iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

iMessage出現零點擊攻擊程式，蘋果更新眾多作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利組織禁忌故事（Forbidden Stories）與國際特赦組織（Amnesty International）安全實驗室（Security Lab）周日（7/18）<a href="https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/" target="_blank">公布了Pegasus專案調查報告</a>，指出有5萬名使用者遭到以色列駭客公司NSO Group的政府客戶鎖定，這些客戶企圖於這5萬名目標的手機上植入Pegasus間諜軟體，而且就算是使用最新的iPhone 12手機、安裝最新的iOS 14.6作業系統，都一樣被入侵，使得蘋果隔天<a href="https://support.apple.com/en-us/HT201222" target="_blank">（7/19）即針對iOS、watchOS、tvOS與Safari瀏覽器進行安全更新</a>。</p> <p class="rtecenter"><img alt="" src="https://neu-cdn-amnesty-org-prd.azureedge.net/cache/9/f/9/e/a/f/9f9eaf98c34348da46ca70e9ff728266ec7aa0e5.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">image: Amnesty International</span></p> <p>Pegasus主要是藉由手機上所安裝的行動程式漏洞進駐受害者裝置，例如臉書在2019年就曾<a href="https://www.ithome.com.tw/news/133908" target="_blank">控告NSO Group開採WhatsApp安全漏洞</a>，以於WhatsApp用戶的手機上植入Pegasus，隔年微軟、Google、思科、GitHub、LinkedIn、VMware與網際網路協會（Internet Association）更共同向法院提出意見陳述書（Amicus Brief）來<a href="https://www.ithome.com.tw/news/141807" target="_blank">力挺臉書與WhatsApp</a>。</p> <p>儘管資安社群同意iPhone可能已是全世界最安全的一般手機，然而負責該報告技術支援的國際特赦組織安全實驗室卻發現，NSO Group陸續開採了蘋果在iPhone上內建的程式，企圖植入Pegasus，從相片程式、iMessage、Safari到Apple Music，當中有一名手機被植入Pegasus的印度記者，拿的是執行最新作業系統 iOS 14.6的iPhone 12，透露出最近的iPhone機種或是iOS作業系統，都無法抵擋Pegasus攻擊程式。</p> <p>過去NSO Group的客戶經常利用惡意簡訊，將使用者導至含有Pegasus攻擊程式的網站，不過，根據該實驗室的鑑識，NSO Group的技術愈來愈精進，在2019年時，在iOS內建的照片程式產生特定流量之後，就會啟動可疑的程序，同年也發現它們透過iMessage的零時差漏洞展開攻擊，惡意程序通常是在執行可疑的iMessage帳號查找功能之後展開。</p> <p>2020年被用來遞送Pegasus的則是Apple Music，同樣是在Apple Music出現可疑流量之後，於iPhone上執行Pegasus。研究人員表示，他們無法判斷駭客是直接開採Apple Music，或者Apple Music只是沙箱逃逸與權限擴張攻擊鏈的其中一環，因為最近的研究顯示，諸如 iTunes Store等內建的程式可被濫用，以於脫離Safari沙箱限制時執行瀏覽器攻擊程式。</p> <p>國際特赦組織在追蹤這些受害者的手機時，發現惡意流量所存取的網域，都是屬於NSO Group的Pegasus網路基礎設施。</p> <p>雖然蘋果會定期修補各式安全漏洞，然而，研究人員卻發現針對iMessage零時差漏洞的攻擊程式於今年再度崛起，且相信這是Pegasus目前入侵iPhone的主要途徑。在今年感染Pegasus的iPhone用戶中，一名人權律師使用的是iPhone 7/iOS 14.3；一名記者使用的iPhone 6s在今年2月到4月間曾重覆被感染，且當中他已更新過iOS；一名法國的人權活動家使用的是iPhone 11/iOS 14.6；一名印度記者使用iPhone XR/iOS 14.6；另一名活動家手持Phone X /iOS 14.6；就算是拿最新的iPhone 12裝載最新iOS 14.6的一名印度記者，也一樣難逃Pegasus的侵襲。</p> <p>他們的手機都在iMessage進行可疑的帳號查找功能之後出現惡意程序（如下圖所示），且NSO Group不再使用自己的服務，而是採用Amazon CloudFront。研究人員認為，這代表著蘋果最近的幾款裝置或是iOS版本都含有零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-pegasus%20imessage.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;">image: Amnesty International</span></p> <p>蘋果很快地在周一（7/19）修補安全漏洞，所釋出的新版本包括支援macOS的Safari 14.1.2、iOS 14.7、watchOS 7.6與tvOS 14.7，蘋果並未說明此次的修補是否與Pegasus專案有關，也尚未公布所修補的漏洞細節。</p> </div></div></div>
2021/7/20 19:06作者陳曉莉https://www.ithome.com.tw/news/145763
國際特赦組織釋出能偵測手機是否感染Pegasus間諜程式的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與非營利組織禁忌故事（Forbidden Stories）一同發現5萬筆攻擊目標名單的國際特赦組織（Amnesty International）安全實驗室（Security Lab），在本周釋出了用來偵測Android手機或iPhone是否曾被Pegasus間諜軟體感染的<a href="https://github.com/mvt-project/mvt" target="_blank">Mobile Verification Toolkit（Mobile Verification Toolkit）</a>工具。</p> <p>MVT其實是個模組化的工具，它能夠簡化從Android裝置上取得及分析資料的程序，也能分析iOS備份及檔案系統的紀錄，主要用來辨識相關裝置是否曾被入侵過，特別是有否出現遭到Pegasus入侵的各種指標。</p> <p>因此，MVT不僅能解密已加密的iOS備份，也能處理及分析來自不同iOS版本、程式資料庫與系統上的紀錄，亦可從Android裝置上提取已安裝的行動程式，或是藉由adb協定存取Android裝置的診斷資訊。</p> <p>取得裝置與程式的紀錄之後，即可與已知的惡意指標進行比對，自動找出惡意的簡訊、所造訪的網站、程式程序或其它危害指標；針對這些所汲取的資料產生JSON紀錄，也會額外產生所偵測到惡意痕跡的JSON紀錄；建立提取紀錄的統一時間軸，以及惡意痕跡的時間軸。</p> <p>國際特赦組織強調，MVT是為了推動有共識的鑑識分析，主要供那些可能成為攻擊目標的受害者使用，特別是公民社會或是邊緣社群的成員，並不希望MVT被用來侵犯個人隱私，或是缺乏共識的個人，因此禁止它被用在對抗性取證。</p> <p>於是MVT採用了Mozilla Public License v2.0授權，該授權的其中一個條款就是只能在數據所有人的明確同意之下才能使用。</p> </div></div></div>
2021/7/20 16:23作者陳曉莉https://www.ithome.com.tw/news/145759
義大利博物館用AI評量畫作的受歡迎度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.enea.it/it/Stampa/news/beni-culturali-al-via-il-progetto-shareart-per-misurare-il-gradimento-delle-opere-d2019arte-con-l2019intelligenza-artificiale" target="_blank">義大利一家博物館</a>利用相機及人工智慧（AI）、大數據（Big Data）的技術，可更客觀分析展出的畫能否受到觀眾青睞，以及有多受歡迎。</p> <p>義大利波隆納博物館研究所近日使用一家廠商ENEA於2016年開發出的ShareArt，希望能在不需訪問參觀者情況下，協助觀畫研究。博物館方指出，對於觀畫，他們一直想知道包括人們欣賞畫會有哪些動作？人為和環境因素怎麼影響觀畫？傳統答案都只是猜測，希望以科技來回答這許多疑問。</p> <p>這套系統是以市售相機及後端AI及分析軟體組成。博物館選擇數個展廳作為實驗場所，將系統設置在展出的畫旁邊，拍攝並蒐集畫作周遭人們移動的資訊作為分析。這套系統蒐集的資料包括人們走向畫的路徑、畫作前聚集的人數、觀畫者和畫的距離及他注視畫的時間、觀畫者的年齡層、性別，或是臉上表情等等。蒐集到的資訊傳送到後端，研究人員可透過Web應用存取資料並以AI技術分析。<a href="https://www.bloomberg.com/news/articles/2021-07-15/new-museum-technology-collects-data-on-viewing-habits" target="_blank">數據顯示</a>，一般民眾一幅畫只會看個4、5秒，極少數才能吸引人們目光駐足超過15秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Crocefissione.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／ENEA</span></p> <p>對博物館方面來說，藉由了解參觀者的動作，也能作為布展環境及動線安排的改進憑據。</p> <p>而在2021年的今天，這套系統還多了個防疫控管的效用。它可即時辨識出展間內人群彼此距離是否太近或<a href="https://www.youtube.com/watch?v=U6_hKPPtMQQ" target="_blank">參觀者是否有戴好口罩</a>，若偵測到不符合規定者也會立即發出提醒。</p> </div></div></div>
2021/7/20 16:55作者林妍溱https://www.ithome.com.tw/news/145760
AWS正式推出雲端儲存區域網路Amazon EBS io2 Block Express磁碟區服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ebs-io2-block-express-volumes-with-amazon-ec2-r5b-instances-are-now-generally-available/">Amazon EBS io2 Block Express磁碟區</a>正式上市，如果與經最佳化EBS效能的R5b執行個體一起使用，就能夠在EC2上獲得最佳網路附加儲存效能。目前該服務已經在美東、美西和歐洲上市，亞洲則在新加坡和東京地區提供，AWS計畫陸續支援更多的商業地區，並且讓所有類型的EC2執行個體，都能連接到EBS io2 Block磁碟區。</p> <p>Amazon EBS io2 Block Express磁碟區，為AWS的下一代伺服器儲存架構，官方提到，這是一個在雲端建立的SAN。Block Express的目標是要滿足像是微軟SQL Server、甲骨文、SAP HANA和SAS Analytics on AWS這類超大規模，且I/O密集的關鍵部署需求。</p> <p>過去用戶必須要將多個磁碟區分散連結（Striping）在一起，才能獲得超過單一磁碟區的效能，而io2磁碟區則可以滿足關鍵任務應用程式的需求，不需要付出分散連結的管理成本，就可以獲得高效能磁碟區效能。而用io2 Block Express，用戶可以在雲端中獲得最高效能的區塊儲存，其吞吐量、IOPS和容量都是io2磁碟區的4倍，延遲為毫秒等級。</p> <p>io2 Block Express是目前EBS所提供的SSD磁碟區中，等級最高的一種，不只是磁碟區大小上限可以達到64 TiB，最大IOPS也能夠達256,000次，最大吞吐量則有4,000 MiB/s，官方解釋，新的Block Express架構透過使用SRD（Scalable Reliable Datagrams）協定的AWS Nitro系統執行個體，提供高效能和亞毫秒等級的延遲，該協定直接實作在特別用於EBS I/O功能的執行個體主機Nitro Card卡上。而Block Express還提供能以各種方式組裝的模組軟體和硬體建置區塊，使得用戶可以靈活設計系統，獲得更好的效能。</p> <p>不過io2 Block Express磁碟區仍有一些限制，像是用戶無法修改io2 Block Express磁碟區的大小或是預配置的IOPS，而且io2 Block Express磁碟區也不支援快速快照恢復功能，因此官方建議用戶在使用前，應該初始化這些磁碟區，以確保獲得完整的效能。</p> </div></div></div>
2021/7/20 17:07作者李建興https://www.ithome.com.tw/news/145757
吹哨者Edward Snowden呼籲應禁止國際間交易間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在非營利組織禁忌故事（Forbidden Stories）、國際特赦組織（Amnesty International）安全實驗室（Security Lab），以及全球17個媒體共同揭露Pegasus專案，指出以色列駭客公司NSO Group協助客戶以Pegasus間諜軟體監控記者、政治家或異議人士之後，美國吹哨者史諾登<a href="https://www.theguardian.com/news/2021/jul/19/edward-snowden-calls-spyware-trade-ban-pegasus-revelations#_=_" target="_blank">（Edward Snowden）在接受《衛報》專訪時呼籲</a>，國際間應該禁止間諜軟體的交易，事實上他認為，根本不該有商業間諜軟體這個產業的存在。</p> <p>NSO Group主要銷售各種間諜軟體及攻擊程式予各國政府，目的是為了協助這些政府對抗恐怖主義與犯罪活動，其中最知名的是可植入Android及iPhone手機的Pegasus間諜程式，它能搜括手機上的所有資訊與特定通訊紀錄，然而，卻陸續有調查發現，有些活動家或異議份子的手機也被植入Pegasus。這次禁忌故事與國際特赦組織取得了5萬筆成為Pegasus攻擊目標的電話號碼名單，並實際檢查當中的67支手機，發現有23支被植入了Pegasus，而這些手機卻是政治家、工會代表、異議人士或記者所有。</p> <p>此外，禁忌故事與國際特赦組織還辨識出5萬筆名單中約1,000筆的身分，當中約有85名為人權活動家、65名企業高階主管、多個阿拉伯皇室的成員、189名記者，以及600名政府官員與政治家，而且他們分布在全球逾50個國家。</p> <p>因為攜出美國國安局正在監控全球的機密文件，並公告天下，迄今仍流亡俄羅斯的史諾登，在得知Pegasus專案並接受《衛報》專訪時表示，傳統上，警方若要監控嫌犯，必須先入侵他們的家中、辦公室或汽車來安裝監聽器，而且通常要取得搜索票，然而，商業的間諜軟體讓監控變得非常的容易，幾乎能無風險地鎖定大量的民眾。</p> <p>史諾登認為，倘若不阻止這樣的行為，那麼未來也許遭到間諜軟體鎖定的目標不會只是5萬個，可能是5,000萬個，而且此事發生的速度可能超乎大家的想像。</p> <p>他也強調，Pegasus強大到一般人可能無法阻止它，就像國際間會限制核武的發展一樣，也應該要限制間諜軟體的發展，唯一的解決之道就是禁止國際間的銷售。</p> </div></div></div>
2021/7/20 15:50作者陳曉莉https://www.ithome.com.tw/news/145758
波音、福特、Marriott的律師事務所遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>客戶包括波音、福特、萬豪酒店的知名法律事務所<a href="https://www.prnewswire.com/news-releases/campbell-conroy--oneil-provides-notice-of-data-privacy-incident-301335655.html" target="_blank">Campbell Conroy & O'Neil上周公告</a>年初遭到勒索軟體攻擊，客戶生日及證件等個資可能已經外洩。</p> <p>Campbell Conroy & O'Neil （下稱Campbell）是知名企業律師事務所，客戶涵括500大財星企業，遍及汽車、航空、飛機製造、政府、工業及營建製造、零售等，如福特汽車、波音、艾克森（Exxon）、英國航空、安聯（Allianz）、萬豪酒店（Marriott）、Walgreens、Home Depot、Johnson & Johnson、輝瑞等。</p> <p>該公司今年2月27日首先發現網路遭到勒索病毒攻擊，導致系統或檔案被加密。經過外部安全廠商數個月的調查，於上周公告部份結果，並通知受影響的個人。</p> <p>Campbell指出，目前無法判斷攻擊者是否（但可能已經）存取或讀取過某些客戶的個資。這些資訊包括特定個人的姓名、生日、駕照號碼、社會安全碼、護照、信用卡資訊、醫療紀錄、健保資訊、生物辨識資料、線上帳戶名稱及密碼等。不同用戶可能曝露的資料各有差異，而許多客戶有不只一種資料「有被存取的風險」。</p> <p>Campbell未透露是何種勒索軟體為禍，目前也尚未有組織出面聲稱是其所為。</p> <p>這家律師事務所已經通報FBI，並對受影響的客戶提供24個月的個資外洩監控服務。</p> <p>大型律師事務所儲存及處理知名企業及個人的個資，是駭客的偏好目標。去年專門服務媒體及娛樂業的<a href="https://www.ithome.com.tw/news/137584" target="_blank">法律事務所Grubman Shire Meiselas & Sacks</a>遭到疑似Sodinokibi/ REvil勒索軟體攻擊，歹徒聲稱取得大量知名藝人的資料，包括聯絡電話、電子郵件、演出合約及NDA（保密協議）等資料共756 gigabytes。</p> </div></div></div>
2021/7/20 12:56作者林妍溱https://www.ithome.com.tw/news/145756
疫情假新聞滿天飛，Line如何用AI加速事實查核？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月疫情在臺灣瞬間爆發，全國進入三級警戒，確診人數史無前例來到三位數。但暴增的不只是病例數，還有各種假新聞。「光是5月，每天湧入Line訊息查證中心的人數就比之前高出3.6倍，」Line臺灣表示。</p> <p>一如病毒喜歡在人群間流竄，假新聞最常在通訊平臺蔓延。在臺擁有2千萬活躍用戶的Line，每天群組傳遞的訊息高達93億則，為避免成為假新聞培養皿，Line臺灣兩年前就聯手行政院和4家事實查核機構，成立訊息查證中心，來提供正確的新聞資訊。</p> <p>隨著疫情起伏，更湧出巨量待查核新聞，Line如何因應？</p> <p><span style="font-size:22px;"><strong>兩款AI模型分工，辨識文章相似度再分類給專家</strong></span></p> <p>答案是「靠兩套AI模型加速查核速度。」Line臺灣資料工程部資深經理蔡景祥指出，Line本身不進行訊息查核，而是透過自動化的機制，匯聚查核的結果供使用者檢閱。因此，Line訊息查證中心成立之初，就利用兩套自然語言預訓練模型，來進行近似文章辨識和文章分類。</p> <p>這麼做的原因是，新聞內容的真假，仍仰賴不少專家人工判讀，但許多假新聞都是同一則重複散播的訊息，因此只要辨識出這些文章的同一則來源，查核一次即可，省下大量人力的重工。</p> <p>如此，每當Line訊息查證中心收到一則文章查核通報，會先利用近似文章辨識的AI技術，來比對已查證過的新聞。只有當通報的新聞未經查證，Line訊息查證中心才會將文章分派給專家，來查證真偽。但這些專家擅長領域不同，有些專精政治、醫療，有些熟悉體育、娛樂。為將通報的新聞派送給合適領域的專家，Line也利用AI模型來分類文章，並將派送過程自動化。</p> <p>不論是文章辨識和文章分類工作，都要靠NLP技術才能提高準確度。一開始，Line使用BERT模型來執行這些任務，BERT是Google在2018年底發表的NLP經典模型，一問世就在各大基準測試排行榜上名列前矛，在各種自然語言理解任務創下佳績。採用Transformer架構的BERT，可雙向分析語言，理解力幾乎完勝過往任一NLP模型。</p> <p><strong><span style="font-size:22px;">原模型表現不理想，改用SBERT比對文章相似度</span></strong></p> <p>BERT問世後幾個月，Line很快就在自家訊息查證任務上，嘗試這項新技術。不過，「BERT在假新聞近似文章判斷，仍有進步空間。」蔡景祥指出，BERT雖有一定的辨識水準，但模型上線後出現不少狀況，比如使用者查詢特定主題新聞時，模型會給出不甚精準的答案。這促使Line團隊開始尋找其他解決方法，經過多方試驗和比較，他們決定改用BERT的變形模型Sentence-BERT（簡稱SBERT），來執行近似文章判斷任務。</p> <p>近似文章判斷又稱為語義文本搜尋（Semantic textual similarity），會利用不同指標來衡量一對句子的相似度。SBERT厲害之處在於「對句子的理解力更強，而非只聚焦單字本身，」Line臺灣資料工程部資料科學家吳肇中說。這是因為，SBERT採用孿生神經網路（Siamese Network），這種三元網路的結構更容易得到有意義的句子嵌入，辨識能力比BERT還要好。</p> <p><strong><span style="font-size:22px;">經三番試驗，文章分類採用BERT變形模型</span></strong></p> <p>不只在近似文章辨識的AI模型持續精進，Line在文章分類AI技術上也經過多次試驗，才找出目前的作法。Line研究了多款NLP模型，再進一步比較BERT、ELECTRA和一般主題分類常見的LDA等三種模型。他們發現，ELECTRA最符合「辨識精準、快速且模型不肥大的需求，」吳肇中說。</p> <p>ELECTRA這個NLP技術的來頭也不小。自2018年發表BERT後，Google時不時推出改良版模型，ELECTRA就是其一。有別於其他以遮罩（Mask）為主的改良版模型，ELECTRA的架構猶如生成對抗網路GAN，能靠生成器和鑑別器來分辨文句真偽，而且，「模型在分類上也有不錯的表現，」吳肇中表示。Google在發表ELECTRA的論文中更指出，其耗能比NLP經典模型BERT來得低，只需四分之一的運算資源就能達到SOTA表現。</p> <p>「這個優勢，非常適合新聞分類，」吳肇中強調。於是，他們利用事實查核中心提供的數千筆新聞分類資料訓練模型，大約1小時就完成訓練，部署來分辨文章類型。</p> <p><strong><span style="font-size:22px;">預訓練模型微調就能快速落地，但也有門檻</span></strong></p> <p>不論是ELECTRA還是SBERT，為應付不斷變動的假新聞用語和風格，Line甚至每天都會更新模型，以當日新增的資料來調整模型，讓模型更懂時下熱門話題。</p> <p>這就是預訓練模型的好處，因為已用大量、各式各樣的資料來訓練模型，因此，後續採用者只需少量資料，就能快速微調成出符合需求的模型。不過，「我們也曾從零開始訓練一套模型。」蔡景祥回憶，團隊曾在另一個專案中，自行收集、標註4,000多筆文字資料來訓練分類模型，但模型表現只有0.4、0.5。</p> <p>後來，Line臺灣團隊加碼擴大訓練資料量至1萬6千筆，模型表現才達0.7，勉強堪用。但在那之後，就算團隊收集再多資料，也無法提高模型準確度。蔡景祥點出，1萬6千筆標記資料的成本太大，不僅要投入大量人力標註，也要人工維護這些標註資料，「負擔很大。」</p> <p>但BERT預訓練模型就沒有這類問題。「同樣任務改用BERT，就不需要這麼多標記資料，幾千筆也能達到很好的效果。」在蔡景祥看來，採用預訓練模型比重建一套模型更經濟，也更有效率。</p> <p>不過，微調也不是一件輕鬆事。蔡景祥點出，只有專精特定領域的資料科學家才能做好微調工作。為了降低門檻，Line也藉助自動化機器學習工具AutoML自動挑選最佳參數組合，把省下來的人力專注在微調工作上。</p> <p><strong><span style="font-size:22px;">你沒注意到的小細節，都有BERT的影子</span></strong></p> <p>不只訊息查證使用BERT，Line許多功能也有BERT的影子。舉例來說，Line的光學文字辨識（OCR）服務就靠BERT來校正文字。它的原理是，先透過一套AI模型，在影像畫面中框出文字形狀，透過形狀來猜字，再靠另一套BERT模型計算字與字之間的機率，判斷合理性。要是兩字連著出現的機率太低，模型就會校正文字，提高辨識準確度。</p> <p>除此之外，Line在命名實體辨識（NER）上也運用BERT模型。所謂NER是指，從文章中辨識人名、地名、組織名等專有名詞的技術。NER雖然不是一套最終產品，但是個不可或缺的工具，很多服務和功能都會用到它。</p> <p>比如，Line有一套內部使用的NER工具，可從文章中挑出人名、地名、時間、機構名稱等名詞，自動轉為標籤，讓自家小編用來編輯相同主題的文章；而Line Today的每篇新聞，下方的#主題標籤也是靠NER先挑出候選關鍵字，再靠其他演算法排序挑選出來。</p> <p>在蔡景祥看來，NER是自然語言理解（NLU）的一部分，能讓電腦掌握更多文章訊息，作為下一個服務的元素。比如，NER可用來鎖定特定關鍵字，如麻辣鍋，如此能將麻辣鍋相關食記和麻辣鍋店家連結起來，發展出食記推薦餐廳的服務，供使用者參考。</p> <p>至此，Line臺灣累積不少BERT經驗，特別是訊息查證的近似文章搜尋和分類。他們希望將這個經驗擴散到更多服務，像是電商，透過自動分類、貼標、找出關鍵字等功能，來加速商品分類和推薦。</p> <p>近似文章搜尋也是，可用來推薦相同主題的文章，如食記、遊記等。蔡景祥更透露，團隊也在研究自然語言生成（NLG）等前瞻技術，衡量能否提供長文縮短、編寫摘要，甚至是短句生成的服務，「成為寫文章的好助手。」</p> <p><strong><span style="font-size:22px;">Line還有更大野心，要用Transformer通吃文字影像辨識</span></strong></p> <p>不只是臺灣Line團隊投入NLG技術的研究，一個多月前，Line母公司Naver舉辦線上AI技術大會，揭露了最新的NLG成果，發表了一套號稱是韓文版GPT-3的自然語言預訓練模型HyperCLOVA，具2,040億個參數，比公認的NLG指標模型GPT-3還要多。</p> <p>Naver AI研究中心的主管們，在大會上興致勃勃展示HyperCLOVA的各種用途。這個AI工具能與人類自然對話，能靠幾個關鍵字生成產品介紹，還能總結複雜的文件檔案。特別的是，HyperCLOVA能讓使用者選擇、組織用來訓練另一個AI所需的資料。Naver本身也在5月初，在自家網站部署HyperCLOVA，來提供自動更正錯字、推薦相關搜尋關鍵字的功能。</p> <p>Naver不只在這場大會秀最新技術，也宣示AI野心。Naver AI研究中心總監Jeong Seok-geun直言：「身為代表韓國AI科技發展的公司，我們將突破挑戰，聯手各界創造一個AI新時代。」</p> <p>HyperCLOVA就是一個新利器，Naver計畫要它學會更多語言，還要能看懂圖像和影片，來提供更人性化的企業服務。Line臺灣更透露，團隊目前正商討HyperCLOVA潛在的中文應用場景。文⊙王若樸</p> <p><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 快速認識科技巨頭力捧的Transformer</span></strong></span></span><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color:#3399ff;"> </span></strong></p> <p>Google在2017年提出Transformer模型，是一個把注意力機制發揮到極致的架構，專門用來處理序列型任務，如自然語言處理（NLP），效果更勝傳統RNN。隔年，Google以Transformer為基礎，發表一套NLP預訓練模型BERT，在各大基準測試（Benchmark）拿下榜首，劃下NLP時代分水嶺。此後，各種Transformer變形雨後春筍般湧出，像是臉書的RoBERTa、Google的XLNet、華為的TinyBERT，以及OpenAI的GPT-3，可說是遍地開花。</p> <p>GPT-3和BERT一樣，都取自Transformer架構，只是前者採用Transformer的編碼器和解碼器，因此能執行自然語言生成任務，如文章創作、摘要生成，而BERT只採用編碼器，因此擅長自然語言理解任務，如翻譯、問答等。</p> <p>不過，去年底，這些科技巨頭開始探索Transformer的另一個潛能，也就是影像辨識。Google去年底發表一篇論文，指出Transformer可媲美傳統影像辨識模型CNN。論文一出，立即引起ML社群議論，不少AI界指標性人物看好Transformer的多模態潛力。</p> <p>今年初，OpenAI用Transformer架構打造出可同時辨識文字和圖像的類神經網路DALL·E，Transformer正式步入多模態任務的解方模型。後來，臉書也接續發表可辨識文字和影像的模型DINO與PAW，而Google更在5月I/O大會上，揭露一款能同時辨識文字和影像的Transformer模型MUM，計畫要將MUM用來改善Google搜尋服務，將文字搜尋納入圖片資料，豐富使用者體驗。</p> <p>從這個趨勢看來，Transformer持續成為科技巨頭的熱門研究對象，甚至會引發新一波多模態模型革新。</p> </div></div></div>
2021/7/20 11:33作者王若樸https://www.ithome.com.tw/news/145753
美政府、盟國正式指控中國駭客駭入Exchange Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟Exchange Server 4項漏洞被駭事件將近5個月後，美國白宮連同歐盟、英國等盟國昨（19）日<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2021/07/19/the-united-states-joined-by-allies-and-partners-attributes-malicious-cyber-activity-and-irresponsible-state-behavior-to-the-peoples-republic-of-china/" target="_blank">正式指控中國政府支持駭客組織發動攻擊</a>，造成全球網路不安。</p> <p>參與指控的除了美國拜登政府外，還包括歐盟、英國、北約組織（NATO）。</p> <p>三月間微軟自曝Exchange Server 4項總稱為<a href="https://www.ithome.com.tw/news/143001" target="_blank">ProxyLogon的漏洞遭中國駭客組織Hafnium開採</a>，並釋出修補程式呼籲企業安裝。<a href="https://www.ithome.com.tw/news/143208" target="_blank">消息一出引發各路惡意人士</a>，包括勒索軟體組織趁機行動駭入未來得及修補的Exchange Server用戶。在最初的一個星期內，至少有3萬家美國政府及企業受害。</p> <p>美國及盟國將之歸咎於中國政府，指「有高度信心」認為與中國政府國務院有關聯的惡意行動者，利用微軟Exchanger Server的零時差漏洞執行了這次網路間諜行動。他們相信這個組織發動大規模行動，開採了這些漏洞以駭入全球十萬臺電腦及網路，導致大部份民間部門受害者付出極龐大的成本來復原損害。</p> <p>美國及盟國表示，已對「高層中國政府官員」表達對這次事件，以及中國更多方面的網路惡意活動的強烈關切，說明中國的行動已威脅網路世界的安全、信心和穩定。</p> <p><a href="https://www.ncsc.gov.uk/news/uk-allies-hold-chinese-state-responsible-for-pervasive-pattern-of-hacking" target="_blank">英國</a>和歐盟也分別發表聲明，指出評估境內針對Exchanger Server的駭入事件是兩個駭客組織，包括APT (Advanced Persistent Threat) 40和APT 31所為，顯示是來自中國。英國的國家網路安全中心（NCSC）明言中國的國務院是兩個駭客組織背後首腦，其中APT 40涉及美歐的海洋及海軍國防外包商攻擊，而APT31則與政府攻擊事件，包括<a href="https://www.ithome.com.tw/news/141949" target="_blank">2020年芬蘭國會被駭</a>有關。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server%20UK-600.jpg" style="width: 600px;" /></p> <p><a href="https://www.consilium.europa.eu/en/press/press-releases/2021/07/19/declaration-by-the-high-representative-on-behalf-of-the-eu-urging-china-to-take-action-against-malicious-cyber-activities-undertaken-from-its-territory/pdf" target="_blank">歐盟</a>並未指明中國政府的責任，僅要求中國政府採取適當行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server%20EU-600.jpg" style="width: 600px;" /></p> <p>連同這次宣布，<a href="https://www.justice.gov/opa/pr/four-chinese-nationals-working-ministry-state-security-charged-global-computer-intrusion" target="_blank">美國司法部也宣布控告</a>4名中國國務院有關聯的駭客長年參與鎖定涉及10多個外國政府以及航空、海洋、醫療、國防及教育等重要產業的網路攻擊行動。司法部指控任職海南國安局以及白手套企業的4名中國人，包括丁曉陽、程慶民、朱允敏、吳淑榮涉嫌策動駭客行動，以竊取西方國家重要商業資訊、產業機密、智財及公衛資訊，像是伊波拉病毒疫苗資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0720-china%20apt%20exchange%20server-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://www.justice.gov/opa/pr/four-chinese-nationals-working-ministry-state-security-charged-global-computer-intrusion" target="_blank"><span style="color:#696969;">美國司法部</span></a></p> <p>這次指控是西方國家行禮如儀對中國的公開譴責，事實上美國政府已多次指明中國政府支持駭客攻擊西方政府及產業。美國國安局（NSA）、聯邦調查局（FBI）及國土安全部下的CISA也配合白宮行動，<a href="https://media.defense.gov/2021/Jul/19/2002805003/-1/-1/0/CSA_CHINESE_STATE-SPONSORED_CYBER_TTPS.PDF" target="_blank">發布安全指引</a>，詳述50多項中國駭客攻擊的技術、手法及策略。</p> </div></div></div>
2021/7/20 12:45作者林妍溱https://www.ithome.com.tw/news/145755
跨國/跨媒體研究：起碼有23名政府官員或新聞記者的手機感染了Pegasus間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由非營利組織禁忌故事<a href="https://forbiddenstories.org/about-the-pegasus-project/" target="_blank">（Forbidden Stories）</a>負責協調，並在<a href="https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/" target="_blank">國際特赦組織（Amnesty International）安全實驗室（Security Lab）</a>的技術支援下，來自全球10個國家、17個媒體組織的逾80名記者在本周發表了一份鑑識報告，指出由以色列駭客公司NSO Group所開發的間諜軟體Pegasus，儘管宣稱只會用在調查恐怖主義與犯罪行動，但實際上至少有23支屬於記者、工會代表、政治家，或異議人士的手機成功被滲透。</p> <p>2010年於以色列創立的NSO Group主要研發網路情報技術，且強調只將相關技術授權給用來打擊犯罪及恐怖份子的政府，然而，加拿大多倫多大學的<a href="https://www.ithome.com.tw/news/125971" target="_blank">公民實驗室（Citizen Lab）在2018年的研究指出</a>，全球已有36個組織於45個國家以Pegasus進行監控，且監控對象不乏記者或異議人士，抨擊NSO Group助長極權國家對人民的控制，然而，NSO Group卻堅稱只有為了調查犯罪及恐怖份子的合法政府組織，才能取得該公司產品的授權。</p> <p>這次NSO Group顯然再度被打臉。Forbidden Stories將此一歷時數月的調查稱為Pegasus專案，起因為Forbidden Stories與Amnesty International 意外獲得了一個存放了5萬筆電話名單的資料庫，該資料庫為NSO Group客戶從2016年到2021年7月之間所監控的目標，當中有10家NSO Group客戶選中了位於20個國家的180名記者作為攻擊對象，由於Forbidden Stories並不確定名單中的目標是否已被滲透，於是籌畫了這項專案，實際取得並分析了其中的67支手機，發現有23支被成功植入了Pegasus，另有14支出現企圖滲透的痕跡。</p> <p>出現在資料庫中的10個NSO Group客戶包括巴林、摩洛哥及沙烏地阿拉伯等極權國家，以及印度、墨西哥、匈牙利、亞賽拜然，以及非洲的多哥與盧安達。</p> <p>Pegasus被資安社群視為史上最高明的間諜軟體，它可透過程式漏洞或誘導使用者造訪惡意網站，以安裝在Android或iPhone手機上，成功植入手機後，Pegasus理論上能夠存取手機上的所有資料並將它們傳送至遠端伺服器，從簡訊、電子郵件、WhatsApp聊天紀錄、照片、影片、GPS資料、行事曆到通訊錄等，而且還能夠啟用麥克風與攝影機，並記錄受害者的通話。</p> <p>Amnesty International的分析顯示，專門報導國防及外交新聞的匈牙利記者Szabolcs Panyi的手機在2019年曾被植入Pegasus，遭到監控的時期長達9個月；專門撰寫印度商業與政治新聞的印度記者Paranjoy Guha Thakurta的手機也在2018年被駭，Thakurta說，當時他正在調查已故印度首富Drirubhai Ambani的財務狀況，而且印度至少有40名記者在攻擊名單上；而兩名與沙烏地阿拉伯被謀殺的記者Jamal Khashoggi關係密切的女性，同樣也出現在資料庫中。</p> <p>此外，最近一次成功被滲透的手機是執行iOS 14.6的iPhone 12，這是蘋果甫於今年5月釋出的最新版iOS。</p> <p>當媒體向NSO Group求證時，NSO Group所聘請的律師Thomas Clare向<a href="https://www.washingtonpost.com/investigations/interactive/2021/nso-spyware-pegasus-cellphones/" target="_blank">華盛頓郵報</a>表示，禁忌故事與國際特赦組織所取得的電話名單，並非各國政府的Pegasus攻擊名單，而可能是NSO Group客戶作為其它用途的名單。</p> <p>參與Pegasus專案的17個媒體涵蓋《衛報》（<a href="https://www.theguardian.com/world/2021/jul/18/revealed-leak-uncovers-global-abuse-of-cyber-surveillance-weapon-nso-group-pegasus" target="_blank">The Guardian</a>）、《華盛頓郵報》、《<a href="https://thewire.in/government/project-pegasus-journalists-ministers-activists-phones-spying" target="_blank">The Wire</a>》、《Le Monde》及《Direkt36》等。</p> </div></div></div>
2021/7/20 11:58作者陳曉莉https://www.ithome.com.tw/news/145754
Google允許Android開發者延展強制採用Google支付機制的期限到明年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/140250" target="_blank">Google在去年9月時宣布</a>，將強制Google Play的程式開發者於今年9月底前採用Google Billing程式內購買機制，然而，在面對<a href="https://www.ithome.com.tw/news/145524" target="_blank">美國37個地區檢察長的聯手控告之際</a>，Google決定<a href="https://android-developers.googleblog.com/2021/07/apply-more-time-play-payments-policy.html" target="_blank">再提供6個月的寬限期</a>，但開發者必須主動提出申請。</p> <p>其實Google一直以來都要求在Google Play上架的程式，只要有提供程式內購買功能，就必須透過Google Play的計費系統進行交易，並支付一定比例的佣金予Google。在去年9月時，具備程式內購買功能的程式中，已有接近97%採用該系統進行，換句話說，當時的宣布是針對剩下的3%下最後通牒。</p> <p>不過，今年的7月上旬，美國36州再加上華盛頓特區的檢察長聯手控告Google違反反托拉斯法令，其中一項指控就是壟斷了Android程式的程式內購買機制，宣稱Google透過該機制將可永遠向開發者收取最高30%的佣金。</p> <p>雖然這是外界認為Google政策轉彎的原因，但Google有自己的說法。負責Play合作夥伴關係的Google副總裁Purnima Kochikar表示，儘管有許多合作夥伴都朝著9月30日的截止日穩定前進，但還是有些開發者在這一年來非常艱困，特別是那些處於COVID-19疫情嚴重地區的工程團隊，使得他們無法即時更新來配合該政策。</p> <p>在審慎評估所收集到的意見之後，Google決定允許開發者提出6個月的延展期，從今年7月22日開始便能提出申請，Google將會審核每一個申請案，若經核准便可將遵循該政策的期限，從今年的9月30日延後到明年的3月31日。</p> </div></div></div>
2021/7/19 19:45作者陳曉莉https://www.ithome.com.tw/news/145745
臉書的開源聊天機器人Blender Bot 2.0 具備即時搜尋與長期記憶能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在2020年開源了聊天機器人Blender，<a href="https://www.ithome.com.tw/news/137351" target="_blank">當時臉書號稱Blender是史上最強大的聊天機器人</a>，與跟人類聊天相較，有49%的評鑑人員表示更喜歡跟Blender聊天，<a href="https://ai.facebook.com/blog/blender-bot-2-an-open-source-chatbot-that-builds-long-term-memory-and-searches-the-internet/" target="_blank">而臉書在上周釋出了Blender 2.0</a>，大幅改善了Blender的記憶能力，它不僅能即時搜尋網路上的資訊，也能挖掘過去的聊天紀錄，讓它與人類之間的聊天不再限於短期記憶，而且還能夠增進知識。</p> <p>研究人員表示，現階段不管是AI文字產生器GPT-3或是第一代的Blender，於正在進行的談話中都能夠清楚地自我表達，並產生逼真的文本，然而，由於這兩個系統皆受限於過去被匯入的知識，因此它們的長期記憶是靜態的，例如它們都相信Tom Brady仍在為美式足球聯盟效力。</p> <p>此外，就算人類在昨天告訴了GPT-3或Blender 1.0某事，它們今天就會忘了，再加上演算法的缺陷，GPT-3與Blender 1.0很可能會非常自信地闡述不正確的資訊，形成知識上的幻覺。</p> <p>於是臉書的研究人員在BlenderBot 2.0新增了網路搜尋能力，可透過任何搜尋引擎來尋找各種知識，同時能將它寫進本地端的長期記憶庫，此外，它還能記得與使用者之間先前的討論。研究人員打造了一個新的神經模組，可根據使用者與機器人之間的聊天脈絡來產生記憶，在重新進入對話時，BlenderBot 2.0會先提取長期記憶庫的內容，再決定要添加些什麼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-blenderbot2-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_臉書</span></p> <p>因此，倘若使用者之前曾與BlenderBot 2.0討論過今年的奧斯卡金像獎，在頒獎典禮過後，BlenderBot 2.0可能也能討論得獎無數的《游牧人生》（Nomadland），該系統也比較不容易產生知識上的幻覺。根據測試，BlenderBot 2.0在取回與使用者上次聊天內容的能力上，比BlenderBot 1.0改善了17%，而在使用過去聊天內容的能力上則改善了55%。</p> <p>臉書強調，BlenderBot 2.0是全球第一個能夠產生網路搜尋查詢的聊天機器人，它的表現也擊敗了所有現有系統的對話能力。由於BlenderBot原本就能在對話中展現個性與同情，若再加上隨時更新的技術，以及日積月累的對話紀錄，聊天機器人很可能在不久的將來，就會成為人類的最佳聊天伴侶。</p> </div></div></div>
2021/7/19 18:34作者陳曉莉https://www.ithome.com.tw/news/145743
網頁應用程式防火牆Cloud Armor應用機器學習技術快速阻擋第7層DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其網頁應用程式防火牆Cloud Armor加入<a href="https://cloud.google.com/blog/products/identity-security/improve-your-ddos--waf-defense-with-new-cloud-armor-features">適應性保護（Adaptive Protection）</a>，這是一個基於機器學習技術的新功能，可以保護用戶的應用程式和服務，免受第7層DDoS攻擊。目前所有Cloud Armor用戶都可以在預覽期間，免費使用這項新功能。</p> <p>Google參考自家用來保護網站和服務，所採用的基礎設施、網路和技術，建置了Cloud Armor，以提供用戶DDoS防禦服務和網路應用程式防火牆（WAF）。由於要在威脅不斷進步的態勢中，讓邊緣網路獲得更完整的防護，新推出了適應性保護功能，能夠藉由早期偵測可疑流量，快速緩解攻擊。</p> <p>適應性保護以帶外（Out-Of-Band）方式監控流量，學習日常的流量模式，還不斷地更新每個應用程式和服務的基準，因此適應性保護功能，可以快速辨識可疑流量模式，而且同時提供用戶自定義規則，利用狹隘量身設計的功能，以接近即時的速度，減緩持續進行中的攻擊。</p> <p>暴露在網際網路上的應用程式和工作負載，便處於受DDoS攻擊的風險之中，雖然Google在其邊緣網路，防禦來自第3層和第4層體積型以及協定型的攻擊，但是仍難以防範第7層攻擊。在第7層攻擊中，攻擊者以高度自動化的方式，控制遭到入侵的裝置，這些裝置能夠產生合法的請求，塞爆網站以及服務，且隨著更易取得的DDoS攻擊工具，或是僱傭式的殭屍網路，這些DDoS攻擊的規模逐漸增加，成了嚴重的問題。</p> <p>這些攻擊可能來自數百萬個獨立IP，所以要以手動分類和分析，生成可以阻擋攻擊的規則，需要耗費大量的時間與資源，而借助機器學習技術的力量，適應性保護功能可以加快用戶對於第7層DDoS攻擊的反應速度，其主要提供3項功能，第1是當後端服務的基礎流量出現異常請求時，適應性保護能夠在早期發出警示，第2是能夠動態生成描述攻擊的特徵，第3則是建議用戶自定義WAF規則，來協助防堵違規流量。</p> <p>適應性保護的警示訊息，會送至Cloud Armor儀表板、安全命令中心以及Cloud Logging，通知用戶即將到來的攻擊。攻擊的特徵和WAF規則，則是來自於第2組機器學習模型的結果，包括數十種流量特徵和屬性，Google利用TensorFlow建置出適應性保護模型，能夠準確地偵測應用程式層級的攻擊，並且減輕攻擊帶來的影響。</p> <p>當用戶收到來自適應性保護所建議的WAF規則，能以接近即時的速度部署，以快速阻擋網路邊緣的攻擊，Google提到，這種早期偵測的能力，有助於減輕來自基礎設施和服務上游的攻擊。現在用戶只要在雲端控制臺的Cloud Armor區塊，勾選啟用適應性防禦，就能立刻開始免費使用。</p> </div></div></div>
2021/7/19 18:54作者李建興https://www.ithome.com.tw/news/145740
拜登指控臉書散布不實疫苗資訊「是在殺人」，臉書反擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國白宮負責協調COVID-19事務的Jeffrey Zients上周五（7/16）再度呼籲美國人應捲起袖子打疫苗，因為現在美國因為感染COVID-19而住院及死亡的人當中，幾乎全是沒有打過疫苗的，隨後美國總統拜登（Joe Biden）接受記者訪問時說出，像臉書這類散布不實資訊的社交平臺，正在殺人（They're killing people）。不過，臉書很快就反擊，指出美國臉書用戶對疫苗的接受度愈來愈高，都是該平臺的功勞。</p> <p>美國是全球少數超前部署COVID-19疫苗的國家，該國約有3.3億人口，但<a href="https://launchandscalefaster.org/covid-19/vaccinepurchases" target="_blank">疫苗購買數量超過14億劑</a>，代表美國的疫苗非常充足，然而，拜登原本期望在今年7月4日、美國的國慶日當天達到全美7成的疫苗接種比例，<a href="https://ourworldindata.org/covid-vaccinations" target="_blank">但截至7月17日</a>，只有48.14%的美國人打完兩劑，7.4%打完一劑，整體的疫苗接種率為55.54%。</p> <p>這使得<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2021/07/16/press-briefing-by-white-house-covid-19-response-team-and-public-health-officials-45/" target="_blank">Zients在簡報美國COVID-19疫情</a>時，再度呼籲民眾參與疫苗接種。原因除了上述之外，還包括最近這一周平均每天美國因COVID-19而住院的人數為2,790人，比前一周增加了36%，每天因COVID-19而死亡的人數也達到211人，增加26%，而且不管是住院或死亡人數，幾乎全都是沒有接種疫苗的人。</p> <p>Zients說，COVID-19已經成為未接種疫苗者的流行疾病，然而，不管是接種Moderna或BNT疫苗，都能夠有效地對抗感染COVID-19後的住院及死亡率。</p> <p>Zients把美國人不積極打疫苗的部份原因，歸咎為不實疫苗資訊的散布，這些危險的謊言將置美國人民的生命於險境，希望不論是社交平臺、新聞組織或是任何一個美國人，都能展開行動，鼓勵大眾施打疫苗。</p> <p>在<a href="https://www.cnbc.com/2021/07/16/white-house-says-facebook-needs-to-do-more-to-fight-vaccine-misinformation.html" target="_blank">媒體詢問拜登對此事的看法</a>時，拜登則說，現在唯一的流行疾病集中在那些未施打疫苗的人身上，臉書等社交平臺正在殺人。</p> <p>臉書很快就<a href="https://about.fb.com/news/2021/07/support-for-covid-19-vaccines-is-high-on-facebook-and-growing/" target="_blank">發表聲明</a>來捍衛自家平臺，指出美國有85%的臉書用戶都已經或打算施打COVID-19疫苗，拜登的目標是70%，臉書並不是拜登未達標的原因；臉書還說，英國與加拿大民眾的臉書使用率與美國相當，而這些國家的疫苗施打率都已經超過7成。換句話說，臉書是在打臉拜登無法說服民眾打疫苗還牽拖該平臺。</p> </div></div></div>
2021/7/19 19:08作者陳曉莉https://www.ithome.com.tw/news/145744
適用於電視的Android 12加入新的媒體播放功能，並且支援4K介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google除了推出適用於行動裝置的Android 12第3測試版，也針對<a href="https://android-developers.googleblog.com/2021/07/android-12-beta-3-for-tv-is-now.html">Android TV發布Android 12測試版本</a>，這個版本在加入新的電視媒體播放功能，同時改進了UI以及隱私控制。</p> <p>Google提到，對於電視來說，重點在於順暢無縫地播放高解析度媒體，而這個新版本添加3個新功能，來支援更好的播放品質。第1項新功能是提供用戶切換更新率的設定，Android 12現在支援無縫與非無縫更新頻率切換，開發者可以在應用程式整合這些配置，以獲得最佳影格播放速率，並透過呼叫display.getmode，得知用戶的裝置是否支援無縫更新頻率切換功能。</p> <p>Google終於改進電視裝置的回報顯示模型的方式，使熱插拔的行為更一致，第2項改善播放品質的更新，便是Android 12提供更好的顯示模式報告，應用程式開發人員不需要再使用旁門左道的方法，就可以精確地偵測顯示模式，或是處理HDMI熱插拔事件。Android 12中的通道模式也獲得更新，這項更新使得應用程式開發人員，更容易減少Android框架媒體處理的成本，使得內容播放更加一致有效率。</p> <p>Google也改善了Android TV的介面提供模糊特效，開發者可以使用RenderEffect，在應用程式中模糊背景，或是使用WindowManager在跨視窗的時候模糊背景，來強化不同UI層的視覺分離。而且為了增加視覺效果，Android TV OS正式在相容裝置上，支援以4K解析度渲染UI，讓開發者在應用程式中提供更好看的介面。</p> <p>電視第3測試版本中的許多隱私控制來自於Android框架，像是麥克風和攝影機指示器，用戶現在可以在電視螢幕上的指示器，知道應用程式正在使用麥克風和攝影機與否，用戶也可以在隱私配置中，查看最近應用程式存取麥克風和攝影機的紀律。另外，在這個版本，用戶可以使用麥克風和攝影機開關，來快速關閉或是開啟應用程式對這兩裝置的存取，這是Android新的全域隱私設定，當開關被關閉時，應用程式皆無法取用麥克風音訊或相機影像。</p> </div></div></div>
2021/7/19 19:14作者李建興https://www.ithome.com.tw/news/145741
Google開源用於遊戲伺服器溝通的UDP代理Quilkin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源新專案<a href="https://cloud.google.com/blog/products/gaming/introducing-quilkin">Quilkin</a>，這是與遊戲公司Embark Studios合作開發的UDP代理，以支援高效能即時多人遊戲。Quilkin將原本單體式遊戲伺服器與客戶端中的安全、存取控制、遙測和指標分離出來，讓開發者以組合和配置的方式，提供這些通用功能，並在各種多人遊戲中重複使用。</p> <p>Google解釋，傳統的作法，即時多人遊戲的專用遊戲伺服器，使用特別的UDP協定，提供遊戲內玩家間的通訊，並且與伺服器同步資訊，這種通訊通常綑綁在單體遊戲伺服器和客戶端中，並且結合安全性、控制存取、物理模擬、人工智慧計算等功能。在快節奏的多人遊戲中，遊戲對話的完整模擬，通常發生在單體專用遊戲伺服器的記憶體，由於遊戲狀態都在記憶體中，因此每個客戶端都直接連接到遊戲伺服器，但這帶來幾個問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Quilkin_max-1900x1900.jpg" style="width: 500px;" /></p> <p>由於專用遊戲伺服器都是單點故障，因此故障出現，則整個遊戲對話都會失敗，而這成了惡意攻擊者的攻擊目標，而且連接到遊戲伺服器的IP和埠口都是公開的，直接暴露給遊戲客戶端，因此容易讓外部發現而遭到鎖定。另外，遊戲伺服器模擬和網路通訊等部分都在同一程序中，難以重用和模組化，同時增加效能問題風險。</p> <p>不過這些問題，可以在多人UDP流量中部署代理伺服器來解決，包括透過提供冗餘通訊入口點，來提升可靠度，讓UDP資料封包同時發送到任意數量的代理，再路由到遊戲伺服器，當遊戲伺服器出現單點故障的時候，代理能夠改善通訊層的冗餘和故障轉移來解決。</p> <p>增加代理也提升了安全性，遊戲專用伺服器的IP和埠口不需要公開，遊戲客戶端只能看到代理池子集，因此限制了潛在的攻擊面，而且使用代理也能獲得足夠的擴展性，透過分解單體程序，將通訊協定、指標、通訊安全和存取控制等各功能，轉移到代理中，讓遊戲伺服器能夠在運算循環中，刪除非遊戲的運算。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2_Quilkin_max-2000x2000.jpg" style="width: 500px;" /></p> <p>Google提到，目前這些功能，都只有大型遊戲工作室可以採用，因為這些工作室才有資源，建構專屬於自己的技術。而Google與Embark Studios共同建立的Quilkin，提供了標準開源解決方案，讓開發者可用於部署大型多人專用遊戲伺服器，獲得安全性、存取控制、遙測資料和指標等功能。</p> <p>Quilkin非透明代理設計，讓惡意攻擊者不容易探查遊戲架構的內部狀態，但其提供用戶極高的可見度，有一組搭配使用的處理過濾器，能夠用於監控路由、存取控制和速率限制等。開發者可以將Quilkin用作獨立的二進位檔案，不需要變更客戶端和伺服器即可使用，或是也可以當作Rust函式庫，Google提到，使用方式取決於用戶要進行多深的系統整合。</p> </div></div></div>
2021/7/19 19:18作者李建興https://www.ithome.com.tw/news/145742
中國數位人民幣上半年交易已達345億元人民幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人民銀行上周五（7/16）<a href="http://www.pbc.gov.cn/goutongjiaoliu/113456/113469/4294165/index.html" target="_blank">對外公布了數位人民幣的進展</a>，指出截至今年6月底為止，已有超過1,000萬中國民眾設立了2,087萬個個人錢包，以及351萬個對公錢包，透過數位人民幣的交易筆數達到7,075萬筆，交易總額為345億元人民幣（約1,514億元新臺幣）。</p> <p>這是人民銀行首次清楚且完整地描繪了數位人民幣從無到有的歷程，包括在2014年成立法定數位貨幣研究小組，以研擬數位人民幣的發行框架、關鍵技術、流通環境及國際經驗等，繼之於2016年成立數位貨幣研究所，打造第一代的數位貨幣原型系統，隔年開始組織商業機構來發展法定的數位貨幣，並暫將數位人民幣稱為e-CNY，迄今中國人民銀行已完成數位人民幣的底層設計、功能研發、系統調試，正在十多個地區展開測試。</p> <p>現階段中國境內的數位人民幣測試地區包括深圳、蘇州、雄安、成都、北京冬奧會場、上海、海南、長沙、西安、青島與大連。</p> <p>迄今已有超過1,000萬名中國人參與數位人民幣的測試之外，這些測試者建立了2,087萬個個人錢包，供自然人與個體工商戶使用，另有351萬個對公錢包是由法人與非法人機構所建立，錢包功能則可根據使用者的需求客製化。</p> <p>至於人民銀行也在132萬個場景試驗數位人民幣的功能，從生活繳費、餐飲服務、交通、購物到政務服務等。</p> <p>該行強調，數位人民幣主要定位於現金類的支付憑證（M0），將與實體的人民幣並存，它是由人民銀行發行的基於數位形式的法定貨幣，可用來滿足中國境內的零售支付需求，管理方式與實體人民幣一致，採取中心化管理，並著重其普惠性。</p> <p>目前數位人民幣最受關注的測試為即將於明年2月於北京展開的冬奧運動會，等於是開放國際人士參與數位人民幣的測試，屆時當地的食、衣、住、行、育、樂及醫療等服務都將支援數位人民幣，中國亦計畫藉由冬奧測試無人售貨車、自助售貨機、無人超市等服務，以及推出支付手套、支付徽章與支付服裝等穿戴式支付設備，人民銀行則會推出硬體錢包與錢包程式。</p> <p>儘管經過了7年的籌畫與部署，不過人民銀行尚未訂定數位人民幣正式上線的日期。</p> </div></div></div>
2021/7/19 13:28作者陳曉莉https://www.ithome.com.tw/news/145739
西班牙：蘋果又限速，這次連iPhone 12也受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4年前的iPhone電池門事件又重演。<a href="https://iphoneros.com/84751/iphone-12-mas-lento-tras-actualizar-ios-14-5" target="_blank">西班牙媒體報導</a>，西班牙消費者保護組織指控最新的iOS 14.5到14.6版本又會限制iPhone運算速度，造成iPhone 12等多代手機大幅降速，而且手機電池的續航力遭到縮減。</p> <p>西班牙消費者組織（OCU）連同義大利Altroconsumo、葡萄牙 Deco Proteste及比利時消費者保護組織Test-Achats去信蘋果，指出蘋果釋出的iOS 14.5、 14.5.1和14.6更新版，造成iPhone 8、XS、11，甚至最新的iPhone 12速度都大幅降低，電池使用時間縮短，要求蘋果賠償消費者損失。</p> <p>報導指出，蘋果仍未回應其訴求，將採取法律行動。</p> <p>這是自2017年的電池門事件後最新的電池降速爭議。2017年一項分析報告發現iOS 10.2.1更新版本可限制iPhone運作效能。在被懷疑是計畫性汰舊手法後，蘋果解釋是為了確保老舊電池可支持更久的手機運作時間。受影響的iPhone機種包括6/6 Plus、6S/6S Plus、iPhone 7/ 7 Plus及 iPhone SE。蘋果隨後遭到<a href="https://www.ithome.com.tw/news/126646" target="_blank">義大利</a>及<a href="https://www.ithome.com.tw/news/135744" target="_blank">法國</a>當局的罰款處分。<a href="https://www.ithome.com.tw/news/136125" target="_blank">去年3月蘋果拿出5億美元來和解美國的消費者官司</a>，再以1.13億美元和美國33州政府及哥倫比亞特區政府達成和解。</p> <p>六月西班牙等國行動也並非第一次。西班牙、<a href="https://www.ithome.com.tw/news/142441" target="_blank">義大利</a>、葡萄牙及比利時的消費者組織不滿蘋果只賠美國人，其實去年底和今年初已經向蘋果抗議過電池計畫性淘汰並要求賠償，但未獲得蘋果正面回應。</p> </div></div></div>
2021/7/19 11:49作者林妍溱https://www.ithome.com.tw/news/145736
傳蘋果負責Apple Watch的主管調任電動車部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/apple-tapping-kevin-lynch-for-autonomous-car-project-2021-7" target="_blank">Business Insider報導</a>蘋果再傳電動車部門調兵遣將，負責Apple Watch及Health的主管Kevin Lynch將轉調電動車專案Project Titan。</p> <p>身為近年重點產品Apple Watch及Health App相關開發業務主管，Lynch也是WWDC及其他產品發表會的重點。報導指出，Lynch從接任Project Titan，同時減少營運長Jeff Williams管轄的Health業務比重。媒體推測，真正管理責任可能將會由健康業務軟體工程主管Evan Doll接手。</p> <p>Lynch如果加入代號為Project Titan，也將是蘋果電動車部門最新加入的高層人事。這個Apple Car部門負責人是從特斯拉回鍋的Doug Field，但目前最高主管是人工智慧主管John Giannandrea。他原是2018年中<a href="https://www.ithome.com.tw/news/127847" target="_blank">由Google挖角</a>的推動負責機器學習及產品全面AI化，於2018年底被拔擢為資深副總裁，並在去年底接手Project Titan原本的主管Bob Mansfield的職位。但Lynch、Field及Giannandrea的業務關係則不得而知。</p> <p>這項人事變動也反映蘋果對Apple Car的重視。<a href="https://www.ithome.com.tw/news/141824" target="_blank">去年底彭博報導</a>，蘋果加速電動車計畫，目標希望2024年能量產第一批具有高速及省電特性電池的電動車。</p> <p>這個部門今年又找來經歷過奧迪、BMW、保時捷及福斯汽車的<a href="https://min.news/en/auto/92f0dff12173b831f845c435314d2dc8.html" target="_blank">Manfred Harrer</a>，以及創造BMW i系列的大將<a href="https://www.ithome.com.tw/news/144965" target="_blank">Ulrich Kranz</a>。</p> </div></div></div>
2021/7/19 12:16作者林妍溱https://www.ithome.com.tw/news/145738
又有新的Print Spooler漏洞，微軟呼籲快關閉Print Spooler服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>好不容易才搞定Windows列印多工緩衝處理器（Print Spooler）兩個漏洞，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481" target="_blank">上周微軟警告又有可讓攻擊者執行惡意程式的新漏洞</a>，且還沒有修補程式。微軟緊急呼籲企業關閉Print Spooler服務。</p> <p>最新發現的漏洞編號CVE-2021-34481，它是Windows Print Spooler服務中的本機權限升級（local Privilege Elevation）漏洞，是這項服務未正確驗證而執行外部上傳檔案的結果。攻擊者若成功開採，可將自有權限升級到系統（System）權限而在Windows網域控制器上執行任意程式碼，可安裝惡意程式、修改或刪除資料，或是建立具有完整使用權限的新帳號。</p> <p>CVE-2021-34481目前已經公開，雖然尚未有開採行動，但也沒有修補程式，因此微軟仍呼籲企業關閉Print Spooler服務。關閉這項服務也意謂著使用者無法於本地網路環境或遠端列印。關閉的方法是在Windows PowerShell中使用以下指令：</p> <p>Stop-Service -Name Spooler -Force</p> <p>Set-Service -Name Spooler -StartupType Disabled</p> <p>這項漏洞是Windows Print Spooler接連爆發<a href="https://www.ithome.com.tw/news/145381" target="_blank">CVE-2021-1675</a>及<a href="https://www.ithome.com.tw/news/145427" target="_blank">CVE-2021-34527</a>（PrintNightmare）後，最新發現的漏洞。</p> <p><a href="https://twitter.com/Junior_Baines/status/1416020556537794564" target="_blank">最新漏洞是由逆向工程師Jacob Baines發現</a>，認為CVE-2021-34481並非PrintNightmare的變種，不過他原本計畫在DEF Con安全大會上揭露，因此並未說明細節。而且微軟似乎也未知會他即公告於世。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0719-Jacob%20Baines%20CVE-2021-34481.jpg" style="width: 593px;" /></p> <p>微軟說明，這個漏洞並不是前二者的修補引發的漏洞，而是早就存在的漏洞。此外，CVE-2021-34481不像前面兩個具有遠端程式碼執行（Remote Code Execution，RCE）的特性，只有本地權限升級（Local Elevation of Privilege，LPE）的屬性。本漏洞CVSS 3.0風險層級為7.8。</p> <p>但微軟表示CVE-2021-34481的全貌目前還在研究中，包括影響的Windows 版本。至於何時會修補，微軟並未說明，只說正常情況下，CVE-2021-34481漏洞的修補程式會在之後的Patch Tuesday釋出。</p> <p>CVE-2021-1675和CVE-2021-34527都是8.8分的高風險漏洞，尤其是後者，微軟還因此在正常的Patch Tuesday外釋出例外更新。該漏洞傳出有多起開採活動或意圖，促使美國網路安全暨基礎架構安全管理署<a href="https://www.ithome.com.tw/news/145628" target="_blank">（CISA）於上周發出緊急指令</a>，要求聯邦政府部門及相關單位限期安裝微軟於7月6日釋出的Windows更新。</p> </div></div></div>
2021/7/19 10:25作者林妍溱https://www.ithome.com.tw/news/145735
Container周報第140期：K8s資安那個團隊負責？3成企業靠DevOps，2成則指派維運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF0000;"><strong>7/9~7/15 精選容器新聞</strong></span></h3> <h3><span style="color:#0000FF;"><strong>#容器資安 #K8s</strong></span><br /><span style="color:#FF8C00;"><strong>紅帽公布最新K8s安全報告，最常見的資安事件是配置出錯</strong></span></h3> <p>紅帽今年初宣布併購了一家容器資安新創StackRox，隨後也在6月底時，公布了一項由這家新創今年初進行的<a href="https://www.redhat.com/rhdc/managed-files/cl-state-kubernetes-security-report-ebook-f29117-202106-en.pdf">K8s資安調查報告</a>。超過5百名DevOps人員、維運工程師或資安專家參與了這次調查。</p> <p>儘管如此，根據這份調查報告，過去12個月，高達94%的填答者都發生過至少一次的資安事件，其中最大宗的就是配置錯誤（misconfiguration）導致的資安事件，高達59%，等於是每5個人，就有3個人遇過。這個比例甚至比runtime資安事件（32%）和重大漏洞（31%）的比例還要高。</p> <p>報告也分析造成這類事件的原因是，K8s的功能太過於強大，當負載工作量不大時，很容易建立夠安全的配置，但是隨著企業對K8s越用越多，進而導致配置複雜度暗藏的風險也會越來越高，尤其若企業沒有一套妥善的資安政策或是持續落實的容器資安機制，更是容易累積越來越多的技術債。</p> <p>維運人員比較容易注意到K8s儀表板的部署風險，得避免暴露在對外的網路，但容易忽略了單一pod叢集在各種資安環境上不同考量，或是導入K8s角色存取控制機制RBAC時的配置錯誤。另外一個造成配置複雜度的原因則是，將近半數填答者都是採取混合雲架構的部署環境，私有K8s環境和公有雲上的K8s環境兩者混用。企業對於容器資安政策的訂定，仍有26%填答者所屬企業才正在規畫，30%則只有基本安全政策，缺乏了更細緻或因應更複雜使用情境下的容器資安政策考量。</p> <p>不過，容器資安責任的歸屬仍非常分歧，27%企業指派給DevOps，21%則由維運團隊負責，另有18%企業則交給資安團隊，只有18%企業有專門的DevSecOps團隊，但超過7成企業都認同，自家DevOps和資安團隊必需要有一套安全協作的方式，才能進一步落實容器的安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%AE%89%E5%85%A8%E8%AA%BF%E6%9F%A5-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.jpg" /></p> <h3><span style="color:#0000FF;"><strong>#Docker #容器元件 #runtime</strong></span><br /><span style="color:#FF8C00;"><strong>經過漫長的5年，runC終於釋出了1.0版</strong></span></h3> <p>許多容器管理平臺內建的標準容器執行元件runC，終於正式釋出了1.0版，這個由Docker開發，後來交給了開放容器倡議（Open Container Initiative，OCI）負責維護的runtime專案，早在2016年就是出了v1.0.0的候選版本rc1，但遲遲沒有變成正式版，直到最近。因為runc是許多雲端供應商如AWS、Google或容器軟體商如紅帽，在他們產品或服務中的預設元件，而且是能夠取得主機端最高權限的元件，因此，好幾次都因為發現了新的漏洞而遲遲停留在候選版本中。例如2019年2月時，runC就曾發現一個漏洞，能讓駭客把程式碼嵌入一個縣有導致其他容器執行元件如Docker、containerd、Podman到CRI-O等runtime也都受害，影響之廣，幾乎runC一出狀況就是高風險。候選版本甚至發展到了rc94，也就是94個候選版，現在終於進入1.0。這也意味著容器基礎元件進入穩定期，那些內建runC的各大公雲或K8s軟體，都有一個正式且共通的容器執行元件。</p> <h3><span style="color:#0000FF;"><strong>#Linux容器 #容器資安 #Sophos</strong></span><br /><span style="color:#FF8C00;"><strong>強化Linux容器安全布局，Sophos併購容器即時偵測工具Capsule8</strong></span></h3> <p>最近老牌防毒軟體資安商Sophos宣布併購了一家專門提供Linux容器即時偵測工具商Capsule8，要來擴大他們在Linux伺服器市場上的資安產品布局。Sophos產品長Dan Schiappa更預告，明年就會將Capsule8平臺整合到Sophos管理介面中，成為Sophos在5月宣布的Adaptive Cybersecurity Ecosystem（簡稱ACE生態圈）其中一環產品。Sophos也計畫將Capsule8整合到自家入侵偵測產品XDR、Intercept X EDR產品以及Sophos的MRT威脅回應管理工具和快速反應服務等。他強調，Sophos的策略就是要建立跨Windows和Linux環境的自動化資安平臺。</p> <h3><span style="color:#0000FF;"><strong>#Java開發 #自動化測試</strong></span><br /><span style="color:#FF8C00;"><strong>AtomicJar計畫把開源的Java容器單元測試工具變成新服務</strong></span></h3> <p>最近在一個Java開發者會議上，一家雲端測試服務新創AtomicJar執行長Sergei Egorov宣布，已經募資了4百萬美元，要把Testcontainers這個開源的Java自動化整合測試工具，變成一項服務。Testcontainers是AtomicJar技術長Richard Northy在2015年在顧問公司擔任工程師時設計的開源工具，後來大受Java開發圈的青睞，許多大公司都愛用，如Google、Oracle或Uber等。目前每個月有數千家公司經常使用，累計下載呼叫量超過1百萬次。Sergei Egorov強調，這一群現有的企業使用社群會成為AtomicJar接觸企業IT團隊的起點。AtomicJar未來將提供預先各種平臺的預先配置環境，方便開發者引用來進行各種整合測試之用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%AE%B9%E5%99%A8%E6%B8%AC%E8%A9%A6%E5%B7%A5%E5%85%B7(1).jpg" /></p> <h3><span style="color:#0000FF;"><strong>#雲端維運 #K8s #Ubuntu</strong></span><br /><span style="color:#FF8C00;"><strong>K8s和雲端維運大調查，近1成金融業擁抱K8s，熱度僅次科技業</strong></span></h3> <p>Ubuntu發行商Canonical最近公布了一份K8s和雲端維運大調查，調查了1,200名所屬企業或工作上會用到K8s的人來參加，還找來Google、Amazon等擅長CNCF維運框架的專家協助分析。根據這份調查，已經採用K8s的產業，最大宗仍是科技業，高達4成，但也有近1成的使用者來自金融業，比教育機構（8.1%）或電信業（6.4%）都來得高。</p> <p>Google首席開發者傳教士Kelsey Hightower分析，這也符合Google看到的實際情況，金融業雖然會有資安和法遵上的種種考量，但這產業有足夠資源，經常是更快擁抱新技術的產業，而電信業者則是逐漸將K8s部署到地區資料中心來提供串流內容的服務。另外，這次調查也發現，目前混用裸機、VM和K8s三種執行環境的使用者最多，將近3成，其次也有15.7%的使用者所有應用都部署在K8s環境中，另外還有1成5使用者正要將VM上的工作負載，完全轉移到K8s環境上。最多人使用的本地端K8s開發環境則是Minikube版本。</p> <h3><span style="color:#0000FF;"><strong>#容器化顧問服務 #IBM</strong></span><br /><span style="color:#FF8C00;"><strong>IBM持續擴充顧問服務部門戰力，新併購容器服務商BoxBoat</strong></span></h3> <p>最近IBM宣布買下一家K8s服務商，來強化自身顧問服務團隊。這家公司是創立於2016年的BoxBoat，以容器及DevOps諮詢服務為主，可輔導企業將既有應用容器化、建立Kubernetes的工具、並提供相關流程規劃、DevSecOps、人員訓練、顧問服務。客戶群不乏財星100大企業及政府部門。BoxBoat集結Kubernetes管理、開發及自動化經驗。IBM表示，該公司併購後仍將維持與AWS、Azure及GCP的合作。IBM在今年初也另外收購了芬蘭多雲諮詢服務商Nordcloud和Taos。</p> <h3> <span style="color:#0000FF;"><strong>#雲端原生平臺 #5G應用</strong></span><br /><span style="color:#FF8C00;"><strong>雲達科技和5G應用自動化平臺商Robin.io聯手，要讓電信商靠K8s變成雲端原生平臺商</strong></span></h3> <p>廣達旗下雲達科技最近宣布，和國外一家5G應用自動化平臺商Robin.io聯手進軍5G電信市場，結合Robin.io利用K8s打造的跨叢集自動化平臺（MDCAP）、雲端原生平臺軟體（CNP）、雲端原生儲存軟體（CNS）等，結合雲達的伺服器硬體產品，來提供電信商建立一套高度自動化和容易調度的雲端原生服務基礎架構，來支撐5G應用程式的部署和管理需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E7%94%A2%E5%93%81%E6%9E%B6%E6%A7%8B-%E8%B3%87%E6%96%99%E4%BE%86%E6%BA%90-%E9%9B%B2%E9%81%94%E7%A7%91%E6%8A%80.jpg" /></p> <p><strong>責任編輯：王宏仁</strong></p> <h4> <strong><span style="color:#FF0000;">更多容器新聞 </span></strong></h4> <h4><strong>Aqua資安公司發現近期有駭客專門鎖定Docker API配置錯誤，不用1小時內就能攻破</strong></h4> </div></div></div>
2021/7/18 11:13作者王宏仁https://www.ithome.com.tw/news/145716
疫情下的零信任反思
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣三級疫情警戒從7月13日起，開始放鬆部分管制，國內民眾關心何時能輪到自己施打疫苗。然而，全球疫情原本隨著各地疫苗施打日漸普及，宣布解除禁令，此時卻開始出現另一波變種病毒大爆發，於是，部分國家不得不重新加強管制。</p> <p>根據中央流行疫情指揮中心的指示，接種COVID-19疫苗是預防感染、避免重症與死亡最有效的方式，不過，若對照國際疫情爆發似乎有捲土重來之勢，施打疫苗對於「避免重症與死亡」，應該還保有一定的效果，但對於傳染率更高的變種病毒，各種預防措施仍不能鬆懈，不只是戴口罩、勤洗手，「人與人之間保持社交距離」、不群聚，更要盡可能落實。</p> <p>而在臺灣這兩個月的疫情大反撲之下，相信我們都學到很多教訓。例如，篩檢、疫調、匡列、隔離等工作，缺一不可，而且必須要及時完成，然而，在5月之前，有不少機關雖然標榜超前部署，但經過兩個月以來的疫情考驗，是否真有成效，以及緊急應變是否得宜，就目前的結果來看，全國民眾有目共睹，多數主事者都有擔當，少數還在推卸責任。</p> <p>目前來看，臺灣雖然疫情逐漸控制得宜，遺憾的是，至今仍有零星感染事件發生，回顧不久發生的一些事件，會讓人更深刻省思「負責（Responsibility）」與「當責（Accountability）」的意義。面對爭議，不同首長紛紛喊出「我負責」，但仍有許多民眾感到不滿，認為這不是各政府團隊應有的表現。這些擦槍走火的爭議，突顯了中央與地方政府之間的溝通不良。</p> <p>但執行單位內部本身也有許多無法掌握現況的問題發生。舉例來說，單是「造冊」與否，以及是否有浮報的狀況，就引發了很多問題──從初期提報篩檢名單，到現在彙整疫苗施打名單，總有編制外的人員需要涵蓋，究竟是故意申報不實或純粹是忙中有錯、作業疏失，似乎並無法有足夠的把關機制，等到事發之後，往往又重挫政府威信，類似的狀況仍持續發生。</p> <p>或許我們過去在做相關的準備時，輕忽了掌握人員這類看似簡單的基本工作。希望未來無論是中央或地方政府，經過這兩個月的混亂之後，對於「造冊」、提報名單、登記申請需求這樣的事務，能夠找出兼顧效率與可信度的方法，而不是各行其是。同時，在收集名單的管道上，必須考慮使用者的數位落差，在面對如此大規模、分散的人員資訊彙整與身分確認上，若單用電話、網站、行動App等通訊管道來進行，各自都有其局限，但要做到跨平臺，除了考量技術的可行性與使用者操作便利性、資料隱私保護，更要注意流程的設計與規畫，以分流的方式來預防線上作業壅塞。</p> <p>面對不知何時能真正緩和的疫情，國際又有新一波變種病毒確診感染潮環伺，就算不久的將來臺灣有望解除三級警戒，疫苗覆蓋率也能達成目標，形成所謂的群體免疫，我們仍然不能鬆懈自身與公共的衛生防護機制，短期之內仍無法存有僥倖之心。</p> <p>簡而言之，不要在無根據的狀況下，輕忽自己與他人之間的接觸，若我們能持續保持著自己就是可能感染者的警覺，相信這也同時會降低他人受感染的風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/zta">ZTA</a></div></div></div>
2021/7/17 12:14作者李宗翰https://www.ithome.com.tw/voice/145712
Facebook Pay將跨出臉書平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/business/news/integrate-facebook-pay-directly-into-business-website" target="_blank">臉書於本周宣布</a>，於2019年11月發表的Facebook Pay線上支付功能將跨出自家平臺，允許第三方整合Facebook Pay功能，首個合作對象為專門開發電子商務服務的Shopify。</p> <p>臉書表示，從今年8月起，舉凡使用合作平臺的美國企業都能夠把Facebook Pay當作支付選項，以加速消費者的結帳速度，除了Shopify之外，估計未來會有更多的平臺及支付服務支援Facebook Pay。</p> <p>不過，儘管臉書宣稱將把Facebook Pay直接整合在Facebook、Instagram、WhatsApp與Messenger服務中，但<a href="https://pay.facebook.com/availability/" target="_blank">迄今在包括臺灣在內的大多數市場</a>，Facebook Pay都只支援Facebook，少數支援Instagram，只在個位數市場支援WhatsApp與Messenger。</p> <p>臉書用戶無需下載額外的程式就能使用該功能，只需儲存付款方式即可，也能新增PIN碼以強化安全性，使用者可利用Facebook Pay進行購物、捐款或轉帳給友人，在Messenger或WhatsApp上轉帳給親友將不收任何手續費。</p> </div></div></div>
2021/7/17 10:25作者陳曉莉https://www.ithome.com.tw/news/145707
微軟在Azure免費提供Windows Server 2008/R2和2012安全更新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/zh-tw/blog/accelerate-your-azure-migration-and-modernization-journey-with-expended-programs-and-offers/">宣布</a>擴展Windows Server 2012和2012 R2，還有SQL Server 2012的安全性更新，在Azure上免費提供延長更新的服務，而在本地端執行這些版本的Windows Server和SQL Server，則需要付費來擴展更新。而對於需要更多時間升級Windows Server和SQL Server 2008/R2的用戶，現在微軟也在Azure上，提供額外1年免費安全更新服務。</p> <p>微軟也繼續更新其容器化工具，供企業更簡單地現代化其工作負載，在3月的時候，微軟發布應用程式容器化工具，以加快用戶將.NET和Java應用程式，部署到Azure Kubernetes服務的速度，而現在微軟宣布更新該工具，能夠進一步將容器部署到Azure App服務。</p> <p>容器化工具是Azure Migrate服務的一部分，其提供了一種不需要撰寫程式碼，就可以將伺服器上執行的應用程式，打包成為容器映像檔，並且簡單地部署到Azure Kubernetes服務中，託管應用程式的伺服器，可以是在本地端資料中心運作的虛擬機器或實體伺服器，也可以是在Azure甚至是任何雲端中執行的虛擬機器。</p> <p>用戶可以使用容器化工具，將Windows伺服器上執行的ASP.NET應用程式容器化，部署到Windows容器中，或將Linux機器Apache Tomcat上執行的Java網頁應用程式，容器化成Linux容器，除了這些，容器化工具現在也能夠將容器部署到Azure App服務。Azure App是微軟全託管的雲端服務，適用於建立、部署和縮放網頁應用程式。</p> <p>在早前微軟也大幅更新其混合雲解決方案Azure Arc，讓用戶更簡單地現代化其應用程式。包括Azure Arc開始正式支援資料庫服務Azure SQL，用戶能夠以一致的方式，管理其混合SQL Server環境，而現在Azure Arc更整合存取控制服務Azure Lighthouse，讓企業提供給合作夥伴適當的權限，來管理邊緣、資料中心以及多雲環境中的資源。</p> </div></div></div>
2021/7/17 10:30作者李建興https://www.ithome.com.tw/news/145705
推特公開2020下半年透明度報告，來自政府移除內容的請求激增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特發布了最新的透明度報告，<a href="https://blog.twitter.com/en_us/topics/company/2021/an-update-to-the-twitter-transparency-center">報告顯示</a>，推特收到全球各政府，要求將記者和媒體發布的內容，從平臺移除的請求數量明顯上升，下半年就有361個執法要求，要推特從199個經認證的記者與媒體帳戶下架內容，比起2020上半年增加了26％。</p> <p>從2012年以來，推特就持續發布透明度報告，這項工作是推特推廣開放網路的工作之一，在過去一年，全世界經歷了COVID-19疫情大流行，同時也有部分政府採取行動，限制人們存取網際網路的自由。而推特的透明度報告，提供使用者一個窗口，進一步理解推特規則的執行、隱私保護的狀態，同時也揭露來自各政府的要求，甚至是政府資助的資訊戰等狀況。</p> <p>最新的透明度報告揭露2020年7月1日至12月31日的資料，推特在最新的報告中，使用了新的資料指標，分析更多資料背後所隱含的意義，包括紀錄違規貼文在被刪除前的觀看次數，還利用雙因素驗證的資訊，來確認帳戶安全狀態。</p> <p>官方提到，因為2020年下半年COVID-19疫情大流行的影響，因此在不同的國家或是地區，受到不同程度的限制和影響，也衝擊了推特審核內容的效率和執行政策的速度，推特擴大採用機器學習和自動化技術，來加快處理誤導性和操縱性內容的速度。</p> <p>在2020下半年，違規推文的總曝光次數，占全球推文的總曝光次數不到0.1％，在這期間，推特刪除了380萬則違反推特規則的推文，其中77％在刪除之前，曝光次數小於100次，另外有17％的曝光次數在100到1,000次之間，只有6％的推文，移除前的曝光次數超過1,000次。這些資料顯示，推特在全球公衛危機以及各國大選期間，快速反應並大規模刪除有害的內容，官方提到，他們的目標是繼續改善這些數字，並且希望在違規內容曝光之前，就採取行動。</p> <p>在COVID-19疫情流行這段期間，官方對誤導性資訊，積極地執行挑戰和回應反垃圾郵件過濾（Challenge–Response Spam Filtering）行動，總共挑戰了超過1,000萬個帳戶，官方表示，這個帳戶數字表示他們主動反垃圾郵件的行動規模，目標是要避免有心人士，刻意操縱平臺上COVID-19的討論。官方總共封鎖了597個帳戶，刪除3,846則內容，從去年推特發布COVID-19指引以來，到目前為止，已經挑戰全球1,170個帳戶，封鎖1,496個帳戶，並刪除超過43,010則內容。</p> <p>在法律要求方面，官方收到大量來自各國政府的資訊請求，而他們回應了其中的30％，總數為4,367個，推特並非一律完整回應這些請求，有部分僅會提供部分要求的資料。印度是政府中，資訊請求的最大宗，占全球總量的25％，涵蓋帳戶數量為15％，第2多的則是美國政府，有22％，另外，美國同時也是提交全球緊急要求數量最多的國家達34％，其次是日本17％和韓國16％。</p> <p>推特在2020下半年，總共收到38,524筆移除內容的請求，要求刪除131,933個帳戶中的內容，推特處理了其中29％，數量為11,091則內容。推特指出，雖然比上一期總數下降9％，但是要求覆蓋帳戶數量是單期有史以來最高，而且有361筆法律要求，請求推特從199個經驗證的記者和新聞媒體帳戶刪除內容，這個數字也比前一期增加26％。政府提出刪除內容請求總數排序，分別是日本、印度、俄羅斯、土耳其和韓國。</p> <p>推特提到，保護推特用戶的隱私是重要的事情，在允許的情況下，推特會向用戶發出通知，並且向Lumen資料庫發送一份遭刪除的資料副本，而且當用戶內容被要求隱藏時，只有在提出刪除要求的國家隱藏，其他司法管轄區仍可以看到該內容。</p> </div></div></div>
2021/7/17 09:58作者李建興https://www.ithome.com.tw/news/145698
Valve發表掌上型遊戲機Steam Deck
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Steam遊戲平臺母公司Valve本周發表了該公司首款遊戲機<a href="https://www.steamdeck.com/en/" target="_blank">Steam Deck</a>，它的尺寸為298mm x 117mm x 49mm，配備7吋螢幕，重約669公克屬於掌上型遊戲機，最低售價為399美元，預計於今年12月將率先於美國、加拿大、歐洲及英國等地推出，可望成為Switch、Xbox Series X與PlayStation 5等現有遊戲機的勁敵。</p> <p>Steam Deck搭載最新的AMD加速處理器（APU），內含4核心的AMD Zen 2處理器與8核心的RDNA2 GPU，內建16GB的LPDDR5記憶體與40Wh的電池，標榜可輕鬆執行最新的AAA遊戲。其電池續航力最多為8小時，若執行《傳送門2》（Portal 2）大概只能使用4小時，儲存空間有64GB、256GB及512GB等3種規格可供選擇，售價分別為399美元、529美元及649美元。</p> <p>Steam Deck採用SteamOS 3.0作業系統，預裝了Steam Chat、Store、雲端儲存、遠端遊戲與社群等功能，只要一登入就能存取所有Steam遊戲，如同在電腦上登入一樣，也能用來瀏覽網路。</p> <p>此外，SteamOS實際上是個Linux作業系統，因此也能把Steam Deck當成Linux電腦使用，在Steam Deck上插入滑鼠、鍵盤或螢幕，也能安裝其它的遊戲商店或電腦軟體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0717-steamdeck-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;">image: Valve</span></p> </div></div></div>
2021/7/17 10:08作者陳曉莉https://www.ithome.com.tw/news/145706
Jupyter推出網頁輕量級JupyterLab環境JupyterLite
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Jupyter經過了多次嘗試成功開發出<a href="https://blog.jupyter.org/jupyterlite-jupyter-%EF%B8%8F-webassembly-%EF%B8%8F-python-f6e2e41ab3fa">JupyterLite</a>，JupyterLite不需要用戶在主機上啟動Python Jupyter伺服器，就能夠在瀏覽器中，執行完整的靜態Jupyter環境。JupyterLite提供了輕量級的運算環境，用戶只需要簡單地點擊網頁介面，就可以在數秒鐘內，於網頁瀏覽器開始工作，完全不需要在終端裝置安裝任何軟體。</p> <p>由於JupyterLite透過瀏覽器發布，又不需要取用後端執行環境，大多數的應用程式都是靜態檔案，不只容易擴展，也很容易部署。</p> <p>官方使用了JupyterLab擴充套件以及元件，重新設計JupyterLite，官方提到，透過重用JupyterLab元件，JupyterLite可以獲得上游的功能、修復等更新，像是最近JupyterLab 3.1推出的即時協作功能，也能夠在JupyterLite用到。</p> <p>JupyterLite中預設使用Pyolite，而Pyolite是應用Pyodide開發的Python核心，在網頁工作程式（Web Worker）中執行，因此在運算工作負擔大的情況下，也不會阻擋主要UI執行緒。而Pyodide則是由編譯成WebAssembly的CPython 3.8直譯器所構成，可讓Python在瀏覽器中運作。Pyodide可以安裝任何來自PyPI，帶有Python Wheel的Python套件，另外，還對外公開函式介面，因此Python套件的生態系能對JavaScript開放，瀏覽器介面也能開放給Python。</p> <p>JupyterLite可被簡單地部署成一個靜態網站，不需要伺服器或是複雜的配置，也沒有擴展性的問題，僅需要普通的HTTP伺服器就能夠提供服務，也就是說，有許多簡單部署選項可以使用，像是nginx、GitHub Pages或GitLab Pages和Netlify等。</p> <p>JupyterLite支援許多視覺化函式庫，像是Altair和Plotly，讓用戶可在瀏覽器中，方便地繪製圖形。JupyterLite也支援小工具，Jupyter Widget相依於Jupyter協定中的自定義訊息規範，在核心和前端來回發送訊息，而Pyolite核心現在支援Comms，使得許多現有核心和第三方小工具，都可以直接於JupyterLite使用，包括bqplot、ipyleaflet和ipycanvas。</p> <p>官方提到，他們的目標要讓用戶能夠使用喜歡的擴充套件，建置出屬於自己的客製化版本，但目前要做到這件事，必須要使用JupyterLite命令列工具，但他們計畫將推出更簡單地方法，供用戶匯出客製化的JupyterLite網站。</p> </div></div></div>
2021/7/17 10:12作者李建興https://www.ithome.com.tw/news/145703
Fintech周報第189期：台灣人壽整合區塊鏈與疾病預測技術，推出一站式健康自主管理平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-weight: bold; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0710～0716</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台灣人壽 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 健康醫療 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台灣人壽整合區塊鏈與疾病預測技術，推出一站式健康自主管理平臺</span></strong><br /><span style="vertical-align: top;">台灣人壽近期宣布與健康照護資源共享平臺醫聯網、華碩電腦策略聯盟，推出一站式健康自主管理平臺「i健康計畫」，依照民眾健康管理旅程需求，從紀律量測、風險評估到遠距醫療諮詢，以及保險規畫，都能在該平臺完成。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">台灣人壽表示，此健康自主管理平臺運用了區塊鏈技術，可讓個人分散在各類載具上的健康數據，除了計步之外，包括健身、體重、血壓、血糖、體脂等資訊，都能被計入個人健康數據，並依個人健康數據搭配疾病風險進行評分，預測與警示健康管理。該公司期望透過培養保戶健康促進行為、健康數據整合，一旦保戶了解自身健康狀況與潛在風險後，便能在平臺上規畫個人化保單。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">此外，台灣人壽提到，這項區塊鏈應用，除了能替民眾整合多樣性健康數據型態外；未來，也期望讓保險業發展出多元化的外溢型保單。醫聯網則提供1,800位醫師遠距諮詢照護服務，讓民眾即便遠距也能持續性地記錄生理數據、管理健康，並透過遠端醫療服務，提供持續性的照護。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 歐洲央行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位歐元 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">歐洲央行正式啟動數位歐元專案，為期2年調查階段率先登場</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E6%95%B8%E4%BD%8D%E6%AD%90%E5%85%83_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E6%AD%90%E6%B4%B2%E4%B8%AD%E5%A4%AE%E9%8A%80%E8%A1%8C%EF%BC%88ECB%EF%BC%89.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">歐洲中央銀行（European Central Bank，ECB）近期宣布，將正式啟動數位歐元專案（Digital Euro Project），率先登場的是為期24個月的調查階段，但並不保證一定會發行數位歐元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">歐洲央行解釋，調查階段的目的是解決有關數位歐元設計與分布的問題，數位歐元必須能夠滿足歐洲人的需求，同時也能用來預防非法活動，也不應對金融穩定性或貨幣政策造成任何不良的影響。此外，不論如何，數位歐元都是用來彌補現金的不足，而非取代現金。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">調查之所以長達2年，是因為有太多相關問題必須審慎評估，主要是設計符合使用者需求的功能，將涉及焦點團體、原型與概念性工作，找出可實現數位歐元目標的優先使用範例，建立一種無風險、容易存取且高效率的中央銀行貨幣形式。此外，該調查還會定義出數位歐元生態體系中，受監管之中介機關的商業模式。<a href="https://www.ithome.com.tw/news/145661">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 農業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 公平交易 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">IBM運用區塊鏈與AI技術，為小農改善咖啡與可可農場商業決策並促進公平交易</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">IBM宣布宏都拉斯當地種植咖啡和可可的小農，藉由使用IBM Food Trust區塊鏈技術，以及IBM Watson農業決策平臺，來改善咖啡和可可農場的商業決策，並加速交易。以往，咖啡店賣出一杯咖啡的價錢，只有不到1%的錢，會進到種植可可和咖啡的農民口袋，小型咖啡農在交易市場長期處於弱勢。現在，IBM與非營利組織Heifer International合作，應用區塊鏈技術提高整個供應鏈的透明度，並讓農民獲得更好的價格。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，Heifer International、IBM以及國際組織CATIE，也與農民合作，部署Watson農業決策平臺，該平臺使用預測性AI技術，將地理空間、天氣、環境和物聯網資料結合在一起，以綜合儀表板的形式，提供農民天氣警報和各式實用資訊，像是最佳種植模式還有與市場定價相關的預期產量等。這些分析資訊可以讓農民或是農業企業做出更佳的決策，以提高作物產量和價值。<a href="https://www.ithome.com.tw/news/145533">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> DBS </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位債券自動發行平臺 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新加坡星展銀行推出數位債券自動發行平臺，跨國公司吉寶企業率先採用</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_DBS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FDBS.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新加坡星展銀行（DBS）近期宣布，正式推出固定收益交易執行市場平臺（FIX Marketplace），目標是透過數位化方式創造更有效率與便捷的資本市場。DBS表示，FIX Marketplace是亞洲第一個完全數位化與自動化的固定收益交易執行平臺，要利用該平臺促成發行人與投資者間的自動串連，無需銀行參與；而所有在該平臺上發行的債券，都可由投資人直接認購。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，新加坡跨國公司吉寶企業（Keppel Corporation）已透過該平臺，設立規模10億美元的數位歐洲商業本票。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">DBS表示，FIX Marketplace平臺是該行在亞洲資本市場數位化過程中的一塊重要拼圖，下一步是要讓發行人能夠在星展數位交易平臺（DBS Digital Exchange）自主發行數位債券，將能讓企業接觸更多元的投資人群體。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展數位交易平臺是DBS數位資產生態系的一環，利用區塊鏈技術為顧客提供一個安全與透明的平臺，從私募股權市場籌措資金。今年5月，DBS已在該平臺發行1,500萬新幣的數位債券，也是該平臺第一個證券型代幣發行（STO）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣信用卡 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 發卡組織 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Visa已與全球50家加密貨幣平臺展開信用卡發行計畫，今年上半年消費額突破10億美元</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E4%BF%A1%E7%94%A8%E5%8D%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FCoinbase.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">發卡組織Visa近期宣布，已與全球50家加密貨幣平臺合作，展開信用卡發行計畫，而且光是在今年上半年，這些加密貨幣信用卡的消費金額就超過10億美元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前包括Visa與MasterCard等兩大發卡組織都已推出加密貨幣信用卡，通常是與加密貨幣交易平臺合作發行，專供已具備加密貨幣資產的消費者申請，當消費者以這類信用卡消費時，後端會將加密貨幣轉為當地貨幣並支付給商家，擴大了願意接受該類信用卡的商家。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Visa指出，該組織所推出的加密貨幣信用卡目前已能在全球7,000萬個商店消費。對消費者而言，它就是一張可以支出加密貨幣的信用卡，且其回饋優惠多半高於一般的法定貨幣信用卡。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，Visa也發現與法定貨幣掛鉤的穩定幣，在此一新興的信用卡市場中脫穎而出，目前市場上流通的穩定幣已多達1,000億美元，且每月在公開區塊鏈上的穩定幣交易規模，亦超過上千億美元。<a href="https://www.ithome.com.tw/news/145558">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Boku </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Juniper Research </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動錢包 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究報告指出，全球在2025年將建立48億個行動錢包</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202021-07-16%20%E4%B8%8B%E5%8D%8810_13_59.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">專門打造行動支付平臺的Boku近日公布了一份委由Juniper Research所進行的行動錢包研究報告。研究顯示，行動錢包在2019年就取代了信用卡，成為全球最廣為使用的支付型態，去年的COVID-19疫情更加速了全球支付的數位化，估計全球行動錢包的數量，將從2020年的28億個，成長到2025年的48億個。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">而中國一直是全球行動錢包的領頭羊，不管是支付寶或微信支付都已成為相關研究的主角，也讓亞太地區成為行動錢包最普及的市場。在2020年的28億個行動錢包中，就有13億個出現在中國暨遠東市場，非洲與中東有3.2億個，印度有2.7億個，拉丁美洲有2.3億個，西歐有2億個，北美則有1.8億個。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，亞太地區由於擁有中國與印度兩大人口國，其2020年使用數位錢包的人口為18億，占全球42.1%，估計到了2025年的行動錢包用戶將會成長至26億人，所占的全球比例也將達到58.6%。<a href="https://www.ithome.com.tw/news/145582">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">歐洲中央銀行（ECB）</span><span style="vertical-align: top;">、星展銀行（</span><span style="font-size: 14pt;">DBS）</span><span style="font-size: 14pt; vertical-align: top;">、</span><span style="font-size: 14pt;">Coinbase、</span><span style="font-size: 14pt;">Mobile Wallets Report 2021, Boku</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">1. </strong><strong><a href="https://www.ithome.com.tw/news/145550">加密貨幣USDC發行商Circle即將借殼上市</a><br /> 2. <a href="https://www.ithome.com.tw/news/145578">因維護IT系統的供應商遭駭，摩根史坦利成為Accellion事故受害者</a><br /> 3. <a href="https://www.ithome.com.tw/news/145596">美國大型保險公司CNA勒索軟體攻擊事故調查有新進展，超過75,000人受影響</a></strong><br /><strong style="vertical-align: top;"><span style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2021年7月</span></strong></p> </div></div></div>
2021/7/16 22:34作者李靜宜https://www.ithome.com.tw/news/145704
專家點出Python之父近期重大宣布，CPython執行速度4年內將翻5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交大AI學院副教授魏澤人認為，Python之父Guido van Rossum在今年5月的PyCon US上宣布，要在4年內將CPython的執行速度提升5倍，是Python開發者近期值得關注的議題。他指出，由於這次效能提升的計畫，會直接更新到Python官方版本中，「可能是一個很大的轉變。」</p> <p>CPython是以C語言實作的直譯器，由於是Python官方組織發布的工具，它也是當前最廣泛使用的Python直譯器。魏澤人解釋，Python的一大缺點，就是執行速度慢，需要靠C語言編寫的直譯器CPython，來加速Python的執行；在進行大數據分析的相關應用時，為了提升大量運算的需求，也可能搭配如Numpy、TensorFlow等以C語言為主編寫的函式庫，來提升執行效率。換句話說，Python執行速度慢的問題已經存在已久，過去常見做法，就是與其他編譯式語言相搭配，來加快Python執行速度。</p> <p>不過，這個問題似乎在今年迎來轉機。5月時，Guido在微軟開發者社群Reactor的<a href="https://www.youtube.com/watch?app=desktop&v=aYbNh3NS7jA">一場採訪</a>中表示，去年加入微軟後，原先想投入Python在資料科學領域的貢獻，但在實作AI應用後，發現機器學習領域博大精深，若要精通並對這個領域貢獻，可能要花上3～4年時間。因此，他後來選擇與微軟4位Python核心開發者，共組一個團隊，來研究提升CPython效能的方法。團隊成員更已經把將相關文件置於<a href="https://github.com/markshannon/faster-cpython">GitHub</a>上，計畫分4階段來提升CPython執行速度。</p> <p>文件中明確列出了4階段計畫時程與內容。首先在第一階段，將在今年10月要發布的Python 3.10版本中，增加一個適應性、專業化的直譯器（interpreter）；第二階段，則是要在Python 3.11版本中進行多個關鍵項目的改進，包括提升二元運算符（binary operators）的效能，或是透過更好的物件記憶體設計，來減少記憶體管理的資源消耗（overhead）。第三階段，是要在Python 3.12版本加入小範圍使用的簡易JIT編譯器；最後一個階段，是要在Python 3.13版本中擴充編譯區域，加強編譯功能來生成更高級的機器語言（machine code）。</p> <p>在這4個階段中，預計每階段都要提升CPython速度50%，最後達到總執行速度提升5倍的成效。但文件內也指明，某些平臺禁止執行過程中的程式碼生成（runtime code generation），比如蘋果行動裝置的iOS平臺就是其中一例，對這些平臺來說，只有前兩階段有助於提升CPython的效能，也就無法提升5倍速度，只能提升大約2倍。</p> <p>Guido在PyCon US上，也說明了CPython效能提升，對使用者產生的影響。他指出，受益較大的使用者，是在密集CPU（CPU-intensive）上執行Python程式碼、用Python寫網站，以及使用Python編寫的工具或套件的使用者，未來程式碼執行速度會更快；但相對的，使用Numpy、Tensorflow等本來就已經用C語言編寫的套件、記憶體輸入輸出綁定（I/O-bound）的程式碼、多執行緒程式碼以及演算法效率低下的程式碼，對這些使用者來說受益較小，Python效能精進相對較少。</p> <p>他在訪談中也提到，「加快Python速度」這件事，過去也有不少團隊致力於改進。比如臉書5月開源了<a href="https://github.com/facebookincubator/cinder">Cinder專案</a>，這是一個Instagram內部效能導向的CPython 3.8生產版本，透過多種方法實現CPython的效能優化，其中的Cinder JIT幾乎支援了所有Python運算程式碼，在許多Python效能基準測試中，更可以達到1.5～4倍的速度提升。</p> <p>Dropbox內部也有Modzelewski和Marius Wachtler等開發人員，開源了Pyston專案，現在已經更版到Pyston 2.2，最新5月的<a href="https://blog.pyston.org/2021/05/">發布</a>指出，Pyston 2.2在Web伺服器基準測試中，比普通Python快了30%，這還是保守的說法。這個版本也立基在CPython 3.8.8之上，融合了許多CPython的改變。</p> <p>不過，由於這些專案都不是Python官方所開發，而是各家企業為了在內部加快Python執行的速度，對CPython所做的修改。因此，魏澤人認為，Guido與微軟團隊主導的CPython效能改善，是官方標準版本的改變，能對更多Python使用者帶來影響。</p> <h3><span style="color:#FF8C00;">Python TIOBE流行度即將媲美C、Java</span></h3> <p>除了Python速度的加快，是未來可關注的焦點，Python近期流行度也大幅提升，根據熱門程式語言排行榜TIOBE Index的7月排行公布，前三名C、Java和Python分數前所未有的接近，依照現在的態勢，Python也很有機會超過C語言成為第一名。而Python排名的進步，可能與Python在疫情期間被用於尋找對抗病毒的藥物有關。</p> <p>魏澤人則是較以長期觀察的角度來評論，認為Python排名提升是許多因素綜合的結果。他推測，其中一大關鍵，可能是Python本身易上手、快速開發、用途廣泛的特性，推動學校紛紛開課教授這門程式語言，學生畢業後進入職場，又帶動職場IT開發語言的改變，而逐漸鞏固了Python的地位。</p> <p>尤其，Python不只能用於開發網頁、後端、行動應用程式以及嵌入式系統的應用，近年來AI的蓬勃發展，更掀起Python的新一波應用浪潮，加上Python雖然無法直接用於系統開發，但能作為膠水語言，並與其他如C、Java等語言搭配使用，無論是用於整合或串接各式各樣的系統（例如資料庫），或在進行數據計算時，用來連接其他語言編寫的函式庫等，都有用武之地。</p> <p>因此，他認為，無論Python日後是否如預期的奪下第一的寶座，未來幾年內掉出十名以外的機率較小，畢竟其他可能成為Python競爭對手的語言，如Julia、Rust，教學上還不夠普及，仍在發展的階段。</p> </div></div></div>
2021/7/16 16:21作者翁芊儒https://www.ithome.com.tw/news/145695
紀錄片導演坦承用Deepfake技術，讓已故名廚波登念出給友人的書信內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國奧斯卡導演Morgan Neville所製作的美國名廚暨節目主持人安東尼.波登（Anthony Bourdain）的紀錄片，即將於7月16日上映，然而，Neville對外透露片中有3句以Bourdain聲音說出的話，是利用AI及Deepfake技術所產生的，Bourdain並未實際說出這些話，而惹來了爭議。</p> <p>波登有多本有關料理及廚師界的著作，主持了《A Cook's Tour 》與《Anthony Bourdain: No Reservations》等膾炙人口的美食節目，不過他卻在2018年的6月自殺，終年61歲。</p> <p>Neville今年製作了一部介紹波登生平的紀錄片《Roadrunner》，並準備在7月16日上映，不過，Neville在接受《紐約客》（The New Yorker）編輯Helen Rosner專訪時透露，<a href="https://www.newyorker.com/culture/annals-of-gastronomy/the-haunting-afterlife-of-anthony-bourdain" target="_blank">他請軟體業者透過AI技術複製了波登的聲音</a>。</p> <p>那是在《Roadrunner》第二幕快結束時，由波登的藝術家好友David Choe唸出波登寄給他的一封電子郵件：「老兄，這問題或許有點怪，但我很好奇.....」接著Choe的聲音淡出，並由波登的聲音接手：「我現在的生活一團糟，你很成功，我也是，但我想知道，你快樂嗎？」</p> <p>於是Rosner詢問Neville如何取得波登說出自己信件內容的聲音，Neville表示，他找遍了所有波登曾上過的電視、廣播、播客或出版的有聲書，就是沒有他想要的這幾句話，使得他決定求助軟體公司，提供了波登十多小時的聲音紀錄，建立了一個波登的聲音模型，接著以電腦模擬與Deepfake製作了波登說出這些話的聲音，而且效果絕佳。</p> <p>Neville也坦承，假設沒有在影片中作出說明，觀眾根本不會知道哪些話是AI說的。</p> <p>《紐約客》討論的是Neville製作《Roadrunner》的過程，以及《Roadrunner》所要表達的內涵，然而，Neville承認他在紀錄片中以AI及Deepfake杜撰了波登的聲音卻掀起了另一波的討論，因為資安社群及各大社交平臺正在努力抗衡由AI創造的虛假影像與聲音，包括從某人口中以他自己的聲音說出他不曾說過的話，如同Neville在《Roadrunner》中的作法一樣。</p> <p>也許資安社群力抗Deepfake是為了杜絕不實資訊的散布，但為了藝術的Deepfake是否能被允許？</p> </div></div></div>
2021/7/16 18:22作者陳曉莉https://www.ithome.com.tw/news/145702
Google：今年以來已有33個零時差漏洞被開採，凌駕去年總和
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/how-we-protect-users-0-day-attacks/" target="_blank">Google本周透露</a>，從今年1月到6月間，駭客已經開採了33個零時差漏洞，凌駕了去年一整年的22個。而在今年已被攻陷的零時差漏洞中，有4個是由Google威脅分析小組所發現。</p> <p>該小組發現的4個零時差漏洞中，有兩個涉及Chrome瀏覽器，分別是CVE-2021-21166與 CVE-2021-30551，另一個是存在於IE中的CVE-2021-33742 ，而CVE-2021-1879 則與Safari的WebKit有關，而且開採這4個漏洞的是來自於3個不同的攻擊行動。此外，Google相信其中有3個零時差漏洞攻擊程式，是由同一個商業監控公司所開發，並將它們出售給兩個政府。</p> <p><a href="https://www.ithome.com.tw/news/145697" target="_blank">本周與微軟共同揭露DevilsTongue間諜程式的Citizen Lab</a>，則認為Google所指的商業監控公司，就是打造DevilsTongue的以色列業者Candiru。</p> <p>值得注意的是，駭客所攻陷的零時差漏洞逐年增加，例如2018年只有十多個，2019年增加至20個，2020年為22個，但光是在今年上半年就有33個零時差漏洞被開採。</p> <p>Google說明，被揭露的零時差漏洞與被開採的零時差漏洞之間並無直接的關聯，因為打造零時差攻擊程式的駭客其實希望所開採的漏洞不要被發現，才能發揮攻擊程式的最大潛力。</p> <p>Google也歸納了零時差攻擊漏洞激增的原因，例如可能不是攻擊行動變多了，而是軟體/平臺供應商開始會在所修補的漏洞中，註明是否已被開採。</p> <p>但也有可能是駭客使用愈來愈多的零時差攻擊程式，因為當軟體的安全保護更完善時，駭客就必須串連多個零時差漏洞才能達陣，再加上專門銷售零時差攻擊程式的駭客公司也變多了，以及組織安全意識的提高，也讓駭客必須採用更先進的零時差攻擊程式，才能成功入侵目標系統。</p> <p>不過，Google認為，駭客轉向零時差漏洞攻擊可能是件好事，因為這代表當供應商與使用者定期修補漏洞時，駭客已無法輕易開採這些已被修補的安全漏洞，而必須尋找成本更高的零時差漏洞。只不過，隨著開採的難度增加，市場上也出現了新的商業模式，由商業駭客公司打造攻擊程式來供客戶使用。雖然Google並未指名道姓，但以色列的<a href="https://www.ithome.com.tw/news/141784" target="_blank">NSO Group</a>與<a href="https://www.ithome.com.tw/news/145697" target="_blank">Candiru</a>都是屬於這類的公司。</p> </div></div></div>
2021/7/16 17:57作者陳曉莉https://www.ithome.com.tw/news/145701
民眾登記疫苗意願、預約施打又多一管道! 台北通App開始整合中央疫苗預約功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾登記疫苗意願、預約施打又多一個新的管道，從今天(7/16)開始，民眾登記意願或預約施打疫苗也可透過台北通App完成登記。</p> <p>由政務委員唐鳳帶領開發的疫苗預約系統，上周已開放民眾登記施打疫苗的意願，民眾可透過1922網站線上登記接種疫苗意願，至於符合資格的民眾，若想預約施打疫苗可透過1922網站或健保快易通App，不方便線上預約的民眾，也可到超商使用Kiosk或是藥局、地方衛生所，以健保卡預約施打疫苗。</p> <p>台北市政府與中央合作，配合中央疫苗接種的第三期，宣布今天早上十點開始，台北通App介接中央的COVID-19公費疫苗預約平臺，提供疫苗預約登記功能。這項功能不限台北市民眾，外縣市民眾也能使用，只要手機下載安裝台北通App並註冊會員，就能在App的疫苗預約專區，進行意願登記或預約施打，預約施打地點不限於台北市，可依民眾就近的縣市地點預約。</p> <p>進入台北通App的疫苗預約功能後，就會連到中央的COVID-19公費疫苗預約平臺，一般需要民眾手動輸入身分證或居留證號碼，健保卡號、手機號碼等個人資料，而使用台北通App預約的好處是，台北通會自動帶入民眾的資料，只要選擇希望接種的行政區、疫苗種類即可。</p> <p>使用台北通App完成預約之後，可隨時進入台北通App查詢個人預約疫苗的現況。</p> <p>民眾不論使用中央的預約系統或是台北通App，預約資料相同，台北市政府表示，台北通App提供更多元的預約管道，且預約者不限於台北市民，其他縣市民眾或外國籍民眾也能使用。不過，民眾只能在台北通App為個人預約，並不能幫家人預約。</p> <p>台北通App加入中央的公費疫苗預約管道之南後，目前民眾預約公費疫苗，在線上預約方面，可選擇使用健保快易通App或是台北市的台北通App，或是到1922網站輸入資料進行線上預約，若要到實體場所預約，則可至超商或藥局使用健保卡預約。</p> </div></div></div>
2021/7/16 16:25作者蘇文彬https://www.ithome.com.tw/news/145696
微軟與公民實驗室聯手揪出駭客公司Candiru打造的間諜軟體DevilsTongue
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大多倫多大學Munk全球事務學院旗下跨學科實驗室<a href="https://blogs.microsoft.com/on-the-issues/2021/07/15/cyberweapons-cybersecurity-sourgum-malware/" target="_blank">Citizen Lab與微軟本周揭露了</a>另一個來自以色列的間諜軟體DevilsTongue，它能夠感染與監控iPhone、Android手機、Mac、Windows PC及雲端帳號，全球已有超過100名受害者，是由一家神秘的駭客公司駭客公司Candiru所打造。</p> <p>DevilsTongue最早是由網路犯罪分析機構Team Cymru的遙測所發現，再由Citizen Lab出面向受害者取得被感染的硬碟並複製了DevilsTongue，再交給微軟進行分析。</p> <p><span style="font-size:28px;"><strong>DevilsTongue開採多個零時差漏洞</strong></span></p> <p>根據微軟的調查，DevilsTongue攻擊程式串連了瀏覽器與Windows作業系統的多個零時差漏洞，其中有兩個漏洞是<a href="https://www.ithome.com.tw/news/145633" target="_blank">微軟甫於今年7月修補的CVE-2021-31979與CVE-2021-33771</a>。</p> <p>其中，CVE-2021-31979為基於Windows NT之作業系統的整數溢位漏洞，可用來破壞鄰近記憶體中的物件，將物件轉成使用者模式至核心模式，以利駭客擴張權限；CVE-2021-31979起因於NTOS內的條件競爭，造成核心物件的釋放後使用，釋放後的記憶體被一個可控制的物件把持，同樣可用來擴張權限。</p> <p>此外，<a href="https://citizenlab.ca/2021/07/hooking-candiru-another-mercenary-spyware-vendor-comes-into-focus/" target="_blank">Citizen Lab則發現</a>，Google在3月於Chrome中修補的<a href="https://www.ithome.com.tw/news/143023" target="_blank">CVE-2021-21166</a>，以及6月修補的Chrome漏洞<a href="https://www.ithome.com.tw/news/144947" target="_blank">CVE-2021-30551</a>皆已被駭客開採，相關攻擊中用來散布惡意程式的9個網站中，有8個與Candiru的指紋匹配，相信這些惡意程式也與Candiru有關。</p> <p><span style="font-size:28px;"><strong>間諜能力強大</strong></span></p> <p>不管是微軟或Citizen Lab都還在研究DevilsTongue的功能，初步調查顯示它具備強大的間諜能力，包括基本的檔案蒐集、註冊檔查詢、執行WMI命令與查詢SQLite資料庫等，它能同時從LSASS與瀏覽器中竊取受害者的憑證，從Chrome、IE、Firefox、Safari到Opera，甚至能夠竊取加密傳訊程式Signal中的對話。</p> <p>此外，它還能自不同的瀏覽器取得Cookie，利用這些Cookie登入受害者所使用的網路服務以進一步蒐集資訊，還能直接透過受害者電腦使用這些Cookie，涵蓋臉書、Twitter、Gmail、Yahoo、Mail.ru、Odnoklassniki與Vkontakte，以讀取訊息與照片，或是直接以受害者名義傳遞訊息。</p> <p>此一訊息傳遞功能將允許駭客用來遞送惡意程式予其它的攻擊對象。</p> <p>微軟說，DevilsTongue功能強大，同時具備使用者模式與核心模式能力，也有厲害的防追蹤與反分析能力，所有的元素都顯示出DevilsTongue開發者非常專業，擁有撰寫Windows惡意程式的豐富經驗，也非常熟悉操作安全。</p> <p>微軟辨識出逾100名感染了DevilsTongue的受害者，有大約一半的受害者位於巴勒斯坦，其它的受害者則主要分布在以色列、伊朗、黎巴嫩、葉門、西班牙、英國、土耳其、亞美尼亞與新加坡，他們多半是人權鬥士、異議份子、新聞記者、活動家或政治人物。</p> <p>除了微軟分析了Windows上的DevilsTongue之外，據說DevilsTongue也能用來感染與監控iPhone、Android、Mac及雲端帳號。</p> <p><span style="font-size:28px;"><strong>低調的Candiru</strong></span></p> <p>有別於另一家以色列駭客公司NSO Group，Candiru刻意保持低調。其實<a href="https://www.forbes.com/sites/thomasbrewster/2021/07/15/facebook-iranian-fakes-hack-us-military/?sh=49799f635217" target="_blank">《Forbes》在2019年就曾報導過Candiru</a>，發現Candiru雖然在2013年登記了官網，但3年後便把官網關閉。</p> <p>除了沒有官網之外，Citizen Lab的調查則顯示，自2014年到2020年之間，Candiru總計換了5個公司名稱，從Candiru、DF Associates、Grindavik Solutions、Taveta到Saito Tech。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0716-Candiru%E2%80%99s%20corporate%20registrations%20over%20time.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">image: Citizen Lab</span></p> <p>不過，Citizen Lab依然從其它管道找到了Candiru的行銷文件，顯示它的主要客戶為各國政府，且售價昂貴。政府只要支付1,600萬歐元就能無限制地執行攻擊與感染行動，但同時只能監控10個裝置，若要同時監控15個裝置，那麼必須再額外支付150萬歐元，但受監控的裝置必須處於同一個國家。</p> <p class="rtecenter"><img alt="" src="https://citizenlab.ca/wp-content/uploads/2021/07/Fig-3b.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://citizenlab.ca/wp-content/uploads/2021/07/Test.png" style="width: 600px;" /></p> <p><span style="color:#696969;">image: Citizen Lab</span></p> <p>另有一名Candiru前員工曾控告Candiru，法院文件揭露了Candiru在成立兩年內就創下了3,000萬美元的營收，據傳客戶包括烏茲別克、沙烏地阿拉伯與阿聯酋、新加坡及卡達。</p> <p>根據Citizen Lab的掃描，全球約有750個網站為Candiru的間諜軟體架構的成員，且有不少網站冒充為各種倡議組織。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0716-Candiru.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">image: Citizen Lab</span></p> </div></div></div>
2021/7/16 16:38作者陳曉莉https://www.ithome.com.tw/news/145697
美國政府推出對抗勒索軟體單一入口網StopRansomware.gov
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體是一種惡意程式，會加密各種設備上的文件、檔案，致使相關文件、檔案無法使用，而駭客也會要求受駭者支付相關贖金，進而取得解密金鑰。</p> <p>美國政府為了對抗勒索軟體對於公民營機構帶來的威脅，日前推出一個對抗勒索軟體的單一入口網站：<a href="http://stopransomware.gov/">StopRansomware.gov</a>，這是一個跨美國政府各部門的單一網站，整合包括CISA（Cybersecurity & Infrasturcture Security Agency）、FBI（聯邦調查局）以及各個聯邦單位針對各種勒索軟體示警、報告和指引等相關資源。</p> <h2><span style="color:#0000FF;"><strong>勒索軟體針對關鍵基礎設施的攻擊視為恐怖攻擊，網站整合跨部門資源與工具</strong></span></h2> <p>因為勒索軟體對民眾帶來的威脅日益增加，美國國務院日前也將針對關鍵基礎設施的勒索軟體等惡意網路活動視為恐怖攻擊，提出1千萬美元獎金的正義獎勵計畫（RFJ），鼓勵各界提供相關惡意網路活動的攻擊者身分和位置等資訊。</p> <p>因此，美國政府為了降低勒索軟體對大眾的威脅，希望透過由政府部門推出的、對抗勒索軟體單一入口網站，讓各界可以了解更清楚勒索軟體帶來的威脅、風險、防護措施以及解決方案等，也可以讓受駭者可以更快取得相關的勒索軟體防護資源。</p> <p>其中，<a href="http://stopransomware.gov/">StopRansomware.gov</a> 網站也提供各種網站安全的評估工具，像是弱點掃描（<a href="https://www.cisa.gov/cyber-resource-hub#">Vulnerability Scanning</a>）、網路釣魚活動評估（<a href="https://www.cisa.gov/cyber-resource-hub#">Phishing Campaign Assessment</a>）、風險與弱點評鑑（<a href="https://www.cisa.gov/cyber-resource-hub#">Risk and Vulnerability Assessment</a>）、檢視網路韌性（<a href="https://www.cisa.gov/cyber-resource-hub#">Cyber Resilience Review</a>）、外部合作夥伴資源評估（<a href="https://www.cisa.gov/cyber-resource-hub#">External Dependencies Management Assessment</a>）、網路基礎設施調查評估（<a href="https://www.cisa.gov/cyber-resource-hub#">Cyber Infrastructure Survey</a>）、遠端滲透測試（<a href="https://www.cisa.gov/cyber-resource-hub#">Remote Penetration Testing</a>）、網路應用程式掃描（<a href="https://www.cisa.gov/cyber-resource-hub#">Web Application Scanning</a>）、網路安全評估工具（Cyber Security Evaluation Tool，CSET）以及系統架構設計驗證評估（Validated Architecture Design Review，VADR），對於企業組織在完善相關的資安防護，提高很大的便利性外，更重要的是，<a href="http://stopransomware.gov/">StopRansomware.gov</a>也針對關鍵基礎設施惡意網路活動的安全性提供相關的防護指引，正視勒索軟體對關鍵基礎設施可能帶來的威脅與風險。</p> <h2><span style="color:#0000FF;"><strong>No More Ransom是第一個對抗勒索軟體的資源平臺</strong></span></h2> <p>除了美國政府推出整合跨政府資源的對抗勒索軟體單一入口網站外，早在2016年7月，由荷蘭國家警察高科技犯罪部門（National High Tech Crime Unit of the Netherlands’ police）、歐洲刑警組織旗下歐洲網路犯罪中心（Europol’s European Cybercrime Centre），以及資安業者McAfee與卡巴斯基（Kaspersky）所共同創立的、對抗勒索軟體單一入口網站：<a href="http://www.nomoreransom.org/">www.nomoreransom.org</a>。</p> <p>No More Ransom網站目前已經有包含臺灣在內等41個執法機關加入外，並邀集各家資安業者共同投入相關資源，例如：Avast、Bitdefender、Check Point、Emsisoft、ESET、F-Secure與趨勢科技等，其他還有荷蘭與羅馬尼亞警方，西班牙電信的網路安全單位ElevenPaths，以及Bleeping Computer相關民間單位。</p> <p>目前網站也提供各種勒索軟體免費解密工具，包括：<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lorenz">LORENZ</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Avaddon">AVADDON</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Ziggy">ZIGGY</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#FONIX">FONIX</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#JudgeNoCry">JUDGE/NOCRY</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Darkside">DARKSIDE</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#ThunderX">THUNDERX</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Crypt32">CRYPT32</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Cyborg">CYBORG</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#CheckMail7">CHECKMAIL7</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#SpartCrypt">SPARTCRYPT</a>、<a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#CryCryptor">CRYCRYPTOR</a>等，希望可以在受駭者不需要支付贖金的前體下，順利解密檔案並恢復相關檔案的使用權。</p> <p>營運迄今滿5年的No More Ransom網站平臺，不僅納入41個國家執法機關以及資安業者，已經提供超過12種勒索軟體的免費解密工具，成為全球對抗勒索軟體重要的資源網站，兩個網站依據不同標的需求，提供不同的資源與工具，對於對抗勒索軟體威脅而言，兩者也都將扮演重要網路資源提供者的角色。</p> </div></div></div>
2021/7/16 16:51作者黃彥棻https://www.ithome.com.tw/news/145699
Google新增能刪除過去15分鐘內的手機搜尋紀錄的選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（15）日宣布<a href="https://blog.google/products/search/new-privacy-tool-search/" target="_blank">新增一項隱私功能</a>，讓手機或平板用戶刪掉過去15分鐘內的搜尋紀錄。</p> <p>這項功能是在今年<a href="https://blog.google/technology/safety-security/our-work-keep-you-safe/" target="_blank">Google I/O上首次公告</a>，而在本周正式推出。行動裝置用戶可以在Google帳號設定下的搜尋紀錄部分，按一下刪除掉Google儲存之前15分鐘內的搜尋紀錄。目前這項新功能提供iOS版Google App，但今年稍晚會加到Android版本中。</p> <p>這是Google最新增加的隱私選項。Google 2020年6月起讓用戶選擇可<a href="https://www.ithome.com.tw/news/138443" target="_blank">在3個月或是18個月自動且持續刪除資料</a>，設定的時間一到就會將資料刪除。不只搜尋，還可刪除地點紀錄、App、語音和YouTube的使用資料。這項設定也涵括手機及PC平臺。此外，新增的Google帳號則預設18個月，會自動刪除上網及App活動紀錄，不過使用者也能自行調整這項預設。</p> <p>Google未提及刪除15分鐘內搜尋紀錄的新功能，是否會實作到PC上。</p> <p>其他隱私功能方面，Google提醒你，點入<a href="https://blog.google/products/search/new-privacy-tool-search/" target="_blank">安全中心頁</a>，使用者可以總覽檢視自己的Google 帳號，了解密碼設定的狀況（或是否有不安全設定）、隱私與個人化設定，以及上網與應用程式紀錄等。</p> </div></div></div>
2021/7/16 17:13作者林妍溱https://www.ithome.com.tw/news/145700
技術管理者在商業與技術抉擇前，該考慮6件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於許多技術管理者或IT主管來說，常常會遇到商業與技術之間的取捨，但在這兩者之間如何做好對的決策，來平衡技術精進與商業價值的實現，也是不少IT主管常常會面臨的難題。近日一場技術管理者論壇上，商業思維學院院長游舒帆也傳授自身技術管理經驗，並也分享在平衡商業與技術之間，需要考慮到的幾件事。</p> <p>游舒帆在技術管理有多年豐富經驗，先後在鼎新電腦、TutorABC任職多年，不只曾擔任技術總監、架構師，更帶領300人規模產品團隊，直接面對市場與業務解決問題。離開公司後，他後來還創辦商業思維學院，致力推廣商業思維教育，並著有商業思維相關書籍。</p> <h2>第一件事：追求技術的登峰造極固然重要，但也能不忽略商業的目標</h2> <p>游舒帆表示，從商業角度來看，商業更強調的是價植，反觀，技術強調登峰造極，追求效能最好、品質最佳，但在鑽研技術過程中，很有可能忽略到商業目標，若是將它捨棄，技術上又很難持續精進。即使有些不合乎經濟效益，但他認為，在追求99%~100％的過程中，是技術能力精進的重要環節，只是說，有些時候大家在追求技術卓越過程中，也不能忽略了技術某種程度是為了創造價值而存在，他指出，兩者之間可能會有判斷權衡，但沒有百分百的對或錯。</p> <p> </p> <h2>第二件事：透過商業結構解構，從解決問題到更好地解決問題</h2> <p>許多IT主管都知道要花時間減少技術債，但他也說，當大家在談技術債時，業務的需求經常比技術債來的重要，因為需求講得出價值，技術債不好衡量，但他也反問，技術債真的沒價值嗎？並不是，他解釋，債是長年累積下來，對於公司有根深蒂固的影響，積欠大量的債，若是沒有確實加以管理，對於長遠發展，將容易造成負面的影響。</p> <p>游舒帆也提到說，這個問題的出現，其實跟許多企業組織多以業務導向有關，他也分享自身經驗，過去幾乎公司所有人都可向開發團隊或工程師提出需求，這樣的結果，就是造成開發人員很難有時間做自己該做的工作（如減少技術債），所以，為了改善這個問題，他當時除了跟業務部門主管反應，後來更引進產品經理的角色，做為業務與開發團隊之間的溝通橋樑，由產品經理蒐集需求，來與相關人員溝通，而不是直接找工程師提需求，並且所有的需求處理，都可以透過運營及數據資料做支撐，來決定處理優先順序。</p> <p>儘管對於開發團隊而言，首要任務就是解決問題、解Bug或解技術債，但游舒帆認為，開發團隊要學習更進⼀步，「從解決問題到更好地的解決問題，」他說，有時更好地解決問題可能不是技術解，也可能是流程解，或是管理機制解。舉例來說，有些產品開發週期長，是不是可以先透過人工方式驗證其可行性，而不一定要透過技術的使用才可以解決。</p> <p>「而當你願意從整個商業架構來解構，我們能跟業務或甚至老闆談的東西也就更多，從解決問題到更好地的解決問題」。</p> <h2>第三件事：為何技術管理層級越高，做出來的決策經常差強人意？</h2> <p>游舒帆表示，不論從科技進步角度，或從組織管理決策角度推導，實務上都可以發現，現在公司做決策的這群人，他們過去經驗適用性越來越低，所做的決策越來越差強人意。這些決策者可能是基層主管、高階主管或是公司老闆，而且層級越高，這樣的問題就越嚴重。</p> <p>他解釋，這是因為現在做決策的高階主管，以前可能是基層開發人員，但當了管理者之後，有一段時間不碰專業與技術，除了管理能力的精進，對於專業能力往往停滯不前，他說，這也是臺灣許多IT主管遭遇到的問題，自己要做決策，又很難賦權給下屬，讓他們提供建議，讓主管做出好決策，所以，就容易做出差強⼈意的決策，一直循環就變成債，因此，管理債就是這樣累積下來，最後只能寄託轉型一途，但還是未能理解何為真正問題。</p> <p>游舒帆也說，以前大家會習慣怪老闆或主管，他們做出爛決策，但只要釐清脈絡，就可以知道這些人就算再英明神武，很難在高度不確定環境變化下做出好的決策。「別期待英明神武的⽼闆，這也是每個⼈的事」。</p> <p>但反過來說，相較於基層人員，公司層級越高的⼈對於商業狀況較能夠掌握，但到層級越低者，了解程度相對就不足。所以當這些人對商業完全⼀無所知，沒有理解時，其實也沒辦法平衡技術與商業之間的決策，到底哪個才是對的決策。 </p> <p>所以，游舒帆認為，解決問題的關鍵，得靠組織⼈⼒調整，才能解決。尤其⼈的能⼒必須要重新被定義，讓它更有效地⾯對外部的變化，提升自身應變速度。</p> <h2>第四件事：如何解決商業決策和科技決策之間的落差？</h2> <p>面對商業決策和科技決策之間有落差，游舒帆也提出幾種解法，一種是將商業決策和科技決策分開，也就是將管理職與專業職加以區分，例如阿⾥巴巴就採用這樣的雙軌方式，管理職專注於商業⾯管理決策，技術職專注在科技與技術管理決策，透過職掌畫分的方式，來確保做出好的商業與技術決策。</p> <p>第2種解法，是讓科技決策主管稍微往商業決策靠攏，因為比起從商業跨入科技領域專業，對於科技、⼯程背景的人來說，要具備一定商業理解和概念要容易許多。他表示，這樣的人不需要知道商業設計的全貌，也不一定需要知道所有⾏銷⼯具，但不能對整個商業做的事情⼀無所知。他也說，採用這個方式的好處是，企業較不⽤⼤幅調整⼈⼒資源制度，就有機會做到。 </p> <p>另外也可重新思考組織架構，根據要解決問題的不同，從組織面進行調整，像是從功能型組織，轉為專案型組織，甚至更進一步發展成為敏捷組織，來解決大多數問題，不過他也點出敏捷組織的問題，目前主要還是以開發團隊採用為主，並沒有跨出開發團隊。</p> <h2>第五件事：商業不是老闆的事，基本上是每個人的責任</h2> <p>面對現今多變且複雜的環境挑戰，游舒帆反覆強調，商業已經不是老闆⾃⼰的事，基本上是每個⼈的責任，如果自己希望產出的東西是有價值，但又不理解問題出在哪裡，也不願意花時間了解商業內容，這只說明了，你自己把交付價值這件事的權利，放在別人⾝上，一旦他的決定錯了，你就錯了，這才是最可怕的事。</p> <p>他也以上游思維的概念，來說明當往上游走去，可以找到哪些解決問題的方法，他建議大家可以轉個念頭，從解決老闆的問題，就是解決你自己的問題角度來重新思考，試著調整自己的心態，做好本份⼯作，也替公司創造價值。他也說，如果以換⼀艘船或換⼀片海打比方，比起換工作（換船搭），換腦海可能是比較好的選擇。</p> <h2>第六件事：商業與技術平衡的3個關鍵元素，技術、商業與人文缺一不可</h2> <p>最後，游舒帆也提到商業與技術平衡有3個重要元素，分別是技術、商業與人文。他進一步說明，所謂的技術就是追求技術極致的過程，持續嘗試挑戰新的作法，因為這些新技術未來有可能更好地解決企業舊問題，而商業則強調價值，做的東⻄必須有價值，並透過驗證來證明其價值，再以此決定作法。</p> <p>除了商業與技術外，他提到另一項元素則是人文，他點出人的環節同樣重要，尤其身為一個技術管理者，如何激勵和領導團隊很重要。他認為，這是影響未來世界很重要的3股⼒量。</p> </div></div></div>
2021/7/16 10:55作者余至浩https://www.ithome.com.tw/news/145685
前賽門鐵克消費部門正洽談收購Avast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.nortonlifelock.com/About/Investors/press-releases/press-release-details/2021/NortonLifeLock-Inc.-Possible-Combination-with-Avast-PLC-Avast-or-the-Company/default.aspx" target="_blank">NortonLifeLock本周宣布</a>有意收購捷克防毒軟體公司Avast，成為這家業者為重振消費者安全產品的最新收購計畫。</p> <p>NortonLifeLock是2019年<a href="https://www.ithome.com.tw/news/132339" target="_blank">博通107億買走</a>賽門鐵克企業安全產品及品牌後的業務部門，主要是消費者防毒產品Norton及身分防護產品LifeLock。NortonLifeLock。本周Avast宣布和NortonLifeLock正在洽談收購事宜，昨日NortonLifeLock也證實，正和Avast董事會進一步討論和NortonLifeLock合併事宜。</p> <p>NortonLifeLock指出，NortonLifeLock和Avast合併將可集結兩家願景一致、公司背景互補以及積極創新的公司，雙方也致力於推動為客戶、員工及股東帶來最大效益的合併。這樁交易可能由NortonLifeLock以現金加換股方式達成收購。</p> <p>創立於1988年的Avast擁有多項產品及子公司，包括AVG防毒、磁碟清理工具Piriform CCleaner及TuneUp、Privax VPN。Avast 2020年<a href="https://www.ithome.com.tw/news/135577" target="_blank">出售了</a>盜賣用戶個資的子公司Jumpshot。</p> <p>這項收購如果成真，將是NortonLifeLock最新一樁收購。去年12月NortonLifelock以3.6億美元<a href="https://www.ithome.com.tw/news/141519" target="_blank">收購德國防毒軟體業者Avira</a>。這樁交易也顯示即使微軟在Windows中加入防毒功能，但安全業者認為，面對消費大眾的防毒及安全市場仍然有其機會。</p> <p>無獨有偶，<a href="https://www.ithome.com.tw/news/143106" target="_blank">McAfee今年3月</a>也以40億美元出售企業安全資產，專注在消費者安全業務上。</p> </div></div></div>
2021/7/16 13:27作者林妍溱https://www.ithome.com.tw/news/145693
研究人員揭露藉由釣魚郵件散布BazarBackdoor的攻擊行動，駭客利用多重壓縮檔案來規避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者在利用釣魚郵件散播惡意軟體的過程中，為了避免遭到郵件防護系統的攔截，會使用電子郵件較為少見的檔案格式來打包作案工具，像是<a href="https://www.ithome.com.tw/news/145659">光碟映像檔格式ISO、IMG，壓縮格式CAB</a>，以及<a href="https://www.ithome.com.tw/news/145336">微軟提供Windows部署的映像檔格式WIM</a>等。但除了在附件採用較特別的格式外，也有攻擊者採取不同的作法，來規避郵件防護系統的檢測。釣魚郵件防護解決方案業者Cofense，<a href="https://cofense.com/blog/nested-files-evade-segs/">在7月14日揭露散布惡意程式BazarBackdoor的釣魚郵件攻擊行動</a>，攻擊者為了讓郵件安全閘道跳過檢查附件內容的程序，他們竟將附件的檔案以ZIP、RAR等格式打包數次來達到目的。</p> <p>研究人員指出，多重打包的做法並非新手法，但攻擊者藉此繞過了郵件安全閘道的把關，並將釣魚郵件傳送到受害人的電子郵件信箱。他們舉出其中一封釣魚郵件的附件，來說明這波攻擊中，駭客如何打包附件檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/multi-arc-phishing.png" style="width: 580px; height: 390px;" /></p> <p>這封電子郵件是以7月7日舉辦環境日活動的名義為誘餌，並在信件內容表示，相關的介紹隨附於附件。附件總共有2個壓縮檔案，分別是「Info.rar」和「Brief for colleaques.zip」。但Cofense分析後發現，這2個不同格式的壓縮檔，裡面都包含了JavaScript檔案，以及多個分割後的壓縮檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/info-rar.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/info-rar.png" style="width: 580px; height: 125px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/brief-zip.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/brief-zip.png" style="width: 580px; height: 144px;" /></a></p> <p>針對JavaScript檔案進行研究後，Cofense指出，這2個檔案的內容皆採取高度混淆處理，來規避郵件安全閘道的解析。一旦觸發之後，這些檔案透過HTTP GET的連線，來下載以PNG為副檔名的BazarBackdoor酬載，而將惡意酬載設置PNG副檔名的用意，也是要躲過端點與網路防護系統的分析。</p> <p>這個惡意酬載一旦下載到了受害電腦，便會在檔案系統重新命名與移動。之後，前述的JavaScript檔案便會觸發它。</p> <p>BazarBackdoor是一種木馬程式，攻擊者用它在受害電腦上建立據點，藉此進一步植入其他惡意軟體。研究人員認為這個木馬程式的開發者，與Trickbot相同，因為兩款惡意程式共用了多項模組化的酬載。不過，在這起事故中，攻擊者究竟利用BazarBackdoor在受害電腦植入何種惡意程式？Cofense沒有說明。</p> </div></div></div>
2021/7/16 12:47作者周峻佑https://www.ithome.com.tw/news/145691
微軟Microsoft 365將再找回小迴紋針
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟的Office不斷演進，有些東西來了又走，像是有人覺得可愛，也有人覺得擾人的小迴紋針助理（Clippy）。不過微軟決定在Microsoft 365重新把小迴紋針加回來。</p> <p>微軟昨（15）日透過<a href="https://twitter.com/Microsoft/status/1415370520888061955" target="_blank">官方推特帳號做了個小活動</a>，只要推文集滿2萬個讚，他們就將Microsoft 365中的迴紋針表情圖示改成Clippy。2萬個讚要求並不高，因此到今天已經將近集滿16萬個讚了。也就是說，有雙大眼及粗眉的小迴紋針要回來了，雖然只是表情圖示而已。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0716-clippy.png" style="width: 400px;" /></p> <p>微軟是在Office 97首度加入Clippy。它設定的角色是小助理，不時跳出來提供使用者功能提示。Clippy可愛的造型動畫及音效，但是也有人覺得沒什麼用，還很擾人，得一直去關閉它。微軟在2001的Office XP拿掉了Clippy，而改提供工作窗格、智慧標籤等提示功能。</p> <p>但是微軟內部似乎一直很想再幫Clippy找到個位置。2019年微軟一些員工偷偷把Clippy做成Teams的動畫貼圖，但遭到公司官方的「取締」又將之拿下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0716-clippy-600.png" style="width: 550px;" /></p> <p><a href="https://imgur.com/gallery/WCrYVig" target="_blank"><span style="color:#696969;">image: grasskidgreshi on imgur</span></a></p> <p>微軟也貼出了可能是Clippy的新造型示意圖。至於何時可以再見到這個小迴紋針，<a href="https://twitter.com/Microsoft/status/1415400146452553734" target="_blank">微軟僅表示大家請拭目以待</a>。</p> </div></div></div>
2021/7/16 13:14作者林妍溱https://www.ithome.com.tw/news/145692
微軟不慎洩露Windows 365首個方案價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日微軟在Inspire大會上<a href="https://www.ithome.com.tw/news/145637" target="_blank">公布了新一代虛擬桌面服務Windows 365</a>，預計8月2日正式上線。微軟保密不公布收費水準，但仍然在無意間洩露了其中一項方案的價格。</p> <p>在服務提供方式上，Windows 365是將Windows與運算、記憶體、儲存包裹成不同級別的Cloud PC套件，包含Enterprise及Business兩大類方案，各類都可再細分12種Cloud PC組態，以涵蓋微型到大型企業需求。Windows 365按人頭計價，企業可在不同組態中再選擇要訂閱多少用戶。不過微軟不願提早透露價格，堅持要等到8月2日正式發布時才公布。</p> <p><a href="https://www.theverge.com/2021/7/15/22578396/microsoft-windows-365-pricing-skus-monthly-subscription-cost" target="_blank">The Verge</a>及<a href="https://twitter.com/dsghi/status/1415540742051680258" target="_blank">科技使用者</a>發現，<a href="https://myinspire.microsoft.com/sessions/7478af21-17ba-457a-a2b6-a9239f95ee6d?source=sessions" target="_blank">微軟昨日展示如何訂閱時的頁面中</a>，出現了一個組態的價格。Business方案中若選擇2 CPU、 4GB RAM和128GB 儲存空間時，每人每月為31美元。本項組態（稱為SKU）最多可訂閱300人。</p> <p>微軟官方也向The Verge證實的確有這個價格。但微軟也指出，這只是其中一個SKU的價格，微軟還提供更多SKU和價格的選擇，會在正式發表時公布。</p> <p>按照微軟公布的資訊，每個Cloud PC設定最小到1CPU、2GB RAM、64GB雲端儲存，最大到8CPU、32GB RAM及512GB雲端儲存。</p> <p>事實上虛擬桌面技術由來已久，除了微軟自己的Azure Remote Desktop，Citrix Virtual Apps and Desktops為早期就相當知名的企業桌面虛擬化產品。為此微軟以容易使用及設定為區隔，即使是欠缺IT人力的小型、微型企業都能很快訂閱並部署使用，也是傳統產品欠缺的優點。</p> <p>這類虛擬桌面技術最大好處是彈性部署及可管理性。Windows 365是微軟以Azure Remote Desktop為基礎開發的虛擬桌面方案，可將Windows上的應用程式、設定或檔案串流到用戶所在的各種裝置上運行，使用者端不需一台專屬PC，使之相當適合用於衛星辦公室、大量約聘人員的公司，或是後疫情時代遠距上班的作業型態。</p> <p>有人相信，雖然目前Windows 365被包裝成企業服務，但未來也很可能會推出消費者服務。</p> <p><a href="https://techcrunch.com/2021/07/14/could-cloud-pcs-be-microsofts-gateway-to-chromebook-like-hardware/" target="_blank">Techcrunch</a>分析，Windows 365配合Office 365及Edge，正好創造出有利於類似Chromebook的市場利基，為微軟的Chromebook 競爭產品推出鋪路。</p> </div></div></div>
2021/7/16 12:10作者林妍溱https://www.ithome.com.tw/news/145689
另類Bug Bounty！美國務院提供1千萬美元獎金，鼓勵各界提供惡意破壞關鍵基礎設施資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國務院日前公布一份另類Bug Bounty（漏洞獎勵計畫），獎金高達1千萬美元。不過，這個漏洞獎勵計畫和一般由漏洞揭露平臺或業者提供的計畫不一樣，這個正義獎勵計畫（Rewards for Justice，RFJ）是由美國國務院的外交安全局推出的計畫，是針對如果有惡意人士依照外國政府只是或遭到惡意控制的情況下，針對美國關鍵基礎設施發動各種網路攻擊活動，或者是違反美國「電腦詐欺與濫用法案」（CFAA）等作為，只要可以提供攻擊者的相關身分或位置資訊，就可以得到獎金。</p> <p>這個正義獎勵計畫從1984年開始，剛開始是為了對抗國際恐怖主義的反恐獎勵措施，迄今，已經提供2億美元的獎金，給超過一百名提供相關反恐資訊的各界人士。但隨著網路攻擊逐漸普及，針對美國關鍵基礎設施的惡意網路活動，除可視為違反美國「電腦詐欺與濫用法案」外，像是勒索軟體一旦鎖定關鍵基礎設施發動攻擊，便可視為是一種恐怖攻擊活動。</p> <p>因此，美國國務院此次推出的正義獎勵計畫的獎金，便針對鎖定關鍵基礎設施的各種網路惡意活動，不論是勒索軟體針對關鍵基礎設施發動攻擊；例如，各種未經授權的連網行為，藉此取得相關機敏資訊；或者是惡意攻擊行為，導致各種未經授權的資訊傳輸，對受保護的電腦或系統造成損害，而這些受保護的電腦或系統則包括：影響美國各州或是國外商業或通訊的資訊系統在內。</p> <p>為了確保外界提供的資訊受到保障，美國國務院也在暗網，提供一個必須經由Tor（洋蔥瀏覽器）連結的通訊管道，以確保資訊和人員的安全性外，正義獎勵計畫也會和不同合作夥伴合作，確保資訊可以快速處理和確認外，也會以加密貨幣支付相關獎金。</p> </div></div></div>
2021/7/16 12:17作者黃彥棻https://www.ithome.com.tw/news/145690
Cloud周報第112期：基隆市整合3千處場所圖資建雲端資料庫，供消防員即時取用，爭取更多救災時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/07/08～2021/07/14）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基隆市消防局 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 火災救援 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端資料庫 </span></strong></p> <p><strong style="font-size: 22px;">基隆市建救災圖資雲端資料庫，求抵火場前即掌握場所環境，提升救災效率</strong></p> <p>基隆市消防局日前宣布啟用雲端資料庫「救災公共雲」，整合風險較高和消防力不易到達地區的救災資料，供消防人員在抵達火災現場前，就可在車上預先掌握現場環境狀況，爭取更多救災時間。截至7月，這個雲端資料庫已整合基隆市超過3千處，涵蓋建築物列管場所、危險物品場所、狹小巷道、易混淆街道、太陽光電發電設備場所、歷史建築等地，在火災搶救時需要的平面圖等救災資訊。</p> <p>消防員在前往火災地點途中，可藉由救災管制平板連結「救災公共雲」，即時取用救災資訊，而支援災害現場的消防分隊也可以利用雲端資料，無縫投入救災行列。基隆市消防局表示，「救災公共雲」提供消防員詳細的路資、圖資及人資，讓打火不再是盲人摸象，而是按圖索驥，能有效降低消防員傷亡事件，並提升救災效率。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 虛擬桌面 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Windows作業系統 </span></strong> </p> <p><span style="font-size: 22px;"><strong>微軟發表新虛擬桌面服務Windows 365，降低設定、部署</strong></span><span style="font-size: 22px;"><strong>門檻</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(38).png" style="width: 600px; height: 321px;" /></p> <p>微軟正式發表全新虛擬桌面雲端服務Windows 365，提供更簡易的使用方式，讓不論規模大小的用戶，都可以在任何地方、使用任何連網裝置，來連線使用Windows 10或是Windows 11，執行Windows桌面上的應用。微軟把自家旗艦產品Windows作業系統，放上雲端，要串流完整的Windows體驗，涵蓋應用程式、數據和設定，到任何裝置。因此，用戶採用的裝置不受限制，不管是Mac、iPad，還是Linux或Android裝置都可以，只要裝置的處理能力、儲存空間、記憶體等配置，符合自身需求，就可以通過服務原生應用程式，或是網頁瀏覽器，來連線存取Cloud PC。</p> <p>過去，企業已經可以通過Azure Virtual Desktop服務，存取Windows作業系統，對於Azure Virtual Desktop和Windows 365的差異，微軟表示，Windows 365是一項專屬Windows的全新虛擬化技術，專為現今隨時隨地登錄、移動和彈性的工作環境需求而設計，它易於建立和部署。Windows 365按使用者人數計價，並採月費制，預計會在8月2日正式推出。<a href=" https://news.microsoft.com/2021/07/14/microsoft-unveils-windows-365-ushering-in-a-new-category-of-computing/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國防部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端基礎設施 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多雲架構 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國防部取消百億美元JEDI雲端合約，決定改採多雲策略翻新運算基礎設施</strong></span></p> <p>美國國防部日前宣布，由於需求不斷地變化，再加上雲端運算技術更加進步，決定中止已不再滿足其需求的雲端運算基礎設施《聯合企業防禦基礎設施》（JEDI）合約，同時，展開新雲端需求合約的規畫工程。JEDI合約原由微軟在2019年單方獲得，因該紙價值100億美元的合約，採單一家業者獨得的方式，因此從招標過程到發布得標結果後，一直風波不斷。原呼聲最高的亞馬遜，在微軟取得JEDI合約後，向法院提出抗議，而法院在去年2月禁止國防部執行JEDI合約。</p> <p>美國國防部將新合約命名為《聯合作戰人員雲端能力》（Joint Warfighter Cloud Capability，JWCC），轉採多雲策略，由多家雲端業者一同負責，並規畫採交付不定期限，且採購數量也無定限的方式進行。不過，美國國防部僅給予微軟與亞馬遜，提出JWCC合約提案的資格，因只有這兩家業者的雲端能力符合其需求，若有其它業者自認能夠滿足相關需求，需再向國防部提出討論。<a href="https://www.defense.gov/Newsroom/Releases/Release/Article/2682992/future-of-the-joint-enterprise-defense-infrastructure-cloud-contract/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式配置 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 版本比較 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>AWS配置功能AppConfig新增配置檔版本比較功能，更容易發現配置檔錯誤避免造成應用中斷</strong></strong></p> <p>AWS系統管理服務Systems Manager中的配置功能AppConfig，近日新增了一項功能，供企業比較應用程式任意兩個版本的配置。通過新功能，企業可以清楚掌握兩個比較版本中，更改配置值之間的差異，協助開發人員和DevOps人員了解配置數據，隨時間演進如何變化。</p> <p>以往開發人員需要手動檢查，新配置版本與舊版本之間的差異，以降低配置部署後，發生應用程式中斷的機會。現在，開發人員可以將配置數據儲存為AppConfig的託管配置，或是從S3和Systems Manager文件中檢索現有配置，就可以在部署應用程式預期配置值時，在管理控制臺中比較任意兩個版本的配置。<a href="https://aws.amazon.com/about-aws/whats-new/2021/07/aws-appconfig-now-enables-customers-to-compare-two-application-configuration-versions/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 身分驗證 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資料庫服務 </span></strong></p> <p><strong style="font-size: 22px;"><strong>Google簡化企業存取資料庫的驗證流程，Cloud SQL for MySQL正式支援IAM資料庫身分驗證功能</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/3(43).jpg" style="width: 600px; height: 319px;" /></strong></strong></p> <p>Google宣布在資料庫服務Cloud SQL for MySQL中，啟用IAM資料庫身分驗證功能，簡化用戶身分驗證的流程。通過新功能，企業管理員可以利用短期存取權杖，授權終端用戶，而不用使用資料庫密碼登入，來使用一組單獨的憑證存取資料庫。這個新作法降低身分管理的複雜性，且Cloud IAM集中身分管理方法，也使得雲端資料庫服務的身分驗證和授權，達到一致。</p> <p>進一步來看，新功能使管理員能藉由Google雲端的集中存取管理系統Cloud IAM，來管理MySQL資料庫的管理和連接存取。Cloud Identity提供的密碼系統可讓管理員建立，高強度且統一的安全態勢，維持雲端系統符合法規規定。Google表示，和資料庫內建的身分驗證方法相比，IAM資料庫身分驗證減少需要企業管理的密碼，終端用戶和應用程式都可以使用IAM資料庫身分驗證，連接至資料庫進行存取。<a href="https://cloud.google.com/blog/products/databases/iam-database-authentication-comes-to-cloud-sql-for-mysql">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 安全群組 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 虛擬防火牆 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">AWS簡化安全群組管理工作，推出會自動產生辨識碼的安全群組規則ID新功能</span></strong></strong></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/4(27).png" style="width: 600px; height: 264px;" /></span></strong></strong></p> <p>AWS推出簡化安全群組管理規則的新功能，名為VPC安全群組規則ID（VPC Security Group Rule ID）。安全群組可以充當企業雲端資源的虛擬防火牆，像是控制Amazon EC2執行實例，或是Amazon RDS資料庫的出入口網路流量，而這項新功能提供唯一辨識碼安全群組規則ID。當企業在安全群組添加規則時，系統會自動建立辨識碼，並且添加到安全群組規則中，成為企業在AWS地區中辨識安全群組的唯一ID。</p> <p>安全群組規則由協定、來源或是目標IP位置，以及連接埠等組合而成，以往企業使用AWS命令列工具或是API修改安全規則時，必須要指定組合元素以辨識規則，但這產生了很長的命令列工具的命令，不只輸入和讀取很麻煩，而且容易出錯。通過新功能，除了可簡化命令列工具的命令，企業也可以標記安全群組規則，就像是其他AWS資源一樣，藉由使用標籤跨多個安全群組，快速列出或是辨識出一組安全群組規則。AWS表示，之後還會推出其他的安全群組管理功能，漸進簡化安全群組管理規則。企業現可在所有AWS地區中，使用這項新功能。<a href="https://aws.amazon.com/tw/blogs/aws/easily-manage-security-group-rules-with-the-new-security-group-rule-id/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 執行實例 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">全球超級電腦最新排名：Azure、AWS運算執行實例進前50大</span></strong></strong></p> <p>2021年上半的全球500大超級電腦名單近日公布，兩大公有雲AWS和Azure的執行實例表現不俗，排名進入前50大。Azure在美東的Pioneer-EUS、美中南部的Pioneer-SCUS2、荷蘭的Pioneer-WEU及美西的Pioneer-WUS2，採用Nvidia GPU A100、AMD EPYC CPU，分別排名26到29名。以美東的Pioneer-EUS為例，總共使用157,440個核心，實現最高效能16.59Pflop/s。Amazon EC2執行實例叢集排名則來到第40名，也就是地理分析平臺Descartes Labs使用AWS EC2建置的超級電腦。臺灣超級電腦的表現，今年則只有臺灣杉三號進入500大，且由去年的第183名退到227名。</p> <p>最快超級電腦仍然是由日本的理化學研究所和富士通共同合作打造的超級電腦Fugaku，採用客製ARM 處理器，常用於機器學習及AI運算任務，是第一個運算速度達Exascale等級超級電腦，也是第二名美國橡樹嶺國家實驗室的IBM Summit的3倍。本次榜單中，唯一新進榜者則是上個月才上線啟用，全球最快的AI超級電腦Perlmutter，排名第五。<a href="https://www.top500.org/lists/top500/2021/06/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅情報管理工具 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">微軟收購資安業者RiskIQ，協助Azure用戶更快找到攻擊表面</span></strong></strong></p> <p>微軟日前宣布收購威脅情報及攻擊面管理廠商RiskIQ，強化旗下雲端產品Azure和Microsoft 365的防護力。RiskIQ旗下產品提供企業辨識Azure、AWS等公有雲，還有本地部署，以及供應鏈上的不安全資產，並會在攻擊發生前予以修補、矯正。待併購案完成後，RiskIQ將納入微軟多雲及混合雲安全產品線，包含惡意程式防護Microsoft 365 Defender、虛擬化及容器安全產品Microsoft Azure Defender及安全資訊事件管理（SIEM）Microsoft Azure Sentinel等。</p> <p>微軟雲端安全部門主管Eric Doerr表示，隨著企業有越來越多應用程式、IoT應用和基礎架構，橫跨多個雲端環境執行，掌握整體網路架構的所有資產，愈來愈重要，促成微軟收購RiskIQ。RiskIQ產品將可協助Azure用戶找出攻擊表面、攻擊者基礎架構及活動之間的關聯，以更快訂定防護及回應方法。<a href=" https://www.microsoft.com/security/blog/2021/07/12/microsoft-to-acquire-riskiq-to-strengthen-cybersecurity-of-digital-transformation-and-hybrid-work/">（詳全文）</a></p> <p>圖片來源／微軟、基隆市消防局、Google雲端、AWS</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. IBM收購容器及K8s服務商BoxBoat，強化全球顧問服務部門的混合雲服務能力<a href="https://newsroom.ibm.com/2021-07-08-IBM-to-Acquire-Premier-Hybrid-Cloud-Consulting-Firm">（詳全文）</a></p> <p>2. HPE整併SQL資料存取工具Ampool，要協助GreenLake用戶在雲端從事資料分析及建立AI/ML應用<a href=" https://www.hpe.com/us/en/newsroom/blog-post/2021/07/hpe-acquires-ampool-to-accelerate-hybrid-analytics-for-customers.html">（詳全文）</a></p> <p>3. IDC：全球本地端雲端基礎設施服務（DCIaaS）市場規模將在2025年時，達到140億美元，年均複合增長率為151.8%<a href=" https://www.idc.com/getdoc.jsp?containerId=prUS48051521">（詳全文）</a></p> <p>資料來源：iThome整理，2021年7月</p> </div></div></div>
2021/7/16 10:33作者黃郁芸https://www.ithome.com.tw/news/145681
VS Code 1.58讓用戶可在編輯器中嵌入終端機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新版本的<a href="https://code.visualstudio.com/updates/v1_58#_jupyter-interactive-window">VS Code 1.58</a>迎來了許多新功能，包括在編輯器中嵌入終端機，以及改善可信工作區（Workspace Trust），同時也強化了Jupyter筆記本的可操作性和除錯功能。</p> <p>微軟在VS Code 1.57的時候，加入了可信工作區功能，讓用戶可以提供額外的描述，來說明工作區域的安全性，這允許用戶配置資料夾，受信任的資料夾將允許自動程式碼執行，不受信任的資料夾則無法自動執行程式碼。這項能夠強化安全性的功能，收到了許多用戶在實際使用上的抱怨。</p> <p>因此微軟對該功能進行小更新，第一，可信工作區編輯器的標題，現在會顯示配置設定的選項，使用戶更容易發現自定義可信工作區的配置，而另一個更新則是，允許用戶配置指示當前視窗，處在受限模式橫幅出現的時機，在預設情況下，每個工作區僅會顯示一次，並且直到被關閉才會消失，開發者可以更改為總是顯示或是永不顯示。</p> <p>VS Code 1.58的另一項改變則是，開發者可以在編輯器區域，創建或是移動終端機，以網格布局呈現多終端機的畫面，且無論面板的狀態為何，多維網格布局都會留存並且可見。另外，新的設定terminal.integrated.defaultLocation可以用來設定編輯器，預設會讓新創建的終端機出現在編輯器區域。</p> <p>對於常用到數學公式開發者的好消息，Markdown開始預覽支援KaTeX。KaTeX是一個在網頁瀏覽器顯示數學符號的跨瀏覽器JavaScript函式庫，而現在VS Code 1.58內建的Markdown，可以渲染使用KaTeX編寫的數學等式。</p> <p>微軟正改善開發者在VS Code中，使用Jupyter互動視窗的體驗，已經在Jupyter擴充套件加入jupyter.enableNativeInteractiveWindow配置，只要啟動該功能，從Python檔案執行程式碼，或是直接從命令面板啟動時，Jupyter擴充套件會開啟內建編輯器，而非啟動Webview實作。</p> <p>在Jupyter筆記本除錯方面，官方讓用戶可以在筆記本單元設置中斷點，逐步執行單元，並使用其他VS Code除錯器的功能，不過，目前這還是實驗性功能，用戶可以透過更改配置，且在選擇安裝核心ipykernel第6版，如此就可以先試用這項功能。</p> </div></div></div>
2021/7/16 11:18作者李建興https://www.ithome.com.tw/news/145674
Android 12使用機器學習技術，加速螢幕自動旋轉功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2021/07/android-12-beta-3.html" target="_blank">Android 12到了第3個Beta測試版</a>，仍繼續加入許多新功能，包括捲動螢幕截圖、隱私指示器API，以及經強化的螢幕自動旋轉和裝置上搜尋功能。Google表示，從第3個Beta測試版後，開發者已經可以開始測試應用程式的穩定性，並且著手更新應用程式。</p> <p>最新版Android加入捲動螢幕截圖功能，讓用戶可以更輕鬆地擷取和分享需要捲動的內容，當用戶對可以捲動的內容擷取螢幕截圖時，畫面便會出現擷取更多的按鍵，點擊該按鍵可以開展螢幕截圖顯示完整內容，供用戶方便地調整裁切。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202021-07-14%20at%209_45_39%20AM.png" style="width: 380px; height: 387px;" /></p> <p>在大部分應用程式中，捲動螢幕截圖是開箱即用的功能，Google提到，當開發者的應用程式使用標準以視圖為基礎的UI，不需要進行任何更動就可以支援該功能，但是對於不使用基於視圖的UI，或是使用高度自定義UI的應用程式或UI包，就必須另外使用ScrollCapture API來支援捲動螢幕截圖。ScrollCapture API會將捲動擷取通知傳送給應用程式，並且要求應用程式將UI繪製到提供的Surface中。</p> <p>Google在Android加入對AppSearch的支援，AppSearch是新的高效能裝置上搜尋引擎，藉由使用AppSearch，應用程式可以索引結構化資料，並使用內建的全文搜尋功能對其進行搜尋，AppSearch還提供高效的索引和檢索、多語言支援和相關性排名等諸多原生功能。</p> <p>在上一個測試版，Google在Android 12加入攝影機和麥克風啟用指示器，來通知用戶應用程式正在使用這些裝置，但是因為指示器在應用程式進入沈浸模式時，仍然會顯示，這有可能會蓋掉應用程式原本的內容，因此Google現在提供隱私指示器API，讓應用程式知道指示器的邊界以及在螢幕上的位置，藉此進行調整。</p> <p>Android 12現在大幅改進螢幕自動旋轉功能，Google利用臉部偵測功能，強化Android的自動旋轉功能。官方解釋，藉由前鏡頭能夠更準確地判斷旋轉螢幕的時機，像是當裝置偵測到躺在沙發或床上的使用者，Android裝置就會自動旋轉螢幕。</p> <p>自動選轉功能的判斷，只會在本地端運算，圖像不會儲存或是發送出裝置外，在第3個Beta測試版，已經可以在Pixel 4和更高版本的Pixel裝置使用。不過，Google也加速了所有裝置的旋轉功能，最佳化了動畫和重繪功能，還添加採用機器學習技術的手勢偵測演算法，所以即便非Pixel裝置，基本自動旋轉功能的延遲也少了25%，而基於臉部偵測的自動螢幕旋轉功能，則建立在這項改進之上。</p> </div></div></div>
2021/7/16 11:20作者李建興https://www.ithome.com.tw/news/145675
AI趨勢周報第173期：Python之父：Python 4.0可能不會問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0709～0715)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Python </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Python 4.0 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Guido van Rossum </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Python之父：Python 4.0可能不會問世</strong></span></p> <p>Python之父Guido van Rossum日前在微軟一場採訪中表示，Python 4可能永遠不會出現，因為他和核心開發團隊對Python 4.0毫無興趣。「Python大概會編號到3.33版而已，」Guido van Rossum說。但他不排除發布4.0的可能性，前提是C語言有重大的兼容性改變。</p> <p>Python是近年快速竄紅的程式語言，在熱門程式語言榜上名列前茅，也是AI時代的新寵兒。去年4月，Python官方發布Python 2的最後一版：Python 2.7.18，當時Guido van Rossum就表示，Python 3與Python 2不相容，因此用Python 2建立的相依性軟體函式庫，沒辦法升級到Python 3.0。但這只是Python 2過渡到Python 3的問題之一，Guido van Rossum表示，他與核心開發團隊都記得從2.0到3.0的慘痛經驗，「我們以為搬遷過程很簡單，以為自己是Python界的愛因斯坦，在睡夢中就能將Python 2的程式碼自動搬遷到Python 3.0。」殊不知，這個搬遷過程持續好幾年，他後來還稱這是一個錯誤。</p> <p>也因此，他坦言，在開發團隊內提到Python 4.0時，大家只當笑話聽。因為他們還記得從Python 2.0過渡到3.0的教訓，因此認真談論Python 4.0，就是個禁忌。目前，團隊的首要任務是將Python的速度提高，他們也制定了嚴謹的年度發布計畫，比如今年10月要發布Python 3.10，之後將發布3.11、3.12，並提高每個版本的速度。Guido van Rossum計畫將3.11的CPython速度加倍提升。</p> <p>不過，他也暗示，Python 4.0還是有可能出現。前提是，C語言要有重大的兼容性改變，比如在不改變語言的情況下，無法與C擴充元件相容，或是能夠擺脫全域解鎖器（GIL），屆時，團隊就得開發Python 4.0。<a href="https://www.youtube.com/watch?v=aYbNh3NS7jA&ab_channel=MicrosoftReactor">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼生成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI用GitHub海量程式碼微調GPT-3，打造Python程式碼自動生成器</strong></span></p> <p>OpenAI在去年6月發布自然語言生成（NLG）預訓練模型GPT-3，引起機器學習社群關注，成為指標性模型。今年，OpenAI進一步用GitHub的海量程式碼來微調GPT-3，打造成一套Python程式碼自動生成器Codex，可根據以自然語言書寫的文件字串（Docstrings）來自動產生函數，並自動透過單元測試來評估函數正確性。</p> <p>進一步來說，團隊用GitHub上的5千4百萬個公開軟體庫程式碼來訓練模型，包括179GB的獨立Python文件。首先，團隊定義了pass@k指標，每個問題會產生k個程式碼範例，只要程式碼通過單元測試，就會認為已解決問題。而已解決的問題總數，也會回傳到系統。接著，團隊打造一個HumanEval手寫問題資料集，來評估模型的語言理解、推理和簡單的數學能力。</p> <p>最後，團隊建立一個沙盒環境，來安全地執行模型產生的程式碼，並比對單元測試。後來，OpenAI進一步用Codex生成的訓練問題來微調Codex，打造一系列監督式的Codex模型，並稱之為Codex-S。他們發現，Codex-S比Codex表現要好，且總體而言，GPT-3 Codex可強大地根據文件字串產生相應的Python函數。<a href="https://arxiv.org/pdf/2107.03374.pdf">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub聯手OpenAI打造程式碼整行自動完成的AI工具</strong></span></p> <p>GitHub與OpenAI共同開發一套AI工具Copilot，可讓使用者在Visual Studio Code編輯器使用，來自動完成整行的程式碼。該工具目前為預覽版，GitHub CEO Nat Friedman表示，Copilot搭配Python、JavaScript、TypeScript、Ruby和Go等程式語言時的表現最好。</p> <p>他解釋，Copilot就像工程師的好幫手，可根據上下文來建議整行完整的程式碼，或是完整的函數。這個工具也能幫使用者快速找出解決問題的替代方案，也能幫忙撰寫測試或探索新的API，縮短開發時間。特別的是，這個工具會根據使用者寫程式的風格，來自動調整寫法。</p> <p>GitHub表示，這款工具由OpenAI的GPT-3 Codex程式碼生成器驅動，這個生成器是用GitHub上公開的程式碼庫訓練而成，因此能理解使用者如何使用程式碼。<a href="https://github.blog/2021-06-29-introducing-github-copilot-ai-pair-programmer/">（詳全文）</a></p> <p><img alt="" src="https://github.blog/wp-content/uploads/2021/06/GitHub-Copilot_blog-header.png?w=2400" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> InfuseAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PrimeHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLOps </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺MLOps新創InfuseAI推出PrimeHub Apps擴充功能</strong></span></p> <p>國產MLOps平臺InfuseAI在產品平臺PrimeHub中，推出整合外掛應用程式的功能，包括幾項ML常用的開發工具，使用者可直接在平臺中點選使用影像標註、模型管理、資料視覺化等工具。同時，InfuseAI也準備推出現為Beta版的企業自行串接App的功能，要讓企業不只能點選平臺現有的外掛工具，更能自行串接所需的App、外掛到平臺中。</p> <p>InfuseAI的主要產品PrimeHub是一項PaaS服務，專門用於AI開發和管理，要降低AI開發的環境配置和管理成本，讓企業快速建立起資料來源、運算資源、或帳號權限的管理機制。InfuseAI近日推出的整合外掛應用程式功能，涵蓋開源影像標註工具Label Studio、開源模型版本控管工具MLFlow、可快速製作ML前端應用程式的開源框架Streamlit、瀏覽器執行程式的IDE Code Server、軟體開發平臺GitLab，以及詠鋐智能開發的商業軟體Tukey等。企業在平臺上按需付費後，就能在平臺中直接開啟所需的AI開發工具。<a href="[https://www.ithome.com.tw/news/145615](https://www.ithome.com.tw/news/145615)">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出Android ML平臺，機器學習App免內建runtime能更瘦身一點了</strong></span></p> <p>為方便讓開發者在Android應用程式中加入機器學習功能，Google打造了Android機器學習平臺，不只提供最新的推理元件更新，也對所有裝置最佳化推理效能，開發者可跨Android版本使用一致的機器學習推理API。</p> <p>Google指出，Android機器學習平臺是要解決應用程式容量限制和技術複雜性，它可以更新、完全整合機器學習推論堆疊，並提供開發者Android裝置端最新的推理二元檔案，來降低APK檔案的大小。平臺也會提供跨Android版本的一致性API，並透過Google Play服務提供定期更新。</p> <p>此外，這個Android機器學習平臺會內建到Google Play Services中，因此任何Android裝置端都會支援，開發人員就不需自行在App中加入Runtime，能減少App的大小。最後，Google將於今年底前推出自動加速功能，供開發者考量效能、準確性和穩定性。<a href="https://android-developers.googleblog.com/2021/07/announcing-androids-updateable-fully.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span></p> <p><span style="font-size:22px;"><strong>500大超級電腦AWS、Azure雲端上百大</strong></span></p> <p>2021年上半的[全球500大超級電腦名單近日公布，最快超級電腦仍由日本的理化學研究所（RIKEN）和富士通共同合作打造的超級電腦Fugaku拿下，是第一個運算速度達Exascale等級超級電腦，也是第二名美國橡樹嶺國家實驗室的IBM Summit的3倍。</p> <p>特別的是，Microsoft Azure和AWS EC2 Cloud執行個體進入百大排行，Microsoft Azure在美東、美國中南部、西歐及美西的雲端區域Pioneer-EUS、Pioneer-SCUS2、Pioneer-WEU、Pioneer-WUS2分拿下第26到29名，而Amazon EC2 Instance Cluster也來到第40名。另一方面，臺灣今年只有臺灣杉3（Taiwania 3）進前500大，居227名。<a href="https://www.top500.org/lists/top500/2021/06/">（詳全文）</a></p> <p>圖片來源／GitHub</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1.臉書步行機器人全靠學習即時適應真實世界路況，該技術能降低機器人生產成本</strong></p> <p><strong>2. 紐約市生物辨識隱私法生效了</strong></p> <p><strong>3. IBM開源機器學習應用程式框架CodeFlare，大幅簡化混合雲AI部署工作</strong></p> <p>資料來源：iThome整理，2021年7月</p> </div></div></div>
2021/7/15 23:32作者王若樸https://www.ithome.com.tw/news/145676
【機密運算解決方案巡禮：Arm】揭露自家機密運算架構下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-1033cover-arm-tu_pian_lai_yuan_arm.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Arm</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月底，Arm宣布推出新一代運算架構Armv9，當中備受關注的最新技術，除了運算效能的增長，莫過於機密運算架構（Confidential Compute Architecture，CCA）。</p> <p>根據當時的預告，Armv9主要基於長期發展的TrustZone技術，採用動態設置機密領域（Realm），讓應用程式可分別執行在獨立運作區域，以保護敏感資料與程式碼，使其不會受到系統其他部分的存取與竄改。Arm希望在這樣的架構之下，無論在資料處於使用中、傳輸中，或是靜置等狀態，皆能維持加密。</p> <p>同時，Armv9也將整合先前應用的記憶體標記延伸技術（MTE），以及新增的機密領域管理延伸技術（RME），以及機密運算韌體架構（Confidential Compute Firmware Architecture）。</p> <p><span style="font-size:28px;"><strong>闡釋機密運算發展方向，從硬體、軟體、韌體架構，與社群合作著手</strong></span></p> <p>到了6月底，Arm發表了初步的CCA技術規格，並揭示4大重要發展方向，分別是：RME、動態TrustZone技術、建立軟體與韌體架構、與開放原始碼專案合作。</p> <p>以RME而言，Arm會針對機密領域來定義硬體架構。而新出現的動態TrustZone，是由RME提供，而且是從TrustZone延伸出來的技術，Arm表示，相較於既有的TrustZone，動態TrustZone不再需要專屬記憶體，可用在大量、動態配置記憶體的應用程式上。</p> <p>在軟體與韌體架構上，Arm會與作業系統廠商與業界組織合作，推動與RME韌體互動的標準介面發展，他們會共同定義出機密領域管理監控器（Realm Management Monitor，RMM），以及監控器（Monitor）的延伸機制，進而提供用於機密領域的架構。</p> <p>同時，Arm也提供編譯器支援、開放原始碼的Trusted Firmware-A（TF-A）監控程式碼，以及Veraison專案，未來將提供RMM的實作參考，並與工具鏈（Toolchain）及作業系統的相關廠商合作，促使各種領域的應用程式開發者都能運用機密領域。</p> <p>在開放原始碼專案的協同作業上，Arm目前是與trustedfirmware.org合作，提供Arm CCA韌體的標準實作，並且針對機密運算成立新的專案，以Project Veraison為例，將會提供開放原始碼軟體，用於建構見證查驗服務。</p> <p>值得注意的是，對照3月底Arm發布的架構，與Hypervisor、Secure Partition Manager（SPM）並列為EL2的機密領域管理員（Real Manager），現稱為機密領域管理監控器（RMM）；底層原先採用的安全監控器（Secure Monitor），現在則由監控器（Monitor）涵蓋在內。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-1033cover-Arm-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FArm.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>【Arm CCA的技術區分】關於機密運算架構的發展與實現，Arm區分為4大工作項目，分別是硬體架構、軟體與韌體架構、開放原始碼軟體實作，以及動態TrustZone技術。</strong>（圖片來源／Arm）</span></p> <p><span style="font-size:28px;"><strong>揭露CCA架構更多細節，與Arm既有安全運算技術一脈相承</strong></span></p> <p>在資安防護上，除了Armv9新增的CCA，Arm在既有的Armv8-A架構，已提供多種技術，像是TrustZone、Non-secure virtualization（EL2）、Secure virtualization（S-EL2），可針對從系統管理層級去存取權限較低軟體的資源，提供預防，以此構築安全運算環境。</p> <p><span style="color:#B22222;"><strong>涇渭分明的安全區與常態區</strong></span></p> <p>在Arm現行的架構之下，TrustZone會將CPU運算區隔成兩部分，分別是：安全區（Secure world）、常態區（Normal world），前者執行受到信任的應用程式與作業系統，後者執行標準的應用程式與作業系統，而在安全區中執行的軟體，可存取這個區域的實體記憶體位址空間，但不能存取常態區的記憶體位址空間。透過這樣的隔離，處理器就能保護受信任的應用程式（TA），以及受信任的作業系統（TOS）。</p> <p>不過，TrustZone適用的平臺安全應用案例仍很有限，他們發展機密運算的目標，則是希望突破這樣的局面，讓任何第三方開發者，都能以此來保護虛擬機器或應用程式，因此，必須在不受限制或切離的作法上，在系統執行的當下，即時保護與虛擬機器或應用程式相關的記憶體，同時，為了確保平臺安全性，Arm也會繼續支援TrustZone。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/960-1033cover-Arm-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FArm.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>【Armv9機密運算架構支援3種安全隔離要求】運用記憶體實體位址空間的配置，Arm處理器分隔出3種安全區。中間是常態區／非安全區，採用基於Hypervisor的保護模式；右邊是安全區／TrustZone，可根據不同的安全狀態來隔離；左邊是Arm最新發展的機密領域區，可用於第三方機密運算的場域。</strong>（圖片來源／Arm）</span></p> <p><span style="color:#B22222;"><strong>可橫跨安全區與常態區的機密領域區</strong></span></p> <p>而在Arm最新發展的CCA當中，基本上，處於機密領域內的程式碼或資料，會坐落在預先配置給機密領域的記憶體，而且，任何能建立機密領域的系統管理軟體層級（系統核心或Hypervisor）、透過TrustZone程式碼、其他機密領域，或不被機密領域信任的設備，若要針對機密領域內容（程式碼、資料、CPU暫存器狀態）進行嘗試存取的動作，都會被阻擋下來，並出現故障異常的例外狀況。</p> <p>此外，機密領域將會執行在Arm新推出的機密領域區（Realm）中，系統在執行時期所運用的記憶體空間，還可以在常態區與機密領域區之間移動，甚至是在常態區與安全區之間移動。</p> <p>而為了實現這樣的機制，Arm在此加入新的資料架構「顆粒層級防護資料表（Granule Protection Table，GPT）」。這個架構會追蹤記憶體分頁是否用於機密領域區、TrustZone設置的安全區，或是既有的應用程式、系統核心、Hypervisor所處的常態區。</p> <p>就硬體的部份來看，CCA會在每次處理器每次存取記憶體時，根據GPT這張資料表來進行檢查，並在兩區之間進行強制隔離，阻擋所有非法的存取（如從Hypervisor存取機密領域的記憶體分頁這類異常活動）。同時，在每一區當中，此份轉譯表可提供更進一步的隔離，這也就是機密領域區能與其他區彼此隔離的主因。</p> <p>Hypervisor或系統核心不能直接更新GPT，只能間接更新，但允許記憶體分頁能在常態區與機密領域區之間搬移，甚至在常態區與TrustZone之間搬移，而在這樣的架構配置中，系統的記憶體也會套用加密與清理的動作，確保當中存放的內容，不會被後繼的使用者存取。</p> <p>對於需同時處理不同安全要求的環境而言，Arm認為，CPU架構若能具有此種動態搬移記憶體資源的能力，會是重大變革，而且，CCA能讓系統管理層級的處理，無法存取機密領域內容。</p> <p>但要做到這樣的機制，運作上，CCA需要與那些管理顆粒層級保護資料表，以及機密領域轉換表、前後脈絡的安全韌體元件，來進行互動。因此，在CCA後續發展上，Arm會著重在基礎韌體介面的標準化，促使韌體能兼具簡單、體型小，以及易於稽核與驗證等特性。</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-1033cover-Arm-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FArm.png" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>【Arm機密領域的關鍵元件】關於Arm機密領域的架構，關鍵在於：機密領域管理監控器（RMM）、安全監控器（Monitor）。其中的RMM，可延伸與機密領域溝通的機密領域管理介面（RMI），以及與Hypervisor互動的機密領域服務介面（RSI）。</strong>（圖片來源／Arm）</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/arm">ARM</a></div><div class="field-item odd"><a href="/tags/armv9">Armv9</a></div><div class="field-item even"><a href="/tags/cca">CCA</a></div><div class="field-item odd"><a href="/tags/trustzone">TrustZone</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%AF%86%E9%81%8B%E7%AE%97">機密運算</a></div></div></div>
2021/7/16 07:00作者李宗翰https://www.ithome.com.tw/tech/145565
淺談迴歸與感知器
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在試著認識與實作迴歸、感知器時，最重要的是認識過程中是如何設定需求、步驟與逐步達到目標，每一步都必須反覆思考，想想它們是為了解決哪些小任務，而這些小任務又是如何解決整體任務。</p> <p><span style="font-size:28px;"><strong>向平均值迴歸</strong></span></p> <p>如果我們想要接觸機器學習的開發應用，往往一開始就會面對迴歸（Regression），透過觀察資料的趨勢，找出合適趨勢的函數。</p> <p>就資料可視化來說，若成對資料的趨勢呈線性關係，迴歸函數可以畫出一條直線，原始資料大致座落在線的附近；若是三個一組的資料呈線性趨勢，迴歸函數可以畫出平面，原始資料大致座落在平面的附近。</p> <p>有關迴歸的描述，最早可追溯至十九世紀英國的Francis Galton，他觀察到，父母極端的特徵不會完全呈現在子女身上，而是迴歸至平均點（regress towards a mediocre point），例如：父母很高，子女可能很高、卻比父母矮；若父母很矮，子女可能很矮、但比父母高。藉由數以百計的身高資料，他能把迴歸至平均進行量化，進而預估父母對於子女的身高影響。</p> <p>而預估不就是機器學習的目的之一嗎？那麼，學習的部份呢？首先我們要有相當數量的資料，觀察趨勢，決定迴歸函式的階數與變數，例如，若成對數值的趨勢呈線性，可以定義迴歸函式為fΘ(x)=Θ0+Θ1*x，而目標是藉由資料，找出合適的Θ0、Θ1，讓資料座落在直線附近。</p> <p>不過，座落在直線附近要有個明確的定義，直覺的想法是，若每筆資料是(xi,yi)，yi-fΘ(xi)是yi與函數值的誤差，因為yi-fΘ(xi)有正有負，為了正負不要相抵，可以取絕對值或者是平方後再加總，如果加總值越小，迴歸函數就會越合適，也就是說，若E(Θ)代表加總值，目標就是找出E(Θ)的極小值。</p> <p>談到函數的極小值，就想到函數微分後極點值會是0，為了便於微分，E(Θ)取平方後再加總會比較方便，因為E(Θ)有Θ0、Θ1兩個變數，分別取偏微分，從Θ0、Θ1兩個方向來求極值，當然，一開始Θ0、Θ1是未知的，可以觀察分布趨勢、選個初值，或者是隨機值開始也可以，這時E(Θ)的兩個偏微分並不會是零。</p> <p>對於微分來說，代入值後的結果不是零，代表是向上（正值）或向下（負值）的趨勢，因為是要求極小值，若向上就將Θ0、Θ1往左一點，若向下就將Θ0、Θ1往右，這種方式是梯度下降法，這個過程需要相當數量的資料，讓Θ0、Θ1重複地往左、往右，接近極小值處的Θ0、Θ1，這就像是從資料中學習，找出最合適的Θ0、Θ1。</p> <p><span style="font-size:28px;"><strong>使用法向量分類的感知器</strong></span></p> <p>機器學習另一課題是分類（Classification），當然，若條件已知，進行對象的分類不難，如對於基本的二元分類來說，數字大於0、小於0、圖片的高度是否大於寬度，透過寫程式來判斷是很簡單的。</p> <p>然而，有時分類的條件並不明確，例如，判斷圖片中是貓或狗、男或女、胖或瘦等；對人類來說，看到圖片或許很簡單就能分辨，但人們往往並不清楚辨識的條件，畢竟是從過去經驗不斷學習而來。</p> <p>不過，若能先請人們標記照片是貓或狗，並整理一下他們認為的觀察要點，也就是借助人們的大量觀察，若觀察要點抓取適當，可以建立起適當模型，用來對新照片進行分類；當然，一下子就想學會分類貓狗太難，就假設讓人來標記照片的人是不是過胖，而每張照片都有對應的身高與腰圍，將身高與腰圍以散布圖繪製，並根據標記給予O或X，若發現O或X很明顯分為兩邊，可以用直線分隔，這就是屬於線性可分的二元分類。</p> <p>如果直線方程式是以w0*x0+w1*x1=0表示，x0、x1可以是身高、腰圍，那麼w0、w1是什麼呢？若將w0*x0+w1*x1看成是內積，那麼可以寫成W.X，W是向量(w0,w1)，X是向量(x0,x1)，也就是說w0、w1是直線方程式的法向量，而且法向量指向的一面，身高、腰圍組成的向量與法向量內積總會大於零，另一面總會小於零。</p> <p>當然，一開始w0、w1是未知的，我們可以觀察趨勢、選個適當初值，或者從隨機值開始，將身高、腰圍組成的向量與(w0,w1)求內積，若內積小於零，就旋轉法向量，這也意謂著旋轉直線，重複這個過程，直到全部的身高、腰圍都代入為止，看看最後直線是否畫分出兩個類別，這就像是從資料中學習，最合適的w0、w1會是什麼。</p> <p>在更多變數的情況下，向量不會只有兩個維度，而是像w0*x0+w1*x1+w2*x2+w3*x3+...，這就像是神經元，可以接受複數個輸入，這樣的模型稱為感知器（Perceptron），W稱為權重向量，求得後，對於新的資料，就可以用來預期其屬於哪個分類。</p> <p><span style="font-size:28px;"><strong>數學原理與程式庫的搭配</strong></span></p> <p>從線性的問題中，理解迴歸與感知器的分類原理是比較簡單的，從中也可以發現，所謂的學習，基本上是從足夠的資料中反覆調整，而大量資料處理與重複的動作，正是程式最擅長的事情，例如，只要知道最小平方法求迴歸的原理，以及最後導出的更新式，若想求的迴歸函式是條直線，新手也能透過語言簡單的基礎語法來實現。</p> <p>當然，現在有些程式庫封裝好迴歸與分類的相關功能，如NumPy的polyfit函式可以用來求多項式迴歸，能傳回資料x、y以及多項式級數，函式會傳回多項式的係數，若要控制更多細節，可以透過Polynomial的類別，其fit方法可以指定資料x、y、多項式級數、domain、window等參數，傳回的實例代表多項式，可以有linspace等方便的方法可以使用。</p> <p>相較於僅使用NumPy，有些更高階的程式庫提供更多功能，例如sklearn的LinearRegression可以實現多元線性迴歸，提供了predict方法能直接進行預測，只不過這類程式庫API設計上會考量通用性，這意謂著對於更進階的需求，必須對相關的數學運算原理有更多認識。</p> <p>例如，雖然說LinearRegression字面上是線性，不過，結合PolynomialFeatures的話，可以用來求非線性迴歸，事實上，PolynomialFeatures正如其名，代表多項式的特徵，例如，對於一元函式來說，fΘ(x)=Θ0+Θ1*x，它的特徵是(1,x)，而對於fΘ(x)=Θ0+Θ1*x+Θ2*x^2，特徵會是(1,x,x^2)，我們可以透過fit_transform方法來計算特徵值。</p> <p>例如若是二階，(x,y)為(2,7)，2對應的特徵就是(1,2,4)，7=Θ0+Θ1*2+Θ2*4就只是線性關係，因此透過PolynomialFeatures來轉換特徵值，就可以進一步地透過LinearRegression進行線性擬合，從而間接達到求非線性迴歸之目的。</p> <p><span style="font-size:28px;"><strong>不要迷失在公式或API組合之中</strong></span></p> <p>簡單來說，理解數學原理是必要的，然而理解的重點在於，過程中是如何設定需求、步驟與逐步達到目標，這點其實跟寫程式滿像的，每一步的推導（微分、向量等細節），就像是程式碼實作細節，這每一步都得反覆思考，它們是為了解決哪些小任務，而這些小任務是如何解決整體任務。</p> <p>摸清程式庫的API組合方式也是必要的，然而重點在於，這些API是模擬數學推導過程中哪個部分，而不是單純地只想知道這個API組合那個API，就可以求得想要的結果；這些過程會是學習數學與程式庫中最為辛苦的部份，然而若能從事這些反覆思考，就不易迷失在迷失在公式或API組合之中，後續在應用與程式實作上，就會紮實而得心應手。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%BF%B4%E6%AD%B8">迴歸</a></div><div class="field-item even"><a href="/tags/%E6%84%9F%E7%9F%A5%E5%99%A8">感知器</a></div></div></div>
2021/7/16 07:00作者林信良https://www.ithome.com.tw/voice/145566
全面加密勢在必行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防堵資料外洩的各種可能性，關於機密運算（Confidential Computing）的議題，IT界已經探討了一段時間，其實我們在幾年前就想製作一篇專題報導，然而，個別廠商發布的消息是有的，但還是很難匯聚成系統化的發展脈絡。</p> <p>但今年不太一樣，關鍵是Arm在3月底宣布推出的新世代v9架構當中，引進了機密運算架構（CCA）的設計，而目前觸角已涵蓋智慧型手機、物聯網設備、雲端服務、伺服器、個人電腦的Arm，若成功推動這樣的架構普及，勢必讓機密運算的覆蓋範圍大幅增加，而基於Arm的市占與影響力越來越大，這的確有可能實現。</p> <p>另一個讓我們認為是時候談機密運算的事件，是英特爾今年4月發表第三代Xeon Scalable系列處理器，首度將他們發展已久的SGX保護技術，內建到主流伺服器級處理器產品，而競爭廠商AMD則是3月發表第三代EPYC處理器，硬體記憶體加密保護技術SEV的陣容也持續增加。</p> <p>因此，原本我們製作的方向是，準備從這三大處理器平臺著手，不過，在整理廠商這幾年發表的消息之後，我們決定調整面向，增加雲端服務業者相關服務應用的內容，而Arm在6月接續發布更多關於CCA架構的消息，當然也是這個專題所不能忽略的部份，於是形塑了這個專題報導的面貌，你可以看到，我們對於雲服務業者推出的服務著墨較多，兩大處理器廠商的相關動態則融入其中，而後起之秀Arm我們則是獨立介紹。</p> <p>在機密運算的應用上，我們也注意到許多廠商不斷提及：保護「正在使用的資料（Data in Use）」是重要的。但這類應用需求並非近期才有！早年資料外洩預防（DLP）解決方案當紅時，很多廠商經常提及資料的三種狀態：儲存中的資料（Data at Rest）、傳輸中的資料（Data in Motion）、使用中的資料（Data in Use），若導入這樣的資安防護系統，我們還有需要去發展機密運算嗎？</p> <p>關於這個疑問，我們請教熟悉DLP產品的微軟資安產品行銷經理張士龍。他說，機密運算是一種硬體啟動式的加密技術，要透過唯一的Token才能夠使用，所以有可能限制普及性與便利性； DLP 主要是透過內容來進行偵測，所以沒有金鑰管理的問題，換言之，只要內容符合規範，都可以正常使用。關於這兩種形態的資料保護應用場景，他認為，對於固定服務或裝置，可用機密運算來保護；但對於資料變動程度較大或較難固定使用對象的狀況，DLP或許較適合。</p> <p>而目前鼓吹機密運算的雲端服務廠商，之所以要側重保護正在使用的資料，其實，也是因為在公有雲環境當中，在儲存加密、網路連線加密的技術上，相對成熟而普及，但虛擬機器、容器這些工作負載的防護，大多都是操之在用戶手上，若有駭客或惡意程式趁機潛入其中，趁機取得高系統權限，就有可能窺伺或竄改其他執行個體、虛擬機器、容器所存取的資料。</p> <p>面對人多手雜的問題，IBM Cloud提出的管理概念值得大家深思。他們認為，原本從維運上保證（Operational Assurance）用戶資料安全的傳統作法，應該要改為從技術上保證（Technical Assurance）去確保用戶資料安全，系統管理人員只能執行技術上的控制手段，而且要從技術上去反證自己看不見經手的資料內容，若要達成這樣的程度，企業對資料加密的應用勢必要更徹底，而且落實應用程式執行時期的隔離。</p> <p>觀念上是如此，不論企業最終是否決定採用或認可機密運算，身為IT人員，我們還是必須想想已做到多少？所儲存的資料真的都有加密嗎？透過網路傳輸資料時，都有加密嗎？要如何堵住這些破口？單靠耳提面命宣導，恐怕效果有限，還是要設法從許多層面去縮減這些可能的風險。</p> <p><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/145568" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">機密運算大解析<img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1033-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=1x4I5FZ5" style="width: 600px;" /></span></strong></a></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%AF%86%E9%81%8B%E7%AE%97">機密運算</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2021/7/16 07:00作者李宗翰https://www.ithome.com.tw/voice/145567
機密運算大解析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1033-feng_mian_gu_shi_open-960x420_kao_bei_.jpg?itok=1x4I5FZ5" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾年前，Intel、AMD、Arm等處理器被揭露重大資安漏洞，可能引發記憶體外洩或遭竄改狀況，再加上近期資料外洩事件頻傳，除了以加密來保護已儲存的資料、傳輸中的資料，如何確保正在使用的資料具有足夠的隱密性，已成為IT產業的關注重點。</p> </div></div></div>
2021/7/16 07:00作者李宗翰https://www.ithome.com.tw/article/145568
善用IT克服冷鏈運輸大挑戰，裕利讓疫苗物流履歷可全程追溯
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣5月起COVID-19疫情嚴峻，疫苗有限的情況下，每一劑都相當珍貴，不少醫護人員紛紛改用細小1cc針筒更仔細控制劑量，就是不想浪費任何一滴。不光疫苗施打要精準，疫苗配送過程的溫度控制，也得講究，若是保存溫度太高或過低，都可能會影響了疫苗的效果，而且只要一個保冷箱溫度出現問題，就會少打一千人。</p> <p>COVID-19疫苗的配送對於溫度要求很不一樣，傳統流感疫苗只需要維持2～8度的配送條件，但不同種類的COVID-19疫苗對溫度的要求落差很大，從2～8度、負20度，或甚至有的疫苗需要負80度的極低溫配送， CDC更嚴格要求，從物流到運輸端全程溫度都要完整記錄追蹤，不只要定期提供報表，CDC也會不定期稽劾。這也成了接下疫苗配送重責大任的裕利醫藥，所要面對的冷鏈物流運輸大挑戰。而他們克服的關鍵，就是靠IT，成了裕利配送疫苗的幕後推手。</p> <p>裕利醫藥資訊處處長費而隱更明白表示:「COVID-19疫苗配送能夠順利完成，IT部門發揮很關鍵的作用，來替每批疫苗建立完整的冷鏈物流履歷。」</p> <p><span style="font-size:28px;"><strong>臺灣首批新冠疫苗運送，每個疫苗的溫控都要即時追蹤掌控</strong></span></p> <p>時間拉回到今年3月19日，首批11.7萬劑COVID-19疫苗配送那一天，前一天疫苗封緘剛完成，裕利隔天馬上要將整批疫苗送往全臺數十家醫院，甚至最遠有送到臺東的醫院，讓防疫第一線的醫護人員，能夠趕緊來施打。</p> <p>儘管為配送疫苗，裕利IT與物流團隊事前已經反覆演練、測試數次，確保整個系統串接，物流配送流程都沒問題，但到了配送當天，費而隱還是絲毫不敢大意，因為IT團隊專為COVID-19疫苗冷鏈物流開發的新系統，也在這天正式上線。</p> <p>第一批配送疫苗的物流專車，當天凌晨從桃園的倉庫出發，不只全公司嚴陣以待，費而隱從晚上12點，就與一起開戰情會議的IT團隊成員緊盯螢幕，從倉儲人員刷條碼開始，馬上確認疫苗配送資料有沒有餵進系統，還有IT人員同步在物流現場，仔細確認包裝站人員有無將IoT溫度計和疫苗一起裝箱，並且溫度資料都即時傳進系統，從系統上也看得到。整個疫苗配送作業，一直持續到早晨，最後一班車發車，看到所有配送資料都有傳進系統，他們才放心入睡，但只休息半小時，又匆忙趕到公司做後續處理。</p> <p>一整天下來，一共配送50多間醫療院所，所幸整個配送及運輸過程順利，疫苗都有送交到醫院手上。但為了打造這個新系統，裕利資訊團隊一共花了兩個月從無到有建置完成，不只串接多套系統，還結合物聯網技術，可提供完整的冷鏈物流履歷，甚至可以做到疫苗全程溫度即時監控。</p> <p>COVID-19疫苗配送的過程中，費而隱指出，運輸端是最大挑戰。他解釋，疫苗還在倉儲冷藏庫或冷凍庫內時，對於溫度監控相較容易許多，但只要出了物流中心，疫苗的溫度就會一直變化，很難保持恆溫，例如司機開關車門或打開保冷箱，它的溫度就會產生波動，「所以車上溫度控制要非常小心。」費而隱強調。</p> <p>裕利原本就有一套冷鏈物流與運輸追蹤機制，尤其在疫苗溫度監測上，從疫苗下飛機抵臺，進到物流中心，一路配送至醫療院所的溫度資訊都能知道，但以往運送到醫院，雖然物流車上配置溫度計，但只能提供車內溫度的監控，沒辦法精細到連車上每個保冷箱內的疫苗的溫度變化都能掌握。</p> <p>疫苗運送過程裡，傳統作法會放入溫度監視片，用來監控疫苗保存溫度，例如溫度只要超過某一範圍，監視片就會變色。司機交貨時也會把監視片從保冷箱取出交給醫事人員驗收，確認沒問題才簽收。但這種作法，一旦遇到疫苗溫度出現變化時，司機當下也很難察覺，通常只能等到交貨時才發現，這時才介入處理，已經為時已晚，等於是整箱疫苗直接得報廢，不能施打。若以一個保冷箱可以裝10盒疫苗來計算，一盒10支，一支10劑，一箱約一千劑的用量，等於是少打了一千人。</p> <p><span style="font-size:28px;"><strong>一共部署200支藍牙溫度計，提供疫苗全程溫度記錄與監控</strong></span></p> <p>為了提供更即時疫苗溫度監測，裕利這次採用新的作法，在配送COVID-19疫苗的物流車上，整合具IoT通訊的藍牙溫度計，來提供更即時溫度監測，有別於傳統只放置監視片或冰雹來測溫的作法，在配送疫苗時，對於車內保冷箱存放的疫苗的溫度變化，可以提供全程溫度記錄與監測。</p> <p>現在每個疫苗保冷箱，都會裝入一個藍牙溫度計。每支溫度計每分鐘會將量測到箱內的溫度，透過藍牙與車上一臺工業級4G閘道器連線，4G閘道器接收到藍牙分享的溫度數據，會再透過行動網路回傳到後端，提供相關人員做更即時的疫苗溫度監控，來了解疫苗在運送過程中的溫度變化情形，並提供每3分鐘更新頻率。而且不只追蹤疫苗的溫度，也包含溫度計電量等數據。</p> <p>第一批疫苗配送，裕利一共部署近200支藍牙溫度計，配置到60輛物流車，來進行全程溫度記錄與監控，不光是如此，藍牙溫度計上還貼有條碼，來與物流保冷箱、配送訂單綁定，費而隱表示，透過這樣的方式，就可以做到追溯，從每一筆出貨訂單，到哪一天、幾點幾分，送到哪家醫院這盒疫苗的全程溫度都能掌握。</p> <p>除了溫度追溯，他們還進一步做到提前預警，例如一旦有保冷箱的疫苗溫度出現異常，系統可以馬上示警，派人立即處理。並且還將溫度異常通報與Line整合，可自動將訊息推播至相關人員個人Line帳號，如送貨司機等，讓他可以更快看到訊息進行處理，避免疫苗失溫。也因為有了這套更即時的溫度監控機制，配送期間也成功幫助這家公司化解危機，在發現保冷箱溫度出現異常時，馬上通知物流司機將整車拉回倉庫處理完，再重新來送貨。</p> <p>「裕利是臺灣疫苗配送能全程溫度監控且追溯的冷鏈物流業者第一家。」費而隱驕傲地說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/550(2)-1033CIO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%A3%95%E5%88%A9%E9%86%AB%E8%97%A5.png" style="width: 550px;" /></p> <p><span style="color:#696969;"><strong>裕利醫藥資訊處處長費而隱表示，COVID-19疫苗配送能夠順利完成，IT部門發揮很關鍵的作用，替每批疫苗建立完整的冷鏈物流履歷。</strong>（圖片來源／裕利醫藥）</span></p> <p><span style="font-size:28px;"><strong>打造能即時監控冷鏈倉儲與運輸追蹤的戰情室</strong></span></p> <p>甚至為了配合COVID-19疫苗運送，裕利IT部門還打造一個即時監控冷鏈倉儲與運輸追蹤平臺，除了方便人員掌握疫苗在運送過程中的溫度趨勢變化，他們更將不同溫層疫苗的物流與資訊流加以整合，集中到同一個平臺來統一管理和監控，並透過一個視覺化的儀表板，來呈現疫苗庫存、溫度變化和疫苗地圖等資訊。該平臺串接多系統，包括ERP、WMS倉儲管理、BMS廠務環控、TMS運輸管理系統等。</p> <p>從這個視覺化儀表板，管理者可以很容易查看每天配送了多少批疫苗，不只能監看每天、每周，甚至每月的整體疫苗出貨情況。不同溫層的疫苗配送情形，也能直接在儀表板切換介面來觀看。而且除了能即時顯示每個冷藏庫和冷凍庫疫苗的溫度，在運輸過程中，車上有哪幾張訂單，每張訂單對應到的保冷箱的溫度計是哪一支，目前溫度是多少，以及這張訂單是要配送到哪一個客戶，都能在儀表板上清楚顯示。除此之外，還透過車機GPS隨時掌握各車運送進度，儀表板上還有地圖能顯示各家醫院目前疫苗分配的數量。</p> <p>裕利IT不只在疫苗配送發揮關鍵性的作用，早在去年疫情爆發之初，該公司開始運用IT積極防疫，像在去年4月時，他們先導入人臉辨識量測體溫系統，除了提供員工做身份辨識與測溫外，更與Line平臺串接，每天只要量測完後，員工手機上的Line就會收到推播，回報自己的體溫與健康狀況，後來連差勤與門禁管理也都結合刷臉，來降低接觸風險。去年疫情期間，因應分流或居家辦公，裕利資訊團隊也以Jira專案管理工具打造IT部門自己的服務臺（Help Desk），不只協助遠距辦公的員工解決各種問題，也提高與使用者的互動。</p> <p>另外，裕利原本就有設立一個電話服務中心，每天要應付多達1萬張訂單的需求，他們去年也因應疫情將原本電話服務中心，轉變成可以支援WFH的模式，改以雲端總機來代替辦公室交換機的系統，讓訂單處理人員在家也能接聽客戶電話，費而隱也說，目前約8成訂單處理人員都採居家辦公，但每天能處理的訂單量並未減少，讓這家公司可以維持服務水平不變，繼續營運。</p> <p><span style="font-size:28px;"><strong>導入20多支RPA軟體機器人</strong></span></p> <p>除了對內服務，裕利在對外顧客服務上也有加強的作法，甚至是一些以前很難推行的顧客服務，這次利用疫情危機終於推行成功。他以線上電子下單服務為例，前幾年一直未能順利推行，直到去年疫情發生後，裕利IT團隊發現，不少客戶的行為開始改變，對網路下單接受意願變高，採用比例漸漸增加，甚在到今年中疫情爆發時，註冊的家數更暴增。從去年中上線迄今，註冊用戶接近2成，多達3千家有用。</p> <p>近兩年，裕利也加速上雲，來建立自身營運軔性的能力，還大力引進新科技，透過自動化方式改善或優化內部作業流程。像是他去年導入RPA機器人流程自動化，初期先運用到如訂單系統、醫院標案的相關系統等重覆性作業，來減輕人員工作負擔。從上線到現在1年多，他表示，目前約部署20多個RPA機器人，包括用在訂單處理、資料比對或是客戶主檔查詢，以及提供自動信件的發送等。他接下來將在公司內部推廣和分享，讓更多使用者加入一起合作，發想更多應用。</p> <p>對於未來IT規畫與發展重點，費而隱提出4大方向，首先是建置PMO專案管理辦公室，作為未來IT專案管理的新策略，來建立一套更有組織與標準的作法，目的要確保PM的預期產出一致，管理者也能經由PMO人員掌握各專案進度，隨時調整執行優先序與資源運用。其次，他更會要求所有IT專案人員思維也得加以轉變，從原來管理專案，轉為產品管理的策略思維，從產品開發、上線到疊代開發、持續更新的產品生命周期都要涵蓋。另外還要加強內外部使用者的體驗，以及建立自己的資料科學團隊，來強化數據分析與應用能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>裕利醫藥資訊處處長費而隱</strong></p> <p>學歷：清大電機所碩士</p> <p>經歷：曾於IBM擔任企業諮詢服務顧問，之後進到高科技業IT，先後在台積電、鴻海集團擔任資訊主管，不僅負責RD與工程系統開發，更一手規畫及建置IT基礎架構，2019年加入裕利成為IT主要負責人迄今，疫情期間更運用IT抗疫，還打造新系統協助公司配送疫苗</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>裕利醫藥</strong></p> <p>● 地址：臺北市松山區南京東路四段126號10樓</p> <p>● 網址：<a href="http://www.zuelligpharma.com">www.zuelligpharma.com</a></p> <p>● 成立時間：1988年</p> <p>● 集團總公司：Zuellig Pharma集團</p> <p>● 主要業務：醫藥物流、醫藥保健服務</p> <p>● 員工數：約800人</p> <p>● 董事長：許待明</p> <p>● 總經理：周志鴻</p> <p>● 資本額：2.1億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門主管職稱：處長</p> <p>● 資訊部門主管姓名：費而隱</p> <p>● 資訊部門名稱：資訊處</p> <p>● 資訊部門人數：14人</p> <p>● 資訊部門分工：應用程式（9人）、基礎架構（5人）</p> <p>● IT預算：約1,200萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2019年：取得ISO 27001資安認證、集團SAP ERP系統上雲端</p> <p>● 2020年：導入RPA機器人流程自動化、eZRx網路下單平臺推出上線、導入IT服務專案管理工具Jira for ITSM、推出人臉辨識結合刷臉測溫與考勤功能</p> <p>● 2021年：打造eZLogistics即時監控冷鏈倉儲與運輸追蹤平臺、運輸物流車整合具IoT通訊的藍牙溫度計，可提供疫苗全程溫度監控</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-1033cio-tu_pian_lai_yuan_-yu_li_yi_yao_.jpg" width="960" height="420" alt="" title="裕利醫藥資訊處處長費而隱　（圖片來源／裕利醫藥）" /></div></div></div>
2021/7/16 07:00作者余至浩https://www.ithome.com.tw/people/145569
【臺灣首份關鍵基礎設施網路曝險報告出爐】30萬筆臺灣網路外洩個資成駭客攻擊關鍵基礎設施利器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>發生在2015年聖誕節前夕，烏克蘭電力公司遭到駭客攻擊，造成十多萬戶民眾在寒冷的冬天卻沒有足夠的電力可以使用。這起關鍵基礎設施遭到駭客攻擊事件發生的起因，源自於一封釣魚郵件，該郵件夾帶的附件是微軟文件，透過文件的巨集功能，背景下載並安裝BlackEnergy3的惡意程式。</p> <p>趨勢科技旗下工控安全公司TXOne資安威脅研究員鄭仲倫（Mars Cheng）也觀察到，駭客針對關鍵基礎設施發動攻擊，經常會利用包括釣魚郵件等手法作為攻擊的第一步。這也讓他產生好奇，現在網路上有許多外洩個資，這些外洩個資是否有可能成為駭客攻擊關鍵基礎設施的火藥呢？</p> <p>臺灣將關鍵基礎設施分成八大類，包括：能源、水資源、通訊傳播、交通、金融、緊急救援與醫院、政府機關，以及科學園區與工業區等八類。對此，他開始從網路上各大網路以及駭客論壇，蒐集了30萬筆臺灣八大關鍵基礎設施的外洩個資，並將外洩個資進行正規化，再透過雲端系統進行資料分析，並對外公布臺灣第一份針對八大關鍵基礎設施網路曝險報告。</p> <p>鄭仲倫從這些關鍵基礎設施的網路外洩個資分析也發現到幾個現象，科學園區與工業區外洩資料的數量最多，超過21萬筆；但若加入員工人數計算員工外洩資料比例，則以通訊傳播類最高，每四名通訊傳播業員工，就有一名員工的個資遭到外洩；此外，他也發現，這些員工個資容易遭到外洩的一個重要原因在於，多數都使用容易遭到駭客破解的弱密碼。</p> <h2><span style="color:#0000FF;"><strong>四類常見資料外洩來源，少有關鍵基礎設施資料外洩的報告</strong></span></h2> <p>綜整相關因素，鄭仲倫表示，目前可以發現資料外洩的原因可以分成四類，第一類就是系統或程式弱點，只要是人寫的程式就不可能沒有漏洞，但當發現系統漏洞時，業者卻不一定可以及時釋出相關的漏洞修補程式，這也讓駭客可以利用已知的漏洞，進一步針對系統發動攻擊。</p> <p>第二類則是資料竊取，但他也說，這類資料中，有許多還是儲存在實體的儲存裝置或設備中；第三類則是釣魚郵件，這往往是駭客假造信件，欺騙使用者打開釣魚郵件後，點擊惡意連結或打開惡意檔案，致使駭客可以在該受駭電腦安裝惡意程式進而竊取資料；最後一類則是內部員工竊取機敏資料，他也說，故意或是無意發布私人或公司的機密訊息，都會有民刑事上的相關責任。</p> <p>外洩資料百百種，為了要分析臺灣這30萬筆與關鍵基礎設施有關的網路個資，鄭仲倫先對相關資料做統計分析發現，外洩的資料包括電子郵件、密碼、個資（PII）、地址以及一些機敏資料，其中，有很多外洩的機敏資料都在暗網（Dark Web）販售。不過，鄭仲倫強調，他們搜集到的這30萬筆網路個資，並不是從暗網購買取得的，而是各大網路及駭客論壇取得的。</p> <p>資安圈關於資料外洩的報告不少，例如，IBM在2020年一份資料外洩報告的統計數據，全球資料外洩平均損失達386萬美金，醫療業是損失最高的產業，高達713萬美金；每一份外洩個資處理成本為150美元。</p> <p>但是，在這麼多外洩個資的報告中，鄭仲倫發現，很少有關注到關鍵基礎設施是否也同樣面臨資料外洩風險的報告，這也引發他進一步關注關鍵基礎設施網路曝險程度；此外，他也觀察到，美國MITRE也針對工控系統推出ATT&CK for Industrial Control Systems（工控系統），可以發現，外洩的資料可能成為駭客重要的攻擊來源。</p> <h2><span style="color:#0000FF;"><strong>打造雲端分析系統，分析200多個外洩資料集</strong></span></h2> <p>鄭仲倫指出，這次收集的外洩資料有超過200個資料集（Data Set），包含100億筆外洩資料，因為外洩資料來源廣泛，各種網站可以搜尋的論壇都是重要資料收集來源之一，相對的，外洩資料儲存的格式都不一樣，有的只有姓名、電話，有的是帳號、密碼，有的還有電子郵件或地址，甚至於有一些資料集還有信用卡資料或是可以證明個人身分相關的身分證字號等等。</p> <p>面對大量不同格式的資料，就必須訂出需要分析的格式欄位，並作相關的資料正規化，「光是收集和處理外洩個資的格式，就花了三個多月的時間；蒐集資料加上正規化後，也鎖定此次網路曝險的分析標的，以關鍵基礎設施外洩的電子郵件和密碼為主。」他說。</p> <p>為了徹底掌握這些外洩的網路個資，鄭仲倫表示，TXOne也針對外洩資料打造一套專門的分析系統。首先，他指出，從各大網路與駭客論壇中，會找到各種格式混亂不一的外洩資料；其次，再將這些資料進行拆分、格式化，並且轉換成免費、開源的Apache Parquet資料格式，可以相容於其他Hadoop環境的大數據處理框架。</p> <p>第三，將轉換成Apache Parquet資料格式的外洩資料，上傳並儲存在AWS S3雲端儲存空間；第四，隨著不同資料分析的篩選條件，於AWS Lambda執行相關的運算與分析；第五，呼叫Amazon Athena服務將篩選條件的資料做區隔分類；第六，將已經完成資料區隔分類，並完成運算分析的格式化資料儲存在資料庫中；第七，呼叫Amazon Athena分析相關外洩資料；最後，就可以查詢儲存在資料庫中的外洩資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2016_50_16.png" style="width: 937px; height: 518px;" /></p> <blockquote><p class="p1" style="margin: 0px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; font-size: 11px; line-height: normal; font-family: "PingFang TC"; color: rgb(0, 0, 0);">趨勢科技旗下工控安全公司TXOne也打造一套雲端分析系統，將網路上搜集到的200個資料集，以及臺灣關鍵基礎設施超過30萬筆個資，都可以透過這個雲端平臺做分析。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>挑選臺灣八大關鍵基礎設施規模基準，以市值百大企業為主</strong></span></h2> <p>此次，為了彰顯臺灣關鍵基礎設施在公開網路上的曝險程度，鄭仲倫也意識到，公司規模越大，資料外洩的後座力也越大，因此，他也根據臺灣八大關鍵基礎設施中，找出今年4月15日之前，市值前100大企業作為篩選基準。</p> <p>若以科學園區與工業區為例，則選擇市值排行前100名的企業；能源類別的企業家數較少，主要以挑選電力、石油、天然氣等具代表性公司；水資源是國營企業，只有單一選擇；若是緊急救援與醫院類別，則以醫學中心為主；交通類別種類繁多，則挑選陸運、海運、空運、氣象等具代表性公司及單位。</p> <p>另外，像是通訊傳播類別也是挑選市值排行前100名的企業；金融類別則以中央銀行、金融監督管理委員會、中華郵政，以及其他市值排行前100名的金控業為主要挑選類別；最後的政府機關挑選，則以行政院、立法院、司法院、考試院及監察院等五院為主，並且納入電子信箱是以「.gov.tw」為結尾的外洩個資。他也說，此次過濾臺灣關鍵基礎設施的外洩資料，主要是用Amazon Athena過濾外洩資料的內容，再用Python做相關的數據分析；分析後的資料，以CSV檔案格式，將資料儲存在AWS S3儲存雲端服務中；並透過Amazon QuickSight商業智慧服務的儀表板功能，呈現外洩資料的分析結果。</p> <h2><span style="color:#0000FF;"><strong>科學園區與工業區占外洩個資七成，通訊傳播類每四名員工就有一名個資遭外洩</strong></span></h2> <p>若單就外洩資料的數量而言，鄭仲倫表示，科學園區與工業區搜集到的外洩資料數量最多，超過21萬筆；其次為政府機關，數量將近4萬筆；第三名是緊急救援與醫院，數量超過1.3萬筆。因為不同類別的基數不一樣，單就數量多寡來看，並不夠客觀，反而應該依照公司員工數量以及外洩資料數量相比較，才會知道哪一類關鍵基礎設施的員工，比較常外洩資料。</p> <p>所以，鄭仲倫表示，按照關鍵基礎設施類別劃分的員工資料外洩比例，以外洩資料總數除以員工人數，試圖找出八大關鍵基礎設施中，哪一類員工外洩資料比例較高。</p> <p>員工外洩資料比例最高的為通訊傳播類，比例高達23.16％，也就是說，通訊傳播類的員工，每四名員工中，就有一名員工的個資遭到外洩；其次為緊急救援與醫院，員工外洩資料比例為15.95％，差不多是每六名醫學中心的員工中，就有一名員工的個資遭到外洩；第三名為政府機關，員工外洩資料比例為10.86％，這表示每十名員工中，就有超過一名以上的員工個資遭到外洩；第四名為能源（8.98％）產業，以及第五名為科學園區與工業區（8.41％）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2016_56_32.png" style="width: 934px; height: 513px;" /></p> <blockquote><p>以外洩個資的數量來看，高科技製造業是外洩個資數量的大宗，占比高達七成。</p> </blockquote> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2016_58_38.png" style="width: 933px; height: 416px;" /></p> <blockquote><p>外洩資料的數量若加上企業員工數量來看，通訊傳播業員工外洩個資的比例最高，每四名員工中，就有一名員工個資遭到外洩。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>外洩個資使用弱密碼，有16％交通類員工密碼可用字典攻擊破解</strong></span></h2> <p>若進一步分析外洩的個資內容，鄭仲倫透過分析臺灣八大關鍵基礎設施這些外洩密碼的強度，進而觀察關鍵基礎設施員工所設置的密碼強度，來分析關鍵基礎設施的員工個資的安全強度。</p> <p>此次密碼強度分數的分析，設置一個0分～4分的評分機制，0分～1分表示密碼非常容易猜到，2分～3分表示還算容易猜到，4分表示密碼非常難猜。若以各個產業別的密碼評分來看，科學園區與工業區密碼強度評分為1.63分最高，其次為金融業（1.562分）、交通（1.551分）、緊急救援與醫院（1.493分）、通訊傳播（1.483分）、政府機關（1.411分）、能源（1.294分）以及水資源（1.281分）。</p> <p>鄭仲倫綜整臺灣八大關鍵基礎設施的密碼強度的評分發現，這些外洩密碼強度都在1分～2分之間，表示這些個資之所以外洩的一個重要原因在於，普遍使用很容易被駭客破解的弱密碼，其中各類型產業的密碼強度差異並不大。</p> <p>不過，密碼容易遭到駭客破解還有一種常見的可能性，那就是字典攻擊，意即駭客將各種字典中的單字、各種常用字句，或是各種常見密碼清單等，作為破解密碼的參考資料，畢竟，有許多使用者為了怕忘記密碼，經常會使用弱密碼或是容易記得、有意義的字句，這也成為一種常見的暴力破解密碼方式。</p> <p>雖然字典攻擊是常見的密碼破解方式，但鄭仲倫將這次搜集到的臺灣關鍵基礎設施所外洩的密碼，進一步比對前10萬筆最常見的字典攻擊名單發現，交通類關鍵基礎設施員工所使用的密碼，有16.3％可以投射到常見的字典攻擊，其次為通訊傳播類（12.4％）、科學園區與工業區（10％）、金融（9.9％）和能源（9.6％）。他也說，容易投射到常見的字典攻擊，通常表示密碼規則不夠複雜，相對容易遭到駭客破解。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2017_02_19.png" style="width: 915px; height: 453px;" /></p> <blockquote><p>若以外洩密碼的強度來看，各個產業平均分數都介於1分～2分之間，對駭客而言，都是使用很容易猜到的弱密碼，密碼複雜度較低。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2017_04_55.png" style="width: 931px; height: 486px;" /></p> <blockquote><p>若將外洩的密碼比對駭客最常使用的前十萬個字典攻擊的內容可以發現，交通類員工使用的密碼，其中有16％吻合駭客經常使用的字典攻擊，密碼安全性堪慮。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>高科技製造業個資外洩占整體7成，員工外洩個資比例最高2千倍</strong></span></h2> <p>科學園區與工業區所外洩的個資，占整體外洩個資的7成，由於此次蒐集的個資都是臺灣上市櫃公司，在4月15日前營收排名前一百大的企業，為求慎重，也避免對企業造成不必要的衝擊，鄭仲倫表示，對外公開的圖表資料中，將直接隱匿企業名稱但保留外洩的資料數量，他也希望藉此提醒臺灣高科技製造業應該更重視員工個資安全，並強化相對應的安全防護措施。</p> <p>若以個資外洩數量而言，前三多的企業外洩個資都超過五萬筆，外洩個資最多的數量則超過5.8萬筆（58,474筆），第二多（52,196筆）和第三名（52,058筆）外洩數量相去不遠，但到第四名企業外洩個資數量則只有5,466筆，可以清楚的發現，高科技製造業外洩個資有集中在某幾家企業的現象，可以推測，這些大規模資料外洩事件可能基於某些系統遭駭或某次個資外洩事件，導致員工資遭外洩。</p> <p>若以高科技製造業員工外洩個資比例來看，外洩個資前三多的企業，外洩個資數量遠遠超過該公司的員工數，因此，若以員工外洩個資比例前三多的企業來看，員工外洩個資比例第一名的企業，該公司員工外洩個資數量，是該公司員工數量的2千倍（2,196.54％），第二名則是700倍（711.99％），第三名則是400倍（414.709％）；第四名企業員工外洩個資比例為61.162％，與前三名有極大的差距，平均每5名員工中，有3名員工個資遭到外洩；但第五名之後的企業，員工外洩個資比例大概為一成～二成，差距相對前四名而言較小。</p> <p>若以高科技製造業要求員工設置的密碼強度，前十強企業的密碼強度都在2分以上，駭客還算容易猜到相關密碼，但比科學園區與工業區整體產業的密碼強度平均分數1.63分還高；至於駭客可以借助字典攻擊暴力破解企業員工設置的密碼，第一名企業員工有將近四成（38.9％）可以透過字典攻擊破解員工設置的密碼；第二名為33.3％，第三名為30.5％。也就是說，前三名企業員工設置的密碼強度不足，駭客容易透過字典攻擊破解相關密碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2017_56_35.png" style="width: 1010px; height: 604px;" /></p> <blockquote><p>為了避免造成不必要的困擾，刪除高科技製造業企業名稱，僅保留個資外洩數量，可以觀察到，前三多外洩個資的企業，每間企業個資外洩數量超過五萬筆，與第四名之後有極大的差距。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_03_25.png" style="width: 1035px; height: 616px;" /></p> <blockquote><p>同樣刪除企業名稱，加上企業員工數量後可以發現，第一名員工外洩個資數量大幅超標，員工外洩個資竟然高達二千倍，其次為七百倍和四百倍。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_06_56.png" style="width: 866px; height: 492px;" /></h2> <blockquote><p>同樣刪除企業名稱，可以發現，高科技製造業使用的密碼強度，前十名企業平均分數2分以上，高於產業平均分數，但對駭客而言，仍是弱密碼。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_10_04.png" style="width: 1046px; height: 605px;" /></p> <blockquote><h2>同樣刪除企業名稱，可以發現，前三名高科技製造業者員工使用的密碼，超過三成可以直接比對駭客常用暴力破解密碼的前十萬筆字典檔，也是各產業中，對照字典檔比例最高的產業。</h2> </blockquote> <h2><span style="color:#0000FF;"><strong>金融業員工外洩個資比例最高15％，密碼易遭字典攻擊暴力破解</strong></span></h2> <p>高科技製造業外洩個資占臺灣關鍵基礎設施整體外洩個資的七成，而金融業的外洩個資數量只占整體外洩個資的3％，但鄭仲倫表示，因為金融業牽涉到民眾的金錢，所以，金融業一旦發生個資外洩造成的影響也更大。</p> <p>鄭仲倫觀察到，金融業外洩個資的業者中，有某間民營金融業者外洩數量占整體的三分之一（34.37％），同樣有集中的現象，因為是挑選市值前一百大的金融機構，搜集到有外洩個資的金融業家數比高科技製造業少，若細究個資外洩原因，有可能是之前某次單一個資外洩或者是撞庫事件造成的現象；若以員工外洩資料的比例來看，外洩個資數量前三名的金融業者，其中一名就是員工外洩個資比例最高的金融業者。但若加上員工數量的話，金融業員工外洩個資比例最高為15.74％，也就是平均每七名員工中，就有一名員工個資遭到外洩；其次為12.34％、8.74％。</p> <p>普遍認為，金融業對於資安防護的作為相對嚴謹，但若從此次金融業外洩個資的密碼強度來看，金融業密碼強度的整體平均分數為1.562分，只有二家金融業者密碼強度分數超過2分，前八名業者超過1.6分，其餘都在1分～2分之間，和其他產業的差距並不大。</p> <p>若將金融業外洩密碼比照駭客使用字典攻擊、暴力破解密碼的比例，鄭仲倫表示，金融業整體外洩密碼有9.9％可以利用字典攻擊破解，但第一名的金融業者外洩密碼，卻有四分之一（25％）可以透過字典攻擊破解，第二名也高達24.7％，這也意味著金融業要求員工設定密碼強度的規則需要再更複雜。</p> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_14_44.png" style="width: 848px; height: 475px;" /></h2> <blockquote><h2>同樣刪除企業名稱，金融業中，有某民營銀行外洩個資比例，占整體產業的三成。</h2> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_17_18.png" style="width: 995px; height: 461px;" /></p> <blockquote><p>同樣刪除企業名稱，金融業員工外洩個資比例，最高為15.74％，也就是說，該間金融業每七名員工中，有一名員工個資遭到外洩。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_19_17.png" style="width: 808px; height: 452px;" /></h2> <blockquote><p>金融業使用的密碼強度偏低，只有二家金融業超過2分，其餘都在2分以下，這也與一般認為金融業資安防護措施較嚴密的印象有差距。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_21_25.png" style="width: 974px; height: 398px;" /></p> <blockquote><p>金融業中，有二間企業使用的密碼，有四分之一可以直接對照駭客使用常見的字典檔，讓駭客更容易破解員工密碼。</p> </blockquote> <h2><span style="color:#0000FF;"><strong>醫療業員工外洩個資比例最高35％，易被字典攻擊暴力破解業者低於其他產業</strong></span></h2> <p>挑選緊急救援與醫院類別作為分析的標的，鄭仲倫指出，臺灣基層醫療院所林立，但大型醫學中心每日提供醫療量能才是大宗，所以便鎖定臺灣各大醫學中心，作為此次關鍵基礎設施網路曝險的分析標的。</p> <p>醫學中心雖然仍有外洩個資集中現象，但相較其他產業集中化現象略微趨緩，鄭仲倫指出，第一名外洩個資的醫學中心，占整體醫療業外洩個資的五分之一（20.56％），相較其他產業個資外洩高度集中化的趨勢，較為和緩；但若加上員工比例來看，排名第一名的醫院，員工外洩個資比例為34.84％，也就是說，每三名該醫學中心的員工，就有一名員工個資遭到外洩，第二名到第五名的醫院，員工外洩個資的比例超過二成。</p> <p>進一步分析醫學中心外洩個資的密碼強度，全部都在2分以下，表示密碼非常容易被駭客猜到；但若比對字典攻擊方式，只有前二名的醫學中心，分別有19.3％和19.1％的外洩密碼，可以使用字典攻擊暴力破解，相對其他產業動輒三、四成的外洩密碼可以被駭客破解，臺灣各大醫學中心要求員工設置的密碼複雜度相對其他產業高。</p> <p>這次員工外洩個資比例最高的產業雖然是通訊傳播、能源、醫療業和政府，鄭仲倫認為，不管企業資安設備的防護力多好，都可能在無意間發生個資外洩的事件，也可能像是遭到類似供應鏈攻擊的方式，導致自家企業的員工個資可能透過其他公司遭到外洩，進而成為駭客攻擊關鍵基礎設施的利器。</p> <p>鄭仲倫從此次公布的臺灣關鍵基礎設施網路曝險報告也發現，使用弱密碼是共通問題，更遭到的是，有超過10％以上的外洩密碼，是可以透過字典攻擊暴力破解，密碼管理將成為臺灣關鍵基礎設施必須優先解決的資安議題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_25_30(1).png" style="width: 1045px; height: 501px;" /></p> <blockquote><p>各大醫學中心中，第一名外洩個資的數量，占產業整體外洩數量的二成，個資外洩集中化的趨勢，相對其他產業和緩。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_30_27.png" style="width: 903px; height: 487px;" /></p> <blockquote><p>員工外洩個資的比例，最高的醫院是每三名員工，就有一名員工個資外洩，第二名到第五名的醫院，員工外洩個資的比例超過二成。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_34_15(1).png" style="width: 562px; height: 436px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">若以密碼強度來評分，醫學中心員工使用的密碼強度全部低於2分，也是各產業中，唯一一個沒有一家醫院密碼強度超過2分的產業。</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-07-15%2018_39_16.png" style="width: 1162px; height: 406px;" /></p> <blockquote><p>醫學中心外洩密碼若直接比對駭客使用的常見十萬筆字典攻擊的字典檔，沒有一家醫學中心所使用的密碼，超過字典檔的二成，這也是各產業中最低的部份。</p> </blockquote> </div></div></div>
2021/7/15 16:46作者黃彥棻https://www.ithome.com.tw/news/145667
OpenSearch達1.0加入Linux ARM64架構支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從Elasticsearch分叉出來的開源專案OpenSearch，已經足夠成熟，因此官方發布了<a href="https://opensearch.org/blog/updates/2021/07/opensearch-general-availability-announcement/">1.0</a>主要更新版本。OpenSearch源自Apache 2.0授權許可的Elasticsearch 7.10.2和Kibana 7.10.2，其組成分別有搜尋引擎守護行程OpenSearch、視覺化及使用者介面OpenSearch儀表板，以及包括在Open Distro for Elasticsearch中的安全性、警報、異常偵測等進階功能。</p> <p>OpenSearch經過了社群大量的貢獻，除了豐富Open Distro for Elasticsearch專案的套件之外，也進行了一些必要更新，他們清理了專案中存在的專有程式碼以及標記，除了早期Alpha版本所清理的專有程式碼和參照之外，也在後來的開發過程，完成剩餘的程式碼清理工作，官方提到，現在OpenSearch已經不存在專有程式碼以及參照，使用上不會碰觸到商用授權的問題。</p> <p>而無論是重新建立應用程式，或是從使用舊版Elasticsearch升級而來的應用程式，都適用OpenSearch，官方提到，他們盡可能讓升級工作變簡單，因此從Elasticsearch升級到OpenSearch，與過去Elasticsearch版本間的升級方法完全相同。</p> <p>為求高相容性，官方仔細維護受各種函式庫使用的重要API功能，另外，OpenSearch也採用了新穎且富彈性的測試基礎設施，以確保複雜的OpenSearch專案，能夠進行穩健的測試，避免程式碼因變更造成破壞。</p> <p>自測試版發布以來，OpenSearch 1.0有一些功能更新，包括開始支援Linux ARM64架構，也盡可能減少嵌入到產品和服務中的OpenSearch和OpenSearch儀表板構件。另外，OpenSearch儀表板開始支援資料串流，報告套件則提供排程和租戶支援。</p> </div></div></div>
2021/7/15 18:32作者李建興https://www.ithome.com.tw/news/145663
臉書編列10億美元的創作者資金以爭取創作人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/07/investing-1-billion-dollars-in-creators/" target="_blank">臉書於本周宣布</a>，計畫在2022年底之前，投資10億美元以獎勵那些在臉書與Instagram建立內容的創作者。</p> <p>要拿到臉書的獎勵有資格上的限制，例如要使用臉書所提供的創意或營利工具，或者是要參加特定的挑戰賽，不過臉書也計畫提供種子基金予創作者，目的是協助這些創作者能夠在各式的臉書程式上維持生計。</p> <p>臉書打算推出各種獎金專案，而且準備在今年夏天於Instagram程式中建立相關專案的專屬園地，支援獎金專案的臉書程式則會在秋天出爐。</p> <p>目前臉書程式已有的獎金專案為In-Stream bonus與Stars bonus，前者搭配的是臉書的In-stream ads機制，鼓勵創作者於影片中嵌入短廣告，表現好的就能得獎；後者則是星星挑戰賽，遊戲玩家或內容創作者若能在直播中贏得一定數量的星星，就可得到獎金。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0715-%E8%87%89%E6%9B%B8%20%E5%85%A7%E5%AE%B9%E5%89%B5%E4%BD%9C%E8%80%85.png" style="width: 500px;" /></p> <p>在Instagram平臺上的獎金專案則包括IGTV ads bonus、badges in Live bonus與Reels Summer bonus。除了上述之外，今年底之前臉書與Instagram都會有更多的獎金專案問世。</p> <p><a href="https://www.wsj.com/articles/facebook-to-pay-content-creators-more-than-1-billion-through-2022-11626292301?mod=djemalertNEWS" target="_blank">華爾街日報分析</a>，創作者所帶來的人潮與廣告收入的潛力，引發各個平臺對於爭取創意人才的較勁，不過，臉書的獎勵模式能否帶來創作者的長期忠誠度仍有待觀察。</p> </div></div></div>
2021/7/15 18:41作者陳曉莉https://www.ithome.com.tw/news/145673
Azure VMware解決方案支援磁碟池，可單獨擴展儲存容量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布可用於<a href="https://azure.microsoft.com/zh-tw/blog/deliver-scalable-costeffective-disk-storage-for-azure-vmware-solution/">Azure VMware解決方案的磁碟池預覽版功能</a>，該功能是由Azure磁碟儲存服務作為基礎，讓用戶在Azure上運作的VMware工作負載，能夠使用到可擴充且價格更為經濟的雲端儲存，滿足用戶對於彈性資料儲存的需求。</p> <p>Azure VMware解決方案是微軟在Azure上提供的綜合VMware環境，其包含了Software Defined Datacenter（SDDC）內的儲存虛擬化VMware vSAN，微軟提到，隨著越來越多用戶使用Azure VMware解決方案，以滿足即時搬遷的需求，他們也開始整合其他Azure服務，來實現應用程式現代化，並進一步提高效率。</p> <p>而Azure VMware解決方案和磁碟池的整合，正是結合了VMware技術和Azure磁碟儲存服務的成果。磁碟池是一項Azure服務，為添加成儲存目標的低層磁碟，提供iSCSI端點介面，讓用戶能夠透過Azure Disk Storage，取用高效能且持久的塊儲存。</p> <p>現在用戶可以將Azure VMware解決方案連接到磁碟池，並將磁碟添加作為VMware的資料儲存，這就如同將VMware，連接到本地端SAN裝置上公開的iSCSI端點一樣，也就是說，用戶可以使用獨立於Azure VMware解決方案環境的儲存，這將有助於降低整體擁有成本（TCO），以更經濟的方式獲得額外容量，此外，用戶也能夠用到Azure磁碟儲存的特殊功能，像是效能層、動態擴展、快速擴充等，在擁有極大擴充彈性下，最佳化使用成本。</p> <p>由於磁碟池與Azure VMware解決方案高度整合，且完全由Azure管理，因此Azure VMware解決方案管理員只需要進行簡單的操作，就可以將新的或是現有的Azure Ultra磁碟儲存或Azure Premium SSD添加到磁碟池中，並公開為獨立的邏輯單元號碼（LUN），從而提供簡單且直接的映射，將磁碟連接到iSCSI LUN，作為Azure VMware解決方案資料儲存。</p> <p>為確保用戶的資料始終留在相關聯的磁碟中，官方提到，他們不會在磁碟池中加入儲存虛擬層，像是容錯式磁碟陣列（RAID），因為這會改變資料的放置邏輯。另外，對於有資料密集工作負載需求，需要橫向擴充Azure VMware解決方案的用戶，可以選擇在磁碟池上單獨擴展儲存，並且根據需要，在SDDC叢集添加完整的節點。</p> <p>Azure VMware解決方案整合磁碟池，除了可用於支援資料密集工作負載，也可以用在災難恢復站點，用戶可以利用磁碟池，部署只有3個節點的最小叢集，只要磁碟池完成設置並連接到Azure VMware解決方案叢集，就可以使用VMware站點恢復管理器等工具，將vSphere Replication從企業就地部署VMware SDDC，複製到附加在叢集的磁碟池，並根據保護工作負載的需求，調整需要的儲存。</p> </div></div></div>
2021/7/15 18:57作者李建興https://www.ithome.com.tw/news/145669
Consumer Acquisition：蘋果對iOS的追蹤限制讓廣告主營收下滑15%~20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交廣告代理商Consumer Acquisition分析了價值3億美元的社交廣告支出，指出在蘋果釋出了基於程式追蹤透明化（App Tracking Transparency，ATT）政策的iOS 14.5之後，廣告主的營收下滑了15%~20%，此一現象讓廣告主把廣告支出從iOS轉移到Android，使得Consumer Acquisition推測蘋果可能會在今年的感恩節（11/25）之前，收回或修改ATT政策。</p> <p>蘋果去年便開始推動ATT，禁止App Store上架的所有iOS App蒐集IDFA（identifier for Advertising），同時若必須追蹤使用者行為，必須先徵求使用者的同意。在啟用ATT政策的iOS 14.5於今年4月上線之後，若遇見企圖蒐集使用者資訊的程式，系統就會自動跳出ATT訊息。</p> <p>而為了因應iOS上的廣告需求，<a href="https://developer.apple.com/documentation/storekit/skadnetwork" target="_blank">蘋果則建立了SKAdNetwork</a>，這是一個廣告網路API，可用來驗證使用者因廣告而執行的程式安裝，它只具備活動ID，但無使用者的身分，在追蹤廣告效果之際還能保障使用者隱私。</p> <p>Consumer Acquisition<a href="https://www.singular.net/blog/idfa-opt-in-and-ios-14-5-adoption/" target="_blank">引用了Singular的調查</a>，亦分析ATT上線之後的廣告效果，顯示在ATT政策上路後，只有不到20%的iPhone用戶同意被追蹤。</p> <p>Singular調查了10個國家，發現最願意被追蹤的iPhone用戶是德國人，有26%的德國iPhone用戶同意被追蹤，令人好奇的是，最後一名是經常遭到政府監控與審查的中國，只有7.8%的中國iPhone用戶同意被追蹤。</p> <p>此外，Consumer Acquisition指出，由於失去了個人化廣告與追蹤能力，iOS上的廣告競價效能消退，受眾的廣告效果也被侵蝕，導致iOS廣告主的營收下滑了15%~20%。</p> <p>Consumer Acquisition分析，當營收的下滑無法歸因時，廣告主可能就會傾向於選擇比較容易衡量廣告效果，或者是支援個人化廣告的平臺，例如程式行銷監控平臺<a href="https://www2.branch.io/rs/315-FTT-121/images/2021-EB-Mobile-Growth-Handbook.pdf" target="_blank">Branch的調查</a>便顯示，在後IDFA時代，iOS平臺上的廣告支出出現下滑，反之Android平臺上的廣告支出卻增加了8~21%。</p> <p>有鑑於廣告收入也是iOS開發者投入該平臺的原因之一，使得Consumer Acquisition相信蘋果會在今年的感恩節之前，收回或修改ATT政策。</p> </div></div></div>
2021/7/15 18:13作者陳曉莉https://www.ithome.com.tw/news/145670
Amazon傳收購臉書連網衛星團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書曾以Internet.org推動偏鄉連網、發展連網衛星，如今<a href="https://www.theinformation.com/articles/amazon-acquires-facebooks-satellite-internet-group" target="_blank">The Information報導</a>Amazon收購了臉書連網衛星部門，以加速在低軌道衛星連網計畫和SpaceX的競爭實力。</p> <p>報導指出，Amazon在4月間悄悄買下臉書發展連網衛星團隊，包括員工及軟、硬設備、智財等。這個位於洛杉磯的單位有10多人，包括物理學家、以及之前開發航太及無線系統的光學、原型設計、機械及軟體工程師。消息獲得兩家公司的證實。</p> <p>這個部門原是臉書推動偏鄉上網計畫的一部份。臉書的Internet.org即是希望開發更容易在低頻寬網路存取的網路服務，讓更多開發中地區民眾得以上網。臉書最終目的是希望擴大使用者族群，藉此拓展廣告營收。雖然Internet.org早期開發高空汽車或無人機，但2018年<a href="https://www.ithome.com.tw/news/124697" target="_blank">有媒體發現</a>臉書也申請了衛星許可，以打造名為Athena的連網衛星。</p> <p>但The Information 報導指出，這項計畫遭遇到挑戰，迫使臉書出售連網衛星業務給Amazon。</p> <p>Amazon希望藉此收購挹注<a href="https://www.ithome.com.tw/news/129803" target="_blank">Kuiper近地軌道衛星專案</a>。和臉書一樣，Amazon表示Kuiper專案旨在服務缺乏寬頻網路的使用者。事實上，更多人口也意味著Amazon的電商平臺及AWS會有更多交易和需求。</p> <p>根據規畫，Amazon打算在近地軌道部署3,236顆衛星，可望覆蓋全球95%的人口。</p> <p>目前以近地軌道衛星建立寬頻通訊網路的業者中，以科技鉅子Elon Musk的SpaceX的Starlink進度最快。SpaceX已經在地球軌道上部署了1500多顆衛星。而分析師也認為Starlink也能和SpaceX推動的太空旅遊產生綜效。</p> <p>今年5月Starlink也和Google Cloud<a href="https://www.ithome.com.tw/news/144425" target="_blank">宣布一項合作</a>，Google Cloud資料中心提供Starlink地面基地臺的地面架設站及雲端服務、AI及分析應用，而Starlink則提供全球連網寬頻，以服務雙方客戶。</p> <p>另一家廠商是由英國政府支持的OneWeb，也<a href="https://www.oneweb.world/media-center/oneweb-completes-its-five-to-50-mission" target="_blank">計畫發射</a>648顆衛星涵蓋全球的連網，目前已發射了254顆衛星，預計今年下半提供北半球的商用連網服務。</p> </div></div></div>
2021/7/15 16:44作者林妍溱https://www.ithome.com.tw/news/145666
Amazon及臉書相繼要求FTC主席Lina Khan迴避反托拉斯案件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Amazon於今年6月底提出動議，要求美國聯邦交易委員會（FTC）新上任的主席Lina Khan迴避有關Amazon的反托拉斯案件之後，<a href="https://about.fb.com/wp-content/uploads/2021/07/Facebook-Inc.s-Petition-to-Recuse-Chair-Khan.pdf" target="_blank">臉書也在本周三（7/14）提出同樣的請願</a>，它們的理由一致，皆指出Khan先前就認為它們壟斷市場，立場已決。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0715-lina%20khan%20twitter.jpg" style="width: 600px;" /></p> <p>Amazon的反應是因為FTC正在檢視Amazon與米高梅的併購案，臉書的動作則是來自於FTC企圖控告臉書違反反拉斯法，雖然此一指控是在川普時代提出，而且已被法官駁回，但FTC正在研擬是否修正原有訴訟文件並再度提交。</p> <p>Khan還是耶魯大學學生時，就曾於《耶魯法學期刊》（Yale Law Journal）發表《Amazon的反托拉斯悖論》（Amazon's Antitrust Paradox），批評美國反托拉斯法令的框架側重於降低消費者價格，而無法顧及諸如Amazon等基於平臺的商業模式所帶來的反競爭影響，進而對美國的法律及商業界帶來重大影響。</p> <p>臉書則說，Khan在2011年到2018年間任職於開放市場研究所（Open Markets Institute）時，有多篇針對臉書的著作，宣稱臉書的行為違反了反托拉斯法，且當時OMI也鼓吹應該撤回臉書對WhatsApp與Instagram的收購案；亦曾於學術論文中闡述臉書違反反托拉斯法的論述。</p> <p>Amazon在動議中暗示現任FTC主席的Khan，將對鎖定Amazon的反托拉斯調查欠缺公正性。</p> <p>同樣的，臉書也表示，Khan過去的著作與意見清楚地傳達了她早就斷定臉書在反托拉斯案件中的責任，理應迴避。</p> <p>Amazon與臉書也都援引了<a href="https://law.justia.com/cases/federal/appellate-courts/F2/425/583/175395/" target="_blank">1960年代的同一個判例</a>，當時的FTC指控民營的Cinderella Career College and Finishing Schools從事不公平與欺騙式的行為，然而，Cinderella卻說FTC主席Paul Rand Dixon因曾針對此事發表對Cinderella的不利聲明，要求Dixon迴避，上訴法院即認為Dixon應該要迴避。</p> <p>事實上，在美國總統拜登（Joe Biden）於今年3月提名Khan擔任FTC委員，再於6月指派Khan擔任FTC主席之後，便已突顯了白宮對美國科技大廠的態度。</p> </div></div></div>
2021/7/15 16:00作者陳曉莉https://www.ithome.com.tw/news/145664
Dropbox公開自家工程師職務能力框架，不同類型技術職人技能和職涯發展階梯大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Dropbox近期公開了一份內部的<a href="https://dropbox.github.io/dbx-career-framework/ic1_software_engineer.html" target="_blank">工程師職務框架</a>（Engineering Career Framework），詳細定義了工程師在企業內的職務能力階段，比如軟體工程師就分成7階，每個階層都有各自應具備的能力面向、關鍵行為與影響力。除了最常見的軟體工程師，這份文件還定義了其他如QA工程師、SRE、ML工程師、資安工程師、技術專案經理、工程經理等職務，要讓工程師能依循這套框架來檢視自身的能力級別，企業也能以此來檢視應徵者、員工處於哪一個層級，了解其能力所在。</p> <p>「這份框架是我覺得Dropbox內最有價值的資源之一。」一位臺灣的Dropbox軟體工程師vgod<a href="https://www.facebook.com/vgod.blog/posts/292192929227712" target="_blank">點出這份框架的重要性</a>。他指出，每個大企業都會定義類似的框架，但少有公司會把完整的文件開放出來，這也凸顯了Dropbox公開框架的難能可貴。他也認為，雖然這份框架是Dropbox的定義，但矽谷各大公司對工程師能力的定義和期待，都已經收斂到相近的範圍了，意味著這個框架，就是美國大多科技公司的工程師用來定義自己能力級別的參考標準。</p> <p>這份框架主要可以分為兩大結構來解讀。第一大結構，是每種職類的每一階層，都包含了三個面向的描述，分別是範圍（Scope）、協作範圍（Collaborative Reach）與影響優勢（Impact Levers）。從文件描述來看，「範圍」是用來描述工程師對工作任務的掌握與執行程度，「協作範圍」是用來定義工程師協作觸及到的團隊或組織面向，最後的「影響優勢」，則是列出不同能力階層的工程師，對企業帶來的有利影響有哪些。透過這些定義，員工較能清楚區分各階層之間的差異，了解自己的定位。</p> <p>另一大結構，則是在每種職務分類的每一階層中，都會詳細定義工程師應具備的核心能力、應達成的關鍵行為。這些能力範疇不僅包括技術能力（也就是Dropbox框架中的「Craft」），還包括領導、訂定策略的能力（Direction），聘僱員工、擔任導師的能力（Talent），與他人協作和溝通的能力（Culture），以及產出具深度與廣度的成果的能力（Results）等。這份框架指南也指出，這些能力定義，可成為工程師思考該如何工作的參考。</p> <p>「Dropbox框架對每個階層的清楚定義，消除了模糊空間，對於工程師的成長很有幫助。」vgod受訪時表示，對工程師來說，透過這份框架可以很容易了解自己處於哪個階層，以及要前往下個階層，還有哪些能力需要補強。同時，也能更開放的與主管討論，該往哪個面向學習與精進，才能達成自己的職涯目標。甚至在跟主管提升職時，這套框架也能成為具體的表現衡量標準，減少升遷過程可能發生的政治角力情形，以及「抱老闆大腿」就能升職的現象。</p> <p>對企業來說，這份框架也能在許多情境下派上用場。比如Dropbox每半年會進行一次個人表現檢視（Performance Review），這份框架就能作為評估自己或他人表現，是否符合期待的重要依據。員工升職時，也能用這套框架檢視該名員工的影響力，是否已經達到下一個層級的標準，如此一來，員工也較不會出現「為什麼我做了很多事但還是不能升職」的心理。招聘時，同樣也能用這套框架，依據應徵者以往的工作經歷評估對方屬於哪一個層級，先了解其能力位階，再分派到合適的職位。</p> <h3><span style="color:#FF8C00;">臺灣工程師較專注追求技術能力，但領導、協作、提案能力也同等重要</span></h3> <p>不只能對Dropbox內部員工帶來幫助，vgod認為，這份Dropbox訂定的工程師職務框架，對於所有在工程師路上努力的人來說，都值得參考。</p> <p>尤其他觀察到，臺灣工程師普遍注重技術能力的精進，將許多心力花費在追逐新技術、新語言、新框架上，卻忽略了追求技術能力的行為，不一定能為企業帶來更多貢獻。部分工程師則是習慣自己埋頭苦幹，儘管確實交付他人指派的任務，但也因此缺少了發掘新專案的能力，也減少了與他人協作或領導的機會。這些能力的缺乏，都可能成為工程師升職的阻礙。</p> <p>就連他自己在學生時期時，對於工程師的理解只停留在技術能力的追求，認為程式碼寫好、具備系統設計的能力，就是一位高階工程師了，但進入了Dropbox後才發現，公司對工程師的能力要求非常廣，Craft只是基本能力而已，若要繼續向上升職，就必須要熟悉更多技術之外的能力，為企業帶來更多有利的影響。</p> <p>因此，他也建議，若臺灣企業沒有訂定這類框架，「Dropbox的框架是一個很好的參考基礎。」透過訂定一份職務能力框架，能增加員工職涯發展的透明度，激勵員工成長；企業評估員工能力時，也能透過同一套參考依據，很容易的向員工解釋「為什麼你是在這個階層」、或是「為什麼你還沒辦法升職」，讓升遷相關的決策更有說服力。</p> <p>不過，vgod也指出，這套框架的分類非常詳細，對大多中大型的科技公司較為適用；但對新創來說，由於員工人數較少、職務內容彈性大，反而沒必要將職務能力分這麼多級別。</p> </div></div></div>
2021/7/15 15:03作者翁芊儒https://www.ithome.com.tw/news/145660
光碟映像檔又被濫用於附件！研究人員揭露鎖定能源產業的釣魚郵件攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>發動釣魚郵件的攻擊者為了規避郵件系統初步偵測，最近幾年開始會採用一些電子郵件附件較為罕見的檔案格式，來夾帶作案工具，例如，6月底有資安研究人員發現，<a href="https://www.ithome.com.tw/news/145336">有攻擊者使用了Windows映像檔格式WIM（Windows Image Format）的檔案，作為釣魚郵件的附件</a>，目的是為了散布惡意軟體Agent Tesla。而惡意程式碼免疫系統供應商Intezer，他們在7月7日<a href="https://www.intezer.com/blog/research/global-phishing-campaign-targets-energy-sector-and-its-suppliers/">公布了一起針對能源產業的釣魚郵件攻擊事故</a>，並認為駭客攻擊行動時間至少為期一年，而且攻擊者發送的郵件裡，都會包含IMG、ISO，或是CAB檔案格式的附件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phishin-Campaign-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phishin-Campaign-s.png" style="width: 580px; height: 157px;" /></a></p> <p>關於這起攻擊行動遭到鎖定的目標，Intezer指出主要是針對能源、石油、天然氣，以及電子業的大型國際公司。不僅如此，駭客還針對了石油與天然氣的供應商下手，因此，Intezer研判，這波攻擊很可能是整起行動的第一階段。一旦攻擊者成功入侵供應商，他們可以運用可掌控的電子郵件帳號，來向受害公司的合作夥伴發送釣魚郵件，讓這些合作廠商更難察覺異狀。</p> <p>而從攻擊的範圍來看，駭客攻擊了世界各地的公司，包括美國、德國，以及阿拉伯聯合大公國（UAE）等。不過，Intezer認為，攻擊者的主要目標是韓國公司。</p> <p>再者，釣魚郵件的內容與公司業務往來相關，像是報價請求（RFQ）、合約，以及投標文件等。研究人員強調釣魚郵件的內容幾可亂真，看起來像是兩家公司之間的往來信件，而使得受害者難以發現有異──攻擊者使用了公司的真實地址、商標，以及電子郵件信箱，甚至會提及高階主管，而且，上述郵件的內容，也與遭鎖定的公司實際業務相關。</p> <p>研究人員舉出其中一封釣魚郵件內容為例，攻擊者假冒現代工程公司（Hyundai Engineering Co，HEC）的名義，謊稱要參與巴拿馬聯合循環發電廠（Combined Cycle Power Plant）的設備投標，要求對方若要參與設備的投標，就要在截止日期前提交標案資料，並宣稱標案的細節和需求，隨附於附件檔案之中。但實際上，附件包含了惡意軟體，一旦收信人信以為真開啟附件檔案，電腦就可能會被植入惡意軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phishing-Email-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phishing-Email-s.png" style="width: 580px; height: 505px;" /></a></p> <p>為了讓受害人降低戒心，攻擊者還運用了誤植域名（Typosquatted）的手法，這些寄信者的網域疑似已被事先註冊，目的是讓收件者認為電子郵件來自受信任的實體，一旦收件者稍不留意，很有可能認為電子郵件是從合法公司發出。Intezer指出，許多被盜用的網域名稱，模仿韓國公司的合法名稱「company.co.kr」，攻擊者註冊了沒有.co二級網址的網域名稱，而是「company-co.kr」。以上述假冒現代工程公司的例子而言，攻擊者註冊了hec-co.kr來用於攻擊行動。</p> <p>一旦收信人不慎開啟這些光碟映像檔（ISO、IMG）或是壓縮檔案格式（CAB）的附件，就有可能中招。這些附件內含可執行檔（EXE）格式的惡意程式，但攻擊者為了欺騙收信人，將其圖示替換為PDF檔案的樣子。Intezer指出，這些附件裡夾帶的惡意程式，他們看到了Formbook、Agent Tesla、Loki、Snake Keylogger，以及AZORult等RAT木馬程式，而這些惡意程式的共通功能，就是能竊取受害電腦裡的機密，包含了個資和銀行資料，以及上網瀏覽記錄等，並且可側錄鍵盤輸入的內容。</p> <p>研究人員指出，由於在Windows 10作業系統裡，使用者只要點選上述格式的光碟映像檔案，或者是CAB檔案，電腦就會自動掛載或是打開其中內容，只需要少許受害者操作，就會觸發惡意軟體，再加上有些電子郵件防護系統不會檢查這類格式的附件，而讓這種郵件能成功寄送給特定目標人士。該公司亦呼籲企業和用戶要加以留意防範。</p> </div></div></div>
2021/7/15 12:28作者周峻佑https://www.ithome.com.tw/news/145659
歐洲央行正式啟動數位歐元專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲中央銀行（European Central Bank，<a href="https://www.ecb.europa.eu/press/pr/date/2021/html/ecb.pr210714~d99198ea23.en.html" target="_blank">ECB）周三（7/14）宣布</a>，將正式啟動數位歐元專案（Digital Euro Project），率先登場的是為期24個月的調查階段，但並不保證一定會發行數位歐元。</p> <p><a href="https://www.ecb.europa.eu/press/blog/date/2021/html/ecb.blog210714~6bfc156386.en.html" target="_blank">歐洲央行解釋</a>，數位與線上支付帶來了便利與效率，但也衍生出隱私、安全與存取性的挑戰，這些新的支付模式對某些使用者而言是昂貴的，例如數位支付多半是高收入所得的人在使用，反之，低收入的人較常使用現金，這也反映出普惠金融的重要性；而數位歐元將可降低交易成本，也將藉由於現階段無法存取金融服務的地區提供數位支付來促進普惠金融，讓歐盟公民能夠在歐盟地區的任一國家消費。</p> <p>調查階段的目的是解決有關數位歐元設計與分布的問題，數位歐元必須能夠滿足歐洲人的需求，同時也能用來預防非法活動，也不應對金融穩定性或貨幣政策造成任何不良的影響。此外，不論如何，數位歐元都是用來彌補現金的不足，而非取代現金。</p> <p>調查之所以長達2年，是因為有太多相關問題必須審慎評估，主要是設計符合使用者需求的功能，將涉及焦點團體、原型與概念性工作，找出可實現數位歐元目標的優先使用範例，建立一種無風險、容易存取且高效率的中央銀行貨幣形式。</p> <p>數位歐元亦將牽涉到歐盟立法框架的變更，也會與歐盟執委會討論數位歐元的技術細節，以及評估數位歐元將對市場造成的潛在影響，辨識各種設計選項，以確保使用者隱私，同時避免可能對歐元區公民、中介機構或整體經濟所帶來的風險。</p> <p>此外，該調查還會定義出數位歐元生態體系中，受監管之中介機關的商業模式。</p> </div></div></div>
2021/7/15 12:58作者陳曉莉https://www.ithome.com.tw/news/145661
Google：俄羅斯駭客利用Safari零時差漏洞鎖定LinkedIn用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/how-we-protect-users-0-day-attacks/" target="_blank">Google安全研究人員發現</a>俄羅斯駭客鎖定歐洲LinkedIn用戶下手，如果他們也用iOS裝置的話。</p> <p>Google威脅分析小組研究人員Maddie Stone及Clement Lecigne 5月間發現，Safari的WebKit引擎存在編號CVE-2021-1879的安全漏洞。一個疑似俄羅斯政府支持的駭客組織利用LinkedIn Messaging，向歐洲國家政府官員發送惡意連結。如果他們從iOS裝置點入，就會被導向攻擊者控制的網域以送出次階段的攻擊程式。研究人員判斷，這波攻擊和5月間鎖定Windows 裝置用戶送出Cobalt Strike的攻擊相同。</p> <p>Google分析，在多階段下載後，最後的攻擊程式會開採iOS裝置上<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-1879" target="_blank">Safari的CVE-2021-1879</a>。這會導致Safari的同源政策（Same-Origin-Policy）防護被關閉，而導致跨網域取得其他合法網站的資訊。同源政策要求瀏覽器下載和被存取的圖片、影片及程式碼都必須來自同一網域，以防止跨域攻擊。但在Safari同源政策被關閉後，駭客得以蒐集Google、Yahoo、LinkedIn、臉書及微軟網站的驗證cookies，並透過WebSocket傳送到外部攻擊者控制的IP Address。</p> <p>所幸受害者必須剛好以Safari連向這些網站，駭客才能成功竊取cookies。研究人員也沒發現攻擊導致沙箱逃逸（sandbox escape）或植入什麼嵌入程式。這項漏洞屬於中度風險。</p> <p>5月的這波攻擊鎖定12.4到13.7版iOS，以及相應的iPadOS及watchOS。蘋果已釋出iOS 12.5.2、iOS 14.4.2和iPadOS 14.4.2、watchOS 7.3.3.修補該漏洞。</p> <p>這是Google發現最新一批經過開採的零時差漏洞之一。Google另外還發現Chrome及Internet Explorer (IE)的零時差漏洞，前者有2個：CVE-2021-21166 、CVE-2021-30551，可誘使用戶連上惡意網頁時，引發記憶體堆疊毁損而執行程式碼。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-33742" target="_blank">IE的CVE-2021-33742</a>為發生在MSHTML引擎的頻外寫入漏洞，可引發遠端程式碼攻擊。三者皆為CVSS 3.0 8.8層級的高度風險漏洞，皆已修補。</p> <p>至於何以今年上半揭露的零時差漏洞如此之多，Google指出，除了研究界更加努力揭露外，其他原因包括行動裝置普及成為惡意程式偏好目標，以及平臺及安全業者偵測手法精進，迫使惡意程式作者必須開發技巧更高超、更快速發動攻擊以提高成功率。</p> </div></div></div>
2021/7/15 14:10作者林妍溱https://www.ithome.com.tw/news/145662