被Slack以及Visual Studio Code採用的開源網頁開發框架Electron，現在進入OpenJS基金會，成為基金會孵化器的其中一個專案。Electron是個基於Node.js和Chromium的開源框架，讓開發者使用JavaScript、HTML和CSS就能建置桌面應用程式，這個框架已經被許多熱門應用程式採用，包括Discord、Skype和Trello等。

OpenJS基金會在今年10月的時候成立，由JS基金會與Node.js基金會合併而來，目的是要促進JavaScript生態系的發展，而第一個進入OpenJS基金會孵化器的專案，則是安裝Node.js的熱門工具Node版本管理器（Node Version Manager，NVM）。

OpenJS基金會執行董事Robin Ginn表示，Electron被許多知名企業用來開發應用程式，而Electron進入OpenJS基金會，代表著Electron對基金會的信任。Electron的跨平臺功能，讓開發者可同時為Windows、Mac和Linux平臺，建置視覺一致的跨平臺應用程式。最初該框架由GitHub在2013年開發，現在則由社群眾多開發人員和組織維護。

Xs:code發布開源專案的獲利平臺，試圖解決開源專案維護資源短缺的困境。用戶可以將專案於GitHub公開儲存庫開源，但同時在GitHub私有儲存庫維護另一個付費版本，由Xs:code處理訂閱、付款以及貢獻者間利益共享等金流操作。

Xs:code是由遊戲廠商Plarium的聯合創辦人Haim Turpiashvili，領頭募資50萬美元成立，試圖尋找一種新的方法，鼓勵開源專案貢獻者向企業收費，為開源軟體維護挹注資源。開源軟體是目前軟體產業重要的一環，估計全世界有一半的網站執行開源軟體，90％的軟體都包含開源元件，甚至連商業軟體通常也都包含有自由開源元件。

但這些重要開源專案的日常開發與更新，卻是仰賴自願的程式碼貢獻者，但是缺乏開源專案沒有回饋收入，志願貢獻者就無法保證提供足夠的時間與精力維護專案，開源專案的開發工作很多，包括修補安全漏洞、更新功能甚至是撰寫文件等，而對於仰賴開源專案的企業來說，這可能使應用軟體存在風險。

要讓開源專案可持續且保持公正公平是一大難題，絕大多數的開源專案從捐贈系統中幾乎賺不到錢，雖然大企業可以聘雇大型開源專案開發人員，但這使得程式碼貢獻者成為員工，讓開源專案缺乏自由精神。Xs:code聯合創辦人暨執行長Netanel Mohoni提到，許多在GitHub上每年有數百萬次下載的明星專案，每年卻只募得數百美元。

因此Xs:code提出了開源專案獲利平臺，讓開發人員在私有儲存庫提供可訂閱的程式碼，但同時又可在公開儲存庫保留免費版本，並由Xs:code處理所有訂閱、付款與共享等金流處理。Xs:code提供多種不同的授權許可選項，開發人員可以決定付費版本與免費版本之間的差異，用戶可以在公開儲存庫程式碼使用Copyleft授權許可，讓同樣也是開源專案免費使用，而商業產品則需透過Xs:code平臺訂閱，或是採用開放核心的模式，企業可以付費解鎖更多的功能。

金融服務業者Visa本周警告，接連有兩起網路攻擊行動鎖定加油站的銷售終端系統（POS），並點名幕後黑手可能是以獲利為主的FIN8駭客集團。

FIN8為一出於財務動機的駭客集團，過去主要鎖定零售、飯店及娛樂產業的POS系統發動攻擊，之前曾精心設計魚叉式網釣攻擊，以誘使受害者下載惡意程式，它在2017年曾一度消聲匿跡，但資安業者於今年3月偵測到FIN8又復活了，且專門調查信用卡詐騙事件的Visa Payment Fraud Disruption（PFD）部門指出，FIN8把攻擊目標延伸到加油站，今年夏天就發現兩起源自於該組織的攻擊行動。

這兩起攻擊事件的受害者都是北美地區的加油站，在第一起的資安事件中，駭客是利用網釣郵件誘使加油站員工安裝了遠端存取木馬，駭客在滲透到加油站的內部網路之後，再伺機取得可進入POS環境的憑證，部署RAM搜括工具，以竊取顧客的信用卡資訊。

而在第二起的資安事件中，駭客同樣取得了加油站網路的存取權，只是管道不明，之後同樣也植入了RAM搜括工具來竊取信用卡資訊。此一加油站在店內使用晶片卡交易，但加油機上則使用磁條卡交易，後者才是惡意程式的目標。

PFD表示，這些加油站並未將持卡人資料環境（Cardholder Data Environment，CDE）與企業網路隔離，而讓駭客更容易得手。

值得注意的是，過去針對加油站的攻擊主要是透過安裝金融卡盜讀器（skimming）進行，但現在駭客則是藉由駭進POS系統來植入搜括程式，代表駭客必須先入侵加油站網路，具備更強大的技術能力。

根據PFD的評估，加油站的POS未來將繼續受到駭客的青睞，建議業者應該部署防毒軟體，強化遠端存取的安全能力，啟用EMV安全技術，讓每個管理者使用獨特的憑證並管制存取能力，也應定期偵測系統的可疑行動。

臉書與紐約大學醫學院合作的FastMRI研究計畫，現在釋出了最新的神經成像資料集，另外，這次釋出還同時包含了基準模型以及新的研究論文，以推動並擴大該領域的研究進展。

這個新的神經成像資料集，提供6,970個MRI病例的完全去識別化原始格式k-space檔案，除此之外，還有超過10,000個病例，包含DICOM格式的370,000張圖像切片。這個資料集是目前研究人員可取得最大k-space格式的大腦MRI公開資料集。

k-space格式資料是MRI掃描過程產生的，通常會在合成圖像之後被丟棄，臉書提到，k-space格式資料可被用於訓練模型、驗證效能，以及模擬圖像重建技術被用在真實世界的方法。腦部成像資料集可用來加速MRI在腦部的掃瞄速度，對有神經系統症狀的患者，可以改善整體影像擷取的效果，並提升患者檢查的舒適程度，針對難以保持靜止狀態的患者，也能良好地採集掃描圖像。

而與其他FastMRI專案發布的資料一樣，這項腦神經成像資料集經NYU Langone Health委員會審查，把關病患的隱私，資料集完全不包含可用來識別病患身份的元資料與內容，他們手動檢查每一張圖像，確保剪裁並排除可辨識的臉部特徵。現在其他研究人員可以在NYU Langone Health的FastMRI網站，取得新的大腦MRI資料集、論文和基準模型。

FastMRI計畫的目的，是要提升10倍的MRI掃瞄速度，臉書提到，大腦和脊隨是最常見的MRI檢測部位，但由於眼睛和大腦中存在會流動的液體，可能在成像上造成偽影，因此更快的MRI掃瞄速度，能減少這些問題發生，現在新釋出的神經成像資料集為這些研究提供重要貢獻。

Google推出可讓企業快速搬遷本地資料到雲端的轉移服務，這是一個全託管的解決方案，可應付數十億個檔案與數PB大小的資料規模，企業在線上就能完成大規模資料搬遷。

Google提到，企業可能會使用自己的基礎設施來儲存資料，但是當想要使用雲端運算資源分析這些資料時，就必須將資料實際儲存在雲端。而轉移服務就是為了滿足這樣的需求，與現有像是gsutil等線上資料搬遷工具相比，轉移服務可以降低搬遷資料的複雜性，且可以更快速地移動資料。

用戶只要安裝並啟動轉移服務的本地端軟體，接著到Google雲端控制臺設置目錄，用來存放要轉移到雲端儲存的資料。當資料開始傳輸時，該服務跨會多個代理平行進行資料傳輸，並協調代理透過安全的網際網路連線將資料傳輸到雲端儲存。

本地端的軟體會驗證資料的完整性，能夠可靠地傳輸資料，而且傳輸軟體經特別設計，即便發生故障，也不會影響正在執行的傳輸作業。Google表示，他們最佳化了網路應用程式層與傳輸層，能夠最小化資料傳輸時間，除此之外，這項服務完全不需要額外撰寫程式碼或是進行維護工作，用戶可以使用GUI簡單地進行操作，並且監控與管理傳輸作業。

數位身分證系統建置招標文件出爐

圖片來源_內政部

內政部近期公布了新一代國民身分證（New eID）換發系統建置及維護案招標文件，啟動相關招標程序，並要求業者在明年6月完成相關系統開發、建置工作，為明年10月換發的數位身分證做好準備。

相較於目前的紙本身分證，新一代的數位身分證（New eID）整合自然人憑證，採用晶片卡設計，強化防偽造設計，卡面資料採用最少揭露原則，降低身分資料外洩的風險，並透過密碼分區保護晶片內的個人身分資料，內政部先前已委託中央印製廠製卡，相關系統原定在今年10月到明年9月間進行招標、建置工作。

根據內政部公布的招標文件，相關系統建置及維護專案編列8.78億元預算，建置包括New eID管理系統、戶役政資訊系統軟硬體擴充、自然人憑證管理系統軟硬體擴充，以及與中央印製廠製卡相關系統整合、維護、客服、人員教育訓練及每年維護計畫。New eID系統架構包含授權管理、服務專區等，需介接自然人憑證系統以及各縣市戶政系統。更多內容

LINE資安團隊任務分工首度在臺公開

攝影_洪政偉

這幾年來，LINE已經從單純的即時通訊，擴大到整合行動支付、購物、新聞、IoT裝置與通訊的平臺，甚至發展到虛擬貨幣交易所與網路銀行，服務範圍相當廣。他們如何做好企業資安這件事？

LINEGrayLab資安研究室的負責人李丞鎮（Lee Seung Jin）表示，資安團隊需要顧及的對象相當廣，包括LINE在全球8千多名的員工，還有自家軟硬體與基礎設施，以及第三方產品與服務，甚至委外承包商等。而在這些面向當中，其實有許多的難題要去面對，像是企業使用的VPN服務，也可能存在弱點，對於供應鏈攻擊手法的防範也相當重要。

首先LINE從企業產品開發生命週期著手，李丞鎮指出，在他們的資安團隊的運作流程中，主要涵蓋整個服務發布流程，包含訓練、需求、設計、執行、驗證與發布等六大階段。更多內容

Azure可以快速建置Java EE應用了

宣布要合作增加雲端互通性的微軟與甲骨文，釋出了關鍵的合作成果，在Azure市集發布四個配置項目，讓企業可以在Azure Linux虛擬機器上，以各種現成的配置執行WebLogic Server（WLS），降低企業在Azure上運作Java EE的障礙。更多內容

Netflix開源內部Python資料科學開發框架

圖片來源_Netflix

近期Netflix釋出內部專為資料科學家設計，以人為本的資料科學應用開發框架Metaflow，除了可讓使用者靈活地進行模型開發之外，也能快速存取在AWS S3上的資料。

Metaflow來自機器學習基礎設施團隊，對內部資料科學家進行調查的結果。他們發現比起底層的架構，資料科學家更在意建模方法的自由度，包括模型的運作、特徵工程以及模型的開發，在許多情況下，資料科學家希望可以在生產中操作模型，以快速地進行除錯或是迭代。

為此，機器學習基礎設施團隊開發了Metaflow，並將Metaflow設計成簡單的Python函式庫。更多內容

WebAssembly正式成為W3C推薦網頁標準

全球資訊網路聯盟（World Wide Web Consortium，W3C）宣布三項WebAssembly規範已經成為網頁標準，分別是WebAssembly核心規範、網頁API以及JavaScript介面。

W3C專案負責人提到，機器學習與人工智慧應用越來越普遍，因此網頁平臺能夠支援高效能應用程式很重要，而WebAssembly利用開放網頁平臺技術，擴展了網頁應用程式的種類。

WebAssembly核心規範定義了一個低階的虛擬機器，模擬了許多微處理器的功能，透過JIT（Just-In-Time）編譯和直譯，WebAssembly引擎可用幾乎與原生平臺編譯程式碼相同的速度執行程式。而以WebAssembly格式儲存程式碼的.wasm檔案，類似Java的.class檔案，其包含了靜態資料和操作靜態資料的程式碼區塊，但與Java不同的是，WebAssembly通常是由其他程式語言，像是C/C++或Rust編譯而成。更多內容

注意！.NET Core 2.2即將中止支援

微軟公告.NET Core 2.2將在2019年12月23日停止支援，建議開發者立即計畫升級到長期支援版本.NET Core 3.1。

微軟解釋，.NET Core 2.2是2018年12月釋出的非長期支援版本，只支援到下一個版本.NET Core 3.0釋出後的三個月，也就是今年12月23日，之後微軟將不為.NET Core 2.2提供容器映像檔的更新套件。

微軟建議.NET Core 2.2升級的下一個版本為.NET Core 3.1，微軟提到，.NET Core 3.1為長期支援版本，開發者可以直覺地進行升級。更多內容

AWS公布雲端防資料外洩、防詐欺工具

圖片來源_AWS

AWS公開4項安全及隱私工具，包括之前傳聞許久的Amazon Detective，可在企業雲端環境發生駭客或惡意程式入侵等安全事件時，自動蒐集AWS環境中所有log資料，並以機器學習、統計分析和圖論（graph theory）建立起資料關聯，加速調查作業的進行。

另一項工具是Amazon 詐欺偵測（Fraud Detection）。AWS是結合Amazon.com 20年防範詐欺交易的經驗、AWS專家及機器學習的全代管服務，協助零售業辨識可能的線上詐欺活動，像是支付詐騙或假帳號。更多內容

IDC預測2020台灣科技趨勢：企業若不擁抱K8s，將被多雲環境淘汰

市場調查機構IDC發布2020年臺灣ICT市場10大趨勢預測，指出混合/多雲架構為企業創新的關鍵，是2020年第三大趨勢。根據調查，2019年全球8成企業採用混合或多雲的環境，臺灣則僅有4成6企業採用，且多處於試行階段。IDC歸納企業部署混合/多雲環境遭遇多項挑戰，其中，最大的挑戰就屬相容性，另外，還面臨人才、資安和工作負載調度等挑戰。

IDC表示，容器與K8s可因應這些挑戰。容器與K8s平臺具平臺擴充性，還具高可用性管理介面，以即可自動化平衡負載，近期，不僅公有雲業者一一投入K8s的行列，連硬體供應商像是英特爾、Nvidia等，還有商業軟體也開始支援K8s。IDC指出，K8s成為多雲平臺的共通標準，預期多雲以K8s作為主軸。

目前，臺灣已經有金融、電信和電商業者部署K8s環境。IDC表示，企業若不投入K8s，會被多雲環境淘汰，預測至2022年，全球4成5企業會將應用程式部署在容器化的多雲環境，臺灣企業則7成4部署混合/多雲環境。更多內容

AWS推出自家程式碼導師CodeGuru

圖片來源_AWS

繼微軟之後，AWS應用機器學習技術也推出程式碼導師服務CodeGuru，用來自動審查程式碼，其包含可靜態分析程式碼的Reviewer，以及動態分析程式的Profiler，可找出用戶程式碼中最耗費資源的部分，並提供最佳寫法的建議。

CodeGuru由Reviewer和Profiler兩部分組成，CodeGuru Reviewer是以規則探勘和監督式機器學習模型訓練而成，模型結合了邏輯回歸和神經網路，可用來偵測AWS API和SDK的使用，與最佳實作的差異，標記可能產生問題的寫法，像是批次操作的錯誤處理或是執行緒不安全的類別等。Reviewer會尋找程式碼變更，並且同時探勘文件資料進行交互參照，在審查程式碼時，產生新的模型，為用戶程式碼提供最佳實作的建議。更多內容

臺灣物聯網資安標章發展上軌道，已有9家業者的22款產品取得資安標準合格證書

為了強化臺灣產品在國際上的競爭力，近年政府帶頭推動資安檢測認證標準，自2018年6月開始，經濟部與國家通訊傳播委員會（NCC）共同發布了物聯網設備資安驗證標章制度，期望帶動臺灣產品資安水準。在這項計畫執行一年半後，在12月6日舉辦的物聯網資安標章成果發表會上，相關單位公布了最新的進展。在物聯網資安認可實驗室方面，已經從去年底的4家增至8家，而取得標章合格的產品，也從原本單一業者的2款產品，增至9家業者22款產品。

從多家業者陸續響應的態勢來看，顯然這項資安標準正開始步上發展軌道。更重要的是，自今年12月開始，其中的網路攝影機資安產業標準，已發布成為國家標準（CNS 16120），而未來也將促成國際標準相互認證。更多內容

微軟強制Windows 10 1809升級到1909版

圖片來源_微軟

正式釋出Windows 10 1909更新一個月後，微軟於12月宣布將啟動自動升級，強制1809版家用及專業版用戶升級，因為微軟半年後就不支援這些版本了。更多內容

行政院5G專網頻譜規劃出爐

國內5G的第一波釋照即將在12月10日展開競標，對於是否釋出頻譜供5G專網使用引發的爭議，行政院終於拍板定案，確定將跟進日本、德國、美國等腳步釋出5G專網頻譜，預計在2021年到2022年間釋照。在此之前，即日起開放外界申請企業專網，進行場域實驗，供未來申請5G專網的評估。更多內容

PaaS服務供應商Atlassian宣布推出應用程式開發平臺Forge，可讓開發人員簡單地在雲端應用程式整合Atlassian的產品，平臺有三個主要元件，包括無伺服器函式即服務（Functions-as-a-Service，FaaS）託管平臺、宣告式UI語言Forge UI以及Forge命令列工具。

Atlassian提到，Atlassian生態系社群擁有超過25,000名的開發者，包括為團隊建置自定義應用程式的內部開發人員，以及在Atlassian市集發布應用程式的第三方開發人員。而為了更好地支援開發生態系發展，Atlassian發布了雲端開發平臺Forge，讓開發者可以更簡單地建置和執行整合Atlassian服務的雲端應用程式。

Forge由三個元件組成，第一個是無伺服器FaaS託管平臺，開發人員可以在應用程式加入Atlassian營運的計算與儲存功能。該平臺採用AWS的無伺服器函式服務Lambda，官方也提到，Forge無伺服器FaaS模型，可以讓開發人員只撰寫單個函式，而非一定要建置整個網頁應用程式，減少需要撰寫程式碼的數量，不用擔心程式碼執行的地方，FaaS託管平臺也可讓開發人員，簡單處理身份驗證和擴展等常見問題。

Forge第二個元件則是聲明性UI語言Forge UI，開發人員只需要撰寫幾行程式碼就可以在網頁和其他裝置上，建置互動式用戶體驗。 Forge UI讓開發人員以聲明性的方法建置UI介面，其預設內建的應用程式安全性配置，可以保護個人資料隱私與安全性，透過抽象化渲染的方法，Forge可以確保應用程式安全地呈現與傳輸資料，而且Forge UI還可以讓開發者建置一次，就可以在網頁和行動裝置上執行，為終端使用者提供一致的產品體驗。

第三個元件則是Forge命令列工具，開發者可以用來管理Forge應用程式，Atlassian也正持續改進工具功能，提供直覺的指令以及易於使用的模板，而Forge的DevOps工具鏈可用在應用程式創建、測試和部署等程序，Forge整合Bitbucket Pipelines支援應用程式持續交付。

Forge的目的是要消除建置應用程式過程的複雜工作，解決實際遇到的開發問題，官方提到，建置、託管和營運雲端應用程式，需要許多雲端基礎架構和管理的專業知識，Forge可以減輕開發人員所面對的負擔。

Google發布了Fairness Indicators工具，可針對二元和多類別分類（Classification）進行運算與視覺化，幫助機器學習開發團隊，評估與修正模型所存在的偏差。

產業界與學術界大量地使用機器學習技術解決問題，但是機器學習演算法和資料集，可能同時反映且強化了偏差。Google提到，偏差有可能出現在機器學習工作管線的任何部分，從資料集到模型的表示，甚至是將結果呈現給終端使用者的方式都不例外。

而為了檢測機器學習存在的偏差，針對單一用戶或是用戶群的評估非常重要，Google強調，因為總體指標可以掩蓋某些群組不良的狀況，這些群組包括敏感的特徵群體，像是種族、性別、國籍、收入、性傾向、能力和宗教信仰。

Google的人工智慧原則其中一項，是要避免造成或是加強不公平的偏見，他們也持續在這領域耕耘，現在並於TensorFlow World大會發布了Fairness Indicators工具。Fairness Indicators可運算並視覺化像是誤報率等常用的分類模型公平性指標，還能計算信賴區間，以多個閾值進行評估。在使用者介面上，使用者可以切換基準群組並調查不同指標的效能，也可為自己的使用案例，增加自定義的視覺化指標。

Fairness Indicators可以用來產生透明性報告指標，以幫助開發人員更負責地調校模型，Google表示，公平性的顧慮與評估會因為案例而不同，因此Fairness Indicators工具還包含了一個互動式研究案例，提供Jigsaw毒性資料產生的意外偏差，說明使用Fairness Indicators檢測和修補機器學習模型偏差的方法。

Google提到，光靠指標與測量並無法讓機器學習模型實現完全的公平，這些方法僅是辨識與解決偏差的其中一環。

到底要怎麼透過現在流行的CTF（搶旗攻防賽），吸引更多對資安有興趣的資安人才呢？DEF CON CTF主辦單位O.O.O.（Order of the Overflow）主辦者，也同時是美國亞歷桑納州立大學資工系教授Yan Shoshitaishvili（網路暱稱Zardus）於日前參加HITCON CTF論壇時，他正式對外公開PWN Collage的開源課程，這是他用來培養美國對資安有興趣入門基礎課程，透過開源方式釋出，希望可以作為全世界培育資安人才的入門教材。

而臺灣從2014年開始的「跨校資安實務課程」，參與的學校包括臺大、交大和臺科大，負責相關課程規畫的老師，臺大資工系副教授蕭旭君、交大資工系教授黃俊穎、臺科大資工系副教授鄭欣明都認為，可以引進PWN Collage開源課程，作為培訓資安人才的教材。

CTF是吸引資安人才入門的管道之一

Yan Shoshitaishvili本身也曾經擔任美國聖塔芭芭拉CTF戰隊多年的隊長，先前也曾經多次來臺在HITCON發表演說。這一次，則是他任教美國亞歷桑納州立大學，並組成O.O.O.團隊承辦DEF CON CTF比賽後，再度來臺參加HITCON CTF活動。

面對外界質疑到底CTF是否是一個好的培育資安人才的入門管道呢？Yan Shoshitaishvili表示，CTF的確不是最好的資安入門方式，但CTF容易吸引學生的注意力；而相較常見的Wargame，容易恍神、不專注，CTF有其吸引人的優點。

他也說，以美國各個大學組成的CTF戰隊而言，通常都是需要對資安有經驗的專業人才，必須要招募具有即戰力的成員，而且各個CTF隊伍，都需要持續有新血投入。但他在任教時則發現，如何創造一個CTF隊伍，確保有源源不絕得資安和CTF新血投入，其實是更重要的事情。

打造開源PWN Collage，作為資安入門課程教材

因此，Yan Shoshitaishvili有一個全新的想法，希望將打CTF需要的各種能力分類分級，每一種類別和能力規畫成一個基本課程，在亞歷桑納州立大學開了一門ASU CSE 466：Computer System Security的課程，也稱之為「PWN Collage」，課程內容將打CTF具備的各種基本能力，仿效電影「小子難纏」練空手道一樣，區分成四種程度：白帶就是入門級的程度，黃帶則是一般資安人才需要的基本能力，棕帶則是具有進階CTF攻擊破解能力，黑帶則是頂級的CTF人才。

PWN Collage仿效電影「小子難纏」的空手道分級制度，分成白帶、黃帶、棕帶和黑帶等四個層級，CTF選手至少需要具備棕帶和黑帶的能力才行。

在經過一個學期逐步的調整，他將整個PWN Collage課程分成九個模組，包括二進位和逆向工程等課程，都有漸進的學習曲線，每一個課程都有不同程度的大量關卡，以寫Shellcode為例，每一個階層都會比上一個階層關卡更難一點，通過這樣的關卡挑戰，都可以慢慢增進自己的程度能力。

Yan Shoshitaishvili也說，像在學習Binary二進位法時，課程的內容除了有上課的演講，參考書目，還有PWN Collage中大量的闖關關卡，其中的關卡模組內容包括：SUID abuse in Linux（SUID在Linux作業系統的權限誤用）；Shellcoding；Sandboxing（沙箱）；逆向工程（包含Keygens和Crackmes）；Simple Memory Corruption（記憶體崩潰）：包含Buffer Overflow（緩衝區溢位）；NX and Return Oriented Programming；Format String Attacks（格式化字串攻擊）；Heap Exploitation；以及Kernel Security（作業系統核心安全）。

他說，這個課程上這門課沒有任何考試，CTF闖關就是成績，從開始授課以來，學生最常遇到的問題就是「時間不夠」，每週要花十小時到四十小時學習，這門課也被稱之為「亞歷桑納州立大學最難的一門課。」。為了避免不必要的誤解，他也解釋，這個PWN Collage模組並沒有網路連線，只能在自己的內部環境闖關，就不會不小心攻擊到別人。

因為這是給資安初學者的入門學習課程，每個學生在Github也有自己的模組，Yan Shoshitaishvili希望透過這樣的入門學習課程，把學生的資安能力從入門的白帶提升到進階的黃帶階段。

目前，PWN Collage只有三十臺機器，建置在Container的平臺上，未來會持續升級，這個開源專案用在教育是可以授權免費使用，但如果有企業有興趣用來作內部的資安基礎訓練課程，則可以有企業授權方案使用。

PWN Collage目前釋出Beta版，教育授權免費，企業可以付授權費使用。

在臺灣舉辦的HITCON CTF（搶旗攻防賽）決賽，由來自10個國家、加上Balsn CTF決賽冠軍以及趨勢科技CTF決賽冠軍，總計14個隊伍一起參賽，經歷兩天激烈的競爭，最終結果出爐。

在2019 DEF CON CTF獲得季軍的中國隊Tea Deliverers，則首度拿到HITCON CTF冠軍；亞軍則是俄羅斯隊LC↯BC，這也是他們第三次拿到HITCON CTF亞軍；至於第三名則是日本隊TokyoWesterns ，多次參賽，今年則是第一次拿到前三名的好成績。

由於HITCON CTF決賽也獲選為2020 DEF CON CTF的種子賽事之一，獲得冠軍的中國隊Tea Deliverers，則直接獲得晉級2020 DEF CON CTF決賽的資格。

HITCON CTF創意無限，以Capture The Fortune為題

由臺灣CTF戰隊負責系統維運和出題的HITCON CTF戰隊，今年再度展現絕妙創意，而負責主辦美國DEF CON CTF的主辦單位O.O.O.（Order of the Overflow）主辦者Zardus，則稱讚HITCON CTF戰隊創意無限，甚至讚許說，想說要把整個比賽場景，重現在DEF CON CTF的比賽現場。

HITCON CTF繼2017年以「Capture The Food」，以臺灣美食贏得每一個參加HITCON CTF決賽隊伍的心和胃之外，今年則以「Capture The Fortune」為題，由駭客教你避險與投機，不只是比賽現場則模擬美國華爾街期貨交易的場景，每一個隊伍面前，也有一個小型ATM樣式的計分版，藉此展示各隊戰況與成績。

更特別的是，為了符合「Capture The Fortune」的概念，HITCON CTF戰隊出題時，更首度將股票交易的概念融入在CTF的比賽題目中，所有的參賽隊伍都可以操作原先給各隊的積分作為股票操作的資金，分數占比占整體分數一成左右。HITCON CTF戰隊成員Dada表示，甚至有來自德國和奧地利的HXP團隊，擅於股票操作，甚至把本金翻了12倍。

包括出題系統、計分版等系統全新改版

這一次對於HITCON CTF戰隊成員而言，則是挑戰個人極限的一年，負責整個出題系統、計分版及UI介面的成員Lays，因為過往系統太過疊床架屋，加上每一次出題時，各隊攻擊都可能造成系統的過載當機，所以，今年整個系統和UI重新撰寫程式、進行改版。

另外，負責管理主辦方和參賽隊伍總計75臺機器的管理系統，也由HITCON CTF戰隊成員AD Dog，重新寫一套管理系統，確保每一題出題題目的系統穩定性；HITCON CTF戰隊成員Jeffxx則說，為了確保其他諸如各種網路基礎設定和題目的測試等等，直到12月14日正式比賽當天的清晨五點，戰隊成員們都還在比賽現場做最後的檢視與調整，深怕正式比賽一開始，各隊攻擊流量會造成出題的系統當機。

HITCON CTF首度將股票買賣納入題型中

這次HITCON CTF以Capture The Fortune為大會主題，也在原本設計的五個題目中，額外出了一題股票買賣的題目，臺灣隊伍Balsifox成員尤理衡也稱讚題目有創意，對於缺乏股票交易經驗的學生隊伍而言，也很好奇其他隊伍如何在高賣低買的過程中，獲得好成績。

此次題目大致分成五種服務類型，純PWN的Bounty Program，出題者Angelboy則維持一貫題型雖然精簡，但卻具有深度的風格，整場只有美國隊PPP找到該題的漏洞，並藉此橫掃全場得分。

HITCON FTP的題目，出題者HITCON CTF戰隊成員Dada表示，這一個檔案傳輸服務使用TFTP通訊協定，他是先寫好一個完整的檔案傳輸服務後，才在系統中埋下各種可以利用的漏洞。由於DEF CON CTF經常會有需要大量進行逆向工程的題組，Dada說：「這是一個向DEF CON CTF致敬的題目。」這一題由美國隊PPP取得First Blood（第一滴血），並在隱藏的六個漏洞中，順利找出三個漏洞積極得分。

其他題目還包括Blackjack、Noobieweb以及Stupid Robot等題型。其中，獲得冠軍的Tea Deliverers成員劉保證則表示，該隊可以奪冠的原因，可能是因為順利寫出Stupid Robot的攻擊程式，並且混淆攻擊流量，不易讓其他隊伍察覺，才有可能獲得這麼好的成績。

HITCON CTF戰隊領隊李倫銓表示，這幾年舉辦的HITCON CTF決賽都獲得參賽隊伍一致好評，只要有入圍前十名的隊伍，都搶著要來臺灣參加比賽。他說，外界或許很難想像，HITCON僅僅是一個虛擬團隊，「要珍惜這個品牌，也許明年就沒有了。」他說。

獲得HITCON CTF決賽亞軍的是俄羅斯隊LC↯BC，這也是他們第三次拿到HITCON CTF亞軍。

來自日本的TokyoWesterns首次在HITCON CTF決賽中，獲得第三名的好成績。

臉書又鬧出資料隱私爭議，不過這次危及的不是用戶。臉書傳出數個存有約2.9萬名美國員工銀行及身份資料的硬碟，上個月從一名員工車內被竊走。

彭博上周五報導，一名薪資管理部門的員工車子在11月17日遭竊賊闖入，偷走車內一些設備，包括幾個載有2018年在職員工資料的未加密硬碟。這些硬碟的資料包含員工銀行帳號、員工姓名、社會安全號末四碼、薪資、紅利及股票資訊。臉書周五一早已以電子郵件告知員工。

根據報導，臉書是在事件發生後12天，即11月29日才確認硬碟上的資料內容，並在將近一個月後告知。臉書員工已經報警，但尚未尋獲硬碟。

臉書表示沒有證據顯示資料有被濫用，臉書相信這件事只是一件搶案，歹徒只會把硬碟拿去賣，而不會竊取其中的資訊。不過臉書仍提供員工兩年的資料被竊保護服務。

這件事再度暴露臉書對資料保存警戒心之低，雖然這批資料並非用戶資料。這名員工怎麼會將如此敏感的資料帶出公司，而且存在未加密的硬碟中，還放在車內離去，也是令人不解之處。臉書並表示會對此事「採取適當行為」。

Amazon、Linux基金會和5家網路業者上周宣佈邊緣網路交換器作業系統專案DENT，可能衝擊開發專屬作業系統的網路晶片及設備業者。

DENT希望集結網路設備製造商，系統整合商及晶片廠商，為分散式廠區、遠端辦公室、分公司及零售業開發解構式網路交換器（disaggregated network switch）的標準化作業系統。這項專案的首批成員包括Amazon、Cumulus Networks、Delta Electronics、Marvell、Mellanox、Wistron NeWeb （WNC）。

Linux 基金會指出，現今網路設備多半是為不同市場和不同應用情境，像是電信、雲端或企業資料中心等客製化打造出不同類型的產品。這些產品都使用專用的ASIC晶片作為封包處理，或以封閉式作業系統執行網路負載和應用。近年企業資料中心和電信交換機業，逐漸接受開放硬體的解構式（Disaggregation）交換機。但是像分散廠區、遠端辦公室使用的企業邊緣網路（Edge Network）設備則尚無以享受解構效益，原因是這些網路設備有非常明確而分化的需求，傳統公有雲市場無力或不願滿足。

Linux 基金會指出，遠端辦公室、廠商和零售業等需要低成本的Linux作業系統，DENT即是針對這些設備而設計。DENT是在Linux 核心、Switchdev（核心內的交換器驅動程式模型）和其他Linux現有專案基礎上發展而成，簡化抽象化、API、驅動程式等其他交換器和開放軟體現有的作業，使開發人員不必再操心不同的網路ASIC或晶片。解構式Linux/SwitchDev為基礎作業系統有助於開發標準化交換器，配合5G、IoT、AI等技術，讓遠端辦公室、零售商和企業發展出各種貼近用戶的服務。

過去是由網路晶片如博通，或交換器廠商如思科開發的專用交換器作業系統，這項開源專案可能將衝擊這類業者。

Amazon將率先貢獻初期的程式碼。而這也是Amazon雲端大業從資料中心再向邊緣網路拓展。前二周這家雲端大廠在re:Invent大會上也公佈了二項邊緣運算方案。AWS本地區域功能（AWS Local Zones）將運算、儲存、資料庫和其他服務放置在更靠近人口密集和 IT 中心處，AWS Wavelength則讓AWS 運算和儲存服務內嵌到電信商 5G 網路邊緣的資料中心內，兩者都可讓客戶的應用遞送延遲時間壓低到 10 毫秒以下。

臉書也曾在2004年和微軟、英特爾、博通等合推FBOSS （Facebook Open Switching System）解構式交換器專案，其中也包含了這次的Mellanox和Cumulus Networks。

Mozilla近日要求Firefox外掛程式開發商帳號，需在2020年初啟用雙因素驗證（two-factor authentication，2FA）以確保不被駭客在其程式中動手腳。

Firefox外掛專用入口網站AMO（addons.mozilla.org）整合Firefox 帳號，後者可讓開發商管理多個Mozilla網站服務，2FA可為帳號提供多一道防護以避免有心人士存取。從明年初開始，外掛程式開發商將被主動要求AMO皆需啟用2FA，防止惡意程式作者在合法外掛程式入注入程式碼，危及終端用戶。

在政策正式上路前，Mozilla表示和Firefox帳號團隊合作讓2FA啟用更順暢，但在上路後，開發人員要修改其程式時都會被要求啟用2FA。當然現在就可以啟用了。利用AMO網站上傳API的開發商則不需強制啟用2FA。

Mozilla提醒開發商，一旦完成啟用後，應將回復碼下載或列印儲存在安全之處。這是因應開發商遺失2FA硬體無法登入帳號時重新登入之用。要是輸入的回復碼錯誤，可能導致永遠無法再登入帳號及AMO上的外掛程式。

瀏覽器外掛已經成安全一大漏洞。其中又以市佔率最大的Chrome的開發商為主要對象。去年有研究人員發現專門針對Chrome開發商的網釣攻擊，以便取得他們Chrome Web Store的存取帳密。今年9月才有一些冒充Adblock及uBlock等的惡意Chrome外掛被揭露，對超過300個網站進行廣告詐欺。

經年累月下來，系統通常會顯得老態，具體症狀是 1. 一個貌似非常簡單的功能，開發團隊居然要花很多時間才能把這功能加入系統 2. 辦理促銷活動前，技術人員如臨大敵，尤其是維運團隊。只要有上述這兩個跡象，你基本可以判定，系統需要進廠大修了。這篇文章概略描述大規模系統重構的方法。

別急，想做大規模重構，你還必須先評估兩件事：1. 重構或不重構 2. 開發能力是否足夠。

你必須先評估系統重構所需要的時間是否太長、需要的資源是否太多、對長期的效益是否值得、以及整體風險是否可控。如果不做系統重構，還有沒有其他選擇？例如升級硬體設備、採購新系統、自行開發新系統，同樣評估這些可能選項的時間、資源、效益、風險，才做決定。

在評估重構或不重構的同時，也必須對系統狀態做全面的匯總，尤其是：每一個系統的目標、功能、介面、關聯系統。全面的匯總資訊除了有助於評估重構或不重構，也有助於在決定重構後選擇適合的重構目標。

重構也是一種開發，但這種開發比單純的開發通常更困難，所以你必須評估現階段團隊的開發能力是否流暢。如果你的團隊在單純做開發時就已經搞得磕磕絆絆，那麼還去做重構，無疑會人仰馬翻，這時候，你需要的不是去重構，而是去提升開發流程、熟悉開發語言和框架、凝聚團隊的向心力。也就是說，先「整軍經武」。

如果上述這兩點都明確了，就可以進入「重構循環」，這是一個四階段持續輪迴迭代的過程：第一階段是「選擇目標」，第二階段是「規劃建模」，第三階段是「開發測試」，第四階段是「回顧總結」。第四階段後，回到第一階段，進入下一個循環。一個循環的長度最好控制在一個月到一個季度之間，因為短於一個月做不了有意義的事，而超出一個季度容易失控。

目標的選擇，主要受到三個因素的影響：團隊成員在重構方法的熟悉程度、主管（或業務方）的支持程度、客戶的感受。如果團隊成員對重構方法比較陌生，那麼可選擇比較簡單、風險比較低的目標，例如API介面的重構。這時候真正的目標是：培養做事的方法和團隊的默契。如果主管的支持程度比較低，且團隊已經有方法和默契，可以選擇他關心的問題作為重構的目標，來得到他的支持。如果明確知道有哪些地方重構後，可以提升客戶的感受，也可以選為目標，客戶的讚揚，會輾轉化為主管的支持。

另外，打破系統之間的循環依賴，這也是非常值得做的重構目標，對長期體質的調養是有好處的。如何做到這件事，需要另寫專文。

第二階段是規劃建模，把現在的系統現況分析清楚，對未來的目標建模，接下來設計如何分工完成。規劃建模的部分包括邏輯重構、介面隔離、資料搬遷的具體方法。

第三階段是開發測試，把前面的規劃付諸實現。測試是關鍵，採用灰度發布是有必要的，也就是說，讓新舊同時並行一段時間，比對驗證，逐步切換，以避免不可挽回的錯誤。

最後的階段是回顧總結。每個循環的過程產生的經驗，要保留下來，擴散出去。問題提出來討論，大家一起發想。這是提升個人能力和團隊實力的時刻，千萬不要放棄了這絕佳的機會。還可以把一些經驗教訓變成流程的一部分，甚至累積出一套一套好用的模式、工具庫、框架。

你在變老，系統在變老，團隊在變老，公司也在變老。透過良好的重構，你在回春，系統在回春，團隊在回春，公司也在回春。但回春需要正確的方法，就怕採用的方法錯誤，導致崩壞加速

印度在上周通過了《公民法案修正版》（Citizenship Amendment Bill，CAB），而引起民眾的強烈抗議，為了鎮壓這些抗議活動，印度政府直接關閉了阿薩姆邦（Assam）、特里普拉邦（Tripura）、梅加拉亞邦（Meghalaya）與阿魯納恰爾邦（Arunachal Pradesh）等地區的網路服務，這並非是印度第一次為了控制人民的示威活動而阻斷網路，且印度早被封為「全球網路關閉之王」。

CAB法案主要是讓因宗教迫害，而從周邊國家逃難至印度的民眾可成為印度公民，不管是印度教徒、錫克教徒、佛教徒、耆那教徒、祅教徒或基督徒都被列入該法案，卻單獨排除了穆斯林。印度人民的抗議來自兩方面，一是住在邊境的民眾擔心大量湧入的移民會破壞當地的文化、教育與生活，二是認為排除穆斯林有違印度的世俗憲法（Secular Constitution），並將穆斯林邊緣化。

由於民眾的抗議活動愈趨暴力，使得印度政府直接關閉了特定區域的網路，避免民眾透過社交網路散布訊息而加劇衝突，有些地方連簡訊都無法使用。

根據外電報導，印度政府原本僅關閉阿薩姆邦及梅加拉亞邦的網路，後來擴大到四個邦，而且也可能蔓延到其它邦，同時，印度政府並未訂定恢復網路服務的時間。

致力於推動開放網路之人權及公共政策的非營利組織Access Now，曾在今年7月公布一項統計，指出在2018年時，全球總計發生196起各國政府關閉網路的案件，這些案例發生在25個國家，大多位於亞洲及非洲，其中，光是印度就占了134起，居次的是巴基斯坦的12起，葉門與伊拉克則各占7起。

Access Now表示，政府關閉網路多半是以國家安全、公共安全、假新聞及仇恨言論為由，但實際原因卻通常是為了政治的不穩定、人民的抗議、社群暴力、選舉、資訊控制，也有些只是為了避免學生考試作弊，例如伊拉克與衣索匹亞。

Access Now的數據也顯示，各國政府愈來愈常透過關閉網路來抑制人們的通訊能力，2016年時全球只出現75起，2017年增加到106起，到了去年已達196起。

一名Reddit用戶日前透露，當他要利用Falkon及Konqueror等Linux瀏覽器登入Google帳號時，Google宣稱這些瀏覽器可能危及帳號安全而拒絕他登入，隨後還有其他用戶回應，Google同樣也拒絕了Qutebrowser瀏覽器。

其中的Falkon為一開源碼瀏覽器，並在今年成為Linux版本openMandriva的預設瀏覽器，而Konqueror則是KDE的預設瀏覽器，同時支援Linux、Windows與macOS的Qutebrowser則包含在Fedora與Arch Linux等Linux版本中。

BleepingComputer的測試則顯示，他們的確無法使用Falkon與Konqueror登入Google，然而，還是有上述瀏覽器的用戶成功登入了Google，使得外界猜測這可能是Google在實驗某些功能，或者是剛開始部署某些限制。

在拒絕特定瀏覽器用戶的登入之後，Google將使用者導至說明網站，指出會遭到拒絕的原因包括相關瀏覽器不支援或關閉JavaScript，使用不安全或未被支援的擴充程式，採用自動化測試框架，或者是被嵌在不同的應用程式中，並建議使用者改用Google所支援的瀏覽器。

Google僅列出少數幾個支援的瀏覽器，包括Chrome、Safari、Firefox、Opera、IE及Edge，只不過，以往其它Linux瀏覽器都能順利登入Google並使用Google服務。

迄今Google尚未公開回應此事。

蘋果在上周釋出了iOS 13.3，加強了家長控制功能，當中有一項新的「通訊限制」（Communication Limits）功能，可限制兒童只能與通訊錄上的對象通話，不過，幾天後就被發現該限制很輕易就能被繞過。

「通訊限制」功能既禁止兒童與通訊錄以外的對象對話，也禁止兒童自行增加通訊錄中的聯絡人，若要新增聯絡人必須輸入家長的PIN碼。

不過，測試了該功能的CNBC指出，假設家長沒有把手機上的通訊錄與iCloud同步，而是與Gmail或其它第三方服務同步，那麼兒童不只可以收到陌生簡訊，還可將該簡訊的傳送者加進通訊錄，然後與對方傳訊、通話或FaceTime。

除了這個臭蟲之外，CNBC還發現了同一功能的另一個臭蟲，那是當啟用此一功能的iPhone與Apple Watch配對之後，兒童可以透過Apple Watch的Siri撥打或傳訊給任何號碼，不管該號碼是否在手機的通訊錄上。

目前的暫時補救方案是家長得強制讓通訊錄與iCloud同步。蘋果則說，此一問題只出現在採用非標準配置的裝置上，該公司正在著手解決該臭蟲並在下一次更新iOS時修補。

在Chromium的臭蟲討論區有多位開發者回報，Android上的Chrome更新到79（79.0.3945.79）版本的時候，本機儲存（Localstorage）與WebSQL都被意外地清空，應用程式將遺失舊有資料。這對於許多Chrome上的應用程式造成很大的影響，使用者在收到Chrome 79更新之後，造成使用者資料被移除，不少開發者要求官方立刻停止推送有問題的Chrome 79，否則越多使用者更新，則會有越多的使用者資料遺失。

另有一位使用者補充說明，所有的資料都仍然保留在檔案系統中，只是在Chrome 79無法被找到。重現這個問題的方法，只要在Chrome 78以下版本透過本機儲存增加資料，而後更新到Chrome 79，啟動Chrome 79並透過本機儲存提取資料，便會發現資料遺失。

Chrome開發團隊則回應，新版本已經推送給50％的使用者，而且即便修復這個問題，仍會造成破壞性的影響，雖然Chrome可以增加程式碼來檢查被遺忘的檔案並且進行移動，但這個動作勢必會覆蓋新位置的資料，而且將本地儲存資料庫合併也不是一個可行的解法，因為同一網站已經設置了兩個副本的資料，合併不可避免地會導致資料遺失。

因此開發團隊在討論串中，提供兩個方案讓開發者選擇，第一是移除Chrome 79之後的資料，並且回復到Chrome 78的狀態，另一個選擇則是移除Chrome 78以前的資料，從Chrome 79從頭開始。絕大多數開發者都要求第一個選擇，但要留存舊資料又有兩條路，繼續Chrome 79的資料搬遷，但是將舊檔案移動到新的位置，或是透過將要搬遷的檔案移動到舊位置恢復更改。

目前更新已經釋出，最終的決定是將儲存的資料搬遷回原始的位置，官方解釋，造成本機儲存和資料庫遺失的原因，是因為這些檔案沒有跟著儲存根路徑變更而搬移。目前有問題的Android Chrome 79已經對一半的用戶釋出，部分用戶已經重新創建了資料，而更新後的Chrome 79會將新資料儲存在預設的子目錄中，並且重新使用Chrome 78的版本，官方提到，這樣的修補方式，對於大部分應用程式來說沒問題，但對少部分案例仍然需要新資料，可以到預設的子目錄取用。對於之前尚未更新Chrome 79的用戶，不會有任何影響。

這是個嚴重的臭蟲，被標記成P0等級，不乏擁有百萬使用者的應用程式受到影響，有部分開發者提到，這個事件的發生代表Chrome的QA失靈，由於多數應用程式都使用資料儲存，開發團隊應該要對重要的本機儲存和WebSQL進行測試。

Cloudflare發布了新兩個服務，在邊緣網路執行的獨立運作的監控服務，可以檢查伺服器的狀態，並適時的通知用戶，而且還有被動來源監控，用戶不須要進行額外配置，就能知道來源伺服器可存取與否，另外一個服務則提供零停機故障轉移，能自動重新發送請求給可用的來源伺服器，以避免故障發生。

Cloudflare新推出的獨立運作狀況檢查服務，可以在來源伺服器發生問題的時候，立即通知使用者，而且整個服務的運作，不需要使用Cloudflare的負載平衡器。運作狀況檢查服務在邊緣網路上運作，可以檢查用戶的來源伺服器是否持續在線上，Cloudflare提到，運作狀況檢查是負載平衡器的重要功能，因為要掌握伺服器的健康狀況，才能夠快速地將流量路由到正在運作，且能夠處理請求的來源伺服器。

但由於有一些來源伺服器不需要在整個基礎設施中平衡流量，這時獨立運作狀況檢查服務便能派上用場。新服務提供了多個維度的資訊，包括回應代碼、協定類型和時間間隔等， 讓用戶能夠精確地按照需求進行監控。當來源伺服器執行多個服務，用戶還可以指定特定的路徑。

獨立運作狀況檢查服務提供了分析功能，用戶能夠直覺地查看特定監控的變更事件，或是找出表現不佳與故障的來源伺服器，並進行修復，Cloudflare提到，他們即將讓用戶能夠存取原始事件，以提供更詳細的日誌紀錄。

獨立運作狀況檢查服務需要一些基本的配置，而Cloudflare現在還提供了完全免配置的來源伺服器被動監控服務，這項服務範圍涵蓋所有的Cloudflare用戶，當Cloudflare發現用戶的來源伺服器停止運作時，便會在數分鐘內發送電子郵件通知用戶。

Cloudflare新的零停機故障轉移服務，可以自動重新發送請求給來源伺服器，以避免錯誤發生，Cloudflare舉例，當網站example.com有兩網頁伺服器IP位置203.0.113.1和203.0.113.2，過去當203.0.113.1不可用，Cloudflare在重試之後，便會顯示錯誤頁面，而在採用零停機故障轉移服務後，當請求無法發送給203.0.113.1，則Cloudflare的代理會自動將請求發送給203.0.113.2，交由第二臺伺服器回應，以繼續向用戶提供正確的服務。

Cloudflare應用零停機故障轉移服務，每天轉移數千萬的請求，官方的實驗資料顯示，當網站啟用轉移服務之後，整體可用性從99.53％提高到了99.98％（下圖），共避免140,000個HTTP請求錯誤。而這項服務為Cloudflare的預設機制，用戶也不需要事先進行任何配置與操作。