美國國安局（NSA）與負責蒐集國外情報的澳洲信號局（Australian Signals Directorate，ASD），本周聯手對外提出警告，他們發現愈來愈多的駭客利用網頁殼層（Web Shell）來滲透受害者的網路，以自遠端執行任意的系統命令，因而共同發表《網路安全資訊指南》（Cybersecurity Information Sheet），以協助各組織偵測及預防Web Shell惡意程式。

Web Shell是種基於命令列的操作介面，可以各種語言撰寫，但最熱門的Web Shell語言為眾多網路伺服器所支援的PHP，雖然Web Shell可能是良性的，但因為受到駭客青睞以作為後門工具，已日漸成為網路安全威脅的代名詞。

ASD指出，駭客鎖定那些使用網路服務的組織，將惡意的Web Shell上傳到有漏洞或被攻陷的網頁伺服器上，並根據目的來執行各種系統命令、列出系統資訊、竊取資料、安裝其它的惡意程式，或是藉由感染伺服器來深入受害者的網路；這些受到感染的網頁伺服器提供的，可能是內部的網路服務或者是公開的網路服務，例如內容管理系統。

ASD發現，去年有眾多的駭客利用Web Shell，並針對鎖定澳洲及澳洲的國際夥伴展開攻擊，威脅了國家安全、經濟與私人企業的利益。

《網路安全資訊指南》則是ASD與NSA首度合作的安全文件，期望能藉此警告所有的可能受到威脅的單位。

根據該文件，駭客經常藉由在既有的網頁應用程式上新增或變更其中一個檔案，來建立Web Shell，這些Web Shell讓駭客得以常駐在受害者的網路上，並偽裝成合法的通訊流量；且不只是面對公開網路的系統可能被駭客相中，組織內部的內容管理系統或是網路裝置管理介面，也經常成為被攻擊目標。

Web Shell通常不容易被偵測到，因為駭客很容易就能變更它，也會模糊它的存在或將它加密，最有效的方法應該是同時採用多種不同的偵測技術，包括與已知的良性應用進行比對、網頁流量異常檢測、特徵檢測、留心意外流量，以及端點的檢測與回應能力等。

在預防上，ASD與NSA則建議組織應該要優先修補網頁應用程式的安全漏洞，嚴格規定網頁應用的存取權限，定期監控檔案的完整性，部署入侵防禦系統與網頁應用防火牆，隔離重要的網路，同時強化網頁伺服器與網頁應用的配置等。

由於武漢肺炎疫情延燒，因此遠端工作的需求上升，導致Google視訊會議服務Meet的使用率大幅上升，Google現在進一步改善Meet的功能，使其更符合遠端會議的需求。

過去在大型會議中，網頁版Meet磚式布局只能讓使用者一次看到4個會議參與者，經過更新之後，網頁使用者現在最多可以看到16個人，Google預告，他們還會針對大型會議更新更多功能，包括支援更多裝置以及更好的簡報布局。

而且現在使用者還可以在網頁版Meet中，選擇分享特定Chrome瀏覽器分頁的內容，Google提到，共享畫面的單位不再限於視窗或是整個螢幕，當用戶需要在會議中，共享帶有音訊的高品質影片，便可以選用分享特定Chrome瀏覽器分頁的內容。

Google也強化了Meet的視訊功能，利用人工智慧自動調整畫面亮度，即便用戶所處環境光源不佳，Meet也能清楚的呈現用戶；目前這項功能先在行動應用程式上推出，網頁版用戶需要再等等。另外，Google還在Meet增加降噪功能，可以智慧地過濾諸如背景狗叫聲或是鍵盤噪音，減少會議中斷的機會；這項功能將在接下來幾周內，向G Suite企業用戶以及教育用企業用戶推出，並先在網頁版提供，接著才會上到行動應用程式。

資安業者Malwarebytes在本周推出了Malwarebytes Privacy，這是該公司首款虛擬私有網路（virtual private networks，VPN）產品，初期僅支援Windows作業系統，預計很快就會釋出支援macOS、Android及iOS的版本。

Malwarebytes表示，他們認為VPN為分層保護的必要元素，可用來保障使用者的裝置與個人資料，該公司也一直鼓勵使用者啟用VPN，為了讓使用者更容易選擇所需的VPN，因而決定自行推出VPN服務。

根據Malwarebytes的說明，新的Malwarebytes Privacy產品讓使用者的所有流量都是先透過加密通道來連到該公司的伺服器，再轉至使用者想造訪的網站，因此，網站看到的是VPN伺服器的身分而非使用者的IP，而且該服務亦不會蒐集使用者的紀錄或遙測資料。

由於VPN必須透過加密通道來引導流量，因此經常出現連結變慢的情況，但Malwarebytes標榜其服務將提供更流暢的網路經驗，既不會讓電腦變慢，也使用更少的電力，並採用最先進的256位元的AES加密標準。

Malwarebytes Privacy提供橫跨30個國家的180個伺服器供使用者選擇，使用者可自行決定要透過位於何處的VPN伺服器來引導流量。

基本的Malwarebytes Privacy服務最多可支援5個裝置，年費為59.99美元，而進階的Malwarebytes Privacy+Preminu服務同樣也支援5個裝置，但除了基本的VPN功能之外，也加入了裝置的安全保護能力，目前的優惠價為每年89.99美元。

目前坊間的付費VPN服務多達數十種，根據Global Market Insights的調查，2019年全球的VPN市場規模超過250億美元，且未來6年每年都會以12%的速度成長；而在此一居家防疫的期間，隨著愈來愈多用戶從自家連至企業或學校網路，VPN的使用率亦大幅增加，或許也是Malwarebytes決定在此時推出VPN服務的原因。

武漢肺炎（COVID-19）疫情持續拉警報，政府除嚴密抗疫外，同時，也透過各種不同的形式與管道，與世界各國合作。繼3月18日外交部與美國在臺協會共同發表「臺美防疫夥伴關係聯合聲明」，宣示攜手對抗武漢肺炎，就疫苗、藥物研發，還有防疫物資等，進行相關合作，臺美雙方今日（4/24）再共同宣布發起「臺美防疫松」活動，將以黑客松形式，進一步集結公民力量，希望找出更多創新的抗疫方法。

行政院副院長陳其邁於活動開跑的記者會上談及活動的起源，他表示，3月與美國簽訂防疫合作計畫時，正值密集籌備今年度總統盃黑客松活動的期間，於是，他向行政院數位政務委員唐鳳提及，融入黑客松精神於合作計畫的構想，後續雙方進而促成了活動。對於活動的期待，他道，美方為科技大國，結合臺灣健保體系、資通訊產業人才等，希望能推動防疫工作大步向前邁進，讓社會盡速免於武漢肺炎的衝擊。

臺美防疫松分為六大競賽主題，第一個是管理防疫相關資源，協助政府或相關機構管理協調防疫與醫療資源，像是醫療設備、床位、醫護人員調度等；第二個主題是邁向疫後過渡措施，運用數據科學發展兼顧公衛，並帶動經濟復甦的過渡措施，協助政策制定者採取決策，例如，公共場所營業評估、學校復學日程等；

下一個主題是保護社會弱勢族群，保護並協助受疫情影響的弱勢族群；接著是預測工具支援決策，建立大數據預測工具支援決策，來預測疾病擴散速度及可能影響的範圍；第五個主題則為支援前線防疫人員，協助前線防疫人員、支援體系及他們的家人，獲日常所需的支援；最後一個主題是善用資料風險溝通，運用數據資料分析進行輿情風險控管與社會溝通，提供民眾正確防疫觀念，並解除疑慮與恐慌。

唐鳳表示，各主題之下集結的題目，是由臺美雙方各自詢問第一線防疫工作者後，所獲得的需求回覆。每個題目將對應著相關的資料集，提供參與者使用，開發相關應用。不過，唐鳳也表示，若所需資料涉及個人隱私，則將釋出合成資料。

參賽者須採開源程式碼方式參賽，望擴大各提案後續的影響力

此外，參賽者須同意以開源方式參賽，拋棄程式碼的著作財產權，並同意以MIT License為授權條款。唐鳳說明，得獎者程式碼將交由疾管署執行，而非由疾管署提供資料給參賽者，執行應用。

為集結更多創新的防疫想法和方法，此次活動提案對象不限產官學研背景者，任何民眾皆能以個人名義參加，不過，若以團隊形式參賽，主辦方建議至少1位參與者具醫療、公共衛生、社會工作或防疫等相關背景經驗。對此，唐鳳特別說明，這考量團隊可更易設計能供第一線使用的方案。

活動將分四大階段進行，第一階段為蒐集公民意見，從今日起至5月1日，將於名為Pol.i s的討論平臺，公布六大主題的臺美雙方題目，徵集各方意見，凝聚共識；接著，進入為期僅3天的選題階段，彙整公民意見後，由專家召開選提評估會議，確認活動最終的競賽題目。第三階段則為報名暨解題階段，參賽者選定題目後，有8天的時間就問題標的、技術應用和預期成效，提供概念影片及文字概念說明，來完成活動報名；最後，評選暨公布階段，經審查後，將選出5隊優勝得獎者，並預定於5月18日公布名單。

唐鳳表示，因第一線有迫切需求，活動各階段的時程從需逾10天，皆壓縮為3至8天完成，也相當於發揮敏捷開發的精神，她表示，短時間內即提出的方案可能為半成品，但是，半成品可能可帶給社會相當程度的啟發。

國發會將就議題與提案適法性，給予評價及建議

而為確保各方題目和提議符合法規，所有公民意見和參與的解決方案都會由國發會法治協調中心協助，評估現有法律是否可處理這些議題和創新想法，並提供風險燈號及建議，例如，明顯違法、尚待釐清、無違法等。唐鳳強調，解題過程仍須堅守民主法治的精神，不因防疫破壞法律體系。

美國在臺協會處長酈英傑在場肯定臺灣的抗疫成果，他表示，臺灣的防疫經驗可提供世界五大借鏡點，並能用5個T充分展示。首先是透明度（Transparency），臺灣主管機關持續向社會明確說明疫情的發展和變化；其次是交通旅遊管控（Transportation control），針對到過高度疫情區域的旅客進行相關防疫措施，並確保大眾運輸工具的安全性；

第三為疫調（Tracking）及第四是篩檢（Testing），最後為科技（Technology），利用科技有效確保口罩等資源的供給。他表示，美方將持續協助臺灣展示自身的防疫模式，並也將向國際社會介紹此次共同舉辦的防疫松活動上，各方提出的解決方案。

這次的抗疫過程，臺灣應用了許多科技技術，像是大數據分析、資料庫串接等，來落實防疫工作，而口罩實名制就是最典型的例子。陳其邁今日也以曾作為醫師，並學習公共衛生領域的背景表示，當前的防疫作法，已從古典流行病學走向智慧的流行病學，或可說是科技的流行病學，他也預告，人潮警示地圖將結合交通部「高速公路1968」 App，將於不久後推出。文⊙黃郁芸

MITRE ATT&CK已是近年來受企業高度關注的新資安攻防框架，而他們發起的ATT&CK評估（ATT &CK Evaluations）也越來越受到資安業者的響應與認可，在4月22日早上9點，我們看到MITRE於凌晨公布了第二輪針對APT29的評估計畫結果，這回共有21家資安業者參與，比第一輪更多（初期7家參與、後續5家跟進），特別的是，臺灣資安新創公司奧義智慧，以及成立已滿30年的趨勢科技也在其中。隨著這次結果的公布，不論是企業或資安業者，都將能藉此衡量EDR的偵測能力與覆蓋範圍。

在此次針對APT 29的評估計畫中，共有21家業著參與，包括首輪就有參與的Carbon Black（現為VMware旗下）、CounterTack（併購GoSecure後並更為其名）、Crowdstrike、Endgame（已被Elastic併購並更為其名）、微軟與SentinelOne，以及Cybereason、F-Secure、FireEye、McAfee與Palo alto Networks。

新加入業者有11家，包括Bitdefender、BlackBerry Cylance、HanSight、Kaspersky、Malwarebytes、Broadcom Symantec，以及在國內較不知名的Reaqta、HanSight、Secureworks，還有臺灣奧義智慧Cycraft與趨勢科技。

目前，在MITRE ATT&CK網站上，已公布21家業者的結果。基本上，這次公布的結果報告，可以看到這次模擬APT29的攻擊套路，比上一輪更嚴謹，分為20個步驟，以及6大偵測類型。

其中，偵測能力表現的類型比之前更細分，在無偵測（None）之外，包含遙測（Telemetry）與專家警告（MSSP），以及有效即時警告的General、Tactic與Technique，其中Technique可視為最好的偵測能力表現。

在MITRE ATT&CK網站上，我們可以檢視各家參與業者針對APT 29組織攻擊套路在不同攻擊步驟時的偵測能力。（上圖為趨勢科技的評估結果。

基本上，MITRE表示此計畫他們將不會提供評分機制。不過，在結果發表後，一些資安業者會根據這些公開的結果做出相關統計，以呈現其產品的特點。舉例來說，像是臺灣資安業者奧義智慧，以及FireEye與Palo Alto Nerworks

圖片來源：奧義智慧

圖片來源：FireEye

圖片來源：Palo Alto Networks

最後值得一提的是，兩個月前MITRE也已表示將持續推動這項計畫，希望能藉由透明的評估過程，幫助用戶評估端點檢測工具，他們並公布了新一輪評估計畫，將同時以Carbanak與FIN7這兩個駭客組織的攻擊手法為設想。

Amazon Web Service（AWS）周三宣布Amazon AppFlow，以簡化第三方SaaS和AWS服務的資料雙向整合作業。

AWS首席傳教士Martin Beeby指出，愈來愈多企業使用軟體即服務（SaaS），但是這些應用散布在不同雲端上，而企業為了能從這些SaaS蒐集資料以進行業務分析，開發人員必須耗費大量時間撰寫客製化API，以便把在SaaS和AWS服務之間傳送資料。但這種作法不但昂貴，通常又得花上數個月時間，要是資料分析要求變了，又需要再花一番工夫來整合。而沒有這類工程團隊的企業則必須手動匯入、匯出資料，但這又有花時間、資料外洩及人為訛誤的問題。

Amazon AppFlow便是為了解決此類問題而推出。它讓企業得以自動化串接AWS服務和第三方SaaS應用，包括Salesforce、Zendesk等的資料流，讓SaaS應用管理員、業務分析師或BI分析師可以快速完成大部份整合作業。Amazon AppFlow的資料整合是雙向的，可以從SaaS蒐集資料到AWS，也可以從AWS服務傳資料到SaaS上。

舉例而言，一家企業在英國和愛爾蘭分公司建立Slack workspace管理網路社群。由於Slack支援Amazon AppFlow，則企業可以將部份Slack對話資料送到AWS S3，以Amazon互動式查詢服務 Athena進行分析，再以QuickSight產生視覺化圖表。

Amazon AppFlow會自動按用戶需求擴增或縮小，最多允許企業一次傳輸100GB的資料。此外，AppFlow還具備排程功能，方便用戶根據業務時程或依需求啟動資料傳輸。

AWS並強調Amazon AppFlow的安全性，所有資料都是加密傳輸。有些SaaS還會整合AWS PrivateLink而加一層安全防護。如果SaaS支援PrivateLink，則SaaS和AWS的資料會在Amazon加密網路，而非公共網際網路上傳送，中間的資料傳送會由Amazon AppFlow負責處理，簡化人員操作的困難，並減少網路攻擊及資料外洩風險。

不過目前Amazon AppFlow支援的SaaS還很少，只支援Salesforce、Snowflake、Zendesk及ServiceNow等13個SaaS和S3作為資料源，可作為資料目的地則有資料倉儲服務Amazon Redshift、S3及Salesforce、Snowflake。未來應該還會再增加支援的SaaS和AWS服務。

目前提供Amazon AppFlow地區包括美國東部、西部、加拿大中部、亞太（新加坡、日本、雪梨、首爾、孟買）、歐洲及南美，之後還會推向其他地區資料中心。

基隆長庚引進AI判讀系統，30秒就能判斷病患是否出現腦出血

基隆長庚醫院腦神經外科助理教授及主治醫師顏君霖指出，腦出血是急診醫師經常處理到的急症，一旦發生，很容易造成患者傷亡，因此「時間就是關鍵」，急救團隊更要與時間賽跑。

然而，一般中小型區域性醫院，在接收、處理腦出血急診病患的流程上，較容易遇到資源不足、等待時間長等挑戰，難免延誤黃金治療時間。顏君霖解釋，當病患發病後，送至初診醫院時，會先進行腦部電腦斷層掃描（CT），再送至外傷急救中心，由急救中心神經外科醫師來會診，決定治療方法，比如進一步檢查，或轉診至較大醫院進行手術。

特別是，在拍攝腦部CT時，每一位病患拍攝一次，就會產生數十至數百張影像，還得等待醫師一一檢查後，才能決定後續診療決策。

有鑑於此，基隆長庚醫院導入醫療AI新創開發的腦出血判讀AI，來進行研究試驗。這套AI系統強調只要30秒，就能判斷一位病患是否出現腦出血。更多內容

疫情衝擊，Google縮減招聘、資料中心及行銷預算

Photo by Outreach Pete on https://www.flickr.com/photos/182043990@N04/48077951218/in/photostream/ (CC BY 2.0)

根據媒體取得Google暨Alphabet執行長Sundar Pichai的內部公開信，他認為現在是時候大幅減緩招募速度，以維持小部分策略領域的動能，包括提供使用者和企業營運支援，以及攸關公司成長的關鍵業務，並計畫縮減資料中心、硬體及非必要的行銷及差旅支出。他說，藉由縮減其他方面的計畫，才能確保Google今年以「適當規模」再出發。

Google對媒體證實此事，表示今年內將減緩招募速度，把重點放在維持策略領域運作。

Pichai指出，一如2008年金融危機重創全球經濟，許多企業受到極大衝擊，現在，Google和Alphabet也同樣面臨COVID-19疫情，對大環境形成的挑戰。更多內容

Tomcat Server存在Ghostcat漏洞全球網站拉警報

近期Tomcat Server被揭露一個名為Ghostcat的漏洞，臺灣有圖書館網站遭植入惡意程式，疑似就是駭客開採該漏洞所導致，由於Tomcat是Java開發者常用的應用伺服器之一，雖然在Apache Tomcat官方網站上，已於2月11日與14日發布不同版本的更新修補，但這個漏洞在國內比較少被關注，例如，臺灣資安業者發現，國內許多企業與組織的Tomcat Server具有該漏洞，未即時修補。此外，Ghostcat漏洞也讓多個Linux平臺在這兩個月陸續發布修補，就連商用軟體也受影響。更多內容

黑市出現Zoom零時差漏洞攻擊程式

Zoom的一夕竄紅，讓全球的駭客都在尋找它的安全漏洞，媒體Motherboard報導，已有駭客在黑市銷售鎖定Zoom的兩個零時差漏洞攻擊程式，分別可用來攻擊Windows及macOS上的Zoom客戶端程式，且Windows版的售價高達50萬美元。更多內容

微軟運用AI精準標記出軟體重大安全性臭蟲

每個月微軟內部專案會產生將近3萬多個程式錯誤，為了更精準地解決重要的臭蟲，微軟用機器學習技術，提升辨識與分類安全漏洞的能力。強調可用少量的資訊精準分類臭蟲，該系統能夠以99％精確度區分安全性和非安全性軟體臭蟲，並以97％精確度辨識出高優先度安全性錯誤，還能夠容忍資料存在雜訊。更多內容

Google公布假疫情之名的惡意郵件詐騙手法

Google公布了常見的網釣郵件供外界參考。包括仿冒成世界衛生組織（WHO）或其它官方組織的郵件，內容可能是要求使用者捐款，或是開啟含有惡意程式的附加檔案。

還有一種網釣郵件是鎖定在家工作的使用者，偽裝來自企業的管理部門，要求使用者輸入個人資料；另一種則是針對小型企業，偽裝成要提供紓困方案的政府組織，要求收件者下載含有惡意程式的附加檔案；或是假裝是被隔離企業的潛在客戶，宣稱無法與企業聯繫，要求收件者下載惡意檔案。總之，駭客針對有意捐款的民眾、在家工作者，以及受疫情影響的企業，都編造了不同的故事，好誘騙收件者輸入個資。更多內容

Google發布安卓專用的新版WebView除錯工具

WebView可視為具有部分功能的瀏覽器，當開發者需要強化對使用者介面進行控制，或是提供進階選項的時候，WebView就能派上用場，讓開發者將網頁嵌入到應用程式中。

Google持續以更新的方法，改進WebView穩定性和效能，並加入網頁新功能以及安全性補丁，但Google提到，更新是一把雙面刃，在提升其穩定性和相容性的同時，也可能產生另外的新問題，Google還表示，由於所有應用程式都存在臭蟲，要在應用程式中載入網頁內容，更是有其挑戰性，WebView崩潰很容易成為應用程式的痛點。

要對WebView崩潰測試並不容易，因為容易跟Java和C堆疊追蹤混淆，因此為了讓開發者可以提早發現問題，Google釋出WebView Beta計畫，開發者可用來對WebView程式除錯。更多內容

G Suite用戶可直接自Gmail撥打Meet視訊電話

圖片來源／Google

隨著外界對視訊會議的需求愈來愈高，Google繼3月宣布讓所有G Suite用戶，都能享受大型企業等級的Google Meet功能之後，近期進一步讓G Suite使用者能夠自Gmail，直接撥打Google Meet視訊電話。更多內容

福特和福斯車用系統驚傳漏洞

英國消費者權益組織旗下的媒體Which?，與資安公司Context聯手，鎖定歐洲兩款熱銷的汽車進行研究，分別是最新年式的福斯Polo，以及福特Focus。

首先，在Polo的各式車用系統上，Which?與Context發現，透過能夠停用循跡控制系統（Traction Control System，TCS）的命令，他們便能入侵這臺車的資訊娛樂系統，竊得車主的個人資料，包含電話的通訊錄，以及行駛過的地點等內容。

再者，這臺車的實體防護層面也被忽略。研究人員留意到，如果駭客要存取車輛前方雷達模組其實相當容易，只要移開水箱罩上的福斯廠徽就行，駭客便能竄改汽車的防碰撞警示（Collision-warning）系統。然而，無論是遠端開關循跡控制系統，還是變更防碰撞警示系統設定，都可能在車輛失控的時候，導致這些輔助機制失效，造成車上人員傷亡。更多內容

Maze勒索軟體攻擊大型IT服務商

勒索軟體大肆攻擊各種產業，利用Maze來發動攻擊的駭客更因為行徑極度招搖而引發關注，不僅炫耀攻陷的政府機關和公司行號數量，並且恐嚇不付贖金就公開遭加密的機敏資料，現在驚傳大型跨國IT服務廠商也遇害。例如，Cognizant內部系統受到Maze勒索軟體攻擊，導致部分客戶的服務被迫中斷。

由於Cognizant是IT服務供應商，採用該公司服務的企業也可能間接成為攻擊目標。這種透過合作廠商來間接發動攻擊的策略，這幾年也不斷發生，例如，空中巴士於去年遭到一系列攻擊，駭客的目標就是他們的供應商。更多內容

4.7吋的iPhone SE 2問世，Home鍵回來了

圖片來源／蘋果

蘋果發表第二代iPhone SE，這是蘋果所打造的入門款iPhone，距離第一代（2016年）已有4年之久。

iPhone SE 2是目前螢幕最小的iPhone，蘋果在2019年時發表的3款iPhone 11中，螢幕尺寸最小的為5.8吋，最大的則是6.5吋。

不過，iPhone SE 2的螢幕已經大於第一代的4吋，而且整支手機的尺寸也比第一代多出30%，這令許多人感嘆「可以一手操作手機的時代，已經結束了。」

此外，蘋果在2017年推出的iPhone X，所取消的實體Home鍵，則重新回歸到iPhone SE 2上，並整合了Touch ID指紋辨識功能。更多內容

iChef POS新增串接Uber Eats系統，餐廳內場管理能直接整合外送訂單

智慧餐飲科技公司iChef宣布自家POS與Uber Eats系統完成串接，可自動彙整該平臺的外帶或外送訂單，讓餐廳用戶透過單一頁面，掌握現場和該平臺的所有訂單。更多內容

臉書Libra協會讓步：改推對應單一貨幣的穩定幣

臉書在去年6月所發表的加密貨幣Libra，由於受到各國政府與各大銀行的抵制，使得它幾乎寸步難行，為此，支撐該貨幣的Libra協會更新了Libra白皮書，宣布除了支援多貨幣的Libra幣之外，也將推出可對應單一貨幣的穩定幣，並已向瑞士金融市場監督管理局（FINMA）申請支付系統的經營授權，可說是Libra正式踏出的第一步。

最初Libra幣（LBR）的設計是一次可對應不同的貨幣，為了化解外界認為一籃子Libra幣，可能會干擾各國貨幣主權的疑慮，Libra協會決定擴大Libra網路，納入單一貨幣的穩定幣，如對應英鎊的LibraGBP（GBP）。更多內容

在Safari之後，Firefox也宣布開始支援WebGPU，WebGPU是一個新興的繪圖API，用法比WebGL API還要簡單，提供由硬體加速的高效能3D繪圖，以及資料平行運算功能。

WebGPU由所有瀏覽器供應商、英特爾以及其他等多個組織，所組成的W3C GPU網頁工作群組從頭設計，具有安全、可移植性、高效能和高可用性等特色。Safari在去年9月的時候宣布，從其第91版開始支援WebGPU，而在Firefox則是從當前Nightly版本開始支援。

Mozilla提到，WebGPU能讓更豐富更複雜的圖形應用程式移植到網頁中執行，而且也讓原本專注開發原生平臺應用程式的開發團隊，可透過WebAssembly的支援，容易地在網頁平臺上進行開發。WebGPU建構在諸如Vulkan、D3D12和Metal新興的圖形API之上，向開發者開放低階API基礎原語相關功能。

Firefox對WebGPU的支援，其核心邏輯是由獲Mozilla協助的Rust社群，所撰寫的wgpu-core專案提供，而該專案是以gfx-rs專案為基礎，可將類Vulkan的GPU工作負載，轉換成D3D12、D3D11、Metal，甚至是OpenGL工作負載。Mozilla表示，他們還在開發著色器基礎設施，以應用WebGPU著色語言，將其轉換成驅動程式支援的後端著色語言。

想要趕快在Firefox嘗試最新的WebGPU功能的使用者，可以使用Firefox Nightly並將配置選項dom.webgpu.enabled以及gfx.webrender.all都設為true，就能在具有Vulkan驅動程式的Windows 7、Windows 10、Linux、macOS，以及有支援的Android裝置上，執行WebGPU應用程式。

目前Firefox Nightly可以執行大部分基於Google SPIR-V的WebGPU範例，但是由於Mozilla還未實作WebGPU中的GPURenderBundle，因此範例中的animometer還無法執行。Rust社群正在開發wgpu-rs專案，這是以相同的wgpu專案來實作的Rust API，如此便可讓許多Rust生態系中的應用程式，在瀏覽器中執行，（下圖）有影子的綠色方塊就是在macOS/Metal中以Firefox Nightly渲染而成。

Mozilla表示，目前Firefox Nightly支援WebGPU還在初期階段，仍有許多功能尚未實作，像是畫面呈現加速功能就是其中一個，目前要將渲染的圖像顯示到HTML畫布中，該圖像會先在GPU上渲染，並且讀回CPU緩衝區中，並以外部圖像提供給WebRender，WebRender會再次將圖像內容傳入GPU中，最後才在HTML畫布上顯示；這樣的往返是多餘的，Mozilla將會制定專門的機制，讓WebGPU後端API以及WebRender擁有共享介面。

WebGPU規範的發展仍有許多問題待解決，未解的問題如制定CPU和GPU之間資料傳輸的API，Mozilla提到，網頁平臺與原生平臺的差異，在於是否能夠直接存取系統記憶體，由於CPU和GPU間資料傳輸的方式還沒取得共識，因此尚有許多提案正在討論中；WebGPU規範目前還無法被穩定的用於生產環境中，在2020年底有望可出現能用於產品的最低版本。

資安業者GreyNoise近日發表了免費的遭駭通知服務GreyNoise Alerts，當使用者註冊並輸入「無類型網域間路徑選擇」（Classless Inter-Domain Routing，CIDR）之後，GreyNoise只要察覺在此一範圍內網路有產生任何的攻擊流量或大規模掃描行為，就會透過電子郵件通知用戶。

該服務奠基在GreyNoise的日常操作，該公司平常就在蒐集、分析與標記全球網路的掃描與攻擊行為。網路掃描指的是從直接連結網路的每個裝置上蒐集各種資訊，且估計至少有數萬人持續在掃描全球網路，好人掃描網路可能是為了計算在網路上曝光的漏洞、評估軟體市占率，或者是追蹤殭屍網路，但壞人掃描網路可能是要找出含有漏洞的裝置以發動攻擊，包括Shodan、Censys或Rapid7的Project Sonar都能用來掃描全球網路。

而GreyNoise則是透過於全球各地部署的數百臺伺服器，來觀察這些全球性的掃描行為，包括有多少人在掃描網路？掃描的流量來自哪些IPs？或者是他們掃描的目的是什麼？因而能夠分析發動掃描的對象是立意良善或是惡意的。

目前的GreyNoise Alerts服務為測試版，使用者只要輸入各個CIDR區塊，並附上名稱與間隔，當GreyNoise觀察到有任何的網路掃描或攻擊行動源自相關區塊所涵蓋的IP位址時，就會寄送電子郵件通知使用者。

一般的免費用戶會在一天內收到通知，若是大型企業客戶則會即時收到郵件通知，未來也會新增Slack通知、資料輸出附加檔案及整合資安事件管理（SIEM）等功能。

英特爾（Intel）在本周公布的第一季財報中，透露出該公司不畏武漢肺炎（COVID-19）疫情的影響，第一季創下198億美元的營收，比去年同期成長23%，達到57億美元的淨營收與1.31美元的每股盈餘。而且旗下業務除了物聯網（IoT）之外，包括資料中心、自駕車Mobileye、非揮發性記憶體、可程式碼解決方案及PC等業務都是成長的。

在198億美元的單季營收中，以PC為主的客戶運算事業群（CCG）創下了98億美元的營收，成長14%，而資料中心營收則有70億美元，成長幅度更高達43%，非揮發性記憶體（NSG）營收為13億美元，成長亦高達46%，物聯網營收為8.83億美元，下滑3%，可程式化解決方案（PSG）的營收為5.19億美元，成長7%，Mobileye營收為2.54億美元，成長22%。

英特爾執行長Bob Swan表示，第一季的業績證明了該公司在此一前所未有的挑戰中，致力於保護員工、支持供應鏈的合作夥伴，而能準時交付產品予客戶。就算受到肺炎疫情的侵襲，英特爾在今年第一季的準時交貨率仍然高達90%。

此外，英特爾也說明，資料中心業務之所以能達到43%的成長，原因之一是雲端服務供應商的業績也成長了53%；至於PC業務可有超出預期的成長，則是因消費者與企業為了要在家工作及學習而帶來強勁的需求。

英特爾預測今年第二季的營收規模為185億美元。不過，英特爾也提醒，現在全球正處於經濟不確定、甚或衰退的浪潮中，且疫情可能影響企業、供應鏈或合作夥伴的運作，無法確定對未來業務可能產生的影響，可能會隨時變更對營收的期待。

Netflix宣布其影音串流服務開始支援TLS 1.3，以提供用戶更安全以及更快的影片觀賞體驗。經安全性分析，Netflix確認TLS 1.3可以提供比TLS 1.2更好的通訊安全性，而且Netflix還對百萬用戶進行了測試，證實TLS 1.3能帶來較好的影片播放效能。

TLS是傳輸層安全性協定，為了使網路兩方可以安全的通訊，建立安全的通訊通道是必要的工作，協定需要具有身份驗證、機密性和完整性三種特性，通訊雙方都必須驗證身份，且透過通道傳送的資料，只有在端點才可檢視這些資料，讓攻擊者無法修改通道中的資料，TLS協定實現了這三種特性，可在兩個同儕端點提供安全通道。

Netflix過去在電視、機上盒和媒體串流播放器等裝置，已經使用TLS 1.2來保護串流流量，而現在Netflix開始支援最新的TLS 1.3。Netflix提到，提供完全前向保密（Perfect Forward Secrecy，PFS）是一件非常重要的工作；PFS是金鑰交換演算法的一項功能，是要確保即便伺服器的私鑰被駭，對話金鑰仍可以維持其安全性，透過為每個對話產生新的金鑰，PFS可以保護之前的對話，也能防止未來的金鑰洩漏。

Netflix提到，雖然TLS 1.2支援帶有PFS的金鑰交換演算法，但同時也允許不支援PFS的金鑰交換演算法，而TLS 1.3刪除了所有不提供金鑰交換演算法，能進一步強化完全前向保密的想法。不只如此，TLS 1.3也刪除所有弱加密方法，僅使用帶有AEAD的身份驗證加密，確保資料的機密性、完整性和真實性。

不過，對Netflix來說，TLS 1.3最重要的功能，是提供了新的安全交握方法，TLS 1.3重新設計了交握協定，能更完全地保護交握過程。在TLS 1.2中，僅保護加密套件協商之後的部分交握，而這為攻擊者開了一個可攻擊的漏洞，但使用TLS 1.3，伺服器會簽署整個交握過程，包括從加密套件協商開始，因此可以防範攻擊者降級加密套件。

另外，TLS 1.3還簡化了交握過程，TLS 1.2一次交握總共需要兩次網路往返才能完成，而TLS 1.3就只需要進行一次往返；TLS 1.3具有用於恢復交握的0-RTT（Zero Round Trip Time Resumption）技術，允許應用程式在初始交握訊息中，就包含應用程式資料，而不需要等到交握完成後，才能開始傳輸應用程式資料，而這項功能對Netflix來說很有用，因為透過恢復TLS對話，並在串流資料中使用0-RTT，可以減少播放延遲。

由於Netflix應用程式不再需要等待交握完成，就能發出媒體資料的HTTP請求，因此可讓用戶更快速地開始播放影片，且經過Netflix的A/B測試結果也證明，TLS 1.3的確可以降低播放延遲，特別是在速度較慢或擁塞的網路上，能得到最大的效益，整體來說，所有網路條件下的效能都能獲得改進。而且由於CPU高負載，導致裝置無法快速處理媒體資料，所發生的媒體重緩衝（Media Rebuffer），TLS 1.3也可以有7.4％的改善，Netflix說明，這代表結合使用TLS 1.3與0-RTT，可以減少CPU的負載。

在去年re:Invent時，AWS推出了全託管Apache Cassandra服務，經過幾個月的改進，更名為Amazon Keyspaces後發布正式版本。Amazon Keyspaces是建立於開源分散式NoSQL資料庫系統Apache Cassandra之上的服務，用戶可以將其用作全託管的無伺服器資料庫，只要應用程式使用現有Cassandra查詢語言（CQL），就可以在幾乎不修改的情況下，直接用在Amazon Keyspace上讀取和寫入資料。

Cassandra最初由臉書開發，具有良好的可擴展性以及效能，被Apple、Comcast、Spotify以及Netflix等知名企業使用。不過，企業使用Cassandra有一些挑戰需要克服，AWS提到，由於要縮小Cassandra叢集的工作很複雜，因此使用者通常會讓Cassandra叢集持續維持最大規模，以應付尖峰流量需求，但這樣需要支出額外成本，另外，更新Cassandra叢集是另一個障礙，因為用戶需要單獨更新每個節點，不只過程繁瑣，當更新發生問題時，處理起來更是困難。

全託管服務則可以替使用者解決這些麻煩事，使用者可以按需使用Amazon Keyspaces，依實際讀寫操作付費，可簡單地應付不可預測的工作負載，對於可預測的工作負載，使用者也可以預先配置容量，指定應用程式每秒的資料讀寫次數以降低營運成本，而使用者也可以啟用自動縮放功能，在一天中應用程式流量發生變化時，自動更新預配置的容量。

Amazon Web Service（AWS）周三宣布Amazon AppFlow，以簡化第三方SaaS和AWS服務的資料雙向整合作業。

AWS首席傳教士Martin Beeby指出，愈來愈多企業使用軟體即服務（SaaS），但是這些應用散布在不同雲端上，而企業為了能從這些SaaS蒐集資料以進行業務分析，開發人員必須耗費大量時間撰寫客製化API，以便把在SaaS和AWS服務之間傳送資料。但這種作法不但昂貴，通常又得花上數個月時間，要是資料分析要求變了，又需要再花一番工夫來整合。而沒有這類工程團隊的企業則必須手動匯入、匯出資料，但這又有花時間、資料外洩及人為訛誤的問題。

Amazon AppFlow便是為了解決此類問題而推出。它讓企業得以自動化串接AWS服務和第三方SaaS應用，包括Salesforce、Zendesk等的資料流，讓SaaS應用管理員、業務分析師或BI分析師可以快速完成大部份整合作業。Amazon AppFlow的資料整合是雙向的，可以從SaaS蒐集資料到AWS，也可以從AWS服務傳資料到SaaS上。

舉例而言，一家企業在英國和愛爾蘭分公司建立Slack workspace管理網路社群。由於Slack支援Amazon AppFlow，則企業可以將部份Slack對話資料送到AWS S3，以Amazon互動式查詢服務 Athena進行分析，再以QuickSight產生視覺化圖表。

Amazon AppFlow會自動按用戶需求擴增或縮小，最多允許企業一次傳輸100GB的資料。此外，AppFlow還具備排程功能，方便用戶根據業務時程或依需求啟動資料傳輸。

AWS並強調Amazon AppFlow的安全性，所有資料都是加密傳輸。有些SaaS還會整合AWS PrivateLink而加一層安全防護。如果SaaS支援PrivateLink，則SaaS和AWS的資料會在Amazon加密網路，而非公共網際網路上傳送，中間的資料傳送會由Amazon AppFlow負責處理，簡化人員操作的困難，並減少網路攻擊及資料外洩風險。

不過目前Amazon AppFlow支援的SaaS還很少，只支援Salesforce、Snowflake、Zendesk及ServiceNow等13個SaaS和S3作為資料源，可作為資料目的地則有資料倉儲服務Amazon Redshift、S3及Salesforce、Snowflake。未來應該還會再增加支援的SaaS和AWS服務。

目前提供Amazon AppFlow地區包括美國東部、西部、加拿大中部、亞太（新加坡、日本、雪梨、首爾、孟買）、歐洲及南美，之後還會推向其他地區資料中心。

近年來，企業的資安意識擡頭，重要系統可能都導入了各式的防護措施，駭客也轉向開發者下手，並且藉由提供免費開源工具和程式庫的誘餌，做為散布惡意軟體的管道，進而從開發環境發動供應鏈攻擊。例如，ReversingLabs威脅研究員Tomislav Maljic指出，他們在今年的2月下旬偵測到，有超過700個惡意軟體，以Ruby程式語言開發工具的名義，上架到官方的工具市集RubyGems，其中有部分惡意軟體，與某些原本市集裡常見開發工具的名稱、版本，以及用途描述等資料，完全一模一樣，誤導了不少開發人員下載到電腦。一旦這些惡意軟體植入開發者的電腦，就會監控比特幣付款資料，然後將錢包內容移轉到特定帳戶。

RubyGems是Ruby社群的套件管理服務，讓開發者能以統一的格式發布Ruby程式或是程式庫供其他人也能快速使用，這些Ruby程式與程式庫套件，統稱為Gem。透過RubyGems，程式開發者便能快速架設所需的開發環境。

值得留意的是，前述的惡意軟體已經被下載約10萬次，而上述700多個惡意軟體，都是由JimCarrey和PeterGibbons兩名開發者提供，大部分都是在2月16日到25日之間上傳。而有些惡意軟體，更是藉著顯示的名稱和說明資訊，讓開發者上當。像是一款名為Atlas_client的API用戶端工具，便被攻擊者冒名上架完全相同名稱的惡意軟體，這款惡意軟體的下載數量有2,100次，相較於正牌Ruby套件被下載6,496次，冒名的惡意軟體也騙倒不少開發者。Ruby官方獲報後，也將上述的惡意軟體從RubyGems下架。

武漢肺炎帶動多人視訊軟體熱潮，臉書也在上周推出名為Messenger Rooms的功能，沒有臉書帳號也可以加入，以挑戰Zoom、Microsoft Teams及Google Meet。

2016年推出的Facebook Messenger就已提供支援高達50人的視訊功能，但是需要大家都有臉書帳號。但新推出的Messenger Rooms讓用戶可在動態消息、群組（Groups）及活動（Event）自建Room（聊天室）並點選友人名單加入視訊，他們收到連結後點選即可加入，即使他們沒有臉書帳號。主人可以隨時移除或封鎖特定與會者，也能鎖定不讓他人加入視訊會議。對於群組建立的視訊會議，所有成員預設都能加入。

Messenger Rooms讓用戶可為視訊加入擴增實境（AR）特效，並加入以人工智慧（AI）功能為基礎的效果，像是360度環景背景及14種濾鏡形成的情緒色彩。

Messenger Rooms和Zoom相比最大好處是沒有時間限制，此外臉書也表示，Messenger Rooms很快就可支援最多50人。另外，Messenger Rooms也提供讓用戶從Instagram（IG）Direct、WhatsApp及視訊裝置Portal建立聊天室的功能。

至於安全性，根據臉書的說明，目前Messenger Rooms並沒有全程加密，因為較大群組的視訊加密有相當挑戰，因此只有與會者端到臉書伺服器之間提供加密，但正積極改進以實現全程加密。臉書強調伺服器位於有嚴格隱私保護的國家，所有用戶影音通訊內容，臉書都不會看到或聽到。

Messenger Rooms上周起在特定國家推出，接下來幾個星期會推展到美國等其他地區，也會逐步加入新功能。

臉書希望藉Messenger Rooms追趕其他視訊廠商。過去一個月內，多家業者持續加強自家視訊會議軟體功能並公開用戶數，Zoom宣布每日用戶數超過3億人，並承諾最新5.0版本，將採用更安全的256 bit GCM加密。微軟為Teams加入對話、視訊會議支援。Google也改善了網頁版Meet，一次可顯示最多16位成員，以AI調整光線與降噪。Microsoft Teams每日用戶數超過4,400萬。Google也將視訊平臺Hangouts改名為 Meet，每日新增用戶200萬。

上周以色列安全廠商ZecOps公告，iOS版Mail軟體有2個零時差攻擊漏洞，可能導致iPhone用戶接到電子郵件就被駭，而且從iOS 6到最新的iOS 13都受影響。蘋果隔天證實安全廠商講的漏洞確實存在，不過對用戶並沒有立即風險。

根據這家安全廠商的研究，新發現的漏洞包括頻外寫入（OOB Write）、遠端堆積緩衝溢位（Remote Heap Overflow）漏洞，以及一個核心漏洞，讓攻擊者只要傳送有惡意附檔的郵件給用戶就能觸發，甚至用戶即使沒有開啟附檔，也會被駭，造成攻擊者遠端執行惡意程式碼，以竊取、編輯或刪除電子郵件。研究人員還宣稱，攻擊者可以遠端刪除郵件來隱匿行動。他們認為有可能是國家資助的駭客組織，策畫了這次行動。

第一時間沒有回應的蘋果，周五發出聲明稿反駁漏洞的說法。蘋果表示向來重視所有安全威脅的報告，而在詳細檢視ZecOps的研究後，他們認為漏洞並不會對用戶帶來立即風險。理由是，研究人員指出Mail的3個漏洞，個別都不足以繞過iPhone及iPad的安全防護，而且蘋果也沒有發現有用戶被攻擊的證據。

事實上，也有其他研究人員對ZecOps研究抱持懷疑。包括Google Project Zero及其他研究人員認為，該研究主要是根據414141、4141的crash code來判定有惡意郵件，證據太薄弱，而且該郵件最終並沒有找到，卻又被解釋為駭客將之刪除。

批評者認為，如果像ZecOps所言是國家級的駭客，則這些破綻百出的攻擊也太小兒科了，且iOS的漏洞可能也僅為被某些郵件觸發的小漏洞。但是ZecOps人員指出，還發現其他證據，而他們也會再補強說明。

不管這批漏洞是否像ZecPops講的那麼嚴重，蘋果說三項漏洞將很快會透過軟體更新修補。蘋果已在已在4月15日釋出iOS 13.4.5 Beta 2，正式更新預料很快就會釋出。

內政部原定今年10月換發數位身分證（eID），但其資安問題其實一直受到不少科技幕僚質疑，今日（27日）內政府戶政司與資訊中心發出公告，數位身分證換發時程將延期，原因是因應武漢肺炎（COVID-19）疫情影響，國內無法在原訂時程引進製作高防偽PC晶片卡的技術。

根據內政部的說明，為了製作身分證PC晶片卡，原訂4月初要前往國外取樣卡，以及進口相關設備，但受到疫情衝擊無法前往的情況下，這也使得後續架設機器、印製卡片的時程也會延宕，因此決定調整時程。

關於換發數位身分證的議論，其實過去在政府未定案前，就不斷有人權團體、學者發表看法，討論其資安隱憂。近期則又出現百位學者連署反對的聲浪，當中甚至包括總統府負責資訊安全的諮委李德財。

不過，目前內政部只表明因疫情衝擊暫緩數位身分證的時程，對於外界關心的資安議題，他們近期一再強調的面向，是民眾可以自由選擇數位身分證是否要附加自然人憑證，若是民眾不附加，就不會有相關電子簽章功能，即使附加也可隨時決定停用與復用，或是廢止憑證功能。因此，他們認為這種自主決定的方式，這應可免去部分民眾的疑慮

較特別的是，對於如何確保數位身分證的資安，內政部這次提出了兩大說明，包括解釋晶片的安全性，並特別公開程式原始碼。

他們表示，未來新發的數位身份證是雙晶片備援機制，其晶片為台積電公司代工生產，並會通過國際安全認證標準。例如，主晶片6項功能中，包括硬體架構、密碼學函式庫、作業系統、應用程序EAC＋SAC、應用程序SSDC Part2+3與應用程序BAC，其中前5項的CC認證（Common Criteria）安全評估，等級均達EAL5+以上，屬軍事機密等級，他們並會要求要有千萬張需在臺生產。

同時，內政部也說明其核心程式，將交由行政院資安處指定團隊進行資安檢測，並且不會在一開始就要全國民眾全面換發，而是在部分縣市先小規模試行，並透過獎勵計畫讓民間測試。

最後，內政部則是對民眾喊話，強調數位身分證只是將現行紙本身分證轉換為卡式，自然人憑證的結合也讓民眾有選擇性，相關使用記錄將不會傳至內政部或憑證管理中心，只會存放於民眾所使用的機關，希望民眾能放心，不會被政府掌控民眾的數位足跡。

圖片來源：內政部

就在歐洲及美國還在努力開發接觸傳染的追蹤系統時，澳洲已開發完成COVIDSafe App，並在當地周日晚間上線供國民下載。澳洲政府強調，該App蒐集的資訊，將不會被用於警方辦案或法庭命令等其他用途。

COVIDSafe App是完全自由下載，但澳洲健康部強調，這款App可以保護用戶、親友及其他國民，愈多澳洲國民連上COVIDSafe，可以更快讓病毒現蹤。

這款App是以新加坡的Tracetogether為基礎開發而成。用戶下載安裝後，輸入姓名、電話、年齡區間和密碼註冊後，系統會根據這些資訊派發一組加密參照碼（refence code）。其原理是利用這組參照碼透過藍牙金鑰交握（handshake），尋找特定時間點相隔1.5公尺以內超過15分鐘的手機，並將這些資料連同參照碼加密儲存在App中21天。一旦期間有人確診感染，並上傳感染資訊後，相鄰手機主人即會收到系統發送的簡訊通知。

澳洲總理Scott Morrison稱安裝該App是一項國民義務，當地至少要有40%以上的民眾安裝，COVIDSafe才能發揮作用。BBC報導不到一天時間，該App已經有超過100萬下載人次。相較之下，ZDNet報導，新加坡僅有20%的人安裝TraceTogether。

因應大眾對手機防疫技術的隱私疑慮，澳洲政府強調，App參照碼每2小時更新一次並非追蹤個人，且為確保隱私，COVIDSafe App只會蒐集日期、時間及接觸時間，但不會記錄使用者所在地點。此外，手機上的接觸資訊任何人都無法存取，除非用戶確診感染而將接觸資訊上傳中央伺服器。最後，App 中的接觸資訊會在滿21天時自動刪除。

此外，The Guardian報導，伴隨COVIDSafe的上線，澳洲衛生部也公布要項以防止這些資訊被用於其他用途，包括警方或法庭命令，而且資訊必須儲存在澳洲境內，同時5月澳洲國會也將通過相關法令基礎。

蘋果和Google目前正加緊聯手開發COVID-19接觸追蹤系統，預計5月釋出API讓政府機構開發搭配的系統，之後將直接內建到iPhone和Android兩大手機OS中。此外歐盟也在上周公布接觸追蹤App的「指導原則」，但對於該App開發卻沒有明確時程。

為了遏止假新聞的氾濫，調查局在去年因應總統大選，率先成立「二合一選舉查察專案」和「影響國安選舉假訊息處理小組」，爾後為了有效積極偵辦並遏止假訊息，也於去年8月8日成立「假訊息防制中心」；不過，疫情期間仍有假訊息妨害臺灣的疫情管控，調查局也於日前正式將「假訊息防制中心」升級為「調查局資安工作站」，並由總統蔡英文親自到場舉辦揭牌儀式。

升級資安工作站，強化政府打擊網路犯罪能力

蔡英文表示，這幾年假訊息危害引起全世界民主國家的高度重視，臺灣人民對此同樣感同身受，而最近面對疫情，仍然有大量假訊息流通，例如：捏造指揮官發言，或者是散布衛生紙原料不足的謠言，這都對防疫造成干擾。

此外，蔡英文也說，在國內外選舉中也看到許多刻意對立的假訊息，這對民主發展有害，因此，政府要面對這假訊息對民主的危害。「資安就是國安，」她指出，之前就已經將國安會、NCC（國家通訊傳播委員會）和資安處組成資安鐵三角，而調查局也接續成立「假訊息防制中心」，就希望可以做到即時澄清假訊息、穩定臺灣社會民心，降低不實輿論對臺灣社會的危害。

蔡英文也期待，假訊息防制中心升級為資安工作站時，也應該持續強化政府打擊網路犯罪的能力，這些學有專精的新生代調查官要做到，不能放任假訊息影響社會穩定，也必須持續精進專業、跟上最新的科技發展；她也提到，由於網路犯罪的訊息量太過龐大，資安工作站的同仁也都必須持續強化對網路犯罪偵防、蒐證、以及鑑識能力。

她說：「包括檢調以及國安單位，這些所有投入資安工作的政府單位，在秉持行政中立的前提下，針對各種資安問題都要做到早期預警、緊急應變、持續維運，透過建立民主防禦機制，維護臺灣的民主自由。」近期，各單位充分協調並和民間合作，面對武漢肺炎的疫情考驗，臺灣也告訴全世界，民主是最好的體制。

假訊息是主要偵查重點，以資工和電機背景調查官為主力

調查局局長呂文忠則表示，中國持續的大外宣，透過各種假訊息混淆視聽，而假訊息也是目前調查局偵查的重點，截至4月24日，調查局偵辦案件總計382件，包含：境外假訊息272件，並移送62案、85人，緩起訴9案，簡易判決2案，待移送9案，列參17案，疾管署或法務部交查案件總計4件。

調查局資安工作站首位站主任張尤仁表示，該工作站成員背景以資工系和電機系為主，目前22人，預計編制為35人，相關的調查官人才培育，也會從現有調查班的資訊類組，去挑選資工系和電機系成員做進一步培訓。他指出，目前調查局針對假訊息的偵查量能足夠，但還是要強化網路侵駭以及進一步發展網路防禦的能力。

調查局資通安全處處長吳富梅表示，資通安全處是資安工作站的指導單位，協助資安工作站第一線調查官的各種後勤確認工作，未來如果像是調查到相關電腦犯罪的中繼站，需要做為法庭證據並出鑑識報告，還是要由資通安全處鑑識實驗室出具相關報告。

安全廠商Sophos周五發出公告，其企業防火牆產品XG Firewall一個之前未發現的資料隱碼（SQL injection）漏洞遭到駭客開採，而影響到多家客戶。修補程式已經於上周末釋出。

Sophos是在4月22日晚間，經客戶通報其XG Firewall管理介面上出現可疑值，調查後判定實體和虛擬XG Firewall遭不明人士攻擊，影響管理員介面（HTTPS管理員服務）或使用者portal暴露於WAN zone的防火牆產品。另外，手動設定以共用同一傳輸埠作為管理或用戶portal目的，以致於暴露於WAN zone的防火牆服務（即SSLVPN）也會受到影響。

Sophos指出，攻擊者是利用XG Firewall的驗證前（pre-auth）SQL Injection漏洞存取這些防火牆產品，植入惡意程式以竊取防火牆中的檔案。

只要具備上述三種情形的用戶，都應假設資料已遭外洩。這些資料可能包括所有用戶帳號的本機用戶名稱及經雜湊處理的密碼，像是裝置管理員、用戶portal帳號及遠端存取帳號。不過Sophos說，與外部驗證系統像是AD或LDAP相關的密碼，則不受影響。

Sophos已在周末釋出該漏洞的修補程式，還會在管理介面上顯示XG Firewall是否曾遭攻擊，並表示已自動更新到防火牆產品上。