Microsoft irrigidisce la pagina di accesso: Entra ID ottiene un livello di blocco degli script
Una misura di hardening lato browser è destinata a rendere gli accessi a Entra ID meno ospitali per gli script iniettati, ma potrebbe anche mettere in difficoltà gli strumenti che dipendono dalla manomissione della pagina.
Gli attacchi all'identità spesso iniziano nel punto in cui gli utenti si sentono più al sicuro: la pagina di accesso. Microsoft si sta preparando a un cambiamento per Entra ID che rafforzerà la protezione contro l'iniezione di script esterni durante l'autenticazione basata su browser, con il rilascio che inizierà a ottobre. La modifica è importante perché la pagina di accesso stessa sta diventando un confine di sicurezza, non solo una fase dell'interfaccia per arrivare all'accesso.
Fatti rapidi
- La modifica di protezione è programmata per iniziare a ottobre e si applica all'accesso a Entra ID basato su browser.
- Microsoft sta utilizzando Content Security Policy, o CSP, per limitare quali script possono caricarsi ed eseguirsi.
- L'ambito riguarda l'accesso da browser su login.microsoftonline.com, non tutti i flussi di identità Microsoft.
- Le estensioni del browser o altri strumenti che iniettano codice nell'esperienza di accesso potrebbero richiedere adeguamenti.
- L'obiettivo difensivo è ridurre il rischio di abuso dell'iniezione di script durante l'autenticazione.
Perché questo è tecnicamente importante
Entra ID è la piattaforma di identità cloud di Microsoft e l'autenticazione basata su browser è una delle sue superfici più sensibili. Il cambiamento pianificato da Microsoft si affida a Content Security Policy, uno standard di controllo del browser che limita quali script e risorse possono essere eseguiti su una pagina. In parole semplici, CSP rende più difficile per codice non attendibile eseguirsi dove una password, una sessione o un token potrebbero essere esposti.
Si tratta di un cambiamento importante perché l'iniezione di script non è solo un problema delle web app. Su una pagina di accesso, JavaScript iniettato può interferire con i campi del modulo, reindirizzare gli utenti, sottrarre credenziali o alterare ciò che il browser mostra nel momento critico dell'autenticazione. Una CSP rigorosa non risolve ogni possibile debolezza, ma può restringere nettamente lo spazio di manovra di un attaccante.
Questa è anche una questione di compatibilità. Se un'estensione del browser, un assistente per l'accessibilità, un framework di test o un altro strumento inietta codice nella pagina di accesso Entra, potrebbe smettere di funzionare una volta iniziata l'applicazione della policy. Il rischio non è teorico: qualsiasi prodotto che dipenda dalla modifica del comportamento della pagina in fase di esecuzione potrebbe incontrare controlli di policy o perdere funzionalità.
Allo stesso tempo, la modifica sembra circoscritta. Microsoft l'ha limitata all'accesso da browser su login.microsoftonline.com, il che significa che le organizzazioni dovrebbero verificare i propri flussi invece di supporre che tutti i percorsi di autenticazione si comportino allo stesso modo. I flussi basati su MSAL o su API sono una questione diversa rispetto a un accesso interattivo via browser.
Al momento della stesura, le informazioni pubbliche non stabiliscono in modo completo se si tratti di una risposta a un'ondata di attacchi attiva, di una misura preventiva di hardening o di entrambe. Le evidenze disponibili supportano un'analisi del rischio, non un'affermazione di compromissione diffusa.
Conclusione
La lezione più ampia è che la sicurezza dell'identità si sta spostando più in profondità nel browser. Quando la pagina di accesso inizia a imporre quale codice possa essere eseguito, i difensori devono valutare più che password e MFA. Devono anche ispezionare le estensioni, l'automazione e gli strumenti di supporto che si collocano tra gli utenti e il riquadro di accesso. Nell'identità cloud moderna, gli script di cui non ti fidi possono contare quanto le credenziali che usi.
TECHCROOK
Chiave di sicurezza hardware: Un piccolo dispositivo USB o NFC per l'autenticazione multifattore resistente al phishing. È un compagno pratico per gli ambienti di identità cloud perché aggiunge un fattore di possesso senza basarsi solo su password o prompt dell'app. Scegli un modello che corrisponda ai dispositivi dei tuoi utenti e al supporto della piattaforma di identità.
WIKICROOK
- Content Security Policy (CSP): Un'intestazione di sicurezza del browser che limita quali script e risorse possono caricarsi o eseguirsi su una pagina.
- Iniezione di script: L'inserimento di codice non autorizzato in una pagina web attendibile, spesso per rubare dati o alterare il comportamento.
- Entra ID: La piattaforma cloud di identità e accesso di Microsoft per autenticazione e flussi di accesso.
- Accesso basato su browser: Un flusso di accesso interattivo che si svolge all'interno di un browser web anziché tramite un percorso esclusivamente API.
- Difesa in profondità: Un approccio di sicurezza che stratifica più controlli in modo che un singolo guasto non esponga completamente un sistema.
