Descontinuar o uso do GlideEncrypter do 3DES para campos Password2

Descontinue o uso do GlideEncrypter do padrão de criptografia 3DES na instância para que ela use o AES (Advanced Encryption Standard, padrão de criptografia avançada) mais seguro exclusivamente para a criptografia e a descriptografia dos dados do Password2.

A partir da versão Rome, os dados do password2 passaram a ser protegidos usando o Estrutura de gestão principal, que conta com um algoritmo AES (Advanced Encryption Standard) mais moderno. No entanto, algumas configurações e falhas na lógica do password2 ainda podem fazer com que o algoritmo 3DES seja usado para criptografia e descriptografia.

Na versão Vancouver, os administradores podem optar por descontinuar totalmente o algoritmo 3DES. Com essa mudança, sua instância irá usar exclusivamente a criptografia AES para todas as tarefas de criptografia e descriptografia relacionadas aos dados do Password2. Essa mudança oferece melhor segurança da instância em comparação com a criptografia 3DES e é necessária para permanecer em conformidade com o NIST.

Considerações antes da descontinuação

Transferência de dados do password2 entre instâncias

Ao transferir textos criptografados do password2 para outras instâncias, certifique-se de que o KMF Key Exchange esteja habilitado entre as instâncias de origem e de destino. Essa configuração garante que as chaves usadas para criptografar textos do password2 estejam disponíveis em ambas as instâncias para descriptografar os textos criptografados pelo password2. Antes de descontinuar o 3DES, leve em consideração os seguintes casos de uso que podem afetar a transferência de dados do Password2 entre instâncias.

• Se você tiver aplicações em sua instância que usam dados do password2, certifique-se de que o KMF Resource Exchange esteja instalado nessa instância. KMF Resource Exchange garante que as chaves de nível de instância usadas para criptografar os dados do password2 na instância de origem estejam disponíveis nas instâncias de destino para descriptografia. Para obter mais informações, consulte Troca de recursos do Key Management Framework.
• Se você planeja exportar dados do password2 usando XML ou Fontes de dados, certifique-se de que KMF Key Exchange esteja habilitado na instância de destino. Esta configuração garante que as chaves de nível de instância usadas para criptografar os dados do password2 na instância de origem estejam disponíveis nas instâncias de destino para descriptografia. Para mais detalhes sobre a configuração, consulte Troca de chaves da Key Management Framework.
  Importante:

  Os exemplos acima representam os cenários mais comuns, mas se você estiver fazendo a transferência de texto criptografado do password2 entre instâncias de outra forma, configure KMF Resource Exchange para garantir que a instância de destino possa descriptografar dados do password2.

Como fazer o downgrade de uma instância após a descontinuação do 3DES

Isso só se aplica a instâncias que têm campos do password2 com entradas maiores que 125 caracteres e cujo você já descontinuou a criptografia 3DES.

Antes de fazer o downgrade de uma instância para uma versão anterior a Vancouver usando a Instance Cloning (Clonagem de instância), realize as etapas a seguir antes de iniciar o clone.

1. Verifique se a preservação de dados está configurada para preservar os dados do campo do password2.
2. Em caso afirmativo, antes de solicitar o clone, entre em contato com o suporte de ServiceNow para desabilitar a descontinuidade do 3DES. No campo “Motivo”, use “Pré-requisito de downgrade de clone para suporte a password2”.

Campos de password2 legados

Sua instância usa a criptografia 3DES para converter dados do password2 em dados do password2 legados (pré-Rome). Depois de descontinuar a criptografia 3DES, essa opção não estará mais disponível. Se você ainda precisar desse recurso, solicite a descontinuação parcial (consulte os detalhes na próxima seção).

Como descontinuar o 3DES

Depois de revisar os casos de uso anteriores, use o artigo da base de conhecimento KB1704481 para obter um processo passo a passo para descontinuar com segurança o uso do algoritmo DES ou DES triplo na instância. Para obter detalhes, consulte KB1704481 .

Importante:

Você deve ser elevado a administrador de segurança para ver o módulo de Conformidade de Segurança e realizar essas etapas. Para obter detalhes sobre esse processo, consulte Elevação para uma função privilegiada.

Após a descontinuação do GlideEncrypter

Após a conclusão da descontinuação, as informações a seguir serão aplicáveis à sua instância.

• Os campos password2 ainda oferecem suporte à descriptografia (mas não à criptografia) de dados criptografados do 3DES.
• Os dados criptografados do 3DES existentes nos campos de password2 permanecem como estão até que o valor do campo seja atualizado por um usuário ou fluxo de trabalho.
• Qualquer atualização do valor de um campo password2 remove o texto criptografado do 3DES e o substitui pelo texto criptografado de KMF usando AES.
• Em algumas situações, sua instância pode exibir um erro ao salvar dados de senhas:

  Ação anulada: o valor da senha não pode ser salvo devido a um problema técnico. Consulte KB1296997 para obter ajuda.

  Se você se deparar com esse erro, consulte as informações de suporte no artigo KB1296997da base de conhecimento.