生体認証システム
【課題】ユーザのプライバシ侵害の発生を防止するためには、情報漏洩を防止する必要があるデータの数に依存してコストがかかるが、コストを抑えつつユーザのプライバシが侵害されることを回避し容易に生体認証システムへ組み込むことを可能にする。
【解決手段】クライアント端末４０は、ユーザの生体情報を取得し、アプリケーションサーバ２１は、生体認証サーバ１０にユーザの認証を要求し、生体認証サーバ１０によって認証されたユーザの外部ＩＤを取得し、外部ＩＤに対応するユーザ情報を取得し、ユーザ情報に基づいてアプリケーションを提供し、生体認証サーバ１０は、生体認証装置内で管理される内部ＩＤと、アプリケーションサーバ２１内で管理される外部ＩＤとを、保管された鍵を用いて対応づけ、鍵を保管する耐タンパと、予め登録された生体情報と取得された生体情報とを照合し、ユーザの認証を行い、認証の結果を応答する生体認証システム。
【解決手段】クライアント端末４０は、ユーザの生体情報を取得し、アプリケーションサーバ２１は、生体認証サーバ１０にユーザの認証を要求し、生体認証サーバ１０によって認証されたユーザの外部ＩＤを取得し、外部ＩＤに対応するユーザ情報を取得し、ユーザ情報に基づいてアプリケーションを提供し、生体認証サーバ１０は、生体認証装置内で管理される内部ＩＤと、アプリケーションサーバ２１内で管理される外部ＩＤとを、保管された鍵を用いて対応づけ、鍵を保管する耐タンパと、予め登録された生体情報と取得された生体情報とを照合し、ユーザの認証を行い、認証の結果を応答する生体認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、生体認証システムにおける生体情報の管理方法に関する。
【背景技術】
【０００２】
生体認証システムは、ユーザがアプリケーションを利用するための認証をうけるシステムであり、一般的に３つの装置を含む。３つの装置とは、ユーザからの生体情報入力を受け付けるクライアント端末と、入力された生体情報と予め登録された生体情報を照合し、ユーザの認証をおこなう生体認証装置と、認証が成功し、かつ予め登録されたユーザのユーザ情報に基づいて利用が許可されたユーザにアプリケーションを提供するアプリケーションシステムとである。
【０００３】
従来、生体認証システムでは、複数あるアプリケーションシステムの生体認証を、生体認証装置で一括して請け負っている。生体認証装置とアプリケーションシステムが連携する場合、生体認証装置によって管理されるＩＤと複数のアプリケーションサーバによって管理されるＩＤとを対応付けるデータベースを管理する必要がある。
【０００４】
特許文献１に記載の生体認証システムは、クライアント端末と生体認証装置とアプリケーションシステムとの他にＩＤ変換装置を備える。クライアント端末はユーザの生体情報取得手段を備え、アプリケーションシステムにはＩＤ１とユーザ情報の対と、ＩＤ変換装置にはＩＤ１とＩＤ２の対と、生体認証装置にはＩＤ２と予め登録された生体情報との対が保管されている。ＩＤ変換装置を備えたことにより、アプリケーションシステムで管理されるＩＤを生体認証装置で関連付ける必要がなくなり、容易にシステムに生体認証装置を組み込むことが可能となる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−２７８９４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１に記載の技術では、アプリケーションシステムに保管されているＩＤ１とユーザ情報の対と、ＩＤ変換装置に保管されているＩＤ１とＩＤ２の対と、生体認証装置に保管されているＩＤ２と生体情報との対のデータベースが漏れた場合、第三者はユーザ情報と生体情報との関連付けが可能になる。そこで、ユーザのプライバシ侵害の発生を防止するため、データベースのセキュリティレベルを上げて情報漏洩を防止する必要がある。
【０００７】
しかしながら、データベースのセキュリティレベルを上げようとすると、情報漏洩を防止する必要があるデータの数に依存してコストがかかるため、生体認証装置で多数のユーザを扱う場合データ量が多く大幅なコストがかかる。そのため、セキュリティレベルを上げにくいという問題が発生する。
【課題を解決するための手段】
【０００８】
上記課題を解決するため、本発明の一態様は以下の構成を備える。即ち、本発明の生体認証システムは、クライアント端末と、アプリケーションサーバと、生体認証サーバとを備え、クライアント端末は、ユーザの生体情報を取得する生体情報取得手段を備え、アプリケーションサーバは、生体認証サーバにユーザの認証を要求する手段と、生体認証サーバによって認証されたユーザの外部ＩＤを取得する手段と、外部ＩＤに対応するユーザ情報を取得する手段と、ユーザ情報に基づいてアプリケーションを提供する手段を備え、生体認証サーバは、生体認証サーバ内で管理される内部ＩＤと、アプリケーションサーバ内で管理される外部ＩＤとを、保管された鍵を用いて対応づける変換手段と、鍵を保管する耐タンパ記憶手段と、予め登録された生体情報とクライアント端末によって取得された生体情報とを照合し、ユーザの認証を行い、認証の結果を応答する手段と、を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、コストを抑えつつ、ユーザのプライバシが侵害されることを回避し、容易に生体認証システムへ組み込むことが可能になる。
【図面の簡単な説明】
【００１０】
【図１】各実施例に係る生体認証適用アプリケーションシステムの一例を示すシステム構成図である。
【図２】図１における登録用生体情報１１１の一例を示す図である。
【図３】図１における認証履歴１１２の一例を示す図である。
【図４】図１における鍵１１３の一例を示す図である。
【図５】図１におけるユーザ情報２０５の一例を示す図である。
【図６】各実施例に係る登録用生体情報バックアップシステムの一例を示すシステム構成図である。
【図７】図６における登録用生体情報バックアップ７１１の一例を示す図である。
【図８】各実施例のユーザ登録処理手順の一例を示すシーケンス図である。
【図９】実施例１の認証処理手順の一例を示すシーケンス図である。
【図１０】実施例２の識別処理手順の一例を示すシーケンス図である。
【図１１】各実施例のユーザ削除処理手順の一例を示すシーケンス図である。
【図１２】各実施例の内部ＩＤ＆鍵更新処理手順の一例を示すシーケンス図である。
【図１３】各実施例の登録用生体情報バックアップ処理手順の一例を示すシーケンス図である。
【図１４】各実施例の端末やサーバの構成の一例を示すハードウェア構成図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態を実施例１と実施例２に詳細に説明する。
【００１２】
実施例１では取得された生体情報と予め登録された生体情報について１：１の照合（Match）を行い、ユーザの検証（Verification）を行う。実施例２では取得された生体情報と予め登録された生体情報について１：Ｎの照合（Match）を行い、ユーザの識別（Identification）を行う。ここで、検証と識別とを総称して認証（Authentication）という。
【実施例１】
【００１３】
以下、本発明の実施の形態を詳細に説明する。
【００１４】
図１は、本実施例をリモートアプリケーションに適用した場合のシステム構成図である。
【００１５】
登録用クライアント端末３０と認証用クライアント端末４０は、ネットワーク６０を介してアプリケーションサーバ２０、アプリケーションサーバ２１と接続しており、アプリケーションサーバ２０とアプリケーションサーバ２１は、ネットワーク５０を介して生体認証サーバ１０と接続している。
【００１６】
生体認証サーバ１０は、生体情報照合機能１００と、外部ＩＤ−内部ＩＤ変換機能１０１と、内部ＩＤ発行機能１０２と、アプリケーションサーバ２０用データ１１０と、アプリケーションサーバ２１用データ１２０と、から構成される。
【００１７】
アプリケーションサーバ２０とアプリケーションサーバ２１は、生体認証サーバ１０内で管理しても良い。
【００１８】
以下、その構成要素について説明する。生体情報照合機能１００は、登録用生体情報１１１に保管された一つの登録用生体情報とユーザが入力した一つの検証用生体情報とを照合する１対１照合の機能を有する。ここで、登録用生体情報とはユーザが初めに登録する生体情報である（詳細は図８のＳ１１３で後述）。
【００１９】
検証用生体情報とは、ユーザが検証を受ける度に入力する生体情報である（詳細は図９のＳ２０２、Ｓ２０３で後述）。
【００２０】
外部ＩＤ−内部ＩＤ変換機能１０１は、外部ＩＤから内部ＩＤへ、また、内部ＩＤから外部ＩＤへの変換を行う機能である。実施例１では、外部ＩＤから内部ＩＤに変換を行う。
【００２１】
本変換は、秘密情報にあたる鍵１１３（通常運用鍵１１３１あるいは更新時用鍵１１３２あるいはバックアップ用鍵１１３３）を用いて変換処理を行う機能であり、例えば、共通鍵暗号方式を利用してこれを実現する。鍵を厳密に管理することで、第三者は外部ＩＤと内部ＩＤとの間の変換が困難になり、登録用生体情報とユーザ情報の情報とを関連付けられることの防止ができる。鍵１１３は、変換処理を第三者が行うことを防ぐために、ハードウェア暗号モジュールなどを利用して厳密に管理する。本実施の形態では、厳密に管理すべき対象は、データサイズの小さい情報である鍵（例えば暗号標準Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄにおいて２５６ビットの鍵）であり、ハードウェア暗号モジュールなどの利用により、厳密かつ容易に管理可能である。また、鍵１１３にアクセス権限を設定することによって厳密に管理しても良い。なお、鍵１１３は、複数のアプリケーションサーバは、全て同じ鍵を用いる必要はなく、少なくとも１つの鍵は他のアプリケーションサーバと異なる鍵を用いても良い。同じ鍵を用いない場合の変換処理はアプリケーションサーバ毎に異なる。アプリケーションサーバ毎に異なる鍵を用いることで、よりセキュリティレベルを上げることが出来る。また、内部ＩＤ発行機能１０２は、内部ＩＤを発行する機能である。
【００２２】
ユーザ情報と登録用生体情報の登録（図８の処理）を繰り返す場合に、第三者によって、その登録順序から推測出来ないように、生体認証サーバが発行する内部ＩＤは、例えば乱数に基づき発行することが望ましい。そうすると、ユーザ情報と内部ＩＤの対応を推測することが困難になる。また、乱数に基づき発行するため、アプリケーションサーバ２０向けの内部ＩＤとアプリケーションサーバ２１向けの内部ＩＤの関連性を持たせるのは困難である。同一人物が複数のアプリケーションサーバを利用する場合には、生体情報が、アプリケーションサーバごとに異なる内部ＩＤに対応して管理されても良い。
【００２３】
アプリケーションサーバ２０用データ１１０はアプリケーションサーバ２０用の情報を管理し、アプリケーションサーバ２１用データ１２０は、アプリケーションサーバ２１用の情報を管理する。
【００２４】
登録用生体情報１１１は、アプリケーションサーバ２０用の内部ＩＤと登録用生体情報の対を保管し、認証履歴１１２は、アプリケーションサーバ２０用の外部ＩＤと認証履歴の対を保管する。鍵１１３は、外部ＩＤ−内部ＩＤ変換機能１０１で使われるアプリケーションサーバ２０用の鍵を保管する。
【００２５】
このように、生体認証サーバ１０は、登録用生体情報１１１（内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）と、鍵１１３とを保管する。
【００２６】
また、外部ＩＤと内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が鍵１１３を利用した場合に知ることができる。
【００２７】
したがって、仮に第三者が登録用生体情報１１１（内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）と、を入手したとしても、第三者は鍵１１３を入手しない限り、生体情報と認証履歴の対応関係を知ることはできない。第三者が生体情報と認証履歴を関連付けをすることは困難であるため、ユーザのプライバシ侵害リスクを回避できる。
【００２８】
また、仮に登録用生体情報１１１が第三者に漏えいした場合でも、第三者は認証履歴を元に関連付けをたどり生体情報がだれのものであるか推定することができないため、漏えいした生体情報を用いた本生体認証システムあるいは他の生体認証システムへの攻撃の脅威を低減することができる。
【００２９】
このように内部ＩＤ発行機能１０２は、乱数に基づき発行するため、アプリケーションサーバ２０向けの内部ＩＤ体系とアプリケーションサーバ２１向けの内部ＩＤ体系の関連性をもたせるのは困難であり、鍵１１３は、アプリケーションサーバ毎に異なるものを用いた場合、変換処理はアプリケーションサーバ毎に異なる。
【００３０】
したがって、アプリケーションサーバ２０用データ１１０の認証履歴の外部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の認証履歴の外部ＩＤの体系と、は異なる。第三者は、双方の認証履歴を入手したとしても、異なるアプリケーションサーバ間で同一ユーザに関して認証履歴情報を関連付けることができず、ユーザの行動トレース等のプライバシ侵害リスクを低減出来る。
【００３１】
また、アプリケーションサーバ２０用データ１１０の登録用生体情報の内部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の登録用生体情報の内部ＩＤの体系と、は異なることから、第三者は、双方の登録用生体情報を入手したとしても、異なるアプリケーションサーバ間で内部ＩＤに基づいて生体情報と他のアプリケーションサーバに登録されている生体情報を関連付けをすることが困難であり、ユーザのプライバシ侵害リスクを低減できると共に、異なるアプリケーションサーバ間で生体情報同士が関連付けられることから発生する本生体認証システムあるいは他生体認証システムへの攻撃の脅威（例えば、アプリケーションサーバ２０用データ１１０に顔画像（生体情報）が保管され、アプリケーションサーバ２１用データ１２０に指紋情報（生体情報）が保管されている場合を想定する。双方の登録用生体情報が漏えいした場合、顔画像が目視により個人特定され、顔画像と指紋情報が関連付けをされると、指紋情報が個人特定され、アプリケーションサーバ２１へのなりすまし攻撃のリスクが高まる）を低減することができる。
【００３２】
さらに、アプリケーションサーバ２０用データ１１０の登録用生体情報の内部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の登録用生体情報の内部ＩＤの体系と、は異なる場合があり、鍵１１３も、アプリケーションサーバ毎に異なる場合もあることから、アプリケーションサーバ２０用データ１１０の登録用生体情報や鍵１１３が漏えいしたとしても、アプリケーションサーバ２１用データ１２０の登録用生体情報や鍵は影響を受けにくく、生体認証サーバ１０は、アプリケーションサーバ２１向けに処理を安全に継続することができる。すなわち生体認証サーバ１０は、各アプリケーションサーバ向けの処理に独立性を持っており、高い可用性を保つことができる。
【００３３】
アプリケーションサーバ２０は、ユーザの登録又は削除機能をもつユーザ登録／削除機能２０１（「／」は「又は」を意味するものとする。）と、生体認証サーバ１０にユーザ検証又はユーザ識別を要求するユーザ検証／識別要求機能２０２と、ユーザ検証やユーザ識別結果に基づきアプリケーションの利用認可を行うユーザ認可機能２０３と、ネットワーク６０を介して認証用クライアント端末４０のアプリケーションクライアント機能４０３にアプリケーションを提供するアプリケーションサーバ機能２０４と、ユーザ情報を保管するユーザ情報２０５と、から構成される。
【００３４】
上記のように生体認証サーバ１０は、登録用生体情報１１１（内部ＩＤと生体情報の対）を管理し、アプリケーションサーバ２０は、ユーザ情報２０５（外部ＩＤとユーザ情報の対）を管理する。また、外部ＩＤと内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が鍵１１３を利用した場合に知ることができる。
【００３５】
したがって、仮に第三者が登録用生体情報１１１（内部ＩＤと生体情報の対）と、ユーザ情報２０５（外部ＩＤとユーザ情報の対）と、を入手したとしても、第三者は鍵１１３を入手しない限り、生体情報とユーザ情報の対応関係を知ることはできない。第三者が生体情報とユーザ情報を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを低減できる。
【００３６】
また、仮に登録用生体情報１１１が第三者に漏えいした場合でも、第三者はその生体情報とユーザ情報との対応付けが困難であり、だれのものであるか知ることができないため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【００３７】
登録用クライアント端末３０は、登録用生体情報をユーザから取得する生体情報取得機能３０１と、ユーザ情報２０５に登録するユーザ情報をユーザの入力やユーザ所有のカード情報の読み込みなどにより、取得するユーザ情報取得機能３０２と、ユーザ登録処理結果を表示する登録結果表示機能３０３と、を含んで構成される。
【００３８】
認証用クライアント端末４０は、検証用生体情報あるいは、識別用生体情報をユーザから取得する生体情報取得機能４０１と、検証に用いる外部ＩＤをユーザの入力やユーザ所有のカード情報の読み込みなどにより取得する外部ＩＤ入力機能４０２と、アプリケーションサーバ２０のアプリケーションサーバ機能２０４からネットワーク６０を介してアプリケーション提供を受けるアプリケーションクライアント機能４０３と、を含んで構成される。
【００３９】
図１４は、図１のシステムを実現するための装置である。
【００４０】
図１４の各装置は、CPUと記憶装置とを備える一般的な計算機を用いて実現することができる。さらに、各装置を構成するそれぞれの機能は、CPUが記憶装置に格納されているプログラムを実行することにより、上記計算機上に具現化される。各プログラムは、あらかじめ、上記計算機内の記憶装置に格納されていても良いし、必要なときに、入出力インタフェースと上記計算機が利用可能な媒体を介して、他の装置から上記記憶装置に導入されてもよい。媒体とは、たとえば、入出力インタフェースに着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号）を指す。
【００４１】
図１４は、本実施形態における生体認証サーバ１０、アプリケーションサーバ２０、アプリケーションサーバ２１、登録用クライアント端末３０、認証用クライアント端末４０のハードウェア構成を示す。これらは図のようにＣＰＵ８００、第１次記憶装置８０１、第２次記憶装置８０２、入力装置８０３、出力装置８０４、通信装置８０５とを含んで構成することができる。
【００４２】
例えば、生体認証サーバ１０の、生体情報認証機能１００と、外部ＩＤ−内部ＩＤ変換機能１０１と、内部ＩＤ発行機能１０２と、アプリケーションサーバ２０の、ユーザ登録／削除機能２０１と、ユーザ検証／識別要求機能２０２と、ユーザ認可機能２０３と、アプリケーションサーバ機能２０４と、認証用クライアント端末４０の、アプリケーションクライアント機能４０３とは、第２次記憶装置８０２のデータを第１次記憶装置８０１に読み込みＣＰＵ８００で計算処理を行うことで実現する。
【００４３】
生体認証サーバ１０の、アプリケーションサーバ２０用データ１１０と、アプリケーションサーバ２１用データ１２０と、アプリケーションサーバ２０の、ユーザ情報２０５とは、第２次記憶装置８０２に保管することで実現する。
【００４４】
登録用クライアント端末３０の、生体情報取得機能３０１と、ユーザ情報取得機能３０２と、認証用クライアント端末４０の、生体情報取得機能４０１と、外部ＩＤ入力機能４０２とは、入力装置８０３により実現し、登録用クライアント端末３０の、登録結果表示機能３０３は、出力装置８０４で実現する。
【００４５】
図２は、図１における登録用生体情報１１１の一例を示す図である。
【００４６】
登録用生体情報１１１は、内部ＩＤ発行機能１０２により発行された内部ＩＤと、図８のＳ１１３により登録される登録用生体情報と、を含んで構成される。
【００４７】
図３は、図１における認証履歴１１２の一例を示す図である。
【００４８】
認証履歴１１２は、外部ＩＤと、認証種別と、認証結果と、日時と、を含んで構成される。
【００４９】
図４は、図１における鍵１１３の一例を示す図である。
【００５０】
鍵１１３は、通常運用鍵１１３１と、図１２に示す内部ＩＤと鍵の更新に利用される更新時用鍵１１３２と、図６に示す登録用生体情報バックアップに利用されるバックアップ用鍵１１３３と、を含んで構成される。
【００５１】
図５は、図１におけるユーザ情報２０５の一例を示す図である。
【００５２】
ユーザ情報２０５には、ユーザの個人情報を保管する。例えば、氏名、住所を保管する。加えて、これらの個人情報に対応して、外部ＩＤを保管する。
【００５３】
図６は、生体認証サーバ１０の登録用生体情報１１１のバックアップを保管する登録用生体情報バックアップストレージ７０の一例である。登録用生体情報バックアップストレージ７０は、アプリケーション毎に独立して登録用生体情報バックアップを保管する（アプリケーションサーバ２０用データ７１０、アプリケーションサーバ２1用データ７２０）。
【００５４】
図７は、登録用生体情報バックアップ７１１の一例を示す図である。
【００５５】
登録用生体情報バックアップ７１１は、バックアップ内部ＩＤと登録用生体情報の対を保管する。
【００５６】
登録用生体情報１１１が何らかの理由により壊れた場合には、生体認証サーバ１０は生体認証のサービスを提供することが困難になる。そこで、あらかじめ登録用生体情報１１１のバックアップを登録用生体情報バックアップストレージ７０に作成し、必要に応じて、登録用生体情報１１１をバックアップストレージ７０から復元することができ、生体認証サーバの可用性（availability：システム全体をダウンさせることなく、継続稼働させる能力）を高く保つことができる。
【００５７】
図８、図９、図１１について説明する。ユーザの認証用クライアント端末４０を介したアプリケーションサーバ２０のアプリケーション利用に関連し、以下のステップを行う。
【００５８】
（１）図８の処理により、ユーザ情報と登録用生体情報を登録。
【００５９】
（２）図９の処理により生体情報を利用したユーザの認証を行い、認証成功かつ許可の場合、ユーザにアプリケーション利用を許可する。
【００６０】
（３）図１１の処理により、ユーザ情報と登録用生体情報を削除。
【００６１】
以下、それぞれの処理について説明する。
【００６２】
図８は、ユーザ情報と登録用生体情報をそれぞれアプリケーションサーバ２０と生体認証サーバ１０に登録するシーケンスである。本シーケンスは、アプリケーションサーバ毎に独立して行う。すなわち、図８では、アプリケーションサーバ２０向けのユーザ情報と登録用生体情報の登録を行う例を示すが、アプリケーションサーバ２１向けに図８と同様のシーケンスを行うことによりアプリケーションサーバ２１向けにユーザ情報と登録用生体情報の登録を行うことができる。
【００６３】
以下処理手順を説明する。
【００６４】
本シーケンスを開始する前提として、通常運用鍵１１３１が保管されているものとする。
【００６５】
ユーザ情報取得機能３０２は、タッチパネル、キーボード、カードとカードリーダなどにより、ユーザからユーザ情報を取得する（Ｓ１００）。ここで、ユーザ情報とは、ユーザ情報２０５に示す会員番号や氏名や住所である。登録用クライアント端末３０は、Ｓ１００で取得したユーザ情報を含むユーザ情報登録要求をアプリケーションサーバ２０に送信し、アプリケーションサーバ２０がこれを受信する（Ｓ１０１）。ユーザ登録／削除機能２０１は、受信したユーザ情報をユーザ情報２０５の会員番号、氏名、住所の項目に保管し（Ｓ１０２）、登録用クライアント端末３０に登録完了を通知する（Ｓ１０３）。
【００６６】
生体情報取得機能３０１は、ユーザの登録用生体情報を取得し（Ｓ１０４）、登録用クライアント端末３０は、取得した登録用生体情報を含む生体情報登録要求をユーザ登録／削除機能２０１に送信する（Ｓ１０５）。
【００６７】
ユーザ登録／削除機能２０１は、外部ＩＤ発行要求を生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ１０６）。
【００６８】
内部ＩＤ発行機能１０２は、内部ＩＤを、図２の登録用生体情報１１１のこれまでに発行された内部ＩＤ一覧を参照することにより、同一の内部ＩＤを２度発行しないようにしつつ、ユーザ情報と登録用生体情報の登録（図８の処理）を繰り返す場合にアプリケーションサーバがその登録順序からユーザ情報と内部ＩＤの対応を推測することを防ぐために乱数をもとに生成し、図２の登録用生体情報１１１に一行追加し、内部ＩＤ欄にこれを保管する。（Ｓ１０７）。
【００６９】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用して、生成した内部ＩＤを外部ＩＤに変換する（Ｓ１０８）。
【００７０】
生体認証サーバ１０は、アプリケーションサーバ２０に外部ＩＤを応答する（Ｓ１０９）。
【００７１】
ユーザ登録／削除機能２０１は、ユーザ情報２０５のＳ１０２で保管したユーザ情報に対応する外部ＩＤ欄に受信した外部ＩＤを保管する（Ｓ１１０）。
【００７２】
ユーザ登録／削除機能２０１は、外部ＩＤとＳ１０５で受信した登録用生体情報とを含む生体情報登録要求を、生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ１１１）。
【００７３】
外部ＩＤ−内部ＩＤ変換機能１０１は、受信した登録用生体情報を受信した外部ＩＤと通常運用鍵１１３１を利用して内部ＩＤに変換する（Ｓ１１２）。
【００７４】
生体認証サーバ１０は、受信した登録用生体情報を、登録用生体情報１１１の変換した内部ＩＤに対応する登録用生体情報欄に登録し（Ｓ１１３）、
登録が完了した旨ユーザ登録／削除機能２０１に通知する（Ｓ１１４）。
【００７５】
ユーザ登録／削除機能２０１は、登録用生体情報の登録完了を外部ＩＤを添付して登録用クライアント端末３０に通知し、登録用クライアント端末３０がこれを受信し、登録結果表示機能３０３がその結果をユーザに表示する（Ｓ１１５）。なお、本ステップでユーザに通知した外部ＩＤは、図９のＳ２０２で利用する。
【００７６】
なお、図８における別の実施形態として、既にＳ１０２に相当するユーザ情報登録が完了している場合には、Ｓ１００からＳ１０３をスキップし、Ｓ１０４から処理を開始してもよい。
【００７７】
図９は、ユーザが認証用クライアント端末４０を利用して生体認証を受け、アプリケーションサーバ２０のアプリケーションを利用するシーケンスである。本シーケンスでは、ユーザは外部ＩＤと生体情報を認証用クライアント端末４０に入力し、入力した情報は生体認証サーバ１０に送られ、生体認証サーバ１０は、受信した検証用生体情報と自身が保持する外部ＩＤに対応する一つの登録用生体情報と１対１の照合を行うことで、ユーザの検証(Verification)を行う。
【００７８】
以降、図９に示す処理手順について説明する。
【００７９】
認証用クライアント端末４０は、アプリケーションサーバ２０に対し、アプリケーション利用を要求する（Ｓ２００）。
【００８０】
アプリケーションサーバ２０は、ユーザの検証に必要な外部ＩＤと検証用生体情報を認証用クライアント端末４０に要求する（Ｓ２０１）。
【００８１】
認証用クライアント端末４０は、外部ＩＤ入力機能４０２（例えば、タッチパネル、あるいはキーボード、あるいはカードとカードリーダなどにより実現される）により、ユーザから外部ＩＤを取得し、
生体情報取得機能４０１により検証用生体情報をユーザから取得し、アプリケーションサーバ２０にこれを送信し、アプリケーションサーバ２０がこれを受信する（Ｓ２０２）。
【００８２】
ユーザ検証／識別要求機能２０２は、受信した外部ＩＤと検証用生体情報を、ユーザ検証要求として生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ２０３）。
【００８３】
外部ＩＤ−内部ＩＤ変換機能１０１は、受信した外部ＩＤを通常運用鍵１１３１を利用して内部ＩＤに変換する（Ｓ２０４）。このとき受信した外部ＩＤに対応する内部ＩＤが存在しない場合は、アプリケーションサーバにエラーを通知する。
【００８４】
生体情報照合機能１００は、変換した内部ＩＤに対応する登録用生体情報を登録用生体情報１１１より取得し、ユーザ検証／識別要求機能２０２から受信した検証用生体情報と１対１の照合を行い、登録用生体情報と検証用生体情報が同一人物のものであるか否かを判定する（Ｓ２０５）。
【００８５】
生体認証サーバ１０は、Ｓ２０３で受信した外部ＩＤとＳ２０５の判定結果を、図３の認証履歴１１２に保管する。
【００８６】
認証履歴１１２には、外部ＩＤと、認証種別に検証、認証結果に判定結果（成功あるいは失敗）、認証日時が保管される（Ｓ２０６）。
【００８７】
生体認証サーバ１０は、検証結果（成功あるいは失敗）をユーザ検証／識別要求機能２０２に応答する（Ｓ２０７）。
【００８８】
ユーザ認可機能２０３は、検証結果が成功の場合に、あらかじめ定めた認可判定基準に基づき、アプリケーション提供を認可するか否かを判定し（Ｓ２０８）、検証結果が失敗の場合には、判定は行わずに認証用クライアント端末４０に検証失敗を通知し、図９の処理を終了する。
【００８９】
Ｓ２０８の認可判定の結果が認可の場合には、アプリケーションサーバ機能２０４は、ネットワーク６０を介してアプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ２０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ２１０）。Ｓ２０８の認可判定の結果が否の場合には、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図９の処理を終了する。
【００９０】
図１１は、図８の処理で登録したユーザ情報や登録用生体情報と、図９のＳ２０６や図１０のＳ３０６で記録されたユーザの認証履歴を削除するシーケンスである。ユーザがアプリケーションサーバ２０の利用を終了するタイミングで行われる。
【００９１】
ユーザ登録／削除機能２０１は、外部ＩＤを含むユーザの登録用生体情報と認証履歴の削除要求を生体認証サーバ１０に送信し、生体認証サーバ１０はこれを受信する（Ｓ４００）。
【００９２】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用して外部ＩＤを内部ＩＤに変換する（Ｓ４０１）。
【００９３】
生体認証サーバ１０は、登録用生体情報１１１におけるＳ４０１で変換した内部ＩＤに対応する一行を削除し（Ｓ４０２）、認証履歴１１２のＳ４００で受信した外部ＩＤに対応する行を削除し（Ｓ４０３）、削除した旨ユーザ登録／削除機能２０１に応答する（Ｓ４０４）。
【００９４】
ユーザ登録／削除機能２０１は、ユーザ情報２０５の中の削除対象のユーザ情報を削除する（Ｓ４０５）。
【００９５】
図１２は、通常運用鍵１１３１を更新するシーケンスである。
【００９６】
以降、図１２に示す処理手順について説明する。
【００９７】
生体認証サーバ１０は、通常運用鍵１１３１（旧鍵）を更新時用鍵１１３２にコピーし、更新用の新しく生成した鍵を通常運用鍵１１３１（新鍵）として上書きする。（Ｓ５０１）。
【００９８】
生体認証サーバ１０は、図２の登録用生体情報１１１における全内部ＩＤを読み出し（Ｓ５０２）、外部ＩＤ−内部ＩＤ変換機能１０１が更新時用鍵１１３２（旧鍵）を利用して、内部ＩＤを外部ＩＤに変換し（Ｓ５０３）、外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１（新鍵）を利用して、外部ＩＤを内部ＩＤに変換し（Ｓ５０４）、生体認証サーバ１０が登録用生体情報１１１の内部ＩＤを更新する（Ｓ５０５）。
【００９９】
生体認証サーバ１０は、更新時用鍵１１３２を消去することで旧鍵を廃棄する（Ｓ５０６）。
【０１００】
以上の、図１２の処理により、通常運用鍵１１３１が更新されると同時に、登録用生体情報１１１の内部ＩＤが更新される。
【０１０１】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用しており、通常運用鍵１１３１をハードウェア暗号モジュールなどを利用して厳密に管理することで、第三者が外部ＩＤ−内部ＩＤ変換機能１０１を実現することを防ぎ、内部ＩＤと外部ＩＤの情報が関連付けられることを防ぐ。仮に、通常運用鍵１１３１と登録用生体情報１１１が第三者に渡ってしまった場合には、外部ＩＤが内部ＩＤを介して生体情報と関連付けされてしまう恐れがあるため、危険である。
【０１０２】
図１２の処理により、仮に、通常運用鍵１１３１あるいは登録用生体情報１１１が第三者に渡ってしまった場合にも、通常運用鍵１１３１と登録用生体情報１１１における内部ＩＤを更新することができ、内部ＩＤと外部ＩＤの情報が関連付けられることを引き続き防ぐことができる。
【０１０３】
図１２の処理は、生体認証サーバ１０単体で行うことができ、アプリケーションサーバ２０や登録用クライアント端末３０や認証用クライアント端末４０での処理は必要なく、運用面での負荷が小さいというメリットもある。
【０１０４】
図１３は、生体認証サーバ１０の登録用生体情報１１１のバックアップ７１１を生成し、登録用生体情報バックアップストレージ７０に保管するシーケンスである。
【０１０５】
以降、図１３に示す処理手順について説明する。
【０１０６】
生体認証サーバ１０は、外部ＩＤ−内部ＩＤ変換機能１０１が利用するバックアップ用の新たな鍵を生成し、バックアップ用鍵１１３３に保管する（Ｓ６００）。
【０１０７】
生体認証サーバ１０は、登録用生体情報１１１からアプリケーションサーバ２０用の全内部ＩＤを取得し（Ｓ６０１）、外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１を利用して内部ＩＤをで外部ＩＤに変換し（Ｓ６０２）、外部ＩＤ−内部ＩＤ変換機能１０１がバックアップ用鍵１１３３を利用して外部ＩＤを登録用生体情報バックアップストレージ７０向けのバックアップ内部ＩＤに変換する（Ｓ６０３）。
【０１０８】
生体認証サーバ１０は、変換したバックアップ内部ＩＤと登録用生体情報との全対情報を、バックアップデータとして、登録用生体情報バックアップストレージ７０に送信し、登録用生体情報バックアップストレージ７０がこれを受信し（Ｓ６０４）、受信したバックアップデータを登録用生体情報バックアップ７１１に保管し（Ｓ６０５）、バックアップ完了を生体認証サーバ１０に通知する（Ｓ６０６）。
【０１０９】
図１３の処理により、登録用生体情報１１１の内部ＩＤをバックアップ内部ＩＤに置き換えた登録用生体情報のバックアップが登録用生体情報バックアップ７１１に作られる。
【０１１０】
このような処理により、登録用生体情報バックアップ７１１は、バックアップ内部ＩＤと登録用生体情報の対を保管する。また、外部ＩＤ−内部ＩＤの対応関係と外部ＩＤ−バックアップ内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１とバックアップ用鍵１１３３を利用した場合にのみ知ることができる。よって、第三者が通常運用鍵１１３１とバックアップ用鍵１１３３を入手しなければ、第三者は、内部ＩＤとバックアップ内部ＩＤの関連付けをすることが困難である。
【０１１１】
したがって、登録用生体情報バックアップ７１１が漏えいしたとしても、バックアップ元である登録用生体情報１１１における内部ＩＤ−生体情報の関連付けの情報は漏えいしたことにはならず、生体認証サーバ１０は登録用生体情報１１１を利用して運用を継続することができ、可用性を高く保つことができる。
【０１１２】
さらに、登録用生体情報バックアップ７１１が漏えいした場合には、バックアップ用鍵１１３３を更新して、バックアップを再生成することにより、漏えいした旧登録用生体情報バックアップ７１１のバックアップ内部ＩＤ−生体情報の関連付けの情報を事実上無効化できる。
【０１１３】
また、第三者が、登録用生体情報バックアップ７１１（バックアップ内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）を入手したとしても、バックアップ用鍵１１３３を入手しない限り、生体情報と認証履歴の対応関係を知ることは困難である。第三者が生体情報と認証履歴を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを回避できる。また、仮に登録用生体情報バックアップ７１１が第三者に漏えいした場合でも、第三者は認証履歴を元に関連付けをたどり生体情報がだれのものであるか推定することができないため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【０１１４】
さらに、仮に第三者が登録用生体情報バックアップ７１１（バックアップ内部ＩＤと生体情報の対）と、ユーザ情報２０５（外部ＩＤとユーザ情報の対）と、を入手したとしても、第三者はバックアップ用鍵１１３３を入手しない限り、生体情報とユーザ情報の対応関係を知ることは困難である。第三者が生体情報とユーザ情報を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを低減できる。
【０１１５】
また、仮に登録用生体情報バックアップ７１１が第三者に漏えいした場合でも、第三者はその生体情報がだれのものであるか知ることが困難であるため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【０１１６】
実施例１は、ユーザが外部ＩＤと検証用生体情報を入力して、予め登録されたユーザの内部ＩＤに対応する登録用生体情報と一致するか照合する認証システムの実施例であり、厳密かつ容易に管理できる。実施例１は実施例２と比較して、検証用生体情報とユーザの内部ＩＤに対応する特定の登録用生体情報を照合する、いわゆる１：１照合を行うため、実施例２よりもより高い精度で照合でき、より高い認証精度を実現でき、さらに照合処理の計算が一回でよいため処理時間が短くてすむ。
【実施例２】
【０１１７】
以下、本発明の実施の形態を詳細に説明する。
【０１１８】
図1について生体情報照合機能１００は、登録用生体情報１１１に保管された全登録用生体情報と与えられた一つの識別用生体情報とを照合する１対Ｎ照合の機能を有する。識別用生体情報とは、ユーザが認証機能を利用する度に入力する生体情報であり、生体情報取得機能４０１で取得され生体認証サーバ１０に送信される生体情報である（詳細は図１０のＳ３０２、Ｓ３０３で後述）。外部ＩＤ−内部ＩＤ変換機能１０１は、外部ＩＤから内部ＩＤへ、また、内部ＩＤから外部ＩＤへの変換を行う機能であり、実施例２では、内部ＩＤから外部ＩＤに変換を行う。
【０１１９】
図１のその他の機能については、実施例１と同一である。また、実施例１の図９の検証方法が、実施例２では図１０の識別方法にあたるため、図２から図８、図１１から図１４についても実施例１と同一である。
【０１２０】
以下、図１０の処理について説明する。
【０１２１】
図１０は、ユーザが認証用クライアント端末４０を利用して生体認証を受け、アプリケーションサーバ２０のアプリケーションを利用するシーケンスである。本シーケンスでは、ユーザは、生体情報を認証用クライアント端末４０に入力し、入力した生体情報は生体認証サーバ１０に送られ、生体認証サーバ１０は、受信した識別用生体情報と自身が保持する全登録用生体情報と１対Ｎの照合を行うことで、識別(Identification)を行う。
【０１２２】
以降、図１０に示す処理手順について説明する。
【０１２３】
認証用クライアント端末４０は、アプリケーションサーバ２０に対し、アプリケーション利用を要求する（Ｓ３００）。
【０１２４】
アプリケーションサーバ２０は、ユーザ識別に必要な識別用生体情報を認証用クライアント端末４０に要求する（Ｓ３０１）。
【０１２５】
認証用クライアント端末４０は、生体情報取得機能４０１により識別用生体情報をユーザから取得し、アプリケーションサーバ２０にこれを送信し、アプリケーションサーバ２０がこれを受信する（Ｓ３０２）。
【０１２６】
ユーザ検証／識別要求機能２０２は、受信した識別用生体情報を、ユーザ識別要求として生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ３０３）。
【０１２７】
生体情報照合機能１００は、受信した識別用生体情報と登録用生体情報１１１に登録された全生体情報との１対Ｎの照合を行い、受信した識別用生体情報と同一人物の生体情報に対応する内部ＩＤを取得する（Ｓ３０４）。同一人物の生体情報がなければ識別失敗としてＳ３０６へ進む。
【０１２８】
外部ＩＤ−内部ＩＤ変換機能１０１は、取得した内部ＩＤを通常運用鍵１１３１を利用して外部ＩＤに変換する（Ｓ３０５）。
【０１２９】
生体認証サーバ１０は、Ｓ３０５で変換した外部ＩＤを識別結果として、認証履歴１１２に保管する。
【０１３０】
Ｓ３０４で内部ＩＤを取得した場合には、認証履歴１１２には、Ｓ３０５で変換した外部ＩＤと、認証種別に識別、認証結果に成功と外部ＩＤ、認証日時が保管され、Ｓ３０４で識別失敗の場合には、認証履歴１１２には、外部ＩＤが空欄、認証種別に識別、認証結果に失敗、認証日時が保管される（Ｓ３０６）。
【０１３１】
生体認証サーバ１０は、識別結果（成功と外部ＩＤ、あるいは失敗）をユーザ検証／識別要求機能２０２に応答する（Ｓ３０７）。
【０１３２】
ユーザ認可機能２０３は、識別結果が成功の場合に、あらかじめ定めた認可判定基準に基づき、アプリケーション提供を認可するか否かを判定し（Ｓ３０８）、識別結果が失敗の場合には、判定は行わずに認証用クライアント端末４０に識別失敗を通知し、図１０の処理を終了する。
【０１３３】
Ｓ３０８の認可判定の結果が認可の場合には、アプリケーションサーバ機能２０４は、ネットワーク６０を介してアプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ３０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ３１０）。
【０１３４】
Ｓ３０８の認可判定の結果が否の場合には、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図１０の処理を終了する。
【０１３５】
なお、図１０の処理の別の適用方法もある。あらかじめ、登録用生体情報１１１にアプリケーションサーバの利用を認可しないユーザを登録しておく。図１０のＳ３００からＳ３０７は上記と同様の処理を行う。
【０１３６】
ユーザ認可機能２０３は、識別結果が失敗の場合に（アプリケーションサーバ利用不認可ユーザリストに該当しない場合に）アプリケーション提供認可と判定し（Ｓ３０８）、アプリケーションサーバ機能２０４は、アプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ３０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ３１０）。
【０１３７】
Ｓ３０８において、ユーザ認可機能２０３は、識別結果として成功と外部ＩＤを得た場合に、（アプリケーションサーバ利用不認可ユーザリストに該当した場合に）アプリケーション提供不認可と判定し（Ｓ３０８）、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図１０の処理を終了する。
【０１３８】
実施例２は、ユーザが識別用生体情報を入力して、その生体情報が予め登録された登録用生体情報からユーザ識別を行う認証システムの実施例であり、厳密かつ容易に管理ができる。
【０１３９】
実施例２は実施例１と比較して、ユーザが外部ＩＤを入力する必要がなく、ユーザの利便性が実施例１と比較してより高い。
【０１４０】
なお、実施例１と実施例２において、認証履歴１１２は、アプリケーションサーバ２０用の外部ＩＤと認証履歴の対を保管するとしているが、アプリケーションサーバ２０用の内部ＩＤと認証履歴の対を保管することもできる。この場合、図９の処理ではＳ２０６において外部ＩＤに代わり内部ＩＤが保管され、図１１の処理ではＳ４０３において、内部ＩＤに対応する行が削除され、図１０の処理ではＳ３０６において外部ＩＤに代わり内部ＩＤが保管される。
【０１４１】
本実施形態は、生体認証サーバの内部者不正の脅威を重視する場合に有効である。生体認証サーバの内部者が内部者権限により認証履歴１１２を参照し、さらに別の手段によりユーザ情報２０５を入手したとしても、認証履歴とユーザ情報との関連付けを行うことができず、ユーザのプライバシが侵害されることを回避できる。
【符号の説明】
【０１４２】
１０ 生体認証サーバ
２０ アプリケーションサーバ
２１ アプリケーションサーバ
３０ 登録用クライアント端末
４０ 認証用クライアント端末
５０ ネットワーク
６０ ネットワーク
７０ 登録用生体情報バックアップストレージ
【技術分野】
【０００１】
本発明は、生体認証システムにおける生体情報の管理方法に関する。
【背景技術】
【０００２】
生体認証システムは、ユーザがアプリケーションを利用するための認証をうけるシステムであり、一般的に３つの装置を含む。３つの装置とは、ユーザからの生体情報入力を受け付けるクライアント端末と、入力された生体情報と予め登録された生体情報を照合し、ユーザの認証をおこなう生体認証装置と、認証が成功し、かつ予め登録されたユーザのユーザ情報に基づいて利用が許可されたユーザにアプリケーションを提供するアプリケーションシステムとである。
【０００３】
従来、生体認証システムでは、複数あるアプリケーションシステムの生体認証を、生体認証装置で一括して請け負っている。生体認証装置とアプリケーションシステムが連携する場合、生体認証装置によって管理されるＩＤと複数のアプリケーションサーバによって管理されるＩＤとを対応付けるデータベースを管理する必要がある。
【０００４】
特許文献１に記載の生体認証システムは、クライアント端末と生体認証装置とアプリケーションシステムとの他にＩＤ変換装置を備える。クライアント端末はユーザの生体情報取得手段を備え、アプリケーションシステムにはＩＤ１とユーザ情報の対と、ＩＤ変換装置にはＩＤ１とＩＤ２の対と、生体認証装置にはＩＤ２と予め登録された生体情報との対が保管されている。ＩＤ変換装置を備えたことにより、アプリケーションシステムで管理されるＩＤを生体認証装置で関連付ける必要がなくなり、容易にシステムに生体認証装置を組み込むことが可能となる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−２７８９４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１に記載の技術では、アプリケーションシステムに保管されているＩＤ１とユーザ情報の対と、ＩＤ変換装置に保管されているＩＤ１とＩＤ２の対と、生体認証装置に保管されているＩＤ２と生体情報との対のデータベースが漏れた場合、第三者はユーザ情報と生体情報との関連付けが可能になる。そこで、ユーザのプライバシ侵害の発生を防止するため、データベースのセキュリティレベルを上げて情報漏洩を防止する必要がある。
【０００７】
しかしながら、データベースのセキュリティレベルを上げようとすると、情報漏洩を防止する必要があるデータの数に依存してコストがかかるため、生体認証装置で多数のユーザを扱う場合データ量が多く大幅なコストがかかる。そのため、セキュリティレベルを上げにくいという問題が発生する。
【課題を解決するための手段】
【０００８】
上記課題を解決するため、本発明の一態様は以下の構成を備える。即ち、本発明の生体認証システムは、クライアント端末と、アプリケーションサーバと、生体認証サーバとを備え、クライアント端末は、ユーザの生体情報を取得する生体情報取得手段を備え、アプリケーションサーバは、生体認証サーバにユーザの認証を要求する手段と、生体認証サーバによって認証されたユーザの外部ＩＤを取得する手段と、外部ＩＤに対応するユーザ情報を取得する手段と、ユーザ情報に基づいてアプリケーションを提供する手段を備え、生体認証サーバは、生体認証サーバ内で管理される内部ＩＤと、アプリケーションサーバ内で管理される外部ＩＤとを、保管された鍵を用いて対応づける変換手段と、鍵を保管する耐タンパ記憶手段と、予め登録された生体情報とクライアント端末によって取得された生体情報とを照合し、ユーザの認証を行い、認証の結果を応答する手段と、を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、コストを抑えつつ、ユーザのプライバシが侵害されることを回避し、容易に生体認証システムへ組み込むことが可能になる。
【図面の簡単な説明】
【００１０】
【図１】各実施例に係る生体認証適用アプリケーションシステムの一例を示すシステム構成図である。
【図２】図１における登録用生体情報１１１の一例を示す図である。
【図３】図１における認証履歴１１２の一例を示す図である。
【図４】図１における鍵１１３の一例を示す図である。
【図５】図１におけるユーザ情報２０５の一例を示す図である。
【図６】各実施例に係る登録用生体情報バックアップシステムの一例を示すシステム構成図である。
【図７】図６における登録用生体情報バックアップ７１１の一例を示す図である。
【図８】各実施例のユーザ登録処理手順の一例を示すシーケンス図である。
【図９】実施例１の認証処理手順の一例を示すシーケンス図である。
【図１０】実施例２の識別処理手順の一例を示すシーケンス図である。
【図１１】各実施例のユーザ削除処理手順の一例を示すシーケンス図である。
【図１２】各実施例の内部ＩＤ＆鍵更新処理手順の一例を示すシーケンス図である。
【図１３】各実施例の登録用生体情報バックアップ処理手順の一例を示すシーケンス図である。
【図１４】各実施例の端末やサーバの構成の一例を示すハードウェア構成図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態を実施例１と実施例２に詳細に説明する。
【００１２】
実施例１では取得された生体情報と予め登録された生体情報について１：１の照合（Match）を行い、ユーザの検証（Verification）を行う。実施例２では取得された生体情報と予め登録された生体情報について１：Ｎの照合（Match）を行い、ユーザの識別（Identification）を行う。ここで、検証と識別とを総称して認証（Authentication）という。
【実施例１】
【００１３】
以下、本発明の実施の形態を詳細に説明する。
【００１４】
図１は、本実施例をリモートアプリケーションに適用した場合のシステム構成図である。
【００１５】
登録用クライアント端末３０と認証用クライアント端末４０は、ネットワーク６０を介してアプリケーションサーバ２０、アプリケーションサーバ２１と接続しており、アプリケーションサーバ２０とアプリケーションサーバ２１は、ネットワーク５０を介して生体認証サーバ１０と接続している。
【００１６】
生体認証サーバ１０は、生体情報照合機能１００と、外部ＩＤ−内部ＩＤ変換機能１０１と、内部ＩＤ発行機能１０２と、アプリケーションサーバ２０用データ１１０と、アプリケーションサーバ２１用データ１２０と、から構成される。
【００１７】
アプリケーションサーバ２０とアプリケーションサーバ２１は、生体認証サーバ１０内で管理しても良い。
【００１８】
以下、その構成要素について説明する。生体情報照合機能１００は、登録用生体情報１１１に保管された一つの登録用生体情報とユーザが入力した一つの検証用生体情報とを照合する１対１照合の機能を有する。ここで、登録用生体情報とはユーザが初めに登録する生体情報である（詳細は図８のＳ１１３で後述）。
【００１９】
検証用生体情報とは、ユーザが検証を受ける度に入力する生体情報である（詳細は図９のＳ２０２、Ｓ２０３で後述）。
【００２０】
外部ＩＤ−内部ＩＤ変換機能１０１は、外部ＩＤから内部ＩＤへ、また、内部ＩＤから外部ＩＤへの変換を行う機能である。実施例１では、外部ＩＤから内部ＩＤに変換を行う。
【００２１】
本変換は、秘密情報にあたる鍵１１３（通常運用鍵１１３１あるいは更新時用鍵１１３２あるいはバックアップ用鍵１１３３）を用いて変換処理を行う機能であり、例えば、共通鍵暗号方式を利用してこれを実現する。鍵を厳密に管理することで、第三者は外部ＩＤと内部ＩＤとの間の変換が困難になり、登録用生体情報とユーザ情報の情報とを関連付けられることの防止ができる。鍵１１３は、変換処理を第三者が行うことを防ぐために、ハードウェア暗号モジュールなどを利用して厳密に管理する。本実施の形態では、厳密に管理すべき対象は、データサイズの小さい情報である鍵（例えば暗号標準Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄにおいて２５６ビットの鍵）であり、ハードウェア暗号モジュールなどの利用により、厳密かつ容易に管理可能である。また、鍵１１３にアクセス権限を設定することによって厳密に管理しても良い。なお、鍵１１３は、複数のアプリケーションサーバは、全て同じ鍵を用いる必要はなく、少なくとも１つの鍵は他のアプリケーションサーバと異なる鍵を用いても良い。同じ鍵を用いない場合の変換処理はアプリケーションサーバ毎に異なる。アプリケーションサーバ毎に異なる鍵を用いることで、よりセキュリティレベルを上げることが出来る。また、内部ＩＤ発行機能１０２は、内部ＩＤを発行する機能である。
【００２２】
ユーザ情報と登録用生体情報の登録（図８の処理）を繰り返す場合に、第三者によって、その登録順序から推測出来ないように、生体認証サーバが発行する内部ＩＤは、例えば乱数に基づき発行することが望ましい。そうすると、ユーザ情報と内部ＩＤの対応を推測することが困難になる。また、乱数に基づき発行するため、アプリケーションサーバ２０向けの内部ＩＤとアプリケーションサーバ２１向けの内部ＩＤの関連性を持たせるのは困難である。同一人物が複数のアプリケーションサーバを利用する場合には、生体情報が、アプリケーションサーバごとに異なる内部ＩＤに対応して管理されても良い。
【００２３】
アプリケーションサーバ２０用データ１１０はアプリケーションサーバ２０用の情報を管理し、アプリケーションサーバ２１用データ１２０は、アプリケーションサーバ２１用の情報を管理する。
【００２４】
登録用生体情報１１１は、アプリケーションサーバ２０用の内部ＩＤと登録用生体情報の対を保管し、認証履歴１１２は、アプリケーションサーバ２０用の外部ＩＤと認証履歴の対を保管する。鍵１１３は、外部ＩＤ−内部ＩＤ変換機能１０１で使われるアプリケーションサーバ２０用の鍵を保管する。
【００２５】
このように、生体認証サーバ１０は、登録用生体情報１１１（内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）と、鍵１１３とを保管する。
【００２６】
また、外部ＩＤと内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が鍵１１３を利用した場合に知ることができる。
【００２７】
したがって、仮に第三者が登録用生体情報１１１（内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）と、を入手したとしても、第三者は鍵１１３を入手しない限り、生体情報と認証履歴の対応関係を知ることはできない。第三者が生体情報と認証履歴を関連付けをすることは困難であるため、ユーザのプライバシ侵害リスクを回避できる。
【００２８】
また、仮に登録用生体情報１１１が第三者に漏えいした場合でも、第三者は認証履歴を元に関連付けをたどり生体情報がだれのものであるか推定することができないため、漏えいした生体情報を用いた本生体認証システムあるいは他の生体認証システムへの攻撃の脅威を低減することができる。
【００２９】
このように内部ＩＤ発行機能１０２は、乱数に基づき発行するため、アプリケーションサーバ２０向けの内部ＩＤ体系とアプリケーションサーバ２１向けの内部ＩＤ体系の関連性をもたせるのは困難であり、鍵１１３は、アプリケーションサーバ毎に異なるものを用いた場合、変換処理はアプリケーションサーバ毎に異なる。
【００３０】
したがって、アプリケーションサーバ２０用データ１１０の認証履歴の外部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の認証履歴の外部ＩＤの体系と、は異なる。第三者は、双方の認証履歴を入手したとしても、異なるアプリケーションサーバ間で同一ユーザに関して認証履歴情報を関連付けることができず、ユーザの行動トレース等のプライバシ侵害リスクを低減出来る。
【００３１】
また、アプリケーションサーバ２０用データ１１０の登録用生体情報の内部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の登録用生体情報の内部ＩＤの体系と、は異なることから、第三者は、双方の登録用生体情報を入手したとしても、異なるアプリケーションサーバ間で内部ＩＤに基づいて生体情報と他のアプリケーションサーバに登録されている生体情報を関連付けをすることが困難であり、ユーザのプライバシ侵害リスクを低減できると共に、異なるアプリケーションサーバ間で生体情報同士が関連付けられることから発生する本生体認証システムあるいは他生体認証システムへの攻撃の脅威（例えば、アプリケーションサーバ２０用データ１１０に顔画像（生体情報）が保管され、アプリケーションサーバ２１用データ１２０に指紋情報（生体情報）が保管されている場合を想定する。双方の登録用生体情報が漏えいした場合、顔画像が目視により個人特定され、顔画像と指紋情報が関連付けをされると、指紋情報が個人特定され、アプリケーションサーバ２１へのなりすまし攻撃のリスクが高まる）を低減することができる。
【００３２】
さらに、アプリケーションサーバ２０用データ１１０の登録用生体情報の内部ＩＤの体系と、アプリケーションサーバ２１用データ１２０の登録用生体情報の内部ＩＤの体系と、は異なる場合があり、鍵１１３も、アプリケーションサーバ毎に異なる場合もあることから、アプリケーションサーバ２０用データ１１０の登録用生体情報や鍵１１３が漏えいしたとしても、アプリケーションサーバ２１用データ１２０の登録用生体情報や鍵は影響を受けにくく、生体認証サーバ１０は、アプリケーションサーバ２１向けに処理を安全に継続することができる。すなわち生体認証サーバ１０は、各アプリケーションサーバ向けの処理に独立性を持っており、高い可用性を保つことができる。
【００３３】
アプリケーションサーバ２０は、ユーザの登録又は削除機能をもつユーザ登録／削除機能２０１（「／」は「又は」を意味するものとする。）と、生体認証サーバ１０にユーザ検証又はユーザ識別を要求するユーザ検証／識別要求機能２０２と、ユーザ検証やユーザ識別結果に基づきアプリケーションの利用認可を行うユーザ認可機能２０３と、ネットワーク６０を介して認証用クライアント端末４０のアプリケーションクライアント機能４０３にアプリケーションを提供するアプリケーションサーバ機能２０４と、ユーザ情報を保管するユーザ情報２０５と、から構成される。
【００３４】
上記のように生体認証サーバ１０は、登録用生体情報１１１（内部ＩＤと生体情報の対）を管理し、アプリケーションサーバ２０は、ユーザ情報２０５（外部ＩＤとユーザ情報の対）を管理する。また、外部ＩＤと内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が鍵１１３を利用した場合に知ることができる。
【００３５】
したがって、仮に第三者が登録用生体情報１１１（内部ＩＤと生体情報の対）と、ユーザ情報２０５（外部ＩＤとユーザ情報の対）と、を入手したとしても、第三者は鍵１１３を入手しない限り、生体情報とユーザ情報の対応関係を知ることはできない。第三者が生体情報とユーザ情報を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを低減できる。
【００３６】
また、仮に登録用生体情報１１１が第三者に漏えいした場合でも、第三者はその生体情報とユーザ情報との対応付けが困難であり、だれのものであるか知ることができないため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【００３７】
登録用クライアント端末３０は、登録用生体情報をユーザから取得する生体情報取得機能３０１と、ユーザ情報２０５に登録するユーザ情報をユーザの入力やユーザ所有のカード情報の読み込みなどにより、取得するユーザ情報取得機能３０２と、ユーザ登録処理結果を表示する登録結果表示機能３０３と、を含んで構成される。
【００３８】
認証用クライアント端末４０は、検証用生体情報あるいは、識別用生体情報をユーザから取得する生体情報取得機能４０１と、検証に用いる外部ＩＤをユーザの入力やユーザ所有のカード情報の読み込みなどにより取得する外部ＩＤ入力機能４０２と、アプリケーションサーバ２０のアプリケーションサーバ機能２０４からネットワーク６０を介してアプリケーション提供を受けるアプリケーションクライアント機能４０３と、を含んで構成される。
【００３９】
図１４は、図１のシステムを実現するための装置である。
【００４０】
図１４の各装置は、CPUと記憶装置とを備える一般的な計算機を用いて実現することができる。さらに、各装置を構成するそれぞれの機能は、CPUが記憶装置に格納されているプログラムを実行することにより、上記計算機上に具現化される。各プログラムは、あらかじめ、上記計算機内の記憶装置に格納されていても良いし、必要なときに、入出力インタフェースと上記計算機が利用可能な媒体を介して、他の装置から上記記憶装置に導入されてもよい。媒体とは、たとえば、入出力インタフェースに着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号）を指す。
【００４１】
図１４は、本実施形態における生体認証サーバ１０、アプリケーションサーバ２０、アプリケーションサーバ２１、登録用クライアント端末３０、認証用クライアント端末４０のハードウェア構成を示す。これらは図のようにＣＰＵ８００、第１次記憶装置８０１、第２次記憶装置８０２、入力装置８０３、出力装置８０４、通信装置８０５とを含んで構成することができる。
【００４２】
例えば、生体認証サーバ１０の、生体情報認証機能１００と、外部ＩＤ−内部ＩＤ変換機能１０１と、内部ＩＤ発行機能１０２と、アプリケーションサーバ２０の、ユーザ登録／削除機能２０１と、ユーザ検証／識別要求機能２０２と、ユーザ認可機能２０３と、アプリケーションサーバ機能２０４と、認証用クライアント端末４０の、アプリケーションクライアント機能４０３とは、第２次記憶装置８０２のデータを第１次記憶装置８０１に読み込みＣＰＵ８００で計算処理を行うことで実現する。
【００４３】
生体認証サーバ１０の、アプリケーションサーバ２０用データ１１０と、アプリケーションサーバ２１用データ１２０と、アプリケーションサーバ２０の、ユーザ情報２０５とは、第２次記憶装置８０２に保管することで実現する。
【００４４】
登録用クライアント端末３０の、生体情報取得機能３０１と、ユーザ情報取得機能３０２と、認証用クライアント端末４０の、生体情報取得機能４０１と、外部ＩＤ入力機能４０２とは、入力装置８０３により実現し、登録用クライアント端末３０の、登録結果表示機能３０３は、出力装置８０４で実現する。
【００４５】
図２は、図１における登録用生体情報１１１の一例を示す図である。
【００４６】
登録用生体情報１１１は、内部ＩＤ発行機能１０２により発行された内部ＩＤと、図８のＳ１１３により登録される登録用生体情報と、を含んで構成される。
【００４７】
図３は、図１における認証履歴１１２の一例を示す図である。
【００４８】
認証履歴１１２は、外部ＩＤと、認証種別と、認証結果と、日時と、を含んで構成される。
【００４９】
図４は、図１における鍵１１３の一例を示す図である。
【００５０】
鍵１１３は、通常運用鍵１１３１と、図１２に示す内部ＩＤと鍵の更新に利用される更新時用鍵１１３２と、図６に示す登録用生体情報バックアップに利用されるバックアップ用鍵１１３３と、を含んで構成される。
【００５１】
図５は、図１におけるユーザ情報２０５の一例を示す図である。
【００５２】
ユーザ情報２０５には、ユーザの個人情報を保管する。例えば、氏名、住所を保管する。加えて、これらの個人情報に対応して、外部ＩＤを保管する。
【００５３】
図６は、生体認証サーバ１０の登録用生体情報１１１のバックアップを保管する登録用生体情報バックアップストレージ７０の一例である。登録用生体情報バックアップストレージ７０は、アプリケーション毎に独立して登録用生体情報バックアップを保管する（アプリケーションサーバ２０用データ７１０、アプリケーションサーバ２1用データ７２０）。
【００５４】
図７は、登録用生体情報バックアップ７１１の一例を示す図である。
【００５５】
登録用生体情報バックアップ７１１は、バックアップ内部ＩＤと登録用生体情報の対を保管する。
【００５６】
登録用生体情報１１１が何らかの理由により壊れた場合には、生体認証サーバ１０は生体認証のサービスを提供することが困難になる。そこで、あらかじめ登録用生体情報１１１のバックアップを登録用生体情報バックアップストレージ７０に作成し、必要に応じて、登録用生体情報１１１をバックアップストレージ７０から復元することができ、生体認証サーバの可用性（availability：システム全体をダウンさせることなく、継続稼働させる能力）を高く保つことができる。
【００５７】
図８、図９、図１１について説明する。ユーザの認証用クライアント端末４０を介したアプリケーションサーバ２０のアプリケーション利用に関連し、以下のステップを行う。
【００５８】
（１）図８の処理により、ユーザ情報と登録用生体情報を登録。
【００５９】
（２）図９の処理により生体情報を利用したユーザの認証を行い、認証成功かつ許可の場合、ユーザにアプリケーション利用を許可する。
【００６０】
（３）図１１の処理により、ユーザ情報と登録用生体情報を削除。
【００６１】
以下、それぞれの処理について説明する。
【００６２】
図８は、ユーザ情報と登録用生体情報をそれぞれアプリケーションサーバ２０と生体認証サーバ１０に登録するシーケンスである。本シーケンスは、アプリケーションサーバ毎に独立して行う。すなわち、図８では、アプリケーションサーバ２０向けのユーザ情報と登録用生体情報の登録を行う例を示すが、アプリケーションサーバ２１向けに図８と同様のシーケンスを行うことによりアプリケーションサーバ２１向けにユーザ情報と登録用生体情報の登録を行うことができる。
【００６３】
以下処理手順を説明する。
【００６４】
本シーケンスを開始する前提として、通常運用鍵１１３１が保管されているものとする。
【００６５】
ユーザ情報取得機能３０２は、タッチパネル、キーボード、カードとカードリーダなどにより、ユーザからユーザ情報を取得する（Ｓ１００）。ここで、ユーザ情報とは、ユーザ情報２０５に示す会員番号や氏名や住所である。登録用クライアント端末３０は、Ｓ１００で取得したユーザ情報を含むユーザ情報登録要求をアプリケーションサーバ２０に送信し、アプリケーションサーバ２０がこれを受信する（Ｓ１０１）。ユーザ登録／削除機能２０１は、受信したユーザ情報をユーザ情報２０５の会員番号、氏名、住所の項目に保管し（Ｓ１０２）、登録用クライアント端末３０に登録完了を通知する（Ｓ１０３）。
【００６６】
生体情報取得機能３０１は、ユーザの登録用生体情報を取得し（Ｓ１０４）、登録用クライアント端末３０は、取得した登録用生体情報を含む生体情報登録要求をユーザ登録／削除機能２０１に送信する（Ｓ１０５）。
【００６７】
ユーザ登録／削除機能２０１は、外部ＩＤ発行要求を生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ１０６）。
【００６８】
内部ＩＤ発行機能１０２は、内部ＩＤを、図２の登録用生体情報１１１のこれまでに発行された内部ＩＤ一覧を参照することにより、同一の内部ＩＤを２度発行しないようにしつつ、ユーザ情報と登録用生体情報の登録（図８の処理）を繰り返す場合にアプリケーションサーバがその登録順序からユーザ情報と内部ＩＤの対応を推測することを防ぐために乱数をもとに生成し、図２の登録用生体情報１１１に一行追加し、内部ＩＤ欄にこれを保管する。（Ｓ１０７）。
【００６９】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用して、生成した内部ＩＤを外部ＩＤに変換する（Ｓ１０８）。
【００７０】
生体認証サーバ１０は、アプリケーションサーバ２０に外部ＩＤを応答する（Ｓ１０９）。
【００７１】
ユーザ登録／削除機能２０１は、ユーザ情報２０５のＳ１０２で保管したユーザ情報に対応する外部ＩＤ欄に受信した外部ＩＤを保管する（Ｓ１１０）。
【００７２】
ユーザ登録／削除機能２０１は、外部ＩＤとＳ１０５で受信した登録用生体情報とを含む生体情報登録要求を、生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ１１１）。
【００７３】
外部ＩＤ−内部ＩＤ変換機能１０１は、受信した登録用生体情報を受信した外部ＩＤと通常運用鍵１１３１を利用して内部ＩＤに変換する（Ｓ１１２）。
【００７４】
生体認証サーバ１０は、受信した登録用生体情報を、登録用生体情報１１１の変換した内部ＩＤに対応する登録用生体情報欄に登録し（Ｓ１１３）、
登録が完了した旨ユーザ登録／削除機能２０１に通知する（Ｓ１１４）。
【００７５】
ユーザ登録／削除機能２０１は、登録用生体情報の登録完了を外部ＩＤを添付して登録用クライアント端末３０に通知し、登録用クライアント端末３０がこれを受信し、登録結果表示機能３０３がその結果をユーザに表示する（Ｓ１１５）。なお、本ステップでユーザに通知した外部ＩＤは、図９のＳ２０２で利用する。
【００７６】
なお、図８における別の実施形態として、既にＳ１０２に相当するユーザ情報登録が完了している場合には、Ｓ１００からＳ１０３をスキップし、Ｓ１０４から処理を開始してもよい。
【００７７】
図９は、ユーザが認証用クライアント端末４０を利用して生体認証を受け、アプリケーションサーバ２０のアプリケーションを利用するシーケンスである。本シーケンスでは、ユーザは外部ＩＤと生体情報を認証用クライアント端末４０に入力し、入力した情報は生体認証サーバ１０に送られ、生体認証サーバ１０は、受信した検証用生体情報と自身が保持する外部ＩＤに対応する一つの登録用生体情報と１対１の照合を行うことで、ユーザの検証(Verification)を行う。
【００７８】
以降、図９に示す処理手順について説明する。
【００７９】
認証用クライアント端末４０は、アプリケーションサーバ２０に対し、アプリケーション利用を要求する（Ｓ２００）。
【００８０】
アプリケーションサーバ２０は、ユーザの検証に必要な外部ＩＤと検証用生体情報を認証用クライアント端末４０に要求する（Ｓ２０１）。
【００８１】
認証用クライアント端末４０は、外部ＩＤ入力機能４０２（例えば、タッチパネル、あるいはキーボード、あるいはカードとカードリーダなどにより実現される）により、ユーザから外部ＩＤを取得し、
生体情報取得機能４０１により検証用生体情報をユーザから取得し、アプリケーションサーバ２０にこれを送信し、アプリケーションサーバ２０がこれを受信する（Ｓ２０２）。
【００８２】
ユーザ検証／識別要求機能２０２は、受信した外部ＩＤと検証用生体情報を、ユーザ検証要求として生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ２０３）。
【００８３】
外部ＩＤ−内部ＩＤ変換機能１０１は、受信した外部ＩＤを通常運用鍵１１３１を利用して内部ＩＤに変換する（Ｓ２０４）。このとき受信した外部ＩＤに対応する内部ＩＤが存在しない場合は、アプリケーションサーバにエラーを通知する。
【００８４】
生体情報照合機能１００は、変換した内部ＩＤに対応する登録用生体情報を登録用生体情報１１１より取得し、ユーザ検証／識別要求機能２０２から受信した検証用生体情報と１対１の照合を行い、登録用生体情報と検証用生体情報が同一人物のものであるか否かを判定する（Ｓ２０５）。
【００８５】
生体認証サーバ１０は、Ｓ２０３で受信した外部ＩＤとＳ２０５の判定結果を、図３の認証履歴１１２に保管する。
【００８６】
認証履歴１１２には、外部ＩＤと、認証種別に検証、認証結果に判定結果（成功あるいは失敗）、認証日時が保管される（Ｓ２０６）。
【００８７】
生体認証サーバ１０は、検証結果（成功あるいは失敗）をユーザ検証／識別要求機能２０２に応答する（Ｓ２０７）。
【００８８】
ユーザ認可機能２０３は、検証結果が成功の場合に、あらかじめ定めた認可判定基準に基づき、アプリケーション提供を認可するか否かを判定し（Ｓ２０８）、検証結果が失敗の場合には、判定は行わずに認証用クライアント端末４０に検証失敗を通知し、図９の処理を終了する。
【００８９】
Ｓ２０８の認可判定の結果が認可の場合には、アプリケーションサーバ機能２０４は、ネットワーク６０を介してアプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ２０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ２１０）。Ｓ２０８の認可判定の結果が否の場合には、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図９の処理を終了する。
【００９０】
図１１は、図８の処理で登録したユーザ情報や登録用生体情報と、図９のＳ２０６や図１０のＳ３０６で記録されたユーザの認証履歴を削除するシーケンスである。ユーザがアプリケーションサーバ２０の利用を終了するタイミングで行われる。
【００９１】
ユーザ登録／削除機能２０１は、外部ＩＤを含むユーザの登録用生体情報と認証履歴の削除要求を生体認証サーバ１０に送信し、生体認証サーバ１０はこれを受信する（Ｓ４００）。
【００９２】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用して外部ＩＤを内部ＩＤに変換する（Ｓ４０１）。
【００９３】
生体認証サーバ１０は、登録用生体情報１１１におけるＳ４０１で変換した内部ＩＤに対応する一行を削除し（Ｓ４０２）、認証履歴１１２のＳ４００で受信した外部ＩＤに対応する行を削除し（Ｓ４０３）、削除した旨ユーザ登録／削除機能２０１に応答する（Ｓ４０４）。
【００９４】
ユーザ登録／削除機能２０１は、ユーザ情報２０５の中の削除対象のユーザ情報を削除する（Ｓ４０５）。
【００９５】
図１２は、通常運用鍵１１３１を更新するシーケンスである。
【００９６】
以降、図１２に示す処理手順について説明する。
【００９７】
生体認証サーバ１０は、通常運用鍵１１３１（旧鍵）を更新時用鍵１１３２にコピーし、更新用の新しく生成した鍵を通常運用鍵１１３１（新鍵）として上書きする。（Ｓ５０１）。
【００９８】
生体認証サーバ１０は、図２の登録用生体情報１１１における全内部ＩＤを読み出し（Ｓ５０２）、外部ＩＤ−内部ＩＤ変換機能１０１が更新時用鍵１１３２（旧鍵）を利用して、内部ＩＤを外部ＩＤに変換し（Ｓ５０３）、外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１（新鍵）を利用して、外部ＩＤを内部ＩＤに変換し（Ｓ５０４）、生体認証サーバ１０が登録用生体情報１１１の内部ＩＤを更新する（Ｓ５０５）。
【００９９】
生体認証サーバ１０は、更新時用鍵１１３２を消去することで旧鍵を廃棄する（Ｓ５０６）。
【０１００】
以上の、図１２の処理により、通常運用鍵１１３１が更新されると同時に、登録用生体情報１１１の内部ＩＤが更新される。
【０１０１】
外部ＩＤ−内部ＩＤ変換機能１０１は、通常運用鍵１１３１を利用しており、通常運用鍵１１３１をハードウェア暗号モジュールなどを利用して厳密に管理することで、第三者が外部ＩＤ−内部ＩＤ変換機能１０１を実現することを防ぎ、内部ＩＤと外部ＩＤの情報が関連付けられることを防ぐ。仮に、通常運用鍵１１３１と登録用生体情報１１１が第三者に渡ってしまった場合には、外部ＩＤが内部ＩＤを介して生体情報と関連付けされてしまう恐れがあるため、危険である。
【０１０２】
図１２の処理により、仮に、通常運用鍵１１３１あるいは登録用生体情報１１１が第三者に渡ってしまった場合にも、通常運用鍵１１３１と登録用生体情報１１１における内部ＩＤを更新することができ、内部ＩＤと外部ＩＤの情報が関連付けられることを引き続き防ぐことができる。
【０１０３】
図１２の処理は、生体認証サーバ１０単体で行うことができ、アプリケーションサーバ２０や登録用クライアント端末３０や認証用クライアント端末４０での処理は必要なく、運用面での負荷が小さいというメリットもある。
【０１０４】
図１３は、生体認証サーバ１０の登録用生体情報１１１のバックアップ７１１を生成し、登録用生体情報バックアップストレージ７０に保管するシーケンスである。
【０１０５】
以降、図１３に示す処理手順について説明する。
【０１０６】
生体認証サーバ１０は、外部ＩＤ−内部ＩＤ変換機能１０１が利用するバックアップ用の新たな鍵を生成し、バックアップ用鍵１１３３に保管する（Ｓ６００）。
【０１０７】
生体認証サーバ１０は、登録用生体情報１１１からアプリケーションサーバ２０用の全内部ＩＤを取得し（Ｓ６０１）、外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１を利用して内部ＩＤをで外部ＩＤに変換し（Ｓ６０２）、外部ＩＤ−内部ＩＤ変換機能１０１がバックアップ用鍵１１３３を利用して外部ＩＤを登録用生体情報バックアップストレージ７０向けのバックアップ内部ＩＤに変換する（Ｓ６０３）。
【０１０８】
生体認証サーバ１０は、変換したバックアップ内部ＩＤと登録用生体情報との全対情報を、バックアップデータとして、登録用生体情報バックアップストレージ７０に送信し、登録用生体情報バックアップストレージ７０がこれを受信し（Ｓ６０４）、受信したバックアップデータを登録用生体情報バックアップ７１１に保管し（Ｓ６０５）、バックアップ完了を生体認証サーバ１０に通知する（Ｓ６０６）。
【０１０９】
図１３の処理により、登録用生体情報１１１の内部ＩＤをバックアップ内部ＩＤに置き換えた登録用生体情報のバックアップが登録用生体情報バックアップ７１１に作られる。
【０１１０】
このような処理により、登録用生体情報バックアップ７１１は、バックアップ内部ＩＤと登録用生体情報の対を保管する。また、外部ＩＤ−内部ＩＤの対応関係と外部ＩＤ−バックアップ内部ＩＤの対応関係は、生体認証サーバ１０の外部ＩＤ−内部ＩＤ変換機能１０１が通常運用鍵１１３１とバックアップ用鍵１１３３を利用した場合にのみ知ることができる。よって、第三者が通常運用鍵１１３１とバックアップ用鍵１１３３を入手しなければ、第三者は、内部ＩＤとバックアップ内部ＩＤの関連付けをすることが困難である。
【０１１１】
したがって、登録用生体情報バックアップ７１１が漏えいしたとしても、バックアップ元である登録用生体情報１１１における内部ＩＤ−生体情報の関連付けの情報は漏えいしたことにはならず、生体認証サーバ１０は登録用生体情報１１１を利用して運用を継続することができ、可用性を高く保つことができる。
【０１１２】
さらに、登録用生体情報バックアップ７１１が漏えいした場合には、バックアップ用鍵１１３３を更新して、バックアップを再生成することにより、漏えいした旧登録用生体情報バックアップ７１１のバックアップ内部ＩＤ−生体情報の関連付けの情報を事実上無効化できる。
【０１１３】
また、第三者が、登録用生体情報バックアップ７１１（バックアップ内部ＩＤと生体情報の対）と、認証履歴１１２（外部ＩＤと認証履歴の対）を入手したとしても、バックアップ用鍵１１３３を入手しない限り、生体情報と認証履歴の対応関係を知ることは困難である。第三者が生体情報と認証履歴を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを回避できる。また、仮に登録用生体情報バックアップ７１１が第三者に漏えいした場合でも、第三者は認証履歴を元に関連付けをたどり生体情報がだれのものであるか推定することができないため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【０１１４】
さらに、仮に第三者が登録用生体情報バックアップ７１１（バックアップ内部ＩＤと生体情報の対）と、ユーザ情報２０５（外部ＩＤとユーザ情報の対）と、を入手したとしても、第三者はバックアップ用鍵１１３３を入手しない限り、生体情報とユーザ情報の対応関係を知ることは困難である。第三者が生体情報とユーザ情報を関連付けることは困難であるため、ユーザのプライバシ侵害リスクを低減できる。
【０１１５】
また、仮に登録用生体情報バックアップ７１１が第三者に漏えいした場合でも、第三者はその生体情報がだれのものであるか知ることが困難であるため、漏えいした生体情報を用いた本生体認証システムあるいは他生体認証システムへの攻撃の脅威を低減することができる。
【０１１６】
実施例１は、ユーザが外部ＩＤと検証用生体情報を入力して、予め登録されたユーザの内部ＩＤに対応する登録用生体情報と一致するか照合する認証システムの実施例であり、厳密かつ容易に管理できる。実施例１は実施例２と比較して、検証用生体情報とユーザの内部ＩＤに対応する特定の登録用生体情報を照合する、いわゆる１：１照合を行うため、実施例２よりもより高い精度で照合でき、より高い認証精度を実現でき、さらに照合処理の計算が一回でよいため処理時間が短くてすむ。
【実施例２】
【０１１７】
以下、本発明の実施の形態を詳細に説明する。
【０１１８】
図1について生体情報照合機能１００は、登録用生体情報１１１に保管された全登録用生体情報と与えられた一つの識別用生体情報とを照合する１対Ｎ照合の機能を有する。識別用生体情報とは、ユーザが認証機能を利用する度に入力する生体情報であり、生体情報取得機能４０１で取得され生体認証サーバ１０に送信される生体情報である（詳細は図１０のＳ３０２、Ｓ３０３で後述）。外部ＩＤ−内部ＩＤ変換機能１０１は、外部ＩＤから内部ＩＤへ、また、内部ＩＤから外部ＩＤへの変換を行う機能であり、実施例２では、内部ＩＤから外部ＩＤに変換を行う。
【０１１９】
図１のその他の機能については、実施例１と同一である。また、実施例１の図９の検証方法が、実施例２では図１０の識別方法にあたるため、図２から図８、図１１から図１４についても実施例１と同一である。
【０１２０】
以下、図１０の処理について説明する。
【０１２１】
図１０は、ユーザが認証用クライアント端末４０を利用して生体認証を受け、アプリケーションサーバ２０のアプリケーションを利用するシーケンスである。本シーケンスでは、ユーザは、生体情報を認証用クライアント端末４０に入力し、入力した生体情報は生体認証サーバ１０に送られ、生体認証サーバ１０は、受信した識別用生体情報と自身が保持する全登録用生体情報と１対Ｎの照合を行うことで、識別(Identification)を行う。
【０１２２】
以降、図１０に示す処理手順について説明する。
【０１２３】
認証用クライアント端末４０は、アプリケーションサーバ２０に対し、アプリケーション利用を要求する（Ｓ３００）。
【０１２４】
アプリケーションサーバ２０は、ユーザ識別に必要な識別用生体情報を認証用クライアント端末４０に要求する（Ｓ３０１）。
【０１２５】
認証用クライアント端末４０は、生体情報取得機能４０１により識別用生体情報をユーザから取得し、アプリケーションサーバ２０にこれを送信し、アプリケーションサーバ２０がこれを受信する（Ｓ３０２）。
【０１２６】
ユーザ検証／識別要求機能２０２は、受信した識別用生体情報を、ユーザ識別要求として生体認証サーバ１０に送信し、生体認証サーバ１０がこれを受信する（Ｓ３０３）。
【０１２７】
生体情報照合機能１００は、受信した識別用生体情報と登録用生体情報１１１に登録された全生体情報との１対Ｎの照合を行い、受信した識別用生体情報と同一人物の生体情報に対応する内部ＩＤを取得する（Ｓ３０４）。同一人物の生体情報がなければ識別失敗としてＳ３０６へ進む。
【０１２８】
外部ＩＤ−内部ＩＤ変換機能１０１は、取得した内部ＩＤを通常運用鍵１１３１を利用して外部ＩＤに変換する（Ｓ３０５）。
【０１２９】
生体認証サーバ１０は、Ｓ３０５で変換した外部ＩＤを識別結果として、認証履歴１１２に保管する。
【０１３０】
Ｓ３０４で内部ＩＤを取得した場合には、認証履歴１１２には、Ｓ３０５で変換した外部ＩＤと、認証種別に識別、認証結果に成功と外部ＩＤ、認証日時が保管され、Ｓ３０４で識別失敗の場合には、認証履歴１１２には、外部ＩＤが空欄、認証種別に識別、認証結果に失敗、認証日時が保管される（Ｓ３０６）。
【０１３１】
生体認証サーバ１０は、識別結果（成功と外部ＩＤ、あるいは失敗）をユーザ検証／識別要求機能２０２に応答する（Ｓ３０７）。
【０１３２】
ユーザ認可機能２０３は、識別結果が成功の場合に、あらかじめ定めた認可判定基準に基づき、アプリケーション提供を認可するか否かを判定し（Ｓ３０８）、識別結果が失敗の場合には、判定は行わずに認証用クライアント端末４０に識別失敗を通知し、図１０の処理を終了する。
【０１３３】
Ｓ３０８の認可判定の結果が認可の場合には、アプリケーションサーバ機能２０４は、ネットワーク６０を介してアプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ３０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ３１０）。
【０１３４】
Ｓ３０８の認可判定の結果が否の場合には、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図１０の処理を終了する。
【０１３５】
なお、図１０の処理の別の適用方法もある。あらかじめ、登録用生体情報１１１にアプリケーションサーバの利用を認可しないユーザを登録しておく。図１０のＳ３００からＳ３０７は上記と同様の処理を行う。
【０１３６】
ユーザ認可機能２０３は、識別結果が失敗の場合に（アプリケーションサーバ利用不認可ユーザリストに該当しない場合に）アプリケーション提供認可と判定し（Ｓ３０８）、アプリケーションサーバ機能２０４は、アプリケーションクライアント機能４０３にアプリケーションを提供し（Ｓ３０９）、アプリケーションクライアント機能４０３は、その提供を受ける（Ｓ３１０）。
【０１３７】
Ｓ３０８において、ユーザ認可機能２０３は、識別結果として成功と外部ＩＤを得た場合に、（アプリケーションサーバ利用不認可ユーザリストに該当した場合に）アプリケーション提供不認可と判定し（Ｓ３０８）、アプリケーションサーバ２０は認証用クライアント端末４０に認可判定結果を通知し、図１０の処理を終了する。
【０１３８】
実施例２は、ユーザが識別用生体情報を入力して、その生体情報が予め登録された登録用生体情報からユーザ識別を行う認証システムの実施例であり、厳密かつ容易に管理ができる。
【０１３９】
実施例２は実施例１と比較して、ユーザが外部ＩＤを入力する必要がなく、ユーザの利便性が実施例１と比較してより高い。
【０１４０】
なお、実施例１と実施例２において、認証履歴１１２は、アプリケーションサーバ２０用の外部ＩＤと認証履歴の対を保管するとしているが、アプリケーションサーバ２０用の内部ＩＤと認証履歴の対を保管することもできる。この場合、図９の処理ではＳ２０６において外部ＩＤに代わり内部ＩＤが保管され、図１１の処理ではＳ４０３において、内部ＩＤに対応する行が削除され、図１０の処理ではＳ３０６において外部ＩＤに代わり内部ＩＤが保管される。
【０１４１】
本実施形態は、生体認証サーバの内部者不正の脅威を重視する場合に有効である。生体認証サーバの内部者が内部者権限により認証履歴１１２を参照し、さらに別の手段によりユーザ情報２０５を入手したとしても、認証履歴とユーザ情報との関連付けを行うことができず、ユーザのプライバシが侵害されることを回避できる。
【符号の説明】
【０１４２】
１０ 生体認証サーバ
２０ アプリケーションサーバ
２１ アプリケーションサーバ
３０ 登録用クライアント端末
４０ 認証用クライアント端末
５０ ネットワーク
６０ ネットワーク
７０ 登録用生体情報バックアップストレージ
【特許請求の範囲】
【請求項１】
生体情報を利用してユーザの認証を行う生体認証システムにおいて、
クライアント端末と、アプリケーションサーバと、生体認証サーバとを備え、
前記クライアント端末は、
ユーザの生体情報を取得する生体情報取得手段を備え、
前記アプリケーションサーバは、
前記生体認証サーバに前記ユーザの認証を要求する手段と、
前記生体認証サーバによって認証された前記ユーザの外部ＩＤを取得する手段と、
前記外部ＩＤに対応するユーザ情報を取得する手段と、
前記ユーザ情報に基づいてアプリケーションを提供する手段を備え、
前記生体認証サーバは、
前記生体認証装置内で管理される前記内部ＩＤと、前記アプリケーションサーバ内で管理される前記外部ＩＤとを、保管された鍵を用いて対応づける変換手段と、
前記鍵を保管する耐タンパ記憶手段と、
前記予め登録された生体情報と前記クライアント端末によって取得された生体情報とを照合し、前記ユーザの認証を行い、前記認証の結果を応答する手段と、を備える
ことを特徴とする生体認証システム。
【請求項２】
請求項１に記載の生体認証システムにおいて、
前記クライアント端末は、
前記クライアント端末によって取得された生体情報の他にユーザの前記外部ＩＤを取得する手段を備え、
前記生体認証サーバは、
前記クライアント端末で取得された生体情報と前記外部ＩＤとを取得し、前記外部ＩＤを前記内部ＩＤに、前記鍵を用いて変換する手段と、
前記登録用生体情報データベースで管理される前記内部ＩＤに対応する前記予め登録された生体情報を取得する手段とを備え、
前記応答する手段は、前記生体情報を取得する手段で取得した、前記内部ＩＤに対応する前記予め登録された生体情報と、前記クライアント端末によって取得された生体情報とを照合し、前記照合の結果を送信する ことを特徴とする生体認証システム。
【請求項３】
請求項２に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記外部ＩＤから前記内部ＩＤへの変換が失敗の場合、エラーを前記アプリケーションサーバに通知する手段を備えることを特徴とする生体認証システム。
【請求項４】
請求項１に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記クライアント端末で取得された生体情報を取得する手段と、
前記登録用生体情報データベースに管理された複数の前記予め登録された生体情報を用いて、前記クライアント端末によって取得された生体情報を識別し、前記識別に成功した場合は、対応する前記予め登録された生体情報を取得し、取得した前記生体情報に対応した前記内部ＩＤを取得する手段と、
前記内部ＩＤを前記外部ＩＤに前記鍵を用いて変換する手段と、を備え、
前記応答する手段は、前記識別が成功した場合は成功したことと外部ＩＤとを応答し、失敗した場合は失敗したことを応答することを特徴とする生体認証システム。
【請求項５】
請求項１乃至４のいずれか一つに記載の生体認証システムにおいて、
複数のアプリケーションサーバを有し、
少なくとも一つの前記鍵は他のアプリケーションサーバと異なる前記鍵を用いることを特徴とする生体認証システム。
【請求項６】
請求項１乃至５のいずれか一つに記載の生体認証システムにおいて、
前記鍵と前記内部ＩＤとは、それぞれ異なるバックアップ用鍵とバックアップ内部ＩＤを記憶する手段を備える登録用生体情報バックアップストレージを備え、
前記生体認証サーバは、
前記鍵とは異なるバックアップ用鍵を生成する手段と、
前記鍵を用いて前記内部ＩＤを前記外部ＩＤに変換する手段と、
前記バックアップ用鍵を用いて前記外部ＩＤを前記バックアップ内部ＩＤに変換する手段と、
前記予め登録された生体情報と前記バックアップ内部ＩＤとの対を前記登録用生体情報バックアップストレージに送信する手段と、を備えることを特徴とする生体認証システム。
【請求項７】
請求項１乃至６のいずれか一つに記載の生体認証システムにおいて、
前記生体認証サーバは、
前記鍵とは異なる新鍵を生成する手段と、
取得した前記内部ＩＤを前記鍵で前記外部ＩＤに変換する手段と、
前記新鍵で前記外部ＩＤを新内部ＩＤに変換する手段と、
前記内部ＩＤを、前記新鍵によって変換された前記新内部ＩＤに更新する手段と、を備えることを特徴とする生体認証システム。
【請求項８】
請求項７に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記内部ＩＤを前記新内部ＩＤに更新した後、
前記鍵は破棄する手段を備えることを特徴とする生体認証システム。
【請求項１】
生体情報を利用してユーザの認証を行う生体認証システムにおいて、
クライアント端末と、アプリケーションサーバと、生体認証サーバとを備え、
前記クライアント端末は、
ユーザの生体情報を取得する生体情報取得手段を備え、
前記アプリケーションサーバは、
前記生体認証サーバに前記ユーザの認証を要求する手段と、
前記生体認証サーバによって認証された前記ユーザの外部ＩＤを取得する手段と、
前記外部ＩＤに対応するユーザ情報を取得する手段と、
前記ユーザ情報に基づいてアプリケーションを提供する手段を備え、
前記生体認証サーバは、
前記生体認証装置内で管理される前記内部ＩＤと、前記アプリケーションサーバ内で管理される前記外部ＩＤとを、保管された鍵を用いて対応づける変換手段と、
前記鍵を保管する耐タンパ記憶手段と、
前記予め登録された生体情報と前記クライアント端末によって取得された生体情報とを照合し、前記ユーザの認証を行い、前記認証の結果を応答する手段と、を備える
ことを特徴とする生体認証システム。
【請求項２】
請求項１に記載の生体認証システムにおいて、
前記クライアント端末は、
前記クライアント端末によって取得された生体情報の他にユーザの前記外部ＩＤを取得する手段を備え、
前記生体認証サーバは、
前記クライアント端末で取得された生体情報と前記外部ＩＤとを取得し、前記外部ＩＤを前記内部ＩＤに、前記鍵を用いて変換する手段と、
前記登録用生体情報データベースで管理される前記内部ＩＤに対応する前記予め登録された生体情報を取得する手段とを備え、
前記応答する手段は、前記生体情報を取得する手段で取得した、前記内部ＩＤに対応する前記予め登録された生体情報と、前記クライアント端末によって取得された生体情報とを照合し、前記照合の結果を送信する ことを特徴とする生体認証システム。
【請求項３】
請求項２に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記外部ＩＤから前記内部ＩＤへの変換が失敗の場合、エラーを前記アプリケーションサーバに通知する手段を備えることを特徴とする生体認証システム。
【請求項４】
請求項１に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記クライアント端末で取得された生体情報を取得する手段と、
前記登録用生体情報データベースに管理された複数の前記予め登録された生体情報を用いて、前記クライアント端末によって取得された生体情報を識別し、前記識別に成功した場合は、対応する前記予め登録された生体情報を取得し、取得した前記生体情報に対応した前記内部ＩＤを取得する手段と、
前記内部ＩＤを前記外部ＩＤに前記鍵を用いて変換する手段と、を備え、
前記応答する手段は、前記識別が成功した場合は成功したことと外部ＩＤとを応答し、失敗した場合は失敗したことを応答することを特徴とする生体認証システム。
【請求項５】
請求項１乃至４のいずれか一つに記載の生体認証システムにおいて、
複数のアプリケーションサーバを有し、
少なくとも一つの前記鍵は他のアプリケーションサーバと異なる前記鍵を用いることを特徴とする生体認証システム。
【請求項６】
請求項１乃至５のいずれか一つに記載の生体認証システムにおいて、
前記鍵と前記内部ＩＤとは、それぞれ異なるバックアップ用鍵とバックアップ内部ＩＤを記憶する手段を備える登録用生体情報バックアップストレージを備え、
前記生体認証サーバは、
前記鍵とは異なるバックアップ用鍵を生成する手段と、
前記鍵を用いて前記内部ＩＤを前記外部ＩＤに変換する手段と、
前記バックアップ用鍵を用いて前記外部ＩＤを前記バックアップ内部ＩＤに変換する手段と、
前記予め登録された生体情報と前記バックアップ内部ＩＤとの対を前記登録用生体情報バックアップストレージに送信する手段と、を備えることを特徴とする生体認証システム。
【請求項７】
請求項１乃至６のいずれか一つに記載の生体認証システムにおいて、
前記生体認証サーバは、
前記鍵とは異なる新鍵を生成する手段と、
取得した前記内部ＩＤを前記鍵で前記外部ＩＤに変換する手段と、
前記新鍵で前記外部ＩＤを新内部ＩＤに変換する手段と、
前記内部ＩＤを、前記新鍵によって変換された前記新内部ＩＤに更新する手段と、を備えることを特徴とする生体認証システム。
【請求項８】
請求項７に記載の生体認証システムにおいて、
前記生体認証サーバは、
前記内部ＩＤを前記新内部ＩＤに更新した後、
前記鍵は破棄する手段を備えることを特徴とする生体認証システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１１−１３４０３０（Ｐ２０１１−１３４０３０Ａ）
【公開日】平成２３年７月７日（２０１１．７．７）
【国際特許分類】
【出願番号】特願２００９−２９１６８７（Ｐ２００９−２９１６８７）
【出願日】平成２１年１２月２４日（２００９．１２．２４）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２３年７月７日（２０１１．７．７）
【国際特許分類】
【出願日】平成２１年１２月２４日（２００９．１２．２４）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]