Microsoft Entra ID CSP på logonsider blokerer scripts

Introduktion

Microsoft forstærker Microsoft Entra ID-logonoplevelsen som en del af Secure Future Initiative (SFI). Den kommende håndhævelse af Content Security Policy (CSP) er designet til at forhindre ekstern script-injektion under godkendelse—et område, der ofte er mål for angribere—ved at begrænse hvilke scripts der kan indlæses og eksekveres på logonsiden.

Hvad er nyt

Microsoft tilføjer og håndhæver en strengere CSP-header for Entra ID-logonoplevelsen på login.microsoftonline.com. Vigtige ændringer inkluderer:

• Script-downloads begrænses til betroede Microsoft CDN-domæner Kun scripts, der stammer fra Microsoft-godkendte content delivery networks, vil kunne indlæses.

• Eksekvering af inline scripts begrænses til betroede Microsoft-kilder (nonce-baseret) Inline scripts vil blive styret via CSP-nonce-mønstre, som forhindrer vilkårlig inline-kode i at køre.

• Omfanget er begrænset til browserbaserede logon på login.microsoftonline.com Dette gælder specifikt for interaktive logonsider i en browser.

• Ingen påvirkning af Microsoft Entra External ID Microsoft oplyser, at Entra External ID-oplevelser ikke påvirkes af denne opdatering.

Tidslinje

• Global håndhævelse: Microsoft Entra ID vil håndhæve den opdaterede CSP midt til sidst i oktober 2026.
• Kommunikation: Microsoft sender periodiske opdateringer forud for udrulningen.

Påvirkning for IT-administratorer og slutbrugere

For de fleste organisationer vil dette være en “stille” sikkerhedsforbedring. Miljøer, der bruger browserudvidelser, scripts eller tredjepartsværktøjer, som injicerer kode i logonsiden, bør dog forvente, at den injicerede funktionalitet kan gå i stykker.

Vigtig nuance: Microsoft angiver, at selv hvis injicerede værktøjer holder op med at virke, kan brugerne stadig logge på—men eventuelle overlays, instrumentering, tilpasninger eller hjælpelogik, der afhænger af injektion, kan fejle.

Typiske områder, der bør gennemgås, omfatter:

• Password managers eller “security”-udvidelser, der ændrer logonsider
• Helpdesk- eller SSO-fejlsøgnings-overlays
• Custom branding eller UX-ændringer implementeret via injektion
• Overvågnings- eller analytics-værktøjer, der hooker ind i logon-UI via browser scripting

Anbefalede handlinger / næste skridt

1. Kortlæg og reducer afhængigheder af injektion på logonsiden Microsoft anbefaler eksplicit at undgå udvidelser eller værktøjer, der injicerer kode i Entra-logonoplevelsen.

2. Test logonflows med Developer Tools åbne Gennemfør jeres mest almindelige logonscenarier (managed devices, unmanaged devices, forskellige browsere, conditional access-variationer) med browserens dev console åben, og se efter CSP violations (typisk vist med rødt).

3. Vurdér forskellige brugerpersonas og flows Da overtrædelser muligvis kun opstår for bestemte teams eller brugeropsætninger (pga. udvidelser eller lokale værktøjer), bør I teste med flere brugergrupper og device-konfigurationer.

4. Erstat påvirkede værktøjer med alternativer uden injektion Hvis I finder forretningskritiske værktøjer, der er afhængige af script-injektion, bør I begynde at evaluere alternativer nu—script-injektion på logonsiden vil ikke længere være understøttet, når håndhævelsen starter.

Hvorfor det er vigtigt

Godkendelsessider er mål med høj værdi. Håndhævelse af CSP ved logongrænsen er et vigtigt skridt til at reducere angrebsfladen for injicerede eller ondsindede scripts og forbedre robustheden mod moderne webbaserede identitetsangreb, samtidig med at logonoplevelsen for brugerne forbliver intakt for kompatible konfigurationer.