Explorando a assinatura de código

A assinatura de código fornece verificação criptográfica para garantir que somente scripts autorizados possam ser executados em MID Servers. A assinatura de código evita que registros de fila ECC não autorizados ou adulterados sejam processados por MID Servers, mantendo a integridade das integrações entre a ServiceNow e sistemas externos.

A assinatura de código cria assinaturas digitais para seus dados, que são verificadas posteriormente para confirmar a autenticidade e a integridade dos dados. A assinatura de código é um módulo licenciado como um componente de ServiceNow Vault.

Nota:

A equipe Suporte e atendimento ao cliente deve conceder acesso à assinatura de código.

A assinatura de código declara a intenção por trás da operação que está sendo realizada e valida se o recurso ou registro pode ser usado para a finalidade pretendida. Para facilitar a assinatura de código, o Estrutura de gestão principal (KMF) usa certificados digitais e criptografia assimétrica padrão do setor para assinaturas digitais. Use a assinatura de código internamente no lado da plataforma e infraestrutura. A assinatura de código fornece uma maneira de assinar o conteúdo de tabelas específicas ou de um subconjunto de registros em uma determinada tabela de metadados.

A assinatura de código usa um seguro Círculo de confiança( COT) Entre suas instâncias confiáveis e protegidas para ajudar a garantir que somente instâncias confiáveis autorizadas e seguras possam acessar o recurso de Assinatura de código.

Nota:

A assinatura de código está habilitada na instância protegida e não na instância confiável.

Como a Assinatura de código protege seu ambiente

Sem Assinatura de código, um invasor que obtém acesso a. ServiceNow Os registros podem modificar instruções SQL em uma instância protegida. Quando o MID Server processa esta solicitação de fonte de dados, ele executa os comandos SQL mal-intencionados, potencialmente comprometendo a integridade e a segurança do sistema.

Quando você implementa uma arquitetura de Círculo de confiança com Assinatura de código, a transferência de dados para o MID Server segue o seguinte processo de verificação. Este processo ajuda a garantir que somente o código autorizado originado da instância confiável possa ser executado no MID Server. Os processos reduzem possíveis vetores de ataque que poderiam comprometer seus sistemas.

1. As assinaturas digitais são aplicadas a fontes de dados criadas ou atualizadas na instância confiável.
2. Use o processo de Assinatura de código para transferir os dados assinados da instância confiável para a instância protegida
3. O MID Server verifica a assinatura digital em todas as solicitações recebidas, rejeitando automaticamente todas as solicitações sem assinaturas válidas.
4. Se o MID Server rejeitar uma solicitação, ele registrará essa rejeição e enviará uma notificação para a instância protegida.

Benefícios da implementação da Assinatura de código

A assinatura de código fornece várias vantagens importantes:

Controle de execução

Somente scripts verificados criptograficamente podem ser executados em MID Servers

Detecção de adulteração

Quaisquer modificações nos registros assinados são imediatamente identificadas e bloqueadas.

Proteção automatizada

O sistema lida com a imposição de segurança sem exigir intervenção manual.

Registro em log abrangente

Todas as falhas de verificação de assinatura geram registros de auditoria detalhados.

Validação de assinatura de código e trabalhos

Todas as tabelas de metadados com configurações válidas são assinadas no momento da construção usando o plug-in de metadados Assinatura de códigos ​ (com.glide.code_signing). Se você optar por assinar as tabelas, os usuários administradores com função de administrador de segurança terão acesso aos trabalhos de criptografia de assinatura de código​s:

• Assinar conjuntos para atualização.
• Assinar registros em massa.
• Anexos de assinatura em massa.

Assinar conjunto de atualizações

Este trabalho assina os registros que correspondem a uma configuração de assinatura no conjunto de atualizações. O trabalho também adiciona todos os novos registros de assinatura e certificados de verificação no conjunto de atualizações.

Figura 1. Registro de assinatura KMF para o conjunto de atualizações

Assinar registros em massa

Este trabalho assina todos os registros que correspondem à configuração de assinatura aplicada em uma tabela de metadados específica​.

Assinar anexos em massa

Esta tarefa assina todos os registros de anexo incluídos em uma tabela que corresponde a uma configuração de assinatura especificada​.

Figura 2. Trabalho de criptografia para assinar registros em massa