iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Fintech周報第174期：新光銀行整併內外部資料建置數據資料庫，並自行開發近20個AI模型優化內部多項作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0306</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0312</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新光銀行 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">新光銀行整併內外部資料建置數據資料庫，並自行開發近20個AI模型優化內部多項作業</span></strong><br /><span style="font-size: 14pt;">新光銀行從2016年正式啟動數位轉型，大力發展數位金融，並由數位資訊部領軍，聚焦AI與大數據策略，著重在擴充AI應用。新光銀行在近期揭露了一路的過程與成果，是採用IBM Power AI平臺，3年來自行開發近20個AI模型。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">新光銀行數位資訊部資深協理林基玄表示，要透過AI及大數據分析，進一步深化對顧客的洞察，在各式場景量身打造不同的互動方式，找到最適合的客群推送精準行銷活動。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">以往，新光銀行準備一檔行銷活動，從執行研究目標、行銷包裝、行銷通路發布到檢討活動等流程，需費時2周到1個月。現在，除了能自動化大量推出行銷活動，更能主動從幾百萬顧客中找到合適的顧客群精準推播行銷活動。新光銀行指出，各事業線平均1年推出800個以上的行銷活動。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">新光銀行導入AI應用的第一步，是先用大數據技術整併內部虛實通路的數據，並整合開放數據，建置數據資料庫。並且，優先選擇與顧客的所有接觸點發展AI應用，新光銀行提到，搭配顧客數位軌跡的數據，完整串連線上及線下數據，建立AI模型，持續優化廣告投放、精準行銷的各項作業。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">第二步，則是運用電腦視覺、聽覺、自然語言處理等深度學習技術，優化內部作業與顧客服務運用在如票據處理、客服錄音調閱、智能客服、企金顧客服務，讓跨部門都能多領域</span><span style="font-size: 18.6667px;">的</span><span style="font-size: 14pt;">應用</span><span style="font-size: 14pt;">數據。新光銀行透露，接下來將客把群定義得更加清晰細膩，未來2年內，要將AI模型從近20個發展到上百個，並讓AI模型跟數據流即時化緊密整合。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Santander UK </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 現代化IT </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國桑坦德銀行新任命2名IT主管，讓現任CIO全力專注在核心系統遷移與現代化</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20Santander%20UK%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Banco%20Santander.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">英國桑坦德銀行（Santander UK）在3月9日宣布任命Graham Calder為臨時資訊長，同時任命Daryl Brookes作為IT營運與服務交付總監。而桑坦德銀行現任資訊技術長Carlos Selonke，則被任命為核心銀行遷移主管（Head of Core Banking Migration），將領導戰略工作計畫，以遷移與現代化桑坦德英國的核心銀行系統，並停用舊系統。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新任的臨時資訊長Graham將領導桑坦德銀行的技術戰略和IT轉換計畫的交付和開發，往數位銀行的目標邁進。Graham過往曾擔任立博集團（Ladbrokes Coral）CIO，以及和培生集團（Pearson）CTO等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Daryl加入桑坦德前，是英國大都會銀行（Metro Bank）的雲端資訊長，同時兼任IT營運與服務交付總監，在銀行業擔任技術高管多年，先前也曾在全英房屋抵押貸款協會（Nationwide Building Society）負責技術營運與服務管理，也曾在巴克萊銀行、勞埃德銀行集團、蘇黎世州銀行任職。加入桑坦德後，將負責銀行所有領域的IT服務提供與效能。<strong><a href="https://www.santander.co.uk/about-santander/media-centre/press-releases/santander-uk-announces-senior-technology-appointments">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 證券商 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 主機共置服務 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會開罰10家證券商，主因是使用主機共置服務未落實資安</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E8%AD%89%E5%88%B8%E4%BA%A4%E6%98%93_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會在3月4日，針對康和綜合證券、永豐金證券、國泰綜合證券、元富證券、富邦綜合證券、日盛證券、華南永昌綜合證券、群益金鼎證券、凱基證券、元大證券這10家違反證券管理法令的證券商祭出裁罰處分。為了加強對證券商使用主機共置（Co-Location）服務的管理，金管會要求證交所與櫃買中心對所有使用主機共置服務的證券商進行專案檢查，發現這10家證券商，為特定人量身訂做系統服務時卻未落實資訊安全作業，及其他資訊安全作業等缺失。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">其中，特別是康和證券、永豐金證券、國泰證券被裁罰最重，各遭金管會罰鍰144萬元，甚至禁止多項業務的申請長達3個月。金管會指出，提供這項服務時，康和證券未完整留存投資人委託時間記錄、對交易主機內含程式與數量無法具體掌控、資訊廠商得自遠端連線到交易主機。永豐金證券則未完整保留投資人委託時間記錄、資訊廠商得遠端登入進行開發及維護等缺失。國泰證券則是將顧客開發的交易軟體放置在主機共置之系統主機上，及未留存客戶委託記錄等缺失。<strong><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202103040007&dtable=News">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> PayPal </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Curv </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣應用 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">PayPal買下以色列的數位資產託管業者Curv，預計今年上半完成交易</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">行動支付業者PayPal在3月8日宣布，將買下以色列的數位資產託管業者Curv，擴大PayPal於加密貨幣應用的部署，雙方預計於今年上半年完成交易。PayPal並未公布此一併購案的交易規模，但外傳該交易價值接近2億美元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Curv成立於2018年，所使用的技術是奠基於多方運算（Multi-Party Computation，MPC）協定上，藉由獨立生成的加密材料成分來取代金鑰，以進行安全的交易簽署。Curv指出，區塊鏈讓資訊與資產交易變得民主化，任何人在任何地方都能輕鬆進行交易，而且採用公鑰加密技術的區塊鏈交易是不可逆的，但它有一個單點故障危機，就是私鑰，而MPC就是要免除私鑰所帶來的風險。Curv亦推出了號稱全球第一個供機構使用的數位資產錢包服務，讓機構只要透過軟體與雲端服務就能管理各種數位資產。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">PayPal新的區塊鏈部門總經理Jose Fernandez da Ponte表示，Curv的技術與理念令人印象深刻，此一併購將可協助PayPal實現打造兼容金融系統的願景。Curv團隊與服務未來將被納入Ponte麾下。<a href="https://www.ithome.com.tw/news/143124"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 非現金支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會訂出非現金支付目標，2023年交易金額要達6兆元</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會近期宣布，將從2大指標來衡量國內非現金支付交易的發展，一是非現金支付交易金額，另一項是非現金支付交易筆數。金管會也訂出2023年非現金支付目標，交易筆數得比2020年成長50%，交易金額要達到6兆元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會表示，電子支付機構管理條例將在今年7月1日正式施行，金管會規畫在6月底完成該條例相關子法與配套措施之訂定或修正，到時候將可為國內非現金支付營造良好發展環境，以提升非現金支付交易的發展。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 兆豐銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 櫃員AI助理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">兆豐銀行聯手新創推出櫃員AI助理，提供4國語言即時翻譯等3項功能</span></strong><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E5%85%86%E8%B1%90%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%86%E8%B1%90%E9%8A%80%E8%A1%8C.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了增進臨櫃顧客的服務體驗，創造多元數位服務場景，減少現金接觸機會，兆豐銀行在今年聯手新創公司打造「櫃員AI助理」系統，用平板提供即時翻譯互動、多元繳款，以及表單確認等3項功能，兆豐銀行將先在臺北市的國外部及金控總部分行作為先導分行，後續將搭配雙語分行建置狀況，提供櫃員AI助理服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">兆豐銀行表示，即時翻譯互動，提供英文、日文、韓文、泰文這4種常用語言選擇，外國顧客可以全程用說的，聊天室介面會即時將語音轉為文字內容，讓顧客及櫃員進行確認，顧客也可用打字的方式與櫃員溝通。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">多元繳款服務則是在臨櫃購買外幣現鈔時可用行動支付服務，包括台灣Pay與網路ATM。表單確認服務，則是讓顧客說出想辦理的業務內容，櫃員輸入完成後可透過平板螢幕，將表單以視覺化方式呈現給顧客確認，即可列印出申請書，不用再逐項填寫表單，該服務將先以臨櫃最常辦理的國內匯款業務開始，未來會再增加其他申請項目。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 銀行遭駭 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融木馬Ursnif </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金融木馬Ursnif再度出手，逾百家義大利銀行受害</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在3月2日，防毒業者Avast的研究人員揭露，他們發現運用金融木馬Ursnif的駭客，近期再度發動攻擊，目標是超過100間位於義大利的銀行。而對於受害的情況，該公司指出已經嚴重影響義大利，這個金融木馬挖掘了使用者名稱、密碼、信用卡資料，以及付款資訊等，而且，其中的一個支付處理商有超過1,700個憑證遭竊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">研究人員表示，他們在確認受害單位身分後，已經將相關細節提供給上述提及的支付處理商與銀行，該公司也通報當地的金融資安單位，像是CERTFin Italy。<strong><a href="https://www.ithome.com.tw/news/143035">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">攝影／洪政偉；圖片來源／</span>Banco Santander<span style="vertical-align: top; font-size: 18.6667px;">、</span>兆豐銀行<br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. </strong><strong>法國巴黎銀行（BNP Paribas）將為歐洲電商商家推出A2A即時付款服務</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年3月</strong></p> </div></div></div>
2021/3/10 15:30作者李靜宜https://www.ithome.com.tw/news/143132
監控公司Verkada遭駭，15萬臺監視器畫面外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>矽谷專門提供監控系統的Verkada傳出遭到駭客入侵，而讓駭客得以存取該公司部署於客戶端的15萬臺監視器的即時畫面，這些監視器位於警察局、醫院、監獄，以及特斯拉（Tesla）與Cloudflare等。</p> <p>根據<a href="https://www.bloomberg.com/news/articles/2021-03-09/hackers-expose-tesla-jails-in-breach-of-150-000-security-cams?sref=z97LigUM" target="_blank">彭博社</a>的報導，這起駭客行動的嫌犯之一為瑞士開發人員Tillie Kottmann。他曾參與<a href="https://www.ithome.com.tw/news/139258" target="_blank">英特爾遭駭</a>的資料外洩事件，也曾<a href="https://www.ithome.com.tw/news/139076" target="_blank">藉由GitLab公布</a>被駭的50家企業原始碼，而Kottmann原本在Twitter上的帳號，或是隨後建立的Twitter帳號，都已被Twitter停權。</p> <p>Kottmann向彭博社展示了一段特斯拉上海倉庫的影片，影片中的工人正在組裝線上，還宣稱他們總計可存取設在特斯拉工廠與倉庫的222個監視器，還可存取位於阿拉巴馬州監獄的330個監視器。</p> <p><a href="https://www.vice.com/en/article/wx83bz/verkada-hacked-facial-recognition-customers" target="_blank">Motherboard</a>也與駭客取得了聯繫，拿到一份列出2.4萬家Verkada客戶名單的文件，還說Verkada的某些監視器直接嵌有人臉辨識功能。</p> <p>Kottmann向彭博社說明他們的動機絕大多數是因為好奇，想爭取資訊自由及對抗智慧財產權，而且這樣做實在太有趣了。</p> <p>至於Verkada則向媒體表示，該公司已關閉內部的所有管理員帳號，以免再遭到未經授權的存取，除了聯手資安業者展開調查外，也已知會執法機構。</p> </div></div></div>
2021/3/10 14:33作者陳曉莉https://www.ithome.com.tw/news/143131
Google以影像偵測心率、呼吸的功能正式釋出給Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 2月公布<a href="https://www.ithome.com.tw/news/142646" target="_blank">新版Google Fit</a>可配合手機相機來偵測心率或呼吸頻率。這項功能昨日隨著Google Fit釋出新版本，已經部署到Pixel手機上。</p> <p><a href="https://9to5google.com/2021/03/08/google-fit-camera-pixel/" target="_blank">9to5Google</a>率先報導新功能的釋出。新功能第一階段僅先部署到Google Pixel手機上，Google表示也有計畫推向更多Android裝置。</p> <p>心率是透過拍攝手指頭微血管的細微顏色變化，需要使用者將手指頭置於後向式相機鏡頭上拍攝大約30秒，影像透過後端AI技術的判讀，達到量測心率的目的。</p> <p>呼吸量測則是由前向式相機拍攝使用者上半身影像，根據胸部起伏來計算呼吸頻率。使用者可將手機擺在桌上或適當位置使相機對著自己拍攝，Google Fit的量測UI時會顯示兩個矩形框線，讓使用者對準以便框住臉及胸膛部位。跟著Fit提供的正常呼吸及屏氣等指示，即可獲得量測結果。</p> <p>Google也提供<a href="https://www.youtube.com/watch?v=6Qw2imxx_nA" target="_blank">影片</a>提供量測示範說明。Google Fit上也集結行走步數、行走距離、消耗熱量、睡眠時間，以及過去一周的紀錄，供使用者檢視。</p> <p class="rtecenter"> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/6Qw2imxx_nA" width="560px"></iframe></div> <p> </p> <p>利用穿戴裝置量測已經不稀奇，Google宣布下個月即將釋出的新版Google Fit，將可利用手機上的相機來量測你的心率和呼吸頻率，也是優先部署到Pixel手機。</p> </div></div></div>
2021/3/10 13:35作者林妍溱https://www.ithome.com.tw/news/143129
微軟正式終止對Microsoft Edge Legacy的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2021/03/09/microsoft-edge-legacy-end-of-support/" target="_blank">微軟在3月9日正式終止</a>對Microsoft Edge Legacy的支援，代表之後將不再針對該產品提供安全更新，同時微軟也開始於Microsoft Edge Legacy上跳出提醒，要求使用者下載採用Chromium專案的新版Microsoft Edge，此外，就算使用者堅持不更新，微軟也會在今年4月13日的Patch Tuesday透過Windows 10的累積安全更新強制把Microsoft Edge Legacy換掉。</p> <p>Microsoft Edge原本使用由微軟打造的EdgeHTML瀏覽器引擎，不過，微軟在2018年12月轉向擁抱Google所開發的Chromium專案，現在的Microsoft Edge都是奠基在Chromium上，而採用EdgeHTML的便被稱為Microsoft Edge Legacy。</p> <p>終止對Microsoft Edge Legacy的支援，意謂著微軟於本周二（3/9）展開的Patch Tuesday是Microsoft Edge Legacy最後一次的安全更新機會，本周微軟所修補的CVE-2021-26411漏洞便同時涉及IE 11與Microsoft Edge Legacy，而且已遭到駭客開採，仍持續使用IE 11與Microsoft Edge Legacy的用戶記得要修補。</p> <p>微軟即日起會在Microsoft Edge Legacy的視窗中加入通知訊息，提醒用戶該版本已無法再接受安全更新，呼籲使用者下載新版Microsoft Edge。</p> <p>Microsoft Edge Legacy用戶可以選擇一再地忽略該訊息，或者是藉由微軟甫於群組原則（Group Policy）中新增的「抑制顯示Edge棄用通知」（Suppress the display of Edge Deprecation Notification）選項來關閉該訊息，不過，這都只是暫時的辦法，因為微軟將透過4月13日的Patch Tuesday直接刪除Microsoft Edge Legacy，並將它置換為Chromium版的Microsoft Edge。</p> <p>假設使用者已經安裝了新版的Microsoft Edge，在4月13日部署Patch Tuesday的安全更新時，微軟並不會重新安裝Microsoft Edge，但仍會將Microsoft Edge Legacy自系統上移除。</p> <p>迄今外界對Chromium版Microsoft Edge的風評還不錯，用戶應毋須太掙扎，微軟並未公布究竟有多少用戶還停留在Microsoft Edge Legacy。此外，由於還有許多其它的程式仍仰賴EdgeHTML，因此微軟仍會持續支援該引擎。</p> </div></div></div>
2021/3/10 14:00作者陳曉莉https://www.ithome.com.tw/news/143130
上一季用假Google reCAPTCHA騙取微軟帳密的網釣攻擊，大量鎖定高權限使用者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釣魚信件以假亂真手法日益精進，研究人員發現釣魚信件使用假的Google reCAPTCHA取信用戶，以騙取用戶的微軟帳密資訊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/microsoft-themed-phishing-attack-targets-executives-using-fake-google" target="_blank">安全廠商Zscaler</a>的ThreatLabZ實驗室在3個月內攔截到2,500多封的釣魚信件，信件對象是不同公司、組織的高階員工。這些惡意信件特徵是顯示來自公司自動化郵件系統，告知收件者有語音郵件附檔、HTML、或PDF檔，為了讀取或收聽附檔內容，用戶必須輸入微軟帳密。</p> <p>這些信件的目的和一般釣魚信件沒什麼不同，最大的特色是當用戶點擊上述附檔後出現Google reCAPTCHA視窗，再將用戶引導向一個看似微軟帳號的輸入對話框。Google reCAPTCHA是一種驗證技術，主要用於網站分辨存取來源是真人還是網頁爬蟲機器人（bot）。但在這波釣魚郵件中，Google reCAPTCHA卻被用作提升郵件可信度的工具。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/elg2IxXl149yY5T9rV6SqLCpvjlNxi4Zuw9eWMrdAsvUbpbBNCcSlYc2Pf2ghynID4naYzd8zOjbj7qQKk6MOtmOcBvgiaKlDfOYoQsH-XcMnC_P79gEMGcoCBD6JUXMMQg2bNg9" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://lh6.googleusercontent.com/ZE6MR5MgpYdbCB1ZC_m3JtxKitNrmSyyL-TdMad1vH6eDcRSLDb6FIpp3qyaTelILNc1TT9s5jXwuH9XtPNSWhNl86DUO_iyK5JZ6DG0U1jMFKtjL0ZI2b7VkWEteq0PyTGt7uB9" style="width: 600px;" /></p> <p>事實上，在用戶點選語音郵件或HTML附檔時，其實已經導向分別代管於.xyz、.club和.online的假Google reCAPTCHA釣魚網站上。若用戶輸入微軟帳密，他們可能還是會收到語音檔、PDF檔或顯示驗證完成的訊息，不過這些都是避免起疑的障眼法。用戶的Office 365或其他微軟服務登入資訊已落入駭客手中。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/hsBb0Iwgip_WCLYI9xzV0eKpYO09RYpcrIan8nyJ9Mscygw4H2dxI5Jr7lfNwRjAbMWCJaWELyXbgcmJCSzLwV_o5EycigYWdt-_LaI-2l-qZsju0khKufOngvwTQg42_WHidYNt" style="width: 600px;" /></p> <p>另外，研究人員指出，釣魚郵件使用Google reCAPTCHA的手法已經運用多年，但利用Google reCAPTCHA騙取跨多個產業的主管，則是去年12月才觀察到的現象。分析2,500多封釣魚郵件，以銀行(22%)和IT業(20%)占最大宗。而被鎖定的高階主管則以副總裁(34%)、常務董事(21%)等最多。</p> </div></div></div>
2021/3/10 12:22作者林妍溱https://www.ithome.com.tw/news/143127
歐洲要在5年內建立首座量子電腦、設立1萬座邊緣運算節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/europes-digital-decade-digital-targets-2030_en" target="_blank">歐盟昨（9）日公布</a>「數位羅盤」（Digital Compass）計畫，揭示歐盟以2030年為完成目標的數位轉型計畫項目，包括5年內製造第一座量子電腦系統、廣設邊緣運算節點、推升晶片產量以及5G普及所有歐洲公民等。</p> <p>這項計畫旨在減少歐洲關鍵系統過度仰賴美中等科技大國。</p> <p>歐盟委員會委員<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_21_983" target="_blank">Thierry Breton指出</a>，歐盟有必要確保公民和企業得以近用最尖端的技術，享有更好、更安全及更環保的生活，前提是他們有必要的技能，這是後疫情時代歐洲的數位十年。</p> <p>取得2030數位羅盤計畫文件的<a href="https://www.reuters.com/article/us-eu-tech/europe-seeks-semiconductor-boost-first-quantum-computer-idUSKBN2B02D4" target="_blank">路透社</a>指出，歐盟希望在2030年前推動尖端及持續性的半導體產業產值翻倍，包括處理器產值要達到全球20%。計畫也點出半導體對連網汽車、智慧型手機、連網裝置、高效能電腦、人工智慧的重要性，以及全球晶片缺貨導致特別是歐洲汽車業停產的問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0310-2030%20Digital%20Compass-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_歐盟執委會（European Commission，EC）</span></p> <p>在晶片相關的基礎架構方面，歐盟希望未來的9年間，將推動5G普及歐盟每個國家，以及人人都享有Gigabit的網路頻寬，建立1萬座零碳排的安全邊緣運算節點，並在5年內建立第一座量子加速器。</p> <p>歐盟並希望利用前述的數位基礎架構，來推動當地企業數位轉型。包括75%的企業都能使用雲端、AI及大數據，扶植獨角獸公司，超過90%的中小企業至少達到「基本的數位密集度」。</p> <p>同時，在一般民眾的資訊素養方面，歐盟將推動至少80%人口有基本的數位技能，培植2億ICT專業人士。而在公有服務方面，歐盟希望80%公民擁有數位身份證，以存取100%網路化的主要公共服務，包括所有醫療紀錄可由線上取得。</p> <p>不過這項計畫僅是草案，還需要獲得歐洲會員國及歐洲議會的批准。</p> </div></div></div>
2021/3/10 13:19作者林妍溱https://www.ithome.com.tw/news/143128
PayPal買下以色列的數位資產託管業者Curv
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動支付業者PayPal周一（3/8）<a href="https://newsroom.paypal-corp.com/2021-03-08-PayPal-to-Acquire-Curv" target="_blank">宣布</a>，將買下以色列的數位資產託管業者Curv，擴大PayPal於加密貨幣應用的部署，雙方預計於今年上半年完成交易。PayPal並未公布此一併購案的交易規模，但<a href="https://www.cnbc.com/2021/03/08/paypal-to-acquire-crypto-security-company-curv.html" target="_blank">外傳</a>該交易價值接近2億美元。</p> <p>Curv成立於2018年，所使用的技術是奠基於多方運算（Multi-Party Computation，MPC）協定上，藉由獨立生成的加密材料成份來取代金鑰，以進行安全的交易簽署。</p> <p>Curv指出，區塊鏈讓資訊與資產交易變得民主化，任何人在任何地方都能輕鬆進行交易，而且採用公鑰加密技術的區塊鏈交易是不可逆的，但它有一個單點故障危機，就是私鑰，而MPC就是要免除私鑰所帶來的風險。Curv亦推出了號稱全球第一個供機構使用的數位資產錢包服務（Curv Institutional Digital Asset Wallet Service），讓機構只要透過軟體與雲端服務就能管理各種數位資產。</p> <p>至於PayPal則積極擁抱數位資產，最近成立了鎖定區塊鏈、加密貨幣與數位貨幣的新部門，且除了<a href="https://www.ithome.com.tw/news/140675" target="_blank">去年第四季就開放</a>用戶交易加密貨幣以外，<a href="https://newsroom.paypal-corp.com/2020-12-17-Paxos-Raises-142-Million-in-Series-C-Funding" target="_blank">去年12月入股</a>了區塊鏈基礎設施平臺Paxos，<a href="https://newsroom.paypal-corp.com/2021-01-07-PayPal-Ventures-Invests-in-TaxBit" target="_blank">今年1月則投資</a>加密貨幣自動化稅賦計算軟體開發商TaxBit，展現其布局數位資產領域的決心。</p> <p>PayPal新的區塊鏈部門總經理Jose Fernandez da Ponte表示，Curv的技術與理念令人印象深刻，此一併購將可協助PayPal實現打造兼容金融系統的願景。Curv團隊與服務未來將被納入Ponte麾下。</p> </div></div></div>
2021/3/10 11:24作者陳曉莉https://www.ithome.com.tw/news/143124
Nvidia和哈佛合作以AI工具加速基因研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia和哈佛開發了一個深度學習工具<a href="https://blogs.nvidia.com/blog/2021/03/08/atacworks-genomics-ai-research/">AtacWorks</a>，可以協助科學家進行DNA研究，即便樣本資料存在雜訊或是有所限制，在像是早期發現的癌症或是其他基因疾病研究上，都能發揮良好的作用，AtacWorks可以對定序資料進行降噪，或是辨識可存取的DNA區域，且使用Nvidia Tensor Core GPU還可縮短計算時間，將原本需要15小時才能完成的基因組預測，縮短到30分鐘以內。</p> <p>人體中多數的細胞，都擁有完整的DNA，細胞核中有數十億個鹼基對，不過，每個細胞只能取用能夠發揮作用的部分，像是肝臟、血液或是皮膚細胞，不同種類的細胞，所活化的基因不同，只有決定細胞獨特功能的DNA區域會對外開放，其他區域則會被蛋白質包住，而AtacWorks則能夠讓科學家，快速地找出DNA開放區域進行研究。</p> <p>AtacWorks可以與ATAC-seq搭配使用，ATAC-seq是一種在健康和生病的細胞中，尋找基因組開放區域的熱門方法，可用於探索藥物研究。不過，ATAC-seq方法有一個缺點，通常必須要使用上萬個細胞，才能取得乾淨的訊號，而這也就代表，ATAC-seq很難被用於研究，像是產生血球和血小板的幹細胞等稀有類型的細胞。</p> <p>ATAC-seq方法在2013年的時候被開發出來，該方法像是一種DNA著色法，能夠對DNA開放區域上色，但是會跳過被包在蛋白質中的DNA區域，這個方法被基因組研究實驗室以及製藥公司大量採用，以檢測整個基因組中每個區域的訊號強度，了解DNA活躍的部分。當可用的細胞越少，資料出現的雜訊就越多，也就越難判斷可存取的DNA區域。</p> <p>而AtacWorks是一個以PyTorch開發的卷積神經網路，其使用ATAC-seq資料集進行訓練，該模型學會了準確預測訊號的方法，研究人員發現，使用AtacWorks可以在100萬次讀取的雜訊序列中，辨識出可存取的染色質（Chromatin），相當於傳統方法需要5,000萬次讀取的乾淨資料集，如此科學家可以使用較少量的細胞進行研究，大幅降低樣品收集和定序成本。</p> <p>透過將AtacWorks應用於ATAC-seq資料，現在只需要幾十個細胞，就可以獲得過去要數千數萬細胞，才能達到的實驗結果品質，因此可讓科學家更了解有關稀有類型的細胞，其活躍的DNA序列，並辨識出讓人們容易感染疾病的突變。論文共同作者哈佛大學助理教授Jason Buenrostro提到，使用AtacWorks，讓研究人員可以只用原本十分之一數量的細胞，進行單細胞實驗（Single-Cell Experiment），且GPU加速深度學習對低品質定序覆蓋進行降噪，可明顯提高稀有細胞發育和疾病相關的表觀遺傳學研究速度。</p> <p>研究人員使用Tensor Core GPU進行AtacWorks分析計算，該模型花不到30分鐘，就預測出整個基因組，在具有32顆CPU的系統上，整個過程需要花費15個小時。論文的第一作者同時也是Nvidia研究人員的Avantika LalAtacWorks提到，AtacWorks不僅可以幫助降低收集染色質可存取資料的成本，對於藥物探索和診斷，也提供了新的可能性。</p> </div></div></div>
2021/3/10 11:28作者李建興https://www.ithome.com.tw/news/143122
Google員工敦促議員立法保護技術公司裡的吹哨者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 人工智慧倫理研究者Timnit Gebru被離職事件持續延燒，Google員工所組成的Google Walkout For Real Change組織發出<a href="https://googlewalkout.medium.com/the-future-must-be-ethical-makeaiethical-9eb3edd7cf3c">公開信</a>，呼籲所有人工智慧社群團結，反抗Google的霸道行為，並且敦促議員通過吹哨者保護法案，來保護願意出面揭露私人企業研發有害技術的研究人員或是技術人員。</p> <p>Google Walkout For Real Change這個組織是Google員工在2018年成立，目的是要迫使Google進行改革，當時曾發起擴及全球50個城市，共20,000名員工的罷工活動。</p> <p>該組織在部落格發出公開信，聲援被迫離開Google的Timnit Gebru，以及在最近才被開除另一位人工智慧倫理研究員Margaret Mitchell，公開信提到，這些接二連三的動作，顯示Google故意懲罰、禁言和解散整個人工智慧道德團隊，在Margaret Mitchell接受調查到被解僱的5個星期中，Google全球調查單位恐嚇團隊成員，有一些人甚至是在工作之外的時間受到訊問。</p> <p>由於Timnit Gebru是全球知名的人工智慧倫理研究者，與Margaret Mitchell共同帶領的團隊，進行了不少開創性的研究，並且形塑了許多新興研究領域，對於人工智慧社群意義重大，在建立公平的演算法上有很大的貢獻，而Google也有許多產品，採用了該人工智慧倫理團隊的研究成果。</p> <p>公開信提到，Timnit Gebru檢驗強大的人工智慧系統所帶來的好處和風險，特別是可能在Google工作場所之外，造成潛在危害的系統，Google Walkout For Real Change組織認為，即便該團隊發表許多優秀的研究成果，但是仍受到公司的報復，最終Timnit Gebru和Margaret Mitchell都遭到解雇。</p> <p>因此Google Walkout For Real Change呼籲人工智慧社群的成員，特別是致力於研究技術道德後果的人，要跟人工智慧道德團隊站在一起，確保自己研究的完整性，以及保有檢驗大型技術的自由。公開信提出4點訴求，學術會議應該拒絕由公司律師或是代表審核過的論文，而且也應該拒絕接受像Google這類對研究人員，採取報復行動的公司贊助。</p> <p>公開信鼓勵優秀人才拒絕Google的聘僱，並提供了統一拒絕招募訊息模板，建議受招募的人，可以向招募人員表達對Margaret Mitchell和Timnit Gebru的遭遇感到失望，明確拒絕到Google工作的意願，除非Google願意真正做出改變。公開信也希望學術機構或是其他研究單位，可以公開拒絕接受來自Google的資助，直到Google願意承諾由外部執行和驗證其研究完整性標準為止。</p> <p>最後，Google Walkout For Real Change希望州或是國家的立法機關，可以強化對吹哨者的保護措施，他們認為，目前法律對願意舉報科技公司的員工保護完全不足，唯有提供足夠的保護，研究和技術人員才能在看見有害技術時安心地對外發聲，避免技術遭企業濫用。</p> </div></div></div>
2021/3/10 11:42作者李建興https://www.ithome.com.tw/news/143123
經模擬測試，Waymo可完全避免致命車禍發生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人一直是造成車禍最主要的原因，94％的車禍由人為失誤造成，因此自駕車的發展，被期待能降低車禍發生率，而Alphabet旗下自駕車子公司Waymo，最近的<a href="https://blog.waymo.com/2021/03/replaying-real-life.html?m=1">車禍模擬</a>，拿過去真實發生過的車禍事件進行測試，證明了自家自動駕駛可以有效避免各種車禍狀況。</p> <p>根據世界衛生組織的資料，全球每年有130萬人在道路中喪生，相當於每一小時就有一架客機墜機，Waymo官方提到，雖然人們普遍認為，自動駕駛技術將會大幅降低車禍發生的機率，但是一直沒有以場景為基礎，對自動駕駛在致命車禍中反應的研究。而Waymo公開了他們最新的研究結果，Waymo的自動駕駛已經可以在致命事故中，避免所有的嚴重車禍。</p> <p>Waymo收集2008年到2017年間，亞利桑那州錢德勒地區所發生的每一起致命車禍，排除與今日現實不符的案例，運用資料重新建立每場車禍，並且模擬Waymo自動駕駛在每種情況下的表現。由於每場車禍都包括了2部車輛，因此Waymo分別用Waymo自動駕駛，代替了兩輛車的駕駛進行獨立的實驗。每一場車禍，研究人員會先將引發車禍的車輛駕駛替換成Waymo自動駕駛，再將回應車禍的車輛替換成Waymo自動駕駛，車禍測試總共進行了91次模擬。</p> <p>Waymo自動駕駛透過始終一致且持續的駕駛能力，以及遵守交通規則，就可避免撞車，官方提到，人類駕駛員經常犯錯，包括未讓路、疲勞、分心或是闖紅燈等，因此了解自駕車在回應人類錯誤的表現非常重要，當Waymo自動駕駛在回應碰撞事件的表現，比人類還要好，那就可以證明自動駕駛技術，在安全方面所帶來的好處。</p> <p>在測試中，當Waymo自動駕駛扮演回應車禍的角色，能夠避免82％的碰撞，而事實上，自動駕駛只是透過平穩一致的車輛駕駛達成此一結果，過程不需要緊急煞車或是緊急迴避反應。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-suXRwK8dwZE/YEZiUjX5-oI/AAAAAAAAANw/hhT_KkKFZswu7uzqGhuL_VoBPABZ-Mb9gCNcBGAsYHQ/s16000/worldsim.reconstruction.case_AZ1796255_surfels_noagent_cropped.2021-03-05%2B12_57_33.gif" style="width: 580px; height: 336px;" /></p> <p>另外有10％的場景，當Waymo自動駕駛是回應車禍的角色，其選擇了能夠減輕事故嚴重性的措施，只有8％的車禍是自動駕駛避免不了的，因為這些事故是被後方車輛追撞導致，自動駕駛沒有機會做出反應。</p> <p>Waymo自動駕駛可以以完全避免或是減輕所有的撞車，包牽涉行人和自行車的案例，換句話說，即便人類駕駛闖了紅燈，自動駕駛也可以避免或是減輕致命車禍的發生，Waymo提到，這是自駕車公司首次使用現實世界中的致命車禍事件，來評估其系統的表現。</p> </div></div></div>
2021/3/10 11:11作者李建興https://www.ithome.com.tw/news/143114
【網路犯罪也是一門講信任的生意】Emotet只和熟識的網路犯罪組織談合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年，最受關注的網路犯罪就是勒索軟體，比特幣等加密貨幣的普及，解決勒索的金流問題，也加速勒索軟體成為主要的網路犯罪手法之一。此外，勒索軟體本身也有所轉變，從隨機、漫天撒網式的勒索，逐漸轉變成鎖定特定產業或目標的針對式勒索（Targeted Ransomware），在在顯示，網路犯罪手法一直都在進化中。</p> <p>Emotet從最早的金融木馬，慢慢轉型到成為全球最大垃圾郵件發送的傀儡網路，同樣證明，Emotet的轉型都是跟著犯罪市場和犯罪模式轉變而來。</p> <p>趨勢科技威脅架構師Fyodor Yarochkin（費爾多）以Emotet傀儡網路為例，Emotet可以從2014年的金融木馬，一路存活到現在，他說：「Emotet現在已經轉型成為提供網路犯罪工具和服務的黑色產業業者。」</p> <p>事實上，現在很多網路犯罪論壇，根本看不到任何與Emotet相關的廣告，越是菜鳥級別的網路犯罪集團，才越需要透過網路廣告去接觸客戶，像是Emotet這種老牌的網路犯罪集團，已經有固定的客戶群，通常不需要透過網路廣告去接觸陌生客戶。</p> <p>Fyodor Yarochkin長期觀察表示，該網路犯罪組織本身有嚴謹的保密措施，加上具有很好的團隊領導能力，團隊成員之間也有很高的互信程度，向心力也夠強。藉此也可以證明，Emotet行事作風比較保守封閉，要和Emotet真實往來，甚至要有私交才可能。他說：「這或許也是多年來，世界各國執法單位一直很難抓到真實的罪犯的關鍵原因之一。」而此次親俄的烏克蘭警方可以抓到兩名系統管理員，對於未來進一步突破Emotet的犯罪網路的機會大增。</p> <p>的確，匿名與信任之間的難題在黑產界也真實存在，Fox-IT威脅分析師吳宗育（ZY Wu）表示，如何確認生意夥伴的背景不是FBI等執法單位的臥底警察，已經是這些網路犯罪組織必須真實面對的難題。</p> <p>畢竟，在2008年曾經有FBI探員臥底並抄家最大黑產論壇的殷鑑不遠；甚至於，合作的夥伴被執法單位抓到後，到底會不會出賣其他人，中間也存在有很多的操作空間。</p> <p>吳宗育指出，目前可以確定的事情是，Emotet並沒有公開販售傀儡網路的服務，也沒有公開的消息指出，該團隊在哪個地下論壇或群組販售服務或是招兵買馬。</p> <p>他說：「合理猜測，他們只和信任關係強烈的對象接觸生意，甚至這些黑產巨頭間，可能彼此都知道對方的真實身分。」</p> <p>對於外界曾經謠傳，Emotet的主事者曾經改弦易轍，吳宗育坦言，外界對於Emotet是否經歷易主並沒有辦法確定，畢竟，網路犯罪的生態很難追蹤到「人」的層面，除非是執法單位。</p> <p>但他說，如果以惡意程式家族轉型的層面來看，其實現在依然活躍的幾個金融木馬網路犯罪集團，大部分都已經轉型成下載器（Loader）或是RAT（Remote Access Trojan，遠端存取木馬程式），例如DRIDEX、GOZI等。</p> <p><span style="font-size:28px;"><strong>Emotet從金融木馬到傀儡網路的轉型之道</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/250%E8%A1%A8%E6%A0%BC-%E5%90%B3%E5%AE%97%E8%82%B2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%90%B3%E5%AE%97%E8%82%B2.JPG" style="width: 250px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);">Fox-IT威脅分析師吳宗育表示，Emotet並</span></strong><strong><span style="color: rgb(105, 105, 105);">沒有公開販售傀儡網路服務，也沒有在黑產</span></strong><strong><span style="color: rgb(105, 105, 105);">論壇出沒打廣告，可以推測，他們只和信得</span></strong><strong><span style="color: rgb(105, 105, 105);">過的熟人做生意。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／吳宗育</span></p> </td> </tr></tbody></table><p>吳宗育進一步分析Emotet的轉型之道，他指出，當年金融木馬百家爭鳴之際，即便成功植入金融木馬，真正順利把偷到的錢能夠順利變現的網路犯罪集團卻是少數。</p> <p>關鍵原因在於，隨著當年銀行規範和法規限制越來越多，加上洗錢難度也因為政策面的防護越來越嚴謹而隨之越來越高，都使得金融木馬日常維運的成本大幅增加、收益大幅減少，而想要把透過金融木馬取得的資金順利變現的難度也越高。</p> <p>Emotet也同樣面臨到原本的產品不符市場所需，必須重新開發新產品、重新占領市場的挑戰。</p> <p>吳宗育表示，當年，Emotet評估，網路犯罪市場中，並沒有非常自動化、先進的Spam Bot（垃圾郵件發送傀儡網路）；而早些年相當活躍的、資深且大規模的Necurs傀儡網路，其開發團隊其實更願意花更多的心思在開發早期的Rootkit上。</p> <p>他也指出，Emotet相較於其他傀儡網路網路犯罪集團，更是一個非常注重社交工程（Social Engineering）網路設計的組織，從偷取郵件信箱的帳號、密碼開始，再偷取信件並回覆給另一方，同時追隨各種熱門時事主題等，都是他們擅長的地方。</p> <p>更重要的是，上述的手法，很多部分都是自動化完成的。他說：「如果Emotet的垃圾郵件發送傀儡網路是第二名的話，就沒有其他網路犯罪組織敢說他們是第一名。」</p> <p>若要分析Emotet的轉型，吳宗育認為，2017年應該是關鍵的時間點。</p> <p>他以臺灣2017年到2018年又開始流行夾娃娃機為例來比喻──夾娃娃機風潮再起的原因在於，有人從這個生意賺了很多錢，也吸引其他更多的競爭者投入這個行業，同樣的情況也適用於網路犯罪集團。</p> <p>像是知名的網路犯罪組織Evil Corp，成功利用BitPaymer賺進大把鈔票後，也吸引後進者Ryuk跟進賺大錢。再之後，有越來越多的後起之秀，例如Revil、GandCrab、Egregor、Maza、DarkSide等，如雨後春筍出現在市場。</p> <p>至於，其他不易賺錢的金融木馬網路犯罪集團則紛紛轉型，成為更容易利用傀儡網路，或是勒索軟體賺大錢的網路犯罪組織，「這些網路犯罪集團紛紛在2017年前後冒出頭，這也成為這些網路犯罪集團轉型的關鍵時間。」他說。</p> <p>吳宗育同意，研究網路犯罪之所以迷人的地方，其實像是在研究一個小型生態，只要哪裡有生意，就會有競爭，近幾年來，菁英網路犯罪集團皆轉型成Comparmetalized（權責分工明確），所有網路犯罪的工具和流程，都變成一種服務。</p> <p><span style="font-size:28px;"><strong>Emotet全球有160萬臺遭駭主機，造成損失高達25億美元</strong></span></p> <p>根據美國司法部的資料顯示，Emotet感染的關鍵系統的電腦，包括：銀行、電子商務、醫療保健、學術界、政府機關以及科技產業等，從受駭電腦的IP回推國家所在地時發現，美國FBI甚至要通知五十多國的相關執法部門。</p> <p>這次八國聯軍針對Emotet的抄家行動，確定了全球遭駭的電腦主機有160萬臺，若是統計2020年到2021年1月17日的數據發現，就有超過4萬5千臺受駭電腦位於美國。</p> <p>此外，根據美國網路安全與基礎設施安全局（CISA）的資料也指出，每一次感染Emotet的惡意程式後，包括美國各州政府或是聯邦政府的系統復原費用金額，都高達一百萬美元之譜。</p> <p>事實上，美國FBI掃蕩Emotet的行動不只一次，但在2017年還是出現重大事故──美國北卡羅萊納州某學區的學術網路感染Emotet惡意程式後，不只感染並破壞了學校以及連上學術網路相關的電腦，也造成學術網路停用二周。</p> <p>若進一步計算該起Emotet造成的損失，不管是電腦解毒或者是更換電腦主機等，總體的損失至少超過140萬美元。更值得注意的是，從2017年迄今，不管是北卡羅萊納州和美國其他企業、關鍵機數設施的電腦主機，仍存在許多受駭者。FBI這次掃蕩行動也揭開和其他各國執法單位合作的契機，也證明「Emotet已經迅速升級為全球最大的網路威脅之一。」</p> <p>吳宗育也表示，Emotet的合作夥伴，包括TrickBot與Ryuk勒索軟體。根據研究顯示，光是贖金就已經賺了超過美金1.5億美元；而烏克蘭警方釋出逮捕Emotet成員的影片中則宣稱，該網路犯罪集團造成的損失高達25億美元。</p> <p>根據英國網路犯罪局的資料，Emotet為了維持相關基礎設施的正常維運，在兩年內，就投資至少50萬美元；若是分析Emotet加密貨幣交易平臺的金流，該組織光是在兩年內轉移的金額，就高達1,050萬美元。</p> <p>英國網路犯罪局也指出，Emotet助長近來嚴重的網路攻擊事件，其中有七成的惡意程式和Emotet相關，也包括Trickbot及Ryuk等，甚至於，對英國企業也帶來一定程度的經濟衝擊。</p> <p>「網路犯罪也是一門生意，」吳宗育說，如果做生意的成本變高，相對收入也必須增加，才有辦法維持獲利。因此，這次全球執法單位針對Emotet基礎設施的掃蕩行動，也對Emotet持續提供相關網路犯罪工具與服務的能力，造成大舉破壞。</p> <p><span style="font-size:28px;"><strong>Emotet半年左右可東山再起</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width: 250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/250%E8%A1%A8%E6%A0%BC-Fyodor-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><strong><span style="color: rgb(105, 105, 105);">趨勢科技威脅架構師Fyodor Yarochkin推</span></strong><strong><span style="color: rgb(105, 105, 105);">測，Emotet網路工具原始碼和架構都還</span></strong><strong><span style="color: rgb(105, 105, 105);">在，只要找到信得過的系統管理員，東山再</span></strong><strong><span style="color: rgb(105, 105, 105);">起只需要半年時間即可。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／趨勢科</span><span style="color: rgb(105, 105, 105);">技</span></p> </td> </tr></tbody></table><p>歷經這次大規模掃蕩行動後，Emotet能否東山再起？吳宗育表示，這個問題在2014年，FBI掃蕩GameOver Zeus、幕後主使者遭到起訴時，曾經被討論過。</p> <p>他認為，鑑往知來，新進犯罪集團與老屁股們找到了更好的生意模式，從傳統金融木馬或卡片側錄的模式，轉換到針對資料的勒索攻擊的發展態勢來看，我們可以發現，針對資料的網路攻擊模式，獲利比傳統的攻擊模式更大。</p> <p>吳宗育也說，Emotet和合作夥伴（Stealer），後續配套的惡意程式，較多是採用TrickBot、Zloader和Gozi等；而這些曾經的金融木馬惡意程式的特色是，喜歡在內網搜查並且橫向移動，然後再給予勒索軟體（Ransomware），像是TrickBot -> Ryuk的過程，Ryuk就是針對式勒索軟體。</p> <p>目前這個針對式勒索軟體看起來並沒有特別針對哪個產業或是單位，但他們會避開前蘇聯國家或使用俄語的電腦作業環境，或是他們認為沒有利用價值，或是不有趣的環境，也會予以迴避。</p> <p>Fyodor Yarochkin表示，這次的掃蕩行動雖然破獲許多中繼站（英國網路犯罪局宣稱有700臺中繼站），也逮捕兩名網路犯罪集團的系統管理員，但是Emotet的網路犯罪工具原始碼和架構都還存在，即便這次的掃蕩會影響Emote的運作，Fyodor Yarochkin評估，只要可以找到信得過的系統管理員，Emotet網路犯罪集團想要東山再起，大約需要半年時間即可。但他認為，這個重新東山再起的Emotet，不一定是原始的Emotet，也可能是複製或是再另外創立的Emotet。</p> <p>吳宗育也以研究網路犯罪的經驗為例，印證Fyodor Yarochkin這個假設的可能性很高。通常，執法單位有逮捕行動或是起訴出現時，網路犯罪集團通常會面臨分裂、拆夥，甚至是內鬨的情況，當然，也不乏有人賺飽之後便收山。</p> <p>根據目前消息指出，Emotet背後大老闆尚未落網，也就說，組建傀儡網路的程式原始碼依然在犯罪組織手裡。因此，以目前來看，我們固然無法確定Emotet何時重返戰場，但可以確定的是，黑色產業一定會從他們的失敗經驗中學習，並設計出更為棘手的武器。</p> <p>Emotet看起來被執法單位聯手摧毀了，似乎成功打垮惡名昭彰的Emotet傀儡網路，但從這些網路犯罪集團的運作模式來看，不論是採用敏捷的軟體開發方式，快速應對資安公司和執法單位找到的切入點，或是網路犯罪集團之間的互助合作和相互幫襯等，都可以證明，網路犯罪集團的「創意」，從來沒有被資安公司或是執法單位的掃蕩所扼殺。</p> <p>吳宗育認為，對一般企業或者是民眾而言，Emotet的掃蕩讓大家暫時鬆口氣，但對資安從業人員而言，必須要繃緊神經、嚴陣以待，因為「一個時代的結束，可能是另外一個時代的開始」，雖然沒有了Emotet，還有其他類似的網路犯罪集團躲在暗處，等著最有利的時刻，再狠狠大賺一筆橫財。</p> </div></div></div>
2021/3/10 07:00作者黃彥棻https://www.ithome.com.tw/news/143060
英特爾與微軟參與美國軍方研究單位DARPA的同態加密專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>屬於美國軍方的美國國防先進研究計畫機構（Defense Advanced Research Projects Agency，<a href="https://www.darpa.mil/news-events/2021-03-08" target="_blank">DARPA）在周一（3/8）發表</a>了「虛擬環境中的資料保護」（Data Protection in Virtual Environments，DPRIVE）專案，將利用「全同態加密」（Fully Homomorphic Encryption，FHE）來改善資料保護，並遴選4家業者打造FHE的硬體加速器，當中，雀屏中選的英特爾則攜手微軟加入了該專案。</p> <p>同態加密是一種加密形式，它允許人們針對密文進行特定形式的演算或分析，卻依然可得到正確的結果，意謂著密文並不需要解密就能進行分析或歸納。</p> <p>DARPA表示，傳統加密技術是在資料傳輸或存放時以加密來保護資料，當要進行資料運算或分析時便必須將資料解密，而這些被解密的資料就曝露在外洩或被濫用的風險中，FHE可在加密狀態下運算，允許使用者在保護及利用資料之間取得平衡，然而，難以實踐FHE的最大原因在於它需要大量的運算資源與時間，例如在一台標準筆電上於1毫秒就能完成的運算，若是在一台伺服器上以FHE格式運算，大概需要數周才能完成。</p> <p>為了改善FHE格式的運算能力，DARPA發起了DPRIVE專案，打算藉由開發一個FHE運算的硬體加速器，大幅減少單純透過FHE軟體運算所耗費的時間，讓FHE得以實際應用於國防或商業上。</p> <p>DARPA也遴選出4個團隊來參與該專案，它們分別是Duality Technologies、Galois、SRI International與Intel Federal，每個團隊都將開發一個FHE硬體加速器及軟體堆疊，目標是讓FHE的運算速度可以接近未加密的資料操作，這些團隊將負責建立具彈性、大規模且可程式化的加速器架構，以解決FHE目前所面臨的難題。</p> <p>英特爾表示，該公司計畫設計一個特殊應用積體電路（ASIC）加速器，來減少全同態加密的效能負擔，若可完全實現，該加速器將可大幅改善在既有CPU驅動系統上執行FHE任務的能力，也許可降低5個級數的密文處理時間。</p> <p>此外，英特爾則選上了微軟作為該公司的合作夥伴，微軟將貢獻其雲端運算與同態加密的專業，並規畫全同態加密的商用部署，雙方亦著眼於建立FTE的全球標準。</p> <p>不過，DPRIVE是個多年專案，有許多階段必須完成，從設計、開發、驗證要整合至系統單晶片的IP區塊，再加上完整的軟體堆疊等，意謂著全同態加密可能無法在短時間內普及。</p> </div></div></div>
2021/3/9 16:34作者陳曉莉https://www.ithome.com.tw/news/143113
蘋果釋出iOS、Mac更新，修補可在裝置上執行惡意程式碼的Safari漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-ca/HT212221" target="_blank">蘋果昨（8）日釋出</a>iOS 14.4.1、iPadOS14.4.1、macOS Big Sur 11.2.3，以修補可在裝置上執行惡意程式碼的Safari引擎WebKit漏洞。</p> <p>最新一波更新主要修補iOS、iPad及macOS上瀏覽器引擎WebKit的漏洞（編號CVE-2021-1844）。它是由Google威脅分析小組研究員Clément Lecigne、及微軟瀏覽器漏洞研究員Alison Huffman通報。駭客可以誘使Safari用戶連向植有惡意內容的網頁觸發，導致記憶體毁損，而得以在用戶裝置上執行任意程式碼。</p> <p>iPhone及iPad用戶可以在「設定」App下的「一般」>「軟體更新」中手動更新。Mac電腦用戶則可從「系統偏好」選單中的「軟體更新」來下載安裝。</p> <p>蘋果1月才釋出iOS/iPadOS 14.4及macOS Big Sur 11.2，以修補WebKit上另一漏洞<a href="https://www.ithome.com.tw/news/142770" target="_blank">CVE-2021-1801</a>，該漏洞可導致WebKit沙箱防護被突破，攻擊情境包括駭客在合法網站或廣告植入惡意JavaScript以將用戶導向詐騙網站。</p> </div></div></div>
2021/3/9 16:59作者林妍溱https://www.ithome.com.tw/news/143115
巴賽隆納世界通訊大會將在6月展開，防疫措施出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為COVID-19疫情而一延再延的巴賽隆納世界通訊大會（Mobile World Congress，MWC），終於要在今年6月登場了，主辦單位<a href="https://www.gsma.com/newsroom/press-release/gsma-presents-health-and-safety-plan-for-mwc21/" target="_blank">GSMA在本周公布了防疫措施</a>，同時預期今年將會有4到5萬名與會者參加。</p> <p>MWC大會主要是由來自手機、軟體、電信和無線通訊業者，以及相關領域的專家撐場，現場會展示各種新產品與服務，以及舉辦多場的行動產業趨勢或技術研討會，通常是在每年的2月舉辦，去年2月的活動因疫情而取消，原本延後到今年3月，再因疫情考量延至6月，今年已確定要在6月28日至7月1日，同時於實體會場及虛擬入口展開。</p> <p>由於疫苗尚未普及，因此MWC的安全性仍以篩檢為主，許多國家的與會者要離家搭上飛機前，都必須具備合格的篩檢結果，下機時西班牙政府也會檢驗；若是搭乘火車或開車至現場，也必須先至MWC的篩檢中心報到；所有的與會者都必須擁有72小時內的陰性篩檢證明，若逾期就必須至MWC合作的快速篩檢中心重新檢驗；而且展場的所有入口都會有體溫檢查。</p> <p>除了篩檢結果之外，會場也經過特別設計，像是出/入口都增加了一倍，以確保社交距離，同時會場內只能單向走動；儘可能地數位化以建立一個非接觸式的環境；展場內的Fira Gran Via餐廳除了全面消毒之外，也會確保社交距離並採用非接觸的支付程序；改善展場的空調並升級基礎設施來加強活動與密度管理能力；場內有醫療設施與相關人員；與會人員需戴上諸如N95等防護型口罩（FFP2）。</p> <p>由於並非所有的與會者都能親自參加，因此MWC21 Barcelona將同時提供虛擬形式，讓無法到場的會員也能參與。此一結合實體與虛擬的混合形式已於今年2月，率先應用於MWC上海2021，當時MWC透過一個虛擬入口網站來展示業者的產品與服務，還直播了所有的演講與會議。</p> <p>GSMA預估今年會有接近5萬人親自到場，雖然有不少媒體質疑此一目標，但身為全球最大行動通訊博覽會的MWC，過去幾年來的與會人數都突破10萬。</p> </div></div></div>
2021/3/9 15:33作者陳曉莉https://www.ithome.com.tw/news/143110
微軟能發現存在逾10年的Exchange重大漏洞，臺灣研究人員的通報是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周公布並修補遭到駭客攻擊的Exchange Server漏洞，但安全專家質疑微軟從1月初經臺灣安全廠商通報到實際修補，花了快2個月，動作太慢，而且懷疑漏洞存在可能已超過10年。</p> <p>上周三微軟公布Exchange Server 4項漏洞（合稱為ProxyLogon）遭到駭客組織開採，以駭入企業竊取郵件，並會在Exchange Server建立後門。微軟是在安全廠商Volexity及Dubex通報下得知攻擊行動。Dubex和Volexity是在1月27日及2月2日分別通報微軟。</p> <p>但是<a href="https://krebsonsecurity.com/2021/03/a-basic-timeline-of-the-exchange-mass-hack/" target="_blank">微軟對資安部落格KrebsonSecurity坦承</a>，他們是在1月初發現情況有異，但直到3月2日（臺灣時間3月3日）發出緊急安全公告及修補程式，已經將近2個月。</p> <p>最早通報微軟的可能是臺灣資安業者戴夫寇爾（DEVCORE）。<a href="https://proxylogon.com/" target="_blank">根據戴夫寇爾的說明</a>，他們早在去年12月就發現Exchange的CVE-2021-26855及CVE-2021-27065兩個漏洞以及可被串聯攻擊，1月5日就警告微軟可能的攻擊行動，並在1月6日獲得微軟方面證實漏洞及攻擊可能性。另一方面，Volexity原先研判針對CVE-2021-26855發動的跨網站請求偽造(SSRF)攻擊，最早出現在1月6日，但昨天<a href="https://www.volexity.com/blog/" target="_blank">Volexity認為</a>應該要再往前推到1月3日。</p> <p>3月2日微軟釋出安全公告當天，<a href="https://twitter.com/orange_8361/status/1366755875143118849" target="_blank">戴夫寇爾資安研究員蔡政達也預告</a>微軟的修補行動，顯然深知微軟的作業進度。</p> <p>根據微軟公告，受影響的Exchange Server版本包括2013、2016及2019。此外，為了深度防禦（defense in depth）理由，微軟也為不再支援的Exchange Server 2010提供更新。KrebsonSecurity指出，這表示這些漏洞可能影響Exchange Server程式碼超過10年。</p> <p>駭客只要發現未修補Exchange漏洞的伺服器即可發動攻擊。從3月2日微軟公告起算，短短三天內美國被駭的Exchange Server至少超過3萬家組織，包括研究機構、智庫、警察消防局、地方政府、銀行、電信業者或中小企業，全球受害者也可能來到數十萬，包括今天公布的歐洲金管會旗下歐洲銀行管理署（European Banking Authority）。</p> </div></div></div>
2021/3/9 15:55作者林妍溱https://www.ithome.com.tw/news/143111
微軟針對Exchange Server零時差漏洞釋出惡意web shell偵測工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/" target="_blank">微軟本周末更新</a>Windows安全工具Microsoft Safety Scanner（MSERT），以協助企業偵測Exchange Server中有無駭客植入的web shell程式。</p> <p><a href="https://www.ithome.com.tw/news/143001" target="_blank">微軟上周發出安全公告</a>，指出一個由中國政府支持的駭客組織Hafnium，正在利用Exchange Server合稱為ProxyLogon的4項零時差漏洞（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858及CVE-2021-27065），以駭入本地部署郵件系統的組織，目的在竊取私密郵件。同時也針對受影響的Exchange Server 2013、2016和2019版緊急釋出更新版本。</p> <p>微軟強烈建議用戶立即更新Exchange Server軟體。一旦攻擊者成功駭入Exchange環境就會植入web shell程式，這種網頁程式有如後門，讓駭客得以長期從遠端控制受害組織的Exchange Server，包括竊取郵件、帳號資訊、執行任意程式碼、或在內部網路橫向移動。</p> <p>微軟的Microsoft Defender for Endpoint已經整合最新版的Microsoft Safety Scanner(MSERT.exe)，以偵測可能的惡意web shell，包括</p> <p>Exploit:Script/Exmann.A!dha、Behavior:Win32/Exmann.A、Backdoor:ASP/SecChecker.A、Backdoor:JS/Webshell (非僅Exchange Server攻擊獨有)、Trojan:JS/Chopper!dha (非僅Exchange Server攻擊獨有)、Behavior:Win32/DumpLsass.A!attk (非僅Exchange Server攻擊獨有)、Backdoor:HTML/TwoFaceVar.B (非僅Exchange Server攻擊獨有)</p> <p>未使用Microsoft Defender的用戶，也可<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/intelligence/safety-scanner-download" target="_blank">單獨下載</a>Microsoft Safety Scanner（MSERT）工具。管理員可以選擇全系統掃瞄或自訂掃瞄範圍。可能藏有web shell的資料夾包括：</p> <p><span style="color:#800000;"><strong>● %IIS installation path%\aspnet_client\*</strong></span></p> <p><span style="color:#800000;"><strong>● %IIS installation path%\aspnet_client\system_web\*</strong></span></p> <p><span style="color:#800000;"><strong>● %Exchange Server installation path%\FrontEnd\HttpProxy\owa\auth\*</strong></span></p> <p><span style="color:#800000;"><strong>● 暫時性的ASP.NET files path</strong></span></p> <p><span style="color:#800000;"><strong>● %Exchange Server Installation%\FrontEnd\HttpProxy\ecp\auth\*</strong></span></p> <p>Microsoft Safety Scanner使用的定義檔和Defender一樣，可用於偵測和移除上述的web shell，只是不會主動即時偵測，而需由使用者自己執行。</p> <p>從微軟上周三（3/3）發出安全公告短短幾天內，針對未修補的Exchange Server漏洞開採行動大幅增加。安全廠商指出，如果使用Exchange的企業組織沒有更新，極大可能此時已經被駭。</p> <p>由於Exchange Server使用十分普及，加上許多企業也設定可遠端存取的Outlook Web Access (OWA)，因此這次漏洞影響全球眾多政府和民間機構。安全廠商估計，過去幾天內美國境內至少有3萬個企業及政府單位，包括州、郡、市政府，警察、消防單位及銀行、電力公司、小型企業、長照機構等已經被駭。而全球可能也有數萬、甚至數十萬機構受害，這些企業的漏洞修補及web shell清除，將是耗費極大人力的工程。</p> <p>歐洲金融主管機關下的歐洲銀行管理署（<a href="https://www.eba.europa.eu/cyber-attack-european-banking-authority" target="_blank">European Banking Authority，EBA）昨天也公告</a>其Exchange Server被駭入。EBA已經將郵件系統下線，並配合安全專家及有關單位調查資料外洩的情形。</p> <p>微軟提醒，這些工具雖能發現已知攻擊，但不保證能完全防止針對上述4項漏洞的攻擊。微軟表示會持續更新這些安全工具。</p> </div></div></div>
2021/3/9 14:47作者林妍溱https://www.ithome.com.tw/news/143109
Secureworks：SolarWinds伺服器上的Supernova木馬可能源自中國駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/141906" target="_blank">SolarWinds證實</a>系統上同時被植入兩種不同的木馬程式Sunburst與Supernova之後，資安業者Secureworks本周針對Supernova<a href="https://www.secureworks.com/blog/supernova-web-shell-deployment-linked-to-spiral-threat-group" target="_blank">發布了研究報告</a>，指出Supernova應是由駭客集團Spiral所植入，而Spiral可能來自中國。</p> <p><a href="https://www.ithome.com.tw/news/141543" target="_blank">去年12月，資安業者FireEye率先公布</a>遭到國家級駭客的攻擊，隨後即傳出美國多個機構也受到同樣的攻擊，駭客先攻陷了SolarWinds的IT監控平臺Orion Platform建置程序，於不同的Orion版本上植入Sunburst木馬，進而危害Orion Platform的用戶，儘管多數資安業者認為Sunburst是源自俄羅斯駭客，但迄今尚未有確實證據；至於Supernova因與Sunburst手法不同，使得外界懷疑SolarWinds其實遭到不同人馬的攻擊，現在Secureworks則說兇手可能是中國的駭客集團。</p> <p>Secureworks指出，他們是在去年11月偵測到Supernova，駭客開採了SolarWinds Orion API認證繞過漏洞CVE-2020-10148以植入Supernova，而且此一攻擊行動與Sunburst供應鏈攻擊無關。Supernova在系統內進行偵查活動，且使用合法的comsvcs.dll函式庫來轉儲LSASS程序的內容，以取得憑證，並將受害者的網路分享到兩臺主機上。</p> <p>Secureworks發現，駭客集團Spiral的行為和ManageEngine ServiceDesk伺服器在2018年遭到駭客入侵的手法一致，且目的都在於長期維護存取能力，定期獲得憑證並汲取資料，以監視或盜走智慧財產權，應是來自同一個駭客集團，此外，他們認為ManageEngine的攻擊行動與中國駭客有關。</p> <p>另一方面，Secureworks的端點偵測與回應代理人查到一個不屬於受害組織的主機，該主機的IP位址是在中國，而這個主機所使用的名稱，恰巧與駭客透過VPN來連結受害網路的另一個主機名稱一致，雖然它們使用的是Windows 7主機的預設名稱，但這並不符合受害組織的主機命名規則。</p> <p>研究人員推測，駭客應是在無意間曝露了IP位址，但這也呼應了Spiral只攻擊中國以外市場的假設。</p> <p>目前SolarWinds或美國尚未公布此一攻擊事件的完整受害規模，也未證實攻擊來源，就算是集結了業界的專家，<a href="https://www.ithome.com.tw/news/142055" target="_blank">美國政府也只敢說</a>可能是俄羅斯駭客要對SolarWinds攻擊事件負責，而Secureworks亦坦言，要追究攻擊來源是困難的，就算是資安社群也常有不同的見解與觀點，於是選擇公布詳細的研究結果與業界共享。</p> </div></div></div>
2021/3/9 13:00作者陳曉莉https://www.ithome.com.tw/news/143107
McAfee以40億美元出售企業安全資產，專注消費業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌安全廠商<a href="https://www.businesswire.com/news/home/20210308005291/en/McAfee-Announces-Sale-of-Enterprise-Business-to-Symphony-Technology-Group-for-4.0-Billion" target="_blank">McAfee昨（8）日宣布</a>，將把企業安全業務出售給私募基金公司，未來將把重心放在消費者安全產品上。</p> <p>McAfee將以40億美元全現金將企業安全業務，包括員工、資產賣給由Symphony Technology Group率領的投資團隊。除去主管機關許可及相關條件等因素，這項業務預計2021年底完成。</p> <p>McAfee發展企業安全業務超過30年，現今產品線涵括裝置到雲端的安全解決方案，客戶遍及財星百大企業中的86%，2020年會計年度營收帶進13億美元。</p> <p>2010年被原創辦人John McAfee賣給了英特爾後，McAfee改名為Internet Security，2016年再度獨立出來賣給了資產管理公司TPG，並改回原名McAfee。2020年底McAfee公司再度向美國證管會提出欲在那斯達克市場IPO的申請。</p> <p>McAfee執行長暨總裁Peter Leav指出，這項交易使McAfee得以專注在消費者業務上，以加速推動McAfee成為消費者個人安全產業領導廠商的策略目標。轉型為消費者產品供應商的McAfee將維持原品牌名，而出售後的企業產品部門將另立品牌。</p> <p>McAfee也可藉此交易紓解公司的財務狀況，包括削減近10億美元的債務，以及償付其他交易開支。<a href="https://techcrunch.com/2021/03/08/mcafee-sells-enterprise-biz-to-symphony-technology-group-for-4b/" target="_blank">Techcrunch報導</a>McAfee今年也裁了數百名員工，並關閉位於以色列的軟體開發中心。</p> <p>Symphony Technology Group去年2月也從Dell手上，<a href="https://stgpartners.com/2020/02/18/definitiveagreement-rsa/" target="_blank">以20億美元買下了</a>認證及加密方案業務RSA。Techcrunch報導，McAfee企業安全及RSA或可有某種程度的搭配，它們都是技術優異的公司，只是趕不上技術更新的競爭者。</p> <p>而原創辦人McAfee則陷入官司麻煩，上周因詐欺與共謀洗錢罪名<a href="https://www.justice.gov/usao-sdny/pr/john-david-mcafee-and-executive-adviser-his-cryptocurrency-team-indicted-manhattan" target="_blank">被美國政府起訴</a>。</p> <p>2019年賽門鐵克也將企業安全業務，以107億美元的代價連同賽門鐵克的品牌<a href="https://www.ithome.com.tw/news/132339" target="_blank">賣給了晶片廠商博通</a>，自己則改名為NortonLifeLock，專注銷售消費者防毒品牌Norton及身份安全產品LifeLock。</p> </div></div></div>
2021/3/9 11:40作者林妍溱https://www.ithome.com.tw/news/143106
數位權利大調查：印度關閉限制境內網路流量次數居全球之冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門捍衛全球數位權利的非營利組織Access Now本周公布了<a href="https://www.accessnow.org/keepiton-report-internet-shutdowns-shatter-dreams-endanger-lives/" target="_blank">2020年的數位權利調查</a>，指出去年總計有29個國家關閉或干預當地的網路連線，總次數為155次，而印度則以109次再度居冠。</p> <p>此外，葉門雖僅以6次位居第二，但在葉門發生的網路中斷事件卻備受矚目，該國去年發生了武裝衝突，不同的陣營都威脅要關閉網路服務作為籌碼，而枉顧人民的權益，包括空襲某些通訊網路，造成當地的金融服務或銀行服務都暫停，有些破壞活動則讓部份區域無法連網長達數周。此外，阿爾卡特朗訊光纜網絡（FALCON）去年有兩條海底電纜故障，波及了多個國家，其中葉門有80%的地區更因此失去網路服務。</p> <p>而白俄羅斯（Belarus）為了選舉，在選舉期間相繼封鎖了YouTube、WhatsApp、Viber、VPN服務、Google Play、行動網路、社交網站，且此番限制網路服務存取的行動長達121天。</p> <p>孟加拉政府則是禁止境內的電信營運商提供高速網路予當地的難民營，這項禁令從2019年延續到2020年，長達355天。至於近來頻頻登上媒體的緬甸，對當地網路的干預從2019年6月至今仍未停止過，有時全面關閉行動資料服務，有時只允許2G網路，目前該國仍然限制網路傳輸能力，禁令至少會持續至今年的3月31日。</p> <p>印度政府習慣以關閉網路作為各種抗議或違反政令的懲罰手段，例如<a href="https://www.ithome.com.tw/news/135304" target="_blank">在去年</a>切斷克什米爾區域的所有通訊管道，或是<a href="https://www.ithome.com.tw/news/134857" target="_blank">在2019年</a>因民眾抗議《公民法案修正版》而大規模關閉許多地區的網路。現在假新聞與非法內容也經常成為印度政府切斷網路的理由。</p> <p>去年印度更一度實施「網路宵禁」政策，每天一到達特定時間即關閉網路，無怪乎<a href="https://edition.cnn.com/2019/12/14/opinions/india-world-leader-in-internet-shutdowns/index.html" target="_blank">被CNN封為</a>「全球網路關閉之王」。</p> </div></div></div>
2021/3/9 11:02作者陳曉莉https://www.ithome.com.tw/news/143105
臉書發表採用自我監督學習技術的電腦視覺模型SEER
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書新開發了一個稱為<a href="https://ai.facebook.com/blog/seer-the-start-of-a-more-powerful-flexible-and-accessible-era-for-computer-vision/">SEER</a>（SElf-supERvised）的自我監督式電腦視覺模型，能夠準確辨識圖像中的內容，SEER具有數十億個參數，可從網際網路上任何圖像中學習，不需要像當今大部分電腦視覺模型的訓練，需要經仔細的安排，並且使用標註資料集。另外，臉書還發表了用來開發SEER的底層開源函式庫VISSL，期望能使自我監督學習技術更加普及。</p> <p>自我監督式學習現在被大量應用在自然語言處理上，特別是在問答、機器翻譯和自然語言推論方面，已經有了重大的突破，而現在臉書將自我監督的學習範式轉移到電腦視覺上，開發出SEER。</p> <p>臉書提到，自我監督在文字和圖像上的應用不同，對文字來說，語意概念會被分解為離散的單詞，而在圖像上，演算法會決定畫素所屬的概念。此外，同一個概念在圖像中，也有很大差異，例如同樣是貓，但是不同姿勢的貓和從不同角度拍攝的貓變化很大，因此演算法需要從大量的圖片中學習，才能掌握單一概念的變化。</p> <p>因此要擴展模型，使其能夠處理高維度的圖像資料，需要兩個重要功能，第一是從大量隨機圖像中學習，而不需要任何元資料以及註解，第二則是需要足夠大的卷積網路，才能從龐大且複雜的資料中，捕捉並學習每一個視覺概念。臉書開發了一個稱為SwAV的新演算法，可以使用線上分群功能，快速地以視覺概念和相似度分組圖像，以SwAV為基礎，臉書加速了自我監督訓練的速度，減少6倍的訓練時間。</p> <p>另外，Runtime和記憶體效能也是很重要的要素，臉書使用了他們最近剛開發的新模型RegNets，該模型是一種卷積網路，經過特別設計，可以擴展到數十億甚至數兆參數，並且進行最佳化，以適應不同Runtime和記憶體限制。</p> <p>在經過10億張隨機、未經整理和標記的公共Instagram圖像進行預訓練，結果顯示SEER的效能比起當前最先進的自我監督系統還要好，在ImageNet上達到Top-1指標的準確性有84.2％，也就是說，在對圖像進行預測時，機率最大的結果即為正確答案的準確度為84.2％，而即便只使用10％的ImageNet資料集進行訓練，SEER的Top-1精確度仍達到77.9％，而使用1％帶有註解的ImageNet範例訓練，則Top-1精確度達到60.5％。</p> <p>臉書提到，這項發展是一項重大的突破，因為證明自我監督學習可被用於電腦視覺中，而且強化了電腦視覺模型的靈活性、準確性和適應性。</p> <p>隨著這個自我監督式電腦視覺模型SEER發表，臉書同時也推出SEER底層所使用的VISSL函式庫，VISSL是一個以PyTorch為基礎的函式庫，可以讓開發者簡單地在圖像任務中應用自我監督技術。VISSL包含了一個基準組合，和超過60個現成的預訓練模型，研究人員可以簡單地比較數種自我監督方法。</p> </div></div></div>
2021/3/9 11:08作者李建興https://www.ithome.com.tw/news/143093
IBM發表AI平臺MolGX，可自動設計分子結構加速新材料探索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM新推出的<a href="https://www.ibm.com/blogs/research/2021/03/ibm-molecule-generation-experience/">Molecule Generation Experience（MolGX）人工智慧平臺</a>，是一個以IBM雲端為基礎的分子逆向設計平臺，可以快速且多樣化地自動設計出全新的分子結構。MolGX是IBM加速探索策略中的一部分，該政策目的是要使用人工智慧、混合雲和自動化，甚至是量子運算技術，來強化科學方法，將新材料的探索速度，提高10到100倍。</p> <p>IBM提到，新材料的發現，是推動工業產品發展的驅動力，從組織工程到藥物探索，以及發現永續材料，仍有成千上萬的化合物等待人類發現，但是材料結構設計組合的化學空間太過巨大，超出人類科學家探索的能力，而借助人工智慧，則可以加速人們探索的腳步。</p> <p>IBM開發MolGX的目的，是要利用新的分子生成人工智慧模型技術，加速分子逆向設計，研究人員提到，就像是人工智慧能夠繪製不存在的風景圖或是肖像一樣，這些生成模型也可以被用來建立分子結構，根據需要的化學特性，像是水的溶解性和可加熱性，讓生成模型可以根據參數，生成擁有特定化學特性的分子結構。</p> <p>MolGX主要提供了3個特性，首先，MolGX使用以演算法為基礎的編碼和結構產生程序，不像是其他由資料驅動的方法，MolGX不需要使用大型資料集進行預訓練，也沒有因任務帶來的訓練成本。再來是，MolGX的空間和結構生成程序，對人類化學科學家來說是完全可解釋的，因此能夠簡單地對分子結構進行化學分析。MolGX第3個特性，則能提供分層資料結構和清晰的使用者介面，讓用戶可以靈活且直覺地操作。</p> <p>材料的特性取決於分子的形狀，但是分子形狀幾乎是無限的，因此過去人們需要花費大量的時間開發新材料，而人工智慧和混合雲技術的成長，進而促使MolGX這類技術的發展，讓人們能以更有效率且更經濟的方式開發材料。MolGX提供了一種全新的材料開發途徑，不只減少開發時間，也能夠不受固定觀念束縛，創新地開發新材料。</p> </div></div></div>
2021/3/9 11:19作者李建興https://www.ithome.com.tw/news/143103
【透視Emotet難以遏止的原因】全球最大Botnet起底，他們竟用敏捷開發來加速自我演化！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群烏克蘭警察荷槍實彈闖進一棟民宅進行攻堅，雷霆萬鈞的逮捕行動，氣勢驚人。進入民宅內，舉目可見的景象，並非黑幫電影常見火力驚人的槍枝，也不是各種粉狀物，反而是一臺臺沒有安裝機殼的電腦、伺服器，甚至還有一大堆的硬碟、隨身碟，以及大量的現金鈔票等等。</p> <p>因為，烏克蘭警方這次逮捕的不是常見的販毒、擁槍自重者，或是強盜殺人的罪犯，而是看似距離民眾生活很遠、影響卻很深的網路犯罪集團。而且，在這次攻堅行動遭到烏克蘭警方逮捕的兩名罪犯，也不是一般的黑帽駭客、網路攻擊組織成員，而是全球規模最大傀儡網路Emotet的系統管理員。</p> <p>事實上，網路犯罪已經是各國面臨最嚴重的資安威脅之一，無遠弗屆的網際網路，也讓網路犯罪的幕後主使者，不一定要藏身在本國境內，加上，現在有越來越多駭客組織透過雲端服務，將各種網路犯罪工具轉變成可營利的服務，不僅做到網路犯罪無國界，更可以做到駭客家中坐，千里之外就可以操控各種網路犯罪的發生。</p> <p>網路犯罪集團擁有的強大的攻擊武器，其實就藏在警方找到的一臺臺硬碟中，當中存放著各式各樣的惡意程式、傀儡網路，以及垃圾郵件內的惡意連結和下載器（Downloader）等。而這種網路犯罪的攻擊武器，並不是真實世界中的各式槍枝彈藥，而是儲存在各種硬碟中的惡意程式，同時，還有精心打造的網路基礎架構，這些也是網路犯罪黑色產業鏈中，得以持續發展的關鍵之一。於是，有人說：「惡意程式不死、網路犯罪不止」，無疑就是最貼切的資安威脅寫照。</p> <p>黑色產業的蓬勃發展，可能在很多人的意料之中，但為何他們生生不息、始終無法趕盡殺絕？「有利可圖」說得簡單，但能否長久經營、永續發展，一定有他們獨到的經營之處。</p> <p>若以烏克蘭警方此次參與逮捕Emotet傀儡網路的網路犯罪為例，我們可以發現，這些網路犯罪集團為了在最短的時間內，將全球資安專家或執法單位找到、能藉此掌握Emotet的漏洞修補完成，軟體開發和修補的「速度」就是關鍵。</p> <p>而且，有些資安專家也察覺Emotet已經做到了軟體快速迭代，而原因正是Emotet採用了敏捷式的軟體開發方式，才可以在和全球執法單位以及資安公司的全面圍堵和追殺中，從傳統的金融木馬持續轉型，成為提供網路犯罪工具和服務的組織，並成為全球規模最大的垃圾郵件發送傀儡網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-P32%2B33%2B34-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E4%B8%8A%E5%8D%8A.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">1月27日歐洲刑警組織（Europol）宣布，在歐洲刑警組織以及其他八個國家的警方通力合作之下，他們切斷了Emotet的基礎設施運作。其中，烏克蘭警方攻堅民宅的過程，也逮捕到兩名Emotet系統管理員，攻堅現場就像是宅男工作室，除了一臺臺電腦外，還有一大堆硬碟、隨身碟以及大量的現金。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／烏克蘭警方</span></p> <p><span style="font-size:28px;"><strong>瓢蟲行動展現執法單位掃蕩網路犯罪集團實力</strong></span></p> <p>黑色產業的網路犯罪集團和執法單位的對峙，往往是漫長且無止盡的，因為面對網路犯罪集團或一般企業組織，只需對方有一個小漏洞，就可以「攻擊」，所以，無論是執法單位想要趁隙而入，或者是企業想做到全面防守，都是高難度的任務。</p> <p>烏克蘭警方這次的攻堅行動，其實是歐洲刑警組織（Europol）日前聯合包括荷蘭、德國、美國、英國、法國、立陶宛、加拿大，以及烏克蘭等八國警方，以及許多資安研究人員攜手掃蕩的行動之一，目的是破獲全球規模最大的傀儡網路（Botnet）Emotet的網路基礎架構，而這項攻堅外界稱之為瓢蟲行動（Operation Ladybird）。</p> <p>該次行動中，不僅逮捕Emotet的系統管理員，也針對位於九十多個國家、負責下命令與指揮（Command and Control Infrastructure）的基礎架構，進行大舉破壞並接管。</p> <p>從烏克蘭警方釋出的逮捕影片中，我們則可以發現，警方同時查獲許多現金、電腦和硬碟等設備，更直接逮捕Emotet的兩名系統管理員。</p> <p>烏克蘭警方對外宣稱，Emotet造成的損失估計超過25億美元，主要傳播途徑是透過垃圾郵件，散布惡意連結，以及惡意文件──透過微軟Word文件巨集，可以在受害的電腦中，下載銀行木馬及勒索軟體等惡意程式。</p> <p>對於此次Emotet的偵破，精通俄文並長期觀察Emotet等網路犯罪組織運作模式的趨勢科技威脅架構師Fyodor Yarochkin（費爾多）表示，這次全球執法單位可以順利破獲Emotet基礎架構和逮捕系統管理員，是因為警方有長期的觀察和布局，才可能成功。</p> <p>而從這次的掃蕩行動，警方發現，Emotet提供的各種基礎架構和網路犯罪工具，往往都是和會說俄文的網路犯罪組織共用，甚至有研究指出，Emotet傀儡網路不會入侵及操控俄語系的電腦。</p> <p>事實上，這次歐洲刑警組織和八國警方聯手策畫的瓢蟲行動，雖然不是第一次大規模針對傀儡網路的掃蕩行動，但同樣懂俄文的Fox-IT威脅分析師吳宗育（ZY Wu）認為，此次行動頗具意義。</p> <p>根據他的觀察，此次行動聯合了八個國家的執法單位，而且在同一週針對Emotet進行打擊，其中也包含以往比較親俄羅斯的烏克蘭警方。</p> <p>因此，本次行動不僅展現執法單位對於打擊網路犯罪的行動力，因為Emotet相對於其他網路犯罪組織顯得保守謹慎，各界也了解到，唯有親俄的烏克蘭警方才能夠逮捕到Emotet系統管理員，並讓其他網路犯罪組織暫時消停。</p> <p><span style="font-size:28px;"><strong>Emotet像是採用敏捷開發的黑產商業軟體公司</strong></span></p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">敏捷開發是當前軟體開發的顯學，能讓開發團隊透過快速迭代的方式，持續修正過往所犯下錯誤，不過，這並非特定企業組織或個人專利，網路犯罪團體當然也能採用這樣的作法，快速調整本身「產品與服務」的適應能力。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／趨勢科技</span></p> <p>Fyodor Yarochkin長期觀察各種駭客集團的運作模式，對於Emotet屹立不搖的原因，他提出一個出乎大家意料卻合理的論點，那就是：Emotet的運作模式更像是一般的商業軟體公司，只不過他們是以惡意軟體的開發為主，其內部組織架構如同一般商業公司，有系統管理員、軟體開發工程師和老闆等專業分工體系。</p> <p>他說，若從Emotet各種惡意程式的開發、維運，以及各種惡意程式版本快速迭代、功能更新等過程來看，Emotet有系統管理員、軟體開發工程師、老闆、開發團隊等，再對照他們「出品」的各種惡意程式版本更新速度、新功能增加和自動化部署等流程，甚至可以確定：Emotet更像是一個採用敏捷開發（Agile）的惡意程式商業軟體公司。</p> <p>然而，敏捷開發不代表快速的軟體開發，而是軟體開發團隊可以針對過去在開發過程中，持續修正過往所犯下錯誤進行的快速迭代過程。</p> <p>Fyodor Yarochkin指出，若分析Emotet惡意程式每一次的版本更新，我們可以發現，Emotet每次版本更新，其實都會「回應」市面上執法單位或是資安公司的防禦機制，就算守方從特定功能面向，阻絕了Emotet進一步的散布，等到下次的軟體更版，Emotet就會另闢蹊徑，新增不同的功能，針對那些被阻絕的散布管道或是通訊協定，提出新的手法來對應。</p> <p>而且，Fyodor Yarochkin也說，Emotet惡意程式不論是主要的版本更新或是小型的功能新增，都會先在某一個測試環境測試功能後，才正式發布到產品更新、派送或部署的產品環境中。「觀察Emotet的惡意程式開發流程，和一般商業軟體公司相比差不了多少，之外，在版本功能更新和更版速度上，也掌握敏捷開發的精神。」他說。</p> <p>Emotet惡意程式開發流程也相當嚴謹，吳宗育長期觀察指出，從執行檔的特徵也可以發現，Emotet開發團隊採取模式更傾向敏捷開發，頻繁在短時間內釋出小幅更新，前後版本相隔時間最短只有一週。</p> <p>他也說，在正式使用新開發的模組前，Emotet也會先選擇少量受感染機器進行客戶端實體測試。綜觀整體開發流程，與一般軟體公司的流程十分相近。</p> <p>更有甚者，吳宗育的觀察也發現，Emotet為了確保服務品質，確保傀儡電腦（也稱肉雞）是有價值的受害者，而不是研究者的虛擬機器，或者是資安產品的連線，Emotet開發團隊經常修改連線通訊協定（Communication Protocol），只要有公開資訊討論關於新版的變化，該團隊總是可以在最短的時間內，散播下一個可用版本；他說，Emotet也會在中繼站上套用各種檢查機制，提高資安研究員窺探新攻擊行動的難度。</p> <p>因為敏捷開發是一種快速迭代的過程，比傳統的瀑布式開發過程而言，敏捷開發具備快速調整能力，也會在不影響軟體開發流程的情況下，針對各種突發狀況可以即時因應。</p> <p>吳宗育認為，從Emotet每次惡意程式的更版速度，以及每一次軟體迭代新功能的增加與調整，都可以推測應該是採用敏捷開發方式，也可以和商業軟體開發公司做比擬。</p> <p>吳宗育肯定指出，Emotet甚至可能聘僱專人檢查各連線是否為模擬器連線，藉此確認資安研究員利用各種方式模仿惡意程式的行為，確認肉雞是否是真正感染惡意程式。</p> <p><span style="font-size:28px;"><strong>執法單位掌握Emotet技術面架構弱點</strong></span></p> <p>吳宗育表示，此次歐洲刑警組織和八國執法單位聯手掃蕩Emotet基礎設施，該次行動得以成功的關鍵，有賴於相關的執法單位有效掌握Emotet技術面架構弱點。</p> <p>他表示，此次執法單位從被警方控制的中繼站派送給受感染的傀儡電腦（Bot）一個解除安裝的程式、以及一舉掌控Emotet通訊協定架構中最關鍵的第二層與第三層的伺服器。</p> <p>吳宗育也以資安分析師的角度觀察，此次行動執法單位對拔除此傀儡網路已經做了充分的準備，並把春風吹又生的可能性降到最低。這次的打擊目標是惡名昭彰許久、也是目前最具影響力的垃圾郵件傀儡網路（Spamming botnet）Emotet，此傀儡網路與使用某些TrickBot、Ryuk俄語系菁英犯罪組織在過去幾年來都是生意夥伴，這次八國聯軍的瓢蟲行動，確實有打擊到某些菁英犯罪組織的痛點。</p> <p>他也說，相較在美國大選前，美國網路指揮部（Cyber Command）下令打擊TrickBot傀儡網路並未真正解決問題，此次行動在合作與準備方面，可以說給囂張已久的網路犯罪集團還以顏色。</p> <p><span style="font-size:28px;"><strong>當網路犯罪集團也用敏捷開發，企業該怎麼辦？</strong></span></p> <p>從各種對於Emotet傀儡網路的研究發現，這是一個也懂得用敏捷開發的網路犯罪集團，每一次更版，都會因應資安公司的阻擋而有各種不同新功能的增加。對於一般的企業和使用者而言，我們應該要如何因應呢？</p> <p>吳宗育表示，許多資安公司大多有指派內部相關的專家，針對各個層面（包含從Email，惡意程式，模組元件等）進行深度分析，找出變化速度較少特徵提供資安產品的防護力，舉例來說，垃圾郵件的url蠻長一段時間，都是符合一個Pattern、Document Dropper裡面VBA MARCO執行Powershell的某些設定等，長久以來都有相似性，惡意程式本身的API Hash（雜湊值）以及String Encryption只有常數上的差異等等。</p> <p>所幸，面對這些網路犯罪集團凌厲的攻勢，相關防禦面作為也不斷在進步，有各種不同領域的專家，來自跨國、跨公司的合作等，但吳宗育坦言，一般企業很難與專業的網路犯罪集團交手，除了尋找資安專家的協助外，也有企業透過資安保險來做相關的損害控管。</p> <p class="rtecenter"><strong><span style="color:#696969;"> <img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Black%20Lotus%20Labs.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">Emotet之所以難以杜絕，他們採用的網路架構是關鍵，根據趨勢科技2019年4月發布的調查報告指出，Emotet可能採用了物聯網設備作為命令與控制（C2）的基礎設施。</span></strong><span style="color:#696969;">圖片來源／Black Lotus Labs</span></p> </div></div></div>
2021/3/9 07:00作者黃彥棻https://www.ithome.com.tw/news/143058
鴻海成立新能源車產業資安聯盟，聚集臺資安業者看自駕車安全議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著電動自駕車Tesla這些年來的發展與帶動，正顛覆傳統汽車產業，現在Apple也看重此一市場，而臺灣產業也開始發力，例如，鴻海在去年10月宣布，組成MIH開放汽車平臺聯盟，期盼結盟促進國內外產業並帶來機會，近日，他們更是攜手多家資安業者，舉辦電動車資安挑戰的論壇，同時宣布新能源電動車產業資安聯盟正式成軍。</p> <p>基本上，軟體定義時代早已來臨，不論智慧型手機、5G行動網路等，因此，現在汽車大廠不僅將目標放在電動自駕車，朝向軟體定義發展同樣也是大勢所趨，較特別的是，MIH聯盟的發展更強調開放平臺，期望加速EV（E-vehicle）產業的創新與發展。</p> <p>關於這樣的態勢，有如過去iPhone顛覆了傳統手機，以及Android平臺的迅速崛起，蘋果開放了SDK與開發者平臺，顛覆過去手機應用，Android出現後甚至把硬體軟體都開放出來，讓每個公司都能發展智慧型手機。</p> <p>而在當前的汽車產業中，由於幾乎都是採用封閉系統，外界難參與開發。因此，鴻海集團董事長暨鴻海研究院院長劉揚偉表示，MIH聯盟的企圖，就是透過開放技術規格，結合各界來建構電動車軟體、硬體與零組件的生態系。</p> <p>不過，雖然MIH聯盟成員已從去年10月的不到百家，到今年1月的400多家，現在已經增至近900家，但現場許多專家都已經提到，不只是Tesla，各大車廠也都在發展電動車自駕車，MIH聯盟若不能在這一兩年內拿出結果，將可能錯過最好的時機。</p> <p>但更值得關注的是，MIH開放汽車平臺的發展，還有一個至關重要的環節，就是資安。在這場產業論壇上，同時擔任鴻海研究院諮詢委員的台灣科技大學資管系特聘教授吳宗成強調：「資安與隱私保障是新能源車不可或缺的命脈」，這也意謂著，沒有資安，電動車自駕車產業將無法繼續發展。</p> <p>因此，後續如果要讓MIH平臺在全球市場站穩一席之地，該資安聯盟的未來計畫與方向將是重點，而就目前來看，可能希望先能帶動電動車產業，對網路安全要有全面認知，並期望進一步促進形成電動車產業的資安產業聚落。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965A%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></p> <blockquote><p>鴻海研究院在3月3日舉辦資安論壇，強調MIH電動車開放平臺發展關鍵將是資安，宣布成立新能源電動車產業資安聯盟，鴻海集團董事長暨鴻海研究院院長劉揚偉表示，E-vehicle產業不只Safety，還包含Cyber Secruity與Connected Vehicle的議題，他並預告每年的這一天都將舉辦電動自駕車的資安論壇。</p> </blockquote> <h2><strong>為車輛網路安全把關，與國際標準相容將是必須</strong></h2> <p>較可惜的是，這次新能源車產業資安聯盟宣布成立，但是，我們並未看到MIH聯盟揭露相關藍圖與細節。不過，這次論壇有一難得之處在於，完全以自駕車為主題，是國內首例，過往國內談自駕車資安議題時，雖然有，但不多，而且通常是在不同場合。</p> <p>而且，其實一些國內資安專家已有車聯網攻擊研究經驗。例如，奧義智慧科技共同創辦人叢培侃，他曾在2018年臺灣資安大會主題演講示範，破解汽車電腦的驗證機制並取得引擎ECU控制存取權限；另一臺灣資安新創CYBAVO執行長范紀鍠，他在2014年於奇虎360也曾帶領團隊針對Tesla Model S研究，雖然當時找出的安全弱點，只是遠端開啟車門，以及控制燈光與雨刷，不過這也是全球第一次Tesla被破解的公開案例。此外，現場專題演講還包括微軟、趨勢科技與中華資安國際等業者，他們對於聯網汽車的資安議題都已有著墨。</p> <p>值得關注的是，我們看到這些資安業者分享了諸多觀點與面向，其中最多人談到的部分，就是在於車輛安全法規。在現有車輛安全評估方式中，有那些可參考依據？</p> <p>ISO 26262國際標準最先被點名，這是針對汽車產業的車用電子系統功能安全規範，畢竟，安全一直是汽車工業發展必要的一環，但對於要發展自駕車的軟體業，可能對於這方面不熟悉，另一值得關注的是，多位資安專家更是強調了今年將要發布的ISO/SAE 21434國際標準，這是針對連網汽車產業的網路安全要求，並要確保整個供應鏈都具有安全設計，相對地，傳統汽車產業對此可能不熟悉。</p> <p>奧義智慧叢培侃強調，國內聯盟在發展時，必須密切關注國際間的動向，聯盟可以在資安上定義得更好，同時也要注意能與國際標準相容。例如，AUTOSAR（汽車開放系統架構）聯盟也推出了Adaptive AutoSAR標準，還有聯合國歐洲經濟委員會（UNECE）世界車輛法規協調論壇（WP29），也等不及ISO 21434發布，在2021年1月已提出新規範，對車輛製造商的資訊安全管理系統（CSMS）法規要求，就是一大重點。他並舉例，在4.2章已要求需導入強式加密金鑰，例如使用實體安全模組，這對汽車與資安產業有很大的影響。</p> <p>關於汽車產業的安全定義，中華資安國際總經理洪進福也提出說明，讓大家容易理解。他表示，在汽車產業的安全定義中，可以區分為兩大部分，包括了功能安全（Functional Safety），以及資訊安全（Cyber Security）。而在車聯網的發展趨勢之下，資訊安全已經與煞車功能一樣屬於行車安全的基本需求。</p> <p>基本上，功能安全的規範在汽車領域早已經成熟，在ISO 26262規範中，焦點在於危害分析與風險評估（Hazard Analysis & Risk Assessment，HARA）。簡單而言，這是基於封閉框架的假設，針對意外所造成的功能失效進行安全性評估；而在ISO/SAE 21434安全標準中，討論的焦點在於威脅分析與風險評估（Threat Analysis and Risk Assessment，TARA），主要是將外部威脅納入評量，它的前身是SAE J3061，在2015年就已經提出，這也意謂著汽車工程協會很早就關注，不過直到今年才預計要正式發布。</p> <p>特別的是，洪進福也給出不同面向的意見，例如，關於聯網汽車網路安全規範，所適用的對象，會有製造車廠或車隊服務商的角色之別，他認為，這是大家可以思考的問題。</p> <p>此外，還有像是開發、生產到生產後的安全，以及軟體更新OTA的重要性，還有自駕車資訊安全實證場域等，也同樣是這場論壇所關注的議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></p> <blockquote><p>連網汽車規範今年已有新進展，聯合國歐洲經濟委員已經正式公布汽車產業資訊安全管理系統（CSMS）相關法規，奧義智慧共同創辦人叢培侃舉例，4.2章已經規範要實體安全模組，就是相當大的變化。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></h2> <blockquote><p>關於現在的車輛安全法規，許多資安專家都談及ISO 26262與ISO/SAE 21434國際標準，前者關於傳統汽車產業已成熟的功能安全，後者是今年將發布連網汽車的資訊安全。中華資安國際總經理洪進福也對此提出說明，用對比的方向讓大家了解其差異。</p> </blockquote> <h2><strong>車連網資安風險受關注，這些年已有8個公開案例可為借鏡</strong></h2> <p>除了相關安全標準的發展，電動車的實際威脅，可能更是讓大家立即能夠引以為鑑，CYBAVO范紀鍠說明了8個車聯網攻擊案例與修補方式。</p> <p>他以自身經驗為例，在2014年Tesla進入中國市場之際，當時他在奇虎360就曾針對Tesla Model S進行攻擊研究，不過當時是以他老闆的汽車來測試，因此，未將控制單元的韌體dump出來，以分析行為在研究攻擊策略，不過，他們從可以控制車子的Moblie App著手，了解其通訊機制，進而找到該App與Telematic Cloud認證機制有缺失，可以進行中間人攻擊，把App的access token複製到任意電腦進行操作。</p> <p>後續被外界公開揭露的案例，還包括Jeep的Cherokee、Tesla的Model S與Model X，以及BMW數款車型、Mercedes-Benz E-Class等車款，特別的是，還有一個未揭露車廠名稱的案例，是因為TCU內sSIM APN/VPN配置不當造成，使得模擬TCU與VPN access token連接車載資通訊服務，加上車廠對外服務網路竟與公司網路互通，最終可從TCU取得整個車廠的網域控制權限。</p> <p>另外，他也以最近Tesla新聞事件，導航搜尋「開元路&#171354;魠魚羹」會系統重啟為例，雖然大家都已經知道關鍵在「&#171354;」字，范紀鍠表示，這其實就可以想到系統在處理Unicode時，一定有問題，查詢後可發現「&#171354;」是在擴展字段B區，可以想見，該區的字都可能帶來同樣地問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%96%B0%E8%83%BD%E6%BA%90%E9%9B%BB%E5%8B%95%E8%BB%8A%E7%94%A2%E6%A5%AD%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></p> <blockquote><p>關於電動車自駕車的實際資安威脅，CYBAVO執行長范紀鍠整理出8個案例的攻擊方式與修補方式，最新一起是2020年12月，有研究人員找出近距離非接觸可複製車輛鑰匙解鎖車子的方式，Tesla收到通報Model X存在漏洞修補後，研究人員也發布影片揭露攻擊過程。</p> </blockquote> </div></div></div>
2021/3/8 18:14作者羅正漢https://www.ithome.com.tw/news/143102
航空IT服務業者SITA遭駭，多家航空公司用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>航空業這幾年遭受攻擊的事件頻傳，但近期有駭客針對提供IT服務的業者下手，使得多家航空公司遭到波及。在3月4日，<a href="https://www.sita.aero/pressroom/news-releases/sita-statement-about-security-incident/">國際航空電訊集團公司（SITA）發出簡短聲明</a>，指出他們旗下提供旅客服務系統的公司SITA PSS，儲存旅客資料的伺服器於2月24日遭到網路攻擊，SITA在確認事件的情況後，已進行調查，並通知受影響的SITA PSS用戶。不過，對於受影響的航空公司或是旅客人數，他們並未進一步說明。</p> <p>至於這起資料外洩事件受害的範圍，<a href="https://www.bleepingcomputer.com/news/security/sita-data-breach-affects-millions-of-travelers-from-major-airlines/">SITA向資安新聞網站Bleeping Computer透露</a>，包含了漢莎航空（Lufthansa）、紐西蘭航空、<a href="https://www.singaporeair.com/en_UK/sg/media-centre/news-alert/?id=kltm93p0">新加坡航空</a>、<a href="https://www.sasgroup.net/newsroom/press-releases/2021/statement-about-data-security-incident/">北歐航空</a>、國泰航空、濟州航空、馬來西亞航空，以及芬蘭航空（Finnair）等。除了SITA透露的受害者外，日本兩大航空公司──<a href="https://www.ana.co.jp/en/jp/amc/news/info/2021/210306_memberinfo.html">全日本空輸（ANA）</a>和<a href="https://www.jal.co.jp/jp/en/info/2021/other/210305/">日本航空</a>，也發出公告，表明受到SITA資料外洩事件影響。</p> <p>其中，上述航空公司已有部分發出聲明，其內容的共通點，就是此起事件涉及飛行常客會員的資料，主要是乘客姓名和會員卡號，但不包括護照資料、地址，或是信用卡資料等。這些公司也宣稱，內部系統並未被波及，並呼籲用戶應考慮儘速更換密碼來維護帳號安全。</p> </div></div></div>
2021/3/8 16:39作者周峻佑https://www.ithome.com.tw/news/143092
瞄準跨領域IT老手AI轉職潮，臉書AI研究院祭2年正職訓練班專教無AI經驗者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI研究人才太搶手，臉書祭出新方法，改搶IT轉職人才自己培訓！臉書AI研究院（FAIR）一直向全世界招募多種AI職缺，但最近在臉書美國總部特別推出一個<a href="https://www.facebook.com/careers/v2/jobs/127377265890102/">2年制AI訓練課程RAISE</a>，專門招募沒有AI經驗的資深IT工程師，只要求5年IT經驗，不需要AI知識，甚至不需要電腦科學學歷的背景。儘管是訓練課程，但錄取就視同正職工程師。完成基礎訓練後，採取輪調制度，以半年為期，實際參與臉書各AI團隊的專案來磨練AI實戰經驗，至少四期，完成訓練還可自選AI團隊。臉書為了擴大AI研究戰力，開始大動作瞄準非AI人才了。</p> <p><strong style="font-size: 22px; color: rgb(255, 140, 0);">瞄準想轉換跑道專攻AI的資深IT工程師</strong></p> <p>近幾年來AI蓬勃發展，為初入這個領域的研究員和工程師提供各種機會。但這對在IT界打拼多年、想轉換跑道專攻AI的工程師來說，卻是個挑戰。</p> <p>現有AI職缺多半要求求職者具備AI即戰力，比如AI相關證照或學位，這讓想轉換跑道的IT工程師，不是利用工作之餘去上課，就是辭掉工作專心唸書。不管怎樣，過去常如此招募AI人才的臉書，現在也開始認為這是「困難且不切實際。」</p> <p>因此，臉書決定開始培訓轉職人才，設計一個2年的實戰訓練課程RAISE（全名為Rotational AI Science & Engineering），讓這些工程師直接與臉書AI團隊工作，讓不同背景和經驗的工程師一起執行專案，從中學習更多AI技能。</p> <p><strong><span style="font-size:22px;"><span style="color:#FF8C00;">5年IT經驗為招人準則，以全職工作形式開班</span></span></strong></p> <p>臉書鎖定兩種非AI人才，一種是具5年工作經驗，熟練C、C++、C#或Java等程式語言的軟體工程師，另一個是有5年大規模基礎建設（Infrastructure）應用相關工作經驗的IT人員。甚至，不像臉書其他AI職缺，RAISE甚至不要求電腦學歷，自學的IT老手也能申請。</p> <p>錄取者完成基礎訓練後，就直接展開4期的全職工作。雖然他們的第1期工作，會由臉書招募經理直接安排，但每個人都有專屬的專家導師，來協調之後每期與臉書AI團隊共同執行的專案。</p> <p>可參與的AI專案也很多元，涵蓋了：運用AI和機器學習相關技術開發系統，來改善臉書產品和使用者體驗；為大規模應用開發新穎AI演算法和系統；定義使用者案例（Use case）、設計方法論與測試基準（benchmarks）來評估不同作法。</p> <p>工作之餘，臉書也會提供人脈資源、學術研討會、開發專案給招募進來的工程師小組。特別的是，臉書指出，由於訓練課程錄取者一開始即以全職工作形式展開，視同臉書工程師的待遇。臉書沒有揭露待遇細節，只提供了一個參考年薪約17.8萬美元。臉書計畫未來每年春天展開RAISE計畫的招募課程，今年7月展開第一梯次在美國臉書總部的實體訓練課程。文◎王若樸</p> </div></div></div>
2021/3/8 17:54作者王若樸https://www.ithome.com.tw/news/143076
Google大幅改善Android裝置音訊延遲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/03/an-update-on-androids-audio-latency.html">Google</a>近年透過與硬體廠商合作，以及發展高效能音訊處理方法，因此大幅降低Android裝置的音訊延遲，進而提升了生態系使用者體驗，讓點擊螢幕生成音訊的延遲，都降低到即時音訊應用的要求以下。所謂音訊延遲（Audio Latency），指得是音訊經過系統所產生的延遲時間。</p> <p>從2017年開始，Google採取一連串的措施來改善音訊延遲，包括與硬體廠商合作，並且推出高效能音訊API，這些努力使得整個生態系都獲益，熱門的Android手機往返音訊平均延遲時間，已經降到40毫秒之下，Google評比2017年1月與2021年同期，最受歡迎的20款Android手機，延遲時間從109毫秒降低到了39毫秒。</p> <p>進一步分析這些手機的表現，2017年最受歡迎的20款Android手機，都是三星的裝置，其音訊延遲最高的裝置是Galaxy S3，延遲時間為258毫秒，而延遲最低的為Galaxy S7，僅有36毫秒，最高與最低相差222毫秒。而在2021年，這些數字都獲得了改進，其中20款最受歡迎的Android手機，音訊延遲最高的僅有56毫秒，最低的為華為Y9s和三星的Galaxy S8，延遲甚至只有28毫秒，最高與最低的差異只有28毫秒。</p> <p>Google提到，除了整體音訊延遲較低之外，最高與最低的差異也降低了8倍，提供了更為一致的音訊體驗，而且2017年最受歡迎的20款手機，都是同一家製造商三星，而到了2021年，該名單出現多家OEM廠商，而且許多裝置都非高階旗艦機型（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image%205.png" style="width: 580px;" /></p> <p>除了往返音訊延遲，由使用者點擊螢幕所產生的音訊，其延遲時間也因此獲得改善。往返音訊延遲所牽涉到的元件包含音訊輸入、音訊處理和音訊輸出，而由點擊螢幕事件所產生的音訊，不仰賴音訊輸入，因此影響點擊事件音訊延遲的重要因素，是點擊提示的延遲，也就是從使用者點擊螢幕，到聽見聲音所花的時間，點擊螢幕所產生的延遲約在10到35毫秒間，近期較高階的Android設備約為20毫秒。</p> <p>點擊事件音訊延遲的計算，可以減去音訊輸入所產生的延遲，通常為5毫秒，而點擊螢幕延遲通常為20毫秒，因此往返音訊延遲減去5毫秒加上20毫秒，便是點擊事件音訊延遲，Google提到，這代表熱門的Android手機，即便是平均點擊音訊延遲，也都已經遠低於大多數即時音訊應用所要求的延遲標準。</p> <p>Google表示，雖然整個Android生態系的音訊延遲大幅降低，但還是有許多工作要進行，像是專業音訊應用程式的音訊延遲需要降到20毫秒以下，10毫秒以下的延遲，則是整個改進工作的長期目標。另外，有許多裝置的音訊延遲仍相當高，Google提醒開發者，如果應用程式會受到音訊延遲影響，應該重新考慮支援度。</p> </div></div></div>
2021/3/8 16:21作者李建興https://www.ithome.com.tw/news/143085
防不勝防？AdGuard公開逾6,000款秘密追蹤器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發廣告封鎖與隱私保護機制的AdGuard，日前<a href="https://github.com/AdguardTeam/cname-trackers" target="_blank">藉由GitHub釋出</a>逾6,000款秘密追蹤器的名單，開放第三方利用該名單來阻止那些濫用CNAME（Canonical Name）紀錄的秘密追蹤器，同時宣稱市場上超過9成的瀏覽器用戶，都受到這些秘密追蹤器的跟蹤。</p> <p>CNAME為網域名稱系統中的資源紀錄，用來將網域名稱的別名映射至標準名稱，最常被應用在有多種服務的網站，例如它會把ftp.example.com與blog.example.com等子網域都指向example.com，一旦變更了IP位址，只要更改example.com的IP即可，此外，CNAME紀錄只會指向網域名稱，而非IP位址，該特性造就了AdGuard所描述的秘密追蹤器。</p> <p><a href="https://adguard.com/en/blog/cname-tracking.html" target="_blank">AdGuard說明</a>，為了創造無縫的互動能力，瀏覽器信任子網域就像信任主要網域一樣，然而，有些第三方的追蹤伺服器卻偽裝成可靠網站的子網域，在取得使用者的Cookie上，扮演與主要網域同樣的角色，瀏覽器無法偵測這些濫用CNAME紀錄的追蹤伺服器，使得第三方追蹤伺服器可取得第一方網站才能獲得的使用者Cookie，從使用者名稱、聯絡資料到使用期間認證Cookie等。</p> <p>一群研究人員也在今年2月出版了一份相關的研究報告，名為「大規模分析基於DNS的追蹤逃避」（<a href="https://arxiv.org/abs/2102.09301" target="_blank">Large-scale Analysis of DNS-based Tracking Evasion</a>），指出有多達95%的網站都部署了這類的追蹤器而外洩用戶Cookie。</p> <p>AdGuard表示，瀏覽器本身無從避免CNAME偽裝追蹤，但內容封鎖器卻可以，不管是AdGuard、AdGuard DNS或是Firefox上的擴充程式uBO，都能封鎖這類的秘密追蹤器，然而，由於Chrome、Chromium與Safari等瀏覽器的限制，一般的擴充程式無法動態解析主機名稱並刪除追蹤器，它們被侷限在過濾名單上，也難以想像有人會掃描整個網站以找出以CNAME遮掩的追蹤器。</p> <p>於是，AdGuard提供了含有逾6,000個秘密追蹤器的列表，供其它第三方封鎖程式得以將它們嵌入過濾名單中，也承諾未來將會持續更新該名單。</p> <p>即便如此，由於Safari與Chrome瀏覽器在封鎖規則數量上，各有5萬及15萬的限制，AdGuard認為，這些數量的限制遲早會不敷使用，而且可能會比想像中更早到來。</p> </div></div></div>
2021/3/8 16:03作者陳曉莉https://www.ithome.com.tw/news/143090
中國論文被AI期刊引用的數量已超越美國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>史丹佛大學「以人為本」的人工智慧研究所（HAI）上周發表了<a href="https://hai.stanford.edu/blog/2021-ai-index-major-growth-despite-pandemic" target="_blank">2021 AI Index</a>，揭露2020年全球在人工智慧（AI）領域上的發展，指出中國研究被AI期刊引用的數量已超越美國，從許多方面來看，中國與美國在AI發展上已旗鼓相當。</p> <p>根據艾倫人工智慧研究所（Allen Institute for Artificial Intelligence，<a href="https://www.ithome.com.tw/news/129332" target="_blank">AI2）的統計</a>，中國於AI期刊上所發表的論文數量在2006年就已經超越了美國，AI2認為，論文數量的多寡並不等同於品質，應該藉由論文被引用的次數作為判斷論文品質的依據，而2018年時，在最常被引用論文的前10%中，美國仍占了29%，中國則是26.5%，當時AI2即預期，中國AI論文的品質即將迎頭趕上美國，現在2021 AI Index即證實了AI2的論點。</p> <p>2021 AI Index的數據顯示，全球去年所發表的AI期刊論文中，中國占了18%，居次的是美國的12.3%，歐盟則是8.6%。而在最常被引用的論文中，中國首度超越美國，占比20.7%，美國為19.8%，歐盟則是11%。</p> <p>更精確的說法是，在同儕審查期刊中，中國學者被引用的數量已經超過其他國家的學者，顯示出中國AI研究不論是在數量或品質上都大有進展，至於美國也有擅場，美國AI會議論文被引用的次數則大幅領先中國。</p> <p>AI Index聯合主持人Jack Clark表示，隨著AI技術持續快速進步，AI已對全球帶來重大影響，此外，他們的文獻計量分析顯示，從許多方面來看，美國與中國在AI發展上已旗鼓相當。</p> <p>此一研究其它的發現還包括：對AI人才需求最高（相對其它人才）的前五個國家依序是新加坡、美國、加拿大、澳洲及紐西蘭；去年全球主要的私人AI投資領域依序為醫藥、電動車、教育、開源/運算，以及語音辨識/機器翻譯；拿到博士學位的AI專家有65.7%投入產業，只有23.7%進入學術界，前者的比重在這10年來增加了48%，後者則下滑了44%，AI教授也持續被挖角到企業任職；企業主導了AI研究人員所使用的工具，包括由Google釋出的TensorFlow與Keras，或是臉書的PyTorch，都是GitHub上最熱門的框架。</p> </div></div></div>
2021/3/8 14:21作者陳曉莉https://www.ithome.com.tw/news/143082
蘋果新服務可讓iCloud相片直接匯入Google Photos，臺灣用戶需再等等
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT208514" target="_blank">蘋果上周公布</a>一項新服務，讓iPhone或iPad用戶可將iCloud上儲存的相片及影片，直接匯到Google Photos，不必再手動下載、再上傳Google了。</p> <p>但這項服務目前僅開放給歐盟、英國、美國、加拿大、澳洲、紐西蘭、挪威、冰島、瑞士及列支敦士登。臺灣市場的開放時程未知。</p> <p>使用這項服務之前，用戶需先登入iCloud帳號下的資料與隱私頁，在「傳送資料複本」下的「相片或影片」前的框格打勾，再順著指示登入Google帳號，即可完成設定。這項功能不會刪除iCloud下的相片和影片，只會傳送複本到Google Photos。</p> <p>此外，用戶除了需要同時具備iCloud及Google帳號，還需確保Google有足夠空間，Apple ID也需使用雙因素認證。完成操作後還得等3到7天，蘋果表示需要先確認傳送確為用戶所為後才會進行傳送。</p> <p>新服務支援主要標準相片及影片格式，像是 .jpg、.png、.webp、.gif、某些RAW 格式相片和.wmv、.divx、.mov、.m4v、.mp4等影片，但不支援Smart Albums、動態照片（Live Photo）、共享相簿、某些RAW格式的相片。儲存在其他資料匣的相片、影片，以及某些meta data也無法傳送過去。</p> <p>此外，即是一般標準格式，也不是所有相片都會傳送。例如如果照片有編修過，只會傳送最新編修的版本。相片有重覆者只會傳送一份。相片會維持連同相簿一起傳送，但影片則只能單獨傳送。</p> <p>傳送到Google Photos的相片及影片檔名，都會在原檔名前加上Copy of。而且Google Photos有每個相簿最多2萬張相片的限制，如果用戶傳送的相簿超過這個限制，蘋果還是會傳，但有些照片就不會傳到Google Photos中。</p> </div></div></div>
2021/3/8 14:33作者林妍溱https://www.ithome.com.tw/news/143083
Twitter創辦人拍賣自己第一則推文，喊價到250萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter創辦人暨執行長Jack Dorsey在3月6日<a href="https://v.cent.co/tweet/20" target="_blank">透過Valuables平臺</a>，拍賣自己在2006年3月1日所發表的第一則推文（Tweet），推文的內容很簡單，只是表達他在設定他的Twitter「just setting up my twttr」，迄今最高出價為加密貨幣Bridge Oracle執行長Sina Estavi的250萬美元。</p> <p>Valuables為3個月前才成立的競標平臺，專門提供Twitter的推文競標，<a href="https://docs.google.com/document/d/1kBx-HXY8ow_7bElsJZ6Sk3r2V9cQjSRdWFyKCUXZtAs/edit" target="_blank">根據該平臺的說明</a>，交易成功的推文依然會出現於Twitter上，使用者所購買的是由創作者所簽署的推文憑證，該憑證除了以密碼學簽署，也存放了原始推文的元資料，包括推文張貼的時間、推文內容，以及作者的數位簽章。</p> <p>Valuables也解釋了人們為何要擁有一個數位內容，指出它可能是項投資，也可能是為了保留情感上的價值，或者是為了建立作者與收藏家之間的關係，就像人們收藏棒球卡一樣。</p> <p>至於交易的方式則是最近新興的「不可替代代幣」（Non-Fungible Token，NFT），成功的買家將會獲得一個NFT，它是個奠基在區塊鏈上的加密貨幣，與其它加密貨幣不同的是，每個NFT都是獨一無二的，它們並非等值而無法直接互相交換，用以作為數位資產的憑證。</p> <p>今年2月，網路迷因「彩虹貓」（Nyan Cat）作者Chris Torres，以300個比特幣（近60萬美元）賣出了他所更新的版本，知名的英國拍賣平臺佳士得（<a href="https://onlineonly.christies.com/s/beeple-first-5000-days/beeple-b-1981-1/112924" target="_blank">Christie's）也正在拍賣</a>由美國藝術家過去13年來、每天創作的組合作品《Everydays. The first 5000 days》，迄今出價次數已達127次，最高出價為375萬美元。這兩個作品的交易都是以NFT作為所有權的代表。</p> <p>既然網路上的迷因或藝術品，可以利用區塊鏈與NFT當作所有權的憑證，那麼推文又有何不可？BBC的記者Rory Cellan-Jones也試著把自己的一則推文放上Valuables平臺，並以1美元賣出，他說，雖然聽起來很廉價，但他總計寫了超過7.2萬則推文。或者其他的Twitter用戶也可以試試看！</p> </div></div></div>
2021/3/8 15:20作者陳曉莉https://www.ithome.com.tw/news/143086
蘋果將停售iMac Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周悄悄更新官網產品頁，<a href="https://www.apple.com/shop/buy-mac/imac-pro" target="_blank">顯示將停售桌機iMac Pro</a>。</p> <p><a href="https://9to5mac.com/2021/03/06/apple-discontinues-imac-pro-apple-store-says-buy-while-supplies-last/" target="_blank">9to5mac</a>、<a href="https://www.macrumors.com/2021/03/06/apple-confirms-imac-pro-will-be-discontinued/?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">MacRumors</a>等媒體首先報導，iMac Pro產品將售罄為止（while supplies last），而且只剩一款$4999美元（10核）的標準機種，不再提供定製。<a href="https://www.apple.com/tw/imac-pro/" target="_blank">蘋果臺灣網站</a>則顯示還有10、14 或 18 核心的選擇。</p> <p>蘋果對MacRumors證實將停售iMac Pro，並表示<a href="https://www.ithome.com.tw/news/139214" target="_blank">去年夏天推出的27吋iMac</a>，是適合大部份iMac專業用戶的最佳選擇，而需要更高階效能和擴充性的用戶則可選擇Mac Pro。</p> <p>iMac Pro是2017年推出的Intel Xeon處理器高效能機種，但是似乎賣得不太好，且幾年下來蘋果也並未大幅改版。</p> <p>事實上，維持iMac Pro產品線的理由似乎也不存在了。<a href="https://9to5mac.com/2021/03/06/apple-discontinues-imac-pro-apple-store-says-buy-while-supplies-last/" target="_blank">9to5Mac</a>指出，iMac Pro的市場區隔不太明確，論專業機種，Mac用戶其實已有2019年Mac Pro可以選擇，連高階iMac都已在效能方面趕上iMac Pro。</p> <p>另外，從去年秋天蘋果推出<a href="https://www.ithome.com.tw/news/141038" target="_blank">M1-based iMac及Mac電腦</a>後，由於蘋果自有Apple Silicon晶片的效能更強，一般相信蘋果之後可能會推出搭載Apple Silicon晶片，涵括低到高階的iMac產品來滿足不同運算需求，也不再有留著英特爾處理器iMac Pro機種的必要。</p> <p>至於次世代的iMac產品推出時程，媒體普遍推測時間點落在今年夏天的全球開發者大會WWDC。</p> </div></div></div>
2021/3/8 13:58作者林妍溱https://www.ithome.com.tw/news/143080
微軟將擴大強迫更新Windows 10 20H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10 21H1可望再幾個月後釋出，但還是有許多Windows電腦未升級到20H2。<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-10-20h2" target="_blank">微軟表示</a>未來幾個禮拜內將擴大為更多用戶PC自動安裝20H2。</p> <p>近幾年每個重大Windows 10更新版釋出，微軟都會採取漸進式開放，以防止全數開放，導致用戶電腦當機或部份功能不相容等災難。20H2也不例外。微軟表示是透過訓練機器學習技術，以便更聰明部署新版本Windows 10。</p> <p>2月底微軟指這個最新的半年更新版本進入新一階段。在這階段中，微軟將根據機器學習訓練的成果，自動為「已接近Windows 10支援生命周期終點」的裝置升級到20H2。</p> <p>被微軟判斷可以安裝20H2（或任何最新更新）的Windows 10電腦，將會透過Windows Update釋出給用戶。微軟表示會在這幾周內緩慢開放，以確保「穩定的下載經驗」。之前未安裝20H2的用戶，可能這一陣子就會從Windows Update頁接到強迫更新的通知。</p> <p><a href="https://www.windowslatest.com/2021/03/03/microsoft-starts-force-upgrading-more-windows-10-pcs-using-machine-learning/" target="_blank">Windows Latest</a>報導，只有已經升級到20H1（2004）及20H2版的Windows 10電腦不會接到更新通知。但20H1/2004版的電腦今年下半，就會被要求更新到20H2或更新的版本。</p> <p>Windows 10 20H2是在去年10月釋出。最新版本半年通道（Semi-Annual Channel）版21H1可望在今年5或6月釋出。而今年的重要更新會落在代號為Sun Valley的下半年版本。</p> </div></div></div>
2021/3/8 14:07作者林妍溱https://www.ithome.com.tw/news/143081
Exchange Server漏洞災情升溫，至少3萬美國組織遭駭，CISA發布緊急指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安部落格<a href="https://krebsonsecurity.com/2021/03/at-least-30000-u-s-organizations-newly-hacked-via-holes-in-microsofts-email-software/" target="_blank">KrebsonSecurity</a>報導，上周爆發的<a href="https://www.ithome.com.tw/news/143001" target="_blank">Exchange Server攻擊行動</a>已在美國導致大量受害者，至少3萬個組織，包括州政府及公家機關發現駭入證據。</p> <p>上周微軟發出安全公告，指出一個由中國政府支持的駭客組織Hafnium，正在利用<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-062a" target="_blank">Exchange Server的4項零時差漏洞</a>（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858及CVE-2021-27065）駭入本地部署郵件系統的組織，目的在竊取私密郵件。同時也針對受影響的Exchange Server 2013、2016和2019版釋出了更新版本。</p> <p>通報微軟的安全公司Volecity分析，Hafnium一旦成功駭入Exchange環境就會植入web shell程式，這種網頁程式有如後門，讓駭客得以長期從遠端控制受害組織的Exchange Server，包括竊取資訊、執行任意程式碼、或在內部網路橫向移動。</p> <p>KrebsonSecurity報導，消息公布後網路上針對未修補的Exchange Server攻擊行動於數日之間驟增，兩名擔任美方國安顧問的資安專家指出，美國境內至少有30,000臺Exchange伺服器被駭，而全球也有「數十萬臺」遭到感染，每一臺伺服器大約代表一家組織。</p> <p>一名研究人員透露，美國境內受害單位涵括州、市政府、信用合作社、警察局、電信公司、銀行、消防單位及非營利機構。所有受害者都是Exchange Server搭配外部存取的Outlook Web Access（OWA），而且過去幾天都未能更新Exchange。</p> <p>報導引述Velocity總裁Steve Adair指出，該公司是在1月6日首先發現攻擊行動。Adair指出，即使企業在3月4日微軟公布安全公告當天修補漏洞，Exchange Server上可能已經有web shell，而如果企業今天還沒有更新，有極高機會它的Exchange Server已經被駭。</p> <p>這不是第一個懷疑這次攻擊超過微軟「有限目標式攻擊」說法的廠商。上周安全廠商<a href="https://www.ithome.com.tw/news/143056" target="_blank">Huntress分析</a>檢查超過2000臺Exchange伺服器中，有近400臺存在公布的零時差漏洞，另有將近100臺可能有漏洞。此外，Huntress也指出，代管服務供應商的Exchange Server發現web shell程式者200臺。</p> <p>Huntress並未公布受害者所在地區，但指出遍及市、郡政府、健康照護機構、金融、銀行，以及電力公司等，以及中小型企業如小型飯店、冰淇淋廠商、廚具製造商、好幾家長照社區等。</p> <p>安全廠商都指出，以Exchange及設立OWA的用戶普及程度來看，受害情形恐怕相當嚴重。Huntress也懷疑現有端點安全軟體都無法防止web shell的植入。</p> <p>美國網路安全暨基礎架構安全署（CISA）根據漏洞風險層級、已實際發生漏洞開採及美國政府單位使用Exchange Server的普及程度，<a href="https://cyber.dhs.gov/ed/21-02/" target="_blank">上周五發出第2號緊急指令</a>。CISA要求聯邦政府單位立即清查本地部署的Exchange Server環境，檢視是否有入侵指標（Indicators of Compromise，IoC）或異常情形，包括登入憑證外洩、橫向移動、滲透機制或其他後續活動，並更新Exchange Server。沒能力或沒人力檢查者，則應立即將Exchange Server從聯邦政府網域下線。</p> </div></div></div>
2021/3/8 09:25作者林妍溱https://www.ithome.com.tw/news/143079
一周大事：微軟將RPA工具整合到Win10。玉山金要靠數位品牌e.Fingo統整旗下所有數位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>微軟將RPA軟體Power Automate整合到Windows 10</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/power%20automate%20by%20%E5%BE%AE%E8%BB%9F.png" style="width: 400px;" /></p> <p>微軟本周Ignite 2021大會公布多項產品，包括宣布機器人流程自動化（RPA）技術Power Automate桌機版，將整合進Windows 10免費提供給企業。除了Power Automate方案之外，針對美國政府及全球政府，以及具有大量授權的企業用戶，微軟計畫另外推出功能更多的Attended RPA。<a href="https://www.ithome.com.tw/news/143003" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>玉山終於公布單一數位品牌新戰略</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8E%89%E5%B1%B1%E6%B3%95%E8%AA%AA-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;">攝影-王宏仁</span></p> <p>近期玉山金控終於公布了數位金融新戰略的更多細節，要靠單一數位品牌e.Fingo來統整旗下所有數位服務，不只銀行服務，未來還要納入金控、證券的數位服務。</p> <p>玉山銀董事長黃男州表示，e.Fingo新品牌戰略目標是，要跨產品做到無斷點串聯，讓顧客使用更多服務，創造更大顧客體驗，也對銀行帶來更高價值。玉山也要聚焦4大科技策略來支援e.Fingo新戰略。</p> <p>玉山早在去年就低調展開了e.Fingo數位會員的招募，也推出了對應的點數機制，但是一直沒有揭露這個數位品牌戰略的細節，直到最近的媒體法說會上，才正式揭露新數位戰略願景和方向。黃男州用一句話形容新戰略的特色，「靠單一品牌整合玉山旗下所有數位服務，利用會員制和各項點數機制，展開各種數位創新服務。」<a href="https://www.ithome.com.tw/news/142932" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>政府數位發展部未來工作方向大公開</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:150px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E9%83%AD%E8%80%80%E7%85%8C-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="text-align: center; width: 150px;" /></td> </tr></tbody></table><p>政府推動組織改造，規畫成立數位發展部，外傳將整併科技部、國發會資管處、行政院資安處、NCC部分業務，作為推動我國整體數位發展策略的部會。行政院政務委員郭耀煌對此揭露未來數位發展部的工作方向，將扮演政府及產業數位轉型的推手。<a href="http://www.ithome.com.tw/news/142879" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>vCenter遠端程式碼執行重大漏洞已出現掃描行動</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_vCenter%E6%BC%8F%E6%B4%9E.jpg" style="width: 500px;" /></p> <p>VMware在2月23日發出安全公告，以修補虛擬化平臺軟體上三項漏洞，包含vCenter一項重大風險的遠端程式碼執行漏洞。企業最好立即修補，因為2天後安全廠商Bad Packet便發現，網路上開始出現大規模掃描vCenter伺服器的活動，可能是攻擊前兆。<a href="https://www.ithome.com.tw/news/142930" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>VMware流失電信、邊緣網路業務大將</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_VMware_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／VMware</span></p> <p>今年二月VMware宣布主管電信及邊緣雲的高層將離職，成為該公司最新的高層人事異動。分析師指出，面臨轉型挑戰的VMware，近年策略由虛擬化轉向雲端、安全、網路及容器領域，策略改變也帶來人員換血；過去一年來已多次傳出裁員消息。<a href="https://www.ithome.com.tw/news/142939" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10開始採用更易用的合併式更新作法</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Windows%2010%E6%9B%B4%E6%96%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟2月底釋出的累積更新KB4601382，是第一個整合SSU的合併式LCU，標榜能減少安裝麻煩及困擾。這個最新版LCU將循Windows Update釋出給用戶。但是安裝這個版本前，Windows 10電腦必須安裝2004/21H2適用的SSU（KB4598481），如果順序顛倒，電腦就會出現錯誤訊息。<a href="https://www.ithome.com.tw/news/142939" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>以Go語言打造的惡意程式4年來增加2千倍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Go%E8%AA%9E%E8%A8%80%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8F.png" style="width: 500px;" /></p> <p>資安業者Intezer在2020年度報告中指出，從2017年以來，以Go語言所撰寫的惡意程式數量增加了2000%，出現在各類惡意程式中，這也符合了Go愈來愈受開發者歡迎的趨勢。<a href="https://www.ithome.com.tw/news/142970" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Google和英特爾聯手開發5G vRAN產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_google%20cloud_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google宣布與英特爾聯手開發參照架構以及整合解決方案，以加快通訊服務供應商5G和邊緣網路解決方案的部署。兩家公司主要在三個領域合作，第一是提供下一代基礎設施和硬體，增加通訊服務供應商部署虛擬化無線接取網路（vRAN）以及開發無線接取網路（ORAN）解決方案的能力；第二則是推出新的實驗室環境，以協助通訊服務供應商在雲端原生5G上發展創新應用，最後則是讓商業應用程式可以更簡單地部署到網路邊緣環境。<a href="https://www.ithome.com.tw/news/142891" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>美國聯準會網站停機，影響多項金融運作數小時</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%81%AF%E6%BA%96%E6%9C%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E6%94%BF%E5%BA%9C%E8%B2%AC%E4%BB%BB%E7%BD%B2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／美國政府責任署</span></p> <p>美東時間2月24日早上11點左右，聯準會資訊系統發生故障。多家媒體報導，斷線影響多項和美國金融體系相關的系統，影響時間長達9小時以上。聯準會發言人表示，該單位因「操作錯誤」導致多項業務系統服務停擺。</p> <p>媒體引述IT顧問業者的看法指出，此事突顯國家關鍵設施是否有健全的業務永續措施，以及為何會出現單點失誤卻沒有備援系統可用的風險控管問題。<a href="https://www.ithome.com.tw/news/142900" target="_blank">更多內容</a></p> <p><span style="font-size: 28px;"><strong>微軟加碼發表3朵產業雲</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%83%81%E8%8A%B8-%E7%94%A2%E6%A5%AD%E9%9B%B2-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源-微軟</span></p> <p>微軟宣布要擴大產業雲產品線的版圖，將針對金融業、製造業和非營利組織推出專用的Azure雲服務。3項新的產業雲服務會結合通用資料模型、跨雲連接器、工作流程、API、產業標準等，並整合Dynamics 365、Microsoft 365、Azure、Teams、Power Platform和資安方案，來各自建立在單一平臺上。<a href="https://www.ithome.com.tw/news/142901" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>和臉書搶生意，微軟推出小企業免費架站服務</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%85%8D%E8%B2%BB%E6%9E%B6%E7%AB%99%E6%9C%8D%E5%8B%99_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p>圖片來源／微軟</p> <p>COVID-19疫情影響下，迫使許多企業從線下轉向線上發展。而小型企業想架網站，除了選擇Wordpress或去年開始提供這類服務的臉書，微軟最近也公布免費架站雲端服務。<a href="https://www.ithome.com.tw/news/142934" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Firefox採取更嚴格的Cookie防追蹤機制</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Cookie%E9%98%B2%E8%BF%BD%E8%B9%A4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Mozilla.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Mozilla</span></p> <p>日前Mozilla宣布在Firefox 86上啟用Total Cookie Protection，將限制Cookie僅能在創建的網站中作用，藉以防止追蹤公司使用Cookie，在網站間追蹤用戶的瀏覽行為。Total Cookie Protection會為用戶造訪的每個網站，創建一個獨立的小甜餅罐，只要網站或是嵌入在網頁中的第三方內容，想要在瀏覽器中儲存Cookie，Cookie就會被限制分配到該網站的小甜餅罐，不允許和其他網站共享。<a href="https://www.ithome.com.tw/news/142888" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>針對SolarWinds攻擊的程式碼檢測工具首度現身</strong></span></p> <p>自去年12月SolarWinds攻擊事件爆發以來，傳出越來越多組織受害。IT業者與美國政府陸續推出檢測工具，以便企業檢查內部網路環境，是否遭到影響。而到了最近，微軟在2月25日針對企業的開發環境，以開放原始碼的方式，公開他們的檢測方法，讓所有企業也能用來檢查自家產品的安全性。<a href="https://www.ithome.com.tw/news/142968" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>三星推企業行動與數位內容管理</strong></span></p> <p>以顯示面板、記憶體晶片、行動裝置聞名的三星（Samsung），過去在商用市場雖有著墨，但大家熟知的產品大都是硬體設備，例如顯示器、數位看板，其實，他們除了推出消費型手機與平板，早在2016年已將企業行動管理產品Knox引進臺灣，然而，之前並未看到他們積極推動。今年終於要主攻此領域，因為在2月農曆春節後，在他們舉辦的第一場活動，首度將Knox搬上檯面說明其特色，並且實際展示，他們同時預告，商用顯示器解決方案將提供原廠維運的雲端服務。<a href="https://www.ithome.com.tw/news/142982" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>惡意挖礦首見濫用區塊鏈來藏匿的新招</strong></span></p> <p>隱藏C&C伺服器位址，是許多殭屍網路駭客組織為避免被發現所採取的方式，而近年來，已有許多事件顯示駭客會以合法掩飾非法的技倆，像是利用雲端服務或合法網來隱藏，近期Akamai旗下資安研究團隊則揭露，去年發現一起挖礦殭屍網路活動相當特殊，是首起有駭客將備用命令暨控制（Command and Control，C&C）伺服器IP位址，寫入Bitcoin交易用的區塊鏈資訊中隱藏，未來恐被其他駭客組織仿效。<a href="https://www.ithome.com.tw/news/142890" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 更多重點新聞 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/news/143009" style="font-size: 26px;" target="_blank"><span style="font-size: 26px; color: rgb(51, 153, 255);"><strong>微軟發表結合硬體與服務的邊緣AI運算平臺Azure Percept</strong></span></a></p> <p><span style="font-size:26px;"><strong><a href="https://www.ithome.com.tw/news/142963" target="_blank"><span style="color:#3399ff;">Google Workspace 3月15日起不支援IE11</span></a></strong></span></p> <p><span style="font-size:26px;"><strong><a href="https://www.ithome.com.tw/news/143021" target="_blank"><span style="color:#3399ff;">日本雅虎與Line正式整併，金融科技是四大發展重點之一</span></a></strong></span></p> <p><span style="font-size:26px;"><strong><a href="https://www.ithome.com.tw/news/143001" target="_blank"><span style="color:#3399ff;">微軟緊急修補Exchanger Server零時差漏洞</span></a></strong></span></p> <p><span style="font-size:26px;"><strong><a href="https://www.ithome.com.tw/news/142968" target="_blank"><span style="color:#3399ff;">微軟提供SolarWinds檢測工具</span></a></strong></span></p> <p><a href="http://www.ithome.com.tw/news/142969" target="_blank"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>史丹福教你如何緩解長期視訊開會引發的Zoom倦怠</strong></span></span></a></p> </div></div></div>
2021/3/7 07:00未署名https://www.ithome.com.tw/news/143007
5個俄羅斯駭客論壇在2個月內相繼被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯的5個駭客論壇，從Verified、Club2crd、Dread、Exploit到Maza，在最近兩個月以來相繼遭到駭客入侵，迄今駭客的意圖仍不明，但某些論壇的用戶資料已外洩。</p> <p>最早傳出入侵事件的是Verified，資安業者<a href="https://www.flashpoint-intel.com/blog/new-mysterious-operators-usurp-elite-russian-hacker-forum-verified/" target="_blank">Flashpoint</a>在今年2月17日時發現，Verified論壇已被不明人士接管，並被轉移到新的網域名稱，駭客向會員宣告此事時，指出是因為被之前的管理員拒之於門外，因此在1月16日時成功入侵了Verified，還說未來會好好改革該論壇的安全性。</p> <p>另一資安業者<a href="https://intel471.com/blog/mazafaka-hacked-cybercrime-forums-exploit-crdclub-verified/" target="_blank">Intel 471</a> 則說，Verified的新管理員取得了該論壇的完整資料庫，包括所有註冊會員的密碼、私人訊息或貼文等，並以10萬美元的價格對外兜售該資料庫，此外，新管理員更將Verified錢包中價值15萬美元的加密貨幣轉到自己的錢包。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/notorious-maza-cybercrime-forum-attacked-by-other-hackers/" target="_blank">BleepingComputer</a>報導，在Verified被接管的隔天，另外兩個俄羅斯駭客論壇Club2crd與Dread也遭到攻擊，Club2crd的一名員工聲稱他的帳號被盜，還被用來對其他會員進行詐騙。Dread則是在被攻擊後加強了該平台的安全保護。</p> <p>繼之於今年3月初，Exploit駭客論壇偵測到某駭客企圖破壞該論壇的DDoS防護機制並展開攻擊。</p> <p>而最近的一起攻擊行動則是出現在Maza，這是一個僅有受邀才能加入的駭客論壇，該論壇在3月3日貼出被駭公告，指出遭到駭客入侵，且駭客已在網路上散布一個含有論壇會員資料的PDF檔，包括使用者名稱、雜湊密碼、電子郵件帳號，以及其它聯繫資訊等。Intel 471 則證實了此一檔案中的資料符合該公司之前的發現。</p> <p>俄羅斯駭客論壇接二連三地被入侵，而使得論壇成員人人自危，他們最擔心的是自己的真實身分被發現。Flashpoint分析，攻擊駭客論壇的可能是論壇的內部人員，也可能是執法機構，而假設是後者，這將是執法機構破壞網路犯罪行動的最新策略，因為這將同時摧毀論壇之間的信任度。</p> <p>不過，Flashpoint也相信，就算駭客論壇被接管或是被駭，也不代表它們會永遠的關閉，更可能的是另起爐灶。</p> </div></div></div>
2021/3/6 00:32作者陳曉莉https://www.ithome.com.tw/news/143074
AWS讓RoboMaker用戶使用Kubeflow來加速機器人開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在讓雲端機器人服務AWS RoboMaker用戶，以Kubeflow來調度機器人機器學習工作流程，透過新發布的<a href="https://aws.amazon.com/tw/blogs/machine-learning/introducing-amazon-sagemaker-reinforcement-learning-components-for-open-source-kubeflow-pipelines/">Amazon SageMaker增強學習（RL）Kubeflow元件</a>，用戶可創建Kubeflow工作管線，更快地進行實驗和管理機器人機器學習工作流程，且不需要每次為新任務重新建置端到端解決方案。Kubeflow讓用戶在Kubernetes上，簡單地部署機器學習工作流程，並且達到可移植且可擴展的目的。</p> <p>機器人領域需要整合多種技術，包括辨識、感測、機器學習和增強學習等，才能完成包括組裝、包裝、遞送、環境監測、救援和輔助手術等任務。增強學習是一種新興技術，讓機器人不需要複雜的訓練資料，就能學習複雜的行為，並且在對長期目標進行最佳化的同時，也能良好地做出短期決策。</p> <p>在AWS中有兩個相關的服務，分別是SageMaker和AWS RoboMaker，分別提供不同角色使用，SageMaker供資料科學家使用，而AWS RoboMaker的使用者則鎖定機器人專家。SageMaker是一個全託管的服務，可以讓用戶快速建構、訓練和部署機器學習模型，SageMaker RL則是建立在SageMaker基礎上，提供好用的增強學習工具，能夠簡單地整合到任何模擬環境，而AWS RoboMaker是一個完整的雲端解決方案，可讓開發人員大規模地模擬、測試和部署機器人應用程式。</p> <p>要整合Amazon SageMaker和AWS RoboMaker，在機器人開發中結合機器學習工作流程並不容易，為了解決這個問題，AWS現在推出適用於Kubernetes的Amazon SageMaker RL元件，用戶可以在Kubeflow工作管線中使用SageMaker RL元件，來啟動平行化SageMaker訓練和AWS RoboMaker模擬工作。</p> <p>在Kubeflow工作管線中的SageMaker元件，可以簡單地載入元件，並且使用Kubeflow工作管線SDK描述工作管線，接著SageMaker RL就會開始訓練增強學習代理，而當訓練完成，增強學習代理模型會被儲存在Amazon S3儲存桶中，用戶就可以將模型下載到機器人中，並開始執行任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/KFP-Architecture-Woodside-1.png" style="width: 580px;" /></p> <p>在典型的Kubeflow工作管線中，每個元件都會將用戶邏輯封裝在容器映像檔中，因此用戶可以將程式碼放進自定義容器映像檔中，並將其推送到容器註冊表中，當工作管線執行時，會在Kubeflow的Kubernetes叢集節點上實例化元件容器，便能執行用戶撰寫的邏輯。</p> <p>但是當用戶在Kubeflow工作管線中使用SageMaker元件，而不是將邏輯封裝在自定義容器中，用戶只需要使用Kubeflow工作管線SDK載入元件，並且描述工作管線，在工作管線執行時，用戶的指令會被轉換成SageMaker工作或部署，這些工作會在SageMaker的全託管基礎設施上執行，因此用戶可以獲得完整的SageMaker好處，包括使用競價型訓練服務和端點自動擴展等。</p> <p>用戶可以分開調度和模擬用的VPC，因為RL Estimator、AWS RoboMaker以及Kubeflow工作管線元件之間，不需要直接通訊，這些元件會和AWS RoboMaker和SageMaker API互動，但不與工作本身互動。</p> </div></div></div>
2021/3/6 00:38作者李建興https://www.ithome.com.tw/news/143068
Squre將以2.97億美元買下音樂串流服務Tidal的多數股權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Twitter創辦人Jack Dorsey共同創立的支付服務<a href="https://squareup.com/us/en/press/tidal" target="_blank">Square在周四（3/4）宣布</a>，將以2.97億美元的現金及股票買下音樂串流服務Tidal的多數股權，雙方預計於今年第二季完成交易。</p> <p>Tidal於2014年在挪威創立，目前於全球56個國家提供逾7,000萬首歌曲及25萬個高畫質影片，其服務市場並未包括台灣。根據市場研究機構<a href="https://www.midiaresearch.com/blog/music-subscriber-market-shares-q1-2020" target="_blank">Music</a>在去年第一季的統計，全球前七大音樂串流服務業者依序是Spotify、Apple Music、Amazon Music、Tencent Music、Google、Deezer與Pandora，當中並沒有Tidal，排名第七的Pandora市占率為1%。</p> <p>此外，Square屬於支付產業，Tidal則為音樂產業，Square執行長Dorsey解釋，他們對此一異業結盟只有一個簡單的想法，就是替藝術家找到可以支撐他們作品的新途徑，迄今Square已藉由Cash個人支付服務替數百萬人帶來便利的金融服務，該經驗應該可以應用到Tidal上。</p> <p>Squre只說要買下Tidal的多數股權，儘管並未公布所取得的股權比例，但Squre已握有Tidal的主導權，並宣布當交易完成之後，Tidal將在Square內部獨立經營。</p> </div></div></div>
2021/3/6 00:58作者陳曉莉https://www.ithome.com.tw/news/143075
Deno 1.8開始支援網頁3D繪圖WebGPU API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Node.js之父新創建的軟體專案<a href="https://deno.land/posts/v1.8#import-maps-are-now-stable">Deno</a>，釋出了最新的1.8版本。這個JavaScript和TypeScript的Runtime新版本加入不少功能，重要功能包括開始支援WebGPU API，開發者可以使用GPU來加速機器學習，而且Deno 1.8還加入身份驗證權杖，讓開發者可以從私人伺服器遠端擷取模組。</p> <p>WebGPU是一種低階、高效能和跨基礎架構的網頁3D繪圖API，賦予JavaScript程式存取GPU的能力，WebGPU作為WebGL的後繼者，除了執行速度比WebGL更快之外，語法也更簡單，雖然最終規範尚未確定，但是目前Firefox、Chromium和Safari都已經著手添加對WebGPU的支援，而Deno也跟上了腳步。</p> <p>這個新的繪圖API，讓開發者可以用Deno執行GPU渲染以及GPU通用運算，一旦這個功能穩定後，將提供網頁、伺服器和開發機，一個存取GPU的可移植方法。由於GPU提供強大的平行運算能力，除了渲染圖形和遊戲之外，在機器學習中，也可以借助GPU的運算能力，執行更複雜的演算法，且能支援電腦視覺、圖像生成和增強學習等用例。</p> <p>官方提到，由於現在將神經網路放到GPU上運算的應用，都是以Python作為主要開發語言，但是當基礎設施條件適合，JavaScript也可以扮演重要的角色，Deno就是以這樣的想法支援WebGPU，希望之後可以在Deno上，以GPU加速Tensorflow.js執行。</p> <p>另外，因為並非所有程式碼都可以從公開的網際網路上獲取，因此Deno 1.8開始讓開發者可以存取放在私人伺服器上的程式碼。過去Deno無法從需要身份驗證的伺服器上下載程式碼，而在這個版本，增加了讓使用者可以針對每個網域，指定用來擷取模組的身份驗證權杖。</p> </div></div></div>
2021/3/6 01:02作者李建興https://www.ithome.com.tw/news/143073
EFF抨擊Google新的廣告技術FLoC仍存在嚴重隱私問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.eff.org/deeplinks/2021/03/googles-floc-terrible-idea">電子前線基金會（Electronic Frontier Foundation，EFF）出面抨擊Google最新發表的廣告追蹤技術FLoC</a>，雖然FLoC消除了第三方Cookie，但是仍存在指紋識別（Fingerprinting）和跨上下文曝露用戶資訊的隱私問題，EFF認為，Google只是把舊追蹤技術淘汰，換一個新的追蹤技術，但真正的亂源是目標式廣告（Aargeted Ad），他們呼籲Google應該停止FLoC計畫。</p> <p>隨著網路隱私意識擡頭，許多主流瀏覽器包括Firefox、Safari與Chrome等，都逐漸開始封鎖第三方Cookie，但對於建構在第三方Cookie之上的廣告產業，這可不是什麼好消息，因此作為網路廣告霸主的Google，在2019年提出了隱私沙盒（Privacy Sandbox）專案，其目的是要發展一套無Cookie的協定，來滿足當前所有以Cookie為基礎，提供給廣告商的各種使用案例。</p> <p>Google將隱私沙盒提案提交給W3C，並由一群廣告技術供應商組成的網路廣告業務小組進行討論，在之後發布了數十種以鳥類命名的技術標準，諸如PIGIN、TURTLEDOVE、SPARROW、SWAN、SPURFOWL、PELICAN和PARROT等，每個鳥類名稱專案，都是要來代替目標式廣告生態系統中，目前由Cookie所完成的功能。</p> <p>FLoC要讓廣告主不需要仰賴第三方Cookie的行為定向（Behavioral Targeting），使得瀏覽器可以收集有關用戶的瀏覽習慣資訊，透過這些資訊，用戶和其他有相似行為的使用者，會被分配到同一群組，也就是說，用戶的FLoC ID相當於用戶在網路上活動的摘要，用戶的瀏覽器會和廣告主共享群組ID，以表明用戶所屬群組。</p> <p>EFF提到，雖然FLoC的目的是要在保護隱私的前提下，進行目標式廣告，但其核心設計會與廣告主共享新的資訊，因此也就帶來了新的隱私風險。第一個問題是指紋識別，瀏覽器指紋識別指得是從用戶瀏覽器收集許多資訊，創建成該瀏覽器唯一的識別符號，而當收集到的資訊越多，也就代表特徵越多，更好進行指紋識別。</p> <p>FLoC規範寫道，絕大多數群組都會由數千名用戶組成，因此相同的群組ID也不會單獨暴露特定用戶，但EFF指出，這相當於為瀏覽器指紋識別開了一扇門，因為追蹤器只要從FLoC ID開始分析，要區分的用戶數量，只剩下數千個而非數億，藉由將FLoC ID關聯其他資訊，那瀏覽器指紋識別就會變得更準確，追蹤器可以輕鬆地對特定用戶建立唯一指紋。雖然Google承諾會用隱私權預算（Privacy Budget）的方法修正這個問題，但是現在並無任何瀏覽器實作，而Google在3月已經開始測試FLoC。</p> <p>FLoC還會跨上下文洩漏用戶的資訊，EFF提到，要讓FLoC對廣告主有用，使用者FLoC ID群組必定需要對廣告主揭露行為資訊。FLoC可能洩漏瀏覽歷史紀錄的特定資訊，以及人口統計上的一些資訊，追蹤器可能可以反向推算出用戶瀏覽過的網站，或是知道某群組包含較多的女性或黑人，甚至是LGBTQ族群。</p> <p>也就是說，追蹤器即便不需要跨網站追蹤用戶，也可以知道用戶的瀏覽行為，而EFF表示，用戶有權在不同背景展示不同的身份，像是在醫療相關的網站，就沒有理由透露政治傾向，或是瀏覽零售網站，該網站沒有理由知道用戶閱讀過有關憂鬱症治療方法的網頁。FLoC破壞了這樣的資訊分離性，向所有網站提供相同的行為摘要。</p> <p>EFF認為，雖然FLoC讓追蹤器更難直接針對年齡、性別和收入來定位用戶，但是透過用戶的輔助資訊，來分析FLoC分組，仍然有辦法區分不同的使用者。Google發表的資料表明，使用FLoC已經可以達到原本第三方Cookie方法的95％效果，3月2日發布的Chrome 89也開始部署該技術，並對部分Chrome用戶開始實驗。</p> <p>EFF明確表達拒絕FLoC立場，認為Google雖提供用戶關閉FLoC的選項，但是因為用戶對FLoC的不了解，將會只有少數人採取行動。EFF希望Google能夠設計適合用戶的瀏覽器，而非一個適合廣告主的瀏覽器。</p> </div></div></div>
2021/3/5 23:45作者李建興https://www.ithome.com.tw/news/143067
研究：使用雲端儲存的行動程式中，有14%因開發者配置錯誤而曝露用戶資料或架構資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.zimperium.com/unsecured-cloud-configurations-exposing-information-in-thousands-of-mobile-apps/" target="_blank">資安業者Zimperium</a>分析了使用雲端儲存的逾130萬種Android與iOS程式，發現其中有14%採用了不安全的配置，而造成用戶資料外洩或配置/伺服器資訊的曝光，讓駭客得以展開詐騙、竄改資料，甚至是接管系統。</p> <p>此一研究鎖定了熱門的4款雲端儲存服務，包括AWS S3、Google Storage、Microsoft Azure與Google Firebase，這些服務主要是用來儲存行動程式的資料，或允許行動程式即時查詢資料。</p> <p>研究人員發現，就算雲端服務業者已提供了各種的安全配置與詳細建議，卻經常被開發者忽略。配置錯誤的後果可能會造成使用者的個資外洩，包括檔案照片、地址或金融資訊，或者是醫療紀錄等；還有些外洩了行動程式的配置資訊，像是雲端基礎設施的規畫、安裝檔案，甚至是支付Kiosk的密碼。前者可能讓使用者淪為詐騙或網釣的受害者，後者更讓駭客有機會接管開發者的後端架構。</p> <p>根據統計，在這些採用不安全配置的行動程式中，有17.6%屬於商用程式，另外工具程式、社交程式、生活類型程式以及購物程式這四者的占有比例相同，都是8.8%。</p> <p>對於因不當配置而外洩資料的案例中，有幾款醫療程式外洩了使用者的檔案照片、詳細資料與測試結果；還有一些社交程式外洩了使用者的個資；一款大型遊戲程式和一款健身程式外洩了開發者的伺服器配置資訊；另有一個位於財星五百大的行動錢包，曝露了期間與支付資訊；城市交通程式曝露了支付系統的存取路徑；甚至有一款賭博程式外洩使用者的個資及登入憑證；另有一款亞洲國家的旅遊程式不僅曝露紀錄，也沒有密碼保護，輕易就能被竄改。</p> <p>用戶個資的外洩可能造成詐騙或網釣攻擊，而包括伺服器、快取與資料庫等程式所使用的後端資源的曝光，更可能危害整個基礎設施。Zimperium並未公布這些採用不當雲端配置的程式名稱，僅建議它們：最簡單的保全之道就是，確保其雲端儲存或資料庫無法在沒有任何安全措施的情況下被外界存取。</p> </div></div></div>
2021/3/5 22:33作者陳曉莉https://www.ithome.com.tw/news/143070
Chrome生命周期將從6周縮短為4周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2021/03/speeding-up-release-cycle.html" target="_blank">Google周四（3/4）宣布</a>，從今年第三季釋出的Chrome 94開始，Chrome瀏覽器的生命周期將從6周縮短成4周，另也將針對企業及Chromium嵌入版，推出生命周期為8周的延伸穩定（Extended Stable）版，以利其安排更新進度。</p> <p>這十多年來，Chrome瀏覽器穩定版的生命周期都是6周，但隨著Google改善了Chrome的測試與發表程序，且自2020年就啟動了兩周一次的安全更新，使得Google決定縮短Chrome的生命周期，以更快的速度發表新功能。</p> <p>至於企業或把Chromium應用在嵌入裝置的用戶，可能需要更長的時間來規畫瀏覽器的更新，於是Google決定增加延伸穩定版的選項，每8周才更新一次，不過，Chrome延伸穩定版仍會有兩周一次的安全更新來修補重要的問題，但該更新並不包含新功能，也不具備4周版的所有安全修補。</p> <p>除了變更Chrome瀏覽器的生命周期之外，Google亦計畫針對Chrome OS釋出不同長度的穩定版選項，但細節要稍後才會公布。</p> </div></div></div>
2021/3/5 22:55作者陳曉莉https://www.ithome.com.tw/news/143071
微軟釋出Microsoft Edge 89：快速啟動、垂直分頁、睡眠分頁上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周釋出了<a href="https://blogs.windows.com/msedgedev/2021/03/04/edge-89-performance/" target="_blank">Microsoft Edge 89</a>，最受矚目的三大功能分別是快速啟動（Startup Boost）、睡眠分頁（Sleeping Tab）與垂直分頁（Vertical Tab），它們將改善瀏覽器的效能與使用經驗。</p> <p>其中，<a href="https://techcommunity.microsoft.com/t5/articles/start-microsoft-edge-quickly-with-startup-boost/m-p/2185598" target="_blank">快速啟動</a>的原理是當使用者開啟Microsoft Edge再關閉它之後，Microsoft Edge的核心程序會持續於背景中運作，於是，假設使用者想再開啟Microsoft Edge，或是點選另一程式中的連結，或者是想從工作列上進行搜尋，Microsoft Edge便可快速啟動。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/2/2021/03/W10_20H2_Laptop_Edge_Vertical-Tabs_16x9_en-US.gif" style="width: 600px;" /></p> <p>快速啟動功能的預設值是關閉的，根據微軟的實驗，啟用該功能之後，Microsoft Edge的啟動速度改善了29%~41%。</p> <p>睡眠分頁則是為了節省系統資源所設計的功能，在預設的情況下，只要某個分頁在兩小時內沒有活動，它就會進入睡眠狀態，釋出所使用的處理器與記憶體資源，分頁上則會出現「ZZZ...」的圖案，但點擊它即可瞬間恢復正常。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/33/2021/03/SleepingTabs_GIF1_v2.gif" style="width: 600px;" /></p> <p>使用者可以更改進入睡眠狀態的時間，或者設定永不進入睡眠狀態的網站，而Microsoft Edge也會自動偵測這些網頁的功能，以避免像是播放音樂等特定的分頁進入睡眠狀態。</p> <p>根據微軟的測試，比起一個活躍的分頁，睡眠分頁所使用的處理器資源少了26%，記憶體資源少了16%。</p> <p>至於<a href="https://techcommunity.microsoft.com/t5/articles/vertical-tabs-preview-now-available-in-the-canary-and-dev/m-p/1823751" target="_blank">垂直分頁</a>則是為了改善使用經驗而設計的。試想當於瀏覽器開啟了超過20個分頁之後，每個分頁幾乎就只剩下圖示是可見的，而將它切換成垂直分頁之後，即可檢視更多的分頁資訊，方便使用者找到所需的分頁。垂直分頁與橫向分頁的切換工具在瀏覽器的左上方，可根據需求隨時切換。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/2/2020/03/67cf527900048a6d657f159efd3146bf.gif" style="width: 600px;" /></p> <p>微軟於2020年1月釋出首個基於Chromium的Microsoft Edge 79瀏覽器之後，Microsoft Edge瀏覽器的市占率只有微幅的成長，根據NetApplications的調查，Microsoft Edge在2019年12月的市占率為6.07%，今年1月則是7.75%，在這期間Microsoft Edge超越了Firefox，躍升為桌面瀏覽器的第二名，但仍遠遠落後Chrome的69.28%。至於積極呼籲不應讓Google取得愈來愈多瀏覽器控制權的Firefox，則以7.48%位居第三。</p> </div></div></div>
2021/3/5 23:13作者陳曉莉https://www.ithome.com.tw/news/143072
微軟Office 365安全服務可掃瞄XLM惡意巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2021/03/03/xlm-amsi-new-runtime-defense-against-excel-4-0-macro-malware/" target="_blank">微軟本周宣布</a>把Office 365的惡意軟體掃瞄技術擴充，以掃瞄XLM寫成的惡意巨集。</p> <p>反惡意軟體掃描介面（Antimalware Scan Interface，AMSI）原本是Windows 中允許應用程式或服務和系統上的安全軟體進行通訊，要求掃瞄記憶體緩衝區是否有執行程式碼下載的Script行為，像是VBscript、JavaScript及PowerShell等。2018年9月微軟將AMSI整合到Office 365用戶端應用，以便掃瞄VBA巨集的runtime行為，防止惡意巨集。</p> <p>XLM巨集是相當古老的巨集語言，最早微軟1992年Excel 4.0即使用XLM，直到1993年Excel才改用VBA。XLM雖然很簡單，但卻可相容於Windows，而且有許多企業的合法應用中仍然使用XLM。但二年半前Office 365整合了AMSI防範VBA惡意巨集，迫使攻擊者轉向XLM巨集，用它來呼叫Win32 API執行shell指令，包括Trickbot、Zloader和Ursnif背後的網路罪犯。</p> <p>微軟指出，和VBA和其他描述語言一樣，XLM程式碼也很容易加以混淆(obfuscate)以掩飾巨集的真實意圖，像是只要簡單的變更字串即可隱藏URL或檔案名稱躲過靜態偵測產品。</p> <p>此外，XLM的特性也有利於攻擊者。例如，XLM的巨集程式碼在Excel文件中未分開儲存，每個XLM巨集宣告都是在一個儲存格中的公式，想抓出整個XLM巨集相當困難，必須在文件內一格一格檢查。其次XLM巨集的執行並非如一般由上而下，可利用控制宣告橫向進行。這些特性配合混淆手法，讓攻擊者得以輕易躲過靜態分析。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/wp-content/uploads/2021/03/Fig6-Malicious-XLM-macro-Zloader.png" style="width: 338px;" /></p> <p>從推出迄今，AMSI已經可用於偵測多種惡意巨集、script-based惡意程式，包括VBscript、JavaScript、PowerShell、Office VBA巨集、WMI、動態載入的.NET assembly、MSHTA/Jscript 9，以及今天的XLM。AMSI的資料可作為訓練惡意行為的機器學習模型，用來強化Microsoft Defender for Endpoint的防護。如果Microsoft Defender等防毒軟體偵測到惡意XLM巨集，巨集將無法執行，而且終止Excel，藉此防止攻擊。</p> <p>XLM巨集掃瞄功能目前已部署到Excel中，可用於註冊為裝置上AMSI供應者的防毒軟體（如Microsoft Defender Antivirus）。已整合AMSI的Office也會加入這項功能。另外，二月份 Current Channel及Monthly Enterprise Channel兩個頻道的Microsoft/Office 365用戶端也預設開啟。</p> </div></div></div>
2021/3/5 22:12作者林妍溱https://www.ithome.com.tw/news/143069
針對伺服器UEFI韌體的Trickbot惡意程式，Supermicro、Pulse Secure推出修補軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路Trickbot自2020年底捲土重來後，有資安廠商隨即發現，<a href="https://www.ithome.com.tw/news/141610">該惡意軟體出現了新的模組「Trickboot」</a>，專門鎖定UEFI韌體而來。而最近，<a href="https://www.supermicro.com/en/support/security/trickbot">伺服器廠商Supermicro</a>與<a href="https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44712">資安業者Pulse Secure</a>，他們發出資安公告，並對於受到影響的設備發布新版韌體，來防堵有關攻擊。</p> <p>為何資安業者Pulse Secure也要推出修補程式？原因是他們旗下的SSL VPN系統Pulse Connect Secure，以及NAC系統Pulse Policy Secure，所搭配的硬體設備，部分型號採用了受影響的Supermicro主機板。</p> <p>這個Trickboot模組的揭露，Advanced Intelligence與Eclypsium等2家資安公司，在2020年12月推出的研究報告所公開。該份報告指出，一旦殭屍網路病毒Trickbot執行，Trickboot模組便會分析受害電腦的UEFI韌體，並檢查是否停用了寫入防護機制，如果該機制處於停用狀態，Trickbot便能控制韌體，包含進行寫入、讀取，甚至是清除內容。</p> <p>再者，Trickboot也具備分析受害電腦韌體的能力，該惡意軟體模組目前鎖定多個較新世代的Intel處理器平臺，包含了Skylake、Kaby Lake、Coffee Lake，以及Comet Lake。</p> <p>事隔3個月，Supermicro和Pulse Secure近日發出資安通告。前者表明受到影響的機種，主要是部分X10 UP系列主機板，該公司也對於這些主機板推出BIOS韌體3.4版。不過，僅有仍在支援的型號X10SLH-F，其新版韌體可直接從網站下載取得，大多數受影響的主機板型號已屆終止支援（EOL），網管人員必須聯繫Supermicro才能取得韌體。</p> <p>而Pulse Secure對於部分採用Supermicro主機板的硬體設備，也發布資安公告，這些受到影響的設備是PSA5000與PSA7000。Pulse Secure對於採用這些設備部署的Pulse Connect Secure與Pulse Policy Secure，提供新版BIOS韌體。</p> </div></div></div>
2021/3/5 16:16作者周峻佑https://www.ithome.com.tw/news/143066
針對SolarWinds供應鏈攻擊的惡意程式其實不只4種！FireEye、微軟揭露最新發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2020年12月爆發的<a href="https://www.ithome.com.tw/article/141943">SolarWinds供應鏈攻擊事件</a>，目前為止已被發現了4個惡意程式，而到了最近，研究人員又有重大的發現。在3月4日，FireEye與微軟不約而同揭露他們新找到的惡意軟體，這些惡意軟體的共通點，就是它們多半是採用Go語言開發而成，並疑似被駭客組織運用於第2階段攻擊行動。</p> <p>在此之前被公布的4個惡意程式，分別是最早被發現的後門程式<a href="https://www.fireeye.com/blog/threat-research/2020/12/evasive-attacker-leverages-solarwinds-supply-chain-compromises-with-sunburst-backdoor.html">Sunburst</a>，以及SolarWinds委由CrowdStrike調查所找出、<a href="https://www.ithome.com.tw/news/142366">攻擊過程最早入侵的Sunpot</a>，再者，還有被視為第2階段攻擊工具、<a href="https://www.ithome.com.tw/news/142398">客製化惡意載入程式的Teardrop與Raindrop</a>。而這次FireEye與微軟發現的惡意軟體，都與攻擊流程的第2階段有關，且具備藏匿網路通訊流量的能力，而沒有在第一時間被發現。</p> <h2><strong>FireEye在公開惡意軟體資料庫發現疑似與SolarWinds事件有關的攻擊軟體</strong></h2> <p>其中，<a href="https://www.fireeye.com/blog/threat-research/2021/03/sunshuttle-second-stage-backdoor-targeting-us-based-entity.html">由FireEye公布的新惡意軟體名為Sunshuttle</a>，該公司指出，他們起初看到這個惡意軟體的來源，是一個美國組織於2020年8月，將這個Sunshuttle上傳到公開的惡意軟體資料庫。經過他們的分析，Sunshuttle是由Go語言編寫的後門程式，很有可能被駭客應用於第2階段攻擊行動，並做為Sunburst有關工具之間的網路通訊之用。FireEye指出，他們也在遭到供應鏈攻擊的受害組織中看到Sunshuttle，並發現這個惡意軟體疑似與攻擊者UNC2542有所關連的跡象。</p> <p>對於Sunshuttle後門程式的特性，FireEye進一步指出，駭客展現「優雅的」回避偵測技巧──他們運用了融入網路流量的做法，來隱藏與C&C中繼站之間的通訊。不過，駭客究竟如何植入Sunshuttle？該公司表示仍有待釐清。</p> <h2><strong>微軟公布3個惡意程式，並指出較明確的攻擊時間點</strong></h2> <p>而對於駭客於攻擊第2階段所運用的惡意程式，<a href="https://www.microsoft.com/security/blog/2021/03/04/goldmax-goldfinder-sibot-analyzing-nobelium-malware/">微軟也在同日發布研究結果</a>──他們這次一口氣公布了3個惡意軟體酬載，並命名為GoldMax、Sibot，以及GoldFinder。該公司指出，這些惡意程式疑似是此起事件的駭客組織（該公司現稱為Nobelium）於2020年8月至9月之間，在供應鏈攻擊行動的後期使用。而他們認為，攻擊者早在同年6月就將這些惡意程式植入到受害組織。</p> <p>這些惡意軟體的用途為何？微軟認為，這是駭客為了持續在受害組織上運作的工具，特別針對指定網路環境量身打造，甚至在攻擊事件回應的階段，仍成功回避了初步偵測。進一步來說，這3個惡意軟體各司其職，GoldMax是與C&C中繼站通訊的後門程式，為了隱藏惡意行為，這個惡意軟體具備產生誘餌網路流量的功能（Decoy Network Traffic Generation），將惡意網路流量埋藏到正常的網路流量。</p> <p>而Sibot則是駭客用在持續在受害環境運作的工具，並且可接收第2階段攻擊程式碼的指令，下載額外的惡意軟體酬載。至於GoldFinder，微軟推測很有可能是自製的HTTP追蹤工具，用來偵測受害裝置與C&C中繼站之間的網路安全設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig10-Sibot-variants-s.png" style="width: 580px; height: 415px;" /></p> <blockquote><p>在SolarWinds供應鏈攻擊的第2階段中，被微軟發現的3個惡意程式之一Sibot，它主要的功能是接收指令下載檔案，微軟指出該軟體有3種變種，差別是連線到C&C中繼站的途徑，分別是透過登入檔接收程式碼指令的變種A、從惡意排程<span style="font-style: italic;">接收程式碼</span>的變種B，以及搭配獨立程式碼直接連線到中繼站的變種C。</p> </blockquote> <p>從惡意軟體的特質與被濫用的時間點來看，FireEye與微軟揭露的惡意軟體似乎有所雷同，但是否就是相同的惡意軟體？兩家公司並未直接證實。FireEye宣稱微軟也對於相同的攻擊行動揭露細節，微軟則是表示會持續與FireEye合作，來保護他們共同的用戶。但從Sunshuttle與GoldMax都會隱藏惡意流量，且具備相同的C&C中繼站位置，以及執行時會比對特定的MAC位址（c8:27:cc:c2:37:5a）等特性，它們很有可能隸屬於相同的惡意軟體家族。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-HardwareAddr_String-hardcoded-MAC.png" style="width: 500px; height: 321px;" /></p> </div></div></div>
2021/3/5 15:04作者周峻佑https://www.ithome.com.tw/news/143059
RedMonk熱門程式語言排名：JavaScript穩坐第1名，Dart崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://redmonk.com/sogrady/2021/03/01/language-rankings-1-21/">RedMonk</a>發出2021年首次程式語言排名，前3名仍然是JavaScript、Python和Java，相較於之前幾次相對穩定的排名，這次的排名顯得不那麼尋常，因為前20名有一半的程式語言排名都變更，官方提到，雖然很難把這個現象歸因到特定趨勢中，但是在過去兩季，軟體開發業逐漸從疫情停擺中復甦，達到了新的日常。</p> <p>RedMonk程式語言排名是綜合GitHub以及Stack Overflow兩大平臺的結果，GitHub可以反映實際程式語言使用的狀況，而Stack Overflow則能提供討論熱度的資訊。RedMonk並非要計算出統計上的使用量表示，而是想透過語言的使用和討論，提供未來潛在應用的趨勢。</p> <p>這次前20排名不只有許多變化，還有排名相同的情況：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-03-04%20%E4%B8%8B%E5%8D%886_07_58.jpg" style="width: 580px; height: 470px;" /></p> <p>官方針對多個重要語言進行解析，首先是萬年不變的第1名JavaScript，官方提到，JavaScript能夠持續維持第1名，是因為其提供強大的效能，儘管有許多新興競爭語言出現，而且碎片化的情況也為人詬病，也有許多對JavaScript語言本身的批評，但是JavaScript仍然是一個非常受歡迎的語言。</p> <p>與2018年1月的調查相比，JavaScript的拉取請求成長了453％，跟上季相比也有96％的增加，由於原本JavaScript拉取請求數量基礎已經相當龐大，因此能夠成長這麼大的比例，更顯得不容易，官方提到，目前沒有任何跡象顯示，JavaScript的表現會在近期改變。</p> <p>提到JavaScript，另一個相近語言TypeScript也值得關注，TypeScript的排名從2018年的第11名往前衝，進入前10且穩定待在10名以內，由於最近也只有Swift進入過前10名，因此TypeScript的表現更顯得亮眼，在最近8個季度都維持在排名第6，這可以顯示出TypeScript受歡迎的程度，官方提到，最初TypeScript需要關心的問題是，能在高名次維持多久，但現在的問題換作，TypeScript的天花板在哪？</p> <p>曾經在2012年達到第5名的黑馬Ruby，如今發展趨勢一路看衰，從2016年來，Ruby的排名不斷往後，在本季被CSS和TypeScript超車，一次降了2個名次。官方提到，Ruby近年努力解決其一直以來的效能問題，但是對效能的關注，似乎沒有改變Ruby的頹勢，無助於使Ruby排名前進。</p> <p>與Ruby面臨相同困境的Go，同樣是在發展軌跡上逐漸缺少關注的語言，在最初的快速成長期，Go在2018年排名第14名，就已經到達了最高峰，官方提到，Go可尋址的特性似乎市場有限，而且在後端重要程式語言Java的消退上，Go並沒有因此獲得任何好處，官方認為，Go應該要調整語言發展路徑和結構，才有可能改變目前困境。</p> <p>被RedMonk比喻為兔子和烏龜的兩個語言Kotlin和Rust，從上一季度19和20名，在這次各上升了1個名次，來到18和19名。事實上這2個語言沒有真正的關聯，Kotlin是一種JVM語言，現在已經成為Android優先開發語言，而Rust是一個重視安全的語言，近期成立了基金會，獲得AWS、Google、華為和微軟的支援，官方提到，值得關注Rust基金會成立後，Rust的發展是否會打破烏龜和兔子的局面。</p> <p>這季RedMonk排名的黑馬非Dart莫屬了，一次往前了3個名次，在過去因為發展路線的調整，一直讓開發人員興趣缺缺，但是在跨平臺UI框架Flutter釋出後，Dart前到了第21名，Flutter的流行對Dart產生直接的影響，即便前20名非常難進入，但是官方對此抱持正面態度。</p> </div></div></div>
2021/3/5 11:24作者李建興https://www.ithome.com.tw/news/143032
微軟更新多項Azure基礎設施功能，加入Msv2中階記憶體VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/en-us/blog/improving-agility-performance-and-resilience-with-new-azure-infrastructure-capabilities/">更新</a>Azure基礎設施產品組合，以滿足更多元的用戶需求，透過提供更多選擇和靈活性，讓企業能夠快速應付業務需求。在虛擬機器類型方面，Azure現在提供新的Msv2中階記憶體虛擬機器，適用記憶體密集的工作負載，用戶可多獲得20％的CPU效能，且最多用到192 vCPU以及4 TiB記憶體。Azure專用主機庫存單位（SKU）也將推出預覽，讓用戶可以在單租戶，硬體隔離的環境中，執行記憶體密集工作負載。</p> <p>微軟也簡化使用折扣運算能力的方法，新的Azure競價型虛擬機器，能透過試著重新部署先前退出的競價型虛擬機器，使其成為虛擬機器規模集（VMSS）的一部分，改進橫向擴展應用程式的執行狀況，而且用戶還可以模擬驅逐虛擬機器，以測試應用程式行為，確保對中斷的忍受程度。</p> <p>而在去年秋天微軟推出的Azure Automanage服務，能夠大幅簡化Azure中Windows虛擬機器的管理工作，而現在，這個自動化管理功能擴展到了Linux虛擬機器，用戶可以透過同一個控制平面，方便地同時管理Windows和Linux虛擬機器，而且Azure與Elastic的原生整合，用戶可以在Azure上使用Elastic服務，並統一計價。</p> <p>不少用戶透過將應用程式搬遷到雲端上，大規模執行工作負載，以達到更高的效率和效能，微軟透過改進服務，讓用戶更容易擴展工作負載的規模和效能，現在Azure提供新的負載平衡選擇工具，該工具可以根據不同的工作負載和需求，指引用戶選用正確的服務，同時Azure負載平衡器也開始能夠跨IP位置，提供負載平衡服務。</p> <p>微軟讓用戶可以按需求保留運算容量，用戶可以選擇以任意長度的時間，在Azure地區或是可用區域中，保留一種或是多種虛擬機器大小的運算容量，而且用戶還可以結合保留的虛擬機器執行個體使用，以大幅節省成本。</p> <p>而現在所有Azure虛擬機器，都能啟用Trusted Launch來保護工作負載不受惡意攻擊，另外，微軟還開始提供SQL Always Encrypted安全區域預覽功能，可用來保護Azure中的敏感資料，並且允許用戶在AKS（Azure Kubernetes Service）上調度機密容器。</p> <p>微軟提供搬遷服務Azure Migrate，來加速用戶將工作負載移往雲端的過程，新的Azure Migrate功能讓用戶能夠更方便地把自有的SQL Server搬遷到Azure SQL上，同時也支援使用PowerShell搬遷VMware虛擬機器，而新的容器化應用程式，能讓用戶將.NET和網頁應用程式，簡單地搬遷到AKS上。</p> </div></div></div>
2021/3/5 11:30作者李建興https://www.ithome.com.tw/news/143052
Exchange Server零時差漏洞災情，可能比微軟想像中嚴重
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周稍早<a href="https://www.ithome.com.tw/news/143001" target="_blank">微軟公布</a>中國支持的駭客組織Hafnium對少數特定的Exchange Server客戶發動攻擊。<a href="https://www.huntress.com/blog/rapid-response-mass-exploitation-of-on-prem-exchange-servers" target="_blank">安全廠商相信</a>，實際情況可能更嚴重，至少有數百臺Exchange系統內發現惡意程式。</p> <p>微軟指出，中國政府支持的Hafnium技能高強且手法複雜，它在美國地區的攻擊是利用租賃的虛擬私人伺服器（virtual private server）為據點，串聯利用Exchange Server 4項零時差漏洞（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858及CVE-2021-27065）駭入受害者系統，並植入web shell作為長期控制系統的後門，且已經不是第一次發動攻擊。Hafnium這波「有限精準」的攻擊主要對象為感染病研究單位、高等教育機構、國防外包商、政策智庫和非政府單位（NGO）等組織。</p> <p>但是安全廠商Huntress分析實際的Exchange系統中，發現攻擊目標不限於這些單位。Huntress檢查的超過2000臺Exchange伺服器中，有近400臺存在公布的零時差漏洞，另有將近100臺可能有漏洞。此外，在該公司代管服務夥伴中，有200臺伺服器已經在其資料夾（C:\inetpub\wwwroot\aspnet_client\system_web）中發現web shell程式。</p> <p>Huntress指出，這些Exchange Server用戶和微軟描述的受害單位並不一致。雖然受害單位包括許多市、郡政府、健康照護機構、金融、銀行，以及電力公司等，但另一些則是小型飯店、冰淇淋廠商、廚具製造商、好幾家長照社區等並沒有這麼「高上大」的中型企業。</p> <p>而在400臺有漏洞的伺服器中，Huntress研究人員也發現了超過350個web shell，有的機器還不只1個web shell，可能是自動化部署，或是攻擊者之間未協調好的結果。</p> <p>值得注意的是，這些端點都安裝有防毒或端點偵測回應（endpoint detection and response, EDR）產品，但是這些web shell似乎有方法迴避大部份安全產品偵測。此外，根據安全廠商界的誘捕系統（honeypot）也遭到攻擊來看，顯示攻擊者是在掃瞄網路，尋找最容易下手的目標。</p> <p>Huntress指出，這波攻擊嚴重性不容小覷，因為郵件系統是所有企業及組織不可或缺的，而微軟Exchange又是其中最廣為使用的。這些伺服器一般可從外部網際網路存取，因此也有被遠端攻擊的風險。攻擊者成功存取並控制Exchange Server後，就能以此為據點在受害者網路上橫向移動，擴大損害。</p> <p>受影響的Exchange Server版本包括2013、2016及2019。微軟本周已對用戶釋出Exchange更新版本修補漏洞。但Huntress提醒代管業者，除了立刻更新Exchange伺服器外，也應儘速尋找系統內是否有web shell和其他入侵指標。研究人員認為似乎所有防禦性的產品，都無法成功防堵web shell下載。</p> </div></div></div>
2021/3/5 11:48作者林妍溱https://www.ithome.com.tw/news/143056
英國將對蘋果App Store啟動反拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/cma-investigates-apple-over-suspected-anti-competitive-behaviour" target="_blank">英國政府昨日宣布</a>啟動調查蘋果App Store軟體市集的開發商條款，以及強制分潤30%是否妨礙市場自由競爭。</p> <p>英國競爭與市場管理署（Competition and Markets Authority，CMA）是在接到「多家」開發商投訴後啟動調查。這些開發商投訴，蘋果對iOS App開發商的條款，限制他們提供給iPhone及iPad用戶使用的App，只能上傳蘋果App Store軟體市集供用戶下載。他們也指控，對於在App中提供程式內購買(in-app purchase, IAP)以供用戶購買商品、擴充功能或升級的開發商，蘋果也要求必須內建蘋果的支付系統，不得使用別家的系統。藉由強制內建蘋果支付系統，蘋果可從每筆App交易中收取30%的利潤。</p> <p>CMA表示，調查將了解蘋果在英國蘋果裝置上的App散布是否存在獨大權力，如果答案為是，蘋果是否向開發商提出了不公平或妨礙競爭的條款，最終導致使用者的選擇性變少，或得支付更高費用購買App和擴充功能。</p> <p>英國主管機關表示調查完成之前，不會做出任何決定。</p> <p><a href="https://techcrunch.com/2021/03/04/apples-app-store-is-now-also-under-antitrust-scrutiny-in-the-uk/" target="_blank">蘋果對媒體回應</a>，蘋果創立App Store成為用戶可下載App及開發商開展業務機會的可信賴安全平臺，光是在英國就創造了數萬個工作機會。而且App Store以其防範惡意程式及需經用戶同意才能蒐集資料的嚴格標準，也推動了開發商的成功。蘋果表示將配合英國主管機關的調查。</p> <p>App Store的30%分潤及開發商條款遭到大型App開發商，像是遊戲發行商Epic Games、串流音樂商Spotify及網路交友平臺Match的不滿。<a href="https://www.cnbc.com/2021/02/17/epic-games-files-antitrust-complaint-against-apple-in-the-eu.html" target="_blank">Epic Games上個月</a>在歐盟提出投訴。此外該公司也在美、澳洲及英國投訴蘋果。</p> <p>英國是繼去年6月<a href="https://www.ithome.com.tw/news/138270" target="_blank">歐盟</a>之後，最新一個對App Store啟動反托拉斯調查的國家。雖然蘋果堅持App Store確保消費者的資訊安全，及為開發商提供營生平臺，但是蘋果仍然推出新政策來緩解主管機關的疑慮。去年11月蘋果宣布，從2021年1月1日起，針對2020年營收小於100萬美金的現有開發商或新開發商，IAP的分潤比例將可由30%減為15%。</p> </div></div></div>
2021/3/5 11:59作者林妍溱https://www.ithome.com.tw/news/143057
Grub2再現嚴重漏洞，釋出117個修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責維護Grub啟動程式的<a href="https://seclists.org/oss-sec/2021/q1/189" target="_blank">Daniel Kiper在本周指出</a>，他已釋出了一個修補包，內含117個修補程式，當中有8個最嚴重的安全漏洞取得了CVE編號。</p> <p>Grub為一來自GNU專案的啟動程式，允許使用者在同一裝置上安裝多個作業系統，並在啟動時選擇所要執行的作業系統，受到眾多Linux版本的青睞。去年7月時，資安業者Eclypsium揭露了一個藏匿於Grub2的安全漏洞<a href="https://www.ithome.com.tw/news/139133" target="_blank">CVE-2020-10713</a>，它是個緩衝區溢位漏洞，允許駭客於記憶體中寫入任何程式，代表駭客可在作業系統啟動以前便植入惡意程式，還可長駐。</p> <p>Kiper指出，自從該漏洞曝光以來，各方人馬便開始仔細檢驗啟動程序的安全性，特別是Grub，使得他們開始收到不同的漏洞報告，再加上他們自己發現的，在此次一併藉由內含117個修補程式的修補包來解決。</p> <p>Kiper列出了當中因特別嚴重而取得了CVE編號的8個安全漏洞，它們分別是CVE-2020-14372、CVE-2021-20233、CVE-2020-25632、CVE-2020-27779、CVE-2021-20225、CVE-2020-27749、CVE-2021-3418與CVE-2020-25647。</p> <p>其中，CVE-2020-14372存在於當啟用安全啟動時，acpo命令允許特權使用者載入特製的ACPI表格；CVE-2021-20233則是菜單渲染時可能會出現記憶體毀損；CVE-2020-25632為rmmod命令的釋放後使用漏洞；CVE-2020-27779出現在cutmem命令中，允許特權使用者關閉特定的記憶體區域，意謂著也能關閉安全啟動保護；CVE-2021-20225則是因選項解析器含有一個堆積緩衝區，讓特權使用者可於啟用安全啟動時執行任意程式；CVE-2020-27749也是出現在啟用安全啟動之際，在處理命令列選項時出現堆積緩衝區溢位，允許特權使用者執行任意程式。</p> <p>CVE-2021-3418則是因為Grub 2.05而再度出現的CVE-2020-15705漏洞，在缺乏shim的情況下直接啟動，未能驗證核心簽章而繞過安全啟動；CVE-2020-25647可利用特製的USB裝置描述資訊來造成記憶體毀損，讓本地端用戶在啟用安全啟動的狀態下執行任意程式。</p> <p>Kiper提醒，要完整部署所有的CVE必須先更新UEFI撤銷列表，否則可能會無法以現有的啟動構件（Boot Artifact）執行安全啟動。</p> <p>包括 <a href="https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/GRUB2SecureBootBypass2021" target="_blank">Ubuntu</a>、<a href="https://www.debian.org/security/2021/dsa-4867" target="_blank">Debian</a>、<a href="https://access.redhat.com/security/vulnerabilities/RHSB-2021-003" target="_blank">紅帽</a>與<a href="https://www.suse.com/support/kb/doc/?id=000019892" target="_blank">Suse</a>都已貼出相關的安全公告。</p> </div></div></div>
2021/3/5 10:52作者陳曉莉https://www.ithome.com.tw/news/143054
Google發布Flutter 2更完整支援網頁平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了跨平臺UI框架Flutter主要版本更新推出<a href="https://developers.googleblog.com/2021/03/announcing-flutter-2.html" target="_blank">Flutter 2</a>，起初Google創建Flutter的目的，僅是要讓iOS和Android應用程式，能夠共用更多的程式碼，但經過一段時間的發展，Flutter擴展到了更多的平臺上，Flutter 2完整支援網頁平臺，開發者已經可以用來開發產品級的網頁應用程式。</p> <p>現在Flutter 2可以將相同的程式碼，發布成原生應用程式，在iOS、Android、Windows、macOS和Linux作業系統上執行，Flutter 2還針對Chrome、Firefox、Safari和Edge瀏覽器最佳化網頁體驗，Flutter甚至可以被嵌入到汽車、電視和智慧家電中。Flutter的執行速度很快，可以將原始碼編譯成為機器碼，但由於Flutter提供熱重載功能，即便應用程式執行時進行更改，開發者仍可立刻查看結果，獲得有如直譯語言的開發生產力。</p> <p>Google提到，早期網頁是以文件為基礎，但是現在網頁平臺已經可用來開發複雜的應用程式，具有豐富的平臺API，能夠提供2D和3D圖形加速功能，也擁有彈性的布局和繪製功能，Flutter以這些創新發展作為基礎，提供了一個以應用程式為中心的框架，以充分利用現代網頁平臺提供的功能。</p> <p>Flutter 2提供的網頁支援，專注在3種應用程式情境，包括漸進式網頁應用程式、單頁應用程式，以及將Flutter行動應用程式移植到網頁上。過去幾個月，Google強化了Flutter在網頁平臺的效能，並且新增一個由WebAssembly所開發的CanvasKit渲染引擎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image%204.png" style="width: 580px;" /></p> <p>另外，Google也在Flutter添加了常見的網頁功能，像是文字自動填寫、控制網址列URL、路由以及PWA清單，而且為了同時提供桌面和行動裝置瀏覽器良好的操作體驗，Flutter添加了互動式滾動條以及鍵盤快捷鍵，並且增加在桌面模式中預設網頁內容密度，並且提供Windows、macOS和Chrome OS螢幕閱讀器無障礙功能。</p> <p>除了之前Canonical與Google合作，將Flutter帶上Ubuntu之外，微軟也擴大對Flutter的支援，除了將在Windows中支援Flutter外，在Flutter 2發布的同時，微軟貢獻可折疊Android裝置中支援Flutter的程式碼，擴展在雙螢幕上使用Flutter的體驗。</p> <p>豐田汽車還宣布要建構以Flutter為基礎的資訊娛樂系統，將Flutter數位體驗帶入到車輛中，Google提到，使用Flutter代表著，豐田將採用與過去大不相同的車載軟體開發方法發展軟體，獲得高效能、一致且可快速迭代等優勢。藉由Flutter的embedder API，豐田汽車可以針對車載系統獨特需求量身訂做Flutter。</p> <p>在幾個月前，Google將支付應用程式Google Pay，以Flutter重新開發，消除了不同平臺間的差異，減少了超過100萬行程式碼，而現在Google還發布行動廣告Flutter測試版，這是一個新的SDK，可以和AdMob和AdManager配合使用，提供多種廣告格式，包括橫幅廣告、插頁式廣告、原生廣告和獎勵影片廣告。另外，Google也針對Flutter，發布了多個Firebase核心服務套件。</p> </div></div></div>
2021/3/5 10:58作者李建興https://www.ithome.com.tw/news/143031
Accellion被駭牽連客戶，資安業者Qualys也入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>私有雲解決方案供應商Accellion於去年12月中遭到駭客入侵，在<a href="https://www.ithome.com.tw/news/142848" target="_blank">受害者紛紛露面</a>，及美、英等五國聯手<a href="https://www.ithome.com.tw/news/142911" target="_blank">發布警告</a>之後，在那斯達克上市的美國雲端資安業者<a href="https://blog.qualys.com/vulnerabilities-research/2021/03/03/qualys-update-on-accellion-fta-security-incident" target="_blank">Qualys也在本周坦承</a>，該公司也是Accellion產品的用戶，幸好受駭產品是部署在隔離的環境中，而未影響Qualys的日常運作。</p> <p>駭客在去年12月中開採Accellion檔案傳輸裝置（File Transfer Appliance，FTA）個零時差漏洞，Accellion在12月23日修補該漏洞之後，卻發現駭客持續透過其它4個FTA零時差漏洞展開攻擊，由於FTA的功用為資料傳輸，因此當駭客入侵該裝置之後，便盜走了FTA用戶的資料，再向這些受害者勒索，估計有接近50家的Accellion客戶受害。</p> <p>本周Qualys則說，該公司部署Accellion FTA以作為客戶支援系統的一環，主要是針對手動上傳的檔案進行加密的臨時傳輸，不過，該伺服器是由Accellion負責管理，被置放在隔離的DMZ環境，與Qualys產品的代管及支援系統是完全分開的。</p> <p>Qualys解釋，Accellion是在其它客戶的環境中發現首個零時差漏洞，在12月21日收到Accellion的通知後，Qualys很快就部署了修補程式，接著還部署了其它的修補程式及啟用額外的FTA伺服器警報機制，當於12月24日再度收到FTA的完整性警報時，便直接關掉受影響的FTA伺服器，以其它方式取代FTA的功能。</p> <p>雖然沒有波及Qualys的服務或運作，但調查卻顯示駭客存取了該FTA上的檔案，Qualys已立即通知這些受影響的少數客戶。</p> </div></div></div>
2021/3/5 11:19作者陳曉莉https://www.ithome.com.tw/news/143055
金融木馬Ursnif再度出手，逾百家義大利銀行受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊的手法日新月異，老舊工具不斷改良並用於發動攻擊，仍時有所聞。在3月2日，<a href="https://blog.avast.com/ursnif-victim-data">防毒業者Avast的研究人員揭露</a>，他們發現運用金融木馬Ursnif的駭客，近期再度發動攻擊，目標是超過100間位於義大利的銀行。而對於受害的情況，該公司指出已經嚴重影響義大利，這個金融木馬挖掘了使用者名稱、密碼、信用卡資料，以及付款資訊等，而且，其中的一個支付處理端（Payment Processor）有超過1,700個憑證遭竊。</p> <p>研究人員表示，他們在確認受害單位身分後，已經將相關細節提供給上述提及的支付處理端與銀行，該公司也通報當地的金融資安單位，像是CERTFin Italy。</p> <p>金融木馬Ursnif最早約在2007年出現，歷年來曾鎖定許多國家發動攻擊，駭客散布這個木馬程式的管道，通常是經由攻擊目標當地語言編寫的釣魚郵件。Ursnif於2020年也曾出現被運用於攻擊的情況，例如，<a href="https://www.darktrace.com/en/blog/the-resurgence-of-the-ursnif-banking-trojan/">資安業者Darktrace於7月揭露濫用Ursnif的攻擊行動</a>，駭客藉由網域生成演算法（DGA）隱匿C&C中繼站位置，而難以追查攻擊來源。而另一家<a href="https://blog.checkpoint.com/2020/06/15/mays-most-wanted-malware-ursnif-banking-trojan-ranks-on-top-10-malware-list-for-first-time-over-doubling-its-impact-on-organizations/">資安業者Check Point則在6月的研究報告指出</a>，Ursnif是時下前5大惡意程式之一。</p> </div></div></div>
2021/3/5 09:47作者周峻佑https://www.ithome.com.tw/news/143035
研究人員揭露駭客在暗網論壇交流偽造線上交易手法，企圖破解3DS驗證流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在支付安全的領域中，3D Secure驗證機制（3DS）可說是相當普遍的做法，這種機制到了最近幾年，又推出規格較為嚴謹的2.0版。但近期威脅情報業者Gemini Advisory指出，<a href="https://geminiadvisory.io/cybercriminals-bypass-3ds/">他們發現駭客在暗網提出如何繞過3DS的多項做法</a>，恐怕會造成相關的網路詐欺攻擊更為氾濫。</p> <p>在該公司的調查裡，Gemini Advisory列出了5種類型的攻擊手法，大致可區分成竊得所需的3DS驗證資料，以及繞過此種交易驗證機制的類型。前者有3種取得3DS驗證資料的手法，包含了利用社交工程、網路釣魚，以及惡意程式側錄等；後者則有小額盜刷和濫用Paypal。</p> <p>Gemini Advisory近日發現，駭客在暗網討論如何能夠繞過3DS刷卡的手法裡，其中最常被提及的類型，就是透過社交工程型態的攻擊手段，騙取盜刷過程中，需要應付3DS驗證流程的資料。再者，駭客也可能使用假冒的付款網頁，來偷得有關的資訊。該公司也舉出他們看到的其中一種社交工程手段，駭客假冒銀行客服打電話給持卡人，來取得所需的3DS驗證資料。而為了避免遭到追查，駭客也會透過變聲器和電話號碼欺騙工具，來撥打這種電話。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3DS_2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/3DS_2.png" style="width: 580px; height: 268px;" /></a></p> <p>而另一種也被濫用的欺騙手法就是網路釣魚。在這種手法中，駭客會向受害者提供看起來與實際電商相似的網站。一旦受害者不經意在偽造的購物網站下單，駭客便會將付款資料傳送到合法網站，受害者便不知不覺讓駭客通過3DS驗證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3DS_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/3DS_3.png" style="width: 580px; height: 376px;" /></a></p> <p>此外，對於有些電商網站仍採用3DS 1.0版，在此種機制可能會出現的SMS簡訊驗證碼，也值得留意。Gemini Advisory表示，攻擊者有可能藉由在Android手機植入惡意軟體，來竊取有關資料。</p> <p>在上述騙取3DS驗證資料的手法之外，Gemini Advisory指出，駭客也可能利用特殊的購買方式，或是指定的付款方式，來回避電商網站的3DS機制啟動，而達到盜刷的目的。</p> <p>駭客看上了3DS驗證被實際運用瑕疪。其中最常見的情況，就是有些電商避免用戶覺得3DS驗證步驟麻煩而取打消下單，有些商家就會設定在小額訂單停用這類機制。例如，某個網站只要單次交易金額小於30美元、5次交易累計金額低於100美元，就不會啟動3DS機制。駭客可能會在部分盜刷的事件中，選擇低於相關門檻的金額，來減少必須身分驗證的不便。</p> <p>除了針對電商網站啟動3DS機制的金額門檻下手，另一種繞過3DS的手段，則是使用PayPal。由於在這種支付管道中，而無論是支付卡還是信用卡，都不會經過電商網站的3DS驗證程序，使得駭客只需處理PayPal帳號的不定期驗證，以及支付卡和PayPal的綁定工作即可濫用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3DS_4.png" style="width: 580px; height: 178px;" /></p> </div></div></div>
2021/3/4 16:50作者周峻佑https://www.ithome.com.tw/news/143030
身分管理業者Okta宣布將以65億美元買下競爭對手Auth0，推動身分管理成為企業的主要雲之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身分管理業者<a href="https://investor.okta.com/news-releases/news-release-details/okta-signs-definitive-agreement-acquire-auth0-provide-customer" target="_blank">Okta周三（3/3）宣布</a>，已與最大競爭對手之一的Auth0簽署併購協議，將以價值約65億美元的股票買下Auth0，共同推動身分管理成為企業所需的主要雲之一，雙方預計於今年7月底以前完成交易。Okta當天的股價已下滑6.89%，消息傳出後盤後再下滑10.39%，股價跌至216.15美元。</p> <p>此一交易價格是根據固定的Okta股數與每股276.21美元的股價而來。幾周前市場便傳出Auth0有意出售的消息，亦有部份股東希望推動Auth0上市，最後結果則是與Okta達成併購協議，去年7月Auth0的市值只有19億美元。</p> <p>Okta為那斯達克的上市公司，主要鎖定大型企業，提供雲端軟體以協助企業管理使用者的應用程式存取憑證，至於成立於2013年的Auth0則是深受開發者社群的喜愛，開發者只要透過幾行程式，就能將各種身分認證選項嵌入應用程式或服務中。</p> <p>因此，Okta認為這是一項互補的併購案，結合Auth0以開發者為中心的身分解決方案與Okta的身分雲，讓身分管理雲與基礎設施雲、協作雲或CRM雲並列，成為大型企業的主要雲之一。</p> <p>未來即使Auth0被納入Okta，也會是個獨立的商業部門，Okta希望在整併雙方的資源後，不僅能夠服務全球的大型企業，也能具備足夠的彈性來解決各種身分認證的案例需求。</p> </div></div></div>
2021/3/4 16:33作者陳曉莉https://www.ithome.com.tw/news/143029
為淘汰第三方Cookie作準備，Google Chrome將開放廣告主測試FLoC群組廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/ads-commerce/a-more-privacy-first-web/" target="_blank">Google周三（3/3）宣布</a>，準備在本月釋出的Chrome中公開測試「群組聯合學習」（<a href="https://github.com/google/ads-privacy/tree/master/proposals/FLoC" target="_blank">Federated Learning of Cohorts，FLoC</a>）演算法，並於今年第二季透過Google Ads與廣告主共同測試FLoC。</p> <p>就在網路使用者愈來愈注重自己的隱私，且包括Firefox、Safari與Chrome等瀏覽器都已經或準備封鎖第三方Cookie之際，為了讓廣告主可於儘量不侵犯使用者隱私的狀態下遞送關聯性廣告，Google提出了「隱私沙箱」（Privacy Sandbox）專案，首先上陣的即是FLoC。</p> <p>過去廣告網路多半透過Cookie來紀錄與追蹤瀏覽器用戶的行為，可得知使用者所造訪的網站、瀏覽的內容或商品，以根據使用者的喜好來遞送關聯性廣告，然而，當瀏覽器開始顧及用戶隱私而相繼封鎖這些第三方Cookie時，迫使廣告網路改以「指紋」（Fingerprinting）來蒐集瀏覽器用戶的瀏覽器品牌、版本、作業系統、語言、時區、外掛程式、字型、螢幕解析度、裝置記憶體或CPU等級等，以試圖建立使用者的檔案，同樣是為了辨識使用者並遞送關聯性廣告。</p> <p>Google認為，使用者可以封鎖或刪除Cookie，卻無法清除指紋，這項改變顯然對使用者的隱私更不利，另一方面，當使用者因隱私顧慮而拒絕接受追蹤及關聯性廣告時，則會嚴重影響網站的生計，特別是那些仰賴廣告收入來支撐的免費服務或內容網站，進而危及未來的免費與開放網路。兩年前的一項研究顯示，當移除Cookie造成所遞送的廣告跟使用者的關聯性不高時，出版網站的平均營收將減少52%。</p> <p>而隱私沙箱就是Google為了兼顧使用者隱私及關聯性廣告而發起的專案，相關的提案除了FLoC之外，還包括詐欺偵測、量身打造的內容、第一方的處理（有別於第三方）、廣告測量，以及以隱私為預設地請求瀏覽器資訊等。</p> <p>Pew Research Center的調查顯示，有72%的網路使用者認為不管他們在網路上做什麼，幾乎都會被廣告主、科技公司或其它業者追蹤，另有81%認為，業者對資料的蒐集所帶來的風險已超過好處，Google打算藉由隱私沙箱重建使用者的信賴。</p> <p>即將展開測試的FLoC是個API，它讓廣告主可觸及「一群」擁有共同興趣的使用者，使得個別的使用者可藏身於群眾中，而且它是在使用者的裝置上進行處理，以讓使用者的瀏覽歷史紀錄保持私密。根據Google的測試，透過FLoC進行關聯性廣告的轉換效果，可達到使用Cookie的95%，顯然是很有效的替代方案。</p> <p>負責廣告隱私與信賴的Google產品管理總監David Temkin說，人們不一定要接受追蹤才能享受關聯性廣告的好處，蒐集、匿名、裝置處理與其它隱私保留技術的進步，提供了取代個人標識符的明確途徑。</p> <p>除了FLoC的測試之外，可望於今年4月釋出的Chrome 90將首度整合隱私沙箱的控制功能，初期僅有簡單的開啟或關閉選項，預計未來的Chrome版本將會陸續擴充各種隱私沙箱提案的控制能力。</p> </div></div></div>
2021/3/4 15:36作者陳曉莉https://www.ithome.com.tw/news/143028
IT人才月報第13期：偏鄉醫師不足有新解方！健保署建置人力資源平臺公開偏鄉醫院職缺，鼓勵醫師主動洽詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0205~0304)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人力需求平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫師職缺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>健保署建置全國偏鄉醫師人力需求平臺，欲透過透明職缺資訊推動醫生下鄉服務</strong></span></strong></p> <p>偏鄉、離島醫院的醫療人力資源不足，一直是臺灣醫療資源分配不均的一大問題。過去，醫生即便有心想要到偏鄉服務，也較難得知偏鄉醫院的職缺資訊，比如缺幾位外科醫生、內科醫生等詳細職缺內容，導致醫師較難主動排定時程來前往。為此，健保署在健保署官網的主題專區中，設置「全國偏鄉醫師人力需求平臺」，讓偏鄉、離島的醫院，能在平臺中登錄目前的職缺，將這些資訊集合之後提供查詢，就能讓有意願到這些地區服務的醫師，利用這個平臺了解相關資訊，進一步與欲前往的院所窗口接洽。</p> <p>健保署表示，目前已有29家醫院，共公告174個職缺，服務地區遍及宜蘭縣、南投縣、嘉義縣、花蓮縣、屏東縣、臺東縣、金門縣及澎湖縣。為了吸引醫療人力前往這些開設職缺的醫院，健保署也主動蒐集全國偏鄉60個地區之旅遊景點、交通資訊、美食地圖及住宿推薦，並置於官網上，希望讓醫師在行醫之餘，也能感受臺灣不同人文風景，滿足當地民眾就近獲得完整醫療照護的需求。（<a href="https://www.nhi.gov.tw/Content_List.aspx?n=CA2D5A2E9C070FFC">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI面試 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微表情AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺師大 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AI面試有新工具！臺師大開發微表情AI辨識技術，即時預測應徵者的職場性格與溝通能力</span></strong></p> <p>一個人可以控制臉部表情、說話內容，但是短至三十分之一秒的微表情，就可能暴露了內心最真實的想法。臺師大將微表情與職場性格相連結，透過持續20分鐘的結構式面談，萃取應徵者在面試時，短至三十分之一秒的微表情，藉此來預測該名應徵者在職場上的5大性格體現，包括情緒是否足夠穩定、是外向或內向、是開放或保守、是否足夠審慎細心、是否有親和力，以及是否具有良好的溝通技巧等。</p> <p>研究過程中，為了找出微表情與職場性格的關聯性，臺師大與震旦行合作，取得震旦行企業內部員工回答面試問題的影片，並且取得該名員工自己、主管、下屬、同事、客戶對該名員工性格的印象評分，同時，也請多位資深人資主管，對員工的面試影片評分，來評估員工溝通技巧的分數高低。</p> <p>蒐集上千份資料後，研究團隊運用電腦視覺的技術，透過臉部86個偵測點位，在特定情境與時間下的動態組合，來分析微表情特徵值。接著，運用CNN深度學習，透過不同受試者面試時的微表情變化，與建立在他人觀感之上的評分，找出兩者之間的關聯性，前後共開發了26套AI模型。最後，將模型結合震旦行的AI面試系統，來分析應徵者的微表情，進而預測其職場上的性格及溝通能力表現。國內更有多家金融業者、高科技製造業大廠決定採用。（<a href="https://www.ithome.com.tw/news/143000">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/157214266_757083245214068_7602193014730997214_n(2).jpg" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國發會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> STEM人才短缺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才培育 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">國發會推估STEM人才至少缺2.5萬人，政府祭出三大策略要補足數位人才缺口</span></strong></p> <p>國發會人力處長林至美表示，根據主計總處「事業人力僱用狀況調查（空缺概況）」估算，臺灣工業與服務專業人才短缺人數持續增加，2020年專業人才短缺已占全體短缺之17.8%，主要為資訊科技、科學、統計及工程等STEM領域相關職缺，其人數為2.5萬人，占全體專業人才短缺之63.5%。且在未來少子化的衝擊下，人才缺口恐怕越來越大。</p> <p>為此，政府祭出相關策略，為了補足國家發展所需的關鍵人才，國發會2月22日通過「關鍵人才培育及延攬方案（草案）」，將善用產、官、學、研間的合作機制，發展「培育本土數位人才」、「延攬國際關鍵人才」、「深化雙語能力及國際視野」三大策略，來提升臺灣產業的國際競爭力。</p> <p>三大策略中，最受關注的是本土數位人才的培育，對此，教育部已經規畫「國家重點領域產學合作及人才培育創新條例」，被列為立法院本會期優先法案，該條例是突破現有教育框架、現有系所招生員額限制，由企業出資超過一半、與國立大學合作成立學院的人才培育制度，比如臺、成、清、交即將成立的半導體學院就是一例。林至美表示，教育部也將擴充STEM領域系所每年招生名額、放寬生師比限制、擴增師資及教學能量，並且鼓勵非資通訊系所開設跨領域數位科技微學程。（<a href="https://www.ndc.gov.tw/nc_27_34786">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">大舉徵才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 轉硬體開發人才 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟4大團隊預計在今年延攬上百位軟硬體研發技術人才</span></strong></p> <p>看好臺灣軟硬體垂直整合場域，及多元頂尖人才，微軟宣布要將臺灣作為全球技術研發的重要據點，2021年更要擴大招攬百名軟體與硬體研發人員。其中，微軟有4大團隊要招募研發人才，一是微軟企業定位技術核心團隊Azure Maps，該團隊需具備資料建模和分析、資料挖掘、機器學習、跨行業地理空間服務、API和SDK等方面的技能，來建構智慧位置感知的Web和行動應用程式。二是資料標註（Data Annotation）團隊，也就是微軟AI解決方案的底層核心技術團隊，預計將延攬精通音調、說話節奏與知識等共14種語系的語言學專家，協助完善機器學習模型中的數據資料標註作業，來精進NLP等技術的研發，未來也將擴充到其他資料標註領域。</p> <p>三是裝置軟體開發和品質部門（Devices Software & Quality Organization，DSQO）團隊，DSQO團隊專注於Surface系列產品內的Android軟體開發、硬體支援和5G/WiFi/藍牙等聯網能力（Connectivity）的研發，為微軟打造以用戶為中心的創新體驗。四則是Azure雲端硬體與基礎建設（AHSI）團隊，AHSI團隊主要為微軟資料中心，打造適用AI、物聯網與邊緣運算的雲端軟硬體基礎建設，包含晶圓設計與開發、超級電腦（AI Supercomputers， AISC）、光學工程、產能與供應鏈管理等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發實例：集保 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT人才培育 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IT力如何與時俱進？集保培育多元人才更形塑敏捷文化</span></strong></p> <p>「人才是最重要的資產，因為環境一直在改變，如果沒有去培養人才，勢必沒辦法讓業務得到滿足。」臺灣集中保管結算所副總經理張秀珍，點出集保對人才高度重視的態度。比如說，集保在2017年推出集保e存摺App，但是，面對顧客端的行動化技術，並非集保IT過去所擅長的技能，為了建立起自家IT團隊維運行動化服務的能力，在推出App後，集保從做中學，自己培養熟悉App開發、UI/UX設計的人才，才一步步強化了App的功能，持續改版更新。</p> <p>2020年，為了整合銀行帳戶資訊到集保e存摺App，集保也開始導入敏捷開發方法，跨部門組成了一個10人團隊，每天站報來討論需求變化，讓App新版本功能更快交付，同時也動態檢討與改進，取代了沿用多年的瀑布式專案管理流程。不只如此，集保更同步形塑整體企業的敏捷文化，積極對內部主管與員工展開教育訓練，培養他們具備敏捷思維，目標將集保重塑為一個學習型組織，從文化上帶動數位轉型。</p> <p>不只是培養人才，集保也透過多種方法，來降低IT人員過多的作業負擔。比如說，在推出大數據分析平臺後，集保舉辦超過30場的內部教育訓練，培訓業務人員學會如何自己操作BI，建立起視覺化分析圖表的能力，來快速上手資料分析應用，避免每一次都要靠IT單位拉報表，才能提供業務人員使用。同時，集保也導入多種自動化工具，除了在開發過程中導入CI/CD和DevOps，也在自動化部署導入Ansible、批次作業則導入TWS；在例行作業的自動化方面，則導入RPA，來提升員工的工作效率，未來，更要訓練業務單位也能快速建置簡單的RPA流程。（<a href="https://www.ithome.com.tw/people/142816">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/17-1_1080p_%E5%BC%B5%E7%A7%80%E7%8F%8D_%E8%87%BA%E7%81%A3%E9%9B%86%E4%B8%AD%E4%BF%9D%E7%AE%A1%E7%B5%90%E7%AE%97%E6%89%80_%E4%B8%BB%E4%BB%BB%E7%A7%98%E6%9B%B8_20210128_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技能勝於學位 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才方法轉變 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">徵才還在看學校嗎？Linkedin一項新統計發現，美越來越多企業開始實施以技能為基礎的聘僱方法</span></strong></p> <p>在招聘人才時，該要求的是技能，而非畢業學校；該看的是表現，而非出身；該在意的是他們能做到哪些事情，而非他們過去曾處在的位置。這種類似於「英雄不論出身低」的選人法則，就是近年來興起以技能為基礎的聘僱方法（Skills-based Hiring），Linkedin認為，這種方法能幫助企業聘雇到能力與職位相符的人才，更已經有知名企業開始擁抱這種聘僱方式，不再要求員工必須要具備學士學位，根據Linkedin的新統計顯示，過去一年中，企業聘雇沒有傳統4年制學士學位的經理人數，增加了20%，這項統計更指出，這些員工能比具學士學位的員工，能在一家公司多停留34%的時間，提升企業的留職率。</p> <p>而要採取以技能為基礎的聘僱方法，首先，企業在張貼招聘訊息時，需要鬆綁或移除任何的工作要求，與其列出一連串的要求，不如關注角色的職責，說明希望新員工能達成哪些績效、在日常工作中會使用到哪些技能。Linkedin的統計數據更顯示，提及「職責」但未提及「要求」的美國職缺訊息，相較於提及「要求」而非「職責」的職缺訊息，所收到的申請多出了14％。（<a href="https://business.linkedin.com/talent-solutions/blog/trends-and-research/2021/why-skills-based-hiring-starts-with-job-descriptions">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/responsibilities_excerpt_v2.jpg" style="width: 700px;" /></p> <blockquote><p>Linkedin發現，若在職缺敘述中加入「職責」這一項描述，會讓應徵者印象深刻，且提高他們投遞履歷的意願。</p> </blockquote> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視訊會議 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Zoom倦怠 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛研究 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">長時間視訊會議導致「Zoom倦怠」？史丹佛一項研究提出4大形成主因</span></strong></p> <p>自去年3月企業大規模實施遠距視訊協同的作業型態，許多員工在以Zoom或微軟Teams等視訊工具開了一整天的會後，出現倦怠、焦慮、虛脫的徵狀，這些現象被稱為「Zoom倦怠」。史丹佛大學虛擬人機實驗室的一項研究解釋了造成Zoom倦怠的四項成因。</p> <p>第一，是視訊會造成過度的眼神接觸。研究人員指出，一般人際接觸中，人類的視線會轉移，不會聚焦在同一處，但在視訊會議中，所有人都得長時間盯著螢幕上的人，造成長時間眼神接觸。而且，隨著現代桌機螢幕尺寸愈來愈大，螢幕上顯示的人臉過大，也會使人感到不舒服。第二，是用戶在視訊過程中會不斷看到自己的影像，當人們看到自己的影像，會對自己更加苛刻，平添更大壓力，另有研究也顯示，從鏡中看到自己會引發負面情緒。</p> <p>第三，則是面對面的溝通過程中，存在大量非語言（nonverbal）線索，如肢體語言，人們也會下意識尋找這些線索，但在視訊會議中能顯示的非語言線索大為減少，使用者必須更加費力去搜尋，且為了讓對方了解自己的意圖，也得更大力點頭或舉起大拇指等，都讓視訊溝通更為吃力。最後一點，則是長時間坐在電腦桌前視訊，會以不自然的方式限制身體活動量，研究也顯示，身體要有適當活動，工作表現才會更好。（<a href="https://tmb.apaopen.org/pub/nonverbal-overload/release/1">詳全文</a>）</p> <p>責任編輯／翁芊儒</p> <p>攝影／翁芊儒、洪政偉圖片來源／Linkedin</p> <p>資料來源：iThome整理，2021年3月</p> </div></div></div>
2021/3/4 14:45作者翁芊儒https://www.ithome.com.tw/news/143027
為分拆做準備，IBM公布代管服務部門新任主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/140438" target="_blank">IBM去月10月宣布</a>，將把全球科技服務（Global Technology Service）業務中的管理基礎架構服務（Managed Infrastructure Service）分拆出來成獨立公司，以專注在更高利潤的混合雲業務。<a href="https://www.businesswire.com/news/home/20210303005542/en/IBM-Announces-Senior-Roles-for-%E2%80%9CNewCo%E2%80%9D-the-Independent-Managed-Infrastructure-Services-Business-to-Spin-Out-from-IBM" target="_blank">昨（3）日IBM宣布</a>為這個部門任命管理團隊。</p> <p>IBM宣布這項消息後，暫時將該部門命名為NewCo，分拆業務預計2021年底完成。</p> <p>新人事命令下，以色列私募基金投資合作夥伴Elly Keinan將被任命為新公司集團總裁，IBM美洲區行銷長Maria Bartolome Winans為新公司的行銷長。Keinan是老IBMer，曾擔任過IBM北美、拉丁美洲總經理及IBM日本董事長。Winans也是在IBM待了25年的老將。</p> <p>IBM指，NewCo將是全球最大技術服務供應商，是基礎架構管理業界第二大業者的兩倍大，與4,600多家客戶有過業務合作關係，進軍管理和現代化客戶基礎架構5000億美元市場有極大機會。</p> <p>IBM希望藉此分拆加速公司向混合雲業務轉型。伴隨以Red Hat及混合雲為中心的業務策略，IBM陸續擺脫不相干的業務。去年下半以來已陸續傳出<a href="https://www.ithome.com.tw/news/141319" target="_blank">裁減歐洲1萬人</a>、幾乎整個<a href="https://www.ithome.com.tw/news/142589" target="_blank">區塊鏈部門</a>。此外也<a href="https://www.ithome.com.tw/news/142812" target="_blank">有報導指出</a>，IBM考慮將AI醫療業務Watson Health部門賣給私募基金或醫療AI業者。</p> </div></div></div>
2021/3/4 13:23作者林妍溱https://www.ithome.com.tw/news/143026
挑戰Google，Brave要自建隱私搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器新創公司Brave昨（3）日<a href="https://brave.com/brave-search/" target="_blank">宣布買下開源搜尋引擎業者Tailcat</a>，將開發不追蹤用戶、不蒐集用戶資料的隱私搜尋引擎。</p> <p>TailCat的開發團隊是德國隱私導向搜尋引擎及瀏覽器業者Cliqz的原班人馬，不過Cliqz產品已在去年4月關閉。這項收購將使Cliqz的大股東Hubert Burda Media成為Brave股東。</p> <p>Brave買下Tailcat後，將以後者的技術為基礎開發Brave搜尋（Brave Search），使Brave瀏覽器功能更完備。Brave指出Brave搜尋以隱私為第一要務，不追蹤用戶或建立用戶側寫（profile），以社群提供的匿名資料來提升搜尋品質，也強調透明路線，不使用祕密技術或演算法來扭曲搜尋結果，而仰賴多種排名模型來確保搜尋結果的多元性。</p> <p>Brave搜尋未來將提供付費無廣告版本，以及廣告支持的版本。Brave也在研究推出可確保用戶隱私的搜尋廣告。</p> <p>Brave瀏覽器於2019年<a href="https://www.ithome.com.tw/news/142838" target="_blank">推出1.0版</a>，目前人數超過2,500萬。Brave希望藉由推出和Google抗衡的搜尋引擎，找出獲利商業模式。Brave創新的廣告模式讓用戶可點擊Brave Ads共享利潤，已有Verizon、The Home Depot、紐約時報、CBS、Chipotle、PayPal、Amazon等客戶。</p> <p>除了搜尋外，Brave近日還推出隱私導向的新聞閱讀軟體Brave Today、防火牆＋VPN服務，也正在測試一款自有視訊會議服務Brave Together。<a href="https://www.ithome.com.tw/news/142350" target="_blank">一月Brave宣布</a>新增支援星際檔案系統（IPFS），這使Brave成為第一個深度整合IPFS的瀏覽器。</p> </div></div></div>
2021/3/4 12:22作者林妍溱https://www.ithome.com.tw/news/143025
微軟混合實境應用平臺Azure Mesh問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（3/2）發表了混合實境（Mixed Reality，MR）平臺<a href="https://news.microsoft.com/innovation-stories/microsoft-mesh/" target="_blank">Microsoft Mesh</a>，它奠基在Microsoft Azure上，可支援混合實境的虛擬會議、遠端協助、學習或聚會等應用，讓使用者之間能夠彷若身歷其境地聊天，共享空間與協作，初期將提供HoloLens Mesh與AltspaceVR等兩種MR應用，未來除了將支援Microsoft Teams與Microsoft Dynamics 365之外，也將開放第三方MR應用進駐。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/259383i7F303272EC4B59D7/image-size/large?v=1.0&px=999" style="width: 600px;" /></p> <p>在微軟所描述的Mesh場景中，分散於全球各地的企業團隊能夠在一個共享的混合實境空間中碰面，團隊成員還能以自己的數位化身出現，他們能夠走進虛擬的工廠，看到設備的組裝，還能移動各種元件，並共同討論。</p> <p>Mesh除了支援Microsoft HoloLens、HP Reverb G2或Oculus Quest 2等VR/MR頭戴式裝置的3D顯示之外，也允許使用者透過手機、平板電腦或個人電腦以2D模式參與。</p> <p>在率先出爐的兩款應用中，HoloLens Mesh顧名思義是個專為HoloLens設計的應用，<a href="https://www.theverge.com/22308883/microsoft-mesh-virtual-reality-augmented-reality-hololens-vr-headsets-features" target="_blank">The Verge</a>的記者Tom Warren說，當他戴上HoloLens，加入一個虛擬會議室之後，發明HoloLens的微軟技術院士Alex Kipman突然就出現在他身邊，並向他展示MR，像是做了一場奇怪的夢。HoloLens Mesh預覽版現已開放下載。</p> <p>至於<a href="https://altvr.com/" target="_blank">AltspaceVR</a>其實是微軟在2017年買下的社交VR平臺，現在微軟則發表了<a href="https://altvr.com/mesh/" target="_blank">Mesh版</a>，而且支援大型企業的各式活動，從一般會議、全員大會到協作等，且具備大型企業所需的各種安全機制及管理能力。欲試用該應用必須向微軟提出申請。</p> <p>在各種Mesh應用中，開發者可打造自己的3D模型，例如單車、高級傢俱、噴射機或全新的體育館，並讓它們出現在共享的虛擬空間中，微軟也打算在未來幾個月釋出更多的AI工具予開發人員，以利他們打造人物化身、進行會議管理、空間渲染與同步能力等，建立基於MR的協作解決方案。</p> </div></div></div>
2021/3/4 11:25作者陳曉莉https://www.ithome.com.tw/news/143014