iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

加密貨幣交易中心Africrypt宣稱遭駭，創辦人與價值21億美元的比特幣皆消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，由兩兄弟Raees Cajee與Ameer Cajee在南非創立的加密貨幣交易中心Africrypt，在兩個月前傳出遭到駭客入侵並暫時停止營運，然而，現在外界已聯繫不到這兩個兄弟，而存放在Africrypt上，價值21億美元的比特幣同樣也消失無蹤。</p> <p>Cajee兄弟現年分別只有21歲與17歲，是在2019年成立Africrypt。報導指出，Cajee兄弟在4月發信通知客戶，表示遭到駭客入侵，部分用戶的錢包受損，因而暫時停止營運，同時也建議客戶不要報警，以免拖慢他們追回被盜加密貨幣的進度。</p> <p>然而，Africrypt的投資者集體聘請了一家律師事務所進行調查，並向法院申請清算Africrypt，不過，Cajee兄弟的電話都已直接轉入語音信箱。此外，Africrypt錢包內的6.3萬個比特幣也已消失無蹤。</p> <p><a href="https://www.bloomberg.com/news/articles/2021-06-23/s-african-brothers-vanish-and-so-does-3-6-billion-in-bitcoin" target="_blank">根據彭博社的報導</a>，儘管Africrypt宣稱遭到駭客入侵，但該平臺員工早在入侵事件的一周前，就無法存取後端系統，而且Africrypt錢包的資金來自於客戶，之後再被轉到其它加密貨幣混幣服務或大型的幣池，因此根本無法追蹤。</p> <p>目前Africrypt的網站已停擺，且外傳Cajee兄弟亦已出境。</p> </div></div></div>
2021/6/24 13:31作者陳曉莉https://www.ithome.com.tw/news/145215
Fintech周報第186期：中國人壽打造遠距刷臉投保服務，獲保險局核准試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0619</span></strong></span><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">～</span></strong><strong style="vertical-align: top; color: inherit; font-size: 18px;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0625</span></strong><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI人臉辨識 </span> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 遠距投保 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國人壽 </span></strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">中國人壽打造遠距刷臉投保服務，獲保險局核准試辦</span></strong><br /><span style="font-size: 14pt;">中國人壽於6月16日通過金管會保險局核准試辦遠距刷臉投保服務「Smile to Sign」。中國人壽表示，該服務導入了生物辨識身分認證機制，結合行動載具遠距視訊溝通特性，民眾只要登入中壽系統網頁，便能完成AI刷臉身分認證，要保文件線上確認及勾選，影音數位簽名等投保步驟，免去保險業務員與保戶面對面親晤親簽的投保程序。保戶也不用再列印紙本文件、投遞寄送或拍照上傳等程序，全程零接觸、無紙化、資訊不落地，一站式完成遠距刷臉投保。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">中國人壽表示，保戶不用再額外下載App，使用的智慧型手機或平板也不限廠牌或系統，只要連網登入中壽系統網頁，藉由AI人臉辨識及視訊投保服務，就能進行遠距投保。同時，該項新服務配合資訊安全與個資保護措施，安全控管要保文件、錄影錄音等資料，全程採加密的電子傳輸，資訊不落地，以保障民眾權益。中國人壽表示，該服務將先從新契約投保開始，未來可再擴增應用到契約變更、申請理賠等客戶服務項目。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%961_%E5%88%B7%E8%87%89%E6%8A%95%E4%BF%9D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E4%B8%AD%E5%9C%8B%E4%BA%BA%E5%A3%BD.jpeg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 福斯娛樂 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Fox斥資1億美元成立區塊鏈部門進軍NFT市場，將發表全球首個完全於區塊鏈上策展的動畫系列</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">福斯娛樂（FOX Entertainment）與旗下的動畫製作公司Bento Box Entertainment近期宣布，將斥資1億美元成立新的Blockchain Creative Labs事業部，進入「不可替代代幣」（NFT）市場，將提供內容創作者、智產權所有人及廣告合作夥伴端對端的區塊鏈生態系統解決方案，以用來建置、發行、管理與出售NFT內容、可替代代幣，以及數位商品及資產，而1億美元的資金將用來投入NFT領域的各種成長機會。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">福斯娛樂執行長Charlie Collier表示，全球許多動畫人才已經打造了許多一流的動畫內容，區塊鏈技術的問世催生了一個新的市場，允許業者得以新的方式來支持、評估及獎勵創作者與藝術家。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">這個區塊鏈部門將由Bento Box Entertainment的共同創辦人暨執行長Scott Greenberg負責掌舵，已準備發表專為艾美獎得主Dan Harmon所設立的數位市集，以Harmon全新設計的動畫喜劇《Krapopolis》為主題，由該區塊鏈部門負責管理及銷售其數位產品，包括角色、背景與動畫的NFT，也讓這個作品成為全球首個完全於區塊鏈上策展的動畫系列。<a href="https://www.ithome.com.tw/news/145057">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位金融 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融資安 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融監理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">KPMG安侯建業發布臺灣銀行業報告，呼籲銀行機構需審慎因應數位金融而產生的資安議題</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">KPMG安侯建業在6月23日出版的<a href="https://home.kpmg/tw/zh/home/insights/2021/06/taiwan-banking-report-2021.html">2021臺灣銀行業報告</a>指出，金融機構除了注意疫情發展動態外，金融科技、場域應用、數位金融生態圈、資安與監理、開放銀行等，都會是本國銀行業持續發展的重點。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">KPMG安侯建業表示，數位金融為銀行營運主軸，生態圈則牽動未來發展，KPMG安侯建業銀行業主持人陳世雄則提到，國內銀行業處於供給過多的激烈競爭環境，加上純網銀加入戰局，傳統銀行機構面臨的壓力加大，因此，銀行業者在數位時代中若要突破高度競爭，並且增加可觸及的客群，生態圈應會是重要的營運執行策略。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，銀行機構需審慎因應數位金融而產生的資訊安全課題。陳世雄建議，金融機構應要聚焦疫後金融資安新風險，比如金融智慧化、遠距與雲應用、金融開放潮流等產生的潛在風險，以往靠著金融科技與營運模式，輕易將流量變現的重創新輕風險、重數據輕隱私、重效能輕安全的時代已經過去。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">他提到，未來各國金融監理，都將經由各類數據治理、金融監管、資安與隱私保護的新法規，建立新的數位經濟世界規範，金融業者也必須在創新與風險的天平上，求得平衡點。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_KPMG_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_KPMG%E5%AE%89%E4%BE%AF%E5%BB%BA%E6%A5%AD.png" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 幣圈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣擠兌 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">加密貨幣TITAN一日內從65美元跌至幾近零，發行商稱其為全球首次大規模加密貨幣擠兌</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期幣圈最熱門的議題就是加密貨幣TITAN的崩盤，它的價格在24小時之內從65美元跌至0.000000033689美元，其發行商Iron Finance直接將它稱為全球首次大規模的加密貨幣銀行擠兌。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Iron Finance主要發行的加密貨幣稱為IRON，它屬於與美元掛鉤的部分穩定幣，它的抵押品為75%的USDC穩定幣，以及25%的TITAN，當使用者要贖回IRON時，Iron便以USDC及TITAN來支付。TITAN亦由Iron發行，在使用者要贖回IRON時，Iron會根據當時TITAN的價格來決定支付與發行數量。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Iron說明，他們在世界時間（UTC）6月16日早上10點時，發現有些資金龐大的交易者正在移除IRON/USDC的流動性，他們不直接贖回IRON，而是把TITAN賣給IRON，再把IRON賣給USDC，造成IRON的價格與美元脫鉤。到了UTC下午3點時，又有少數的大股東開始拋售，這次觸發了使用者的驚慌，也跟著贖回IRON與拋售TITAN，為了維持IRON的價格穩定，Iron發行了更多的TITAN，因而造成惡性循環，導致TITAN的價格直落，接近於零。<a href="https://www.ithome.com.tw/news/145105">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> SME </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">鎖定中小企業數位轉型市場，永豐銀與叡揚資訊合作提供金流整合與雲端營運一站式服務</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為深化客群服務、協助中小企業（SME）數位轉型，永豐銀行在6月23日宣布與叡揚資訊策略合作，提供金流整合、雲端營運應用的一站式服務，目標是為中小企業打造數位化金流平臺及營運系統，帶動產業升級。永豐銀行法人金融處處長廖嘉禾表示，永豐銀行在今年調整組織，成立專屬服務團隊，提供企業完整的金流解決方案，並由叡揚提供企業資訊管理系統服務，未來SME透過永豐或叡揚單一窗口，便能同時導入優化營運與金流二項工具。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行表示，雙方合作以營運、財務管理及人力資源三大面向切入，先推動企業日常運作、收付金流及員工薪資管理等項目的數位化。比如，永豐銀行提供融資方案，以及多元化收款、付款工具，讓SME可用數位化金流滿足即時管理需求。叡揚資訊則提供如會計總帳Vital GL、應收應付Vital AP/AR，替中小企業建立系統化帳務管理，在雲端上就能理帳。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C.jpeg" /></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 四川 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 比特幣礦場 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國四川26家加密貨幣礦場遭斷電，中國境內已撤除超過9成比特幣挖礦能力</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國政府在6月18日著手強制關閉四川省26家加密貨幣礦場的電力，由於四川為中國也是全球最大的比特幣礦場，使得比特幣的全球採礦效能從18日的14.45 EH/s，減少到22日的10.62EH/s，下滑了26%。也讓比特幣的價格從17日的38,971美元，跌至22日的31,551美元，跌幅為19%。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國一方面推動自家的數位人民幣，另一方面也開始整頓境內的加密貨幣，今年5月中旬中國的三大金融機構便發布公告，禁止當地金融與支付機構參與加密貨幣交易。此外，中國也針對境內的礦場採取行動，包括內蒙古、新疆與青海等中國挖礦勝地，都有類似四川的規定。而中國官方的國際新聞媒體環球時報則說，在關閉四川礦場之後，中國已撤除境內超過90%的比特幣挖礦能力。<a href="https://www.ithome.com.tw/news/145150">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／中國人壽、KPMG安侯建業、永豐銀行</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="vertical-align: top;">1. 第一銀行資訊管理中心副總劉培文接任一銀新任資安長</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"></span></strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">2. 金管會核准韓國韓亞銀行設立在臺分行，有助臺灣金融市場國際化</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"></span></strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">3. 虛擬通貨平臺及交易業務事業防制洗錢及打擊資恐辦法完成法規預告，金管會將於近日發布施行</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"></span></strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">4. 永豐銀行導入以Microsoft Teams為架構的視訊對保作業流程，全臺125家分行行員可與顧客採視訊對保</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"></span></strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">5. 中國信託銀行推新功能，在網銀可一次完成基金、ETF、境外股票與海外債券的申購、贖回與轉換交易</strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"></span></strong><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;">6. 金管會與美國德州銀行署簽訂銀行業監理合作備忘錄，以加強金融監理合作<br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年6月</strong></strong></p> </div></div></div>
2021/6/24 12:40作者李靜宜https://www.ithome.com.tw/news/145212
傳Google縮編健康事業群，員工轉到Fitbit及搜尋部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/google-health-splitting-reorganization-sending-employees-fitbit-search-2021-6" target="_blank">Business Insider報導</a>，Google本月精簡旗下健康部門Google Health組織，將重新聚焦方向，未來可能將把大眾化的健康產品開發工作轉到Fitbit部門。</p> <p>報導指出，Google Health近700名的員工將有20%，約130人會被轉調至Google搜尋及穿戴裝置部門Fitbit。</p> <p>此外，媒體也掌握到Google Health高層David Feinberg五月間發出的內部信件，剩下的人將再重組為三個部門。第一是臨床部門，將開發Care Studio，這讓醫療人員可搜尋病患電子病歷資料。第二部門則會著重開發AI，發展可判讀醫療影像、基因體分析及糖尿病視網膜病變篩檢的軟體。糖尿病視網膜病變篩檢，是Google姐妹公司Verily力圖開發的產品。</p> <p>第三部門則負責管理法規、臨床及資產問題，以確保Google Health的產品符合法規及標準。</p> <p>在這次改組中，面向一般消費者的開發人力將會被移到Fitbit。這些工程師原本是開發消費者導向的健康應用程式，像是個人健康紀錄，或是健康感測器。但報導指出，即便轉到Fitbit，未來他們還是會和Google Health合作密切。</p> <p>不過消息未獲得Google的證實。</p> <p>這是Google、Amazon等科技巨人跨足醫療業的挫折。Google 母公司Alphabet 2018年大舉投資健康照護，先是從Gelsinger健康體系挖來執行長David Feinberg，還<a href="https://www.ithome.com.tw/news/127025" target="_blank">將DeepMind的健康照護人力併入Google</a>。Feinberg 的職責是統籌Google分散於搜尋、雲端、AI部門Google Brain、Nest及Google Fit，以及DeepMind下的健康照護計畫，並加強Alphabet旗下生技事業Verily及Alphabet之間的合作。今年初Google Health推出<a href="https://www.ithome.com.tw/news/142646" target="_blank">Google Fit一項結合機器學習的功能</a>，運用手機相機拍攝即可量測心率和呼吸頻率。</p> <p>或許這也說明，軟、硬體巨擘進軍健康照護業的不易。上周媒體也報導蘋果曾想推動連結Apple Watch的員工健康照護方案，然而員工並不買單，<a href="https://www.ithome.com.tw/news/145072" target="_blank">後來蘋果也重新聚焦銷售Apple Watch的獲利模式</a>。</p> <p><a href="https://www.ithome.com.tw/news/139664" target="_blank">Amazon也開發自有心血管及糖尿病消費醫療裝置品牌Choice以及Halo健康手環</a>。但Amazon雄心勃勃地透過和摩根大通集團及Berkshire Hathaway合作的照護服務計畫，<a href="https://www.ithome.com.tw/news/142039" target="_blank">則於今年2月結束營業</a>。</p> </div></div></div>
2021/6/24 12:43作者林妍溱https://www.ithome.com.tw/news/145213
蘋果：讓iOS用戶自App Store之外下載程式將帶來安全風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/140397" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/143057" target="_blank">英國</a>與<a href="https://www.ithome.com.tw/news/144152" target="_blank">歐盟</a>相繼鎖定蘋果的App Store展開反托拉斯調查之際，<a href="https://www.apple.com/privacy/docs/Building_a_Trusted_Ecosystem_for_Millions_of_Apps.pdf" target="_blank">蘋果本周出版了一份長達16頁的報告</a>，指稱App Store的保護機制扮演著重要的角色，倘若允許使用者自App Store以外下載程式，將對使用者的隱私與安全帶來威脅。</p> <p>蘋果認為，現代的手機並不只是一支手機，它們儲存了使用者的個人與工作上的資料，iPhone與App Store的設計便已考量到這件事，而隱私不僅是一件重要的事，更是人權的基礎。</p> <p>對於外界呼籲蘋果應允許用戶自App Store以外下載iOS程式，蘋果提出了幾個看法，一是以Android程式市集為例，指出第三方的Android市集通常比官方市集更危險，因為這些市集的程式未經審核，更容易藏匿惡意或詐騙程式，造成使用者無法再信賴市集，下載的程式便變少了。</p> <p>蘋果描繪了當開放第三方iOS程式市集之後的場景，使用者可能從第三方市集下載了可繞過家長控制的兒童遊戲，或者是仿冒知名相機程式，實則威脅要刪除手機內所有照片的惡意程式，也可能不小心安裝了盜版程式，以及各種侵犯使用者隱私的程式。</p> <p>總之，蘋果是要強調App Store替使用者在隱私與安全上做了許多把關的工作，且當使用者不信賴市集而只下載少數程式時，也將會衝擊程式的創新，並影響剛入門或不知名的開發者。</p> <p>不可諱言的，蘋果的嚴格把關已讓安全專家公認iPhone為最安全的行動裝置。事實上，也有部分開發者並不贊成第三方的iOS市集，但建議蘋果應放寬對App Store或程式內購買的限制，才不會讓各國政府最終只得強迫蘋果開放第三方市集。</p> </div></div></div>
2021/6/24 13:17作者陳曉莉https://www.ithome.com.tw/news/145214
HPE GreenLake雲端服務戰略布局更跨出一步，不只聯手Azure推出混合雲服務方案，更聚焦HPC、AI與5G等…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年的HPE Discover 2021大會，伺服器大廠HPE發布一系新產品及服務，幾乎圍繞在GreenLake的as a service策略發展，不僅增加許多功能與新服務，也聯手Azure推出在GreenLake的混合雲服務方案，更聚焦6大產業關鍵應用領域，包括5G、HPC、AI等。</p> <p>HPE兩年前承諾，2022年所有HPE產品都能以GreenLake服務形式提供。2年後，在大會前一天一場線上媒體活動上，HPE GreenLake雲端服務總經理Keith White也更新這個目標達成進度，他表示，迄今這個目標依然不變，而且距離目標達成僅差一步，但他並未透露目前多少產品可使用GreenLake提供服務。</p> <p>不過，從官方GreenLake產品發展策略來看，HPE的GreenLake平臺目前列出的服務一共17項，從裸機、VM、容器管理、數據保護到HPC、數據服務、數據分析、MLOps、AI/ML應用、資料庫、SAP HANA、Edge、VDI、5G、EDI、數位健康，另外也有提供客戶與第三方夥伴的工作負載處理等。</p> <p>Keith White也分享了目前GreenLake在全球使用情況，至今50國超過1,200家企業用戶採用。在GreenLake服務提供方面，他舉例，除了運算、儲存、網路產品之外，他們團隊正在開發容器平臺，而且除了能以VM方式提供，今年稍晚也會加入裸機的服務。另外在應用服務方面，也有提供如HPC、MLOps、SAP HANA等服務。雖然有越來越多企業採用，不過，根據最近一季公布財報顯示，GreenLake雲端業務目前約占HPE整體營收一成，還有成長空間。</p> <p>除了提供自家產品，HPE GreenLake也增加更多夥伴合作，根據該公司公布合作名單，至今有多達24家軟硬體及雲端廠商加入其生態系，其中包括AWS、Azure、GCP三大公有雲，還有不少企業軟硬體大廠都加入，如SAP、Nvidia、Epic、Splunk、Citrix、Vmware、Accenture、Nutanix等等。</p> <p>HPE還宣布與Azure公有雲擴大合作，未來可以GreenLake服務形式提供Azure Stack HCI混合雲產品，並由HPE提供經過驗證超融合系統，搭配他們整合的HPE ProLiant伺服器與軟體管理技術，讓企業用戶可方便使用它部署和管理混合雲環境。另外GreenLake也支援微軟SQL Server關聯資料庫服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-06-22%20%E4%B8%8A%E5%8D%8811_36_49.png" style="width: 600px; height: 306px;" /></p> <p>HPE這次還推出了一系列產業應用雲服務，並聚焦六大關鍵應用領域，包括數位醫療記錄、金融支付、數據與風險分析、HPC、AI與5G。如新的GreenLake for Electronic Medical Records服務，可用於具有高度安全性和合規要求的醫療保健應用任務，並可配合Epic Systems的保健應用做使用。又如GreenLake for Splunk服務可透過收集和分析用戶各種基礎設施與應用的數據，來提供風險管理的建議。電信營運商也可以利用HPE GreenLake for 5G Core服務打造自己雲端原生5G核網架構。這些新服務也提供經過驗證的配置和各種管理服務，而且除了可以在雲端使用，也能用於邊緣和主機代管資料中心。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-06-22%20%E4%B8%8A%E5%8D%8811_48_36.png" style="width: 600px; height: 351px;" /></p> <p>為了更有效地管理這些新服務，HPE推出了 GreenLake Lighthouse這個新服務，它是一個雲端原生平臺，底層則是採用了HPE的Ezmeral軟體搭建，HPE強調，新的GreenLake Lighthouse服務，最大特色就是可簡化整個服務訂閱和功能配置的過程，企業只要在HPE GreenLake Central入口網站上完成幾個步驟操作，數分鐘就能啟用雲端服務，還可以根據用戶的使用需求，自動優化其服務與應用任務執行條件，讓企業用戶可以更容易執行和管理這些服務應用。</p> <p>HPE技術長Kumar Sreekanti解釋，它與GreenLake Central差別是，Lighthouse更像是一個統合平臺，可以在單一介面上來調度與管理所有服務資源，從硬體、軟體、服務到數據管理，並且可以跨雲端到邊緣來執行。</p> <p>除此之外，他們還特別強化資安防護，在GreenLake Lighthouse平臺加入了零信任安全功能，該功能來自HPE內部一項Project Aurora零信任專案，雖然目前還是預覽版功能，不過它利用在HPE的矽信任根基礎之上，持續對於HPE硬體進行身分驗證與評估，確保這些硬體等基礎設施、作業系統、Hypervisor、平臺和工作負載的安全性。除了Lighthouse，HPE表示，之後HPE GreenLake雲服務和HPE Ezmeral軟體平臺也會提供。</p> <p>值得一提的是，HPE預告今年底將新增Silicon on demand服務方案，該服務是與英特爾合作成果，搭配英特爾多核心處理器做使用，HPE表示，比起過去採用管理軟體配置核心或記憶體的作法，透過這套方案，企業可以有新的CPU核心數使用與計價方式，並同樣按需付費，尤其是對於使用基於核心數授權的軟體服務的企業來說，將能夠替他們節省成本。</p> </div></div></div>
2021/6/24 11:37作者余至浩https://www.ithome.com.tw/news/145207
防毒軟體大亨John McAfee死於獄中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/legal/government/john-mcafee-found-dead-prison-after-spanish-court-allows-extradition-2021-06-23/" target="_blank">路透社</a>、<a href="https://apnews.com/article/john-mcafee-dead-spain-prison-extradition-c39cc0f375a975946fb83b60cc2bf3d3" target="_blank">美聯社</a>報導，以開發防毒軟體知名的科技富豪John McAfee在23日被人發現，死於西班牙巴塞隆納附近獄中，原因可能是自殺。</p> <p>McAfee去年因被美國法院起訴洗錢、詐欺、逃稅等多項罪名，10月企圖從西班牙巴賽隆納出境時，在機場遭西班牙警方逮捕。報導指出，23日西班牙法院同意McAfee引渡回美國受審後，被獄警發現死亡，經過搶救無效，獄方醫療人員已證實McAfee死亡。</p> <p>加泰隆尼亞政府並未指名McAfee的身份，僅稱死者為一名等待引渡的75歲美國公民。報導指出，一切跡象指向為自殺。</p> <p>報導引述McAfee的律師指出，McAfee仍有機會上訴，但是過長的監禁期令人無法忍受。</p> <p>McAfee曾任職於美國太空總署（NASA）、全錄及洛克希德馬丁，1987年推出了全世界第一套商用防毒軟體McAfee，並因此崛起。2010年McAfee將其軟體公司以77億美元賣給了英特爾，該業務一度<a href="https://www.ithome.com.tw/node/84668" target="_blank">改名為Intel Security</a>，但在2016年英特爾將之賣出，<a href="https://www.ithome.com.tw/news/108335" target="_blank">新東家重新恢復McAfee的品牌</a>。但這家公司已和McAfee本人無關。</p> <p>特異獨行的McAfee多次陷入紛爭。2012年曾捲入謀殺鄰居，最後被證明清白，<a href="https://abcnews.go.com/International/wireStory/millionaire-john-mcafee-arrested-dominican-republic-64551496" target="_blank">2019年他又因遊艇攜帶大批槍械在多明尼加被捕</a>。McAfee長年批評美國政府單位的貪污腐敗，曾代表美國自由黨參加2020年美國總統大選。<a href="https://www.reuters.com/article/us-cuba-usa-mcafee-idUSKCN1U028D" target="_blank">報導稱他發行匿名幣GHOST以協助古巴迴避美國禁運</a>。而加密貨幣也導致了他被美國政府指控。</p> <p>McAfee推特擁有100萬名粉絲，<a href="https://twitter.com/officialmcafee" target="_blank">他最後一篇發言是6月16日</a>，他仍強調並未如美國政府指稱隱匿加密貨幣，而且他所有資產都被凍結，他的友人都因擔心被牽連而與之切割。McAfee說他已失去所有，但他一點也不後悔。</p> </div></div></div>
2021/6/24 12:14作者林妍溱https://www.ithome.com.tw/news/145211
Google雲端CDN和負載平衡服務開始提供HTTP/3支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/cloud-cdn-and-load-balancing-support-http3">Google Cloud CDN和負載平衡服務的用戶，現在也能夠使用HTTP/3</a>，以獲得更好的網路連線效能。HTTP/3是建立在QUIC之上的新一代網際網路協定，其解決了HTTP/2隊頭阻塞（Head-of-Line Blocking）和安全性問題，目前Firefox、Chrome和Safari等瀏覽器，以及熱門的函式庫Cronet和libcurl，都將陸續支援HTTP/3。</p> <p>Google提到，比起HTTP/2，使用HTTP/3的應用程式網路效能更好。Google自家搜尋引擎使用HTTP/3降低2%延遲，YouTube上的影片重新緩衝時間也減少了9％，還改進7％行動裝置的吞吐量。</p> <p>現在用戶可以在應用程式中使用HTTP/3，以獲得網路連線上的效能提升，只要從雲端控制臺或是gcloud SDK，就可以在外部HTTPS負載平衡啟用HTTP/3。Google提到，還不支援HTTP/3的客戶端不會受到影響，HTTP/3使用Alt-Svc HTTP標頭與客戶端溝通，未支援的客戶端會繼續使用HTTP/2和HTTP/1.1。Google預計在數周內，就會對所有Cloud CDN和負載平衡服務用戶，預設啟用HTTP/3。</p> </div></div></div>
2021/6/24 10:45作者李建興https://www.ithome.com.tw/news/145202
【社群雜學力：學生計算機年會共同發起人黃一晉】從社群培養駭客精神與斜槓能力，職場協作也能派上用場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「踏入資安領域一定要具備駭客精神，要保持好奇心，對一件事情要有追根究底的本能。」臺灣學生計算機年會（SITCON）共同發起人之一，現為遊戲公司資料團隊領導者的黃一晉，提醒資安新手們在學習資安時，應發揮駭客精神，勇於對未知的事情嘗試、探索，還要試著「重造輪子」，透過拆解重組的過程，追根究底的了解一項技術或工具，來精進自己的技術能力。</p> <p>黃一晉對駭客精神的實踐，體現在許多地方。比如說，他曾經拆解了一款過去火紅過的交友軟體，發現該App中顯示雙方距離多遠的功能，雖然App中不會顯示對方確切位置，但實際上，這個功能會快取其他使用者的經緯度座標到手機中，換句話說，使用者的所在位置能被他人輕易取得。這個在當年資安圈火紅的事件，就是他的發現。</p> <p>不只如此，他也曾開發了一個約60行程式的小工具，去探究許多開發者都在使用的版本控制工具Git，若.git版本庫不慎洩露的後果。他所開發的工具，能讓取得版本庫資訊的人<wbr></wbr>，重建在遠端伺服器Git資料夾內的資料，若對方的開發習慣不良，更<wbr></wbr>可能取得內含企業金鑰、資料庫密碼等敏感資訊。時至今日，許多CTF比賽的參加者，遇到類似題目時，還會使用這個小工具來解題。</p> <p>「作為一位駭客，是否曾考慮App搜集的資料有哪些、從哪裡來？使用Git時，對其基本原理是否了解？Git洩漏又會造成什麼後果？」黃一晉指出，駭客精神的思維，是保持好奇心、對一件事情追根究底，還要試圖了解一件事情為何如此運作，進而去探索與實踐，這也是「重造輪子」的過程。</p> <p>「在學習資安的階段，你必須要非常認真的去重造輪子，去了解每一項功能如何被實現出來、原理是什麼，而不是只會用工具，卻不知其運作原理。」黃一晉指出，尤其在進入職場後，為了追求效率，不一定有時間再深究每一項技術或工具，「總會有人告訴你，不要再重造輪子，用現成的就好，」這也凸顯了在學習過程中，每一次重造輪子過程的難能可貴。</p> <p>駭客精神的思維，不只能用來精進技術，更能進一步應用於職場上。黃一晉以自己為例指出，每當接收到公司指派的一個需求，他會不斷向需求指派者提問，來釐清需求被提出的原因，「永遠要問，為什麼要做這件事情、要達成什麼目的？」唯有如此，才能回過頭來檢視，是否具有更好的方法能解決這個問題，「因為每個人都會有思考盲點，但他人可以回過頭幫他，思考其他方法的可行性。」</p> <p>因此，黃一晉建議，資安人才在職場上也能發揮駭客精神，對事追根究底，而非盲目地遵循上級的命令，「不要等著被指派任務，就算被指派任務，也不要瘋狂的做，要先清楚任務發起的原因是什麼。」</p> <p><span style="font-size:28px;"><strong>從社群累積跨領域「斜槓」技能，再回頭運用於職場</strong></span></p> <p dir="ltr">黃一晉不只培養了追根究底的駭客精神，來專精技術，更「斜槓」拓展了技能的廣度，這些能力的培養，與他的社群經驗密不可分。他參與技術社群長達11年，不只是臺灣學生計算機年會的共同創辦者，更是資安社群熱心志工，更活躍於開源人年會COSCUP。從參與社群、當講者回饋社群，到後來創辦社群，他在過程中不僅磨練了演講、溝通的技能，更在從頭創辦一個社群的過程中，學會了組織管理、任務分工、社群經營的能力，甚至要懂行銷。「我就是斜槓到爆炸的人，什麼都要懂一點，這些技能就是從社群來的。」他說。</p> <p>累積了許多技能後，黃一晉也回過頭來運用於職場中，「社群的人來自不同領域，公司的員工組成也一樣，一定會需要與不同領域的人溝通，所以在社群學到的技能，就能回過來對職場帶來幫助。」他舉例，在目前的工作中，他需要了解每個團隊的業務需求，並運用自己的專業技能來協助達成，比如行銷人通常不具有技術背景，但在資料的取得、搜集過程中，時常需要技術人員的協助，黃一晉正是擔任這個角色，從旁協助來提升業務流程的順暢度，過程中更要讓夥伴了解，每件事情的做法與緣由。</p> <p>因此，他建議資安或IT新鮮人，都可以多參與社群，更可以試著在有能力後，反過來對社群貢獻，「當你有能力貢獻時，可以學到更多。」他也建議，每個人都有自己不擅長之處，比如學生或資安新手可能技術能力很強，但不擅長溝通，這時，就需要去找到弱項來補強，把弱項化為對自己有利的技能。</p> </div></div></div>
2021/6/24 07:00作者翁芊儒https://www.ithome.com.tw/news/145013
【社群雜學力：臺灣駭客協會首任秘書長李尚韋】從資安社群練出的溝通力，成勝任專案管理職務關鍵助力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">「我覺得職涯就是不斷的選擇，沒有對錯、也沒有標準答案，但是要相信自己的選擇。」資安廠商Team T5漏洞研究團隊擔任專案管理職務的李尚韋，大三意外成為臺灣駭客年會（HITCON）的志工，從一開始只是在門口指引路線，逐漸在社群中活躍，後來甚至成為了臺灣駭客協會首任秘書長。一路上，她也曾面臨職涯發展的兩難抉擇，但她仍選擇遵循本心，且對於自己的選擇全力以赴。沒想到，這一段資安社群練出來的溝通力，成了她扮演好專案管理角色的關鍵能力。</p> <p>李尚韋與資安社群的結緣，來自於她大三時，意外替補了臨時缺席的志工名額，成為HITCON活動上，負責在門口引導路線的工作人員。隔年，她加入了HITCON的贊助組，負責處理贊助的相關事宜，「但那時候，都是前輩拉完贊助後，再交給我負責後續流程，我就想，我有沒有機會創造自己的KPI？」她當時挑了約50家企業，一一寄信拉贊助，卻沒有企業願意支持，讓她深感募款的不易。</p> <p>大學時期，她除了加入HITCON志工團隊，也曾在學校的多個單位實習，比如在學務處協助處理學生請假、缺曠課事宜，也曾到技服中心處理學校專案的申請，更曾到計算中心幫學校寫網站。這些實習與社群的經驗，也對她的職涯發展，帶來一定程度的幫助。</p> <p>畢業後，她在資安前輩的推薦下進入台灣大哥大，成為一名工程師，負責寫Java、執行QA與帳號管理工作，加上公司的福利健全，「我那時候決定，這就是我一輩子的工作了。」但在工作快滿一年時，適逢臺灣駭客協會的創辦之際，當年推薦她入職的HITCON創辦人徐千洋，轉而詢問她是否有意願擔任秘書長，成為協會第一任、且唯一一個員工。</p> <p>「我那時候完全不了解，也不想放棄我的鐵飯碗，」李尚韋坦言，當時她的意願不高，尤其已經找到一份穩定的工作，同事與家人也不看好。她甚至畫了一個表格，列出在台灣大工作一年、五年、十年後的藍圖，以及在臺灣駭客協會看到的前景，相較之下，後者的發展全是未知數。</p> <p>然而，李尚韋後來還是決定接下這個任務，「我從小的夢想就是，希望自己發揮影響力去幫助臺灣，那臺灣駭客協會應該對資安領域有幫助吧？所以我決定試試看。」在這個信念的驅使下，她成為臺灣駭客協會的第一號員工，踏上了一條與過去設想不同的人生旅程。</p> <p><span style="font-size:28px;"><strong>從社群累積溝通與管理經驗，成為下一份工作的一大助力</strong></span></p> <p>擔任臺灣駭客協會秘書長的工作中，李尚韋需負責辦理各種活動，比如HITCON、HITCON Community、HITCON Pacific、HITCON Free Talk等，需擔任起組織間的溝通協調角色，並與社群志工們共同協作。她舉例，就以協會內9個理事與3個監事來說，每個人個性都不同，有些人喜歡天馬行空的想像，有些人做事沈穩內斂，有些則是技術狂熱者，身為秘書長的她就得在其中溝通協調，「不只是程式碼的溝通，還需要換位思考，抓大家的平衡點。」</p> <p>過程中，李尚韋也曾感到孤單、疲憊，「好多時候想說，如果還在台灣大就好了，」不過，她還是憑著熱情一路堅持下去，不僅辦理了數十場資安活動、獲得國際認可的資安競賽，也著手辦理資安教育課程，協同戰隊前往美國參加CTF比賽，「雖然過程很辛苦，但是很享受成果帶來的影響力。」</p> <p>將協會發展到一定的規模後，李尚韋也開始協助聘僱更多員工，過程中也學習擔任管理的角色，訂定相關規範、決定夥伴薪資，「最特別的是，我必須為其他人的人生負責，因為他們決定加入臺灣駭客協會，每個人都代表了一個家庭。」在擴大團隊成員的同時，她也將臺灣駭客協會的創辦初衷，傳遞下去。</p> <p dir="ltr">現在，李尚韋對自己的職涯發展有了新的規劃，卸下秘書長的職務，改任協會理事，並開始在Team T5擔任漏洞研究團隊專案管理職務。在新工作中，她過去累積的溝通技巧與經驗，讓她在對外面對客戶需求、對內面對資安研究員時，可以更好的扮演居中協調的角色，且在與雙方溝通時，她也能進一步換位思考，去了解客戶與研究員分別的需求與挑戰，找到其中的平衡點。</p> <p dir="ltr">不過，這份工作對她帶來了全新的挑戰，是在與資安研究員溝通時，需要對資安相關知識具有一定程度的了解，才能勝任這份工作。因此，她也要求自己，不懂就要問，把任何不熟的關鍵字都記錄下來，再用自己的話語重新詮釋一遍，透過學習「換句話說」，增進自己對資安技術的理解。</p> <p dir="ltr">最後，李尚韋也歸納了過往經歷帶給自己的收穫。第一，是擁有比自己年長的朋友，會快速開拓自己的人生經驗跟視野；二是不要對自己的人生設限，且要相信自己的選擇；三是要找一個感興趣的工作，才會有熱忱、且願意全力以赴地投入工作中；四是要懂的換位思考，去了解他人在想什麼、其他人的觀點或角度是什麼；五是要有同理心，去同理他人的作為。</p> </div></div></div>
2021/6/24 07:00作者翁芊儒https://www.ithome.com.tw/news/145014
安華聯網揭露臺灣App常見3大風險，不安全的資料儲存與傳輸，是開發人員最容易疏忽的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著手機應用的普及，行動App的重要性早已不言而喻，因此App的安全性也同樣受到高度重視，然而，經歷多年的發展，臺灣還是有很多企業組織與軟體開發人員，一開始就沒有把安全納入考量。</p> <p>這樣的情形，最近兩三年仍時常發生嗎？今年4月，安華聯網公布自家「行動應用App基本資安檢測基準」（MAS）的檢測經驗，或許可以得到一些答案，該公司技術長劉作仁表示，他們的資安檢測實驗室觀察到國內有3大常見的App安全問題。</p> <h2><strong>從App資安檢測經驗，看國內App開發3大常見問題</strong></h2> <p>對於臺灣行動App的開發，有哪些常見安全問題？安華聯網在他們檢測過的國內400支左右App中，當中包含4成是金融領域App，2成是政府單位，其他還包括行動支付、教育、醫療與運動產業，發現3類常見風險最容易發生。若對應OWASP Mobile Top 10的風險類別，分別是不安全的資料儲存（Insecure Data Storage）、不安全的傳輸行為（Insecure Communication）、用戶端程式碼品質問題（Client Code Quality）。</p> <p>其中又以前兩種最嚴重，都有近50%比例有此狀況存在。不論企業自行開發或是委外，都應該要及早注意。</p> <h3><span style="color:#B22222;"><strong>資料儲存不安全</strong></span></h3> <p>簡單來說，就是儲存在手機的資料，沒有妥善保護，這是他們最常發現到的問題。</p> <p>以社交App為例，當用戶下載安裝後，可以拍照並分享，但若這張照片放在所有App都可存取的目錄，此時，一旦有駭客打造惡意的App，將可取得這些照片。</p> <p>另外，像是用戶使用醫院App掛號，該程式貼心地將姓名、身分證字號與年齡等資料，儲存在手機之內，之後每次民眾掛號時，可以不用再重新輸入資料，看似方便，之後經檢查卻發現，民眾資料被直接存放手機的目錄底下，沒有套用任何加密。</p> <p>關於這樣的情形，也就是用戶端裝置未適當保護敏感性資料，劉作仁表示，其實這在OWASP或MAS標章都有規範，禁止將使用者個人資料用明文方式存放於手機。不論是存放在共享目錄，或是應用程式的目錄，都不能用未加密的方法將敏感資訊儲存在手機，包括個人資料或手機SIM卡相關資訊等。</p> <p>還有那些狀況要特別留意？例如，將敏感資料（User ID）記錄於記憶體參數中，或是儲存於日誌檔案。</p> <p>他解釋，有些開發人員可能需要知道程式是否寫錯，留下很多Log記錄，但完成Debug後並未刪除或關閉，因此，他們檢測時就常在日誌檔案發現這些敏感資料，當中不只有電話號碼、暱稱，甚至還有密碼與身分證字號。此外，還有客戶誤以為Base 64是加密的狀況，但實際上這只是編碼方式，只要有一點技術能力，都能夠還原。</p> <p>劉作仁強調，App開發者應該要知道：敏感性資料並非不能儲存，但要讓用戶知道儲存了那些資料，以及要用安全的方法儲存。</p> <p>對此，他列出三個原則，包括：敏感資料勿使用不安全的加密方式儲存，包括勿以明文方式儲存，要用合格的加密演算法去儲存；敏感資料勿儲存於不安全路徑或檔案，像是日誌檔與SD卡的目錄；建立ROOT偵測機制以提升App安全性，降低敏感資料洩漏的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3App%E9%96%8B%E7%99%BC%E5%B8%B8%E8%A6%8B%E9%A2%A8%E9%9A%AA%E5%AE%89%E8%8F%AF%E8%81%AF%E7%B6%B2.jpg" style="width: 600px;" /></p> <blockquote><p>以案例說明「不安全的資料儲存於用戶端」的情況之外，安華聯網技術長劉作仁表示，他們也提供了改進的三大建議，例如，（一）敏感性資料勿使用不安全的加密方式儲存，包括明文方式與不安全的編碼（如Base 64等）；（二）敏感性資料勿儲存於不安全路徑或檔案，包括冗餘檔案與日誌檔 (Log) ，以及SD卡；（三）建立Root偵測安全機制，以提升App的安全性，這是因為存取內部儲存空間需取得Root權限，以降低敏感性資料洩漏的風險。</p> </blockquote> <h3><span style="color:#B22222;"><strong>資料傳輸不安全</strong></span></h3> <p>大多數App都有網路通訊能力，需要與雲端伺服器應用程式去取得對應的資料，但在連線過程當中，很多開發人員往往會忽略相關安全。此時可能會有3個狀況，包括：未以加密方式（HTTPS）傳輸敏感性資料，未檢查憑證來源，以及使用過舊的TLS版本。</p> <p>他解釋，部分開發人員不知道要採用HTTPS加密連線傳輸，僅用明文HTTP傳送資料，如此一來，經由這種方式傳輸的帳號密碼資料，都很容易被看光。</p> <p>而他更要提醒的是，雖然現在大家開始知道要採用HTTPS，但還是有些地方要注意。例如，一旦App未檢查連線安全性，此時，駭客可以運用中間人攻擊，讓App以為跟伺服器連線，實際卻是跟駭客電腦連線，這將導致訊息被竄改、資料遭竊，以及被植入惡意程式等風險。</p> <p>探究其原因，在於開發者疏於檢查憑證，導致App無法識別伺服器的真假，因此在實驗室檢測的過程中，還是可以看到傳輸的資料內容。</p> <p>不僅如此，他觀察到有客戶對於HTTPS認知甚少，因為開發者使用了老舊且不安全的TLS 1.0，並在TLS採用了RC4演算法。</p> <p>該如何改善？劉作仁表示，使用安全的加密傳輸協定（HTTPS）傳輸敏感性資料是必要的，但也要注意TLS 版本需1.1版以上，才符合MAS標章基本要求，而有的國外標準更是要求1.2版以上，甚至是1.3版，才能通過安全測試。同時，TLS採用的演算法也應採指定的AES、3DES演算法，以及2,048位元以上的RSA，或是224位元以上的ECC加密演算法。</p> <p>同時，App需加入憑證綁定的安全機制。安華在這方面執行的檢查項目，包括：憑證須為開發人員所指定，以及憑證是否仍在有效期限，並且未被註銷，還有憑證包含連線的伺服器網域名稱。還有哪些要注意的地方？例如，駭客利用假的憑證，像是憑證名稱一樣，但簽發單位不同，以及檢查是否為合格ROOT CA簽發，還有發現憑證被指向其他目的時，App需有阻斷連線的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3App%E9%96%8B%E7%99%BC%E5%B8%B8%E8%A6%8B%E9%A2%A8%E9%9A%AA%E5%AE%89%E8%8F%AF%E8%81%AF%E7%B6%B2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-%E4%BF%AE.jpg" style="width: 600px;" /></p> <blockquote><p>除了以案例說明App不安全的傳輸行為，對於如何改進，安華聯網有兩大建議，例如，（一）使用安全的加密傳輸協定（HTTPS）傳輸敏感性資料，包括：TLS 版本需使用TLSv1.1以上，使用RSA加密演算法金鑰（長度為 2048 bit以上）或橢圓曲線加密演算法（長度為 224 bit 以上），以及使用AES或3DES加密演算法；（二）具備憑證綁定（Certificate Pinning）安全機制，包括：檢查憑證為開發人員所指定，憑證仍於有效期限、未被註銷，且憑證包含連線之伺服器網域名稱，以及確保伺服器憑證為行動作業系統內建可信任之憑證機構所簽發。</p> </blockquote> <h3><span style="color:#B22222;"><strong>資料輸入的內容未經完整驗證</strong></span></h3> <p>這是用戶端程式碼安全性方面的問題，例如，在使用者操作介面上，沒有過濾使用者輸入的內容，一廂情願地認為使用者都會輸入正確的資料，是App開發者必須注意的心態。</p> <p>這樣的問題不僅出現在網站開發，也包含手機應用程式。若未針對輸入的資料進行完整性驗證，就會有SQL Injection、緩衝區溢位、格式化字串、XSS攻擊，以及Local File Inclusion等風險。</p> <p>為了避免這樣的情形發生，劉作仁建議，App在前端與後端都要採取相關防範機制。例如，針對應用程式內所有欄位，在前端就要做到限制輸入型別或輸入格式，像是電話欄位僅能輸入數字，以及限制字串長度，像是電話欄位僅能輸入10碼；後端也需要針對使用者輸入特殊字元過濾，或對不安全的字元進行編碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3App%E9%96%8B%E7%99%BC%E5%B8%B8%E8%A6%8B%E9%A2%A8%E9%9A%AA%E5%AE%89%E8%8F%AF%E8%81%AF%E7%B6%B2_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-%E4%BF%AE.jpg" style="width: 600px;" /></p> <blockquote><p>對於資料輸入的內容未經完整驗證，安華聯網分別在前端與後端提供建議，以前端而言，應用程式內所有欄位應針對使用者所輸入型別及長度進行檢查，像是資料欄位應限制輸入型別或輸入格式，像是「電話」欄位僅能輸入數字，以及資料欄位應限制字串長度，像是「電話」欄位僅能輸入10碼；在後端方面，使用者所輸入特殊字元傳送至後端伺服器需進行處理，例如，需過濾相關特殊字元，像是“ ‘ >< / ~!#等，以及針對字元進行編碼等。</p> </blockquote> <h2><strong>及早訂定資安需求、予以因應，勝於事後補救</strong></h2> <p>基於上述App安全檢測經驗而言，我們注意到，這其實透露出一個危險的狀況，那就是：很多企業在App開發完成後，即便到了送驗的階段，卻還有很多基本安全問題沒有妥善處理，等於到了應用程式開發後期階段，又要花額外時間去修正，而這當中，又有很多是OWASP Mobile Top 10已列出的常見問題。為了解決這些弱點，可能會導致App推出時程受到影響。</p> <p>看起來，國內App開發人員的安全認知，以及後續在安全方面軟體測試，或是委外開發的資安驗收，都還有很大進步空間。</p> <p>企業該如何改進這些問題？對此問題，劉作仁認為，雖然現今的軟體開發過程，已有軟體測試（QA）工程師負責功能測試，但資安方面的測試，一般QA較難以切入，再加上App自動化檢測工具並不普及，很難在內部測試階段就發現這些問題。因此，他認為，還是需要仰賴開發人員的教育訓練，以及在開發前，專案經理就要明確訂立資安需求，才可以有效減少App安全風險。</p> <h2><strong>MSTG相關檢測規範將成新重點</strong></h2> <p>除了揭露近年國內App開發在MAS標章驗證現況，劉作仁在說明上述3類App常見風險時，在分享實際案例，以及說明修補建議之餘，同時他還提供了相關參考規範。</p> <p>舉例來說，以「不安全的用戶端資料儲存」而言，在經濟部工業局行動資安檢測標準（MAS）中，有一個敏感性資料保護類別，包含行動應用程式敏感性資料傳輸檢測，針對資料儲存限制、保護與控管的三個安全要求；而在TAICS智慧機系統內建軟體資安檢測標準中，主要針對手機出廠預載的App做檢測，也有4個相關安全要求，例如，內建軟體應將帳號、通行碼或金鑰儲存於作業系統保護區內，或以加密方式儲存等，就是其一。</p> <p>而在國內的App資安檢測標準之外，劉作仁也舉出兩項國際標準，像是近年新興的ioXt聯盟，今年發布了Mobile App Profile，針對手機應用程式也有這方面的要求，另一個則是越來越多人討論的OWASP Mobile Security Testing Guide（MSTG），更受矚目。</p> <p>此指引提供檢核表Mobile App Security Checklist，主要是基於MSTG與OWASP行動應用安全驗證標準（MASVS）而成，劉作仁並指出，目前MASVS包含了最豐富的測試項目。值得關注的是，現在臺灣已有金融單位開始重視，將MSTG相關列為App檢測的必要條件之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E8%87%BA%E7%81%A3App%E9%96%8B%E7%99%BC%E5%B8%B8%E8%A6%8B%E9%A2%A8%E9%9A%AA%E5%AE%89%E8%8F%AF%E8%81%AF%E7%B6%B2.jpg" style="width: 600px;" /></p> <blockquote><p>針對這次3大常見風險，劉作仁同時也提供了相關規範作為參考，舉例來說，以「不安全的傳輸行為」（Insecure Communication）的問題類型來看，包括國內的經濟部工業局行動資安檢測標準（MAS）、TAICS智慧機系統內建軟體資安檢測標準，以及國際上的OWASP Mobile Security Testing Guide與ioXt Mobile，都有對應的檢測項目。（圖片來源：安華聯網）</p></blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89MAS%E8%A1%8C%E5%8B%95%E6%87%89%E7%94%A8%E8%B3%87%E5%AE%89%E8%81%AF%E7%9B%9F.jpg" style="width: 600px;" /></p> <blockquote><p>對於App安全，由於部分開發者缺乏資安意識，導致使用者面臨資料外洩或財產損害，為此，經濟部工業局在2015年時，公告了「行動應用App基本資安檢測基準」，希望讓國內的App，至少做到基本的資安防護水準。如今，在國內的行動應用資安（MAS）聯盟中，App檢測認可實驗室已有13間。</p> <p>目前，這項標準非強制性要求，主要還是透過相關產業主管機關的力量，自行決定是否要求，不過，近年國內金融機關已受到主管機關要求，而政府也在推動所有單位都需要取得MAS標章，因此，這兩類產業對於App檢測較為積極，而在其他產業中，有些也因為參加政府計畫，而同樣受到要求。</p> </blockquote> </div></div></div>
2021/6/23 18:02作者羅正漢https://www.ithome.com.tw/news/145196
資安一周第151期：烏克蘭警方聯手美韓，打擊Clop勒索軟體駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">6/17-6/23 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體駭客</strong></span></h3> <h2><strong style="vertical-align: top;">烏克蘭警方逮捕6名涉及操作Clop勒索軟體的嫌犯</strong></h2> <p>烏克蘭政府在6月16日宣布，與國際刑警組織（Interpol）、南韓及美國的執法機關合作，破獲了Clop勒索軟體集團，逮捕並起訴6名涉嫌參與Clop勒索軟體操作的嫌犯，關閉了Clop用來散布病毒及勒索的基礎設施，也扣押了這些嫌犯的資產。</p> <p>根據金融時報的分析，這應該是史上首個針對勒索軟體集團大規模展開的逮捕行動，將對部分國家造成壓力，例如被視為勒索集團中心的俄羅斯。<strong><a href="https://www.ithome.com.tw/news/145133">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/151-1_clop.jpg" style="width: 400px; height: 225px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：烏克蘭警察局</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃SSL VPN ＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">南韓核子研究室被北韓駭客從VPN漏洞駭入</strong></h2> <p>南韓原子能源研究所（KAERI）於6月18日發出公告，駭客於5月14日透過VPN系統的漏洞入侵，該單位到了5月31日才發現，並切斷異常連線與進行調查。</p> <p>結果發現，有不明人士從13個外部IP位址連線，並濫用VPN系統的漏洞存取其內部網路。KAERI指出，其中一個IP位址與北韓網路間諜組織KimsukyAPT有關，除此之外並未透露進一步的訊息，例如該單位使用的VPN廠牌、漏洞CVE編號，或者是否出現文件遭到存取的現象。<strong><a href="https://www.ithome.com.tw/news/145132">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃資料外洩＃醫療產業</strong></h3> <h2><strong style="vertical-align: top;">美國健康照護商外洩逾10億筆營運資料</strong></h2> <p>網站架設資訊彙整平臺Website Planet與資安研究人員Jeremiah Fowler聯手，於6月16日指出，他們在3月21日，發現包含約11.5億筆資料的資料庫，且未設密碼保護。經過調查，證實此資料庫的所有者，是美國大型健康照護集團CVS Health。經研究人員通報後，該集團隨即關閉公開存取的管道。</p> <p>研究人員指出，外洩的檔案共有204 GB，可讓人清楚了解該集團的組態設定、資料儲存地點，以及後端日誌服務運作狀態。不過，研究人員並未說明這些資料建立的時間點為何。<strong><a href="https://www.ithome.com.tw/news/145059">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/151-2-CVS-Health.jpg" style="width: 400px; height: 187px;" /></p> <p><span style="color:#808080;">圖片來源：WebsitePlanet</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃醫療器材</strong></span></h3> <h2><strong style="vertical-align: top;">Zoll心臟電擊器管理軟體存在重大漏洞，攻擊者可上傳Excel檔案執行惡意指令</strong></h2> <p>美國政府於6月10日提出警告，醫療設備商Zoll的心臟急救設備存在6項安全漏洞，可能導致駭客能用來遠端執行指令。這些漏洞與該廠牌的體外除顫器（Defibrillator）有關，出現於其管理設備的儀表板軟體。</p> <p>這些漏洞中，又以CVE-2021-27489最嚴重，可透過上傳特定Excel檔案觸發，CVSS風險層級高達9.9分。Zoll發布2.2版管理軟體修補上述漏洞。<strong><a href="https://www.ithome.com.tw/news/145056">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃行動裝置應用程式</strong></h3> <h2><strong style="vertical-align: top;">Peloton健身App漏洞恐使駭客接管裝置</strong></h2> <p>防毒廠商McAfee於6月15日揭露，健身器材商派樂騰（Peloton）的健身器應用程式存在漏洞，攻擊者一旦濫用，有可能得以注入惡意程式來接管整臺設備。</p> <p>對此，Peloton公司表示，攻擊者必須要實際接觸到產品才能濫用上述漏洞。在接獲通知後，該公司已經於6月初修補漏洞。<strong><a href="https://www.ithome.com.tw/news/145069">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">是誰發動夜神模擬器供應鏈攻擊？ESET揭露幕後的駭客組織身分</strong></h2> <p>針對鎖定知名Android模擬器夜神模擬器（NoxPlayer）的供應鏈攻擊行動，ESET揭露他們最新的調查結果，並指出發動攻擊的駭客組織名為Gelsemium，該組織也可能曾使用OwlProxy和Chrommme等惡意軟體。<strong><a href="https://www.ithome.com.tw/news/145138">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃BEC ＃釣魚郵件攻擊</strong></span></h3> <h2><strong>BEC詐騙信件攻擊鎖定Microsoft 365用戶而來</strong></h2> <p>微軟於6月14日對Microsoft 365用戶提出警告，表明他們近期發現鎖定自家用戶的大規模電子郵件詐騙（BEC）攻擊行動，攻擊者為長期隱匿行動，運用外部多個IP位址和不同時間點發送信件，並設定多筆和公司網域名稱相仿的DNS記錄。此外，為了繞過多因素驗證機制，攻擊者亦採用舊式的郵件通訊協定，如IMAP和POP3。<strong><a href="https://www.ithome.com.tw/news/145050">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/151-3-BEC-mail_M365.jpg" style="width: 400px; height: 361px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞修補</strong></span></h3> <h2><strong style="vertical-align: top;">VMware重大漏洞仍有數千臺系統尚未修補</strong></h2> <p>重大漏洞CVE-2021-21985甫於5月底獲得修補，但事隔不到2周就被用於攻擊行動。而根據資安公司TrustWave的調查，仍有5,271臺尚未修補的vCenter伺服器曝露在網路上，且有5,076臺仍開放443埠，TrustWave呼籲用戶應儘速修補。<strong><a href="https://www.ithome.com.tw/news/145047">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃物聯網裝置＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">物聯智慧SDK含嚴重漏洞，恐遭第三方竊聽</strong></h2> <p>美國網路安全暨基礎架構安全署（CISA）於6月15日發出警告，臺灣物聯網雲端服務業者「物聯智慧（Throughtek，TUTK）」，所開發的SDK，含有CVE-2021-32934漏洞，若遭成功利用，將允許未經授權的第三方存取機密資料，例如監視器的聲音或影片，CVSS 風險評分高達9.1。</p> <p>對此，物聯智慧指出，他們已在2018年自行發現相關漏洞，並推出3.1.10版SDK予以修補。但CISA在2021年4月通報物聯智慧，原因是有資安顧問公司發現，一些網路監控攝影機存在上述漏洞，且這些設備仍使用較舊版本的物聯智慧SDK，才使得CVE-2021-32934被公布。<strong><a href="https://www.ithome.com.tw/news/145096">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃隱私保護</strong></span></h3> <h2><strong style="vertical-align: top;">警方利用實聯制簡訊資料追蹤嫌犯行踨惹爭議</strong></h2> <p>行政院推出簡訊實聯制時曾保證僅作為疫調使用，且保留28天即刪除資料，近日卻有法官當吹哨者，指出簡訊實聯制恐遭警方濫用，用於辦案以追蹤嫌犯的行蹤。</p> <p>針對上述爆料，NCC表示，警方確實可依通訊保障及監察法規定，得以監聽特定對象的所有通訊內容，包括可取得發送到1922的簡訊資料。但為避免產生誤會，內政部已要求警政機關，基於通訊監察取得實聯制簡訊資料，應主動排除使用。<strong><a href="https://www.ithome.com.tw/news/145136">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/145101">Google推動軟體供應鏈安全框架SLSA</a><br /> ●<a href="https://www.ithome.com.tw/news/145130">美國傳出擬對遭勒索軟體攻擊企業減免稅賦</a><br /> ●<a href="https://www.ithome.com.tw/news/145107">歐洲電信標準協會坦承GPRS加密機制存在缺陷</a></h3> </div></div></div>
2021/6/23 18:46作者周峻佑https://www.ithome.com.tw/news/145198
Google更新線上教學工具，Classroom將可安裝第三方套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了多項包括<a href="https://www.blog.google/outreach-initiatives/education/google-workspace-for-education-collaboration-and-security">Google Workspace for Education</a>和<a href="https://blog.google/outreach-initiatives/education/classroom-the-anywhere-school-updates">Google Classroom</a>在內的線上教學工具更新，簡化學生分組協作和老師線上教學的麻煩。</p> <p>原本稱為G Suite教育版的Google Workspace for Education工具，在獲得許多協作更新，能夠支援學生分組等使用情境。延續去年Google文件推出的文法建議功能，針對Education Plus用戶，Google接下來會推出編寫提示，且在Google試算表中，還會加入輔助分析功能，管理員可以視需求關閉這些功能。Google文件的提示功能，會針對文件中的攻擊性語言發出警告，並且建議編寫風格，而試算表的輔助分析功能，則會提供公式建議，使得用戶更容易理解資料。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Assisted_writing_r3.gif" style="width: 580px;" /></p> <p>老師可以直接從Google文件、試算表和投影片中，分享檔案內容到Google Meet中，並且在今年稍晚，使用者在團隊合作的文件、試算表和投影片中，還可以直接使用Google Meet進行通話，成員的影像會呈現在文件的右方，使得用戶不需要切換視窗，就能順暢的討論並且進行協作。</p> <p>Google也強化了Google Workspace for Education的安全功能，包括在雲端硬碟中加入增強保護功能，防禦組織內部威脅和惡意軟體意外遭到共享的情況，而且新的硬碟信任規則，使得管理員可以進一步管理組織內外共享檔案的方式。</p> <p>另外，同樣在今年稍晚的時候，Google將提供Education Plus版本使用者在Classroom中安裝附加元件，將有趣的內容和活動帶入課堂，管理員可以一次替多個老師和小組預安裝擴充套件。目前Google先與包括Adobe Spark for Education、Bookwidgets和Newsela在內的9個廠商合作，並且計畫持續擴展合作對象。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/052-TAS-05-ClassroomAddOns-06-46-NK.gif" style="width: 580px;" /></p> <p>老師或是助理，也將可以在Google Classroom中，跨多個班級指定作業，而且Google還預計將推出離線版本的Classroom Android應用程式，離線模式可以讓學生在離線狀態查看作業和附件，並且使用Google文件完成工作，所有這些動作都不再需要網路連線。</p> <p>接下來老師也會獲得Google Meet in Classroom的更新，在教學操作上將會更簡單，像是班級的共同教師，會自動成為會議的共同主持人，而且在課堂點名簿中列出的學生，才能夠加入會議。在上課前，學生都會在等候室中集合，等待老師加入會議連結，而名字沒有出現在點名簿的訪客，都必須請求加入才能參與會議，以避免不受歡迎的參與者出現在會議中。</p> </div></div></div>
2021/6/23 18:50作者李建興https://www.ithome.com.tw/news/145197
國網中心COVID-19疫情即時地圖新增疫苗接種、鄉鎮確診資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技部近日啟動一系列科技抗疫措施，繼6月初國研院國網中心啟動科技抗疫2.0專案，號召產學界投入，以台灣杉三號提供算力支援抗疫專案之外，因應近期國內疫情變化，國網中心的<a href="https://covid-19.nchc.org.tw/" target="_blank">COVID-19全球疫情即時地圖</a>近期也更新，新增鄉鎮市區確診數分布地圖資訊，提供更精細的地區確診資訊供外界使用。</p> <p>去年COVID-19疫情在全球造成大流行，國網中心以我國衛福部、美國約翰霍普金斯大學的資料，去年3月便打造了COVID-19全球疫情即時地圖，以視覺化方式呈現國外疫情數據，如國內確診數、死亡人數等，方便外界掌握全球及臺灣的疫情最新發展。</p> <p>隨著今年國內疫情升溫，國網中心在全球疫情即時地圖裡，提供更多的台灣本地疫情資訊，除了各縣市確診案例數，還包括根據疾管署公布的疫苗接種情形，如各縣市累計疫苗接種人數、新增接種人數，各縣市目前接種比率，以及疫苗剩餘的庫存量等等，接種的疫苗廠牌，還有其他國家的接種資形。</p> <p>這些經過國網中心整理的數據，目前也開放外界下載運用，除了Exel、CSV格式之外，回應g0v的資料使用社群提出的期望，近期國網中心還新增了API的取得方式，以滿足不同資料使用的需求。</p> <p>而原本在國網中心COVID-19全球疫情即時地圖中，臺灣疫情地圖方面，僅提供國內各縣市確診數，但在6月更新中，新增了鄉鎮市區的確診人數，以台北市為例，使用者可從地圖介面，觀看各行政區的累積及新增確診人數，或是新北市等其他縣市的鄉鎮市區確診數，並且可回溯到特定日期觀察確診數消長。</p> <p>國網中心開發團隊指出，未來還會依據CDC釋出更多資料，例如疫苗接種的廠牌，各縣市詳細的接種率，也會根據專業的使用需求，如醫生、研究者或大數據分析專家的意見回饋，增加新的功能。</p> </div></div></div>
2021/6/23 17:39作者蘇文彬https://www.ithome.com.tw/news/145192
臉書將把商店服務擴大到WhatsApp與Marketplace，將於IG試行圖片搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/06/new-ways-to-shop-for-products-you-love-across-our-apps/" target="_blank">臉書於本周宣布</a>，將把目前僅部署在Facebook及Instagram（IG）上的Facebook Shops商店服務，擴大到Marketplace與WhatsApp兩大平臺上，並推出可根據消費者購物喜好，來遞送廣告的Shops廣告解決方案，同時準備在IG的商店服務中測試圖片搜尋，以方便使用者找到類似的商品。</p> <p>臉書於去年發表的Facebook Shops，允許商家建立並設計自己的線上商品型錄，以於臉書的各式平臺上展示及銷售商品，商家可將使用者導回自己的網站來結帳，在美國則可透過臉書與IG的Checkout功能結帳。至於Marketplace則是在2016年上線的交易市集，鼓勵臉書用戶彼此交易各種商品，不論新舊，被視為是eBay與Craigslist的潛在競爭對手。</p> <p>Facebook Shops在經過一年的測試之後，目前每月約保持120萬個商店，以及3億名訪客。臉書表示，很快就會在特定國家的WhatsApp推出Facebook Shops服務，在美國則會允許Facebook Shops的產品於Marketplace上曝光。</p> <p>雖然臉書的最終目的是讓不同的平臺，都有同樣的Facebook Shops風貌，但該服務目前尚處於開發階段，因此在每個平臺或不同國家的腳步與功能都不一，有些服務則會先在IG上試行，例如未來幾個月IG的Shops就會支援評論功能，或是於今年推出以圖搜尋的功能，只要點選目錄上的商品，就能搜尋其它類似的商品，未來也可望讓使用者直接以手機所拍攝的照片，於Shops中搜尋類似產品。</p> <p>另一方面，臉書也將根據使用者的購買喜好來協助商家遞送目標式廣告，未來商家甚至能針對不同的消費者祭出不同的優惠活動，提高消費者直接從廣告連結至商家的動力。</p> </div></div></div>
2021/6/23 17:44作者陳曉莉https://www.ithome.com.tw/news/145193
瀏覽器Brave釋出自家搜尋引擎測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器Brave宣布自家<a href="https://brave.com/brave-search-beta/">隱私搜尋服務</a>測試版上線，該搜尋引擎使用獨立的索引，提供所有網路使用者隱私搜尋服務，不會追蹤用戶以及使用者行為，目前測試階段早期皆為無廣告版本，之後官方將會開始提供付費的無廣告版本和免費的有廣告版本。</p> <p>無論是Brave還是其他瀏覽器使用者，現在都有了搜尋引擎新選擇Brave搜尋服務，在訴求高隱私安全的前提下，官方表示，Brave搜尋服務建立在完全獨立的索引上，不會追蹤用戶，以及搜尋和點擊按鈕等行為。</p> <p>在Brave搜尋服務測試階段，目前已經於桌面、Android和iOS版本的Brave瀏覽器中，新增搜尋引擎選項，供全球使用者進行Beta測試，在今年稍晚的時候，將會成為Brave瀏覽器的預設搜尋引擎，其他瀏覽器使用者，也可以存取search.brave.com網站執行搜尋。</p> <p>Brave在今年3月併購搜尋引擎業者Tailcat的時候，就公開了Brave搜尋引擎的消息，成為除了Brave Ads、Brave News和Firewall+VPN之外的隱私保護新工具，現在每月的活躍用戶數超過3,200萬。</p> <p>Brave搜尋服務與其他搜尋引擎有幾個差異，官方強調，Brave講究隱私，因此搜尋服務不追蹤和分析用戶，而且Brave搜尋使用自己的搜尋索引，可以在不依賴其他供應商的情況下回答常見的查詢。Brave搜尋也不會使用秘密演算法來調整結果，他們透過開放排名模型，來確保搜尋多樣性並且避免演算法偏見。Brave搜尋將會提供無廣告的付費搜尋和有廣告的免費搜尋服務，另外，Brave搜尋也將會在之後，支援其他搜尋引擎。 </p> <p>Brave創辦人Brendan Eich表示，Brave搜尋是目前業界最具隱私性的搜尋引擎，也是唯一的獨立搜尋引擎。他還提到，不像許多舊搜尋引擎會追蹤和分析用戶，甚至是部分搜尋引擎並沒有自己的索引，如同包著新皮的舊引擎，Brave搜尋使用由社群驅動的索引，在保證隱私的情況下，獲取相關的搜尋結果。</p> <p>另外，Brave搜尋還提供搜尋獨立性指標，顯示結果來自Brave索引的比例，這項結果將會由用戶各自的瀏覽器計算而來，匯總指標能夠驗證搜尋結果的獨立性，並且供用戶了解Brave搜尋索引提供的結果，以及部分結果來自第三方的比例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1-1-980x589.png" style="width: 580px; height: 349px;" /></p> <p>雖然絕大多數Brave搜尋的結果，指標都會呈現高獨立性，但是在部分功能，像是圖像搜尋，Brave搜尋的結果將會來自微軟的Bing搜尋引擎，官方提到，雖然這不會讓用戶受到追蹤，但是會降低獨立性指標。</p> <p>Brave搜尋透過獲得社群的匿名貢獻來改進搜尋結果，但是對於部分類型的搜尋，Brave仍無法提供足夠相關的結果，因此選擇先使用第三方的服務，直到他們能夠提供夠精確的結果為止，Brave的獨立性指標可以說是一個進度條，其目標是在不損害使用者隱私的情況，提供更大的搜尋結果獨立性。</p> </div></div></div>
2021/6/23 17:46作者李建興https://www.ithome.com.tw/news/145187
MIT研究不需影像即可偵測姿勢的AI地墊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影像監控引發侵犯隱私的疑慮，麻省理工學院電腦科學暨人工智慧實驗室（Computer Science and Artificial Intelligence Laboratory，<a href="https://www.youtube.com/watch?v=XKxyVhrwpCI" target="_blank">CSAIL）近日發表一項智慧地墊</a>，運用觸覺感測器及AI來偵測使用者多種姿勢。</p> <p><a href="https://openaccess.thecvf.com/content/CVPR2021/html/Luo_Intelligent_Carpet_Inferring_3D_Human_Pose_From_Tactile_Signals_CVPR_2021_paper.html" target="_blank">這項研究是在今年電腦視覺及特徵辨識大會（Computer Vision and Pattern Recognition，CVPR）上發表</a>。</p> <p>這項研究的理論基礎是，人類像是運動、休息、或單純的移動，都大量仰賴人和地面之間的觸覺互動引導。CSAIL的研究則是運用這類觸覺互動，提出一種利用觸覺地墊內的感測器，蒐集壓力地圖產生3D人體姿態評估的系統。</p> <p><a href="https://openaccess.thecvf.com/content/CVPR2021/papers/Luo_Intelligent_Carpet_Inferring_3D_Human_Pose_From_Tactile_Signals_CVPR_2021_paper.pdf" target="_blank">研究人員說明</a>，這作法是在一塊地墊下植入9000多個觸覺感測器，成本不到100美元，這些感測器能即時紀錄人體和地板內的觸覺互動。研究人員一開始是利用這智慧地墊及相機，蒐集人在地墊上做各種動作（如蹲、走、仰臥起坐等）的觸覺和視覺的同步資料約180萬筆。他們以視覺資料的姿態評估模型作為監督，設計並訓練、實作深度神經網路模型，這個模型只使用觸覺資料就推論出3D人體姿態。</p> <p>實際運作時，觸覺感測器可將人類腳、軀幹、四肢和地墊接觸產生的壓力轉成電子訊號，再由模型判斷出人體動作。</p> <p>目前該模型可以辨識人體動作和姿勢，從躲下、彎腰、踮腳、側走、扭臀、走路或坐下，準確率達97%，同時也能支援2個人的姿勢判讀。</p> <p>研究人員表示，這種姿態評估可單獨使用避免侵犯隱私，或是和視覺系統配合使用，同時又不受視覺阻礙影響。以應用來看，研究人員認為用途甚廣，像是智慧家庭、長照或遊戲，例如判斷使用者的動作，而計算動作次數及推論出燃燒的卡路里。</p> </div></div></div>
2021/6/23 17:54作者林妍溱https://www.ithome.com.tw/news/145195
Google推出可自動化品質控制流程的視覺檢測解決方案Visual Inspection AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對製造業，推出新的視覺檢測解決方案<a href="https://cloud.google.com/blog/products/ai-machine-learning/improve-manufacturing-quality-control-with-visual-inspection-ai">Visual Inspection AI</a>，來自動化製造業的瑕疵檢查工作流程。Visual Inspection AI是一個人工智慧工具，可用於產品製造過程的品質控制程序，以自動化的方式掃描產品或零組件，來快速找出有瑕庛的地方。</p> <p>無論是汽車、晶片還是智慧手機等產品，生產品質都是一項重要的指標，因此製造過程通常會有一道或是多道步驟，來檢查產品是否存在缺陷，方法從高度人工且易出錯的目視檢測，到近年來流行基於規則的視覺檢測機器。</p> <p>Google提到，人工檢查通常取決於操作員的敏感度和經驗，而不同檢查員間的差異，會影響檢驗的一致性，傳統檢測機器，需要專門為檢測任務編寫程式，不夠靈活無法適應產品變化，而傳統電腦視覺檢測方法的缺點，則是一次只能檢測少數的瑕疵。</p> <p>為了解決這些問題，Google現在針對製造業用例，釋出Visual Inspection AI解決方案，利用人工智慧和電腦視覺技術，來自動執行視覺檢測任務，讓製造商可以透過自動檢測產品，來改善品質控制流程。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/GC1016_VIAI_Sizzle_640x480.gif" style="width: 580px; height: 326px;" /></p> <p>Visual Inspection AI模型可以部署在本地端或是邊緣網路，檢查工作可以在Google雲端上執行，或是在工廠本地端全自動運作。Google提到，這個解決方案可以在數周內完成部署，不會像是傳統機器學習解決方案需要數個月，而且使用方法簡易，品質工程師不需要電腦視覺或是機器學習基礎，就可以藉由互動式介面的引導，完成所有步驟簡單上手。</p> <p>Visual Inspection AI允許用戶訓練模型，對單一張照片進行檢測、分類和精確定位多種瑕疵類型，並且可以自動觸發生產線後續任務，不需要人員介入，Google表示，這個新的解決方具有高精確性，其精確性是通用機器學習解決方案的10倍，而且由於其足夠精確的模型，需要人工標記的圖像，僅是通用機器學習平臺的1/300。</p> <p>另外，Visual Inspection AI具有高度的可擴展性，製造商可以靈活地部署和管理機器學習生命周期，跨生產線和工廠擴展解決方案。</p> </div></div></div>
2021/6/23 18:00作者李建興https://www.ithome.com.tw/news/145189
去年影響80萬臺SonicWall產品的VPN漏洞修補不全引發新漏洞，本周SonicWall發布修補通知
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/140591" target="_blank">去年SonicWall被發現一個可能引發DoS攻擊的緩衝溢位漏洞</a>，雖經修補，但安全廠商發現並未修補完全，衍生出新漏洞。SonicWall已於近日修補大部份受影響平臺。</p> <p>去年安全廠商Tripwire的VERT小組研究人員Craig Young發現，SonicWall一個編號CVE-2020-5135的堆積型緩衝溢位漏洞。這項漏洞位於SonicWall Network Security Appliance（NSA）產品SonicOS中。攻擊者可透過對SonicWall NSA發送包含客製化協定的HTTPS呼叫觸發，而引起記憶體毁損、造成阻斷服務（DoS）攻擊。其危險性在攻擊者只要知道裝置的IP位置，不需知道帳號密碼，傳送惡意HTTPS呼叫即可造成系統停機。此外，因為是VPN漏洞，CVE-2020-5135可掩護外部攻擊行動不被企業安全裝置偵測到，更是分外危險。根據CVSS 3.1，本漏洞屬於9.4的重大風險。研究人員查詢顯示全球有近80萬臺裝置曝險。</p> <p>當時SonicWall也在不久後釋出修補程式。不過就在此不久後，Young再度以其概念驗證（PoC）工具進行測試，結果卻有意外發現。這次沒有引發系統當機，而是觸發一串二進位資料，似乎是記憶體位置，他相信這些資料可被用作來開採RCE（遠端程式碼執行）漏洞。<a href="https://www.tripwire.com/state-of-security/featured/analyzing-sonicwalls-unsuccessful-fix-for-cve-2020-5135/" target="_blank">他判斷是CVE-2020-5135修補不全所致。</a></p> <p class="rtecenter"><a href="https://www.tripwire.com/state-of-security/featured/analyzing-sonicwalls-unsuccessful-fix-for-cve-2020-5135/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-sonicwall%20570p-CRAIG%20YOUNG.png" style="width: 500px;" /></a></p> <p>研究人員在去年10月聯繫SonicWall，一直到今年3月終於獲得SonicWall回覆，表示將把該漏洞分派編號CVE-2021-20019。</p> <p><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0006" target="_blank">本周SonicWall終於釋出SonicOS最新漏洞的安全公告及修補程式</a>。SonicWall描述，該漏洞可讓攻擊者傳送改造過未經驗證的HTTP呼叫，造成部份記憶體外洩，而致敏感資料洩露。所幸新漏洞風險層級僅為5.3。</p> <p>截至6月23日中午，受影響的版本中，SonicWall已修補了SonicOS 6.5.4、6.5.1、6.0.5、7.0.0、7.0.1以前版本，但部分平臺如NSsp 12K、SuperMassive 10k及SuperMassive 9800 仍待修補。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關資料 </span></strong></span> <a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0006" target="_blank"> SonicWall CVE-2021-20019漏洞修補官方公告（2021-06-23發布）</a></p> <p><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2020-0010" target="_blank">SonicWall CVE-2020-5135漏洞修補官方公告（<span style="font-family: "Nunito Sans", sans-serif;">2020-10-12</span>發布）</a></p> </div></div></div>
2021/6/23 16:17作者林妍溱https://www.ithome.com.tw/news/145185
Twitter推出Ticketed Spaces與超級粉絲，以替擁有龐大粉絲的用戶建立財源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.twitter.com/en/articles/blogs/2021/be-the-first-to-try-ticketed-spaces-and-super-follows" target="_blank">Twitter周二（6/22）發表了兩項可替用戶創造收入的服務</a>，它們分別是Ticketed Spaces與超級粉絲（Super Follows），前者為Twitter Spaces的付費版，後者則是讓粉絲可付費訂閱用戶的貼文。</p> <p><a href="https://blog.twitter.com/en_us/topics/product/2021/spaces-is-here" target="_blank">Twitter於今年5月3日發表的Twitter Spaces</a>是Clubhouse的競爭服務，目前仍在試用階段，允許擁有超過600名粉絲的用戶建立語音聊天室。而Ticketed Spaces則是付費的聊天室服務，在建立一個聊天或討論的主題之後，可以設定與會價格，最低是1美元，最高則可設定999美元，也能設定從5到100人的與會人數。</p> <p class="rtecenter"><img alt="" src="https://cdn.cms-twdigitalassets.com/content/dam/media-twitter/Article_Assets/bl0009/Add-tickets.png.twimg.2560.png" style="width: 400px;" /></p> <p><span style="color:#696969;">圖片來源／推特</span></p> <p>不過，Ticketed Spaces的門檻更高了，只有維持1,000名粉絲的用戶得以建立收費聊天室。</p> <p>至於啟用超級粉絲功能的用戶，則必須擁有1萬名以上的粉絲，且在過去一個月內推文的次數必須超過25次，即可設定月費功能，每月的訂閱費率選項為2.99美元、4.99美元或9.99美元。</p> <p class="rtecenter"><img alt="" src="https://cdn.cms-twdigitalassets.com/content/dam/media-twitter/Article_Assets/bl0009/SuperFollows.png.twimg.2560.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／推特</span></p> <p>Twitter並未規定啟用超級粉絲功能的用戶所張貼的內容，但建議這些用戶可發放徽章，或是提供額外的內容。</p> <p>不管是Ticketed Spaces或超級粉絲，Twitter都只將收取3%的分潤，其餘97%都歸用戶所有，但假設用戶透過這兩項服務所得到的總收入超過5萬美元，之後Twitter的抽成比例將會提高到20%。</p> </div></div></div>
2021/6/23 16:59作者陳曉莉https://www.ithome.com.tw/news/145188
英特爾成立加速運算、軟體事業群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-makes-changes-strengthen-execution-innovation-critical-business-areas.html#gs.4065ry" target="_blank">英特爾昨（22）日宣布人事改組</a>，新成立加速運算系統與繪圖（Accelerated Computing Systems and Graphics，AXG）及軟體與進階技術（Software and Advanced Technology）兩大事業群。一般認為，此舉是為迎戰CPU及GPU產業競爭轉趨激烈的部署。</p> <p>英特爾執行長Pat Gelsinger同時宣布新人事，包括找來VMware前技術長Greg Lavender擔任軟體部門總經理，加速運算部門則由英特爾副總裁Raja Koduri率領。</p> <p>軟體部門將「推動英特爾軟體的整合願景」強化該公司的競爭力，Lavender同時身兼技術長，帶領英特爾技術創新暨研究計畫，包括英特爾實驗室。Lavender具有35年產品工程及進階研發的經驗。除了VMWare技術長，他還待過花旗集團、思科及昇陽電腦。</p> <p>Koduri是現任英特爾架構、繪圖及軟體事業群總經理，是GPU運算的老將，他率領新成立的AXG事業群將強化英特爾高效能運算及繪圖晶片研發，提供從個人、企業到資料中心領域的整合及獨立晶片產品。</p> <p>另外，英特爾也將把資料平臺事業群分成二大部份，分別為資料中心及AI部門，以及網路與邊緣事群。首先，現任人事長Sandra Rivera將擔任資料中心及AI部門總經理，開發Intel Xeon和FPGA晶片資料中心產品。</p> <p>網路與邊緣事群則整併網路平臺、IoT及連網事業群三部門而成，這個事業群將開發網路到智慧化邊緣產品，將由史丹佛大學教授與Barefoot共同創辦人Nick McKeown加入英特爾擔任事業群總經理。McKeown創辦的Barefoot從事網路設備晶片開發，<a href="https://www.ithome.com.tw/news/131215" target="_blank">2019年為英特爾收購</a>。</p> <p>這是Gelsinger今年一月就任英特爾以來另一次重大宣布。晶片龍頭英特爾近年面臨AMD及Nvidia兩大對手威脅，前者進佔PC及伺服器處理器市場，而繪圖晶片業者Nvidia則以AI晶片及軟體坐穩GPU龍頭，更進一步跨足CPU市場，推出名為Grace的Arm架構伺服器處理器，挑戰Xeon。</p> <p>為擴大多元化經營，<a href="https://www.ithome.com.tw/news/143423" target="_blank">英特爾今年三月宣布進軍晶圓代工業務</a>。</p> <p>高效能運算產品及AI的整合已成最近趨勢。<a href="https://www.ithome.com.tw/news/145151" target="_blank">HPE昨天也宣布收購Determined AI</a>，使其高效能運算（HPC）產品線可加速企業用戶開發機器學習模型。</p> </div></div></div>
2021/6/23 17:14作者林妍溱https://www.ithome.com.tw/news/145190
Python專案遭挖礦程式滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研發開源軟體供應鏈管理平臺的<a href="https://blog.sonatype.com/sonatype-catches-new-pypi-cryptomining-malware-via-automated-detection" target="_blank">Sonatype在本周警告</a>，Python專案的官方第三方軟體儲存庫Python Package Index（PyPI）被嵌入了多個惡意的軟體包，內含挖礦程式，企圖利用開發者的機器資源來挖礦，目前確定至少有6個惡意軟體包，總下載量接近5,000次。</p> <p>根據Sonatype的調查，這6個軟體包都是由同一個暱稱為nedog123的作者所張貼，nedog還使用其他的別名，包括Marat Nedogimov與maratoff。最早的一個是在今年4月出版，它們分別是maratlib、maratlib1、matplatlib-plus、mllearnlib、mplatlib與learninglib。其中，mplatlib與matplatlib-plus企圖仿冒Python合法繪圖軟體matplotlib的名稱，當開發者粗心大意輸錯名稱時，就會讓自家伺服器淪為挖礦機器。</p> <p>當開發者不小心安裝了惡意軟體包之後，它會進一步下載可挖掘UBIQ的Ubqminer，或是開源的GPU挖礦程式T-Rex。</p> <p>Sonatype認為，此一發現再度證實開發人員已成為駭客的目標，包括npm、Nash與PyPI都成為駭客入侵的標的，且相信這股趨勢將會持續發展。Sonatype已將惡意軟體包的相關資料，提供給Python專案。</p> </div></div></div>
2021/6/23 15:50作者陳曉莉https://www.ithome.com.tw/news/145186
【疫情日報】指揮中心：三級警戒延長至7月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（23日）宣布三級警戒延長至7月12日，並呼籲落實六大重點，如精準疫調、高風險族群接種疫苗等，來穩住疫情趨勢。此外，指揮中心也針對北農群聚事件，提出六大市場專案來強化防疫，並調整醫院篩檢做法，將快篩陰性者接續進行PCR檢驗。</p> <p>今日本土確診個案來到104例，較前兩天的75、78例，增加一些。鑑於臺灣本土個案數趨勢，指揮中心指揮官陳時中宣布三級警戒再延長兩周，並提出六大重點，首先是針對確診個案進行精準疫調，除了掌握個案足跡，也要避免前陣子因確診個案數暴增時，安置措施無法即時跟進的情況。陳時中希望，接下來要同步跟上。</p> <p>第2個重點是，完成居家檢疫和隔離期滿的採檢作業，再來是落實高風險族群疫苗接種。陳時中呼籲，在三級警戒期間，社區廣篩也應持續執行，且居家快篩試劑今日上市，民眾可多加利用。其他重點還包括強化重症照護，以及落實民生供需產業健康監測等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04_20210623%20%E4%B8%89%E7%B4%9A%E8%AD%A6%E6%88%92%E6%97%A5%E6%9C%9F%E5%BB%B6%E9%95%B72.jpeg" /></p> <p>另一方面，為因應北農群聚感染事件，指揮中心也啟動「市場專案」，重點包括全面快篩、設置鄰近篩檢站、從業人員未持有6月20日之後的檢驗陰性證明，不得入場，以及北北基桃批發市場人員施打疫苗等。這些做法中也包括檢驗措施，雖然中央建議僅以PCR檢驗為原則，但陳時中指出，指揮中心也允許醫院進行快篩，並針對陰性者接續進行PCR檢驗。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/05_210623-%E5%B8%82%E5%A0%B4%E9%98%B2%E6%B2%BB%E5%B0%88%E6%A1%88.png" /></p> <div id="gtx-trans" style="position: absolute; left: 718px; top: 38px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/6/23 14:36作者王若樸https://www.ithome.com.tw/news/145184
微軟成為繼蘋果之後，第二家市值達到2兆美元的美國企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://finance.yahoo.com/quote/MSFT?p=MSFT&.tsrc=fin-srch" target="_blank">微軟本周二（6/22）的股價以265.51美元作收</a>，成長了1.1%，也讓微軟市值首度達到2兆美元，成為繼蘋果之後，美國第二家市值超過2兆美元的上市公司。蘋果的市值在2020年就突破了2兆美元，周二則是2.24兆美元。</p> <p>美國媒體多把微軟股價及市值的成長，歸功於2014年接任微軟執行長的Satya Nadella，而這一年來微軟的成長則是拜疫情所賜，帶動了微軟的雲端業務，去年6月23日的微軟股價為202美元，一年來上漲了31%。</p> <p>此外，在全美的五大科技業者中，包括蘋果、微軟、Amazon、Alphabet（Google）與臉書，只有微軟躲過了其它業者所面臨的反托拉斯調查風暴，難以想像這是那家在20年前，曾因Windows作業系統綑綁IE瀏覽器，而遭到美國十多個州聯手控告違反競爭的企業。</p> <p><a href="https://www.bloomberg.com/news/articles/2021-06-22/microsoft-rallies-to-join-apple-in-exclusive-2-trillion-club" target="_blank">彭博社引用Clearbridge Investments分析師Hilary Frisch的看法指出</a>，微軟切入了許多領域，而且都做得不錯，從遊戲、雲端、自動化、分析到AI，應會受益於全球經濟的重新開啟，以及雲端的遷移趨勢。</p> </div></div></div>
2021/6/23 12:30作者陳曉莉https://www.ithome.com.tw/news/145182
歐盟正式對Google展開反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/144896" target="_blank">法國認定Google</a>妨礙該國的網路廣告市場競爭，判罰2.2億歐元之後，歐盟執委會<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_21_3143" target="_blank">（European Commission，EC）本周宣布</a>，已對Google展開正式的反托拉斯調查，以評估Google是否在廣告技術的供應鏈上，偏好自家的陳列式廣告技術服務，從而損及廣告技術服務、廣告主及網路出版商的競爭能力。</p> <p>EC表示，此一調查將會特別檢視Google是否限制第三方業者基於廣告目的，而存取網站與程式的使用者資料，卻將這些資料保留己用，因而危害了市場競爭。</p> <p>歐盟主管競爭政策的Margrethe Vestager表示，網路廣告為Google與出版商的主要營收來源，Google蒐集資料來執行目標式廣告，也出售廣告空間並充當網路廣告仲介，這代表Google幾乎參與了陳列式廣告供應鏈的所有環節。</p> <p>Vestager說，歐盟擔心Google的作法，讓廣告技術領域的競爭對手更難以與之匹敵，一個公平競爭的環境對供應鏈中的每個角色都至關重要，不管是廣告商要透過出版商網站接觸消費者，或者是出版商向廣告商出售空間以創造用來支撐內容的資金，EC將會仔細檢查Google在追蹤使用者上的政策，以確保相關政策符合公平競爭。</p> <p>此次的調查將聚焦在Google提供給廣告主與出版商的陳列式廣告服務，包括透過Display & Video 360或Google Ads等Google服務來購買YouTube廣告，或是使用Google Ad Manager於YouTube提供陳列式廣告，查看Google是否限制了競爭對手在YouTube上的廣告服務能力，以及Google的各式廣告技術是否彼此互惠，Google是否限制第三方存取用戶資料的能力，以維持自己的優勢。</p> <p>包括美國與歐盟都開始對大型科技業者採取行動，憂心這些業者的勢力過於龐大而阻礙競爭、波及創新且最終影響消費者選擇的權利，歐盟已擬定了《數位市場法》<a href="https://www.ithome.com.tw/news/141699" target="_blank">（Digital Markets Act，DMA）</a>，被視為是網路世界的反托拉斯法令，將大型的網路平台稱為守門人（Gatekeeper），並要求它們必須允許第三方與平台上的服務互動，可望於明年的上半年實施。另一方面，<a href="https://www.ithome.com.tw/news/145026" target="_blank">美國國會則在日前針對大型科技業者提出了5項新法案</a>，皆是為了避免業者形成壟斷而妨礙市場競爭。</p> </div></div></div>
2021/6/23 11:57作者陳曉莉https://www.ithome.com.tw/news/145181
Rust 1.53加入陣列IntoIterator和巢狀or語法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Rust開發團隊，發布了最新版本<a href="https://blog.rust-lang.org/2021/06/17/Rust-1.53.0.html#intoiterator-for-arrays">1.53.0</a>，這個版本加入了幾個新的語言功能，也更新許多函式庫功能，也終於實做了開發者期待已久的陣列IntoIterator，不過，漸增編譯功能在這個版本仍然預設關閉。</p> <p>從1.53.0版本開始，開發者就可以在識別字（Identifier）使用Unicode，因此能以各種語言編寫識別字，但是仍然不能使用◆這種不被視為文字的字形或表情符號。Rust允許開發者使用任何符合UAX #31 Unicode識別字和模式語法標準的識別字，這與Python這類使用相同標準的語言一樣，但是由於Rust在Unicode正規化選用了NFC標準，因此可能又與其他語言不同。</p> <p>Rust 1.53也是第一個在陣列實作IntoIterator語言特徵（Trait）的版本，這代表開發者可以按值迭代陣列。在陣列實作IntoIterator有向後相容的問題，因為IntoIterator之前已經被用來實做參照陣列，array.into_iter()已經在早期版本中編譯，解析為 (&array).into_iter()，所以開發團隊一直推延這項功能實作的時程。</p> <p>而從這個版本開始，開發團隊採取了小手段，以一個變通方法在陣列實作IntoIterator，進而避免破壞程式碼。編譯器會繼續將array.into_iter()解析為(&array).into_iter()，就如同該Rust語言特徵實作不存在一樣。這只適用於.into_iter()方法呼叫語法，並且不影響任何其他語法，諸如for e in [1, 2, 3]、iter.zip([1, 2, 3])或IntoIterator::into_iter ([1, 2, 3])都可以良好編譯。</p> <p>官方提到，這個.into_iter()特殊處理方式，只是為了避免現有程式碼遭到破壞，會在今年稍晚發布的Rust 2021新版本中移除。</p> <p>這個版本也更新了Or模式，模式語法擴充支援巢狀｜，讓開發者現在可以將Some(1) | Some(2)寫成Some(1｜2)。Cargo也不再假設Git儲存庫的HEAD分支預設名為Master，因此開發者也就不再需要替儲存庫中Git相依項目指定分支為Main，其預設就是Main分支。</p> <p>而在這個版本，漸增編譯（Incremental Compilation）功能預設仍然關閉。Rust開發團隊在5月的時候，發布了1.52.1版本，這個版本是專為解決1.52.0中，漸增編譯錯誤成為編譯器錯誤的臭蟲，開發團隊提到，因為漸增編譯的臭蟲，使得編譯器最終生成的構件可能包含錯誤程式碼，因此產生格式錯誤的二進位檔案。</p> <p>目前官方只掌握部分編譯錯誤，官方提到，使用者在看見未預期的二進位檔案結果時，通常會進行一些簡單的編輯，而這些動作通常會導致重新編譯，臭蟲也就可能被修復，因此漸增編譯所產生的錯誤很難追蹤。漸增編譯目前在測試和Nightly版本仍然可以使用，而要在1.53.0穩定版本開啟漸增編譯功能的方法與之前版本相同。</p> </div></div></div>
2021/6/23 10:54作者李建興https://www.ithome.com.tw/news/145169
【前輩現身講：戴夫寇爾紅隊隊長許復凱】想要將駭客攻擊當成工作，資安新鮮人距離紅隊還有多遠？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">「以注射疫苗來說，最真實的病毒才能讓企業產生抗體，來對抗病毒，」戴夫寇爾紅隊隊長許復凱，以人體免疫機制來比喻企業資安防護力。他指出，要有效抵禦駭客入侵，就得透過最接近真實世界的駭客攻防演練，培訓企業產生抵抗力，來抵禦潛在的駭客威脅。而這劑疫苗，正是紅隊演練扮演的角色。</p> <p dir="ltr">紅隊演練並非聚焦單一網站或系統執行滲透測試，而是更全面地運用多種攻擊手法，試圖攻破企業內網，找出潛藏的漏洞所在。許復凱比喻：「就像是玩手足球臺，攻擊手法不受限制，從空中、地下、或是直接破壞手足球臺，就是要想盡辦法攻進內網，拿到企業最在乎的資料。」</p> <p dir="ltr">就算獲得企業授權下，要有能力暗中入侵企業環境來測試，紅隊就像是一群資安高手組成的特戰隊，負責攻防演練的紅隊隊員，也是許多資安新鮮人嚮往的工作。臺灣少數有能力執行紅隊演練的戴夫寇爾，2017年就推出了臺灣第一個紅隊演練服務，許復凱正是這項服務的領導者。</p> <p dir="ltr">戴夫寇爾至今執行了超過40場紅隊演練，駭入企業內網的成功率達到百分之百，「演練過程中，我們駭入企業內網，多半像是如入無人之地，有時候在裡面逛很多天，對方才問是不是已經打進來。」</p> <p dir="ltr">但許復凱觀察到，越新開發的網站，就越難攻破；少數能定期執行紅隊演練的企業，因為重新檢視系統開發的方法與習慣，來改善自身的資安體質，資安防護上也有長足的進步。顯示臺灣企業的資安意識，近年來已經有所提升。</p> <p dir="ltr"><strong><span style="font-size:28px;">要成為紅隊隊員要經過4階段努力，考證照、打比賽是技術奠定的不二法門</span></strong></p> <p dir="ltr">一個資安新手，許復凱認為，還是可以成為紅隊的一員。他提供了一個4階段學習過程，從初學、技術小成、技術精熟與強大的紅隊成員，每階段的目標和學習方法的建議。</p> <p dir="ltr">比如資安初學階段者，許復凱定義，是指具有資訊背景，能架網站、寫程式，同時對資安領域懷抱憧憬，願意在未來十年投入其中的人。換句話說，這群人「雖然什麼都還不會，但是對這條路充滿熱情。」而熱情，就是前進的原動力。</p> <p dir="ltr">在這個階段，許復凱建議，初學者可以利用網路上豐富的新手入門資源，直接Google搜尋關鍵字「資安、新手、建議」，就能找到許多學習的方法，包括與資安技術相關的筆記、書籍、課程等，來善加利用。若想上實體課程，則可以接觸教育部資安人才培育課程AIS3，或是積極參與各種資安社群，都是可利用的管道。</p> <p dir="ltr">不過，許復凱也特別提醒，過去會推薦初學者參加CTF比賽，或是透過Bug Bounty挖漏洞來培養實戰經驗，但現在，這兩項挑戰的門檻都更高了。比如CTF演變至今，題目已經越出越難，「甚至可能直接給一個Github的函式庫，要挑戰者找漏洞，那根本就直接找零時差漏洞，已經不太適合新手，」他建議，若初學者要參加CTF，得慎選新手導向的比賽來參加。</p> <p dir="ltr">而企業釋出的Bug Bounty計畫，也逐漸不適合新手練功，因為大多新手能發現的漏洞都已經被找到，要再找新的漏洞並非易事，還得與全球的高手競爭，「不建議這個階段就打Bug Bounty，可能會花很多時間，卻沒什麼回報。」許復凱說。</p> <p>因此，許復凱推薦，資安初學者在課程方面，可以先完成資安線上課程PentesterLab，並在習得技能後，練習線上靶機，比如參加Hach the box來測試自身的實力。最後，再進一步考取實體證照，來驗證自身能力，推薦新手考取的實戰型證照包括OSCP與OSWE。</p> <p dir="ltr">接著，進入技術小成階段。許復凱對於技術小成者的定義，是要能對各種漏洞瞭若指掌，知道OWASP有哪些漏洞、漏洞成因、建議的修補方法，「代表的意義，就是對教科書上已知的技巧已經有一定的熟練度。」他更透露，這個階段也是戴夫寇爾對於求職者能力的基本要求，就連內部寫研究報告的員工，為了能與資安研究員溝通，都具備了OSCP的證照。</p> <p dir="ltr">這個階段的目標，許復凱指出：「要讓自己成為一個領域的專家，最好是全臺灣前十名！」他鼓勵，由於資安攻擊的專才不多，只要把目標訂得夠小，就有機會達成。這個階段中，他也建議可以參加CFT資訊網站「CTFtime」中，評級權重（weight）高的賽事，來驗證自己的實力，或是透過Bug Bounty，找商用或開源軟體中「未知」的漏洞，不僅能累積實戰經驗，若能找到全球極少數人能發現的漏洞，伴隨而來的成就感，也能推動自己持續向前。</p> <h3 dir="ltr"><strong><span style="font-size:28px;">精熟技術還不夠，紅隊成員更需累積戰場經驗與思維</span></strong></h3> <p dir="ltr">下一步，來到技術精熟的階段，「老實說，技術面已經無懈可擊了，」許復凱認為，技術精熟者若繼續精進技術，就能開創屬於自己的技術流派。不過，儘管這個階段的技術實力來到巔峰，他仍點出，臺灣當前的主流技能樹較無涵蓋持續潛伏（Persistence）、防禦逃脫（Defense Evasion）與橫向移動（Lateral Movement）三種實戰技巧，技術精熟者可持續學習非主流的技能，來增加攻擊技巧。</p> <p dir="ltr">持續累積資安實力，就是為了上戰場攻擊，但許復凱也提醒，並非具備強大的技術實力與攻擊技巧，就懂的如何打仗，要成為紅隊成員，還需要具備紅隊思維、累積紅隊經驗。</p> <p dir="ltr">他舉例，假設在戰場上，隊友已經殺出一條血路直達敵區，目標要拿到保險箱內的東西，「不知道大家有沒有想過，放眼望去看到的敵人這麼多，怎麼知道要狙擊誰？打誰獲得的效益較高？」而且，「任務要拿到保險箱，但怎麼知道保險箱在哪？」</p> <p dir="ltr">轉換為真實的案例，假設紅隊演練的目標是要入侵ATM，但在成功進入內網後，該如何得知ATM在哪裡？若在攻進內網後，更攻下了網域管理服務Active Directory（AD），就算能控制網域內上萬臺電腦，又該如何找到ATM發動攻擊？「根據我們的經驗，打下AD是家常便飯，但跟拿下ATM之間，還有很大的距離。」許復凱說。</p> <p dir="ltr">藉由這個情境，許復凱點出，紅隊隊員在戰場上如何攻擊，並沒有標準答案，「但上戰場後，就得為這些過去不曾想過的問題，找到解決方法，這就是紅隊思維。」</p> <p dir="ltr">不只要培養紅隊思維，戰場上也需要不斷的評估與抉擇，得靠許多經驗的積累，才能下好每一個決策。比如說，如何在黑箱的情況下，盲猜攻擊目標可能具備的防護機制？若發動攻擊可能有7成會因曝光而失去據點，但攻擊成功就有機會推展戰線，又該如何選擇？又或者，進入核心網段需要串5層Tunnel，要如何決定，第幾層該用哪個Tunnel技術？</p> <p>許復凱表示，戰場上該如何決策，同樣也沒有標準答案，但作為紅隊成員，每個人都需要下意識地累積經驗，「這是一般攻擊技術很強的人，跟紅隊成員之間的差距。」</p> <p dir="ltr">許復凱也點出身為紅隊成員應具備的心態。由於紅隊演練是為企業提供的一項服務，本質在於解決企業的問題，「雖然當駭客看到什麼好打就想去打，但是不行、更不能亂打，心態必須有所改變。」比如在戰場上，目標明明是攻擊企業的ATM，隊員卻打進了門禁系統，對戰場來說不僅沒有幫助，還平添困擾。</p> <p dir="ltr">而且，紅隊成員在攻擊過程中，成功攻破對方守備的同時，也得為對方思考，應如何改善才能避免再次遭駭，並改變企業資安體質？許復凱點出，唯有不斷站在客戶角度思考，才能確實解決客戶問題。</p> <p dir="ltr">最後，就是要保持專業，「這也是我們公司第一個準則，要保密、謹慎測試，發現漏洞要謹慎揭露，對自己的測試要負責。」許復凱指出，戴夫寇爾以嚴謹的態度在進行紅隊演練，就連客戶詢問一年前的攻擊行為，都能調閱記錄來詳實回應，這也是成為一位紅隊成員必備的素養。</p> </div></div></div>
2021/6/23 07:00作者翁芊儒https://www.ithome.com.tw/news/144680
【前輩現身講：Panasonic IoT威脅情資研究員賴婕芳】家電大廠如何做資安？IoT資安研究員第一手經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「講到Panasonic，大家很容易聯想到是一個專門做家電設備的超大集團，但可能沒想過，這樣的家電廠商，如何做資安？」現為Panasonic IoT威脅情資研究員的賴婕芳，一般人對資安的想像，常常是金融業、電信業或網路公司中，較少聯想到家電、電子產品製造商，這也是她當初進入Panasonic之前，未曾觸及的領域。</p> <p>賴婕芳過去曾是臺灣資安社群HITCON Girls的共同創辦人，也曾在行政院國家資通安全會報技術服務中心擔任資安工程師，具有APT威脅獵捕、惡意程式分析相關經驗，也在博科通訊系統擔任過軟體工程師，2019年進入Panasonic任職，從IT跨足到IoT資安研究的領域。她表示，成為IoT威脅情資研究員，是自己職涯發展過程中的一大轉變。</p> <p><strong><span style="font-size:28px;">一個資安實驗室、三大資安團隊，Panasonic如何做資安？</span></strong></p> <p>IoT資安近年來備受重視，從智慧手機、穿戴裝置、智慧居家到智慧城市，處處可見物聯網設備，根據Gartner的預測，物聯網裝置更將在2021年達到250億個，大家較為耳熟的IoT資安威脅，常見如入侵監控錄影機、印表機等設備被駭等案例。</p> <p>賴婕芳解釋，Panasonic也有許多種IoT產品，除了智慧家電，更有飛機座椅後背的顯示螢幕、車用多媒體主機等設備。因此，IoT資安也逐漸成為Panasonic的一大挑戰。</p> <p>對資安重視程度的提升，也源自一般消費者對於商品安全性的期待，比過去更高了，從製造到銷售，經手的不同廠商或外部監督單位，都被賦予不同程度的資安期待。「對消費者來講，他期待製造商不只是賣出產品，還要能確保產品的安全性。」賴婕芳指出，甚至，未來若發生資安事件，廠商也得有足夠的能力來解決問題，還要能管控上下游供應鏈，提供足夠安全的設備零組件，並提供自家產品的資安報告給政府，來取得政府對產品的資安防護認可。</p> <p>「消費者對於廠商有非常高的期待，」賴婕芳表示，這也成為廠商提供更高品質產品的動力，另外還有一股更大的資安推動力是，政府對IoT資安的規範，「法規要求，也會變相推進廠商提升資安防護能力。」</p> <p>不過，如同大多數的傳統家電廠商，Panasonic也不是剛開始就有足夠的資安能量，為了培養自己的資安實力，他們選擇先與外部資安廠商合作，引進資安防護的產品，後來，才逐漸增進自己的研發能量，更在臺灣設立了資安實驗室，來測試設備、執行資安專案，並進行資安事件的協調與處理。</p> <p>賴婕芳指出，Panasonic主要分為三個資安團隊，其一是偏向電腦資安事件應變小組（CSIRT）的範疇，專門維護企業內IT資訊系統的資訊安全，包括網站、PC、伺服器、網路、資料與App等。另一個團隊則偏向產品資安事件應變小組（PSIRT）的範疇，也是賴婕芳身處的團隊，主要針對集團出產的設備，如家電、飛機椅背顯示螢幕等產品，提供安全性檢查或資安服務。最後一個團隊則是工廠資安事件應變小組（FSIRT），針對工廠的製造系統與機器的安全性，來進行資安防護。</p> <p>面對IoT資安威脅，Panasonic也建置了一個IoT威脅情資平臺，來搜集針對家電發動攻擊的惡意程式情資，接著，透過對惡意程式進行特徵分析，再將分析結果用來強化IoT產品安全。賴婕芳表示，當前在資安實驗室中執行的專案內容，正是搜集並分析IoT資安情資，產出可用的報告，除了將資訊提供內部使用，未來更要回饋給社群或其他廠商。</p> <p>「IoT資安防護，還是比較辛苦的領域。」賴婕芳指出，由於IoT設備的通用性及廣泛性，使得IoT資安解決方案大多十分相似，這類產品多從IT或是資安廠商的角度為出發點。但是，賴婕芳指出，在IoT資安領域，許多企業與廠商，都面臨了不同平臺、難以管理的設備等挑戰。「製造商自己投入的優勢是，可以直接從源頭<wbr></wbr>找尋解決方案。」</p> <p>這也是為何Panasonic要切入IoT資安的領域，自行成立資安實驗室，就是要以IoT製造商的角度出發，來研發資安防護作法，成為產業先行者來推動IoT資安的發展。</p> <p><strong><span style="font-size:28px;">保持對資安的熱情與初心，在職場上培養多層次思考、協作與整合能力</span></strong></p> <p>回憶自己為何要成為一名資安研究員？賴婕芳表示，是源自於很中二的理由，因為覺得對抗駭客很酷，就像電影情節一樣，才引起了自己的興趣；同時，也因為資安領域會一直接觸到新知識，且富有挑戰性、趣味性，於是就進入了這項產業。</p> <p>「真正加入了之後，會發現資安的世界跟外面不太一樣，工程師就已經是另一個世界，資安又是其中更小的圈圈。」賴婕芳注意到，資安圈除了相對小，與其他產業相比，可見度也沒那麼高，常常是被隱藏起來的一群人，參與國內外研討會時，除了常遇到熟識的夥伴，議程中的主講者或技術發表單位，也通常是熟悉的人或組織。不過，儘管圈圈小，卻不妨礙資安技術的快速更迭。</p> <p>進入職場後，賴婕芳從一開始身為資安服務的提供者，後來轉換到企業資安部門。角色轉換過程中，也讓她對資安的理解，有了更深一層的體會。</p> <p>她過去在資安服務的供應端，僅從較單一的視角來檢視企業資安，總是認為企業不夠重視資安，應投注更多的資源；直到進入企業以後，她才了解到，「買再多設備、做最好的防護，只要有一個豬隊友，一切都毀了。」換句話說，資安並非只有一個層面，而是應該從軟體、硬體、甚至是員工的教育與管理制度，各個層面都需要考慮到，她現在也已經能以多層次的角度，來檢視企業的資安作法。</p> <p>在從事資安工作的過程中，賴婕芳也體認到不斷吸收新知的重要性，除了與工作中的其他技術研究員互相分享資訊，由於本身是Hitcon Girls社群的創辦人，她也推薦資安人員可以多參與社群活動，或是前往各大國內外資安會議與研討會，來不斷追求新知，還能結交資安領域的同好。不只如此，她也會定期從不同的新聞、論壇與訂閱的報告來吸收新知，同時增強自己對資安事件的敏銳度。</p> <p>職場上，除了得持續學習新知來精進技術，與他人的協作也是一大挑戰。比如在推廣研究的產品或專案時，不只要統整各方面的資料，更要懂得與其他單位協調，才能共同推出研究成果。但相對的，她也從中獲得許多成就感，比如在進行資安研究時，她喜歡在許多小而混亂的資訊中，找到枝微末節的線索，再將線索們串連成一整個故事，「我自己是喜歡想故事、聽故事的人，將這些線索拼湊起來變成小秘密，是非常有趣的過程。」</p> <p>對於自己身為資安產業中女性的角色，賴婕芳指出：「資安相對其他產業，對女生比較開放，很多時候是看你擁有什麼能力，把你放在什麼位置。」她在職場中，並未感受到歧視或玻璃天花板的現象，她更以此來鼓勵女性，不需要靠言語去向別人訴說自己的能力，每個人在職場上的高度與位置，取決於工作表現或研究成果。</p> </div></div></div>
2021/6/23 07:00作者翁芊儒https://www.ithome.com.tw/news/144857
【前輩現身講：數聯資安資安鑑識暨服務發展部資深技術顧問周哲賢】親身分享第一線IR經驗，靠4大實戰法則找駭客入侵源頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「駭客一定會找防禦最弱的地方進行攻擊，所以我們做資安事件調查，一定會從最脆弱的地方優先查起。」曾經協助調查局偵辦第一銀行盜領案，現為數聯資安資安鑑識暨服務發展部資深技術顧問周哲賢，以自己10年資安事件應變（Incident Response，IR）的經驗，分享從事IR工作的方法與挑戰。他更以這句話點出資安防護的重要性，因為駭客不會費力攻打防護面向完整的企業，一定會挑防禦力弱的企業下手。</p> <p><strong><span style="font-size:28px;">IR分三級應變，分層監控與管理資安事件</span></strong></p> <p>對於想要從事IR工作的資安新鮮人，周哲賢簡單介紹IR的工作範疇。若以SOC監控服務來說，可以分為Tier1、Tier2、Tier3三個層級，Tier1的任務，負責7天24小時全天候監控，通常由年輕資安人員輪流值班，當發生資安攻擊事件時，在第一線即時通報、判讀、進行基本調查與處置；Tier2的任務，則是負責處理Tier無法處置的案件，由較為資深的資安工程師執行進階調查。</p> <p>Tier3的層級就更高了，負責Tier2仍無法解決的事件，主要進行進階事件分析、事故處理（Emergency Responder Services，ERS）、數位鑑識與惡意程式調查。周哲賢指出，除了廠商端提供SOC服務，企業也可能自建SOC監控團隊，但因企業內的規模通常較小，Tier2與Tier3可能直接劃分為同一個團隊。</p> <p><strong><span style="font-size:28px;">IR工作先從弱點查起，更可遵循4大經驗法則</span></strong></p> <p>要從事IR分析的人，必須熟諳各種駭客攻擊的手法，周哲賢以他過去從事IR的經驗來歸納，駭客入侵企業的管道大致有5個途徑，一是透過社交工程中的電子郵件釣魚手法，騙取使用者帳密來駭入系統，二是從企業網站駭入，三是使用者錯誤行為所致，四是從供應鏈或廠區電腦來入侵，五則是從分公司、子公司或雲端入侵，而調查駭客的入侵管道，就是資安事件調查的關鍵任務。</p> <p>「我們做資安事件調查，在沒有線索的情況下，一定會從最弱的地方開始查起，」周哲賢表示，就像知名Twitter帳號SunTzuCyber提到：「駭客攻擊的戰術就像水，一定會找阻力最小的地方流去。」循著駭客從弱點開始攻擊的角度思考，資安事件調查也得從企業防禦的弱點找起。</p> <p>周哲賢也從自己的經驗中，歸納出4大資安事件應處的通用法則，「當法則用應用在不同的情境可能會變形，但是核心的概念不會變。」</p> <p>其一，是時間點及軸（TimeLine Analysis），這是在資安事件發生後，先調查入侵過程的時間軸，比如在哪些時間點、發生什麼情形，將事件串連成線，就能得到較完整的攻擊過程，並快速判定哪些那些資訊可以用於後續分析。「因為客戶要的不是單點事件，而是一個完整的故事。」周哲賢表示。</p> <p>其二，是透過關鍵字（Signature）來搜尋。周哲賢指出，關鍵字的使用目的，是要讓IR人員在進行資安事件應變時，能利用關鍵字快速搜尋與過濾，在幾十萬個Log中找出可疑的記錄，再進行Log的前後比對或分析。因此，關鍵字的定義很廣，包括設備的規則與各種系統的紀錄檔，或是各種攻擊手法的英文單字等，且IR人員需靠經驗積累，記下常出現的關鍵字，才能更快找出資安攻擊的源頭。</p> <p>其三，則是透過統計及頻率分析，來檢視企業IT各項紀錄或數值的頻率，找出不尋常的資安攻擊行為。周哲賢解釋，這個做法的核心概念，是透過統計分析的方法，找出各系統運作的平均值，以此代表正常狀態，並透過同樣的方法，統計資安事件發生時各系統的數值，若超過平均值就能判定為異常，來找出被入侵的系統源頭。</p> <p>最後，則是要看資安攻擊的方向性，是由外而內（inbound）或是由內而外（outbound），因為方向性決定了後續分析的方向。比如若攻擊是由外向內，代表有人在攻擊用戶的網站，但如果攻擊是由內而外，那就可以假設，用戶IT系統可能被駭客植入後門程式，所以產生了內而外的連線，「方向性可以確立調查方向。」周哲賢說。</p> <p>周哲賢更幽默的比喻，這四大經驗法則就好比通靈法則，因為企業在遇到資安事件時，提供的線索可能非常少，比如只感受到電腦執行速度變慢等情況，但執行事件調查任務，就是得從蛛絲馬跡找出駭客攻擊的路徑，才能更進一步協助企業防範。</p> <p><strong><span style="font-size:28px;">親身經驗分享IR工作的挑戰與面臨情境</span></strong></p> <p>除了技術面的經驗分享，周哲賢也從工作現場實務，來點出臺灣資安事件應變工作的挑戰。IR工作常是政府單位委託案的其中一項，他指出，政府訂定的SOC監控共同供應契約，對於資安服務的採購也有一套規範，若遭遇不同流量的資安攻擊事件，機關可向廠商提出不同次數的事件處理服務要求，比如若遭遇低流量的資安攻擊事件，可以向廠商提出3次IR服務。</p> <p>然而，這裡以「次數」來提出IR要求，他認為，其實不夠精準，因為契約沒有針對「一次」IR處理服務，定義相應的範圍與目標數，這就導致，廠商可能得大範圍盤查數十臺電腦，但都只計算到「一次」IR服務中。周哲賢指出，一般業界對IR的計價方式，是以電腦臺數來計算，這類定義不精確的契約，可能讓廠商承攬超過原先收費的工作量。</p> <p>所以，「在臺灣從事藍隊IR，非常心酸，客戶會對你高度期望，但是，臺灣資安工程師的薪水卻很廉價，這是IR工作的現實。」周哲賢感慨地說。</p> <p>另一個挑戰則來自分析資料取得不易的考驗。駭客發動攻擊後，可能會採取滅證的行為，讓IR工作者無法找出完整的入侵源頭，這些方法包括植入勒索軟體、毀掉開機的磁區、清除Log檔等。而且，不只是駭客，周哲賢指出，受害主機的管理員，也可能擔心自己被咎責，或為了讓IT快速恢復運作，就把Log檔刪除、重灌系統，造成事件應變處理上的挑戰。</p> <p>甚至，「有些管理員，為了繼續維持營運，遭駭後就重灌系統，但是，這樣會找不到事件發生的根本原因，系統漏洞也就無法修補，下一次還是可能發生同樣的資安事件。」周哲賢呼籲，IR不是萬能，沒有留存證據，就無法找出駭客入侵源頭，企業也得有正確的資安觀念來協助IR工作。</p> <p>除了IR產業面臨的挑戰，周哲賢也舉出自己IR工作的實際情形。比如在客戶受到攻擊後，由於攻擊事件牽涉到企業IT、IT設備商、資安廠商等多方角色，容易發生責任歸屬不明確，有沒有人願意承擔責任的問題。因此，IR工作中，除了在技術上追查駭客入侵源頭，有時也得擔任勸架的角色，在不同立場的涉事角色之進行周旋。</p> <p>另一個情境則是，有些客戶求好心切會不斷插手IR工作內容，反而影響了IR調查的進行。又或是企業在遭遇資安事件後，讓IR廠商用類似競爭的方式，將案子交給最快著手調查的廠商，而非選擇最合適的廠商來提供服務。這些都是在臺灣從事IR工作需要適應的情況。</p> <p>IR工作還有一些辛苦之處，周哲賢指出，一是得承擔一定的心理壓力，其二是得克服時差問題，因為駭客不會只在白天發動攻擊，有時半夜一通電話，就得快速趕往因應，「所以在臺灣做IR，要有很健康的身心理狀態。」</p> <p>針對該如何增強自身的IR能力？周哲賢建議，參加研討會與閱讀分析報告是關鍵，同時，他也提供了一份Github上的學習資源 APT_CyberCriminal_Campagin_Collections，讓資安人才都能利用資源學習，來不斷精進自己。</p> </div></div></div>
2021/6/23 07:00作者翁芊儒https://www.ithome.com.tw/news/145002
AWS推出CloudFormation公共註冊表服務，簡化第三方資源配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在推出適用於基礎設施即程式碼服務<a href="https://aws.amazon.com/tw/blogs/aws/introducing-a-public-registry-for-aws-cloudformation/">CloudFormation的公共註冊表</a>，該註冊表收集經官方驗證的擴充套件，用戶無論是使用CloudFormation模板或是CDK（AWS Cloud Development Kit）來開發，都能在配置AWS資源以及第三方擴充套件時，獲得相同的配置一致性與可擴展性。</p> <p>AWS CloudFormation透過將基礎設施視為程式碼，讓用戶能夠以範本描述需要的資源和相依性，並將其作為堆疊一起啟動和配置，範本所定義堆疊可以看作是一個單位，一起進行創建、更新和刪除，使用者不需要針對單一資源逐一操作。而CDK則是AWS建構在CloudFormation之上的開發工具，能夠更進一步簡化基礎設施配置工作。</p> <p>但由於AWS CloudFormation和CDK，原本無法提供第三方擴充套件，如同配置AWS資源的方便性和一致性，即便AWS在2019年的時候，推出CloudFormation私人註冊表服務，用戶在註冊表中註冊供應商之後，可以使用來自該供應商的資源類型，但這些資源類型必須要先由供應商上傳到AWS S3儲存服務，用戶利用參照S3 URL的方式來使用這些資源類型。</p> <p>而公共註冊表提供了資源類型和模組使用的一致性，用戶不再需要用到S3儲存桶，讓用戶即便使用由AWS合作夥伴網路（APN）、第三方供應商和開源專案，所提供的預配置資源，也可以獲得相同的可擴展與一致性。</p> <p>AWS所發布的CloudFormation公共註冊表，該註冊表收集了由AWS、APN和第三方供應商與開源社群所發布的擴充套件，因此開發者就能夠像是使用AWS資源一樣，方便地在CloudFormation範本和CDK應用程式中，探索並且預配置這些擴充套件。</p> <p>另外，公共註冊表的第三方資源類型，也和偏離偵測（Drift Detection）功能整合。偏離偵測指的是，從第三方資源類型創建資源後，CloudFormation會從範本配置偵測資源變更。這項功能的整合，讓CloudFormation能夠像是偵測AWS的資源一樣，偵測第三方資源偏離狀態。</p> <p>用戶還可以使用AWS Config來記錄和評估資源組態，管理註冊表中所使用的第三方資源法遵狀態，而且使用AWS Config進行記錄時，資源類型將自動被當作組態項目追蹤。無論用戶使用的資源類型屬於第三方還是AWS，都可以查看歷史配置紀錄，並且編寫AWS Config規則來驗證配置最佳實踐。</p> <p>在公共儲存庫中發布擴充套件，需要經AWS驗證為市集賣家、GitHub或BitBucket使用者，並且擴充套件需要經過最佳實踐驗證。而且在開發者將擴充套件發布到公共註冊表之前，必須要先將擴充套件發布到私有註冊表中經過測試，在測試完成之後才能夠發布到公共註冊表中。</p> </div></div></div>
2021/6/22 21:23作者李建興https://www.ithome.com.tw/news/145167
臉書釋出圖像相似性資料集，促進圖片變造偵測技術發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了要打擊惡意改圖，臉書現在釋出<a href="https://ai.facebook.com/blog/the-image-similarity-challenge-and-data-set-for-detecting-image-manipulation/">圖像相似性（Image Similarity）資料集</a>，提供用於偵測線上有害圖像變造的基準。圖像相似性資料集含有超過100萬張的圖像，其中有5萬張是由臉書所提供的查詢圖像。另外，臉書還舉辦了挑戰賽，以20萬美元的獎勵，廣邀研究人員來比賽，切磋偵測圖片變造的能力。</p> <p>社交媒體上的錯誤訊息以及平臺遭到濫用的情況，使得不少相關團體著手提出解決方案，除了事實查核之外，還積極打擊偽造圖像，包括發展深度偽造（DeepFake）、惡意迷因偵測等技術，而臉書提到，最佳的解決方案，必須要與社群合作，因此他們集結眾人之力，創建了目前已知最大的圖像相似性資料集，內含包括由人或是自動編輯的圖像。</p> <p>雖然大多數的用戶，都是出於良性或是娛樂的目的後製圖像，不過卻有部分惡意人士，透過變造圖像來傳播錯誤、暴力和仇恨訊息，而這可能使其他人受到傷害。</p> <p>社交媒體運用內容追蹤和圖像相似性來阻擋，可能對社會產生負面影響的圖像或是影片傳播，透過結合人工和自動偵測工具，希望盡早發現裸露、暴力和已知錯誤的訊息，但是人工審查並無法大規模處理圖像，因此提高機器學習模型的辨識能力，才能夠有效改善這樣的問題。</p> <p>圖像相似性指得是從大量不相關的圖像，找出遭到變造的圖像來源，這個技術並非是全新的概念，早被用於內容審查領域，諸如錯誤訊息、侵犯版權和詐騙等。圖像相似性檢測，是一種視覺內容追蹤方法，臉書提到，圖像相似性檢測的發展並未受到重視，針對像是分類或物體辨識等，針對其他視覺任務發展的模型，並無法在圖像相似性偵測上良好作用，而且缺乏大型標準化資料來源，無法測量圖像相似性演算法的效能，也阻礙了相關研究。</p> <p>因此經過變造的圖片，通常能夠避開不夠強大的自動圖像檢測系統。為了要改進偵測系統的能力，臉書創建了Image Similarity資料集，希望讓基於機器學習技術的系統，能夠透過強化預測視覺內容相似性，使得線上服務可以大規模偵測遭到變造的圖像。</p> <p>圖像相似性資料集能夠作為相似檢測的基準，其包含100萬張的圖像，和5萬張由人工與非人工編輯轉換的查詢圖像。為了避免這個資料集被惡意人士濫用，臉書將會先開放給同意資料集限制條款的挑戰賽參與者存取，在挑戰賽之後，臉書就會開放資料集，其他研究人員也只要同意使用條款，就可拿來研究使用。</p> </div></div></div>
2021/6/22 17:23作者李建興https://www.ithome.com.tw/news/145161
【疫情日報】中央更新下一波疫苗接種名單，全國郵務、媒體和北北基桃司機都納入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（22日）更新下一波疫苗優先施打對象名單，全國郵務人員、媒體第一線採訪人員、北北基桃司機、外送員和雙北保母等都包括在內。指揮官陳時中表示7月1日起擴大施打。</p> <p>進一步來說，繼昨日更新疫苗優先接種對象後，指揮中心今日再度發布新版，在國家關鍵基礎設施及高風險接種人員等專案對象的第七類中，新增雙鐵、油氣水電、通訊等基礎設施人員外，還納入媒體第一線採訪工作人員、全國第一線郵務處理人員，以及北北基桃的計程車司機、外送員、國道客運司機、貨運司機等。</p> <p>此外，北北基桃的傳統合法攤商、賣場和超商收銀人員也在第七類對象中，而托育人員類別中，也加入疫情熱區的雙北保母。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03_210622%E5%9C%8B%E5%AE%B6%E9%97%9C%E9%8D%B5%E5%9F%BA%E7%A4%8E%E8%A8%AD%E6%96%BD%E5%8F%8A%E9%AB%98%E9%A2%A8%E9%9A%AA%E6%8E%A5%E7%A8%AE%E4%BA%BA%E5%93%A1%E7%AD%89%E5%B0%88%E6%A1%88%E5%B0%8D%E8%B1%A1.jpeg" /></p> <p>指揮中心指出，7月1日起要擴大COVID-19接種對象，新增對象除了上述第七類維持國家秩序及社會機能運作者外，還包括第八類65至74歲長者，以及已完成第一劑疫苗接種者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%95%E5%BD%B1%E7%89%871(1).jpeg" /></p> </div></div></div>
2021/6/22 16:24作者王若樸https://www.ithome.com.tw/news/145159
德國將對蘋果App Store展開反壟斷調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國競爭管理機構<a href="https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2021/21_06_2021_Apple.html?nn=3599398" target="_blank">Bundeskartellamt周一（6/21）宣布</a>，將根據新的競爭法令針對蘋果展開反壟斷調查，而這也是德國在今年1月實施新的《GWB Digitalisation Act》競爭法案以來，第四個遭到調查的大型數位企業，前面三家業者依序是臉書、Amazon與Google。</p> <p>《GWB Digitalisation Act》的要點之一為更有效地干預大型數位企業的反競爭行為，第一步就是判斷蘋果是否在特定領域擁有難以競爭的重要地位。</p> <p>Bundeskartellamt主席Andreas Mundt表示，他們將研究蘋果是否藉由iOS以及替iPhone建立的生態體系，把影響力延伸到其它市場。蘋果不僅生產平板、個人電腦與穿戴裝置，也代管各種服務，涵蓋App Store、iCloud、AppleCare、Apple Music、Apple Arcade與Apple TV+等。</p> <p>除了評估蘋果於各領域的市場地位之外，Bundeskartellamt也會檢查蘋果在各方面的整合，技術、財務資源與存取資料的規模，但主要還是著重在App Store的經營上，因為App Store在許多方面都影響了第三方業者的商業行為。</p> <p>迄今Bundeskartellamt已收到許多對蘋果的抱怨，例如一個與廣告及媒體相關的協會，指責蘋果自iOS 14.5之後就限制它們對使用者的追蹤，另一個則是抗議蘋果裝置只能內建自家程式可能違反競爭規定，還有程式開發者抱怨蘋果要求只能採用自家的程式購買機制，並收取30%的分潤。</p> <p>由於最後一項有關開發者對蘋果的抱怨似乎全球皆然，Bundeskartellamt指出，若有必要將會與歐盟及其它國家的競爭管理機構交流此事。</p> </div></div></div>
2021/6/22 15:55作者陳曉莉https://www.ithome.com.tw/news/145158
三星下周可望展示合併Google Wear OS的Wear
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界通訊大會（Mobile World Congress，MWC），將在下周於西班牙巴賽隆納及網路同時開展。<a href="https://twitter.com/SamsungMobile/status/1406945000349388808" target="_blank">三星本周預告</a>隨同MWC，將展示其Tizen和Google Wear OS整合後的新版作業系統Wear。</p> <p><a href="https://www.ithome.com.tw/news/144489" target="_blank">Google上個月預覽Android 12</a>，同時宣布與三星共同合作，把Google穿戴裝置Wear OS與三星的Tizen 整合，未來的作業系統暫名為Wear。</p> <p>本周推特上，三星預告要大家在6月28日MWC 2021上，鎖定Samsung Galaxy場次。而根據<a href="https://www.mwcbarcelona.com/agenda/session/galaxy-ecosystem-new-watch-experience-mobile-security" target="_blank">三星在MWC官網上的說明</a>，會中將展示包含連網裝置、服務和合作夥伴的Galaxy生態體系。三星表示將「重新想像」智慧型手錶，為開發人員及消費者者創造更多機會，同時也將強化安全性，為使用者提供更多防護。</p> <p>在四平八穩的文字中，許多<a href="https://www.theverge.com/2021/6/21/22544257/samsung-google-wear-os-smartwatch-mwc-2021-announcement-preview" target="_blank">媒體認為</a>這暗示了三星可能將預覽三星智慧型手錶，包括整合後的行動裝置作業系統。</p> <p><a href="https://www.techradar.com/news/samsungs-new-wear-os-smartwatch-software-will-debut-at-mwc-next-week" target="_blank">Techradar</a>推測，Google Wear OS和Tizen整合後的 Wear可望加速運算效能、延長電池續航力。此外也可望合併帶來更多應用程式。</p> <p>而從三星顯示的圖像來看，媒體推測還會有其他產品公布，包括摺疊手機Galaxy Z Fold3、平價旗艦機種Galaxy S21 FE和平板Galaxy Tab S8。</p> </div></div></div>
2021/6/22 14:37作者林妍溱https://www.ithome.com.tw/news/145155
Google偷偷於麻州用戶手機安裝COVID-19追蹤程式惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國麻薩諸塞州在6月15日釋出了<a href="https://www.mass.gov/info-details/share-your-positive-covid-test-anonymously-with-massnotify" target="_blank">COVID-19追蹤程式MassNotify</a>，不過，很快地就有Android用戶抱怨，他們並未下載該程式，但程式卻自動出現在手機上，簡直就是間諜行為，隨後Google亦向媒體證實了此事。</p> <p>MassNotify是麻州根據蘋果與Google合作的曝露通知功能Exposure Notifications Express，所打造的COVID-19追蹤程式，可用來通知曾與確診者近距離接觸的使用者，而麻州也是美國第29個採用Exposure Notifications系統的州別。</p> <p>使用者的抱怨出現在<a href="https://play.google.com/store/apps/details?id=gov.ma.covid19.exposurenotifications.v3" target="_blank">Google Play的MassNotify評價</a>上，批評該程式沒有取得使用者的同意、沒有通知使用者，甚至沒有圖示，但就是被偷偷地安裝在手機上了，使得這個由麻州政府所釋出的程式只取得了1顆星的評價。</p> <p>另有使用者透過<a href="https://www.reddit.com/r/Android/comments/o3b8gv/google_and_massachusetts_have_installed_an_app/h2bg6yg/" target="_blank">Reddit</a>表示，他甚至不住在麻州，但他的Samsung S8也自動安裝了MassNotify。</p> <p>當<a href="https://9to5google.com/2021/06/19/massachusetts-massnotify-app/" target="_blank">9to5Google</a>向Google求證時，Google證實了此事，但澄清這是與麻州公共衛生部的合作，讓使用者可於Android手機的設定功能中直接啟用曝露通知系統，該功能是內建於手機設定中，並由Google Play自動散布，因此使用者無需再下載一個單獨的程式。</p> <p>換句話說，Google自動幫使用者下載了MassNotify，並整合於Exposure Notifications Express，若使用者啟用了曝露通知功能，便同時啟用MassNotify。</p> <p>不過，Google也強調，此一COVID-19曝露通知功能，只有在使用者主動啟用後才會生效。</p> <p>不論如何，使用者對於手機上莫名多了一個程式感到被侵犯，他們是從檢視所有程式的功能中看到MassNotify，而且還無法移除。</p> </div></div></div>
2021/6/22 15:16作者陳曉莉https://www.ithome.com.tw/news/145156
現代汽車集團完成收購機器人公司Boston Dynamics
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓現代汽車集團（Hyundai Motor Group）去年以11億美元，向日本軟體銀行（SoftBank）買下機器人部門Boston Dynamics 8成股權。<a href="https://www.prnewswire.com/news-releases/hyundai-motor-group-completes-acquisition-of-boston-dynamics-from-softbank-301316206.html" target="_blank">昨（21）日該集團宣布交易已經完成</a>。</p> <p>去年12月中宣布的這樁交易，已經通過主管機關核准及符合其他條件。按照雙方的協議，現代集團將持有Boston Dynamics股權，而軟銀則透過關係企業持有剩餘20%股權。</p> <p>Boston Dynamics產品包括人型及犬型機器人，這些機器人除了會翻觔斗外，還有實際用途。Boston Dynamics犬型機器人Spot去年推出，目前已有數百台用於公用能源、油電、礦產、營建及製造等產業。<a href="https://www.bostondynamics.com/stretch" target="_blank">該公司預計</a>今年內會再推出首個倉儲業物流中心專用的機器人Stretch。<a href="https://www.youtube.com/watch?v=O2_NEy0iDck" target="_blank">由現代汽車展示的影片</a>，也顯示計畫將機器人用於機器外骨骼及醫院照護之用。</p> </div></div></div>
2021/6/22 14:03作者林妍溱https://www.ithome.com.tw/news/145153
臉書開始測試Live Audio Rooms與播客服務，正式向Clubhouse下戰帖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/06/live-audio-rooms-and-podcasts-on-facebook/" target="_blank">臉書於本周一（6/21）發表了</a>Live Audio Rooms與播客服務，前者是個語音聊天服務，初期將釋出予公眾人物及特定的臉書社團使用，正式向Clubhouse下戰帖，不過目前這兩項服務都僅於美國市場試行。</p> <p>不管是公眾人物或是社團都能主動建立一個聊天室並開放聽眾加入，主辦人可任意邀請講者，最多可支援50名講者，而聽眾則無人數上的限制，一般而言，所有人都能加入聊天室，但私有社團只有社團成員能夠加入。</p> <p>使用者可設定聊天室提醒時間，或是在親友或粉絲參與特定聊天室時收到通知，可於聊天室啟用即時字幕功能，或是舉手提問，也能在聊天期間送出各種表情符號。</p> <p>此外，Live Audio Rooms的主持人也可以在活動期間，選擇所要贊助的非營利機構或慈善機構，以鼓勵聽眾捐款，該平臺也內建了捐款機制。</p> <p>為了吸引使用者參與，臉書已邀請電子音樂製作人Tokimonsta討論女性議題、美式橄欖球四分衛Russell Wilson主講運動員的心智訓練，社會企業家Amanda Nguyen則將講述如何在分化的時代，追求正義與進步。</p> <p>雖然Live Audio Rooms將同時支援Android與iOS，但現階段只有iOS版。</p> <p>至於播客服務則可透過粉絲頁與動態消息上看到，而且可以在使用者瀏覽臉書時於背景播放，之後臉書還會新增額外的播客功能，像是字幕，或是可建立與分享短剪輯的播客內容。播客服務預計要在數周後才會問世。</p> <p>Clubhouse目前競爭者眾，Telegram已於今年3月發表了頻道語音聊天功能，<a href="https://www.ithome.com.tw/news/145070" target="_blank">Spotify也在本月推出Greenroom</a>，臉書的Live Audio Rooms再加上Twitter也正規畫相關服務，透露出語音聊天可能成為社交平臺的標準配備。</p> </div></div></div>
2021/6/22 14:13作者陳曉莉https://www.ithome.com.tw/news/145154
中國四川礦場被斷電，比特幣與繪圖卡價格大跌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府在18日著手強制關閉四川省26家加密貨幣礦場的電力，由於四川為中國也是全球最大的比特幣礦場，使得<a href="https://pool.btc.com/pool-stats" target="_blank">比特幣的全球採礦效能</a>從18日的14.45 EH/s，減少到22日的10.62EH/s，下滑了26%。也讓比特幣的價格從17日的38,971美元，跌至22日的31,551美元，跌幅為19%。下跌的不只是加密貨幣的價格，用來挖礦的繪圖卡也跟著「人走茶涼」，Nvidia Quadro P1000入門級繪圖卡在5月初要價 3,000元人民幣，但6月21日只剩2,429元人民幣。</p> <p>中國一方面推動自家的數位人民幣，另一方面也開始整頓境內的加密貨幣，今年5月中旬中國的三大金融機構便發布公告，禁止當地金融與支付機構參與加密貨幣交易，此外，中國也針對境內的礦場採取行動，包括內蒙古、新疆與青海等中國挖礦勝地，都有類似四川的規定。</p> <p>根據<a href="https://www.163.com/dy/article/GCV6AUGD0552A0PE.html" target="_blank">中國媒體</a>的報導，四川省發改委員會與四川能源局，在上周發布了《關於清理關停虛擬貨幣項目的通知》，列出四川多達26家疑似虛擬貨幣礦場的機構，並準備在20日以前完成清理及關停的工作。</p> <p>而中國官方的國際新聞媒體<a href="https://www.globaltimes.cn/page/202106/1226598.shtml" target="_blank">環球時報</a>則說，在關閉四川礦場之後，中國已撤除境內超過90%的比特幣挖礦能力。</p> <p><a href="https://www.scmp.com/tech/policy/article/3138130/bitcoin-crackdown-sends-graphics-cards-prices-plummeting-china-after" target="_blank">南華早報</a>的調查顯示，這波的礦場清除行動讓繪圖卡的價格下跌，除了Nvidia之外，華碩的高階繪圖卡Asus RTX3060在5月的售價原本高達13,499元人民幣，但6月21日的價格卻只剩4,699元人民幣。</p> </div></div></div>
2021/6/22 12:34作者陳曉莉https://www.ithome.com.tw/news/145150
HPE收購Determined AI，使HPC產品強化機器學習建模支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2021/06/hewlett-packard-enterprise-acquires-determined-ai-to-accelerate-artificial-intelligence-innovation-with-fast-and-simple-machine-learning-modeling.html" target="_blank">HPE在本周線上版Discover 2021大會上宣布</a>收購新創公司Determined AI，要讓企業可在其高效能運算（high performance computing，HPC）產品上，更快建立機器學習模型。</p> <p>HPE收購的Determined AI提供開源機器學習（machine learning，ML）平臺為基礎的軟體堆疊，可讓企業更快建立AI模型。在收購後，HPE將把Determined AI軟體整合到它的AI及高效能運算產品，讓企業的ML工程師更容易實作、建立和訓練ML模型，以便用在各種營運決策分析上。</p> <p>愈來愈多企業使用HPC建立和訓練實作AI模型，並推動模擬等AI應用。HPE引述分析機構Intersec 360 數據指出，到2024年全球HPC市場將成長40%，來到550億美元。</p> <p>建立和訓練營運環境（operational）適用的大規模ML模型，是ML開發最重要的階段，然而這階段會面臨HPC環境上的挑戰，包括平行運算軟體及運算、儲存、網路和加速器等基礎架構硬體。此外，資料科學家和研究人員還需要會在這些環境下編寫程式、並且協調排程、訓練模型，使AI建模專案更為複雜而耗時。</p> <p>成立於2017年的Determined AI開源機器學習訓練平臺就能解決這些需求。它的技術能簡化在本地部署或雲端上AI叢集的建立、設定、管理和共享，加速ML模型開發的進度。其他管理功能包括加速器排程、容錯、模型的高速平行和分散式訓練，以及超參數（hyperparameter）最佳化及神經架構搜尋、可複製協同（reproducible collaboration）及評估追蹤（metrics tracking）等。其用戶包括生技製藥業、自駕車廠商、國防外包及製造業。</p> <p>這家新創公司團隊將整合進HPE的高效能運算及關鍵解決方案部門，並使其產品整合到HPE產品，以及HPE 雲端服務GreenLake for HPC。該部門總經理Justin Hotard指出，在資料轉化成更執行的資訊或分析結果過程中，具備AI的運算技術將扮演更重要角色，Determined AI平臺將可讓HPE用戶加速開發ML模型，不需擔心底層架構的設立和管理。</p> </div></div></div>
2021/6/22 12:44作者林妍溱https://www.ithome.com.tw/news/145151
【前輩現身講：安永會計師事務所諮詢服務執行副總曾韵】6大職涯轉捩點如何抉擇，資安顧問心路歷程大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你要用多少代價，去換取你現在的地位或成就感？」安永諮詢服務執行副總經理曾韵如此提問，不只是向外拋出一個開放式問題，更是她對自己職涯發展所下的最佳註解。</p> <p>長期在顧問產業耕耘的曾韵，從剛入職，開始從事電腦稽核的工作，逐漸培養起建置資安管理體系的能力，後來更跨足營運持續管理體系的建置，並在進修了法律相關知識後，開始提供個人資料管理制度導入、鑑識調查與分析服務。近年來，她更搭上大數據應用熱潮，進修了大數據相關知識，開始提供巨量資料分析、數位轉型與科技風險諮詢服務。</p> <p>涉獵了如此多元的專業領域，曾韵卻是資管與資安背景出身，曾以為自己會進入資安公司或企業資安部門，成為鑽研技術的資安工程師，沒想到一轉念，卻踏上顧問一職。對於自己的與眾不同的職涯歷程，曾韵娓娓道來一路上的堅持與挑戰。</p> <p><span style="font-size:28px;"><strong>跟隨本心投入顧問產業，更秉持學習精神一路進修</strong></span></p> <p>大學時期，曾韵就讀資管系，為了砥礪自己的專業技能，研究所選擇踏入資安領域，向看重技術力的教授學習。回憶當年，她深感自己的資安基礎不夠，讀研期間督促自己吸收海量的資安知識，遇到聽不懂的名詞，先筆記下來查資料，還是不懂，就抓緊機會詢問實驗室的學長姐或教授。經歷了為期兩年的磨鍊，好不容易領到碩士學位，接踵要面對的，卻是人生第一道選擇題：就業。</p> <p>「我記得老師們說，科技是要幫助企業做更好的事情。」因爲這個信念，曾韵在選擇職業時思考，能否找到一份工作，能深入瞭解企業的需求。再加上，她認為自己的技術實力拼不過他人，反而是綜合性應用的工作較適合自己，在這個前提下，現在擁有的技術實力，更能進一步化為優勢與立足點。因此，儘管面試上了資安企業，她仍選擇進入安永聯合會計師事務所，從事電腦稽核的相關工作。</p> <p>這一份工作中，曾韵曾負責稽核銀行，針對資安控管不足之處提供建議，包括查驗權限控管機制、驗算部分銀行業務的程式邏輯、進行滲透測試等工作。隨著資訊安全逐漸受到重視，顧問類型的資安服務也越來越多元，就在這時，她抓住了勤業眾信拋出的橄欖枝，決定嘗試新類型的資安顧問服務。</p> <p>曾韵到勤業眾信後，從資安顧問做起，在辦理業務的過程中，除了累積自己的顧問經驗，也逐漸培養了管理與領導團隊的能力。經過一段時間的積累，她也跨足營運持續管理（BCP）的領域，提供企業營運不中斷的建議，從災害備援到業務持續都是其中一環。她在這段經驗中體會到，當沒有法規強制規定時，少有企業會對營運持續的建議買單，時常等到發生意外時，才會來尋求支援。</p> <p>在熟稔了營運持續管理的業務後，曾韵隨後也承接了個資保護的業務，「資安不就是資料保護嗎？聽起來很簡單！」殊不知，卻開始面對許多客戶的法律諮詢，才發現資料保護涉及個資法的範圍，是自己過去未曾涉獵的領域。為了補足不諳法條的弱點，她報名了臺大法律學分班，在工作之餘精進自己的法律知識，才逐漸克服業務帶來的挑戰。</p> <p>奠下了法學的基礎，曾韵更承接了數位鑑識的新業務，也就是臺灣勤業眾信後來在亞洲推行的資安鑑識服務，「我們有自己的實驗室、具鑑定人的資格，在法院上提出的報告也都能被認可。」她指出，透過數位鑑識的服務，企業在訴訟過程中提出的數位證據，就有機會在經過鑑定後，成為逮捕犯人的依據。而這段期間，她也協助多家政府數位實驗室，取得鑑識實驗室的認證，也曾參與了國內多家大型公司舞弊案件的調查。</p> <p>提供數位鑑識服務的過程中，曾韵又發現，在科技辦案的時代，資料分析的角色不可或缺，加上大數據、數位轉型的概念屢被提及，「那麼，我們就找很多年輕人，成立大數據團隊，去開發新服務。」</p> <p>不過，找來了大數據團隊後，曾韵卻遭遇了新的挑戰，在於難以與團隊成員溝通，一開始也難以提供符合客戶期待的服務。原本，她將新人投入顧問團隊，學習顧問業的領域知識，但大部分的人都因為工作內容不符預期而離開。最後，她選擇二度回到學校，取得了東吳巨量資料的學位，深度了解大數據的運用後，才更好的與年輕人溝通，更順利的推動巨量資料分析、數位轉型與科技風險諮詢服務。</p> <p><strong><span style="font-size:28px;">6大職涯轉捩點怎麼選？選擇沒有對錯，但永遠做好最壞打算</span></strong></p> <p>從現在往回看，曾韵斐然的成就，與她在人生道路上的選擇密不可分。她自己也歸類出6個職涯轉捩點，尤其是自己曾有過的掙扎與體悟。</p> <p>大學畢業後是第一個抉擇點，如同許多人的疑惑，究竟要選擇繼續唸書，還是先工作？曾韵過去是選擇先唸研究所，再投入職場，「但以我現在的角度，建議可以先工作，」尤其在顧問領域中，社會歷練不夠，反而較難與客戶的應對進退，「我們從來不在乎你是學士或碩士，在乎的是你的特質，學習能力好不好、能不能繼續進步？」</p> <p>第二個職涯抉擇是在進入職場時，究竟要選擇什麼工作？曾韵回想，自己碩士班同學中，有的進政府機關、資安企業、企業資安部門，都需要持續鑽研技術的工作，而自己卻選擇了駁雜綜合性技能的顧問工作，「那時候我覺得我好像是異類，是不是低人一等？」但她強調，不用在乎別人的眼光，「重點是你想要什麼？」</p> <p>工作幾年後，可能有升小主管的機會，但相對的，就無法花那麼多時間在鑽研技術，必須帶領新進同仁來熟悉工作，曾韵也開始面對第三個轉捩點。她指出，顧問產業更凸顯了這個兩難，一旦開始面對客戶之後，為了了解產業概況，得不斷增進相關知識，但時間有限，精進技術的時間就相對少了，「許多人甚至會擔心，資安技術日新月異，我的技術會不會就廢了？」</p> <p>面對這個問題，曾韵坦言：「你必須要有所抉擇，這是一個分歧點，」她舉例，顧問跨足的領域很廣，雖然放掉了技術，卻能與許多企業的資深長官，用他們能理解的方式對談。「職涯的選擇沒有對錯，端看每個人自己的想法。」</p> <p>第四個情況則是性別角色的影響，女性在職場上是否會被特別對待？「我從來沒有因為女生受到歧視，真的沒有！」曾韵回應，在臺灣的顧問產業中，不僅沒有感受到性別歧視，顧問從業人員的男女比也趨近於1：1，像她所任職的安永更有一個全球性的Woman in Tech計畫，要透過校內培育或企業內孵育，培育更多女性從事技術職業，甚至成為領導階層，目標讓女性的技術力、領導力都能更上一層。</p> <p>但她也提到，雖然在職場上沒有遭遇歧視，但在社會現實上，女性確實有被社會賦予的性別角色期待，比如在結婚生子後，可能會被要求要放棄工作、回歸家庭，「但在這個時代，沒有一定，有的女生妥協了，但也有男生為了老婆而放棄，每個人的條件都不一樣，需要商量與討論。」而且，在有了家庭後，不免會遇到家庭與工作之間的兩難，選擇為了工作而繼續奮鬥，就可能失去了與家人相處的時光，過程中必然得有所付出，這也是一個抉擇。</p> <p>為了提供巨量資料分析的顧問服務，曾韵面臨了第五個轉捩點，是否要重回學校進修巨資碩士學位。當時，她選擇重回學校，但也因此，她得同時兼顧家庭、工作與唸書進修，也曾懷疑自己是否能順利畢業。不過，她仍憑著勇氣與毅力克服挑戰、完成學位，還以此為基礎，推動工作上新業務的發展進程。<p></p></p> <p>最後，則是在勤業眾信取得了一定的成就後，她選擇轉換人生跑道，申請到雪梨大學進修，「這個決定會不會成功？我不知道，但我跟隨自己的本心來決定，」但曾韵也點出，「永遠做好最壞的打算，」先預設好失敗的退路，如果可以接受，就能試著大膽地向前。</p> <p>「很多年輕人都會說，我想要在工作與生活達到平衡，我只會說，沒有這回事。」曾韵從自身的經驗出發，篤定的說，排除掉天才與富豪這類身份的人，要在職涯中達到一定的高度，絕非一蹴可幾，「你要用多少代價，去換取你現在的地位或成就感？」這句話，更是她職涯回顧的最佳註解。她也慶幸，背後一直有支持自己的家庭，使她能遵循本心，持續在職場中自我實現。</p> </div></div></div>
2021/6/22 07:00作者翁芊儒https://www.ithome.com.tw/news/144845
GitHub Desktop 2.9可供開發者壓縮和重新排序歷史提交紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新<a href="https://github.blog/2021-06-16-github-desktop-2-9-squashing-reordering-amending/">GitHub Desktop 2.9</a>現在釋出，已經可供開發者下載使用，這個版本強化了提交操作，可以讓用戶合併和重新排序歷史紀錄中的提交，並且還能修改上一個提交，或是從過去的提交創建新的分支。</p> <p>官方提到，許多開發人員關心自己的提交歷史，因為這是一連串的紀錄，代表著專案開發前後連貫的故事。之前的一組提交可能僅代表一個工作單位，或是當專案要求，每個拉取請求只能有一個提交，開發者可能不滿意提交歷史的呈現，現在透過使用GitHub Desktop 2.9，便可以進一步編輯這些提交，只要利用拖放操作，使用者就可以將兩個提交壓在一起，並且添加新的提交訊息來總結整個提交的內容。</p> <p>另外，在合併提交的時候，使用者也可以選擇壓縮並且改變合併的基礎版本（Rebase），且因為提交的排序不同，可能造成難以查看的情況，在這個新版本中，使用者可以直接將要改變排序的提交，拖放到歷史紀錄的任意位置，完成重新排序操作。</p> <p>GitHub Desktop 2.9還可以從之前的提交，開始一個新的分支，官方提到，很多時候，開發者需要檢視舊版本專案來調查錯誤，或是在最新的版本中創建一個熱修補程式，而現在GitHub Desktop能夠讓開發者將歷史紀錄中的任何提交，放入工作目錄中（Check Out），以快速查看該時間點儲存庫的狀態，而且不會對手上正在處理的分支產生影響。</p> <p>GitHub Desktop還讓開發者能夠修改最後一次提交，目前GitHub Desktop提供的撤銷功能，可以撤銷前一次的提交，將所有更改放回工作目錄中，但官方提到，當開發者只想對提交進行小部分更新，這項新功能就可以派上用場。開發者可以在提交紀錄中，更改上一次提交的訊息或是新增其他變更。</p> <p class="rtecenter"><img alt="" src="https://github.blog/wp-content/uploads/2021/06/GitHub-Desktop-2-9_fig-5-amend-commit.gif" style="width: 580px;" /></p> <p>同時，這個版本終於可以原生支援Apple自家的Mac新晶片Apple Silicon，使用M1晶片的Mac，將會升級使用原生建置GitHub Desktop，除了提高效能之外，也能減少軟體崩潰。</p> </div></div></div>
2021/6/21 19:19作者李建興https://www.ithome.com.tw/news/145139
是誰發動夜神模擬器供應鏈攻擊？ESET揭露幕後的駭客組織身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年2月，<a href="https://www.ithome.com.tw/news/142583">夜神模擬器（NoxPlayer）的軟體更新機制驚傳遭到入侵</a>，雖然該款Android模擬器用戶號稱多達1.5億人，但攻擊者僅鎖定特定少數用戶下手，對他們的電腦進行監控。當時揭露這起攻擊行動的防毒廠商ESET，<a href="https://www.welivesecurity.com/2021/06/09/gelsemium-when-threat-actors-go-gardening/">近期公開了駭客的身分與手法</a>，認為該組織的作案工具，僅與已知惡意軟體存在少部分相似之處，ESET推斷，該組織很可能與過往的攻擊行動與其他駭客有所交集。</p> <p>上述事故背後發動攻擊的APT駭客組織，被命名為Gelsemium。根據相關的分析結果，ESET指出，這個組織最早約於2014年開始發起攻擊行動，遭到Gelsemium攻擊的受害者，遍及東亞和中東，受害單位的類型，包含了政府機關、宗教團體、電子製造業，以及大專院校等。該組織鎖定的國家，涵蓋中國、蒙古、北韓、南韓、日本、土耳其、伊朗、伊拉克、沙烏地阿拉伯、敘利亞，以及埃及。ESET也提供入侵指標（IoC）供資安人員參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/locations.jpg" style="width: 580px; height: 401px;" /></p> <p>對於Gelsemium擅長的手法而言，ESET認為是藉由微軟Office的漏洞與釣魚郵件，來散布用來攻擊的惡意軟體，並且利用Exchange伺服器的RCE漏洞，來進行水坑式攻擊。</p> <p>該組織約於2020年9月發動NightScout行動（Operation NightScout），滲透了夜神模擬器的更新伺服器。ESET表示，在10萬名同時是ESET與夜神模擬器的用戶中，僅有5名收到惡意更新，他們位於臺灣、香港，以及斯里蘭卡。</p> <p>但除了上述攻擊事件之外，ESET也點名可能與Gelsemium有所關連、之前被發現的惡意軟體：OwlProxy和Chrommme。為何這些惡意軟體與該組織有關？ESET指出，前者與Gelsemium惡意軟體的元件程式碼，雖然幾乎沒有直接關連，但他們在分析之後還是發現與該組織有關的證據。</p> <p>後者則是ESET從Gelsemium生態圈調查所找到的後門程式，與前者相同的是，從程式碼的層面比對該駭客組織使用的元件，也幾乎沒有什麼關連，但Chrommme與該組織使用的Gelsevirine，都使用相同的2個C2伺服器。再者，另一個與該組織有關的證據，則是ESET也在遭受Gelsemium攻擊的組織電腦中，發現了Chrommme。</p> </div></div></div>
2021/6/21 17:16作者周峻佑https://www.ithome.com.tw/news/145138
Google雲端市集上架IonQ量子運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AWS和微軟Azure之後，Google雲端也和量子運算新創IonQ合作，在<a href="https://cloud.google.com/blog/products/compute/ionq-quantum-computer-available-through-google-cloud">雲端市集推出IonQ量子運算雲端服務</a>，而這將會是Google雲端上首個第三方量子運算服務，並且支援Google的Cirq，以及Qiskit、Penny Lane和tket等量子開發套件。另外，IonQ的11量子位元系統，也是第一臺同時在Azure、AWS和Google雲端等三大主要雲端平臺提供服務的量子電腦。</p> <p>IonQ是一間研發離子阱（Ion Trap）量子系統的公司，該公司所使用的技術，為創辦人Christopher Monroe和Jungsang Kim所研究開發，IonQ表示，離子阱與其他的量子系統類型相比，在精確性、可擴展性和可預測性等指標表現更好。</p> <p>現在Google在雲端上與IonQ合作，讓開發人員可以在市集中，透過點擊介面就可以立即取用IonQ高傳真11量子位元系統，並且使用Google雲端帳戶處理費用和配置。IonQ執行長Peter Chapman表示，IonQ研發量子電腦硬體的目標，在於讓量子系統更加普及，而在Google雲端市集提供量子電腦，是實踐此一目標作法。</p> <p>量子運算是一個新興領域，各大科技公司皆投入資源研究，包括Google在內，作為雲端服務供應商的角色，Google提到，他們提供服務給具有不同需求的客戶，而在Google雲端上架其他供應商的量子運算服務，可以提供用戶更多的選擇自由。</p> <p>現在Google雲端使用者，可以透過市集隨時取用IonQ的11量子位元全連結Ytterbium系統，或是在真正的量子系統上執行之前，先使用免費的模擬器進行原型開發。IonQ藉由與Google雲端合作，簡化用戶取用量子運算服務的方法，Peter Chapman表示，使得存取量子服務更將普及，是實現量子理想的核心。</p> <p>IonQ官方也提到，預計在今年稍晚，還會提供Google雲端用戶IonQ下一代的32量子位元系統。而為了促進量子運算的研究，Google也供符合條件的研究計畫信用點數，供研究人員將量子運算用於研究上。</p> </div></div></div>
2021/6/21 18:55作者李建興https://www.ithome.com.tw/news/145134
.NET跨平臺UI框架MAUI加入易於使用的動畫方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Build 2020公開，預計在今年年底正式推出的.NET跨平臺UI框架<a href="https://devblogs.microsoft.com/dotnet/announcing-net-maui-preview-5/">MAUI</a>，現在已經來到第5個預覽版本，這個版本加入了動畫和視圖轉換等影像處理功能，也移植了多個UI元件，並且改進單一專案模板。</p> <p>MAUI讓開發者可以使用.NET跨平臺UI工具包建構原生應用程式，支援包括Android、iOS、macOS、Windows和Tizen等行動和桌面平臺。MAUI跨平臺框架可以使用C#和XAML，來創建行動和桌面應用程式，因此開發者能夠對多平臺上運作的應用程式，使用共享單一程式碼庫。</p> <p>.NET MAUI是由Xamarin.Forms演進而來，從行動場景進一步擴展到桌面場景，和過去使用Xamarin.Forms建構跨平臺使用者介面有許多相似之處。使用MAUI可以利用單個專案，創建多平臺應用程式，並且根據需求，添加特定於平臺的原始碼和資源。</p> <p>而MAUI第5預覽版開始提供動畫功能，微軟提到，在MAUI中有數種實現動畫的方法，而最簡單的便是用視圖擴充套件方法，以像是FadeTo、RotateTo、ScaleTo、TranslateTo等來控制物件，利用這些方法就可以簡單地讓物件，以淡出淡入、旋轉、縮放和轉換等方法，呈現動態視覺效果。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/dotnet/wp-content/uploads/sites/10/2021/06/mauiFadeTo.gif" style="width: 580px; height: 309px;" /></p> <p>微軟也在這個版本中，將像是ActivityIndicator、CheckBox、Stepper和圖像等控制元件的屬性和事件，從原本Xamarin.Forms的渲染架構移植到了處理程式（Handler）中。而在之前的預覽版本中，開發者需要檢查在相容套件中，尚不可用的渲染器和註冊器，但是在第五預覽版中，官方更新UseMauiApp擴充套件，能夠自動連接所有基於處理程式和渲染器的控制元件，使得開發工作更容易。</p> <p>在第5預覽版的另一個新功能，是加入了稱為Shell的應用程式容器，提供URI導覽，以及彈出式選單和頁籤的快速實作方法，開發者只要將Shell當作根元素添加到App.xaml.cs的視窗中，就可以使用像是FlyoutItem或Tab等方式顯示內容。</p> <p>另外，微軟也改進單一專案模板，現在會將多個WinUI專案合併為一，也就是說，現在開發者使用dotnet new maui指令之後，將只會看到兩個專案，一個是多平臺的.NET MAUI專案，另一個則是WinUI專案，在執行WinUI專案的時候，開發者不再會混淆要選擇哪一個專案。</p> </div></div></div>
2021/6/21 19:10作者李建興https://www.ithome.com.tw/news/145135
Google可能開發以藍牙訊號為基礎的Android版Find My網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iOS裝置的Find My功能，可讓用戶以藍牙訊號網路尋找iPhone、iPad裝置，iOS 14.5後，Find My網路則可尋找AirTag。<a href="https://9to5google.com/2021/06/18/google-spot-find-my-device-network/" target="_blank">9to5Google</a>報導，Google似乎也在開發類似的網路功能。</p> <p><a href="https://support.google.com/accounts/answer/6160491?hl=en" target="_blank">今天Android的「尋找我的裝置」（Find My Device）功能</a>，需要裝置啟動電源以及開啟Wi-Fi及行動網路訊號，而且必須開啟定位。但蘋果自iOS 13後的Find My網路改變作法，即使iOS裝置離線也能定位。其原理是將所有iOS裝置當成藍牙beacon，藉此計算所有iOS裝置和其他iOS裝置的距離並定位出位置，即使離線狀態也可以尋找到它。三星的SmartTag和蘋果AirTag，都是使用這種眾籌式（crowd-source）網路來尋找遺失的物件。</p> <p>9to5Google分析了Play services 21.24.13 Beta版的APK，發現Google可能將效法蘋果和三星的作法。他們發現名為Spot的API，分析其程式碼顯示將所有啟用Google Play Services的Android裝置形成的網絡，用以協助尋找離線裝置。但Google提供開啟、關閉，允許用戶將自有裝置切離此網絡。</p> <p>Spot使用加密，以及每小時輪換一次的金鑰。Spot也連到Google早年開發用於實體物件和手機互動的Eddystone協定，用在Android手機中的「Nearby」通知，原本希望作為智慧城市應用，如公車時刻表或博物館導覽資訊，但因為多被用於濫發訊息，Google 2018年將之關閉。</p> <p>程式碼顯示的資訊有限，目前看不出能尋找的裝置類型只有Android手機，或是也支援平板、耳機、手錶等裝置。</p> <p>此外，媒體認為會有獨立的Spot App，可能是配合Find My Device的掃瞄或定位。它和現有Find My Device的用戶端關係為何則不明。</p> <p>不過即使在Beta版出現，也不能確定最後一定會反映在最終版本的Android。畢竟Google之前也有過Android Beam及Nearby Share等類似技術。</p> <p>Google尚未對此正式回應。</p> </div></div></div>
2021/6/21 19:14作者林妍溱https://www.ithome.com.tw/news/145140
WebAssembly Runtime開源專案Wasmer發布2.0版，浮點數運算效能增加56％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高效能WebAssembly Runtime開源專案Wasmer的開發團隊，在1月的時候正式發布1.0版本，半年不到，該團隊迅速地發布第2個主要更新版本，這個版本不只加入了新功能，同時也提升了穩定性、安全性和效能。</p> <p><a href="https://wasmer.io/posts/wasmer-2.0">Wasmer 2.0</a>新功能包括了SIMD（單指令流多資料流）和參照類型。SIMD讓一條指令可以同時對多筆資料流進行操作，加入SIMD支援，將能夠提高並行處理資料的效能，讓Wasmer更適用於多樣化的使用案例，像是機器學習、影像處理、3D物理運算和圖形應用等，開發者能夠在這些用例中，觀察到明顯的效能提升，而且官方還提到，SIMD減少電力使用的潛力不容低估。</p> <p>Wasmer 2.0另一個亮點便是參照類型，參照類型能夠讓應用程式在主機環境，或是多個Wasm模組之間，共享特定類型的資訊，這個方便的功能，使得程式碼和主機的Wasm模組，能夠簡單地進行溝通，並且將會是之後介面類型（Interface Types）的關鍵功能。</p> <p>開發者從Wasmer 1.0切換使用Wasmer 2.0，可以明顯的感覺到效能提升，Wasmer 2.0操作浮點數的時候，LLVM Runtime速度大概快了50％，函式呼叫也更快，在過程中會盡量避免與核心互動，而且因為採用新的後端架構，Cranelift執行速度提高約40％，反序列化的速度也大幅加速。官方提到，Wasmer的這些改進，使得Wasm程式和函式庫，已經能夠以接近原生的速度執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/llvm-runtime-performance.png" style="width: 580px;" /></p> <p>Wasmer 2.0所有公共API都沒有改變，但是內部API有稍微調整，非常少數的用戶才會受到影響，另外，Wasmer 1.0的序列化Wasm模組，無法用在Wasmer 2.0反序列化。</p> <p>開發團隊表示會持續改進Wasmer，繼續奠基於參照類型之上的其他工作，並且增加對更多作業系統和硬體基礎設施的支援，開發團隊也計畫要在GitHub上，實行更加開放透明的流程，以發布Wasmer Runtime之後的版本。</p> </div></div></div>
2021/6/21 19:17作者李建興https://www.ithome.com.tw/news/145137
Martech月報第6期：比VPN更保障隱私的網路傳輸作法？一覽蘋果WWDC一系列隱私安全功能更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0521~0617)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WWDC </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">蘋果WWDC揭露多項隱私安全功能更新，從Email、Safari、Siri到iCloud都更加私密</span></strong></p> <p>蘋果在今年WWDC一口氣推出了多項隱私保護相關功能，「在Apple，隱私是用戶的基本人權。」蘋果軟體工程高階副總裁Craig Federighi表示，在這之前，蘋果已經推出了App Store中的隱私營養標籤，用來顯示每一款App所搜集的用戶資訊，近期也推出了App Tracking Transparency框架，規範任何企圖追蹤使用者App，都必須先取得使用者的許可。</p> <p>今年的多項重要更新，其一是郵件的隱私保護功能（mail privacy protection）。這項服務是針對許多行銷郵件被用戶打開後，其中的追蹤像素（tracking pixels）會搜集Email活動的相關資訊，包括打開Email的時間點、使用者IP位址，會被回傳並用於個人化行銷。這項功能能阻止這些資訊被追蹤。</p> <p>蘋果也強化了Safari的智慧追蹤保護機制，隱藏了使用者的IP位址，讓企業或廣告主不能取得用戶的跨網站活動。同時也推出App隱私報告，讓用戶能從報告中，查看7天內App使用已授權裝置服務的頻率，例如裝置上的麥克風、相機、照片、聯繫人等資訊，在哪些時間點被App使用，還能檢視與App連結的第三方服務列表，查看App資料與哪些組織分享。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-06-21%20%E4%B8%8B%E5%8D%883_53_24.png" style="width: 700px;" /></p> <p>另一項重大更新，則是已經在6億個裝置中使用的語音助理Siri，現在已經能透過裝置上晶片進行語音辨識，讓聲音不需透過網路上傳雲端辨識，而是能在本地端運算，不只能強化用戶隱私，更能加快語音辨識速度來完成任務。</p> <p>iCloud的新功能iCloud+則推出了幾項隱私服務，其一是Private relay，能隱藏用戶IP位址，確保用戶在透過不同網路裝置（如公共Wi-Fi）瀏覽網站時，從裝置離開的流量是經過加密的。</p> <p><a href="https://www.fastcompany.com/90643627/apple-privacy-wwdc-private-relay-vpn-icloud-plus-macos-monterey" target="_blank">Fast Company專訪</a>則解釋了這個網路傳輸機制，是透過建立起一個雙層訪問的架構，由Private Relay存取用戶的IP位址以及要訪問網站的URL，並將URL加密，再連同匿名IP傳送到第三方可信賴的代理伺服器，並在這個中繼站還原URL連接到目的地網站。換句話說，Apple知道用戶是誰但不知道網站URL是什麼，而中繼站知道要訪問的網站卻不知道用戶是誰，藉此讓所有人都無法連結用戶資訊與瀏覽紀錄，來取代使用VPN訪問網站的作法，因為VPN雖然能阻止網路供應商取得用戶資訊，但VPN業者卻能存取使用者IP與瀏覽紀錄。</p> <p>iCloud+另一項服務則是Hide My Email，能讓用戶在許多網站登入要填寫Email時，能夠透過Mail、Safari、iCloud的Hide My Email功能，讓用戶能使用一個獨一無二、隨機的電子郵件地址，而不是將真實的地址洩露出去。（<a href="https://www.youtube.com/watch?v=0TD96VTf0Xs" target="_blank">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-06-21%20%E4%B8%8B%E5%8D%881_28_56.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方cookie </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google發表廣告產品更新，強調要靠ML預測消弭Cookie消失帶來的行銷成效落差</span></strong></p> <p>Google在今年度的線上行銷大會中，特別強調廣告投放也須兼具隱私保護的重要性，Google廣告部門副總裁Jerry Dischler，更重申Google提供廣告服務的基本原則，一是Google從未販售使用者個資，也從未使用敏感資料來下廣告，比如個人健康、種族、宗教、性向等資訊；其二，Google從未將使用者創造的內容用於廣告目的，比如Google Drive、Gmail、Photo等內容，「這些治理了Google的準則，未來不會發生任何改變。」</p> <p>「但現在，我們還需要更急迫的，將個人隱私保護置於更重要的地位。」Jerry Dischler表示，過去幾年來，使用者取得免費內容，同意交換個人資料來顯示關聯性廣告，已經是廣告行業默許的運作形式，但現在，有高達81%的使用者，認為這個模式中，個資被搜集潛藏的危機，已經超越了實質帶來了好處，使他們更加在意網路是如何追蹤自己的瀏覽軌跡，「使用者更重視自己的隱私，不滿意舊的模式，我們正在失去用戶的信任。」</p> <p>為了重新取得用戶的信任，Jerry Dischler表示，Google要在維持免費網路的同時也保障用戶隱私，所以已經宣布將淘汰第三方Cookie，也承諾不會建立替代性的辨識符號來追蹤個人瀏覽軌跡。</p> <p>他也向企業廣告主表示，要成功轉換成一個沒有Cookie的世界，需要做到三件事，第一，要與顧客建立良好的關係，使用經顧客授權的第一方資料；第二，透過自動化與ML技術，讓預測性且兼顧隱私保護的行銷方法成為可能；第三，則是要訴諸隱私保護的新技術，比如Google開源的隱私沙盒計畫，讓更多人能共同參與打造進階、匿名、且在裝置上運算的技術，「我們相信隱私沙盒是正確的方向。」</p> <p>Google廣告購買、分析與衡量服務的副總裁Vidhya Srinivasan，則進一步因應Cookie消失推出的廣告工具更新。為了讓企業使用經授權的第一方Cookie來進行廣告衡量，Google本來就推出了Sitewide Tagging的服務（包含Global Site Tag與Google Tag Manager兩大解決方案），讓企業主在網站中設置標籤工具，以搜集第一方數據來進行廣告衡量與優化。Google自定義廣告受眾的Customer Match，也將對所有企業主開放，取消使用Customer Match的條件限制。</p> <p>去年，Google也推出Cosent mode機制，讓使用者能對資料如何被使用做出選擇，並排除拒絕者的Cookies作為廣告用途。幾個禮拜前，Google在Cosent mode中增加轉化建模功能（conversion modeling），來縮小Cookie不能使用造成的轉化成效差距，甚至能恢復用戶不接受Cookie而失去的廣告點擊轉化，達到平均70％以上。Cosent mode現在更與Google Tag Manager整合，要讓開發者不需修改任何網站的程式碼，就能在Cosent mode的基礎上來調整標籤設置。</p> <p>此外，在Google去年發佈的新版Google Analytics中，今年將會增加進階ML模型到行為分析報告中，甚至在Cookies不能使用時，可以透過模型分析來消弭與現實獲客情形的差距，Google也發布了新的GA深度行銷洞察功能，包括跨管道（cross-channel）表現、廣告指標（advertising metrics）與推薦機制，讓廣告主仍可在保障隱私安全的情況下，了解顧客在跨裝置、跨網站的消費旅程洞察，藉此改善行銷策略。除了Search與Shopping等管道的廣告觸點，Google很快地也會把Youtube與Display觸點也納入歸因模型中，讓企業主更全面的獲取跨管道的行銷洞察。</p> <p>「未來是建立在第一方資料（First-party）、經授權的資料（Consented）、經模型預測的資料（Modeled）之上。」Vidhya Srinivasan認為，使用第一方資料、經使用者授權同意的資料，再用模型來消弭可能與實際行銷成效之間的差距，就是未來數位廣告操作的方向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-06-21%20%E4%B8%8A%E5%8D%889_01_54.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FLoC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mozilla </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Mozilla：上千人的群組ID搭配特定額外資訊，新廣告追蹤技術FLoC恐讓網站更容易追蹤用戶</span></strong></p> <p>Mozilla針對Google正在測試的新廣告追蹤技術（Federated Learning of Cohorts，FLoC）進行<a href="https://blog.mozilla.org/en/mozilla/privacy-analysis-of-floc/">詳細的隱私分析</a>，認為該技術仍存在個人隱私洩漏風險。FLoC是用來代替Cookie的廣告追蹤技術，不同於Cookie是搜集特定個人的瀏覽行為，FLoC是觀察一群有相同興趣的使用者，藉此保護用戶隱私安全。不過，Mozilla分析指出，雖然FLoC中定義的群組中，數千人共享同一個群組ID，但這不代表群組內的用戶無法被追蹤，當追蹤者有其他額外的資訊，便可以快速縮小用戶範圍。</p> <p>這些額外資訊包括瀏覽器指紋，像是使用者可能使用Firefox或是Chrome等瀏覽器，所使用的作業系統包括Windows和Mac等，再加上用戶所使用的語言也不同，這些屬性與僅有上千名用戶的FLoC群組相比對，就可以限縮範圍至幾個人。而且FLoC群組ID並非固定不變，畢竟人的興趣和關注的事物會不停改變，目前FLoC群組ID的設計，每周都會重新計算一次，這意味著，只要能夠使用其他資訊來連結用戶的存取，便可以收集用戶每一周的群組ID組合，來辨識出單一用戶。（<a href="https://www.ithome.com.tw/news/144975">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Messenger API for Instagram </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Facebook Login </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">臉書發布了全新的Messenger API for Instagram，不久後計畫推出Login Connect with Messenger，目標更緊密與顧客連結</span></strong></p> <p><a href="https://about.fb.com/news/2021/06/f8-refresh-developer-conference/">臉書周三（6/2）於線上舉行了F8年度開發者大會，發表了</a>全新的Messenger API for Instagram與Login Connect with Messenger。臉書自去年10月就開始測試<a href="https://messengernews.fb.com/2021/06/02/the-wait-is-over-messenger-api-for-instagram-is-now-available-to-all-developers/">Messenger API for Instagram</a>，並有超過30名開發者與700個品牌參與該測試，該API將可協助企業從單一平臺管理所有的通訊，也能有效地結合企業既有的工作流程與工具，並帶來高品質的客戶體驗。臉書也已經開放所有開發者與企業帳號用戶使用。</p> <p>至於<a href="https://developers.facebook.com/blog/post/2021/06/02/introducing-login-connect-messenger/">Login Connect with Messenger</a>則是Facebook Login的衍生產品，它同樣採用Facebook Login的流程，讓使用者以臉書帳號登入企業服務，但額外增加一個允許企業透過Messenger與使用者交流的選項，並讓雙方直接透過Messenger溝通。臉書表示，在測試Login Connect with Messenger時，有超過7成的使用者都選擇啟用該服務。不過，Login Connect with Messenger目前仍處於封閉測試階段，預計未來幾個月才會開放。（<a href="https://www.ithome.com.tw/news/144808">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-06-21%20%E4%B8%8A%E5%8D%889_08_25.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Digital 360 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snapchat </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce發布Digital 360多項更新，與Snapchat、WhatsApp整合更進一步</span></strong></p> <div> <p>Salesforce在今年的Salesforce Connections中，宣布了Digital 360的多項更新。Digital 360是Salesforce去年推出的解決方案，整合了行銷雲、體驗雲與商業雲在內，這次的更新，包括在Salesforce CDP中，Interaction Studio功能將可以追蹤顧客跨管道（cross-channel）的活動，且能運用自家AI引擎Einstein AI即時發送關聯性訊息、產品報價與內容推薦。其中的忠誠度管理功能（Loyalty Management），也會提供即時更新會員狀態、忠誠度層級和積分。</p> <p>在行銷雲中，AI驅動的行銷功能Datorama，也將提供新的Email、行動裝置與用戶旅程報告，來支持行銷活動的最佳化。Salesforce更針對社交軟體Snapchat發布了Snapchat Audience Match，讓行銷人員能使用Salesforce的第一方數據，瞄準Snapchat用戶提供個人化廣告，來找出潛在受眾。Salesforce也正在與WhatsApp進行整合，讓行銷人員更容易藉由WhatsApp與顧客直接溝通。（<a href="https://www.salesforce.com/connections/">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Facebook </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Oculus VR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位廣告投放 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Facebook將在Oculus VR遊戲中測試廣告，強調使用者資料搜集會遵守臉書廣告規範</span></strong></p> <p>今年5月，臉書宣布將開始在VR中測試廣告，這個廣告測試計畫會先在VR/AR遊戲公司Resolution Games的Oculus Quest遊戲Blaston中進行測試，未來幾周內還會擴大到另外兩個開發計畫中。這類廣告被臉書稱作耳機內的廣告（In-headset），是臉書的VR公司Oculus為開發者探索獲利方法的一環，要透過建立自給自足的平臺，來支持多元的商業模式，以解鎖新類型的內容與受眾。</p> <p>開發Oculus VR裝置的Facebook，計劃要監測用戶與VR廣告之間的互動，但臉書特別指出，所有Oculus廣告仍必須遵循Facebook的廣告規範，也就是說，用戶仍然可以隱藏特定廣告、或是完全隱藏廣告商的廣告。不過，由於Oculus嘗試要求Oculus VR用戶使用臉書帳戶登錄，所以透過臉書社交網絡還是可以分析個人數據，來提供個人化廣告。（<a href="https://www.oculus.com/blog/testing-in-headset-vr-ads/">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131321639_765843284088690_7304573316606635699_n.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Android 12 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退出個人化廣告 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Android 12將嚴格禁止開發者存取已退出個人化廣告的廣告ID</span></strong></p> <p><a href="https://support.google.com/googleplay/android-developer/answer/6048248/advertising-id#zippy=%2Cpersistent-identifiers-including-android-id%2Ctargeting-devices-without-an-advertising-id%2Cadvertising-id-violations%2Chow-to-opt-out-of-personalized-ads">Google本周更新了Android平臺上的廣告ID（Advertising ID）政策</a>，指出從今年下半年釋出的Android 12開始，開發者將無法存取已退出個人化廣告的廣告ID，該政策初期將部署於支援Android 12的行動程式，但2022年初就會擴大到Google Play上的所有程式。過去，Android平臺就允許使用者退出個人化廣告，只不過Google並未嚴禁開發者存取使用者裝置的廣告ID，使得開發者依舊能夠根據廣告ID來追蹤使用者的行為。</p> <p>根據Google的新政策，只要Android用戶已經透過設定，選擇退出了個人化廣告，那麼Android平臺就會直接移除該裝置的廣告ID，因此，當開發者仍企圖存取裝置的廣告ID時，只會收到一串的0。由於許多開發人員是藉由廣告ID來分析程式用戶的行為，因此Google也準備在今年7月提供其它的解決方案，來支援開發者的分析及預防詐騙等功能。（<a href="https://www.ithome.com.tw/news/144830">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 貼文行銷工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 事件分析工具 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Linkedin發布貼文行銷工具，讓企業提升貼文觸及率並推廣活動</span></strong></p> <p>Linkedin近期針對自家社群網路貼文發佈了行銷工具，讓企業可以對更高互動性、更具時效性的貼文，直接從頁面增進貼文的觸擊率，只需按一個按鈕並填寫付費資訊即可，不需要學會使用任何新的行銷工具。Linkedin也發布了行銷解決方案Event Ads，主要包含了三大特色，一是能向相關從業者或決策者來推廣特定活動，二是能凸顯活動的相關資訊，比如日期、時間、如何參加等，還能讓用戶了解與自己相連結的其他用戶是否有興趣參加，三是能讓活動發布者了解已經點擊、瀏覽甚至註冊活動的人數有多少。同時，Linkedin也以自家資料為基礎，新增了事件分析工具（Event Analytics<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.linkedin.com/help/linkedin/answer/128559" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7"> </span></a>tool）的功能，提供行銷者或活動組織者，所發布活動事件的用戶觸及、參與度和組成等綜合分析結果，讓行銷人員能在未來更好的規劃行銷策略。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="3" href="https://business.linkedin.com/marketing-solutions/blog/linkedin-news/2021/-boost-your-organic-content-and-promote-your-events-with-new-lin" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/boosting-PR-500.png" style="width: 500px;" /></p> </div> <p><p></p></p> <p><p></p></p> <p><p></p></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Apple、Google、臉書、Linkedin</p> <p>資料來源：iThome整理，2021年6月</p> </div></div></div>
2021/6/21 16:21作者翁芊儒https://www.ithome.com.tw/news/145128
警方利用實聯制簡訊資料追蹤嫌犯行踨惹爭議! 指揮中心要求警方監聽時主動排除使用實聯簡訊資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自國內疫情警戒升至三級，基於防疫需要，指揮中心要求各場所全面落實實聯制，以供疫調使用，行政院推出簡訊實聯制，讓民眾出入各場所可以快速發送簡訊至1922，完成實聯制登記，由於簡訊實聯制涉及民眾行蹤、隱私，政府保證僅作為疫調使用，且保留28天即刪除資料。近日卻有法官當吹哨者，指出簡訊實聯制恐遭警方濫用，用於辦案以追蹤嫌犯的行蹤。NCC澄清警方依通訊保障及監察法規定，得以監聽特定對象的所有通訊內容，和疫情指揮中心為疫調所設置簡訊實聯制並不同，不可混為一談。為免產生誤會，指揮中心也要求警政機關基於通訊監察取得實聯制簡訊資料，應主動排除使用。</p> <p>一名任職於地方法院強制處分庭的法官，負責審核警方聲請的搜索票，近日向媒體投訴，在刑事警察局搜索票聲請書中，警方欲以簡訊實聯制的簡訊鎖定嫌犯行蹤，質疑簡訊實聯制被濫用的不當行為，也違反當初政府強調簡訊實聯制僅作為疫調使用的承諾。</p> <p>由於民眾進出各場所發送簡訊實聯制，等於自主將什麼時間，出入在什麼場所，主動上傳到簡訊實聯制系統，如果遭到防疫以外的目的使用，就可能導致原本為疫調之用的實聯制資料遭濫用，政府監控、侵犯民眾隱私等爭議。</p> <p>對此引發的爭議，刑事警察局強調並未向疫情指揮中心調取簡訊實聯制相關資料用於犯罪偵查，而是依據通訊監察保障法，經警方通過監察發現，嫌犯使用受通訊監察的行動電話，在特定地區曾發送1922實聯制簡訊商家代碼，加上通訊監察所取得曾在特定區域出現的資料，派員到現場實際比對商家代碼，調查嫌犯實際出現地點，過程均依通保法取得的通訊監察資料，為經過實際核對，調查嫌犯行蹤的偵查必要手段。</p> <p>NCC也在周末緊急澄清，1922簡訊實聯制資料係依疫情指揮中心基於防疫需要，向五大電信調閱實聯制資料，刑事局並未向指揮中心調閱，各家電信業者除了指揮中心疫調之用外，也未提供1922簡訊實聯制資料給其他單位使用，政府並未違反承諾。</p> <p>NCC指出，刑事警察局依據通訊保障及監察法規定，得向法官申請通訊監察書，在法官同意下，在其通訊監察系統下，對被監察的對象監聽或看到其所有通訊內容，其中包括1922簡訊，而疫情指揮中心基於防疫需要，設立的簡訊實聯制系統，兩者蒐集的目的及範圍並不同，不能混為一談。</p> <p>NCC官員強調，依據通訊保障及監察法規定，警方只能在法官同意之下，對特定的監察對象進行監聽，雖然包括1922簡訊資料，並非隨意調閱簡訊實聯制的資料。NCC強調簡訊實聯制為科技防疫的目的，謹限定防疫使用，最小化蒐集資料，僅保留28天，NCC將督促電信業者受理任何資料調取之前，應遵守法律相關規定。</p> <p>換言之，警方雖不能向指揮中心或電信業者調閱簡訊實聯制系統內的資料，但卻可以依照通保法規定，在法官同意之下，依通訊監察系統對特定的對象監聽其行動通訊行為，包括發送到1922的簡訊資料，用於犯罪偵查使用。</p> <p>對於此一爭議，中央疫情指揮中心副指揮官陳宗彥昨日指出，刑事警察局的確沒有向指揮中心調閱簡訊實聯制資料，刑事警察局是依通訊監察，在法院同意下，取得嫌犯的簡訊資料，根據實聯制簡訊的商家代碼，實地一家一家比對，對詐欺案進行調查。他強調指揮中心不會同意簡訊實聯制的任何疫調外使用，刑事警察局也沒有向指揮中心申請使用。但為了避免外界誤會，指揮中心已請警政署通令各警察機關，雖然通訊監察屬於合法，但在疫情期間，若通訊監察資料出現實聯制簡訊資料，主動排除使用。</p> <p>儘管，目前指揮中心已要求警政署通令各警察單位排除使用實聯制的簡訊資料，但警方依通保法取得這些簡訊資料仍是合法，且先取得資料才主動排除，而非從根本上來禁止實聯制的簡訊資料被取得，仍有實聯資料被濫用、侵犯民眾隱私的風險。</p> <p> </p> </div></div></div>
2021/6/21 16:51作者蘇文彬https://www.ithome.com.tw/news/145136
報導：美企業被勒索軟體勒索可減免稅賦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體成了近年企業最頭痛的威脅，<a href="https://apnews.com/article/technology-business-government-and-politics-d8c1e9958ad1e89eab83f44e6ca70a94" target="_blank">美聯社報導</a>，美國政府似乎有個少為人知的政策：企業如果因勒索軟體攻擊而支付贖金，繳稅時可獲得減免。</p> <p>美國國稅局（IRS）並沒有頒布正式指引，但美聯社指其訪談的多位稅務專家指出，因繳了勒索軟體贖金而減免在現有法律及指引下是可被允許的。此外一些稅務律師及會計師則稱，這對勒索軟體受害企業是「一線曙光」。</p> <p>不過也有人對此不會太開心。例如聯邦調查局（FBI）就主張不應付贖金。他們擔心減免作法可能等於鼓勵企業付贖金給勒索軟體駭客，至少讓企業無所適從。</p> <p>這項規定的確可讓企業鬆一口氣。現今勒索軟體駭客胃口愈來愈大，動輒開口數百萬美元。美國燃油管線營運商<a href="https://www.ithome.com.tw/news/144276" target="_blank">Colonial Pipeline</a>及全球最大肉品供應商<a href="https://www.ithome.com.tw/news/144752" target="_blank">JBS</a>分別在5、6月遭勒索軟體攻擊，勒索約440萬和1100萬美元。而前者事件也迫使美國政府宣布國家緊急狀態。此外台灣製造業也成了歹徒的提款機，包括<a href="https://www.ithome.com.tw/news/143355" target="_blank">宏碁</a>、仁寶、<a href="https://www.ithome.com.tw/news/141517" target="_blank">鴻海</a>和<a href="https://www.ithome.com.tw/news/143958" target="_blank">廣達電腦</a>也都外傳被勒索數百萬美元。</p> <p><a href="https://unit42.paloaltonetworks.com/ransomware-threat-report-highlights/" target="_blank">Palo Alto Networks今年一項報告估計</a>2020年企業平均付出的金額為31萬美元，較前一年成長171%。而去年單一家企業支付最高金額則成長了一倍，由500萬增至1,000萬。去年歹徒索取的最高金額則來到3,000萬美元。</p> <p><a href="https://www.ithome.com.tw/news/144826" target="_blank">美國司法部最近表示</a>，有鑒於勒索軟體對政府和企業威脅日增，評估將勒索軟體攻擊的調查優先順序，提高到和恐怖主義攻擊相同層級。</p> </div></div></div>
2021/6/21 13:38作者林妍溱https://www.ithome.com.tw/news/145130
德州部分電力公司自遠端調整用戶家中恆溫器的溫度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然還沒有正式進入夏天，但全球各地的氣溫已節節升高，美國已有許多州的氣溫創下歷史新高，也造成電力不堪負荷，不過，上周就有德州民眾向媒體投訴，家裡的恆溫器被電力公司自遠端調高了設定溫度。</p> <p>結果是因為這些民眾都加入了由EnergyHub所發起的德州智慧節省者（Smart Savers Texas）活動，當參與該活動時，就允許電力公司在電網吃緊時自遠端控制用戶的恆溫器，並換取抽獎機會。EnergyHub可協助電力公司處理傳統集中與新興的再生能源電力，並支援電力公司與客戶之間的互動，包括 TXU Energy、CenterPoint與ERCOT等電力公司都採用EnergyHub的技術。</p> <p><a href="https://gizmodo.com/texas-power-companies-are-remotely-raising-temperatures-1847136110?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">EnergyHub在提供給Gizmodo的聲明中解釋</a>，Smart Savers Texas是與恆溫器製造商及安全業者合作，推動使用恆溫器的消費者參與該活動，以在電力吃緊時減少能源的使用。消費者通常是透過行動程式或電子郵件得知該活動並選擇加入，同意在電網壓力過大時，最多把恆溫器的溫度調高4度，這是消費者主動選擇加入的，也隨時可以退出。</p> <p>其中，CenterPoint Energy就坦承，曾在6月16日時通知EnergyHub，要求該公司減少參與Smart Savers Texas活動的消費者家中電力損耗。</p> <p>這件事提醒消費者，在授權任何服務時，都應該要好好檢視條款內容。</p> </div></div></div>
2021/6/21 13:51作者陳曉莉https://www.ithome.com.tw/news/145131
南韓核子研究室被北韓駭客從VPN漏洞駭入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaeri.re.kr/board/view?menuId=MENU00326&linkId=9181" target="_blank">南韓政府上周指出</a>，一個從事核武及核能燃料技術的研究單位，被駭客利用VPN漏洞駭入網路，其中至少一個和北韓有關。</p> <p>南韓原子能源研究所（Korean Atomic Energy Research Institute，KAERI）上周指出，入侵事件發生於5月14日，但是直到5月31日才被發現。研究所使用的VPN漏洞被不明人士從13個外部IP連線開採，以存取其內部網路。</p> <p>KAERI表示，發現異常連線活動時已立即切斷。初步研究發現，13個來源IP中，有一個和北韓網路間諜組織KimsukyAPT有關。KAERI表示已經和其他有關單位展開調查，但並未說明細節，包括使用的是哪種VPN，或是是否有系統或文件遭到存取。</p> <p>KimsukyAPT又稱為Thallium、Black Banshee和 Velvet Chollima，最早是在2012年被發現。上個月安全廠商<a href="https://blog.malwarebytes.com/threat-analysis/2021/06/kimsu" target="_blank">Malwarebyte發現</a>這個駭客組織對南韓政府單位的重要人士發動精準釣魚攻擊。受害單位包括南韓外交部、南韓貿易部長、南韓駐香港領事館、以及和KAERI有關的國際原子能總署核子安全辦公室等。</p> <p>上個月南韓貿易、能源及基礎架構部長<a href="https://www.theregister.com/2021/05/12/south_korea_security_review/" target="_blank">曾緊急召開會議</a>，要求立即檢視該國能源基礎架構的網路安全。該部部長表示，是因應美國Colonial Pipeline遭勒索軟體攻擊而做的安全體檢要求。</p> <p>這也是近日最新一起VPN漏洞遭開採導致的被駭事件，今年以來美國政府前、後警告國家駭客利用<a href="https://www.ithome.com.tw/news/143629" target="_blank">Fortinet SSL VPN</a>、<a href="https://www.ithome.com.tw/news/143971" target="_blank">Pulse VPN</a>和<a href="https://www.ithome.com.tw/news/142630" target="_blank">SonicWall VPN</a>的漏洞入侵企業或政府網路。</p> <p>上周<a href="https://www.ithome.com.tw/news/145021" target="_blank">CNBC</a>也報導美國能源部的核子武器安全外包商Sol Oriens五月間遭勒索軟體REvil攻擊，導致資料外洩。</p> </div></div></div>
2021/6/21 13:57作者林妍溱https://www.ithome.com.tw/news/145132
烏克蘭警方逮捕6名涉及操作Clop勒索軟體的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.npu.gov.ua/news/kiberzlochini/kiberpolicziya-vikrila-xakerske-ugrupovannya-u-rozpovsyudzhenni-virusu-shifruvalnika-ta-nanesenni-inozemnim-kompaniyam-piv-milyarda-dolariv-zbitkiv/" target="_blank">烏克蘭政府在上個月宣布</a>，已與國際刑警組織（Interpol）、南韓及美國的執法機關合作，破獲了Clop勒索軟體集團，逮捕並起訴了6名涉嫌參與Clop勒索軟體操作的嫌犯，關閉了Clop用來散布病毒及勒索的基礎設施，也扣押了這些嫌犯的資產。<a href="https://www.ft.com/content/de3b7a60-e38d-43a0-ad85-348fbed90d67" target="_blank">金融時報分析</a>，這應該是史上首個針對勒索軟體集團大規模展開逮捕行動的國家，將對其它國家造成壓力，例如被視為勒索集團中心的俄羅斯。</p> <p><a href="https://unit42.paloaltonetworks.com/clop-ransomware/" target="_blank">Clop</a>現身於2019年，攻擊對象涵蓋美國、歐洲、加拿大、亞太地區與拉丁美洲的零售、交通物流、教育、製造、工程、汽車、能源、金融、航太、通訊及法律領域的各式組織。</p> <p>根據資安業者<a href="https://www.ithome.com.tw/news/144088" target="_blank">Coveware</a>今年第一季的調查，Clop在今年第一季名列全球第四大勒索軟體，市占率為7.1%，前三大則依序是REvil（Sodinokibi，14.2%）、Conti（10.2%）與Lockbit（7.5%），Clop在今年竄起的主因為該集團大幅利用Accellion的檔案共享系統FTA（File Transfer Appliance）的安全漏洞發動攻擊，雖未加密受害者系統但盜走了機密資訊，並且向受害者索討高額贖金。</p> <p>烏克蘭指出，Clop集團在2019年攻擊南韓的4大業者，加密高達810個伺服器與個人電腦，並於2021年攻擊美國史丹福大學醫學院、馬里蘭大學與加州大學。</p> <p>全球警方關閉了Clop集團用來散布惡意軟體的基礎設施，也封鎖了該集團與受害者交流的頻道，並針對操作Clop的嫌犯進行大規模的搜索，扣押了電腦設備、汽車與現金，並逮捕6名嫌犯。</p> <p>金融時報認為烏克蘭的舉動將會對俄羅斯造成壓力，美國、加拿大、英國、法國、德國與日本的七大工業國組織（Group of Seven，G7）已於日前呼籲俄羅斯應該要追究境內勒索軟體駭客的責任，指責這些駭客不僅向全球發動勒索軟體攻擊，濫用加密貨幣來替贖金洗白，並涉及其它的網路犯罪行為，且美國相信不管是攻擊美國最大燃油管道系統Colonial Pipeline的DarkSide，或者是攻擊全球最大肉品業者JBS美國子公司JBS USA的REvil，都是俄羅斯的駭客集團所為。</p> </div></div></div>
2021/6/21 14:13作者陳曉莉https://www.ithome.com.tw/news/145133
【臺灣資安大會直擊番外篇】如何成為資安長？台灣大資安長揭這些能力是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位轉型風潮下，資訊安全威脅日益嚴峻，促使企業越加重視資安，甚至設置專責資安工作的單位與高階主管職位。台灣大哥大資安長陳啓昌在臺灣資安大會上，以自己一路走來累積的資安長工作經驗，向有意晉升資安長，成為企業核心管理團隊一員的資安人，分享資安長須具備哪些能力和觀念。</p> <p>了解資安長需具備哪些能力與態度前，陳啓昌先提出資安治理金字塔，來說明不同資安管理階層的職責。資安治理金字塔分為三層面向，從上往下看，分別是戰略、戰術到底層的維運。他表示，每個資安治理層面對應著不同的職位，且每個職位負責不同的工作內容。</p> <p>最頂端的戰略層面對應的是，資安長、處長以上的職位，負責規畫企業中長期的資安發展方向；接著，戰術面對應的是部長或經理級職位，負責執行年度專案；再來，維運面對應的是課長或副理，負責每日維運工作。</p> <p>陳啓昌表示，從時程來看，越上層的職位要關注的時間軸越長，廣度也越高，而越下方職位關注的單點深度則越深。因此，資安長如果只看年度專案，便無法顧及自身職位負責的中長期方向規畫，所以，他特別強調，資安長需清楚高層未來想做什麼，才能提早布局、培養團隊具備相對應的資安能力，確保資安能量可滿足業務發展。</p> <p>陳啓昌以自身2月接任台灣大哥大（簡稱台灣大）資安長後，面對的職務內容為例。因了解高層要積極發展5G、IoT服務，他便著手開始培養有能力進行5G滲透測試與IoT檢測的團隊。他表示，資安長該著眼的是3到5年後的需求，而不是只管理今年的專案規畫，像是EDR導入等專案。</p> <p>此外，因了解高層對區塊鏈、5G等議題有興趣，他更曾利用連假拼命研究新技術，了解技術採用上會面對的資安問題，而因應台灣大現與許多新創合作，他也協助高層評估可能面臨的資安議題，以便事前做準備。</p> <p><span style="font-size:28px;"><strong>找出問題的最合適解法，是獲得高層信任的關鍵</strong></span></p> <p>談到資安長可為公司帶來的價值，他認為，資安長需先認知到找問題和解問題的區別。很多人認為，能發現問題就很厲害，但他提醒，如果向高層提出公司資安上的缺失，卻缺乏可改善問題的解法，對高層來說，知道這些問題的意義不大，因為沒有解法就沒有任何改變。對於只有想到找問題的資安長，他認為：「必須調整心態。」</p> <p>他表示，資安長須為公司解決資安上的問題，而不是單純找問題，因為「老闆知道的問題不會比較少，找你來是要解決問題。」</p> <p>「所有事物沒有100分的答案、最佳解，只有最合適的解。」陳啓昌自己一直用這樣的信念，督促自己為公司找尋更好的解決方式，而這樣的態度更成為他獲得高層信任的關鍵。他強調，「沒有老闆的信任，很難做資安。」</p> <p>除了不斷找尋問題更好的解法，資安長也需隨時間推移，在各階段交出不同的成果，來獲得老闆信任。陳啓昌提醒，高層在各階段著眼資安長有不同的表現。一般來說，資安長到任第一年，需提出資安發展方向的計畫；到任第二年，須落實規畫；第三年之後，需持續改善規畫落地後不足之處。</p> <p>現在許多企業發展新業務時，也會需要評估日後可能面臨的資安風險。陳啓昌提到，「資安最難的是說Yes，」不過，他提醒，資安長要盡量避免以資安問題為由，向高層說該業務推動不可行，反之，應向高層提出推動該業務需要哪些資源，以及有什麼解決方案，而若是受限法規，應讓高層了解法規面限制，他強調，業務最終能否推行應由高層做決策，不過，資安長應讓老闆了解所有的風險和選項。</p> <p>資安長對上扮演幕僚，充分提供資訊，而在向下管理上，「相信專業，並充分授權，」也是陳啓昌認為一名資安長須具備的觀念。他表示，資安長需相信部屬，授權部屬承接事務，且給予部屬發生錯誤的空間，讓他們從錯誤中學習求進步。</p> <p>但，他也提醒資安長需建立代理人與接班人制度，確保任何一名人員離開都不會威脅公司營運，包含自己在內，他強調，資安長需確保自己離開公司後，至少半年內都不會發生維運問題，他直言，如果資安長一離開就出現重大問題，「那就是資安長失職了。」</p> <p>隨著資安長職務經驗的積累，陳啓昌也逐漸感覺到，許多資安作法常無效率，所以，他進一步學習各種IT治理的框架，他表示：「資安為骨，治理為肉，」資安可以確保底子不跑掉，但要讓肌肉長得順，容易施力，需靠IT治理，因此，他建議資安長們，「把IT治理內容套用在資安。」</p> <p>臺灣各企業近年紛紛導入資安管理國際認證標準ISO 27001，陳啓昌提醒，導入標準外，還需確實了解標準的內容，才能真正地掌握每件事是否有缺失。</p> <p>為了確實了解標準，陳啓昌每年會熟讀認證標準逾10次，甚至背條款，再針對每件事列出相關聯的條款，以真正熟悉標準的內容。他表示，資安長需練習如何將所學的理論，應用在工作上，把理論與現實結合，甚至轉化為可以依循的資安制度，他也進一步提醒，如果學習認證標準卻沒有與工作結合，「就白學了。」</p> <p>像是他把自身當作服務提供商（SP），就是從IT治理學習得出的心得。他建議資安長把自己當作SP，列出自身可為公司提供之服務的清單，再與高層提出的服務要求清單對照，兩方吻合了才能彰顯資安長的價值。</p> <p><span style="font-size:28px;"><strong>溝通力不可少，練習用舉例來說明專業術語</strong></span></p> <p>陳啓昌更提到，資安長與非技術人員溝通時，要用對方容易理解的方式，他打趣的比喻就是「要講人話」。特別是與高層的溝通更要留意，他強調，若使用對方聽不懂的術語，則溝通效果不彰。也就是說，資安長需練習如何與人溝通，不能只會用專業術語。</p> <p>陳啓昌自己就經常用舉例的方式與高層溝通，以說明抽象的IT治理概念為例，他會用一家餐廳為比喻，IT容量不足，就像是椅子量不足，就很難支撐大量顧客的狀況，而IT可用性不夠就用椅子壞掉來描述，讓這些抽象IT概念更加具體來說明。</p> <p>懂得與人溝通還不夠，陳啓昌提醒，還要考慮每個人熟悉的領域，與不同人溝通使用的詞語也要有差異，須找出雙方的共同語言。</p> <p>陳啓昌回溯自身溝通能力的養成，有賴職涯的經歷，一個是在英國標準協會（BSI）擔任稽核員，另一個是擔任資策會、BSI等單位的講師，讓他累積了許多演講經驗，培養與人溝通的能力。</p> <p>過往的工作經歷除了讓陳啓昌具備擔任資安長，不可欠缺的溝通能力外，也讓他體認IT與資安密不可分的關係。進入台灣大前，陳啓昌在104人力銀行擔任資安長，除了管理資安工作外，他也管理IT基礎建設，這段經歷讓他體會IT的辛勞。</p> <p>他比喻，IT就像背著一堆黑鍋的烏龜，當中的辛酸外人很難體會。特別是基礎設施團隊，平時團隊確保網路順暢大家沒有感覺，甚至覺得這是應該的，然而，網路一旦斷線，抱怨聲就四起。他提醒，IT是推行資安重要的夥伴，資安人必須尊重IT，才能找到與IT相處的平衡，共同合作解決資安問題。</p> <p>針對想爭取成為資安長的資安人，陳啓昌也分享自已求職的經驗，像是撰寫履歷和面試時需留意的事項。比如說，自傳部分要避免流於基本自我介紹的呈現，他直言，這樣的履歷表無法引起面試官的興趣，自傳一開場更要點出重點，吸引面試官往下看。此外，撰寫過往工作經驗的內容時，需避免使用大量的形容詞，他建議，使用量化數字呈現過去工作上的成就，才具說服力。</p> <p>接到面試通知後，更不可鬆懈，像他自己在面試前的準備，包含搜尋面試企業的新聞、產品、業務等訊息，還有企業高層的資訊也需一併掌握。他表示，面試過程中，面試官對面試者掌握企業資訊的程度，「會有感覺。」</p> <p>另外，他建議，面試者要事先設想面試官會提出的問題，掌握哪些問題對自身不利，以準備簡短答覆的內容，把問題帶到對自身有利的另一個問題，來控制面試節奏。他強調，做這麼多事前功課，就是要盡量「控制面試場合，不被面試官帶著走。」</p> </div></div></div>
2021/6/21 07:00作者黃郁芸https://www.ithome.com.tw/news/145082
2個數據看IT即戰力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本政府在幾年前，對全國各產業數位化程度展開了大規模的評估研究，想要了解日本產業未來的競爭力情況，結果出爐後，眾人都嚇一跳。這項研究發現，如果沒有解決老舊系統帶來的包袱，從2025年開始，每年對日本經濟將會造成12兆日圓損失的影響。日本政府稱其為「2025懸崖」（英文為2025 Digital Cliff）考驗，因此，傾全力展開了全國各產業的數位轉型。</p> <p>為了追蹤轉型成效，日本經產省更找來學界，在2019年發表了一份DX推動指標（DX是指Digital Transformation數位轉型之意，而非數位體驗），內容涵蓋了三十多類，超過60項的質性或量化指標，都定義出5級發展成熟度，可供企業逐一自評，也可彙整後進行比較，作為衡量日本各產業數位轉型程度的參考指標。</p> <p>日本這套DX推動指標，不只是一種衡量轉型成效的工具，所列出的指標，也是日本政府希望鼓勵企業發展數位轉型的項目。換句話說，DX推動指標就是一套可供企業訂定數位轉型發展方向和重點的指南。</p> <p>但在臺灣，要如何衡量企業的數位轉型程度呢？有沒有什麼數據或指標可作為了解臺灣各產業發展進展？可惜還沒看到如同日本政府這般的國家級數位轉型框架和指標。</p> <p>不過，借鏡這份DX推動指標的想法，我們也試圖在每年例行的iThome CIO大調查中，增加了幾項可用來衡量企業IT能力的量化指標，讓企業CIO們自評，希望透過長期累積之後，能夠記錄和反應臺灣大型企業的數位轉型發展情況。</p> <p>過去我們已經長期累積了企業IT預算、數位轉型投資金額、企業雲端化程度、數位轉型成熟度、AI成熟度等多種DX相關的指標，參考日本的DX推進指標，我們在2020年增加了兩項指標，營運決策數據新鮮度和開發敏捷度。前者是指企業高層決策用的營運數據，可以多快更新，後者則是用企業自己開發的應用系統，可以多頻繁發布一次新版本或一次小更新。而這兩個數據都可以用來反映出一家企業的IT即戰力。</p> <p>尤其在去年，疫情突如其來衝擊全球，變動成了新常態IT的日常，為了圍堵疫情，政府抗疫決策也得經常緊急調整，禁航、封城、管制措施等都可能今天宣布，明天就要開始實施。零接觸、遠距需求不只改變了消費者習慣，更影響了企業運作的方式。如何及時因應局勢，營運決策數據就成了影響高層決策速度的關鍵，更快掌握情報，就能更快應變。</p> <p>根據我們今年CIO大調查，高達58.4%的臺灣大型企業，可以做每天更新營運決策數據，比去年53.1%的比例還要高。甚至有2成企業可以做到即時更新，這也代表了這些企業的營運數據彙整流程，已經從資料蒐集的第一線，打通到最後一哩，成了高層戰情儀表板上的情報。</p> <p>高層有能力更快做出決定，也需要IT部門能快速支援業務部門的開發需求，才能落實這些決策，這就是為何需要搭配另一個指標「開發敏捷度」的緣故。根據調查，今年也有2成企業有能力做到單日發布新版的頻率，而且醫療業有能力做到單日更新的比例更達到3成。雖然系統更新幅度或大或小，但要有能力在一天完成發布到上版，意味著企業從開發到維運的作業流程，得比過去更有效率，也要更自動化才行，這正是近年，敏捷開發、DevOps越來越熱門的緣故。</p> <p>更快掌握營運情報，更快反應新需求來推出新服務，新常態未來局勢如何跌宕變化，目前還無人可預期，但IT即戰力領先者，有能力比其他人走的更快、也更遠。</p> <p><strong style="color: rgb(51, 153, 255);"><span style="font-size: 22px;">相關報導 <a href="https://www.ithome.com.tw/article/144549" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1026-23-feng_mian_p1-dou_zi_-open-960x420_kao_bei_.jpg?itok=rM6idsQ0" style="width: 550px;" /></a></span></strong></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144841" target="_blank"><strong style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1028-19-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=tI-KHbE5" style="width: 550px;" /></span></strong></a></p> <p class="rtecenter"><strong style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/145008" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1029-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpeg?itok=LMZhe6yr" style="width: 550px;" /></a></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dx%E6%8E%A8%E5%8B%95%E6%8C%87%E6%A8%99">DX推動指標</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B">數位轉型</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E6%A1%86%E6%9E%B6">數位轉型框架</a></div><div class="field-item odd"><a href="/tags/ithome-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome CIO大調查</a></div><div class="field-item even"><a href="/tags/cio">CIO</a></div></div></div>
2021/6/21 07:00作者王宏仁https://www.ithome.com.tw/voice/145083
AWS發布低程式碼工具Workflow Studio，有助於快速建立分散式應用程式狀態機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了Step Functions新的低程式碼視覺工具<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-step-functions-workflow-studio-a-low-code-visual-tool-for-building-state-machines/">Workflow Studio</a>，讓開發者能夠使用更直覺的方法，以狀態機建置可擴展的分散式應用程式。</p> <p>Step Functions是AWS在2016年底推出的無伺服器函式協調工具，開發者藉由學習和使用Amazon狀態語言（Amazon State Language，ASL），在Step Functions建構工作流程。為了簡化創建工作流程的過程，AWS現在推出了Workflow Studio，這是一種低程式碼的視覺化工具，能以互動式的介面引導開發者簡易學習Step Functions，並且更快速地建構工作流程。</p> <p>官方提到，雖然Step Functions可以清楚地視覺化分散式應用程式的程序，但是開發狀態機卻不是一個能夠視覺化的過程。而Workflow Studio則讓開發人員，可以更簡單地建構無伺服器工作流程，使得開發人員可以專注設計商業邏輯，減少編寫工作流程的定義程式碼，以及建立資料轉換的時間。</p> <p>Workflow Studio特別適合剛接觸Step Functions的開發人員，可以更快地完成第一個用例，加速學習效率，而有經驗的開發人員也能夠因為Workflow Studio，受惠於視覺化的幫助，提升開發效率。使用者除了可以使用Workflow Studio設計流程原型，與團隊共享之外，也可以用來設計狀態機樣板。</p> <p>使用Workflow Studio時並不需要真的部署所有資源，只有當建立好狀態機，並且準備就緒的時候才需要完成全部操作。Workflow Studio簡化了企業應用程式的建構過程，諸如電子商務平臺、金融交易處理系統和電子醫療服務，同時降低了在工作流程中，使用AWS服務建立容錯、可擴展應用程式的複雜性。用戶在Workflow Studio視覺化工作流程中，能簡易地取用各種AWS服務，針對AWS服務和API呼叫進行配置，並且轉換工作流程中的資料流。</p> </div></div></div>
2021/6/19 20:52作者李建興https://www.ithome.com.tw/news/145112
Google釋出AppSearch函式庫，讓開發者在Android加入複雜搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在於Android開發工具包Jetpack中，加入了<a href="https://android-developers.googleblog.com/2021/06/sophisticated-search-with-appsearch-in-jetpack.html">AppSearch函式庫Alpha測試版本</a>，現在開發者已經可以下載測試，這個由Google開發的裝置端的搜尋函式庫，使用高效能且豐富的全文搜尋功能。</p> <p>AppSearch能用來管理本地端儲存的結構化資料，其提供索引資料和全文搜尋的API，開發者可以利用AppSearch，以自定義應用程式中的搜尋，即便離線的時候，也允許使用者進行離線搜尋，因為AppSearch資料完全儲存在裝置上。另外，AppSearch不只使用較低的I/O數，與SQLite相比，對大型資料集索引和查詢的延遲也較低，且SQLite必須對每一種資料類型發出一次查詢，而AppSearch只要一次查詢，就可以擷取多種類型的資料。</p> <p>由於AppSearch預設支援多國語言，因此即便儲存和搜尋的內容包含多個語言，AppSearch也能夠正確的查詢並且回傳相符的資料。在AppSearch中，開發者必須要創建稱為Documents的資料庫，來管理結構化資料，並且使用結構類型（Schema Type）來定義結構化資料。</p> </div></div></div>
2021/6/19 09:05作者李建興https://www.ithome.com.tw/news/145110
【臺灣資安大會直擊】奧義智慧揭露運用威脅情資的新作法，找出逾3成的金融詐騙威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年農曆新年前夕，傳出不少冒名臺灣金融單位的詐騙簡訊攻擊事故，且有民眾因此信以為真，依照簡訊內容的指示更換網路銀行的密碼，而將帳號和密碼洩露給歹徒，不久後銀行帳戶的存款即被盜領。但此起攻擊行動的細節，目前卻鮮少資安業者提出看法。在今年的臺灣資安大會上，奧義智慧針對他們從今年年初開始，透過威脅情資（Cyber Threat Intelligence，CTI）進行的相關研究，來揭露此次事故的有關發現。</p> <p>為何奧義智慧會使用威脅情資來進行研究？一般而言，威脅情資能讓企業得知更多攻擊者的特徵，但奧義智慧科技資安研究員林殿智表示，若是直接當作黑名單來辨識威脅，有可能在攻擊手法變化快速的現況下，效果大幅降低，而這卻是現在企業最常見的運用方式之一。林殿智分享該公司運用威脅情資的經驗：轉換使用的方法，將這些情資用來做為調查的材料，進而加速辨別金融詐騙網站的速度。而在比對F-ISAC的情資後，他們宣稱已在F-ISAC公布之前，找出了逾3成的相關威脅。</p> <p>那麼，他們鎖定金融詐騙的動機又是如何？林殿智說，CCCSIRT（CyCarrier Computer Security Incident Response Team）團隊於年初發現，近12個月全世界的偽冒網站數量大幅增加，而且駭客特別偏好鎖定金融產業為目標，這樣的攻擊行動很可能在臺灣發生，因此，他們藉由取得的CTI來進行調查。</p> <p>由於攻擊者更換惡意網域或IP位址的情況相當常見，但企業最常見運用CTI的方式，就是當做黑名單使用，一般人很容易將未被發現的部分視為無害。林殿智表示，他們觀察到新生成的惡意網站每秒就有9個，換言之，這種情況企業很可能會將有問題的網站放行。因此，林殿智說，企業應該轉換使用威脅情資的方式，將這些資訊用於調查。</p> <p>奧義智慧如何運用他們取得的情資來進行分析呢？林殿智當場提出4個幾可亂真的網域名稱為例，讓臺下聽眾評斷那些是惡意網域名稱，結果沒有人猜對。但不只是聽眾無法辨別，林殿智指出他們於4月使用免費線上惡意軟體分析服務VirusTotal來分析這些網域名稱，所得到的偵測結果都是無害。</p> <h2><strong>藉由CTI比對地理位置、IP位址、註冊網域名稱所有者的電子郵件信箱等特徵，來進一步判斷</strong></h2> <p>而在奧義智慧分析的過程裡，林殿智說，經過他們的比對之後，發現當中有些網域的來源IP位址，同時註冊多個不同疑似銀行的網域名稱，也有網域名稱的來源IP位址曾被CTI指認用於網路釣魚攻擊，透過這些分析，他們察覺這些可能有問題的網域。</p> <p>但該公司究竟如何做到運用情資來進行調查的呢？林殿智表示，大致上流程可區分成4個階段，包含了監控、快篩、調查及追蹤，以及最終結果的回饋等。首先，企業應該要進行監控，了解內部網路發生的事件，並利用主動情資（Proactive Intelligence）收集相關事件。</p> <p>什麼是「主動情資」？就是可疑、但無法斷定為惡意的資訊。由於這部分包含了尚未標記的未知情資，像是新註冊的網域名稱，或者是DNS紀錄更改的情況，這個部分的工作，奧義智慧主要是運用自家發展的Threat Wall的NDR流量監控設備，來收集有關情資。</p> <p>由於上述監控過程得到的資料相當多，林殿智說，接著就要藉由「快篩」，也就是早期偵測機制，才能集中資源在真正需要調查的事件上，這個過程不做深入的行為分析。而在早期偵測的過程中，奧義智慧採用了機器學習來比對釣魚網站，以及Domain Generation Algorithm（DGA）攻擊。</p> <p>林殿智舉出他們利用網域的地理位置來快速分析網站的例子：臺灣真實企業網域對應的地理位置超過7成是臺灣，但有另一個網域名稱極為相似、疑似假冒臺灣企業的網域名稱，地理位置卻完全沒有對應到臺灣，由此他們判斷是有問題的網站。有了這種快篩的做法，他們運用到今年農曆新年的金融詐騙，而在F-ISAC發布情資之前察覺被用於網路釣魚的惡意網域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/domain-fast-geo.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/domain-fast-geo.jpg" style="width: 580px; height: 297px;" /></a></p> <p>在經過快篩之後，奧義也利用自家的CyberTotal系統調查、追蹤，然後將這些情資回饋給名為Whoscall Watchmen的預警服務。而這樣做的原理是什麼？林殿智表示，他們運用了「一粒老鼠屎法（汙染法）」，以及「物以類聚法」，來找出網域是否存在威脅，其原理就是利用攻擊者會重複利用資源的特性，像是IP位址、網域名稱，以及電子郵件信箱等，來分析該網域名稱是否與其他CTI得知的威脅是否有所關連。</p> <p>林殿智表示，在他們如此安排調查流程之下，該公司先藉由快篩將需要調查的網域名稱數量降至99個，再藉由自動化調查系統把關後，認為疑似有問題的網域名稱為26個，最後再交由人工確認，有23個是真正有問題的網域名稱，精確程度接近9成（88%）。而與F-ISAC提供的偽冒臺灣的金融機構網站相比，他們找到的有13筆相符，占公布的38筆約3成4。由此來看，在這套過濾機制之下，找到確實有問題的網站算是相當精確，但與F-ISAC提供的資料相比，比例似乎不高。</p> <h2><strong>如果單純套用威脅情資，卻未考慮時間與地區差異，有效性恐大幅降低</strong></h2> <p>一般來說，威脅情資記錄了攻擊的行為、動機，或者是攻擊手法，通常包含了來源IP位址、網域名稱，以及雜湊值等入侵指標（IoC）。這些情資的來源，可能是事件的調查報告、惡意程式分析報告，或是蜜罐（Honeypot）收集而來的結果。但林殿智指出，這些情資存在著局限性，以致企業取得之後，能夠用來識別威脅的效果相當有限。</p> <p>林殿智表示，CTI會受到生命週期、觀測位置，以及已知範圍的影響。生命週期的部分，是當攻擊者註冊即將使用的惡意網域名稱時，攻擊尚未發生，威脅情報業者無從得知將會被用於攻擊行動；直到攻擊事故發生後，經過威脅情報業者調查之後，才會發布CTI。然而，等到企業取得有關情資後，一旦攻擊者棄用這些IP位址和網域名稱，這些警告就有可能變成雜訊，而影響情資的有效性。而這種情況有多嚴重？林殿智引用了威脅情資公司Cyren於2018年的統計作為印證，當中顯示約有半數的惡意網域名稱在一天之內就會消失。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cti-lifecycle.jpg" style="width: 580px; height: 249px;" /></p> <p>而在威脅情報業者所得到資料，也很容易被地理位置和主要市場等因素左右。林殿智舉出比對F-ISAC的資料為例，他們將該單位提供偽冒臺灣金融機構的網站情資，與VirusTotal比對，截至4月1日，後者僅有12.2%回報率。</p> </div></div></div>
2021/6/19 00:35作者周峻佑https://www.ithome.com.tw/news/144968
Visual Studio 2022預覽版來了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在開發者已經可以安裝最新的<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-preview-1-now-available/">Visual Studio 2022預覽版</a>，這是第一個64位元的Visual Studio，微軟希望開發者可以下載試用，並且回報使用狀況。微軟提到，這個預覽版的主要目的，是要測試和調整64位元平臺的可擴展性。</p> <p>由於64位元的Visual Studio 2022能夠擴展使用所有系統資源，特別是在處理複雜解決方案和長時間使用Visual Studio時，因此微軟必須要確保Visual Studio在使用大量資源下，仍然可以維持其可靠性。微軟表示，轉換到64位元上，影響了Visual Studio的每一個部分，因此這次的預覽，會比一般預覽的範圍更大。</p> <p>也由於Visual Studio 2022升級成64位元，開發者就能夠在Visual Studio中開啟超大型且非常複雜的解決方案，過去Visual Studio版本的用戶，會因為記憶體不足而失敗，而在Visual Studio 2022的早期測試中，用戶可以開啟包含700多個專案的解決方案，並且執行IDE長達數天。</p> <p>Visual Studio 2022預覽版可以與先前的Visual Studio版本同時安裝，無論是社群版、專業版還是企業版都沒問題，並且現在供開發者目前免費使用。官方提到，目前還有少量的Visual Studio 2019功能，尚未搬遷到Visual Studio 2022中，不過開發者可以先嘗試使用IntelliCode等新功能，現在IntelliCode甚至能夠一次完成一整行程式碼。</p> </div></div></div>
2021/6/18 20:00作者李建興https://www.ithome.com.tw/news/145109
微軟在臺剖析Kubernetes資安風險，近年K8s攻擊技術手法有3大面向值得關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著輕量虛擬化的容器技術（container）成為熱門應用，管理容器化的Kubernetes（K8s）系統也備受關注，而了解容器化環境的各種威脅與安全風險，更是成為近年矚目焦點，特別的是，在2020年4月，微軟仿效MITREATT&CK，發布了Kubernetes攻擊威脅矩陣（Threat matrix for Kubernetes），期望剖析攻擊面，並建立業界面對容器資安威脅的共通描述語言。</p> <p>相隔一年，微軟首度更新K8s攻擊威脅矩陣，今年4月該公司首席雲端解決方案架構師李匡正提出更多說明，闡釋K8s值得關注的安全議題。</p> <h2><strong>值得關注的安全議題，包含網路安全政策、敏感資料與應用程式面</strong></h2> <p>基本上，K8s攻擊威脅矩陣參考MITRE ATT&CK框架，將相關攻擊技術手法系統予以歸納，各戰略階段名稱幾乎與ATT&CK相同，但與現行ATT＆CK相比，數量顯然較少。</p> <p>以K8s攻擊威脅矩陣而言，目前最新版共畫分10個階段（第一版為9個階段），從入侵初期、執行、權限提升、防禦逃避、憑證存取、發現、橫向移動、收集，以至最終的衝擊，並統整歸納出48個技術手法（第一版為40項技術手法）。</p> <p>而在這些統整的這些K8s攻擊技術手法中，近年有那些安全議題值得關注？李匡正表示，可從三大面向著手，包括：網路安全政策、敏感資料保存與應用程式面。</p> <p>首先，是在網路安全政策方面，以攻擊手法而言，是列為發現階段的Network Mapping，以及橫向移動階段的Clusterinternal networking。</p> <p>對於網路安全政策面的資安風險，李匡正表示，部署於同一K8s叢集的Pod與Pod之間，預設是允許相互連線，也就是不會有任何攔阻，而這樣的設計並不安全。</p> <p>他進一步解釋原因。以傳統規畫機房為例，每個網段可能會配置防火牆，作業系統本身有防火牆，而在雲端每個虛擬網路的網段，也都會有類似網火牆的機制。</p> <p>因此，在K8s 1.7版本之後，CNCF基金會開始定義Network policy規格，來因應這樣的需求，而這等同於實體網路環境中防火牆的角色，可定義Pod與Pod之間流量進出規則，市面上，已有多套實作Network Policy的機制，李匡正表示，若以Azure Kubernetes Service（AKS）為例，微軟本身的相關實作，稱為Azure Network Policy，也支援Calico專案。</p> <p>他特別提醒，雖然開發人員在測試環境中會盡量簡化應用程式的架構，不過在正式營運環境中，需考慮到透過這樣網路政策，預設就要擋掉所有對外及對內的流量，在依照政策規則，開放特定網路埠供特定的Pod來使用。</p> <p>第二個常見的風險，在於敏感資料保存方面的K8s Secrets，而對應的攻擊手法，主要是列於該威脅矩陣中，在憑證存取階段的List K8s Secrets。</p> <p>李匡正說，K8s提供給開發者用來存放敏感資訊的機制稱為Secrets，可存放access token、帳號密碼與資料庫連線字串等機密資訊，不過，由於K8sSecrets預設並沒有加密，只是用Base64編碼寫入，因此懂得寫程式的人，都能用Base64解碼的方式將這些機密還原。</p> <p>因此，在K8s的相關文件，已經強調須使用加密的方案來達到安全。李匡正表示，在Azure環境當中，他們提供了HSM硬體加密的Azure Key Vault，可與K8s Secrets結合應用。</p> <p>同時，雖然套用加密，但在存取時還是會解密，因此，做到以角色為基礎的存取控制（RBAC）就相當重要。他舉例，在開發測試環境中，往往可能為了除錯方便，而沒有做到細部的存取管控，但是，到了正式環境，存取管控千萬不能省略，不論是開發人員、系統管理人員的權限，都需要被定義清楚。</p> <p>因此，對於K8s Secrets的基本安全防護，他提醒，必須使用加密解決方案，以及制定嚴謹存取權限管控。</p> <p>第三個常見的K8s資安風險面向，是在應用程式方面，對應的攻擊技術手法有4項，分別是入侵初期階段的Using cloud credentials、Compromised images in registry與Application vulnerability，以及橫向移動階段的Container service account。</p> <p>在雲端環境中，系統管理員對於整個叢集的管控上，用戶驗證機制如何設定？是否開啟多因素驗證？都是至關重要的事情，還有惡意映像檔的風險，包括：下載來歷不明的映像檔，或是容器映像檔建立時本身已經被發現有資安漏洞，當用戶從網路上的免費Docker Hub下載這些映像檔使用，有可能會造成嚴重的問題，而上述面向，經常是攻擊發起點。</p> <p>李匡正也提醒大家注意應用程式的弱點，雖然這與容器無關，不過，當應用程式有弱點，且一併進到K8s環境之際，這些弱點也會浮現。</p> <h2><strong>需仰賴多重防護配合，以達到安全性要求</strong></h2> <p>對於上述K8s攻擊面的防護，雖然初期測試環境可能很簡單，但在正式環境下需要注意一些細節，因為要做到相關的要求，背後其實是要有多重防護的配合。</p> <p>以Azure環境而言，例如：包含Azure Firewall Subnet、Azure App Gateway Subnet，可控制由內往外的網路流量、搭配網站應用程式防火牆（WAF）保護，以及在Azure　Kubernetes Serveice Subnet中，將透過內部負載平衡器來連接，並藉由Calico提供網路政策給Kubernetes使用，透過Azure AD Pod Identity，讓Pod存取各項Azure服務。之後，再經過Azure VNET內部私有IP位址，存取Azure File與Azure Container Registry。</p> <p>李匡正特別強調，要讓人員經手接觸機密資訊的機會降低，透過CI/CD工具將整個環節串起來，而微軟本身也使用WhiteSource公司發展的Bolt，來執行開放原始碼軟體套件的資安監控。此外，他也提醒，開發測試與正式營運應完全分開，避免共同環境底下的資安風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1As）微軟K8s攻擊威脅矩陣-修.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961As%EF%BC%89%E5%BE%AE%E8%BB%9FK8s%E6%94%BB%E6%93%8A%E5%A8%81%E8%84%85%E7%9F%A9%E9%99%A3-%E4%BF%AE.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962As%EF%BC%89%E5%BE%AE%E8%BB%9FK8s%E6%94%BB%E6%93%8A%E5%A8%81%E8%84%85%E7%9F%A9%E9%99%A3-%E4%BF%AE.jpg" style="width: 600px;" /></p> <blockquote><p>李匡正表示，企業若要防護K8s攻擊，需注意多種機制的搭配，顧及許多細節才能要做到相關的要求，他並以Azure環境下來說明。同時，他也提醒，開發測試與正式營運的作業區應完全分開，避免因共同環境而產生資安風險。</p> </blockquote> <h2><strong>新增8項攻擊技術手法，以Sidecar injection最受關注</strong></h2> <p>由於今年微軟K8s攻擊威脅矩陣改版，對於相關攻擊技術手法的統整，作了更動，當中刪除3項並額外增加8項，似乎透露K8s在基本安全性的提升，以及新的威脅趨勢，當中有哪些變化值得關注？。</p> <p>李匡正表示，在本次改版當中，微軟已經移除了儀表板相關的攻擊手法，包括：Exposed Kubernetes Dashboard，以及Access Kubernetes dashboard。</p> <p>主要原因是，對於K8s儀表板方面的威脅，之前微軟已經建議，不要在網際網路上暴露Kubernetes儀表板，同時，只應授與儀表板服務帳號必要的權限等。</p> <p>以實際狀況來看，包括微軟AKS，以及Google Kubernetes Engine（GKE）等服務，現在都關閉K8s儀表板，用戶需從Azure Portal、Google CloudConsole來檢視資訊。同時，在新版K8s攻擊框架中，也用涵蓋範圍更廣泛的exposed sensitive interfaces，取代相關威脅。</p> <p>至於Access tiller endpoint項目被移除，主要是K8s應用程式管理工具Helm第3版中，不再需要使用API通訊工具Tiller。換言之，若是現在仍繼續使用Helm第2版與Tiller，在安全面是有疑慮的。</p> <p>關於新增的攻擊手法中，何者特別值得關注？李匡正表示，以Sidecar injection為例，目前Kubernetes邊車模式（Sidecar）大量用在Service Mesh，而在Service Mesh扮演邊車Proxy的Pod，如果被注入惡意軟體，代表主程式的所有網路存取，都可能會被這類資安威脅攔截，如此將造成很嚴重的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9FK8s%E6%94%BB%E6%93%8A%E5%A8%81%E8%84%85%E7%9F%A9%E9%99%A3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <blockquote><p>微軟Azure團隊於今年3月針對K8s威脅矩陣進行首度改版，相關彙整技術手法有些變化，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">新增8項並</span>刪除3項。<em>（圖片來源：微軟）</em></p> </blockquote> </div></div></div>
2021/6/18 17:34作者羅正漢https://www.ithome.com.tw/news/145099
Google發布採用AMD EPYC處理器的高性價比Tau VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布專門用於橫向擴展工作負載的高性價比虛擬機器系列<a href="https://cloud.google.com/blog/products/compute/google-cloud-introduces-tau-vms">Tau</a>，目前Tau系列虛擬機器中的第一個執行個體為T2D，使用第3代AMD EPYC處理器，官方提到，該執行個體比起目前公有雲上，用來擴展工作負載的其他虛擬機器，提供最佳的效能和工作負載總擁有成本（TCO）。</p> <p>即將加入Google雲端的Tau虛擬機器，對於擴展工作負載提供更經濟的Compute Engine選擇，讓用戶能夠在權衡效能和價格之下，降低交付應用程式的成本。這些基於AMD EPYC處理器的虛擬機器，提供x86相容性，用戶不需要因為改使用Tau虛擬機器，就要將應用程式移植到新的處理器架構。</p> <p>Tau虛擬機器具有極佳的擴展性，擁有多種預定義的類型，每個虛擬機器最多可以使用60個vCPU，每個vCPU則可以配置4 GB記憶體，並且提供32 Gbps網路頻寬，以及多種網路附加儲存選項，使得Tau虛擬機器可成為，處理橫向擴展工作負載的理想選項，包括網頁伺服器、容器化微服務、資料記錄處理、媒體轉碼和大規模Java應用程式等。</p> <p>主打高性價比的Tau，在具有32個vCPU和128 GB記憶體的虛擬機器類型，於us-central1地區的按需價格將會是每小時1.3520美元。</p> </div></div></div>
2021/6/18 16:29作者李建興https://www.ithome.com.tw/news/145106
Google本月二次修補已被開採的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google甫於6月9日釋出Chrome瀏覽器的安全更新，修補了14個漏洞，其中一個為已被開採的CVE-2021-30551，<a href="https://chromereleases.googleblog.com/2021/06/stable-channel-update-for-desktop_17.html" target="_blank">本周四（6/17）Google再度更新Chrome</a>，這次修補了4個安全漏洞，當中的CVE-2021-30554亦已遭到駭客開採。這是Google於本月修補的第二個Chrome零時差漏洞，也是今年第7個在修補前就被開採的Chrome漏洞。</p> <p>此一新的零時差漏洞CVE-2021-30554存在於WebGL，為一釋放後使用漏洞，根據Google的說法，已有一個針對該漏洞的攻擊程式流落在外。Google並未公開漏洞細節，僅允許特定的研究人員存取，目的是為了讓使用者有時間部署更新。</p> <p>本周修補的另外3個Chrome漏洞也都是屬於釋放後使用漏洞，只是它們分別存在於分享（CVE-2021-30555）、WebAudio（CVE-2021-30556）及TabGroups（CVE-2021-30557）功能中，漏洞獎金依序是1萬美元、7,500美元與1萬美元。至於CVE-2021-30554則是由匿名人士所提報，獎金未定。</p> </div></div></div>
2021/6/18 17:15作者陳曉莉https://www.ithome.com.tw/news/145108