Password2-Verschlüsselung mit dem Key Management Framework (KMF)

Unterstützt von Key Management Frameworkverwenden Sie den Feldtyp Password2 (zweifach verschlüsselt), um anwenderdefinierte Felder mit Aufgabentrennung, Schlüsselschutz und Lebenszyklusverwaltung zu verschlüsseln und zu entschlüsseln. Es erfüllt die Richtlinien NIST 800-57 und bietet Schutz gemäß FIPS 140-2-L3.

Password2 ist ein Textfeld, in dem Passwörter mit bidirektionaler Verschlüsselung gespeichert werden. Die bidirektionale Verschlüsselung speichert Passwörter als sicheren verschlüsselten Wert, der innerhalb der Instanz entschlüsselt werden kann.

Tipp:

Ab Release Vancouver können Administratoren die 3DES-Verschlüsselung für Passwort2-Felder durch den neueren Advanced Encryption Standard (AES) ersetzen. Details finden Sie unter GlideEncrypter-Nutzung von 3DES für Passwort2-Felder einstellen.

Aktivierung

Password2 -Funktionalität ist standardmäßig aktiviert. Sie wird durch die Eigenschaft glide.kmf.encrypter.enabled gesteuert, die für alle neuen Instanzen und Upgrades auf „true“ festgelegt ist. Sie müssen Feldverschlüsselung Enterprise nicht aktivieren, um Password2zu verwenden.

Funktionsweise von Password2

Key Management Framework stellt das übergeordnete kryptografische Basissystemmodul cm_glide_encrypterbereit. Dieses Modul stellt eine kryptografische Spezifikation und einen Schlüssel bereit, mit dem veraltete Password2 -Felder entschlüsseln kann.

Abbildung : 1. Kryptografisches Modul für Password2

Dieses cm_glide_encrypter-Modul kann Submodule mit jeweils einem eigenen Modulschlüssel und einer eigenen Spezifikation haben. Wenn ein Submodul mit demselben Anwendungsbereich wie die Anwendung im Feld Password2 vorhanden ist, verwendet das System das Submodul. Wenn beispielsweise eine Tabelle in der Anwendung ServiceNow® Kundenservice ein Submodul aufweist und Sie Informationen in ein Feld Password2 in einer Tabelle im Anwendungsbereich Kundenservice schreiben, ruft der kryptografische Prozess das Submodul Kundenservice auf. Der Prozess verwendet auch den Schlüssel dieses Submoduls für die Verschlüsselung und Entschlüsselung mit einem eindeutigen AES 256 GCM-Verschlüsselungsschlüssel. Pro Anwendungsbereich ist ein Submodul zulässig. Das übergeordnete Modul wird nicht immer für den globalen Bereich verwendet. Im Allgemeinen verwenden neue Felder „instance_level_glide_encrypter“.

Hinweis:

Sie können keine eigenen Submodule in Yokohamaerstellen. Submodule werden in verschiedenen Anwendungs-Plugins auf Now Platformbereitgestellt. Sie können Schlüssel in Untermodulen rotieren, aber nicht im übergeordneten cm_glide_encrypter-Modul.

Domain Separation und On-Premise-Kunden

KMF Password2 unterstützt keine Domänentrennung. Sie können Password2 mit lokalen Instanzen verwenden.

Legacy- Password2 und aktueller Password2

In Yokohamawurde das vorhandene Feld Password2 aktualisiert.

Die aktuelle Implementierung von Password2:

• Verwendet Key Management Framework gemäß den NIST 800-57- Richtlinien zum Packen von Schlüsseln und bietet FIPS 140-2-L3- Schutz für die gesamte Schlüsselhierarchie.
• Enthält Funktionen zum Erstellen dedizierter und eindeutiger KMF Password2 -Submodule für bestimmte -Anwendungen, die Kontrolle über den gesamten Anwendungsbereich bieten. Jedes Submodul verfügt über einen eigenen eindeutigen AES 256 GCM-Verschlüsselungsschlüssel.

Passwort2-Felder in Skripts

Wenn Sie mit einem Skript auf Felder Password2 zugreifen, führen Sie das Skript im gleichen Umfang wie der Tabellenbereich aus. Verwenden Sie setDisplayValue (), um Password2 -Werte zu verschlüsseln, und getDecryptedValue (), um den Wert zu entschlüsseln und zu lesen.

Hinweis:

Verwenden Sie die GlideEncrypter()- API nicht für Felder Password2.

Dieses Beispielskript zeigt, wie „my@Password“ in der Spalte „password2“ der Tabelle „table_xyz“ verschlüsselt wird.

var  gr =  new GlideRecord(‘table_xyz’);
gr.setDisplayValue(‘pwd2column_name’, ‘my@Password’); 
gr.insert();

Wichtig:

Sie können die API „ setValue()“ nicht für das Feld Password2 verwenden.

Dieses Beispielskript zeigt, wie Sie dasselbe Feld entschlüsseln, um den Wert abzurufen:

var  gr =  new GlideRecord(‘table_xyz’);
gr.query();
gr.next();
var ge=gr.getElement('pwd2column_name');
var ged1 = ge.getDecryptedValue(); 

Wichtig:

Die getDecryptedValue()- API ist nicht bereichsbezogen. Es ist global verfügbar.

1. Wenn Sie Daten in einem Feld Password2 verschlüsseln, bestimmt das System den Anwendungsbereich, in dem sich das Feld Password2 befindet.
2. Das System sucht dann nach einem Submodul des übergeordneten Moduls cm_glide_encrypter mit demselben Umfang wie die Anwendung, wenn die Eigenschaft auf truefestgelegt ist.
   Hinweis:

   Wenn ein Submodul mit demselben Umfang vorhanden ist, verwendet es die Submodulspezifikation und den Schlüssel zur Verschlüsselung.

In der folgenden Abbildung wird erläutert, wie Ihre -Instanz Daten in Feldern Password2 entschlüsselt:

Abbildung : 2. Passwort2-Entschlüsselungs-Flow

KMF Password2 -Migrationsauftrag

Für Kunden, die ein Upgrade von früheren Releases durchführen, wird ein Migrationsauftrag bereitgestellt. Es nimmt Daten, die mit einer veralteten Password2 -Verschlüsselung verschlüsselt sind, und verschlüsselt sie mit dem Schlüssel in einem KMF Password2 -Submodulschlüssel erneut. Die erneute Verschlüsselung gilt nur für Tabellen mit Feldern Password2 in Anwendungsbereichen, für die auch Submodule für diesen Bereich erstellt wurden. Beispielsweise wird ein Legacy-Feld Password2 in der Anwendung XYZ_example (mit Anwendungsbereich XYZ_example ) nur dann erneut verschlüsselt, wenn ein Submodul für den Anwendungsbereich XYZ_example unter dem übergeordneten Modul cm_glide_encrypter vorhanden ist.

Die Verschlüsselungsschlüssel KMF Password2 im Submodul sind in der Schlüsselhierarchie KMF geschützt (umschlagverschlüsselt).