Explorando a assinatura de código

A assinatura de código fornece verificação criptográfica para garantir que somente scripts autorizados possam ser executados em MID Servers. A assinatura de código impede o canal de comunicação externa não autorizado ou adulterado (ECC) registros de fila que estão sendo processados pelos MID Servers, mantendo a integridade das integrações entre ServiceNow e sistemas externos.

A assinatura de código cria assinaturas digitais para seus dados, que são verificadas posteriormente para confirmar a autenticidade e a integridade dos dados. A assinatura de código é um módulo licenciado como um componente de ServiceNow Vault.

Nota:

A equipe Suporte e atendimento ao cliente deve conceder acesso à assinatura de código.

A assinatura de código declara a intenção por trás da operação que está sendo realizada e valida se o recurso ou registro pode ser usado para a finalidade pretendida. Para facilitar a assinatura de código, o Estrutura de gestão principal (KMF) usa certificados digitais e criptografia assimétrica padrão do setor para assinaturas digitais. Use a assinatura de código internamente no lado da plataforma e infraestrutura. A assinatura de código fornece uma maneira de assinar o conteúdo de tabelas específicas ou de um subconjunto de registros em uma determinada tabela de metadados.

A assinatura de código usa um seguro Círculo de confiança( COT) Entre suas instâncias confiáveis e protegidas para ajudar a garantir que somente instâncias confiáveis autorizadas e seguras possam acessar o recurso de Assinatura de código.

Nota:

A assinatura de código está habilitada na instância protegida e não na instância confiável.

Como a Assinatura de código protege seu ambiente

Sem Assinatura de código, um invasor que obtém acesso a. ServiceNow Os registros podem modificar instruções SQL em uma instância protegida. Quando o MID Server processa esta solicitação de fonte de dados, ele executa os comandos SQL mal-intencionados, potencialmente comprometendo a integridade e a segurança do sistema.

Quando você implementa uma arquitetura de Círculo de confiança com Assinatura de código, a transferência de dados para o MID Server segue o seguinte processo de verificação. Este processo ajuda a verificar se somente o código autorizado originado da instância confiável pode ser executado no MID Server. O processo reduz possíveis vetores de ataque que poderiam comprometer seus sistemas.

1. As assinaturas digitais são aplicadas a fontes de dados criadas ou atualizadas na instância confiável.
2. Use o processo de Assinatura de código para transferir os dados assinados da instância confiável para a instância protegida .
3. O MID Server verifica a assinatura digital em todas as solicitações recebidas, rejeitando automaticamente todas as solicitações sem assinaturas válidas.
4. Se o MID Server rejeitar uma solicitação, ele registrará essa rejeição e enviará uma notificação para a instância protegida.

Benefícios da implementação da Assinatura de código

A assinatura de código fornece várias vantagens importantes:

Controle de execução

Somente scripts verificados criptograficamente podem ser executados em MID Servers

Detecção de adulteração

Quaisquer modificações nos registros assinados são imediatamente identificadas e bloqueadas.

Proteção automatizada

O sistema lida com a imposição de segurança sem exigir intervenção manual.

Registro em log abrangente

Todas as falhas de verificação de assinatura geram registros de auditoria detalhados.

Validação de assinatura de código e trabalhos

Todas as tabelas de metadados com configurações válidas são assinadas no momento da construção usando o plug-in de metadados Assinatura de códigos ​ (com.glide.code_signing). A instalação deste plug-in instala automaticamente o plug-in Assinaturas de app OOB de assinatura de código ( com.glide.code_signing.oob_apps_signatures ) que contém criar assinaturas de tempo para todos os registros relevantes no trued-up ServiceNow® Store versões da aplicação. Se você optar por assinar tabelas, os usuários administradores com a função de administrador de segurança terão acesso a trabalhos de assinatura de código​:

• Assinar conjuntos para atualização.
• Assinar registros em massa.
• Anexos de assinatura em massa.

Assinar conjunto de atualizações

Este trabalho assina os registros que correspondem a uma configuração de assinatura no conjunto de atualizações. O trabalho também adiciona todos os novos registros de assinatura e certificados de verificação no conjunto de atualizações.

Figura 1. Registro de assinatura KMF para o conjunto de atualizações

Nota:

Com o. Australia Os registros de versão, inclusões de script e regra de negócio são assinados usando a nova "finalidade do curinga". Isso substitui o valor de finalidade vazio anteriormente. Essa mudança elimina avisos de importação e intervenção manual ao lidar com um grande número de registros. Não é possível criar ou atualizar uma configuração de assinatura com a finalidade curinga porque ela já está predefinida. Este valor é reservado somente para inclusões de script e regras de negócios, não para outras tabelas. As tentativas de usá-lo em outro lugar resultam em um erro.

Assinar registros em massa

Este trabalho assina todos os registros que correspondem à configuração de assinatura aplicada em uma tabela de metadados específica​.

Assinar anexos em massa

Esta tarefa assina todos os registros de anexo incluídos em uma tabela que corresponde a uma configuração de assinatura especificada​.

Figura 2. Trabalho de assinatura de código para registros de assinatura em massa