RP : Relying Party, partie utilisatrice (WebAuthn)
Sécurité
RP : Relying Party, en français partie utilisatrice ou partie de confiance, le service qui s'appuie sur une authentification pour admettre un utilisateur. « Celui qui demande la preuve d'identité et décide de l'accepter », par analogie avec le videur d'une boîte de nuit, qui ne fabrique pas les cartes d'identité mais choisit de les croire.
Dans WebAuthn : Dans WebAuthn, l'interface d'authentification par clé publique utilisée par FIDO2 (FIDO : Fast IDentity Online), la RP est le site qui enregistre puis vérifie les clés d'accès et les clés de sécurité. Elle stocke la clé publique, envoie un défi aléatoire et vérifie la signature renvoyée par l'authentificateur.
RP ID : L'identifiant de la RP est un nom de domaine : celui de la page ou un suffixe enregistrable de celui-ci (pour login.example.com, soit login.example.com, soit example.com, mais jamais un suffixe public comme com). Le navigateur refuse d'utiliser une clé hors de ce domaine, ce qui rend l'hameçonnage inopérant : le faux site n'a tout simplement pas le bon nom.
Ailleurs : Le terme s'emploie aussi en OIDC pour l'application cliente qui accepte les jetons d'un fournisseur d'identité ; SAML parle plutôt de fournisseur de service. Sans rapport, RP abrège aussi parfois reverse proxy, le serveur intermédiaire placé devant une application.
Ce qui arrive si on s'en passe
Une RP qui choisit mal son RP ID s'enferme : trop étroit, les clés enregistrées sur un sous-domaine sont inutilisables ailleurs, et les utilisateurs perdent leur accès au premier changement d'architecture ; trop large, n'importe quel sous-domaine compromis ou mal maîtrisé peut solliciter les mêmes clés. Une RP qui ne vérifie pas l'origine, le défi ou le compteur de signature dans la réponse annule elle-même la résistance à l'hameçonnage qu'elle avait payée. L'utilisateur, lui, aura bien acheté sa clé de sécurité.
Explication de la marmotte
Quand on se connecte à un site avec une clé d'accès ou une clé de sécurité, le site est appelé la partie utilisatrice, ou RP. Il garde la partie publique de la clé et vérifie qu'on possède bien la partie secrète. La clé est liée au nom du site, son RP ID : sur un faux site au nom différent, elle refuse de fonctionner, ce qui protège contre les pièges de type hameçonnage.
Où ce terme est utilisé
- Déployer WebAuthn FIDO2 passwordless sur une application web (6 occurrences)
- Les passkeys, et ce qui se déplace (2 occurrences)