如果你還在猶豫要不要升級iOS11，現在或許有個好理由。研究人員釋出一個概念驗證攻擊程式，證明駭客可經由Wi-Fi網路遠端攻擊入侵iPhone 7。 

6月間Google Project Zero小組發現搭載9.44.78.27.0.1.56版韌體的博通（Broadcom）BCM4355C0晶片，在RAM功能有項漏洞，使攻擊者可藉由發動堆疊緩衝溢位（heap buffer overflow）攻擊進行頻外寫入（OOB write），使駭客可透過Wi-Fi網路在用戶裝置上執行任意程式碼。這項漏洞被證實影響其他不同版本的韌體，使受影響產品涵括iPhone 5S、iPad Air及iPod 6以後版本的產品，包括去年推出的iPhone 7及Galaxy S7 Edge。 

Google Project Zero小組成員工程師Gal Beniamini本周再釋出概念驗證攻擊程式，特別針對iPhone 7發動一次成功的攻擊，在其Wi-Fi韌體上植入後門程式，允許透過改造過的action frame輸入讀寫指令，進而輕易取得Wi-Fi晶片的遠端控制權。該攻擊程式能作用於iPhone 7的iOS 10.2 搭配的Broadcom韌體版本，不過研究人員表示到10.3.3版之前所有iOS版都會受到影響。 

他強調整個過程除了遠端執行外，還不需使用者互動，而且可瞄準任何想連上流氓Wi-Fi AP的用戶。 

事實上，博通晶片韌體的漏洞同時影響了iOS、Andriod及tvOS產品，如Apple TV。蘋果已在上周釋出iOS11及tvOS11更新。Google也在本月初發佈Android的更新版來修補漏洞。  

這項漏洞類似7月間發現，同樣也是位於博通Wi-Fi晶片上的Broadpwn漏洞。後者允許駭客自遠端執行任意程式，估計iPhone、HTC、LG及三星等數百萬台行動裝置受到波及。

美國食品暨藥物管理局（Food and Drug Administration，FDA）在本周二（9/26）公布了可參與數位健康軟體預先認證（Pre-Cert for Software）前導專案的9家業者，包括蘋果、三星、Fitbit與Alphabet旗下的Verily等科技業者都在名單中。

此一前導專案屬於FDA數位健康創新行動計畫的一環，主要是為了加速創新醫療裝置或產品的市場應用，該專案預先審查了提案業者的軟體技術，並加以認證，以簡化產品化之後的審核流程。

在此一軟體預先認證機制下，FDA先行審核業者的軟體設計、驗證及維護系統，若符合該組織所制定的品質標準，便賦予預先認證。

取得軟體預先認證的業者在相關產品、工具或服務出爐後，可提交較少的資訊予FDA進行審核，甚至無須再經審核即可上市，大幅簡化審核流程並加速產品上市時程。

美國醫療產品在上市前都必須通過FDA的審核，標準的申請與審核程序通常需要好幾個月，為了跟上創新的腳步，FDA特別替數位健康技術開啟快速通關大門。

從FDA在今年7月宣布軟體預先認證前導專案迄今，有超過100家業者提出申請，並有9家業者雀屏中選，包括蘋果、Fitbit、Johnson & Johnson、Pear Therapeutics、Phosphorus、Roche、三星、Tidepool及Verily。

這9家業者已同意FDA存取它們用來開發、測試及維護軟體產品的方式，包含產品上市後的資料蒐集，也同意FDA員工存取網站資源與品質管理系統，等於是在產品開發過程中就允許FDA介入。

蘋果iPhone 8系列上市不到1周，就有用戶相繼透過蘋果及MacRumors論壇抱怨在通話時會出現劈哩啪啦的靜電干擾聲，蘋果則說已得知此事並會藉由韌體更新修補。

此一問題同時出現在iPhone 8與iPhone 8 Plus用戶進行通話或執行FaceTime的時候，但並不是每次都有雜音，有用戶估計大約打三通電話會有一通出現雜音。

已獲悉此事的蘋果並未對外說明原因，僅說只有少數用戶受到影響，且正著手更新軟體以修補該問題。

Google周二（9/26）宣布，已買下甫於2012年成立的雲端新創業者Bitium，Bitium主要提供雲端身分及存取管理解決方案予大型企業，包含單一簽入與雲端應用程式的管理。

根據Bitium官網的說明，該公司旨在協助企業利用單一介面來管理所有網路應用程式的存取能力，涵蓋G Suite、Office 365、社交網路、CRM、協作與行銷工具等。

Google產品管理總監Karthik Lakshminarayanan表示，隨著企業的應用程式從就地部署移至雲端，不論是企業員工、客戶或合作夥伴都需要新的生產力與協作方式，特別是如何管理雲端應用程式，同時確保安全性及部署適當的資料存取政策。

未來Bitium將會被整合到Google Cloud Platform ，協助Google打造全方位的身分及存取管理服務，並將於雲端與行動環境中導入單一簽入能力。

雙方並未公布交易金額，而在Bitium整合到Google雲端平台之前仍會繼續支援既有客戶。

美國證券交易委員會（Securities and Exchange Commission，SEC）本周一（9/25）宣布設立新的網路單位（Cyber Unit），鎖定調查與網路相關的不當情事。

此一新的網路單位所負責的範疇包括透過社交媒體或電子媒介行銷不實資訊，或是執行駭客行動以獲取未公開的資訊，有關分散式分類帳與首次貨幣發行（ICO）的違規事宜，透過暗網從事不法行為，入侵金融仲介帳號，以及針對交易平台與重大市場基礎設施的網路威脅。

該單位也將協調整個SEC的資訊分享、風險監控與意外處理。

SEC本周宣佈了旗下的電子數據收集、分析與檢索系統（EDGAR）在去年遭到駭客入侵，然而，SEC一直到今年8月才察覺駭客可能已利用該系統的資訊進行內線交易。

SEC執法部共同主任Stephanie Avakian說，與網路相關的威脅與不當行為是證券產業及投資人現今所面臨的最大威脅之一，網路單位將可加強SEC偵測及調查網路威脅的能力。

內容遞送網路及網路安全服務供應商Cloudflare周一（9/25）發表了Unmetered Mitigation服務，將免費協助所有用戶抵抗分散式阻斷服務（DDoS）攻擊，不論是免費或付費用戶皆適用。

過去當用戶遭受DDoS攻擊時，Cloudflare會針對用戶所採用的方案提供程度不同的協助，採用高階方案的用戶除了擁有自動化的DDoS緩解能力之外，Cloudflare工程師還會出手協助，而採用免費或低階方案的用戶就沒有這麼幸運了，當DDoS的攻擊流量大到影響Cloudflare其他用戶時，就會被Cloudflare踢出網路。

此外，其他提供DDoS緩解服務的安全業者還會針對攻擊高峰的突波保護（surge protection）能力向用戶索取更高的費用。有時候，這筆突波保護帳單比駭客所要求的贖金還高。

不過，Cloudflare周一宣布，該公司將不會再因DDoS攻擊踢出任何用戶，不論用戶所遭受到的攻擊規模為何，也不管用戶採用哪一種方案，亦不會於攻擊過後向用戶索取更高的費用。

CloudFlare執行長Matthew Prince指出，企業不應該因為避免被霸凌而付出更高的代價，有些小公司好不容易從龐大的DDoS攻擊中脫身，最後卻因巨額的突波保護帳單而癱瘓。

Prince表示，現在的CloudFlare規模已大到能夠承受及緩解最大型的DDoS攻擊而不影響其他用戶，而且幾乎都是經由自動化操作，即使需要人力介入，該公司的技術團隊也有足夠的處理能力。

DDoS緩解服務為CloudFlare的關鍵服務之一，號稱擁有每秒15Tb的DDoS緩解能力，平均每3分鐘就必須替用戶疏通DDoS的攻擊流量。在CloudFlare最新的方案選擇頁面上，可看到免費版已具備Unmetered Mitigation功能。

跨國連鎖零售業者Walmart在本周宣布已加入企業版的臉書（Facebook）服務Workplace，成為Workplace最重量級的客戶之一。

去年10月正式發表的Facebook Workplace除了動態消息、社團、聊天、直播及搜尋等基本的臉書功能外，還有可整合其他企業的社團功能，以建立企業間的工作空間，並有整合單一簽入與分析功能的儀表板。企業可直接將Workplace嵌入既有的IT系統上或連結Office 365、G Suite、Salesforce與Dropbox等第三方服務。

迄今全球已有1.4萬家企業加入Workplace，包括Starbucks、Booking.com、Spotify、Discovery及電信業者Telenor等。而Walmart很可能是Workplace客戶中，員工人數最多的，它在全球擁有230萬名員工。

目前Walmart旗下的會員商店Sam's Club已利用Workplace來張貼與分享店內的產品照，Walmart的主管也會利用Live影片串流功能來分享重要的消息，例如公司財報或是要到店視察等，各地的員工也能透過Workplace中的翻譯功能彼此交流。

Walmart資訊長Clay Johnson表示，Workplace促進了同事之間的合作，也讓彼此的關係更緊密了。

Workplace分為免費版與付費版，付費版額外提供的是企業所需的管理功能、客製化API與整合第三方應用的能力，根據使用人數計費，前1000名員工每人每月費用為3美元，第1001到1萬名員工每人每月是2美元，1萬之後的員工每人每月只收1美元。

目前臉書並未透露Workplace的免費版與付費版的客戶比例。

千呼萬喚始出來，Java SE 9原預定在3月釋出，又因開發不及，延至7月，甲骨文日前才終於正式釋出Java SE 9（SDK 9）。同時，甲骨文也釋出了Java EE 8企業版以及Java EE 8 SDK開發包。

此次Java SE 9提供超過150個新功能，其中，最受萬人矚目的就是Java模組平臺系統（Java Platform Module System），此平臺以模組化架構Jigsaw為基礎，能模組化JDK、重組原始碼為模組等，提供開發者新的Java程式開發元件模組。

Jigsaw架構讓開發者能建立和維護函式庫以及大量的應用程式，加強應用程式的效能、Java SE平臺的安全性及可維護性，且允許Java SE平臺和Java開發套件（JDK）能夠縮小規模，以應用於小型運算裝置和密集的雲端部署。

而Java程式開發元件模組包含了JAR檔案和JMOD格式，讓開發者能包裝類別檔案，其中JMOD格式相較於JAR檔案，還能打包原生程式碼和設定檔。另外，還有Javac、Jlink等工具，提供開發者能指定模組路徑。

另外，新版Java SE也加強了Jshell API、Javadoc工具、Stream API等，提供開發者互動式工具，來探索API和程式語言功能，也提升開發者的生產力。

而Java EE 8的更新包含了HTTP/2支援Servlet 4、JSON綁定API、新增雲端和PaaS應用程式的安全性API等，而甲骨文也於日前宣布開源Java EE，也將重新授權Java EE及相關的GlassFish技術予Eclipse基金會。

甲骨文（Oracle）於本周緊急修補了旗下產品基於Apache Struts 2的7個安全漏洞，並督促用戶儘速更新。甲骨文一向是透過每季一次的「重大修補更新」（Critical Patch Update，CPU）來修補產品漏洞，然而，最近一次的更新時程應在今年的10月，顯示此次更新所修補的漏洞危急性。

Apache基金會在今年9月5日釋出Struts 2.5.13，9月7日釋出Struts 2.3.34，甲骨文則一次部署這兩個更新程式所修補的安全漏洞，包括了CVE-2017-9805、 CVE-2017-7672、CVE-2017-9787、CVE-2017-9791、CVE-2017-9793、CVE-2017-9804與CVE-2017-12611。

至於釀成Equifax外洩1.43億名消費者資料外洩的CVE-2017-5638漏洞，Apache已於今年3月修補，甲骨文亦隨之透過4月的更新時修補，因而不在此次修補之列。

在甲骨文本次修補中最受重視的是CVE-2017-9805，該漏洞影響了2008年以來的所有Struts版本，只要是以Struts與流行的REST通訊外掛打造的應用程式，其代管伺服器都將允許駭客自遠端執行任何程式，該漏洞影響逾20款的甲骨文產品。

全世界已發行晶片身分證，加上展開規畫的國家總共超過130個，除了遠在歐洲的比利時、德國、愛沙尼亞，鄰近臺灣的日本、香港也開始用晶片身分證。

臺灣原定今年發行，儘管後來延期，但主導晶片身分證政策的戶政司不只舉辦eID系列工作坊或研討會，近幾年也和負責身分證文件印刷作業的中央印製廠，陸續前往導入晶片身分證的國家考察。

其中有兩個eID發行頗有績效的國家，相當值得臺灣借鏡。一個是人口僅130萬人的波羅的海小國愛沙尼亞，晶片身分證普及率高達97％。而另一個歐洲工業大國德國的晶片身分證則擁抱國際標準，相容國際民航組織（ICAO）、國際標準組織（ISO）提出的標準，讓國民eID也能通行全歐。

以法規強制為後盾，提高eID普及率

這兩個國家的eID政策之所以成功，都是以法規為後盾來提高普及率，以愛沙尼亞來說，愛沙尼亞警察和邊防警衛局首席專家Eliisa Sau表示，eID專法上路初期就要求強制執行，「藉由法律，要求每個愛沙尼亞公民都得持有晶片身分證」。她強調：「愛沙尼亞雖是小國家，但有個強而有力的政府，如果政府要求人民這樣做，民眾就得遵守。」

愛沙尼亞第二個關鍵則是大量數位服務使用eID。Eliisa Sau解釋，在2000年時，愛沙尼亞就已經推出電子簽章法，也在2002年推出晶片身分證，但是，「一開始我們僅有法規，但是卻沒有具體的工具及服務」，她表示，必須有相對應可存取的數位服務，「不然只是張普通的塑膠卡片。」

愛沙尼亞資訊系統管理局eID區域經理Margus Arm表示，甚至政策推動初期，因欠缺服務，只好開玩笑說，晶片身分證可以用來刮除窗戶上的冰霜。直到後來，愛沙尼亞意識到必須要有服務才能擴大eID的運用，開始積極強化公、私部門使用晶片身分證的動機。

Margus Arm表示，一方面，愛沙尼亞免費釋出eID軟體，不只民眾可以下載這些工具來簽署或加密數位文件，甚至將eID相關的程式碼公開至開源平臺GitHub，降低私人企業將eID整合至自家系統或產品的門檻。再者，貫穿愛沙尼亞各數位服務的骨幹X-Road，已經串聯起所有的服務，使得eID與數位化服務整合並不困難，Margus Arm表示，「單一服務也可以連結至其他系統的資料庫。」

目前愛沙尼亞國民可以透eID存取2,500項政府提供的數位服務，其中500項是公部門的數位服務。愛沙尼亞的eID除了可以在歐盟內境內作為旅行文件外，還可以用它履行部分的公民義務，如繳稅、投票，其中eID的75％的線上流量都來自金融服務存取。

而德國也走過類似的歷程。如同臺灣，德國規定國民得具有身分證，讓警察、執法機關進行身分驗證。而在2010年時，德國一舉換發成晶片身分證，起初，德國國民對於晶片身分證亦不小的抗拒，質疑該卡能帶來的益處。就像愛沙尼亞一樣，德國在eID政策施行初期，政府提供的數位服務並不豐富，導致晶片身分證的使用成效不如預期，雖然人手一張，但「將近60％的德國國民決定不啟動晶片身分證的功能，因為它並沒有實際用途。」德國聯邦印製廠資深副總裁Roland Heise表示。

直到今年6月，德國通過一部聯邦法律，預設晶片身分證功能必須啟動，Roland Heise表示，「這才改變整個遊戲規則。」不過，也不只靠法律強制就夠了，德國在eID推動7年之後，可用eID的數位服務發展也多有進步，從經商、居住遷徙、工作轉到繳稅無所不包。

不只公部門，私部門也要積極參與

除了健全法律框架外，愛沙尼亞、德國實施eID政策時，私部門的參與也同等重要。Margus Arm表示，最初愛沙尼亞政府的策略是讓公部門透過eID存取數位服務，而私部門必須建立自己的數位服務，並且透過eID進行認證，例如，銀行就跟政府表示，希望利用晶片身分證作為服務憑證，也投資金錢協助愛沙尼亞政府建立數位憑證機制，「這是個雙贏策略」，如此一來，私人企業就不需要開發屬於自己的憑證工具，直接利用國家發行的晶片身分證作為服務憑證，可以降低成本。

根據愛沙尼亞政府的計算，結合數位基礎骨幹X-Raod、晶片身分證及數位簽章功能，「每年節省的成本總共占2％的GDP，全國也省下約820年的紙本工作時間。」

然而方便性與安全性往往難以兼顧，特別是晶片身分證可以於存取許多敏感性的個人服務，想為推動晶片身分證政策的政府，在此不可不慎。Margus Arm表示，愛沙尼亞晶片身分證外觀，只註記了持卡人性別、性別、出生日期及紙本簽名，而數位簽章則儲存在晶片中。

「不過即使持有卡片，仍然得搭配該卡片PIN碼才能使用」，萬一晶片身分證遭竊、遺失，Eliisa Sau表示，市民可以直撥政府服務熱線，要求註銷卡片憑證，減少不法人士用該卡存取數位服務的機率。當市民完成卡片註銷程序後，系統後端的資料庫除了移除該卡中憑證的效力，也會註記這張卡已經遭竊，「如果有人使用它試圖非法跨越國界，也會被發現。」

同樣狀況於德國，當卡片遺失時，民眾也必須通知當局，並要求註銷該晶片身分證的效力。Roland Heise解釋，系統也會註記該卡的憑證已經失效，如果有人試圖使用這張卡，「因為這張卡已經在註記在黑名單中，完全不可能被他人非法使用。」

德國加密晶片身分證的PKI金鑰長達4096位元，雖然現階段安全強度已經足夠，但德國已經開始思考導入新技術加強晶片身分證安全，如區塊鏈技術。——德國聯邦印製廠資深副總裁Roland Heise（攝影／洪政偉）

PKI足夠安全，但安全水準得要與時俱進

而預防晶片身分證遭非法冒用，不只有消極的作為，無論是愛沙尼亞、德國也都使用公開金鑰基礎建設（PKI）加密晶片身分證。

如同臺灣政府把憑證授權機構（CA）的工作委外給中華電信，愛沙尼亞也採取同樣的政策，將此工作交給由愛沙尼亞境內最大的兩家銀行、電信商持有的公司，「我們必須建立一套嚴謹的審核機制，確定這些機構足夠提供安全的憑證服務」，Margus Arm表示，在2002年愛沙尼亞國民開始持有晶片身分證時，當時金鑰長度是採用1024位元。不過技術進步至今，1024位元長度金鑰的安全度已經不足，現在愛沙尼亞已經開始推動新標準，「現在PKI的金鑰長度有2048位元，按現在需求標準，它的安全度足夠，要破解也相當困難。即使現階段PKI已經足夠保護晶片身分證的各類應用情境，愛沙尼亞也沒有停下腳步，仍持續尋找新技術確保該國國民的隱私安全，現在愛沙尼亞嘗試橢圓曲線加密演算法（Elliptic curve cryptography），「我們認為是一個更加安全的加密機制。」Margus Arm表示。

Roland Heise亦表示：「現在PKI足夠安全，但得持續增進它的強度，」目前德國用於加密晶片身分證的PKI金鑰長度達到4096位元，「但沒有人會一直開20年老車上路，時候到了就得換新車」，現階段該技術的安全強度足夠支援晶片身分證的應用，但德國政府也開始思考導入新技術的可能，例如區塊鏈技術等。

資訊系統、政策公開透明才能重獲人民信任

愛沙尼亞推動晶片身分證時，除了備齊法規、技術外，另外一個要點，就是採取公開、透明的方式來贏得民眾的信任。Margus Arm表示，愛沙尼亞政府將所有晶片身分證相關的系統都公開至GitHub，並且歡迎民眾去檢視這些程式碼，如果發現漏洞亦能隨時通報相關機構，要求修補程式臭蟲，「這樣除了機制透明外，也是愛沙尼亞政府確保程式碼品質的方法。」

除了機制透明化，Eliisa Sau也提醒，政府必須建立透明的查核機制及系統。以愛沙尼亞而言，政府存取個資都會留下相關的Log紀錄，如果民眾不清楚政府存取私人資料的理由，可以馬上提出申訴，「透過自動化統，減少人為介入這些作業的程度」，而該國的eID專法中，針對不同隱私程度的個人資料，亦有規範可公開、不公開的原則。

由於eID政策草案已經出爐，該政策與個人隱私、數位資料自主權等議題有重大關係，長期關注臺灣人權議題的非營利組織台灣人權促進會（簡稱台權會）臺灣網路透明報告專案經理何明諠表示，戶政司要推動晶片身分證具體的政策資訊，「只有宣示性的承諾，而沒有具體政策。」原定2017年要發行的eID，而現今該政策推動又將延期，在推動日期、技術規格都未明確之下，民間團體也不易提出具體政策批評、建議，「回歸原點，政府應該討論究竟臺灣是否需要eID。」何明諠表示。

如要推動eID，現階段《戶籍法》的法源效力不足

按照現階段《戶籍法》，當中規範發放身分證相關條例為第五章第51至62條。雖然當中並無強制規範身分證必須是以紙本或內嵌晶片的塑膠卡形式發放，但何明諠表示，推動晶片身分證之所存在法源爭議，「《戶籍法》並不能規範eID後續衍生的數位服務。」

因此，若政府決定全面換發晶片身分證，「而該卡恐存在侵犯人民隱私權、資訊自主等權利的風險，那台權會認為，以攸關人民權利義務的狀況下，只用《戶籍法》作為全面換發晶片身分證的法源其實並不足夠。」他說。

依照現在的《戶籍法》，人民理應也要能主張持有紙本身分證的權利。何明諠解釋，按照《戶籍法》中的第51條規範：「國民身分證用以辨識個人身分，其效用及於全國。」倘若身分證僅用於身分認證，「若現階段的紙本身分證亦有身分辨識功能，為何需要晶片身分證？」若考量未來國民有離線、線上身分識別的需求，「理應這些規範都應備納入《戶籍法》或另立專法。」

因此他認為，目前推動晶片身分證政策的法源並不足夠，「假若推動晶片身分證，要求每個臺灣國民都得具有一個數位身分，但《戶籍法》中卻無相關規範」，例如該晶片身分證的應用情境為何、未來發展的修法依據。

何明諠進一步解釋，目前與身分證有關的法條，僅有《戶籍法》的51至62條規定，內容主要規範身分證的核發單位、何時換發、國民領取的年齡規定等準則，「這些規範，與eID議題常討論的隱私議題、資安風險沒有任何關聯。」

而晶片身分證除了紀錄基本個人資訊外，可能還可用於存取金融服務，或是方便執法機關用於驗證身分，「如果沒有明確的法律規範，很難確保政府不會擴大晶片身分證的應用情境。」何明諠表示。

雖然現階段政府承諾，晶片身分證僅是用於存取數位服務的鑰匙，並不會額外儲存過多的個人資訊。不過何明諠認為，在法治國家的運作，任何政策的推動、修改，都必須有明確的法源依據，不能依賴口頭承諾、道德勸說，必須要依法行政，要確保晶片身分證用途不會擴張的方法，「就是制定明確法規，萬一想要更新功能，都必須有法源依據。」

使用eID遺留的數位足跡恐埋下大規模監控之風險

以德國、愛沙尼亞為例而言，因應推動晶片身分證政策，兩國都分別推出專法，規範晶片身分證應用的主管機關以及該機關具備的權限。例如，指定甲機關負責儲存數位憑證的業務，或是該國公民使用晶片身分證存取數位服務時，遺留下的數位足跡跟中介資料，專法中亦要規定特定狀況時，政府機關或其他人士存取這些資料的權限，而相關存取紀錄亦會被留存，以便當事人自行檢視。

何明諠表示，雖然內政部承諾，未來推動晶片身分證政策時，也會設定此機制，讓民眾檢視自己的隱私資料被哪些人士、機關存取，「但並沒有清楚規範檢視哪些資料類型可以讓民眾自行檢閱，以及該資料會儲存在哪些機關中」，雖然內政部目前對上述議題有所構想，「但是實施細節尚未明朗，台權會擔憂這些數位足跡的紀錄，恐產生大規模個資蒐集及監控的疑慮。」

利用全盲系統的設計，使用者自行決定何時可以揭露身分，此外，即使遇到部分不守法的公務人員，也能提高門檻避免濫權使用。──台灣人權促進會臺灣網路透明報告專案經理何明諠

不只《戶籍法》，晶片身分證也不在《個資法》管轄下

針對eID所產生的風險，除了目前《戶籍法》不敷使用外，規範個人資料蒐集、處理、使用的《個資法》也無法管轄晶片身分證的應用，「目前《個資法》並沒有列出這些細項規定。」何明諠表示，《個資法》對於國民隱私保護的範疇在於，當隱私資料被公務機關、非公務機關蒐集、使用時，必須經過當事人同意，或是其使用理由具備足夠的公共利益正當性、用於學術研究。

不過現今的《個資法》所涵蓋範圍，並無對晶片身分證應用衍生的資料使用進行規範外，「並沒有辦法免除政府進行大規模監控的風險。」何明諠表示，在2015年時該法的修正，讓公務機關使用、蒐集個人敏感性個資門檻下降，「這是相當大的擴權。」

在現今《個資法》第6條：「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用」，何明諠表示，原先這些個人私密資料的使用，須經過當事人同意，但現在的法條內文中附加一條但書：「為協助公務機關執行法定職務或非公務機關履行法定義務必要範圍內，且事前或事後有適當安全維護措施。」

何明諠認為，如此《個資法》的法條修正，讓敏感資料的蒐集、處理及利用的規範變得非常寬鬆，「導致個人敏感資料在公務機關流通的可能性變得很高，相當不妥。」此外，《個資法》亦無區分大量資料與少量資料兩者在蒐集、處理及利用的差異，但「數千萬筆數據跟數十筆數據的蒐集，是兩種截然不同的蒐集方式。」他表示。

制定專法保障資料自主權

也因此，何明諠認為，現有的《戶籍法》、《個資法》都將無法對晶片身分證應用進行規範，「若多數臺灣民眾都認同推動晶片身分證，則需要訂定專法，規範eID的應用」，例如，晶片中存取的資料、儲存使用eID產生中介資料的機關、卡片的用途等。他表示，其他使用晶片身分證的國家，皆有限定政府單位存取資料的權限。以德國為例，只有特定海關、警察單位才有權力讀取晶片身分證中的隱私資訊。

在晶片身分證的技術層面上，專法中也應規定晶片身分證的資安措施，根據存取服務或資料敏感度，設定不同強度的加密機制，「隨技術進步，這些規定應該也要有修正的彈性，加強資訊安全的保障。」何明諠認為。

同時，何明諠表示，即使推動晶片身分證，「政府應該也要保留替代方案，提供非數位的存取管道」，考量使用eID會留下許多數位足跡，如果仍能保留人工作業、匿名作業的空間，「可以確保政府不會掌握過多的行蹤資料，除了可以避免大規模監控的可能，人民也有相對較多的自由空間。」

避免公家機關濫權，得設計全盲機制資訊系統

除了從法律層面下手保障個人資料自主權外，設計全盲機制的資訊系統，也能確保隱私資料無故被存取、利用的可能。何明諠舉例，像是加拿大不列顛哥倫比亞省的市民卡，便透過全盲系統設計，避免政府大規模監控的風險。

這張市民卡從資訊系統從資料傳輸模式的設計著手，從市民存取數位服務開始，從最初提供身分認證服務機關、服務提供機關及提供憑證機關，各自都只能掌握部分資訊，沒有人能拿到完整的資料，簡言之，「各機關都是全盲的。」何明諠解釋，提供身分檢驗的政府機關，不清楚使用者會使用何種數位服務，僅負責身分驗證，而提供服務的政府機關，除非必要，亦不會知道存取服務人的實際身分，再者，提供憑證服務的機關，亦不知悉該用戶為誰，「利用全盲系統的設計，使用者自行決定何時可以揭露身分，即使有部分不守法的公務人員，也能提高其濫權使用的門檻。」

在臺灣政府推動晶片身分證政策尚未明朗之間，「還未能清楚晶片身分證的潛在應用情境」，而eID所牽扯到的議題，不單只是個人存取數位服務而已。像愛沙尼亞公的晶片身分證也能用於投票，已屬公共利益的應用範疇。因此，除了研議晶片身分證適合存取的數位服務外，何明諠仍強調，回歸最原點，「政府應該討論，究竟臺灣人民是否真的需要eID，若確實有需求，就必須要立專法進行規範。」

近年來，內政部警政署刑事警察局已經公布兩起電子郵件詐騙案例，也讓我們實際見識BEC詐騙所用的手段。

內政部警政署刑事警察局科技研發科股長羅國良表示，像是在2016年10月，內政部警政署刑事局與台新銀行，成功攔阻一起商業電子郵件詐騙案，這樁詐騙的金額高達1億5,360元，為近期損失規模最大的事件。

這起事件是因為台新銀行的行員發現，某存款帳戶於105年10月26日，突然有1億5,360萬元款項的入帳，而該戶頭之前並未有鉅額款項的交易紀錄，由於疑似不法異常交易，因此，透過聯防機制聯繫165反詐騙諮詢專線，經員警依經驗判斷，立即通知台新銀行啟動圈存機制，將未及領出的款項凍結。

之後經過深入調查才知道，原來是香港某投資公司會計陳小姐，誤信了歹徒寄出的詐騙電子郵件，信件內容係假冒負責人要求，儘速將鉅額款項匯予指定帳戶。由於歹徒使用的電子郵件信箱，偽裝成公司負責人很相像的電子郵件信箱，讓陳小姐誤以為是真是大老闆寄出的信，因此依信件內容指示，將480萬美元（約新臺幣1億5,360萬元）匯款至歹徒指定之存款帳戶。

另一起事件是在2016年11月，內政部警政署刑事局接獲趨勢科技情資，有國內某傳產廠商與俄羅斯合作業者之間的交易郵件，被駭客竊取並竄改郵件內容的情形。由於掌握到相關證據，因此刑事警察局主動出面，與該臺灣廠商聯繫，並請他們與俄羅斯客戶確認，才阻止這次九萬美元，約合新臺幣300萬元的交易金額損失。

羅國良指出，在這兩次事件中，交易雙方都是處於不知情的狀況，而趨勢科技通報的這起案件，也是等到臺灣廠商接獲刑事警察局的警示電話才知曉。

這起案件是假冒臺灣廠商聯絡窗口，要求變更匯款帳號，郵件中竄改了寄件帳號，郵件回覆是指向一個偽裝與寄件者相像的電子郵件信箱，甚至隔天還寄出附上假收據的郵件，來增加取信於俄羅斯業者的聯絡窗口。

刑事局之所以能快速掌握詐騙證據，是因為詐騙者使用的是一個名為YOPmail的免費臨時信箱服務。市面上這類可拋棄式信箱、一次性信箱不少，像是YOPmail的特色是，郵件最多保留5日後刪除，不留證據，但登入這個網頁信箱也不需要密碼，因此，任何人只要知道信箱帳號，就能檢視。

趨勢科技中小企業事業部協理黃家寶也提出進一步說明，因為事件中的俄羅斯廠商就是他們的客戶，他們先從郵件遞送過程發現端倪，然後循線找到駭客使用的YOPmail信箱與內容，因此能掌握到郵件內容是在詐騙的證據，才趕緊聯繫刑事警察局來處理。

黃家寶也提到，這次是剛好在遇害時間內，發現駭客使用的是一次性郵件信箱，並得知其內容，否則一般無法舉證如此詳細。

從上述兩個例子來看，國內很早就有聯合金融機構和警察機關的警示帳戶聯防機制，可縮短對詐騙案件的處理時程，以即時阻斷民眾被詐騙款項被歹徒提領。

另外，刑事警察局為加強打擊科技犯罪能量，在2015年時，也與資安廠商趨勢科技簽訂合作備忘錄，透過不定期的情資分享，期望能防範網路犯罪於未然。

然而，這些提前預防的案例相當少見，大多數企業都是受害之後，才開始進行後續調查。因此企業本身還是要提高警覺，不要疏於公司資安保護及交易匯款確認。

快速認識「商務電子郵件詐騙」

商業電子郵件詐騙（Business E-mail Compromise，BEC），也簡稱BEC詐騙。

 受害對象  與國外供應商或業務有所往來的企業，尤其是製造、食品、零售、運輸等傳統類型產業，資安警覺性較低，受害可能性高。

 五種常見BEC詐騙方式 

場景一　駭客假冒海外供應商以要求企業付款。

（網路犯罪分子假冒國外客戶E-mail，要求變更匯款帳號，導致公司匯款至詐騙用帳戶。或者是假冒臺灣公司名義發送E-mail給國外客戶，導致國外客戶匯款至詐騙用帳戶。）

場景二　駭入企業高階主管的電子郵件帳號，並假冒其名義要求企業內部的財務經理人匯款。

（網路犯罪分子假冒老闆E-mail，像是CEO、CIO、CFO，向公司會計要求需緊急處理某筆電匯。）

場景三　與客戶聯繫的企業窗口電子郵件帳號被駭，並假冒其名義要求供應商付款。

（網路犯罪分子竊取公司企業窗口甚至負責人電子郵件，直接寄送偽造內容的信件，致使對方匯款至詐騙用帳戶）

場景四　駭客假冒律師或事務所的代表，宣稱要處理緊急事件而要求匯款，可能選在工作日的最後一天發信給受害者。

場景五　同樣是駭入高層主管郵件帳號，假冒其名義發信給內部的人事或審計主管，要求彙整提供所有員工資料。

 BEC詐騙流程的四個階段 

階段1　確認目標

駭客從網路上或展場中，蒐集到各企業大老闆或企業窗口的聯繫資訊，以及各式相關資訊。

階段2　潛伏觀察

駭客透過入侵或釣魚手法成功取得企業郵件登入帳號密碼，或透過惡意軟體側錄使得雙方通信內容一覽無遺，掌握公司財務對象、大老闆行程與交易資訊，等待時機攻擊。

階段3　正式發動攻擊

在國內企業與國外廠商交易快完成前，中斷廠商之間的通訊，向是Reply-to的寄件者至竄改的假冒E-mail，並假冒出口商要求變更匯款帳號，或是假冒大老闆名義向公司會計要求匯款。

階段4　取走匯款

待企業上當匯款之後，將款項提領一空，或是再匯至第三個國家地區銀行或第四個國家地區銀行。

資料來源：美國FBI犯罪申訴中心IC3，iThome整理，2017年9月

注意竄改Email帳號的偽裝手法

竄改Email手法｜字形混淆變化

竄改Email手法｜字元加減變化

竄改Email手法｜位置調換與直接假冒

基本上，網路犯罪分子往往使用名稱非常相似的假電子郵件帳號，例如將帳號中的英文字母「l」改成數字「1」，英文字母「o」改成數字「0」，甚至是英文字母「m」改成「rn」的方式。還有的手法是在帳號不顯眼處增減1字，或是將網域名移到＠前方來魚目混珠。

使用者不論是在寄信、回信時，可以多確認一下寄件者的電子信箱是否正常。另外也要提醒，也有駭客是駭入企業使用的電子郵件系統，或盜取使用者帳號，由於對方是使用真正的郵件帳號發信，會更難防範。

面對BEC詐騙，企業該採取的5大行動

行動1　收到匯款變更通知，務必第二管道確認：

對於經常往來國外廠商突然變更收款帳戶，或是變更出貨地等情況時，應提高警覺，確認是否為正確郵件，最好要以電話等方式聯繫，做為雙重認證機制。

行動2　增強內部稽核流程：

合作廠商若要變更匯款資訊，企業內部是否也要制訂相關SOP，像是需要經由公司另一位人員複核。對於公司主管來信，各單位也應確認是否為正確郵件，如有金錢與重要資料交付有關，其他通訊管道聯繫確認。

行動3　提升員工資安意識：

被害廠商疏於交易匯款確認，為深化員工的資安意識，可加強人員對釣魚郵件與BEC詐騙的認識，或是增加社交工程詐騙演練，到養成一些簡單的預防動作，例如確認電子郵件寄件來源。

行動4　強化企業資安防護：

被害廠商疏於公司資安保護，應強化公司電腦資安維護，減少駭客入侵、木馬程式植入之機會。

行動5　檢舉報案：

一旦察覺任何詐騙事件，立即報警或向165反詐騙專線檢舉。

資料來源：各資安廠商、刑事警察局，iThome整理，2017年9月

Amazon周三再宣佈多款新的Echo，力圖擴大在智慧家庭裝置的優勢，同時也即將進駐BMW汽車。 

首先，Amazon 推出了長度較短、布面材質的Echo，提升遠聲場效果及音質，並提供炭黑、淺灰、砂岩紅、胡桃木、淺褐色等多種色彩選擇(上圖)。而價格則從原有的180美元調降為100美元，三個一組售價為250 美元。 

此外新增了Echo Plus(下圖，來源：Amazon)，內建的家庭中樞(home hub)技術可自動尋找並介接其他Zigbee為基礎的家庭連網產品，包括門鎖、智慧照明、開關等，並強化360全指向性音效及杜比處理技術。Echo Plus售價150美元，現在還和Philips Hue智慧燈泡搭售促銷。

在此同時，Amazon也強化了Alexa功能，包括客製化語音指令，例如可以用「Alexa晚安」教Alexa同時關閉電燈、電視及上門鎖。使用者也能設定特定時間規則，使Alexa固定在平日的6:00及周末的9:00開燈、泡咖啡及報氣象。此外也能將Echo系列與相容裝置設定為群組，像是讓Alexa早上聽到開燈，會開啟廚房燈而非其他燈。 

Amazon也準備明年讓Alexa進駐BMW，車主可利用車上內建的麥克風向Alexa下聲控指令，像是報新聞、氣象等任務，Alexa提供的影像內容，也可顯示於車上螢幕。而先前Amazon和福特的合作也正在進行中。

另外，針對Echo、Echo Dot及Echo Show，Alexa現在還加入免費外撥美、加及墨西哥電話的功能，不過不支援911。 

除了推出新款Echo，還有Echo Connect及Echo Buttons。Echo Connect(下)可整合傳統市話或VoIP電話，作用有點像免持聽筒，讓使用者在緊急事故中，不必拿起聽筒Alexa就能幫你撥打通訊錄中的電話。同樣的，當友人打來時Alexa也會大聲告訴你。Echo Connect售價35美元，今年稍後才會推出。

至於多種色彩、會發光的Echo Buttons(下)，可透過藍牙連線當成遊戲的控制器，並已經獲得多項遊戲支援。Echo Buttons是第一個Alexa配件裝置，預計萬聖節假期在英美、德上市，2個一組售價20美元。

其他新增產品包括包括4K版Fire TV（70美元），以及作為Echo Dot喇叭的Echo Sport（130美元）。新Echo、Echo Plus及Echo Connect及Echo Spot也於昨日開始接受預購。  

Amazon Echo是當今最普遍的智慧個人助理裝置，據有全美70%的市佔。Alexa的技能也超過2萬項，遠超過競爭者Google、微軟或三星。

FierceWireless引述研究機構統計，Android發明人Andy Rubin自立門戶的創業代表作Essential Phone在美國出貨一個月以來，僅出貨將近5,000支。 

Essential Phone是在8月中開放預購，8月26日開始出貨。研究機構BayStreet估計，首隻Essential Phone PH1在這一個月內的銷售量還不到5,000支。 

該公司表示，這個數字僅反映消費者從零售通路買入的量，而非零售通路向製造商（即Essential）進貨的量，意謂著日後銷售量有可能大於這個數字。 

這個數字顯然遜於較知名的品牌手機，遑論Essential希望主打的iPhone及三星Galaxy。媒體分析，目前只有Sprint搭售Essential Phone，在通路上已受到限制，而如果單買空機，700美元的價格，在三星Samsung S8或iPhone 8環伺之下，出線機率較低。同時也有媒體評比指相機畫質不如預期。 

Essential Phone PH1不論在材料及元件上都屬於高規格。機身採用鈦金屬及陶瓷材質，比其他手機更耐操、耐摔，搭載Qualcomm Snapdragon 835處理器、4GB記憶體、128GB儲存。手機的前、後各搭載800萬畫素及1300萬畫素相機，並可搭配1200萬像素的360度環景攝影機。軟體方面，Essential Phone除了採用最新版的Android 7.1，也強調不會灌入不必要的app。

Amazon與BMW周三（9/27）宣布，明年中於美國、英國及德國發表的所有BMW與MINI車款都將內建Amazon的Alexa語音數位助理，除了可控制音樂、指引道路、控制智慧家庭裝置之外，也能存取由第三方業者打造的上萬種Alexa功能。

BMW集團多年前就於旗下車系嵌入語音控制功能，現在則是藉由Alexa釋放語音控制的多種可能性，去年亦曾推出支援Alexa的BMW Connected功能，讓車主能以語音控制車內空調或是將車子上鎖。

因此，未來的BMW與MINI車主除了能透過Alexa控制車上的音樂、指引道路、撥電話之外，也能藉由各種Alexa功能預訂Starbucks咖啡、播放TED Talks內容、聽新聞、打開住家院子的燈或控制家中溫度等，創造更數位化的生活環境。

根據Amazon今年7月所公布的數據，Alexa功能的總數已突破1.5萬項，類別包羅萬象，從商業、通訊、汽車、教育、遊戲、生活、電影、音樂、新聞、購物、社交到旅遊等，都可找到不同業者所開發的Alexa功能。

蘋果日前發表的十周年紀念機種iPhone X首度內建Face ID人臉辨識功能，本周蘋果透過技術支援頁面與Face ID安全指南文件揭露了Face ID的運作細節。

iPhone X以人臉辨識的Face ID取代了過去幾代iPhone的Touch ID指紋辨識功能，它利用TrueDepth深度攝影機擷取細微的臉部資料與紅外線影像，再藉由A11 Bionic晶片的神經引擎將臉部深度細節與紅外線影像轉成數學表徵，再與已註冊的臉部資料比對。

Face ID能夠自動適應使用者外貌上的改變，例如化了妝或是髮型變了，若改變太大，像是把落腮鬍給刮乾淨了，那麼Face ID就會要求使用者輸入密碼以更新臉部資料。此外，就算是使用者戴了帽子、圍巾、太陽眼鏡或隱形眼鏡，不管是室內、戶外或是在暗處，Face ID也都能加以辨識。(來源：Apple)

Face ID的功能與Touch ID相仿，都能用來解鎖iPhone，取得於iTunes Store、App Store、iBooks Store或Apple Pay的交易授權，也允許開發人員以Face ID作為程式的登入憑證。此外，已經支援Touch ID的行動程式都將自動支援Face ID。

蘋果強調Face ID比Touch ID還要安全。讓其他人利用Face ID解鎖iPhone的機率只有100萬分之一，遠低於Touch ID的5萬分之一。只要5次辨識失敗，就會要求使用者輸入密碼。

不過，Face ID不見得完全適用於雙胞胎、長得很像的兄弟姐妹，或是尚在發育中的13歲以下兒童，因此蘋果建議這些人若有安全上的考量可改用密碼輸入。

由於Face ID捕捉了平面照片所缺乏的臉部深度資訊，因此可避免被面具之類的技術所矇騙，它也會知道使用者的眼睛是睜開且注視著裝置，讓其他人無法趁使用者睡覺時偷偷解鎖iPhone。

另外，Face ID必須搭配密碼使用，因為在特定時刻仍會要求使用者輸入密碼，包括開機時、鎖住超過48小時、過去6天半都未使用密碼且超過4小時沒用Face ID解鎖裝置、接收到遠端鎖住命令時，或是5次辨識失敗之後。

在隱私上，蘋果強調Face ID的資料是以加密形式存放於Secure Enclave中，這些資料只會儲存於裝置上，而不會備份至iCloud，且隨時可以關閉該功能。

此外，就算不啟用Face ID，iPhone X前方的TrueDepth相機仍可提供注意力察覺功能（Attention Aware Features），例如會偵測使用者是否看著螢幕而調整螢幕亮度或通知音量。

趨勢科技（Trend Micro）在本周揭露了首個利用Dirty Cow漏洞的Android惡意程式家族—ZNIU，指出已有超過30萬款Android程式夾帶ZNIU，至少已於全球逾40個市場感染超過5000名Android用戶。

Dirty Cow為一藏匿於Linux核心的權限擴張漏洞，可允許駭客取得被駭系統的最高權限，雖然自2007年釋出的2.6.22版便已存在，但一直到去年10月才曝光，包括Linux、 Red Hat、Ubuntu、Debian與基於Linux的Android在去年皆已陸續修補該漏洞。

然而，趨勢科技近日才發現駭客鎖定Android平台上的Dirty Cow漏洞展開攻擊，猜測駭客花了許多時間來打造可靠的攻擊程式。

ZNIU通常以散布在各個惡意網站的色情程式作為媒介，安裝後它就會與遠端的C&C伺服器展開通訊，開採Dirty Cow漏洞的ZNIU在擴張權限後就能突破系統限制以植入後門，以替未來的遠端攻擊舖路。

鎖定Dirty Cow的攻擊過程，先在惡意網站埋伏，待下載至使用者的Android裝置後開採Dirty Cow漏洞，連接C&C伺服器更新惡意程式，並竊取資料，再假冒用戶的身份和電信商交易謀利，竄改裝置上的資料：（來源：趨勢科技）

其中一個發生在中國市場的案例是ZNIU取得了裝置用戶的電信營運商資訊，並利用基於簡訊的支付服務與營運商交易，諸如訂閱各種捏造的服務，然後把款項轉至虛設的公司。在交易完畢後，ZNIU還會刪除裝置上的交易簡訊內容，以毀屍滅跡。趨勢科技只在中國看到此一手法，其他市場的ZNIU目前只於裝置上植入後門。

目前多數的ZNIU受害者位於中國與印度，但美國、日本、加拿大、德國與印尼也都有ZNIU的蹤跡。

微軟從2014年開源.NET核心開始，近年來在開源方面貢獻不少，日前又更進一步擁抱開源，成為非營利組織開放原始碼促進會（Open Source Initiative，OSI）的頂級贊助者，而OSI透過微軟的贊助，能持續以教育、協作、基礎建設等方式，來推動和保護開源軟體。

開放原始碼促進會是一成立於1998年的非營利組織，專注於保護和發揚開源軟體、開發和社群，且負責批准如微軟或甲骨文等廠商特定的開源許可證。

而開放原始碼促進會的頂級贊助者除了微軟之外，還有Google、HPE、GitHub等，其他的贊助者還包含紅帽（Red Hat）、Linux基金會（Linux Foundation）、Mozilla等。

微軟開源專案辦事處總監Jeff McAffer表示，在軟體產業中，開放原始碼促進會的工作對於開源的發展和成功是至關重要的第一要素，且隨著微軟更加廣泛且深入地與開源社群合作，這次也很興奮地支持開放原始碼促進會的努力。

歐盟持續施壓社群龍頭臉書（Facebook）、Google、推特（Twitter）及微軟，周三公佈了自我管理指導原則，要求線上平台更積極預防、偵測及移除仇恨、暴力及恐怖主義相關內容，同時警告如果社群及網路業者未能符合要求，歐盟將立法強制執行，屆時可能導致天價重罰。
 
歐盟委員會指出，隨著網路上恐怖主義宣傳、及試圖激發暴力及仇恨的反猶太及種族主義言論氾濫，線上平台的把關角色日愈重要。新頒佈的指導原則要求這些平台加強打擊非法內容，委員會期望線上平台未來幾個月內迅速採取行動，特別是已違反歐盟法規的恐怖主義及非法仇恨言論。
 
歐盟司法、消費者及性別平權委員會主席Vera Jourová指出，法律適用於線下生活，也適用於線上，歐盟無法接受數位蠻荒地帶。她表示這項行為規約已經和臉書、推特、Google及微軟達成同意，顯示自我管理可提供表率，也會導致有效結果。但如果科技公司們不履行，歐盟將會積極執行。
 
在這項指導原則中，歐盟委員會針對非法暴力仇恨內容的偵測、移除及防範做出多項建。包括要求網路公司指定聯絡窗口，以利歐盟要求迅速移除內容，投資開發自動偵測技術及方便用戶檢舉，並和可信賴機構合作辨識非法內容。
 
在移除內容方面，歐盟還要求網路平台應在「特定期間」內迅速動作，同時也應向向用戶清楚說明內容政策，並發佈接到內容移除的通知之數量及型態，然而又要小心錯殺內容。最後，本指導原則要求網路業者使用自動化工具來偵測、過濾，避免移除內容死灰復燃。
 
委員會表示，上述只是第一階段工作，預計2018年5月截止。歐盟將在未來幾個月內仔細監督網路平台公司自我管理的狀況，再評估下一階段工作是否要再增加其他措施，必要時也可能通過立法。一旦通過立法，意謂著臉書、Google等公司可能面臨天價罰金，一如動輒數十億美元的反托拉斯調查。
 
事實上，歐洲各國早已開始施展鐵腕要求美國網路公司掃蕩種族主義、暴力及恐怖主義貼文及影片。例如德國在今年7月通過外號「臉書法」的爭議性法案，要求臉書、Google及推特（Twitter）等社交網站必須在24小時內移除仇恨言論，否則將開罰，最高可處最高5000萬歐元(台幣17.4億)的罰金。
 
而包括臉書、Google及微軟等公司，也早就積極導入人工智慧及人為的內容偵測機制，以及業界共享資料庫來過濾暴力仇恨內容。

重點新聞(0916~0929)

AI開發工具　機器學習

微軟Azure推出多項AI開發新工具，機器學習模型雲端部署和管理都變得更方便

微軟副總裁Joseph Sirosh近日在Azure的官方部落格表示，AI已經成為企業數位轉型背後的最具破壞性的力量之一，為了提供每個企業和開發者可以更方便運用AI技術，這次的新進展以Azure 機器學習服務（Azure Machine Learning，AML）為基礎，延伸出更多新的服務，包含新增開發工具Visual Studio Code Tools for AI，以及認知服務中也提供開發人員，在iOS、Android和 Windows的平臺上，建置多項AI應用，此外也推出 AI企業版的解決方案等。

微軟也宣布下一代的Azure機器學習服務的進展，在AML工作平臺（Workbench）、AML實驗（Experimentation）、AML 模型管理（Model Management）服務等服務中，新增多項功能與工具，提供開發人員使用。

除此之外，AML還與Excel整合，全球有上百萬的使用者主要用Excel當作數據分析的工具，微軟也宣布，Excel的使用者現在也可以擁有AI的技術，每個企業都能用AML根據自身的需求建立模型，再將這些模型部署成雲端的函式。

智慧城市　影像分析

Nvidia攜手阿里巴巴、華為，用AI影像分析平臺Metropolis打造智慧城市

Nvidia最近宣布，與阿里巴巴和華為合作，利用AI影像分析平臺Metropolis，來建立智慧城市的應用。同時，Nvidia也宣布，軟體開發包DeepStream正式上市，能夠透過具備深度學習和超規模資料中心的攝影機，來簡化影像分析開發，且DeepStream能即時處理、理解及分類影像資料。

Metropolis平臺是Nvidia於5月發表的AI影像分析平臺，以GPU為基礎，並利用深度學習技術分析串流影像，可以用來協助智慧城市分析每日大量的影像資料，且能進一步改善城市的公共安全、交通管理、資源優化等應用。而阿里巴巴將應用Metropolis平臺，來加強城市治理服務，例如，即時交通管理及預測、智慧排水系統等。華為則計畫將Metropolis平臺用於影像內容管理，例如，提供臉部辨識、行人車輛結構、逆向圖像搜尋等應用。

除此之外，Nvidia將在GTC技術大會上，於北京展示人工智慧城市的未來，包含了海康威視研究院（Hikvision Research Institute）在臉部辨識方面的應用。海康威視研究院利用Metropolis平臺，結合攝影機、網路影像記錄器、嵌入式開發平臺Jetson，以及Nvidia雲端服務等，來進行臉部辨識，能夠在人山人海的地方，尋找失蹤人口。

健康醫療　微軟

微軟成立新部門搶進醫療市場，藉AI和雲端運算能力開發預測分析工具

微軟近日正準備在英國劍橋研究院成立新的健康醫療部門，企圖用微軟開發的AI應用、機器學習技術和雲端運算的能力，進軍醫療市場。

這項計畫包含一套病人照護的監控系統，以及大量的疾病研究，像是糖尿病的相關研究，病人照護的監控系統能協助病人在離開醫院之後，持續提醒地提醒病人的健康問題。微軟這次請來前曼徹斯特大學公共衛生資訊學的臨床教授Iain Buchan，帶領醫療研究部門，Iain Buchan是位專業的醫生，也是位資料科學家，過去25年積極投入研究在臨床和學術上，如何運用數據改善醫療，Iain Buchan表示，醫療部門將會善用AI技術，開發預測型分析工具、個人醫療資訊系統。

理財諮詢　對話機器人

又一家證券業搶進Chatbot理財，兆豐證推出一站式理財諮詢Line機器人

兆豐證券近日宣布，與精誠資訊合作，在Line平臺上推出Mega理財小秘書，投資人可以透過語音或是文字的方式，訂閱自選股股價和相關新聞、查詢理財資訊，以及線上開戶等功能。

精誠過去2年開始開發Chatbot，用理財營業員的考試用書內容來訓練理財模型，可以提供基本金融知識的介紹，就像是一個金融小百。另外，這款Chatbot還可以提供投資分析策略，包含5個策略大師的投資分析，像是巴菲特，和16個技術型態的評估。不過，Mega理財小秘書目前還無法接受委託下單，只能提供資訊或諮詢。

值得注意的是，Mega理財小秘書還有一項功能e雷達，讓投資人不用再像以往需要盯盤，或是請投資專員幫忙盯盤，可以自行設定的條件，當自選股價變化達到投資人設定的條件，Chatbot就會自動通知投資人，讓投資人掌握最新的即時狀況，又不需要花時間自己觀盤。

精誠資訊在2年前建立了自我學習證券知識的機器人模型，將過去10年，40位客服人員與客戶互動，所累積的客服系統資料，包含語音和文字的數據等非結構化的資訊，經過篩選後，當成訓練模型的資料來源，還加入理財營業員的考試用書內容，經過將近兩年的訓練，終於在近日釋出。

輿情分析　網路話題

企業掌握網路社群話題有新工具！IBM AI輿情分析平臺終於支援正體中文

IBM近日正式在臺宣布AI輿情分析平臺Watson Analytics for Social Media開始支援正體中文，過去該平臺收集的網路資訊僅限於英文，終於在上個月發布支援中文的版本，提供企業從不同的社群媒體上，監控網路上的討論，進一步制定出更準確的行銷策略，不過目前介面仍然只提供英文版。

IBM早在2年就已經推出Watson Analytics for Social Media平臺，透過企業自己設定的關鍵字，來收集網路社群媒體上相關的資訊，提供企業了解消費者和市場反應的機制，不過，由於中文的斷詞和詞意問題，該平臺過去只支援英文，經過2年以上的訓練，透過Watson收集大量的中文資訊，來源不只侷限於網路的文字，還包含期刊等文字當作訓練集，終於在近日完成中文語意模型的訓練，正式對臺灣市場公開發布。

Watson Analytics for Social Media會依照企業設定的條件搜尋和分析相關的討論，企業可依照主題、議題、時間區隔等分類，查看視覺化的分析結果，以主題來看，可看見在時間區間內討論該主題的分布情形，點選某個時間點，還能呈現每個評論提到關鍵字的相關內容，並將該討論經過情緒分析，歸類成正面、負面、中性和兩極，若是企業想更加了解中性和兩極的評論，還能直接連結到原始的文章內容，查看原文的前後文來判斷。

電腦視覺　卷積式神經網路

AI演算法靠一張2D大頭照就能建立臉部3D模型

英國諾丁漢大學與金士頓大學的研究人員，近日釋出只要輸入一張2D的大頭照，就能建立人臉的3D模型的演算法，同時推出示範網站來展示該演算法的成效，研究人員已將該專案的演算法透過GitHub釋出。

研究人員指出，3D臉部重建是個非常困難的電腦視覺問題，這群研究人員改用人工智慧來簡化上述流程，他們以2D影像及3D的臉部模型來訓練卷積神經網路，只要一張2D的大頭照，不需要精確的對準，也不必建立圖像間的對應關係，繞過建模及擬合程序，直接重建3D的臉部幾何形狀，且適用於任何的臉部位置及表情。

此外，一般使用者也能藉由研究人員所設立的示範網站一窺該專案的奧妙，可直接點擊範例大頭照或是上傳自己的照片來檢視重建後的3D樣子。該站上從9月7日上線迄今，使用者已上傳了超過28萬張的大頭照，為保障隱私，該站亦強調會在20分鐘內刪除使用者所上傳的影像與重建後的3D模型。

AI趨勢近期新聞

※傳Amazon正在開發Alexa智慧眼鏡，最快年底問世

※Google自然語言API新增內容自動分類與個體情緒分析能力

※趨勢科技推新版家用版防毒軟體，內建企業版AI偵測引擎

※資料來源：iThome整理，2017年9月。