Microsoft Entra ID CSP blokkerer script-injeksjon

Introduksjon

Microsoft forsterker påloggingsopplevelsen i Microsoft Entra ID som en del av Secure Future Initiative (SFI). Den kommende håndhevingen av Content Security Policy (CSP) er utformet for å forhindre ekstern script-injeksjon under autentisering—et område som ofte målrettes av angripere—ved å begrense hvilke scripts som kan lastes og kjøres på påloggingssiden.

Hva er nytt

Microsoft vil legge til og håndheve en strengere CSP-header for Entra ID-påloggingsopplevelsen på login.microsoftonline.com. Viktige endringer inkluderer:

• Nedlasting av scripts begrenses til pålitelige Microsoft CDN-domener Bare scripts som leveres fra Microsoft-godkjente content delivery networks vil få lastes inn.

• Kjøring av inline scripts begrenses til pålitelige Microsoft-kilder (nonce-basert) Inline scripts styres via CSP nonce-mønstre, som hindrer vilkårlig inline-kode i å kjøre.

• Omfang begrenset til nettleserbaserte pålogginger på login.microsoftonline.com Dette gjelder spesifikt interaktive påloggingssider i en nettleser.

• Ingen påvirkning på Microsoft Entra External ID Microsoft oppgir at Entra External ID-opplevelser ikke påvirkes av denne oppdateringen.

Tidslinje

• Global håndheving: Microsoft Entra ID vil håndheve den oppdaterte CSP-en midten til slutten av oktober 2026.
• Kommunikasjon: Microsoft vil sende periodiske oppdateringer i forkant av utrullingen.

Konsekvenser for IT-administratorer og sluttbrukere

For de fleste organisasjoner vil dette være en “stille” sikkerhetsforbedring. Miljøer som bruker nettleserutvidelser, scripts eller tredjepartsverktøy som injiserer kode i påloggingssiden bør imidlertid forvente at den injiserte funksjonaliteten slutter å fungere.

Viktig nyanse: Microsoft indikerer at selv om injiserte verktøy slutter å fungere, kan brukere fortsatt logge på—men eventuelle overlegg, instrumentering, tilpasninger eller hjelpelogikk som er avhengig av injeksjon kan feile.

Typiske ting å gjennomgå inkluderer:

• Passordadministratorer eller “sikkerhets”-utvidelser som endrer påloggingssider
• Helpdesk- eller SSO-feilsøkingsoverlegg
• Egendefinert branding eller UX-endringer implementert via injeksjon
• Overvåkings- eller analyseverktøy som kobler seg på påloggings-UI via nettleserscripting

Anbefalte tiltak / neste steg

1. Kartlegg og reduser avhengigheter til injeksjon på påloggingssiden Microsoft anbefaler eksplisitt å unngå utvidelser eller verktøy som injiserer kode i Entra-påloggingsopplevelsen.

2. Test påloggingsflyter med Developer Tools åpne Gå gjennom vanlige påloggingsscenarioer (administrerte enheter, uadministrerte enheter, ulike nettlesere, variasjoner i Conditional Access) med nettleserens dev-konsoll åpen, og se etter CSP violations (vises vanligvis i rødt).

3. Vurder ulike brukerpersonas og flyter Siden brudd kan oppstå bare for bestemte team eller brukeroppsett (på grunn av utvidelser eller lokale verktøy), test med flere brukergrupper og enhetskonfigurasjoner.

4. Erstatt berørte verktøy med alternativer som ikke injiserer Hvis du finner forretningskritiske verktøy som er avhengige av script-injeksjon, begynn å vurdere alternativer nå—script-injeksjon i påloggingssiden vil ikke lenger være støttet når håndhevingen starter.

Hvorfor dette er viktig

Autentiseringssider er høyt verdsatte mål. Å håndheve CSP ved påloggingsgrensen er et viktig tiltak for å redusere angrepsflaten for injiserte eller ondsinnede scripts, og forbedrer robustheten mot moderne, nettbaserte identitetsangrep, samtidig som påloggingsopplevelsen forblir intakt for konfigurasjoner som følger kravene.