Quantcast
Channel: iThome
Viewing all 31941 articles
Browse latest View live

支援AWS的Google Anthos正式版上線,Azure版緊追在後

$
0
0

Google去年公布混合/多雲應用平臺Anthos,可整合Amazon Web Services(AWS)及Microsoft Azure。周三Google 宣布Anthos已經正式支援AWS上線。

Google首先於2018年發表Anthos,旨在讓用戶撰寫一次應用、包成容器後,即可以部署、執行在其他雲,包括Google Cloud、AWS、Azure及本地部署的資料中心上,並且從Anthos跨雲管理,而企業IT不必再學習不同環境及API。去年4月Google宣布Anthos多雲版本,並釋出支援AWS 的Beta版。而在昨日宣布中,支援AWS的Anthos已經正式上線,可供企業管理Google Cloud及AWS上任務,或是本地部署在資料中心的現有應用。對Azure的支援則仍然為預覽版。Google對ZDNet表示,目前該公司正在和多家企業測試,很快就會正式推出。

而Anthos最新版本也強化支援VM,新功能讓用戶可以Anthos管理框架延伸到現有環境下的多種作業。首先是Anthos Config Management,讓IT可以編寫程式,或採宣告(declarative)來管理Google Cloud的VM,一如管理自己的容器,以減少出錯、提升作業效率。未來幾個月內Anthos Service Mesh也將支援在VM內執行應用,以便在多種雲的異質化環境下管理服務。

Google也預告,今年內可以在不需第三方Hypervisor情況下執行Anthos,將可進一步提高效能、降低成本及管理外部廠商的複雜性。而裸機執行的能力也讓Anthos可以提升邊緣網路能力,把應用部署到資料中心及公有雲以外的任何角落,像是零售店、分公司辦公室或遠端站點,還能提升應用效能。

新版本也強化Migrate for Anthos把VM轉換到容器的功能,可讓舊式應用轉到Kubernetes及Anthos,且緊密整合Anthos Service Mesh,支援本地部署環境的Anthos,還能把舊式Windows Server應用轉為容器應用。


PTT使用者反應帳號出現非本人嘗試登入行為,疑似對方利用自動化工具猜密碼

$
0
0

近一個月來,臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先,近期我們在登入PTT時,發現今年3月底到4月初的期間,PTT帳號有被嘗試密碼的行為,每次都是同個IP位址連續登入失敗三次,並且是在2到3秒內就完成,相隔沒幾天,又有不同IP位址嘗試登入,而網路上也許多網友表示遭受同樣的狀況。到了4月中旬,又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論。

對此事件,由於用戶每次登入PTT時,若是密碼錯誤,其實都會斷線並留下一次記錄,因此這樣短時間連續三次被嘗試密碼的情形,可能是有惡意人士或集團,透過自動化工具以密碼噴灑(Password Spraying)的攻擊方式,利用常見弱密碼嘗試進行盜取用戶帳號。

基本上,PTT是臺灣極具影響力的網路社群之一,討論能見度高,相關資訊在PTT上傳播也容易受到民眾與社會新聞的注目,加上仍保持網路早期匿名制的特性,發言不易受限,且平臺用戶多集中在18~40歲之間,因此多年下來平臺依然維持相當活躍的情形。

不過由於PTT新帳號註冊日益浮濫的問題,使得PTT官方在2018年9月正式宣布,停止新帳號的註冊,且至今仍未對外界開放,僅在上個月開放臺大學生以學生信箱註冊。

因此,近日PTT上出現用戶帳號被自動化工具嘗試密碼的情況,值得各界注意,雖然目前未聽聞有網友受駭,而用戶也會在一上站就看到錯誤嘗試的記錄,因此得到提醒,但這樣的自動化攻擊行為還是引發關注,並突顯了目前PTT帳號的價值,引人覬覦。

而過去,其實也就曾有PTT帳號買賣的情況,以及使用多年帳號能賣出高價的消息。例如,在2019年7月時,由於逼近臺灣總統大選,因此官方將許多PTT最熱門討論區的發文門檻提高,也就是需要登入次數到達一定程度,才能在版上發文。而PTT官方也曾刪除多個曾在交易平臺出售過或出售中的帳號。

我們在登入PTT時發現有錯誤嘗試的記錄後,在4月10日於Google搜尋時,即發現同期間其實有不少PTT用戶都發現有同樣的狀況,特別是3月底到4月初的這段期間。

 

被外人嘗試登入PTT帳號的情況,到了4月中旬,仍然持續發生。由於這樣的非法登入行為,幾乎都是在兩三秒內就出現了三次密碼嘗試的動作,而一般用戶登入失敗一次後,其實就會連線中斷,需要重新連線輸入帳號與密碼,顯然這是自動化工具所為。

此外,這些嘗試登入的IP位址是否皆為國內外的攻擊跳板,以及背後攻擊者的背景,也成為外界可以關注的面向。

Google:至少有12個國家級駭客組織利用疫情展開攻擊

$
0
0

Google透露,最近有超過12個國家級駭客組織,利用武漢肺炎(COVID-19)疫情展開攻擊,以掩護它們的間諜行動,這些國家級駭客通常會鎖定特定目標,像是各國的衛生組織或是美國政府機關的員工。

事實上,全球的駭客幾乎無不利用了武漢肺炎疫情來作為攻擊媒介,Google才在上周揭露,近來Gmail平均每天要封鎖1,800萬封與武漢肺炎有關的網釣或惡意郵件,以及攔截2.4億封與肺炎有關的垃圾郵件。

而國家級駭客也不例外,同樣以肺炎為幌子來展開攻擊,企圖引誘受害者點選惡意連結或下載惡意檔案。其中有一個案例鎖定了美國政府機關的員工,駭客在所遞送的電子郵件中,宣稱自己是美國的快餐店,為了因應疫情而提供免費餐點與折價券,一旦使用者點選了郵件中的連結,就會被導向一個偽造的訂購頁面,要求使用者輸入Google憑證。

還有兩個案例鎖定了各國的衛生組織。根據Google的分析,來自中東的駭客集團Charming Kitten與來自玻利維亞國家組織(ALBA)的Packrat,都建立了偽裝成世界衛生組織(WHO)的網站,然後寄送網釣郵件予各國或各地區的衛生組織,將使用者導向仿冒的WHO網站,並要求他們輸入自己組織登入WHO的憑證。

在面對來自國家級駭客的攻擊時,Google一方面攔截了相關的攻擊活動,另一方面也會通知受到攻擊的用戶,此外,也針對約5萬個遭鎖定的高風險帳號,提高其登入及回復Google帳號的門檻。

根據Google的統計,今年1月有4,164個帳號被國家級駭客鎖定,2月是4,154個帳號,3月則是3,538個帳號,雖然數字上的波動並不罕見,但Google猜測,也許駭客也如同一般組織一樣,在疫情期間的生產力受到限制。

疫情延燒資金不足,Magic Leaps裁員1千人

$
0
0

彭博引述消息來源報導,一度因Google、阿里巴巴等公司投資,而眾所矚目的混合實境(MR)裝置廠商Magic Leap近日大規模重整,裁減約1千名員工,成為最新一波實施裁員的公司。隨後Magic Leap也在官網上證實此事。

彭博也報導,Magic Leaps也關閉消費應用,包括電玩及娛樂性的App開發部門,以便將重心聚焦到企業市場。

Magic Leap執行長Rony Abovitz在官網上證實此消息。他指出,近來全球武漢肺炎(COVID-19)疫情導致經濟環境惡化,降低市場上可用資金及長期投資人的興趣。雖然公司領導團隊及投資人,仍然對其技術智財的長期潛力抱持信心,但短期內混合實境的機會應集中在企業市場,這使得該公司必須做出困難的決定,裁減一部份人力,以維持公司營運。他說裁員影響公司各個階層,大到其直屬的高層到工廠員工。

Magic Leap指出,在調整事業策略重心後,該公司將減少投資成長遲緩的市場,集中火力尋找有潛力的應用情境,並確保Magic Leaps 2的推出。Abovitz沒有指出是何種企業應用,但彭博報導,Magic Leap近日已和一家大型醫療機構簽下合約。

疫情恐怕只是Magic Leap大規模裁員的導火線。儘管該公司號稱其MR技術可讓虛擬影像和真實無法分辨,但是2018年推出的第一代產品僅數千臺,銷售遠不如預期。去年底《The Information》便報導,Magic Leap已陷入裁員、人員流動、研發遲緩,使第二代產品不見天日。

疫情過後的新常態

$
0
0

最近幾個禮拜,歐美媒體如CNN電視臺、富比士雜誌、衛報,以及哈佛商業評論,都開始用一個名詞「New Normal」(新常態),來形容武漢肺炎(COVID-19)疫情過後的世界。

新常態原本是經濟和商業領域的用詞,過去常用來形容2007~2008年金融海嘯,以及2008~2012年全球經濟大衰退之後的日子。原本的日常生活,受到金融海嘯或大衰退而不正常,就算衝擊過了,生活回歸正軌,但已不再是跟以前同樣的生活,而是新的一種「正常生活」。

先前是因為全球性的經濟衝擊,但這次,則是武漢肺炎全球疫情帶來的影響。

儘管疫情到了4月下旬,還在持續發威,但是這些媒體,已經開始預測全球疫情過後,日子回不去了。生活總是會往前走,關鍵是會如何改變?

世界衛生組織(WHO)歐洲區總監Hans Kluge的觀察,點出了最核心的改變。他在4月16日於WHO歐洲官網上說,疫情仍有許多複雜性和不確定性,需要毅力和耐心,沒有回歸日常的捷徑。所以,任何邁向新常態的作法,都必須遵循公共健康原則,再搭配經濟面以及社會面考量。

公共健康原則,將成為每一個人日常生活的新指南,你不能只為自己,還得為他人而活。因為大規模傳染病真正的代價,不只是確診者的治療成本,而是人人都得為染病的風險付出代價。兩名學生確診,師大全校停課兩周。英國宣布全境封鎖3周時,確診人數約6千6百多人,但影響了6千多萬人非必要不能出門。對產業的衝擊更大,除了民生用品,其他百業全面蕭條。

在有效疫苗問世之前,許多國家只能要求人們戴口罩和保持社交距離,來對抗疫情擴散,但是,一旦爆發社區感染後,人傳人風險值大增,就只能採取封城鎖國策略。

為此,Google和蘋果聯手要開始打造,可匿名保護隱私的確診者接觸史比對技術,預計5月中旬,內建到兩大手機平臺中,透過科技更精確找出高風險染病者成了新手段,只要找到接觸過確診者的少數人進行隔離就好,不需要人人都得居家隔離。

臺灣也有類似技術,但4月底就會上線,行政院找來臺灣AI Labs開發的社交距離App,就是這樣的工具,透過手機藍牙技術,彼此蒐集匿名化的接觸識別記錄,分散儲存到各自手機來避免隱私侵犯,搭配確診者自願公開的匿名識別記錄,就能判斷自己是不是接觸過確診者的高風險感染者。

即使有種種高科技抗疫手段,沒人能預測,自己的員工會不會成為下一個確診者,只好先做好準備。

遠端工作能力、大規模居家辦公機制、視訊會議工具、網路協作平臺、甚至數位銷售通路,都成了每一家企業現在必備的能力。

網路趨勢女王Mary Meeker更在4月16日中,突然發布了一份武漢肺炎疫情衝擊的分析報告。在報告中指出,科學家、工程師和領域專家成為主角,尤其是創新的科技公司更是帶頭對抗疫情。居家辦公成為常見形式,讓工作和生活要重新拿捏平衡,企業數位轉型也會加速。

她觀察,這波疫情將會促成企業大量將線下活動搬到線上,業務功能要能上雲,剛性需求產品更搶手,更容易線上曝光才能服務顧客,得用更少接觸的管道來派送產品給顧客,更有效數位化的生意才能變成產品,還要有更廣的社群媒體存在感等。

就如同這份報告用「我們的新世界」(Our New World)為題來形容,我們熟悉的世界,將變成不同於過往的「新」模樣,「我們終究會度過疫情,但生活將不再一樣了。」

Zoom發表強化安全及隱私的5.0版

$
0
0

熱門的視訊會議平臺Zoom在周三(4/22)宣布,將於一周內釋出強化安全及隱私的Zoom 5.0版,該版本將全面升級為採用AES 256位元GCM加密標準,能夠保障會議數據的傳輸,並防止會議內容遭到篡改。

不過,AES 256位元GCM加密標準,會在所有帳號都啟用GCM加密時才會生效,Zoom預計要在5月30日才會進行全面啟用。

新版也允許帳號管理員設定會議所使用的資料中心區域,或是限制與會人員所使用的資料中心位置。

未來Zoom的會議主持人將有更多的控制選項,包括可在會議選單上看到安全圖示,該功能集結了Zoom的所有安全設定,其中一項功能是能夠向Zoom檢舉惡意的使用者,或是關閉與會人員更改所使用的名稱,教育版則變更了螢幕分享的預設值,僅允許會議主持人分享螢幕。

另外,不管是教育版、基本版或單一授權的Pro帳號,都已把等候室(Waiting Room)列為預設值,與會人員都必須先在等候室等待主持人批准,才能進入會議,主持人也可在進行會議時,開啟等候室。

而基本版、單一授權的Pro帳號與K-12等客戶,現在則要求所有與會人員都必須輸入密碼才能進入會議,也允許帳號管理員規定密碼複雜度。

而若要存取雲端會議紀錄,預設值也都要先輸入密碼。若身為商業版、大型企業版或教育版的管理人員,現在可在儀表盤上看到會議所連結的資料中心。

Zoom表示,許多功能在本周就已上線,有些功能則要等到Zoom 5.0才能啟用,使用者可直接下載最新的Zoom版,或是藉由客戶端程式的更新功能進行升級。

資安一周第90期:Tomcat Ghostcat漏洞影響受關注。另起焦點事件是調查局與微軟聯手破獲非法VPN並發現源頭裝置是LED燈控制器

$
0
0

0416-0422一定要看的資安新聞

 

開源軟體安全

Tomcat存在Ghostcat漏洞,有中國駭客在臺灣校園網站上傳 BiFrost後門程式 

圖片來源/TeamT5

近期Tomcat Server被揭露一個名為Ghostcat的漏洞,臺灣有圖書館網站遭植入惡意程式,疑似就是因為該漏洞受到利用所導致,由於Tomcat是Java開發者常用的應用伺服器之一,雖然在Apache Tomcat官方網站上,已於2月11日與14日發布不同版本的更新修補,但這個漏洞在國內比較少被關注,例如,國內安業者發現許多企業的Tomcat Server具有該漏洞,未即時修補。此外,該漏洞也波及多個Linux平臺,因而陸續修補,就連商用軟體也受影響。更多內容

 

殭屍網路

調查局與微軟合作拿下非法VPN與殭屍網路,源頭竟是一個LED燈控制器

圖片來源/法務部調查局

在今年3月,微軟宣布與35國警方與安全業者共同破獲Necurs,臺灣執法單位也名列其中,不過,其實調查局在去年就與微軟合作採取行動。在去年7月8日,調查局接獲臺灣微軟數位安全中心(Digital Crimes Unit,DCU)通報,得知臺灣政府網路IP位址(117.56.xxx.xxx)可能感染Necrus,進而追蹤此一非法的VPN IP位址,查出攻擊所在是北臺灣鄉下的圖書館大樓內,更意外的是,駭客用來散布惡意程式的,竟然是一個不起眼的LED燈控制裝置,調查局在分析調查後將它關閉,阻止該IP與裝置繼續成為攻擊跳板。更多內容 更多內容 

 

MITRE ATT&CK

第二輪MITRE ATT&CK評估計畫結果出爐,臺灣資安廠商也入列

圖片來源/擷取自MITRE ATT&CK's Twitter

MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架,而他們發起的ATT&CK評估(ATT &CK Evaluations)也越來越受到資安業者的響應與認可,在今年4月22日,MITRE公布了第二輪針對APT29的評估計畫結果,這回共有21家資安業者參與,比第一回合更多(初期7家參與、後續5家跟進),特別的是,臺灣資安新創公司奧義智慧,以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布,不論是企業或資安業者,都將能藉此衡量EDR的偵測能力與覆蓋範圍。

值得一提的是,兩個月前MITRE也已表示將持續推動這項計畫,希望能藉由透明的評估過程,幫助用戶評估端點檢測工具,他們並公布了新一輪評估計畫,將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。更多內容

 

軟體安全 Zoom

傳出Zoom零時差漏洞攻擊程式正在黑市販售

雲端視訊會議Zoom的爆紅,讓全球駭客都在找這套平臺的安全漏洞,近期國外媒體Motherboard爆料,指出已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式,分別可用來攻擊Windows及macOS上的Zoom用戶端程式,其中Windows版Zoom的攻擊程式,可用來執行遠端程式攻擊,需搭配其他的漏洞才能控制整個受害系統,同時也要加入到Zoom的會議中,但由於這個零時差漏洞尚未被揭露,因此駭客開價高達50萬美元。更多內容

 

微軟Patch Tuesday

本月微軟共修補113個零時差漏洞,其中有3個已遭成功利用

圖片來源/擷取自ZDI

微軟在4月例行性漏洞修補,總計修補了113個安全漏洞,其中有17個屬於重大等級,並且有3個漏洞要特別注意,因為已經被駭客成功利用,分別是CVE-2020-1020、CVE-2020-0938與CVE-2020-1027,前兩個漏洞是關於Adobe Type Manager Library無法正確處理特製字型,後者則是WindowsKernel的權限擴張漏洞。同時,漏洞懸賞平臺ZDI也對這次更新內容,指出有兩個漏洞需先考慮優先修補,一個是DNS服務阻斷漏洞CVE-2020-0993,另一個則是可繞過Token機制的CVE-2020-0981。更多內容

 

軟體安全 vCenter Server

VMware修補企業虛擬化解決方案高風險漏洞

圖片來源/擷取自VMware

近日VMware針對vCenter Server上的高風險漏洞發布修補,他們指出該產品具有CVE-2020-3952弱點,肇因於VMware Directory Service(vmdir)無法正確實現存取控制,一旦遭成功濫用,將讓駭客得以竊取機密資訊,是CVSS v3.1評估為10分的最高風險漏洞。美國電腦緊急應變小組(USCERT)也已針對該漏洞提出警告,呼籲使用者應儘速部署必要更新。更多內容

 

資料外洩

透過風扇震動竊取不連網PC的資料,大學研究人員展示攻擊新手法

圖片來源/擷取自Ben Gurion University Cyber Secuirty Labs' Youtube

即使不連網的PC也還是有可能被駭客竊取資訊,以色列本古里安大學網路安全研究中心教授Mordechai Guri的團隊,近日展示了新式攻擊手法,只要先在電腦內安裝惡意軟體,使其不斷改變風扇轉速,可對桌面產生不同頻率的震動,接著,攻擊者需要搭配能偵測震動的裝置,例如,透過智慧型手機將震動頻率解析成資料,隨後攻擊者再透過手機瀏覽器的JavaScript接收手機的感測器資訊,再以手機網路把資料傳送到遠端駭客。更多內容

 

BGP安全 RPKI

避免BGP路由遭到綁架,Cloudflare推出可檢查ISP安全的公鑰網站

圖片來源/Cloudflare

為了改善BGP的安全性,業界提出了資源基礎架構(RPKI),近日Cloudfl are則是發布了Is BGP Safe Yet網站,可用來測試使用者的網路服務供應商,是否正確部署RPKI,以預防BGP外洩或挾持。根據Cloudflare的觀察,目前大約有50%的網路部署RPKI,並希望各界督促業者部署RPKI,共同來保障全球網路的健全。更多內容

 

BEC詐騙 SilverTerrier

奈及利亞駭客組織的BEC詐騙攻擊盯上臺灣,去年受攻擊程度居北亞之冠

商業電子郵件詐騙(BEC)持續鎖定全球,而臺灣比其他地區面臨更大風險,近期Palo Alto Networks公布一份BEC相關調查報告,是針對奈及利亞駭客組織SilverTerrier的活動進行分析。報告中指出,SilverTerrier在詐騙計畫與技術能力上變得更成熟,並有越來越多採用遠端管理工具(RA T)的現象,而這類為了讓BEC詐騙能更順利進行的惡意軟體部署,將是企業必須注意的最大威脅,此外,他們觀察到該組織在去年的攻擊比前一年度增加172%。

特別的是,Unite 42副處長Jen Miller-Osborn近日提供了該組織在臺灣的攻擊統計數據,在2019年,他們共發現1,747個樣本,以及38,270次的攻擊,比起鄰近的中國、日本、香港與南韓都高,這樣的威脅現況值得注意。更多內容

 

密碼安全 PTT

PTT使用者反應帳號出現非本人嘗試登入行為,疑似對方利用自動化工具猜密碼

圖片來源/iThome

近一個月來,臺灣電子布告欄批踢踢實業坊PTT傳出不少用戶帳號出現遭人嘗試密碼的情形。首先,在今年3月底到4月初的期間,傳出第一波受害者,每次都是同個IP位址連續登入失敗三次,並且是在2到3秒內就完成,相隔沒幾天,又有不同IP位址嘗試登入。到了4月中旬,又有一波這樣的狀況發生。目前站方與外界尚未對此狀況發表評論對此事件,由於用戶每次登入PTT時,若是密碼錯誤,其實都會斷線並留下一次記錄,因此這樣短時間連續三次被嘗試密碼的情形,可能是有惡意人士或集團,透過自動化工具以密碼噴灑(Password Spraying)的攻擊方式,利用常見弱密碼嘗試進行盜取用戶帳號。更多內容

 

更多資安動態

福特和福斯連網車輛傳嚴重漏洞,可能洩露個資、影響行車安全
大型IT服務業者Cognizant遭到Maze勒索軟體攻擊
美國國土安全部再次督促使用者修補Pulse Secure VPN漏洞
Dropbox曾私下找駭客調查Zoom的安全漏洞
Zoom的安全問題不只是漏洞,更是信任問題
 

Google減碳新方法,將運算工作排程至低碳供電時刻執行

$
0
0

Google開發出新的永續碳智慧運算平臺,並部署在自家超大規模資料中心,可自動將運算工作安排到風能與太陽能等低碳能源充足的時間執行。

建置這個系統不需要增購額外的硬體,而且因為是改變非緊急運算工作的時間,所以也不會影響Google本身的服務,受調整的運算工作,諸如在Google相簿上創建新的過濾器功能,以及YouTube影片處理,還有在Google翻譯中增加新單字等。Google提到,永續碳智慧運算平臺可幫助他們減少電網的碳足跡,更接近全天無碳能源的目標。

每天每個Google資料中心,都會以永續碳智慧運算平臺比較兩個預測結果,安排隔天運算工作,一種預測是由Google合作夥伴Tomorrow所提供,Tomorrow能預測隔天本地電網平均每小時的碳密集度,另一個預測資料則是來自於Google內部,預測隔天執行任務每小時所需要的電力資源;Google依據這兩個預測資料來最佳化每小時的工作排程,使得運算工作可以盡量在低碳電力供應時執行。

經試驗結果證明,透過轉移運算工作,Google能夠增加低碳能源的使用量,(下圖)黃色虛線是原本運算工作基準,綠色實線則是經調整之後的工作負載,當灰色區域碳密集度較低時綠線較高,到了碳密集度較高時,綠線便顯著下降,Google提到,碳排較少的時間,通常在清晨或是傍晚的時候,因為風能最豐沛。

而目前第一階段碳智慧運算平臺,專注在最佳化分配同一個資料中心的任務,但是當運算工作能在不同資料中心轉移,才能最大化減碳效果,Google將透過控制在不同的地點與時間執行運算工作,最大程度減少二氧化碳排放量。Google之後會公開這個研究,讓更多組織也能夠智慧減碳。


中國網軍年後拼復工,以武漢肺炎議題為餌,鎖定臺灣政府和醫療智庫學者發動攻擊

$
0
0

即使世界因為武漢肺炎擴散,導致許多國家或城市被封鎖而暫停,但網路世界確依然熱鬧,TeamT5杜浦數位安全執行長蔡松廷(網路暱稱TT)於4月23日中午12點播出的「大話資安」節目中表示,從二月開始,中國傳統APT攻擊的網軍開始攻擊臺灣政府部門,但4月7日則以武漢肺炎籌組相關任務編組的郵件,寄送到特定的智庫和學者私人信箱。蔡松廷表示,從這陣子的網軍行為來看,可以證明,中國網軍復工後,對臺灣帶來的的威脅仍不可輕忽。

武漢肺炎疫情蔓延,各種連網風險大增

蔡松廷表示,武漢肺炎全球大爆發以來,許多民眾都開始改用在家工作(Work From Home)的遠距上班模式,但也同時帶來相對應的風險,例如平常只有少數人透過VPN連到公司內網,當大家都必須透過VPN連線時,有時候也很難判斷哪一些是攻擊的連線,甚至連VPN設備本身也有漏洞,必須即時修補。因為在家工作而使用防護能力較差的家用電腦,風險較高外,一旦家中電腦爆發資安事件時,企業往往很難做到即時的資安事件調查(Instant Response,IR)。

他指出,武漢肺炎也對許多產業帶來很大的衝擊,許多企業的IT預算甚至資安預算是否會在這一波經濟衝擊中被削減,值得關注。

在疫情期間,各行各業連個人對於網路依賴越來越深,蔡松廷認為,這雖然帶來很大的風險,也同時帶來機會;不過,他也坦言,因為大家都持續關注武漢肺炎的發展,這也使得武漢肺炎相關的資訊,成為網軍攻擊利用最有效的社交工程手法之一。

中國網軍鎖定臺灣政府和民間智庫發動攻擊

以前的網軍攻擊看得出來一些規律,像是,蔡松廷說,在農曆年間,網軍也都會過年放假,減少網路攻擊,但農曆年後,當大家都回到工作崗位繼續上班後,網軍們就會開始新一波的攻擊。」他進一步指出,這次中國在1月23日武漢封城後,從收集到的網軍樣本來看,網軍也整整休假四周之久,而網軍開始復工之後的攻擊數量,也比過往農曆年後的攻擊數量大幅減少。

他舉例指出,1月29日,第一波的網軍攻擊則是印度網軍攻擊中國,便利用中國衛生健康委員會發出的「武漢旅行信息收集申請表」作為誘餌文件,「當時武漢封城,進出受到管制,這就是百分之百針對中國的網路攻擊。」蔡松廷說道。

之後二月也開始巴基斯坦網軍攻打死對頭印度,俄羅斯網軍攻擊烏克蘭,中國網軍攻擊蒙古等網路攻擊事件。

但要怎麼確定中國網軍對臺灣攻擊已經恢復了呢?蔡松廷表示,在2月27日有一個網軍集團Polaris,便以「社區傳播風險」的文件攻擊臺灣政府部門,「這也意味著中國網軍正式復工,」他說。

三月,包括菲律賓、南韓等國都有遭到網軍攻擊,不過,4月7日中國網軍Polaris則針對臺灣智庫和生技醫療專家學者的私人信箱寄誘餌文件,內容寫明希望可以針對武漢肺炎帶來的影響以及後續的合作,相關收件者很容易就因為關注這個議題,而解壓縮郵件的附件文件。

蔡松廷也說,目前利用Office漏洞去產生惡意文件的比例便利,更多是利用人性的漏洞,像是利用武漢肺炎的標題,就很容易吸引人點擊相關文件。假新聞利用人性漏洞去提供點閱率,但就像資安意識就是對抗這類網軍攻擊、社交工程郵件最有效的利器,如同要能夠辨別假新聞,最好的方式就是要培養思考辯證能力一樣,都是最難但卻有效的解決之道。

鎖定醫療生技產業發動攻擊

當網軍恢復攻擊態勢後,國際疫情仍然持續爆發,蔡松廷也觀察到,武漢肺炎不僅成為各種社交工程郵件最有利的關鍵字外,也發現,已經有網軍開始針對醫療相關發動產業攻擊,包括忙著治療防疫的醫院、疫苗和快篩研究單位以及各種相關的生技公司等,都是接下來網軍鎖定攻擊的對象。

此外,在家上班(WTH)會成為企業安全的挑戰,像是VPN設備和連線的安全性都必須考量外,也必須關注提供遠端工作的各種平臺,是否成為網軍攻擊的目標,其他包括各種資安漏洞的掌握、家中電腦安全防護等,對於企業和使用者而言,都是大挑戰。

他也說,很多國家在經歷這一波武漢肺炎的疫情後,開始思考要求各國重要產業,必須把相關的供應鏈工廠的風險做分散,撤離中國或者是分散到其他國家,而這樣的作為則會引發各種網路間諜事件。

畢竟,為了了解各國政府或重要企業「撤離中國」、「分散供應鏈」等動態與策略發展,必須要即時掌握相關情資。他預測,接下來很多國際事件,例如:美國總統大選、各方國際角力、美中貿易大戰、香港反送中事件等,都會引發各種網路間諜事件,從國家、企業到個人面對的資安風險和挑戰也會越來越大。

網路間諜除了偷資料,也有利於各種社群操弄(InfoOps)假新聞、假資訊的散布,蔡松廷說,尤其未來偷取真實資料但在網路公開時,各種真實文件夾雜假訊息的時候,大家不僅更容易相信也更難判斷真假。因此,他也說,未來避免雞蛋不要放在同一個籃子中的分散風險,加上掌握重要情資,都有助於做對決策。

 

IoT雙周報第79期:美國FCC拍板定案!將開放6GHz頻譜用於下一代Wi-Fi 6使用

$
0
0

04/11~04/24精選IoT新聞

 Wi-Fi 6E   美國FCC  

美國FCC正式開放6GHz頻譜用於下一代Wi-Fi,優先提供高度省電需求的IoT裝置來用

美國聯邦通信委員會(FCC)於23日表決通過,正式開放6GHz頻譜用於下一代Wi-Fi 6,未來能運用在包括物聯網等更多應用領域。早在今年初,Wi-Fi聯盟就已發布Wi-Fi 6E支援6 GHz頻 段,強調傳輸速度更快,而且反應更即時。美國FCC隨後也計畫開放6 GHz 頻段分配給Wi-Fi,提供給一般大眾使用。在表決通過以後, 根據FCC的規畫,將開放非授權的6GHz頻段裡共1,200MHz頻寬,來提供作為Wi-Fi的使用。美國FCC主席Ajit Pai在先前一份聲明中也提到,通過釋出免授權6 GHz頻段,這將讓可用於Wi-Fi的頻譜增加近5倍。FCC也建議將允許讓這些有高度省電需求的物聯網裝置,可以優先使用6 GHz頻段的Wi-Fi連網,包括可穿戴裝置、VR/AR設備等。預期今年內將開放。

 Web NFC    Chrome  

新版Chrome 81終於加入Web NFC功能,以後用行動瀏覽器也能讀取NFC標籤了

因疫情延後至9日釋出的新版行動瀏覽器Chrome 81,最大特色就是增加Web NFC API功能。有別以往,使用者必須用近場通訊(NFC)手機開啟特定App,靠近現實中的NFC標籤才能讀取其內容並交換訊息。透過Web NFC標準,現在允許網站也能夠讀取及寫入NFC標籤,不需要透過安裝App就能用。這種網頁式的NFC資訊交換方式,未來同樣也可用於IoT場景應用,例如在庫存管理方面,可透過手機或平板開啟企業內部網站或庫存網頁平臺,就能讀取數據或將數據寫入產品上的NFC標籤,從而簡化庫存管理。對於Web開發人員來說,同樣能用它來開發各種結合NFC的IoT網頁應用。但現階段Web NFC並不是正式版本,使用上仍有限制。

  LoRa聯盟  物聯網裝置  

LoRa聯盟力推新的物聯網裝置認證計畫,允許IoT廠商免加入會員也能認證IoT裝置

LoRa聯盟推出新的 LoRaWAN物聯網裝置認證計畫,放寬了對於裝置認證的申請者限制,允許物聯網業者免加入會員,也能透過付費方式進行IoT裝置認證,以符合該聯盟的裝置認證要求。這個認證計畫,包含完整協定測試、互通性、RF效能等測試。LoRa聯盟希望透過這個新的認證方式,增加市場可採用的LoRa裝置數量與規模,但仍鼓勵業者成為LoRa聯盟的成員。根據LoRa聯盟官網數據,目前旗下超過500個企業會員,至今完成認證的IoT裝置近177個產品,被運用在智慧城市、智慧家庭、智慧工廠、智慧農業、智慧交通等領域。

 溫度感測器   IoT  

Aranet打造一對多醫用體溫感測器系統,最多可同時監控百人體溫,幫助醫療人員對抗肺炎疫情

為了對抗武漢肺炎疫情,歐洲有家無線IoT監測製造商Aranet開發出一個醫用體溫感測器系統,可以同時連接最多100個無線溫度感測計,來即時監控患者的體溫,並且可透過有線和無線方式傳送體溫資料到雲端,讓醫師人不用到進到病床,就能追蹤每一個患者目前的身體變化狀況。透過這種體溫監控方式,一旦遇到病患體溫出現異常時,系統就會立即發送警示,讓醫護人員能馬上處理。即使是遇到網路斷線時,這些體溫記錄也會先儲存在溫度計裡,待網路恢復再傳送。目前已有數家大型醫療機構正在進行測試。

 

思科  工業物聯網   

為擴大工業物聯網布局,思科收購無線IoT業者Fluidmesh Networks

思科最近宣布買下了無線IoT業者Fluidmesh Networks,用來擴展其在工業物聯網應用的布局。Fluidmesh於2005年成立,專門研究後端無線骨幹網路技術(wireless backhaul ),用於大規模分散式站點的企業用影像、語音與數據連接。在併購完成後,Fluidmesh將加入思科旗下的物聯網事業,加強該公司在工業IoT領域的無線技術。不過,思科並未透露併購這家公司的金額。預計此收購將在2020年第二季完成。

 

遠傳   NB-IoT   

遠傳推出結合NB-IoT數據傳輸的血糖機,串連臺南90間醫療院所能更快掌握患者病況

遠傳電信很早就推出NB-IoT商用服務,並已將這項技術運用在車聯網、智慧路燈、智慧停車等應用,近日,該公司更將它用於智慧醫療照護,推出結合NB-IoT數據傳輸的血糖機,並已在臺南推出上市。這套血糖機內建NBIoT通訊模組,不需使用Wi-Fi或藍牙,每月即可上傳二千次血糖數據,遠傳強調,該數據傳輸免月租費。不過,這樣一臺血糖機售價則要3,980元。在操作上,民眾用它量測血糖後,這些數據會統一透過NB-IoT無線網路上傳到遠傳的Health健康+雲平臺,使用者用手機App就能隨時查看。這些血糖機還串連至包括臺南市立醫院、新樓醫院、志誠醫院、佳里奇美醫院等共90間醫療院所,以便於醫師在民眾回診時更快掌握病況。

空氣盒子    智慧城市   

台哥大在臺中布建兩百個空氣盒子以建立空污地圖,更要結合大數據提前30分預測空氣品質

台哥大最近在臺中以兩百個空氣感測器建立空污地圖。該公司使用與經昌電子、晶元光電等業者合作開發的PM2.5感測器及低功耗CO氣體感測器,並安裝在市區220個固定監測站點及公車上,來蒐集空氣品質數據,並上傳到一個空品監測分析平臺做大數據分析和預測模型建立,用以預測各地區空氣品質變化,讓民眾可以馬上查詢。台哥大宣稱,目前已可提前預測半小時後的空氣品質,準確度可達95%。該公司表示,未來這些空氣監測數據,亦將提供臺中榮總作為醫療照護的參考依據。

高通    NB-IoT   

高通超省電NB-IoT通訊晶片亮相,可讓IoT裝置最低僅需2.2伏供電即可連網

高通發表一款超省電NB-IoT整合通訊晶片,可以讓開發者設計出最低僅需2.2伏特電壓就可連網的IoT裝置,未來可用於各種超低功耗IoT裝置的開發。這個新型NB-IoT數據機晶片正式支援3GPP第14版單膜Cat-NB2標準,採用高度省電設計,就連該晶片在待機模式下電流也小於1微安,來節省耗電量。該晶片整合RF收發器和RF前端元件,可提供700MHz至2.1GHz的頻段覆蓋,還內含Cortex M3應用處理器、LTE數據機等不同元件。高通還推出了與該晶片一起使用的SDK,讓開發者可以使用它在整合應用處理器上執行客製軟體,高通表示,未來有望支援如微軟Azure等雲平臺。今年下半推出上市。 責任編輯⊙余至浩

圖片來源/高通、遠傳、 Aranet

 更多IoT動態 

1.商用不到一年,日本電信商NTT Docomo於3月底宣布終止NB-IoT服務

2.Semtech推出整合紅外線溫度監測的LoRa物聯網設備,輔助醫院對抗武漢肺炎疫情

3.政治大學運用門禁刷卡與QR Code點名建立師生移動軌跡,要讓緊急疫調更精確

資料來源:iThome整理,2020年4月

勒索軟體攻擊超越金融卡竊盜,在去年成為最常見的網路攻擊行動

$
0
0

資安業者Trustwave近日公布了2020年的全球安全報告,透露出雲端服務已成為駭客鎖定的第三大攻擊目標,而且勒索軟體超越了金融卡竊盜,成為最受駭客青睞的攻擊目的。

Trustwave的分析,是奠基在去年有紀錄的1兆筆安全事件,以及該公司所經手的數百筆資料外洩與鑑識調查、滲透測試、紅隊演練、網路漏洞掃描與內部研究。

根據該報告,去年最常遭駭客鎖定的前三大攻擊目標,依序是企業環境,占了54%;電子商務網站,占了22%;以及雲端服務,占了20%。其中,企業環境指的主要是POS收銀系統,另外值得一提的是,這也是雲端服務首度躍升至該類別的第三名,2018年針對雲端服務展開攻擊的比例只有7%,卻在2019年大幅增加到20%。

此外,駭客攻擊企業環境的主要目的為植入勒索軟體,攻擊電子商務網站及雲端服務的主要目的,則是竊取使用者的金融資料,而這也讓勒索軟體攻擊首度取代金融卡資料,成為最受駭客青睞的攻擊目的。統計顯示,在去年的所有的資安事件中,勒索軟體就占了18%,遠高於2018年的4%。

至於去年駭客最愛使用的攻擊工具,為專門用來遞送酬載的Downloader或Dropper,占了24.9%,遠高於2018年的17.3%;居次的是遠端存取木馬,占15.5%;殭屍網路則占了7.9%。

而以網頁為基礎的挖礦綁架攻擊在去年則幾乎消失,Trustwave認為這與挖礦服務Coinhive在去年初,宣布退出市場有關(https://www.ithome.com.tw/news/129030),挖礦綁架惡意程式在2018年時,增加了1,250%。

Windows依然是最受駭客青睞的作業系統,去年有69%的惡意程式都是鎖定Windows,居次的是跨平台的23%,還有8%鎖定Unix。令人吃驚的是,有67%的攻擊程式,開採了位於圖控軟體InduSoft Web Studio在2014年修補的CVE-2014-0780漏洞,該漏洞允許遠端駭客讀取程式檔案中的管理員密碼,再傳送網頁請求以執行任意程式。

此外,亞太地區已連續第二年,成為全球最常發生資料外洩意外的地區,占全球資料外洩事件的37%,北美占了33%,歐洲/中東/非洲占了25%,拉丁美洲則僅占5%。

中型券商的逆襲!康和證券靠微秒交易處理速度決勝負

$
0
0

「逐筆交易為證券商IT軍火競賽,鳴響了第一槍,往後,資訊的力量將更主導,誰能夠掌握資訊上的優勢,就更有競爭力。這是所有券商的挑戰,跟不上就可能被市場淘汰。」康和綜合證券資訊長張志堅道出他的觀察。

逐筆交易新制增加了更多種股票買賣委託形式,但也帶來了最大的挑戰,影響了證券商幾乎所有的交易系統。張志堅提到,從市場價格欄位擴充、交易委託的電文格式、資料庫、後臺的下單風控主機、交易及帳務中臺、下單電子交易平臺、下單平臺介面等,全都要重新改過。逐筆交易與行情逐筆顯示,會造成成交回報的速度變快且變多,連帶行情報價資訊也會跟著變快、變多。

這個變革對股民的衝擊程度不一,張志堅觀察,逐筆交易對於臺灣眾多小散戶不會造成太大的影響。反而是對高頻交易與程式交易投資人,也就是中實戶、大戶或法人的衝擊較大,他們在下單、取消單子,或是需要更快的訊息來進行整合或做策略判斷時,就得搭配高速的交易系統,才能夠辦到。

在政府政策要求,新制度是非走不可的一條路,券商還是得同時提升通訊系統與資訊系統的投資。在通信系統部分,張志堅表示,證交所事前評估,逐筆交易的資訊流大約是以往的4倍,因此,線路頻寬增加成4倍,而且是整條通信線路的每一個處理端點上,從交換器、路由器到防火牆等,都要是原來資料處理的4倍能量。「為了因應逐筆交易新制的上路,讓每家證券商的資訊部門,簡直如臨大敵。」

光在建置初期的採購,券商就感受到成本大增,不只高效率通信軟硬體要價不斐,線路頻寬更是一大成本,張志堅補充,即便因應此次逐筆交易,證交所向中華電信爭取到一個較好的頻寬方案來減輕券商負擔,但光是通信費用的增加,證券商的負擔就不輕。

成交回報資訊流量為何暴增4倍?

為何資訊流會暴增?得從資訊系統流程來看,一般的證券下單交易系統,投資人從下單AP或App送出一筆委託後,經過券商前臺的資訊伺服器閘道器,到處理交易與帳務的中臺,再到後臺的下單風控主機,再連線到證交所進行逐筆撮合後,再循原路徑透過券商將委託回報與成交回報傳給投資人。

張志堅強調,這個雙向來回的過程,因為逐筆撮合與逐筆回報的關係,成交回報的資訊流量預估是以往的4倍。

以往證交所是5秒鐘撮合一次,所以,每一檔股票5秒只會有一檔成交回報價回來,比如一股台積電是300元,5秒撮合一次的成交回報價就是300元。

然而,逐筆交易新制則是隨到隨撮,意思就是每有一方買家與賣家可以媒合的價格出來,就會馬上撮合,所以,每一檔股票回來的成交回報價會不一樣,成交回報也會跟著變多。

比如,投資人掛進10張台積電的股票,過往只能買到一個價格的股票,只會有一筆成交回報;現在逐筆交易新制後,投資人可能每一張的成交價格都不同,在295元到305元區間都有,每張交易結果不同,投資人就會收到多筆成交價格的回報。

甚至最極致的情況下,張志堅提到,若出現快市的狀況下,投資人買100張股票,最多可能要回傳給100筆成交回報價。對券商全套系統的負擔也會變大,所以,在交易處理速度就得加快。

甚至會出現一種滾雪球效應,他觀察,因為行情傳播變成即時更新,高頻交易投資人或程式交易投資人將會增加下單次數,可能帶來更大的委託量,再度讓委託回報次數增加。這正是最終導致了「4倍資訊流量」的原因。

一般券商都有兩套以上的AP與App,再加上法人下單系統、營業員自行輸入用系統、Key-In(一般輸入用)、語音下單等系統,每一套系統幾乎有各自的專用前臺,這是券商主機數最多、最複雜的一塊。還要加上主要提供下單交易、驗章、帳務查詢服務的中臺,以及負責下單、風控、交易所連線的後臺。

暴增資訊流影響了大量券商系統。張志堅指出,這些交易系統上,每個節點、每個主機、每個儲存,乃至每個資料處理的處理效能,都得要擴充到4倍。甚至,他認為:「 4倍是保守估計,」所以,康和綜合證券(簡稱康和證券)在主機、伺服器的處理速度,都擴充了5倍以上。

其中最需要擴充的關鍵,他認為,後臺負責風控與交易所連線,是整個證券下單交易中最重要的環節。投資人下單要符合證交所規範、證券商內控、個股現況規定、投資人庫存等條件,才能準備下單到交易所。而與交易所連線時,則要按照交易所連線規範,掌握交易協定(TMP、FIX),讓投資人的委託單快速且無誤地傳到交易所完成委託,並快速地回傳委託與成交回報到後臺、中臺。

「後臺需要有較大計算力的主機電腦來完成,也是各券商資訊重兵集結所在。」張志堅透露,因應此次逐筆交易,許多大型券商在後臺軟硬體的更新費用多達上億元,中小型券商也要花上千萬元。

用開放式架構與開源軟體,自行開發新一代證券電子交易系統

然而,像是康和證券這樣,沒有金控背景撐腰的中型券商,甚至是其他小型券商來說,因為獲利困難,要打贏這場資訊戰的同時,還得陷在成本與系統效能間,難以兩全的困境中。

為了突破這個困境,4年前,康和證券做了一個大膽的決定,他們要用開放式架構與開源軟體,自行開發新一代證券電子交易系統,目標是兼顧成本與提升系統效能。花了3年半建置,終於在2019年1月正式上線,這是康和證券備戰逐筆交易制度的關鍵利器。

趁著新一代系統砍掉重練,康和證券甚至更換了關鍵系統的開發語言。張志堅表示,臺灣證券商、期貨商後臺所用的風控系統較為老舊,就算使用新的電腦硬體,但是,資訊架構已是20年前的設計,它的程式語言也是30年前的COBOL、RPG,「這兩種程式語言已經不在學校正式課程教授有20年了,使得軟體開發人才難尋。」

效力不佳、成本也很昂貴,所以,康和證券才毅然決然換掉老架構,也決定使用較易維護的C與C++程式語言,並且採用開放架構技術,包括數位系統、軟體開發環境、資料庫等,都完全使用開源技術來開發。張志堅認為,當前,開放式架構與開源軟體都已非常成熟,多方評估下才決定以新技術、新架構自行開發。

現在,康和證券所有的軟體開發都是用開源軟體,從作業系統開始,軟體開發環境、程式語言、資料庫都是,「這是康和證券從上到下所展現的決心與能力,這也是目前所有新興科技開發資訊系統的方法。」他說。

而且不只證券交易系統,包括權證交易造市系統也採用了開源軟體,就連自營交易系統,早在逐筆交易前,也用開源的程式語言汰換了原本的COBOL程式語言。康和證券的下一步,則是期貨交易系統,預計今年底可以進入測試,預計明年上線。

張志堅更進一步揭露,以新技術、新架構自行開發帶來的好處是,新系統處理速度快了30倍,但軟硬體成本只有舊系統的十分之一,約莫200萬元即可重新打造一個系統,包括速度、容量、穩定度,都不會輸大型券商花了1億元開發的系統。

康和證券新一代系統去年上線時,平均每筆交易下單包含後臺風險控管,「交易處理速度已可做到1.75毫秒。」在今年3月新制實施前,康和證券還繼續添購了新設備,CPU又比去年版本快了3倍。現在,「康和證券的交易處理速度已經進入了微秒,也就是百萬分之一秒的時代。」張志堅強調。

他觀察,臺灣證券市場常見下單方式上,大約6、7成投資人透過電子下單,仍有3、4成使用人工管道。所以,康和證券另外在逐筆交易前,也做了一些額外調整,將電子交易以外的下單管道,像是投資人打電話進來下單、營業員自Key、人工Key-in等功能,從舊系統全數轉移到新版架構,全面改走新系統流程來提供下單服務。

為打造新系統,不惜花一年半組織開源軟體開發團隊

「為了打造新一代證券交易系統,一路走來歷經重重挑戰與困難,」張志堅甚至形容自己是「從一片荒蕪開始」。當年,他在公司內部提出全面開源的想法時,所有聽到的人都認為,這是不可能挑戰,他得一肩扛起新系統可能面臨的所有風險,甚至他一度也質疑是否要這樣做。

不過,他沒有因此放棄,「如果跟別人走一樣的路,資訊成本也跟別人一樣,對中小型券商來說只有死路一條。」張志堅篤定地說。他仍深信唯有以經濟的成本來發展資訊,康和證券在未來才具有足夠的競爭力,也才可能打得贏這場仗,繼續存活下去。

後來,張志堅大舉從外部尋找擅長開源軟體的開發人才,花了整整ㄧ年半,才組成了新系統的開發團隊,最後總共花三年半的時間,才完成新一代證券交易系統的建置。

一開始上線時,擔心新系統的穩定性不足,也採取了新舊系統雙軌並行將近一年的時間,在測試階段就謹慎地分階段擴大規模,先由10人研發團隊利用新系統來下單測試,一個月之後再陸續擴張到資訊部、總公司,乃至康和證券北區、中區、南區的員工都進來測試,甚至還讓幾位大客戶下單測試速度,藉此從一次次測試中找出問題,逐步進行系統調校。

新系統雖然速度快了許多,但他坦言,上線後的挑戰是系統穩定度,即便目前新系統運作順利,但康和證券仍不敢大意,仍盯緊系統穩定度來持續進行優化調校。未來,康和證券也會開始將AI列為發展重點,第一個應用就用來改善自營交易的操作,後續再逐步擴大應用到顧客端。文⊙李靜宜

Google改善翻譯服務減少性別偏差

$
0
0

Google改進翻譯服務,使用新的方法來解決翻譯上的性別偏差,Google提到,比起過去舊的方法,新方法更具可擴展性,尤其在將性別中立的語言翻譯成英文的時候。Google目前在英文到西班牙文的翻譯中應用新方法,並且還計畫擴充芬蘭文、匈牙利文和波斯文和土耳其文到英文的性別翻譯功能。

語言翻譯的機器學習模型,可能會因為訓練資料中存在的社會偏見而出現偏差,性別偏差就是其中一個例子,像是Google翻譯在翻譯土耳其文時,會將包含醫生的句子翻譯成陽性格式,而將護士翻譯成陰性格式。Google為了避免產生或是強化性別不平等偏差,因此會偵測性別中立的查詢,並且根據用戶的喜好,產生明確性別翻譯,在Google翻譯向不分性別的語言提供明確性別翻譯,使用者可以選擇獲得陽性或是陰性翻譯結果。

Google過去分別在土耳其文到英文,以及英文到西班牙文提供性別翻譯功能,但隨著對更多語言應用提供性別翻譯服務,舊方法在擴展上出現問題,當神經機器翻譯系統獨立生成陽性和陰性翻譯時,會導致低召回率(Recall),超過40%的查詢無法顯示明確性別翻譯,此外,建立分類器偵測每種來源語言的性別中立性,需要大量的資料。

為了解決這些問題,Google改進明確性別翻譯的方法,使用與舊方法完全不同的方式來解決性別偏差,新方法利用重寫方法,來改善性別翻譯的品質。基於重寫方法的明確性別翻譯,第一步是產生初始翻譯,接著對翻譯進行審查,當翻譯具有性別用語,則重寫成目標性別翻譯,最後評估精確度。

而要建置重寫器,需要產生數百萬個訓練用範例短語,每個短語都包含男性和女性翻譯,由於這類資料集獲取不易,因此Google重新產生了一個資料集,可以對照陽性以及陰性用語,用來訓練模型,輸入男性用語時則可以轉換成女性用語,反之亦然,Google提到,最終模型能以99%精確度重寫成使用者要求的性別用語。

另外,Google還設計了一個評估方法,來檢驗新翻譯系統和舊翻譯系統間的偏差改善程度,應用新系統則芬蘭文和波斯文到英文的翻譯偏差,可減少超過90%,土耳其文到英文翻譯則改善了95%的性別偏差,而且新系統還能以97%的精確度啟動性別翻譯功能。Google提到,他們會進一步將這項研究成果,應用在文件翻譯上。

開源的Flutter UI框架已有超過200萬名用戶,Google公布社群輪廓

$
0
0

Google本周宣布,在2018年12月才推出穩定版的Flutter UI框架,迄今已有超過200萬用戶,而且每月平均用戶數接近50萬。

Flutter為一開源的使用者介面軟體開發套件,可利用單一的程式庫開發支援Android、iOS、Windows、macOS、Linux及網頁的應用程式,它並非要取代既有的程式碼,而是與這些程式碼共生。

在穩定版問世16個月以來,Flutter已經累積了200萬用戶,當中有60%是在Windows上開發,有27%在macOS上開發,也有13%以Linux來開發。使用族群中,有35%是在新創公司任職,有26%在大型企業工作,有19%為自僱者,還有7%替設計機構工作。

此外,雖然大多數的Flutter用戶都使用穩定版,占了78%,但有11%使用測試版,另外的11%則使用更早期的dev及master版。全球的Flutter用戶主要位於印度、中國、美國、歐洲與巴西。

迄今Google Play上已出版了5萬個基於Flutter的應用程式,而且開發人員在上個月就上傳了1萬個Flutter程式。在Flutter程式中最受歡迎的框架套件為http、shared_preferences、intl、meta、path_provider與pedantic;在Flutter程式中最熱門的第三方套件為provider、rxdart、cached_network_image、sqflite、font_awesome_flutter與flutter_launcher_icons。

有鑑於Flutter的規模愈來愈大,Google也準備調整它的發表程序,從今年4月起採用分支模型,Flutter測試版及穩定版也將有固定的發表周期,4月的測試版將開始分支,並透過cherry-picking執行各種重大修補,每季再將現有的測試版提升為穩定版,必要的話還會對穩定版進行修補。

此外,Flutter團隊架構現在已可支援針對不同分支的測試,因此除了可驗證各種cherrypick之外,也能根據嚴重性接受某些請求。而未來Flutter測試版,也會包含Dart元件的測試版。

Google預計於下周發表新的Flutter穩定版。

新版Vivaldi瀏覽器內建廣告封鎖功能

$
0
0

由Opera的創辦人暨前執行長Jon Von Tetzchner所建立的Vivaldi瀏覽器,在本周推出了Vivaldi 3.0,該版本首度內建追蹤器及廣告封鎖功能,除了支援Windows、macOS與Linux之外,也是首個支援Android的穩定版。

新增的追蹤器與廣告封鎖功能,同時適用於Vivaldi桌面版與行動版,它出現在網址列左邊的盾牌上,它的預設值是關閉的,提供3個等級,一是完全不封鎖,二是只封鎖追蹤器,三是同時封鎖追蹤器及廣告。也允許使用者於不同網站採用不同的設定。

Vivaldi表示,該公司相信有許多使用者,並不想阻止他們經常造訪的網站失去廣告營收,因此未於預設中啟用廣告封鎖機制,而是讓使用者自行控制隱私保護。

至於Vivaldi 3.0也是第一個支援Android平臺的穩定版,它適用於Android 5及以上的平臺,也相容於平板電腦與Chrombook。

許多瀏覽器都已提供追蹤器或廣告的封鎖能力,例如Safari、Firefox與Edge預設就封鎖了追蹤器,Brave的預設則直接同時封鎖追蹤器及廣告,Google Chrome的進展相對緩慢,Chrome用戶目前主要仰賴擴充程式來封鎖追蹤器或廣告。

2015年問世的Vivaldi 也是奠基在Chromium專案上,因此可支援所有的Chrome擴充程式,當初Tetzchner曾將它設定為科技宅專用瀏覽器,鎖定的族群為那些在網路上花很多時間、需要開啟大量分頁,並同時檢視很多內容以提高工作效率的使用者。不過,根據Net Applications的桌面瀏覽器調查,今年3月Vivaldi的市占率只有0.07%,位居排行榜上的第十五名。


新服務Amazon AppFlow可自動串接AWS與SaaS間的資料流

$
0
0

AWS推出了Amazon AppFlow服務,來解決將AWS資料串接到SaaS的麻煩,Amazon AppFlow能夠自動化處理AWS和SaaS應用程式間的資料串流,讓Salesforce、Zendesk和ServiceNow等服務管理者快速簡單地完成需要的整合。

AWS提到,用戶採用SaaS應用程式的比例急速增加,但是當資料分散在多個SaaS應用程式中,便難以彙整分析這些資料,產生有意義的結果。Amazon AppFlow的出現便是要解決這個問題,將分散在各SaaS應用程式的資料彙整進AWS,進行綜合分析,而且Amazon AppFlow不只可以讓資料從SaaS應用程式流入AWS服務,還能夠將AWS服務的資料,發送到各個SaaS應用程式,而為了維持資料的安全性,傳輸的資料都會經過加密處理。

另外,部分SaaS應用程式已經和AWS PrivateLink整合,而這將提供另一層的安全性防護,因為當資料經AWS PrivateLink在AWS和SaaS服務間傳輸時,所有的流量都僅在Amazon的網路中傳輸,而不會流經網際網路,大幅降低來自網際網路攻擊的可能性;只要SaaS應用程式支援AWS PrivateLink,Amazon AppFlow就能夠自動處理這項連結。

Amazon AppFlow現在支援S3和13個SaaS應用程式作為資料來源,並且可以將資料流串接進S3、Amazon Redshift、Salesforce和Snowflake等服務,AWS會在之後逐漸增加支援的服務。AWS提到,Amazon AppFlow會根據流量,自動擴展和縮小規模,並且還能一次傳輸100 GB的資料,也就是說,用戶不需要把資料切分成多個批次傳輸。

受Ghostcat漏洞波及,多家IT平臺軟體接續發布相關修補

$
0
0

先前Tomcat Server被揭露一個名為Ghostcat的漏洞,Apache Tomcat已在2月中旬於官方網站上,針對現行不同版本發布更新修補,近期,則有臺灣資安業者TeamT5杜浦數位安全發現有中國駭客組織疑似利用該漏洞,在臺灣校園網站上傳BiFrost後門程式,因此呼籲企業與組織要注意此GhostCat漏洞的嚴重性。值得關注的是,該漏洞也波及多個Linux平臺,因而陸續修補,就連商用軟體也受影響。

關於這個Ghostcat漏洞(CVE-2020-1938),它在CVSS v3.1的分數是9.8,屬於重大風險漏洞,由資安業者長亭科技在2月20日揭露其風險,指出該漏洞存在於Apache JServ Protocol(AJP)中,而若是網站應用提供了文件上傳的功能,將導致遠端指令執行(RCE)漏洞。

值得注意的是,在Ghostcat漏洞被揭露後,隔沒幾日,開放原始碼資安公司Snyk研究員Brian Vermeer,在2月25日針對Spring Boot伺服器端框架提出警示。這是因為,Spring Boot是廣泛使用的伺服器端框架,而它使用了嵌入式Web服務器,當中安裝的就是Tomcat,這將導致SpringBoot Web Starter存在風險。

漏洞波及多個Linux平臺、雲端服務與商用軟體

目前Ghostcat漏洞的影響有多大呢?根據W3techs在4月2 0日的統計調查中,在主流網頁伺服器方面,以使用的網站數量而言,Tomcat雖然落後於Apache、Nginx、Cloudflare Server、MicrosoftIIS與Litespeed,不過,以用於高流量網站的角度來看,Tomcat則是上述6者之中最普遍使用的平臺。而根據資安公司BinaryEdge在2月底的偵測,在目前的網路上,至少有超過100萬個Tomcat Server。

在臺灣,這樣的情形也要特別注意,之前TeamT5揭露中國駭客疑似利用這個漏洞的攻擊事件時,該公司資深經理侯翔齡就曾表示,在他們近期的客戶案例中,就在國內多個企業與機關內,發現有數十臺TomcatServer,其實都存在Ghostcat漏洞未修補的狀況。

更讓人關切的是,Tomcat的這個漏洞,其實還會影響到其他產品,而這些產品的修補速度,也引起我們的關注。

首當其衝的,就是多款Linux平臺的作業系統,近期有一系列的對應處置。以openSUSE而言,在3月5日到3月27日期間,該平臺也陸續針對旗下產品,

發布CVE-2020-1938等漏洞修補的安全公告,多款產品受影響,包括SUSE Linux Enterprise Server、SUSE OpenStack Cloud等眾多產品與版本。

Red Hat也有多款產品受影響,他們在3月中旬已經先修補的包括Red Hat Enterprise Linux7/6,與Red Hat JBoss WebServer 3.1等,於4月15日再度修補其他多款產品,但至今還有一些產品尚未完成修補。

還有許多Linux發行版本也受波及,包括Debian LinuxGentoo Linux,以及Fedora專案,他們陸續在3到4月間,發布相關修補的更新通知。

除了上述作業系統平臺用戶要注意更新,雲端服務的用戶也要留意。例如,在微軟開發者部落格上,Azure App Service產品經理Jason Freeberg也在3月10日撰文指出,由於在Azure Kubernetes服務、Azure Container Instances(ACI),以及Azure WebApps for containers之中,系統預設都是開啟AJP connector,因此他們也提醒用戶,需要注意修補及關閉AJP connector。

最近,更有商用軟體平臺受Ghostcat漏洞影響。例如,在4月15日,行動裝置管理平臺廠商Blackberry表示,已確認自家產品受此漏洞影響,包括旗下的企業檔案安全同步和分享產品BlackBerry Workspaces Server(Appliance-X、vApp)、以及企業行動管理Good Control,他們並已釋出軟體更新,呼籲用戶儘速修補。

對於使用Tomcat AJP的用戶,他們建議,在升級到新版的同時,也要將AJP connector設定secret參數,並設定高強度的密碼;如果用戶本身未使用Tomcat AJP,且又無法更新或是版本老舊,長亭科技也提供了解決辦法,那就是關閉AJP connector,或是以防火牆的管控辦法,阻擋不信任來源IP位置對於AJP connector的存取。

因此,即使用戶沒有使用AJP協議,仍有修補工作要進行,而從其他業者對此漏洞的處置建議來看,例如趨勢科技與微軟,他們也都是建議用戶,依長亭科技的修補方式來進行。

 

對於Ghostcat漏洞的影響,SUSE在最近一個多月期間,陸續針對多款產品發布安全更新。

 

雲端服務的用戶也要留意,微軟也提醒Ghostcat漏洞在Azure上的影響,並指出由於系統預設都是開啟AJP connector,因此提醒用戶需要注意修補及關閉AJP connector。

已知具有Ghostcat漏洞的IT產品

Liunx作業系統SUSE Linux Enterprise Server
Red Hat Enterprise Linux 
Debian
Gentoo
Fedora
雲端服務Azure Kubernetes服務
●Azure Container Instances(ACI)
●Azure WebApps for containers
商用軟體BlackBerry Workspaces Server(Appliance-X、vApp)
●BlackBerry Good Control

資料來源:各廠商,iThome整理,2020年4月

熱度不減,Zoom每日用戶數增至超過3億

$
0
0

雲端視訊會議軟體Zoom的市占,似乎沒有受到接連傳出的資安問題所影響。三月全球用戶數才達到2億的Zoom日前宣布,過去3個星期來用戶數又增加了50%,現在每日用戶數已經突破3億。

Zoom是在周三發布90天安全及隱私強化措施進度時,公布其最新用戶數。Zoom同時也發表Zoom 5.0版本,將全面升級為採用AES 256位元GCM加密標準,以強化隱私保護,預計5月底全面部署。

Box CEO Aaron Levie也透過推特表示,已經可以想見Zoom用戶數來到10億的情景,並將永遠改變世人的通訊方式。

因武漢肺炎(COVID-19)疫情暴紅的Zoom,3月間接連傳出安全控管不佳,而容易遭外人闖入視訊、流量加密技術太低、以及iOS版漏洞等,引發多國政府,包括臺灣的行政院和教育部禁用。不過Zoom也宣布以90天時間專注於強化軟體平臺的安全及隱私性,找來前臉書資安長擔任外部資安顧問。

Zoom周三也宣布延攬曾擔任Google全球隱私科技主管的Lea Kissner,擔任公司內部資安顧問,協助強化平臺的安全性。

而在用戶數突破3億後,Zoom也將面臨平臺容量的考驗。Zoom則表示,就算4月初宣布可讓付費用戶自選儲存資料的資料中心,Zoom的原始擴充設計也足以滿足大量使用需求。他們已經為資料中心增加容量,並和公有雲簽定合作,以便必要時在每日用戶數超過3億情況下,依然能確保服務的穩定性。

武漢肺炎疫情爆發,促使視訊和遠距協同平臺用戶激增。據微軟的數據,到三月下旬Microsoft Teams每日用戶數超過4,400萬。Google也在本月將視訊平臺Hangouts改名為 Meet,每日新增用戶200萬。

打擊詐騙,Google準備全面實施廣告買家身分驗證措施

$
0
0

為打擊假藥、黑心店家,Google周四宣布進一步擴大廣告透明度,要求所有廣告主都必須完成身分驗證,讓用戶可以了解廣告主身分以免遭到詐騙。

2018年Google對政治廣告實施透明度政策,要求所有想在Google平臺上投放競選廣告的組織單位,必須經過身分驗證,之後用戶可以在廣告旁點入「關於廣告主」,以查看廣告主的背景。政治廣告的廣告主身分驗證方案已推向30個國家。

政治廣告主身分驗證原先為了打擊外國政府或極端人士透過假訊息、假廣告來煽動主流民意,影響選情。但今年隨著武漢肺炎蔓延全球,不肖人士紛紛在社群平臺散布關於COVID-19的疫情、假訊息、冒牌商店、未經驗證的藥方或療法等進行詐騙,促使Google 將該政策擴大到所有廣告。

去年華爾街日報報導,Google Maps上有數百萬假冒或黑心店家資訊。在此之前,Google僅要求美國的車庫門及美、加鎖匠服務商必須完成身分驗證,提交專業執照等文件。

在新措施下,所有廣告主購買Google網路廣告前,都必須完成驗證。他們必須提交個人身分、公司文件及其他資訊來證明自己的身分和公司營運所在國。而從今年夏天起,使用者就可以點選進一步了解廣告主的資訊。Google表示,這項變革讓所有人都可以知道背後廣告主的身分,以便幫助用戶啟用廣告控制設定時的決策,此外也能偵測有心人士,降低他們冒充的機會。

這項措施會先分階段展開,先從美國開始,之後再推向全球。但Google表示,擴大實施期間必須兼顧確保資訊的正確性,因此新措施可能需耗時數年才會完成。

迎接Wi-Fi 6,FCC決定開放6GHz頻段以供非授權的Wi-Fi使用

$
0
0

美國聯邦通訊委員會(FCC)周四(4/23)宣布,已決定釋出6GHz頻段(5.925–7.125 GHz)的1,200MHz頻譜供非授權使用,以迎接未來的Wi-Fi 6。比起現有的Wi-Fi標準,Wi-Fi 6將能提供2.5倍的傳輸速度,而6GHz頻段的容量則是現有Wi-Fi頻譜容量的5倍,雙方一起替Wi-Fi 產業建立了新的里程碑。

現在的Wi-Fi使用的是2.4 GHz及5 GHz頻段,其頻譜容量的總和只有6GHz頻段的五分之一。6GHz頻段原本被應用在支援公用事業、公共安全與無線回程上,讓Wi-Fi使用新的頻段除了能夠減緩現有Wi-Fi頻段的擁擠之外,也能減少來自舊有Wi-Fi設備的干擾。

Wi-Fi聯盟(Wi-Fi Alliance)主席Edgar Figueroa表示,FCC的此一決定確保了Wi-Fi的未來,允許Wi-Fi存取6GHz頻段是連結能力的開創性發展,將讓Wi-Fi具備更多的能力,來提供並釋放突破性應用。

Wi-Fi 6又稱為IEEE 802.11ax,儘管其正式標準預計要到今年6月才會出爐,但業界早就展開了部署。其中,Wi-Fi聯盟已在去年的9月開啟了Certification for Wi-Fi 6的裝置認證計畫,當時的認證並未納入6GHz頻段,因此,該聯盟準備在明年初啟動額外支援6GHz頻段的Certification for Wi-Fi 6E裝置認證計畫。

IDC研究總監Phil Solis指出,他們預期Wi-Fi 6E產品今年就會進入市場,首批Wi-Fi 6E無線基地臺將在今年第四季問世,並隨著那些鎖定高階手機、PC、電視或虛擬裝置的晶片組的採用,在明年大放異彩。

Wi-Fi聯盟則估計,明年將有超過3.16億的Wi-Fi 6E裝置進入市場,相關的裝置將能全面改善Wi-Fi經驗,不管是戶內或戶外、行動間、人口稠密的地區或是大型的公共場所,也能夠帶來更高解析度的串流服務、低延遲,以及更快的下載速度。

FCC為全球第一個通過6GHz頻段供非授權使用的監管機構,預計未來其它國家的監管機構也將陸續跟進。

Viewing all 31941 articles
Browse latest View live


<script src="https://jsc.adskeeper.com/r/s/rssing.com.1596347.js" async> </script>