國立高雄大學圖書資訊館通訊第27期

淺談HTML 5

資安訊息彙編

國立高雄大學圖資館電子資源整合查詢系統介紹

淺談HTML 5
林憲民

    HTML 這個語言，對於熟悉網路世界的人來說應該絕對不會陌生；它是構成網頁文件的最基本單位。HTML 5是W3C協會推出的最新網頁格式標準，大幅增加多項網頁元素和控制器，強化對網頁應用的支援，例如支援影音播放的video標籤提供多媒體的播放，透過簡單的參數設定即可輕鬆實現；不再需要像過去使用 object 或 embed 的方式埋入外部元件受到種種限制；繪圖專用的canvas標籤提供繪圖方面的強大展示，動畫與向量圖形的運算，甚至可以取代 Flash 或 Silverlight 的功能；local 端的資料庫讓儲存變的更容易，縮短搜尋曾經瀏覽過的資料時所花費的時間，對於離線瀏覽功能可以被廣泛應用。已於2008年釋出第一個HTML 5草案版本，預定2010年完成功能制定，不再增加新的語法元素，發布2年後若無嚴重問題，2012年再由W3C協會正式發布。
    HTML 5目標在於取代現有的HTML 4.01，XHTML 1.0 and DOM Level 2 HTML標準。它希望能夠減少瀏覽器對於需要外掛程式的豐富性網路應用服務（plug-in-based rich internet application，RIA)，如Adobe Flash、Microsoft Silverlight與Sun JavaFX的需求。HTML5 在實際應用時，就包含了HTML、CSS、JavaScript 三方面的革新。在 HTML 方面，HTML5 增加了新的語意標記、多媒體標記、各種屬性和其他規範，也正式放棄了幾項舊標記，例如font、center，開發者必須改用CSS指令來進行這類字體或排版功能的效果。在 CSS 方面，它提供新的 CSS 語法和樣式；在程式方面，它也提供新的 JavaScript 程式開發介面 (API)。這三方面的新技術結合起來，加上瀏覽器的支援，網頁世界將變得更豐富。
    由於HTML 5大幅增強了針對應用程式的需求，許多網路應用大廠紛紛鼓吹HTML 5。Apple推出的Safari瀏覽器4.0版是第一個開始支援HTML 5部分語法的瀏覽器，甚至連執行長Steve Jobs都鼓吹要採用HTML 5而捨棄Flash技術。Google的Chrome瀏覽器更是標榜對HTML 5的高支援性，甚至Google放棄自身的Google Gears離線技術，改用HTML 5的離線機制。微軟則在今年3月表示，下一版本的IE 9.0版中也將支援HTML 5的部分語法，例如影音標籤等。YouTube影音網站最近也開始支援HTML 5的影音標籤，使用者只要使用支援HTML 5影音標籤的瀏覽器就能播放影片，不需要安裝Flash Player，由瀏覽器負責影音解碼的運算工作，YouTube官網表示，採用HTML 5影音標籤來播放影片，可以減少處理器的負載，讓低階電腦能順暢播放影片。
    網頁運用HTML5 之後，使用者將會在幾個方面感受到它的影響，例如：

減少對外掛模組的依賴：現今的網頁應用程式已經相當豐富，但使用者可能需要安裝各種瀏覽器外掛模組，才能享受到所有的介面元素、應用程式和遊戲。例如我們需要加裝 Flash 才能玩 FaceBook 上的某些遊戲，或需要 Google Gears 才能使用離線網頁應用程式。相對之下，HTML5 為多媒體和網頁應用程式立下標準並提供運作機制，減少了使用外掛模組的需要。
嚴重乾眼症患者：長時間睜眼和用眼可加重乾眼症。如果坐在影院前三排位置，因為離銀幕太近，看片時要仰著脖子，睜大眼朝上看，使眼睛表面暴露在空氣中的面積增大，會明顯加重乾眼症。更豐富的應用程式：HTML5 可運用許多新的 API，讓網頁應用程式可以輕鬆地達成更多功能和任務。
於網頁設計師來說，HTML5 也能大大減少他們的負擔，不管是要加上聲音、影片、還是文字樣式，都變得相當簡單，程式的撰寫也會更加輕鬆。

以下幾個HTML 5的展示頁面大家可上去體驗一下，若無法順利使用請改用其他支援HTML 5的瀏覽器試試：

全球資訊網在過去歷經了幾次革新，例如 CSS 的運用與 Web 2.0 的出現等等。HTML5 是革命性的網頁新標準，它將很有機會為網頁帶來另一次徹底的改變。

參考資料：
1. 3 分鐘 Keyword─HTML 5
2. 5 Exciting Things to Look Forward to in HTML 5
3. HTML 5，未來網頁的嶄新標準
4. HTML 5來了嗎？
5. 解析HTML5
6. 網路標準HTML 5登場，數位時代，第195期，2010年8月
7. 維基百科
<回TOP>

資安訊息彙編
趙志宏、胡世澤

前言：
隨著資訊科技的發達，網路及通信環境蓬勃發展，不但帶給人類急速而巨大的衝擊，也改變了人類生活模式，然而隨著資訊科技所帶來的便利，也引發不少令人擔憂的資通安全問題。使用者在享受資訊網路所帶來便利性的同時，也開始遭受各類網路不安全事件的困擾與威脅，例如：病毒蠕蟲、阻斷服務式攻擊、駭客入侵、網路釣魚、垃圾郵件及間諜軟體等各式各樣的威脅在網際網路上層出不窮，平均每幾秒鐘世界上就有一起資安事件的發生，然而多數的資安事件有可能是因為電腦本身作業系統或是應用程式的安全漏洞，導致資安事件的發生，本文節錄九十九年七、八月份與使用者較為切身相關的安全漏洞議題，期望使用者在使用便利的電腦系統時，也須一併注意安全漏洞的更新，防患資安事件於未然。
駭客偽冒行政院院長室發送社交工程攻擊信件

內容說明	技術服務中心於近日接獲通報，駭客偽冒行政院院長室發送社交工程攻擊信件，內文中包含有關人員之簽名檔，製作惡意程式(使用RTLO方法)誘使使用者點擊，以取得使用者權限或執行遠端程式。當使用者點擊這類檔案時，可能於受攻擊成功後遭植入惡意程式，攻擊者將可控制受害系統執行任意惡意行為。該手法係利用作業系統解讀檔案名稱時，若遇到Unicode控制字元，會改變檔案名稱的顯示方式進行攻擊。駭客可以在檔案名稱中，插入特定的Unicode控制字元，導致作業系統在顯示該檔案名稱時，誤導使用者。例如，駭客可能將惡意程式命名為：提醒[202E]TXT.SCR，即會顯示為：提醒RCS.TXT，讓收件人誤以為是純文字檔，提升點擊的機率。本中心已發現使用該弱點之惡意文件，經由電子郵件進行攻擊。建議使用者參照以下建議措施來防堵這類的攻擊手法。
影響平台	1.所有Microsoft作業系統 2.常見Linux平台之圖形介面(如KDE與GNOME)在支援Unicode時亦受影響
影響等級	高
建議措施	1.本警訊提供2種阻擋方式：(1)自動設定、(2)手動設定，建議使用自動設定方式 (1)自動設定 a.至https://www.ncert.nat.gov.tw/a1_main_doc_downloadServlet?file=ICST-ANA-2010-0006.rar下載設定檔 b.若作業系統為Windows XP/Vista、Server 2003，執行 block_rtlo_winxp,vista.reg c.若作業系統為Windows 7，執行block_rtlo_win7.reg d.重新開機 (2)手動設定 a.先在HKEY_Current_User/Control Panel/Input Method下新增字串值EnableHexNumpad=1，或執行上述連結中enable_hex_numpad.reg設定檔 b.點選”開始”→”執行”→輸入”gpedit.msc” c.點開”電腦設定”→”Windows設定”→”安全性設定” d.在”軟體限制原則”上點選右鍵→”建立新原則” (如果之前有設過別的軟體限制原則，此步驟可忽略) e.點開”軟體限制原則”→在”其他原則”上點選右鍵→”新增路徑規則”→在”路徑”處輸入”[202E]”(註1)，安全性等級=”不允許”→”確定” f.重新開機 2.確認檔案屬性後才點擊該檔案，若發現檔案名稱中存在異常字元(如rcs, exe, moc等可執行檔案副檔名的逆排序)，請提高警覺。 3.將郵件附檔儲存至硬碟中，利用命令提示字元視窗查看其檔名。由於命令提示字元視窗並不支援Unicode，故該手法並無作用。 4.使用防毒軟體掃描郵件附檔。 5.建議取消「隱藏已知檔案類型的副檔名」功能，設定方式詳見如下： (1)滑鼠點選【開始】→【控制台】→【資料夾選項】，出現資料夾選項視窗。 (2)於資料夾選項視窗點選「檢視」，將「隱藏已知檔案類型的副檔名」選項取消核選，再點選「套用」→「確定」即可完成設定。 6.請勿開啟未受確認之電子郵件附件。註1：[202E]的輸入方式為長按[Alt]，依序輸入[+], [2], [0], [2], [E]，注意路徑處前後需加上*。
參考資料	http://www.fileformat.info/tip/microsoft/enter_unicode.htm

Microsoft Windows LNK攻擊

內容說明	技術服務中心於近日發現，駭客利用Microsoft Windows的重大弱點(MS10-046)，製作會觸發惡意程式的連結檔(.LNK/.PIF)攻擊使用者，以取得使用者權限或執行遠端程式。當使用者瀏覽這類連結時，可能於受攻擊成功後遭植入惡意程式，攻擊者將可控制受害系統執行任意惡意行為。本中心已發現使用該弱點之惡意文件，經由電子郵件進行攻擊。Microsoft已於美國時間2010/8/2發布此弱點的修補程式，建議使用者參照以下建議措施來防堵這類的攻擊手法。
影響平台	所有Microsoft作業系統
影響等級	高
建議措施	1.將Microsoft作業系統更新至最新狀態。 2.請勿開啟未受確認之電子郵件附件。
參考資料	Microsoft Security Bulletin http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx Common Vulnerabilities and Exposures http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2568

Windows說明及支援中心(Windows Help and Support Center)零時差攻擊

內容說明	技術服務中心於近日發現，駭客利用Windows Help and Support Center尚未修補的弱點(CVE-2010-1885)，Microsoft Security Advisory(2219475)，透過惡意網頁連結或在文件中附加惡意網頁連結的方式進行攻擊。當使用者點擊這類惡意連結時，使用者電腦便可能遭植入惡意程式，攻擊者將可控制受害系統執行任意惡意行為。本中心已發現駭客經由電子郵件使用該弱點之WORD文件進行攻擊，由於目前微軟尚未修補此弱點，建議使用者參照以下建議措施來防堵這類的攻擊手法
影響平台	Windows XP、Windows Server 2003及更舊版本
影響等級	高
建議措施	1.備分HKEY_CLASSES_ROOT\HCP檔案後刪除，待微軟釋出修補程式後，重新匯入該檔案。備分方式：點擊開始 > 執行，輸入Regedit進入登錄編輯程式，點擊HKEY_CLASSES_ROOT\HCP檔案 >右鍵選擇匯出 > 選擇匯出目錄，命名為HCP_Procotol_Backup.reg後，將HKEY_CLASSES_ROOT\HCP 刪除匯入方式：點擊開始 > 執行，輸入Regedit進入登錄編輯程式，點擊「檔案」>「匯入」>擇擇「HCP_Procotol_Backup.reg」以重新匯入備註:微軟說明及支援中心可能無法正常使用 2.使用自動修正程式 http://support.microsoft.com/kb/2219475/zh-tw 3.請勿開啟未受確認之電子郵件附件程式及附加之網頁連結
參考資料	Microsoft Security Advisory http://www.microsoft.com/technet/security/advisory/2219475.mspx Microsoft 技術支援 http://support.microsoft.com/kb/2219475 Common Vulnerabilities and Exposures http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1885

<回TOP>

國立高雄大學圖資館電子資源整合查詢系統介紹
顏琳雅

系統簡介
目前資訊使用現況為使用者找到所需的電子資源提供來源後，仍需個別進入不同資源平台以獲取資料，而每個電子資源服務平台的出版商或代理商不同，因此具備不同的檢索界面、使用方式、使用權限範圍，且提供不同的資料呈現方式。而電子資源整合系統的設計則希望透過單一整合查詢介面，方便使用者在此平台下同時查詢多種電子資源(如資料庫、電子期刊、電子書)，並可由檢索結果進一步連結取得全文。