iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 33篇
近 7 天: 135篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 135 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google用電腦視覺技術助視障也能獨自路跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google和導盲犬學校Guiding Eyes for the Blind公司合作，發布了一個無障礙研究專案<a href="https://ai.googleblog.com/2021/05/project-guideline-enabling-those-with.html" target="_blank">Project Guideline</a>，該專案使用機器學習技術，引導視障者在有標線的馬路上獨自慢跑。Guideline系統需要用戶使用特別訂製的腰帶配掛行動裝置，搭配骨傳導耳機，並且只能跑在有油漆或是貼有膠帶的路徑上。</p> <p>Guideline的核心技術是裝置上分割模型，該模型會使用行動裝置影格作為輸入，並將影格中的每個畫素分割為標線或是非標線（下圖），官方提到，這個簡單的遮罩會應用到每一個影格中，供Guideline應用程式可以不需位置資料，就能夠預測跑步者相對於路徑上標線的位置。使用模型的預測資料，應用程式會向跑步者發送音訊，指引他們保持在直線上，一旦跑步者遠離標線太多，系統也會透過聲音警告跑步者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(21).png" style="width: 580px; height: 167px;" /></p> <p>在不可預測的環境中，要引導視障者跑步存在許多挑戰，Google提到，系統必須具備足夠的準確性、系統效能，還要有許多訓練資料。由於視障者的行動能力受到限制，在馬路上跑步存在危險性，機器學習模型要足夠精確且通用，才能確保跑步者在不同位置，和各種環境條件的安全性。</p> <p>除了用戶的安全問題，系統效能還必須至少每秒處理15影格，才能對跑步者提供即時回饋，當跑步的路徑沒有資料服務就只能離線運作，且裝置執行時間必須至少3小時，不能耗盡手機電池。Google提到，為了訓練分割模型，需要用到大量包含標線的道路行進影片，而且為了使模型更加通用，資料多樣性和豐富度都相當重要，必須要收集一天中不同時間、光照、天氣條件和拍攝位置的影片。</p> <p>由於要滿足延遲和功耗要求，研究人員選擇在DeepLabv3框架上建構標線分割模型，並且利用MobilenetV3-Small作為主幹。考量到行動裝置的處理速度，研究人員將攝影鏡頭影片畫素下降到513x513，作為DeepLab分割模型的輸入，且為了要進一步加速DeepLab模型在裝置上的執行速度，研究人員決定略過最後的升採樣層，直接輸出65x65畫素的預測遮罩，作為後處理的輸入。藉由在兩階段最佳化輸入解析度，研究人員得以改進分割模型執行，並且加速後處理。</p> <p>收集訓練資料是Project Guideline專案困難之處，研究人員解釋（下圖），訓練資料之所以無法使用公開資料集的道路訓練影像，是因為這些資料集都是在車頂安裝攝影鏡頭，並且車輛駕駛在標線中間所拍攝的影片，這與Project Guideline專案需求差距甚遠，該專案需要的訓練資料，是要在人的腰間掛上攝影機，並且直線前進的影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image5-crop.png" style="width: 580px; height: 387px;" /></p> <p>現有的公開資料集都幫不上忙，因此研究人員只好重頭開始創建資料集，以人工收集資料的方法，在道路上手動鋪設膠帶，拍攝在不同時間和天氣條件下，行走於標線周圍的影片，研究人員也建立自定義渲染工作管線，以合成的方式快速產出各種條件的訓練資料。</p> <p>端到端系統使用深度學習函式庫Tensorflow Lite和機器學習工具ML Kit，可在Pixel裝置上快速執行，Pixel 4 XL上達到29+ FPS，而在Pixel 5上則達到20+ FPS，分割模型在Pixel 4 XL延遲為6毫秒，Pixel 5則為12毫秒，模型的影格成功率達到99.5％，平均交併比（mIOU）則有93％。</p> <p>Guiding Eyes for the Blind執行長Thomas Panek作為Project Guideline測試者，只使用了一副骨傳導耳機和執行Guideline技術的行動電話，在無輔助的情況下，成功在紐約中央公園慢跑5公里。Google提到，現在該專案仍處於探索階段，他們仍持續改善該系統，除了要收集更多的使用者回饋資料外，也要改進分割模型使其更加通用強健。</p> </div></div></div>
2021/5/22 19:15作者李建興https://www.ithome.com.tw/news/144557
【疫情日報】單日新增321例本土案例、但上周數據校正追加400例確診，經濟部鼓勵企業半數員工在家上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心22日宣布新增321例本土案例、400例校正回歸，也就是說，除今日新增的321例外，還追加了過去一周400例的確診案例。同時，為降低感染風險，行政院人事處總處宣布擴大彈性上班措施，包括病例數較多的雙北，應讓半數員工在家辦公。經濟部也鼓勵企業，讓半數員工居家辦公，減少不必要的移動。</p> <p><strong><span style="font-size:22px;">因採檢欄位繁瑣造成通報壅塞，簡化後解決大部分案件</span></strong></p> <p>指揮中心指揮官陳時中指出，近日個案通報數量大，而且多縣市社區快篩站成立、篩檢量大增，再加上原本個案通報程序繁瑣，需檢驗20多項欄位，因此造成資料上傳壅塞、確認延遲。近幾日，指揮中心才將檢驗欄位簡化為8項必要欄位，來加速通報檢驗。</p> <p>而指揮中心昨晚也漏夜釐清1萬多件案例，在今日完成確認400例確診案例的追加。這些新增案例分佈時間點為5月16日至5月21日，詳情如下圖：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0522%20%E6%A0%A1%E6%AD%A3%E5%9B%9E%E6%AD%B8%E6%83%85%E5%BD%A2.jpg" /></p> <p>陳時中表示，追回400例案例後，以每日採檢陽性篩檢率來看，自5月1日起至今，並未有大規模爆發的情形。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5022-%E6%8E%A1%E6%AA%A2%E9%99%BD%E6%80%A7%E7%8E%87.png" /></p> <p>他也透露，欄位檢驗簡化後的追加確診案例，並非完全結束，仍有寫零星案件待釐清。不過他也指出，欄位簡化後能縮短通知採檢民眾的時間，指揮中心近日也與健保署密切討論，如何將採檢結果結合健保快易通App中的健康存摺，來讓民眾查詢檢疫結果。日後，指揮中心將公開說明查詢步驟。</p> <p><strong><span style="font-size:22px;">行政院強提高公務機關在家上班人力至二分之一，但不得處理機敏性資料</span></strong></p> <p>另一方面，為降低公務機關人員染疫風險，行政院人事行政總處人事長施能傑宣布擴大彈性上班時間、異地辦公和在家辦公等措施，希望在維持業務不中斷的情況下，減少人員跨區移動、降低染疫風險。</p> <p>雖然公務機關的規定是，在家辦公的人數不得超過該組織的三分之一，但針對病例數最高的雙北，施能傑宣布強化居家上班措施，「將原本的三分之一提高為二分之一，」讓雙北公務機關半數員工，可在家上班、減少移動。</p> <p>他補充，除了防疫、警消、醫療或其他為生所需、必須24小時運作的服務不適用這個強化版規定外，其他居家辦公者的辦公環境必須符合資安規範，且居家上班者不得處理機敏性公務。</p> <p>他建議，公務機關應優先讓跨區上班的員工，或是處理非核心業務的同仁居家辦公。而公務機關也應持續落實異地辦公，減少辦公室內的人口密度、維持核心業務運作。</p> <p><strong><span style="font-size:22px;">經濟部建議企業半數員工居家辦公</span></strong></p> <p>為降低人員移動帶來的染疫風險，經濟部長王美花建議，企業盡可能讓半數員工在家上班，若是半導體等需將產品供應至全球的產業，可優先讓行政人員、R&D員工在家辦公。</p> <p>同理，對於產線不能中斷的製造業來說，需與勞工協商、調整出勤規定，「特別重要的是，要做好分流工作，」王美花強調。她也指出，產線要是有員工確診，企業必須啟動應變機制，並在第一時間通報科學園區或工業園區窗口，來即時讓政府單位進行疫調、降低感染風險。</p> </div></div></div>
2021/5/22 15:25作者王若樸https://www.ithome.com.tw/news/144582
【臺灣資安大會直擊】企業為何需要建立弱點獎金計畫？專家指出有2大抗漏優點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾是群暉科技的安全應變小組經理，現為獨立產品安全顧問李宜謙，在資安大會上分享了企業設立弱點獎金計畫的經驗。群暉在2014年的時候，產品NAS出現嚴重的勒索軟體攻擊事件，從那時起，群暉痛定思痛花了許多心力在改進產品安全上，除了2016年設立產品安全事件應變團隊（PSIRT）之外，還於2017年推出安全性弱點獎金計畫（Bug Bounty Program），4年過去，群暉已經與超過200位安全研究人員合作，發出25萬美元獎金。</p> <p>不只是群暉，各大科技公司包括Google、Apple和微軟等，皆有自家的弱點獎金計畫，「組織安全，駭客有錢，發大財」李宜謙以這11個字說明了弱點獎金計畫的目標，他解釋，弱點獎金計畫不只是給漏洞研究者的報酬，也是企業對資安漏洞的回應管道，能夠在漏洞公開揭露之前進行控制並修補，同時也能避免研究人員將漏洞賣給不利的第三方。</p> <p>李宜謙特別提到，在臺灣，弱點獎金計畫常會被誤解為滲透測試或是安全競賽。畢竟這兩個都是較短期的活動，像是安全競賽時間為2天，最多1周，如果研究人員可以發現重大的安全漏洞，通常是已經做足了許多準備，要不然就是安全性太差，李宜謙坦言，研究人員要發現有價值的漏洞，通常需要很長一段時間。</p> <h2>優點1：尋找軟體漏洞更經濟有效的作法</h2> <p>企業為什麼需要弱點獎金計畫？李宜謙提到，無非是想要取經於專業安全研究人員，企業中的資安人員數量已經不多，更別說是要設置專門進行滲透測試的人力，透過弱點獎金計畫邀請外部的研究人員提供弱點研究，是更有效率的方法。</p> <p>而且以成本考量來說，發出獎金邀請外部研究人員尋找軟體漏洞，是更為經濟的作法，根據群暉釋出的數據，從2017年成立弱點獎金計畫以來，經過4年，共與200位資安研究人員和單位合作，總計發出獎金為25萬美元。李宜謙提到，要計算弱點獎金計畫發出去的錢是多還少，企業有兩種評估方式，一種是評估當企業漏洞被駭客開採，所需要付出的損失，第二種評估方式，則是計算要能研究出相同數量的漏洞，企業要培養多少個資安人員，並以付出資安人員的費用來計算。</p> <h2>優點2：企業可控制弱點揭露時間</h2> <p>對企業來說，弱點獎金計畫還有另一個好處，是能夠控制漏洞揭露的時程，一般來說，當資安研究人員向企業回報漏洞，則企業擁有90天的修補時間，以及2星期的延後揭露時間，因此企業可以最多擁有104天的時間，能安心地進行修補。</p> <p>其實弱點獎金計畫不只對企業資安有助益，對資安研究人員也有許多優點。回報企業的漏洞，除了資安研究人員能夠獲得一些研究獎金，還能夠獲得企業官方認證，甚至在企業的漏洞網頁掛上研究人員的名字，同時也，資安研究人員也可以發表CVE（Common Vulnerabilities and Exposures）漏洞資訊，在公開漏洞資訊的同時，獲得一些名聲。不過，約定的事情總有一些意外，李宜謙提到，比較常見的爭議，是企業漏洞獎金發放延遲，也可能造成糾紛。</p> <p>企業建立弱點獎金計畫，能夠強化自家系統與產品的安全性，李宜謙提醒，信任難以建立，卻很容易失去，企業語研究人員雙方應該在維持信任的基礎下，謹慎的執行每一步嚴格遵守承諾。</p> </div></div></div>
2021/5/22 12:03作者李建興https://www.ithome.com.tw/news/144275
微軟預告明年6月停用IE 11，Edge提供IE模式到2029年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布要在<a href="https://blogs.windows.com/windowsexperience/2021/05/19/the-future-of-internet-explorer-on-windows-10-is-in-microsoft-edge/" target="_blank">2022年6月15日正式汰除IE11（Internet Explorer 11）</a>，IE 11桌面應用程式將會停用，並且不再支援部分版本的Windows 10。終止IE 11支援的政策，不會影響Windows 10 LTSC，以及Server上的IE 11桌面應用程式，也不影響MSHTML（Trident）引擎。</p> <p>去年起微軟積極地停止IE的支援，包括宣布Microsoft 365線上服務不再支援IE，而現在微軟給出更明確的IE 11停用期限（2022年6月15日），該公司希望IE用戶可以在期限之前，完全轉移到微軟新的瀏覽器Edge上，而對於原本專為IE建置的網站或是應用程式，微軟則建議可以使用Edge中內建的IE模式，來存取這些資源。</p> <p>對一般使用者而言，從IE11搬遷到Edge的工作較為容易，藉由Edge上的搬遷功能，就能將IE中的密碼、資料集和瀏覽記錄搬到Edge上，在遇到需要IE才能開啟的網站，則可以使用Edge內建的IE模式存取。</p> <p>但對企業來說，停用IE 11可能不是一個好消息，根據微軟在今年委託研究和諮詢公司Forrester所做的研究，他們發現所調查的40家企業中，每家企業平均擁有1,678個舊版應用程序。針對過去大量使用IE的企業，微軟提到，企業可能擁有大量以IE為基礎的舊版網站和應用程式，可以透過選擇搬移使用Edge，持續使用這些舊版程式，這些資源的壽命將會在IE 11停用之後繼續延續，微軟提到Edge中的IE模式，最少會提供到2029年。</p> <p>之所以微軟要淘汰IE11，全面過渡到Edge，微軟提到，主要有三個原因，相容性、生產力和安全性。由於Edge具有雙引擎，在支援舊版網站的同時，還能夠提供用戶存取現代網站的能力，Edge對IE的支援包括ActiveX控制元件，完整支援IE舊版網站和應用程式，而Edge是建立在Chromium專案之上，因此也同時也具備前端的瀏覽器技術。</p> <p>過去用戶在存取老舊網站和應用程式的時候需要使用IE 11，但是瀏覽較新的網站卻又需要現代瀏覽器，切換工具可能影響生產力，微軟表示，Edge的雙引擎設計，讓用戶可以不必針對不同任務，分開使用不同的瀏覽器。而且Edge還提供了許多IE所沒有的功能，像是睡眠功能可以釋放分頁的資源，避免電腦速度降低，分頁也可以變成垂直排列，而收藏集則可以讓用戶方便收集網路的資訊。</p> <p>而最重要的原因，是Edge提供更好的安全性，面對平均每秒鐘發生579次密碼攻擊的現況，微軟提到，用戶的瀏覽器需要能夠具有抵禦這樣攻擊的能力，而Edge提供Defender SmartScreen，可避免釣魚和惡意軟體攻擊，並且替用戶監控密碼，在個人憑證遭到洩漏的時候通知用戶。</p> <p>另外，Edge回應安全漏洞更為即時，IE的更新節奏為每月一次的安全更新，但是Edge對安全更新的反應，可以於數天甚至數小時內針對特定漏洞，發布修補程式。</p> </div></div></div>
2021/5/22 07:00作者李建興https://www.ithome.com.tw/news/144519
Fintech周報第182期：國泰產險導入OpenID多元身分驗證，逾400萬國泰世華存戶可用網銀帳號驗證登入產險網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0515</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0521</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> OpenID </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰產險 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 身分認證 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">國泰產險導入OpenID多元身分驗證，逾400萬國泰世華存戶可用網銀帳號驗證登入產險網站</span></strong><br /><span style="font-size: 14pt;">國泰金控今天（5/21）宣布，在國泰產險官網導入國泰世華網路銀行帳號OpenID身分驗證服務。超過400萬國泰世華存戶使用網銀帳號驗證，就能直接登入國泰產險官網，查詢完整保單狀況、事故通知、線上繳費與續保。國泰金控表示，這也是金管會開放金控業者可與集團子公司合作雙向身分認證後，首家產險導入銀行OpenID驗身服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">國泰金控暨國泰產險副總經理梁明喬表示，國泰金控旗下子公司之間顧客重疊率高，產險顧客同時是國泰世華銀行顧客占比達6成。為了讓國泰用戶在不同子公司的服務間無痛轉換，此次之所以在產險端導入銀行OpenID身分驗證服務，主要是考量網銀使用頻率高於線上保險服務，用戶又更為熟悉銀行數位帳號，再加上銀行數位帳號的身分驗證機制與資安權限嚴謹這3項要素。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">國泰金控暨國泰世華銀行副總經理陳冠學則表示，為了讓集團跨子公司數位服務銜接，國泰金控藉由國泰世華銀行建立的身分認證系統，透過銀行驗身中臺，以API串聯銀行身分驗證中心，來整合國泰產險會員認證，取代以往產險數位會員身分驗證，僅能透過手機OTP與密碼的機制。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨行轉帳 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 疫情應變措施 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會宣布疫情警戒三級以上期間，民眾使用網銀與行動銀行App跨行轉帳手續費全免</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中央流行疫情指揮中心在5月19日宣布全國進入第三級疫情警戒，來統一全國防疫步調。為了加強全民共同防疫，降低外出或臨櫃交易需求，金管會在5月20日邀集中央銀行、財金公司與全體本國37家銀行的總經理或董事長召開線上會議，共同研商疫情期間減免或調降網路銀行、行動銀行App，及實體ATM轉帳手續費，來鼓勵民眾盡量運用線上金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會表示，在中央流行疫情指揮中心宣布全國任一縣市疫情警戒第三級以上期間，全國民眾與機構法人透過網銀、行動銀行App跨行轉帳的手續費全部減免，包含財金公司向金融機構收取的費用。如果民眾是使用實體ATM跨行轉帳，手續費則減收2元，財金公司與金融機構則各減收1元，該措施即日起正式實施。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105200001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微軟 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Azure區塊鏈服務 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">微軟將於9月關閉Azure區塊鏈服務，建議用戶尋找替代服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-20%20%E4%B8%8B%E5%8D%8811_12_33.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在推出2年後，微軟宣布將關閉Azure區塊鏈服務，並未說明原因。微軟在Azure服務網頁上貼出公告，表示Azure Blockchain服務將於2021年9月10日終止服務，微軟建議根據用戶正式營運和測試階段尋找替代服務。如果用戶已進入正式營運和前導專案，微軟建議改用Quorum或是Azure VM服務。至於處於全新部署或評估階段的用戶，Azure Marketplace有Quorum和Besu的範本。雖然Azure區塊鏈服務9月才關閉，但自5月10日起，就不再接受建立新會員或建立新系統。<a href="https://www.ithome.com.tw/news/144384"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融機構 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 防疫措施 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">多家金融機構祭出多項防疫措施，紛紛啟動居家與異地辦公</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B0%E9%8A%801.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，因應疫情升溫，多家金融機構在第一時間祭出多項防疫措施，紛紛啟動居家辦公或異地辦公。比如，玉山銀行雙北地區的營業單位實施兩班備援的機制，維持5成的人力，並調整6個時段分流到班，另一半人員則實施居家辦公；總行除了異地辦公外，也開始大規模實施居家辦公。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">或像是富邦金控擴大了異地辦公、居家辦公、同棟分散樓層辦公的人數規模；且全面暫停臺灣與海外子公司間之雙向離境出差。永豐金控則宣布啟動居家上班，金控各子公司對外營業單位全面採實聯制，並啟動人員彈性分流上下班與異地備援，銀行部分則已有半數員工在家上班。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">外商銀行如星展銀行（臺灣）更全面啟動居家辦公，因業務性質無法執行居家辦公的員工，則採取分組辦公模式。或像是渣打銀行自疫情升溫之際，已禁止員工所有實體會議與跨城市差旅，截至5月中，渣打銀行全行後勤單位已有超過半數員工啟動居家辦公。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">兆豐銀行更是超前部署，總處核心單位及核心業務在5月6日已啟動異地辦公，董總採取分棟大樓異地辦公；其他單位規畫分A、B組辦公機制。更已將國內外防疫不同階段的分級SOP建置完成，包括封城狀態的演練都已完成。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在顧客面的防疫措施，比如中國信託銀行將全臺152家分行全面消毒分流管理，客戶採實聯制登記，並鼓勵用戶使用線上金融服務，也在部分分行設置多功能視訊櫃檯，民眾可自主開戶免與人接觸。彰化銀行因應疫情變化，除了採取異層、異地及分組分批居家辦公模式外；北部第一線櫃檯人員則戴上防護面罩，持續提供客戶服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安盛集團 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 勒索軟體 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">歐洲大型保險業者AXA遭勒索軟體攻擊，鎖定目標為亞洲部門</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">總部位於法國的歐洲前五大保險業者之一的安盛集團（AXA）在5月16日對外宣布，已淪為勒索軟體的受害者，至於勒索軟體集團Avaddon則是在前一天就表明自己是始作俑者。根據AXA的聲明，駭客鎖定該公司的亞洲部門展開攻擊，影響了泰國、馬來西亞、香港及菲律賓的IT系統。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一方面，Avaddon勒索軟體集團則宣稱已取得了AXA集團多達3TB的檔案，包括客戶的醫療或健康報告、客戶的理賠申請、支付紀錄、所有客戶的身分與銀行帳號、醫院與醫生的調查報告及合約書等，並要求AXA要在10天內（240小時）支付贖金，否則就要公布這些機密資料。不過，AXA向BleepingComputer透露，駭客只取得了泰國合作夥伴協助（IPA）的特定資料，尚無證據顯示有其它泰國IPA以外的資料外洩。<a href="https://www.ithome.com.tw/news/144457">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 營運服務不中斷 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會要求銀行、保險、證券業必須維持營運服務不中斷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為因應疫情趨於嚴峻，金管會在5月18日的線上記者會，要求金融業者在面對疫情，基本原則是維持營運不中斷，必須維持金融業務運作的順暢。金管會也表示，為了確保金融服務營運不中斷，銀行、保險、證券3大金融業者，對於疫情早都訂有不同階段的應變計畫。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">未來，如果疫情警戒標準提升第四級，需要封城時，金管會是否有規定銀保證3業的分行或分公司最低營運人數？為此，金管會回應，並沒有強制規定，端看各業者的評估與規範。不過，金管會也強調，未來，如果有遠端交易的需求，包括銀行、保險、證券的交易部門，都需要建立授權的確認機制，包含資安的議題，以及做好遠端作業的營運管理，讓交易能順暢運行。<a href="https://www.ithome.com.tw/news/144481"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 狗狗幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 迷因幣 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> DeFi </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">以太坊共同創辦人Vitalik Buterin捐出大量迷因幣，各種犬幣價格崩跌</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">柴犬幣（SHIB）、秋田犬幣（AKITA）、狗狗火星幣（Dogelon Mars，ELON）以及狗狗幣（Dogecoin，DOGE）被統稱為去中心化金融（Decentralized Finance，DeFi）的迷因（meme）幣，這些犬幣創始人為了吸引市場注意，把發行的半數代幣送給了以太坊共同創辦人Vitalik Buterin。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">但Buterin日前捐出大量以太幣及迷因幣給各大慈善組織，而造成相關幣種的價格崩跌，被視為去中心化金融史上最大的一次倒貨行動，也讓外界懷疑這波由狗狗幣帶動的迷因幣狂潮，是否會因此而變成泡沫。不過，在那之後它們的價格已出現緩慢回升。<a href="https://www.ithome.com.tw/news/144447"><strong>（詳全文）</strong></a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">攝影／李靜宜；圖片來源／微軟、彰化銀行</span><br /><span style="font-size: 18.6667px;">責任編輯／李靜宜</span><br /><strong style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top; font-size: 18.6667px;">1. <a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202105200006&dtable=News">金管會宣布公開發行公司從5月24日到6月30日停止召開股東會，預計有1,913家公司要延期舉行</a><br /> 2. </strong><a href="https://www.ithome.com.tw/news/144354"><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">蘋果App Store在去年阻止300萬張被盜金融卡的交易</strong></a><br /><strong>3. </strong><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><a href="https://www.ithome.com.tw/news/144401">Tor專案以NFT形式，對外拍賣全球首個洋蔥網域Dusk的金鑰與數位作品</a><br /> 4. <a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105180002&dtable=News">由金管會主導推動建置的保障型保險商品平臺，將於今年7月上線</a></strong><br /><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">5. </strong><strong style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;">庫幣科技升級推出數位資產硬體錢包CoolWallet Pro，可操作DeFi與Staking交易、支援全新幣種</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年5月</strong></p> </div></div></div>
2021/5/21 18:16作者李靜宜https://www.ithome.com.tw/news/144558
Check Point Research：23款Android程式因雲端配置錯誤，讓1億用戶的資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2021/05/20/misconfiguration-of-third-party-cloud-services-exposed-data-of-over-100-million-users/" target="_blank">資安業者Check Point Research本周指出</a>，該公司研究人員發現有23款Android應用程式所使用的第三方雲端服務配置錯誤，可能讓全球超過1億的Android用戶個資曝險，包括有13款程式的即時雲端資料庫缺乏密碼保護，還有些程式把通知與雲端儲存的金鑰直接置放在程式碼中。</p> <p>即時資料庫允許開發者把資料存放在雲端，並讓Android用戶隨時可與雲端同步，不過，若開發者並未替即時資料庫設定密碼時，代表所有人都可存取該資料庫，並取得程式用戶的各種機密資訊。</p> <p>例如超過1,000萬次下載的星座程式Astro Guru，就因配置錯誤而外洩了使用者的姓名、生日、性別、位置、電子郵件與支付資訊。或者是超過5萬次下載的叫車程式T’Leva，也因配置錯誤而外洩了乘客的姓名、電話號碼與接送位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E9%9B%B2%E7%AB%AF%20%E9%85%8D%E7%BD%AE%E9%8C%AF%E8%AA%A4-2-V2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Check Point Research</span></p> <p>研究人員還發現有通知管理程式把金鑰存放在程式碼中，一旦駭客取得了該金鑰，就能任意發送通知予使用者，包括詐騙訊息及網釣連結。</p> <p>另有程式將雲端儲存金鑰置放在程式碼中，像是超過1,000萬次下載量的Screen Recorder，它可用來紀錄與保存使用者的螢幕畫面，由於開發者也將使用者的私鑰存放在同一雲端儲存服務上，使得研究人員得以取得使用者的私鑰，並存取使用者的所有螢幕畫面。擁有50萬用戶的傳真程式iFax同樣把雲端儲存金鑰嵌入程式裡，讓駭客能夠存取使用者的所有傳真文件。</p> <p>Check Point Research同時知會了Google與這23款程式的開發者，迄今已有部份程式修補了相關漏洞。</p> </div></div></div>
2021/5/21 17:36作者陳曉莉https://www.ithome.com.tw/news/144556
【臺灣資安大會直擊】看懂零信任架構，先釐清對於ZTA常見的3大迷思
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，在資安防護的觀念上，零信任概念越來越熱門，不僅資安專家、廠商都在提倡，美國國家標準暨技術研究院（NIST）在2020年8月也發布了SP 800-207標準文件，探討並說明如何建立零信任架構（Zero trust architecture，ZTA），儘管ZTA概念持續發展，在這10多年來逐漸成形，但還是有很多人對ZTA僅有著模糊的概念，對此，臺灣科技大學教授查士朝從ZTA的迷思與導入策略談起，讓國內企業對於ZTA可以有更簡單的認識。</p> <h2><strong>打破迷思，零信任其實還是存在信任關係，不純粹信任網路邊界才是重點</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965sS%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 220px; float: right;" /></p> <p>對於零信任架構大家的想像是什麼？是指全部都不信任嗎？查士朝指出，大家可能因為零信任架構這樣的名稱，而有了很多誤解。</p> <p>他說明，在企業防禦上，以往採區隔信賴邊界的做法，但在沒有區隔信賴邊界狀況時，就會變成所有的元件，都要經過重新經過安全的分析，才能判斷一個服務到底安不安全。</p> <p>然而，在這樣的角度之下，不論使用資訊服務或相關的事，其實一定都會存在某種程度的信賴基礎，他舉例，像是基於對於憑證管理中心（CA）的信賴，而去建立安全連線與簽章，相信對方是真的連接對象；基於對伺服器硬體的信任，因而在上面布署各式服務；以及基於對程式編輯器的信任，而使用它來開發程式。</p> <p>因此，大家在理解零信任時，並不表示任何東西都不能信任。他解釋，我們不能只信任內網的使用者，也不能單純不信任外網的使用者，重點其實是不能單純因為邊界，而去決定要不要信任使用者。</p> <p>這是因為，傳統強化邊界的方法，在面對新興存取方式時有著不少挑戰。例如，10多年前就興起的BYOD浪潮，而現在有更多企業將資料放上雲端，加上這一年來COVID 19使遠端工作成常態，因此，在NIST SP 800-207的ZTA文件中，就特別強調ZTA是針對目前依些新興存取行為的因應對策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2sS）對於ZTA常見的3大迷思-查士朝.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962sS%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></a></p> <blockquote><p>較為具體地零信任概念（Zero trust architecture，ZTA），是在2010年由Forrester Research前副總裁John Kindervag提出。</p> </blockquote> <h2><strong>進一步探究近代零信任概念發展與現況</strong></h2> <p>關於零信任概念的發展，追溯最早的起源，查士朝認為，可以說是來自於無心插柳的結果。在2003年Jericho論壇上，那時討論的主軸，是關注於網路資源在不同企業的共享與利用，可以去除企業之間的邊界，因此主要是聚焦無邊界趨勢下的網路安全解決方案。不過，當時論壇延伸出的技術探討，也成為了零信任後續發展的基礎。</p> <p>較為具體的零信任概念，是在2010年出現，由Forrester Research前副總裁John Kindervag提出。John Kindervag認為，裝置不再有信賴與不信賴的邊界，以及不再有信賴與不信賴的網路與使用者。查士朝舉例，像是不因內網或外網而有信任或不信任的情況，也會不會有絕對信任的使用者，而是判斷用戶行為與情境，再去決定相關權限。</p> <p>關於零信任架構的邏輯與重點，查士朝分別從2010年John Kindervag提出的內容，以及2020年NIST SP 800-207所公布的內容，來說明發展現況。</p> <p>以John Kindervag的零信任考量重點來看，查士朝表示，主要有4大核心，包括：使用整合的分割閘道器（Segmentation gateway）為網路核心；建立平行且安全的網路分隔；需考慮網路後臺的集中管理；以及建立資料蒐集網路，以掌握網路的完整狀況。</p> <p>而以NIST SP 800-207而言，在ZTA的核心元件中，最強調的部分就是，對於任何關鍵資源，在存取前都要檢查使用者是否有權限。</p> <p>因此，需要經過存取控制常提到的政策落實點（PEP），做到權限的檢查，而在檢查過程當中，將透過政策決策點（PDP）來判斷是否有權限做這樣的事情。並且，此一過程將考慮到更多面向的資訊，包括資料存取政策、SIEM、活動紀錄，以及威脅情資等8類資料來源，幫助決定存取決策。</p> <p>在此當中，查士朝更是具體說明了零信任還是有信任關係存在。因為，在上述ZTA核心元件中，現在至少還是會信任某些元件，例如PEP與PDP，只不過ZTA會要求在存取前，必須要做到檢查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></p> <blockquote><p>為了說明NIST SP 800-207中的ZTA邏輯元件組成，在查士朝本場簡報中，也特別將該架構圖翻譯成中文，讓現場聽眾可以更直覺了解ZTA的核心邏輯元件。同時，他也點出ZTA其實還是會信任某些元件，那就是關鍵的政策落實點（PEP）與政策決策點（PDP）。</p> </blockquote> <h2><strong>ZTA不是一個獨特架構，而是告訴大家安全上應考慮某些原則</strong></h2> <p>現在NIST SP 800-207所描繪的ZTA，與10年前有何差異？查士朝認為，在於增加了對於風險或存取情境的存取控制考量。</p> <p>他解釋，現在不只是看到風險的結果，還要能基於風險評估的結果，去決定是否能夠存取，而且，現在ZTA不再強調是特定的一個架構，而是列出許多教條，也就是7大原則，讓各式實作能依循這些原則以符合ZTA。</p> <p>基本上，ZTA設計的7大原則，包含：（一）所有的資料來源與運算服務都要被當作是資源；（二）不管適合哪個位置的裝置通訊，都需要確保安全；（三）對於個別企業資源的存取要求，應該要以每次連線為基礎去許可；（四）資源的存取應該要基於客戶端識別、應用服務，以及要求存取資安可觀察到的狀態，以及可能包括的行為或環境屬性，去動態決定；（五）企業監控與衡量所有擁有與相關資訊資產的正確性與安全狀態；（六）在允許存取之前，所有的資源的身分鑑別與授權機制，都要是依監控結果動態決定，並且嚴格落實；（七）企業應該要盡可能收集有關資訊資產、網路架構、骨幹，以及通訊的現況，並用這些資訊來增進安全狀態。</p> <p>因此，從這些原則所專注焦點來看，簡而言之，就是識別可存取資源、連線安全、妥善存取控制、考量存取者狀態、了解資源狀態，以及監控裝置與資源風險，持續蒐集資訊與改善。</p> <p>同時，為了讓大家快速掌握NIST中ZTA新的重點，查士朝歸納出3大重要項目來說明。首先是，可存取資源的識別，基本要知道哪些資源可被存取，那些資源不能被存取；其次，使用者層級的權限控制，需考慮使用者的身分，透過身分層級去做存取控制；最後，是在存取控制加入對風險的考量，透過風險考量每次決定使用者是否存在相關風險，判斷是否能夠存取資源，動態改變存取的原則。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D(1).jpg" style="width: 600px;" /></p> <blockquote><p>在近年ZTA參考設計的主軸來看，查士朝強調3大重點，可存取資源的識別、使用者層級的權限控制，以及存取控制加入對風險的考量。</p> </blockquote> <h2><strong>ZTA也不是要立即替換既有邊緣安全機制</strong></h2> <p>對於企業該如何導入ZTA，查士朝認為，在NIST SP 800-702中就提到了4種布署方式，包括基於資源、限制區域、雲端與微分割的布署方式。這些是企業在導入ZTA時，可參考與評估的重點之一。</p> <p>舉例來說，以基於資源的布署方式而言，在每個資源存取之前，都要經過相關的管控機制，他以BYOD或遠端工作情形為例，如果使用者端裝置都沒有安裝任何MDM相關軟體，將只能夠以訪客身分存取，並且不允許存取受保護的資源，如果裝置安裝了保護軟體並經妥善設定，才能夠依使用者的身分與狀態，存取這些受到進階保護的資源。因此，在這樣的概念中，不只是資源存取的強化，也包含了存取者風險狀態的綜合考量；此外，他也針對基於雲端的布署方式做說明，企業除了在雲端設置一個存取閘道，控管上將有兩種選擇，可將PEP與PDP設置於企業內部或是雲端。</p> <p>不過，這部分他更想強調的是，在導入過程中，我們該如何看待既有邊緣安全機制。他指出，這些防護設備在ZTA中，其實都還是能夠發揮一定的效果。</p> <p>例如，原本的身分識別與存取管理（IAM），在ZTA中還是需要它用來提供身分鑑別與存取控制資訊，次世代防火牆（NGFW）將被用來做為PEP，但通常還要加入對於裝置安全的考量，而入侵偵測與防禦系統（IDP/IPS）也將可與ZTA整合。</p> <p>其他網路設備同樣會有作用，像是網路防火牆，在某種程度上還是可以扮演政策執行點的角色；Web應用防火牆（WAF）仍可用來減少攻擊介面；網路存取控制（NAC）可做為限制存取客戶端的初步手段；至於負載平衡器，在零信任架構中仍然需要，只是布署方式可能需要改變。</p> <p>此外，像是SIEM/SOAR這類設備，將可幫助提供情資資訊，而特權存取管理也能與ZTA整合，以提供更好的存取控制決策。在ZTA架構中惟一可能會被淘汰的，他認為只有VPN。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964As%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964Bs%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 295px;" /></p> <blockquote><p>在NIST SP 800-702中有提到ZTA布署方式有四種，查士朝特別用簡單的架構圖，來呈現基於資源、限制區域、雲端與微分割的不同布署方式。</p> </blockquote> <h2><strong>建議採階段式導入，從掌握現況、強化根基再到深化安全</strong></h2> <p>而在企業朝向ZTA邁進時，還要注意什麼？畢竟，從上述種種內容來看，比起說ZTA是一個架構，更可以說是企業或組織的資安策略。因此，查士朝建議，可採取階段導入方式來一步步完成，這部分在NIST SP 800-702第七章有相關說明，查士朝並強調，企業一開始不要急著花錢，他更是歸納出3大階段10大步驟，讓企業能有更簡單的依循方式。</p> <p>首先，企業應該要能掌握現況，先知道自己有哪些重要資源需要保護，並對既有的存取原則與安全控制作了解。簡單來說，初期步驟就是要盤點所有企業資源與存取情境，掌握既有存取控制規則，以及掌握既有安全控制措施。</p> <p>接下來是慢慢強化，也就是將既有存取控制進一步強化，確認存取控制是否正確，以及確認安全問題等。具體而言，這裡的步驟包括：強化存取控制措施、強化記錄機制、強化強化災難復原機制與資安檢查。</p> <p>最後是更進一步深化安全，像是做到能夠依照收到Log紀錄與知道的風險，去動態調整存取控制原則，他認為，這時候再去布置零信任相關元件，或許是比較好的做法。因此，相關步驟包括：掌握風險資訊提前因應、依存取情境變更存取權限、持續檢討與改善。</p> <p>整體而言，在本場零信任架構的演講中，查士朝其實要我們能夠先釐清對於ZTA常見的3大迷思，才能更好地應用其概念，來改善企業或組織的資安架構。包括要大家能理解，ZTA還是會信任某些元件，但重點更是要我們不只是純粹信任網路的邊界，並要認識ZTA不是一個獨特的架構，而是在安全上要考量到某一些原則，以及知道ZTA並不是要我們汰換原有的所有邊緣安全機制。</p> <p>同時，對於ZTA導入策略，查士朝列出4大關鍵作為提醒，包括：盤點使用者與資源、妥善布署資源、檢視權限並落實存取控制，以及掌握資源與使用者狀態。他並表示，如果企業想要以最快方式完成這些動作，將重要資源集中是關鍵，並在前方設置相關次世代防火牆，做到資源動態配置與加強存取控制，這些是最基本要做到的部分。此外，企業也應懂得考慮本身的狀態，引入相關概念來逐步強化。文⊙羅正漢</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89%E5%B0%8D%E6%96%BCZTA%E5%B8%B8%E8%A6%8B%E7%9A%843%E5%A4%A7%E8%BF%B7%E6%80%9D-%E6%9F%A5%E5%A3%AB%E6%9C%9D.jpg" style="width: 600px;" /></p> <blockquote><p>導入ZTA先別急著花錢，查士朝建議，可採取階段式導入概念，一開始可以先掌握現況，盤點要保護的重要資源與既有存取原則與安全控制，之後再循序強化，最終做到掌握風險資訊提前因應、依存取情境變更存取權限，以及持續檢討與改善。</p> </blockquote> </div></div></div>
2021/5/21 15:31作者羅正漢https://www.ithome.com.tw/news/144551
Google發表可讓查詢更加精準快速的語言模型MUM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了一個稱為<a href="https://blog.google/products/search/introducing-mum/" target="_blank">多任務統一模型（Multitask Unified Model，MUM）</a>，能夠讓用戶以較少的查詢快速獲得想要的答案，對複雜任務提供如同專家的回應。</p> <p>不少搜尋任務，需要用戶輸入許多查詢並且執行多次搜尋後，才能獲得所需要的答案，Google以登山者使用情境來說明查詢會遇到的問題，以及MUM能夠解決這個問題的原因。Google假設當用戶已經去過亞當斯山，計畫明年秋天要去富士山，想要在Google查詢該做的準備。</p> <p>針對這樣的情境，現階段Google可以提供許多資訊，但是都必須要使用者經過深思熟慮後進行搜尋，像是分別搜尋每座山的海拔、秋天的平均氣溫、行走路徑的難度和正確的裝備等。整合經過多次搜尋的結果，用戶就可以得到需要的答案。但是詢問登山健行專家就會以不同的問題進行，用戶可以詢問「我應該做什麼準備」這種開放式的問題，並且獲得一個考慮周到的答案，包括兩座山的差異，以及許多需要考慮的事項。</p> <p>爬山查詢僅是一個例子，官方提到，Google用戶每天都會需要查詢並解決各種任務，這些任務可能需要許多步驟，他們發現，用戶要解決複雜的任務，平均需要發出8個查詢，他們認為，現今的搜尋引擎都不夠完善，無法以專家的方式回答。</p> <p>而Google發展出了MUM技術，試圖簡化這些複雜查詢任務，MUM如同語言模型BERT一樣，建立於Transformer架構之上，但功能更加強大，MUM不僅可以理解語言，還可以生成語言。MUM接受了75種語言和多種任務訓練，可以比過去模型更全面地了解資訊和世界知識，而且MUM具有多模態（Multimodal）特性，能夠理解文字和圖像中的資訊，並且在之後還可以擴展理解視訊或是音訊等更多形式的內容。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/MUM_GIF02_02_1.gif" style="width: 580px;" /></p> <p>在上述用戶想要爬富士山的案例，MUM可以理解用戶正在比較兩座山，因此海拔和步道訊息是相關資訊，另外，MUM也可以理解在登山遠足的活動背景下，可能需要準備運動或是合適的裝備。由於MUM具有理解世界的知識，因此能夠告訴用戶，雖然兩座山海拔相似，但是秋天會是富士山的雨季，因此用戶可能需要防水手套。而MUM還會提供延伸主題，包括針對登山的頂級裝備和最佳訓練資訊，呈現網路中有用的文章、影片和圖像。</p> <p>Google會針對MUM進行有關機器學習偏見的研究，避免將偏見引入到系統中，並且減少訓練MUM的碳足跡，確保搜尋能夠高效執行。目前MUM仍處於探索初期，但Google提到，在幾個月後他們會逐漸開始在產品中加入MUM，以提供更好的服務。</p> </div></div></div>
2021/5/21 16:21作者李建興https://www.ithome.com.tw/news/144550
金管會揭露電支條例子法7大重點，記名式儲值卡有望跨境消費、比照銀行數存帳戶分類強化身分驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新電子支付機構管理條例將在7月1日正式上路，除了要打造支付生態圈的目標之外，更要透過建置電子支付跨機構共用平臺，開放跨機構間互通的金流服務。近期，「電子支付機構管理條例」修正案出爐，共有18項授權相關子法要配合修正或訂定，其中，中央銀行與財政部各負責1項，金管會則負責16項。</p> <p>央行在5月19日<a href="https://www.cbc.gov.tw/tw/cp-302-134799-888c9-1.html">預告</a>，新電支條例整併了電支、電票條例，央行因此配合擬具「非銀行支付機構儲值款項準備金繳存及查核辦法」修正草案，名稱修正為「專營電子支付機構收受儲值款項準備金繳存及查核辦法」。</p> <p>央行共提出3大修正重點，包括將電子票證機構併入專營電子支付機構定義，這是第一點；第二點是定義儲值款項，包括預先存放在電子支付帳戶與儲值卡的款項；央行擬將同一機構收受儲值款應計提準備金的門檻，調高到100億元，並就超過100億元的部分計提準備金。第三點則是，將配合計提準備金門檻調高到100億元，修正應提準備額的計算方式。</p> <p>針對金管會負責「電子支付機構管理條例」修正案中的16項子法，金管會也在5月20日對法規進行為期14天的<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202105200005&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">預告</a>，總共有7大修正重點。金管會銀行局主秘童政彰表示，金管會共修正了14項授權法規命令、增訂2項授權法規，新增訂的部分包括「外籍移工國外小額匯兌業務管理辦法」、「專營電子支付機構負責人資格條件兼職限制及其他應遵行事項準則」草案。</p> <h3><span style="color:#0000FF;"><strong>外籍移工匯兌業務匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元</strong></span></h3> <p>第一大修正重點，是外籍移工匯兌業務部分，根據草案規畫，外籍移工匯兌公司應以獨立業務經營外籍移工國外小額匯兌業務，但不限專營，相關業者也可兼營，童政彰舉例，外勞仲介業者也可向金管會申請兼營外籍移工匯兌業務。</p> <p>針對專營的業者，則規定最低實收資本額為新臺幣1億元，且必須設置專責部門與人員。此外，金管會核發的營業許可證為3年有效期；而且，業者收受的匯款交易款項須全數交付信託，或取得金融機構履約保證及限制匯款限額等管理機制，以確保用戶資金安全；匯款上限為每筆3萬元、每月5萬元，每年上限為40萬元。</p> <p>金管會進一步表示，目前有易安聯、統振這2家正在實驗外籍移工國外小額匯兌業務的業者，預計今年10月29日可出金融監理沙盒。新電支條例7月生效後，這2家業者在法規運作上可無縫接軌。</p> <p>第二大修正重點，是專營電子支付機構負責人資格條件部分，明訂負責人的積極與消極資格條件、兼職限制、訓練及其他遵循事項；針對現任董事長、經理人的積極資格條件，可以在原職務或任期內擔任的過渡規定；此外，還有負責人的教育訓練等，以促進專營電子支付機構的健全經營。</p> <h3><span style="color:#0000FF;"><strong>第三方支付服務業者納管門檻拉高到20億元</strong></span></h3> <p>童政彰提到，第三項重點是針對第三方支付服務業者。依照現行規定，第三方支付業者所保管代理收付實質交易款項，一年日平均餘額如果超過10億元，就必須申請轉為由金管會所規管的電支機構。此次，金管會考量到電商市場的發展及市場需求，所以，修訂將現行10億元門檻，調高到20億元。</p> <p>為配合財金資訊公司建置電子支付跨機構共用平臺，辦理跨機構間支付款項帳務清算，金管會修正了「電子支付機構專用存款帳戶管理辦法」，增訂「清算銀行」與「清算帳戶」相關作業機制與管理規定。童政彰表示，清算銀行部分，由財金公司指定的合作金庫銀行來辦理。這是第四項修正重點。</p> <h3><span style="color:#0000FF;"><strong>將開放記名式儲值卡可到國外搭乘交通運輸工具或到特店消費</strong></span></h3> <p>第五項是有關跨境業務，共有2項修正重點。童政彰表示，一方面是將開放國內記名式儲值卡，可以到國外合作機構的特店消費，或是國外記名式儲值卡，也可到國內經核准機構的特店來消費。舉例來說，未來民眾可拿悠遊卡、一卡通等記名式儲值卡，到國外搭乘公共交通運輸工具或消費。</p> <p>另一方面，金管會開放可透過「境內帳務清算機構」，目前由財金公司扮演該角色；或透過「境外帳務清算機構」，來進行帳務清算及系統介接、資訊傳輸與交換服務的合作模式。童政彰解釋，現行機制是經核准的電支機構業者需自行找境外合作機構，一家家去簽約；未來，便可透過境內帳務清算機構如財金公司，找境外合作機構來簽約，以減少國內電支機構的成本並提高競爭力。</p> <h3><span style="color:#0000FF;"><strong>強化電子支付機構身分確認機制，比照銀行數存帳戶分類</strong></span></h3> <p>第六項修正重點則是強化電子支付機構身分確認機制。金管會表示，這部分是比照銀行數位存款帳戶的分類，身份確認強度也分為一到三類。其中，增訂確認使用者所提供行動電話號碼機制、核驗姓名程序，及排除第三類數位存款帳戶得作為身分確認的金融工具種類。此外，金管會還提高第一類電支帳戶儲值餘額上限，從現行的5萬元拉高到10萬元；國內外小額匯兌交易每筆限額則為10萬元。</p> <p>最後一項重點是，金管會修訂電子支付機構業務管理規則，比如，新增特約機構、儲值卡及業務範圍之相關管理規定、修正支付指示應記載事項、股票應於開業後1年內辦理公開發行等規定。文⊙李靜宜</p> </div></div></div>
2021/5/21 16:30作者李靜宜https://www.ithome.com.tw/news/144554
攻擊愛爾蘭健康服務管理署的駭客耍詐，給解密金鑰仍威脅出售內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭健康服務管理署（HSE）上周遭駭客以Conti勒索軟體攻擊，駭客昨（19）日一方面提供免費解密金鑰，但同時也持續出售已竊取的敏感資料。</p> <p>上周愛爾蘭HSE遭駭客組織發動勒索軟體攻擊，勒索2千萬（19,999,000）美元，迫使他們預防性切斷網路系統。這場攻擊影成重大影響，除了一家都柏林醫院暫時關閉了所有科別門診，還牽連了COVID-19的篩檢服務，愛爾蘭外交部長認為，這可能是該國歷來最嚴重的網路犯罪事件。</p> <p><a href="https://www.hse.ie/eng/services/news/media/pressrel/hse-cyber-security-incident.html" target="_blank">根據HSE網站</a>，雖然HSE極力搶修，但是直到周四系統服務仍未恢復，仍然仰賴人力作業，以致於延誤非急診病患的服務。</p> <p>此外，<a href="https://www.bleepingcomputer.com/news/security/conti-ransomware-gives-hse-ireland-free-decryptor-still-selling-data/" target="_blank">Bleeping Computer報導</a>，發動Coni攻擊的駭客本周在和受害者交涉的Tor網頁，貼出免費解密工具的連結，讓受害單位可以復原被加密的檔案。MalwareHunterTeam也證實，解密工具確實可用來復原這批被加密的資料。</p> <p>不過駭客同時也警告，如果HSE堅持不交涉、不付錢的話，他們還是會出售或公佈竊來的隱私資料。</p> <p><a href="https://siliconangle.com/2021/05/19/information-stolen-ransomware-attack-irelands-health-service-shared-online/" target="_blank">根據媒體報導</a>，目前駭客公佈的樣本包括和12個人有關的27個檔案，但駭客宣稱手中握有700多GB的資料，涵括病患住址、電話號碼以及員工合約、薪資及財務資料。</p> <p>第一天愛爾蘭總理Micheál Martin就對當地媒體RTÉ News表示，政府不會付贖金，也不會參與任何此類互動。</p> <p>另一方面，<a href="https://www.ithome.com.tw/news/144469" target="_blank">這個駭客組織同時也攻擊了HSE的主管機關──愛爾蘭衛生部</a>（Department of Health）。愛爾蘭官方資安機關研判兩案的攻擊手法及使用的工具類似，只是衛生部的防護系統及時偵測到惡意活動加以阻斷，因此未造成損失。</p> </div></div></div>
2021/5/21 17:17作者林妍溱https://www.ithome.com.tw/news/144555
微軟開源可用來部署模擬網路攻擊實驗室環境的SimuLand專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.microsoft.com/security/blog/2021/05/20/simuland-understand-adversary-tradecraft-and-improve-detection-strategies/" target="_blank">開源了SimuLand專案</a>，以協助全球的安全研究人員部署可模擬各種網路攻擊場景的實驗室環境，或是用來驗證Microsoft 365 Defender、Azure Defender與Azure Sentinel的偵測能力，並利用遙測及每次模擬演練所產生的鑑識產物，來擴展威脅研究。</p> <p>目前該專案僅建置一個Golden SAML AD FS Mail Access實驗室，它模擬駭客自本地端的AD FS伺服器盜走令牌簽署憑證，進而簽署SAML令牌，企圖假冒為特權使用者，以藉由Microsoft Graph API蒐集郵件資料。</p> <p>根據微軟的規畫，SimuLand專案將導入來自微軟安全產品的各種案例，可創造不同的實驗室環境，並採用模組化設計，因此可在整合不同攻擊行動與實驗室環境的情況下展開測試。</p> <p>微軟也揭露了對於SimuLand專案的期許，包括理解駭客的行為與功能，藉由記錄攻擊者的操作來確定攻擊路徑及緩解措施，加快威脅實驗室環境的設計與部署，跟上駭客所使用的技術與工具，辨識與記錄共享資料來檢測及建模駭客的行為，以及驗證與調整檢測能力。此外，SimuLand還能整合那些可於端對端模擬場景中，執行動態分析的既有威脅研究方法。</p> <p>不過，要部署SimuLand所提供的模擬攻擊實驗室環境，至少要具備一個Microsoft 365 E5授權及一個Azure租戶，其它需求則根據不同的實驗室環境而定。</p> <p>微軟亦鼓勵安全研究人員分享端對端的攻擊路徑，或是貢獻其它的偵測規則。</p> </div></div></div>
2021/5/21 15:47作者陳曉莉https://www.ithome.com.tw/news/144552
【疫情日報】今日新增312例本土確診案例，陳時中重申全國防疫步調統一，更預告PCR檢測結果將可用健保行動快易通APP查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今天（5/21）疫情記者會上，指揮官陳時中揭露，今天新增了315例，其中包括本土312例，確診病患以新北144例最多，旗下板橋區37例最多，臺北市有127例，以萬華區60例最多，其次桃園市13例，基隆市9例，臺中市和彰化縣各5例，高雄市4例，宜蘭縣2例，屏東縣、南投縣、雲林縣各1例。其中，關連不明有72例，疫調中有25例。他預告，PCR檢測結果，近日將直接整合到全民健保行動快易通APP，讓民眾查詢自己的檢測結果不用等待通知。</p> <p>整體來看，陳時中表示，臺灣疫情仍在高峰中，但沒有突發情況，大部分來源可以找到源頭，屬於多發性的局勢，影響區域也增多。他呼籲，全體民眾要特別注意，國外訪者這段期間也不要來臺，避免增加檢疫量能的負擔。</p> <p>另外，針對先前出現安置速度太慢，讓民眾等候1、2天的情況，陳時中表示，這兩天加緊準備，中央集中檢疫所已經準備好了，發現快篩陽性，就可以先送到中央的集中檢疫所，等待PCR檢測。內有醫護人員進行健康監測。防疫物資整備上，目前有充足的PPE儲備量和製造能力，也會撥發N95口罩、防護衣、隔離衣給診所，旅宿業者也會撥發隔離衣。</p> <h3><span style="color:#FF8C00;"><strong>陳時中強調：全國防疫警戒步調一致、作法一致、說法一致</strong></span></h3> <p>陳時中希望，中央地方步調齊一，地方之間也能同步。他重申，全國三級警戒上，採取「步調一致、做法一致、說法一致」，中央負責指揮，訂定標準和指引，由地方執行，若有執行面的問題，可在每天全國防疫會議上提出來調整。國家關鍵產業也要積極備戰，出現確診者後如何分流上班，來因應困難的時候。</p> <p>目前PCR檢測結果，若是陽性會盡快通知當事人，但陰性仍會在三天內通知。目前健保署和疾管署正在合作，未來會將檢測結果整合全民健保行動快易通APP，讓民眾可以更快查詢到自己檢測結果，不用像現在以電話通知的方式，來降低民眾的焦慮感。</p> <p>另外，在今天早上的全國防疫會也有多項決定，中央要求各縣市政府發布確診者足跡前，要審慎確認再發布，中央正進行確診者熱點分析，之後會提供給各縣市。確診者後送作業上，醫福會每天8點前會通知確診者最多的雙北，讓雙北政府來協助指揮調度，包括消防局救護車等，來快速後送。</p> <p>為了提高集中檢疫場所設置的能量，中央也開始請地方政府盤點，由地方提供場所名單、由中央評估，再來設置。各縣市社區採檢站的分佈狀況為台北市設置5個採檢站，新北市設有7個採檢站（新增輔大、中和、新店），宜蘭會目前設置2站，桃園有1個站，會再設置2站，彰化新增1個站，苗栗有1站，高雄2站，連江1站。</p> </div></div></div>
2021/5/21 14:50作者王宏仁https://www.ithome.com.tw/news/144544
【從K匿名法、GAN和統計整合練兵，再攻聯合學習】工研院揭3種去識別化方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AI大浪的席捲下，如何兼顧大數據分析和資料隱私？工研院巨資中心專家分享3種作法，包括常見的K匿名法、GAN生成資料法，以及從GAN衍生出的多機構專用統計整合法。工研院巨資中心資料隱私與平臺技術部經理王邦傑更強調，用GAN生成的無涉及個資假資料，與完全用原始資料的準確度相比，誤差值僅在5％以內。這些也正是工研院用於財政資訊中心、健保署健保大數據的資料去識別化作法。</p> <p>不只如此，工研院在金融、電商和醫療資料去識別化的經驗，還延伸至聯合學習（Federated Learning）應用，去年展開PoC驗證，提出多種方法來解決聯合學習資料品質參差不齊的問題。今年更聯手臺灣人工智慧實驗室（AI Labs），要把聯合學習推廣到各產業。</p> <p><span style="font-size:28px;"><strong>著重資料可分析性，資料去識別化應聚焦間接識別符</strong></span></p> <p>「許多資安廠商、資訊業者認為，資料去識別化只要將資料加密或Hash轉換就好，」但工研院巨資中心資料隱私與平臺技術部經理王邦傑指出，大數據時代著重的是「資料背後代表的意義，也就是資料的可分析性。」因此，資料去識別化不該只是加密資料，而是要在保護個資的條件下，也保有資料可分析性。</p> <p>但是，這種資料去識別化該怎麼做呢？</p> <p>這得先了解個人資料的組成。根據個資法定義，個人資料可分為直接識別符和間接識別符，直接識別符就是姓名、身分證字號等資料，而年齡、種族和郵遞區號等就是間接識別符。</p> <p>「間接識別符無法判斷特定個體，但攻擊者可從間接識別符的組合，來推導出特定個體，」因此，去識別化就是針對可識別資料、間接識別符下手，讓資料中足夠多的個體，對應到同一組間接識別符，將個體特徵「模糊化，」隱身於群體中。</p> <p>在這些條件下，他表示，有3種常見的去識別化核心技術，包括傳統統計揭露控制（Statistical Disclousure Control，簡稱SDC）、K匿名系列演算法，以及差分隱私演算法（Differential Privacy）。</p> <p>王邦傑解釋，SDC是個傳統老方法，已存在20多年，K匿名演算法則相對年輕，問世約10年，「不過，現在會需要更強健的K匿名演算法。」至於差分隱私，則是近幾年興起的熱門資料去識別化方法，目的是在資料集中加入雜訊，來混淆視聽。</p> <p>工研院也有幾套資料去識別化作法，在保有資料可分析性的情況下，也兼顧資料隱私。他們的方法除了上述的K匿名演算法外，還自行發展出2套去識別化方法，一個是GAN資料生成法，另一個是GAN生成法衍生的多機構去識別化資料融合分析法。</p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>工研院推薦這3種資料去識別化方法</strong></span></span></p> <p><strong><span style="color: rgb(178, 34, 34);">1. K匿名法：</span></strong><span style="color: rgb(105, 105, 105);"><strong>傳統常見作法，利用資料藏匿和資料泛化，將確切值隱藏在一個區間達到匿名效果。直覺、容易使用的作法，但工研院建議K值大於20，較不易遭攻破。衛福部和財政資料中心曾用此法來開放政府資料。</strong></span></p> <p><strong><span style="color: rgb(178, 34, 34);">2. 完全用GAN生成假資料：</span></strong><span style="color: rgb(105, 105, 105);"><strong>業界資料保護主流作法，用GAN生成器模型產生接近真實資料的合成假資料，來達到匿名效果但又有分析力。工研院經驗，GAN生成資料的分析準確度，與原始資料間相比，兩者的誤差值可在5％以內。</strong></span></p> <p><strong><span style="color: rgb(178, 34, 34);">3. 用GAN去識別化再融合分析：</span></strong><span style="color: rgb(105, 105, 105);"><strong>工研院整合GAN和傳統統計作法，可用於多機構間的資料去識別化和資料整合分析。先在各機構端以GAN生成資料，再靠統計匹配作法，橫向整合資料後得到，可分析的整體性資料。工研院建議，2家機構整合的效果最佳。</strong></span></p> <p><span style="color: rgb(105, 105, 105);">資料來源：工研院，iThome整理，2021年5月</span></p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第1招：K匿名法</strong></span></p> <p>K匿名演算法是工研院常用資料去識別化法之一，「它雖然不是最強的保護方法，但卻是最直覺、最容易操作的去識別化方法。」王邦傑點出這個方法的優點。這個作法的核心在於資料藏匿（Supression）和資料泛化（Generalization），也就是將資料進行更廣義、更抽象的描述。</p> <p>但只是將部分資料遮掩，比如電信帳單中遮掩幾碼的電話號碼，或是遮掩姓名中間字的作法，「就不是可分析的資料了。」他認為，用K匿名法將資料去識別化時，得將年齡、地址等確切資料隱藏在一個區間，比如將33歲改為31至35歲、將確切門牌號碼改為住在忠孝東路，或是將身高隱藏在181至185公分的區間。如此一來，「在資料顆粒度變粗的情況下，會有更多人符合這些條件組合，要從中去找出特定人，也就更難。」這就達到了隱匿效果。</p> <p>所以，K匿名法中的K就是指，用不同間接識別符的組合來搜尋時，至少有K個個體符合，比如搜尋上述「31至35歲、住在忠孝東路、身高181至185公分」條件的人，至少有5個，那K就是5，也就是最小能保護的基準值。</p> <p>同時，王邦傑也建議， K 值要大於20才不容易被攻破。幾年前，工研院也用這個方法，來輔導衛福部和財政資訊中心的資料去識別化專案，協助政府開放資料。</p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第2招：完全用GAN生成的合成資料</strong></span></p> <p>工研院資料去識別化的第2招，是利用對抗生成網路（GAN）來產生合成資料，並用這些生成資料完全取代真實資料，來避免個資洩漏的問題。</p> <p>這個做法的原理是，將原始資料輸入GAN生成器（Generator），來產生具有原始資料特性的合成資料，接著用GAN鑑別器（Discriminator）來評斷這些合成資料的擬真度，藉此提高合成資料的真實性。這個過程會反覆進行，直到生成器產生的資料成功騙過鑑別器為止。</p> <p>王邦傑指出，GAN生成法是時下業界資料保護的主流作法，一些專家甚至會加入差分隱私，來提高去識別化強度。工研院也自2017年開始，用GAN生成器模型來產生接近真實資料的合成資料，進行資料去識別化。不過他也提醒，採用該方法「要考量的是，如何讓GAN生成的資料，夠接近原始真實資料。」</p> <p>除了不會洩漏個資的好處，這個方法也能彌補傳統方法的缺點，王邦傑解釋，傳統在真實資料中加入雜訊（假資料）來混淆視聽，會造成運算成本增加，也會降低日後資料分析的準確度。「完全採用合成資料，就不會有這些問題。」</p> <p>就資料可分析性來說，工研院採用GAN生成資料的準確度，與完全用原始資料的準確度相比，誤差值在5％。甚至，「狀況好時可達1％、2％。」王邦傑強調。</p> <p><span style="font-size:28px;"><strong>工研院資料去識別化第3招：用GAN去識別化再融合分析</strong></span></p> <p>在GAN的基礎上，工研院還延伸出另一套方法，可以作為多機構的資料去識別化和分析需求之用。這個方法整合GAN和傳統統計整合作法，可分為3個步驟，包括在機構端以GAN生成資料，再以統計學橫向整合（Join）這些資料，最後，匯出這些資料就可以得到具有分析力的去識別化資料集。</p> <p>舉例來說，假設銀行A、電商B分別擁有資料集X、Y和X、Z，其中X是兩家企業的共通資料，也就是共通客群，而Y和Z是與X相關的資料。為了在兼顧個資隱私的條件下整合兩家資料，雙方得先將手上的資料集X、Y和X、Z去識別化，也就是以GAN生成近似原始資料的合成資料。</p> <p>接著，工研院透過橫向整合（Database join）、資料配對（Record linkage）、統計匹配等方法，來整合這些生成資料（也就是隨機配對），完成後再匯出整合的資料集X、Y、Z，來進行分析。</p> <p>王邦傑解釋：「這種隨機分配並不會影響整體資料可分析性，因為在統計學上，資料走向是一樣的。」工研院也用這個方法進行不少模擬，不過，他認為，這個方法最適合用於兩家機構的資料整合，若機構數量更多，就會影響資料的可分析性，也就是後續運用於AI的準確度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%B7%A5%E7%A0%94%E9%99%A2%E5%B7%A8%E8%B3%87%E4%B8%AD%E5%BF%83%E7%B6%93%E7%90%86%E7%8E%8B%E9%82%A6%E5%82%91-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">攝影／王若樸</span></p> <p><strong><span style="color: rgb(105, 105, 105);">工研院巨資中心資料隱私與平臺技術部經理王邦傑指出，在大數據時代下，企業的資料去識別化應保有資料可分析性，而非只進行資料加密或Hash轉換就好。</span></strong></p> <p><span style="font-size:28px;"><strong>去識別化後的資料分析準確度多高？工研院用5種ML模型來評估</strong></span></p> <p>資料去識別化的目的在於分析，但去識別化程度會影響分析準確度。為衡量這些做法的資料可分析性高低，工研院也自建一套評估工具，會使用5種ML演算法，包括XGBoost、SVM、隨機森林、Linear SVC和Logistic regression，來測試資料去識別化後的AI分析準確度。為了評估，同一批分析資料，還會訓練出三種AI模型來比較。</p> <p>測試前，得先確認生成資料欄位屬性，比如是類別型或數值型，才開始使用ML演算法，針對想要分析的資料欄位，利用原始資料和合成資料來訓練模型，交叉比對準確度。</p> <p>例如，可將訓練資料和測試資料按比例分為80％和20％，首先完全使用原始資料來訓練、測試模型，這就是模型一。模型二是用80%合成資料訓練模型，再以20%原始資料來測試模型。假設模型一的準確度與模型二相近，就表示「生成資料能以假亂真，」王邦傑說。</p> <p>接下來，還可以完全使用合成資料來訓練、測試建立第三種模型（模型三），它的目的是檢驗是否有過度擬合（Overfitting）問題。這個檢驗標準，是與模型一相比，要是模型三準確度高於模型一，就代表過度擬合。</p> <p>有了模型一、二、三和各5種ML演算法的訓練與測試分數後，工研院自建的評估系統也會依類別列出5種演算法，各自在這三種模型中的表現，讓使用者從中判斷去識別化的資料可分析性。</p> <p>工研院已經將資料去識別化做法和評估工具，開發成一套解決方案，內有多種去識別化核心演算法、風險和資料可用性評估模組，以及資料處理模組等，這套解決方案可平行化部署在大數據框架Hardoop、Spark上，也能單機部署在個人電腦上。王邦傑指出，不少政府、金融甚至是智慧製造業者，也用這套方法來處理資料去識別化。</p> <p><span style="font-size:28px;"><strong>投入隱私資料保護的新作法聯合學習</strong></span></p> <p>工研院巨資中心自2019年下半年也投入的聯合學習技術的研究，這是另一個不需揭露隱私個資又能提供資料分析性的新作法，更在2020年展開醫療聯合學習PoC，包括與工研院生醫所進行的痰音疾病預測。</p> <p>聯合學習常見的模式之一是Server與Client模式，也就是透過發起人設置一套初始模型，讓各個Local端（即Client端）下載，用自家的資料來訓練，再將參數上傳到中央伺服器的母模型（即Server端的Global模型）來優化，如此反覆直到模型收斂。</p> <p>不過，王邦傑發現，聯合學習本是要解決安全問題，「現在也衍生一些安全問題。」比如，醫院擔心Local端的訓練模型會偷走資料，或是Local端的模型遭破解而洩露資料、匯入錯誤資料，又或是Global模型會遭破解等等。</p> <p><span style="font-size:28px;"><strong>聯合學習還有資料中毒和Non-IID兩大挑戰</strong></span></p> <p>這就演變成聯合學習的兩大挑戰。首先是資料中毒（Data poison）問題，也就是Local端用錯誤資料來訓練模型，會破壞了整體聯合學習的Global模型表現。王邦傑坦言，這是個無法完全解決的問題，「但有技巧可以避免。」比如降低特定Local端模型在Global模型的權重，就比較不會造成資料中毒問題。</p> <p>再來，因為聯合學習旨在保護資料隱私，Server端無法仔細檢視每個Local端用來訓練模型的資料，因此當少數Local端模型表現異常時，Server端無法確定是不是資料中毒問題。這時，Server端就要考慮「Non-IID（Non-Identical Independent Data）問題，也就是該Local端的資料本來就異於常人。」這個現象，也是聯合學習常見的挑戰之一。</p> <p>「Non-IID是指非完美分布的資料，」王邦傑解釋，在聯合學習中，若Client端的資料分布（Distribution）差距非常大，也就是每個Local端模型表現差異極大時，會導致Global模型表現不佳，或是難以收斂。</p> <p>面對這個問題，學術上也有幾種方法來應對，比如從各Client端挑選有共識的資料（像是屬性類似的子資料集），先來訓練Global模型、縮小差距，待模型表現穩定後，再加入屬性差異較大的資料。</p> <p>這種優先挑選屬性類似資料的作法，可透過資料增強（Data augumentation）來實現。資料增強是一種增加資料量的方法，將現有資料複製、稍加調整（如翻轉、剪裁、顏色修正等方法），來產生更多資料、擴充訓練資料集。</p> <p>藉由這個方法，Local端可多產生一些性質類似的訓練資料，來強化該資料的占比，進而訓練出差距較小的模型。</p> <p>有了這些技術經驗，工研院今年進一步聯手臺灣人工智慧實驗室（Taiwan AI Labs），投入跨政府部會成立的臺灣聯合學習產業大聯盟，擔任核心成員。</p> <p>王邦傑透露，工研院將在聯盟中，協助制定特定產業的聯合學習標準（比如標註規則），並建立聯合學習生態系；同時，他們也會繼續探討聯合學習的技術問題，比如Non-IID，並尋找更好的解法。他們希望將在聯合學習在醫界的成功經驗，推廣到其他產業。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0521-%E5%B7%A5%E7%A0%94%E9%99%A2-600-1-765X541.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=765,height=541'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E5%B7%A5%E7%A0%94%E9%99%A2-600-1-s.jpg" style="width: 488px;" /></a></p> <p><span style="color:#696969;">資料來源：王邦傑</span></p> <p><strong><span style="color:#696969;">工研院巨資中心過去一年執行不少醫療聯合學習POC，發現聯合學習仍有些安全議題，比如Local端模型遭破解、資料外洩等。工研院也依此在不同階段設計防護機制，像是醫院與Local端模型間。</span></strong></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國際資料治理組織近2年格外重視資料隱私</strong></span></span></p> <p><span style="color:#696969;"><strong>在國際電信聯盟電信標準化部門ITU-T旗下，有個為期兩年（2017年至2019）的資料治理專案組織FG-DPM，專門制定IoT和智慧城市相關的資料治理與AI框架，「是國際上腳步最快的資料治理組織，」親身參與該組織的工研院巨資中心資料隱私與平臺技術部經理王邦傑說。</strong></span></p> <p><span style="color:#696969;"><strong> FG-DPM 制定的架構涵蓋5 大層面，其中之一就是資料處理和管理面的隱私技術，以及對應的法規問題，凸顯了組織對資料隱私的重視。就其他4個層面來說，還包括資料的使用情境、需求和應用服務，以及資料處理管理（DPM）框架、架構和核心元件，再來是資料共享、互通性和區塊鏈管理等，最後則是資料經濟化和貨幣化。原本杜拜萬國博覽會是第一個要實驗資料貨幣化的場域，但因爲去年疫情嚴峻、參訪人數受限制，導致成效不理想。</strong></span></p> <p><span style="color:#696969;"><strong>「FG-DPM領先其他國際組織，快速定義出完整的資料治理建議和應用框架，」王邦傑指出，該組織產生的15份報告，也交由ITU標準組織旗下的小組參考，包括醫療AI（FG-AI4H）、IoT智慧城市（SG20）、多媒體（SG16），以及機器學習於5G未來網路（FG-ML5G）等。他直言，FG-DPM制定資料隱私和AI框架的舉動，勢必帶動其他國際組織跟進，在資料治理上更有著墨。</strong></span></p> </div></div></div>
2021/5/21 13:44作者王若樸https://www.ithome.com.tw/news/144539
睽違3年的帳號驗證服務重返Twitter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter於本周四（5/20）<a href="https://blog.twitter.com/en_us/topics/company/2021/relaunching-verification-and-whats-next.html" target="_blank">重新啟動了帳號驗證服務</a>，公布了<a href="https://help.twitter.com/en/managing-your-account/about-twitter-verified-accounts" target="_blank">全新的帳號驗證政策</a>，所有用戶預計在未來幾周就可看到帳號驗證申請功能。</p> <p>過去Twitter也曾提供帳號驗證服務，只要通過身分驗證，使用者帳號旁邊就會出現一個藍底的白色打勾符號，但<a href="https://www.ithome.com.tw/news/141301" target="_blank">在2017年</a>因為爭議太多而取消。</p> <p>帳號驗證是為了讓用戶確定，與之互動的對象與身分是真實存在的，Twitter將率先驗證六大類別的帳號，包括政府、企業/品牌/非營利組織、新聞、娛樂、運動，以及活動家/具影響力的個人，未來Twitter用戶將可在帳號設定標籤中看到新的驗證申請功能，選擇類別之後再提供自己的網站、電子郵件帳號或身分文件以驗明正身。</p> <p>Twitter表示，使用者提出申請的幾天內，應該就會收到系統回覆，之後該站可能需要花上幾周的時間來審核，如果通過了，使用者的個人檔案上就會出現藍色徽章，若被否決，30天之後可以再度提出申請。</p> <p>除了上述類別之外，Twitter亦計畫於今年添增其它類別的帳號驗證，例如科學家、學者或是宗教領袖等。</p> </div></div></div>
2021/5/21 14:05作者陳曉莉https://www.ithome.com.tw/news/144540
美國財政部：企業的加密貨幣交易金額超過1萬美元就必須申報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/system/files/136/The-American-Families-Plan-Tax-Compliance-Agenda.pdf" target="_blank">美國財政部周四（5/20）宣布</a>，美國企業只要收到價值超過1萬美元的加密貨幣資產，就必須向國稅局申報。</p> <p>美國總統拜登（Joe Biden）已提議要分配額外的資源予美國國稅局，來解決日益增加的加密貨幣資產問題。而財政部則說，加密貨幣的市值已超過2兆美元，只是它依然存在著難以偵查的挑戰，進而促成包括逃稅在內的非法行為；儘管加密貨幣交易現在只占商業收入的一小部份，但預期它在未來10年的重要性將逐漸增加。</p> <p>因此，在新的財務會計申報制度下，將涵蓋加密貨幣與加密資產的交易帳號，以及接收加密貨幣的支付服務帳號，此外，與現金交易一樣，美國企業若收到價值超過10萬美元的加密貨幣資產也必須申報。</p> <p>另一方面，美國國稅局也已將加密貨幣視為個人資產，<a href="https://www.irs.gov/individuals/international-taxpayers/frequently-asked-questions-on-virtual-currency-transactions" target="_blank">要求美國民眾申報相關的交易所得</a>。</p> </div></div></div>
2021/5/21 14:16作者陳曉莉https://www.ithome.com.tw/news/144541
Google今夏開設第一家零售門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/devices-services/google-store-nyc/" target="_blank">Google昨（20）日宣布</a>，將於今年夏天開設販售3C產品的自有零售門市，第一家位於紐約。</p> <p>第一家Google Store將設於紐約的雀兒喜（Chelsea）區，位於Google紐約市中心的辦公室附近，將販售Google 3C產品，包括Pixel手機、Pixelbook、Nest智慧家庭裝置、Fitbit健身穿戴產品等等。Google Store除了提供現場販售，也提供消費者於GoogleStore.com線上下單到店取貨。</p> <p>此外，如同蘋果Apple Store，Google Store也會有工作人員提供產品教學、技術支援及消費者服務。</p> <p>由於美國COVID-19疫情仍未完全退散，Google Store也設立衛生規範，包括要求消費者戴口罩、保持社交距離，實施人流總量限制以及快速取貨點等措施。</p> <p>2016年Google也曾以在紐約蘇活區，設立快閃商店展示Pixel產品、Google Home及VR眼鏡等裝置，不過並不提供販售，消費者仍然必須到線上或實體商店購買產品。這次開設實體商店也是Google真正著手投入零售業務。Google表示會以此作為探索實體零售店的可能性及方向。</p> <p>去年在疫情期間，<a href="https://www.ithome.com.tw/news/138478" target="_blank">微軟關閉</a>了全球的實體零售店Microsoft Store，零售部門員工將轉為線上銷售、技術支援及教育訓練。蘋果的Apple Store則在關閉將近一年後，<a href="https://www.ithome.com.tw/news/142981" target="_blank">於3月全部重新開張</a>。</p> </div></div></div>
2021/5/21 11:21作者林妍溱https://www.ithome.com.tw/news/144537
醫院如何把關委外廠商資安，北市聯醫資安長揭露8階段重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市立聯合醫院是臺灣最早設置資安長一職的醫院，上任2年多的北市聯醫資安長許世欣，在臺灣資安大會上分享把關委外廠商資安的經驗，涵蓋從投標、簽約、開發到終止等8個階段。他建議，醫院委外開發時，要特別注意系統防護需求等級，再來才是其他資安要求。另外，VPN存取權限也要嚴格把關，像北市聯醫自今年7月起，就要求廠商須通過ISO 27001認證，或通過北市聯醫資安查核者才能申請醫院VPN。</p> <p><strong><span style="font-size:22px;">資安法上路2年，子法9大細則規範委外重點</span></strong></p> <p>許世欣指出，許多機構的資安事件，都與委外廠商有關。而上路2年的新版資安法，明定了企業對委外廠商的資安稽核規範，許世欣就是依此來制定委外審核標準。</p> <p>他解釋，資安法第9條規範公務機關和非特定公務機關，必須選任合適的委外廠商，同時也要「監督」該廠商的資安維護情形。</p> <p>根據這條法規，資安法施行細則第4條詳列了委外廠商9項把關重點。首先是企業委外給廠商的業務相關程序和環境，必須具備完善的資安管理措施，或通過第三方驗證。再來是委外廠商需有受過資安訓練的專業人員，而且，雙方須制定複委託的範圍、對象和資安維護措施，也就是「再發包」的範圍定義和資安防護措施。</p> <p>第4是委外廠商不得涉及國家機密，執行人員應接受適任性檢查。再來是委外開發系統時，委外廠商須提出該系統的安全性檢測證明，而且，委外系統若是企業核心系統，或委外金額達1,000萬元以上，企業須自行或委託第三方機構來進行安全檢測。</p> <p>第6，要是委外廠商發生資安事件，或違反資安法時，需立即通知企業並補救。委外關係終止時，廠商還必須銷毀、刪除或交還委託業務的資料。</p> <p>最後，企業應定期稽核、確認委外案的執行情形，或得知委外廠商可能發生資安事件時也必須稽核執行情況。這也是許世欣特別強調必須落實的一點。</p> <p><strong><span style="font-size:22px;">委外服務管理分8階段，第1階段要注意系統防護需求等級</span></strong></p> <p>根據這些規範，許世欣將企業委外服務分為8個階段，每個階段都有對應的資安重點。這些階段包括徵求建議書（RFP）、廠商投標、廠商得標與簽約、設計與開發、測試、驗收、系統上線，以及最後的維運。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AE%A1%E7%90%86%E9%9A%8E%E6%AE%B5.jpeg" /></p> <p>在第1階段，RFP需列出了委外廠商必須知道的一切資安要求，包括了上述每個階段的資安說明。以北市聯醫RFP資安要求專章為例，該專章有19條，一大重點就是如何準確評估系統的資安防護等級，分為普、中、高級，不同等級在資安法附表中的防護措施多寡不同，普級有31項、但高級則有76項。</p> <p>再來，專章明定廠商的資格，也就是要通過ISO 27001驗證，且作業人員須受過資安訓練。</p> <p>其他規範重點還包括，廠商應按SSDLC準則來開發和維運、要申請VPN遠端連線得符合一定資格(例如獲得ISO 27001認證，或通過資安查核)，才能獲得VPN權限。而且系統上線前，須檢測源碼風險、廠商需主動通報事件並配合相關應變與調查作業。最後，廠商也需配合醫院的開發環境訪查作業。</p> <p><strong><span style="font-size:22px;">廠商投標要提供ISMS第三方證明，簽契約要繳交資安協議書</span></strong></p> <p>再來進入第2階段的廠商投標。這時，醫院要審核廠商的資訊安全管理系統（ISMS）第三方證明，以及資安教育證明，來確保品質。</p> <p>而第3階段的契約簽署，有賴醫院提供院方資安規範文件，廠商也須簽署資安協議書和切結書，包括「委外廠商執行人員保密切結書」和「個人保密切結書」。在個人保密切結書中更要規定，廠商若有人員異動，必須馬上通知醫院，來降低權限外洩的風險。</p> <p>在資安協議書方面，許世欣以北市聯醫的範本來說明，協議書分為IT和醫療儀器（OT）2種，每種都有42條選項。這些選項涵蓋人力資源管理措施和存取控制權要求，每一項還要區分醫院和廠商雙方對該項的同意權。要是廠商意願與醫院不同，可在空白欄說明。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8D%94%E8%AD%B0%E6%9B%B8.jpeg" /></p> <p>依資安法規定，雙方在這個階段還需遵守「限制危害國家資通安全產品」，也就是避免使用特定生產者的產品。「這個規定有3大重點，」許世欣點出，第一是無特殊原因不得採購，第二是不得已採購時，需提供事理並由主管機關審核，最後是採用後，不得與公務網路環境介接。</p> <p><strong><span style="font-size:22px;">設計開發要注重VPN權限、連線設備掃毒，測試需做好弱掃</span></strong></p> <p>接下來進入第4階段的設計與開發階段，這時，依最初的系統防護等級分類和對應的防護措施，廠商應依此繳交「SSDLC採取措施及驗證查核表」，來說明系統設計作法。</p> <p>許世欣也根據這些規範，設計一套SSDLC查核Excel表（如下圖）。表中列出帳號管理的所有措施，再按等級以不同顏色來標註這些措施，如綠色為普、藍色為中、紅色為高，如果系統屬於高級，要必須做到3綠色、藍、紅所標註的措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9F%A5%E6%A0%B8.jpeg" /></p> <p>此外，在系統設計開發階段，醫院也得注意委外廠商的行動裝置和遠距工作，特別是VPN連線權限、隨身碟等裝置的掃毒等。他強調，由於許多攻擊事件都透過VPN引發，為降低風險，北市聯醫自今年7月起，要求廠商必須通過ISO 27001認證，或通過北市聯醫的查核標準，才能申請醫院VPN。甚至，「廠商人員異動也需立即通知醫院，如此才能掌握使用權限，」他提醒。</p> <p>同時，北市聯醫也針對IT和OT設計2套資安檢核表單，來確保廠商的管理作業，以及是否將開發、測試和運作環境區隔開來。在這個階段，要是廠商會用到非自行開發的系統，也需提交軟體授權證明。</p> <p>接下來，進入測試階段時，廠商得做好源碼檢測和弱點掃描。</p> <p><strong><span style="font-size:22px;">用SSDLC表來驗收，系統上線前應繳交緊急應變計畫</span></strong></p> <p>完成測試後，就進入第6階段的驗收。許世欣會用第4階段完成的SSDLC查核表，來核對廠商開發的系統是否符合。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ssdlc.jpeg" /></p> <p>不過，這份SSDLC表格多半適用於軟體。為顧及後來納入資安法管轄的OT，許世欣還另外設計一套資安封面查核表和醫療儀器管理系統，來整合不同廠商的OT資安檢核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AE%A1%E7%90%86%E7%B3%BB%E7%B5%B1.jpeg" /></p> <p>他也提醒，在系統上線前，廠商需提交緊急應變計畫，內容包括預防作業、整備作業、依情境描述的應變作業，以及復原作業等4大要點。</p> <p>至於上線後的維運，還有4大資安要求，分別是事件通報、配合應變演練、配合事件調查報告，以及安全性檢測的修補。其中，事件調查報告部分要求廠商在事件發生的15天內，將報告提交給對口單位。</p> <p>在這個階段，因資安法要求醫院監督委外廠商，北市聯醫就挑選2家風險極高的廠商，再加上上級機關臺北市政府的查核項目表，來稽核廠商。這時，廠商需配合準備受稽核文件，並針對缺失來改善。</p> <p>最後，在契約終止階段時，廠商需配合法規規定，來返還、移交文件，並將資料移除設備或報廢。比如，「將X光機等醫療儀器中的暫存資料抹除，如此才算完成，」許世欣說。如此一來，就完成委外服務8階段的資安查核了。</p> </div></div></div>
2021/5/21 00:38作者王若樸https://www.ithome.com.tw/news/144535
Martech月報第5期：Google即將公布新一代隱私安全作法，要靠ML在Cookieless時代維持廣告成效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0416~0520)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方cookie </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google預告月底發布多項隱私安全更新，以因應第三方Cookies消失的廣告需求</strong></span></strong></p> <p>Google在月底（5/27）將舉辦<a href="https://adsonair.withgoogle.com/events/google-marketing-live-2021?utm_medium=referral&utm_source=keyword&utm_campaign=20210513US" target="_blank">Google線上行銷大會</a>，焦點是當前討論度極高的隱私安全技術。Google也預告了幾項作法，其一，去年發布了用戶Cookies廣告同意模式功能（<a href="https://blog.google/products/marketingplatform/360/measure-conversions-while-respecting-user-consent-choices/" target="_blank">Consent Mode</a>），會排除拒絕者的Cookies作為廣告用途；但現在，Google要在同意模式中增加轉化建模功能（conversion modeling），將透過確保隱私的方法來來衡量廣告投放效果，Google指出，這項功能可以恢復用戶不接受Cookies而失去的廣告點擊轉化（ad-click-to-conversion），達到平均70％以上。</p> <p>其二，是去年新版Google Analytics中，增加了ML技術來分析行銷洞察，比如顯示顧客購買的可能性、行銷活動表現的重大改變等。今年，Google則會增加進階ML模型到行為分析報告中，比如在因為Cookies不能使用，而無法取得新行銷活動的完整獲客報告時，將可以透過模型分析來消弭與現實獲客情形的差距，讓廣告主仍可了解顧客在跨裝置、跨網站的消費旅程洞察，來改善行銷。（<a href="https://blog.google/products/ads-commerce/future-proof-measurement-privacy-safe-solutions" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 連鎖超市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI應用 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">零售業如何應用AI？美國與英國最大兩家連鎖超市現身說法</span></strong></p> <p>美國最大連鎖超市Kroger首席研發工程師Victoria Uti，與英國最大連鎖超市Tesco首席資料科學家Robert Armstrong，日前在一場活動中分享兩大超市的AI應用。</p> <p>Victoria首先指出，Kroger用AI來精簡員工與顧客體驗，其中兩大重要應用，一是價格最佳化，透過衡量供給與需求，並分析促銷活動和銷售量，針對即時市場變化來訂定企業與顧客雙方都能接受的價格，達成價格最佳化。二是透過各類推薦機制，來節省顧客尋找商品的時間，同時提升他們的購物體驗，比如當顧客進入Kroger.com的官網，會看到頁面輪播的商品項目，Kroger會根據會員資料的消費記錄，自動將顧客慣例購買、正在促銷商品、最近購買商品品項陳列其中，發送個人化折價券，在顧客離開頁面之前，更會主動推播是否有忘記購買的商品。</p> <p>Kroger也用AI，將許多耗費人力的零售作業流程最佳化。一是將物品分類與上架，「每一個物件在分類時，都經歷非常複雜且重複的過程，」為了加快上架時間，Kroger在作業流程中加入多種AI，重複辨識商品名稱、營養標示、成分，自動將商品加入不同的分類。二則是透過對話式AI技術開發Chatbot，當顧客打電話到客服中心，Chatbot就能主動招呼並處理一般性問題，針對COVID-19疫情，還能以Chatbot結合顧客資訊，比如透過年齡、所在地區等條件，來指引顧客至合適的藥局，來施打疫苗。</p> <p>Robert則說明，Tesco在供應鏈管理與智慧商店如何應用AI。他首先提到，成功的零售業者要能預測需求，若能更全面、精確的找出細節，進而了解什麼事情即將發生，企業就能在第一時間快速反應，來排序、分配最需要被執行的任務，「在這個情境下，我們正在檢視AI的可能性。」為此，Tesco近期釋出了一個ML-based的新模型，能夠同時關注超過3,000家商店、超過3,000萬種商品，預測未來21天的供應情形，當發現顧客行為改變時，快速反應來調整庫存，提前預測顧客需求。</p> <p>在智慧商店方面，Robert指出，簡化商店內的例行任務或流程，是AI應用的一大機會，Tesco主要用AI來支持兩大任務，一是確保商店內人員的安全，用感應器偵測店內是否有溼滑危險之處，提醒店員應該清理；同時，在結帳時協助掃瞄辨識商品，加快結帳速度來提升顧客消費體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-20%20%E4%B8%8A%E5%8D%8811_51_50.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漸強實驗室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Treasure Data </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line官方帳號技術供應商與全球CDP廠商聯手，將Line官方帳號數據納入企業行銷分析一環</span></strong></p> <p>臺灣行銷科技新創漸強實驗室與全球CDP供應商Treasure Data簽訂合作，將漸強實驗室MAAC後臺（Messaging Analytics & Automation Cloud）與Treasure Data CDP（Customer Data Platform），可透過API串接拋轉Line數據資料來進行分析應用。同時購買雙方產品的企業，可以在CDP後臺將Line資料匯入，進行分析後，再匯出到漸強實驗室，透過分析結果來進一步用於行銷推播，將Line數據納入企業行銷分析的一環。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Martech之父 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行銷工具管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用框架 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Martech之父提出行銷工具應用框架，依據整合目的分為四大類供企業參考</span></strong></p> <p>Martech之父Scott Brinker近期在自己的部落格中指出，隨著Martech相關的應用程式越來越多，企業也採用了更多應用程式，來整合內部不同的行銷或工作流程，若進一步細分，根據這些應用程式整合的目的，又可以分為4個層次，分別是資料整合、工作流整合、UI/UX整合、治理面的整合等，他也用這4面向建立一個行銷科技應用框架，歸納市面上的應用程式，供企業參考。</p> <p>首先是虛擬資料層，是指將不同應用程式的資料統整到一起，這也是最常見的整合方式，比如市面上常見的資料倉儲、資料湖相關工具，或是MDM、CDP、DAM等數據管理平臺，又或是Google Sheets等共享表單，都屬於這個類別；第二是虛擬工作流層，指的是將橫跨各種App之間的工作流自動化的工具，包括市面上的iPaaS（Integration Platform as a Service）、工作流自動化、BPM服務，或是資料流（Data Pipeline）、ETL自動化、RPA工具等。</p> <p>第三是虛擬UI/UX層，指的是在一個App的使用者介面嵌入另一個App的元素，包括共享的協作工具（如Slack、微軟Teams）、共享的資料分析工具、CRM等特定領域平臺等；最後是虛擬治理層，指的是在應用程式生態系中，建立和執行相關規則或標準，包含SaaS管理平臺、隱私和資料治理工具、身份驗證管理工具等。（<a href="https://chiefmartec.com/2021/05/entire-martech-stack-really-one-big-virtual-platform/" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/virtual-platform-layer-examples.png" style="width: 1600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> App追蹤透明化政策 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iOS 14.5 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果正式上路新增App追蹤透明化政策的iOS 14.5，經調查只有13%用戶同意被追蹤</span></strong></p> <p>蘋果於4月26日<a href="https://www.ithome.com.tw/news/144059" target="_blank">釋出了iOS 14.5</a>，終於採用了可強化使用者隱私的App追蹤透明化（App Tracking Transparency）政策，這項政策原本要隨著去年秋天問世的iOS 14一起出爐，但為了讓開發者有更多的因應時間，才延至iOS 14.5。在啟用這項新政策之後，任何企圖要追蹤使用者的App都必須先取得使用者的許可，不管是要跨App追蹤、跨網站追蹤，或是分享追蹤資料予第三方，都要先徵求用戶同意；同時蘋果也規定，倘若使用者拒絕程式的追蹤，開發者仍應提供一致的程式功能。</p> <p>對此，行動程式分析業者Flurry於iOS 14.5問世的第一天就開始紀錄同意追蹤的用戶比例，顯示截至5月7日，只有13%的App用戶同意被追蹤，相較於過去全面遭到追蹤的100%，可說是天壤之別。蘋果實施追蹤透明化政策之前，絕大多數的程式都是默默地追蹤使用者行為，用來散布目標式廣告，不過現在，除非先取得用戶同意，否則便會因違反蘋果政策而被警告與下架。（<a href="https://www.ithome.com.tw/news/144277" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0510-app_track_ios_apple.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Play </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全項目 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">繼蘋果App Store隱私標籤政策之後，Google Play新App政策將強制加入隱私資安章節</span></strong></p> <p>Google本月宣布，Google Play上的App將具備安全章節（Safety Section），以供開發者描述App的隱私聲明與其它安全功能，正式的政策將會在今年第三季出爐，第四季就可於App中嵌入，明年第二季將會強制實施，屆時Google Play上所有的App，包括Google自家的App在內，都必須在安全章節中說明安全及隱私的資訊。這個安全章節的功用，與蘋果App Store去年12月實施的隱私標籤如出一轍，都是為了讓使用者了解App所蒐集的個資與用途。</p> <p>Google要求，開發者必須於安全章節中分享App所蒐集與儲存的資料，像是精確位置、通訊錄、個人資訊、照片/影片或聲音檔案等，也必須說明相關資料的用途，例如是為了滿足App功能或執行個人化服務等。同時，Google也會在安全章節中提供開發者可自行決定是否添增的選項，例如是否加密資料、是否遵循家庭政策、是否需要某些資料才能運作，App的安全項目是否經過獨立的第三方驗證，以及是否提供資料刪除能力等。（<a href="https://www.ithome.com.tw/news/144245" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI客服中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時對話建議 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google推出AI客服中心新功能，提供前臺即時對話建議來提昇顧客體驗</span></strong></p> <p>Google近期宣布AI客服中心（Contact Center AI，CCAI）新功能，推出Agent Assist for Chat服務預覽版。Agent Assist for Chat可在客服人員和客戶通話或線上通訊時提供支援，具體功能方面，包含二個主要元件：一是智慧回覆（Smart Reply），可提供對話建議，幫助客服人員更快、更適切和客戶對話，它的建議資料庫不只能集結頂尖客服的回答，也能針對公司品牌風格修改預設題庫，底層的AI模型也會不斷吸收企業資料來重新訓練，發展出更精準的建議內容；其次是知識輔助（Knowledge Assist），可同時搜尋多個應用和資料庫，以便在客服人員講電話時，即時提供對的文件或FAQ建議，縮短客服電話所需時間。（<a href="https://www.ithome.com.tw/news/144223">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TikTok </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告在地化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業行銷平臺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">TikTok也能成為中小企業的行銷平臺！繼推出企業解決方案滿一年，今年更推新工具將廣告在地化</span></strong></p> <p>TikTok在本月發起為中小企業慶祝的活動，起因是去年五月時，發佈了TikTok For Business平臺，為品牌或廠商提供工具，使其能以TikTok作為行銷管道，來與TikTok社群互動。TikTok指出，過去一年來，許多中小企業因TikTok For Business而受益，尤其減輕了疫情對於中小企業的衝擊，因而發起為期一個月的慶祝活動。同時，TikTok也宣布與全球市場研調公司Nielsen合作發佈新廣告工具，讓企業主能針對指定市場區域（Designated Market Areas），將廣告在地化，來觸及真正重要的消費群體。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://newsroom.tiktok.com/en-us/celebrating-small-businesses" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Wordpress認為FLoC追蹤機制可能助長歧視，提案從核心預設停用（<a href="https://www.ithome.com.tw/news/143922" target="_blank">詳全文</a>）</strong></p> <p><strong>2.WhatsApp本周即將啟用新用戶條款（<a href="https://www.ithome.com.tw/news/144333" target="_blank">詳全文</a>）</strong></p> <p><strong>3.微軟將完全在歐盟境內處理和儲存歐盟客戶的資料（<a href="https://www.ithome.com.tw/news/144244" target="_blank">詳全文</a>）</strong></p> <p><p></p></p> <p><p></p></p> <p><p></p></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／GTC、Scott Brinker、蘋果</p> <p>資料來源：iThome整理，2021年5月</p> </div></div></div>
2021/5/21 09:59作者翁芊儒https://www.ithome.com.tw/news/144514
Android的5月安全更新已有4個漏洞遭到開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於月初公布了5月的Android安全性公告，修補約50個安全漏洞，不過，本周Google Project Zero的安全研究人員<a href="https://twitter.com/maddiestone/status/1395004346996248586" target="_blank">Maddie Stone</a>周三（5/19）透過Twitter表示，Google已更新了該公告，註明有4個漏洞已經遭到開採，相關漏洞皆存在於GPU中，包含兩個源自高通GPU的CVE-2021-1905與CVE-2021-1906，另外兩個則是Arm Mali GPU中的CVE-2021-28663與CVE-2021-28664。</p> <p class="rtecenter"><a href="https://twitter.com/maddiestone/status/1395004346996248586" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Maddie%20Stone.jpg" style="width: 500px;" /></a></p> <p>Stone直接說這4個漏洞已經被開採，<a href="https://source.android.com/security/bulletin/2021-05-01" target="_blank">更新的Android公告</a>則相對保守，表示相關漏洞可能已受到有限的目標式攻擊。</p> <p><a href="https://www.qualcomm.com/company/product-security/bulletins/may-2021-bulletin" target="_blank">根據高通的說明</a>，CVE-2021-1905屬於釋放後使用漏洞，肇因於無法妥善處理多程序記憶體映射；CVE-2021-1906則是在繪圖未動作時偵測到錯誤狀況，是因無法處理註銷地址的錯誤，而造成新GPU位置分配的失敗。</p> <p><a href="https://developer.arm.com/support/arm-security-updates/mali-gpu-kernel-driver" target="_blank">Arm則說</a>，CVE-2021-28663漏洞出現在其核心驅動程式允許於GPU記憶體的不當操作，未獲特權的使用者可因此而進入釋放後使用場景，進而取得最高權限，或造成資訊揭露。CVE-2021-28664則可把CPU唯讀頁面變成可寫入，允許未獲特權的用戶寫入唯讀記憶體，並取得最高權限、破壞記憶體或是竄改其它程序的記憶體。</p> <p>不管是Google、高通或Arm，皆未公布相關漏洞的開採場景或駭客的開採目的。</p> </div></div></div>
2021/5/21 10:15作者陳曉莉https://www.ithome.com.tw/news/144536
Flutter 2.2加入支付擴充套件強化App行動支付功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在開發者大會Google I/O發布了最新版<a href="https://medium.com/flutter/announcing-flutter-2-2-at-google-i-o-2021-92f0fcbd7ef9">Flutter 2.2</a>，這是一個跨平臺的開源工具包，用戶可以使用Flutter簡單地開發多種平臺的應用程式。Flutter 2.2帶來許多重要更新，包括透過改進App內購買、支付和廣告等功能，使得Flutter應用程式更容易獲利，而且Flutter 2.2也能夠簡單地連接雲端服務和API，以擴展應用程式功能，另外，Flutter 2.2還提供新的工具和語言功能，減少開發程式錯誤，在提高應用程式效能的同時，減少程式套件大小。</p> <p>Flutter 2.2建立在Flutter 2基礎之上，而Flutter 2則是一個重要的里程碑，使得Flutter應用程式得以跨出行動裝置，在網頁、桌面和嵌入裝置上運作。官方提到，最新的Flutter 2.2更新重點，擺在改進開發體驗，讓開發者能夠提供更可靠且高效能的應用程式。</p> <p>現在Flutter 2.2新專案預設空值安全，針對空值引用例外提供額外的保護，同時也給開發人員在程式碼中，表達非空值類型的方法，而且得利於Dart語言的優點，編譯器現在可以不用在執行時檢查空值，所以也就得以提高應用程式效能。Flutter生態系快速跟上這項更新，目前已經有超過約5,000個套件支援空值安全。</p> <p>這個版本的重要功能改進，還有網頁應用程式也能使用服務工作程式（Service Workers），在後臺進行快取。而在Android應用程式，Flutter則開始支援推延元件（Deferred Component），也就是說開發者所建置的應用程式，能夠在執行時，才下載額外的Dart程式碼和資源，僅在需要的時候才載入這些功能，如此便可大幅減少安裝Apk的大小。</p> <p>而Flutter 2.2針對iOS的更新，則是提供預編譯著色器，這將能解決iOS裝置在第一次執行Flutter應用程式時，所出現的動畫效果降級（Janky）的問題。另外，官方也在DevTools套件中，加入許多新功能，讓開發人員可以掌握應用程式的記憶體分配方式，並提供對第三方工具的支援。</p> <p>Flutter 2.2的新功能更新，官方在這個版本更新的廣告SDK，這個SDK具有空值安全性，並且能夠自動適應橫幅格式。而Flutter 2.2新加入的支付擴充套件，這個套件是與Google Pay團隊合作開發，可以讓終端使用者在iOS和Android上購買實體物品並付款，同時官方也更新App內購買功能，讓終端使用者可以更方便地在應用程式中購買和訂閱商品。</p> <p>Flutter受到廣泛採用，除了Toyota早前宣布在車輛資訊娛樂系統使用Flutter之外，Canonical也在Ubuntu整合Flutter，並且提供Wayland支援。Google也提到，三星和Sony也正將Flutter整合到自家生態系中。Adobe還也發布XD to Flutter套件，讓Adobe XD設計人員以更快的迭代方式工作，而微軟也持續與Flutter團隊合作，除了開發者能以Flutter在可摺疊裝置上建構應用程式外，微軟也已在Windows 10上的UWP應用程式提供Flutter支援。</p> </div></div></div>
2021/5/21 10:21作者李建興https://www.ithome.com.tw/news/144525
推特分析自家圖片剪裁演算法確實存在偏差
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用戶在去年9月的時候，抗議推特的圖片縮圖剪裁演算法存在偏差，由於當時正是BLM（Black Lives Matter，黑人的命也是命）運動熱烈進行之時，這個<a href="https://www.ithome.com.tw/news/140121" target="_blank">事件在當時引起軒然大波</a>，官方也立即跳出來回應用戶，承諾他們會進一步研究，並且將研究發現開源。</p> <p>而現在<a href="https://blog.twitter.com/engineering/en_us/topics/insights/2021/sharing-learnings-about-our-image-cropping-algorithm.html" target="_blank">推特的研究結果出爐</a>，證明自家圖片剪裁演算法的確存在部分偏差，而官方表示將會停止自動剪裁圖片，透過完整顯示標準長寬比的圖片消除偏差問題，並讓用戶在編輯推文時，就可以預覽圖片呈現方式。</p> <p>推特從2018年的時候就開始使用突出顯示演算法剪裁圖片，這樣做的目的是要讓時間軸中的照片大小一致，並且讓用戶能夠一次看到更多的推文。這個演算法的想法，是預測使用者希望第一眼觀看到的圖片部分，並且將圖片剪裁成易於查看的大小。</p> <p>推特透過模仿人眼觀看圖片的方法，來訓練這個突出顯示模型，藉由人眼追蹤資料來訓練模型，教模型學習大多數人們認為重要的事物，使得該模型可以預測圖像中每一個區域的分數，並把得分數最高的地方當做剪裁的中心。</p> <p class="rtecenter"><img alt="" src="https://cdn.cms-twdigitalassets.com/content/dam/blog-twitter/engineering/en_us/insights/2021/imagecropping/newimagecropanimations.gif" style="width: 512px;" /></p> <p>使用者指出剪裁模型可能存在三項缺點，第一項，模型在剪裁圖像時，傾向選擇白人而非黑人，並且圖片中傾向選擇女性而非男性，第二項，用戶反應模型存在男性凝視，也就是圖像剪裁會傾向從男異性戀者的角度來選擇圖片剪裁特徵，像是模型可能選擇女性的胸部或是腿部作為突出的特徵。第三項缺點，則是演算法決策讓用戶無法選擇圖片的呈現方式，因此傷害了呈現自由。</p> <p>推特研究人員針對突出顯示演算法，進行性別與種族偏見實驗，的確發現了模型存在一些問題，在比較男性和女性時，模型偏好女性的機率高出8％，黑人與白人相比時白人高出4％，黑人女性和白人女性相比時，模型偏好白人女性機率高出7％，而黑人男性與白人男性相比，白人男性則多出2％。</p> <p>研究人員也針對模型可能存在的男性凝視進行研究，但是沒有找到任何客觀證據，官方提到，演算法絕大多數都是以男性和女性的臉部作為剪裁目標，但是約每100張圖片，會有3張剪裁區域在頭部範圍之外，但是當圖像剪裁非人物頭部時，通常是為了剪裁非身體的部分，像是運動服上的數字。</p> <p>而研究人員提到，即便對凸顯演算法進行調整，使模型在性別和種族完全平等，但仍然損害了使用者按自己意願呈現內容的自由，更遑論凸顯演算法還可能存在其他潛在危害，包括對文化細微差異不敏感等問題。</p> <p>現在推特更新圖片剪裁方法，以降低對機器學習的依賴，推特表示，並非所有平臺上的內容都適合使用演算法，剪裁圖像最好的方式就是讓使用者自己決定。推特從3月開始，就在iOS和Android上測試能夠完整顯示標準長寬比照片的新方法，這樣便無需使用演算法剪裁圖片，也能讓用戶更好地控制圖像外觀，而更新也包括使用者在推文編輯區域的預覽，推文作者將可以清楚知道推文發布的外觀。</p> </div></div></div>
2021/5/21 10:24作者李建興https://www.ithome.com.tw/news/144526
衛福部視訊診療再鬆綁！特定慢性病患者還能電話診療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在疫情嚴峻期間，需定期回診的慢性病人不必擔心踏進醫院了！衛福部健保署今日宣布，推動全國視訊診療指定院所開設「視訊診療門診」，要讓慢性病患者透過視訊看診。同時，健保署也開放「電話問診」，要讓經醫師評估病情穩定的複診慢性病患，也能透過電話看診，減少外出的染疫風險。</p> <p>健保署表示，慢性病患者和長者是COVID-19感染重症的高風險族群，應減少出門。但這些族群為領取第2、3次慢性用藥，必須前往醫院或藥局等公共場所，就會增加暴露風險。</p> <p>為降低這個風險，健保署宣布，持慢性病連續處方箋的病人，可在住家附近或習慣就醫的醫療院所，利用「視訊診療門診」來預約看診、拿取慢性病連續處方箋。而經醫師評估病情穩定的複診病人，也可採用電話問診。健保署指出，這項措施自即日起至5月28日止。</p> <p><strong><span style="font-size:22px;">視訊看診5步驟完成</span></strong></p> <p>在操作上，可分為5個步驟。首先，有就醫需求的民眾可先從健保署<a href="https://www.nhi.gov.tw/Content_List.aspx?n=1482911120B73697&topn=787128DAD5F71B1A">官網</a>中，查詢住家附近是否有「視訊診療指定院所」，接著透過電話向院所預約看診時間，並約定看診共同使用的視訊App。</p> <p>再來，第3步就是與院所聯繫、進行視訊診療。診療完成後，可由家屬攜帶健保卡，至看診院所特定窗口（如得來速窗口）過卡、繳費、領藥，並領取第2、3次慢性病連續處方箋，或經醫療院所同意後，由藥師送藥到府。</p> <p>最後，後續慢性病連續處方箋第2、3次領藥時，家屬或代理人可持健保卡和處方箋，自行選擇到原看診院所或社區藥局領藥即可。</p> <p>與此同時，健保署也開放雲端醫療資訊系統的「因應天災及緊急醫療查詢作業」，來讓醫師查詢民眾的就醫資訊，來評估視訊診療病人的餘藥量，以及病情是否穩定。如果是複診病人，醫師可採電話問診並錄音，來開立慢性病連續處方箋。健保署也提供<a href="https://www.youtube.com/watch?v=ELFBvuCQyLo&ab_channel=%E5%81%A5%E4%BF%9D%E7%BD%B2%E5%8D%97%E5%8D%80%E6%A5%AD%E5%8B%99%E7%B5%84">影片教學</a>，供民眾和醫師參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%871.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%872.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%873.jpeg" /></p> <p> </p> <p> </p> </div></div></div>
2021/5/20 21:11作者王若樸https://www.ithome.com.tw/news/144527
為了證明握有App Store控制權是重要的，蘋果不惜出賣Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遊戲業者Epic Games控告蘋果的App Store壟斷市場，危及市場競爭，並建議蘋果其實只要在iPhone上沿用Mac的程式安裝政策即可，結果負責軟體工程的蘋果副總裁Craig Federighi在證人席上表示，蘋果成功地建立了更安全的iPhone環境，這一年來只有3款惡意程式感染了iPhone，Mac上卻有130款，Mac的惡意程式數量令人難以接受。</p> <p>蘋果對iPhone與Mac有不同的程式安裝政策，iPhone用戶只能透過App Store安裝程式，也只能採用蘋果的支付機制購買程式或服務，但Mac用戶卻可自外部下載或購買各種程式，在《要塞英雄》（Fortnite）遊戲程式中嵌入自家支付機制而被蘋果下架的Epic Games，因而控告蘋果濫用其市場地位，危害市場競爭。</p> <p>Epic Games企圖迫使蘋果放寬對App Store的限制，而蘋果則不斷強調對App Store的控制是為了保障用戶的安全，還不惜出賣Mac。</p> <p>根據<a href="https://www.cnet.com/news/apple-cites-significant-malware-on-mac-while-defending-ios-app-store-in-fortnite-trial/" target="_blank">CNet</a>的報導，Federighi宣稱這一年來Mac上就出現了130款惡意程式，其中有一款感染了逾30萬台Mac電腦。Federighi說，Mac雖然仍比PC安全，但其安全性仍遠不如iPhone、iPad及其它蘋果裝置，Mac上的惡意程式狀況是蘋果無法接受的。</p> <p><a href="https://www.theverge.com/2021/5/19/22444353/mac-malware-not-acceptable-craig-federighi-apple-epic" target="_blank">The Verge</a>則報導，Federighi認為如果要把Mac的安全機制延伸到iOS生態體系上，那麼整體情況將比現在的Mac更惡劣，這是因為Mac用戶所下載的程式數量不如iOS用戶，假使iOS也採用了與Mac一致的程式安全政策，可能會出現不可收拾的後果。</p> </div></div></div>
2021/5/20 17:33作者陳曉莉https://www.ithome.com.tw/news/144524
【臺灣資安大會直擊】面對層出不窮的勒索軟體攻擊，臺灣也有高科技半導體公司導入NIST CSF框架，從建立韌性的資安體質…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年來，臺灣在內等全球勒索軟體攻擊事件頻傳，特別是鎖定高科技製造業為主的勒索軟體攻擊，這也帶來了新的資安挑戰。在資安威脅持續升高的局勢下，高科技公司內部資安控管該如何做才夠安全，能夠抵抗這類難纏病毒攻擊的威脅，這也成了許多公司資安長或CIO的當務之急，列為優先想要解決的問題。</p> <p>如果從風險管理角度來看，韋萊韜悅臺灣分公司企業風險與保險經紀資深協理吳明璋就表示，面對駭客威脅無所不再，企業除了持續提高資安防護與應變反應能力之外，在資安標準採用上也須與時俱進，除了大家熟知的ISO 27001，他認為企業更可從導入當紅的CSF網路安全框架（Cybersecurity Framework）開始做起，逐步建立並強化自身的數位韌性體質，來因應後疫資安新常態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_065942913.jpg" style="width: 600px; height: 378px;" /></p> <p>CSF框架是什麼？它其實是由美國國家標準技術研究所（NIST）幾年前所提出的一個網路安全框架，最早是在美國聯邦政府各部門實施，但因為主打容易上手，且又不像ISO 27001標準，得經過第三方驗證，企業單靠自己就能執行CSF框架，因此不只美國政府，就連企業也大力採用，將它做為資安風險管理標準與指引的參考，而且不只美國，連歐亞各國都有政府機關或大型企業都先後引進，甚至連中小企業都能用。</p> <p>目前導入NIST CSF的大型企業也不少，代表性的企業包括有英特爾、波音公司、微軟、AWS，以及HP等。</p> <p>隨著NIST CSF在國外越來越火紅，如今這股風潮也開始吹到臺灣。像是國內封測大廠日月光投控，就藉由導入NIST CSF作為資安成熟度評估機制，來推動公司全面的網路安全規畫，並持續改善精進。不只封測大廠，近來也有國內面板廠有意導入，通過該框架，來評估其供應鏈好壞，而且不只半導體業，從企業官網或年報上揭露來看，也有一些企業目前正在推動，或是開始規畫，未來有意導入，包括了華碩、中華電信、台達化學工業，涵蓋電腦製造業、電信業、化工產業等。</p> <p>從整個框架來看，CSF框架涵蓋了資安的五大面向，包括識別、保護、偵測、回應與復原，企業可以通過該框架，來建立資安風險管理的生命周期，並透過對於關鍵服務的衝擊影響，採用不同風險處置的方式，如減損、移轉、規避與接受等，同時根據風險容忍度，作為資源投入優先順序的參考。</p> <p>針對NIST CSF框架的描述，吳明璋自己形容更貼切：「CSF框架就好比是中醫，從望聞問切做起，找出病患更深層病根再加以治本，相較之下，ISO 27001標準則比較像西藥，以目標導向的模式，針對症狀改善。」</p> <p>他認為，CSF框架對臺灣企業將帶來衝擊和新機會，一來是開始有國外企業強調CSF管理框架重要性，甚至把它變成合約條款，要求合作供應商配合，否則之後可能就拿不到訂單。二來，在全球朝向可信賴的供應鏈的發展趨勢下，未來對資安的要求會不段增加，因此，這樣一個新資安框架的採用，也變得越來越重要，甚至有些超前部署的領先企業，還將它當作競爭力的展現，能夠讓自家產品或公司更具國際競爭力。</p> <p>從資安產業角度來看，吳明璋自己也相當看好NIST CSF將帶來新的機會，除了讓資安業者能將自己資安產品或解決方案，與CSF框架做對照，方便企業來選用，從整體臺灣資安產業發展，他也認為，通過CSF框架將有機會能夠串連整個資安產業服務鏈，他也說，現在產業正慢慢往這個趨勢靠攏，舉例來說，紅隊演練使用的MITRE 的ATT&CK資安攻防框架，就開始對應到CSF管理框架等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_084834326.jpg" style="width: 600px; height: 373px;" /></p> <p>CSF框架的出現，甚至也影響到後來其他產業資安標準的建立，像是由台積電在2018年主推的半導體資安標準草案SEMI Doc 6506 ，就有納入CSF框架的精神，可以對應到其定義的保護和檢測兩大資安面向，例如傳統老舊機臺汰換或定期更新就是屬於保護面向。日誌記錄的管理與追蹤則是檢測面向。除了參考CSF框架，Doc 6506本身還參考其它新的國際資安標準，如工控資安管理標準IEC 62443 CIS Controls框架等。</p> <p>他也補充提到，目前該草案新進展，在歷經兩年多，來回提交修改，累計回覆多達上百個問題後，最新修正版本於5月中已經向國際SEMI協會提交，預計6月投票，他說，未來如果這個版本通過，成為正式標準後，企業就可依新標準在採購合約上納入資安要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210505_070546079.jpg" style="width: 600px; height: 346px;" /></p> <p>儘管，NIST CSF框架有諸多好處，但企業實施遭遇到的阻力也不少。吳明璋根據實務經驗提出新標準實施的3個挑戰，首先是以取得證書為目的。他表示，目前國內業者心態，還是為證書導入居多，這也影響到企業對於CSF框架導入的意願，因為，CSF框架雖然可以透過第三方報告或稽核，但目前並沒有國際認證組織核發的證書，因此，倘若在法規沒強制、客戶沒有要求，亦無管理需求等急迫情況下，企業推動的步伐緩慢，或是就算實施，也不是全面推行，只有在少數部門實施，如IT或資安部門等。</p> <p>IT重硬體不重軟體則是第二個挑戰。他表示，CSF框架或新的資安標準，不只硬體，也開始強調軟體開發流程需要納入資安考量，但對於長期IT委外的企業來說，也是一大挑戰。甚至一些關鍵性設備，都掌握在其他設備廠商手上，一旦發生資安問題，廠商未釋出更新之前，只能被動等待更新。這是第三個挑戰。除此之外，CSF框架實務執行上，也容易造成執行單位和稽核方的困擾，例如由於CSF框架本身不具強制性，企業可以從框架108項中擷取當中重點式的作法，再來調整，但這也會影響到稽核評量的方式，甚至即使是同一家公司不同單位或部門，對於框架的適用情況亦有所不同。</p> <p>另從資安成熟度評量工具來看，他也觀察到，新的NIST v1.1版本中改以分級（Tier）的方式，作為企業資安成熟度的評估機制，不再使用成熟度模型評分標準。不過，目前業界普遍將它視為一種資安成熟度評估工具。</p> <p>他也提到，國外企業目前導入CSF框架的觀念是，第一年是企業內部自己先導入，往後二、三年才逐漸擴大到上下游供應鏈，他說，這是一個長期發展的過程，而非是短期內為取得證書而做。</p> <p>對於臺灣該如何推動CSF框架，他認為，CSF框架在臺灣真正落地一大關鍵，在於中文化，他指出，不像ISO 27001有自己的中文版本，NIST CSF框架的內容至今目前還沒有中文版，僅有英文版，因此較不易企業使用。其次，不只企業採用，就連政府未來也可以在資安成熟度的評估機制上，將NIST CSF框架納入，作為未來評估資安成熟度的新作法。</p> </div></div></div>
2021/5/20 10:19作者余至浩https://www.ithome.com.tw/news/144512
Google：在2029年前製造出實用的量子電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在周二Google I/O開發者大會宣布<a href="https://www.ithome.com.tw/news/144489" target="_blank">Android 12</a>、合併三星Tizen的WearOS等產品之際，<a href="https://blog.google/technology/ai/unveiling-our-new-quantum-ai-campus/" target="_blank">也公布</a>將在2029年開發出有商用價值，可助節能減碳及精準醫療的量子電腦。</p> <p>Google於昨日展示位於加州聖塔芭芭拉市的新量子AI園區，內有Google第一座量子資料中心、量子硬體研究實驗室，以及量子處理器構建設施。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-google%20quantum-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google量子AI首席工程師Erik Lucero指出，為了打造效率更高的電池、製造肥料而不排碳、或是產生精準療法，必須要了解分子設計，這都需要量子運算能力支援模擬。</p> <p>以Google現有成果而言，<a href="https://www.ithome.com.tw/news/133790" target="_blank">2019年該公司宣布</a>54量子位元處理器Sycamore，它200秒內所執行的運算量，可抵得上全球最快超級電腦執行1萬年，雖然IBM後來反駁，以其超級電腦只要2.5天就趕上Sycamore。Lucero指出，相較於現有量子運算系統規不超過100物理量子位元，目前Google正在打造一台體積約為一個房間大小、經過糾錯（error-corrected），並且內有100萬物理量子位元同時運作的量子電腦。</p> <p>Google的目標並非短期能一蹴可幾。為此，Google在其量子AI園區中將打造全球第一顆量子電晶體（quantum transistor），以2顆經糾錯的邏輯量子位元（logical qubit）執行量子運算，並探究以數百到數千顆量子位元疊加成量子電腦，這就需要好幾年。Google的理想是透過量子糾錯技術，以1000物理量子位元編碼成1個可長久存在、幾近完美的邏輯量子位元。長期而言，Google估計要有1000邏輯量子位元，也就是100萬物理量子位元，才能執行解決複雜問題的運算需求。Lucero表示，Google計畫在10年內，也就是2029年之前達到目標。</p> <p>Google是眾多投入量子位元系統開發的大廠之一。<a href="https://www.ithome.com.tw/news/140037" target="_blank">IBM目標</a>是在2023年，打造出超過1,000量子位元，稱為IBM Quantum Condor的處理器，藍色巨人長期也規畫要打造100萬量子位元的系統。</p> </div></div></div>
2021/5/20 16:54作者林妍溱https://www.ithome.com.tw/news/144522
馬斯克、中國相繼出手，比特幣價格一周下滑30%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/144386" target="_blank">特斯拉</a>執行長馬斯克（Elon Musk）於13日宣布，暫停消費者以比特幣（Bitcoin）買車，且決定不再出售比特幣之後，中國三大金融機構在本周二（5/18）也<a href="https://wemp.app/posts/21845362-eac8-4f7b-ae8e-b27715ddee5e" target="_blank">發布公告</a>，禁止當地金融與支付機構參與加密貨幣交易，使得比特幣的價格從12日的5.5萬美元一路下滑至3.7萬美元，下滑幅度超過30%。</p> <p>中國互聯網金融協會、中國銀行業協會，以及中國支付清算協會，於18日發布了公告，指出最近加密貨幣的交易炒作活動有所反彈，嚴重侵害民眾的財產安全，擾亂經濟金融正常秩序，因而要求金融機構與支付機構不得進行與加密貨幣相關的業務，不管是加密貨幣的交易或清算，或者是以加密貨幣作為支付結算工具，都在禁止之列。</p> <p>這些金融機構強調，加密貨幣屬於虛擬商品，並非由貨幣當局所發行，不具有法償性與強制性等貨幣屬性，因此並非真正的貨幣，不能也不應作為貨幣在市場上流通或使用。</p> <p>其實中國從2017年便開始掃盪境內的加密貨幣行為，先<a href="https://www.ithome.com.tw/news/116642" target="_blank">禁止首次代幣發行</a>（Initial Coin Offering，ICO）活動，<a href="https://www.ithome.com.tw/news/125438" target="_blank">再關閉</a>與加密貨幣相關的微信公眾號，現在則進一步阻止境內的金融及支付機構參與加密貨幣交易。</p> <p>在馬斯克宣布因環保問題，而不再允許消費者以比特幣購車之後，比特幣的價格先從5.5萬美元下滑到17日的4.4萬美元，中國的公告再讓比特幣持續下滑至3.7萬美元。比特幣的最高價格紀錄，是在今年4月中旬創下的6.4萬美元。</p> </div></div></div>
2021/5/20 17:15作者陳曉莉https://www.ithome.com.tw/news/144523
單日新增286例本土案例，指揮中心召開全國防疫會議、各縣市將增設社區熱點快篩站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心宣布20日新增286例本土病例，為持續防堵疫情，桃園市將於明日啟用2個社區快篩站，日後再擴大為4個。指揮中心今日早上也召開第一次全國防疫會議，總結6大重點，如設置熱區採檢站、制定地方採檢後送流程、調度防疫物資、醫療資源整合等。同時，指揮中心也於今日下午3點開始發送警示簡訊，再次提醒曾至萬華熱區的民眾注意身體狀況。</p> <p>指揮中心指揮官陳時中表示，今日新增的本土案例中，以新北市157例居冠、臺北市87例其次，接著是桃園市17例、宜蘭縣8例、彰化縣6例、基隆市5例、高雄市和臺中市各2例，而新竹縣和雲林縣各1例。</p> <p>指揮中心醫療應變組副組長羅一鈞指出，由於確診縣市眾多，一些縣市計畫開設社區熱點篩檢站，包括桃園市將於明日啟動2處社區快篩站，日後會擴大為4處。而其他已設快篩站的縣市，包括臺北、新北和彰化，臺北是在萬華周邊開設5個社區篩檢站，新北則是4個，包括板橋、永和、土城和樂生等地，彰化則根據確診足跡熱點，在數個鄉鎮開設篩檢站，其他縣市則在討論中。</p> <p><strong><span style="font-size:22px;">全國防疫會議6大重點，各縣市將增設社區熱點快篩站</span></strong></p> <p>開設社區快篩站的計畫，其實來自今早指揮中心主持的全國防疫會議。今早8點，指揮中心副指揮官陳彥宗和衛福部常務次長石崇良主持這項會議，與會者為22縣市長官和衛生局局長。</p> <p>陳宗彥指出，這次會議凝聚中央、地方共識，總共有6點，首先是22縣市各自盤點確診者足跡熱區，並在熱區設置採檢站、提報指揮中心。再來，指揮中心將制定相關流程，讓地方政府可依此進行採檢、後送就醫、設置檢疫場所，同時，指揮中心也持續盤點個地方可用做防疫的空間。</p> <p>第三，指揮中心將全力協助各地方的防疫物資需求，包括消防局救護人員、環保局清消人員、防疫旅館人員所需的防疫物資，都可提報需求給指揮中心，中央會立即撥出。至於行政流程，後續補上即可。</p> <p>第四則是醫療資源整合，由衛福部負責全國盤點與分配事宜。再來，第五，中央已授權地方政府公布確診者足跡，同時，指揮中心也會整合確診者跨縣市的移動足跡，再交由地方政府參考。最後，地方政府需將COVID-19疫苗優先提供醫護人員施打，後續到貨部分，再依疫情風險評估調整公費對象。</p> <p><strong><span style="font-size:22px;">發送簡訊提醒曾至萬華熱區民眾</span></strong></p> <p>指揮中心發言人莊人祥也宣布，今日下午3點開始，針對4月20日至5月19日到過萬華熱區的民眾發送警示簡訊，提醒民眾若出現上呼吸道異常症狀，需儘速聯絡當地衛生局、就醫採檢。</p> <p>另一方面，莊人祥也說明簡訊實聯制原理，當使用者以疾管家和簡訊方式發送簡訊實聯制資料時，使用者的足跡資訊將同步儲存於5大電信公司。要是日後調查疑似感染足跡時，指揮中心可透過電信公司來調資料追溯。</p> <div id="gtx-trans" style="position: absolute; left: 234px; top: 58px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/5/20 15:25作者王若樸https://www.ithome.com.tw/news/144518
微軟2022年終止大部份Windows 10的IE支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過多年宣導，應該已經很少個人用戶還在用Internet Explorer（IE）了，<a href="https://blogs.windows.com/windowsexperience/2021/05/19/the-future-of-internet-explorer-on-windows-10-is-in-microsoft-edge/" target="_blank">微軟昨（19）日宣布</a>，除了少數用戶外，將在2022年終止大部份Windows平臺的IE 11支援，鼓勵用戶全面轉向Chromium-based Edge瀏覽器。</p> <p>去年起已啟動IE 11的退役計畫。<a href="https://www.ithome.com.tw/news/139451" target="_blank">微軟去年8月已經宣布</a>，Microsoft 365將在2021年8月17日終止支援IE 11，無法用它來存取雲端郵件和文件。而在最新計畫下，2022年6月15日起，IE 11將在大部份版本Windows 10上退役，且不再獲得支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-ie%2011%20eof.png" style="width: 600px;" /></p> <p>微軟呼籲Windows 10用戶全面改下載Chromium核心的Edge瀏覽器。微軟合作夥伴方案部門經理Sean Lyndersay指出，Edge更安全、效能更快、支援現代網頁標準，而且Edge內建IE模式，可和舊式應用程式及網站相容，在明年6月之後，企業和個人用戶仍然能持續以Edge瀏覽器，開啟舊式網頁和App。</p> <p>不過這項計畫並不影響有效的企業授權LTSC （Long Time Servicing Channel）用戶環境：包括Windows 10 LTSC、Windows 10 Server LTSC、Windows IoT LTSC版本的IE 11或是IE內的MSHTML （Trident）排版引擎。此外，Windows 10 Server SAC（semi-annual channel）、舊版Windows OS包括Windows 7延伸安全性更新（Extended Security Updates）、Windows 8.1也不受影響。</p> <p>此外，舊版的Edge（Edge Legacy）也已失去微軟的關愛眼神。<a href="https://www.windowscentral.com/everything-microsoft-removed-windows-10-may-2021-update" target="_blank">有媒體發現</a>，本周正式釋出的<a href="https://www.ithome.com.tw/news/144485" target="_blank">Windows 10 21H1更新</a>，已悄悄移除了舊版的Edge。</p> </div></div></div>
2021/5/20 16:06作者林妍溱https://www.ithome.com.tw/news/144521
Google有意復興RSS機制，於Android版Chrome上實驗追蹤功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2021/05/an-experiment-in-helping-users-and-web.html?m=1" target="_blank">Google Chromium團隊於本周宣布</a>，將利用開放的RSS網頁標準，於Android版的Chrome上實驗追蹤（Follow）功能，當使用者追蹤了內容網站之後，只要相關網站有所更新，那麼在Chrome上開啟新的分頁時，就會跳出這些網站的更新摘要。</p> <p>RSS的歷史頗為悠久，它在1999年就出現了，它的全名是RDF Site Summary，也有人稱它為Really Simple Syndication，是個內容訂閱機制，當網站支援RSS時，使用者就可透過RSS軟體訂閱，於軟體上檢視所有曾更新的訂閱內容摘要。不過，RSS似乎一直未能受到大眾採用而逐漸式微。</p> <p>Google Chrome產品經理Janice Wong表示，人們透過郵件討論群（Mail List）、通知及RSS等不同的方式來接收網站的更新，使得Google想要利用Chrome來簡化它們，未來幾周美國的Android用戶就可在Chrome Canary上看到實驗性的追蹤（Follow）功能，以協助使用者取得所追蹤網站的最新內容，不管是大型的新聞出版社或是小型部落格。</p> <p>一但參與了此一測試，當使用者造訪特定網站時，可從Chrome的下拉式功能表按下追蹤，而當使用者開啟新的分頁時，會出現所追蹤網站的最新更新，意味著未來Chrome的新分頁，將會充滿使用者喜愛網站的更新摘要，包括標題、照片及更新時間等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chrome%20follow%20rss.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>此一功能奠基在開放的RSS網頁標準上，支援RSS的網站皆可參與該實驗，Wong說，他們希望可替出版商及使用者在Chrome上建立更深入的連結，也歡迎出版商、部落客、創作者或使用者提出各種意見。</p> </div></div></div>
2021/5/20 15:07作者陳曉莉https://www.ithome.com.tw/news/144517
AWS推出全新容器化服務的App Runner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS新推出的容器化服務<a href="https://aws.amazon.com/tw/blogs/aws/app-runner-from-code-to-scalable-secure-web-apps/">AWS App Runner</a>，讓用戶可以將任何語言撰寫的網頁應用程式和API，以簡單的方式部署到雲端中，官方提到，由於AWS App Runner使用起來非常簡單，即便缺乏管理容器和基礎設施經驗的團隊，也能透過連接程式碼儲存庫，由App Runner將應用程式打包成容器，部署到雲端。</p> <p>AWS表示，容器已經成為打包網頁應用程式的預設方法，但是即便提高了速度、生產力和一致性，但是容器開發工作流程仍然非常繁瑣。部署流程可能包含設定負載平衡器、網域、TLS，還要創建CI/CD工作管線，最後將應用程式部署到容器服務。</p> <p>雖然AWS Cloud Development Kit（CDK）提供了一套開放原始碼軟體開發框架，讓開發者可以使用熟悉的程式語言，定義雲端應用程式資源，而且CDK也提供高階元件，用戶可利用經驗證的預設值設定雲端資源。但官方提到，雖然CDK所提供的樣板專案，非常適用於部署大型應用程式，但是當開發者只是想要部署和縮放單個容器映像檔的時候，這些工作又顯得太過麻煩。</p> <p>AWS提供許多服務讓用戶細緻地控制容器化應用程式，但是官方表示，他們收到不少用戶要求，希望他們可以提供處理容器環境的配置和營運的服務。因此AWS開發了App Runner，用戶可以將服務指向應用程式的程式碼，或是容器儲存庫，App Runner就能夠自動執行並且縮放雲端應用程式，這個過程用戶不需要參與配置和管理基礎設施服務。</p> <p>值得注意的是，App Runner將容器執行個體的檔案系統為臨時儲存，檔案皆為暫時性的，像是用戶暫停並且恢復App Runner服務時，檔案不會持久存在，無狀態應用程式並不能保證，檔案在單一請求的處理中會持續存在。</p> <p>但是儲存的檔案確實會在生命周期間，占用App Runner服務的部分儲存分配，AWS表示，雖然無法保證臨時儲存的檔案，可以在請求中持久保存，但是在特定情況下，這些檔案的確會被持久儲存，像是在處理請求時，當將來的請求可能需要使用這些檔案，用戶則可以快取應用程式下載的檔案，而這將可以加快之後請求的處理速度。</p> <p>但官方又提到，用戶的程式碼設計，不應該假設當前請求的檔案仍然存在，而且為了確保快取，用戶應該使用高吞吐量且低延遲，像是Amazon ElastiCache等記憶體資料儲存。 </p> <p>AWS App Runner現在已經在美東、美西和歐洲上線，亞太則在東京地區提供，用戶可以將App Runner、AWS管理控制臺與AWS Copilot CLI一起使用。</p> </div></div></div>
2021/5/20 12:29作者李建興https://www.ithome.com.tw/news/144503
升級至權益證明後，以太坊至少可節省99.95%的能源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源區塊鏈平臺以太坊（Ethereum，ETH）正從採用工作量證明（Proof of Work，PoW）的1.0版，升級到基於權益證明（Proof of Stake，PoS）的2.0版，本周以太坊基金會的ETH 2.0研究分析師<a href="https://blog.ethereum.org/2021/05/18/country-power-no-more/" target="_blank">Carl Beekhuizen 指出</a>，比起PoW，PoS至少可節省99.95%的能源。</p> <p>PoW必須仰賴實體運算能力及電力來建置區塊，而PoS則是利用驗證者及存入以太幣來建置區塊，Beekhuizen估算，PoS大約消耗2.62 兆瓦（Megawatt）的電力，大概是美國2,100萬個家戶所使用的能源，但PoW所消耗的電力卻等同於一個中型國家所需的能源。</p> <p>對於PoW來說，以太幣的價格與採礦效能（hash rate）是正相關的，價格愈高，以太坊網路所消耗的能源也愈多，但在PoS的概念下，以太幣的價格愈高，以太坊網路的安全性也愈高，但所消耗的能源則可維持不變。</p> <p>Beekhuizen引用了Digiconomist的估計，指出現在的PoW以太坊礦工每年消耗的電力為44.49 TWh（太瓦時），意謂著PoS具備2000倍的能源效益，至少可減少99.95%的能源使用。由於PoW以太坊所消耗的電力與以太幣的價格呈正相關，因此其能源損耗從去年1月的7.72 TWh，一直增加到今年1月的16.25 TWh，到今年4月的44.49 TWh。</p> <p>在每次的交易中，若PoS的能源損耗為電視開20分鐘所需的電力，那麼PoW就需要一個家庭2.8天所使用的電力，而比特幣則需一個家庭38天所使用的電力。</p> <p>就算是曾經極力推崇比特幣的Tesla創辦人馬斯克（Elon Musk），最近都以環保為由，暫停消費者以比特幣購車，並宣布不再出售任何的比特幣，直至比特幣的開採及交易轉為永續能源，至於以太坊則預計幾個月後，便能完全轉移到更省能源的PoS。</p> </div></div></div>
2021/5/20 12:46作者陳曉莉https://www.ithome.com.tw/news/144516
Google推全託管機器學習平臺Vertex AI，簡化模型開發工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開發者大會Google I/O上，Google正式推出了全託管機器學習平臺<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-launches-vertex-ai-unified-platform-for-mlops">Vertex AI</a>，該平臺由一系列原本Google內部所使用的機器學習工具組成，讓企業能夠加速人工智慧模型的部署和維護。</p> <p>Google提到，現今不少資料科學家們使用拼接的機器學習解決方案，不順暢的開發流程，使得模型開發和實驗受到阻礙，進而減少了模型的產出。為了解決這個問題，Google開發了Vertex AI，該平臺讓用戶可以使用統一的UI和API操作Google雲端服務，以簡化建構、訓練和部署大規模機器學習模型的過程。</p> <p>透過使用Vertex AI，用戶可以更快地將模型從實驗環境，移轉到生產環境中，並且快速發現模式與異常，進而做出更好的預測和決策。Google提到，Vertex AI僅需要其他機器學習平臺，訓練模型所需程式碼的20％，不只大幅降低開發工作負擔，也使得各種專業知識等級的資料科學家和機器學習工程師，都能擁有機器學習操作（MLOps）的能力，以便在整個開發過程中，有效地建構和管理機器學習專案生命周期。</p> <p>Vertex AI包括了原本就用於Google內部的人工智慧工具，包括電腦視覺、語言處理、對話和結構化資料等。該平臺還提供的一系列MLOps工具，包括可提高實驗速度的Vertex Vizie，和用來共享和重用機器學習功能的Vertex Feature Store，還有可以加速生產環境模型部署的Vertex Experiments。而Vertex AI也支援邊緣人工智慧應用，Vertex ML Edge Manager讓用戶可以使用自動化流程和API，在邊緣部署和監控模型。</p> <p>Vertex Model Monitoring、ML Metadata與Pipelines一系列MLOps工具，則是透過自助模型維護和可重複功能，簡化端到端機器學習工作流程，使得用戶能夠簡單地管理模型。</p> <p>Google提到，有4成企業在應用機器學習，所遭遇到的主要障礙，是缺乏專業技術人才。Google將Vertex AI打造成，適合各種技能等級用戶使用的的資料科學和機器學習平臺，Vertex AI包含所有機器學習開發的工具，提供管理資料、開發雛形、進行實驗、部署模型、解釋模型，並進行監控等功能，用戶無需接受專業機器學習訓練，就能夠靈活運用這些功能。</p> </div></div></div>
2021/5/20 12:03作者李建興https://www.ithome.com.tw/news/144502
1Password公測首個Linux App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年10月<a href="https://blog.1password.com/1password-for-linux-beta-is-now-open/" target="_blank">釋出beta版</a>後，密碼管理器<a href="https://www.prnewswire.com/news-releases/1password-unveils-Application-to-protect-linux-users-and-developers-301293641.html" target="_blank">1Password本周宣布</a>公測首個完整功能的Linux版桌機App。</p> <p>1Password創辦人<a href="https://releases.1password.com/linux/0.9/" target="_blank">Dave Teare指出</a>，這款Linux App是以Rust撰寫而成，Rust是受Linux社群信賴的程式語言，使用ring crypto函式庫加密資料。</p> <p>1Password Linux版保留了Windows或Mac版本的功能，包括允許用戶管理、儲存和他人共享密碼、信用卡號碼、網址等資訊，於瀏覽器內自動填入這些資訊、以不同密碼解封1Password、以及匯出資料、搜尋、衡量安全性的儀表板等。此外也有專門整合桌機Linux OS的功能，包括以apt、dnf套件管理員安裝、根據GTK主題的自動深色模式、以Linux帳號及指紋解鎖、支援FTP/SSH/SMB協定、整合X11剪貼簿及鍵盤捷徑等。</p> <p>目前Linux版1Password支援Firefox、Chrome、Chromium-based IE、以及Brave。1Password Linux 0.9（0.9.33）版<a href="https://support.1password.com/getting-started-linux/" target="_blank">已可在此網頁下載</a>。</p> <p>其他知名密碼管理器如<a href="https://www.keepersecurity.com/blog/2018/04/26/keeper-launches-new-linux-desktop-App/" target="_blank">Keeper</a>、<a href="https://lastpass.com/lplinux.php" target="_blank">LastPass</a>，也分別提供了Linux版本App。</p> </div></div></div>
2021/5/20 12:19作者林妍溱https://www.ithome.com.tw/news/144515
運算與儲存節點可個別擴充，HPE推變形超融合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0520-hpe_dhci-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經10年的興盛發展後，超融合基礎架構（Hyper Converged Infrastructure，HCI）這個產品類型，近年來發生了質變，市場上，出現了分離運算節點與儲存節點，稱為「非聚合式」超融合（Disaggregated HCI）的變形產品，而HPE推出的Nimble Storage dHCI（以下簡稱為HPE dHCI），正是這種「非聚合式」超融合系統中的代表性產品。</p> <p>HPE dHCI的核心，是作為運算節點、內含VMware vSphere超融合平臺軟體的HPE ProLaint系列伺服器，與作為儲存節點、採用全快閃或混合組態的HPE Nimble儲存陣列。dHCI的運算節點與儲存節點，都可以各自獨立地擴充，藉此為用戶提供更靈活的擴展能力，並更精準地對應用戶的擴充需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-1.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>dHCI是一款分離了運算與儲存節點的「非聚合式」超融合系統，由Nimble儲存陣列、ProLiant伺服器，交換器，以及VMware vSphere虛擬化平臺組成。</strong></span></p> <p><span style="font-size:28px;"><strong>解構標準超融合系統應用架構的「非聚合式」概念</strong></span></p> <p>標準的超融合系統，是由整合了運算與儲存資源的伺服器節點，作為基本單元，只要在叢集中堆疊更多的超融合伺服器節點，便能同步擴展整個環境的運算與儲存資源。</p> <p>而分離了運算與儲存節點的「非聚合式」超融合系統，最大特點便是可以各自獨立擴充運算或儲存節點，以因應非對稱的用戶環境擴展需求，當用戶只需要擴充儲存資源時，可以只增加儲存節點；若用戶只需要增加運算能力，則可以只增加運算節點。另一方面，由於運算與儲存節點分離，所以兩者的負載也互不干擾，更容易管理效能。</p> <p>2019年中問世的HPE dHCI，在非聚合式超融合產品中，算是較晚近的產品，晚於Datrium的DVX，以及NetApp的HCI。</p> <p>HPE dHCI是由Nimble系列儲存陣列、ProLiant Gen10伺服器，再加上VMware vSphere與vCenter軟體平臺，所共同組合而成，能支援HPE InfoSight雲端AI管理平臺，至於整個系統最關鍵的核心，自然便是Nimble儲存陣列的NimbleOS儲存作業系統。</p> <p>基本上，每個dHCI環境，都含有至少1臺Nimble AF或HF系列儲存陣列，作為底層的儲存節點，再加上2～32臺作為運算節點、負責運行vSphere的ProLiant伺服器。</p> <p>比起Nutanix之類的標準超融合系統，Nimble dHCI並不採用與Hypervisor平臺整合為一的叢集儲存層，而是由底層獨立的Nimble儲存陣列，透過iSCSI協定，為運算節點運行的VM，提供datastorage儲存空間（在dHCI套件中，Nimble儲存陣列只透過iSCSI來提供儲存連接，而不支援FC協定）。</p> <p>同時，用戶也能使用Nimble儲存陣列NimbleOS內含的豐富資料服務功能，為上層的VM提供資料縮減、資料保護的一系列進階應用功能，例如即時壓縮、重複資料刪除、快照，以及本地端跨節點複製、遠端複製等。</p> <p><span style="font-size:28px;"><strong>與VMware虛擬化環境緊密結合的系統管理機制</strong></span></p> <p>藉由拆分運算與儲存節點的非聚合式架構，HPE dHCI不僅擁有更靈活的擴充能力，同時也藉此分離了運算與儲存負載，可更精準地管理工作負載。另一方面，還能透過Nimble儲存陣列與VMware環境緊密整合的管理機制，簡化整個應用環境的管理工作。</p> <p>Nimble儲存陣列提供了內嵌於vCenter的plug-in管理工具，用戶端管理者只需透過vCenter，就能同時管理運算節點本身，以及底層作為儲存節點的Nimble儲存陣列。而InfoSight雲端管理平臺，提供透通到VM層的遠端監控與分析能力，管理者無論身處何處，都可透過瀏覽器連結InfoSight平臺，然後分析與檢視dHCI系統中，從系統整體到個別VM的運行與資源使用狀況。</p> <p><span style="font-size:28px;"><strong>在HCI領域孤軍奮戰的HPE</strong></span></p> <p>回顧過去，在2017～2019年，是非聚合式超融合系統的興起時期，出現了作為先驅者的新創廠商Datrium之後，NetApp與HPE兩大儲存廠商也投入了這個領域，先後推出自身的非聚合式超融合產品。</p> <p>憑藉著有別於標準型超融合產品的特性，加上一線大廠的參與，讓非聚合式超融合這個嶄新的產品類型，一時看來，似乎有望發展成為超融合系統領域的一個重要分支。</p> <p>然而當時間進入2020年以後，非聚合式超融合產品的發展出現了劇變。先是在2020年7月時，傳出Datrium為VMware收購的消息，日後的產品重心，將轉移為VMware提供雲端災難備援技術。</p> <p>接下來，NetApp則在2021年3月初，宣布將停止銷售其HCI產品，退出了這個市場。於是，到了2021年的現在，非聚合式超融合產品領域，便只剩下HPE的dHCI獨撐大局。</p> <p>儘管如此，這類產品的訴求——透過分離運算與儲存節點，藉此取得更高擴展彈性、且更精準對應用戶的擴充需求，仍然具有吸引力。而作為dHCI底層核心的Nimble儲存陣列，也是一個相當有競爭力的儲存平臺，結合InfoSight雲端管理平臺，所共同提供的VMware整合管理能力，也能在以VM為核心的應用環境中，發揮出簡化管理的效益。因此，我們認為，無論是非聚合式超融合，還是HPE的dHCI這款產品，未來仍有相當的發展空間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>HPE Nimble Storage dHCI系統的組成</strong></span></span></p> <p>自2019年中發表dHCI這個產品線以來，HPE先後推出兩個版本，首先是2019年7月發表的dHCI 1.0，然後是2020年5月問世的dHCI 2.0。</p> <p>兩個版本的基本組成相同，都是由構成運算節點的HPE ProLiant機架式伺服器、HPE Nimble系列儲存陣列、置頂式交換器，以及VMware vSphere Hypervisor軟體平臺組成，主要區別有3點：</p> <p>首先，dHCI 2.0大幅增加了硬體選擇範圍，納入了新款的伺服器與儲存陣列；其次，dHCI 2.0提高了擴展能力規格；第3，dHCI 2.0將內含的軟體套件，升級到最新版本。</p> <p>最初推出的dHCI 1.0，只提供HPE ProLiant DL360與DL380兩款伺服器作為運算節點，搭配Nimble AF與HF系列儲存陣列，Hypervisor軟體平臺則是VMware的vSphere 6.5或6.7版。在擴展規格方面，則只達到最大20臺運算節點的規模。</p> <p>而到了dHCI 2.0，則大幅增加了運算節點的選擇機型，除了原本的DL360與DL380外，另新增了DL560、DL580等兩款運算密度更高的4路伺服器機型，還引進了AMD處理器平臺的機型，包括DL325與DL385等兩款，一共有6種伺服器機型可選，涵蓋了1U、2U、4U機箱，單路、2路與4路等不同組態。</p> <p>而在擴展規模方面，dHCI 2.0的運算節點最大可擴充到32臺，比dHCI 1.0提高了60%。</p> <p>在儲存節點方面，dHCI 2.0同樣是搭配Nimble AF與HF系列儲存陣列，但其中的AF系列，是可以搭載儲存級記憶體（SCM）的最新版本。</p> <p>至於在Hypervisor軟體平臺方面，dHCI 2.0則提供VMware vSphere最新的7.0版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-2.png" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>dHCI由HPE ProLiant伺服器構成的運算節點，HPE Nimbel AF或HF系列儲存陣列構成的儲存節點，加上置頂式交換器組成。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-3.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>交換器</strong></span></p> <p><span style="color:#696969;"><strong>dHCI每個作業環境都預設配置2臺10GbE置頂式交換器，作為系統內部互連與對外連接之用。交換器型號可選擇HPE的M系列，HPE Aruba旗下的8320、8325與6300（M），HPE FlexFabric系列中的5710與5945，以及Cisco Nexus的3000與5000系列。</strong></span><strong style="color: rgb(105, 105, 105);">如果用戶選擇全新從頭部署dHCI，那麼可以從前術交換器中擇一搭配，預設是搭配HPE Aruba交換器；如果用戶選擇以既有設備來部署dHCI，那麼也能直接沿用既有的10GbE交換器。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-4.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>儲存節點</strong></span></p> <p><span style="color:#696969;"><strong>dHCI是以HPE旗下的Nimble Storage儲存陣列為核心，HPE目前提供第5代的AF系列與HF系列儲存陣列，讓用戶選擇，前者是全快閃機型，並有搭載儲存級記憶體（SCM）的選項，後者則是混合陣列機型。每個dHCI環境最多可支援4臺Nimble儲存陣列，共同組成一個儲存陣列叢集，來為上層vSphere環境提供datastore儲存空間。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-5-v2.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>運算節點</strong></span></p> <p><span style="color:#696969;"><strong>dHCI的運算節點，可以選擇HPE ProLiant伺服器家族中的1U、2U與4U款式，並包含了搭載Intel與AMD平臺處理器的機型，其中Intel平臺機型包括：DL360、DL380、DL560與DL580等4款，均包含Gen 9與Gen 10兩代機型；AMD平臺機型則有DL325與DL385等2款，均包含Gen 10與Gen 10 Plus機型。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>HPE dHCI的兩種部署模式</strong></span></span></p> <p>一般的超融合產品通常有兩種採購與部署模式，第1種模式，是採購內含超融合軟體套件的全新超融合伺服器，第2種模式，則是採購超融合軟體套件，然後部署到用戶既有的伺服器硬體上。</p> <p>絕大多數的超融合產品，都是提供第1種部署模式，至於第2種模式，則只適用於允許單獨銷售超融合平臺軟體的產品，目前較為罕見。</p> <p>而HPE則為dHCI同時提供了前述兩種部署模式，除了從頭全新部署、稱為Greenfield的部署模式外，還提供了利用既有HPE設備部署的Brownfield模式。</p> <p>在Greenfield模式下，HPE將提供全新的HPE交換器、Nimble AF或HF系列儲存陣列，以及安裝了VMware vSphere的ProLiant Gen 10伺服器等設備，透過HPE提供的dHCI設定程式，即可完成系統的初始建置。</p> <p>在Brownfield模式下，用戶必須至少擁有1套Nimble AF或HF系列儲存陣列，並購買dHCI的軟體套件授權，其他硬體元件，則可直接沿用支援清單內的ProLiant Gen 9或Gen 10伺服器，以及既有的10GbE交換器，然後透過HPE的dHCI設定程式，與ESXi映像檔，來完dHCI環境的初始建置。用戶也能選購支援清單內的ProLiant Gen 10伺服器，以及網路交換器，來擴充dHCI環境。</p> <p>無論用戶採取哪一種部署模式，都可透過HPE的dHCI設定程式，在5大步驟內，完成初始設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-6.jpg" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">dHCI的兩種部署模式</span></strong></p> <p><span style="color:#696969;"><strong>目前的dHCI提供了兩種部署模式，Greenfield模式為從頭全新部署，包含新的硬體與軟體元件；Brownfield模式，可搭配用戶既有的HPE硬體設備，無須購買新硬體。</strong>圖片來源／HPE</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-7.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">透過dHCI設定程式完成初始建置</span></strong></p> <p><span style="color:#696969;"><strong>透過HPE提供的dHCI設定程式，可以在vCenter幫助用戶完成初始環境建置，將底層的Nimble儲存陣列，整合到ProLiant伺服器與交換器上。</strong>圖片來源／HPE</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>非聚合式超融合系統的應用概念</strong></span></span></p> <p>標準的超融合系統，兼具了「運算+儲存合一」與「Scale-Out叢集式擴充」等兩大特性，基本的產品型態，是包含了運算與儲存資源的標準化機箱節點，，只要增加節點，就能獲得更多運算與儲存資源，極大簡化IT基礎設施的部署、擴充與管理。但這樣的特性也帶來兩個副作用。</p> <p>一為運算與儲存資源相互綑綁，每增加一個節點，運算與儲存資源便會同時對應的增加。問題在於，用戶環境的運算與儲存資源擴充需求，往往是不對稱的，有時只需增加運算能力，更多的時候是只需要增加儲存資源，而在標準的超融合架構下，無論用戶擴充需求為何，都強制同時擴充運算與儲存資源，不僅難以精準地對應需求，也造成浪費。</p> <p>二為運算與儲存負載相互干擾，在標準的超融合基礎架構下，提供運算服務的Hypervisor平臺，與提供儲存服務的叢集儲存平臺，都在同一組伺服器節點運行，無可避免地會相互競爭硬體資源，叢集儲存平臺某些極耗資源的服務，將會影響到Hypervisor可用的處理器資源。</p> <p>而解決這兩個問題的最簡便方法，便是分拆運算與儲存節點，這也就是「非聚合式」超融合產品基本概念。</p> <p>在非聚合式架構下，運算與儲存節點分別運行Hypervisor平臺，以及儲存叢集平臺，兩者可分別獨立的擴充，因而也沒有對稱擴充的限制，用戶可以單獨增加運算或儲存節點。其次，運算與儲存負載是分別由不同節點硬體負責，自然也沒有互相干擾的問題。</p> <p>另一方面，非聚合式超融合架構仍保留了超融合的其他特性，如預先完成建置與測試，以及堆疊式的橫向擴充等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-8.png" style="width: 495px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>HPE Nimble Storage dHCI的管理</strong></span></span></p> <p>如同一般的超融合產品，HPE dHCI雖然在硬體架構上採用非聚合式設計，但是在運作時，同樣是以Hypervisor與VM為核心。</p> <p>為了簡化管理，dHCI將運算與儲存單元的管理，都整合到vCenter環境中，用戶端管理者既可透過vCenter管理運算單元的資源配置，也可透過嵌入在vCenter中的Nimble儲存陣列plug-in管理程式，來管理底層Nimble儲存陣列的資源，包括使用各式各樣的進階資料服務功能。</p> <p>除此之外，HPE的InfoSight雲端管理平臺也能直接支援dHCI系統，提供，提供透通到VM層級的健康狀態監控，資源使用分析，以及系統問題診斷、系統最佳化建議等功能。</p> <p>所以，dHCI的管理也就分成兩個層級，一是透過vCneter可以提供基本的運算與儲存資源配置管理，而透過InfoSight雲端管理平臺，則提供了進一步的分析、診斷與諮詢建議功能。</p> <p>其中特別有價值的，是InfoSight雲端平臺提供的支援。當前超融合產品供應商雖然數量眾多，但能同時提供雲端平臺的廠商，便相對很少。另一方面，當前的一線儲存大廠雖然都能提供雲端管理平臺，但管理層級大都只及設備層級（儲存陣列或伺服器），而無法透通Hypervisor、達到VM層級。而InfoSight則兩者兼具，可以直接支援dHCI，同時又具備透通到VM層級的管理能力，可為dHCI這種以VM為核心的環境，提供極大的便利。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-9.png" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">透過vCenter plugin來管理dHCI</span></strong></p> <p><span style="color:#696969;"><strong>dHCI管理者可透過Nimble的vCenter plugin程式，在vSphere的vCenter平臺中，直接管理Nimble儲存陣列，而這也意味著，我們無須離開vCenter環境，就能完整管理dHCI的運算與儲存資源。</strong>圖片來源／HPE</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-hpe%20dhci-600-10.jpg" style="width: 500px;" /></p> <p><strong><span style="color:#696969;">透過InfoSight雲端平臺簡化VM管理</span></strong></p> <p><span style="color:#696969;"><strong>HPE的InfoSight雲端管理平臺，可以直接支援dHCI套件，不僅可以管理其中的伺服器，以及Nimble儲存陣列等硬體設備，還能提供透通到VM層級的健康監控、問題診斷與諮詢建議等服務。</strong>圖片來源／HPE</span></p> </div></div></div>
2021/5/20 07:00作者張明德https://www.ithome.com.tw/review/144417
Matplotlib玩3D建模
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運用Matplotlib玩3D建模，有可能嗎？乍看是個努力用錯了方向的題目，不過，在找出方式的瞬間，總是有種又惡搞成功的快感，也有機會更進一步地認識手邊的工具！</p> <p><span style="font-size:28px;"><strong>初步的3D建模</strong></span></p> <p>因為個人興趣，也為了能在切入NumPy、Matplotlib時有個具體目標，我試著將過去對繪圖的研究課題以NumPy、Matplotlib實現以後，確實畫出了不少有趣的圖案，像是先前專欄<a href="https://www.ithome.com.tw/voice/143745" target="_blank">〈陣列程式設計〉</a>繪製的謝爾賓斯基三角形，或者是<a href="https://www.ithome.com.tw/voice/144115" target="_blank">〈NumPy與海龜繪圖〉</a>實現的海龜繪圖。</p> <p>在能夠使用Matplotlib實現幾個2D圖案的繪製後，心中開始尋求的，就是實現3D建模的可行性了，確實地，目前的Matplotlib版本內建了<a href="https://bit.ly/39qVMw4" target="_blank">mplot3d模組</a>，可以透過Axes3D物件有3D座標系統中繪圖，而在二維座標系統中常見的繪圖需求，像是折線圖、散佈圖、輪廓圖等，在Axes3D物件上，都有對應的繪製方法。</p> <p>我第一個想到的是，既然可以繪製3D折線圖，這表示要用Matplotlib從事3D版本的海龜繪圖，也是可行的；另外，在使用程式實現3D繪圖時，像是OpenSCAD、WebGL等，最常見的入門範例就是繪製函式曲面，這可以透過Axes3D物件的plot_surface方法，它需要個別提供x、y與z全部的座標點。若只想畫線框圖，也可以透過plot_wireframe方法；若對這些基本的3D繪製有興趣，在<a href="https://bit.ly/39rIcIw" target="_blank">〈Matplotlib立體圖〉</a>有幾個實際範例供參考。</p> <p>既然可以繪製曲面，我想到的是，可否用來實現3D建模？就像OpenSCAD那樣，以程式撰寫生成3D物件需要的網面（mesh）資料？因為是網「面」，如果透過plot_surface繪製的面，能包覆成一個封閉的面，看來就像個3D模型了。</p> <p>最簡單的就是立方體，基本作法就是準備六個平面的資料，呼叫六次plot_surface就可以達成任務。如果是有曲面的3D模型呢？例如一顆球？可以透過<a href="https://bit.ly/3rHe2qZ" target="_blank">球面</a>參數式，計算出全部的x、y與z座標點，再透過plot_surface繪製。</p> <p>類似地，只要有<a href="https://bit.ly/31F8yCx" target="_blank">環面</a>的參數式，也可以plot_surface透過繪製環面，因為有公式，透過NumPy來計算出座標點也會更為便利。若有興趣看看程式實作，我們可以參考<a href="https://bit.ly/3sBKMTW" target="_blank">〈NumPy與環面〉</a>。</p> <p><span style="font-size:28px;"><strong>三角網面繪製</strong></span></p> <p>如果對Matplotlib有認識，也有3D建模經驗，你可能會看出方才的描述有點問題，因為「網面不是由三角形組成嗎？」確實地，餵給plot_surface的，並不是三角形構成的資料，正確來說是許多四邊形的資料；另一方面，許多3D模型光靠plot_surface是繪製不出來的，例如正四面體（tetrahedron），因為它是由四個正三角面組成。</p> <p>如果想繪製三角網面，可以透過Axes3D物件的plot_trisurf方法，最基本的使用方式是，透過一維陣列分別提供每個點x、y與z座標，它會自動以x與y進行<a href="https://bit.ly/3cCu6q0" target="_blank">Delaunay三角分割</a>，分割出來的三角形x、y資料再與z資料結合，成為各個3D三角面頂點資訊；另一個方式，是透過matplotlib.tri模組的Triangulation物件來做三角分割，再將Triangulation物件連同z座標資料餵給plot_trisurf。</p> <p>也就是說，就算x、y與z座標是沒有順序的資料，也可以直接提供給plot_trisurf，單就繪製曲面而言，在提供資料的方式上，會比plot_surface方便，當然，因為須進行三角分割運算，速度上會比較慢。</p> <p>而且，基本上，使用者不容易掌握Delaunay三角分割的結果，如果想自行控制三角分割的細節，我們可以透過plot_trisurf的triangles參數，指定每個三角形使用的座標索引，既然如此，這不就也能用來構造3D物件的網面嗎？例如，在<a href="https://bit.ly/3m40kxs" target="_blank">〈Matplotlib三角曲面〉</a>，就有個透過plot_trisurf繪製正四面體的範例。</p> <p>在某些場合，手邊可能已經有每個三角形的頂點資料，將這些三角形各自畫出就可以組成3D物件外觀，這時plot_trisurf就顯得不適用，我們可以透過Axes3D的add_collection3d方法，它接受mplot3d.art3d.Poly3DCollection，可指定頂點座標建立Poly3DCollection物件，用來代表一個3D多邊形。</p> <p>既然Poly3DCollection代表3D多邊形，這表示不用侷促在三角形的繪製，例如方才談到可以呼叫plot_surface六次來畫立方體的方式，其實可以改用Poly3DCollection將這六面收集起來，這樣只要呼叫一次add_collection3d，就能完成立方體的繪製，效率上會比較好。</p> <p><span style="font-size:28px;"><strong>載入、顯示模型檔案</strong></span></p> <p>無論是plot_trisurf或add_collection3d，基本上，都可以處理三角網面，那麼就有機會載入3D模型檔案，用Matplotlib來實現3D模型檢視器了，例如<a href="https://bit.ly/31yPshA" target="_blank">OBJ檔案格式</a>的話，最簡單的格式可以只包含頂點的座標、以及頂點索引清單，以純文字編輯器開啟.obj檔案就可以看到：</p> <pre>v 21.616501 24.997404 2.460000 v 22.228498 24.997404 0.296000 f 4226 3927 3928 f 3927 4226 4227</pre><p>v是頂點座標，f是頂點索引，想使用Python或NumPy處理這樣的格式並不難，不過，我們要留意：OBJ檔案的頂點索引是從1開始，記得減去1，才能給plot_trisurf的triangles參數使用，只不過對於複雜的3D模型檔案來說，會有為數龐大的三角面，使用plot_trisurf或add_collection3d來繪製，繪圖效率上會比較吃力。</p> <p>若只是想載入3D模型檔案來產生圖片，在多邊形的繪製上，Matplotlib本身有2D版本的add_collection，以及PolyCollection，由於Matplotlib會依照PolyCollection的順序來繪製多邊形，為了得到正確的顯示結果，要將3D的三角面先依深度排序，投影至2D平面後依序加入PolyCollection，才不會因為深度不正確的三角形互相覆蓋，而造成顯示錯誤。</p> <p>在<a href="https://bit.ly/3sDk5hz" target="_blank">〈Custom 3D engine in Matplotlib〉</a>中，就談到如何透過2D版本的add_collection與PolyCollection，載入模型檔、建立投影矩陣、排序並繪製為圖片存檔。</p> <p>如果要載入<a href="https://bit.ly/3m7Sxi6" target="_blank">STL檔案</a>，因為它有二進位與文字格式，比較方便的作法是安裝numpy-stl程式庫，透過stl模組的mesh.Mesh.from_file函式，就可以指定STL檔案，接著結合add_collection3d就可以繪圖了，一個簡單的片段是：</p> <pre>mesh = Mesh.from_file('caterpillar.stl') ax = plt.axes(projection='3d') ax.add_collection3d(art3d.Poly3DCollection(mesh.vectors))</pre><p><span style="font-size:28px;"><strong>Hack玩法的樂趣</strong></span></p> <p>這一陣子以來，從發想出以自身對繪圖的興趣作為基礎，來切入Matplotlib（或NumPy），著實讓我得到了不少樂趣，這些樂趣來自於突發奇想的題目、尋找可能性、轉換解題的思考方式、任務的實現的過程，我後來總是稱這是讓它們不務正業，強迫它們做一些非典型的應用。</p> <p>而這個過程中，對一些文件或書籍上不常見的特性，也多了不少認識的機會，尋找解答的過程有時不見得順利，然而，在找出方式的瞬間，總是有種又成功惡搞的成就感，也確實發掘出更多Matplotlib（或NumPy）的可能性呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/matplotlib">Matplotlib</a></div><div class="field-item odd"><a href="/tags/3d%E5%BB%BA%E6%A8%A1">3D建模</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2021/5/20 07:00作者林信良https://www.ithome.com.tw/voice/144419
【臺灣資安大會直擊】玉山銀行如何落實資安有效性？資安長揭露3大關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一位盡責的資安長為何會夜不成眠？因為他要擔心的事太多了，從網站、伺服器、應用程式、端末設備、使用者，甚至第三方供應商，都可能造成資安事件。即便訂好相關規範，買了資安設備，做完教育訓練，老闆問起資安做得好不好，為什麼CISO還是沒有信心？」玉山銀行資安管理處資安長陳榮俊在臺灣資安大會金融資安論壇道出了CISO的心聲。</p> <p>陳榮俊進一步提到，建構完善資訊安全系統有3大面向：「程序」、「人員」、「科技」。可是，他坦言，即便都能兼顧，也不代表資安就做到位，就像設了資安規範還不夠，「必須了解訂定規範背後的意義，以風險為考量進行規畫與執行，才是有效落實性的真諦。」</p> <p>陳榮俊更以程序、人員、科技這3大面向，進一步揭露玉山在落實資安有效性所面臨的挑戰及關鍵因應心法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7538.JPG" /></p> <h4><span style="color:#0000FF;"><strong>導入ISMS資訊安全管理系統，統一內部資安依循標準</strong></span></h4> <p>首先，在程序面，玉山在2012年便擁抱國際標準，建立ISMS資訊安全管理系統的運作機制，隔年正式取得ISO 27001驗證，作為資訊科技團隊運作的基礎。</p> <p>陳榮俊表示，不只藉此掌握資安治理全貌，也讓千人科技聯隊，有統一的資安依循標準。近年，玉山更透過不同面向的資安框架，來檢視自家資安防護是否允當，包括NIST CSF、MITRE ATT&CK。最重要的是，建立PCDA良性改善循環機制，逐步提升自身資安成熟度，同時，「也要了解同業資安水準，才能將資源放在刀口上。」他補充。</p> <p>然而，「即便組織內部建立了SOP，仍會有人便宜行事。」為了避免員工有這樣的心態，玉山在系統控管上，留下軌跡搭配查核制度，包括自行查核與內外部稽核，來警惕員工不要以身試法。此外，他強調，必須在流程的重要關卡設立控制點，比如，開放防火牆，必須通過資安管理處放行才能生效。</p> <h4><span style="color:#0000FF;"><strong>將資安教育訓練與績效連結，讓各單位發揮守望相助精神</strong></span></h4> <p>在人員部分，陳榮俊表示，在教育訓練上，為了提供豐富多樣的課程，玉山內部嘗試過影片、漫畫來提高員工的學習興趣，也安排工作坊透過情境模擬來進行討論，以積極參與的訓練方式，提升員工資安意識與能力。而為了讓教育訓練有效，玉山還會透過考試，讓員工還有一次的機會教育。</p> <p>此外，玉山還會利用團隊的力量來要求，建立分組共責的連坐制度。當一個人做不好，就會連累整個小組，甚至是整個單位。陳榮俊舉例，玉山每個月都會進行社交工程演練，若因個人不小心，讓整個單位無法達標，該單位就須加強資安教育訓練，也會通知該名員工的單位主管作為考績的參考。</p> <p>他強調：「如此一來，大家就會發揮守望相助的精神。」任何一人發現了疑似有社交工程的狀況時，就會通知全單位有這類信件，請大家特別留意，所有人也會為了團隊榮譽全力奮戰。「這是玉山落實資安有效性的心法。」</p> <p>玉山更會以風險導向機制決定人員訓練的頻次。比如，社交工程演練，如果有人常會開啟連結與附件，就屬於高風險的人，內部就會要求這些人做更多訓練。玉山也將教育訓練與績效連結，將犯錯記錄列入平日考核，「讓他感覺到痛，就有機會改正粗心。」陳榮俊說。不過，他認為，最有效的是制度面的改善，利用制度輔助，例如流程控管、檢查清單，來降低落實不安全的風險。</p> <p>此外，「企業普遍的痛點是找不到有經驗的資安人力，還要避免自家資安人員被挖角。」這也是資安長夜不成眠的原因之一。為此，陳榮俊表示，玉山的作法是從培訓新人開始，玉山資安處現有20名成員，其中三分之一以上都是新人。不過，他坦言，新人畢竟欠缺專業，也沒有實務經驗，所以，玉山透過團隊學習，比如讀書會、分組技術研討等，來提升新人的專業能力。</p> <p>對於有潛力的新人，玉山內部還會透過輪調實習的方式，將新人調到資訊單位，學習網路管理、伺服器管理、資料庫管理、程式開發等。「希望藉此培養新人多維度的專業能力，同時，也能強化資安處與一、二道防線的協作。」他強調。</p> <h4><span style="color:#0000FF;"><strong>確定公司發展方向，掌握核心的關鍵能力</strong></span></h4> <p>在科技面，陳榮俊拋出一個問題，資安產品琳琅滿目，企業該如何選擇？他表示，可以多看、多聽、多交流，比如參與廠商研討會、閱讀媒體報導或多與同業互動，這是第一步。</p> <p>接下來，企業必須發掘自身痛點，透過情境模擬進行POC測試，他強調，企業必須自行設計POC情境，千萬不要直接用廠商情境來驗證，因為，常見的廠商情境是為了驗證產品功能；他建議，廠商可以好好了解甲方痛點，設計出適合甲方的情境再來驗證，才能達到雙贏的效果。</p> <p>陳榮俊提到，企業人力資源有限的情況下，不一定要將所有技術掌握在自己手中，可是，「必須確定公司的發展方向，掌握核心的關鍵能力，再來決定資源投入的方式。」他進一步舉例，玉山建置SOC（資安監控中心）時，也曾考慮要自建或委外，之後選擇自建的原因是，考量到現今外在環境多變，以及駭客攻擊樣態層出不窮，只要將關鍵技術掌握在自己手中，面對事件的更新與處理，甚至是預防時，才能更快反應與更深入的研究。</p> <p>此外，他也提醒，企業導入新的資安產品時，要檢視現有防禦設備是否功能重複，避免資源浪費。不過，他提醒，功能重複有時是必要的，才可以避免單一產品的缺陷，比如，VirusTotal就集合了超過50種防毒軟體引擎來進行惡意程式的判讀。</p> <p>不過，如何確保所用的資安產品能持續有效運作？陳榮俊表示，最重要的是建立監控機制並定期檢視，像是近期勒索病毒猖獗，他提到，企業除了進行備份，還須確定備份是否成功，做好備份回存的驗證，這是定期檢視的重要性。「雖然做起來非常辛苦，但很有效。」他坦言。</p> <p>此外，企業也可透過外部的能力來驗證自我防禦的破口，比如透過紅隊演練。陳榮俊提到，玉山在2018年成立資安管理處，原先是預計經過2年的打底，就要接受紅隊的挑戰，可是，因為去年疫情開始爆發，所以紅隊演練延至今年執行。</p> <p>「資安無法保證100%沒有問題。」陳榮俊表示，企業在做了一切努力後，還可以透過風險轉嫁如投保資安險；不過，他也提到，投保資安險只能賠償實際發生的損失，對於企業商譽損失則無法賠償。他更強調：「除了資安事件是非人為疏失，否則一切結果都是資安長承擔。」</p> <h4><span style="color:#0000FF;"><strong>資安落實的5大成功關鍵</strong></span></h4> <p>陳榮俊也以CALMS模型（Culture、Automation、Learn、Measurement、Sharing的縮寫），來說明資安落實的5大成功關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7553.JPG" /></p> <p>Culture代表風控文化的養成，他強調，資安絕不只是資安單位的事情，必須將資訊安全人人有責的觀念落實到全企業，重點是高階長官的支持，以及主管機關對金融機構在資安上的要求，都是企業建立重視資安文化的關鍵。</p> <p>Automation則表示自動化機制的導入，陳榮俊提到，現在的情資與攻擊樣態實在太多，企業需管理的伺服器、端末設備、應用程式也是海量，光靠人工處理的話，在即時性上可能會來不及反應，許多細節也可能會有所忽略，造成潛藏性的資安風險。所以，必須導入自動化機制或工具，來處理整體的資安事件。</p> <p>Learn對應到的是學習型組織的運作，「一個人可以走得快，但一群人可以走得遠」，他表示，企業可以透過團隊的力量，讓個人及組織能保持持續的學習增長，讓組織充滿創新與進步的動力。</p> <p>另外，Measurement則代表評量指標的建立，他認為，企業訂定KPI時，一定要確立工作目標，KPI只是衡量工作目標是否達成的工具。玉山是將資安指標納入分行績效評量的一環，作法上也採取鼓勵方式，分行單位只要按時做完資安處要求的教育訓練，就可以拿到分數，此外，如果分行單位發現疑似社交工程或偽冒信件後，再進一步通報的話，還可以再加分。「先讓同仁了解資安稽核的要求，再逐步深化資安的深度與廣度。」</p> <p>Sharing則是對應到分享觀念的培養，陳榮俊提到，對於金融業來說，資安是一項可以與同業互相交流，但是又不涉及商業機密泄露的問題。「金融業有共同的敵人，甚至，敵人還會互相合作，背後甚至還有國家的力量在支持，所以，更要聯合大家的力量共同對抗駭客。」</p> <p>今年1月下旬開始，玉山已加入F-ISAC建置的二線F-SOC（金融資安聯防監控平臺），只要有符合F-SOC訂定的監控指標被觸發，玉山就會將相關資訊傳送到F-SOC平臺，透過協同運作，讓主管機關可以有效監控整體金融機構的資安風險。文⊙李靜宜</p> </div></div></div>
2021/5/19 17:09作者李靜宜https://www.ithome.com.tw/news/144499
2021年4月10大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個月份的一開始，臉書就傳出有5億用戶的個資外洩，接著人才社交網站LinkedIn，以及今年初開始竄紅的語音通訊軟體Clubhouse，也都出現用戶個資遭到駭客在地下論壇轉賣或是流傳的情況。然而，臉書對於自家使用者的資料外洩疑雲，表示資料外洩是遭到網頁抓取攻擊所致，此舉顯然很難說服關注此事的資安專家。</p> <p>回到國內，替蘋果代工的廣達電腦傳出遭到勒索軟體攻擊，但傳出駭客勒索廣達不成轉而找上蘋果要贖金，此事的後續發展也值得留意。</p> <h2><strong><span style="color: rgb(178, 34, 34);">01.</span><a href="https://www.ithome.com.tw/news/143702">臉書宣稱逾5億用戶個資外洩是因為遭到網頁抓取攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-01.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">02.</span></strong><a href="https://www.ithome.com.tw/news/143756"><strong style="vertical-align: top;">Discord與Slack成駭客散布惡意程式管道</strong></a></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-02.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">03.</span><a href="https://www.ithome.com.tw/news/143917">軟體測試服務業者Codecov被駭，恐影響P&G、GoDaddy等近3萬家客戶</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-03.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">04.</span><a href="https://www.ithome.com.tw/news/143847">4個TCP/IP堆疊程式庫存在9個漏洞，1億連網裝置曝險</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-04.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">05.</span><a href="https://www.ithome.com.tw/news/143543">PHP將儲存庫遷至GitHub，原因是有人冒用核心開發人員身分提交惡意內容</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-05.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">06.</span><a href="https://www.ithome.com.tw/news/143615">博奕網站遭勒索式DDoS攻擊，攻擊流量為歷年來第3大</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-06.png" style="width: 400px; height: 248px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">07.</span><a href="https://www.ithome.com.tw/news/143979">廣達傳遭勒索軟體REvil攻擊，歹徒要脅蘋果購回外洩產品資料</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-07.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">08.</span><a href="https://www.ithome.com.tw/news/144004">威聯通NAS遭勒索軟體Qlocker攻擊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-08.png" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">9.</span><a href="https://www.ithome.com.tw/news/143753">戴夫寇爾挖掘Exchange漏洞，拿下Pwn2Own冠軍</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-09.jpg" style="width: 400px; height: 175px;" /></p> <h2><strong><span style="color: rgb(178, 34, 34);">10.</span><a href="https://www.ithome.com.tw/news/144098">證交所修訂重大訊息處理程序，上市公司發生資安事故應揭露於重大訊息</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-04-10.jpg" style="width: 400px; height: 175px;" /></p> </div></div></div>
2021/5/19 16:14作者周峻佑https://www.ithome.com.tw/news/144497
所有Firefox版本皆可啟用全新的網站隔離架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/security/2021/05/18/introducing-site-isolation-in-firefox/" target="_blank">Mozilla周二（5/18）宣布</a>，桌面版的Firefox現已可啟用全新的網站隔離架構，在載入網站時，可建立作業系統等級的程序邊界，讓所造訪的每個網站使用獨立的程序，以保護使用者不再受到諸如Meltdown或Spectre等攻擊的危害。</p> <p>Meltdown與Spectre是由CPU推測執行漏洞所衍生的攻擊手法，它們在2018年1月被揭露，允許應用程式存取記憶體內的機密資訊，自此，包括作業系統業者、CPU業者與瀏覽器業者都釋出了緩解機制，但這些機制不但只是暫時因應，也會影響裝置的效能，這使得Mozilla於同年4月啟動了Fission專案，以全新的網站隔離架構來防禦相關攻擊，而今，該架構已進入最終確定階段，因而同時開放Nightly、Beta與正式版的Firefox用戶試用。</p> <p><a href="https://hacks.mozilla.org/2021/05/introducing-firefox-new-site-isolation-security-architecture/" target="_blank">Mozilla軟體工程師Anny Gakhokidze說明</a>，現有的Firefox啟動後就先執行父程序，它是個特權程序，繼之啟用固定數量的程序，包括8個網頁內容程序、最多2個額外的半特權網路內容程序，以及4個涉及擴充程式、GPU、網路與媒體解碼的公用程序，儘管把內容分離到8個網路內容程序已帶來堅固的基礎，但仍可能出現2個完全不同的網站、使用同一作業系統程序的現象。</p> <p>同一作業系統程序代表它們將共享程序記憶體，假設它們當中有一個為惡意網站，駭客就有可能藉由共享資源取得另一網站的機密資訊。</p> <p>而在全新的網站隔離架構下，每個網站都是在不同的程序中載入，就算是網站中含有來自其它網站的子框架或廣告，也會利用不同的程序載入。</p> <p>除了安全之外，網站隔離還帶來其它的好處，例如當一個網頁耗費了大量的運算資源時，不會影響其它的程序；讓不同的程序載入不同的網站，還能進一步發揮CPU的多核能力；而且就算子框架或分頁當掉時，也不會波及由其它程序載入的網站。</p> <p>過去Mozilla僅允許Nightly與Beta版的Firefox用戶測試網站隔離機制，本周起正式版用戶也可參與測試，Beta版與正式版用戶只需於網址列上鍵入about:config，再於搜尋偏好設定中鍵入fission.autostart，把預設值從false切換成true，再重新啟用Firefox，即可啟用網站隔離。</p> </div></div></div>
2021/5/19 18:47作者陳曉莉https://www.ithome.com.tw/news/144501
Google Workspace加入Smart Canvas協同工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天凌晨的Google I/O大會上，除了Android 12、WearOS改版等消息外，<a href="https://cloud.google.com/blog/products/workspace/next-evolution-of-collaboration-for-google-workspace" target="_blank">Google也宣布</a>生產力應用Google Workspace新增協同工具Smart Canvas，方便團隊文件、簡報或試算表的共同作業。Google也進一步整合Workspace文件及Google Meet、Google Chat room的協同，並加入即時翻譯等功能。</p> <p>Smart Canvas包含一組功能，像是智慧連結（smart chip）、範本或檢查清單（checklist）等，以加速Google Workspace文件的協同。原本在Google Docs鍵入@，提及一名同事時，smart chip就會顯示其他資訊，像是他的地點、職稱或聯絡方式。Smart Canvas現在還會為Google Docs加入新的smart chip，像是建議的檔案或會議。新功能幾個月後也會整合到Sheets中。</p> <p>檢查清單部份，今天開始，在手機及Web版Google Docs中，用戶將可指派工作項目給其他人，這些項目也會顯示在Google Tasks中。此外，Google Workspace也為Docs新增表格範本，像是主題投票、專案追蹤表格、及會議記錄追蹤文件範本，後者可自動從Google行事曆會議邀請匯入相關資訊，包括與會者的smart chips和附檔。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Table_Checklist_Chips.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>此外還新增Docs的無頁框格式，方便顯示整頁無邊框的圖片、表格等等，Sheets則新增顯示模式，首先推出的是時間軸（timeline）模式，方便行銷計畫、專案里程碑、排程或跨團隊協同等任務追蹤。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Sheets_Timeline_View.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>Smart Canvas另外將整合通訊工具，更容易使雲端文件和影音、文字通訊整合。今天開始，使用Web版Google Meet時，可以直接拉進Docs、Sheets和Slide文件。到秋天，就可以反過來，在Google文件中啟動Google Meets。此外， Google Chat聊天室現在也可以直接新增和編輯Docs及Sheets，幾周後就會加入Slide。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Meet_in_Docs_GIF.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Smart Canvas也會為Google Meet加入即時字幕及翻譯，這對跨國團隊合作相當好用。現階段支援英文、西語、葡語、法語及德文，未來還會增加其他語言。今年之後則會再加入字幕即時翻譯，也是從上述五種語言開始。</p> <p>Google表示，Smart Canvas是該公司整合第三方廠商技術，包括Workspace整合DocuSign、Sheets整合Salesforce連接器的結果。未來Smart Canvas也會持續增加API，使Workspace中直接使用更多第三方工具。</p> <p>此外，Google今天也宣布Workspace將整合VirusTotal的即時安全掃瞄功能。Workspace的Alert Center可扮演安全資訊與事件管理(SIEM)控制臺角色，管理員可接收VirusTotal的即時安全通知及整合報告，還可直接封鎖有問題的Google Drive帳號。Google預告未來還會新增更細部控管功能，像是封鎖OAuth 2.0 API、或是應用程式及裝置的存取權限控管等。</p> <p>這項服務將在未來幾周內，釋出給具備Workspace Business Plus、Enterprise Standard、Enterprise Plus及Education Standard、Education Plus版授權的企業。</p> </div></div></div>
2021/5/19 17:40作者林妍溱https://www.ithome.com.tw/news/144500
Google發表可談論無限主題的對話AI模型LaMDA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在開發者大會Google I/O 2021上，發表了最新的對話AI模型<a href="https://blog.google/technology/ai/lamda/">LaMDA（Language Model for Dialogue Applications）</a>，官方提到，這是一個非常複雜的語言模型，比當前所有模型，在理解對話上下文方面的能力都還要好。</p> <p>Google在語言處理耕耘已久，從早期的網頁翻譯功能，到最近應用機器學習技術，以更好地了解用戶的查詢意圖。但語言表達非常的細緻，除了字面上的意思，許多時候還包括象徵意義，並且具有平鋪直敘、詞藻華美，或是僅提供資訊的實用性用途，Google提到，這些多樣的語言特性，使其成為電腦科學的一大難題。</p> <p>而Google最新發展的LaMDA技術，能夠更好地克服這些問題，特別是在語言處理的對話應用上。官方表示，雖然對話都是從特定主題展開，但是由於對話的開放性，即便從同一個話題開始，卻會在完全不同的話題上結束。與朋友聊天話題可能從電視節目，一路聊到拍攝的國家，甚至是該國的美食。</p> <p>Google認為漫談的品質，是當前聊天機器人處理對話的困難之一，因為這些機器人的對話，傾向遵循狹隘且單調的預定義路徑發展。而最新的這個LaMDA語言模型，能以自由流動的方式，處理無數個主題，Google認為，該技術可以提供更自然的互動能力，並且開啟應用程式更多的可能性。</p> <p>LaMDA對話技術已經發展許久，如同BERT和GPT-3等語言模型，LaMDA也是以Transformer為基礎建構。Transformer是由Google研究院在2017年所發明，並且開源的神經網路基礎架構，該架構能夠生成一種特別的模型，可被訓練來讀取單詞，並且關注單詞間的關聯，甚至是預測緊接在單詞之後的字詞。</p> <p>但與大多數語言模型不同的是，LaMDA特別接受了對話訓練，在訓練過程，LaMDA學習開放式對話與其他語言應用之間的細微差別，Google提到，對話不只要是合情合理，如果符合談話上下文的回應，就會更有意義。Google以「我剛剛開始上吉他課」對話為例，合理的回應包括「那很好」和「我不知道」，在語義上都沒有問題，但如果能夠回應「太令人興奮了吧！我媽也很喜歡彈奏他的老吉他」，透過明確地回應與對話上下文有關的內容，可讓回應不只合理並且更具體。</p> <p>LaMDA是建立於Google在2020年所發布的早期研究基礎上，研究顯示，透過對話訓練的Transformer語言模型，可以學會談論任何內容，並且經過訓練，還能微調LaMDA，提高該模型在回應內容上的敏感度和具體性。</p> <p>除了在LaMDA的初期結果，研究團隊追求合理且具體的回應之外，Google還希望LaMDA可以回答更有趣、出乎意料甚至是機智的內容，而且Google也想讓LaMDA更關注事實，確保LaMDA的回應不只吸引人而且正確。官方也提到，語言模型可能內化歧視、複製仇很言論，甚至散布誤導性訊息，即便是經過仔細審查的語言模型，仍可能被濫用。</p> <p>Google在創建LaMDA的同時，便試著減少這些可能的風險，除了開源研究之外，研究人員也對LaMDA開發的每一個步驟進行審查，避免在將LaMDA應用到產品中時，發生機器學習模型可能出現的問題。</p> </div></div></div>
2021/5/19 18:01作者李建興https://www.ithome.com.tw/news/144498
全國進入三級警戒！明日起每日召開全國性防疫會議、將整合資訊公布確診足跡熱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心19日宣布本日新增267例本土案例，確診案例分佈再擴大，包括首次出現的臺南市，因此指揮中心宣布全國進入第三級疫情警戒，來統一全國防疫步調。同時，指揮中心宣布明日起，將每日早上召開全國防疫會議，要求各縣市副首長層級以上的長官參與，要來整合防疫資源、了解各縣市進度，以及澄清假消息。</p> <p>指揮中心指揮官陳時中指出，今日新增的267例本土案例中，以新北市129例為最高，其次是臺北市70例、彰化縣28例、桃園市16例、高雄市8例、臺中市5例、基隆市4例，以及宜蘭縣3例、臺南市和新竹市各2例。</p> <p><span style="font-size:22px;"><strong>全國進入第三級警戒，明日起每日早上召開全國防疫會議</strong></span></p> <p>他指出，雖然病例數持穩，但鑑於本土案例擴增到全臺半數以上的縣市，指揮中心宣布自即日起，全國進入第三級疫情警戒，各縣市標準如同雙北，包括八大場所禁止營業，室內5人以上、室外10人以上之社交聚會全面禁止，企業應遵循指揮中心發布的持續營運指引規定，民眾也需提高警覺進行自我健康檢測。</p> <p>陳時中表示，全國進入三級警戒，為統一各縣市防疫步調，每日早上將召開全國防疫會議，要來整合防疫資源、檢視各縣市執行進度，以及駁斥假消息。這個會議將從明日開始實施，邀集各縣市副首長層級以上的長官參與，由指揮中心副指揮官陳宗彥和衛福部常務次長石崇良主持。</p> <p>而全國防疫會議會後，也會增加一場記者會，由副指揮官來回應記者問題、駁斥和澄清假訊息。陳時中也指出，整體疫情嚴峻的情況下，中央與地方需齊一腳步，「透過每天會議、整合資源，駁斥假訊息和安定民心，一定能成功。」</p> <p><strong><span style="font-size:22px;">用IT整合確診者足跡，在熱點處設置篩檢站</span></strong></p> <p>陳時中也指出，為防止疫情持續擴散，中央將利用IT系統，將確診者足跡彙整、畫出熱點區域，也就是「確診人數最多的區域，」指揮中心也會在該熱點區域設置篩檢站，來及早阻絕疑似感染個案在社區活動的風險。</p> <p>他呼籲，篩檢時以有症狀、有接觸史的民眾為第一優先，如此才能適當利用醫療資源、幫助政府及早發現和處置；無症狀民眾至熱點區域採檢，則有感染風險，應避免。</p> <p>與此同時，指揮中心也將要求篩檢站設立綠色通道，讓高風險疑似感染個案能快速通關、採檢，及早隔離傳染源。在安置方面，指揮中心也將制訂相關指引，讓第一線執行人員在第一時間內將確診者送至集中檢疫所或醫院。</p> <p>今天稍早，<a href="https://www.ithome.com.tw/news/144487">行政院也推出免費的簡訊實聯制</a>，結合電信業者簡訊發送機制及1922，強調只要掃碼、點選連結、發簡訊3步驟，數秒鐘就能完成實聯制。目前，大眾運輸服務已開始採用簡訊實聯制，同時也開放民間企業申請使用。</p> </div></div></div>
2021/5/19 15:29作者王若樸https://www.ithome.com.tw/news/144496
Google發表新一代視訊電話亭Project Starline，今年將與企業合作測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/research/project-starline/" target="_blank">Google本周發表了Starline專案（Project Starline）</a>，結合電腦視覺、機器學習、空間音頻與即時壓縮等技術，再加上一個具備立體感的光場（light field）顯示系統，讓使用者在65吋的大螢幕前視訊，試用過Starline的<a href="https://www.wired.com/story/google-project-starline/" target="_blank">Wired將它形容為新一代的視訊電話亭</a>。</p> <p>根據Google對Starline專案的定義，這是個結合先進硬體與軟體，可讓就算是身處不同城市或國家的親友與同事，都能感覺到彼此是在一起的通訊技術，使用者像是透過一個神奇的窗口，看到一個實際大小且立體的對象，且彼此能夠自然地對話、比手勢，還能夠有眼神的交流，而且完全不必配戴特別的眼鏡或頭戴式裝置。</p> <p>受邀去參觀該專案的Wired編輯Lauren Goode，則把Starline形容為視訊電話亭（Video Booth），它像是個較大的電話亭，一邊有長椅，另一邊是個65吋的螢幕，有燈光也有攝影機，而出現在螢幕上的Google產品經理，彷彿就坐在她面前。</p> <p>由於Starline專案需要客製化的硬體與高度專業化的設備，因此目前Google只在部分辦公室部署，供灣區、紐約與西雅圖的員工交流與測試，也已向健康照護及媒體等領域的合作夥伴展示，計畫今年就會與特定的合作夥伴進行試用部署。</p> </div></div></div>
2021/5/19 14:37作者陳曉莉https://www.ithome.com.tw/news/144493
Fortinet揭露臺灣今年首季威脅現況，近期持續有病毒鎖定2017年已知Office漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於2021第一季網路威脅趨勢，資安業者Fortinet在今年5月中旬在臺公布資安威脅情報，特別針對臺灣的殭屍網路與病毒攻擊的態勢，提供了他們所偵測分析的相關數據。同時，Fortiguard Lab<a href="https://www.fortiguardthreatinsider.com/en/bulletin/Q1-2021">新提供Threat Intelligence Insider網站</a>，這是去年底設立，將他們每季在全球各地偵測出的資安威脅統計資料，開放給外界能夠直接檢視。</p> <h2><strong>年初臺灣常見的Botnet攻擊有4類，並呼籲重視家用路由器安全</strong></h2> <p>以今年第一季而言，殭屍網路威脅持續受關注，過去不少資安業者都提到，臺灣遭遇殭屍網路攻擊高於全球平均，而在Fortinet公布的最新結果中，持續呈現出這樣的態勢。</p> <p>該公司資安威脅情報中心臺灣區經理林樂指出，今年初有4大殭屍網路活動相當盛行。從他們在臺灣布建的感測器（Sensor）得到的統計數據，首季偵測的觸發Botnet網路活動，達183.6萬次，佔全球比例為3.04%。</p> <p>若以殭屍網路類型而言，第一名是GhOst Rat，在臺有67%的感測器都發現這個殭屍程式的活動；其次為Bladabindi（66.35%）、Mirai（63.88%）與TrochilusRAT（57.31%），都有被過半比例的感測器發現其活動。</p> <p>林樂進一步說明，帶來影響最嚴重的GhOst Rat，是中國駭客組織多年來常使用於網路間諜活動，而針對IoT設備的Mirai，自2016年盛行以來，至今仍是一大焦點。較特別的是，Bladabindi（又名njRAT/Njw0rm）為一開源遠端存取工具，因為它的開源及可客製性，使其危害有持續擴大的跡象。</p> <p>另一方面，林樂特別點出家用路由器攻擊的威脅，並提醒臺灣要重視這樣的問題。家用路由器的威脅面不少，除了被當成DDoS跳板，設備被入侵的風險也會為用戶帶來極大風險，他舉出其中一例，當家用路由器被入侵，駭客可藉由污染路由器DNS快取資料的方式，以誘騙受害者從原本正確的網址，連上錯誤的IP位址，進而導向偽冒的釣魚網站騙走帳密。而由於現在遠端工作成常態，企業防護考慮若不周全，家用路由器的安全也勢必為企業帶來影響。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(上)（圖1）Fortinet 2021資安威脅趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E4%B8%8A)%EF%BC%88%E5%9C%961%EF%BC%89Fortinet%202021%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p>Fortinet資安威脅情報中心臺灣區經理林樂表示，在Fortinet布建在臺灣的所有感測器（Sensor）中，共偵測到觸發了183.6萬次的Botnet網路活動，佔全球比例為3.04%，其中又以與中國駭客有關的GhOst Rat居於第一，有臺感測器有67%都發現這個殭屍程式的活動。</p> </blockquote> <h2><strong>鎖定數年前已知漏洞的攻擊今年依舊，企業不該漠視</strong></h2> <p>接下來，在病毒威脅趨勢方面，Fortinet在臺灣首季偵測到的病毒數量為13.8萬，佔全球偵測結果的1.89%。</p> <p>以病毒類型來看，前三名的病毒分別是JS/Agent.55EE!tr（14.89%）、HTML/Agent.DBCVItr（14.85%），以及W32/Injector.EONLItr（12.98），Fontinet偵測到上述病毒威脅的比例，都近1成5。</p> <p>林樂表示，雖然一些攻擊在某個月特別盛行，不過持續性的趨勢更值得關注。例如，排名第4的MSOffice/CVE_2017_11882.C!exploit，他們偵測到的攻擊排名是持續上升，到了3月躍升為第一，而且，它鎖定的是2017年已揭露並修補的微軟Office漏洞。</p> <p>為了說明這個CVE 2017-11882漏洞的嚴重性，以及已知漏洞沒有適當修補的風險，林樂表示，這個漏洞也同樣影響Office 365提供的軟體，主要是記憶體異常所導致。當Office環境存在此一弱點，使用者在開啟惡意文件的同時，就會立即觸發惡意程式碼執行，不需要與使用者互動，換言之，這並不像透過惡意巨集的技術手法（啟用巨集後才會執行），因此危害極大。</p> <p>是否還有其他已知漏洞的問題需要注意？針對企業的網路應用面向，林樂特別強調兩例，包括：Apache Axis2帳號密碼預設為固定Admin/axis2，編號為CVE-2010-0219的漏洞問題，已經存在10年之久；而Bash Shell功能定義無法在環境變數值中解析，編號為CVE-2014-6277等的6個漏洞，2014年揭露起至今，仍然大量被使用作為預設自動攻擊腳本。這些，都是沒有適當修補更新的問題。</p> <p>同時他亦提醒，包括Joomla與Wordpress等網站內容管理平臺（CMS），有些漏洞相當危險，用戶卻沒有更新修補，還有PHP方面也值得重視，因為這一年來，PHP相關漏洞在exploit-db資料庫上，多達40個以上。</p> <p>另一方面，綜觀現有資安防護產品的發展趨勢，市面上已經有越來越多業者從EDR發展至XDR，Fortinet也不例外。在本次Fortinet舉行的威脅情報發表會中，他們表示今年新推出了FortiXDR解決方案，同時已釋出最新FortiOS 7.0版本，目標是讓網路、端點與雲端的安全強化，並能提供一致化的安全性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(上)（主圖）Fortinet 2021資安威脅趨勢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E4%B8%8A)%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Fortinet%202021%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85%E8%B6%A8%E5%8B%A2.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在2021年第一季針對臺灣的病毒威脅中，Fortinet指出排名第4、針對2017年微軟Office漏洞攻擊的病毒，最值得關注，不僅</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">時至今日仍持續偵測到大量攻擊活動，且</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攻擊排名每月逐步上升，到了3月居於第一。</span></p> </blockquote> </div></div></div>
2021/5/19 14:49作者羅正漢https://www.ithome.com.tw/news/144494
Google計畫於今年發表網頁版的皮膚病AI協助診斷工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/health/ai-dermatology-preview-io-2021/" target="_blank">Google Health團隊於本周宣布</a>，他們已建立了一個可以協助診斷皮膚病的AI模型，使用者只要透過手機拍下患部照片，再回答相關資訊，該AI工具就能分析出可能的疾病。此一工具已取得歐盟一級醫療裝置的CE認證，且Google準備在今年發表網頁版的應用，以造福大眾。</p> <p>Google Health說明，每年他們從Google搜尋上，都可以看到接近10億次的搜尋是有關皮膚、指甲與頭髮的問題，且全球約有20億民眾深受皮膚病之苦，卻沒有足夠的皮膚病專家，而且透過搜尋很難精確地形容使用者的皮膚症狀，而此一AI工具則能藉由分析手機相機所拍攝的患部照片，以及使用者的回答，提供可能的疾病資訊。</p> <p>使用者只要拍攝及上傳有狀況的皮膚、頭髮或指甲在3個不同角度的照片，接著回答諸如年紀、性別、種族、皮膚類型、狀況已維持多久、或是其它症狀等資訊來縮小範圍，接著AI工具就會進行分析，並從288種皮膚疾病中找出適合的幾種供使用者參考。</p> <p>此外，該工具還會提供這些疾病的醫生見解、常見問題，以及網路上的相關照片。Google Health團隊強調，此一工具的目的並非是直接提供診斷，或者是用來取代醫學建議，因為有許多疾病需要醫生親自檢查，或進行其它檢查才能判斷，只是希望讓使用者得以存取權威資訊，並做出更明智的下一步決定。</p> <p>雖然Google Health不建議使用者直接把它當作皮膚疾病的診斷工具，但其實該團隊發表在《自然醫學》（Nature Medicine）期刊的研究報告中，顯示此一AI系統所能達到的準確度，已與美國的皮膚科醫生相當。</p> <p>由於該工具尚未通過美國食品藥物管理局（U.S. Food and Drug Administration, FDA）的核准，所以Google Health所打造的網頁版應用，初期可能只支援歐洲市場。</p> </div></div></div>
2021/5/19 15:09作者陳曉莉https://www.ithome.com.tw/news/144495
首個Android 12測試版出爐，更注重個人化及隱私，將可替汽車開鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-12-beta/" target="_blank">Google周二（5/18）發表了Android 12第一個測試版（Beta）</a>，新版本提供更多個人化功能，有更流暢的動態，重新安排系統空間，嵌入隱私儀表板，且Android 12亦可望於今年內成為數位汽車鑰匙，替使用者的愛車開鎖。涵蓋Pixel、Asus及OnePlus<a href="https://developer.android.com/about/versions/12/devices" target="_blank">等十多種品牌的Android手機</a>，都可安裝Android 12測試版。</p> <p>Android 12的個人化主要呈現在顏色上，當使用者選擇了某個色系的桌布時，系統就會自動在通知欄、鎖住螢幕、聲音控制或工具上採用同樣的色系，Google也將此一個人化技術命名為「Material You」。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/3._Android_12_Color_Extraction.gif" style="width: 350px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>此外，當使用者於Android 12上切換各種功能時，由於Google已翻修並簡化其底層的互動，使得系統的反應更快、畫面也更流暢，更重要的，它讓核心系統服務使用CPU的時間減少了22%，也讓系統伺服器使用大核心的時間減少15%，代表它將更省電。</p> <p>重新設計系統空間的目的是為了簡化操作，例如長按電源鍵就能呼叫Google Assistant，請它打電話、啟用程式、問問題或是唸出文章。</p> <p>新的隱私儀表板則可一次檢視所有程式在裝置上被賦予的存取權限，包括它們存取了哪些資料，以及多常存取這些資料，且自儀表板就可直接撤銷程式權限；且只要有程式正在存取你的相機或是麥克風，手機桌面的右上角就會出現指標；對於必須要存取使用者位置的程式，Android 12新增了一個「大約位置」（approximate location）的選項，以取代精確位置，例如天氣程式只需要使用者的大概位置，就能提供氣象資訊。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/1._Android_12_Privacy_Dashboard.gif" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>Android 12還有一個「Android隱私運算核心」（Android Private Compute Core），把特定功能的資料處理維持在裝置上，像是即時字幕、可查詢附近所播放音樂的Now Playing，以及智慧回覆（Smart Reply）等，以保障用戶隱私。</p> <p>另一個值得期待的功能為<a href="https://blog.google/products/android/better-together/" target="_blank">數位汽車鑰匙（digital car key）</a>，允許使用者透過手機來鎖住、解鎖或啟動汽車，該功能奠基於超寬頻（Ultra Wideband，UWB）技術，當汽車支援NFC時，只要把手機貼近汽車就能解鎖，還能自遠端分享汽車鑰匙予借車的親友。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/3._Digital_Car_Key.max-1000x1000.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></p> <p>Android 12測試版支援十多種品牌的Android手機，從Google Pixel、ASUS、OnePlus、Oppo、TCL、Vivo、小米到ZTE等，而數位汽車鑰匙則會在晚一些支援特定的Pixel與Samsung Galaxy手機，目前Google正與BMW等汽車品牌合作，以提供數位汽車鑰匙功能。</p> </div></div></div>
2021/5/19 13:41作者陳曉莉https://www.ithome.com.tw/news/144489
行政院推出簡訊實聯制，5秒3步驟快速登記，開放民間業者免費申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內COVID-19疫情警戒提升之後，民眾出入超商、量販店、百貨公司、餐廳等各種場所，需要完成實聯制才能進入，但目前各場所使用的實聯制不一致，民眾填寫資料也耗費較長的時間，為此，行政院今天(5/19)推出簡訊實聯制，結合電信業者簡訊發送機制及1922，強調只要掃碼、點選連結、發簡訊3步驟，約5秒鐘就能完成實聯制，目前開放民間業者申請使用，今天開始大眾運輸服務已開始採用簡訊實聯制。</p> <p>上周末國內疫情升溫，為擴大防疫工作，行政院長蘇貞昌召開財經首長會議、產業防疫會議、地方首長會議後，有地方首長表示將開發實聯制，已進入壓測階段，蘇貞昌隨後召集政務委員唐鳳、交通部長王國材、中華電信總經理郭水義，準備推出政院版的實聯制工具，僅花三天時間，行政院今天對外發表這套簡訊實聯制。</p> <p> </p><p>行政院推出的簡訊實聯制，簡單來說，民眾今後出入各個場所，如果該場所採用簡訊實聯制，會提供一組QR Code，民眾只要以手機上的Line疾管家實聯制掃碼，如使用較新的手機，直接以相機掃碼，再點選掃碼出現的連結，按下傳送簡訊給1922，即完成整個實聯制過程。這套簡訊實聯制強調民眾免下載App、免輸入資料、免費使用，且店家不會留存個資。</p>"> <p><strong>目前Line疾管家已提供簡訊實聯制掃碼功能：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20210519-112136.jpg" style="width: 300px; height: 617px;" /></p> <p> </p> <p><strong>簡訊實聯制，簡言之，發送含有場所代碼的簡訊至1922，資料均在電信商內留存，僅供防疫使用。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_20210519-113313.jpg" style="width: 300px; height: 617px;" /></p> <p> </p><p>唐鳳表示，店家要確認的是，民眾掃碼後點入連結，出現發送簡訊給1922，下方顯示場所代碼(即店家代碼)，民眾按下發送簡訊後，店家不會收到回傳訊息，只要確認民眾已送出簡訊，就能放行進入場所。</p> <p>值得注意的是，目前在Line疾管家上的實聯制掃碼功能，僅能掃描簡訊實聯制的QR Code，不支援將簡訊送到其他號碼，或不是簡訊的QR Code；另外，Line的加入好友功能的掃碼功能，因不支援傳送簡訊，因此，要在Line使用實聯制掃碼，得透過Line疾管家才能使用。</p> <p>如果民眾所使用的手機無法掃碼，也能開啟手機的簡訊程式，收件人輸入1922，再輸入簡訊實聯制海報上的店家代碼，按下發送簡訊也能完成實聯制。換言之，即使民眾沒有申辦手機上網，還是能透過傳統的簡訊發送方式，傳送簡訊完成實聯制。</p> <p>唐鳳指出，過去1922僅是民眾疫情通報的管道，現在加入了簡訊實聯制的功能。傳送簡訊之費用均由五大電信吸收，如手機出現可能會收取簡訊費用，只要點選「知道了」，實際上並不會收取簡訊費用。</p> <p>民眾發出的簡訊，都是送到各自門號的電信商，屬於網內傳送簡訊，實聯資料都留在電信商，包含發送簡訊的門號、時間、店家代碼，並註明資料僅供防疫目的使用，作為28天內疫調追蹤之用，不會用於廣告行銷使用，且店家並不會留有資料。</p> <p>這套簡訊實聯制工具，目前已先開放公部門申請使用，行政院將在今天下午3點開放民間業者線上申請，由疾管家、g0v、中華電信、關貿網路合作，利用口罩實名制的介面，開發簡訊實聯制的<a href="https://emask.taiwan.gov.tw/real/" target="_blank">線上申請平臺</a>，申請不限資格，只要有可收簡訊的手機就能申請，以業者為例，可為100家門市申請產生100個簡訊實聯制QR Code。</p> <p>目前在線上申請平臺上，申請者身分分為法人店家、個人店家、政府機關、交通事業4種身分，小攤商可以選擇個人店家，再依指示選擇身分認證的方式，包括自然人憑證、行動電話認證、健保卡+註冊密碼、簡易認證等，再填寫申請店家資料。</p> <p>唐鳳表示，簡訊實聯制適用於店家或沒有統編的小攤商，公關機關及公共運輸，簡訊實聯制有幾項特色，發送簡訊不收費，不需加入會員，也不需要特殊的設備才能使用，即使是陽春的手機也能使用，另外，民眾不會在店家留存個資。如民眾不方便使用手機，還是能以紙筆方式留下實聯資料。</p> <p>行政院並沒有強制外界使用，各界還是可以使用自己的實聯制工具，或是地方縣市政府自行的開發的實聯制系統。</p> <p>目前公共運輸方面，交通部已推動高鐵、台灣採用簡訊實聯制，高鐵12個站在今天中午就開始提供簡訊實聯制QR Codew，台鐵方面，台北、台中、高雄、花蓮4個站在今天中午先提供，明天早上全數的200多個台鐵車站都會加入。交通部也準備在國道客運推動簡訊實聯制，至於捷運、市區公車，由各家公司提申請，計程車則由六都、公路總局統一申請，發放QR Code給計程車駕駛使用。</p> <p>交通部長王國材提醒，如果民眾使用已記名的電子票證，搭乘大眾運輸工具就不需要再使用簡訊實聯制。地方縣市政府若自行研發實聯制，原則上尊重各地方政府決策，若地方政府尚未建立或僅建置部分，強烈建議採用簡訊實聯制。</p> <p>至於地方政府，臺北市與高雄市也各自推動自己的實聯制，臺北市將原本公共場域使用的實聯制，近期準備開放民間業者申請。而民間業者，連鎖超商也有各自的實聯制方式，例如7-Eleven提供手寫、QR Code掃碼，若使用掃碼，需再填寫姓名、手機、同行人數等資料，7-Eleven與全家也在會員App提供實聯制功能，其中全家強調兩步驟快速通關進入門市。</p> ">">"> </div></div></div>
2021/5/19 13:55作者蘇文彬https://www.ithome.com.tw/news/144487
Chrome補強密碼管理功能，一鍵幫你改外洩密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/automated-password-changes/" target="_blank">Chrome本周再強化其密碼管理功能</a>，過去Chrome會在第三方網路服務發生個資外洩事件時通知用戶，並引導用戶至該站修改密碼，然而，現在這些網路服務只要支援Google所開發的Duplex on the Web功能，Chrome用戶就能在被知會密碼外洩意外時，直接進行修改，不必再造訪第三方網站。</p> <p>Duplex on the Web是Google在2019年發表的功能，它允許Google Assistant替使用者自動化於第三方網站上的各種任務，<a href="https://www.ithome.com.tw/news/134352" target="_blank">例如協助Android用戶完成網路訂票與付款</a>。</p> <p>現在Google則把Duplex on the Web應用在幫Chrome用戶修改密碼上。例如Twitter已經支援Duplex on the Web，假設某天Twitter發生了資料外洩事件，Chrome用戶在獲得通知之後，只要按下Change Password，就能直接於Chrome的密碼管理服務中完成密碼的修改程序，而不必再連至Twitter。</p> <p>Google表示，Chrome的密碼管理功能是由慕尼黑的安全專家及工程師團隊負責，他們陸續開發了密碼生成工具、密碼外洩檢查，以及最新的自動化密碼變更程序。</p> <p>不過，要使用此一自動化密碼變更程序有幾個要件，一是第三方網站必須支援Duplex on the Web，二是它現在僅適用於啟用密碼同步功能的Android用戶，此外，該功能初期僅於美國市場推出，預計在未來幾個月才會部署至其它國家。</p> </div></div></div>
2021/5/19 13:58作者陳曉莉https://www.ithome.com.tw/news/144491
資安一周第146期：歐洲大型保險業者、愛爾蘭衛生單位接連遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">5/13-5/19 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃資安險</strong></span></h3> <h2><strong style="vertical-align: top;">歐洲大型保險業者AXA遭勒索軟體攻擊，疑似與保單不再理賠贖金有關</strong></h2> <p>總部位於法國的歐洲大型安盛集團（AXA）於5月16日宣布，該公司已淪為勒索軟體的受害者。至於攻擊者的身分，勒索軟體集團Avaddon在5月15日表明自己是始作俑者，他們宣稱已取得AXA集團3TB檔案，並要求在240小時內支付贖金，否則就要公布這些機密資料。</p> <p>外界揣測，駭客很可能是特別選定AXA作為攻擊對象。因為該公司甫宣布，法國版資安險的承保內容，將不再包含與勒索軟體攻擊有關的贖金，也使其成為全球第一家拒絕替客戶支付贖金的保險業者。<strong><a href="https://www.ithome.com.tw/news/144457">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃醫療機構</strong></span></h3> <h2><strong style="vertical-align: top;">愛爾蘭健康服務管理署傳出遭重大勒索軟體攻擊</strong></h2> <p>愛爾蘭健康服務管理署（HSE）於5月14日證實，他們遭國家駭客組織發動勒索軟體攻擊，迫使他們預防性切斷網路系統。當局表明拒絕付款。</p> <p>此起事故也引發多家媒體關注。根據RTÉ News報導，駭客在這次攻擊使用勒索軟體Conti，並利用人為操作駭入HSE網路，植入勒索軟體。而在另一家媒體金融時報的新聞則提到，歹徒要求愛爾蘭衛服部以比特幣支付贖金。此外，由於受到網路中斷影響，有一家都柏林醫院暫時關閉所有科別的運作，僅開放孕期36週以上的孕婦求診。<strong><a href="https://www.ithome.com.tw/news/144454">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/146-1-HSE-IT-cyberattack.png" style="width: 400px; height: 265px;" /></p> <p><span style="color:#808080;">圖片來源：愛爾蘭健康服務管理署</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃勒索軟體攻擊</strong></h3> <h2><strong style="vertical-align: top;">DarkSide勒索軟體伺服器疑遭扣押</strong></h2> <p>宣稱攻擊美國最大燃油管道系統的駭客組織DarkSide，其營運可能出現問題。因為在5月13日，網路威脅情報分析師Dmitry Smilyanets在俄羅斯駭客論壇Exploit發現一則相關訊息。DarkSide宣布他們已無法存取自家的部份基礎設施，包括部落格、支付伺服器，以及SDN伺服器，疑已遭到執法機關扣押。。</p> <p>目前並不確定是否真有其事，美國政府也拒絕評論。Dmitry Smilyanets警告，這有可能只是DarkSide集團的詭計。因為美國總統拜登曾表明政府會出手破壞DarkSide的架構，駭客很可能利用拜登的說法順水推舟，而不必把犯罪所得分給會員。<strong><a href="https://www.ithome.com.tw/news/144452">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/146-2-darkside-out-of-service.png" style="width: 400px; height: 229px;" /></p> <p><span style="color:#808080;">圖片來源：Dmitry Smilyanets</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">資安業者Rapid7原始碼因Codecov攻擊而外洩</strong></h2> <p>程式碼測試率評估（Code Coverage）解決方案供應商Codecov，在4月中旬宣布遭到駭客入侵，因而危及採用該公司服務的眾多客戶，但到底有那些廠商受害？美國資安業者Rapid7於5月13日表示，該公司內部所使用的某些工具程式碼因此而外洩，但並未波及產品程式碼。</p> <p>得知Codecov被駭事故的消息後，Rapid7立即著手執行事故回應的程序。不過，該公司並未廣泛使用Codev提供的腳本程式，主要是他們用來維護MDR服務的CI伺服器、當中的內部應用的測試及建置工具，Rapid7表明只有部分MDR用戶受到影響。<strong><a href="https://www.ithome.com.tw/news/144423">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃物聯網裝置</strong></h3> <h2><strong style="vertical-align: top;">研究人員掀蘋果AirTag與Find My安全漏洞</strong></h2> <p>蘋果於4月20日甫發表的物件追蹤器AirTag，其安全性引起許多資安專家的關注。先是有<a href="http://www.ithome.com.tw/news/144343">德國安全研究人員Thomas Roth於5月12日，入侵AirTag的微控制器</a>，竄改該裝置用來連結所有人資訊的網址；隔天，德國資安業者Positive Security披露另一個破解路徑──他們仿冒AirTag以廣播資料，再利用蘋果的「尋找（Find My）」網路來傳播資料。</p> <p>從導致的影響來看，實際上，此攻擊只是利用全球的Find My節點來幫忙傳送資料，主要影響是消耗頻寬，但研究人員也提出可能濫用的情況，例如，駭客在隔離的網路環境，可利用此管道來傳送機密的感應器數據。<strong><a href="https://www.ithome.com.tw/news/144390">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃Wi-Fi</strong></span></h3> <h2><strong style="vertical-align: top;">存在於所有Wi-Fi裝置的FragAttacks漏洞，可被駭客用來竊取個人資訊和攻擊裝置</strong></h2> <p>資安研究人員Mathy Vanhoef公布一系列Wi-Fi裝置安全漏洞，這些弱點被統稱為FragAttacks，是碎片（Fragmentation）與聚合攻擊（Aggregation Attacks）組合而成，而且，對於全球Wi-Fi裝置而言，均無一倖免，包含最新的WPA3規範，都存在設計缺陷。位在受害者無線網路訊號範圍內的攻擊者，將可以利用FragAttacks漏洞竊取用戶資訊，同時對裝置發動攻擊。<strong><a href="https://www.ithome.com.tw/news/144352">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊</strong></span></h3> <h2><strong>竊取密碼、瀏覽器資料的RevengeRAT木馬藏身釣魚信件</strong></h2> <p>曾於2015年首度出現的RevengeRAT（亦稱AsyncRAT）木馬程式，近日再度被用釣魚郵件攻擊，微軟於5月12日提出警告。</p> <p>在最近幾個月，他們發現RevengeRAT的蹤跡，攻擊者持續透過魚叉式網路釣魚信件散布，之後再藉著這個木馬程式植入惡意程式，以竊取受害者資料，攻擊目標是航空、貨運，以及旅遊業者<strong><a href="https://www.ithome.com.tw/news/144427">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/146-3-RevengeRAT.png" style="width: 400px; height: 230px;" /></p> <p><span style="color:#808080;">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">微軟發布5月例行修補資安通告，已有漏洞出現攻擊工具</strong></h2> <p>微軟於5月11日的修補星期二（Patch Tuesday）中，修補55個安全漏洞，相較於其他月份，總數下降許多。不過，值得留意的是，這些漏洞當中，有4個屬於重大等級漏洞，當中有3個為未知漏洞，而且，其中之一已有濫用的攻擊程式現身。<strong><a href="https://www.ithome.com.tw/news/144350">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Adobe修補已被濫用的Acrobat程式碼執行漏洞</strong></h2> <p>Adobe於5月11日釋出安全更新，修補43項漏洞，當中有1個已出現攻擊行動的Acrobat任意程式碼執行漏洞。</p> <p>該漏洞發生在Windows及macOS版Acrobat，以及Acrobat Reader，編號CVE-2021-28550。Adobe並未詳述細節，他們僅表示，一旦遭到攻擊者濫用，可在現有用戶環境下執行任意程式碼，因此，該漏洞也被列為重大風險漏洞。<strong><a href="https://www.ithome.com.tw/news/144348">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃上網用戶追蹤</strong></span></h3> <h2><strong style="vertical-align: top;">研究人員揭露可讓第三方跨瀏覽器追蹤用戶的漏洞</strong></h2> <p>網路詐騙偵測解決方案開發商Fingerprintjs揭露了瀏覽器最新的Scheme Flooding漏洞，研究人員發現Chrome、Firefox、Safari，以及Tor等瀏覽器都受該漏洞影響，可讓有心人士跨瀏覽器追蹤用戶，即便用戶使用匿名瀏覽也沒有用，此漏洞允許第三方跨不同瀏覽器進行追蹤，侵犯用戶的隱私。<strong><a href="https://www.ithome.com.tw/news/144424">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144277">研究人員控訴蘋果對App Store上的詐騙程式置之不理</a><br /> ●<a href="https://www.ithome.com.tw/news/144456">蘋果追蹤透明化上路，僅13%的程式用戶同意被追蹤</a><br /> ●<a href="https://www.ithome.com.tw/news/144330">四名經營防彈主機服務的東歐人士遭逮認罪</a></h3> </div></div></div>
2021/5/19 11:34作者周峻佑https://www.ithome.com.tw/news/144483
微軟正式釋出Windows 10 21H1，首波開放2004/20H2 PC安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在Google I/O發表眾多產品與服務的當天，<a href="https://blogs.windows.com/windowsexperience/2021/05/18/how-to-get-the-windows-10-may-2021-update/" target="_blank">微軟也宣布</a>今年上半年的Windows 10 21H1更新，於即日起正式釋出，首波開放Windows 10 2004及20H2的PC用戶主動下載。</p> <p>Windows 10 21H1正式名稱為May 2021 Update，微軟已在過去幾個月將最終版本釋出給Insider測試方案通道，<a href="https://www.ithome.com.tw/news/144106" target="_blank">4月則對測試人員釋出了最終版本19043版</a>。不過正式釋出日期仍較媒體預估和5月份Patch Tuesday一起釋出晚了一周。</p> <p>微軟Windows Servicing and Delivery產品管理部門副總裁John Cable指出，正式版本仍採取階段性部署，一開始將以主動下載者（seeker）為釋出對象，並在未來幾周逐步開放下載，以確保安裝的穩定性。此外，下載過程中若偵測到用戶裝置不相容，安裝也不會成功。</p> <p>Windows 21H1一開始將部署到跑Windows 10 2004及20H2的特定PC。有興趣的使用者可以點選「設定」、「更新&安全」、「Windows Update」、「檢查更新」路徑。如果用戶所在地已經部署了21H1，就會看到「下載安裝」的選項。下載完成後，使用者將可選擇完成安裝的屬意時間。一如2004及20H2，21H1也是所謂的enablement package update，即小幅更新，跑Windows 2004和20H2的電腦將可快速升級，好比安裝每月更新（monthly update）一般。</p> <p>最新Windows 半年更新主要新功能包括：Windows Hello多相機支援，會在同時有內、外Windows Hello相機時，預設啟用外部相機；提升Windows Defender Application Guard的效能，包括最佳化文件開啟時間；以及提升WMI（Windows Management Instrumentation）群組服務的更新效能，以支援遠距作業等。</p> <p>21H1將同步釋出給企業用戶，釋出管道包括Windows Server Update Services （Configuration Manager）、Windows Update for Business以及大量授權服務中心（Volume Licensing Service Center，VLSC）。所有平臺的21H1用戶將會獲得18個月的技術支援。微軟也鼓勵企業用戶階段性實施部署。</p> </div></div></div>
2021/5/19 11:50作者林妍溱https://www.ithome.com.tw/news/144485
微軟證實不會有Windows 10X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天<a href="https://www.ithome.com.tw/news/144485" target="_blank">釋出Windows 10 21H1更新</a>的同時，<a href="https://blogs.windows.com/windowsexperience/2021/05/18/how-to-get-the-windows-10-may-2021-update/" target="_blank">微軟也證實不會有Windows 10X了</a>，10X的技術將會被整合到微軟其他產品中。</p> <p><a href="https://www.ithome.com.tw/news/144278" target="_blank">上周媒體</a>引述消息人士報導微軟可能擱置Windows 10X。Windows 10X是相較ChromeOS的版本，是為基礎型裝置而設計。原本它預計搭載雙螢幕裝置，去年五月微軟又宣布Windows 10X將優先支援二合一筆電或單螢幕裝置，預計2021年問世，明年才會支援雙螢幕。</p> <p>微軟Windows Servicing and Delivery產品管理部門副總裁John Cable指出，經過一年的思考及和客戶溝通，微軟認為10X的科技適用對象超出原先想像，應該不只限於一部份用戶。因此微軟不會如原先規劃，在今年推出名為Windows 10X的產品，而會將10X的關鍵底層技術整合到Windows 和微軟其他產品中。</p> <p>但他指出，其實10X的技術已經加入到Windows Insider預覽版本裏的OS核心中，例如新的App容器技術將整合到應用程式安裝軟體Microsoft Defender Application Guard、語音輸入Voice Typing，及可調整按鍵大小、顏色和音效的觸控鍵盤。微軟表示，Windows團隊也會持續研究將10X技術，用在公司其他產品及服務上。</p> </div></div></div>
2021/5/19 12:04作者林妍溱https://www.ithome.com.tw/news/144486
金管會揭露金融機構居家或異地辦公最新狀況，並強調必須維持營運服務不中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應疫情趨於嚴峻，金管會在今天（5/18）已函請各銀行，要求銀行因應疫情進行準備措施。金管會銀行局副局長黃光熙表示，金管會要求銀行的自動櫃員機（ATM）必須隨時備妥現金，並保持順利運作。他也強調，無論接下來疫情警戒面臨何種階段，銀行都要保持ATM運作順暢。</p> <p>為了確保金融服務營運不中斷，銀行對於疫情也訂有不同階段的應變計畫。黃光熙提到，未來，金管會將依照中央流行疫情指揮中心（以下簡稱指揮中心）所發布的警戒標準，督導金融機構進行相關因應措施。但，「維持營運不中斷是基本原則，銀行必須維持金融業務運作的順暢。」黃光熙強調。</p> <p>為了配合指揮中心宣布，從5月11日起到6月8日提升疫情警戒標準至第二級「出現感染源不明之本土病例」階段，金管會就已在上週二（5/11）請各金融機構確實遵守指揮中心發布的相關防疫措施。</p> <p>包括了落實民眾進入金融機構營業場所強制配戴口罩的規定，以及確實執行體溫量測等防疫措施；停辦室外500人以上，室內100人以上的集會活動；以及，各金融機構若採行居家辦公、分區或異地辦公，需強化內控機制，並落實內部所訂的遠端作業營運管理辦法，並注意維持內部控制制度的有效性。此外，各金融機構要經常實施辦公環境與營業場所的消毒工作，落實強化防疫措施，如果有確診或疫情立即通報，並做妥適隔離、消毒處置。</p> <p>根據銀行局統計，截至5月18日，26家本國銀行，以及27家的外商銀行與陸銀，皆有實施居家辦公，不過，金管會手上並沒有各家銀行居家辦公的相關統計人數。至於各金融機構的分行人力調配，黃光熙則提到，銀行需視其業務規模與地區特性來彈性調度人力，並自行評估個人銀行維持營運不中斷的最低人力需求。</p> <p>在保險業部分，金管會保險局副局長張玉煇表示，保險局持續督導保險公司針對各種疫情狀況來研議因應措施，原則也是確保營運不中斷，且各保險公司也訂有營運不中斷的計畫。張玉煇強調，保戶理賠不會中斷，保險公司已有線上理賠申請平臺，讓保戶可線上申請理賠，此外，也可與保險業務員透過視訊方式來溝通。</p> <p>至於保險業員工居家班公情形，根據保險局統計，截至5月17日，有19家產險公司皆已啟動居家辦公或異地辦公，其中有14家產險公司是兩項措施都有採用，5家產險業者採取其中一項措施。22家壽險公司，全數啟動居家辦公或異地辦公，其中有17家壽險公司兩項措施都有採用，5家壽險業者採取其中一項措施。</p> <p>針對證券期貨業，證期局副局長蔡麗玲則表示，證券商異地辦公有24家，居家辦公有13家；投信業異地辦公有16家，居家辦公有33家；投顧業者異地辦公有6家，居家辦公有44家；期貨商的部分，異地辦公有12家，居家辦公也有12家。</p> <p>蔡麗玲指出，證期局的原則也是營運不中斷，證券期貨商提供給投資人的金融服務一定不能中斷。以證券商為例，即便營業大廳不開放，但是，投資人仍然可以透過電子下單、電話語音的方式，來使用金融服務。</p> <p>蔡麗玲也進一步說明，以現行機制，證券商員工異地辦公時，可在資訊安全與符合公司內控之下，在異地進行交易；若疫情達到一定程度的話，也可以透過遠端或在家辦公方式，執行接單或相關服務提供。她提到，在持續營運不中斷的原則下，證券期貨業者都有充分備案。</p> <p>目前，金管會已要求銀保證三業，要落實防疫工作，關懷員工的健康。但，關於疫情的統計資料，是由指揮中心統一對外公布。金管會也提到，有些金融機構會自行對外說明員工確診，目前，包括有員工染疫的富邦金控、合作金庫、中華郵政，都已對外說明處置情形。</p> <p>未來，如果疫情警戒標準提升第四級，需要封城時，金管會是否有規定銀行、保險、證券業的分行、分公司最低營運人數？為此，金管會回應，並沒有強制規定，端看各業者的評估與規範。不過，金管會也強調，未來，如果有遠端交易的需求，包括銀行、保險、證券的交易部門，都需要建立授權的確認機制，包含資安的議題，以及做好遠端作業的營運管理，讓交易能順暢運行。</p> <h4><span style="color:#0066ff;"><strong>針對股東會旺季，已要求上市櫃公司強化6大防疫措施</strong></span></h4> <p>除了金融機構需嚴守營運不中斷這項大原則之外。金管會表示，5、6月為上市櫃公司召開股東會的旺季，自從提升疫情警戒至第二級起，已督導集保公司了解上市櫃及興櫃公司股東會防疫措施的準備情形；而為了因應雙北市疫情警戒標準提升第三級，金管會再請集保公司積極輔導公司因應警戒標準提升，再強化相關防疫措施以為因應，重要強化措施有6大點。</p> <p>首先，股東進入會場採實名制，需留存聯絡電話或手機號碼，並填寫健康聲明書，這是第一點；第二點是，公司應妥善規畫報到、進場及散場動線及控管人流；以及，股東會會場座位安排，需採取梅花座或間隔座法，並讓股東入座在固定座位，座位間需保持1.5公尺以上的距離，這是第三項措施。</p> <p>第四點則是，備用會場的設置，或於戶外搭建帳篷，需讓股東可全程掌握開會動態，並可發言及投票表決；第五點則、是需要加強股東會現場的消毒；最後一點是，如公司想要變更股東會場地，金管會提醒公司，要依照公司決議程序公告辦理。金管會也呼籲投資人多加採用電子投票來行使股東權利，如果必須出席股東會現場，也要確實遵守防疫措施。</p> <h4><span style="color:#0066ff;"><strong>公開發行股票的公司因現行法令限制與5大困難，尚不能以線上召開股東會</strong></span></h4> <p>依據現行法令限制，公司章程得訂明股東會開會時，以視訊會議或其他經中央主管機關公告的方式來進行；不過，公開發行股票的公司並不適用這項規定，所以，目前在法制面，公開發行公司還無法僅以線上召開股東會方式，完全取代實體股東會。金管會已請集保公司進行研究，研議線上股東會的做法。文⊙李靜宜</p> </div></div></div>
2021/5/18 21:01作者李靜宜https://www.ithome.com.tw/news/144481
IBM更新網頁無障礙檢測程式，供用戶一次掃描整個網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM為響應全球無障礙體驗日（Global Accessibility Awareness Day，GAAD），釋出網頁無障礙檢查工具<a href="https://developer.ibm.com/technologies/web-development/blogs/accessibility-checker-update/">Accessibility Checker的更新</a>，讓網頁開發者可以簡單地找出網站中，所存在的無障礙功能缺失，並且提供重要性排序，讓開發者能夠優先解決重要問題。</p> <p>即便到了2020年，仍有高達98％的網站主頁，存在明顯可偵測到的無障礙錯誤，因此為了協助開發者解決這個問題，IBM在去年的時候發布了平等存取工具包（Equal Access Toolkit），其提供了一個網站開發無障礙指南，給予無障礙應用程式所需要的資源，讓企業開發人員可在計畫、設計、開發和發布等各應用程式開發階段使用。</p> <p>而該工具包提供了一個用於檢測的自動化工具—無障礙檢測程式，可提供開發人員和測試人員有關網頁無障礙性的資訊，包括辨識出問題所在、錯誤原因以及解決辦法，該工具提供Chrome和Firefox瀏覽器擴充套件，並且還提供用於Node與Karma的持續整合擴充套件，而Node與Karma擴充套件的每周下載數平均達2萬次。</p> <p>從工具使用者所得到的回饋，IBM提到，他們發現用戶需要對整個應用程式或是網站進行測試，而非僅是單一的網頁，因為開發者在意的是，整個網站的使用者體驗流程。因此IBM現在提供更加完整的無障礙測試體驗，建構了多重掃描工具，用戶可以在同一個對話（Session）中掃描多個頁面並儲存結果。</p> <p>無障礙檢測程式新加入的功能包括，現在用戶只需要簡單點擊頁面上的按鈕，就能快速對整個應用程式或網站進行掃描，所有的掃描結果將統一彙總到Excel工作簿中，可以供用戶方便地匯出所有的內容摘要。官方提到，新的掃描功能更加靈活，用戶不只能夠選擇一次評估整個頁面，也可以僅對單一元素或是元件進行評估。</p> <p>不只找出問題，無障礙檢測程式還能明確標記發生錯誤的程式碼位置，當用戶選擇掃描結果項目，該工具會突出顯示問題在頁面上的對應位置，以及程式碼行數，用戶可以同時對照查看程式碼以及畫面錯誤。而且無障礙檢測程式還可以在不需強制頁面重新載入的情況下，讓用戶執行並且測試應用程式的動態狀態，以大幅減少工作量。</p> <p>無障礙檢測程式可對每次掃描任務添加標籤，並對掃描內容提供簡略縮圖，使得用戶更容易選擇需要在報告中包含的掃描項目，所有問題將會整理成單一份報告，並且根據對使用者體驗的影響程度，排列需改進的優先順序。</p> </div></div></div>
2021/5/18 22:05作者李建興https://www.ithome.com.tw/news/144479
國內疫情升溫進入社區傳播階段，政府籲企業落實持續營運計畫，加強產業防疫措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年衛福部因應COVID-19疫情，提出企業因應COVID-19疫情持續營運指引，最近，國內本土確診案例激增，雙北市已進入疫情警戒第三級，全國進入第二級，衛福部指疫情已進入營運指南中的持續性或廣泛性社區傳播的持續營運階段計畫階段，呼籲企業依五大架構落實持續營運計畫。行政院長周末召開跨部會會議，為避免對經濟帶來更大衝擊，將強化產業防疫措施。</p> <p>衛福部去年提出的企業因應COVID-19疫情持續營運指引，將疫情對企業營運的衝擊分為兩大階段，一是國內因境外案例而出現零星社區感染，二是更為嚴峻的疫情出現持續性、廣泛性的社區傳播階段，對兩個階段企業持續營運提出相關建議。</p> <p>疫情指揮在5月16日宣布雙北進入疫情警戒第三級，全國第二級之後，指出企業營運也將受到衝擊，籲企業依持續營運指南，降低疫情對營運的影響。</p> <p>指揮中心指出，疫情已進入發生持續性或廣泛性社區傳播的持續營運計畫階段，建議企業依疫情情境、風險評估、因應對策、應變組織和緊急聯絡網、持續營運計畫演練五大架構，落實此階段的企業持續營運計畫，指揮中心並建議企業可盤點核心任務、衝掔面，從人員、業務、生產、營運等面向評估，依評估結果，降低人員被感染的風險，包括人員辦公、出勤、出差的調整，企業持續營運的因應措施，以及其他配合衛生主管機關的措施，提供因應對策的建議或規定。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(86).jpg" style="width: 600px; height: 307px;" /></p> <p>指揮中心也提醒企業個人及工作場所衛生管理注意事項。企業應成立應變小組，依疫情指揮中心建議，作滾動式調整，並落實持續營運計畫，將疫情對營運影響降至最低。</p> <p><strong>強化產業防疫守住生產線</strong></p> <p>由於這幾天國內本土確診案例增加不少，行政院長蘇貞昌在5月16曰召開財經首長會議，討論降低疫情對我國經濟的衝擊，之後也召集相關部會討論如何強化產業防疫，要求生產、物流、航運面都要加強防疫。</p> <p>國發會主委龔明鑫表示，去年衛福部已提出企業持續營運的指引,主要有三個重點，首先，將工作區塊化、模組化，人員分組分流工作，第二，人員的健康監測及通報，第三是當人員確診後，先規畫替代方案。為進一步協助產業抗疫，院長要求經濟部、科技部重新檢視指引，經濟部透過公協會，科技部透過園區管理中心和廠商溝通，具體的強化措施，包括成立防疫應變小組，每家重要公司成立應變小組，以和園區管理中心、管理單位作橫向連繫，掌握防疫情資，檢討防疫對策，即便有零星個案確診，能夠儘快回復運作。</p> <p>第二是建立人員的管制措施，對員工、訪客、承攬商、供應商建立健康管理及篩選機制，以及異常人員的管理措施，例如戴口罩、園區的動線規畫等等；第三，對群聚的管制措施，交通車、會議、用餐、人員訓練等群聚行為的管制。第四則是針對工業區的外籍移工強化管理，包括宿舍管理、交通車、教會活動設立限制、分區分流等等。</p> <p>另外，經濟部、科技部也依持續營運指引、大廠防疫作法，對轄下管理的工業園區、科學園區提出產防疫建議，包括企業成立防疫應變小組，加強和科學園區工業區管理單位的橫向連繫，制定防疫措施，掌握最新防疫資訊，檢討防疫對策，讓企業能持續營運快速復原。</p> <p>其次是強化對人員健康的監測管理，對員工、訪客、承攬商供應商，建立體溫量測及篩檢機制，以及對健康異常人員的管理，一些較具體的做法，例如廠區全程戴口罩，對未戴口罩者開罰，管制一般訪客進入所有廠區，清點居住疫情熱區員工名單</p> <p>針對群聚行為控制，包括調整企業辦公方式、交通車管制、用餐管制、會議活動及員工訓練等，具體的做法包括實施分樓、分流、分廠管制，禁止跨區行動，關閉公共空間，啟動分區上班，分批在家上班。法說會改為線上進行，暫停跨廠區活動，改以視訊進行交流。餐食改以發放便當，暫停開放式餐飲。</p> <p>此外，也針對外籍移工也加強管理，以交通車統一上下班接送，減少移工聚會活動。</p> <p>經濟部已透過公協會向企業加強宣導防疫措施，並提供傳統產業、中小企業諮詢。而科技部則已要求業者成立應變小組，在營運及生產面上，建立分組、分流、分廠措施，並建立科學園區的疫情自主申報平臺對緊急事件、疫情通報，進行分析調查對策建議。</p> </div></div></div>
2021/5/18 20:08作者蘇文彬https://www.ithome.com.tw/news/144480
Google讓機器人學習操縱會變形的物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了最新的機器人研究，同時也開源一個名為<a href="https://ai.googleblog.com/2021/05/learning-to-manipulate-deformable.html">DeformableRavens</a>的模擬基準，目的是要加速操作可變形物體的研究。DeformableRavens內含12個任務，包括操作線材、編織物以及袋子，同時附有一個模型基礎架構，可供其他研究人員，藉由圖像來指示機器操縱可變形物體。</p> <p>目前機器人的研究，進展到了讓機器人可以抓握各種剛體，但是針對可變形物體的研究卻相當少，而抓握可變形物體的困難之處，在於很難指定這類物體的配置，研究人員舉例，剛性立方體可以確定固定點的配置，會與物體的中心點有關，因此能夠有效地描述其3D空間，但這種演算法很難描述編織物的狀態。另外，即便能夠具體描述可變形物的狀態，但其牽涉的動態力學仍然非常複雜，因為可變形物體在執行特定操作之後，很難預測其未來的狀態。</p> <p>DeformableRavens專案所提供的基礎架構，能夠讓機器人重新排列線材，使其與目標形狀相符，也能把編織物平整地放到目標區域，甚至是把物體插入到背包中，研究人員提到，這是目前第一個模擬器，可以讓機器人將物品裝入袋中，這個挑戰的難處，在於機器人必須學會複雜的相對空間關係。</p> <p>DeformableRavens是以Google先前在排列物體上的研究作為基礎，其12個模擬任務套件，針對1D、2D和3D的可變形結構，每個任務都包含一個模擬的UR5機器手臂，和一個抓捏的模擬抓取器，並與腳本演示程序綑綁在一起，可用來自動收集模仿學習（Imitation Learning）的資料。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-EjxMyDn_Ufo/YJ1Olj_BLVI/AAAAAAAAHmQ/watvFADr6e48GjgqxWpdOstpIEp_c8i4QCLcBGAsYHQ/w640-h156/image5.gif" style="width: 580px;" /></p> <p>對可變形物體來說，指定目標配置的操作任務可能更為有挑戰性，因為其複雜的動力學特性，和高維度配置空間，目標不如剛體的姿勢容易指定，而且像是把物品放進袋中這種任務，還涉及複雜的相對空間關係。因此除了腳本演示的任務之外，DeformableRavens基礎測試還包括以目標圖像指定的條件任務。對於有條件的任務，機器人必須操縱給定的物體，使其狀態與圖像中的物體配置相符。</p> <p>研究人員提到，為了在模擬基準中補充目標條件（Goal-Conditioned）任務，他們將這些目標條件整合到了之前所發布的Transporter Network基礎架構。這個基礎架構是以動作為中心（Action-Centric）的模型基礎架構，可以透過重新安排深層特徵，從視覺輸入推測出空間位移，以便良好地操縱剛體。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-4BS0nWHXHoQ/YJ1O76vHFoI/AAAAAAAAHmc/EL4XSajvtpQ7k-OS2bZ6aYhboJzyZHErACLcBGAsYHQ/w640-h200/image3.gif" style="width: 580px;" /></p> <p>該基礎架構需要將目前環境的圖像、目標圖像以及最終物體配置作為輸入，計算這兩個圖像的深度視覺特徵，藉由組合這些特徵，以操作場景中的剛體以及可變形物體。研究人員解釋，Transporter Network基礎架構的優勢在於，其保留了視覺圖像的空間結構，可以提供歸納偏置（Inductive Bias），將圖像為基礎的目標條件，重新建構成為一個更簡單的特徵配對問題，進而提高了卷積網路的學習效率。</p> <p>Google的研究顯示，目標條件的Transporter Network基礎架構，能夠良好的操縱可變形物體到指定的配置，研究人員也對2D和3D變形物體測試，Transporter Network基礎架構處理變形物體的能力，比過去方法大為進步，機器人所學習到的策略，可以有效地模擬裝袋任務，研究人員透過提供目標圖像，可讓機器人自己推測需要將物體放進哪一個袋中。</p> </div></div></div>
2021/5/18 18:32作者李建興https://www.ithome.com.tw/news/144477
Eufy監視攝影機的臭蟲害部分用戶隱私曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國媒體<a href="https://www.macerkopf.de/2021/05/17/eufy-sicherheitskameras-kaempfen-aktuell-mit-sicherheitsproblem/" target="_blank">MacErkopf於本周報導</a>，中國安克創新（Anker）旗下的智慧家庭暨保全品牌Eufy最近出現了一個臭蟲，允許監視器用戶透過Eufy Security行動程式看到別人家的監視畫面，包括即時畫面與所儲存的畫面。</p> <p><a href="https://us.eufylife.com/pages/about" target="_blank">Eufy的產品</a>涵蓋掃地機器人、智慧燈泡、家用監視器、智慧門鈴、嬰兒監視器與智慧鎖等，然而，該公司的監視器產品用戶，忽然在Eufy Security行動程式上，看到其他人家中監視器或智慧門鈴的畫面。</p> <p><a href="https://communitysecurity.eufylife.com/t/statement-from-eufy-security/1181099?u=ice4" target="_blank">Eufy很快就回應了此事</a>，表示該公司伺服器在5月17日進行的軟體更新含有一個臭蟲，在2個小時之內便已修復，建議用戶重新插拔裝置電力，登出並重新登入Eufy Security程式。</p> <p>至於<a href="https://www.macerkopf.de/2021/05/17/anker-aeussert-sich-zu-eufycam-sicherheitsproblem/" target="_blank">Eufy寄給MacErkopf的聲明</a>中則描述了更多的細節，指出只有0.001%的用戶受到該臭蟲的影響，且只波及在美國、紐西蘭、澳洲、古巴、墨西哥、巴西與阿根廷的用戶，歐洲用戶並未受到影響，同時也未影響嬰兒監視器或智慧鎖等其它產品。</p> </div></div></div>
2021/5/18 17:32作者陳曉莉https://www.ithome.com.tw/news/144476
Nvidia開放測試Omniverse Machinima，讓用戶使用遊戲場景重製動畫說故事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia釋出了一個讓開發人員和遊戲創作者，可以用動畫說故事的3D工具<a href="https://developer.nvidia.com/blog/nvidia-omniverse-machinima-now-available-in-open-beta/">Omniverse Machinima</a>，該工具已經進入公開測試，用戶現在可以在上面協作，並且製作逼真的遊戲動畫。</p> <p>Omniverse Machinima包含了一套工具以及擴充套件，讓用戶可以使用遊戲場景和角色，來渲染逼真的畫面以及動畫，並且提供了Nvidia以及一系列遊戲的預製內容，用戶可以使用像是Squad:Offworld Industries、Mount＆Blade Warband等遊戲場景和角色，重新創造出新的動畫。</p> <p>在Omniverse Machinima中，用戶能以Nvidia MDL函式庫或是第三方資源庫導入材質和貼圖，並透過Audio2Face技術，讓角色臉部表情搭配上簡單的配音，而Omniverse Machinima也整合PhysX 5，Blast和Flow擴充套件，提供材質精確的物理模擬，以產生逼真的視覺特效。</p> <p>Nvidia加入了5個Omniverse平臺擴充套件，讓用戶更簡單地在Omniverse Machinima上製作動畫。擴充套件有Sequencer，該套件是一個動畫工具，具有許多動畫剪輯功能，可以創建電影流程，並且提供非線性編輯方式，Sequencer擁有傳統的時軌和播放器布局，用戶可以快速添加、刪除和編輯時軌，並且按時間順序播放。Reshade擴充套件則讓用戶使用菜單選擇系統，查看各種渲染模式，並快速套用諸如卡通或是科幻等效果。</p> <p>在人物動作方面，用戶也可以使用wrnch的人工智慧姿勢估測技術，從影片中擷取人物的動作。電腦視覺公司wrnch是Nvidia Inception計畫的一員，其提供了CaptureStream和AI Pose Estimator兩工具，前者為免費工具可讓創作者使用行動裝置鏡頭，捕捉應用程式所需要的人體動作，而後者則是一個Omniverse擴充套件，讓創作者可以連接到本地端網路上的CaptureStream應用程式。</p> <p>Omniverse用戶可以利用wrnch引擎，從影片中擷取人物動作，並且使用姿勢估測演算法來追蹤骨架和關節，來創建3D角色的動作。</p> </div></div></div>
2021/5/18 17:40作者李建興https://www.ithome.com.tw/news/144474
鎖定Windows 10 HTTP協定漏洞的概念性驗證攻擊漏洞現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名安全研究人員<a href="https://github.com/0vercl0k/CVE-2021-31166" target="_blank">Axel Souchet在GitHub上釋出</a>了針對CVE-2021-31166漏洞的概念性驗證攻擊程式，使得資安社群紛紛呼籲Windows 10用戶應儘速修補。</p> <p>微軟於今年5月所修補的CVE-2021-31166，屬於重大（Critical）等級的安全漏洞，它藏匿在HTTP協定堆疊中，是個遠端程式攻擊漏洞。<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-31166" target="_blank">根據微軟的說法</a>，未經授權的駭客可藉由傳送一個特製的封包，至利用HTTP協定堆疊（http.sys）的伺服器上來處理封包，即可開採此一漏洞，而且它具備蠕蟲性質，建議用戶應該要優先修補此一漏洞。</p> <p>受到CVE-2021-31166漏洞波及的平臺，包括Windows 10 20H2/2004的Arm64/32位元/x64版本，以及20H2及2004的Windows Server。</p> <p>資安業者<a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/major-http-vulnerability-in-windows-could-lead-to-wormable-exploit/?hilite=%27CVE-2021-31166%27" target="_blank">McAfee則詳細說明了此一漏洞</a>，表示http.sys是一個只存在於Windows的HTTP伺服器，能夠單獨運作，或是結合網路資訊服務（IIS），主要用來仲介透過HTTP請求的網路流量。</p> <p>而CVE-2021-31166漏洞的存在，則肇因於Windows在處理內含HTTP請求之網路封包的物件時，無法妥善追蹤指標，成功的開採至少可造成藍屏（BSoD），最嚴重的可導致蠕蟲式的遠端程式攻擊。當時McAfee還認為是否會出現有效的攻擊程式還值得觀察，不料幾天之後就有概念性驗證攻擊程式現身。</p> <p>Souchet所釋出的概念性驗證程式並未具備自動散布功能，而且只能執行BSoD攻擊，但駭客可能據此開發出遠端執行攻擊程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-cve-2021-31166%20PoC.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://github.com/0vercl0k/CVE-2021-31166" target="_blank">Axel Souchet</a></p> <p>McAfee表示，幸好CVE-2021-31166只波及較新的20H2/2004的Windows 10與Windows Server，因而不致於對太多企業造成影響，因為許多企業系統都還執行Windows Server 2016 或Windows Server 2019等未含有CVE-2021-31166漏洞的版本。</p> </div></div></div>
2021/5/18 18:03作者陳曉莉https://www.ithome.com.tw/news/144478
線上教學平臺酷課雲無法登入！臺北市教育局緊急擴充資源，正克服百萬爆量登入請求挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雙北昨天（5/17）緊急宣布高中職以下學校全面停課至5月28日，今日正式啟動遠距授課，卻因北市酷課雲無法登入，造成北市師生無法使用線上教材來輔助授課。臺北市教育局稍早也發布新聞稿，指出這兩日酷課雲瀏覽人次超過661萬，OnO線上課程平臺也有296萬人次造訪，因同時間大量學生登入加上部分老師緊急備課需求，造成臺北市校園帳號系統負載過量，產生登入延遲問題，已立即調整資源擴充中。</p> <p>雙北昨天宣布停課後，大批教師昨天測試酷課雲平臺時，同時湧進4萬人，就已經導致登入系統不堪負荷。面對系統登入爆量請求，北市教育局昨日下午初步排解問題，除了擴充資源外，今日也啟動了分區登入機制，在8點30分上線後，為因應將近100萬人次的登入，採取分區分流上線模式，要求各行政區學校，在8點半至9點半間，分別在指定的15分鐘內分流登入。</p> <p>比如松山區、大安區、內湖區需在上午8點30分至8點45分登入；北投區、中正區、大同區須在8點45分至9點登入；士林區、中山區、信義區需在9點至9點15分登入；文山區、萬華區、南港區需在9點15分至9點30分登入。</p> <p>然而，今日（5/18）正式啟動酷課雲平臺時，仍面臨校園單一身份驗證服務（LDAP）過載問題，北市教育局上午緊急調整資源擴充。</p> <p>無法登入酷課雲，意味著無法使用酷課雲內建的140間Adobe Connect教室，同時，由於許多教師自行規劃使用其他視訊軟體授課，包括Microsoft Teams、Cisco WebEx、Google Hangouts Meet等，皆會把直播教室的連結代碼貼到酷課雲的課程區，讓學生點擊連結後，連出平臺上課，教育局也請各校改利用Line、FB、Email、公佈欄等方式，提供其他直播教室網址，來減少登入酷課雲，並請使用者參閱酷課雲多種綁定方式，以利分流登入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-05-18%20%E4%B8%8B%E5%8D%881_43_40.png" style="width: 700px;" /></p> <p>然而，雖然視訊授課可以採用其他視訊軟體，但酷課雲平臺上仍有涵蓋國小到高中共11,284部線上教學影片、43,821道線上題庫，以及21種電子資料庫，對於教師來說，部分授課教材還是得登入酷課雲才能使用，因此，無法登入仍造成許多師生的不便。</p> <p>對此，教育局也建議，可使用酷課雲上無需登入的服務資源，如學科影片或其他已錄製的線上課程，也可使用與臺北市合作的均一教育平臺、LearnMode學習吧及教育部因材網來替代使用。</p> <p>除了雙北市面臨線上教學挑戰，教育部也宣布從明日開始，全國各級學校改採在家上課，為了避免大量登入教學平臺造成壅塞，教育部彙整線上學習資源，同時提供<a href="https://www.youtube.com/channel/UCFfPPM-2hZrctgmlyYHawmw" target="_blank">無需帳號登入的線上學習資源取得管道</a>，並分科安排近幾週課程單元，維持停課不停學。</p> </div></div></div>
2021/5/18 15:16作者翁芊儒https://www.ithome.com.tw/news/144471
無損音樂成主流，Apple Music與Amazon Music皆免費升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在串流音樂龍頭<a href="https://www.ithome.com.tw/news/142881" target="_blank">Spotify於今年2月宣布</a>將推出Spotify HiFi，提供無損（Lossless）音樂串流服務之後，Spotify最大的兩個競爭對手Apple Music與Amazon Music，不約而同地在本周一（5/17）宣布將把其音樂訂閱服務免費升級至無損音樂。</p> <p>當要把聲音或音樂轉換成數位格式時，通常會透過壓縮來降低檔案大小，但壓縮時很可能會損失最高與最低的音頻，造成聲音的失真，像是MP3、MP4、WMA或AAC等檔案格式，而可維持原有音質的無損檔案格式則包括WAV、AIFF與FLAC等。</p> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-music-hd-all-now-no-extra-cost" target="_blank">Amazon昨天一早就宣布</a>，未來 Amazon Music訂閱用戶將可免費升級到Amazon Music HD，Amazon Music HD提供逾7,000萬首高解析度（HD）的無損音樂，它們屬於16 bit位元深度及44.1KHz取樣頻率的CD品質，以及逾700萬首具備24 bit/192 kHz的Ultra HD音樂。</p> <p>目前Amazon Music有多種訂閱方案，Prime會員的每月訂閱費用為7.99美元，一般Amazon會員的每月訂閱費用為9.99美元，家庭方案則是每月14.99美元，這些方案的用戶都可免費升級至Amazon Music HD，至於Amazon Music HD用戶原本必須每月額外支付5美元，但未來費率則與Amazon Music一致。不過，Amazon Music並未於臺灣市場推出。</p> <p><a href="https://www.apple.com/newsroom/2021/05/apple-music-announces-spatial-audio-and-lossless-audio/" target="_blank">同一天蘋果也宣布</a>，自今年6月起將把Apple Music的音樂品質免費提高至無損音樂，提供逾7,500萬首無損音樂，並將支援採用杜比全景聲技術的空間音訊。蘋果的無損音樂品質亦同時包含16 bit/44.1 kHz與24 bit/192 kHz。</p> <p>蘋果說明，杜比全景聲為一沈浸式音訊體驗，能讓藝人混音創造出從四周或上方傳來的聲音，此外，Apple Music將會在自動在所有基於H1或W1晶片的AirPods與Beats耳機，或是最新版的iPhone、iPad及Mac的內建喇叭播放杜比全景聲音樂。</p> <p>Apple Music的學生訂閱方案為每月4.99美元（臺灣為70元新臺幣），個人方案為9.99美元（150元新臺幣），家庭方案為14.99美元（240元新臺幣）。</p> <p>值得注意的是，<a href="https://www.t3.com/news/airpods-max-and-airpods-pro-dont-support-apple-music-lossless-apple-confirms" target="_blank">蘋果已經向T3證實</a>，該公司所開發的AirPods、AirPods Max與AirPods Pro等藍牙耳機，並不支援Apple Music的無損音樂，因為它們在連結iPhone時只使用藍牙AAC編碼器，因而無法接收無損的ALAC檔案。</p> <p>根據市場研究機構Statista今年的調查，全球音樂串流訂閱市場的龍頭為Spotify的35%，Apple Music以19%位居第二，Amazon以15%排行第三。先前外界預期Spotify HiFi的訂閱費用將會高於基本款，在Amazon與蘋果都將用戶免費升級到無損音樂之後，Spotify是否會改變政策備受關注。</p> </div></div></div>
2021/5/18 15:21作者陳曉莉https://www.ithome.com.tw/news/144473
因應疫情全國各級學校停課改採線上教學、320位耳鼻喉科醫師投入社區篩檢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心<span lang="EN-US" xml:lang="EN-US">18</span>日公布單日新增<span lang="EN-US" xml:lang="EN-US">240</span>例本土案例、<span lang="EN-US" xml:lang="EN-US">5</span>例境外移入，為降低群聚感染風險，教育部宣布全國各級學校停班，大專院校和高中以下改採線上教學，並視為正式課程。與此同時，為防堵疑似個案社區活動，全國<span lang="EN-US" xml:lang="EN-US">320</span>位耳鼻喉科醫師自願投入社區篩檢站，大幅提高第一線防堵能量。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>指揮中心指揮官陳時中指出，今日新增<span lang="EN-US" xml:lang="EN-US">240</span>例本土個案，其中新北市<span lang="EN-US" xml:lang="EN-US">108</span>例、臺北市<span lang="EN-US" xml:lang="EN-US">102</span>例占大宗，其餘縣市包括桃園、基隆、彰化、高雄、新竹和雲林。他坦言，這幾日確診案例的分布已超過全臺半數縣市，且也擴大到學生族群。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>為此，教育部部長潘文忠指出，目前國內疫情嚴峻，為降低感染風險，自<span lang="EN-US" xml:lang="EN-US">5</span>月<span lang="EN-US" xml:lang="EN-US">19</span>日至<span lang="EN-US" xml:lang="EN-US">5</span>月<span lang="EN-US" xml:lang="EN-US">28</span>日止，全國各級學校停課、改採線上教學，補習班、兒童課照中心亦在停課範圍內。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p><strong><span style="font-size:22px;">全國各級學校停課，教育部提供因才網<span lang="EN-US" xml:lang="EN-US">YouTube</span>來避免平臺爆量</span></strong><span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>其中，大專院校和高中以下學校改採線上教學，視為正式課程，暑假不另行補課。潘文忠表示，學生以在家上課為原則，學校教職員工則以到校為原則，學校可依照網路頻寬、數位設備等資源，來評估線上上課人數，以及教師是否必須到校（或採居家教學）。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>此外，學校也可評估以同步、非同步或混成方式，來進行線上教學。潘文忠表示，學校可參考教育部<span lang="EN-US" xml:lang="EN-US">5</span>月<span lang="EN-US" xml:lang="EN-US">14</span>日頒布的「線上課程教學與學習參考指引」，來了解線上學習平臺、教學資源與工具的使用。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>與此同時，為避免大量同時登入平臺造成的流量爆量，教育部也提供不必帳號登入的<span lang="EN-US" xml:lang="EN-US">YouTube</span>線上學習資源，並分科安排近幾周課程單元（<span lang="EN-US" xml:lang="EN-US"><a href="https://www.youtube.com/channel/UCFfPPM-2hZrctgmlyYHawmw">https://www.youtube.com/channel/UCFfPPM-2hZrctgmlyYHawmw</a></span>）。教育部提供的其他線上學習平臺資源，還有教育雲線上教學便利包、臺北酷課雲、疫起線上看和均一教育平臺等。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p><strong><span style="font-size:22px;"><span lang="EN-US" xml:lang="EN-US">320</span>位耳鼻喉科基層醫師自願投入社區篩檢站，除了防堵還要做這<span lang="EN-US" xml:lang="EN-US">2</span>件事</span></strong><span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>為防堵疑似感染個案在社區活動，政府上周開始設置社區篩檢站。為加強篩檢力道，臺灣耳鼻喉頭頸外科醫學會號召全臺會員，今日共有<span lang="EN-US" xml:lang="EN-US">320</span>位耳鼻喉科醫師自願投入社區篩檢站，加碼在第一線揪出疑似感染個案、阻斷個案在社區活動的能力。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>臺灣耳鼻喉頭頸外科醫學會理事長暨彰基院長陳穆寬指出，他們在<span lang="EN-US" xml:lang="EN-US">2</span>天前發起這項社區篩檢站投入問卷，短短<span lang="EN-US" xml:lang="EN-US">2</span>日就有<span lang="EN-US" xml:lang="EN-US">320</span>位基層診所的耳鼻喉科醫師表態投入。他指出，這些醫師本身熟稔呼吸道病患照護、專業度高，有益於篩檢準確度的提高。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> <p>而新北市醫師公會理事長周慶明表示，<span lang="EN-US" xml:lang="EN-US">320</span>位醫師除了自願投入社區篩檢站外，還要協助<span lang="EN-US" xml:lang="EN-US">2</span>件事，也就是輔助<span lang="EN-US" xml:lang="EN-US">COVID-19</span>疫苗注射，以及協助居家檢疫、居家隔離和集中檢疫所民眾的通訊診療和照護工作。<span lang="EN-US" xml:lang="EN-US"><p></p></span></p> </div></div></div>
2021/5/18 15:47作者王若樸https://www.ithome.com.tw/news/144475