Microsoft Entra ID skärper CSP på inloggningssidor

Introduktion

Microsoft stärker Microsoft Entra ID-inloggningsupplevelsen som en del av Secure Future Initiative (SFI). Den kommande tillämpningen av Content Security Policy (CSP) är utformad för att förhindra extern skriptinjektion under autentisering—ett område som ofta är måltavla för angripare—genom att begränsa vilka skript som får laddas och köras på inloggningssidan.

Vad är nytt

Microsoft kommer att lägga till och tillämpa en striktare CSP-header för Entra ID-inloggningsupplevelsen på login.microsoftonline.com. Viktiga förändringar inkluderar:

• Nedladdning av skript begränsas till betrodda Microsoft CDN-domäner Endast skript som hämtas från Microsoft-godkända content delivery networks kommer att tillåtas att laddas.

• Körning av inline-skript begränsas till betrodda Microsoft-källor (nonce-baserat) Inline-skript kommer att styras via CSP nonce-mönster, vilket förhindrar att godtycklig inline-kod körs.

• Omfattning begränsad till webbläsarbaserade inloggningar på login.microsoftonline.com Detta gäller specifikt interaktiva inloggningssidor i en webbläsare.

• Ingen påverkan på Microsoft Entra External ID Microsoft uppger att Entra External ID-upplevelser inte påverkas av den här uppdateringen.

Tidslinje

• Global tillämpning: Microsoft Entra ID kommer att tillämpa den uppdaterade CSP:n mitten till slutet av oktober 2026.
• Kommunikation: Microsoft kommer att skicka regelbundna uppdateringar inför utrullningen.

Påverkan på IT-administratörer och slutanvändare

För de flesta organisationer blir detta en ”tyst” säkerhetsförbättring. Miljöer som använder webbläsartillägg, skript eller tredjepartsverktyg som injicerar kod på inloggningssidan bör dock förvänta sig att den injicerade funktionaliteten slutar fungera.

Viktig nyans: Microsoft anger att även om injicerade verktyg slutar fungera kan användare fortfarande logga in—men eventuella överlägg, instrumentering, anpassningar eller hjälplogik som är beroende av injektion kan fallera.

Typiska saker att granska inkluderar:

• Lösenordshanterare eller ”säkerhets”-tillägg som modifierar inloggningssidor
• Helpdesk- eller SSO-felsökningsöverlägg
• Anpassad branding eller UX-modifieringar som implementeras via injektion
• Övervaknings- eller analystverktyg som kopplar in sig i inloggnings-UI via webbläsarskript

Rekommenderade åtgärder / nästa steg

1. Inventera och minska beroenden av injektion på inloggningssidan Microsoft rekommenderar uttryckligen att undvika tillägg eller verktyg som injicerar kod i Entra-inloggningsupplevelsen.

2. Testa inloggningsflöden med Developer Tools öppna Kör igenom era vanliga inloggningsscenarier (hanterade enheter, ohanterade enheter, olika webbläsare, variationer i conditional access) med webbläsarens dev console öppen och leta efter CSP violations (visas vanligtvis i rött).

3. Utvärdera olika användarpersonas och flöden Eftersom överträdelser kan uppträda endast för specifika team eller användarupplägg (på grund av tillägg eller lokala verktyg), testa med flera användargrupper och enhetskonfigurationer.

4. Ersätt påverkade verktyg med alternativ som inte injicerar Om ni hittar verksamhetskritiska verktyg som är beroende av skriptinjektion, påbörja utvärdering av alternativ redan nu—skriptinjektion på inloggningssidan kommer inte längre att stödjas när tillämpningen inleds.

Varför detta är viktigt

Autentiseringssidor är högvärdiga mål. Att tillämpa CSP vid inloggningsgränsen är ett viktigt steg för att minska attackytan för injicerade eller skadliga skript, förbättra motståndskraften mot moderna webbaserade identitetsattacker och samtidigt behålla användarens inloggningsupplevelse intakt för kompatibla konfigurationer.