分析機構IDC周三發佈未來5年的ICT支出預測，認為在物聯網（IoT）、VR/AR、人工智慧（AI）及機器人等新科技的帶動下，全球ICT支出預估由2016年的4.3兆增加到5.6兆美元，2017到2021年年複合成長率達6%，是GDP成長率的2倍。 

IDC指出，傳統ICT（包括IT和電信）支出已經相當成熟，許多成熟市場逐漸飽和及大量普及，傳統ICT產業營收因雲端市場成長而受到侵蝕，而使IT資本支出逐漸集中於少數雲端服務供應商手中。結果是傳統IT支出年成長率剩下3%到4%，電信支出成長率更只有不到1%。 

相較之下，一群被IDC稱之為創新加速器（Innovation Accelerator）的新科技，包括物聯網（IoT）、VR/AR、認知人工智慧（Cognitive AI）、機器人、3D列印及次世代安全等則快速竄起。這些新種ICT技術支出金額在2017年較去年成長17%，預計未來5年隨著科技普及到新興市場，支出成長還會加速。其中IoT、AR/VR及機器人到2021年將扮演更重要的角色。 

IDC認為，這類新科技的出現，將會結合數年前興起的雲端、大數據分析和社交平台，到2021年佔到所有ICT支出的75%。

Mozilla於周三（10/18）宣布，微軟、Google、三星與全球資訊網路聯盟（World Wide Web Consortium，W3C）已同意把各家瀏覽器的網頁開發文件統一存放在Mozilla的MDN Web Docs網站上，以方便網頁開發人員查詢。

W3C技術架構組的共同主席Daniel Appelquist表示，最常聽到網頁開發者的抱怨之一是要建立跨瀏覽器的網頁時，所需的相關文件太過分散，將各家瀏覽器的文件集中在MDN Web Docs將能造福全球開發人員。

2005年問世的MDN Web Docs原本就是Mozilla用來提供各種網路技術與標準的內容網站，每月的造訪人數超過600萬人。之後的MDN Web Docs除了供應JavaScript、CSS、HTML及各種Web API等網路標準的說明與教學之外，也會有基於Firefox、Chrome、Microsoft Edge及Samsung Internet Browser等不同瀏覽器的網頁開發指南。

其中，微軟已著手將MSDN網站上有關瀏覽器的7700頁內容轉移到MDN Web Docs，Google則說過去幾年已持續將Chrome的網頁文件轉至MDN Web Docs。

為了一同控管MDN Web Docs及推動它的發展，業者也成立了產品諮詢委員會（Product Advisory Board），現有來自上述組織的9名委員，將針對MDN的內容策略、發展方向與平台功能提出建議，以讓MDN成為最全面也最完整的瀏覽器暨網路標準的文件資料庫。

Alphabet子公司DeepMind周三（10/18）宣布，已打造一個比AlphaGo更厲害的圍棋程式—AlphaGo Zero，它具備自我教學能力，已成為歷史上最強大的圍棋棋手。

之前的AlphaGo版本主要是以數千盤人類棋手的對戰進行訓練，包含業餘與專業棋手，然而AlphaGo Zero跳過了此一步驟，在完全不懂圍棋的狀況下自己跟自己對戰，由於它內建了具備強大搜尋演算能力的神經網路，因此能不斷調整與更新，以預測棋子的落點。

AlphaGo Zero透過強化學習模式讓它成為自己的老師，當中完全沒有人類的干預，也未使用歷史棋戰資料，只花了40天便成為史上最強的棋手。

一開始的AlphaGo Zero只知道圍棋的基本規則，卻在3天後就打敗了AlphaGo Lee，這是在2015年與李世乭的5盤對戰中拿下4盤的AlphaGo版本；21天後它達到與AlphaGo Master同樣的能力，此為今年於網路上與60名專業棋手對戰拿下全勝紀錄，並擊敗柯潔的AlphaGo版本，40天後它便超越了所有的AlphaGo版本。

DeepMind指出，AlphaGo Zero所使用的技術遠比之前的AlphaGo還要強大，因為它不再受限於人類的知識，而是向全球最厲害的棋手學習—AlphaGo Zero自己。

隨著演算法的進化，AlphaGo所使用的運算資源也愈少(下圖)，早期的AlphaGo Fan使用176個GPU，之後便改採Google自行發展的AI處理器（Tensor Processing Unit，TPU），AlphaGo Lee使用了48個TPU，AlphaGo Master與AlphaGo Zero皆只使用4個TPU。

儘管AlphaGo Zero仍然以圍棋為開發範本，但DeepMind認為類似的技術將可被應用在其他的結構化問題上，例如蛋白質折疊、降低能源損耗，或是尋找革命性的新材料等，將有潛力對社會帶來正面的影響。

AlphaGo Zero的研究報告已於本周發表於《自然》（Nature）期刊上。

AlphaGo Zero介紹影片：

Google於本周二（10/17）釋出Chrome 62正式版，將於這幾天透過自動更新升級Windows、Mac與Linux裝置上的Chrome瀏覽器。

Chrome 62修補了35個安全漏洞，加強對HTTP網頁的警告，改善了用來評測網路品質的Network Infomation API，支援OpenType可變字型（OpenType Font Variations），還可擷取DOM元素的內容。

今年1月釋出的Chrome 56開始將基於HTTP傳輸協定的密碼與信用卡輸入網頁標示為不安全，而Chrome 62則將所有基於HTTP的資料填入網頁標示為不安全。

基於推測使用無痕視窗（Incognito mode）的使用者應特別注重隱私，因此若於Chrome 62啟用無痕視窗，只要是造訪基於HTTP而非HTTPS的網頁都會顯示為不安全。

另外，舊版的Network Infomation API只能根據使用者的連網方式提供理論上的網路速度，更新後的版本則能根據使用者實際的體驗提供網路效能的真正數據，以協助開發人員打造更適合用戶網路狀態的內容。

可變的OpenType字型則可用來改善網頁的排版。傳統上一個字型檔只包含一種字型，有著固定的粗細與伸縮，但可變字型的粗細與伸縮卻是可任意調整的。至於W3C Media Capture from DOM Elements API則允許網站即時擷取與儲存動態內容。

兩名21歲的年輕創業家Jessica Chiu及Y.C. Chen近日釋出了支援iOS的Nude程式，它能夠自動掃描手機上的「相機膠卷」（camera roll ），並把裸露的照片或影片藏起來，以保障使用者的隱私。

當Nude程式於相機膠卷中偵測到裸露的內容時，會先將這些內容輸入至程式，再於相機膠卷與iCloud中移除這些內容；Nude程式也整合了相機功能，可將所拍下的照片及影片直接存放於該程式中。只有透過密碼或Touch ID才能開啟Nude程式。

在手機拍照功能普及與自拍盛行的現代，使用者手機上可能或多或少都存有別人或自己的私密照片，Nude則可避免這些內容不小心曝光。

根據The Verge報導，當Chiu在今年9月舉行的TechCrunch Disrupt論壇上介紹Nude時，一開始大家都否認自己手機藏有裸露照片，卻又頻頻追問細節，最後才表態說自己需要。

目前Nude只有支援iOS的版本，正在打造Android版本，雖為免費下載，但使用時必須支付每月1美元或每年10美元的訂閱費用。

微軟於本周三（10/18）公布了一藏匿在Google Chrome瀏覽器的安全漏洞，編號為CVE-2017-5121為一遠端程式執行（Remote Code Execution，RCE）漏洞，指出強調沙箱安全政策對於Chrome的安全性來說並不足夠，同時批評Google的修補程序有瑕疵。

外界紛紛將微軟此舉視為是「以其人之道還治其身」的作法。Google的抓蟲團隊Project Zero多次公布微軟產品的安全漏洞，其中更有幾次是在微軟尚未修補前公開，雙方還曾為此隔空交戰。本月初，Project Zero亦抨擊微軟的修補措施有問題，指出微軟經常優先修補最新作業系統的安全漏洞，駭客便可藉由程式碼的比對找出舊版Windows中的同樣漏洞並伺機攻擊。

微軟的「反擊」是以自行開發的漏洞檢查工具ExprGen來檢驗Chrome瀏覽器所使用的V8 JavaScript引擎，發現了CVE-2017-5121與其他臭蟲 ，還打造了開採CVE-2017-5121漏洞的攻擊程式，並於今年9月14日將它們提交給Google，總計獲得Google所頒發的15837美元抓漏獎金，其中，光是CVE-2017-5121漏洞的獎金便佔了7500美元。Google已於9月中旬釋出的Chrome 61修補了相關漏洞。

微軟表示，Chrome相關缺乏RCE的防範機制，意味著從記憶體損壞臭蟲到遠端執行程式漏洞的路徑可能很短，且於沙箱內的多種安全檢查讓RCE攻擊程式得以繞過同源政策，以便存取受害者正執行的網路服務或儲存相關憑證。

微軟同樣也批評了Google的修補政策，指出Google先將修補程式上傳至GitHub的V8專案，再於3天後修補Chromium專案與Chrome瀏覽器，而這短短的幾天已足以讓駭客取得漏洞資訊、打造開採程式並發動攻擊。

儘管多數人都認為微軟是在對Google還以顏色，但雙方在抓漏上的競爭也將替使用者創造更安全的數位環境。

台灣微軟新任總經理孫基康正式與媒體見面，他將帶領台灣微軟今後的營運發展，包括加速推動雲端以協助企業數位轉型，更要擴大雲端的應用層面，深入不同產業之中。

今年9月孫基康才剛接替邵光華擔任台灣微軟總經理，40歲不到的他年紀輕輕就接掌台灣微軟，將負責台灣的業務營運，帶領業務、行銷、技術支援、諮詢服務部門。

事實上，這並不是孫基康首次在外商公司擔任老總，他自華盛頓大學取得電機工程學位後即加入美商國家儀器(NI)，隨後返台在台灣NI任職，27歲就成為台灣NI總經理，2014年加入施耐德電機，2015年升任台灣施耐德電機近20年首位本地總裁。

他在台灣出生，但在年紀還小時便前往美國，由於家庭因素10歲便開始打工至大學畢業，當過送報生、電腦維修員、拍賣員等工作，從這些工作經驗中學習經驗。他津津樂道在美國的送報經歷，由於每位送報員負責一定的區域、眾多訂戶的派報工作，報社會先向送報員收取訂報費用，再由送報員向訂戶收取，讓他學習到如何提升工作效率、作好現金流的管理，奠定基本的營運管理概念。

接掌台灣微軟，孫基康表示，在Satya Nedella上任後，微軟的世界觀很明顯和前任執行長不同，努力朝雲端、智慧化的邊緣、AI、跨裝置服務等發展。他認為下一個產業發展機會是IT結合OT成為IoT，從中提煉的數據成為AI應用的基礎，是台灣微軟接下來要做的。

他表示，微軟今年的目標是加速雲端的成長，以協助企業數位轉型，並將雲端的應用深入到製造、金融、零售、健康、教育及政府六大產業，過去製造業扮演台灣的經濟基礎角色，如今面臨轉型的關鍵，未來的3年將是IoT、雲端、AI的發展關鍵，他上任後首要之務是加速微軟的自我轉型，同時以微軟的雲端服務及產業夥伴，加快國內IoT、AI等各種應用發展。

10/07~10/20焦點新聞

• Pepper機器人前進政大，臺灣成立第一個Pepper Lab，搶練金融AI基礎工

政大在10月18日宣布，成立金融科技國際產學聯盟營運總中心，並且跟沛博科技合作，啟動臺灣第一個Pepper Lab，由政大的金融科技研究中心帶領AI金融科技的多項相關研究，並由沛博科技提供開發技術顧問，更有4臺Pepper機器人進駐政大校園。

政大在去年11月成立了金融科技研究中心，近一年來也已經進行了多項AI、金融科技的相關研究計畫，包括AI智能退休理財平臺、財富管理、供應鏈金融、物聯網金融、KYC與身分辨識、金融資安、投資型保單管理、智能健康醫療管家等。這次的「金融機器人開發計畫」，讓政大在金融的學術能量跟Pepper的人工智慧技術緊密合作，拓展更多的金融應用情境和表達模式。

在政大成立的Pepper Lab，將會鎖定金融業為主軸。沛博科技就表示，他們會跟政大金融科技研究中心合作，先進行產業市場調查，累積大數據後進行分析，預計將金融應用落在Pepper身上。政大副校長王儷玲則說，未來可以結合大數據分析跟機器學習來增強Pepper在影像辨識、語音辨識的功能，讓Pepper可以更精準地辨識身分，強化資料處理分析能力，並且提供數位銀行或金融保險投資理財的各種服務。

• 國內首家可接受虛擬貨幣付款的蛋糕餐飲店Coin Cake開幕

國內第一家可接受虛擬貨幣的蛋糕店Coin Cake在10月15日開幕，相較於傳統店家僅接受臺幣付款，Coin Cake所提供的蛋糕、咖啡等餐飲服務除了可用臺幣付款，也可選擇以比特幣、以太幣等虛擬貨幣付款，民眾只要擁有虛擬貨幣電子錢包，結帳時可不需要掏出現金，可以手機上的電子錢包付款就能完成結帳動作。

所有商品均以臺幣標價，結帳時如果想以虛擬貨幣付款，店員會將金額依照BitoEX的匯率換算成虛擬貨幣金額，民眾依想要支付的虛擬貨幣幣別，掃描對應的QRCode取得店家錢包資訊，手機線上付款就能完成結帳。

Coin Cake表示，在日本等國外地區虛擬貨幣交易已被接受，但在台灣虛擬貨幣的使用並未普及，為了教育民眾讓更多人瞭解虛擬貨幣，因此成立Coin Cake接受虛擬貨幣交易，並通過店員說明教導民眾認識虛擬貨幣。目前可接受市場上接受度較高的比特幣、以太幣等虛擬貨幣，未來視市場接受度也會支援其他虛擬貨幣。

• 全球政府首創！杜拜地政總署建立區塊鏈房地產平臺

杜拜正不遺餘力地推動區塊鏈發展，要在2020年成為全球第一個所有交易都透過區塊鏈完成的智慧政府。杜拜地政總署（Dubai Land Department，DLD）在10月7日宣布，已建立一個基於區塊鏈技術的地政資料庫，它紀錄了所有的不動產交易，成為全球首個將區塊鏈技術應用於地政的政府。

DLD的區塊鏈資料庫內含土地租賃註冊資訊，並連結了杜拜的電力暨水力局（DEWA）、電信系統，以及各種相關的帳單系統，也含有個人租戶資料庫，諸如阿聯酋身分證或居留簽證的有效期，也支援電子付款。DLD表示，該區塊鏈的全面電子化流程允許全球人民不論在何時何地都能在幾分鐘之內完成交易，而不必親自走訪政府機關。

DLD的資料庫除了整合DEWA，還有當地的不動產開發商wasl Asset Management Group、銀行Emirates NBD及IKEA，未來也可望新增其他的合作夥伴。預期之後該資料庫將會覆蓋所有的杜拜資產，同時開放民眾與政府機關存取，將讓不論是居住在杜拜或外地的投資人都能夠確認產權資料，以高度的公開及透明化提高數據的準確性與交易的可信度。

• 摩根大通推出區塊鏈為基礎的支付網路服務

金融集團摩根大通（J.P. Morgan & Chase）在10月16日宣布，推出區塊鏈為基礎的支付服務Interbank Information Network（IIN），以確保客戶的支付安全性。IIN底層為摩根大通以以太坊區塊鏈（Ethereum）核准開發的Quorum平臺，並強調Quorum的隱私防護技術可確保在IIN上資料共享的安全性。

跨境支付是極複雜的事，為符合法規，需要參與支付的單位要透過層層通訊來驗證及處理支付，導致時間的延長。藉由區塊鏈技術，IIN可以大幅減少因合規與資料查詢所需的時間，因而加快作業流程。摩根大通表示，IIN可讓跨境支付的時間由數周縮短為幾小時，也能減少因時間延宕衍生的成本。目前，加入IIN的有加拿大皇家銀行及紐西蘭銀行，預計未來還會有其他合作夥伴宣布加入。

• IBM揭露區塊鏈銀行業務網路，縮短跨境支付交易時間及成本

圖片來源：IBM

IBM在10月16日發布區塊鏈銀行業務網路（Blockchain Banking），協助金融機構處理跨境支付交易，以減少結帳時間，並降低企業和消費者全球支付的成本。IBM與開源區塊鏈網路非營利組織Stellar.org、金融支付基礎建設廠商KlickEx Group合作，共同推出區塊鏈銀行業務網路，目的在於擴充全球支付類型和價值的資金流動，並且允許金融機構可以自行選擇結算網路（Settlement Network），來進行中央銀行發行的數位資產交換。

IBM表示，在跨境支付的交易上，需要多個仲介，更需費時數天甚至數周才能完成。而區塊鏈銀行業務網路則採用IBM Blockchain平臺以及區塊鏈分散式帳本（Distributed Ledger）技術，來加強銀行在單一網路中，能夠以近乎即時的速度清算和結算付款交易記錄。

例如，未來IBM能讓薩摩亞的農夫和印尼的買家簽訂貿易合約，而區塊鏈則將用來記錄合約條款以及管理交易文件，且允許農夫提供抵押品，以獲取信用，並立即支付，讓使用者以相對容易且透明度高的方式進行全球貿易。另外，區塊鏈銀行業務網路目前已經在12個貨幣走廊（Currency Corridor）處理現場交易，範圍橫跨太平洋島嶼、澳洲、紐西蘭以及英國。

• Maicoin年底將推新數位資產交易所「MAX」

臺灣的數位資產交易平臺Maicoin在近日宣布，將在年底前推出全新的數位資產交易所「MAX」。Maicoin在10月16日時正式支援萊特幣（Litecoin，LTC）的交易，並在隔天邀請萊特幣的創始人李啟威談論加密貨幣的未來，更重要的是，Maicoin也同場宣布將要建設數位資產交易所，和Maicoin最大的不同在於價格跟透明度。他們和凱基銀行合作，客戶透過凱基銀行的信託帳戶配合，可以儲值臺幣，想購買幣的時候就可以直接購買，不需要持臺幣再到便利商店繳費。而且原本遭到詬病的價格不公開的缺點也會解決，算法、規格全部都會公開，Maicoin也表示，他們更在資安上花了不少心思。

而另一家臺灣知名的交易平臺幣託（Bitoex）也在九月底時宣布即將成立BitoPro的數位資產交易所，另也有Cobinhood（柯賓漢）也宣布正在建置中。

金融科技近期新聞

※中國百度金融加入Hyperledger，成為頂級會員（Premier member）

※傳俄國將打造自己的加密貨幣CryptoRuble

※臺灣業者復華投信推出自主研發的「復華理財機器人」

Waymo和Uber的官司持續進行的同時，Uber在美競爭對手Lyft周四宣佈獲得Waymo母公司Alphabet投資部門CapitalG 10億美元的投資。
 
這項投資也讓Lyft的市值一舉大漲到11億美元。伴隨這次投資，CapitalG合夥人David Lawee也將加入Lyft董事會。
 
Lyft表示，截自今年10月該公司服務在美國的普及度已經由今年初的及54%的美國人增加到95%，完成5億次的載送趟次，然而共乘服務僅佔美國旅運總哩數的不到5%，顯示還有很大成長空間。
 
今天這項宣佈其實早有風聲。原本Alphabet是Uber的金主，然而今年自Uber和Waymo因智財權官司後關係惡化，Alphabet就轉而與Lyft拉近距離。今年5月兩家公司及IBM聯手推出了微服務管理技術。
 
更稍早Lyft也獲得汽車大廠通用汽車和Jaguar Land Rover的資金挹注。
 
相較之下，Uber正忙著平息內部人事風波、智財官司以及在全球各地鬧出的營運爭議。不過壞消息仍持續傳來，上個月底Uber喪失了在英國倫敦執業的牌照，本月又被爆它曾經獲得蘋果私相授受，使Uber iPhone app可暗中錄製用戶手機螢幕畫面而引發爭議。

蘋果發表新iPhone後，帶動第四季手機市場競爭，各家業者也相繼推出新機應戰，小米也在台灣發表了旗艦手機小米MIX 2，採用5.99吋18:9全螢幕設計，10月24日將開始銷售，售價14999元。

MIX 2採用高通Snapdragon 835處理器，和過去的手機略有不同，這支手機在4G LTE上支援了6模43頻段，包括了台灣的五家4G業者全部的頻段，不再有無法支援特定電信商特定4G頻段的遺憾。

國內將在10月24日中午12點在小米官網線上開賣，6GB記憶體/64GB容量，售價14999元，6GB/128GB則是16599元。11月開始在遠傳、中華、台灣之星三家電信門市銷售。

MIX 2宣稱採用全面屏2.0技術，螢幕雖從前代的6.4降為5.99吋(2160x 1080)，但螢幕比例從17:9改為18:9，試圖在大螢幕與方便使用上取得平衡，機身背後使用了四曲面陶瓷。在通話上，手機內建了導音式微型聽筒，強調有更好的通話音質。

與稍早推出的另一款旗艦手機小米6相同，MIX 2在照相上使用Sony IMX386感光元件，支援4軸光學防手震，主相機畫素為1200萬，前置相機為500萬畫素。延續前代MIX手機特色，MIX 2內建了3300mAh或3400mAh電池，以延長手機使用時間，並支援USB Type-C充電。

為了加強Google Play的app安全品質，Google將祭出獎金廣邀安全研究人員幫忙從特定Android app中找出並修補漏洞。

Google和抓蟲賞金方案平台HackerOne合作共同推出Google Play安全獎勵方案（Google Play Security Reward）。本方案要求參加者幫忙找出Google Play上app的漏洞，並直接以官方漏洞揭露流程通報該app的開發商。在開發商和參加者合作下，在90天內將漏洞修補完成者，由開發商向本方案提出申請，符合本方案資格領域者即可領取1,000美元的獎金。

此外，Google的Android安全部門還會額外頒發獎勵給得獎者，以感謝他們提升Google Play生態體系的安全性。

但本方案特別限制找出的漏洞必須是能在Android 4.4版本以上的裝置作用的遠端程式碼執行（Remote Code Execution, RCE）漏洞，即不用告知使用者或取得許可即可執行的漏洞，像是可下載任意程式碼、原生或JavaScript，使攻擊者取得所有控制權；可操控UI以執行交易的漏洞，如冒充使用者身份以行動銀行app轉帳，或開啟webview而導致網釣攻擊的漏洞等。同時，如果漏洞發生在不同app共謀（collusion）或不同app間有相依性之處，即不在此方案涵蓋範圍，也無法獲得獎金。

今天公佈本方案僅適用Google Play上Google自己開發的Android app，以及8家廠商的13個app，外部廠商名單包括阿里巴巴、Dropbox、Dulingo、Headspace、Line、Mail.ru、Snapchat及Tinder。Google 表示等方案規劃更完整，細節更確定後，會再擴及其他開發商。Google自有app漏洞通報管道分別為Google弱點獎勵方案，以及Chrome獎勵方案。

本項方案希望能以人類之力補強Google Play的現有自動掃瞄技術，確保Google Play app的安全性。光是在今年，就接連傳出多起Google Play app遭惡意軟體滲透，或是惡意程式逃過安全掃瞄卻被安全公司爆料的事。今天賽門鐵克才公佈發現Google Play上8款app感染惡意程式，可讓受害裝置變成殭屍電腦。

華爾街日報於本周報導，中國聯通在Apple Watch 3於中國上市一周後，移除了Apple Watch 3最受矚目的行動通訊（Cellular）能力。

蘋果在今年9月發表了Apple Watch 3，這是首款內建e-SIM（embedded SIM）並具備行動通訊功能的Apple Watch，它不需搭配iPhone就能打電話與傳訊，亦成為Apple Watch 3的最大賣點。

中國聯通則是中國市場首家開賣Apple Watch 3的電信業者，根據報導，中國聯通在9月22日開始銷售Apple Watch 3時還提供行動通訊服務，但9月28日又忽然終止該服務的申請。

分析師認為，這是因為基於軟體、可隨意切換電信營運商的e-SIM在中國尚不成熟，中國政府仍在尋找如何控管e-SIM的策略。此外，迄今Apple Watch 3只獲得中國工業和信息化部所頒發的測試許可，尚未拿到正式許可。

不過，Apple Watch 3的行動通訊服務被禁應該只是暫時性的，蘋果中國官網的Apple Watch 3網頁上仍然寫著「蜂窩網路服務將於今年稍后推出。」

Google於本周四（10/19）出版了Google Play狀態報告，顯示該程式市集已吸引了全球逾190國家、超過10億的使用者，並宣布將於Google Play上新增「Try it Now」按鍵，以讓使用者可以在尚未決定是否安裝前先行試用。

Google是在2012年推出Google Play，這是Android平台的官方市集，容納各種程式與數位內容，雖然比蘋果在2008年發表的App Store晚了幾年，但隨著Android成為全球市佔率最高的行動平台，Google Play的使用人數、程式數量及下載數量皆已超越了App Store，例如Google Play上現有270萬款行動程式，勝過App Store的220萬款。

此外，Google Play在全球擁有超過10億的使用者，這些用戶光是在去年就下載了820億個Android程式，且每月程式安裝數量超過100萬的開發者數量也增加了35%，Google Play上的買氣在去年亦成長30%。

至於「Try it Now」按鍵則是Android Instant Apps的延伸。Google於去年揭露的Android Instant Apps專案允許開發人員打造可以直接執行而不安裝的行動程式版本，使用者可以藉由任何來自搜尋、社交媒體或傳訊軟體所傳送的連結來執行程式，現在Google把Android Instant Apps整合到Google Play上，在具備直接執行能力的程式旁秀出「Try it Now」按鍵，使用者只要點擊它就能試用行動程式，同樣也無需安裝。

臺灣是一個總面積只有3萬6千平方公里的蕞爾小島，缺乏天然資源，因而許多產業都發展不起來。每每談及臺灣產業的未來，最常被提及的現實問題，就是資源不足與內需市場太小。然而，或許我們已經習於臺灣很小的宿命，而忽略了在地理空間以外，臺灣所掌握的另一種天然資源。

在資訊安全領域，臺灣其實擁有一項充沛的天然資源──惡意程式。多年來針對臺灣政府與企業的網路攻擊未曾中斷，數不清的惡意程式從天而降，造就了臺灣這項得天獨厚的優勢。

視惡意程式為天然資源，並非自我解嘲的玩笑話。臺灣看在資安專家的眼裏，甚至是「惡意程式的寶島」，因為這裡不僅是惡意程式密度最高的國家之一，而且許多特種惡意程式都是臺灣首度發現。而在資安的世界，誰能掌握惡意程式與威脅情資，就能先發制擊；就如同在石油世紀，誰掌握了原油，就能掌握世界經濟。

而最近遠銀SWIFT被駭事件中，有兩個插曲，再次凸顯臺灣應該更積極看待這個天然資源，進而把受到密集攻擊的劣勢，轉為發展資安產業的優勢條件。

其一，是上周遠銀被駭事件發生後，我們緊急製作封面故事，快速匯整各方所掌握的訊息，並且盡可能描繪出事件經過（相關報導：遠東銀行遭駭追追追）。期間我們取得了5個惡意程式的資訊，於是將其製作成表格，刊載於新聞，以利讀者用於企業內過濾這些惡意程式入侵。然而，在我們後續追蹤事件時，卻發現斯里蘭卡的金融電腦安全事件應變中心的漏洞警告單，所列的5個惡意程式的資訊，與iThome製作的表格相同，而斯里蘭卡的資訊是由臺灣的TWCERT/CC提供。由於我們為了便利讀者閱讀，出刊所製作的表格型式已與當初原始資訊不同，經TWCERT/CC告知後，斯里蘭卡的警告單因而加註資料來源為iThome新聞。

這件事令我不解之處，並非TWCERT/CC取用iThome新聞所整理的資訊。我們在報導中整理出惡意程式相關資訊，就是因為知道這對大家有幫助，而透過我們將訊息大量傳播出去，是媒體的職責。我更擔心的是，TWCERT/CC是否在第一時間掌握這些惡意程式的情資，因為TWCERT/CC位居臺灣資安事件通報的中樞，若TWCERT/CC未能在第一時間掌握重大資安情資，那就表示臺灣整體面對資安情資仍不夠積極。

第二個插曲，是有人在10月3日，將攻擊程式上傳到VirusTotal這個公開的惡意程式檢測網站，於是，全球許多資安研究員都獲得惡意程式樣本檔案，而過沒幾日，國外多家資安公司就有了進一步動作，他們紛紛發布遠銀SWIFT被駭事件的惡意程式分析報告，並提供過濾惡意程式的情資給用戶。（相關報導：權限控管超級重要！駭客入侵遠銀關鍵，就是這兩組帳密遭盜）

關於此人的身分，及其上傳攻擊樣本至公開檢測網站的動機，尚無法得知。但這個情況的發生，正凸顯惡意程式情資對資安公司的重要性，因為，資安研究員手上若無攻擊樣本，可謂英雄無用武之地。但正當國外資安研究員順利取得威脅的樣本而大展所長，尷尬的是，臺灣的資安研究員卻由於情資缺乏整合，而陷於巧婦無米之炊的困境。

其實，在政府、學校各單位，以及接下來將成立的金融機構資安資訊分享與分析中心（FISAC）等，都擁有許多惡意程式與攻擊情資，政府除了建立情資分享與分析中心，更應該建立一套情資分享機制，把臺灣的情資整合起來，讓臺灣的資安研究員、資安公司都可以在第一時間，取得惡意程式樣本與攻擊情資，加以分析研究，促使資安情資成為推動產業發展的養分。

下一期，我們再來探討為何情資是推動資安產業的關鍵。

思科（Cisco）周四（10/19）宣布準備買下利用機器學習技術來分析串流資料的新創業者Perspica，並計畫將相關技術整合至也是今年才併購的應用程式效能監控平台AppDynamics上。

根據Perspica官網的說明，該公司是因應大數據（big data）時代而生的，現代的IT環境過於複雜，每秒可能產生高達數百萬的事件與指標，因此它們建立了各種分析工具來釐清大數據的特性並進行即時分析。

Perspica所開發的分析工具涵蓋許多應用，包括可分析應用程式與基礎架構連動關係、問題預測分析、類似時光機器可用來追蹤事件原因的Incident Replay，可根據企業需求偵測異常趨勢，以及IT環境的搜尋等。

思科則說，Perspica最知名的技術是可在資料串流時導入基於機器學習的分析能力，也有能力處理大數據，將它們整合至AppDynamics的商業交易資料模型後，將擴大其規模與處理速度。

雙方並未公布交易金額，思科則說預計於明年1月底前完成交易。

走進警察局，接待民眾報案的不是員警，而是機器人，而且它還能巡邏，在活動會場來回穿梭，自動避開前方障礙物或行人，將現場影像回傳到遠端勤務中心，甚至由員警透過視訊回答民眾問題。這不是想像情境，而是11月即將在板橋展開測試的警政機器人，未來若成效不錯，將成為第一線派出所的業務支援助力，來彌補員警緊急出勤時，報案接待處的人力空窗期支援。

內政部警政署今天舉辦第一屆智慧警政安全管理研討會，找來全臺各縣市警察局主管出席，一方面向主管們介紹最新的科技犯罪、網路安全趨勢，另一方面也展示智慧警政應用的最新成果，其中更揭露了4項還在開發測試階段的警政創新應用，包括了警政機器人、無人機、穿戴式直播應用和MR虛擬警用射擊系統。

一進入會場，最引人注目的就是這台一人高的臺灣第一臺警政機器人「Ayuda」（西班牙語中的「幫助」之意）。Ayuda外觀類似Pepper機器人，也是可靠底部輪子來移動的機器人，也配備了平版電腦，可供顯示和互動，內建ROS機器人作業系統。Ayuda頭、手，甚至手指都可以轉動或移動。頭上有三顆鏡頭，雙眼鏡頭主要用來進行人臉辨識，額頭另有一個監視鏡頭可以透過Wi-Fi，回傳畫面到後端系統。內建電池可以提供8小時電力，能在活動會場中定點移動，提供諮詢，還能自動回到充電處。另外Ayuda還內建了紅外線雷達，可以偵測四周物體，來建立空間地圖，找出移動的路線，以避開障礙物，甚至經過的行人。

Ayuda可以提供迎賓、諮詢、自動帶位導航的功能，甚至帶路時，可以自動避開路上迎面而來的行人或障礙物，也能按指定路線來巡視。因此，不只可以部署在固定地點，如派出所接待處或門口，也可以如今天是在大禮堂中現場展示，就可以設定移動路線，定期巡視會場來提供諮詢。只要先遙控Ayuda走一遍會場，就可以建立會場的空間地圖，再來設定巡邏路線就可以。

警政署資訊室警務正王雅平表示，警政署年初時開發出了一套警政服務App，預載到家用機器人中，現在更進一步部署到警政機器人Ayuda上，可以用來輔助警察局行政事務的前置處理，尤其當派出所員警遇到緊急出勤時，就可以由警政機器人留守接待處，提供基本迎賓、資訊查詢服務，並配合視訊功能，可以由24小時勤務中心的員警，遠端來處理民眾的報案。

Ayuda還能利用影像辨識技術分辨互動對象的身分，在平版電腦上提供不同的功能，例如若是身穿制服的員警，就提供公務用選單，而其他人就切換為一般民眾的功能清單。

與Ayuda搭配的是一座遠端的中控臺，上面有3個螢幕，並配備了視訊鏡頭、輸入鍵盤和遙控器。第一個螢幕是連結到派出所內部監視器，可以看到Ayuda在派出所環境中移動的四周情況，中間的螢幕則是Ayuda機器人額頭鏡頭回傳的畫面，可以看到與Ayuda互動的對象臉孔，最下方的螢幕則是系統操作畫面。值班員警還可以透過中控臺上的搖桿，遠端指揮Ayuda來移動，前往想要透過鏡頭監看的區域。

例如勤務中心值班員警，可以透過鏡頭與遠端派出所中的報案民眾對談，再將報案資料輸入到系統中，最後按一個列印鍵，就可以將報案單傳送到派出所印表機中印出來，提供給民眾（未來將可直接由Ayuda身上新增的印表機來輸出）。

目前這款國產機器人，是利用3D列印技術，先製作出了3臺原型機，9月初時在臺北舉辦的世界科技大會展場上首度亮相，其中一臺已在今年7月，部署在花蓮國軍醫院中測試，提供迎賓服務。另一臺則將在今年11月，部署在新北市的新板村派出所進行實機測試，這是一個讓兒童體驗警察工作的兒童版派出所，未來測試可行，就可以用來派駐到第一線派出所。

幾乎所有主流的網站，現在都採用HTTPS加密，而這樣的趨勢，也反映在今年的年初，由非營利組織電子前線基金會（Electronic Frontier Foundation，EFF）引用的統計資料指出，加密流量已占大多數。對於企業而言，若是無法解析這種流量，員工上網就會成為嚴重的安全死角。

在小型企業中，很可能因為預算與管理上的考量，統一由次世代防火牆或是UTM設備，控管各式的流量。但對於規模大至上千人的公司，對於HTTPS流量的解析，就需要獨立交由專屬的網頁安全閘道設備執行，藉此在網路效能與使用者上網安全之間，取得平衡。

一般來說，市面上許多資安公司的網頁安全閘道產品，同時擁有企業內部建置的軟體與硬體版本，以及適用於分公司與遠端使用者的雲端服務等型態。其中，軟體版本與實體設備的功能幾乎相同，在許多企業已有虛擬化環境的架構下，純軟體版本的網頁安全閘道便有著能快速建置，以及能輕鬆架設多臺備援設備等特性，且無須包含添購硬體預算的優勢，近年來開始受到歡迎。

雖然，軟體型態的網頁安全閘道，具有部署極為彈性的特質，然而，由於必須檢測加密流量內容，網頁安全閘道經常需要占用大量的運算資源，若是採取建置在企業的虛擬化平臺上，很有可能影響其他架設於虛擬平臺的其他設施運作。在這樣的考量下，企業選擇採用硬體設備型式的網頁安全閘道產品，就有其必要性。

我們發現，從廠商的產品組成與銷售策略中，也能突顯出實體設備的特性。

例如，整併了Blue Coat的資安大廠Symantec，即使是在虛擬化浪潮湧現的趨勢下，他們主打的產品，仍是硬體設備型式的ProxySG和Advanced Secure Gateway（ASG）；而最近剛推出網頁安全閘道產品線的Citrix，他們的NetScaler Secure Web Gateway（以下簡稱NetScaler SWG）系列中，實體設備吞吐量從7Gbps起跳，而虛擬設備的版本，最多只能達到5.7Gbps，這也突顯在廠商的定位中，實體設備還是較能因應大量使用者的上網防護。

這些網頁安全閘道設備廠商，普遍朝向能適用於較大環境的方向發展，縱觀各家廠商，幾乎每家都有支援超過千人上線的硬體設備，但相較之下，針對只有百人環境的上網防護，不少廠商改以雲端服務，或是軟體型態的網頁安全閘道供應。在這次測試之中，提供我們測試設備的廠商，僅有身為國產廠商的利基網路（L7 Networks），仍有較小型的款式可選。

在臺灣，超過千人以上規模已是非常大型的企業，但對於網頁安全閘道產品來說，卻僅是許多廠牌硬體設備的入門門檻。不過，這樣的使用者人數，同時還在軟體版本能防護的範圍之內，因此，許多廠商表示，他們並未在臺灣銷售對應的產品，例如Sophos、趨勢科技等，都以提供軟體型式的網頁安全閘道為主，想要取得這種類型的設備，選擇其實並不多。

能從掌握威脅情資的角度來看待企業整體上網安全

針對上網安全的部分，也有廠商從威脅情資的角度，呈現相關資訊，以Forcepoint網頁安全閘道為例，就是以發動攻擊的地理位置，提醒管理者加強防護。

找出潛在威脅並提供情勢預測，強化事件管理將是大勢所趨

其實，網頁安全閘道已是成熟度相當高的產品，但現在與以往最大的不同點，在於原本的網頁安全閘道、防火牆、IPS、SIEM等設施，在企業內都是各司其職，但在防火牆陸續加入其他設備的功能，進化為UTM與次世代防火牆之後，也影響企業對於網頁安全閘道產品的需求。

因此，針對上網安全的防護，我們這次採訪時也發現，已經開始有廠商將網頁安全閘道設備的過濾結果，納入使用者行為分析（UEBA）的一環。例如，Citrix就將NetScaler SWG與管理平臺NetScaler Management and Analytics System（MAS）結合，訴求能夠協助企業，快速找出疑似受害的端點電腦與使用者。由於購買NetScaler SWG就能使用MAS，企業無須額外付費，頗有買網頁安全閘道設備，即附贈UEBA分析平臺的味道。

這樣的分析機制，其實並非Citrix獨家，事實上，McAfee Web Gateway（MWG）也提供類似的機制，能與同廠牌SIEM平臺Enterprise Security Manger（ESM）搭配，達到初步分析使用者上網行為，藉此讓管理者得知需要特別留意的情形。

雖然Symantec並未強調使用者上網的行為分析，然而針對ASG與ProxySG設備，他們提供了能與端點防護軟體Symantec Endpoint Protection串連的機制，藉此達到聯合防禦的縱效。

從解析使用者上網行為的角度來看，國內的上網事件管理設備，也算是搭上了順風車。包含這次參與測試的利基InstantCheck，以及產品已計畫於12月份大改版的中華數位（Softnext）Content SQR等，它們的產品功能，都相當強調在事件調查時，能提供相關上網鑑識資料的能力。

而我們測試時，InstantCheck管理介面的功能也呼應了這樣的訴求，甚至設備也配置了可選購的資料外洩防護功能模組，阻擋使用者傳送疑似含有機密資訊的內容。

但普遍來說，國產資安設備大多偏重控管使用者的行為，對於進階威脅與事件的調查，鮮少提供因應的措施，即便是已經計畫將要推出的功能，也恐怕要到明年才有，這樣的步調，顯然與國外廠商仍有相當的差距。若是採取與其他解決方案整合的措施，盡快提供相關的防護功能，或許還有機會迎頭趕上。

透過硬體設備、軟體系統及雲端服務，隨時隨地保護員工上網

值得一提的是，也有廠商以能夠建立較完整的上網防線為訴求。像是Forcepoint，企業購買了V系列實體設備後，也同時取得軟體版Forcepoint Web Gateway授權，能透過虛擬設備的方式，快速建置相關備援機制。

事實上，我們這次測試的網頁安全閘道設備當中，大部分廠商不只是同時推出軟體版本，也有雲端服務的選擇，可供企業在不同的環境運用。甚至，不同型式的網頁安全閘道之間，能夠套用相同的上網政策，以McAfee Web Gateway為例，管理者就能指定硬體設備部分的政策，同步到雲端服務McAfee Web Gateway Cloud Services，因此使用者無論從公司內外上網，都能夠受到保護。

但相較之下，少數產品只有實體設備型式，部署彈性明顯不足，甚至是嚴重落後。廠商表示，軟體版產品已經在研發規畫之中，未來他們也會有純軟體的網頁安全閘道可提供。

想要防護千人規模企業的上網安全，現在面臨的挑戰，更在於如何透視加密流量，兼顧完整防護與確保傳輸效能，而這些也是高階網頁安全閘道設備現今強調的特點，但產品價格也相對較高昂，動輒超過300萬元，而我們這次挑選的5款設備，也反映這些現象

身為開發者，在不斷自我精進的一段旅程之後，偶而會浮現停滯不前的感覺，剛開始這是好事，試著擺脫那種感覺後，換來的會是新的前進動力。

然而，也許你已經遇到了，或者還沒遇到，感覺終於面前出現了一道高牆，怎樣都無法翻越，漸漸地開始思考著，這是不是自己的極限了。

陷入泥淖了嗎？

身邊最近觀察到一個現象，不知道是不是大家年紀相仿的關係，朋友圈裏開始有些聲音，大致上，就是感嘆著似乎遇到了瓶頸，這跟單純的低潮有點不同，有種老狗玩不出新把戲的感覺。也許是以前總覺得有著源源不絕的創意，現在卻一點想法也沒有，也許覺得就算有了想法，想要實現，卻又有力不從心的感覺。

那是種滿糟糕的狀態，一整個江郎才盡的感覺，此時，也許你想到了《學徒模式》中的〈深水區〉講的：「你開始擔心目前的狀況不是一時的停滯，而是泥淖」。

只是停滯不前的話，重新整合、逐磨既有的能力，也許就能進入下一個層次，對致力於自我提升的開發者，應該有不少這類的經驗。然而，若是陷入泥淖，開始自覺平庸的感覺就會不斷地襲來；〈深水區〉中建議的是，可以找一個深水區，勇敢地跳進去，找尋機會突破與成長。

很苦行僧式的方式，不是嗎？身處這個階段的另一個大問題就是，在環視可能接觸的不同領域之後，你可能會有各種理由不踏入，像是年紀與時間，也許來玩玩最新的資料科學，或人工智慧？然而你心知肚明，現階段可以在這類議題上浮出檯面的，多半是已經蹲了多年馬步的，是的，現在確實有不少程式庫或框架，就算不是很懂理論基礎，也可以兜出個東西來，然而你知道這不踏實，真正遇到該解決的問題時，沒有蹲過那些馬步，你根本就創造不出新的演算法來解決問題。

現在開始蹲馬步？沒時間啊！年紀也是一個問題，等到馬步蹲夠時，又是幾歲了啊？如果是真正喜歡的東西，也許這麼做就無妨，當成實驗也好，再來特意練習個十年，看看成果如何，但問題就在於找到的主題，又沒能讓你有這樣的動機……就這樣，一開始只是停滯感，後來，開始有越來越深的沉陷感，最後帶來低潮，無論想什麼，最後都是負面的答案……

來找點樂子吧！

刻意練習、十萬個小時，一直以來，都是一個有自律的開發者會採取的方式，在進入下一階段、更高境界的成就感，會成為繼續前進的動力，只是，這類苦行僧的方式，後面必然會越來越艱辛，無論是誰，只要到達某個高度了，想再更上一層樓，就會越來越困難，久久無法獲得動力的情況下，就會感覺觸及了天花板。

既然已經站得夠高了，那麼，稍微把頭低一下，也許可以看到其他的風景，玩玩一些你覺得應該很簡單的東西，或者一些一直想玩的東西。

就像在Java Developer Day 2014時，我第一次看到Lego Mindstorms EV3，到最後終於有時間來玩玩它時，就真的只是在玩，整個玩耍的過程中，我根本就沒寫過一行Java，或者是用Python來控制EV3，單純就是想玩玩積木式的程式方塊。

畢竟你已經有多年的經驗了，就程式面來說，積木式相對來說就是很簡單，而且大致上你也能在玩的過程中，猜測到底程式怎麼控制的。如果玩到一半，某個想法突然吸引了你，而想換個口味，你也隨時可以停，就像後來我改玩Audino，也是用相對簡單的Scratch來控制，心裡想的就是「這玩意兒可以玩到什麼程度呢？」沒想到，玩著玩著，還玩出了一本書。

後來，又玩了一陣子Raspberry Pi，也算是把以前看Raspberry Pi新聞時的一些好奇點，給探索了一下，不過並沒有很久，3D建模程式設計吸引了我，因而馬上又換了口味，基於對繪圖方面本來就有興趣與經驗，這個玩了很久，每隔一兩星期發表一次作品，也讓自己有一點一滴在前進的感覺。

不用刻意成長，單純享用自己多年累積下來的能力，找樂子吧！不用逼自己專注，不用特意長時間經營，像個孩子似地，隨時想換主題就換主題，玩這些對你來說相對簡單，只要依著想法去玩就好，這比繼續抬頭、想要往上突破，簡單多了。

在遊戲找樂子

我用這樣的方式讓自己有動力，又前進了幾年，之前也有了將3D作品中一些共用基礎抽取為程式庫的想法，在一陣瘋狂實現程式庫的過程之後，卻好像洩了氣的皮球一樣，突然之間什麼想法都沒了，然後，剛好又看到朋友圈裏一些遇到瓶頸的聲音，於是，那種糟糕的感覺又來了。

在我試著用以前的方式重新振作的期間，有天發現女兒在玩Minecraft，「喔！我雖然聽過，但還沒玩過耶！她怎麼知道這個？竟然知道怎麼下載來玩？」後來我買了個帳號來玩，也跟著瘋了好一陣子。不過，這樣一格一格地蓋，真的是很麻煩，可以用程式蓋嗎？我一邊玩，一邊不自覺地開始揣摩背後程式運作的機制，然後，有天就找了Minecraft程式設計的書來看了。

事實上，Minecraft是Java開發的，官方並沒有開放API，然而，愛好者反組譯了原始碼，並且改寫了其中的程式，使之有了非官方的公開介面，後來，還有Minecraft Coder Pack（MCP）這類工具，可用來反編譯、更改和重新編譯Minecraft，目前最常見用來開發模組（稱為Mod）的API是Forge，對於熟悉Java的人來說，開發Mod非常簡單，基本上就是個事件迴圈，註冊Minecraft的相關事件，來自訂、改變Minecraft的各種行為，也可以自訂方塊、合成或釀造物品等。

因為熟悉Java，翻閱Minecraft模組開發的書不到一小時之後，我就寫了幾個惡搞的功能，像是每打一個方塊，就狂升經驗值，在女兒面前示範如何一擊炸掉整座島，或者一路轟炸、穿透基岩到掉出世界之外，兩個人笑得樂不可支。這時突然想到，上次寫程式寫到笑得如此開心，是多久之前了呢？

也因為先前玩了一陣子3D程式設計，在Minecraft建造世界方面，我想應該也能用上這些經驗吧！像是在其中自動產生迷宮之類的，結果確實沒錯！我試了Bukkit，這會建立一個Minecraft伺服器，並且可以加上一個Raspberry Pi Juice的plugin，然後，透過Python（目前支援Python 3了）使用Minecraft Pi API來寫腳本，在Minecraft自由地建造方塊。

陷入泥淖？那就打滾吧！

這陣子工作之餘，有時間就打開Minecraft玩一陣子，當當魔物獵人，或做個農夫、礦工，一次當旅行家迷了路，後來就當商人，跟村民拼命交易換到地圖，就不擔心迷路了，有時玩著玩著，就寫個小程式來自動化一些建設，套句現在的流行語，感覺滿紓壓的。

在紓壓之餘，又開始會在程式面上胡思亂想了，今兒個就想到，Minecraft的Mod與plugin差別在哪呢？像Forge這類API，極度依賴著Minecraft的原始碼，未來Minecraft改版，開發出來的模組可能也得跟著改程式；plugin的話是透過公用介面，Minecraft改版的話，背後的模組變更由Bukkit這類伺服器實作來傷腦筋，plugin的開發者基本上不用變更程式……在瞭解的過程中，不知不覺地，就又打開了Raspberry Pi Juice的mcpi原始碼，開始在程式面上打轉了。

也許，有時就應該是這樣，陷入泥淖時，就不要特地想爬出來，又找個什麼深水區跳進去了，不如好好利用自己已經擁有的能力，找個簡單容易應付的玩意兒，好好玩個泥巴戰吧！

素以注重秩序運作聞名的德國，在推動晶片身分證政策時，除了特別訂定專法因應晶片身分證，在該卡片的印刷、防偽及生物辨識技術的應用也不含糊。在推動晶片身分證前，德國政府於2007年先推出了電子護照及電子護照系統，當時在此載具中就已經儲存了相當完整的個人資料，3年之後，德國政府認為時機已經成熟，便順勢在2010年推出德國晶片國民身分證。

「假設碰到任何災難，這張晶片身分證還能保有與我們相關的個人資料」，德國聯邦印製廠資深副總裁Roland Heise打趣地說到，晶片身分證不單只是一張聚碳酸酯所組成的卡片，背後能撐起該政策的推動，還得搭配符合晶片身分證應用情境的專法、資安技術及便民服務，才能建立起完整的生態應用鏈。

在推動晶片身分證時，其中一個重要原則為是否具有法源依據，為了讓晶片身分證更為普及，德國也需要有合適該政策的法規架構。Roland Heise表示，也因此，德國政府總共花上3年，從制定相關法源、施行細項為起點，最後搬出了一套eID法案，並在2010年時透過這部專法，規範該張晶片身分證的安全、設計規格等。

當該政策有法源做後盾時，「接下來就看看民眾自己選擇要不要啟用晶片身分證的各項功能」，不過在政策上路的第一年，Roland Heise表示，目前德國已經發出5,500萬張晶片身分證，不過僅有三分之一的持卡人使用該卡片存取各類數位服務，「民眾會思考，啟動eID可以帶來哪些些好處」，也因此，在首年核發晶片身分證時，許多德國國民選擇不開啟晶片身分證。

但是為了提高晶片身分證的採用度，德國政府推出新的晶片身分證修正法案，該法已經在今年6月生效，鼓勵民眾多加使用eID，藉此也能提高該國國民使用數位簽章的普及率，「政府採取更積極的態度，強制eID功能一定要啟用」，Roland Heise解釋，在修法之後，該卡的功能預設為啟動。不過德國政府亦保留一條後路，當國民決定不啟用eID功能時，也能透過電話取消設定。

Roland Heise表示，德國政府決定推出新一代晶片身分證的原因，並非擔心原先身分證的安全性不足，除考量當時技術可以提升該卡片安全度外，「而且有了eID可以更廉價、更方便地方式，讓德國民眾去利用德國政府所提供的各項電子化服務」，不只公部門，連私人企業服務亦包含在內。

德國政府在2010年時推出晶片身分證，使用聚碳酸酯（PC）做為卡片材質，中間內嵌的晶片則記錄了持卡人的基本個資，包含姓名、地址、生日等訊息。（圖片來源／德國聯邦印製廠）

德國eID相容國際民航組織及ISO標準

在規畫晶片身分證的初期，德國政府所做的事情是釐清eID的主要用途為何。Roland Heise表示，政府希望國民可以利用身分證作為旅行文件，讓海關人員進行身分驗證使用。因此，由德國政府發行的這張晶片身分證，相容國際民航組織（ICAO）所釋出的標準，像是生物特徵、PKI，或是基本存取控製（Basic Access Control，BAC）、延伸存取控制（Extended Access Control）等協定。同時，該卡片也依循國際標準化組織（ISO）針對智慧卡片、eID應用所制定的ISO 7816、ISO 14443等規範。例如，晶片身分證可以做為歐盟境內的旅行文件，像是土耳其機場移民局他們承認德國晶片身分證的效力，「因為它符合國際民航組織所制訂的規格。」Roland Heise表示。

為減少晶片身分證遭偽造，德國政府該卡片製作的源頭就進行管控，避免任何空白卡片在市面上流通，「這一套方法從1970年末期就開始實施」，Roland Heis解釋，民眾可以從不同機關提出製作身分證的需求，例如，德國國民可以前往里民辦公室，按壓指紋及拍照。在申請晶片身分證所需的資料中，目前德國政府並不強制民眾必須留存指紋這個生物特徵，「不過一定必須具有照片」，之後系統會資料上傳至德國聯邦印製廠。他表示，數據傳輸的過程中，也都透過安全VPN連線方式，確保這些隱私資料不會外流。從民眾提出申請至印製廠完成製作，最後寄回送至該服務申請地點，「所需要時間只要48小時，民眾就可以拿到一張全新的晶片身分證。」

製程由聯邦印製廠負責，確保技術、規格皆統一

而卡片則統一由德國聯邦印製廠所製作，除了確保每個德國國民所拿到的身分證皆來自該印製廠外，也能確保該身分證的規格、技術皆統一。除了晶片身分證，在德國境內其他身分認證文件，也依循相仿的規格製造，例如德國即將推出的第三代電子護照，或是非德國居民所持有的電子居留證，「所有這些採用晶片技術的身分證件，都使用相同技術、規格，無論是卡片本身材質，或該卡的儲存技術皆一樣。 」

在該張晶片身分證使用的晶片卡上，德國政府也在其中儲存了部分基本資料，像是姓名、出生地、生日以及地址。Roland Heise表示，在德國政府設想該晶片卡未來的應用情境時，考量未來公部門、私部門如果想透過該卡片，提供給德國國民客製化服務時，「必須掌握一部分的個人資料」，如果民眾想要更改晶片中的地址資訊，必須前往政府部門利用終端機才能進行修改。

公開周邊設備技術規格，贏得德國民眾信任

而德國的晶片身分證政策，與愛沙尼亞一樣秉持透明原則。愛沙尼亞將所有相關程式碼公布至開源程式碼平臺GitHub供民眾檢驗，「我們則是讓德國民眾知道該卡片儲存了什麼資料」，不僅如此，Roland Heise表示，政府亦將所有相關周邊如卡片終端機、讀卡機等技術規格，一併在網路上公開，「我們認為這樣才能贏得德國民眾的信任，而最好的方法就是在一開始就清楚說明晶片身分證的功能及設計」，也因此，德國政府這樣的公開策略，讓國民可以知悉究竟服務提供商透過晶片身分證，可以掌握何種資訊。

以德國法律來說，購買部分商品時，消費者必需要先證明符合相關規定，「這時即可利用晶片身分證作為認證」，Roland Heise表示，晶片身分證還可以用於德國境內的銀行、保險服務。當私人企業使用晶片身分證作身分驗證時，「廠商必須告知主管機關，該服務必須存取用戶的哪些私密資訊」，假設此要求合理，政府就會提供相關憑證作使用，進一步，聯邦印製廠也會將該資訊儲存在晶片身分證中。

Roland Heise表示，聯邦印製廠中也有成立一個服務信任中心，列出服務提供商所因服務需求，必須索取的個人資訊，而該資料清單都會呈現螢幕上。當民眾希望使用某種電子化服務，也會很清楚，若想取得該項服務，廠商會存取哪些個資。

現今臺灣民眾雖仍然持有紙本身分證，但現今政府亦開始規畫推動晶片身分證政策。Roland Heise表示，晶片身分證最重要的就是方便性，「即使它很安全，但沒人使用也是枉然。」而當中最關鍵的就是，政府必須取得民眾的信任，「而德國之所以推行績效佳，得要歸給我們良好的法規架構。」

德國eID三大特色

德國的晶片身分證統一由德國聯邦印製廠所製作，除了確保每個德國國民所拿到的身分證皆來自該印製廠，也能統一該身分證的規格及技術。為加強每張晶片身分證的安全性，每張從聯邦印製廠出廠的晶片身分證都不一樣，例如色彩客製化的設計，該晶片身分證使用特殊噴墨技術，讓顏料可以與卡片材質聚碳酸酯緊密結合，並使用分層噴印製程，多層上色。此外，卡片上還會加上一層保護膜，確保該噴墨不會因使用而褪色。除了色彩客製化，聯邦印製廠也會將民眾的照片輸出成全像圖（Hologram）轉印在該卡片上。

特色1 特殊噴墨組合，每一張都不同

每張從聯邦印製廠出廠的晶片身分證都不一樣，該晶片身分證使用特殊噴墨技術，讓顏料可以與卡片材質聚碳酸酯緊密結合，並使用分層噴印製程，每張卡片的顏色組合皆不同。（圖片來源／德國聯邦印製廠）

特色2 全像式個人照，看得到側臉

德國聯邦印製廠也會將民眾的照片輸出成全像圖（Hologram），轉印在該卡片上，除了正面視角，連側臉角度也看得到，更容易從不同角度來比對臉孔。（圖片來源／德國聯邦印製廠）

特色3 管制個資變更，限用官方終端機

德國政府也在晶片身分證上儲存了部分基本資料，像是姓名、出生地、生日以及地址，如果民眾想要更改晶片中的地址資訊，必須前往政府部門利用終端機才能進行修改。（圖片來源／德國聯邦印製廠）