Microsoft Entra ID CSP stroža zaštita prijave 2026

Uvod

Microsoft dodatno učvršćuje Microsoft Entra ID iskustvo prijavljivanja u okviru inicijative Secure Future Initiative (SFI). Predstojeće sprovođenje Content Security Policy (CSP) osmišljeno je da spreči ubacivanje eksternih skripti tokom autentifikacije — oblasti koja je često na meti napadača — ograničavanjem toga koje skripte mogu da se učitaju i izvrše na stranici za prijavljivanje.

Šta je novo

Microsoft će dodati i primenjivati strože CSP zaglavlje za Entra ID iskustvo prijavljivanja na login.microsoftonline.com. Ključne promene uključuju:

• Preuzimanje skripti ograničeno na pouzdane Microsoft CDN domene Biće dozvoljeno učitavanje samo skripti koje potiču sa Microsoft-odobrenih content delivery network-ova.

• Izvršavanje inline skripti ograničeno na pouzdane Microsoft izvore (nonce-based) Inline skripte će biti kontrolisane putem CSP nonce obrazaca, čime se sprečava pokretanje proizvoljnog inline koda.

• Opseg ograničen na browser-based prijavljivanja na login.microsoftonline.com Ovo se odnosi isključivo na interaktivne stranice za prijavljivanje u browser-u.

• Nema uticaja na Microsoft Entra External ID Microsoft navodi da Entra External ID iskustva nisu pogođena ovim ažuriranjem.

Vremenski okvir

• Globalna primena: Microsoft Entra ID će primenjivati ažurirani CSP od sredine do kraja oktobra 2026..
• Komunikacije: Microsoft će slati periodična ažuriranja pre početka uvođenja.

Uticaj na IT administratore i krajnje korisnike

Za većinu organizacija, ovo će biti „tiho” bezbednosno poboljšanje. Međutim, okruženja koja koriste browser ekstenzije, skripte ili third-party alate koji ubacuju kod u stranicu za prijavljivanje treba da očekuju prekid rada te ubačene funkcionalnosti.

Važna nijansa: Microsoft navodi da čak i ako ubačeni alati prestanu da rade, korisnici i dalje mogu da se prijave — ali bilo kakav overlay, instrumentacija, prilagođavanje ili pomoćna logika koja zavisi od ubacivanja može da zakaže.

Tipične stavke koje treba preispitati uključuju:

• Password manager-e ili „security” ekstenzije koje menjaju login stranice
• Helpdesk ili SSO troubleshooting overlay-e
• Custom branding ili UX modifikacije implementirane putem ubacivanja
• Monitoring ili analytics alate koji se „kače” na UI prijavljivanja putem browser skriptovanja

Preporučene radnje / sledeći koraci

1. Popišite i smanjite zavisnosti od ubacivanja na stranicu za prijavljivanje Microsoft eksplicitno preporučuje izbegavanje ekstenzija ili alata koji ubacuju kod u Entra iskustvo prijavljivanja.

2. Testirajte tokove prijavljivanja sa otvorenim Developer Tools Prođite kroz uobičajene scenarije prijavljivanja (managed uređaji, unmanaged uređaji, različiti browser-i, varijacije conditional access-a) sa otvorenom browser dev konzolom i potražite CSP violations (obično prikazane crvenom bojom).

3. Procenite različite korisničke persone i tokove Pošto se kršenja mogu pojaviti samo za određene timove ili korisničke postavke (zbog ekstenzija ili lokalnih alata), testirajte sa više korisničkih grupa i konfiguracija uređaja.

4. Zamenite pogođene alate alternativama bez ubacivanja Ako pronađete poslovno kritične alate koji se oslanjaju na ubacivanje skripti, počnite da procenjujete alternative već sada — ubacivanje skripti u stranicu za prijavljivanje više neće biti podržano kada primena započne.

Zašto je ovo važno

Stranice za autentifikaciju su mete visoke vrednosti. Primena CSP-a na granici prijavljivanja predstavlja značajan korak ka smanjenju attack surface-a za ubačene ili maliciozne skripte, povećavajući otpornost na moderne web-bazirane identity napade, uz zadržavanje korisničkog iskustva prijavljivanja netaknutim za usaglašene konfiguracije.