Microsoft Entra ID 로그인 CSP 강화: 스크립트 인젝션 차단
요약
Microsoft가 2026년 10월 중·하순부터 Entra ID의 브라우저 기반 로그인 페이지(login.microsoftonline.com)에 더 엄격한 CSP를 강제 적용해, 신뢰된 Microsoft CDN 스크립트와 nonce 기반 인라인 스크립트만 허용합니다. 대부분의 조직에는 큰 변화가 없겠지만, 로그인 페이지에 코드를 주입하는 브라우저 확장·보안 도구·오버레이·커스텀 UX는 동작이 중단될 수 있어, IT 관리자는 관련 의존성을 미리 점검하고 제거해야 합니다.
소개
Microsoft는 Secure Future Initiative (SFI)의 일환으로 Microsoft Entra ID 로그인 환경을 강화하고 있습니다. 예정된 Content Security Policy (CSP) 강제 적용은 인증 과정에서 자주 표적이 되는 영역인 외부 스크립트 인젝션을 방지하기 위해, 로그인 페이지에서 로드 및 실행될 수 있는 스크립트를 제한하도록 설계되었습니다.
변경 사항
Microsoft는 login.microsoftonline.com의 Entra ID 로그인 환경에 더 엄격한 CSP 헤더를 추가하고 강제 적용합니다. 주요 변경 사항은 다음과 같습니다.
-
스크립트 다운로드를 신뢰할 수 있는 Microsoft CDN 도메인으로 제한 Microsoft가 승인한 content delivery network에서 제공되는 스크립트만 로드가 허용됩니다.
-
인라인 스크립트 실행을 신뢰할 수 있는 Microsoft 소스(Nonce 기반)로 제한 인라인 스크립트는 CSP nonce 패턴을 통해 제어되어, 임의의 인라인 코드 실행이 차단됩니다.
-
적용 범위를 login.microsoftonline.com의 브라우저 기반 로그인으로 제한 브라우저에서의 대화형(interactive) 로그인 페이지에만 해당합니다.
-
Microsoft Entra External ID에는 영향 없음 Microsoft는 Entra External ID 환경은 이번 업데이트의 영향을 받지 않는다고 밝혔습니다.
일정
- 전 세계 강제 적용: Microsoft Entra ID는 업데이트된 CSP를 2026년 10월 중~하순에 강제 적용합니다.
- 커뮤니케이션: Microsoft는 롤아웃에 앞서 정기적으로 업데이트를 안내할 예정입니다.
IT 관리자 및 최종 사용자에 대한 영향
대부분의 조직에서는 “조용한” 보안 개선으로 체감 영향이 크지 않을 것입니다. 다만 브라우저 확장, 스크립트, 또는 로그인 페이지에 코드를 주입하는 타사 도구를 사용하는 환경에서는 해당 주입 기능이 중단될 수 있습니다.
중요한 점: Microsoft는 주입 기반 도구가 동작하지 않게 되더라도 사용자는 여전히 로그인할 수 있다고 설명합니다. 그러나 주입에 의존하는 오버레이, 계측(instrumentation), 사용자 지정(customization), 보조 로직은 실패할 수 있습니다.
검토해야 할 대표 항목은 다음과 같습니다.
- 로그인 페이지를 수정하는 비밀번호 관리자 또는 “보안” 확장
- 헬프데스크 또는 SSO 문제 해결 오버레이
- 인젝션으로 구현된 커스텀 브랜딩 또는 UX 수정
- 브라우저 스크립팅으로 로그인 UI에 후킹(hook)하는 모니터링 또는 분석 도구
권장 조치 / 다음 단계
-
로그인 페이지 인젝션 의존성 파악 및 축소 Microsoft는 Entra 로그인 환경에 코드를 주입하는 확장 또는 도구의 사용을 피할 것을 명시적으로 권장합니다.
-
Developer Tools를 열고 로그인 흐름 테스트 브라우저 dev console을 열어 둔 상태에서 일반적인 로그인 시나리오(관리 디바이스, 비관리 디바이스, 다양한 브라우저, conditional access 변형)를 실행하고 CSP 위반(일반적으로 빨간색으로 표시)을 확인하세요.
-
다양한 사용자 페르소나 및 흐름 평가 위반은 특정 팀 또는 사용자 구성(확장 또는 로컬 도구 영향)에만 나타날 수 있으므로, 여러 사용자 그룹과 디바이스 구성으로 테스트하세요.
-
영향받는 도구를 비(非)인젝션 대안으로 교체 스크립트 인젝션에 의존하는 업무상 핵심 도구가 확인되면 지금부터 대안을 평가하세요. 강제 적용이 시작되면 로그인 페이지에 대한 스크립트 인젝션은 더 이상 지원되지 않습니다.
이것이 중요한 이유
인증 페이지는 가치가 높은 표적입니다. 로그인 경계에서 CSP를 강제하는 것은 인젝션되거나 악성인 스크립트의 공격 표면을 줄이는 의미 있는 조치이며, 규정을 준수하는 구성에서는 사용자 로그인 경험을 유지하면서 최신 웹 기반 ID 공격에 대한 복원력을 강화합니다.
Microsoft 기술 최신 정보 받기