Table des matières
Microsoft intensifie la sécurité de sa solution Entra ID pour contrer les menaces liées aux injections de scripts externes. Dès octobre, une nouvelle mise à jour promet de renforcer la sécurité des connexions utilisateur, apportant ainsi une solution précieuse face aux risques croissants de cyberattaques.
L’essentiel à retenir
Imaginez un monde où la sécurité en ligne est constamment menacée par des acteurs malveillants cherchant à exploiter la moindre faille. Vous, utilisateur d’Entra ID, bénéficiez désormais d’une protection accrue grâce à l’initiative de Microsoft de sécuriser les expériences de connexion. Cette amélioration vise à vous offrir une sérénité numérique, tout en garantissant que vos données restent entre de bonnes mains.
Microsoft a annoncé une mise à jour de sa solution d’identité et de gestion des accès, Entra ID, visant à contrer les attaques par injection de scripts externes. En prévoyant de déployer cette mise à jour dès octobre, l’entreprise répond à une menace croissante de cybersécurité, notamment les attaques de type cross-site scripting (XSS), où des scripts malveillants sont insérés dans des sites pour voler des informations d’identification.
Pour protéger les utilisateurs, Microsoft met en place une Content Security Policy (CSP) qui n’autorisera que les scripts des Content Delivery Networks (CDN) approuvés par l’entreprise. Cette mesure vise à empêcher l’exécution de codes non autorisés lors des connexions à Entra ID. Les utilisateurs pourront ainsi se connecter sans risque, même si certains outils d’injection de scripts deviennent obsolètes.
Microsoft conseille aux entreprises d’arrêter l’utilisation des extensions de navigateur et des outils injectant des scripts dans les pages de connexion. Les organisations sont invitées à tester leurs scénarios de connexion avant la mise en œuvre complète des nouvelles règles CSP. Cela permettra d’identifier et de résoudre d’éventuelles violations, signalées en rouge dans les interfaces administratives.
La Microsoft Authentication Library (MSAL) et les flux d’authentification API ne seront pas affectés par ces changements, car la CSP s’applique uniquement aux expériences de connexion via navigateur. Cela garantit que les utilisateurs continuent d’accéder à leurs comptes sans interruption majeure.
Dans un contexte où la sécurité des connexions est primordiale, Microsoft prévoit également d’adopter les passkeys comme méthode d’authentification par défaut dans Entra ID. Cette approche, qui remplace les mots de passe traditionnels, vise à améliorer la sécurité et à simplifier l’expérience utilisateur. Avec les avancées technologiques, les passkeys promettent un avenir sans mots de passe, réduisant ainsi les risques associés aux piratages.
Alors que les entreprises investissent de plus en plus dans la gestion des identités numériques, les menaces évoluent. Des acteurs comme Microsoft, avec leur solution Entra ID, jouent un rôle crucial dans la sécurisation des connexions. D’autres entreprises, telles qu’Okta et Ping Identity, suivent cette tendance en proposant des solutions IAM robustes et innovantes.
Qu’est-ce que la mise à jour CSP de Microsoft ?
La Content Security Policy (CSP) est une nouvelle mesure de sécurité mise en place par Microsoft pour Entra ID, visant à autoriser uniquement les scripts de domaines CDN approuvés et à bloquer tout code non autorisé lors des connexions.
Comment cette mise à jour affectera-t-elle les utilisateurs ?
Les utilisateurs pourront continuer à se connecter normalement, même si certains outils d’injection de scripts ne fonctionneront plus. Cette mise à jour ne nécessite aucune configuration supplémentaire de leur part.
La Microsoft Authentication Library est-elle concernée par ce changement ?
Non, la Microsoft Authentication Library (MSAL) et les flux d’authentification basés sur API ne sont pas impactés par la mise à jour CSP, qui s’applique uniquement aux connexions via navigateur.
Pourquoi les entreprises doivent-elles cesser d’utiliser certains outils ?
Microsoft recommande aux entreprises d’arrêter l’utilisation des extensions de navigateur et outils injectant des scripts pour éviter les violations de sécurité et garantir une transition fluide vers la nouvelle politique CSP.