Quantcast
Channel: iThome
Viewing all 32117 articles
Browse latest View live

長庚醫院從病歷大數據揪出冠心症猝死傾向,可提早數年來預防

$
0
0

在臺灣,心臟和腦血管疾病是全國第二與第四大死因,而「冠心症就是造成猝死的原因。」林口長庚紀念醫院檢驗醫學部主治醫師王信堯指出,雖然發作時間短得讓人措手不及,「但冠心症其實是經年累月而來的疾病,比如持續3、5年不良生活習慣,才會造成。」判斷冠心症的傳統方法,多半是透過心電圖、冠狀動脈電腦斷層掃描、心導管檢查等,但王信堯發現,這個疾病的形成,其實從患者歷年的抽血健檢和病歷資料就可看出。也因此,他與同事運用長庚醫院數十年的大數據,開發了一套冠心症預警系統,可提早揪出冠心症趨勢,即早給予患者治療。

從更全面的角度看數據,不用醫療影像就能揪出冠心症傾向

定期的健康檢查可預防疾病發生,一般醫院健檢會產生各項數值,比如血糖、血壓、高低密度膽固醇等。王信堯表示,傳統醫院診斷時,偏向單變量分析(Univariable analysis),也就是從個別較高的檢驗值,來推斷罹患特定疾病的機率。

但他認為,許多檢驗值,其實都與心臟血管疾病息息相關,應該要從更全面的角度來診斷。因此,他與團隊採多變量分析(Multivariable analysis)方法,利用林口長庚過去十年累積的20幾萬筆資料,包括接受心血管標誌篩選套組的成年人電子病歷資料與臨床資訊,像是性別、年齡、身體質量指標、高血壓病史、糖尿病史、血脂、糖化血色素、微白蛋白等近20項病理資訊,來訓練一套冠心症預測系統,可根據民眾健檢數值,來預測未來數年罹患冠心症的風險,進而給予相關建議和療法等。

這套系統耗時1年打造,在初始開發階段時,王信堯坦言,團隊並不曉得哪種程式語言和演算法最適合疾病預測,因此,在語言上,他們嘗試了R與Python,而在學習方法上,則嘗試了機器學習和深度學習。

最後,團隊發現:「傳統統計的邏輯迴歸(Logistic regression)和線性迴歸(Linear regression)表現還不錯,深度學習反而會造成過度擬合(Overfitting)。」王信堯指出,這套系統準確率約8成,目前正在醫院內部不斷測試,但已取得中華民國專利。

50萬筆蛋白質大數據,靠AI分辨致病細菌類型對症下藥

另一方面,王信堯也利用長庚大數據,與團隊開發另一套微生物特性的鑑定AI,要快速辨識出感染疾病的微生物特性,來判斷抗藥性,讓醫生對症下藥、給予正確的抗生素來治療。

王信堯指出,一般治療感染疾病的病人,通常要先透過儀器檢驗,比如用質譜儀檢驗病人的痰,從中找出致病細菌,再根據細菌的抗藥性來開藥。雖然質譜儀隔天可以得到致病細菌的檢驗結果,但是,醫生要判讀資料來找出合適的藥物,仍需3天以上的時間。所以,醫生得在病患就診當下,先憑經驗開藥,待檢驗結果出爐後,再針對致病微生物另外開藥。

為了縮短正確開藥時間,王信堯團隊自2年前開始,就利用長庚既有的50萬筆質譜儀蛋白質資料,來設計、訓練AI演算法,來從上千個蛋白質特徵中,挑出特定的特徵,來判斷細菌特性,經過一步步優化、擴大細菌判讀種類,今年,醫生只需上傳檢驗資料後,系統就能快速判斷出致病細菌,以及該用或不該用何種藥物治療。他指出,這套系統可將開藥時間縮短為1天,在內部測試上,準確率達9成以上,也取得中華民國專利,預計明年進入臨床階段。文◎王若樸


75萬筆的美國出生證明申請書在AWS上曝光

$
0
0

資安業者Fidus Information Security與TechCrunch在本周共同揭露一起AWS上的資料外洩事件,它們發現有一個不需要密碼就能存取的儲存貯體,存放了75.2萬筆的美國出生證明申請文件。

TechCrunch表示,他們看到的文件內容包含了申請人的名字、生日、現在的地址、電子郵件位址、電話號碼、家庭成員名字,以及申請理由。這些申請文件來自不同的州別,看起來是來自某家私人公司,只是TechCrunch並未公布該公司名稱。

該儲存貯體還存放了9萬筆的死亡證明申請書,只是不允許下載或存取。此外,這是一個經常更新的資料庫,在一周內就新增了9,000筆的申請文件。

TechCrunch與Fidus多次聯繫該公司,但一直未收到回應,只得通知AWS代為轉達,同時也聯繫了當地的資料保護機關。

駭客釋出工具以免費使用Windows 7的延伸安全更新

$
0
0

微軟即將在明年的1月14日終止對Windows 7的支援,若要持續取得該作業系統的安全更新,則必須額外購買「延伸安全更新」(Extended Security Updates,ESU),不過,有一名駭客在MyDigitalLife論壇上釋出了一項工具,安裝後就能繞過系統對ESU的檢查,讓Windows 7用戶免費取得延伸安全更新資格。

微軟目前規畫的Windows 7 ESU授權價格,視作業系統的版本與購買年限而定,每個裝置約落在25美元至200美元之間,例如若是購買Windows 7 Pro的3年ESU,即要價200美元,但只有大量授權用戶與中小企業用戶可取得ESU。

微軟會頒發一個授權金鑰來啟用Windows 7裝置的ESU,而駭客則打造了一個BypassESU工具,能夠繞過系統對ESU授權的檢查,即可讓使用者免費使用ESU。

不過,一來這個工具顯然是違法的,二來外界也猜測,在BypassESU曝光之後,微軟很快就會修補這個臭蟲。

但Windows 7用戶還有另一個選擇,就是免費升級到Windows 10

北韓駭客發展出Mac版無檔案攻擊程式手法

$
0
0

安全研究人員發現,針對Mac平台的無檔案(fileless)攻擊程式在記憶體內執行,只有少數防毒產品偵測到。

安全研究人員Dinesh_Devadoss上周首先發現一隻名為UnionCrypto的Mac木馬程式樣本,研判來自北韓駭客組織Lazarus Group。一開始VirusTotal上的57個防毒引擎中,只有2個將之判斷為可疑程式。

Lazarus Group過去經常冒充加密貨幣交易app,誘騙加密貨幣用戶或是駭入交易平台管理員以感染其app。研究人員Patrick Wardle指出,Lazarus Group經常對macOS下手,但這次攻擊展現的高明手法,卻是前所未見。

最新的攻擊是利用交易平台unioncrypto.vip經由UnionCrypoTrader.dmg(.dmg是macOS的映像檔格式)散佈。據此研究人員相信Lazarus Group又成功故技重施,在加密交易app注入木馬程式。

利用指令開啟及安裝,這個映像檔內的Unioncrypto.pkg程式會安裝、啟動一個script,再建立開機服務(Launch Daemon),這個開機服務目的在重覆安裝二進位執行檔unioncryptoupdater,能在Mac電腦每次開機時都執行。當unioncryptoupdater在Mac電腦會開始蒐集OS版本及基本系統資訊,並聯絡外部伺服器以進入第二階段的下載。

研究人員說,長期潛伏以及兩階段下載都是Lazarus Group的慣用手法。但Unioncrypto很特別的是,可直接在記憶體寫入與執行惡意程式碼。這種記憶內(in-memory)程式碼執行的能力,比Lazarus Group過去撰寫的Mac惡意程式,包括剛發現的AppleJeus更為進階。

好消息是,由於Unioncrypto.pkg沒有簽章,會在執行時觸控macOS發出警告。另一方面,Lazarus Group的目標也非一般Mac用戶,因此尚不必擔心這次的UnionCrypto,但研究人員表示,最新木馬顯示北韓駭客也逐漸學習新技巧,透過無檔案攻擊手法增加匿蹤的能力。

數位身分證系統建置招標文件出爐! 明年6月完成相關系統建置

$
0
0

內政部近期公布了新一代國民身分證(New eID)換發系統建置及維護案招標文件,啟動相關招標程序,並要求業者在明年6月完成相關系統開發、建置工作,為明年10月換發的數位身分證做好準備。

相較於目前的紙本身分證,新一代的數位身分證(New eID)整合自然人憑證,採用晶片卡設計,強化防偽造設計,卡面資料採用最少揭露原則,降低身分資料外洩的風險,並透過密碼分區保護晶片內的個人身分資料,內政部先前已委託中央印製廠製卡,相關系統原定在今年10月到明年9月間進行招標、建置工作。

根據內政部公布的最新系統建置及維護案招標文件,相關系統建置及維護專案編列8.78億元預算,建置包括New eID管理系統、戶役政資訊系統軟硬體擴充、自然人憑證管理系統軟硬體擴充,以及與中央印製廠製卡相關系統整合、維護、客服、人員教育訓練及每年維護計畫。

該系統建置及維護專案招標將採最有利標,共分為兩階段,第一階段為系統建置,從簽約日期開始至民國109年底,要求業者需在180個日曆天內完成系統開發及交付原始碼,並不可超過民國109年6月10日。第二階段為精進維護期,自民國110年開始到114年底止。

根據文件的說明,New eID的相關系統,包含管理系統、介接系統、授權管理系統、服務專區等等,介接自然人憑證系統,在內政部之外,也需介接縣市政府的戶政機關相關系統。

為確保系統的資訊安全,專案也要求在上線前,針對eID晶片、API應用程式、eID服務專區網路等舉辦抓漏獎勵競賽,總獎金至少100萬元,建立資安通報機制、資安改善計畫。

對於New eID的細部規劃何時公布?內政部透露細部規劃正在收尾階段,可能在農曆過年前就會公開。目前New eID換發仍以明年10月開始換發。

Emsisoft:付費的Ryuk解密工具可能造成資料遺失

$
0
0

資安業者Emsisoft於本周警告,專門鎖定大型企業展開攻擊的Ryuk勒索軟體,在最新版本中作了一些變更,使得就算付錢給駭客,所取得的解密工具還是可能造成資料的遺失

Emsisoft解釋,Ryuk的作者持續地改良該勒索軟體,在最近的版本中,只要發現大於54.4MB的檔案,就只會加密特定部份來節省時間,以免操作時間過長而被受害者察覺;這種部份加密的檔案在頁尾有些不同,且新版改變了頁尾長度的計算方式,使得解密工具在解密檔案時,可能會刪掉太多以為無用的頁尾。

在最佳的狀態中,被刪掉的頁尾可能是毫無用處的,但有大量虛擬磁碟型式的檔案,像是VHD/VHDX,或者是Oracle的大型資料庫檔案,都會在最後一個位元存放重要資訊,使得這些檔案在解密之後,將因受損而無法正確載入。

此一問題目前只影響最近兩周的Ryuk受害者。Emsisoft業務包含協助已支付贖金的受害者取回資料,因為有些駭客可能不是很配合,有些則是所提供的解密工具有瑕疵,Emsisoft還建議任何勒索軟體的受害者,在解密檔案前,都應該先備份那些已被加密的檔案。

微軟推Azure Spot VM預覽

$
0
0

微軟現在也推出了Spot虛擬機器,對存取未使用的Azure運算容量提供大幅度的折扣,Spot虛擬機器與其他即付即用虛擬機器功能相同,只是當Azure需要運算容量的時候,Spot虛擬機器會被驅逐。無論是單一虛擬機器還是虛擬機器規模集(Virtual Machine Scale Sets,VMSS),都可選用Spot定價的選項。

Spot虛擬機器由於可能隨時會被驅逐,因此適合用於特別的使用案例,像是批次處理作業,以及可維持中斷和從中斷狀態恢復的工作,微軟也提到,由於Spot虛擬機器有可能被驅逐的特性,因此也適合用來橫向擴展無狀態應用程式,或是在被中斷之後可輕鬆再次運作的短期作業,皆能有效節省成本。

現在推出的Spot虛擬機器預覽,將會代替之前微軟推出的規模集低優先度虛擬機器預覽,符合條件的低優先度虛擬機器,將被自動轉換成Spot虛擬機器。不過兩者的計價方式不同,Spot虛擬機器根據Azure地區的容量或是SKU而有所不同。依用戶需要的Azure虛擬機器系列以及地區中特定的大小,Spot定價會讓用戶深入了解Azure虛擬機器系列的可用性。

價格雖然是變動的,但是價格會緩慢變化盡量保持穩定,讓用戶能夠更簡單地管理預算,在Azure Portal用戶可以看到目前虛擬機器的Spot價格,以決定虛擬機器需求的地區以及容量。Spot價格的上限將會是即付即用的價格。

而微軟也提到,為了讓用戶能夠更簡單地存取更多的虛擬機器集,Azure為Spot虛擬機器推出獨立的配額,這是在特定地區中,所有Spot虛擬機和Spot VMSS虛擬機器加總的單一配額,這個配額與即付即用虛擬機器分開。

Azure會盡量減少驅逐Spot虛擬機器的機會,使其能最大程度地持續運作,但是用戶工作負載應該要隨時應付被驅逐,用戶可透過訂閱事件,在驅逐前30秒獲得驅逐通知。Azure會在Spot定價高於用戶定義的價格時,驅逐正在使用的Spot虛擬機器,用戶可以更改價格來重新部署虛擬機器。另外,當Azure必須要收回容量時,也會驅逐用戶的Spot虛擬機器。

Amazon:川普施壓讓它們從JEDI標案中敗陣

$
0
0

Amazon向索賠法院(United States Court of Federal Claims)所提交的文件在本周公開了,該公司抗議美國國防部將《聯合企業防禦基礎設施》(Joint Enterprise Defense Infrastructure,JEDI)的合約交給微軟而非AWS(Amazon Web Services),是受到了美國總統川普(Donald Trump)的不當施壓,認為這對美國安全而言是個很高的賭注,要求國防部重新評估。

Amazon表示,AWS不但擁有豐富的經驗與卓越的技術,也曾證明具備處理機密政府資料的能力,以協助國防部遷移至現代化IT架構的JEDI專案而言,AWS也是公認的領先者,然而,國防部最後卻選擇了微軟,任何有關該決定的審核皆透露出其每項評估都存在著嚴重的錯誤,國防部不僅忽略了AWS的獨特優勢,還忽視微軟在提案中的明顯缺失。

很快地,Amazon就把矛頭指向川普。表示這些錯誤並不僅來自於武斷與不可靠的決策,也來自於川普的不當施壓,川普曾多次公開或私下發動攻擊,以讓AWS無法取得JEDI合約,藉此傷害他在政治上的敵人:Amazon創辦人暨執行長,以及《華盛頓郵報》的所有人Jeffrey Bezos。

Amazon說,國防部所犯的錯誤非常難以理解,因此無法與川普一再表達的決心分開評估,用川普的話說,就是「幹掉Amazon」(screw Amazon)。

川普也不斷地在電視上或Twitter上公開呼籲,不應讓AWS取得JEDI合約,國防部的決策清楚地透露了川普所釋出的訊息,已經達到了他所想要的預期結果。

因此,Amazon認為重新評估雙方的提案,以及重新作決定才是基本的公正,問題在於美國總統應否或能否利用國防部的預算,來追求自己的個人與政治目的。


企業現可在Azure IaaS運作WebLogic伺服器執行Java EE應用程式

$
0
0

微軟與甲骨文在2019年6月的時候,宣布要合作增加雲端互通性,現在釋出了關鍵的合作成果,在Azure市集發布四個配置項目,讓企業可以在Azure Linux虛擬機器上,以各種現成的配置執行WebLogic Server(WLS),降低企業在Azure上運作Java EE的障礙。

微軟提到,要把Java EE單體應用程式搬移到雲端,不少企業可能會興奮地想要將單體應用程式直接轉成為服務架構,但是從務實面考量,團隊可能沒有足夠的開發人員,因此先以破壞性較小的方式,將應用程式搬遷到雲中是更為適當的方法,當該應用程式在雲中能夠良好運作,再接著考量開發微服務架構的應用程式。

為了要讓企業用戶簡單地將Java EE應用程式搬上雲端,微軟與甲骨文合作,以WLS的形式將Java EE應用程式帶上Azure,WLS是一個可擴展的Java EE 7應用程式伺服器。在Azure IaaS上的WLS可簡化許多應用程式部署到雲端的工作,像是可以同創建帶有管理者伺服器的WLS,準備接受部署,讓用戶創建高可用性與可擴充的叢集。

現在Azure市集上的新項目是基於甲骨文Linux 7.4的WLS 12.2.1.3之上,採用JDK 8u131。不同配置的新項目有四項,包括未預配置網域的單一節點,這個項目可以讓用戶建立執行WLS的單一虛擬機器,並且自行配置想要使用的網域。而另一個方便的選項,則是預配置網域的單一節點,網域已經預先配置完成,而且同時還有一個已經啟動完成的管理者伺服器等待接受命令。

第三與第四個項目可讓用戶方便地創建叢集,用戶可選擇創建N個節點叢集,系統會創建N個虛擬機器來執行WLS叢集,並有一個節點管理器和管理者伺服器,而管理者伺服器也已經啟動完成,等待用戶的指令。或是選擇創建有N個節點的動態叢集,用戶能以N個虛擬機器來執行WLS動態叢集,同樣也有節點管理器和管理者伺服器。

微軟提到,所有這些配置項目,都能透過WLS支援標準JDBC資料庫,同時還預安裝了PostgreSQL和SQL Server的驅動程式,針對叢集的設定,用戶可使用腳本簡單地連接到甲骨文資料庫、PostgresQL和SQL Server。這些項目提供自帶授權(Bring-Your-Own-License,BYOL),因此用戶可以在Azure上使用自有授權,但用戶仍須支付所使用的Azure資源。

微軟更新Azure區塊鏈服務簡化資產令牌創建與管理

$
0
0

微軟宣布在Azure區塊鏈服務加入新功能,包括區塊鏈令牌(Blockchain Tokens)預覽版以及企業級區塊鏈資料管理器,在開發工具方面,還更新了以太坊(Ethereum)開發工具套件。

微軟提到,不少用戶要求微軟提供簡單的方法,將物理或是數位資產令牌化,以加快區塊鏈的部署,因此微軟現於區塊鏈服務加入了區塊鏈令牌功能,簡化了定義、創建和管理產業標準令牌的功能,可加速區塊鏈的採用。

區塊鏈令牌提供了端到端創建和管理令牌的方法,用戶可以為物理或是數位資產簡單地創建區塊鏈令牌。Azure區塊鏈令牌為常見的情境,提供預建置的模板,並且在未來還會支援由微軟合作夥伴提供的模板庫。

另一個區塊鏈服務的新功能是加入區塊鏈資料管理器,並且增加用戶帳本的選擇。區塊鏈資料管理器可以擷取區塊鏈帳本資料,並進行轉換,包括解碼加密事件以及資產狀態資料,接著將資料透過Azure Event Grid交付到不同的地方,像是區塊鏈之外的資料庫等。

區塊鏈資料管理器支援公共與私人交易資料,簡化現有應用程式整合使用區塊鏈帳本資料的繁瑣工作。另外,Corda Enterprise加入以太坊,成為額外可用的分散式帳本技術。

微軟持續投資區塊鏈開發工具,並更新了Visual Studio Code上用於以太坊的Azure區塊鏈開發擴充套件,微軟提到,這個更新提升了開發人員生產力,幫助開發者在區塊鏈網路建置應用程式,並且也讓連接後端系統使用資料更為簡單。

Google公開資料集釋出最新CMIP6氣候資料

$
0
0

Google的公開資料集收集了一系列的公開資料,現在與Google與哥倫比亞大學地球觀測站和Pangeo專案合作,將最新的CMIP6氣候模擬資料託管在Google雲中。另外,除了CMIP6資料的發布之外,Pangeo專案還開發了軟體和基礎架構,使得研究人員更容易在雲端分析資料,並且視覺化氣候資料。

世界氣候研究計畫最近開始釋出耦合模型對比專案第六階段(CMIP6)的資料,這個資料總共收集了約30個工作組和1,000名研究人員,針對氣候變遷問題所創建的氣候模型。CMIP6資料集具有豐富的氣候系統細節,包括對於歷史以及未來的模擬。現在研究人員可以在Cloud Storage中存取這些資料,而很快的,這些資料也會上到BigQuery供研究人員分析。

Google提到,在雲端CMIP6資料集將不斷更新,讓全球研究人員可將資料用在自己的研究專案中,而且不需要下載TB或是PB量級的資料。CMIP6完整的資料檔案有20PB,目前先將其中100TB的資料量放上雲端。

CMIP6資料來自高解析度的模擬,採用從1850年以來的歷史資料,透過調整關鍵變數來模擬假設的情境。哥倫比亞大學地球與環境科學副教授Ryan Abernathey表示,這樣的模擬資料非常有用,像是研究人員可以模擬當世界在一夜之間二氧化碳濃度增加三倍,會變成的樣子,而這個模擬的重點不是用來預測未來,而是幫助研究人員理解氣候系統回應二氧化碳的方式。

每個CMIP6模型都包含數十種變數、組成成員以及情境,使得CMIP6資料量變得非常龐大。Ryan Abernathey表示,人們關心的並非是全球的平均溫度,因為沒有人居住在一個平均的世界,但人們關心乾旱或是暴雨等極端氣候對當地的影響,因為這些極端氣候可能會對社會造成衝擊,而透過這些罕見事件的高解析度模擬,人們能以更好的資訊進行規畫,以預期氣候的變化。

美司法部傳介入調查Google、Fitbit收購案

$
0
0

11月Google宣佈以21億美元收購健康穿戴裝置廠商Fitbit。不過後者牽涉眾多用戶的隱私資訊,美國媒體紐約郵報周二報導,美國司法部已介入調查這起併購是否有隱私疑慮。

報導引述華府消息人士指出,司法部已經在9月著手調查此案,並向Google要求調閱之前FTC針對該公司的反托拉斯調查相關文件。

根據《羅迪諾反托拉斯改進法》(Hart-Scott-Rodino Antitrust Improvement Act),大型合併案皆需向司法部和FTC申報,但只會有其中一方進行審核。

Google和Fitbit的收購案同時引發司法部和聯邦交易委員會(Federal Trade Commission,FTC)的疑慮。上個月Google宣佈收購Fitbit的意圖時,公民團體批評這樁交易將讓Google掌握數百萬名用戶的健康資訊及個資,要求主管單位嚴格審視。

但是過去Google大部份收購都是由FTC審議。FTC二月成立科技工作小組,專門處理矽谷科技巨頭們的壟斷貿易行為,已經先針對臉書啟動反托拉斯調查。FTC這次原本也準備調查,但最後為何改由司法部主導引人好奇。

消息人士稱,這是政府部門間角力的一部份。一名反托拉斯律師指出,由司法部調查本案,白宮比較可以發揮影響力。美國總統川普向來對Google反保守派的立場感冒,今年稍早Google也曾撤除川普的競選廣告。不論是不是基於新仇舊恨,川普曾宣稱會好好監督這家科技巨擘。

司法部今年7月也另外針對臉書、Amazon及Google啟動第一波反托拉斯調查。

Fibit的收購案是Google歷來第5大收購交易,外界判斷有助於Google取得智慧手錶硬體品牌及軟體能力、企業及消費用戶群,在健康市場上力追蘋果。

蘋果控告前員工在職期間研發自有競爭晶片技術

$
0
0

蘋果幾個月前控告曾負責設計iPhone及iPad晶片的工程師,於在職期間從事和公司競爭業務並挖角公司員工跳槽。

本案是因為被告員工本周提出抗辯而被The Register揭露。今年8月,蘋果向聖塔克拉拉地院指控前晶片設計員工Gerard Williams在公司任職期間就成立自己的公司,經營和公司競爭的業務活動,之後還向蘋果挖角員工和原東家打對台。

Williams在蘋果工作9年,曾經參與iPhone及iPad晶片的設計。今年2月他離開公司,和另二名蘋果前員工Manu Gulati及John Bruno創立晶片公司Nuvia,專門生產資料中心伺服器專用的CPU及單系統晶片(SoC)。Nuvia宣稱已募得5300萬美元資金。

蘋果指稱,Williams在職末期已是蘋果ARM架構SoC晶片開發團隊的核心人物。蘋果說,公司明文規定禁止員工在任職期間從事和公司競爭的業務,也要求職務上產出的技術發明必須告知公司。但Williams至少在2018年就利用職務之便,以蘋果資源設計生產了自有業務相關的技術,並未告知公司,還跟同事說未來蘋果只能花錢向他購買。

不僅如此,蘋果指控Williams自立門戶後,公司找來的10多名專業人員,其中有8名是挖角原來部門的同事。而為了避免留下紀錄,Williams透過打電話及傳訊息和這些同事聯絡面試、跳槽事宜。

基於上述行為,蘋果控告Williams違約及違背員工忠誠義務,蘋果向法院要求對Nuiva發出禁制令並索求賠償。蘋果指出,一個擁有多年經驗且長年可存取蘋果最寶貴研發資訊的資深主管,運用他原本的技術及找來他在蘋果任職的同一組團隊,蘋果對此絕不寬貸。

但Williams抗辯指出,蘋果說法根本站不住腳,因為它要求所有員工透露自己創業的意願,如有隱瞞即被視為不忠誠。此外,按照蘋果說法,任何員工批評公司策略或決策都會被視為是聳恿同事跳槽。Williams表示他是在離職後才跟同事表明自己創業意願。而蘋果提交的證據也顯示,蘋果正在監看員工電話通聯及文字訊息,嚴重侵犯員工隱私。

蘋果和Nuvia皆未對此做出回應。

微軟Office 365登上Linux,Teams先發

$
0
0

微軟周二釋出Linux版Teams公開預覽版,成為第一個登上Linux的Office 365用戶端app。

Linux版Teams的介面與外觀和Windows及Mac版完全相同。Microsoft Teams app是第一個登上Linux桌面端的Microsoft 365 app,支援所有Teams的核心功能。微軟Office產品經理Marissa Salazar指出,微軟客戶裝置橫跨Windows、Linux等多種平台,微軟雲端和生產力產品也以支援多元環境為目標,Linux版Teams即是這項方針的一環。

過去幾個月來已經有些企業客戶,包括瑞典車廠富豪(Volvo)導入Linux版Teams app,利用螢幕共享促進內部協同。

未訂閱商業版Office 365的使用者也能試用Linux版Teams公開測試版。微軟也同時邀請app開發商在Teams上開發應用程式,以觸及新平台的用戶。

微軟積極打造Teams成為企業協同的中心,將聊天、視訊會議、通話、Office 365文件協同及業務流程整合至單一介面,挑戰新創業者Slack。而Teams的推展也頗為迅速,用戶數急遽成長。根據微軟的數據,Teams每日用戶數已由7月的1,300萬,成長到了2,000多萬。

Chrome79問世,新增即時網釣保護,整合密碼外洩通知功能

$
0
0

Google在本周釋出了Chrome 79穩定版,它修補了51個安全漏洞,新增即時網釣保護,整合密碼外洩通知功能,並納入了Tab Freeze等新功能,以強化該瀏覽器的安全及穩定性。

Google原本就藉由Safe Browsing工具來保護Chrome用戶免受網釣攻擊,Safe Browsing平均每天都會發現數千個不安全的網站,並將它們加入到黑名單,以供Chrome及其它瀏覽器使用。Chrome會在使用者造訪特定網站時,與黑名單進行比對,在察覺用戶造訪了黑名單網站時,就會跳出警告,阻止用戶前往。

儘管該黑名單每30分鐘就更新一次,但Google依然擔心駭客會趁這30分鐘的空檔成功入侵。即時網釣保護的作法則是在使用者造訪網站時,先行與使用者電腦上所存放的數千個安全網站進行比對,若不在安全名單中,再交由Google判斷該站是否屬於危險網站。

根據Google的分析,啟用即時網釣保護時,在杜絕新惡意網站的成效上高出了30%。該功能將率先支援主動加入「Make searches and browsing better」的Chrome用戶。

另一方面,Google也循序漸進地將密碼外洩通知功能整合到Chrome上。先是在今年2月發表Password Checkup擴充程式,當Chrome用戶在所造訪的網站上輸入帳號及密碼時,該擴充程式即會與外洩資料庫進行比對,以判斷使用者的憑證是否曾外洩,並提出警告。繼之在今年10月將Password Checkup功能嵌入Google帳號中,現在則是直接整合至Chrome 79,並作為Safe Browsing保護的一部份。

Chrome 79另一個值得注意的變更是,它將開始封鎖HTTPS網站中所夾帶的HTTP內容,但初期將讓使用者可允許特定網站執行混合內容。

至於Tab Freeze則是為了改善Chrome的效能所設計的,它讓Chrome得以自動卸載那些超過5分鐘沒有活動的分頁,以釋放CPU及記憶體資源。但目前該功能必須由使用者手動啟用。

而在Chrome 79所修補的51個安全漏洞中,最值錢的是由騰訊科恩實驗室所發現的CVE-2019-13725漏洞,它是一個藍牙的「釋放後使用」(Use after free )漏洞,Google並未公布漏洞細節,只是把它列為重大(Critical)漏洞,且頒發了2萬美元的獎金予兩名研究人員。


蘋果釋出iOS 13.3,全面擁抱實體安全金鑰

$
0
0

蘋果在本周釋出了iOS 13.3、iPadOS 13.3、tvOS 13.3與watchOS 6.1.1等行動平台,在iOS 13.3與iPadOS 13.3中的Safari,可支援各種相容於NFC、USB及Lightning FIDO2等規格的實體安全金鑰。

過去程式開發人員必須自行在iOS或iPadOS的行動程式中添增對實體金鑰的支援,而現在iOS透過Safari瀏覽器提供了原生支援,將方便更多的程式採用實體金鑰,也可進一步保護用戶不受網釣攻擊,以實體金鑰取代密碼來登入各式服務。

硬體身分認證裝置製造商Yubico已在今年8月發表了首款可支援蘋果Lightning規格的實體金鑰YubiKey 5Ci,YubiKey 5Ci同時具備Lightning與USB-C介面,相容於iPhone、iPad、Mac、Windows及Android等裝置,售價為70美元。

不過,目前支援以實體金鑰登入的網路服務依然有限,多為大型服務,包括Gmail、Dropbox、Twitter、Outlook及Facebook等。

此外,iOS 13.3加強了家長控制功能,透過螢幕使用時間設定可管理小孩使用通話、FaceTime或傳訊的對象,也能藉由聯絡人列表管理顯示在小孩裝置上的聯絡人。

該版本亦修補以下許多臭蟲,像是無法下載新郵件、無法刪除Gmail郵件、長按空白鍵後無法移動游標、透過訊息傳送的截圖會變模糊、無法與其它語音程式分享語音備忘錄、未接來電顯示不清、行動數據設定誤顯示為關閉,以及部份無線充電器充電速度低於預期等。

以投資挖礦為名行詐騙之實,3名男子被逮

$
0
0

美國司法部本周宣布已逮補3名涉嫌以投資加密貨幣挖礦為名,實則詐騙投資人高達7.22億美元的男子。

這3名男子都是來自美國,分別是37歲的Matthew Goettsche、38歲的Jobadiah Weeks,以及49歲的Joseph Abel。

根據法院文件的說明,他們在2014年4月到2019年12月間經營BitClub Network,對外籌措資金以打造比特幣的挖礦池,並以挖礦池的股份來換取投資人的資金,同時獎勵招募新投資人的投資者。

Goettsche還跟同伴說,他們鎖定的目標族群為愚蠢的投資者,並把這些投資者稱為「肥羊」(sheep),自稱整個商業模式是在白痴的支持下建立的,還指示其他人操縱挖礦池的收益數字,他們甚至建立了影片,以在美國及全球市場行銷BitClub Network,不但宣稱BitClub Network是全球最透明的公司,還說BitClub Network大到無法倒閉。

然而,一來BitClub Network的股票並未合法登記,二來他們並沒有用投資者提供的資金購買挖礦設備。

FBI洛杉磯辦事處的助理主任Paul Delacourt表示,這3個人被指控採用精心設計的策略,誘導成千上萬的受害者投資,宣稱這是個自加密貨幣獲利的先進手法,還向他們承諾其投資將有豐厚的回報。

美國國稅局刑事調查主管John Tafur則說,這根本就是個經典的龐氏騙局,誆稱投資比特幣挖礦池可帶來豐厚回報,還鼓勵投資人招攬其他投資者。

他們被指控電信詐欺及出售未登記的股票,最多可能被判罰20年刑期與25萬美元的罰款。

臺灣物聯網資安標章發展上軌道,已有9家業者的22款產品取得資安標準合格證書

$
0
0

為了強化臺灣產品在國際上的競爭力,近年由政府帶頭,推動的物聯網資安檢測認證標準,自2018年6月開始,經濟部與國家通訊傳播委員會(NCC),共同發布相關資安驗證標章制度,期望帶動臺灣產品資安水準。在這項計畫執行一年半後,在12月6日,相關單位舉辦了物聯網資安標章成果發表會,並公布目前最新的進展。其中,在物聯網資安認可實驗室方面,已經從去年底的4家增至8家,而取得標章合格的產品,更是從原本單一業者的2款產品,增至9家業者22款產品。

從多家業者陸續響應的態勢來看,顯然這項資安標準的推動,正開始步上發展軌道。更重要的是,自今年12月開始,其中的網路攝影機資安產業標準,已發布成為國家標準(CNS 16120)。未來目標,期望達到國際標準相互認證。

隨著物聯網資安標章的推動,臺灣資通產業標準協會(TAICS)理事長謝清江說,期望幫助產業的物聯網設備,取得具有特色的競爭力,他們在未來,也會讓此項標準連結國際,並推動讓國際認識這樣的標準。如此一來,讓臺灣產品在外銷國際市場時,可以成為具資安規格的優良商品。

同時,對於未來公私部門採購時,若能將此標準納入採購規範內,將有助於選擇具有高資安品質的網路攝影機。特別的是,目前像是經濟部轄下之油水電等重要基礎設施單位,已經率先將此標準,作為產品的驗收規範。

認可實驗室增至8家,網路攝影機今年有5家業者產品通過

由於資安防護不足的物聯網設備,往往有極高機會淪為網路攻擊的跳板,因此近年我國政府針對重點系統與設備,發展產業標準及技術指引。去年底,為建構物聯網資安檢測生態體系,經濟部工業局表示,已有電信技術中心、安華聯網、臺灣電子檢驗中心,以及勤業眾信,成立物聯網資安檢測實驗室,並通過全國認證基金會(TAF)認可。而在12月6日舉辦的活動上,公布了今年陸續新增的4家業者,包括行動檢測服務、中華電信、資誠與數聯資安。因此,現行可認證物聯網資安標章的實驗室,總共已有8家,資策會資安所聯網安全檢測組組長高傳凱指出,現階段還有2家業者正在申請,預計2020年將會增至10家。這也意味著,物聯網資安檢測生態體系將持續擴大。

在製造商取得認證方面,網路攝影機產品的資安規範與檢測制度,是最早切入面向,因此,相關資安標準發布的時間最早,而目前進度也是最快。

因此在去年底,奇偶科技(GeoVision)就有2款產品,率先取得物聯網資安標章合格產品證書,並且是通過二級認證(安全等級最高為三級)。

今年以來,通過資安檢測的業者與產品數量明顯更多,包括了陞泰科技(AVTECH)、利凌企業(Lilin),以及杭特電子(Hunt),還有大鵬科技(Climax)。上述這4家業者,各有1款網路攝影機,通過一級認證;至於奇偶科技,他們也在12月初又通過多項產品,增加1款主產品與10款系列產品。

至今為止,共有17款網路攝影機,取得物聯網資安標章,成為合格產品。而且,後續已有多款產品在認證階段,高傳凱表示,例如,接下來即將通過的還有12款產品,除了利凌企業的1款產品,與7款系列產品,還將再新增兩家業者,包括聯發光電(A-MTK)的1款產品,以及可取(iCatch)的1款產品與2款系列產品。

而在影像監控系統系列的資安標準框架中,不只是針對網路攝影機,去年已經發布的項目中,其實還包括了影像錄影機,以及網路儲存裝置,目前這兩項也有了新的進展──各有1家認可實驗室在申請階段。這樣的現況,其實也顯示出資安檢測生態體系,規模正逐漸擴大。

車載資通訊系統與無線路由器,在2019年底也有首批產品通過認證

其他物聯網資安標準方面,在智慧巴士車載資通訊系統,以及NCC所負責的無線路由器方面,均有明顯進展。在12月初,這兩項資安標準各有2家業者產品通過認證,是首批取得該項目資安標章的產品,前者包括銓鼎科技(MaxWin)的智慧型站牌,智慧車載機嵌入控制模組,以及寶錄電子(Baoruh)的司機操控臺;後者,包括智易科技(Arcadyan)的家用路由器,以及威力工業網絡(ORing)所推出的工業型路由器。

值得一提的是,在智慧巴士車載資通訊系統方面的標準,進展相當迅速,高傳凱表示,該標準在今年年中才發布,不過,業者在標準制定時就持續關注,因此能夠很快通過。

新進展是智慧路燈,明年將針對各檢驗提供自主資安檢測平臺

關於物聯網資安認驗證的下一步,高傳凱特別說明了在智慧路燈方面的最新進展,以及2020年的重點。

他表示,今年正在進行的是智慧共桿系統系列的資安標準,首先是智慧路燈,架構上,主要包含物聯網設備基本要求,以及燈桿閘道器與後臺監控伺服器。目前,這項資安標準的推動相當順利,主要是臺灣LED照明產業協會,以及國內相關業者的配合,而且,今年地方政府也開始推廣,例如,臺北市政府在4月的智慧路燈採購,就將此資安標準的草案版本納入考慮。

高傳凱表示,預計在2020年1月時,TAICS就會正式發布智慧路燈資安標準的公告,等到5月,將會有通過的認可實驗室,屆時,也將頒發首款取得此項資安標章的產品。

至於明年的計畫,高傳凱提到,目前業者在檢測方面遇到一些困難,例如,在開發期間,沒有自動化工具可以確認,產品是否滿足標準要求,這是因為,資安不像其他領域,可以一邊開發一邊驗證。所以,高傳凱表示,後續推動這些物聯網資安標準時,將打造自主資安檢測平臺與指引,讓業者能夠在送測前,先行自己檢測,以降低檢測成本,以及加速開發速度。

此外,關於數位機上盒的產品類別,NCC在今年也已經完成這方面的指引,至於到了2020年,則將會陸續延訂智慧音箱等更多物聯網相關資安檢測產業標準。

對於網路攝影機的資安規範與檢測制度,是臺灣政府最早制定相關標準切入的面向,自今年12月開始,這項規範已經正式發布成為國家標準(CNS 16120)。(攝影/羅正漢)

若要查詢通過物聯網資安標章的產品,企業採購人員可前往臺灣資通產業標準協會的官方網站(https://www.taics.org.tw/Validation00.aspx),從驗證專區找到所有合格產品的名錄,當中已有7大分類,包括影像監控系統、無線路由器、智慧巴士資通訊系統,以及無線混合網路攝影機、無線AP與數位機上盒等。在上述的前三類別中,現在都已經可查詢到通過資安標準的產品。網站也會持續更新。

於12月6日舉辦的物聯網資安標章成果發表會上,各家業者實際展示合格產品。有多款通過認證的網路攝影機產品,同時,在無線路由器方面,首次有兩款產品通過認證,它們分別是威力工業網絡的EN50155工業型路由器(如圖),以及智易科技的家用路由器。

 

 

在物聯網資安認證中,影像監控系統系列的網路攝影機(IP CAM)方面的進度最快,目前已有5家業者的17產品取得資安標章,其中奇偶科技產品最多,並且是通過二級驗證,其他業者包括陞泰科技、利凌企業、杭特電子與大鵬科技。

部分英特爾CPU存在Plundervolt漏洞,駭客可透過操縱電壓來偷取敏感資料

$
0
0

歐洲資安研究人員發現了部分英特爾處理器型號,存在編碼為CVE-2019-11157的漏洞,這個漏洞被命名為Plundervolt,駭客可以利用英特爾提供給用戶,用來調整頻率以及電壓的特權軟體介面,破壞系統的安全性。

經證實,駭客能透過控制執行安全區(Enclave)運算的電壓,入侵英特爾酷睿處理器上的SGX(Software Guard Extensions),研究人員提到,這代表即便英特爾SGX的記憶體已經加密,或使用身份驗證技術,都沒辦法抵禦Plundervolt攻擊。

Plundervolt攻擊利用了處理器中兩個獨立的晶片元件,其一是英特爾處理器中的電源管理介面,這個介面可讓作業系統管理處理器的電壓和頻率,為了節省電力,現代的處理器都會根據執行的工作負載,不斷調整使用的電壓。

另一個Plundervolt攻擊利用的元件則是英特爾SGX,SGX是一組內建於現代英特爾處理器的安全相關指令,SGX在安全區遮蔽敏感資訊的運算,只要在安全區中的內容受到保護,駭客便無法從安全區的外部存取或是修改,特別是能抵擋取得作業系統Root權限的攻擊者。

但是Plundervolt漏洞能讓攻擊者,透過控制電壓來繞過這個防護機制。當SGX安全區在進行敏感操作的時候,攻擊者只要增加或是減少幾毫伏的電壓,就可能讓運算發生錯誤,並產生安全上的間隙。攻擊者可以將錯誤加到應用程式的資料加密演算法中,以利未來的攻擊應用,或是取得CPU加密金鑰和其他敏感資訊。

攻擊者可以從遠端利用Plundervolt漏洞進行攻擊,無需物理上實際接觸處理器,但是攻擊者仍須取得完全Root存取權限,也就是說,攻擊者要攻擊SGX安全區,基本上必須要接管整個系統。

研究人員提到,Plundervolt是在安全區,執行類似CLKScrew和VoltJockey這類降壓攻擊(Undervolting Attack),降壓介面只能在取得不受信任(Untrusted)作業系統的Root權限才能存取,研究人員檢查了常用的Hypervisors和虛擬機器軟體,訪客作業系統無法存取降壓介面。

英特爾已經對這個漏洞發布了微程式和BIOS補丁,英特爾提到,他們沒有看到這個漏洞被利用的案例。從2015年以來,英特爾發布的酷睿處理器以及Xeon E3 v5、E3 v6、E-2100和E-2200伺服器處理器家族,皆受Plundervolt漏洞影響。

駭客串連Windows與Chrome漏洞以執行WizardOpium攻擊

$
0
0

卡巴斯基實驗室(Kaspersky Labs)上個月揭露了駭客的WizardOpium攻擊行動,指稱駭客是利用Chrome瀏覽器的零時差漏洞CVE-2019-13720展開攻擊,但該實驗室在本周表示,其實WizardOpium行動同時涉及了兩個零時差漏洞,除了CVE-2019-13720之外,還包括另一個藏匿在Windows中的CVE-2019-1458,而微軟已於本周修補了該漏洞。

卡巴斯基是在今年秋天發現WizardOpium攻擊行動,駭客先在韓文的新聞網站上進行水坑攻擊,於網站上植入了惡意的JavaScript,再等待受害者上鉤,以Chrome瀏覽器造訪被駭網站的使用者將會被植入惡意程式,讓駭客取得系統的控制權。

研究人員表示,除了Google已修補的CVE-2019-13720漏洞之外,他們還在WizardOpium行動中發現另一個零時差漏洞,駭客在此一Chrome攻擊程式中嵌入了另一個鎖定CVE-2019-1458的攻擊程式,用以在被害系統中取得更高的權限,顯示出駭客其實同時串連了CVE-2019-13720與CVE-2019-1458兩個零時差漏洞。

根據微軟的說明,CVE-2019-1458是個權限擴張漏洞,會在Win32k元件不當處理記憶體中物件時被觸發,成功開採該漏洞的駭客將能在核心模式執行任意程式,包括安裝程式、編輯或變更資料,以及建立具備完整使用者權限的帳號。

CVE-2019-1458影響Windows 7、Windows 8.1、Windows 10及Windows Server 2008/2012/2016等平台。

Viewing all 32117 articles
Browse latest View live