WebAuthn 中的信赖方是什么？

什么是信赖方？#

在 WebAuthn 或 passkeys 的背景下，信赖方是寻求对用户进行身份验证的实体。它通常指依赖于验证器来核实用户身份的 Web 服务器或服务。此身份验证过程可确保用户安全访问，同时提供无缝的用户体验。
“信赖方”这一术语源于其依赖外部验证器（如硬件安全密钥、笔记本电脑或智能手机）来验证用户。身份验证过程涉及使用一个称为信赖方 ID (rpId) 的唯一标识符，该标识符有助于区分不同的信赖方。

关键要点#

信赖方是使用 WebAuthn / passkeys 寻求对用户进行身份验证的实体。
它通常指依赖外部验证器的 Web 服务器或服务。
信赖方 ID (rpid) 是身份验证过程中至关重要的唯一标识符。

信赖方在 WebAuthn / passkeys 中的作用和重要性#

信赖方在 WebAuthn / passkey 生态系统中不可或缺。下面我们来深入了解一下：

信赖方的目标： 其主要作用是通过向用户发起挑战来证明其身份，从而启动身份验证流程。这种挑战-响应机制可确保未经授权的实体无法获得访问权限。
与验证器的相互作用： 信赖方与验证器紧密合作。一旦用户出示其凭据，验证器会进行验证并返回一个签名的响应。然后，信赖方会验证此响应以完成身份验证过程。
信赖方 ID (rpId) 的重要性： rpId 至关重要，因为它为凭据提供了一个作用域。通过确保 rpId 与预期的域或源匹配，信赖方可以防止潜在的攻击（如中间人攻击），从而增强安全性。

在相关的博客文章中阅读有关 rpId 和信赖方其他方面的更多信息。

WebAuthn 信赖方方法的优势：#

增强安全性： 借助对外部验证器的依赖和 rpId 的作用域绑定，WebAuthn 的信赖方模型提供了一个额外的安全层。
改善用户体验： 用户无需记住密码，减少了与密码相关的泄露事件，并提供了更流畅的登录过程。
多功能性： 该模型支持多种验证器，让用户可以灵活选择自己偏好的方法。

订阅我们的 Passkeys Substack，获取最新消息。

信赖方常见问题解答#

在 WebAuthn 中，信赖方 ID (rpid) 有何重要意义？#

rpId 是信赖方的唯一标识符，可确保凭据的作用域限定在正确的实体上。它对安全至关重要，能确保身份验证过程与预期的域或源绑定。因此，可以防止网络钓鱼攻击。

在 WebAuthn 中，信赖方与验证器有何不同？#

信赖方通过向用户发起挑战来启动身份验证，而验证器则是验证用户凭据并响应挑战的设备或方法。

Igor Gjorgjioski

Head of Digital Channels & Platform Enablement, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

See how VicRoads scaled passkeys to 5M+ users — alongside their existing IDP.

Read the case study

为什么 WebAuthn 的信赖方模型被认为更安全？#

WebAuthn 的信赖方模型利用了外部验证器和 rpId 机制，使攻击者更难冒充用户或拦截身份验证过程。

关于 Corbado

Corbado 是面向大规模运行 consumer 身份验证的 CIAM 团队的Passkey Intelligence Platform。我们让你看到 IDP 日志和通用 analytics 工具看不到的内容：哪些设备、操作系统版本、浏览器和 credential manager 支持 passkey，为什么注册没有转化为登录，WebAuthn 流程在哪里失败，以及什么时候操作系统或浏览器更新会悄悄破坏登录 — 而且无需替换 Okta、Auth0、Ping、Cognito 或你自有的 IDP。两款产品：Corbado Observe 提供 针对 passkey 及任何其他登录方式的 observability。Corbado Connect 提供 内置 analytics 的 managed passkey（与你的 IDP 并存）。VicRoads 通过 Corbado 为 500 万以上用户运行 passkey（passkey 激活率 +80%）。与 Passkey 专家交谈 →