iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 14:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

威聯通NAS遭勒索軟體Qlocker攻擊，疑似甫修補的重大漏洞惹禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣NAS製造商威聯通科技（QNAP）再傳用戶遭到勒索軟體攻擊！<a href="https://www.bleepingcomputer.com/news/security/massive-qlocker-ransomware-attack-uses-7zip-to-encrypt-qnap-devices/">根據資安新聞網站Bleeping Computer報導</a>，自4月19日起，駭客鎖定該廠牌NAS設備發動攻擊，並透過名為Qlocker的勒索軟體將檔案加密，檔案的副檔名全部變成7Z，且留下勒索訊息要求受害者支付0.01個比特幣（約相當於557.74美元）來解鎖。</p> <p>此起事件在<a href="https://forum.qnap.com/viewtopic.php?t=160849&p=786790">威聯通的社群討論區</a>，以及國內外的網路論壇引起熱烈討論，不少使用者表示自己NAS的檔案全數遭到加密，甚至後來<a href="https://www.facebook.com/groups/nas.tw/permalink/10159342585353245/">有人自力救濟提出解法</a>，宣稱不需付贖金有機會把檔案救回來，但後來又傳出發動攻擊的駭客再度修改勒索軟體，使得原本的機制失效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/qlocker-payment-submit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qlocker-payment-submit.png" style="width: 580px; height: 476px;" /></a></p> <p>根據這些使用者的描述，他們的NAS在遭到攻擊之後，檔案全部被7-Zip打包成受到密碼保護的壓縮檔案，有部分受害者發現快照遭到刪除。而在檔案被加密的過程中，使用者可從NAS的資源監視器看到7-Zip命令列版本的處理程序在執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7z-process-monitor.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7z-process-monitor.png" style="width: 580px; height: 320px;" /></a></p> <p>針對這起事故的導火線，威聯通向Bleeping Computer表示，很有可能與2個重大漏洞有關，這些漏洞允許任意人士取得完整的存取權限，並在NAS上執行勒索軟體。</p> <p>這2個漏洞分別是<a href="https://www.qnap.com/en/security-advisory/qsa-21-05">CVE-2020-2509</a>，以及<a href="https://www.qnap.com/en/security-advisory/qsa-21-11">CVE-2020-36195</a>。它們先後在2020年10月與11月，<a href="https://securingsam.com/new-vulnerabilities-allow-complete-takeover/">被SAM Seamless Network發現</a>並通報威聯通。前者是存在於QTS與QuTS hero作業系統的命令注入漏洞，後者則是SQL注入漏洞，涉及多媒體主控臺與影音串流附加元件。威聯通在4月16日發布相關修補程式。</p> <p>威聯通指出，他們相信Qlocker事故中，攻擊者濫用了CVE-2020-36195，進而在存在漏洞的NAS設備上執行勒索軟體。基於這樣的可能發生原因，該公司強烈建議用戶更新QTS、多媒體主控臺，以及影音串流附加元件，來防範攻擊者濫用相關漏洞。</p> <p>而對於此事，我們也向威聯通詢問，該公司指出他們有收到少部分的客戶通報此事，目前該公司資安團隊與客服工程師與用戶密切合作，協助排除問題，並追查入侵軌跡。他們初步調查發現，直接連接網際網路的NAS設備，有可能會遭遇相關攻擊，對此，他們指出，用戶不只要使用最新版的作業系統和應用程式，也應該採取資安強化措施來降低相關風險，像是停用Admin帳號、加強密碼強度，以及變更預設連接埠等。</p> </div></div></div>
2021/4/22 19:24作者周峻佑https://www.ithome.com.tw/news/144004
臺灣第二家純網銀正式對外展開營運，一次揭露Line Bank首波6大產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經28個月，Line Bank（連線銀行）終於誕生，成為臺灣第二家純網路銀行。Line Bank今年2月初取得金管會核發的純網銀執照之後，於3月24日展開為期4周的內部試營運，並在今天（4/22）宣布正式對外開行，首波推出開戶、簽帳金融卡、轉帳、零存整付階梯式定存、分期型個人信貸、金融Chatbot（聊天機器人）等6大產品或服務。</p> <p>Line Bank總經理黃以孟指出，Line Bank有三大核心策略，一是用戶至上，了解用戶的痛點，讓用戶體驗不同形式的數位銀行服務；二是「場景優先」，除了手機App或網站還不夠，必須尋找非常多消費者在食、衣、住、行、育、樂的生活場景，將金融服務嵌入場景中，讓用戶輕易就能找到Line Bank。</p> <p>此外，黃以孟表示，Line Bank有7Ｘ24小時隨時監控機制，來達到第三個安全信任策略。透過這三大核心策略，結合Line多元服務生態圈的生活場景，提供24小時流動的整合式金融服務，是該銀行的目標。</p> <p>Line Bank更自詡想成為新一代的全民銀行，目標客群是通訊軟體Line的深度使用者。黃以孟強調：「Line Bank就是開在Line上的一家銀行。」</p> <p>在籌備開業期間，Line Bank透過金融產品服務市場調查，找出前三大項消費者最想要的服務，作為第一波金融服務的設計重點，其中，包括用簽帳金融卡刷卡後立刻回饋點數，另外是跨行轉帳免手續費，以及高利或優利定存。</p> <p>開行第一天，Line Bank一口氣推出6大產品與服務：Line Bank主帳戶、智能客服、Line Bank好友轉帳、Line Bank快點卡（簽帳金融卡）、Line Bank夢想帳戶、Line Bank分期信貸</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3565.JPG" /></p> <h4><span style="color:#0066ff;"><strong>開戶有3個主要管道</strong></span></h4> <p>在開戶部分，Line Bank提供了多元服務入口，包括Line錢包、Line主頁，在Line上就可以開戶，此外，也開發了一個獨立的Line Bank App。Line Bank也宣稱，最快6分鐘可以完成開戶申請。</p> <p>Line Bank也開立了Line官方帳號（OA），讓用戶直接找尋任何金融服務，比如帳戶查詢。Line官方帳號中，也嵌入了智能客服Chatbot，提供線上文字回應、線上真人視訊、線上語音等服務，黃以孟表示，用戶透過Line中的通話功能，就能跟客服聯繫。此外，用戶的每一筆轉帳、刷卡、跨行取款等交易，用戶都會在Line收到通知。</p> <h4><span style="color:#0066ff;"><strong>好友轉帳有分帳功能、8項轉帳功能</strong></span></h4> <p>黃以孟表示，既然是開在Line上的服務，就要善用Line的好友轉帳、分帳功能。Line Bank也仿效了同樣的分帳功能，可選取Line好友，輸入費用總金額之後，便會依照人數自動拆分每人所需付的金額，甚至，有人想多付的話，還能彈性調整金額。黃以孟表示，這是Line Bank的差異性服務。</p> <p>除了分帳，Line Bank還整合了8項轉帳功能，黃以孟提到，是國內金融機構最完整的轉帳服務。除了傳統數位銀行的轉帳功能，還有轉帳給好友、分帳、要求好友轉帳給自己，以及預約轉帳、約定轉帳、ATM跨行轉帳、QR Code轉帳。</p> <h4><span style="color:#0066ff;"><strong>以客製化、遊戲化方式打造零存整付定存產品</strong></span></h4> <p>Line Bank也推出了一項夢想帳戶產品，這其實就是一般金融機構提供的零存整付定存產品，只是Line Bank以客製化、遊戲化方式，以階梯式加碼的模式，配合角色闖關機制，讓用戶每月都有動力存下目標金額。</p> <p>他提到，夢想帳戶的特色是，用戶可以自訂夢想計畫，比如結婚基金，我的冰島行，我的重型機車，還可隨意置換介面上的照片。用戶可自行設定目標金額，從1萬元到300元不等，定存期間最短為4個月，最長為2年。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3573.JPG" /></p> <h4><span style="color:#0066ff;"><strong>簽帳金融卡首創即時回饋點數功能</strong></span></h4> <p>Line Bank推出的簽帳金融卡，主打特色是，消費刷卡後同時發放回饋的Line Points點數。開戶時可同時授權，快速綁定Line Pay功能。另一項創新功能是，讓用戶可隨時轉換卡片權益，黃以孟解釋，雖然卡片權益只有兩種，但用戶可以依照每筆消費，來決定哪一個權益對自己較為有利，隨時轉換後，卡片權益便會即時生效。</p> <h4><span style="color:#0066ff;"><strong>分期信貸提供全線上端到端流程</strong></span></h4> <p>黃以孟提到，Line Bank沒有業務人員，也無法透過一對一方式行銷，所有的信貸服務，只能透過網路或手機，從信貸申辦、核准、提供文件、撥款這樣端到端的流程，全部在線上執行。Line Bank也宣稱，核貸後最快3分鐘可取得款項。</p> <p>黃以孟表示，短期目標是今年6月底前，累積50萬名用戶開戶。對於信用卡、企金開戶等其他金融服務，他則表示，尚未有具體規畫可向外界揭露。文⊙李靜宜</p> </div></div></div>
2021/4/22 20:12作者李靜宜https://www.ithome.com.tw/news/144005
從傳統地端銷售轉向雲端訂閱模式，SAP在臺主打RISE with SAP服務銷售新策略，不僅提供企業ERP軟硬體，還能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，企業ERP軟體商SAP才在自家全球線上策略發表會上公布未來銷售策略一大轉變，就是為了搶攻雲端市場，開始改以數位轉型即服務（Business transformation as a Service）形式來銷售自家產品，提供企業轉型上雲一站式服務，包括業務核心的ERP軟體及硬體等，甚至還可幫企業代管ERP，並依使用量計費，做為企業可以採用的計價模式之一，更以RISE with SAP統稱這種訂閱式合約模式，來和以往軟體授權的合約做區別。近日SAP也揭露RISE with SAP服務在臺運作模式。並有物流倉儲業者、高科技業者開始導入。</p> <p>配合全球SAP雲端戰略的調整，SAP全球副總裁暨臺灣總經理林偉德指出，今年SAP在臺的一大營運策略，就是要透過RISE with SAP在臺落地，推動臺灣企業一站上雲。</p> <p>SAP雲端業務發展總監王台弘就表示，RISE with SAP是該公司針對企業轉型上雲推出的一站式服務方案，將數位轉型過程所需各種服務，打包成單一整合的服務，也就是一種轉型即服務（Transformation as a Service）的概念。</p> <p>他進一步說明，該服務方案主要有三大特色，首先是以訂閱來取代傳統軟體、硬體購買。有別傳統On-Premise地端銷售作法，SAP只賣軟體，並不包括硬體，因為SAP軟體需要搭配認證的硬體，企業買來後，還要找系統整合商來幫他整合軟硬體，即使系統上線後，還得自己負責後續維運。現在採用RISE方案就沒有這個問題。對於企業來說，預估可以有效降低2成TCO成本支出。</p> <p>其次，企業因為不用自己購買硬體，自建機房，應用服務部署時間變更短，甚至可早2個月將服務推出上線。最後是在這張合約內，他強調，SAP公司不只提供軟硬體，連系統上線後續的維運都一手包辦，如備份、升級與性能調優，透過這樣的方式，預估可讓企業整體維運成本約可下降87%，企業可專注於做轉型的事。但該方案並不包括顧問咨詢的費用。</p> <p>目前SAP的RISE方案中，主要涵蓋三種SAP主力產品及平臺，一個是SAP核心ERP產品S/4HANA Cloud，一個是商業科技平臺（Buiness Technology Platform），裡面整合了包括數據、API、RPA、ML等數位科技產品，以及還有一個是B2B商業網路（Business Network），內含供應商網路（如Ariba採購雲）、設備商網路（如機臺連線狀況），以及物流網路（如疫苗追蹤）三個商業網路。至於CRM產品，目前並未包含在RISE方案裡。</p> <p>雖說是訂閱方案，SAP也不是第一次將自家產品轉為訂閱制，這家公司早在2~3年前就已有多款雲端產品採用這種雲端訂閱方式做銷售，如SAP Ariba 採購雲、successfactors人資雲、SAP IBP等，就連核心ERP產品去年也都有推出SAP S/4HANA Cloud雲端版本，同樣是採雲端訂閱模式。</p> <p>不過，SAP臺灣智慧企業解決方案總監章恩齊解釋，單以SAP S/4HANA ERP產品來看，在新的RISE方案中，雖然同樣是訂閱制，但兩者在採用上還有有些區別，RISE方案裡的ERP增加客製化彈性，企業可以依照自己的需求增加所需功能或商業邏輯，舉例來說，企業用戶要出貨給自己的客戶時，現在透過客製化ERP功能，可以配合不同客戶提供專屬出貨條碼，方便他們收貨。其次，ERP軟體放置的地方不一定在SAP自己的雲，企業可以將ERP放在第三方公有雲，目前可支援三大公有雲服務商，包括Azure、AWS、GCP。再來是，比起單一雲端產品的訂閱方案，他表示，一站式方案也較優惠。</p> <p>因為RISE方案是採付費訂閱方式，並依使用量來計費，章恩齊也以ERP的訂閱方案為例，主要依使用者人數來計價，先約定一個基本用量(或額度)，之後如果人數超過，再針對追加的人數收取額外的費用。ERP五大模組都包含在內。但他並沒有說明最低訂閱時間單位 (如按年或按月)，只提到企業客戶一般訂閱多簽2年以上。且該方案僅限於雲端版的ERP，不包含地端ERP，還是沿用傳統的銷售模式。</p> <p>除了ERP核心產品之外，他表示，在RISE方案裡還有提供其他SAP軟體，同樣採用訂閱制，但可配合客戶需求提供較彈性的付款機制，不過他也說，目前多數訂閱採年付為主。另外針對不同應用場景，計價單位也有所不同，像是有依單據量來收費，也有的依機臺的連線數來計費，讓用戶做不同搭配使用。比如SAP Ariba 採購雲就是依企業實際使用單據量計費。除此之外，如RPA等其他SAP軟體，一樣可依使用量計費。</p> <p>他表示，企業一旦決定採用這套方案後，除了有顧問協助客戶評估現有的業務流程，符合其使用需求，另外 RISE本身還提供Starter Pack入門方案，企業可以先從輕量應用服務搬上雲做起。因為放在雲端，之後企業可再逐步依需求來調整增加用量，這是和傳統<span class="aCOpRe"><span>地端環境的最大不同。</span></span></p> <p>章恩齊也透露，臺灣現在已有客戶正在導入RISE方案，包括了有物流倉儲管理業者、高科技業者都有。</p> </div></div></div>
2021/4/22 18:04作者余至浩https://www.ithome.com.tw/news/143956
把漏洞導入Linux核心來作實驗，Linux大佬封殺明尼蘇達大學所有貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有一群來自明尼蘇達大學（University of Minnesota，UMN）的研究人員，藉由貢獻修補程式至Linux核心的名義，實則利用修補程式導入臭蟲或漏洞，以觀察Linux核心社群的反應，近日再度故技重施時，遭到Linux大佬Greg Kroah-Hartman斥責，Greg Kroah-Hartman不僅封鎖了所有來自該大學的貢獻，還移除了過去該大學曾經貢獻的程式碼。</p> <p class="rtecenter"><a href="https://twitter.com/gregkh/status/1384785747874656257" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-Greg%20Kroah-Hartman.png" style="width: 500px;" /></a></p> <p><a href="https://lore.kernel.org/linux-nfs/YH%2FfM%[email protected]/" target="_blank">Kroah-Hartman寫了一封</a>措辭嚴厲的電子郵件予該群研究人員，指出他們過去即曾公開坦承送出含有許多臭蟲的修補程式至Linux核心社群，以測試社群的反應，還以此發表了論文，這次他們再度提交了一系列明顯錯誤的修補程式，這些程式並沒有修補任何東西，使得他假設Linux社群再度淪為實驗對象。</p> <p>Kroah-Hartman指出，該群研究人員並未要求社群的協助，反而是在知道這是個實驗的狀態下，宣稱該修補是合法的，然而，Linux核心社群的任務並非是成為別人的測試對象，他們歡迎開發人員協助強化Linux，但這些研究人員的所作所為並非如此。</p> <p>惹毛Kroah-Hartman的研究，應是明尼蘇達大學在今年2月所出版的「開源碼的不安全性：偽君子偷偷導入了漏洞」（<a href="https://github.com/QiushiWu/QiushiWu.github.io/blob/main/papers/OpenSourceInsecurity.pdf" target="_blank">Open Source Insecurity: Stealthily Introducing Vulnerabilities via Hypocrite Commits</a>）報告，這群研究人員利用貢獻程式碼（修補程式）至Linux核心社群的機會，在程式碼中夾帶了臭蟲與潛在的安全漏洞，成功於Linux核心中引進了釋放後使用（Use After Free）漏洞，並提出了緩解相關問題的解決方案。</p> <p>Kroah-Hartman說，Linux核心社群並不歡迎這種實驗，也不願接受提交無用修補程式的測試，決定從今以後封鎖所有來自明尼蘇達大學的貢獻，也會移除該大學過去的貢獻。</p> <p>在遭到Kroah-Hartman猛烈的批評之後，明尼蘇達大學電腦科學暨工程學院的負責人Mats Heimdahl很快就<a href="https://cse.umn.edu/cs/statement-cse-linux-kernel-research-april-21-2021" target="_blank">發表了聲明</a>，表示他們非常重視此一事件，也立即停止這類的研究，將進一步調查此一研究方法，以及該研究方法被核准的過程，以期採取適當的補救措施，也會在調查結果出爐後，儘快將報告提交給Linux核心社群。</p> </div></div></div>
2021/4/22 17:11作者林妍溱https://www.ithome.com.tw/news/143992
最新MITRE ATT&CK評估計畫結果出爐，第三輪29家資安業者較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對駭客組織一連串的攻擊手法，MITRE ATT&CK已是企業與資安產業都在關注的資安攻防框架，彙整了所有已知攻擊手法並提供結構化的內容，而為了更進一步幫助端點防護產品的偵測能力，MITRE還特別發起了ATT&CK評估計畫，去年已經進行到第三輪，這次假想的攻擊對象是Carbanak與FIN7，兩者都是鎖定金融業攻擊的駭客組織，近日MITRE公布了最新第三輪的<a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?rounds=carbanak_fin7">結果</a>，成為企業與業者參考依據。</p> <p>在此次針對Carbanak與FIN7的評估計畫中，有多達29家資安業者參與，比起上一輪的21家更多，並有更多知名資安大廠加入。若以這三年的發展趨勢來看，每輪參與評測挑戰的業者數量，已經是越變越多，顯然，此一計畫確實是越來越受業界重視，而對於這些業者而言，不只是可展現自家資安產品技術能量，同時也能藉此瞭解自身還能強化的面向。</p> <h2><strong>第三輪新加入業者再增10家，更多資安大廠投入</strong></h2> <p>在這次參與的29家業者中，連三年參與的有11家，包括CrowdStrike、Cybereason、Elastic（併購Endgame）、F-Secure、FireEye、GoSecure（由CounterTack併購更名），以及McAfee、微軟、Palo Alto Networks、SentinelOne與VMware Carbon Black。</p> <p>上一輪就同樣參加的有8家，包括臺灣奧義智慧與趨勢科技，繼續投入於這輪評測，其他還包括Bitdefender、BlackBerry Cylance、Malwarebytes、Symantec（a division of Broadcom）與ReaQta。</p> <p>至於首次新加入評估計畫的成員方面，當中我們看到有更多國際大廠的加入，此輪新進的10家業者包括：CheckPoint、Cisco、ESET、Fidelis、Fortinet、Micro Focus與Sophos等知名業者，以及來自加拿大的OpenText（併購Guidance）、韓國資安大廠AhnLab，以色列資安公司Cynet。</p> <p>不過，還是有業者沒有繼續參與第三輪評估，例如Secureworks、HanSight與Kaspersky，而後兩者分別是由中國360集團策略投資與來自俄羅斯。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）MITRE ATT%26CK第三輪結果與現況(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81(1).jpg" style="width: 600px;" /></a></p> <blockquote><p><a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?rounds=carbanak_fin7">MITRE ATT&CK評估計畫已結束第三輪的評比</a>，本次以鎖定金融業的駭客組織<a href="https://attack.mitre.org/groups/G0008/">Carbanak</a>與<a href="https://attack.mitre.org/groups/G0046/">FIN7</a>為攻擊情境，並有多達29家資安業者參與這項計畫，包括CheckPoint、Cisco等10家都是首次參與。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）MITRE ATT%26CK第三輪結果與現況_奧義.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E5%A5%A7%E7%BE%A9.gif" style="width: 600px;" /></a></p> <blockquote><p>在MITRE Engenuity網站上，針對Carbanak與FIN7組織攻擊套路，將顯示各家參與資安業者的偵測成果，包括偵測數量、分析範圍、遙測範圍與可視性的統計，以及在不同攻擊步驟、子步驟與頻率的偵測能力，而29家業者各自都會有上圖這樣的評估結果。偵測能力表現方式包含N/A、無偵測、遙測Telemetry，以及有效即時警告的General、Tactic與Technique。（圖為奧義智慧的評估結果。)</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6A）MITRE ATT%26CK第三輪結果與現況_趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966A%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6B）MITRE ATT%26CK第三輪結果與現況_趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966B%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px; height: 267px;" /></a></p> <blockquote><p>若展開Carbanak與FIN7評估結果，上圖以趨勢科技報告頁面為例，可以查看每輪評比結果，並檢視所有攻擊步驟與子步驟的偵測細節，同時也會呈現測試當下所記錄到的產品介面截圖。</p> </blockquote> <p>特別的是，隨著這項評估計畫的發展越來越上軌道，MITRE已經成立MITRE Engenuity公司，專門職掌評估計畫的執行，這次計畫就是由該公司負責，顯然期望讓這樣的評測可以持續，並且是期望讓規模更擴大。</p> <h2><strong>下一輪將以Wizard Spider與Sandworm為攻擊假想對象</strong></h2> <p>另外值得一提的是，在2021年3月中旬，也就是上個月，MITRE Engenuity公布了第四輪評測計畫，同樣會以兩個駭客組織攻擊為情境，攻擊設想對象分別是Wizard Spider與Sandworm，前者是以經濟利益為導向的駭客組織，自2018年以來針對大型企業與醫院進行勒索軟體攻擊，後者是以破壞為導向的俄羅斯駭客組織，已經橫行多年，包括2015年攻擊烏克蘭電氣公司造成當地大規模停電，也曾發動NotPetya勒索軟體攻擊造成全球災情。</p> <p>而除了上述ATT&CK Evaluations for Enterprise，還有一項可以關注的焦點，是工業控制系統ICS領域方面。其實在去年5月，MITRE Engenuity還公布了針對ICS資安廠商的評估計畫，攻擊設想情境是2017年中造成沙烏地阿拉伯石化設備受害的TRITON事件，不過到目前為止，可能因為參與業者數量不足，至今尚未開始進行。值得關注的是，在目前表示參與的5家業者中，臺灣的財團法人資訊工業策進會（資策會）也名列其中，其他業者還包括Armis、Claroty、微軟與Dragos。</p> <p>至於MITRE ATT&CK發展的下一步，除了ATT&CK for Enterprise看起來已經步入軌道，在2021年還有其他兩類也值得期待，包括ATT&CK for Mobile將有更進一步的內容強化，以及ATT&CK for Cloud的新發展，都將是企業與產業可重視的面向。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）MITRE ATT%26CK第三輪結果與現況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81.jpg" style="width: 600px;" /></a></p> <blockquote><p>MITRE Engenuity在今年3月16日，已經先公布了第四輪評測計畫，這次攻擊設想對象為<a href="https://attack.mitre.org/groups/G0102/">Wizard Spider</a>與<a href="https://attack.mitre.org/groups/G0034/">Sandworm</a>。</p> </blockquote> <p> <a href="https://s4.itho.me/sites/default/files/images/（圖5）MITRE ATT%26CK第三輪結果與現況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81.jpg" style="width: 600px;" /></a></p> <blockquote><p>MITRE Engenuity正期望擴大評估領域，2020年5月也發布了ATT&CK Evaluations for ICS，只是這項評估計畫仍未展開，不過我們可以看到，國內財團法人資訊工業策進會（資策會）也在參與名單中。</p> </blockquote> </div></div></div>
2021/4/22 14:49作者羅正漢https://www.ithome.com.tw/news/143990
Signal在神展開的劇情下，破解了Cellebrite提供給極權政府的駭客工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門協助全球政府或警方破解行動裝置的以色列數位鑑識業者Cellebrite，<a href="https://www.cellebrite.com/en/cellebrites-new-solution-for-decrypting-the-signal-app/" target="_blank">在去年12月宣布</a>，已可取得行動裝置中的加密通訊程式Signal的內容，Signal的共同創辦人Moxie Marlinspike<a href="https://signal.org/blog/cellebrite-and-clickbait/" target="_blank">當時不但駁斥了</a>Cellebrite的說法，更<a href="https://signal.org/blog/cellebrite-vulnerabilities/" target="_blank">在本周揭露</a>了破解Cellebrite駭客工具的細節，以其人之道，還治其人之身。</p> <p>Marlinspike表示，Cellebrite所列出的客戶有許多是極權國家，包括俄羅斯、白俄羅斯、委內瑞拉或中國，也包含了壓迫人民的緬甸軍政府、孟加拉的死刑小隊，以及土耳其與阿聯酋。Cellebrite還傳出曾在2016年幫美國聯邦調查局（FBI）解鎖恐怖份子所持有的iPhone，但近日<a href="https://www.ithome.com.tw/news/143857" target="_blank">《華盛頓郵報》</a>（The Washington Post）引述消息來源報導，協助FBI解鎖iPhone的是澳洲一家名不見經傳的資安業者Azimuth Security，並非Cellebrite。</p> <p>Cellebrite開發兩個主要的駭客工具，一為通用取證裝置（Universal Forensic Extraction Device，UFED），負責將行動裝置的內容備份到執行UFED的Windows設備上，第二個則是用來解析備份檔案內容，並以瀏覽形式呈現的Physical Analyzer。Cellebrite主要的任務是破解已被拿到的行動裝置，而非遠端監控或分析，只要利用UFED與Physical Analyzer，就能開啟行動裝置上的任何程式，並展示它們的螢幕畫面。</p> <p>要破解Cellebrite的駭客工具必須先取得相關工具，而根據Marlinspike的描述，某一天他在散步的時候，路上有輛卡車忽然掉了一個包裹，他定睛一看，竟然就是Cellebrite的工具包，內有最新的Cellebrite軟體，還有一個用來防止盜版的硬體裝置，以及不同接頭的眾多傳輸線。</p> <p>總之，在不可思議地撿到Cellebrite的駭客工具包之後，Marlinspike即開始分析UFED與Physical Analyzer，卻發現專門利用各種安全漏洞，以繞過裝置安全機制的Cellebrite，並不注重自己的軟體安全。</p> <p>其中一個例子是，Cellebrite的軟體整合了許多FFmpeg DLL，這些DLL檔案是在2012年建立的，當中已經歷數度的更新，修補超過100個安全漏洞，但UFED與Physical Analyzer卻從未部署這些更新。</p> <p>這使得Marlinspike很輕易地就能駭進Cellebrite的設備。他說，只要在行動裝置的任何程式中，嵌入一個特定格式的無害檔案，再將行動裝置插入Cellebrite設備並進行掃描，便幾乎可以在Cellebrite設備上執行任意程式，不僅能變更Cellebrite設備正在掃描的報告內容，甚至還能變更Cellebrite設備過去或未來所產生的掃描報告，包括插入或移除文字、電子郵件、照片、通訊錄、檔案或其它資料，而且還可隨機執行，亦無可被偵測的時間戳或檢驗失敗等資訊，嚴重影響Cellebrite報告的完整性與可信度。</p> <p>此外，Marlinspike還發現Physical Analyzer使用了兩個具蘋果簽章的MSI套件，以安裝iTunes用來與iOS裝置互動的DLLs，他認為蘋果不太可能授權讓Cellebrite於自己的產品中整合這些DLLs，代表不管是Cellebrite或該公司的客戶都承受著法律風險。</p> <p>Signal為一標榜端對端加密的安全通訊程式，兩名創辦人分別是Marlinspike與Stuart Anderson，其中，Anderson為機器人專家，而Marlinspike本身就是安全研究人員。Signal不但曾被電子前線基金會（EFF）列為全球最安全的通訊程式之一，<a href="https://www.ithome.com.tw/news/142139" target="_blank">今年還曾被</a>特斯拉創辦人馬斯克（Elon Musk）點名，號召WhatsApp用戶轉移陣地至Signal。</p> <p>Marlinspike說，他其實很願意秉持著「責任揭露」原則，提供漏洞細節予Cellebrite，但前提是Cellebrite也必須採取同樣的行動，揭露那些該公司用來擷取資訊所使用的安全漏洞。</p> <p>未來的Signal程式也都會定期地在程式的儲存空間中置入特定檔案，這些檔案是無害的，且永遠不會與Signal的軟體或資料互動。雖然Marlinspike並未明確指出這些檔案的用途，但顯然是用來破解Cellebrite的駭客工具。</p> </div></div></div>
2021/4/22 15:42作者陳曉莉https://www.ithome.com.tw/news/143991
西雅圖Whole Foods導入Amazon One掌紋支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-one-continues-expansion-now-available-as-a-contactless-payment-option-at-initial-whole-foods-market-store-in-seattle" target="_blank">Amazon昨（21）日宣布</a>擴大掌紋掃瞄方案Amazon One的應用，將用於美國西雅圖Amazon總部所在地的Whole Foods超市的支付之用。</p> <p><a href="https://www.ithome.com.tw/news/140274" target="_blank">Amazon去年秋天宣布</a>掌紋掃瞄方案Amazon One，這是透過Amazon專屬設備的電腦視覺軟體，來掃瞄與分析掌紋、掌丘、皮下特徵如靜脈血管分布等形成的獨特圖案的身份辨識方案。Amazon號稱比其他生物辨識方案更能保護隱私，而其非接觸的特性也更符合公衛需求。除了作為出入控管外，Amazon One也可以結合支付功能作為另一種電子支付應用。</p> <p>去年宣布時，Amazon One是應用在西雅圖兩家Amazon Go無人商店上。Amazon實體零售與技術副總裁Dilip Kumar表示，迄今Amazon One已應用在當地Amazon Go、Go Grocery、Amazon四星選物實體店4-Star、快閃店Amazon Pop Up及Amazon書店的出入，以及無接觸支付方案選項。有數千名用戶註冊使用。</p> <p>如今Amazon One將再擴大到西雅圖市麥迪遜百老匯大街上的有機超市Whole Foods Market作為支付選項之一。未來幾個月內Amazon計畫再把Amazon One擴大部署到同市的7家Whole Foods Market超市。新加入者可以到任何有Amazon One設備的店家掃瞄掌紋，再綁定信用卡註冊。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/51f342e/2147483647/strip/true/crop/2000x1126+0+84/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fa1%2F73%2F437f2a30459c81184822041ce7b7%2Faone-1.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Amazon</span></p> <p>這是Amazon以自家零售店面測試產品的最新例子。在此之前Amazon也在Amazon Go導入電腦視覺為基礎的結帳方案Just Walk Go，與在生鮮超市Amazon Fresh部署AI推車Dash Cart。</p> <p><a href="https://blog.aboutamazon.co.uk/shopping-and-entertainment/introducing-amazon-salon" target="_blank">上周Amazon也宣布</a>在倫敦東區開設第一家美髮沙龍Amazon Salon。這是一棟二層樓，占地約42坪的沙龍，消費者剪髮或染髮前，可先以擴增實境（AR）應用測試新髮型。</p> <p class="rtecenter"><img alt="" src="https://d39w7f4ix9f5s9.cloudfront.net/dims4/default/483fb09/2147483647/strip/true/crop/3855x2991+0+885/resize/812x630!/quality/90/?url=http%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F3b%2F04%2F507da6914d6290705b42c2bf9d8b%2Fsalon-625.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> <p>另外一個名為point-and-learn的技術，讓消費者指向展示櫃上有興趣的商品，該商品影片或資訊就會顯示在牆上的螢幕。這家店旨在以科技展示並促銷Amazon網站上的美髮商品。</p> <p class="rtecenter"><img alt="" src="https://d39w7f4ix9f5s9.cloudfront.net/dims4/default/efea6a9/2147483647/strip/true/crop/5176x4016+0+0/resize/812x630!/quality/90/?url=http%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F0c%2F00%2F9a50c880404f9c439ad30383744c%2Fsalon-567.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> </div></div></div>
2021/4/22 13:26作者林妍溱https://www.ithome.com.tw/news/143988
Google Chrome再緊急修補已有攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_20.html" target="_blank">Google本周釋出</a>Windows、Linux、Mac平臺最新Chrome 90.0.4430.85版本，以修補7項漏洞，包括一個已經發生開採攻擊的漏洞。</p> <p>遭到開採的是編號CVE-2021-21224的類型混淆（Type Confusion）漏洞，存在JavaScript V8引擎。它是由VerSprite研究人員Jose Martinez通報。</p> <p>Google以必須等大部份用戶更新為由，昨日並未公佈漏洞細節。類型混淆可能導致記憶體越界存取，使程式當掉或讓駭客執行任意程式。不過Google指出，已接獲CVE-2021-21224開採程式在網路上公開流傳。呼籲用戶應儘速安裝最新版Chrome。</p> <p>這個版本另也修補了其他4項高風險漏洞，包括另二個V8漏洞，分別是緩衝溢位漏洞CVE-2021-21222及頻外記憶體存取（out of bands memory access）CVE-2021-21225。其他二個則是Mojo元件的整數溢位漏洞CVE-2021-21223，及Navigation元件的使用已釋放記憶體（use after free）漏洞CVE-2021-21226。</p> <p>這是Chrome今年以來第四次為修補已開採漏洞而釋出新版本，之前已為此在<a href="https://www.ithome.com.tw/news/142645" target="_blank">2月</a>、<a href="https://www.ithome.com.tw/news/143023" target="_blank">3月</a>及<a href="https://www.ithome.com.tw/news/143851" target="_blank">上周</a>發布新版本Chrome。</p> </div></div></div>
2021/4/22 13:39作者林妍溱https://www.ithome.com.tw/news/143989
藏匿惡意程式的手法越來越繁複！北韓駭客Lazarus濫用BMP圖檔及內嵌壓縮檔案，並搭配圖檔格式轉換等多重手法，來藏匿…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓APT駭客組織Lazarus近期的動作頻頻，他們不只<a href="https://www.ithome.com.tw/news/143580">鎖定資安研究人員下手</a>，也暗中<a href="https://www.ithome.com.tw/news/143751">埋伏在南非貨運公司竊密</a>，或者是<a href="https://www.ithome.com.tw/news/143885">對於提供加密貨幣付款的電商網站發動側錄攻擊，洗劫受害者錢包</a>。而最近，該組織針對南韓使用者出手，發動木馬程式攻擊來竊密，但和過往有所不同的是，為了回避資安系統的偵測，他們將惡意程式碼藏在BMP圖片檔案裡偷渡。</p> <p>資安業者Malwarebytes於4月19日，<a href="https://blog.malwarebytes.com/malwarebytes-news/2021/04/lazarus-apt-conceals-malicious-code-within-bmp-file-to-drop-its-rat/">揭露Lazarus對於南韓使用者的網路釣魚攻擊</a>。研究人員在4月13日看到該駭客組織出手，以南韓某個城市舉辦的博覽會申請表單的名義，寄送帶有惡意巨集的Word文件。研究人員發現，該文件檔案製作的時間是3月31日，因此他們研判這就是整起攻擊行動的開始時間點。</p> <p>一旦使用者將附件文件開啟，該文件會要求必須啟用巨集才能檢視內容，使用者依照指示打開上述功能後，就會出現另一個訊息對話框，宣稱Office軟體版本較舊的訊息。但實際上，此時這個巨集已經在背景執行一個被壓縮為ZLIB檔案的HTA檔案，而這個檔案其實來自於一張PNG圖片檔案image003.png。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/process-1.png" style="width: 580px; height: 212px;" /></p> <p>Malwarebytes進一步說明，上述文件的巨集會將PNG檔案image003.png，轉換成BMP檔案image003.bmp，並在轉檔的過程中自動解壓縮內嵌的惡意ZLIB物件，而透過這樣在圖檔內嵌壓縮物件的做法，靜態偵測的資安防護系統便無法分析是否有害。</p> <p>而前述被執行的HTA檔案，會釋出一個木馬程式的載入器AppStore.exe，並將這個第2階段的惡意酬載於記憶體內執行，來向C2伺服器通訊，進而監控受害電腦。但至於此起攻擊有多少人受害？Malwarebytes並未進一步說明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/process-2.png" style="width: 580px; height: 243px;" /></p> </div></div></div>
2021/4/22 11:31作者周峻佑https://www.ithome.com.tw/news/143981
SonicWall警告電子郵件安全產品有3項遭開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/security-notice-sonicwall-email-security-zero-day-vulnerabilities/210416112932360/" target="_blank">SonicWall本周二警告</a>代管及本地部署的電子郵件安全產品三項漏洞已發生開採活動，呼籲用戶儘速安裝修補程式。</p> <p>這三項漏洞及開採是由安全廠商<a href="https://www.fireeye.com/blog/threat-research/2021/04/zero-day-exploits-in-sonicwall-email-security-lead-to-compromise.html" target="_blank">FireEye發現並通報</a>。</p> <p>這三項漏洞分別為CVE-2021-20021、CVE-2021-20022和CVE-2021-20023，影響代管及本地部署的SonicWall電子郵件安全（Email Security）產品。其中CVE-2021-20021出在管理員控制臺允許從微軟AD組織單元（Organization Unit，OU）新增另一管理員帳號的API功能驗證不當。這項漏洞允許遠端未經授權的攻擊者傳送惡意HTTP呼叫開採，而建立管理員帳號，CVSS 3.1風險層級達9.8（滿分為10）。</p> <p>CVE-2021-20022和CVE-2021-20023漏洞，則是出在讓管理員為Web UI上的「品牌」功能，即可經該功能加入公司logo等客製化元素。CVE-2021-20022漏洞允許驗證後的攻擊者上傳有害的.ZIP檔案，將惡意檔案包括web shell或其他程式碼植入任何地點。CVE-2021-20023則是「品牌」功能上的目錄跨越（directory-traversal）漏洞，允許透過傳送惡意HTTP呼叫，來讀取主機上任意檔案。CVE-2021-20022和CVE-2021-20023被列為中度風險。</p> <p>FireEye指出，3項漏洞可被串聯使用，而該公司研究人員於3月底正是觀察到串聯三者的攻擊。一家在Windows Server 2012上跑SonicWall ES 的系統遭到開採後，攻擊者在伺服器上植入名為BEHINDER web shell。BEHINDER不到1kb，可和外部C&C伺服器建立加密連線，還讓攻擊者得以直接存取指令控制臺及管理員帳號。</p> <p>FireEye旗下的Mandiant公司尚無法判定攻擊組織的身份，暫命名為UNC2682。</p> <p>影響的ES版本包括Email Security 10.0.1以後版本。除了Windows版ES軟體外，3項漏洞也影響本地部署的SonicWall ES硬體裝置、虛擬裝置及代管服務。</p> <p>SonicWall已釋出更新版本ES 10.0.9，並呼籲使用及Windows Server上安裝ES軟體的企業用戶，應儘速升級到各平臺的最新版本ES。其中CVE-2021-20021和CVE-2021-20022已在4月9日修補，CVE-2021-20023則在4月20日修補。<a href="https://www.securityweek.com/three-zero-day-flaws-sonicwall-email-security-product-exploited-attacks" target="_blank">有媒體質疑</a>何以SonicWall 3月底就接獲通報，4月初就修好漏洞，卻要等到4月20日才通知客戶。</p> <p>至於代管的SonicWall Hosted Email Security (HES)則已在4月19日修補，企業用戶無需任何動作。此外，舊版本的ES 7.0.0到9.2.2也受到影響，但這些是已EOL（end of life，EOL）的產品，已不再獲得支援。</p> <p>美國網路安全暨基礎架構安全署（CISA）周三也<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/04/21/sonicwall-releases-patches-email-security-products" target="_blank">發出緊急公告</a>。</p> <p>這是SonicWall今年以來第二度發生漏洞攻擊事件。<a href="https://www.ithome.com.tw/news/142630" target="_blank">2月初SonicWall</a>緊急釋出修補程式，以解決一個1月底已有駭客開採的SMA 100系列SSL VPN設備零時差漏洞。</p> </div></div></div>
2021/4/22 12:08作者林妍溱https://www.ithome.com.tw/news/143987
開源專案Grafana、Loki和Tempo也更改授權，防止雲端服務供應商濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Grafana Labs<a href="https://grafana.com/blog/2021/04/20/grafana-loki-tempo-relicensing-to-agplv3/" target="_blank">宣布</a>將要更改Grafana、Loki和Tempo這3個開源專案的授權，要從原本的Apache License 2.0，轉換成為Affero General Public License（AGPL）v3，而更改授權的原因，同樣是為了避免開源專案遭到濫用，不過與Elastic、Redis Labs和MongoDB等開源公司不同的是，Grafana Labs堅持他們的專案仍要使用OSI開源授權，因此沒有像其他開源專案一樣使用SSPL。</p> <p>Grafana Labs在2014年成立，圍繞著開源專案Grafana提供商業服務，並將獲得的收入再次投資開源技術與社群，在之後還創建了Loki和Tempo等Grafana相關專案，也建立Grafana Cloud和Grafana Enterprise Stack等商業產品。</p> <p>官方提到，他們一直試圖在開源社群的價值創造，以及價值獲取的獲利政策中間取得平衡，專案所使用的授權許可，是這項政策的關鍵支柱，也是Grafana Labs成立以來，內部持續在思考的問題。</p> <p>有鑑於過去幾年來，幾乎所有的大型開源公司，包括Elastic、Redis Labs、MongoDB、Timescale和Cockroach Labs等，都變更使用非OSI核准的開源授權。經過Grafana Labs內部一番掙扎後，他們也決定變更包括Grafana、Grafana Loki和Grafana Tempo所使用的授權條款，從原本使用的Apache License 2.0改成AGPLv3，開發者已經可以從GitHub中查看詳細的授權許可資訊，而部分擴充套件、代理和特定函式庫，仍維持使用Apache License 2.0。</p> <p>AGPLv3更改自GPL授權條款，並且加入了額外條款，目的是要避免企業以應用服務供應商的方式，逃避GPL授權條款要求，可說是針對雲端供應商訂製的開源授權條款。官方提到，雖然AGPLv3無法像是SSPL一樣保護開源專案，但他們認為已經達到適當的平衡，而且可以讓社群和用戶繼續享有與過去相同的自由。</p> <p>官方特別強調，這個授權變更，不會影響用戶使用、修改和向他人提供開源軟體的權利，但是根據AGPL授權，要求用戶在修改或是向他人提供軟體時，需要共享原始碼供其他人使用。這些條件在於希望修改程式碼的第三方，也能為社群做出貢獻，以公平對等的方式回饋專案，使得社群更加茁壯。</p> </div></div></div>
2021/4/22 11:12作者李建興https://www.ithome.com.tw/news/143984
複製貼上寫程式？你不孤單，Stack Overflow發現用戶複製程式碼比例高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者論壇Stack Overflow近期作了一項研究，他們<a href="https://stackoverflow.blog/2021/04/19/how-often-do-people-actually-copy-and-paste-from-stack-overflow-now-we-know/">觀察使用者的複製行為</a>，發現每4名訪問Stack Overflow的使用者，就會有1位使用者在5分鐘內複製一些內容，而複製程式碼的頻率是複製問題的10倍，更是複製評論的35倍，而且比起被接受的答案，沒有被接受的答案整體有更多的複製量。</p> <p>對於使用者在Stack Overflow網站上的程式碼複製行為，官方抱持正面態度，認為前人已經辛苦工作，後人就不需要重新製作輪子，知識重用可以幫助使用者學習，並且減少工作的挫敗感，更快地獲取到有用的程式碼。官方提到，知識重用一直以來就是Stack Overflow的重要基礎，也是能造就出強大開發者社群的關鍵。</p> <p>Stack Overflow使用了自家的網頁追蹤工具，以自定義事件捕獲使用者在網站上的複製事件，透過這些事件，官方能夠同時捕捉到多種屬性，包括標籤、問題答案、評論、程式碼區塊或是純文字、複製者的聲譽、貼文分數、地區，以及該貼文是否被接受為問題的最佳解答。Stack Overflow從2021年3月26日到2021年4月9日，整整收集了2個星期的資料，從7,305,042篇貼文擷取到了40,623,987次複製事件。</p> <p>透過分析這些事件資料，官方可以了解複製Stack Overflow網站內容的使用者組成。網站整體複製行為，與網站流量緊密相關，大多數的複製行為都出現在工作日的上班時間，來自亞洲的使用者複製最多的內容占33％，歐洲則有30％，而北美為26％。</p> <p>官方想要知道用戶聲譽和複製次數的關係，但由於產生複製事件的用戶，有86％是未登入的使用者，也就是匿名的用戶，這些匿名用戶分為可能真的是不具帳戶的使用者，也可能是有帳戶只是沒有登入，不過官方沒有辦法驗證其中的比例。</p> <p>透過視覺化每個用戶的複製次數以及聲譽，的確可以看出當用戶的聲譽越高，複製次數就越低的趨勢，雖然這樣的關係存在，但是由於沒有足夠的資料佐證，因此無法直接認定聲譽較低的用戶，複製的次數一定比較多，但官方提到，學習中的開發人員通常聲譽較低，隨著累積專業知識，會逐漸建立聲譽，而進階開發人員面對更為困難的挑戰，解法可能無法從Stack Overflow複製而來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/png%3Bbase64341048dfd08f509d.png" style="width: 580px;" /></p> <p>而被答案提問者接受為最佳解答的貼文，被複製的次數就會比較多嗎？官方發現，有52.4％的複製次數來自未被接受的答案，但是平均而言，每篇被接受的答案共獲得7次複製，而不被接受的答案每篇則有5次複製，因此整體來說，不被接受的答案複製數量更多，但是被接受的答案，擁有更高的知識重用性。</p> <p>官方也發現，分數較高的貼文，被複製的次數也會跟著比較多。與使用者聲譽相同的問題，大部分的貼文分數為零或是得分偏少，透過正規化網站上所有貼文的評分，從圖表（下圖）可以看出在答案方面，分數1到1000區間組別的貼文，複製次數十分平均，而在問題方面，1到5分的分組則是複製次數最多的，官方提到，這可能是用戶想要透過複製題目，到其他地方提問獲得答案，所造成的現象。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/png%3Bbase64de97f4a23b8db306.png" style="width: 580px;" /></p> <p>但是從複製次數和貼文得分分布圖來看，確實可以觀察到分數越高的貼文，複製次數越多，這也代表這些知識更有被社群重用的價值。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/png%3Bbase64f087c194220fae86.png" style="width: 580px;" /></p> <p>值得注意的是，究竟使用者都在Stack Overflow上複製哪些程式語言的內容，令人驚訝的是Python，這個標籤出現在4個前段標籤分組中，其中3個是資料科學的分組，包括|python|pandas|、|python|pandas|dataframe|以及|python|matplotlib|，這顯示著Python在程式開發與資料科學上的重要性。</p> </div></div></div>
2021/4/22 10:11作者李建興https://www.ithome.com.tw/news/143983
靠60人IT團隊衝刺業務擴張，電子支付龍頭揭平臺化秘訣
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5年多前，街口App上線，整合了行動支付與O2O票券販售服務。這個當時以串接商家、用戶與金流為主的服務，從2017年開始，大動作準備進軍電子支付服務，展開了一連串地端服務建置與線下通路準備，這一年間串接的銀行數，也由1間成長到10間。隔年年初，街口電子支付（簡稱街口支付）服務正式上線，大受市場青睞，這一年的用戶數節節攀升。</p> <p>此時，各種合作機會蜂擁而至，使得街口支付的業務類型與數量開始爆發式成長，造成了開發需求爆炸。串接多家銀行、商家、第三方合作夥伴，也讓系統的複雜度急遽增加，以往傳統的開發模式已難以負荷。甚至，大型服務的開發效率開始低落，因此，街口支付選擇導入微服務架構，將功能、新的需求拆出來，分散給不同的團隊進行開發。</p> <p>街口導入系統架構微服務化一年來，大幅提升開發與需求交付的效率，越來越多功能，也再次帶動使用規模成長。</p> <p>根據金管會數據顯示，2019年6月，街口支付的用戶數為88萬人，當月代理收付實質交易款項金額達8億元。然而，此時的街口支付，因為系統服務繁多，已經到達了一個臨界點，架構微服務化的效果彷彿失靈，因此，IT團隊再度面臨開發效率低落的問題。</p> <p>街口電子支付技術長林世鵬表示，主因是業務領域定義不清，同樣業務的服務分散各地；加上多個業務域功能與資料耦合，使得內部團隊理解協作成本高；以及業務分散且資訊不透明，開發人員大量重複建設；此外，在開發、錯誤修正需要大量溝通確認，使得系統開發效率低落，系統穩定性低。</p> <p>2020年初，林世鵬剛離開阿里巴巴的工作，回臺加入街口支付就面臨這個棘手的狀況。他意識到，「整個系統與工作流程，已到了必須質變的地步，得盡快克服才有辦法因應接下來的挑戰。」</p> <p><strong><span style="font-size:28px;">面臨系統開發效率低落，靠定義業務領域明確各團隊定位</span></strong></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E6%9E%97%E4%B8%96%E9%B5%AC-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px; height: 203px;" /></td> </tr><tr><td> <p><span style="color:#696969;"><strong>街口電子支付技術長林世鵬表示，工程師不能將</strong></span><span style="color: rgb(105, 105, 105);"><strong>自身的定位與工作內容，放在眼前的程式碼；必</strong></span><span style="color: rgb(105, 105, 105);"><strong>須以如何替公司的業務加值作為前提，反過來思</strong></span><strong style="color: rgb(105, 105, 105);">考怎樣透過技術做好這件事。　</strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p>先從系統開發效率的問題著手，「明確團隊的責任，明確系統的責任」，這是林世鵬到街口支付做的第一件事。他提到，以街口支付60名工程師的規模來說，所負擔的業務算是相當複雜，於是，他決定從3個面向來定義業務領域，分別是基礎服務、金流、業務，給予每個團隊明確的定位。</p> <p>林世鵬強調：「這3個團隊會有各自負責的業務領域，而且彼此間的業務領域一定是互斥、沒有交集、不重複。」其中，基礎服務團隊負責的業務領域，是像用戶中心、訂單中心、營運後臺這類能支撐整個多變的業務，以及公司營運狀況的系統。此外，也獨立出一個負責金流與支付的團隊；最後是負責業務的團隊，舉凡叫車服務、外送平臺、繳費等，這類得依靠支付能力與基礎服務能力，才能支撐起來的業務服務，都歸類在此業務團隊。</p> <p>然而，為了讓各團隊職責分明且有所共識，林世鵬與團隊經歷了一段陣痛期。他要求各團隊只能負責所指定的功能，不允許像過去的作法，只要團隊有空，也能接手開發其他團隊系統需求的情況發生。他坦言，一開始團隊有些不習慣，但，持續執行了3、4個月後，效果明顯浮現出來，不僅整體的溝通變得較為單純、有效，團隊對於系統的服務，以及團隊成員的領域知識，都變得更加內聚、精煉。</p> <p><span style="font-size:28px;"><strong>透過平臺化思維提升開發效率</strong></span></p> <p>對於如何定義業務領域？林世鵬表示，街口支付其實沒有明確導入領域驅動設計（Domain-Driven Design，DDD），而是汲取DDD方法論的核心概念，明確業務領域，並且讓團隊成員理解，自己做的服務並不只是一個專案的需求而已，而是支撐一個業務領域該提供的功能。</p> <p>所以，當需求一來，他提到，團隊成員首要釐清的是，這個需求背後的業務目標為何？了解業務目標後，才會有對應的業務流程來達到此目標，才能進一步評估是否可將這流程分解成平臺化的行為、平臺化的功能或平臺化的操作。</p> <p>林世鵬解釋，比方說，街口支付的3個團隊總共開發了10個功能，當下次有新的需求進來時，就能去檢視該需求所需的功能，有哪些是在先前已開發完成的10個功能之中。如此一來，團隊就不用重複建設，只要鎖定新功能進行開發即可。這樣以平臺化的思維來開發，正是街口支付提升開發效率的關鍵方法。</p> <p>街口支付串接了多家銀行、商家、第三方合作夥伴，不過，林世鵬表示，如果是同樣的合作產業，業務流程其實大同小異。因此，他認為，針對同一產業串接的多家合作方，「工程師必須要有將業務流程抽象化，並在系統面實現的能力。」</p> <p>比如說，街口支付與7-Eleven、全家便利商店串接，彼此清算時有一項計算日終檔的流程，過去作法是街口與一家家特店各自進行串接開發的工作，不過，一旦特店數量越來越多時，開發工作負擔也越重。假設，工程師花了10個月串接完10家特店，一遇到內部系統需要修改時，就代表這位工程師得逐一修改這10個流程。林世鵬表示：「較好的作法是將這流程抽象化，讓一套流程中有很多擴展點，這擴展點可以嵌入各個店家，或各個不同業務的各別需求。」</p> <p>在這過程中，他坦言，如何說服團隊成員突破做專案、需求的既有思維模式，往上一個層級看待自身所負責的工作，其實是一個產品、服務，甚至是平臺，對他來說是一大挑戰。</p> <p>他的作法是，賦予工程師更多的責任和空間，比如，街口支付的用戶服務，就是交由一位原本較偏向單純承接需求的工程師來負責，透過更多會議參與及和他人討論的過程，讓他能思考用戶服務該做哪些事，以及該如何決策。</p> <p><span style="font-size:28px;"><strong>靠技術PM角色提升整體開發效率</strong></span></p> <p>而為了避免工程師在接收到需求後，便直接開始寫程式，寫完後發現並不符合專案經理（PM）提出的需求，因此造成重工與效率低落的問題。林世鵬坦言：「得扭轉工程師在技術上實踐的慣性思。」他要求團隊成員開發需求之前，必須進行縝密、詳細的需求討論，以達對需求理解的對齊。</p> <p>他提到，根據多年帶領團隊與做架構的經驗，IT必須要與PM深入溝通，以釐清業務流程的訴求與目標。需要大量討論的原因是，街口支付只有一個60人的IT團隊，不像一些大公司動輒有上百名IT與充足資源。所以，林世鵬強調：「我們每一行程式碼都要敲在刀口上。」原則是能不重工就不重工，寧願多花三天、一個禮拜，進行需求分析與討論，明確業務價值，明確業務領域所在，也不要日後發生需要重構、合併、打掉重練的狀況。</p> <p>不過，林世鵬不會親自盯整個過程，而是交由各團隊負責人協助進行業務分析，讓他們能具備這樣的能力。後續，透過每周會議回報，他會與團隊負責人討論對於這次需求的理解是否有偏差，或是在業務分析上是否有所缺失。他認為，強化團隊負責人的能力，才有辦法有效率地複製這件事。</p> <p>此外，在開發流程上，雖然街口支付沒有明確導入敏捷（Agile）或Scrum，但仍汲取了敏捷的重要精神，一是資訊透明，二是快速迭代。林世鵬提到，這兩項關鍵因素，也是造成軟體專案風險的殺手，所以必須抹平。</p> <p>他提到，街口支付的開發流程一開始，會有專案啟動會議，由PM向所有參與方，說明本次專案的業務價值、目標，以及接下來要做的事情。約莫2周後，PM會將產品需求文檔（Product Requirement Document，PRD）開發出來，並與所有開發、測試的工程師進行多輪PRD檢視，直到PRD凍版，完成功能明確的線框稿（Wireframe），這過程大概花費1到2周。待PRD明確後，才會開始進行技術方案的設計，這部分也得花上1到2周的時間。</p> <p>林世鵬表示，檢視完產品需求內容，以及技術方案規模的需求，開發時程大概落在一個月左右。雖然，「一個月左右的需求規模化，量並不多，可是，確保了小步迭代，保證了團隊的士氣，也保證了團隊第一次對於這需求的嘗試是否有偏差。」</p> <p>甚至，在整個開發過程中，林世鵬提到，他們會指派一位技術專案經理（Technical Project Manager，TPM），負責整體專案中包括基礎架構，各類型資源如前端、研發、PM與AM資源的調配，以及整體風險的管理，並明確知道有哪些人參與開發，每個人又得在哪個時間點完成哪項工作。他認為，一般專案都會有業務面及技術面的問題，如果將這兩方面交纏在一起，其實很難釐清職責。甚至，若專案是由PM主導，容易傾向與業務導向，有些技術面的堅持及較好的作法可能會被犧牲。</p> <p>所以，「由TPM在技術面扮演著統籌的角色，當開發過程中有任何問題時，作為單一處理窗口，進一步提升整體效率。」林世鵬表示，如此一來便能釐清兩邊的職責，PM關注產品的設計與規畫，釐清業務價值與目標；而TPM則負責管理技術的風險、品質、效率等。</p> <p>現在，街口支付團隊透過小步快跑的迭代方式，加上整體專案資訊透明，只要是內部所有需求與專案，相對應的PM或TPM，甚至是團隊主管都相當清楚。掌握住這兩大關鍵因素，他表示，目前街口支付大約2個月便能完成一個專案。</p> <p>從林世鵬2020年初加入街口支付，經過1年的改造與努力，雖然他沒有揭露太多具體成效。但，從金管會最新公布的數據顯示，截至今年2月底，街口支付的用戶數比起2019年中翻了將近5倍，突破421萬人，而且還持續成長中，當月代理收付實質交易款項金額更突破21.2億元，穩坐臺灣電子支付龍頭寶座。</p> <p>或像是，街口支付去年底雙12街口購物節前，開發團隊事先縝密的設計和準備，避免了爆量情況發生。林世鵬回憶，有一項搶券的業務，當時，達到一個峰值是每秒2,600多次搶券請求的處理，且過程中沒有當機或逾時，整體性能表現良好。他提到：「整個系統的設計，不管是快取（Cache）的使用，以及資料庫表的設計，都必須要切合業務需求。」</p> <p>針對搶券業務可能產生的流量高峰，街口支付是透過以往業務經驗，比如，平時發了一條推播，假設這條推播的用戶點擊率為10%，就能透過推播引入的流量，在公司接下來的大型促銷活動，運用這經驗值來評估流量。</p> <p>另一項重點是資料庫表的設計，林世鵬表示，搶券系統的瓶頸其實在資料庫，所以，資料庫表的設計在高流量的狀況下，詢問（Query）或語句執行的時間，不能因為流量增加而增加。他提到，街口支付在處理秒殺場景的關鍵手法，是採用非關聯式資料庫Redis與快取，當使用者拿到一個數字，就代表他搶券成功，後續再慢慢對資料庫進行修改即可，如此一來，便不會癱瘓系統。</p> <p>目前，林世鵬提到，街口支付的系統架構是虛擬機搭配微服務的方式，容器技術正逐步導入中。即便，目前的架構已能做到每秒2,600多次搶券請求的處理，但，為了讓系統更具擴充性，變得更加有效率，這名CTO的下一步目標，是在今年中或年底，能夠將整體系統容器化。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CTO小檔案 </span></span></strong></p> <p><strong>街口電子支付技術長林世鵬</strong></p> <p>學歷：臺灣大學資訊工程學系碩士</p> <p>經歷：曾服務於資策會、HTC；2016年，赴杭州阿里巴巴，一路參與阿里雲天貓精靈骨幹系統建置，更擔任天貓精靈2B業務線負責人，爾後，轉至阿里巴巴旗下國際電商業務AliExpress、Daraz與淘寶臺灣，負責商業流量平臺化；2020年初回臺，現為街口電子支付技術團隊負責人。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></span></strong></p> <p><strong>街口電子支付</strong></p> <p>● 成立時間：2015年</p> <p>● 主要業務：提供電子支付服務</p> <p>● 資本額：新臺幣6億元</p> <p>● 員工數：200人</p> <p>● 地址：臺北市松山區長安東路二段225號C棟8樓</p> <p>● 網址：<a href="http://www.jkopay.com/">www.jkopay.com/</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門名稱：技術研發部</p> <p>● 資訊部門主管：林世鵬</p> <p>● 資訊部門人數： 60人</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司大事記 </span></span></strong></p> <p>● 2015年10月：街口App正式上線</p> <p>● 2018年1月：取得電子支付執照</p> <p>● 2018年2月：電子支付業務正式開業，串連10家主要大型銀行帳戶</p> <p>● 2020年1月：街口支付在日本啟用，推出跨境支付服務</p> <p>● 2020年2月：街口券正式上線，推出全新數據行銷功能</p> <p>● 2020年6月：聯手國泰產險推出用電子支付繳納保險費</p> <p>● 2020年12月：舉辦首屆街口購物節；同月，街口支付達400萬名用戶</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-lin_shi_peng_-she_ying_hong_zheng_wei_.png" width="960" height="420" alt="" title="街口電子支付技術長林世鵬　（攝影／洪政偉）" /></div></div></div>
2021/4/22 07:00作者李靜宜https://www.ithome.com.tw/people/143882
NumPy廣播以簡馭繁
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用NumPy處理資料時，我們可以將資料看成一個整體進行運算，例如，若nums1是個NumPy陣列，不管維度多少，我們都可以直接進行nums1+1的運算，而其結果，就是元素的值全部加1。</p> <p>然而，不單只是純量數字可以這麼做，不同維度的陣列彼此之間也可以這麼做。例如，nums1+[1]也是可以的，如果nums2是個2x3的二維陣列，也可以進行nums2+[1,2,3]之類的運算。</p> <p>基本上，NumPy的入門文件都會提到上述概念，而且，這種便利性要歸功於NumPy廣播（broadcasting）機制。</p> <p>簡單來說，NumPy提供的內建的許多函式或方法，會試著將陣列調整為相同的形狀，像是方才的nums+1、nums+[1]，我們可以直覺地想成，將1逐個加到元素就可以了，而nums2+[1,2,3]可以看成[1,2,3]與nums2的各列（row）配對相加。</p> <p>不過，你可別因為nums2+[1,2,3]的關係，就誤以為廣播機制是逐列複製。</p> <p>由於nums2+也能運算，其結果與nums2+相同，但是，並非各種維度都能混在一起計算，例如，nums2+[1,2]就會發生無法廣播（could not be broadcast）的錯誤。</p> <p>身為開發者，當然就會想一探廣播機制，NumPy官方文件提供了相關說明，<a href="https://bit.ly/2PxC7n7" target="_blank">在〈Broadcasting〉就可以看到廣播的四個規則</a>，以及輸入陣列能進行廣播的（broadcastable）三個條件。</p> <p>不過，當中單純而冗長的文字描述，實在令人如墮五里霧中，而在閱讀網路上搜尋的文件之後，仍不明就裡，就算當中加上了圖解，也還是有點霧裡看花。</p> <p>在官方網站上，我試著理解廣播的規則與輸入陣列條件時，當我往上捲動了文件，然後，狐疑了一下：「嗯？為什麼廣播的說明是放在<a href="https://bit.ly/3e4TplK" target="_blank">〈Universal functions〉</a>這個標題之中？」</p> <p><span style="font-size:28px;"><strong>Universal函式的觀點</strong></span></p> <p>試著先拋棄理解規則與條件，從Universal函式的觀點來看廣播吧！</p> <p>事實上，Universal函式文件在內容的一開頭就寫道：Universal函式會逐一處理陣列上的元素（operates on ndarrays in an element-by-element fashion）。</p> <p>理解廣播的出發點，其實就在「逐一處理」這個動作，無論是幾維，形狀為何，Universal函式底層最後關心的，都只是單一元素如何處理。</p> <p>如果你定義了普通的函式，想透過numpy的frompyfunc向量化，以建立Universal函式，之後，你的普通函式要進行實作時，只要處理傳入的單一元素就可以了。</p> <p>例如，想實作陣列相加的Universal函式：</p> <pre> def add(elem1, elem2): return elem1 + elem2 # 只要關心單一元素的處理 add = np.frompyfunc(add, 2, 1)</pre><p>接下來，要進行add(a,b)時，最簡單的情況是a與b維度相同，這時，Universal函式（向量化後的add）只要一對一地將元素傳入你指定的普通函式；如果a是np.array([1, 2])而b是1呢？當兩者維度不同，Universal函式找出維度較大的陣列a，令b的維度與之相同，這時，我們可以想像b被視為np.array([1])。</p> <p>現在維度相同而形狀不同，a的形狀是(2,)，擴充後的b形狀是(1,)，Universal函式為了能一對一處理，會在每取出a的一個元素時，b的1就用一次，可以想像b被視為[1, 1]了，這就是〈Broadcasting〉中談到的第四個規則。</p> <p>之所以會說「可以想像b被視為……」，是因為實際上，原始的b不會真的被擴充為陣列，只是就使用者的角度來看像是被擴充罷了。</p> <p>就方才的說明，a的維度是1，形狀為(2,)，b原本維度是0，形狀為()（純量n可視為np.array(n)），計算過程就像是在低維度的陣列增加維度，也就是b形狀上從()變為(1,)，這就是〈Broadcasting〉中談到的第一個規則「在低維度陣列的形狀前附加1（have 1’s prepended to their shapes）」，接下來改變形狀為(2,)的動作，就是規則二下的結果。</p> <p><strong><span style="font-size:28px;">廣播後的形狀</span></strong></p> <p>簡單來說，想要理解廣播機制，我們可以假設自己是Universal函式的實作者，思考一下輸入陣列該如何處理，後續才能一對一、逐一處理元素，例如，來看看二維陣列的情況。</p> <p>如果a是np.array()，而b是，Universal函式處理時，確認兩者維度是相同的，這時，不用套用規則一了，然而，形狀上a是(2,3)，b是(1,3)，在形狀不同時，我們可以從低維度的軸開始調整形狀，也就是依軸0、軸1的順序來處理，在處理軸0時，為了令b成為(2,3)，[7,8,9]在軸0方向擴充為，接著，就可以逐一運算元素。</p> <p>如果是b是np.array()呢？因為a、b維度相同，不用套用規則一，然而形狀a的形狀是(2,3)，b是(2,1)，軸0大小相同，因此處理軸1，為了令b成為(2,3)，[7]在軸1方向擴充，[8]在軸1方向擴充，結果就是，兩個陣列維度相同，形狀相同了，接著逐一運算元素。</p> <p>以上兩個例子，從低維度的軸開始調整形狀時，若不是1，或相同大小，廣播機制就無法運作，這也是規則四談到的情況。</p> <p>例如，若b是，與a維度相同，然而形狀一個是(2,3)，一個是(3,1)，軸0的大小既不相同、也不是1，NumPy不知道怎麼調整為相同形狀，這時，就會發生無法廣播的錯誤；類似地，b若是，形狀是(1,2)，軸0的大小既不相同、也不是1，NumPy此時也會因不知道如何調成相同形狀，而發生錯誤。</p> <p><span style="font-size:28px;"><strong>以簡馭繁的方式</strong></span></p> <p>簡單來說，我們如果從Universal函式的角度來看，<a href="https://bit.ly/2PxC7n7" target="_blank">〈Broadcasting〉</a>當中所列出的四個規則，是試著讓使用者不用理解Universal函式運作原理的情況下，綜合出來的結論，而三個條件，是Universal函式接受的引數（陣列或純量）該有的限制。</p> <p>當然，運用廣播機制時，最重要的是易於撰寫與閱讀，若是遇到一些需要自行撰寫複雜廣播的場合，可以試著先搜尋看看有無封裝好的函式。</p> <p>例如，numpy的ix_函式可用來協助建立取陣列叉積（cross）的索引陣列，其底層就封裝了複雜的廣播機制，透過這類封裝了細節的函式，對於程式碼的撰寫與閱讀會有很大的幫助。</p> <p>當然，還是會有需要理解廣播以撰寫或閱讀相關程式碼的場合（例如理解ix_函式原理），這時的出發點就是「Universal函式會逐元素處理」。</p> <p>而為了達到這個目的，我們思考的順序會是「Universal函式會檢查維度」，必要時「將低維度的陣列維度增加（形狀前加1，直到維度相同）」，然後「從低維度的軸開始調整形狀（必須是1或相同大小）」。</p> <p>至於〈Broadcasting〉中的規則與條件，可以輔助思考當然很好，如果沒什麼輔助作用，也不必太在意了。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/numpy">Numpy</a></div><div class="field-item odd"><a href="/tags/universal%E5%87%BD%E5%BC%8F">Universal函式</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2021/4/22 07:00作者林信良https://www.ithome.com.tw/voice/143884
沒背景就要靠謀略扳回創業劣勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-shu_zhai_-nu_xing_chuang_ye_yang_cheng_ji_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">時報出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>女性所獲得資金僅占創業投資的2.5%──其中大約有0.2%是給有色人種的女性，女性就是無法享有男性能取得的那些資本。來自線上門票交易平臺Stub Hub的芭里．威廉斯（Bari A. Williams）曾做出這樣的結論：「白人男性有點子就能得到資金，白人女性有成果就能得到資金。黑人女性得不到任何資金。」</p> <p>最近我和一群女性投資人對著一屋子的男男女女談話，大家全都熱切地想討論如何在商業上實現性別平等。在談論我們所看到的市場趨勢時，我（娜塔莉，本書作者）提到有一點似乎跟我們講到的數據有些矛盾：黑人女性和拉丁裔在這個國家創立公司的速度比任何人都快。事實上，78%的女性新創公司都是由有色人種女性所創立的。到了問答階段，前排有位明智的女性向與談成員之一提問，這位與談人經營的資金專門投資開創初期、女性主導的企業，大部分是科技業。</p> <p>「妳今天說妳投資了超過六十家的公司，」她說，「娜塔莉提到有色人種女性在這個國家創立的公司比誰都多，那麼妳的六十幾家公司裡，有多少是由有色人種女性領導的？」</p> <p>大大的零鴨蛋是個大大的問題，女性──尤其是有色人種女性──發狂似地展開創業，但卻很少發展出替雇主工作以外的規模，因為她們渺小到無法吸引投資。至於和我一起參加與談、專門投資女性創業者的那一位，她的問題遠比拒絕有色人種女性來得更為複雜。她的問題在於管道，不只是種族。能夠挺進創業投資會議室裡的創業者，代表的是一群極少數的幸運女性。大部分是白人，家境富裕，履歷表上寫著哈佛商學院、高盛或谷歌等。</p> <p>她們仍然是很了不起的創業者，和我一起出席的那位與談人，也算是把資金投注在重要的工作上。但是，如果妳跟大部分女性一樣，不知道該怎麼做才進得了任何一個投資者的辦公室，無法超越單打獨鬥或副業經營模式，大概是因為妳有下列某個或全部的問題：</p> <p>．妳沒有個人資本──幾萬美元的應急資金──或是沒有空閒時間去找機會，制定策略，把眼光放遠。</p> <p>．妳沒有親友能投資金錢或貢獻關鍵資源，像是有家族律師可供諮詢，或是不必付房租也有地方住。</p> <p>．妳沒有念過名校，所以沒有現成的人脈和文化資本，無法創造客戶及行銷關係，幫助妳躍入下一個階段。</p> <p>少了這些資產，許多聰明並且具備創業心的女性，就會陷入我稱之為死亡谷的處境中──從單人秀到成為家喻戶曉規模龐大的企業之間的漫長階段。而許多女性根本從來不曾轉變成為企業家，因為忙著付房租、把食物端上桌。</p> <p><span style="font-size:28px;"><strong>想成功？運用妙計來躍升，別難為情</strong></span></p> <p>事實上，成功人士總是抄捷徑。那些捷徑叫做信託基金，或叫裙帶關係，這類狀況在第四十五任美國總統的辦公室裡肆無忌憚地上演著。又可以稱作遺贈，看看那些憑著家族姓氏而非學術能力測驗（SAT）成績進入常春藤盟校的小孩就是了。</p> <p>與其假裝那些捷徑不存在，也不認為許多成功人士每天都能從中受益，我寧願致力於確保有更多人知道並且了解這些捷徑的運作方式。躍升、捷徑、妙計──就讓我們稱這些是女性為了得到公平競爭機會而需要做的事情，而且我們現在就要去做。</p> <p>該是改變想法的時候了，以下是我認為影響躍升者價值理念的觀念模式。</p> <p><strong>1.運用妙計，別難為情。</strong>妙計並非要妳插隊，而是要找出差距加以填補，去嘗試而不是等著機會送上門來。女性相信她們必須遵守規則，這是《姊就是大器》（Playing Big）一書的作者泰拉．摩爾（Tara Mohr）調查讓女性退縮的事情時發現的。循規蹈矩，等著得到獎賞，我們就是因為這樣才困在小格局裡──做著低薪的工作，腦中缺乏勇氣，不敢躍升發揮創業精神。</p> <p><strong>2.這個國家是女性和有色人種扛起來的。</strong>我們和每個人一樣值得在隊伍中擁有一席之地。被動等著人家把妳從後面往前移，妳會永遠等下去。</p> <p><strong>3.我們贊同成果勝過大眾的看法。</strong>就算再多幾個梅麗莎．梅爾（Marissa Mayers）掌管像是雅虎（Yahoo!）這樣的大公司，也不會神奇地解決性別薪資的差距；讓一個黑人男性入主美國總統辦公室，也不能解決美國的種族歧視問題，這些往往變成象徵罷了。讓更多女性成為高階主管很重要，但是認為這樣就能解決大部分女性面對的陳年問題卻並不公平。象徵不能用來付房租，做樣子也餵不飽孩子，現金才是王道，所以讓我們把對話從做樣子和象徵主義轉移到真正的成果，那才能夠存進銀行。</p> <p>4.沒耐心是一種美德。我不想在十年後參與另一場座談，再讓聽眾提問「有多少個有色人種女性？」然後回答兩位而非零個。但是，如果我們繼續這樣下去，「進步」就會像數十年來這樣慢吞吞，顯示未來在美國，女性再過一百三十四年也無法得到跟男性一樣的平等薪資。下一代需要我們沒耐心，對依然存在的不公義沒耐心，對每一則仍然存在的狗屁倒灶說法沒耐心，別讓人告訴我們能做什麼、不能做什麼。下一代要靠我們，我可不打算讓任何人告訴我捷徑是件壞事。我們的時間早已延誤，如果有人不高興我們想找更快、更便宜、更好的方式達成目的，那他們大可以坐在旁邊看就好。如果這麼做會讓人說我們惡毒、難搞、不受控，那就讓我們看看這些究竟是什麼：有吸引力的成功特質，這些特質把眾多男性推向巔峰。因為我們等不了人家給我們平等，我們必須拿回屬於我們的。我們絕對有權利沒耐心。</p> <p><span style="font-size:28px;"><strong>99%的商業建議都有問題</strong></span></p> <p>很多典型的建議和成功故事，那些出現在亮光紙印刷雜誌和商業教戰手冊上的說法，未必適合每一個人。當然，這些建議的定位並非只針對少數特權分子，但是在許多情況下，你想嘗試應用這些經驗，卻不是白人、富人或男人，那麼只能祝妳好運了。這裡舉五個例子：</p> <p><strong>1.「別去念大學。」</strong>有錢、受過昂貴教育的白人男性像是彼得．泰爾（Peter Thiel）和詹姆斯．阿圖徹（James Altucher）建議年輕創業家不必念大學或是乾脆輟學（這兩人分別念過史丹佛大學和康乃爾大學），如果妳的社經背景能提供充裕的影響力和資本，這大概算是還可以的建議。如果妳是個局外人，無法享有真正的特權，這就比較沒有說服力了。傳統的四年大學也許不適合每一個人，但是（各種形式的）教育在歷史上一直是最普遍的成功躍升途徑。我雖然二十一歲就輟學沒念完大學，但是我之前念的是洛杉磯菁英私立中學──我的家人犧牲很大──後來又念了久負盛名的常春藤盟校，這些都帶給我文化資本，至今仍然受用。</p> <p><strong>2.「用社會創業家精神改變世界。」</strong>我愛做生意賺錢，同時又能解決某項社會問題──但是，別讓尋找這類協同效益搞得妳分心，無法把好點子付諸實行。妳的主要焦點必須是找到某個商業點子，能夠解決某項嚴重的客戶問題，符合明確的需求。再說一句，每一家企業都具有社會創業家精神，如果妳能替某個原本沒什麼人有工作的社群帶來收入的話。</p> <p><strong>3.「把妳的熱情轉為生意。」</strong>就像我朋友妮莉．加蘭（Nely Galan）在她的《最好的投資是投資自己》（Self Made）一書中所寫的，「依隨妳心全是胡扯！」做出大家想要的東西，然後再利用滿滿的銀行戶頭來沉溺在自己的熱情裡。</p> <p><strong>4.「身為執行長要最後一個領薪水。」</strong>說什麼鬼話啊？！既沒收入，也沒有信託基金或是任何一種安全網的情況下，我要怎麼在經營企業的同時又能餵飽自己？</p> <p><strong>5.「創業初期要打工養活自己。」</strong>好建議──但妳每週可能得工作六十個小時以上，還只能勉勉強強維持生計。</p> <p>我還可以繼續列下去，沒資本而想創立公司的挑戰是真實的，我要老實告訴妳：沒有一本書能完全解決這個問題。不過，在此我邀請了我認識的每一個人分享自己的最佳祕訣，這些人從零開始，發展出可擴展的生意。妳可以學到他們個人的經驗，有可行的漏洞和捷徑，即使妳開始創業的時候沒有資金、文化資本或關係也可以。妳會看到的不只是女性，也並非全都是躍升者，人生和商場一樣，我們可以走得更遠、更快，只要不把自己侷限在一小部分的人才庫中。<strong>（摘錄整理自《女性創業養成記》）</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> </strong><span style="color:#3399ff;"><strong><span style="font-size:20px;">女性創業養成記：跨越資金與人脈的門檻，讓妳發揮自身優勢的50個妙計</span></strong></span></p> <p>娜塔莉．茉琳納．尼諾（Nathalie Molina Niño）、莎拉．葛雷思（Sara Grace）／著；趙睿音／譯</p> <p>時報出版</p> <p>售價：450元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong> <strong><span style="color:#3399ff;">娜塔莉．茉琳納．尼諾（Nathalie Molina Niño）</span></strong></p> <p>茉琳納．尼諾是一位技術專家和程式碼工程師，二十歲時創辦了她的第一家科技新創公司。現為BRAVA投資公司的執行長暨創辦人，該公司投資高度成長並為女性帶來顯著的經濟利益的創新事業。她也是哥倫比亞大學巴納德學院雅典娜領導力研究中心「創業家在雅典娜」（<a href="mailto:Entrepreneurs@Athena">Entrepreneurs@Athena</a>）的共同創辦人。</p> </div></div></div>
2021/4/22 07:00未署名https://www.ithome.com.tw/article/143890
蘋果發表可與家人共享的Apple Card Family服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2019年與高盛（Goldman Sachs）共同推出虛擬信用卡Apple Card之後，蘋果本周進一步發表了<a href="https://www.apple.com/newsroom/2021/04/apple-introduces-apple-card-family-enabling-people-to-share-apple-card-and-build-credit-together/" target="_blank">Apple Card Family</a>，除了能與另一名家人共同擁有Apple Card之外，最多可在Apple Card帳號中新增5名家人，讓家人共用一張Apple Card。不過，Apple Card Family目前僅支援美國市場。</p> <p>Apple Card功能內建在iPhone的Apple Wallet程式中，它具備完整的信用卡功能，不需年費，沒有海外交易手續費，還有根據消費對象所提供的3%、2%與1%的每日現金回饋機制，蘋果也提供了Apple Card的實體卡片，但主要應用在必須使用實體卡片的商家，主要的交易程序還是於iPhone上完成，因此實體卡片上除了蘋果商標、用戶名字與晶片之外，並無任何其它信用卡資訊。現階段Apple Card已於包括台灣在內的數十個國家推出。</p> <p>Apple Card Family則是可供家人共同使用同一張信用卡的服務，它允許兩名家人共同持有同一張Apple Card，可以共享與合併信用額度，也能平等地建立信用等級。共同持有Apple Card的家人年紀必須超過18歲，但共同使用Apple Card的家庭成員只要年滿13歲，所有Apple Card Family成員都必須位於同一家人分享（Family Sharing）群組中。</p> <p>Apple Card透過機器學習技術與Apple Maps，可於Wallet中提供消費的商家名稱與位置，並有每周及每月的支出摘要。</p> </div></div></div>
2021/4/21 22:50作者陳曉莉https://www.ithome.com.tw/news/143982
針對勒索軟體攻擊傳聞，廣達坦承部分伺服器遭到網路攻擊，營運未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有臺灣高科技廠商遭到勒索軟體攻擊！<a href="https://www.ithome.com.tw/news/143958">根據Bleeping Computer等多家媒體報導</a>，近日勒索軟體REvil攻擊廣達電腦，駭客宣稱取得大量機密資料，但索討贖金不成之後，公布部分蘋果筆電MacBook元件的設計圖，並轉而向該公司的客戶蘋果下手，要求蘋果支付贖金換取不公開Mac電腦產品資料。針對此事，我們詢問廣達，他們發出以下聲明：</p> <p><strong>「廣達資安團隊已與多家外部資安公司技術專家合作，共同處理此次針對廣達少部分伺服器的網路攻擊，並已將所監測到的異常網路狀況，通報予政府相關執法部門與資安單位，並保持密切連繫。公司日常營運未受影響。</strong></p> <p><strong>廣達已於第一時間啟動資安防禦機制，並進行網路攻擊的清查，少數受到影響的內部服務均已回復運作。我們亦同步檢視並強化現有基礎架構，全面提升網路安全等級以保護資料安全及完整性。」</strong></p> </div></div></div>
2021/4/21 17:50作者周峻佑https://www.ithome.com.tw/news/143979
NCC：5G總用戶數達193萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內5G開臺近十個月，NCC統計5G總用戶數，到今年3月為止，國內五家電信商合計5G用戶數達193.1萬戶。另外，NCC也公布最新4G網速量測結果出爐，4G平均下載網速提升9.84%，達到119Mbps。</p> <p>為加速國內5G網路建設，今年1月政府拍板定案，以155億元補助業者加速5G網路建設，電信業者先後宣布擴大5G網路部署計畫。國內電信龍頭中華電信日前表示，今年5G基地臺將加速、加量建設，預計年底將超過一萬座5G基地臺，以涵蓋六都核心都會區、商圈、科學園區、高鐵、捷運、機場等人口密集地點；遠傳電信則是宣布已建設6千座基地臺，六都涵蓋率達8成；台灣大哥大也不甘示弱，宣布為首家通過NCC驗證，5G基地臺電波人口涵蓋率達到50%的電信業者。</p> <p>NCC也在今天公布，國內5G開臺近十個月，用戶數已達到193.1萬，至於個別電信業者用戶數，NCC則不願意透露，若以5G用戶成長速度推測，到今年6月底5G開臺滿一年，用戶數可望挑戰200萬用戶。相較之下，在2014年開臺的4G，在電信業者資費競爭下，開臺滿一年用戶數即超過600萬，5G用戶數成長速度明顯不如4G。</p> <p>今天NCC也公布電信技術中心（TTC）最新的國內行動寬頻網路量測結果，不過，量測仍以4G服務為主，並未包括5G的網路速度量測。</p> <p>對於5G何時納入量測，NCC副主委兼發言人翁柏宗解釋，由於國內5G仍在建設階段，涵蓋率仍不足，今年可能先以試驗性質，在都會地區進行量測，至於正式的納入量測可能要等到明年，待5G有涵蓋達到一定的程度後，再量測才會比較有意義。由於5G的高速、低延遲、大頻寬，應該如何量測也需要取得各家業者的共識。</p> <p><span style="color:#B22222;"><strong>去年4G平均網速提升近10% </strong></span></p> <p>根據109年度我國4G行動寬頻網路量測結果，在定點量測4G平均網速，平均下載速度達到119Mbps，較前一年（108年度）的108.33Mbps提升9.84%。</p> <p>至於移動量測方面，在各縣市的主要道路、高速公路、快速道路移動的車輛，以及高鐵、台鐵、捷運車廂內量測，各縣市主要道路的4G下載速度介於52.87Mbps到77.89Mbps之間，而在大眾運輸量測，速度介於32.62Mbps至197.18Mbps之間，速度的差異範圍較大。</p> <p>翁柏宗表示，國內5G開臺之後，各家業者積極投入5G網路建設，外界憂心4G網速可能因此下降，目前4G仍是國內的主流行動寬頻服務，電信業者運用多載波聚合（CA）技術，實際的量測顯示4G網速仍維持提升，並沒有因為投入5G建設，反而造成4G網速下降的結果。</p> <p>另外，去年爆發COVID-19，因居家辦公、遠距上課，使得固網話務量增加，去年6月之後，又因報復性旅遊，效區的行動話務量增加，加上網紅、自媒體的消費型態，用戶行動上網、視訊的需求增加，使得4G上傳速度略為下滑，4G平均上傳速度，從108年度的27.18Mbps降至26.12Mbps。為確保消費者的體驗，NCC將和電信業者協商，如何因應國內行動上網消費行為改變，改善上傳速度不足的問題。</p> </div></div></div>
2021/4/21 18:45作者蘇文彬https://www.ithome.com.tw/news/143980
中國駭客利用VPN裝置漏洞鎖定美國國防產業展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>US-CERT、美國網路安全暨基礎架構安全署（Cybersecurity and Infrastructure Security Agency，CISA）、資安業者FireEye，以及VPN裝置製造商Pulse Secure，在本周二（4/20）揭露了數起開採Pulse Secure漏洞，並鎖定美國國防產業與全球政府機關的攻擊行動。</p> <p><a href="https://blog.pulsesecure.net/pulse-connect-secure-security-update/" target="_blank">Pulse Secure表示</a>，該公司最近發現有少數客戶所部署的Pulse Connect Secure VPN裝置遭到駭客開採，在與FireEye、CISA與其他資安專家聯手展開調查之後，才發現駭客開採了Pulse Connect Secure的4個安全漏洞，其中的3個CVE-2019-11510、CVE-2020-8243與CVE-2020-8260已於2019年及2020年修補，還有一個是零時差漏洞CVE-2021-22893。</p> <p>FireEye則說，根據追蹤，至少有12個惡意程式家族開採Pulse Connect Secure裝置的漏洞，可用來繞過認證機制或建立後門，看起來像是有許多不同的駭客組織在開發與建立這些惡意程式家族。</p> <p>不過，在這次的研究報告中，FireEye只揭露了UNC2630與UNC2717兩個駭客組織的行動，其中的UNC2630更是鎖定美國的國防工業基地（Defense Industrial Base，DIB）網路發動攻擊，使得<a href="https://cyber.dhs.gov/ed/21-03/" target="_blank">美國國土安全部因而發布緊急指令</a>，要求各單位緩解Pulse Secure產品的安全漏洞。</p> <p>FireEye說明，旗下Mandiant團隊在今年初在全球的國防、政府與金融組織中發現了入侵行動，追蹤後顯示這些行動源自於Pulse Connect Secure裝置的IP，其中，UNC2630從該裝置的登入漏洞中取得了許多憑證，才得以於被駭環境中自由移動，並企圖永久進駐被駭系統。</p> <p>此外，UNC2630從去年8月就開始針對美國的DIB企業或組織發動攻擊，研究人員懷疑該組織是由中國政府所贊助，並與中國駭客組織APT5有關。</p> <p>另一個駭客組織UNC2717則是自去年10月到今年3月間，鎖定全球的政府組織發動攻擊，目前FireEye尚無法判斷它的來源。</p> <p>Pulse Secure與CISA督促採用Pulse Connect Secure裝置的用戶應該儘速修補漏洞，針對CVE-2021-22893零時差漏洞，<a href="https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784" target="_blank">Pulse Secure目前僅提供暫時補救辦法</a>，真正的修補程式預計會在5月初出爐。此外，Pulse Secure亦<a href="https://kb.pulsesecure.net/pkb_mobile#article/l:en_US/KB44755/s" target="_blank">釋出了檢查工具</a>，供用戶檢視自己的系統是否受到危害。</p> </div></div></div>
2021/4/21 16:44作者陳曉莉https://www.ithome.com.tw/news/143971
Netflix財報出爐，用戶增加14%，營收成長24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球影音串流服務龍頭Netflix在20日<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2021/q1/FINAL-Q1-21-Shareholder-Letter.pdf" target="_blank">公布該公司今年第一季財報</a>，顯示Netflix首季締造了71.63億美元的營收，成長24.2%，付費用戶數為2.07億人，增加13.6%，雖然不管是營收或用戶數都呈兩位數成長，但因不符合分析師預期，使得Netflix當天盤後下滑8.68%，股價掉至501.89美元。</p> <p>其實Netflix在今年第一季的營收成長幅度高於前四季，只是用戶數的成長不若預期，在去年的四季中，Netflix會員數的成長幅度依序是22.8%、27.3%、23.3%與21.9%，今年第一季則只有13.6%，不過，去年Netflix也曾提醒其用戶數的增加，有賴於疫情的推波助瀾，其效應已逐漸減緩。</p> <p>至於Netflix今年首季的淨收入則是17.07億美元，超過前兩季的總和。</p> <p>在Netflix的全球版圖中，帶進最多營收的是美國與加拿大，占了31.71億美元，居次的歐洲、中東和非洲（EMEA）占了23.44億美元，拉丁美洲營收為8.37億美元，亞太地區則是7.62億美元。</p> <p><a href="https://www.marketwatch.com/story/there-is-a-new-normal-for-netflix-and-that-is-not-necessarily-a-bad-thing-11618961657" target="_blank">MarketWatch</a>認為，儘管Netflix訂閱用戶的成長已趨緩，但大量的用戶已經替Netflix帶來龐大獲利，Netflix投資人不應該再以訂閱用戶的成長速度來評估該平臺的價值，因為從財務的角度來看，今年第一季是Netflix史上最好的一季。</p> </div></div></div>
2021/4/21 17:06作者陳曉莉https://www.ithome.com.tw/news/143976
蘋果發表物件追蹤器AirTag
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（4/20）除了發表<a href="https://www.ithome.com.tw/news/143964" target="_blank">採用M1晶片的iMac與iPad Pro</a>，推出<a href="https://www.apple.com/newsroom/2021/04/apple-introduces-iphone-12-and-iphone-12-mini-in-a-stunning-new-purple/" target="_blank">紫色的iPhone 12</a>，揭露新一代<a href="https://www.apple.com/newsroom/2021/04/apple-unveils-the-next-generation-of-apple-tv-4k/" target="_blank">Apple TV 4K</a>之外，還推出了全新的<a href="https://www.apple.com/newsroom/2021/04/apple-introduces-airtag/" target="_blank">物件追蹤器AirTag</a>。</p> <p>或許有些手機用戶對物件追蹤器並不陌生，因為三星日前才發表第二代的物件追蹤器<a href="https://www.ithome.com.tw/news/143754" target="_blank">SmartTag+</a>。不管是SmartTag+或蘋果的AirTag都是利用藍牙技術進行追蹤，使用者只要把追蹤器繫在鑰匙、包包或其它物件上，就能用手機來追蹤其位置。</p> <p>蘋果的AirTag配備蘋果設計的U1晶片，使用超寬頻（Ultra Wideband，UWB）技術，它支援採用iOS/iPadOS 14.5或之後版本的iPhone與iPad來尋找AirTag，但只有最新的iPhone 11與iPhone 12可使用精確尋找（Precision Finding）功能，因為該功能必須利用iPhone的攝影機、ARKit、加速器與陀螺儀，才能提供諸如距離與方向等更精確的位置資訊，盲人還可啟用VoiceOver，以聲音來指引路徑，像是說出：「AirTag正位於你左邊三米處。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-findmy%20app-voice.png" style="text-align: center; width: 262px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>使用者可把AirTag裝置加入蘋果的Find My功能中，該功能可用來尋找iPhone、iPad、Mac，以及最新的AirTag，由於AirTag可能被繫在不同的物件上，因此蘋果亦允許使用者替這些AirTag裝置取名，除了內建的鑰匙或夾克等名稱，還可客製化，當以Find My尋找AirTag時，位於蘋果裝置藍牙範圍內的AirTag就會發出聲音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-findmy%20app-named%20device.png" style="width: 258px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>假設使用者的AirTag遺失了，還可透過連結全球數十億蘋果裝置的Find My網路來協助尋找，Find My網路可偵測遺失的AirTag，並將它的位置回報給失主。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-findmy%20app-2.png" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>本周蘋果還發表了新的<a href="https://developer.apple.com/find-my/" target="_blank">Find My網路配件專案</a>，讓第三方的產品與配件也能整合蘋果的Find My功能。</p> <p>單個AirTag售價為29美元（新台幣990元），4個一組的售價為99美元（新台幣3,390元），蘋果還提供諸如AirTag掛環等配件，並與知名品牌愛馬仕推出聯名的AirTag Hermès，提供奢華的AirTag配件。AirTag預計於4月23日開放預購，將於4月底上架。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-airtag%20hermes.png" style="width: 123px;" /></p> </div></div></div>
2021/4/21 15:58作者陳曉莉https://www.ithome.com.tw/news/143968
駭客利用Telegram頻道散布惡意軟體HackBoss，來洗劫受害人加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著加密貨幣的流行，駭客也透過提供駭客工具與破解工具的名義，做為散布惡意軟體的幌子，並透過即時通訊軟體Telegram聊天室當作主要管道。<a href="https://decoded.avast.io/romanalinkeova/hackboss-a-cryptocurrency-stealing-malware-distributed-through-telegram/">防毒業者Avast公布惡意軟體家族HackBoss</a>，駭客利用這種工具至少偷到相當於56萬美元的加密貨幣。</p> <p>為何這款惡意軟體被稱為HackBoss？原因是來自散布者所建立的Telegram頻道名稱「Hack Boss」。該頻道宣稱「提供最好的駭客軟體」，包含攻擊銀行、約會、比特幣等層面的工具，像是銀行或社群網站的破解器、加密貨幣錢包私鑰破解器，以及禮物卡產生器等。但Avast指出，Hack Boss頻道上張貼的工具全部是假的，它們都是用來從受害者電腦竊取加密貨幣的惡意軟體。</p> <p>而這個Telegram頻道已經存在超過2年，且有不少訂閱者。Avast表示，該頻道自2018年11月26日創立，每個月平均會有7篇文章，且每篇文章都有約1千人次瀏覽。該頻道擁有近3千名訂閱者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HackBoss_telemetr.png" style="width: 350px; height: 645px;" /></p> <p>在每則推銷假破解工具或駭客應用程式的文章中，不只有檔案下載網址，還有散布者對於工具用途的說明與執行畫面截圖等，部分文章還會嵌入名為Bank God的YouTube頻道所提供的推廣影片。</p> <p>一旦用戶將這些假應用程式下載到電腦執行，能看到軟體介面上存在許多按鈕，只要用戶點選其中的一個按鈕，該軟體的相關惡意功能就會隨之啟動，並將惡意酬載解密到AppData\Local或AppData\Roaming資料夾執行。為了能持續在受害電腦運作，Hack Boss也會透過竄改Windows登錄檔機碼，或是工作排程的方式，來重複執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HackBoos-UI_examples-s.png" style="width: 580px; height: 294px;" /></p> <p>究竟惡意酬載的危害為何？Avast指出，它會檢查剪貼簿的內容，是否存在加密錢包位址，一旦發現是加密錢包位址的格式，這個惡意酬載就會將位址調包，換成駭客所有的錢包位址。而且，就算是受害者察覺剪貼簿遭到監控，關閉上述的假工具，或是將惡意處理程序終止，都無法完全阻止其運作，因為有了前述的登錄檔機碼，這個惡意程式在幾分鐘內就會再度啟動。</p> </div></div></div>
2021/4/21 13:07作者周峻佑https://www.ithome.com.tw/news/143965
傳Discord結束與微軟收購洽談，將尋求IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/discord-ends-deal-talks-with-microsoft-11618938806" target="_blank">華爾街日報</a>報導，社交平臺Discord正式終止和微軟的收購談判，並將持續推動公開股票發行（IPO）的上市之路。</p> <p>Discord是近日業界盛傳微軟力圖收購的對象之一。它提供的群組聊天平臺，讓使用者以文字、影像及VoIP語音和友人及社群交流，還可分享檔案及媒體內容。它一開始鎖定遊戲用戶，後來則擴及一般使用者。2015年創立以來，Discord表示目前每月經常用戶達1.4億人。</p> <p>華爾街日報及<a href="https://www.ithome.com.tw/news/143430" target="_blank">彭博</a>上個月報導，除了微軟計畫以100億美元收購，另外至少有三家公司也有收購意願，不過其他買家的身分則不得而知。華爾街日報本周引述消息人士報導，雖然微軟和Discord已談得相當深入，最終Discord仍決定維持獨立，可能規劃朝不久後IPO的方向邁進。</p> <p>不過也有消息人士指出，微軟和Discord未來仍然可能再度重回談判桌上。</p> <p><a href="https://techcrunch.com/2021/04/20/discord-ipo-microsoft-deal/" target="_blank">Techcrunch</a>報導，Discord維持獨立的決定相當明智。以近日爆紅的Clubhouse和臉書、推特相繼推出語音社交平臺來看，很早就推出語音社交功能的Discord可說有先見之明。此外，若選擇加入大廠，也可能因為壟斷之嫌遭到主管機關的封殺。</p> <p>Discord也是微軟為了擴張事業版圖尋求收購的最新一家業者。微軟去年還試圖收購Tiktok美國業務。<a href="https://www.theverge.com/2021/2/11/22277845/microsoft-pinterest-acquisition-azure-cloud-services-rumors" target="_blank">微軟也曾</a>傳計畫以510億美元收購以釘圖分享的社交平臺Pinterest，不過後者也希望維持獨立地位而未成真。<a href="https://www.ithome.com.tw/news/143775" target="_blank">本月微軟宣布</a>以195億美元收購語音辨識技術供應商Nuance，以擴大AI醫療方案。</p> </div></div></div>
2021/4/21 13:07作者林妍溱https://www.ithome.com.tw/news/143966
Codecov被駭，殃及數百家企業客戶及IBM等科技公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國軟體開發測試服務廠商Codecov今年初遭到駭客入侵，美國政府初步調查發現，數百家客戶可能已被竊走公司軟體開發專案資料，受害範圍也疑似擴及其他軟體和服務業者如IBM。</p> <p>本周<a href="https://www.ithome.com.tw/news/143917" target="_blank">路透社</a>報導，Codecov於4月1日發現該公司的Bash Uploader script遭非授權存取及修改，可能危及客戶。<a href="https://docs.codecov.io/docs/about-the-codecov-bash-uploader" target="_blank">Bash Uploader</a>是供其客戶上傳軟體開發專案的覆蓋報告到Codecov的工具。駭客利用該公司Docker映像檔建立過程中一項瑕疵取得密碼，進而將Bash Uploader script中的IP位址，由Codecov改為駭客控制的伺服器，藉此悄悄蒐集客戶的重要憑證，包括API金鑰、令符及任何儲存在CI（continuous integration）環境中的資訊等，可能危及客戶網路上的服務或資料庫、應用程式碼。</p> <p>該公司調查後研判，入侵行為可能早從今年1月31日起開始，已經持續近三個月。這個Bash Uploader也用於其他三項工具。而由於Codecov擁有P&G、GoDaddy等2.9萬家客戶，美國聯邦調查局（FBI）及國土安全部已介入調查是否和SolarWinds有關。</p> <p><a href="https://www.reuters.com/technology/codecov-hackers-breached-hundreds-restricted-customer-sites-sources-2021-04-19/" target="_blank">路透社</a>周二引述未具名的調查官員報導，攻擊者利用自動化工具快速複製客戶的憑證及其他資訊，使資料外洩情況超出Codecov最初公布的範圍。此外駭客也利用Codecov存取了其他軟體開發工具的供應商網路，以及技術服務供應商，包括IBM。</p> <p>消息人士透露，雙管齊下使駭客可能已取得數千個系統的登入憑證，而有「數百家客戶」網路已經遭到存取。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hundreds-of-networks-reportedly-hacked-in-codecov-supply-chain-attack/" target="_blank">Bleeping Computer</a>報導，若搜尋連向Codecov被駭Bash Uploader script的連結，顯示有數千項專案曾經或現正使用該script。不過究竟有多少專案因此遭池魚之殃，則不得而知。</p> <p>FBI舊金山分部已著手調查，Codecov已從本周一起通知可能的受害企業。報導指出有數十家客戶接到通知。</p> <p>IBM對媒體表示，經過調查，顯示IBM自己或客戶的程式碼未遭到變更，不過沒有說明系統登入憑證是否外流。HPE則表示還在調查事件影響。Atlassian則於本周一表示，沒有發現任何遭駭入的證據。</p> </div></div></div>
2021/4/21 12:22作者林妍溱https://www.ithome.com.tw/news/143963
iMac與iPad Pro加入蘋果M1家族
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在去年11月發表了採用Arm架構的自製晶片M1，打算用來取代蘋果裝置所使用的英特爾晶片，當時蘋果首波推出的M1裝置為MacBook Air、13吋MacBook Pro與Mac mini，周二（4/20）蘋果再發表了<a href="https://www.apple.com/newsroom/2021/04/imac-features-all-new-design-in-vibrant-colors-m1-chip-and-45k-retina-display/" target="_blank">採用M1的iMac電腦</a>，以及<a href="https://www.apple.com/newsroom/2021/04/apple-unveils-new-ipad-pro-with-m1-chip-and-stunning-liquid-retina-xdr-display/" target="_blank">iPad Pro</a>。</p> <p>M1不論是在CPU、GPU、機器學習能力或電池續航力，都大勝先前蘋果裝置所採用的晶片，而且蘋果預計要在2年內把旗下所有裝置的晶片，都汰換成自製晶片。</p> <p>蘋果本周所發表的、配備M1的iMac為24吋的版本，首度在iMac上嵌入Touch ID指紋辨識功能，採用的是4.5K Retina顯示器，具備1,130萬畫素與500尼特的亮度，新一代的24吋iMac不僅螢幕更輕薄了，而且蘋果一口氣推出綠、黃、橘、粉、紫、藍、銀共7種顏色，讓使用者的桌面更清爽也更繽紛。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/imac/standard/apple_new-imac-spring21_hero_04202021_Full-Bleed-Image.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>新一代24吋iMac所搭載的M1晶片，具備8核心CPU與7/8核心GPU，蘋果表示，其CPU效能比上一代多出85%，GPU效能多出2倍，在應用程式中的機器學習運算更是之前的3倍。</p> <p>最低階的24吋iMac使用8核心CPU與7核心GPU，只有兩個Thunderbolt / USB 4傳輸埠，且其巧控鍵盤（Magic Keyboard）並不支援Touch ID，內建256GB的儲存空間，售價為1,299美元（新臺幣39,900元）。至於採用8核心CPU/GPU，額外支援Gigabit乙太網路及2個USB 3傳輸埠，含有Touch ID的巧控鍵盤，以及內建512GB儲存空間的高階版本，則是1,699美元（新臺幣51,900元）。</p> <p>新款iMac即將在4月30日開放預購，預計於5月下旬出貨。</p> <p>另一款切換到M1晶片的裝置為iPad Pro，這應該是全球配備最高階處理器的平板電腦。蘋果指出，新款iPad Pro的CPU效能，比上一代使用A12Z Bionic的版本快了50%，GPU也比上代快了40%，可配備最多16GB的記憶體與2TB的儲存空間，讓它成為史上最強大的iPad Pro。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/ipad/standard/apple_ipad-pro-spring21_magic-keyboard-side-white_04202021_big_carousel.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>此外，由於M1與A系列晶片擁有同樣的基本架構，使得專為A系列晶片設計的iPadOS，也能發揮M1的能力。</p> <p>M1版iPad Pro也有11吋及12.9吋兩種選擇，前者採用Liquid Retina顯示器，後者則是搭載全新的Liquid Retina XDR顯示器，標榜提供極大的動態範圍與逼真的細節，可更勝任嚴格的HDR任務。11吋iPad Pro的價格為799美元（新臺幣24,900元），12.9吋為1,099美元（新臺幣34,900元）。與新款iMac一樣，都將在4月30日開放預購，5月下旬出貨。</p> </div></div></div>
2021/4/21 12:50作者陳曉莉https://www.ithome.com.tw/news/143964
嬌生資訊長揭露如何靠AI加速疫苗生產效率，先建立可迭代的AI開發流程，再培養「雙語」資料科學家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在全球有超過250家的子公司、產品銷售170多個國家的醫藥產品大廠嬌生（Johnson & Johnson），近期釋出了全球首支只需施打一劑、且冷藏保存即可的COVID-19疫苗，嬌生資訊長Jim Swanson在今年Nvidia全球GPU技術大會（GTC）中表示，疫苗在短短一年半就研發成功的一大關鍵，正是AI結合數位分身的運用，先透過虛擬軟體模擬分子架構，再透過AI驗證模擬結果，大幅將疫苗生產效率提升4倍；也不只是疫苗，嬌生在製藥業、醫療裝置開發、顧客端的健康照護、連內部運作都大規模運用AI。嬌生不只讓2千位資料科學家更善用AI，更透過一套作法，要讓13萬員工都具備資料科學素養。</p> <p dir="ltr">Jim Swanson指出，導入AI得先建立一個觀念：「開發AI模型永遠不會一次到位，」從訓練資料、問題的假設、演算法開發等不同環節的選擇，都可能成為模型表現不佳的原因，因此他認為，企業必須建立起資料科學的迭代學習方法，而第一步，就從問對問題開始，找出試圖透過AI來回答或解決的問題，且要謹記，「如果沒有人可以針對問題建立相應的答案，那就不要去建立模型，一定先把問題找對。」</p> <p dir="ltr">接著，必須建立起一個可以迭代、重複使用的模型開發流程，不只是因為找到問題後，投入AI開發會面臨重複試驗的過程，將開發完成的模型投入使用後，也會不斷找到新的問題，滾動開發新的模型、產生新的洞察。因此，Jim Swanson建議，企業需要具備AI開發的基礎技術架構（technology foundation），包括建立起用於儲存資料與模型的資料庫、能夠快速存取數據的API，甚至是資料偏誤、演算法漂移等監測機制，才有辦法擴大AI開發的規模，比如嬌生自己的作法，是直接採用了市售MLOps解決方案，來建立能夠迭代循環的AI開發流程。</p> <p dir="ltr">藉由建立起一套企業開發AI的基礎技術架構，嬌生要推動資料科學走向民主化，Jim Swanson表示：「嬌生並非擁有一群具高度技術能力的資料科學家，而是建立起AI技術基礎架構，讓資料科學家更能發揮所長。」尤其，確保有一套AI開發技術架構，是擴大AI開發規模時的關鍵任務。</p> <p dir="ltr">同時，嬌生也提出了「雙語資料科學家（bilingual data scientist）」的概念，這邊的雙語資料科學家，指的並非同時具備Python與R語言的技能，而是同時擁有領域知識（Domain Knowledge）以及資料科學、資料工程、軟體工程等技術能力，這也是為什麼嬌生要建立起AI開發的基礎技術架構，如此一來，才能更有效的賦能資料科學家，透過AI開發工具與流程快速建立起AI模型，將領域知識應用到AI開發上，更大規模的實現雙語資料科學家的目標。</p> <p dir="ltr">為了推動資料科學的民主化，嬌生更成立了一個資料科學委員會（Data Science Council），主要負責推動三項任務，第一，持續透過一套AI規劃，找到對的問題來開發AI；第二，建立起可以支撐並加速AI成功上線的技術基礎；第三，不只要找到人才，更要培養企業內的人才成長與獨當一面。尤其在人才的部分，Jim Swanson認為，除了培養資料科學的相關人才，也需要教育實際上採用AI服務的業務人員，使他們樂於接受AI，並且能運用開發完成的AI模型，來輔助業務執行，才能在企業內真正推行AI落地。</p> <p dir="ltr">嬌生目前擁約2,000位資料科學家，但有13.5萬名員工。Jim Swanson指出，要落地AI，必須將數據科學的技術嵌入到業務的工作流程中，同時取得業務單位的反饋來改進模型，加速驅動數據飛輪；不過，若資料科學團隊在企業內成為孤島，與業務單位脫節，就算開發出世界上表現最好的AI模型，業務單位也不願意使用。換句話說，嬌生需要進一步培訓業務人員具備數位能力，更要培養業務單位具備AI的思維，才能讓2,000名員工的研發成果，成功推動13.5萬名員工來使用。</p> <p dir="ltr">除了建立資料科學委員會，嬌生每年也會製作企業影響報告，點出資料科學帶給企業的影響，藉此來喚起員工的注意（awareness），促成更多AI的開發與採用、解決更多困難的問題。且為了集思廣益，嬌生也舉辦企業內的AI黑客松，來徵求提升AI模型預測準確率的點子，也要借此機會將不同領域的專家聚集在一起，一同解決一個重大問題，產出一個具影響力的結果。</p> <p dir="ltr">最後，Jim Swanson企業在導入AI的過程提出三點建議。第一，他認為，無論是剛開始導入AI的企業，或是進階應用AI的企業，都必須要建立起企業自行開發AI的核心能力，就算一開始是採購AI解決方案，後續也需逐漸培養企業內的AI開發技能。其次，是業務單位時常會有擔憂，認為AI可能會影響、甚至取代自己的工作方式，企業應該去理解不願採用AI背後的抗拒心理，來進一步說服業務單位視AI為一種支持，而非取代。第三，則是要在企業內建立敏捷的文化，透過不斷迭代、演進、獲得洞察的方式來學習新知，培養敏捷文化來促進企業成長。</p> </div></div></div>
2021/4/21 11:20作者翁芊儒https://www.ithome.com.tw/news/143953
Visual Studio 2022將在今夏登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟預告最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022/" target="_blank">Visual Studio 2022</a>，將會在今年的暑假發布，供開發者預覽測試。微軟提到，Visual Studio 2022將會比過去更加輕巧易用，而且也是有史以來第一個64位元的Visual Studio，希望帶給開發者更加簡潔且智慧的開發體驗。</p> <p>另外，在過去一年中，由於疫情的關係，開發團隊的地理分布比過去更加分散，微軟表示，開發團隊需要能夠安全且快速地協作。因此新版Visual Studio更好地整合GitHub，讓開發團隊可以輕鬆協作，從構思、程式碼開發，再到雲端上都可以無縫連接。</p> <p>Visual Studio 2022將會是64位元的應用程式，也就是說，devenv.exe程序將不會受限於4gb記憶體，在Windows上執行64位元Visual Studio，即便是複雜且大型的解決方案，開發者都可以高效地編輯、執行和除錯，不用擔心耗盡記憶體。</p> <p>微軟提到，雖然Visual Studio 2022本身為64位元，但這不會改變使用Visual Studio所產生的應用程式類型或是位元數，開發者依舊可以使用Visual Studio 2022開發32位元應用程式。而微軟還強調，他們也強化了工作流程，因此從載入解決方案到F5除錯，每個流程的步驟都會更加順暢高效。</p> <p>微軟也更新了Visual Studio 2022的介面，並且調整一些細節，使得UI更加現代化，以及減少擁擠的感覺，整體而言，微軟的目標是要降低複雜性並減少認知負擔，讓開發者可以將注意力，持續留在正在工作的區域，此外，Visual Studio 2022也改善無障礙設計，使得Visual Studio對所有人都更加友善。</p> <p>介面具體的更改包括更新圖標，提高清晰度、易讀性和對比度，並且使用固定寬度字體Cascadia Code，以增加可讀性和提供連字支援，並且改進產品主題，與Accessibility Insights整合，讓微軟更早發現無障礙問題，而且Visual Studio 2022也使用新的產品圖示。</p> <p>在應用開發方面，Visual Studio 2022與微軟雲端平臺Azure更緊密地整合，使開發者可以快速地建構雲端應用程式，微軟提到，他們將提供大量的儲存庫，這些儲存庫描述常見的應用程式模式，提供像是以基礎設施即程式碼配置Azure資源，或是預建置GitHub工作流程，甚至是在創建專案時，幫助開發者設定完整的CI/CD解決方案。</p> <p>Visual Studio 2022將完全支援.NET 6，Windows和Mac開發者可以以統一的網頁、客戶端和行動應用程式框架開發應用程式，並且使用跨Windows、Android、macOS和iOS平臺的App UI開發框架MAUI，以及使用ASP.NET Blazor網頁技術，和.NET MAUI來開發桌面應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/maui.png" style="width: 580px; height: 538px;" /></p> <p>微軟強化Visual Studio 2022的協作能力，在Live Share功能加入文字聊天功能，可以讓開發團隊針對程式碼進行對話，不需要切換使用其他通訊程式，並且也能配置重複使用的協作對話，簡化經常性的協作工作。Visual Studio中的AI IntelliCode引擎，會智慧地預測開發者的行為，使得開發工作流程更加順暢。</p> <p>在Mac上，微軟也預計推出Visual Studio 2022 for Mac，官方提到，他們目標是要替Mac量身訂做現代化.NET IDE，他們正在移植Visual Studio for Mac使用原生macOS UI，以提供更好的效能與可靠性，如此Visual Studio for Mac也就能使用macOS內建的無障礙功能，而且微軟還要讓Mac版本與Windows版本的Visual Studio，在選單和用語上更加一致。</p> </div></div></div>
2021/4/21 10:32作者李建興https://www.ithome.com.tw/news/143949
Nvidia新AI模型可用一張照片，將物體快速轉換成3D模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia開發了一種新的深度學習引擎<a href="https://blogs.nvidia.com/blog/2021/04/16/gan-research-knight-rider-ai-omniverse/" target="_blank">GANverse3D</a>，可以將標準的2D圖像，轉換成3D物體模型，並且作為虛擬協作模擬平臺Nvidia Omniverse的擴充套件使用，將3D模型渲染成光影逼真的樣子。</p> <p>Nvidia人工智慧實驗室所開發的GANverse3D應用程式，能將平面的圖像轉成逼真的3D模型，並在虛擬環境進行視覺化與操作控制，官方提到，這項功能可以讓建築師、創作者、遊戲開發者和設計師，在不需具備3D建模的專業知識下，簡單地將物件加到3D場景中。像是使用單張汽車照片，就可以創建出3D模型，該模型可以在虛擬場景中行駛，並且配備逼真的前燈、尾燈和方向燈等配備。</p> <p>在開發GANverse3D的過程，由於缺乏訓練資料，於是研究人員便將生成對抗網路（GAN）轉變成為高效能的資料產生器，用來生成同一物體，但是由不同方向觀看的圖片，這些圖片就像是攝影師繞著車輛，從不同角度拍攝的一樣。</p> <p>這些多重視角的圖片，被插入到反轉圖像（Inverse Graphics）用的渲染框架中，在經過這些圖片訓練後，GANverse3D只需要單張2D圖像就可快速創建出3D模型，這些模型可以被用於3D神經渲染器上，供開發人員控制自定義物件和變換背景。</p> <p>Nvidia研究人員Jun Gao提到，因為這些訓練資料都是真實的圖像，而不是依賴典型的資料合成方法，讓人工智慧模型可以更廣泛地在真實世界中應用。</p> </div></div></div>
2021/4/21 10:35作者李建興https://www.ithome.com.tw/news/143950
廣達傳遭勒索軟體REvil攻擊，歹徒要脅蘋果購回外洩產品資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在今天凌晨的Spring Loaded大會上，公布iPad Pro、iMac等新品的同一天，<a href="https://www.bleepingcomputer.com/news/security/revil-gang-tries-to-extort-apple-threatens-to-sell-stolen-blueprints/" target="_blank">BleepingComputer</a>報導，近日廣達遭勒索軟體REvil攻擊，而在它拒絕支付贖金後，歹徒轉向廣達重要客戶之一蘋果勒索，換取不公開Mac電腦等產品資料。</p> <p>根據媒體報導，REvil入侵廣達後取得「大量機密資料」，歹徒號稱已持有所有廣達代工的蘋果產品，以及員工與客戶資料等。根據REvil的支付網頁，歹徒要求廣達在一定期間內支付價值5千萬美元的贖金，在4月27日期限後，贖金就翻倍來到1億美元。歹徒揚言，若未能收到贖金，這批資料將於日後出售及公布。</p> <p>廣達是全球第二大ODM，擁有蘋果、HP、Dell、思科等客戶。廣達為蘋果代工產品包括Apple Watch、MacBook Pro及MacBook Air等。</p> <p>根據報導，在廣達交涉贖金的時間一到，REvil在其網站上公布了一批MacBook元件的產品設計圖，不過似乎不是新產品。</p> <p>報導也指出，在廣達拒絕交涉後，REvil背後的駭客組織轉向威脅蘋果，得在5月1日以前付贖金買回遭外流的產品資料，並表示他們「正和許多知名品牌洽談出售大量機密設計圖，以及數GB的個人資料。」</p> <p>廣達及蘋果都未對此消息回應。</p> <p>這是臺灣電腦產業最新一起遭勒索軟體攻擊事件。在此之前，<a href="https://www.ithome.com.tw/news/141011" target="_blank">仁寶</a>、<a href="https://www.ithome.com.tw/news/141517" target="_blank">鴻海</a>、<a href="https://www.ithome.com.tw/news/141273" target="_blank">研華</a>都傳出疑似攻擊。<a href="https://www.ithome.com.tw/news/143355" target="_blank">宏碁</a>以及日月光旗下的歐洲<a href="https://www.ithome.com.tw/news/143692" target="_blank">EMS Asteelflash</a>也在今年3、4月傳出，遭REvil感染並勒索5000萬和2400萬美元。</p> </div></div></div>
2021/4/21 10:55作者林妍溱https://www.ithome.com.tw/news/143958
GitHub頒發徽章給協助NASA獨創號開發的貢獻者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NASA的火星無人直升機獨創號（Ingenuity）成功在4月19日於火星上首次試飛，獨創號的重要性在於，這是人類歷史上第一架在其他星球上的動力可控飛行器，而促使這項計畫成功的要素，除了NASA與JPL（Jet Propulsion Lab）科學家之外，還有包括許多來自世界各地的開源人。</p> <p>將近12,000名GitHub上的開發者，會在自己的個人資料上看到<a href="https://github.blog/2021-04-19-open-source-goes-to-mars/">新的表揚徽章</a>，GitHub提到，在平臺上有將近12,000名開發人員貢獻獨創號的軟體，不過這之中有許多人，並不知道自己幫助了火星直升機首航。</p> <p>為了彰顯這些貢獻，GitHub與JPL合作，針對獨創號所使用的開源專案和函式庫，給予特定版本貢獻人員Mars 2020 Helicopter Mission徽章，該徽章會出現在開發人員的GitHub個人資料上。JPL所使用的專案包括SciPy、Linux以及F Prime等。</p> <p>隨著GitHub新增的各種徽章，官方也趁這次機會在GitHub上引入成就系統，目前的成就除了包括Mars 2020 Helicopter Mission徽章外，還有之前GitHub封存開源專案至北極圈，所頒發給相關開發者的Arctic Code Vault徽章，還有透過GitHub Sponsors資助開源工作的徽章。</p> </div></div></div>
2021/4/21 09:49作者李建興https://www.ithome.com.tw/news/143944
資安一周第142期：軟體測試服務商遭駭恐影響3萬企業用戶。駭客鎖定上網搜尋商業文件人士散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">4/15-4/21 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃軟體開發</strong></span></h3> <h2><strong style="vertical-align: top;">軟體測試服務業者Codecov被駭，恐影響P&G、GoDaddy等近3萬家客戶</strong></h2> <p>繼SolarWinds攻擊事故後，美國再度出現重大供應鏈攻擊事件而受到當局關切！軟體開發測試服務業者Codecov於4月15日，公布約在1月31日遭到駭客入侵。由於該公司擁有2.9萬家客戶，包含軟體商Atlassian、民生用品大廠P & G、網域服務管理商GoDaddy，以及華盛頓郵報等，聯邦政府已介入調查。</p> <p>至於遭駭管道為何？Codecov表示是建立Docker映像檔的過程存在瑕疵，導致Bash Uploader程式碼遭未經授權存取及竄改，恐有大量企業資訊遭竊取。該公司呼籲用戶，應儘速重設CI環境與Bash Uploader相關的憑證資訊。<strong><a href="https://www.ithome.com.tw/news/143917">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/142-1-Codecov-incident.png" style="width: 400px; height: 240px;" /></p> <p><span style="color:#808080;">圖片來源：Codecov</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃木馬程式攻擊＃合法網路服務濫用</strong></span></h3> <h2><strong style="vertical-align: top;">駭客鎖定上網搜尋商業文件人士，散布SolarMarker RAT木馬</strong></h2> <p>資安廠商eSentire於4月13日，揭露駭客濫用10萬個Google協作平臺網站，鎖定想要使用Google搜尋取得商業文件、表單的專業人士，散布SolarMarker RAT木馬程式。一旦使用者點擊這些駭客安排的搜尋結果，就有可能從上述的Google協作平臺網站，被引導到惡意網頁下載木馬程式。</p> <p>這些駭客設立於Google協作平臺的網站，包含流行的商業用語及特定關鍵字，使得Google給予PageRank高分，並將它們列於搜尋結果的最前面。<strong><a href="https://www.ithome.com.tw/news/143889">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃容器安全 </strong></h3> <h2><strong style="vertical-align: top;">Kubernetes的Go程式庫爆重大漏洞，恐導致DoS攻擊</strong></h2> <p>Palo Alto Networks公司旗下的資安研究單位Unit42，揭露在Kubernetes的Go程式庫container/storage，存在重大漏洞CVE-2021-20291，一旦使用者從儲存庫（Registry）拉取惡意映像檔時，便會因為該漏洞對CRI-O及Podman容器引擎發動DoS攻擊，甚至可能波及容器基礎架構Kubernetes和Red Hat OpenShift。<strong><a href="https://www.ithome.com.tw/news/143887">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網站側錄＃電子商城＃加密貨幣</strong></span></h3> <h2><strong style="vertical-align: top;">北韓駭客Lazarus鎖定電子商城發動網站側錄攻擊，目標是竊取加密貨幣</strong></h2> <p>線上購物的網站側錄攻擊情況不時出現，駭客從中竊取信用卡等交易資料，但改用加密貨幣購物的消費者也要留意。威脅情報業者Group-IB揭露北韓駭客Lazarus新型態的攻擊手法，他們改造原本側錄信用卡資料的工具，鎖定可使用加密貨幣付款的電商網站下手，來竊取加密貨幣。Group-IB也呼籲電商網站，要小心防範相關的網站竄改攻擊。<strong><a href="https://www.ithome.com.tw/news/143885">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/142-2-Lazarus-webskimming-cryptocurrency.png" style="width: 400px; height: 193px;" /></p> <p><span style="color:#808080;">圖片來源：Group-IB</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃TCP/IP</strong></h3> <h2><strong style="vertical-align: top;">4個TCP/IP堆疊程式庫存在9個漏洞，1億連網裝置曝險</strong></h2> <p>物聯網資安業者Forescout與JSOF Research聯手，揭露有關TCP/IP堆疊程式庫的一系列漏洞Name:Wreck，其中包含的9個漏洞，幾乎都與處理DNS流量的功能有關，最嚴重者CVSS風險指標為9.8分。含有相關漏洞的程式庫是FreeBSD、Nucleus NET、IPnet，以及NetX。</p> <p>研究人員指出，採用上述程式庫的裝置至少有100億臺，假設1%裝置含有相關漏洞，存在相關風險的裝置就約有1億個。<strong><a href="https://www.ithome.com.tw/news/143847">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/142-3-TCPIP-IoT-DNS-vuln.png" style="width: 400px; height: 184px;" /></p> <p><span style="color:#808080;">圖片來源：Forescout</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃瀏覽器 </strong></span></h3> <h2><strong style="vertical-align: top;">研究人員接連公開Chrome未修補漏洞的PoC工具</strong></h2> <p>在Pwn2Own 2021漏洞挖掘競賽中，有2名資安研究人員找到Chrome瀏覽器的JavaScript引擎V8的漏洞並通報Google，尚且沒有對外公開細節。但不到1個星期，另一名研究員<a href="https://www.ithome.com.tw/news/143818">Rajvardhan Agarwal於4月13日公布概念性驗證（PoC）工具</a>，Google得知後緊急推出修補程式。</p> <p>事隔一天，又有一名研究人員對於不同的漏洞（Issue 1195777）發布PoC工具，並錄下透過該漏洞開啟記事本軟體的影片。Google和微軟隨後也對於旗下瀏覽器予以修補。<strong><a href="https://www.ithome.com.tw/news/143851">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃即時通訊軟體＃雙因素驗證 </strong></span></h3> <h2><strong>WhatsApp雙因素驗證瑕疵恐讓使用者停用他人帳號</strong></h2> <p>雙因素驗證機制雖然能降低帳號遭不當存取的現象，但流程規畫的考量若是不夠嚴謹，也讓有心人士能毀掉正常使用者的帳號。根據富比士的報導，兩名研究人員Luis Márquez Carpintero與Ernesto Canales Pereña發現，WhatsApp的雙因素認證機制有被濫用的風險，攻擊者只要持續輸入他人的電話號碼與錯誤的驗證碼，再寄送電子郵件告知WhatsApp因手機遺失要求停用帳號，該帳號將會直接被停用，並於30天後移除。</p> <p>富比士引用ESET資安專家Jake Moore的看法，表示這種情況令人擔憂，因為只要輸入電話號碼，就能確認WhatsApp用戶是否存在，且WhatsApp並未表明要修補這項瑕疵。<strong><a href="https://www.ithome.com.tw/news/143804">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃行動裝置 </strong></span></h3> <h2><strong style="vertical-align: top;">德國手機廠商Gigaset安卓系統更新檔案被植入惡意軟體</strong></h2> <p>今年初<a href="https://www.ithome.com.tw/article/142291">臺灣大哥大貼牌Amazing A32手機出廠遭植入惡意程式</a>，近日德國手機廠商也出現類似狀況。根據Bleeping Computer、The Hacker News、PortSwigger等新聞媒體報導，德國手機廠商Gigaset近期傳送惡意軟體到用戶手機。而這起事件的原由，Gigaset公布相關調查結果，是負責更新的外部供應商伺服器遭到駭客入侵。<strong><a href="https://www.ithome.com.tw/news/143816">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃資料外洩＃SSL VPN</strong></span></h3> <h2><strong style="vertical-align: top;">卡普空公布勒索軟體攻擊事故調查結果</strong></h2> <p>日本電玩遊戲開發商卡普空（Capcom）於2020年11月遭勒索軟體攻擊，部分網路服務斷線。近期卡普空公布調查結果，該公司為了因應武漢肺炎疫情的流量增加，本該汰換的舊VPN裝置被留下來作為緊急備援，其中1臺成為駭客的攻擊目標，於2020年10月遭到攻擊，進而災情擴大到美國及日本使用舊款VPN裝置的分公司，導致資訊外洩。<strong><a href="https://www.ithome.com.tw/news/143853">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃加密貨幣＃KYC</strong></span></h3> <h2><strong style="vertical-align: top;">虛擬通貨業者強制實施KYC，將於7月實施</strong></h2> <p>根據<a href="https://ctee.com.tw/news/finance/444769.html">工商時報</a>、<a href="https://money.udn.com/money/story/5613/5402269">經濟日報</a>、<a href="https://www.cna.com.tw/news/afe/202104200361.aspx">中央社</a>等媒體報導，為了防範虛擬貨幣平臺成為洗錢的管道，<a href="https://gazette2.nat.gov.tw/EG_FileManager/eguploadpub/eg027064/ch01/type1/gov01/num1/Eg.htm">行政院在4月7日發布行政命令</a>，將虛擬通貨平臺納入洗錢防制的範圍，加密貨幣和數位資產市場相關業者，包括顧問行銷公司、平臺和交易所等，自7月1日起須落實認識客戶（KYC），以及實地查核、交易監控及通報等洗錢防制義務。換言之，相關業者必須在該命令生效前，通知所有客戶重新開戶，否則屆時將無法交易，或將加密貨幣匯兌成法定貨幣。</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/143909">Project Zero更新漏洞揭露政策，提供30天修補緩衝期</a><br /> ●<a href="https://www.ithome.com.tw/news/143919">多家大型IT業者合作夥伴Positive Technologies遭美國制裁</a><br /> ●<a href="https://www.ithome.com.tw/news/143829">Brave、DuckDuckGo、Vivaldi封鎖FLoC廣告投放技術</a><br /> ●<a href="https://www.ithome.com.tw/news/143918">ioXt聯盟擴大認證範圍，納入物聯網行動程式與VPN服務</a></h3> </div></div></div>
2021/4/21 09:50作者周峻佑https://www.ithome.com.tw/news/143955
英國財政部與英格蘭銀行攜手成立中央銀行數位貨幣專案小組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國財政部（HM Treasury）與英格蘭銀行（Bank of England）<a href="https://www.bankofengland.co.uk/news/2021/april/bank-of-england-statement-on-central-bank-digital-currency" target="_blank">周一（4/19）宣布</a>，共同成立中央銀行數位貨幣（Central Bank Digital Currency，CBDC）專案小組，以探尋英國發行CBDC的可能性，目前的計畫是讓CBDC與現金並行，而非以數位貨幣來取代現金。</p> <p>英格蘭銀行為英國的中央銀行，該行表示，它們尚未決定是否要在英國推出數位貨幣，但將與利益相關者互相交流，廣泛評估數位貨幣所能帶來的好處與風險。</p> <p>CBDC專案小組將會探索CBDC的目標、使用案例、機會與風險，同時規畫它的功能，對CBDC的所有可能性進行全面與嚴格的評估，監控全球CVDC的發展，以確保英國保持在全球創新的前線。</p> <p>該專案小組將由央行副行長Jon Cunliffe以及財政部金融服務總監Jon Cunliffe共同負責，成立專案小組之餘也設立了CBDC交流論壇及CBDC技術論壇，以用來集思廣益，未來亦將於央行內部設立新的CBDC部門，除了研究與評估CBDC之外，也將作為英國與其它國際金融組織針對CBDC進行交流的窗口，該部門亦由Cunliffe負責。</p> <p>中國應是全球最早涉足數位貨幣的國家之一，該國在2014年便開始推動數位人民幣（E-CNY），迄今已於深圳及北京等多個城市進行測試，允許消費者以數位貨幣交易，不過，本周<a href="https://www.cnbc.com/2021/04/19/china-may-trial-digital-currency-with-foreign-visitors-at-beijing-olympics.html" target="_blank">中國人民銀行副行長李波</a>於本周開幕的博鰲亞洲論壇上透露，預計於明年2月在北京舉行的冬季奧運會將不僅限於中國民眾，也會開放國際選手與遊客使用數位人民幣。</p> </div></div></div>
2021/4/21 10:09作者陳曉莉https://www.ithome.com.tw/news/143957
瞄準企業專網商機，中華電信聯手高通、筆電廠共推Arm架構筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瞄準企業專網商機，看準企業員工行動連網辦公需求，中華電信與高通、筆電廠商聯手，推廣採用高通Snapdragon行動平臺，可支援4G或5G網路，擁有長時間續航力的Arm架構筆電。</p> <p>中華電信今天（4/20）與高通、微軟、宏碁、華碩、精英、英華達等業者合作，宣布共同成立「企業數位轉型行動陣線」，鎖定企業轉型需求，推廣5G專網，以及搭載高通Snapdragon平臺，具備4G或5G連網能力，常時連網（Always connect）、常時啟動（instant on），擁有長時間電池續航力的Arm架構筆電，以滿足企業的行動工作需要。</p> <p>中華電信行動通信分公司總經理簡志誠表示，中華電信現在正和多家企業合作，已展開超過30項5G專網垂直場域專案，其中一部分是學校單位，也有不少製造業。5G的高速、低延遲、大規模連結，5G專網不僅是讓生產設備等「物」要能連網，員工的「人」連網也相當重要，其中筆電就是讓員工連網的重要工具。</p> <p>因此，中華電信和高通、筆電相關業者合作，推廣Arm架構筆電，有別於一般筆電，這些筆電均採用高通Snapdragon行動平臺，搭載Windows 10 on Arm作業系統，如同手機可連接4G或5G行動網路，且具備常時連網、常時啟動，以及多達數天的電池續航力。</p> <p>例如微軟在現場展示Surface Pro X商務版，為微軟首款Arm架構的2合1筆電，採用可拆卸式的分離鍵盤設計，兼顧筆電及平板的彈性使用需求，該款筆電搭載微軟與高通合作的Microsoft SQ1處理器，續航力可達13小時，特別的是，Surface Pro X商務版內建SIM卡插槽，可連接4G LTE網路。</p> <p>宏碁則是展示一款14吋可翻轉筆電Acer Spin 7，螢幕可360度翻轉使用，搭載高通Snapdragon 8cx行動平臺，整合Snapdragon X55數據機及射頻模組，可支援毫米波（mmWave）及Sub 6GHz的5G頻段，宣稱連網下載速度最高可達到7.5GHz，而電池續航力可達到約29小時。</p> <p>另一家筆電代工業者，精英展示半強固型設計的11.6吋常時連網筆電，搭載Snapdragon 7c行動平臺，為適合工廠等複雜生產環境下使用，這款筆電除了採用強固設計，增加筆電的耐用性，周邊I/O連接介面也採用防塵防潮溼設計，並設計隱藏式的提把，方便筆電攜帶，螢幕翻轉後，可當成平板電腦使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4908.jpg" style="width: 600px; height: 399px;" /></p> <p>過去在微軟Windows系統的支持之下，微軟曾和高通、筆電廠商合作推廣Arm架構筆電，但因為軟體應用相容性不足，並沒有成功在筆電市場佔有一席之地。</p> <p>中華電信並不諱言，過去Arm架構筆電曾因為軟體相容性問題，導致這類產品最後並沒有成功，但該公司相信目前Arm架構處理器效能逐漸提升，加上微軟Windows 10 on Arm克服若干的軟體相容性問題，加上主流的Intel筆電較為耗電，現在擁有較長電池續航力、行動連網能力的Arm架構筆電變得更為成熟，可滿足企業在專網內的移動工作需求，因此和高通、筆電業者合作推廣。</p> <p>值得注意的是，高通雖然已推出Snapdragon 8cx行動運算平臺，可支援5G行動網路，但由於該運算平臺的成本仍較高，故不論是現場展示的微軟Surface Pro X商務版，或是精英的半強固型Arm架構筆電，都以支援4G LTE為主，企業若要採購可支援5G的Arm架構筆電可能還要再等等。 </p> </div></div></div>
2021/4/20 18:56作者蘇文彬https://www.ithome.com.tw/news/143951
英國決定出手干預Nvidia與Arm併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Nvidia與Arm的併購案，英國數位暨文化大臣Oliver Dowden周一（4/19）<a href="https://www.gov.uk/government/news/digital-secretary-instructs-cma-to-look-into-nvidias-takeover-of-arm" target="_blank">發布了「公共利益干預通知」（ Public Interest Intervention Notice，PIIN）</a>，要求英國競爭與市場管理局（Competition and Markets Authority，CMA）對此一交易展開評估，並於7月30日前交出評估報告，之後Dowden再決定是否放行該交易或進行下一階段的調查。</p> <p><a href="https://www.ithome.com.tw/news/139974" target="_blank">Nvidia在去年9月宣布</a>將以400億美元買下軟銀旗下的Arm，<a href="https://www.ithome.com.tw/news/140057" target="_blank">打算藉由此一併購案</a>進入Arm的生態體系，入主CPU/資料中心市場，以及結合兩者資源建立邊緣AI帝國。</p> <p>英國的數位大臣握有干預涉及公共利益之併購案的權力，Dowden說，總部位於英國劍橋的Arm為全球半導體產業的主要業者之一，且半導體不僅是人工智慧、量子運算到5G等技術的基礎，也是英國國家基礎設施的根本，被應用在國防與國家安全相關技術中。</p> <p>為了了解該併購案是否可能危及英國的國家安全，Dowden透過該通知要求CMA展開評估，評估的範圍從競爭、管轄權到國家安全等。第一階段的評估得在7月30日以前完成。</p> <p>之後Dowden即可根據報告決定是否要放行該交易，或者要求CMA進行第二階段的調查，這時的調查焦點將會以競爭及國家安全為主。英國數位部並未設定此一決定的期限，但會儘快作出決定以降低不確定性。</p> <p>從英國所發布的新聞稿來看，該國最擔憂的其實是Nvidia買下Arm是否會危及英國的國家安全，因為一旦排除此一疑慮，該交易就會被視為普通的併購案來處理。</p> </div></div></div>
2021/4/20 16:29作者陳曉莉https://www.ithome.com.tw/news/143945
微軟Edge、Firefox也暫不加入Google FLoC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google的新式廣告投放／用戶追蹤技術FLoC，似乎面臨孤掌難鳴的局面。除了較小型的瀏覽器業者外，連微軟、Mozilla都直接或間接表示，暫時不會實作FLoC。</p> <p><a href="https://www.theverge.com/2021/4/16/22387492/google-floc-ad-tech-privacy-browsers-brave-vivaldi-edge-mozilla-chrome-safari" target="_blank">上周在被問及</a>是否會在Chromium Edge瀏覽器中，實作Google倡議的FLoC時，微軟並未正面回答。微軟指出，公司不支持蒐集非經用戶同意的使用者身份訊號，像是瀏覽器指紋的廣告方案，該公司將持續研究不需個別使用者身份、及仰賴用戶許可及第一方cookie的ID方案。<a href="https://github.com/WICG/privacy-preserving-ads/blob/main/Parakeet.md" target="_blank">微軟最近發表名為PARAKEET的方案</a>。對此媒體解讀為，現階段微軟不會跟從Google的作法。</p> <p>不過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-disables-googles-floc-tracking-in-microsoft-edge-for-now/" target="_blank">BleepingComputer</a>引述消息人士報導，微軟計畫先觀察Google FLoC的發展，再決定會押寶在哪些方案上。</p> <p>另一方面，Mozilla則明確告知The Verge，該公司目前正在評估多種保護隱私的廣告方案，包括Google推的方案，但目前並沒有計畫要實作。Mozilla表示，他們不認為廣告產業需要數十億用戶資料，才能發送高相關性的廣告，這也是何以Firefox一天封鎖數十億廣告追蹤器的原因。</p> <p>至於另一主要瀏覽器Safari，蘋果官方尚未對此發言。不過Safari智慧追蹤防護功能團隊成員John Wilander被問及Webkit/Safari對FLoC的態度時，<a href="https://twitter.com/johnwilander/status/1381699191609561088" target="_blank">Wilander表示</a>，蘋果「沒說會實作」，而且蘋果有自己的追蹤防護政策。他表示這是目前的決定，但「嚴謹的標準草案需要好好思考，也感謝Brave分享他們的草案」。</p> <p>上周較小型的瀏覽器業者如<a href="https://www.ithome.com.tw/news/143795" target="_blank">Brave</a>、Vivaldi、搜尋業者<a href="https://www.ithome.com.tw/news/143829" target="_blank">DuckduckGo</a>及內容管理軟體平臺<a href="https://www.ithome.com.tw/news/143922" target="_blank">Wordpress</a>，則先後表態會以技術實作封鎖FLoC。</p> </div></div></div>
2021/4/20 16:55作者林妍溱https://www.ithome.com.tw/news/143946
美國第二大汽車保險業者Geico官網含漏洞，允許駭客竊取客戶駕照號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國第二大汽車保險業者Geico在4月上旬，<a href="https://oag.ca.gov/system/files/DL3_IndNoticeLttr_CA_Redacted.pdf" target="_blank">公告了該平臺的資料外洩事件</a>，指出在今年的1月21日到3月1日間，駭客利用官網的線上銷售系統漏洞，盜走了客戶的駕照號碼，而且相信駭客可能會利用這些資訊，以受害者的名義來申請失業救濟金。</p> <p>Geico約有1,700萬張保單，該公司並未說明漏洞細節，也未公布受害人數，僅強調外洩的資料只有客戶的駕照號碼，且在察覺問題之後，已立即找出漏洞並予以修補。</p> <p>此外，Geico還特別提醒客戶，若收到各州失業部門的任何郵件時，都應該仔細檢查，並在發現異樣時直接與該部門聯繫。</p> </div></div></div>
2021/4/20 17:17作者陳曉莉https://www.ithome.com.tw/news/143947
臉書大興聲音服務：聲刺、播客、語音聊天即將上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書本周揭露了該平臺一系列與聲音有關的服務，從聲音編輯工具、聲刺（Soundbites）、播客、現場語音聊天室（Live Audio Rooms），一直到替聲音創作者設計的獲利模式，摩拳擦掌地準備在該領域大展身手。</p> <p>在工具上，臉書打算替使用者建立一個虛擬錄音室，讓使用者能夠在所敘述的故事中，嵌入由臉書所蒐集的背景音樂，或是導入各種音效，變聲或過濾等。</p> <p>至於聲刺為傳播用語，指的通常是採訪或電視節目中的原音播放，可能是口號、名言、幽默的短句、詩詞或評論，有些聲刺還會變成流行語，例如泛舟哥的那句「颱風天就是要泛舟啊，不然要幹嘛？」臉書決定把聲刺當成新的社交語音格式，計畫在未來幾個月開始，與不同的創作者實驗各種聲刺的概念，目前尚不確定聲刺的未來會如何發展，但臉書認為此一新格式的可能性是無限的。</p> <p>對於日益蓬勃的播客，臉書上雖然已有數十萬個與播客有關的粉絲頁，以及逾3,500萬名播客粉絲，但這些粉絲要聆聽播客節目時，還是必須連至臉書之外。未來幾個月臉書將讓使用者可直接從臉書程式上聽取播客，而且可於背景中執行，未來臉書首頁也將新增播客標籤，讓使用者更容易挖掘新的播客內容。</p> <p>因Clubhouse而竄紅的語音聊天功能也在臉書此波的規畫內，預計今年夏天之前測試現場語音聊天室，邀請知名人士擔任聊天室的主持人，初期將率先於社團中測試語音聊天室，之後再擴大至Messenger。</p> <p>不只是邀請創作者來打造聲刺、播客或主持聊天室，臉書也替相關的服務設計了獲利模式，一開始出場的是既有的打賞機制「臉書星星」（Facebook Stars），觀眾／聽眾可以購買星星捐給喜歡的創作者，而創作者所收到的每個星星可以向臉書請領0.01美元。之後臉書還會提供其它收費機制，例如付費訂閱或購買單場聊天室入場券等。</p> </div></div></div>
2021/4/20 15:29作者陳曉莉https://www.ithome.com.tw/news/143941
新鮮不再？Clubhouse下載次數減少了72%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.thewrap.com/clubhouse-monthly-downloads-plunge-72-percent/" target="_blank">The Wrap</a>本周引用行動程式分析平臺Sensor Tower的調查數據，指出Clubhouse在今年3月的下載次數只有270萬次，比2月的960萬次大幅下滑72%，只稍微高出1月的240萬下載次數。</p> <p>2020年4月發表的Clubhouse為一語音聊天平臺，目前僅支援iOS平臺，Clubhouse從未對外揭露用戶數量，但外界估計其用戶數已超過1千萬人。</p> <p>去年5月時，Clubhouse的市值約為1億美元，然而，根據<a href="https://www.reuters.com/technology/clubhouse-closes-new-round-funding-that-would-value-app-4-billion-source-2021-04-18/" target="_blank">路透社</a>的報導，Clubhouse本周完成的C輪增資所計算的市值高達40億美元。</p> <p>Clubhouse並未公布新一輪增資的金額，僅透過<a href="https://twitter.com/joinClubhouse/status/1383828924665262088" target="_blank">Twitter</a>表示，將利用新資金來推動國際業務的成長，開發在地化功能，推出可讓創作者受益的專案，以及擴大社群支援團隊等。</p> <p>不僅Clubhouse程式的下載量下滑，類似的服務亦如雨後春筍般地出現，這幾個月加入語音聊天戰局的服務涵蓋了Discord Stage Channels、Telegram的頻道語音聊天功能、臉書本周發表的Live Audio Rooms，以及Reddit剛剛上線測試的<a href="https://www.reddit.com/r/modnews/comments/mu3f0x/lets_talk_get_a_sneak_preview_of_reddit_talk_and/" target="_blank">Reddit Talk</a>，而且多半還強化了Clubhouse既有的功能，Clubhouse未來的競爭力值得觀察。</p> </div></div></div>
2021/4/20 15:42作者陳曉莉https://www.ithome.com.tw/news/143942
Juniper OS重大漏洞恐引發設備斷線或被劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路設備商Juniper發布安全公告，以修補作業系統Junos OS一項可能引發設備斷線或執行任意程式碼的漏洞。</p> <p><a href="https://kb.juniper.net/InfoCenter/index?page=content&id=JSA11147" target="_blank">CVE-2021-0254</a>是Juniper設備底層作業系統Junos OS上的緩衝區大小檢驗（buffer size validation）漏洞。問題出在overlayd精靈程式處理傳到覆蓋網路的Overlay OAM（Operations, Administration, and Maintenance）封包，例如ping或traceroute時檢查不當，導致緩衝溢位。由於該服務預設以根權限執行，可在port 4789聽取UDP連線內容，攻擊者可傳送惡意封包觸發漏洞，造成遠端程式碼執行（RCE），或是部份阻斷服務（Denial of Service，DoS）。RCE最嚴重可讓攻擊者劫持這臺系統。封包回條及封包處理情形持續，將導致DoS的情形時間拉長。</p> <p>本漏洞CVSS 3.1風險層級達9.8，屬重大風險。</p> <p>Overlayd服務在Juniper MX、ACX和QFX系列平臺上預設執行，是最主要的受影響產品，其他平臺若設定了VXLAN（Virtual Extensible LAN）覆蓋網路者也將曝險。</p> <p>這項漏洞影響Junos OS眾多版本，包括15.1X4、15.1、17.3、17.4、18.1、18.2、18.3、18.4、19.1、19.2、19.3、19.4、20.1、20.2和20.3。Juniper也已分別針對這些版本釋出了更新版。</p> <p>如果企業用戶來不及安裝修補程式，Juniper建議設備存取表或防火牆過濾名單，僅允許來自信賴網路及主機的UDP連線，此外，也最好關閉Overlay OAM封包。</p> </div></div></div>
2021/4/20 16:05作者林妍溱https://www.ithome.com.tw/news/143943
臉書新功能允許用戶將貼文內容匯入Google、Wordpress
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書昨（19）日<a href="https://about.fb.com/news/2021/04/transfer-your-facebook-posts-and-notes-with-our-expanded-data-portability-tool/" target="_blank">推出新功能</a>，允許用戶將平臺貼文輸出到Google Docs、Blogger或Wordpress.com等第三方平臺。</p> <p>這功能屬於2018年臉書和其他大廠合推的跨平臺資料可攜計畫「Data Transfer Project」的一環，讓用戶可自由將資料搬到其他服務和平臺。包括Google、蘋果、微軟和推特<a href="https://www.ithome.com.tw/news/124698" target="_blank">都加入了這項計畫</a>，也分別推出類似的資料輸出工具。</p> <p>臉書表示，今天宣布的資料可攜功能，是<a href="https://www.ithome.com.tw/news/139804" target="_blank">去年相片輸出功能</a>的延伸，後者允許用戶將相片和影片搬到Blackblaze、Dropbox、Google Photos及Koofr上。</p> <p>因應可攜資料的格式擴增，臉書也將提供的工具改名為「傳輸你的資訊（Transfer Your Information）」。臉書強調這項工具設計考慮隱私、安全及功能性。使用這項工具時，臉書會再度要求用戶輸入密碼，驗證完成後始可啟動。</p> <p>這項功能可在臉書「設定」中的「你的臉書資訊」選單下。依循提示即可完成傳輸，服務之間的傳輸提供加密防護。</p> <p>資料匯出功能也讓臉書符合美國加州消費者隱私法，以及歐盟的GDPR，兩項法律都要求企業允許使用者以可讀格式將個人資訊輸出。</p> </div></div></div>
2021/4/20 14:54作者林妍溱https://www.ithome.com.tw/news/143939
臉書補了可讓駭客刪除直播影片的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書近日在研究人員通報後，修補了一項可讓有心人士刪除用戶直播影片的漏洞。</p> <p>這項漏洞是由研究人員<a href="https://infosecwriteups.com/poc-remove-any-facebooks-live-video-14-000-bounty-70c8135b7b4c" target="_blank">Ahmad Talahmeh通報</a>。該漏洞出在臉書平臺上一項用戶從直播影片移除不必要內容的功能上。</p> <p>當用戶結束直播後，他可設定起、迄兩個時戳來剪除這部份影片。原本只有使用者可以執行刪除，但研究人員發現一項瑕疵，讓有心人士可以將影片刪掉。這個漏洞發生在，當剪除影片到5毫秒以下時，會造成影片變成0秒，而原用戶無法回覆。</p> <p>Talahmeh還公布了概念驗證手法。只要取得目標直播影片ID以及用戶ID，偽冒這項服務的呼叫指令，將影片終止的時間點改為5毫秒以下，再送出呼叫。雖然這個方法會引發錯誤訊息，不過最後即可成功將影片變成0秒。</p> <p>Talahmeh去年9月底通報臉書後，臉書2個小時內即證實漏洞，並在9月底修補該漏洞。研究人員也因此獲得1.4萬美元抓蟲獎金。</p> </div></div></div>
2021/4/20 15:13作者林妍溱https://www.ithome.com.tw/news/143940
臉書開發新AI技術，找出藥物組合快速打擊複雜疾病
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書與德國Helmholtz Zentrum München研究中心，開發了一種新的藥物研究方法，有助於加速探索新藥組合，以打擊複雜的疾病。研究團隊建立了一個人工智慧模型，該模型可以預測藥物組合、劑量、服藥時機甚至是可採取的介入措施，該團隊現在開源這個稱為<a href="https://ai.facebook.com/blog/ai-predicts-effective-drug-combinations-to-fight-complex-diseases-faster/">CPA（Compositional Perturbation Autoencoder）的模型</a>，其中包括API和Python程式，可方便地供其他組織進一步研究藥物使用。</p> <p>研究團隊提到，事實證明，透過改變現有藥物用途或是組合多種藥物，是一種治療複雜疾病的有效方法，像是治療特定癌症的藥物，也強化了對其他癌症細胞的治療效果。複雜的惡性腫瘤細胞，通常需要藥物雞尾酒療法，對多種細胞類型進行協同攻擊，這種方法不僅可以減少抗藥性，而且也能最大程度減少有害的副作用。</p> <p>但是在現有的藥物中，找到有效的組合和合適的劑量，仍然極具挑戰性，研究人員表示，這些組合幾乎趨近無限多種可能。到目前為止，探索藥物新組合的計算方法，受到資料集中的藥物交互作用資訊限制，而且在高維度分子層級變化時，考量不同的服用劑量與時機等條件，該方法就會失效。</p> <p>而新的CPA是一種新穎的自我監督技術，能夠觀察以有限數量的藥物組合來治療細胞，並且預測未被發現的藥物組合效果，研究人員舉例，像是資料集中包含各種藥物A、B、C和A+B，對不同類型細胞所產生的影響，而CPA模型則能夠透過了解每種藥物對特定細胞類型的個體影響，然後進行重組，以推斷出藥物A+C、B+C，甚至是A+B與C+D的交互作用。</p> <p>藥物研究人員可以使用CPA產生假設，來設計實驗過程，縮小數十億種的選擇範圍，以便在實驗室中進行實驗，研究人員提到，過去通常需要數年的時間以及許多細胞實驗，才能測試100種藥物，在不同劑量與組合的效果，而現在研究人員透過在電腦中模擬，在短短數小時內，就能篩選所有可能的組合，並選擇最佳結果進行驗證。</p> <p>研究人員使用RNA序列資料集來測試CPA模型，這些資料集包含了藥物、劑量和對癌細胞所進行的其他干擾測試結果，結果顯示，CPA模型預測關鍵藥物組合和劑量，對癌細胞造成的影響，與測試資料集的發現相當。</p> <p>研究團隊希望將這項結果，與其他製藥和生物研究人員分享，使其能用於快速找到針對各種疾病的最佳藥物組合，他們釋出了API和Python套件，讓沒有機器學習專業的人員，也可以簡單地輸入資料集並且獲得預測。透過這個人工智慧驅動的工具，研究人員期望能夠更好地治療諸如癌症或是COVID-19等，複雜或是新型疾病。</p> </div></div></div>
2021/4/20 10:22作者李建興https://www.ithome.com.tw/news/143931
微軟測試Android、iOS版Edge，向統一版Edge邁進
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周分別釋出Android及iOS版本Edge，加速向跨桌機及手機版本Edge一致化的目標邁進。</p> <p>微軟在今年3月的Ignite 2021中承諾，將使桌機、Android及iOS等平臺的Edge使用同一套原始程式碼，而也力求跨平臺版本Edge功能一致化。在此之前，它們雖然都叫Edge，採用相同的logo設計，但其實iOS版Edge用的是WebKit繪圖引擎，而Android版用的是Blink，功能也比桌機版本少。</p> <p><a href="https://techcommunity.microsoft.com/t5/articles/microsoft-edge-insiders-and-our-ios-testflight-app/m-p/2272598" target="_blank">上周微軟公布</a>，「即將」透過Apple TestFlight方案，將iOS版Edge App開放給Insiders方案的iOS開發人員。蘋果的TestFlight方案允許App正式發布前，有最多1萬名測試人員試用。微軟表示，這是該公司拉近桌機及手機版App計畫之一環。</p> <p>只要開發人員是TestFlight的會員，只要使用微軟發布最新版本的Testflight App，即可在未來幾周內開始測試。</p> <p>相較iOS版需要等一等，<a href="https://play.google.com/store/apps/details?id=com.microsoft.emmx.canary" target="_blank">微軟同時宣布</a>Android版Edge Canary（測試版）已在Google Play Store上架，供Android開發人員下載試用。</p> <p>最新版Edge Canary是以Chromium 91為底層，效能大幅增加，且具備幾乎所有Google Chrome（同為Chromium）的實驗功能，像是可輕鬆變更首頁設計，例如加入視覺設計的Inspirational模式，或是強調乾淨的Focused模式。</p> </div></div></div>
2021/4/20 09:38作者林妍溱https://www.ithome.com.tw/news/143932
Firefox Nightly和Beta預設啟用QUIC與HTTP/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla<a href="https://hacks.mozilla.org/2021/04/quic-and-http-3-support-now-in-firefox-nightly-and-beta/">宣布</a>在最新的Firefox Nightly和Beta版本中，開始預設啟用QUIC和HTTP/3支援，並且也預計在Firefox 88穩定版中啟用，因此約在5月底的時候，HTTP/3將在Firefox中全面可用。</p> <p>HTTP/3是一種以QUIC為基礎的新版本HTTP，與HTTP/2相比，HTTP/3主要有三項優勢，第一，因為HTTP/3底層使用UDP，因此連接的時間更短，第二，HTTP/3沒有TCP隊頭阻塞的問題，使得串流各自獨立，資料封包的傳遞延遲，不會造成連接中的其他串流變慢，並具有更好的封包遺失偵測和修復能力。另外，QUIC還提供了像是連接搬遷等多種可改善效能和可靠性的功能。</p> <p>只要像是Google或臉書等網頁伺服器提供HTTP/3支援，現在Firefox Nightly和Firefox Beta便會自動嘗試使用HTTP/3，網頁伺服器可以選擇使用Alt-Svc回應標頭，或是以HTTPS DNS記錄來廣播HTTP/3支援。</p> <p>官方提到，客戶端和伺服器端必須都要支援相同的QUIC和HTTP/3草稿版本，才能相互連接，像是Firefox當前支援草案27至32規範版本，因此伺服器也必須在Alt-Svc或HTTPS記錄中，回報對這些版本的支援，Firefox才會嘗試使用QUIC和HTTP/3連接該伺服器，使用者可以從開發工具中，查看Alt-Svc標頭以確認瀏覽器與伺服器，是否正在使用HTTP/3。</p> </div></div></div>
2021/4/20 09:05作者李建興https://www.ithome.com.tw/news/143927
紐約州明定ISP只能向低收入戶收取每月15美元的寬頻費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約州州長<a href="https://www.governor.ny.gov/news/governor-cuomo-signs-legislation-establishing-first-nation-program-provide-affordable-internet" target="_blank">Andrew Cuomo周日（4/18）簽署一項法案</a>，要求ISP業者在提供寬頻網路予當地的低收入戶時，每月只能收取最高15美元的寬頻費用，號稱是全美第一個平價網路規定，估計可造福紐約州的270萬個家庭與700萬個民眾。</p> <p>Cuomo指出，可負擔性為爭取寬頻普及的關鍵問題，許多家庭無法負擔家中的寬頻服務。調查顯示，一個基本的高速網路方案平均價格為每月50美元，在全美年收入低於3萬美元的家庭中，約有43%在家中缺乏網路，就算是年收入介於3萬到5萬美元之間的家庭，也有26%沒有家用網路。</p> <p>若從人種來看，全美只有66%的黑人家庭、61%的西班牙裔家庭、以及53%的美國原住民，居住在可從家中連網的地方，而白人家庭的比例則高達79%。</p> <p>Cuomo解釋，高速網路已成為日常生活的必需品，不管是遠端學習、遠距工作或遠端醫療，在疫情結束後都會持續存在，此一計畫將確保所有的紐約人都能擁有可靠的家用網路服務，且兒童的教育不會因低收入家庭的經濟狀況，而受到影響。</p> <p>就算當地民眾不符合15美元的平價寬頻網路申請資格，紐約州也發表了可負擔之<a href="https://forward.ny.gov/find-affordable-internet-options-new-york-state" target="_blank">寬頻入口網站</a>，以協助當地的低收入戶尋找其它的低價寬頻解決方案。</p> </div></div></div>
2021/4/19 16:36作者陳曉莉https://www.ithome.com.tw/news/143924
Wordpress認為FLoC追蹤機制可能助長歧視，提案從核心預設停用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於各家瀏覽器開始限制第三方Cookie，因此Google打著保護隱私的名號，推出了新的廣告追蹤解決方案FLoC，來滿足精準行銷的需求，不過，眾多組織開始表達反對FLoC，包括不少瀏覽器已經公開表示不支援FLoC，而現在被全球41％網站採用的內容管理系統<a href="https://make.wordpress.org/core/2021/04/18/proposal-treat-floc-as-a-security-concern/">Wordpress</a>，也表達反對FLoC的立場，提案從核心程式碼預設停用FLoC。</p> <p>Google在4月初宣布開始測試新的FLoC（Federated Learning of Cohorts）技術，這是Google系列隱私沙盒提案中的一個項目，讓網站即便不使用第三方Cookie追蹤個人瀏覽行為，也能利用FLoC來對使用者分類，針對使用者的喜好投放廣告。雖然FLoC這個技術是將網路使用分群，避免針對特定個人，進而提高使用者的隱私安全，但是電子前線基金會（Electronic Frontier Foundation，EFF）針對FLoC的技術提出強烈質疑。</p> <p>EFF指出，FLoC主要有兩個問題，指紋識別以及跨上下文洩漏用戶資訊。FLoC的分組機制雖然使得用戶可以隱藏在群組中，但也因為FLoC已經先對使用者分組，因此網站只需要從用戶的FLoC ID開始分析，透過關聯其他資料，反而更容易對特定用戶建立唯一指紋。另外，FLoC還會跨上下文洩漏用戶的資訊，網站可能利用瀏覽歷史記錄的特定資訊，反向推算出某群組使用者的組成，包括女性、黑人以及LGBTQ族群。</p> <p>Wordpress作為內容管理系統的龍頭，核心開發團隊引用<a href="https://www.ithome.com.tw/news/143067" target="_blank">EFF的說法</a>，認為Google的FLoC技術，是一個糟糕的追蹤方法，透過分類使用者的瀏覽習慣，可能會加深在聘僱與房屋租賣等各種面向的歧視，FLoC除了未經使用者同意，和追蹤網站共享資料的隱私問題之外，也讓立法和監管單位難以保護使用者。</p> <p>因此Wordpress核心開發團隊提案將FLoC視為安全疑慮，直接在Wordpress核心中添加停用Wordpress的程式碼，以消除FLoC對種族、性別、LGBTQ、和精神病患等族群，帶來的各種歧視可能性，並且讓想使用FLoC的網站，可以自行在核心程式碼中覆蓋掉過濾器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%20226%20-%20(4)%20Proposal_%20Treat%20FLoC%20as%20a%20security%20concern%20%E2%80%93%20Make%20WordPress%20Core_%20-%20make_wordpress_org.jpg" style="width: 580px;" /></p> <p>之所以Wordpress核心開發團隊提案視FLoC為一個安全疑慮，而不是要管理者等待下一個主要版本再更新，官方解釋，用這種方式處理新功能很不尋常，不過這是為了整體社群利益著想，WordPress 5.8版本預計要等到2021年7月才會發布，但FLoC可能在4月就會推出。</p> <p>目前公開明確反對FLoC技術的瀏覽器包括Vivaldi和Brave，而Safari所使用的排版引擎Webkit開發者John Wilander，也在推特上提到他們不會實作FLoC，而且Webkit有自己的隱私政策，訴求隱私的搜尋引擎DuckDuckGo則推出Chrome擴充套件，讓使用者可以選擇停用FLoC。EFF則是推出了檢查網站，讓用戶可以檢查自己的瀏覽器是不是正在使用FLoC。</p> </div></div></div>
2021/4/19 16:42作者李建興https://www.ithome.com.tw/news/143922
土耳其央行明文禁止以加密資產作為支付工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>土耳其的官方公報《Official Gazette》上周五（4/16<a href="https://www.resmigazete.gov.tr/eskiler/2021/04/20210416-4.htm" target="_blank">）公布了一項有關加密貨幣的規定</a>，禁止當地以加密資產作為支付工具，相關規定將於4月30日生效。</p> <p>根據規定，加密資產不得作為直接或間接的支付工具，且不得有服務直接或間接支援以加密貨幣支付，此外，不管是支付組織或者是電子貨幣機構，都不得提供加密資產的交易、託管、轉移或發行服務。</p> <p>土耳其中央銀行指出，加密資產具備許多風險，包括它們沒有受到任何監管，也缺乏中央監管機關；加密資產市場的變動太過劇烈；匿名性使得它們可能被應用在非法活動上；錢包可能遭盜或非法使用；相關交易不得撤銷。</p> <p>就算已有人提倡要將加密資產應用在支付中，但該行認為相關的行為可能因為上述因素而造成無法彌補的損失，進而破壞人們對現有付款方式與工具的信心。</p> <p>COVID-19疫情讓不少人將加密貨幣視為避險工具，而土耳其里拉（Lira）貨幣持續下滑，甚至在一個月前暴跌超過兩位數，更加速了當地的加密貨幣交易。</p> <p>不確定是否受到此一消息的衝擊，比特幣在上周五的價格從6.4萬美元跌至6萬美元，周末更續跌至5.4萬美元，跌幅達15%。</p> </div></div></div>
2021/4/19 16:17作者陳曉莉https://www.ithome.com.tw/news/143923
遭美國制裁的資安業者Positive Technologies，是微軟、IBM及VMware的合作夥伴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）上周制裁了眾多涉及協助俄羅斯政府干預美國總統大選、或是發動網路攻擊的眾多實體與個人，而美聯社（AP）則發現，遭到制裁的其中一家資安業者Positive Technologies為美國多家大型科技業者的合作夥伴，包括微軟、IBM、VMware與HP等。</p> <p>Positive為上周被美國點名的6家俄羅斯科技業者之一，<a href="https://home.treasury.gov/news/press-releases/jy0127" target="_blank">美國認為</a>這6家科技業者提供了俄羅斯情報服務所需的資源，因而納入制裁。其中的Positive為資安業者，提供網路安全解決方案予俄羅斯及國際間的政府與企業，亦經常舉辦大型的資安會議，並透過這些會議替俄羅斯聯邦安全局（FSB）與俄羅斯情報局（GRU）招募新血。</p> <p>不過，在全球30個國家擁有超過2,000名客戶的Positive，除了擁有包括三星、南韓SK Telecom、英國電信（BT）等知名客戶外，也是美國多家大型科技業者的合作夥伴。</p> <p>例如Positive是微軟主動防護計畫（Microsoft Active Protections Program，MAPP）的合作對象之一，該計畫允許資安業者在微軟釋出安全公告前，取得漏洞與修補細節，以讓資安業者可提前展開防護措施，目前全球有超過80家資安業者參與MAPP。但根據<a href="https://apnews.com/article/business-europe-hacking-russia-dd8c331ff30d366ea4f5d828e788c307" target="_blank">美聯社</a>的報導，微軟已在上周得知Positive遭到制裁之後，將Positive踢出MAPP名單。</p> <p>此外，Positive與IBM也有合作關係，允許IBM QRadar用戶在該智慧威脅分析平台上，以Positive所開發的MaxPatrol掃描器來偵測安全漏洞。Positive亦為VMware與HP的合作夥伴，但並不確定合作內容。</p> <p>根據美國的說法，包括Positive在內的6家俄羅斯科技業者，支援了俄羅斯各種情報服務的網路計畫，涵蓋提供專業知識、開發工具與基礎設施，以利它們展開惡意的網路活動等。</p> <p>而Positive Technologies也在遭到制裁後<a href="https://www.ptsecurity.com/ww-en/about/news/positive-technologies-official-statement-following-u-s-sanctions/" target="_blank">發布了聲明</a>，表示在該公司成立20年來，其研究從未違反商業透明化準則或與安全社群之間的道德資訊交換，他們的任務是打造能夠改善全球網路安全的產品與技術，儘可能地開放與合作，而不考慮地緣政治。</p> <p>Positive強調，他們的研究人員每年都會找到數百個零時差漏洞，這些漏洞無一例外地都交給了軟體製造商以作為責任揭露的一部分，認為地緣政治不應成為技術發展的障礙，而該公司也將持續進行他們最擅長的事。</p> </div></div></div>
2021/4/19 14:24作者陳曉莉https://www.ithome.com.tw/news/143919
Internet of Secure Things Alliance開始認證行動程式與VPN服務的安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門認證物聯網（Internet of Things，IoT）安全性的Internet of Secure Things Alliance<a href="https://www.ioxtalliance.org/news-events-blog/ioxt-alliance-expands-certification-program-for-mobile-and-vpn-security" target="_blank">（ioXt Alliance）上周宣布</a>，除了原本針對物聯網裝置所推出的安全性認證服務之外，將再擴大服務範疇以認證IoT行動程式與VPN服務，並公布首波通過相關認證的名單。</p> <p>ioXt Alliance過去主要認證各種物聯網裝置的安全性，包括汽車、家用裝置、多媒體裝置、感應/控制器、穿戴裝置，以及路由器等連網裝置，但由於光是認證硬體的安全性並無法完全保障IoT的安全，於是近日將認證內容再擴大至相關IoT裝置的行動控制程式，以及可用來連結IoT的VPN服務。</p> <p>首波通過認證的IoT行動程式包括由Comcast打造的Xfinity Authenticator，Xfinity為Comcast所推出的有線電視、高速網路與家用電話服務，Xfinity Authenticator則是一個安全登入程式；由Afero所開發的Hubspace程式，該程式專門用來管理與控制家中的智慧裝置；以及Leviton旗下無線開關產品GreenMAX DRC的行動程式。</p> <p>而首波通過認證的VPN服務則涵蓋了Google One VPN、ExpressVPN、NordVPN、McAfee Innovations、OpenVPN for Android 、Private Internet Access VPN，以及VPN Private。</p> <p>ioXt Alliance技術長Brad Ree表示，隨著人們之間的連結愈來愈緊密，隱私問題一直是各界關注的重點，也讓VPN與行動程式安全的重要性與日俱增，未來該聯盟將與產業專家及各大組織建立可擴及VPN及行動程式的安全標準，使得安全透明化，確保對終端用戶的保護，以及消費者的信心。</p> </div></div></div>
2021/4/19 14:03作者陳曉莉https://www.ithome.com.tw/news/143918
Firefox 88終止FTP支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2021/04/15/built-in-ftp-implementation-to-be-removed-in-firefox-90/" target="_blank">Mozilla宣布</a>預定本周釋出的Firefox 88，將正式終止支援FTP協定。</p> <p>檔案傳輸協定（File Transfer Protocol）出現於1971年，它是一種主機端之間直接傳送檔案的協定。因為簡單、方便而為許多企業用以分享軟體、檔案、韌體，但它的檔案傳輸並未加密，還使用明文密碼進行身分認證，安全風險較高。<a href="https://www.ithome.com.tw/news/127281" target="_blank">Google、Mozilla數年前就已計畫淘汰</a>。</p> <p><a href="https://www.ithome.com.tw/news/136481" target="_blank">去年Firefox開發團隊也宣布</a>逐步從Firefox瀏覽器移除內建的FTP實作。Mozilla產品經理<a href="https://blog.mozilla.org/addons/2021/04/15/built-in-ftp-implementation-to-be-removed-in-firefox-90/" target="_blank">Caitlin Neiman指出</a>，目前Firefox Nightly和Beta頻道關閉FTP，正式版則會在本周（4/19）的Firefox 88關閉FTP。最後，到了Firefox 90版，就會正式移除所有FTP實作。</p> <p>關閉FTP時，瀏覽器會將ftp://連結交由外部應用程式處理，如其他的協定處理器。等移除支援後，決定瀏覽器是否啟用FTP協定的browserSettings.ftpProtocolEnabled 就會變成唯讀模式，無法變更其設定值，且API就無法再處理這類呼叫。</p> <p>為此，ftp將會被加入Firefox外掛支援的協定處理器（protocol handlers）清單中。這表示外掛程式仍然可以要求使用者啟動FTP應用程式，來處理特定連結。例如代理伺服器過濾器（filters for proxy）或webRequest之類ftp內容仍將可傳送。</p> <p>Firefox 90正式版預計今年6月釋出。</p> </div></div></div>
2021/4/19 11:25作者林妍溱https://www.ithome.com.tw/news/143916
軟體測試服務業者Codecov被駭，可能影響P&G、GoDaddy等近3萬家客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/us-investigators-probing-breach-san-francisco-code-testing-company-firm-2021-04-16/" target="_blank">路透社報導</a>，美國提供軟體開發測試服務的廠商Codecov今年初遭到駭客入侵，由於該公司擁有P&G、GoDaddy等2.9萬家客戶，美國警方已介入調查。</p> <p>Codecov是一家SaaS業者，提供開發過程中程式碼覆蓋率（code coverage）的測試。<a href="https://about.codecov.io/security-update/" target="_blank">該公司上周以電子郵件通知受影響的企業客戶相關安全事件</a>。</p> <p>Codecov於4月1日發現該公司的Bash Uploader script遭非授權存取及修改。駭客是利用該公司Docker映像檔建立過程中一項瑕疵，而取得修改Bash Uploader script必要的登入密碼。該公司進一步調查後研判，從今年1月31日起，其Bash Uploader script就發生定期的非授權修改行為，讓駭客得以將他們儲存在CI（continuous integration，CI）環境的資訊，匯出到駭客控制的外部伺服器。</p> <p>這個Bash Uploader也用於其他三項工具。這家廠商警告，Bash Uploader script被存取，可能導致客戶經由CI runner傳送的憑證、金鑰、令符外洩，連帶危及企業用戶的服務、資料庫或應用程式碼，以及以這些Bash Uploader上傳到Codecov的git遠端資訊（即原始儲存庫的URL）。</p> <p>該公司也強烈建議受影響的客戶立即重設其CI環境中，和Bash Uploader有關的登入密碼、重新產出令符或金鑰。</p> <p>路透社報導，Codecov 2.9萬家客戶包括軟體商Atlassian、民生用品大廠P & G、全球最大網域服務管理商GoDaddy及華盛頓郵報等。受影響狀況尚不確定。</p> <p>由於事件發生到發現已經過了三個月，也可能導致大量企業客戶資訊被竊，形成最新版本的SolarWinds事件。這家廠商表示，聯邦政府已經介入調查。</p> <p>報導指出，4家被提及的客戶中，僅Atlassian表示沒有發現任何被入侵的證據，其他都未立即回應。而FBI及美國國土安全部也尚未回應。</p> </div></div></div>
2021/4/19 12:12作者林妍溱https://www.ithome.com.tw/news/143917
走向全方位商業應用的IT傳奇
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4月12日，GPU大廠Nvidia預告，將於2023年推出一顆代號為Grace的資料中心等級處理器，鎖定人工智慧與高效能運算的應用場景，為他們在2020年9月宣布併購Arm的消息，訂定了一個眾所期待的新目標，也替處理器平臺之爭，以及中央處理器（CPU）與協同處理器／加速處理器之間的競爭與合作，重新定調。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/143791" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-GTC2021-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia(1).png" style="width: 500px;" /></a></p> <p>這幾年以來，Nvidia之所以屢屢躍上大眾媒體版面，往往還是跟他們的消費型GPU有關，大多都是用於數位貨幣挖礦的消息（更早期多是電腦遊戲、動畫製作的應用），而在商業媒體的報導中，則是聚焦在他們發展的自動駕駛車、人工智慧應用技術，iThome過往也持續追蹤Nvidia GPU虛擬化、針對多個產業而發展的機器學習軟體平臺，以及其他廠商合作的GPU伺服器。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/143891" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI-Driven%20Cyber%20Security%20Architecture.png" style="width: 500px;" /></a></p> <p>或許是基於如此多元的發展，以及不斷成長的運算效能，2018年曾有中國媒體以「超越摩爾定律的男人！」來稱呼Nvidia創辦人暨執行長黃仁勳，當時覺得這形容很誇張，而且又呼應Nvidia在許多大型研討會主題演講時不斷強調的重點，總讓人難以心服口服。然而，Nvidia今日之所以在個人消費端、學術界、商業領域，都能占有一席之地，絕非偶然，因此，現在再來審視他們如何超越摩爾定律一說，答案已越來越清晰。</p> <p>硬體GPU的部分，當然是一切的開端，從個人電腦跨足伺服器、雲端服務、超級電腦，Nvidia一步步將圖形運算，從家庭娛樂推向商業和學術應用領域。不只是提供獨立顯示卡、獨立顯示晶片、GPU加速卡，他們更是積極發展相關基礎架構軟體元件，努力追趕伺服器虛擬化、容器化，以及K8s雲端原生架構，並且以此推出具有不同整合度的GPU伺服器、GPU整合設備，甚至是超級電腦。</p> <p>此外，他們也不惜重本投入軟硬體與人力，我們認為，目的應該是為了確保更長遠的市場應用需求。</p> <p>例如，提供可免費下載的雲端容器登錄服務NGC，讓所有開發人員能夠下載使用「各種」熱門的開原碼AI軟體框架，然而，背後的網路頻寬、平臺維運、軟體映像檔的調校／更新／維護，都是龐大的成本。Nvidia也積極發展與維運自家的超級電腦，並且也躋身Top500全球超級電腦，向全世界證明他們產品技術與系統整合的能耐。</p> <p>以2020年11月的榜單為例，他們就有4座系統上榜，分別是2020年6月進榜的Selene（從第7名躍升至第5名），2019年6月進榜的DGX SuperPOD（最初是第20名，最近是26名），2016年11月進榜的DGX Saturn V（最初是第29名，最近是92名），2020年11月進榜的Nvidia DGX SuperPOD（第170名）。而這些系統就算不將軟硬體費用計入，但應該也會為Nvidia帶來不少的電力支出負擔。</p> <p>AI應用軟體框架與不同產業應用的拓展，更是Nvidia讓人拍案叫絕的重要策略，他們從CUDA一路擴展、延伸到CUDA-X AI系列，再加上2020年併購Mellanox、Cumulus Networks、Arm，又將增添更多軟體層面的輔助開發環境。例如，今年他們針對源於Mellanox的DPU推出DOCA軟體開發套件，讓兩者搭配，提供類似GPU與CUDA 的相互拉抬的模式；<a href="https://www.ithome.com.tw/news/143891" target="_blank">Nvidia發表AI資安應用框架軟體Morpheus</a>，當中就結合GPU、DPU，以及源於Cumulus Networks的遙測代理程式，提供推論與資料收集的功能。此外，他們預計2025年大量導入自動駕駛車的車用運算平臺Nvidia Drive Atlan，不只是採用Nvidia GPU、Arm CPU，也將搭配DPU。</p> <p>無論如何，Nvidia仍將繼續拓展他們的軟硬體應用，而且可望會看到更多搭配Arm處理器，以及DPU的各式解決方案，接下來，就看Intel、AMD如何接招吧！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/cpu">CPU</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E7%AD%89%E7%B4%9A%E8%99%95%E7%90%86%E5%99%A8">資料中心等級處理器</a></div><div class="field-item odd"><a href="/tags/grace">Grace</a></div><div class="field-item even"><a href="/tags/arm">ARM</a></div></div></div>
2021/4/19 07:00作者李宗翰https://www.ithome.com.tw/voice/143883
Container周報第137期：K8s今年第一個新版有50項更新，紅帽揭露OpenShift零信任架構未來3大發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#FF0000;"><strong>4/1~4/15 精選容器新聞</strong></span></p> <h3><strong><span style="color:#0000FF;">#新版本 #K8s</span><br /><span style="color:#FF8C00;">今年第一個K8s新版本1.21出爐，一口氣爆推50項更新</span></strong></h3> <p>這個K8s新版本一口氣增加了50項更新，比前兩個版本都還要多（前一版才43個），進入穩定版的功能有15項，而新增的實驗性功能則多達19項。不過，也有一項開發中的資安工具Pod資安政策（PSPs）機制將放棄，1.25版會完全放棄，主要原因是此工具程式問題太多將不再投入資源來改善，開發社群會改推新機制來替代。可用來定期（每天或每周等）進行備份、報表製作的定期執行功能CronJobs進入穩定版，另外現在，機密設定Secrets和ConfigMaps新增加不可變動（immutable）的選項，可用來避免有些更新動作會動到這些不能變更的設定或資料，導致應用程式當機。</p> <p>另外也可以支援IPv4/IPv6雙重架構機制（Dual Stack），讓Pos叢集和服務之間的網路路由可以支援原生IPv6網路，來提高網路擴充能力。另外，優雅節點關機功能進入Beta版階段，可減少突然關閉節點造成的問題。</p> <p>新增加了持久性儲存Persistent Volume的健康監控機制alpha版，可用來確保本地端檔案型儲存空間的可用性。容器資安公司Sysdig工程師則推薦有幾個不錯的新功能，例如新的記憶體管理機制，有助於確保高耗記憶體類應用，如資料庫的運作穩定性。另外，K8s自動擴充功能（Autoscaling)也多了兩種縮小規模的作法可用，包括半隨機（Semi-random）和成本考量下縮小規模，可增加更多種資源調度的選擇。</p> <h3><span style="color:#0000FF;"><strong>#零信任架構 #K8s資安</strong></span><br /><span style="color:#FF8C00;"><strong>紅帽OpenShift未來要內建零信任資安架構，聚焦三大方向</strong></span></h3> <p>紅帽最近在更新了OpenShift的發展藍圖，其中一項在資安上的未來發展方向是內建零信任架構，來提供DevSecOps工作流程。這個零信任架構將聚焦三大方向，部建階段的偵測能力、部署階段的保護機制和執行階段的應變機制。在部建偵測功能，包括可用GitHub Action來觸發開源YAML檔掃描工具KubeLinter，另外將提供免根權限的的部建功能獲釋免金鑰的映像檔簽章機制，另外也會支援加密容器功能。而在部署保護上，則會啟用強固多租戶（Hard Multitenancy）來避免有用戶遭感染而被波及，部署階段驗證、支援未來Pod資安政策替代機制、支援美國國防部IT安全組態指南DISA STIG。在執行階段應變機制，則包括了沙盒容器、服務網格政策自動化、Cert管理者的操作機制、k8s用戶端命名空間。不過，紅帽沒有進一步透露這些功能實現的時間點。</p> <h3><strong><span style="color:#0000FF;">#Ubuntu #MicroK8s</span><br /><span style="color:#FF8C00;">跟進動作超快，Canonical全面支援到K8s 1.21新版</span></strong></h3> <p>K8s才剛在4月8日正式發布1.21新版，同一天Canonical也同時宣布，旗下K8s版本同步支援到最新的1.21版。包括輕量發行版MicroK8s、企業級跨雲部署用的發行版Charmed Kubernetes，而Canonical自家K8s部署工具kubeadm也同樣可以支援新版的部署。因為1.21版支援Calica eBPF資料層功能，K8s企業版Charmed Kubernetes也推出的新款的K8s儀表板功能和Charmed operators for DNS功能，更容易測試K8s叢集的網路能力。MicroK8s也有不少更新，例如OpenFaaS外掛新增無伺服器部署或OpenEBS外掛可以支援CAS儲存（Container Attached Storage）</p> <h3><span style="color:#0000FF;"><strong>#M1晶片 #Docker</strong></span><br /><span style="color:#FF8C00;"><strong>Docker桌面版正式支援Apple Silicon，百萬容器開發者能用M1晶片了</strong></span></h3> <p>Docker官方宣布，支援M1晶片的Docker Desktop for Mac終於推出正式版本。因為超過3百萬開發者使用Mac，而其中有一半的人使用Docker Desktop。因此去年12月官方緊急推出品質甚至不到Beta測試版的Docker Desktop for Mac（Apple Silicon）早期預覽版，社群對於預覽版本反應熱烈，前前後後各個預覽版下載次數達4萬5千次，臭蟲追蹤器也收集到了140個回報，社群在Slack上積極回應，而現在經過約莫4個月，官方終於釋出最新Docker Desktop 3.3.1版本，從這個版本開始Docker Desktop正式支援Apple Silicon。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/docker-desktop-m1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpg" /></p> <h3><span style="color:#0000FF;"><strong>#OpenShift #AWS </strong></span><br /><span style="color:#FF8C00;"><strong>AWS提供全託管的OpenShift服務了，紅帽和AWS共同提供技術支援</strong></span></h3> <p>雲端巨頭AWS終於也推出全託管的OpenShift服務Red Hat OpenShift Service（ROSA）了，可以將部分或是全部的OpenShift部署，搬遷到AWS上，技術支援則由。ROSA服務由紅帽和AWS共同管理和支援，因此用戶可以同時向紅帽以及AWS請求支援服務，但統一由AWS來出帳。可用OpenShift標準API以及現有工具，也可以使用AWS運算、機器學習和網路等各種服務，來擴展或是開發創新應用。目前ROSA已經在許多地區上線，包括美西、美東、南美、加拿大和歐洲，而亞太地區則在東京、首爾、孟買、新加坡和雪梨提供。</p> <h3><span style="color:#0000FF;"><strong>#無伺服器 #容器化應用</strong></span><br /><span style="color:#FF8C00;"><strong>IBM無伺服器容器服務CCE正式上線，要開始收費了</strong></span></h3> <p>最近正式推出的IBM CCE（Cloud Code Engine），是一個全託管式無伺服器容器運算服務，可用來執行容器化應用的運算工作。這項服務使用了K8s、Knativ、Istio和Tekton來打造，能夠提供從容器應用的建置、部署到自動擴充，也可以將程式碼封裝成映像檔。除了無伺服器服務基本的事件驅動啟動之外，也支援批次啟動容器應用的功能，可以預先排程設定要開啟的容器應用和擴充規模。進入正式版本也意味著IBM這項服務開始收費。這項無伺服器容器應用服務也可以整合IBM自家雲端服務，例如Watson雲端服務或IBM DB2雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-IBM%E7%84%A1%E4%BC%BA%E6%9C%8D%E5%99%A8%E5%AE%B9%E5%99%A8%E6%9C%8D%E5%8B%99.jpg" /></p> <h3><span style="color:#0000FF;"><strong>#K8s重大漏洞 #遭DoS攻擊風險</strong></span><br /><span style="color:#FF8C00;"><strong>Kubernetes內建GO函式庫發現重大漏洞，可引發DoS攻擊</strong></span></h3> <p>Palo Alto公司的Unit42研究人員Aviv Sasson發現，Kubernetes的Go函式庫一項重大漏洞，可能導致容器遭到阻斷服務（denial of service，DoS）攻擊。研究人員在K8s運行的一個名為container/storage的Go函式庫中，發現安全漏洞CVE-2021-20291。這個漏洞可以在儲存庫（registry）上傳惡意映像檔時觸發，即當使用者從registry拉取這個映像檔時，造成對CRI-O及Podman兩個容器引擎的DoS攻擊。這漏洞影響層面相當大，因為從Kubernetes 1.20版起，Docker就退役了，唯一的容器引擎是CRI-O及Containerd，這會讓許多使用CRI-O的叢集曝險。</p> <h3><strong><span style="color:#0000FF;">#金融產業雲 #OpenShift</span><br /><span style="color:#FF8C00;">IBM金融雲正式上線，底層是紅帽OpenShift</span></strong></h3> <p>IBM在2年前和美國銀行（Bank of America）合作打造一朵金融服務專用的公有雲，最近終於進入正式版本，這朵雲部署在OpenShift服務上，搭配硬體加密，也提供自行保管金鑰（KYOK）的功能。除了美國銀行，後來法國巴黎銀行、三菱日聯銀行、愛沙尼亞地第三大魯米諾銀行也都加入這項計畫。IBM金融雲也可以搭配Cloud Satellite服務，在本地端部署金融應用，但統一由雲端來管理。</p> <h3><span style="color:#0000FF;"><strong>#容器資安 #DevOps</strong></span><br /><span style="color:#FF8C00;"><strong>VMware推出K8s環境專用可用的容器資安掃描工具，可整合CI/CD流程</strong></span></h3> <p>最近VMware推出了一款專門用來掃描K8s環境中容器應用的資安掃描工具Carbon Black Cloud Container工具，可以進行弱點掃描和錯誤配置的掃描，另外也支援多種常見的CI/CD平臺，方便企業將這個工具整合到自家的DevSecOps流程中。</p> <h3><span style="color:#0000FF;"><strong>#容器映像檔掃描 #雲端資安</strong></span><br /><span style="color:#FF8C00;"><strong>老牌資安業者Sophos升級雲端資安狀態管理工具，新增容器映像檔掃描功能</strong></span></h3> <p>越來越多雲端資安管理工具將容器印象檔掃描機制變成了內建功能，最近老牌資安業者Sophos自家雲端資安狀態管理工具，Cloud Optix服務也新增了這項容器映像檔掃描功能，可以掃描容器映像檔中的作業系統漏洞。這個掃描工具也可用用來檢測大型單體應用、容器化應用和微服務應用的之間所用的資安政策是否一致。Cloud Optix可以用於映像檔部署前也可以於部署後掃描。這工具也可以支援Amazon ECR和微軟ACR和慣用的Docker Hub儲存庫。也可整合到Bitbucket和GitHub所用的部建流程工具中也可以使用Cloud Optix的API來進行映像檔掃描。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud%20Optix-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Sophos.jpg" /></p> <h3> <span style="color:#0000FF;"><strong>#DevOps #GitOps</strong></span><br /><span style="color:#FF8C00;"><strong>GitHub CLI命令列工具終於支援超強Actions</strong></span></h3> <p>GitHub CLI命令列工具是很多開發者愛用的本地端GitHub工具，許多可以透過這個工具來建立從本地端到雲端的DevOps或GitOps流程，不過，這個工具一直少了一個重要機制的支援，就是GitHub自家的軟體自動化機制Actions，這也是很多開發者愛用的DevOps工具。最近GitHub CLI釋出一年後，終於新增央向內建指令gh，可以讓開發者在終端機環境中直接驅動各種工作流程的執行動作，開發者習慣將一系列流程觸發動作整理在一個YAML格式工作流程定義檔，現在也可以直接在終端機環境中執行，更方便來管理這個工作流程定義檔。</p> <p>責任編輯：王宏仁</p> <p> <strong><span style="color:#FF0000;">更多容器新聞 </span></strong></p> <ul><li>跨雲部署用的Tanzu Kubernetes Grid服務正式推出1.3版，不過只支援到K8s 1.20版的部署。</li> <li>VMware正式從Dell分拆，仍然由VMware財務長擔任臨時執行長</li> </ul></div></div></div>
2021/4/19 05:18作者王宏仁https://www.ithome.com.tw/news/143911
一周大事：Nvidia終於進軍CPU市場。微軟收購Nuance搶攻數位醫療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>擴大運算戰地搶進AI資料中心，Nvidia要推自己的CPU產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-GTC2021-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nvidia.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Nvidia</span></p> <p>不同於英特爾為重返晶圓代工戰場而備戰，無獨有偶，另一家GPU大廠Nvidia，也正在為了擴大資料中心戰地而積極布局，除了自己的GPU、DPU（資料處理器）產品之外，甚至接下來還將推出自己的伺服器CPU產品，來與老大哥互別苗頭。</p> <p>在GTC大會第一天主題演講，執行長黃仁勳的話題，始終圍繞在如何重新架構資料中心，提高推進AI的能力，他認為，這需要3種晶片的能力，分別是GPU、DPU，以及CPU。去年Nvidia也開始加入DPU產品線，但至今還沒有屬於自己的CPU產品。<a href="https://www.ithome.com.tw/news/143791" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>強化數位醫療，微軟重金收購語音辨識技術Nuance</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%94%B6%E8%B3%BCNuance_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>近期微軟宣布收購語音辨識技術業者Nuance Communications，將其整合到醫療及其他產業雲方案。這起價值197億美元的併購，也是微軟繼2016年以260億美元買下LinkedIn後，規模第二大的收購案。Nuance專門發展醫療業專用的口語AI及雲端環境臨床智慧方案，是架構在Azure上的SaaS。藉由這起收購，微軟將可取得Nuance的醫療AI語音方案及和EHR廠商的合作關係，擴大微軟在醫療界的潛在市占。<a href="https://www.ithome.com.tw/news/143790" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>MyData擴大政府個人化資料下載，用銀行晶片金融卡也能進行身分驗證</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-mydata-600.jpg" style="width: 600px;" /></p> <p>本周正式營運的MyData，民眾可下載的政府個人化資料，從試營運階段的31項一舉擴大為105項資料，涵蓋戶役政、勞保、地政、健保等12大類。國發會承諾未來將釋出更多個人化資料至MyData。目前MyData不論是下載資料，或是授權第三方使用，都需要民眾同意，因此需要先通過身分驗證，確認使用者的身分。除了可使用自然人憑證、健保卡、TW FidO、雙證件驗證之外，現在更讓民眾使用晶片金融卡，取代自然人憑證或健保卡通過身分驗證，取得個人化資料或申請第三方服務。<a href="https://www.ithome.com.tw/news/143860" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>戴夫寇爾勇奪Pwn2Own冠軍</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own%E6%88%90%E7%B8%BE%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FZero%20Day%20Initiative.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Zero Day Initiative</span></p> <p>漏洞通報計畫Zero Day Initiative（ZDI）是測試白帽駭客挖漏洞實力的最高殿堂，今年有三隊隊伍報名微軟Exchange伺服器漏洞挖掘比賽，只有戴夫寇爾得到完整分數，並且以單一參賽項目（Exchange伺服器），獲得滿分積分及20萬美元獎金，同時獲得破解大師（Master of Pwn）的桂冠，這也是首度有臺灣隊伍獲得Pwn2Own冠軍殊榮。<a href="https://www.ithome.com.tw/news/143753" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>蘋果Find My功能正式支援第三方產品</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Find%20My_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%98%8B%E6%9E%9C.png" style="width: 281px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>日前蘋果宣布，Find My功能正式開放支援其他廠商推出的硬體產品，讓非蘋果產品用戶也可利用iPhone的Find My App，找到遺落的裝置。</p> <p>Find My網路配件方案是Made for iPhone（MFi）方案的一部份。加入這項方案的產品必須遵守Find My的隱私保護規定。核准加入的產品可列入Find My的新產品清單，並含有「Works with Apple Find My」的標識。<a href="https://www.ithome.com.tw/news/143696" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟開始提供Visual Studio管理員更新</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Visual%20Studio_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>近期微軟正式發送Visual Studio管理員更新，透過Windows Server Update Services（WSUS）和微軟Update Catalog，向Visual Studio 2017和2019推送管理員更新，企業可以使用微軟Endpoint Configuration Manager等標準部署工具，在組織中部署這些更新。<a href="https://www.ithome.com.tw/news/143784" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>IBM推COBOL上雲端</strong></span></p> <p>作為最早的高階程式語言，同時也是世界上早期標準化的語言之一的COBOL，在COVID-19疫情發生時，重新受到世人矚目，因為美國政府需要處理大量失業給付，而使得以COBOL編寫的老舊系統頻頻故障，甚至需要召回已經退休的COBOL程式設計師來幫忙修復系統。現在IBM發布COBOL for Linux on x86版本，包含COBOL編譯器和Runtime函式庫，代表IBM COBOL雲端化的里程碑，可用來建構現代化COBOL應用程式。<a href="https://www.ithome.com.tw/news/143709" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Windows 10 1909版將於5月終止支援</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Windows%2010_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>才不過4個月前Windows 10 1903因終止支援，而被迫升級到1909，現在1909版也即將在今年5月，進入支援的生命周期終點。根據微軟排定的時程，除了Education及Enterprise版以外，所有1909版本Windows 10，以及Windows Server 1909將在5月11日支援到期，此外1809版Windows 10 Enterprise、Education版，以及Windows 10 1803的電腦與Server版，也會於同一天終止技術支援。<a href="https://www.ithome.com.tw/news/143793" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>阿里巴巴因壟斷遭中國重罰</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4(1).jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／阿里巴巴</span></p> <p>中國市場監管總局在4月10日依《反壟斷法》，向阿里巴巴開罰了182.28億元人民幣。該局指出，阿里巴巴自2015年以來便濫用其市場支配地位，對平臺內的商家提出「二選一」要求，禁止商家在其它競爭性平臺開店，還借助其市場力量、平臺規則與數據、演算法等技術手段，取得不正當的競爭優勢。<a href="https://www.ithome.com.tw/news/143774" target="_blank">更多內容</a></p> <p><strong><span style="font-size:28px;">微軟C#開源計畫延伸到語言標準制定工作</span></strong></p> <p>微軟不只開放C#編譯器和程式語言功能開發，連C#制定標準的部分，也要一併開源。現在C#語言創新和功能設計，包括實作以及標準化工作，都是以公開的形式進行。社群能與語言設計團隊、編譯器實作者和標準委員會進行對話。<a href="https://www.ithome.com.tw/news/143722" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>微軟釋出AI網路攻防模擬工具原始碼</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_CyberBattleSim_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟於GitHub平臺開源CyberBattleSim的Python原始碼。這套工具提供Python寫成的OpenAI Gym介面，讓企業或安全研究人員可用強化學習演算法，來訓練自動代理程式。CyberBattleSim和電玩一樣也有設定情境，能模擬網路攻擊中，攻擊者入侵網路後的橫向移動階段。並以攻、防兩方達成目的所採取的模擬步驟，以及在訓練階段模擬步驟的累積得分，來評估各陣營的績效。<a href="https://www.ithome.com.tw/news/143755" target="_blank">更多內容</a></p> <p><span style="color:#FFFFFF;"><span style="font-size:26px;"><strong><span style="background-color:#3399ff;"> 更多重要新聞 </span></strong></span></span></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143772" target="_blank">遠傳首度公開展示網頁版5G專網用戶管理平臺</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143841" target="_blank">Line全球斷線50分鐘原因出爐：竟是資料中心維運商不小心關掉了電源</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143840" target="_blank">整合Amazon物流和資訊流，Cyberbiz要讓臺灣品牌快速線上開店打入北美市場</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143814" target="_blank">遠距照護夯，WHO推薦臺灣2套國家級數位醫療指引</a></span></strong></p> <p><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/news/143843" target="_blank">臺灣第一家AI獨角獸正式在日本股市掛牌</a></span></strong></p> </div></div></div>
2021/4/18 17:00未署名https://www.ithome.com.tw/news/143908
逢甲大學計畫建置5G專網，採用n79頻段與專網專頻架構，目標成為智慧城市典範應用場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>逢甲大學近期宣布與系統整合商帆宣合作，計畫在校園中架構室內、室外與移動式三大5G專網，目前正在向政府申請4.8到4.9頻段的實驗網路，預計在今年完成5G專網的建置。硬體建置完成後，不只是逢甲校區，這個專網也將擴大涵蓋逢甲商圈及水湳經貿園區，作為大型智慧城市系統的5G實驗場域與測試平臺，除了提供各科系的師生教育或研究使用，也將擴大開放給中小企業申請，來加速5G相關產品的開發與落地。</p> <p>為了建立起5G專網實驗場域，逢甲找來跨足5G專網基礎建設市場的帆宣，作為硬體技術的提供者，負責架設校內的5G專網。由於雙方規劃以n79（4.8～4.9 GHz）頻段搭配Nokia的電信設備，採用專頻專網架構，雙方正在向政府申請實驗網路，待通過審核後，展開校內5G專網實驗場域的打造。</p> <p>負責這項計劃的逢甲大學都市計畫與空間資訊學系副教授雷祖強分享，這三大場域，分別是位於科航館的200坪室內場域、位於水湳校區且鄰近水湳經貿園區的室外場域，以及位於車上的行動式場域，逢甲預計將基地臺布建其中，建立起不同的實驗場景，來滿足各類5G應用的開發需求。</p> <p>除了基地臺分散在不同的場域中，這三大5G專網也將共用一個核網設備，置於環境控制較嚴謹的校園機房中。同時，逢甲也預計在科航館的另一個50坪空間中，打造一個智慧營運中心，將蒐集到的資料彙整到此處進行處理分析，更要導入AI、大數據分析等技術，運用5G蒐集到的數據來開發智慧應用。</p> <p>在架構上，逢甲之所以採用專網專頻的架構，而非和公網共用同一個頻段的共頻專網，雷祖強表示，其中一個原因，是公網的上下行比（資料上傳與下載的速度），必須考量到大眾使用目的有其行比限制，但專網專頻的上下行比，能根據應用開發者的需求而定。</p> <p>另一個主因，則是在開發應用時，時常需要客製化蒐集網路使用的數據，比如連網用戶的停留時間長短等資訊，但因公網是透過電信商來提供基礎架構，在數據蒐集上較無法配合所有的專案開發來進行調整，仍要透過專網專頻完整掌握網路架構，才能根據專案開發者的需求，客製化設定數據蒐集類型。</p> <p>「能不能做到客製化網路規格，儲存所需的數據，再進一步用來開發，才是應用開發能否成功的細微關鍵。」雷祖強指出，作為5G專網的實驗與測試場域來說，專網專頻能提供更客製化的網路服務，助各類應用成功落地。</p> <h3><span style="color:#FF8C00;">先提供校內研究使用，下一步要提供中小企業申請，更要擴大成為智慧城市試驗場域</span></h3> <p>雷祖強指出，開始建置5G專網後，最快預估要到今年底、明年初才會有初步成果。過程中，逢甲校內有通訊系、資工系、電子系、電機系等5G系統設備相關系所，可以利用5G專網硬體建設的開發，來進行教學與研究；同時，5G服務應用系所如都市計畫與空間資訊學系、建築系等，也能進一步利用5G來開發相關應用與服務。</p> <p>「無論是設備端或是應用端的系所，都能透過5G專網來學習或研究，這就是為什麼要在大學端設立5G實驗場域的理由，能從多面向檢視5G在架設及生活應用上的可能性，而非為了單一商品應用來提供服務。」雷祖強說。</p> <p>5G專網架設完成後，逢甲在5G應用端的研究，要先聚焦兩大面向，分別是智慧製造、智慧防救災。智慧製造方面，主要透過室內200坪的場域來進行試驗，目前規劃專案包含兩大主題，分別是5G專網工廠生產系統與資訊監控計畫，以及5G通訊平臺效能驗證分析及資安DDoS攻擊辨識，預計要透過這兩項計畫的研究成果，提供中部精密機械及製造廠商導入使用。</p> <p>在智慧防救災方面，則是要透過室外場域結合移動式基地臺，以及無人車或UAV載具等，來進行研究試驗。逢甲大學營建與防災研究中心，預計參與開發兩大專案，分別是5G專網城市智慧防災系統，以及移動式救災情蒐系統，目標將5G專網導入臺灣目前防救災系統。</p> <p>同時為都市與環境防災科技專業的雷祖強進一步舉例，過去若偏鄉發生災害，只能透過現場的SNG車傳遞衛星影像，難以取得更精確的資訊，進一步評估災害的環境影響，或是度量受災面積與嚴重性；後來，無人載具投入使用後，也須等待無人機拍攝完飛回來，才能將蒐集到的訊號進行三維量體建模，通常要等3到4個工作天才能完成，難以即時用於災害決策。</p> <p>但未來，這些問題有機會透過行動式5G基地臺搭配無人載具來克服，透過將蒐集到的訊號即時回傳市中心，同步進行建模分析，就能更即時因應災害情況採取行動，「在提升效率、即時性與縮短時空距離上，5G會扮演很重要的角色。」</p> <p>除了提供校內開發5G應用服務，逢甲也預計在基礎建設完善後，開放讓中小企業申請使用5G專網試驗場域，來開發企業各自的5G產品或服務，就是要降低5G產品的開發門檻，讓更多企業不必擁有自己的5G專網，也能快速開發相關應用，並在經過實際驗證後投入生產使用。</p> <p>逢甲的目標，也不只如此，除了提供中小企業申請使用，未來也規劃與更多單位接洽，比如與臺中市政府合作，擴大涵蓋逢甲商圈與水湳經貿園區，來打造一個涵蓋智慧社區、智慧商圈、智慧能源、韌性城市等大型智慧城市系統整合測試的5G實驗場域，後續更要推動成立「5G智慧城市產業發展聯盟」，欲透過組織一個具備規劃設計、系統整合與建造能力的智慧城市國家隊，將技術輸出國內外。</p> <p>逢甲在5G專網的運用上有自己一套藍圖與規劃，不過在這之前，當務之急仍是要先架設好5G專網基礎建設。逢甲與帆宣雙方預計在2021～2022年投入8,000萬元，來進行5G專網的建置，且在硬體建置期間，逢甲校內也組成了團隊，要先透過帆宣在新北汐止的5G專網實驗場域，先進行應用端的開發與研究，雙軌並行來加快打造5G專網應用。</p> </div></div></div>
2021/4/18 10:19作者翁芊儒https://www.ithome.com.tw/news/143870
Walmart也入股電動自駕車新創Cruise
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名零售企業<a href="https://corporate.walmart.com/newsroom/2021/04/15/walmart-invests-in-cruise-the-all-electric-self-driving-company" target="_blank">Walmart本周宣布</a>，將加入電動自駕車新創Cruise於今年1月發起的新一輪增資，<a href="https://www.ithome.com.tw/news/142354" target="_blank">該輪增資已確定的投資者</a>包括GM、Honda與微軟，原本增資金額僅略超過20億美元，現在又加入了Walmart與其它機構，把增資規模拉抬至27.5億美元。</p> <p>Cruise成立於2013年，在2016年被通用汽車（General Motors，GM）併購，當時外傳的交易價格只介於5億到10億美元之間，2018年日本本田汽車（Honda）再以7.5億美元入股Cruise，所估算的Cruise市值為146億美元，但新一輪增資已讓Cruise市值爬升到300億美元。</p> <p>Cruise主要開發共享的電動自駕車，微軟或Walmart的入股，也都著眼於與Cruise的策略聯盟，未來Cruise將利用微軟Azure作為大規模商業化自駕車的雲端平臺，而Walmart在去年11月則曾與Cruise在亞歷桑那州，合作測試物流服務。</p> <p>Walmart表示，該公司對Cruise具差異化的商業模式、獨特的技術及無與倫比的自駕車測試印象深刻，此一投資將協助Walmart開發快速且低成本的最後一哩交付生態系統。</p> </div></div></div>
2021/4/17 15:22作者陳曉莉https://www.ithome.com.tw/news/143910
推特要研究機器學習演算法對用戶產生的潛在傷害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.twitter.com/en_us/topics/company/2021/introducing-responsible-machine-learning-initiative.html">推特</a>揭露目前在負責任機器學習（Responsible ML）領域的研究計畫，這項工作由內部META（Ethics, Transparency and Accountability）團隊進行，將研究包括圖像剪裁，以及政治意識型態內容建議等機器學習演算法，對用戶帶來的影響，並將這些影響回饋到系統中，避免演算法對用戶造成傷害。</p> <p>負責任機器學習對推特來說，有幾個重要的部分，包括他們會對演算法負責、保證結果公平公正、提供演算法選擇，並且公開透明他們的決定，推特提到，對技術負責任，意味著要研究技術隨著時間推進所帶來的影響。推特的機器學習技術，每天可能影響著數億條推文，而這些原本要提供幫忙的演算法，有機會出現不可預期的行為，因此他們要研究這些變化，以適當地調整系統。</p> <p>由於這項研究工作影響範圍很廣，推特認為，單靠技術解決方案並無法解決演算法所帶來的負面影響，因此負責任機器學習工作組是一個跨領域的團隊，包含技術、研究、信任、安全和產品團隊成員。主要領導該計畫的是META團隊，有專門的工程師、研究人員和資料科學家，以全公司範圍的規模，評估演算法對後續和當前所造成的傷害，並且找出推特必須優先解決的問題。</p> <p>推特規畫接下來幾個月要研究的主題有3個，第一是研究圖像剪裁演算法的性別和種族偏見；第二是研究在各個種族分組中，用戶時間軸建議的公平性；第三則是分析7個國家針對不同政治意識型態的內容建議。META團隊會針對這些研究發現，改善用戶在推特平臺上的體驗。</p> <p>官方提到，他們可能會因此改變當前所提供的服務，像是可能刪除剪裁演算法，讓用戶對發布的圖像有更多的控制權，或是當新標準對特定社群產生重大影響時，推特就會根據新標準設計系統或是制定政策。又或是這些研究並不一定會轉化成可見的改變，而是在推特建置和應用機器學習技術的過程，增加認識或是促進討論。</p> <p>推特持續建置可解釋機器學習解決方案，要讓使用者可以更直覺地了解推特上的演算法，像是演算法的用處，或是演算法以什麼樣的方式，影響用戶在推特上看到的內容。而推特會公開他們的經驗與最佳實踐，促進產業對該主題的了解，並且與第三方學術研究人員緊密合作，以找出改善的方法。</p> <p>推特提到，研究負責任機器學習是一個漫長的旅程，他們期望以開放的方法來研究，並且對技術倫理領域做出貢獻。</p> </div></div></div>
2021/4/17 15:25作者李建興https://www.ithome.com.tw/news/143900
Google Project Zero更新漏洞揭露政策，提供30天的修補緩衝期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門探究各種零時差漏洞的Google Project Zero本周公布<a href="https://googleprojectzero.blogspot.com/2021/04/policy-and-disclosure-2021-edition.html" target="_blank">2021年的漏洞揭露政策</a>，若業者在90天內修補了漏洞，那麼Project Zero團隊將會再提供30天的修補緩衝期，以讓使用者有充裕的修補時間，之後才會公開漏洞的技術細節，但倘若業者未能於90天內修補，那麼該團隊在90天後就會直接公開漏洞細節。</p> <p>原本Project Zero的漏洞揭露政策如下：對於尚未被開採的漏洞，業者必須在90天內修補，或是額外爭取14天的寬限期，期限一到，不管有沒有修補完成，該團隊都會公開漏洞細節；而對於已被開採的漏洞，業者則必須在7天內修補，期限一到不管有無修補都會公開漏洞細節，且無寬限期。</p> <p>新版的漏洞揭露政策對於尚未修補的漏洞所採取的措施跟舊版一樣，都是在90天或7天之後就會公開漏洞細節，但對於已於90天及7天內修補的漏洞，Project Zero將會額外提供30天的修補緩衝期，之後才會公開漏洞細節。</p> <p>新政策同樣允許業者針對未被開採的漏洞爭取14天的寬限期，並放寬對已開採漏洞的規定，允許業者要求3天的寬限期。但這些寬限期將會擠壓修補緩衝期的空間，例如假設未被開採的漏洞花了100天才修補完成，那麼修補緩衝期就只剩20天，代表Project Zero團隊無論如何都會在120天之後公布漏洞細節。</p> <p>其實Project Zero團隊一直想縮短業者的修補時間，加速漏洞的揭露時間，因為該團隊相信漏洞分析對資安社群的重要性超過揭露風險，此次的變更是納入了外界的意見，再加上期望獲得最佳的使用者安全而來。</p> <p>不過，Project Zero也預告，明年可能會改成84天的業者修補期限，以及28天的使用者修補緩衝期。</p> </div></div></div>
2021/4/17 15:00作者陳曉莉https://www.ithome.com.tw/news/143909
VS Code C++擴充套件語言伺服器原生支援Apple Silicon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/cppblog/visual-studio-code-c-extension-april-2021-update-cuda-c-c-intellisense-and-apple-silicon-support/">最新VS Studio的C++擴充套件</a>，這個版本加入了全新的功能，包括支援CUDA C/C++的IntelliSense，還有原生語言伺服器開始支援Apple Silicon。</p> <p>微軟在C++擴充套件中，向CUDA C/C++使用者提供IntelliSense支援，CUDA是一個平行程式開發平臺，讓開發者可以操作GPU。微軟與Nvidia合作，要強化CUDA C/C++在VS Studio中的開發體驗，因此針對CUDA應用程式，在VS Code中提供IntelliSense程式碼突出顯示。</p> <p>另外，VS Code在2月的時候，發布了第一個支援Apple Silicon的穩定版本，而現在微軟擴大Apple Silicon支援，在這個最新的C++擴充套件中，語言伺服器二元檔案也能夠原生地在Apple Silicon上運作，因此這個版本的語言伺服器，會比之前在模擬器Rosetta上執行的語言伺服器效率好，整體效能表現以及Mac的電池壽命也都會有所提升。</p> </div></div></div>
2021/4/17 15:14作者李建興https://www.ithome.com.tw/news/143892
北韓駭客Lazarus鎖定電子商城發動網站側錄攻擊，目標是竊取加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子商城交易的側錄攻擊，大部分的目標都是針對信用卡與支付卡資料而來，然而近期攻擊者開始鎖定使用加密貨幣的線上交易下手。威脅情資業者Group-IB於4月14日，揭露一起<a href="https://www.group-ib.com/blog/btc_changer">北韓APT駭客組織Lazarus發動的網站側錄攻擊行動</a>，駭客使用JavaScript探測器（Sniffer），鎖定接受加密貨幣付款的歐美電商網站下手，讓購物者付款的加密貨幣轉入駭客的錢包。研究人員將此起攻擊命名為「BTC Changer」。</p> <p>事實上，這個駭客組織發動網站側錄攻擊已有一段時日。另一家資安業者Sansec曾在2020年7月，<a href="https://sansec.io/research/north-korea-magecart">揭露這個駭客組織針對歐美網路商城的攻擊行動「clientToken=」</a>，側錄電商網站的金融卡交易資料。但Group-IB追蹤這些受害電商後發現，近期Lazarus鎖定部分商城，使用從未看過的工具搭配老舊手法，來竊取加密貨幣：該組織將原本側錄金融卡資料的JavaScript探測器改造，變成偷竊比特幣交易的工具。Group-IB發現，Lazarus用於此起攻擊的JavaScript探測器，粗估偷到了0.89993859個比特幣（約相當於55,359.45美元），以及4.384719個以太幣（約相當於10729.80美元）。</p> <p>究竟相關這起攻擊行動什麼時候開始的？Group-IB指出，他們看到駭客在2020年2月底，開始使用修改版的clientToken=攻擊行動作案工具，鎖定接受比特幣付款的電子商城下手，並將付款的網址換成攻擊者的BTC網址。該公司確認至少有3個網站受害，其中2個是clientToken=事故的受害者，他們是化學藥品商城Realchems，以及珠寶商Wongs Jewellers。第3個受害者則是義大利的豪華服飾業者，不過Group-IB並未透露企業名稱，並表示該商城的惡意程式碼已被清除。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wallet-code.png" style="width: 580px; height: 452px;" /></p> <blockquote><p>Group-IB揭露其中一個受害商城的網站程式碼，其加密貨幣付款的位置被竄改成駭客的錢包（紅框處）。</p> </blockquote> <p>由於駭客竄改網頁收款的加密錢包位置來牟利，但上述的3個電商網站中，珠寶商Wongs Jewellers並未提供加密貨幣付款的管道，因此Group-IB認為，駭客可能是不小心放錯，才會把BTC Changer作案工具放到這個珠寶商城。而在Realchems遭到竄改的程式碼中，Group-IB發現駭客利用名為SingleFile的瀏覽器外掛，來儲存Realchems的網站，並在註解裡使用韓文寫下「格林威治時間」，這代表了駭客使用韓文編碼來儲存程式碼檔案。</p> </div></div></div>
2021/4/16 15:47作者周峻佑https://www.ithome.com.tw/news/143885