Anleitung "Token Protection" in Web-Apps als Preview

Mir sind die Tage zwei Informationen untergekommen, die ich mal hier im Blog einstelle. Microsoft hat eine Anleitung zur Bereitstellung von "Token Protection" für Web-Apps als Preview (Vorschau) veröffentlicht. Wer das aber umsetzt, könnte Gefahr laufen, dass die Web-Apps keinen Zugriff mehr auf Portale bekommen, warnt jemand.

Was ist "Token Protection"?

Token Protection ist eine Sicherheitsfunktion in Microsoft Entra ID. Diese bindet Authentifizierungs- und Sitzungstoken kryptografisch an ein bestimmtes, vertrauenswürdiges Gerät. Dadurch wird ein gestohlenes Token auf fremden Geräten unbrauchbar, selbst wenn Angreifer die Multifaktor-Authentifizierung (MFA) zuvor aushebeln konnten.

Microsoft beschreibt Token Protection als eine Sitzungssteuerung im Rahmen des bedingten Zugriffs, die darauf abzielt, Token-Replay-Angriffe zu reduzieren. Durch die Funktion wird sichergestellt, dass Microsoft Entra ID nur gerätegebundene Anmeldesitzungstoken, wie z. B. Primary Refresh Tokens (PRTs), akzeptiert, wenn Anwendungen Zugriff auf geschützte Ressourcen anfordern.

Registriert ein Benutzer ein unterstütztes Gerät bei Microsoft Entra, wird ein PRT ausgestellt und kryptografisch an dieses Gerät gebunden. Diese Bindung stellt sicher, dass das Token selbst dann nicht von einem anderen Gerät aus verwendet werden kann, wenn es von einem Angreifer gestohlen wird. Bei aktivierter Token-Sicherung überprüft Microsoft Entra, ob von unterstützten Anwendungen ausschließlich diese an Geräte gebundenen Anmeldesitzungstoken verwendet werden.

Preview: Anleitung "Token Protection" in Web-Apps

Über nachfolgenden Tweet bin ich darauf gestoßen, dass Microsoft das Dokument Token Protection deployment guide – Web apps (Preview) veröffentlicht hat.

Laut Tweet erfordert der Token-Schutz für Web-Apps mithilfe von Azure Resource Manager (ARM) eine Erweiterung für Edge und Chrome und befindet sich nun in der öffentlichen Vorschau (Preview). Für die Nutzung dieser Funktion sind Microsoft Entra ID P1-Lizenzen erforderlich. Microsoft empfiehlt, die Sicherheitsfunktion als Teil einer umfassenden mehrstufigen Verteidigungsstrategie gegen Token-Diebstahl einzusetzen (siehe Protecting tokens in Microsoft Entra).

Es könnte Probleme geben

Bereits kurz bevor ich auf obigen Tweet gestoßen bin, sind mir mehrere Tweets mit Warnungen vor dem unbedachten Token Protection-Einsatz untergekommen. Nachfolgender Tweet fasst das Ganze zusammen.

Nathan McNulty weist darauf hin, dass derzeit nur wenige Web-Apps und Browser unterstützt werden. Er spricht eine Warnung aus: Die derzeitige Durchsetzung des Token-Schutzes für Web-Apps werde den Zugriff auf viele Portal-Apps effektiv blockieren. Seine Empfehlung lautet: "Lassen Sie den Token-Schutz vorerst beiseite und führen Sie stattdessen 'Global Secure Access' mit 'Universal CAE' ein." Ist Token-Protection für Web-Apps derzeit für euch ein Thema?