iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 12篇
近 24 小時: 33篇
近 7 天: 132篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 132 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

甫獲公平會同意，亞太電信與遠傳啟動5G共頻共網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周剛獲得公平會審議通過，亞太電信宣布啟動國內第一個5G共頻共網服務，以遠傳電信的3.5GHz頻段5G網路，對外提供5G服務。</p> <p>亞太電信在去年初5G首次釋照，在當時的策略之下，只取得28GHz毫米波頻段，相較於其他業者在28GHz之外，還取得較主流的3.5GH頻段，並已在去年開臺時搶先提供主流5G服務，亞太電信為唯一一家未取得3.5GHz頻段的電信業者。為挽回5G市場競爭劣勢，該公司去年9月和遠傳電信達成國內第一個5G共頻共網合作協議，亞太電信分攤遠傳電信九分之二的頻譜費用，換取其取得頻段的20年使用權。去年10月亞太電信開臺，先以MVNO身分與遠傳電信合作推出5G服務。</p> <p>這項5G共頻共網合作受到外界的注目，除了新電信管理法上路後，國內首次有電信業者達成共頻共網協議，合力布局5G市場，更因為遠傳與亞太電信的合作涉及資金、股權、董事，關係到電信市場的競爭公平性。</p> <p>今年3月NCC以有條件方式同意兩家公司共用3.5GHz頻段，要求包括兩家公司獨立控管網路，增加2千座基地臺建設，且需提供雙方用戶無差別待遇共同使用網路，並不得共享用戶資料。</p> <p>公平會也在8月初以附附款方式通過兩家的共頻共網合作，考量到遠傳與亞太的共頻共網為水平結合類型，在無線頻譜資源有限下，可避免資源浪費，但應排除兩家業者合作不利於市場競爭的情形，要求在共頻共網之外，不得在資費、終端裝置補貼、行銷有共同經營、聯合行為。</p> <p>在主管機關、市場公平競爭監督機關先後同意之下，亞太電信本周宣布與遠傳電信啟動國內第一個3.5GHz頻段5G共頻共網服務，推出新的5G費率方案。共用遠傳電信3.5GHz頻段5G網路，亞太電信宣稱5G服務已涵蓋全臺網路人口的8成，在共頻共網之下，80MHz頻寬，最快5G下載速度可達到1Gbps。</p> <p>亞太電信指出，由於5G需要大量的基地臺建設，業者間透過共頻共網合作，除了有效利用頻譜資源，也和合作業者加速網路建設，提升上網速率、網路涵蓋，改善用戶的體驗。對電信營運商而言，共頻共網能節省營運成本，聚焦於5G內容、應用發展。</p> <p>配合啟動共頻共網5G服務，亞太電信也推出新的5G資費，包括購機方案及單方號方案，為吸引非吃到飽的5G用戶，加贈上網補充包，提高非吃到飽用戶每月可使用的流量。</p> </div></div></div>
2021/8/13 16:31作者蘇文彬https://www.ithome.com.tw/news/146193
穩定幣USDC發行商Circle宣布將朝向正式銀行邁進
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.circle.com/blog/our-journey-to-become-a-national-digital-currency-bank" target="_blank">穩定幣USDC發行商Circle本周宣布</a>，將努力發展成一家具備100%準備金的全儲備銀行，成為美國正式的商業銀行，且會在符合美國聯邦儲備（Federal Reserve）、美國財政部、美國貨幣總稽核辦公室（OCC）與美國聯邦存款保險公司（FDIC）的監督與風險管理要求的條件下經營。</p> <p>成立於2013年的Circle最早推出的Circle Pay，只是一個支援法定貨幣的行動支付平臺，但該公司於2015年取得了紐約所釋出的第一張BitLicense加密貨幣交易許可，2016年取得英國的加密貨幣交易許可，同年Circle Pay即新增比特幣錢包功能，到了2018年Circle才與加密貨幣交易平臺Coinbase，以及比特幣挖礦晶片設計公司Bitmain共同創立Centre，並發行與美元掛鉤的穩定幣USDC，亦計畫在今年第四季與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）Concord Acquisition Corp合併，藉以登上紐約股市。</p> <p>Circle指出，過去8年來，不管是數位貨幣或是區塊鏈基礎設施的能力，都有非常大的進步，且它們對全球的正面影響愈來愈明顯，從各國主要金融監管機構都開始介入就能看出端倪。</p> <p>至於3年前才發行的USDC，也已成為支援新數位貨幣之金融系統的重要基礎設施，現在USDC的發行量已超過275億美元，Circle相信成為奠基於數位貨幣技術的全儲備銀行，不僅能帶來更有效益的金融系統，也會讓該系統更可靠與安全。</p> <p>Circle預期在未來的幾年內，USDC的發行量就會成長至數千億美元之譜，持續支援低摩擦與高信賴的經濟活動，並將會被廣泛應用於各種金融服務及網路應用上。此外，替美國數位貨幣建立各種國家監管標準，將可協助數位貨幣於實體經濟中發揮潛力。</p> <p>Circle只說出了願景，並未公布成為國家商業銀行的時程表，甚至尚未提出申請，外界則認為這可能需要一段時間才能實現，只是它一旦實現了，便意味著Circle的USDC穩定幣可能會成為實際上的央行數位貨幣。</p> </div></div></div>
2021/8/13 15:41作者陳曉莉https://www.ithome.com.tw/news/146192
Google應用神經網路開發音訊編碼器，不只能壓縮音訊還能抑制噪音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新將人工智慧應用在音訊解編碼器的研究，釋出端到端神經解編碼器<a href="https://ai.googleblog.com/2021/08/soundstream-end-to-end-neural-audio.html">SoundStream</a>，這是一個應用神經網路的音訊解編碼器，可以提供高音質的音訊，並且支援清楚的語音、有雜音和回聲的語音，甚至是混雜音樂、語音和環境音的音訊，Google提到，SoundStream是第一個可以處理語音和音樂的神經網路解編碼器，可以在智慧型手機上即時執行。</p> <p>音訊解編碼器用於有效率地壓縮音訊，以減少儲存和網路頻寬需求，而理想的情況，音訊解編碼器的存在，應該要讓使用者無感，包括無法察覺解碼後的音訊，與原始音訊間存在差異，而且解編碼的過程，也不能產生可察覺的延遲。</p> <p>市面上以及Google的各種影音服務，大量使用了音訊解編碼器，像是Opus和增強型語音服務（Enhanced Voice Services，EVS）。Opus是一種多功能語音和音訊解編碼器，支援從6 kbps到510 kbps的位元率，已經被Google用於視訊會議平臺Meet，還有串流媒體服務YouTube等應用程式中。而EVS則是3GPP標準化機構所開發，是針對行動電話所開發的解編碼器，和Opus相同，是能夠處理多種位元率的多功能解編碼器。</p> <p>這兩種解編碼器雖然可以在中低位元率中表現出色，但是在極低位元率，像是小於等於3 kbps的情況，音質就會急轉直下，Google提到，過去人類利用專業知識，以及增加壓縮演算法的效率，來最佳化音訊的處理，但最近研究人員開始使用機器學習來代替人工設計，以資料驅動的方法學習解編碼音訊。</p> <p>Google發布最新的端到端神經解編碼器SoundStream，其主要技術便是使用神經網路，由編碼器、解碼器和量化器組合而成，所有這些都經過端到端訓練。編碼器會將輸入的音訊，串流為編碼訊號，接著使用量化器對其進行壓縮，並且使用解碼器將訊號轉換回音訊。</p> <p>研究人員提到，SoundStream使用了神經音訊合成領域中，目前最先進的解決方案，透過訓練判別器（Discriminator），計算對抗性和重建損失函式的組合，讓重建的音訊聽起來就像是未壓縮的原始音訊，進而提供高品質音訊輸出。</p> <p>經過訓練後，解碼器和編碼器可以分別在單獨的客戶端運作，以提高網路傳輸高品質音訊的效率。SoundStream處理音訊的效率非常好，特別是在低位元率的情況，研究人員解釋，SoundStream使用3 kbps位元率所提供的音訊品質，超過使用12 kbps位元率的Opus，以及9.6 kbps的EVS，位元率是這些解編碼器的三分之一到四分之一，這代表SoundStream可以使用更小的頻寬，提供類似的音訊品質。</p> <p>在早前，Google發表了基於回歸網路的<a href="https://www.ithome.com.tw/news/143690">Lyra</a>音訊解編碼器，而與SoundStream比起來，SoundStream仍然優於Lyra當前的版本，研究人員也提到，在傳統音訊處理工作管線中，壓縮和增強使用不同模組進行，但這樣的方法會增加系統延遲。而Google採取不同的策略，將壓縮和增強功能綜合在同一個模型中，能夠同時進行壓縮和背景降噪，但又不增加延遲。</p> <p>Google表示，SoundStream是將機器學習技術，應用在音訊解編碼器中重要的一步，比目前最先進的解編碼器Opus和EVS效果更好，而且只需要部署一個可擴展的模型。SoundStream會與下一版本的Lyra一起發布，藉由整合SoundStream與Lyra，開發人員可以利用現有的Lyra API和工具，來提供更好的音質。</p> </div></div></div>
2021/8/13 16:19作者李建興https://www.ithome.com.tw/news/146194
明日起GitHub的Git操作將無法再採用密碼認證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/changelog/2021-08-12-git-password-authentication-is-shutting-down/" target="_blank">GitHub周四（8/12）警告</a>，從太平洋標準時間（PST）8月13日早上9點（臺北時間8月14日凌晨1點）起，GitHub.com將不再接受以帳號/密碼進行身分驗證的方式來執行Git操作，而是必須採用基於權杖（Tokens）的身分驗證方式才行。</p> <p>其實<a href="https://www.ithome.com.tw/news/141715" target="_blank">GitHub自去年底就發布了此一訊息</a>，目的是為了保護該站用戶的帳號安全，並鼓勵使用者透過個人存取權杖、OAuth、SSH Key或GitHub App等方式進行身分驗證。</p> <p>為了協助使用者適應此一變更，GitHub早在今年的6月與7月各執行兩次的演習，暫時關閉對密碼驗證的支援，以密碼執行的Git操作也會失效。</p> <p>GitHub指出，相較於密碼，權杖具備許多安全優勢，包括它是個單次、獨一無二且專為GitHub產生的，還可隨時個別撤銷且不必更新憑證，還能縮小可存取的範圍，並能預防諸如字典攻擊或暴力破解等型態的攻擊行動。</p> </div></div></div>
2021/8/13 14:26作者陳曉莉https://www.ithome.com.tw/news/146185
傳Amazon考慮監視客服員工打字以防止客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於客服人員帳密被冒用或被買通洩露客戶個資情形嚴重，電商龍頭Amazon設法防堵。<a href="https://www.vice.com/en/article/dyvejq/amazon-monitor-employees-keyboard-mouse" target="_blank">The Motherboard取得的一份內部文件顯示</a>，Amazon正在評估導入監控客服人員鍵擊動作的技術，以防止不肖員工或駭客竊取客戶個資的情形。</p> <p>根據媒體取得的內部報告，Amazon正在評估的技術並非鍵盤側錄、蒐集員工輸入內容，而是一種姿勢辨識技術。它是根據員工打字及使用滑鼠的自然動作，產生資料檔，然後持續監控未來使用同帳號的人的打字、滑鼠使用是否為員工本人，或者是用了員工帳號或趁他不在盜用電腦的第三人。</p> <p>這份報告也點出Amazon目前在保護客戶資料的挑戰。這些挑戰包括員工居家上班的資料外洩風險，該公司驗證外部、委外員工身分安全工具不足，以及Amazon營運地點包含腐敗及犯罪行為嚴重的地區。Amazon考慮蒐集員工所有鍵擊動作，並能用於遠端辦公情境，來克服可能的資料竊取行為。</p> <p>這份報告列出了可能的客戶資料外洩情形。其中包括員工在家上班，但其同住室友想看一下名人買了哪些產品，或是員工利用一種50美元的高速鍵擊裝置，可在一小時內竊取數千客戶個資。此外，客服人員也可能被駭客買通出借其帳密或雙因素驗證裝置，使「買主」得以存取客戶紀錄。</p> <p>Amazon文件也引用該公司在特定期間，於全球營運市場發生安全威脅事件的比例，其中印度、菲律賓及美國名列前三。不過報告未說明安全威脅事件所指為何。</p> <p>針對這份報導，Amazon回應維護客戶及員工資料安全與隱私是其最重要任務，該公司拒絕透露使用了什麼技術，但表示會持續尋求新方法來保護客戶個資，同時維持員工隱私。</p> <p>過去一年來Amazon已經發生數起員工勾結外部人士盜取數TB的機密資訊，或竄改平臺上的資料圖利特定賣家，以及<a href="https://www.ithome.com.tw/news/140802" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">洩露Amazon上數千名賣家員工或消費者個資</a>，<a href="https://www.ithome.com.tw/news/140116" target="_blank">而遭到Amazon解僱及起訴</a>。</p> </div></div></div>
2021/8/13 14:40作者林妍溱https://www.ithome.com.tw/news/146187
英國對臉書併購Giphy一案展開調查，若危害競爭將要求臉書出售Giphy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書在去年5月宣布收購GIF圖庫暨分享平臺Giphy，並將Giphy納入Instagram麾下，當時外傳的收購金額為4億美元。然而，<a href="https://www.gov.uk/government/news/facebook-s-takeover-of-giphy-raises-competition-concerns" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）本周表示</a>，正在調查臉書與Giphy的合併案是否違反市場競爭，倘若答案是肯定的，可能會要求臉書出售Giphy資產。</p> <p>CMA的考量從臉書家族的市占率、Giphy市占率、Giphy廣告為臉書競爭對手，一直到收購Giphy可能對臉書競爭對手不利的因素著手。</p> <p>根據調查，全球網路使用者在社交平臺上所花費的時間，包括Facebook、WhatsApp與Instagram等臉書家族就囊括了7成，另一方面，Giphy身為全球最大的GIF圖庫，市場上唯一能與Giphy競爭的是Google Tenor。</p> <p>有鑑於使用者愈來愈常於社交平臺上使用GIF，CMA擔心此一收購將限制諸如TikTok、Twitter或Snapchat等臉書競爭對手使用Giphy服務，包括拒絕它們使用，或者是要求競爭對手必須提供用戶資料才能使用等。</p> <p>另一方面，Giphy在美國市場推出的付費廣告服務，亦為臉書陳列式廣告服務的競爭對手，且原本已準備將付費廣告服務擴張到英國市場，但臉書卻在雙方完成交易之後，中止了Giphy在英國的各種付費廣告合作協議，顯示出此一併購案不僅消滅了臉書的潛在競爭，也影響了當地廣告主的選擇。</p> <p>此外，英國一年的陳列式廣告市場規模約為55億英鎊，而光是臉書就占了50%。</p> <p>CMA說，除了英國之外，還有其它市場的競爭監管機構正在調查此一併購案，它們打算進行交流以協助彼此的調查，而判斷該交易是否危害市場競爭的正式報告，預計在今年10月6日出爐。</p> </div></div></div>
2021/8/13 14:50作者陳曉莉https://www.ithome.com.tw/news/146188
臉書也將美國、部份國外員工回公司時程延到2022年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2021/08/12/facebook-delays-return-to-office-until-january-2022-for-us-some-international-employees.html" target="_blank">CNBC報導</a>，因為COVID-19疫情再次燃起，臉書周四再將美國員工以及部份海外員工回公司上班的日期，推遲到明年1月。</p> <p>臉書聲明，資料是公司判斷員工返回公司的決策依據。由於近日健康資料顯示COVID-19 Delta變種的確診案例激增，本公司美國團隊在2022年1月之前，不會被要求返回公司上班，而某些海外國家也可望採行相同作法。臉書表示會持續關注情況，確保所有人安全回公司上班。</p> <p>有鑒於美國COVID-19疫情隨管制放鬆再度復燃，使科技公司放緩公司重回正軌的腳步。<a href="https://www.ithome.com.tw/news/146066" target="_blank">Amazon上個星期</a>首先宣布允許美國員工在家辦公直到明年1月3日。<a href="https://www.cnbc.com/2021/07/30/companies-are-already-pushing-their-return-to-office-plans-to-2022.html" target="_blank">Lyft也宣布同樣計畫</a>。</p> <p>目前微軟、Google都還是維持今年10月回公司辦公的計畫，但也表示會持續關注疫情而調整措施。</p> </div></div></div>
2021/8/13 15:15作者林妍溱https://www.ithome.com.tw/news/146190
釣魚郵件攻擊出現新手法，駭客採用摩斯編碼、ASCII等多種編碼來混淆附件內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者為了避免釣魚郵件遭到攔截，附件檔案很可能會利用較為少見的檔案格式，來挾帶作案工具，例如，<a href="https://www.ithome.com.tw/news/145659">光碟映象檔（ISO、IMG）</a>，甚至是<a href="https://www.ithome.com.tw/news/145336">Windows映象檔格式（WIM）</a>等，這些檔案格式對於部分郵件防護系統而言，無法解讀其中的內容，沒辦法得知是否有害。但最近也有攻擊者改變策略，使用一般郵件可能會出現的附件檔案類型，來挾帶含有攻擊意圖的工具，避免上述附件的檔案格式可能會被網管人員列為黑名單封鎖的情況。</p> <p>最近<a href="https://www.microsoft.com/security/blog/2021/08/12/attackers-use-morse-code-other-encryption-methods-in-evasive-phishing-campaign/">微軟揭露一起挾帶HTML檔案的釣魚郵件攻擊</a>，攻擊者以寄送發票為幌子，目的是要偷取使用者Office 365的帳密。這起攻擊行動自2020年7月出現，為期至少一年，而當中較為特別的地方，就是攻擊者藉由Base64、ASCII、Unicode、摩斯編碼，將HTML程式碼混淆，來規避郵件防護系統檢查內容的範圍，而且，攻擊者每隔1到2個月（平均間隔37天），便會調整、改進編碼搭配的方式，使得這類釣魚郵件的附件更難被察覺異狀。</p> <p>值得留意的是，並非整個HTML檔案的程式碼，攻擊者都會採用相同的編碼進行混淆，而是有可能在不同的程式碼片段，利用2至3種編碼。微軟指出，從HTML程式碼的功能來看，大致可區分為4個模組。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig3b-anatomy-of-phishing-campaign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig3b-anatomy-of-phishing-campaign.png" style="width: 580px; height: 291px;" /></a></p> <p>第1個是攻擊目標的電子郵件信箱位址，第2個則是從特定來源網站取得受害者所屬企業的商標，假若來源網站沒有對應的圖片檔案，HTML檔案便會顯示Office 365圖示。</p> <p>接著，第3與第4個模組皆為JavaScript程式碼，但功能不同：第3與模組的用途，是載入看起來很模糊的Excel文件畫面，並顯示使用者登入Office 365逾時，需要重新登入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-sample-credentials-dialog-box.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-sample-credentials-dialog-box.png" style="width: 580px; height: 262px;" /></a></p> <p>至於第4個模組的用途，則是會顯示假的Office 365登入介面，一旦使用者上當輸入帳密，這組程式碼便會將帳號資料回傳，並顯示輸入密碼錯誤的訊息。</p> <p>從微軟彙整出的混淆手法演進過程而言，駭客迄今已經更換了10次混淆手法。例如，以攻擊初期（2020年7月）而言，駭客尚未採用混淆手法，HTML檔案的內容，皆是一般明文的HTML程式碼；而到了2020年8月下旬至10月的攻擊行動中，攻擊者開始針對企業商標的圖片，以及釣魚工具套件的來源網域，採用Escape編碼機制來進行混淆處理，其餘部分仍是使用明文的HTML程式碼。</p> <p>在這些混淆手法的演進過程中，攻擊者混合了多種演算法來處理附件的HTML檔案，像是Base64、ASCII、Unicode編碼，以及摩斯編碼等，甚至還有部分模組透過二次編碼處理的情況，混淆手法可說是相當複雜。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig4c-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig4c-timeline.png" style="width: 580px; height: 333px;" /></a></p> <p>微軟指出，這樣的HTML檔案，各部分程式碼看起來都是無害的，只有在經過解密且組合在一起的時候，才會顯現攻擊意圖，因此，許多郵件防護系統可能難以偵測出異常。</p> </div></div></div>
2021/8/13 12:49作者周峻佑https://www.ithome.com.tw/news/146181
愈來愈多網釣連結濫用Google開放重定向功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.greathorn.com/blog/google-and-open-redirects-preventing-your-users-from-becoming-a-victim-of-attacks/" target="_blank">安全廠商Greathorn發現</a>，近日有愈來有多網釣攻擊者利用Google Meet和Google DoubleClick的開放重定向（open redirect）功能，將用戶導向惡意網站騙取帳密。</p> <p>Greathorn研究團隊估計，今年第1季到第2季之間，使用Google Meet和Google DoubleClick中的開放重定向功能的網釣攻擊成長了84%。</p> <p>開放重定向是一項功能，也可說是一項漏洞。合法網域，像是Google允許使用者輸入並指定URL目的地為何，而將使用者導向任何協力網站、包括惡意網站。開放重定向功能也常被用在網釣攻擊，以騙取用戶的帳號及密碼。</p> <p>DoubleClick是Google 2007年收購的老牌廣告聯盟技術，但從2008年就被發現重定向的安全隱憂，但是迄今尚未解決。2014年的惡意廣告攻擊就是利用doubleclick.net廣告聯盟網路所為。在開放重定向攻擊中，只要參數中加入目的地URL即可；在DoubleClick中用的是參數是「adurl=」，攻擊者甚至無需DoubleClick帳號即可設定開放重定向。</p> <p>而Google Meet則在COVID-19疫情下，成為新興的惡意連結散布管道。拜去年的疫情所賜，遠距辦公及虛擬會議需求大增，Google Meet每日與會者超過1億，但也成為犯罪者的工具。在Google Meet傳送的URL使用「linkredirect?」即可發動開放重定向攻擊。</p> <p>根據Greathorn估計，今年1到2季之間，利用Google Meet傳送的惡意連結量成長57%，而利用DoubleClick平臺傳送的惡意連結更大增141%。</p> <p>為防止Google二項服務成為網釣攻擊管道，安全廠商建議搞清楚其電子郵件安全平臺是怎麼分析網域權重（Domain Authority）及目的地網站，以防用戶受到開放重定向攻擊。同時也應設定限定自家合法網域的URL重定向。</p> </div></div></div>
2021/8/13 13:58作者林妍溱https://www.ithome.com.tw/news/146184
Fintech周報第193期：台新銀行與新創業者合作開發，為外籍移工推出ATM跨境匯款代收服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0807～0813</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台新銀行 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Q Pay </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 外籍移工匯款 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台新銀行與新創業者合作開發，為外籍移工推出ATM跨境匯款代收服務</span></strong><br /><span style="vertical-align: top;">依據勞動部5月底的統計資料顯示，全臺有超過71萬名外籍移工在臺工作，每年外籍移工匯回家鄉的薪資總額達30億美元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">不過，台新銀行表示，移工們時常受限於工作時間和語言隔閡，導致無法在營業時間到銀行順利辦理交易，往往是以地下匯兌的方式進行交易，除了有被收取較高的匯款手續費，以及較差的匯率條件風險之外，更有不確定如期全額到帳的風險存在。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">鎖定外籍移工匯款商機，台新銀行近期與新創業者共同開發，推出ATM跨境匯款代收服務，同時，台新銀行ATM支援英文、印尼文、泰文、越南文等移工較常使用的7國語系，讓移工不受時間限制，使用跨境匯款代收服務，乃國內銀行業首創。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BBVA </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 螞蟻集團 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">BBVA將金融服務整合到螞蟻集團的全球貿易區塊鏈平臺Trusple</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20BBVA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20BBVA.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">西班牙外換銀行BBVA與阿里巴巴旗下螞蟻集團已簽署協議，將BBVA的跨境支付與融資服務，整合到螞蟻集團的全球貿易區塊鏈平臺Trusple上。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">Trusple平臺在去年9月推出，是螞蟻集團以自行開發的螞蟻鏈為基礎，建構的數位化國際貿易與金融服務平臺，主要服務對象為中小型企業，提供一站式進出口貿易服務，從查看供應商的資料、起草訂單、約定支付條件、自動付款與發貨保障、貿易金融服務到交易結束。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，全球已有10多家金融機構加入該平臺，包括法國巴黎銀行（BNP Paribas）、花旗銀行（Citibank）、星展銀行（DBS）、德意志銀行（Deutsche Bank ）、阿聯酋杜拜國家銀行（Emirates NBD）、泰國大城銀行、瑞穗銀行（Mizuho Bank）、三菱日聯銀行（MUFG Bank）、華僑銀行（OCBC Bank）、渣打銀行（Standard Chartered）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">BBVA表示，服務將由BBVA墨西哥與BBVA西班牙提供，以便從中國進口貨物的墨西哥與西班牙進口商，可以在Trusple平臺支付營運費用，不用再使用外部服務。此系統透過使用智能合約，當進口商與出口商達到合約中所設定的條件時，便能自動執行交易。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">BBVA預計，首批試點系統將在2022年初推出，將為從中國進口貨物的西班牙與墨西哥的中小企業顧客提供服務。<a href="https://www.bbva.com/en/bbva-to-offer-payment-and-financing-services-on-trusple-ant-groups-blockchain-platform-for-global-trade/">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台灣人壽 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 大數據分析 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">台灣人壽集結百人專案團隊全面改版官網，用大數據分析增添多項新功能</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，台灣人壽宣布推出改版後的新官網，由內部近百名通路、服務、行銷、資訊等人員所組成的專案團隊共同打造，主要在UI/UX全面再造操作流程與使用介面，並應用大數據分析與快速篩選功能，針對商品特色與給付項目設計易懂圖樣，讓用戶可快速了解產品特性，並找到想要的產品。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">同時，改版後的官網也歸出最適產品推薦的功能，用戶在填寫簡單的問題後，系統會依照個人化人生階段或目標，結合台灣人壽大數據團隊建議，推薦所需商品組合並提供給付項目比較。此外，為了提供投資型保單理想投資標的資訊平臺，台灣人壽官網也新增了強化設置標的查詢功能，提供市場警訊及最新趨勢。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 視訊輔助平臺 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 集保結算所 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">集保結算所上線視訊輔助股東會平臺，投資人可透過3項管道視訊參與股東會</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E8%A6%96%E8%A8%8A%E8%BC%94%E5%8A%A9%E5%B9%B3%E8%87%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%87%BA%E7%81%A3%E9%9B%86%E4%B8%AD%E4%BF%9D%E7%AE%A1%E7%B5%90%E7%AE%97%E6%89%80.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">因應疫情，金管會在今年6月底宣布，所有公開發行公司在8月16日到31日這段時間，除了可召開實體股東會外，符合一定條件的公開發行公司，可採取實體股東會並以視訊輔助，並委由臺灣集中保管結算所建置視訊輔助股東會平臺。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">該平臺近期已正式上線，集保結算所總經理朱漢強表示，視訊輔助股東會平臺是國內首次推動的新制度，截至7月底，已有十幾家發行公司申請使用，這些發行公司尚未電子投票或交付委託書的股東，在股東會4天前完成登記後，股東會當日便能使用視訊方式參與股東會。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">集保結算所表示，投資人可以透過3項管道登記並以視訊方式參與股東會，分別是使用手機，透過集保e手掌握App或券商下單App，導入股東e票通平臺；或使用電腦以自然人憑證、工商憑證或TW FidO行動識別等認證方式登入股東e票通平臺。<a href="https://www.tdcc.com.tw/portal/zh/news/content/402897957a8b50db017b1ad861090040">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 國泰世華銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 點數經濟 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">國泰世華銀行信用卡紅利點數已全數轉換為區塊鏈平臺小樹點，要作為經營顧客的工具</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E5%9C%8B%E6%B3%B0%E4%B8%96%E8%8F%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%8B%E6%B3%B0%E4%B8%96%E8%8F%AF%E9%8A%80%E8%A1%8C.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">近期，國泰世華銀行將所有信用卡紅利點數，低調改用區塊鏈平臺小樹點。國泰世華銀行資深副總經理鄭有欽提到，國泰世華銀行在今年6月底，已將過往信用卡消費所回饋的紅利點數正式更名為「小樹點」，並進行換匯，讓小樹點1點等同於新臺幣1元，作為經營顧客的工具。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">現在，國泰世華信用卡用戶在每次刷卡後，可立即透過網銀App等多個數位平臺，以消費累積回饋的小樹點折抵該筆消費金額，不必等到每月帳單結算時才能折抵。另外，該行表示，信用卡消費所回饋的小樹點，也能夠在國泰優惠App上兌換各式商品，進一步放大回饋點數的應用價值。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 校園金融 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 成功大學 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">成大自動繳費機導入永豐銀行動支付服務，2萬名學生可用掃碼支付學雜費</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%965_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C.jpeg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行與成功大學自去年開始，啟動第二階段產學合作，雙方共同推動校園未來金融實驗專案。近期，成大自動繳費機導入永豐行動支付服務正式上線，讓成大2萬多名學生在繳交學雜費或其他行政規費時，不用帶大筆現金，只要掃一下自動繳費機的QR Code，就能以任一銀行支援行動支付綁定的信用卡、簽帳金融卡或Samsung Pay、Apple Pay、Google Pay這3大行動支付完成繳費。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">配合2023年起《民法》成年定義下修至18歲，到時候大學生可自主開戶或辦理信用卡。永豐銀行與成大未來金融實驗團隊，花費3個月時間，進行學生體驗統整、實際場域訪查後，在今年7月底在自動繳費機導入永豐行動支付服務，可繳納學雜費、成績單、學位相關證明文件或補發識別證等規費、宿舍電費、行政費及臨時停車費等，同時，減少校方日終現金清點與對帳程序。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行透露，下一階段將與成大計算機與網路中心合作，開發線上繳費平臺，透過API應用串接金流與校內資訊流，預計今年9月上旬正式上線。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">BBVA</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">臺灣集中保管結算所</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">國泰世華銀行</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">永豐銀行</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>中國信託銀行上線「股利e通知」服務，422家發行公司每年1千萬封股利紙本通知書全面數位化</strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年8月</strong></p> </div></div></div>
2021/8/13 12:41作者李靜宜https://www.ithome.com.tw/news/146180
Redis Labs更改公司名稱與記憶體資料庫Redis同名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis主要貢獻和贊助廠商<a href="http://redis.com/blog/becoming-one-redis/">Redis Labs</a>，現在要更改名稱，刪除Labs字樣，使用與記憶體資料庫相同名字Redis，官方提到，這項更改反映出他們專注的目標與提供的產品。</p> <p>對於將公司名稱直接改為Redis，該公司在部落格說明了其正當性。Redis Labs在2011年成立之後，便開始貢獻Redis專案，當時Redis專案創建不到2年，在2015年的時候，Redis Labs便進一步開始贊助Redis專案，而Redis創建者Salvatore Sanfilippo也加入Redis Labs，成為主要專案貢獻者，雖然Salvatore Sanfilippo在2020年的時候不再專注維護Redis，但是仍是Redis Labs諮詢委員會成員之一。</p> <p>Redis Labs多年來，其商業模式是以Redis為基礎，開發模組擴展功能集，提供企業級服務，在去年開發了RedisRaft，於Redis 7.0發布的時候一起釋出，使得Redis可成為強一致性資料庫。官方強調，雖然公司名稱變更，但是Redis的授權、管理和控制方式沒有改變，Redis將會繼續使用BSD授權，而去年更新的治理模式，也會繼續維持。</p> <p>官方提到，名稱變化對客戶來說，在程式碼和授權都不會有任何變化，但是網站會使用新的標誌，合約上也會使用新的名稱。對於合作夥伴也不會有任何影響，官方希望藉由名稱更改，讓客戶更直接了解Redis產品和合作夥伴的產品，有助於Redis發展與成長。</p> </div></div></div>
2021/8/13 11:20作者李建興https://www.ithome.com.tw/news/146174
趨勢科技修補已遭到攻擊的Apex One產品漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/solution/000287819" target="_blank">趨勢科技近日發布安全公告</a>，修補旗下端點安全產品，包括本地部署及雲端版Apex One中的4項漏洞，同時警告其中2個漏洞已經被駭客串聯起來對用戶發動攻擊。</p> <p>這次修補的漏洞包括CVE-2021-32464、CVE-2021-32465、CVE-2021-36741、CVE-2021-36742。其中CVE-2021-32464和CVE-2021-32465各為權限許可分配和許可保存不當，造成的權限升級及驗證繞過漏洞。CVE-2021-36741為任意檔案上傳漏洞，CVE-2021-36742則為本地權限升級漏洞。前二項漏洞是外部研究人員Kharosx0和HexKitchen發現後通報，而後2項則為趨勢科技研究人員發現。這4項漏洞皆屬於CVSS 3.0風險值7.1到7.8的安全漏洞。</p> <p>受到影響的產品涵括本地部署的端點安全產品Apex One，以及SaaS 版的Apex One as a Service。</p> <p>趨勢科技警告，已經觀察到網路上發生至少一起串聯 CVE-2021-36741和CVE-2021-36742的開採活動，並已通知這些企業客戶。CVE-2021-36741需要攻擊者登入產品管理介面才能開採，如果成功即能上傳任意檔案。CVE-2021-36742需要攻擊者在受害系統上執行低權限程式，但一經開採漏洞，他就能進一步提升系統權限。雖然這些漏洞需要有一些先決條件，但為確保安全，趨勢科技仍呼籲用戶儘速將產品升級到最新版本。</p> <p>這是今年以來Apex One第二波被人試圖駭入。<a href="https://success.trendmicro.com/solution/000245571" target="_blank">今年5月趨勢科技更新一則安全公告</a>，<a href="https://www.ithome.com.tw/news/136422" target="_blank">指出去年修補的Apex One及OfficeScan（Apex One前身）漏洞遭人第二度攻擊</a>。</p> </div></div></div>
2021/8/13 11:35作者林妍溱https://www.ithome.com.tw/news/146178
Cloud周報第116期：IDC：疫情加速企業數位轉型，2025年臺灣公有雲服務市場規模將破20億美元，年複合成長率1…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2021/08/05～2021/08/11）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC調查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公有雲服務市場 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>IDC：2020年臺灣公有雲服務市場規模破870億美元，年成長率22.5%</strong></span></strong></p> <p>市場調查機構IDC近日發布最新公有雲服務市場半年度追蹤報告，針對臺灣公有雲整體市場調查的結果顯示，2020年臺灣公有雲整體市場規模達870.9百萬美元，年成長率為22.5%。其中，IaaS占整體市場規模的39.9%，PaaS占比為7.5%，SaaS的比重則是52.6%。IDC表示，由於疫情帶動臺灣企業加速數位轉型，預期2021年臺灣公有雲市場將成長達10.57億美元，年成長率21.4%，並會以19.1%的年複合成長率，於2025年達20.85億美元的規模。</p> <p>另外，2020年IaaS主要業者在臺灣公有雲的市占表現，AWS以接近5成的市占率維持最大公有雲服務業者的位置。IDC觀察AWS仍是臺灣數位原生、新創和中小企業採用公有雲服務的首選。居次的是微軟，IDC觀察其近年積極搶攻臺灣大型企業市場，加上疫情期間遠端辦公服務的需求迅速上升，促使微軟2020年在臺灣市場的IaaS營收呈現穩定增長的態勢。</p> <p>Google市佔率排名第三，IDC表示，其不斷擴大GCP銷售團隊和在地合作夥伴數量，再加上具本地資料中心、價格等優勢，是線上遊戲、影音串流和媒體內容等業者最喜愛的公有雲服務業者。臺灣本土公有雲服務業者中華電信、遠傳電信則維持第四、第五名。<a href=" https://www.idc.com/getdoc.jsp?containerId=prAP48131121">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療產業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床分析 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>GE醫療搬遷成像、臨床分析平臺上雲端，要讓醫師更快產出臨床研究分析結果</strong></strong></p> <p>GE旗下子公司GE醫療近日宣布，將搬遷多個軟體平臺上AWS，讓醫療業者和AI開發者更容易存取臨床數據，來加快產出臨床醫學分析結果。專門提供醫學成像、數位醫療技術的GE醫療，計畫搬遷上AWS的工作負載，包含了AI平臺Edison Health Services，還有AI成像應用程式，以及診斷成像解決方案Edison True醫療影像儲傳系統（PACS）。</p> <p>以AI平臺Edison Health Services為例，每年收集來自GE醫療服務的醫院用戶約50PB資料，涵蓋電子病歷記錄、成像和其他醫療設備的資料，供臨床醫生和AI模型開發人員倒入演算法，來生成關於個別病患健康狀況，以及醫療院所營運的分析結果，來進一步支援精準醫療的照護。GE醫療表示，通過雲端，Edison Health Services平臺可供醫院獲取和整合不同來源的龐大數據，提高臨床醫學效率和生產力，並協助醫生改善患者的照護。<a href=" https://www.ge.com/news/press-releases/ge-healthcare-announces-strategic-collaboration-agreement-with-aws-to-transform-care?_ga=2.30837499.574224698.1628649150-1650499242.1628649150">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VM故障 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 根本原因分析 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Azure利用遙測分析系統解析設備和服務的日誌資料，企業現可從資源健康狀態總覽掌握VM故障根本原因</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_VM%E7%95%B0%E5%B8%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 396px;" /></strong></span></p> <p>微軟日前更新Azure資源健康狀態總覽功能，，Azure用戶現可從狀態總覽掌握造成VM故障的根本原因。Azure資源健康狀態總覽功能可協助Azure用戶診斷影響Azure服務的問題，現藉由根本原因分析引擎，進一步解析Azure平臺的設備和服務的TB級日誌遙測資料，並串起關聯性資料，可提供不同不同故障狀況的根本原因。企業在VM發生可用性問題時，除會獲得通知外，一旦根本原因分析引擎找到導致VM故障的Azure平臺元件，也可掌握故障的調查細節。</p> <p>根本原因分析引擎的背後核心技術是Azure資料總管，這是一個大規模日誌遙測分析系統，經最佳化提供資料分析服務，能解析Azure平臺的設備和服務的日誌遙測資料。根本原因分析分幾個階段進行，第一階段定義分析觸發事件，接著，分析日誌遙測資料的相關性，下一階段，應用歸因規則解釋遙測資料關聯性資訊，並轉換為企業能理解的訊息，最後，發布根本原因到Azure資源健康狀態總覽功能，供企業查看。<a href=" https://azure.microsoft.com/zh-tw/blog/advancing-azure-virtual-machine-availability-transparency/?cdn=disable">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬私有雲 </span></strong></span> <span style="color:rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路連接 </span></strong></span> </p> <p><span style="font-size: 22px;"><strong>Google雲端推出私有連接服務Private Service Connect，供企業安全地連接VPC到GCP服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(17).JPG" style="width: 600px; height: 263px;" /></p> <p>Google正式推出私有連接服務Private Service Connect，供企業建立私密、安全的連接，來依需求連接VPC與Google雲端服務、第三方服務或自身服務。通過Private Service Connect，企業可私有、安全地連接雲端網路到Cloud Storage、Cloud Bigtable等GCP平臺服務，或是連結到Elastic、MongoDB、Snowflake等第三方服務，並且可跨屬於不同組、專案的VPC網路使用私有服務。Private Service Connect會在企業的VPC中，建立服務連接端點，以提供私有連接和政策控制，使企業能連接到跨不同網路和組織的服務。<a href=" https://cloud.google.com/blog/products/networking/private-service-connect-is-now-generally-available">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網頁機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 應用程式閘道服務 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>Azure應用程式閘道新增網頁機器人防護功能，企業能封鎖來自惡意IP的機器人</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_%E7%B6%B2%E9%A0%81%E6%A9%9F%E5%99%A8%E4%BA%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 600px; height: 362px;" /></strong></strong></p> <p>微軟近日宣布Azure應用程式閘道服務新增防止網頁機器人的功能，可封鎖來自特定IP的網頁機器人程式。新增的防網頁機器人功能嵌入於網頁應用防火牆，可供企業利用網頁應用防火牆的防護規則，來封鎖或記錄來自已知的特定惡意IP位址的呼叫，而這些惡意IP位址則是來自微軟威脅情報源。微軟表示，一旦阻擋惡意機器人停止在網頁應用防火牆，機器人便無法攻擊用戶。當有呼叫連線時，新功能會根據微軟威脅情報的名單，過濾IP位址，一旦比對有問題，就會予以封鎖。企業也可以搭配開放網路軟體安全計畫（OWASP）的核心規則集（CRS），使用網頁應用防火牆規則，來增加多一層的防護。<a href="https://azure.microsoft.com/en-us/updates/general-availability-web-application-firewall-waf-bot-protection-on-application-gateway/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資源 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color: rgb(51, 153, 255);"> 閒置專案辨識 </span></strong> </span></p> <p><span style="font-size: 22px;"><strong>Google雲端發布可辨識閒置雲端軟體專案的新服務，供企業減少資源浪費</strong></span></p> <p>Google雲端近日發布一項名為Unattended Project Recommender的新服務，供企業找出閒置或少用的雲端軟體專案，並提供解決建議，來降低雲端資源使用的浪費狀況。Unattended Project Recommender是Google Active Assist的新功能，提供企業能發現、回收和關閉已不常用專案的各式整合工具，並利用機器學習技術分析API、雲端服務使用量、網路活動、雲端資源費用，以及其他訊號，來辨識新服務是Google Active Assist的新功能，提供能發現、回收和關閉已不常用專案企業因不再使用測試環境、取消專案等狀況，可能會放棄的雲端專案。</p> <p>此外，新服務會提供企業矯正建議，藉此協助企業減少資源浪費，以及降低安全風險，也會提供風險評估資訊，像是刪除該專案會不會影響營運，或是造成資料不可逆的損失。Unattended Project Recommender透過Recommender API整合企業現有工作流程管理、通訊工具，也可輸出報表結果到Google BigQuery表格提供客製化分析。經Google內部測試後，新服務已經提供數家企業試用，近日發布Beta版開放公開測試。<a href=" https://cloud.google.com/blog/products/identity-security/google-cloud-launches-unattended-project-recommender">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端服務市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續性指標分析 </span></strong></span> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>Canalys調查：全球雲端基礎設施市場規模Q2達470億美元，企業越加重視雲服務的永續性發展目標</strong></span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96_Cloud21Q2_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Canalys.png" style="width: 600px; height: 337px;" /></strong></span></strong></p> <p>市場研究機構Canalys近日公布今年度全球第二季雲端基礎設施服務市場調查報告，該季全球雲端服務市場規模達470億美元，同比成長36%，增長了近120億美元，而相比今年第一季則增加了近50億美元。根據Canalys的觀察，過去一年半以來，疫情大流行暴露了許多經濟和營運的脆弱點，促使重直產業鏈的所有組織都採取相應的錯是，並專注於業務彈性的規畫，而加速了數位轉型進程，並增加了雲端資源的採用需求。</p> <p>此次報告中，雲端基礎設施服務市占第一的仍是AWS，占總體市場規模達31%，同比營收成長37%，其次是Azure占比為22%，同比成長51%，排名第三的是Google雲，市占率為8%，同比成長達66%。隨著政府、企業、消費者和投資者提出永續性的發展目標，科技服務業者對環境造成的影響正備受關注，Canalys首席分析師Matthew Ball表示，越來越多雲端服務合約涵蓋永續性要求，企業將不斷評估採用的雲端服務永續發展表現，並採用多雲策略來實現最低的碳足跡，他強調，雲端服務業者必須提高永續性實踐狀況的透明度。<a href=" https://canalys.com/newsroom/global-cloud-services-q2-2021">（詳全文）</a></p> <p><strong>圖片來源／IDC、微軟、Google雲端、Canalys</strong></p> <p><strong><span style="background-color: rgb(51, 153, 255);"> <span style="color:#FFFFFF;">更多Cloud動態 </span> </span></strong></p> <p><strong>1.微軟發布醫療業專用資料服務Azure Healthcare API，供交換、分析多種健康醫療資料，再以FHIR格式儲存以便後續使用</strong><a href=" https://azure.microsoft.com/zh-tw/blog/microsoft-cloud-for-healthcare-expands-portfolio-with-azure-healthcare-apis/">（詳全文）</a></p> <p><strong>2.Amazon Transcribe通話分析現可快速擷取顧客來電特徵，企業不需建立AI工作管線、訓練自定義模型</strong><a href=" https://aws.amazon.com/tw/blogs/aws/extract-insights-from-customer-conversations-with-amazon-transcribe-call-analytics/">（詳全文）</a></p> <p><strong>3.Azure新增勒索軟體偵測服務，一旦偵測到可疑勒索軟體活動特徵，會透過Azure Sentinel發送訊息給管理員</strong><a href=" https://techcommunity.microsoft.com/t5/azure-sentinel/what-s-new-fusion-detection-for-ransomware/ba-p/2621373">（詳全文）</a></p> <p><strong>資料來源：iThome整理，2021年8月</strong></p> </div></div></div>
2021/8/13 10:38作者黃郁芸https://www.ithome.com.tw/news/146175
甲骨文以機器學習強化MySQL Heatwave，叫戰Amazon Aurora、Google BigQuery
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/news/announcement/mysql-autopilot-for-heatwave-2021-08-10/" target="_blank">甲骨文本周宣布</a>，MySQL Autopilot以機器學習技術來強化線上資料庫查詢加速引擎MySQL Heatwave的運作，挑戰Amazon Aurora、Google BigQuery和Snowflake。</p> <p>MySQL Heatwave是甲骨文去年12月發布的服務，是用於Oracle Cloud Infrastructure上MySQL Database雲端服務的in-memory查詢加速引擎，可同時支援OLTP及OLAP，讓使用者得以執行混合式分析作業，或是以比傳統MySQL資料庫快10到1000倍的速度進行即時分析。而Autopilot則是使用機器學習技術來進一步強化MySQL Heatwave的查詢速度及可擴充性。MySQL Heatwave用戶可免費獲得Autopilot。</p> <p>MySQL Heatwave定位在中小型企業市場，主打性價比。針對大型企業市場，仍將以Oracle Exadata及Autonomous Database為主。</p> <p>Autopilot以機器學習強化Heatwave的資料庫調撥（provisioning）及查詢加速。它一共涵括9項以機器學習實現的功能，包括自動化叢集節點的調撥、資料平行倒入Heatwave、資料在記憶體內分區的配置，並以機器學習協助查詢預測、查詢排程規劃、最佳化查詢執行，以及Heatwave系統錯誤的應變等。</p> <p>甲骨文宣稱，結合Autopilot，在標竿測試中Heatwave的效能價格比是Snowflake的35倍、Amazon Redshift加AQUA組合的13倍，也是Google BigQuery的36倍，或是Azure Synapse的15倍。此外，在混合式分析作業上，MySQL、HeatWave組合延遲率是Amazon Aurora的1/18。</p> <p>連同MySQL Autopilot，甲骨文也同時推出MySQL向外擴充（Scale-Out）資料管理，可提升資料重倒入HeatWave的效能達100倍，可進一步拉抬效能。利用這項功能，HeatWave支援節點由24個節點增加到最多64個，而資料處理量也從之前的12TB提升到32TB。</p> <p>甲骨文也宣布一些中小型企業，包括日本的FAN Communications、線上遊戲業者Tetris.co、行銷業者Red3i由較貴的Amazon Aurora轉移到MySQL Heatwave上。</p> </div></div></div>
2021/8/13 10:38作者林妍溱https://www.ithome.com.tw/news/146176
三星發表第三代摺疊螢幕手機Galaxy Z Fold 3與Galaxy Z Flip 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓的三星電子在本周三（8/11）發表了該公司第三代的兩款摺疊螢幕手機<a href="https://news.samsung.com/global/the-next-chapter-in-mobile-innovation-unfold-your-world-with-galaxy-z-fold3-5g-and-galaxy-z-flip3-5g" target="_blank">Galaxy Z Fold 3與Galaxy Z Flip 3</a>，它們皆支援5G網路，售價分別是1799.99美元與999.99美元，即日起開放預購，預計於8月27日上市。</p> <p><a href="https://www.ithome.com.tw/news/145968" target="_blank">身為全球最大手機製造商的三星</a>，也是目前最積極推動摺疊螢幕手機的業者，第一代的Galaxy Z Fold在2019年9月問世，第二代在2020年8月發表，Galaxy Z Flip的第一個版本則是在2020年2月推出，並於同年的11月率先於日本市場發表5G版，這次是Galaxy Z Fold與Galaxy Z Flip首度同臺亮相。</p> <p>其中的Galaxy Z Fold 3屬於高階機種，它的內頁螢幕為7.6吋，封面螢幕則是6.2吋，重約271公克，而且是首款支援S Pen的摺疊螢幕手機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-Galaxy%20Z%20Fold3%205G.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-%20Z%20Fold3%20the%20S%20Pen.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_三星電子</span></p> <p>Galaxy Z Flip 3則是方便攜帶的輕巧型手機，其內頁螢幕為6.7吋，封面螢幕則僅有1.9吋，重約183公克。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-galaxy%20Z%20Flip3.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_三星電子</span></p> <p>支援5G的Galaxy Z Fold 3與Galaxy Z Flip 3皆符合IPX8防水等級，亦即可於1.5米深的清水中支撐30分鐘，且其內部螢幕的耐用程度較前一代提升了80%。</p> <p>根據市場研究機構<a href="https://www.counterpointresearch.com/foldable-smartphone-shipments-2023/" target="_blank">Counterpoint Research</a>的估計，2019年時，全球摺疊螢幕手機的出貨量只有50萬臺，2020年增加至300萬臺，今年可望達到900萬臺，且去年三星於該市場的市占率為88%。</p> <p>Counterpoint Research亦預期明年摺疊螢幕手機的出貨量將會成長10倍，倘若蘋果在明年加入摺疊螢幕手機的戰局，將奠定摺疊螢幕手機成為主流的轉折點，也會提高整個供應鏈的元件產量與規模。</p> <p>另一方面，<a href="https://blogs.windows.com/windowsexperience/2021/08/11/samsung-expands-partnership-with-microsoft-to-include-apps-tailored-to-its-foldables/" target="_blank">微軟也已開始部署支援摺疊螢幕手機的服務</a>，在Galaxy Z Fold 3與Galaxy Z Flip 3上最佳化Microsoft Office、Teams及Outlook等應用的體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-Samsung%20expands%20partnership%20with%20Microsoft%20to%20include%20apps%20tailored%20to%20its%20foldables.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> </div></div></div>
2021/8/13 11:09作者陳曉莉https://www.ithome.com.tw/news/146177
Dogfooding！GitHub.com工程團隊開發環境上Codespaces
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著GitHub的規模不斷擴增，程式碼庫也越來越龐大，為了讓GitHub新的開發成員快速上手，以及提供更方便的開發環境，<a href="https://github.blog/2021-08-11-githubs-engineering-team-moved-codespaces/">GitHub工程團隊從原先以macOS為中心的開發模型，轉而使用Codespaces</a>，並且採用預建置等方法，將啟動開發環境的時間縮減至10秒鐘。另外，GitHub也宣布，開始向Team和Enterprise Cloud方案用戶提供Codespaces，並擴展個人方案用戶的測試規模。</p> <p>距離GitHub.com第一個程式碼提交已經14年，在這14年間，GitHub.com核心儲存庫已經收到超過一百萬次提交，而這些提交絕大多數，來自在macOS上建置和測試的開發人員，而隨著GitHub開發平臺不斷發展，macOS模型已經不適用。</p> <p>多年來，GitHub採用一種稱為Scripts-to-rule-them-all的方法，讓新加入開發團隊的成員，可以複製github/github儲存庫、執行設定、載入腳本，並且能夠在半天的時間，就成功於本地執行個體執行GitHub.com，當流程無法順利進行，則腳本會自動幫新進成員連接到內部支援人員，以快速解決問題。</p> <p>但GitHub提到，儘管他們做出許多努力，但本地端開發環境仍然非常脆弱容易出錯，有時候甚至需要開發者花數小時的時間來恢復開發環境，而且這種情形並不少見，他們甚至特別編寫了一個稱為--nuke-from-orbit的腳本來解決這類問題，該腳本會嘗試刪除設定，盡可能將本地環境恢復成為良好狀態。</p> <p>另外，GitHub認為，單一上下文且訂製的本地端開發環境，與現在GitHub的營運需求，包含即時啟動、從任何地方存取的哲學格格不入，開發者在跨多個專案的多個分支上協作更是不便，當新分支加入新的相依項目、發布架構更改或是從不同的SHA分支的時候，常需要花費45分鐘以上的等待時間。</p> <p>在GitHub建構Codespaces時，他們發現不少企業遭遇相同的問題，而這些企業也在組織內建構類似Codespaces的平臺，來解決這類問題，GitHub提到，在大規模的組織中，消除這類型的生產力損失，將會是明顯提升生產力的好方法。</p> <p>Codespaces是GitHub在2020年發布的新服務，讓用戶可以直接在網頁IDE編輯程式碼，並且使用所有VS Code瀏覽器版本的所有功能，包括配置程式碼和相依項目等功能，其一大優點是可以簡單地切換開發環境。官方提到，將GitHub.com程式碼庫搬到Codespaces，解決了GitHub開發環境現有的缺點。</p> <p>Codespaces讓開發者依據手上任務，按需獲取開發環境，不過，這也帶來新的問題，基於任務的工作流程，需要接近即時的速度，但因為光是簡單地複製GitHub.com儲存庫13 GB的檔案，就需要20分鐘，再加上相依性配置設定，要完整載入一個GitHub.com程式碼空間，需要花費45分鐘，這個時間無法滿足基於任務的開發環境條件。</p> <p>因此GitHub進行了一些方法來加速獲取程式碼庫的速度，首先是改變Codespaces複製的方法，讓Codespaces進行淺層複製，不在配置時進行完整複製，僅在最新的程式碼提交，Codespace創建之後，才會在背景進行非淺層複製，這樣可使得一開始複製時間，從20分鐘降為90秒。同時，GitHub每晚還會執行一個GitHub Action，將儲存庫、相依項目和建置等檔案打包成為映像檔，這個映像檔被用作github/github的開發容器，以配置即程式碼的方式建構Codespaces環境。</p> <p>這兩項改變以及一些應用和服務層級的最佳化，使得GitHub.com程式碼空間的創建時間，從45分鐘縮短至5分鐘。雖然5分鐘已經是很大的進步了，但是GitHub仍不滿足，因此他們又採用預建置方法，在Codespaces池中準備事先啟動的開發環境，等待需要的開發者連接存取，這樣的方法可以讓開發者在10秒內，立即使用到GitHub.com開發環境。</p> <p>在Codespaces中，GitHub能夠簡單地配置每個開發者所使用的機器規格，一開始使用8核心、16 GB記憶體的虛擬機器，為了符合更多元服務的需求，因此進一步提高機器規格到32核心、64 GB記憶體的虛擬機器，GitHub提到，這個過程只需要更改一行配置，就能夠立刻升級每個工程師的機器。</p> <p>除了使用VS Code作為主要來操作程式碼空間的工具，原本使用Vim和Emacs的用戶，也能夠使用程式碼空間，GitHub藉由升級預建置映像檔，讓該映像檔使用GitHub公鑰，並且開啟22連接埠，並從埠口轉送程式碼空間，讓不使用圖形介面編輯器的用戶也可以用到Codespaces。</p> </div></div></div>
2021/8/13 11:16作者李建興https://www.ithome.com.tw/news/146165
OpenSFF推出Allstar App助開源專案修復安全性問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenSFF推出GitHub應用程式<a href="https://openssf.org/blog/2021/08/11/introducing-the-allstar-github-app/">Allstar</a>，可自動且持續地對GitHub專案，執行安全最佳實踐。藉由使用Allstar，專案擁有者可以檢查儲存庫安全政策遵守的狀況，並且設置必要的強制執行措施，在組織或是專案儲存庫中的設定和檔案更改時，觸發執行這些措施，進而降低開源社群的安全風險。</p> <p>Google發布的Security Scorecards專案在Allstar中扮演重要角色，Security Scorecards是可評估儲存庫和相依項目安全風險的自動化工具，能夠以許多啟發式方法進行多種重要的檢查，像是專案是否使用分支保護，對構件進行加密簽章，或是需要程式碼審核等。</p> <p>用戶透過這些分數，可以了解專案的安全狀況，而Allstar則從這些分數採取下一階段行動，供維護人員選擇自動執行特定檢查，當儲存庫無法通過特定檢查，則Allstar便會自動進行必要的更改來修復問題，簡單來說，Security Scorecards可以協助用戶評估專案安全狀態，而Allstar則可以協助用戶實現安全目標。</p> <p>Allstar會根據安全政策，持續檢查GitHub API狀態和儲存庫檔案內容，並且在狀態不符合政策的時候，強制採取行動來修正問題。官方提到，Allstar能夠確保安全狀態的連續性，像是當有惡意攻擊者突然禁用分支保護，想要在重新啟用保護之前進行惡意更改，Allstar能夠偵測該行為並且採取行動。</p> <p>接下來，Allstar還會加入自動相依項目更新，以及凍結相依性等功能。由於開源套件會定期發現和修復安全漏洞，而Allstar可以自動更新專案的相依項目，來排除已知漏洞，另外，跳過審查自動合併新的相依項目版本，是一種攻擊手法，而凍結檔案和部分固定檔案，可以防止受入侵的相依項目進到專案中。</p> <p>OpenSSF提供一個公用的執行個體，供所有人安裝和使用，但是用戶也可以創建和執行私人的Allstar執行個體。</p> </div></div></div>
2021/8/13 11:17作者李建興https://www.ithome.com.tw/news/146166
百萬信用卡資料於駭客論壇流竄，原因是為了宣傳黑市，臺灣有345張卡片受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>盜賣竊得信用卡資料的市集，為了吸引顧客上門，也會採取「免費大放送」的手段。資安公司<a href="https://blog.cyble.com/2021/08/08/one-million-credit-cards-leaked-in-a-cybercrime-forum-for-free/">Cyble</a>與<a href="https://www.d3lab.net/un-milione-di-carte-di-credito-condivise-nel-deep-web/">D3Labs</a>揭露在駭客論壇上，近期有人公開了100萬筆信用卡資料，並宣稱都是在2018年到2019年之間偷到的，當中約有20%為有效資料，這些資料包含了卡片號碼、到期日、CVV碼、持有者姓名、國家、住址，以及電子郵件信箱或電話號碼等，當中也有345張臺灣的信用卡資料。</p> <p>而這些資料的提供來源，張貼文章的人士表明是來自信用卡資料黑市All World Cards，目的是為了進行宣傳，吸引更多駭客前往購買資料。</p> <p>針對這些資料的有效性，張貼上述訊息的人士宣稱，他隨機抽出98張信用卡的資料進行測試，約有27%卡片是仍在使用的狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Schermata-2021-08-04-alle-11_05_54.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schermata-2021-08-04-alle-11_05_54.png" style="width: 580px; height: 344px;" /></a></p> <p>而針對這批免費的信用卡資料，Cyble與D3Labs也公布他們初步分析的結果。Cyble分析了其中的40萬張卡片資料，並列出各國受害的情形，最嚴重的依序是印度、墨西哥、美國（臺灣的信用卡資料有345筆）。此外，該公司也羅列前500大受害銀行名單。</p> <p>另一家資安業者D3Labs則是認為，雖然提供這些資料的人士認為有效資料不到3成，但根據他們的分析，約有50%仍是有效資料，這些資料外洩帶來的影響，可能比提供者認為的還要嚴重。而且，All World Cards大約是6月開始在駭客論壇宣傳，但免費提供如此大量的資料做為手段，這還是他們第一次看到。</p> <p>針對這批資料含有的資料類型，D3Lab也做了一些分析，這些卡片有逾四分之三（76%）是記帳卡（Debit Card），信用卡僅占24%；Visa、Master發行的金融卡各占近半數，分別為49%與48%；而在卡片的等級分布來說，經典卡（Classic）最多，占30%，其次有24%是標準卡（Standard）、17%是預付卡（Prepaid），但金卡、鈦金卡、商務卡也有一定的比例。</p> </div></div></div>
2021/8/12 19:06作者周峻佑https://www.ithome.com.tw/news/146163
投資網路保險平臺，PChome要將生態圈更深入數位金融領域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome網路家庭今日（8/12）宣布投資網路保險經紀人公司易安網，展開異業結盟，要藉由易安網網路投保平臺的網路投保業務許可，拓展PChome生態圈在數位金融領域的服務觸角，把用戶留在生態圈內，完成線上投保。</p> <p>這不是PChome第一次與保險業者合作，從2019年開始，陸續與國泰產險、富邦產險等合作，在Pi拍錢包App裡，導引用戶到保險公司網站，完成投保，而以往的這些合作偏行銷活動性質。</p> <p>PChome網路家庭投資長兼策略長周磊表示，流量和會員是電商最大的資產，與不同保險公司合作，也可分享保險產品給消費者，但，他表示，「PChome更希望自身生態圈能滿足消費者的需求。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PCHOME.jpg" style="width: 600px; height: 355px;" /></p> <blockquote><p><em>左起：易安網執行副總王定凱<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">、拍付國際營運長韓昆舉</span>、PChome網路家庭投資長兼策略長暨副總經理周磊</em></p> </blockquote> <p>因此，PChome這回選擇透過投資形式結盟，持易安網7成股份，來達成合作。對於易安網屬保險經紀人公司的類型，周磊提到，透過保經代概念，「為消費者篩選適合的產品，是從消費者觀點出發，而不只是導引消費者到保險公司。」</p> <p>此外，拍付國際營運長韓昆舉表示，Pi拍錢包經過與產險公司合作，發現如果自身沒有相關保險執照，業務發展上，容易遭遇阻礙。過去，為了提供用戶更好的投保體驗，拍付國際運用自身使用者介面流程的Know-how，來自行設計投保畫面，作為與保險公司合作時的專屬投保介面。</p> <p>但，韓昆舉提到，這樣的方式很難與眾多保險公司合作，發現值得投注更多資源在保險領域。這也促成PChome與具保經許可資格易安網合作的契機，並取得控制性股權，讓易安網成為PChome集團的一員。</p> <p>韓昆舉表示，之後可投資更多人力，包含用戶體驗、IT系統等資源，協助易安網打造好的用戶體驗系統，並複製Know-how到投保平臺，提供用戶更好的體驗。他進一步表示，未來整個PChome集團，從PChome 24h線上購物、露天拍賣到Pi拍錢包App裡，都會以不同形式，來推播不同的保險產品，再藉由易安網平臺銷售。</p> <p>因應疫苗施打期，疫苗險是PChome與易安網合作的首個項目，PChome用戶現進入Pi拍錢包「拍好險」功能，點選疫苗險，或在PChome24h購物平臺，點選保險橫幅廣告，就可進入易安網投保平臺的專屬頁面，完成投保程序。未來雙方會陸續發展汽機車險、寵物險、手機險、旅行平安險等產品。</p> <p>PChome除會導引所有用戶成為易安網的會員，進行投保外，也會利用自身對用戶喜好的理解，來推薦符合用戶需求的保單。韓昆舉以寵物險為例，藉由分析用戶在PChome 24h購物過往的寵物商品消費記錄，可掌握用戶飼養的寵物類型，甚至可根據購買的飼料、食品配方，掌握寵物的年齡層，來提供符合用戶需求的險種。</p> <p>PChome會在用戶線上購物期間，或是使用Pi拍錢包消費時，推播相關保險產品給用戶。不過，韓昆舉補充，會盡可能在不打擾消費者的情況下，推播資訊，因此，「越精準掌握用戶的習慣，就能提出更相對應產品給用戶，達到不打擾的效果。</p> <p>同時，PChome會基於自身對用戶的理解，與保險公司合作，推出符合消費者需求的產品。像是手機險，韓昆舉表示，可以提供用戶購買手機品牌、型號的偏好，供保險公司試算保險產品的理賠率，來提供更符合用戶需求的產品。</p> <p><span contenteditable="false" data-timestamp="1753.479848" style="border-top-style: initial; border-bottom-style: initial; border-top-color: initial; border-bottom-color: initial; border-image: initial; font-variant-numeric: inherit; font-variant-east-asian: inherit; font-stretch: inherit; line-height: inherit; border-radius: 5px;"><span style="font-family:<br /> "新細明體","serif";mso-ascii-font-family:Calibri;mso-ascii-theme-font:minor-latin;<br /> mso-fareast-font-family:新細明體;mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:<br /> Calibri;mso-hansi-theme-font:minor-latin">他也強調，不會直接提供用戶數據給合作方，且所有用戶數據獨立存放</span><span lang="EN-US" xml:lang="EN-US">Pi</span><span style="font-family:"新細明體","serif";mso-ascii-font-family:<br /> Calibri;mso-ascii-theme-font:minor-latin;mso-fareast-font-family:新細明體;<br /> mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:Calibri;mso-hansi-theme-font:<br /> minor-latin">拍錢包、</span><span lang="EN-US" xml:lang="EN-US">PChome 24h</span><span style="font-family:"新細明體","serif";mso-ascii-font-family:Calibri;mso-ascii-theme-font:<br /> minor-latin;mso-fareast-font-family:新細明體;mso-fareast-theme-font:minor-fareast;<br /> mso-hansi-font-family:Calibri;mso-hansi-theme-font:minor-latin">購物，彼此數據不會有往來。實際運作狀況是，各別平臺運用手上對數據的理解，提供用戶相對應的易安網保險產品。</span><span lang="EN-US" xml:lang="EN-US"><p></p></span></span></p> <p><span contenteditable="false" data-timestamp="1753.479848" style="border-top-style: initial; border-bottom-style: initial; border-top-color: initial; border-bottom-color: initial; border-image: initial; font-variant-numeric: inherit; font-variant-east-asian: inherit; font-stretch: inherit; line-height: inherit; border-radius: 5px;"><span style="font-family:<br /> "新細明體","serif";mso-ascii-font-family:Calibri;mso-ascii-theme-font:minor-latin;<br /> mso-fareast-font-family:新細明體;mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:<br /> Calibri;mso-hansi-theme-font:minor-latin">除了發展保險產品，拍付國際也正在準備借貸融資、投資理財等產品，韓昆舉表</span><span style="mso-bidi-font-size:12.0pt;font-family:"新細明體","serif";mso-ascii-font-family:<br /> Calibri;mso-ascii-theme-font:minor-latin;mso-fareast-font-family:新細明體;<br /> mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:Calibri;mso-hansi-theme-font:<br /> minor-latin">示，拍付體系未來在</span><span lang="EN-US" xml:lang="EN-US">PChome</span><span style="mso-bidi-font-size:12.0pt;font-family:"新細明體","serif";mso-ascii-font-family:<br /> Calibri;mso-ascii-theme-font:minor-latin;mso-fareast-font-family:新細明體;<br /> mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:Calibri;mso-hansi-theme-font:<br /> minor-latin">集團，將扮演金融產品和服務輸出平臺的角色，利用手上的數據，</span><span style="mso-bidi-font-size:<br /> 12.0pt;font-family:"新細明體","serif";mso-ascii-font-family:Arial;mso-fareast-font-family:<br /> 新細明體;mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:Arial;<br /> mso-bidi-font-family:Arial;border:none windowtext 1.0pt;mso-border-alt:none windowtext 0cm;<br /> padding:0cm">推薦適合每一位個別用戶的產品，像是保單、投資型產品等。<span contenteditable="false" data-timestamp="221.984224" style="border-top-style:initial;border-bottom-style:<br /> initial;border-top-color:initial;border-bottom-color:initial;border-image: initial;<br /> border-radius: 5px">文</span><span style="font-family:"新細明體","serif";mso-ascii-font-family:<br /> Calibri;mso-ascii-theme-font:minor-latin;mso-fareast-font-family:新細明體;<br /> mso-fareast-theme-font:minor-fareast;mso-hansi-font-family:Calibri;mso-hansi-theme-font:<br /> minor-latin">⊙</span><span style="mso-bidi-font-size:12.0pt;font-family:"新細明體","serif";<br /> mso-ascii-font-family:Arial;mso-fareast-font-family:新細明體;mso-fareast-theme-font:<br /> minor-fareast;mso-hansi-font-family:Arial;mso-bidi-font-family:Arial;<br /> border:none windowtext 1.0pt;mso-border-alt:none windowtext 0cm;padding:0cm">黃郁芸</span><span lang="EN-US" style="font-size:11.5pt;font-family:"Arial","sans-serif";border:<br /> none windowtext 1.0pt;mso-border-alt:none windowtext 0cm;padding:0cm" xml:lang="EN-US"><p></p></span></span></span></p> </div></div></div>
2021/8/12 19:27作者黃郁芸https://www.ithome.com.tw/news/146164
駭客屈服了，開始歸還自Poly Network盜走的6.1億美元加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨鏈協定網路<a href="https://www.ithome.com.tw/news/146138" target="_blank">Poly Network在8月10日晚間遭到駭客攻擊</a>，駭客成功轉移了價值6.1億美元的加密貨幣到3個加密貨幣錢包，不過，在不到一天的時間內，駭客就決定歸還所盜走的資產。</p> <p>揭露此事的是專注於區塊鏈生態體系安全性的慢霧科技（SlowMist），<a href="https://slowmist.medium.com/the-analysis-and-q-a-of-poly-network-being-hacked-8112a35beb39" target="_blank">該公司也在11日張貼了此一攻擊的詳細分析</a>，同時<a href="https://twitter.com/PolyNetwork2/status/1425130017546149891" target="_blank">Poly Network也坦承</a>，駭客開採的是Poly Network網路上有關合約調用的安全漏洞。</p> <p>駭客總計盜轉了價值2.7億美元的以太坊代幣，約2.5億美元的幣安代幣，以及Polygon網路上約8,500萬美元的USDC。但駭客約莫在8月11日下午就決定要物歸原主，<a href="https://twitter.com/PolyNetwork2/status/1425509322126024708" target="_blank">當天Poly Network就收到了約2.6億美元的加密貨幣資產</a>。</p> <p>目前並不確定駭客回心轉意的原因，有人猜測是因慢霧科技已追蹤到駭客所使用的郵件信箱、IP與裝置指紋，亦在探查駭客的身分，且Poly Network已揚言要採取法律行動，並號召全球交易平台封鎖駭客所使用的電子錢包。</p> <p>幣圈除了納悶駭客的行動之外，也替駭客求情，認為Poly Network至少應支付一部分的遭竊金額，作為該名駭客的抓漏獎金，或者直接聘請他。不論如何，這起去中心化金融平臺（DeFi）史上最大的竊盜事件看似將能圓滿落幕。</p> </div></div></div>
2021/8/12 20:41作者陳曉莉https://www.ithome.com.tw/news/146161
IG推出新工具，讓使用者可以暫時關閉陌生留言與私訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.instagram.com/blog/announcements/introducing-new-ways-to-protect-our-community-from-abuse" target="_blank">Instagram（IG）在本周發表了3項功能</a>，以避免使用者受到騷擾或霸凌，包括可以暫時關閉陌生留言與私訊的Limits，在使用者準備張貼攻擊性留言時就祭出強烈的警告，以及於全球部署Hidden Words功能，以自動過濾任何使用者指定的字眼或表情符號。</p> <p>其中，Limits很適合身處事件或新聞風暴中的Instagram用戶使用，該功能主要是用來限制陌生的互動，包括禁止非粉絲的留言或私訊，也能禁止最近才成為粉絲的留言或互動，還能設定禁止期限。Instagram舉例，像是最近在奧運賽事上得獎的選手帳號，可能就會突然湧入大量的支持者，但有時候這也代表著該帳號流入了大量不想要的評論或訊息，藉由Limits就可以暫時獲得清靜。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-IG%20limits.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Instagram</span></p> <p>Instagram解釋，這是因為有些名人表示他們並不想要完全關閉留言及訊息，仍想維持既有的關係，但同時也不想接受大量的陌生言論，特別是那些傷人的言論。Limits即日起便將開始部署至全球的Instagram帳號。</p> <p>過去Instagram原本就會在使用者企圖張貼攻擊性留言時祭出警告，並在該名使用者接二連三張貼攻擊性留言時採用更強烈的警告，宣稱該留言可能會被移除或隱藏。不過，現在Instagram將會在首次察覺攻擊性留言時，就採用強烈的警告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-IG%20Stronger%20warnings%20to%20discourage%20harassment.jpg" style="width: 265px;" /></p> <p><span style="color:#696969;">圖片來源_Instagram</span></p> <p>根據Instagram的測試，上周平均每天釋出了100萬次的強烈警告，就有50%的使用者決定修改或刪除留言。</p> <p>而今年初Instagram也開始於特定市場測試Hidden Words，讓使用者能夠於留言區或私訊中自動過濾攻擊性的單字、句子或者是表情符號，也能夠自動過濾垃圾訊息，另也容許使用者檢視這些被隱藏的內容，現在Instagram則決定把此一功能擴大到全球市場。</p> </div></div></div>
2021/8/12 20:41作者陳曉莉https://www.ithome.com.tw/news/146162
大型IT顧問公司Accenture遭LockBit勒索軟體攻擊，強調已復原受害系統，但尚未證實是否支付贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨國大型IT顧問公司Accenture，驚傳遭到勒索軟體LockBit攻擊。根據<a href="https://www.zdnet.com/article/accenture-says-lockbit-ransomware-attack-caused-no-impact-on-operations-or-clients/">ZDNet</a>、<a href="https://www.bleepingcomputer.com/news/security/accenture-confirms-hack-after-lockbit-ransomware-data-leak-threats/">Bleeping Computer</a>、<a href="https://securityaffairs.co/wordpress/121048/data-breach/accenture-lockbit-2-0-ransomware-attack.html">Security Affairs</a>等新聞網站的報導，勒索軟體駭客組織於8月11日下午在網站中，將Accenture列入受害者名單，該網頁顯示倒數計時器並表明，若是沒有如期收到贖金，將會把竊得的資料於世界協調時間（UTC）8月11日下午5時30分公開。根據資安研究員與資安公司的發現，攻擊者疑似竊得6TB的資料，並索討5千萬美元贖金。</p> <p>根據Security Affairs的報導指出，攻擊者如期公開了部分的樣本檔案，<a href="http://twitter.com/vxunderground/status/1425569381921267719">惡意程式收集網站Vx-underground進一步指出</a>，這些被公布的總共有2,384個，不過，後來疑似因洋蔥網路（Tor）的網域面臨高流量而導致服務中斷，而無法存取，駭客宣稱將於世界協調時間12日的晚間8時43分會再度公開。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Accenture-Lockbit-2_0-2-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Accenture-Lockbit-2_0-2-s.png" style="width: 580px; height: 385px;" /></a></p> <p>Accenture是全球最大的IT顧問公司之一，2020年營收超過443億美元，且於全球各地擁有超過50萬名員工。而且，該公司也提供資安相關服務，並甫於2020年上半併購賽門鐵克網路安全服務部門。</p> <p>針對勒索軟體攻擊事故的處理情況，各大媒體都根據Accenture的聲明來描述。Accenture指出，他們經由資安管控與通訊協定監控，發現其中一個內部環境出現異常活動，他們立即處置並隔離受影響的伺服器，經由備份完全復原受影響的系統。</p> <p>而此起事故對於Accenture帶來的衝擊又是如何？該公司宣稱，他們的營運沒有受到波及，用戶端的系統也沒有遭到影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/accenture-statement-zdnet.png" style="width: 580px; height: 104px;" /></p> <p>根據上述Accenture對於此事的說明，所透露的資訊相當有限，既未透露受害的規模，亦沒有說明是否支付贖金。</p> <p>不過，在社群網站上，有多名資安研究員與資安公司談論此事。例如，<a href="https://twitter.com/HRock/status/1425447533598453760">威脅情報公司Hudson Rock根據自家威脅情資系統得到的資料</a>，Accenture約有2,500臺員工與合作夥伴的電腦，在此次攻擊遭到破壞。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">The recent Accenture Ransomware:</p> <p>Accenture has 2,500 compromised computers of employees and partners, this information was certainly used by threat actors.</p> <p>Watch how a compromised employee's computer looks like in Cavalier -<a href="https://t.co/JHI48vyDgf">https://t.co/JHI48vyDgf</a></p> <p>— Hudson Rock (@HRock) <a href="https://twitter.com/HRock/status/1425447533598453760?ref_src=twsrc%5Etfw">August 11, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>另一家資安公司Cyble則是指出，攻擊者竊得的資料約有6TB，並向Accenture要求5千萬美元的贖金。但對於相關數據從何而來？該公司並未進一步說明。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Potential insider job? We know <a href="https://twitter.com/hashtag/LockBit?src=hash&ref_src=twsrc%5Etfw">#LockBit</a> <a href="https://twitter.com/hashtag/threatactor?src=hash&ref_src=twsrc%5Etfw">#threatactor</a> has been hiring corporate employees to gain access to their targets' networks.<a href="https://twitter.com/hashtag/ransomware?src=hash&ref_src=twsrc%5Etfw">#ransomware</a> <a href="https://twitter.com/hashtag/cyber?src=hash&ref_src=twsrc%5Etfw">#cyber</a> <a href="https://twitter.com/hashtag/cybersecurity?src=hash&ref_src=twsrc%5Etfw">#cybersecurity</a> <a href="https://twitter.com/hashtag/infosec?src=hash&ref_src=twsrc%5Etfw">#infosec</a> <a href="https://twitter.com/hashtag/accenture?src=hash&ref_src=twsrc%5Etfw">#accenture</a> <a href="https://t.co/ZierqRVIjj">pic.twitter.com/ZierqRVIjj</a></p> <p>— Cyble (@AuCyble) <a href="https://twitter.com/AuCyble/status/1425391442248097792?ref_src=twsrc%5Etfw">August 11, 2021</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script></div></div></div>
2021/8/12 16:00作者周峻佑https://www.ithome.com.tw/news/146157
蘋果與提供虛擬iPhone的虛擬化業者Corellium達成官司和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周和提供虛擬iPhone的虛擬化新創業者Corellium 達成和解，撤銷對後者的版權控告。</p> <p>Corellium是一家行動裝置虛擬化業者，可將iOS、Android或Linux部署在雲端或其他平臺上。它實際應用最出名的，是可在筆電或桌機上模擬出一臺「虛擬iPhone」，讓第三方研究人員可以找出iPhone安全漏洞或功能瑕疵。</p> <p>這讓蘋果很不滿。蘋果在2019年以Corellium違反數位千禧年著作權法（Digital Millennium Copyright Act，DMCA）為由，<a href="https://www.ithome.com.tw/news/132473" target="_blank">向這家總部位於佛州的新創公司提告</a>。蘋果的論點是，Corellium 突破了蘋果安全機制而得以重製蘋果的iOS、iTunes及圖像使用者介面，侵害了蘋果的著作權。</p> <p>本案預定在下周審理，雙方將傳喚證人。<a href="https://www.forbes.com/sites/thomasbrewster/2021/08/11/apple-v-corellium-iphone-copyright-lawsuit-settles/" target="_blank">不過本周Forbes報導</a>，法院公告顯示，已經達成和解，且雙方當事人及律師也都簽具了機密的和解條件。</p> <p>雙方都未評論此事。不過<a href="https://www.washingtonpost.com/technology/2021/08/10/apple-drops-corellium-lawsuit/" target="_blank">華盛頓郵報引述Corellium業務團隊指出</a>，該公司仍然持續販售產品。</p> <p>事實上，蘋果或許更在意iOS被公開研究。蘋果在法院文件中指控，這家小公司將其軟體販售給政府單位，使其能在iOS中找出破解漏洞。電子疆域基金會（EFF）曾批評蘋果此舉是濫用對版權的定義，將對安全研究界引發寒蟬效應。</p> <p>Corellium的反駁論點則是，蘋果本意是藉機打擊越獄，不讓用戶繞過iOS的軟體限制，安裝未授權的應用程式。</p> <p><a href="https://www.ithome.com.tw/news/141950" target="_blank">去年12月美國地方法院駁回蘋果對版權的說詞</a>，法官也認為Corellium作法屬於合理使用範圍。</p> <p>但對法院駁回蘋果版權的說法這點，蘋果仍然可以上訴。</p> </div></div></div>
2021/8/12 16:19作者林妍溱https://www.ithome.com.tw/news/146158
臺北市政府與國網中心聯手，北市府異地備援第2中心落腳臺中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為確保市政資訊服務不中斷，強化城市營運韌性，臺北市政府與國研院國家高速網路與計算中心（簡稱國網中心）合作，雙方簽定合作備忘錄，在國網中心協助下推動2nd Taipei計畫，將在臺中建立異地備援第2中心。</p> <p>北市資訊局長呂新科表示，北市府推動數位轉型過程中，重視災難恢復及駭客攻擊的惡意行為，去年陪同市長參訪愛沙尼亞，對其在盧森堡建立數位大使館印象深刻，當發生數位攻擊時，便能自境外恢復系統及資料。因此，臺北市政府推動2nd Taipei，在臺北市以外的地理位置，設立異地備援備分中心。</p> <p>目前臺北市政府底下各局處單位，各自依業務的需要，建置不同的地端備援、備分系統，缺乏一個統一的異地備援中心，以資訊局為例，先前就已和國網中心合作，在新竹機房建立資訊局內部的備分備援，而此次推動2nd Taipei，仍舊與國網中心合作，在國網中心位於臺中的新機房，規畫設立北市府異地備援的第2中心。</p> <p>國網中心在臺中的新機房，已為北市府第2中心保留10個機櫃空間，臺北市資訊局計畫先讓臺北市政府的17個核心資訊系統，例如北市官方網站、臺北通、公文、核銷等系統，優先建立異地備援、備分架構，將分階段在今年底、明年6月之前完成。</p> <p>呂新科表示，市府會先採同心圓策略，先將核心系統優先列入異地備援、備分，經過討論找出適當機制，在離鋒時間進行長距離的備援、備分。資訊局與國網中心先建立遠距異地備援、備分框架，其他局處未來也能依此框架，將重要的業務及資料，在第2中心建立異地備援及備分。</p> <p>至於建立異地備援、備分第2中心的重要性，呂新科認為，不論是天然災害發生，或是遭受駭客攻擊如勒索軟體，對系統恢復、資料回復帶來挑戰，因此市府各單位都需對建立異地備援、備分加大力度，提高應變的能力。雖然目前國網中心只保留10個機櫃，未來視其他局處加入，再調整擴大。</p> <p>從網路架構來看，目前臺北市政府的臺北機房，是以1Gb連接臺灣學術網路，再以1Gb連至國網中心的新竹機房，未來新竹機房下架後，而國網中心的臺中機房第2中心啟用後，市府的臺北機房同樣以1Gb連到臺灣學術網路，再以1Gb連至國網中心的臺中機房。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1628734899463-1.jpg" style="width: 600px; height: 321px;" /></p> <p>臺北市整體的系統備援、資料備分架構，市府的構想是當災難發生，第一時間以地端的即時備援、備分為主，遠端的第2中心則扮演非即時的備援、備分中心角色，「如此才能提高臺北市應變災難的對抗性」，呂新科說。</p> <p> </p> </div></div></div>
2021/8/12 16:21作者蘇文彬https://www.ithome.com.tw/news/146155
研究人員以AI產生人臉萬能金鑰，能夠仿冒三大人臉辨識系統的一半人像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自以色列特拉維夫大學電子工程學院與電腦科學學院的3名研究人員，於近日出版了一研究報告《<a href="https://arxiv.org/pdf/2108.01077.pdf" target="_blank">Generating Master Faces for Dictionary Attacks with a Network-Assisted Latent Space Evolution</a>》，透過AI技術產生9張人臉，並將這些人臉當作萬能金鑰，而能攻陷FaceNet、SphereFace與Dlib三大人臉辨識系統，且成功機率介於44%~64%之間。</p> <p>研究人員指出，生物辨識的比對能力並不精確，而且生物特徵資料的分布亦不均勻，意味著可能只要少數的樣本，就能覆蓋多數人群，例如單一的人臉就能覆蓋LFW人臉資料庫中的20%。</p> <p>這使得研究人員決定利用StyleGAN生成對抗網路來產生人臉，並效法字典攻擊，以AI產生的人臉充當金鑰，以對不同的人臉辨識系統展開暴力破解，他們不斷重覆產生人臉的過程，以儘可能地提高人臉金鑰的覆蓋率，總計製造了9張人臉萬能金鑰。</p> <p>在以這9張人臉萬能金鑰針對FaceNet 、SphereFace與Dlib三大人臉辨識系統進行實驗時，發現其覆蓋率分別達到43.82%、44.15%，以及63.92%。另也發現，相較於年輕人，60歲以上的白人五官差異更小了，使得單一人臉的覆蓋率更高。</p> <p>研究人員表示，此一結果意味著基於人臉的身分認證系統非常的脆弱，而且他們完全未取得任何目標對象的生物資訊，儘管許多人臉辨識系統都部署了反欺騙技術，但將此一方法結合諸如DeepFake等既有的技術，也許就能繞過該防禦機制，反過來說，人臉辨識系統也可透過人臉萬能金鑰來進一步強化該系統的安全性。</p> </div></div></div>
2021/8/12 17:08作者陳曉莉https://www.ithome.com.tw/news/146159
SAP修補Business One、NetWeaver重大風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=582222806" target="_blank">SAP本周釋出安全公告</a>，以修補19項產品安全漏洞，包含位於中小企業產品Business One及NetWeaver 的3個風險層級9.0以上的重大漏洞。</p> <p>這3個在SAP分類中被列為「Hot News」的重大風險漏洞，有2個是CVSS 3.0風險分數達9.9的漏洞。其中CVE-2021-33698存在於Business One，可讓攻擊者上傳惡意檔案，包括惡意腳本語言。影響產品為Business One version 10。</p> <p>安全廠商<a href="https://onapsis.com/blog/sap-security-patch-day-august-2021" target="_blank">Onapsis研究人員Thomas Fritsch指出</a>，這項漏洞未被列為滿分10分的原因，是攻擊者還是需要有最小程度的授權。</p> <p>另一個風險分數9.9的是CVE-2021-33690，為一個伺服器端請求偽造（Server Side Request Forgery，SSRF）漏洞，位於SAP NetWeaver Development Infrastructure（SAP NWDI）的Component Build Service servlet中，可讓攻擊者傳送惡意HTTP呼叫而驗證進入NetWeaver環境。SAP指出，這項漏洞影響高低取決於系統是位在內網或是對外曝露。如果已連上外部網際網路，這個漏洞將導致伺服器上的資料外洩，也可能影響系統服務。</p> <p>第三個重大漏洞則是CVSS 3.0風險分數9.1的資料隱碼（SQL Injection）漏洞CVE-2021-33701，它位於SAP系統升級或轉換的管理工具 NZDT（Near-Zero Downtime Technology），可允許攻擊者在資料庫寫入惡意SQL指令，可造成資料外洩。該漏洞影響Data Migration Server（DMIS）行動外掛程式及SAP S/4HANA。</p> <p>此外，SAP還修補了5個高風險漏洞，3個位於NetWeaver Enterprise Portal，Business One及SAP Fiori用戶端Android版App各有1個。</p> <p> </p> </div></div></div>
2021/8/12 13:18作者林妍溱https://www.ithome.com.tw/news/146151
美國議員提出《開放程式市集法案》，準備打破蘋果與Google所建構的程式市集競爭高牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國民主黨參議員Richard Blumenthal與Amy Klobuchar，以及共和黨參議員Marsha Blackburn在周三（8/11）<a href="https://www.blumenthal.senate.gov/newsroom/press/release/blumenthal-blackburn-and-klobuchar-introduce-bipartisan-antitrust-legislation-to-promote-app-store-competition" target="_blank">共同提出了《開放程式市集法案》</a>（Open App Markets Act），企圖打破蘋果與Google建築的程式市集競爭高牆，以讓小型的新創公司擁有競爭機會，並使消費者有更多的選擇。</p> <p>行動裝置現已是消費者經濟、社交與生活的中心，而行動程式市集更是此一數位經濟的關鍵功能，光是在2020年，美國的消費者就下載了134億個行動程式，相關支出為330億美元。</p> <p>目前蘋果只允許iOS裝置在自家的App Store下載程式，Google雖然並未限制第三方的Android程式市集，但Google Play依然是全球規模最大的Android程式市集，不管是蘋果或Google都握有主宰行動程式市集的能力。</p> <p>Blumenthal表示，此一兩黨法案將有助於打破科技巨頭的鐵腕控制，讓新的競爭對手加入行動程式經濟，也將賦予消費者對自己所購買的裝置擁有更多的控制權。</p> <p>Blackburn亦說，這些科技巨頭是以危害創新為代價，以向消費者推廣自家的程式市集，它們希望消費者與開發者不要使用第二方的程式市集，此一反競爭的行為將直接威脅市場的自由與公平。</p> <p>《開放程式市集法案》的宗旨包括：保護開發者提供低價訊息或具競爭價格的權利，保護使用者側載行動程式的權利，替新創的應用程式、第三方的程式市集及支付服務開闢競爭途徑，讓開發者可利用裝置功能替消費者帶來新的體驗，賦予消費者更多的裝置控制，避免程式市集對開發者不利，以及設計保障措施以維護消費者的隱私與安全。</p> <p>非營利的消費者權益機構Public Citizen競爭政策倡導者Alex Harman亦認為，大型行動程式市集所獲得的龐大獲利，都是直接來自它們違反競爭且不公平地經營，藉由新法案將讓程式市集的競爭更加開放，也能保護小型的開發者，並讓消費者以更低的價格取得程式或服務。</p> </div></div></div>
2021/8/12 13:46作者陳曉莉https://www.ithome.com.tw/news/146152
微軟正式修補好重大風險漏洞PetitPotam
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過兩周，微軟正式於本周的<a href="https://www.ithome.com.tw/news/146135" target="_blank">Patch Tuesday安全更新</a>中，修補影響Windows AD網域的PetitPotam漏洞。微軟也證實該漏洞風險值高達9.8。</p> <p>7月底代號Topotam的研究人員GILLES Lionel揭露一個Windows NT LAN Manager （NTLM）中繼攻擊（NTLM relay attack）的新手法，<a href="https://www.ithome.com.tw/news/145919" target="_blank">他將之命名為PetitPotam</a>。藉由濫用微軟加密檔案系統遠端協定（Microsoft Encrypting File System Remote Protocol，EFSRPC），攻擊者可強制Windows裝置，包括Windows 網域控制器（Domain Controller，DC）驗證由攻擊者控制的遠端NTLM relay伺服器的連線，目的在竊取其雜湊和憑證以冒用這臺Windows裝置身分及其權限。PetitPotam攻擊可導致攻擊者接管整個Windows Active Directory（AD）網域，包括設定新群組政策，或在端點裝置植入惡意程式。研究人員也釋出了概念驗證（PoC）程式。</p> <p>雖然影響甚鉅，但微軟並未緊急修補，僅提供了關閉不必要的NTLM及執行SMB驗證等緩解建議。安全廠商0Patch於是先<a href="https://www.ithome.com.tw/news/146090" target="_blank">提供了非官方的修補程式</a></p> <p>PetitPotam影響版本為Windows Server 2008 R2、2012 R2、2016及2019，但並不影響Server 2012（非R2）、2018（非R2）以及Server 2003。</p> <p>8月Patch Tuesday中，微軟修補了編號<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-36942" target="_blank">CVE-2021-36942</a>的Windows LSA（Local Security Authority）Spoofing漏洞。根據微軟描述，未經授權的攻擊者可呼叫LSARPC介面上的方法（method），迫使DC驗證另一臺（惡意）NTLM伺服器。這次更新可封鎖受影響的API透過LSARPC介面呼叫OpenEncryptedFileRawA和OpenEncryptedFileRawW函式。</p> <p>雖然本漏洞CVSS 3.0分數為7.5，但微軟警告，若漏洞用於針對Active Directory憑證服務（AD CS）的NTLM Relay攻擊，則風險高達9.8。</p> <p>PetitPotam是微軟本月修補的三個零時差漏洞之一。這次更新另外修補了代號Hivenightmare，正式名稱為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934" target="_blank">CVE-2021-36934</a>的漏洞。它是安全帳號管理員（Security Accounts Manager，SAM）及多個系統檔案上的存取控制表（ACL）權限擴張漏洞，可讓攻擊者以「系統」權限執行任意程式碼，造成駭客可讀取、刪改資料或新建完整用戶權限的使用者帳號。</p> <p><a href="https://github.com/GossiTheDog/HiveNightmare" target="_blank">研究人員GossiTheDog</a>也公布了針對Hivenightmare的PoC。</p> </div></div></div>
2021/8/12 14:10作者林妍溱https://www.ithome.com.tw/news/146154
搶攻大眾市場！聯發科再推兩款新5G手機SoC晶片天璣920和天璣810
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了高階5G手機市場外，近日，聯發科加碼再推出兩款新5G SoC晶片天璣920和天璣810，鎖定中階及大眾市場。預計採用這兩款5G手機晶片的終端裝置，將於2021年Q3推出上市。</p> <p>聯發科過去一年多已經推出好幾款5G SoC晶片，能夠支援中階及入門5G手機的使用，現在不少萬元以下的5G新手機，很多都採用其5G晶片做開發，像是前不久推出的5G手機晶片天璣900，OPPO新款5G手機Reno6已採用，另一家手機大廠三星一款5G手機A32，也使用天璣720G晶片做開發，就連小米也同樣使用聯發科天璣800U打造自己的5G紅米手機產品。</p> <p>聯發科這次推出的兩款新5G手機晶片天璣920和天璣810，皆採用6奈米製程，並且在5G通訊部分，兩款皆支援Sub-6頻段、NSA與SA獨立組網模式、5G雙載波聚合、5G雙卡雙待以及VoNR通話服務等功能。</p> <p>各別來看，天璣920本身使用了8核心CPU，內含有一個2.5GHz的Arm Cortex-A78大核與2.0GHz的Arm Cortex-A55 小核，並且支援LPDDR5記憶體和UFS 3.1快閃記憶體，新晶片還搭配Arm Mali-G68 MC4的GPU，與前不久剛推出的天璣900相比，雖然天璣920仍採相同CPU，但聯發科表示，在遊戲處理性能提高近1成，並支援智慧顯示和4K HDR影像，另在無線網路方面，它也支援了最新Wi-Fi 6（2x2 MIMO），以及藍牙5.2和多頻GNSS等功能。</p> <p>另一款5G手機晶片天璣810，則是一年多前天璣800的後繼產品，同樣採高效能8核架構設計，內含2.6GHz的Arm Cortex-A76 大核加上2GHz的Arm Cortex-A55 小核，並支援LPDDR4記憶體與UFS 2.2快閃，除了提供更好地處理性能外，GPU使用Arm NATT MC5晶片，在影像部分可支援120Hz高畫質FHD+畫面顯示，以及加入先進降噪等功能。另外也支援Wi-Fi 5、藍牙5.1等功能。</p> <p>預計採用這兩款5G手機晶片的終端裝置，將於2021年Q3推出上市。隨著更多中階及入門5G手機晶片推出，現在不少平價新手機都開始支援5G，也加快5G手機的普及。</p> <p>在7月一場法說會上，聯發科也透露明年新款5G旗艦手機晶片，將採用Arm v9核心架構及更先進4奈米製程來設計，該款5G行動晶片除了將具備有超低功耗、AI與影音多媒體提升的體驗，並也支援天機5G開放架構。預計2022年第一季量產。</p> </div></div></div>
2021/8/12 11:46作者余至浩https://www.ithome.com.tw/news/146149
OpenAI開放可將自然語言轉為程式碼的AI系統Codex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI改進Codex釋出新版本，<a href="https://openai.com/blog/openai-codex/">OpenAI Codex</a>是一個能夠將自然語言轉換成為程式碼的人工智慧系統，也就是說，Codex能夠讓開發者用簡單的口語指令來編寫程式，現在OpenAI將Codex的API以私人Beta測試的形式對外釋出。</p> <p>Codex是GitHub Copilot服務所使用的模型，而Copilot是GitHub在一個月前和OpenAI合作，所推出的人工智慧程式碼編寫工具，能夠提供開發者整行甚至是整個函式的程式碼編寫建議，相當於提供用戶一個結對工程師（Pair Programmer）。Codex精通十幾種程式語言，而現在使用者可以將簡單的自然語言指令，轉換成為程式碼，也就是提供實現以自然語言介面開發應用程式的方法。</p> <p>OpenAI Codex是從模型GPT-3衍生改進而來，訓練資料包含自然語言，以及數十億行開源程式碼，包括公開的GitHub儲存庫中的程式碼，OpenAI Codex最擅長的語言是Python，但也精通JavaScript、Go、Perl、PHP、Ruby、Swift和TypeScript，甚至連殼層十幾種語言都難不倒他，而且由於Codex擁有14KB的Python程式碼記憶體，比起GPT-3只有4KB，在執行任何工作時，Codex都能考慮GPT-3模型3倍以上的上下文資訊做決定。</p> <p>GPT-3的能力主要是依據自然語言生成自然語言，而這代表GPT-3的影響力，來自於其閱讀人類的作品，而OpenAI Codex具有GPT-3大部分的自然語言理解能力，但是其輸出是程式碼，因此使用者可以用英文，對任何軟體API發出命令，Codex的價值在於，能夠讓電腦理解人類的意圖，進而讓所有人都使用電腦完成更多的工作。</p> <p>Codex是一個通用程式開發模型，因此可以應用在任何程式開發任務上，官方提到，當開發者明確知道要建構什麼樣的程式，則撰寫程式的工作會被分類為，將問題分解成更簡單的問題，或是將簡單的問題，對應到已經存在的程式碼，像是函式庫、API和函式，接下來也是最無聊的實際程式碼編寫階段，而這正是OpenAI Codex最擅長的部分。</p> <p>OpenAI已經將Codex用於轉譯、解釋和重構程式碼，而這些僅是Codex能力的冰山一角，OpenAI規畫要擴大規模，並且免費提供OpenAI Codex，而現在則是先提供私人測試版，官方提到，他們會繼續檢視安全性問題，並且了解該技術對於世界的影響。</p> </div></div></div>
2021/8/12 10:48作者李建興https://www.ithome.com.tw/news/146142
用戶宅在家避疫情增加看播時長，直播平臺靠IT解流量尖峰挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年，當全世界飽受病毒肆虐時，因防疫有成，臺灣猶如平行世界，依然可以如往地生活，然而，提供跨國服務的業者早已面對海外不平靜的情勢，感受疫情改變用戶習慣帶來的衝擊。全球擁有超過5千萬名用戶的直播服務業者17Live，就是其中一家深刻感受海外疫情衝擊的企業。</p> <p>去年3月，日本爆發疫情後，占據日本直播龍頭的17Live，開始面對系統流量增長的挑戰。日本民眾遵守防疫規範長期宅在家，大幅增加使用網路服務的時間。因為缺少了許多實體社交機會，具即時互動特性的直播服務比過去更加受到歡迎，迅速湧入了爆量用戶，不但考驗直播平臺既有雲端架構的部署，也考驗即時性互動功能的支援力。</p> <p>17Live集團技術副總經理徐永吉回憶，疫情爆發後最可怕的營運挑戰就是，隨著疫情變化，流量尖峰時間點也跟著改變，甚至出現在許多不同時段。透過數據分析，徐永吉也第一時間觀察到疫情下服務流量的變化，尤其是隨著用戶使用服務的時間增加，也使得流量的時間變化趨勢與過去格外不同。徐永吉表示，原本的流量尖峰時間點仍存在，但增加了許多小型和中型的流量尖峰點。</p> <p>17Live原本就有一套例行的雲端基礎設施擴充計畫，但是遇到了疫情爆量需求，已無法滿足整體用量的增長趨勢，系統開始出現一些異常徵兆。所幸，他們有一套長期累績的縝密警報機制，可自動監控系統狀況。一旦流量超過設定門檻，維運人員收到警報後，會立刻展開行動排解問題。</p> <p>去年3月中，他們的工程團隊先從自動化監控系統下手，重新調整所有緊急警報的設定，還針對需要彈性擴充資源的關鍵性功能，新增更多警報監控機制。徐永吉表示，經調整後，警報發出時間點，以及維運人員採取行動的時間點，都可有效提前，減少了系統發生異常的狀況。</p> <p><span style="font-size:28px;"><strong>定義服務關鍵路徑，確保流量增長致異常時，用戶也可進入直播間</strong></span></p> <p>疫情在日本爆發時，剛好17Live開始在系統上導入局部影響（Partial Impact）的維運概念，要藉由分析流量、營收資料，來定義直播服務的關鍵路徑（Critical Path），也就是觀眾和直播主在流量尖峰期間最常使用的功能，以及進入直播間的各種方式。</p> <p>以觀眾為例，觀眾進入直播間後會看播、追蹤、送禮、留言等，而進入直播間的方式主要則有兩種，一是通過首頁點選，二是接到追蹤者開播通知後，點選進入直播間。另外，也列出非關鍵路徑（Non-critical Path）的功能，例如動態頁面、貼文分享等。</p> <p>徐永吉表示，發生故障事件時，要保持關鍵路徑「繼續存活。」盡可能降低突發問題對關鍵路徑造成的衝擊，是工程團隊的首要任務，特別是遭遇雲端服務故障的狀況，仍要確保直播主可以開播，同時觀眾也可以順利進入直播間。</p> <p>徐永吉提到，隨著用戶數增長，直播平臺對故障的忍受度越來越低。這正是工程團隊導入局部影響概念的主因，工程團隊要靠事先定義的關鍵路徑，來作為問題修復順序的決定依據，以恢復關鍵路徑為第一優先，而面對疫情下流量尖峰飄移的情況，保持關鍵路徑暢通的準則，更是他們得以持續提供全球服務的關鍵作法。</p> <p>因應流量尖峰隨疫情變化跟著移動的狀況，工程團隊為了早一步發現可以預防的系統錯誤，開始採取建置模擬環境的方法，來測試系統的流量承載能力。徐永吉表示，團隊已越來越難預測流量，以往待警報出現再採取行動，來排除流量造成的異常狀況，已經不足以因應，需投注更多時間來提早預防。</p> <p>通過模擬環境，可以建置模擬機器人來提高直播平臺系統的流量，甚至要超出原先系統設計的可承載量，來得知系統遭遇高流量後，哪些環節可能會發生問題。徐永吉提到，過往遇上故障事件很難重複再現系統錯誤，因為每次復現問題，也代表系統會故障一次，如今通過模擬環境，就可不斷復現系統錯誤，進而能研究解決錯誤的方法。</p> <p>面對流量尖峰時間不停移動的現象，不只需調整警報通報機制及早排除異常，也影響直播平臺進行服務更新的時程。有一回，工程團隊完成一項服務更新工程後，引來營運單位諸多抱怨，紛紛反映該時間點為流量尖峰時間，然而，後臺數據卻顯示，這時間點並非流量尖峰，這個數據和實際面的矛盾，讓徐永吉驚覺，必須重新定義流量尖峰時間點。</p> <p>徐永吉表示，用戶散落各地區，很難找出共同的流量尖峰時間點，須重新思考流量尖峰的定義。後來發現，並非觀看流量越高的時間點對平臺營運的影響最大，而是當觀看人流越多，而且是用戶消費金額最高的時間點，才是營運團隊最在意的時刻。</p> <p>因為進行服務搬遷或更新工程時，難免會對服務帶來些許影響，所以，17Live開始利用營收來作為系統穩定度的考量因子，建置了一個數據分析系統，設定營收為主考量要因子，其次才考慮看播人數，交由系統分析營收、流量資料，找出新定義的流量尖峰時間點，作為工程團隊可以找到相對非流量尖峰時間，來安排服務更新計畫。</p> <p><span style="font-size:28px;"><strong>疫情帶動新直播需求，大型活動成了新考驗</strong></span></p> <p>疫情終點至今仍還看不見，直播服務的需求越來越夯，徐永吉表示，疫情已經改變人們的生活，人們開始習慣線上參與往日現場舉辦的活動。甚至連許多大型活動都看上直播服務，例如就有大型演唱會也改為直播形式，這也帶給17Live工程團隊新考驗。</p> <p>今年5月下旬的一個周末，17Live直播平臺一連舉辦了3場日本女團AKB48的15周年演唱會，徐永吉形容這個任務就像一顆大炸彈，突然降臨。他不諱言，用直播形式舉辦萬人線上演唱會，工程團隊起初都嚇到了，從來沒有料想。</p> <p>17Live工程團隊接下任務，著手建置模擬器，想盡辦法模擬演唱會開唱後服務的實際環境。為了確保演唱會順利進行，團隊更以預估參與人數的數倍流量來測試系統環境，並把流量打在系統的每一個環節。徐永吉表示，必須確認系統的每一個角落都可以承載數萬人流量，才能確保演唱會人流亂竄平臺時，不會造成系統發生故障。</p> <p>當日演唱會開唱前，6萬名觀眾瞬間湧入平臺，面對遠比預估參與人數高出數倍的流量，幸好，這個流量強度還在事前模擬器測試的範圍內，團隊也超前得知可能會遭遇的問題，在演唱會前及時補強了可能出現錯誤的系統環節，尤其針對無法自動擴充資源的服務環節，像服務網站入口處等，早已預先擴充資源來因應爆量流量。</p> <p>徐永吉表示，這樣的流量級別以往不常見，通過舉辦這場直播演唱會，實際驗證到直播系統的流量承載能力，單一直播間至少可容納逾6萬名觀眾同時在線觀看。不過，這次活動也給徐永吉一個警示，不能安於系統當前運作良好的現況，因為，「下一秒，系統可能就會遭遇前所未有的挑戰。」這個警示促使工程團隊思考如何調整系統的架構設計，以承載更高的流量。</p> <p>為提高直播平臺整體的強健度，徐永吉近期也導入領域知識（Domain Knowledge）架構設計的概念，建立解耦合的IT架構，切分整體平臺架構為多個領域知識服務，包含主頁、直播、互動、遊戲、特效等，而各服務各自擁有完整且獨立的系統架構，以降低應用彼此的相依性。</p> <p>從組織人力配置來看，每個領域服務團隊都配有前、後端、基礎架構、QA等人力，自行為服務設計架構，還有設定服務級別目標（SLO），並照顧領域服務裡的關鍵路徑。採用這樣的系統架構設計方式，為直播平臺帶來了不少好處，徐永吉表示，倘若單一服務出現問題時，不會發生連鎖效應，且整體基礎架構變得更加強健。此外，因應公司業務的發展，工程團隊將來也可單獨拆解各個領域服務，移轉供他人使用。</p> <p>為了建立解耦合的IT架構，徐永吉還設立了一個策略架構部門，負責驅動每個領域服務團隊按自身需求設計系統架構。徐永吉表示，策略部門會決定整體平臺大方向採用的技術，再由各團隊負責技術落地的方式，並且主架構師會掌握每個團隊的架構規畫，確認各服務的架構設計方式符合整體平臺的效益。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1037-CTO-%E5%BE%90%E6%B0%B8%E5%90%89_-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-500.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>疫情下越來越難預測流量變化，接到警報才排除異常，已經不夠，需投注更多時間提早預防。── 17Live集團技術副總經理徐永吉 </strong></span>（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>打造互動式多人直播功能，提升用戶黏著度</strong></span></p> <p>今年5月下旬，臺灣疫情突然蔓延，全國進入三級緊戒後，17Live在臺遭遇與先前在日本相似的狀況，流量尖峰時間開始會移動，徐永吉表示，不一樣的是，許多舊直播主及觀眾回歸平臺。</p> <p>因為先前在日本抗疫的經驗，今年在臺灣就可以從容因應，甚至工程團隊還大力投入開發不同類型的直播服務，想要打造虛擬社交情境，例如今年6月底推出的多人團體直播功能。</p> <p>因為剛換了新的架構設計方式，也改用新作法來開發新功能。工程團隊建立了獨立的系統環境，來處理多人直播功能，避免新功能的邏輯與服務既有邏輯互斥。當系統接獲用戶提出的多人直播要求後，工程團隊會在一個獨立的服務通道中，處理多個直播間合併的作業，待團體直播告一段落後，也會在獨立通道中拆分直播間。</p> <p>徐永吉表示，如此可避免直接修改既有服務的系統，確保直播間順利切換狀態，不用擔心直播間的新狀態與原有服務衝突。</p> <p>而直播無可避面會有延遲性，因此，工程團隊也花了很多的心力優化現有通訊協定，在同一個通訊協定上切分流量，來降低延遲性，讓直播主的互動時間點，與觀眾實際看到畫面的時間點，近乎吻合。</p> <p><span style="font-size:28px;"><strong>轉換RCA為數值資料，以訓練推論系統邁向AIOps</strong></span></p> <p>直播服務遭遇系統故障或中斷事件，都會直接影響營運表現，17Live已納入營收表現資料，作為判定相對低流量時間段的主要因子，來進行系統工程，不過這仍然不夠。徐永吉表示，還欠缺了對過往該時間點，進行大型系統更動工程時，發生故障事件機率的掌握，他強調，這個數值是另一個重要考量依據。</p> <p>下一步，徐永吉計畫轉換故障事件的根本原因分析（RCA）報告內容，為數值型資料，並建置AIOps推論系統，納入各時間點故障發生機率，來分析適合進行工程的時間點。徐永吉表示，這是17Live邁入AIOps發展的第一個計畫，每當工程團隊需進行系統更動工程前，會通過系統演算，挑選最合適執行工程的時間點。</p> <p>他坦言，系統建置工程有一定的難處，過往累積的故障事件發生量不夠多，因此，團隊正研究如何利用模擬器，模擬系統未來會遭遇的狀況，創造訓練數據，再倒入推論系統。徐永吉期望未來AIOps系統還可自動偵測異常流量狀況，甚至依照過往類似問題的相關處理經驗，自動採取行動，緩解問題。</p> <p><span style="color:#3399ff;"><strong>CTO小檔案</strong></span></p> <p><strong>徐永吉</strong></p> <p><strong>17Live集團技術副總經理</strong></p> <p>學歷：交通大學電控工程所博士</p> <p>經歷：累積逾10年軟體研發、AI落地的相關經驗，曾服務於玩具製造商美泰兒，導入了敏捷式開發，並曾在趨勢科技擔任資深軟體研發經理，爾後進入17Live集團，擔任集團技術副總經理，領導工程團隊建置多雲架構，以及採用微服務設計，來提升系統穩定度，並持續優化系統的流量承載力</p> <p><span style="color:#3399ff;"><strong>公司檔案</strong></span></p> <p><strong>17Live</strong></p> <p>● 業務介紹：直播串流社群平臺</p> <p>● 總部：日本</p> <p>● 地址：臺北市仁愛路二段22號</p> <p>● 網址：tw.17.live</p> <p>● 成立時間：2015年</p> <p>● 員工數：臺灣約420人</p> <p>● 執行長：小野裕史</p> <p>● 部門名稱：工程部</p> <p>● 部門主管職稱：集團技術副總經理</p> <p>● 部門人數：約200人</p> <p>● 部門分工：技術開發與平臺維運</p> <p><span style="color:#3399ff;"><strong>公司大事記</strong></span></p> <p>● 2015年：17Live App正式上架App市集；成立專職團隊監控直播、貼圖或回應，避免出現任何不當內容</p> <p>● 2017年：17Live正式進軍日本市場</p> <p>● 2018年：17Live正式在美國推出；日本17Live打造虛擬直播主V-Liver；將服務從AWS搬遷到GCP</p> <p>● 2019年：推出直播互動遊戲</p> <p>● 2020年：推出2人連線雙人直播功能；布局多雲架構策略</p> <p>● 2021年：推出9人群播功能</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1037-cto-xu_yong_ji_-she_ying_hong_zheng_wei_-960.png" width="960" height="420" alt="" title="17Live集團技術副總經理徐永吉　（攝影／洪政偉）" /></div></div></div>
2021/8/12 07:00作者黃郁芸https://www.ithome.com.tw/people/146076
從疾病檢驗到單純貝氏分類
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>單純貝氏分類（Naive bayes classifier）是基於貝氏定理，那麼，貝氏定理又是什麼呢？若不小心迷失在P(A|B)、P(A)等公式的符號中，不妨從生活實例開始理解，進一步地抽取現象的特徵作為計算，就可以應用單純貝氏分類。</p> <p><span style="font-size:28px;"><strong>貝氏定理與疾病檢驗</strong></span></p> <p>在機器學習的領域中，單純貝氏分類是諸多分類方法中的一個，它從貝氏定理P(A|B)=P(B|A)*P(A)/P(B)出發，其中P(A)、P(B)各代表A、B事件發生的機率，P(A|B)代表在觀察到B事件時，又觀察到A事件的機率，P(B|A)代表在觀察到A事件時，又觀察到B事件的機率。</p> <p>對許多人來說，機率本身就是個難以捉摸的概念，用符號來認識貝氏定理，就更難以想像其意義了。我們可以從另一個角度來認識，抽菸且得肺癌的機率可以寫為P(肺癌|抽菸)，得肺癌而且有抽菸的機率可以寫為P(抽菸|肺癌)，貝氏定理告訴我們，P(肺癌|抽菸)與P(抽菸|肺癌)有正相關，從直覺上來想也是如此，抽菸容易得肺癌，相對地也表示，得肺癌的人很可能有抽菸。</p> <p>但是，過多的直覺有時不代表事實，例如，若有個試劑可以檢驗某個疾病，試劑會有真陽（得病者被驗為陽性）、真陰（未得病者被驗為陰性）、偽陽（未得病者被驗為陽性）、偽陰（得病者被驗為陰性），若某檢驗後各自人數分別記為TP、TN、FP、FN，我們可以使用召回率（Recall）作為評估試劑的指標之一，計算方式為TP/(TP+FN)。</p> <p>這裡所謂的召回率，簡單來說，就是得病且被試劑驗出陽性的機率，可以記為P(陽性|得病)，單純依賴直覺的話，若P(陽性|得病)很高，例如高達百分之99，想必P(得病|陽性)也很高吧！也就是檢驗出陽性的人，十之八九就一定有病嗎？畢竟根據貝氏定理，「P(得病|陽性)=P(陽性|得病)*P(得病)/P(陽性)」嘛！</p> <p>P(陽性|得病)與P(得病|陽性)確實是有正相關，不過別忘了P(得病)與P(陽性)，P(得病)是總人口中得到該病的機率，可以從既有的資料中計算，假設計算後是百分之0.1，P(陽性)是被試劑檢驗為陽性的機率，也就是真陽性機率與真陰性機率的和，若計算後得到為0.022，依貝氏定理，P(得病|陽性)=0.99*0.001/0.022=0.045。</p> <p>雖然，得病被試劑驗出陽性的機率高達百分之99，然而，在試劑檢驗為陽性的情況下，該人真正得病的機率卻只有百分之4.5，這還滿違反許多人的直覺，原因在於P(得病)只有百分之0.2，P(得病)就是俗稱的疫病盛行率，也就是說，在疫病盛行率不高的情況下，透過試劑檢驗來抓出真正的得病者在機率上並不高。</p> <p><span style="font-size:28px;"><strong>簡單的垃圾郵件分類</strong></span></p> <p>那麼，貝氏定理又跟機器學習有什麼關係了？</p> <p>P(A|B)=P(B|A)*P(A)/P(B)這個公式，等號右邊其實代表著事前已經得知的各種機率，就像上述的例子，陽性、得病等各種機率，我們可以從既有的資料中計算；而貝氏定理等號的左邊，可以代表針對新資料預測的機率，例如在試劑檢驗為陽性的情況下，真正有得病的機率，也就是說，可以從既有資料中生成機率模型，從而預測某條件機率，</p> <p>現在來換個例子，如果你的信箱從不篩選垃圾郵件，從收過的郵件中選出一封，郵件中包含「優惠」字眼的機率是P(優惠)，而任選出的郵件是垃圾郵件的機率若是P(垃圾)，是垃圾郵件且包含「優惠」字眼的條件機率是P(優惠|垃圾)，現在若收到了一封新郵件，其中包含了「優惠」字眼，那麼，它是垃圾郵件的機率有多高呢？</p> <p>當我們已經知道貝氏定理，此時，就可以用「P(優惠|垃圾)*P(垃圾)/P(優惠)」來計算，在進一步以實際數字說明前，我們可以再認識一個公式P(B)=P(B|A)*P(A)+P(B|not-A)*P(not-A)，其中not-A表示未發生A事件，如果A事件發生的機率是0.5，那麼P(A)就等於P(not-A)。</p> <p>這時，貝氏定理P(A|B)=P(B|A)*P(A)/P(B)的等號右邊，就可以寫為P(B|A)*P(A)/(P(B|A)*P(A)+P(B|not-A)*P(not-A))，將相同的P(A)、P(not-A)抵消，最後就得到P(B|A)/(P(B|A)+P(B|not-A))。</p> <p>也就是說，在假設任選出的郵件為機率是0.5的情況下，若P(優惠|垃圾)是0.6，P(優惠|not-垃圾)是0.1，那麼，包含了「優惠」字眼又是垃圾郵件的機率，就可以用「P(優惠|垃圾)/(P(優惠|垃圾)+P(優惠|not-垃圾))」來計算，也就是0.6/(0.6+0.1)=0.85，看來包含「優惠」字眼的話，滿有可能是垃圾郵件！</p> <p><span style="font-size:28px;"><strong>單純貝氏分類</strong></span></p> <p>當然，一封信件裡，實際上，可作為識別垃圾郵件的字眼不會只有一個，常用且簡單的文件特徵抽取方式之一是詞袋（bag-of-words）模型，例如，若字眼清單為「優惠、降價、限時、打折、好禮、領取、免費、好康」，對於一封郵件，基本的特徵向量可以用有或沒有出現字眼來表示，例如，特徵向量[1,0,1,1,0,1,0,0]表示信中同時出現了「優惠、限時、打折、領取」字眼。</p> <p>若以xi表示特徵向量的第i個分量，信中同時出現「優惠、限時、打折、領取」字眼的機率，可以表示為P(x1=1,x2=0,x3=1,...x8=0|垃圾)。為了單純化，假設字眼清單中每個字眼的出現都是獨立事件，也就是出現某字眼與否，與其他字眼出現與否無關，對於獨立事件，P(x1=1,x2=0,x3=1,...x8=0|垃圾)等於P(x1=1|垃圾)*P(x2=0|垃圾)*...*P(x8=0|垃圾)。</p> <p>也就是說，若X=[1,0,1,1,0,1,0,0]，「P(X|垃圾)/(P(X|垃圾)+P(X|not-垃圾))」就表示同時出現「優惠、限時、打折、領取」字眼的情況下，是垃圾郵件的機率，若假設字眼的出現是獨立事件，其中P(X|垃圾)、P(X|not-垃圾)的部份，都可以用垃圾郵件中個別字眼出現機率，以相乘的方式來計算，再根據得到的機率判定是不是垃圾郵件，這就是單純貝氏分類的基本原理。</p> <p>實際上，字眼出現與否，彼此間還是會有些關聯，然而，單純貝氏分類假設它們是獨立事件，這就是其單純、天真之處，就方才談到的基本原理來說，單純貝氏分類實作簡單且執行快速，雖然有獨立事件的非現實假設，但是，單純貝氏分類通常還是有不錯的表現，特別是對於資料量不大的情況，這邊使用垃圾郵件判定為例，正是因為現實中也會使用單純貝氏分類，來作為垃圾郵件篩選器。</p> <p>方才例子，字眼的特徵不是連續的，且未討論個別特徵分布的狀況，針對不同特徵與分布，有多項式單純貝氏、高斯單純貝氏、白努利單純貝氏等方法，像sklearn程式庫，就分別提供MultinomialNB、GaussianNB、BernoulliNB等實作，例如，人的身高、體重等具有高斯分布的連續型資料，或許可以採用高斯單純貝氏來處理分類的任務。</p> <p><span style="font-size:28px;"><strong>試著從生活實例中理解</strong></span></p> <p>在面對機率方面的問題或方法時，單看公式經常不易理解，其實生活中就有許多實例可循。例如，下雨通常伴隨著黑雲，這是屬於條件機率，只不過生活實例有時過於依賴直覺而不精確罷了，例如，如果看到黑雲，下雨的機會就高嗎？</p> <p>這時可試想，這地區或季節下雨的機會是多少？出現黑雲的機會又是多少？試著多想幾個這類例子，就不難理解貝氏定理，而這些理解過程可以進一步擴展，將一些現象的特徵抽取出來作為計算基礎，就可以應用單純貝氏分類來做點分析了。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%B2%9D%E6%B0%8F%E5%88%86%E9%A1%9E">貝氏分類</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E5%99%A8%E5%AD%B8%E7%BF%92">機器學習</a></div></div></div>
2021/8/12 07:00作者林信良https://www.ithome.com.tw/voice/146077
eCh0raix勒索軟體鎖定威聯通與群暉NAS發動攻擊，25萬臺設備恐成目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定特定廠牌NAS設備的勒索軟體攻擊，最近2到3年來陸續傳出數起事故，當中不少是針對臺灣廠商威聯通科技（QNAP）、群暉科技（Synology）的NAS設備而來，但近期較新的勒索軟體，開始具備能同時對於不同廠牌設備發動攻擊的能力。</p> <p>在8月10日，<a href="https://unit42.paloaltonetworks.com/ech0raix-ransomware-soho/">資安業者Palo Alto Networks揭露新的eCh0raix（亦被稱為QNAPCrypt）勒索軟體變種</a>，並指出新版本與過往eCh0raix最大的差異，就是首度能同時針對威聯通與群暉的NAS發動攻擊。以往的eCh0raix曾攻擊威聯通NAS數次，並曾一度於2019年對群暉NAS下手。該公司指出，同時可攻擊威聯通和群暉NAS的eCh0raix，最早可能在2020年9月就出現。</p> <p>而在在2021年被揭露的eCh0raix，究竟有多少NAS會成為攻擊目標？Palo Alto根據自家Cortex Xpanse威脅情資平臺收集的情報指出，他們看到約有25萬臺威聯通與群暉的NAS設備，曝露在網際網路上，而可能成為這一波的攻擊目標。在截稿（2021年8月11日下午7時30分）之前，威聯通和群暉皆尚未針對此事發出公告。</p> <h2><strong>混合漏洞濫用與暴力破解的管道入侵</strong></h2> <p>對於本次新變種勒索軟體的攻擊手法，Palo Alto表示，攻擊者分別對於兩個廠牌的設備，利用了漏洞攻擊與暴力破解的方式入侵。</p> <p>針對威聯通NAS的部分，eCh0raix主要是濫用<a href="https://www.qnap.com/en-us/security-advisory/qsa-21-13">今年4月下旬修補的漏洞CVE-2021-28799</a>，該漏洞存在於災害復原模組Hybrid Backup Sync（HBS 3），<a href="https://www.ithome.com.tw/news/144004">當時引發了另一款勒索軟體Qlocker大規模感染的攻擊事故</a>。</p> <p>至於這款eCh0raix如何入侵群暉的NAS裝置，並加密檔案？Palo Alto指出，該勒索軟體藉由嘗試常用的管理員密碼，來企圖存取該廠牌設備。</p> <p>針對此次攻擊，Palo Alto提供了入侵指標（IOC），亦呼籲用戶要更新韌體、採用複雜的密碼，並且限縮能夠存取NAS的管道，最好僅允許特定IP位址的裝置才能連線。</p> <h2><strong>鎖定小型企業NAS的攻擊加劇</strong></h2> <p>勒索軟體eCh0raix鎖定NAS發動攻擊，已有多次記錄。最早約於2016年出現，Palo Alto指出，在本次揭露的勒索軟體出現之前，攻擊者是針對不同廠牌的NAS，採用個別的程式碼基礎（Codebase）來開發勒索軟體。</p> <p>其中，針對威聯通NAS發動的攻擊，迄今已有數次，其中較為重大的事故，分別發生於<a href="https://www.ithome.com.tw/news/131800">2019年6月</a>，以及<a href="https://www.bleepingcomputer.com/news/security/ongoing-ech0raix-ransomware-campaign-targets-qnap-nas-devices/">2020年6月</a>，先後攻擊者是透過暴力破解和作業系統漏洞，入侵NAS來植入勒索軟體。</p> <p>而對於群暉的NAS，<a href="https://www.ithome.com.tw/news/132008">該勒索軟體也在2019年有發動攻擊的記錄</a>，攻擊者以暴力破解的方式入侵該廠牌設備。</p> <p>本次的eCh0raix變種勒索軟體，結合了攻擊兩種廠牌NAS的能力，所代表的意義為何？這代表了攻擊者的能力更為強大，且這些廠牌的用戶都可能無法抱存僥倖的心理，必須落實相關安全措施來加以防範。</p> </div></div></div>
2021/8/11 19:06作者周峻佑https://www.ithome.com.tw/news/146141
Google祭出兒童/青少年保護措施，可移除18歲以下使用者照片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管現代的兒童或青少年都已與資訊科技密不可分，但各大社交平臺仍企圖在網路上保護這些未成年人，<a href="https://blog.google/technology/families/giving-kids-and-teens-safer-experience-online/" target="_blank">Google本周即宣布多項保護措施</a>，包括可請求Google於圖片搜尋結果中刪除未滿18歲的兒童/青少年照片，也將YouTube上未成年的上傳預設值調整為最嚴格的隱私選項。</p> <p>普遍來說，社交網站都禁止13歲以下的使用者獨自申請帳號，包括臉書、Instagram或Google，但業者也會透過其它形式來提供兒童服務，例如Google即推出Family Link，以讓家長可以替兒童建立帳號並加以監督，或者是Google專為兒童打造的YouTube Kids、Kids Space，以及Google Play上的教師推薦專區等。</p> <p>雖然Google早就提供了讓使用者申請移除個人資訊的服務，但未來幾周Google打算祭出一項新政策，讓任何未滿18歲的使用者，或是這些青少年/兒童的家長或監護人，能夠要求Google從圖片搜尋結果中移除其照片。</p> <p>此外，Google亦決定針對18歲以下的使用者，採用更嚴格與更具隱私的預設值。包括在YouTube上將13~17歲用戶的上傳預設值，變更為最嚴格的選項，僅允許這些青少年主動選擇的對象得以看到上傳內容；而可過濾裸露搜尋結果的SafeSearch，原本只是Family Link中13歲以下用戶的預設值，但幾個月之後，它將成為所有未滿18歲用戶的預設值，且同時適用於既有用戶及新用戶。</p> <p>可以紀錄使用者所在地的位置歷史紀錄（Location History）的預設值是關閉的，但過去Google不准Family Link中的兒童啟用該功能，未來則將進一步不准18歲以下的青少年啟用該功能。</p> <p>Google亦計畫於Google Play上建立一個新的安全區域，集結符合Google家庭政策的行動程式，這些程式必須非常詳細地揭露資料的蒐集及使用，以讓家長要代替兒童下載程式時作為參考。</p> <p>除了強化隱私及減少兒童／青少年曝露於不安全內容之外，Google也將推出新的數位健康過濾器，以讓人們能夠封鎖新聞或播客，在YouTube上則會針對18歲以下的青少年主動啟用「該休息了」或「睡覺時間到了」的提醒機制，同時關閉自動播放功能。</p> </div></div></div>
2021/8/11 17:29作者陳曉莉https://www.ithome.com.tw/news/146140
跨鏈協定Poly Network遭盜走價值6.1億美元的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造跨鏈協定以讓不同區塊鏈得以互動的<a href="https://medium.com/poly-network/the-root-cause-of-poly-network-being-hacked-e30cf27468f0" target="_blank">Poly Network周二（8/10）宣布</a>，駭客攻擊了此一去中心化的金融平臺（DeFi），並成功移轉了價值達6.1億美元的加密貨幣。Poly Net已發布公開信要求駭客歸還所盜走的加密資產，且宣稱這是DeFi史上最大的一次駭客事件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-polynetwork-600.jpg" style="width: 589px;" /></p> <p>Poly Network所開發的跨鏈協定允許同質與異質的區塊鏈，可透過公開且透明的機制連至Poly Network網路，以於Poly Network網路上進行跨鏈通訊，迄今已整合了比特幣、以太坊、Neo、Ontology、Elrond、Ziliqa、Binance、Switcheo與Huobi ECO等區塊鏈，企圖建立新一代的區塊鏈網路架構。</p> <p><a href="https://slowmist.medium.com/the-root-cause-of-poly-network-being-hacked-ec2ee1b0c68f" target="_blank">率先發現此一攻擊事件的</a>，是專注於區塊鏈生態體系安全性的SlowMist Zone社群，指出protocol Poly網路在周二晚間遭到駭客攻擊，大約有價值6.1億美元的加密貨幣被轉移到3個位址，該社群已追蹤到駭客所使用的郵件信箱、IP與裝置指紋。</p> <p>SlowMist Zone社群的分析顯示，駭客最初的來源資金為門羅幣（XMR），再將它們兌換成比特幣、以太幣與MATIC幣，並對這3條區塊鏈發動攻擊，也相信這是駭客是經過縝密計畫才發動的攻擊行動。</p> <p>該社群也公布了駭客的攻擊手法，指出其源頭為EthCrossChainManager合約的verifyHeaderAndExecuteTx函數可透過_executeCrossChainTx函數，來執行特定的跨鏈交易。</p> <p>由於EthCrossChainData合約的所有人就是EthCrossChainManager合約，有鑑於EthCrossChainManager合約能藉由呼叫EthCrossChainData合約的putCurEpochConPubKeyBytes函數來變更合約的管理人，於是駭客只需要輸入精心打造的資料，就能將合約的管理人角色轉移到駭客所指定的位址，進而轉移該合約內的所有資產。</p> <p>此次駭客即利用上述方法攻擊了幣安鏈、以太鏈與MATIC資產。</p> <p>Poly Network很快就去信給駭客，表示想與駭客溝通，請他們儘速歸還所盜走的加密資產，還說這是DeFi史上被竊金額最大的一次駭客事件，涉及數十萬的加密貨幣用戶，任何國家的執法機關都會將它視為經濟犯罪並展開追查。</p> <p>此外，<a href="https://twitter.com/PolyNetwork2/status/1425073987164381196?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1425073987164381196%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fsecurity%2Fover-600-million-reportedly-stolen-in-cryptocurrency-hack%2F" target="_blank">Poly Network也呼籲受到波及的礦工</a>，以及所有的加密貨幣交易平臺，都應將駭客所使用的錢包位址列入黑名單，也準備針對此一駭客事件展開法律行動。</p> </div></div></div>
2021/8/11 16:16作者陳曉莉https://www.ithome.com.tw/news/146138
臉書動手移除專門散布不實資訊的緬甸與俄羅斯網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《紐約時報》（The New York Time）<a href="https://www.ithome.com.tw/news/145886" target="_blank">在今年7月底的調查報導中</a>，以源自俄羅斯、設立於倫敦的行銷公司Fazze為例，指出不實資訊的製造及散布已日益形成一個產業，<a href="https://about.fb.com/news/2021/08/july-2021-coordinated-inauthentic-behavior-report/" target="_blank">而本周臉書即宣布</a>，在今年7月該平臺移除了兩個「協作不真實行為」（Coordinated Inauthentic Behavior，CIB）網路，它們分別來自緬甸與俄羅斯，後者即與Fazze有關。</p> <p>紐時發現Fazze付費給各國的網紅，要求他們在社交平臺上散布有關BNT疫苗的不實資訊，也提供了建議的說法及平臺，但法國與德國的網紅因不願配合而踢爆此事。此外，紐時追查之後發現，Fazze雖然自稱為倫敦行銷公司，但母公司其實是俄羅斯一家廣告業者。</p> <p>而臉書則指出，Fazze不僅於臉書散布不實資訊，所利用的社交平臺多達十幾個，<a href="https://about.fb.com/wp-content/uploads/2021/08/July-2021-CIB-Report.pdf" target="_blank">使得臉書決定與外界分享有關Fazze的深入分析</a>，包括Fazze在2020年12月的活動是對外宣稱打了AZ疫苗之後會變成黑猩猩，今年5月則開始質疑BNT疫苗的安全性，並持續創造混淆視聽的內容，所操作的平臺從臉書、Instagram、YouTube到TikTok等十多個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-%E5%81%87%E6%B6%88%E6%81%AF-%E5%8D%94%E4%BD%9C%E4%B8%8D%E7%9C%9F%E5%AF%A6%E8%A1%8C%E7%82%BA-%E8%87%89%E6%9B%B8-600-2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_臉書</span></p> <p>Fazze的不實資訊散布活動主要鎖定位於印度及拉丁美洲的用戶，偶爾也會在美國見到。此次臉書分別在臉書與Instagram平臺，刪除了涉及Fazze網路的65個及243個帳號。</p> <p>至於緬甸的不實資訊散布活動則聚焦在境內，這與當地正在發生的政變有關，而發布不實資訊的帳號則與緬甸軍方有所關連，也讓臉書於7月移除了相關的79個臉書帳號、13個粉絲頁、8個社團，以及19個Instagram帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-%E5%81%87%E6%B6%88%E6%81%AF-%E5%8D%94%E4%BD%9C%E4%B8%8D%E7%9C%9F%E5%AF%A6%E8%A1%8C%E7%82%BA-%E8%87%89%E6%9B%B8-600-1.jpg" style="width: 389px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_臉書</span></p> </div></div></div>
2021/8/11 16:44作者陳曉莉https://www.ithome.com.tw/news/146139
Prometheus勒索軟體受害者能自救了，奧義智慧研究其弱點並釋出解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了阻止勒索軟體的危害，過去已有一些資安業者，設法找到勒索軟體的弱點，或是偕同執法單位破獲其組織，進而開發出相應的解密工具，而且免費提供給大家使用，讓受害者免於繼續遭受勒索軟體威脅，恢復那些被惡意加密的檔案。最近，又有一款勒索軟體解密工具釋出，是針對普羅米修斯（Prometheus）勒索軟體而來，而它的開發者正是近年來備受關注的臺灣資安新創業者──奧義智慧，他們也是<a href="https://www.ithome.com.tw/review/106724">繼趨勢</a><a href="https://www.ithome.com.tw/news/106458">科技之後</a>，國內第二間打造出勒索軟體解密工具的公司。</p> <h3><strong>Prometheus於最近一年內崛起，受害者已遍布全球</strong></h3> <p>在7月13日，<a href="https://medium.com/cycraft/prometheus-decryptor-6933e7bac1ea">奧義智慧在官方英文部落格上，宣布於GitHub釋出Prometheus Decryptor</a>，顧名思義，這是針對Prometheus勒索軟體解密的工具，遭受此勒索軟體的受害者，可以透過這款具有GUI介面的工具，自行將被加密綁架的檔案解密。</p> <p>關於Prometheus勒索軟體的起源，最早是在2020年被發現，在其幕後組織於暗網設立的資料外洩網站上，已有多達40個受害者，特別的是，他們自稱隸屬於惡名昭彰的REvil組織，但根據多方證據顯示，Prometheus應是Thanos勒索軟體的變種。</p> <p>例如，根據Palo Alto Network旗下威脅情資研究機構<a href="https://unit42.paloaltonetworks.com/prometheus-ransomware/">Unit 42，在今年6月就針對Prometheus提出分析報告</a>，他們指出，該勒索軟體的受害者遍布全球30國，同時也確認它與Thanos勒索軟體的關連，而最近推出解密工具的奧義智慧，同樣指出該勒索軟體與Thanos的關連。</p> <p>此外，這套免費解密工具發布之後，對Prometheus的運作產生很大的衝擊。例如，8月1日國外媒體The Record有一篇報導指出，Prometheus勒索軟體解密工具發布兩個星期之後，該組織在暗網上似乎已經停止行動，疑似另起爐灶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E9%87%8B%E5%87%BA%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></p> <blockquote><p>奧義智慧釋出勒索軟體解密工具，可還原被Prometheus加密的檔案。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年7月中旬，奧義智慧釋出Prometheus勒索軟體解密工具於GitHub，讓全球遭受該勒索軟體攻擊的受害者，能免費透過該解密工具，可有很大機會恢復檔案。而根據</span>國外媒體The Record的報導，當中引述了<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic; white-space: pre-wrap;">資安業者</span><span style="white-space: pre-wrap;">Emsisoft的專家說法，指出該解密工具主要對小型檔案有效。</span><br /> Prometheus Decryptor網址：（<a class="fg hx" href="https://github.com/cycraft-corp/Prometheus-Decryptor" rel="noopener nofollow">https://github.com/cycraft-corp/Prometheus-Decryptor</a>）</p> </blockquote> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7%E9%87%8B%E5%87%BA%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></h3> <blockquote><p>從Prometheus勒索軟體在暗網設立的資料外洩網站上，可看出已有40多個受害企業組織。（圖片來源：奧義智慧）</p> </blockquote> <h3><strong>年初因臺灣企業受害，奧義研判有機會破解而投入研發</strong></h3> <p>勒索軟體的危害已經不言而喻，但要開發出相應的解密工具，讓受害者免於受勒索加密之苦，並不容易，因為廠商和資安專家不僅要花時間與心力去研究，也要看是否真能找出其弱點。所以，對於奧義智慧為何會開發這樣的解密工具，外界也很好奇。</p> <p>事實上，Prometheus勒索軟體受害者遍布全球，臺灣也有企業遭殃。奧義智慧共同創辦人叢培侃表示，最初他們就是接到國內客戶資安事件，因此參與Prometheus勒索軟體有關的事件調查。</p> <p>他表示，這家公司具有上千人規模，一些電腦都因勒索軟體而癱瘓，在協助調查過程中，發現連備份資料也同樣遭到加密，對營運造成很大衝擊，因此他們也曾接洽該勒索軟體組織，希望居中斡旋，但對方提出勒索金額，是這家企業所沒法承受的天價，因此希望奧義智慧幫忙。</p> <p>然而，有別於一般遭遇勒索軟體攻擊的企業，叢培侃表示，這家公司並未要求奧義智慧讓他們的系統能立刻恢復營運，而是讓他們繼續調查攻擊事件的入侵過程，以及對此勒索軟體進行逆向工程解析，自身則採紙本作業來維持公司運作。</p> <p>基本上，沒有廠商打包票能破解勒索軟體。他表示，被勒索加密的這些檔案能否復原，需要針對病毒進行全方位分析，以及駭客族群背景調查，過程當中相當耗費時間精力成本，也不確定是否可以成功。</p> <p>不過，這家客戶還是希望奧義智慧能找出一些解法，並且對於他們進行的調查相當有耐心。而奧義智慧的作法，則是請對方設法蒐集被加密的檔案，以及可能殘留的勒索病毒樣本，還有勒索信，有了這些資訊，能幫助他們加速判斷，了解該勒索軟體的演算法核心是否有問題。</p> <p>經過評估之後，他們研判有機會在有限的時間內做到解密功能，也將這樣的資訊提供給客戶，最終經歷了一個月的努力，奧義智慧整個研究團隊終於開發出能夠解開勒索軟體加密檔案的工具。</p> <p>叢培侃表示，每間公司的危機處理態度都不一樣，很少企業的決策是願意等待廠商的研發，所幸這次最終也有不錯的結果，可以在有限時間內，找出成功戰勝勒索病毒的方法。</p> <p>不過，Prometheus勒索軟體本身究竟有什麼樣的弱點？奧義智慧資深研究員陳仲寬表示，最主要是他們發現其加解密演算法的缺陷，對於每個檔案加密金鑰的生成，是與系統啟動後的時間相關，並且只使用較短的32位元的長度，因此，雖然駭客也使用RSA 4096加密技術，用於保護加密每個檔案的金鑰，但奧義智慧的對策，是找出繞過高強度加密防護的方式，直接將被加密的檔案解密恢復。</p> <p>基本上，這類勒索軟體可能為了在短時間能獲得最大效果，因此對於每個檔案的加密，使用ChaCha20、Salsa20等演算法以達到快速加密的目的，但這次最主要得以破解的原因，還是因為上述所提及用時間來對每個檔案產生加密金鑰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%A7%E7%BE%A9%E9%87%8B%E5%87%BAPrometheus%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%A5%A7%E7%BE%A9%E6%99%BA%E6%85%A7.png" style="width: 600px;" /></p> <blockquote><p>若是企業組織不幸遭受Prometheus勒索軟體攻擊，用戶可透過奧義智慧提供的這款解密工具來復原檔案。使用上，這款解密工具提供了GUI介面讓使用者操作，只要選擇檔案或資料夾，以及解密檔案輸出位置，即可執行解密。特別的是，若是使用者知道被加密的時間點，在介面中輸入對應參數，以及開啟電腦多執行序的運算，將可加快解密過程。（圖片來源：奧義智慧）</p> </blockquote> <h3><strong>奧義智慧也加入No More Ransom，提供大眾能用的解密工具</strong></h3> <p>目前已知提供解密工具的資安業者，當中有許多都加入全球知名的No More Ransom計畫，奧義智慧是否也打算加入？</p> <p>對此，奧義智慧表示，他們已經提出申請。叢培侃說明，上述客戶的資安事件發生在2021年2月，到了3月，他們正式開發出解密工具，不過，當時只是透過命令列執行的工具，目的也只是為了協助該客戶。</p> <p>不過，奧義智慧也想貢獻一己之力，因此決定申請加入No More Ransom計畫。</p> <p>他們也分享了這方面的申辦經驗。例如，他們最初找不到No More Ransom的聯絡窗口，由於他們同時身為國際資安事件應變組織FIRST成員，詢問國際夥伴之後，才得到對方的聯絡方式，叢培侃表示，加入這個計畫需得到該平臺創始成員的同意，並要有所貢獻，才能加入，而他們後來取得Associate 合作夥伴的資格，也就是貢獻勒索軟體解密工具。</p> <p>對於解密工具的共享，該組織的要求也不少，陳仲寬表示，他們需要提供解密工具與病毒樣本，對方也會自行尋找樣本來測試，態度相當嚴謹。</p> <p>特別的是，奧義智慧最初研究Prometheus勒索軟體時，曾以為它是Thanos勒索軟體，而在與No More Ransom之間的合作之下，比對更多資訊後，對方也協助他們驗證，經過數次溝通，奧義智慧也確認是Thanos的變種，當中有沿用部分程式碼。事實上，Prometheus勒索軟體一詞，也是直到今年6、7月才出現。</p> <p>而且，No More Ransom對於解密工具的對外提供，也有一定的要求，因為要讓普遍受害者都能下載後自行使用。因此，他們將原本是命令列的解密工具，在7月改版為GUI介面釋出，而包括操作介面與相關說明文件，也都要經過該組織審核，評估是否能讓一般人都能看懂與使用。</p> </div></div></div>
2021/8/11 14:18作者羅正漢https://www.ithome.com.tw/news/146136
Telegram被用在雲端Windows Server發動挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Splunk安全研究人員<a href="https://www.splunk.com/en_us/blog/security/threat-advisory-telegram-crypto-botnet-strt-ta01.html" target="_blank">發現一樁挖礦攻擊</a>，駭客結合Telegram作為攻擊工具，鎖定Amazon Web Service（AWS）上的Windows Server植入挖礦軟體。</p> <p>Splunk近日偵測到的一個挖礦殭屍網路（crypto botnet），駭客使用了加密通訊程式Telegram作為C&C（command and control）架構的一部份，用它來控制散布在網路上的殭屍網路程式。Splunk分析發現攻擊來源IP來自中國及伊朗，背後的攻擊者鎖定AWS中啟用遠端桌面協定（Remote Desktop Protocol，RDP）的Windows Server系統，並利用殭屍網路來控制。</p> <p>Telegram是新興的加密通訊程式。截至今年1月，Telegram包含iOS及Android版，已是下載次數最多的應用程式。它還有桌面版，可透過Telegram API整合行動帳號。該API也能用於遠端執行指令。而這也是這次駭客得以發動攻擊的主要管道。</p> <p>在這次攻擊中，駭客首先是鎖定AWS中啟用RDP協定的Windows Server。攻擊者以RDP暴力破解工具，來破解採用弱密碼防護的Windows Server。成功存取後，就在Windows Server中植入NL Brute、KPort Scan 和NLA Checker等駭客論壇中找到的特定攻擊工具，進而安裝Telegram Desktop，當成C&C基礎架構的一部份，並且在受害系統中植入採礦程式，如minergate和xmrig，兩者都是用來產生門羅幣（Monero）的工具。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/-Vqr19x4-IM-5mzjjdFvbXAmRyzc35g-HmqYw-yh2Ud-nuI3158kEHQ1yb3gccGa9yNhaOLTXe2fyw5p6HTy3cK1fehJxKr8DRQn3f2tU8EdosCTYMwbjCJDsKSZbSXdgDiM3rSq" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Splunk</span></p> <p>Splunk研究團隊發現到其中一個電子錢包和2018年的一宗挖礦攻擊有關，只是這次還用上了Telegram。而攻擊來源也可追溯到中國及伊朗。研究證據顯示中國是部份惡意網域所在，而伊朗則是主要攻擊發動來源。</p> <p>研究人員建議企業防範方法包括定期更新修補程式，使用強密碼，此外，研究人員建議，RDP啟用網域層認證（Network-Level Authentication），通常可防範部份暴力破解工具及非Windows RDP用戶端的存取企圖。</p> </div></div></div>
2021/8/11 14:28作者林妍溱https://www.ithome.com.tw/news/146137
微軟8月Patch Tuesday修補3個零時差漏洞，包含一新的Print Spooler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（8/10）的Patch Tuesday修補了44個安全漏洞，當中有7個被列為重大（Critical）漏洞。另有3個已被公開的漏洞，包含尚未被開採的CVE-2021-36942與涉及Print Spooler的新漏洞CVE-2021-36936，以及已經遭到開採的CVE-2021-36948。此外，<a href="https://www.ithome.com.tw/news/145735" target="_blank">微軟本周亦修補了於今年7月中對外警告</a>、有關Print Spooler的CVE-2021-34481漏洞。</p> <p>外界猜測，微軟最近可能因為被Windows列印多工緩衝處理器（Print Spooler）的相關漏洞搞得焦頭爛額，才會在今年8月僅釋出44個安全更新，這也是微軟自2019年12月以來，修補數量最少的一次Patch Tuesday。</p> <p>Windows列印多工緩衝處理器惹的禍，可能可以從微軟於今年6月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675" target="_blank">CVE-2021-1675</a>算起，當時微軟僅把它視為本地權限升級漏洞，因而未引起太多關注，直至有<a href="https://www.ithome.com.tw/news/145381" target="_blank">許多安全研究人員發現它其實是個遠端程式攻擊漏洞</a>，也促使微軟變更該漏洞的說明。</p> <p>繼之微軟於7月1日發布第二個涉及Print Spooler的安全漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527" target="_blank">CVE-2021-34527</a>，這是個遠端程式攻擊漏洞，而且當時已遭駭客開採；7月15日公布的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481" target="_blank">CVE-2021-34481</a>亦為Print Spooler的遠端程式攻擊漏洞。</p> <p>在這期間，研究人員持續指出微軟低估了Print Spooler的風險，或者是修補不完全，且微軟一直到本周才修補CVE-2021-34481。微軟表示，該公司一直到8月10日，才完成對CVE-2021-34481的調查並釋出安全更新，主要的變更在於要求使用者必須具備管理權限，才能安裝印表機的驅動程式。</p> <p>第四個Print Spooler漏洞，則是本月修補的零時差漏洞之一的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36936" target="_blank">CVE-2021-36936</a>，它是個遠端程式攻擊漏洞，亦為本月7個重大漏洞之一，雖然先前已被公開披露，但尚未傳出攻擊行動。</p> <p>至於已遭駭客開採的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36948" target="_blank">CVE-2021-36948</a>，屬於Windows Update Medic Service的權限擴張漏洞。Windows Update Medic Service是微軟於Windows 10才增添的功能，可用來修復毀損的Windows Update元件以讓系統繼續接收更新，但此一漏洞允許已登入系統的駭客執行特定程式來擴張權限，微軟僅說CVE-2021-36948已被開採，並未說明受災狀況。</p> <p>另一個已被揭露的漏洞則是存在於Windows LSA（Local Security Authority）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942" target="_blank">CVE-2021-36942</a>。</p> <p>除了上述3個零時差漏洞之外，資安團隊<a href="https://www.zerodayinitiative.com/blog/2021/8/10/the-august-2021-security-update-review" target="_blank">Zero Day Initiative（ZDI）亦點名了</a>藏匿於遠端桌面客戶端的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34535" target="_blank">CVE-2021-34535</a>漏洞，當使用者透過含有漏洞的客戶端連結駭客所控制的伺服器時，將允許駭客執行遠端程式攻擊，此一漏洞亦波及Hyper-V Viewer，且其CVSS風險評分高達9.9。</p> </div></div></div>
2021/8/11 14:01作者陳曉莉https://www.ithome.com.tw/news/146135
資安一周第158期：戴夫寇爾研究員獲Pwnie Awards最佳伺服器漏洞獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">8/5-8/11必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃黑帽大會＃Pwnie Awards ＃Exchange</strong></span></h3> <h2><strong style="vertical-align: top;">戴夫寇爾研究員獲Pwnie Awards最佳伺服器漏洞獎</strong></h2> <p>黑帽大會（Black Hat USA 2021）於7月31日至8月5日舉行，並於最後一日頒發有資安界奧斯卡獎美稱的「2021 Pwnie Awards」，臺灣資安公司戴夫寇爾（Devcore）首席資安研究員蔡政達（Orange Tsai），因本次揭露的多個Exchange Server漏洞，奪下「最佳伺服器漏洞獎（Best Server-Side Bug）」。這是繼2019年蔡政達揭露Pulse Secure的SSL VPN產品漏洞之後，二度獲得此項殊榮。<strong><a href="https://www.ithome.com.tw/news/146039">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-1-Best_Server-Side_Bug_2021.png" style="width: 400px; height: 281px;" /></p> <p><span style="color:#808080;">圖片來源：黑帽大會</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃黑帽大會＃DNS</strong></span></h3> <h2><strong style="vertical-align: top;">資安業者揭露DNS服務漏洞，Amazon、Google著手修補</strong></h2> <p>雲端安全業者Wiz在黑帽大會上，揭露有關DNS代管服務的資安漏洞：攻擊者透過新穎的手法，來挾持DNS服務供應商的節點，以竊聽DNS流量，進而描繪出連結DNS服務的組織內部網路架構。</p> <p>該公司在Amazon Route 53進行測試，成功藉由該漏洞取得全球1.5萬個組織的DNS查詢流量，涉及財富500大企業與上百個政府機構。這些流量透露出組織的內外部IP位址、電腦名稱、員工名稱，以及辦公室位置等資訊。</p> <p>儘管此漏洞Wiz認為是三不管地帶而可能無法得到處理，但Amazon及Google已著手修補。<strong><a href="https://www.ithome.com.tw/news/146033">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-2-DNS-service-bug_Wiz.png" style="width: 400px; height: 219px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：Wiz</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞揭露＃路由器</strong></h3> <h2><strong style="vertical-align: top;">近40款路由器存在身分驗證漏洞，恐影響數百萬臺設備</strong></h2> <p>多個型號的家用路由器很可能因為採用相同廠牌韌體，而存在同樣的漏洞，成為攻擊者鎖定的目標。弱點管理解決方案業者Tenable於8月3日，揭露CVE-2021-20090漏洞的細節，此漏洞波及近19個廠牌、37款路由器，而受影響的設備的共通點，都是採用臺灣綜合接入設備（IAD）製造商智易科技（Arcadyan）的韌體。</p> <p>事隔3天，資安業者Juniper提出警告，表示已有攻擊者透過位於中國湖北省武漢市的IP位址，利用此路由器漏洞，透過程式碼（Script）來發動Mirai變種殭屍病毒攻擊。<strong><a href="https://www.ithome.com.tw/news/146091">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃APT攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">中國駭客入侵5家東南亞大型電信業者，為期長達4年</strong></h2> <p>資安業者Cybereason揭露鎖定東南亞主要電信業者的網路攻擊行動，</p> <p>總共有3個中國駭客組織出手、攻擊期間自2017年到今年第一季，為期長達4年。該公司指出，至少有5家大型電信業者受害。該公司將此攻擊行動命名為DeadRinger。</p> <p>這些駭客集團在成功進駐電信業者之後，繼之危害諸如網域控制器或帳單系統，以取得通話詳細記錄（Call Detail Record）等機密資料，進而監控特定人士的通訊內容。<strong><a href="https://www.ithome.com.tw/news/146008">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃就地取材</strong></h3> <h2><strong style="vertical-align: top;">賽門鐵克揭露鎖定東南亞關鍵基礎設施下手的攻擊行動</strong></h2> <p>最近半年的時間，資安業者陸續揭露許多攻擊事故，背後都與中國駭客有關，但也有攻擊者專門針對關鍵基礎設施（CI）下手。賽門鐵克近期揭露由中國駭客發起的攻擊行動，攻擊至少自2020年11月持續到2021年3月，對象包含了水資源公司、電力公司、電信公司，以及國防組織等多個關鍵基礎設施。<strong><a href="https://www.ithome.com.tw/news/146101">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃滲透測試工具</strong></span></h3> <h2><strong style="vertical-align: top;">滲透測試工具Cobalt Strike存在DoS漏洞，可以用來遏阻攻擊行動</strong></h2> <p>滲透測試工具Cobalt Strike是相當實用的紅隊演練工具，近年來也有越來越多的攻擊者濫用，一旦出現漏洞，資安人員與執法單位可能可以用來防堵網路攻擊。資安業者SentinelOne發現，在4.2與4.3版的Cobalt Strike裡，存在名為Hotcobalt的阻斷服務（DoS）漏洞CVE-2021-36798，一旦資安人員運用這項漏洞，就可以攔阻攻擊者遠端控制受害目標的行為。<strong><a href="https://www.ithome.com.tw/news/146069">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">微軟揭露BazaCall網路釣魚攻擊細節，分析迴避偵測的多種手法</strong></h2> <p>微軟資安情資中心於7月29日，針對結合電話客服散布惡意軟體BazaCall（亦稱BazarCall）的釣魚郵件攻擊行動，說明這類攻擊完整的流程，還有做為誘餌的釣魚郵件如何迴避郵件防護系統偵測，以及入侵受害電腦之後，將會利用多種合法工具攻擊整個企業網域，並對於網路設備植入特定勒索軟體Conti或Ryuk等細節。<strong><a href="https://www.ithome.com.tw/news/146037">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/158-3-BazaCall-attack-chain.png" style="width: 400px; height: 166px;" /></p> <p><span style="color:#808080;">圖片來源：微軟</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃供應鏈攻擊＃開發安全</strong></span></h3> <h2><strong style="vertical-align: top;">PYPI惡意套件可竊取用戶信用卡資料或身分驗證權杖</strong></h2> <p>DevOps平臺JFrog安全研究團隊發現數個託管在PYPI中的惡意套件，經JFrog迅速回報，這些惡意套件已經全數遭到刪除。JFrog偵測到的惡意套件，包括noblesse和pytagora等系列套件，能夠竊取用戶身分驗證權杖、信用卡資料，以及執行遠端程式碼注入等攻擊。根據Pepy.Tech的資料，JFrog發現的這幾個惡意套件，已經被下載約3萬次。<strong><a href="https://www.ithome.com.tw/news/146011">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業</strong></span></h3> <h2><strong>技嘉科技傳出遭勒索軟體攻擊</strong></h2> <p>以主機板、個人電腦、伺服器等產品聞名的上市公司技嘉科技，8月5日傳出遭勒索軟體攻擊，6日該公司於傍晚在證券交易所，發布資安事件即時重大訊息，證實有少部分伺服器遭遇網路攻擊，目前已將偵測到的網路異常狀況通報執法單位與資安單位，並表示公司生產、銷售與日常營運都不受影響。</p> <p>至於該公司遭受何種勒索軟體攻擊？根據Bleeping Computer的報導，很可能是RansomEXX。<a href="https://www.ithome.com.tw/news/146075"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安產業動態＃CVE</strong></span></h3> <h2><strong style="vertical-align: top;">TWCERT/CC已指派近200個CVE漏洞，近期發布品質獲得兩項最高等級肯定</strong></h2> <p>為了推動臺灣業者產品漏洞修補的觀念與意識，臺灣電腦網路危機處理暨協調中心（TWCERT/CC）成為CVE 編號管理者（CNA）至今，已指派200個CVE漏洞，而該單位發布的CVE漏洞在CVSS與CWE項目，近日經美國NIST/NVD評為最高的Provider等級。獲得此項認可的CNA組織，目前僅有Adobe與TWCERT/CC。<strong><a href="https://www.ithome.com.tw/news/146035">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/146093">甫揭露的Exchange漏洞ProxyShell已出現攻擊行動</a><br /> ●<a href="https://www.ithome.com.tw/news/145993">大型醫院的氣動輸送管道系統存在可被控管的漏洞</a><br /> ●<a href="https://www.ithome.com.tw/news/146041">美國發布K8s配置安全強化指引</a></h3> </div></div></div>
2021/8/11 12:16作者周峻佑https://www.ithome.com.tw/news/146132
NortonLifeLock完成收購Avast
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月防毒與身份安全防護業者<a href="https://www.ithome.com.tw/news/145693" target="_blank">NortonLifeLock公布</a>收購捷克防毒軟體公司Avast的計畫，<a href="https://www.businesswire.com/news/home/20210810005994/en/NortonLifeLock-and-Avast-to-Merge-to-Lead-the-Transformation-of-Consumer-Cyber-Safety" target="_blank">昨（10）日雙方宣佈</a>收購已經完成。</p> <p>NortonLifeLock是2019年博通以107億美元，買走賽門鐵克企業安全產品及品牌後的業務部門，主要產品包括消費防毒產品Norton及身分防護產品LifeLock。</p> <p>本次收購將以現金加換股方式完成。依據7月14日宣佈收購當天NortonLifeLock的公司股價27.2美元計算，這樁交易總值在81億到86億美元之間。</p> <p>創立於1988年的Avast擁有多項產品及子公司，包括AVG防毒、磁碟清理工具Piriform CCleaner及TuneUp、Privax VPN等，可為NortonLifeLock增強安全產品陣容。Norton LifeLock執行長Vincent Pilette指出，透過兩公司的合併，將能強化該公司的網路安全（Cyber Safety）平臺，提供給合計超過5億的用戶，也能加速網路安全平台的創新。</p> <p>雙方合併後，新公司執行長仍為Pilette，而Avast現任執行長Ondřej Vlček將加入公司擔任總裁，並成為董事會一員。而Avast創辦人Pavel Baudiš則成為公司獨立董事。合併後NortonLifeLock將形成雙總部，分別位於捷克布拉格及美國亞利桑納州坦佩（Tempe）市。Avast將從英國倫敦證券所下市，合併後的NortonLifeLock公司在那斯達克掛牌。</p> <p>Avast為NortonLifeLock半年來收購的第二家防毒公司。NortonLifeLock在去年12月才<a href="https://www.ithome.com.tw/news/141519" target="_blank">買下德國老牌防毒廠商Avira</a>。</p> </div></div></div>
2021/8/11 12:36作者林妍溱https://www.ithome.com.tw/news/146133
Google VPN服務新增服務市場，臺灣還要再等等
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/googleone/answer/7582172#zippy=%2Chow-the-vpn-by-google-one-works" target="_blank">Google本周宣布</a>Google VPN服務將透過Google One方案，擴展到數個海外市場的手機用戶。</p> <p><a href="https://www.ithome.com.tw/news/140862" target="_blank">去年Google宣布</a>，採購Google One（原Google Drive）方案雲端硬體在2TB（月費10美元）以上的用戶，將可擁有免費的VPN服務。這項服務是包含在Google One App中，對於以行動裝置連結公共Wi-Fi熱點，或是隱藏IP防止傳輸內容被追蹤的用戶來說相當方便。不過當時只提供給美、英、德、澳及加拿大用戶。此外，家庭版Google One的另外5個以內的其他家庭成員，也可以使用Google VPN。</p> <p><a href="https://9to5google.com/2021/08/09/google-one-vpn-countries/" target="_blank">本周媒體發現這項服務悄悄更新了</a>。根據Google網頁，<a href="https://support.google.com/googleone/answer/7582172?co=GENIE.Platform%3DAndroid&oco=0#zippy=%2Chow-the-vpn-by-google-one-works" target="_blank">這項服務又再推向</a>墨西哥、法國、西班牙及義大利。不過原先名單上的澳洲卻不在列。</p> <p>Google提醒，不在支援名單的國家中，用戶就無法使用VPN by Google。當然他們也可以使用其他免費的VPN，像是ProtonVPN、Hotspot Shield等。</p> <p>臺灣目前並不在清單中，但是從<a href="https://one.google.com/about/vpn?hl=zh_TW" target="_blank">Google臺灣版網頁</a>開始宣傳這項服務來看，應該只是時間問題。臺灣版Google One 2TB為月費330元新臺幣（或每年3,300元新臺幣）。</p> </div></div></div>
2021/8/11 12:59作者林妍溱https://www.ithome.com.tw/news/146134
科學家使用人工智慧迅速偵測重力波
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府底下規模最大的阿貢國家實驗室（Argonne National Laboratory），揭露了最新將<a href="https://developer.nvidia.com/blog/ai-detects-gravitational-waves-faster-than-real-time/">人工智慧用於天文探索的研究</a>，這個研究集結了阿貢國家實驗室、芝加哥大學、伊利諾大學厄巴納-香檳分校、Nvidia和IBM的研究人員，所共同開發的大規模人工智慧框架，可用來加速、擴展且重複地檢測重力波。</p> <p>重力波可以說是時空的漣漪，就像是把石頭丟到水裡所產生的漣漪一樣，當有質量的物體進行加速度運動的時候，就會在時空中產生漣漪，並且從有質量物體向外擴散，這種時空中的漣漪便被稱作重力波。重力波可以用來觀測一些劇烈的天文事件，像是百矮星、中子星和黑洞這一類的星體，所組成的聯星、超新星，或是大爆炸，天文學家可以利用重力波，來觀測一些超新星的核心，或是大爆炸最初的數分之一秒。</p> <p>在2015年的時候，雷射干涉重力波天文臺（Laser Interferometer Gravitational-Wave Observatory，LIGO），第一次偵測到來自13億光年外的兩個黑洞碰撞，在合併時所產生的重力波，從那個時候以來，LIGO探測到了更多的重力波來源，隨著天文臺的感測器升級和技術的改進，不只探測的宇宙範圍更廣，也產生了更大量的資料供研究使用，而處理這些資料流的速度，是推進重力波天文學進步的關鍵。</p> <p>而現在新發表的人工智慧框架，不只能夠與傳統的模板配對演算法一樣靈敏，運算速度更是提升了數個量級，且進行這些複雜運算，只需要遊戲使用的GPU，就能以比即時更快的速度運算LIGO資料。研究人員利用這個人工智慧框架，在64個Nvidia V100 GPU上，運算2017年8月整個月的LIGO資料，整體花費時間不到7分鐘，就找出了四個雙黑洞合併，並且還找出了未分類的情況。</p> <p>阿貢國家實驗室資料科學與學習部門主任Ian Foster提到，這個專案顯示，藉由適當的工具，可以在科學家工作流程中應用人工智慧方法，目的不是要替代人類智慧，而是能夠大幅度減少工作。這個研究驗證了愛因斯坦相對論中的部分理論，時間與空間的關聯，同時也代表了重力波天文學研究的起點，人們可以開始以更快的速度，深入了解宇宙，包括暗能量、重力和中子星等。</p> <p>這個研究源自於2018年，阿貢國家實驗室的人工智慧研究成果，當時該實驗室就曾展示運用機器學習，從多個探測器資料流中，偵測重力波的能力，而在最新的研究中，研究人員進一步完善該模型，將使用cuDNN加速的深度學習框架，分散到64個GPU上，不只在7分鐘內處理完1個月的資料，而且沒有任何錯誤分類發生。</p> <p>這個研究的貢獻在於，結合人工智慧和超級電腦的力量，可以即時解決龐大資料實驗，而且該項人工智慧研究已可重現，而非僅是在驗證人工智慧是否可用於解決重大挑戰的階段。目前該模型已經開源，可供其他研究團隊使用。</p> </div></div></div>
2021/8/11 11:41作者李建興https://www.ithome.com.tw/news/146127
HashiCorp讓用戶跨地區聯合HCP Consul叢集建立高可用性系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HashiCorp新發表<a href="https://www.hashicorp.com/blog/announcing-hcp-consul-plus">Consul Plus</a>方案提供聯合（Federation）功能，可以讓用戶簡單地將Consul用於跨地區的應用程式，主要帶來的好處包含更快的故障恢復和更強的系統韌性，能夠良好地服務跨多個地區的使用者，且支援重疊IP範圍。</p> <p>Consul是HashiCorp所開發的免費服務網格，而HCP則是HashiCorp的雲端平臺，用戶在HCP可以簡單地用到HashiCorp Consul和Vault等託管軟體服務，且這些服務還可以連接到AWS上使用。在今年早前，官方推出了HCP Consul Standard，這是一個可用於生產環境的Consul部署，但是只能夠於單個AWS地區執行，而對於不少組織來說，需要更強健的架構來支援生產環境中的應用程式，因此HashiCorp進一步推出了Consul Plus，而Consul叢集聯合便是其中這項新產品的特點之一。</p> <p>Consul聯合將原本在各個資料中心，獨立運作的Consul伺服器串連起來，並且共享訊息。官方提到，聯合的目標是要確保在不同地區執行的Consul伺服器，在執行時還能進行通訊，該功能簡化了不同資料中心之間的通訊，藉由降低單一閘道器網路流量進出的工作負載，來降低執行負擔和風險。</p> <p>Consul聯合的主要優點包含可增加系統恢復能力和韌性，官方提到，當特定地區連線發生中斷，流量會全部被路由到另一個資料中心，而Consul聯合可以解決這個問題。Consul聯合會保護單個叢集不被請求癱瘓，避免造成更久的故障時間，Consul聯合不只在新的Plus方案中提供，也能與用戶的標準方案一同運作。</p> <p>另外，單地區部署僅適用於用戶較少的小型組織，隨著企業的發展，用戶會遍及更多的地區，隨著與主要地區的距離增加，便會出現延遲的問題，而Consul聯合能夠支援跨地區的用戶，藉由WAN連接多個地區的資料中心，這有助於解決此問題，且仍保持各地區Consul叢集獨立運作。</p> <p>除了建構具有韌性的應用程式之外，當服務到達一定規模，企業要在單個地區管理多個Kubernetes叢集、Nomad叢集或虛擬機器，可能會面臨一些挑戰，官方提到，當所有Consul叢集都執行在同一個網路上，最終會遭遇IP地址衝突的問題，而這會削弱服務網格所帶來的好處，因為當存在兩個衝突的目的地，網格就無法將流量分配到不同的服務。</p> <p>透過Consul聯合，可以連接特定地區執行的多個虛擬私有雲，由於叢集使用自己的Consul伺服器和唯一的資料中心名稱，所以可以使用Consul L7流量管理功能，將流量路由到基於服務名稱，和指定資料中心的特定服務，這便解決企業面臨擴展服務所帶來的網路衝突問題。</p> </div></div></div>
2021/8/11 11:47作者李建興https://www.ithome.com.tw/news/146128
群暉科技：殭屍網路程式正試圖攻擊NAS客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路附加儲存（Network-Attach Storage，NAS）廠商<a href="https://www.synology.com/zh-tw/company/news/article/BruteForce/Synology%C2%AE%20Investigates%20Ongoing%20Brute-Force%20Attacks%20From%20Botnet" target="_blank">群暉科技（Synology）於8月4日發出公告</a>，警告一隻名為StealthWorker的殭屍網路程式，正在對其客戶NAS系統發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0811-synology%20StealthWorker%20-600.png" style="width: 600px;" /></p> <p>群暉科技的產品安全回應部門偵測及接獲用戶通報，其產品近來被惡意程式暴力破解案例增加，經分析後判斷是已知殭屍網路（botnet）程式StealthWorker。</p> <p>StealthWorker是典型的殭屍網路程式。群暉指出，它利用眾多已感染系統為基地，以常見的管理帳號密碼暴力破解、試圖存取受害者公司系統。一旦成功，這隻程式會在受害系統上安裝進一步惡意程式，其中可能也包含勒索軟體。而之後，StealthWorker還會持續以受害系統為據點感染其他Linux裝置，包括群暉的NAS系統。</p> <p>但這家NAS廠商強調沒有跡象顯示，惡意程式是開採Synology NAS裝置上的任何軟體漏洞而駭入系統。</p> <p><a href="https://www.bleepingcomputer.com/news/security/synology-warns-of-malware-infecting-nas-devices-with-ransomware/" target="_blank">Bleeping Computer報導</a>StealWorker是2019年Malwarebytes公司首先發現。它一開始是藉由駭入購物車Magento、資料庫管理工具phpMyAdmin和後臺管理cPanel等軟體漏洞，鎖定電商平臺以植入資料側錄工具來竊取信用卡或消費者個資，近年則改用暴力破解，攻擊對象也轉向連網系統。</p> <p>Windows和Linux都是StealthWorker攻擊目標，不過不清楚群暉科技發現的是否為專門鎖定Linux 平臺的StealthWorker變種。</p> <p>群暉安全團隊已經和相關網路危機處理單位合作，正在找出並關閉已知StealthWorker背後的C&C伺服器。該公司也已同步通知可能受影響的客戶。</p> <p>群暉科技強烈建議所有Synology 產品系統管理員，檢視所有系統是否有管理密碼太弱的問題，啟動系統上的「自動防堵」功能，封鎖多次登入失敗的IP連線，並採取帳號防護措施，可以的話最好設定多因素驗證。而發現任何可疑活動者，也應立即尋求建議。</p> </div></div></div>
2021/8/11 12:01作者林妍溱https://www.ithome.com.tw/news/146131
瑞士百年郵政也積極轉型，將郵務服務結合一鍵訂購IoT按鈕，讓民眾免出門在家就能寄信及包裹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就像亞馬遜幾年前推出了一鍵式訂購按鈕，讓消費者免出門在家就能購物，來自瑞士一家百年老字號的瑞士郵政（Swiss Post），近來也開始在自家郵政服務整合了一鍵訂購IoT按鈕，讓民眾免外出在家就能夠寄送信件及包裹。</p> <p>身為瑞士聯邦旗下重要國營事業，瑞士郵政每天遞送的信件就多達700萬封，需運送的包裹更是超過50萬件，為了要能提供更便民郵政服務，所以向來以提供傳統郵務服務為主的瑞士郵政總部，近年來也積極轉型，不只提出4年轉型策略，還開始大量運用IT技術發展數位化郵務服務，甚至更運用物聯網技術，結合一鍵訂購IoT按鈕，提供民眾更迅速到府遞送服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Hausservice%20Bestellstift%201053x1053%20online.jpg" style="width: 600px;" /></p> <blockquote><p>瑞士民眾用一鍵訂購IoT按鈕，只要按下按鈕並輕刷一下印刷紙上的數位訊息，就能快速完成郵務服務申請的動作，包括寄送信件和運送包裹、選購郵票，連取款或支付賬單等，都能夠過它來完成。下訂完成後，郵務員收到通知後就會到府來取件，免出門。 </p> </blockquote> <p>這個一鍵訂購IoT按鈕的外型，就像是一支觸控筆，名稱就取作Order Pen，在這隻IoT筆裡面不僅裝了一個LoRa收發器，還內建OID光學感測器，使用者只須按下筆上按鈕，就能用它感應印刷紙上的數位訊息，來完成郵務服務申請的動作，例如寄信或寄送包裹等，讀取的訂單訊息會透過LoRa物聯網網路，回傳到瑞士郵政雲端伺服器，系統接到訂單後就會進行任務指派，附近郵務人員就會收到訂單通知，到府來取件。</p> <p>瑞士郵政早在2017年就與瑞士電信展開合作，採用LoRa低功耗廣域網路技術，來打造一個全國性IoT通訊骨幹網路。到目前為止，瑞士電信一共部署了1,100個LoRa閘道器並安裝在總面積41,000平方公里範圍內，其通訊範圍可以達到97%的瑞士人口覆蓋。</p> <p>因採用低功耗LoRa來進行數據傳輸，所以不像使用Wi-Fi或4G，Order Pen本身使用也相當省電，僅需一顆電池就能使用長達10年，並且其傳輸距離，最遠可達30英里，且傳輸過程中也使用AES-128加密來確保數據隱私。</p> <p>透過這樣的機制，即使是民眾住家附近沒有任何郵局，或是居住偏遠地區沒有網路也能用。使用Order Pen下單後，民眾也能透過App來查看處理進度，目前，瑞士郵政透過Order Pen已提供的按需郵務服務，包括寄送信件和運送包裹、選購郵票，連取款或支付賬單等，都能夠過它來完成。 </p> <p>迄今為止，這項郵政服務，在瑞士已有超過10萬人使用，未來更有40萬戶家庭用戶將陸續加入採用。<span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">除了</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">一鍵訂購IoT按鈕，</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">瑞士郵政未來也規劃使用</span><span class="s1" style="color: rgb(0, 0, 0); font-size: 11px; font-variant-numeric: normal; font-variant-east-asian: normal; font-stretch: normal; line-height: normal; font-family: "Helvetica Neue";">LoRa網路</span><span style="color: rgb(0, 0, 0); font-family: "PingFang TC"; font-size: 11px;">，來開發各種數位化服務應用，例如倉儲物流中的智慧訂購、智匯包裹以及智繪郵箱</span></p> </div></div></div>
2021/8/11 11:04作者余至浩https://www.ithome.com.tw/news/146129
Google研究：COVID-19大流行加速醫療保健產業數位化，遠端醫療使用率為去年3倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google委請哈里斯民意調查中心針對醫療保健產業所做的研究，現在發布<a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/google-cloud-covid-19-research">第二部分結果</a>，調查研究顯示，COVID-19大流行確實提高醫療保健產業的數位轉型速度，遠端醫療的普及程度大幅度增加，而且多數醫生對於數位轉型，在醫療上所帶來的益處也持正面態度，超過一半的醫生認為醫療產業的數位程度已經超越零售、飯店和旅遊業。</p> <p>醫療保健產業的數位轉型，體現在多個領域，包括應用機器學習技術加速創新和藥物發現，並且透過提高資料整合以及可移植性，來增加醫療的品質，在COVID-19大流行期間，提高疫苗可取得性和公平性。Google委託哈里斯民意調查中心對美國300位醫生進行調查，第一階段的研究顯示，有95％的醫生認為，透過提高醫療資料的互通性，將有助於改善病患預後。</p> <p>而現在Google公布第二階段的研究結果，在COVID-19大流行影響的這一年，遠端醫療的使用率大幅成長，從2020年2月的32％，躍升到了今年的90％，而有將近45％的醫生表示，COVID-19大流行加速了組織採用新技術的腳步，有五分之三的醫生提到，在這一年中組織所進行的技術升級，通常需要數年時間才能完成。在疫情之前，53％醫生認為醫療院所採用技術的態度偏保守，只有在這些技術進市場一段時間，有其他組織已經嘗試並且推薦時，這些醫療院所才願意使用。</p> <p>雖然醫療產業採用的技術並非處於領先地位，但是整體情況比起2020年已經有明顯的改進。整體來說，有超過一半的醫生，認為醫療保健產業數位程度低於遊戲（64％）、電信（56％）和金融服務（53％）；但是只有44％的醫生認為醫療保健產業數位化程度落後於零售業，而該數字在2020年為54％。受訪者自評醫療保健產業與飯店／旅遊產業的比較狀況也相同，2020年認為醫療產業數位化程度不如飯店與旅遊產業的數字為53％，到了2021年，則下降至43％。</p> <p>大多數的醫生都認同，更好的資料互通性，有助於改善診斷速度以及醫療結果，同時也能減少醫生倦怠。86％的醫生認為資料互通性可明顯縮減診斷時間，而且95％醫生也認為，數位化有助改善病患治療效果。</p> <p>不僅是病患的體驗和治療成效，57％的醫生認為數位技術有助於減輕醫生的倦怠感，也能大幅減少溝通摩擦與壓力。調查研究的結果也顯示，有89％醫生正尋找可整合病患資料的方法，以便更全面地了解病患健康狀況。</p> </div></div></div>
2021/8/10 17:11作者李建興https://www.ithome.com.tw/news/146123
Zimperium：Android木馬FlyTrap已挾持數千個臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.zimperium.com/flytrap-android-malware-compromises-thousands-of-facebook-accounts/" target="_blank">資安業者Zimperium本周警告</a>，有一Android木馬程式FlyTrap藉由各種不同的程式進駐Google Play或其它Android市集，企圖竊取使用者的臉書帳號，從今年3月現身迄今，已在全球140個國家的逾1萬款Android裝置上發現FlyTrap的足跡，並有數千個臉書帳號遭到挾持。</p> <p>FlyTrap附身在各種免費程式裡，像是免費的Netflix優惠券，Google AdWords優惠券，或者是最佳足球員票選程式等，這些程式的外觀設計精美，不僅可透過Google Play或第三方Android市集下載，也可自一般的網站下載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2001.png" style="width: 300px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2003.png" style="width: 300px;" /></p> <p><span style="color:#696969;">圖片來源_Zimperium</span></p> <p>然而，當使用者安裝了被嵌入FlyTrap的程式之後，它就會要求使用者登入臉書，並於登入頁面上注入惡意的JavaScript，以蒐集使用者的臉書名稱、位置、電子郵件、IP位址，以及與臉書帳號相關的Cookie與令牌，再將它們傳送到駭客所掌控的控制暨命令伺服器上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-FlyTrap%20Trojan%20by%20Zimperium%2002.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_</span><span style="color: rgb(105, 105, 105);">Zimperi</span><span style="color: rgb(105, 105, 105);">um</span></p> <p>駭客的最終目標是利用所挾持的臉書帳號進一步地散布惡意程式，或是用來張貼不實資訊。</p> <p>事實上，儘管程式的製作精美，但它們完全缺乏所宣稱的功能，Zimperium更發現駭客的控制暨命令伺服器含有許多安全漏洞，而讓這些被竊的資料多了一層風險。</p> <p>Google已在Zimperium的知會下於Google Play上移除了相關的惡意程式，但嵌入FlyTrap的惡意程式仍在其它第三方市集或網站上流竄。</p> </div></div></div>
2021/8/10 16:54作者陳曉莉https://www.ithome.com.tw/news/146125
遭受各界質疑，蘋果：將會拒絕掃描兒童色情以外的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146064" target="_blank">蘋果在8月5日公布新的兒童保護措施</a>，將藉由掃描Messages程式與iCloud的內容，來阻止兒童色情內容的散布，<a href="https://www.ithome.com.tw/news/146094" target="_blank">卻遭到大量安全及隱私專家的反對</a>，為此，蘋果公布了<a href="https://www.apple.com/child-safety/pdf/Expanded_Protections_for_Children_Frequently_Asked_Questions.pdf" target="_blank">這項政策的常見問題</a>（Frequently Asked Questions，FAQ），強調蘋果將會拒絕掃描兒童色情以外的內容。</p> <p>對於避免兒童色情的散布，蘋果主要採取兩項作法，一是持續掃描用戶iCloud上存放的照片及影片，當所偵測到疑似兒童色情圖片的內容達到一定數量時，就會採取人工檢驗，並向主管機關檢舉，二是掃描兒童所使用的Messages程式是否傳輸兒童色情內容，以在察覺時通知家長。</p> <p>對於外界批評蘋果對內容的偵測違反了端對端加密的政策，蘋果解釋，該公司是將已知的兒童性剝削內容（Child Sexual Abuse Material，CSAM）資料庫轉存為不可讀的雜湊組，再把它上傳到使用者的裝置上，並於裝置上比對使用者企圖上傳到iCloud上的照片，或是兒童透過Messages接收或傳遞的照片，使用者無法檢視雜湊的CSAM資料庫，蘋果也看不見相關的內容，都是透過人工智慧進行。</p> <p>另一個遭到詬病的是，隱私與安全專家擔心蘋果可能會屈服於各國政府的壓力，既然能掃描CSAM內容，那麼也能掃描其它各國政府所要求的內容，並向各國政府機關檢舉。</p> <p>對此，蘋果說明，CSAM資料庫是由美國失蹤兒童及童工保護中心（National Center for Missing and Exploited Children，NCMEC）所建立的資料庫，而且蘋果的技術也僅限於掃描符合CSAM資料庫的內容，也不會將其它的資料加入CSAM資料庫。</p> <p>蘋果強調，該公司將會拒絕任何政府將其它內容加入CSAM資料庫的要求，過去是這樣，未來也是，此外，當該系統掃描到特定帳號上傳一定數量的CSAM內容至iCloud時，系統並不會直接向NCMEC檢舉，而是會再經由人工審核確定之後，再由蘋果決定是否關閉帳號並提報給NCMEC。</p> <p>此外，對Messages傳送與接收內容的掃描，僅限於iCloud中設定家庭帳號並擁有12歲以下孩童的裝置，對iCloud的掃描則僅限於上傳到iCloud Photos的內容，蘋果並不會掃描存放於使用者裝置上的照片。</p> <p>雖然蘋果嘗試藉由FAQ來解決外界的疑問，然而，各界對於蘋果能否抵擋各國政府的要求充滿了懷疑。<a href="https://twitter.com/sjmurdoch/status/1424711170280263681" target="_blank">英國安全工程教授Steven Murdoch即說</a>，雖然蘋果承諾會挑戰來自政府的要求，不過英國已有先例，當初英國的ISP業者也曾透過訴訟以拒絕政府存取資料的要求，結果敗訴了。</p> <p>吹哨者Edward Snowden亦指出，上一次中國向蘋果提出不合理的存取要求時，蘋果屈服了。Snowden指的是蘋果為了配合中國的在2016年通過的《網路安全法》，將中國用戶的iCloud服務，<a href="https://www.ithome.com.tw/news/124658" target="_blank">交給當地ISP業者貴州雲上負責經營</a>。</p> <p>另一名<a href="https://twitter.com/SarahJamieLewis/status/1424768978849714177" target="_blank">密碼學暨隱私研究人員Sarah Jamie Lewis則認為</a>，一個好的安全設計是建置一個連製造商都無法危害的系統，假使安全必須仰賴誓言或是相信政府不濫權，等於不安全。</p> </div></div></div>
2021/8/10 15:36作者陳曉莉https://www.ithome.com.tw/news/146122
Twitter首屆AI演算法偏差競賽結果出爐：偏好較瘦、較年輕也較白的人像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Twitter在今年的7月30日發起了一項挑戰賽，邀請研究人員尋找其圖像剪裁演算法（Image Cropping Algorithm，或稱顯著演算法）的偏差，冠軍在今年8月9日出爐，他是洛桑聯邦理工學院（EPFL）的機器學習暨隱私的研究生Bogdan Kulynych，揭露Twitter的演算法偏好纖細、年輕與皮膚好的對象，並獲得了Twitter所提供的3,500美元的獎金。</p> <p>Twitter上的圖像剪裁工具是透過演算法來裁剪使用者上傳的圖片，選擇圖片中最顯著的部份作為縮圖，以方便瀏覽，使用者點選縮圖就能看到圖片的全貌。</p> <p>而此一競賽的起源<a href="https://www.ithome.com.tw/news/140121" target="_blank">可追溯至去年</a>，當時Iqlusion共同創辦人Tony Arcieri透過Twitter，發布了許多張內含共和黨參議院領袖Mitch McConnell以及美國前總統Barack Obama的照片，結果縮圖都選中了白皮膚的McConnell，隨後即有不少Twitter用戶發現，Twitter的圖像剪裁演算法的確偏好白種人。</p> <p>在此一爭議之後，Twitter即展開內部研究，證明該演算法的確存在偏差，<a href="https://www.ithome.com.tw/news/144526" target="_blank">並於今年5月暫時自動裁剪圖片</a>，繼之在7月<a href="https://blog.twitter.com/engineering/en_us/topics/insights/2021/algorithmic-bias-bounty-challenge" target="_blank">發起圖像剪裁演算法的偏差抓漏競賽</a>，邀請外部的研究人員尋找該演算法的潛在傷害，打算效法安全抓漏競賽，讓它成為Twitter及整個產業的先例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Twitter%20algorithmic%20bias%20bounty%20challenge.jpg" style="width: 600px;" /></p> <p><a href="https://twitter.com/hiddenmarkov/status/1424472328197525505" target="_blank">獲得第一名的Kulynych</a>透過GitHub<a href="https://github.com/bogdan-kulynych/saliency_bias" target="_blank">公布了他的研究成果</a>，解釋他先利用一個大型的電腦視覺模型，放大Twitter圖像剪裁演算法模型對人像的顯著預測，再針對這些人像採用定性主題化分析，顯示出Twitter的演算法偏好較瘦、較年輕、皮膚顏色較淺、皮膚較細緻，以及具備刻板女性臉部特徵的人像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-twiiter%20bias%20AI.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Bogdan Kulynych</span></p> <p>Kulynych認為，當實際部署該演算法時，這些內部的偏見將因代表性不足而造成傷害，因為該演算法將裁剪掉那些不符合該演算法的人像，不管是在體重、年齡或膚色上，可能會導致少數族群被排除，同時在大量的圖像中延續刻板的美感標準。</p> </div></div></div>
2021/8/10 16:09作者陳曉莉https://www.ithome.com.tw/news/146124
微軟Azure新增勒索軟體偵測服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體已成近年企業最大威脅，<a href="https://techcommunity.microsoft.com/t5/azure-sentinel/what-s-new-fusion-detection-for-ransomware/ba-p/2621373" target="_blank">微軟本周宣布</a>Azure新的勒索軟體偵測服務Fusion正式上線。</p> <p>這項服務是Azure團隊和微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）合作開發而成。</p> <p>Fusion以機器學習模型關聯特定軟體在防護規避及執行階段的訊號，分析是否有勒索軟體活動的特徵。一旦偵測到疑似勒索軟體的活動，即會在雲端安全資訊與事件管理員（SIEM）平臺Azure Sentinel上觸發「偵測到可能與勒索軟體活動相關的多道訊號」並顯示給管理員，微軟表示此類偵測可協助縮短平均偵測時間（Mean Time to Detect，MTTD），以及平均回應時間（Mean Time to Respond，MTTR）。</p> <p>為提供管理員快速了解可能的惡意活動，Fusion也會將微軟各項安全產品發送的訊號，以及蒐集自網路及雲端上的訊號加以關聯，以針對可疑活動進行更全面的剖析。Fusion整合的微軟安全產品包括防毒產品Azure Defender、基礎架構安全管理系統Azure Defender（Azure Security Center）、端點安全Microsoft Defender for Endpoint、身份安全Microsoft Defender for Identity、應用程式安全Microsoft Cloud App Security，以及Azure Sentinel排程分析規則等。</p> <p>微軟也建議一旦企業收到Azure Sentinel發出的警告，應檢視警告並採取回應行動，像是隔離特定機器、執行全系統掃瞄、回復到先前狀態，尋求廠商協助並檢查整體網路安全。微軟表示也會持續增進Fusion的多階段攻擊情境偵測能力。</p> </div></div></div>
2021/8/10 15:11作者林妍溱https://www.ithome.com.tw/news/146121
賽門鐵克揭露鎖定東南亞關鍵基礎設施下手的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定東南亞發動攻擊的現象，近期有資安業者公布他們的發現，<a href="https://www.ithome.com.tw/news/146008">有多組駭客自2017年開始，鎖定大型電信業者發動攻擊</a>，且濫用了微軟Exchange Server重大漏洞「Proxylogon」。但有不同的調查報告指出，有其他的中國駭客不只是攻擊電信業者，還對於多個類型的關鍵基礎設施（CI）下手。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/critical-infrastructure-south-east-asia-espionage">賽門鐵克揭露由中國駭客發起的攻擊行動</a>，攻擊延續數個月之久，至少自2020年11月持續到2021年3月，對象包含了水資源公司、電力公司、電信公司，以及國防組織等。</p> <p>而對於攻擊者的身分，該公司根據他們的調查結果，研判攻擊者來自中國，但無法確定是那個駭客組織所為。</p> <h2><strong>就地取材濫用合法工具</strong></h2> <p>為何會認定這些針對不同類型關鍵基礎設施的攻擊，是同一組駭客所為？原因與賽門鐵克找到的證據存在了數個共通點，例如，他們在攻擊目標的地理位置找到關連，且在不同組織的電腦上出現相同的工具－－其中2個組織出現了下載器，而鍵盤側錄器存在於3個組織裡，再者，則是針對其中2個組織的攻擊行動裡，研究人員發現了相同的IP位址。</p> <p>究竟攻擊者的目的為何？賽門鐵克認為，主要是竊取帳密，以及進行橫向移動。為了達到目的，攻擊者廣泛在受害電腦就地取材（Living Off-the-Land，LOL），運用多項電腦裡現成、合法的工具，諸如Windows Management Instrumentation（WMI）、ProcDump、PsExec、PsExec，以及Mimikatz等。</p> <p>研究人員提到，在執行惡意工具的過程裡，他們也發現攻擊者濫用合法的影音播放器PotPlayer Mini，來側載DLL，並用另一款合法的工具載入惡意檔案，而且這個影音播放器的蹤跡，在所有的受害單位都有出現。</p> <p>從攻擊者所運用的合法工具來看，有些是Windows作業系統內建的工具，也有系統監控軟體，而Mimikatz則是駭客常用於竊取密碼的工具。相較之下，PotPlayer Mini是偏向個人用戶的應用程式，且並非作業系統內建的軟體，若是維護關鍵基礎設施的管理者採用白名單機制，駭客很有可能就因為無法執行PotPlayer Mini，而使得攻擊行動受到阻礙。由此可見，攻擊者對於這些目標的內部環境應該是相當了解。</p> <h2><strong>疑似鎖定設計SCADA系統的資料</strong></h2> <p>在針對上述提及的水資源公司、電力公司、電信公司，以及國防單位等，具體而言，攻擊者究竟如何運用合法工具來發動攻擊？以鎖定水資源公司的事故為例，賽門鐵克指出，攻擊者先是濫用WMI，接著運用了PotPlayer Mini來載入惡意DLL檔案。</p> <p>再來，攻擊者了執行ProcDump、PsExec，以及Mimikatz。而他們運用這些工具的目的為何？其中，攻擊者用ProcDump來存取LSASS.EXE處理程序，目的是竊取憑證，並下達net view指令，來列舉網域用戶，接下來受害電腦啟動了可疑的加密連線。</p> <p>在攻擊過程裡，賽門鐵克發現攻擊者並未竊取資料，但為何要入侵水資源公司的電腦？賽門鐵克表示，這些受害電腦所存放的資料，很可能與設計SCADA系統有關，而成為攻擊者的目標。</p> <p>而在針對電力公司的攻擊行動中，攻擊者也運用類似於水資源公司的手法。賽門鐵克指出，有跡象顯示該電力公司的受害電腦，所存放了工程設計的資料。從攻擊者想要尋找的資料及攻擊策略，賽門鐵克認為，這兩起事故是相同的駭客所為。</p> <h2><strong>在電信公司出現新的合法工具</strong></h2> <p>在上述的水資源公司與電力公司事故裡，攻擊者運用了相似的攻擊手法。但在針對電信公司的攻擊行動中，駭客濫用了上述2起事故沒有出現過的合法工具：<a href="http://www.chromium.org/developers/how-tos/chrome-frame-getting-started">Google Chrome內嵌框架（Google Chrome Frame）</a>、PAExec。</p> <p>什麼是Google Chrome內嵌框架？這是Google自2009年推出的瀏覽器外掛程式（<a href="https://blog.chromium.org/2013/06/retiring-chrome-frame.html">現已終止支援</a>），適用於Internet Explorer（IE），能讓該瀏覽器的使用者，利用Chrome瀏覽器引擎來載入網頁。而攻擊者使用它的目的，則是用來載入惡意檔案。</p> <p>但這款IE外掛程式的來源為何？賽門鐵克表示並不確定，有可能是這家公司的受害電腦本來就有，但也可能是攻擊者自行帶來的工具。</p> <p>除了Google Chrome內嵌框架，攻擊者也使用了開源的PAExec工具，並透過Windows排程工具at.exe執行。</p> <p>在攻擊的過程中，駭客也運用了WMI，不只用於竊取憑證，亦讓Google Chrome內嵌框架能排程執行，藉此橫向移動找尋目標，並執行net.exe來存取網路上隱藏的C$共享資料夾等攻擊行動。一般而言，這種型態的手法，很有可能被攻擊者用於收集網路裡竊得的資料。</p> <p>但在這些只有出現於電信公司的攻擊手法之外，賽門鐵克也發現與前述事故的共通之處。例如，他們從這家受害的電信公司裡，發現一個鍵盤側錄程式與數個檔案，而這些檔案也在前述的水資源公司網路出現。</p> <p>再者，在受害的國防單位中，攻擊者也濫用了PotPlayer Mini。賽門鐵克表示，該單位受害電腦的檔案，與上述的水資源公司和電信公司有所交集。</p> <p>從本次攻擊行動的過程裡，駭客就地取材所運用的合法工具，涵蓋的類型可說是相當廣。這樣的情況也突顯出，網管人員在管制應用程式上所面臨的難題。</p> </div></div></div>
2021/8/10 13:57作者周峻佑https://www.ithome.com.tw/news/146101
華為上半年營收下滑29.4%，電信與消費者業務下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國最大電信設備製造商<a href="https://www.huawei.com/en/news/2021/7/huawei-releases-2021-h1-business-results" target="_blank">華為上周公布今年上半年的財報</a>，顯示該公司上半年營收為3,204億元人民幣，比<a href="https://www.huawei.com/en/news/2020/7/huawei-announces-2020-h1-business-results" target="_blank">去年同期</a>的4,540億元人民幣下滑了29.4%，且主要的電信業務與消費者業務皆下滑。</p> <p>今年上半年華為的電信業務營收為1,369億元人民幣，下滑14.2%；包括手機在內的消費者業務營收為1,357億元人民幣，下滑47%；企業營收為429億元人民幣，而這也是華為今年上半年唯一成長的業務，相較於去年同期成長了18.2%。</p> <p>華為的營收衰退與<a href="https://www.ithome.com.tw/news/130723" target="_blank">美國在2019年5月祭出的制裁</a>不無關係，根據<a href="https://www.wsj.com/articles/chinas-huawei-reports-38-revenue-drop-as-u-s-sanctions-bite-11628237938?mod=djemalertNEWS" target="_blank">華爾街日報</a>的報導，今年第二季已是華為連續三季的營收衰退。</p> <p>事實上，在遭到美國的出口管制之後，華為依舊取得與美國電信業者之間的臨時通用許可，允許美國的電信業者取得華為的技術支援，亦讓Google能夠繼續供應Android與Google軟體予華為手機，一直到<a href="https://www.ithome.com.tw/news/139433" target="_blank">去年8月才到期</a>。</p> <p>這也許也說明了為何華為的手機銷售在<a href="https://www.ithome.com.tw/news/139615" target="_blank">2020年第二季</a>，還登上了全球最大手機製造商的寶座，卻又在<a href="https://www.ithome.com.tw/news/142512" target="_blank">去年第四季</a>直接跌出全球前五大。</p> <p>華為的輪值董事長Eric Xu坦言，華為已經制定了未來5年的戰略目標，亦即以能夠持續的方式生存，儘管消費者業務營收因外部因素而下滑，但相信電信與企業營收將能持續地穩定成長。</p> </div></div></div>
2021/8/10 12:31作者陳曉莉https://www.ithome.com.tw/news/146118
新版Google Titan 2FA硬體金鑰棄藍牙、就NFC規格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周發表雙因素（2FA）驗證硬體金鑰<a href="https://security.googleblog.com/2021/08/simplifying-titan-security-key-options.html" target="_blank">Titan最新一代產品</a>，將放棄較不安全的藍牙技術，只留下NFC及USB規格支援。</p> <p>最新一代Titan提供2種規格，分別為USB-A/NFC，以及新增的USB-C/NFC。Google表示，透過支援NFC，新Titan可用於大部份行動裝置，只要在行動裝置背面靠一下即可完成雙因素（或兩步驟）驗證。新產品預計8月10日正式開賣。</p> <p><a href="https://www.ithome.com.tw/news/125614" target="_blank">Google於2018年首次推出實體2FA金鑰</a>，和該領域主要產品YubiKey競爭。當時以對組形式提供USB規格，及藍牙/NFC規格的金鑰。但隔年Google發現藍牙（BLE）版有漏洞，可能造成鄰近（約9公尺內）的攻擊者冒充用戶登入帳號，或是連上用戶裝置，並提供產品換新。</p> <p>在第一代Google Titan推出時，YubiKey業者<a href="https://www.ithome.com.tw/news/130673" target="_blank">Yubico執行長Stina Ehrensvard即曾指出</a>藍牙（BLE）的安全性不如USB及NFC，該公司也不會推出BLE版本產品。</p> <p>Google僅指出，最新一代產品該公司已終止BLE版Titan，而改著重較容易使用及更普及的NFC規格。但現有藍牙/NFC版Titan仍然可持續使用，保固服務也將提供直到期滿。</p> <p>若iPad上有USB-C插孔，自然可使用USB-C/NFC版Titan，但若iPad上是Lightning插孔，Google建議使用USB-A/NFC版。</p> <p>USB-A/NFC版附有USB-A到USB-C轉接頭，售價30美元。USB-C/NFC則為35美元。<a href="https://store.google.com/us/product/titan_security_key?hl=en-US" target="_blank">線上商店</a>則提供優惠。</p> </div></div></div>
2021/8/10 12:49作者林妍溱https://www.ithome.com.tw/news/146119
臉書資料搬移工具現在可將行事曆、相片轉到Google及第三方平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2021/08/improving-user-experience-in-our-transfer-your-information-tool/" target="_blank">臉書昨（9）日宣布</a>強化資料可攜服務「移轉你的資料副本」（Transfer Your Information，TYI），包括新增可搬移的目的地以及強化使用介面。</p> <p>這項服務是<a href="https://www.ithome.com.tw/news/124698" target="_blank">Google、臉書、微軟與推特2018年合推的資料移轉專案</a>（Data Transfer Project）的最新進展。資料移轉專案旨在使各平臺上用戶累積的資料可搬移到其他平臺。TYI更新版最大亮點是新增搬移的目的地，讓用戶將臉書的活動清單搬移到Google Calendar，而將相片搬到Photobucket上。</p> <p>其次則是使用介面上的改善。臉書指改版後的TYI介面更直覺、簡單；介面上也更清楚顯示每次搬移狀態，包括可重新搬移。此外，允許使用者同時啟動多道資料搬移到同一個目的地，並且加入篩選功能，方便使用者精確指定要搬動哪些資料。</p> <p>臉書產品經理Hadi Michel指出，臉書持續和開發人員合作擴展支援的資料型態及目的地，但是為了確保搬移前、後的資料安全，臉書認為法規必須更清楚定義在不同服務的搬移過程中，資料安全的責任歸屬。</p> </div></div></div>
2021/8/10 13:06作者林妍溱https://www.ithome.com.tw/news/146120
不需訓練自定義模型，Amazon Transcribe通話分析可快速擷取顧客來電特徵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其自動語音辨識服務Amazon Transcribe，加入了<a href="https://aws.amazon.com/tw/blogs/aws/extract-insights-from-customer-conversations-with-amazon-transcribe-call-analytics/">通話分析（Call Analytics）</a>新功能，讓用戶直接呼叫單一API，就可以從客戶對話中，擷取深入分析資訊。這不只是Amazon Transcribe的新功能，也是AWS客服中心智慧（AWS Contact Center Intelligence）的關鍵功能，想要嚐鮮的用戶，現在可以在AWS控制臺啟用。</p> <p>對於銷售團隊來說，與潛在和現有客戶對談的時機，便是了解需求的機會，透過了解客戶來電的主要原因，並且衡量客戶對特定銷售宣傳的興趣與反應，便有機會促成交易，AWS提到，雖然企業所使用的客服中心供應商各異，但都希望在不同的應用程式中添加來電分析功能。</p> <p>企業需要分析的內容類型，不只是通話，有可能是網路音訊以及視訊電話，而這通常需要綜合運用人工智慧服務和專門的機器學習模型，而Amazon Transcribe通話分析功能便是能夠滿足這項需求的解決方案。通話分析是建立在Transcribe的自動語音辨識功能之上，Transcribe通話分析新增專門針對客戶通話的高精確度轉錄，以及可操作的分析功能，透過簡單的API呼叫，開發人員就可以快速地從任何應用程式添加來電分析，並且從對話中擷取分析，而不需要額外建構人工智慧工作管線，或是訓練自定義機器學習模型。</p> <p>Transcribe通話分析的主要功能，包括21種語言的通話轉錄，並提供問題偵測，通話分析會從通話中，挑選出一組最短的連續字詞，來表達客戶打電話來的原因，而且這個功能開箱即用，不需要任何配置或是訓練。</p> <p>同時，通話分析功能還可以根據對話的特徵來分類通話，像是搜尋特定字詞或是片語，也可以偵測非對話時間、中斷或是分析客戶和代理的情緒。另外，也可以針對文字轉錄和相對應的音訊檔案中的敏感資料進行編輯。</p> <p>企業可以使用Amazon Transcribe通話分析來偵測通話中的一些關鍵事件，創建規則來標記客戶打斷代理，或是表現出負面情緒，說出「叫你們經理來聽」的通話，針對這些溝通不順的情況，可以在日後進行分析檢討。用戶也可以分析通話的前15秒，來掌握客服代理是否使用預設的問候語，來評估代理的表現。AWS提到，常用的場景，便是創建規則來標記特定產品和服務被提及的次數，像是特定產品運作不良的情況，以快速掌握產品狀況。</p> <p>除了使用Transcribe通話分析功能，用戶也可以使用其他人工智慧服務，像是Amazon Translate或Amazon SageMaker來建構自定義自然語言處理模型，以進一步處理文字轉錄。Transcribe通話分析功能現在於美東、美西、加拿大都已上線，而亞洲則在孟買、新加坡、首爾、東京和雪梨地區提供。</p> </div></div></div>
2021/8/10 11:38作者李建興https://www.ithome.com.tw/news/146097
VS Code Python擴充套件8月新版翻新Jupyter Notebooks整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適用於<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-august-2021-release/">VS Code的Python擴充套件8月更新版</a>已經開放下載，用戶已經可以從擴充套件庫中安裝。微軟在這個版本翻新Jupyter Notebooks的使用體驗，並且採用新方法排序Python直譯器列表。官方提到，8月更新版本相較於其他版本，是發布周期較短的版本，因為他們正在調整發布節奏，以配合VS Code的版本更新。</p> <p>在2020年的時候，微軟開始在VS Code中預覽新的Jupyter Notebooks體驗，而現在新功能已經脫離預覽階段，正式提供所有開發者使用。微軟翻新Jupyter Notebooks推出了Native Notebooks，Native Notebooks是微軟最新實作的筆記本，而Python擴充套件使用Native Notebooks API，來提供更好的資料科學開發體驗。</p> <p>微軟改進筆記本和擴充套件之間的整合，大幅加速筆記本載入時間，根據微軟使用包含49個程式碼單元格、18個標記語言Markdown單元格以及約5 MB的輸出，在舊的筆記本編輯器打開，約需要7秒鐘的時間，而在新的筆記本編輯器則能以少於1秒的速度快速開啟。</p> <p>除了速度改進之外，新的筆記本也有全新的外觀，改進UI並新增單元格操作功能，開發者現在有更多的自定義能力，來控制筆記本UI元素的外觀和位置，另外，開發者也可以在筆記本中用到，在VS Code中編輯原始碼和Markdown文字的擴充套件，像是VIM快捷鍵綁定和上色括號等。</p> <p>同時，這個新版本也改善對原始碼控制的支援，單元格更改現在能夠更良好地，在原始碼控制瀏覽中解析和查看，甚至可以自定義要顯示的類型變更。</p> <p>VS Code Python擴充套件8月更新版的另一個好用的更新，便是微軟改進了Python直譯器的排序，過去在執行Python:Select Interpreter指令的時候，Python擴充套件會顯示所有能夠找到的Python直譯器列表，並且按字母順序排列。</p> <p>因此當機器上有許多Python環境時，通常會使得直譯器選擇變得麻煩，開發者可能需要進一步搜尋或是捲動頁面，而微軟現在加速這個過程，採用了新方法，會盡量把開發者可能需要的直譯器，放置在列表的第一個選項，使其更容易被選取。</p> <p>直譯器呈現的第一順位為，與工作空間目錄同一路徑的環境，第二順位是是全域安裝環境，像是$WORK_ON或conda，最後才是像/usr/bin/python3.9等全域安裝。</p> </div></div></div>
2021/8/10 11:41作者李建興https://www.ithome.com.tw/news/146100
Cloudflare單季營收成長53%，朝淨零碳服務邁進
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路（CDN）暨安全服務供應商Cloudflare在6月5日，<a href="https://cloudflare.net/news/news-details/2021/Cloudflare-Announces-Second-Quarter-2021-Financial-Results/default.aspx" target="_blank">公布該公司今年第二季的財報</a>，該季Cloudflare創下1.52億美元的營收，成長53%。此外，<a href="https://blog.cloudflare.com/helping-build-a-green-internet/" target="_blank">該公司也在今年7月底發表了綠色雲端（Green Cloud）計畫</a>，準備在2022年全面實現碳中和（carbon neutral，又稱淨零碳），更計畫在2025年消弭Cloudflare自2009年成立以來排放的所有碳足跡。</p> <p>除了成長53%的營收之外，今年第二季Cloudflare的營業虧損為2,890萬美元，高於去年同期的2,470萬美元，該季的淨虧損則是3,550萬美元，亦高於去年的2,610萬美元虧損，每股虧損0.12美元。</p> <p>不過，Cloudflare創辦人暨執行長Matthew Prince表示，這是Cloudflare從2019年9月成為上市公司以來，營收表現最佳的一季，不只營收成長了53%，該季還刷新了新增的大客戶數量，等同於每天新增了2家6位數客戶。</p> <p>除了營收與客戶的成長之外，最近Cloudflare也開始朝向淨零碳發展。Prince坦承，當他創立Cloudflare時，從沒想過要減少網路對環境的影響，因為他根本不認為網路會對環境造成太大的影響，一直到他必須在超冷的資料中心安裝伺服器之後，才發覺要運作這些伺服器，以及將它們冷卻所耗費的龐大電力。</p> <p>事實上，<a href="https://www.sciencefocus.com/science/what-is-the-carbon-footprint-of-the-internet/" target="_blank">根據Boston Consulting Group的研究</a>，全球網路一年的碳排放占全球的2%，大約是10億噸，而整個航空產業每年所產生的二氧化碳也不過如此。</p> <p>此外，Cloudflare最初節省系統電力的設計也不是為了環保，只是希望所採用的設備能夠儘量節能，才能不被各地代管的ISP業者拒絕，在陰錯陽差下Cloudflare成為環保的一份子，隨著Cloudflare的業務日益壯大，現在全球網路約有17%採用Cloudflare服務，這些客戶因採用Cloudflare的服務而減少了55萬噸的碳排放。</p> <p>不論如何，當Cloudflare理解了網路對環境的影響之後，便計畫要在2022年達到淨零碳，全面使用再生能源來支撐全球服務，也預計購買更多的再生能源，在2025年以前彌補該公司自2009年以來的碳排放。</p> <p>與Cloudflare擁有同樣環保願景的還有微軟，<a href="https://www.ithome.com.tw/news/135423" target="_blank">微軟已承諾要在2030年實現負碳目標</a>，屆時微軟所消除的碳量將大過於該公司生態體系所排放的二氧化碳，也計畫在2050年時，消除微軟自1975年創立以來所產生的碳排放。</p> </div></div></div>
2021/8/10 12:03作者陳曉莉https://www.ithome.com.tw/news/146116
FCC釋出首個行動網路覆蓋地圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）上周<a href="https://www.fcc.gov/BroadbandData/MobileMaps/mobile-map" target="_blank">發表了美國地區的4G LTE行動網路覆蓋地圖</a>，該地圖集結了美國四大電信營運商：AT&T、T-Mobile、UScellular及Verizon自行提供的覆蓋資料，預計未來還會加入3G及5G的覆蓋地圖。</p> <p>此一4G LTE行動網路主要呈現的是下載速率至少為5 Mbps，上傳至少有1 Mbps的行動寬頻服務，並將寬頻網路及語音網路拆分顯示，使用者可直接於地圖上點選每家電信業者的圖層，例如AT&T的LTE資料網路，或者是T-Mobile的LTE語音網路，來查看不同電信業者在資料或語音服務上的覆蓋範圍，也可直接輸入所要查詢的地址，或使用縮放功能來檢視當地是否有相關服務的供應商。</p> <p>FCC表示，採用了寬頻資料收集專案的各種標準參數，以建立一個更統一的覆蓋範圍比較，相關數據都是由業者自願提交，時間點為今年的5月15日，也是全美首個4G LTE行動資料及語音服務的覆蓋地圖，不過，此一地圖僅描述了使用者在戶外及靜止時可獲得的覆蓋範圍，不一定適用於屋內或移動狀態。</p> <p>此外，它採用了傳播預測模型，因此實際的使用經驗還是會依據用戶所使用的裝置、基地臺能力，以及地形等因素而有所不同。</p> </div></div></div>
2021/8/10 12:16作者陳曉莉https://www.ithome.com.tw/news/146117
Cloudera數據平臺Spark工作開始支援GPU運算，讓ML資料前處理提高5倍執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">企業級Hadoop大數據軟體商Cloudera近期在自家的數據平臺中（Cloudera Data Platform，CDP），整合了可在GPU上加速Spark的開源函式庫RAPIDS。透過這個新功能，原先在CDP平臺上，大多以CPU來執行的Spark工作負載，比如資料分析的擷取、轉換和載入（ETL）作業，就可以搭配GPU來執行，Cloudera宣稱，可以提升5倍全端（full stack）執行速度的成效。</p> <p dir="ltr">RAPIDS是Nvidia開源釋出的CUDA加速函式庫，可以用來在GPU上執行端對端資料科學和分析工作流程。去年開始也能支援Apache Spark社群釋出的Spark 3.0，以Nvidia CUDA和開源框架UCX為基礎，來加速Spark SQL、DataFrame及Spark shuffle等功能，讓Spark工作能利用GPU平行處理和高頻寬記憶體傳輸的能力，來執行運算，且不需要改寫程式碼。</p> <p dir="ltr">Nvidia也在自家<a href="https://blogs.nvidia.com.tw/2020/11/09/accelerating-apache-spark-3-0-with-gpus-and-rapids/">開發者部落格</a>上介紹，在開發ML的工作流程中，資料科學家大約有80%的時間花在資料預處理上，包括要先瞭解資料集，反覆進行資料清整、擷取特徵等，這個過程通稱為ETL，由於Spark是資料預處理和特徵工程的常用工具，也常被用於這個環節。不過，因Spark過去的版本不支援GPU運算，所以資料科學家和工程師大多在CPU上執行ETL，再將資料傳送至GPU進行模型訓練。但隨著資料量增加後，這個流程也面臨一些挑戰。</p> <p dir="ltr">Nvidia資料科學產品部資深總監Scott McClellan指出，這對企業帶來的挑戰，一是在資料量不斷成長、迭代訓練的過程中，會花費大量的時間；二是要建立大規模CPU基礎架構，需花費大量金錢；三是在執行大規模資料處理的過程中，需要不斷重構程式碼、交接執行運算，會增加從資料工程到模型訓練每一次循環的時間成本。為此，Nvidia開源了RAPIDS，試圖透過GPU來加速資料處理的執行效率。</p> <p dir="ltr">去年，Nvidia與Cloudera展開合作，Cloudera更在今年夏天，將RAPIDS整合到自家的CDP產品中，正式在CDP中推出以GPU加速Spark的功能。Cloudera機器學習部門副總裁Sushil Thomas表示，將RAPIDS整合到CDP後，使用者執行Spark工作時，完全不需要修改程式碼，Spark核心引擎會在偵測到GPU運算資源後，自動根據工作負載的任務類型，比如是屬於列式儲存（Row-oriented）或直式儲存（Column-oriented）的資料模型，在GPU或CPU上排程執行特定工作。也就是說，Spark核心引擎會自動完成在CPU與GPU之間的運算轉換。</p> <p dir="ltr"><strong><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Cloudera數據平臺結合RAPIDS套件後的架構示意圖。</span></strong></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-09%20%E4%B8%8A%E5%8D%8810_22_01.png" style="width: 603px;" /></p> <p dir="ltr">Sushil Thomas更指出，採用GPU來執行Spark之後，可以在同樣時間內，增加資料處理迭代循環的次數，來提升模型訓練的準確度，更能將全端執行速度提升5倍。</p> <p dir="ltr">Nvidia也提出一份數據，來比較在CDP上以CPU或GPU來執行數據分析的成效。若分別以現代4節點的CPU叢集，以及相同配置的CPU搭上Nvidia A30 GPU來進行運算，後者的執行速度可達前者的5倍，不過搭配GPU的成本會比單純使用CPU增加30～40%。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-08-09%20%E4%B8%8A%E5%8D%889_35_59.png" style="width: 1296px;" /></p> <p dir="ltr">目前，這項功能僅限於CDP的私有雲產品，Sushil Thomas指出，對於公有雲的支援會在近期上線。這項功能主要瞄準採用私有雲的大型客戶，包括金融、醫療這類具有大量資料工程與資料科學任務需求的產業，目前也已經用於美國國稅局（IRS），能在超過300TB的龐大資料庫中，找出有助於識別身份盜用或其它詐欺行為的模式。</p> <p dir="ltr">Cloudera是提供Apache Hadoop商用版本的主要廠商之一，目前有超過2,000家客戶，主要產品是數據平臺CDP，提供Hadoop、Spark等大數據分析服務。</p> </div></div></div>
2021/8/9 17:50作者翁芊儒https://www.ithome.com.tw/news/146084