Was ist eine Relying Party in WebAuthn?

Was ist eine Relying Party?#

• Eine Relying Party ist im Kontext von WebAuthn oder Passkeys die Entität, die einen Benutzer authentifizieren möchte. In der Regel handelt es sich dabei um einen Webserver oder einen Dienst, der sich auf einen Authenticator verlässt, um die Identität des Benutzers zu überprüfen. Dieser Authentifizierungsprozess gewährleistet einen sicheren Benutzerzugang und bietet gleichzeitig eine nahtlose Benutzererfahrung.
• Der Begriff „Relying Party“ leitet sich von ihrer Abhängigkeit von externen Authenticators (wie Hardware-Sicherheitsschlüsseln, Laptops oder Smartphones) zur Authentifizierung eines Benutzers ab. Der Authentifizierungsprozess beinhaltet die Verwendung einer eindeutigen Kennung, bekannt als Relying Party ID (rpId), die bei der Unterscheidung zwischen verschiedenen Relying Parties hilft.

Wichtige Erkenntnisse#

---

Rolle und Bedeutung der Relying Party in WebAuthn / für Passkeys#

Die Relying Party ist ein integraler Bestandteil des WebAuthn / Passkey-Ökosystems. Hier ist ein genauerer Blick:

• Das Ziel der Relying Party: Ihre primäre Rolle besteht darin, den Authentifizierungsfluss zu initiieren, indem sie den Benutzer auffordert, seine Identität nachzuweisen. Dieser Challenge-Response-Mechanismus stellt sicher, dass unbefugte Entitäten keinen Zugriff erhalten.
• Zusammenspiel mit Authenticators: Die Relying Party arbeitet Hand in Hand mit Authenticators. Sobald der Benutzer seine Anmeldedaten vorlegt, überprüft der Authenticator diese und sendet eine signierte Antwort zurück. Die Relying Party validiert dann diese Antwort, um den Authentifizierungsprozess abzuschließen.
• Bedeutung der Relying Party ID (rpId): Die rpId ist entscheidend, da sie einen Geltungsbereich für die Anmeldedaten festlegt. Indem sichergestellt wird, dass die rpId mit der erwarteten Domain oder dem Ursprung übereinstimmt, erhöht die Relying Party die Sicherheit, indem sie potenzielle Angriffe, wie Man-in-the-Middle-Angriffe, verhindert.

Lesen Sie mehr über die rpId und andere Aspekte der Relying Party im entsprechenden Blogartikel.

Vorteile des Relying-Party-Ansatzes von WebAuthn:#

• Erhöhte Sicherheit: Durch die Abhängigkeit von externen Authenticators und die Bereichsbindung der rpId bietet das Relying-Party-Modell von WebAuthn eine zusätzliche Sicherheitsebene.
• Verbesserte Benutzererfahrung: Benutzer müssen sich keine Passwörter merken, was passwortbedingte Sicherheitsverletzungen reduziert und einen reibungsloseren Anmeldeprozess bietet.
• Vielseitigkeit: Das Modell unterstützt eine breite Palette von Authenticators und gibt den Benutzern die Flexibilität, ihre bevorzugte Methode zu wählen.

---

Häufig gestellte Fragen zur Relying Party#

Welche Bedeutung hat die Relying Party ID (rpId) in WebAuthn?#

Die rpId ist eine eindeutige Kennung für die Relying Party, die sicherstellt, dass Anmeldedaten auf die richtige Entität beschränkt sind. Sie ist für die Sicherheit von zentraler Bedeutung, da sie gewährleistet, dass der Authentifizierungsprozess an die erwartete Domain oder den Ursprung gebunden ist. Dadurch werden Phishing-Angriffe verhindert.

Wie unterscheidet sich eine Relying Party von einem Authenticator in WebAuthn?#

Die Relying Party initiiert die Authentifizierung, indem sie den Benutzer herausfordert, während der Authenticator das Gerät oder die Methode ist, die die Anmeldedaten des Benutzers überprüft und auf die Herausforderung antwortet.

Warum gilt das Relying-Party-Modell von WebAuthn als sicherer?#

Das Relying-Party-Modell von WebAuthn nutzt externe Authenticators und den rpId-Mechanismus, was es Angreifern erschwert, Benutzer zu imitieren oder den Authentifizierungsprozess abzufangen.

Über Corbado

Corbado ist die Passkey Intelligence Platform für CIAM-Teams, die Consumer-Authentifizierung im großen Maßstab betreiben. Wir zeigen Ihnen, was IDP-Logs und generische Analytics-Tools nicht sehen können: welche Geräte, OS-Versionen, Browser und Credential-Manager Passkeys unterstützen, warum Enrollments nicht zu Logins werden, wo der WebAuthn-Flow scheitert und wann ein OS- oder Browser-Update den Login still und leise unterbricht – und das alles, ohne Okta, Auth0, Ping, Cognito oder Ihren In-House-IDP zu ersetzen. Zwei Produkte: Corbado Observe ergänzt Observability für Passkeys und jede andere Login-Methode. Corbado Connect bringt Managed Passkeys mit integrierter Analytics (neben Ihrem IDP). VicRoads betreibt Passkeys für über 5 Mio. Nutzer mit Corbado (+80 % Passkey-Aktivierung). Mit einem Passkey-Experten sprechen →