Microsoft Entra ID CSP: blokada skryptów logowania

Wprowadzenie

Microsoft wzmacnia doświadczenie logowania do Microsoft Entra ID w ramach Secure Future Initiative (SFI). Nadchodzące egzekwowanie Content Security Policy (CSP) ma zapobiegać wstrzykiwaniu zewnętrznych skryptów podczas uwierzytelniania — obszaru często atakowanego — poprzez ograniczenie tego, jakie skrypty mogą się ładować i wykonywać na stronie logowania.

Co nowego

Microsoft doda i będzie egzekwować bardziej rygorystyczny nagłówek CSP dla doświadczenia logowania Entra ID na login.microsoftonline.com. Kluczowe zmiany obejmują:

• Pobieranie skryptów ograniczone do zaufanych domen Microsoft CDN Ładowanie będzie dozwolone wyłącznie dla skryptów pochodzących z zatwierdzonych przez Microsoft sieci dostarczania treści.

• Wykonywanie skryptów inline ograniczone do zaufanych źródeł Microsoft (nonce-based) Skrypty inline będą kontrolowane za pomocą wzorców CSP nonce, co uniemożliwi uruchamianie dowolnego kodu inline.

• Zakres ograniczony do logowań przeglądarkowych na login.microsoftonline.com Dotyczy to interaktywnych stron logowania w przeglądarce.

• Brak wpływu na Microsoft Entra External ID Microsoft informuje, że doświadczenia Entra External ID nie są objęte tą aktualizacją.

Harmonogram

• Globalne egzekwowanie: Microsoft Entra ID będzie egzekwować zaktualizowane CSP od połowy do końca października 2026 r.
• Komunikacja: Microsoft będzie wysyłać okresowe aktualizacje przed wdrożeniem.

Wpływ na administratorów IT i użytkowników końcowych

Dla większości organizacji będzie to „ciche” usprawnienie bezpieczeństwa. Jednak środowiska, które korzystają z rozszerzeń przeglądarki, skryptów lub narzędzi firm trzecich wstrzykujących kod na stronę logowania, powinny spodziewać się awarii tej wstrzykiwanej funkcjonalności.

Ważny niuans: Microsoft wskazuje, że nawet jeśli wstrzyknięte narzędzia przestaną działać, użytkownicy nadal mogą się zalogować — ale wszelkie nakładki, instrumentacja, personalizacje lub logika pomocnicza zależna od wstrzykiwania może nie zadziałać.

Typowe elementy do weryfikacji obejmują:

• Menedżery haseł lub rozszerzenia „security” modyfikujące strony logowania
• Nakładki helpdesku lub SSO do rozwiązywania problemów
• Niestandardowe brandowanie lub modyfikacje UX wdrożone poprzez wstrzykiwanie
• Narzędzia monitorujące lub analityczne, które podpinają się pod UI logowania poprzez skrypty przeglądarkowe

Zalecane działania / kolejne kroki

1. Zidentyfikuj i ogranicz zależności od wstrzykiwania na stronie logowania Microsoft wprost rekomenduje unikanie rozszerzeń lub narzędzi wstrzykujących kod do doświadczenia logowania Entra.

2. Testuj przepływy logowania z otwartymi Developer Tools Przejdź przez typowe scenariusze logowania (urządzenia zarządzane, niezarządzane, różne przeglądarki, warianty conditional access) z otwartą konsolą dev w przeglądarce i wypatruj naruszeń CSP (zwykle oznaczanych na czerwono).

3. Oceń różne persony użytkowników i przepływy Ponieważ naruszenia mogą pojawiać się tylko dla konkretnych zespołów lub konfiguracji użytkowników (z powodu rozszerzeń lub lokalnych narzędzi), testuj z wieloma grupami użytkowników i konfiguracjami urządzeń.

4. Zastąp narzędzia dotknięte zmianą alternatywami niewstrzykującymi kodu Jeśli znajdziesz krytyczne dla biznesu narzędzie, które polega na wstrzykiwaniu skryptów, zacznij już teraz oceniać alternatywy — wstrzykiwanie skryptów na stronę logowania nie będzie już wspierane po rozpoczęciu egzekwowania.

Dlaczego to ma znaczenie

Strony uwierzytelniania są celami o wysokiej wartości. Egzekwowanie CSP na granicy logowania to istotny krok w ograniczaniu powierzchni ataku dla wstrzykniętych lub złośliwych skryptów, zwiększający odporność na nowoczesne, webowe ataki na tożsamość, przy jednoczesnym zachowaniu doświadczenia logowania dla zgodnych konfiguracji.