Chiffrement Password2 avec Key Management Framework (KMF)

Pris en charge par le Key Management Framework, utilisez le type de Password2 champ (chiffrement bidirectionnel) pour chiffrer et déchiffrer des champs personnalisés avec séparation des tâches, protection des clés et gestion du cycle de vie. Il fonctionne conformément aux directives NIST 800-57 et offre une protection FIPS 140-2-L3.

Password2 est un champ de texte qui stocke les mots de passe avec un chiffrement bidirectionnel. Le chiffrement bidirectionnel stocke les mots de passe sous forme de valeur chiffrée sécurisée qui peut être déchiffrée dans l’instance.

Conseil :

À partir de cette Vancouver version, les administrateurs peuvent déconseiller le chiffrement 3DES sur les champs password2 au profit de la nouvelle norme AES (Advanced Encryption Standard). Pour plus de détails, voir Déconseiller l’utilisation de 3DES par GlideEncrypter pour les champs password2.

Activation

Password2 La fonctionnalité est active par défaut. Il est contrôlé par la glide.kmf.encrypter.enabled propriété, qui est définie sur true pour toutes les nouvelles instances et mises à niveau. Vous n’avez pas besoin d’activer Entreprise de Chiffrement au niveau des colonnes pour utiliser Password2.

Mode de fonctionnement de Password2

Le Key Management Framework fournit un module cryptographique parent du système de base cm_glide_encrypter. Ce module fournit une spécification cryptographique et une clé qui peut déchiffrer les champs hérités Password2 .

Figure 1. Module cryptographique pour Password2

Ce module cm_glide_encrypter peut avoir des sous-modules, chacun avec sa propre clé de module et sa propre spécification. Si un sous-module est présent avec le même périmètre de l’application que l’application dans laquelle se trouve le Password2 champ, le système utilise le sous-module. Par exemple, si une table de l’application ServiceNow® Service clientèle dispose d’un sous-module et que vous écrivez des informations dans un Password2 champ d’une table du périmètre de l’application Service clientèle , le processus de chiffrement appelle le Service clientèle sous-module. Le processus utilise également la clé de ce sous-module pour le chiffrement et le déchiffrement avec une clé de chiffrement AES 256 GCM unique. Un sous-module par périmètre de l’application est autorisé. Le module parent n’est pas toujours utilisé pour le champ d’application global. Généralement, les nouveaux champs utilisent instance_level_glide_encrypter.

Remarque :

Vous ne pouvez pas créer vos propres sous-modules dans Washington DC. Des sous-modules sont fournis dans divers modules d’extension d’application sur le Now Platform. Vous pouvez faire pivoter les clés sur les sous-modules, mais pas sur le module de cm_glide_encrypter parent.

Domain Separation et clients sur site

KMF Password2 ne prend pas en charge Domain Separation. Vous pouvez l’utiliser Password2 avec des instances sur site.

L’héritage Password2 et l’actuel Password2

En Washington DC, le champ existant Password2 a été mis à niveau.

La mise en œuvre actuelle de Password2:

• Utilise le conformément aux directives d’encapsulation Key Management Framework de clé NIST 800-57 et fournit une protection FIPS 140-2-L3 pour l’ensemble de la hiérarchie de clés.
• Inclut des options pour créer des sous-modules dédiés et uniques KMF Password2 pour des applications spécifiques, fournissant un contrôle via le périmètre de l’application. Chaque sous-module possède sa propre clé de chiffrement AES 256 GCM unique.

Champs Password2 dans les scripts

Lorsque vous accédez à Password2 des champs avec un script, exécutez le script sous le même champ d’application que le champ d’application de la table. Utilisez setDisplayValue() pour chiffrer Password2 les valeurs et getDecryptedValue() pour déchiffrer et lire la valeur.

Remarque :

N’utilisez pas l’API GlideEncrypter() sur Password2 les champs.

Cet exemple de script vous montre comment chiffrer my@Password dans la colonne password2 de la table « table_xyz ».

var  gr =  new GlideRecord(‘table_xyz’);
gr.setDisplayValue(‘pwd2column_name’, ‘my@Password’); 
gr.insert();

Important :

Vous ne pouvez pas utiliser l’API setValue() pour le Password2 champ.

Cet exemple de script vous montre comment déchiffrer le même champ pour récupérer la valeur :

var  gr =  new GlideRecord(‘table_xyz’);
gr.query();
gr.next();
var ge=gr.getElement('pwd2column_name');
var ged1 = ge.getDecryptedValue(); 

Important :

L’API getDecryptedValue() n’est pas incluse dans le champ d’application. Il est disponible dans le monde entier.

1. Lorsque vous chiffrez des données dans un Password2 champ, le système détermine le périmètre de l’application où réside le Password2 champ.
2. Le système recherche ensuite un sous-module du module parent cm_glide_encrypter ayant le même périmètre que l’application si la propriété est définie sur true.
   Remarque :

   Si un sous-module avec la même portée est présent, il utilise la spécification et la clé du sous-module pour effectuer le chiffrement.

Cette illustration explique comment votre instance déchiffre les données dans Password2 les champs :

Figure 2. Flux de déchiffrement Password2

KMF Password2 Tâche de migration

Une tâche de migration est fournie pour les clients effectuant une mise à niveau à partir de versions précédentes. Il prend les données chiffrées avec un chiffrement hérité Password2 et les chiffre à nouveau avec la clé dans une KMF Password2 clé de sous-module. Le nouveau chiffrement s’applique uniquement aux tables avec Password2 des champs dans les périmètres de l’application qui ont également des sous-modules créés pour ce périmètre. Par exemple, un champ hérité Password2dans XYZ_example’application (avec XYZ_example périmètre de l’application) n’est chiffré à nouveau que si un sous-module pour le périmètre de l’application XYZ_example existe sous le module parent cm_glide_encrypter.

Les KMF Password2 clés de chiffrement du sous-module sont protégées (chiffrement d’enveloppe) dans la KMF hiérarchie des clés.