Microsoft Entra ID: строгая CSP на страницах входа

Введение

Microsoft усиливает защищённость процесса входа Microsoft Entra ID в рамках Secure Future Initiative (SFI). Предстоящее принудительное применение Content Security Policy (CSP) призвано предотвратить инъекции внешних скриптов во время аутентификации — области, которую злоумышленники часто выбирают целью, — ограничивая, какие скрипты могут загружаться и выполняться на странице входа.

Что нового

Microsoft добавит и начнёт применять более строгий заголовок CSP для процесса входа Entra ID на login.microsoftonline.com. Ключевые изменения:

• Загрузка скриптов ограничена доверенными доменами Microsoft CDN Будут разрешены к загрузке только скрипты из утверждённых Microsoft сетей доставки контента.

• Выполнение inline-скриптов ограничено доверенными источниками Microsoft (на основе nonce) Inline-скрипты будут контролироваться через шаблоны CSP nonce, что предотвратит выполнение произвольного inline-кода.

• Область действия ограничена браузерным входом на login.microsoftonline.com Это относится к интерактивным страницам входа в браузере.

• Нет влияния на Microsoft Entra External ID Microsoft заявляет, что сценарии Entra External ID не затронуты этим обновлением.

Сроки

• Глобальное принудительное применение: Microsoft Entra ID начнёт применять обновлённый CSP в середине—конце октября 2026 года.
• Коммуникации: Microsoft будет периодически отправлять обновления перед началом развёртывания.

Влияние на IT-администраторов и конечных пользователей

Для большинства организаций это будет «незаметным» улучшением безопасности. Однако в средах, где используются расширения браузера, скрипты или сторонние инструменты, внедряющие код в страницу входа, следует ожидать нарушения работы такой внедрённой функциональности.

Важный нюанс: Microsoft указывает, что даже если внедрённые инструменты перестанут работать, пользователи всё равно смогут войти — но любые оверлеи, инструментация, кастомизация или вспомогательная логика, зависящие от инъекций, могут отказать.

Типичные элементы для проверки:

• Менеджеры паролей или «security»-расширения, изменяющие страницы входа
• Оверлеи helpdesk или инструменты устранения неполадок SSO
• Пользовательский брендинг или изменения UX, реализованные через инъекции
• Инструменты мониторинга или аналитики, которые «подключаются» к UI входа через браузерные скрипты

Рекомендуемые действия / дальнейшие шаги

1. Проведите инвентаризацию и сократите зависимости от инъекций на странице входа Microsoft прямо рекомендует избегать расширений или инструментов, которые внедряют код в процесс входа Entra.

2. Протестируйте сценарии входа с открытыми Developer Tools Пройдите ваши типовые сценарии входа (управляемые устройства, неуправляемые устройства, разные браузеры, варианты conditional access) с открытой консолью dev tools и ищите нарушения CSP (обычно отображаются красным).

3. Оцените разные роли пользователей и потоки Поскольку нарушения могут проявляться только у отдельных команд или конфигураций пользователей (из-за расширений или локальных инструментов), тестируйте с несколькими группами пользователей и разными конфигурациями устройств.

4. Замените затронутые инструменты альтернативами без инъекций Если вы обнаружите критически важные для бизнеса инструменты, зависящие от инъекции скриптов, начните оценивать альтернативы уже сейчас — инъекции скриптов в страницу входа больше не будут поддерживаться после начала принудительного применения.

Почему это важно

Страницы аутентификации — цели высокой ценности. Применение CSP на границе входа — значимый шаг к сокращению поверхности атаки для внедрённых или вредоносных скриптов, повышающий устойчивость к современным веб-атакам на идентичность и при этом сохраняющий пользовательский опыт входа неизменным для соответствующих конфигураций.