O que é uma Relying Party no WebAuthn?

Esta página foi traduzida automaticamente. Leia a versão original em inglês aqui.

O que é uma Relying Party?#

Uma Relying Party (ou Parte Confiadora), no contexto do WebAuthn ou de passkeys, é a entidade que procura autenticar um utilizador. Normalmente, refere-se a um servidor web ou serviço que depende de um autenticador para verificar a identidade do utilizador. Este processo de autenticação garante um acesso seguro ao utilizador, ao mesmo tempo que proporciona uma experiência de utilizador fluida.
O termo "Relying Party" deriva da sua dependência de autenticadores externos (como chaves de segurança de hardware, portáteis ou smartphones) para autenticar um utilizador. O processo de autenticação envolve o uso de um identificador único conhecido como ID da relying party (rpId) que ajuda a diferenciar entre várias relying parties.

Pontos Principais#

Uma Relying Party é uma entidade que procura autenticar um utilizador usando WebAuthn / passkeys.
Refere-se frequentemente a servidores web ou serviços que dependem de autenticadores externos.
O ID da relying party (rpId) é um identificador único essencial no processo de autenticação.

Papel e Importância da Relying Party no WebAuthn / para passkeys#

A Relying Party é fundamental no ecossistema WebAuthn / passkey. Vejamos mais a fundo:

O Objetivo da Relying Party: O seu papel principal é iniciar o fluxo de autenticação, desafiando o utilizador a provar a sua identidade. Este mecanismo de desafio-resposta garante que entidades não autorizadas não obtenham acesso.
Interação com Autenticadores: A Relying Party trabalha em conjunto com os autenticadores. Assim que o utilizador apresenta as suas credenciais, o autenticador verifica-as e envia de volta uma resposta assinada. A Relying Party valida então esta resposta para concluir o processo de autenticação.
Importância do ID da Relying Party (rpId): O rpId é crucial, pois fornece um âmbito para as credenciais. Ao garantir que o rpId corresponde ao domínio ou origem esperados, a Relying Party aumenta a segurança, prevenindo potenciais ataques, como os ataques man-in-the-middle.

Leia mais sobre o rpId e outros aspetos da Relying Party no respetivo artigo do blogue.

Benefícios da Abordagem da Relying Party do WebAuthn:#

Segurança Aumentada: Com a dependência de autenticadores externos e a vinculação de âmbito do rpId, o modelo de Relying Party do WebAuthn proporciona uma camada adicional de segurança.
Experiência do Utilizador Melhorada: Os utilizadores não precisam de memorizar palavras-passe, o que reduz as violações relacionadas com palavras-passe e oferece um processo de início de sessão mais fluido.
Versatilidade: O modelo suporta uma vasta gama de autenticadores, dando aos utilizadores a flexibilidade de escolherem o seu método preferido.

Assine nosso Substack de passkeys para receber as últimas novidades.

Assinar

Perguntas Frequentes sobre Relying Party#

Qual é a importância do ID da relying party (rpId) no WebAuthn?#

O rpId é um identificador único para a Relying Party, garantindo que as credenciais estão no âmbito da entidade correta. É fundamental para a segurança, assegurando que o processo de autenticação está vinculado ao domínio ou origem esperados. Assim, previnem-se ataques de phishing.

Em que é que uma Relying Party difere de um Autenticador no WebAuthn?#

A Relying Party inicia a autenticação desafiando o utilizador, enquanto o Autenticador é o dispositivo ou método que verifica as credenciais do utilizador e responde ao desafio.

Igor Gjorgjioski

Senior Product Lead, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

Veja como a VicRoads escalou as passkeys para mais de 5M de usuários, junto ao IDP existente.

Ler o estudo de caso

Porque é que o modelo de Relying Party do WebAuthn é considerado mais seguro?#

O modelo de Relying Party do WebAuthn utiliza autenticadores externos e o mecanismo de rpId, tornando mais difícil para os atacantes se fazerem passar por utilizadores ou intercetarem o processo de autenticação.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login, tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (mais de 80% de taxa de ativação de passkey). Fale com um especialista em Passkeys →