Microsoft Entra ID CSP Güncellemesi XSS Riskini Azaltacak

Giriş

Microsoft, Secure Future Initiative (SFI) kapsamında Microsoft Entra ID oturum açma deneyimini güçlendiriyor. Yaklaşan Content Security Policy (CSP) zorunlu uygulaması, saldırganların sık hedeflediği bir alan olan kimlik doğrulama sırasında harici script injection’ını önlemek için, oturum açma sayfasında hangi script’lerin yüklenip çalıştırılabileceğini sınırlandıracak.

Neler değişiyor

Microsoft, login.microsoftonline.com üzerindeki Entra ID oturum açma deneyimi için daha sıkı bir CSP header’ı ekleyip uygulayacak. Temel değişiklikler şunlar:

• Script indirmeleri güvenilir Microsoft CDN domain’leri ile sınırlandırılacak Yalnızca Microsoft tarafından onaylanan content delivery network’lerden kaynaklanan script’lerin yüklenmesine izin verilecek.

• Inline script çalıştırma güvenilir Microsoft kaynaklarıyla sınırlandırılacak (nonce tabanlı) Inline script’ler CSP nonce desenleriyle yönetilecek; bu sayede rastgele inline kodun çalışması engellenecek.

• Kapsam login.microsoftonline.com üzerindeki tarayıcı tabanlı oturum açmalarla sınırlı Bu, tarayıcıdaki etkileşimli oturum açma sayfalarına özeldir.

• Microsoft Entra External ID için etkisi yok Microsoft, Entra External ID deneyimlerinin bu güncellemeden etkilenmediğini belirtiyor.

Zaman çizelgesi

• Küresel zorunlu uygulama: Microsoft Entra ID, güncellenen CSP’yi Ekim 2026 ortası ile sonu arasında zorunlu kılacak.
• İletişim: Microsoft, yaygınlaştırma öncesinde periyodik güncellemeler gönderecek.

IT yöneticileri ve son kullanıcılar üzerindeki etkisi

Çoğu kuruluş için bu, “sessiz” bir güvenlik iyileştirmesi olacak. Ancak oturum açma sayfasına kod enjekte eden tarayıcı uzantıları, script’ler veya üçüncü taraf araçlar kullanan ortamlarda, enjekte edilen bu işlevlerin bozulması beklenmeli.

Önemli bir ayrıntı: Microsoft, enjekte eden araçlar çalışmayı durdursa bile kullanıcıların yine de oturum açabileceğini belirtiyor; ancak injection’a bağlı her türlü overlay, enstrümantasyon, özelleştirme veya yardımcı mantık başarısız olabilir.

Gözden geçirilmesi gereken tipik öğeler:

• Oturum açma sayfalarını değiştiren parola yöneticileri veya “güvenlik” uzantıları
• Helpdesk veya SSO sorun giderme overlay’leri
• Injection ile uygulanan özel branding veya UX değişiklikleri
• Tarayıcı scripting ile oturum açma UI’sine bağlanan izleme veya analytics araçları

Önerilen aksiyonlar / sonraki adımlar

1. Oturum açma sayfası injection bağımlılıklarını envanterleyin ve azaltın Microsoft, Entra oturum açma deneyimine kod enjekte eden uzantı veya araçlardan kaçınılmasını açıkça öneriyor.

2. Developer Tools açıkken oturum açma akışlarını test edin Yaygın oturum açma senaryolarınızı (yönetilen cihazlar, yönetilmeyen cihazlar, farklı tarayıcılar, conditional access varyasyonları) tarayıcı dev console açıkken çalıştırın ve CSP ihlallerini (genellikle kırmızı görünür) kontrol edin.

3. Farklı kullanıcı profillerini ve akışları değerlendirin İhlaller yalnızca belirli ekipler veya kullanıcı kurulumları için (uzantılar veya yerel araçlar nedeniyle) ortaya çıkabileceğinden, birden fazla kullanıcı grubu ve cihaz yapılandırmasıyla test edin.

4. Etkilenen araçları injection kullanmayan alternatiflerle değiştirin Script injection’a dayanan iş açısından kritik araçlar tespit ederseniz, şimdiden alternatifleri değerlendirmeye başlayın—zorunlu uygulama başladığında oturum açma sayfasına script injection artık desteklenmeyecek.

Neden önemli

Kimlik doğrulama sayfaları yüksek değerli hedeflerdir. Oturum açma sınırında CSP’yi zorunlu kılmak, enjekte edilmiş veya kötü amaçlı script’ler için saldırı yüzeyini azaltmaya yönelik anlamlı bir adımdır; uyumlu yapılandırmalarda kullanıcı oturum açma deneyimini korurken modern web tabanlı identity saldırılarına karşı dayanıklılığı artırır.