Quantcast
Channel: iThome
Viewing all 32128 articles
Browse latest View live

傳FBI壓力迫使蘋果放棄iCloud加密計畫

$
0
0

蘋果和美國警方最近又上演iPhone後門的對抗戲,不過路透社周二報導,蘋果疑似在聯邦調查局(FBI)的壓力下,放棄為iCloud備份加密的計畫。

近日FBI因調查去年12月,發生在佛州彭薩科拉(Pensacola)海軍航空基地的恐怖攻擊,和蘋果發生爭執。由於涉案的沙烏地空軍上尉Mohammed Alshamrani也在槍戰中身亡,為了釐清案情,FBI要求蘋果幫忙解鎖嫌犯的2支iPhone。之後美國司法部長William Barr公開控訴蘋果迄今還是沒提供任何實質協助,連美國總統川普也指責蘋果忘恩負義,接受政府幫忙卻拒絕解鎖兇手手機。蘋果則反駁已經提供兇嫌大量iCloud備份資料。

報導引述未具名前任與現任FBI探員、與前任及現任蘋果員工的說法報導,兩年多前在FBI的反對下,蘋果中止為iCloud備份加密的計畫。當時蘋果告訴美國警方計畫提供iPhone用戶端到端(end to end)的加密,來保護用戶儲存在iCloud的資料,本專案代號為Plesio 或KeyDrop。在這項計畫下,一旦加密後,連蘋果也不會保有解密金鑰,這意謂著即使有法院命令,蘋果也無法交出iCloud明文資料。

但是FBI代表不久後密會蘋果,表達FBI網路犯罪探員及技術部門反對這項計畫,因為這會阻撓他們取得辦案最有用的證據。而隔年當蘋果再次就手機安全計畫密會FBI時,已經沒有這個端到端的加密計畫了。

至於取消的真正原因則不得而知。按照時間推算,當時蘋果和FBI已經因為加州聖伯納迪諾市(San Bernardino)槍擊案,有過激烈對立。有的消息來源說,蘋果不想再和政府起衝突,以免被指為袒護罪犯或吃上官司,但蘋果的消息來源則指出,蘋果取消Plesio(或KeyDrop)專案的原因是,通常是用戶自己忘記密碼而無法存取iCloud,這才導致蘋果取消本計畫。此後蘋果就比較強調在iPhone端的安全性。

蘋果和FBI皆拒絕對此評論。

不過富比世報導上周報導,去年底的槍擊案中,FBI早已利用一家美國公司Grayshift公司的GrayKey,來解鎖兇嫌的iPhone 5、7,何以還需大動作要蘋果幫忙在iOS中加後門?媒體懷疑這只是為了美國政府推動立法的合法性。澳洲2018年通過了備受科技業者及安全社群反對的反加密法案,要求科技業者必須協助官方或警方取得加密內容,而且不准對外透露。


沙國王儲曾駭進Amazon創辦人貝佐斯手機

$
0
0

英國衛報在本周引述消息來源報導,Amazon創辦人暨執行長貝佐斯(Jeff Bezos)的手機,曾在2018年時被沙烏地阿拉伯王儲Mohammed bin Salman以一則惡意的WhatsApp訊息入侵,隨後即發生了《華盛頓郵報》專欄作家Jamal Ahmad Khashoggi被殺害,以及貝佐斯的私人訊息曝光的事件。

數位鑑識專家是在美國八卦周刊National Enquirer在去年1月,揭露貝佐斯的婚外情事件,還取得貝佐斯的私人訊息之後,開始檢查貝佐斯的手機。

衛報引述了不願具名的消息來源指出,鑑識結果顯示貝佐斯收到了Salman所傳來的一則惡意WhatsApp影片,開採了WhatsApp的安全漏洞,進而蒐集手機上的所有內容。

報導並未提及漏洞細節,但臉書曾在去年5月修補了編號為CVE-2019-3568的安全漏洞,該漏洞允許駭客藉由特製的SRTCP封包觸發,以用來執行任何程式,且波及Android、iOS、Windows Phone及Tizen等平臺上的WhatsApp版本。當時金融時報則報導駭客已利用該漏洞,在受害者的手機上植入了Pegasus間諜程式。目前並不確定CVE-2019-3568是否即為Salman所利用的漏洞。

衛報揣測,Salman與貝佐斯交好,可能是因為一來他希望貝佐斯能到沙烏地阿拉伯投資,二來也許是想藉由貝佐斯,改變華盛頓郵報對沙國的報導風向。

而就在貝佐斯的手機遭駭之後,2018年的10月,沙國異議人士兼華盛頓郵報專欄作者Jamal Ahmad Khashoggi,於沙烏地駐伊斯坦堡領事館被殺,外界一直懷疑幕後黑手為Salman,而2019年的1月,八卦周刊National Enquirer即開始揭露貝佐斯的婚外情事件。

目前不管是沙烏地阿拉伯或貝佐斯都未回應衛報的報導。

老牌視訊會議廠商Polycom揭露合併Plantronics後在臺新布局,將聚焦雲端、AI、行動優先

$
0
0

美國老牌視訊會議廠商Polycom與藍牙耳機製造商Plantronics合併成立的新公司Poly,近日在臺灣一場新品發布會上,也揭露在臺經營策略新布局,將聚焦雲端、AI、行動優先的策略,更預告將在1月底推出結合AI、大數據分析、視訊會議管理的全新Poly雲。

在2018年與Plantronics合併,改以Poly之姿亮相後,Polycom直到去年底才公布了新一代視訊會議產品系列Studio X,Poly大中華區總裁李金水表示,過去1年來,最主要工作就是在進行兩家公司內部組織重整與資訊系統整併,而在兩家RD部門合併後,Poly在全球擁有多達1400多項專利,都是跟影音視訊及耳機通訊技術相關, 如何發揮兩家的技術強項,研發推出新產品,成為整併後首要的任務。

由於Polycom以視訊會議產品為主,Plantronics則專攻藍牙耳機裝置,在整併之後,李金水指出,自今年起,將全面改以Poly做為新品牌,未來產品名稱也將不再使用Polycom與Plantronics,而以Poly取代。兩家原先各自獨立的產品線及服務 ,也整併成5大塊,包括個人裝置 (免持電話、UC耳機、桌上話機與行動通話站)、多人群組共享裝置(視訊會議通話、USB視訊裝置、視訊會議系統)、視訊協作(如RealConnect服務)、管理(如PMP、PDMS-E),以及服務(如RealConnect Implementation、onboarding新增服務、Teams管理服務)。

不同於以前視訊會議產品生命周期較長,平均每5年才須更新一代,李金水強調,未來產品翻新周期速度會更快,才能夠滿足用戶需求。尤其是在提供雲端、App視訊會議及協作服務更是如此。這也是Poly未來兩大發展主軸。

以雲端為例,Poly近年來也開始要讓自家視訊會議產品,可以支援主流的雲端視訊協作平臺,如Microsoft Teams、Zoom等。去年Poly更在微軟Ignite大會推出內建Teams視訊會議功能的視訊產品Studio X30、Studio X50、免持電話以及CCX桌上話機,讓企業用戶能在Poly裝置上使用第三方的視訊協作App,如Teams app等,在不同會議空間上來進行視訊會議。去年先支援Zoom,今年也將加入Teams app使用。Studio X30、Studio X50兩款產品今年1月在臺推出。這也是兩家經過1年研發推出的首款視訊會議產品。

除了支援高品質4K影像與音訊音質,Poly在新一代視訊會議系統,也整合自家最新NoiseBlockAI噪音遮蔽技術,透過這套會議系統,不只能認人、知道會議室參加者的姓名和職稱,還能認得發言者的聲音,知道現在講話的人是誰。另外在多人會議時,也能在同一個畫面上自動放大在講話的兩個人(不同地點開會)的特寫畫面。而且不用多鏡頭,只須單顆鏡頭就能執行這項功能。除此之外,還能透過ML來改善背景干擾的影響,比如將旁人打字聲音自動靜音,但仍可聽到說話者的聲音。Poly表示,不論是Studio X與G7500視訊會議系統都將整合這項功能,去年美國已先推,亞洲也將在第一季更新到3.0韌體時正式提供。

在作業系統方面,Poly亞太區技術總監Bill Zeng則表示,未來視訊會議產品將搭載全新Android 9,來取代原本客製化Linux版本,他表示,這麼做的原因是,要讓自家產品可以支援跨平臺,讓不論是微軟Team 或Zoom協作平臺以後都可以在Poly視訊會議裝置上執行。

新上任的Poly臺灣區總經理姜怡凡也揭露未來在臺經營策略,將聚焦雲端、AI、行動優先,而且除了原本在臺提供的雲端視訊會議服務外,他還預告,很快在1月底還要推出一朵全新的Poly Cloud,主要用來提供管理和數據分析功能,未來也將把原本兩家各自擁有的雲端服務或功能,整合到這朵新的雲上,例如Polycom現有提供的視訊裝置管理雲端服務PDMS-E, 未來也會逐步整合到新的Poly雲上。同樣地,在 Plantronics耳機上提供的PMP管理界面(Plantronics Manager Pro)也會整進來,將在同一朵雲上來提供管理、更新及分析服務。

他也透露,未來這些雲端服務或功能,將採訂閱方式提供   除了有免費試用版本之外,也會有提供完整功能的商業付費方案。

報導:蘋果最快3月初就會發表iPhone SE2

$
0
0

彭博社本周引述消息來源報導,蘋果供應鏈準備要在今年2月開始組裝低價iPhone,最快會在今年3月發表。

彭博社並不確定該低價iPhone的名稱,但蘋果將在2016年發表的低價iPhone命名為iPhone SE,因此外界通常將第二代的低價iPhone稱為iPhone SE2。

根據報導,iPhone SE2的外型將類似iPhone 8,它將採用4.7吋螢幕,也具備整合Touch ID的Home鍵,但採用與iPhone 11一致的A13處理器。

雖然目前iPhone 8的售價仍為449美元,但第一代iPhone SE的售價只有399美元,尚不確定iPhone SE2是否會效法第一代的訂價策略。

在iPhone SE於2016年問世以來,年年都有關於蘋果即將發表SE2的傳聞,不過這次的傳聞看起來最具體,知名蘋果分析師郭明錤也曾在去年10月預測,蘋果會在今年第一季發表iPhone SE2。

Fintech周報第130期:MUFG聯合銀行將以雲端原生架構開發下一代核心系統平臺

$
0
0

0118~0124

 雲端原生   核心系統   IT現代化  
MUFG聯合銀行將以雲端原生架構開發下一代核心系統平臺
三菱日聯金融集團旗下成員,同時也是美國前20大金融控股公司MUFG Americas Holdings子公司的MUFG聯合銀行(Union Bank),在1月15日宣布合作金融服務技術提供商FIS(Fidelity National Information Services),將使用FIS的現代銀行平臺,共同開發與設計MUFG聯合銀行的下一代核心系統平臺,這也將是他們轉型計畫的核心,以推動創新並滿足目前和未來客戶不斷變化的需求。

聯合銀行表示,他們是全球第一家選擇新的現代銀行平臺來推動創新的金融機構,該平臺還包括FIS Digital One全通路平臺,將為銀行提供一系列的先進功能,比如直覺的用戶介面與用戶體驗,以及整合數位與行動銀行的工具。

聯合銀行將重新定義核心系統平臺,以雲端原生(cloud-native)方式建構,並將具備開放且以元件為基礎的架構,這也將使得聯合銀行能輕易整合第三方解決方案,並在無縫滿足複雜監管要求的同時,更快地為客戶帶來創新產品。

透過這樣的現代架構,聯合銀行認為將能達成5大目標,一是加快創新服務推出市場的速度。二是在不影響銀行其他功能與數據的狀況下,升級或取代單一系統元件。第三則是以客戶為中心,並利用數據分析與AI更了解單一客戶需求,提供其客製化的金融產品。而雲端原生的架構,也將為系統帶來高彈性、可擴充性與成本效益。五是透過安全與詐欺偵測功能,協助銀行滿足複雜且不斷變化的監管要求。

 國泰金控   FinTech新創 
擁抱新創也要系統化,國泰金控海選全球412家FinTech公司,揭露8大業務創新方向

國泰金控首度公開一項大規模的新創評選計畫「國泰金融創新實驗室」進展,第一波從全球412家新創中,選出了9家合作對象,以國泰金控今年要發展的8大業務創新方向,包括AI詐欺偵測、生物特徵分析、大數據分析、AI自動鑑價、輿情分析、金融支付、法遵/反洗錢、文意分析等,在國泰金控旗下各子公司的業務場景,進行為期5個月的POC驗證實驗,預計在今年6月揭露成果。 比如9家合作對象之一的新加坡新創LenddoEFL,提供AI的心理分析問卷SaaS平臺,可用在對貸款申請者以及現有客戶的信用評分,作為替代性的信用風險評等,了解客戶還款的意願,這部分未來預計的應用場景是國泰旗下的銀行端,包括了臺灣與東南亞。 

有別於過去與新創合作的方式,國泰金控採取了一個新的模式,來引進新創的技術與文化。從以往一家家與新創談合作找落地應用場景,轉為瞄準集團旗下子公司業務部門的需求,以系統性模式招募全球FinTech新創公司,要加快擁抱新創技術的速度,更作為國泰金控未來的業務創新重點方向。國泰金控資深副總經理孫至德強調,透過了解各業務單位的需求,能有更清楚的目標,來篩選合作的技術新創公司。(更多內容)

 Amazon   新式支付系統   
Amazon傳開發手掌掃瞄支付系統
華爾街日報報導,電商巨人Amazon正在開發藉由掃瞄手掌為基礎的新式支付系統。報導引述消息人士指出,這套支付系統為一個Amazon開發的手掌掃瞄終端機,這個專案目前還在早期測試階段。但這家電商巨人已經和Visa合作測試,也已和Mastercard及富國銀行、摩根大通洽談中。

去年12月底美國專利商標局公布Amazon一件非接觸生物辨識系統的申請案,Amazon內部正在開發代號為Orville的非接觸身分辨識系統,可以電腦視覺及深度幾何,來量測手的大小及形狀。報導指出,這個系統已經先在Amazon紐約分公司使用於員工購買零食、充電器或肥皂等自動販賣機時掃瞄手部,預計很快推到Amazon的Whole Foods或無人商店Amazon Go。此類支付方式一開始需要用戶先在終端機內掃瞄手部影像並插入信用卡,兩者綁定後,未來用戶只要在感測器前揮個手就能付款。(更多內容)

 Visa   Plaid 
Visa以53億美元買下金融新創Plaid

跨國金融業者Visa宣布將以53億美元買下美國的金融科技新創業者Plaid,以協助人們以更安全的方式連結各種行動程式與他們的金融帳號,雙方預計在未來半年內完成交易。2013年於美國舊金山成立的Plaid打造了一個技術平臺,協助開發人員打造與金融相關的應用程式,比如當使用者建立行動支付服務Venmo的帳號時,Plaid即扮演連結Venmo帳號與使用者金融帳號的角色。

根據統計,2015年時全球只有18%的網路用戶透過行動程式來轉帳或交易,但到了2019年已成長至75%。Plaid則說,具備美國銀行帳號的使用者中,4個就有1個使用相關服務,該公司的平臺介接了2,600個金融科技的開發人員與1.1萬個金融組織。

Visa表示,併購Plaid一方面強化了Visa既有的業務,另一方面也讓Visa進入一個全新的業務,同時還讓Visa能夠參與金融科技的所有發展階段,緊密結合金融科技並推動Visa的核心業務。

 行動支付   資策會MIC  
資策會MIC調查:臺灣行動支付用戶達6成,LINE Pay為最常使用的行動支付品牌

資策會產業情報研究所(MIC)在2019年9月進行行動支付消費者調查,採取的是網路調查方式,調查對象為臺灣18~65歲擁有智慧型手機的消費者,有效樣本為534份。調查顯示,臺灣使用行動支付用戶已達6成,而用戶最常使用的行動支付品牌,前3名依序為LINE Pay、街口支付、Apple Pay。消費者使用行動支付的前5大場域,依序為超商、量販店、超級市場、連鎖餐飲、網路商店。MIC資深產業分析師胡自立表示,前3大最具成長潛力的場域為交通運輸、連鎖商店與繳費,三者的用戶滲透率在2019年皆成長1成左右,2020年仍需持續關注其成長趨勢。

根據資策會MIC調查,2019年用戶曾使用的前5名行動支付,依序為LINE Pay(59.6%)、街口支付(40.7%)、全聯的PX Pay(32.6%)、台灣Pay(27.3%)、Apple Pay(25.3%)、全家FamiPay(25.3%)。MIC表示,數據顯示首度有通路自有品牌擠進行動支付前5大排名。

不過,臺灣網路資訊中心(TWNIC)於去年同一時間,以市話與手機電訪的方式,調查全臺灣用戶使用行動支付比例卻只有2成5,比起資策會MIC調查的6成的數據低了許多。

 街口支付   跨境支付   
街口跨境支付服務在日本開通
街口電子支付近期推出跨境支付服務,鎖定臺人喜愛且頻繁赴日旅遊,第一個開通的服務地區是日本,用戶可直接在指定合作店家使用街口支付來消費。街口與日本當地的支付機構合作,包含新生銀行子公司Aplus、軟銀集團子公司SB Payment Service、日本樂天銀行,還有第三方預付卡公司InComm Japan等,來進入日本通路。不過,該服務不能綁定信用卡,僅限街口帳戶或是已連結的銀行帳戶來交易,街口執行長胡亦嘉解釋,因沒有透過國際信用卡支付機構,而由日本合作夥伴提供金流服務,不會收取海外交易手續費。 第一階段開通服務的店家以免稅店、百貨公司、大型電器和藥妝店為主,像是博多大丸百貨、倍適得和龍生堂藥局等品牌商,超過8千間店,農曆春節後,會增加東京羽田機場。下一階段,街口目標在6月底東京奧運開幕前,擴展可用店家數達10萬,還會納入旅遊景點,像是晴空塔。

圖片來源:MUFG Union BankPlaid;攝影/李靜宜
責任編輯/李靜宜

 金融科技近期新聞 
1. STO終於上路,金管會正式將證券型代幣交易業務納入證券交易法
2. 凱基銀行為嘉南地區5大宮廟建置電子支付系統,民眾嗶悠遊卡、 信用卡或行動支付即可添香油錢

3. 遠東商銀即將推出智能客服

Windows EFS可被用來實作勒索軟體,防毒軟體偵測不到

$
0
0

安全公司發現一種新手法,可用微軟的加密技術Encryption File System(EFS)來實作勒索軟體,讓現有多家安全防護產品無法偵測。

微軟從Windows 2000時代起為商用版(Pro、Professional、Business、Ultimate、Enterprise及Education)加入EFS。EFS是利用NTFS驅動程式執行加/解密,其金鑰一部份是存在檔案,另一部份則是由Windows用戶帳號密碼產生,因此用戶無需再提供EFS密碼。EFS不同於Windows BitLocker,後者是針對全硬碟加密,而EFS則可加密特定檔案或資料夾。

安全公司Safebreach發現了一種勒索軟體實作方法,可利用EFS來強化勒索軟體的威力。首先以勒索軟體產生EFS所用的金鑰及憑證,將金鑰儲存在以CAPI(CryptoAPI)使用的檔案中,接著將憑證加入到個人憑證庫,再將產生出的金鑰指定為憑證的EFS金鑰。下一步即可呼叫該金鑰加密所有檔案或資料夾。最後,將金鑰檔案儲存到記憶體中,並從二個資料夾(「%APPDATA% \Microsoft\Crypto\RSA\sid\」以及「%ProgramData% \Microsoft\Crypto\RSA\MachineKeys\」)中刪掉,讓使用者再也找不到。

簡單的說就是結合EFS加密檔案(及資料夾)的特點,再讓加/解密金鑰消失。這麼一來,被勒索軟體加密的資料,只有駭客持有的私鑰才有辦法解密。

研究人員以市面上3家「知名」安全軟體,來測試他們的概念驗證(PoC)勒索軟體,結果3家都無法偵測到。之後他們聯絡17家防毒和防勒索軟體廠商測試其PoC,許多也宣告失敗。這些業者現在也都更新了產品,以便加入偵測這種EFS勒索軟體的能力。

研究人員說,這突顯出安全防護技術必須要不斷演進,以因應不斷翻新的攻擊手法。Safebreach研究部門副總裁Aimt Klein指出,這種新手法不僅難以發現及防堵,而且還有可自動化執行,無需人力介入的優點。該公司表示,特徵檢測式(signature-based)技術無法防堵,啟發式(heuristic-based)或普遍特徵(generic-based)方案或許可以,但還需要以更先進研究協助訓練演算法。

微軟最後一次的Windows 7更新把桌面變黑了

$
0
0

微軟在1月14日釋出Windows 7的最後一次更新,分別是包含安全更新在內的品質彙總套件KB4534310,以及只含安全更新的KB4534314,不過,有用戶在Reddit上抱怨,安裝了相關的更新之後,他們原本設定的桌布就不見了,變成全黑的背景。

根據用戶及媒體的測試,安裝了上述任一個更新程式之後,只要使用者的桌布是以「延伸」(Stretched)的方式呈現,它就會變成全黑,而且就算這些桌布是透過「群組原則」(Group Policy)所設定,一樣會受到影響。

當使用者解除相關更新程式的安裝之後,桌布就會回歸正常,但其實只要使用不同的桌布尺寸,不要透過「延伸」來部署桌布,也能解決桌面變黑的問題。

有人猜測這是微軟為了提醒Windows 7用戶儘快升級到Windows 10而祭出的方法,也有人認為這只是一個臭蟲,微軟對Windows 7的延伸支援已於今年的1月14日到期,目前並不確定微軟是否會修補該臭蟲。

歐洲與4國央行計畫考慮發行數位貨幣

$
0
0

歐洲、日本、英國、瑞士及瑞典中央銀行及國際清算銀行(Bank for International Settlements,BIS)周二宣佈,將合組聯盟,推動在各國發行國家級數位貨幣的計畫。

臉書去年宣布Libra數位貨幣專案後,遭到各國政府及央行反對,擔心Libra這類貨幣將動搖現行貨幣制度、助長網路犯罪及恐怖主義,以及若結合臉書用戶資訊將侵犯用戶隱私。而此後由央行發行的數位貨幣(Central Bank Digital Currency,CBDC)便成了熱門議題。

上述國家央行包括歐洲央行、日本銀行、英國銀行、瑞士國家銀行及瑞典中央銀行組成的聯盟,將評估央行數位貨幣的使用案例;CDBC經濟、功能及技術設計選項,包括跨境相容問題,他們也將就區塊鏈等新興技術互相交流。同時他們也會邀集相關機構,像是金融穩定委員會(Financial Stability Board)與國際清算銀行下的支付暨市場基礎設施委員會(Committee on Payments and Market Infrastructures,CPMI)參與。

本協會將由BIS數位貨幣計畫主持人Benoît Cœuré,及英國央行副行長Jon Cunliffe擔任共同主席。

這恐怕使Libra前途更加悲觀。Libra採行一籃子貨幣為基礎,以不同比例和美元、歐元、日圓、英鎊、新加坡幣連動,但是各國央行並不同意這種一籃子貨幣掛勾的設計。瑞士總統Ueli Maurer去年底接受媒體訪問時指出,如果Libra再不改,和失敗已相去不遠。

Libra幣發行前途未卜之際,包括Paypal、eBay、Visa、Mastercard 已經宣布退出Libra聯盟。


國發會:國內行動支付普及率達6成,2025年朝90%邁進

$
0
0

國家發展委員會(國發會)引用資策會MIC調查指出,國內行動支付普及率已達到6成,今年將繼續擴大國內行動支付的消費場域,以達成2025年普及率9成的政策目標。

國發會指出,在政策推動下,2019年國內行動支付領域擴大,包含日常繳費、大眾運輸、民生消費、校園生活、觀光旅遊,而商家及民眾也普遍接受手機支付,增加行動支付的使用量。

以交通觀光為例,繼高鐵、機場捷運、高雄捷運之後,去年臺鐵完成系統建置,今年淡海輕軌、台北捷運也將加入,還有全臺12個森林遊樂區、超過8成的觀光遊樂區,以及經濟部輔導的57個知名夜市商圈將支援行動支付,擴大支付的消費場域。

國人行動支付的使用量也增加,以2019年使用行動支付繳交水電油費、稅費為例,和前一年相比,加油站的使用量成長近4倍、水電費成長3.3倍,綜所稅繳納件數則增加1.5倍。

國發會表示,2020年將繼續扮演跨部會協商角色,加速電子支付機構管理條例修法,建立電子支付跨機構平台、擴大多元行動支付場域、加速電子票證數位化。未來推動行動支付政策將更貼近民眾生活,加速行動支付的普及,以達成2025年普及率達9成的目標。

MIC調查:國內行動支付普及率達6成

國發會引用的是資策會近日公布的行動支付調查結果,國內行動支付使用率從2018年的50.3%提高到2019年的62.2%,行動支付的使用不再是年輕人的專利,年紀較長者對行動支付的使用率也大有提升,以46到55歲為例,逾7成曾使用行動支付,而過去三個月曾使用行動支付的「積極用戶」也在2019年成長至將近7成。

資策會MIC的這份調查是在去年9月進行,以網路訪問18到65歲擁有智慧型手機的民眾,有效樣本為534份,在95%信心水準之下,抽樣誤差為正負4.24%。MIC將「行動支付」定義為使用智慧型行動載具(如智慧型手機、穿戴式裝置等),透過身分驗證、掃碼及NFC感應等驗證(密碼或生物特徵等)和傳輸技術,以非現金在實體商店結帳付款、取得商品或使用服務的支付方式。

根據其調查,國人曾使用的行動支付前五名為Line Pay(59.6%)、街口支付(40.7%)、PX Pay(32.6%)、台灣Pay(27.3%),第五名為Apple Pay與FamiPay同為25.3%。

若進一步區分為通用型(不限通路)及限定型(特定通路自有品牌)。通用型行動支付前三名為Line Pay、街口支付、台灣Pay;而限定型的前三名則是全聯PX Pay、全家FamiPay、7-11的Open錢包。

資策會MIC資深產業分析師胡自立表示,國內行動支付這幾年有相當大的變化,從2017年國際三大通用型行動支付來臺,大型通路紛紛導入通用型行動支付,這幾年零售市場變化快速,大型通路業者面臨轉型需求,推出自有品牌支付服務可和消費者建立更緊密的連接,並節省與通用型行動支付業者間的拆帳,2018年開始有大型通路業者推出自有品牌支付服務,例如家樂福、萊爾富、新光三越等,2019年更多通路業者加入,特別是首次進入排名的全聯PX Pay,以往通用型行動支付多鎖定45歲以下的消費者,全聯由於本身通路的特性,PX Pay鎖定40或45歲以上顧客,由門市專人協助消費者下載教學,以吸引中高齡消費者。

通路業者通過自家App經營會員、支付、點數,胡自立指出,這些擁有資源的大型通路也開始展開異業合作,例如共享會員、點數、通路等等,而推出自有支付服務也有助於通路業者轉型,以綁定線上購物或整買零取,養成消費者習慣,將提高後進者的門檻。

國內行動支付普及率可能沒那麼高

值得注意的是,同樣在去年9月間調查的台灣網路資訊中心(TWNIC),去年底發布「2019年台灣網路報告」,也針對國人使用行動支付的情形進行調查,發現我國行動支付使用率從2017年的14%,上升至2019年的25%。

相較於資策會MIC的調查是以18到65歲使用智慧型手機的民眾進行網路調查,TWNIC的調查對象更為廣泛,針對12歲以上民眾進行市話與手機電話,以分層抽樣對6都、16縣市進行抽樣,總樣本數為2 ,134份,95%信心水準下,調查的抽樣誤差在正負2.12%之內

這份報告指出,行動支付使用率成長最多的是30到34歲的年齡層,有47.5%曾使用行動支付。使用行動支付的民眾裡,前三名行動支付服務依序是超過50%的LINE Pay,4成左右的Apple Pay,以及接近2成的街口支付。全聯在2019年推出的PX Pay異軍突起,使用率約為8.3%居第四,台灣Pay以6.1%居第五。

ProtonVPN開源所有平台的程式原始碼

$
0
0

虛擬私人網路服務ProtonVPN本周宣布已開源所有平台上的ProtonVPN程式原始碼,歡迎全球開發人員稽核該服務的安全性,創下全球VPN服務開源的首例。

ProtonVPN是由瑞士Proton Technologies公司所打造,Proton先是在2014年發表端對端加密的電子郵件服務ProtonMail,繼之於2017年推出虛擬私人網路ProtonVPN,而ProtonMail也已於2015年開源。

Proton共同創辦人Andy Yen指出,曾有研究顯示,Android平台上的VPN程式有1/3含有惡意程式;另有許多VPN服務含有安全漏洞;還有些免費的VPN服務宣稱可保護使用者的隱私,卻私下盜賣用戶資料予第三方;坊間的VPN服務缺乏透明與問責,也無從得知它們是否完全遵循歐盟的GDPR隱私法令。

因此,該公司決定開源Windows、macOS、Android與iOS平台上的ProtonVPN程式,並公布安全稽核報告。

Yen說,當人們沒有透過VPN連網時,未加密的網路流量可能會受到Wi-Fi供應商、ISP、駭客或政府的監控,裝置的IP位址或所造訪的網站都會曝光,人們期望透過VPN連網能夠避免受到上述的監控,然而,這時的VPN卻搖身一變成為使用者的ISP,同樣能看到使用者的瀏覽紀錄、IP位址及所在地,突顯了選擇可靠VPN服務的重要性。

因此,開源程式碼將允許全球的安全研究人員檢查ProtonVPN如何執行加密,或是如何處理使用者的資料,確保該程式嚴格遵守Proton的隱私政策,也能藉由安全社群的協助,及早辨識程式漏洞並修補,降低VPN程式的安全風險。

目前開發人員已可在GitHub找到不同平台的ProtonVPN程式碼,也能在ProtonVPN官網上檢視它們的安全稽核報告。

FBI揭露網路上的假徵才真詐騙事件

$
0
0

FBI在本周警告使用者,要小心網路上的假徵才真詐騙事件,並說從去年初以來,被詐騙的求職者平均損失接近3,000美元(約9萬元新台幣)。

FBI表示,假徵才真詐騙過去就存在了,只是數位時代讓這樣的詐騙行為更方便。詐騙者通常會先設立一個仿冒某個企業的網站,再於各大求職版面張貼徵才廣告,一但有求職者踩入陷阱,詐騙者即會進行面試,但通常是藉由通訊程式,並透過電子郵件聯繫,而不會採取實際碰面的面試活動。

接著詐騙者會通知使用者已被錄取,還會寄出合約書,並向求職者索取駕照、社會安全碼、銀行帳號及信用卡等資訊,並說因為要替求職者進行背景調查、訓練,或是得購買設備,而要求求職者先支付一筆款項,而此一金額會在求職者第一次領薪水時順便歸還。

只是,詐騙者通常在拿到求職者所匯出的第一筆款項之後,就消失無蹤了。

從2019年初開始,FBI就收到不少假徵才真詐騙的投訴,且每名受害者平均損失的金額接近3,000美元。

FBI指出,求才詐騙使用許多同樣的手法,像是藉由通訊程式面試、只透過電子郵件聯繫而非電話號碼、使用非企業的電子郵件帳號與求職者聯繫、通常是可在家工作的職缺,以及會要求使用者購買設備等。

由於有些行為其實真假難辨,因此FBI建議求職者在找工作時,若是在第三方網站上看到職缺,最好不要直接點選連結,而是直接透過該企業的官網進行確認;個人的身分資料或銀行帳號資訊,最好是在被聘請之後親自提供,且必須確認對方的身分;不要匯錢給任何在網路上認識的人;不要提供信用卡資訊給任何雇主;在網路上要輸入身分資訊時,應再三確認該站是合法且安全的。

從Go學Unicode、UTF

$
0
0

面對Unicode與UTF,你還傻傻分不清嗎?Go中沒有字元型態,如果使用rune儲存碼點,而字串就是UTF-8編碼後的位元組,在Go中要處理文字,開發者一開始就必須了解Unicode、UTF的差別。

string與[]byte

現代程式語言大多支援Unicode,然而,有不少開發者搞不清楚「支援」是怎麼一回事。

將Unicode、UTF-8/16/32視為等義詞的,大有人在,也常見有「Unicode使用16個位元儲存」這種錯誤的說法。

或許這樣的狀況不應該怪罪開發者,因為,多數程式語言選擇將編碼的細節隱藏起來,多半模糊地談到字串或字元支援Unicode,或者字串是由字元組成之類的說法。

然而,在〈Strings, bytes, runes and characters in Go〉(https://bit.ly/2rK7vTR)談到,「字元」的定義本身就很模糊,而在這模糊的定義上,又去定義「字串」是由字元組成這件事,就更令人搞不清楚了,因此衍生出許多文字處理方面的問題。

而為了避免這些問題,Go的字串從一開始,就以UTF-8為設計的中心。

初學Go的開發者,一開始就會面對「字串持有的就是位元組」這個事實,len("Go語言")的結果會是8,也是因為實際上"Go語言"就是長度為8的[]byte,也就是UTF-8編碼。

而開發者在指定索引時,就是指定UTF-8碼元(code unit)的位置,當下所取得的結果會是byte;此時,我們可以使用byte[]("Go語言")取得儲存的編碼位元組,切片操作的結果也會是[]byte。

許多與字串索引相關的API操作,傳回索引值時,指的都是字串持有的[]byte之位置。例如,strings套件有不少字串處理API,名稱有Index的字樣,例如,strings.Index傳回的整數。指的就是[]byte的索引位置;regex.Regexp實例上具有Index字樣方法,也是如此。

Go中可以使用for range走訪字串,取得的整數是[]byte的索引位置,然而,索引並不是遞增1的方式,這要看取得的另一個值而定,例如底下的範例,i依序會是0、1、2、5,cp依序就是'G'、'o'、'語'、'言':

for i, cp := range "Go語言" {
fmt.Printf("%d %q\n", i, cp)
}

rune與unicode

使用for range走訪"Go語言"時,最後一個i會是5,原因是:UTF-8在編碼時,中文字會使用三個碼元(也就是三個位元組),for range會試著識別一組碼元,確認是否對應至Unicode碼點(code point),若是指定給cp,而cp的型態是rune。

基本上,Go沒有所謂的字元對應型態,只有碼點的概念。

例如,rune為int32的別名,可用來儲存Unicode碼點,如果將方才範例%q改為%d,就會看到「語」、「言」的碼點的十進位數字,分別是35486、35328,在Go也可以用[]rune("Go語言")來取得[]rune,每個索引位置所儲存的都是碼點。

開發者這時就要搞清楚了!

因為Unicode為世界上大部分文字系統進行了整理,給予每個文字一個碼點號碼,而Go中的rune,儲存的就是文字的碼點號碼,其型態名稱不使用codepoint的原因在於,rune這個名稱比較簡短,並且來自一類已滅絕的盧恩字母(Runes)(https://bit.ly/2rKbjVa)。

每個文字的Unicode碼點是固定的,然而因為系統平臺的設計或是儲存空間上的考量,會轉換為不同的格式,所以,正式名稱為Unicode轉換格式(Unicode Transformation Format),簡稱為UTF,每一個Unicode碼點,可以轉換為UTF-8的位元組格式儲存,也可以轉換為UTF-16,或者是其他格式的儲存。

Go主要使用UTF-8位元組格式,作為字串的底層儲存,不過,也提供了unicode套件來協助Unicode碼點特性判斷。

例如,unicode/utf8可用來進行rune與UTF-8之間的驗證、轉換,unicode/utf16套件用來進行rune與UTF-16編碼之間的處理。

如果察看unicode/utf8,會發現處理的資料是[]byte,這是因為UTF-8的碼元是八個位元,Go中使用byte(也就是uint8)儲存;UTF-16編碼的碼元會是十六個位元,Go使用uint16 來儲存,因此unicode/utf16處理的資料是[]uint16。

其他編碼呢?

不論從哪個面向,都可以看出Go獨厚UTF-8,這可能是因為Go的設計者之一Ken Thompson,也曾經參與UTF-8的設計。

然而,如果文字資料的來源並不是UTF-8呢?例如,儲存時使用Big5的檔案?

解決的方法之一(也許是Go最希望的方式),是將檔案額外儲存為 UTF-8,再使用Go來讀取,當然,並非所有的場合都可以這麼做。

另一個方式是,使用golang.org/x/text套件。基本上,golang/x是一系列官方的擴充套件,我們必須額外安裝,而這些套件也是Go專案的一部份,只不過在相容性的維護上,比較沒那麼嚴格。

實際上,golang.org/x/text套件目前包含了文字編碼、轉換、國際化、本地化等文字性任務,而關於文字編碼的轉換,主要由其中的transform套件處理,至於Encoder、Decoder,都是transform.Transformer介面的實現。

對人類來說,Encode意謂著轉換為人難以理解的格式,Decode是轉換為人易於理解的格式;由於Go字串是以UTF-8為中心而設計,因此,關於從UTF-8轉換為其他編碼的這個動作,稱為Encode(轉換為Go本身不能理解的編碼),而從其他編碼轉換為UTF-8的這個動作,稱為Decode(轉換為Go本身可以理解的編碼)。

為了便於使用,擴充套件中的encoding定義了Encoding介面,NewDecoder、NewEncoder分別可以傳回*Decoder、*Encoder,而encoding中的traditionalchinese.Big5就是實現之一,因此要將Big5轉為UTF-8,基本的作法就是:

big5ToUTF8 := traditionalchinese.Big5.NewDecoder()
big5Test := "\xb4\xfa\xb8\xd5" // 測試的 Big5 編碼
utf8, _, _ := transform.String(big5ToUTF8, big5Test)

由於transform也定義了Reader、Writer,此時,我們可以用來將Transformer與io.Reader、io.Writer包裹在一起,若開發者想要這麼做,就可以基於它們而寫個Big5Reader、Big5Writer之類的API。

不優雅但務實的做法

Go字串就是UTF-8位元組的做法,使得撰寫文字處理相關程式碼時,絕對稱不上優雅,事實上,若仔細察看Go的發展歷史,我們可以知道,Go是為了解決工程問題而出現,既然文字處理時經常必須面對編碼的相關問題,那麼,就應該務實地面對這個問題。

因此,若開發者始終對Unicode、UTF之間的差異難以區分,可以對Go的string、[]byte、rune,以及unicode等相關套件做些瞭解,而且,在面對過去遇過的文字處理等疑問上,這不失為一種務實的釐清方式。

【臺灣IT十年回顧:CIO大調查篇】臺灣IT十年三階段變革

$
0
0

iThome

 2010  虛擬化當道、行動應用起飛

金融風暴剛過,景氣回春,企業紛紛加碼IT預算,展開電腦升級和機房整併改造,46.5%企業導入虛擬化,仍以非關鍵應用為主。雲端運算熱門,但僅1成企業嘗試。個資法遵議題浮現,3成企業禁用臉書,也有1成懂得用臉書對外行銷。2011年,IFRS法遵帶動ERP升級,半數企業積極引進iPhone,催熟企業行動應用潮。

2010年的臺灣2千大企業IT,平均約16人,半數是開發人力,要管897臺PC和41坪機房,來服務1,637名員工。

 

 2015  IT架構轉型、大數據應用起飛

雲端、行動、社交、BigData四力在臺發威,企業IT投資力道強勁,帶動IT架構開始轉型,軟體定義產品現身,桌面虛擬化熱門,雲端和大數據應用進入成長期,新興Docker、DevOps技術則剛吹進臺灣。業務流程開始平板化,行動安全管理議題棘手,APT和DDoS攻擊暴增,都帶動對應資安產品的需求,但個資法遵需求下滑。

2015年的臺灣2千大企業IT,平均約23人,其中開發人力13人,專職行動開發約2人,平均要管43臺平板、67臺伺服器、842臺PC和33坪機房。

 

 2019   IT助攻數位轉型、AI應用崛起

成天手機上網、沉浸數位社交世界的數位原住民,漸漸成為主流,科技巨頭紛紛搶進各產業、進軍在地市場,臺灣也同時面臨消費世代更迭和全球對手的競爭,為了求生存,7成臺灣企業想要轉型,5成已展開行動,4成企業將上雲視為轉型關鍵戰略,連3年雲端投資占比翻倍,更積極擁抱各種AI新科技和新一代架構。但數位化越深,資安威脅和風險就越高,員工成了最大弱點,個資法遵和隱私保護更是IT新課題。

2019年的2千大企業IT,平均約43人,開發人力近6成,更有1成人手負責資安,企業平均4成工作量在私雲,2成上公雲,混合雲IT架構逐漸成主流。

Chromebook App Hub現在可依GDPR或COPPA過濾App

$
0
0

全世界各地有不少學校使用Chromebook協助教學,而Chromebook App Hub上的應用程式則可用來支援課堂活動,現在Google更新Chromebook App Hub,讓教育工作者可以更容易尋找到需要的內容。

現在教育工作者除了可以搜尋應用程式和想法之外,也能簡單地與其他教育工作者分享,而新的過濾器功能,可以讓用戶按課堂主題、裝置功能和Google整合情況,尋找最佳的應用程式提升課堂教學品質,另外,Chromebook App Hub中超過20種應用程式,為Chromebook平板電腦進行了最佳化,而且使用者還可以利用GDPR和美國兒童線上隱私保護法(COPPA)等隱私法,對應用程式進行過濾。

平板電腦具有觸控功能,可以使用觸控筆進行操作,針對平板電腦最佳化的應用程式像是Canva for Education,學生可利用拖拉的操作方式,設計海報、工作表或是資訊圖表等,而Adobe Spark也可讓學生以拖拉和縮放等方式,創建具旁白的影片、傳單和網頁。

另外,Chromebook App Hub中現在還有許多可支援視力、聽力和肢體障礙使用者的應用程式,像是WriQ可以訂製個人化的迷你儀表板,學生能夠追蹤個人寫作的總時間,系統會以正面的方式鼓勵學生進步,ReaderPen應用程式則能將掃描的文字,轉成語音播放,學生可以使用掃描至檔案(Scan-to-File)的功能,將文字掃描到Google文件中,並上傳錄製的語音檔案到Chromebook或Android裝置,以便隨時可以聆聽。

微軟客戶資料庫組態錯誤導致資料曝光

$
0
0

微軟周三公告指出,去年12月一個包含2.5億筆紀錄的客戶資料曝露於網路上,但微軟說不包含個資,且僅極少數有外洩可能。

這個問題是由安全研究人員Bob Diachenko發現後通報微軟。微軟調查後發現,原因起於該公司資料庫網路安全部門12月9日做了一次資料庫變更時,出現安全規則的組態錯誤,可讓未獲授權的人士得以存取導致資料曝露。微軟接獲通知後已在12月31日修正。

曝光的資料庫是由5台ElasticSearch伺服器叢集組成,5台機器資料相同,可能是資料庫鏡射的設計,它屬於微軟的客服及支援(Customer Service and Support)的支援案例分析資料庫,包含超過2.5億筆資料。

微軟並未說明資料型態,但ZDNet引述Diachenko指出,曝光的資料包括電子郵件、IP位址和客服對話內容。

不過微軟說,這些資料不包含客戶個資,且大部份資料都經過微軟自動化工具遮蓋(redaction),僅少部份非標準格式的資料,像是郵件信箱中有空白鍵產生空格的資料未能自動隱藏。微軟也已針對這些用戶發出通知。

微軟表示為防止再發生,已強化內部安全機制,包括對現有內部系統的網路安全規則進行稽核,擴大安全規則組態偵測的範圍,實作額外的自動化遮蓋,並就偵測到安全規則組態問題時,增加對服務部門的警告訊息。


鑑識報告曝光:貝佐斯開啟可疑影片後,iPhone X流量暴增300倍

$
0
0

在傳出Amazon創辦人暨執行長貝佐斯(Jeff Bezos)的手機,遭到沙烏地阿拉伯王儲Mohammed bin Salman透過惡意的WhatsApp訊息入侵之後,Motherboard取得並公布了來自FTI Consulting的鑑識報告,指出貝佐斯是在開啟了Salman所傳來的其中一則加密的影片之後,手機對外傳輸的流量即莫名地大增。

根據該報告,貝佐斯是在2018年4月的一場餐會上與Salman交換了手機號碼,互加WhatsApp好友,5月時貝佐斯就收到了Salman所傳送的影片,該訊息的檔案大小為4.22MB,比影片本身的容量大了一些,在貝佐斯開啟了該影片之後,貝佐斯的iPhone X手機對外的傳輸流量即突然大增,從原本每天只有430KB左右,暴增到每天126MB,而且持續了好幾個月。

且從Salman與貝佐斯的通訊當中,調查顯示Salman很早就知道貝佐斯的婚外情事件。八卦周刊National Enquirer是在2019年的1月揭露貝佐斯的不倫戀情,但Salman在2018年的11月,就曾傳送其婚外情對象Lauren Sanchez的照片給貝佐斯。

FTI Consulting為全球最大的金融顧問公司之一,貝佐斯的安全顧問Gavin de Becker在去年2月,委由FTI Consulting鑑識貝佐斯的iPhone X手機。

FTI Consulting說,雖然他們沒能在手機上辨識出惡意的流量,但並不代表該裝置現在或過去沒有被危害。

此外,有別於外界先前懷疑貝佐斯的手機,是被植入了由以色列駭客公司NSO Group所打造的行動間諜程式Pegasus,FTI Consulting的報告卻揭露了沙烏地阿拉伯與米蘭駭客公司Hacking Team的緊密關係。

根據FTI Consulting的調查,Salman的好友暨顧問Saud AI Qahtani在貝佐斯手機遭駭之際,剛好擔任沙國的網路安全主席,他不只曾下令發動多場駭客行動,也曾發起對抗貝佐斯的網路活動,更重要的是,Qahtani還握有20%的Hacking Team股權,而Hacking Team亦打造了類似Pegasus的間諜程式Galileo,並有以惡意影片開採WhatsApp漏洞的攻擊紀錄。

貝佐斯成為沙烏地阿拉伯的攻擊目標,或許起因於貝佐斯名下的華盛頓郵報對沙國的相關報導,而不管是Salman或Qahtani,都被認為與華盛頓郵報專欄作家Jamal Ahmad Khashoggi之死有關。

貝佐斯被駭事件已經引起了聯合國的注意,聯合國的人權辦公室還對此發表了公開聲明,認為Salman的作法已經違反了基本人權,呼籲美國及相關單位應該展開全面的調查。

Google揭露蘋果Safari追蹤防護工具的多個安全及隱私漏洞

$
0
0

Google的資訊安全工程團隊,在本周揭露了蘋果Safari瀏覽器追蹤防護工具的多個安全漏洞,指稱該工具不僅無法保障使用者隱私,還可能遭到駭客開採,進而外洩使用者的瀏覽習慣,遭到駭客的跨站追蹤,或是洩露跨站資訊等。

蘋果是在2017年10月時,於Safari瀏覽器中導入智慧追蹤防護(Intelligent Tracking Prevention,ITP)機制,藉由限制cookie及其它網站資料的能力,來減輕使用者遭到跨站追蹤的風險。ITP的兩大主要功能,分別是根據使用者的流量建立裝置上的常用網域列表,以及針對這些常用網域所提出的跨站請求,部署隱私限制。

不過,Google的研究人員卻發現ITP的設計潛藏著許多隱私與安全問題,將允許駭客利用各種技術檢查ITP的狀態,進而展開攻擊。

研究人員描述了許多攻陷ITP的場景,這些攻擊行動有的可揭露ITP所存放的常用網域列表,有的可辨識使用者所造訪的網站,有的能夠建立永久的指紋,也能擅自將網域加入常用網域列表,還能利用ITP進行跨站搜尋。

研究人員還提醒,所有影響網路平台基本安全屬性的變更,都挾帶著可能危及使用者隱私或安全的風險,因此在執行相關變更時,應該要特別注意及了解它們對平台的影響,暗示著當初蘋果設計ITP時,可能欠缺完善的安全考量。

由於Google是在去年向蘋果揭露漏洞細節,因此蘋果已於去年12月釋出的Safari 13.0.4與iOS 13.3修補了相關漏洞。

英國準備翻修兒童線上隱私法,預設即採用最嚴格的隱私設定

$
0
0

英國的資料保護組織ICO(Information Commissioner's Office,資訊專員辦公室),在本周公布了針對兒童所設計的正式版《分齡設計準則》(Age Appropriate Design Code),它的宗旨為追求兒童的最大利益,要求網路服務必須遵守該準則中的15項規定,其中一項為只要遇到兒童,服務的隱私預設值就必須採用最嚴格的設定,而且不得間接鼓勵兒童變更該設定。

ICO表示,在真實的世界中已存在保護兒童的法令,數位世界也需要相對應的法令。此一準則設立了不管是行動程式、連網玩具、社交媒體、線上遊戲、教育網站或串流服務等業者,在設計、開發或提供可能被兒童存取的網路服務時,所必須遵守的各項標準。

當中最具體的一項就是當兒童下載程式或造訪網站時,這些服務都必須自動採用最嚴格的隱私設定,而且不得透過各種間接的手法來鼓勵兒童變更隱私設定。

所謂的最嚴格的隱私設定包括:不能蒐集超過服務所需的個人資料,也不能讓其他使用者或服務存取兒童的個資;另一項規定則是要求業者不得透過間接的方式,鼓勵兒童變更隱私設定,像是用更明顯的標誌來吸引兒童點選,或是相對正面或負面的字眼來誘導兒童接受個人化內容。

英國資訊專員Elizabeth Denham表示,在一個兒童先學會iPad而不是腳踏車的年紀,各大組織應該要設計及發展出對兒童最有利的網路服務,業者在追求獲利的同時絕不能以兒童的隱私作為代價。

該準則的其它類別還包括:服務政策與社群標準、資料最少化、資料分享、位置資訊、家長控制及兒童的個人檔案等。《分齡設計準則》還必須經過英國議會的審議,若正式實施也會提供業者一年的緩衝期。

GitHub以深度學習推薦簡單問題,幫助新手做出第一次貢獻

$
0
0

GitHub更新新手友善問題(Good First Issues)功能,引導貢獻者找出自己感興趣的專案,從入門問題開始做出貢獻,貢獻者不只能先小試身手,還可以建立自己在該專案的聲譽。新手友善問題是GitHub上,第一個使用深度學習技術的功能。

貢獻者有幾種方法開始處理新手友善問題,為專案做出貢獻。開發者可瀏覽GitHub的主題頁面,或是直接進入像是機器學習等特定主題頁面,該頁面會直接列出主題相關的專案以及新手問題。或當貢獻者已經知道要貢獻的專案名稱,也可以直接連到新手友善問題貢獻專頁,直接挑選可以處理的問題。

另外,GitHub使用者過去的貢獻、星等以及各種活動,系統也會提供個人化的專案建議,用戶可以在探索頁面看到推薦列表。貢獻者可以從以上三種方式找到新手友善問題,也能點擊尋找更多新手友善問題,瀏覽完整的列表。

其實新手友善問題並非一個全新的功能,在2019年5月GitHub就已經推出這個功能,只是之前由專案維護者手動標記新手友善標籤,但現在更新版本加入人工智慧,能夠自動推薦約70%專案儲存庫中的簡單問題。

GitHub提到,以標籤的方式標記新手友善問題,儲存庫中只會有40%的簡單問題被推薦,而且也增加了專案維護者分類問題的負擔,因此GitHub在上個月發布了更新版本,新的問題推薦功能會同時推薦基於標籤與機器學習的問題,因而提升儲存庫中簡單問題的可見度。

與幾乎所有的監督式機器學習專案一樣,GitHub面臨的第一個挑戰,便是收集訓練資料集,GitHub表示,在他們的案例,手動標記問題是一件很困難的事,因為這包含了領域主題、專案和程式語言等範圍的專業知識,因此GitHub轉而選用弱監督式的方法,先為上千萬個候選樣本自動預測標籤。

要標記出正候選樣本,仍然需要一些樣本,官方準備了手上可用的清單,只有約300個標籤問題,數量仍然太少,因此又整理了一些可能是新手處理的問題,官方找出那些已由之前未曾做出貢獻的新手所解決的問題,以及拉取請求只更動單一檔案中,幾行程式碼或文字的已關閉問題。

而負樣本則是未明確標記為正候選樣本的其他樣本,但官方提到,這樣的方法收集了不平衡的資料集,正樣本太少,因此他們除了加權之外,又對負樣本進行二次採樣,也偵測並移除了重複的問題。

為了快速地讓分類器立即判斷新手友善問題,因此僅使用標題和內文進行訓練,而不使用對話或是其他資訊,GitHub以深度學習函式庫TensorFlow來建構系統,對公開儲存庫中未封存的問題進行分類,還對問題上的標籤,根據相關性進行評分,這些評分會影響問題在列表中的先後順序,官方表示,通常標籤的可信度,比機器學習偵測出來的結果更高。GitHub每天執行資料擷取、訓練和預測工作管線,確保結果的新鮮度與相關性。

Citrix釋出官方的CVE-2019-19781漏洞掃描工具

$
0
0

專門提供伺服器應用、桌面虛擬化、網路及雲端服務的思杰系統(Citrix),在去年12月揭露了一個位於該公司產品中的重大漏洞CVE-2019-19781,該漏洞允許駭客自遠端執行任意程式,然而當時Citrix尚未修補該漏洞,反而是美國國土安全部的網路安全及基礎設施安全局(Cybersecurity and Infrastructure Security Agency,CISA),先在本月中釋出了該漏洞的檢測工具,Citrix則是在本周釋出了與資安業者FireEye合作打造的漏洞掃描器

CVE-2019-19781漏洞同時存在於Citrix應用程式交付控制器(Application Delivery Controller,ADC),以及可自遠端存取混合雲端與SaaS服務的Citrix Gateway上,估計波及全球158個國家採用相關技術的逾8萬家企業,且攻擊程式在漏洞被揭露的一個月內便已問世

迄今已有多家資安業者發現駭客對CVE-2019-19781漏洞感興趣,例如針對Citrix裝置掃描的頻率變高了,或是CVE-2019-19781攻擊程式現身於GitHub,也已出現實際的攻擊案例。

FireEye表示,該公司與Citrix共同開發的工具可用來搜尋入侵指標(Indicators of Compromise,IOC),Citrix用戶只要在相關的設備上執行該工具,就能根據已知的攻擊程式與攻擊活動來評估系統的潛在入侵指標。

除了部署緩解措施及修補程式之外,FireEye與Citrix強烈建議Citrix用戶盡快執行該工具以增加對潛在入侵的意識,同時採取適合的保護措施。

此一IOC掃描器可直接安裝在Citrix ADC、Gateway或SD-WAN WANOP系統上,它能基於已知的指標來掃描檔案、程序與傳輸埠。使用者可透過CitrixFireEye的GitHub儲存庫下載。

Citrix已在1月19日修補了11.1與12.0的Citrix ADC及Citrix Gateway,預計在1月22日修補10.2.6b與11.0.3b版的Citrix SD-WAN WANOP,並會在1月24日修補10.5、12.1與13.0的Citrix ADC及Citrix Gateway

Viewing all 32128 articles
Browse latest View live


<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>