Quantcast
Channel: iThome
Viewing all 32124 articles
Browse latest View live

Mozilla在臺團隊重新定位,聚焦新興市場產品開發

$
0
0

2011年首次來臺設立辦公室的Mozilla,過去因負責開發行動作業系統Firefox OS,一度成為Mozilla全球研發重鎮之一,隨著後來Mozilla退出行動作業系統市場,臺灣團隊也歷經調整,目前定位為新興市場創新中心,負責全球新興市場產品開發工作。

臺灣團隊在Firefox OS時期,員工規模一度超過150人,為全球規模最大的辦公室,但在Android、iOS兩大平臺分佔市場下,Mozilla決定退出Firefox OS市場,釋出的人力改投入Firefox瀏覽器維護工作,前年Mozilla也調整臺灣團隊規模,縮減人力超過50%,目前只剩下40人左右,並重新聚焦在新興市場產品開發。

負責新興市場的Mozilla副總裁,並且兼任臺灣分公司總經理的梁永光表示,2020年將是Mozilla臺灣辦公室的創新元年,將會聚焦在倡導網路健康、人才開發、新興市場產品開發三大策略。臺灣在軟體工程、視覺設計擁有優秀的人才,Mozilla今年將招募新人才,今年上半年增加15%的人力,以投入新興市場產品開發工作。

2018年Mozilla針對印尼市場推出的Firefox Lite就是臺灣團隊所開發的輕量版的行動瀏覽器,Firefox Lite去年進入臺灣,目前已在香港、馬來西亞、寮國、緬甸、越南、印度等30個國家地區推出,累積下載次數達到400萬次。目前先以亞洲的新興國家地區為起點,未來將會擴大到全球新興市場。

Firefox Lite主打輕巧、快速、安全等特色,安裝容量不到4MB,只有一般行動瀏覽器的十分之一,随著後來不斷擴充新功能,安裝容量已增加到6MB,但仍維持輕巧的特色。

此外,延續桌機版及行動版的Firefox特色,Firefox Lite也內建阻擋追蹤廣告功能,以阻擋第三方追蹤廣告。去年12月更新,擴大新的平臺功能,新增智慧購物搜尋、熱門免費遊戲、即時新聞,並與KKday、Wikimedia、Booking.com等合作推出旅遊探索功能,讓喜歡旅遊的使用者,透過該功能查詢飯店住宿價格、地點搜尋、景點攻略。

梁永光表示,根據研究機構的預測,未來全球將有5億的新網路使用人口,成熟市場以PC、手機上網為主要裝置,但在新興市場則是Mobile First,受限於當地的環境,民眾上網使用手機等行動裝置,網路的普及、費率、使用習慣也大不相同,為了搶攻新興市場手機上網人口,Mozilla透過當地開發社群、民眾焦點對談,瞭解當地市場的上網需求。

至於另一項發展策略,倡導網路健全方面,目的在喚起大眾對假新聞、個人隱私及身分安全的意識,除了舉辦活動之外,也開發一些工具服務,提高使用者對網路健康的意識,例如可查詢個人資料是否外洩的Firefox Monitor、隱私保護報告等等。


Palo Alto Networks發表2020網路安全預測,資安人才和5G安全成焦點

$
0
0

針對今年的資安態勢的發展,Palo Alto Networks在1月9日於臺北發表了他們的看法,認為今年應該聚焦在5種面向,包含了在全球在開始發展5G網路的過程,必須回頭檢視4G網路的資安問題;再者,則是市場上對於資安人才的需求,企業需要重新盤點安全營運中心(SOC)的人力結構,延攬跨領域的人才;而物聯網的應用興起,也使得這類裝置的資安問題企業必須正視。此外,對於資料保護的部分,他們認為大型企業可能會選擇在當地設置資料中心,來因應各國法規的要求;最後則是有關雲端的應用,該公司表示雲端已經發展成極為複雜的架構,因此企業配置不當的情況在2020年仍然會相當嚴重。

企業需要跨領域資安專才

一般來說,資安人才短缺的議題,多半探討的是如何找到相關的人才。在臺灣,政府透過舉辦競賽,甚至是讓大專院校成立專屬科系等方式,來試圖培育更多的有志之士。而Palo Alto Networks亞太區安全長Kevin O'Leary則有不一樣的看法,他認為,企業2020年的當務之急,首先是加速採取對應的自動化防護機制,來因應變化迅速的資安情勢。以資安人才短缺的部分而言,企業勢必要採用內部威脅的偵測和回應系統,來大幅減少需要透過人員來處理的工作。

但有些見解是其他資安專家預測較少提及的思維,例如,在尋求資安人才的管道上,Kevin O'Leary認為,企業不應該只看重技術,或是局限透過校園找尋相關人才,而是需要考慮人的特質,培養同時具備跨領域技能的資安人力,同時,他認為資安人員的EQ也很重要,基於以上的考量,企業也應該從擁有其他專業領域的人員挑選並加以訓練,讓他們成為兼具有關的資安技能的人才。

再者,Kevin O'Leary指出,為了適才適用,企業的安全營運中心人力配置也應該重新檢視,給予這些人對應的職位,他們才能充分為企業效力。

為5G網路安全做準備,電信業者在4G時代開始擔任防護的工作

在各種趨勢預測中,5G網路是各路專家幾乎都會提到的面向。不過,Kevin O'Leary指出,由於亞太地區很多國家才剛推出4G網路不久,5G要真正普及還有一段時日,因此,在未來幾年應該還是會以4G網路為主。因此,他認為,2020年的資安重點工作,是解決電信網路長久以來的現象:電信業者著重網路訊號品質,而不管控網路流量內容是否帶有威脅。也就是說,4G和5G網路的電信業者必須開始肩負部分流量安全管理,而不能只是由使用這些網路的用戶自己想辦法。在迎接流量倍數爆增、萬物都直接連上網際網路的5G時代到來之前,Kevin O'Leary認為,電信業者也要成為有關防護圈的重要環節,才能更全面因應相關的威脅,政府單位要將相關的工作,透過頻段競標所附帶的條件等方式,來要求電信業者執行。

事實上,臺灣政府已經開始著手上述事宜。在2019年底5G頻段競標後,國家通訊傳播委員會(NCC)便要求得標業者,必須提出5G網路資通安全維護計畫。但Kevin O'Leary指出,亞太地區像臺灣這樣做的國家並不多,因此他認為,這是今年許多國家在推動4G或5G資安的重點項目。

提到5G就不得不提到萬物皆連網的現象,而這些物聯網裝置的安全,自然也是相當值得關注的重點。Kevin O'Leary認為,大多數物聯網裝置力求低廉的建置成本,往往缺乏足夠的資安防護,這也導致相關的安全防護發展,必須在這些裝置演進的後面追趕。值得留意的是,Kevin O'Leary指出,駭客不只會針對這類裝置薄弱的身分驗證下手,也可能會透過Deepfake偽造假影片的方式,來發動攻擊。

至於在企業防護的措施上,Kevin O'Leary認為,主要還是透過網路的偵測與防護機制來加以因應,因此他也指出,企業環境中常見的防火牆設備,各家廠商將會針對物聯網裝置,提供相關的網路偵測和回應機制(NDR),將是未來這種防護產品的發展趨勢。

跨國企業會將個資存放於當地以因應各國法規

在資料保護的面向上,大家可能會想到的是GDPR,或者是美國剛上路的加州消費者隱私保護法(CCPA)。但Kevin O'Leary表示,他預期各國都會有對應的個資法規,使得跨國企業會採取在當地資料中心存放個資的方式,來因應不同國家的法律。這樣的變化可能會讓大家以為資料保護會更為周延,但他認為其實不然,因為現在用戶與企業之間的連結越來越緊密,即使是資料分散到各國存放,還是容易受到全球攻擊事件影響。

此外,雲端服務的廣泛應用,仍是2020年的趨勢,使得企業配置不當的問題仍然會相當嚴重,而且相當難以防範。

Kevin O'Leary認為,企業將會在公有雲上採用容器(Container)技術開發應用程式,因此預期2020年會有許多企業導入DevSecOps,來將資安工作整合到產品開發流程,這樣的規畫,雖然無法緩解前述的既有狀況,但將有助於企業從開發的流程來保護建置於雲端上的容器安全。

研究:Google Play上十大熱門程式與第三方分享用戶資料

$
0
0

挪威消費者協會(Norwegian Consumer Council)在本周公布了一項研究報告,指出有10個熱門程式總計與135家第三方業者分享它們從使用者裝置上所蒐集的資料,這10個程式囊括了約會程式、經期追蹤程式、照片編輯程式、鍵盤程式,還有兒童遊戲程式等,它們把使用者的資料分享給135家不同的廣告與行銷代理商。

該協會所調查的程式包括約會程式Grindr、Happn、OkCupid與Tinder,經期及生殖健康追蹤程式Clue及MyDays,照片編輯程式Perfect365,宗教程式Qibla Finder,兒童遊戲程式My Talking Tom 2與鍵盤程式Wave Keyboard。

所有的程式都與許多第三家業者分享用戶資料,涵蓋性別、年紀、廣告ID、IP位址、GPS位置與使用者行為等。有些程式還與第三方分享性向、酒精、用藥資訊及政治立場等。

研究顯示,被分享的第三方業者多為廣告或行銷代理商,它們利用所取得的資訊來追蹤使用者的行為,企圖建立個別消費者的完整檔案,進而利用這些檔案來進行個人化及目標式廣告,但也可能造成歧視、操縱與剝削。

報告指出,沒有任何程式或第三方符合特定的法規,它們並未收集使用者的有效同意,也沒有明白告知使用者將如何使用及分享個人資料,在蒐集非必要功能的使用者資訊時並無供使用者選擇的項目,皆違反了歐盟隱私法案GDPR的規定。

在這些免費且仰賴廣告的行動程式中,絕大多數的使用者並不知道業者蒐集了詳細的個人資訊,挪威消費者協會呼籲各國的資料保護組織應該調查整個廣告科技產業的侵權事件,若無法遏止此一系統化的侵權行為,則應採取共同行動來杜絕它們。

該研究雖然只調查了歐盟地區的10個熱門程式,但相信它們具備足夠的代表性,應該有更多的程式侵犯了使用者的隱私。

另一方面,此一研究也在美國引起廣大的迴響,九大消費者組織也在本周呼籲美國聯邦交易委員會(FTC)、國會議員及各州的檢察長調查Google Play上的熱門程式是否也涉及該報告所指稱的行為,系統性地侵犯了使用者的隱私,特別是相關行為明顯違反甫於今年1月1日上路的《加州消費者隱私法案》(California Consumer Privacy Act,CCPA)。

微軟帶動周二漏洞修補風潮,可能替企業帶來風暴

$
0
0

漏洞情報及風險評估業者Risk Based Security在上周警告,有愈來愈多的業者跟隨微軟的Patch Tuesday腳步,規畫在周二展開漏洞修補行動,現在至少有6家業者的修補日期可能撞期,將替企業帶來修補風暴,也可能讓企業的IT管理人員忙翻了。

而本周二(1/14)Risk Based Security的預言即已成真,在這一天,微軟修補了49個安全漏洞,Adobe修補了9個安全漏洞,比較令人頭皮發麻的可能是甲骨文修補了334個安全漏洞,SAP修補了6個安全漏洞,而Siemens與Schneider Electric也都在同一天進行修補。

其中,不管是微軟、Adobe、SAP、Siemens或Schneider Electric都把每月的第二個星期二訂為漏洞修補日,而甲骨文的重大修補更新(Critical Patch Update,CPU)雖然是每季才一次,但該公司把修補日訂為1月、4月、7月及10月時,最靠近17日的周二,於是甲骨文在今年1月14日、4月14日、7月14日的CPU都與微軟的Patch Tuesday同一天。

Risk Based Security指出,除了上述6家業者之外,Google、蘋果、Mozilla、英特爾、思科、F5與Juniper都可能把修補日訂為每月的第二個周二。

就算沒有甲骨文,Risk Based Security的漏洞資料庫研究團隊在去年12月微軟Patch Tuesday的當天,便分析與發布了188個安全漏洞。

Risk Based Security認為,缺乏適當的漏洞情報與程序的組織,將因無法一次處理如此大量被揭露的安全漏洞,而面臨實質上的風險,也建議企業應該要替每一次的Patch Tuesday提前進行準備。

Google買下實體商店庫存搜尋新創Pointy

$
0
0

Google本周宣布,已經買下合作許久的實體商店庫存搜尋新創Pointy,預計在未來幾周完成交易。雙方雖未公布交易細節,但外傳此一交易價值1.6億美元。

位於愛爾蘭的Pointy打造了一個平台,以把有庫存的商品秀到網路上,商家只要以條碼掃描器整合Pointy裝置,或是在商店的銷售系統上整合Pointy程式,就能在網路上呈現商家的產品庫存,減少商家部署電子商務系統的成本。

過去幾年Pointy一直是Google的合作對象,協助實體商家把商品庫存資訊秀在Google搜尋結果的側邊欄,現在Google則是直接買下Pointy,企圖擴大所服務的商家與消費者。

市場評論認為,此一併購案將讓Google不必自己銷售或囤貨就能踩進電子商務市場,還能與Walmart或Amazon競爭。

Google買下無程式碼開發平台AppSheet

$
0
0

Google本周宣布已經買下無程式碼(no-code)應用程式開發平台AppSheet,AppSheet團隊未來將加入Google Cloud。惟雙方並未公布交易金額。

2014年創立的AppSheet標榜可讓任何沒有撰寫程式經驗的企業團隊打造支援不同平台的應用程式,AppSheet官網列出了透過該平台創造行動應用程式的步驟,從準備資料(如Google Sheets、Excel、SmartSheet或SQL等)、將資料連結至AppSheet以建立程式、調整程式使用資料的方式、調整程式的展現方式、建立程式的行動/流程/報告功能、定義程式的安全設定、由使用者測試程式、部署程式,一直到取得使用者回饋意見以改善程式,迄今全球採用AppSheet平台所建立的程式數量已超過170萬個。

Google Cloud商業應用程式平台副總裁Amit Zavery表示,AppSheet將可補足Google Cloud的策略,協助客戶在雲端進行商業流程現代化時,採用無程式碼開發、工作流程自動化、應用程式整合及API管理,重新想像應用程式的開發空間。

此外,雙方也承諾,AppSheet除了會深入整合G Suite及Google Cloud的資料來源之外,也會繼續對外提供跨平台的服務,持續支援與改善與其它雲端平台來源的整合,涵蓋Office 365、Salesforce、Box及Dropbox等。而且就算主要的行動程式用戶聚集在Android,也會繼續支援及改善AppSheet程式在iOS與各種瀏覽器上的執行狀況。

AppSheet創辦人暨執行長Praveen Seshadri表示,併入Google將讓他們能夠更深入地整合Google資產,以改善該平台的功能、規模與效能,未來也計畫結合Google Cloud強化垂直領域的能力,諸如金融服務、零售及媒體娛樂產業等。

英特爾修補高嚴重等級的VTune Amplifier for Windows漏洞

$
0
0

英特爾於本周二(1/14)修補了6個安全漏洞,其中只有一個屬於高嚴重等級的安全漏洞CVE-2019-14613,影響Windows版的VTune Amplifier。

VTune Amplifier為一軟體效能分析器,專供序列及多執行緒應用程式開發人員使用,它支援Windows及Linux平台,而CVE-2019-14613僅影響Windows平台。

根據英特爾的說明,若不當存取VTune Amplifier for Windows的驅動程式控制,可能會造成未經授權的使用者透過本地端存取而擴大權限,波及update 8以前的版本,該公司已釋出軟體更新以緩解該漏洞。

除了CVE-2019-14613之外,另一個受到注意的是CVE-2019-14615,該漏洞存在於Intel Processor Graphics中,且波及眾多的英特爾處理器,涵蓋第三代到第十代的Intel Core處理器、多個Intel Xeon 處理器家族、多個Intel Pentium 處理器家族、多個Intel Celeron處理器家族,到多個Intel Atom處理器家族。

英特爾解釋,在某些具備Intel Processor Graphics的處理器中,特定資料架構的控制流程不足,將允許本地端存取的非經授權用戶促成資訊揭露。該漏洞同時波及Windows與Linux平台,英特爾已釋出部份處理器的軟體更新,但尚未完成所有處理器的修補。

【IT十年關鍵浪潮 2】行動應用:企業AP觸控化的新互動形式

$
0
0

相較於雲端發展,是從軟體面,來驅動了硬體面的變革,行動應用剛好相反,是從個人運算端的硬體創新,回頭建立了全球性的App軟體平臺和生態系。

2010年代是行動應用的時代,2007年誕生的iPhone,不只改變了手機裝置的硬體樣貌,還創造了觸控式的App應用型態,更建立了一個全新的App生態系。同一年底,Google主導的Android手機作業系統釋出,也成了與iPhone/iOS生態系競爭的主要對手。

兩大平臺在2010年世代的競爭,雙雙進入了高度成熟化的發展,蘋果在2010年正式推出了iPad,兩強之爭更從手機市場,進一步跨大到另一個行動裝置,平版電腦。兩大平臺後來都各自創造了一個超過10億個行動裝置的應用場域。

但是,行動應用的影響,不只是裝置的可移動性,還有一項更大的新進展,那就是全新的人機觸控互動形式,這改寫了人操作應用程式的習慣。

2010年時,長春石化有位當時已經超過七十歲的創辦人,仍然經常使用傳統的智慧型手機簽核公文,但是按鈕式的介面過於複雜,創辦人經常會打電話到長春石化的資訊中心,找來IT主管到樓上辦公室現場協助操作、解答問題。

直到有一天,這位資訊主管帶了一臺iPhone手機,親自向創辦人介紹,如何使用觸控螢幕來瀏覽企業內部的資訊網頁,介紹新版電子簽核系統的使用。

從此以後,這位長春石化的創辦人,再也沒有打電話。向IT主管求助任何一個手機操作問題。

直覺式的觸控行動App介面,讓新一代的手機和平版裝置,快速攻占了消費市場,後來,進一步擴大到企業應用程式,而且是老闆、高層主管發起的改變,要求IT能不能將自家內部系統,做得像是外面的行動App一樣好操作。

這股來自使用者的趨力,掀起了企業行動應用的浪潮,臺灣也同樣約是在2010年左右,越來越多企業,開始投入了各種行動應用App的開發。

行動裝置的普及,對企業來說,不只是App的改變而已,也帶來了企業內部網路管理的挑戰,或是員工自帶行動設備進入企業工作場所的BYOD管理難題,甚至,行動裝置可以前進到過去IT不易實現的現場或工作流程上。

行動裝置上越來越多,也越來越強大的各種感測功能和照片功能,更讓行動應用的可能性越來越多元化和多樣化,但,相對也帶來企業更多安全上的挑戰。安全成了2010年代後期,行動應用發展的關鍵課題。

AI技術的成熟,開始改變行動應用的樣貌。尤其是,近2年,行動AI晶片成了手機內建的主流功能,而且在2019年不論是Google或Apple所發表的新款手機,都主打內建了通用型的AI晶片,可以用來打造各式各樣的AI應用。

AI對行動應用的影響是全面性的,甚至是,可以說是顛覆性的改變了行動App的操作型態,更自然的語音互動操作形式,真實世界疊加數位世界情報的AR應用,都將成為下一個10年行動應用的新趨勢。

 相關報導  數位轉型浪潮的源頭(上) IT十年


【IT十年關鍵浪潮 3】開源:全球性軟體技術發展新模式

$
0
0

如何將全世界的開發社群,化為自己的研發能量?20年前的答案是不可能,但過去10年,這個問題,有了眾人都同意的答案:開源。在2010世代,開源不只是少數技術社群或軟體先鋒的運作模式,更成了全IT產業積極擁抱,甚至現在是所有企業都必須面對的新軟體技術發展新模式。

搭上雲端服務的發展浪潮,第一代開源商業模式還有另一種作法,就是技術開源,但提供雲端服務來收取訂閱租金,這正是許多雲端業者的獲利模式,例如AWS的EC2服務,一開始就是源自開源的KVM/Xen虛擬化開源專案。Linus Torvalds早在30年前就開源釋出了Linux核心的專案,這可說是第一個成功的全球性開源計畫,確立了開源模式的可行性,甚至發展出了第一代的開源商業模式,也就是開源版免費、而多了支援服務的商用版則收費的雙重授權方式,最知名的例子就是紅帽RHEL或甲骨文的MySQL。

Google一開始就沒有打算從開源計畫直接獲利(Android在多年後在歐盟要求下才開始採付費授權), 而是用來打造全球性的生態系,再從中獲利。儘管在2000世代,開源逐漸在商業市場站穩腳跟,但是仍是少數族群的作法,而非軟體發展的主流。直到Google在2007、2008年先後發起的兩個重量級開源計畫,成了第二代開源商業模式的新典型。這兩個計畫就是Android和Chrome。

Android在2017年時,超越了Windows,成為全球第一大的作業,而Chrome則是現在的瀏覽器市占龍頭,連微軟都把自家瀏覽器的核心,改成Chrome的開源社群版。

Google與甲骨文的侵權爭議纏訟多年,但無疑地,開源可以是發展全球性生態系的途徑,甚至,換個角度來看,企業的技術或開源專案,只要夠有吸引力,就能將全球軟體開發社群,甚至許多大型企業的開發人才,化為已用,甚至可以靠競爭對手的程式設計師來幫自己開發產品,微軟開源了.NET之後,就吸引到許多過去競爭廠商的開發團隊。

GitHub是全球最大規模的開源專案平臺,已有超過4千萬名貢獻者,代管高達4,400萬個專案。臺灣過去一年開源貢獻者也大幅成長了34%,成長率全球排名第八。

連IT軟硬體龍頭都競相擁抱開源之下,逐漸累積出一套套開源商業模式,版權和獲利模式不再是未知的困擾,而是開源專案的價值和競爭力成了新的焦點,這也讓開源,成了企業吸引全球軟體開發技術社群的可用手段,甚至像Walmart、Netflix2都乾脆把自家產品的核心軟體技術框架,開源釋出。GitHub利用開源版本控制軟體Git,發展成了一個雲端服務,採取了封閉付費或開放免費的雙重計價模式,特別的是GitHub設計了多項社群溝通機制,來強化開發協作,例如星等、跟隨等,開發者也很容易複製(Fork)一份專案到自己的帳號中來研究。上線3年,GitHub代管的專案數,在2010年時達到了1百萬個,也讓開源專案有了一個全球共同的交流平臺,這正是在2010年世代,帶動了開源蓬勃發展的土壤。連微軟在2015年時,要向外界證明,開源是玩真的,第一個動作就是將.NET程式碼放上GitHub,因為這裡已經是全球最大的開源集散地。除了找到了有例可循的成功開源商業模式,開源在2010世代開始大鳴大放的另一個關鍵是,開源專案全球協作平臺的出現,也就是2008年創立的GitHub。

臺灣開源貢獻者在2019年成長了34%

從GitHub去年最新的統計數據來看,可以一窺全球擁抱開源的盛況。已在GitHub註冊的開發者人數全球達到4千萬人,光是2019年就有1千萬名開發者加入。目前代管的專案達到4,400萬個,光是過去一年所有專案的程式碼提交次數(pull request)超過了8,700萬次。來自全球70國近290萬家企業或組織,都在GitHub上開立企業帳號。

2019年,超過8成貢獻者來自美國以外的國家,亞洲地區的貢獻者是大宗。在2萬人貢獻者排名上,開源貢獻者成長最快的地區,前兩名是香港和新加坡,過去1年的人數都有翻倍成長。

臺灣企業和開發者對GitHub的運用,也越來越深,尤其在2019年,根據GitHub統計,臺灣開源開發者的人數,成長了34%,是GitHub全球排名第8高的地區,開源專案採用量(複製)的排名,也首度進入美國以外地區的全球Top20排行榜。

儘管臺灣在2018年已有超過上萬名開源貢獻者,但從未進入全球開源貢獻者人數排行,直到2019年,這也反應出,臺灣在2010世代的最後一年,開始加速擁抱開源這個新模式。

 相關報導  數位轉型浪潮的源頭(上) IT十年

【IT十年關鍵浪潮 4】DevOps:開發與維運的新典範

$
0
0

在2010年世代才出現的數位世界是,大型科技業者的開發與維運高度分工化,全球使用者市場的變化越來越快,需求壽命越來越短,而企業可因應的時間越來越短,開發與維運任何一點的複雜度,都會變成拖累速度的大問題。

但是,傳統的企業IT發展上,隨著IT應用越廣、越深,規模越大,也就需要更多的人力和專業分工的團隊架構,但是,專業分工帶來的挑戰就是,開發跟維運之間的溝通複雜度越來越高,也就拖慢了企業回應需求的速度,還有新服務搶上市的時程。企業IT運用越深,開發與維運越是成了企業IT的新瓶頸。

DevOps的誕生,就是要解決這兩者之間的鴻溝,從AP的開發源頭開始,一路到部署、維運都自動化,讓開發團隊來當責,誰開發、誰負責到底,就是DevOps的精神。

2009年,來自Flickr員工在一場會議中所揭露了如何改善Dev和Ops的合作,達到了單日10次發布的高速度,催生了後來的DevOps運動,從比利時,迅速吹向全球。

DevOps的目標是,透過IT自動化和持續整合,來加速企業各項資訊服務推出的速度,但是這又牽涉到整個作業流程和組織文化的調整,才能兼顧發布速度和服務品質,而這正是企業數位轉型想要實現的目標之一,不少企業也將DevOps列入了數位轉型要實現的任務。

Docker和Kubernetes等容器技術的出現,讓IT基礎架構的管理,變成了可以程式化控制的手段,更讓DevOps如虎添翼,雲端服務的自助式服務和高度自動化維運,更大大降低開發團隊管理維運工作的負擔,透過DevOps流程和工具,來建立起從開發端的容器化應用,到雲端部署環境的維運,成了主流的新作法。

在2010世代,上雲是新創和網路公司的基本要求,他們都是雲端原生公司,而DevOps就成了這群挑戰者企業的基本能力。對傳統企業而言,數位轉型的課題就是要向新創公司學習,擁抱DevOps就成了必須面對的課題。

導入DevOps最基本要考慮的是工具面和組織流程面,得先知道有哪些工具,再來選擇合適者。從XebiaLabs設計的DevOps周期表中,可以快速一窺DevOps工具和平臺的成熟化。DevOps工具可以分成了程式碼管理、資料庫自動化、持續整合、測試、配置、部署、容器、發布協調、雲端平臺、AIOps、分析、監控、資安和協作等類型。

XebiaLabs設計的DevOps周期表。

不過,許多企業不見得,也不需要導入全套DevOps,而是先從持續整合(Continuous integration)來改善服務發布速度,但又同時搭配敏捷方法Agile的方法論和思維,來縮短開發週期,加快服務改版發布的速度。臺灣不少企業,尤其是大型金融業者,為了加快消費者端行動App的改版速度,更快回應使用者的新需求,近年來推動數位轉型計畫時,也會先從擁抱敏捷思維和持續整合著手。

 相關報導  數位轉型浪潮的源頭(上) IT十年

【IT十年關鍵浪潮 5】Python:AI時代開發語言的新標準

$
0
0

IT浪潮一波又一波,每個時代都有各自不同的主流應用類型,也有其各自對應的主流開發語言。

早在1980年代,大型主機盛行之時,COBOL是主流,尤其許多大型銀行核心系統所用的語言就是COBOL,甚至,至今仍有銀行繼續使用。1990年代,隨著PC而崛起的,是微軟的Windows桌面系統,而最常用來開發各種桌面應用的開發語言,就是Visual Basic語言,這也是許多企業第一波e化系統時,自己所用的開發語言。

2000年,.COM網路時代開始崛起,以跨平臺開發、物件導向設計為號召的Java趁勢而起,成了大型企業軟體開發的新主流,而且持續沿用至今。不過,2000年代後半,網際網路進入了Web 2.0時代,主打快速開發、MVC架構的開源Web框架Ruby on Rails爆紅,也帶動了Ruby語言成為網頁開發者的熱愛。

2010世代,行動應用的普及,兩大平臺iOS和Android所用的開發語言Java、Objective-C與接棒者Swift,成了主流。

不過,到了2010世代的後半場,深度學習的爆紅,帶動了各種AI應用大流行,AI新時代的新主流開發語言是什麼?答案就是Python。

從開發語言流行指標TIOBE的最新排行榜,Java和C語言輪流分占一、二名,超過了20年,已是業界標準的開發語言,一個是高效能底層應用的主要開發語言,一個是各大型應用長年的主要開發語言,影響力持續不墜,但是,在2019年5月,Python超越了C++語言,而且一路直升,拉大流行度差距,穩坐流行開發語言第三名,成了當今第三個主流開發語言,而且是去年度成長速度最快的開發語言。

TIOBE是從各大搜尋引擎和網站對於開發語言的搜尋和討論熱度,來決定流行程度,換句話說,Python就是近年來的新話題開發語言。

從GitHub去年年度統計報告上,更可以看到Python被使用的爆紅程度,在2019年,在370種GitHub專案所用的開發語言中,Python使用率排名第二,甚至首度超越了Java,僅次於所有網頁應用都必備使用的JavaScript。

GitHub報告上直言,資料科學就是Python飆速崛起的關鍵。

近幾年,軟體開發社群大量投入AI、深度學習等資料科學技術、框架和工具的開發,讓Python這個問世近30年的開發語言,走出了科學研究的領域,從學術論文慣用語言,成了全世界開發AI應用的新標準語言。

不少主流AI開發框架,就是以Python作為主要開發語言,例如Google推出的TensorFlow或是臉書的PyTorch。GitHub上最火紅的專案是TensorFlow,貢獻者達到2萬5千人,其中有1萬9千人使用Python來開發TensorFlow的套件,高達76%之多。這也讓Python人才,成了AI時代的搶手人才。

 相關報導  數位轉型浪潮的源頭(上) IT十年

回顧企業IT十年變局

$
0
0

二十一世紀轉眼即將度過五分之一,然而,單是近十年來企業IT局勢變化之劇烈,就讓人有不少感慨!我們在每週、每天的IT新聞報導當中,也陪著整個產業度過這一次次變革。

以個人電腦與伺服器作業系統的平臺而言,2010年企業有幾個考量,首先是從Windows XP升級到Windows 7;而在資料中心基礎架構的部份,則是評估伺服器虛擬化平臺的導入,該選擇市占超過一半的VMware vSphere,或是後起之秀Microsoft Windows Hyper-V。

而到了2020年的此刻,微軟終止Windows 7支援的時間,就在眼前(1月14日),企業該繼續升級Windows 10或換用其他平臺?如今,又到了重新思考端點設備作業系統是否合用的時機;而在資料中心基礎架構的應用上,伺服器作業系統、伺服器虛擬化平臺成為配角,企業要決定的是,該如何善用公有雲、私有雲、混合雲、多雲的架構,以及容器、微服務的技術,讓應用程式更快部署、上線、更新,以及隨需擴展執行規模。

而談到企業環境的端點設備,智慧型行動裝置與各式連網設備的普及,帶動了員工自帶設備(BYOD)與物聯網(IT)的應用管理議題。自從蘋果iOS/iPhone、Android等兩大行動平臺於2007年發表,以及2013年平板電腦iPad問世,掀起了個人與辦公室應用的行動化革命,相對地,也促使個人電腦平臺趨向輕薄短小、注重省電/高續航力,不少IT廠商高呼行動優先的口號,希望搭上這次轉型的便車。

隨著使用者可透過行動裝置與App來操控許多系統,背後又帶動了雲端服務的大規模運用,而且,服務的型態、規模、功能類型也逐漸拓展開來,用戶起初較熱中的解決方案,是由雲端服務廠商提供所有應用功能的軟體即服務(SaaS),之後,企業也開始嘗試基礎架構即服務(IaaS)與平臺即服務(PaaS),以及混合雲的搭配方式,甚至演變到現在的「企業上雲」風潮──企業若要將所需要的IT基礎架構與應用程式搬上公有雲環境來營運,所面臨的種種阻礙,也在IT廠商的合作與努力之下,正在持續減少。

巨量資料的存取與分析的突破,也呈現相當驚人的發展。單是儲存裝置,容量和效能的增長可說是突飛猛進,基於快閃記憶體而成的固態硬碟(SSD)是重點,個人端的筆電與企業的伺服器、儲存系統都能夠採用,全快閃儲存陣列更是獨領風騷,而SSD本身也支援更高速的NVMe介面,儲存容量屢創新高(2016年已有15.36TB的SSD,2020年預計推出20TB的SSD,2050年會有50TB的SSD)。至於傳統硬碟的部份,2010年最大容量是3TB,但到了2019年,廠商都已陸續推出16TB的機型,2020年預計發表18TB和20TB的機型。

而在軟體應用的部份,我們陸續看到大數據、資料科學、機器學習等應用崛起,匯聚成當前熱門的人工智慧浪潮,而在開發環境中,我們也看到多種開放原始碼軟體走紅,像是:大數據應用框架(Hadoop、Spark),程式語言(R、Python),以及機器學習框架(TensorFlow、CAFFE、PyTorch、MXNet)。

企業所熟悉的資料庫管理系統,也出現許多過去想像不到的變化。首先,長期固守Windows Server的微軟SQL Server,在2017年推出支援Linux的版本,甫於2019年下半正式推出的新版,則強調可執行在Linux容器與Kubernetes環境的特色。其次是市面上出現不少非關聯式資料庫,像是鍵值資料庫、文件資料庫、圖學資料庫、時序資料庫、物件資料庫、列式資料庫。此外,許多企業也會使用記憶體內資料庫來加速處理,例如,商業軟體SAP HANA,以及開放原始碼軟體Memcached、Redis。

除了上述的應用,這段期間還有許多變化不及細數,這是我目前想到的部份,對你而言,這十年最重要的變革是什麼?

 相關報導 數位轉型浪潮的源頭(上) IT十年

數位轉型浪潮的源頭(上) IT十年

$
0
0

過去10年,企業從實體世界的競爭,全面進入了數位世界的競爭,大型企業帶頭,在全球吹起了數位轉型的浪潮。一道道來自不同新興技術、科技發展的小浪潮,疊加累積而成了這股全球轉型變革的大海嘯

有個性的Go鴨子

$
0
0

鴨子定型(Duck Typing)只在乎行為,不在意型態,在Go語言可以透過介面實現,同時獲得靜態時期檢查能力,然而,型態的複雜度並非憑空消失,事實上,這會令Go實現的鴨子個性十足。

因此,為了控制這群鴨子,能否掌握型態仍是必要的課題。

接收者的型態是?

在Go語言中使用介面定義行為,由於型態在實現介面時只要行為符合,不需要明確指定哪個介面,具有動態定型語言經驗的開發者,很容易就聯想到鴨子定型。

為何我們這麼說?相對於動態定型語言是在執行時期確認行為,Go在編譯時期就能檢查型態是否符合介面的行為,因此,又常被稱為編譯時期鴨子定型(Compile Time Duck Typing)。

此外,只需實現行為、不用聲明介面的Go,往往會被歸類在結構型態系統(Structural Typing)。相對來說,有些語言(例如Java)屬於名義型態系統(Nominal type system),必須明確聲明型態實現了哪個介面。

所以,對於來自這類語言的開發者,很容易就會產生出一些疑問,像是:「該怎麼知道某介面的實現型態有哪些?」、「這個型態實現了哪些介面?」等,並且會想在文件上,尋找這類資訊──因為這類語言的文件,往往會記錄某介面的實現類別有哪些。

在Go中,基本上是不用提這類問題的,API呼叫者只需在文件確認介面定義了哪些行為,呼叫API時的傳入值是否有實作,就可以了。這對於API呼叫者提供了很大的彈性,然而,此時責任會落在API的設計者身上。

首先,因為介面中並不定義方法的接收者型態,然而在實作方法時需要考慮接收者是否為指標、參考等型態;那麼,在針對介面設計時,該不該思考接收者的型態呢?

這是個務實問題,例如,假設Foo是個介面,那麼,當var f Foo = impl時,若impl是個結構實例,就會發生複製結構欄位的值,而如果impl是個指標,就只會傳遞指標,

針對介面設計時,「不應該假設接收者的型態」這個答案顯然過於理想化,事實上,查看標準程式庫的設計,就可以得到答案。

因為定義介面在必要時,在相關的名稱上,須能夠辨識接收者的型態,例如,sort.Interface的Swap方法顯然具有副作用,這表示:接收者型態必須是參考或指標,而在API上,也可以在名稱上明確指出型態,例如sort.Slice,而這麼一來,即使它的參數型態是interface{},呼叫者也能夠知道所要傳入的部分是slice型態。

nil不等於nil?

若Foo是個介面,若var f Foo = nil,那麼,f == nil比較結果會是true,然而,有個結構X實作了Foo的行為,並有底下的程式片段,那麼,f == nil的結果會是什麼?

var x *X = nil
var f Foo = x

答案會是false,實際上這是個FAQ了。在〈Why is my nil error value not equal to nil?〉(https://bit.ly/2YHLmRZ)就提到,若returnsError傳回型態為error,那麼,底下的實作會令returnsError() == nil為false:

var p *MyError = nil
if bad() {
p = ErrBad
}
return p

因為Go會檢查傳回值來看看是否有錯誤,會有這種結果就不妙了。之所以會有這種結果,是因為介面的底層實作,實際上儲存了型態與值。

就var f Foo = nil來說,代表著f在底層儲存的型態為nil,而值沒有指定,而這樣的介面值稱為nil interface,同時,只有在這個情況下,跟nil相等比較才會是true;在var f Foo = x的例子中,f在底層儲存的型態為*X,而值是nil,跟nil相等比較的結果就會是false。

在〈Go-tcha: When nil != nil〉曾提到為何Go介面底層如此實作。原因之一,是為了允許任何自訂型態(包含基本型態)擁有方法。原因之二,是為了方法接受者可以是nil,以便實作nil safty的概念等。還有一個原因是,Go為強型別,在介面這部份,若A介面有B介面未定義的行為,編譯器並不允許直接將A介面指定給B介面。

型態斷言與反射

如果B介面底層儲存的值,確實擁有A的行為,此時,我們可以透過型態斷言(Type assertion)來取得值再指定給A,例如var b B = a.(B)。

至於x.(T)這個語法,是在告知編譯器,在執行時期再來斷言型態,也就是在執行時期再來判斷x底層儲存的值,型態是否為T,若答案是肯定的,就傳回底層儲存的值。

當指定給單一變數時,若底層值實際上不是T型態的話,會引發panic,這時可以使用Comma-ok斷言,例如b, ok = a.(B);若底層型態符合,b會是底層值,ok會是true,否則b會是nil,ok會是false。透過檢查ok是否為true,開發者可以自行決定該panic或做其他處理,如果有多個型態必須判斷的時候,我們可以透過type switch語法來處理。

因此,對於方才var f Foo = x,若真的想比對f底層值是否為nil,我們可以使用f.(*X) == nil來比對,結果就會是true。但實務上鮮少這麼做,如果x可能是nil,應該在判定x為nil後,再直接指定nil給f,而不是將x指定給f。

不過,現實情況中,可能會混淆nil interface,以及介面底層值儲存nil的情況,因此,對於nil的檢查,就要考慮兩者了,在〈Go: Check Nil interface the right way〉(https://bit.ly/2t7BKEr)中,就討論了幾個方案,基本上是透過反射,最簡單的實作方式之一是:

func isNil(i interface{}) bool {
return i == nil || reflect.ValueOf(i).IsNil()
}

在意型態的鴨子

整體而言,鴨子定型是個概念,在不同語言中,會有不同的實現,而且,在動態定型語言也不是免費的,若沒有借助型態提示與相關工具檢查,一切就會在執行時期見真章,因此,單元測試就變得相對重要。

對於靜態定型語言來說,既然開發者可以實現靜態時期鴨子定型,那麼,就表示對於型態的掌握仍然是必要的,只是須看複雜度會被藏在哪裡,以及在何種情境下必須留意,還有問題會發生在編譯時期或執行時期罷了。

對於完全基於結構型態系統,更具有參考、指標等型態的Go語言來說,能否察覺這類被隱藏的複雜度更是重要。

因為,Go中的鴨子,其實仍然是在意型態的,如果開發者對此漫不經心,這群鴨子最後到底會在編譯時期,還是執行時期出來搗亂,開發者可就無法掌握。

資安一周第77期:防堵求快的修補亂象,Project Zero調整漏洞揭露政策

$
0
0

0109-0115 一定要看的資安新聞

 

#勒索軟體攻擊  #特定目標攻擊  #Sodinokibi

Travelex遭駭客勒索300萬美元

在2019年12月31日遭到惡意程式入侵的倫敦外匯交易公司Travelex,將所有系統下線至今仍未恢復,多家媒體針對事件發生的原因進一步報導,指出是受到勒索軟體Sodinokibi的攻擊,而且駭客要求高達300萬美元的贖金。

BleepingComputer取得駭客的說法,表示他們以Sodinokibi發動攻擊,並在加密前備份5GB的個資,再向Travelex勒索,要脅不付款就要對外公布這些資料。

英國媒體Computing則報導,資安業者Bad Packets於2019年9月就曾提出警告,Travelex所使用的Pulse Secure VPN含有安全漏洞,將允許駭客滲透至企業網路,也許就是此次事件入侵該公司的管道。詳全文

圖片來源:Travelex

 

#特定目標攻擊  #資料外洩

美國社區醫院郵件帳號外洩波及近5萬名病患個資

美國明尼蘇達州的非營利社區醫院Alomere Health,驚傳2名員工的電子郵件帳號,先後於2019年10月底與11月初,遭到未經授權存取。由於他們的電子郵件含有病患個資,該院已經逐一通知可能受到影響的病患,並對於個資裡含有社會安全碼與駕照號碼的人,免費提供信用監控與身分保護服務。

Alomere Health指出,根據檢查帳號郵件內容與附加檔案,可能有49,351名病患的資料已經外洩,不過,院方並不確定駭客存取那些內容。詳全文

 

#漏洞攻擊  #網站漏洞

TikTok允許駭客操縱用戶內容的安全漏洞已被修補

資安業者Check Point公布短影片程式TikTok的眾多安全漏洞,這些漏洞允許駭客操縱受害者帳號,並且能刪除影片、上傳影片,還能讓私有影片公開,或者是取得用戶個資。字節跳動在2019年11月接獲通報,近期修補相關漏洞。

Check Point指出,這個漏洞出現在TikTok網站中,讓使用者傳送下載應用程式的簡訊功能,該漏洞讓讓任何人代替TikTok傳送簡訊至任意電話號碼,並在簡訊中置入駭客指定的網址,進而執行跨站指令碼(XSS)或是跨站請求偽造(CSRF)等攻擊行動。詳全文

圖片來源:Check Point

 

#漏洞揭露政策

為增進修補品質,Project Zero調整漏洞揭露政策

Google安全研究團隊Project Zero公布,從2020年1月1日開始調整漏洞揭露政策,只要在90天的修補期限內完成,都會在第90天才公開相關細節,希望軟體廠商能夠擁有較為充足的時間,提供更為完善的修補程式,而非只是將漏洞隱藏起來。

會出現這樣的重大調整,源自於該團隊發現,許多軟體開發者並非從根源處理漏洞問題,駭客只要稍微改變手法,同樣能濫用該漏洞進行攻擊,若是一味追求修補速度,將會使得這種情況更為嚴重。另一個原因,則是因應許多軟體廠商認為,修補軟體尚未普遍部署就揭露漏洞細節,有可能影響用戶安全。詳全文

 

#行動裝置安全

新Android木馬關閉應用程式檢測機制,並在Google Play捏造假評論

卡巴斯基實驗室揭露Android木馬Trojan-Dropper.AndroidOS.Shopper.a,這個木馬會假冒為系統應用程式,濫用Google專為殘障人士設計的AccessibilityService功能,以在受害者不知不覺的情況下進行各種惡意活動,並關閉Google Play Protect應用程式檢測機制,擅自安裝應用程式,甚至能編造應用程式於Google Play市集的假評論,使得資安研究人員再度呼籲,使用者不要安裝來路不明的Android應用程式。

在所有感染Trojan-Dropper.AndroidOS.Shopper.a的Android裝置中,有高達28.46%位於俄羅斯,居次的是巴西的18.7%,印度以14.23%排名第三。詳全文

 

#行動裝置安全

Google移除近2千個含Joker惡意軟體的Android應用程式,但仍有漏網之魚

Google公布他們從2017年初開始,透過Google Play Protect檢測機制,總計偵測並移除1千7百個感染Joker惡意軟體的Android程式,而這個惡意軟體也從最初執行簡訊詐騙(SMS Fraud),如今演變成收費詐騙(Toll Fraud),來擅自暗中訂閱付費服務。

事實上,還是有部分Joker程式曾經穿越Google的封鎖線,資安業者CSIS Security Group在2019年9月指出,他們在Google Play上偵測到24款內含Joker的行動程式,總下載量超過47.2萬。詳全文

 

#網路釣魚  #附加功能濫用

首見駭客以惡意Office 365外掛騙取用戶帳號

安全公司PhishLabs發現,有攻擊者傳送包含假冒公司內部SharePoint和OneDrive檔案分享連結的網釣信件,企圖利用社交工程騙取用戶點入。這波攻擊行動中,駭客利用惡意的Office 365外掛程式,在不需取得帳密的情況下,就可登入,即便使用者變更密碼及採用雙因素驗證,皆無法防堵此類攻擊。

研究人員指出,駭客是利用Office 365可使用外掛的功能,再加上微軟允許相關外掛透過側載的方式部署得逞。因此,他們建議管理者,要管制用戶能夠安裝Office 365外掛程式的範圍。詳全文

圖片來源:PhishLabs

 

#漏洞攻擊

數據機漏洞Cable Haunt在歐洲波及2億臺數據機

來自丹麥資安顧問公司Lyrebirds的3名研究人員,與獨立資安研究人員Simon Vandel Sillesen合作,揭露於同軸電纜數據機的安全漏洞,並命名為Cable Haunt,這些研究人員表示,此漏洞至少已波及4個品牌的纜線數據機(Cable Modem),在歐洲就可能有2億臺設備受到影響。

Cable Haunt的漏洞編號為CVE-2019-19494,藏身在博通(Broadcom)數據機晶片的頻譜分析儀元件,而該元件可在纜線訊號暴衝或受到干擾時保護數據機,經常被ISP業者用來調整傳輸品質。至於前述的CVE-2019-19494則是緩衝區溢位漏洞,將允許駭客自遠端執行任意程式,進而取得數據機的控制權。

研究人員已確定4個品牌的纜線數據機受到Cable Haunt漏洞的影響,包括Sagemcom、Netgear、Technicolor,以及COMPAL,但其他採用博通晶片的數據機設備,可能也無法倖免於難。詳全文

 

 

更多資安動態

國際刑警組織打擊東南亞路由器挖礦綁架,減少逾8成受害裝置
Amazon用戶注意!現有SSL憑證將於3月5日失效
賽門鐵克再度拆分,IT顧問公司Accenture將買下網路安全服務部門
Windows 7正式終止延伸支援,微軟不再推出免費修補程式
伊朗駭客攻擊美國電網、油氣公司等關鍵基礎設施
53家組織聯合向Google執行長喊話,要求處理含有隱私疑慮Android裝置的預載腫脹軟體問題
臉書不對政治廣告進行事實查核,只打算增加透明度讓用戶自行判斷是否屬實


Google擴充進階保護計畫,iPhone也可成為登入Google帳號的實體金鑰

$
0
0

Google在2017年發表了進階保護計畫(Advanced Protection Program),透過實體金鑰來保障高風險人士的Google帳號安全,並在去年初藉由軟體更新讓Android手機變成實體金鑰本周Google進一步宣布,iPhone用戶只要下載 Google Smart Lock程式,也能讓iPhone變成登入Google帳號的實體金鑰。

進階保護計畫的目的,是為了防止高風險人士遭到網釣攻擊,像是政治競選團隊、新聞記者、企業高階主管或政府員工等。若駭客藉由網釣手法取得了這些高風險人士的Google帳號與密碼,那麼就能以此登入他們的Google帳號,因此,進階保護計畫即要求參與該計畫的使用者,除了輸入帳號及密碼外,必須額外以實體金鑰來驗證身分,以免帳號被駭客挾持。

根據Google去年公布的調查報告,實體安全金鑰為最有效的帳號保護措施,它能夠百分之百地杜絕自動攻擊、網釣攻擊與目標式攻擊。

為了降低進階保護計畫用戶的參與成本,Google去年允許Android 7以上的裝置充當實體金鑰,由於該功能是藉由軟體更新直接內建於Android手機上,因而無需下載任何程式,本周Google則釋出了Google Smart Lock程式供iOS裝置用戶安裝,以讓iPhone及iPad也能充當實體金鑰。

iOS裝置用戶可透過Google Smart Lock程式啟用安全金鑰功能,該金鑰是透過藍牙與使用者打算登入Google帳號的裝置互動,這些裝置所使用的平台可能是Chrome OS、iOS、macOS或Windows 10,值得注意的是,不管是作為安全金鑰的手機,或是欲登入Google帳號的裝置,都必須啟用藍牙功能。

儘管利用手機就能作為實體金鑰,但Google依舊強烈建議使用者應該註冊另一個備用的實體金鑰,以用來因應手機遺失或其它的突發狀況。

Fintech周報第129期:金管會參考G20,將以3大面向建置21項普惠金融衡量指標

$
0
0

0111~0117

 金管會   普惠金融   G20  
金管會參考G20,將以3大面向建置21項普惠金融衡量指標
為了進一步接軌國際,金管會主委顧立雄在1月14日的新春記者會宣布,參考G20普惠金融指標體系,並且依照我國金融市場發展現況,將建置「我國普惠金融衡量指標」,從金融服務可及性、金融服務使用性、金融服務品質等3大面向,評估我國普惠金融發展狀況與政策執行成效,初期訂下21項衡量指標,未來將依發展現況,每年發布一次衡量結果。

在金融服務可及性的衡量指標,須了解金融消費者接觸金融服務的便利性與友善性,比如,網路銀行、行動銀行App、ATM、證券期貨業官網無障礙功能的設計。而在金融服務使用性,則是調查成年人使用銀行服務、數位金融、保險商品的程度,像是每十萬名成年人行動支付交易筆數、每千名成年人擁有的數位存款帳戶數、成年人使用電子化支付的比率,亦或是網路投保件數、每千名成年人中壽險保單持有人數,以及微型保險累積承保人數等衡量指標。

金融服務品質的部分,較為特別的是保險服務品質,保險局計畫推動保險區塊鏈服務,以及簽發電子保單認證與存證機制。保險局局長施瓊華表示,一般保戶的保單都是厚厚一本,未來若能整合成電子化,對消費者來說將變得更為便利,故將此列為保戶服務品質的衡量指標之一。 金管會亦表示,連續追蹤觀察普惠金融衡量指標的數據,不僅可協助政府了解我國金融市場的發展趨勢、取得金融服務的容易度、品質與消費者的使用程度外,也可作為個別金融業調整服務策略的參考。

 純網銀   金管會   監理  
臺灣3家純網銀下半年陸續開業,金管會將強化對純網銀監理
金管會主委顧立雄近日透露,3家純網銀預計開業時程,他表示,樂天商業銀行可能會是最快開業的純網銀,預計在今年6月搶先開業,LINE Bank與將來銀行,則大約會在今年第3季開業。 金管會也研擬純網銀監理規畫與建置方案,要對純網銀業者的重要性指標與流動性風險進行即時監控,金管會規畫利用API技術,開發建置純網銀即時監理系統,導入監理科技等相關技術,透過系統自動產出與申辦監理報表,以因應新型態純網銀經營模式。顧立雄表示,此舉有助提升金融監理效率、降低監理成本,而該系統也預計配合純網銀開業日正式上線。

 金管會   數位存款帳戶   未成年開戶  
數位存款帳戶開放20歲以下未成年開戶,預計今年Q1上路

金管會先前研擬放寬數位存款帳戶規定,規畫了3項開放措施,包括企業戶開戶、放寬開戶年齡限制、開放手機身分認證開戶。在企業開戶部分,銀行局局長邱淑貞表示,目前已先開放獨資的企業戶先做試驗。至於放寬開戶年齡限制的部分,則已研擬放寬未成年開戶,開放年滿7歲且領有國民身分證的本國未成年人,經由驗證法定代理人,並上傳法定代理人與未成年人的證件,即可線上開立帳戶。此外,也開放持有晶片居留證的外國成年人可開立數位存款帳戶。

其中,本國未成年人因需取得父母的同意,所以,未成年人開戶身分驗證的方式與帳戶類型,就會與法定代理人一致。邱淑貞表示,這部分得由銀行公會修改資安相關規定,一旦銀行公會提報金管會,相關機制預計今年第一季可以上路。

 保險局   保險科技   保險區塊鏈  
金管會加速發展保險科技,今年要啟動保險區塊鏈試辦

金管會宣布,今年要推動保險區塊鏈的應用,讓保戶在任一家保險公司申請理賠或保全服務,系統皆可通報其他保險同業啟動理賠或保全服務受理,以達單一申請、文件共通的效益。保險局局長施瓊華表示,這部分是由壽險公會針對健康險理賠進行討論,目前已有5、6家保險公司加入討論,近期壽險公會將訂出一個共通標準,接下來就能在2020年啟動試辦,保險局也訂出目標,今年底至少10家保險公司要開始試辦,預期2021年能落實實施,讓大部分的保險業者都能加入。

同時,保險局也要推動電子保單認證與存證機制,鼓勵保險業推動電子保單,且存放在第三方認證機構,在消費者對電子保單的真偽有所爭議時,得由公正第三方提供保單內容,確保保單的保障範圍。這部分保險局則訂出,2020年底至少有8家壽險公司、10家產險公司加入的目標。

 開放銀行   責任歸屬   TSP管理  
開放銀行朝銀行自行尋找TSP合作,發生問題由銀行全權負責
臺灣開放銀行要邁向第二、第三階段的推動,但因涉及消費者個資,包括TSP業者管理方式、客戶權益保障、爭議處理、損害賠償機制、資訊安全標準等都是開放前的重點。據了解,銀行公會研擬的資訊安全控管、自律規範與法令遵循相關建議事項的配套措施,以及財金公司擬定的開放API技術與資安標準,都已報部金管會。

然而,究竟銀行與TSP業者之間的責任歸屬該如何劃分?顧立雄表示,臺灣開放銀行目前還是朝向由銀行自行尋找TSP業者合作的前提下,類似委外作業的概念,若發生問題還是由銀行全權向消費者負責,他強調,這部分迄今並無改變。而金管會下一步要思考的是,如何要求TSP業者符合資安的標準與個資保護等對TSP管理的方式,都得有一套標準,來要求銀行找尋合格的TSP業者合作,這部分的要求也會有相關的配套措施。但,顧立雄也坦言,至今還沒有具體的結論。

 金融上雲委外規範   金管會 
開放金融業上雲3個月進展:外銀申請居多,本國銀行憂個資問題態度謹慎
對金融業影響甚大的金融上雲委外規範(金融機構作業委託他人處理內部作業制度及程序辦法),在2019年9月30日正式上路,也因為法規公布不久,銀行局局長邱淑貞透露,雲端委外目前大多是外商銀行申請,原因是過去外銀在海外總行的委外已有經驗,在相關作業上會較為熟悉。相較於本國銀行,態度則是非常謹慎,即便有向金管會申請,但雲端委外的多是內部員工email作業,或是有關計算價值等不涉及客戶資訊的作業,且僅以申請試辦,還不敢大規模做雲端委外。

顧立雄也提到,就他目前接觸的狀況,本國銀行對於要把客戶核心相關資料放到雲端,其實本身很猶豫。至於外銀的部分,則是有區域的資訊架構,有些東西得以區域的角度做整體的規劃與建置。

 新加坡   純數位銀行 
新加坡純網銀執照共21家業者申請,今年6月將宣布結果

新加坡金融管理局(Monetary Authority of Singapore,MAS)在1月7日宣布,截至2019年12月31日止,共收到21份數位銀行執照的申請,包括了7份純數位銀行(digital full bank)執照申請,以及14份數位批發銀行(digital wholesale bank)執照申請。

新加坡金融管理局指出,新的數位銀行吸引了眾多申請者的濃厚興趣,其中,包括電子商務公司、技術與電信公司、金融科技公司(比如眾籌平臺與支付服務業者),以及金融機構。且大多數申請者都是各家公司組成的財團,這些公司試著結合各自的優勢,來增強數位銀行的價值。

據悉,包括阿里巴巴旗下的螞蟻金服、小米旗下的小米金融、東南亞叫車平臺龍頭Grab、新加坡電競周邊設備廠商雷蛇(Razer)都已向MAS申請新數位銀行的執照。新加坡金融管理局表示,將在2020年6月宣布成功申請數位銀行執照的業者,而取得執照的申請者,預計最快2021年中可以正式開始營業。

 信保基金   送保即時通  
中小企業貸款信用擔保申辦新變革,每年30萬件送保資料都自動拋轉免人工輸入
協助中小企業因向銀行申貸時擔保品不足,而提供信用擔保的中小企業信用保證基金,每年從金融機構取得約30多萬件中小企業融資承保件數,過去,皆由各銀行分行端的作業人員,以人工逐筆輸入送保資料;現在,此作法則有了新的突破,信保基金在近期上線自行開發的送保資料介接系統「送保即時通」,銀行每件只需花上15秒,即可自動拋轉企業徵授信資料等相關送保資訊,比手動輸入快了60倍。

信保基金表示,新推出的送保即時通系統,讓各銀行的分行端,只需要輸入申貸企業的統一編號,信保業務系統即直接與各銀行資訊中心連線,進行點對點自動化建檔,可自動載入企業基本資料、財務資料、徵授信資料等欄位的資料。讓作業時間縮短,資料正確性提高,同時降低了銀行小額案件作業成本,也縮短了企業申貸時間,並改善信保基金的審查流程。

 Telegram   TON區塊鏈 
Telegram與SEC訴訟進行中,發聲明仍會如期推出TON區塊鏈
Telegram更新了TON(Telegram Open Network)區塊鏈平臺的開發現況,對於最近與美國證券交易委員會(SEC)訴訟的部分傳言做出澄清,並提到仍會如期推出TON區塊鏈,且該平臺原生貨幣Gram的官方錢包應用TON Wallet,目前不會與自家Telegram的即時通訊服務整合,TON Wallet將會獨立於Telegram通訊軟體。 Telegram也強調,Gram的重點在於作為用戶間交換的媒介,而不是投資產品,Telegram團隊提醒購買Gram的用戶,Gram的價值可能隨著時間下降,甚至有喪失全部貨幣價值的風險。

圖片來源:新加坡金融管理局;攝影/洪政偉、李靜宜
責任編輯/李靜宜
 金融科技近期新聞 
1. 東南亞叫車平臺Grab合作保險公司Chubb,讓用戶在叫車App可一站式購買旅遊保險
2. 中國人壽導入eACH即時付款,讓理賠金能即時撥款到用戶帳戶

Google今年啟動各平台Chrome App終止支援,2年後全部不支援

$
0
0

Google於3年半前公佈將終止各版Chrome App,周三終於發布各平台的終止支援時程。Google預計於今年年中,終止Windows、Linux及Mac版Chrome App支援;在2022年,將不再支持ChromeOS版本在內的所有Chrome App。

Google於2013年因應早期Web App功能不足推出Chrome App。但現代化瀏覽器功能日愈強大,Web App使用經驗更豐富,不能跨瀏覽器的Chrome App價值也隨之下降,Google也投入開發可跨平台、跨瀏覽器的漸進式Web App(Progressive Web App,PWA)。

Google Chrome平台技術總監Anthony Laforge指出,現代瀏覽器的進步已經足以應付大部份使用情境,這從線上協作設計工具Figma(https://www.figma.com)等公司和Google Earth的成功可見一斑。

因此Google決定將逐步推動Chrome App的汰換計畫。從今年3月起,Chrome Web Store將不再接受新上傳的Chrome App,但現有Chrome App還是可以更新到2022年6月。今年6月起Chrome不再支援用戶較少的Windows、Mac及Linux版Chrome App,但針對Chrome Enterprise及Chrome Education Upgrade升級方案的用戶可延長到12月。

2021年6月,Google預定終止支援NaCI(Native Client)、PNaCI(Portable Native Client)和PPAPI API。同時間,ChromeOS版Chrome App也不再獲得支援。但是Chrome Enterprise和Chrome Education Upgrade升級方案的用戶,可申請再延一年直到2022年6月。也就是說,2022年中開始,Google會停止所有客戶的Chrome App支援。

Google也提供技術資源,協助Chrome App開發商向PWA、Web App或ChromeOS版Android轉型。

不過這時程並不影響Chrome外掛,Google表示各平台上的Chrome外掛(Extension)都還會獲得投資及支援。

Play Store用戶下載了6億次騙錢軟體

$
0
0

安全廠商Sophos發現,Google Play Store上騙錢軟體(fleeceware)氾濫問題相當嚴重,20多個Android騙錢軟體的總下載次數高達6億次。

現行App提供免費試用期,俟用戶滿意才需要付款,若不喜歡就需取消訂閱。普通情況下,大部份用戶是把測試版移除,即使未終止訂閱開發商也不會再收取費用。但Sophos去年發現有24款Android App,它們都只是QR讀取器、指南針或計算機等簡單功能,但若用戶在免費期(例如3天)截止前沒有主動終止訂閱,就會被索取1年100到240美元的高額費用,光是移除測試版是沒有用的。Sophos將此類App稱為騙錢軟體(fleeceware)。

雖然去年接獲通報後,Google已將這些App從Play Store移除,但Sophos近日發現騙錢軟體問題變本加厲。該公司發現Play Store上的騙錢軟體還不到25個,但總下載次數將近6億次。其中還有些安裝數超過1億次,比起業界知名合法App也不遑多讓。

這些騙錢App涵括工具類或娛樂類,像是算命、即時通訊、影片編輯或美妝App。這些App在Play Store網頁以號稱100萬、500萬、1000萬甚至上億下載次數,也少不了偽造假用戶評價。另外,有的App僅提供每周或每月費用,而非一般用戶習知的年費以騙取用戶下載。例如有個App每周就要8.99美元,一個月也高達24美元。這些App許多品質低劣,不幸被騙的用戶Play Store上罵聲一片。有用戶甚至在免費期間取消訂閱仍然被收取費用。

安全公司提醒Android用戶儘量少下載免費App。下載前也應看一下其他用戶評價,最好還能讀完使用條款。如果一時不察下載了這些騙錢軟體,也應主動取消訂閱,不能只是將App移除。最後,安全公司認為,還是下載你熟知的廠商的類似App比較穩當。

Mozilla裁撤70名員工

$
0
0

Mozilla Corporation本周公布了該公司未來的發展方向,同時宣布將削減70個職缺,由於英國與法國仍處於討論階段,實際裁減人數可能更高。

Mozilla Corporation為Mozilla基金會的子公司,負責開發Firefox瀏覽器及其它網路應用,身分為商業公司,在全球約有1,000名員工。

Mozilla基金會董事長暨Mozilla Corporation執行董事長Mitchell Baker對外說明,Mozilla致力於從事能夠影響未來網路及網路生活的任務,從安全及隱私網路架構、監視經濟、人工智慧、身分辨識系統、分散式網路,到內容的發現與虛假資訊,但未來若要建立新產品也必須採用不同的方式,包括重新分配資源。

在對內的備忘錄中,Baker則說的更坦白,指出他們是在衡量所有途徑之後,才把減少人力納入今年的計畫,大家應該記得,他們曾希望在去年及今年推出新的訂閱產品以提高搜尋以外的營收,但這件事並未如期發生,他們低估了建立及推出新收費產品的時程,因而決定在今年採用更保守的作法,在能力所及的範圍內創新,以支出不超過收入作為基礎。

Mozilla執行長Chris Beard曾在去年對外透露,準備在去年10月時發表付費版的Firefox瀏覽器,只是迄今尚未成真。此外,Mozilla也曾在去年9月發表Firefox Private Network虛擬私人網路服務,這是項付費服務,月費為4.99美元,但目前仍處於限時測試階段

根據Mozilla在2018年的財報,Mozilla基金會與旗下子公司在該年創下了4.5億美元的營收,當中有4.3億美元來自於授權收入,亦即在Firefox中嵌入各種搜尋引擎的收入仍占該組織總營收的95%,廣告及訂閱費用則只占537萬美元,看來Mozilla要開闢新的訂閱營收還有不短且未知的一段路要走。

Viewing all 32124 articles
Browse latest View live