iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臉書爆料事件雪球愈滾愈大：爆料者上司出面背書，祖克柏親上火線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書公民誠信團隊的前產品經理<a href="https://www.ithome.com.tw/news/147038" target="_blank">Frances Haugen繼10月3日接受</a>美國哥倫比亞廣播公司（CBS）《60分鐘》（60 Minutes）節目的專訪之後，再<a href="https://www.commerce.senate.gov/2021/10/protecting%20kids%20online:%20testimony%20from%20a%20facebook%20whistleblower" target="_blank">於10月5日參加了美國參議院的「保護線上兒童：臉書爆料者的證詞」</a>（Protecting Kids Online: Testimony from a Facebook Whistleblower）聽證會。促使臉書的政策交流總監Lena Pietsch發布了官方聲明予各大媒體，<a href="https://www.facebook.com/zuck/posts/i-wanted-to-share-a-note-i-wrote-to-everyone-at-our-company-hey-everyone-its-bee/10113961365418581/" target="_blank">臉書執行長祖克柏（Mark Zuckerberg）也透過自己的帳號表達了看法</a>。不過，Haugen在臉書的頂頭上司Samidh Chakrabarti，<a href="https://twitter.com/samidh/status/1445490555740250120" target="_blank">則透過Twitter支持Haugen</a>。</p> <p>Haugen在《60分鐘》的專訪上即透露，她是看不慣臉書持續把自身的獲利擺放在公眾利益之上才挺身而出，批評臉書隱暪了Instagram對青少年帶來不良影響的研究報告，還選擇把可能促進仇恨的內容推播給使用者，於是向《華爾街日報》爆料，也多次向美國證券交易委員會（SEC）投訴臉書。</p> <p>而在本周舉行的聽證會上，Haugen也作證臉書高層公然忽視平臺所招致的有害影響，不管是與外國民主有關的事件或是兒童的心理健康，而且已成為臉書固定的行為模式。</p> <p>在直播的聽證會結束沒多久，各大媒體便收到臉書的聲明。臉書政策交流總監Lena Pietsch表示，Haugen在臉書工作不到兩年，沒有下屬，從未參加過C級高階主管的會議，還就不曾參與的主題作證，臉書並不同意Haugen對這些主題的描述。</p> <p>Pietsch還說，臉書唯一同意的是，應該要共同建立網路的標準規則，期待產業制定屬於立法者權限的社會決定，不如由國會採取行動。</p> <p>聽證會結束之後，很快就發表感言的還有祖克柏。他透過自己的官方帳號以超過7,000字的文字來闡述對此事的看法，他認為不管是Haugen或媒體都扭曲了臉書的動機，而且許多說法是不合理的。</p> <p>例如倘若臉書企圖忽略研究，那就不必建立研究計畫來了解這些問題；若不想打擊有害內容，也無需雇用大批人力來審核內容；若想隱藏各種結果，就不需提供透明化報告；若是社交媒體讓社會更分化，那麼就不會是美國的分化在增加，而其它同樣也重度仰賴社交媒體的國家，卻出現平穩或分化減少的狀況。</p> <p>此外，至於宣稱臉書把獲利置於公眾利益之上的指控，祖克柏也說這不是真的。因為臉書曾多次更改演算法，讓用戶更常看到親友的動態；臉書確實知道這會讓用戶花在該平臺的時間變少，卻能增進人們的福址，這並不是一個符合該指控的公司會做的事情。</p> <p>祖克柏最後的結論與Pietsch一致，認為在社會問題的議題上，不應由企業自行作出所有的決定，而是應藉由立法來更新網路規範，包括青少年幾歲才能使用網路服務、網路服務應該如何驗證人們的年齡，以及企業應該如何平衡青少年的隱私並讓家長了解他們的活動等。</p> <p>媒體對於祖克柏的言論並無太多批評，但抨擊Pietsch藉由詆毀Haugen來暗示Haugen的證詞不可靠。不過，曾經擔任臉書公民誠信團隊負責人，比Haugen高兩個階級的Samidh Chakrabarti選擇在此時出來支持Haugen。</p> <p>Chakrabarti表示，他在臉書任職超過6年，有好幾個下屬，還召開過幾個與C級主管的決策會議，他認為不管是演算法規則、研究透明度，或者是獨立監督，全都是值得辯論的觀點。Chakrabarti也在公民誠信團隊解散之後，於今年8月離開了臉書。</p> </div></div></div>
2021/10/7 11:28作者陳曉莉https://www.ithome.com.tw/news/147138
Fintech周報第198期：街口電子支付結盟跨國保險科技獨角獸，推出一站式投保服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1002～1008</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險科技 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融生態圈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">街口電子支付結盟跨國保險科技獨角獸，推出一站式投保服務</span></strong><br /><span style="vertical-align: top;">街口電子支付今年發展策略有重大變革，不只要發展支付服務體系，更要與金融業者合作，打造新型態的金融生態圈JKO Fintech Hub，而首個推出的金融創新產品，是與跨國保險科技獨角獸<a href="https://www.ithome.com.tw/news/145518">bolttech</a>合作，在街口支付App內推出保險專區，提供一站式線上投保服務。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">新加坡保險科技新創bolttech，靠著數位與數據驅動的能力，來串聯起保險公司、保險經銷商、顧客，使各方能更容易購買與銷售保險，僅成立1年已擠身獨角獸地位。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">今年，街口展開了不一樣的生態圈發展策略，要讓<a href="https://www.ithome.com.tw/news/146776">街口App變成一個應用場景平臺</a>，各業者可在平臺推出自家服務。將街口既有的技術能力標準化，與各產業第三方業者合作串接。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">與bolttech的合作上，利用街口新開放的技術來加速授權註冊流程，來優化整體投保流程，投保後可直接以街口支付付款。街口電支宣稱，3分鐘內便能完成投保。目前先推出了疫苗險，將陸續新增意外險、旅平險等險種。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 公司治理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資安治理 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">上市公司資安作為必須更公開，金管會明定年報需揭露資安具體作法與投入資源</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會在去年8月啟動「公司治理3.0－永續發展藍圖」，近期，進一步預告修正「公開發行公司年報應行記載事項準則」部分條文修正草案，主要參考了2020年亞洲公司治理報告（CG Watch 2020）建議事項，要來強化公司推動永續發展執行情形，以及資通安全風險管理等資訊揭露透明度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">修正重點之一是強化企業資通安全管理的資訊揭露，金管會表示，資通安全是公司營運的重要議題，為了強化資通安全的管理，明定公司需在年報清楚說明資通安全政策、具體管理方案、投入資通安全管理的資源等資訊。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，金管會表示，雖然目前公司可自行辨認且揭露其資通安全風險暴露情形。但，為了落實公司對資通安全的風險揭露，明定公司需揭露因重大資通安全事件所遭受的損失、可能影響及因應措施，以及資通安全風險對公司財務業務所造成的影響及因應措施。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Apple Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa信用卡 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安全漏洞 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究人員揭露Apple Pay有漏洞恐遭盜刷，蘋果抱怨是Visa系統出問題</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">一群安全研究人員近期揭露了Apple Pay的安全漏洞，指稱當啟用Express Transit/Travel功能時，駭客即可繞過蘋果的安全機制，盜刷使用者的Visa信用卡。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">研究人員採取的是中間人重放與中繼攻擊，他們是透過一個Reader模擬器Proxmark與受害者的iPhone溝通，再以一支啟用NFC功能的Android手機充當卡片模擬器，以與EMV支付設備通訊，為建立Proxmark與卡片模擬器間的連結，作法上，研究人員先將Proxmark以USB連至一臺筆電，再以筆電將訊息透過Wi-Fi連至卡片模擬器，或者Proxmark也能直接透過藍牙來連結卡片模擬器。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在一段展示的影片中，研究人員成功地從一支鎖住的iPhone上盜刷了1,000歐元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">研究人員去年10月與今年5月先後通報蘋果及Visa，但兩造目前似乎都不打算修補該漏洞。研究人員建議使用者最好不要指定Visa信用卡作為Express Transit的支付工具，以保障自身的權益。<a href="https://www.ithome.com.tw/news/147013">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 供應鏈金融 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台北富邦銀行 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 台灣電力公司 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀與台電簽訂供應鏈融資MOU，雙方將串接系統提升貿融效率並降低詐欺風險</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E4%BE%9B%E6%87%89%E9%8F%88%E8%9E%8D%E8%B3%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%AF%8C%E9%82%A6%E9%87%91%E6%8E%A7.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與台灣電力公司近期正式簽訂國營事業供應鏈融資的合作備忘錄（MOU），聚焦供應鏈金融議題。雙方將以數位化型式升級既有的傳統貿易融資業務，透過系統對接，來降低貸前審核與貸後控管的作業流程，同時降低詐欺風險。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行預計，雙方合作第一年將為首批符合條件的中小型供應商提供90億元融資服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">雙方將對接歷史交易數據，台北富邦銀行可以用來快速評估供應商的經營狀況、履約能力，評估融資額度的合理性，另外也能用系統化方式處理台電供應鏈數據，減少傳統貿易融資所需的人為操作或線下接觸，供應商則無需提供部分撥貸文件與貸後檢核文件。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行表示，未來規畫結合區塊鏈等技術，記錄供應鏈流程中各環節資訊，自動生成供應鏈資產履歷。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 網釣郵件 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">駭客對Coinbase用戶展開大規模網釣且成功盜轉6千人資產，此加密貨幣交易平臺決定全額彌補用戶損失</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國最大加密貨幣交易平臺Coinbase在9月底披露，有一駭客集團針對用戶展開大規模的網釣活動，寄出網釣郵件給採用各大電子郵件平臺的Coinbase用戶。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">駭客製作了許多不同版本的郵件，有些偽裝成Coinbase，聲稱用戶的帳號被鎖住了；有些偽裝成微軟，詢問使用者是否願意讓Coinbase程式存取個人檔案；由於有些舊有的郵件服務並未更新過濾機制，而讓網釣郵件流入使用者收信匣，最終將使用者導至駭客掌控的網釣頁面。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">甚至，駭客利用該平臺簡訊雙因素認證的安全漏洞，移轉了至少6,000名Coinbase用戶的資產。Coinbase則決定彌補用戶的全部損失，匯入等值的資產至受害者帳號。不過，該公司並未對外透露損失規模，也已修補了該漏洞。<a href="https://www.ithome.com.tw/news/147046">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 第一銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境匯款 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">第一銀行新推印尼跨境匯款服務，運用摩根大通銀行區塊鏈技術辦理帳戶驗證以減少匯款失敗風險</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">鎖定在臺25萬名印尼移工匯款回母國的市場，第一銀行近期新推出印尼跨境匯款服務，只需支付一般匯款手續費，不用像過去得支付額外的費用。相較透過移工雜貨店寄錢回家，需要1到2天時間，第一銀行指出，該服務最快10分鐘、最遲次日入帳印尼盾到母國家人的帳戶。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第一銀行這項服務使用了摩根大通銀行（JPMorgan Chase Bank）的區塊鏈帳戶驗證機制，來優化用戶的匯款體驗。第一銀行解釋，匯款人可在帳戶驗證平臺上，事先查詢受款人的帳戶資訊，減少匯款過程中因帳戶資訊不符而導致交易延遲或匯款失敗，也可避免受款人帳號輸入錯誤，而將款項匯入他人帳戶的情況發生。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">攝影／洪政偉；圖片來源／富邦金控</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>渣打銀行推出獨資企業主數位申貸平臺</strong><br /><strong style="vertical-align: top;">2. </strong><a href="https://www.ithome.com.tw/news/146942"><strong>台灣大哥大聯手台北富邦銀行，整合電信用戶數據來提供金融服務</strong></a><br /><strong style="vertical-align: top;">3. </strong><a href="https://www.ithome.com.tw/news/147011"><strong>TikTok踏入NFT市場推出Top Moments，將拍賣平臺最具文化影響力影片</strong></a><br /><span style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top;"><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年10月</strong></strong></span></p> </div></div></div>
2021/10/7 11:34作者李靜宜https://www.ithome.com.tw/news/147137
Twitch遭駭客入侵，連原始碼都外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在2014年以9.7億美元買下的遊戲影片串流平臺Twitch，近日傳出遭到駭客入侵，而且駭客透過網路論壇4chan免費提供多達125GB的外洩資料下載，包括Twitch的原始碼在內。<a href="https://twitter.com/twitch/status/1445770441176469512" target="_blank">Twitch已經證實被駭</a>，但尚未公布資料外洩規模。</p> <p>根據《<a href="https://www.theverge.com/2021/10/6/22712250/twitch-hack-leak-data-streamer-revenue-steam-competitor?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">The Verge</a>》與《<a href="https://www.videogameschronicle.com/news/the-entirety-of-twitch-has-reportedly-been-leaked/" target="_blank">Video Games Chronicle </a>》的報導，這批資料包括Twitch的創作者支出細節、twitch.tv的提交歷史、行動/桌面/遊戲機的Twitch客戶端程式原始碼、Twitch所建立的SDKs及所使用的AWS服務、尚未發表的遊戲串流平臺Vapor，以及Twitch內部的紅隊測試安全工具等。</p> <p>此外，駭客還把首批公布的Twitch資料命名為Part one，意謂著手上可能還握有更多外洩資料。</p> <p>由於有使用者提及駭客所釋出的資料也包含了Twitch的用戶憑證，使得《Video Games Chronicle》建議Twitch用戶最好啟用雙因素認證來確保帳號安全。</p> </div></div></div>
2021/10/7 12:16作者陳曉莉https://www.ithome.com.tw/news/147139
WSL現在廣泛支援GPU加速機器學習工作負載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/windowsai/gpu-accelerated-ml-workflows-broadly-available-in-the-windows-subsystem-for-linux/">微軟宣布</a>WSL（Windows Subsystem for Linux）中的GPU加速機器學習訓練支援，已經在Windows 11以及Windows 10 21H2正式提供。微軟在2020年中的時候，首次發布了這項新功能，經過了一年，微軟在過程中與AMD、英特爾和Nvidia中的科學家和工程師合作，使這項功能更為完善。</p> <p>該功能的進展之一，便是Nvidia CUDA已經支援WSL中現有的機器學習工作流程。微軟提到，從公開預覽版發布以來，他們的更新重點便擺在，要確保WSL能夠完全支援專業機器學習工作負載，這包括資料科學家和工程師，在日常中會使用的Linux工具、函式庫和框架。Nvidia CUDA便是其中之一。</p> <p>過去一年微軟和Nvidia合作，逐步改善在WSL的CUDA開發體驗，透過最佳化CUDA驅動程式，CUDA程式在WSL能以最佳效能運作，<a href="https://developer.nvidia.com/blog/leveling-up-cuda-performance-on-wsl2-with-new-enhancements/">Nvidia提到</a>，不少開發者關注CUDA程式在WSL環境，所需要付出的額外執行成本。</p> <p>目前從Blender（下圖）基準來看，WSL存在的額外成本小於1％，另外，在Rodinia和GenomeWorks等基準，在WSL環境的執行速度，已經比起Nvidia CUDA剛開始支援WSL時快上不少，甚至在不少情況已經接近原生環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blender-benchmark-WSL2-vs-Native.png" style="width: 580px; height: 236px;" /></p> <p>另外，現在開發者也可以使用WSL中的DirectML，來跨GPU供應商進行機器學習訓練。DirectML是DirectX家族中與硬體無關的機器學習函式庫，支援在任何支援DirectX 12的GPU上，執行GPU加速的機器學習訓練和推理。</p> <p>藉由將DirectML作為後端與TensorFlow搭配使用，能夠讓更多用戶在Windows上開發，以GPU加速機器學習訓練的用例。而微軟在和AMD、英特爾和Nvidia密切合作之後，現在TensorFlow-DirectML已經正式發布，能夠支援不同機器學習應用領域的工作負載。</p> <p>微軟提到，要使用這項最新的功能，首先需要根據系統中的GPU，安裝最新來自AMD、英特爾和Nvidia的驅動程式，並且依照需要在WSL中配置Nvidia CUDA或是TensorFlow-DirectML。</p> <p>在WSL中支援GPU運算功能，目前已經全面在Windows 11中提供，而Windows 10則需要利用Windows Insiders Program中的預覽頻道，取得21H2版本才有支援。</p> </div></div></div>
2021/10/7 11:05作者李建興https://www.ithome.com.tw/news/147128
美芝城靠IT翻轉門店營運管理，下一步還要用數據強化經營決策
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一份火腿蛋跟大冰奶！」聽到客人用熟悉的口吻點了早餐，櫃檯店員快速在iPad上點餐、結帳，後面的煎檯、組裝區、飲料區人員也開始動作，直接從各區的出單機接單，分工製作指定的早餐品項，10分鐘內將早餐送到顧客手中。</p> <p>這套像是大型連鎖速食店的數位出餐流程，你猜是哪一家？不，這不是任何一家速食品牌，而是你我從小吃到大的老字號臺灣早餐店，他們更要一口氣，把全臺近1,100家分店都變成新模樣。</p> <p>頂著鮮橘色招牌的早安美芝城（以下簡稱美芝城），從美而美漢堡店起家，至今走過近40個年頭，近年更大刀闊斧轉型，2017年開始設立新型態概念店，把早餐店變大、變美，這2年進一步導入門店管理IT，把上千家門店的例行巡檢與原物料訂購全面數位化，更逐步導入雲端POS系統。</p> <p>以IT翻轉門店營運模式的關鍵推手，就是早安美芝城資訊部主任蘇暐盛，他在2014年進入公司後，靠一己之力，從無到有打造了美芝城的IT基礎架構，更花費數年時間，將IT服務與思維推廣到各個部門，來整備全公司的IT意識。兩年前，美芝城也投入更多經費，加速發展IT，去年正式成立資訊部，IT編制終於來到3人，今年更計畫擴編到5人，不只要強化門店管理，還要為臺南科技工業園區的新廠區IT建置，提早備戰。</p> <p><span style="font-size:28px;"><strong>從無到有打造IT基礎架構</strong></span></p> <p>蘇暐盛剛到任時，美芝城幾乎沒有資訊系統可用，他先花大半年時間了解各部門的作業流程，進行流程分析與拆解，尋找IT可著力之處。</p> <p>盤點所有業務流程後，蘇暐盛發現，訂貨作業流暢性不足是最大的問題。舊有訂貨流程是，總公司客服團隊打電話給所有加盟主，詢問每周原物料訂購品項與數量，再將資料輸入套裝軟體中，來進行訂購與結帳。但這套軟體進銷存模組設計以日結為主，只能採取當日訂購隔天出貨的模式，不能提早預訂更長天數後的訂單，導致中央工廠的生產排程、物流的庫存調度以及財務的出帳作業，都缺乏彈性。</p> <p>因此，蘇暐盛決定導入ERP，來管理訂單，也同步升級硬體，以機架式伺服器汰換原本的PC伺服器，架設了Hyper-V虛擬化環境來部署ERP，確立了美芝城新的IT基礎架構。</p> <p>導入ERP後，訂單作業改以出貨日來進行帳務結轉，讓庫存計算與帳務間的對應更為一致，原物料也能提前訂購。蘇暐盛也自行客製ERP功能來優化作業流程，比如在訂單模組介面中，除了顯示原物料清單及預估數量，也客製增加了客服人員經常被問到的資訊，如物流配送預估時間、客戶應付金額等，來加快訂購流程。</p> <p><span style="font-size:28px;"><strong>數位化原物料訂貨作業</strong></span></p> <p>改善訂單管理機制後，蘇暐盛也進一步展開原物料訂貨的流程改造工作。他指出，過去靠電話訂購的流程帶來三大問題。其一，為趕中午12點結單，客服人員只能早上打電話詢問，有時難以錯開早餐店繁忙時段而造成加盟主困擾；其二，人工電話代訂，可能因口誤、聽錯或輸入錯誤而造成訂單出錯；再加上，加盟店未來持續拓展，得增加客服人數，會導致人事成本提升。</p> <p>考量到這些問題，美芝城決定轉變策略，將過去由總公司派人詢問加盟主來下單的作法，改由加盟主直接透過B2B線上訂貨平臺自己下訂。</p> <p>然而，電話聯繫加盟主的作法，深受美芝城員工倚重，「有些主管認為，人與人之間的互動，能夠建立起信賴關係，還可以了解加盟主的個性、營運狀況，」而資訊化流程則難以反映語音交流附帶的訊息。後來，蘇暐盛花了許多時間與主管溝通，強調數位化是未來趨勢，點出轉變利大於弊的原因，才順利獲得支持。</p> <p>蘇暐盛開始規劃建置B2B平臺時，原先打算開發一支原物料訂購App，但因加盟主使用的裝置不同，App得區分成iOS與Android版本來維運，所以在綜合評估後，他選擇找上原本的ERP廠商，由廠商基於ERP的訂單模組架構，進行Web開發。</p> <p>蘇暐盛也剖析，利用ERP系統開發帶來的優勢。一方面，訂購資料可以直接整合到ERP中，避免拋轉與串接問題，加盟主一提交表單時，就能即時在ERP內產生訂單資訊。另一方面，可以直接利用ERP資料來打造B2B平臺上的資訊服務，比如利用ERP的配貨週期資訊，在訂單提交時，即時估算物流配送時間，顯示在訂單畫面中供加盟主參考。最後，也不需要重新與另一組委外團隊培養默契，可以加速系統的開發流程。</p> <p>開發團隊花了3～4個月的時間進行需求訪談，才著手進行開發。開發完成後，在推廣到上千家門市之前，也先在10多家門市進行系統測試，更在全臺舉辦了七場說明會，讓加盟主在測試環境下進行操作，快速熟悉訂購介面與流程。蘇暐盛指出，開發團隊花了許多時間與加盟主磨合，比如根據使用者反饋，在訂購介面中加入了線上客服功能，店家遇到問題時，可以隨時點開小視窗，聯繫客服來解決問題。</p> <p>系統上線前，團隊也測試了穩定度、平臺效能與網路頻寬速度等，來確保系統可以支持上千家門店的工作負載，「所有的測試結果，都加快了我們排除問題的速度。」系統上線至今，已經有超過9成7的加盟主自己透過系統線上訂購原物料。</p> <p><span style="font-size:28px;"><strong>導入雲端POS強化經營決策</strong></span></p> <p>除了改造內部作業流程，蘇暐盛也致力於靠IT強化經營決策。比如美芝城在2017年推動轉型時，就透過數據分析，計算每間門店的貢獻度。具體計算方式是，先估算每次叫貨的物流、人力與倉儲成本，再根據每間門店的進貨週期，計算出門店每一次叫貨金額，應達到的最低標準。透過這項數值，經營者就能檢視門店的採購金額是否達標，足以攤提掉物流配送的成本，也能藉此計算每家門店貢獻度，找出貢獻度不足的店家，視情況對這類店家進行輔導轉型。</p> <p>當時推動轉型時，為了解決收銀、紙本記帳等問題，美芝城也首度在門市導入了PC式POS系統。但在去年，美芝城重新思考了未來的門店管理方針，為了滿足更即時的數據運用需求，規劃導入第二代雲端POS系統，「未來是資料的時代，透過資料分析了解市場趨勢，才能研發新產品，推出更有效的廣告行銷與促銷活動。」蘇暐盛說。</p> <p>決定導入雲端POS後，美芝城還花了大半年時間與廠商溝通需求，來客製化開發POS，不只介面設計與前一代POS相仿，方便店員快速上手，也進一步讓POS更貼近早餐店高度客製化的點餐業態。蘇暐盛解釋，顧客光是點漢堡，就有數十種組合，比如肉多兩塊、蛋加兩顆，肉要煎久一點，加胡椒不要番茄醬，生菜多一點、少一點，全部都得依據顧客需求製作。</p> <p>但要滿足這麼彈性客製的點餐需求，一般POS機既有的分站出單功能就不敷使用。蘇暐盛說明，分站出單的功能，是將不同的餐點分配到不同區域來製作，比如顧客點一個漢堡套餐後，自動拆分漢堡套餐的品項與配料，通知煎檯、組裝區、飲料區來分工製作。但是，在客製化的餐點中，POS的分站出單功能，得允許餐點品項可以拆分成更小物件，才能在完全不需口頭交接的情況下分區出單，來製作出高度客製化的餐點。</p> <p>光是這項分站出單客製功能，美芝城就花了三個月時間與廠商溝通，連出單機列印的排列順序都重新設計，就是要透過細微的差異，讓門市各線站檯的製餐人員，都能快速接收訊息、加快製餐速度，減少消費者的等待時間。</p> <p>客製開發完成後，美芝城今年正式導入雲端POS系統。</p> <p>蘇暐盛指出，以iPad為載體的雲端POS，帶來不少好處，一來，修改菜單或資料異動時，過去只能由門市店員在本地端POS機自行設定，但SaaS服務形式的雲端POS，能從中央統一管理每一臺裝置上的POS系統，在修正資料後，統一派發新版到每一臺裝置上更新，還能限制門市自行修改菜單，避免每一家門市售價不一的問題。</p> <p>其二，PC式POS機臺常設計成收店結帳時，才將營業報表拋回ERP系統，但雲端POS可以即時更新每一筆營業數據，供總部管理人員即時分析與應用。比如推出新品後，研發人員可以即時了解各門市的銷售情形，來驗證銷售策略的有效性，還能提早規劃生產排程與物流配送。未來，也有機會直接運用門店的銷售資料，計算出該店在不同時期的原物料需求，將銷售數據自動轉換為原物料訂單。</p> <p>疫情爆發後出現大量外送需求，也體現了雲端POS很容易串接外送平臺的優勢，可避免店員分兩套系統接單、輸入訂單，而產生漏單與點錯餐的問題。蘇暐盛表示，這也讓美芝城在向門店推廣新一代POS時，減少了許多阻力，目前更已經有上百家門店完成汰換。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/19_(%E6%8A%BD)%E8%98%87%E6%9A%90%E7%9B%9B_%E6%97%A9%E5%AE%89%E7%BE%8E%E8%8A%9D%E5%9F%8E_%E8%B3%87%E8%A8%8A%E9%83%A8_%E4%B8%BB%E4%BB%BB_20210915.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>早安美芝城資訊部主任蘇暐盛表示，未來是資料的時代，透過資料分析了解市場趨勢，才能研發新產品、推出更有效的行銷活動。</strong></span></p> <p><span style="font-size:28px;"><strong>門店巡檢作業全面數位化</strong></span></p> <p>為了有效管理門店，蘇暐盛今年也將門店巡檢作業全面數位化。過去，美芝城指派的督導人員巡訪門店時，會以紙本來記錄各項問題點、進行評核，但紙本資料保存不易，難以查詢歷史記錄，加上督導巡檢完，還需要花時間後製報表，造成資訊傳遞的即時性不足。因此，美芝城今年導入智慧巡檢系統，讓督導人員直接在App上，快速對店家評分，儲存表單後即完成巡檢。</p> <p>這套巡檢系統也經過一番客製化開發，除了彈性設計巡檢項目的計分方式，線上巡檢表也禁止上傳現成圖檔，只能靠現場拍攝，來確保巡檢的公證性。督導人員巡檢完送出表單，系統將即時計算出評分，接著，督導就能以社交軟體或電子郵件，快速將電子報表寄給加盟主瀏覽，來改進門店問題，區主管與管理者也能立即看到巡檢結果，來強化門店管理。</p> <p><span style="font-size:28px;"><strong>持續練兵，為新工廠IT建置備戰</strong></span></p> <p>以IT翻轉門店營運模式後，蘇暐盛持續擴編IT人力，要為新工廠的IT建置挑戰做好準備。未來，美芝城規劃在臺南科技工業園區設立新工廠，IT建置更要朝智慧工廠邁進，除了要導入製造執行系統（MES）與設備自動化程式（EAP），也要建立IoT環控系統與戰情室，就連廠區門禁管理、WMS倉儲管理，甚至是物流車輛的載重推估，都將成為IT部門的全新挑戰。</p> <p>「IT扮演的角色更加全方位。」這也是為什麼蘇暐盛現階段不斷練兵，就是要讓IT，成為整個後勤單位的關鍵支持力量。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>蘇暐盛</strong></p> <p><strong>早安美芝城資訊部主任</strong></p> <p>學歷：國立臺中科技大學附設空中學院企業管理科</p> <p>經歷：1999年開始，任職於生活百貨名佳美的資訊服務課，而後於2014年進入早安美芝城擔任資訊專員，隔年升任資訊總務部主任，靠一己之力逐步建立起美芝城IT基礎建設，直到去年才率領3人團隊成立了資訊部，今年更計畫擴編到5人，來面對更加多元的IT建置需求</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>早安美芝城</strong></p> <p>● 地址：臺南市南區新平路7-1號</p> <p>● 成立時間：1983年</p> <p>● 主要業務：餐飲連鎖加盟服務業</p> <p>● 員工數：99人</p> <p>● 董事長兼任總經理：李松田</p> <p>● 資本額：1億1千萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>● 資訊部門名稱：資訊部</p> <p>● 直屬主管：協理林柏均</p> <p>● 資訊部門人數：4人</p> <p>● IT預算：400～500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>● 2014年7月：第一代POS系統上線</p> <p>● 2018年3月：ERP系統導入上線</p> <p>● 2018年5月：人資系統導入上線</p> <p>● 2020年9月：電子發票（自建Turnkey）上線</p> <p>● 2021年6月：加盟主B2B訂貨平臺上線、智慧巡檢系統上線、第二代雲端POS系統上線</p> <p>● 2021年7月：POS與外送平臺Uber Eats、Nidin線上訂餐串接自動進單</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1045-cio.png" width="960" height="420" alt="" title="早安美芝城資訊部主任　蘇暐盛" /></div></div></div>
2021/10/7 07:00作者翁芊儒https://www.ithome.com.tw/people/147021
【專為邊緣環境最佳化，因應緊迫空間與惡劣作業環境需求】超融合系統新戰場：邊緣運算環境
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1045-ji_shu_zhuan_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超融合基礎架構（Hyper Converged Infrastructure）透過軟體定義化方式，同時整合了運算與儲存所需的軟、硬體資源，在一臺機箱內便可提供完整的IT基礎設施服務，藉此也帶來了部署簡單、迅速，以及管理便利等特性，不僅適用於企業資料中心，對於生產現場等邊緣（Edge）環境來說，也能發揮重大的作用。</p> <p>因此，近2、3年來，也誕生了專門針對邊緣環境應用最佳化的超融合產品，它們在既有的超融合系統基礎上，另外結合特殊的機箱與系統設計，成了超融合領域內一個獨具一格的分支。</p> <p><span style="font-size:28px;"><strong>興起中的邊緣運算革命</strong></span></p> <p>長期以來，IT投資都集中於資料中心，銷售與生產現場之類的邊緣環境，能得到IT資源相對十分有限。</p> <p>然而，隨著物聯網、生產智慧化、營運服務數位化等應用的持續擴展，有越來越多的資料，是在生產應用現場等「邊緣」環境所產生，由此也帶來了資料量的爆炸性增長，以及對於資料即時處理與分析的迫切需求。</p> <p>為了在激烈的市場競爭中，創造出差異化的價值，現在的企業需要從資料產生的地點，也就是生產工廠、銷售或服務據點等營運邊緣端點，便開始資料處理與分析工作，連帶的，也產生了在這些邊緣環境中，建置完整IT應用設施的需求。</p> <p>但生產應用現場的IT部署環境，大不同於資料中心，各式各樣的邊緣環境原本是為了生產、銷售、服務等不同目的而設立，對於IT設備的建置與運行考慮得很少，往往沒有專門的IT設備空間，也沒有良好的設備運作環境。</p> <p>因此，一般針對資料中心機房環境設計的IT設備，並不適用於邊緣環境，要符合邊緣環境的IT建置需求，將需要特別針對邊緣環境設計的IT設備。</p> <p><span style="font-size:28px;"><strong>超融合與邊緣運算的天作之合</strong></span></p> <p>超融合基礎架構的固有特性，先天上就十分適合邊圓環境的應用。</p> <p>從資料中心到邊緣環境，任何IT應用環境都需要運算、儲存、網路這幾種基本單元，才能建構完整的IT基礎服務。但比起資料中心，邊緣環境無論空間資源還是管理人力都十分缺乏，因此需要能夠以最精簡、最便利的方式，來完成IT基礎環境的建置與日常管理。</p> <p>而「組態精簡、建置與管理簡便」，正是超融合基礎架構產品的最大特長。</p> <p>首先，一組超融合系統就能同時提供運算與儲存資源，足以取代個別的伺服器與儲存陣列設備，組態比傳統IT架構精簡許多。</p> <p>其次，超融合系統在出貨前，就已完成所有軟、硬體元件的組裝、設定與測試，用戶端只需將超融合系統的機箱接上電源與網路，然後利用內建的初始化工具，完成基本環境參數的設定與初始化作業，就可開始使用，建置過程也遠比傳統IT設備簡便與迅速。</p> <p>第三，超融合系統是建立在叢集架構上，當用戶需要更多硬體資源時，只需將新的超融合系統機箱加入到叢集，就能擴充資源，這種堆疊更多機箱節點的擴充方式，也比傳統IT環境簡單許多。</p> <p>最後，傳統IT架構必須透過多種不同的管理工具，才能涵蓋伺服器、儲存設備、虛擬化平臺等軟、硬體元件的設定、配置與管理工作，管理作業相當繁雜，需要擁有一定管理經驗的人力才能勝任。</p> <p>相較之下，超融合系統則只需透過單一管理介面，就能同時配置與管理超融合系統內含的虛擬化平臺與儲存平臺，運用超融合系統的運算與儲存資源，無論管理作業的便利性，還是管理作業的負擔，都遠優於傳統IT架構。</p> <p><span style="font-size:28px;"><strong>為邊緣應用最佳化的超融合系統</strong></span></p> <p>憑藉著「組態精簡、建置與管理簡便」的優勢，讓超融合系統要比傳統IT架構，更適合用於建構邊緣環境的IT基礎設施。</p> <p>但用於邊緣環境的IT基礎設施，除了需要精簡的組態，與便利的建置與管理方式外，還有兩項有別於一般IT環境的特殊需求。</p> <p>其一，是必須能夠因應相對窘迫的空間需求。</p> <p>生產應用現場通常沒有專門的機房，空間與供電配置也以生產營運等目的為優先，IT設備的部署常常連一個方正、完整的空間都不可得，而只能遷就安置在閒置的畸零空間，還需盡量不影響到生產應用現場原本的營運作業。</p> <p>於是，這也給邊緣環境的IT設備，帶來了「SWaP最佳化」的要求，也就是空間、重量與電力（Space, Weight and Power）的節省，盡可能縮減IT設備的尺寸、重量與電力需求，以提高部署彈性，適應各式各樣的零碎部署空間。</p> <p>其二，是必須具備承受惡劣作業環境的需求。</p> <p>一般的IT設備，是設計在擁有基本環境控制的室內場所中運作，然而生產應用現場往往不能提供這種環境給IT設備，而必須將IT設備直接部署在生產廠房，甚至是戶外環境或移動載具上（車輛、船隻或飛機等），IT設備必須面臨嚴苛的操作環境，承受極端的溫度、濕度、氣壓與震動。</p> <p>這也給邊緣環境的IT設備，帶來「加固（ruggedized）」的需求，提高IT設備的環境承受能力，以適應生產應用現場的惡劣環境。</p> <p>而為了因應邊緣環境應用，所帶來的「SWaP最佳化」與「加固」這兩大特殊需求，也催生了「加固型」與「迷你型」等兩種專門針對邊緣環境特化的超融合系統衍生產品。</p> <p><span style="color:#B22222;"><strong>加固型超融合系統</strong></span></p> <p>以強化了機殼設計與系統元件的加固型伺服器，結合超融合平臺軟體打造而成，擁有與標準超融合系統相同的功能，又兼具一定程度的抗惡劣環境能力，適用於存在著高溫、高濕、高海拔或震動的應用環境。</p> <p>目前已有4、5家廠商提供加固型超融合系統產品，較具代表性的有：Dell 的VxRail D、Crystal的RS2616PS18，以及Mercury Systems的Hyper-Unity等。</p> <p><span style="color:#B22222;"><strong>迷你型超融合系統</strong></span></p> <p>拋棄標準的機架式機箱，改用專門訂製的迷你型機箱，搭配低功耗處理器，以及標準的超融合平臺軟體。憑藉迷你的尺寸，迷你型超融合系統可以很容易地部署在生產應用現場的零碎空間，而不會影響到該場所原本的運作。</p> <p>目前提供迷你型超融合系統的廠商仍不多，代表性的產品是Scale Computing的HE 150，以及Hivecell HCI等2款。</p> <p>整體而言，加固型與迷你型等兩種超融合系統，雖然都是針對邊緣環境的應用而特化，但因應的是兩種不同的應用情境。</p> <p>加固型超融合系統是針對運作環境極端惡劣的情境，迷你型超融合系統則是針對部署空間極端受限的情境，兩者針對的應用面向並不相同。反過來說，加固型超融合系統並不太適用於空間極端受限的環境，而迷你型超融合系統則不能承受惡劣的作業環境。</p> <p>雖然加固型超融合系統也考慮了縮減占用空間的需求，通常採用了縮短型的機架式機箱，但並沒有擺脫機架式機箱的桎梏，只是比標準的機架式機箱稍微節省一些安裝深度而已，不適用於空間非常窘迫的環境。</p> <p>另一方面，要讓伺服器達到承受惡劣環境的加固目的，必須透過強化機殼構造，甚至是主機板、邏輯電路布置的強化，但是，這些特性，並非當前迷你型超融合產品所使用的小機箱能夠提供。事實上，當前的迷你型超融合產品，都不具備惡劣環境承受能力。</p> <p>遺憾的是，目前邊緣應用型超融合產品，無法同時兼有「尺寸迷你」與「加固」兩種特性。所以用戶必須針對自身環境的傾向，分別選擇迷你型或加固型超融合產品。因此，空間約束較大的環境，更適合選擇迷你型超融合產品；而暴露在惡劣環境下的應用現場，則須選擇加固型超融合產品。</p> <p><span style="font-size:28px;"><strong>並不「邊緣」的邊緣IT環境產品</strong></span></p> <p>比起標準型超融合系統，針對邊緣環境應用的超融合系統，不僅在IT應用中所處處於「邊緣」環節，在市場生態中，也是處於「邊緣」地位。</p> <p>相較於有數十種品牌可選的標準型超融合產品，針對邊緣環境的超融合系統供應商便少了許多。</p> <p>然而，這也意味著，比起競爭激烈、逐漸為少數大廠寡占的標準型超融合產品市場，邊緣環境是一個仍有待發掘、極具潛力的應用領域，如果再考慮到生產應用現場的龐大規模，針對這類環境需求的超融合系統，日後顯然也將大有可為，成為超融合系統領域一個不可忽視的分支。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-graph-600(2)-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>邊緣運算環境特化超融合系統 vs. 標準型超融合系統</strong></span></p> <p><span style="color:#696969;"><strong>針對一般機房環境應用的標準型超融合系統，與專門針對邊緣環境部署的迷你型或加固型超融合系統，主要差異在於硬體所採用的伺服器不同。</strong></span></p> <p><span style="color:#696969;"><strong>標準型超融合系統是基於標準的機架式伺服器，迷你型與加固型超融合系統，則是分別採用準系統型式的小型機箱，以及經加固的機架式伺服器。</strong></span></p> <p><span style="color:#696969;"><strong>至於在軟體堆疊方面，無論哪一種形式的超融合系統都是相同的，均由上層的Hypervisor與底層的儲存叢集組成。</strong></span></p> <p> </p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【適應窘迫空間的IT基礎設施部署需求】迷你型超融合系統</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-graph-BOX(1)-600.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Hivecell的HCI（左）與Scale Computing的HE 150（下），都是針對邊緣環境最佳化的迷你型超融合產品，採用特製迷你主機硬體，以及低功耗處理器，仍能提供完整的超融合軟體功能。</span></strong><span style="color:#696969;">（圖片來源／Scale Computing、Hivecell）</span></p> <p><span style="color:#000000;"><strong>超融合系統屬於一種軟體定義型式的產品，硬體部分是直接採用通用的伺服器。</strong></span></p> <p><span style="color:#000000;"><strong>自超融合這類產品誕生以來的10多年間，雖然先後誕生了數十個超融合系統品牌，以及不下20種超融合軟體平臺，但是，在硬體部分，長期以來，都清一色是採用機架式伺服器。</strong></span></p> <p><span style="color:#000000;"><strong>直到2年前，才開始有廠商嘗試推出採用直立式機箱的超融合產品試圖，藉此提高在邊緣環境的部署彈性；不久之後，又誕生了專門針對空間受限邊緣環境的迷你型超融合產品。</strong></span></p> <p><span style="color:#000000;"><strong>最早進行這方面嘗試的廠商，是Scale Computing。該公司是超融合領域的先驅廠商之一，2012年推出基於專屬HC3虛擬化平臺的超融合產品，2018年推出專供邊緣運算環境應用的衍生版本HC3 Edge。接著在2019年中，推出針對邊緣運算應用的HE500系列超融合產品，包含了採用縮短型1U機箱與直立式機箱等兩種版本，硬體核心也更精簡，比起該公司原本基於1U與2U機箱的HC1000與HC5000系列，規格「輕量」許多。接著在2019年底，Scale Computing又發表採用Intel NCU迷你主機機箱的HE 150，開創了迷你型超融合產品的先河。</strong></span></p> <p><span style="color:#000000;"><strong>繼Scale Computing之後，Hivecell也跟進，在2020年推出了迷你型超融合產品，稱為邊緣裝置（edge device）或Hivecell HCI。</strong></span></p> <p><span style="color:#000000;"><strong>而HE 150與Hivecell HCI這兩款產品的推出，也形塑了迷你型超融合系統的基本樣貌。</strong></span></p> <p><span style="color:#B22222;"><strong>最小化的硬體足跡</strong></span></p> <p><span style="color:#000000;"><strong>廠商之所以打造迷你型超融合產品，基本目的，便是提供最小的「硬體足跡」（minimal hardware footprint），也就必須打破機架式機箱帶來的桎梏。因此，HE 150與Hivecell HCI這兩款產品，都採用了特製的迷你機箱。</strong></span></p> <p><span style="color:#000000;"><strong>HE 150的硬體直接採用了Intel的NUC迷你主機，體積只有116.6×112.0×39.0公釐， Hivecell HCI的體積為220×175×65公釐或220×175×78公釐，體型都不到標準型1U機架式機箱的1/5，即使一次堆疊3臺這種迷你超融合伺服器組成叢集，也還不到1臺1U機架式機箱的占用空間。</strong></span></p> <p><span style="color:#B22222;"><strong>低功耗的運算核心</strong></span></p> <p><strong>除了體積小巧外，HE 150與Hivecell HCI兩款產品還考慮了降低功耗的需求，而採用了低功耗的處理器，可以顯著減少對應用環境的電力負荷，提高產品的部署靈活性。</strong></p> <p><strong>例如，Scale Computing為HE 150這款機型，提供Core i3-10110U、Core i5-10210U、Core i7-10710U處理器選項，搭配8到64GB記憶體，以及1臺M.2 NVMe SSD（有250GB、500GB、1TB、2TB等儲存容量可選）。</strong></p> <p><strong>而Hivecell HCI則往低功耗的方向更進一步，提供了Horizon與Perimeter兩種產品版本，Horizon採用8核心的Armv8處理器，搭配8GB記憶體與500GB SSD；Perimeter採用Intel Atom C3000處理器，搭配32GB記憶體與1TB NVMe SSD。值得一提的是，Hivecell還可配備Wi-Fi，以因應不便布置網路線的環境。</strong></p> <p><strong>受到低功耗處理器的限制，HE 150與Hivecell HCI兩款迷你型超融合產品，運算能力明顯不如標準的超融合產品，因此，Scale Computing為HE 150設定的應用情境，是負荷少於15臺VM的小型環境。然而，這類產品所針對的邊緣環境，通常也不會有很大的運算負載，因此運算能力較低這一點，在實際應用上，不至於會成為太大的問題。</strong></p> <p><span style="color:#B22222;"><strong>標準的超融合系統功能</strong></span></p> <p><strong>HE 150與Hivecell HCI兩款迷你型超融合產品雖然尺寸迷你，但功能並不「迷你」，仍搭載了完整的超融合軟體平臺，可提供完整的運算與儲存功能。</strong></p> <p><strong>Hivecell所採用的超融合軟體平臺，是市面上常見的VMware ESXi與vSAN的架構，不過，日前，該公司又與StorMagic展開合作，推出了改用StorMagic SvSAN儲存軟體平臺的新款式。</strong></p> <p><strong>而HE 150搭載的是Scale Computing自身的HC3超融合軟體平臺，特色是內含了KVM虛擬化平臺，因而可以免除用戶端的Hypervisor軟體授權費用。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【滿足極端惡劣環境的IT應用建置】加固型超融合系統</strong></span></span></p> <p><strong>基本上，加固型超融合系統是由超融合軟體平臺，結合加固型伺服器所組成，概念雖然簡單，但實際產品問世的時間，卻出乎意料地晚。考慮到軟、硬體間的整合，以及銷售與後續服務的提供，加固型超融合系統產品的門檻，高於一般的超融合產品。</strong></p> <p><strong>目前市場上的加固型超融合系統產品，可追溯到超融合平臺大廠Nutanix自2016年起，與加固型電腦設備廠商展開的一系列合作。</strong></p> <p><strong>最早應在2016年7月，Nutanix與香港工業電腦廠商Crystal合作推出的產品，由Nutanix AOS超融合平臺、Crystal的RS2616PS18加固型2U伺服器，加上Brocade ICX交換器組成。</strong></p> <p><strong>接下來是2017年2月，Nutanix與美國航太電子廠商Mercury Stsyems合作，推出了Hyper-Unity超融合系統，軟體平臺同樣是Nutanix AOS，硬體則可選擇選擇Mercury Systems的RES-1U、RES-HD，或是HDversa加固伺服器。</strong></p> <p><strong>同年稍晚，Nutanix與美國軍用通信設備廠商KLAS合作，以KLAS的Voyager模組化加固式IT設備家族為基礎，推出超融合系統，稱作Voyager戰術資料中心系統（Tactical Data Center system，TDCS），硬體的部分，選擇KLAS的VoyagerVMX運算模組，搭配Nutanix AOS超融合軟體平臺組成。</strong></p> <p><strong>繼前述Nutanix軟體陣營的產品之後，其他超融合軟體平臺廠商後來也跟進，推出了加固型產品。</strong></p> <p><strong>例如，在2018年8月，Pivot 3曾以專屬的Acuity超融合平臺為基礎，發表稱作Intelligent Edge Command and Control的加固型超融合系統，硬體採用是縮短規格的1U尺寸Acuity超融合伺服器，搭配加固的可攜式外殼。</strong></p> <p><strong>超融合系統龍頭廠商Dell，也在2020年6月進入這個領域。他們在其VxRail超融合伺服器家族，新增了加固型的D系列，採用了加固的縮短型1U機箱，搭配基於VMware軟體的VxRail軟體平臺組成。</strong></p> <p><strong>這些加固型的超融合系統，透過強化的機殼設計，可符合美國國防部的MIL-STD-810G軍規標準惡劣環境運行能力，可以在0～50℃、5～95%濕度與10,000呎以上環境運作。相較下，一般商規電腦允許的環境溫度、濕度與海拔高度，分別是攝氏10到40度，10～90%濕度與8000呎以下。另外這些產品雖然都是採用機架式機箱，但都選用了縮短型的規格，可略為節省空間占用。</strong></p> <p><strong>其中一些廠商，如Mercury Stsyems、KLAS與Pivot 3，還提供了具備防震抗撞功能的強化外殼，可用於車載、船載等移動式環境，而KLAS的Voyager系列，還擁有額外的抗震、防沙塵設計，可以在更惡劣、複雜的環境中運作。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-graph-BOX(2)-600.png" style="text-align: center; width: 600px;" /><img alt="" src="file:///C:/Users/USER/Desktop/1045-2/1045-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-web-3-web-resources/image/%E4%B8%BB%E5%9C%963_KLAS_Module.png" style="text-align: center;" /></p> <p><span style="color:#696969;"><strong>圖中是幾款具代表性的加固型超融合伺服器，依逆時鐘方向分別為：KLAS Voyager TDCS（左上）、Crystal的RS2616PS18、Mercury Systems的Hyper-Unity，以及Dell的VxRail D，透過強化機殼設計，可承受惡劣運作環境。</strong>（圖片來源／KLAS、Mercury Stsyems、Crystal、Dell）</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B6%85%E8%9E%8D%E5%90%88">超融合</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3%E9%81%8B%E7%AE%97">邊緣運算</a></div><div class="field-item even"><a href="/tags/%E8%BF%B7%E4%BD%A0%E5%9E%8B%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1">迷你型超融合系統</a></div><div class="field-item odd"><a href="/tags/%E5%8A%A0%E5%9B%BA%E5%9E%8B%E8%B6%85%E8%9E%8D%E5%90%88%E7%B3%BB%E7%B5%B1">加固型超融合系統</a></div></div></div>
2021/10/7 07:00作者張明德https://www.ithome.com.tw/tech/147027
從卷積到卷積神經網路
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在深度學習的領域中，面對大型圖像的學習，我們可以採用卷積神經網路（Convolution Neural Network）。就字面意義而言，這是結合了卷積與神經網路，就結論而言，主要是希望訓練出一組卷積核（Kernel），令其擁有適當之權重，以便對圖像進行預測，那為什麼卷積核行得通？單一卷積核對圖像處理的意義是什麼呢？</p> <p><span style="font-size:28px;"><strong>圖像濾波與卷積運算</strong></span></p> <p>在先前專欄〈<a href="https://www.ithome.com.tw/voice/144798" target="_blank">淺談圖片雜訊處理</a>〉與〈<a href="https://www.ithome.com.tw/voice/145429" target="_blank">傅立葉轉換與影像處理</a>〉中，我從圖像頻率的角度談過圖像濾波處理，如果使用OpenCV，可以透過blur、medianBlur等函式或fft模組，來進行濾波運算。</p> <p>實際上，我們也可以透過filter2D，自行指定卷積核來進行對應的處理，例如，在blur的均值濾波處理中，若ksize指定3x3，相當於filter2D指定了一個3x3、元素值全是1/3的卷積核來進行操作。</p> <p>就簡單的理解方式而言，卷積核中心會逐一對齊圖像中每個像素，而卷積核元素與會罩住的各像素各自相乘後加總。就方才提及的3x3卷積核而言，其運算結果，就是取罩住的九個像素值之平均作為新像素值。</p> <p>於是，這就引發了一個問題：若卷積核中心對齊的是圖像邊緣像素呢？關於不足的部份，我們可以指定填補方式，最簡單的作法就是全部填0，也可以是複製鄰近像素等其他策略。</p> <p>blur處理對應的卷積核容易理解，那麼，其他的卷積核呢？</p> <p>例如，用來尋找邊緣的Laplace運算，若是3x3的卷積核，會是，卷積核的元素值來源，是從圖像頻率的觀點開始，若圖像頻率高，波（灰階或各通道顏色）的斜率變化就大，波的一階導數是頻率，波的二階導數是斜率變化。</p> <p>如果求圖像x方向的二階導數，將之整理為矩陣，會是，若是求y方向的二階導數，整理後的矩陣會是，此時，將兩個矩陣相加，就會是方才看到的卷積核，而將x、y兩個方向的二階導數相加，符合<a href="https://bit.ly/3yyOhg3" target="_blank">Laplace運算</a>的定義；若對於以上的推導過程有興趣，你可以參考〈<a href="https://bit.ly/3gQDMi7" target="_blank">Laplacian 運算</a>〉。</p> <p><span style="font-size:28px;"><strong>卷積為什麼叫卷積</strong></span></p> <p>那麼，方才我們所看到的卷積運算，為什麼會稱為「卷積」呢？</p> <p>卷積的原文為convolution，也可以翻為摺積、疊積等，動詞為convolute，也就是「捲起」之意，就維基百科〈摺積〉條目的內容來看，是一個特徵函數f與經過翻轉和平移的函數g，相乘後的積分結果（圍成的曲邊梯形的面積），相當於把兩個函數捲起來成為一個函數，在〈<a href="https://bit.ly/3t5AZXb" target="_blank">卷積為什麼叫「卷」積</a>〉有個將一張紙捲起來的生動比喻，可以作為理解的輔助。</p> <p>就圖像而言，它是二維的，因此特徵函數會是f(x,y)，而g(x,y)會是圖像在x,y的值（灰階或各通道顏色），而且，由於圖像以像素為單位，真正使用的會是離散卷積（而不是連續卷積），也就是：積分時的dx、dy最小就是1，最後構成的形式會是ΣΣf(s,t)*g(x-s,y-s)，其中的兩個Σ，各會是t與s的負無限到正無限，白話來說，就是將g函式距離(-s,-t)的值與f在(s,t)的值相乘後加總。</p> <p>然而，實際上，在圖像處理時的卷積核大小是有限的，如果卷積核是3x3，t與s的範圍會取[-1,0,1]，若將方才的離散形式整理為矩陣，f是卷積核，g是圖像，而最後的運算方式，就會是將f上下翻轉後、再予以左右翻轉，然後與圖像上罩住的每個像素各自相乘後加總。</p> <p>有些人可能會覺得奇怪，卷積核怎麼還要上下左右翻轉？畢竟不少文件或書籍，在說明相關作法時，都是直接與每個像素各自相乘後加總。事實上，一方面這是為了簡化說明，另一方面是說明時使用的卷積核，元素值多半都是上下左右對稱。</p> <p>在維基百科〈Kernel (image processing)〉我們可以看到，其中的卷積範例，運算時，確實就是將卷積核上下左右翻轉，而在〈<a href="https://bit.ly/3yzww00" target="_blank">2D Convolution using Python & NumPy</a>〉，我們也可以看到，其示範的實作中，確實也將指定的卷積核翻轉了。</p> <p><span style="font-size:28px;"><strong>卷積神經網路</strong></span></p> <p>在入門深度學習時，使用深度神經網路時，多半會經歷過手寫圖片辨識之類的練習，圖像在處理時會打平為一維向量，作為神經網路的輸入值，這類網路稱為全連接網路，圖像被打平為一維向量的結果是，忽略了像素與像素之間的位置關係，輸入與輸出就像是個線性映射。</p> <p>某些程度上，這就像模型硬是記住了來源圖片個別像素位置與分類的關係，在《Deep Learning with PyTorch》第八章談到，全連接網路無法達到區域訊息的平移不變性，也就是說，如果圖片中的數字從左上移至右下，作為新圖片要模型預測，那麼就可能是錯誤的結果。</p> <p>方才看到卷積核，其實會用來罩住圖像的一個區域，如果卷積運算結合深度學習網路，令卷積中的每個元素值，來自大量圖像資料訓練後的結果，那麼，就可以顧及區域訊息的平移不變性，這是使用卷積神經網路的出發點。</p> <p>因為基本上，卷積核就是在對像素加權計算後求和，在圖像處理上，已經有不少專家，用了各種方式尋找、推導出抽取特徵的卷積核，方才的Laplace運算是一例，Sobel運算也是用來抽取圖像邊緣，原理也是基於二階偏導數，至於透過卷積神經網路來訓練卷積核，其實就是想基於大量資料來學習、產生一堆卷積核。</p> <p>對此，你可以想像成：訓練的成果是一堆濾鏡，每個濾鏡用來抽取不同的特徵，而圖像經過這堆濾鏡將得到足以預測結果的資訊，只不過，如同前一篇專欄〈<a href="https://www.ithome.com.tw/voice/146887" target="_blank">思考模型的可解釋性</a>〉所談到的，對於訓練後的成果，很大程度上失去了解釋性，對於各自被訓練出來的卷積核，各自抽取了什麼特徵，我們往往很難解釋（而透過特定設計的Laplace、Sobel則是可以解釋）。</p> <p>跟卷積神經網路相關的，還有池化的問題，雖然說卷積核比較容照顧到區域資訊，然而，有沒有可能一張大圖像的資訊，正好是分布在左上與右下之類呢？</p> <p>為了能顧及這個可能性，將卷積運算後的圖像資訊，進一步抽取特徵，就是池化之目的，例如，平均池化是取指定區域大小的像素之平均，最大池化則是挑選出最大特徵，池化之後的圖像會變小，因此也稱為降採樣（downsampling）。</p> <p><span style="font-size:28px;"><strong>卷積+深度學習網路</strong></span></p> <p>在認識深度學習網路之前，我們可以先認識迴歸之類的機器學習，去學習可解釋的模型是如何學習的，這有助於我們認知到：在深度學習網路中，各個神經元、神經層，其實是在犧牲了可解釋性，以一個更大的模型來擬合資料，從而進行預測。</p> <p>卷積神經網路也是類似的道理，它也是個更大的模型，當中有著許多的卷積核、卷積層。</p> <p>如果你對於它們的原理感到陌生，可以試著從可解釋的卷積核開始認識，像是模糊處理、雜訊去除、Laplace、Sobel運算等。</p> <p>這麼一來，對於卷積神經網路中的填補、池化等觀念，就不會感到神秘或在原理上捉摸不定了。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E5%8D%B7%E7%A9%8D">卷積</a></div><div class="field-item even"><a href="/tags/%E6%B7%B1%E5%BA%A6%E5%AD%B8%E7%BF%92">深度學習</a></div></div></div>
2021/10/7 07:00作者林信良https://www.ithome.com.tw/voice/147028
科技創新源自正確的問題理解力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zao_ju_zhe_tu_1_tu_pian_lai_yuan_tian_xia_wen_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於某些細菌對於抗生素產生了抗藥性，每年全球因此死亡的人數已經來到七十萬，而且還在迅速增加。再不找到解方，未來每年因此死亡的人數可能上看千萬，也就是每三秒就有一人因此喪命，就連新冠肺炎（COVID-19）疫情也只會是小巫見大巫。</p> <p>而且，這個問題可說是人類社會自作自受。抗生素的藥效之所以愈來愈差，是因為過去的濫用：這些藥物原本該抑制細菌，現在卻把細菌訓練成了超級細菌。</p> <p>現代人對於抗生素的使用習以為常，但盤尼西林是到1928年才發現，又經過十年以上才開始量產；在這之前，簡單的骨折或刮傷就常常奪走人的性命。</p> <p>巴茲萊（Regina Barzilay）是麻省理工學院人工智慧學教授，她位於麻州劍橋市的研究室色彩豐富、植物茂盛，而她對於抗生素的問題有一套解決方案。傳統藥物研發多半是針對過去有藥效的物質，試圖尋找分子「指紋」相似的物質。</p> <p>這種做法通常成效良好，但在抗生素這個領域卻行不通。成分相似的物質多半早就研究過，於是新研發的抗生素結構與現有抗生素極為相像，細菌很快就會演化出抗藥性。</p> <p>為此，以麻省理工學院生物工程學教授柯林斯（James Collins）為首，一群背景多元的生物學家與資訊工程學者，和巴茲萊合作，決定採用另一套方法，不再把重點放在尋找相似的結構，而是尋找期望的效果：這種物質能殺死細菌嗎？在他們看來，這不是生物學問題，而是資訊科學問題。</p> <p>巴茲萊魅力非凡、充滿自信，絕不是一般人想像的那種書呆子。而她也總是在打破各種刻板印象。巴茲萊出生於東歐的摩爾多瓦共和國，從小受共產主義薰陶，說著俄語，後來到以色列就學，說著希伯來語，之後再到美國讀研究所。</p> <p>2014年她在四十多歲生了第一胎，卻被診斷罹患乳癌，經過艱苦治療，總算抗癌成功。這場折磨讓她改變了研究方向，開始專注研究如何將人工智慧（AI）應用於醫學領域。她的研究逐漸受到矚目，也讓她得到了俗稱「天才獎」的麥克阿瑟獎。</p> <p>巴茲萊和研究團隊合作，以二千三百多種有抗菌特性的化合物，來訓練一套AI演算法，讓AI演算法判斷這些物質能否抑制大腸桿菌的生長。AI演算法經過訓練後，就用來判斷「老藥新用資料庫」裡大約六千種分子，以及後續另一個資料庫中的一億多種分子，以預測哪些分子可能會有藥效。</p> <p>在2020年初，他們挖到寶了，有一個分子脫穎而出。他們把這個分子命名為halicin，正是在向《2001太空漫遊》電影裡背叛主角的AI電腦HAL致敬。</p> <p>發現了這種能夠殺死超級細菌的超級藥物，立刻登上了全球的新聞頭條。眾人盛讚這就像是「影像殺死了廣播明星」的一刻，證明AI機器已勝過人類。〈人工智慧發現能夠治療抗藥疾病的抗生素〉也一躍成為《金融時報》的頭版頭條。</p> <p>然而那種說法是抓錯重點。並不是人工智慧贏了，而是人類的認知又邁出了成功的一步：面對重大的挑戰，先有一開始的想法，接著能夠改變觀點，於是開闢新路、找出解答。這裡該讚賞的並不是新科技，而是人類的能力。</p> <p>巴茲萊就解釋說：「是人類選擇了正確的化合物，也是人類清楚自己在做什麼，才把那些材料提供給AI模型來做學習。」是人類定義了問題、設計了方法、選擇了要用哪些分子來訓練AI演算法、再選擇要讓AI演算法檢查哪個物質資料庫。而在選出某些候選的分子之後，也是人類再次運用生物學知識，判斷為何有效。</p> <p>找出halicin的過程，一方面是一項傑出的科學突破，另一方面也是在藥物研發領域邁出一大步，讓研發速度提升、成本大幅下降。但意義還不僅於此。巴茲萊等人之所以能成功，要素之一就是掌握了一種認知自由（cognitive freedom）。而他們擁有這種自由，並不是因為讀了哪本書、依循了什麼傳統、做了什麼顯然合理的事，而只是因為他們運用了一種全人類都擁有的獨特認知能力。</p> <p><span style="font-size:28px;"><strong>運用心智模型衡量局勢</strong></span></p> <p>人類的思考需要運用各種心智模型。這些模型描繪著現實，能讓我們更容易理解這個世界，看出各種模式、預測事物的發展、瞭解自己遇到什麼狀況。要是沒有這些心智模型，現實對我們來說就像是怒濤洶湧的資訊洪流，又或是各種原始感官體驗與情感的叢林。</p> <p>正是心智模型為我們帶來秩序，讓我們能夠無視不必要的事物而抓住重點──就像在雞尾酒會上，只聽到自己的對話，而不管四周其他人的吱吱喳喳。我們會在腦海中建構出一套現實的模擬，用來預測情況的發展。</p> <p>雖然我們可能並不自覺，但心智模型時時刻刻都在運作。但也有時候，我們會清楚意識到，自己正運用怎樣的觀點在衡量局勢，而且也能夠刻意堅持觀點或改變觀點。</p> <p>需要做出重大決定的時候（像是換工作、生小孩、買房子、關掉工廠、蓋一棟摩天大樓），就最常有這樣的感受，你會發現自己的決定除了出於客觀邏輯，還會有一些更根本的理由，像是看待當下情境的視角、認定世界運作的方式。而這種潛藏的認知因素，就是由各種心智模型組成的。</p> <p>我們必須去詮釋這個世界，才能真正存在於這個世界；我們對現實的感知，就會影響我們的行動。這些都是我們早就知道的事情，但也總是覺得理所當然而渾然未覺。也是因此，讓巴茲萊的成就格外令人嘆服。她就是針對問題找出了正確的思考框架。</p> <p>她所運用的心智模型，是將注意力從分子的結構（讓分子發揮作用的機制），轉移到分子的功能（分子能否有用）。靠著給這個問題找出不同的思考框架，就讓她和研究團隊找到一片他人錯過的天地。</p> <p>巴茲萊為這個問題情境，建立了正確的思考框架，也就解鎖了新的解決方案。</p> <p>所謂的思考框架（frame），也就是我們所選擇應用的心智模型，會決定我們如何理解世界，也決定我們如何行動。思考框架讓我們能夠歸納類推，得出抽象的概念，再應用到其他的情境當中。</p> <p>這樣一來，我們即使面對新的情境，也有辦法應對，而不需要每次都從頭開始學習。無論何時，思考框架都會默默運作。但我們可以刻意停一下、問問自己：現在我們運用了怎樣的框架？這真的是最適合目前情景的框架嗎？如果答案是否定的，就能去選擇其他更好的框架，或是創造全新的框架。</p> <p><span style="font-size:28px;"><strong>思考框架不同，視角就不相同</strong></span></p> <p>「建立思考框架」是人類認知非常基本的一件事，基本到難以查覺，就連研究心智運作的學者，也是到了相當晚近，才注意到這件事。過去大家對於建立思考框架的重視程度，一直比不上其他的心智能力（例如感知和記憶）。</p> <p>但由於大家愈來愈感受到必須提升自己的決策能力，而建立思考框架又與做出好選擇和行動息息相關，這件事也就逐漸從幕後走向舞臺中央。現在我們知道，如果能用正確的方式、提出正確的思考框架，就能找出更多的可能，也就能做出更好的選擇，創造更好的局勢。</p> <p>使用怎樣的思考框架，就會影響所看到的選項、所做出的決定、所得到的結果。思考框架愈好，結果也就會愈好。</p> <p>同樣的資料數據，不同的思考框架，就會有相反的結論。</p> <p>有時，我們慣用的思考框架並不見得和現實契合。思考框架本身並沒有正誤之別（只有一個例外），但當然有些時候會出現選錯思考框架的情況，也就是選用的框架並不適合當時情境。實際上，人類進步的路上，就四處散落著被拋棄的框架殘骸。</p> <p>2008年，諾基亞（Nokia）還是全球手機銷售的龍頭，很少人覺得蘋果公司剛推出的iPhone能有什麼前途。當時的趨勢是要把手機做得更小、更便宜，但iPhone卻是更大、更貴，也更容易出現各種錯誤。</p> <p>諾基亞的思考框架出自保守的電信業，重視的是實用和可靠。蘋果的思考框架則出自創新步調飛快的資訊業，強調要容易使用、能透過軟體延伸出新的功能。而事實證明，蘋果的思考框架更能滿足消費者的需求和欲望，也就主宰了市場。</p> <p>然而，講到當前人類所面臨的種種重大挑戰，我們卻常常說不出自己用了怎樣的思考框架。無論是在哪個領域，都必須瞭解建立思考框架有多麼重要：先能用不同的觀點來看待問題，才能用不同的方式來解決問題。（摘錄整理自《造局者》第一章，天下文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%A0%E5%B1%80%E8%80%85_%E5%9C%961_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96-300.png" style="width: 300px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（圖片來源_天下文化）</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>造局者：思考框架的威力</strong></p> <p><span style="color:#696969;"><strong>庫基耶（Kenneth Cukier）、麥爾荀伯格（Viktor Mayer-Schönberger）、德菲爾利科德（Francis de Véricourt）／著；林俊宏／譯</strong></span></p> <p><span style="color:#696969;"><strong>天下文化出版</strong></span></p> <p><span style="color:#696969;"><strong>售價：480元</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者 </span></strong></span> <span style="color:#000000;"><strong>庫基耶（Kenneth Cukier）</strong></span></p> <p><span style="color:#696969;"><strong>《經濟學人》雜誌資深編輯，《經濟學人》每週科技播客Babbage主持人，牛津大學賽德商學院副研究員。</strong></span></p> <p><span style="color:#000000;"><strong>麥爾荀伯格（Viktor Mayer-Schönberger）</strong></span></p> <p><span style="color:#696969;"><strong>牛津大學網路研究所教授，並擔任微軟、世界經濟論壇等大公司和組織的顧問，是大數據（巨量資料）領域公認的權威。</strong></span></p> </div></div></div>
2021/10/7 07:00未署名https://www.ithome.com.tw/article/147029
資安一周第166期：中國發動認知作戰挑撥臺日關係。GriftHorse木馬感染全球千萬安卓裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">9/30-10/6必看資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃假消息＃認知作戰</strong></span></h3> <h2><strong style="vertical-align: top;">中國冒名日本卡巴斯基發動認知作戰，挑撥臺日關係</strong></h2> <p>中國網軍日前發動認知作戰，散布臺灣政府唆使資安公司TeamT5（杜浦數位安全）蒐集日本民眾個資的假新聞，抹黑長期研究中國認知戰手法的臺灣資安公司，企圖挑撥臺日之間的互信關係。</p> <p>為了掩飾行徑，中國網軍最近又進一步冒用卡巴斯基的名義發布新聞稿，捏造網路釣魚郵件事件假新聞，並刻意選在日本的商業新聞稿發布平臺刊登。對此，日本卡巴斯基於9月29日澄清此為假新聞攻擊，多位日本資安專家也加入調查。<strong><a href="https://www.ithome.com.tw/news/147058">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-1-kaspersky-jp-twitter.png" style="width: 400px; height: 287px;" /></p> <p><span style="color:#808080;">圖片來源：卡巴斯基</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃木馬程式攻擊＃Android</strong></span></h3> <h2><strong style="vertical-align: top;">GriftHorse感染千萬Android裝置，影響臺灣等70多國用戶</strong></h2> <p>資安業者Zimperium揭露GriftHorse木馬程式詐騙攻擊，事故始於2020年11月，範圍遍及包含臺灣在內的70個國家，已有超過1千萬名Android用戶受害，被訂閱高額簡訊服務。為了躲避偵測及封鎖，攻擊者採用複雜的架構，以及不重覆使用的網域。Zimperium估計，駭客每月固定進帳超過數百萬歐元，估計不法所得已達數億歐元。<strong><a href="https://www.ithome.com.tw/news/146997">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃ProxyLogon ＃Rootkit ＃APT攻擊</strong></h3> <h2><strong style="vertical-align: top;">中國駭客GhostEmperor利用ProxyLogon漏洞，在受害電腦植入蠕蟲Demodex</strong></h2> <p>卡巴斯基先在7月提及名為GhostEmperor的中國駭客組織，並於9月30日揭露該組織的攻擊手法細節。根據駭客所使用的工具，該公司研判GhostEmperor約於2020年7月就開始活動，於受害組織植入Demodex蠕蟲程式以進行監控，他們主要目標是東南亞的國家，但除此之外，研究人員也看到在埃及、阿富汗、衣索比亞等多個國家，有數個政府實體與電信公司遭到攻擊。</p> <p>至於攻擊者入侵受害組織的管道，研究人員指出GhostEmperor在3月4日運用ProxyLogon漏洞，來感染Exchange Server，進而達到執行RCE攻擊的目的。<strong><a href="https://www.ithome.com.tw/news/147048">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-2-Ghost_Emperor_04.png" style="width: 400px; height: 217px;" /></p> <p><span style="color:#808080;">圖片來源：卡巴斯基</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞攻擊＃協作平臺 </strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體Atom Silo透過協作平臺Confluence入侵多個組織</strong></h2> <p>團隊協作平臺Confluence的重大漏洞CVE-2021-26084，Atlassian甫於8月底修補完成，9月初就傳出遭到攻擊者利用。現在，此項漏洞也被勒索軟體駭客盯上。</p> <p>資安業者Sophos於10月4日，揭露自9月中旬出現的Atom Silo勒索軟體攻擊行動，而在這起事故中，攻擊者入侵受害組織的管道，就是藉由上述的Confluence漏洞，再橫向感染其他處於相同區域網路的電腦。<strong><a href="https://www.ithome.com.tw/news/147102">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃行動支付＃iOS</strong></h3> <h2><strong style="vertical-align: top;">Apple Pay含有Visa信用卡可被盜刷的安全漏洞</strong></h2> <p>行動支付日益普及，一旦出現漏洞，恐導致信用卡遭到盜刷。近期有多名資安研究人員揭露Apple Pay的資安漏洞，該漏洞存在於Express Transit功能，一旦使用者啟用這項快速通關的機制，攻擊者即可繞過蘋果設下的安全機制，盜刷用戶綁定的Visa信用卡。</p> <p>對此，蘋果認為是Visa系統的問題，而Visa則宣稱，該攻擊手法無法大規模執行。<strong><a href="https://www.ithome.com.tw/news/147013">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃物聯網裝置</strong></span></h3> <h2><strong style="vertical-align: top;">蘋果AirTag遺失模式存在漏洞，恐導致拾獲裝置者的iCloud帳號面臨詐騙的風險</strong></h2> <p>資安研究員Bobby Rauch於9月29日指出，蘋果的物件追蹤器AirTag，其遺失模式（Lost Mode）存在漏洞，攻擊者在用戶標註AirTag遺失後，於聯絡電話欄位嵌入跨網站指令碼（Stored XSS），便能將拾獲裝置者引導至冒牌iCloud登入網頁，來竊取拾獲者的iCloud帳密。<strong><a href="https://www.ithome.com.tw/news/146956">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃加密貨幣＃雙因素驗證＃同意網路釣魚攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">美國大型加密貨幣交易平臺Coinbase遭駭，駭客移轉6千名用戶資產</strong></h2> <p>在今年4月登上那斯達克股市的加密貨幣交易平臺Coinbase，驚傳駭客集團針對該公司的用戶展開大規模網釣活動，並利用該平臺簡訊雙因素認證的安全漏洞，移轉了至少6千名Coinbase用戶的資產。對此，Coinbase決定彌補用戶的全部損失，但該公司並未透露損失的規模。</p> <p>針對此起攻擊事故，Coinbase表示發生在今年4月至5月初，駭客發動釣魚郵件攻擊。其中，部分郵件聲稱用戶Coinbase帳號遭到凍結，有些則要求使用者，同意Coinbase應用程式存取微軟帳號的個人檔案。<strong><a href="https://www.ithome.com.tw/news/147046">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/166-3-Coinbase-phishing-mail.png" style="width: 400px; height: 246px;" /></p> <p><span style="color:#808080;">圖片來源：Coinbase</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">美百貨業者Neiman Marcus遭駭，逾430萬客戶資料外洩</strong></h2> <p>美國奢華百貨業者Neiman Marcus向緬因州法務長辦公室通報，2020年5月公司發生外部系統入侵，受到影響的顧客達到4,354,346人。該公司於9月30日以電子郵件通知受影響顧客，並強調信用卡安全碼沒有外洩，且85%受影響的支付卡與虛擬禮品卡皆為過期或無效。<strong><a href="https://www.ithome.com.tw/news/147071">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資料外洩</strong></span></h3> <h2><strong>提供電信業者技術服務的Syniverse遭入侵，波及235家客戶</strong></h2> <p>號稱是全球電信業者後端骨幹的Syniverse，在近期提交給美國證券委員會（SEC）的14A文件中披露，該公司在今年5月察覺一起駭客行動，駭客從2016年5月起便多次入侵該公司的電子資料傳輸（EDT）環境，並存取其資料庫，估計有235家客戶受到波及，且時間長達5年之久。<a href="https://www.ithome.com.tw/news/147076"><strong>詳全文</strong></a></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃後門程式攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">攻擊SolarWinds的駭客再涉入2起後門程式感染行動</strong></h2> <p>在2020年底，駭客組織Nobelium透過SolarWinds的軟體供應鏈，對微軟、FireEye，以及10多個美國聯邦政府機關下手引起軒然大波。近日微軟、卡巴斯基發現，攻擊者接連發動攻擊，在受害伺服器上植入後門程式FoggyWeb及Tomiris，以長期滲透或竊取資料。<strong><a href="https://www.ithome.com.tw/news/146999">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/147050">Google投入百萬美元贊助Secure Open Source專案</a><br /> ●<a href="https://www.ithome.com.tw/news/147017">已出現攻擊行動的Chrome漏洞得到修補</a><br /> ●<a href="https://www.ithome.com.tw/news/146985">監視攝影機業者海康威視修補可接管設備的RCE漏洞</a></h3> </div></div></div>
2021/10/6 16:41作者周峻佑https://www.ithome.com.tw/news/147121
新加坡通過《外來干擾對策法案》，恐成拑制言論自由工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡在本周一（10/4）通過了《外來干擾對策法案》（<a href="https://sso.agc.gov.sg/Bills-Supp/24-2021/Published/20210913?DocDate=20210913" target="_blank">Foreign Interference (Countermeasures) Act，FICA</a>），目的為抵制外國對新加坡公共利益的干涉，然而，包括國際特赦組織（Amnesty International，AI）在內的人權機構，卻擔心該法案可能成為拑制境內言論自由的工具。</p> <p>該法案雖然是衝著來自國外的干預，但一來很難判斷哪些言論是來自國外組織或是替國外組織發聲，因此新加坡政府有權要求境內組織揭露其資金來源，二來新加坡政府將可引用該法案，要求ISP業者與社交媒體平臺提供使用者的資訊、封鎖用來散布被視為含有敵意的內容與應用。</p> <p>這使得人權推動組織擔心，FICA可能迫使新加坡的民運人士噤聲，懷疑任何反對政府決策的聲音都來自境外。</p> <p>AI區域研究副主任Emerlynne Gil即認為，FICA的通過是對言論與結社自由的野蠻攻擊，使得新加坡政府多了一項工具來扼殺批評者與異見人士。</p> <p>Gil的擔憂其來有自，在2006年於新加坡設立的「網路公民」（The Online Citizen，TOC）網站，因為經常表達與政府相反的政策意見，受到當局的關注，並要求TOC揭露其資金來源。但今年9月新加坡的資訊通訊媒體發展局卻因TOC屢次未申報資金來源，而撤銷了該平臺的經營執照，TOC的網站、臉書、Twitter、Instagram與YouTube等官方頻道全都被下架。</p> <p>其實FICA在新加坡國會也引來了激烈的辯論，支持該法案的議員認為，新加坡是個小型且開放的經濟體，特別容易受到外來的干擾，網路替顛覆帶來了強大的新媒體，當局需要FICA來對抗攸關國家安全的嚴重威脅。</p> </div></div></div>
2021/10/6 15:46作者陳曉莉https://www.ithome.com.tw/news/147119
Firefox 93將自動卸載無用分頁，避免瀏覽器崩潰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從Firefox 93開始，<a href="https://hacks.mozilla.org/2021/10/tab-unloading-in-firefox-93/">Firefox會監控系統可用的記憶體</a>，當記憶體用量達臨界點，瀏覽器即將崩潰之前，Firefox會藉由卸載記憶體使用量大、但是用戶未正在使用的分頁，以確保Firefox的穩定性，卸載的分頁會在用戶下次需要時重新載入，頁面的捲動位置和表單資料也都會恢復。這項功能會先在Windows上啟用，接著會部署到macOS和Linux。</p> <p>記憶體不足是導致Firefox瀏覽器和內容程序崩潰的主要原因之一，官方提到，卸載分頁來節省Firefox記憶體使用量，對於避免軟體完全崩潰是有效的手段，尤其是Firefox能夠更好地應對在資源有限的機器上，開啟許多分頁的用例。</p> <p>過去Mozilla就已經嘗試在Windows上卸載分頁籤，但是一直無法在減少瀏覽器記憶體使用量，以及降低用戶體驗間找到平衡，因為重新開啟分頁會出現輕微延遲。</p> <p>而Mozilla現在透過改進低記憶體檢測和分頁選擇演算法，來縮小卸載分頁的影響範圍。Mozilla在Nightly頻道上進行一項相關實驗，證實卸載分頁籤的確可以降低瀏覽器崩潰次數，在這為期一個月的實驗，整體瀏覽器崩潰和內容程序崩潰明顯減少，用戶能夠使用瀏覽器的時間更長。</p> <p>但有趣的是，在實驗中，研究人員也看到剩下的崩潰案例中，記憶體不足造成的崩潰比例增加，而且平均瀏覽器記憶體使用量增加。Mozilla以倖存者偏差來解釋後者，提到高記憶使用率的瀏覽器，在過去會直接崩潰，但是現在能夠在達到臨界點之前，透過卸載分頁來維持正常運作。</p> <p>而對於記憶體不足崩潰比例增加，Mozilla並沒有一個確定的答案，他們猜測可能在部分情況，啟動分頁籤卸載為時已晚，因為像是卸載分頁籤需要對JavaScript堆進行垃圾回收，該操作需要額外的臨時儲存，因此導致分頁直接崩潰而非被卸載。不過就整體而言，卸載分頁籤仍可以避免整個瀏覽器崩潰。</p> <p>Mozilla提到，雖然他們會繼續研究相關的問題，並且改進啟發式方法，但是有鑒於該功能已經明顯改善瀏覽器崩潰機率，因此他們仍然會在Firefox 93推出該功能。</p> <p>由於卸載分頁會干擾用戶的瀏覽體驗，因此Firefox只會在系統記憶體嚴重不足時，才會啟用該功能避免崩潰。在Windows上，Firefox是透過作業系統的CreateMemoryResourceNotification，來獲取物理記憶體量低下的訊號，官方提到，雖然沒有明確的物理記憶體低下閾值的數值，但約為6％，一旦發生這種情況，Firefox會開始定期檢查記憶體提交空間。</p> <p>當提交空間低於閾值時，Firefox便會卸載一個頁籤，當沒有可卸載的分頁，便會觸發Firefox內部記憶體壓力警示，降低瀏覽器子系統的記憶體使用量，Firefox會一直重複檢查提交空間並且卸載分頁，或是降低子系統記憶體用量的程序，直到記憶體提交空間高於閾值。</p> <p>Mozilla解釋，檢查提交空間能夠預測真正崩潰的時機點，由於只要有虛擬記憶體和物理記憶體可用，Firefox就能夠繼續運作，即便物理記憶體用完了，Firefox也僅是效能驟降，但是Firefox不會崩潰，但是在Windows上，只要提交空間不足，就算還有可用的物理記憶體，也會因為記憶體分配失敗造成應用程式崩潰。</p> <p>在理想情況中，Firefox會根據用戶上次使用分頁的時間，選擇要卸載的分頁，播放聲音、子母畫面（Picture-in-Picture）、釘選和使用WebRTC的分頁權重較大，因此不太可能被Firefox卸載，前臺的分頁永遠不會被卸載。</p> <p>目前Firefox 93提供了一個卸載測試頁面about:unloads，可供使用者測試，目前這個功能還在測試階段，會在Firefox 94發布時正式提供。</p> </div></div></div>
2021/10/6 15:58作者李建興https://www.ithome.com.tw/news/147118
蘋果強化Find My對AirPods Pro/Max的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於10月5日更新了H1晶片的韌體，這是蘋果高階耳機AirPods Pro與AirPods Max所使用的晶片，同一天<a href="https://support.apple.com/en-us/HT210515" target="_blank">蘋果亦更新Find My說明頁面</a>，顯示此一韌體更新強化了Find My對AirPods Pro/Max的支援，讓使用者更容易找到自己的耳機。</p> <p>Find My原本就支援蘋果入耳式耳機AirPods Pro與蘋果耳罩式耳機AirPods Max，但只提供兩項功能，一是在地圖上看到耳機的位置，二是要求耳機發出聲音。</p> <p>但在更新了這兩款高階耳機的韌體之後，<a href="https://support.apple.com/en-us/HT210515" target="_blank">Find My對它們的支援變多了</a>，增加了Find Nearby、Lost Mode 、Notify When Found與Notify When Left Behind等功能。</p> <p>這同時也代表蘋果已將AirPods Pro/Max納入Find My網路，讓全球其它支援Find My的裝置也能代替失主尋找這兩款耳機。</p> </div></div></div>
2021/10/6 16:18作者陳曉莉https://www.ithome.com.tw/news/147120
Apache修補已被開採的資料外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache軟體基金會（Apache Software Foundation）5日<a href="https://httpd.apache.org/security/vulnerabilities_24.html" target="_blank">釋出了Apache HTTP Server 2.4.50</a>，以修補Apache HTTP Server 2.4.49中的兩個安全漏洞，其中的CVE-2021-41773為一資料外洩漏洞，而且已遭駭客開採，使得該基金會呼籲用戶應儘速修補。</p> <p>Apache HTTP Server為一開源的HTTP伺服器專案，該專案的目標是提供一個能與現有HTTP標準同步以提供HTTP服務的安全伺服器，最新的兩個漏洞存在於Apache基金會甫於今年9月16日釋出的Apache HTTP Server 2.4.49中。</p> <p>這兩個漏洞分別是CVE-2021-41524與CVE-2021-41773，前者為h2模糊測試的無效指標引用漏洞，將允許外部來源針對伺服器進行服務阻斷攻擊，不過尚未發現開採程式。</p> <p>CVE-2021-41773則是相對嚴重的路徑穿越（Path Traversal）與檔案揭露漏洞，允許駭客將URLs映射到文件根目錄（Document Root）以外的檔案上，也可能洩露諸如CGI腳本文件等直譯檔案的來源，而且已經遭到駭客開採。</p> <p><a href="https://twitter.com/ptswarm/status/1445376079548624899" target="_blank">資安業者PT SWARM表示</a>，該團隊已經複製了CVE-2021-41773漏洞，假設文件根目錄以外的檔案並未受到「拒絕所有要求」（require all denied）的保護，那麼駭客就會成功，建議Apache HTTP Server用戶應立即修補。</p> <p>幸好這兩個漏洞只影響Apache HTTP Server 2.4.49，並未波及更早的版本，且Apache HTTP Server 2.4.49上線不到一個月，許多用戶可能還未升級，縮小了潛在受害者的範圍。</p> </div></div></div>
2021/10/6 14:46作者陳曉莉https://www.ithome.com.tw/news/147117
臉書公布大當機始末報告：日常維護出錯所引發的骨牌效應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北時間10月5日清晨，臉書發生了這幾年最嚴重的當機事件，全球的臉書服務在同一時間斷線，涵蓋Facebook、Instagram與WhatsApp，影響全球逾35億用戶，且持續近7小時，負責工程與基礎架構的<a href="https://engineering.fb.com/2021/10/05/networking-traffic/outage-details/" target="_blank">臉書副總裁Santosh Janardhan隨後公布了詳細的肇事原因</a>，而一切都是從例行性維護出錯所引發的骨牌效應。</p> <p>Janardhan解釋，這次的故障是由一個管理臉書全球骨幹網路能力的系統引起的。臉書透過骨幹網路來連結所有的運算設備，它是由橫跨全球之數十萬英里長的光纖網路所組成，負責連結臉書的所有資料中心。</p> <p>臉書的資料中心有著不同的形式，有些是安置數百萬臺機器的建築物，這些機器用來存放資料，以及負責執行讓臉書平臺得以運作的運算任務，有些資料中心則是相對小型的設施，以將臉書的骨幹網路連至全球網路及使用者。</p> <p>因此，當使用者開啟任一臉書家族的應用時，該應用程式會向最近的臉書設施請求資料，再藉由骨幹網路傳送到大型資料中心，而這些資料流量的傳遞即是由路由器管理。</p> <p>可想而知，臉書工程師的日常任務之一就是維護此一基礎架構，而且經常要把骨幹網路的一小部份移出網路，以修護光纖、新增能力，或者是更新路由器韌體。</p> <p>在5日凌晨時，臉書工程師展開了例行性維護，發布了一個命令來評估全球骨幹網路能力的可得性，卻不小心切斷了骨幹網路的所有連結，等於是讓臉書全球的資料中心同時斷網。其實臉書的系統具備稽核命令的功能，以預防類似的錯誤命令，但稽核工具中的臭蟲卻讓它沒能阻止此一錯誤命令。</p> <p>接下來就發生了<a href="https://www.ithome.com.tw/news/147073" target="_blank">Cloudflare看到的事情了</a>。Janardhan指出，雖然臉書的骨幹網路斷了，但它們的DNS伺服器還是正常運作的，相關伺服器負責回應DNS查詢，也負責透過邊界閘道協定（Border Gateway Protocol）向全球網路宣告自己的存在。</p> <p>然而，為了確保可靠的運作，臉書的DNS伺服器有一項設定，就是當它無法連結臉書的資料中心時，就會關閉BGP的宣告，於是，不管是Cloudflare的1.1.1.1、Google的8.8.8.8或是其它公共的DNS解析器，都無法在網路上發現Facebook、Instagram或WhatsApp的蹤跡。</p> <p>Janardhan說，一切都發生的太快了，且工程師在查明原因時又遇到了兩項障礙：一是因為網路都斷了而無法使用日常工具來存取資料中心，二是喪失了DNS也讓原本用來調查及解決故障的內部工具失效。</p> <p>於是臉書只好派出工程師到資料中心，企圖手動解決問題並重啟系統，但資料中心不管是實體或系統都嵌入了安全機制，一來不容易進入，二來就算進入了，其硬體與路由器原本的設計就提高了變更的門檻，因此又花了一點時間來啟用安全存取規則，以讓這些工程師能夠修改資料中心裡的伺服器。</p> <p>在臉書成功恢復骨幹網路之後，另一個關鍵則是重啟資料中心，瞬間重啟所有服務可能會因流量與電力使用的驟增，而讓系統再度崩潰。但臉書之前即曾進行多次的「風暴」（Storm）演習，模擬系統故障的場景，關閉服務、資料中心或整個區域的系統來進行壓力測試，有了這些演習經驗，讓臉書在回復所有服務的環節上沒有遭遇太多的問題。</p> <p>在處理這個意外的時候，Janardhan也察覺了一件事，<span style="color:#B22222;"><strong>過去臉書不斷地強化系統來防止未經授權的存取，但這些機制卻也拖慢了臉書自己修復的腳步，即便如此，他依然相信這個取捨是值得的</strong></span>。</p> </div></div></div>
2021/10/6 12:36作者陳曉莉https://www.ithome.com.tw/news/147113
VMware多雲戰略下一步，進化vSphere認混合雲為預設運作模式，回過頭在本地端提供跨雲服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>虛擬化技術龍頭VMware在美國時間10月5日，在線上展開為期3天的年度大會VMworld。活動正式開跑前，VMware先通過媒體會前預覽，發布了一系列多雲混合雲架構的產品更新，預告其多雲戰略將有新布局。</p> <p>過去這一年來，VMware高層人事出現許多異動，流失許多大將，從雲端管理業務部、電信及邊緣雲部等主管到營運長，再到執行長，還加上Dell在4月正式宣布拆分其業務，出現了許多內部動盪。</p> <p>前執行長Pat Gelsinger在2月中，跳巢至前公司英特爾後，VMware花了好長一段時間尋找接替者，執行長一位由財務長Zane Rowe代理多時，直到今年5月中，VMware董事會才宣布任命時任執行副總裁暨產品與雲端服務營運長Rangarajan（Raghu）Raghuram，接任執行長和董事會成員，並在6月正式上任。</p> <p>Raghu Raghuram自2003年加入VMware，一路參與VMware發展核心虛擬化業務，以及推動軟體定義資料中心戰略的歷程，而在企業逐步搬遷工作負載上雲後，他更是建構VMware雲端運算業務，還有引領產品進行SaaS轉型工程的關鍵人物，也是近年多項併購案的幕後關鍵推手。外界都在期待，他在上任後的首次VMworld主題演講中，會帶給VMware什麼樣的新氣象，並宣示什麼樣的新發展戰略。</p> <p>VMware雖打下了企業機房採虛擬化技術的大片江山，但在雲端時代，因沒有一朵完整且獨立的公有雲，一直處於追趕狀態，除了轉變自身產品的銷售模式，還有改造產品為可支援雲端環境的設計外，也逐步把焦點由虛擬化轉向雲端，與各大公有雲業者尋求合作，為企業上雲鋪起一條條可延伸地端VMware環境至雲端的道路。</p> <p>通過VMware與各大公有雲業者合作的雲端解決方案，比如說VMware Cloud on AWS、Azure VMware Solution、Google Cloud VMware Engine等，企業多可端到端搬遷VMware環境上雲，不只不需重構應用程式，更能沿用熟悉的VMware產品執行、管理工作負載，而VMware的這些布局都是為了要留住企業。</p> <p>近兩年，VMware更全面擁抱K8s，推出K8s產品線Tanzu，其中包含推出跨雲管理工具Tanzu Mission Control，能支援多雲、多叢集，供企業管理任何環境中的K8s，涵蓋AWS、Azure、Google雲、IBM雲，以及VMware雲端服務。</p> <p>甚至，改造核心基礎設施vSphere，把K8s內建到vSphere中，將vSphere的核心ESXi換成了一個超級K8s叢集，同時，將K8s API整合到vSphere的API中，讓企業能以ESXi管理VM的方式，來運用K8s的能力，最終推出最新一代vSphere 7。</p> <h2><strong>採用IaaS概念要升級vSphere</strong></h2> <p>然而，對布局多雲混合雲市場來說，VMware的演進仍還不夠，因此，VMware已預告將在今年VMworld上宣布名為Project Arctic的新專案，要進一步升級vSphere，走向基礎設施即服務（IaaS），提供雲服務具備的按需取用特性，讓企業可以升級VMware基礎設施為服務，按需求取用相對應的容量。</p> <p>VMware透露可視Project Arctic為vSphere的下一個演進，整合雲端連結性進vSphere，讓企業可在自家機房的硬體上，執行VM和容器應用，並獲得VMware Cloud體驗，能通過vCenter存取VMware跨雲服務。</p> <p>這項演進版vSphere的目標，是要讓企業在vSphere基礎架構與VMware Cloud on AWS或其他VCPP雲端解決方案之間，可輕鬆地遷移工作負載。VMware雲端服務資深副總裁兼總經理Mark Lohmeyer表示，藉由Project Arctic，VMware將釋放（unleash）適合每個企業的混合雲。</p> <p>這是VMware首度對外正式發表Project Arctic，不過，VMware其實早已開始針對該專案招募人才多時。iThome發現在2月初時，VMware即發布了一則與該專案相關的工程師職缺資訊，並在職缺說明中，悄悄透露該專案的資訊。</p> <p>VMware在職缺說明中提到，藉由VMware Cloud on AWS，他們已派送SDDC上雲端，現在希望回過頭，在本地端VMware環境提供創新的雲端服務，而通過vSphere與K8s的整合，他們會建構一個IaaS層，供開發人員使用該層向多雲環境派送服務，並預告Arctic專案將是Cloud Universal的一部分，代表著企業未來可利用Universal點數，升級現有的vSphere基礎設施為Arctic。</p> <h2><strong>Tanzu產品線新增免費版K8s平臺Tanzu Community Edition</strong></h2> <p>為搶攻多雲混合雲市場，VMware也將提供兩項Tanzu免費版產品，補齊Tanzu產品線中小企業端的市場布局，分別是Tanzu Community Edition和VMware Cloud with Tanzu。</p> <p>針對K8s新手，VMware推出免費版本的K8s平臺Tanzu Community Edition，以軟體形式包裝，供企業免費下載，安裝在本地端工作站或是雲端環境。VMware宣稱企業只需花數分鐘，就可在本地端vSphere，或是公有雲環境，快速建構一個完整基於K8s的平臺。</p> <p>這套軟體具有與Tanzu商用版一樣的開源軟體，企業不需自行挑選容器生態系的不同元件，就可實現端到端應用程式交付自動化，並獲得社群的技術支援。熟悉K8s平臺後，企業可再全面轉移執行在免費社群版Tanzu的工作，到Tanzu商用版本，還有沿用相同的平臺操作方式。</p> <p>另外，VMware也正式把Tanzu產品組合帶入VMware Cloud中，新增全新的K8s託管服務組合VMware Cloud with Tanzu，首先會在自行管理的雲端平臺VMware Cloud on AWS，免費提供。之後，會再陸續於與其他公有雲業者合推的VMware Cloud平臺提供。</p> <p>通過Tanzu服務，企業能夠快速現代化應用程式，並在數分鐘內，交付K8s叢集給開發人員，且企業IT管理員可使用熟悉的管理平臺vCenter介面，在通用型平臺上，統一管理容器化應用程式，還有VM，而平臺維運者或SRE則可將Tanzu服務用作為多雲K8s管理層，一致地管理跨雲K8s叢集。</p> <p>這套企業級全託管K8s服務組合，規畫會在VMware 2022財年第三季（2021年7月31日起）中，也就是近日，正式上線VMware Cloud on AWS。</p> <p>強調串接各主要公有雲環境的VMware Cloud，已囊括五大公有雲：AWS、Azure、Google雲、IBM雲和甲骨文雲，作為多雲基礎架構的雲端延伸，供企業在自身選用的公有雲上，執行搬遷上雲的vSphere工作負載。</p> <h2><strong>要正式推出VMware Cloud on AWS Outposts，強化VMware Cloud本地雲支援</strong></h2> <p>考量特定產業仍受限法遵，無法搬遷工作負載上雲，VMware也強化VMware Cloud的本地雲戰略，宣布在2022財年第三季也就是本季，將正式推出VMware Cloud on AWS Outposts，供企業在自家資料中心部署的AWS整櫃是主機Outposts上，執行全託管的VMware SDDC。</p> <p>VMware 雲端服務行銷副總經理Matt Morgan強調，這項產品具完整的VMware Cloud堆疊，以服務形式包裝，提供包含了vSan、NSX-T、vSphere、vCenter 伺服器。通過性能優化的AWS Outposts硬體，企業可存取200多項原生AWS服務，包含了EC2、RDS、ECS、EKS等服務。</p> <p>為了將VMware Cloud涉及的授權整合到同一個機制中，VMware在4月時已推出新的服務銷售方式Cloud Universal，提供單一種VMware基礎架構與服務的點數，讓企業依需求用在VMware Cloud解決方案的本地端、雲端或是邊緣環境。</p> <p>如今，VMware宣布擴大Cloud Universal點數的使用範圍，開始供企業用於採用Tanzu服務，先開放使用的是Tanzu Standard。企業除可將Cloud Universal點數應用在VCF的本地端部署，以及VMware Cloud on AWS和VMware Cloud on Dell EMC外，現還可以獲得現代化架構，執行容器化應用程式和調度K8s。</p> <p>VMware近幾年想辦法將產品部署在更多基礎架構環境，不管是公有雲，還是公有雲本地端版本，就是要拓展多雲混合雲戰略的布局據點，同時，也將K8s整合進核心產品vSphere，以具備支援跨雲環境的能力，都是為極致定義為分散式多雲平臺的VMware Cloud，可發揮之效益。</p> <p>接著，VMware望通過Project Artic，升級vSphere基礎架構，設定混合雲為預設營運模式，提供企業跨雲服務，這是VMware多雲戰略下一階段的發展，值得關注的焦點之一。文⊙黃郁芸</p> </div></div></div>
2021/10/6 10:21作者黃郁芸https://www.ithome.com.tw/news/147101
AWS擴展工作流程服務Step Functions，現支援200個AWS服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布更新工作流程服務<a href="https://aws.amazon.com/tw/blogs/aws/now-aws-step-functions-supports-200-aws-services-to-enable-easier-workflow-automation/">Step Functions提供AWS SDK整合</a>，使得原本Step Functions只支援的17個AWS服務，增加到超過200個，而且AWS API Actions也從46個提升到9,000多個。</p> <p>AWS提到，當開發人員建置分散式架構時，可能使用基於工作流程的調度模式，該模式有助於服務內部工作流程自動化，來方便地執行分散式交易。而所謂的分散式交易，可以是處理訂單的所有任務，或是持續追蹤交易狀態。</p> <p>Step Functions是一種低程式碼的工作流程服務，供用戶使用視覺化的介面，來自動化和調度服務，協助開發者使用基於流程的調度模式，來建置分散式架構。開發者能夠將Step Functions和託管服務一起使用，像是人工智慧服務、S3或是DynamoDB等。</p> <p>不過，過去在使用Step Functions，建置和AWS服務整合的工作流程時，仍然有一些挑戰，由於Step Functions所提供的服務整合只有46種，因此當開發者需要用到沒有支援的服務，便需要在AWS Lambda函式中，自己編寫整合程式碼，而這種方式帶來了應用複雜性，以及額外的開發成本。</p> <p>而現在新發布的Step Functions AWS SDK Service Integrations，供開發者直接將狀態機整合到AWS SDK所支援的AWS服務中，因此開發者可以創建使用ASL（AWS SDK Service Integrations with Amazon States Language）、AWS CDK的狀態機，或是使用AWS Step Function Workflow Studio，直覺地創建狀態機。</p> <p>只要指定服務名稱和API呼叫，便可以在Step Functions中使用AWS SDK整合功能，官方提到，Step Functions無法對AWS SDK整合自動生成IAM政策，創建狀態機後，開發者需要到IAM控制臺配置角色政策。</p> <p>Step Functions的AWS SDK服務整合功能，已經在美東、美西、加拿大、歐洲等地區推出，而亞太AWS雲端地區，則目前先在東京提供，接來AWS將會擴展該功能，到所有提供Step Functions服務的地區。</p> </div></div></div>
2021/10/6 09:29作者李建興https://www.ithome.com.tw/news/147100
軟銀買下Alphabet Loon 200項高空連網專利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.softbank.jp/en/corp/news/press/sbkk/2021/20210930_03/" target="_blank">日本科技投資巨擘軟銀（SoftBank）上周宣布</a>，買下Alphabet即將關閉的Loon所發展的近200項技術專利，以發展高空平臺基地臺（High Altitude Platform Station，HAPS）方案。</p> <p>出自Google X射月計畫的Loon開發作為連網基地臺的高空氣球，<a href="https://www.ithome.com.tw/news/124524" target="_blank">於2018年獨立出來成子公司</a>。Loon 2020年在肯亞推出全球第一個高空氣球商用連網服務。不過獲利之路並不順利，<a href="https://www.ithome.com.tw/news/142411" target="_blank">Google於今年1月宣布Loon關門大吉</a>。</p> <p>在買下專利之前，軟銀和Loon本來即已是合作夥伴。軟銀和軍事無人機AeroVironment合資成立太陽能HAPS公司HAPSMobile，後者主要發展太陽能定翼式HAPS無人機Sunglider，支援行動連網及IoT應用。<a href="https://www.ithome.com.tw/news/135979" target="_blank">2019年HAPSMobile 進一步投資Loon 1.25億美元</a>，以發展氣球或無人機式的高空連網基礎架構，<a href="https://www.ithome.com.tw/news/140446" target="_blank">雙方並於隔年完成</a>以HAPSMobile無人機支援LTE連網的測試飛行。</p> <p>收購自Loon的200項專利涵括HAPS的網路技術、服務、營運及飛行器等技術。軟銀表示，收購完成後，它和HAPSMobile加起來將手握500項專利，包括正在申請中的專利，軟銀將利用取自Loon的技術推動HAPS產業的標準化與相容性。</p> <p><a href="https://x.company/blog/posts/keeping-loons-legacy-aloft/" target="_blank">Loon本周另外也宣布</a>針對它270項專利提供開源不主張訴訟承諾（non-assertion pledge），以促進導航、車隊管理等應用發展。另一家<a href="https://www.businesswire.com/news/home/20210930005906/en/Raven-Industries-Acquires-Intellectual-Property-From-Loon" target="_blank">高空汽球開發商Raven Aerostar也宣布</a>取得Loon多項專利。</p> </div></div></div>
2021/10/6 09:54作者林妍溱https://www.ithome.com.tw/news/147109
Qt 6.2模組趨於完整，開始對商業用戶提供長期支援服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發工具Qt發布了最新的<a href="https://www.qt.io/blog/qt-6.2-lts-released">6.2</a>版本，這個版本在Qt 6的新架構上，提供了開發者熟悉的Qt 5.15模組，同時還加入了新的模組。Qt 6.2也將是Qt 6來，第一個Qt公司對其商業用戶提供的長期支援版本。</p> <p>官方提到，考量到Qt未來的發展，不得不在Qt 6進行架構更新，但也是這個原因，導致在Qt 6.0發布時，無法同時提供所有過去版本中的模組，儘管Qt 6.0整體來說比Qt 5.15更先進，但是確實少了Qt 5.15中的一些功能。在這個全新的Qt 6.2版本中，官方縮小了此差距，添加Qt 5.15中常用的功能，以及Qt 6的新功能。</p> <p>Qt 6.2的主要工作，是重新加入在Qt 6.0發布時遺漏的模組，除了少數例外，現在Qt 5.15所支援的模組，幾乎都在Qt 6.2中提供，現在Qt 6.2所支援的模組，包括Qt藍牙、Qt多媒體、Qt NFC和Qt感測器器等13個，這些模組的API向後相容於Qt 5，官方表示，開發者只需要對程式碼進行少量調整，就能從Qt 5移植到Qt 6上。</p> <p>除了從Qt 5移植來的模組之外，官方也在Qt 6.2加入一些新功能，在Qt新版本中，開發者可以用到一些新的3D功能。Qt Quick 3D支援實例渲染，能夠高效能的渲染大量相同的物件，並且有一個新的API，可在場景中添加3D粒子特效。</p> <p>3D場景中的輸入處理也有改進，用戶現在可以對嵌入在3D場景中的2D物件，正確創建Qt Quick輸入事件。另外，Qt Quick 3D還添加供開發者在場景中任意點，進行基於射線方法選取的API。</p> <p>Qt 6.2對QML（Qt Markup Language）工具進行一些更新，除了提供公開的CMake API，能夠極大程度簡化開發者創建QML模組的過程，官方也對QML Linter進行不少更新。QML linter是用來檢查QML原始碼的最佳實踐工具，有助於開發者改善潛在的程式碼寫法與效能問題。</p> <p>該工具現在已經完全可配置，無論是命令列、配置檔案，還是QML檔案中的模組塊，另外，現在QML Linter還可以生成JSON輸出，來簡化和其他自動化系統的整合。</p> <p>Qt多媒體模組在Qt 6中有巨大的變化，官方提到，這是他們在Qt 5中不滿意的API之一，這次他們犧牲向後相容性，進行了廣泛的API和架構更改。雖然如此，要把Qt 5中的多媒體應用程式移植到Qt 6還是相對簡單，Qt 6提供包括播放字幕、語言選擇等功能。</p> <p>Qt 6.2擴展了支援平臺，現在已經可以完全支援在Apple Silicon上運作的macOS，並可以在英特爾或是Apple Silicon上，創建用於macOS的通用二進位檔案，當然，也可以透過Rosetta模擬層，在Apple Silicon晶片上執行Qt應用程式。</p> <p>官方也正在進行一些必要的更新，來全面支援已經正式發布的Windows 11，官方有望在6.2的小更新版本提供支援，另外，Qt 6.2也提供了Windows on ARM的技術預覽，還有對WebAssembly的技術預覽。</p> </div></div></div>
2021/10/6 09:11作者李建興https://www.ithome.com.tw/news/147089
Puppet Forge開始對模組進行安全掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IT自動化工具供應商Puppet，宣布在其模組目錄<a href="https://dev.to/puppet/malware-scanning-on-the-puppet-forge-3ake">Puppet Forge中，添加惡意程式掃描功能</a>，以進一步提高模組的安全性。新的安全掃描功能可以檢查上傳模組中，所包含的惡意程式碼，以及存在潛在安全疑慮的內容。</p> <p>官方提到，軟體供應鏈攻擊事件層出不窮，過去認為開源程式碼會受到更多的檢視，但隨著NPM、PyPI或RubyGems等點對點軟體套件儲存庫興起，這種假設已經不存在。雖然到目前為止Puppet生態系，尚未因為Forge模組被注入惡意程式碼而受到攻擊，但是官方未雨綢繆，在過去幾個月打造了模組掃描框架。</p> <p>對Puppet來說，在打造軟體掃描框架之前，要先定義所謂安全的Puppet模組，官方提到，這就像是定義雜草一樣，完全和上下文相關聯，像是下載tarball並且執行殼層命令，是不少Tomcat模組的運作方式，因此無法排除這種行為，但是可以透過辨識檔案資源，使用全域可寫入權限、廣開防火牆規則，或是已知不安全的Apache配置，來找出可疑的檔案，並標記出已知惡意軟體檔案或URL加到模組中的時間。</p> <p>Puppet Forge安全掃描框架延伸自原本就已經存在的模組自動品質評分系統。由於官方將原本以Jenkins工作管線實做的品質評分系統，移植到更現代基於容器的工作流程，而使得這個工作流程，也適合用於安全分析系統，只要能夠在容器中運作的系統，就可以用到Forge中。</p> <p>Puppet採用VirusTotal作為Forge安全掃描解決方案，VirusTotal提供上傳API，該API雖然不了解Puppet程式碼，但是能夠解析解壓縮模組tarball格式，以及掃描檔案內容，找出惡意程式碼，官方提到，VirusTotal匯總了70個防毒掃描程式，以及URL封鎖名單，因此對於Puppet來說是完整的解決方案。</p> <p>當模組通過VirusTotal掃描，Puppet會將模組標記為已掃描，一旦發現存在惡意程式碼，使用者可以透過連結，連接到VirusTotal頁面，查看詳細的資訊。Puppet提到，他們期望在年底之前，所有上傳的模組，都會經過安全掃描，但是為了避免零日攻擊，他們不會對既有的模組進行掃描，用戶還是要對自己使用的模組進行評估。</p> <p>官方強調，這個掃描框架並不能取代用戶自己的安全解決方案，開發者仍然有責任審查不受信任的程式碼，並且運作自己的安全防護軟體，他們僅能確保開發者所使用的Puppet模組，不會帶來惡意軟體。</p> </div></div></div>
2021/10/6 09:14作者李建興https://www.ithome.com.tw/news/147099
十年有成，微軟實現雲端OS願景
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1045-cover01-960-tu_pian_lai_yuan_wei_ruan_-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月底，微軟預告將推出個人電腦作業系統Windows 11，8月底宣布於10月5日正式上市，引發IT界震撼。在伺服器作業系統上，微軟在今年3月舉行的Ignite大會期間，微軟推出Windows Server 22的預覽版；6月起，微軟在自家雲端服務Azure與微軟的軟體下載評估中心，提供預覽版；9月1日，Windows Server 2022正式發表。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-cover01-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F%EF%BC%8D%EF%BC%92.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p><strong><span style="color: rgb(51, 153, 255);">歷經25年的發展，微軟伺服器平臺今年再度邁入新的里程碑</span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">經過25年來的發展，微軟今年發布伺服器作業系統最新版Window Server 2022，這套產品最初從企業資料中心起家，隨著後續伺服器虛擬化技術與軟體定義資料中心技術的風行，而跨入私有雲與公有雲領域，這幾年，適逢邊緣運算崛起，該領域如今也成為伺服器作業系統的兵家必爭之地。</span></strong></p> <p><span style="font-size:28px;"><strong>從虛擬化走向超融合、混合雲，微軟雲端OS發展歷經波折</strong></span></p> <p>回顧10年前，微軟推出Windows Server 2012，時任微軟伺服器與工具事業部總裁的Satya Nadella，將這套產品定調為Cloud OS的基石，當時稱為Windows Azure的雲端服務，就是核心。</p> <p><span style="color:#B22222;"><strong>Windows Azure Pack、Azure Pack</strong></span></p> <p>2013年10月，微軟推出Windows Azure Pack，當中就是以Windows Server with Hyper-V，以及System Center，組成雲端平臺解決方案，讓企業與IT服務供應商能在自家機房，建置結合自助式服務概念的IT基礎架構，也就是我們如今很熟悉的私有雲，當時也吸引了Dell、HP、Cisco等伺服器廠商與其合作。</p> <p>到了2014年，因為Satya Nadella擔任微軟執行長，高喊雲端優先（Cloud First），全力發展雲端服務；這一年，Windows Azure也改名為Microsoft Azure，不單以此支撐旗下多種應用服務，如Office 365、OneDrive、Skype，也不再固守Windows、SQL Server、.NET等微軟既有技術，多種擁抱開放原始碼軟體，以及其他商用軟體。</p> <p>接下來幾年，微軟在Azure公有雲環境當中，積極而廣泛拓展大數據、資料分析、物聯網、機器學習等領域的服務項目，以及技術應用，後續投入容器與Kubernetes等新興應用程式平臺。</p> <p>而在企業IT應用當中，微軟則以Windows Server、Hyper-V、System Center這三大系列產品，分別對應伺服器、虛擬化、系統管理，在伺服器虛擬化當道、後續超融合基礎架構崛起之際，初期主要以Hyper-V伺服器虛擬化技術，來支撐與維持微軟平臺優勢，後續則是透過整合軟體套件，如上述的Windows Azure Pack，以及2017年推出的Azure Pack，拓展微軟私有雲平臺。</p> <p><span style="color:#B22222;"><strong>Azure Stack</strong></span></p> <p>在2015年5月，微軟宣布將推出Azure Stack混合雲環境建置套件，當中將整合伺服器作業系統Windows Server 2016、資料中心系統管理軟體System Center 2016，以及雲端管理服務Operations Management Suite（OMS），但直到2017年7月才正式發布。</p> <p>然而，面對從伺服器虛擬化平臺延伸軟體定義儲存系統，以及軟體定義資料中心的VMware，以及將超融合基礎架構都做得十分完善的Nutanix，微軟在私有雲的市場生態拓展受到很大掣肘，雖然後續在Windows Server 2016，新增Storage Spaces Direct（S2D）儲存叢集功能，從Windows Server 2012 R2、System Center 2012 R2就開始提供軟體定義網路，這些軟體定義資料中心必備的技術與功能特色，後續也在Windows Server 2019、System Center 2019推陳出新，但這段期間發生很多變化，而使得用戶不再獨鍾微軟私有雲平臺。例如，市場上出現多種超融合平臺產品，有如過江之鯽，選擇多樣；微軟方面，集多種產品與雲服務大成的Azure Stack，從最初發表到正式推出，時間拖得太久，再加上微軟不再像過去大張旗鼓發表伺服器與應用軟體產品。諸如此類原因，使得微軟難以單靠基礎架構軟體平臺，在企業IT市場大展身手，與他們公有雲業務蒸蒸日上的表現，形成強烈對比。</p> <p><span style="color:#B22222;"><strong>Azure Stack HCI</strong></span></p> <p>不過，微軟仍然沒有放棄這塊市場，近幾年來，他們持續擴大Azure Stack解決方案陣容，積極拓展企業資料中心、邊緣運算與混合雲的應用場景。</p> <p>例如，2019年3月，微軟發表Azure Stack HCI──原本由Azure Stack專攻私有雲場景的Azure雲服務供應，開始增設超融合平臺Azure Stack HCI，支援虛擬化應用程式執行，當中結合Windows Server既有技術，如Hyper-V、Storage Spaces Direct等，提供超融合運算、儲存、網路資源，IT人員可運用Windows Admin Center管理軟體，以當中整合的Azure hybrid services延伸多種服務。</p> <p><span style="color:#B22222;"><strong>Azure Arc</strong></span></p> <p>同年11月，微軟宣布擴充Azure Stack陣容，新增Azure Stack Hub、Azure Stack Edge等兩條產品線。</p> <p>它們之間有那些區隔？既有的Azure Stack HCI，固守企業內部的高效能虛擬化環境應用；Azure Stack Hub可用於建置混合雲架構，連接企業私有雲與公有雲；Azure Stack Edge則是由微軟Azure代管的整合應用設備，可在邊緣位置提供運算能力與機器學習處理。</p> <p>在此同時，微軟也宣布推出新的混合雲解決方案Azure Arc，包含多種技術，可將Azure的服務、管理機制、安全性控管，帶到任何IT基礎架構當中使用。</p> <p>透過Azure Arc，微軟計畫將Azure公有雲與私有雲特有的管理功能，像是Azure portal、Azure Resource Manager、Azure Cloud Shell、Azure Policy、Azure API，延伸至資料中心常見的Linux伺服器、Windows伺服器，以及Kubernetes叢集，而且能囊括內部資料中心、多個公有雲與私有雲，以及邊緣運算位置，讓IT人員能夠使用一致的方式來管理這些環境。</p> <p>微軟也期盼軟體開發團隊能善用Azure Arc，不只是搭配自己所選擇工具來組建容器化應用程式，確保應用程式統一運用基於GitOps組態的管理，進而自動執行相關的部署、設定與管理作業。而在推動雲端環境的安全防護上，微軟Azure Arc可搭配集中管理的角色存取控管，以及資安政策，可簡化相關的工作。</p> <p>基於上述兩種可涵蓋更多環境的混合雲解決方案，有了可設置在任何環境的IT基礎設施，以及統一管理機制，不單是照顧IT維運者、程式開發者、資安人員的需求，微軟還打了另一個如意算盤，那就是提供Azure Arc-enabled Data Services系列資料服務，在這樣的架構之中，透過Azure Arc平臺、Azure Stack系列，讓用戶能夠在任何Kubernetes叢集環境之上，部署多種立足於雲端的資料庫，像是：Azure SQL Database、Azure Database for PostgreSQL Hyperscale。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-cover01-600-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p><span style="color: rgb(51, 153, 255);"><strong>以適用多種雲端環境為號召，橫跨IT三界</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>微軟憑藉自家雲端服務，為Windows Server打造最適合其使用的公有雲；用於企業內部，Windows Server最新版加入Azure Arc支援，可延伸使用Azure公有雲；介於公有雲與企業的資料中心之間，微軟提供超融合平臺Azure Stack HCI，企業可建置私有雲，也能上通Azure與使用Azure Arc，形成混合雲。</strong></span></p> <p><span style="font-size:28px;"><strong>微軟新一代混合雲架構浮出檯面，Windows Server仍是重要基礎</strong></span></p> <p>由Azure Stack HCI、Azure Arc領軍的新混合雲解決方案，這兩年陸續到位。例如，在2020年，有第二代Azure Stack HCI、Azure Arc-enabled Servers等產品正式推出。在2021年，截至9月底，這些解決方案也上場，如Azure Arc-enabled Kubernetes、Azure Kubernetes Service（AKS）on Azure Stack HCI、Azure Arc-enabled SQL Managed Instance。</p> <p>隨著微軟不斷推出令人目不暇給的混合雲服務，無論是作為伺服器作業系統、伺服器虛擬化平臺、超融合基礎架構平臺、容器、Kubernetes叢集系統，作為私有雲、混合雲、邊緣運算資料中心，或是作為應用程式平臺、資料平臺，擁抱各種技術浪潮之餘，Windows Server已不在IT市場第一線衝鋒陷陣，但仍在不同位置繼續扮演關鍵角色。</p> <p>重新審視十年前被賦予Cloud OS使命的Windows Server，也不得不感嘆與讚嘆它的發展不懈。在公司高舉雲端優先的大旗之下，一套伺服器作業系統，能由服務企業IT需求的表面，一躍而成為具有超大延展性的雲端服務核心，並不是一條容易的道路。經歷這艱辛十年，Windows Server仍將不斷奮起。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1045-cover01-600-3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png.jpg" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><strong>以Azure Arc領軍，微軟建構新型態的混合雲</strong></span></p> <p><span style="color:#696969;"><strong>微軟推出Azure Stack多種超融合架構平臺，目的是橫跨企業私有雲、混合雲，以及邊緣運算等環境的IT應用。然而而，這幾年以來，他們開始持續發展Azure Arc控制層技術，透過貫串底層IT基礎架構（基於Azure Stack HCI/Hub/Edge），以及上層資料服務，來支援統一管理、應用程式開發、資料分析等用途。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/windows-server-2022">Windows Server 2022</a></div><div class="field-item even"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8os">伺服器OS</a></div><div class="field-item odd"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item even"><a href="/tags/%E7%A7%81%E6%9C%89%E9%9B%B2">私有雲</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E6%B7%B7%E5%90%88%E9%9B%B2">混合雲</a></div><div class="field-item odd"><a href="/tags/%E9%82%8A%E7%B7%A3">邊緣</a></div><div class="field-item even"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item odd"><a href="/tags/k8s">K8s</a></div><div class="field-item even"><a href="/tags/kubernetes">Kubernetes</a></div></div></div>
2021/10/6 07:00作者李宗翰https://www.ithome.com.tw/tech/147014
微軟強化伺服器韌體與網路安全
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1001-cover2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相隔3年，微軟今年終於再度推出Windows Server新版，第一主打特色就是資安，而這次改版所強調的安全性防護，則是「進階」、「多層次」作為主要的號召，希望能夠打造惡意軟體或駭客難以入侵的平臺。</p> <p>所謂的多層次，簡而言之，是指系統與網路等兩大層級，其中，系統的部分，主要是安全核心伺服器（Secured-core server），至於網路的部分，則是採用安全性層級更高的加密傳輸協定，以保護網頁存取與內部網路檔案存取。</p> <p><span style="font-size:28px;"><strong>與處理器廠商、伺服器廠商合作，推動安全核心伺服器</strong></span></p> <p>2019年10月，微軟號召晶片廠商、個人電腦製造商，推出名為「安全核心個人電腦（Secured-core PC）」的計畫，目的是透過這樣的系統設計特色，對抗鎖定韌體與作業系統層級的資安威脅。</p> <p>而在微軟Windows Server 2022推出之際，也將這樣的概念導入了伺服器生態圈，於是，形成了「安全核心伺服器（Secured-core Server）」的計畫，並在今年3月舉行Ignite全球用戶大會期間，宣布這項消息。</p> <p>微軟表示，他們將Secured-core擴展到伺服器與物聯網生態系當中，涵蓋範圍包括：Windows Server、Azure Stack HCI，以及Azure認證的物聯網設備。前兩者應該可歸類於Secured-core Server，著重在簡化安全、進階防護、預防性防禦，這些產品需具備安全性擔保，由製造商置入的硬體與韌體，需能滿足作業系統安全性功能的要求。</p> <p>關於安全核心伺服器，微軟著重的層面，主要是硬體、韌體、作業系統的功能，透過這樣具備足夠保護力的平臺，期盼能夠針對關鍵應用系統，以及存放在此種伺服器的資料，提供額外的安全保障。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Sec-1-Secured-Core%20PC%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>向「安全核心個人電腦」計畫借鏡</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">為了從硬體、韌體、虛擬層確保安全性，微軟在2019年10月宣布推動「安全核心個人電腦」的計畫，而在今年3月，他們宣布將推動「安全核心伺服器」，而在9月Windows Server 2022發表之後，此計畫也正式成軍。圖片來源／微軟</span></strong></p> <p>師法先前安全核心個人電腦採行的作法，這個安全核心伺服器實際上應用了哪些保護？</p> <p><span style="color:#B22222;"><strong>硬體防護：TPM 2.0</strong></span></p> <p>在安全核心伺服器的產品當中，TPM 2.0安全加密處理器晶片是標準配備，提供了硬體信任根，以此作為伺服器系統的安全基礎。</p> <p>這樣的裝置具備受保護的硬體存放區，可放置敏感的加密金鑰與資料，在伺服器執行開機程序的過程當中，也能用來量測系統的完整性。</p> <p>關於這方面的安全性功能執行需求，微軟作業系統透過內建的System Guard安全啟動（Secure Launch）提供。它能協助驗證系統是否以合法程式碼啟動、評估載入的諸多元件，以及核對伺服器韌體的簽章，確認是由合法的持有者所簽署，協助用戶了解韌體是否遭到竄改，而能驗證與確保伺服器供應鏈安全。同時，還能確認系統能否被後續執行的程式碼所信任。</p> <p><span style="color:#B22222;"><strong>韌體防護：DRTM</strong></span></p> <p>由於韌體的執行權限層級較高，傳統的防毒軟體往往很難了解裡面是否出現異狀，而在安全核心伺服器當中，Windows Servers內建的System Guard安全啟動功能，會運用處理器來驗證裝置，以便安全地完成系統開機程序，預防進階的韌體攻擊。</p> <p>這項安全設計，將會運用處理器本身支援的動態信任根量測（Dynamic Root of Trust of Measurement，DRTM）技術，提供相關的防護──韌體會放置在硬體型態的沙箱，一旦高權限韌體程式碼出現安全漏洞，可透過這樣的機制來限縮其造成的衝擊。</p> <p>在這樣的保護機制之下，微軟作業系統可以運用韌體來啟動硬體，也就是透過作業系統開機引導程式（OS boot loader）與處理器的相關功能，將所要起動的系統，送至已知、可驗證的程式碼執行路徑，讓系統很快完成重新初始化的程序，之後進入可信賴狀態（trusted state）。</p> <p>微軟認為，這種方式可預防系統層級的竄改，以及韌體層級的攻擊，對於原本指派給韌體的信任能設下限制，並提供更有力的緩解方式，對抗不斷演化的韌體資安威脅。</p> <p><span style="color:#B22222;"><strong>虛擬化防護：VBS</strong></span></p> <p>在伺服器領域，虛擬化應用由於承載大量虛擬機器，如何確保平臺的安全性，一直是各廠商相當重視的。而在微軟提出的安全核心伺服器中，對於這個層級的防護，主要是虛擬化安全性（VBS），以及虛擬層程式碼完整性驗證（HVCI），都是從Windows 10與Windows Server 2016，就開始支援的。</p> <p>透過這兩種技術，可針對作業系統具有高權限的部分，像是系統核心，進行隔離，使其與系統的其他部分區隔開來，以此防護被濫用於數位貨幣挖礦的資安漏洞，能協助確保伺服器持續執行關鍵工作負載，並且保護相關應用程式與資料，使其免於遭到攻擊與外洩。</p> <p>VBS會運用硬體虛擬化的功能，從作業系統的層級到伺服器的記憶體當中，建立安全隔離區，同時也可搭配運用Credential Guard的功能，將使用者的帳號密碼、金鑰、憑證等機密資料，存放在作業系統無法直接存取的虛擬容器，因此，可保護網域使用者的帳號安全。</p> <p>至於HVCI，則是運用VBS來強化程式碼完整性的保護機制，可透過強制實施嚴格的程式碼完整性政策，確保所有系統核心層級的程式碼，都是經過簽署與驗證的。</p> <p>這當中包含了系統核心模式完整性驗證，在所有的核心模式驅動程式與二進位碼開始執行之前，能於虛擬化環境當中進行檢查，以此預防未經簽署的驅動程式或系統檔案載入系統記憶體。</p> <p>在Windows Server 2022於9月上市之際，微軟宣布正式推出安全核心伺服器的計畫，而這是Windows Server 2022所標榜的重大特色之一，6月發布公開預覽版本的Azure Stack HCI 21H2，也將具備這項安全性特色。</p> <p>目前響應安全核心伺服器計畫的IT廠商，除了上述兩大x86處理器平臺，在伺服器的部份，有DataOn、Dell、Fujitsu、HPE、聯想5個品牌，微軟也特別公布支援的機型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Sec-2-Secured-Core%20SVR%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>檢視伺服器是否符合安全核心的要求</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">安全核心伺服器不只是微軟推動資安產品的研發計畫，同時，也是一種功能，用戶可透過Windows Admin Center這樣的管理主控臺，實際去檢視目前所掌管的Windows Server，是否具備與啟用從硬體、韌體、虛擬層保護系統的能力。</span></strong></p> <p><span style="font-size:28px;"><strong>提升連線安全性，強化HTTPS/TLS、DNS、SMB協定加密傳輸</strong></span></p> <p>最初Windows Server之所以受到許多企業用戶歡迎，在於僅需透過圖形操作介面，就能輕鬆地架設各種網路服務，像是網站伺服器、檔案伺服器，因此，直到現在，基於微軟平臺的這些伺服器，仍在企業網路環境占有一席之地。</p> <p>而在最新發表的Windows Server 2022，也把連線安全性相關規格的強化，作為主打的重點特色。</p> <p><strong><span style="color:#B22222;">TLS 1.3</span></strong></p> <p>今年1月，美國國安局建議各界淘汰舊版TLS，改用1.2或1.3版TLS，而且要注意勿用安全性較弱的加密演算法，以及使用這些加密演算法的套件。現在Windows Server 2022也宣布支援TLS 1.3（即將上市的Windows 11也確定支援TLS 1.3），無論本身是作為個人端或伺服器端透過HTTPS進行存取時，系統均預設啟用，能夠保護個人端連至伺服器所存取的資料。</p> <p>使用TLS 1.3之後，可獲得比舊版TLS更高的安全性，而且，在交握的溝通上，僅需一次來回，通訊過程可縮短至幾毫秒，為了建立連線僅需1次來回（TLS 1.2需2次）；若是個人端曾經連至該網站，TLS 1.3的交握甚至不需要來回。如此一來，TLS 1.3的採用，將可大大提升HTTPS連線速度、降低反應延遲，進而提升網站用戶體驗。此外，TLS 1.3的加密處理能夠比TLS 1.2更早啟動，具有更好的傳輸機密性。</p> <p>值得注意的是，在網站伺服器的應用上，Windows Server 2022原生支援HTTP/3服務。基本上，這個新一代HTTP協定將同時考量到效能與安全性需求，採用QUIC作為傳輸協定，能夠避免傳輸層的隊頭阻塞（Head-of-line blocking），而且，QUIC需搭配TLS 1.3一起使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Sec-3-TLS%201_3%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>支援TLS 1.3，能加快建立網路連線的速度</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">在2018年定案的TLS 1.3版當中，提供更精簡的連線交握程序，Windows Server 2022支援這項協定之後，可縮短伺服器與個人端電腦加密連線建立的時間，進而提升網路存取速度。</span></strong></p> <p><span style="color:#B22222;"><strong>SMB AES-256加密</strong></span></p> <p>在檔案伺服器的存取上，微軟伺服器訊息區塊（SMB）協定的資安漏洞屢屢被盯上，因此，Windows Server 2022也特別在網路安全的部分，增添更多相關的防護機制。</p> <p>首先，是新增SMB AES-256加密。微軟在最新推出的Windows Server 2022，以及Windows 11，針對SMB（3.1.1）的網路傳輸加密處理上，增加兩個加密套件，分別是：AES-256-GCM、AES-256-CCM。當電腦連至另一臺支援此項機制的電腦時，微軟作業系統會自動交涉處理這套進階加密方式；同時，上述的加密方式，也可經由群組原則強制指派，套用到電腦與伺服器。</p> <p>在此之前，微軟是在Windows 2016與Windows 10（1607版）的SMB 3.1.1，提供AES-128-CCM與AES-128-GCM，如今Windows Server 2022推出之後，也將繼續支援這兩組加密套件，預設使用AES-128-GCM。</p> <p><span style="color:#B22222;"><strong>SMB Direct加密</strong></span></p> <p>針對微軟伺服器面臨的大量檔案存取的工作負載，如Storage Spaces Direct、Storage Replica、Hyper-V、Scale-out File Server、SQL Server，微軟從Windows Server 2012，就提供SMB直接傳輸機制，稱為SMB Direct，它能運用支援RDMA功能的網路卡，提供低延遲、全速、且僅占用少量處理器資源的網路傳輸能力，能讓存取遠端檔案伺服器，近似在本機伺服器存取。</p> <p>而在Windows Server 2022提供的SMB Direct，開始支援加密傳輸保護。在此之前。若啟用SMB加密，就會停用資料直接置放機制，使得RDMA的傳輸效能如同使用TCP傳輸般緩慢，而現在之所以不會發生上述狀況，主要是因為資料會在置放之前就予以加密，因此，若使用AES-128與AES-256加密來保護封包隱密性時，不會導致存取效能大幅降級的狀況。</p> <p><span style="color:#B22222;"><strong>SMB over QUIC</strong></span></p> <p>在既有的標準版與資料中心版之外，Windows Server 2022增加了另一個版本，名為Datacenter: Azure Edition，而這個版本與資料中心版唯一的差異，也是Windows Server 2022新增的功能之一：SMB over QUIC。</p> <p>顧名思義，支援這項機制的Windows電腦，可運用QUIC協定來進行SMB檔案傳輸，而不再經由傳輸效率差的TCP協定。若以這種方式搭配TLS 1.3加密傳輸，使用者與應用程式可以透過安全、可靠的方式，存取在Azure雲端環境執行的邊緣檔案伺服器。</p> <p>基於這樣的架構，行動工作者與遠距工作者不再需要透過VPN的加密連線，也能憑藉Windows電腦、SMB協定，安全、快速存取檔案伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Sec-4-SMB%20QUIC%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>新增SMB over QUIC，可實現無需VPN的安全檔案存取</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">QUIC是多家IT廠商相當看好的傳輸層網路協定，微軟現在將這項技術引入SMB檔案存取當中，結合TLS 1.3加密協定之後，希望能夠提供兼具高速傳輸、安全特性的遠端檔案存取服務，而不需繼續仰賴TCP與VPN加密連線來實現。</span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/windows-server-2022">Windows Server 2022</a></div><div class="field-item even"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8os">伺服器OS</a></div><div class="field-item odd"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item even"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8%E9%9F%8C%E9%AB%94">伺服器韌體</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8">網路安全</a></div><div class="field-item even"><a href="/tags/tpm-20">TPM 2.0</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E9%AB%94%E9%98%B2%E8%AD%B7">韌體防護</a></div><div class="field-item even"><a href="/tags/drtm">DRTM</a></div><div class="field-item odd"><a href="/tags/%E8%99%9B%E6%93%AC%E5%8C%96%E9%98%B2%E8%AD%B7">虛擬化防護</a></div><div class="field-item even"><a href="/tags/vbs">VBS</a></div><div class="field-item odd"><a href="/tags/%E5%8A%A0%E5%AF%86%E5%82%B3%E8%BC%B8">加密傳輸</a></div><div class="field-item even"><a href="/tags/tls-13">TLS 1.3</a></div><div class="field-item odd"><a href="/tags/smb-aes-256">SMB AES-256</a></div><div class="field-item even"><a href="/tags/smb-over-quic">SMB over QUIC</a></div></div></div>
2021/10/6 07:00作者李宗翰https://www.ithome.com.tw/tech/147018
擴大混合雲，微軟提升管理與容器能耐
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ws22-hybrid-1arc_servertu_pian_lai_yuan_wei_ruan_.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回首前塵，為了持續實現雲端作業系統的願景，Windows Server近十年來的改版，都在因應微軟混合雲架構與戰略的相關布局，而在最新推出的Windows Server 2022當中，微軟也增添多種功能，讓企業更容易將資料中心延伸至Azure公有雲服務範圍之內。</p> <p>這當中，包含了對於Azure Arc架構的支援，以及眾人期待已久的熱修補（Hotpatch），而在Windows Container的技術應用上，也提供多種強化機制，增加微軟應用程式平臺的可用性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Hybrid-2%20Hotpatch%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>微軟展示熱修補使用差異</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">免重新開機、可即時套用更新修補程式的功能，是Windows Server用戶夢寐以求的特色，微軟終於在Windows Server 2022當中的特定版本提供，甫於9月舉行的Windows Server Summit的主題演講，也有相關的示範。</span></strong></p> <p><span style="font-size:28px;"><strong>新增多種管理功能，減輕維運微軟伺服器系統的負擔</strong></span></p> <p>當Windows Server能夠支援越來越多類型的使用場景，角色扮演日益吃重，要做好相關管理作業的挑戰，也日益變得艱鉅，同時，還要協助實現微軟下一代混合雲架構，Windows Server 2022改版顯得至關重要，在這個新版本當中，微軟增設或改良了下列特色：</p> <p><span style="color:#B22222;"><strong>Azure Arc-enabled servers</strong></span></p> <p>微軟在2020年9月正式推出Azure Arc enabled servers，用戶可透過Azure portal管理Windows伺服器與Linux伺服器，無論是實體狀態或虛擬狀態、位於單雲或多雲環境，處於資料中心的核心或邊緣，均可納入管理，當中結合了Azure旗下多種管理服務。</p> <p>而今年上市的Windows Server 2022，果然支援Azure Arc enabled servers，用戶在管理這些伺服器系統時，就如同在Azure公有雲環境管理虛擬機器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WS22-Hybrid-1Arc%20Server%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 16px;">圖片來源／微軟</span></p> <p><span style="color: rgb(51, 153, 255);"><strong>支援Azure Arc混合雲架構</strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);">響應微軟近年來積極發展的Azure Arc混合雲架構，9月剛出爐的Windows Server 2022與多種Linux作業系統，均可納入當中管理，無論這些系統是否設置在Azure公有雲環境，用戶都能透過Azure portal來統籌管理所有的伺服器。</span></strong></p> <p><span style="color:#B22222;"><strong>Hotpatch</strong></span></p> <p>在2015年，Linux核心4.0版納入線上核心修補（Kernel Live Patching），這樣免重新開機就能套用修補程式的功能，看在其他系統平臺業者眼裡，相當羨慕。</p> <p>經過多年等待，微軟終於要在Windows Server提供類似的功能。這項機制名為Hotpatch，目前附屬於Azure Automanage，主要適用對象是執行Windows Server Azure Edition的新設虛擬機器，這些系統若要安裝更新程式或修補程式，無需在安裝後重新開機，就能套用。若企業想要使用Hotpatch，目前需購買Windows Server 2022 Datacenter: Azure Edition才能取得。</p> <p><span style="color:#B22222;"><strong>強化容器可用性</strong></span></p> <p>容器與Kubernetes是當前IT顯學，以後者而言，微軟在2018年6月推出Azure Kubernetes Service（AKS），以公有雲服務的形式提供；今年5月AKS on Azure Stack HCI也正式登場，透過超融合基礎架構平臺來提供Kubernetes環境。</p> <p>而在容器的部分，微軟從Windows 10與Windows Server 2016開始，就提供Windows Container，以改善效能與簡化網路管理作為訴求；到了Windows Server 2019，主打改善身分認證整合、提升應用程式相容性、縮減容器映像大小與開機時間，以及可透過Windows Admin Center管理個別容器等特點。</p> <p>時至今日，在最新推出的Windows Server 2022，微軟繼續改善Windows Container的應用程式相容性，以及與Kubernetes搭配的操作體驗；同時容器映像也繼續瘦身之路，縮減比例達到40％，容器的啟動時間加快了30％，執行效能也提升了。</p> <p>同時，Windows Container在容器主機不加入網域的狀態下，也能運用Azure Active Directory，搭配群組列管服務帳號（group Managed Services Accounts，gMSA）來執行應用程式。此外，Windows Container也支援兩種微軟作業系統常見的應用程式通訊技術：微軟分散式交易控制（MSDTC），以及微軟訊息佇列（MSMQ）。</p> <p>若以Windows Container搭配Kubernetes時，微軟現在也提供多種簡化操作的方式，例如，IPv6協定，針對節點組態設置，支援主機－處理程序的容器，以及以運用Calico網路安全解決方案實作的網路政策。</p> <p>在平臺本身的改善上，微軟Windows Admin Center管理主控臺更新之後，可協助簡化.NET應用程式的容器化工作，當應用程式置入容器當中之後，我們可以將這樣的容器映像，放置到Azure Container Registry容器映像登錄服務，接著，可將這樣的容器部署到其他Azure服務上使用。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/windows-server-2022">Windows Server 2022</a></div><div class="field-item even"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8os">伺服器OS</a></div><div class="field-item odd"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item even"><a href="/tags/%E6%B7%B7%E5%90%88%E9%9B%B2">混合雲</a></div><div class="field-item odd"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item even"><a href="/tags/k8s">K8s</a></div><div class="field-item odd"><a href="/tags/kubernetes">Kubernetes</a></div></div></div>
2021/10/6 07:00作者李宗翰https://www.ithome.com.tw/tech/147019
微軟新版伺服器OS登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1045-feng_mian_gu_shi_open-960x420_gong_zuo_qu_yu_1.jpg?itok=boDx34Av" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對私有雲、公有雲、混合雲及邊緣運算機房的應用需求，微軟9月最新發布的Windows Server 2022首重資安防護，改善伺服器韌體與網路安全，在容器與K8s這類雲端原生應用的支援上，也增添更多實用功能。</p> </div></div></div>
2021/10/6 07:00作者李宗翰https://www.ithome.com.tw/article/147020
勒索軟體Atom Silo透過協作平臺Confluence入侵組織，並企圖防礙防毒軟體運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>團隊協作平臺Confluence的重大漏洞CVE-2021-26084，Atlassian甫於8月底修補完成，9月初就傳出遭到攻擊者利用，<a href="https://www.ithome.com.tw/news/146555">美國當局因此提出警告</a>，呼籲用戶要儘速修補Confluence伺服器，不久之後，又有資安研究人員提出新發現：<a href="http://www.bleepingcomputer.com/news/security/atlassian-confluence-flaw-actively-exploited-to-install-cryptominers/">攻擊者已利用含有漏洞的Confluence來挖礦牟利</a>（其中，<a href="https://www.ithome.com.tw/news/146611">持續整合（CI）工具Jenkins證實他們已棄用的協作平臺伺服器受害</a>）。</p> <p>現在，此項漏洞也被勒索軟體駭客盯上。<a href="https://news.sophos.com/en-us/2021/10/04/atom-silo-ransomware-actors-use-confluence-exploit-dll-side-load-for-stealthy-attack/">資安業者Sophos於10月4日</a>，揭露自9月中旬出現的Atom Silo勒索軟體攻擊行動，而在這起事故中，攻擊者入侵受害組織的管道，就是藉由上述的Confluence漏洞，再橫向感染其他處於相同區域網路的電腦。</p> <p>關於Atom Silo的特徵，Sophos表示，它與<a href="https://www.ithome.com.tw/news/146406">LockFile</a>幾乎相同，但攻擊者運用了一些新手法，而使得調查極為困難，例如，攻擊者使用側載惡意動態程式庫的方式，來中斷Sophos端點防毒軟體的運作。</p> <h2><strong>透過協作平臺漏洞入侵，植入後門程式</strong></h2> <p>關於此次勒索軟體的攻擊，是發生在9月24日，但其實駭客在9月13日，就攻擊受害組織的Confluence伺服器，侵入管道是物件圖導航語言（Object Graph Navigation Language，OGNL）注入漏洞CVE-2021-26084，對方經由程式碼注入攻擊而在受害者系統上形成了後門，使得攻擊者後續能夠下載作案工具並執行。</p> <p>除了上述漏洞產生的後門，攻擊者透過惡意酬載於Confluence伺服器上，植入第2個後門程式──這個後門由3個檔案組成，其中一個為具有合法簽章的可執行檔案，攻擊者用來側載惡意DLL程式庫。</p> <p>而這個惡意DLL檔案的啟動方式，是被冒充為可執行檔案所需的程式庫，與可執行檔案存放於相同的資料夾，以便讓可執行檔案運作時存取，這種手法被稱為DLL搜尋順序挾持（DLL Search Order Hijacking）。</p> <p>至於該惡意檔案的作用，是讀取最後一個檔案mfc.ini，來解密並載入後門。</p> <p>上述DLL載入的惡意程式碼內容，會使用TCP/IP的80連接埠，存取1個中繼站的主機名稱，程式碼一旦載入，攻擊者就能透過Windows管理介面（WMI），遠端執行Shell命令。接下來，駭客可以開始橫向移動，並在5個小時內入侵數臺伺服器。</p> <h2><strong>利用核心驅動程式與駭客工具，讓防毒軟體無法正常運作</strong></h2> <p>前述入侵工作完成之後，攻擊者一直到了9月24日，才再度行動。他們開始探索受害組織的重要伺服器，並遠端操作RClone軟體，將資料到外洩到攻擊者持有的雲端檔案同步服務（特定Dropbox使用者帳號的雲端儲存空間）。</p> <p>等到資料傳輸完成，他們便將勒索軟體Atom Silo的相關檔案，上傳到網域控制器，再藉由群組原則的套用，感染網域裡的所有電腦。而在啟動勒索軟體之前，攻擊者也利用核心驅動程式檔案drv64.dll，來干擾受害電腦安裝的Sophos防毒軟體運作，並且停用Sophos的檔案掃描服務。</p> <p>那麼，若是端點偵測與反應系統（EDR）遇到這個惡意軟體，又會是如何呢？Sophos表示，雖然他們的端點防護軟體Intercept X，能透過CryptoGuard功能偵測到勒索軟體，但攻擊者會接著發動第2波攻擊，將第2個攻擊執行檔，植入Windows的使用者桌面資料夾，使得防護遭到破壞，並且再度更新群組原則來執行Atom Silo。</p> </div></div></div>
2021/10/5 23:45作者周峻佑https://www.ithome.com.tw/news/147102
替電信業者提供技術服務的Syniverse遭入侵，235家客戶被波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱是全球電信業者後端骨幹的Syniverse，<a href="https://www.sec.gov/Archives/edgar/data/1839175/000119312521284329/d234831dprem14a.htm" target="_blank">在本周提交給美國證券委員會（SEC）的14A文件中披露</a>，該公司在今年5月察覺一起駭客行動，駭客從2016年5月起便多次入侵該公司的電子資料傳輸（Electronic Data Transfer，EDT）環境，並存取其資料庫，估計有235家客戶受到波及，且時間長達5年之久。</p> <p>Syniverse的客戶分為兩種，其一為電信業者，在全球有800家客戶，其次則是大型企業與技術業者，擁有450家客戶。根據Syniverse的說法，該公司幾乎替全球每一家行動網路營運商提供服務，主要的服務內容包括全球網路服務、委外電信業者解決方案，以及傳訊解決方案，協助全球行動網路營運商進行全球的連結與傳訊。</p> <p>其全球網路連結了800家行動網路營運商，每年傳送超過3.3EB的資料量，是全球許多電信服務的骨幹，包括啟用、身分認證、授權使用者的行動活動、資料傳輸，以及即時政策管理等。</p> <p>至於針對大型企業所提供的解決方案，則是協助它們解決雲端通訊及全通路行動交流的需求，幫它們連至行動生態體系。</p> <p>Syniverse在文件中指出，駭客自2016年5月便擅自進入該公司的網路，多次存取其資料庫，駭客所使用的憑證也能進入其電子資料傳輸環境，殃及235家客戶。Syniverse並未公布這235家客戶的屬性，也未直接說明外洩的資料內容，僅說這類的攻擊行為可能外洩客戶資料、客戶機密資訊、Syniverse商業機密，或是Syniverse員工個人資料。</p> <p>Syniverse尚未發現自己或客戶的營運受到此一駭客事件的破壞，駭客亦未企圖藉由此一事件獲利，但不確定未來是否會發生。</p> <p>至於<a href="https://www.vice.com/en/article/z3xpm8/company-that-routes-billions-of-text-messages-quietly-says-it-was-hacked" target="_blank">《Motherboard》</a>則引用一名曾負責EDT系統的Syniverse前員工說法，表示該系統存放了所有型態的通話紀錄，包括通話時間、雙方的電話號碼與所在位置，以及簡訊內容等。</p> <p><a href="https://www.syniverse.com/news-and-events/syniverse-merger-with-m3-brigade-acquisition-ii-corp" target="_blank">Syniverse甫於今年8月宣布</a>，將透過與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）M3-Brigade Acquisition II Corp合併，以登上美國紐約股市。關於遭駭一事，不管是Syniverse或美國電信業者皆未回應媒體的詢問。</p> </div></div></div>
2021/10/5 14:40作者陳曉莉https://www.ithome.com.tw/news/147076
Amazon推出新服務：只要提供對方電話與電子郵件帳號就能送禮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/retail/amazons-new-mobile-shopping-feature-makes-gifting-convenient" target="_blank">Amazon本周宣布</a>，即日起將針對美國的Prime會員提供一項送禮服務，Prime用戶只要透過行動裝置上的Amazon Shopping程式選好禮物，就能請Amazon代為送禮，而且只需填入對方的電話號碼或電子郵件帳號。</p> <p>當Prime用戶在Amazon Shopping發現適合好友的禮物時，把它加入購物車之後，選擇「添增禮物收據以方便退貨」之後就能結帳，繼之要選擇遞送地址時，則可選擇「讓接收者提供地址」，之後只要輸入接收者的電話號碼或電子郵件帳號，Amazon就會代為傳達。</p> <p>Amazon會透過簡訊或電子郵件通知接收者，告知他們即將獲得禮物，並請對方提供適合收件的地址。</p> <p>在美國的禮物收據（Gift Receipt）有個好處，就算是在實體店面，若接收者覺得這個禮物不是自己想要的，就可拿著禮物收據去商店換成自己想要的商品，而Amazon亦允許接收者將禮物換成等值的Amazon禮物卡，讓他們能購買自己想要的禮物，且不會特別通知送禮的人。</p> <p>這項服務目前只適用於美國的Prime用戶，Amazon並未提及是否會將該服務拓及其它市場。</p> </div></div></div>
2021/10/5 14:49作者陳曉莉https://www.ithome.com.tw/news/147077
全球第三大半導體製造商GlobalFoundries提出IPO申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球第三大半導體製造商格羅方德（GlobalFoundries）本周向美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/0001709048/000119312521290644/d192411df1.htm#rom192411_2" target="_blank">遞交了首次公開發行股票（IPO）申請書</a>，準備以GFS為交易代號登上那斯達克（Nasdaq）股市。</p> <p>格羅方德是在2009年從AMD製造部門拆分的半導體製造商，現在的所有人則是Mubadala Investment Company。根據Statista今年第二季的資料，它是全球第三大半導體製造商，不過它的市占率只有6.1%，因為第一名的台積電占了52.9%，第二名的三星也有17.3%。</p> <p>格羅方德在文件中則引用Gartner今年3月的數據指出，2020年全球半導體的營收中，有超過7成是來自臺灣的台積電、聯電，及中國的中芯，認為這樣的趨勢不僅造成了貿易的失衡與爭議，也讓全球的供應鏈面臨重大風險，包括地緣政治的風險，使得美國與歐洲政府愈來愈關注半導體供應鏈，以避免太過仰賴臺灣或中國的業者。</p> <p>格羅方德更強調，當半導體生產集中於諸如臺灣等資源有限的島嶼上時，容易受到自然災害及地緣政治緊張局勢的影響，亦使全球供應鏈面臨重大風險，由於現今的半導體重要性已等同於20世紀的石油，這些不平衡已讓各國視為對經濟及國家安全的威脅。</p> <p>格羅方德的說詞並非空穴來風，近來因為晶片短缺的問題，<a href="https://www.ithome.com.tw/news/143423" target="_blank">英特爾已於今年3月成立晶圓代工服務事業群</a>，打算爭取晶圓代工服務，而美國議員Chuck Schumer則在5月中旬提出了《2021年美國創新與競爭法案》（<a href="https://www.ithome.com.tw/news/144638" target="_blank">U.S. Innovation and Competition Act of 2021</a>），打算撥款520億美元以支持美國境內的半導體生產，緩解美國與全球的半導體供應不足問題。</p> <p>根據格羅方德於文件中所公布的財務資訊，該公司在2018年的營收為62億美元，2019年為58億美元，2020年為49億美元，營收逐年減少，而這三年的虧損卻日益增加，分別虧損了4.5億美元、5.3億美元與7.1億美元。</p> </div></div></div>
2021/10/5 15:04作者陳曉莉https://www.ithome.com.tw/news/147078
臉書公布肇事原因：配置錯誤造成大當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Facebook、Instagram與WhatsApp<a href="https://www.ithome.com.tw/news/147073" target="_blank">在經歷了7個小時的服務中斷</a>之後，負責工程與基礎架構的臉書副總裁<a href="https://engineering.fb.com/2021/10/04/networking-traffic/outage/" target="_blank">Santosh Janardhan公布了約略的肇事原因</a>，指出是因為錯誤的配置變更才釀成了災情。</p> <p>Janardhan表示，工程團隊在追查之後發現，用來協調資料中心之間網路流量的骨幹路由器的配置變更，是造成通訊中斷的主因，它帶來了連鎖效應，波及了臉書的各項服務。他們認為真正的原因是配置變更錯誤所造成，也無證據顯示有任何使用者資料受到危害。</p> <p>Janardhan坦承，此一配置變更錯誤不僅影響Facebook、Instagram與WhatsApp等臉書服務，還牽連到臉書團隊每天使用的內部工具與系統，增加了該團隊快速診斷及解決問題的難度。</p> <p>根據《紐約時報》的報導，這起意外讓臉書內部的安全系統、內部行事曆、調度工具、通訊平臺Workplace及數位員工證都失效，使得員工無法以工作手機打電話，亦不能接收來自外部的電子郵件。</p> </div></div></div>
2021/10/5 15:13作者陳曉莉https://www.ithome.com.tw/news/147079
微軟正式部署Windows 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2021/10/04/windows-11-a-new-era-for-the-pc-begins-today/" target="_blank">微軟宣布</a>，Windows 11在10月5日正式開放全球Windows 10用戶免費升級，同一天使用者也可於市場上買到內建Windows 11的裝置，包括 ASUS、HP、聯想與Surface品牌，而Acer、Dell與三星也很快就會推出Windows 11裝置。</p> <p>微軟說明，使用者取得最新Windows 11的管道包括：直接購買預裝Windows 11的新裝置，購買可免費升級到Windows 11的Windows 10裝置，或者是執行電腦健康情況檢查應用程式（PC Health Check app），來判斷正在使用的Windows 10，是否符合免費升級的最低硬體需求。</p> <p>負責Windows服務與遞送的<a href="https://blogs.windows.com/windowsexperience/2021/10/04/how-to-get-windows-11/" target="_blank">微軟副總裁John Cable表示</a>，針對從Windows 10升級到Windows 11的用戶，微軟的目標是提供流暢的升級體驗，因此將會率先升級那些符合條件的新裝置，事實上微軟自10月4日起就已開始邀請合格裝置進行升級。</p> <p>微軟也建議Windows 10用戶最好等到Windows Update的通知才展開升級，不過，要讓所有符合最低硬體需求的Windows 10裝置全部升級到Windows 11，全部升級完畢的時間點估計會落在明年中。</p> <p><a href="https://www.microsoft.com/zh-tw/windows/windows-11#pchealthcheck" target="_blank">Windows 11的最低系統需求</a>包括1GHz以上的至少雙核心64位元處理器、4GB記憶體及64GB以上的可用儲存空間等，此外，使用者也可下載電腦健康情況檢查程式，來查看電腦的硬體設備是否符合升級資格。</p> <p>微軟並不鼓勵不符合最低系統需求的Windows 10電腦升級到Windows 11，因為它可能會帶來相容性的問題而造成電腦故障，且就算使用者硬是升級了，微軟亦無法保證該裝置能夠接收更新，包括安全更新在內。</p> <p>此外，假設使用者在升級到Windows 11之後後悔了，微軟也提供10天的緩衝期，在10天內隨時可以透過設定來重返Windows 10，還可保留資料及檔案的完整性，若拖延到10天之後，使用者就必須備份自己的資料，並藉由全新安裝（clean install）才能返回Windows 10。</p> <p>Windows 11為Windows作業系統6年來最大的一次改版，<a href="https://www.ithome.com.tw/news/145242" target="_blank">它的主要變更</a>包括：介面變得更簡潔了，而且<a href="https://www.ithome.com.tw/news/145391" target="_blank">直接以Microsoft Teams作為Windows 11內建的聊天工具</a>，<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/introducing-chat-from-microsoft-teams-on-windows-11-for-your/ba-p/2809877" target="_blank">它在Windows 11中稱為Chat</a>，支援文字與視訊，但要求使用者必須建立微軟帳號才能使用。Chat與微軟原本所建立，供工作或教育使用的Microsoft Teams並不相同，因而無法共用同一個帳號。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/2/2021/10/Ashley-1024x576.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>Windows 11亦強調對多工與遊戲的支援，還能建立不同工作空間的客製化桌面，可賦予每個桌面獨有的桌布與名稱，並呈現不同的程式。</p> <p class="rtecenter"><img alt="" src="https://46c4ts1tskv22sdav81j9c69-wpengine.netdna-ssl.com/wp-content/uploads/prod/sites/2/2021/10/Shopping-2-1024x576.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_微軟</span></p> </div></div></div>
2021/10/5 12:39作者陳曉莉https://www.ithome.com.tw/news/147075
臉書、IG、WhatsApp全球服務中斷7小時，Cloudflare：可能是BGP惹的禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從臺北時間周二（10/5）凌晨12點20分左右，涵蓋<a href="https://twitter.com/Facebook/status/1445061804636479493" target="_blank">臉書</a>、<a href="https://twitter.com/InstagramComms/status/1445062531932835841" target="_blank">Instagram</a>與<a href="https://twitter.com/WhatsApp/status/1445060216161116168" target="_blank">WhatsApp</a>等臉書家族的服務同時中斷，且全球皆傳出災情，<a href="https://www.facebook.com/zuck/posts/10113957526871061" target="_blank">一直到早上7點多才逐步恢復正常</a>。剛恢復平穩的臉書尚未公布肇事原因或是影響規模，<a href="https://blog.cloudflare.com/october-2021-facebook-outage/" target="_blank">Cloudflare則猜測</a>，很可能是BGP惹的禍。</p> <p><a href="https://investor.fb.com/investor-news/press-release-details/2021/Facebook-Reports-Second-Quarter-2021-Results/" target="_blank">根據臉書今年第二季的財報</a>，臉書家族的每日用戶數為27.6億，每月用戶數則達35.1億，顯示全球有接近一半的人口至少使用了其中一項服務。</p> <p>該平台的故障不僅影響一般的臉書用戶，也影響了其它透過Facebook Login登入的應用。</p> <p>此外，<a href="https://www.nytimes.com/2021/10/04/technology/facebook-down.html" target="_blank">根據《紐約時報》的報導</a>，這次的意外還波及到臉書內部的系統與工具，包含安全系統、內部行事曆、調度工具及內部通訊平台Workplace；員工不僅無法以工作手機打電話，也不能接收來自外部的電子郵件；有些員工甚至因為他們的數位員工證也失效了，而無法進入辦公大樓；另也派出一隊員工到資料中心，打算重啟伺服器。</p> <p>雖然臉書的反應很迅速，但似乎都無濟於事，在當機發生的3個半小時之後，<a href="https://twitter.com/schrep/status/1445114730151043073" target="_blank">臉書技術長Mike Schroepfer透過Twitter表示</a>，臉書遭遇了網路問題，團隊正在努力除錯與回復服務。</p> <p>根據<a href="https://status.fb.com/" target="_blank">Facebook for Business</a>今天早上9點更新的狀態，臉書的廣告管理工具與Graph API，皆仍處於故障的狀態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Facebook%20for%20Business%20Status%201005%200904.png" style="width: 600px;" /></p> <p>雖然臉書並未公布當機原因，不過CDN暨安全服務供應商Cloudflare說話了，當他們查詢臉書DNS卻發現「服務失敗」（SERVFAIL）的回應時，原本以為是自己的DNS解析器1.1.1.1出錯了，正要張貼公告時，才知道不只是臉書，連WhatsApp與Instagram都當機了，它們的DNS名稱都停止解析，基礎架構的IP亦無法存取，彷彿像是有人把資料中心的所有線都拔掉了，使得它們同時從網路上消失。</p> <p>Cloudflare認為，造成Facebook、Instagram與WhatsApp同時消失最有可能的因素是BGP。</p> <p>BGP的全名為邊界閘道協定（Border Gateway Protocol），是全球網路自治系統（Autonomous System）之間用來交換路徑資訊的機制，這些讓網路得以運作的大型路由器不斷更新所有可能的路徑列表，以將每一個網路封包傳送到最終目的，少了BGP，路由器便不知自己該做什麼，全球網路亦無法運作。</p> <p>Cloudflare說明，全球網路其實是由不同網路組成的一個大型網路，BGP扮演綁定它們的角色，它允許一個網路（如Facebook）向其它網路宣告自己的存在，在此次的事件中，Facebook並未宣告自己的存在，使得不論是ISP業者或其它網路都無法發現Facebook，因而無法存取。</p> <p>每個AS會有自己的號碼（ASN），也會有統一的內部路由政策，AS可以產生前綴（控制一組IP位址），也能傳輸前綴（如何存取特定的IP群），每一個ASN都必須透過BGP向全球網路宣告自己的前綴路由，否則其它人就無法發現或連結。</p> <p>但今天凌晨Cloudflare卻注意到Facebook不再發布其DNS前綴的路由，這至少代表Facebook的DNS伺服器停擺了，也讓1.1.1.1 DNS解析器無法再回應針對Facebook或Instagram的IP位址查詢。而且不只是1.1.1.1，Google的8.8.8.8或其它的公共DNS也都找不到Facebook、Instagram與WhatsApp。</p> <p>其實Cloudflare在臉書家族當機的五個多小時之後，就重新在1.1.1.1上看到Facebook了，但要回到全球網路還需要多一點時間。</p> </div></div></div>
2021/10/5 11:09作者陳曉莉https://www.ithome.com.tw/news/147073
GitLab發現子交易語法可能使PostgreSQL資料庫出現停頓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/blog/2021/09/29/why-we-spent-the-last-month-eliminating-postgresql-subtransactions/">GitLab</a>在去年6月的時候，發現GitLab.com出現不尋常的停頓，經過調查才知道，在資料庫PostgreSQL中，透過SAVEPOINT SQL查詢起始子交易，則正在進行中的長交易（Long Transaction），有可能會對資料庫的副本產生嚴重效能衝擊。</p> <p>只所以會發現這個問題，是GitLab觀察到CI/CD Runner服務偶而會出現高錯誤率，用來檢索CI/CD建置資料的資料庫查詢發生超時的狀況，並且未處理的建置積壓迅速成長。</p> <p>而這個問題難以調查的程度，官方將其稱之為Nessie，意思是這個問題就像是尼斯湖水怪一樣，無法預測出現的時機。官方提到，資料庫查詢停滯的情況隨機出現，而且停頓可能持續15分鐘後就消失，幾天後才會再出現。</p> <p>資料庫停頓伴隨一些模式，GitLab發現只有資料庫副本會受到影響，主要資料庫運作正常，在發生停頓期間，通常有一個長時間執行的交易正在進行，通常和PostgreSQL自動清理有關，只要長交易結束，停頓也會迅速停止。經過了長時間的調查，以及諸多假設與驗證，GitLab終於發現並且能夠重現這個問題。</p> <p>官方稱這個問題為Subtrans SLRU溢位，肇因是忙碌的資料庫，可能使子交易日誌的大小，龐大到工作集無法存在記憶體中，這將導致大量快取未命中，進而造成大量磁碟I/O和CPU負載，因為PostgreSQL會瘋狂地嘗試從磁碟中載入資料，以符合查詢使用。官方提到，只要在長交易間，有一個SAVEPOINT出現，就會造成這個問題。</p> <p>在PostgreSQL中，交易從 BEGIN語句啟動，而SAVEPOINT則是開始子交易，官方舉例解釋需要使用SAVEPOINT的理由，當消費者在線上商店下訂單，意外地同時有兩筆訂單抵達資料庫，要讓資料庫不因為重複建立帳戶，導致其中一筆訂單失敗，而是希望可以在訂單直接使用該帳戶，開發者便能以SAVEPOINT來進行子交易，先進行查詢，使用剛剛建立的帳戶並且完成訂單。</p> <p>要解決Nessie資料庫停頓問題有三個選擇，完全消除SAVEPOINT的呼叫、消除所有長時間執行的交易，或是在PostgreSQL加入應急修補程式。GitLab先選擇方案一，消除SAVEPOINT的呼叫來解決這個問題。官方提到，消除資料庫的長交易不切實際，而且許多長交易是資料庫的自動清理，要從這方面下手，需要花費過多的時間精力。</p> <p>而官方同時也在考慮對PostgreSQL安裝修補程式，但是安裝修補程式有許多需要考量的點。修補程式雖然能夠藉由增加快取到100 MB，來解決SAVEPOINT的問題，但是快取達100 MB，會讓搜尋成本變高。</p> <p>問題不只如此，當使用了應急修補程式，便會使得GitLab所使用的PostgreSQL成為非官方版本，這會大幅增加基礎設施團隊的維護成本，而且自我託管的用戶也必須安裝修復程式，才能解決問題。</p> <p>官方目前選擇成本最低的方案，消除SAVEPOINT的呼叫，來避免Nessie問題，而GitLab在刪除SAVEPOINT之後，也就沒有再遭遇到資料庫停頓的狀況，GitLab提到，他們建議所有PostgreSQL的使用者，要執行唯讀副本的PostgreSQL，也應該刪除所有子交易，避免遇到Nessie問題。</p> </div></div></div>
2021/10/5 09:38作者李建興https://www.ithome.com.tw/news/147060
美百貨業者Neiman Marcus遭駭，逾430萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國奢華百貨業者Neiman Marcus近日通報去年系統遭入侵，造成超過430萬客戶資訊外洩。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/9c04b285-0451-4660-9c14-7616913def24.shtml" target="_blank">根據Neiman Marcus向緬因州法務長辦公室遞交的文件</a>，2020年5月公司發生外部系統入侵，即駭客事件，使敏感資訊遭非授權人士存取。受到影響的顧客達到4,354,346人。</p> <p>Neimen Marcus已經在9月30日以電子郵件通知受影響的顧客。根據郵件內容，遭存取的資訊包括顧客姓名、聯絡資訊、信用卡號碼、到期日，以及Neiman Marcus 的線上帳號、密碼與安全問題、虛擬禮品卡號等。但這家百貨業者強調信用卡安全碼沒有外洩，且85%以上受影響的支付卡及虛擬禮品卡都是過期或無效的。</p> <p>Neiman Marcus目前正在偕同外部資安業者調查此事，同時已對2020年9月之後未變更密碼的顧客帳號進行變更。這家百貨業者呼籲顧客儘速變更與該公司帳號使用相同信用卡的其他帳號資訊。</p> <p><a href="https://www.reuters.com/business/retail-consumer/neiman-marcus-says-notified-46-mln-customers-about-data-breach-2021-09-30/" target="_blank">路透社報導</a>Neiman Marcus的子公司Bergdorf Goodman百貨及購物網站Horchow帳號，則未受此次事件波及。</p> <p><a href="https://www.ithome.com.tw/news/84760" target="_blank">Neiman Marcus 2014年也曾發生被駭</a>，為數不詳的客戶信用卡遭到盜刷。<a href="https://www.ithome.com.tw/news/85496" target="_blank">隨後的調查顯示</a>，駭客潛伏活動曾觸發過該公司安全系統警報高達6萬次，卻未被Neiman Marcus發現。</p> </div></div></div>
2021/10/5 09:57作者林妍溱https://www.ithome.com.tw/news/147071
Google更新N2D VM使用第三代AMD EPYC處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/3rd-gen-amd-epyc-comes-to-compute-engine-n2d-machine-family">Google更新Compute Engine類型N2D</a>，採用最新的第三代AMD EPYC處理器，Google提到，和使用前一代的AMD EPYC處理器的N2D相比，最新的N2D增加30％的性價比，原本就在使用N2D機器的用戶，只要變更CPU平臺選項，就能夠用到更新的硬體。</p> <p>由於使用第三代AMD EPYC處理器，因此N2D可以提供更多的功能和選項，像是支援224個vCPU以及896 GB的記憶體，並且可以執行需要更多執行緒的工作負載，Google提到，他們除了在公有雲通用機器類型中，提供最多vCPU數量的單個虛擬機器，N2D還提供非常多元的虛擬機器規格，有高CPU和記憶體的選項，以及自定義機器類型，用戶可以根據工作負載需求調整大小。</p> <p>另外，N2D虛擬機器還支援Google最近推出的100 Gbps高頻寬網路，以滿足用戶高吞吐量工作負載的需求。在儲存方面，N2D支援持久磁碟和高達9 TB的本地端SSD。N2D也可作為單租戶節點，用來執行需要符合法規要求的工作負載。N2D適用於各種通用工作負載，像是運作網頁、應用程式服務，或是資料庫等</p> <p>GKE也開始支援使用第三代AMD EPYC處理器的N2D，用戶在GKE節點池中，選擇N2D機器類型，現在也可以透過指定CPU平臺，將最新的N2D虛擬機器添加到GKE叢集中。</p> <p>Google還預告，N2D虛擬機器還將支援機密運算。官方提到，機密運算的目的是要保護正在使用的資料，包括對記憶體中正在處理的資料進行加密，供用戶執行敏感應用程式和服務。</p> <p>搭載第三代AMD EPYC處理器的N2D價格與上一代相同，目前已經於北美和歐洲推出，亞洲則是先在新加坡asia-southeast1上線，在接下來數個月會陸續在其他Google雲端地區推出。</p> </div></div></div>
2021/10/5 10:02作者李建興https://www.ithome.com.tw/news/147061
Google雲端發布語音身分驗證服務Speaker ID
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端正式發布語音身分辨識服務<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-announces-speaker-id">Speaker ID</a>，該服務可被用在既有的語音客服中，替代比對個人資訊的身分驗證方法，來電者可以完全使用語音來進行身分驗證，藉以提升來電者的體驗。</p> <p>撥打電話仍是目前許多消費者偏好的客服聯絡方式，但是由於企業為了提供個人化的服務，來電者需要通過繁瑣的身分驗證流程，被要求提供個人資訊進行驗證，Google提到，這對於消費者帶來極大的不便，降低查詢解決問題的速度，也浪費客服的時間。</p> <p>而Speaker ID可以讓來電者，透過電話使用自己的聲音進行身分驗證，Speaker ID使用機器學習語音辨識技術，可以識別和驗證來電者。</p> <p>Speaker ID由註冊和驗證兩部分組成，來電者第一次使用Speaker ID需要先註冊，註冊會從客服原有的身分驗證流程開始，之後由來電者提供簡短的語音樣本，之後便可以替代舊流程，使用語音快速通過驗證。</p> <p>Speaker ID可以在用戶通過註冊之後，使用最短3秒鐘的語音片段進行驗證，不需要特定密碼短語，只要說出任何語句都能通過驗證。</p> <p>Speaker ID也與Google雲端上的客服中心人工智慧（CCAI）平臺整合，因此可以將註冊和驗證流程，加入到代理設計服務Dialogflow CX中，並且配置Dialogflow CX代理執行被動驗證，這讓企業可以在來電者和代理原有的互動流程中，加入Speaker ID來驗證身分，不需要提示來電者說出特定短語，就能完成驗證。</p> </div></div></div>
2021/10/5 10:08作者李建興https://www.ithome.com.tw/news/147070
Zero Trust Cybersecurity Current Trends
<div class="field field-name-field-cover field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/whitepaper_cover_medium/public/whitepaper/zt-currenttrends.jpg?itok=eThvp4A_" width="151" height="195" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零信任網路（Zero Trust Networking，ZTN）與軟體定義式網路（Software Defined NetworkingSDN）等相關技術，可能會徹底改變網路安全，以及資料的保護與共用。其中，企業架構解決方案（Enterprise Infrastructure Solutions，EIS）可能得以讓美國聯邦機構取得上述技術。對此，聯邦資訊長咨詢服務、戰略暨基礎架構委員會（Federal CIO Council Services, Strategy, and Infrastructure Committee）於2018年5月，委請美國技術與工業理事會諮詢委員會（American Council for Technology and Industry Advisory Council，ACT-IAC）進行市場調查，對於聯邦機構採用零信任的資安架構，進行技術成熟度、採購管道，以及可能潛在的重大問題的分析。ACT-IAC於2019年4月18日，發布對於零信任資安當今趨勢的白皮書。</p> <p> </p> <h2><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">白皮書下載網址：</span></strong></span></h2> <p><strong>Zero Trust Cybersecurity Current Trends</strong></p> <p><a href="https://www.actiac.org/hot-topics/zero-trust-cybersecurity">https://www.actiac.org/hot-topics/zero-trust-cybersecurity</a></p> <p><strong>Zero Trust Cybersecurity Current Trends (PDF)</strong></p> <p><a href="http://www.actiac.org/system/files/ACT-IAC%20Zero%20Trust%20Project%20Report%2004182019.pdf">http://www.actiac.org/system/files/ACT-IAC%20Zero%20Trust%20Project%20Report%2004182019.pdf</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST-ZTA-Starting-Guide-web.png" style="width: 580px; height: 344px;" /></p> </div></div></div>
2021/10/4 19:00作者周峻佑https://www.ithome.com.tw/whitepaper/147059
Planning for a Zero Trust Architecture: A Starting Guide fo…
<div class="field field-name-field-cover field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/whitepaper_cover_medium/public/whitepaper/nist-zta-starting-guide.jpg?itok=7F7S7kI1" width="151" height="195" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對想要導入零信任架構（Zero Trust Architecture）的IT管理人員而言，可能會面臨不知如何著手的情況，對此，美國國家標準暨技術研究院（NIST）發布規畫此類架構的入門指南，以快速綜覽的方式，介紹該單位推出的風險管理框架（NIST Risk Management Framework，NIST RMF），讓系統管理者能加以運用，來促進組織的零信任架構發展。</p> <p>由於零信任用於規畫及發展企業架構的資安原則，但相關人士可能對於風險分析與管理不甚了解，NIST RMF可同時對於資安規畫師與系統操作員，提出通用的概念與工作項目。</p> <p> </p> <h2><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">白皮書下載網址：</span></strong></span></h2> <p><strong>Planning for a Zero Trust Architecture: A Starting Guide for Administrators</strong></p> <p><a href="https://csrc.nist.gov/publications/detail/white-paper/2021/08/04/planning-for-zero-trust-architecture-starting-guide-for-admins/draft">https://csrc.nist.gov/publications/detail/white-paper/2021/08/04/planning-for-zero-trust-architecture-starting-guide-for-admins/draft</a></p> <p><strong>Planning for a Zero Trust Architecture: A Starting Guide for Administrators (PDF)</strong></p> <p><a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.08042021-draft.pdf">https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.08042021-draft.pdf</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST-ZTA-Starting-Guide-web.png" style="width: 580px; height: 344px;" /></p> </div></div></div><div class="field field-name-field-sponsor field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">iThome</div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.08042021-draft.pdf">https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.08042021-draft.pdf</a></div></div></div>
2021/10/4 17:43作者周峻佑https://www.ithome.com.tw/whitepaper/147052
中國網軍栽贓俄國資安公司在日本散布假消息被抓包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國網軍認知作戰鎖定臺灣資安公司TeamT5（杜浦數位安全），在日本境內散布假消息，企圖挑起臺日政府的不滿情緒，此次認知作戰不僅鎖定臺灣資安公司，戰火更波及到無辜的俄國資安公司卡巴斯基。</p> <p>小粉紅指控臺灣政府唆使臺灣資安公司非法蒐集日本民眾個資，此事不只在日本粉專與社群媒體發酵，更持續在臺灣社群媒體，包括BBS和粉專陸續有不同角度切入的假新聞持續散布。不過，中國網軍為了證明假消息的真實性，便栽贓俄羅斯資安公司卡巴斯基，假冒日本分公司名義在新聞網站散布新聞稿，目的就是為了證明，先前指責TeamT5使用釣魚郵件蒐集日本民眾個資的事件為真。而卡巴斯基日本分公司於日前在官網上，嚴正否認曾經發佈類似的假新聞；也有日本資安專家在推設上分析此一假新聞事件發展流程，希望可以作為未來分析假新聞的參考資料。</p> <h2><span style="color:#0000FF;"><strong>日本資安專家記錄並分析中國網軍假新聞操作流程</strong></span></h2> <p>這起肇因於中國網軍原本想要挑起臺日兩國政府不滿的認知作戰假新聞操作手法，因為後續影響深遠，日本也有在企業擔任CSIRT團隊成員並在日本某政府部門擔任資安顧問的資安專家moto_sato，也在其推特上彙整中國網軍操弄該起假新聞事件的流程。</p> <p>moto_sato甚至引述在日本觀察到的現象指出，日本正在流行的網路釣魚郵件最早可以追溯到今年4月開始，來自相同的IP網段，進一步追查IP的來源，則坐落在中國河北省北京市，使用中國電信的網路服務。</p> <p>moto_sato指出，早在9月17日，中國內容農場自產自銷一則假新聞，內容是：臺灣政府授意臺灣資安公司TeamT5，利用釣魚郵件的手法，趁機蒐集日本民眾的個資。而這個中國內容的新聞有提供日文翻譯版本，之後，該日文版的假新聞則在日本類似PTT的5ch社交網路流傳。由於假新聞所使用的日文相當憋腳，許多日本網友並不買單。</p> <p>moto_sato觀察到，日本有許多網路釣魚郵件從今年4月份開始散布，與9月17日這則來自中國內容農場自產自銷的假新聞一樣，都來自位於中國北京，使用位於中國電信的IP網段（123.180.0.0～123.183.255.255）。</p> <h2><span style="color:#0000FF;"><strong>小粉紅企圖拉俄國資安公司幫忙背鍋，卡巴斯基官方發文以正式視聽</strong></span></h2> <p>緊接著，9月27日在JCN Newswire網站上，則出現一則署名俄國資安公司卡巴斯基發佈的公關稿，公關稿內容則是要大家注意有可疑的釣魚郵件，但該則公關稿內容並沒有在卡巴斯基日本官網或是相關部落格上發佈。</p> <p>而moto_sato則認為，該公關稿所使用的日文比第一篇更複雜，並且引述不同日期的釣魚郵件照片，不過這幾張不同的釣魚郵件IP位址，卻都跟第一篇來自中國內容農場自產自銷假新聞的網址同一網段。他無法確定這個公關稿的發佈，是從原有的客戶帳號發佈還是帳號已經遭到駭客挾持，但的確有會不同媒體會同步轉載相關的公關稿內容，其中也包括知名的朝日新聞網。</p> <p>這一則「假冒」卡巴斯基資安公司名稱發佈的公關稿，也同時在臺灣BBS以及一些群組裡流傳。9月28日便有網友，直接引述朝日新聞網轉載的這則署名為卡巴斯基、發佈於JCN Newswire網站的公關稿內容，指稱這則新聞就已經證實，先前有BBS網友在9月25日發表的「問掛：駭客行為出包，塔綠班連友邦都不放過？」，內容指控「臺灣政府唆使臺灣資安公司TeamT5非法蒐集日本民眾個資」一事屬實。</p> <p>不過，日本卡巴斯基則在9月30日於官方網站上正式澄清，對外表示，並沒有在JCN Newswire網站以及其他相關網站，具名發佈要大家注意網路釣魚的公關稿，澄清的內文為：「2021年9月27日，由JCN Co., Ltd.經營的“JCN Newswire”及同網站所發布的文件中，“Kaspersky Internet Security：提高意識並遠離電子郵件”，這封新聞稿並不是Kaspersky株式會社及Kaspersky總社，和其他Kaspersky相關公司所發表的內容，請注意這件事情和本公司沒有關係，請知悉。」</p> <p>因為該則消息有不同網站同步轉載，也有日本媒體報導，被臺灣BBS網友引述的朝日新聞網站，其該篇轉載自「冒名卡巴斯基的JCN Newswire網站公關稿」網頁，在日本卡巴斯基官網訊息發佈後，該網頁則已經被移除，呈現「Page not Found」。moto_sato也在推特上表示，這種假新聞的傳播是一個學習經驗，必須需從各個角度查證並仔細閱讀，他也特地把事件流程記錄下來，才有助於破解假新聞傳播的後遺症。</p> <p> </p> <p> </p> <p> </p> <p> </p> </div></div></div>
2021/10/4 18:15作者黃彥棻https://www.ithome.com.tw/news/147058
Google贊助Secure Open Source獎勵專案100萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2021/10/introducing-secure-open-source-pilot.html" target="_blank">Google於10月1日宣布</a>，將贊助100萬美元予Linux基金會（Linux Foundation）旗下的「捍衛開源碼安全」（Secure Open Source，SOS）獎勵專案，鼓勵開發者尋找並回報開源專案的安全漏洞，並藉此拋磚引玉。</p> <p>Google在<a href="https://www.ithome.com.tw/news/146396" target="_blank">白宮舉行資安高峰會</a>的當天，<a href="https://blog.google/technology/safety-security/why-were-committing-10-billion-to-advance-cybersecurity/" target="_blank">承諾將在未來5年內投入100億美元的資金來強化資安</a>，當中有1億美元是用來<a href="https://blog.google/technology/safety-security/why-were-committing-10-billion-to-advance-cybersecurity/" target="_blank">支援第三方的開源基金會</a>，包括<a href="https://www.ithome.com.tw/news/139191" target="_blank">OpenSSF</a>開源安全基金會與<a href="https://sos.dev/" target="_blank">SOS</a>。</p> <p>SOS獎勵的目的在於主動強化重要開源碼專案的安全性，支援開源專案的基礎架構以對抗應用程式及供應鏈攻擊，由於它是用來補充既有的漏洞獎勵專案，因此SOS獎勵的範圍更為廣泛。</p> <p>雖說廣泛，但SOS獎勵仍以重要的開源專案為優先，將評估專案的使用規模、對專案架構及使用者安全性的影響，以及若被開採所帶來的嚴重性。此外，初期SOS獎勵也會聚焦於特定的類別，包括軟體供應鏈的安全改善、對軟體產物簽章與驗證的採用、可產生更高OpenSSF分數的改善、使用OpenSSF Allstar 及修復所發現的問題，以及獲得CII最佳實作徽章等。Google也願意依照資安研究人員的需求，先行提供研究津貼。</p> <p>目前SOS獎勵所規畫的獎金從505美元到1萬美元不等，愈複雜、影響愈大或者是對基礎架構有重大改善的，即有機會獲得最高獎金。</p> <p>其實100萬美元對Google而言並不多，因為光是Google自己的抓漏獎勵專案，2018年發出的獎金就有340萬美元，2019年為650萬美元，2020年更超過670萬美元。</p> <p>不過，Google也說針對SOS獎勵所提供的100萬美元只是個開端，希望能藉此拋磚引玉，號召OpenSSF開源安全基金會的成員加入。</p> </div></div></div>
2021/10/4 17:10作者陳曉莉https://www.ithome.com.tw/news/147050
NIST SP 800-27，Zero Trust Architecture
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在近年的網路安全觀念上，零信任是越來越受關注，不只是許多資安專家與資安廠商提倡，美國國家標準與技術研究院NIST也有所行動，在2020年8月由NIST發布了SP 800-27 Zero Trust Architecture標準文件，這不僅成為國家級別都重視的網路安全新策略，廣受國際參考的NIST標準，也將會是全球企業組織實踐零信任的重要參考。</p> <p>基本上，隨著BYOD、雲端服務與遠端工作等新興存取方式，不斷打破傳統強化邊界的方法，不只是資安界逐漸在推動零信任網路安全概念的趨勢，美國政府也倡議採用零信任原則和方法來保護美國政府</p> <p>因此，在聯邦政府CIO聯席會（CIO Council）授權下，美國NIST與NCCoE啟動了零信任架構（Zero Trust Architecture）計畫，目的就是為了希望幫助企業安全架構師，能夠了解與落實零信任網路安全架構。簡單來說，NIST推出零信任網路架構的標準，NCCoE則推出零信任網路架構的實踐指引。</p> <p>這項計畫在2019年2月開始啟動，首個SP 800-27標準草案在2019年9月發布，到了2020年2月公布第二個草案，最終，NIST在2020年8欲，正式發布NIST SP 800-207零信任架構標準。</p> <h3><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">白皮書下載網址: </span></span></strong></h3> <p><strong>NIST SP 800-27 Zero Trust Architecture</strong>：<a href="https://csrc.nist.gov/publications/detail/sp/800-207/final">https://csrc.nist.gov/publications/detail/sp/800-207/final</a></p> <p><strong>NIST SP 800-27 Zero Trust Architecture PDF</strong>：<a href="https://csrc.nist.gov/publications/detail/sp/800-207/final">https://csrc.nist.gov/publications/detail/sp/800-207/final</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NIST%20SP%20800-207%E7%99%BD%E7%9A%AE%E6%9B%B801.jpg" style="width: 600px;" /></p> <blockquote><p>在2020年8月，美國國家標準與技術研究院NIST已經公布SP 800-207標準文件。</p> </blockquote> <h3><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">白皮書封面: </span></span></strong></h3> </div></div></div><div class="field field-name-field-url-only field-type-link-field field-label-above"><div class="field-label">白皮書下載網址: </div><div class="field-items"><div class="field-item even"><a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf">https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf</a></div></div></div><div class="field field-name-field-cover field-type-image field-label-above"><div class="field-label">白皮書封面: </div><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/whitepaper/zhu_tu_nist_sp_800-207feng_mian_.jpg" width="608" height="789" /></div></div></div>
2021/10/4 15:22作者羅正漢https://www.ithome.com.tw/whitepaper/147047
GitHub企業雲使用者可連接IdP管理員工帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub向其企業雲用戶，提供具有集中管理帳戶權限的<a href="https://github.blog/2021-09-30-enterprise-managed-users-generally-available-github-enterprise-cloud/">企業管理使用者帳戶（Enterprise Managed Users，EMU）</a>，讓企業能以可擴展且可靠的方式，在雲端中使用管理工具，管理用戶和程式碼。</p> <p>企業中系統管理員可能會需要使用身份識別提供者（Identity Provider，IdP），來管理員工的數位身分，並且分配工作所需要的資源存取權限，同時IdP也讓系統管理員能夠以網頁應用程式，創建帳戶以簡化新員工的入職流程。</p> <p>而新的EMU便能夠串接起EMU和IdP，使用既有的工作流程平臺，自動創建、更新和停用員工的GitHub帳戶，此外，企業也能夠將IdP中的安全群組，連接到GitHub中，以簡化用戶和群組管理。</p> <p>EMU賦予企業對員工的GitHub帳戶有更多的控制能力，除了創建帳戶之外，還有額外的稽核功能，包括用戶登入事件，官方提到，該功能建立在GitHub企業雲的稽核功能，企業管理者可以檢視、匯出或是串流企業中每位使用者的稽核日誌事件。</p> <p>這項更新對於GitHub普通用戶沒有特別的影響，而企業雲用戶則可以開始使用AzureAD和Okta IdP來管理員工的GitHub帳戶。</p> </div></div></div>
2021/10/4 15:26作者李建興https://www.ithome.com.tw/news/147045
IT人才月報第20期：Google今年投資臺灣人才再加碼！釋出多項免費課程與獎助計畫，擴大養成數位與科研人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0915~0930)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google智慧臺灣計畫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位人才培育 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google今年加碼培育數位人才與科研人才，多項免費課程與獎助計畫可供申請</strong></span></strong></p> <p>去年受疫情影響，Google與104人力銀行共同推出<a href="https://events.withgoogle.com/googlekepler/">數位人才探索計畫</a>，提供數位行銷和職前訓練等課程，讓畢業生和沒有太多工作經驗的求職者，能自主修課來提升數位能力與競爭力，還能進一步為修課者媒合企業數位職缺。今年，雙方也已續辦計畫，除了提供數位技能訓練，還增加了YouTube影音創作、Google Cloud雲端工具使用等訓練內容，明年更計畫新增電商、進出口貿易、遊戲產業等課程。計畫實施兩年來，共有超過2萬名社會新鮮人參與，近2千人取得Google Ads等認證，也有超過40家企業針對這項計畫，開出逾140個數位相關職缺。</p> <p>除了在臺投注資源培育廣泛型數位人才，Google臺灣也持續投入資訊科技領域研究人才的培育，已連續4年與科技部、臺大人工智慧研究中心，舉辦AI創新研究營，供臺灣AI領域的研究人員與Google的AI專家進行交流。大學校園內電腦科學研究人才的培育上，去年則引進<a href="https://www.google.cn/intl/en_cn/university/taiwan/">大學交流計畫</a>，提供博士生獎助學金的申請，今年會擴大獎助計畫的項目，著重獎助幾個新族群，首先是女性與弱勢族群，其次是長期性研究團隊。</p> <p>Google臺灣行銷副總經理黃寶萱提到，如果獎助團隊的研究領域與Google投資領域相關，更可直接與Google團隊一同研究和合作，且研究過程中，若團隊需要GCP資源，可申請免費使用額度。（<a href="https://www.ithome.com.tw/news/146945">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-04%20%E4%B8%8A%E5%8D%887_43_44.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> STEM博士人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中美角力 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;">美國調查：中國理工科博士人才未來5年，將達到美國同類人才量的兩倍</span></strong></p> <p>美國安全與新興技術中心（Center for Security and Emerging Technology，CSET）近期一份研究報告指出，中國的理工科博士人才（Science、Technology、Engineering、Mathematics，STEM）的培養，從2000年代中期以來已經超越美國，且兩國的差距可能在未來五年內持續擴大。就實際數字來看，根據當前的招生模式，中國大學將在2025年每年培育超過77,000名STEM博士畢業生，美國則是40,000名。</p> <p>這項調查也顯示，中國博士教育的品質近年來逐漸提升，將近45%中國博士畢業生是來自於全中國最頂尖的菁英教育機構，80%學生從中央政府管理的大學畢業。雖然中國STEM博士人才的供應量可能會超過勞動市場的需求，但博士人才品質與數量無疑是一個國家未來競爭力的指標，而中國培育博士級專家的能力正在快速的成長當中。（<a href="https://cset.georgetown.edu/publication/china-is-fast-outpacing-u-s-stem-phd-growth/">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-04%20%E4%B8%8A%E5%8D%887_32_05.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距辦公 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作趨勢報告 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;">Adobe調查：美國4月4百萬人辭職，遠端上班模糊了公私時間界限是離職率暴增關鍵</span></strong></p> <p>Adobe近期對全球7個國家超過5,000家企業進行調查，發佈一份混合辦公時代的調查報告，發現遠距辦公在為員工帶工作靈活性的同時，也提升了對員工的期待，比如希望他們隨時隨地上線工作，導致員工的生活與工作界線更加模糊。報告指出，有49%企業員工和56%中小型企業管理者表示，他們現在的工作時間遠超過期望的辦公時長，當前企業員工的平均工時為每週44.9小時，中小企業管理者的平均時長則是每週45.1小時，均超過每週標準工作時間。</p> <p>工作時間更長的趨勢，也讓企業辭職人數逐漸上升，比如在美國，僅是今年4月的辭職人數便達到了400萬人，是前所未有的情況。調查報告也驗證了這個趨勢，有35%企業員工表示想要在明年更換工作，而其中61%的人表示，辭職與換工作是為了更好地掌控自身時間。這個情況在剛步入職場的年輕人中更為明顯，有超過一半的Z世代受訪者表示，他們計畫在明年尋找新的工作。（<a href="https://www.adobe.com/documentcloud/business/reports/the-future-of-time.html">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距工作 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 協作訊息網絡 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;">微軟研究：遠距工作導致員工訊息網絡逐漸僵化，通訊媒體也難取代面對面協作</span></strong></p> <p>科學期刊《自然人類行為（Nature Human Behaviour）》近期刊登了一篇微軟的研究，透過微軟6萬名員工2020年上半年疫情爆發前與爆發後的聯繫行為，包括Email、日曆、即時訊息、語音與視訊通話等，來評估疫情對全公司遠距工作者在協作與溝通方式上帶來的影響。</p> <p>這份研究顯示，快速轉變到遠距工作後，弱化了企業團隊的內部連結，也減少了公司內協作網路點對點之間的橋接連結數量（bridging ties），員工也更加投入在他們強連結（stronger ties）的協作上，來進行訊息的交流，只花費一小部分時間在弱連結的協作上，通常只用來獲得新訊息。</p> <p>然而，這些轉變可能會對員工表現帶來影響。從過去的研究可知，員工表現會受到訊息網絡結構、連結強度與時間動態的影響，比如員工在訊息網絡中的位置轉變、任何新添加的連結、或重新喚醒過去曾建立的連結，都可能對員工帶來助益。但在遠距工作後，員工每個月之間添加和刪減的連結都變得更少，改變訊息網絡帶來的好處也隨之減少。</p> <p>另外，這份研究也指出，在遠距工作的情況下，視訊會議與通話的頻率減少，Email與即時訊息的傳遞增加，顯示員工並非單純靠視訊或語音通話，來完全取代面對面互動。但是，根據媒體同步理論（media synchronicity theory）與過去的實證研究都顯示，通訊媒體等管道，反而會讓員工難以傳達較複雜資訊的意義。（<a href="https://www.nature.com/articles/s41562-021-01196-4#Sec1">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-10-04%20%E4%B8%8A%E5%8D%887_53_08.png" style="width: 1063px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國加州 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon倉儲員工 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作配額 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;">加州簽署一項法案，禁止Amazon等電商以演算法對倉儲員工設置過高工作配額</span></strong></p> <p>加州州長Gavin Newsom近期簽署了一項法案，禁止電商業者如Amazon，透過AI設置過高的工作配額，使員工為了達到目標而無法上廁所或用餐。這是美國首個通過類似法案的州。近年來，不少企業開始以演算法對員工設定工作配額，或是監督員工工作績效，使員工達到不合理的工作效率，甚至以此無預警解僱員工，Amazon正是因此受到批評。</p> <p>因此，<a href="https://leginfo.legislature.ca.gov/faces/billNavClient.xhtml?bill_id=202120220AB701">這項倉儲管理法</a>，要求Amazon、Walmart等電商，應在聘僱員工後30天內，明確告知物流倉儲員工所規定的工作量，以及未達工作要求會有什麼後果，也禁止企業對因健康或安全因素而無法達成配額的員工進行處分。州長Newcom在聲明中指出，在疫情期間協助提供民眾物資的倉儲員工，不應在違反基礎健康和安全的剝削式工作份量下，承受受傷及與處份的風險。</p> <p>這項法案也允許認為自己工作量過多的員工，可以要求企業提供過去90天的個人工作速度指標，並能起訴雇主，阻止他們實施過高的工作指標要求。（<a href="https://www.ithome.com.tw/news/146892">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 哈佛商業評論 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才留任計畫 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">哈佛商業評論建議：企業面對高離職率，應善用數據找出並改進組織現存問題</span></strong></p> <p>哈佛商業評論一篇文章指出，根據美國勞工局的統計，2021年7月有400萬美國人辭職，離職人數在4月達到高峰，7月底開放的職缺更破紀錄達到1,090萬個，統計結果也顯示了兩大趨勢，一是介於30～45歲區間的員工離職率增幅最大，2020～2021年平均增幅超過20%；二是，離職率最高的產業為科技業與醫療業。</p> <p>面對這股辭職潮，雇主如何留住人才？文章也給出了三大建議。其一，企業要先量化問題，明確計算出員工的離職率，並卻算出多少比例的離職員工是來自於自願離職，而非被解雇或裁員，這能幫助企業更精確的找出離職的範圍。其二，找出範圍後，接著要進行詳細的數據分析來找出原因，先列出可能導致高離職率的常見原因，如薪水、升遷的間隔時間、加薪幅度、任期、績效、訓練機會等，藉由數據驅動，來識別公司制度的趨勢與盲點。其三，在了解根因後，就要為員工制定量身打造的留任計畫，來改正組織最難以改善的特定問題。（<a href="https://hbr.org/2021/09/who-is-driving-the-great-resignation">詳全文</a>）</p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Google、CSET、Nature Human Behaviour、Linkedin</p> <p>資料來源：iThome整理，2021年10月</p> </div></div></div>
2021/10/4 15:27作者翁芊儒https://www.ithome.com.tw/news/147037
中國駭客GhostEmperor利用ProxyLogon漏洞，在受害電腦植入蠕蟲Demodex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自Exchange Server重大漏洞「ProxyLogon」被揭露之後，陸續傳出有駭客組織利用這個系列漏洞，入侵並發動攻擊。例如，日前<a href="https://www.ithome.com.tw/news/146965">ESET揭露名為FamousSparrow的網路間諜組織</a>，便於微軟推出漏洞修補程式的隔日（3月3日），開始鎖定具有這項漏洞的Exchange Server，對於飯店業者植入後門程式。</p> <p>有鑑於這種利用ProxyLogon漏洞發動攻擊的現象升溫，引起不少資安人員相關切，並於近期公布研究結果。例如，<a href="https://usa.kaspersky.com/about/press-releases/2021_ghostemperor-apt-targets-high-profile-victims-using-unknown-rootkit">卡巴斯基先在7月</a>提及名為GhostEmperor的中國駭客組織，<a href="https://securelist.com/ghostemperor-from-proxylogon-to-kernel-mode/104407/">並於9月30日揭露該組織的攻擊手法細節</a>。</p> <p>卡巴斯基根據駭客所使用的工具，研判GhostEmperor至少於2020年7月就開始活動，於受害組織植入Demodex蠕蟲程式以進行監控，他們主要目標是東南亞的國家，但除此之外，研究人員也看到在埃及、阿富汗、衣索比亞等多個國家，有數個政府實體與電信公司遭到攻擊。研究人員認為，駭客的技術相當高超，因為他們作案的手法極不尋常，且包含了反鑑識與反分析的技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ghost_Emperor_04-s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ghost_Emperor_04-s.png" style="width: 580px; height: 314px;" /></a></p> <h2><strong>鎖定可從網際網路存取的網頁應用程式</strong></h2> <p>對於這個組織入侵攻擊目標的管道，卡巴斯基提及駭客找尋曝露在網際網路的伺服器下手，攻擊者植入惡意工具的方式，是透過應用程式伺服器的處理程序──包含了Apache伺服器的HTTP.exe、IIS伺服器的W3WP.exe，以及Orcale伺服器的OC4J.jar等。研究人員認為，攻擊者應該是運用這些網頁應用程式的漏洞，而能夠使用上述的處理程序來夾帶並執行惡意程式。</p> <p>而在鎖定上述網頁應用程式伺服器之外，攻擊者較為近期鎖定的目標，便是存在ProxyLogon漏洞的Exchange Server。卡巴斯基指出，GhostEmperor在3月4日時（即微軟發布修補程式2日後）運用這項漏洞，來感染一臺Exchange Server，進而達到執行RCE攻擊的目的。</p> <h2><strong>多採用作業系統內建工具來掩蓋攻擊意圖</strong></h2> <p>究竟攻擊者如何入侵受害的網頁應用伺服器呢？卡巴斯基指出，通常GhostEmperor會透過BAT指令碼來啟動相關流程，但他們也看到運用Windows內建的防毒軟體（Microsoft Defender），藉由其中的命令列執行工具MpCmdRun.exe，來側載惡意DLL檔案，同時攻擊者藉著這個DLL檔案，來側載license.rtf，雖然從副檔名的部分來看應該是RTF文件，但卡巴斯基表示，這實際上是可執行檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ghost_Emperor_01-s.png" style="width: 580px; height: 288px;" /></p> <p>除了上述藉由內建防毒軟體檔案來側載的情況，卡巴斯基指出，他們還看到GhostEmperor濫用其他的合法工具，像是WMI或是PsExec等，來橫向感染內部網路的其他電腦，來部署Demodex。</p> <p>在成功潛入受害電腦並下載作案工具後，駭客為了避免攻擊行為被發現，研究人員看到攻擊者不只使用混淆等規避手法，也使用Cheat Engine裡面的驅動程式dbk64.sys，來繞過作業系統的驅動程式強制簽章機制，讓Demodex不致遭到封鎖。</p> <p>附帶一提的是，卡巴斯基指出，對於執行最新版Windows 10作業系統的電腦，攻擊者也特別針對這個作業系統加入相關程式碼，而能讓蠕蟲程式持續在這些電腦上運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ghost_Emperor_06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ghost_Emperor_06.png" style="width: 580px; height: 452px;" /></a></p> </div></div></div>
2021/10/4 15:49作者周峻佑https://www.ithome.com.tw/news/147048
【疫情日報】10月5日至10月18日維持疫情警戒二級，室內集會活動達1.5米/人標準可超過80人限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（4日）宣布，自10月5日至10月18日兩周仍維持全國二級警戒，並鬆綁集會活動人數限制和餐飲業限制，同時預告第11期疫苗接種注意事項。</p> <p><span style="font-size:24px;"><strong>放寬集會活動人數上限、用餐不需隔板或1.5公尺間距</strong></span></p> <p>指揮中心副指揮官陳宗彥指出，今日並未新增本土確診個案，但有5例境外移入，鑑於總體情勢，指揮中心仍持續維持二級警戒，但也鬆綁集會活動人數限制。</p> <p>陳宗彥指出，集會活動如會議、展覽、婚宴、餐宴等的人數上限，調整為室內80人，若超過80人則需符合室內容留空間規定，至少1.5米/人，或是2.25平方米/人。而室外則是300人上限，若超過，則需提報防疫計畫，並依主管機關防疫規定辦理。</p> <p>另一方面，餐飲業也有所鬆綁，內用不再限於隔板或1.5公尺間距，超商部分則開放熟食（如茶葉蛋、關東煮）不限由工作人員服務。宗教祭祀也有條件開放進香團、餐會活動，而宗教祭祀場所入座也不限梅花座。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-4.png" /></p> <p><strong><span style="font-size:24px;">第11期提供AZ第二劑，BNT第一劑47歲以上民眾也可預約</span></strong></p> <p>同時，指揮中心也公布第11期疫苗開打事項，這次提供第二劑AZ、第一劑BNT疫苗，有兩類民眾可預約，包括7月22日前已接種第一劑55歲至18歲的民眾，以及7月30日前已接種第一劑之56歲以上民眾。</p> <p>至於BNT則有三類民眾可預約，包括47歲以上民眾、12歲至22歲之民眾，以及18歲以上之第九類民眾。</p> <p>符合資格的民眾可自10月11日上午10點起預約，至10月13日中午12點止。施打時間則是10月15日至10月21日。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-2.png" /></p> </div></div></div>
2021/10/4 14:38作者王若樸https://www.ithome.com.tw/news/147044
Coinbase的簡訊雙因素認證有漏洞，遭駭客移轉6千名用戶資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年4月登上那斯達克股市的<a href="https://blog.coinbase.com/phishing-attacks-are-on-the-rise-here-are-some-steps-you-can-take-to-protect-yourself-872833c7671b" target="_blank">美國最大加密貨幣交易平臺Coinbase在9月28日披露</a>，有一駭客集團針對該公司的用戶展開大規模的網釣活動，並利用該平臺簡訊雙因素認證的安全漏洞，移轉了至少6,000名Coinbase用戶的資產，而Coinbase則決定彌補用戶的全部損失。</p> <p>根據Coinbase的說明，駭客是在今年4月至5月初之間，鎖定該平臺的用戶展開大規模的網釣攻擊，寄出網釣郵件予採用各大電子郵件平臺的Coinbase用戶。駭客製作了許多不同版本的郵件，有些偽裝成Coinbase，聲稱用戶的Coinbase帳號被鎖住了；有些偽裝成微軟，詢問使用者是否願意讓Coinbase程式存取個人檔案；由於有些舊有的郵件服務並未更新過濾機制，而讓網釣郵件流入使用者收信匣，最終將使用者導至駭客掌控的網釣頁面。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/1400/0*lUgV-tiG3vTNrTsv" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/1400/0*ZCBV9YiXAL80bTdX" style="width: 315px;" /></p> <p><span style="color:#696969;">圖片來源_Coinbase</span></p> <p>成功的網釣攻擊取得了Coinbase用戶註冊時使用的電子郵件位址、密碼與電話號碼，還能存取使用者的收件匣，等於是獲得Coinbase用戶的登入憑證，在察覺相關攻擊之後，Coinbase聘請了外部安全專家以協助關閉網釣網站，亦通知收到影響的電子郵件服務供應商。</p> <p>不過，就算駭客取得了Coinbase用戶的登入憑證，要盜轉用戶資產還必須通過Coinbase的雙因素認證機制。</p> <p><a href="https://www.documentcloud.org/documents/21073975-09-24-2021-coinbase-customer-notification" target="_blank">Coinbase在寄給受害用戶的信件中坦承</a>，該平臺的簡訊帳號復原程序含有一個安全漏洞，該程序主要是用來讓用戶接受簡訊雙因素認證令牌以存取帳號。因此，那些使用簡訊作為雙因素的用戶，多已遭駭客移走帳號中的資產，估計至少有6,000名客戶受害。</p> <p>由於加密貨幣的轉移是不可逆的，於是Coinbase決定補償用戶的損失，匯入等值的資產至受害者帳號。不過，Coinbase並未對外透露損失規模。</p> <p>Coinbase已修補了該漏洞，除了提醒用戶應該使用更強大的密碼，避免使用重複的密碼之外，也建議用戶最好改採更安全的雙因素認證形式，例如硬體金鑰或Google Authenticator程式。已取得Coinbase用戶憑證的駭客可能已經更改用戶的電子郵件或電話號碼，Coinbase亦著手回復這些變更，同時強烈呼籲受害者變更Coinbase密碼。</p> </div></div></div>
2021/10/4 15:13作者陳曉莉https://www.ithome.com.tw/news/147046
微軟宣布單機版Office 2021售價150美元起跳，新增Teams、OneLive支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟擠牙膏式地透露Office 2021細節，在10月5日（臺灣時間10月6日）釋出Office 2021正式版前，<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2021/10/01/its-easier-to-create-together-with-microsoft-365-and-office-2021/" target="_blank">終於在上周五（10/1）宣布</a>Office 2021商用、消費者單機Windows、Mac版價格、以及功能細節。</p> <p>Office 2021單機版主要是提供給電腦無法經常連網，或是不願訂閱Microsoft 365 的用戶安裝。包括消費者用的Office Home & Student，商用的則稱為Office Home & Business。不論是消費者或商用，都提供Windows或Mac版本。</p> <p>Office Home & Student版價格149.99美元，包含Word、Excel、PowerPoint、OneNote及Teams。Office Home & Business價格249.95美元，包含前述功能外加入Outlook for PC或Mac。價格都和Office 2019相同。不過目前Office 2021繁體中文版本詳細價格未知。</p> <p>新功能方面， Office 2021加入一些原本僅Microsoft 365才有的功能，包括Teams、OneDrive支援和文件即時共同編修。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/uploads/prod/sites/2/2021/09/Picture2-1083x609.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/uploads/prod/sites/2/2021/09/Picture3-6151ad068edd7.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>此外， Office 2021外觀ribbon介面、圓弧角設計、色彩、調色盤等也配合Windows 11做了修改。其他新功能，<a href="https://www.ithome.com.tw/news/146760" target="_blank">一如之前預告</a>，有Excel公式、PowerPoint錄影。Office 2021將提供深色模式、Excel加入動態陣列（Dynamic Arrays）、XLOOKUP和LET函數、Word支援OpenDocument Format (ODF) 1.3，Outlook新增快速搜尋、翻譯及Windows墨水功能，此外Word、Excel、PowerPoint和Outlook效能及視覺設計也都更加強。。</p> <p>消費者及商用版Office預計10月5日全球零售通路及Microsoft .com同時開賣，Teams則稍晚，要到10、11月才會推向全球。</p> <p>Office 2021可支援Windows 10、Windows 11及最新3個版本（Big Sur、Catalina、Mojave）的MacOS。用戶需具備微軟帳號才能使用，除少數離線存取授權外，大多數情況也都需具備網路連線。微軟還提醒，用戶若想升級到Windows 11，升級後Office 2013就不被支援了。</p> </div></div></div>
2021/10/4 12:39作者林妍溱https://www.ithome.com.tw/news/147040
Slack因變更DNS配置造成服務不穩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作平臺Slack在太平洋夏令時間（PDT）9月30日的上午8:36（臺北時間9月30日23:36）開始出現連線不穩的狀態，一直到10月1日的早上8:49（臺北時間10月1日23:49）才恢復正常。在這期間，全球有不到1%的使用者無法載入Slack。Slack目前約有1,200萬的每日用戶，代表受到影響的用戶數低於12萬。<a href="https://status.slack.com/2021-09/06c1e17de93e7dc2" target="_blank">隨後Slack解釋</a>，造成連線不穩的原因是該公司在9月30日時變更了DNS配置。</p> <p>從Downdetector網站上可看到，<a href="https://downdetector.com/status/slack/news/414305-problems-at-slack/" target="_blank">9月30日有超過3,000名使用者回</a>報無法連上Slack，不管是網站或程式，<a href="https://downdetector.com/status/slack/news/414421-problems-at-slack/" target="_top">10月1日也還收到逾200名用戶的回報</a>，但之後Slack便恢復正常。</p> <p>至於Slack則解釋，該公司在9月30日早上8點時，為了改善查詢域名的安全性，變更了slack.com網域名稱的DNS配置，由於有少數第三方的DNS解析器沒能適當地處理該變更，造成部分使用者無法連上Slack。</p> <p>為了安全起見，Slack當天早上10點就回滾了此一配置變更，而某一些第三方的DNS解析器卻期待slack.com網域名稱還存在著該配置，造成一些解析器無法回應slack.com的紀錄。</p> <p>這主要是因為有些網路服務供應商或公用解析器的標準作法，是將紀錄保留24小時，造成它仍舊影響少數用戶。</p> <p>為了儘快恢復服務，Slack主動接洽這些第三方DNS解析器，要求它們刷新slack.com網域名稱的紀錄，而讓此一歷時24小時的意外事件宣告落幕。</p> </div></div></div>
2021/10/4 12:55作者陳曉莉https://www.ithome.com.tw/news/147041
臉書的爆料者出面了，她是臉書公民不實資訊團隊的前首席產品經理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連續向華爾街日報提供臉書（Facebook）內部研究的爆料者，在本周日（10/3）曝光了，她是Frances Haugen，為臉書公民不實資訊團隊的前首席產品經理，<a href="https://www.cbs.com/shows/60_minutes/video/usSt_XUB8atvYtmtBiUEEi7_j3uSwFjf/facebook-whistleblower-frances-haugen-the-60-minutes-interview/" target="_blank">當天她接受美國哥倫比亞廣播公司（CBS）《60分鐘》（60 Minutes）節目的專訪</a>，表示她挺身而出是因不滿臉書持續以自身的獲利優於公眾利益。</p> <p><a href="https://www.franceshaugen.com/" target="_blank">現年37歲的Haugen</a>畢業於麻州奧林工程學院的電子與計算機工程系，並取得哈佛大學的MBA文憑，為演算法產品管理的專家，曾任職於Google、Pinterest、Yelp及臉書，她在2019年進入臉書，負責公民誠信，具體的工作內容是管理選舉風險，包含不實資訊在內，並在今年5月離職。</p> <p>Haugen說，她所取得的文件在臉書內部是公開的，幾乎所有員工都能取得。這幾周以來，《華爾街日報》根據Haugen所提供的文件，陸續踢爆了<a href="https://www.ithome.com.tw/news/146702" target="_blank">臉書的貴賓專案XCheck</a>、<a href="https://www.wsj.com/articles/facebook-algorithm-change-zuckerberg-11631654215?mod=article_inline" target="_blank">臉書演算法造成分化</a>、<a href="https://www.wsj.com/articles/facebook-drug-cartels-human-traffickers-response-is-weak-documents-11631812953?mod=article_inline" target="_blank">販毒或人口販賣如何公開利用臉書平臺</a>，以及<a href="https://www.ithome.com.tw/news/146731" target="_blank">Instagram對青少年所造成的負面影響</a>等。</p> <p>Haugen不僅向《華爾街日報》爆料，也向美國證券交易委員會（SEC）投訴臉書的不當行為，認為身為美國上市公司的臉書，隱暪了對投資人而言重要的資訊。</p> <p>她在接受《60分鐘》專訪時指出，她一再地在臉書內部看到，一旦公司利益與公眾利益有所衝突，臉書總是選擇自己的利益，她曾經見過許多社交網路，但臉書是當中最糟糕的了。</p> <p>Haugen舉了幾個例子，其中之一是她參與臉書是為了維護選舉正義，抑制不實資訊，但在美國大選結束後，臉書便決定解散公民誠信團隊，這讓臉書成為國會暴動者組織活動的平臺之一。臉書的確為了2020年的美國總統大選設置了安全系統來減少不實資訊，但許多的改變都只是暫時的。</p> <p>另一個例子涉及臉書的演算法。她說，臉書可能有數千筆可以推薦給使用者的資訊，但當只能選擇其中100筆時，臉書會挑出使用者過去最常觀看的資訊類別，此一所謂的最佳化內容卻經常是不實資訊或令人憤怒的內容，因為它們更容易吸引使用者，也讓使用者停留在臉書的時間變得更長，更有機會點選臉書所提供的廣告，替臉書創造收入。臉書深知改變演算法就會減少收入的後果。</p> <p>Haugen認為臉書放大了人性中的惡，而她相信社交網站其實可用來展現人性中最好的一面。</p> <p>《60分鐘》在專訪Haugen之前，也同時發了專訪邀請予臉書高層，但遭臉書拒絕。<a href="https://www.documentcloud.org/documents/21075249-facebook-memo" target="_blank">臉書在節目播出前於內部發出了備忘錄</a>，解釋自己對於極化（Polarization）與選舉的立場，企圖安撫軍心，另也提供了聲明予《60分鐘》，表示臉書團隊每天都嘗試在保護人們與言論自由之間取得平衡，亦努力改善不實資訊與有害內容的散布，暗示臉書鼓勵不當的內容且毫無作為是不正確的。</p> <p>臉書也強調，如果有任何一個研究能夠找出對此一問題的精確解決方案，那麼不管是政府、科技產業或社會早在很久之前就能克服它。</p> </div></div></div>
2021/10/4 12:03作者陳曉莉https://www.ithome.com.tw/news/147038
微軟、Google、Amazon等雲端業者發表保護客戶資料原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括微軟、Google、Amazon、Salesforce等雲端平臺供應商，<a href="https://trustedcloudprinciples.com/principles/" target="_blank">本周共同發表信賴雲端原則（Trusted Cloud Principles）產業聯盟</a>，宣揚將在法遵及保護隱私之間保持平衡，以確保用戶資料不被政府濫權索取。</p> <p>這些原則是包括Amazon Web Services、Google、微軟、Salesforce/Slack、Atlassian、SAP和思科等公、私有雲服務供應商合組的信賴雲端原則倡議（Trusted Cloud Initiatives）所發佈，以回應各國政府以犯罪調查、維護治安及打擊恐怖主義為由、不時向雲端平臺及服務業者請求調閱用戶資料。過去包括臉書、Google、微軟和推特等，每半年就公佈一次政府索取用戶資料的統計。</p> <p>業者指出，有時政府存取人民資料所依據的法令未能保障人權，或是和其他國家法令扞格。作為雲端服務供應商，業者們宣稱要透過政策和科技，在所有司法管轄體制下保障用戶資料的安全與隱私。</p> <p>信賴雲端倡議重申對隱私人權、法治，以及政府有保護人民安全及經濟繁榮的責任等。業者們最新宣佈是為了解決政府索取個資過程中，違反安全、隱私權及傷害創新的法令所引發的國際衝突，並針對雲端資料儲存及處理，建立標準的資料保護作法，以確保資料自由流通、提升公共安全，以及保護雲端隱私和資料安全。</p> <p>簡單來說，他們希望建立一貫的資料保護和資料索取規則，以便各國，特別是他們設立據點、資料中心及雲端基礎架構的國家地區索取資料時不得無限上綱。</p> <p>這些原則包括5點：首先，除極少數例外情況之外，政府要索取資料前，應先和用戶本人索取。第二，若政府直接找上雲端服務業者索取用戶資料，用戶有權提前獲得通知，只有少數例外是事後告知。</p> <p>第三，雲端業者有權保護用戶利益，包括雲端業者應有拒絕政府索求的清楚流程，包括通知相關的資料保護主管機關。其次，各國法令可能都存在相互衝突的法令，各國政府應自己有解決機制，否則雲端業者無所適從。最後，該聯盟認為各國政府應支援資料跨境流通，以促進創新、效率、安全，避免資料駐留（data residency）的要求。</p> </div></div></div>
2021/10/2 20:29作者林妍溱https://www.ithome.com.tw/news/147026
PostgreSQL 14改善資料類型支援並強化高工作負載效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源關聯式資料庫PostgreSQL發布第14個主要更新版本，該版本加入了一些新功能，讓開發者更容易建立和部署需要存取資料的應用程式，新功能包括更方便的JSON存取，以及支援非連續資料範圍，另外，在效能方面也有不少更新，提高PostgreSQL處理高負載和分散式工作負載的能力。</p> <p>PostgreSQL自9.2版本開始支援JSON資料操作，而現在官方進一步改善JSON資料操作方法，<a href="https://www.postgresql.org/about/news/postgresql-14-released-2318/">在PostgreSQL 14</a>中，jsonb資料類型現在支援陣列形式的下標腳本表示式，方便開發者擷取和修改JSON資料中的元素。</p> <p>官方提到，這讓PostgreSQL以及從JSON資料檢索資訊的語法更加一致，PostgreSQL 14所提供的下標腳本框架，可以被通用擴展到其他巢狀資料結構，包括本次所發布的hstore資料類型一樣適用。</p> <p>而同樣在PostgreSQL 9.2所加入的範圍類型，在這個最新的版本中，更新加入了多範圍資料類型，來支援非連續範圍。多範圍指的是不重疊範圍的有序列表，讓開發人員可以編寫更簡單的查詢，來處理複雜的範圍序列，PostgreSQL中原生範圍類型，包括日期、時間和數字，都支援多範圍資料類型，而其他資料類型也可以經過擴充後，獲得多範圍支援。</p> <p>官方在PostgreSQL 14大幅增加處理重度工作負載的效能，在多連接使用案例中，使用者可以明顯感覺到吞吐量的提升，官方提到，部分基準測試顯示速度達兩倍提升。</p> <p>這個版本繼續之前在B-tree索引上的改進，透過頻繁更新索引來減少表格上索引的膨脹。PostgreSQL 14也將工作管線查詢加入到資料庫中，這將能明顯改善高延遲連接，或是具有許多小型寫入操作工作負載的效能。</p> <p>在分散式工作負載方面，PostgreSQL 14使用邏輯複製時，PostgreSQL現在可以將正在進行的交易，串流傳輸給訂閱者，因此能顯著提升訂閱者的大型交易工作，PostgreSQL 14還對由邏輯複製所支援的邏輯解碼系統，進行了多項效能改善。</p> <p>用於跨PostgreSQL和其他資料庫聯合工作負載的外部資料打包器，現在獲得平行查詢的能力，增加查詢效率，還可以在外部表格上，批次插入資料，並且匯入表格分區。</p> <p>官方提到，這個版本對PostgreSQL平行查詢功能進行多項改進，包括更好的平行順序掃描效能，或是用戶在使用RETURN QUERY指令執行平行查詢時，系統也會執行的更快。此外，使用巢狀迴圈合併查詢（JOIN）時，在PostgreSQL 14中添加額外的快取，將會看到效能提升。</p> <p>PostgreSQL 14還加入date_bin函式，供開發者將時間戳對齊至特定時間區間，還有添加符合SQL的SEARCH和CYCLE子句，在遞迴通用表格表示式中，用於順序和周期偵測。</p> <p>在安全性上，PostgreSQL 14可以方便地使用pg_read_all_data和pg_write_all_data預定義角色，指派使用者對表格、檢視圖和架構的唯讀和唯寫權限。</p> </div></div></div>
2021/10/2 20:34作者李建興https://www.ithome.com.tw/news/147023
Fintech周報第197期：臺灣金融業去年共投入182億元發展金融科技，銀行業投入金額最高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">0925～1001</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> FinTech </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">臺灣金融業去年共投入182億元發展金融科技，銀行業投入金額最高</span></strong><br /><span style="vertical-align: top;">金管會近期公布2020年國內金融業投資金融科技相關數據，調查對象包括各金融機構與金融周邊單位，共計301家。根據統計，去年投入金融科技發展總金額達182.1億元，更勝歷年來的投資金額。其中，銀行業投入金融科技發展的金額最高，共為141.6億元；證券期貨業投資11.6億元、保險業投資26.2億元、周邊單位則投資2.7億元。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">金管會更預估，今年金融產業將投入235億元來發展金融科技，其中銀行業174.5億元、證券期貨業23.6億元、保險業29.6億元、周邊單位6.2億元。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">此外，金管會統計，目前已成立專責推動金融科技業務部門或團隊的金融機構共有106家；已成立金融科技研發部門的金融機構則有65家。去年，金融機構內部負責金融科技相關的業務員工數，共計10,145人，其中有7千多人投身銀行業，證券期貨業、保險業各有1千多人負責金融科技相關業務，周邊單位僅300多人。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"> 另外，金管會統計，去年共有111家金融業者與金融科技業者業務合作，銀行業有34家、證券期貨業有44家、保險業則有27家、周邊單位有6家。統計結果顯示，資安為業務合作最多的類型，其次依序為支付、大數據、智能理財、人工智慧、AML／KYC、雲端服務、區塊鏈、生物辨識、法遵科技、保險科技、借貸、物聯網。在金融科技專利部分，金融機構在去年共申請984件，通過件數為817件。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企金貿融 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會核准環球貿易共享區塊鏈試辦，以解決企業重複融資與資料造假2大痛點</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%E7%92%B0%E7%90%83%E8%B2%BF%E6%98%93%E8%9E%8D%E8%B3%87%E5%8D%80%E5%A1%8A%E9%8F%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7%E8%A8%98%E8%80%85%E6%9C%83%E6%88%AA%E5%9C%96.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國泰世華銀行與7家銀行、2大航運商共組的環球貿易共享區塊鏈，已獲得金管會銀行局核准試辦，正式平臺將於1到2個月內上線。參與聯盟成員包括上海商銀、國泰世華、台中銀行、新光銀行、陽信銀行、遠東商銀、元大銀行、永豐銀行。此外，陽明海運、長榮海運也已加入，介接貨運提單資訊到共享區塊鏈。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">平臺上線後，參與聯盟鏈的銀行，可在區塊鏈平臺查詢企業是否有重複融資；以及，未來銀行在核貸時，不用再向企業客戶索取，而是透過與航運商直接介接來取得提單資料，驗證交易的真實性，並將資料上鏈，解決資料造假的問題。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，國泰金控也持續與全球兩大航運區塊鏈聯盟GSBN、TradeLens接洽串接中。不過，因涉及商業條款，只有在國泰世華的企業客戶使用到這兩大聯盟的航運商運輸時，國泰才會向這兩大聯盟索取相關航運資料。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了讓平臺資料樣態更為豐富，該聯盟目前正與海空運承攬業者鑫享科技、物流供應鏈管理平臺天脈科技，及電子提單系統商Bolero洽談中，希望藉此擴大資料源。未來，國泰更要透過區塊鏈這項核心技術，建立金融與非金融業務交錯的生態體系。<a href="https://www.ithome.com.tw/news/146846">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 財金公司 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會揭露電子支付跨機構共用平臺兩階段功能上線時程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新版電子支付機構管理條例在今年7月正式上路。金管會考量兼顧電子支付機構業者業務發展，以及消費者便利支付的需求下，在近期揭露財金公司建置的電子支付跨機構共用平臺，兩階段核准功能與上線時程。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">電子支付跨機構共用平臺首個上線的功能為「轉帳」，開放跨機構間互通的金流服務，消費者可在跨機構間進行資金移轉，包括銀行帳戶與電子支付帳戶互轉，以及電子支付帳戶之間戶轉。在電支新法中，規定所有專營電子支付機構，必須在今年9月30日前參加該功能。金管會表示，轉帳功能預計在今年10月間上線。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會進一步說明，電子支付跨機構共用平臺預計在今年第4季上線「繳費」與「繳稅」兩功能，提供使用者電子化繳費、繳稅通路，來擴大電子支付應用場景，這兩項功能則採取鼓勵方式，專營電子支付機構可自由參加。至於「購物」功能，則沒有在此次的發布中揭露細節。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 跨境支付 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新加坡 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 馬來西亞 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新加坡馬來西亞聯手展開跨國即時支付計畫，明年Q4就能即時掃QRCode跨國付款</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E8%B7%A8%E5%A2%83%E6%94%AF%E4%BB%98.png" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新加坡金融管理局（MAS）與馬來西亞國家銀行（BNM）近期<a href="https://www.mas.gov.sg/news/media-releases/2021/singapore-paynow-and-malaysia-duitnow-to-link-in-2022">宣布</a>展開連接兩國即時支付系統的計畫。他們打算將新加坡的支付工具PayNow與馬來西亞的支付工具DuitNow，連接成為PayNow-DuitNow服務，並預計在2022年第四季正式推出第一階段功能。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">MAS表示，第一階段功能將讓參與此計畫的金融機構之顧客，透過手機號碼，就能在新加坡與馬來西亞之間進行即時資金轉帳。不只如此，顧客可用這兩款支付工具，到這兩國的特定合作商家，掃描QR Code來進行零售支付。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">第一階段功能推出後，MAS與BNM雙方還將逐漸擴展更多系統串接計畫，推出更多功能並找到更多金融機構來參與，尋找更多整合創新功能的可行性，比如，導入基於分布式帳本技術的解決方案，來促進參與銀行間跨境支付清算與結算的更高效率。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣禁令 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">中國政府宣告全面封鎖加密貨幣，將整合多個監管部門處置相關網站與行動App</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國的中央銀行（中國人民銀行）近期頒布了《關於進一步防範和處理虛擬貨幣交易炒作風險的通知》，明訂虛擬貨幣（加密貨幣）不具有法定貨幣的地位，不僅禁止金融機構提供或參與加密貨幣業務，也將取締境內的加密貨幣交易與代幣的發行融資平臺，此一通知涵蓋了中國境內的加密貨幣交易平臺，以及針對中國用戶提供加密貨幣服務的海外平臺。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">彭博社報導，該通知出爐之後，火幣網（Huobi）與幣安（Binance）等加密貨幣交易平臺，都宣布不再接受中國新用戶的註冊，甚至封鎖來自中國的IP，但仍針對香港地區用戶提供服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">此外，中國政府將整合金融、網信、電信、公安及市場監管等部門的資源，切斷支付管道，處置相關網站與行動應用程式，全面防範與處理加密貨幣交易炒作風險，針對那些涉及犯罪行為的加密貨幣交易，還會追究刑事責任。<a href="https://www.ithome.com.tw/news/146904">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 美國財政部 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣交易中心 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">竟然幫勒索軟體駭客洗錢，美國財政部大動作制裁加密貨幣交易中心Suex</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了打擊勒索軟體的生態鏈，美國財政部（U.S. Department of the Treasury）近期宣布，將制裁協助勒索軟體駭客集團洗錢的加密貨幣交易中心Suex，而這是美國首度針對加密貨幣交易中心執行制裁行動。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國財政部統計，去年因勒索軟體攻擊而支付的金額超過4億美元，接近2019年的4倍。而加密貨幣交易中心在勒索軟體攻擊生態鏈中扮演重要的洗錢角色，相關攻擊的贖金絕大多數都是透過加密貨幣支付，駭客則是藉由交易中心來兌換或交易這些非法所得。根據美國的調查，Suex是有意識地參與犯罪行動的金流，至少協助8種勒索軟體進行洗錢，該平臺有高達40%的交易涉及駭客行為。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">美國財務部並未公布Suex的背景，但根據《華爾街日報》的調查，Suex設立於捷克，但所有員工居住在俄羅斯，並號稱是墨西哥最大的加密貨幣交易中心之一。就算Suex並非位於美國，但美國財政部決定要凍結Suex受到美國管轄的所有資產，也禁止美國人或美國企業與Suex交易，甚至連Suex交易的個人或實體，都可能成為被美國制裁的對象。<a href="https://www.ithome.com.tw/news/146817">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">圖片來源／國泰金控</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><a href="https://www.ithome.com.tw/news/146891" style="font-size: 14pt;"><strong>Twitter打賞功能Tips新增對比特幣的支援，美國與薩爾瓦多使用者可用比特幣來支付小費</strong></a><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年10月</strong></p> </div></div></div>
2021/10/1 18:07作者李靜宜https://www.ithome.com.tw/news/147022
USB Type-C有新的認證標章，可秀出對功率的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道你的USB Type-C充電線所支援的功率嗎？錯誤的充電線可能會同時傷害提供電源與被充電的裝置，USB應用論壇（USB Implementers Forum，USB-IF）企圖解決此一問題，<a href="https://www.businesswire.com/news/home/20210930005098/en/USB-IF-Announces-New-Certified-USB-Type-C%C2%AE-Cable-Power-Rating-Logos/" target="_blank">於本周更新了USB Type-C的認證標章</a>，讓它能夠顯示所支援的功率，包括60W或120W。</p> <p>奠基在USB 3.1規格的USB Type-C充電線，原本只能提供最高100W的功率，但USB-IF在今年5月放寬其充電限制，讓它最高可提供240W的功率，以讓高階的遊戲筆電也可透過USB Type-C充電。或者也是因為歐盟準備要求境內的所有電子裝置都必須具備USB-C充電線插槽，促使USB-IF必須解決消費者對於購買或使用USB Type-C充電線的疑慮。</p> <p>USB-IF表示，USB Type-C充電線的新標章將會突顯對60W或120W功率的支援，讓消費者更容易辨識充電線的能力，以支援愈來愈廣大的USB生態體系。</p> <p>除了USB Type-C充電線之外，USB-IF亦同步更新了USB4的認證標章，以用來顯示相關纜線或設備所支援的資料傳輸頻寬，或者同時顯示頻寬與功率。</p> <p>事實上，坊間的USB充電線雖然絕大多數都支援USB-IF所制定的規格，而且接孔長得一模一樣，但它們的功能並不一，除了功率之外，有些充電線同時提供充電與資料傳輸功能，有些充電線則僅有充電功能，或者是充電線所能提供的資料傳輸速度也不同。</p> <p><a href="https://www.theverge.com/2021/9/30/22702453/usb-c-pd-240-watt-charging-usb4-data-transfer-logo-branding-standard?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》認為</a>，USB-IF企圖透過最簡單的方式（標章）來解決使用者的困惑，但說實話這些標章依舊令人困惑，只是有總比沒有好。</p> </div></div></div>
2021/10/1 16:24作者陳曉莉https://www.ithome.com.tw/news/147016
Google緊急修補兩個己被開採的Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/09/stable-channel-update-for-desktop_30.html" target="_blank">Google在9月30日釋出了Chrome 94.0.4606.71</a>，以修補3個安全漏洞，其中並有兩個已遭駭客開採。</p> <p>此一緊急釋出的新版Chrome修補了CVE-2021-37974、CVE-2021-37975與CVE-2021-37976。其中的CVE-2021-37974為安全瀏覽的釋放後使用漏洞，CVE-2021-37975為V8的釋放後使用者漏洞，CVE-2021-37976則是核心的資訊外洩漏洞。</p> <p>Google也透露，坊間已出現了針對CVE-2021-37975及CVE-2021-37976漏洞的攻擊程式，但只把細節提供給特定的資安社群。</p> <p>這次Google修補的3個安全漏洞中，就有兩個與釋放後使用（Use After Free）有關，<a href="https://cwe.mitre.org/top25/archive/2021/2021_cwe_top25.html" target="_blank">根據非營利組織Mitre所公布的2021年常見漏洞排行榜</a>，釋放後使用名列25個常見漏洞的第七名，當駭客在記憶體釋出後引用它，可能造成程式當掉，也可用來執行任意程式。</p> <p>Google將在未來幾天或幾周內陸續部署Chrome 94.0.4606.71至Windows、macOS與Linux等平臺上，Chrome的預設值為自動更新，使用者亦可透過「關於Google Chrome」執行手動更新。</p> </div></div></div>
2021/10/1 16:49作者陳曉莉https://www.ithome.com.tw/news/147017
Cloudflare釋出TV即服務，供企業建立自己的串流媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare將原本自家用來建立24/7串流視訊媒體頻道的工具，打包成產品發布<a href="https://blog.cloudflare.com/cloudflare-tv-as-a-service/">Cloudflare TV即服務</a>，供想要建立24/7串流媒體網路的企業使用。</p> <p>Cloudflare TV是2020年，Cloudflare開始的一項新計畫，其建立24/7頻道，播放各種技術相關的內容，像是Cloudflare會在部落格發表新產品的當天，也在Cloudflare TV上主持現場會議，邀請工程師參加發表。Cloudflare也會邀請外部參加者，提供包括專業演講或是大型的用戶活動等Cloudflare TV節目。</p> <p>Cloudflare提到，當初他們並沒有打算自己從頭開始建立Cloudflare TV解決方案，但是經過研究，很少解決方案是專為24/7線性串流媒體設計的，而且也沒有針對分布全球的團隊協作進行最佳化。</p> <p>為了滿足自家的需求，Cloudflare建立自己的解決方案，盡可能使用開源專案，並額外開發需要的功能，而現在這些元件打包成Cloudflare TV即服務，向用戶釋出，使企業能更簡單地建立24/7串流媒體頻道。</p> <p>Cloudflare TV即服務的主要工具包括作為電視總機的Brave（Basic Real-Time Audio Video Editor），能夠根據節目時刻表播放節目，並從直播內容跳轉至商業廣告，再自動返回節目。</p> <p>考量到參加節目者的方便性，Cloudflare採用Zoom作為直播工具，借助其RTMP廣播功能，Zoom能夠無縫地與Cloudflare TV平臺運作，在Cloudflare TV會議提供如同加入Zoom會議一樣的方便性。</p> <p>Cloudflare TV中的一個重要組成元件，便是Cloudflare Workers，該無伺服器平臺串接起所有元件，包括處理身份驗證、應用程式邏輯和資料傳輸等工作。另外還有管理內容的Cloudflare Stream，以及提供一系列儀表板和管理者介面的Cloudflare for Teams。</p> <p>除了這些主要的元件，Cloudflare TV即服務還提供了一些自動化功能，使小團隊或是遠端工作者，能更輕鬆地處理電視節目，像是可用來安排節目時刻表的Auto-Switcher，以及可簡單在節目之間穿插過場片段的Auto-Scheduler，還有針對主持人設計的廣播中心，提供倒數計時和節目需要的資源，甚至有Call-in功能，可接聽觀眾的電話。</p> <p>Cloudflare日常使用這些Cloudflare TV工具，提供自家專屬的電視節目，因此Cloudflare也還在持續改善這些功能，像是除了繼續支援Zoom或OBS等RTMP串流應用程式，之後也會支援WebRTC即時通訊平臺，並且支援YouTube等主流串流平臺。</p> </div></div></div>
2021/10/1 16:18作者李建興https://www.ithome.com.tw/news/147015
TikTok推出Top Moments，踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-launches-first-creator-led-nft-collection-powered-by-immutable-x" target="_blank">抖音（TikTok）在10月1日發表Top Moments</a>，它是一個「不可替代代幣」（Non-Fungible Token，NFT）的收藏區，目前陳列該平臺上最具文化影響力的6支影片，準備進行拍賣，同時也邀請相關作者打造限量版的NFT以進行銷售，踩進新興的NFT市場。</p> <p class="rtecenter"><img alt="" src="https://p16-va-tiktok.ibyteimg.com/obj/musically-maliva-obj/1d271fbf842f7a277e85279768c46bce" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源_Tiktok</span></p> <p>奠基於區塊鏈的NFT被視為數位資產的所有權憑證，它的內容可能是影片、藝術作品、遊戲裝備，或者只是入場券，在區塊鏈上的NFT既無法被竄改，也能用來追蹤它的所有權與交易過程。<a href="https://www.ithome.com.tw/news/145057" target="_blank">福斯娛樂在今年6月投入1億美元</a>，設立了NFT區塊鏈部門，以建置、發行、管理及出售NFT內容。<a href="https://www.ithome.com.tw/news/145386" target="_blank">網路之父Tim Berners-Lee以NFT形式拍賣WWW原始碼</a>，成交金額達540萬美元。Visa也在今年8月，花了15萬美元<a href="https://www.ithome.com.tw/news/146368" target="_blank">買下一個CryptoPunk角色的NFT</a>，試探NFT市場的水溫。</p> <p>至於TikTok則說，他們在探索讓NFT成為創作者賦權工具的機會，NFT不僅讓作者所創造的內容獲得認可及獎勵，也讓粉絲能夠擁有於TikTok平臺上具備重要文化意義的時刻。</p> <p>例如饒舌歌手納斯小子（Lil Nas X）所演唱的Montero（Call Me By Your Name），<a href="https://www.tiktok.com/music/MONTERO-Call-Me-By-Your-Name-6942551356402042881?is_copy_url=1&is_from_webapp=v1" target="_blank">在TikTok平臺上造成了風潮</a>，全球總計有超過230萬支TikTok影片利用其音樂片段，更從TikTok紅回現實世界，因而成為Top Moments的收藏對象。</p> <p>根據TikTok的規畫，6支對文化造成重大影響的影片NFT將以拍賣形式進行，而相關的作者每周則會推出限量版的影片NFT供使用者購買，這些限量版的NFT價格將相對平易近人。</p> <p>TikTok是與以太坊Layer-2解決方案供應商Immutable X合作，強調銷售的金額將由作者、NFT專家及Immutable X共同分享，TikTok並不從中分潤。目前TikTok尚未公布Top Moments的拍賣時間，但納斯小子自10月6日起就會陸續發行限量版NFT，要參與NFT拍賣或購買的使用者必須先建立以太坊錢包，未來也可透過其它平臺出售所買下的NFT。</p> </div></div></div>
2021/10/1 14:21作者陳曉莉https://www.ithome.com.tw/news/147011
研究：Apple Pay含有Visa信用卡可被盜刷的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://practical_emv.gitlab.io/" target="_blank">一群安全研究人員本周揭露了Apple Pay的安全漏洞</a>，指稱當啟用Express Transit/Travel功能時，駭客即可繞過蘋果的安全機制，盜刷使用者的Visa信用卡，然而，蘋果卻說這是Visa系統的問題。</p> <p>Apple Pay為蘋果iOS內建的支付機制，使用者可於Apple Pay中存放各種信用卡，執行支付時必須透過指紋、Face ID或PIN碼進行確認，不過，蘋果在2019年於Apple Pay中新增了Express Transit功能，在使用者不必與之互動、甚至在不必解鎖手機的狀況下就能進行支付，對於要快速通過查票口是個很方便的功能。</p> <p>然而，研究人員卻發現他們可以利用Express Transit繞過Apple Pay的螢幕鎖住功能，並以使用者所指定的Visa信用卡進行支付，完全不需要使用者的授權。</p> <p>研究人員採取的是中間人重放與中繼攻擊，他們是透過一個Reader模擬器Proxmark與受害者的iPhone溝通，再以一支啟用NFC功能的Android手機充當卡片模擬器，以與EMV支付設備通訊，為了建立Proxmark與卡片模擬器之間的連結，研究人員先將Proxmark以USB連至一臺筆電，再以筆電將訊息透過Wi-Fi連至卡片模擬器，或者Proxmark也能直接透過藍牙來連結卡片模擬器。</p> <p>在一段展示影片中，研究人員成功地從一支鎖住的iPhone上盜刷了1,000歐元。</p> <p>有趣的是，這群研究人員分別在去年10月與今年5月，將此一漏洞回報給蘋果及Visa，但這兩家業者對於誰該對此一漏洞負責卻未達到共識。</p> <p><a href="https://www.bbc.com/news/technology-58719891" target="_blank">BBC取得了蘋果與Visa的回應</a>，其中，蘋果認為這是Visa系統的問題，Visa亦明白表示，非接觸支付的詐騙手法早在10年前就出現在實驗室中，也已被證明它要在實體世界中執行大規模的攻擊是不可行的。</p> <p>根據雙方的說法，行動支付或非接觸支付的交易過程中有著重重的安全機制，再不濟Visa也提供了持卡人零責任政策，不向被盜刷的受害者收款。</p> <p>換言之，蘋果與Visa目前似乎不打算修補該漏洞，不過，研究人員建議使用者最好不要指定Visa信用卡作為Express Transit的支付工具，以保障自身的權益。</p> </div></div></div>
2021/10/1 14:39作者陳曉莉https://www.ithome.com.tw/news/147013
AWS發布自家和第三方服務都通用的Cloud Control API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布<a href="https://aws.amazon.com/tw/blogs/aws/announcing-aws-cloud-control-api/">Cloud Control API</a>，這是一組通用API，官方設計來讓開發者更方便管理AWS和第三方服務。</p> <p>現在AWS雲端平臺擁有超過200個服務，每個服務都有特定的API、詞彙、參數和錯誤報告，AWS API可用來建立基礎設施即程式碼，像是管理配置或是配置高效能運算叢集。</p> <p>官方提到，隨著應用程式和基礎設施越來越複雜，使用更多的AWS服務，用戶學習和管理不同的API則越來越困難，尤其是在基礎設之中使用第三方服務時，困難更是會隨之增加，因為用戶必須建構和維護自定義程式碼，來管理AWS和第三方服務。</p> <p>AWS新發布的Cloud Control API，是一組跨數百種AWS服務，和數十種第三方服務的標準API，可以用來創建、讀取、更新、刪除和表列資源。其提供5種常用的動詞，包括CreateResource、GetResource、UpdateResource、DeleteResource和ListResource，來管理服務的生命周期。例如當用戶想要創建Amazon ECS叢集或是AWS Lambda函式時，便可以呼叫相同的CreateResource API，並傳遞創建資源類型和屬性做為參數。</p> <p>Cloud Control API目前已經支援數百種AWS資源，在接下數個月內，官方還會增加支援EC2或是S3等AWS資源。AWS提到，Cloud Control API有三群主要的目標使用者，第一群是使用AWS服務API管理自己的基礎設施，或是其客戶基礎設施的用戶，這些用戶通常會建立自有工具來滿足特定需求，但通常很難跟上新的AWS服務和功能，但因為Cloud Control API提供一致，且以資源為中心的方法，因此可以有效簡化這類工具的開發。</p> <p>第二群為HashiCorp和Pulumi等APN合作夥伴，當AWS發布新功能和服務，這些APN合作夥伴也需要學習、整合和測試新的AWS服務API，而這是一個耗時的過程。新的Cloud Control API，讓APN合作夥伴能夠使用統一的API動詞、通用參數和通用錯誤類型，建構獨特的REST API程式碼庫，之後僅要合併標準化的預定義統一資源模型，就可以與作為REST資源公開的AWS新服務互動。</p> <p>第三群則是使用Terraform或Pulumi等解決方案的AWS用戶，也就能夠在新的AWS服務和功能發布時，在當天獲得更新，立刻開始使用這些新功能。</p> <p>要開始使用Cloud Control API，用戶需要更新到最新的AWS CLI版本，官方提到，Cloud Control API的目的並非用來取代傳統的AWS服務API，這些API會一直存在，但是Cloud Control API更簡單也更一致，AWS鼓勵開發者在新應用程式中使用Cloud Control API。</p> </div></div></div>
2021/10/1 14:45作者李建興https://www.ithome.com.tw/news/147012
美FCC投入19億美元，推動汰換華為、中興設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communication Committee，<a href="https://docs.fcc.gov/public/attachments/DA-21-1207A1.pdf" target="_blank">FCC）本周宣布啟動補貼時程</a>，鼓勵中小型電信業者汰換華為和中興兩家企業生產的電信及網路設備。</p> <p>FCC在前任總統川普執政期間，宣布華為及中興產品對美國造成國安威脅，要求拿美國政府預算的電信業者，不得使用兩家業者的網路設備及服務。為鼓勵電信業者移除中國設備，FCC投入19億美元創立《安全與可信任通訊網路補貼方案》，針對用戶數小於1000萬的進階通訊服務商，補貼其移除、汰換與處理「導致國安風險」的通訊設備產生的成本。</p> <p>FCC有線網路競爭管理局本周表示，開放符合條件的電信業者申請補貼，申請期間是2021年10月29日到2022年1月14日。</p> <p>這是<a href="https://www.ithome.com.tw/news/138534" target="_blank">今年7月FCC正式指控</a>中國的華為及中興，及其關係企業對其構成國安風險後，啟動具實質誘因的政策。</p> <p>根據這項方案，2020年6月30日以前購入的華為或中興生產的通訊設備，有資格獲得補貼。但2018年4月17日以前產生的成本，則不在補貼範圍。</p> <p>FCC同時禁止電信業者將FCC的普及服務基金（Universal Service Fund）用來購買這些業者的設備和任何服務。普及服務基金是藉由補貼，鼓勵電信業者在偏遠及鄉下地區架設通訊網路，以提供當地民眾通訊及上網服務。</p> <p>在這項宣布之前，美國司法部才與華為財務長孟晚舟達成協議，對其做出緩起訴判決，使被扣留在加拿大將近3年的孟晚舟可以回家，而不需引渡至美受審。</p> <p>除了華為、中興外，<a href="https://www.ithome.com.tw/news/143227" target="_blank">FCC今年3月還宣布</a>另外3家通訊、網路設備業者造成國安風險，包括海能達、監視攝影機大廠海康威視，以及大華技術。</p> <p>無巧不巧，美國網路安全暨基礎架構安全管理署<a href="https://www.ithome.com.tw/news/146985" target="_blank">（CISA）本周也公告</a>海康威視的70多款IP攝影機、PTZ攝影機，及連網錄音設備（NVR）的韌體，存在可造成系統接管的零接觸遠端程式碼執行漏洞，呼籲企業用戶儘快升級。</p> </div></div></div>
2021/10/1 11:36作者林妍溱https://www.ithome.com.tw/news/147010
Google釋出免費的Address Maker程式，協助政府/非政府組織建立郵政地址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道全球還有數十億人沒有郵政地址嗎？專門替貧民窟、棚屋及半永久性露營地等社區規畫郵政地址的非營利機構Addressing the Unaddressed，在2018年開始與Google合作，藉由Google所開發的Plus Codes替印度加爾各答缺乏資源的社區建立郵政地址，<a href="https://blog.google/products/maps/search-on-maps-2021/" target="_blank">而Google則在本周宣布</a>，將免費釋出奠基於Plus Codes的Android程式Address Maker予全球的政府/非政府組織，加速它們替社區建立郵政地址的腳步。</p> <p>已開發國家的民眾可能很難想像沒有郵政地址所帶來的問題，他們無法投票，不能開設銀行帳戶，沒法申請工作與社會服務，或者是連信件都收不到。</p> <p>Google在2014年發表了可用來識別地球任何地點的地理編碼系統Open Location Code（OLC），該系統是根據經緯度來建立獨特的位置代碼，並以數字及字母呈現，例如849VCWC8+R9，此一位置代碼即稱為Plus Codes。Plus Codes是個開源的數位地址，不管是在網路或實體上都能使用，<a href="https://maps.google.com/pluscodes/" target="_blank">使用者也可透過官網</a>取得自己住家的Plus Codes，直接在Google Maps上輸入此一Plus Codes即可從地圖上看到自家位置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-Address%20Maker-2.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>為了協助Addressing the Unaddressed，Google打造了方便操作的Android程式Address Maker，得以利用Plus Codes大規模地替社區分配地址或是增加街道，而且相容於Google Maps與Maps APIs。雙方已於去年替加爾各答貧民窟的140萬名全數居民提供了地址，<a href="https://services.google.com/fb/forms/addressmaker/" target="_blank">現在Google則進一步開放所有的政府與非政府組織申請Address Maker</a>。</p> <p>Google表示，過去要替整個城鎮或是村莊建立完整的地址，可能需要耗時許多年，但藉由Address Maker將可把時程縮短至數周或數月。</p> </div></div></div>
2021/10/1 11:18作者陳曉莉https://www.ithome.com.tw/news/147009
Google Maps新增野火層提供救災資訊；樹冠工具明年將支援全球逾100個新城市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼<a href="https://blog.google/products/search/mapping-wildfires-with-satellite-data/" target="_blank">去年8月於美國的搜尋與Google Maps上秀出使用者所搜尋的野火邊界</a>之後，本周更進一步<a href="https://blog.google/products/maps/search-on-maps-2021/" target="_blank">直接於Google Maps上新增了野火層（Wildfire Layer）</a>，可用來觀看全球的野火位置與資訊。此外，Google也宣布，樹冠（Tree Canopy）工具將在明年新增對超過100個全球城市的支援。</p> <p>新增的野火層將集結Google擁有的所有野火資訊，在啟用野火層之後，就能一次瀏覽全球的野火資訊，點擊每一個野火，就能看到當地政府所提供的資源，諸如緊急設立的網站、求助電話或是疏散資訊等，或者是關於野火的遏制資訊、範圍，以及更新時間等。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/wildfire_layer_2.gif" style="width: 512px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>野火層將於本周漸次部署至全球Android版的Google Maps上，至於桌面版與iOS版則會在10月出爐。</p> <p><a href="https://www.ithome.com.tw/news/141224" target="_blank">Google在去年成立了樹冠實驗室</a>，它是Google環境洞察探索（Environmental Insights Explorer，EIE）平臺上的專案之一，EIE是藉由資料及建模來協助各大城市測量與分析碳排放來源，以制定減少碳排放的策略。</p> <p>樹冠指的則是樹木頂端的枝葉層，用來評估城市的樹木覆蓋率。其樹冠工具是利用飛機在天空中所拍攝的照片，並輔以各種AI能力，找出一個城市中的熱島，亦即氣溫上升最快的地區。Google表示，這些地區經常是低收入社區，不僅空氣品質不佳，還經常缺水，各地政府將可藉由樹冠工具辨識應在哪些區域種植樹木以增加遮蔭範圍、減少熱氣與降低不良影響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Urban_Tree_Canopy_2021_Chicago_max-1000x1000%5B1%5D.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>自去年11月成立樹冠實驗室之後，其樹冠工具已支援美國15個城市，得以展示這些城市的樹冠分布，預計於明年跨出美國，新增對全球逾100個城市的支援，包括倫敦、雪梨與多倫多等。</p> </div></div></div>
2021/9/30 21:27作者陳曉莉https://www.ithome.com.tw/news/147000
攻擊SolarWinds的駭客再涉入2起後門程式感染行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底透過軟體供應鏈在微軟、FireEye及10多個美國聯邦政府機關植入後門程式的駭客組織，近日又被發現蠢蠢欲動，接連發動攻擊，在受害伺服器上植入後門程式FoggyWeb 及Tomiris，以長期滲透或竊取資料。</p> <p>去年底一個駭客組織藉由包括美國商務部、財政部及FireEye、微軟等眾多組織，所使用的IT管理平臺SolarWinds Orion駭入其客戶網路。這波攻擊背後的駭客組織，據信是和俄羅斯政府支持的Nobelium，又稱Cozy Bear、The Dukes或APT 29有關。它利用Orion的更新平臺下載後門程式，包括Supernova及Sunburst等到用戶網路上。</p> <p>本周微軟及卡巴斯基安全研究人員分別發現兩個後門程式感染行動，且不約而同指向Nobelium。</p> <p>首先是<a href="https://www.microsoft.com/security/blog/2021/09/27/foggyweb-targeted-nobelium-malware-leads-to-persistent-backdoor/" target="_blank">微軟威脅情報中心發現</a>，Nobelium鎖定微軟Active Directory Federation Service (AD FS)伺服器，在取得流出的用戶登入憑證後，就在AD FS伺服器內植入永久性的後門程式FoggyWeb。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2021/09/Fig2-FoggyWeb-NOBELIUM.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>FoggyWeb是一個「後開採」被動式後門程式，具高度目標性。在受害系統中，它濫用SAML（Security Assertion Markup Language）令牌，以攔截進出Active Directory Federation Service (AD FS)伺服器的流量。微軟相信，攻擊者利用FoggyWeb從受害伺服器中竊取用戶登入帳密、組態資料庫、解密令牌(token)的簽章憑證，並下載其他元件，像是進入記憶體中的惡意DLL。之後的行動可能包括執行惡意下載、接收C&C伺服器的指令，或是監控對內流量，攔截任何想知道的對象通訊內容。</p> <p>微軟分析研判FoggyWeb今年4月初就被用於攻擊活動。微軟已通知所有遭到鎖定或已被駭入的客戶。不過微軟並未說明感染機器情形，或是分布範圍等。</p> <p><a href="https://securelist.com/darkhalo-after-solarwinds-the-tomiris-connection/104311/" target="_blank">卡巴斯基則是在今年6月於DNS劫持的攻擊中發現Tomiris</a>。它的某些特徵和今年5月發現的Sunshuttle後門程式很像。Sunshuttle屬於SolarWinds Orion平臺被植入的Sunburst後門變種，因此卡巴斯基推測Tomiris也源於Nobelium。</p> <p>安全公司發現Tomiris是在去年12月到今年1月間，感染獨立國家聯合體（後蘇聯時代成立的9個國家）地區。駭客如何劫持受害者的DNS伺服器尚不得而知，推測可能是取得受害者使用的網域註冊機構的管理控制臺憑證。</p> <p>一旦劫持DNS解析器成功，受害者的郵件伺服器流量會被重導引到駭客控制的網域，並透過假的登入頁，誘使用戶輸入帳密，少部份引誘用戶下載Tomiris後門程式。</p> <p>Tomiris和Sunshuttle一樣，一經植入用戶電腦就會持續和外部C&C伺服器連線以下載之後的惡意程式，以在受害者網路上長期滲透。研究人員另外發現Tomiris變種還會尋找特定檔案類型，如.doc、.PDF、.rar等上傳外部伺服器。</p> <p>卡巴斯基在感染Tomiris的網路上發現另一隻後門程式Kazuar，至於兩波感染是因果關係、個別發生，或是和Nobelium有沒關係尚則無法確定。</p> </div></div></div>
2021/9/30 20:55作者林妍溱https://www.ithome.com.tw/news/146999