iThome

歐盟法院近日做了一個影響眾多粉絲專頁的判決，指出不僅臉書，連粉絲專頁的管理員都有保護訪客資料安全的責任。

事實起於一家名為Business Academy的公司對臉書的官司。這家從事教育業的德國公司在臉書上經營的粉絲專頁透過cookie蒐集用戶匿名統計資料，並經由臉書提供的Facebook Insights 服務取得活動分析。由於臉書和這家公司的資料蒐集、處理活動並未通知臉書粉絲，2011年德國獨立資訊保護中心要求Business Academy關閉其臉書粉絲專頁。

隨後Business Academy向德國行政法院控告臉書，聲稱資料處理的責任應該在臉書，而不是它，該公司也沒委託臉書處理他們未擁有、也沒影響力的粉絲資料。也就是說，臉書才是當局應處罰的對象。

本案後來德國聯邦行政法院請求歐盟法院解釋資料保護的範疇。在本周的判決中，歐盟法院指出，臉書及愛爾蘭子公司（臉書歐洲總部）作為粉絲專頁個人資料處理的「控制者」，決定資料處理目的及工具，這點沒有疑問。但是歐盟法院又指出，在歐盟地區，粉絲專頁管理者（administrator）如Business Academy應和臉書愛爾蘭子公司一樣，被視為資料處理的共同責任者，因為該公司透過定義參數，已經參與粉絲專頁造訪者的個資處理的目的及工具。

因此歐盟法院法官判決，利用臉書平台經營粉絲專頁，並獲取臉書相關服務的管理者，並不能免於個資保護法律的遵法義務。

倫敦大學學院資料科學研究人員Michael Veale指出這項判決的意義是，如果粉絲專頁吸引並追蹤用戶，而且使用追蹤用戶的集體分析結果，其管理員就是資料控制者，即使他們從未擁有或看到任何個資。

判決並指出，即使臉書歐洲總部位於愛爾蘭，德國隱私主管機關仍然有權干涉臉書在當地的行為。

新聞

內建數位語音助理的PC可望成為未來的趨勢了，繼今年初包括宏碁、華碩、HP與聯想等品牌電腦宣布要在新款Windows 10筆電中整合Amazon Alexa數位語音助理之後， Amazon本周二（6/5）再發表4款由ODM業者推出內建Alexa的白牌PC設計，當中有一款為All-in-One（AIO）桌上型電腦，其它3款皆是可翻轉螢幕的筆電。這些由ODM業者所生產的PC未來將會由其它企業嵌上自己的品牌於市場上銷售，因而又被稱為白牌PC。

這4款內建Alexa的PC都是來自台灣的代工業者，包括緯創、仁寶及廣達，其中，緯創提供了AIO桌上型電腦與筆電，前者配備27吋UHD螢幕、FHD視訊攝影機、紅外線感應器、4個微機電系統（MEMs）麥克風與2個立體聲喇叭，後者則配備具觸控能力的15.6吋FHD螢幕、HD視訊攝影機、4個MEMs麥克風與2個立體聲喇叭，並有8小時的電池續航力。

仁寶的筆電採用15.6吋的FHD觸控螢幕，具備指文辨識、紅外線攝影機、4個麥克風與2個喇叭，提供13小時的電池續航力。廣達所生產的Alexa筆電則是14吋螢幕，支援指紋辨識，擁有4個麥克風與2個喇叭，並有長達18小時的電池續航力。

在這些內建Alexa的PC上，使用者將能以語音呼喚Alexa以檢視行事曆、聽新聞、播音樂、管理購物清單或計時。而利用上述ODM業者所生產的裝置則能加快企業於市場上推出Alexa PC的時程。

新聞

今年適逢英特爾（Intel）創立的50周年紀念，同時也是英特爾x86系列首顆8086處理器的40歲生日，也讓英特爾於本周發表了限量版的Core i7-8086K處理器，也是首款單一核心加速時脈可達5.0 GHz的英特爾處理器。

採用14奈米製程的Core i7-8086K鎖定桌上型電腦市場，它配備6個核心與12個執行緒，基本時脈為4.0 GHz，加速後時脈可達5.0 GHz，CPU快取為12MB，熱設計功耗（TDP）為95W。比起目前最新的Core i7-8700K，Core i7-8086K在基本時脈與加速時脈上略勝一籌，其它規格則是一致的。Core i7-8700K在這兩項的數字分別為3.7 GHz與4.7 GHz。

英特爾表示，1978年6月問世的8086處理器（下圖，來源：Intel）是全球第一個16位元的處理器，也是首個具備現代個人運算能力的處理器，而40年後的Core i7-8086K則支援64位元的指令集，也是第一個單核加速可達5.0 GHz的處理器，更高的時脈將可改善單一執行緒效能，可支援廣大的遊戲與內容建立應用，此外，Core i7-8086K亦可完全解鎖以進行超頻。

Core i7-8086K既是紀念款也是限量版，據傳英特爾只準備生產5萬顆Core i7-8086K，並將於全球送出8,086顆，使用者只要登記就有機會抽到該款處理器，活動時間為24小時，將於台灣時間的周四（6/7）下午五點展開，台灣地區的得獎名額則有500顆。

Core i7-8086K可望於今年第二季出貨，建議售價為425美元，略高於Core i7-8700K的359美元。

新聞

微軟併購GitHub後，引發一大波使用者逃亡潮，在這波開發者遷徙熱潮中，GitHub的競爭對手GitLab在一旁坐收了漁翁之利，不僅在社群媒體上得到許多曝光，也接手了許多原本來自GitHub的專案、儲存庫。而因應這波使用者熱潮，GitLab先前推出了大折扣方案，只要新用戶在Twitter上發文並標註#movingtogitlab，就可用原價四分之一的價格，享有一整年Ultimate、Gold等級會員資格。而Ultimate與Gold的差異在於，前者是使用者部署於本地環境的應用，而後者則是GitLab提供的代管SaaS服務。

「過去這24小時，真的是非常瘋狂」，GitLab表示，已經有超過10萬個儲存庫匯入GitLab。在Twitter上，也已經有超過2,600篇文章，標註了#movingtogitlab。而GitLab的大促銷活動並未就此打住，現在該公司更進一步宣布，只要是開源專案或者教育機構使用，Ultimate及Gold等級會員資格皆免費。每個使用者可以省去每月99美元的會費。

成為Gold會員就能使用許多進階功能，像是支援外部儲存庫也能使用CI/CD、多叢集Kubernetes、容器掃描、Kubernetes叢集監控、應用程式資安測試等功能。雖然此方案並不包含免費支援服務，但GitLab同樣給了大折扣，價格減免95％，使用者只要花4.95美元，就能購買支援服務。

GitLab也解釋，何種資格才符合這波免費促銷方案。首先，提出申請的機構，必須單純用於學生教育、訓練員工等需求，「不得有任何商業或其他利益目的」，只要通過該公司審核，GitLab就會寄送授權碼給申請者。

再者，申請該免費使用者開源專案，該員必須是專案領導人或核心貢獻者，專案也滿足標準開源授權條款，也不能有廠商贊助，或者支領薪水的貢獻者。想要申請免費使用的開源專案，開發者可發送合併請求至GitLab。

在6月4日至6月5日間，GitLab表示，24小時內湧入超過10萬個儲存庫。雖然現在搬遷活動比過去來得更活躍，不過從趨勢圖也可看到，搬遷熱逐漸降溫，未來呈現慢慢回歸平穩之趨勢。

新聞

在2014年Google釋出容器調度工具Kubernetes，原先天下三頭鼎立的趨勢，隨著Google挾大批社群以及多家雲端廠商支援的攻勢，Mesos及Docker Swarm逐漸退居二線，Kubernetes儼然稱王，逐漸演進為IT基礎架構的新標準。Kubernetes服務也成為廠商進場雲服務的關鍵籌碼，支援步調較早的公雲廠商有Google、微軟及IBM等，後面也有開始直追阿里雲及Rackspace。

而公有雲龍頭AWS，雖然在去年11月時才釋出AWS Kubernetes代管服務EKS預覽版本，仍然是多數企業選擇部署Kubernetes的落腳處，根據CNCF基金會去年12月釋出的調查報告，有57％的使用者，選擇AWS作為Kubernetes執行環境。在去年釋出的預覽版本服務，就選擇導入Kubernetes上游版本，讓Amazon EKS上運作的應用程式，可相容其他Kubernetes標準環境，也讓使用者更容易將舊有Kubernetes應用，搬遷至Amazon EKS環境運作。

而現在AWS正式推出EKS服務後，該服務也自然地與AWS其他功能整合。為了確保應用程式的高可用性，EKS結合了異地同步備份部署功能（Multi-AZ），Kubernetes API伺服器及ectd資料庫可以橫跨3個AWS可用區（Availability Zone）執行，而系統除了監控Master節點運作，當服務失效時，重新啟動，也會執行修補、更新等任務。而身份及存取管理面，則結合自家IAM功能及開源工具Heptio Authenticator。而其他內建功能的整合，還有負載平衡、區塊儲存、自動水平擴充等。

AWS表示，該公司負責代管Control Plane節點，而使用者只需要負責執行Worker節點就好。圖片來源：AWS

點選建置Master叢集選項，使用者可以命名叢集，選定該叢集部署的Kubernetes版本，以及指定子網路。圖片來源：AWS

使用者也可以在自己的AWS虛擬私有雲環境中，透過私密連結存取Kubernetes Master，除了不需要使用公用IP，也免除連結至外網來回所需的時間、連線流量。圖片來源：AWS

新聞

今年的Computex期間，AMD也舉辦新品的發表會，不只發布多款採用Ryzen 2桌上處理器的桌機、搭載Vega GPU的筆電新產品，還首度揭露了下一代EPYC伺服器處理器的開發進度，已經即將走出實驗室測試階段，開始展開送樣測試，儘管AMD並沒有透露確切的發布日期，但已經可以確定的是，下一代的EPYC處理器將在2019年正式推出。

在長年伺服器競爭始終落後一方的AMD，自去年6月決定翻新處理器架構，改採用全新Zen運算架構與14奈米製程技術，推出了高達32核心的EPYC 7000系列處理器，並將它定位在入門級或中階伺服器，鎖定企業主流2路或單路伺服器的應用市場。

在會中，AMD執行長蘇姿丰一開始就提到了EPYC 7000處理器推出以來的使用成果。她表示，迄今已有OEM/ODM硬體廠商、系統整合商，以及雲端服務商至少30家業者，在超過50個以上新的伺服器硬體上，皆已搭載了這個新的處理器，用來處理不同運算工作。她同時也宣布將新增3家，包括，HPE、思科以及中國的騰訊，都將開始跟進採用。

除了EPYC 7000處理器系列，去年AMD就已預告還有兩款新的EPYC處理器，即將在今、明兩年內推出，其中一款EPYC處理器代號為Rome，將採用新一代Zen 2架構，以及加入更先進7奈米製程技術，還有另一款代號Milan的EPYC處理器，製程技術與Rome相同，都是7奈米，不過採用的則是Zen 3全新架構。

蘇姿丰今天也揭露了下一代「Rome」的EPYC處理器的推出時程，已經即將走出實驗室測試階段，今年底前將開始展開送樣，最快2019年就會正式問世。為此，她現場也實際展示這款新處理器的產品原型，向大家證明她所言不假，確實已有實際的原型正在測試當中。雖然蘇姿丰強調，在實驗室測試環境下，測得非常好的處理器效能表現，不過她並未透露太多關於這個新處理器的細節。

AMD執行長蘇姿丰在今日的新品發表會上，也首度展示下一代EPYC處理器的產品原型，並提到即將展開送樣測試，預計2019年推出上市。

此前，蘇姿丰曾誇下豪語今年要拿下20%的全球桌上處理器市占，但單就伺服器處理器的市占來看，AMD資料中心與嵌入式系統解決方案事業群資深副總裁暨總經理Forrest Norrod也相當看好，甚至他表示，根據公司的預期，今年底前將可望達到5%的全球市占。若長遠來看，他進一步說，將以超越當年全盛時期的27%市占為目標。

AMD資料中心與嵌入式系統解決方案事業群資深副總裁暨總經理Forrest Norrod看好今年AMD伺服器處理器全球市占的成長表現，預計年底將有機會拿下5%的全球市占。

Forrest Norrod不只看好EPYC處理器的長期發展，他也表示，明年推出的新EPYC處理器，將具備更強大效能和節能表現，並且將相容於現有的EPYC處理器架構。

除了下一代EPYC會採最新7奈米製程技術外，會場上AMD還介紹另一款新Vega顯示卡，同樣採用相同7奈米製程，預期今年內就會推出上市。

新聞

Google釋出了Capillary計畫，這計畫包含了一個開源函式庫，要幫助開發者提供伺服器到Android裝置間的端對端加密推送訊息功能，Google表示，要提供端對端加密功能需要一定程度技術，因此他們希望透過Capillary計畫中的範例以及函式庫，可以讓這項功能更加普及。

目前Firebase的雲端訊息（FCM）功能透過HTTPS通訊傳輸，也就是說FCM伺服器與使用者裝置間的通訊採用TCP over SSL加密，這個過程的訊息傳輸是安全的，但是開發者伺服器到使用者裝置間的通訊，除非開發者有特別實作端對端加密功能，否則這段的傳輸通常是明碼傳遞。

站在提高資訊安全的立場，Google建議Android開發者也應該要在使用者裝置上產生加密金鑰，來提供端對端的加密推送訊息功能，為此Google為降低開發者在端對端加密技術應用的門檻，釋出了Capillary開源函式庫，簡化開發者伺服器到使用者Android裝置間的端對端加密開發。

Capillary開源函式庫提供Android KitKat以上所有版本加密以及金鑰管理功能，涵蓋範圍從加密金鑰產生到註冊工作流程，開發者可以利用該函式庫加密伺服器訊息，並在用戶裝置上解密，以防止有心人士竄改訊息，保護訊息的完整性。

Capillary還能用於檔案級加密（File-Based Encryption，FBE）功能，限制加密訊息只有在裝置解鎖才能被解密，加密訊息會被快取在設備加密（Device Encrypted，DE）儲存記憶體中，而解密金鑰則被存在Android金鑰庫中，需要使用者做身分認證才能解鎖。

另外，該函式庫也能良好處理特殊情境，像是在使用者安裝或是重設App儲存後，才新增或是重設裝置鎖等情況。Capillary函式庫還支援使用ECDSA身分驗證以及網頁推送加密的RSA加密方法，開發者要傳送端對端加密推送訊息到基於瀏覽器的客戶端，可以重複使用既存的伺服器端程式碼。

不過，Google提醒開發者，Capillary開源函式庫專為提供開發者伺服器到使用者裝置間的端對端（End-to-End）加密而設計，而非為對等網路（Peer-to-Peer）設計，開發者可以用來加密伺服器對單一或是多個裝置的訊息傳遞，但無法直接使用於裝置間。開發者可以參考範例應用程式，Google隱私團隊使用Capillary開源函式庫，並基於gRPC伺服器的實作。

新聞

基礎架構管理工具開發商HashiCorp旗下的管理工具Terraform，是不少工程師愛用的基礎架構管理工具，可以用於定義應用程式環境組態，簡化環境的部署工作。日前，HashiCorp才跟微軟合作，將該工具推上Azure，聯手推出Azure Terraform Resource Provider，讓企業可以使用ARM（Azure Resource Manager）管理基礎架構。同時，也能使用以JSON為基礎的系統腳本管理外部服務。

在近日AWS Kubernetes服務EKS正式上線，可以讓使用者將既有應用程式搬遷至EKS環境執行，而現在HashiCorp也宣布Terraform產品跟進，要正式支援EKS。HashiCorp表示，該公司與AWS是合作密切的夥伴，現在Terraform使用者可以直接建立、管理EKS叢集，「將它們納入AWS基礎架構組態設定的一部分。」

HashiCorp表示，要利用Terraform建立EKS叢集，首先必須設定Terraform AWS provider。再來使用者必須提供與該叢集相關的IAM（Identity and Access Management）角色資訊，如現有虛擬私有雲子網路的ID、角色名稱等，用來建立EKS叢集。最後與Kubernetes叢集建立連結時，使用者也可以透過Kubernetes命令程式列工具Kubectl，設定組態文件。

目前Terraform已經支援超過70家基礎架構服務廠商，現在又加入AWS這一家雲端龍頭廠商，只要利用此工具，開發者能更簡單應對多雲環境、異質基礎架構的部署工作。

新聞

在AWS正式宣布自家Kubernetes代管服務EKS上市後，許多獨立軟體開發商也加緊腳步，跟上這波支援潮，像是基礎架構管理工具廠商HashiCorp旗下高人氣的管理工具Terraform，正式支援EKS，可直接管理、建置EKS叢集。而過去就耕耘容器應用監控的Datadog，也隨EKS發布後，宣布自家產品也能拿來監控EKS環境了，Datadog表示：「不論是現有Kubernetes叢集，或者部署在EKS環境運作的新應用程式，都可以即時監控容器應用、基礎架構的狀況。」

雖然現在AWS EKS才正式推出，不過Datadog表示，該公司早已投入開發監控AWS、Kubernetes環境的功能，現在使用者只需要設定整合AWS及Kubernetes，「也要把其他正在運作的AWS服務拉入整合。」

當Datadog部署在AWS EKS環境中運作時，開發者可以一併觀察容器、Kubernetes叢集及EC2節點的運作狀況，搭配Autodiscovery功能，部署在基礎架構環境中的Agent程式，會自動追蹤Pod、服務的執行狀況。同時，使用者也可以一次收集來自Kubernetes、EC2、容器，或者叢集內服務運作資料，建立Metrics間的關係。

在日前Datadog就釋出了新的監控工具容器地圖（Container Map），以Autodiscovery為基礎，搭配新視覺化呈現方式，企業可觀察容器基礎架構的整體運作狀況，根據需求，進行分組、過濾，或是進一步檢個別容器。

Datadog表示，在單一儀表板內，使用者可以客製監控表單，利用視覺化方式，即時呈現叢集內Kubernetes Pod跟EC2節點的運作狀況。開發者可以利用標籤進行過濾，或者自行設定標籤，藉以判定基礎架構內的運作情形，像是容器數量、資源使用率，或者節點的健康狀況。圖片來源：Datadog

除了用巨觀角度觀察基礎架構運作狀況，Datadog也可以支援較微觀、聚焦的角度，剖析EKS環境中容器的運作狀況。使用者可以先用標籤，標示出執行特定應用，或者部署於特定EKS叢集的容器，結合Live Container View功能，使用者可以觀察該容器的CPU、記憶體使用情形，而系統每兩秒鐘會更新一次即時數據。圖片來源：Datadog

新聞

又是一個影響範圍極大的嚴重漏洞，讓HP、Amazon、Apache和Pivotal等知名企業的數千專案全中鏢，JavaScript、Ruby、.NET與Go等開發語言生態系也都有該漏洞的足跡，開源雲端監控服務Snyk的資安團隊揭露了Zip Slip漏洞，這是一個任意文件覆寫的臭蟲，可能導致遠端程式碼執行攻擊，Snyk提到，由於Java缺乏中央函式庫提供高階的歸檔（Archive）處理功能，因此最容易受到攻擊。

目錄走訪攻擊目的就是要存取根目錄之外的檔案以及資料夾，Snyk的漏洞白皮書提到，駭客要使用這個漏洞，有兩個動作要進行，首先是惡意的歸檔行為，再來是路徑未經驗證檢查的檔案解壓縮（Extract）。惡意的壓縮檔案需要包含一個或多個檔案，透過在這些檔案名稱加入../或是絕對路徑等操作變數，駭客能夠存取系統中任意資料夾的任意檔案，而這些檔案可能包含原始程式碼或是敏感資訊。

Snyk舉例，假設壓縮檔存在兩個檔案，其中一個為good.sh，這個檔案解壓縮後會被提取到正常的目標資料夾，而另一個evil.sh檔案前面加了許多../前綴，便是駭客試圖要走訪系統根目錄，並新增檔案進暫存目錄的惡意行為。當使用者在根目錄使用指令cd ..，則仍然會在根目錄中，也就是說當惡意檔案名稱添加許多../，駭客便更有機會存取到根目錄，以進行下一步偷取敏感資料的動作。

惡意壓縮檔範例：
5 Tue Jun 5 11:04:29 BST 2018 good.sh
20 Tue Jun 5 11:04:42 BST 2018 ../../../../../../../../tmp/evil.sh

Snyk提到，這樣的zip壓縮檔必須要手動製作，因為儘管zip規範允許，但一般的壓縮軟體不會讓使用者輸入這樣的路徑，當然駭客也可以使用特別的工具，輕易的大量製作這樣的檔案。

利用Zip Slip漏洞的第二步，需要使用程式碼或是函式庫的功能，來解壓縮壓縮檔中的檔案，而當這些具解壓縮功能的程式碼沒有對檔案路徑進行驗證時，漏洞便出現了。

Snyk以Java的片段程式碼當作範例解釋：
Enumeration<ZipEntry> entries = zip.getEntries();
while (entries.hasMoreElements()) {
ZipEntry e = entries.nextElement();
File f = new File(destinationDir, e.getName());
InputStream input = zip.getInputStream(e);
IOUtils.copy(input, write(f));
}

範例中的e.getName()取得了未經驗證的目標目錄，配合上面壓縮檔的案例，這個被抽取出來的evil.sh檔案前會附加許多../，因此evil.sh便會被寫入在目標目錄之外。

Snyk表示，Zip Slip影響多種檔案格式，包括tar、jar、war、cpio、apk、rar和7z。他們在GitHub中建立了存在漏洞的專案列表，其中不乏知名公司的專案，包括AWS Toolkit for Eclipse、Spring Integration，LinkedIn的Pinot OLAP資料庫、Apache/Twitter Heron、阿里巴巴JStorm、Jenkins和Gradle等，但影響遠不只如此，官方提到連Google也中標。

根據漏洞通報程序，在Snyk對外揭露這個漏洞前，就已經對受影響組織發出警告，多數受影響的專案也已經修復，Python在這次漏洞風暴中全身而退，Go語言只有一個函式庫受到影響，在收到通知後的兩天內就修復了，Ruby少數函式庫存在漏洞危機，JavaScript由於有許多中央函式庫，這個問題在公開揭露前，就已經全數被修復完畢，而.Net同樣也有中央函式庫提供抽取功能，因此目前也安全無虞。

而最嚴重的就屬Java，再來就是Groove，這兩個語言缺乏中央函式庫，即使熱門的甲骨文與Apache的一般壓縮API也沒有對公開完整的解壓縮功能，因此許多檔案處理程式碼都是在像是Stack Overflow這樣的社群間分享，Snyk提到，他們發現有漏洞的Java專案比起其他語言還要多出許多。

Snyk建議，除了開發者需要檢查解壓縮程式碼外，也可以在應用程式建置工作管線中，加入Zip Slip漏洞安全檢測。

新聞

在台北國際電腦展的第二天，微軟在主題演說中重申該公司執行長Satya Nadella在最近Build 2018大會分享的Intelligent Cloud及Intelligent Edge願景，同時發表全新裝置及服務，其中Windows Collaboration Displays為一大型顯示器，支援Microsoft 365，可提供跨裝置的生產力協作體驗。

微軟表示，Microsoft 365涵蓋了Office 365、Windows 10與企業安全管理平台，其中Microsoft 365作為企業的生產力平台，提供以人為中心的多重感測（mutisense）、多重裝置（mutidevice）的體驗，用戶透過PC、手機、平板電腦等不同的裝置，在不同時間及地點完成他們的工作。

而提供Microsoft 365體驗的全新裝置Windows Collaboration Displays則是一個大型的觸控顯示器，在主題演說的舞台上展示了由夏普製造的70吋Windows Collaboration Displays，用戶可以在大型顯示器上使用Microsoft 365的協作工具，包括Office、Microsoft Teams，或是以手寫筆將顯示器當成電子白板書寫、註記。

這個Windows Collaboration Displays內建感測器，可以連接Azure IoT Spatial Intelligence Capabilities，以智慧化的管理辦公室環境的物聯網裝置，例如冷氣、空調或是預訂會議室。

夏普與Avocor將在今年稍後推出Windows Collaboration Displays，但微軟並未說明未來這個產品可能的價位帶。

新聞

Google周三釋出Android P開發者預覽版3（Developer Preview，DP3）或Beta 2，而媒體從釋出的檔案發現Android P就是Android 9。

Google已經公佈OTA映像檔供Android開發人員下載。而Pixel手機（包括Pixel、Pixel XL、Pixel 2、Pixel 2 XL）用戶則可以加入Android Beta測試計畫接收DP3版，或手動下載系統映像檔刷機後測試。

之前已經合作夥伴透露Android P的正式版本名稱為Android 9.0，不過這個名稱在這個開發測試版中則是首次證實。包括droidlife和Android Police等科技媒體都發現，「Android 9」的字樣出現在DP3多處，像是系統資訊、更新網頁和「關於手機」的頁面。

Android P DP3包含最終版API Level 28及SDK，方便外部廠商開發及測試相容app。在功能方面，最新測試版新增157個表情圖示，改善開啟app drawer及滑動手勢等手勢操作、安全API增加支援人臉及虹膜辨識。其他還包括最近工作清單（Recents）加入「刪除全部」的選項、「下載」app改名為「檔案（Files）」、綑綁通知（bundled notification）增加回覆圖示等。

新聞

去年4月Amazon公佈協助使用者穿搭的Echo Look，周三正式在全美上市。

Echo Look去年公佈以來採取邀請購買制，但今天起這款Echo 家族新品已在Amazon網站開賣，聲稱為「具備Alexa的免手持相機及造型助理」，售價199.99美元。

Amazon Echo Look是Amazon AI語音助理裝置Echo的最新成員，也是首次搭載攝影機的產品。除了像前代產品一樣，執行關燈或控制其他家中設備的指令外，具備500萬像素相機及4顆LED燈泡的Echo Look，讓使用者可以「Alexa，take a photo」聲控指令下拍攝全身照片（或影片），供自己或分享友人。

Echo一項特別功能是Style Check，運用AIexa AI演算法為基礎，可根據時下流行趨勢和用戶風格的分析，為使用者提供穿搭及造型建議。不過ZDNet分析，從人工智慧角度來看，Echo Look提供的個人化建議，顯示Amazon將電腦視覺帶進更新的應用領域，也為外部開發商做了更多樣化的示範。

除了Style Check外，Echo Look也陸續加入其他功能，包括其app加入建議採購物件、服裝整理工具、流行雜誌內容等。它還允許使用者把自己聲音加入個人資料，以便與其他用戶區隔。

新聞

思科（Cisco）旗下的威脅情報組織Talos上個月揭露了相信是由俄羅斯駭客集團Fancy Bear主導的VPNFilter攻擊行動，該行動感染了全球54個國家的50萬台網路裝置，經過進一步分析後，Talos本周指出，VPNFilter的能力超乎當初的想像，不論是感染範圍或是惡意模組的能力都更形嚴重。

根據Talos上個月的初步分析，VPNFilter鎖定感染Linksys、MikroTik、NETGEAR與TP-Link等品牌的路由器，以及QNAP網路儲存裝置，也對基於Modbus SCADA協定的工業控制系統特別有興趣，它能監控裝置流量、竊取網站憑證，亦可切斷裝置的連網能力或讓裝置無法使用，還能長久進駐受駭裝置，無法藉由簡單的重開機移除它，而是得回復裝置出廠配置。

然而，本周Talos發現太小看VPNFilter的能力了，它的感染範圍不僅限於上述，還包括ASUS、D-Link、華為、Ubiquiti、UPVEL與中興等裝置；所搭配的惡意模組ssller亦能把HTTPS加密傳輸降級為HTTP傳輸，dstr模組則能移除VPNFilter的蹤跡與裝置運作的必要檔案。

分析顯示，ssller模組能夠攔截該裝置上所有藉由port 80遞送的流量，可竊取資料並注入JavaScript，以用來攻陷同一網路所連結的其它裝置，亦試圖將HTTPS傳輸降級至HTTP。

至於dstr模組則會移除裝置正常運作所需的檔案，以造成被駭裝置失效，在移除裝置上的檔案之前，它會先抹滅VPNFilter行動的蹤跡。

Talos警告，這些能力意味著假使駭客成功地入侵這些終端裝置，即可於該環境中部署任何的惡意功能，像是rootkit、竊取資料或毀滅裝置。

新聞

知名的加密貨幣交易平台Coinbase本周宣布已向美國監管機關提出申請，以期成為全球首家可提供加密貨幣證券服務的合法業者。

Coinbase的申請必須通過美國證券交易委員會（SEC）及美國金融業監管局（FINRA）的許可，代表Coinbase企圖成為官方認可的加密貨幣證券交易商，之後Coinbase還必須取得券商執照（B-D）、另類交易系統執照（ATS），以及註冊投資顧問（RAI）執照。

Coinbase營運長Asiff Hirji指出，現今市場上已有許多基於區塊鏈的數位資產，從加密貨幣、安全代幣到收藏品，其中有些資產在美國是由SEC負責監督，取得上述執照將讓Coinbase取得客戶的信賴，以於該平台購買、銷售或處理各種型態的加密貨幣資產。

在取得官方規定的各種證券交易執照後，Coinbase未來將能提供加密貨幣的證券交易、保證金與場外交易（OTC），也能處理市場上各種新資料產品的交易，最終讓所有型態的證券交易都能支援代幣，造福加密貨幣市場，提供不間斷的交易服務、即時結算與所有權紀錄（chain-of-title）。

新聞

資安研究團隊Guardicore Labs本周揭露了一個採礦惡意行動Prowli，相關攻擊已殃及全球9,000個企業的4萬個裝置，除了於被駭裝置上植入採礦程式之外，也會把合法網站的流量導至惡意網站，不管是Drupal網站、WordPress網站、DSL數據機、採用SSH的伺服器或IoT裝置皆受害。

該實驗室指出，Prowli攻擊行動鎖定多元化的平台，從代管熱門網站的CMS服務、執行HP Data Protector的備份伺服器、採用開放SSH傳輸埠的伺服器、到DSL數據機與IoT裝置都受到駭客的襲擊，入侵途徑包括攻擊程式、暴力破解密碼，以及脆弱的配置。其中，有67%的受害裝置為採用脆弱SSH憑證的伺服器。

此外，駭客並沒有設定任何的產業，不管是電腦服務業、大學、政府機關、媒體、金融服務或運輸業全都受害，Guardicore Labs因而推測駭客的企圖不在於間諜行為，而是單純為了獲利。

Prowli攻擊行動有兩個獲利來源，一是於被駭裝置上植入開採門羅幣（Monero）的採礦程式，二則是進行流量詐騙，挾持使用者流量以將其導至各種惡意網站，諸如偽造的技術支援服務或是惡意的瀏覽器擴充程式等，駭客藉由出售用戶流量而獲利。

值得注意的是，Prowli有個攻擊百寶箱，可根據需求調用不同的攻擊工具，例如採用SSH的裝置可能會被暴力破解密碼而植入採礦程式，安裝K2擴充程式的Joomla! 伺服器則是被開採檔案下載漏洞，要攻陷DSL數據機則是利用網路上的配置服務，還含有多種可入侵WordPress伺服器的方法。

其它受到Prowli攻擊行動鎖定的還有Drupal伺服器、PhpMyAdmin伺服器、NFS伺服器，以及其它曝露SMB傳輸埠的伺服器。

要預防Prowli攻擊只要採取基本的防護動作即可，包括隨時採用最新版本，以及設定不容易被破解的強大密碼，Guardicore Labs還建議企業於自家網路中隔離那些亦受攻擊的系統。

新聞

立法院於今年5月11日完成《資通安全管理法》三讀程序後，總統府會在一個月內對外公布，成為正式的法律，而總統府也於6月6日於網站正式公布《資通安全管理法》行政院資安處處長簡宏偉表示，依據《資通安全管理法》第二十三條規定：「本法施行日期，由主管機關定之。」行政院預計在六月底前會公布該法正式施行時間，這時間也同時是第一波中央與地方政府等公務機關，正式適用該法的時間。

此外，簡宏偉也表示，行政院資安處將依法繼續制定相關的六個子法，包括：《資通安全管理法施行細則》、《資通安全責任等級分級辦法》、《資通安全情資分享辦法》、《資通安全事件通報及應變辦法》、《特定非公務機關資通安全維護計畫》以及《公務機關所屬人員辦理資通安全業務獎懲辦法》，相關子法都已經進行第二版的內容修正，也已經召開過14場座談會，後續還會召開至少5場座談會，以及多場說明會。他說：「將於7月1日會對外預告，預告期限60天，如果沒問題，相關子法就可以送立法院備查，子法正式生效。」

公務機關第一波適法，關鍵基礎設施業者將一年後適用

《資通安全管理法》立法通過後，簡宏偉表示，中央政府和地方政府的公務機關就是最早適用該法的單位，目前可能會選在今年12月1日或明年1月1日正式實施，一切會以，「不要讓適法的公務機關，變成只做文書作業而已，這對於整體資安防護並沒有幫助。」他說。

他指出，至於其他提供關鍵基礎設施服務的產業業者，則是第二波適用對象，在該法通過後的12個月，才開始適用資安管理法；最後一波適用對象，則是其他非關鍵基礎設施提供者的公營事業，或者是政府捐助達一定比例的財團法人，在該法實施後18個月後才適用；資安處預計在資安法正式實施2年後，會針對實施該法過程中的所有情況，進行通盤檢討。

《資通安全管理法》是國家發展資安重要的法規基礎，除了公務機關之外，更首度納入關鍵基礎設施相關業者，這也是世界各國制定資安專法時的共識。簡宏偉表示，該法最主要的立法核心宗旨就是第一條「積極推動國家資通安全政策，加速建構國家資通安全環境，以保障國家安全，維護社會公共利益」。

而身為《資通安全管理法》主管機關行政院，則應該做到提供資源、整合民間與產業力量，提昇全民資通安全意識，並且推動包括：資通安全專業人才之培育；資通安全科技之研發、整合、應用、產學合作及國際交流合作；資通安全產業發展；以及資通安全軟硬體技術規範、相關服務與審驗機制的發展，而相關的推動作法將會以「國家資通安全發展方案」規範。

該法也規定，主管機關在規畫並推動國家資通安全政策、資通安全科技發展、國家交流合作以及資通安全整理防護時，主管機關將會定期公布「國家資通安全情勢報告」，並對「公務機關資通安全維護計畫」施行情況稽核概況報告，及報告「資通安全發展方案」，相關的內容也都會送立法院備查。

新聞

Google在今年6月針對Android平台所進行的安全更新總計修補了57個安全漏洞，其中有32個漏洞源自於第三方元件，佔了修補總數的一半以上。

Google在Android平台上的合作夥伴都已至少提前一個月就知道相關漏洞，公告只是為了安全修補的透明化。

Google表示，此次所修補的最嚴重漏洞是存在於Media框架上，遠端駭客只要藉由一個惡意檔案就能執行任意程式，事實上，Google本月修補的57個漏洞中，有11個被列為重大（Critical）風險等級，可能造成遠端程式執行或權限擴張，另一方面，在這57個修補中，有32個是為了修補第三方元件的漏洞，只有25個存在於Android平台本身。

其中，LG元件中只有一個CVE-2018-9364權限擴張漏洞，但允許本地端駭客繞過使用者互動取得額外權限，因而被列為重大風險，至於聯發科元件則藏匿著8個安全漏洞，其中的CVE-2018-9373因允許遠端駭客執行任意程式亦被列為重大風險。Nvidia元件中含有3個屬於高度（High）風險的安全漏洞。

此外，高通元件內含13個安全漏洞，高通的封閉原碼元件亦內含7個安全漏洞，在高通元件所屬的20個漏洞中，有4個屬於重大風險。

新聞

由Apache Spark技術團隊所創立的Databricks釋出開源機器學習平臺MLflow，不只對社群開放原始碼，進一步使用開放介面，要支援既有的機器學習函式庫、演算法以及工具，同時Databricks也提供MLflow的託管服務，不過，MLflow仍在早期的測試階段，想嘗鮮的開發者可以在GitHub上取得專案程式碼。

MLflow包含三大部分，追蹤（Tracking）、專案（Projects）以及模型（Models）。MLflow追蹤是用於日誌參數、程式碼版本、指標以及輸出檔案的API和使用者介面，使用者以腳本或是筆記本檔案紀錄日誌結果，可以選擇儲存在本地端或是伺服器上，之後可以使用網頁介面讀取來比較不同的執行結果。

而MLflow專案提供可重複使用的科學程式碼標準格式，每個專案都單獨為一個目錄或是Git程式碼儲存庫，並由YAML檔案來定義MLproject。MLflow專案可以在套件管理器Conda環境中建立相依性，而MLflow會自動設定適合的環境執行專案，而且當專案有使用MLflow追蹤API，MLflow還會記錄專案的版本以及相關參數，開發者可以隨時重新執行完全相同的程式碼。MLflow專案提供了良好的重現性、可擴展性以及實驗性，讓企業或是開源社群都可以更容易地共享資料科學應用。

MLflow的第三部分模型，MLflow的機器模型包稱為MLmodel，其中可以包含任意檔案以及一個MLmodel描述文件。MLflow提供輸出工具，可以把常用的模型格式部署到不同平臺上，官方提到，開發者可以將支援Python_function的模型部署到基於Docker的REST伺服器，也可以選擇部署到各種雲端平臺，像是Azure ML或AWS SageMaker，或是在Apache Spark提供的批次或是串流推測中，作為用戶自訂義功能。

Databricks不只開源MLflow的程式碼，也選擇使用開放介面，官方表示，MLflow是設計來搭配任何的機器學習函式庫、演算法、開發語言以及工具，以REST API以及提供簡單資料格式做為設計理念，開發者可以把MLflow的模型看做是一個Lambda函式，能被不同的工具使用，因此Databricks提到，MLflow好處就是可以立刻增加到既存的機器學習程式碼中，開發者馬上就能執行使用。

之所以會有MLflow這個專案，官方提到，現在市面上的機器學習工具千百種，但是除了不容易追蹤機器學習的實驗外，還很難重現相同的結果，而且也缺乏搬遷模型的標準，因此機器學習的應用常會被工具以及環境綁住，開發者害怕移植後會有不可預期的問題，而開源機器學習平臺MLflow的出現，便是要試圖解決這些問題。

新聞

自從AWS Kubernetes代管服務EKS釋出，已經掀起一波支援潮，許多獨立軟體開發商都動起來，以自家產品為基礎，推出相對應的支援解決方案。像是主打基礎架構管理的HashiCorp，旗下有高人氣的Terraform已經開始支援AWS EKS，讓開發者能直接布建、管理EKS叢集；監控廠商Datadog則是主打視覺化監控方案，同時提供系統管理員巨觀、微觀觀察角度，監控基礎架構的即時狀況。

而現在又有另一家廠商也要加入這波整合風潮，這家公司就是提供雲端大數據分析服務的Sumo Logic，旗下的產品能支援AWS、Azure、GCP環境，提供即時系統Log分析。而這一次的產品發布則鎖定了EKS環境，要增加該環境的可視度（Visibility）。

Sumo Logic表示，EKS可以簡化容器應用程式生命周期管理工作，例如人力監控、管理Kubernetes任務，但是，使用者也必須對於基礎架構環境，有更深入全面的觀看視角，才能避免出現維運盲點，「管理員可以觀察EKS叢集資源使用率，確保應用程式都有足夠資源，而資安團隊也能監控節點、容器內，是否有出現惡意活動。」Sumo Logic表示。

為要完成EKS環境的監控工作，Sumo Logic必須監控兩個重要指標，分別是應用程式Log及Container metrics。而該公司也整合了FluentD、Heapster、cAdvisor等開源工具。首先，Sumo Logic開發了FluentD套件，專門用於搜集Pod內應用程式的Log紀錄，該套件也會部署於所有Pod內，統一把Log匯入叢集後，FluentD會透過HTTP協定，將資料回傳到該公司。

再者是Container Metrics。Sumo Logic整合Kubernetes內建的Kubelet，以及Google開源的容器數據收集工具cAdvisor。接著，整合後的Container Metrics，匯入至Heapster。最後當所有數據都匯回Sumo Logic後，使用者必須安裝該公司的Amazon EKS App，就可以開始監控基礎架構中叢集、應用程式的運作情形。

利用Sumo Logic提供的服務，使用者可以透過儀表板，直接觀看EKS叢集的運作情形，像是Pod數量，或者叢集內CPU、記憶體、網路、檔案系統資源的使用效率。圖片來源：Sumo Logic

除綜觀整體，使用者還能深入單一節點或者Pod觀察。以節點儀表板來說，使用者瀏覽資訊，與觀察整體基礎架構的呈現大致相當，主要也是記憶體、CPU等資源的使用狀況。圖片來源：Sumo Logic

當開發者把監測維度縮小至Pod內的運作，就可以觀察到更多細節。系統可以設定過濾條件，例如將記憶體使用、檔案系統使用最多前十名Pod列出。一旦出現異常狀況，系統管理員可以更快速的鎖定目標，進行故障排除。圖片來源：Sumo Logic

歐盟法院：臉書粉絲專頁管理員也有責任保護用戶資料隱私

Alexa大舉搶進PC市場，又4款白牌PC採用

紀念8086處理器問世40周年，英特爾推限量版處理器Core i7-8086K，台灣將送出500顆

GitLab搶客又開一槍，只要開源專案或教育機構用，黃金會員也免費

AWS Kubernetes代管服務終於正式上線

Computex 2018：AMD揭露下一代7奈米EPYC伺服器處理器發布時程，最快2019年問世

Google釋出Capillary開源函式庫，助Android開發者提供端對端加密推送訊息功能

基礎架構管理工具Terraform開始支援AWS Kubernetes服務

Datadog也可以用來監控AWS Kubernetes服務

Zip Slip目錄走訪漏洞，知名企業專案與多數開發語言都中鏢

Computex 2018：微軟發表企業協作利器Windows Collaboration Displays

Android P開發者預覽版3釋出，就是Android 9 !?

能提供衣著穿搭建議的Amazon Echo Look正式在全美上市

VPNFilter災情超乎預期，華碩、D-Link、華為與中興裝置都遭殃

Coinbase申請成為全球首家加密貨幣證券交易商

惡意攻擊行動Prowli散佈採礦程式、進行流量詐騙，全球已有4萬台裝置淪陷

總統府正式公布資通安全管理法，行政院預計6月底前公布施行時間

Google本月修補57個Android漏洞，過半數是第三方元件的

Databricks開源機器學習平臺MLflow，以標準格式打破工具平臺的界線

AWS EKS整合潮正夯，雲端大數據分析廠商Sumo Logic也要支援