Password2-Verschlüsselung mit dem Key Management Framework (KMF)

Unterstützt von Key Management Frameworkverwenden Sie den Password2 Feldtyp (zweifach verschlüsselt), um benutzerdefinierte Felder mit Aufgabentrennung, Schlüsselschutz und Lebenszyklusverwaltung zu verschlüsseln und zu entschlüsseln. Es funktioniert gemäß den NIST 800-57-Richtlinien und bietet FIPS 140-2-L3-Schutz.

Password2 ist ein Textfeld, in dem Passwörter mit bidirektionaler Verschlüsselung gespeichert werden. Bei der bidirektionalen Verschlüsselung werden Passwörter als sicherer verschlüsselter Wert gespeichert, der innerhalb der Instanz entschlüsselt werden kann.

Tipp:

Ab dem Release Vancouver können Administratoren die 3DES-Verschlüsselung für Passwort2-Felder durch den neueren Advanced Encryption Standard (AES) ersetzen. Details finden Sie unter GlideEncrypter-Nutzung von 3DES für Passwort2-Felder veraltet.

Aktivierung

Password2 -Funktionalität ist standardmäßig aktiviert. Sie wird durch die Eigenschaft glide.kmf.encrypter.enabled gesteuert, die für alle neuen Instanzen und Upgrades auf „ true “ festgelegt wird. Sie müssen [] nicht aktivieren, um Password2Verschlüsselung auf Spaltenebene Enterprise zu verwenden.

Funktionsweise von Password2

Key Management Framework stellt das übergeordnete kryptografische Basissystemmodul cm_glide_encrypter bereit. Dieses Modul stellt eine kryptografische Spezifikation und einen Schlüssel bereit, mit dem ältere Password2 -Felder entschlüsseln kann.

Abbildung : 1. Kryptografisches Modul für Password2

Dieses cm_glide_encrypter-Modul kann Submodule mit jeweils einem eigenen Modulschlüssel und einer eigenen Spezifikation haben. Wenn ein Submodul mit demselben Anwendungsbereich wie die Anwendung vorhanden ist, in der sich das Feld Password2 befindet, verwendet das System das Submodul. Beispiel: Wenn eine Tabelle in der Anwendung ServiceNow® Kundenservice ein Submodul aufweist und Sie Informationen in ein Feld Password2 in einer Tabelle im Anwendungsbereich Kundenservice ] schreiben, ruft der kryptografische Prozess das Submodul Kundenservice auf. Der Prozess verwendet auch den Schlüssel dieses Submoduls für die Verschlüsselung und Entschlüsselung mit einem eindeutigen AES 256 GCM-Verschlüsselungsschlüssel. Ein Submodul pro Anwendungsbereich ist zulässig. Übergeordnete Module werden nicht immer für den globalen Bereich verwendet. Im Allgemeinen verwenden neue Felder instance_level_glide_encrypter.

Hinweis:

Sie können keine eigenen Submodule in Washington DCerstellen. Submodule werden in verschiedenen Anwendungs-Plugins auf der Now Platformbereitgestellt. Sie können Schlüssel für Submodule rotieren, aber nicht für das übergeordnete cm_glide_encrypter-Modul.

Domänentrennung und On-Premise-Kunden

KMF Password2 unterstützt keine Domänentrennung. Sie können Password2 mit lokalen Instanzen verwenden.

Veraltete Password2 und aktuelle Password2

In Washington DCwurde das vorhandene Feld Password2 aktualisiert.

Die aktuelle Implementierung von Password2:

• Verwendet Key Management Framework gemäß NIST 800-57 Key Wrapping-Richtlinien und bietet FIPS 140-2-L3- Schutz für die gesamte Schlüsselhierarchie.
• Enthält Funktionen zum Erstellen dedizierter und eindeutiger KMF Password2 -Submodule für bestimmte Anwendungen, die eine Steuerung durch den Anwendungsbereich ermöglichen. Jedes Submodul verfügt über einen eigenen eindeutigen AES 256 GCM-Verschlüsselungsschlüssel.

Passwort2-Felder in Skripts

Wenn Sie mit einem Skript auf Felder von Password2 zugreifen, führen Sie das Skript im selben Bereich wie der Tabellenbereich aus. Verwenden Sie setDisplayValue(), um Password2 Werte zu verschlüsseln, und getDecryptedValue(), um den Wert zu entschlüsseln und zu lesen.

Hinweis:

Verwenden Sie die GlideEncrypter()- API nicht für Felder Password2.

Dieses Beispielskript zeigt, wie my@Password in der Spalte password2 der Tabelle „table_xyz“ verschlüsselt wird.

var  gr =  new GlideRecord(‘table_xyz’);
gr.setDisplayValue(‘pwd2column_name’, ‘my@Password’); 
gr.insert();

Wichtig:

Sie können die setValue()- API nicht für das Feld Password2 verwenden.

Dieses Beispielskript zeigt, wie Sie dasselbe Feld entschlüsseln, um den Wert abzurufen:

var  gr =  new GlideRecord(‘table_xyz’);
gr.query();
gr.next();
var ge=gr.getElement('pwd2column_name');
var ged1 = ge.getDecryptedValue(); 

Wichtig:

Die API getDecryptedValue() ist nicht bereichsbezogen. Sie ist global verfügbar.

1. Wenn Sie Daten in einem Feld Password2 verschlüsseln, bestimmt das System den Anwendungsbereich, in dem sich das Feld Password2 befindet.
2. Das System sucht dann nach einem Submodul des übergeordneten cm_glide_encrypter -Moduls mit demselben Bereich wie die Anwendung, wenn die Eigenschaft auf truefestgelegt ist.
   Hinweis:

   Wenn ein Submodul mit demselben Bereich vorhanden ist, verwendet es die Submodulspezifikation und den Schlüssel, um die Verschlüsselung durchzuführen.

In dieser Abbildung wird erläutert, wie Ihre Instanz Daten in Feldern von Password2 entschlüsselt:

Abbildung : 2. Password2-Entschlüsselungs-Flow

KMF Password2 -Migrationsauftrag

Für Kunden, die ein Upgrade von früheren Releases durchführen, wird ein Migrationsauftrag bereitgestellt. Daten, die mit einer veralteten Password2 -Verschlüsselung verschlüsselt sind, werden mit dem Schlüssel in einem KMF Password2 -Submodulschlüssel erneut verschlüsselt. Die erneute Verschlüsselung gilt nur für Tabellen mit Feldern Password2 in Anwendungsbereichen, für die auch Submodule für diesen Bereich erstellt wurden. Zum Beispiel wird ein Legacy-Feld Password2 in der Anwendung XYZ_example (mit Anwendungsbereich XYZ_example ) nur dann erneut verschlüsselt, wenn ein Submodul für den Anwendungsbereich XYZ_example unter dem übergeordneten Modul cm_glide_encrypter vorhanden ist.

Die Verschlüsselungsschlüssel KMF Password2 im -Submodul sind in der Schlüsselhierarchie KMF geschützt (Umschlag verschlüsselt).