資安一周（0523-0529）GDPR效應：臉書、Google法規生效首日就被告、微軟Azure新增法遵功能

5/23~5/29一定要看的資安新聞

GDPR才上路臉書、Google就被告，面臨最高各罰近40億歐元風險

歐洲個資法GDPR在5月25日正式上路，網路巨擘臉書、Google當天就遭到控告強迫用戶同意。一旦被主管機關認定違法，Google最高可能被罰37億歐元，而臉書可能被罰39億歐元。

澳洲隱私權律師Max Schrems旗下非營利法律網站noyb.eu，在四項控訴案中代表用戶控訴Google及臉書強迫使用者同意他們蒐集及處理用戶資料的條款。他向法國隱私主管機關CNIL控告Google，而其他三項申訴案則分別向奧地利、德國漢堡及比利時主管機關針對臉書、WhatsApp及Instagram三項產品控告。更多內容

因應GDPR衝擊，微軟祭出多項新服務以加強Azure法遵功能

號稱世上最嚴格的資料保護令GDPR已經在上周5月25日上路，各國大型企業不無嚴陣以待，就怕觸犯該天條，吃上鉅額罰款。而使用雲端服務的跨國企業，更得要注意，自家服務是否有符合各地法遵要求。

而因應GDPR上路，微軟近日也加強了旗下公有雲服務Azure的資安防護，像前陣子Azure SQL弱點評估功能上線，企業用戶可以追蹤、分析，以及修補潛藏的資料庫漏洞，此外本地環境使用SQL Server的用戶，微軟也將該功能整合至SSMS。而近日微軟又再出招，該平臺旗下多項服務整合了新法遵功能，讓企業用戶可以因應GDPR帶來的衝擊。更多內容

蘋果新增資料與隱私權工具，讓Apple ID用戶能下載所有個資

為了遵循即將於5月25日實施的《歐盟通用資料保護規則》（GDPR），蘋果5月23日更新了Apple ID帳號的資料與隱私權服務，新增了允許用戶下載所有個人資料的工具。

現階段Apple ID的資料與隱私權服務只提供兩個選項，一是更正用戶的個人資料，二是刪除用戶的Apple ID帳號與相關的所有資料，至於新版服務除了可刪除用戶的Apple ID帳號之外，也能暫時停用Apple ID，或是下載所有儲存於Apple ID上的資料。更多內容

WordPress 4.9.6釋出，助網站擁有者因應GDPR法遵

由於GDPR將在5月25日正式上路，WordPress釋出4.9.6版本，雖在網站功能上沒有太大調整，但是增加了幾項重要個人資料的處理功能，以符合GDPR要求。

GDPR要求企業以及網站，在收集、使用以及分享個人資料的時候保持透明，且賦予個人更多的選擇權處理這些被收集的資料。WordPress官方提醒，GDPR保護的是歐盟居民（EU residents），因此無論企業身在何處，都需要在這些資料處理行為上遵守GDPR。更多內容

無法跨過GDPR法遵難關，開源即時通訊軟體Monal停止歐洲地區服務

隨著歐盟最嚴格的個資法GDPR即將在5月25日上路，臉書或蘋果等大企業無不嚴陣以待，唯恐吃上鉅款罰單，而也有不少小型的網路服務，因沒有多餘資源調整業務，共享租借平臺StreetLend.com索性直接關掉其服務，或是像電子郵件訂閱管理平臺unroll.me退出歐洲市場，而開源即時通訊軟體Monal也在5月17日宣布決定停止對歐洲用戶的服務。

Monal創辦人Anurodh Pokharel說，GDPR終結了網路時代，現在已無法輕易的開發一些成果，放上網路供全世界的人使用。他提到，Monal的軟體開源以及營運全由他自己一人完成，他提供免費的服務，但是這也讓他沒有多餘的資源處理Monal的GDPR法遵問題，他表示，不少開源專案也遇到相同的情況。更多內容

GDPR效應：美國部份媒體為自保，限制歐洲民眾存取

《歐盟通用資料保護規則》（EU General Data Protection Regulation，GDPR）在5月25日正式實施了，儘管各大業者皆兢兢業業地部署符合GDPR的隱私條款，但臉書（Facebook）與Google還是在該規範上路的第一天就被告了，而美國媒體洛杉磯時報（LA Times）與芝加哥論壇報（Chicago Tribune）則是在上周五開始拒絕歐洲用戶存取，目的是為了規避GDPR。

出版洛杉磯時報與芝加哥論壇報的美國媒體集團Tronc在5月25日貼出公告，指出目前大多數歐洲國家皆無法造訪該站，正在尋找可於歐洲市場提供服務的各種選擇。更多內容

德國研究人員宣稱可繞過AMD晶片的SEV虛擬機器加密機制

德國弗勞思霍夫應用與集成安全研究所（Fraunhofer Institute for Applied and Integrated Safety，Fraunhofer AISEC）最近發表一研究報告，指稱他們破解了AMD安全加密虛擬化（Secure Encrypted Virtualization，SEV）機制，能夠存取經由SEV加密之虛擬機器上的明文記憶體內容。

SEV為一硬體功能，藉由加密記憶體來保護虛擬機器的安全，以讓不管是作業系統、hypervisor或是惡意程式都無法窺探受保護的虛擬機器，且每個虛擬機器都被賦予一個可連結到獨特加密金鑰的ASID（ Address Space ID），這些金鑰負責加/解密於記憶體及CPU核心中傳輸的資料，也都一直存放於SoC中。更多內容

Bitcoin Gold遭受51%攻擊，損失1,800萬美元

一群惡意的礦工在5月中旬針對Bitcoin Gold（BTG）網路藉由51％攻擊執行雙重支付（Double-spending），截至5月24日自加密貨幣交易中心盜走了388,200個BTG，價值1,800萬美元。

51％為一針對區塊鏈的假設性攻擊行動，當一群惡意的礦工擁有特定區塊鏈網路超過半數的採礦效能（hash rate）時，就有能力控制、排除或變更交易的排序，例如避免讓部份或所有的交易取得確認，避免讓部份或所有的礦工挖掘任何有效的區塊，或者是逆轉他們的加密貨幣交易，最後一項即有可能造成雙重支付，以同樣的代幣執行兩次的交易。這類的假設性攻擊因取得採礦效能的成本並不低，理論上也只會發生在較小型的區塊鏈網路上。更多內容

IBM首度在臺舉辦CTF比賽，連警政署都組隊參加

預計今年8月在美國舉辦的DEF CON CTF駭客搶旗攻防賽，臺灣首度有兩個隊伍參賽，因為CTF比賽的熱潮，IBM X-Force也首度在臺灣舉辦CTF比賽，並和愛爾蘭和臺灣Honeynet Project分會以及臺灣駭客協會策略合作，邀請全臺灣學生和資安專家們組隊參賽。

此次參與的17個隊伍中，除了有高中生、大學生組隊參賽，臺灣HITCON戰隊成員也組隊共襄盛舉外，更有警政署受邀，推出三隊參賽。警政署資訊室主任蘇清偉表示，警政署派員參賽除了體驗CTF的比賽氛圍之外，也是為了幫國家培育未來科技警察、因應未來犯罪偵辦所需的嘗試。更多內容