Quantcast
Channel: iThome
Viewing all 31404 articles
Browse latest View live

三星6.4吋的Galaxy Note9亮相,價格媲美iPhone X

$
0
0

三星(Samsung Electronics)於本周四(8/9)發表了旗艦款手機Galaxy Note9,它採用6.4吋螢幕,更新S Pen與相機功能,還標榜能使用一整天,提供128GB與512GB兩種儲存版本,前者售價為999.99美元,已與低階版iPhone X的999美元相當,預計於8月24日上市。

Galaxy Note9內建4,000mAh電池,強調不管是講話、傳訊、玩遊戲或看電影,都能從早用到晚;手機採用10奈米製程的八核心處理器,分為6GB記憶體/128GB儲存容量與8GB記憶體/512GB容量兩種版本,也支援Micro SD卡,最高可擁有1TB的儲存容量;它可支援市場上最快(每秒傳遞1.2Gb)的網路速度,亦具備三星自行開發的碳水冷卻系統與基於AI的效能調整演算法,以帶來更強大且穩定的效能。

新版的S Pen除了支援低功耗(BLE)藍牙之外,還強化了功能性,例如只要點一下就能自拍、播放幻燈片,或是操作影片播放功能等。

後方配備雙鏡頭(廣角+望遠),均為1200萬畫素相機,新一代的相機則帶來場景與主題的自動最佳化功能,亦可即時偵測所拍攝畫面的缺陷,不管是影像模糊了,或者是主角眨眼了,還是鏡頭弄髒了,都能當場提醒使用者重拍,另也搭配先進的降噪技術以及雙光圈鏡頭,提供F1.5與F2.4的光圈模式。

Galaxy Note9亦可搭配Samsung DeX行動工作站使用,透過DeX連結螢幕、滑鼠與鍵盤之後就能創造近乎個人電腦的使用環境。

與上一代的Note8相較,Note9採用6.4吋螢幕,Note8則是6.3吋,解析度分別為516ppi與521ppi,重量則是201公克與195公克;在效能上,Note8比Note9慢了20%,電力效率則少了30%,且Note9的電池容量也比Note8多出20%。

另一方面,Note8有64GB、128GB與256GB三種儲存容量版本,最低售價為929美元,Note9則只有128GB與512GB兩種版本,前者售價為999.99美元。至於蘋果iPhone X則有64GB與256GB兩種版本,售價分別是999美元與1,149美元。

Note9有金屬銅、薰衣草紫、午夜黑與海洋藍等4種顏色,今日(8/10)起已於美國市場開放預購,將在8月24日於特定市場上市。


加速進入汽車市場,Amazon開源Alexa車用SDK

$
0
0

近年來包括福特汽車與豐田汽車等汽車製造商都已在車系中嵌入Amazon的Alexa數位語音助理,而為了簡化汽車業者部署Alexa,Amazon周四(8/9)發表了Alexa Auto SDK,同時將它開源,以讓所有汽車製造商都能加以利用。

Alexa Auto SDK包含原始碼與以C++及Java所撰寫的功能函式庫,讓汽車能夠執行語音的輸入與觸發,建立汽車與Alexa的連結,並處理與Alexa的所有互動,同時支援ARM與x86處理器架構的Andorid及ONX作業系統。

Alexa Auto SDK具備Alexa的各種核心功能,包括語音辨識及語音合成,也能用來串流多媒體、控制智慧家庭裝置、傳送通知、報告天氣或使用各種Alexa Skill,另外它也添增了汽車專用的功能,例如喚醒引擎、本地端媒體播放器、本地端電話或是本地端的導航系統。

因此,將Alexa Auto SDK整合到車載資訊系統之後,駕駛即可利用Alexa來撥電話、執行媒體串流服務、設定導航系統,或搜尋附近的商家等。

Alexa Auto SDK源自於Amazon甫於去年設立的Alexa Auto團隊,以用來與蘋果CarPlay中的Siri,或是Android Auto中的Google Assistant競爭。

安碁資訊轉型純資安服務商,力推新世代SOC,並在今夏掛牌興櫃

$
0
0

投入國內資訊服務多年的老牌廠商安碁資訊,近年有了很大的轉變,他們不僅徹底轉變成一間純資安服務的公司,並在今年夏天正式登錄興櫃交易(股票代號:6690),成為臺灣首家以資安監控委外服務商(MSSP)興櫃的資安服務公司,達到新的里程碑,而這也是宏碁集團旗下第二家辦理股票公開發行的子公司。

事實上,安碁資訊在2017年的營業額比重中,除了機房與雲端服務占49%之外,資安服務的比重也達到32%,成為主要收入來源之一。去年底,安碁資訊即進行組織架構調整,將機房維運管理事業單位,分割至新設立的宏碁雲架構服務公司,這也使得安碁資訊的營運主軸,轉變為以純資安服務業務為主。

更專注在資安服務業務的安碁資訊,昨日(9日)召開興櫃媒體簡報會,該公司董事長施宣輝表示,在整體發展策略上,安碁資訊將持續布局海外市場,走出國際,現階段也正看好東南亞市場對資安的需求,並將於8月下旬前往泰國招商。

在資安服務的提供上,安碁資訊已經投入多年安全監控服務中心SOC(Security Operation Center)。該公司總經理吳乙南表示,自2003年參與N-SOC計畫開始,在2005年時即自建SOC。面對現在層出不窮的資安問題,去年他們也成立CSIRT,打造第一線處理資安事件的應變處理團隊。隨著全球資安市場規模的成長,以及法規推升資安服務需求,他們看好資安市場的前景每年仍有10%的增長。

而在去年底的組織架構調整後,目前安碁資訊團隊為105人,並有7成以上人員都是工程師,他們期望藉由全面的資安技術服務,並透過SOC四層式資料處理架構,進而扮演資安產業領頭羊的腳色前進。而在海外業務的推動上,也將發展平臺模式,以SIEM與AI平臺雙管齊下,亦可透過共同銷售大數據發現之情資的方式,開拓市場機會並共同銷售。

此外,由於資安事件頻傳,吳乙南表示,他們特別提出了「資安講堂」的資安教育推廣服務計畫。以往這樣的服務都是付費課程,但他們這次將推出100小時額滿結束的免費課程,主要開放資訊安全通識基礎,以及資訊安全通識進階課程,供國內各機構皆申請,鼓勵企業提升資訊安全素養,此活動將自9月1日開始。

安碁資訊總經理吳乙南表示,未來將透過AI化、平臺化、國際化3大策略擴張服務版圖,其中他們去年推出的威脅情報AI分析平臺(ATHENA),就是一大關鍵,將運用大數據和機器學習技術,結合資安鑑識的專家智慧分析能力,找出現有資安設備無法偵測的資安問題。

關於安碁資訊在SOC的新進展,該公司資訊技術長黃瓊瑩做出進一步說明,他們是在2017年,提出新世代Inteligent SOC架構。當中包含了三大主軸,分別是成立數位鑑識中心實驗室,成立資安情資中心,並整合威脅情報AI分析平臺(ATHENA),藉此讓SOC服務本身更進化。

其中的AI分析平臺,是他們新世代SOC的一大重點,強調即時、關連、準確的資安資訊分析,解決傳統SOC事件收集僅以SIEM平臺建置、規則比對,無法有效處理成有用資訊的困擾,以及發現現有資安設備無法偵測之資安問題。

黃瓊瑩表示,ATHENA是他們自行開發的AI平臺,當中運用了演算法與機器學習技術,並包含了自家申請專利的演算法,以分析挖掘潛藏的資安問題。

在新世代SOC的架構之下,將從反應式進化為主動式。具體而言,就是在收到警告時,也同時掌握攻擊者相關資訊,要做到跨設備即時監控警示,並要有多維度資安情資分析。

近年來,其實我們看到不少資安服務業者,都在發展AI分析平臺,透過機器學習與人工智慧帶來更自動化的幫助,該公司資安長顧寶裕也表示,這已是全球MSSP的發展趨勢。

對於安碁資訊而言,他們新世代SOC架構的人工智慧該怎麼做?才能找出未知潛在攻擊,黃瓊瑩用簡單的比喻來形容,就是要看「跟以前不一樣」、「跟別人不一樣」,並從行為的重複性、變化、不對的時間、內容的改變與連線頻率分析等多個維度,檢視是否跟以往不同,或是跟別人不同,再加上固定特徵,利用演算法來找出潛在攻擊,跳脫原來依賴規則與特徵的方式。

以安碁資訊的SOC發展而言,他們圍繞在SOC的各項延伸發展,包含了數位鑑識實驗室,資安情資中心,以及AI分析平臺上的大數據、深度學習與人工智慧應用,同時他們亦強調應延伸至OT場域。

對於OT環境的監控與AI分析平臺,根據我們進一步的詢問,目前他們ATHENA平臺接受的資料來源層,尚不包括OT環境的資訊,但他們正與幾個OT環境的入侵偵測設備廠商洽談,像是Claroty等,未來他們也預期將與更多業者合作,以擴增他們的服務範圍。他們也坦承,目前這些OT安全管理平臺在國內的接受度還算低,但在台積電機臺中毒的事件之下,應該會有更多國內業者代理這類型產品,而他們也將持續關注並擴展這方面的能力。

在安碁資訊的新世代SOC架構下,該公司資訊技術長黃瓊瑩表示,將結合他們去年成立的數位鑑識與情資研究中心,並借助大數據平臺與AI人工智慧之力,進一步讓SOC服務更好因應現在的威脅環境。

關於機器學習與人工智慧在新世代SOC上的運用,其實安碁資訊在今年3月舉行的2018臺灣資安大會上,也曾經揭露相關內容。

當時擔任安碁資訊資深處長的黃瓊瑩強調,新世代SOC將化反應式為主動式。更具體來說,傳統 SOC利用SIEM平臺 進行跨設備「即時」關聯分析,但對於歷史日誌分析切入角度有限。現在他們在原本的 SIEM 工具基礎上,結合巨量數據分析能力與所開發之人工智慧偵測模型,進而從收集到的海量日誌找出潛伏的資安威脅,提高事件鑑識效率。例如,他舉例,借助大數據平臺與機器學習演算法,用於找出是否有偏離常規的來源IP或執行指令,以圖形識別便是固定周期連線等。

Trustwave開源可人臉辨識「肉搜」社交檔案的情蒐工具Social Mapper

$
0
0

新加坡電信(Singtel)旗下的資安業者Trustwave在本周釋出了基於人臉辨識技術的情報蒐集工具Social Mapper,可用來肉搜社交網站上的個人檔案,該工具支援了LinkedIn、Facebook、Twitter、Google+、Instagram及微博等8個社交網路平台,只要輸入名字與照片,就能蒐集這些人在上述社交網站上的個人檔案。

Trustwave自詡為一家提供合乎道德之駭客服務的公司,已成功利用Social Mapper替客戶進行了許多滲透測試與多層次模擬攻擊(Red Teaming)。

Trustwave安全分析師Jacob Wilkin表示,Social Mapper主要的優點為個人檔案自動比對及報告產生能力,隨著資安產業持續因競爭激烈與人才短缺而頭痛,滲透測試人員必須採用最有效率的工作方式。

Social Mapper的執行可分為3階段,一是目標解析,由測試人員輸入人名與照片以建立目標名單,第二步則是在各大社交網站上先以名字搜尋這些目標,再從搜尋結果的個人檔案進行照片的比對,最後則是建立一個彙整目標對象社交網站連結的CSV檔案或是更視覺化的HTML報告。

當中的第二階段所耗的時間最久,假設目標名單上有1,000個對象,比對時間可能會超過15個小時。

儘管Social Mapper看起來像是個駭客工具,但它實際上是替資安測試人員所準備的,可用來協助客戶測試企業或員工對於網釣等攻擊的防禦能力,例如建立一個假的社交網站帳號,再向目標對象申請成為好友,繼之寄出惡意連結。根據統計,社交網站用戶點選連結或開啟文件的機率是電子郵件用戶的兩倍。

Social Mapper支援LinkedIn、Facebook、Twitter、Google+、Instagram、微博、VKontakte與Douban等8個社交平台,已開放外界自GitHub下載

程式語言Julia歷經6年開發,融合多語言特性終釋出1.0

$
0
0

Julia第一次釋出時,就宣告了該程式語言宏大的目標,除了要有C一樣的執行速度外,還要如同Python成為一個具一般可用性的語言,也想要如同Matlab支援線性代數演算法,字串處理能力要能與Perl匹敵等各式需求,而官方在Julia 1.0釋出文章中,有自信的列出了Julia數個特點。

Julia一開始設計就以高效能運算為目標,Julia的程式可以用LLVM編譯成多平臺的高效能原生執行碼。Julia也兼具一般性,能使用多重調度作為範式,讓該語言容易表達多物件導向與函式程式設計模式,其標準函式庫提供了非同步I/O、程序控制、日誌紀錄、概要分析以及套件管理器等。

作為Julia的目標之一,是能具備如同Ruby一樣的動態特性,因此官方讓Julia成為動態型別的語言,就像是腳本語言一樣,在互動使用上有很好的支援。而在專業運算支援方面,官方也在Julia下足了功夫,因此Julia也適合用於數學的數值運算,支援多種數值資料型態,而其多重調度的特性,更加適合用於定義數字與陣列的資料型態。

Julia是具有豐富的描述性資料型態的語言,型態宣告可以讓程式更加清楚與強健。而Julia套件間也可以進行良好的協同工作,無論是單位數量的矩陣,或是顏色和貨幣的資料表格欄位,都能高效能的運作。

官方提到,Julia並非半生不熟的程式語言,因此1.0最重要的更新,也就是API的穩定性。開發者使用Julia 1.0開發的程式,也能在1.1、1.2版本中運作,這也能幫助語言開發團隊或是社群可以放心開發套件、工具與新功能。而跟著1.0發布的是全新的套件管理器,簡化了安裝套件以及管理相依性的工作,同時也支援個別專案的套件環境,能與他人分享工作應用程式狀態,而且還能無縫支援私有套件與套件儲存庫,因此開發者可把用於開源套件生態系的工具,使用在安裝與管理私有套件。

Julia 1.0為了可以良好支援統計與資料科學應用,引入了新的規範以表示缺失值,官方強調,能夠表示和處理缺失的資料,是統計和資料科學應用的基本。Julia 1.0中,任何泛型集合型態都能透過讓元素包含預定義的缺失值,來有效率的處理缺失值。過去Julia處理這種聯合型態的集合效率極差,但在改進編譯器後,這個問題獲得改善。

另外,迭代協定也重新設計,開發者能更容易實現多種迭代,有別過去定義三個不同泛型函式的方法,現在只要定義一個迭代函式以及兩個參數方法。而內建的字串型態現在已經可以安全的保存任意資料,程式不再會因為字串中放入了一個無效的Unicode雜散位元組而崩潰。

Julia的最佳化器(Optimizer)也是這次更新的一大亮點,現在最佳化器可以透過呼叫函數傳播常量,進而做到更好的死碼刪除(Dead Code Elimination)和靜態評估。而編譯器也更善於避免在長效物件旁分配短效包裝器(Wrapper),這讓開發者可以在不損失效能的情況下,容易的使用高階抽象。

Julia是一個非常精簡的語言,許多功能組件被拆分成標準函式庫套件,雖然這些套件隨附在Julia中,但不屬於語言基礎的一部分,這些標準函式庫將獨立於Julia,進行本身的版本控制與升級。官方在發布Julia 1.0時,對API做了徹底的檢視,過去模糊的命名以及低效能的程式編寫模式,都被重新命名與重構,以維持語言的一致性與可用性。

想要從0.6或是更早版本的Julia升級成1.0的開發者,官方建議,可以先升級到0.7版本。由於0.7版本是一個過渡版本,會發出棄用警告,協助指引開發者升級程序,在程式碼沒有警告後,就可以無痛的升級至Julia 1.0版本。既存的套件也使用這個過渡方式,發布與1.0相容的更新。

Criptext發表端對端加密郵件客戶端程式,號稱全球最私密

$
0
0

新創業者Criptext於本周發表了號稱是全球最私密的同名電子郵件程式,除了強調這是一款完全就是針對保護用戶隱私所設計的電子郵件之外,也正努力改善它的使用者介面,讓它成為既安全又好用的郵件程式。

Criptext完全沒有利用伺服器或雲端來儲存使用者的收件匣,也無法存取使用者的加密金鑰,不管是收件匣或加密金鑰都只存在於使用者的裝置上,此外,它還以開源的Signal Protocol協定來執行郵件的端對端加密。

Criptext是個開源專案,且目前的版本為測試版(Beta),該公司希望號召開源社群加入試用,並提供意見,以讓它走向1.0版。

Criptext創辦人暨執行長Mayer Mizrachi表示,儘管安全與隱私是Criptext郵件程式最重要的任務,但如果該程式很笨重又難以使用,就沒用武之地了,因此希望打造一個非常友善的使用者介面,最好能讓使用者忘卻它有多安全。

除了基本的郵件功能之外,Criptext允許使用者在寄出信件的1小時內回收信件,也能即時追蹤郵件是否已被特定的接收端開啟,它目前支援macOS、iOS與Android平台,近日就會釋出支援Windows與Linux的版本。

臺灣資深CTF戰隊HITCON,以良好默契和分工迎戰DEF CON CTF決賽

$
0
0

即將在美國時間8月10日上午10點,於美國拉斯維加斯凱薩宮舉辦的第26屆DEF CON CTF比賽,臺灣首度有兩個隊伍參賽,除了已經在2014年獲得該比賽全球第二名好成績,並連續於2015年、2016年以及去年分別獲得全球第四名、第四名和第二名好成績的臺灣HITCON戰隊,連續第五次入圍決賽外,也首度有一個由臺灣大學Balsn、交通大學Bamboofox、中央大學DoubleSigma以及中科院Kerkeryuan等四個聯隊組成的新隊伍BSF,以預賽第22名的成績,首度參加DEF CON CTF決賽。

臺灣HITCON CTF領隊李倫銓表示,面對這次將由新的CTF主辦單位Order-of-the-Overflow(簡稱O.O.O.)首度出題,以往曾經獲得好成績的參賽經驗,並不見得立即可以派上用場。面對這樣的全球駭客網路搶旗攻防賽,李倫銓也說,臺灣HITCON戰隊也不敢掉以輕心,團隊成員將以過去曾經一起合作多次比賽的良好默契,加上彼此妥散分工的方式,來迎戰這場由新主辦方出題的CTF比賽。

面對新的CTF主辦方O.O.O.,無法預測出題方向

因為,DEF CON CTF主辦單位LegitBS在去年卸任後,DEF CON主辦單位最後在個有意接手的團隊中,選上有部分成員來自於,由美國聖塔芭芭拉大學組成的Shellphish團隊成員,以及部分來自於主辦美國BostonKeyParty種子賽的團隊成員所組成的主辦團隊O.O.O.(Order-of-the-Overflow)。

李倫銓表示,從這次初賽的出題方式,以題目內容而言,可以用「刁鑽古怪」來形容,而且他笑說,很多題目看起來都像是老人出的題目,也因此,此次預賽獲得第一名的美國隊伍Samurai,就是參加DEF CON CTF長達10年以上的老隊伍。但他認為,初賽這樣的出題方向,一直到正式比賽時,是否還會有任何的修正,一切只有等到比賽正式開打後才能見真章。

也因為臺灣HITCON戰隊過往已經培養出良好的比賽默契,但面對亞洲與美國超過半天的時差,以及過往都曾發生,團隊成員因為水土不服的生病感冒等種種突發狀況,臺灣HITCON戰隊除了提前一天到美國調時差外,李倫銓指出,成員自動自發開始寫各種比賽可能會用得到的工具,從分析各種攻擊流量封包的工具到送記錄封包的工具,到設定伺服器和網路環境等,團隊成員幾乎呈現「全自動」的分工方式,更多時候,不需要多說一點什麼,彼此就自動接手每一個接下來該做的動作。李倫銓說:「HITCON戰隊成員彼此之間的互信與默契,就是該隊最棒的資產。」

只不過,HITCON戰隊在進行比賽時的網路環境設定時,也發現,飯店的網路環境並沒有改善,網速也不好,在加上,這次比賽現場將有25隊參賽,以每隊8個人在比賽現場的情況下,保守估計至少會有2百人在CTF的比賽現場。

面對這麼多的駭客高手,他也說,難以想像主辦單位在正式比賽開打後,光是複雜的網路設定和如何傳送答案的封包,甚至會不會發生其他一些突發的網路中斷或是更難以想像的各種突發狀況,他相信,包括HITCON在內的各個參賽隊伍,都會抱持嚴陣以待的態度一起面對。

不過,李倫銓也表示,以往只有一組戰隊出國比賽,以往由趨勢科技獨家贊助的經費就已經足夠,但今年面對兩組團隊出國打比賽,臺灣HITCON戰隊也另外尋找包括義美食品、叡揚科技以及Openfind 網擎科技的企業贊助,讓比賽團隊才可以順利成行。

 

 

臺灣資安新血BFS戰隊,以初生之犢之姿迎戰DEF CON CTF決賽

$
0
0

除了臺灣HITCON戰隊維持過往的好成績,連續第五屆入圍DEF CON CTF全球駭客搶旗攻防賽外,臺灣在今年也有第二個資安新血隊伍BFS,在全球上千名隊伍參賽的激烈盛況中,以預賽第22名的好成績,首度入圍在8月10日於美國拉斯維加斯舉辦的DEF CON CTF決賽。

臺灣BFS資安新血戰隊是由臺灣大學Balsn、交通大學Bamboofox、中央大學DoubleSigma以及中科院Kerkeryuan等四個聯隊所組成的新隊伍。其中的三個學生隊伍,不管是Balsn、DoubleSigma或者是BambooFox,都是去年12月HITCON Pacific舉辦CTF比賽時,為了讓臺灣團隊有更多國際比賽經驗所培育的種子參賽隊伍。

猶記得在去年HITCON Pacific的CTF比賽現場中,不管是臺大Balsn、中央大學組成的DoubleSigma,或者是交大資安社團BambooFox組成的隊伍,當時面對全球一流高手,在現場比賽所面臨的共通困難點都是「缺乏實際參加攻防競賽的經驗」。

但是,只花不到半年的時間,這群BFS的學生戰隊成員就已經慢慢長大茁壯,透過分進合擊的聯合作戰方式,成功拿到正式到全球駭客比賽聖殿DEF CON CTF比賽現場的門票,終於有機會親自體驗,如何面對來自全球第一流駭客高手的挑戰,這也讓人對於資安新血戰隊BFS的未來發展充滿期待。

HITCON戰隊經驗傳承,三組分工合作打比賽

代表BFS戰隊對外發言的臺大Balsn隊長陳威甯,在完成碩士論文的口試後,就如火如荼的和其他團隊的成員,全心投入如何打這場DEF CON CTF決賽的硬仗中。

陳威甯表示,因為過去這些成員在學期中,都還必須面臨各自的課業壓力,只短暫開過一、兩次會議,確定基本的分工模式外,其他就算有討論,有時候,也無法有很具體的結論。

不過,確定打進決賽後,HITCON戰隊就有參賽成員分享如何打比賽的經驗,從事前的分工準備,甚至是到比賽現場的調度等,都有助於BFS戰隊減少無謂的摸索時間,可以在最短的時間進入備戰狀態。

也因此,BFS團隊成員一抵達比賽的飯店後,就開始各種事前的準備工作。陳威甯指出,主要分成三大部分,關於基礎設施的部份,包括伺服器、網路VPN的設定,和完成協助團隊做攻擊管理的腳本程式等,主要有四名成員負責;其次,有六名成員協助撰寫分析攻擊流量的封包工具。

至於,成員分工占最大宗的就是負責挖漏洞(exploit)和產生攻擊流量的攻擊手,名義上雖然有14人,但包括撰寫封包工具的6個人,也都是扮演攻擊手的角色。

「光是寫比賽要用的工具、調整並整合不同工具中所使用的操作介面,串接不同的工具,持續新增所需要的功能等,就已經讓BFS戰隊成員,有一些就直接累到在沙發上睡著了。」陳威甯說,這也是BFS戰隊成員面臨的最大挑戰之一。

透過工具功能整合與橫向溝通,磨練BFS戰隊默契

再者,陳威甯強調,BFS戰隊是一個新的團隊,除了預賽的初次合作外,彼此並沒有正式對外打比賽的合作經驗,在沒有像是HITCON戰隊成員的好默契前提下,不厭其煩的各種溝通、磨合,進行各種跨團隊的整合等等,其實就是開始慢慢培養BFS戰隊默契的起點。

也是臺大Balsn成員之一的陳盈伸,已經是一個現職的資安工程師。他認為,打CTF比賽的經驗,有助於他將課堂上學到的理論轉化成實務上可以使用的技能,更重要的是,透過參加比賽的方式,不僅訓練團隊成員面對問題和解決問題的能力外,也同時培養團隊成員如何快速學習的駭客精神。他認為,這樣的經驗和學習,就是他從CTF比賽中獲得最珍貴的寶藏。

AIS3暑期資安課程,為臺灣資安人才培育奠定良好基礎

這次BFS戰隊成員中,有許多都是在暑假舉辦的新型態資安暑期課程AIS3(Advanced Information Security Summer School)所培養出來的學生之一,加上包括臺大、臺科大、交大以及中央大學等,平常也都有相關的資安攻防課程,讓更多對資安有興趣的學生,有更多元的機會學習和體驗。

此次,負責AIS3計畫的臺科大副教授鄭欣明、交通大學資工系副教授黃俊穎等人,在舉辦AIS3的課程中,除了讓BFS戰隊成員擔任助教或者是講師的角色外,也趁機讓所有BFS戰隊成員,真正有機會面對面、坐下來討論。

黃俊穎表示,BFS戰隊從前置作業的角色分工到工具語言選擇等等,都必須是真正的面對面聊完後,才比較容易有共識做決定,也才能順便培養合作的默契。他便舉例,光是分析工具到底要使用哪種語言,就經過許多次的討論後,才決定使用Python作為開發分析工具的開發語言。

鄭欣明則指出,AIS3其實是一個培養資安人才的學習和訓練平臺,透過跨國、跨社群、跨產業以及跨學術界的合作,提供從AI、車載資安、鑑識、攻防、資安事件處理(IR)等各種實務經驗的分享,也奠定包括BFS戰隊成員在內的資安素養與內涵。

鄭欣明也表示,這次BFS戰隊可以順利出國比賽,最主要來自於教育部和AIS3計畫編列相關預算贊助,也因為有包括趨勢科技、中華資安國際,以及資褓儲存等企業贊助,才能夠讓BFS戰隊的團隊成員,可以順利出國參加比賽。他也希望,BFS戰隊成員可以表現穩定,確實發揮實力,可以和HITCON戰隊都有不錯的成績表現。

期待臺灣資安人才培育,從量變帶來質變

臺灣在過去四年,在全球駭客競逐的DEF CON CTF搶旗攻防賽的擂臺中,因為有臺灣HITCON戰隊傑出的表現,也使得臺灣在國際資安圈的能見度大幅提升。不過,臺灣HITCON戰隊CTF領隊李倫銓以往最憂心的點在於,臺灣資安的傳承是否能夠後繼有人,打CTF比賽只是一個吸引新生代對資安有興趣的引子,可以趁機培養更多資安人才,才是臺灣HITCON戰隊多年來,願意一直對外打比賽、做宣傳的真正的目的。

此次,臺灣能夠首度有兩個CTF戰隊參加DEF CON CTF決賽,李倫銓認為,這也表示,臺灣過去幾年對於資安人才培訓的作法,慢慢出現一些成果,透過「從量變帶來質變」,也證明臺灣在資安人才的培育,的確是走在對的道路上。

 

 


臺AI新創WeavAir與Vibrasee,雙雙以智慧居家應用從亞太80隊中勝出,抱走2018年TTA奇點亞太創業競賽大獎

$
0
0

臺灣AI新創團隊WeavAir和Vibrasee,經過兩個月努力、從80組來自亞太各地的新創團隊脫穎而出,並於今日由科技部與奇點大學舉辦的2018年TTA奇點亞太創業競賽決賽中,奪下最大獎SU Ventures Incubator Program,將前往矽谷參加奇點大學為期10周的加速課程,與世界頂尖AI團隊交流。

WeavAir:以AI系統+感測器控制暖通空調(HVAC)

新創團隊WeavAir以同名計畫參加這次競賽,將核心聚焦於HVAC,也就是負責室內暖氣、通風和空氣調節的系統與設備,能控制空氣溫度、濕度和通風度,對大型建築和一些製造業來說,格外重要。

而WeavAir以感測器陣列,來測量HVAC系統性能和室內空氣質量,並表示這些感測設備,可由再生能源部分供電。WeavAir也會即時分析這些數據,並用預測性演算法來提高感測器的準確度,目的就是希望藉由這些感測器和AI技術,來降低HVAC耗能和成本。

WeavAir能感測的項目,包括溫度、壓力、濕度、氣體、灰塵微粒、生物氣溶膠等。

Vibrasee:用平價鏡頭就能做精準的顫抖影像辨識,及早預防帕金森氏症

另一組得到SU大獎的新創隊伍Vibrasee,以微振動偵測器(Micro Vibration Detector)計畫脫穎而出。微振動偵測器利用莫瑞效應光學技術和深度學習影像分析,來即時檢測人類手部皮膚的微振動,包括手背、食指、中指和無名指等處,以判定是否為早期帕金森氏症。

Virasee 執行長張焜傑表示,這項微振動偵測器已進行臨床前測試,而且95%的診斷結果與醫師相同。他也提到,這項應用不只能用來偵測帕金森氏症,還可用於身體其他部位,來探測其他疾病的早期症狀。   

而今日決賽,除了由兩家臺灣新創抱走SU奇點大學大獎,還有一組臺灣團隊雲象科技aetherAI獲得科技部TIEC獎項,能夠到矽谷培訓課程,與矽谷知名加速器鏈結。雲象科技聚焦開發網頁版的整合式醫療影像AI平臺,利用深度學習技術,來辨識不同類型的醫療影像,比如X光片、顯微鏡影像、數位病理資料等。雲象科技執行長葉肇元表示,他們也與國內外醫療機構合作,包括臺大醫院、國泰醫院、美國匹茲堡大學醫學中心(UPMC)和馬里蘭大學醫學中心等。

除了上述獎項,科技部也頒發了TTA進駐資源獎給四組人馬,分別是來自新加坡的BeamAndGo、來自臺灣的Faceheart與龍骨王(LongGood),以及來自菲律賓的Rummarocket。成立5年的新加坡新創BeamAndGo開發一款服務,目標是透過擴大電子支付平臺功能,提供移工微型貸款平臺、降低高利息貸款產生的風險。舉例來說,假設移工A要寄錢給家人用,可在BeamAndGo App上選擇需要的產品,而家人就會收到一組代碼,再用這組代碼到實體店消費。副總裁Albert Christian Go表示,未來希望能在臺灣設立分部。

而臺灣新創Faceheart主打eBus計畫,也就是透過疲勞駕駛的即時偵測系統,來提前預警、預防公車司機因疲勞而發生車禍。這套系統利用深度學習技術,來分析駕駛臉部表情,此外,該系統也會分析駕駛行為,比如是否打呵欠等。

另一家臺灣新創龍骨王,打造一款名為Rebecca的復健機器人(RehaPal),結合AI視覺辨識與機器人,來進行重複性高的復健活動,像是手臂協調訓練、力量訓練,以及被動關節活動訓練。文◎王若樸

又一區塊鏈自律組織9月將成立,亞太區塊鏈發展協會和7家虛擬貨幣交易所先推自律公約

$
0
0

臺灣在虛擬貨幣的規範仍然不明確,主管機關也尚未定,為了在政府立法前,讓虛擬貨幣交易所業者有一套可以遵循的規範,今(10日)在立法院中興大樓,立委余宛如、中華民國全國商業總會、亞太區塊鏈發展協會,偕同7家虛擬貨幣交易所,包括BitoEX、Bitfinex、BitPoint、BitAsia、Cobinhood、Ktrade、TiDeal,共同發布一項虛擬通貨交易所會員自律公約(Self-Regulatory Guidelines,SRG),並宣布今年9月即將成立亞太區塊鏈產業自律聯盟。

亞太區塊鏈發展協會理事長廖世偉表示,由虛擬貨幣交易所先聯合訂定自律公約,就是希望提出一個自律框架後,能夠拋磚引玉,讓虛擬貨幣相關業者、監管機管都能共同參與,完善整套自律規範的細則。他也提到,已加入亞太區塊鏈發展協會的7家交易所,過去與政府的對話並不多,未來成立的自律聯盟,就是要建立橋樑,讓資源的嫁接更為順暢。也希望自律機制能在交易所之間的折衝與意見整合中,討論出更好的細部規範,就像開源軟體的精神一樣,讓整個自律機制更為健全。

廖世偉也提到,虛擬貨幣業者在臺灣面臨的困境。例如,財政部與交易所在課稅的問題上,始終無法達成共識,因為財政部希望以交易量作為課稅基準,但交易所只想以交易手續費作為課稅基準,彼此就會在認知上有衝突。他也感嘆,政府不願意承認虛擬貨幣是貨幣,而是一項產品,又以高標準貨幣要求他們,再加上金管會在7月底發函全體銀行,要求各家銀行針對虛擬貨幣相關業務,須依照洗錢防制法規定辦理,並採取5大措施,像是要求銀行必須對虛擬貨幣平臺、虛擬貨幣服務業者,以及其來往的客戶,做實名制,而這也導致銀行不願意與虛擬貨幣交易所對接。

為了突破困境,交易所必須集結起來,共同訂定自律公約,讓虛擬貨幣交易所的資訊更為透明,消除大眾對虛擬貨幣的疑慮。幣幣交易所TiDeal執行長謝政諺表示,自律組織的會員會依照國內外產業狀況、自身營運情況,去制定一套條約,讓交易所之間可以去遵守,並進一步降低使用者對虛擬貨幣業者的種種疑慮。而交易所之間也可以彼此監督,因為若有害群之馬不遵守條約,而導致組織公信力下降,其它交易所則可聯合譴責,就像成立一個同業公會,透過組織力量,把各界資源導入,而當自律組織公信力高時,就能去爭取更多資源,這也是使會員遵守條約的誘因。

亞太區塊鏈發展協會顧問林盟翔也補充,自律公約的框架,彙整了國內外虛擬貨幣業者碰到的問題,公約的主要精神就是把問題核心找出,以較大的框架讓各交易所都能遵循,事後再去跟主管機關協調,並將相關爭議、難題釐清後,將自律公約做調整。他也提到,無論未來主管機關採取何種監理模式,交易所的自律規範一定會存在,所以先由交易所共同制定出自律規範,把方向訂定出來,讓主管機關有意願參與,共同協商訂定出符合監理要求,又同時能促進虛擬貨幣市場競爭力的一套規範。

然而,9月即將成立的亞太區塊鏈產業自律聯盟,並非臺灣首個自律組織,早在今年5月,立法委員許毓仁已宣布成立臺灣加密區塊鏈自律組織,要透過自律組織,自行管控可能的風險,取代政府的介入,避免新興產業在萌芽階段,就受到政府管制。但是,相較於日本虛擬貨幣交易所自律組織JVCEA,因為獲得主管機關,也就是日本金融廳的官方認證,所以,對所有參與的交易所業者,具有一定程度的法律強制力,在審核標準上也會相對嚴格。

對此,林盟翔回應,這正是臺灣虛擬貨幣產業所面臨的問題:沒有虛擬貨幣的主管機關。所以,才需要先發起自律公約與成立自律組織,並與未來可能成為主管機關的相關監管單位,像是財政部、金管會等監管機關接洽,希望相關監管機關能加入共同指導。

此外,針對交易所遭駭事件頻傳,此自律組織是否有一套規範要求交易所,要把多少數位資產的比例儲存在冷錢包,避免遭駭的風險?對此,亞太區塊鏈發展協會秘書長楊國正表示,韓國的自律組織有訂定一個比例,但亞太區塊鏈發展協會在過去半年與交易所會員討論時,他們都認為不要制訂數位資產放在冷錢包的比例,因為大型、小型交易所能夠承受風險的能力不一,各家交易所都希望先由內部訂定,而非遵守同一套標準。

另外,中華民國全國商業總會副秘書長戴中興也到場支持,他表示亞太區塊鏈協會是商總「區塊鏈應用及發展研究所」的會員,未來商總也希望把140萬家臺灣企業帶入,遵守法規推動。也希望未來能將區塊鏈讓商總的會員應用,讓每個企業能採用區塊鏈,增加國際競爭力。

GDPR答客問

$
0
0

由iThome Studio製作的「大話資安」邀請各領域專家把資安這件事「說清楚、講明白」。首先登場的就是GDPR!這個號稱是歐盟最嚴格的個資法,從5月25日正式實施後,仍讓人搞不清楚,對於企業在歐盟或全球生意發展有沒有影響?臺灣要花費多少力氣因應? GDPR會是新型態的歐盟貿易壁壘?對於隱私保護又該如何落實?三位業界權威親自上陣解答

雙鴻翻新ERP全面大改造,瞄準未來10年智慧製造的關鍵一步

$
0
0

2018年1月1日,許多人還在享受新年元旦假期,但對雙鴻科技資訊室協理林伯勳而言,卻是最緊張的一刻。因為隔天1月2日就是雙鴻科技10年來最關鍵一次ERP大升級的日子。在系統上線前,林伯勳不敢有絲毫大意,尤其雙鴻是第一家用這套ERP新版本的臺灣企業,從未有同業導入,即使半年來已通過多次模擬測試,連到了升級前的最後一晚,林伯勳都還徹夜與團隊反覆測試,確認系統流程都沒問題,直到凌晨兩點,他才離開公司開車返家,但2日一大早,又連忙趕到公司,緊盯系統啟用過程,確保服務上線沒有任何閃失。

這次雙鴻ERP大改造,從開始建置到完成系統上線,共花了半年動員300多人,修改超過400支客製程式,甚至還導入119個流程,變動了3萬多個生產料號才完成。對於雙鴻資訊部門來說,這次大改版,更是瞄準未來10年數位製造的關鍵升級。

邁向智慧製造的關鍵一步,ERP系統全面大改造

以散熱模組起家的雙鴻科技,不僅是國內第二大散熱模組製造商,更是全球市占前幾大,每年全球出貨量都名列前茅,幾乎每10臺筆電或桌機用的散熱模組,就有一個是由雙鴻製造的,甚至智慧型手機大廠三星,每年出貨上億支手機,裡面的散熱關鍵零組件,很多都是由雙鴻所生產。

隨著公司營收逐年增長,雙鴻近幾年除了先後在中國昆山、廣州、重慶與合肥設廠,也不斷調整經營策略,除了原有大宗筆電散熱市場外,更積極拓展其他散熱應用領域,包括電動汽車、資料中心伺服器等,這意味著,這些工廠未來將產出更龐大的資料,而且是來自不同類產品線的數據,雙鴻所要面對的產品生產管理的複雜度和挑戰也更大。

但是,雙鴻這套用了10年的老舊SAP ERP系統,早已面臨系統瓶頸,無法再撐起公司未來的營運成長,甚至是阻礙了雙鴻朝向數位轉型的發展。

雙鴻第一次IT大改造,是在2007年,首次導入SAP R/3 ERP系統,來取代各廠的獨立ERP系統,以改善掌握營運資訊的效率,之後,雙鴻更逐步改造IT朝向e化發展,並同步進行系統整合,以提升管理效率,包括先後整合BPM流程管理、PLM生命周期管理,以及EDM行銷等系統,來提供往後供應鏈管理與BI商業智慧分析所用,之後更整併研發、流程及營運等系統。

但是,隨著雙鴻逐年擴大營運規模,更多新廠啟用,需要整合的系統越多,資料處理過程更加複雜,導致舊有的ERP系統執行效率變慢,無法快速回應,成了雙鴻資訊部門必須面對的難題,要設法透過IT改造,來提升系統整合後的處理效能,避免因為系統間大量資料傳遞而造成處理的延遲。

為了要改善系統整合帶來資料爆增無法即時回應的難題,雙鴻早從幾年前就開始尋找解決方法,林伯勳最後決定在2017年更新舊的ERP系統。當時SAP新一代ERP產品SAP S/4HANA才剛發表,林伯勳評估過後認為,這套新ERP系統才剛在臺灣推出,當時還沒有企業用過,導入風險較高,因此他決定先從技術已經成熟,導入風險較低的資料庫更新著手,先將原本舊有的ERP資料庫汰換,改採用處理速度更快的SAP HANA記憶體式(In-memory)資料庫來取代。

不過,林伯勳在一次與董事長的會議中,林育申聽完他的考量之後,反問林伯勳:「新系統能不能支撐我們未來10年營運的運作?如果可以,就該做。」這一席話,讓原先已經拍板定案的計畫出現大轉彎,林伯勳遵循高層的指示,最後不只將ERP底層資料庫,更換成存取速度更快的記憶體式資料庫,就連上層關鍵核心的ERP應用系統也都全面翻新,徹底汰換舊的ERP系統,改用最新版本的SAP S/4HANA系統,以做為支撐公司未來10年營運發展所用。

正是因為公司高層在背後全力後援,林伯勳更不用擔心會造成業務同仁的反彈,可以大膽推行。雙鴻從2017年7月開始導入新版ERP,到今年1月正式啟用上線。因為是臺灣新版導入首例,林伯勳回憶說,當時外界一片唱衰,但為了朝向下一階段轉型,他還是堅決要將它完成,經過半年數次模擬測試,才得以在今年1月2日順利切換到新系統,並開始對內提供服務,新系統除了皆整合BPM、PLM與EDM等系統外,今年3月也一併整併新版BI。

「新系統推出上線至今,最顯而易見的改變就是速度。」林伯勳表示,以前每次要產出整廠營業報表,最少要花2個小時,而且極耗硬體資源,常常得趁晚上較沒人時來跑,等到隔天早上,管理高層進公司才能看到報表,但這時在做決策就會太慢,升級新版ERP後,管理者現在能從即時營運報表看到業績變化,而且是最新的資訊,可以幫助他馬上下決策,不用等待。

甚至,「以前要匯入整廠BOM表相關資料,來產生一份營業報表,最少要花半小時,現在只須10秒就完成,而且系統負荷也大幅降低,從原來高達9成將近滿載的工作負載,降低至不到1成的使用率。」林伯勳表示,這意味著,未來可以同時處理更多的運算任務,當有了更強大的處理能力後,「即時報表讓公司決策者可以馬上看到分析結果,更快速下達決策,來提高公司營運效率。」雙鴻也是第一家直接從SAP ECC 6.0,全面升級到SAP S/4HANA的臺灣製造業者。

雙鴻決定將ERP全面大改版,背後還有一個更大的目標,就是要全力發展數位轉型,因此,有了能更快速處理資料和更高效能的新版ERP,替它解決了資料處理和分析速度不夠快的難題,雙鴻的下一步還要取得大量工廠生產的資料,以作為後續大數據分析,以及更進一步AI預測使用,以改善良率。這對林伯勳而言,也帶來另一個IT挑戰。

雙鴻科技資訊室協理林伯勳說,在數位轉型浪潮下,IT不該只是後勤流程的支持者,而是應該跟業務站同一陣線,協助公司營運成長。攝影/洪政偉

 

藉由生產數據來驅動公司數位轉型,才能創造高價值

「如何將產線上的資料撈出來,」他坦言,這並不是件容易的事,首先,這些資料並不是原先流程裡能取得的資料,如MES系統等,而是現場即時發生的生產資料,這些是過去IT想碰也碰不到的數據;其次,廠房內使用的機器設備過於老舊,使得生產過程中的重要數據無法與系統直接銜接,而需要藉由人力方式將資料一筆筆的上傳,但IT並不懂硬體(如IC電路板),往往不知該從何下手,向懂硬體的研發工程師尋求協助時,又會遇到對方看不懂軟體或程式而不清楚該如何與IT對接資料。

為了加速實現智慧工廠,還成立新的算法部門

為了解決這個難題,林伯勳去年在資訊部門裡新成立一個算法部門,來做為兩者溝通的橋樑。對於這個部門成員組成也有特別要求,除了需具備硬體的專業知識,更得熟諳與IT資訊的整合,甚至在軟體開發思維上,新部門也與傳統IT採用瀑布式軟體開發流程有所不同,而是強調敏捷式開發,盡可能縮短開發周期,讓使用者能先有一個產品雛型先用來模擬測試,然後再依據使用者反饋,持續修改產品功能直到正確的方向。

林伯勳也以算法部門所開發第一個能測量水池酸鹼值變化的IoT監測裝置為例。他表示,現在,每組裝完一個散熱模組,上面最少都會裝上一個散熱用的銅管。而要製作一根熱管,通常須經過多道酸鹼池清洗的程序,以確保之後裝有水液的真空熱管中沒有任何雜質存在。由於依據清洗時間長短和面積不同會改變池子裡的酸鹼數值,進而影響熱管的產出品質,如何確保水池裡的酸鹼度和溫度皆維持一定比例,就相當重要。

然而,過去工廠在試作或量產過程,皆採用人工方式監控,工廠人員每兩小時就得量測一次水池的酸鹼度和溫度,再將資料記錄回傳給總部工程師比對是否符合原先設定的標準,但是工程師收到資料時往往已經過了一天,資料取得還是太慢,無法做到遠端即時監控

後來,林伯勳與算法部成員決定接手,他們用了一個月時間先製作出第一個酸鹼值監測裝置雛型,利用簡單一塊Arduino開發板搭配pH酸鹼棒來測量水杯裡的酸鹼度,並在筆電上秀出酸鹼濃度的變化情形,然後向研發人員展示他們的成果,讓工程師可以馬上用它來模擬測試。

「等到我們真正決定在工廠內導入IoT酸鹼池監測系統時,整個系統建置只花了3個月時間就完成。」林伯勳說,因為有了先前的實作經驗,以及與工程師多次開會討論,進而了解他們的真正需求,等到確定好硬體規格和功能,之後找來合作廠商,幫助他們在工廠建置這套系統時變得更容易,可以省略許多溝通步驟。

中國廣州廠今年3月率先導入IoT酸鹼池監測系統

林伯勳表示,雙鴻今年3月已先在中國廣州廠試導入這套IoT監控系統,開始蒐集水池酸鹼度和溫度等資料,之後重慶廠也將跟進試用,「只要有了資料,接下來就是IT的強項了,」他說,當資料進到資料庫以後,可以運用的方式就多了,比如說,以網頁搭配視覺化圖表,讓總部工程師可以隨時監看工廠試產過程中酸鹼池的變化情形,幫助他找出影響生產品質差異的原因。

對於工廠人員來說,也可帶來許多好處,例如,從系統介面能很快查看目前水池狀況,減少重覆性的測量工作,而遇到水池濃度或溫度異常時,也能在收到警示後馬上處理,甚至於林伯勳說,「將來還可以進一步將這套監控系統跟MES系統整合,可依據不同研發部門所設定的酸鹼值,對於這些水池來做到更精細管理。」

除此之外,若是資料運用得宜還可以反過來幫助工程師重新修訂水池酸鹼值標準,讓整個量產的品質或良率更加提升。儘管要完成的這些事,對於IT的挑戰不小,但林伯勳強調:「在數位轉型浪潮下,IT不該只是後勤流程的支持者,而是應該站在跟業務同一陣線,協助公司營運成長。」

 

 CIO小檔案 

雙鴻科技資訊室協理林伯勳

學歷:政治大學商管所EMBA碩士

經歷:畢業於銘傳大學資訊管理系。曾任職中國信託、友尚電子的資訊部門,累積了多年跨產業的IT建置經驗,後來進到雙鴻科技資訊部門,先後擔任過資訊室經理、協理等不同職務,歷經數次IT大改造,如今更要肩負推動雙鴻未來10年數位轉型的重責大任

 

 公司檔案 

雙鴻科技

● 地址:新北市新莊區五權三路6號

● 網址:www.auras.com.tw

● 成立時間:1998年

● 主要業務:散熱模組、散熱器及散熱片等電子零組件

● 員工數:約3千人

● 創辦人暨董事長:林育申

● 總經理:徐健洲

● 資本額:8億元

● 年營收:約69.5億元(2017年)

 資訊部門檔案 

● 資訊部門主管職稱:資訊室協理

● 資訊部門主管:林伯勳

● 資訊部門人數:15人(臺灣總公司11人;大陸廠4人)

● 資訊部門分工:應用程式開發、網管、算法

● IT預算:約2千萬元

 IT大事記 

● 2007年:導入SAP ECC ERP並與PLM系統整合

● 2008年:導入BPM流程管理系統、EP供應商管理系統推出上線

● 2012年:導入BI商業智慧

● 2016年:GPM品質管理系統正式推出上線、導入SFT工作製程管理系統

● 2017年:徹底汰換舊的ERP系統,改用最新版本的SAP S/4HANA系統、新成立算法部門

● 2018年:SAP S4 ERP系統正式推出上線、中國廣州廠導入IoT酸鹼池監測系統

靜動皆宜的型態提示

$
0
0

基本上,Python是一門動態定型語言,然而,從Python 3.5開始,加入了型態提示(Type Hints),到了3.6,則將暫定(provisional)狀態的typing模組,正式納入標準API,並增加註解區域變數型態的特性。

在Python中能宣告型態,已不是新聞,既然如此,何妨深入一下呢?

直譯器忽略型態提示?

在先前專欄〈思考Python的型態提示〉以及〈Type Hints的野心〉,曾經談過Python中為何加入型態提示,以及相對於動態定型語言來說,型態提示還具有什麼樣的可能性。

相信許多開發者,也已經或多或少地,在專案中使用型態提示的功能了,那麼,可曾想過,為什麼使用型態提示時,通常還要搭配typing模組,而且,它還是在Python 3.6之後,才正式成為標準API?

這表示它就是個模組程式庫,而不是語法嗎?

為什麼型態標註不能直接使用內建型態?

當然,在簡單的情況下,使用內建的型態,其實就足夠了。

以Python 3.6為例,如果想限定區域變數只能指定字串,我們可以撰寫name: str = 'Justin',開發者能使用int、str、list、set、dict等內建型態來標註變數型態,實際上,在自定義的類別當中,像是若有個User類別,也可以user: User = User('Justin')來進行這樣的標註。

問題在於,想要進一步地,限定list中只能有int呢?查看型態提示相關的說明或教學文件,基本上,都說要from typing import List,然後使用names: List[str]的方式進行標註。但如果沒有typing模組,是否還能進行標註呢?names: list[str]是行不通的,因為使用python直譯器執行時,就會出現'type' object is not subscriptable了。

嗯?python直譯器不是會忽略型態提示嗎?這並不是完全正確的答案,因為,冒號左邊的標註是會被執行的!

實際上,標註型態時,冒號右邊必須是個type實例,或者說必須傳回type實例,該實例提供了必要的型態資訊,如果願意,對於下列這類標註型態變數,python直譯器也是會忽略型態標註:

def Str():
return str
x: Str() = 'Justin'

深入typing模組

不過,Str()並不是型態提示規範中預期的協定,因此僅僅是python直譯器忽略罷了,若是使用mypy進行型態檢查,則會出現invalid type comment or annotation的錯誤,因為,mypy預期必須是[]的標註方式。

熟悉Python的開發者,此時,應該馬上就會想到[]與__getitem__這特殊的方法掛鉤之間的關係,可以用來標註型態的物件,必然實作了__getitem__,而some[xxx]的結果,必然是傳回類型實例,一個單純的範例就是:

class Foo:
def __getitem__(self, type):
return type
foo = Foo()
x: foo[str] = 'Justin'

這會使得mypy的錯誤訊息轉而變成Invalid type,當然!因為被傳回的類型實例,必須提供相關的型態資訊,以供mypy之類的工具提取資訊進行型態檢查,因而還有其他相關協定必須實作,不過,有了這樣的出發點,接著,就可以開始探索typing模組的原始碼了。

在typing模組的原始碼中,有個值得特別注意的get_type_hints函式,其docstrings中寫到,基本上與obj.__annotations__作用相同,__annotations__是用來獲得標註資訊的,例如,若在模組層級撰寫了name: str = 'Justin',那麼,透過模組實例的__annotations__,例如globals()['__annotations__'],就可以取得{'name': <class 'str'>}資訊。

透過typing模組的get_type_hints函式,還可以指定作用範圍,因而能更方便地指定模組、類別、函式等實例,從而取得被標註的類型。

例如,若有個函式def add(n1: int, n2: int) -> int,透過typing.get_type_hints(add),可以取得# -> {'n1': <class 'int'>, 'n2': <class 'int'>, 'return': <class 'int'>}這樣的資訊。

執行時期型態驗證

等等!無論是透過__annotations__,或者是透過get_type_hints函式,這些不都是執行時期出現的行為嗎?

沒錯!這也就表示,型態標註資訊本身,不僅僅只能用於靜態時期分析,也可以用於執行時期檢查,例如,可以實作一個check_args函式:

def check_args(obj, **kwargs):
for name, type in get_type_hints(obj).items():
if name != 'return' and not isinstance(kwargs[name], type):
raise TypeError(f'{name} is not of type {type}')
def add(n1: int, n2: int) -> int:
check_args(add, n1 = n1, n2 = n2)
return n1 + n2

這麼一來,add(1, 2)可以順利執行,然而像是add(1, '2'),就會出現TypeError: n2 is not of type <class 'int'>的錯誤訊息。

當然,如果覺得在函式中,還要特地呼叫check_args的方式很不自然,也許就設計個@type_check裝飾器(可參考https://goo.gl/94Zwjv),如此一來,就可以使用標註來決定,是否在執行時期進行型態檢查:

@type_check
def add(n1: int, n2: int) -> int:
return n1 + n2

型態提示的趣味用法

簡單來說,Python的型態提示,並不只是用在靜態時期分析,在執行時期也可以獲取被標註的型態資訊,從而可以透過型態提示來進行執行時期型態檢查。

既然如此,過去為了模擬靜態定型語言的一些特性,而使用了動態時期型態檢查的作法,就有可能透過型態提示來完成,並且令撰寫上更自然,甚至接近靜態定型語言的寫法。

例如,動態定型語言基本上無法重載,然而有個overloading.py(https://goo.gl/wn45dp)專案,可以搭配型態提示語法,在語法外觀與實質效用上,達到重載的效果;而在Python 3.6標準typing模組中,也有個overload可以使用。

另外,還有pydantic(https://goo.gl/Hyhjcp),可以搭配型態提示來對外部資料進行驗證。

當然,上述這些都是執行時期的行為。

在剛開始運用型態提示時,from typing import xxx這動作看似平常,然而,在懷疑為何這動作是必要之後,其實可以引發一連串有趣的探討,有機會的話,挖挖看typing模組的原始碼,以及其他有創意的開放原始碼程式庫,或許可以發現,甚至發明更多型態提示趣味且實用的成品。

一周大事:台積電發生重大資安事件,總裁親上火線解釋事件始末

$
0
0

台積電對外解釋機台停擺與病毒感染事件始末

針對台積電8月3日傍晚發生機台停擺事件,該公司在8月5日下午4:30分發出新聞稿,初步公布電腦病毒感染事件影響,8月6日在臺灣證券交易所召開重大訊息說明記者會,詳細解釋目前處理的狀態,以及此次事件的經過,總裁魏哲家親自上陣說明,現場也有多位高層主管列席回答記者提問,他們對外宣布病毒感染的狀況,在8月6日下午已經全部消除,已恢復為百分之百全速上線生產的狀態,並且強調公司主要的電腦系統,包括生產製造資料庫以及客戶資料,都不受到此次病毒影響。

在這次事件當中,受影響的機台、自動搬運系統與電腦感染的病毒,是源自於去年肆虐全球的勒索軟體WannaCry的一個變種,而這些設備所用的作業系統是Windows 7,微軟也已提供安全性修補程式,但需經過審慎評估之後,才能進行安裝,於是產生了病毒能夠乘虛而入的機會,等到它們感染這支惡意程式之後,也發生了當機或是重複開機等症狀。

之所以爆發大規模的病毒感染,總裁魏哲家表示,原本新機台上線的程序,是必須先通過防毒軟體的檢測,才能連上網路,但此次卻是先上線,再進行防毒的處理,才會導致如此嚴重的後果。(詳全文)

 

谷歌邊緣運算合作夥伴揭露Edge TPU特性

日前,Google在Next雲端大會上揭露自家邊緣運算戰略布局時,不只推出一款超低功耗Edge TPU晶片,還公布了首波邊緣運算合作廠商,凌華科技是臺灣第一家合作業者,我們訪問到凌華科技董事長劉鈞,雖然礙於保密協定,他無法透露雙方合作內容,但也揭露不少Edge TPU特性。

劉鈞指出,隨著物聯網AI(AIoT)應用需求迅速增長,將來不可能所有資料全部都交由雲端處理,而是必須有一個和傳統雲端不同的分散式運算架構,來幫忙分擔雲端工作量,將運算分散到靠近地面資料源的IoT設備處理。這些設備或裝置透過橫向的連結,讓裝置之間可以做到資料即時互通,並在自組的一個本地端網路內運算,這得靠邊緣運算架構才能做到。

而Google原本在雲端就已提供Cloud TPU運算雲服務,能讓企業在雲端上訓練自己的TensorFlow機器學習模型。現在,Google更進一步將它下放到邊緣端而推出Edge TPU晶片,這意味著,以後不論是IoT閘道器或裝置,只要有用到Edge TPU晶片,就可以在上面執行已經訓練好的TensorFlow模型,來進行預測之用,不需要在將資料回傳Google雲端運算處理。(詳全文)

 

駭客利用改版Magniber勒索軟體發動攻擊,鎖定臺灣在內的亞洲多國

一般來說,論及勒索軟體攻擊,不少人的第一印象,可能是這種手法會透過受害電腦橫向感染,然後大肆擴散到全球各地。但其中有些勒索軟體家族,只針對特定的國家才會下手。例如,去年10月出現的Magniber,就僅對南韓的電腦發動攻擊。而這個月月初,Malwarebytes研究團隊發現,駭客再度翻新這個勒索軟體,目標則鎖定在使用中文、韓文或是馬來西亞語的國家,其中包含了臺灣在內。

根據Malwarebytes研究團隊指出,他們針對Magnitude網站滲透工具(Exploit Kit)進行研究,發現駭客近年來利用這套滲透工具,散播多款勒索軟體,例如,去年發現的Magnigate與Magniber,以及今年4月出現的GandCrab等,而最近的新版Magniber勒索軟體,則是結合這些惡意軟體的攻擊特徵,也就是鎖定特定國家的使用者,並且利用時下最新的軟體漏洞。

相較於前述同樣利用Magnitude散播的惡意軟體,Malwarebytes研究團隊表明,新的Magniber樣本還有多個明顯不同的地方。像是程式碼更為精簡,但同時也加入了混淆的內容。而值得留意的是,在執行電腦檔案加密的過程中,這個勒索軟體可離線執行,不再需要連線到C&C中繼站。(詳全文)

 

Walmart要靠機器人加速線上訂單取貨的自動化流程

圖片來源/Walmart

現今電子商務平臺競爭激烈,而出貨速度也是致勝關鍵之一,全球零售商龍頭沃爾瑪(Walmart)日前宣布,與零售自動化新創公司Alert Innovation合作,引進自動化機器人系統Alphabot,來加速線上訂單取貨流程。

Alphabot系統的移動機器人會檢索訂單的貨物,並從倉庫取出貨物,再交付給沃爾瑪的員工,以打包訂單的貨物,並準備出貨給顧客,或準備給顧客取貨。沃爾瑪表示,沃爾瑪店內絕大多數的雜貨產品,將會透過Alphabot系統來出貨。(詳全文)

 

政府偷偷存取用戶資訊,Google將通知企業客戶

Google自2012年起,便會在政府支援的駭客駭入用戶Google帳號時,直接通知用戶,這次則是將服務推向企業用戶。新功能將於未來幾周部署到所有G Suite用戶。該功能預設是關閉的,但如果企業G Suite管理員開啟這項功能,當Google判斷有政府資助的攻擊者試圖利用網釣郵件、惡意程式或其他方法存取某用戶的帳號或電腦時,就會觸發電子郵件通知企業管理員。(詳全文)

 

蘋果市值正式突破兆美元關卡

在上季強勁財報及市場樂觀展望帶動下,蘋果八月二日股價以207.09美元作收,宣示蘋果市值正式突破1兆美元,成為第一家登上兆元俱樂部的美國企業。(詳全文)

 

微服務平臺Istio正式釋出1.0版,支援Kubernetes跨叢集連線

由Google、IBM及Lyft共同研發的微服務平臺Istio,近日終於釋出了1.0版。距離第一個釋出的0.1版,已經超過一年。1.0版所有核心功能已經可以導入正式環境使用。當中幾個亮點功能,首先是多個Kubernetes叢集現在可統一整合到單一服務網格,而且Istio在支援Kubernetes進行跨叢集連線的同時,也能確保每個叢集都有套用一致的管理政策。(詳全文)

 

Google在新加坡打造第三座資料中心,採用機器學習降低耗能

圖片來源/Google

谷歌正在積極拓展全球基礎建設的建置,於7月時,才宣布將建置橫跨大西洋,連接美國與法國的私有海底光纖電纜Dunant,並在新加坡建立第三座資料中心,以因應東南亞地區不斷成長的網路需求。根據Google官網,這座位於新加坡的新資料中心將採用機器學習技術,來降低能源消耗。(詳全文)

 

支援Daydream的Chrome瀏覽器來了! 讓你用VR瀏覽網路

Google發表了支援Daydream虛擬實境(VR)平臺的Chrome瀏覽器,使用者透過Daydream裝置與Chrome所瀏覽的網頁都將以VR呈現。Daydream版本的Chrome具備完整的Chrome瀏覽器功能,包含語音搜尋、無痕模式到書籤等,但額外替Daydream設計了「電影模式」(Cinema Mode),以針對網路上的影片提供最佳化的VR觀看體驗。(詳全文)

 

以合法掩飾非法,大規模惡意廣告供應鏈現形!

資安業者Check Point公布了大規模惡意廣告的供應鏈,此一供應鏈由劫持1萬個WordPress網站廣告版位的Master134、知名廣告網路AdsTerra,以及惡意廣告主所組成,這些本質為駭客的廣告主藉由該供應鏈遞送了夾雜金融木馬、勒索程式或殭屍程式的惡意廣告。(詳全文)

 

物聯網安全出頭,HP祭出全球首個印表機抓漏專案,懸賞1萬美元

HP宣布將與專門提供眾包安全服務(Crowdsourced Security)的Bugcrowd合作,來提供全球第一個針對印表機的抓漏專案,將視漏洞的嚴重程度提供500美元到1萬美元的獎金。(詳全文)

 

老闆也是資安教育對象!資安人才培訓從描繪資安職能地圖做起

在2016年,交通大學成立了針對資安在職人員的培訓管道「亥客書院」,該院教學發展組組長張智凱博士,針對高階主管、資安人員與一般IT人員,提供資安課程規畫的建議。對於高階主管來說,張智凱建議,必須要學習風險控管,其次是資安政策制訂。在他們的經驗中,很多老闆上完課其實就開竅了,接著讓員工也來上課,很多老闆不是不願意,只是沒有人告訴他資安很重要。(詳全文)

 

工研院建構資安整合服務平臺,媒合產業供給與企業需求

政府帶頭強化臺灣新興資安產業生態系,經濟部工研院今年7月新推「資安整合服務平臺」,不僅媒合產業供給與企業需求,更提供實質管道與補助,像是資安健檢服務最低只要1萬元,也提供安全軟體開發工具限額免費申請,並鼓勵發展或導入新興資安解決方案。(詳全文)

 

政府將打造資安學院培養人才,以架構更健全的資安生態

在今年HITCON #14大會中,行政院資通安全處處長簡宏偉表示,資安的威脅越來越嚴重,固然是極大的危機,但若是透過提供相關所需的服務,發展出臺灣資安的生態系統,就是比較積極的思維。不過首當其衝的前提是,臺灣資安人員的嚴重短缺,因此政府打算成立資安學院來培育相關人材。(詳全文)

繼Kubernetes後,Prometheus也從CNCF基金會畢業了!

$
0
0

今年3月時,雲端原生運算基金會(Cloud Native Computing Foundation,CNCF)宣布,Kubernetes從該基金會畢業,也是第一個脫離該基金會的開源專案。而近日,CNCF基金會宣布第二個畢業專案出爐,這次輪到受開發者喜愛的開源監控專案Prometheus。CNCF基金會表示,想要從孵育階段畢業,該專案除了要足夠活躍被開發者導入外,專案擁有者也要制定完整、明文的管理架構,同時承諾要永續經營社群。

根據CNCF基金會規定,開源專案的核心維護者,至少要來自兩個以上不同的組織、企業,避免專案發展方向被壟斷。其次,必須建立完整的維護團隊,並且符合CNCF社群行為準則,同時,該專案也要有明確的程式碼貢獻方法及審查機制。符合這些條件後,足以成為自行發展的開源專案,才可脫離CNCF基金會畢業。

CNCF基金會營運長Chris Aniszczyk表示,從2012年起,Prometheus就已是頂尖的開源監控方案。第二個被納入CNCF基金會育成專案的Promethues,在2012年SounCloud開源釋出,並且於2016年捐給該基金會後,已經發布了30個版本。現在該專案已經有近20個核心維護者,並且有超過1,000名開源貢獻者。而使用該監控專案的企業,包含Uber、DigitalOcean,或者ShowMax、ShuttleCloud等新創公司。


【DEF CON 18】:25款Android手機的韌體或預載程式含有安全漏洞

$
0
0

行動資安業者Kryptowire在上周於拉斯維加斯(Las Vegas)展開的DEFCON駭客大會上揭露,有25款Android手機在出廠時的韌體或預設程式就含有安全漏洞,在這些裝置上總計找到大大小小的35個漏洞,有些輕微的漏洞只會造成裝置當掉,嚴重的漏洞則會讓駭客取得裝置的最高權限。

當初Kryptowire主要鎖定由6家美國電信營運商負責銷售的高、低階Android手機進行分析,以探索這些手機在出售給消費者時所預載的程式或韌體的安全性,但事實上該研究結果影響了全球的裝置,這些漏洞全都超出了Android平台既有的許可,包括執行任意程式、取得數據機與程序(logcat)日誌、移除裝置上的使用者資料、讀取或變更裝置用戶簡訊、傳送任意簡訊,或是取得裝置通訊錄等。

Kryptowire表示,現身於韌體或預載程式上的漏洞意謂著消費者在安裝其它程式或進行無線通訊之前就已曝露在安全風險中,更嚴重的是,針對韌體的攻擊程式得以繞過Android上的各種防禦機制,不論是行動威脅偵測、防毒軟體或其它技術,因為這些安全程式無法偵測應用程式層背後的漏洞,因而無法抵抗韌體攻擊。

例如中興的ZMAX Pro允許駭客取得裝置用戶的所有簡訊,甚至是插入、變更或刪除簡訊,而ZMAX Champ所預載的某個程式允許裝置上任一程式透過回復出廠設置移除裝置上的所有資料;Vivo的V7所預載的程式則能在未取得使用者授權之下擅自記錄螢幕畫面;Oppo的F5可悄悄錄音並存至SD卡,還能執行命令;LG的G6能夠鎖住用戶、取得logcat與核心紀錄;Asus的ZenFone 3 Max內建的程式則能獲得各種錯誤報告、裝置資訊或Wi-Fi密碼,還能拍下螢幕畫面或執行命令。

Kryptowire向Wired解釋,這主要因為供應鏈中的成員想要進行客製化、添增自己的程式或程式碼,卻同時擴大了攻擊表面,並提高軟體出錯的可能性。

此一研究是由美國國土安全部(DHS)所支持,Kryptowire已於官網列出了所有手機型號與相關漏洞

Black Hat與Def Con駭客大會,文化與活動性質大不同

$
0
0

每年的「黑帽」(Black Hat)與Def Con大會通常是接連著舉行,這兩個都是全球最著名的駭客大會,卻有截然不同的文化,前者是相對正式的企業或資安產業的安全大會,後者則更像是駭客的派對。

Def Con與黑帽都是由1975年次的Jeff Moss所創立,他先在1993年建立了Def Con駭客會議,再於1997年創造黑帽大會。其實黑帽大會的全名是「黑帽簡報」(Black Hat Briefings ),只是外界已經習慣將它簡稱為「黑帽」,並定位為電腦安全會議,Moss在2005年把黑帽大會賣給了英國的CMP Media,外傳售價為1,390萬美元。

儘管黑帽與Def Con已分屬不同的所有人,但每年這兩個資安產業的盛會幾乎都是在鄰近地點一同舉行,也讓許多資安研究人員能夠一次參加兩大會議,今年的黑帽大會是8月4日到8月9日,Def Con則是8月9日到8月12日,地點皆為美國的拉斯維加斯。

另一方面,黑帽大會可說是價格昂貴的新知吸收與訓練中心,光是聽取簡報的費用就超過2000美元,最便宜的早鳥票為2,195美元(約6.8萬元新台幣),若是臨場才買則要2,795美元(8.6萬元新台幣)。訓練課程的費用則是3,600美元(約11.2萬元新台幣)起跳,如為期兩天的嵌入式軟體入侵導覽要3,800美元,同樣為期兩天的ARM IoT攻擊程式開發則要價4,400美元。

也因此參與黑帽大會的人士多半是有企業或政府贊助的員工,打扮雖休閒,但仍看得出是商務人士,還能參加各種由廠商贊助的晚宴。

而Def Con則是駭客們的派對,相較於黑帽大會的昂貴票價,參加Def Con四天的活動只需要280美元(約8,700元新台幣),而且能自由地與講者及商家交流,或是參與各種競賽,與會人士通常穿著更輕鬆的T恤與牛仔褲。

在Def Con大會的常見問答(Q&A)中,開宗明義地寫著有人在那裡沒日沒夜地參加各種競賽,也有人在這4天完全沒碰到電腦,有人參與每一場的主題演講,也有人一場都沒聽,有正式的音樂、電影活動,也有非正式的醉酒派對或是比賽誰能辨識現場的聯邦探員,總之,Def Con有一半的趣事是來自於現場發生了什麼。

不管是黑帽或Def Con的與會人數都逐年寫下新紀錄,2014年時,參加黑帽大會的資安專家只有8,000人,去年便成長到了1.74萬人,而Def Con的與會人數亦從2014年的1.5萬人成長到去年的2.3萬人。

微軟擴大全球Azure CDN服務布局,新增8處網路連接點

$
0
0

今年5月時,微軟推出了自家內容交付網路(Content Delivery Networks,CDNs),讓自家雲端服務可以更快在他地擴充。而在近日,微軟也宣布,Azure CDN新增了8個網路連接點(Point of Presence,POP),遍布北美、歐洲、亞洲等地。

這一次該公司新增的網路連接點,三處落在美國城市如西雅圖、拉斯維加斯、休士頓。而歐洲三個新網路連接點,則選擇布建於布達佩斯、巴塞隆納、華沙。至於亞洲的新據點,則座落於印度新德里,以及韓國首爾。這次新動作,讓微軟在全球CDN的布局更為完善。

Azure網路部門專案經理Maxwell Gattuso表示,Azure CDN讓企業用戶減少內容讀取時間,加快反應速度。布建於各地的CDN網路,除提供公有雲網路傳遞內容外,該公司其他產品如Office 365、Bing、One Drive及Xbox等,同樣也使用該內容交付網路進行連線。

現階段,微軟Azure所提供的CDN服務,根據功能差異,總共有4大選擇,分別是自家標準預覽版、Akamai標準版,以及Verizon普通標、Verizon進階版。在實際功能面上,每個版本各有千秋,根據微軟官方文件,目前Akamai標準版的效能功能及最佳化功能最為完整,包含動態網路加速、影音串流最佳化等。至於,分析與報告功能,則是Verizon進階版最完整,除了基本Azure診斷紀錄外,還有即時統計數據、即時警示,也能提供進階HTTP分析使用量等資料。

近日,微軟也宣布,Azure CDN新增了8個網路連接點(Point of Presence,POP),遍布北美、歐洲、亞洲等地。三處落在美國城市如西雅圖、拉斯維加斯、休士頓。而歐洲的三個新連接點,則選擇布建於布達佩斯、巴塞隆納、華沙。至於亞洲的新據點,則座落於印度新德里,以及韓國首爾。圖片來源:微軟

Uber開源整合Prometheus的大規模指標平臺M3

$
0
0

由於舊有的監控系統已經不敷使用,現存的解決方案又沒有適用的,因此Uber只好自己打造整合Prometheus的大規模指標平臺M3,而現在開源給大家使用。M3能每秒聚合5億個指標,並且以每秒2,000萬筆的速度持續永久保存這些結果。

M3是Uber從2015年才開始發展的專案,而在這之前,Uber所使用的是基於監控工具Graphite的系統,所有服務、基礎設施和伺服器都會將指標發送至這個系統中,而Graphite系統會將這些資料以Whisper檔案格式,儲存到分片Carbon叢集。在其他功能上,儀表板功能使用Grafana,而警示功能採用Nagios,並透過來源控制腳本發出Graphitee閾值檢查。

這個系統已經使用了一段時間,但是在擴充上卻遇到了瓶頸,Uber提到,擴充Carbon叢集需要經過手動再分片的程序,而且由於缺乏複本,因此任何一個單一的節點硬碟損壞,都會造成相關指標資料永久性的遺失。最終,這個系統已經無法滿足Uber的需求。

採用新的監控系統勢在必行,但是Uber評估完現有的開源替代方案後,無論是在資源的效率和規模目標上,或是作為自助服務平臺運作,沒有任何現存專案能夠符合需求,所以Uber只好自己量身訂做一個適合自家應用的系統。

最一開始的M3,皆採用開源專案元件組合而成,像是用於聚合指標的Statsite,或是用於時間序列儲存具備Date Tiered Compaction Strategy的Cassandra,以及用於索引的ElasticSearch。但隨著系統發展,基於營運負擔和成本效率,加上不斷增加的功能集,現在M3裡這些部分的功能都超越原本使用的專案。

Uber從2015年釋出M3至今,目前擁有超過66億個時間序列,每秒聚合5億個量測指標,並以每秒2,000萬筆資料的速度將結果儲存到全球各地,接著在區域使用分散式Quorum機制,將資料分成三份永久儲存。M3給予工程師極大的靈活度,可以設定量測指標的儲存政策,以不同長度的時間保存不同粒度的資料,這項設計能讓工程師或資料科學家,能以不同留存規則智慧地儲存時間序列,像是工程師可以指定應用程式標籤為mobile_api與終端標籤為已註冊的所有指標,以每10秒粒度指標資料儲存30天,同時一小時粒度指標儲存5年。

對於M3的使用者來說,能和監控系統Prometheus搭配使用是一件很重要的事,無論是將Prometheus的指標輸出,供其他應用程式讀取使用,或是使用node_exporter與其他第三方Prometheus指標輸出器進行系統監控。而且有鑒於Uber多個團隊早已經大量的使用Prometheus,因此開發團隊也積極將M3與Prometheus整合,允許這些團隊能全球查詢M3中永久指標資料。

而且根據過往的系統使用經驗,Uber賦予M3一些特性,M3能夠最佳化指標供作管線的每一個部分,最大化儲存空間,同時也會高度壓縮資料,減少硬體支出成本。由於多數的資料為一次寫入不再讀取,M3系統會盡量管理這些資料使用記憶體,維持精簡的記憶體占用,以避免記憶體成為系統瓶頸。

隨著M3平臺釋出,Uber也同時釋出了M3的可擴展儲存後端M3DB,這是分散式時間序列儲存,並具備可配置無序寫入的反向索引。另外,也發布了周邊應用M3 Coordinator,可在M3DB叢集上提供全域查詢和儲存介面。

HP上百款印表機爆遠端執行程式碼嚴重漏洞,用戶應儘速更新韌體

$
0
0

印表機的安全風險,隨著IoT的興起而更受矚目,全球印表機知名大廠HP,前陣子(7月31日)剛發布全球首個印表機弱點發現獎勵專案,8月初他們又公開了2項具高度危險性的韌體瑕疵,並提供更新修補,用戶應盡速進行韌體更新。經我們與臺灣HP確認,兩起事件其實並無關連。

本次提供的韌體更新,主要修補兩個具高度危險性的漏洞,將可能引發遠端執行程式碼(Remote Code Execution,RCE)攻擊。

HP官方網站的資訊安全公告中,列出了CVE-2018-5924、CVE-2018-5925的漏洞,兩者在CVSS 3.0評分高達9.8,均列為嚴重等級。

HP也簡單說明了此次弱點摘要,主要是多款噴墨印表機上發現有兩個安全漏洞,一旦駭客遠端傳送惡意製作檔案至受影響裝置,可能觸發堆疊或靜態緩衝區溢位(Buffer Overflow),進一步導致遠端執行任意程式碼的威脅。

根據HP公布的統計資訊顯示,高達166款HP產品系列受到影響,幾乎遍及HP旗下噴墨系列印表機,包括OfficeJet商用系列近54款、大圖輸出機產品DesignJet系列近24款、高速印表機PageWide系列22款,以及Deskjet與ENVY、Photosmart等系列產品。所幸的是,LaserJet系列雷射印表機並不在清單內。

目前,HP已公告相關韌體更新版本,使用者應儘快前往產品的「軟體和驅動程式」頁面,並按照提供的指示來進行韌體更新。

事實上,此次更新修補影響層面甚廣。以近年HP印表機高度風險等級的韌體更新來看,例如,去年11月的CVE-2017-2750漏洞,CVSS 3.0評分是8.1,影響50款雷射與噴墨引表機;而去年2月的CVE-2016-1503漏洞,CVSS 3.0計分也高達9.8,但僅影響27款OfficeJet與PageWide系列產品。相較之下,這次兩個漏洞不僅具高度危險性,並且影響機款極多。

由於HP本月發布這兩個漏洞修補的時間,與他們公布弱點發現獎勵計畫的時間點很接近。經我們與臺灣HP確認,其實這次的弱點揭露修補,與漏洞獎勵計畫(Bug Bounty program)完全無關。

HP表示,他們是經由第三方研究機構的回饋,瞭解到部分印表機存在網路安全風險,目前他們也已經提供韌體更新方案以降低風險,並發布資訊安全公告。而在資訊安全公告頁面上,其實也有公布這起事件,是由TBA發現並通報HP。

無獨有偶,資安業者Check Point在昨日(12日)公開並展示了一個漏洞攻擊,駭客將能透過複合機設備的傳真協定,來攻擊遠端的傳真機或多功能印表機,取得裝置的控制權,進而攻擊同一網路上的其它電腦。根據Check Point的研究報告說明,他們使用的是一臺HP Officejet Pro 6830噴墨複合機,在他們成功掌控了該傳真機後,進而搜尋到同網段中的電腦,之後再利用EternalBlue發動攻擊。

同時Check Point也提及,他們首先於今年5月1日將此漏洞披露給HP,在7月2到3日時,他們與HP公司面對面會談,證實與討論這些漏洞,並針對HP的修補進行雙方測試與批准,接著在7月23日,他們將漏洞被標記為嚴重。最後,HP在8月1日於網站上發布韌體更新。另外,報告中也提及CVE-2018-5924與CVE-2018-5925,我們從時間與CVE編號來看,顯然兩起事件是有直接關聯。目前我們也正與臺灣HP再次確認中。

Check Point並認為,由於這樣的漏洞涉及通用的傳真協定,因此判斷其它品牌的傳真機或多功能印表機,可能也有同樣的風險,因此呼籲其它印表機業者也應儘快採取行動。

在Check Point於12日展示的示範影片開頭,描述的也就是關於傳真設備上的遠端執行程式碼。

積極鼓勵資安並重視產品資安事件處理

HP近年對於印表機上的資安防護,可說是動作頻頻,主動積極修補揭露的漏洞之外,去年我們也曾看到他們拍攝了「The Wolf」系列微電影,表達印表機帶來的潛在資安風險。上月底HP也啟動了全球首個印表機弱點發現獎勵專案,是他們與Crowdsourced Security的弱點發現懸賞平臺Bugcrowd合作,依據漏洞的嚴重程度,提供500美元到1萬美元的獎金。

據了解,這是一項邀請制的弱點發現獎勵計畫,並非公開的專案,由受邀的研究人員擔任獎金獵人,藉由入侵他們旗下的印表機產品,以協助尋找這些印表機的韌體安全漏洞。或許,HP此計畫與這次的嚴重弱點的揭露有關,期望藉助外界力量,為產品提升更多安全性。

在這次引表機產品弱點發現獎勵計畫中, HP尚未制定該專案的期限,但也計畫將該專案延伸至旗下的PC產品線。只是,未來是否將轉成公開形式讓各界參與,HP則沒有相關說明。

HP近日發布的資訊安全公告中,旗下多達166款噴墨印表機,存在兩個具高度危險性的漏洞,目前他們也已經提供韌體更新方案以降低風險,呼籲用戶儘速進行韌體更新以修補漏洞。

Viewing all 31404 articles
Browse latest View live


<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>