Cos'è una Relying Party in WebAuthn?

Cos'è una Relying Party?#

Una Relying Party, nel contesto di WebAuthn o delle passkey, è l'entità che cerca di autenticare un utente. Di solito si riferisce a un server web o a un servizio che si affida a un autenticatore per verificare l'identità dell'utente. Questo processo di autenticazione garantisce un accesso sicuro all'utente, offrendo al contempo un'esperienza utente fluida.
Il termine "Relying Party" (parte facente affidamento) deriva dalla sua dipendenza da autenticatori esterni (come chiavi di sicurezza hardware, laptop o smartphone) per autenticare un utente. Il processo di autenticazione prevede l'uso di un identificatore univoco noto come relying party ID (rpId), che aiuta a distinguere tra le varie relying party.

Punti chiave#

Una Relying Party è un'entità che cerca di autenticare un utente utilizzando WebAuthn / le passkey.
Spesso si riferisce a server web o servizi che si affidano ad autenticatori esterni.
Il relying party ID (rpid) è un identificatore univoco essenziale nel processo di autenticazione.

Ruolo e importanza della Relying Party in WebAuthn / per le passkey#

La Relying Party è parte integrante dell'ecosistema WebAuthn / passkey. Ecco un'analisi più approfondita:

L'obiettivo della Relying Party: Il suo ruolo primario è avviare il flusso di autenticazione sfidando l'utente a dimostrare la propria identità. Questo meccanismo di challenge-response garantisce che entità non autorizzate non ottengano l'accesso.
Interazione con gli autenticatori: La Relying Party lavora in stretta collaborazione con gli autenticatori. Una volta che l'utente presenta le proprie credenziali, l'autenticatore le verifica e invia una risposta firmata. La Relying Party convalida quindi questa risposta per completare il processo di autenticazione.
Importanza del Relying Party ID (rpId): L'rpId è fondamentale in quanto fornisce un ambito di validità (scope) per le credenziali. Assicurando che l'rpId corrisponda al dominio o all'origine previsti, la Relying Party aumenta la sicurezza prevenendo potenziali attacchi, come gli attacchi man-in-the-middle.

Leggi di più sull'rpId e altri aspetti della Relying Party nel relativo articolo del blog.

Vantaggi dell'approccio Relying Party di WebAuthn:#

Maggiore sicurezza: Grazie all'affidamento su autenticatori esterni e al meccanismo di scope-binding dell'rpId, il modello della Relying Party di WebAuthn fornisce un ulteriore livello di sicurezza.
Migliore esperienza utente: Gli utenti non devono ricordare le password, riducendo le violazioni legate alle password e offrendo un processo di accesso più fluido.
Versatilità: Il modello supporta un'ampia gamma di autenticatori, offrendo agli utenti la flessibilità di scegliere il loro metodo preferito.

Subscribe to our Passkeys Substack for the latest news.

Domande frequenti sulla Relying Party#

Qual è il significato del relying party ID (rpid) in WebAuthn?#

L'rpId è un identificatore univoco per la Relying Party, che garantisce che le credenziali siano associate all'entità corretta. È fondamentale per la sicurezza, assicurando che il processo di autenticazione sia legato al dominio o all'origine previsti. In questo modo, si prevengono gli attacchi di phishing.

In che modo una Relying Party si differenzia da un Authenticator in WebAuthn?#

La Relying Party avvia l'autenticazione sfidando l'utente, mentre l'Authenticator è il dispositivo o il metodo che verifica le credenziali dell'utente e risponde alla sfida.

Igor Gjorgjioski

Head of Digital Channels & Platform Enablement, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

See how VicRoads scaled passkeys to 5M+ users — alongside their existing IDP.

Read the case study

Perché il modello della Relying Party di WebAuthn è considerato più sicuro?#

Il modello della Relying Party di WebAuthn sfrutta autenticatori esterni e il meccanismo dell'rpId, rendendo più difficile per gli aggressori impersonare gli utenti o intercettare il processo di autenticazione.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login — tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (+80 % di attivazione passkey). Parla con un esperto di Passkey →