Microsoft Entra ID zpřísní CSP na přihlašovacích stránkách

Úvod

Microsoft posiluje přihlašování do Microsoft Entra ID v rámci iniciativy Secure Future Initiative (SFI). Nadcházející vynucení Content Security Policy (CSP) je navrženo tak, aby zabránilo vkládání externích skriptů během ověřování identity—oblasti, na kterou útočníci často cílí—tím, že omezí, které skripty se mohou na přihlašovací stránce načítat a spouštět.

Co je nového

Microsoft přidá a bude vynucovat přísnější hlavičku CSP pro přihlašování do Entra ID na login.microsoftonline.com. Klíčové změny zahrnují:

• Stahování skriptů omezené na důvěryhodné domény Microsoft CDN Načítat se budou moci pouze skripty ze sítí pro doručování obsahu schválených Microsoftem.

• Spouštění inline skriptů omezené na důvěryhodné zdroje Microsoftu (nonce-based) Inline skripty budou řízeny pomocí CSP nonce vzorů, což zabrání spuštění libovolného inline kódu.

• Rozsah omezen na přihlášení v prohlížeči na login.microsoftonline.com Týká se to interaktivních přihlašovacích stránek v prohlížeči.

• Bez dopadu na Microsoft Entra External ID Microsoft uvádí, že prostředí Entra External ID nejsou touto aktualizací ovlivněna.

Časový plán

• Globální vynucení: Microsoft Entra ID bude vynucovat aktualizované CSP od poloviny až konce října 2026.
• Komunikace: Microsoft bude před nasazením posílat průběžné aktualizace.

Dopad na IT administrátory a koncové uživatele

Pro většinu organizací půjde o „tiché“ bezpečnostní zlepšení. Prostředí, která používají rozšíření prohlížeče, skripty nebo nástroje třetích stran vkládající kód do přihlašovací stránky, však mohou očekávat, že tato vkládaná funkcionalita přestane fungovat.

Důležitá nuance: Microsoft uvádí, že i když vložené nástroje přestanou fungovat, uživatelé se stále mohou přihlásit—ale jakékoli překryvné prvky (overlay), instrumentace, přizpůsobení nebo pomocná logika závislá na vkládání kódu může selhat.

Typické položky k prověření zahrnují:

• Správce hesel nebo „security“ rozšíření, která upravují přihlašovací stránky
• Helpdesk nebo SSO troubleshooting overlay
• Vlastní branding nebo UX úpravy realizované přes vkládání kódu
• Monitorovací nebo analytické nástroje, které se napojují na sign-in UI pomocí skriptování v prohlížeči

Doporučené kroky / další postup

1. Zmapujte a omezte závislosti na vkládání kódu do přihlašovací stránky Microsoft výslovně doporučuje vyhnout se rozšířením nebo nástrojům, které vkládají kód do přihlašování do Entra.

2. Otestujte přihlašovací toky s otevřenými Developer Tools Projděte běžné scénáře přihlášení (spravovaná zařízení, nespravovaná zařízení, různé prohlížeče, varianty conditional access) s otevřenou vývojářskou konzolí prohlížeče a hledejte CSP violations (obvykle se zobrazují červeně).

3. Vyhodnoťte různé persony uživatelů a toky Protože porušení se mohou objevit jen u konkrétních týmů nebo nastavení uživatelů (kvůli rozšířením či lokálním nástrojům), testujte s více skupinami uživatelů a konfiguracemi zařízení.

4. Nahraďte dotčené nástroje alternativami bez vkládání kódu Pokud najdete pro byznys kritické nástroje spoléhající na vkládání skriptů, začněte už nyní vyhodnocovat alternativy—vkládání skriptů do přihlašovací stránky už po zahájení vynucení nebude podporováno.

Proč je to důležité

Ověřovací stránky jsou vysoce hodnotným cílem. Vynucení CSP na hranici přihlášení je významným krokem ke snížení plochy útoku pro vložené nebo škodlivé skripty a zvyšuje odolnost vůči moderním webovým útokům na identitu, aniž by narušilo uživatelské přihlašování u vyhovujících konfigurací.