Microsoft напомни на клиентите си, че системата за автентификация Entra ID ще получи по-добра защита срещу атаки с инжектиране на външни скриптове, започвайки от следващия месец.
Компанията за първи път разкри плановете си да защити влизанията в Entra ID от атаки с инжектиране на скриптове в съобщение от ноември 2025 г.
Според актуализация в центъра за съобщения от понеделник, видяна от BleepingComputer, Microsoft ще започне да прилага допълнителни защити Content Security Policy (CSP), които ще позволяват само скриптове от доверени домейни на мрежата за доставяне на съдържание (CDN) на Microsoft по време на влизане в Entra ID.
Въвеждането трябва да приключи до края на октомври 2026 г., след което всички потребители ще бъдат защитени от различни рискове за сигурността при влизане, включително атаки от тип междинен скриптинг (cross-site scripting / XSS), при които зловреден код се инжектира в уебсайтове за кражба на идентификационни данни.
„Microsoft Entra ID ще подобри сигурността при вход, като наложи Политика за сигурност на съдържанието (Content Security Policy), блокираща инжектирането на външни скриптове, започвайки от средата на октомври 2026 г.“, заяви компанията. „Тази промяна помага за защитата на потребителите от заплахи като междинен скриптинг (XSS), като позволява само на доверени скриптове, хоствани от Microsoft, да се изпълняват по време на автентификация, и блокира неоторизиран или външно инжектиран код.“
Microsoft посъветва корпоративните клиенти да спрат да използват разширения за браузър и инструменти, които инжектират код или скриптове в страниците за вход, преди новите CSP промени да влязат в сила.
Компанията също така ги призова да тестват сценариите за вход преди крайния срок следващия месец, за да идентифицират и отстранят всички проблеми със зависимости от инструменти за инжектиране на код. ИТ администраторите могат да идентифицират потенциалното въздействие, като прегледат потоците за автентификация в конзолата за разработка на браузъра и търсят нарушения, които се появяват в червен текст с подробности за блокираните скриптове.
„Потребителите ще продължат да могат да влизат дори ако неподдържаните инструменти за инжектиране на скриптове вече не функционират. Тази промяна е активирана по подразбиране като част от актуализацията на услугата и не изисква конфигурация на ниво тенънт“, добавиха от компанията.
„Библиотеката за автентификация на Microsoft (MSAL) и API-базираните потоци за автентификация не са засегнати, тъй като прилагането на CSP се отнася само за браузърни взаимодействия за вход през login.microsoftonline.com.“
Тази промяна е част от инициативата Secure Future Initiative (SFI) на Microsoft, обявена след като китайски киберпрестъпници компрометираха пощенските кутии в Exchange Online на десетки организации и стотици лица по целия свят през май и юни 2023 г.
Като част от същата инициатива Microsoft също така деактивира всички контроли ActiveX във версиите на Microsoft 365 за Windows и приложенията Office 2024, и актуализира настройките по подразбиране за сигурност в Microsoft 365, за да блокира достъпа до файлове в Office, SharePoint и OneDrive чрез остарели протоколи за автентификация.