論的就是，在1.20版中，宣布未來將棄用Docker引擎，目前最快要等到2021年下半年的1.23版才會實施，也可能在更晚的版本。K8s官方還特別設立了一個<a href="https://kubernetes.io/blog/2020/12/02/dont-panic-kubernetes-and-docker/">棄用FAQ</a>來澄清，是因為Docker引擎沒有支援OCI標準，才決定棄用。但是，開發者慣用的Docker映像檔格式則已經是業界標準，也會繼續支援、可用，對開發者來說，完全不受影響，但對於維運或管理者而言，得改用其他符合OCI標準的執行環境，例如containerd或CRI-O。</p> <p>責任編輯：王宏仁</p> <p><span style="color:#0000FF;"><strong>更多新聞</strong></span></p> <ul><li>Docker Desktop 3.0.0開始支援漸增更新</li> <li>GitHub.com上所有Git操作將要求權杖身份驗證</li> <li>紅帽推出IT自動化工具Ansible Builder以加速執行環境創建</li> <li>Amazon EMR現可部署到EKS上，提高資源使用以及執行效率</li> </ul><p> </p> </div></div></div>
2020/12/25 09:29作者王宏仁https://www.ithome.com.tw/news/141870
Go 1.16改進多項Runtime功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>預計要在明年正式發布的<a href="https://tip.golang.org/doc/go1.16#introduction">Go 1.16</a>，Go團隊現在釋出Beta版本，供開發人員測試嚐鮮。這個版本主要的更新，在於改進核心函式庫以及Runtime，語言本身並無新增功能。核心函式庫有2個重要更新，分別是嵌入檔案以及檔案系統，Go 1.16加入了新的嵌入套件，只要使用//go:embed指令，就能存取嵌入正在執行中Go程式的檔案。</p> <p>另一個核心函式庫的更新，則是強化檔案系統，新的io/fs套件，定義了一個唯讀檔案樹的抽象，稱之為fs.FS介面，官方同時修改標準函式庫套件，以適用該介面。在介面的生產端，新的embed.FS類型以及zip.Reader皆實作了fs.FS，而新的os.DirFS函式，則提供由作業系統檔案樹所支援的fs.FS實作。在消費端，新的http.FS函式會轉換fs.FS成為http.Handler，而html/template和text/template套件的ParseFS函式和方法，則會從fs.FS讀取樣板。</p> <p>Go 1.16同時改進了Runtime，新的runtime/metrics套件，新增了一個用來從Go Runtime，讀取實作定義指標的穩定介面，取代現有的runtime.ReadMemStats和debug.GCStats函式，如此不只更加通用，效能也更好。而開發者現在可以還設定GODEBUG環境變數inittrace=1，這將會使Runtime在執行每一個套件初始時，都會發出單行標準錯誤，總結執行時間和記憶體配置，這將能幫助開發者，找出Go程式的啟動效能瓶頸或是其他錯誤。</p> <p>現在於Linux上，Runtime會預設積極地向作業系統釋出記憶體，而非在作業系統出現記憶體壓力，才懶散的釋放記憶體，官方提到，這樣的改變，將會使得RSS等程序層級的記憶體統計更加精確，能夠反應出被Go程式實際使用的物理記憶體。</p> <p>Go 1.16最終版本預計將會在2021年2月發布，近2年的Go語言功能更新變慢，主要是因為在2018年底的時候，加入了提案評估程序，以限制Go功能的發展，盡可能降低對仰賴Go的系統，造成過多的衝擊，目前Go團隊僅選擇少量提案，解決每個發布版本最重要的問題，避免分裂開發生態系。</p> </div></div></div>
2020/12/24 15:10作者李建興https://www.ithome.com.tw/news/141847
Docker Desktop用戶現可利用WSL 2執行GPU工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新的<a href="https://www.docker.com/blog/wsl-2-gpu-support-is-here/">Docker Desktop預覽版</a>在WSL 2（Windows Subsystem for Linux 2），開始支援GPU工作負載，也就是說，用戶不只能在Windows中執行Linux容器，還可以在Linux容器，使用系統的GPU資源加速運算。</p> <p>WSL是適用於Linux的Windows子系統，讓開發人員可以直接在Windows上，執行GNU/Linux環境，包括命令列工具、公用程式和一些應用程式，而微軟在2019年的時候，開始大動作更新WSL，釋出功能更加強大的第2個版本，效能與相容性都更好。</p> <p>在2020年6月，微軟回應用戶需求更新WSL 2，使其能夠支援GPU。WSL支援DirectML，因此用戶開始可以使用AMD、英特爾和Nvidia的GPU，在Windows中的Linux環境使用GPU加速運算，加速機器學習等工作負載的速度。</p> <p>而現在Docker Desktop用戶，也開始可以在WSL 2上使用Nvidia GPU功能，讓Linux容器能夠執行CUDA、Tensorflow以及GPGPU工作負載，以GPU加速諸如深度學習、機器學習和人工智慧等專案，方便開發者在本地端執行。</p> <p>目前要在Docker Desktop使用WSL 2的GPU支援，需要具有Nvidia GPU的電腦，以及最新的Windows Insider版本，並且安裝能夠支援WSL 2 GPU半虛擬化的Nvidia Beta驅動程式，最重要的是，要在Docker Desktop啟用WSL 2後端。</p> <p>如此，用戶便可以開始測試GPU工作負載，官方提醒，因為目前這個Docker Desktop還是技術預覽版本，還沒經過全面測試，仍有許多臭蟲，可能會出現故障等情況。</p> </div></div></div>
2020/12/23 15:35作者李建興https://www.ithome.com.tw/news/141830