iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google祭出兒童/青少年保護措施，可移除18歲以下使用者照片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管現代的兒童或青少年都已與資訊科技密不可分，但各大社交平臺仍企圖在網路上保護這些未成年人，<a href="https://blog.google/technology/families/giving-kids-and-teens-safer-experience-online/" target="_blank">Google本周即宣布多項保護措施</a>，包括可請求Google於圖片搜尋結果中刪除未滿18歲的兒童/青少年照片，也將YouTube上未成年的上傳預設值調整為最嚴格的隱私選項。</p> <p>普遍來說，社交網站都禁止13歲以下的使用者獨自申請帳號，包括臉書、Instagram或Google，但業者也會透過其它形式來提供兒童服務，例如Google即推出Family Link，以讓家長可以替兒童建立帳號並加以監督，或者是Google專為兒童打造的YouTube Kids、Kids Space，以及Google Play上的教師推薦專區等。</p> <p>雖然Google早就提供了讓使用者申請移除個人資訊的服務，但未來幾周Google打算祭出一項新政策，讓任何未滿18歲的使用者，或是這些青少年/兒童的家長或監護人，能夠要求Google從圖片搜尋結果中移除其照片。</p> <p>此外，Google亦決定針對18歲以下的使用者，採用更嚴格與更具隱私的預設值。包括在YouTube上將13~17歲用戶的上傳預設值，變更為最嚴格的選項，僅允許這些青少年主動選擇的對象得以看到上傳內容；而可過濾裸露搜尋結果的SafeSearch，原本只是Family Link中13歲以下用戶的預設值，但幾個月之後，它將成為所有未滿18歲用戶的預設值，且同時適用於既有用戶及新用戶。</p> <p>可以紀錄使用者所在地的位置歷史紀錄（Location History）的預設值是關閉的，但過去Google不准Family Link中的兒童啟用該功能，未來則將進一步不准18歲以下的青少年啟用該功能。</p> <p>Google亦計畫於Google Play上建立一個新的安全區域，集結符合Google家庭政策的行動程式，這些程式必須非常詳細地揭露資料的蒐集及使用，以讓家長要代替兒童下載程式時作為參考。</p> <p>除了強化隱私及減少兒童／青少年曝露於不安全內容之外，Google也將推出新的數位健康過濾器，以讓人們能夠封鎖新聞或播客，在YouTube上則會針對18歲以下的青少年主動啟用「該休息了」或「睡覺時間到了」的提醒機制，同時關閉自動播放功能。</p> </div></div></div>
2021/8/11 17:29作者陳曉莉https://www.ithome.com.tw/news/146140
跨鏈協定Poly Network遭盜走價值6.1億美元的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造跨鏈協定以讓不同區塊鏈得以互動的<a href="https://medium.com/poly-network/the-root-cause-of-poly-network-being-hacked-e30cf27468f0" target="_blank">Poly Network周二（8/10）宣布</a>，駭客攻擊了此一去中心化的金融平臺（DeFi），並成功移轉了價值達6.1億美元的加密貨幣。Poly Net已發布公開信要求駭客歸還所盜走的加密資產，且宣稱這是DeFi史上最大的一次駭客事件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-polynetwork-600.jpg" style="width: 589px;" /></p> <p>Poly Network所開發的跨鏈協定允許同質與異質的區塊鏈，可透過公開且透明的機制連至Poly Network網路，以於Poly Network網路上進行跨鏈通訊，迄今已整合了比特幣、以太坊、Neo、Ontology、Elrond、Ziliqa、Binance、Switcheo與Huobi ECO等區塊鏈，企圖建立新一代的區塊鏈網路架構。</p> <p><a href="https://slowmist.medium.com/the-root-cause-of-poly-network-being-hacked-ec2ee1b0c68f" target="_blank">率先發現此一攻擊事件的</a>，是專注於區塊鏈生態體系安全性的SlowMist Zone社群，指出protocol Poly網路在周二晚間遭到駭客攻擊，大約有價值6.1億美元的加密貨幣被轉移到3個位址，該社群已追蹤到駭客所使用的郵件信箱、IP與裝置指紋。</p> <p>SlowMist Zone社群的分析顯示，駭客最初的來源資金為門羅幣（XMR），再將它們兌換成比特幣、以太幣與MATIC幣，並對這3條區塊鏈發動攻擊，也相信這是駭客是經過縝密計畫才發動的攻擊行動。</p> <p>該社群也公布了駭客的攻擊手法，指出其源頭為EthCrossChainManager合約的verifyHeaderAndExecuteTx函數可透過_executeCrossChainTx函數，來執行特定的跨鏈交易。</p> <p>由於EthCrossChainData合約的所有人就是EthCrossChainManager合約，有鑑於EthCrossChainManager合約能藉由呼叫EthCrossChainData合約的putCurEpochConPubKeyBytes函數來變更合約的管理人，於是駭客只需要輸入精心打造的資料，就能將合約的管理人角色轉移到駭客所指定的位址，進而轉移該合約內的所有資產。</p> <p>此次駭客即利用上述方法攻擊了幣安鏈、以太鏈與MATIC資產。</p> <p>Poly Network很快就去信給駭客，表示想與駭客溝通，請他們儘速歸還所盜走的加密資產，還說這是DeFi史上被竊金額最大的一次駭客事件，涉及數十萬的加密貨幣用戶，任何國家的執法機關都會將它視為經濟犯罪並展開追查。</p> <p>此外，<a href="https://twitter.com/PolyNetwork2/status/1425073987164381196?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1425073987164381196%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fsecurity%2Fover-600-million-reportedly-stolen-in-cryptocurrency-hack%2F" target="_blank">Poly Network也呼籲受到波及的礦工</a>，以及所有的加密貨幣交易平臺，都應將駭客所使用的錢包位址列入黑名單，也準備針對此一駭客事件展開法律行動。</p> </div></div></div>
2021/8/11 16:16作者陳曉莉https://www.ithome.com.tw/news/146138
臉書動手移除專門散布不實資訊的緬甸與俄羅斯網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《紐約時報》（The New York Time）<a href="https://www.ithome.com.tw/news/145886" target="_blank">在今年7月底的調查報導中</a>，以源自俄羅斯、設立於倫敦的行銷公司Fazze為例，指出不實資訊的製造及散布已日益形成一個產業，<a href="https://about.fb.com/news/2021/08/july-2021-coordinated-inauthentic-behavior-report/" target="_blank">而本周臉書即宣布</a>，在今年7月該平臺移除了兩個「協作不真實行為」（Coordinated Inauthentic Behavior，CIB）網路，它們分別來自緬甸與俄羅斯，後者即與Fazze有關。</p> <p>紐時發現Fazze付費給各國的網紅，要求他們在社交平臺上散布有關BNT疫苗的不實資訊，也提供了建議的說法及平臺，但法國與德國的網紅因不願配合而踢爆此事。此外，紐時追查之後發現，Fazze雖然自稱為倫敦行銷公司，但母公司其實是俄羅斯一家廣告業者。</p> <p>而臉書則指出，Fazze不僅於臉書散布不實資訊，所利用的社交平臺多達十幾個，<a href="https://about.fb.com/wp-content/uploads/2021/08/July-2021-CIB-Report.pdf" target="_blank">使得臉書決定與外界分享有關Fazze的深入分析</a>，包括Fazze在2020年12月的活動是對外宣稱打了AZ疫苗之後會變成黑猩猩，今年5月則開始質疑BNT疫苗的安全性，並持續創造混淆視聽的內容，所操作的平臺從臉書、Instagram、YouTube到TikTok等十多個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-%E5%81%87%E6%B6%88%E6%81%AF-%E5%8D%94%E4%BD%9C%E4%B8%8D%E7%9C%9F%E5%AF%A6%E8%A1%8C%E7%82%BA-%E8%87%89%E6%9B%B8-600-2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_臉書</span></p> <p>Fazze的不實資訊散布活動主要鎖定位於印度及拉丁美洲的用戶，偶爾也會在美國見到。此次臉書分別在臉書與Instagram平臺，刪除了涉及Fazze網路的65個及243個帳號。</p> <p>至於緬甸的不實資訊散布活動則聚焦在境內，這與當地正在發生的政變有關，而發布不實資訊的帳號則與緬甸軍方有所關連，也讓臉書於7月移除了相關的79個臉書帳號、13個粉絲頁、8個社團，以及19個Instagram帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-%E5%81%87%E6%B6%88%E6%81%AF-%E5%8D%94%E4%BD%9C%E4%B8%8D%E7%9C%9F%E5%AF%A6%E8%A1%8C%E7%82%BA-%E8%87%89%E6%9B%B8-600-1.jpg" style="width: 389px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_臉書</span></p> </div></div></div>
2021/8/11 16:44作者陳曉莉https://www.ithome.com.tw/news/146139
Prometheus勒索軟體受害者能自救了，奧義智慧研究其弱點並釋出解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了阻止勒索軟體的危害，過去已有一些資安業者，設法找到勒索軟體的弱點，或是偕同執法單位破獲其組織，進而開發出相應的解密工具，而且免費提供給大家使用，讓受害者免於繼續遭受勒索軟體威脅，恢復那些被惡意加密的檔案。最近，又有一款勒索軟體解密工具釋出，是針對普羅米修斯（Prometheus）勒索軟體而來，而它的開發者正是近年來備受關注的臺灣資安新創業者──奧義智慧，他們也是<a href="https://www.ithome.com.tw/review/106724">繼趨勢</a><a href="https://www.ithome.com.tw/news/106458">科技之後</a>，國內第二間打造出勒索軟體解密工具的公司。</p> <h3><strong>Prometheus於最近一年內崛起，受害者已遍布全球</strong></h3> <p>在7月13日，<a href="https://medium.com/cycraft/prometheus-decryptor-6933e7bac1ea">奧義智慧在官方英文部落格上，宣布於GitHub釋出Prometheus Decryptor</a>，顧名思義，這是針對Prometheus勒索軟體解密的工具，遭受此勒索軟體的受害者，可以透過這款具有GUI介面的工具，自行將被加密綁架的檔案解密。</p> <p>關於Prometheus勒索軟體的起源，最早是在2020年被發現，在其幕後組織於暗網設立的資料外洩網站上，已有多達40個受害者，特別的是，他們自稱隸屬於惡名昭彰的REvil組織，但根據多方證據顯示，Prometheus應是Thanos勒索軟體的變種。</p> <p>例如，根據Palo Alto Network旗下威脅情資研究機構<a href="https://unit42.paloaltonetworks.com/prometheus-ransomware/">Unit 42，在今年6月就針對Prometheus提出分析報告</a>，他們指出，該勒索軟體的受害者遍布全球30國，同時也確認它與Thanos勒索軟體的關連，而最近推出解密工具的奧義智慧，同樣指出該勒索軟體與Thanos的關連。</p> <p>此外，這套免費解密工具發布之後，對Prometheus的運作產生很大的衝擊。例如，8月1日國外媒體The Record有一篇報導指出，Prometheus勒索軟體解密工具發布兩個星期之後，該組織在暗網上似乎已經停止行動，疑似另起爐灶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E9%87%8B%E5%87%BA%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></p> <blockquote><p>奧義智慧釋出勒索軟體解密工具，可還原被Prometheus加密的檔案。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年7月中旬，奧義智慧釋出Prometheus勒索軟體解密工具於GitHub，讓全球遭受該勒索軟體攻擊的受害者，能免費透過該解密工具，可有很大機會恢復檔案。而根據</span>國外媒體The Record的報導，當中引述了<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic; white-space: pre-wrap;">資安業者</span><span style="white-space: pre-wrap;">Emsisoft的專家說法，指出該解密工具主要對小型檔案有效。</span><br /> Prometheus Decryptor網址：（<a class="fg hx" href="https://github.com/cycraft-corp/Prometheus-Decryptor" rel="noopener nofollow">https://github.com/cycraft-corp/Prometheus-Decryptor</a>）</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E9%87%8B%E5%87%BA%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></h3> <blockquote><p>從Prometheus勒索軟體在暗網設立的資料外洩網站上，可看出已有40多個受害企業組織。（圖片來源：奧義智慧）</p> </blockquote> <h3><strong>年初因臺灣企業受害，奧義研判有機會破解而投入研發</strong></h3> <p>勒索軟體的危害已經不言而喻，但要開發出相應的解密工具，讓受害者免於受勒索加密之苦，並不容易，因為廠商和資安專家不僅要花時間與心力去研究，也要看是否真能找出其弱點。所以，對於奧義智慧為何會開發這樣的解密工具，外界也很好奇。</p> <p>事實上，Prometheus勒索軟體受害者遍布全球，臺灣也有企業遭殃。奧義智慧共同創辦人叢培侃表示，最初他們就是接到國內客戶資安事件，因此參與Prometheus勒索軟體有關的事件調查。</p> <p>他表示，這家公司具有上千人規模，一些電腦都因勒索軟體而癱瘓，在協助調查過程中，發現連備份資料也同樣遭到加密，對營運造成很大衝擊，因此他們也曾接洽該勒索軟體組織，希望居中斡旋，但對方提出勒索金額，是這家企業所沒法承受的天價，因此希望奧義智慧幫忙。</p> <p>然而，有別於一般遭遇勒索軟體攻擊的企業，叢培侃表示，這家公司並未要求奧義智慧讓他們的系統能立刻恢復營運，而是讓他們繼續調查攻擊事件的入侵過程，以及對此勒索軟體進行逆向工程解析，自身則採紙本作業來維持公司運作。</p> <p>基本上，沒有廠商打包票能破解勒索軟體。他表示，被勒索加密的這些檔案能否復原，需要針對病毒進行全方位分析，以及駭客族群背景調查，過程當中相當耗費時間精力成本，也不確定是否可以成功。</p> <p>不過，這家客戶還是希望奧義智慧能找出一些解法，並且對於他們進行的調查相當有耐心。而奧義智慧的作法，則是請對方設法蒐集被加密的檔案，以及可能殘留的勒索病毒樣本，還有勒索信，有了這些資訊，能幫助他們加速判斷，了解該勒索軟體的演算法核心是否有問題。</p> <p>經過評估之後，他們研判有機會在有限的時間內做到解密功能，也將這樣的資訊提供給客戶，最終經歷了一個月的努力，奧義智慧整個研究團隊終於開發出能夠解開勒索軟體加密檔案的工具。</p> <p>叢培侃表示，每間公司的危機處理態度都不一樣，很少企業的決策是願意等待廠商的研發，所幸這次最終也有不錯的結果，可以在有限時間內，找出成功戰勝勒索病毒的方法。</p> <p>不過，Prometheus勒索軟體本身究竟有什麼樣的弱點？奧義智慧資深研究員陳仲寬表示，最主要是他們發現其加解密演算法的缺陷，對於每個檔案加密金鑰的生成，是與系統啟動後的時間相關，並且只使用較短的32位元的長度，因此，雖然駭客也使用RSA 4096加密技術，用於保護加密每個檔案的金鑰，但奧義智慧的對策，是找出繞過高強度加密防護的方式，直接將被加密的檔案解密恢復。</p> <p>基本上，這類勒索軟體可能為了在短時間能獲得最大效果，因此對於每個檔案的加密，使用ChaCha20、Salsa20等演算法以達到快速加密的目的，但這次最主要得以破解的原因，還是因為上述所提及用時間來對每個檔案產生加密金鑰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%A7%E7%BE%A9%E9%87%8B%E5%87%BAPrometheus%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p>若是企業組織不幸遭受Prometheus勒索軟體攻擊，用戶可透過奧義智慧提供的這款解密工具來復原檔案。使用上，這款解密工具提供了GUI介面讓使用者操作，只要選擇檔案或資料夾，以及解密檔案輸出位置，即可執行解密。特別的是，若是使用者知道被加密的時間點，在介面中輸入對應參數，以及開啟電腦多執行序的運算，將可加快解密過程。（圖片來源：奧義智慧）</p> </blockquote> <h3><strong>奧義智慧也加入No More Ransom，提供大眾能用的解密工具</strong></h3> <p>目前已知提供解密工具的資安業者，當中有許多都加入全球知名的No More Ransom計畫，奧義智慧是否也打算加入？</p> <p>對此，奧義智慧表示，他們已經提出申請。叢培侃說明，上述客戶的資安事件發生在2021年2月，到了3月，他們正式開發出解密工具，不過，當時只是透過命令列執行的工具，目的也只是為了協助該客戶。</p> <p>不過，奧義智慧也想貢獻一己之力，因此決定申請加入No More Ransom計畫。</p> <p>他們也分享了這方面的申辦經驗。例如，他們最初找不到No More Ransom的聯絡窗口，由於他們同時身為國際資安事件應變組織FIRST成員，詢問國際夥伴之後，才得到對方的聯絡方式，叢培侃表示，加入這個計畫需得到該平臺創始成員的同意，並要有所貢獻，才能加入，而他們後來取得Associate 合作夥伴的資格，也就是貢獻勒索軟體解密工具。</p> <p>對於解密工具的共享，該組織的要求也不少，陳仲寬表示，他們需要提供解密工具與病毒樣本，對方也會自行尋找樣本來測試，態度相當嚴謹。</p> <p>特別的是，奧義智慧最初研究Prometheus勒索軟體時，曾以為它是Thanos勒索軟體，而在與No More Ransom之間的合作之下，比對更多資訊後，對方也協助他們驗證，經過數次溝通，奧義智慧也確認是Thanos的變種，當中有沿用部分程式碼。事實上，Prometheus勒索軟體一詞，也是直到今年6、7月才出現。</p> <p>而且，No More Ransom對於解密工具的對外提供，也有一定的要求，因為要讓普遍受害者都能下載後自行使用。因此，他們將原本是命令列的解密工具，在7月改版為GUI介面釋出，而包括操作介面與相關說明文件，也都要經過該組織審核，評估是否能讓一般人都能看懂與使用。</p> </div></div></div>
2021/8/11 14:18作者羅正漢https://www.ithome.com.tw/news/146136
Telegram被用在雲端Windows Server發動挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Splunk安全研究人員<a href="https://www.splunk.com/en_us/blog/security/threat-advisory-telegram-crypto-botnet-strt-ta01.html" target="_blank">發現一樁挖礦攻擊</a>，駭客結合Telegram作為攻擊工具，鎖定Amazon Web Service（AWS）上的Windows Server植入挖礦軟體。</p> <p>Splunk近日偵測到的一個挖礦殭屍網路（crypto botnet），駭客使用了加密通訊程式Telegram作為C&C（command and control）架構的一部份，用它來控制散布在網路上的殭屍網路程式。Splunk分析發現攻擊來源IP來自中國及伊朗，背後的攻擊者鎖定AWS中啟用遠端桌面協定（Remote Desktop Protocol，RDP）的Windows Server系統，並利用殭屍網路來控制。</p> <p>Telegram是新興的加密通訊程式。截至今年1月，Telegram包含iOS及Android版，已是下載次數最多的應用程式。它還有桌面版，可透過Telegram API整合行動帳號。該API也能用於遠端執行指令。而這也是這次駭客得以發動攻擊的主要管道。</p> <p>在這次攻擊中，駭客首先是鎖定AWS中啟用RDP協定的Windows Server。攻擊者以RDP暴力破解工具，來破解採用弱密碼防護的Windows Server。成功存取後，就在Windows Server中植入NL Brute、KPort Scan 和NLA Checker等駭客論壇中找到的特定攻擊工具，進而安裝Telegram Desktop，當成C&C基礎架構的一部份，並且在受害系統中植入採礦程式，如minergate和xmrig，兩者都是用來產生門羅幣（Monero）的工具。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/-Vqr19x4-IM-5mzjjdFvbXAmRyzc35g-HmqYw-yh2Ud-nuI3158kEHQ1yb3gccGa9yNhaOLTXe2fyw5p6HTy3cK1fehJxKr8DRQn3f2tU8EdosCTYMwbjCJDsKSZbSXdgDiM3rSq" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Splunk</span></p> <p>Splunk研究團隊發現到其中一個電子錢包和2018年的一宗挖礦攻擊有關，只是這次還用上了Telegram。而攻擊來源也可追溯到中國及伊朗。研究證據顯示中國是部份惡意網域所在，而伊朗則是主要攻擊發動來源。</p> <p>研究人員建議企業防範方法包括定期更新修補程式，使用強密碼，此外，研究人員建議，RDP啟用網域層認證（Network-Level Authentication），通常可防範部份暴力破解工具及非Windows RDP用戶端的存取企圖。</p> </div></div></div>
2021/8/11 14:28作者林妍溱https://www.ithome.com.tw/news/146137
微軟8月Patch Tuesday修補3個零時差漏洞，包含一新的Print Spooler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（8/10）的Patch Tuesday修補了44個安全漏洞，當中有7個被列為重大（Critical）漏洞。另有3個已被公開的漏洞，包含尚未被開採的CVE-2021-36942與涉及Print Spooler的新漏洞CVE-2021-36936，以及已經遭到開採的CVE-2021-36948。此外，<a href="https://www.ithome.com.tw/news/145735" target="_blank">微軟本周亦修補了於今年7月中對外警告</a>、有關Print Spooler的CVE-2021-34481漏洞。</p> <p>外界猜測，微軟最近可能因為被Windows列印多工緩衝處理器（Print Spooler）的相關漏洞搞得焦頭爛額，才會在今年8月僅釋出44個安全更新，這也是微軟自2019年12月以來，修補數量最少的一次Patch Tuesday。</p> <p>Windows列印多工緩衝處理器惹的禍，可能可以從微軟於今年6月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675" target="_blank">CVE-2021-1675</a>算起，當時微軟僅把它視為本地權限升級漏洞，因而未引起太多關注，直至有<a href="https://www.ithome.com.tw/news/145381" target="_blank">許多安全研究人員發現它其實是個遠端程式攻擊漏洞</a>，也促使微軟變更該漏洞的說明。</p> <p>繼之微軟於7月1日發布第二個涉及Print Spooler的安全漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527" target="_blank">CVE-2021-34527</a>，這是個遠端程式攻擊漏洞，而且當時已遭駭客開採；7月15日公布的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481" target="_blank">CVE-2021-34481</a>亦為Print Spooler的遠端程式攻擊漏洞。</p> <p>在這期間，研究人員持續指出微軟低估了Print Spooler的風險，或者是修補不完全，且微軟一直到本周才修補CVE-2021-34481。微軟表示，該公司一直到8月10日，才完成對CVE-2021-34481的調查並釋出安全更新，主要的變更在於要求使用者必須具備管理權限，才能安裝印表機的驅動程式。</p> <p>第四個Print Spooler漏洞，則是本月修補的零時差漏洞之一的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36936" target="_blank">CVE-2021-36936</a>，它是個遠端程式攻擊漏洞，亦為本月7個重大漏洞之一，雖然先前已被公開披露，但尚未傳出攻擊行動。</p> <p>至於已遭駭客開採的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36948" target="_blank">CVE-2021-36948</a>，屬於Windows Update Medic Service的權限擴張漏洞。Windows Update Medic Service是微軟於Windows 10才增添的功能，可用來修復毀損的Windows Update元件以讓系統繼續接收更新，但此一漏洞允許已登入系統的駭客執行特定程式來擴張權限，微軟僅說CVE-2021-36948已被開採，並未說明受災狀況。</p> <p>另一個已被揭露的漏洞則是存在於Windows LSA（Local Security Authority）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942" target="_blank">CVE-2021-36942</a>。</p> <p>除了上述3個零時差漏洞之外，資安團隊<a href="https://www.zerodayinitiative.com/blog/2021/8/10/the-august-2021-security-update-review" target="_blank">Zero Day Initiative（ZDI）亦點名了</a>藏匿於遠端桌面客戶端的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34535" target="_blank">CVE-2021-34535</a>漏洞，當使用者透過含有漏洞的客戶端連結駭客所控制的伺服器時，將允許駭客執行遠端程式攻擊，此一漏洞亦波及Hyper-V Viewer，且其CVSS風險評分高達9.9。</p> </div></div></div>
2021/8/11 14:01作者陳曉莉https://www.ithome.com.tw/news/146135
資安一周第158期：戴夫寇爾研究員獲Pwnie Awards最佳伺服器漏洞獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">8/5-8/11必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃黑帽大會＃Pwnie Awards ＃Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">戴夫寇爾研究員獲Pwnie Awards最佳伺服器漏洞獎</strong></h2> <p>黑帽大會（Black Hat USA 2021）於7月31日至8月5日舉行，並於最後一日頒發有資安界奧斯卡獎美稱的「2021 Pwnie Awards」，臺灣資安公司戴夫寇爾（Devcore）首席資安研究員蔡政達（Orange Tsai），因本次揭露的多個Exchange Server漏洞，奪下「最佳伺服器漏洞獎（Best Server-Side Bug）」。這是繼2019年蔡政達揭露Pulse Secure的SSL VPN產品漏洞之後，二度獲得此項殊榮。<strong><a href="https://www.ithome.com.tw/news/146039">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-1-Best_Server-Side_Bug_2021.png" style="width: 400px; height: 281px;" /></p> <p><span style="color:#808080;">圖片來源：黑帽大會</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃黑帽大會＃DNS</strong></span></h3> <h2><strong style="vertical-align: top;">資安業者揭露DNS服務漏洞，Amazon、Google著手修補</strong></h2> <p>雲端安全業者Wiz在黑帽大會上，揭露有關DNS代管服務的資安漏洞：攻擊者透過新穎的手法，來挾持DNS服務供應商的節點，以竊聽DNS流量，進而描繪出連結DNS服務的組織內部網路架構。</p> <p>該公司在Amazon Route 53進行測試，成功藉由該漏洞取得全球1.5萬個組織的DNS查詢流量，涉及財富500大企業與上百個政府機構。這些流量透露出組織的內外部IP位址、電腦名稱、員工名稱，以及辦公室位置等資訊。</p> <p>儘管此漏洞Wiz認為是三不管地帶而可能無法得到處理，但Amazon及Google已著手修補。<strong><a href="https://www.ithome.com.tw/news/146033">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-2-DNS-service-bug_Wiz.png" style="width: 400px; height: 219px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Wiz</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃路由器</strong></h3> <h2><strong style="vertical-align: top;">近40款路由器存在身分驗證漏洞，恐影響數百萬臺設備</strong></h2> <p>多個型號的家用路由器很可能因為採用相同廠牌韌體，而存在同樣的漏洞，成為攻擊者鎖定的目標。弱點管理解決方案業者Tenable於8月3日，揭露CVE-2021-20090漏洞的細節，此漏洞波及近19個廠牌、37款路由器，而受影響的設備的共通點，都是採用臺灣綜合接入設備（IAD）製造商智易科技（Arcadyan）的韌體。</p> <p>事隔3天，資安業者Juniper提出警告，表示已有攻擊者透過位於中國湖北省武漢市的IP位址，利用此路由器漏洞，透過程式碼（Script）來發動Mirai變種殭屍病毒攻擊。<strong><a href="https://www.ithome.com.tw/news/146091">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客入侵5家東南亞大型電信業者，為期長達4年</strong></h2> <p>資安業者Cybereason揭露鎖定東南亞主要電信業者的網路攻擊行動，</p> <p>總共有3個中國駭客組織出手、攻擊期間自2017年到今年第一季，為期長達4年。該公司指出，至少有5家大型電信業者受害。該公司將此攻擊行動命名為DeadRinger。</p> <p>這些駭客集團在成功進駐電信業者之後，繼之危害諸如網域控制器或帳單系統，以取得通話詳細記錄（Call Detail Record）等機密資料，進而監控特定人士的通訊內容。<strong><a href="https://www.ithome.com.tw/news/146008">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃就地取材</strong></h3> <h2><strong style="vertical-align: top;">賽門鐵克揭露鎖定東南亞關鍵基礎設施下手的攻擊行動</strong></h2> <p>最近半年的時間，資安業者陸續揭露許多攻擊事故，背後都與中國駭客有關，但也有攻擊者專門針對關鍵基礎設施（CI）下手。賽門鐵克近期揭露由中國駭客發起的攻擊行動，攻擊至少自2020年11月持續到2021年3月，對象包含了水資源公司、電力公司、電信公司，以及國防組織等多個關鍵基礎設施。<strong><a href="https://www.ithome.com.tw/news/146101">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃滲透測試工具</strong></span></h3> <h2><strong style="vertical-align: top;">滲透測試工具Cobalt Strike存在DoS漏洞，可以用來遏阻攻擊行動</strong></h2> <p>滲透測試工具Cobalt Strike是相當實用的紅隊演練工具，近年來也有越來越多的攻擊者濫用，一旦出現漏洞，資安人員與執法單位可能可以用來防堵網路攻擊。資安業者SentinelOne發現，在4.2與4.3版的Cobalt Strike裡，存在名為Hotcobalt的阻斷服務（DoS）漏洞CVE-2021-36798，一旦資安人員運用這項漏洞，就可以攔阻攻擊者遠端控制受害目標的行為。<strong><a href="https://www.ithome.com.tw/news/146069">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">微軟揭露BazaCall網路釣魚攻擊細節，分析迴避偵測的多種手法</strong></h2> <p>微軟資安情資中心於7月29日，針對結合電話客服散布惡意軟體BazaCall（亦稱BazarCall）的釣魚郵件攻擊行動，說明這類攻擊完整的流程，還有做為誘餌的釣魚郵件如何迴避郵件防護系統偵測，以及入侵受害電腦之後，將會利用多種合法工具攻擊整個企業網域，並對於網路設備植入特定勒索軟體Conti或Ryuk等細節。<strong><a href="https://www.ithome.com.tw/news/146037">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-3-BazaCall-attack-chain.png" style="width: 400px; height: 166px;" /></p> <p><span style="color:#808080;">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">PYPI惡意套件可竊取用戶信用卡資料或身分驗證權杖</strong></h2> <p>DevOps平臺JFrog安全研究團隊發現數個託管在PYPI中的惡意套件，經JFrog迅速回報，這些惡意套件已經全數遭到刪除。JFrog偵測到的惡意套件，包括noblesse和pytagora等系列套件，能夠竊取用戶身分驗證權杖、信用卡資料，以及執行遠端程式碼注入等攻擊。根據Pepy.Tech的資料，JFrog發現的這幾個惡意套件，已經被下載約3萬次。<strong><a href="https://www.ithome.com.tw/news/146011">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong>技嘉科技傳出遭勒索軟體攻擊</strong></h2> <p>以主機板、個人電腦、伺服器等產品聞名的上市公司技嘉科技，8月5日傳出遭勒索軟體攻擊，6日該公司於傍晚在證券交易所，發布資安事件即時重大訊息，證實有少部分伺服器遭遇網路攻擊，目前已將偵測到的網路異常狀況通報執法單位與資安單位，並表示公司生產、銷售與日常營運都不受影響。</p> <p>至於該公司遭受何種勒索軟體攻擊？根據Bleeping Computer的報導，很可能是RansomEXX。<a href="https://www.ithome.com.tw/news/146075"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態＃CVE</strong></span></h3> <h2><strong style="vertical-align: top;">TWCERT/CC已指派近200個CVE漏洞，近期發布品質獲得兩項最高等級肯定</strong></h2> <p>為了推動臺灣業者產品漏洞修補的觀念與意識，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）成為CVE 編號管理者（CNA）至今，已指派200個CVE漏洞，而該單位發布的CVE漏洞在CVSS與CWE項目，近日經美國NIST/NVD評為最高的Provider等級。獲得此項認可的CNA組織，目前僅有Adobe與TWCERT/CC。<strong><a href="https://www.ithome.com.tw/news/146035">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/146093">甫揭露的Exchange漏洞ProxyShell已出現攻擊行動</a><br /> ●<a href="https://www.ithome.com.tw/news/145993">大型醫院的氣動輸送管道系統存在可被控管的漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/146041">美國發布K8s配置安全強化指引</a></h3> </div></div></div>
2021/8/11 12:16作者周峻佑https://www.ithome.com.tw/news/146132
NortonLifeLock完成收購Avast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月防毒與身份安全防護業者<a href="https://www.ithome.com.tw/news/145693" target="_blank">NortonLifeLock公布</a>收購捷克防毒軟體公司Avast的計畫，<a href="https://www.businesswire.com/news/home/20210810005994/en/NortonLifeLock-and-Avast-to-Merge-to-Lead-the-Transformation-of-Consumer-Cyber-Safety" target="_blank">昨（10）日雙方宣佈</a>收購已經完成。</p> <p>NortonLifeLock是2019年博通以107億美元，買走賽門鐵克企業安全產品及品牌後的業務部門，主要產品包括消費防毒產品Norton及身分防護產品LifeLock。</p> <p>本次收購將以現金加換股方式完成。依據7月14日宣佈收購當天NortonLifeLock的公司股價27.2美元計算，這樁交易總值在81億到86億美元之間。</p> <p>創立於1988年的Avast擁有多項產品及子公司，包括AVG防毒、磁碟清理工具Piriform CCleaner及TuneUp、Privax VPN等，可為NortonLifeLock增強安全產品陣容。Norton LifeLock執行長Vincent Pilette指出，透過兩公司的合併，將能強化該公司的網路安全（Cyber Safety）平臺，提供給合計超過5億的用戶，也能加速網路安全平台的創新。</p> <p>雙方合併後，新公司執行長仍為Pilette，而Avast現任執行長Ondřej Vlček將加入公司擔任總裁，並成為董事會一員。而Avast創辦人Pavel Baudiš則成為公司獨立董事。合併後NortonLifeLock將形成雙總部，分別位於捷克布拉格及美國亞利桑納州坦佩（Tempe）市。Avast將從英國倫敦證券所下市，合併後的NortonLifeLock公司在那斯達克掛牌。</p> <p>Avast為NortonLifeLock半年來收購的第二家防毒公司。NortonLifeLock在去年12月才<a href="https://www.ithome.com.tw/news/141519" target="_blank">買下德國老牌防毒廠商Avira</a>。</p> </div></div></div>
2021/8/11 12:36作者林妍溱https://www.ithome.com.tw/news/146133
Google VPN服務新增服務市場，臺灣還要再等等
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/googleone/answer/7582172#zippy=%2Chow-the-vpn-by-google-one-works" target="_blank">Google本周宣布</a>Google VPN服務將透過Google One方案，擴展到數個海外市場的手機用戶。</p> <p><a href="https://www.ithome.com.tw/news/140862" target="_blank">去年Google宣布</a>，採購Google One（原Google Drive）方案雲端硬體在2TB（月費10美元）以上的用戶，將可擁有免費的VPN服務。這項服務是包含在Google One App中，對於以行動裝置連結公共Wi-Fi熱點，或是隱藏IP防止傳輸內容被追蹤的用戶來說相當方便。不過當時只提供給美、英、德、澳及加拿大用戶。此外，家庭版Google One的另外5個以內的其他家庭成員，也可以使用Google VPN。</p> <p><a href="https://9to5google.com/2021/08/09/google-one-vpn-countries/" target="_blank">本周媒體發現這項服務悄悄更新了</a>。根據Google網頁，<a href="https://support.google.com/googleone/answer/7582172?co=GENIE.Platform%3DAndroid&oco=0#zippy=%2Chow-the-vpn-by-google-one-works" target="_blank">這項服務又再推向</a>墨西哥、法國、西班牙及義大利。不過原先名單上的澳洲卻不在列。</p> <p>Google提醒，不在支援名單的國家中，用戶就無法使用VPN by Google。當然他們也可以使用其他免費的VPN，像是ProtonVPN、Hotspot Shield等。</p> <p>臺灣目前並不在清單中，但是從<a href="https://one.google.com/about/vpn?hl=zh_TW" target="_blank">Google臺灣版網頁</a>開始宣傳這項服務來看，應該只是時間問題。臺灣版Google One 2TB為月費330元新臺幣（或每年3,300元新臺幣）。</p> </div></div></div>
2021/8/11 12:59作者林妍溱https://www.ithome.com.tw/news/146134
科學家使用人工智慧迅速偵測重力波
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府底下規模最大的阿貢國家實驗室（Argonne National Laboratory），揭露了最新將<a href="https://developer.nvidia.com/blog/ai-detects-gravitational-waves-faster-than-real-time/">人工智慧用於天文探索的研究</a>，這個研究集結了阿貢國家實驗室、芝加哥大學、伊利諾大學厄巴納-香檳分校、Nvidia和IBM的研究人員，所共同開發的大規模人工智慧框架，可用來加速、擴展且重複地檢測重力波。</p> <p>重力波可以說是時空的漣漪，就像是把石頭丟到水裡所產生的漣漪一樣，當有質量的物體進行加速度運動的時候，就會在時空中產生漣漪，並且從有質量物體向外擴散，這種時空中的漣漪便被稱作重力波。重力波可以用來觀測一些劇烈的天文事件，像是百矮星、中子星和黑洞這一類的星體，所組成的聯星、超新星，或是大爆炸，天文學家可以利用重力波，來觀測一些超新星的核心，或是大爆炸最初的數分之一秒。</p> <p>在2015年的時候，雷射干涉重力波天文臺（Laser Interferometer Gravitational-Wave Observatory，LIGO），第一次偵測到來自13億光年外的兩個黑洞碰撞，在合併時所產生的重力波，從那個時候以來，LIGO探測到了更多的重力波來源，隨著天文臺的感測器升級和技術的改進，不只探測的宇宙範圍更廣，也產生了更大量的資料供研究使用，而處理這些資料流的速度，是推進重力波天文學進步的關鍵。</p> <p>而現在新發表的人工智慧框架，不只能夠與傳統的模板配對演算法一樣靈敏，運算速度更是提升了數個量級，且進行這些複雜運算，只需要遊戲使用的GPU，就能以比即時更快的速度運算LIGO資料。研究人員利用這個人工智慧框架，在64個Nvidia V100 GPU上，運算2017年8月整個月的LIGO資料，整體花費時間不到7分鐘，就找出了四個雙黑洞合併，並且還找出了未分類的情況。</p> <p>阿貢國家實驗室資料科學與學習部門主任Ian Foster提到，這個專案顯示，藉由適當的工具，可以在科學家工作流程中應用人工智慧方法，目的不是要替代人類智慧，而是能夠大幅度減少工作。這個研究驗證了愛因斯坦相對論中的部分理論，時間與空間的關聯，同時也代表了重力波天文學研究的起點，人們可以開始以更快的速度，深入了解宇宙，包括暗能量、重力和中子星等。</p> <p>這個研究源自於2018年，阿貢國家實驗室的人工智慧研究成果，當時該實驗室就曾展示運用機器學習，從多個探測器資料流中，偵測重力波的能力，而在最新的研究中，研究人員進一步完善該模型，將使用cuDNN加速的深度學習框架，分散到64個GPU上，不只在7分鐘內處理完1個月的資料，而且沒有任何錯誤分類發生。</p> <p>這個研究的貢獻在於，結合人工智慧和超級電腦的力量，可以即時解決龐大資料實驗，而且該項人工智慧研究已可重現，而非僅是在驗證人工智慧是否可用於解決重大挑戰的階段。目前該模型已經開源，可供其他研究團隊使用。</p> </div></div></div>
2021/8/11 11:41作者李建興https://www.ithome.com.tw/news/146127
HashiCorp讓用戶跨地區聯合HCP Consul叢集建立高可用性系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HashiCorp新發表<a href="https://www.hashicorp.com/blog/announcing-hcp-consul-plus">Consul Plus</a>方案提供聯合（Federation）功能，可以讓用戶簡單地將Consul用於跨地區的應用程式，主要帶來的好處包含更快的故障恢復和更強的系統韌性，能夠良好地服務跨多個地區的使用者，且支援重疊IP範圍。</p> <p>Consul是HashiCorp所開發的免費服務網格，而HCP則是HashiCorp的雲端平臺，用戶在HCP可以簡單地用到HashiCorp Consul和Vault等託管軟體服務，且這些服務還可以連接到AWS上使用。在今年早前，官方推出了HCP Consul Standard，這是一個可用於生產環境的Consul部署，但是只能夠於單個AWS地區執行，而對於不少組織來說，需要更強健的架構來支援生產環境中的應用程式，因此HashiCorp進一步推出了Consul Plus，而Consul叢集聯合便是其中這項新產品的特點之一。</p> <p>Consul聯合將原本在各個資料中心，獨立運作的Consul伺服器串連起來，並且共享訊息。官方提到，聯合的目標是要確保在不同地區執行的Consul伺服器，在執行時還能進行通訊，該功能簡化了不同資料中心之間的通訊，藉由降低單一閘道器網路流量進出的工作負載，來降低執行負擔和風險。</p> <p>Consul聯合的主要優點包含可增加系統恢復能力和韌性，官方提到，當特定地區連線發生中斷，流量會全部被路由到另一個資料中心，而Consul聯合可以解決這個問題。Consul聯合會保護單個叢集不被請求癱瘓，避免造成更久的故障時間，Consul聯合不只在新的Plus方案中提供，也能與用戶的標準方案一同運作。</p> <p>另外，單地區部署僅適用於用戶較少的小型組織，隨著企業的發展，用戶會遍及更多的地區，隨著與主要地區的距離增加，便會出現延遲的問題，而Consul聯合能夠支援跨地區的用戶，藉由WAN連接多個地區的資料中心，這有助於解決此問題，且仍保持各地區Consul叢集獨立運作。</p> <p>除了建構具有韌性的應用程式之外，當服務到達一定規模，企業要在單個地區管理多個Kubernetes叢集、Nomad叢集或虛擬機器，可能會面臨一些挑戰，官方提到，當所有Consul叢集都執行在同一個網路上，最終會遭遇IP地址衝突的問題，而這會削弱服務網格所帶來的好處，因為當存在兩個衝突的目的地，網格就無法將流量分配到不同的服務。</p> <p>透過Consul聯合，可以連接特定地區執行的多個虛擬私有雲，由於叢集使用自己的Consul伺服器和唯一的資料中心名稱，所以可以使用Consul L7流量管理功能，將流量路由到基於服務名稱，和指定資料中心的特定服務，這便解決企業面臨擴展服務所帶來的網路衝突問題。</p> </div></div></div>
2021/8/11 11:47作者李建興https://www.ithome.com.tw/news/146128
群暉科技：殭屍網路程式正試圖攻擊NAS客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路附加儲存（Network-Attach Storage，NAS）廠商<a href="https://www.synology.com/zh-tw/company/news/article/BruteForce/Synology%C2%AE%20Investigates%20Ongoing%20Brute-Force%20Attacks%20From%20Botnet" target="_blank">群暉科技（Synology）於8月4日發出公告</a>，警告一隻名為StealthWorker的殭屍網路程式，正在對其客戶NAS系統發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-synology%20StealthWorker%20-600.png" style="width: 600px;" /></p> <p>群暉科技的產品安全回應部門偵測及接獲用戶通報，其產品近來被惡意程式暴力破解案例增加，經分析後判斷是已知殭屍網路（botnet）程式StealthWorker。</p> <p>StealthWorker是典型的殭屍網路程式。群暉指出，它利用眾多已感染系統為基地，以常見的管理帳號密碼暴力破解、試圖存取受害者公司系統。一旦成功，這隻程式會在受害系統上安裝進一步惡意程式，其中可能也包含勒索軟體。而之後，StealthWorker還會持續以受害系統為據點感染其他Linux裝置，包括群暉的NAS系統。</p> <p>但這家NAS廠商強調沒有跡象顯示，惡意程式是開採Synology NAS裝置上的任何軟體漏洞而駭入系統。</p> <p><a href="https://www.bleepingcomputer.com/news/security/synology-warns-of-malware-infecting-nas-devices-with-ransomware/" target="_blank">Bleeping Computer報導</a>StealWorker是2019年Malwarebytes公司首先發現。它一開始是藉由駭入購物車Magento、資料庫管理工具phpMyAdmin和後臺管理cPanel等軟體漏洞，鎖定電商平臺以植入資料側錄工具來竊取信用卡或消費者個資，近年則改用暴力破解，攻擊對象也轉向連網系統。</p> <p>Windows和Linux都是StealthWorker攻擊目標，不過不清楚群暉科技發現的是否為專門鎖定Linux 平臺的StealthWorker變種。</p> <p>群暉安全團隊已經和相關網路危機處理單位合作，正在找出並關閉已知StealthWorker背後的C&C伺服器。該公司也已同步通知可能受影響的客戶。</p> <p>群暉科技強烈建議所有Synology 產品系統管理員，檢視所有系統是否有管理密碼太弱的問題，啟動系統上的「自動防堵」功能，封鎖多次登入失敗的IP連線，並採取帳號防護措施，可以的話最好設定多因素驗證。而發現任何可疑活動者，也應立即尋求建議。</p> </div></div></div>
2021/8/11 12:01作者林妍溱https://www.ithome.com.tw/news/146131
瑞士百年郵政也積極轉型，將郵務服務結合一鍵訂購IoT按鈕，讓民眾免出門在家就能寄信及包裹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就像亞馬遜幾年前推出了一鍵式訂購按鈕，讓消費者免出門在家就能購物，來自瑞士一家百年老字號的瑞士郵政（Swiss Post），近來也開始在自家郵政服務整合了一鍵訂購IoT按鈕，讓民眾免外出在家就能夠寄送信件及包裹。</p> <p>身為瑞士聯邦旗下重要國營事業，瑞士郵政每天遞送的信件就多達700萬封，需運送的包裹更是超過50萬件，為了要能提供更便民郵政服務，所以向來以提供傳統郵務服務為主的瑞士郵政總部，近年來也積極轉型，不只提出4年轉型策略，還開始大量運用IT技術發展數位化郵務服務，甚至更運用物聯網技術，結合一鍵訂購IoT按鈕，提供民眾更迅速到府遞送服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Hausservice%20Bestellstift%201053x1053%20online.jpg" style="width: 600px;" /></p> <blockquote><p>瑞士民眾用一鍵訂購IoT按鈕，只要按下按鈕並輕刷一下印刷紙上的數位訊息，就能快速完成郵務服務申請的動作，包括寄送信件和運送包裹、選購郵票，連取款或支付賬單等，都能夠過它來完成。下訂完成後，郵務員收到通知後就會到府來取件，免出門。 </p> </blockquote> <p>這個一鍵訂購IoT按鈕的外型，就像是一支觸控筆，名稱就取作Order Pen，在這隻IoT筆裡面不僅裝了一個LoRa收發器，還內建OID光學感測器，使用者只須按下筆上按鈕，就能用它感應印刷紙上的數位訊息，來完成郵務服務申請的動作，例如寄信或寄送包裹等，讀取的訂單訊息會透過LoRa物聯網網路，回傳到瑞士郵政雲端伺服器，系統接到訂單後就會進行任務指派，附近郵務人員就會收到訂單通知，到府來取件。</p> <p>瑞士郵政早在2017年就與瑞士電信展開合作，採用LoRa低功耗廣域網路技術，來打造一個全國性IoT通訊骨幹網路。到目前為止，瑞士電信一共部署了1,100個LoRa閘道器並安裝在總面積41,000平方公里範圍內，其通訊範圍可以達到97%的瑞士人口覆蓋。</p> <p>因採用低功耗LoRa來進行數據傳輸，所以不像使用Wi-Fi或4G，Order Pen本身使用也相當省電，僅需一顆電池就能使用長達10年，並且其傳輸距離，最遠可達30英里，且傳輸過程中也使用AES-128加密來確保數據隱私。</p> <p>透過這樣的機制，即使是民眾住家附近沒有任何郵局，或是居住偏遠地區沒有網路也能用。使用Order Pen下單後，民眾也能透過App來查看處理進度，目前，瑞士郵政透過Order Pen已提供的按需郵務服務，包括寄送信件和運送包裹、選購郵票，連取款或支付賬單等，都能夠過它來完成。 </p> <p>迄今為止，這項郵政服務，在瑞士已有超過10萬人使用，未來更有40萬戶家庭用戶將陸續加入採用。<span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">除了</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">一鍵訂購IoT按鈕，</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">瑞士郵政未來也規劃使用</span><span class="s1" style="color: rgb(0, 0, 0); font-size: 11px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">LoRa網路</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">，來開發各種數位化服務應用，例如倉儲物流中的智慧訂購、智匯包裹以及智繪郵箱</span></p> </div></div></div>
2021/8/11 11:04作者余至浩https://www.ithome.com.tw/news/146129
Google研究：COVID-19大流行加速醫療保健產業數位化，遠端醫療使用率為去年3倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google委請哈里斯民意調查中心針對醫療保健產業所做的研究，現在發布<a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/google-cloud-covid-19-research">第二部分結果</a>，調查研究顯示，COVID-19大流行確實提高醫療保健產業的數位轉型速度，遠端醫療的普及程度大幅度增加，而且多數醫生對於數位轉型，在醫療上所帶來的益處也持正面態度，超過一半的醫生認為醫療產業的數位程度已經超越零售、飯店和旅遊業。</p> <p>醫療保健產業的數位轉型，體現在多個領域，包括應用機器學習技術加速創新和藥物發現，並且透過提高資料整合以及可移植性，來增加醫療的品質，在COVID-19大流行期間，提高疫苗可取得性和公平性。Google委託哈里斯民意調查中心對美國300位醫生進行調查，第一階段的研究顯示，有95％的醫生認為，透過提高醫療資料的互通性，將有助於改善病患預後。</p> <p>而現在Google公布第二階段的研究結果，在COVID-19大流行影響的這一年，遠端醫療的使用率大幅成長，從2020年2月的32％，躍升到了今年的90％，而有將近45％的醫生表示，COVID-19大流行加速了組織採用新技術的腳步，有五分之三的醫生提到，在這一年中組織所進行的技術升級，通常需要數年時間才能完成。在疫情之前，53％醫生認為醫療院所採用技術的態度偏保守，只有在這些技術進市場一段時間，有其他組織已經嘗試並且推薦時，這些醫療院所才願意使用。</p> <p>雖然醫療產業採用的技術並非處於領先地位，但是整體情況比起2020年已經有明顯的改進。整體來說，有超過一半的醫生，認為醫療保健產業數位程度低於遊戲（64％）、電信（56％）和金融服務（53％）；但是只有44％的醫生認為醫療保健產業數位化程度落後於零售業，而該數字在2020年為54％。受訪者自評醫療保健產業與飯店／旅遊產業的比較狀況也相同，2020年認為醫療產業數位化程度不如飯店與旅遊產業的數字為53％，到了2021年，則下降至43％。</p> <p>大多數的醫生都認同，更好的資料互通性，有助於改善診斷速度以及醫療結果，同時也能減少醫生倦怠。86％的醫生認為資料互通性可明顯縮減診斷時間，而且95％醫生也認為，數位化有助改善病患治療效果。</p> <p>不僅是病患的體驗和治療成效，57％的醫生認為數位技術有助於減輕醫生的倦怠感，也能大幅減少溝通摩擦與壓力。調查研究的結果也顯示，有89％醫生正尋找可整合病患資料的方法，以便更全面地了解病患健康狀況。</p> </div></div></div>
2021/8/10 17:11作者李建興https://www.ithome.com.tw/news/146123
Zimperium：Android木馬FlyTrap已挾持數千個臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.zimperium.com/flytrap-android-malware-compromises-thousands-of-facebook-accounts/" target="_blank">資安業者Zimperium本周警告</a>，有一Android木馬程式FlyTrap藉由各種不同的程式進駐Google Play或其它Android市集，企圖竊取使用者的臉書帳號，從今年3月現身迄今，已在全球140個國家的逾1萬款Android裝置上發現FlyTrap的足跡，並有數千個臉書帳號遭到挾持。</p> <p>FlyTrap附身在各種免費程式裡，像是免費的Netflix優惠券，Google AdWords優惠券，或者是最佳足球員票選程式等，這些程式的外觀設計精美，不僅可透過Google Play或第三方Android市集下載，也可自一般的網站下載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2001.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2003.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Zimperium</span></p> <p>然而，當使用者安裝了被嵌入FlyTrap的程式之後，它就會要求使用者登入臉書，並於登入頁面上注入惡意的JavaScript，以蒐集使用者的臉書名稱、位置、電子郵件、IP位址，以及與臉書帳號相關的Cookie與令牌，再將它們傳送到駭客所掌控的控制暨命令伺服器上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2002.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_</span><span style="color: rgb(105, 105, 105);">Zimperi</span><span style="color: rgb(105, 105, 105);">um</span></p> <p>駭客的最終目標是利用所挾持的臉書帳號進一步地散布惡意程式，或是用來張貼不實資訊。</p> <p>事實上，儘管程式的製作精美，但它們完全缺乏所宣稱的功能，Zimperium更發現駭客的控制暨命令伺服器含有許多安全漏洞，而讓這些被竊的資料多了一層風險。</p> <p>Google已在Zimperium的知會下於Google Play上移除了相關的惡意程式，但嵌入FlyTrap的惡意程式仍在其它第三方市集或網站上流竄。</p> </div></div></div>
2021/8/10 16:54作者陳曉莉https://www.ithome.com.tw/news/146125
遭受各界質疑，蘋果：將會拒絕掃描兒童色情以外的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146064" target="_blank">蘋果在8月5日公布新的兒童保護措施</a>，將藉由掃描Messages程式與iCloud的內容，來阻止兒童色情內容的散布，<a href="https://www.ithome.com.tw/news/146094" target="_blank">卻遭到大量安全及隱私專家的反對</a>，為此，蘋果公布了<a href="https://www.apple.com/child-safety/pdf/Expanded_Protections_for_Children_Frequently_Asked_Questions.pdf" target="_blank">這項政策的常見問題</a>（Frequently Asked Questions，FAQ），強調蘋果將會拒絕掃描兒童色情以外的內容。</p> <p>對於避免兒童色情的散布，蘋果主要採取兩項作法，一是持續掃描用戶iCloud上存放的照片及影片，當所偵測到疑似兒童色情圖片的內容達到一定數量時，就會採取人工檢驗，並向主管機關檢舉，二是掃描兒童所使用的Messages程式是否傳輸兒童色情內容，以在察覺時通知家長。</p> <p>對於外界批評蘋果對內容的偵測違反了端對端加密的政策，蘋果解釋，該公司是將已知的兒童性剝削內容（Child Sexual Abuse Material，CSAM）資料庫轉存為不可讀的雜湊組，再把它上傳到使用者的裝置上，並於裝置上比對使用者企圖上傳到iCloud上的照片，或是兒童透過Messages接收或傳遞的照片，使用者無法檢視雜湊的CSAM資料庫，蘋果也看不見相關的內容，都是透過人工智慧進行。</p> <p>另一個遭到詬病的是，隱私與安全專家擔心蘋果可能會屈服於各國政府的壓力，既然能掃描CSAM內容，那麼也能掃描其它各國政府所要求的內容，並向各國政府機關檢舉。</p> <p>對此，蘋果說明，CSAM資料庫是由美國失蹤兒童及童工保護中心（National Center for Missing and Exploited Children，NCMEC）所建立的資料庫，而且蘋果的技術也僅限於掃描符合CSAM資料庫的內容，也不會將其它的資料加入CSAM資料庫。</p> <p>蘋果強調，該公司將會拒絕任何政府將其它內容加入CSAM資料庫的要求，過去是這樣，未來也是，此外，當該系統掃描到特定帳號上傳一定數量的CSAM內容至iCloud時，系統並不會直接向NCMEC檢舉，而是會再經由人工審核確定之後，再由蘋果決定是否關閉帳號並提報給NCMEC。</p> <p>此外，對Messages傳送與接收內容的掃描，僅限於iCloud中設定家庭帳號並擁有12歲以下孩童的裝置，對iCloud的掃描則僅限於上傳到iCloud Photos的內容，蘋果並不會掃描存放於使用者裝置上的照片。</p> <p>雖然蘋果嘗試藉由FAQ來解決外界的疑問，然而，各界對於蘋果能否抵擋各國政府的要求充滿了懷疑。<a href="https://twitter.com/sjmurdoch/status/1424711170280263681" target="_blank">英國安全工程教授Steven Murdoch即說</a>，雖然蘋果承諾會挑戰來自政府的要求，不過英國已有先例，當初英國的ISP業者也曾透過訴訟以拒絕政府存取資料的要求，結果敗訴了。</p> <p>吹哨者Edward Snowden亦指出，上一次中國向蘋果提出不合理的存取要求時，蘋果屈服了。Snowden指的是蘋果為了配合中國的在2016年通過的《網路安全法》，將中國用戶的iCloud服務，<a href="https://www.ithome.com.tw/news/124658" target="_blank">交給當地ISP業者貴州雲上負責經營</a>。</p> <p>另一名<a href="https://twitter.com/SarahJamieLewis/status/1424768978849714177" target="_blank">密碼學暨隱私研究人員Sarah Jamie Lewis則認為</a>，一個好的安全設計是建置一個連製造商都無法危害的系統，假使安全必須仰賴誓言或是相信政府不濫權，等於不安全。</p> </div></div></div>
2021/8/10 15:36作者陳曉莉https://www.ithome.com.tw/news/146122
Twitter首屆AI演算法偏差競賽結果出爐：偏好較瘦、較年輕也較白的人像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter在今年的7月30日發起了一項挑戰賽，邀請研究人員尋找其圖像剪裁演算法（Image Cropping Algorithm，或稱顯著演算法）的偏差，冠軍在今年8月9日出爐，他是洛桑聯邦理工學院（EPFL）的機器學習暨隱私的研究生Bogdan Kulynych，揭露Twitter的演算法偏好纖細、年輕與皮膚好的對象，並獲得了Twitter所提供的3,500美元的獎金。</p> <p>Twitter上的圖像剪裁工具是透過演算法來裁剪使用者上傳的圖片，選擇圖片中最顯著的部份作為縮圖，以方便瀏覽，使用者點選縮圖就能看到圖片的全貌。</p> <p>而此一競賽的起源<a href="https://www.ithome.com.tw/news/140121" target="_blank">可追溯至去年</a>，當時Iqlusion共同創辦人Tony Arcieri透過Twitter，發布了許多張內含共和黨參議院領袖Mitch McConnell以及美國前總統Barack Obama的照片，結果縮圖都選中了白皮膚的McConnell，隨後即有不少Twitter用戶發現，Twitter的圖像剪裁演算法的確偏好白種人。</p> <p>在此一爭議之後，Twitter即展開內部研究，證明該演算法的確存在偏差，<a href="https://www.ithome.com.tw/news/144526" target="_blank">並於今年5月暫時自動裁剪圖片</a>，繼之在7月<a href="https://blog.twitter.com/engineering/en_us/topics/insights/2021/algorithmic-bias-bounty-challenge" target="_blank">發起圖像剪裁演算法的偏差抓漏競賽</a>，邀請外部的研究人員尋找該演算法的潛在傷害，打算效法安全抓漏競賽，讓它成為Twitter及整個產業的先例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Twitter%20algorithmic%20bias%20bounty%20challenge.jpg" style="width: 600px;" /></p> <p><a href="https://twitter.com/hiddenmarkov/status/1424472328197525505" target="_blank">獲得第一名的Kulynych</a>透過GitHub<a href="https://github.com/bogdan-kulynych/saliency_bias" target="_blank">公布了他的研究成果</a>，解釋他先利用一個大型的電腦視覺模型，放大Twitter圖像剪裁演算法模型對人像的顯著預測，再針對這些人像採用定性主題化分析，顯示出Twitter的演算法偏好較瘦、較年輕、皮膚顏色較淺、皮膚較細緻，以及具備刻板女性臉部特徵的人像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-twiiter%20bias%20AI.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Bogdan Kulynych</span></p> <p>Kulynych認為，當實際部署該演算法時，這些內部的偏見將因代表性不足而造成傷害，因為該演算法將裁剪掉那些不符合該演算法的人像，不管是在體重、年齡或膚色上，可能會導致少數族群被排除，同時在大量的圖像中延續刻板的美感標準。</p> </div></div></div>
2021/8/10 16:09作者陳曉莉https://www.ithome.com.tw/news/146124
微軟Azure新增勒索軟體偵測服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體已成近年企業最大威脅，<a href="https://techcommunity.microsoft.com/t5/azure-sentinel/what-s-new-fusion-detection-for-ransomware/ba-p/2621373" target="_blank">微軟本周宣布</a>Azure新的勒索軟體偵測服務Fusion正式上線。</p> <p>這項服務是Azure團隊和微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）合作開發而成。</p> <p>Fusion以機器學習模型關聯特定軟體在防護規避及執行階段的訊號，分析是否有勒索軟體活動的特徵。一旦偵測到疑似勒索軟體的活動，即會在雲端安全資訊與事件管理員（SIEM）平臺Azure Sentinel上觸發「偵測到可能與勒索軟體活動相關的多道訊號」並顯示給管理員，微軟表示此類偵測可協助縮短平均偵測時間（Mean Time to Detect，MTTD），以及平均回應時間（Mean Time to Respond，MTTR）。</p> <p>為提供管理員快速了解可能的惡意活動，Fusion也會將微軟各項安全產品發送的訊號，以及蒐集自網路及雲端上的訊號加以關聯，以針對可疑活動進行更全面的剖析。Fusion整合的微軟安全產品包括防毒產品Azure Defender、基礎架構安全管理系統Azure Defender（Azure Security Center）、端點安全Microsoft Defender for Endpoint、身份安全Microsoft Defender for Identity、應用程式安全Microsoft Cloud App Security，以及Azure Sentinel排程分析規則等。</p> <p>微軟也建議一旦企業收到Azure Sentinel發出的警告，應檢視警告並採取回應行動，像是隔離特定機器、執行全系統掃瞄、回復到先前狀態，尋求廠商協助並檢查整體網路安全。微軟表示也會持續增進Fusion的多階段攻擊情境偵測能力。</p> </div></div></div>
2021/8/10 15:11作者林妍溱https://www.ithome.com.tw/news/146121
賽門鐵克揭露鎖定東南亞關鍵基礎設施下手的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定東南亞發動攻擊的現象，近期有資安業者公布他們的發現，<a href="https://www.ithome.com.tw/news/146008">有多組駭客自2017年開始，鎖定大型電信業者發動攻擊</a>，且濫用了微軟Exchange Server重大漏洞「Proxylogon」。但有不同的調查報告指出，有其他的中國駭客不只是攻擊電信業者，還對於多個類型的關鍵基礎設施（CI）下手。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/critical-infrastructure-south-east-asia-espionage">賽門鐵克揭露由中國駭客發起的攻擊行動</a>，攻擊延續數個月之久，至少自2020年11月持續到2021年3月，對象包含了水資源公司、電力公司、電信公司，以及國防組織等。</p> <p>而對於攻擊者的身分，該公司根據他們的調查結果，研判攻擊者來自中國，但無法確定是那個駭客組織所為。</p> <h2><strong>就地取材濫用合法工具</strong></h2> <p>為何會認定這些針對不同類型關鍵基礎設施的攻擊，是同一組駭客所為？原因與賽門鐵克找到的證據存在了數個共通點，例如，他們在攻擊目標的地理位置找到關連，且在不同組織的電腦上出現相同的工具－－其中2個組織出現了下載器，而鍵盤側錄器存在於3個組織裡，再者，則是針對其中2個組織的攻擊行動裡，研究人員發現了相同的IP位址。</p> <p>究竟攻擊者的目的為何？賽門鐵克認為，主要是竊取帳密，以及進行橫向移動。為了達到目的，攻擊者廣泛在受害電腦就地取材（Living Off-the-Land，LOL），運用多項電腦裡現成、合法的工具，諸如Windows Management Instrumentation（WMI）、ProcDump、PsExec、PsExec，以及Mimikatz等。</p> <p>研究人員提到，在執行惡意工具的過程裡，他們也發現攻擊者濫用合法的影音播放器PotPlayer Mini，來側載DLL，並用另一款合法的工具載入惡意檔案，而且這個影音播放器的蹤跡，在所有的受害單位都有出現。</p> <p>從攻擊者所運用的合法工具來看，有些是Windows作業系統內建的工具，也有系統監控軟體，而Mimikatz則是駭客常用於竊取密碼的工具。相較之下，PotPlayer Mini是偏向個人用戶的應用程式，且並非作業系統內建的軟體，若是維護關鍵基礎設施的管理者採用白名單機制，駭客很有可能就因為無法執行PotPlayer Mini，而使得攻擊行動受到阻礙。由此可見，攻擊者對於這些目標的內部環境應該是相當了解。</p> <h2><strong>疑似鎖定設計SCADA系統的資料</strong></h2> <p>在針對上述提及的水資源公司、電力公司、電信公司，以及國防單位等，具體而言，攻擊者究竟如何運用合法工具來發動攻擊？以鎖定水資源公司的事故為例，賽門鐵克指出，攻擊者先是濫用WMI，接著運用了PotPlayer Mini來載入惡意DLL檔案。</p> <p>再來，攻擊者了執行ProcDump、PsExec，以及Mimikatz。而他們運用這些工具的目的為何？其中，攻擊者用ProcDump來存取LSASS.EXE處理程序，目的是竊取憑證，並下達net view指令，來列舉網域用戶，接下來受害電腦啟動了可疑的加密連線。</p> <p>在攻擊過程裡，賽門鐵克發現攻擊者並未竊取資料，但為何要入侵水資源公司的電腦？賽門鐵克表示，這些受害電腦所存放的資料，很可能與設計SCADA系統有關，而成為攻擊者的目標。</p> <p>而在針對電力公司的攻擊行動中，攻擊者也運用類似於水資源公司的手法。賽門鐵克指出，有跡象顯示該電力公司的受害電腦，所存放了工程設計的資料。從攻擊者想要尋找的資料及攻擊策略，賽門鐵克認為，這兩起事故是相同的駭客所為。</p> <h2><strong>在電信公司出現新的合法工具</strong></h2> <p>在上述的水資源公司與電力公司事故裡，攻擊者運用了相似的攻擊手法。但在針對電信公司的攻擊行動中，駭客濫用了上述2起事故沒有出現過的合法工具：<a href="http://www.chromium.org/developers/how-tos/chrome-frame-getting-started">Google Chrome內嵌框架（Google Chrome Frame）</a>、PAExec。</p> <p>什麼是Google Chrome內嵌框架？這是Google自2009年推出的瀏覽器外掛程式（<a href="https://blog.chromium.org/2013/06/retiring-chrome-frame.html">現已終止支援</a>），適用於Internet Explorer（IE），能讓該瀏覽器的使用者，利用Chrome瀏覽器引擎來載入網頁。而攻擊者使用它的目的，則是用來載入惡意檔案。</p> <p>但這款IE外掛程式的來源為何？賽門鐵克表示並不確定，有可能是這家公司的受害電腦本來就有，但也可能是攻擊者自行帶來的工具。</p> <p>除了Google Chrome內嵌框架，攻擊者也使用了開源的PAExec工具，並透過Windows排程工具at.exe執行。</p> <p>在攻擊的過程中，駭客也運用了WMI，不只用於竊取憑證，亦讓Google Chrome內嵌框架能排程執行，藉此橫向移動找尋目標，並執行net.exe來存取網路上隱藏的C$共享資料夾等攻擊行動。一般而言，這種型態的手法，很有可能被攻擊者用於收集網路裡竊得的資料。</p> <p>但在這些只有出現於電信公司的攻擊手法之外，賽門鐵克也發現與前述事故的共通之處。例如，他們從這家受害的電信公司裡，發現一個鍵盤側錄程式與數個檔案，而這些檔案也在前述的水資源公司網路出現。</p> <p>再者，在受害的國防單位中，攻擊者也濫用了PotPlayer Mini。賽門鐵克表示，該單位受害電腦的檔案，與上述的水資源公司和電信公司有所交集。</p> <p>從本次攻擊行動的過程裡，駭客就地取材所運用的合法工具，涵蓋的類型可說是相當廣。這樣的情況也突顯出，網管人員在管制應用程式上所面臨的難題。</p> </div></div></div>
2021/8/10 13:57作者周峻佑https://www.ithome.com.tw/news/146101
華為上半年營收下滑29.4%，電信與消費者業務下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國最大電信設備製造商<a href="https://www.huawei.com/en/news/2021/7/huawei-releases-2021-h1-business-results" target="_blank">華為上周公布今年上半年的財報</a>，顯示該公司上半年營收為3,204億元人民幣，比<a href="https://www.huawei.com/en/news/2020/7/huawei-announces-2020-h1-business-results" target="_blank">去年同期</a>的4,540億元人民幣下滑了29.4%，且主要的電信業務與消費者業務皆下滑。</p> <p>今年上半年華為的電信業務營收為1,369億元人民幣，下滑14.2%；包括手機在內的消費者業務營收為1,357億元人民幣，下滑47%；企業營收為429億元人民幣，而這也是華為今年上半年唯一成長的業務，相較於去年同期成長了18.2%。</p> <p>華為的營收衰退與<a href="https://www.ithome.com.tw/news/130723" target="_blank">美國在2019年5月祭出的制裁</a>不無關係，根據<a href="https://www.wsj.com/articles/chinas-huawei-reports-38-revenue-drop-as-u-s-sanctions-bite-11628237938?mod=djemalertNEWS" target="_blank">華爾街日報</a>的報導，今年第二季已是華為連續三季的營收衰退。</p> <p>事實上，在遭到美國的出口管制之後，華為依舊取得與美國電信業者之間的臨時通用許可，允許美國的電信業者取得華為的技術支援，亦讓Google能夠繼續供應Android與Google軟體予華為手機，一直到<a href="https://www.ithome.com.tw/news/139433" target="_blank">去年8月才到期</a>。</p> <p>這也許也說明了為何華為的手機銷售在<a href="https://www.ithome.com.tw/news/139615" target="_blank">2020年第二季</a>，還登上了全球最大手機製造商的寶座，卻又在<a href="https://www.ithome.com.tw/news/142512" target="_blank">去年第四季</a>直接跌出全球前五大。</p> <p>華為的輪值董事長Eric Xu坦言，華為已經制定了未來5年的戰略目標，亦即以能夠持續的方式生存，儘管消費者業務營收因外部因素而下滑，但相信電信與企業營收將能持續地穩定成長。</p> </div></div></div>
2021/8/10 12:31作者陳曉莉https://www.ithome.com.tw/news/146118
新版Google Titan 2FA硬體金鑰棄藍牙、就NFC規格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周發表雙因素（2FA）驗證硬體金鑰<a href="https://security.googleblog.com/2021/08/simplifying-titan-security-key-options.html" target="_blank">Titan最新一代產品</a>，將放棄較不安全的藍牙技術，只留下NFC及USB規格支援。</p> <p>最新一代Titan提供2種規格，分別為USB-A/NFC，以及新增的USB-C/NFC。Google表示，透過支援NFC，新Titan可用於大部份行動裝置，只要在行動裝置背面靠一下即可完成雙因素（或兩步驟）驗證。新產品預計8月10日正式開賣。</p> <p><a href="https://www.ithome.com.tw/news/125614" target="_blank">Google於2018年首次推出實體2FA金鑰</a>，和該領域主要產品YubiKey競爭。當時以對組形式提供USB規格，及藍牙/NFC規格的金鑰。但隔年Google發現藍牙（BLE）版有漏洞，可能造成鄰近（約9公尺內）的攻擊者冒充用戶登入帳號，或是連上用戶裝置，並提供產品換新。</p> <p>在第一代Google Titan推出時，YubiKey業者<a href="https://www.ithome.com.tw/news/130673" target="_blank">Yubico執行長Stina Ehrensvard即曾指出</a>藍牙（BLE）的安全性不如USB及NFC，該公司也不會推出BLE版本產品。</p> <p>Google僅指出，最新一代產品該公司已終止BLE版Titan，而改著重較容易使用及更普及的NFC規格。但現有藍牙/NFC版Titan仍然可持續使用，保固服務也將提供直到期滿。</p> <p>若iPad上有USB-C插孔，自然可使用USB-C/NFC版Titan，但若iPad上是Lightning插孔，Google建議使用USB-A/NFC版。</p> <p>USB-A/NFC版附有USB-A到USB-C轉接頭，售價30美元。USB-C/NFC則為35美元。<a href="https://store.google.com/us/product/titan_security_key?hl=en-US" target="_blank">線上商店</a>則提供優惠。</p> </div></div></div>
2021/8/10 12:49作者林妍溱https://www.ithome.com.tw/news/146119
臉書資料搬移工具現在可將行事曆、相片轉到Google及第三方平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/08/improving-user-experience-in-our-transfer-your-information-tool/" target="_blank">臉書昨（9）日宣布</a>強化資料可攜服務「移轉你的資料副本」（Transfer Your Information，TYI），包括新增可搬移的目的地以及強化使用介面。</p> <p>這項服務是<a href="https://www.ithome.com.tw/news/124698" target="_blank">Google、臉書、微軟與推特2018年合推的資料移轉專案</a>（Data Transfer Project）的最新進展。資料移轉專案旨在使各平臺上用戶累積的資料可搬移到其他平臺。TYI更新版最大亮點是新增搬移的目的地，讓用戶將臉書的活動清單搬移到Google Calendar，而將相片搬到Photobucket上。</p> <p>其次則是使用介面上的改善。臉書指改版後的TYI介面更直覺、簡單；介面上也更清楚顯示每次搬移狀態，包括可重新搬移。此外，允許使用者同時啟動多道資料搬移到同一個目的地，並且加入篩選功能，方便使用者精確指定要搬動哪些資料。</p> <p>臉書產品經理Hadi Michel指出，臉書持續和開發人員合作擴展支援的資料型態及目的地，但是為了確保搬移前、後的資料安全，臉書認為法規必須更清楚定義在不同服務的搬移過程中，資料安全的責任歸屬。</p> </div></div></div>
2021/8/10 13:06作者林妍溱https://www.ithome.com.tw/news/146120
不需訓練自定義模型，Amazon Transcribe通話分析可快速擷取顧客來電特徵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其自動語音辨識服務Amazon Transcribe，加入了<a href="https://aws.amazon.com/tw/blogs/aws/extract-insights-from-customer-conversations-with-amazon-transcribe-call-analytics/">通話分析（Call Analytics）</a>新功能，讓用戶直接呼叫單一API，就可以從客戶對話中，擷取深入分析資訊。這不只是Amazon Transcribe的新功能，也是AWS客服中心智慧（AWS Contact Center Intelligence）的關鍵功能，想要嚐鮮的用戶，現在可以在AWS控制臺啟用。</p> <p>對於銷售團隊來說，與潛在和現有客戶對談的時機，便是了解需求的機會，透過了解客戶來電的主要原因，並且衡量客戶對特定銷售宣傳的興趣與反應，便有機會促成交易，AWS提到，雖然企業所使用的客服中心供應商各異，但都希望在不同的應用程式中添加來電分析功能。</p> <p>企業需要分析的內容類型，不只是通話，有可能是網路音訊以及視訊電話，而這通常需要綜合運用人工智慧服務和專門的機器學習模型，而Amazon Transcribe通話分析功能便是能夠滿足這項需求的解決方案。通話分析是建立在Transcribe的自動語音辨識功能之上，Transcribe通話分析新增專門針對客戶通話的高精確度轉錄，以及可操作的分析功能，透過簡單的API呼叫，開發人員就可以快速地從任何應用程式添加來電分析，並且從對話中擷取分析，而不需要額外建構人工智慧工作管線，或是訓練自定義機器學習模型。</p> <p>Transcribe通話分析的主要功能，包括21種語言的通話轉錄，並提供問題偵測，通話分析會從通話中，挑選出一組最短的連續字詞，來表達客戶打電話來的原因，而且這個功能開箱即用，不需要任何配置或是訓練。</p> <p>同時，通話分析功能還可以根據對話的特徵來分類通話，像是搜尋特定字詞或是片語，也可以偵測非對話時間、中斷或是分析客戶和代理的情緒。另外，也可以針對文字轉錄和相對應的音訊檔案中的敏感資料進行編輯。</p> <p>企業可以使用Amazon Transcribe通話分析來偵測通話中的一些關鍵事件，創建規則來標記客戶打斷代理，或是表現出負面情緒，說出「叫你們經理來聽」的通話，針對這些溝通不順的情況，可以在日後進行分析檢討。用戶也可以分析通話的前15秒，來掌握客服代理是否使用預設的問候語，來評估代理的表現。AWS提到，常用的場景，便是創建規則來標記特定產品和服務被提及的次數，像是特定產品運作不良的情況，以快速掌握產品狀況。</p> <p>除了使用Transcribe通話分析功能，用戶也可以使用其他人工智慧服務，像是Amazon Translate或Amazon SageMaker來建構自定義自然語言處理模型，以進一步處理文字轉錄。Transcribe通話分析功能現在於美東、美西、加拿大都已上線，而亞洲則在孟買、新加坡、首爾、東京和雪梨地區提供。</p> </div></div></div>
2021/8/10 11:38作者李建興https://www.ithome.com.tw/news/146097
VS Code Python擴充套件8月新版翻新Jupyter Notebooks整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適用於<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-august-2021-release/">VS Code的Python擴充套件8月更新版</a>已經開放下載，用戶已經可以從擴充套件庫中安裝。微軟在這個版本翻新Jupyter Notebooks的使用體驗，並且採用新方法排序Python直譯器列表。官方提到，8月更新版本相較於其他版本，是發布周期較短的版本，因為他們正在調整發布節奏，以配合VS Code的版本更新。</p> <p>在2020年的時候，微軟開始在VS Code中預覽新的Jupyter Notebooks體驗，而現在新功能已經脫離預覽階段，正式提供所有開發者使用。微軟翻新Jupyter Notebooks推出了Native Notebooks，Native Notebooks是微軟最新實作的筆記本，而Python擴充套件使用Native Notebooks API，來提供更好的資料科學開發體驗。</p> <p>微軟改進筆記本和擴充套件之間的整合，大幅加速筆記本載入時間，根據微軟使用包含49個程式碼單元格、18個標記語言Markdown單元格以及約5 MB的輸出，在舊的筆記本編輯器打開，約需要7秒鐘的時間，而在新的筆記本編輯器則能以少於1秒的速度快速開啟。</p> <p>除了速度改進之外，新的筆記本也有全新的外觀，改進UI並新增單元格操作功能，開發者現在有更多的自定義能力，來控制筆記本UI元素的外觀和位置，另外，開發者也可以在筆記本中用到，在VS Code中編輯原始碼和Markdown文字的擴充套件，像是VIM快捷鍵綁定和上色括號等。</p> <p>同時，這個新版本也改善對原始碼控制的支援，單元格更改現在能夠更良好地，在原始碼控制瀏覽中解析和查看，甚至可以自定義要顯示的類型變更。</p> <p>VS Code Python擴充套件8月更新版的另一個好用的更新，便是微軟改進了Python直譯器的排序，過去在執行Python:Select Interpreter指令的時候，Python擴充套件會顯示所有能夠找到的Python直譯器列表，並且按字母順序排列。</p> <p>因此當機器上有許多Python環境時，通常會使得直譯器選擇變得麻煩，開發者可能需要進一步搜尋或是捲動頁面，而微軟現在加速這個過程，採用了新方法，會盡量把開發者可能需要的直譯器，放置在列表的第一個選項，使其更容易被選取。</p> <p>直譯器呈現的第一順位為，與工作空間目錄同一路徑的環境，第二順位是是全域安裝環境，像是$WORK_ON或conda，最後才是像/usr/bin/python3.9等全域安裝。</p> </div></div></div>
2021/8/10 11:41作者李建興https://www.ithome.com.tw/news/146100
Cloudflare單季營收成長53%，朝淨零碳服務邁進
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路（CDN）暨安全服務供應商Cloudflare在6月5日，<a href="https://cloudflare.net/news/news-details/2021/Cloudflare-Announces-Second-Quarter-2021-Financial-Results/default.aspx" target="_blank">公布該公司今年第二季的財報</a>，該季Cloudflare創下1.52億美元的營收，成長53%。此外，<a href="https://blog.cloudflare.com/helping-build-a-green-internet/" target="_blank">該公司也在今年7月底發表了綠色雲端（Green Cloud）計畫</a>，準備在2022年全面實現碳中和（carbon neutral，又稱淨零碳），更計畫在2025年消弭Cloudflare自2009年成立以來排放的所有碳足跡。</p> <p>除了成長53%的營收之外，今年第二季Cloudflare的營業虧損為2,890萬美元，高於去年同期的2,470萬美元，該季的淨虧損則是3,550萬美元，亦高於去年的2,610萬美元虧損，每股虧損0.12美元。</p> <p>不過，Cloudflare創辦人暨執行長Matthew Prince表示，這是Cloudflare從2019年9月成為上市公司以來，營收表現最佳的一季，不只營收成長了53%，該季還刷新了新增的大客戶數量，等同於每天新增了2家6位數客戶。</p> <p>除了營收與客戶的成長之外，最近Cloudflare也開始朝向淨零碳發展。Prince坦承，當他創立Cloudflare時，從沒想過要減少網路對環境的影響，因為他根本不認為網路會對環境造成太大的影響，一直到他必須在超冷的資料中心安裝伺服器之後，才發覺要運作這些伺服器，以及將它們冷卻所耗費的龐大電力。</p> <p>事實上，<a href="https://www.sciencefocus.com/science/what-is-the-carbon-footprint-of-the-internet/" target="_blank">根據Boston Consulting Group的研究</a>，全球網路一年的碳排放占全球的2%，大約是10億噸，而整個航空產業每年所產生的二氧化碳也不過如此。</p> <p>此外，Cloudflare最初節省系統電力的設計也不是為了環保，只是希望所採用的設備能夠儘量節能，才能不被各地代管的ISP業者拒絕，在陰錯陽差下Cloudflare成為環保的一份子，隨著Cloudflare的業務日益壯大，現在全球網路約有17%採用Cloudflare服務，這些客戶因採用Cloudflare的服務而減少了55萬噸的碳排放。</p> <p>不論如何，當Cloudflare理解了網路對環境的影響之後，便計畫要在2022年達到淨零碳，全面使用再生能源來支撐全球服務，也預計購買更多的再生能源，在2025年以前彌補該公司自2009年以來的碳排放。</p> <p>與Cloudflare擁有同樣環保願景的還有微軟，<a href="https://www.ithome.com.tw/news/135423" target="_blank">微軟已承諾要在2030年實現負碳目標</a>，屆時微軟所消除的碳量將大過於該公司生態體系所排放的二氧化碳，也計畫在2050年時，消除微軟自1975年創立以來所產生的碳排放。</p> </div></div></div>
2021/8/10 12:03作者陳曉莉https://www.ithome.com.tw/news/146116
FCC釋出首個行動網路覆蓋地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）上周<a href="https://www.fcc.gov/BroadbandData/MobileMaps/mobile-map" target="_blank">發表了美國地區的4G LTE行動網路覆蓋地圖</a>，該地圖集結了美國四大電信營運商：AT&T、T-Mobile、UScellular及Verizon自行提供的覆蓋資料，預計未來還會加入3G及5G的覆蓋地圖。</p> <p>此一4G LTE行動網路主要呈現的是下載速率至少為5 Mbps，上傳至少有1 Mbps的行動寬頻服務，並將寬頻網路及語音網路拆分顯示，使用者可直接於地圖上點選每家電信業者的圖層，例如AT&T的LTE資料網路，或者是T-Mobile的LTE語音網路，來查看不同電信業者在資料或語音服務上的覆蓋範圍，也可直接輸入所要查詢的地址，或使用縮放功能來檢視當地是否有相關服務的供應商。</p> <p>FCC表示，採用了寬頻資料收集專案的各種標準參數，以建立一個更統一的覆蓋範圍比較，相關數據都是由業者自願提交，時間點為今年的5月15日，也是全美首個4G LTE行動資料及語音服務的覆蓋地圖，不過，此一地圖僅描述了使用者在戶外及靜止時可獲得的覆蓋範圍，不一定適用於屋內或移動狀態。</p> <p>此外，它採用了傳播預測模型，因此實際的使用經驗還是會依據用戶所使用的裝置、基地臺能力，以及地形等因素而有所不同。</p> </div></div></div>
2021/8/10 12:16作者陳曉莉https://www.ithome.com.tw/news/146117
Cloudera數據平臺Spark工作開始支援GPU運算，讓ML資料前處理提高5倍執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">企業級Hadoop大數據軟體商Cloudera近期在自家的數據平臺中（Cloudera Data Platform，CDP），整合了可在GPU上加速Spark的開源函式庫RAPIDS。透過這個新功能，原先在CDP平臺上，大多以CPU來執行的Spark工作負載，比如資料分析的擷取、轉換和載入（ETL）作業，就可以搭配GPU來執行，Cloudera宣稱，可以提升5倍全端（full stack）執行速度的成效。</p> <p dir="ltr">RAPIDS是Nvidia開源釋出的CUDA加速函式庫，可以用來在GPU上執行端對端資料科學和分析工作流程。去年開始也能支援Apache Spark社群釋出的Spark 3.0，以Nvidia CUDA和開源框架UCX為基礎，來加速Spark SQL、DataFrame及Spark shuffle等功能，讓Spark工作能利用GPU平行處理和高頻寬記憶體傳輸的能力，來執行運算，且不需要改寫程式碼。</p> <p dir="ltr">Nvidia也在自家<a href="https://blogs.nvidia.com.tw/2020/11/09/accelerating-apache-spark-3-0-with-gpus-and-rapids/">開發者部落格</a>上介紹，在開發ML的工作流程中，資料科學家大約有80%的時間花在資料預處理上，包括要先瞭解資料集，反覆進行資料清整、擷取特徵等，這個過程通稱為ETL，由於Spark是資料預處理和特徵工程的常用工具，也常被用於這個環節。不過，因Spark過去的版本不支援GPU運算，所以資料科學家和工程師大多在CPU上執行ETL，再將資料傳送至GPU進行模型訓練。但隨著資料量增加後，這個流程也面臨一些挑戰。</p> <p dir="ltr">Nvidia資料科學產品部資深總監Scott McClellan指出，這對企業帶來的挑戰，一是在資料量不斷成長、迭代訓練的過程中，會花費大量的時間；二是要建立大規模CPU基礎架構，需花費大量金錢；三是在執行大規模資料處理的過程中，需要不斷重構程式碼、交接執行運算，會增加從資料工程到模型訓練每一次循環的時間成本。為此，Nvidia開源了RAPIDS，試圖透過GPU來加速資料處理的執行效率。</p> <p dir="ltr">去年，Nvidia與Cloudera展開合作，Cloudera更在今年夏天，將RAPIDS整合到自家的CDP產品中，正式在CDP中推出以GPU加速Spark的功能。Cloudera機器學習部門副總裁Sushil Thomas表示，將RAPIDS整合到CDP後，使用者執行Spark工作時，完全不需要修改程式碼，Spark核心引擎會在偵測到GPU運算資源後，自動根據工作負載的任務類型，比如是屬於列式儲存（Row-oriented）或直式儲存（Column-oriented）的資料模型，在GPU或CPU上排程執行特定工作。也就是說，Spark核心引擎會自動完成在CPU與GPU之間的運算轉換。</p> <p dir="ltr"><strong><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Cloudera數據平臺結合RAPIDS套件後的架構示意圖。</span></strong></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-09%20%E4%B8%8A%E5%8D%8810_22_01.png" style="width: 603px;" /></p> <p dir="ltr">Sushil Thomas更指出，採用GPU來執行Spark之後，可以在同樣時間內，增加資料處理迭代循環的次數，來提升模型訓練的準確度，更能將全端執行速度提升5倍。</p> <p dir="ltr">Nvidia也提出一份數據，來比較在CDP上以CPU或GPU來執行數據分析的成效。若分別以現代4節點的CPU叢集，以及相同配置的CPU搭上Nvidia A30 GPU來進行運算，後者的執行速度可達前者的5倍，不過搭配GPU的成本會比單純使用CPU增加30～40%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-09%20%E4%B8%8A%E5%8D%889_35_59.png" style="width: 1296px;" /></p> <p dir="ltr">目前，這項功能僅限於CDP的私有雲產品，Sushil Thomas指出，對於公有雲的支援會在近期上線。這項功能主要瞄準採用私有雲的大型客戶，包括金融、醫療這類具有大量資料工程與資料科學任務需求的產業，目前也已經用於美國國稅局（IRS），能在超過300TB的龐大資料庫中，找出有助於識別身份盜用或其它詐欺行為的模式。</p> <p dir="ltr">Cloudera是提供Apache Hadoop商用版本的主要廠商之一，目前有超過2,000家客戶，主要產品是數據平臺CDP，提供Hadoop、Spark等大數據分析服務。</p> </div></div></div>
2021/8/9 17:50作者翁芊儒https://www.ithome.com.tw/news/146084
伺服器端應用已在Kubernetes 1.22成為正式功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kubernetes.io/blog/2021/08/04/kubernetes-1-22-release-announcement/">Kubernetes 1.22</a>是今年的第2個更新版本，這個版本有許多新功能進入穩定階段，包括伺服器端應用（Server-side Apply，SSA）、外部憑證提供程式，以及開源分散式儲存etcd升級至3.5.0版本，另外，創建臨時容器的API，也在Kubernetes 1.22有所變化。</p> <p>這個版本的一大重點在於SSA成為正式版本，SSA讓用戶和控制器可以使用宣告式配置來管理資源，像是創建或修改物件，在經過幾個版本的測試之後，這個功能已經正式釋出。Kubernetes 1.22將原本採用Kubectl應用（Kubectl Apply）的客戶端實作，替換成為伺服器端實作，並允許Kubectl以外的工具和客戶端使用。</p> <p>官方提到，伺服器端應用是一種新欄位所有權（Field Ownership）和物件合併演算法，在Kubernetes API伺服器上運作。SSA從Beta測試版到正式版本，增加了對子資源的支援，client-go和Kubebuilder也都全面支援SSA，而這樣的改進提供了控制器開發上，所有必須的SSA功能。</p> <p>從1.11版本以來，一直處於測試階段的外部憑證提供程序，也在Kubernetes 1.22版本中進入穩定階段，正式版功能集包括改進互動式登入流程套件的支援，並且修正多個臭蟲。Kubernetes預設的後端儲存etcd，採用了新版本3.5.0，這版本改進了安全性、效能、監控和開發人員體驗，新加入的功能包含移植使用結構化日誌紀錄，以及內建日誌輪替功能。</p> <p>Kubernetes 1.22提供了一個新的Alpha測試功能，對記憶體資源進行QoS（Quality of Service），原本Kubernetes使用第一版的cgroups API，這個設計可讓Pod的QoS類別，應用到CPU資源上，而這個新的測試功能，Kubernetes使用cgroups v2 API來控制記憶體和隔離，這個功能的目的，是要在記憶體資源競爭的時候，提高工作負載和節點可用性，並且增加容器生命周期的可預測性。</p> <p>除了功能更新，Kubernetes 1.22還有一些重大變更，刪除了數個遭到棄用的Beta測試API，包括Ingress、APIService和CertificateSigningRequest等。而臨時性容器（Ephemeral Containers）API也有更動，目前臨時性容器功能還是Alpha功能並且預設停用，新的API不適用於使用舊API的客戶端。</p> <p>kubectl 1.21以及早前版本，不支援臨時性容器的新API，當用戶計畫使用kubectl debug創建臨時性容器，而且叢集執行Kubernetes 1.22，則無法使用kubectl 1.21和更早版本進行操作，如果要將kubectl debug與叢集版本混用，就必須要將kubectl更新到1.22。</p> <p>從今年4月開始，Kubernetes的發布頻率，從原本的每年4次降為3次，所以Kubernetes 1.22是相對之前，發布周期較長的一個版本，官方提到，隨著Kubernetes專案越來越成熟，每個周期加入的新功能也會增加，而這帶給終端用戶許多學習上的壓力，迫使他們必須要更快地學習更多的新功能，而把發布頻率降為每年3次，則可以使Kubernetes發展更加平衡，包括管理社群貢獻以及版本發布，也可以讓使用者在升級使用最新版本上，保有規畫彈性。</p> </div></div></div>
2021/8/9 16:23作者李建興https://www.ithome.com.tw/news/146092
Firefox在過去3年流失了4,800萬名用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於開源與Linux新聞的FOSS News副主編<a href="https://news.itsfoss.com/firefox-decline/" target="_blank">Ankush Das最近撰寫了一篇文章</a>，警告Firefox的使用者日益減少，最後可能造成使用者缺乏選擇，呼籲Mozilla應該要正視此事。</p> <p>根據Statcounter今年7月的調查，位居全球瀏覽器市場冠軍的是Google Chrome的65.13%，居次的是蘋果Safari的18.64%，Mozilla的Firefox以3.45%排名第三，微軟Edge則以3.41%緊追在後。其中，Chrome與Edge都是基於Chromium專案，Safari雖然採用自家開發的WebKit引擎，但迄今並未正式釋出支援Linux的版本，換句話說，Linux社群主要的選擇，只剩基於Chromium專案的各種瀏覽器與Firefox。</p> <p>不過，D<a href="https://data.firefox.com/dashboard/user-activity" target="_blank">as從Firefox公布的使用者資料發現</a>，Firefox的單月用戶數已從2018年12月31日的2.44億人，下滑到今年8月2日的1.96億人，顯示這3年多以來，Firefox的用戶數減少約4,800萬名。</p> <p>Das指出，Firefox一直是開源社群僅次於Chromium瀏覽器的第二個選擇，在此一大家愈來愈重視隱私的時代，強調隱私的Firefox使用人數卻逐漸下滑似乎有些諷刺，追究其原因可能包括Chrome一直是Android平台上的預覽瀏覽器，而Edge則是Windows上的預設瀏覽器，Google不斷地推薦用戶使用Chrome，且有些網路服務僅支援Chrome瀏覽器。</p> <p>不過，除了上述瀏覽器的市場優勢之外，Das也點出Firefox值得改善的地方，包括Firefox每次的大幅翻修持續破壞了使用者經驗，而且在最近幾年缺乏重大的效能更新。</p> <p>即使如此，Das認為世界上沒有完美的瀏覽器，且Firefox是開源環境中唯一能與Chromium較勁的競爭對手，假使Firefox消失了，那使用者再無其它選擇，此外，當絕大多數的網站都針對Chromium進行最佳化的時候，原本採用Firefox的使用者也將被迫轉移至其它瀏覽器。</p> <p>此外，Firefox依然有其它的存在價值，包括它不斷地強化使用者隱私，也有更多的客製化能力。Das建議，為了維持瀏覽器世界的平衡，使用者應該共同對抗其它瀏覽器的反競爭作法，且開始使用Firefox，另一方面亦呼籲Mozilla應該要正視此事，努力改善使用者經驗，否則像他這樣長年使用Firefox的用戶，都得在Firefox大幅變更介面之際暫時切換至其它瀏覽器。</p> </div></div></div>
2021/8/9 16:43作者陳曉莉https://www.ithome.com.tw/news/146096
駭客已開始掃描由戴夫寇爾所揭露的Exchange Server ProxyShell漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名資安研究人員Kevin Beaumont上周指出，駭客已開始掃描由臺灣資安業者戴夫寇爾（Devcore）所揭露、涉及微軟Exchange Server的ProxyShell漏洞，其實微軟已分別於今年4月及5月修補了與ProxyShell有關的3個安全漏洞，但尚未更新系統的組織應記得修補。</p> <p><a href="https://twitter.com/GossiTheDog/status/1423603304442081280" target="_blank">根據Beaumont的說法</a>，雖然戴夫寇爾的首席研究人員蔡政達（Orange Tsai）甫於上周舉行的黑帽大會上描述了ProxyShell，但他所設立的誘捕系統卻發現駭客已開始掃描並企圖開採尚未修補的Exchange Server。</p> <p>ProxyShell實際上是由3個漏洞所串連，分別是微軟於4月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34473" target="_blank">CVE-2021-34473</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34523" target="_blank">CVE-2021-34523</a>，以及5月修補的<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-31207" target="_blank">CVE-2021-31207</a>。</p> <p>其中，CVE-2021-34473為遠端程式攻擊漏洞，CVE-2021-34523屬於權限擴張漏洞，CVE-2021-31207則是安全功能繞過漏洞，它們全都同時影響Microsoft Exchange Server 2013、Microsoft Exchange Server 2016與Microsoft Exchange Server 2019。根據微軟今年7月公布的資訊，上述漏洞已被公開，但尚未被成功開採。</p> <p><a href="https://i.blackhat.com/USA21/Wednesday-Handouts/us-21-ProxyLogon-Is-Just-The-Tip-Of-The-Iceberg-A-New-Attack-Surface-On-Microsoft-Exchange-Server.pdf" target="_blank">蔡政達在黑帽大會上指出</a>，只要Exchange Server曝露了443連接埠，就能允許未經授權的駭客於該郵件伺服器上執行任意命令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-powershell%20orange%20tsai.jpg" style="width: 600px;" /></p> <p><a href="https://i.blackhat.com/USA21/Wednesday-Handouts/us-21-ProxyLogon-Is-Just-The-Tip-Of-The-Iceberg-A-New-Attack-Surface-On-Microsoft-Exchange-Server.pdf" target="_blank"><span style="color:#696969;">圖片來源_Orange Tsai</span></a></p> <p>ProxyShell漏洞始於Exchange Server上明確登入功能的一個路徑混淆臭蟲，此一功能允許使用者於新的瀏覽器視窗中開啟另一個郵件信箱或行事曆，Exchange即會於內部標準化該URL，之後便可自該URL中汲取出存取令牌；再利用權限擴張漏洞把權限從系統降級為管理員，以執行任意程式；繼之即能以管理員權限執行PowerShell命令，以將使用者的郵箱匯出至一個UNC路徑，再把惡意酬載嵌入匯出的檔案中。</p> <p>其實蔡政達與戴夫寇爾團隊近年來致力於<a href="https://blog.orange.tw/2021/08/proxylogon-a-new-attack-surface-on-ms-exchange-part-1.html" target="_blank">研究Exchange Server的安全漏洞</a>，主要原因是該團隊認為郵件伺服器是各大組織的寶貴資產，存放了各種機密文件與企業資料，駭客控制了郵件伺服器等同於掌握了企業的生脈，而微軟的Exchange Server身為最普及的郵件伺服器，也是駭客的首要目標，估計至少有40萬臺Exchange Server曝露在網路上，每臺郵件伺服器代表一個組織，因而不難想見Exchange Server出現重大漏洞的危險性。</p> <p>此外，微軟從2000年開始，平均每3年就會更新一次Exchange Server，其架構也隨之變更，為了確保每一代Exchange Server之間的相容性，這些介接上的問題逐漸形成新的攻擊表面，而戴夫寇爾團隊亦決定從Exchange Server的結構上著手來挖掘安全漏洞，使得他們接二連三地發現了該郵件伺服器的零時差攻擊漏洞。</p> <p>這一年來戴夫寇爾團隊已找到8個有關Exchange Server的安全漏洞，當中於3月修補的CVE-2021-26855與CVE-2021-27065 可串連成<a href="https://www.ithome.com.tw/news/143111" target="_blank">ProxyLogon漏洞</a>，5月修補的CVE-2021-31195及7月修補的CVE-2021-31196則串連成ProxyOracle漏洞，除了ProxyLogon、ProxyOracle與結合3個漏洞的ProxyShell之外，該團隊所發現的另一個漏洞為微軟於今年7月修補的權限擴張漏洞CVE-2021-33768。</p> <p>戴夫寇爾團隊所發現的一系列Microsoft Exchange Server漏洞，<a href="https://www.ithome.com.tw/news/146039" target="_blank">讓該團隊</a>於今年獲得Pwnie Awards<a href="https://pwnies.com/winners/" target="_blank">最佳伺服器漏洞獎</a>，而ProxyShell漏洞則替該團隊在Pwn2Own 2021駭客競賽上，贏得了20萬美元的獎金。</p> </div></div></div>
2021/8/9 15:55作者陳曉莉https://www.ithome.com.tw/news/146093
逾5,500名隱私專家、密碼專家與研究人員連署反對蘋果為保護兒童的內容掃描技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146064" target="_blank">蘋果在8月5日公布</a>了全新的兒童保護措施，打算掃描Messages程式及iCloud上的內容是否涉及兒童色情，以阻止兒童色情的散布，然而，不僅擁戴使用者數位權利的電子前線基金會（Electronic Frontier Foundation，EFF）出面反對，超過5,500名的隱私專家或密碼專家<a href="https://appleprivacyletter.com/" target="_blank">也正在進行連署</a>，希望蘋果重新考慮此事。</p> <p>蘋果的作法基本上有兩項，一是持續掃描用戶iCloud上存放的照片及影片，當所偵測到疑似兒童色情圖片的內容達到一定數量時，就會採取人工檢驗，並向主管機關檢舉，二是掃描兒童所使用的Messages程式是否傳輸兒童色情內容，以在察覺時通知家長。</p> <p>儘管蘋果是利用機器學習與人工智慧來偵測iCloud與Messages上的內容，所有的程序都在裝置上進行，且蘋果並未直接檢視或取得內容，但資安、隱私與密碼學專家都認為，此一作法實際上是開啟了一個後門，將威脅所有蘋果裝置用戶的隱私。</p> <p>原因之一為，既然蘋果得以偵測兒童色情，那麼就能偵測其它類別的內容，等於直接把iPhone轉為可以持續掃描所有內容的裝置，並將違反特定國家規定的內容提交給政府機關。</p> <p>率先出面反對蘋果作法的除了EFF之外，民主與技術中心（Center for Democracy and Technology ，CDT）也指責（<a href="https://cdt.org/press/cdt-apples-changes-to-messaging-and-photo-services-threaten-users-security-and-privacy/">https://cdt.org/press/cdt-apples-changes-to-messaging-and-photo-services...</a>）蘋果放棄產業標準的端對端加密傳訊系統，取而代之的是一個具備監控及審查的架構，呼籲蘋果應該撤銷此一變更，恢復使用者對蘋果裝置／服務在安全與完整性上的信心。</p> <p>瑞士洛桑聯邦理工學院（EPFL）教授、亦為安全及隱私專家的<a href="https://twitter.com/carmelatroncoso/status/1423554795487518723" target="_blank">Carmela Troncoso</a>也認為，蘋果所採取的措施就是一個加密後門，就算蘋果宣稱保護了使用者的隱私，但後門就是後門，只要有後門的存在，就不再有所謂的安全儲存或是安全傳訊，後門打破了所有的保證。</p> <p>另一名隱私研究人員<a href="https://twitter.com/kaepora/status/1423388549529968645" target="_blank">Nadim Kobeissi</a>則指出，蘋果在沙烏地阿拉伯銷售的iPhone是沒有FaceTime的，因為當地規定不得使用加密手機，意謂著蘋果是會屈服於政府政策的，假設有政府要求蘋果掃描同性戀內容，難保蘋果不會照做。</p> <p>這些研究人員認為，蘋果為了保護兒童的作法將成為蘋果產品的基本設計缺陷，呼籲蘋果應立即停止部署相關機制，也希望蘋果能夠重申對端對端加密的承諾，以及對使用者隱私的保障，迄今已有超過5,500名研究人員或組織參與了連署，只不過，此一連署是透過GitHub進行，使用者必須先登入GitHub才行，提高了連署門檻。</p> </div></div></div>
2021/8/9 16:11作者陳曉莉https://www.ithome.com.tw/news/146094
近40款路由器存在身分驗證漏洞，恐影響數百萬臺設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多個型號的家用路由器很可能因為採用相同廠牌韌體，而存在同樣的漏洞，成為攻擊者鎖定的目標。例如，在2020年11月由資安媒體CyberNews揭露<a href="http://www.ithome.com.tw/news/141278">數款品牌的路由器存在後門漏洞</a>，而有攻擊者藉此散布殭屍病毒Mirai的情況：這些廠牌包含Walmart獨家銷售的Jetstream，以及透過Amazon與eBay販賣的Wavlink。資安研究員發現，上述兩個品牌的路由器，都是中國業者Winstars生產，而存在相同的漏洞。</p> <p>但這種多款路由器產品使用含有漏洞的韌體，而存在相同漏洞的情況最近又再度發生。研究人員發現橫跨數十個廠牌與ISP、影響數以百萬設備的重大漏洞，一旦攻擊者濫用，就能繞過網頁管理界面的身分驗證機制，而掌控路由器來發動攻擊，且被揭露不久已出現攻擊行動。</p> <p>在8月3日，弱點管理解決方案業者Tenable公布<a href="http://medium.com/tenable-techblog/bypassing-authentication-on-arcadyan-routers-with-cve-2021-20090-and-rooting-some-buffalo-ea1dd30980c2">繞過驗證漏洞CVE-2021–20090的細節</a>，<a href="https://www.tenable.com/cve/CVE-2021-20090">此漏洞的CVSS風險層級達9.8分</a>，影響19個廠牌、總共37款路由器設備，而這些設備的共同點，都是採用臺灣綜合接入設備（IAD）製造商智易科技（Arcadyan）的韌體。</p> <p>智易科技成立於2003年，總部位於新竹科學園區，是仁寶旗下的子公司。該公司是全球綜合接入設備的大型製造商，提供寬頻網路、無線網路、光纖網路路由器，以及機上盒等產品。</p> <p>這項漏洞最早被發現的起緣，是Tenable於今年的年初，取得日本一款相當暢銷的路由器設備Buffalo WSR-2533進行研究，所找到的其中一項漏洞。但資安研究人員進一步調查發現，還有其他使用智易科技韌體的路由器，也存在相同漏洞。Tenable於4月下旬通報智易科技後，智易科技確認相關漏洞，並表明他們與其中一家廠商正在修補中，但不願向Tenable透露可能受影響的廠商名單。</p> <p>針對CVE-2021–20090，<a href="https://zh-tw.tenable.com/security/research/tra-2021-13?tns_redirect=true">Tenable於4月26日首度發出資安通告</a>，並於7月20日公布其他受到影響的路由器名單，最後在8月3日發表此漏洞的細節，並提供概念性驗證（PoC）攻擊手法與影片。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">A little video demo from the Buffalo writeup ( <a href="https://t.co/ySft5EP299">https://t.co/ySft5EP299</a> ) : <a href="https://t.co/1ulDi0CyXZ">pic.twitter.com/1ulDi0CyXZ</a></p> <p>— evan grant (@stargravy) <a href="https://twitter.com/stargravy/status/1422550311814762503?ref_src=twsrc%5Etfw">August 3, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>受到此繞過驗證漏洞影響的路由器，出現於華碩、Buffalo，以及智易科技的自有品牌，還有多家ISP業者也有存在相同漏洞的路由器機種，如：英國電信、德國電信、Verizon、Vodafone等。</p> <table border="0" cellpadding="0" cellspacing="0" height="878" style="width:415px;" width="415" xmlns="http://www.w3.org/1999/xhtml"><tbody><tr height="22"><td data-sheets-value="{"1":2,"2":"Vendor"}" height="22" style="height:22px;width:140px;">廠牌</td> <td data-sheets-value="{"1":2,"2":"Device"}" style="width:275px;">路由器機種</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ADB"}" height="22" style="height:22px;">ADB</td> <td data-sheets-value="{"1":2,"2":"ADSL wireless IAD router"}">ADSL wireless IAD router</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Arcadyan"}" height="22" style="height:22px;">Arcadyan</td> <td data-sheets-value="{"1":2,"2":"ARV7519"}">ARV7519</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Arcadyan"}" height="22" style="height:22px;">Arcadyan</td> <td data-sheets-value="{"1":2,"2":"VRV9517"}">VRV9517</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Arcadyan"}" height="22" style="height:22px;">Arcadyan</td> <td data-sheets-value="{"1":2,"2":"VGV7519"}">VGV7519</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Arcadyan "}" height="22" style="height:22px;">Arcadyan</td> <td data-sheets-value="{"1":2,"2":"VRV9518"}">VRV9518</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ASMAX"}" height="22" style="height:22px;">ASMAX</td> <td data-sheets-value="{"1":2,"2":"BBR-4MG / SMC7908 ADSL"}">BBR-4MG / SMC7908 ADSL</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ASUS "}" height="22" style="height:22px;">ASUS</td> <td data-sheets-value="{"1":2,"2":"DSL-AC88U (Arc VRV9517)"}">DSL-AC88U (Arc VRV9517)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ASUS "}" height="22" style="height:22px;">ASUS</td> <td data-sheets-value="{"1":2,"2":"DSL-AC87VG (Arc VRV9510)"}">DSL-AC87VG (Arc VRV9510)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ASUS "}" height="22" style="height:22px;">ASUS</td> <td data-sheets-value="{"1":2,"2":"DSL-AC3100"}">DSL-AC3100</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"ASUS "}" height="22" style="height:22px;">ASUS</td> <td data-sheets-value="{"1":2,"2":"DSL-AC68VG"}">DSL-AC68VG</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Beeline"}" height="22" style="height:22px;">Beeline</td> <td data-sheets-value="{"1":2,"2":"Smart Box Flash"}">Smart Box Flash</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"British Telecom"}" height="22" style="height:22px;">British Telecom</td> <td data-sheets-value="{"1":2,"2":"WE410443-SA"}">WE410443-SA</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"WSR-2533DHPL2"}">WSR-2533DHPL2</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"WSR-2533DHP3"}">WSR-2533DHP3</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"BBR-4HG"}">BBR-4HG</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"BBR-4MG"}">BBR-4MG</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"WSR-3200AX4S"}">WSR-3200AX4S</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"WSR-1166DHP2"}">WSR-1166DHP2</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Buffalo"}" height="22" style="height:22px;">Buffalo</td> <td data-sheets-value="{"1":2,"2":"WXR-5700AX7S"}">WXR-5700AX7S</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Deutsche Telekom"}" height="22" style="height:22px;">Deutsche Telekom</td> <td data-sheets-value="{"1":2,"2":"Speedport Smart 3"}">Speedport Smart 3</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"HughesNet"}" height="22" style="height:22px;">HughesNet</td> <td data-sheets-value="{"1":2,"2":"HT2000W"}">HT2000W</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"KPN"}" height="22" style="height:22px;">KPN</td> <td data-sheets-value="{"1":2,"2":"ExperiaBox V10A (Arcadyan VRV9517)"}">ExperiaBox V10A (Arcadyan VRV9517)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"KPN"}" height="22" style="height:22px;">KPN</td> <td data-sheets-value="{"1":2,"2":"VGV7519"}">VGV7519</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"O2"}" height="22" style="height:22px;">O2</td> <td data-sheets-value="{"1":2,"2":"HomeBox 6441"}">HomeBox 6441</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Orange"}" height="22" style="height:22px;">Orange</td> <td data-sheets-value="{"1":2,"2":"LiveBox Fibra (PRV3399)"}">LiveBox Fibra (PRV3399)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Skinny"}" height="22" style="height:22px;">Skinny</td> <td data-sheets-value="{"1":2,"2":"Smart Modem (Arcadyan VRV9517)"}">Smart Modem (Arcadyan VRV9517)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"SparkNZ"}" height="22" style="height:22px;">SparkNZ</td> <td data-sheets-value="{"1":2,"2":"Smart Modem (Arcadyan VRV9517)"}">Smart Modem (Arcadyan VRV9517)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Telecom (Argentina)"}" height="22" style="height:22px;">Telecom (Argentina)</td> <td data-sheets-value="{"1":2,"2":"Arcadyan VRV9518VAC23-A-OS-AM"}">Arcadyan VRV9518VAC23-A-OS-AM</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"TelMex"}" height="22" style="height:22px;">TelMex</td> <td data-sheets-value="{"1":2,"2":"PRV33AC"}">PRV33AC</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"TelMex"}" height="22" style="height:22px;">TelMex</td> <td data-sheets-value="{"1":2,"2":"VRV7006"}">VRV7006</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Telstra"}" height="22" style="height:22px;">Telstra</td> <td data-sheets-value="{"1":2,"2":"Smart Modem Gen 2 (LH1000)"}">Smart Modem Gen 2 (LH1000)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Telus"}" height="22" style="height:22px;">Telus</td> <td data-sheets-value="{"1":2,"2":"WiFi Hub (PRV65B444A-S-TS)"}">WiFi Hub (PRV65B444A-S-TS)</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Telus"}" height="22" style="height:22px;">Telus</td> <td data-sheets-value="{"1":2,"2":"NH20A"}">NH20A</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Verizon"}" height="22" style="height:22px;">Verizon</td> <td data-sheets-value="{"1":2,"2":"Fios G3100"}">Fios G3100</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Vodafone"}" height="22" style="height:22px;">Vodafone</td> <td data-sheets-value="{"1":2,"2":"EasyBox 904"}">EasyBox 904</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Vodafone"}" height="22" style="height:22px;">Vodafone</td> <td data-sheets-value="{"1":2,"2":"EasyBox 903"}">EasyBox 903</td> </tr><tr height="22"><td data-sheets-value="{"1":2,"2":"Vodafone"}" height="22" style="height:22px;">Vodafone</td> <td data-sheets-value="{"1":2,"2":"EasyBox 802"}">EasyBox 802</td> </tr></tbody></table><p>事隔3天，<a href="https://blogs.juniper.net/en-us/security/freshly-disclosed-vulnerability-cve-2021-20090-exploited-in-the-wild">資安業者Juniper於8月6日提出警告</a>，表示攻擊者已經鎖定CVE-2021–20090漏洞，透過位於中國湖北省武漢市的IP位址，利用程式碼（Script）來發動Mirai變種殭屍病毒攻擊，其程式碼檔案的名稱，<a href="https://www.ithome.com.tw/news/143288">與3月Palo Alto Networks揭露的攻擊行動中</a>，所出現的程式碼相似。由於兩起攻擊行動的時間點相當接近，Juniper研判，兩起攻擊行動很可能是由相同的駭客所為。</p> <p>針對此起攻擊行動，Juniper亦公布攻擊來源IP位址、程式碼檔案的雜湊值等入侵指標（IOC），以供企業偵測是否遭到入侵的跡象。</p> </div></div></div>
2021/8/9 13:24作者周峻佑https://www.ithome.com.tw/news/146091
安全廠商釋出PetitPotam漏洞非官方修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/145919" target="_blank">上周安全研究人員揭露</a>新的Windows網域控制器（domain control）漏洞PetitPotam。在微軟趕製修補程式期間，<a href="https://blog.0patch.com/2021/08/free-micropatches-for-petitpotam.html" target="_blank">安全廠商先釋出修補程式</a>，供有緊急需求的企業下載。</p> <p>PetitPotam是由安全研究人員Gilles Lionel揭露Windows NT LAN Manager (NTLM)中繼攻擊（NTLM relay attack）的新手法。它是濫用微軟加密檔案系統遠端協定（Microsoft Encrypting File System Remote Protocol，EFSRPC）強制Windows裝置，包括網域控制器（domain controller，DC）驗證由攻擊者控制的遠端NTLM relay伺服器的連線。只要某臺Windows裝置驗證了惡意NTLM伺服器，攻擊者就可以竊取其雜湊和憑證，然後冒用這臺裝置身份及其權限。</p> <p>CERT/CC安全研究專家<a href="https://www.kb.cert.org/vuls/id/405600" target="_blank">Will Dormann說明</a>，這項漏洞和攻擊手法可能讓駭客接管整個網域，包括發佈新的群組政策，或在所有連線端點上植入惡意程式。</p> <p><a href="https://support.microsoft.com/en-us/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429" target="_blank">微軟上周提供緩解方法</a>，建議用戶關閉沒必要的NTLM（即DC），或是啟動「驗證延伸保護（Extended Protection for Authentication）」機制來保護Windows伺服器上的登入帳密。此外微軟建議啟動NTLM的網路應使用SMB簽章等功能來執行NTLM驗證。但是微軟當時尚未能提供修補程式。</p> <p>但新研究人員Mitja Kolsek指出，微軟的作法暗示他們並不認為這是一個漏洞，而只是組態不正確，才會只提供一般性的緩解建議。</p> <p>PetitPotam影響Windows Server 2008 R2、2012 R2、2016及2019。0Patch釋出的修補程式可在微軟釋出官方更新前，解決上述版本漏洞問題。用戶需註冊才能從其網站（0patch.com）下載。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-SedIwXy1UpE/YQ03Dxa2djI/AAAAAAAAAvE/l8fTfyTa6ogxRpehhvF3q9bzRdjLoKNRQCLcBGAsYHQ/w640-h320/Vuln_7174_NO-CVE-PetitPotam_PatchCard_Twitter_506x253.png" style="width: 600px;" /></p> <p>0Patch測試證實，PetitPotam並不影響Server 2012（非R2）、2018（非R2）以及Server 2003。</p> <p>知名安全研究人員<a href="https://twitter.com/gentilkiwi/status/1424519720691175424" target="_blank">Benjamin Delpy昨日表示</a>，現在期望本周的Patch Tuesday可以提供PetitPotam、Hivenightmare（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934" target="_blank">CVE-2021-36934</a>）與Printnightmare的官方更新。<a href="https://www.ithome.com.tw/news/145630" target="_blank">但微軟認為</a>Printnightmare已經修補好了。</p> </div></div></div>
2021/8/9 13:17作者林妍溱https://www.ithome.com.tw/news/146090
IoT雙周報第97期：新竹物流拔頭籌，臺灣首輛物流自駕車開始上路實測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>07/24~08/06精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">國產自駕車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新竹物流 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣首輛物流自駕車開始上路測試</strong></span></p> <p>經濟部近日公布「無人載具科技創新實驗計畫」最新一批核准的實驗案，其中工研院獲准在新竹市市區道路進行物流自駕貨車的測試，這也是國內物流開放場域測試的自駕車第一案。</p> <p>在這項實驗案中，工研院將與新竹物流合作，以自駕貨車行駛往反新竹與竹科兩個配送營業所送貨，來回全長約1.9公里。自駕測試期間為期1年，從今年7月15日起至明年7月14日止，這段期間，自駕貨車將會每天行駛，並以時速40公里行駛於一般車道，測試時段也配合一般物流作業時間，分為早中晚3個時段。</p> <p>新竹物流與工研院計畫使用2輛小型自駕貨車來進行這項實驗。除了這項實驗案以外，截至今年8月為止，國內已有14案通過經濟部申請，其中自駕車測試案占近九成，涵蓋了自駕車、自駕巴士、自駕公車，另外有兩案是自駕船測試。（<a href="https://www.ithome.com.tw/news/146021">完整報導可參考此篇</a>）</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 民生公共物聯網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國網中心 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>政府民生公共物聯網規畫使用Band 20頻段作為實驗網路專用頻段</strong></span></p> <p>在近日一場線上研討會上，負責整合跨部會民生公共物聯網的國網中心透露，政府已規畫使用Band 20頻段，作為國內民生公共物聯網的實驗網路專用頻段，未來民間業者或政府單位可向NCC申請使用該頻段，通過國網中心骨幹核心網路蒐集資料，並經由民生公共物聯網資料服務和外界分享資料，促進國內民生物聯網公私協力、資料共享。</p> <p>國網中心表示，採用Band 20頻段一大好處是，能夠使得民生公共物聯網可以擴大應用範圍，例如在網路通訊無法深入的偏遠地區也能用，且與4G、5G行動網路相比，其網路布建成本較低。</p> <p>目前國網中心已和業者、地方政府合作，示範Band 20在場域的物聯網應用可能性。像在雲林縣的甘藷契作農地利用Band 20頻段，搭配微型基地臺，在室外田地及溫室兩處，蒐集室內室外微氣候、土壤數據，再結合民生公共物聯網的大環境監測數據，供農家進階種植、溫室裁培的參考。</p> <p>臺南市的水利防災則是另一個示範場域應用，他們在臺南市易淹水熱區的平地及山區，利用Band 20實驗網路蒐集數據型資料之外，也整合影像資料，降低淹水警訊誤報的可能性。例如當偵測到發生淹水的第一時間，通知抽水站準備溫機、啟動抽水機，以快速因應淹水的防災應用。</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS IoT SiteWise Edge推出正式版，能支援工業邊緣運算應用執行</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.png" style="width: 600px; height: 248px;" /></p> <p>去年底re:Invent 2020大會上，AWS 發布了AWS IoT SiteWise Edge新服務，不過一開始僅提供預覽版，經過半年多測試後，直到近日， AWS終於推出正式版。AWS IoT SiteWise Edge是AWS IoT SiteWise 所提供一項邊緣運算新功能，AWS IoT SiteWise是一個工業物聯網託管服務，可用於管理工業設備產生大量數據，並提供監控與數據分析。</p> <p>新增的AWS IoT SiteWise Edge功能，則是更進一步提供邊緣運算執行能力，讓企業可以使用它就近在本地端設備進行蒐集並且處理，因此，設備資料不一定要傳雲。</p> <p>這項服務也整合了AWS IoT Greengrass邊緣運算軟體，除了可以安裝在AWS Outposts或AWS Snow家族運算設備，即使是第三方工業閘道器也能裝。AWS IoT SiteWise Edg支援常見的三種產業協定，OPC-UA、Modbus TCP和EtherNet/IP等。</p> <p>在收費方案上，除了資料蒐集部分免費外，在資料處理部分則依使用該服務的工業閘道器裝置數來計價，每個裝置每月收費200美元。</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自駕車硬體 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Comma.ai </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國開源自駕車軟體新創Comma.ai推出新一代自駕硬體套件，性能更強大</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/c3-0_640x480.jpg" style="width: 600px; height: 400px;" /></p> <p>以開源自駕車軟體而聞名的美國自駕AI 新創Comma.ai近日在首場Comma_Con技術會議上，發布新一代自駕硬體套件Comma Three。新硬體整合更強大處理性能，配備解析度更高的自駕螢幕，未來可搭配其開源自駕車軟體Openpilot，安裝在使用者汽車上，提供更進階自動駕輔助的功能。</p> <p>目前Openpilot在全球各地使用者也不少，根據官方統計數據，截至去年，至少已有超過數千名汽車駕駛安裝使用（裝置連線數量），前三名是美國、韓國、加拿大，臺灣則排第四，約百人使用。該軟體目前更新到0.8.6版，可以支援超過130款市售車款安裝。</p> <p>在搭配自駕硬體部分，相較於前一代，這代自駕硬體不僅重新設計，採用高通Snapdragon 845處理器，搭配2,160x1,080像素的OLED顯示螢幕，不再使用現成手機硬體來改裝。在影像感測器方面也大幅升級，除了螢幕前後配備兩顆全景鏡頭，可用於前方路況影像偵測與車內駕駛監控，另外在螢幕前方還裝了一顆窄視角的特寫鏡頭，可用於識別遠處物體。這3顆攝影鏡頭皆可提供1080p影像解析度，且支援120dB寬動態，可以清楚分辨明暗場景的細節。</p> <p>另外，Comma Three同樣內建高精度GPS、紅外線 LED，並且也支援LTE、WiFi等功能，以及支援USB 3.1 Gen 2等。在價格部分，這代硬體售價比前一代貴不少，每個Comma Three硬體套件售價2,199 美元起，約臺幣6萬元左右。目前已推出市場。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">自駕小巴 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 東京奧運 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>日本東奧部署數十輛自駕小巴載送選手往反比賽會場</strong></span></p> <p>近期於東京奧運舉行期間，日本主辦方在選手村部署了數十輛e-Palette自駕小巴，用來接送選手和官員往反選手村和比賽場地之間。這輛奧運自駕小巴是由日本豐田所開發打造而成。自駕小巴的車身最多可容納20人，並可以19公里時速在道路上自動行駛，在行駛過程中，這輛自駕小巴也會根據周遭環境調整速度，或避開前方障礙物。車上還有配置一名駕駛，以便在異常狀況時可以採取緊急停止等措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TINYMCE_202103171306560AGI0EB5.jpg" style="width: 600px; height: 383px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IoT應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 停車塔 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣有停車塔業者開始導入IoT技術，結合App預約改善機械停車場使用體驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963-IoT%E9%9B%99%E9%80%B1%E5%A0%B1.png" style="width: 600px; height: 318px;" /></p> <p>臺灣有家停車塔業者，從去年開始與工業網通設備商四零四科技合作，在自家經營停車塔試導入IoT技術，用來改善機械停車場使用者體驗，同時幫助建商達到活化停車場資產。</p> <p>由於住宅或商辦大樓依建築物大小不同，搭配停車塔約可停放30∼50車位不等。為了縮短住戶取車等待時間，這家停車塔業者最近推出一支App，讓住戶可以事先預約他們想要出車的時間，將原本尖峰時間出車等待時間，減為原來2分之一，約4∼6分。這支App背後的通訊機制，就是經由物聯網，來與地端停車場控制的PLC系統做溝通。他們在停車場部署IoT閘道器，並使用AWS IoT Core雲端服務來提供裝置的連接與身份認證，確保PLC連網的安全性。今年初展開首次PoC測試，並從小規模做驗證做起，截至上半年完成了10到20個停車塔的IoT裝置部署。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IoT裝置 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蜂巢式物聯網 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>2020年全球蜂巢式物聯網裝置增長12%，達到17億個</strong></span></p> <p>物聯網市調機構Berg Insight在最新IoT研究報告指出，2020年全球蜂巢式物聯網裝置數量增長了12%，達到 17.4億個。在所有地區中，以西歐和北美的成長最高，達到 15%的增長。該報告也預測，到了2025年，全球使用蜂巢式網路連接的物聯網裝置，數量更將翻倍成長，達到37.4億個。</p> <p>圖片來源/Comma.ai、AWS、豐田</p> <div> </div> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></p> <p><strong>1.捲土重來！Alphabe成立新公司Intrinsic，瞄準AIoT工業機器人應用</strong></p> <p><strong>2.英電信商Vodafone宣布其打造的英國NB-IoT通訊網路，可達到98%的全國覆蓋</strong></p> <p><strong>資料來源：iThome整理，2021年8月</strong></p> </div></div></div>
2021/8/9 10:54作者余至浩https://www.ithome.com.tw/news/146085
Google Unattended Project Recommender可檢查閒置的雲端軟體專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於企業使用的雲端資源愈來愈多，許多軟體專案被閒置或少用造成無謂的浪費，甚至帶來安全風險。<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-launches-unattended-project-recommender" target="_blank">Google近日宣布</a>一項新服務Unattended Project Recommender，幫企業找出這些軟體專案並提供解決建議。</p> <p>企業常因測試環境不再使用、專案取消、專案擁有人轉換工作等原因，造成軟體專案廢棄、閒置或被遺忘。這些專案持續浪費雲端資源、形成無謂支出，而且造成安全漏洞，像是防火牆開口或是有特權的服務帳號憑證等，後者落入攻擊者手中可能使其存取企業雲端資源，用來挖礦或竊取公司敏感資料。而少用或廢棄的軟體專案往往不會套用到最新的安全最佳實作（best practice）或是安全修補程式，日子愈久愈成為安全未爆彈。Google指出，雲端上有數千個廢棄軟體專案的企業並不在少數。</p> <p>Unattended Project Recommender是Google Active Assist的新功能，可提供發現、回收和關閉少用專案的整合式工具。它是結合Google Cloud Monitoring等服務的機器學習技術，蒐集及分析API和網路活動、計費、雲端服務使用量、及其他訊號來辨識、找出已廢棄在某個角落的專案，並提供矯正建議，藉此減少資源浪費及降低安全風險，它還能提供企業有用資源，如評估是否真的是廢棄專案、刪除會不會影響營運或造成資料不可逆的損失等等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-google%20cloud%20by%20google-600.jpg" style="width: 489px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>Unattended Project Recommender透過Recommender API整合企業現有工作流程管理、通訊工具，也可輸出報表結果到Google BigQuery表格提供定製化分析。</p> <p>Unattended Project Recommender今年在Google內部測試後，已經提供數家Google Cloud客戶試用，並於近日<a href="https://cloud.google.com/recommender/docs/unattended-project-recommender" target="_blank">以beta 版開放公眾測試</a>。</p> </div></div></div>
2021/8/9 12:04作者林妍溱https://www.ithome.com.tw/news/146087
傳Google將在矽谷新建廠區，鄰近硬體研發中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2021/08/06/google-planning-silicon-valley-campus-hardware-lab.html" target="_blank">CNBC報導</a>，Google計畫在矽谷建立一個鄰近硬體研發中心的新廠區。</p> <p>CNBC取得Google內部一份早期計畫中，關於研發中心的章節提及一個興建硬體研發中心及新廠區的建物計畫。根據報導，這座新廠區位於Google總部所在地的加州山景市（Mountain View），及甫通過將建立綜合式廠區的聖荷西市之間，因而計畫中稱為中點（Midpoint）。</p> <p>中點位於一個也是計畫中的硬體研發中心附近。根據外洩的Google文件，硬體研發中心包含三座工業建物，主要用於生產「Google硬體」及「Nest裝置」，報導並引述Google指出，該研發中心並可作為儲存鄰近廠區營運需要的辦公設備及物料之用。</p> <p>而在這硬體研發中心附近即是名為「中點」（Midpoint）的新廠區。報導指出，Google自2018年斥資3.9億美元在北聖荷西區購地，可能是為了新廠區準備。</p> <p>最新計畫書顯示，這個新廠區對外界開放，包含五棟建物，彼此以空中聯絡道相連。從空間規劃來看，其中一棟建物20%用於辦公室，80%則將用於可能是硬體產品原型的製造、倉儲、物流及其他用途，似乎是支援硬體研發中心之用。根據規劃，新的廠區可能容納3500名員工。</p> <p>但Google官方拒絕對名為「中點」的新廠區做出評論。</p> <p>這也顯示Google力推硬體產品的企圖心。在現任Google硬體主管Rick Osterloh轄下，Google整頓了硬體產品，包括<a href="https://www.ithome.com.tw/news/130480" target="_blank">智慧家庭產品品牌改為Nest</a>，買下Fitbit作為智慧手錶產品線，以外還有Pixelbook、Pixel智慧型手機，但是迄今Google硬體產品對公司整體營收仍然很小。為了使Pixel手機在規格上與iPhone或三星手機抗衡，<a href="https://www.ithome.com.tw/news/146013" target="_blank">上周Google宣布</a>，預計今年秋天上市的Pixel 6手機將採用自行設計、可支援AI作業的Tensor晶片。</p> </div></div></div>
2021/8/9 12:17作者林妍溱https://www.ithome.com.tw/news/146088
Cloud PC是真的PC嗎？關鍵特色大剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在7月15日，微軟執行長Satya Nadella在今年全球夥伴大會上，發表了全託管的虛擬桌面雲端服務Windows 365，可以在雲端提供一臺Windows環境的虛擬PC，讓使用者在任何裝置上，遠端操作這臺虛擬PC，號稱可以做到像操作身旁的實體PC一樣的體驗。所以，Satya Nadella更直接將這款虛擬PC，命名為Cloud PC（雲端電腦），形容這是一款全新型態的PC物種。</p> <p>而Cloud PC這個名詞，立刻成了IT圈的熱門話題，眾人都好奇想，雲端PC真的可以像一臺放在雲端的PC，和實體的桌上型電腦或筆電，用起來的感覺和功能，一模一樣嗎？</p> <p><span style="font-size:28px;"><strong>Cloud PC底層技術就是VDI，但商業模式截然不同</strong></span></p> <p>從技術角度來看，微軟新發表的Windows 365服務，和系統軟體廠商與公有雲服務業者提供的桌面雲，其實一樣，都是採用了VDI技術來實現的雲端虛擬桌面基礎架構（Cloud VDI），甚至Windows 365服務就是使用了微軟自家桌面雲Azure Virtual Desktop做為底層，但兩者最大的不同是服務提供模式的差異。</p> <p>Windows 365採取完全託管基礎架構的純SaaS服務形式，企業不需要也不能管理提供虛擬桌面環境的VDI基礎架構，簡單來說，Windows 365和Azure Virtual Desktop都是提供了一臺虛擬機器，安裝Windows環境，再提供給使用者來登入使用。</p> <p>但是，在管理上，Windows 365服務不需要管理虛擬機器，而在Azure Virtual Desktop桌面雲的管理上，企業得自己管理虛擬機器。微軟也主打Windows 365的簡單易用性，宣稱以SaaS模式提供，可以減少不少VDI管理和雲端維運的複雜度。</p> <p>除了服務提供形式不同，計價方式也不一樣，Windows 365採取每人每月的固定費用計價，而Azure Virtual Desktop則按企業所使用的運算資源、儲存空間、頻寬流量來計價，用越多越久，費用就越高。</p> <p>不過，Windows 365的擴充彈性有限，因為採取套餐式的選配作法，目前企業版和商務版各提供12種組合，來搭配vCPU、記憶體和SSD儲存空間，企業只能在這些規格組合中選擇，無法完全自訂。這就比不上Cloud VDI可以任意購買更多IaaS資源來擴充的彈性，有些Azure Virtual Desktop可支援的高階功能，例如GPU支援，Windows 365也還未支援，微軟表示，後續才會推出。</p> <p class="rtecenter"><img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1037%E6%96%87%E5%AD%97%E6%AA%94/1037-cover2/1037-30-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-%E8%B1%86%E5%AD%90-web-resources/image/%E5%9C%962%E6%AF%94%E8%BC%83.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962%E6%AF%94%E8%BC%83.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Cloud PC和Cloud VDI都是採用桌面虛擬化架構，但兩者的商業模式截然不同。</strong>（圖片來源／微軟）</span></p> <p><span style="font-size:28px;"><strong>微軟Cloud PC鎖定6種需求情境</strong></span></p> <p>有了桌面雲服務的形式，為什麼微軟還要推出這種全代管SaaS服務形式的Cloud PC服務呢？臺灣微軟Microsoft 365事業部副總經理朱以方直言，這是為了鎖定混合辦公需求而打造的服務。</p> <p>微軟主要鎖定了6種需求情境，包括如需要強化資料安全的情境，需要藉助雲端運算來提供高效能運算的需求，或是要在自帶設備（BYOD）上使用企業辦公環境的需求，還有針對災難復原的需求，例如透過Cloud PC方便建立備份來避免勒索軟體的威脅，還有因應臨時性人力，可以快速在1、2個小時快速備妥工作用的PC環境，減少實體採購等待時程，另外也鎖定企業合併或收購過程的臨時性PC需求。</p> <p>Windows 365主打按人頭計價的的固定費用方式，對企業來說並不陌生，近幾年，越來越多企業採取以租代買的方式，來採購企業內部使用的PC或筆電。臺灣也有不少SI廠商或甚至是筆電業者，直接提供這類以租代買的方式。緯謙科技是其中一下提供這類以租代買筆電服務的業者。</p> <p>緯謙科技副總經理羅傳璽表示，近幾年越來越多臺灣企業採取以租代買的方式，來採購筆電提供給員工辦公使用。一來因為可以將原本採購PC或筆電的設備資產採購費用，轉為租金形式的費用，可以列入企業營業成本，達到減少扣稅稅額的效果。</p> <p>另外，用以租代買方式，企業也可以將繁瑣的員工辦公用電腦的維修工作委外，來減少IT部門的負擔。在這一波疫情之下，因為居家辦公需求，也有企業用以租代買的方式來準備員工在家的電腦，例如就有遊戲業者利用以租代買的方式來準備研發人員在家辦公的筆電。</p> <p>羅傳璽認為，Cloud PC的服務模式，對企業來說，並不陌生，與過去以租代買筆電的作法類似。不過，羅傳璽觀察，Window 365更大的意義，不只是將PC搬到雲端，而是將員工的辦公環境都搬到雲端。因為Windows 365在企業版中也要求必須購買Microsoft 365授權，換句話說，這臺雲端的Window 365也同時可以提供微軟的Office 365服務。</p> <p>若用3年租用一臺文書作業等級的筆電，加上維護費用來看，一臺筆電每月租金約1千元，再加上文書軟體費用月租費，與Windows 365企業版最低租金每月每人1,120元相當，這也意味著，Windows 365企業版最低階規格的價格和以租代買實體筆電的費用相去不遠。</p> <p><span style="font-size:28px;"><strong>商務版和企業版的管理功能和價格結構大不同</strong></span></p> <p>Windows 365進一步區分成兩種版本，商務版和企業版，雖然都提供一樣的Windows體驗環境，規格各有不同，但這兩種版本最大的差異是管理功能截然不同。甚至可以說，商務版只有最簡單的授權管理功能，而裝置端點管理功能得要企業版才有。</p> <p>這兩個版本還有一個更大的差別是價格結構，商務版本只需要購買Windows 365授權即可，但是企業版，除了一份Windows 365授權，還需要購買一份Microsoft 365的授權。</p> <p>另外在頻寬流量上的定價也有差異，商務版採輸出流量上限的作法，每月可輸出的資料量有上限，依據不同規格而定，而企業版則是比照Azure頻寬計費方式，按用量計價，對外流量越多，費用越高，這也是企業導入時需要留意的地方。</p> <p>根據微軟資料，因為都是採取同樣的Windows作業系統，因此可說是一模一樣的操作體驗，但受限於遠端操作的影響，操作順暢性則與各自網路環境有關。另外，因為Cloud PC可以透過瀏覽器或遠端桌面用戶端程式來登入，對於實體裝置的周邊能力的支援也有不同，不一定能提供完整的周邊支援。</p> <p>回到開頭問題，Cloud PC真的和實體PC一樣嗎？對使用者來說，答案是沒錯，但從管理角度來說，仍有不一樣之處，企業仍仔細評估需求來決定是否採用。</p> <p class="rtecenter"><span style="color:#696969;"><img alt="" src="file:///D:/iThome/%E5%AE%8C%E7%A8%BF/1037%E6%96%87%E5%AD%97%E6%AA%94/1037-cover2/1037-30-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-%E8%B1%86%E5%AD%90-web-resources/image/%E5%9C%963-%E9%83%A8%E7%BD%B2%E6%B5%81%E7%A8%8B.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%83%A8%E7%BD%B2%E6%B5%81%E7%A8%8B.jpg" style="width: 600px;" /></span></p> <p><span style="color:#696969;"><strong>Windows 365企業版提供了進階管理功能，方便快速部署大批的Cloud PC。</strong>（圖片來源／微軟）</span></p> </div></div></div>
2021/8/9 07:00作者王宏仁https://www.ithome.com.tw/news/146043
10個IT最想知道的Windows 365疑問
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對企業IT來說，管理員工所用的個人裝置是一項繁瑣的日常，BYOD裝置的盛行，居家工作的混合工作型態，再加上數位化越深伴隨的資安風險，都讓企業辦公環境、工作場所的端點管理更顯得複雜也更重要。Cloud PC的出現，無疑多了一種員工個人運算環境的新選擇，是否可以簡化IT人員的負擔，或是帶來更多的混合雲管理的考驗？對IT投資可以更減少成本，或是需要更複雜的精打細算？我們整理出IT管理人員最想了解的10個問題。</p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:28px;"><span style="background-color:#3399ff;"> Q1 </span></span></strong></span><span style="color:#3399ff;"><strong><span style="font-size:28px;"> Cloud PC是什麼？</span></strong></span></p> <p>微軟發表了新的全託管式虛擬桌面服務Windows 365（後簡稱W365），提供按每人每月固定費用訂閱式的虛擬PC服務，也稱其為Cloud PC（雲端電腦），目標是要像企業在內部使用的實體電腦一樣，在雲端提供一臺同樣Windows環境的虛擬個人電腦。員工可以像操作本地端Windows一樣，遠端操作、安裝Windows 10或Windows 11環境中的應用程式。Windows 365還分為兩種版本商務版和企業版。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q2 </span></span> <span style="color:#3399ff;">Cloud PC和DaaS桌面雲服務在技術上有何不同？</span></strong></span></p> <p>從技術上來看，兩者都採用桌面虛擬化技術（VDI），但在實現方式上略有不同，另外在服務提供模式和計價方式上也有較大的差異。</p> <p>現行系統軟體廠商與公有雲服務業者提供的桌面雲（Desktop as a Services，DaaS），例如像是微軟自家的Azure Virtual Desktop（AVD）服務，都是一種雲端虛擬桌面基礎架構（Cloud VDI），透過虛擬機器來提供虛擬PC環境，而微軟負責的是IaaS層級的雲端基礎架構託管，但得由企業自己管理雲端的VDI環境。但是，W365則是一種提供Windows桌面環境的SaaS服務，企業不需要也不能管理底層的VDI環境，而必須採取如同管理內部Windows環境的實體個人電腦那樣的管理方式。這類Cloud PC的服務採套餐形式提供，在搭配好的vCPU、記憶體和SSD儲存空間的配置組合中挑選或切換。</p> <p>正因為企業無法管理底層VDI環境，W365的擴充彈性相對有限，無法任意調用雲端資源來擴充vCPU、記憶體或儲存空間，只能在套餐搭配的規格間切換，目前還無法任意擴充。另外，W365目前也沒有像Azure Virtual Desktop可以支援GPU，微軟已經承諾，W365日後將會增加GPU的支援。</p> <p>在儲存空間的功能上，兩者也有很大的不同，透過Cloud VDI提供的虛擬PC，會因為虛擬機器關閉而資料重設，也就是說，Cloud VDI提供的虛擬PC，重新開機後，原本的資料就會消失不會保留，得自行把產生的資料複製到其他儲存空間上。而W365所建立的Cloud PC，就會保持原本的狀態和資料，就算重新開機，授權給同一個使用者的這一臺Cloud PC，登入後就會看到一樣的畫面和同樣的資料，不會消失。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-W365%E7%99%BB%E5%85%A5%E7%95%AB%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="text-align: right; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Windows 365提供了一臺雲端的Windows環境虛擬機器，可以透過瀏覽器或遠端桌面程式，就能在不同裝置上遠端操作這臺虛擬PC。</strong>（圖片來源／微軟）</span></p> <p><strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q3 </span></span> <span style="color:#3399ff;">Cloud PC和DaaS桌面雲服務的計價方式有何不同？</span></span></strong></p> <p>Cloud PC和DaaS的計價方式是兩種截然不同的思維，DaaS採取按用量計價的計價方式，而Cloud PC則採取每人每月固定費用的訂閱設計。像微軟AVD或其他Cloud VDI服務也類似，計價方式會依照所用運算資源不同、租用時間長短、儲存空間多寡、對外網路傳輸資料量多寡，大致與IaaS服務一樣的按用量計費，用越多費用越高。W365則按每人每月收取固定費用，依所選的規格套餐而定，規格越好訂閱費用越高，目前有12種套餐規格，類似企業租用一臺實體電腦按月付租金的概念。不過，W365可以隨時停止訂閱。</p> <p>不過，W365企業版對於頻寬計價上，仍採取按用量計價的作法，輸出資料的傳輸量比照Azure網路頻寬的計價方式，流量越多，費用越高。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q4 </span></span> <span style="color:#3399ff;">W365和實體PC提供的Windows環境一樣嗎？</span></strong></span></p> <p>幾乎一樣。對使用者操作來說，就是一樣的Windows作業系統，但對管理者來說，W365的管理機制略有不同，最大差別是，W365提供的Cloud PC，一臺只能有一個使用者帳號，無法開設多個使用者帳號來共用一臺Cloud PC。這也連帶影響到使用者權限管理機制， W365使用者在他所用的Cloud PC會預設具有管理者權限，可以自行安裝軟體到Cloud PC上，這一點也與實體PC的帳號權限管理方式不同。W365企業版可以結合群組權限來管理，而W365商務版則無法異動使用者帳號的權限。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> Q5 </span><span style="background-color:#ffffff;"> </span></strong></span></span><strong style="font-size: 28px;"><span style="color: rgb(51, 153, 255);">使用者如何登入Cloud PC？</span></strong><strong style="font-size: 28px;"> </strong></p> <p>目前主要有兩種登入方式，一種是透過瀏覽器打開W365入口網站來登入Cloud PC，另一種方式是在筆電、PC或平版上安裝遠端桌面用戶端程式（Remote Desktop Client），這就不只Windows，也可以支援iOS和Android環境上登入。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q6 </span></span> <span style="color:#3399ff;">W365是頻寬吃到飽的服務嗎？</span></strong></span></p> <p>不是，商務版本有每月對外網路流量的資料總量上限，簡單來說，Windows 365商務版的每個月網路輸出資料量有固定額度，用完就無法使用，例如最低規格1個vCPU/2 GB/64 GB的組合，每個月輸出資料量是12 GB。不過，微軟還沒有揭露用完後否可以加購。</p> <p>而企業版則是按用量收費，比照Azure網路頻寬收費方式來計價，針對同雲端區域內、同一洲、跨洲資料傳輸各有不同的用量費用。也就是說，除了原本的每人每月費用之外，W365企業版還需要依據對外網路流量多寡來付費，從Cloud PC輸出的資料量越多，額外付出的費用也會越高。</p> <p>不過，因為W365企業版還必須搭配購買Microsoft 365授權才能使用，換句話說，企業版使用者也會因此同時購買了Office 365的功能和雲端硬碟OneDrive服務的儲存空間，OneDrive服務沒有頻寬流量的限制，也不用按用量計價，因此，使用者可以改將資料儲存到OneDrive上來提供給其他人下載，就可以節省W365對外輸出資料量的費用。或者，當使用者透過Office 365的雲端服務，而非使用安裝在Cloud PC內的Office軟體，也同樣不需要負擔Office文件傳輸的流量，例如用裝置上另外安裝的Teams App，而不是登入Cloud PC後在裡面用Teams進行視訊也可以節省頻寬費用。</p> <p><strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q7 </span></span> <span style="color:#3399ff;">W365商務版和企業版有何不同？</span></span></strong></p> <p>除了各自的配置規格不同之外，需要購買的授權也不同。W365商務版只需要購買商務版授權即可。然而，若要購買W365企業版時，還需同時擁有Azure subscription帳號資格和購買Microsoft 365授權。另外在管理功能的差異也很大，簡單來說，商務版主要提供基本使用者帳號指派和Cloud PC建立（無法客製），而沒有更多管理機制，IT人員必須一臺一臺登入Cloud PC後，利用傳統管理工具來進行。企業版比商務版增加了許多IT管理功能，也提供與企業本地端環境的整合機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%AF%94%E8%BC%83%E8%A1%A8-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Windows 365分為商務版（Business）和企業版兩種，最大差別是企業版本才有許多進階的管理功能。</strong>（圖片來源／微軟）</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q8 </span></span> <span style="color:#3399ff;">Cloud PC如何安裝App？</span></strong></span></p> <p>W365企業版可以使用自訂的映像檔，來預載需要的軟體，也可透過 Microsoft 端點管理員系統來進行群組派送App。而W365商務版則需要一臺一臺登入後來逐一安裝。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q9 </span></span> <span style="color:#3399ff;">訂閱停止後，我的資料會刪除嗎？</span></strong></span></p> <p>比照M365資料處理標準原則，付費訂閱結束或終止後，使用者還儲存在Cloud PC上的資料至少保留90天。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> Q10 </span></span> <span style="color:#3399ff;">那些Azure區域目前有提供？</span></strong></span></p> <p>截至8月5日為止，目前包括美國東部、美國東部 2、美國西部 2、美國中南部、東南亞、澳大利亞東部、北歐、西歐、英國南部、加拿大中部、印度中部、日本東部、法國中部等Azure區域可提供。</p> </div></div></div>
2021/8/9 07:00作者王宏仁https://www.ithome.com.tw/news/146044
圖解如何建立一臺Cloud PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 365企業版搭配Microsoft Endpoint Manager管理中心，可以用來管理和部署整批的Cloud PC，我們分為12個步驟的圖解，來介紹如何建立一臺Windows 365企業版的Cloud PC。不過，Windows 365商務版則沒有這些進階管理機制，得一臺一臺登入後來設定。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟1 </span></span> <span style="color:#3399ff;">準備Azure訂閱帳號</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-Azure%E8%A8%82%E9%96%B1.jpg" style="width: 600px;" /></p> <p>要開始使用Windows 365企業版建立Cloud PC的第一件事，就是要準備一個Azure訂閱帳號，這是用來管理Windows 365帳號和群組權限的關鍵。商務也同樣需要使用Azure訂閱帳號來將Cloud PC指派給使用者。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟2 </span></span> <span style="color:#3399ff;">建立本地端連結</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%BB%BA%E7%AB%8B%E6%9C%AC%E5%9C%B0%E7%AB%AF%E9%80%A3%E7%B5%90.jpg" style="width: 600px;" /></p> <p>有了Azure訂閱帳號後，企業IT管理者若希望Cloud PC也可以和企業本地端的環境整合使用，或是只用同樣的AD管理作法，也要先建立Azure AD和本地端AD的連線，這是一項Windows 365企業版才提供的功能。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟3 </span></span> <span style="color:#3399ff;">建立vNET虛擬網路</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%BB%BA%E7%AB%8BVNET.jpg" style="width: 600px;" /></span></strong></span></p> <p>接著，必須確保Cloud PC可以存取本地端環境的各種資源，必須設定虛擬網路vNET，才能讓Cloud pC存取本地端檔案或內網等。尤其要注意的是vNET的DNS伺服器設定必須正確無誤，這會用來後續設定Cloud PC可以使用的虛擬網路。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟4 </span></span> <span style="color:#3399ff;">使用M365管理中心</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%99%BB%E5%85%A5M365%E7%AE%A1%E7%90%86%E4%B8%AD%E5%BF%83.jpg" style="width: 600px;" /></span></strong></span></p> <p>建立Azure AD連線和虛擬之後，就開始進入Cloud PC的設定工作。要改用Microsoft 365管理中心來進行，企業必須先購買Windows 365的企業版授權和Microsoft 365的授權，才能開始進行Cloud PC配置。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟5 </span></span> <span style="color:#3399ff;">指派W365給使用者</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%8C%87%E6%B4%BEW365%E7%B5%A6%E4%BD%BF%E7%94%A8%E8%80%85.jpg" style="width: 600px;" /></span></strong></span></p> <p>IT要在Microsoft 365管理中心上，建立要使用Cloud PC的使用者帳號，再來派這些使用者帳號，各自需要的不同規格Cloud PC授權。從圖右可以看到，一個使用者必須同時有兩種授權，W365和M365授權。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟6 </span></span> <span style="color:#3399ff;">建立W365的MEM管理群組</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-%E5%BB%BA%E7%AB%8B%E7%AE%A1%E7%90%86%E7%BE%A4%E7%B5%84-%E6%8A%8AW365%E5%8A%A0%E5%85%A5MEM%E7%AE%A1%E7%90%86.jpg" style="width: 600px;" /></span></strong></span></p> <p>除了指派Cloud PC授權給說使用者之外，還要在Microsoft Endpoint Manager 管理中心建立Cloud PC的管理群組，最好可以跟AD群組命名方式有延續性，例如都用Cloud PC來識別。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟7 </span></span> <span style="color:#3399ff;">建立W365與本地端環境連結</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%967-%E5%BB%BA%E7%AB%8BW365%E8%88%87%E6%9C%AC%E5%9C%B0%E7%AB%AF%E7%92%B0%E5%A2%83%E9%80%A3%E7%B5%90.jpg" style="width: 600px;" /></span></strong></span></p> <p>管理Cloud PC的主要管理工具，就如同管理本地端PC或裝置一樣，都是Microsoft Endpoint Manager 管理中心，建W365群組後，就可以來建立這個群組與本地端環境的連線，才能將本地端存取能力賦予Cloud PC。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟8 </span></span> <span style="color:#3399ff;">建立W365部署派送政策</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968-%E5%BB%BA%E7%AB%8B%E6%B4%BE%E9%80%81%E6%94%BF%E7%AD%96.jpg" style="width: 600px;" /></p> <p>接著就可以開始建立W365的部署派送政策，並將剛剛設定的本地端連線，指派到這個部署派送政策，作為大量建立Cloud PC之用。這個作法和大量部署本地端PC的作法類似。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟9 </span></span> <span style="color:#3399ff;">可自選映像檔</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%969-%E9%81%B8%E6%93%87%E6%98%A0%E5%83%8F%E6%AA%94.jpg" style="width: 600px;" /></p> <p>在部署派送政策中，Windows 365的企業版可以指定要使用哪一個映像檔，微軟有提供一些預設映像檔，企業也可以自己上傳客製化的映像檔，將想要同時預載的App也預先安裝到映像檔中來部署。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟10 </span></span> <span style="color:#3399ff;">將派送政策指派W365群組</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%9610-%E6%8C%87%E6%B4%BE%E7%BE%A4%E7%B5%84.jpg" style="width: 600px;" /></p> <p>完成Windows 365派送政策後，就可以真正開始進行Cloud PC的派送工作，只要將Windows 365派送政策指派給對應的Windows 365群組後，就可以開始依據政策配置來進行部署Cloud PC。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟11 </span></span> <span style="color:#3399ff;">可以指定預載App</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%9611-%E9%A0%90%E8%BC%89app.jpg" style="width: 600px;" /></p> <p>企業除了可以上傳客製化的Windows映像檔來建立預載軟體之外，也可以透過Microsoft Endpoint Manager 管理中心的App管理功能來派送一支支的Ap，只要先上傳預載AP，並指派給Windows 365群組，就會在他們所用的Cloud PC中預載。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟12 </span></span> <span style="color:#3399ff;">登入Cloud PC</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%9612-%E7%99%BB%E5%85%A5.jpg" style="width: 600px;" /></p> <p>透過Windows 365派送政策來建立Cloud PC需要的時間，從數十分鐘到1、2個小時不等，完成後，使用者就可以透過瀏覽器或者遠端桌面用戶端程式來登入自己的Cloud PC，就如同遠端使用一臺實體PC一樣。</p> <p><span style="color:#696969;">圖片來源／微軟</span></p> </div></div></div>
2021/8/9 07:00作者王宏仁https://www.ithome.com.tw/news/146045
Cloud PC來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1037-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=45RKi1sb" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情帶來的居家辦公模式，加速混合工作模式的普及，也催生了Cloud PC的出現，可以透過筆電、平板或手機，操作同一臺虛擬PC，就如同身旁的實體PC一樣</p> </div></div></div>
2021/8/9 07:00作者王宏仁https://www.ithome.com.tw/article/146058
支付贖金無法抑制資安風險
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經歷2個多月的三級疫情警戒，7月底終於降至二級，然而，臺灣疫苗施打率仍在急起直追，也面臨疫苗供應不足的窘境，民眾擔心無法接種疫苗、又擔心疫苗可靠度、副作用，在此同時，國際間因為變種病毒的高感染率，如今疫情又出現大爆發的狀況，而使得放寬管制的腳步顯得無比艱辛。</p> <p>而這樣的焦慮似乎也反映在相關保險商品的熱賣上。根據媒體報導引用金管會保險局公布的資訊來看，截至8月2日，廣義防疫險投保件數達到1,095萬張，保費收入71.18億元，以人口數來看，廣義防疫險投保率已近48％。</p> <p>反觀資安領域，疫情期間各種網路威脅不停歇，相關的企業用戶風險顧慮，是否會反映在資安險的市場呢？答案是否定的，根據媒體報導引用保險事業發展中心的統計，2020年資安險市場保費約1.1億元（資安險及個資險合計），顯然還有很大的成長空間。</p> <p>為何我們此時想要特別提到資安險的狀況？8月3日，市場調查機構IDC發布消息指出，根據他們召開的「全球事件準備度焦點調查」，亞太地區的組織針對勒索軟體攻擊，可能支付贖金的比例，竟高達44％，而支付的費用來自組織內部或是保險賠償，他們也列出澳洲的意願比例是60％，新加坡則是49％。</p> <p>不過，付了贖金就一定能恢復文件的使用嗎？根據IDC另一項「未來企業韌性調查」指出，82.4%支付贖金的組織取得有效解密金鑰，他們表示，這也意味著有近20％的組織支付贖金卻沒有得到任何回報。</p> <p>而上述敘述當中，讓人憂心的部分，在於可能支付贖金的比例居然如此之高，這與許多資安廠商的建議大相逕庭。例如，Sophos表示，支付贖金並不是取回資料的有效方法，若決定付款，攻擊者平均只會還原三分之二的檔案。</p> <p>Check Point認為，網路犯罪分子使用雙重勒索攻擊之後，企業在權衡支付贖金和花費時間修復系統之間，有時傾向於立即支付贖金，以防寶貴的資料外洩，如此一來便形成了惡性循環。</p> <p>Palo Alto Networks則提到，駭客基於勒索軟體即服務（RaaS）訂閱的模型，勒索手段容易執行也能有效取得贖金，若成功勒索，也能獲得一定比例的收益。</p> <p>而在我們資安主筆黃彥棻今年3月底發布的報導〈<a href="https://www.ithome.com.tw/news/143458" target="_blank">勒索軟體大轉型，防禦難度提升</a>〉裡面，也提到臺灣資安公司奧義智慧共同創辦人叢培侃的觀察分析，當中也回答了贖金去向，以及勒索對象。他說，駭客透過MaaS傀儡網路平臺上架勒索軟體，在每個環節都須支付不少成本，若受駭企業不願支付贖金，駭客集團就無法付錢給上游和中游的供應鏈業者，他們也就會虧本；而這也是駭客集團精準鎖定營收好、好打、國際知名且願意支付贖金的企業，作為標的，並逼迫受害者支付贖金。</p> <p>當然，傳染病疫情與勒索軟體仍有本質上的差異，前者主要是微生物，後者則是人造所致，但災情之所以越演越烈，以及能否防堵與根絕，都與「人」的因素脫不了關係，用金錢作為事後補償，是不得已的自保手段，更重要的是必須設法提升防護力，盡量避免任何非必要的暴露與連結，才能以層層阻絕的方式，局限這類有機攻擊活動範圍。</p> <p>例如，保持社交距離、戴口罩、勤洗手、施打疫苗，以及落實疫調、匡列、隔離，都已是控制疫情的必要手段。</p> <p>而在資安防護的部份，從前端使用者的操作到後端系統的執行，也必須盡可能地實施零信任概念，從防止身分被冒用、預防系統被佔用，到最低權限配置、避免攻擊者與惡意軟體橫向移動，到及早察覺異常、快速反應、反制，也都是做好資安的必要作為，而這些金錢與人力的投資也是必要的。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item odd"><a href="/tags/raas">RaaS</a></div></div></div>
2021/8/9 07:00作者李宗翰https://www.ithome.com.tw/voice/146078
微軟開源Java垃圾回收分析工具GCToolkit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在GitHub上開源用於分析Java垃圾回收日誌檔案的函式庫<a href="https://devblogs.microsoft.com/java/introducing-microsoft-gctoolkit/">GCToolkit</a>，GCToolkit將垃圾回收日誌檔案解析為離散事件，並且提供從這些事件中聚合資料的API，微軟提到，這個工具可以讓使用者創建複雜的分析，了解Java虛擬機器（JVM）中的記憶體管理狀態。</p> <p>JVM中的記憶體管理主要由三部分組成，分別是作為記憶體緩衝區的Java堆（Heap），還有將資料放進Java堆的分配器，以及垃圾回收。雖然垃圾回收負責恢復不再使用的記憶體，但是其實垃圾回收的工作，通常也包含記憶體管理、調校垃圾回收，和調校收集器，因此微軟表示，對於垃圾回收的理解，通常是指調校JVM的記憶體管理子系統。</p> <p>未最佳化的收集器，可能使得應用程式要耗費更多的CPU和記憶體資源，同時還可能會降低終端用戶體驗，微軟認為，收集器調校不當，通常等同於更高的執行成本和更不滿意的用戶體驗。但是要最佳化垃圾回收，需要面臨許多挑戰，因此微軟發布了GCToolkit，協助用戶掌握記憶體的使用狀態，進而簡化最佳化記憶體管理子系統的工作。</p> <p>GCToolkit由3個Java模組構成，API、垃圾回收日誌解析器，以及基於Vert.x的訊息傳遞背板，API模組是GCToolkit的入口點，讓用戶以簡單的方法，使用解析器和Vert.x來分析垃圾回收日誌檔案，解析器模組為正規表示式和程式碼的集合，而Vert.x的訊息背板則使用2條訊息匯流排，第1條訊息匯流排來自資料源，在這匯流排上的監聽者則是解析器，可以把資料源中的資料，轉換成代表垃圾回收周期，或是安全點的事件，接著再將這些事件發布到第2條事件匯流排，事件匯流排上的監聽器，能夠接受和處理感興趣的事件。</p> <p>解析器發出離散的JVM事件，因此用戶就可以編寫程式碼來捕捉和分析這些事件資料，GCToolkit提供了簡單的聚合器和聚合框架，可用來捕捉和分析垃圾回收檔案資料。捕捉事件的程式碼稱為聚合器，分析資料的程式碼稱為聚合器，聚合器可以捕捉多個事件進行分析。</p> </div></div></div>
2021/8/7 23:57作者李建興https://www.ithome.com.tw/news/146074
技嘉科技傳出遭勒索軟體攻擊，該公司公告部分伺服器遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以主機板與顯示卡聞名的國內上市公司技嘉科技，昨日傳出遭勒索軟體攻擊，今日該公司於傍晚於國內證券交易所，發布資安事件即時重大訊息，證實有少部分伺服器遭遇網路攻擊，目前已將偵測到的狀況通報執法單位與資安單位，並表示公司生產、銷售與日常營運都不受影響。</p> <p>關於這起事件，在昨日8月5日早上，我們在資安社團看到多名網友討論技嘉遭勒索軟體攻擊，以及資料被竊取的消息，也有其他網友公布相關資訊，包括疑似擷取自暗網的圖片，內容指出重要文件洩漏自newautobom.gigabyte.intra，以及git.ami.com.tw等。</p> <p>今日8月6日下午4時，技嘉在證交所發布重大訊息，說明他們遭受網路攻擊，指出有少部分伺服器遭網路攻擊，當下已進行資安事件處理，包括技嘉本身的資安團隊已經與多家外資安業者共同合作因應，同時也通報政府執法機關。他們同時表示，受到影響的內部服務，均已陸續回復運作。</p> <p>目前，技嘉尚未公布相關初步調查結果，而根據技嘉的說明，該公司是在8月6日遭受駭客網路攻擊，不過昨日8月5日早上已有相關討論，因此，這次事件的詳細調查結果，仍有待技嘉公布。現在我們也正向技嘉進一步了解情況。</p> <p>對於這次網路攻擊可能造成的營運衝擊，技嘉在上述重大訊息公告已有說明，包括生產、銷售與日常營運，都不會有影響。</p> <p>無論如何，近年國內大型科技業者一再傳出遭遇勒索軟體攻擊的消息，例如，最近幾個月，在5月底，威剛威剛科技揭露遭病毒攻擊事件，相隔10多天後，國外資安媒體報導是Ragnar Locker勒索軟體所為；在6月初，國內上市公司翔名科技也揭露該公布部分資通訊系統遭攻擊。因此，如何持續強化公司資安防護，以及提升資安事件應變能力，將是企業持續關心的重點。</p> <p>而之前國內已有許多國內資安專家指出，近年駭客組織的勒索軟體攻擊在趨勢上，都採兩手策略，也就是在加密企業資料之前，先竊取這些企業資料，一旦企業不願意為了被加密的資料支付贖金解密，便會在網路上公布這些企業資料再次要脅。</p> </div></div></div>
2021/8/6 21:20作者羅正漢https://www.ithome.com.tw/news/146075
Google翻新Nest家用保全系列產品，電池版監視器及門鈴登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-nest/new-google-nest-latest-cams-and-doorbells-are-here/" target="_blank">Google在周四（8/5）更新</a>了智慧家庭品牌Google Nest的家用保全系列產品，包括升級Google Nest Cam監視器，推出只要99.99美元的室內監視器Nest Cam，首款擁有探照燈功能的監視器Google Nest Cam with floodlight，以及首批由電池供電的Google Nest Cam與Google Nest Doorbell。</p> <p>以往 Google Nest不管是監視器或是門鈴，都是插電的，這次Google推出了以電池供電的版本，讓使用者可安裝在任何想要的地方，電池版監視器可安裝在室內或戶外，價格為179.99美元，電池版門鈴的售價亦為179.99美元，至於第二代的插電Google Nest Cam監視器價格同樣為179.99美元。Google Nest上一代的插電版門鈴為229美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-nest%20cam%20battery.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-nest%20door%20bell%20battery.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>至於首款具備探照燈的監視器Google Nest Cam with floodlight則要價279.99美元，Google也推出了只要99.99美元的Google Nest Cam，不過它只能安裝在室內。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-nest%20cam%20with%20flood%20light.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>以往這些家用保全裝置都要搭配訂閱服務，不過，Google說，不管是門鈴或監視器都是在裝置上處理影像並決定是否傳送通知，因此使用者不需要訂閱服務就能接收通知，像是在發現人、動物、車輛或包裏靠近時傳送通知，也配備3小時的免費事件影片紀錄。</p> <p>假設訂閱了每月6美元的Nest Aware，則會額外擁有人臉辨識與30天的事件影片紀錄，若是訂閱每月12美元的Nest Aware Plus則可存取60天的事件紀錄。</p> <p>此外，倘若Wi-Fi網路忽然故障了，不管是門鈴或是監視器都可在裝置上存放1小時的事件，等到恢復連線時再將事件上傳至雲端。</p> <p>即日起Google已開放消費者預購基於電池的Nest Doorbell及Nest Cam，預計於8月24日出貨。不過，相關產品並未在臺灣上市。</p> </div></div></div>
2021/8/6 20:45作者陳曉莉https://www.ithome.com.tw/news/146072
高通出價46億美元欲與Magna搶親汽車輔助系統開發商Veoneer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大的汽車零件製造商<a href="https://www.magna.com/company/newsroom/releases/release/2021/07/22/press-release---magna-to-acquire-veoneer-positioning-magna-s-adas-business-as-a-global-leader-in-a-fast-growing-industry" target="_blank">Magna International</a>在7月22日宣布，已與瑞典專門開發先進駕駛輔助系統（Advanced Driver Assistance Systems，ADAS）的業者Veoneer簽署併購協議，將以每股31.25美元、總價33億美元的現金買下Veoneer。不過，<a href="https://www.qualcomm.com/news/releases/2021/08/05/qualcomm-offers-acquire-veoneer-37-share-cash" target="_blank">行動晶片大廠高通</a>卻在周四（8/5）指出，已向Veoneer提出每股37美元、總價達46億美元的併購價，打算與Magna搶奪Veoneer。</p> <p>Veoneer是在2018年由汽車安全供應商Autoliv的電子暨自動駕駛部門獨立的公司，產品線包括雷達、光達、熱成像夜視攝影機、視覺系統、ADAS軟體Arriver與自動駕駛軟體，亦提供夜間駕駛輔助系統、主動安全感應器、安全氣囊控制單元及碰撞感應器等產品。</p> <p>當時Magna是相中了Veoneer的ADAS業務，指出其ADAS具備綜合性的能力，已是全球的領導者，將可協助擴張Magna自己的ADAS業務。</p> <p>至於高通同樣也是看好Veoneer所開發的ADAS軟體Arriver，而且雙方曾在今年1月<a href="https://www.qualcomm.com/news/releases/2021/01/26/qualcomm-announces-expansion-scalable-snapdragon-ride-platform-portfolio" target="_blank">簽署合作協議</a>，將替Arriver的視覺感知及駕駛政策軟體打造預先驗證及整合的系統單晶片，共同進軍ADAS市場。</p> <p>高通執行長Cristiano Amon表示，隨著汽車產業持續地轉型，對於汽車製造商而言，擁有一個開發橫向平臺以驅動創新及競爭的合作夥伴更顯重要，結合高通與Veoneer的輔助駕駛資產，未來將可提供一個開放的ADAS平臺予所有的汽車製造商及一級的供應商。</p> <p><a href="https://www.qualcomm.com/media/documents/files/letter-from-cristiano-amon-president-and-ceo-of-qualcomm-incorporated-to-veoneer-s-board-of-directors.pdf" target="_blank">高通也向Veoneer的董事會喊話</a>，表示領航ADAS必須具備前沿的思維，擁有創新的紀錄，以及創造精密半導體與軟體解決方案的能力，而這些都是高通的核心優勢，相信彼此的結盟將能加速市場競爭，而且替汽車生態體系創造選擇。</p> <p>從價格來看，高通似乎勢在必得，因為高通所提出的每股37美元收購價，已比Veoneer在7月22日的收盤價高出了85.6%，亦比Magna所提出的31.25美元多出18.4%。在Magna與高通的競價下，Veoneer的股價已從7月22日19.93美元，一路上漲到本周四的40.15美元。</p> </div></div></div>
2021/8/6 21:05作者陳曉莉https://www.ithome.com.tw/news/146073
Google應用機器學習來偵測難以發現的大腸息肉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了<a href="https://ai.googleblog.com/2021/08/improved-detection-of-elusive-polyps.html">最新將機器學習用於大腸鏡的研究</a>，研究人員開發了一個機器學習模型，能夠幫助醫療人員在大腸鏡檢查中精確偵測息肉，以解決檢測不完全的問題。這個最新的研究，建立在<a href="https://www.ithome.com.tw/news/139700">早先的研究</a>上，之前Google研究人員已經開發了一個系統，來最大化大腸鏡檢查範圍，避免醫療人員遺漏部份腸段未檢查。在臨床研究中應用這些系統，結果顯示能夠顯著提升息肉偵測率。</p> <p>要檢測和去除大腸息肉的標準程序之一，便是進行大腸鏡檢查，在大腸鏡檢查過程，醫療人員使用內視鏡來檢查腸道中，尋找良性以及癌變的息肉，但因為各種因素，可能使得大腸鏡檢查不完全，像是息肉沒有被內視鏡照到，又或是息肉可能因為形狀或是大小的關係，即便出現在內視鏡視野中，也可能遭到遺漏。研究也顯示，大腸鏡檢查平均會遺漏22％-28％的息肉，而其中20％–24％的息肉有機會癌變。</p> <p>在之前的研究中，Google研究人員已經開發了機器學習系統，來解決大腸鏡探索不完全的問題，透過在檢查期間，估計覆蓋與未覆蓋的區域，來降低不完全探索的機率，而新的這個研究，是要來解決當息肉出現在大腸鏡視野中，卻未被發現的問題。</p> <p>研究人員開發了一個基於卷積神經網路（CNN）的系統，這個系統有2個主要優點，分別是能解決因為息肉難以發現，而產生偽陰性檢查結果的問題，另一個優點則是，該系統偽陽性率非常低，研究人員提到，偽陽性率使得系統更有可能被應用在臨床中。</p> <p>研究人員使用了3,600段大腸鏡檢驗，約有8,600萬個影格來訓練系統，並且準備了1,400段的檢查過程，約3,300萬個影格進行測試，該系統能夠檢測出97％的息肉，在每段檢測僅會出現4.6次誤報，經過進一步的分析，部分誤報其實是有效的息肉偵測，只不過內視鏡檢查者以及資料註釋人員遺漏了這些息肉，研究人員提到，這個系統被證明在檢驗息肉上具備通用性，因為已經學會偵測那些，一開始遭到遺漏的息肉。</p> <p>這些實驗是模擬息肉在視野中不超過5秒的結果，而這樣的檢查速度，會使醫療人員更難以發現息肉，因此系統的靈敏度，約是原始檢查的3倍，而當息肉出現在視野中不到2秒，則系統靈敏度更是原始檢查的4倍。</p> <p>研究人員在這個大腸鏡息肉檢查系統，試用了2種神經網路架構RetinaNet和LSTM-SSD，RetinaNet是一種先進的靜態圖像物件偵測技術，能將其應用在連續影格偵測，在基準測試中，RetinaNet以平衡的運算速度以及精確性著稱，而LSTM-SSD是一種影片物件檢測架構，可以處理一些影片的時間特徵，像是模糊或是快速運動等狀況，其非常輕巧，可以在低成本的處理器上運作。研究人員提到，根據不同需求，可以選擇不同的神經網路，但都能獲得良好的結果。</p> <p>目前這套系統已經進到醫療中心，實際用於100個大腸鏡檢查中，研究人員提到，這套系統降低排除息肉的時間，而且不會讓醫療人員遺漏任何的息肉，雖然每次檢測平均有3.8次誤報，但是醫療中心目前對該系統的回饋是正向積極的。</p> </div></div></div>
2021/8/6 21:09作者李建興https://www.ithome.com.tw/news/146071
Cloud周報第115期：Gartner：2022年全球公有雲終端用戶市場規模將超過4,800億美元，地區性雲端生態系…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/07/29～2021/08/04）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端發展 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 地緣政治 </span></strong></span></p> <p><strong style="font-size: 22px;">Gartner：至2026年，公有雲花費將占全球企業IT支出逾45%</strong></p> <p>Gartner近日發布全球公有雲市場規模的最新預測數據，並就當前全球地緣情勢和產業發展狀況，提出雲端平臺將朝地區性生態系統發展的趨勢。Gartner預測，今年全球終端用戶的公有雲服務花費，將達到3,960億美元，並預期明年的成長幅度將達21.7%，推升全球公有雲服務市場規模達4,820億美元。此外，Gartner預測，至2026年，全球企業的IT支出將有超過45%，投資在公有雲，遠遠高於今年不到17%的IT支出占比。</p> <p>另外，由於地緣政治緊張情勢日益嚴重，導致監管碎片化，再加上部分產業委外代管資料和工作負載，需遵循監管要求，Gartner表示，這些因素正在推動區域性和垂直性雲端生態系統的成形。德國與法國聯手建立的歐盟雲端資料基礎設施GAIA-X，就是一個為降低對AWS、微軟與Google的依賴，而由政府發起的雲端基礎設施建置專案。Gartner進一步提到，無法建置屬於自己的平臺生態系統的地區，將只能採用其他地區建置的平臺，並訴諸法規來維持一定程度的主控權。<a href="https://www.gartner.com/en/newsroom/press-releases/2021-08-02-gartner-says-four-trends-are-shaping-the-future-of-public-cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料驗證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料倉儲搬遷 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google推出採Ibis框架連接BigQuery、MySQL等資料來源的資料驗證工具，供企業用於資料倉儲搬遷</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1(93).jpg" style="width: 600px; height: 588px;" /></strong></span></p> <p>Google日前推出資料驗證工具（DVT），可以跨雲端、本地端等不同環境，進行自動化資料驗證。資料驗證是資料倉儲、資料庫和資料湖搬遷的關鍵步驟，但跨平臺驗證資料非常耗時，而資料驗證工具提供了一個標準化的解決方案，提供企業根據本地端系統中的資料，驗證Google雲端中心搬遷的資料，並能夠與現有企業基礎設施和ETL工作管線整合，進行無縫且自動化的驗證。</p> <p>新的資料驗證工具是一個開源的Python命令列工具，使用Ibis框架來連接大量資料來源，包含BigQuery、AWS S3、MySQL、Oracle、Spanner、SQL Server以及Teradata等，並且對不同來源的資料進行分析運算，能執行多層資料驗證，從各種表格層級的驗證到列驗證。<a href="https://cloud.google.com/blog/products/databases/automate-data-validation-with-dvt/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> EC2-Classic </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IaaS服務關閉 </span></strong> </p> <p><span style="font-size: 22px;"><strong>AWS預告10月30日關閉IaaS服務EC2-Classic，促企業遷移執行實例到EC2-VPC</strong></span></p> <p>AWS近日宣布將在10月30日關閉IaaS服務項目EC2-Classic，預告用戶需遷移執行實例、資料庫等到EC2-VPC。EC2-Classic是AWS最早的IaaS服務項目，也是AWS雲端服務像是RDS最早運作的基礎架構，目前與2009年推出的EC2 VPC，同為AWS啟動雲端執行實例的平臺。EC2-Classic上，企業執行實例執行在與其他企業共用的單一平面網路中，而Amazon VPC上，企業執行實例執行的VPC可在邏輯上與其他AWS帳戶隔離，更具有安全性。2013年12月後建立的AWS帳號已不支援 EC2-Classic。</p> <p>AWS會先在沒有啟用EC2-Classic的AWS區域，關閉這項服務，並會停止銷售EC2-Classic的1和3年預留執行實例的服務，預計至明年8月15日，所有企業都會完成遷移。因應終止EC2-Classic支援，企業會需要調整EC2、RDS資料庫、Elastic IP位址、Classic的Load Balancers、Redshift叢集、Elastic Beanstalk環境、AWS Data Pipeline、預留執行實例等。AWS會透過業務團隊通知受影響的企業，並提供遷移必要的工具和文件。<a href=" https://aws.amazon.com/tw/blogs/aws/ec2-classic-is-retiring-heres-how-to-prepare/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 無伺服器建置環境 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CI/CD </span></strong></p> <p><strong style="font-size: 22px;"><strong>Google無伺服器建置服務Cloud Build新增私有池，供企業在私有網路中觸發CI/CD</strong></strong></p> <p>Google日前在雲端建置服務Cloud Build加入私有池（Private Pool）功能，供企業在私有網路中使用無伺服器建置環境，整合私有程式碼儲存庫，觸發CI/CD與DevOps工作流程，以符合安全性與法規要求。有了Cloud Build私有池，企業可藉由託管在私有網路中的儲存庫，像是GitHub Enterprise等，觸發全託管的CI/CD和DevOps工作流程。現在Cloud Build私有池支援VPC對等連接、VPC-SC和靜態IP，可以跨專案建置，而且每個池都能夠同時進行數百個建置工作。</p> <p>私有池使用了一個全新的建置環境，能維持與過去Cloud Build一致的產品和API體驗，所有Cloud Build的功能都可用於私有池中，包含IAM權限、Secret Manager和Pub/Sub整合等，同時也原生支援Google雲端的Runtime，像是GKE、Cloud Run、Cloud Functions和App Engine等。<a href=" https://cloud.google.com/blog/products/devops-sre/cloud-build-private-pools-offers-cicd-for-private-networks">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞馬遜 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></p> <p><strong style="font-size: 22px;">亞馬遜整體營收成長幅度</strong><strong style="font-size: 22px;">放緩，AWS則呈現重新加速成長態勢</strong></p> <p>亞馬遜日前公布今年度第二季財報，該季營收達1,131億美元，相比去年同期，成長27%，其中，AWS營收達148億美元，成長37%。剛於7月5日從Jeff Bezos手上接下執行長一職的Andy Jassy，在財報會議上表示，隨著越來越多的企業將業務搬遷上雲端，已看到AWS重新加速成長的趨勢。然而，儘管這是亞馬遜連續第三季營收破千億，且AWS的成長正在重新加速，但，整體營收成長幅度仍因電商業務成長明顯放緩，已出現趨緩態勢。</p> <p>進一步看AWS第二季的表現，其在各產業都有斬獲企業要採用AWS服務的計畫，包含加拿大最大電信業者之一的Bell Canada，將利用AWS技術來建置新的消費端和企業端應用；還有，加拿大第四大銀行蒙特婁銀行將搬遷工作負載上AWS，來現代化自家銀行平臺；另外，法拉利宣布採用AWS服務，來加快測試車輛設計，應用HPC資源以同時執行上萬個駕駛模擬情景。亞馬遜預期下一季淨營收成長將介於1,060至1,120億美元之間，同比成長則預計落在10%至16%。<a href=" https://press.aboutamazon.com/news-releases/news-release-details/amazoncom-announces-second-quarter-results-1">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Azure連續4季成長達5成，但已非成長幅度最大的單一產品</strong></strong></p> <p>微軟近期發布2021財年第四季財報，該季營收達462億美元，成長21%，而Azure雖仍維持成長逾5成的表現，但已不再是成長幅度最大的單一產品。與雲端服務相關的業務本季營收表現分別是，生產力與業務流程達147億美元，成長25%；更多個人運算營收為141億美元，成長9%；智慧雲端營收則達174億美元，成長3成。微軟另外列出含有Office 365商用版、Azure、Dynamics 365與其他雲端服務的商業雲端類別該季的表現，該類別營收為195億美元，成長36%。</p> <p>從單一產品或服務的營收來看，該季成長最快的已不再是Azure，而是LinkedIn行銷解決方案，成長幅度達97%，居次的是搜尋廣告，成長了53%，再來才是過去連續多季成長居冠的Azure，該季成長51%。微軟持續加碼投資雲端工程和遊戲，微軟表示，在兩項目的投資推動下，該季研發費用增加了4.73億美元，成長了9%。<a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2021-Q4/press-release-webcast">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">Google雲端營收成長54%，虧損持續縮小</span></strong></strong></p> <p>Google母公司Alphabet近日公布今年度第二季財報，該季營收達619億美元，成長62%，其中，Google雲端營收為46.4億美元，同比成長54%。Alphabet暨Google執行長Sundar Pichai表示，在第二季期間，全球線上活動數量呈現上升趨勢，使得廣告需求大增。</p> <p>目前Google雲端營收仍僅占Alphabet總營收的7.5%，且仍處於虧損狀態，該季虧損了5.9億美元，但虧損程度相比去年同期的14.3億美元，已大幅減少，也優於上一季虧損9.74億美元的狀況。整體而言，帶動Alphabet整體營收成長逾6成的動力，依然是來自Googl搜尋和YouTube的廣告服務，而Google雲端仍處於投資階段。<a href=" https://abc.xyz/investor/static/pdf/2021Q2_alphabet_earnings_release.pdf?cache=4db52a1">（詳全文）</a></p> <p>圖片來源／Gartner、Google雲端</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1.Google雲端新增SAP RISE軟體訂閱方案，供企業在GCP訂閱SAP Analytics Cloud及SAP Data Warehouse Cloud 解決方案<a href="https://news.sap.com/2021/07/google-cloud-and-sap-accelerate-business-transformations-cloud/">（詳全文）</a></p> <p>2.Azure推出RCA引擎，能自動分析VM故障原因，加速企業除錯速度<a href=" https://azure.microsoft.com/zh-tw/blog/advancing-azure-virtual-machine-availability-transparency/">（詳全文）</a></p> <p>3.AWS推出IoT SiteWise Edge正式版本，供企業利用在工廠執行的軟體在本地端收集、處理和監控設備資料，再發送到AWS<a href=" https://aws.amazon.com/tw/blogs/aws/aws-iot-sitewise-edge-is-now-generally-available-for-processing-industrial-equipment-data-on-premises/">（詳全文）</a></p> <p>資料來源：iThome整理，2021年8月</p> </div></div></div>
2021/8/6 18:06作者黃郁芸https://www.ithome.com.tw/news/146070
滲透測試工具Cobalt Strike存在DoS漏洞，可以用來遏阻攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>滲透測試工具Cobalt Strike是紅隊演練實用的工具之一，近年來也有越來越多的攻擊者濫用這款工具，<a href="https://www.ithome.com.tw/news/145430">根據資安公司Proofpoint的統計</a>，在2019年到2020年之間，濫用Cobalt Strike的攻擊行動爆增161%。對此，如何阻止攻擊者濫用該滲透測試工具的行為，也成為資安研究員研究的對象。資安業者SentinelOne發現在4.2與4.3版的Cobalt Strike裡，<a href="https://labs.sentinelone.com/hotcobalt-new-cobalt-strike-dos-vulnerability-that-lets-you-halt-operations/">存在名為Hotcobalt的阻斷服務（DoS）漏洞CVE-2021-36798</a>，一旦資安人員運用這項漏洞，就可以攔阻攻擊者遠端控制受害目標的行為。</p> <p>基本上，軟體出現漏洞，通常是受害系統曝露遭受攻擊的危險，但如今出現漏洞的是被攻擊者濫用的滲透測試工具，也使得資安人員與執法單位能用來防堵網路攻擊。</p> <p>為了讓資安人員更容易研究Cobalt Strike的Beacon通訊機制，SentinelOne也提供了<a href="https://github.com/Sentinel-One/CobaltStrikeParser/blob/master/extra/communication_poc.py">以Python打造的程式庫</a>，來協助他們解析其通訊內容。</p> <p>這項漏洞涉及Cobalt Strike伺服器（亦稱為Teamserver）與Beacon之間的通訊。SentinelOne解釋其中的運作流程：一般來說，Teamserver第一次執行時，會隨機產生公用與私有的RSA金鑰，並存放於名為.Cobalt Strike.beacon_keys的檔案，而每個Beacon訊號發送器（Stager）都內嵌公用的金鑰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hotcobalt-parser.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hotcobalt-parser.png" style="width: 580px; height: 201px;" /></a></p> <p>當訊號發送器在受害電腦執行時，會收集電腦資訊，諸如中央處理器架構、鍵盤布局、內部IP位址等，並透過前述公鑰加密並回傳給Teamserver，發出HTTP GET請求向伺服器註冊。一旦註冊成功之後，Beacon就能接收攻擊者下達的指令並執行工作。</p> <p>但SentinelOne指出，在執行Screenshot和Keylogger工作的回傳結果中，伺服器必須分配指定大小的緩衝區來容納檔案，對此，研究人員發現，可以藉由控制傳送的螢幕截圖檔案大小，來讓Cobalt Strike伺服器分配特定容量的記憶體作為緩衝區，導致伺服器的記憶體消耗殆盡。</p> <p>利用這項漏洞，研究人員利用偽造的Beacon，向Teamserver發送假的任務資料，或是異常大的螢幕截圖，來占用Teamserver的記憶體空間，導致該伺服器的記憶體耗盡而無法回應，造成阻斷服務的局面，換言之，這樣的情況使得所有的Beacon無法與該伺服器通訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hotcobalt-beacon-callback.png" style="width: 580px; height: 502px;" /></p> <p>對此，SentinelOne指出，除非管理者將Teamserver重開機，才能暫時擺脫記憶體耗盡的情況，攻擊者很可能再度發動攻擊來癱瘓Cobalt Strike的運作。該公司也發布了<a href="https://github.com/Sentinel-One/CobaltStrikeParser/blob/master/extra/communication_poc.py">概念性驗證（PoC）攻擊程式</a>。</p> <p>由於Cobalt Strike也被攻擊者大肆濫用，執法單位與資安研究人員可能可以透過Hotcobalt漏洞，來關閉攻擊者的基礎設施。而對於這個漏洞的揭露，SentinelOne於4月20日通報給HelpSystems，HelpSystems則於8月4日發布了Cobalt Strike 4.4予以修補。</p> </div></div></div>
2021/8/6 16:38作者周峻佑https://www.ithome.com.tw/news/146069
Amazon要美國員工2022年1月再回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國疫情再起，電商龍頭Amazon本周公布最新措施，將美國公司員工回公司上班的時程，延後到2022年1月3日。</p> <p><a href="https://www.reuters.com/technology/amazon-delays-office-return-until-next-year-memo-2021-08-05/" target="_blank">路透社</a>取得Amazon的內部公告指出，在持續關注COVID-19本地狀況發展同時，公司也調整總部員工的作業指引。最新調整下，Amazon將美國員工在家辦公的期間，由原本的9月7日，延到明年1月3日。</p> <p>如同臉書，Amazon也將要求員工在公司戴口罩，出具證明已完整接種COVID-19疫苗的員工除外。</p> <p>Amazon對路透社表示，員工健康是該公司第一要務，也會配合當地主管機關指引，讓員工在安全情況下回公司上班。</p> <p>這是近日矽谷科技公司對Delta變種，導致新一波COVID-19疫情的最新回應。<a href="https://www.ithome.com.tw/news/145918" target="_blank">Google、臉書都要求</a>員工需完成疫苗接種才能進入美國辦公室。<a href="https://www.ithome.com.tw/news/146005" target="_blank">微軟甚至要求</a>進入公司的員工、廠商及訪客都得打完疫苗。</p> <p>推特原本已率先重啟美國辦公室，<a href="https://www.cnbc.com/2021/07/28/twitter-closes-san-francisco-new-york-offices-as-covid-cases-surge.html" target="_blank">但一周前再次關閉</a>總部所在地的舊金山及紐約辦公室。</p> </div></div></div>
2021/8/6 16:04作者林妍溱https://www.ithome.com.tw/news/146066
微軟準備於桌面版Edge實驗「超強安全模式」，關閉JIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://microsoftedge.github.io/edgevr/posts/Super-Duper-Secure-Mode/" target="_blank">微軟宣布</a>，將於桌面版Edge的Canary、Dev與Beta版實驗「超強安全模式」（Super Duper Secure Mode，SDSM），關閉用來改善瀏覽器效能的Just-In-Time Compilation（JIT，即時編譯）功能，以減少瀏覽器的安全威脅。</p> <p>微軟Edge漏洞研究負責人Johnathan Norman說明，身為Edge的安全團隊，他們經常變換攻擊者與防禦者的角色，當要打造瀏覽器的攻擊程式時，首選攻擊目標通常是V8 JavaScript引擎，原因包括JavaScript引擎提供了強大的開採來源，有源源不斷的臭蟲，而且只要遵循簡單的模式就能開採，還能很快地展開行動。</p> <p>但當作為瀏覽器的防禦方時就是惡夢了，因為陸續出現的臭蟲意謂著需要頻繁進行安全更新，容易開採代表駭客很快就能打造出攻擊程式，再加上修補空窗期，而且此一問題不僅侷限於V8，也波及大多數現代化的JavaScript引擎，不管是Google、微軟、Mozilla或其它業者都企圖透過靜態分析、抓漏專案與模糊測試來減輕相關威脅，這些工具雖然能夠快速辨識某些問題，但也會有所遺漏，使得JavaScript引擎依舊是瀏覽器主要的安全挑戰之一。</p> <p>而原因之一還包括專門用來加速JavaScript特定任務的JIT，啟用JIT的JavaScript引擎在需要之前就把鬆散型態的JavaScript編譯成機器語言，亦為所謂的推測優化，因而能帶來相當程度的效能改善，讓JavaScript的效能足以比擬C++，只是，因JIT而衍生的安全漏洞也讓瀏覽器業者疲於奔命。</p> <p>例如2019年之後與V8有關的安全漏洞中，就有45%藏匿在JIT中，同時Mozilla的分析也顯示，已被用於攻擊行動中的Chrome開採程式中，更有超過一半是濫用JIT漏洞。</p> <p>於是微軟嘗試於效能及安全之間取得平衡，展開超強安全模式專案，決定於Edge中測試關閉JIT的作法。Norman說，此舉等於能夠去除V8中近半數的安全漏洞，也能減少安全更新或緊急修補的頻率，此外，為了部署V8 JIT，業者還必須捨棄重要的緩解技術，包括基於硬體的開採緩解技術 Controlflow-Enforcement Technology（CET），或是任意程式保護機制（Arbitrary Code Guard，ACG）等。</p> <p>這代表著若關閉JIT，不僅可減少攻擊表面，還能啟用其它的緩解機制，提高駭客的攻擊門檻。</p> <p>然而，關閉JIT最有可能的影響莫過於效能了，這使得Edge的效能實驗室為此執行了數百次的測試來觀察關閉JIT之後的效能表現。發現縱使在JavaScript效能評測中，其效能最多下滑了58%，但在Edge實驗室模擬實體網站的測試中，絕大多數的測試並未看到效能上的改變，只有少數出現效能提升或是衰退的情況，更重要的是，參與測試的使用者在關閉JIT之後，於每日的瀏覽行為中，幾乎沒有察覺到變化。</p> <p>根據微軟的測試，關閉JIT之後，於網頁載入的測試中，有16.9%的效能變慢了，但有9.5%變快了，在記憶體的使用上有2.3%增加了，但4.6%變少了，在啟動速度上則是看到8.9%的改善，而在電力的使用上，有11.4%增加了，15%變少了。</p> <p class="rtecenter"><img alt="" src="https://microsoftedge.github.io/edgevr/assets/img/blog_img/sdsm/improvement_and_regression.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> <p>Norman認為，大多數的使用者未能察覺到瀏覽時的變化，是因為JavaScript評測只代表了瀏覽器整體效能的一部分。</p> <p>目前的SDSM專案關閉了JIT，並啟用了CET，且並不支援Web Assembly，有意參與測試的使用者可透過Edge Canary、Dev及Beta版的edge://flags來啟用。未來該專案將逐步加入更多的緩解機制並新增對Web Assembly的支援。</p> </div></div></div>
2021/8/6 16:29作者陳曉莉https://www.ithome.com.tw/news/146067
Mozilla改善Firefox啟動效能，使得啟動程序更具回應性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox效能團隊進行了一些<a href="https://blog.mozilla.org/performance/2021/08/05/performance-in-progress/">更新</a>，來提高Firefox的啟動以及回應能力，同時也改進了安全性功能和網頁標準。</p> <p>用戶最有感的會是Firefox的啟動效能改進，當前用戶在點擊Windows桌面上的Firefox圖標後，因為沒有立刻獲得視覺回饋，因此用戶可能以為沒有點擊成功，所以會再次或是多次點擊，導致之後一口氣出現多個Firefox視窗，官方提到，Firefox啟動需要較長的時間，是因為在啟動前需要進行許多事情。</p> <p>首先Firefox需要啟動JavaScript引擎，載入配置文件以獲取視窗大小和位置，同時還必須載入一個稱為XUL.dll的大型函式庫，這個函式庫需要較多的時間從磁碟中讀取，因此當用戶的電腦速度較慢的情況下，延長的載入時間會特別有感。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2021-07-27-at-4_36_56-PM.png" style="width: 580px;" /></p> <p>目前在Firefox 92 Beta版本，採用了一種稱為骨架UI的新方法，來有感提升啟動效能。骨架UI會根據用戶過去的對話，創建一個帶有主題、大小、工具欄內容和位置的視窗，也就是說，從點擊Firefox圖標到顯示視窗的時間點，被往前挪動到啟動器程序之後，而非過去要等到讀取完XUL.dll和其他設定檔，才出現視窗，使得用戶能夠更快獲得視覺回饋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen-Shot-2021-07-27-at-4_50_18-PM.png" style="width: 580px;" /></p> <p>新的Firefox還加入了其他更新，包括回應性，過去Firefox遇到頁面存在執行時間過長的腳本，會提示用戶該頁面正在拖慢瀏覽器，讓用戶選擇停止或是等待腳本執行。但這個提示出現太過頻繁，不少時候造成使用者困惑，而從2021年開始，Mozilla便著手降低這項警示出現的比例，現在Firefox只會在頁面失去回應的時候出現，並且刪除了等待按鈕，整體的改進讓緩慢腳本警示出現機率減少了50％。</p> <p>Firefox的網站隔離技術Fission，這次也有更新，改進了多個網站的載入速度。Fission是Mozilla在今年5月時發布用來保護Firefox，減輕像是Meltdown和Spectre等漏洞帶來的影響，Fission這個重新設計的安全架構，使得桌面版Firefox在載入所有網站的時候，都會創建程序層級的邊界，來提供更強大的安全防護，每個網站都會被隔離在獨立的作業系統程序中，使得網站更難以讀取到另一個網站的機密與私有資料。</p> <p>在最新的Windows桌面版Firefox 90上，效能團隊也對Fission做出改進，數個網站的效能都有所提升，像是Google搜尋就提升約9％、Bing搜尋約5％，而Gmail則有約3-4％。另外，Firefox 89中也啟用了Performance Event Timing API，這個API能夠讓網頁作者，監控使用者互動到事件被觸發的延遲。</p> </div></div></div>
2021/8/6 16:36作者李建興https://www.ithome.com.tw/news/146065
中華電信2G/1G高速上網服務來了! 首次祭出流量管理措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年7月中NCC通過中華電信光世代新增速率2G/1G服務，中華電信本周正式推出了2G/1G光纖上網服務，象徵國內光世代寬頻上網進入雙向Gb級速率，不過，為避免少數用戶可能濫用網路資源，中華電信針對家庭用戶祭出流量管理措施，超過一定的流量，降速至100M。</p> <p>新推出的光世代2G/1G，可分為非固定制、固定制兩種服務。非固定制又分為「家用型」與「進階型」，其中「家用型」(限自然人以個人證號申請)鎖定一般家庭高速上網需求，提供8個浮動IP，電路(每月1,850元)含上網(每月1,219元)費，每月收費3,069元；「進階型」則鎖定SOHO及一般小型企業架站需求，提供16個浮動IP(或15個浮動IP+1個固定IP，每月收費5,299元(電路3,510及上網費1,789元)。</p> <p>固定制的「多機型」服務，鎖定小型企業高速連網，以及架站、電子郵件主機、遠端視訊會議及協作，2個固定IP，每月收費為9,760元(電路3,510及上網費6,250元)，而6個固定IP，每月收費11,010元。</p> <p>搭配2G/1G服務的推出，非固定制「家用型」及「進階型」還提供Wi-Fi 6，2年約期內Wi-Fi月租費0元，至於2G/1G固定制的「多機型」，特定約期享有商用Wi-Fi 6 Mesh AP等優惠。</p> <p>中華電信表示，此次新的2G/1G速率，首次將上行速率提升至1G，大幅縮短企業客戶上傳資料的時間，有利於雲端辦公、遠端協作、資料異地備援及分享，還有電子商務應用。對於一般家庭而言，也能滿足娛樂、遠距教學、遊戲影音的需求。</p> <p>至於目前2G/1G可申裝的地區，依據中華電信說明，可申裝地區以該公司產品技術可達範圍為限，用戶申請後，中華電信將評估是否可供裝。</p> <p>值得注意的是，此次推出2G/1G高速寬頻上網服務，為避免部分的用戶過度濫用網路資源，中華電信針對2G/1G非固定制的家用型祭出流量管理措施，連續3天每日訊務量(上下行)超過200GB，經通知用戶之後，從次日凌晨0時起連續2天降速至100M/40M，期滿則恢復正常申裝速率。相較之下，先前最快的1G/600M並未設有流量管理措施。</p> <p>對此，中華電信解釋，此次家用型服務是針對一般家庭使用量、使用時間所設計，為維護其他用戶的使用權益及上網穩定性，搭配流量管理機制，以避免少數用戶大量使用而造成網路塞車，影響其他用戶權益。鄰近國家如韓國，也針對10G用戶當日用量如超過1000GB，也會降速至100M，隔天恢復正常速率。</p> <p>為了避免引發爭議，中華電信也強調不論是200GB流量預警，或是調整網路速度前，會以電子郵件或簡訊通知用戶異動。至於200GB的流量管理門檻如何評定？中華電信表示，係經內部評估，對持續大量佔用網路資源的異常流量或不當使用行為作適當的區隔，維護正常用戶的權益。建議超高流量用戶可選擇沒有流量管理措施的進階型服務。</p> </div></div></div>
2021/8/6 16:45作者蘇文彬https://www.ithome.com.tw/news/146068
臉書以網頁抓取罪名關閉NYU研究團隊帳號，Mozilla批評臉書的指控子虛無有
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周臉書以網頁抓取（web scraping）行為違反其政策為由，關閉紐約大學研究計畫的帳號，對此<a href="https://blog.mozilla.org/en/mozilla/news/why-facebooks-claims-about-the-ad-observer-are-wrong/" target="_blank">Mozilla批評</a>臉書這是不符事實的指控。</p> <p><a href="https://adobserver.org/" target="_blank">Ad Observer</a>是紐約大學NYU Cybersecurity for Democracy研究小組研究專案的一部份，目的在了解政治行銷人員如何根據使用者人口特質發送精準廣告。Ad Observer是一個瀏覽器擴充程式，用戶如果加入該研究計畫，該程式會蒐集使用者瀏覽臉書及YouTube時顯示的廣告，並根據用戶提供的基本資料加以分析。</p> <p>不過臉書指稱，Ad Observer專案研究蒐集方法是一種網頁抓取（web scraping），違反了該公司服務條款，<a href="https://www.ithome.com.tw/news/146042" target="_blank">而於本周關閉Ad Observer</a>及研究團隊的App、平臺及粉絲頁的帳號。他們宣稱Ad Observer從臉書用戶資料頁蒐集使用者名稱、廣告、連結，以及「我為什麼看到這則廣告」等資訊，有些屬於非公開資訊。臉書還指控，連沒有安裝這款擴充程式，或是未同意蒐集的用戶資料都被蒐集了。</p> <p>這家社交平臺說，Ad Observer研究團隊並不使用臉書提供的合法工具，且不理會臉書多次溝通，才讓他們使出殺手鐧。</p> <p>不過臉書說詞遭批評是不實指控，也是逃避監督的作法。Mozilla執行長<a href="https://blog.mozilla.org/en/mozilla/news/why-facebooks-claims-about-the-ad-observer-are-wrong/" target="_blank">Marshall Erwin指出</a>，Mozilla曾經親自檢視過Ad Observer的原始碼，證實的確尊重用戶隱私、一切透明，後來決定推薦用戶加入Ad Observer的研究計畫。</p> <p>Mozilla團隊分析Ad Observer的結果，顯示它蒐集廣告以及廣告相關的參數和metadata，但是並不蒐集用戶貼文內容或聯絡人資訊，也不會在其伺服器上建立用戶資料檔。Ad Observer讓用戶從「My Archive」頁檢視它蒐集了什麼資料，也讓用戶自由決定是否提供其他人口資訊以協助研究，但這也是預設不蒐集的。Ad Observer甚至提供原始碼<a href="https://github.com/OnlinePoliticalTransparency/social-media-collector" target="_blank">於GitHub供公開檢視</a>。</p> <p>Erwin指出，Mozilla倡議主要網路平臺應強制揭露所有廣告，這需要有像Ad Observer的工具來揭發網路的暗黑面，因此他認為應支援及改變這類工具，好監督這些平臺。</p> <p>臉書藉由關閉Ad Observer的研究計畫，一方面可阻止平臺上廣告主的操作，另一方面可藉此行動，向主管機關表達自己很重視用戶隱私。<a href="https://www.ithome.com.tw/news/143702" target="_blank">今年4月</a>5.33億筆臉書用戶個資遭不明人士公開在駭客論壇上。臉書表示這是網頁抓取，而非平臺被駭造成，但目前歐盟已著手調查臉書的責任。</p> </div></div></div>
2021/8/6 15:24作者林妍溱https://www.ithome.com.tw/news/146063
蘋果計畫偵測裝置用戶的訊息與iCloud上有關兒童色情的內容，遭EFF抨擊入侵民眾隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/child-safety/" target="_blank">蘋果在本周公布</a>了全新的兒童保護措施，將會偵測Messages與用戶iCloud上的內容是否牽涉到兒童色情，也將更新Siri與搜尋功能，以在使用者搜尋兒童色情內容時加以干預。不過，蘋果的作法讓擁護使用者數位權利的<a href="https://www.eff.org/deeplinks/2021/08/apples-plan-think-different-about-encryption-opens-backdoor-your-private-life" target="_blank">電子前線基金會（Electronic Frontier Foundation，EFF）警告</a>，此舉的代價為使用者的隱私，且將替蘋果裝置帶來後門。</p> <p>蘋果的兒童保護措施主要有3項，一是於iOS、iPadOS與macOS上內建的Messages程式增添新工具，鎖定那些採用家庭帳號的使用者，透過裝置上的機器學習機制來分析Messages程式所傳遞的內容，假設兒童所收到的訊息包含了色情圖片，那麼蘋果就會模糊該照片並祭出警告，也提醒若兒童執意檢視照片，系統就會傳訊息給家長，同樣的，若是兒童企圖發送色情圖片，系統也會事先祭出將會通知家長的警告。</p> <p>蘋果表示，所有的分析都在使用者的裝置上進行，蘋果並不會得知內容，此一功能將會在今年隨著iOS 15、iPadOS 15與macOS Monterey出爐而上線，將率先於美國市場推出。</p> <p>第二個措施則是避免兒童性剝削內容的散布，蘋果將利用iOS與iPadOS上的新技術，來偵測使用者儲存於iCloud上的照片是否屬於已知的兒童性剝削內容（Child Sexual Abuse Material，CSAM），這是由美國失蹤兒童及童工保護中心（National Center for Missing and Exploited Children，NCMEC）所建立的資料庫。</p> <p>蘋果的作法並非直接掃描用戶存放於iCloud上的照片，而是先將CSAM資料庫轉存為不可讀的雜湊組，再把它上傳到使用者的裝置上，當使用者要把照片存放至iCloud時，就會透過一個名為私有集合交集（Private Set Intersection）的加密技術，與裝置上的CSAM資料庫進行比對，並在每一張上傳至iCloud的照片上，附上一個含有比對結果的加密憑證。</p> <p>一直到當符合CSAM資料庫的照片達到一定數量時，蘋果才會收到通知，也才會進一步解析這些內容，並手動檢查這些照片是否真為兒童色情，繼之蘋果即會關閉該名使用者的帳號，並向NCMEC檢舉。</p> <p>最後一項則是改善蘋果裝置上的Siri與搜尋功能，當有使用者查詢與CSAM有關的內容時，蘋果將會向用戶解釋相關主題是有害及有問題的，並提供可能對用戶有所幫助的資源。此一功能將同時現身於iOS 15、iPadOS 15、watchOS 8與macOS Monterey上。</p> <p>雖然蘋果的立意良善，但EFF卻認為，這是替蘋果的資料儲存系統及傳訊系統建立後門的作法。</p> <p>在2016年時，美國聯邦調查局（FBI）曾要求蘋果協助解鎖恐怖攻擊嫌犯的iPhone手機，<a href="https://www.ithome.com.tw/news/103964" target="_blank">當時遭蘋果執行長Tim Cook斷然拒絕</a>，Cook還曾<a href="https://www.ithome.com.tw/news/103949" target="_blank">發表公開信</a>，指責FBI要求蘋果打造出一款可繞過現有安全機制的iPhone作業系統，只要是可以繞過安全機制的iOS就是創造了後門，且這個作業系統很可能可以破解所有人的iPhone。</p> <p>而今蘋果的作法似乎違背了當初的堅持。EFF表示，假設蘋果得以利用機器學習來分析用戶所傳遞的內容，現在這個內容是兒童色情，但只要些微的調整就可用來尋找其它型態的內容，而且既然得以分析兒童，就能分析所有人，當蘋果遭到外來的壓力時，就無法再以不創造後門來推辭。</p> <p>儘管蘋果向來擁護端對端加密，然而，相關的變更卻可能讓標榜端對端加密的Messages在法令的壓力下，迫使蘋果於Messages執行篩選、檢舉或刪除等能力。EFF強調，即使蘋果現在的作法是一個經過深思熟慮、擁有完整文件且範圍狹窄的後門，但它仍然是一個後門，而且是以所有人的隱私為代價。</p> </div></div></div>
2021/8/6 15:43作者陳曉莉https://www.ithome.com.tw/news/146064
【疫情日報】8月10日至8月23日仍維持二級警戒，第二劑施打原則也出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（6日）宣布，未來兩周（8月10日至8月23日止）仍維持全國二級警戒，繼續觀察疫情態勢。</p> <p>今日新增10例本土案例、2例境外移入，指揮官陳時中表示，目前疫情雖在可控範圍，但觀察時間短，因此將持續二級警戒。不過，疫情指揮中心仍有放寬措施，自8月10日起，游泳池將從關閉場域改為開放場域，但須進行人流管制、入場實聯制，且需按照水道數和長度計算，來安排進場人數，得執行分時段入場、每場至少間隔30分鐘以上，以確保消毒。在人員控管上，必須採預約制或人員造冊。</p> <p>今日，指揮中心也公布第二劑COVID-19疫苗施打原則。此次以AZ和莫德納為主，對象包括65歲以上民眾、1到3類民眾和孕婦，以65歲以上且第一劑滿10至12周的民眾來說，若已在1922平臺登記意願，直接進行預約即可。若未在1922平臺登記，指揮中心會提供名冊給地方政府，由地方政府代為預約，來安排接種時間和地點，並通知長者。</p> <p>以1到3類民眾和孕婦來說，第一劑在8月11日前滿4周者，若已在1922平臺登記意願，即可開始預約時間和地點，來接種第二劑莫德納疫苗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-%E7%AC%AC%E4%BA%8C%E5%8A%91%E6%8E%A5%E7%A8%AE%E8%AA%AA%E6%98%8E.jpeg" /></p> <div id="gtx-trans" style="position: absolute; left: 201px; top: 38px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2021/8/6 14:38作者王若樸https://www.ithome.com.tw/news/146059
美國政府借力Google、微軟、AWS、資安公司推動網路防禦計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全管理署（CISA）昨（5）日宣布，將結合Google、微軟、AWS以及其他安全公司，發展強化美國網路安全的聯合防禦計畫。</p> <p>這項稱為網路國防聯合協同計畫（<a href="https://www.cisa.gov/jcdc" target="_blank">Joint Cyber Defense Collaborative，JCDC</a>）的行動，旨在結合美國聯邦政府、各州市等地方政府、民間業者發展及推動美國網路防禦運作的計畫，以便預防並回應對美國的國家網路威脅。</p> <p>參與JCDC計畫首批的民間公司包括Amazon Web Service（AWS）、微軟、Google Cloud、電信業者AT&T、Verizon、前身為CenturyLink的Lumen、資安及網路設備業者FireEye Mandiant、Crowdstrike及Palo Alto Networks。而和網路安全相關的政府機關，包括國防部、美國網路作戰指揮部、國安局、聯邦調查局、司法部、國家情報總監辦公室（Office of the Director of National Intelligence）等單位。</p> <p>在建立網路國防計畫的大目標下，JCDC工作包括設計和實施全國網路防禦計畫，這些公私部門成員將共享網路防禦的知識和動態，實施協同行動以防範及降低網路入侵行動的影響，並且支援實際的聯合網路防禦行動。</p> <p>這項計畫是美國近月發生Colonial Pipeline、SolarWinds及Accellion，以及微軟Exchange Server等公司系統遭國家駭客駭入後，造成包括油料供應短缺，以及系統客戶被連累植入惡意程式，美國政府宣佈強化網路國防的實際行動。上個月<a href="https://www.ithome.com.tw/news/145755" target="_blank">白宮才聯合歐盟及英國指出</a>，「有高度信心」認定中國政府是Exchange Server駭入行動的背後支持者。</p> </div></div></div>
2021/8/6 14:58作者林妍溱https://www.ithome.com.tw/news/146060
Appier首次實現單月營業獲利，這一季AI平臺新支援深度多模型學習
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣第一家在日本上市的AI新創Appier（沛星互動科技）揭露上市後第二季財報，營收比去年同期增加5成，並揭露旗下產品這一季的新功能。</p> <p>Appier今年3月30日在日本東京證交所Mothers創業板掛牌上市，銷售市場已跨足東北亞、東南亞、大中華區與美國。今年Q2營收比去年同期增加50%，創下28億日圓的季營收歷史新高，總客戶數更比上一季增加了66家，來到943家。</p> <p>不只如此，Appier更在今年6月更首次實現單月營業獲利，這是自2013年進入擴張階段以來的首次獲利，「對我們來講是很重要里程碑。」游直翰解釋，因為Appier大多營收都用於公司的成長投資，如市場SaaS企業的處境，實際獲利者是少數。因此，儘管目前僅是單月獲利，但他認為是一個正向訊號，也樂觀看待未來單月、甚至單季的獲利情形。</p> <p>這一季營收上，Appier執行長游直翰指出，47%的營收成長來自於新客戶，53%來自於既有客戶。之所以達到年增50%的成長動能，他歸功於兩個商業模式帶動的循環。</p> <p>其一，主要AI產品採SaaS平臺服務，企業採用了平臺後開始累積顧客數據，這些顧客數據能用來優化AI引擎，來提升企業行銷成效。這又會讓企業更加仰賴AI平臺，繼續累積的數據，又能再次用來提升AI模型表現，形成正向循環。游直翰表示，這個模式能進一步留住既有客戶，甚至讓他們擴大採用其他產品線。</p> <p>其二是利用數據提供市場洞察，讓自家銷售人員能更快找到潛在客戶來銷售商品，進而提升成交率，比如Appier目前可預測亞洲地區哪一類商家、在哪個時間點的銷售週期最短，銷售團隊用這些資訊來找到目標企業，來提高銷售率，進而帶動單一客戶的毛利率成長。上述兩者加成，來提高銷售與行銷領域的投資報酬率，讓Appier可以透過同樣力度的投資，獲得更多的新客。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-05%20%E4%B8%8B%E5%8D%885_28_36.png" style="width: 700px;" /></p> <blockquote><p dir="ltr">Appier執行長游直翰將年增50%的成長動能，歸功於兩個業務模式帶動的循環。</p> </blockquote> <h3 dir="ltr"><span style="color:#FF8C00;">新增兩大產品功能，更計畫以三種方法整合Chatbot</span></h3> <p>Appier預計在這一季推出兩項新的產品功能。一是深度多模型學習技術（Deep Multi-model Learning）。游直翰解釋，過去深度學習的作法，通常將文字、影像等不同類別的數據分開來訓練，只根據某一類資料來訓練推建模型。而深度多模型學習的作法，可以結合商品圖像、描述文字、屬性、用戶旅程與時間點等不同的參數，找出參數彼此之間的關聯性，來訓練出一個深度學習模型，可以根據顧客在不同時間點、不同條件之下的情境，來進行個人化商品推薦。</p> <p>第二項新功能是No Code工具Creative Studio，不需具備程式開發技能，透過簡單設定與拖拉方式，行銷人員也能客製商品網站的內容。</p> <p>Appier也揭露，今年6月完成Chatbot新創BotBonnie的收購後，目前已經將產品在地化，將推出英語、日語版本的Chatbot，開始在部分市場進行販售。</p> <p>不只如此，Appier也積極將BotBonnie與自家產品線整合，未來兩季將陸續上線。游直翰表示，將進行三種整合。一是將Chatbot數據整合到自家的資料科學平臺，原有平臺過去搜集的大多是網站或App中的用戶行為資料，現在可以增加Chatbot類的數據。</p> <p>其二，則是與行銷自動化平臺結合。游直翰指出，原本的行銷自動化平臺，指能在網站或App上提供顧客個人化互動體驗，未來能將Messenger也加入行銷自動化的流程中。最後一項則是可以與優惠券投放的平臺整合，來增加商家可以投放限時優惠券的管道。過去，當系統找出顧客在瀏覽網站時產生猶豫購買的行為，店家以往只能透過網站或App來投放限時優惠券，未來，就算顧客已經離開網站或App之後，還能透過Messenger等溝通管道，向顧客推播訊息。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-05%20%E4%B8%8B%E5%8D%889_04_25.png" style="width: 700px;" /></p> </div></div></div>
2021/8/6 09:49作者翁芊儒https://www.ithome.com.tw/news/146040
防堵網頁資料抓取，臉書關閉研究政治廣告的學術計畫帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紐約大學一個研究網路平臺政治廣告的計畫，<a href="https://about.fb.com/news/2021/08/research-cannot-be-the-justification-for-compromising-peoples-privacy/" target="_blank">遭到臉書指控</a>抓取網頁資料，違反服務政策，並關閉App、粉絲專頁及平臺帳號。</p> <p>紐約大學坦登工程學院（Tandon School of Engineering）去年啟動名為廣告瞭望臺（<a href="https://adobserver.org/" target="_blank">Ad Observatory</a>）的研究專案。該專案是一個瀏覽器擴充程式，會蒐集使用者瀏覽臉書及YouTube時顯示的廣告。它的研究目的是想了解政治行銷人員如何根據使用者人口特質發送精準廣告，並表示不會蒐集用戶姓名、聯絡人或使用者和廣告互動行為。「Ad Observatory」專案去年美國總統大選前啟動研究，蒐集用戶廣告資料，令臉書感到不滿。</p> <p>臉書表示，Ad Observatory專案利用不合法方式存取及蒐集臉書的資料，已經違反了該公司的服務條款。臉書指稱，Ad Observatory專案是一種網頁抓取（web scraping），從用戶資料頁蒐集使用者名稱、廣告、連向用戶資料頁的連結，以及「我為什麼看到這則廣告」的資訊，其中有些是非公開資訊。臉書還指控連沒有安裝這款擴充程式，或是未同意蒐集的用戶資料都被蒐集了。此外，這家平臺也指出，三名研究人員過去也曾從網路上蒐集並歸檔這些資訊。</p> <p>臉書表示，該公司其實提供多種確保用戶隱私的方法來協助學術研究，像是Ad Library，可提供API及資料集供資料蒐集及分析。</p> <p>去年夏天Ad Observatory團隊首次並未遵循臉書的規定，並歷經多次溝通。臉書宣稱去年10月正式發函警告研究團隊，要求他們在45天內停止。今年初Ad Observatory研究人員再次拒絕配合臉書。</p> <p>臉書說雖然Ad Observatory專案立意良善，仍然違反該平臺的政策。該公司對未經授權的資料抓取的行為相當重視，Ad Observatory屢次溝通未果情況，促使臉書於昨（4）日正式關閉Ad Observatory計畫及其營運人員的帳號，以及App、粉絲專頁和臉書平臺的存取權限。</p> <p>臉書也可藉此強調該公司對網頁資料抓取的態度。今年四月，<a href="https://www.ithome.com.tw/news/143702" target="_blank">一名研究人員發現</a>涵括106國、5.33億筆臉書用戶個資，遭不明人士免費公開在駭客論壇上。外洩資訊包括用戶電話、臉書ID、全名、生日、住址及個人簡歷。臉書表示這是網頁抓取，而非平臺被駭造成的事件，網頁抓取正是違反該公司平臺政策的行為。目前本案已由歐盟著手調查中。</p> <p>本周<a href="https://www.ithome.com.tw/news/146007" target="_blank">The Information</a>報導，臉書正在尋找具隱私技術背景，包括同態加密（homomorphic encryption）、安全運算及資料匿名化的專家，以便能兼顧用戶資料隱私，及分析資料發送廣告的目的。</p> </div></div></div>
2021/8/6 00:04作者林妍溱https://www.ithome.com.tw/news/146042
美國NSA與CISA發布《Kubernetes強化指南》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）與網路安全暨基礎架構安全署（CISA）本周共同發表了一份名為《Kubernetes強化指南》（<a href="https://media.defense.gov/2021/Aug/03/2002820425/-1/-1/1/CTR_KUBERNETES%20HARDENING%20GUIDANCE.PDF" target="_blank">Kubernetes Hardening Guidance</a>）的網路安全技術報告，詳述了Kubernetes環境潛藏的安全威脅，並提供了相關配置的指引，以儘可能地降低其安全風險。</p> <p>Kubernetes（K8s）為一開源系統，能夠自動化地部署、擴展與管理於容器中運作的應用程式。根據<a href="https://www.redhat.com/en/resources/kubernetes-adoption-security-market-trends-2021-overview" target="_blank">紅帽今年的調查</a>，有多達88%的客戶採用了Kubernetes，當中更有74%將Kubernetes應用於生產環境中。在部署Kubernetes的組織中，有26%只在自家的資料中心部署，有28%只部署於公有雲，比例最高的是有47%同時在自家資料中心及公有雲部署Kubernetes。</p> <p>不過，儘管Kubernetes如此熱門，在紅帽的調查裡，那些尚未於生產環境中部署Kubernetes的受訪者中，有超過一半是因為安全問題而延後部署，且幾乎所有的受訪者在去年，都曾經歷至少一次的Kubernetes安全意外。</p> <p>NSA與CISA適時發表的《Kubernetes強化指南》剛好可用來作為部署Kubernetes的安全參考。該報告指出，Kubernetes最常被攻擊的三大原因分別是竊取資料、竊取運算資源，以及服務阻斷，其中，駭客最常覬覦的是Kubernetes環境中的資料，只是也會企圖利用Kubernetes的底層運算架構，來執行諸如開挖加密貨幣等惡意行為。</p> <p>因此，這兩個肩負美國資安的單位建議組織應該要定期掃描容器與容器組（Pod）的安全漏洞，或者檢查是否配置錯誤，並以所需的最低權限來執行容器與容器組，也建議隔離網路，採用防火牆，執行嚴格的身分認證，並稽核紀錄。</p> <p>NSA與CISA亦呼籲各大組織遵循《Kubernetes強化指南》，也應即時更新版本或修補漏洞，儘可能地減少Kubernetes環境中的安全威脅。</p> </div></div></div>
2021/8/5 21:18作者陳曉莉https://www.ithome.com.tw/news/146041
再傳捷報！臺灣資安公司戴夫寇爾研究員二度獲得資安屆奧斯卡獎Pwnie Awards最佳伺服器漏洞獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>東京奧運不停傳出獲獎消息之際，臺灣資安公司戴夫寇爾（Devecore）首席資安研究員Orange Tsai（蔡政達）再度獲得有資安屆奧斯卡獎之稱「2021 Pwnie Awards」的「最佳伺服器漏洞」（Best Server-Side Bug）為臺灣資安圈爭光，相關獎項於臺灣時間8月5日上午8點公布。這也是蔡政達暨2019年以Pulse Secure的SSL VPN產品漏洞獲得年度最佳伺服器漏洞獎後，二度獲獎。</p> <h2><span style="color:#0000FF;"><strong>伺服器端漏洞有7個入圍，3個與郵件伺服器相關</strong></span></h2> <p>黑帽大會（Blackhat）每年都會舉辦漏洞界奧斯卡獎的Pwnie Awards獎項，今年因為疫情關係，同樣也採線上頒獎形式，目的就是希望可以肯定資安研究員的研究。</p> <p>今年，伺服器漏洞的提名有七個入圍漏洞，Orange Tsai在入圍名單公布後，也首度在個人臉書上表示，除了感謝他在今年三月，針對微軟伺服器Exchange漏洞（漏洞編號：CVE-2021-26855；CVE-2021-27065以及其他待揭露漏洞標號)獲得提名肯定外，他也認為，其他的入圍獎項的競爭對手，也都是現今各界需要關注的伺服器漏洞。</p> <p>蔡政達表示，入圍的項目中，有兩個都與微軟印表機漏洞相關，一個是重複修了再修、修了再修的印表機後臺處理程序漏洞（漏洞編號：CVE-2021-1675）；另外一個同樣引發各界關注的漏洞就是，資安研究人員以為已經完成漏洞修補，便把攻擊代碼上傳GitHub後才發現，這其實是一個微軟還沒有修復的漏洞PrintNightmare（漏洞編號：CVE-2021-34527）。</p> <p>他說，還有入圍的漏洞項目有像是基本HTTP協助層的HTTP.sys UAF 漏洞（漏洞編號：CVE-2021-31166）；或者是VMWare ESXI SLP協議上的遠端執行代碼漏洞（漏洞編號：CVE-2021-21974）。</p> <p>除了微軟郵件伺服器外，同時入圍的還有其他兩個常見郵件伺服器的漏洞，一個是15年前發現的漏洞，當年因為無法被駭客利用所以就沒有修補相關漏洞，但到現在，卻因為硬碟和記憶體容量都變大，漏洞變好用、可以遠端代碼執行（RCE）的Qmail郵件伺服器漏洞（CVE-2005-1513），以及被連續發現漏洞的郵件伺服器Exim的21 Nails漏洞，漏洞編號多到無法全部一次列舉。</p> <h2><span style="color:#0000FF;"><strong>最佳伺服器端漏洞由微軟Exchange郵件伺服器漏洞獲得</strong></span></h2> <p>Pwnie Awards得獎名單公布後，Orange Tsai以其花費半年時間研究的微軟Exchange郵件伺服器漏洞，打敗其他來自世界各地的六支隊伍獲獎，這也是他第二度獲得Pwnie Awards的肯定，成為唯一或養的臺灣資安團隊。</p> <p>「當我們放眼全世界，站上國際舞台的時候，使命感就會油然而生，希望能驕傲的講出我們來自台灣。」Orange Tsai覺得很榮幸，過去半年來研究微軟Exchange郵件伺服器漏洞的成果，可以再次獲得Pwnie Awards評審團的青睞，並為臺灣留下一座獎盃。</p> <p>他認為，對戴夫寇爾而言，駭客是終身職，未來也會持續找出更多世界級的漏洞，讓全世界看到臺灣的資安研究能量。</p> </div></div></div>
2021/8/5 19:41作者黃彥棻https://www.ithome.com.tw/news/146039