iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

全球執法機構自遠端移除傀儡網路Emotet，公布用來散布Emotet的逾430萬個電子郵件帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得歐洲刑警組織（Europol）與其它8個國家的執法機構在今年1月下旬，<a href="https://www.ithome.com.tw/article/143063" target="_blank">聯手破獲了Emotet殭屍網路</a>嗎？為了預防Emotet起死回生，它們在本周日（4/25）自遠端關閉了受害系統上的Emotet功能，而美國聯邦調查局（FBI）則請Have I Been Pwned（HIBP）協助公布駭客用來散布Emotet的逾430萬個電子郵件帳號，以提醒不小心淪為駭客幫兇的使用者變更密碼。</p> <p>最初身為金融木馬的Emotet可用來竊取受害者的機密資料，諸如存放在瀏覽器中的憑證，或是監聽網路流量，由於它同時具備常駐與網路傳播的特性，因而經常被駭客當作是入侵系統的缺口，還可用來下載包括勒索軟體等其它惡意程式，根據趨勢科技於2018年的統計，Emotet在全球至少建立了721個C&C伺服器。而在執法機構掃盪了Emotet之後，它們在Emotet的伺服器上發現，從2020年的4月1日到2021年的1月17日間，Emotet約感染了全球160萬台電腦，散布在全球逾50個國家。</p> <p>儘管國際警方已經扣押了Emotet位於全球的伺服器，但為了預防Emotet的活動死灰復燃，執法機構決定自遠端關閉Emotet的運作。</p> <p>初期媒體報導該遠端移除Emotet的行動是由荷蘭警方主導，但BleepingComputer近日卻說是由德國聯邦警察單位Bundeskriminalamt負責，至於美國司法部則僅說是由某個國外的執法機構負責。</p> <p><a href="https://www.justice.gov/opa/pr/emotet-botnet-disrupted-international-cyber-operation" target="_blank">根據美國司法部的說明</a>，執法機構的作法是藉由置換伺服器上的Emotet惡意程式，以讓全球感染Emotet的系統在更新時，下載由執法機構所提供的版本，而新的版本並未移除受害系統上已經由Emotet植入的各種惡意程式，只是為了切斷Emotet對外的聯繫，讓建立Emotet殭屍網路的駭客無法再控制這些受害系統，也無法再於受害系統上安裝其它惡意程式。</p> <p>其實執法機構早在接管Emotet伺服器時就訂定了該計畫，只是將觸發時間訂在4月25日。</p> <p>另一方面，駭客散布Emotet惡意程式的主要管道是透過垃圾郵件，於郵件中夾帶惡意檔案或惡意連結，以誘導使用者點擊並下載/安裝惡意程式，且駭客所利用的是無辜使用者的電子郵件帳號與憑證，猜測是自外洩事件而來，而FBI在取得逾430萬的電子郵件帳號之後，<a href="https://www.troyhunt.com/data-from-the-emotet-malware-is-now-searchable-in-have-i-been-pwned-courtesy-of-the-fbi-and-nhtcu/" target="_blank">即主動聯繫HIBP</a>，透過HIBP的服務來提醒使用者。</p> <p>HIBP服務允許使用者輸入自己的電子郵件帳號，以搜尋自己的帳號是否出現在任何的外洩資料庫中，但由於這次的意外被HIBP列為機密事件，<a href="https://haveibeenpwned.com/DomainSearch" target="_blank">只能執行範圍較大的網域搜尋</a>，或是藉由<a href="https://haveibeenpwned.com/NotifyMe" target="_blank">必須驗證電子郵件帳號的通知服務</a>，由HIBP主動通知遭到Emotet利用的電子郵件用戶。</p> </div></div></div>
2021/4/28 17:44作者陳曉莉https://www.ithome.com.tw/news/144089
商之器展示UDE App，讓iPad Pro化身行動醫療影像伺服器，離線也能輔助醫師判斷乳房腫瘤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內從事醫療影像儲存與傳輸及雲端醫療平臺開發的商之器，近期展示UDE（Ubiquitous Diagnostic Environment）App，將iPad Pro平板電腦當成行動醫療影像伺服器，可在離線狀態下，檢視乳房醫學影像，由AI模型輔助醫師判斷乳房腫瘤，縮短乳癌篩檢流程，從2周以上的時間縮短至1周左右。目前北部已有一家醫學中心準備採用。</p> <p>商之器在2019年曾展示UDE App架構雛形，其概念是利用一般市售的iPad Pro，升級為行動醫療影像資訊儲存系統，當醫護人員完成病患檢查後，將醫療影像從儀器端，透過無線網路或有線網路傳到iPad Pro上儲存管理，即使在離線狀態下，醫師也能透過平板電腦隨時調閱影像進行檢視。</p> <p>這套UDE App還整合資策會的技術，以東方人為主的乳房影像AI輔助辨視技術，結合蘋果CoreML，在裝置端部署AI影像模型，因此即使平板電腦在未連線之下，透過AI辨識模型輔助醫師診斷乳房醫學影像。</p> <p>商之器臺灣區總經理丁偉能表示，AI影像辨識模型如果較有價值，AI模型供應商如果不願意授權原始碼，可透過公有雲或醫院私有雲方式部署模型，平板需要連網才能使用AI模型輔助診斷。如果AI模型商同意授權原始碼，就能將模型部署至iPad Pro，如此，即使未連接網路，也能輔助醫師診斷。</p> <p>除了輔助醫師辨識醫療影像，醫師隨身攜帶平板電腦，可利用工作的瑣碎時間，完成人工標註影像，協助訓練AI模型的精準資料蒐集。</p> <p>去年10月這套UDE App獲得美國FDA第二級認證，可作為醫療診斷使用，並且也獲得臺灣TFDA認證。</p> <p>丁偉能指出，去年與資策會合作，以AI技術、關鍵應用，結合CoreML技術，在行動終端打造不需連網，就能即時運算的AI醫學診斷應用，去年底已先和一家醫學中心合作試驗，大幅縮短乳癌診斷時間，從2周縮短至5至7天，能夠及早發現追回高風險的患者。展望今年為落地的元年，不只是國內，也會推到國外。</p> <p> </p> </div></div></div>
2021/4/28 17:58作者蘇文彬https://www.ithome.com.tw/news/144087
Alphabet公布首季財報，淨收入大增162%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google的母公司<a href="https://abc.xyz/investor/static/pdf/2021Q1_alphabet_earnings_release.pdf?cache=0cd3d78" target="_blank">Alphabet在27日公布</a>了該公司今年的第一季財報，顯示該季Alphabet創下了553億美元的營收，成長34%，淨收入為179.3億美元，大增162%。</p> <p>Google顯然還是Alphabet的金雞母，該季Google帶進的營收便高達552億美元，占Alphabet總營收的99.8%，其它的營收則是新創事業Other Bets所帶來的1.98億美元。</p> <p>在Google的552億美元營收中，有446億美元屬於廣告收入，比去年同期成長32%，占Google營收的80.8%，至於Google Cloud在今年第一季則帶進40.47億美元的營收，比去年同期成長45.7%，與微軟Azure的50%成長幅度相去不遠。</p> <p>而Alphabet的新創事業在該季的營收為1.98億美元，高於去年同期的1.35億美元，但虧損了11億美元，與去年的虧損差不多。</p> <p>虧損的不僅是新創事業，Google Cloud也呈現虧損狀態，第一季虧損了9.74億美元，但已優於去年同期17.3億美元的虧損。整體而言，帶動Alphabet整體營收與獲利成長的依然是Google的廣告服務，而不管是Google Cloud或諸如Waymo等其它新創事業則仍處於投資階段。</p> <p>另一項影響Alphabet獲利的因素為，該季Google調整了伺服器與網路設備的預估使用壽命，將伺服器的使用壽命從3年調整為4年，特定網路設備的壽命從3年調整為5年，因而影響了折舊成本。</p> <p>Alphabet暨Google執行長Sundar Pichai表示，過去一年來，人們透過Google搜尋與其它線上服務來保持資訊暢通、與親友連結，或是進行娛樂，未來該公司仍將致力於提供可靠的產品予全球用戶，而Google Cloud則會協助各種規模的企業加速其數位轉型。</p> </div></div></div>
2021/4/28 14:55作者陳曉莉https://www.ithome.com.tw/news/144082
Line Bank開業5天開戶人數突破4萬，正調派人力加速審核等待中的大量開戶申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣第二家純網銀Line Bank在上周四（4/22）下午5點正式對外開行，根據Line Bank統計，截至昨天（4/27）下午3點半為止，已完成開戶審查的用戶為42,974人。等於是開業5天，開戶人數已破4.2萬。Line Bank也表示，未來會定期提報開戶人數。</p> <p>不過，有部分讀者反應，上周四晚間於Line Bank開戶申請後，目前仍在審核開戶申請階段中。顯見Line Bank還有許多開戶申請進件需要消化。對此，Line Bank回應，開行之後進件踴躍，已經加派人力加速審核。</p> <p>因為用戶開戶踴躍，Line Bank在對外開行當天就遇上系統大當機，從傍晚陸續傳出系統無法使用的災情，雖一度在晚間8點修復，卻因同一時間瞬間湧入大量用戶，所以，造成系統再次壅塞。直到當晚10點才真正排除狀況，開戶申請流程也才恢復正常。開行來到第6天，Line Bank表示，目前系統狀況穩定。文⊙李靜宜</p> </div></div></div>
2021/4/28 12:18作者李靜宜https://www.ithome.com.tw/news/144079
微軟財報出爐：Windows 10用戶數突破13億，Teams每日用戶超過1.45億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-21-Q3/press-release-webcast" target="_blank">微軟於周二（4/27）公布</a>該公司截至今年3月31日的2021財年第三季財報，該季微軟創下417億美元的營收，成長19%，淨收入為155億美元，成長44%。<a href="https://view.officeapps.live.com/op/view.aspx?src=https://c.s-microsoft.com/en-us/CMSFiles/TranscriptFY21Q3.docx?version=5000c435-108f-a064-0035-be555b8a57ff" target="_blank">當天微軟也披露</a>，Windows 10的每月用戶數已突破13億，Teams的每日用戶則超過1.45億。</p> <p>在417億美元的營收中，有151億美元來自於智慧雲端（Intelligent Cloud），成長23%。136億美元來自於生產力與業務流程（Productivity and Business Processes），成長15%。130億美元來自更多個人運算（More Personal Computing），成長19%。微軟另外列出了包含Office 365商用版、Azure、Dynamics 365與其他雲端服務的商業雲端類別，該類別的營收為177億美元，成長了33%。</p> <p>從單一產品或服務的營收來看，成長最快的是Azure，該季營收成長了50%，居次的Dynamics 365也成長了45%，Xbox內容及服務成長了34%。</p> <p>微軟執行長Satya Nadella表示，疫情已持續了一年多，但數位採用的曲線並未放緩，甚至仍在加速中，而他認為這只是個開端。</p> <p>微軟亦於財報會議中透露，現在每月實際啟用的Windows 10裝置已超過13億臺，同時Microsoft 365 Consumer的訂閱者數量亦首度突破5,000萬。此外，Teams的每日用戶數則突破了1.45億，約是去年同期的兩倍，微軟說，Teams用戶數的持續成長，有賴於許多國家的員工開始返回工作崗位，包括澳洲、紐西蘭、中國、南韓與臺灣等。</p> </div></div></div>
2021/4/28 12:06作者陳曉莉https://www.ithome.com.tw/news/144078
Azure預覽採用第三代Xeon Scalable處理器的新Dv5與Ev5系列VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出最新採用第三代Xeon Scalable處理器的Azure虛擬機器<a href="https://azure.microsoft.com/zh-tw/blog/upgrade-your-infrastructure-with-the-latest-dv5ev5-azure-vms-in-preview/">Dv5與Ev5系列</a>，Dv5系列針對通用的工作負載，而Ev5系列則是專用於記憶體密集的工作負載，現在用戶可以透過申請來進一步測試Dv5與Ev5虛擬機器的效能。</p> <p>Dv5與Ev5虛擬機器使用英特爾最新的第三代Xeon Platinum 8370C處理器，其使用超執行緒配置，對企業的通用工作負載提供更高的運算效率，官方提到，新的處理器最高擁有3.5GHz全核心Turbo時脈，並且擁有Turbo Boost Technology 2.0，以及可加速機器學習運算的AVX-512和Deep Learning Boost技術，與過去的Dv4和Ev4系列虛擬機器相比，Dv5與Ev5系列在許多工作負載的效能提升達到15％，提供更高的性價比。</p> <p>針對通用目的的Dv5虛擬機器，擁有極高的可擴充性，可搭配多達96個vCPU和384 GiB記憶體，這些虛擬機器非常適合用來執行一些一般的運算工作，像是電子商務、網頁前端、桌面虛擬化解決方案、客戶關係管理，以及入門級或中級資料庫、應用程式伺服器等。</p> <p>而供記憶體密集工作負載使用的Ev5系列虛擬機器，則可拿來執行大型關聯式資料庫伺服器、資料倉儲、商業智慧等應用程式，也能勝任記憶體分析工作負載和財務交易等重要業務應用程式，Ev5較Dv5系列擁有更高的記憶體與vCPU比例，最高可配置96個vCPU和672 GiB記憶體。</p> <p>Dv5和Ev5系列的虛擬機器，都可以像是Dv4和Ev4系列一樣，選擇搭載本地端磁碟儲存，官方提到，許多工作負載用不到本地端磁碟，所以這個選項是針對特殊情境設計。無論用戶是否選用帶有本地端磁碟的虛擬機器，都可以附加遠端持久性磁碟儲存，而遠端儲存選項將會與虛擬機器分開計價。</p> <p>在Dv5與Ev5系列預覽階段，微軟提供8個即付即用的規格，官方提到，跟未來正式版本的價格相比，現在的價格有很大的折扣，但是無法使用先占式和預留虛擬機器執行個體的價格，價格也因地區而異。</p> </div></div></div>
2021/4/28 09:24作者李建興https://www.ithome.com.tw/news/144068
Telegram整合更多支付服務供應商推Payments 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>講求安全與隱私的通訊軟體<a href="https://telegram.org/blog/payments-2-0-scheduled-voice-chats">Telegram</a>釋出最新版本，這個版本加入了新的支付工具Payments 2.0，以及讓群組管理員可以排程語音聊天的功能，另外，官方還釋出了新的網頁應用程式，除了原本的網頁版Telegram，現在也能夠選用其他兩個同樣功能齊全的網頁版本。</p> <p>Telegram在2017年的時候增加了付款功能，付款機器人讓用戶不需要離開應用程式，就可以安全地購買商品和服務，而現在Telegram再整合像是Stripe等8個第三方支付供應商，用戶能在任何的對話中，接受或是使用信用卡支付。</p> <p>官方提到，Telegram是一個注重隱私的平臺，Telegram不收取任何佣金，也不儲存付款資訊，信用卡訊息是直接發送給支付供應商，而寄送資訊則會和店家直接共享。所有店家都可以使用Telegram的Payments API，並且無需獲得Telegram額外批准。</p> <p>新的Telegram讓群組和頻道管理員，可以安排特定日期和時間的語音聊天，預告社群成員安排時間加入語音聊天。Telegram的語音聊天功能讓數個用戶可以相互聊天，也能以廣播的形式，向數百萬聽眾播放即時語音。</p> <p>當管理員排定語音聊天，聊天室頂端就會出現倒數計時的特效，提醒用戶加入語音聊天的時間，不過當倒數計時為零時，語音聊天不會自動開始，只有管理員按下立即開始時，才會開始語音聊天。</p> <p>Telegram在2014年的時候就推出了網頁版本，但是Telegram內部出現其他競爭版本，因此現在官方一次對外開放兩個新網頁程式，同樣都支援動畫貼圖、深色模式和聊天資料夾等功能，新的網頁版本只需要下載400 KB的內容且無需安裝，就可以在桌面電腦或是行動裝置上開始使用。</p> </div></div></div>
2021/4/28 09:31作者李建興https://www.ithome.com.tw/news/144070
華盛頓特區警局遭勒索軟體入侵，駭客以公布線人身分作為要脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年才現身的勒索軟體集團Babuk周一（4/26）對外公告，已成功入侵華盛頓哥倫比亞特區的大都會警察局（Metropolitan Police Department，MPD），除了加密MPD的系統之外，也下載了逾250GB的資料，宣稱MPD若不在3天內針對贖金作出回應，就會聯繫地方上的幫派，提供他們警方的線人資訊。而MPD也已對外證實遭到勒索軟體攻擊。</p> <p>MPD不僅是哥倫比亞華盛頓特區主要的執法機構，也是全美前十大地方警局，號稱使用最先進的證據分析與資訊技術，來對抗當地的抗罪行為。</p> <p>根據<a href="https://therecord.media/ransomware-gang-threatens-to-expose-police-informants-if-ransom-is-not-paid/" target="_blank">The Record</a>的報導，Babuk集團在藏身暗網中的官網上，揭露了MPD的內部文件與伺服器，顯示駭客已取得MPD的調查報告、警察的紀律檔案、與當地犯罪組織有關的文件、犯人的入監照，以及行政檔案。</p> <p>此外，Babuk還要求MPD要在3天內回應，否則便會向當地幫派提供線人資訊。MPD則坦承該警察的伺服器遭到未經授權的存取，但仍在調查受害規模。</p> <p>今年相繼有資安業者針對Babuk勒索軟體集團提出警告。<a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/babuk-ransomware/" target="_blank">McAfee</a>指出，Babuk是個於今年初才現身的勒索軟體家族，通常是在俄文論壇更新勒索軟體訊息並招募會員，而在英文駭客論壇公布攻擊成果，儘管是在今年初才被注意到，但截至1月15日，就至少有5家企業成為受害者。</p> <p>至於<a href="https://blog.emsisoft.com/en/38378/psa-severe-bug-in-babuk-ransomware-decryptor-leads-to-data-loss/" target="_blank">Emsisoft</a>則說，Babuk最初的攻擊目標原本是Windows，但很快就轉向Linux平臺，特別是VMware所開發的ESXi企業等級虛擬平臺，然而，Babuk的ESXi版本在加密與解密功能都含有許多設計漏洞，很可能造成資料永遠遺失。</p> </div></div></div>
2021/4/28 09:50作者陳曉莉https://www.ithome.com.tw/news/144077
Toyota子公司Woven Planet收購Lyft自駕車部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Lyft<a href="https://investor.lyft.com/news-and-events/news/news-details/2021/Woven-Planet-a-subsidiary-of-Toyota-to-acquire-Lyfts-self-driving-car-division/default.aspx">宣布</a>與Toyota子公司Woven Planet簽署一項收購協議，Woven Planet將以5.5億美元收購Lyft自駕車部門Level 5，這項交易還包括Lyft與Woven Planet之間的多年非專屬商業協定，以加速自駕車技術發展，並且提高自駕車安全性。</p> <p>Level 5創立於2017年7月，當時總員工數約為300人，研發了許多新技術，像是3D分割框架、評估車輛能量效率，以及透過群眾外包地圖來追蹤車輛移動等方法。Level 5過去積極發展自駕車技術，在2019年時，於加州總部旁開設立新的道路測試站點，一年之後，Lyft更擴展自駕服務給自家員工。</p> <p>Lyft在2019年底的時候宣布，其員工擴充到400人，自駕車1季增加的行駛里程，是6個月之前里程的4倍，在2020年5月，Level 5開始與Waymo合作，用戶可以從Lyft應用程式中呼叫無人駕駛的Waymo。去年Lyft也揭露，他們開始利用其乘車網路的資料，來改善自動駕駛系統的效能，一部分駕駛員的汽車配備攝影鏡頭，透過捕捉具有挑戰的路線與場景，來解決像是3D地圖和模擬測試的問題。</p> <p>現在Level 5將加入Woven Planet，Woven Planet也是一家專門開發自動駕駛與各種行車技術的公司，根據併購協議，Woven Planet也將可使用Lyft系統和車隊資料，來加速Woven Planet自動駕駛的商業化並增加安全性。Lyft還提到，原本專注於在Lyft網路擴展第三方自駕技術的開放平臺團隊，將成為新的Lyft自駕團隊。</p> <p>Lyft共同創辦人Logan Green提到，新的Lyft自駕團隊可以將Lyft的混合網路、市場引擎和車隊管理功能相結合，並且協助自駕合作夥伴，增加每英哩的收入並且降低每英哩的成本。這次的交易，Lyft總共將獲得約5.5億美元的現金，其中2億美元在前期支付，Woven Planet會在五年內支付其他3.5億美元，只要獲得監管機關核准，這項交易將在2021年第三季完成。</p> </div></div></div>
2021/4/28 09:20作者李建興https://www.ithome.com.tw/news/144066
靜悄悄才是IT升級最高品質
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>發生了什麼事情？該不該繼續？新系統上的資料都正確嗎？有沒有疏漏？為何竟比原訂時間，足足少了40分鐘？</p> <p>今年1月，玉山金控大樓一間會議室，窗外的冬陽正盛，坐在我們對面的玉山金控暨玉山銀行資訊長謝萬禮，回憶起新核心系統上線最緊張的一刻，聲音不自覺地高了起來。</p> <p>「不行，全部停下來，再檢查一次。」這是他當時對上線團隊發出的命令。</p> <p>去年8月2日半夜，玉山新核心系統準備上線，到前一天還在運作的舊核心系統上的資料，要先搬到新系統上。原訂凌晨3點才會完成的新舊系統資料轉置作業，沒想到，2點多就結束了。</p> <p>這個3小時資料轉置時間，不是隨意估算的推測。20年累積的龐大資料，核心系統更經過多次調整和改變，第一次內部資料轉置測試，上千個資料轉置步驟，花了17到20個小時才完成。</p> <p>後來，玉山資訊團隊花了一番功夫，從人工作業改為自動化執行，不斷優化流程，測試了上百次資料轉置演練，才縮短到3個小時，但是到了上線這一天，竟然還縮短了40分鐘。幸好，檢查後一切正常，只是因為原有服務關閉，空出更多硬體資源來處理資料轉置，才縮短了這麼多時間。</p> <p>那天是謝萬禮第一次詳細的講述，過去4年率領200多人的IT與BA團隊，打造玉山新一代核心專案的過程。「本以為4年很漫長，但其實很短。」核心系統上線後，謝萬禮臉上的線條柔和了許多，不像一年前採訪時看到的時時緊繃的他。</p> <p>如同多數銀行一樣，玉山趁汰換之際，將新核心瘦身，將基本帳務以外的功能，都移除到核心系統之外，但不只如此，玉山更是趁機打通所有業務系統，將前端系統和後端業務系統的資料，都整合到營運資料匯流平臺中，這也是為了發展AI加值應用的資料基礎工程。</p> <p>新核心系統還有不少技術架構的變革設計，像是與新核心系統介接的系統多達80多個，玉山採取了全面API化的設計，方便未來可快速對外介接。</p> <p>甚至，專案走到一半，還面臨新舊架構技術的抉擇，繼續用熟悉的虛擬化環境？還是更換新興的容器技術？要不要改用微服務架構？後來，經過開發團隊先試用驗證後，玉山決定壓寶發展性高的新技術。不過，雖然採用新技術，上線作業則更為謹慎，光是使用者驗收測試（UAT）階段，就出動所有業務單位，找來數百人撰寫個案，最後測試了6萬多個案例。</p> <p>若只是做到核心系統轉換，就像是幾棟大樓翻新，但新核心計畫，卻像是重新打造更完整的都市計畫，謝萬禮這樣比喻。「不只轉換核心，就連顧客資訊整合、人才的能力與專業技術，還有團隊合作的機制與流程，玉山都希望趁著此次移轉的機會，一併重新打造。」他說。</p> <p>新系統上線接手，3個月後，通過月結算、第三季結算的考驗，玉山才對外公開了那一天新核心系統上線的過程。沒有聽到什麼用戶抱怨，甚至我身旁用玉山的親友，也沒有察覺到核心系統更換的變化。靜悄悄，才是IT升級的最高品質。</p> <p><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/article/144022" target="_blank"><span style="color:#3399ff;"> 相關報導請參考 </span></a></strong></span><a href="https://www.ithome.com.tw/article/144022" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1022feng_mian_p1.jpg?itok=ZhoHhtoj" style="width: 500px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7">玉山金控</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E7%B5%84%E7%B9%94%E6%94%B9%E9%80%A0">組織改造</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E6%A0%B8%E5%BF%83%E8%A8%88%E7%95%AB">新核心計畫</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E6%95%B8%E6%93%9A">大數據</a></div><div class="field-item even"><a href="/tags/big-data">Big Data</a></div><div class="field-item odd"><a href="/tags/%E9%BB%83%E7%94%B7%E5%B7%9E">黃男州</a></div><div class="field-item even"><a href="/tags/%E8%AC%9D%E8%90%AC%E7%A6%AE">謝萬禮</a></div></div></div>
2021/4/28 07:00作者王宏仁https://www.ithome.com.tw/voice/144017
組織改造前先實現2大科技基礎，剖析玉山數位轉型戰略真正的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初，玉山銀行正式啟動了成立29年以來，最大幅度的一次組織改造。</p> <p>玉山一口氣設立了個人金融事業總處及法人金融事業總處。玉山銀行董事長黃男州在一次法說會上，透露了個金組織改造最大的改變。</p> <p>他強調，以往，玉山的科技聯隊與業務聯隊是「互相整合」的關係，但，這次組織改造要更進一步做到「融合」，以你中有我，我中有你的概念，來建立個人金融事業總處，「將整個數位融入到個金中。」</p> <p>玉山更統整了指揮權，以往，玉山各產品線皆有自己的指揮體系，例如消金部門指揮消金業務人員（AO），而理財部門指揮理專人員，存戶部門則指揮存匯人員；現在，通路指揮權都整合到單一處級的通路單位來管轄，也設立了客群專責部門和產品專責部門。</p> <p>玉山透過這樣集中指揮權來適時調度支援不同的通路需求，「這些部門交織運作，才能對700萬個金用戶的客群樣貌、分析與價值，進行更深入的分析。」黃男州透露。</p> <p>除了在總行組織大改造，玉山區域聯營也從原本的16區減少為8區。過去，一區約8到9間分行，現在，一區就可能多達17到18間分行，再加上黃男州要求，區域經營不是用產品方式來服務顧客，而要每區都有能力對顧客提供整體解決方案的服務。未來每個區域的經營複雜度更多元化，對服務完整性的要求也更高。</p> <p>不只個金展開組織大改造，在法金部分，則成立了法人金融事業總處，除了推廣國內各式法金業務，玉山也將深化海外9國共28個營運據點，並繼續增加海外據點。</p> <p>黃男州進一步提到，在兩岸三地、東協據點，以及東京、雪梨、新加坡等各金融中心，這些海外據點如何從點變線、變面，提供顧客各項跨境服務，是未來的重點方向。</p> <p>玉山更將私人銀行處納入了法人金融事業總處，這是國內銀行業少見的編制作法。未來，將採取雙重服務的架構，由企金客戶關係經理人（RM）來服務企業，私人銀行顧問（PBC）則服務企業主。</p> <p>黃男州解釋，這麼大規模的組織改造，就是為了未來10年的計畫，要讓玉山發展成亞洲最具特色的標竿銀行。但早在10年前，玉山就訂下邁向亞洲玉山這個大願景，為何要直到現在，才展開如此大規模的組織變革？</p> <p>「關鍵就是2020年8月，玉山銀行的核心系統順利轉換完成。」黃男州直言，核心系統升級後，可以為組織帶來更大的靈活性，正是促成玉山此次組織改造最重要的基礎。</p> <p>再加上過去幾年，玉山大力發展的AI，也開始展現成果。黃男州解釋：「資訊系統是神經系統，AI是大腦系統，現在，玉山的神經系統和大腦系統都已進步到一定程度，才讓玉山可以順利支持整體組織靈活的變形與改造，以邁向下個十年的願景。」</p> <p>大腦發達之後，組織就可以跑得更快，跳得更高，而且可以做各種變形；升級核心則可為組織帶來更大的靈活性。兩者的結合，更能讓組織在管理上有更深入的洞見，比如，顧客對玉山的貢獻、顧客的全貌、顧客最想要的金融服務是什麼。</p> <p>黃男州強調：「未來金融，會大量運用IT與AI，這是未來決定成敗的關鍵。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C%E8%91%A3%E4%BA%8B%E9%95%B7%E9%BB%83%E7%94%B7%E5%B7%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山金控</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>玉山銀行董事長黃男州表示，資訊系統是神經系統，AI是大腦系統，玉山的兩大系統已進步到一定程度，才可以順利支持整體組織靈活的變形與改造，以邁向下個十年的願景。</strong></span></p> <p><strong><span style="font-size: 28px;">以科技領軍策略，進行資訊單位組織再造</span></strong></p> <p>早在10年前，玉山的神經系統就已開始布局，尤其玉山資訊部門投入的程度相當深。</p> <p>玉山金控暨玉山銀行資訊長謝萬禮回憶，2011年，玉山的資訊科技人力大多集中在資訊處，僅有一百多人，當時，還是玉山銀行總經理的黃男州，一直期待金融服務要像水與電一樣便利，希望能在這方面投入更多人力。因此，隔年，玉山開始大舉招募資訊人才。</p> <p>然而，為了讓許多重要的制度、機制、風險能在一開始便管控好，以免資訊人力越來越多，以及系統越趨複雜時，會造成更多的風險。謝萬禮表示，玉山在2012年便導入了ISMS資訊安全管理系統，並在隔年正式取得ISO 27001驗證，作為資訊科技團隊運作的基礎。</p> <p>他提到，當時資安議題、風險議題，以及法令遵循的議題越趨重要。如果在這些重要制度、機制、風險面無法管控好，資訊會跑不動，也跑不快。所以，藉由導入此機制，將這些基礎做好，融入玉山日常的業務流程，成為流程的一部分。</p> <p>如此一來，「許多風險大概都能控制住，未來，所有的稽核也就能照此機制進行。」</p> <p>而取得ISO 27001認證，對於玉山的海外布局更是一大助力。2012年起，玉山開始支持布局亞洲的發展策略，往海外擴大據點，打造海外核心系統並建置跨境平臺。</p> <p>謝萬禮提到，到海外國家布局時，當地政府或是法令，對於資訊系統都有所要求，取得ISO 27001認證後，便能作為玉山資訊系統品質與水準達到一定程度的依據，為玉山在海外布局的推進帶來正面成效。這也是IT為海外業務面，帶來一個看不見的助益。</p> <p>將資訊安全管理面的制度紮穩了，玉山便開始大幅招募資訊人才，不過，人力大量進來之後，謝萬禮表示，他們發現，團隊的分工與專業能力的提升，相當重要。於是，在2014年，玉山擬定科技領軍的發展策略，進行資訊單位組織再造。</p> <p>他坦言，當時的組織改造，是一大挑戰，要顛覆以往由業務單位提出需求，資訊單位協助將需求完成的模式，轉為讓資訊單位的角色更不一樣，更積極創造價值。</p> <p>然而，「要達到科技領軍，IT人員必須有兩隻腳，對資訊、業務都要充分了解。」謝萬禮強調。</p> <p>玉山資訊單位組織再造的第一步，是先要求主管提升自己，並凸顯系統分析師（SA）這角色，培養專業能力；另一頭則是深入技術，讓SA跟業務單位之間的團隊合作能更加密切，作法上是直接讓SA駐點業務單位。</p> <p>謝萬禮表示：「組織改造是希望團隊在合作的過程，建立更多信任與交流，拉高彼此的默契與專業能力，對業務發展也能更清楚掌握。」也只有如此，資訊單位才能接下許多事，且較為快速有效地推展。</p> <p><span style="font-size: 28px;"><strong>汲取世界級大師創新思維，兼顧系統的內部穩定性與外部靈活性</strong></span></p> <p>為了注入更多創新能量到組織中，玉山金控從2012年起，連續幾年邀請了世界級策略大師、行銷大師，還有以破壞式創新理論聞名的創新大師來臺分享，演講的主題皆環繞著創新。</p> <p>謝萬禮特別點出，其中一位國際大師的分享，對於玉山IT未來的發展起了關鍵性的戰略作用。這位大師就是《瞬時競爭策略：快經濟時代的新常態》一書的作者莉塔‧麥奎斯（Rita Gunther McGrath）。</p> <p>莉塔‧麥奎斯自己也曾是資訊主管，相當了解IT得不斷面臨的考驗。在那次的分享中，她提出了「瞬時競爭」思維，意思是，未來的競爭，不只限於銀行間，或是科技業間的競爭，而是會跨越產業圈，在一個競技場中，更是無法預期對手是誰。</p> <p>為了因應這樣的競爭，企業需要重視「內部穩定性」與「外部靈活性」。而為了因應時代進步、技術發展進步、顧客需求改變、業務的改變，大師建議，一個系統的生命周期大概是10年，所以，每10年都得要重新檢討一次。</p> <p>內部穩定性是指，必須有紀律與制度的來發展銀行資訊系統的架構。謝萬禮對這句話格外有體會，他解釋，玉山有400套以上銀行的系統，不過，不是每個系統的生命周期都一樣，像是面對前端通路業務的系統，因時代變化快速、技術變化快速，為了確保競爭力，就不能設定如核心系統有20年的生命周期，所以，「系統必須分類」來安排不同的系統改造周期。</p> <p>像玉山從2011年開始發展行動銀行，一路重新打造個人網銀、財富管理系統、財金業務系統等；到了2014年左右，更重新再造分行櫃員系統。</p> <p>但是，整體來看，他認為，不管系統的生命周期是3、5年，還是10年、20年，重點是要強化中、後臺，讓系統穩定、快速、確保品質、可以信任，就能延長系統的壽命。</p> <p>另外，玉山也早從2007年的第一套外匯系統，用開放的Java技術平臺打造開始，就相當重視外部靈活性，後來，這一點更成為了玉山特別講究的考量。</p> <p>幾年下來，玉山資訊單位不斷完善大周邊策略，到了2016年，已將所有重要的業務系統全部現代化、開放。玉山認為，大周邊的設計是因應時代，對於顧客體驗、業務發展、多元通路來說，都是較好的選擇。</p> <p>最後，只剩下最重要的核心系統尚未改造。謝萬禮表示，一路下來，玉山在專案管理、人才鍛鍊養成，以及IT與業務彼此的協同合作，各方面都已拉到一定水準，加上具備許多經驗、技術、管理面向的能力。</p> <p>因此，「資訊單位主動提出要重新打造核心系統，以科技領軍，支持玉山下一階段的數位轉型。」歷經一連串過程，謝萬禮認為，核心系統轉換彷彿是水到渠成，也是必然要做的事情。</p> <p><span style="font-size: 28px;"><strong>啟動4年新核心計畫，全面改造銀行心臟與引擎</strong></span></p> <p>2016年，玉山正式啟動為期4年的新核心計畫。不只是核心系統的轉換，謝萬禮強調，更要聚焦以顧客為核心，及未來業務與系統架構的發展，打造玉山科技發展與數位轉型的關鍵基礎工程。</p> <p>玉山更希望，透過此次的移轉，將顧客資訊的整合、人才的能力與專業技術，還有團隊合作的機制與流程，都趁機重新打造。為此，玉山特別成立了一個專責團隊，負責新核心計畫的發展、風險管理、人才培育等方式。</p> <p>玉山將新核心計畫有2大主軸，一是為核心瘦身，二是為資料加值。謝萬禮指出，站在以顧客為核心的角度，最重要的就是顧客資料的整合。玉山也將銀行所有的業務系統全部打通，來串聯起對顧客的體驗與服務。</p> <p>玉山不僅發展出中臺架構，將各個重要的業務系統、前端系統，都整合到數據中臺，作為資料集散地，配合現階段大數據分析或AI應用，在數位通路可以更快回應給顧客，以及發展未來更多場景的加值應用。</p> <p>同時，也將許多流程平臺化，讓許多業務營運作業可以共用，比如說，各類服務如存款、放款、信用卡的帳單整合，或像是顧客聯絡管道整合等。</p> <p>然而，要重新打造一顆銀行全新的心臟與引擎，玉山最在乎的是核心系統的穩定性，以及面對數位時代瞬間大量的交易，能快速彈性擴充，並有效的完成交易。黃男州強調：「新核心系統的設計目標是，要經得起數位服務可能有10倍、20倍爆量的挑戰。」</p> <p>因此，在這套自行開發設計的新一代核心系統，玉山以開放的雲端原生技術，微服務架構來打造。以往採用虛擬化作法，當交易量突然暴增時，還是得花上一些時間開啟虛擬機；這次，玉山新核心改用容器技術來實現，讓大量交易發生時，能更快速擴充，來持續提供服務。</p> <p>同時，玉山在設計新核心系統的時候，也納入了未來業務發展的彈性，透過各項參數化、模組化設計，比如可以針對利率、期間、額度、付息周期等各項設定快速調整，加速各項金融產品推出的頻率。</p> <p>另外，新核心系統的改造也為了海外發展進行設計，讓海外系統可以連線到臺灣的核心系統進行整體控管，顧客控管和風險控管等。</p> <p><span style="font-size: 28px;"><strong>玉山大腦系統演進之路，從大數據分析到AI應用</strong></span></p> <p>除了核心系統，玉山也同步強化大腦系統的能力。</p> <p>其實，玉山銀行的資料應用，是從傳統的資料倉儲分析到BI分析，再進一步開始投入資料科學分析、大數據分析、AI應用。</p> <p>早在2006年以前，玉山銀行資料的應用範疇，是最基本的資料倉儲應用，比如產生法規報表、經營報表等資訊。</p> <p>玉山更在2006年成立大數據分析團隊CRV（Customer Risk & Value），以顧客價值與風險分析方式，從靜態KYC資料分析，轉為收集動態CRV資訊，來進行更細緻的用戶分群和個人化分析。到了2013年，玉山銀行正式成立資料科學團隊。</p> <p>後續，玉山在2015年率先設立臺灣第一個數位金融事業處，同時，設立了臺灣銀行業首位數位長，並陸續推出e指系列數位金融產品與服務。比如，e指可貸產品，便運用了大數據分析，做到3分鐘內算出個人專屬的貸款額度和利率。</p> <p>2017年，玉山揭露自家3大FinTech策略：「智慧金融」、「場景金融」、「普惠金融」。當時，玉山更透過金融Chatbot「玉山小i」，將金融服務帶入到Line與Facebook等通訊平臺，提供個人對話式的服務，這個金融Chatbot，也讓玉山在智慧金融的策略，往前邁進了一步。</p> <p>場景金融策略，則是要走進顧客的生活場景，讓金融服務如水電般一樣便利。而從2015年以來，陸續推出的e指系列數位金融產品與服務，則是玉山普惠金融的實現。</p> <p>2018年初，玉山設立了全臺首位金控科技長，找來臺灣人工智慧學校CEO陳昇瑋（去年已故），兼任玉山金控科技長，借重他在AI和大數據的專長，讓玉山的科技領軍策略跑得更快、更深。</p> <p>當時，玉山科技策略上，聚焦金融科技、監理科技、行銷科技3大領域發展。在金融科技領域，將FinTech技術運用到各種金融面向，串連玉山現有支付服務，或是e指理財、e指外匯、e指可貸等數金服務。</p> <p>在監理科技領域，如反洗錢機制，除了傳統的黑名單控管之外，他們藉助科技了解顧客整體資金流向，自動掃描擴充黑名單，或有能力從上千萬筆交易中找出少數幾筆異常的記錄。</p> <p>最後是行銷科技，運用大數據、AI，對於整體顧客有更深入的了解，在對的時間，透過對的通路，將對的金融商品，提供給對的顧客，甚至要讓顧客體驗到迅速、精準、量身定做的金融服務，來建立一種「有溫度的服務」的顧客感受。</p> <p>玉山當時就訂出，將AI運用到上述3大領域上，並以AI價值鏈的4P特性，作為主要發展目標。在預測（Predict）用途，可預測顧客行為、風險控管、防制信用卡詐騙等；在行銷端（Promote），則要協助更多促銷活動；在生產端（Product），可透過AI重新設計更好的金融產品組合；最後一項是供應端（Provide），則要透過更多智能機制來提供，比如AI理財、Chatbot客服等。</p> <p><span style="font-size: 28px;"><strong>成立智金處專注發展AI應用，組織千人科技聯隊全力實踐FinTech</strong></span></p> <p>為了實現這麼多目標，所以，玉山運用開源技術自主建置了一個機器學習即服務平臺（Machine Learning as a Service，MLaaS），透過輕量級API提供所有系統機器學習服務，讓AI技術更有效率的廣泛用在風險管理、精準行銷、服務與作業流程精進等金融場景中。</p> <p>玉山也在2019年正式成立智能金融處，專注發展AI的應用，當時就有60多項AI專案同步進行，而為了有效率管理大量成長的AI應用，玉山建立了專屬的人工智慧雲端平臺，提供了程式開發環境與服務佈建環境給內部人員使用。</p> <p>這一年，玉山的MLaaS平臺也開始展現成果。比如，玉山銀行開發了AI信用卡冒用偵測系統，與傳統偵測系統相比，提升了3倍的精準度，並同時減少7成的錯誤警報，降低銀行的風險。</p> <p>又好比票據辨識服務，為了利用票據影像辨識自動化，來輔助人工登打，減少人工作業時間，玉山開發以AI為基礎的手寫票據辨識服務，用深度學習技術來辨識支票上手寫的中文大寫金額，及支票右上方的日期。根據玉山2019年CSR報告指出，透過這項服務，需人工檢查的票據數量，大幅降低到原本的3成以下。</p> <p>另一項是警示帳戶偵測系統，玉山利用利用機器學習建立模型以自動辨識詐騙帳戶，達到了比傳統手動方式還高40倍的精準度，每月可減少300個工作人天。此外，帳戶訊息也更能被集中管理，一旦被系統辨識出詐騙帳戶，資訊便能立刻透過網路傳送出去，讓所有分行的資訊能即時同步。</p> <p>或像是去年推出的e速貸，打破以往傳統核貸流程，仍需不少分層審核、人工判斷作業；玉山引進AI技術，將人工經驗轉為機器學習模型，例如靠AI進行洗錢防制的檢核，才實現了完全免人工，全程線上申請與對保後，最快在1分鐘內就能完成撥款。</p> <p>這時的玉山，已默默組織起一支以資訊開發、數位金融、資料科學為金三角的「科技聯隊」，陣容相當龐大且堅強，包括了資訊處、智能金融處、數位金融處、信用卡暨支付金融處等。整體而言，共有上千人規模，要全力深入實踐金融科技的應用。</p> <p>這幾年，玉山也開始大量引進學界最新的AI研發能量，積極推動AI產學合作，與交大、臺大皆成立了AI暨金融科技研發中心，也與中研院共同成立人工智慧研發中心，就是要結合學術界與產業界的能量，深化AI在金融科技場景的應用。</p> <p>甚至，玉山金控前後兩位科技長，都是從學界借調而來，去年8月初接下玉山金控科技長一職的張智星，就是玉山和臺大合作成立AI暨金融科技研發中心時的計畫負責人。</p> <p>此外，玉山從2019年開始，每年舉辦人工智慧公開挑戰賽，提供自家去識別化的顧客資料集，讓參賽隊伍能嘗試各種不同的演算法建構模型，藉此提升AI在產業的實務應用。這些都是玉山借助外力，來強化內部AI實力的關鍵作法。</p> <p><span style="font-size: 28px;"><strong>為支持單一數位品牌發展，資料治理策略成玉山第二次轉核</strong></span></p> <p>到了今年，玉山組織改造所需的兩大基礎工程，也就是神經系統與大腦系統，都已正式到位，終於能夠支撐起組織改造的基底，讓整體組織的變形與改造能靈活自如，讓組織可以跑得更快、跳得更高。</p> <p>此時，玉山也開始大膽的嘗試過去從來沒做過的產品策略，靠單一數位品牌e.Fingo，通吃旗下所有數位服務的作法，囊括行動銀行、數位帳戶、數位外匯、信用卡、數位理財、數位貸款等，更利用單一數位會員制度與e.Fingo點數機制，來經營整體數位客群。甚至，不只銀行服務，e.Fingo未來還要納入金控、證券的服務。</p> <p>擁有700萬個金客戶的玉山，除了有4百多萬張信用卡顧客外，也有200萬名行動銀行顧客，黃男州提到，玉山不只信用卡增加量名列第一，存款與放款業務的增加量，也是全國前三名。玉山的獲客能力如此良好，為何還要再獨立出一個單一數位品牌？</p> <p>根據玉山內部顧客研究，許多顧客與玉山只有單一產品往來，特別是許多信用卡顧客，與玉山僅有信用卡業務的往來，再更進一步分析後發現，黃男州透露：「使用玉山3個產品的顧客，比單用1個產品的顧客，可以產生的忠誠度與貢獻度差了整整10倍。」</p> <p>這也是為何，玉山催生了單一數位品牌e.Fingo，要從1個產品，發展到多個產品之間彼此串連。黃男州提到：「新品牌戰略目標是，要做到跨產品無斷點的串聯，讓顧客使用更多服務，創造更大顧客體驗，也對銀行帶來更高的價值。」然而，要做到這件事，就必須有IT與AI的支持。</p> <p>e.Fingo串聯了多個數位產品與服務，在會員經營上，則透過點數、徽章提升顧客與玉山往來的產品數，或像是利用MGM（Member Get Member）、組隊機制，鼓勵顧客與親友分享數位服務，並透過會員專屬權益或活動，來深化顧客互動與黏著度。</p> <p>隨著顧客在玉山得到的回饋越來越多，透過會員制與點數機制，讓顧客凡使用必留下足跡，未來，便能在數位產品各項運用上發揮效果，同時，培養顧客的忠誠度。這正是e.Fingo數位品牌戰略想要實現的願景。</p> <p>為了支援這個單一數位品牌新戰略的發展，玉山今年聚焦4大科技發展策略，期望用來優化各項營運流程，以提高使用者體驗，另一方面，也要強化更多數位服務串聯後的資料整合。</p> <p>玉山今年第一項科技發展策略，是用AI成為業務加速器，張智星表示，短期目標是將玉山原有發展的MLOps（機器學習維運自動化），嵌入到原有金融系統中，讓AI成為基礎建設的一環。甚至，要讓AI模型的更新有一套標準化的作法，來加快整個優化的流程。</p> <p>持續推動數位轉型是玉山今年第二項科技發展策略，主要作法是靠RPA實現更多流程作業的自動化。</p> <p>張智星提到，預計今年底要達到150支RPA流程機器人程式，期望為整體營運效能帶來更大改善。此外，玉山建立的流程機器人教育訓練課程，讓業管單位可以自行開發RPA，以達到整體流程最佳化。</p> <p>持續擴大科技產能是玉山今年第三項科技發展策略，除了贊助各式各樣學術研討會，今年，玉山會持續與臺大、中研院等單位在AI的計畫，讓玉山可以不斷接觸到最新科技，也將持續舉辦玉山人工智慧公開挑戰賽。</p> <p>最後，也是最重要的一項科技策略，是推動資料治理。玉山趁著這波組織改造，在金控層級設立了一個資料治理小組，討論各種跨部門或跨服務資料共享的議題。</p> <p>張智星強調，尤其新數位品牌e.Fingo要建立起整體性的顧客旅程，不只是系統面的調整，在資料面的分享和整合也是關鍵，這對於玉山來說，是立即要解決的問題。</p> <p>在資料治理上，玉山的目標是建立一個統一的資料架構，有一套共通的欄位架構，串聯所有的資訊，並歸納到單一顧客來進行分析。</p> <p>張智星坦言，千人千面，要將各面向的互動整合，才能做到最準確的評估，如果不做資料治理，AI應用就會出現斷點，但，若前面每個步驟都能盡可能處理乾淨，就可以做各式各樣的AI應用。</p> <p>去年，玉山核心系統轉換，是第一次的轉核，升級了IT、硬體。今年，玉山將推動資料治理，視為第二次轉核的高度，是非做不可的事情。</p> <p><span style="color: rgb(51, 153, 255);"><strong><span style="font-size: 36px;">玉山銀行資訊、科技、金融創新重要發展時程表</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9ABOX%E6%A8%99%E9%A1%8C%E4%B8%8B%E6%96%B9%E3%80%91%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山金控</span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2006年 </span> </span></strong></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>成立大數據分析團隊CRV（Customer Risk & Value）</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2012年 </span></span></strong></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>邁入第3個10年，重要發展策略為深耕臺灣、布局亞洲、金融創新</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>導入ISMS資訊安全管理系統，取得ISO 27001驗證</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>支持布局亞洲發展策略，打造海外核心系統並建置跨境平臺</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2012%E5%B9%B4%E3%80%91%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 500px; height: 283px;" /></strong></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山銀行</span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>與中國最大第三方支付平臺支付寶合推「兩岸支付通」服務，串聯電子商務資源，整合金流與資訊流，讓臺灣中小企業能透過網路將產品銷售到大陸</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2013年 </span></span></strong></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>成立資料科學團隊</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2014年 </span></span></strong></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>與全球最大線上支付業者PayPal合作，首創「玉山全球通」服務，讓臺灣商家可提領出PayPal帳戶款項</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>擬定科技領軍發展策略，進行資訊單位組織再造</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2015年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>成立數位金融事業處，設立臺灣首位銀行數位長，並陸續推出e指系列數位金融產品及服務（e指外匯、e指可貸、e指辦卡、e指理財、e速貸）</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2016年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>所有重要的業務系統全部現代化、開放</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>啟動為期4年的「新核心計畫」，全面改造銀行核心心臟</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>推出玉山Wallet及HCE手機信用卡支付功能，提供即時辦卡、綁卡、用卡體驗</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2017年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>揭露3大FinTech策略：場景金融、智慧金融、普惠金融</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2017年4月 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2017%E5%B9%B44%E6%9C%88%E3%80%91%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>透過AI聊天機器人技術，發展出個人對話式金融顧問服務，切進Line與Facebook等通訊平臺，推出金融Chatbot「玉山小i」</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2017年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>成立「玉山金控資訊安全管理委員會」</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>自建異地備援中心，完成資訊雙中心架構，提升資訊服務品質</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>成立「資安管理處」，專責資安治理與資安管理職責</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年2月 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>設立全臺首位金控科技長</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>發展AI智能金融，打造Machine Learning平臺</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年12月 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2018%E5%B9%B412%E6%9C%88%E3%80%91%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 500px;" /></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>導入最新生物辨識技術，推出全球首部結合動態密碼（OTP）刷臉ATM</strong>（圖片來源／玉山金控）</span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>與交通大學聯手成立AI暨金融科技研發中心</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>成立了智能金融處，專注發展人工智慧的應用</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年起 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>舉辦玉山人工智慧公開挑戰賽</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年7月 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>與臺灣大學聯手成立AI暨金融科技研發中心</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年2月 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>推出全自動化貸款平臺「e速貸」，運用AI技術打造無斷點數位貸款服務</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年5月 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2020%E5%B9%B45%E6%9C%88%E3%80%91%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山金控</span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>玉山金控攜手中研院成立人工智慧研發中心</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>推出「基金e指選」大數據找基金服務，運用大數據、演算法等新興技術自建基金理財認知偏好模型</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年7月 </span></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>推出新型態轉帳應用，讓電商業者介接「行動付款通」API，就能在平臺直接呼叫多家指定金融機構行動銀行App的付款功能</strong></span></span></p> <p><span style="font-size: 18px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年8月 </span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2020%E5%B9%B48%E6%9C%88%E3%80%91%E6%A0%B8%E5%BF%83%E7%B3%BB%E7%B5%B1%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山金控</span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>上線自行開發設計的新一代銀行核心系統</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2020年 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E4%BD%8D%E7%BD%AE%EF%BC%9A2020%E5%B9%B4%E3%80%91%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%BF%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／玉山金控</span></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>靠單一數位品牌e.Fingo，統合玉山旗下所有數位服務，並透過數位會員制度與點數機制，來經營整體數位客群</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2021年 </span></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>啟動成立29年以來最大的組織再造，成立個人金融事業總處與法人金融事業總處</strong></span></span></p> <p><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2022年 </span></strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;"><strong>將展開第4個10年，目標是邁向亞洲最具特色的標竿銀行</strong></span></span></p> </div></div></div>
2021/4/28 07:00作者李靜宜https://www.ithome.com.tw/news/144020
玉山徹底實現新核心計畫藍圖，打穩基礎後下一步是邁向場景金融
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在4年多前，玉山銀行便決定自行開發設計新一代銀行核心系統，來支持玉山下一階段的數位轉型。</p> <p>這不是玉山第一次自行開發，從2007年的第一套外匯系統，用開放的Java技術平臺打造開始，玉山就朝著自建大周邊策略邁進。到了2016年，所有重要的業務系統更已全面現代化、開放。即便是1992年建置的核心系統，也是自行在IBM大型封閉系統上開發。</p> <p>玉山銀行創立時，就訂下3大基礎工程：建立制度、培育人才、發展資訊，作為經營銀行最重要的3件事，當時，便奠定了玉山自行開發的精神。</p> <p>玉山金控暨玉山銀行資訊長謝萬禮強調：「這就是玉山的DNA，一開始就自行開發，掌握了最重要的關鍵技術，也清楚掌握許多業務運作，所以，對後續整體業務推展、資訊科技發展才能更為快速。」</p> <p>延續骨子裡的DNA，在最重要的核心系統轉換之際，玉山認為要往更加開放、數位化、能夠與外部介接，且能因應未來的數位挑戰來邁進。在這過程中，玉山也曾考慮，跟大多數銀行的作法一樣，直接導入套裝產品；不過，就算導入套裝產品，像是底層系統、評估引擎、框架等，都還得依據實務情況再調整，沒有自己開發，許多系統上的知識和資訊，資訊團隊就無法掌握。因此，他們決定依照自身的想法與期待，以及對未來整體數位科技發展，自行開發設計新一代核心系統。</p> <p>一開始只是核心系統的轉換，最後演變成了一個更大的新核心計畫。</p> <p>謝萬禮表示，不只是將封閉系統移轉到開放平臺，更重要的是，聚焦以顧客為核心，還有未來業務與系統架構的發展，來打造玉山科技發展與數位轉型的關鍵基礎工程。甚至，他坦言，人才招募、人才的能力，及團隊的合作模式，也是此次核心系統轉換的重要驅動力，玉山得進化技術平臺與科技發展，才能吸引更多優秀人才願意持續投入。</p> <p>他進一步比喻：「如果只有核心系統的轉換，就是將幾棟大樓翻新的都市更新；而新核心計畫，則是要打造更完整的都市計畫，不只轉換核心，就連顧客資訊整合、人才的能力與專業技術，還有團隊合作的機制與流程，玉山都希望趁著此次移轉的機會，一併重新打造。」</p> <p><span style="font-size:28px;"><strong>玉山新核心計畫1大目標、2項主軸、3個指標</strong></span></p> <p>為了新核心計畫這項大工程，玉山特別成立了一個專責團隊，負責計畫的發展、風險管理、人才培育方式。謝萬禮坦言，真正做下去之後，才發現有好多好多事情可以做，不過，計畫還是得依循時程前進，他強調。</p> <p>原來，玉山在2016年啟動新核心計畫時，就訂下4年後，也就是2020年8月，必須讓新核心系統順利、穩定上線，這是最重要的時程大目標。不過，謝萬禮考量到，當所有人的目光都聚焦在這群新核心團隊的成員，成果卻得過了4年後才能看到，那壓力該有多大？</p> <p>為了能有紀律地往這大目標邁進，過程中又能快速展現成效。玉山將新核心計畫分為兩大主軸進行，一是為核心瘦身，將以往額外添加到核心的功能拔出來，讓核心系統可以回歸基本面的帳務功能。二是將資料加值，將銀行所有的業務系統全部打通。</p> <p>謝萬禮認為，站在以顧客為核心的角度，最重要的是顧客資料的整合，既然有機會重新打造，一開始就要做好全盤思考。因此，玉山將各關鍵業務系統或關鍵前端的資料，都彙整到營運資料匯流平臺（ODS），作為玉山的資料集散地。如此一來，資料整合可以更即時，就能配合大數據分析或AI應用，在數位通路更快回應顧客，以及發展未來更多場景的加值應用。「打通了任督二脈，玉山就能串連起對顧客的體驗與服務。」他說。</p> <p>有了新的資料整合規畫，接著就是著手重新打造一顆銀行全新的心臟與引擎，當時，玉山訂下了3項指標。第一項是確保核心系統的穩定性，能夠順利、穩定上線。第二項指標是，面對數位時代瞬間大量的交易，能快速彈性擴充，並有效益的完成交易。因此，玉山以開放的雲端原生技術（Cloud Native）、微服務（Microservices）架構，自行開發設計新一代銀行核心系統。</p> <p>謝萬禮表示，過去，銀行不太可能出現交易量突然暴增的場景。但在數位的時代，「這種交易瞬間暴量的情境已變成新常態」，市場波動很大時，交易量會明顯跟著變化，而且暴量情況有時還會不斷持續，甚至無法預期何時會發生。</p> <p>以玉山數位換匯交易來說，只要匯率波動很大時，交易量就會突然暴增，曾有天交易出現尖峰，10分鐘左右就增加了2萬筆交易，經分析後才發現當天是玉山特匯日活動。或像是玉山有幾款信用卡可直接線上申辦，當進件量很大時，後端就得做好流程梳理，顧客才不會因為急著想了解申辦狀況，反而造成客服的壓力。</p> <p>以往，採用虛擬化的方式，遇到交易量暴增需要擴充運算資源時，還是得花上10到20分鐘來開啟其他虛擬機，反而成為了玉山因應這種場景的瓶頸。此次，新核心改用容器（Container）技術來實現，讓大量交易發生時能快速擴充持續提供服務，謝萬禮提到，這也是玉山採用雲端原生技術的主要考量。</p> <p>第三項指標是要將風險控制到最低。謝萬禮舉例，與核心串連的系統共有80幾套，如果每個系統都配合核心來修改，萬一發生問題，會找不出究竟是哪個環節出錯。所以，在核心系統開發的同時，玉山也將外部與內部溝通的介面，統一變成一個新的API平臺，不過，原則是盡量不調整前端通路系統，即便系統全面API化，但是API裡的電文與格式仍舊維持原有形式，以確保風險可控。</p> <p>「將所有系統通通API化，就像一條高速公路，所有的車上了閘道後，就能使用共通語言傳輸。」謝萬禮透露，系統全面API化，也是這次新核心計畫中的重要基礎工程，「打穩這項基礎後，未來玉山發展場景金融，需要結合外部生態圈平臺時，就能快速介接。</p> <p><span style="font-size:28px;"><strong>導入微服務架構的過程與好處</strong></span></p> <p>玉山新核心系統更導入了微服務架構，在整體設計上，謝萬禮指出，一開始就將全部功能拆分開來，以業務種類、以及與該業務有關聯性的功能來整理。然而，不同的業務之間可能有共同的交易，許多交易彼此間也會互相串聯，所以，「玉山把握的大原則是，在可控、影響相對小的模式下，將原本的一百多個功能服務模組，最後收斂成20到30個微服務。」</p> <p>他更進一步提到，導入微服務架構帶來的好處，以往，單體式系統非常龐大，上版程序既複雜又辛苦，風險也相對高，微服務化後，就不會牽一髮而動全身，即便單改一個功能也不會影響到其他服務，大幅降低對顧客服務的影響。</p> <p>此外，謝萬禮認為，由於銀行服務在上線過程，對於風險、品質控管、內控等各方面要求嚴格，從開發、測試、上線到營運這層層關卡，都得有一套管理機制或較為自動化的作法，否則每個關卡都可能是風險，成為營運或服務中斷的因素。</p> <p>所以，在打造新核心系統，玉山也導入了開發維運一體化（DevOps）機制，使用CI／CD將程式開發、測試、上線，透過自動化方式快速部署，並在開發上線時，使用自動化測試進行資訊安全檢核、系統回歸測試、上版自動化等，來降低人為的介入，盡可能不要因為人為發生的錯誤、疏失，造成服務的中斷。</p> <p>同時，為了能加速各項金融商品推出的效率，即時提供顧客各種創新的金融服務，玉山在設計新核心系統時，也納入未來業務發展的彈性，透過各項參數化、模組化設計，比如可以針對利率、期間、額度、付息周期等各項設定快速調整。</p> <p>2016年，玉山展開轉核時，訂出的目標只是以開放技術架構完成，當時並未考慮到微服務、容器化的議題。謝萬禮提到，轉核過程中興起了微服務的趨勢，玉山內部有一組團隊，專門研究未來新技術趨勢、技術成熟度，以及是否有辦法導入應用，他們開始研究微服務如何落地到銀行，甚至找來國外顧問機構，花了很長一段時間不斷討論，針對玉山關心的議題，觀察到的風險，以及參考國外成功的實務導入經驗。</p> <p>經過一番研究，玉山決定實際動手來測試可行性，嘗試在資訊部門內部先導入微服務、容器技術，謝萬禮指出，當時他們已完成新核心系統開發，所以，就直接將原本的開發環境移轉到容器環境，實際驗證與測試，確認系統穩定度，以及驗證Kubernetes的可行性，評估是否比原來的作法更為理想。最後，結果符合玉山的期待與要求後，才正式決定要朝這方向前進。</p> <p>「這是風險與機會的選擇。」謝萬禮認為，玉山採用新技術的判斷標準是，先了解技術本身並謹慎評估風險，找出可以降低風險的方式，即便發生風險也不會造成銀行根本上太大的損失；同時，核心系統轉換對銀行來說，可能是十年、二十年才會做一次的大工程，玉山必須思考未來的機會，評估導入或不導入新技術，各自會帶來的影響。「這時若不做這件事情，以後就沒機會了。」這是玉山破釜沈舟的決心。</p> <p>全新的技術平臺導入後，玉山很清楚，包括基礎架構團隊、開發團隊、維運團隊等，不只對新技術的管理能力要提升，甚至各方面都得重新改變與再造。謝萬禮表示：「開發系統相對容易，上線後的維運與管理才是最大挑戰。」所以，團隊還得將維運、資訊管理方式、管理工具、監控工具等，重新建置一套新的機制。「如果沒有做好這些，上線後就會遭受很大的風險，團隊成員也會成天提心吊膽。」</p> <p>甚至，他認為，這種微服務與容器全新底層技術平臺，或許日後能變成玉山在業務發展與重要系統發展上，可以共同發展的環境。透過這次核心系統導入，將相關制度做得更加穩健、紮實，未來，就能變成玉山重要的核心能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500_%E8%AC%9D%E8%90%AC%E7%A6%AE_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>玉山金控暨玉山銀行資訊長謝萬禮在歷經這場新核心計畫後最大的體悟是，判斷重要風險，並決定如何採取行動，以及即時調度資源與人力，來優化執行進度，是主管最重要的任務。</strong></span></p> <p><strong><span style="font-size:28px;">大量人力投入新核心開發與測試，測試階段更長達1年之久</span></strong></p> <p>「新核心系統一旦開放出去，就沒有回頭路，穩定、順利上線是最大原則。」因此，這場銀行核心換心旅程，必須一步步穩紮穩打，這是玉山的堅持。</p> <p>在開發階段，玉山約莫有200多名IT人員與BA人員組成的專案團隊，常態性的持續投入。而在測試階段，更是下足了苦工，投入200多名人力，花了整整1年時間進行嚴密測試。</p> <p>除了核心團隊開發完後，所進行的功能測試之外；2019年7月，玉山開始準備進行系統整合測試（SIT），所有IT團隊在此時更大舉出動，針對與核心系統介接的80幾個系統，在8月1日正式啟動SIT測試，每4個月一個循環，每個循環測試三輪。謝萬禮形容：「就像換心臟一樣，神經若有一處沒接通，可能身體某個部位就無法動。」</p> <p>同年12月，則開始執行使用者驗收測試（UAT），「玉山掌握的大原則是，顧客帳務部分絕對不能出錯。」這時，調派了所有業務單位，共投入幾百人撰寫個案，將所有系統分析文件，每個項目、邏輯規則測試案例全部寫下，在UAT一共測試了6萬多個案例。</p> <p>經過SIT、UAT，終於來到最大規模的上線前準備。謝萬禮告訴團隊，即便再怎麼努力測試，也不可能測試到完美，只能盡可能透過大量交易資訊，在類似營運的環境下進行系統功能驗證與資料比對，讓實際案例都能經過驗證。這是玉山團隊完成UAT之後，內部所進行的另一項測試。</p> <p>自行開發核心系統的玉山，對新核心計畫的每個里程碑都訂得相當明確，「一定要掌握大里程碑」是謝萬禮的首要原則。此外，還有另一大原則，是得「隨時關注最大風險」，因為，這些風險攸關能否準時將新核心系統上線的時程。</p> <p>謝萬禮認為，核心無法按照時程準時上線，也是一大風險，「團隊跑了這麼久的馬拉松，如果在最後一哩時，被告知要多跑5公里，大概也跑不下去。」這也是為何，玉山如此重視每個里程碑，即便有不如意的狀況發生，也要想盡辦法解決，如期完成。</p> <p>「資料轉置」便是其中一項重要風險，玉山也將其列入核心轉換的重大測試項目。不過，對玉山來說，這是一場大挑戰，因為，20幾年的舊資料，經過多代的調整與改變，轉移到新系統後所展現的情境與結果可能大不相同。</p> <p>果不其然，第一次內部資料轉置測試，花了17到20個小時，為了加快速度，玉山資訊團隊開始調整資源、找方法與工具來改善，比如，將上千個資料轉置的步驟，從人工作業轉為自動化執行，並透過不斷演練的方式，讓流程最佳化，將資料轉置程序可能停下來的風險降到最低。</p> <p>後續，玉山執行了大大小小將近100次的資料轉置測試，更利用每2個月的例行維護，正式從營運系統將資料轉到新核心，執行了20次完整的資料轉置測試。</p> <p>不過，過程中仍面臨了一個小狀況，那就是舊系統資料每天都在更新，只要有任何新的資料狀況，都可能導致轉置程式的執行發生問題，團隊當下只能進行程序調整或修改源頭系統來排除問題。</p> <p>甚至，到了核心上線前一周還有狀況，突然有一筆資料出現問題，為了確保資料轉置順利完成，玉山資訊團隊成員在上線前一天早上，又將資料再做一次轉置驗證，確認資料沒有問題，當晚便準備啟動正式的核心轉換。</p> <p><span style="font-size:28px;"><strong>順利完成新核心上線之後，玉山揭露下階段面臨的挑戰</strong></span></p> <p>2020年8月2日凌晨零時，玉山如期展開核心系統轉換，目標是8小時內順利完成轉核。這一晚，玉山銀行董事長、總經理、資訊長，以及將近200名團隊成員，就在玉山金控科技大樓，一路熬到了天亮。</p> <p>關機後，代表玉山銀行服役了28年的核心系統光榮退役，接著，玉山開始展開資料轉置，將玉山銀行20多年的資料從舊主機遷移到新核心，然而，原本預計3小時才能完成的作業，卻整整提早了40分鐘結束。這一刻，竟成為了玉山轉核當天，最緊張的時刻。</p> <p>當時，謝萬禮並沒有選擇直接繼續往下執行，而是要求團隊再次驗證一次。即便資料轉置的整體程序，照表操課自動化執行，並逐一確認了每個回報，他仍然不敢掉以輕心。「資料轉置這步若錯了，下面都不要繼續走下去了。」</p> <p>原來，是因為團隊成員在上線前一天早上，又將資料再做一次轉置驗證，排除了可能卡關的情況，再加上舊核心已停止所有營運對外服務，增加了更多硬體資源，可以用來處理資料轉置作業。謝萬禮解釋了資料轉置比預期提早40分鐘完成的關鍵。</p> <p>資料轉置完成後，便一路展開資料的驗證。IT人員、BA、業務單位與各個前端通路先後開始驗證，到了早上6點多時，就已全數驗證完畢。此時，玉山選擇再次確認細節，並向財金公司簽到，驗證與財金的交易沒問題後，7點半便陸續將所有系統開啟，確保運作符合預期，準時8點正式對外提供服務。</p> <p>而在新系統轉換上線營運期間，玉山更建立了全行業務應變防護體系，總行各事業處及後勤單位共成立13個應變中心，國內各營業單位及客服中心合計成立199個應變小組，訂定應變計畫並安排數十次各種演練，確保上線營運後各項問題可以有效追蹤處理。在在顯露出玉山對轉核的嚴謹程度。</p> <p>回首新核心計畫的點滴，謝萬禮談到，原本以為4年很漫長，但，在執行的過程中才發現4年其實很短，尤其是展開測試階段那段期間。作為新核心計畫的共同召集人，一肩扛起統籌IT的重責大任，他最大的體悟是：「決策時要將資源與重點擺在哪裡非常關鍵，有時若一直注重枝微末節，卻忽略了重大風險，最後就會因此失敗。」所以，判斷重要風險，並決定如何採取行動，以及即時調度資源與人力，來優化執行進度，是主管最重要的任務。</p> <p>「新核心上線是玉山的階段性任務。」謝萬禮留下一個伏筆。玉山對新核心的期待是，系統全面API後，能快速與外部平臺介接，同時，也能快速應付瞬間大量交易。現在，這項基礎工程已準備就緒，玉山的數位轉型之路，不只要優化客戶體驗、內部流程再造，或是將金融產品數位化，「下一階段的挑戰是，發想出新的商業模式。」而且，需要與場景金融結合，才能串接到以往實體通路不容易做到，或是沒想到的場景。</p> <p>讓金融服務如水電般便利，一直是玉山的場景金融策略，但是到底要如何落實？謝萬禮表示，在消費者日常生活中的食衣住行育樂，讓銀行的服務嵌入各個場景的流程中，並做到讓消費者不自覺，這是玉山必須跨入的一步。玉山也很清楚，這樣的經營模式與想像，不是金融業能自行完成的，得完全跳脫框架，與各產業、異業來合作，才能真正實現場景金融。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>玉山銀行新核心專案12項特色</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色1 </span> </strong></span><strong>從核心系統的轉換，演變成更大的新核心計畫</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色2 </span></strong> </span><strong>4年前啟動就訂下2020年8月要如期上線的重要里程碑</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色3 </span></strong></span> <strong>成立專責團隊，負責新核心計畫的發展、風險管理、人才培育方式</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色4 </span></strong></span> <strong>2大開發主軸，瘦核和資料加值並進，打通所有重要業務系統，將資料彙整到營運資料匯流平臺</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色5 </span></strong></span> <strong>3大重要基礎工程，一是確保核心穩定上線，二是瞬間大量交易時能快速擴充，三是系統全面API</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色6 </span></strong></span> <strong>開發環境先導入微服務架構和容器技術實際驗證，確認系統穩定度及驗證K8s的可行性</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色7 </span></strong></span> <strong>導入微服務架構（20～30個微服務），導入DevOps機制，從開發、測試到上線都能自動化快速部署</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色8 </span></strong></span> <strong>新核心設計納入未來業務發展的彈性，透過參數化、模組化設計，讓各項設定可快速調整</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色9 </span></strong></span> <strong>開發階段共200多名IT人員與BA人員常態性持續投入，測試階段投入上百名人力，花了1年時間進行嚴密測試</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色10 </span></strong></span> <strong>2019年8月啟動SIT測試，同年12月，執行UAT測試，調派所有業務單位，投入幾百人撰寫個案，UAT總共測試6萬多個案例</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色11 </span></strong></span> <strong>UAT測試完成後，進行內部營運模擬實測，透過大量交易資訊，在類營運環境下進行系統功能驗證與資料比對，讓實際案例都能經過驗證</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 特色12 </span></strong></span> <strong>執行過大大小小將近100次的資料轉置測試，以及20次完整的資料轉置測試</strong></p> <p><span style="color:#696969;">資料來源：玉山金控，iThome整理，2021年4月</span></p> </div></div></div>
2021/4/28 07:00作者李靜宜https://www.ithome.com.tw/news/144021
玉山10年轉型關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1022feng_mian_p1.jpg?itok=ZhoHhtoj" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#696969;">早在10年前，玉山金控就定下亞洲玉山的目標，但，為何直到今年，才啟動未來需要的大規模組織變革？科技領軍策略、新核心系統上線，AI大腦成形，都是關鍵</span></p> </div></div></div>
2021/4/28 07:00作者李靜宜https://www.ithome.com.tw/article/144022
Fintech周報第179期：不怕對手來勢洶洶，樂天銀行新推多項功能，更多元轉帳、繳費和彈性信貸產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0417</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0430</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 樂天國際銀行 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">不怕對手來勢洶洶，樂天銀行新推多項功能，更多元轉帳、繳費和彈性信貸產品</span></strong><br /><span style="font-size: 14pt;">已對外開業3個多月的樂天國際銀行（簡稱樂天銀行），除了線上開戶、定存、信貸之外，近期再度推出多項新功能，包括線上約定大額轉帳、生活繳費、金融卡管理、信貸產品等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">隨著越來越多用戶將網銀帳戶作為主要往來帳戶之一，樂天銀行發現，轉帳匯款額度是用戶使用上的痛點之一，此外，用戶也希望大額資金進出可保有隱私性與安全性。因此，樂天推出線上大額轉帳約定功能，用戶事先約定帳戶跨行轉帳單筆可轉200萬元，一天最高可轉帳300萬元，且全程可線上完成，無須到實體分行臨櫃辦理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">同時，樂天銀行也推出大額轉帳調額功能，用戶可依據自身需求調整轉帳額度。此外，也一併上線預約轉帳、QR Code轉帳，以及非約定轉帳功能開關，用戶可分別設定金融卡及網銀是否要開啟或關閉非約轉功能。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">而樂天也在App中新增了一般銀行常見的生活繳費功能、信用卡自動扣繳功能、金融卡掛失或補發、金融卡提款調額等功能，但進一步依據顧客行為，優化了介面，比如，金融卡掛失或補發可透過App一鍵就能完成。同時，也推出可隨借隨還、不動用不計息的循環型信貸，以及線上大額還款，與貸款合約管理功能，讓用戶隨時查詢。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">此外，樂天銀行預告，即將與合作夥伴推出行動支付服務，目前正進行最後階段的檢視，未來，用戶打開銀行App就能在商店掃碼付款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台新銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位信貸 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI智能徵審 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台新銀行以機器學習方式建立AI智能徵審模型，全面自動化數位信貸申貸到核貸撥款流程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台新銀行近期推出「手t貸」數位信貸產品，將線上申貸流程全面自動化，從提出申貸到核貸撥款，台新銀行宣稱，顧客最快只要178秒可取得所需資金。台新銀行將過去貸款的審核經驗，以機器學習方式建立AI智能徵審模型，結合AI技術與內外部數據資料串接，透過系統智能照會，完成即時自動撥款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台新銀行進一步提到，為了開發新數位信貸產品，包含建立端到端無人為介入流程；重新建置AI智能徵審模型，取代傳統人工徵審模式；並利用API串接財金、聯徵中心資料庫。目的是提升信貸申請案件處理效率。不過，台新銀行表示，該信貸產品利用了大數據客群分析模型，因此，首波採限定名單邀請方式來提供服務。未來，台新銀行計畫所有貸款產品全面導入智能自動化核貸機制。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/080_%E5%8F%B0%E6%96%B0%E9%8A%80%E8%A1%8C_%E5%8F%B0%E5%8C%97%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E5%B1%95_20191129.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Line Bank </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Line Bank正式對外展開營運，一次揭露首波6大產品</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Bank近期宣布對外開行，首波推出6大產品或服務。Line Bank更自詡想成為新一代的全民銀行，目標客群是通訊軟體Line的深度使用者。Line Bank總經理黃以孟強調：「Line Bank就是開在Line上的一家銀行。」</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在開戶部分，讓用戶透過Line錢包、Line主頁就能開戶，同時，也開發一個獨立Line Bank App。更開立Line官方帳號，並嵌入智能客服Chatbot，提供線上文字回應、線上真人視訊、線上語音等服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Line Bank也仿效Line的好友轉帳、分帳功能，可選取Line好友，輸入費用總金額之後，便會依照人數自動拆分每人所需付的金額，甚至，有人想多付的話，還能彈性調整金額。此外，還推出一項夢想帳戶產品，Line Bank將零存整付定存產品，以客製化、遊戲化方式，以階梯式加碼的模式，配合角色闖關機制，讓用戶每月都有動力存下目標金額。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">簽帳金融卡則主打消費刷卡後同時發放回饋的Line Points點數。開戶時可同時授權，快速綁定Line Pay功能。另一項創新功能是讓用戶可隨時轉換卡片權益。在分期信貸服務上，則提供全線上端到端流程。黃以孟表示，短期目標是今年6月底前，累積50萬名用戶開戶。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，Line Bank對外開行第一天就遇上<a href="https://www.ithome.com.tw/news/144014">大當機</a>，從當天傍晚開始，陸續傳出系統無法使用的問題。Line Bank回應，主因是用戶開戶踴躍，造成系統超載，雖一度在晚間8點修復，卻因同一時間瞬間湧入大量用戶，所以，造成系統再次壅塞。後來，Line Bank團隊經過內部排解，直到晚間10點，開戶申請流程才恢復正常。<a href="https://www.ithome.com.tw/news/144005"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_Line%20Bank_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位證券 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山證券 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山證券成立首家數位分公司，將整合各項數位金融服務並擴大異業合作</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">玉山證券在4月中旬宣布第一家數位分公司正式開業，將採取與一般券商不同的創新經營方式及市場開發模式。玉山證券董事長曾宜欣表示，將以數位導客方式拓展新顧客群，提供更貼近市場需求、具效且創新的證券服務，並運用大數據推動精準數位行銷。同時，實體分公司則能轉型成為顧客深度關係經營的角色。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，玉山證券也要透過數位分公司來整合各項數位金融服務，再擴大異業合作的經營，並作為玉山證券推進數位工程和虛實整合的發動引擎。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E7%8E%89%E5%B1%B1%E8%AD%89%E5%88%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.jpg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 土耳其央行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣禁令 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">土耳其央行明文禁止以加密資產作為支付工具，4月30日生效</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">土耳其的官方公報《Official Gazette》在4月中旬公布了一項有關加密貨幣的規定，禁止當地以加密資產作為支付工具，相關規定將於4月30日生效。根據規定，加密資產不得作為直接或間接的支付工具，且不得有服務直接或間接支援以加密貨幣支付，此外，不管是支付組織或者是電子貨幣機構，都不得提供加密資產的交易、託管、轉移或發行服務。<strong><a href="https://www.ithome.com.tw/news/143923">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險理賠 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 醫院資料串接 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">保險區塊鏈共享資料從保險公司間延伸到醫院，下一步是串接醫療結構化資料</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">壽險公會、臺北市政府、4家醫療機構與14家產壽險公司，在4月23日共同宣布推出「保險理賠醫起通」服務，未來，民眾向保險公司申請理賠時，便能直接授權醫院將診斷證明書與費用收據證明等資料，傳遞給保險公司，來提升民眾申辦理賠的效率，該服務將於5月3日正式啟用。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">不過，壽險公會表示，目前推出的保險理賠醫起通服務是在第一階段，醫院與保險公司共享的資料形式，是以PDF格式提供。未來，到了保險理賠醫起通服務第二階段，壽險公會表示，希望醫院與保險公司之間，採取結構化資料對接的方式。但，還是得視與合作醫院洽談的進度，目前有幾家醫院已展開第二階段的串接，預計今年底可以推出醫療資料結構化串接。壽險公會也希望接下來，能有更多代表性醫院能加入此平臺。<a href="https://www.ithome.com.tw/news/144034"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CBDC </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 英國央行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 英國財政部 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">英國財政部與英格蘭銀行聯手成立央行數位貨幣專案小組，計畫讓CBDC與現金並行</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">英國財政部（HM Treasury）與英格蘭銀行（Bank of England）在4月中旬時，共同成立中央銀行數位貨幣（CBDC）專案小組，以探尋英國發行CBDC的可能性，目前的計畫是讓CBDC與現金並行，而非以數位貨幣來取代現金。英格蘭銀行為英國的中央銀行，該行表示，他們尚未決定是否要在英國推出數位貨幣，但將與利益相關者互相交流，廣泛評估數位貨幣所能帶來的好處與風險。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">CBDC專案小組將會探索CBDC的目標、使用案例、機會與風險，同時規畫它的功能，對CBDC的所有可能性進行全面與嚴格的評估，監控全球CBDC的發展，以確保英國保持在全球創新的前線。雙方成立專案小組之餘，也設立了CBDC交流論壇及CBDC技術論壇，以用來集思廣益；未來也將於央行內部設立新的CBDC部門，除了研究與評估CBDC之外，也將作為英國與其它國際金融組織針對CBDC進行交流的窗口。<strong><a href="https://www.ithome.com.tw/news/143957">（詳全文）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; vertical-align: top;">攝影／李靜宜；圖片來源／樂天國際銀行、玉山</span><span style="font-size: 18.6667px;">金控</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p><strong style="font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 18.6667px; vertical-align: top;">1. </strong><a href="https://www.ithome.com.tw/news/143860" style="font-size: 14pt;"><strong>國發會MyData正式上線，民眾可用銀行晶片金融卡取代自然人憑證進行身分驗證</strong></a><br /><strong style="font-size: 18.6667px; vertical-align: top;">2. </strong><a href="https://www.ithome.com.tw/news/143982" style="font-size: 14pt;"><strong>蘋果發表Apple Card Family服務，可與家人共享與合併信用額度</strong></a><br /><strong style="font-size: 18.6667px; vertical-align: top;">3. </strong><a href="https://www.ithome.com.tw/news/143988" style="font-size: 14pt;"><strong>西雅圖Whole Foods導入Amazon One掌紋支付 </strong></a><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">4. 北富銀推海外債券線上交易服務，用戶利用行銀或網銀可進行海外債券申購、贖回委託、線上申贖取消</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">5. <a href="https://www.ithome.com.tw/news/143852">美國最大加密貨幣交易平臺Coinbase上市，首日股價飆至3百美元</a></strong><br /><span style="font-size: 18.6667px;"><b>6. </b></span><a href="https://www.ithome.com.tw/news/143797"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">幣安（Binance）推出股票代幣交易服務</strong></a><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年4月</strong></p> </div></div></div>
2021/4/27 17:37作者李靜宜https://www.ithome.com.tw/news/144069
資安一周第143期：廣達傳遭勒索軟體REvil攻擊。明尼蘇達大學將漏洞導入Linux核心惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">4/22-4/28 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong style="vertical-align: top;">廣達傳遭勒索軟體REvil攻擊，歹徒要脅蘋果購回外洩產品資料</strong></h2> <p>蘋果剛於4月21發布春季新品之際，傳出為其代工的廣達遭到勒索軟體REvil攻擊，<a href="http://www.ithome.com.tw/news/143958">駭客在勒索廣達不成轉向蘋果</a>，揚言不付錢就要公開旗下產品資料，並宣稱他們已經和買家洽談出售事宜。</p> <p>而對於此事，廣達發表聲明表示，確實有少部分伺服器遭到網路攻擊，他們於第一時間啟動防禦機制並清查，少數被波及的內部服務均恢復運作，公司營運沒有受到影響，並表示他們會全面提升網路安全等級。<strong><a href="https://www.ithome.com.tw/news/143979">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃開放源始碼＃漏洞濫用＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">明尼蘇達大學將漏洞導入Linux核心惹議，所有貢獻程式碼遭封殺</strong></h2> <p>來自明尼蘇達大學（UMN）的研究人員，多次藉由貢獻修補程式至Linux核心的名義，利用修補程式導入臭蟲或漏洞，以觀察社群的反應。直到近日於2月再度故技重施時，遭到知名Linux核心開發者Greg Kroah-Hartman斥責，並表明從今以後封鎖所有來自該大學的貢獻，以及移除過去該大學曾經貢獻的程式碼。<strong><a href="https://www.ithome.com.tw/news/143992">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-1-Linux-kernel-UMN.png" style="width: 400px; height: 146px;" /></p> <p><span style="color:#808080;">圖片來源：Greg Kroah-Hartman</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃防毒軟體 </strong></h3> <h2><strong style="vertical-align: top;">趨勢科技軟體舊漏洞遭駭客攻擊</strong></h2> <p>趨勢科技於4月21日發出警告，他們在2020年11月修補端點安全產品ApexOne與OfficeScan XG的5個漏洞，如今發現一起利用相關漏洞的攻擊活動，再度提醒還沒採取行動的企業應儘速修補。</p> <p>至於攻擊者的身分為何？新聞媒體The Record取得可信來源說法指出，攻擊者應該是APT駭客組織，意謂著很有可能背後有國家撐腰。<strong><a href="https://www.ithome.com.tw/news/144011">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-2-CVE-2020-24557.png" style="width: 400px; height: 198px;" /></p> <p><span style="color:#808080;">圖片來源：趨勢科技</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞攻擊＃NAS</strong></span></h3> <h2><strong style="vertical-align: top;">威聯通NAS遭勒索軟體Qlocker攻擊，疑似甫修補的重大漏洞惹禍</strong></h2> <p>臺灣NAS製造商威聯通科技（QNAP）再傳出用戶遭到勒索軟體攻擊！根據資安新聞網站Bleeping Computer的報導，自4月19日開始，有許多該廠牌用戶的NAS設備遭到勒索軟體Qlocker攻擊，檔案全變成具有密碼保護的7-Zip壓縮檔案。</p> <p>對此威聯通表示，攻擊者入侵的管道很可能與他們最近發布資安通告的2個重大漏洞有關。這2個漏洞分別是CVE-2020-2509，以及CVE-2020-36195，該公司強烈建議用戶更新QTS、多媒體主控臺，以及影音串流附加元件，來防範攻擊者濫用相關漏洞。<strong><a href="https://www.ithome.com.tw/news/144004">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/143-3-Qlocker-payment.png" style="width: 400px; height: 193px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Bleeping Computer</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃RDP</strong></h3> <h2><strong style="vertical-align: top;">130萬個遠端桌面連線帳密流入黑市</strong></h2> <p>使用遠端桌面連線（RDP）是存取企業內部環境相當常見的做法，但也很容易成為攻擊者入侵的管道。最近威脅情資業者Advanced Intelligence指出，從2018年迄今，駭客透過地下市集兜售企業RDP帳密130萬個，並可能已被用於這兩年的勒索軟體攻擊。值得注意的是，不少外洩RDP帳密的組織過去兩年內曾遭遇勒索軟體攻擊，意謂著這些RDP帳密很可能成為駭客滲透企業的破口。對此他們再次提醒企業與組織，在RDP的使用上，應該只能允許特定IP位址連線，並切勿使用弱密碼。<strong><a href="https://www.ithome.com.tw/news/144025">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃SSL VPN </strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客利用VPN裝置漏洞鎖定美國國防產業展開攻擊</strong></h2> <p>US-CERT、美國網路安全暨基礎架構安全署（CISA）、資安業者FireEye，以及VPN裝置製造商Pulse Secure，在4月20日揭露了數起濫用Pulse Connect Secure漏洞的攻擊行動，並表明是鎖定美國國防產業與全球政府機關而來。研究人員認為，攻擊者很可能自2020年8月就展開攻擊，且背後有中國政府資助。</p> <p>值得留意的是，攻擊者濫用的4個漏洞當中，有一個是尚未有修補程式的CVE-2021-22893，僅有暫時的緩解方法能夠因應。<strong><a href="https://www.ithome.com.tw/news/143971">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃漏洞攻擊</strong></span></h3> <h2><strong>SonicWall電子郵件安全產品存在3項零時差漏洞</strong></h2> <p>繼SSL VPN設備漏洞遭到濫用後，SonicWall再傳出旗下郵件安全系統存在重大漏洞的情況，於4月19日提出警告要用戶儘速更新。這次修補的3個漏洞可被串連發動攻擊，其中最嚴重者的CVSS風險評分達到9.8分。發現這些漏洞的資安公司FireEye指出，他們已看到相關攻擊行動，駭客在其中1臺受害伺服器濫用上述漏洞後，植入網頁殼層Behinder。<strong><a href="https://www.ithome.com.tw/news/143943">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Juniper裝置重大漏洞恐引發斷線或劫持</strong></h2> <p>資安設備商Juniper Networks於4月20日發布安全公告，修補作業系統Junos OS重大漏洞CVE-2021-0254，此漏洞恐引發設備斷線或執行任意程式碼的漏洞，CVSS風險評分達9.8分。</p> <p>這項漏洞與Overlayd服務有關，該服務於Juniper MX、ACX，以及QFX系列設備上預設執行，是主要受影響的產品，再者，其他設備若設定了Virtual Extensible LAN，也將曝險。<strong><a href="https://www.ithome.com.tw/news/143943">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">密碼管理軟體Passwordstate升級模組遭破壞，密碼恐全外洩</strong></h2> <p>澳洲軟體開發商Click Studios近日指出，該公司所開發的密碼管理軟體Passwordstate的升級模組日前遭到駭客入侵，就地升級的路徑被竄改成駭客控制的內容傳遞網路（CDN），導致部分用戶收到含有惡意程式的版本，將允許駭客盜走密碼。</p> <p>而對於駭客發動攻擊的時間，該公司表示，約於臺灣時間4月21日4時33分至22日8時，僅有這段期間執行升級的用戶受到影響，他們亦强調自己的CDN並未遭到入侵。<strong><a href="https://www.ithome.com.tw/news/144040">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃ATP攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">北韓駭客Lazarus濫用BMP圖檔及內嵌壓縮檔案，並搭配圖檔格式轉換等多重手法，來藏匿木馬程式</strong></h2> <p>北韓APT駭客組織Lazarus近期的動作頻頻，最近，該組織針對南韓使用者出手發動網路釣魚攻擊，以南韓某個城市舉辦的博覽會申請表單的名義，寄送帶有惡意巨集的Word文件，散布木馬程式攻擊來竊密，但和過往有所不同的是，為了迴避資安系統的偵測，他們將惡意程式碼藏在BMP圖片檔案裡偷渡。<strong><a href="https://www.ithome.com.tw/news/143981">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144037">AirDrop漏洞可能使蘋果用戶郵件、電話曝光</a><br /> ●<a href="https://www.ithome.com.tw/news/143993">Google軟體市集出現惡意App，鎖定西南亞和阿拉伯半島</a><br /> ●<a href="https://www.ithome.com.tw/news/143991">加密即時通訊業者Signal破解Cellebrite駭客工具</a><br /> ●<a href="https://www.ithome.com.tw/news/143986">駭客組織冒用線上服務網站，鎖定南美洲民眾意圖竊取資料</a></h3> </div></div></div>
2021/4/27 16:03作者周峻佑https://www.ithome.com.tw/news/144064
英特爾與微軟聯手對抗挖礦惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周<a href="https://www.microsoft.com/security/blog/2021/04/26/defending-against-cryptojacking-with-microsoft-defender-for-endpoint-and-intel-tdt/" target="_blank">宣布</a>，將與英特爾（Intel）聯手對抗挖礦惡意程式，於Microsoft Defender for Endpoint中整合英特爾的威脅偵測技術（Threat Detection Technology，TDT），以期更有效地偵測與防堵可能耗盡企業資源的挖礦惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/122520" target="_blank">TDT</a>為英特爾在2018年所發表的晶片安全機制，主要的兩大功能分別為加速記憶體掃瞄（Accelerated Memory Scanning）與先進平臺遙測（Advanced Platform Telemetry）。其中，前者是利用集成繪圖處理器來進行惡意程式的掃描，當時就被整合在微軟的 Microsoft Windows Defender Advanced Threat Protection中，後者則是結合平臺遙測與機器學習演算法，來改善先進威脅的偵測能力。</p> <p>當年正值勒索軟體正夯的時代，也讓英特爾強調TDT用來偵測勒索軟體的能力，然而，隨著挖礦惡意程式的興盛，英特爾與微軟把TDT的應用目標轉至挖礦程式。</p> <p>微軟解釋，Intel TDT是把機器學習應用在針對CPU效能監控單元（Performance Monitoring Unit，PMU）的低階硬體遙測，以最少的資源來偵測惡意程式的執行指紋，還能將機器學習的推測轉移到GPU，繼續以極少的資源進行偵測。</p> <p>此一技術是基於來自PMU的遙測訊號，PMU記錄著CPU指令的微架構執行特徵與效能，而加密貨幣的礦工會大量使用重複的數學運算，它們同樣也會被PMU記錄，當到達一定的使用閾值時，便會觸發訊號。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/wp-content/uploads/2021/04/TDT-and-MD-Detect-and-Remediate-Malware.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>微軟與英特爾是特別為了挖礦程式設計了上述技術，但微軟強調，即便如此，它還是能偵測到諸如旁路攻擊或勒索軟體等威脅。</p> <p>事實上，與其它惡意程式相較，挖礦程式所帶來的危害相對輕微，它只是會耗盡企業的硬體資源，然而，比特幣的價格不斷飆升，再加上其它加密貨幣的欣欣向榮，讓挖礦惡意程式的數量大增，而讓企業不堪其擾。根據資安業者Avira 的調查，挖礦惡意程式在去年第四季的攻擊數量，比第三季增加了53%。</p> <p>為了不讓企業資產淪為駭客的挖礦工具，微軟決定強化Microsoft Defender for Endpoint的能力，改善挖礦程式的偵測與封鎖功能，而且宣稱企業不需額外投資、也不需特別配置或安裝代理人就能使用，此一整合微軟與英特爾技術的功能，相容於Intel Core處理器以及第六代或之後的Intel vPro平臺。</p> </div></div></div>
2021/4/27 17:13作者陳曉莉https://www.ithome.com.tw/news/144067
蘋果釋出macOS Big Sur 11.3，修補已被開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周一（4/26）更新了iOS、iPadOS，以及macOS Big Sur，在最新的macOS Big Sur 11.3中，蘋果除了<a href="https://support.apple.com/en-us/HT211896#macos113" target="_blank">改善macOS作業系統</a>的能力之外，<a href="https://support.apple.com/en-us/HT212325" target="_blank">也修補了</a>逾60個安全漏洞，而當中的CVE-2021-30657傳出已遭駭客開採。</p> <p>根據蘋果的解釋，CVE-2021-30657漏洞藏匿在系統偏好中，允許惡意程式繞過Gatekeeper的檢查，且是由匿名的研究人員所提供。Gatekeeper是蘋果自2012年開始於macOS中所部署的安全機制，它可偵測及封鎖既有的惡意程式，以及使用者自網路上所下載的惡意檔案，確保macOS只能執行自App Store下載或是取得蘋果開發者憑證的程式。</p> <p>不過，資安工程師<a href="https://cedowens.medium.com/macos-gatekeeper-bypass-2021-edition-5256a2955508" target="_blank">Cedric Owens則出面表示</a>這是他所發現的漏洞，該漏洞自macOS Catalina 10.15就存在，駭客只要打造一個特製的macOS酬載，就能繞過Gatekeeper，使用者唯一需要做的就是雙擊該.dmg檔案，再雙擊該檔案中的假程式，而且macOS不會跳出任何的警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-CVE-2021-30657.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／Cedric Owens</span></p> <p>另一名資安研究人員<a href="https://objective-see.com/blog/blog_0x64.html" target="_blank">Patrick Wardle</a>深究（notarization）了該漏洞，發現此一漏洞事實上允許駭客繞過許多蘋果的核心安全機制，不僅是Gatekeeper，還包括檔案隔離與公證要求，而且當他請求專門打造蘋果生態安全體系安全解決方案的Jamf，尋找是否已有相關的開採程式時，得到了肯定的答案，同時相信針對CVE-2021-30657所設計的開採程式，至少已存在數月之久。</p> <p>繞過Gatekeeper、檔案隔離與公證要求，意謂著駭客將可在macOS平臺上執行任意程式，而且該漏洞也影響採用M1與macOS Big Sur 11.2.3的Mac電腦。</p> <p>總之，不管是Owens或Wardle都呼籲macOS用戶，應儘快升級至macOS Big Sur 11.3。</p> <p>至於macOS Big Sur 11.3在功能上的改善，則與iOS 14.5頗為類似，包括新增了對AirTag的支援，改善了Siri、播客（Podcasts）與新聞服務。該版也更新了Safari瀏覽器，允許使用者客製化Safari的起始頁面，新增對Web Speech API的支援，以讓開發者可在網頁上嵌入語音辨識功能，並提供即時的字幕、聽寫及語音導航能力</p> </div></div></div>
2021/4/27 15:55作者陳曉莉https://www.ithome.com.tw/news/144063
可在瀏覽器執行Python程式的Pyodide專案脫離Mozilla
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla在發布開源專案Pyodide 0.17版本的同時，也宣布<a href="https://hacks.mozilla.org/2021/04/pyodide-spin-out-and-0-17-release/">Pyodide</a>現在成為一個獨立的專案。Pyodide是一個包含科學堆疊，可以將Python編譯成WebAssembly的直譯器專案，適合用於想要在網頁瀏覽器中執行Python的使用案例。</p> <p>Pyodide內含一個可將CPython 3.8編譯成WebAssembly的直譯器，該直譯器可讓Python程式在瀏覽器中執行，而且Pyodide還提供許多常用的Python科學套件，供開發者立刻使用，另外，Pyodide也可以使用PyPi（Python Package Index），並包含了跨語言函式介面，透過該介面能夠將Python套件生態系，開放給Javascript和瀏覽器介面使用。</p> <p>而現在Pyodide已經成為一個獨立的專案，以單獨的GitHub組織來存放，由貢獻者團隊進行維護，專案的文件則在pyodide.org提供。當初Pyodide是Mozilla的一個內部專案，是為了要在Iodide中使用Python，試圖在網頁上建立互動式科學運算環境，官方提到，從發布以來，Pyodide就受到廣泛社群的注意，專案持續開發中，而且也有許多Mozilla外的專案正在使用。</p> <p>目前核心團隊已經完成透明治理的規則訂定，並且也規畫好未來發展的路線圖，歡迎開發者在新的GitHub儲存庫中參與貢獻。</p> <p>而Pyodide 0.17的主要更新則有三點，徹底重新設計中央API、類型轉換改進以及消除錯誤與記憶體洩漏問題。官方對類型轉換模組進行了大幅度的改善，目的是要讓Python和Javascript之間的物件轉換，可以產生相同的物件，也就是說，他們希望Python->JS->Python和JS->Python->JS的轉換，其開始與結束產生的物件都相同，雖然有一些不可避免的設計折衷，因此會有一些例外，但是現在大致上都會相同。</p> <p>官方解釋，Pyodide的一大優勢，就是Python和Javascript之間的跨語言函式介面，該介面可以消除使用兩個不同語言的麻煩。所有I/O都需要透過一般的網頁API，因此要讓Python程式碼可以利用瀏覽器的優勢，就需要能夠支援像是由Python產生資料，並且由HTML5 Canvas渲染資料，或是在Python中實作事件處理程式這樣的案例。</p> <p>過去Pyodide的痛點在於，當物件在Python和Javascript之間傳遞一輪之後，回傳的物件是不一樣的東西，而這並不是用戶期望的結果。物件往返轉換的問題，是由於Python類型隱式轉換到JavaScript造成，官方提到，雖然隱式轉換方便使用，但是系統常產生意料之外的結果。為了改進這些問題，官方做了一些調整，在字串、數字、布林和None都還是使用隱式轉換，而其他的物件則使用代理來幫助轉換，使用顯式轉換方法來將代理轉換成為原生類型。</p> </div></div></div>
2021/4/27 16:07作者李建興https://www.ithome.com.tw/news/144062
HashiCorp成Codecov供應鏈攻擊最新受災戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上星期程式開發測試服務業者<a href="https://www.ithome.com.tw/news/143917" target="_blank">Codecove爆出被駭</a>，可能導致供應鏈攻擊影響客戶。DevOps基礎架構工具廠商<a href="https://discuss.hashicorp.com/t/hcsec-2021-12-codecov-security-event-and-hashicorp-gpg-key-exposure/23512" target="_blank">HashiCorp自曝的確受到影響</a>，導致加密金鑰外流。</p> <p>Codecov於4月1日發現該公司的Bash Uploader script遭非授權存取及修改，可能危及客戶。Bash Uploader是供客戶上傳軟體開發專案的覆蓋率報告到Codecov的工具。駭客利用該公司Docker映像檔建立過程中一項瑕疵取得密碼，進而將Bash Uploader script中的IP位址，由Codecov改為駭客控制的伺服器，藉此悄悄蒐集客戶的重要憑證，包括API金鑰、令符及任何儲存在CI（continuous integration）環境中的資訊等，可能危及客戶網路上的服務或資料庫、應用程式碼。</p> <p><a href="https://www.ithome.com.tw/news/143917" target="_blank">路透社報導</a>，Codecov擁有P&G、GoDaddy、IBM等2.9萬家客戶，駭客可能已藉由Codecov存取其他開發工具軟體業者及服務廠商的公司網路。</p> <p>雖然其他客戶都宣稱未發現程式碼被駭客修改的現象，但HashiCorp坦承自己用於訊息加密、驗證程式的GPG私密金鑰已經曝露外流，這影響任何手動或自動以SHA256SUM檔案及相關簽章來下載該公司軟體的客戶。</p> <p>經過調查，未發現外流的GPG金鑰有非法使用的情形，不過為防萬一，HashiCorp已經輪換金鑰，發布新的GPG金鑰對，並廢止已曝光的GPG金鑰。現有HashiCorp軟體版本都經過檢查及重新簽發。</p> <p>HashiCorp表示，駭入事件僅影響SHA256SUM簽章機制。HashiCorp軟體在macOS公證（notarization）及Windows AuthentiCode的程式碼簽章都不受影響，而從releases.hashicorp.com 網站下載Linux（Debian和RPM）套件的簽發也安全無虞。</p> <p>但HashiCorp說明，該公司基礎架構即程式碼（infrastructure as a code）工具Terraform還未解決問題。Terraform為提供基礎架構開發、變更及版本控管的工具，也是使用GPG金鑰。它會在terraform init執行過程中自動下載供應商的二進位檔時執行簽章驗證。HashiCorp表示會再發布Terraform及相關工具的修補程式，以便在未來自動驗證程式碼時使用新的GPG金鑰。</p> <p>但在此之前，HashiCorp建議開發人員，init執行時最好以TLS連線保護下載官方Terraform供應商二進位檔，並以新金鑰和簽章手動驗證Terraform及其供應商。</p> <p>此外HashiCorp表示將持續調查是否有其他資訊外洩，會持續採取事件回應措施，有新進展也會持續通知用戶。</p> </div></div></div>
2021/4/27 13:34作者林妍溱https://www.ithome.com.tw/news/144058
蘋果釋出iOS 14.5，追蹤透明化政策正式上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周一（4/26）<a href="https://www.apple.com/newsroom/2021/04/ios-14-5-offers-unlock-iphone-with-apple-watch-diverse-siri-voices-and-more/" target="_blank">釋出了iOS 14.5</a>，該版本終於採用了可強化使用者隱私的程式追蹤透明化（App Tracking Transparency）政策，並允許戴著口罩的iPhone用戶在Apple Watch的協助下，以Face ID解鎖手機，還在Siri上新增更多的口音與聲音選項，亦可於Apple Maps上新增用戶所提供的即時交通狀況，為蘋果自去年9月釋出iOS 14以來最大的一次改版。</p> <p>新的程式追蹤透明化政策原本要隨著去年秋天問世的iOS 14一起出爐，但為了讓開發者有更多的因應時間，才延至本周的iOS 14.5。</p> <p>在啟用這項新政策之後，任何企圖要追蹤使用者的程式都必須先取得使用者的許可，不管是要跨程式追蹤、跨網站追蹤，或是分享追蹤資料予第三方，都要先徵求用戶同意；同時蘋果也規定，倘若使用者拒絕程式的追蹤，開發者仍應提供一致的程式功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-ios%2014-5-app%20track%20policy.png" style="width: 225px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>這是蘋果為了強化用戶隱私的新政策，就算程式已取得了使用者的許可，使用者之後也可透過設定來變更這些許可。</p> <p>iOS 14.5的另一項新功能，是允許iPhone用戶透過Apple Watch的協助，在戴著口罩的情況下仍能以Face ID來解鎖iPhone。只要當時的Apple Watch是解鎖的狀態，且就在iPhone附近，那麼當戴著口罩的使用者要以iPhone的Face ID來解鎖時，Apple Watch就能成為另一個驗證身分的工具，而輕易解鎖iPhone，在解鎖的同時Apple Watch也會產生振動，若該解鎖是場意外，那麼使用者也可直接透過Apple Watch將iPhone重新上鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-ios%2014-5-unlock%20face%20id.png" style="width: 325px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>不過，此一功能只支援iPhone X及之後的版本，以及Apple Watch Series 3與之後的版本。</p> <p>iOS 14.5版的Apple Maps則新增使用者回饋功能，允許美國與中國的使用者回報各種交通意外或是測速檢查，使用者可透過Siri向iPhone或CarPlay說明事故，並與其它的iPhone用戶分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-ios%2014-5-report%20incident.png" style="width: 210px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>至於新版的Siri則不再有預設的聲音，而是讓使用者在設定時可選擇不同口音的語文，再選擇不同的音質。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-ios%2014-5-siri%20voice.png" style="width: 243px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> <p>其它的更新還包括改善了播客（Podcasts）程式、Apple News程式、健身（Apple Fitness+）程式，以及開始支援蘋果剛釋出（<a href="https://www.ithome.com.tw/news/143968">https://www.ithome.com.tw/news/143968</a>）的物件追蹤器AirTag。</p> </div></div></div>
2021/4/27 13:52作者陳曉莉https://www.ithome.com.tw/news/144059
步上阿里巴巴後塵？美團也遭中國調查反壟斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國市場監管總局在周一（4/26）<a href="http://www.samr.gov.cn/xw/zj/202104/t20210426_328234.html" target="_blank">宣布</a>，將針對中國的食物外送平臺美團展開反壟斷調查，恐步上阿里巴巴後塵。</p> <p>中國市場監管總局所發表的聲明很簡單，僅說美團的「二選一」作法涉嫌壟斷行為，意指美團要求業者若選擇與美團合作，就不得與其它平臺合作，這與當初阿里巴巴受到調查與懲罰的指控一致。阿里巴巴在今年4月上旬<a href="https://www.ithome.com.tw/news/143774" target="_blank">被判罰</a>了182.28億元人民幣，為中國《反壟斷法》的最高罰款紀錄。</p> <p>美團則在官方微博上<a href="https://weibo.com/meituan?is_all=1" target="_blank">回應</a>，表示該公司將積極配合監管部門的調查，進一步提升業務合規管理水平，保障用戶以及各方主體的合法權益，但美團的各項業務仍正常運作，並未受到相關調查的影響。</p> <p>其實中國政府去年即開始加速針對境內企業的反壟斷調查，整頓目標涵蓋各行各業，並不僅限於受到外界矚目的平臺經濟，根據中國市場監管總局的<a href="http://www.samr.gov.cn/xw/tp/202104/t20210422_328116.html" target="_blank">統計</a>，去年總計辦結了109件壟斷案件，罰金總額為4.5億元人民幣，其中壟斷協議占了16件，濫用市場支配地位為10件，違法實施經營者集中有16件，濫用行政權力排除與限制競爭的案件有67件。</p> <p>去年因壟斷行為而<a href="http://www.samr.gov.cn/xw/zj/202012/t20201214_324336.html" target="_blank">遭到中國處分</a>的除了阿里巴巴、騰訊及丰巢網路等網路平臺之外，也包括醫藥、公用事業、汽車與建材等領域的業者。</p> <p>中國市場監管總局亦強調，今年將是反壟斷工作的「大年」，將以保護市場公平競爭及維護消費者利益為主軸，進一步加強反壟斷的監管執法，強化競爭政策的基礎地位，並完善公平競爭制度體系。</p> </div></div></div>
2021/4/27 13:16作者陳曉莉https://www.ithome.com.tw/news/144057
開源智慧手錶韌體InfiniTime達1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源智慧手錶軟體有越來越多選擇，設計和製造單板電腦、筆電和Linux手機的組織Pine64，正式宣布其開源智慧手錶韌體<a href="https://www.pine64.org/2021/04/22/its-time-infinitime-1-0/">InfiniTime</a>，已經達到1.0里程碑，可以提供更穩定完整的功能，即使不具有軟體開發經驗的使用者也能使用。</p> <p>InfiniTime的歷史要從PineTime專案講起，PineTime是在2019年10月起始的一個智慧手錶專案，完全由社群驅動，其定位是要作為PinePhone的補充裝置。而當時Pine64選擇了InfiniTime作為PineTimes密封和開發套件的預設韌體，而經過18個月的發展，現在Pine64正式發布了InfiniTime 1.0。</p> <p>InfiniTime原本的功能是要作為家庭自動化系統，結合硬體和嵌入式軟體來控制家裡的物聯網裝置，而這項原本是個人專案的韌體，卻在PineTime社群中流行起來，獲得了來自用戶與開發人員，在新功能和錯誤修正上的貢獻，之後又有幾個分別在Android和Linux智慧型手機上運作的專案，包括Gadgetbridge、Amazfish和Siglo都加入InfiniTime，提供更好的功能支援。</p> <p>InfiniTime主要的功能與常見的智慧手錶像是，可以提供數位與類比2種錶面，也有支援各種應用，像是碼錶、音樂控制、導航和心律等，用戶甚至可以在上面玩2048遊戲。還提供最基本的用戶設定，像是時間格式和喚醒條件等，也能透過基於MCUBoot的FOSS引導載入程序進行OTA升級，整體PineTime的電力可維持3到5天。</p> <p>官方提到，InfiniTime 1.0的意思不代表完全沒有錯誤，也無法與當前主流商業產品競爭，但是對於喜歡新事物和FOSS的用戶，可在不需要軟體開發經驗下，開始在日常中使用InfiniTime。InfiniTime 1.0也是Pine64將PineTimes銷售給終端用戶的第一個隨付韌體版本。</p> </div></div></div>
2021/4/26 20:57作者李建興https://www.ithome.com.tw/news/144045
Alphabet最新射月專案要解決再生能源電網困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的X Lab正在研究電網相關的工具，以幫助公用事業來<a href="https://blog.x.company/why-the-electric-grid-needs-a-moonshot-6dbac9b8b2c2">監控和預測電網</a>上的活動。官方提到，這個研究計畫屬於射月（Moonshot）專案之一，目標是要開發和測試電網監控系統的原形。</p> <p>電網為許多重要的基礎設備供電，但這是一個超過一世紀的工程設計，目的是要讓電力從石化燃料發電廠流向城鎮，隨著科技的發展，世界各國皆力推再生能源，因此再生能源的供電也開始流入電網，而且消費者也逐漸使用電動車，或是安裝太陽能發電板，這些發電與用電的變化，使得原本電網的平衡受到衝擊，X Lab提到，面對電網平衡的挑戰只會越來越大，因為要應對全球氣候變化，就必須要實現24/7全無碳電力。</p> <p>由於這項專案涉及複雜的電網專案，因此研究團隊找來Audrey Zibelman領導這次的射月專案，Audrey Zibelman是前澳洲能源營運商AEMO的執行長，在2019年和2020年使澳洲電網安然度過野火摧殘，也參與了紐約在經珊迪颶風重創後電力系統的重構。</p> <p>監控與預測再生能源電力的根本障礙，是無法確定流入電網的再生能源電量，研究人員提到，電網營運商每天都需要確保電網中，供應和使用的電力能夠維持平衡，但是管理和做決定卻面臨許多不確定性，其中最大的問題就是無法掌握風力發電和太陽能這種間歇性電力，流入電網的實際狀況。</p> <p>而且也無法即時了解能源流動的方式，目前缺乏所有供應商一致的全域檢視圖，和端到端彙總檢視圖，因此無法查看發電廠，甚至在一般人家中屋頂太陽能電板，這些電力進到電網的實際情況。而且不同單位的需求不同，掌握電網的方法也有所不同，從公用事業到系統營運商，每個管理、建構和調節等階段，都使用不同的工具和系統模型。</p> <p>由於這些原因營運商面對巨大障礙，尤其是電網中開始有數百萬個裝置可能向電網貢獻和擷取電力。研究人員提到，要解決這個複雜的狀況，其中一個切入點是為碎片化的電力系統，建構一個單一檢視圖，研究人員認為，機器學習技術可以在這個任務幫上忙，透過預測各種情況來預測整體電網的電力。</p> <p>研究團隊討論了幾個電網專案的重點，包括研究創建詳細且即時電網檢視圖的可能性，甚至要準確預測天氣，知道晴天與刮風的時間，來進一步預測發電量，也希望能夠預測和模擬電網未來的事件，官方提到，他們希望藉由探索這些問題，找到新的運算工具，帶領人們將電網從工業時代進展到智慧技術時代。</p> <p>在各國都極力想要脫碳的現在，研究團隊提到，營運商需要重新設計更新和管理電網的方式，而這件事無法由單一組織解決，因此跨Alphabet團隊執行射月專案，整合內外資源要共同合作解決這項問題。</p> </div></div></div>
2021/4/26 21:01作者李建興https://www.ithome.com.tw/news/144050
Blender最新渲染器Cycles大幅提升CPU和GPU效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源3D電腦圖形軟體Blender的渲染器<a href="https://code.blender.org/2021/04/cycles-x/">Cycles</a>，已經發展了10年，其專業的功能受到許多藝術家跟工作室採用，而在這個第10年，開發人員決定對Cycles做出重大改進，啟動了一項稱為Cycles X的研究專案，包括解決效能以及程式碼難以維護的問題。</p> <p>Cycles在2011年的時候首次對外發表，在當時的定位，是一個先進的著色與渲染引擎，作為Blender的外部擴充套件運作，而經過了10年，開發人員認為Cycles存在一些待解決的問題，因此啟動了Cycles X研究專案，目的是要更新Cycles架構，為接下來的10年做準備。</p> <p>Cycles X的目標包括改進架構，以有助於未來發展，並且提高瀏覽視窗（Viewport）和批次渲染的可用性，還要增加CPU和GPU的運算效能。在Cycles X改進架構的同時，開發團隊也希望可以提供更高級的渲染演算法，以支援更好的視覺效果。研究團隊提到，他們的第一個目標是要驗證新的架構，而他們也實作了一個新的GPU核心雛形，以及替瀏覽視窗和批次渲染開發新的排程演算法。</p> <p>開發團隊對外公開了目前的效能進展，Cycles的新架構明顯使得渲染效能提升不少，官方提到，效能進步最多的是擁有多光線反射和著色器的室內場景，新的核心可以達到更高的占用率（Occupancy）和連貫性（Coherence）。而開發團隊也花了許多心力在改善瀏覽視窗渲染，而新的渲染核心的確也提升了渲染效能，但開發團隊也提到，透過改善調度和顯示機制等調整，讓瀏覽視窗能夠更具互動性。</p> <p>Cycles X工作還需要至少6個月才能在Blender上正式發布，開發團隊拿掉了一些常見的功能，試圖在新架構中採用新的渲染方法實作，像是Cycles X就拿掉了立體渲染（Volume Rendering），開發團隊計畫要用更現代的演算法來實作光線投射和光採樣，而原本的陰影捕捉器，在Cycles X中也會以可以考慮間接光源的演算法來實作。</p> </div></div></div>
2021/4/26 21:03作者李建興https://www.ithome.com.tw/news/144056
日本松下電器將以71億美元收購美國軟體業者Blue Yonder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本最大的電機製造商松下電器（Panasonic Corporation）<a href="https://news.panasonic.com/global/press/data/2021/04/en210423-3/en210423-3-1.pdf" target="_blank">上周五（4/23）宣布</a>，將以56億美元的價格買下美國軟體業者Blue Yonder的8成股權，另也將支付Blue Yonder約15億美元的債務，此次的投資總額為71億美元。由於松下電器已於去年7月以14億美元取得Blue Yonder的20%股權，這次的交易等於是讓Blue Yonder成為松下電器百分之百持有的子公司。</p> <p>1985年成立的Blue Yonder為一私人軟體暨顧問公司，主要開發各種商用軟體，包括供應鏈管理、生產計畫、零售計畫、商店經營及類別管理等，其Luminate雲端平臺能夠管理供應鏈上的所有節點，從計畫、執行到商務等，約有5,500名員工，在全球擁有超過3,000家企業客戶。去年的營收超過10億美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/blueyonder%20with%20logo.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Blue Yonder</span></p> <p>而松下電器除了生產消費者電子產品之外，也是電池、汽車、航空電子系統與工業系統的製造商，亦涉足建築業。</p> <p>松下電器表示，結合該公司在工業工程、物聯網及邊緣技術的實力，再加上Blue Yonder奠基在人工智慧與機器學習技術的供應鏈與商業解決方案，將能加強Blue Yonder數位履約平臺的價值，雙方將共同替客戶帶來獨特的競爭優勢，推動更自動化及可執行的即時商業洞察，減少浪費並改善營運。</p> <p>其實松下電器與Blue Yonder在2019年1月便展開合作，雙方繼之在同年的11月於日本共同創立了公司，去年7月松下電器即買下Blue Yonder的20%股權，這次則是直接將Blue Yonder納入麾下。</p> <p>而松下電器也計畫在明年4月1日將Panasonic Group轉為控股公司，專注於關鍵領域的策略業務管理資源，諸如提供供應鏈創新及自動化，並將成立Panasonic Connect子公司來負責此一新的業務，未來Blue Yonder 執行長Girish Rishi與Blue Yonder資產都將加入Panasonic Connect。</p> <p>彭博社分析，松下電器期望藉由收購Blue Yonder擴張美國市場，只是該交易並不便宜，此外，儘管Blue Yonder已於本月秘密提出上市申請，但此一交易也將使得Blue Yonder取消其上市計畫。</p> <p>雙方董事會都已同意該收購案，預計於明年3月以前完成交易。</p> </div></div></div>
2021/4/26 15:34作者陳曉莉https://www.ithome.com.tw/news/144043
Google函式即服務Cloud Functions開始支援PHP
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google的函式即服務<a href="https://cloud.google.com/blog/products/application-development/php-comes-to-cloud-functions">Cloud Functions開始支援熱門的通用程式語言PHP</a>，目前支援的版本為PHP 7.4，開發者透過PHP函式開發框架可以編寫PHP函式，在雲端建構重要的應用和整合層程式。</p> <p>Cloud Functions是一個全托管的運算平臺，用來創建能夠回應事件的獨立函式，用戶不需要管理伺服器或是執行環境，Google提到，Cloud Functions非常適合用於無伺服器、即時資料處理、行動應用程式或是物聯網後端、影片、情感分析，甚至是聊天機器人和虛擬助理等應用。</p> <p>而Cloud Functions現在讓用戶可以在PHP 7.4環境中部署函式，並能夠存取專用VPC網路中的資源，PHP函式會根據應用流量自動縮放，用戶可以編寫HTTP函式來回應HTTP事件，並編寫CloudEvent函式來處理外部和內部服務，包括Cloud Storage和Firestore等衍生的事件。</p> <p>透過使用PHP功能開發框架，用戶可以開發可移植的PHP函式，先在本地端完成開發、測試和執行，再將其部署到Cloud Functions或另一個PHP託管環境。Google提到，PHP的函式框架支援HTTP函式和CloudEvent函式，HTTP函式類似Webhook，而CloudEvent函式則使用CNCF CloudEvents回應Google服務。</p> <p>PHP函式開發框架適合和熱門的PHP開發程序和工具一同使用，而PHP雲端函式還支援以Cloud Logging進行日誌記錄，能夠使用Cloud Logging客戶端函式庫或是stderr，來記錄資訊和錯誤資訊。</p> </div></div></div>
2021/4/26 15:43作者李建興https://www.ithome.com.tw/news/144041
密碼管理軟體Passwordstate的升級程序遭破壞，所存密碼全外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲軟體開發商Click Studios近日指出，該公司所開發的密碼管理軟體Passwordstate的升級程序於日前遭到駭客入侵，造成部份用戶更新了含有惡意程式的版本，允許駭客盜走客戶密碼。</p> <p>Passwordstate為一就地部署的企業密碼管理解決方案，首個版本現身於2004年8月，迄今已獲得逾2.9萬家企業及37萬名IT專家採用，客戶領域涵蓋國防、金融、媒體、娛樂、航太、汽車及IT安全業者等。</p> <p><a href="https://www.clickstudios.com.au/advisories/Incident_Management_Advisory-01-20210424.pdf" target="_blank">Click Studios說明</a>，駭客入侵了位於<a href="http://www.clickstudios.com.au">www.clickstudios.com.au</a>上的升級控制器，把就地升級（In-Place Upgrade）程序指向駭客所控制的內容遞送網路（CDN），並遞送含有惡意程式的升級檔案，而允許駭客存取客戶的密碼紀錄。</p> <p>駭客得手的時間為世界協調時間（UTC）4月20日20:33至4月22日的00:30（約台北時間21日的04:33至22日的08:00），約莫為28小時。Click Studios指出，只有在這期間執行就地升級的用戶受到影響，採用手動升級的客戶並未受到波及，而且只有很少數的客戶受到影響。</p> <p>安裝惡意程式版的客戶將會外洩電腦名稱、所有的服務名稱、使用者名稱、密碼、描述、GenericField1、GenericField2、GenericField3、URL或備忘錄等資訊，但加密的GenericField欄位資訊則不會被存取。</p> <p>若不確定自己的更新是否感染惡意程式，Click Studios提供了一個簡單的辨識方法，Passwordstate客戶只要檢查moserware.secretsplitter.dll檔案大小，若檔案大小為65kb，那很可能就是受到波及了，受到波及的客戶可以下載與執行由Click Studios所建置的修補程式，並重設Passwordstate內的所有密碼。</p> <p>Click Studios強調，駭客是透過官網危害了Passwordstate的更新程序，將客戶導至由駭客控制的CDN，Click Studios自己的CDN並未遭到入侵。</p> </div></div></div>
2021/4/26 14:32作者陳曉莉https://www.ithome.com.tw/news/144040
知名資安研究人員Dan Kaminsky驟逝，享年42歲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/node/50428" target="_blank">於2008年揭露</a>DNS協定設計漏洞而聲名大噪的資安研究人員Dan Kaminsky，近日傳出已於4月23日去世，享年42歲。</p> <p>Kaminsky出生於1979年，以研究DNS快取污染（DNS Cache Poisoning）聞名，<a href="https://www.ithome.com.tw/node/34106" target="_blank">Sony BMG在2005年時</a>，為了防止消費者複製CD上的音樂，於音樂CD上嵌入了具有Rootkit技術的XCP軟體，當時Kaminsky即利用DNS快取偵測（DNS Cache Snooping）技術，計算出全球約有56.8萬台電腦被植入Sony Rootkit。</p> <p>他在2008年發現了存在於DNS協定中的安全漏洞，可能允許駭客假冒網站、攔截電子郵件，或是繞過許多熱門網站的身分認證，Kaminsky通知各大DNS業者，並協助提高攻擊門檻。當時媒體詢問他為何不對外兜售該漏洞，他說這是不道德的，而且不希望他的媽媽只能去監獄看他。</p> <p>Kaminsky除了是各大資安研討會的常客之外，根據<a href="https://www.theregister.com/2021/04/25/dan_kaminsky_obituary/" target="_blank">The Register</a>的報導，他也是資安社群中極少數沒有負評的研究人員，不僅社群喜愛他，由於他願意不厭其煩地向媒體解釋技術細節，也受到媒體歡迎。</p> <p>曾於思科、Avaya與IOActive任職的Kaminsky，後來共同創辦了資安公司White Ops，並擔任White Ops的科學長，該公司的專長為利用JavaScript偵測惡意程式行動。<a href="https://twitter.com/dakami" target="_blank">Kaminsky</a>在Twitter上的最後貼文時間為4月19日，其中一篇推文透露他對人工智慧（AI）仍有許多疑問，認為AI是個工具，而且如何使用它很重要。</p> <p>根據報導，Kaminsky死於糖尿病所引起的酮酸中毒。</p> </div></div></div>
2021/4/26 12:25作者陳曉莉https://www.ithome.com.tw/news/144038
是軟體臭蟲而非詐欺，39名英國郵局分局長沈冤得雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個軟體系統的臭蟲會帶來多大的災難？英國郵局在1999年於11,500個分局導入了由富士通打造的IT系統Horizon，由於它的會計計算有問題，造成帳面上的短缺，而使得英國郵局在2000年至2014年間，以詐欺為名，總計控告了736名郵局分局長，還有些分局長因而入獄，上周五（4/23）<a href="https://www.judiciary.uk/wp-content/uploads/2021/04/Hamilton-Others-v-Post-Office-summary-230421.pdf" target="_blank">英國上訴法院</a>則讓39名原本被判有罪的分局長沈冤得雪。</p> <p>英國郵局（Post Office Ltd）是由英國政府（UK Government Investments）出資成立的郵局，它隸屬於英國政府，卻是一家私人公司，在英國總計部署了11,500家分局，當中只有191家直屬Post Office Ltd管理，絕大多數採用加盟形式。</p> <p>由日本業者富士通（Fujitsu）所打造的Horizon系統包含軟體與硬體，可用來支援郵局的營運與通訊，在於11,500家分局部署時，還被稱為歐洲最大的非軍用IT系統。然而，調查顯示該系統至少含有兩個臭蟲，一是Callendar Square臭蟲，二為收支不一致（Receipts and Payments Mismatch，RPM）臭蟲，而且從郵局的會議紀錄中發現，富士通與英國郵局某種程度知道RPM臭蟲的存在，影響40個分局，並提出了3種可能的解決方案，然而，最後英國郵局並未通知所有採用Horizon的分局，甚至連受影響的分局都不知情。</p> <p>於是，當分局的帳面出現短缺時，這些分局長便收到了告訴，根據<a href="https://www.bbc.com/news/business-56718036" target="_blank">BBC</a>的報導，有些分局長為了平衡帳面上的數字，甚至不惜抵押房產來彌補短缺。</p> <p>逾700名的分局長這十多年來相繼被告，而這群分局長之後也對英國郵局提出集體訴訟，英國郵局則是一直到2018年才坦承這是Horizon系統的失誤，開始與這些分局長和解。</p> <p>而因詐欺或竊盜被定罪的39名分局長，則一直等到英國上訴法院判決才終究沈冤得雪。</p> <p>英國郵局也在判決出爐的同一天<a href="https://corporate.postoffice.co.uk/our-media-centre#/pressreleases/post-office-apologises-for-serious-failures-in-historical-prosecutions-3093498" target="_blank">發表了道歉信</a>，指出因這起錯誤對這些分局長及其家庭所造成的影響深感歉意，未來將會持續改革郵局的經營與其文件，確保這類的事件不再發生。</p> <p>專門追蹤這起英國郵局歷史弊案的<a href="https://www.postofficetrial.com/2021/04/nick-reads-speech-to-troops.html" target="_blank">Post Office Trial</a>指出，英國郵局可能無力負擔要與眾多被誣陷之郵局分局長的龐大和解金額，而必須向英國政府求助，此外，英國郵局也已決定要永遠棄用Horizon系統，未來的郵局系統將採用更現代化的雲端服務。</p> </div></div></div>
2021/4/26 14:18作者陳曉莉https://www.ithome.com.tw/news/144039
AirDrop漏洞可能使蘋果用戶郵件、電話曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.usenix.org/system/files/sec21fall-heinrich.pdf" target="_blank">德國大學研究人員發現</a>蘋果產品中存在2項AirDrop技術漏洞，可能遭駭客破解加密，導致用戶電子郵件或電話號碼外流。</p> <p>這兩項漏洞是位於蘋果產品AirDrop的驗證過程。AirDrop檔案傳輸功能是利用Wi-Fi結合Bluetooth LE (BLE)在蘋果產品，包括MacBook、iPhone、iPad及Apple Watch之間建立點對點（P2P）通訊，允許iOS裝置不經由網際網路連線，也能彼此分享連結或檔案。蘋果於2011年首度在iOS實作以來，已經有超過15億臺蘋果裝置整合了AirDrop。</p> <p>當二臺支援AirDrop裝置相互驗證交握（mutual authentication handshake）時，透過封包交換判斷他們是否互為聯絡人（即彼此的聯絡人資料中，是否有對方電話號碼），判斷結果為肯定才能建立連線。這個過程稱為「聯絡人發現」（contact discovery）。封包內含裝置及用戶資訊，包括裝置規格及個人資料如電話號碼、Apple ID及電子郵件等。為了防止資料被攔截，蘋果也對此提供加密SHA256加密。</p> <p>德國達姆施塔特工業大學（Technic University of Darmstadt, Germany）研究人員發現，AirDrop驗證協定有2項重大漏洞，造成加密連線被駭入。這項漏洞來自iOS裝置發現（discovery）過程中，聯絡人識別碼的加密雜湊值可以很輕易利用暴力破解或字典攻擊破解。攻擊者只要在目標裝置的藍牙範圍內，運用市售Wi-Fi網卡攔截訊息，再以暴力破解取得雜湊資料來復原個人或裝置資料，即可取得聯絡人識別碼（即鄰近二臺接收、傳送檔案的iOS裝置的電話號碼和電子郵件）。</p> <p>而蘋果應該二年前就知道了。<a href="https://www.ithome.com.tw/news/141423" target="_blank">研究人員曾於</a>2019年5月和去年10月通知蘋果這項漏洞。例如2019年，<a href="https://www.usenix.org/system/files/sec19fall_stute_prepub.pdf" target="_blank">研究團隊警告</a>開採這兩項漏洞的結果可能導致多種攻擊，例如以中間人（man-in-the-middle）攻擊攔截並竄改傳送的檔案內容，阻斷兩臺iOS裝置通訊造成阻斷服務（DoS）攻擊。</p> <p>研究人員也建議名為PrivateDrop的PSI（private set intersection）交互驗證協定，表示可整合到AirDrop中以防範惡意人士攔截或竄改封包內容，不過未曾接到蘋果的回覆。</p> <p>德國研究團隊也將PrivateDrop技術<a href="https://github.com/seemoo-lab/privatedrop" target="_blank">公開於GitHub上</a>。</p> <p>蘋果未對此回應。</p> </div></div></div>
2021/4/26 10:05作者林妍溱https://www.ithome.com.tw/news/144037
資料庫服務Cloud Spanner開始支援由用戶管理的加密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/databases/added-security-and-control-with-cmek-for-relational-cloud-database-spanner" target="_blank">Google</a>強化資料庫服務Cloud Spanner的安全性，提高用戶保護資料的能力，推出了由用戶管理加密金鑰的CMEK功能，讓用戶可以在雲端金鑰管理服務（Cloud Key Management，KMS）管理加密金鑰，並同時新增存取許可功能（Access Approval）。Cloud Spanner是Google雲端的全託管關聯式資料庫服務，具有無限規模、高效能、跨地區、強一致性和高可用等特性。</p> <p>Spanner不只預設客戶端函式庫會加密傳輸的資料，同時儲存在雲端的資料，也會使用由Google管理的金鑰加密，但Google提到，由於金融服務、醫療保健和生命科學以及電信等受監管的行業，用戶有需要自己控制加密金鑰的需求。因此Spanner提供CMEK支援，讓用戶可以完全控制加密金鑰，執行高安全性和法遵要求的工作負載，另外，用戶還也能夠使用CMEK來保護資料庫備份。</p> <p>Spanner整合了Cloud KMS來支援CMEK，用戶可以在Cloud KMS中生成、使用、轉換和銷燬加密金鑰，需要更高安全等級的用戶，可以選擇使用受硬體保護的安全金鑰，在FIPS 140-2等級3驗證的硬體安全模組中，託管加密金鑰並且執行加密操作。這個Spanner中的CMEK功能在所有Spanner地區均可用，並且用戶還能選擇多個支援KMS和HSM的地區。</p> <p>除了改進加密金鑰管理功能之外，Cloud Spanner還新增了存取許可功能，Google提到，除了安全控制之外，用戶還需要對資料使用的方式，擁有完全的可見性和控制能力。</p> <p>過去用戶使用Cloud Spanner稽核日誌來記錄，其Google雲端組織成員和管理員的資料存取活動，同時也能啟用透明性日誌來記錄Google人員的行動，確認Google支援人員和功能人員操作用戶資料的正當性。而在最新版本的Cloud Spanner中，Google強化了這些功能，進一步提供存取許可功能。</p> <p>存取許可提供用戶更多控制資料的方法，用戶可以阻止Google員工存取資料，並且在獲得明確許可之後，才能繼續資料存取操作，Google提到，這是透明性日誌在透明性之上，提供的另一個控制層。存取許可也讓用戶查詢已許可、已拒絕和過期請求等歷史記錄。</p> <p>要使用這項功能，用戶必須從組織的控制臺中，啟用存取透明性功能，之後就能從控制臺啟用存取許可功能。</p> </div></div></div>
2021/4/24 22:21作者李建興https://www.ithome.com.tw/news/144029
雲端生命周期管理系統Airship 2發布，改進K8s支援並簡化操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端生命周期管理系統Airship的開發團隊，發布了最新的版本<a href="https://www.airshipit.org/blog/airship2-released/" target="_blank">Airship 2.0</a>，該版本提供了宣告式介面Airshipctl，讓用戶組合和調度雲端原生建置模組，來供應或是管理Kubernetes，以及其衍生的軟體堆疊。</p> <p>Airship是一個宣告式的框架，可讓使用者大規模地，供應和管理雲端基礎架構。Airship 2.0的核心，也是從Airship 1.0以來最大的進展，便是Airshipctl這項用來管理宣告式基礎設施的命令列工具，透過Airshipctl直覺且簡單易用的介面，供用戶方便地操作其他開源專案，包括Cluster API、Metal Kubed、Kustomize和kubeadm等。</p> <p>Airshipctl可以從版本化的Git存儲庫，以Kubernetes資源檔案的形式，擷取宣告式意圖，並且透過與Kustomize的整合，Airshipctl能將行動（Action）的任意部分，轉出為文件包，官方提到，這個功能讓用戶在將意圖部署到實際站點時，就能夠先進行測試和驗證，進而提供強健的可預測性保證。</p> <p>Cluster API是一個Kubernetes子專案，提供宣告式API和工具，來簡化Kubernetes叢集的配置、升級和操作，而由於Airshipctl緊密整合了Cluster API，因此Airship 2能夠良好支援各種基礎設施後端和作業系統，從Azure、Google等公有雲，到虛擬機器Openstack，甚至是裸機Metal3，Airship 2以單一工具，統一這些不同供應商的雲端基礎設施建立、配置以及生命周期管理。</p> <p>而為了要使解決方案盡可能簡單，官方在Airship 2實作了2種模式，第1種Airship將最小化的有狀態長期控制平面元件加入到Kubernetes，並且僅與Kubernetes API本身互動，官方提到，這種作法確保了簡單性，並且縮減資源消耗和安全表面，其次則是在Airship 2新增階段（Phases）和階段計畫（Phase Plans）的概念，可對不連續的生命周期管理階段進行排序和迭代。</p> </div></div></div>
2021/4/24 22:23作者李建興https://www.ithome.com.tw/news/144035
一周大事：Dell將VMware分拆上市。國發會MyData平臺正式上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>Dell正式將VMware分拆上市，入帳90億美元</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Dell_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Dell.png" style="text-align: center; width: 250px;" /></td> </tr><tr><td><span style="color: rgb(105, 105, 105);">圖片來源／Dell</span></td> </tr></tbody></table><p>在規畫數年之後，電腦硬體大廠Dell正式將虛擬化軟體業務VMware分拆上市。</p> <p>這項交易將產生兩家獨立公司。VMware將發放115到120億美元現金股利給股東，其中Dell因持有VMware 81%股權，將可拿到93到97億美元。交易預計今年內完成。</p> <p>Dell執行長Michael Dell表示，分拆VMware將能同時為Dell及VMware二家公司創造成長機會，並為雙方股東創造更大價值。他表示，兩家公司仍將維持夥伴關係，以各自強項來服務客戶。VMware則表示，這項交易使該公司擁有更大策略執行的自由、更簡化的資本結構、治理模型及策略、營運以及財務彈性。<a href="https://www.ithome.com.tw/news/143848" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>MyData平臺正式啟動，用銀行晶片金融卡也能申請</strong></span><strong style="font-size: 28px;">使用</strong><strong style="font-size: 28px;">政府個人化資料</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0418-mydata-600.jpg" style="width: 600px;" /></p> <p>近期國發會正式推出個人化資料自主運用平臺MyData，民眾只要確認身分，透過該平臺就能下載超過百項政府個人化資料，並授權供第三方政府機關或是銀行，在臨櫃服務或是線上申請信用卡使用。</p> <p>去年開始試營運到今，MyData已有超過9,600名會員，下載次數累計超過3.9萬次，較受歡迎的前3名線上服務為銀行業者的線上信用卡申請、信用卡補件服務。目前MyData開放下載的政府個人化資料，從試營運階段的31項一舉擴大為105項資料，涵蓋戶役政、勞保、地政、健保、財稅金融、社福、商工、交通、能源、教育、法務及綜合共12大類。<a href="https://www.ithome.com.tw/news/143860" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Line Bank開行首日大當機</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-line%20bank.png" style="width: 400px;" /></p> <p>Line Bank在4月22日對外開行，成為臺灣第二家開業的純網銀，然而，開業當天傍晚，許多消費者準備進入Line Bank頁面開戶時，卻發生系統無法使用的問題，直到晚間8點，系統曾一度修復，但過不到半小時，又再次發生系統當機。Line Bank官方表示因為瞬間湧入大量用戶，才造成服務二度異常。<a href="https://www.ithome.com.tw/news/144014" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>長庚用IT將五官科門診帶進偏鄉</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-%E9%95%B7%E5%BA%9A.png" style="width: 300px;" /></p> <p>拉拉山上海拔1,600公尺高的這間華陵醫療站，十多年來撐起了復興鄉民的醫療任務，但即使林口長庚紀念醫院帶頭支援，駐診人力和設備依然有限，只能以重點式診療和急診治療為主。直到2年前，林口長庚紀念醫院自行開發兩套遠距醫療設備，才將更多醫學中心等級的五官科門診能力，帶進復興鄉。<a href="https://www.ithome.com.tw/news/144016" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>串聯GPU、DPU、軟體網路遙測等三大技術，Nvidia跨入AI資安領域</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Morpheus%20Flow%20and%20stack_%E9%80%B1%E5%88%8A%E7%89%88%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FNvidia.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Nvidia</span></p> <p>在今年4月舉行的GTC大會期間，GPU大廠Nvidia除了宣布繼續強化既有應用軟體框架，出乎眾人意料之外，他們還將跨入網路安全領域，預計推出AI應用軟體框架Morpheus（與電影駭客任務人類反抗軍領袖莫菲斯同名），提供最佳化的AI處理流程與預先完成訓練的AI相關功能，能處理整個資料中心網路環境所有IP位址流量的檢測作業。<a href="https://www.ithome.com.tw/news/143891" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>愛爾蘭正式對臉書5億資料外洩啟動GDPR調查</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%87%89%E6%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Alex%20Haney%20on%20Unsplash.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Alex Haney on Unsplash</span></p> <p>本月被發現的5億多筆用戶資料外洩，雖然臉書聲稱是陳年往事，不過仍然引起主管機關的質疑。愛爾蘭資料保護主管機關宣布，將正式就此事啟動調查。<a href="https://www.ithome.com.tw/news/143850" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Docker Desktop正式支援Apple Silicon</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Docker%20Desktop_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Docker.jpg" style="width: 500px;" /></p> <p>從Docker Desktop 3.3.1版起，用戶可以在Docker Desktop上構建和執行AMD64（Intel）和Arm64（Apple Silicon）映像擋，不再需要配置複雜的交叉編譯開發環境。<a href="https://www.ithome.com.tw/news/143878" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Chrome開始預設使用HTTPS以及隱私沙箱機制</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Chrome%2090_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google從Chrome 90開始，嵌入隱私沙箱控制功能，並公開測試「群組聯合學習」（FLoC）廣告機制，讓廣告主利用該機制進行關聯性廣告。<a href="https://www.ithome.com.tw/news/143874" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>搶進RPA市場，IBM收購流程採礦廠商myInvenio</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_RPA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IBM.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／IBM</span></p> <p>IBM宣布收購流程採礦軟體新創myInvenio，將其整合到IBM雲端流程服務中，成為該公司加入RPA戰局的利器。<a href="https://www.ithome.com.tw/news/143877" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>資料中心維運商誤關電源，讓Line全球斷線50分鐘</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Line.png" style="width: 500px;" /></p> <p>臺灣熱門的即時傳訊程式Line在日本時間4月12日下午發生當機，超過50分鐘才修復，期間幾乎所有功能全都停擺，包括傳送／接收訊息及撥電話。</p> <p>Line在事故隔天，公布了這起大當機事件的調查結果，指出是因為Line在日本所使用的資料中心的供應商，當時不小心關掉電源所造成的，不僅影響日本市場，也波及包括臺灣在內的其他國際市場。<a href="https://www.ithome.com.tw/news/143841" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>Cloudflare在其邊緣網路提供人工智慧運算服務</strong></span></p> <p>透過與Nvidia的合作，Cloudflare邊緣運算服務Workers平臺開始提供機器學習和深度學習運算，用戶可以使用Nvidia GPU和深度學習函式庫TensorFlow，來使用預建置或是自定義的模型進行推理，在Cloudflare網路上執行人工智慧應用程式。<a href="https://www.ithome.com.tw/news/143827" target="_blank">更多內容</a></p> <p><span style="font-size:28px;"><strong>與Elastic鬧翻，AWS另推Elasticsearch新專案</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_AWS%20OpenSearch.png" style="width: 500px;" /></p> <p>由於AWS與Elastic在分散式搜尋引擎開源專案Elasticsearch上的合作談不攏，因此於2019年的時候，AWS便宣布要自己推Elasticsearch和Kibana開放版本，現在專案名稱正式更名為OpenSearch，將會與現有服務API相容，該專案初始程式碼仍在Alpha階段，預計今年中正式投入生產。<a href="https://www.ithome.com.tw/news/143812" target="_blank">更多內容</a></p> </div></div></div>
2021/4/24 22:00未署名https://www.ithome.com.tw/news/144015
保險區塊鏈共享資料從保險公司間延伸到醫院，首波有4家醫院14家保險公司參與，下一步是串接醫療結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月，臺灣保險產業掀起一波新變革，用區塊鏈技術這把鑰匙，開啟保險公司之間資料共享的大門。現在，更要從保險公司之間的資料共享，延伸到串接醫院資料，讓理賠服務從醫療院所到保險公司，能一條龍完成。</p> <p>今年初，壽險公會歷經半年的試辦，才剛正式上線開辦保全／理賠聯盟鏈服務，讓保戶只需向聯盟鏈其中一家保險公司提出個人資料變更或理賠申請，並同意由首家保險公司，透過聯盟鏈傳送申請資料，並由壽險公會建置的保險區塊鏈聯盟科技運用共享平臺，通報其他業者受理，就能同步啟動鏈中所有投保的保險公司的申請作業。</p> <p>現在，保險區塊鏈服務又更進一步，串連到了醫院資料。壽險公會、臺北市政府、3家醫療機構與14家產壽險公司，在今天（4/23）共同宣布推出「保險理賠醫起通」服務，未來，民眾向保險公司申請理賠時，便能直接授權醫院將診斷證明書與費用收據證明等資料，傳遞給保險公司。</p> <p>壽險公會是委由中華電信，透過區塊鏈技術開發「保險理賠醫起通」創新平臺，首波有台灣人壽、保誠人壽、國泰人壽、中國人壽、南山人壽、新光人壽、三商美邦人壽、遠雄人壽、第一金人壽、富邦人壽、元大人壽、全球人壽、富邦產物、國泰世紀產物等14家產壽險業者加入。臺北市政府則鼓勵臺北市立聯合醫院、國泰綜合醫院、新光吳火獅紀念醫院、臺北市立萬芳醫院這4家醫院參與合作，來提升民眾申辦理賠的效率，該服務將於5月3日正式啟用。</p> <p>今年初開辦的保全／理賠聯盟鏈服務，是在保戶進件資料數位化的前提下，透過聯盟鏈共享資料。所以，比如在申請理賠的部分，保戶還是得在首家申請的保險公司介面，將紙本同意書以及在醫院申請的診斷證明書與費用收據證明等醫療單據資料，拍照後上傳到保險公司。</p> <p>為了進一步完成醫院與保險業者之間的整合，以及，讓保戶免去自行拍照上傳影像資料的步驟。壽險公會與首波參與的醫院與保險公司，協力推出保險理賠醫起通服務。讓民眾（病人或保戶）在住院期間或出院時，申請開立診斷證明書與費用收據證明後，即可直接在合作醫院的櫃檯，填寫授權同意書與資料授權區間。接著，便能透過任一家合作的保險公司之網站、App或行動理賠服務，先輸入授權區間，再勾選申請理賠的保險公司（可一次選擇多家），提出理賠申請。</p> <p>壽險公會表示，保戶向首家保險公司提出理賠申請後，就能藉由聯盟鏈通知其他已投保的保險公司，此時，各別保險公司就能向醫院調閱資料，醫院就能透過壽險公會平臺建置的通道，與保險公司進行診斷證明書與費用收據證明的交換，再讓保險公司進行審查，以加速民眾獲得保險理賠的速度。</p> <p>不過，壽險公會表示，目前推出的保險理賠醫起通服務是在第一階段，醫院與保險公司共享的資料形式，是以PDF格式提供。也就是說，並未真正做到醫院結構化資料直接串接到保險公司。</p> <p>未來，到了保險理賠醫起通服務第二階段，壽險公會表示，希望醫院與保險公司之間，採取結構化資料對接的方式。但，目前還是得視與合作醫院洽談的進度，因為，每家醫院的系統有不同的格式與欄位，每家醫院對於欄位的定義也不同，所以，得先將欄位統一後才能夠真正對接。</p> <p>不過，壽險公會也透露，目前有幾家醫院已展開第二階段的串接，預計今年底可以推出醫療資料結構化串接。壽險公會也希望接下來，能有更多代表性醫院能加入此平臺。</p> <p>除了保險理賠醫起通，壽險公會也進一步揭露保險區塊鏈其他應用的最新進度。去年開始，金管會保險局便積極推動電子保單認證與存證機制，鼓勵保險業推動電子保單，讓保險公司製發的電子保單，可透過存放在第三方認證機構的平臺進行驗證與存證，並可記錄下投保與資料異動的歷程，日後，若消費者對電子保單的真偽有所爭議時，得由公正第三方提供保單內容作為佐證，確保保單的保障範圍。</p> <p>壽險公會表示，他們參考了美國的避風港計畫，打造了電子保單存證機制，並已在去年12月正式上線，第一階段已有8家壽險公司加入，今年預期會有5家壽險公司加入，加上金管會的政策宣示，所以，壽險公會的目標是在2022年，讓全數壽險公司（共22家）可以建構電子保單，並將電子保單放到壽險公會的平臺進行存證。</p> <p>電子保單存證完成後，壽險公會下一步是要建置保單存摺，並預計今年底可正式上線。未來，當保戶要投保電子保單時，可直接透過一站式的平臺總覽相關投保資料，甚至，未來可以擴大查詢到保戶所有保單的資料。文⊙李靜宜</p> </div></div></div>
2021/4/23 23:25作者李靜宜https://www.ithome.com.tw/news/144034
英特爾首季財報出爐，個人電腦營收成長8%，資料中心下滑20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）周四（4/22）<a href="https://www.intc.com/news-events/press-releases/detail/1460/intel-reports-first-quarter-2021-financial-results" target="_blank">公布今年第一季財報</a>，顯示該季營收為197億美元，比去年同期下滑1%，淨收入為34億美元，下滑41%，當天英特爾股價微幅下滑1.77%，以62.57美元作收。</p> <p>在197億美元的營收中，與個人電腦及遊戲機有關的CCG事業群營收最高，為106億美元，並比去年同期成長8%，但資料中心事業群（DCG）的營收為56億美元，大幅下滑20%，不過，自駕車業務Mobileye在該季創下3.77億美元的營收紀錄，成長48%。</p> <p>英特爾表示，第一季市場對PC仍有強勁需求，使其PC產品的出貨量增加了38%，且筆電產品出貨量亦創下新高。</p> <p>英特爾在第一季延攬了Pat Gelsinger擔任該公司的新執行長，Gelsinger也在今年3月宣布將成立晶圓代工服務事業群，打算成為美國與歐洲市場主要的晶圓代工業者，英特爾今年將著手於美國建造兩個晶圓代工廠，尚未公布代工服務的上線時程。</p> </div></div></div>
2021/4/23 16:31作者陳曉莉https://www.ithome.com.tw/news/144027
微軟更新Windows套件管理器，供用戶以群組政策管理套件安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Build 2020大會上發布的系統管理工具Windows套件管理器（Windows Package Manager，Winget），現在已經來到<a href="https://devblogs.microsoft.com/commandline/windows-package-manager-preview-v0-3/">0.3預覽版</a>，並且已經有1個功能脫離實驗階段，同時還加入了群組政策功能，方便IT人員管理機器。</p> <p>Winget是由微軟開發，用於Windows 10的軟體套件管理器，其包含了一個命令列工具，以及一組安裝應用程式服務，獨立軟體供應商可以將其軟體打包成為軟體套件，透過Windows Package Manager來發布。Winget提供方便的軟體管理功能，除了可以在Windows 10電腦上安裝軟體之外，也能列出以及匯出系統安裝的所有軟體，也能夠升級或是卸載特定軟體。</p> <p>Winget極大程度簡化Windows 10用戶創建新環境的工作，在Winget 0.3預覽版中，進一步簡化了安裝軟體工作流程，新加入了匯入功能，讓用戶可以透過匯入腳本，來安裝腳本中編寫的軟體。匯入的檔案格式為JSON，微軟提供了一個架構，可以讓用戶簡單地創建和修改這些檔案，腳本可以定義來自多個來源的軟體套件，也能夠指定要安裝在電腦上的軟體版本。</p> <p>而從Winget 3.0開始，也賦予企業IT管理員，管理組織中所有Windows 10電腦的能力，在這個版本中，管理員可以透過ADMX擷取機制來配置群組政策，用戶已經可以在GitHub發布頁面上，下載.admx和.adml檔案。</p> <p>微軟提到，當企業使用Windows 10 build 1809以上版本，應該好好評估這項功能，因為Winget將會透過App Installer發布，當Winget到達1.0版本時，就會在1809或是以上版本，從Microsoft Store自動更新安裝。而群組政策能夠強化Winget的控制能力，像是控制可用性、命令和參數的行為以及客戶端連接的來源。</p> <p>Windows 10中的Windows Store，原應該成為用戶下載應用程式與資源的主要管道，但是未轉成UWP的Win32應用程式和工具，皆沒有被放進Windows Store中，不少用戶開始使用第三方套件管理工具，像是Chocolatey、Ninite和OneGet等，來方便地安裝軟體，而微軟也因此決定自推套件管理工具。</p> <p>Winget的開發可以溯及微軟在2019年，所收購的一個自由且開源的Windows套件管理器AppGet，而AppGet的創造者Keivan Beigi提到，微軟當時以收購AppGet並且聘僱他的名義跟他接觸，卻在Winget發表前一天確認不會雇用他。在Winget發布之後，Keivan Beigi也在當年8月停止維護AppGet，而後微軟發表部落格文章，將許多Winget功能歸功於AppGet。</p> </div></div></div>
2021/4/23 16:39作者李建興https://www.ithome.com.tw/news/144026
有130萬個Windows RDP登入憑證流入黑市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/logins-for-13-million-windows-rdp-servers-collected-from-hacker-market/" target="_blank">BleepingComputer</a>本周引用威脅防護業者Advanced Intelligence（AdvIntel）所提供的數據指出，從2018年迄今，駭客已陸續透過地下市集Ultimate Anonymity Services（UAS）兜售130萬個Windows遠端桌面協定（Remote Desktop Protocol，RDP）的存取憑證，而且RDP憑證的價格並不貴，大約介於3美元至70美元之間。</p> <p>RDP允許使用者自遠端存取Windows裝置的桌面與應用程式，由於它在企業中被普及應用，使其憑證也成為駭客世界的熱門商品。</p> <p>根據報導，被危害的RDP憑證中，前五大來源國依序是美國、中國、巴西、德國與日本，當中有許多憑證屬於各國的政府機構，亦不乏知名企業，而且橫跨各個領域，值得注意的是，在該資料庫中，有不少外洩RDP憑證的所屬組織，在過去兩年內曾遭遇勒索軟體攻擊，意謂著這些RDP憑證很可能成為駭客滲透企業以植入勒索軟體的破口。</p> <p>AdvIntel表示，UAS市集與許多全球知名的外洩事件或勒索軟體攻擊有關，有許多勒索軟體組織都在UAS上購買初步的滲透能力，對於RDP用戶而言，不良的密碼與公開的RDP則是造成憑證外洩的主因，建議RDP用戶應該要確保配置的正確，不要在眾所皆知的管理帳號上採用眾所皆知的密碼，最好也讓RDP伺服器只接受來自可靠來源的連線。</p> <p>AdvIntel已經通知了全球部份RDP憑證受到危害的企業及政府組織，但無法通知所有受害者，<a href="https://rdpwned.adv-gate.com/" target="_blank">鼓勵各個組織主動與AdvIntel聯繫</a>，以詢問是否於受害名單中。</p> </div></div></div>
2021/4/23 16:00作者陳曉莉https://www.ithome.com.tw/news/144025
消費者報告：使用者可輕易騙過特斯拉自動輔助駕駛系統，駕駛座沒人也能開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一臺2019年出廠的Tesla Model S於4月17日，在德州的鄉間小路撞上了一棵樹，造成車內兩名乘客死亡，一名在肇事現場的警官Mark Herman向《消費者報告》（Consumer Reports，CR）與華爾街日報（WSJ）透露，他幾乎可以確定車禍當時沒有人坐在駕駛座上，而<a href="https://www.consumerreports.org/autonomous-driving/cr-engineers-show-tesla-will-drive-with-no-one-in-drivers-seat/" target="_blank">CR兩名員工在測試後發現</a>，他們的確可讓特斯拉（Tesla）在駕駛座無人的狀態下也能行進。</p> <p>在WSJ引用Herman說法的報導出刊後，特斯拉創辦人暨執行長馬斯克（Elon Musk）就<a href="https://twitter.com/elonmusk/status/1384254194975010826" target="_blank">在WSJ的Twitter上留言</a>，表示該輛Tesla Model S並未啟用自動輔助駕駛系統（Autopilot），也未購買完全自動駕駛系統（Full Self-Driving，FSD），此外，標準的Autopilot必須是在有車道線上的道路上才會開啟，但該小路並沒有。</p> <p>至於CR負責測試汽車的資深總監Jake Fisher與專案經理Kelly Funkhouser，則是根據Herman的說法，想知道特斯拉能否在駕駛座無人的狀態下行駛，於是他們以Tesla Model Y進行測試，在啟用Autopilot之後，先把車輛速度設定為零，接著於方向盤上綁上重物，充當是人手的重量，原本坐在駕駛座上的Fisher則於車內直接移位至副駕，再打開車輛速度，Tesla Model Y即可在駕駛座無人的狀態下行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-tesla%20cr.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Consumer Reports</span></p> <p>在正常的狀態下，當駕駛的手未置於方向盤上，或者是駕駛座沒有繫安全帶，Autopilot功能都會被自動解除。</p> <p>Fisher表示，不管是BMW、Ford、GM、Subaru或其它車種的自動輔助駕駛系統，都利用攝影機來偵測駕駛的視線或頭部的位置，以判斷駕駛是否專心開車，有些車種在提醒多次之後還會自動讓車輛慢下來。然而，特斯拉似乎並未採行同樣的方式，也未感應駕駛座的重量，而能讓汽車在無人駕駛的狀況下行駛。</p> <p>此外，Fisher也警告，當Autopilot遭遇到無法處理的問題而緊急關閉時，倘若駕駛無法即時反應，也會釀成車禍。</p> <p>這起車禍事件仍在調查當中，真正的原因尚未出爐，而CR也提醒，他們的測試是在萬全的準備下進行，消費者不應輕易嘗試。</p> </div></div></div>
2021/4/23 14:44作者陳曉莉https://www.ithome.com.tw/news/144019
與微軟合作，Ubuntu 21.04整合Active Directory還支援SQL Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical發布了一個<a href="https://ubuntu.com/blog/ubuntu-21-04-is-here" target="_blank">Ubuntu重要更新版本21.04</a>，這個版本整合了一些關鍵企業功能，像是微軟Active Directory，並且在預設情況，使用Wayland顯示通訊協定，能夠順暢地執行Flutter應用程式，同時還加入了Flutter應用程式開發SDK。另外，Canonical和微軟還共同宣布，在Ubuntu上對SQL Server提供效能最佳化和聯合支援。</p> <p>官方提到，現在SQL Server資料庫管理系統和其命令列工具，已經可於Azure上的Ubuntu映像檔中用到，用戶還能夠獲得長達10年的安全性維護。Ubuntu 21.04所新增的這項企業級效能和可擴展性改進工作，往後移植到了Ubuntu 20.04.2 LTS，更全面向用戶提供微軟SQL Server支援。</p> <p>Canonical和微軟將會對企業本地端，或是透過Azure市集部署的SQL Server，提供整合性支援服務，在企業關鍵工作負載中提供可靠的基礎。官方提到，這個聯合解決方案，具有效能強化功能，像是XFS檔案系統上的FUA（Force Unit Access）能夠強化資料持久性，而永久性記憶體（Persistent Memory，PMEM）則不需要任何配置，就可以提供高效能資料儲存。還有，在可靠性叢集軟體Corosync和Pacemaker的加持下，整個平臺都能具有高可用性並且確保韌性。</p> <p>另外，現在Ubuntu機器在安裝的時候，還可以選擇加入Active Directory（AD）網域，AD管理員現在也可以管理工作站，進而簡化法遵工作。Ubuntu 21.04新增了可以從AD網域控制器，配置系統設定的能力，使用群組政策客戶端，系統管理員可以對所有連線的客戶端指定安全政策，包括密碼政策、用戶存取控制，還有桌面環境設定，諸如登入螢幕、背景和我的最愛應用程式等。</p> <p>Ubuntu 21.04開始預設使用顯示通訊協定Wayland，官方提到，這是重大的安全性提昇，Firefox、OBS Studio和許多由Electron和Flutter建構的應用程式，都能夠自動使用Wayland，讓用戶能夠獲得更加流暢的圖形和縮放能力。而Ubuntu中的Flutter SDK快照建置整合功能，讓開發者可以簡單地在多平臺發布Flutter應用程式，供數百萬Linux桌面使用者一鍵安裝。</p> </div></div></div>
2021/4/23 14:50作者李建興https://www.ithome.com.tw/news/144018
長庚用IT將五官科門診帶進偏鄉，自行開發兩套遠距醫療設備能整合2大廠牌HIS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>拉拉山上海拔1,600公尺高的這間華陵醫療站，十多年來撐起了復興鄉民的醫療任務，但即使林口長庚紀念醫院帶頭支援，駐診人力和設備依然有限，只能以重點式診療和急診治療為主。直到2年前，林口長庚紀念醫院自行開發兩套遠距醫療設備，才將更多醫學中心等級的五官科門診能力，帶進復興鄉。</p> <p>這兩套遠距醫療設備，一款是設置在醫療站的站立式醫療車，另一款是手提式設備，可將遠距醫療能力延伸到更偏遠的山區，甚至還能介接不同廠商的醫療資訊系統（HIS），讓醫院不必另外儲存一份看診紀錄，就能直接在原系統儲存病歷、醫囑等資料。</p> <p>不只如此，長庚遠距通訊不用現成軟體，而是自行設計一套遠距醫療核心軟體，直接將伺服器放置於院內，免除資料在雲端外洩的疑慮。不論是單套設備還是整組解決方案，都已通過食藥署（TFDA）認證，長庚接下來要將這些遠距醫療設備，推廣到更多偏鄉。</p> <p><strong><span style="font-size:28px;">1年開發2套遠距醫療設備，站立式先於桃園啟用</span></strong></p> <p>健保署去年底宣布今年投資1億元補助遠距醫療，開啟臺灣遠距醫療元年，各大設備商、電信商蜂擁投入，各種遠距診療產品如雨後春筍般冒出。</p> <p>耕耘偏鄉醫療近20年的長庚醫院也不落人後。他們聯手擅長研發醫療軟硬體的長庚醫療科技（即長庚醫科），將過去數十年的偏鄉診療經驗，用技術轉換為實體的遠距診療設備。長庚遠距醫療推手之一的長庚醫療財團法人行政中心總執行長潘延健指出，團隊從2018年開始規畫、研發，在2019年完成設備開發，後來更通過衛福部食藥署認證。他們也在當年，聯手健保署率先於桃園市復興區華陵醫療站，啟用這套設備。</p> <p>先導入的第一款遠距診療設備是站立式大型數位遠距醫療車。因為華陵醫療站只有一位家醫科醫師和一位護理師進駐，難以應付就診民眾的多專科需求，站立式遠距醫療車就扮演看診的技術橋樑，大醫院醫生可以遠端連線，來支援山上不同專科的看診需求。</p> <p>這臺看診車配有可移動的高解析度鏡頭，由遠端大醫院醫師操控，可自由調整鏡頭角度，讓醫師「看得更清楚。」再來還有手持式檢查設備，像是眼底鏡、耳鏡、口腔鏡和皮膚鏡等五官鏡，以及深度腹部超音波和淺層超音波儀器。醫療站醫師就在病人身上操作這些設備，讓遠端大醫院醫師隔空診斷。</p> <p>以皮膚鏡為例，醫師甚至能透過高解析度的放大影像，來仔細研究肉眼難以辨識的病灶。甚至有些可能病變的皮膚痣，也能直接在山上進行定期追蹤，不必每次都得舟車勞頓下山。</p> <p>而儀器檢查順利的關鍵，還有賴於醫療車的電腦通訊軟體。雙方醫師和病人透過長庚自行開發的軟體，來溝通問診，不必擔心採用現成通訊軟體資料外洩的隱憂，「因為軟體所用的伺服器，就在長庚，」潘延健說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E7%AB%99%E7%AB%8B%E5%BC%8F%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82%E8%BB%8A-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89(2).png" style="width: 259px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>長庚醫院聯手長庚醫療科技團隊，開發出站立式遠距醫療車，配有電腦、手持式五官鏡、移動式高解析度鏡頭，2019年已於桃園市拉拉山地區的華陵醫療站啟用。</strong>（攝影／洪政偉）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-%E9%86%AB%E7%99%82%E8%BB%8A%E9%8F%A1%E9%A0%AD-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89(2).jpg" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>這套遠距醫療車的鏡頭可由遠端大醫院醫師操控，來進一步檢視患部。</strong>（攝影／洪政偉）</span></p> <div> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E9%86%AB%E7%99%82%E8%BB%8A%E9%85%8D%E4%BB%B6-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>遠距醫療車也配有手持深、淺層超音波檢測器，可進行肝臟、膀胱、頸動脈和四肢末梢血管檢查等。</strong>（攝影／洪政偉）</span></p> </div> <p><strong><span style="font-size:28px;">2次改良開發登機箱遠距醫療裝備，拉了就走</span></strong></p> <p>長庚醫院和長庚醫科打造的另一套遠距醫療設備，則是如登機箱大小的手提式遠距醫療設備，讓需要巡迴醫療或居家照護的醫護人員，拉了就走。在防水、防塵、防撞的外殼裡，裝著平板電腦、鍵盤滑鼠、電池和檢查儀器，特別是常用的眼底鏡、皮膚鏡等五官鏡和深、淺層超音波儀器。</p> <p>開發這套裝備的核心人物長庚醫科資訊事業部技術發展課專案經理鍾貴麒指出，這個裝備還有一個設計巧思，也就是分門別類的收納模組，將眼科設備裝一盒、超音波相關設備裝一盒。「這對執行巡迴醫療的醫護人員來說，更容易清點，」他說。</p> <p>不過，這套手提式設備並非一開始就完美。他坦言，第一版原型不只體積大，也沒有充電設備，外殼也不防塵、防水、防撞。而且其中的手持式檢查儀器，還是一體式的擺設方式，醫護人員得額外留意清點才行。</p> <p>好在長庚醫科有醫院醫護人員的即時反饋，才能讓團隊在短時間內，開發出現在看到的第二版手提式裝備。鍾貴麒更表示，在設備開發期間，還遇到中美貿易戰，團隊也因此特別提防「紅色供應鏈」產品，以國產零組件為優先。</p> <p>這套手提式遠距醫療設備，最近也用來支援離島澎湖的將軍澳嶼遠距診療。潘延健表示，長庚還開發了多種遠距醫療設備，比如用來檢查鼻咽喉病症或卡魚刺的內視鏡，以及用來量測心電圖、血糖血壓、尿酸的居家生理量測設備等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%89%8B%E6%8F%90%E5%BC%8F%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82%E8%A8%AD%E5%82%99-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89(3).png" style="width: 400px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">這款手提式遠距醫療設備大小符合登機箱規定，外殼防水、防塵、防撞，內有電腦、鏡頭、手持式五官鏡、電池等，以模組形式擺置在箱中。</span></strong><span style="color: rgb(105, 105, 105);">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>串接不同廠牌HIS，不是長庚系統也能用</strong></span></p> <p>「有別於設備商、電信商，長庚的遠距醫療平臺還能介接不同廠牌的HIS，」潘延健舉例，像是基層或偏鄉醫療機構常用的展望亞洲科技HIS、大同醫護HIS，都已能串接。這麼做的好處是，遠端支援醫院可直接調閱病人在偏鄉醫療機構的病史和就醫紀錄，而遠端看診的資訊如病歷、醫囑等，也可直接存進醫院HIS，不必再額外儲存一份紀錄。</p> <p>而且，HIS整合還能發展出遠距醫療「多點看診，」也就是偏鄉民眾直接從遠端長庚醫院的門診掛號即可，不必像過往一樣、得預約特殊看診時段；長庚醫院醫師也可直接在門診診間看診，不必到特定的遠距診療診間問診，偏鄉民眾也可一次預約不同科別。</p> <p>不過，鍾貴麒補充，雖然長庚遠距醫療平臺可介接不同廠牌HIS，但仍需依使用者需求客製化。比如，有些醫院希望回傳較多參數，有些醫院希望少一點，這就得客製化設定。</p> <p>他也提到，長庚遠距醫療設備雖能在有線網路環境下能介接PACS（醫療影像儲傳系統），來讓偏鄉醫療機構醫師調閱病人在長庚的X光片、MRI等醫學影像，但在無線網路環境下，就不會以醫學影像作為主要依據。</p> <p>這是因為，PACS影像容量大，雖然近年5G電信服務興起，但基礎設施還不夠普及，偏鄉主要仍以4G電信服務為主；因此，以較低頻寬網路傳輸大容量影像時，勢必會壓縮影像，「可能造成誤判。」在這種情況下，他們改只傳輸遠端長庚院區醫師判定後的影像報告，作為輔助參考，而非直接以醫療影像為主。鍾貴麒補充，未來要是5G基礎設施普及，就能實現PACS影像即時傳輸，而現階段的遠距五官鏡視訊診療，「4G就夠用了。」</p> <p><span style="font-size:28px;"><strong>下一步要推廣到更多偏鄉地區、盼法規鬆綁</strong></span></p> <p>潘延健指出，長庚多款遠距醫療設備都已經通過TFDA認證，接下來除了將設備推廣到更多偏鄉外，他也期盼衛福部進一步鬆綁遠距醫療法規，比如讓受過嚴格訓練的專科護理師，也能操作遠距醫療檢查儀器，如此才更能發揮遠距醫療效益。</p> </div></div></div>
2021/4/23 14:57作者王若樸https://www.ithome.com.tw/news/144016
Line Bank開行首日大當機！原因是同一時間瞬間湧入大量用戶造成系統超載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line Bank在4月22日對外開行，然而，開業第一天系統就大當機，出現系統無法使用的狀況。</p> <p>昨天傍晚開始，許多消費者準備進入Line Bank頁面開戶時，卻發生系統無法使用的問題，直到晚間8點，系統曾一度修復，但過不到半小時，又再次發生系統當機。</p> <p>尷尬的是，Line Bank總經理黃以孟在下午的記者會上，針對媒體提問，如果遇上申請太踴躍，造成系統超載的狀況？他回應，系統在上線前已做過許多壓力測試，應該是不至於發生系統卡卡的問題。殊不知，開行第一天就遇上大當機。</p> <p>約莫晚間9點半左右，Line Bank官方對外解釋，先前的系統超載已經修復，但因為同一時間瞬間湧入大量用戶，所以，造成系統再次壅塞。Line Bank也表示，正全力排除狀況中，請用戶稍候或隔天之後再進行開戶。</p> <p>在接近晚間11點時，Line Bank再次對外表示，因為用戶開戶踴躍，先前的確有系統超載狀況，不過經過內部排解，晚間10點前，開戶申請流程已經恢復正常，用戶可以進行開戶程序。經記者在晚間11點實測，開戶流程一切順暢，不過，Line Bank宣稱最快6分鐘可以完成開戶申請，記者實測需14分鐘完成，並沒有想像中快速。</p> <p><a href="https://www.ithome.com.tw/news/144005">Line Bank是臺灣第二家開業的純網銀</a>，首波推出開戶、簽帳金融卡、轉帳、零存整付階梯式定存、分期型個人信貸、金融Chatbot（聊天機器人）等6大產品或服務。文⊙李靜宜</p> </div></div></div>
2021/4/23 12:51作者李靜宜https://www.ithome.com.tw/news/144014
趨勢科技軟體舊漏洞遭駭客攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全軟體相繼成為攻擊目標，繼SonicWall公佈郵件安全軟體漏洞遭駭客入侵後，<a href="https://appweb.trendmicro.com/SupportNews/NewsDetail.aspx?id=4126" target="_blank">趨勢科技（TrenMicro）也發出公告</a>，其<a href="https://success.trendmicro.com/solution/000263632" target="_blank">端點安全產品線漏洞</a>被不明組織開採，該公司也呼籲用戶應儘速升級到最新版本以免受影響。</p> <p>趨勢科技觀察到，5項產品漏洞至少有一項漏洞遭到開採。這5個漏洞全部影響端點產品線OfficeScan及改名後的ApexOne，後者則涵括本地部署及SaaS環境。這5項漏洞風險層級從中到高，包括CVE-2020-24556、CVE-2020-24557、CVE-2020-24558、CVE-2020-24559和CVE-2020-24562，趨勢科技已經在去年11月修補完成。</p> <p>其中趨勢科技特別指出CVE-2020-24557，公司觀測到至少已發生一樁開採行動。CVE-2020-24557位於Windows版Apex One及OfficeScan XG SP1，可能讓攻擊者操控特定產品資料夾暫時關閉安全功能，並利用特定Windows合法功能來達到權限擴張的目的。</p> <p>這項漏洞是風險層級7.8的權限擴張漏洞，攻擊者並不能直接引發威脅，他必須先要能在目標系統上執行低權限的程式碼，也就是說攻擊者可能串聯了別的漏洞發動攻擊，或已事先植入惡意程式碼。但串聯攻擊的結果最高可能導致系統劫持。</p> <p>趨勢科技並未透露攻擊細節，不過根據<a href="https://therecord.media/nightmare-week-for-security-vendors-now-a-trend-micro-bug-is-being-exploited-in-the-wild/" target="_blank">The Record</a>引述匿名消息人士報導，發動攻擊的是一個進階滲透威脅（advanced persistent threat，APT）組織，這通常意謂由國家支持的駭客組織。</p> <p>其他漏洞包括Windows版本及macOS版本中ApexOne中的硬連結（hard link）權限擴張漏洞CVE-2020-24556/CVE-2020-24562、及CVE-2020-24559（CVSS 3.1版風險層級7.8），另一個為影響ApexOne和OfficeScan XG 中的頻外讀取資訊洩露漏洞CVE-2020-24558（風險層級5.5）。</p> <p>這是繼本周SonicWall後，另一個自行揭露漏洞遭到開採的安全廠商。SonicWall的電子郵件安全產品三項漏洞遭一個不明組織駭入並植入名為BEHINDER的 web shell，旨在日後接收外部C&C伺服器指令以控制受害系統，包括竊取機密信件。發現這樁行動的FireEye將之暫名為UNC2682。此外，<a href="https://www.ithome.com.tw/news/143971" target="_blank">美國政府本周也警告</a>，中國駭客正利用FireEye、Pulse VPN漏洞對美國企業及政府網路發動攻擊。</p> <p>不過這也是趨勢科技產品去年以來第4度遭駭客開採的事件。<a href="https://www.ithome.com.tw/news/136422" target="_blank">去年</a>1月及3月都有1個和2個漏洞被開採，皆影響Apex One 及OfficeScan。去年1月的攻擊也疑似連帶造成<a href="https://www.zdnet.com/article/trend-micro-antivirus-zero-day-used-in-mitsubishi-electric-hack/" target="_blank">日本三菱電機</a>被駭及資料外洩。</p> </div></div></div>
2021/4/23 10:53作者林妍溱https://www.ithome.com.tw/news/144011
Node.js 16更新V8引擎並開始支援Apple Silicon
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nodejs.medium.com/node-js-16-available-now-7f5099a97e70" target="_blank">Node.js發布了最新的第16主要版本</a>，這個版本重點在於將JavaScript引擎V8更新成為9.0版本，另外，還提供預建置的Apple Silicon二進位檔案，Timers Promises API也進入穩定版狀態。</p> <p>新版的V8引擎帶來了更高的效能與功能改進，並且提供Node.js最新的JavaScript語言功能，因此Node.js會常態性升級V8版本。在Node.js 16中，V8引擎已更新為V8 9.0，比起Node.js 15中的V8 8.6版本更新。這項更新帶來了ECMAScript RegExp比對索引功能，該索引會提供擷取字串的開始和結束索引，而且當正規表示式帶有/d標籤時，可以透過比對物件的.indices屬性取用索引陣列。</p> <p>另外，在這個新版本，Timers Promises API進入穩定階段，該API提供了一組替代計時器函式，這些函式會回傳Promise物件，開發者不需要使用util.promisify()。該API在Node.js 15時加入，並在這個版本成為穩定狀態。</p> <p>Node.js為幾個不同的平臺，提供了預建置的二進位檔案，而Node.js 16將是發布Apple Silicon預建置二進位檔案的第一個版本，雖然官方分別為英特爾（darwin-x64）和ARM（darwin-arm64）架構釋出壓縮包，但是macOS的安裝程式將以多架構的二進位檔案提供。</p> <p>官方提醒，Node.js 16現在會取代Node.js 15成為當前版本，而在經過6個月之後，Node.js 16會在2021年10月升級成為長期支持版本（LTS），而一旦成為LTS，Node.js 16將被賦予代號Gallium。在其他長期支援方面，Node.js 12將會繼續提供長期支援到2022年4月，而Node.js 14則提供長期支援到2023年4月。</p> </div></div></div>
2021/4/22 23:21作者李建興https://www.ithome.com.tw/news/143996
微軟傳將翻新Windows 10軟體商店App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現有Windows 10 Store App不但不好看，而且速度慢、使用介面也不直覺，<a href="https://www.windowscentral.com/windows-10-big-changes-coming-app-store" target="_blank">WindowsCentral</a>報導，微軟將設計一個介面更現代，且App種類更多元的新版Windows 10 Store App來取代之。</p> <p>消息人士指出，新的Store App和其他微軟自有App，都將配合Windows 10 21H2，即Sun Valley的介面元素而更新，採用新的版型、WinUI設計、圖像化及更流暢的動畫。</p> <p>新的Store App仍然會是個UWP App，將每月更新一次，漸次加入新功能，並且改善大型App及遊戲下載的穩定性。而另一方面，微軟也計畫放寬上傳App的類別限制。</p> <p>消息人士指出，新版Store App在對開發人員的政策上主要有三大變革，包括允許開發人員上傳未封裝的Win32 App；允許開發人員將App和更新版放在自有CDN上，例如他們可以上傳.EXE或.MSI封裝，這對App採用自動更新的開發商像是Firefox或Zoom將是一大福音，也讓開發人員對App的更新有更大自主權。</p> <p>此外，所有開發人員App中也可使用第三方支付平臺，這意謂著可能完全繞過微軟的程式內購買（in-app purchase，IAP）機制，等於對App開發商而言，微軟將不收取一分一毫。對苦於被蘋果和Google收取15%或30%的開發商來說，這或許是最具吸引力的。</p> <p>此外，消息人士也說微軟可能走向更開放，讓過去因為採用自有更新管道或IAP系統，而被拒絕的App現在也可以上架，像是Google Chrome或Adobe Creative Cloud。</p> <p>更有趣的是，一些微軟自有App，像是Teams、Office、Edge甚至Visual Studio等，也終於要在新版Store App上架。</p> <p>新版Store App可望連同Windows 10 Sun Valley更新一同於秋天問世，不過可能在近期]Build 2021大會上先公開宣布。</p> </div></div></div>
2021/4/22 23:35作者林妍溱https://www.ithome.com.tw/news/144010
基礎設施即程式碼工具Pulumi 3.0強化多語言套件互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基礎設施即程式碼工具<a href="https://www.pulumi.com/blog/pulumi-3-0/">Pulumi 3.0</a>帶來非常多的功能更新，包括了Pulumi自動化API，讓開發者可以在應用程式中嵌入Pulumi功能，而且除了AWS，Pulumi也開始支援Azure和Google雲端平臺，在語言的支援上，Pulumi試圖整合多語言元件，讓各種語言的套件能夠互通。</p> <p>Pulumi 3.0提供的自動化API，可以讓開發者將Pulumi功能，嵌入到自己的應用程式中，因此開發者可以不使用命令列工具或是撰寫腳本來操作CI/CD，而是可以在Pulumi基礎設施部署引擎上建構軟體解決方案，以更豐富的方式控制工作流程。Pulumi自動化API支援多種語言，包括TypeScript/JavaScript、Python、Go以及C#。</p> <p>最初Pulumi僅支援AWS平臺，現在又增加了Azure和Google雲端。官方提到，從Pulumi 2.0以來，他們提供管理雲端基礎設施的套件，支援多達50種雲端和SaaS應用程式，但是對於主要的雲端供應商，Pulumi提供的是原生供應程式（Native Provider），讓開發者能夠使用完整且一致的介面。</p> <p>Pulumi在去年提供的Azure預覽支援，現在已經進入1.0版本，Azure Native供應程式是建立在，由Azure服務團隊所開發和維護的Azure Resource Manager REST API規範之上，與過去Azure資源供應程式相比，Azure Native支援超過2倍的資源以及3倍數量的資源屬性，而且支援資源API的每個版本，能夠最大程度與使用者現有的基礎設施相容。</p> <p>除了AWS和Azure，Pulumi也開始提供Google Cloud Native供應程式預覽，能夠提供完全覆蓋Google雲端平臺，與現有的供應程式相比，支援的資源多了70％，並且支援每種資源的每個版本，包括Alpha、Beta和GA。</p> <p>Pulumi 3.0開始提供套件包和多語言元件，官方解釋，開發者可以使用選擇的語言編寫任何Pulumi元件，並且以Pulumi套件包的形式，提供給其他語言的用戶使用，這項新功能可將原本每個語言獨立的生態系，整合成單一Pulumi元件生態系。</p> <p>將Pulumi元件建置和打包成為Pulumi套件的其中一個使用案例，便是Pulumi EKS套件，這是由官方發布，能夠用來建置和管理EKS叢集套件，並作作為NPM套件包提供給Pulumi的Node.js用戶。</p> <p>官方提到，因為該套件消除了跨AWS資源和叢集內Kubernetes資源，管理EKS叢集所會碰到的複雜性，所以非常受用戶歡迎。為此，官方決定將這個元件轉成Pulumi套件，並使Python、Go和.NET用戶也可以使用，而這些語言的套件，皆來自於單一實作。</p> </div></div></div>
2021/4/22 23:41作者李建興https://www.ithome.com.tw/news/144006
Android 12第3預覽版改進App啟動體驗，還加入新的精確警示權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google最新的行動作業系統Android 12，已經來到<a href="https://android-developers.googleblog.com/2021/04/android-12-developer-preview-3.html" target="_blank">第3個開發者預覽版</a>，這個版本仍然有許多功能更新，包括新的應用程式啟動體驗，以及新的影片與攝影機功能，同時也增加精確警示的新權限，來幫助用戶節省電量。</p> <p>在Android 12中，應用程式的啟動體驗將會更加一致，所有應用程式將會擁有新的應用程式啟動動畫、應用程式圖標的顯示畫面，以及應用程式本身的過渡特效。Android 12定義了啟動應用程式的標準設計元素，不過，開發者也可以自定義部分元素，以塑造特別的品牌形象，像是使用新的啟動畫面API以及資源，來管理啟動動畫視窗的背景顏色，也能使用自定義圖標或是動畫，來替換啟動器圖標，同時還可以設定淺色與深色模式。</p> <p>開發者不需要採取任何措施，就可以獲得新的應用程式啟動體驗，因為Android 12預設所有應用程式，都會啟用該功能，不過官方提到，開發者應該盡快在自家應用程式中，測試新的啟動功能，以便配置自定義初始畫面。</p> <p>Android 12的警示功能也做了調整，Google提到，警示是應用程式用來排程工作的重要方法，而大多數情況，應用程式應該使用不精確的警示，來減少裝置電量使用。Android能夠管理這些警示，像是利用Doze和App Standby，以最大程度減少喚醒對電池造成的影響，而在像是鬧鐘或是計時器這種需要精確時間的相關應用，就可以使用精確警示，不過這也會造成電池快速消耗，因此在Android 12中，Google賦予用戶更多的控制權，解決耗電的問題。</p> <p>應用程式如果要在Android 12中獲得精確警示權限，需要請求SCHEDULE_EXACT_ALARM這個新的權限，一旦應用程式宣告，則系統便會自動授予該權限，但是Android 12也提供給用戶精確權限的可見性，也就是說，用戶可以隨時從設定中，撤回授予給應用程式的精確警示權限，而應用程式可以透過新的API，來確認應用程式的警示權限。</p> <p>另外，在新的Android版本中，用戶也可以獲得更好的振動反饋體驗，Android 12多了一些新的效果，像是遊戲開發人員可以在遊戲中，透過操作不同的致動器（Actuator），使得不同致動器同步提供相同或是不同的振動反饋效果。現在開發者可以在Pixel 4中先嘗試這項新功能，Google也會持續與其他設備供應商合作，使得生態系能夠更好地支援致動器控制，以提供豐富的振動反饋體驗。</p> </div></div></div>
2021/4/22 23:43作者李建興https://www.ithome.com.tw/news/144007
Martech之父首次在臺分享趨勢，強調AI的No Code工具將改變行銷人的角色定位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行銷科技之父的Scott Brinker今日首度以遠距視訊的方式，與臺灣企業分享了行銷科技新趨勢，強調AI與No Code工具的崛起，能將原本發想行銷點子的行銷人（Marketer），轉變為行銷決策的執行者（Maker）。</p> <p>Scott Brinker在演講一開始，就播放了一首透過Aiva.ai創作的交響樂，但他在過程中唯一需要做的事，就是添加音軌，選擇喜歡的音樂風格或上傳喜愛的樂曲，最後再簡單選擇節奏、想要的樂器、樂曲長短、段落等元素，AI就能在幾分鐘內自動生成一首交響樂，他以此為例說明：「這就是AI結合No Code工具的力量。」</p> <p>「No code和AI正在賦予行銷人從詢問<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">『</span>如何做（What if ?）<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">』</span>轉變為詢問<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">『</span>這樣如何（What about this ?）<span style="color: rgb(77, 81, 86); font-family: arial, sans-serif; font-size: 14px;">』</span>。」Scott Brinker說。</p> <p>Scott Brinker也引述一份Gartner的報告指出，企業在後疫情時代面臨的改變，造就了一些新趨勢，包括更多科技將會出現，企業也需要更扁平的組織，來加速互動或訊息傳遞，但同時，組織型態可能變得更加複雜，使企業正在重新定義新趨勢下的工作方法，而這些轉變，將促成新一批能夠敏捷地適應新環境的頂尖員工出現。乘著新趨勢，No Code工具也在其中發揮效用，來賦能更多企業員工，不需假以他人，端靠自己就能快速建立所需的服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/future-business-environment.png" style="width: 700px;" /></p> <p>更進一步來說，透過No Code工具，企業員工除了可以更容易建立自己的內容或應用程式，推動創作者經濟（Creator Economy），這些企業內的個人創作者，也有機會結合企業的影響力與資源，擴大規模形成企業經濟（Corporate Economy），Scott Brinker認為，這些市場行銷領域的創作者、或稱公民創造者的這群人，就可能成為企業新一批的頂尖員工。</p> <h3><span style="color:#FF8C00;">No Code工具市場規模逐漸擴大，大致可分三類滿足企業需求</span></h3> <p>要應用No Code工具，就得先了解市面上的No Code工具分為哪些類別、又有哪些廠商在提供服務。Scott Brinker指出，No Code工具從剛開始Martech版圖中不到40家企業提供服務，現在已經超過400家，且數量還在成長當中。</p> <p>根據Scott Brinker的分類，No Code工具大致可以分為三種功能，其一是自動化，用來自動化行銷活動或流程，取代繁複的人工作業；其二是擴大效用，賦予行銷人能夠創作或分析的能力；其三是整合，將各類資料與工具更輕易與企業環境整合在一起。許多No Code工具會同時具備上述2～3種功能，比如主流的行銷工具平臺包括Salesforce、HubSpot、Marketo等，就同時具備了三大功能在其中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/automation-augmentation-integration.png" style="width: 700px;" /></p> <p>No Code工具的三大類功能，也可以再根據實際應用場景與需求再度細分，比如自動化相關的工具，就可以分為Workato、Kissflow、Pipefy這類工作流程自動化工具（Workflow Automation）；還有Kintone、Nintex、Appian這類商業流程自動化工具（Business Process Automation，BPA）；以及Automation Anywhere、UiPath、BluePrism等辦公室流程自動化工具（Robotic Process Automation，RPA）等。</p> <p>在擴大效用方面，能細分出更多種類，包括網站／電商與登錄網頁（Landing page）的建置工具、Web與行動App的建置工具、電子表單／資料庫的建置工具、機器人／語音助理／虛擬助理、用來從事資料分析／資料科學與機器學習的工具，以及內容創作工具等。</p> <p>整合方面的工具，大多提供了iPaaS（Integration Platform as a Service）服務，讓企業可以更容易的將各類行銷科技工具整合到自家環境中，Scott Brinker引述一份報告指出，有高達47%的企業都表示，軟體工具好用的前提，就是要能輕易的整合到企業環境中，這也是為什麼，部分行銷工具平臺積極併購提供整合或串接服務的新創企業，比如Salesforce就併購了能提供API整合功能的新創MuleSoft、HubSpot則併購了能即時同步顧客數據的新創PieSync。</p> <p>各種工具出現且受到採用後，Scott Brinker也提出了一項預測，指出過去10年來，企業不斷強調大數據（Big Data），目標透過蒐集、儲存並分析海量複雜的數據，來找出潛在洞察；但在下個10年，由於更多應用程式、自動化流程、虛擬助理或分析工具開始在企業內應用，這些工具與機制，不只會同步操作與執行，所產生的資料也會交互運用、共享，對企業來說，將會開始面臨大維運（Big Ops）的挑戰。</p> <p>就定義來說，Scott Brinker解釋，過去幾年已經出現了行銷維運（Marketing ops）、銷售維運（Sales ops）、顧客成功維運（Customer Success ops）、企業導向維運（Business-oriented ops）等作法，大致可以用RevOps（Revenue Operations）來統稱，意指透過重新檢視並調整行銷、銷售等面向的流程，來最大化企業獲益的潛力。</p> <p>而大維運（Big Ops），則是把企業技術端不陌生的DevOps作法，與商業端的RevOps結合，來進行企業內部各種流程的優化， Scott Brinker更比喻，Big Data像是建立一個資料湖，來倒入所有的數據，但Big Ops，則像是建立一個互動式的水上樂園，其中有各種遊樂設施需要整合與規劃。他更預測，Big Ops在往後幾年，將會在企業的數位領域蓬勃發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/devops-plus-revops.png" style="width: 700px;" /></p> <h3><span style="color:#FF8C00;">靠No Code工具人人都可自建服務，但仍有8大原則須遵守</span></h3> <p>Scott Brinker認為，No Code工具將會讓企業從中心化服務的架構，走向分散式由個人自建服務的架構，這會帶來許多改變，包括在服務提供的速度上，不必再排隊等待他人提供協助，而是能靠自己立即建立服務，且每個人都能自建服務之後，更多人可以同步且平行的進行作業，除了加快效率，還能激盪出更多創意火花，自我學習的效益也能再擴散。</p> <p>不過，Scott Brinker也特別強調，雖然No Code工具有其應用優勢，但專業的軟體開發需求仍會持續存在，只是許多業務流程上常遇到的自動化、擴大成效、整合等工作，並不值得忙碌且昂貴的專業開發者來處理。為此，他也列出了適合採用No Code工具的作業條件，包括相對簡單、大多只用於企業內部、使用者為少數、相對來說為短期需求、非常低風險（比如無機敏數據）等作業，較適合由業務人員使用No Code工具來自行建立，補足專業開發人力無法支援的需求。</p> <p>Scott Brinker也指出，業務人員用No Code自建的服務，仍然需要受到監管，因而提出了八項原則提供企業參考。其中有四項原則以技術為核心，提到應該提供良好的No Code服務與平臺，且要提供個人或團隊擁有獨立的空間來進行作業，還要更細部劃分權限來授權使用相關資料與服務，同時也要主動監控錯誤、不尋常行為與稽核狀況。</p> <p>另外四項原則，則與文化形塑相關，包括要允許員工運用相關工具來進行實驗，也要提供訓練資源來協助員工了解如何使用，還需要建立起一些清楚的工具使用指引，以及要富有熱情的鼓勵員工來自己建立服務，才能讓No Code工具在企業內發揮效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8ps-no-code-martech.png" style="width: 700px;" /></p> </div></div></div>
2021/4/22 19:34作者翁芊儒https://www.ithome.com.tw/news/144003
歐盟公布AI立法框架，將嚴格限制生物辨識的使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_21_1682" target="_blank">歐盟在本周三（4/21）公布</a>了首個針對人工智慧（Artificial Intelligence，AI）的立法框架，以及與會員國的協調計畫，明確定義AI的風險，並將禁止或嚴格限制高風險的AI應用，而所有的遠端生物辨識系統全都被歐盟列為高風險，只能在有限的狀況下使用。</p> <p>歐盟希望藉由AI立法框架與會員國之間的協調計畫，能夠在歐盟境內加強AI的採用、投資與創新時，確保人們與企業的安全及基本權利。</p> <p>掌管數位時代政策的歐盟執行副主席Margrethe Vestager表示，對於AI而言，信任是必要的，而非可有可無的，藉由這些具備里程碑意義的規定，歐盟將帶動制定新的全球規範，以確保AI是值得信賴的，它們將設定標準，以於全球推廣基於道德的技術，並會在歐盟公民的安全與基本權利受到威脅時出手干預。</p> <p>歐盟先是<a href="https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age/excellence-trust-artificial-intelligence#eu-and-ai" target="_blank">定義各種AI風險</a>，從不可接受的風險（Unacceptable risk）、高風險（High-risk）、有限風險（Limited risk）到最小風險（Minimal risk:）。其中，任何明顯會威脅人身安全或人們生活與權利的AI系統將被絕對禁止，包含那些能夠操縱人類行為以違反人類自由意志的AI系統或應用，例如那些以語音來鼓勵未成年人進行危險行為的玩具，或者是政府用來進行社會評分的系統。</p> <p class="rtecenter"><img alt="" src="https://ec.europa.eu/info/sites/info/files/ai_pyramid_visual-01.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／European Commission</span></p> <p>至於只要是被應用在重要架構的AI系統都被視為高風險，從重大的基礎設施、教育/職業訓練、產品的安全元件、招募/員工管理系統、必要的私人與公共服務、執法、移民/庇護/邊境管制管理，以及司法與民主程序等。</p> <p>舉凡要在這些高風險領域嵌入AI系統時，都必須遵守嚴格的義務，包括經過適當的風險評估，擁有高品質的訓練資料集，紀錄活動以利追蹤，詳細的文件，適當的人為監督，以及高度的健全、安全與精確性。</p> <p>此外，所有遠端的生物辨識系統，都被列為必須符合嚴格限制的高風險應用，原則上禁止執法機構於公共場合中使用相關系統，少數的例外則可能出現在找尋失蹤兒童、避免緊急的恐怖威脅，或者是用來偵測與定位已確定或涉嫌重大刑事案件的犯人，在使用前必須獲得司法機構或其它獨立機構的授權，且必須限制使用時間。</p> <p>有限風險的AI應用則具有透明化義務，例如使用者必須知道自己是與聊天機器人對話。最小風險的AI應用包括AI影音遊戲或垃圾郵件過濾機制等，歐盟表示，絕大多數的AI系統都落在這個類別，而該類別亦允許人們自由使用，不會受到新法規的規範。</p> <p>相關法案將會在歐洲議會及歐盟會員國採納之後實施。</p> </div></div></div>
2021/4/22 23:14作者陳曉莉https://www.ithome.com.tw/news/144009
WSL也可以執行Linux GUI應用程式了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續改進WSL（Windows Subsystem for Linux）的功能，除了前些時日開始支援GPU運算之外，現在用戶還可以在<a href="https://devblogs.microsoft.com/commandline/the-initial-preview-of-gui-app-support-is-now-available-for-the-windows-subsystem-for-linux-2/" target="_blank">WSL上執行，Linux專用的GUI應用程式</a>，或是在Linux環境中測試自己開發的程式，微軟提到，這項功能可有效改善跨平臺應用程式的開發工作流程。</p> <p>微軟在一年前，於BUILD 2020大會預告WSL將會支援Linux GUI應用程式的消息，現在這項微軟稱之為WSLg的功能終於釋出預覽版。WSL可以讓使用者在Windows上執行Linux環境，而過去WSL主要還是在於支援命令列程式，但有了WSLg功能，用戶也就能夠執行GUI應用程式。</p> <p>用戶在WSL執行會Linux GUI應用程式時，WSL會自動啟動伴隨系統，其中包括了Wayland、X Server、Pulse Audio Server，以及所有Linux GUI應用程式與Windows溝通所需要的元件，伴隨系統會在用戶結束Linux GUI應用程式，自動終止並且結束連線對話。</p> <p>WSLg這項功能對開發者來說，有一項直接的好處，便是可以使用自己熟悉的IDE開發專案，像是使用Visual Studio Code，在Windows機器上用到完整的Linux IDE，開發者可以方便地跨Windows和Linux取用相同的擴充套件和設定，另外，WSLg也讓開發者可以執行其他IDE，像是gedit、gvim或是其他基於JetBrains的編輯器，以高效的方式建置、測試和除錯Linux應用程式。</p> <p>開發者可以選擇利用WSLg執行可能只能在Linux中運作的GUI應用程式，或是在Linux中執行、測試自己開發的應用程式，這些程式可以直接在Windows 10上運作，不需要變更電腦或是管理虛擬機器，就能夠在Linux內運作。</p> <p>由於WSLg帶有開箱即用的音響與麥克風支援，也就是說開發者在WSL上執行的Linux GUI應用程式，可以播放聲音提示或是使用麥克風，微軟提到，這非常適合用來建構和測試像是電影播放器或是各種電信應用。</p> <p>作為WSLg功能的一部分，微軟還提供了GPU對3D圖形加速的支援，現在所有複雜的Linux 3D渲染應用程式，都可以利用OpenGL在Windows 10電腦上獲得GPU加速，微軟提到，這項支援可以讓一些複雜應用程式執行的更順暢，像是機器人模擬工具Gazebo等。在預設情況下，用戶使用不同的WSL發布版本都可以獲得這項體驗。</p> </div></div></div>
2021/4/22 23:19作者李建興https://www.ithome.com.tw/news/143994
威聯通NAS遭勒索軟體Qlocker攻擊，疑似甫修補的重大漏洞惹禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣NAS製造商威聯通科技（QNAP）再傳用戶遭到勒索軟體攻擊！<a href="https://www.bleepingcomputer.com/news/security/massive-qlocker-ransomware-attack-uses-7zip-to-encrypt-qnap-devices/">根據資安新聞網站Bleeping Computer報導</a>，自4月19日起，駭客鎖定該廠牌NAS設備發動攻擊，並透過名為Qlocker的勒索軟體將檔案加密，檔案的副檔名全部變成7Z，且留下勒索訊息要求受害者支付0.01個比特幣（約相當於557.74美元）來解鎖。</p> <p>此起事件在<a href="https://forum.qnap.com/viewtopic.php?t=160849&p=786790">威聯通的社群討論區</a>，以及國內外的網路論壇引起熱烈討論，不少使用者表示自己NAS的檔案全數遭到加密，甚至後來<a href="https://www.facebook.com/groups/nas.tw/permalink/10159342585353245/">有人自力救濟提出解法</a>，宣稱不需付贖金有機會把檔案救回來，但後來又傳出發動攻擊的駭客再度修改勒索軟體，使得原本的機制失效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/qlocker-payment-submit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qlocker-payment-submit.png" style="width: 580px; height: 476px;" /></a></p> <p>根據這些使用者的描述，他們的NAS在遭到攻擊之後，檔案全部被7-Zip打包成受到密碼保護的壓縮檔案，有部分受害者發現快照遭到刪除。而在檔案被加密的過程中，使用者可從NAS的資源監視器看到7-Zip命令列版本的處理程序在執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7z-process-monitor.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7z-process-monitor.png" style="width: 580px; height: 320px;" /></a></p> <p>針對這起事故的導火線，威聯通向Bleeping Computer表示，很有可能與2個重大漏洞有關，這些漏洞允許任意人士取得完整的存取權限，並在NAS上執行勒索軟體。</p> <p>這2個漏洞分別是<a href="https://www.qnap.com/en/security-advisory/qsa-21-05">CVE-2020-2509</a>，以及<a href="https://www.qnap.com/en/security-advisory/qsa-21-11">CVE-2020-36195</a>。它們先後在2020年10月與11月，<a href="https://securingsam.com/new-vulnerabilities-allow-complete-takeover/">被SAM Seamless Network發現</a>並通報威聯通。前者是存在於QTS與QuTS hero作業系統的命令注入漏洞，後者則是SQL注入漏洞，涉及多媒體主控臺與影音串流附加元件。威聯通在4月16日發布相關修補程式。</p> <p>威聯通指出，他們相信Qlocker事故中，攻擊者濫用了CVE-2020-36195，進而在存在漏洞的NAS設備上執行勒索軟體。基於這樣的可能發生原因，該公司強烈建議用戶更新QTS、多媒體主控臺，以及影音串流附加元件，來防範攻擊者濫用相關漏洞。</p> <p>而對於此事，我們也向威聯通詢問，該公司指出他們有收到少部分的客戶通報此事，目前該公司資安團隊與客服工程師與用戶密切合作，協助排除問題，並追查入侵軌跡。他們初步調查發現，直接連接網際網路的NAS設備，有可能會遭遇相關攻擊，對此，他們指出，用戶不只要使用最新版的作業系統和應用程式，也應該採取資安強化措施來降低相關風險，像是停用Admin帳號、加強密碼強度，以及變更預設連接埠等。</p> </div></div></div>
2021/4/22 19:24作者周峻佑https://www.ithome.com.tw/news/144004
臺灣第二家純網銀正式對外展開營運，一次揭露Line Bank首波6大產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經28個月，Line Bank（連線銀行）終於誕生，成為臺灣第二家純網路銀行。Line Bank今年2月初取得金管會核發的純網銀執照之後，於3月24日展開為期4周的內部試營運，並在今天（4/22）宣布正式對外開行，首波推出開戶、簽帳金融卡、轉帳、零存整付階梯式定存、分期型個人信貸、金融Chatbot（聊天機器人）等6大產品或服務。</p> <p>Line Bank總經理黃以孟指出，Line Bank有三大核心策略，一是用戶至上，了解用戶的痛點，讓用戶體驗不同形式的數位銀行服務；二是「場景優先」，除了手機App或網站還不夠，必須尋找非常多消費者在食、衣、住、行、育、樂的生活場景，將金融服務嵌入場景中，讓用戶輕易就能找到Line Bank。</p> <p>此外，黃以孟表示，Line Bank有7Ｘ24小時隨時監控機制，來達到第三個安全信任策略。透過這三大核心策略，結合Line多元服務生態圈的生活場景，提供24小時流動的整合式金融服務，是該銀行的目標。</p> <p>Line Bank更自詡想成為新一代的全民銀行，目標客群是通訊軟體Line的深度使用者。黃以孟強調：「Line Bank就是開在Line上的一家銀行。」</p> <p>在籌備開業期間，Line Bank透過金融產品服務市場調查，找出前三大項消費者最想要的服務，作為第一波金融服務的設計重點，其中，包括用簽帳金融卡刷卡後立刻回饋點數，另外是跨行轉帳免手續費，以及高利或優利定存。</p> <p>開行第一天，Line Bank一口氣推出6大產品與服務：Line Bank主帳戶、智能客服、Line Bank好友轉帳、Line Bank快點卡（簽帳金融卡）、Line Bank夢想帳戶、Line Bank分期信貸</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3565.JPG" /></p> <h4><span style="color:#0066ff;"><strong>開戶有3個主要管道</strong></span></h4> <p>在開戶部分，Line Bank提供了多元服務入口，包括Line錢包、Line主頁，在Line上就可以開戶，此外，也開發了一個獨立的Line Bank App。Line Bank也宣稱，最快6分鐘可以完成開戶申請。</p> <p>Line Bank也開立了Line官方帳號（OA），讓用戶直接找尋任何金融服務，比如帳戶查詢。Line官方帳號中，也嵌入了智能客服Chatbot，提供線上文字回應、線上真人視訊、線上語音等服務，黃以孟表示，用戶透過Line中的通話功能，就能跟客服聯繫。此外，用戶的每一筆轉帳、刷卡、跨行取款等交易，用戶都會在Line收到通知。</p> <h4><span style="color:#0066ff;"><strong>好友轉帳有分帳功能、8項轉帳功能</strong></span></h4> <p>黃以孟表示，既然是開在Line上的服務，就要善用Line的好友轉帳、分帳功能。Line Bank也仿效了同樣的分帳功能，可選取Line好友，輸入費用總金額之後，便會依照人數自動拆分每人所需付的金額，甚至，有人想多付的話，還能彈性調整金額。黃以孟表示，這是Line Bank的差異性服務。</p> <p>除了分帳，Line Bank還整合了8項轉帳功能，黃以孟提到，是國內金融機構最完整的轉帳服務。除了傳統數位銀行的轉帳功能，還有轉帳給好友、分帳、要求好友轉帳給自己，以及預約轉帳、約定轉帳、ATM跨行轉帳、QR Code轉帳。</p> <h4><span style="color:#0066ff;"><strong>以客製化、遊戲化方式打造零存整付定存產品</strong></span></h4> <p>Line Bank也推出了一項夢想帳戶產品，這其實就是一般金融機構提供的零存整付定存產品，只是Line Bank以客製化、遊戲化方式，以階梯式加碼的模式，配合角色闖關機制，讓用戶每月都有動力存下目標金額。</p> <p>他提到，夢想帳戶的特色是，用戶可以自訂夢想計畫，比如結婚基金，我的冰島行，我的重型機車，還可隨意置換介面上的照片。用戶可自行設定目標金額，從1萬元到300元不等，定存期間最短為4個月，最長為2年。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3573.JPG" /></p> <h4><span style="color:#0066ff;"><strong>簽帳金融卡首創即時回饋點數功能</strong></span></h4> <p>Line Bank推出的簽帳金融卡，主打特色是，消費刷卡後同時發放回饋的Line Points點數。開戶時可同時授權，快速綁定Line Pay功能。另一項創新功能是，讓用戶可隨時轉換卡片權益，黃以孟解釋，雖然卡片權益只有兩種，但用戶可以依照每筆消費，來決定哪一個權益對自己較為有利，隨時轉換後，卡片權益便會即時生效。</p> <h4><span style="color:#0066ff;"><strong>分期信貸提供全線上端到端流程</strong></span></h4> <p>黃以孟提到，Line Bank沒有業務人員，也無法透過一對一方式行銷，所有的信貸服務，只能透過網路或手機，從信貸申辦、核准、提供文件、撥款這樣端到端的流程，全部在線上執行。Line Bank也宣稱，核貸後最快3分鐘可取得款項。</p> <p>黃以孟表示，短期目標是今年6月底前，累積50萬名用戶開戶。對於信用卡、企金開戶等其他金融服務，他則表示，尚未有具體規畫可向外界揭露。文⊙李靜宜</p> </div></div></div>
2021/4/22 20:12作者李靜宜https://www.ithome.com.tw/news/144005
從傳統地端銷售轉向雲端訂閱模式，SAP在臺主打RISE with SAP服務銷售新策略，不僅提供企業ERP軟硬體，還能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，企業ERP軟體商SAP才在自家全球線上策略發表會上公布未來銷售策略一大轉變，就是為了搶攻雲端市場，開始改以數位轉型即服務（Business transformation as a Service）形式來銷售自家產品，提供企業轉型上雲一站式服務，包括業務核心的ERP軟體及硬體等，甚至還可幫企業代管ERP，並依使用量計費，做為企業可以採用的計價模式之一，更以RISE with SAP統稱這種訂閱式合約模式，來和以往軟體授權的合約做區別。近日SAP也揭露RISE with SAP服務在臺運作模式。並有物流倉儲業者、高科技業者開始導入。</p> <p>配合全球SAP雲端戰略的調整，SAP全球副總裁暨臺灣總經理林偉德指出，今年SAP在臺的一大營運策略，就是要透過RISE with SAP在臺落地，推動臺灣企業一站上雲。</p> <p>SAP雲端業務發展總監王台弘就表示，RISE with SAP是該公司針對企業轉型上雲推出的一站式服務方案，將數位轉型過程所需各種服務，打包成單一整合的服務，也就是一種轉型即服務（Transformation as a Service）的概念。</p> <p>他進一步說明，該服務方案主要有三大特色，首先是以訂閱來取代傳統軟體、硬體購買。有別傳統On-Premise地端銷售作法，SAP只賣軟體，並不包括硬體，因為SAP軟體需要搭配認證的硬體，企業買來後，還要找系統整合商來幫他整合軟硬體，即使系統上線後，還得自己負責後續維運。現在採用RISE方案就沒有這個問題。對於企業來說，預估可以有效降低2成TCO成本支出。</p> <p>其次，企業因為不用自己購買硬體，自建機房，應用服務部署時間變更短，甚至可早2個月將服務推出上線。最後是在這張合約內，他強調，SAP公司不只提供軟硬體，連系統上線後續的維運都一手包辦，如備份、升級與性能調優，透過這樣的方式，預估可讓企業整體維運成本約可下降87%，企業可專注於做轉型的事。但該方案並不包括顧問咨詢的費用。</p> <p>目前SAP的RISE方案中，主要涵蓋三種SAP主力產品及平臺，一個是SAP核心ERP產品S/4HANA Cloud，一個是商業科技平臺（Buiness Technology Platform），裡面整合了包括數據、API、RPA、ML等數位科技產品，以及還有一個是B2B商業網路（Business Network），內含供應商網路（如Ariba採購雲）、設備商網路（如機臺連線狀況），以及物流網路（如疫苗追蹤）三個商業網路。至於CRM產品，目前並未包含在RISE方案裡。</p> <p>雖說是訂閱方案，SAP也不是第一次將自家產品轉為訂閱制，這家公司早在2~3年前就已有多款雲端產品採用這種雲端訂閱方式做銷售，如SAP Ariba 採購雲、successfactors人資雲、SAP IBP等，就連核心ERP產品去年也都有推出SAP S/4HANA Cloud雲端版本，同樣是採雲端訂閱模式。</p> <p>不過，SAP臺灣智慧企業解決方案總監章恩齊解釋，單以SAP S/4HANA ERP產品來看，在新的RISE方案中，雖然同樣是訂閱制，但兩者在採用上還有有些區別，RISE方案裡的ERP增加客製化彈性，企業可以依照自己的需求增加所需功能或商業邏輯，舉例來說，企業用戶要出貨給自己的客戶時，現在透過客製化ERP功能，可以配合不同客戶提供專屬出貨條碼，方便他們收貨。其次，ERP軟體放置的地方不一定在SAP自己的雲，企業可以將ERP放在第三方公有雲，目前可支援三大公有雲服務商，包括Azure、AWS、GCP。再來是，比起單一雲端產品的訂閱方案，他表示，一站式方案也較優惠。</p> <p>因為RISE方案是採付費訂閱方式，並依使用量來計費，章恩齊也以ERP的訂閱方案為例，主要依使用者人數來計價，先約定一個基本用量(或額度)，之後如果人數超過，再針對追加的人數收取額外的費用。ERP五大模組都包含在內。但他並沒有說明最低訂閱時間單位 (如按年或按月)，只提到企業客戶一般訂閱多簽2年以上。且該方案僅限於雲端版的ERP，不包含地端ERP，還是沿用傳統的銷售模式。</p> <p>除了ERP核心產品之外，他表示，在RISE方案裡還有提供其他SAP軟體，同樣採用訂閱制，但可配合客戶需求提供較彈性的付款機制，不過他也說，目前多數訂閱採年付為主。另外針對不同應用場景，計價單位也有所不同，像是有依單據量來收費，也有的依機臺的連線數來計費，讓用戶做不同搭配使用。比如SAP Ariba 採購雲就是依企業實際使用單據量計費。除此之外，如RPA等其他SAP軟體，一樣可依使用量計費。</p> <p>他表示，企業一旦決定採用這套方案後，除了有顧問協助客戶評估現有的業務流程，符合其使用需求，另外 RISE本身還提供Starter Pack入門方案，企業可以先從輕量應用服務搬上雲做起。因為放在雲端，之後企業可再逐步依需求來調整增加用量，這是和傳統<span class="aCOpRe"><span>地端環境的最大不同。</span></span></p> <p>章恩齊也透露，臺灣現在已有客戶正在導入RISE方案，包括了有物流倉儲管理業者、高科技業者都有。</p> </div></div></div>
2021/4/22 18:04作者余至浩https://www.ithome.com.tw/news/143956
把漏洞導入Linux核心來作實驗，Linux大佬封殺明尼蘇達大學所有貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有一群來自明尼蘇達大學（University of Minnesota，UMN）的研究人員，藉由貢獻修補程式至Linux核心的名義，實則利用修補程式導入臭蟲或漏洞，以觀察Linux核心社群的反應，近日再度故技重施時，遭到Linux大佬Greg Kroah-Hartman斥責，Greg Kroah-Hartman不僅封鎖了所有來自該大學的貢獻，還移除了過去該大學曾經貢獻的程式碼。</p> <p class="rtecenter"><a href="https://twitter.com/gregkh/status/1384785747874656257" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-Greg%20Kroah-Hartman.png" style="width: 500px;" /></a></p> <p><a href="https://lore.kernel.org/linux-nfs/YH%2FfM%[email protected]/" target="_blank">Kroah-Hartman寫了一封</a>措辭嚴厲的電子郵件予該群研究人員，指出他們過去即曾公開坦承送出含有許多臭蟲的修補程式至Linux核心社群，以測試社群的反應，還以此發表了論文，這次他們再度提交了一系列明顯錯誤的修補程式，這些程式並沒有修補任何東西，使得他假設Linux社群再度淪為實驗對象。</p> <p>Kroah-Hartman指出，該群研究人員並未要求社群的協助，反而是在知道這是個實驗的狀態下，宣稱該修補是合法的，然而，Linux核心社群的任務並非是成為別人的測試對象，他們歡迎開發人員協助強化Linux，但這些研究人員的所作所為並非如此。</p> <p>惹毛Kroah-Hartman的研究，應是明尼蘇達大學在今年2月所出版的「開源碼的不安全性：偽君子偷偷導入了漏洞」（<a href="https://github.com/QiushiWu/QiushiWu.github.io/blob/main/papers/OpenSourceInsecurity.pdf" target="_blank">Open Source Insecurity: Stealthily Introducing Vulnerabilities via Hypocrite Commits</a>）報告，這群研究人員利用貢獻程式碼（修補程式）至Linux核心社群的機會，在程式碼中夾帶了臭蟲與潛在的安全漏洞，成功於Linux核心中引進了釋放後使用（Use After Free）漏洞，並提出了緩解相關問題的解決方案。</p> <p>Kroah-Hartman說，Linux核心社群並不歡迎這種實驗，也不願接受提交無用修補程式的測試，決定從今以後封鎖所有來自明尼蘇達大學的貢獻，也會移除該大學過去的貢獻。</p> <p>在遭到Kroah-Hartman猛烈的批評之後，明尼蘇達大學電腦科學暨工程學院的負責人Mats Heimdahl很快就<a href="https://cse.umn.edu/cs/statement-cse-linux-kernel-research-april-21-2021" target="_blank">發表了聲明</a>，表示他們非常重視此一事件，也立即停止這類的研究，將進一步調查此一研究方法，以及該研究方法被核准的過程，以期採取適當的補救措施，也會在調查結果出爐後，儘快將報告提交給Linux核心社群。</p> </div></div></div>
2021/4/22 17:11作者林妍溱https://www.ithome.com.tw/news/143992
最新MITRE ATT&CK評估計畫結果出爐，第三輪29家資安業者較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對駭客組織一連串的攻擊手法，MITRE ATT&CK已是企業與資安產業都在關注的資安攻防框架，彙整了所有已知攻擊手法並提供結構化的內容，而為了更進一步幫助端點防護產品的偵測能力，MITRE還特別發起了ATT&CK評估計畫，去年已經進行到第三輪，這次假想的攻擊對象是Carbanak與FIN7，兩者都是鎖定金融業攻擊的駭客組織，近日MITRE公布了最新第三輪的<a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?rounds=carbanak_fin7">結果</a>，成為企業與業者參考依據。</p> <p>在此次針對Carbanak與FIN7的評估計畫中，有多達29家資安業者參與，比起上一輪的21家更多，並有更多知名資安大廠加入。若以這三年的發展趨勢來看，每輪參與評測挑戰的業者數量，已經是越變越多，顯然，此一計畫確實是越來越受業界重視，而對於這些業者而言，不只是可展現自家資安產品技術能量，同時也能藉此瞭解自身還能強化的面向。</p> <h2><strong>第三輪新加入業者再增10家，更多資安大廠投入</strong></h2> <p>在這次參與的29家業者中，連三年參與的有11家，包括CrowdStrike、Cybereason、Elastic（併購Endgame）、F-Secure、FireEye、GoSecure（由CounterTack併購更名），以及McAfee、微軟、Palo Alto Networks、SentinelOne與VMware Carbon Black。</p> <p>上一輪就同樣參加的有8家，包括臺灣奧義智慧與趨勢科技，繼續投入於這輪評測，其他還包括Bitdefender、BlackBerry Cylance、Malwarebytes、Symantec（a division of Broadcom）與ReaQta。</p> <p>至於首次新加入評估計畫的成員方面，當中我們看到有更多國際大廠的加入，此輪新進的10家業者包括：CheckPoint、Cisco、ESET、Fidelis、Fortinet、Micro Focus與Sophos等知名業者，以及來自加拿大的OpenText（併購Guidance）、韓國資安大廠AhnLab，以色列資安公司Cynet。</p> <p>不過，還是有業者沒有繼續參與第三輪評估，例如Secureworks、HanSight與Kaspersky，而後兩者分別是由中國360集團策略投資與來自俄羅斯。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）MITRE ATT%26CK第三輪結果與現況(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81(1).jpg" style="width: 600px;" /></a></p> <blockquote><p><a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?rounds=carbanak_fin7">MITRE ATT&CK評估計畫已結束第三輪的評比</a>，本次以鎖定金融業的駭客組織<a href="https://attack.mitre.org/groups/G0008/">Carbanak</a>與<a href="https://attack.mitre.org/groups/G0046/">FIN7</a>為攻擊情境，並有多達29家資安業者參與這項計畫，包括CheckPoint、Cisco等10家都是首次參與。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）MITRE ATT%26CK第三輪結果與現況_奧義.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E5%A5%A7%E7%BE%A9.gif" style="width: 600px;" /></a></p> <blockquote><p>在MITRE Engenuity網站上，針對Carbanak與FIN7組織攻擊套路，將顯示各家參與資安業者的偵測成果，包括偵測數量、分析範圍、遙測範圍與可視性的統計，以及在不同攻擊步驟、子步驟與頻率的偵測能力，而29家業者各自都會有上圖這樣的評估結果。偵測能力表現方式包含N/A、無偵測、遙測Telemetry，以及有效即時警告的General、Tactic與Technique。（圖為奧義智慧的評估結果。)</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6A）MITRE ATT%26CK第三輪結果與現況_趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966A%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6B）MITRE ATT%26CK第三輪結果與現況_趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966B%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81_%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px; height: 267px;" /></a></p> <blockquote><p>若展開Carbanak與FIN7評估結果，上圖以趨勢科技報告頁面為例，可以查看每輪評比結果，並檢視所有攻擊步驟與子步驟的偵測細節，同時也會呈現測試當下所記錄到的產品介面截圖。</p> </blockquote> <p>特別的是，隨著這項評估計畫的發展越來越上軌道，MITRE已經成立MITRE Engenuity公司，專門職掌評估計畫的執行，這次計畫就是由該公司負責，顯然期望讓這樣的評測可以持續，並且是期望讓規模更擴大。</p> <h2><strong>下一輪將以Wizard Spider與Sandworm為攻擊假想對象</strong></h2> <p>另外值得一提的是，在2021年3月中旬，也就是上個月，MITRE Engenuity公布了第四輪評測計畫，同樣會以兩個駭客組織攻擊為情境，攻擊設想對象分別是Wizard Spider與Sandworm，前者是以經濟利益為導向的駭客組織，自2018年以來針對大型企業與醫院進行勒索軟體攻擊，後者是以破壞為導向的俄羅斯駭客組織，已經橫行多年，包括2015年攻擊烏克蘭電氣公司造成當地大規模停電，也曾發動NotPetya勒索軟體攻擊造成全球災情。</p> <p>而除了上述ATT&CK Evaluations for Enterprise，還有一項可以關注的焦點，是工業控制系統ICS領域方面。其實在去年5月，MITRE Engenuity還公布了針對ICS資安廠商的評估計畫，攻擊設想情境是2017年中造成沙烏地阿拉伯石化設備受害的TRITON事件，不過到目前為止，可能因為參與業者數量不足，至今尚未開始進行。值得關注的是，在目前表示參與的5家業者中，臺灣的財團法人資訊工業策進會（資策會）也名列其中，其他業者還包括Armis、Claroty、微軟與Dragos。</p> <p>至於MITRE ATT&CK發展的下一步，除了ATT&CK for Enterprise看起來已經步入軌道，在2021年還有其他兩類也值得期待，包括ATT&CK for Mobile將有更進一步的內容強化，以及ATT&CK for Cloud的新發展，都將是企業與產業可重視的面向。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）MITRE ATT%26CK第三輪結果與現況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81.jpg" style="width: 600px;" /></a></p> <blockquote><p>MITRE Engenuity在今年3月16日，已經先公布了第四輪評測計畫，這次攻擊設想對象為<a href="https://attack.mitre.org/groups/G0102/">Wizard Spider</a>與<a href="https://attack.mitre.org/groups/G0034/">Sandworm</a>。</p> </blockquote> <p> <a href="https://s4.itho.me/sites/default/files/images/（圖5）MITRE ATT%26CK第三輪結果與現況.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%B8%89%E8%BC%AA%E7%B5%90%E6%9E%9C%E8%88%87%E7%8F%BE%E6%B3%81.jpg" style="width: 600px;" /></a></p> <blockquote><p>MITRE Engenuity正期望擴大評估領域，2020年5月也發布了ATT&CK Evaluations for ICS，只是這項評估計畫仍未展開，不過我們可以看到，國內財團法人資訊工業策進會（資策會）也在參與名單中。</p> </blockquote> </div></div></div>
2021/4/22 14:49作者羅正漢https://www.ithome.com.tw/news/143990
Signal在神展開的劇情下，破解了Cellebrite提供給極權政府的駭客工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門協助全球政府或警方破解行動裝置的以色列數位鑑識業者Cellebrite，<a href="https://www.cellebrite.com/en/cellebrites-new-solution-for-decrypting-the-signal-app/" target="_blank">在去年12月宣布</a>，已可取得行動裝置中的加密通訊程式Signal的內容，Signal的共同創辦人Moxie Marlinspike<a href="https://signal.org/blog/cellebrite-and-clickbait/" target="_blank">當時不但駁斥了</a>Cellebrite的說法，更<a href="https://signal.org/blog/cellebrite-vulnerabilities/" target="_blank">在本周揭露</a>了破解Cellebrite駭客工具的細節，以其人之道，還治其人之身。</p> <p>Marlinspike表示，Cellebrite所列出的客戶有許多是極權國家，包括俄羅斯、白俄羅斯、委內瑞拉或中國，也包含了壓迫人民的緬甸軍政府、孟加拉的死刑小隊，以及土耳其與阿聯酋。Cellebrite還傳出曾在2016年幫美國聯邦調查局（FBI）解鎖恐怖份子所持有的iPhone，但近日<a href="https://www.ithome.com.tw/news/143857" target="_blank">《華盛頓郵報》</a>（The Washington Post）引述消息來源報導，協助FBI解鎖iPhone的是澳洲一家名不見經傳的資安業者Azimuth Security，並非Cellebrite。</p> <p>Cellebrite開發兩個主要的駭客工具，一為通用取證裝置（Universal Forensic Extraction Device，UFED），負責將行動裝置的內容備份到執行UFED的Windows設備上，第二個則是用來解析備份檔案內容，並以瀏覽形式呈現的Physical Analyzer。Cellebrite主要的任務是破解已被拿到的行動裝置，而非遠端監控或分析，只要利用UFED與Physical Analyzer，就能開啟行動裝置上的任何程式，並展示它們的螢幕畫面。</p> <p>要破解Cellebrite的駭客工具必須先取得相關工具，而根據Marlinspike的描述，某一天他在散步的時候，路上有輛卡車忽然掉了一個包裹，他定睛一看，竟然就是Cellebrite的工具包，內有最新的Cellebrite軟體，還有一個用來防止盜版的硬體裝置，以及不同接頭的眾多傳輸線。</p> <p>總之，在不可思議地撿到Cellebrite的駭客工具包之後，Marlinspike即開始分析UFED與Physical Analyzer，卻發現專門利用各種安全漏洞，以繞過裝置安全機制的Cellebrite，並不注重自己的軟體安全。</p> <p>其中一個例子是，Cellebrite的軟體整合了許多FFmpeg DLL，這些DLL檔案是在2012年建立的，當中已經歷數度的更新，修補超過100個安全漏洞，但UFED與Physical Analyzer卻從未部署這些更新。</p> <p>這使得Marlinspike很輕易地就能駭進Cellebrite的設備。他說，只要在行動裝置的任何程式中，嵌入一個特定格式的無害檔案，再將行動裝置插入Cellebrite設備並進行掃描，便幾乎可以在Cellebrite設備上執行任意程式，不僅能變更Cellebrite設備正在掃描的報告內容，甚至還能變更Cellebrite設備過去或未來所產生的掃描報告，包括插入或移除文字、電子郵件、照片、通訊錄、檔案或其它資料，而且還可隨機執行，亦無可被偵測的時間戳或檢驗失敗等資訊，嚴重影響Cellebrite報告的完整性與可信度。</p> <p>此外，Marlinspike還發現Physical Analyzer使用了兩個具蘋果簽章的MSI套件，以安裝iTunes用來與iOS裝置互動的DLLs，他認為蘋果不太可能授權讓Cellebrite於自己的產品中整合這些DLLs，代表不管是Cellebrite或該公司的客戶都承受著法律風險。</p> <p>Signal為一標榜端對端加密的安全通訊程式，兩名創辦人分別是Marlinspike與Stuart Anderson，其中，Anderson為機器人專家，而Marlinspike本身就是安全研究人員。Signal不但曾被電子前線基金會（EFF）列為全球最安全的通訊程式之一，<a href="https://www.ithome.com.tw/news/142139" target="_blank">今年還曾被</a>特斯拉創辦人馬斯克（Elon Musk）點名，號召WhatsApp用戶轉移陣地至Signal。</p> <p>Marlinspike說，他其實很願意秉持著「責任揭露」原則，提供漏洞細節予Cellebrite，但前提是Cellebrite也必須採取同樣的行動，揭露那些該公司用來擷取資訊所使用的安全漏洞。</p> <p>未來的Signal程式也都會定期地在程式的儲存空間中置入特定檔案，這些檔案是無害的，且永遠不會與Signal的軟體或資料互動。雖然Marlinspike並未明確指出這些檔案的用途，但顯然是用來破解Cellebrite的駭客工具。</p> </div></div></div>
2021/4/22 15:42作者陳曉莉https://www.ithome.com.tw/news/143991
西雅圖Whole Foods導入Amazon One掌紋支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazon-one-continues-expansion-now-available-as-a-contactless-payment-option-at-initial-whole-foods-market-store-in-seattle" target="_blank">Amazon昨（21）日宣布</a>擴大掌紋掃瞄方案Amazon One的應用，將用於美國西雅圖Amazon總部所在地的Whole Foods超市的支付之用。</p> <p><a href="https://www.ithome.com.tw/news/140274" target="_blank">Amazon去年秋天宣布</a>掌紋掃瞄方案Amazon One，這是透過Amazon專屬設備的電腦視覺軟體，來掃瞄與分析掌紋、掌丘、皮下特徵如靜脈血管分布等形成的獨特圖案的身份辨識方案。Amazon號稱比其他生物辨識方案更能保護隱私，而其非接觸的特性也更符合公衛需求。除了作為出入控管外，Amazon One也可以結合支付功能作為另一種電子支付應用。</p> <p>去年宣布時，Amazon One是應用在西雅圖兩家Amazon Go無人商店上。Amazon實體零售與技術副總裁Dilip Kumar表示，迄今Amazon One已應用在當地Amazon Go、Go Grocery、Amazon四星選物實體店4-Star、快閃店Amazon Pop Up及Amazon書店的出入，以及無接觸支付方案選項。有數千名用戶註冊使用。</p> <p>如今Amazon One將再擴大到西雅圖市麥迪遜百老匯大街上的有機超市Whole Foods Market作為支付選項之一。未來幾個月內Amazon計畫再把Amazon One擴大部署到同市的7家Whole Foods Market超市。新加入者可以到任何有Amazon One設備的店家掃瞄掌紋，再綁定信用卡註冊。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/51f342e/2147483647/strip/true/crop/2000x1126+0+84/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fa1%2F73%2F437f2a30459c81184822041ce7b7%2Faone-1.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／Amazon</span></p> <p>這是Amazon以自家零售店面測試產品的最新例子。在此之前Amazon也在Amazon Go導入電腦視覺為基礎的結帳方案Just Walk Go，與在生鮮超市Amazon Fresh部署AI推車Dash Cart。</p> <p><a href="https://blog.aboutamazon.co.uk/shopping-and-entertainment/introducing-amazon-salon" target="_blank">上周Amazon也宣布</a>在倫敦東區開設第一家美髮沙龍Amazon Salon。這是一棟二層樓，占地約42坪的沙龍，消費者剪髮或染髮前，可先以擴增實境（AR）應用測試新髮型。</p> <p class="rtecenter"><img alt="" src="https://d39w7f4ix9f5s9.cloudfront.net/dims4/default/483fb09/2147483647/strip/true/crop/3855x2991+0+885/resize/812x630!/quality/90/?url=http%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F3b%2F04%2F507da6914d6290705b42c2bf9d8b%2Fsalon-625.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> <p>另外一個名為point-and-learn的技術，讓消費者指向展示櫃上有興趣的商品，該商品影片或資訊就會顯示在牆上的螢幕。這家店旨在以科技展示並促銷Amazon網站上的美髮商品。</p> <p class="rtecenter"><img alt="" src="https://d39w7f4ix9f5s9.cloudfront.net/dims4/default/efea6a9/2147483647/strip/true/crop/5176x4016+0+0/resize/812x630!/quality/90/?url=http%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F0c%2F00%2F9a50c880404f9c439ad30383744c%2Fsalon-567.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></p> </div></div></div>
2021/4/22 13:26作者林妍溱https://www.ithome.com.tw/news/143988
Google Chrome再緊急修補已有攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/04/stable-channel-update-for-desktop_20.html" target="_blank">Google本周釋出</a>Windows、Linux、Mac平臺最新Chrome 90.0.4430.85版本，以修補7項漏洞，包括一個已經發生開採攻擊的漏洞。</p> <p>遭到開採的是編號CVE-2021-21224的類型混淆（Type Confusion）漏洞，存在JavaScript V8引擎。它是由VerSprite研究人員Jose Martinez通報。</p> <p>Google以必須等大部份用戶更新為由，昨日並未公佈漏洞細節。類型混淆可能導致記憶體越界存取，使程式當掉或讓駭客執行任意程式。不過Google指出，已接獲CVE-2021-21224開採程式在網路上公開流傳。呼籲用戶應儘速安裝最新版Chrome。</p> <p>這個版本另也修補了其他4項高風險漏洞，包括另二個V8漏洞，分別是緩衝溢位漏洞CVE-2021-21222及頻外記憶體存取（out of bands memory access）CVE-2021-21225。其他二個則是Mojo元件的整數溢位漏洞CVE-2021-21223，及Navigation元件的使用已釋放記憶體（use after free）漏洞CVE-2021-21226。</p> <p>這是Chrome今年以來第四次為修補已開採漏洞而釋出新版本，之前已為此在<a href="https://www.ithome.com.tw/news/142645" target="_blank">2月</a>、<a href="https://www.ithome.com.tw/news/143023" target="_blank">3月</a>及<a href="https://www.ithome.com.tw/news/143851" target="_blank">上周</a>發布新版本Chrome。</p> </div></div></div>
2021/4/22 13:39作者林妍溱https://www.ithome.com.tw/news/143989
藏匿惡意程式的手法越來越繁複！北韓駭客Lazarus濫用BMP圖檔及內嵌壓縮檔案，並搭配圖檔格式轉換等多重手法，來藏匿…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓APT駭客組織Lazarus近期的動作頻頻，他們不只<a href="https://www.ithome.com.tw/news/143580">鎖定資安研究人員下手</a>，也暗中<a href="https://www.ithome.com.tw/news/143751">埋伏在南非貨運公司竊密</a>，或者是<a href="https://www.ithome.com.tw/news/143885">對於提供加密貨幣付款的電商網站發動側錄攻擊，洗劫受害者錢包</a>。而最近，該組織針對南韓使用者出手，發動木馬程式攻擊來竊密，但和過往有所不同的是，為了回避資安系統的偵測，他們將惡意程式碼藏在BMP圖片檔案裡偷渡。</p> <p>資安業者Malwarebytes於4月19日，<a href="https://blog.malwarebytes.com/malwarebytes-news/2021/04/lazarus-apt-conceals-malicious-code-within-bmp-file-to-drop-its-rat/">揭露Lazarus對於南韓使用者的網路釣魚攻擊</a>。研究人員在4月13日看到該駭客組織出手，以南韓某個城市舉辦的博覽會申請表單的名義，寄送帶有惡意巨集的Word文件。研究人員發現，該文件檔案製作的時間是3月31日，因此他們研判這就是整起攻擊行動的開始時間點。</p> <p>一旦使用者將附件文件開啟，該文件會要求必須啟用巨集才能檢視內容，使用者依照指示打開上述功能後，就會出現另一個訊息對話框，宣稱Office軟體版本較舊的訊息。但實際上，此時這個巨集已經在背景執行一個被壓縮為ZLIB檔案的HTA檔案，而這個檔案其實來自於一張PNG圖片檔案image003.png。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/process-1.png" style="width: 580px; height: 212px;" /></p> <p>Malwarebytes進一步說明，上述文件的巨集會將PNG檔案image003.png，轉換成BMP檔案image003.bmp，並在轉檔的過程中自動解壓縮內嵌的惡意ZLIB物件，而透過這樣在圖檔內嵌壓縮物件的做法，靜態偵測的資安防護系統便無法分析是否有害。</p> <p>而前述被執行的HTA檔案，會釋出一個木馬程式的載入器AppStore.exe，並將這個第2階段的惡意酬載於記憶體內執行，來向C2伺服器通訊，進而監控受害電腦。但至於此起攻擊有多少人受害？Malwarebytes並未進一步說明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/process-2.png" style="width: 580px; height: 243px;" /></p> </div></div></div>
2021/4/22 11:31作者周峻佑https://www.ithome.com.tw/news/143981
SonicWall警告電子郵件安全產品有3項遭開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sonicwall.com/support/product-notification/security-notice-sonicwall-email-security-zero-day-vulnerabilities/210416112932360/" target="_blank">SonicWall本周二警告</a>代管及本地部署的電子郵件安全產品三項漏洞已發生開採活動，呼籲用戶儘速安裝修補程式。</p> <p>這三項漏洞及開採是由安全廠商<a href="https://www.fireeye.com/blog/threat-research/2021/04/zero-day-exploits-in-sonicwall-email-security-lead-to-compromise.html" target="_blank">FireEye發現並通報</a>。</p> <p>這三項漏洞分別為CVE-2021-20021、CVE-2021-20022和CVE-2021-20023，影響代管及本地部署的SonicWall電子郵件安全（Email Security）產品。其中CVE-2021-20021出在管理員控制臺允許從微軟AD組織單元（Organization Unit，OU）新增另一管理員帳號的API功能驗證不當。這項漏洞允許遠端未經授權的攻擊者傳送惡意HTTP呼叫開採，而建立管理員帳號，CVSS 3.1風險層級達9.8（滿分為10）。</p> <p>CVE-2021-20022和CVE-2021-20023漏洞，則是出在讓管理員為Web UI上的「品牌」功能，即可經該功能加入公司logo等客製化元素。CVE-2021-20022漏洞允許驗證後的攻擊者上傳有害的.ZIP檔案，將惡意檔案包括web shell或其他程式碼植入任何地點。CVE-2021-20023則是「品牌」功能上的目錄跨越（directory-traversal）漏洞，允許透過傳送惡意HTTP呼叫，來讀取主機上任意檔案。CVE-2021-20022和CVE-2021-20023被列為中度風險。</p> <p>FireEye指出，3項漏洞可被串聯使用，而該公司研究人員於3月底正是觀察到串聯三者的攻擊。一家在Windows Server 2012上跑SonicWall ES 的系統遭到開採後，攻擊者在伺服器上植入名為BEHINDER web shell。BEHINDER不到1kb，可和外部C&C伺服器建立加密連線，還讓攻擊者得以直接存取指令控制臺及管理員帳號。</p> <p>FireEye旗下的Mandiant公司尚無法判定攻擊組織的身份，暫命名為UNC2682。</p> <p>影響的ES版本包括Email Security 10.0.1以後版本。除了Windows版ES軟體外，3項漏洞也影響本地部署的SonicWall ES硬體裝置、虛擬裝置及代管服務。</p> <p>SonicWall已釋出更新版本ES 10.0.9，並呼籲使用及Windows Server上安裝ES軟體的企業用戶，應儘速升級到各平臺的最新版本ES。其中CVE-2021-20021和CVE-2021-20022已在4月9日修補，CVE-2021-20023則在4月20日修補。<a href="https://www.securityweek.com/three-zero-day-flaws-sonicwall-email-security-product-exploited-attacks" target="_blank">有媒體質疑</a>何以SonicWall 3月底就接獲通報，4月初就修好漏洞，卻要等到4月20日才通知客戶。</p> <p>至於代管的SonicWall Hosted Email Security (HES)則已在4月19日修補，企業用戶無需任何動作。此外，舊版本的ES 7.0.0到9.2.2也受到影響，但這些是已EOL（end of life，EOL）的產品，已不再獲得支援。</p> <p>美國網路安全暨基礎架構安全署（CISA）周三也<a href="https://us-cert.cisa.gov/ncas/current-activity/2021/04/21/sonicwall-releases-patches-email-security-products" target="_blank">發出緊急公告</a>。</p> <p>這是SonicWall今年以來第二度發生漏洞攻擊事件。<a href="https://www.ithome.com.tw/news/142630" target="_blank">2月初SonicWall</a>緊急釋出修補程式，以解決一個1月底已有駭客開採的SMA 100系列SSL VPN設備零時差漏洞。</p> </div></div></div>
2021/4/22 12:08作者林妍溱https://www.ithome.com.tw/news/143987
開源專案Grafana、Loki和Tempo也更改授權，防止雲端服務供應商濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Grafana Labs<a href="https://grafana.com/blog/2021/04/20/grafana-loki-tempo-relicensing-to-agplv3/" target="_blank">宣布</a>將要更改Grafana、Loki和Tempo這3個開源專案的授權，要從原本的Apache License 2.0，轉換成為Affero General Public License（AGPL）v3，而更改授權的原因，同樣是為了避免開源專案遭到濫用，不過與Elastic、Redis Labs和MongoDB等開源公司不同的是，Grafana Labs堅持他們的專案仍要使用OSI開源授權，因此沒有像其他開源專案一樣使用SSPL。</p> <p>Grafana Labs在2014年成立，圍繞著開源專案Grafana提供商業服務，並將獲得的收入再次投資開源技術與社群，在之後還創建了Loki和Tempo等Grafana相關專案，也建立Grafana Cloud和Grafana Enterprise Stack等商業產品。</p> <p>官方提到，他們一直試圖在開源社群的價值創造，以及價值獲取的獲利政策中間取得平衡，專案所使用的授權許可，是這項政策的關鍵支柱，也是Grafana Labs成立以來，內部持續在思考的問題。</p> <p>有鑑於過去幾年來，幾乎所有的大型開源公司，包括Elastic、Redis Labs、MongoDB、Timescale和Cockroach Labs等，都變更使用非OSI核准的開源授權。經過Grafana Labs內部一番掙扎後，他們也決定變更包括Grafana、Grafana Loki和Grafana Tempo所使用的授權條款，從原本使用的Apache License 2.0改成AGPLv3，開發者已經可以從GitHub中查看詳細的授權許可資訊，而部分擴充套件、代理和特定函式庫，仍維持使用Apache License 2.0。</p> <p>AGPLv3更改自GPL授權條款，並且加入了額外條款，目的是要避免企業以應用服務供應商的方式，逃避GPL授權條款要求，可說是針對雲端供應商訂製的開源授權條款。官方提到，雖然AGPLv3無法像是SSPL一樣保護開源專案，但他們認為已經達到適當的平衡，而且可以讓社群和用戶繼續享有與過去相同的自由。</p> <p>官方特別強調，這個授權變更，不會影響用戶使用、修改和向他人提供開源軟體的權利，但是根據AGPL授權，要求用戶在修改或是向他人提供軟體時，需要共享原始碼供其他人使用。這些條件在於希望修改程式碼的第三方，也能為社群做出貢獻，以公平對等的方式回饋專案，使得社群更加茁壯。</p> </div></div></div>
2021/4/22 11:12作者李建興https://www.ithome.com.tw/news/143984