美國白宮的社群媒體主任Daniel Scavino在上周六（3/7）於Twitter及臉書上張貼了一則影片，影片中節錄了川普競爭對手Joe Biden在公開演講中的一段話，要大家只能投給川普，還獲得川普在Twitter上轉發，但該影片先後被Twitter及臉書貼上「不實資訊」的標籤。

民主黨的Biden曾是第47屆的美國副總統，也是今年美國大選的總統候選人，他在上周六的造勢活動中說，如果大家想參與無止境的行刑活動，那麼只能選川普，原本是用來反諷川普，結果Scavino簡單編輯了影片，只留下了「只能選川普」的那幾句話，讓它看起來像是連Biden都擁戴川普連任，再貼上Twitter與臉書，而川普則在Twitter上轉貼了Scavino編輯過的影片。

Twitter率先在該影片上張貼了「Manipulated media」的警告標語，以突顯該內容是被編輯過的，隨後臉書也跟進，在影片處呈現「部分不實資訊，已由獨立查證機構查核」的文字，並說明該內容的資訊摻雜真假陳述或是不夠完整，在某些情況下可能造成誤導。

不過，不管是Twitter或臉書都並未撤下該影片，當中，Twitter認為應該要保留這些政治人物的公開論述。

Twitter甫於今年2月，祭出了有關合成媒體與操縱媒體的新規定，宣布將針對受到擺布的內容提出警告，並於3月5日正式上線，外界相信此一由Scavino所張貼的影片，就是新規定的第一個案例。

根據中央流行疫情指揮中心在2月26日的指令，為避免醫院群聚感染而擴大武漢肺炎疫情，各醫院需開始限制陪病、探病人數，每床陪病者限縮至1人、每日探病者也以2人為限。針對該指令，臺北榮總除了訂定院內探病規範，也在一週內與交大智慧醫療團隊合作開發「預約探病APP」，並在今日上線，要讓民眾透過線上預約探病，來減少臨櫃申請、身份查驗時間，整體流程更可從5分鐘縮短至10秒。

醫務企管部主任李偉強表示，原先的臨櫃申請探病流程會經過三個關卡，首先，櫃檯人員會先詢問訪客身份、目的，接著提供健康聲明書給訪客填寫，「年輕人最快需要填2分鐘，長者可能需要3、4分鐘，」最後，再刷健保卡查詢14天內的旅遊及接觸史，確認身份與健康狀況無虞，才能進病房探病，整體流程最多需花費5分鐘，人數過多也需要排隊。

不過，改採線上預約制之後，探病者即可直接在線上預約系統或App中，依序填寫授權碼、病人資料、訪客資料、風險評估表，送出表單並通過核可後，就會取得預約探病QR Code。屆時，民眾赴醫院探病時，只要在醫院的中正一樓服務臺通關處，出示QR Code驗證身份，並刷健保卡確認旅遊及接觸史，最快只要10秒就能快速通關。李偉強表示，未來也可能與健保署研議，直接透過民眾預約申請的資料，來查詢其旅遊及接觸史，一旦可行，民眾通關時就只需出示QR Code，連健保卡都不用刷。

此外，預約探病系統也考量到隱私與資安問題，為了避免不明人士冒充訪客來探視特定病患，預約表單中填寫病患資訊的欄位，並非填寫姓名，而是填寫病患手環上的授權碼，只能透過病患本人或醫護人員取得，且填寫授權碼的機制，也能降低病患個資外洩的機率。而系統本身則是與醫院的住院系統串連，讓醫護人員可在後臺管理系統中，查詢每床病人的每日預約人數。

李偉強表示，該系統從開發、測試到上線僅花一週時間，幾乎是從指揮中心宣布管制探病人數後，就決定開發，也是19所醫療中心當中最快落實線上預約制的醫院。目前，北榮每日探病人數超過2,000人，除了透過線上探病預約制，讓民眾預先排定探病日期，避免多人同時探病而超出人數上限，北榮也鼓勵病患親友以視訊方式探病，來減少探病人次、降低疫情擴散風險。

在填寫病患資料時，並非填寫姓名，而是填寫病患手環上的授權碼，只能透過病患本人或醫護人員取得。

取得QR Code之後，即可在醫院櫃檯出示，省去臨櫃填寫資料的時間。

Google力推的程式語言Kotlin釋出最新版本1.3.70，這個版本沒有新增任何主要的新功能，重點擺在改善現有功能修復臭蟲，並且在標準函式庫中，加入一些實驗性內容供開發者試用，其中值得注意的便是，官方加入了一個可適用於演算法和應用程式的資料結構ArrayDeque。

這次在標準函式庫為Kotlin Collections新加入的功能和類別，都仍在實驗階段。通用標準函式庫kotlin.text套件中的StringBuilder，有許多重要的成員缺失或是只能在JVM上使用，而現在官方補充了StringBuilder，所有JVM上的StringBuilder功能都新增到通用expect類別中，不同平臺都有相對應的實作，讓開發者能夠更方便有效地，在通用程式碼中使用StringBuilder，並且擁有所有必要的成員。

這次更新Kotlin標準函式庫還加入了雙端佇列實作kotlin.collections.ArrayDeque類別，官方提到，這是社群不停要求的功能，因為即便之前開發者就可以使用Java標準函式庫中的java.util.ArrayDeque類別，但是仍然沒有可以用於Kotlin/JS、Kotlin/Native或是通用程式碼的通用實作。

Kotlin現在可以在JVM的位元組碼生成類型註釋，而這些類型註釋可在執行時使用，官方表示，這也是社群要求了一段時間的功能，因為這將可讓部分現存的Java函式庫用起來更方便，也為開發函式庫的人，提供更多可用功能。

對於可將Kotlin程式碼編譯成為JavaScript的Kotlin/JS，官方大幅最佳化了編譯後JavaScript的捆綁包大小，Kotlin 1.3.70現在透過Gradle套件加入死碼刪除（Dead Code Elimination，DCE）功能，開發者可以進一步控制JavaScript專案的最佳化和執行。死碼移除是指移除對程式執行結果沒有任何影響的程式碼，除了減少整體程式大小之外，還能消除不必要的程式運算，減少執行時間，不會執行的程式碼以及無關結果的變數，都屬於死碼。

現在Kotlin/Native編譯和除錯的速度更快了，Kotlin 1.3.70版本最佳化了Kotlin/Native開發的整體效能，官方新增兩個功能減少編譯時間，其一是Kotlin/Native編譯器現在直接由Gradle守護行程執行，系統會在每次編譯時，將編譯器載入到守護行程，因此不再需要花費時間重新啟動一個新的程序，另外，在除錯模式下，編譯器將快取專案相依項目，雖然第一次編譯花費的時間更長，但是隨後幾次編譯速度更快，不過目前僅適用於iOS模擬器與macOS中。

VMware早在去年產品大會上，就揭露了將改用K8s重新打造下一代vSphere的消息。經過逾半年時間，VMware終於在今日（3/10）透過線上媒體發布會，揭露了更多新產品線Tanzu的內容。該產品線是VMware在去年VMworld上發布的重磅消息，是其第一個聚焦K8s的產品線。

幾家基礎架構主要平臺商，如微軟Windows或IBM的紅帽，早在幾年前就全力擁抱容器和K8s，連Google都推出K8s本地端混合雲軟體，終於，VMware也開始加速進軍K8s市場。VMware營運長Sanjay Poonen在今日的記者會上表示，在基於容器技術的微服務世界，「VMware將擁抱K8s，想要成為最佳的企業容器平臺。」VMware展現了積極追趕對手的企圖。

Sanjay Poonen表示：「容器技術的出現，讓虛擬化的疆界逐漸模糊。」過去６年，不斷有人問他，「容器何時會淘汰VM？」直到現在，VMware終於揭曉答案，「VMware將在虛擬層上發展容器平臺。」這也揭示了VMware的新產品戰略。再加上近期各項收購案的軌跡，以及新產品線的發展，更反映出VMware下一階段的目標是，發展現代化應用及雲端原生技術。

新產品線Tanzu有3個關鍵產品，首先是去年年度大會上，已經搶先發布的Tanzu Mission Control（Tanzu任務控制器）。該控制器提供了單一控制機制，來管理大規模的K8s叢集，且部署於不同環境的叢集也可管理，除了VMware自家雲端服務外，該控制器也支援AWS、Azure或代管式K8s服務，甚至是企業自行建置的客製K8s。

透過Tanzu Mission Control，維運人員不只可調度K8s叢集，還可建立關於存取、備份和安全的核心政策，包含身份存取、安全配置、法規遵從性和資料保護。同時，這個控制器可以結合VMware雲端監控服務Wavefront，提供一站式的視覺化監控功能，也可整合VMware自家服務網狀網路（Service Mesh）功能，可用於管理K8s應用的各項服務。

其次是由Bitnami技術所支援的Tanzu Application Catalog，這是一個應用程式目錄，列出了那些用Bitnami技術打包的標準化K8s應用包，可供企業快速部署選用。第三個產品是VMware自家的K8s發行版本Tanzu Kubernetes Grid，源自Enterprise PKS，可用於跨雲環境，並提供K8s叢集的全生命週期管理機制。

今天揭露的其他Tanzu產品還有，由Pivotal打造的框架Spring Boot，可供企業建立以Spring為基礎的應用程式，而透過Tanzu Application Service，企業能派送軟體到安全且自動化的平臺，最後，Tanzu Observability by Wavefront可供企業觀察應用程式端、基礎設施端的分析結果。

而此次產品發布會的重頭戲是，代號太平洋計畫的新版vSphere，這個第七版vSphere的最大亮點是，內建了K8s，可直接建置和部署K8s叢集。VMware執行長Pat Gelsinger更表示：「擁抱K8s，這是10多年來vSphere最重要的架構，自vMotion發布後，我們從未像今天這樣如此興奮。」

VMware目標是推動現代化應用，而這需要現代化基礎設施的支援，才可實現，VMware技術長暨雲端平臺副總裁Kit Colbert解釋，vSphere 7的改變，就像是「根本地實現了vSphere自身的現代化。」

VMware重新架構了vSphere，將vSphere的核心ESXi換成了一個超級K8s叢集，同時，將K8s API整合到vSphere的API中，讓企業能以ESXi管理VM的方式，來運用K8s的能力。不過，Kit Colbert強調，vSphere 7仍可支援企業既有的應用程式。

vSphere 7有三大功能調整，第一，簡化生命週期管理機制，針對數百、數千個vSphere實例的管理情況來優化，當企業進行預期狀態（desired state）的管理時，可指定單一ESXi主機映像像檔，並能將該狀態的管理套用至其他主機。第二，新版聚焦內部安全機制的強化，簡化憑證管理，減少了管理員需管理的憑證數量，來確保他們握有最新的憑證。

最後，應用程式方面，為因應AI和機器學習等新型應用程式，VMware也新增GPU虛擬化外，並改變DRS（Distributed Resource Scheduler）既有演算法，從過去每5分鐘執行一次，提高為每分鐘執行一次。

VMware也一併發布了新版的VMware Cloud Foundation，並將其定位成，為傳統和現代化應用設計，包含支援原生K8s，所提供的混合雲平臺。

不過，vSphere 7對舊有產品的支援，VMware語帶保留，未詳細說明升級的細節，僅強調，vSphere是整個Tanzu產品線的核心，許多產品已因應新版本做更新，接下來幾個月內，會持續新增可支援vSphere 7的產品。

過去每次VMware推出新版產品的慣例，在正式版發布時，也提供向下相容比較矩陣（compatibility matrix），來說明版本升級的衝擊。

VMware原定明日（3/11）於美國舊金山舉辦產品發布會，但受武漢肺炎（COVID-19）疫情的影響，該活動已改於線上舉辦。

Google推出了可用於評估模糊測試器（Fuzzer）的開源免費服務FuzzBench，FuzzBench提供用戶方便但嚴格的模糊測試，並降低採用模糊測試的障礙。模糊測試是一種軟體測試技術，透過自動或半自動產生輸入另一個程式的亂資料，以探索程式可能出現的異常狀況，Google提到，他們內部使用了libFuzzer和AFL等各式Fuzzer，發現了數以萬計的臭蟲。

雖然有許多論文改進模糊測試工具，或是部署新技術來提升Fuzzer發現臭蟲的能力，但Google表示，很難知道這些新工具和技術，在實際程式中的使用狀況，儘管研究通常包含了評估的部分，但是這些評估都使用短期試驗或是缺乏統計測試，在沒有應用大量且多樣的真實世界基準的情況下，將難以證明評估的發現具有意義。

為了解決這個問題，開源軟體專用的模糊測試專案OSS-Fuzz團隊推出了FuzzBench，這是一個完全免費的開源服務，FuzzBench提供了可以重複評估Fuzzer的框架。用戶只要整合Fuzzer和FuzzBench，便可以開始以真實世界的基準和各種試驗，進行24小時的實驗。

FuzzBench會根據實驗的資料，深入分析Fuzzer並產生報告，將目標Fuzzer與其他Fuzzer效能進行比較，給出每個Fuzzer的強項與弱項。FuzzBench給出的報告，包括了統計測試，讓用戶了解Fuzzer之間的效能差異，或許是因為偶然因素造成，而且也會提供用戶原始資料，使他們能夠進行自己的分析。

Google表示，用戶可以花更多的時間在改善技術上，而非將時間花在評估和處理現有的模糊測試技術，且整合Fuzzer與FuzzBench的過程很簡單，大多數整合僅需要少於50行的程式碼，在整合完成之後，就可以使用250多個OSS-Fuzz專案進行模糊測試。

微軟的威脅保護情報（Threat Protection Intelligence）團隊在上周提出警告，人為操縱的勒索軟體活動，對企業造成的威脅日益增加，也是今日網路攻擊中最具影響力的趨勢，有別於自動散布的勒索軟體，這些操作勒索軟體攻擊行動的駭客們，通常具備廣泛的系統管理知識，也熟悉常見的網路安全錯誤配置，可進行徹底的偵察，並因應系統狀況展開攻擊。

該團隊長期觀察特定勒索軟體與相關攻擊活動，找出了重疊的攻擊方式，以與外界分析，同時強調相關的攻擊皆可預防及檢測。

調查顯示，人為操縱的勒索軟體攻擊活動通常可在網路中暢行無礙，駭客危害了具備高權限的帳號，繼之擴充權限，或使用憑證傾倒技術入侵網路，相關的攻擊活動，經常始於諸如金融木馬或其它不太複雜的惡意程式，它會觸動組織內部的偵測警告並被防毒解決方案阻擋，但繼之駭客會部署不同的酬載或使用管理權限來關閉防毒軟體，以避免引起任何注意。

例如有一個非常活躍的PARINACOTA駭客集團，平均每周攻擊3到4個組織，該集團在受害電腦上植入的惡意程式與時俱進，從挖礦程式、傳送垃圾郵件或是將受害裝置變成殭屍電腦，到現在則以Wadhrama勒索軟體為主。

PARINACOTA最常以暴力攻擊曝露在網路上的遠端桌面協定（RDP），入侵伺服器後即可於組織網路中，橫向移動或企圖轉移到外部網路，以擴大攻擊目標，繼之關閉安全解決方案、竊取憑證、植入後門，再部署其它惡意程式及勒索軟體。

另一個近來因贖金高達數百萬美元而知名度大增的勒索軟體為Doppelpaymer，Doppelpaymer的攻擊鏈同樣是從暴力破解RDP開始，也會使用金融木馬，成功入侵組織後再竊取憑證並擴張權限，並在網路中游移，也會關閉網路中的安全服務，再部署勒索軟體。

專門鎖定大型企業及政府組織的Ryuk，也成為微軟追蹤的重點。Ryuk一開始是透過電子郵件自動散布，但後來就被駭客相中而成為人為操縱的工具，駭客先是透過Trickbot金融木馬入侵組織，接著也是安裝其它惡意程式、竊取憑證，直至最終完成Ryuk勒索軟體的部署。

上述人為操縱的勒索軟體攻擊行動都有一些共同點，像是它們都先以與勒索軟體無關的惡意程式進行感染，企圖關閉安全機制，竊取憑證，在企業網路中橫向移動以偵察或擴大感染範圍，從開始到成功部署勒索軟體的時間，可能長達幾周甚至幾個月，值得注意的是，有時就算被駭組織已經支付了贖金，但駭客可能依然藉由勒索軟體以外的惡意程式進駐在組織中，這也是同一目標會被重覆攻擊的主因之一。

因此，微軟威脅保護情報團隊建議組織的IT管理人員，不要輕忽惡意程式警報，因為它們可能是駭客正在展開攻擊的前奏，也應強化網路資產的安全性，監控暴力破解事件與安全日誌，啟用安全服務的篡改保護機制，或是善用雲端或防火牆等資安服務等。

Google、滑鐵盧大學、X（公司）和福斯集團合作，共同釋出量子機器學習的開源函式庫TensorFlow Quantum（TFQ），這是一個TensorFlow的擴充，讓開發人員可以利用量子電腦建構機器學習模型。

Google提到，機器學習技術雖然無法精確地模擬自然界的系統，但是可以透過學習系統模型，預測系統的行為，在過去幾年中，古典機器學習模型解決了許多科學問題，在醫學、天氣以及太空等領域皆有重要的進展，而隨著量子電腦的發展，新的量子機器學習模型，可能對世界上各種難題有著重要影響，但是目前卻缺乏工具，來建立可在量子電腦上執行的量子機器學習模型。

為了解決這個問題，Google與多個組織合作釋出了TFQ，可以將量子運算和機器學習技術結合在一起。TFQ底層整合TensorFlow和雜訊中等規模量子（Noisy Intermediate Scale Quantum，NISQ）演算法框架Cirq，並且透過現有和TensorFlow API相容的量子運算原語，以及高效能量子電路模擬器，為判別性和生成性量子古典模型的設計和實作，提供高階抽象。

TFQ的關鍵功能，是可以同時訓練和執行許多量子電路，Google解釋，這是因為TensorFlow能夠在電腦叢集中平行化運算，並且能夠在多核心電腦上模擬相對較大的量子電路，進而實現這個關鍵功能。而為了要在多核心電腦模擬大型量子電路，Google開發了高效能量子電路模擬器qsim，經實驗證實，該模擬器可以在Google雲端節點n1-ultramem-160，花費111秒模擬14量子閘（Gate Depth）深度的32量子位元量子電路。

這個模擬器為英特爾多核心處理器最佳化，結合TFQ，Google雲端節點n2-highcpu-80可在60分鐘內，對20量子閘深度的20量子位元量子電路，進行100萬次電路模擬。Google提到，TFQ是一個在古典量子電路模擬器上執行量子電路的工具，未來目標是要讓TFQ能透過Cirq，在真正的量子處理器上執行量子電路，包括Google內部正在開發的Sycamore量子系統。

在2019 JavaScript大調查中，表現亮眼的後端框架Next.js推出了最新版本9.3，開始支援新的靜態網站生成功能，並且提供預覽模式，也讓用戶能夠繞過靜態生成頁面，在CMS動態顯示草稿。

官方提到，通常開發者在建置網站或是網頁應用程式的時候，必須選擇靜態網站生成（Static Site Generation，SSG）或是伺服器端渲染（Server-Side Rendering，SSR）其中一種方法，而Next.js為一種混合框架，可讓開發者在每個網頁使用最適合的技術。

Next.js 9.0加入了自動靜態最佳化方法，當頁面沒有getInitialProps等資料擷取需求時，便會在建置的時候自動渲染成HTML，但是官方提到，在許多情況下，即便需要阻擋資料擷取請求，開發者也會希望在建置時，把頁面渲染成靜態HTML，像是在無頭CSM的行銷頁面或是網站的部落格區塊。

因此官方與廣大的社群討論了限制方法，以建立新的方法來統一資料擷取和靜態網站生成。現在於Next.js 9.3中，增加了新的資料擷取方法，開發者可選擇讓頁面在建置期間擷取資料getStaticProps，以及依據每個請求擷取資料的getServerSideProps，或是透過提供參數為動態路徑產生靜態頁面getStaticPaths。

當頁面從無頭CMS中擷取資料時，靜態生成方法很好用，但是要在無頭CMS撰寫草稿，並且想要立即在頁面上預覽草稿時，就不那麼理想了，因為輸出是靜態的，預覽變更需要重新生成靜態頁面。因此現在官方在Next.js 9.3中內建了預覽模式，可以讓用戶繞過靜態生成的頁面，按需渲染CMS的草稿頁面。 

0305-0311 一定要看的資安新聞

＃漏洞攻擊  ＃Android

聯發科針對晶片資安漏洞發布修補程式，但Android裝置製造商遲遲未修補

Android裝置出現資安漏洞，只能安裝製造商提供的修補軟體，一旦業者沒有作為，這些裝置便持續曝露於相關風險之中。在Google發布的3月Android安全公告裡，有一個漏洞正是針對聯發科晶片的CVE-2020-0069，波及近20款晶片，影響數百萬臺裝置。雖然聯發科已於去年5月修補，但經過行動軟體開發社群XDA Developers調查後，他們發現，僅有Amazon為旗下裝置提供更新軟體，仍有數十家裝置製造商裝聾作啞。由於此漏洞已被濫用，使得聯發科決定通報Google，透過安全公告督促業者修補。詳全文

圖片來源：Google

＃漏洞攻擊  #硬體漏洞

Intel晶片組漏洞無法修補，研究人員建議更換處理器

存在於硬體設計上的漏洞，很有可能因為出現在寫死的韌體而無法修正。例如，Intel曾在去年5月修補CVE-2019-0090，但資安業者Positive Technologies指出，這個漏洞存在於晶片的唯讀記憶體（ROM），而且近5年推出的Intel晶片組幾乎都有此漏洞。為此，該資安公司建議使用者，應該關閉資料儲存裝置CSME加密，或者考慮換個不受影響的新款處理器。詳全文

圖片來源：Positive Technologies

＃漏洞攻擊  ＃車用系統

豐田、現代、Kia汽車防盜系統驚傳漏洞

因製造商運用不當，而使得元件所提供的功能失效，也可能造成資安漏洞。比利時魯汶大學與英國伯明翰大學的研究人員公布研究報告，指稱許多汽車的防盜系統含有安全漏洞，其中一個存在於製造商實作德儀（TI）數位簽章轉發器DST80的方式，允許駭客複製加密金鑰來破解防盜系統，然後把車開走。這個漏洞殃及豐田、現代，以及Kia等品牌旗下汽車。

研究人員發現，DST80本身的加密金鑰固然容易破解，然而真正的問題，其實是汽車製造商實作的方式，造成了防護降低的情況。像是現代與Kia將德儀預設的密碼長度，從80位元降至24位元，使得現在的電腦只需幾秒鐘就能破解密碼。詳全文

＃憑證誤發

因軟體臭蟲導致誤發數位憑證！Let’s Encrypt撤銷300萬個憑證

免費憑證的普及，促使更多網站採用加密的通訊協定，不過要是核發流程出現異常，便有可能發出有問題的憑證。Let's Encrypt近半年因憑證機構軟體的臭蟲，誤發許多憑證，他們於3月4日宣布，要在5日上午11點前撤銷，總計會影響300萬個憑證。該單位已經寄送電子郵件通知受影響用戶，使用者也可以藉由線上檢查工具，來確認自己的網域是否受到波及。詳全文

圖片來源：Let’s Encrypt

＃資料外洩  ＃資料庫配置不當

英國電信業者Virgin Media資料庫配置錯誤，90萬固網客戶資料曝光近1年

因為資料庫的配置不當，導致未經授權的外人能夠存取，這樣的情況不斷上演。英國電信業者Virgin Media公告，他們的行銷資料庫因配置錯誤，使得內含90萬固網用戶的個資，遭到不當存取，而這個錯誤設定自去年4月就存在。

該公司指出，資料庫內含用戶姓名、居家地址、電話號碼等資料，但沒有密碼與付款資料。目前資料外洩事件調查的結果，發現這些外洩資料已出現不當存取的跡象，但不確定規模與是否遭到濫用。詳全文

＃資料外洩  ＃漏洞攻擊

因內部系統臭蟲，美國大型連鎖藥局Walgreens驚傳消費者個資外洩

由於內部系統異常而洩露用戶個資的情況，可說是接連出現。美國第二大連鎖藥局Walgreens通知用戶，因為系統變更的處理不當，使得執行行動版應用程式的用戶，能看到他人的個資，包括姓名、地址，以及處方箋等內容。

該公司表示，此次事件並未涉及金融資訊與社會安全號碼，但還是通知受影響的用戶，要留意是否出現盜刷的情況。詳全文

＃資安產業動態

隱私搜尋引擎業者DuckDuckGo公開跨站追蹤器資料集，供程式開發者運用

網站追蹤器嚴重影響上網使用者的隱私。為此，DuckDuckGo花費數年建立Tracker Radar資料集，收集會追蹤用戶上網行為的第三方網域資訊，以及網域所屬的公司。這個資料集已運用於該公司旗下的電腦版瀏覽器擴充套件，以及行動裝置的隱私瀏覽器，來協助用戶保護上網不受追蹤。如今他們進一步公開資料集，讓更多應用程式也能運用。

這個資料集公開後，瀏覽器業者Vivaldi宣布，要在自家的瀏覽器整合Tracker Radar。詳全文

＃法規遵循  ＃加密貨幣

防治洗錢與詐騙亂象，南韓通過全球第一部加密貨幣法案

加密貨幣的興起，隨之衍生的駭客攻擊與交易詐騙等亂象，可說是層出不窮。根據南韓媒體報導，該國國會於3月5日無異議通過《特定財務資訊的報告與使用法案（Act on Reporting and Use of Specific Financial Information Bill）》，外界解讀此舉是政府首度賦予加密貨幣合法地位。

這項法案要求南韓境內的所有虛擬資產營運商，符合相關財務報告要求，並且需取得資安管理系統（Information Security Management System，ISMS）認證。

這部法案預計在韓國總統文在寅簽署生效後，明年3月正式上路。一般認為，這項法案將加密貨幣交易商、ICO等角色納入管理，有助於防治加密貨幣洗錢。詳全文

＃假新聞  ＃武漢肺炎

疫情假訊息氾濫，NCC找大型社群平臺業者溝通

武漢肺炎疫情延燒，許多假消息藉由各式社群平臺流竄，導致人心惶惶。3月5日，國家通訊傳播委員會（NCC）代理主任委員陳耀祥表示，他們將於12日召集臉書、LINE、Google、雅虎、學者專家，以及第三方查核機構等，討論因應措施。

對於NCC是否會強制業者下架假消息與假圖片？陳耀祥說，會以業者自律為主，NCC也會提供業者建議，但取決於技術上是否能夠達成，待座談後再決定。詳全文

更多資安動態

●國泰航空資料外洩案遭英政府罰50萬英鎊
●美國中情局自2008年開始攻擊中國航太與科學研究組織
●小心！駭客以假憑證過期通知散布惡意程式
●超過一半惡意Android程式會隱藏在背景運作
●2019年度網站攻擊技法公布，臺灣資安專家研究連三年獲肯定

微軟周二宣布已在本周，協同35國警方及安全廠商，破獲全球最大惡意郵件網路之一、曾在臺灣造成嚴重災情的Necurs。

3月5日微軟在取得紐約地方法院發布命令下，查獲Necurs用以散布垃圾郵件及惡意程式的基礎架構，使其背後的犯罪組織，無法再註冊新網域發動新攻擊。藉由分析Necurs以演算法產生新網域的技倆，微軟預測未來25個月內該犯罪組織可能註冊600多萬個網域，因此通報全球各國的網域註冊機關以封鎖這些惡意網站，使歹徒無法再註冊新網域。微軟同時也在多國ISP協助下，協助受Necurs感染的電腦清除惡意程式。

參與這次行動的，包括台灣、日本、西班牙、法國、波蘭、羅馬尼亞、印度、墨西哥、哥倫比亞等地的ISP、網域註冊機構、政府CERT及警方。

微軟表示，這次行動是經過8年的追蹤與策畫的成果。微軟的數位犯罪防治單位BitSight首先於2012年發現Necurs，散布的惡意程式包括GameOver Zeus銀行木馬程式等。Necurs受害者幾乎遍及全球各國，是全球最大的垃圾郵件殭屍網路之一，受感染電腦超過900萬台。微軟曾偵測到一台被Necurs感染的電腦在為期58天的調查期間，發送了380萬封垃圾郵件給4,060萬台電腦。Necurs也名列台灣2018年十大威脅來源之一。

一般相信Necurs背後的犯罪集團位於俄羅斯，它曾被用作執行股票哄抬（pump-and-dump）詐欺、假藥垃圾郵件和「俄羅斯約會」（即以能和俄羅斯美女約會為餌的）詐欺。它還涉入攻擊電腦、散布金融業木馬、勒索程式、挖礦軟體、竊取線上帳密／個資及機密資料等犯罪行為。Netcurs組織甚至會將感染電腦形成的殭屍網路，當成聘僱用殭屍網路（botnet-for-hire）服務拿來銷售或出租，這個網路還具有發動分散式阻斷攻擊（DDoS）的能力，隨時可以啟用。

這是微軟近期查獲的第5起網路犯罪網路，在此之前微軟也陸續破獲北韓的Thallium、中國的Barium、俄羅的Strontium及伊朗的Phosphorus組織。

知名App資料分析業者Sensor Tower被發現，透過旗下數款VPN、廣告過濾程式，來暗中蒐集用戶資訊，高達千萬人受害，部份App已遭兩大App平台下架。

Buzzfeed偕同外部安全研究者調查發現此事。Sensor Tower分析的App資訊供許多開發商做為行銷管理的參考，也為許多投資業者所用。從2015年以來，這家公司出品了至少20款Android及iOS App，其中最受歡迎的免費App包括Mobile Data、Free and Unlimited VPN、Luna VPN、及Adblock Focus，總下載次數超過3千萬。

參與研究的Malwarebytes研究人員發現，這些App在安裝時會要求用戶安裝根憑證，藉此蒐集所有流經手機的流量和資料。之後即在未告知用戶情況下，將用戶資料傳送給Sensor Tower，作為後者分析App歡迎度、使用趨勢和App營收之用。

Sensor Tower表示，該公司只是蒐集匿名資訊，不過其行為已經違反了Google及蘋果對App平台的管理政策。蘋果已經將Adblock Focus下架，並對Luna VPN啟動調查。Google則下架了Mobile Data，其他App則還在調查中，該公司的3款App，都還能在Google Play Store找到。Google和蘋果都禁止App在裝置植入根憑證。

一些免費App似乎都不免有暗中蒐集用戶資料的行為。2018年臉書的VPN App Onavo Protect VPN App及程式鎖Bolt App Lock，即爆蒐集用戶上網行為違反蘋果隱私條款，而遭到下架。Sensor Tower的競爭者App Annie一款免費VPN產品，也被發現會暗中監控用戶流量。

位於美國加州的安全管理平台供應商Exabeam今天透過Twitter宣布，該公司有兩名員工已被確診罹患武漢肺炎（COVID-19），而且這兩名員工曾在今年2月24日及28日之間，到舊金山參加RSA安全會議，呼籲曾與這兩名員工接觸的人應提高警覺。

Exabeam表示，他們並不確定這兩名員工是在RSA會議舉行之前、之後，或者是在會議期間受到感染，呼籲曾與他們接觸的人，要特別小心自己是否出現武漢肺炎的症狀。

而RSA會議也發出了聲明，通知所有曾參與該會議的人此一訊息，但說目前並不確定這兩名確診病人在參與該會議時，是否處於潛伏期或已有症狀。

根據RSA會議的統計，儘管包括AT&T Cybersecurity與IBM等業者，在會前就宣布不參加今年的會議，但今年仍吸引了704名講者及3.6萬名安全研究人員參加。

由於武漢肺炎的潛伏期長、感染力強，迄今已有多個大型會議取消或延後舉行，例如GSMA取消了MWC 2020，臉書取消了F8年度開發者大會，Google取消了原本要在5月舉行的Google I/O年度開發者大會，而遊戲開發者會議則延後到夏天舉行。

道高一尺，魔高一丈，Google在Chrome 80剛加入以AES 256加密Windows系統密碼及cookies的技術，不到一個月就已經被竊取資訊的惡意軟體作者突破了。

不再如同之前的Chrome版本，只利用Windows內建的資料保護API（DAPI）來處理加密，Google 2月釋出的Chrome 80，是另外使用AES-256演算法加密，以增加一層防護。一家安全廠商二月底分析一個用戶資料交易的地下市集，發現和惡意程式AZORult有關的資料外洩大幅下降，顯示Chrome 80的新式防護的確發揮作用，AZORult會專門竊取加密貨幣、密碼、上網紀錄、cookies及Skype、Telegram等帳密。

不過這個成功並沒有維持太久。BleepingComputer引述KELA安全研究人員報導，至少4種竊密程式的作者，在Chrome 80釋出後4天，即在駭客論壇中宣稱已經破解了新演算法。竊密程式KPOT作者說，會實作於之後的「更新版」中。宣稱可竊取60種App資訊的竊密程式Racoon作者表示，其產品可以已經能繞過Chrome 80的安全防護層。另一個新竊密程式還打廣告說「支援Chrome 80」。安全廠商指出，竊密軟體圈最近似乎以打敗Chrome最新安全技術，做為新賣點。

即使如此，升級Chrome 80對一般使用者來說，還是有其他好處。Google指出，新版Chrome可在沙箱中執行網路層運作，也變更了加密密碼、cookies的演算法及儲存機制，可擾亂現有竊密駭客使用的工具。此外，Chrome 80也修補了前版的50多項漏洞、自動將混合內容升級到HTTPS，同時禁止網站Cookie跨站存取，仍是現有上網較安全的選擇之一。

瞭解資安產業的新風向，從新創公司選擇切入的產品或技術面來觀察，是不錯的出發點之一，或許也能從中得到啟發。日前全球資安盛會RSA大會（RSAC）登場，而每年舉辦的創新沙盒（Innovation Sandbox）競賽活動，也是大會的重頭戲之一，不僅給予每年資安新創業者大顯身手的舞臺，同時也讓關心資安領域發展的人，不論是資安技術人員或是投資者，能夠觀察市場風向與挖掘新的潮流。

事實上，國內研究機構與資安新創公司，如資策會與奧義智慧也都關切此一發展，近年都持續親自前往RSA大會，就近觀察產業、商業的趨勢與交流，而創新沙盒也是他們關注的焦點之一。

從入圍十大資安新創，捕捉資安解決方案新風向

RSA大會這項資安創新計畫已邁入第15年，今年持續選出十大資安新創公司，而從這些業者發展的解決方案，將能反映今年資安技術創新的焦點。

整體而言，這次大部分是美國新創公司，也有來自法國，像是Sqreen，以及以色列的Vulcan Cyber，而Blubracket成立時間最短，是2019年才設立的公司。

以專攻的領域而言，有兩家新創公司是發展SaaS雲端安全的解決方案，例如，AppOmni與Obsidian Security；有兩家是發展DevSecOps安全開發相關，分別是BluBracket與ForAllSecure，前者聚焦程式碼安全，後者聚焦模糊測試。

至於其他入選的業者，包括：資安意識培訓的Elevate Security，郵件詐騙防護的INKY Technology，還有主打隱私合規解決方案的SECURITI.ai、應用程式安全管理的Sqreen、網站詐欺預防的Tala Security，以及弱點管理與自動化修補的Vulcan Cyber。

顯然，這些領域或技術發展就是當今市場關注的焦點。畢竟，資安領域相當廣，不論是這些新創針對的面向，與採用的技術，以及對應新資安議題所提出的解決方案，都將成為資安產業挖掘下一個機會的參考。

重點一：解決隱私權與法遵問題，預料是企業新興需求

該如何看待今年這些資安新創的發展趨勢，與往年有何不同之處？

首先，就是隱私保護，今年奪下這項競賽最佳創新獎的SECURITI.ai，可謂重要指標。在該公司推出的PrivacyOps的解決方案，利用AI與自動化，搭配自家的People Data Graph技術，可以快速檢視企業的隱私狀況與合規風險，幫助因應相關法遵面的需求。同時，產品本身還結合了自然語言（NLP）處理能力，讓使用者可直接在產品介面上，能以普通對話的方式，獲得各式資料與擁有者的資訊。

值得注意的是，兩年前2018年這項活動的冠軍BigID，也是致力於隱私保護方案，顯然這方面的安全技術發展，持續受到重視。

對於這樣的趨勢，臺灣資安業界也同樣關注。奧義智慧共同創辦人叢培侃表示，資料保護與法規遵循還是受評審青睞，雲端上個人資料的自動化盤點、追蹤與授權，就是重點。

事實上，近年隱私保護解決方案持續受重視。畢竟全球對隱私管理的要求愈來愈高，在歐盟，有GDPR，美國的加州消費者隱私法（California Consumer Privacy Act，CCPA）今年正式生效，企業若違反法規將會被罰。

面對全球隱私法規與個別資安要求，資策會資安所副所長吳建興也提出見解。他說，這方面的法規細節其實相當多，若只靠顧問或人工方式來處理，即時性與完整性都不夠，因此，如果利用AI將法規要求結合起來，能協助企業做好即時的隱私保護把關。

他認為，SECURITI.ai獲得首選的重大意義在於，他們已經跳出軟體生命週期的概念，將隱私、資料的生命週期結合，成為「Privacy Ops」，這是市場新機會。

再從產業發展角度來看，臺灣是否也有可以借鏡的部分？對此，吳建興表示，對於臺灣而言，整體市場需求尚未浮現，他坦言，國內隱私法規的落實，除了金融業較為徹底、醫療業開始重視，以及少數科技公司被業者要求，其他領域則還在觀望，因此，若新創產業要投入這個領域，需特別留意切入的時間點。

為了幫助企業檢視隱私狀況與合規風險，SECURITI.ai提出Privacy Ops的解決方案，可運用其People Data Graph技術，強調透過AI與自動化來做到隱私權資料的管理。在今年RSA大會的Innovation Sandbox競賽活動上，SECURITI.ai拿下年度最佳創新獎

重點二：SaaS雲端安全防護與資安即服務都成趨勢

SaaS雲端安全也是一大重點，RSA大會創新沙盒十強今年有兩家新創聚焦於此，這主要也是美國市場對公有雲應用接受度高，相關資安需求也較多，這幾年來，針對企業採用SaaS而提供的專屬防護方案，也正持續發展。

對此，叢培侃表示，對於SaaS服務的管理，已是現今企業的重要課題，當服務都搬到雲端上後，要如何協助企業雲端的IT管理就是重點，包括弱點、稽核與權限等，今年確實也見到一些新創公司朝此發展。

至於另一面向，是資安新創公司將服務或產品雲端化的趨勢。吳建興指出，今年的SaaS應用比過去更多見，Security as a Service已是美國當地重要的趨勢，許多新創團隊在此發展商業的解決方案。

他認為，公有雲的好處在於能夠快速整合相關資源，包括資安縱深防禦（Defense-in-Depth）、資安治理等環節，也能一起提出解決方案。

然而，對於臺灣環境而言，他認為，目前國內各行各業對於投入公有雲市場，還是保持著較為保守的態度，再加上大眾型公有雲市場已被Amazon、臉書、Google與微軟所把持，從產業發展來看，若是臺灣要創造出獨特優勢與市場機會，結合製造業等主流產業來發展應用也是一條路。他提到，像是這次國內艾訊科技也參展RSA大會，就是發展硬體產品結合雲服務的策略，試圖提升產品競爭力。

重點三：軟體安全漸受重視，精準高效的模糊測試發展受關切

在RSA大會創新沙盒十強中，還有那些新創公司的發展值得重視？我們認為，還有安全開發相關的DevSecOps、應用程式安全管理，以及漏洞修補自動化等不同面向。

對此，叢培侃特別強調，應用程式安全仍是很多企業面臨的問題，今年有半數廠商聚焦於此，發展相應的解決方案；吳建興則是對於檢測面向的新創ForAllSecure，非常關注。

關於ForAllSecure，它是來自美國卡內基美隆大學的團隊，過去曾拿下美國國防部國防高等研究計畫署（DARPA）舉辦的自動網路攻防競賽Cyber Grand Challenge冠軍。

基本上，他們所發展出的DevSecOps解決方案，強項是利用模糊測試（Fuzzing Test）的機制，找到軟體漏洞，提供安全開發。吳建興指出，這樣的檢測技術，等於是將紅隊演練做到自動化，雖然目前該應用主力還不是企業資安，但未來有機會在工業與國防領域成為黑馬。

同時他也說明，模糊測試是項高挑戰的技術，要做到好需要非常的精準，該公司的技術能有效整合專家知識，做到高效率的精準判斷，而不是用窮舉法來找漏洞，這部分將是臺灣值得學習之處，並期望能將這樣的技術引進臺灣，或是建立合作關係。

另外，吳建興也提到，對於員工行為風險，以及開放原始碼安全的檢查，這些資安產品所要解決的資安風險面，也將是國內可以注意的趨勢與機會。

資料來源：各公司，iThome整理，2020年3月

微軟在今年3月的Patch Tuesday例行性修補日，修補了115個安全漏洞，當中有26個被列為重大（Critical）風險，但此次並未出現零時差攻擊漏洞。

趨勢科技旗下的Zero Day Initiative（ZDI），列出了其中4個容易被惡意程式作者利用的遠端程式攻擊漏洞，它們分別是存在於Word的CVE-2020-0852、出現在Dynamics Business Central的CVE-2020-0905、藏身於LNK中的CVE-2020-0684，以及Application Inspector中的CVE-2020-0872。

當中的CVE-2020-0684，同樣也被思科（Cisco）旗下的威脅情報組織Talos點名。

根據微軟的說明，CVE-2020-0684漏洞位於Windows中，駭客只要透過一個伴隨著惡意執行程式的惡意.LNK檔案，就能觸發該漏洞，駭客的手法可能是透過遠端分享或是隨身碟，來誘導使用者執行惡意.LNK檔案，成功開採的駭客，將可取得本地端用戶的同樣權限。

Talos也特別提出了出現在Microsoft Media Foundation中的4個安全漏洞，包括CVE-2020-0801、CVE-2020-0807、CVE-2020-0809及CVE-2020-0869，它們屬於記憶體損毀漏洞，駭客只要誘導使用者開啟一個惡意檔案或網頁，就能觸發相關漏洞，成功開採將允許駭客在受害裝置上安裝程式、變更或刪除檔案，以及建立新的使用者帳號。

還有另外兩個重大漏洞位於GDI+，這是C語言與C++語言的API，相關漏洞為CVE-2020-0881與CVE-2020-0883，駭客只要設置一個惡意網站並吸引使用者開啟就能開採，屬於遠端程式攻擊漏洞。

在此次微軟修補的91個重要（Important）漏洞中，Talos特別強調了CVE-2020-0850、CVE-2020-0851、CVE-2020-0852與CVE-2020-0855，它們都是出現在Word處理記憶體中物件的時候，駭客可利用一個特製的檔案，來代替使用者採取行動。

美國聯邦調查局（FBI）上周在紐約的約翰甘迺迪國際機場，逮捕了涉嫌經營憑證銷售網站deer.io的俄羅斯經營者Kirill Firsov。

根據法院文件，成立於2013年的deer.io，代管了超過2.4萬家專門銷售憑證的商家，這些憑證可能是外洩或盜來的、有關各種網路服務的登入憑證，也許是Facebook或Twitter，價值超過1,700萬美元，而Firsov則是deer.io網站的管理員。

除了憑證之外，有些商家還銷售使用者的社會安全碼、生日或地址等各種個人資訊。

文件指出，Firsov深知該平台的商家所銷售的都是違法的內容，也在駭客論壇大打廣告。

deer.io為一俄文網站，定位於數位服務銷售平台，每月向商家收取800元俄羅斯盧布（約335元新台幣）的代管費用。點進該站的商家類別，明顯看到排名第一的AccMRKT即為一帳號商店（Account Store），專門銷售臉書、IG、Telegram及VK等社交平台的帳號。

中央疫情指揮中心昨天公布口罩實名制2.0後，提供手機線上身分驗證的健保快易通App一度因為大量使用者登入而閃退，健保署緊急修正問題，民眾可先在健保快易通App上通過線上身分驗證，明天再在網站(emask.taiwan.gov.tw)登記購買口罩。

相較於口罩實名制1.0，這次2.0的特色在於網路登記購買、超商領取口罩，實名制的身分驗證也從藥局讀取民眾的健保卡，改為線上身分驗證，民眾可以兩種方式通過線上身分驗證，一是使用自然人憑證或健保卡，搭配讀卡機在個人電腦上通過身分驗證，另一個則是利用手機上的健保快易通App，利用台灣網路認證公司的五大電信用戶門號身分，通過線上身分驗證。

第一種驗證方式是以實體卡片，在個人電腦端完成身分驗證，而第二種方式則是運用健保快易通App，只要使用個人手機門號，不論是中華電信、台灣大哥大、遠傳電信、亞太電信或台灣之星的用戶，都能快速完成線上身分驗證。

民眾在手機上必需先下載健保署的行動快易通App，進入「健康存摺」，再點選利用「行動電話」認證，App就會引導用戶授權使用五大電信業者的門號身分進行驗證，後續再輸入個人的健保卡部份資料，以避免手機被盜用，才能完成整個線上身分驗證。

不過，健保署資訊組科長張齡芝提醒，民眾利用手機App完成身分驗證，必需關閉Wi-Fi，且必需使用個人的手機門號才行，若是公司配給的公務門號，就無法通過線上身分驗證，另外，預付卡門號也無法通過驗證。

民眾以手機門號身分通過驗證後，便能以一組帳號密碼登入快易通App的「健康存摺」，待口罩預約網站開放後，用戶就會在「健康存摺」裡看到「口罩預約」的按鍵，點選後再按下確定，就會被引導至eMask口罩預約網站，線上登記購買口罩。

健保快易通App登入人次一度爆量閃退

在昨天中央流行疫情指揮中心公布口罩實名制2.0的消息後，一度使得健保行動快易通App涌入大量民眾登入。平日登入約8000人次，昨天下午口罩實名制2.0公布後，四點多登入人次爆增至2萬7千多人次，足足多了3倍。

儘管原先快易通的資訊團隊就預期會使用人次增加，但張齡芝坦言，昨天還是超出預期，平時足以應付毫秒等級的登入，每位用戶產生唯一序號，但昨天的大量人次登入，導致產生重覆序號，因系統無法處理，才會出現App閃退的情形。

「雖然發生爆量的問題，但其實很高興能在口罩實名制2.0正式上線前，能夠及早發現問題」，張齡芝說。昨天下午健保署資訊團隊緊急調整之後，才克服產生重覆序號的問題，現在系統比較穩定。

這次健保署資訊團隊配合口罩實名制2.0，最大的挑戰便是要和時間賽跑。資訊團隊直到上週五的下班才獲得消息，星期一獲知更多的計畫細節，口罩實名制2.0成功推行的關鍵，是如何為民眾提供簡便、快速的線上身分驗證，除了在個人電腦端使用自然人憑證、健保卡外，結合健保快易通App的線上身分驗證機制，讓民眾在手機上完成身分驗證，降低線上身分驗證的門檻。

由於目前登入人次還是不少，負責的資訊團隊不斷優化調整，至昨天11點多仍在加班。而因應明天預約網站上線後，可能出現更多的使用者，健保署也增調更多伺服器應付，目前健保署的資訊人員，分別針對健保卡旅遊史、口罩實名制1.0，以及這次的口罩實名制2.0的健保快易通App身分驗證，在人力、主機調度都有不小的壓力。

Mozilla釋出最新Firefox 74，這個版本有許多重要的變更，包括Mozilla正式結束側載入擴充套件的支援，而對開發者重要的更新，則是Firefox 74開始停用TLS 1.0和TLS 1.1，並預設啟用功能政策（Feature Policy） ，以及支援跨來源資源政策（Cross-Origin-Resource-Policy，CORP）標頭，另外，還增加新的CSS文字功能。

去年Mozilla就預告將逐步取消側載入擴充套件，而在Firefox 74終於正式壽終正寢。側載入是一種安裝Firefox擴充套件的方法，但這種安裝方法不需要使用者參與，因此使用者無法自行決定安裝擴充套件與否，而且也無法從擴充套件管理器中刪除。過去就曾有惡意軟體利用這個機制，入侵使用者的Firefox，且濫用回報中的問題第一名，便是Firefox未經使用者同意，直接安裝擴充套件，而這些擴充套件都是以側載入方法發布的。

從Firefox 74開始，所有擴充套件的安裝，都需要使用者明確參與，在用戶更新到Firefox 74時，Firefox不會主動刪除之前以側載入安裝的擴充套件，用戶需要手動從擴充套件管理器中刪除。現在Firefox會阻擋新的側載入擴充套件，不過開發者仍然可以對以前就安裝的側載入擴充套件推送更新。不過，企業管理員以及其他組織自行發布的Firefox版本，仍然可以透過側載入部署擴充套件，延長支援版本（ESR）也會繼續支援側載入安裝方法。

Firefox 74也取消了對TLS 1.0/1.1的支援，以促進整體網頁平臺的安全性，Mozilla表示，這對於推動TLS向前發展至關重要，可擺脫存在於TLS 1.0/1.1中的各種漏洞。從現在開始，開發者需要確定網頁伺服器支援TLS 1.2或1.3，當與伺服器的連線仍使用舊版TLS，Firefox會回傳安全連接失敗（Secure Connection Failed）的錯誤訊息。在接下來幾個發布版中，安全連接失敗錯誤頁面會有覆寫按鈕，預防開發者的伺服器仍在使用TLS 1.0/1.1，但這項功能不會持續太久。

現在Firefox也開始預設啟用功能政策（Feature Policy），功能政策是讓開發者在頂級頁面和嵌入式框架中，控制來源（Origin）可以使用的功能，開發者可以為來源編寫允許來源列表，只有在允許列表中的來源，才能在當前文件或是框架中使用該功能，當開發者沒有為功能指定策略，則Firefox會使用預設的允許列表。另外，Firefox 74還支援跨來源資源政策標頭，該標頭讓網站和應用程式，能夠阻擋特定跨來源的請求，以減輕像是Spectre和Meltdown等推測性旁路攻擊，以及跨站腳本夾帶攻擊。

在CSS文字功能上，Firefox 74預設啟用text-underline-position屬性，以更好地處理文字底線效果，使用text-underline-position: under，可以將底線放在字母降部的下方，增加經常性使用下標的化學式或是數學公式的可讀性。

資安業者Palo Alto Networks本周公布了2020年的IoT威脅報告，分析了美國企業與醫療組織的120萬個IoT裝置，發現有83%的醫療影像裝置，仍使用老舊的作業系統，遠高於2018年的56%。

根據市場研究機構Gartner的IoT市場預測，今年全球醫療供應商將安裝3.5億個IoT裝置，高於2019年的2.8億與2018年的2.1億。

然而，Palo Alto Networks今年的調查則顯示，有高達83%的醫療影像裝置採用了老舊的作業系統，高於2018年的56%，突然竄升的原因是有許多相關裝置使用的，是微軟甫於今年停止支援的Windows 7作業系統。

在Palo Alto Networks所調查的醫療影像裝置中，只有17%採用了現行仍具技術支援或漏洞修補的作業系統，包含了11%的Windows 10、2%的Windows 8.1、2%的Linux與2%的嵌入式系統；而在採用老舊作業系統的83%，則包含56%的Windows 7、11%的Windows XP、7%的嵌入式系統、4%的Linux、3%的Unix，還有2%的其它Windows作業系統（如下圖：圖片來源／Palo Alto Networks），而這些老舊作業系統因已缺乏安全修補，而更容易成為駭客的目標，可能允許駭客破壞裝置能力或竊取機密的醫療資訊。

而在所有的IoT裝置中，有高達98%的裝置流量沒有加密。醫療院所的IoT裝置威脅中，有51%與影像裝置有關。此外，有72%醫療院所的虛擬區域網路混合了IT及IoT資產，表示只要駭進某個使用者的電腦，就能將惡意程式散布到同一網路中的IoT裝置。

IoT裝置的安全性日益受到矚目的原因，不只是企業部署的IoT裝置愈來愈多了，還包括IoT裝置的安全措施通常較不嚴謹，研究指出，有高達57%的IoT裝置曝露在中／高嚴重等級的攻擊風險中，也讓他們成為駭客入侵企業網路與系統的最佳媒介。

在駭客攻擊IoT裝置的途徑上，有41%是開採了裝置的安全漏洞，此外，駭客針對IoT裝置展開攻擊的目的，也從原本的建立殭屍網路，移轉到利用它們來散布惡意程式。

此一研究所調查的對象，為企業與醫療院所的IoT裝置，前者包括IP Phone、印表機、對講機系統、消費者電子裝置、監視器及電力管理裝置等，安全問題較為嚴重的為監視器、印表機、消費者電子裝置與電力管理裝置。醫療院所的IoT裝置則有輸液幫浦、影像系統、病人監視器、診斷分析器、護士鈴及醫療裝置閘道等，其中安全問題最嚴重的即是上述的醫療影像系統，繼之為病人監視器與醫療裝置閘道。

Palo Alto Networks建議，企業或醫療院所首先應該要清點內部的IoT裝置，修補各種容易修補的裝置漏洞，隔離IoT裝置與虛擬區域網路，並啟用主動監控機制。

AWS推出專門為容器主機最佳化的Linux作業系統Bottlerocket，包含容器主機所需要的元件，並且整合了現有容器調度工具，支援Docker映像檔以及OCI（Open Container Initiative）格式的映像檔。

不少企業以容器打包應用程式，讓各種應用程式在不同的計算基礎設施中運作，且不需要變更其底層程式碼，AWS提到，以容器打包和擴展應用程式，已經是公認在雲端執行應用程式的首選方法，因為以容器為基礎的環境，能使得應用程式擴展變得簡單，客戶可以在主機環境執行數百甚至是數千個執行個體。

不過，不少應用程式容器所使用的主機作業系統，皆非為託管容器設計，因此這也出現了一些挑戰，大多數的系統都是以套件為單位更新，這在安全性、更新、額外資源支出以及系統偏移上，都會出現問題，也使得自動化成為一項困難的工作。

AWS認為，這些挑戰主要來自於套件系統，除了簡單地安裝額外的套件來滿足相依性，會增加可攻擊面之外，傳統仰賴套件的更新系統，機制過於複雜容易產生錯誤，且相依項目也容易出現問題，而且多餘的套件會占用磁碟空間和CPU運算資源，增加啟動的時間，另外，不一致的套件和配置，也會因為時間發展，破壞叢集的完整性。

為此，AWS推出了自家的作業系統Bottlerocket，試圖解決這些問題。Bottlerocket由標準開源元件建構而成，具備執行容器所有需要的元件，AWS強調，Bottlerocket特別之處在於其更新以及API設計上，用戶可以利用呼叫API來調整配置，而不需要手動更改，並且這些更改還可以在更新時自動搬遷。

Bottlerocket不使用套件更新系統，而是使用基於映像檔的更新模型，這個模型在必要時可以快速且完整的回退，AWS表示，這消除了系統衝突和故障的機會，並使得調度工具可以更有心信地將更新應用到整個叢集。而且Bottlerocket中幾乎所有的地方元件，都是以Rust開發而成，而Rust能夠消除某些類型的記憶體安全性問題，並且使開發者以較安全的模式開發程式。

Bottlerocket的檔案系統主要為唯讀，並在啟動時經dm-verity檢查其完整性，AWS提到，並不建議用戶使用SSH存取，SSH存取僅在獨立管理者容器中提供，用戶可以根據需要啟用管理者容器，用來排除故障。