WebAuthnにおけるリライングパーティとは？

リライングパーティとは？#

WebAuthnやパスキーの文脈において、リライングパーティとはユーザーを認証しようとするエンティティです。通常、ユーザーの身元を検証するために認証器に依存するウェブサーバーやサービスを指します。この認証プロセスは、安全なユーザーアクセスを保証すると同時に、シームレスなユーザーエクスペリエンスを提供します。
「リライングパーティ」という用語は、ユーザーを認証するために外部の認証器（ハードウェアセキュリティキー、ラップトップ、スマートフォンなど）に依存することに由来します。認証プロセスには、リライングパーティID（rpID）として知られる一意の識別子が使用され、これにより様々なリライングパーティを区別することができます。

重要なポイント#

リライングパーティは、WebAuthn/パスキーを使用してユーザーを認証しようとするエンティティです。
多くの場合、外部の認証器に依存するウェブサーバーやサービスを指します。
リライングパーティID（rpID）は、認証プロセスに不可欠な一意の識別子です。

WebAuthn/パスキーにおけるリライングパーティの役割と重要性#

リライングパーティは、WebAuthn/パスキーのエコシステムにおいて不可欠な存在です。以下に詳しく見ていきましょう。

リライングパーティの目的： その主な役割は、ユーザーに身元の証明を要求する（チャレンジする）ことで認証フローを開始することです。このチャレンジレスポンスメカニズムにより、不正なエンティティがアクセスできないようにします。
認証器との相互作用： リライングパーティは認証器と密接に連携して動作します。ユーザーがクレデンシャルを提示すると、認証器はそれを検証し、署名付きのレスポンスを返します。その後、リライングパーティがこのレスポンスを検証して認証プロセスを完了します。
リライングパーティID（rpID）の重要性： rpIDはクレデンシャルのスコープを提供するため、非常に重要です。rpIDが期待されるドメインまたはオリジンと一致することを確認することで、リライングパーティは中間者攻撃などの潜在的な攻撃を防ぎ、セキュリティを強化します。

rpIDやリライングパーティのその他の側面については、関連するブログ記事で詳しく読むことができます。

WebAuthnのリライングパーティ・アプローチの利点：#

セキュリティの向上： 外部の認証器への依存とrpIDのスコープバインディングにより、WebAuthnのリライングパーティモデルはセキュリティ層をさらに強化します。
ユーザーエクスペリエンスの向上： ユーザーはパスワードを覚える必要がなくなり、パスワード関連の侵害を減らし、よりスムーズなログインプロセスを提供します。
多様性： このモデルは広範な認証器をサポートしており、ユーザーは好みの方法を柔軟に選択できます。

最新ニュースを受け取るためにPasskeys Substackを購読しましょう。

購読する

リライングパーティに関するよくある質問#

WebAuthnにおけるリライングパーティID（rpID）の重要性は何ですか？#

rpIDはリライングパーティの一意の識別子であり、クレデンシャルが正しいエンティティにスコープされることを保証します。認証プロセスが期待されるドメインまたはオリジンに結び付けられることを保証するため、セキュリティにとって極めて重要です。これにより、フィッシング攻撃が防止されます。

WebAuthnにおいて、リライングパーティと認証器はどのように異なりますか？#

リライングパーティはユーザーにチャレンジを送信して認証を開始するのに対し、認証器はユーザーのクレデンシャルを検証し、そのチャレンジに応答するデバイスまたは方法です。

Igor Gjorgjioski

Head of Digital Channels & Platform Enablement, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

See how VicRoads scaled passkeys to 5M+ users — alongside their existing IDP.

Read the case study

WebAuthnのリライングパーティモデルはなぜより安全だと考えられているのですか？#

WebAuthnのリライングパーティモデルは、外部の認証器とrpIDメカニズムを活用しているため、攻撃者がユーザーになりすましたり、認証プロセスを傍受したりすることがより困難になります。

Corbadoについて

Corbadoは、大規模なconsumer認証を運用するCIAMチームのためのPasskey Intelligence Platformです。IDPのログや一般的なanalyticsツールでは見えないものを可視化します。どのデバイス、OSバージョン、ブラウザ、credential managerがpasskeyに対応しているか、なぜ登録がログインにつながらないのか、WebAuthnフローのどこで失敗するか、OSやブラウザのアップデートがいつ静かにログインを壊すか — Okta、Auth0、Ping、Cognito、あるいは自社IDPを置き換えることなく、すべてを把握できます。2つのプロダクト：Corbado Observeは passkeyとその他あらゆるログイン方式のobservabilityを提供します。Corbado Connectは analytics内蔵のmanaged passkeyを追加します（既存のIDPと併用）。VicRoadsはCorbadoで500万人超のユーザーにpasskeyを提供しています（passkey有効化率+80%）。 Passkeyエキスパートに相談する →