認証のための方法およびシステム
本発明は、認証のための方法、デバイス、およびシステムを開示している。認証のための方法は、クラアイント側に対応している特権セキュリティレベルを取得することと、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせることと、前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定することと、前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行することと、認証結果を獲得することとを含む。識別認証と特権認証とを組み合わせて、識別認証は、特権セキュリティレベルと一致する識別セキュリティレベルにしたがって実行されるので、識別認証のルールを調整することができ、認証のプロセスの柔軟性を向上させることができる。
【発明の詳細な説明】
【優先権の主張】
【０００１】
本出願は、“識別と特権との組み合わせによる認証のための方法、ユニット、およびシステム”と題され２００６年８月１８日に中国特許庁に出願された中国特許出願第２００６１０１０９８７９．９号と、“バイオメトリックセキュリティレベルのテンプレートを設定するための方法およびデバイス”と題され２００６年１０月３０日に中国特許庁に出願された中国特許出願第２００６１０１３６４９８．Ｘ号と、“認証のための方法およびシステム”と題され２００６年１０月３０日に中国特許庁に出願された中国特許出願第２００６１０１３６４９７．５号とに対する優先権を主張し、これらの出願は、これらのすべての参照によりここに組み込まれている。
【発明の分野】
【０００２】
本発明は、情報セキュリティ技術に関し、特に、認証のための方法、デバイス、およびシステムに関する。
【背景】
【０００３】
インターネットの急速な発展によって、電子商取引は、オンライン銀行およびオンライン取引のような多くの分野で人気を得ている。パスワードによって個人アカウント情報を保護する従来の方法は、明らかに、データのセキュリティを保証するのに十分ではない。近年では、アカウントのインターネット詐欺および盗用が、ますます深刻になっている。したがって、個人情報の保護および認証の、より高いレベルのセキュリティメカニズムを発展させることが必要不可欠である。
【０００４】
パブリックキーインフラストラクチャ（ＰＫＩ）は、いくつかの分野で応用されている。公開することができて、かつ、パブリックキーおよびユーザの他の情報を記憶することができるパブリック証明書は、オーソリティによってユーザに配布される。パブリックキーに対応しているプライベートキーは、ユーザ自身によって保持されている。パブリックキーは、プライベートキーとの関連付けの一意的な関係を有しており、プライベートキーによって推測することはできないが、パブリックキーによって暗号化された情報はプライベートキーによってのみ解読することが可能である。ＰＫＩのこのような特性には、プライベートキーを確認することによって、ユーザが、パブリックキー証明書において宣言されたエンティティであるかどうかを認証者に確認させることができるので、結果的に、ユーザの情報が違法に盗用されないことを保証することができる。
【０００５】
ＰＫＩメカニズムでは、ユーザのプライベートキーを保護することが重要なポイントである。プライベートキーは、大抵、デジタル情報として何らかのハードウェアに置かれる。プライベートキーが紛失した場合、ユーザのパーソナル情報が公表される可能性があることを意味する。
【０００６】
バイオメトリック識別の技術とは、指紋、虹彩等の識別技術のような人間の物理的特徴または行動特徴を使用することによって識別認証が実行される技術のことを言う。近年では、バイオメトリック識別技術は、ますます成熟してきている。インターネットを通して識別が実行されるという特別な状況であるために、バイオメトリック特徴と組み合わせる識別は、一意的で、かつ安定性があるようなバイオメトリック特徴を利用して、情報セキュリティの保証を提供することができる。
【０００７】
個人のバイオメトリック情報を使用して、識別認証を実行することは、情報を保護する効果的な方法である。バイオメトリック情報の特徴と、インターネットによって識別認証を実行するという特別な状況とを考慮して、バイオメトリック情報をＰＫＩと組み合わせることによって、より安全な認証アーキテクチャを形成することができる。
【０００８】
ＰＫＩシステムは、個人識別のためのメカニズムであり、さらに、バイオメトリック特徴が個人識別を確認するための基本的要素であるので、ＰＫＩおよびバイオメトリック特徴の双方を利用することができ、２つの技術のそれぞれの欠点を克服することができる。クライアント側で整合することにより認証するための方法を例として挙げて、詳細なプロセスを図１に示した。認証は、ユーザの収集されたバイオメトリック特徴サンプルを、ユーザによって提供されたバイオメトリック証明書におけるバイオメトリック特徴テンプレートと整合することによって、ユーザの識別の有効性を決定する。
【０００９】
異なるユーザのさまざまな要求に応じて、サービスプロバイダは、特権マネンジメントインフラストラクチャ（ＰＭＩ）を使用して、異なるユーザに対して異なる特権を許可することができる。
【００１０】
ＰＭＩは、属性証明書、属性特権、属性証明書リポジトリ等を組み合わせたものであり、特権および証明書の発生、マネンジメント、記憶、配布、ならびに取り消し機能のうちの任意のものを実現するが、これらに限定されるものではない。
【００１１】
属性証明書（ＡＣ）は、エンティティに対する特権を規定している。デジタル署名を有するデータ構造によって、エンティティと特権とを組み合わせたものが提供される。属性オーソリティによってサインされて管理されているこのようなデータ構造を、属性証明書と呼ぶ。ＡＣは、拡張メカニズムと一連の特別な証明書拡張メカニズムとを含む。図２に示したように、属性証明書のフォーマットは、バージョンと、シリーズ番号と、有効性の期間と、発行者と、署名アルゴリズムおよびこれらの識別子と、ホルダと、発行者の一意的な情報と、属性情報と、拡張情報と、発行者の署名とのうちの任意のものを含む。
【００１２】
ＰＭＩは、情報を保護するための新しいインフラストラクチャを提供し、ＰＫＩとカタログサービスとを密に一体化し、証明書で認定されたユーザに対して特定の特権を体系的に許可するためのメカニズムを確立する。ＰＭＩは、特権マネンジメントのための体系的な定義および記述を提供し、認証サービス中に必要とされる全体的なプロセスを提供する。
【００１３】
識別認証および特権認証は、データセキュリティリには極めて重要なものである。先行技術では、特権認証を実行するときに、サーバが、認証についての要求をユーザから受け取るステップと、サーバが、予め設定された認証ルールにしたがって認証を実行するステップと、認証が合格した場合、サーバが、ユーザに対して、対応する特権を許可するステップとを含む、識別および特権認証を別々に実行することによって、識別および特権認証するための方法が存在する。
【００１４】
識別認証を実行するプロセスは、特権認証のプロセスに類似しているが、何らかの予め設定された認証ルールにしたがってサーバによってその認証が実行される間、２つのタイプの認証は独立して実行される。しかしながら、識別認証を実行するだけでは、あるいは、特権認証を実行するだけでは、認証の正確性を保証することはできない。
【００１５】
先行技術における識別および特権認証のための別の方法は、識別認証を最初に実行することと、識別認証に合格したときに、特権認証を実行することとを含む。
【００１６】
このような技術スキームは、全体的な認証プロセスの厳密性、さらには正確性も高めるかもしれない。しかしながら、このようなプロセスは、何らかの予め設定されたルールのみにしたがって実行されるので、実際の状況にしたがって認証ルールを調整することができず、さらには、認証を動的に実行することができないので、結果として、識別および特権認証のプロセスの柔軟性が限定される。
【概要】
【００１７】
本発明の実施形態では、認証を実現するための方法、デバイス、およびシステムを提供する。
【００１８】
本発明の実施形態は、識別と特権との組み合わせによる認証のための方法を提供し、
クラアイント側に対応している特権セキュリティレベルを取得することと、
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせることと、
前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定することと、
前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行することと、
認証結果を獲得することとを含む。
【００１９】
本発明の別の実施形態は、抽出ユニットと、バイオメトリック処理ユニットと、認証ユニットとを具備する、識別と特権との組み合わせによる認証のためのシステムを提供し、
前記抽出ユニットは、クライアント側に対応している前記特権セキュリティレベルを取得して、前記特権セキュリティレベルを前記バイオメトリック処理ユニットに送るように構成され、
前記バイオメトリック処理ユニットは、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせて、前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定し、前記認証パラメータを前記認証ユニットに送るように構成され、
前記認証ユニットは、前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行するように構成されている。
【００２０】
本発明の別の実施形態は、関連付けユニットと、パラメータ発生ユニットと、生身のバイオメトリックテンプレートを発生させるためのユニットと、バイオメトリック証明書を抽出するためのユニットとを具備するバイオメトリック処理のためのデバイスを提供し、
前記関連付けユニットは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせして、前記識別セキュリティレベルを前記パラメータ発生ユニットに送るように構成され、
前記パラメータ発生ユニットは、前記関連付けユニットから受け取った前記識別セキュリティレベルに対応している認証パラメータを発生させて、前記生身のバイオメトリックテンプレートを発生させるためのユニットに前記パラメータを送るように構成され、
前記生身のバイオメトリックテンプレートを発生させるためのユニットは、前記パラメータ発生ユニットからの前記認証パラメータと、ユーザのバイオメトリック情報とにしたがって、生身のバイオメトリックテンプレートを発生させるように構成され、
前記バイオメトリック証明書を抽出するためのユニットは、受け取ったバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出するように構成されている。
【００２１】
本発明の別の実施形態は、バイオメトリック認証のための方法を提供し、
パラメータ情報に対する一意的な識別子を取得することと、
バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせることと、
ユーザのバイオメトリック情報をクライアント側から受け取ることと、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に基づいてバイオメトリック認証を実行することとを含む。
【００２２】
本発明の別の実施形態は、クライアント側と、認証側とを具備する、バイオメトリック認証のためのシステムを提供し、
前記クライアント側は、パラメータ情報に対する一意的な識別子とユーザのバイオメトリック情報とを前記認証側に送るように構成され、
前記認証側は、前記パラメータ情報に対する一意的な識別子と、前記ユーザのバイオメトリック情報とを前記クライアント側から取得して、バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせて、前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に基づいてバイオメトリック認証を実行するように構成されている。
【００２３】
第１に、識別認証と特権認証とを組み合わせて、アクセスに要求される特権セキュリティレベルと一致する識別セキュリティレベルにしたがって識別認証が実行されるので、実際のシチュエーションにしたがって識別認証のルールを調整することができ、認証のプロセスの柔軟性を向上させることができることと、
第２に、ある整合アルゴリズムにしたがって、生身のバイオメトリックテンプレートを、ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得して、整合スコアをしきい値と比較することによって、認証が合格したか否かが決定されるので、認証の正確性を向上させることとを含む、
本発明の実施形態に関係するいくつかの効果が存在することは、前述した技術スキームから認識することができる。
【図面の簡単な説明】
【００２４】
【図１】図１は、先行技術におけるバイオメトリックテンプレートを使用して、識別認証を実行するためのプロセスのフローチャートである。
【図２】図２は、属性証明書のフォーマットを示している。
【図３】図３は、属性証明書におけるバイオメトリック拡張情報のフォーマットを示している。
【図４】図４は、本発明の実施形態にしたがった、方法のフローチャートである。
【図５】図５は、本発明の実施形態にしたがった、方法の別のフローチャートである。
【図６】図６は、本発明の実施形態にしたがった、システムの構造図である。
【図７】図７は、本発明の実施形態にしたがった、システムの機能を示している図である。
【図８】図８は、本発明の実施形態にしたがった、バイオメトリック処理ユニットの構造図である。
【図９】図９は、本発明の実施形態にしたがった、バイオメトリック処理ユニットの機能を示している図である。
【図１０（ａ）】図１０（ａ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１０（ｂ）】図１０（ｂ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１０（ｃ）】図１０（ｃ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１１】図１１は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するプロセスのフローチャートである。
【図１２】図１２は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するためのデバイスの構造図である。
【図１３】図１３は、本発明の実施形態におけるバイオメトリック認証のためのプロセスのフローチャートである。
【図１４】図１４は、図１３に示したプロセスと比較してより詳細な実施形態にしたがった、プロセスのフローチャートである。
【図１５】図１５は、図１３に示したプロセスを実行するためのバイオメトリック認証システムの構造図である。
【詳細な説明】
【００２５】
認証のための方法、システム、およびデバイスを提供する本発明の実施形態では、実際の状況にしたがって認証のためのルールを調整することができるので、認証のためのプロセスの柔軟性を向上させることができる。
【００２６】
バイオメトリック認証を使用するために、若干、ＰＭＩシステムを増補する必要がある。システム上での影響を最小限にするために、拡張項目を属性証明書に追加する。
【００２７】
属性証明書の拡張情報は、主に、証明書のアプリケーションに関係するポリシーを宣言するためのものである。属性証明書の拡張情報は、ベーシック拡張情報、特権取消拡張情報、ルート属性オーソリティ拡張情報、役割拡張情報、および許可拡張情報等を含む。
【００２８】
属性証明書を使用して特権認証を実行するとき、クライアントの識別に基づいて認証を最初に実行する。特権と識別との間の関連付けの関係の正確性を確実にするために、属性証明書とバイオメトリック証明書とを組み合わせる。したがって、バイオメトリック証明書に関連付けられたインデックス情報を属性証明書のバイオメトリック拡張情報に加える。これによって、ベーシック拡張情報内のバイオメトリック拡張が新しくなる。バイオメトリック拡張は、バイオメトリック証明書識別子と呼ばれ、図３に図示している。
【００２９】
図３に図示したように、バイオメトリック証明書識別子は、「バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号」、エンティティ名およびオブジェクトの要約を含み、バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号は、属性証明書のホルダに対応しているバイオメトリック証明書、すなわち、属性証明書のホルダにおける識別認証に必要とされるバイオメトリック証明書、のマークである。属性証明書において識別認証を実行したとき、ホルダの収集されたバイオメトリックデータをバイオメトリック証明書のテンプレートと整合し、認証の結果を獲得する。バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号は双方ともオプションであってもよい。
【００３０】
エンティティ名は、１つ以上の属性証明書ホルダの名前のマークである。エンティティ名がバイオメトリック拡張における項目に過ぎない場合、エンティティ名に含まれるサブジェクト名に対応している何らかのバイオメトリック証明書は、属性証明書のホルダの識別を認証するために使用されてもよい。言い換えると、バイオメトリック証明書のサブジェクト名がエンティティ名に含まれている限り、サブジェクト名は、ホルダの識別を認証するために使用されてもよい。ホルダの何らかのバイオメトリック証明書が認証に合格した場合に、識別認証は合格する。しかしながら、「バイオメトリック証明書発行者およびバイオメトリック証明書シーケンス番号」ならびにエンティティ名の双方の項目が存在する場合、認証を実行する最初の選択肢として、「バイオメトリック証明書発行者およびバイオメトリック証明書シーケンス番号」の項目を選ぶ。
【００３１】
オブジェクトの要約は、属性ホルダのバイオメトリック証明書のシリアル番号、有効性の期間、サブジェクトおよびサブジェクトの一意的な識別、発行者および発行者の一意的な識別子、テンプレートフォーマットの識別子、バイオメトリック特徴テンプレート、ならびに拡張情報を含むパラメータに基づいた計算によって獲得される要約情報であり、属性証明書ホルダの識別を認証するために使用される。ホルダ上で識別認証を実行するとき、要約は、ホルダのバイオメトリック証明書に基づいて獲得される。属性証明書のバイオメトリック拡張におけるオブジェクト要約情報を要約と比較して、同一の属性証明書に一致するバイオメトリック証明書がホルダによって提供された適切なものであるかどうか、識別認証のプロセスがさらに実行される。
【００３２】
関連付けられている属性証明書にしたがってバイオメトリック証明書を確実に探すために、バイオメトリック拡張は、「バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号」、エンティティ名、ならびにオブジェクトの要約のうちの少なくとも何らかの項目を含む。
【００３３】
バイオメトリックテンプレートを含むＰＫＩパブリックキー証明書を使用して、識別認証を実行する場合、ＰＫＩ証明書に対する属性証明書のインデックスによって、属性証明書とバイオメトリックテンプレートとの間の関連付けの関係を確立することができる。インデックスは、拡張インデックスによって確立されず、属性証明書のホルダによる定義によって確立される。
【００３４】
クライアント側の特権および特権セキュリティレベルは、属性証明書中に含まれる。クライアント側のバイオメトリックテンプレートは、バイオメトリック証明書中に含まれる。識別セキュリティレベルは、バイオメトリックアルゴリズム証明書中に含まれ、それぞれのレベルについて、バイオメトリックテンプレート処理アルゴリズムの対応するパラメータと、整合アルゴリズムパラメータと、しきい値とが存在する。属性証明書における特権セキュリティレベルとバイオメトリックアルゴリズム証明書における識別セキュリティレベルとが関連付けられているので、特権セキュリティレベルの値と識別セキュリティレベルとが関連付けられ、したがって、この方法で、２つの値の間の関連付けによって、特権は識別と関連付けられる。
【００３５】
識別認証を実行するときに、システムは、属性証明書を抽出することによって特権セキュリティレベルを獲得して、特権セキュリティレベルと、バイオメトリックアルゴリズム証明書から抽出された識別セキュリティレベルとを整合することによって、使用するパラメータを決定する。識別セキュリティレベルは、バイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムのパラメータと、しきい値とを含む。
【００３６】
本発明の実施形態では、アプリケーションユニットがクライアント側からアクセス要求を受け取ったときに、アプリケーションユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。アプリケーションユニットは、受け取った属性証明書を認証して、特権セキュリティレベルを獲得し、属性証明書からの特権にアクセスする。アプリケーションユニットは、認証側中に記憶されているバイオメトリックアルゴリズム証明書を抽出して、識別セキュリティレベルを獲得する。アプリケーションユニットは、バイオメトリック処理アルゴリズムのパラメータとしきい値とを決定して、生身のバイオメトリックテンプレートを発生させる。アプリケーションユニットは、クライアント側のバイオメトリック証明書を抽出して、ユーザのバイオメトリックテンプレートを獲得する。アプリケーションユニットは、生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得する。しきいと整合スコアとにしたがって、アプリケーションユニットは、認証が合格したか否かを決定する。認証が合格した場合、アプリケーションユニットは、クライアントからの要求に対する応答を戻す。
【００３７】
図４に図示したように、本発明の実施形態の一般的なプロセスは、以下のステップを含む。
【００３８】
４０１：特権認証を識別認証と関連付ける。
【００３９】
このステップでは、属性証明書の特権セキュリティレベルを、バイオメトリックアルゴリズム証明書の識別セキュリティレベルと関連付けることが、特権認証を識別と関連付ける方法であってもよい。
【００４０】
４０２：特権セキュリティレベルを取得する。
【００４１】
４０３：特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００４２】
このステップでは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせることが、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる方法であってもよい。
【００４３】
４０４：認証のためのパラメータを決定する。
【００４４】
このステップでは、問い合わせた識別セキュリティレベルにしたがって、認証のためのパラメータを決定することが、認証のためのパラメータを決定する方法であってもよい。認証のためのパラメータは、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムのパラメータと、しきい値とを含んでいてもよい。
【００４５】
４０５：ステップ４０４で決定された認証のためのパラメータを使用して、クライアントのバイオメトリックテンプレートを認証する。
【００４６】
４０６：認証結果を発生させる。
【００４７】
図５に図示したように、本発明の実施形態の詳細なプロセスは以下のものを含む。
【００４８】
５０１：特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を確立する。
【００４９】
このステップにおいて、確立された関係情報は、バイオメトリックアルゴリズム証明書中に記憶され、関係情報は、データベース等のような他の位置に記憶されていてもよい。
【００５０】
特権セキュリティレベルと特権セキュリティリとの間の関連付けを確立することによって特権認証を識別認証と関連付けるこの方法に加えて、特権認証を識別認証と関係付ける他の方法が存在してもよい。
【００５１】
５０２：クライアント側が、アプリケーションユニットにアクセス要求を送る。
【００５２】
このステップでは、送信される要求は、アプリケーションユニットにアクセスするために使用されるリソースに適用するためのものであってもよい。
【００５３】
５０３：識別情報を転送するためのユニットを呼び出す。
【００５４】
このステップでは、識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求するために呼び出される。
【００５５】
５０４：バイオメトリック証明書および属性証明書を取得する。
【００５６】
このステップでは、バイオメトリック証明書および属性証明書についての要求をクライアントに送った後、識別情報を転送するためのユニットが、バイオメトリック証明書および属性証明書をクライアント側から受け取る。
【００５７】
５０５：特権セキュリティレベルを取得する。
【００５８】
このステップでは、抽出ユニットが、識別情報を転送するためのユニットによって転送される属性証明書を抽出し、特権セキュリティレベルを獲得する。
【００５９】
５０６：特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００６０】
このステップでは、バイオメトリック処理ユニットが、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００６１】
５０７：認証パラメータを決定する。
【００６２】
このステップでは、バイオメトリック処理ユニットが、問い合わせた識別セキュリティレベルにしたがって認証パラメータを決定する。識別セキュリティレベルは、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムパラメータと、しきい値とを含む。
【００６３】
５０８：生身のバイオメトリックテンプレートを発生させる。
【００６４】
このステップでは、バイオメトリック処理ユニットが、受け取ったユーザのバイオメトリック情報と、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータとにしたがって、生身のバイオメトリックテンプレートを発生させる。
【００６５】
５０９：ユーザのバイオメトリックテンプレートを取得する。
【００６６】
このステップでは、バイオメトリック処理ユニットが、クライアント側から獲得したバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出する。このステップは、ユーザのバイオメトリック証明書を取得した後または取得する前に実行されてもよい。
【００６７】
５１０：生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合する。
【００６８】
このステップでは、認証ユニットが、生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得する。整合するさまざまな方法が存在するが、これは限定されるものではない。
【００６９】
５１１：整合スコアがしきい値より大きいか否か、または、しきい値に等しいか否かを決定し、整合スコアが、しきい値より大きいか、または、しきい値に等しい場合に、プロセスはステップ５１２に進み、そうでなければ、プロセスはステップ５１３に進む。
【００７０】
このステップでは、しきい値は、認証パラメータのうちの１つであってもよく、識別セキュリティレベルにしたがって獲得される。
【００７１】
５１２：クライアント側についての認証が合格した場合、プロセスはステップ５１４に進む。
【００７２】
５１３：クライアント側についての認証が不合格であった場合、プロセスはステップ５１４に進む。
【００７３】
５１４：クライアント側に応答を戻す。
【００７４】
このステップでは、認証結果を含む応答をクライアント側に戻す。
【００７５】
本発明の実施形態では、アプリケーションユニットがアクセス要求をクライアント側から受け取ったとき、アプリケーションユニットが、識別情報を転送するためのユニットを呼び出す。識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。そして、抽出ユニットが、属性証明書を抽出し、特権セキュリティレベルを獲得して、特権にアクセスする。
【００７６】
識別情報を転送するためのユニットによって呼び出されたバイオメトリック処理ユニットが、バイオメトリックアルゴリズム証明書を抽出して、識別セキュリティレベルを取得し、識別セキュリティレベルにしたがって、バイオメトリック処理パラメータおよびしきい値を決定して、生身のバイオメトリックテンプレートを発生させる。
【００７７】
バイオメトリック処理ユニットが、クライアント側のバイオメトリック証明書を抽出し、ユーザのバイオメトリックテンプレートを獲得し、生身のバイオメトリックテンプレートとユーザのバイオメトリックテンプレートとを整合して、整合スコアを得る。認証ユニットが、整合スコアとしきい値とにしたがって、識別認証が合格したか否かを決定する。しきい値認証に合格した場合、識別情報を転送するためのユニットが、アプリケーションユニットに特権を戻す。アプリケーションユニットは、要求したリソースをクライアント側に戻す。
【００７８】
クライアント側の特権および特権セキュリティレベルは、属性証明書中に含まれている。ユーザのバイオメトリックテンプレートは、クライアント側のバイオメトリック証明書中に含まれている。特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係は、バイオメトリックアルゴリズム証明書中に含まれている。各特権セキュリティレベルまたは識別セキュリティレベルには、生身のバイオメトリックテンプレート処理アルゴリズムパラメータと整合アルゴリズムパラメータとしきい値とを含む、対応するパラメータがある。
【００７９】
図６に図示したように、本発明の実施形態にしたがったシステムは、アプリケーションユニット６０１と、識別情報を転送するためのユニット６０２と、抽出ユニット６０３と、バイオメトリック情報収集ユニット６０４と、バイオメトリック処理ユニット６０５と、認証ユニット６０６とを備えている。
【００８０】
この実施形態では、クライアント側が、アプリケーションユニット６０１にアクセス要求を送る。アプリケーションユニット６０１は、アクセス要求を受け取った後に、識別情報を転送するためのユニット６０２を呼び出すように構成されている。識別情報を転送するためのユニット６０２は、属性証明書およびバイオメトリック証明書についての要求をクライアント側に送るように構成されている。属性証明書およびバイオメトリック証明書をクライアント側から受け取った後に、識別情報を転送するためのユニット６０２が、抽出ユニット６０３およびバイオメトリック処理ユニット６０５に、属性証明書およびバイオメトリック証明書を送る。抽出ユニット６０３は、特権セキュリティレベルを属性証明書から取得して、特権セキュリティレベルをバイオメトリック処理ユニット６０５に送るように構成されている。
【００８１】
バイオメトリック情報収集するためのユニット６０４は、ユーザのバイオメトリック情報をクライアント側から取得して、ユーザのバイオメトリック情報をバイオメトリック処理ユニット６０５に送るように構成されている。
【００８２】
特権セキュリティレベルを受け取ると、バイオメトリック処理ユニット６０５は、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせるように構成されている。バイオメトリック処理ユニット６０５は、識別セキュリティレベルにしたがって、認証パラメータを決定し、バイオメトリック情報を収集するためのユニット６０４からのユーザのバイオメトリック情報によって、生身のバイオメトリックテンプレートを発生させて、生身のバイオメトリックテンプレートと、クライアントのバイオメトリック証明書におけるクライアントのバイオメトリックテンプレートと、整合アルゴリズムパラメータと、しきい値とを、認証ユニット６０６に送る。
【００８３】
認証ユニット６０６は、クライアントのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合し、識別情報を転送するためのユニット６０２に認証結果を送るように構成されている。
【００８４】
図７に図示したように、本発明の実施形態にしたがったシステムによって実行されるプロセスは、以下のものを含む。
【００８５】
７０１：クライアント側が、アプリケーションユニットにアクセス要求を送る。
【００８６】
７０２：アプリケーションユニットが、識別情報を転送するためのユニットを呼び出す。
【００８７】
７０３：識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。
【００８８】
７０４：クライアント側が、識別情報を転送するためのユニットにバイオメトリック証明書および属性証明書を送る。
【００８９】
７０５：識別情報を転送するためのユニットが、抽出ユニットを呼び出す。
【００９０】
７０６；識別情報を転送するためのユニットが、バイオメトリック処理ユニットを呼び出す。
【００９１】
７０７：抽出ユニットが、属性証明書の有効性を確認し、特権および特権セキュリティを抽出して、特権セキュリティレベルをバイオメトリック処理ユニットに送る。
【００９２】
７０８：バイオメトリック処理ユニットが、ユーザの対応するバイオメトリック情報を入力するようにクライアント側に要求する。ユーザのバイオメトリック情報をクライアント側から取得した後に、バイオメトリック情報を収集するためのユニットが、対応するソフトウェアモジュールによって、ユーザのバイオメトリック情報をバイオメトリック処理ユニットに送る。
【００９３】
７０９：バイオメトリック処理ユニットが、バイオメトリック情報収集ユニットからのユーザのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを発生させて、バイオメトリック証明書におけるバイオメトリックテンプレートと、生身のバイオメトリックテンプレートとを認証ユニットに送る。
【００９４】
７１０：認証ユニットが、クライアントのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合して、整合スコアを得て、整合スコアおよびしきい値としたがって「容認（Ｙ）」または「否認（Ｎ）」の結果を決定し、識別情報を転送するためのユニットに結果を送る。
【００９５】
７１１：識別情報を転送するためのユニットが、（アクセス）特権を属性証明書から抽出して、アプリケーションユニットに（アクセス）特権を送る。
【００９６】
７１２：アプリケーションユニットプロセスが、（アクセス）特権にしたがって、クライアント側からの要求を処理して、処理結果をクライアント側に送る。
【００９７】
図８に図示したように、本発明のバイオメトリック処理ユニット６０５の実施形態、すなわち、バイオメトリック処理のためのデバイスは、関連付けユニット８０１と、パラメータ発生ユニット８０２と、生身のバイオメトリックテンプレートを発生させるためのユニット８０３と、バイオメトリック証明書を抽出するためのユニット８０４とを備えている。関連付けユニット８０１は、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせて、問い合わせた識別セキュリティレベルをパラメータ発生ユニット８０２に送るように構成されている。
【００９８】
パラメータ発生ユニット８０２は、受け取った識別セキュリティレベルに対応している認証パラメータを発生させて、生身のバイオメトリックテンプレートを発生させるためのユニット８０３に認証パラメータを送るように構成され、生身のバイオメトリックテンプレートを発生させるためのユニット８０３は、認証パラメータによって、生身のバイオメトリックテンプレートを発生させるように構成されている。バイオメトリック証明書を抽出するためのユニット８０４が、ユーザのバイオメトリックテンプレートをバイオメトリック証明書から抽出する。
【００９９】
図９に図示したように、本発明のバイオメトリック処理ユニットの実施形態によって実行されるプロセスは、以下のものを含む。
【０１００】
９０１：特権セキュリティレベルを取得する。
【０１０１】
９０２：関連付けユニットが、特権セキュリティリレベルと識別セキュリティレベルとの間の関連付けの関係を取得して、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせて、識別セキュリティレベルをパラメータ発生ユニットに送る。
【０１０２】
９０３：バイオメトリック証明書を抽出するためのユニットが、バイオメトリック証明書をクライアント側から抽出して、ユーザのバイオメトリックテンプレートを獲得する。
【０１０３】
９０４：パラメータ発生ユニットが、受け取った識別セキュリティレベルに対応している認証パラメータを発生させる。識別セキュリティレベルは、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータと、しきい値と、整合アルゴリズムパラメータとを含む。
【０１０４】
９０５：パラメータ発生ユニットが、生身のバイオメトリックテンプレートを発生させるためのユニットに対して、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータを送信して、しきい値と、整合アルゴリズムパラメータとを認証ユニットに送る。
【０１０５】
９０６：ユーザの対応するバイオメトリック情報を入力するようにクライアント側に要求する。ユーザのバイオメトリック情報を取得した後に、バイオメトリック情報を収集するためのユニットが、対応するソフトウェアモジュールによって、生身のバイオメトリックテンプレートを発生させるためのユニットにユーザのバイオメトリック情報を送る。
【０１０６】
９０７：生身のバイオメトリックテンプレートを発生させるためのユニットが、ユーザのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを発生させて、生身のバイオメトリックテンプレートを認証ユニットに送る。
【０１０７】
９０８：認証ユニットが、ユーザのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合し、整合スコアを得て、整合スコアとしきい値とにしたがって「容認（Ｙ）」または「否認（Ｎ）」の結果を決定し、識別情報を転送するためのユニットに結果を送る。
【０１０８】
認証のための前述の方法と、図８および図９に図示したものとに基づいて、本発明の実施形態は、バイオメトリックセキュリティレベルのテンプレートを提供し、バイオメトリックセキュリティレベルのテンプレートを使用して、バイオメトリック認証を実行するための方法およびシステムとを提供する。
【０１０９】
本発明の実施形態では、バイオメトリックセキュリティレベルのテンプレートは、バイオメトリックセキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報とを含み、このフォーマットを図１０（ａ）、図１０（ｂ）、図１０（ｃ）に図示した。バイオメトリックセキュリティレベルのテンプレートのフォーマットは、図示したものに加えて、他の形態であってもよいことに留意すべきである。
【０１１０】
図１０（ａ）に図示したように、実施形態のバイオメトリックセキュリティレベルのテンプレートは、
バイオメトリックセキュリティレベルと、パラメータ情報に対する一意的な識別子と、セキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報と、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲと、関係パラメータとを含む。
【０１１１】
バイオメトリックセキュリティレベルは、パラメータ情報に対する一意的な識別子とセキュリティレベルとを含んでいてもよい。
【０１１２】
パラメータ情報に対する一意的な識別子は、バイオメトリックパラメータ情報およびセキュリティレベルのハッシュ値等のような、バイオメトリックセキュリティレベルに一意的に対応しているパラメータを区別するように構成されている。この項目は、セキュリティレベルとともに、クライアント側またはあるデータベースに提供されてもよい。この項目は、ハッシュ値またはパラメータ情報の暗号化された値であってもよい。
【０１１３】
セキュリティレベルは、あるポリシーとバイオメトリックパラメータ情報とによって表されるバイオメトリックセキュリティのマークであってもよい。セキュリティレベルを決定する基本は、ポリシーと、同じアルゴリズムに対応している誤整合率の値と、ポリシーに関係する同じバイオメトリックタイプとを含む。
【０１１４】
ポリシーは、単一モードバイオメトリック認証と、「単一モードバイオメトリック認証＋生身のチェック」と、複数モードバイオメトリック認証と、「複数モードバイオメトリック認証＋生身のチェック」等を含んでいてもよい。ポリシーは、要求に応じて拡張されてもよい。
【０１１５】
単一モードバイオメトリック認証は、ある単一のバイオメトリックタイプ、例えば、指紋、虹彩、脈相等を使用して認証を実行することであってもよい。生身のバイオメトリックチェックを実行するとき、生身のバイオメトリック特徴を識別するためのあるデバイスがあってもよい。複数モードバイオメトリック認証は、さまざまな生身を使用して、または、同じ生身の異なるタイプのバイオメトリック特徴を使用して認証を実行することである。
【０１１６】
バイオメトリックパラメータ情報は、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲと、関係パラメータとを含んでいてもよい。
【０１１７】
バイオメトリックタイプは、バイオメトリック認証のために使用されるバイオメトリック特徴のマークであってもよく、指紋、虹彩、顔特徴、ならびに、指紋プラス虹彩等のようなバイオメトリック特徴のさまざまな組み合わせ等を含む。
【０１１８】
バイオメトリックアルゴリズムは、バイオメトリック識別を実行するために使用されるバイオメトリック処理アルゴリズムであってもよく、生身のバイオメトリックテンプレートを処理するためのアルゴリズム、およびバイオメトリックテンプレートを整合するためのアルゴリズム等を含む。
【０１１９】
バイオメトリックアルゴリズムＦＭＲは、あるバイオメトリックアルゴリズムに対応している一連の値であってもよく、これは、誤整合率を表す。ＦＭＲが小さければ小さいほど、バイオメトリックセキュリティリレベルは高くなる。
【０１２０】
要求に応じて、バイオメトリックセキュリティレベルのテンプレートに関係パラメータを加えてもよい。
【０１２１】
前述したフォーマットの観点から、ポリシーと、バイオメトリックパラメータと、セキュリティレベルとを含むバイオメトリックセキュリティレベルのリストは、識別セキュリティレベルを示し、表１として示す。
【表１】
【０１２２】
表１に示したように、バイオメトリックレベルは、上から下に１行毎に高くなる。
【０１２３】
１つの複合項目、すなわち、「ハッシュまたは暗号化された値Ｉ」、「ハッシュまたは暗号化された値ｊ」、「ハッシュまたは暗号化された値ｋ」、および「ハッシュまたは暗号化された値ｌ」を含む、パラメータ情報に対する一意的な識別子がある。
【０１２４】
セキュリティレベルは、ポリシーおよびＦＭＲに関連付けられている。セキュリティレベルを決定する基本は、あるポリシーに関連付けられている、同じアルゴリズムおよび同じバイオメトリックタイプに対応しているＦＭＲ値、ならびに、ポリシーにしたがって、セキュリティレベルの値を決定することであってもよい。ポリシーの条件が多くあればあるほど、ＦＭＲは小さくなり、セキュリティリレベルは高くなる。セキュリティレベルの値をバイオメトリックセキュリティレベルの値に反映させなければならないときに、ＦＭＲ値とセキュリティレベルとの間の関連付けの関係を調整する。
【０１２５】
表１に示したように、ポリシーのセキュリティレベルは、この順序、すなわち、単一モード＜「単一モード＋生身のチェック」＜複数モード＜「複数モード＋生身のチェック」の順序で高くなる。ポリシーの条件が多くあればあるほど、セキュリティレベルは高くなる。
【０１２６】
バイオメトリックアルゴリズム。ポリシーが単一モードであるとき、同じバイオメトリックタイプが、複数のバイオメトリック処理アルゴリズム、例えば、指紋を処理するためのさまざまなアルゴリズムに対応していてもよい。ポリシーが複数モードであるとき、バイオメトリックタイプの同じ組み合わせが、複数のアルゴリズムの組み合わせに対応していてもよい。例えば、「指紋＋虹彩」の組み合わせは、「指紋アルゴリズム１＋虹彩アルゴリズム１」の組み合わせ、あるいは、「指紋アルゴリズム２＋虹彩アルゴリズム２」の組み合わせに相当し得る。
【０１２７】
ＦＭＲ値。それぞれのアルゴリズムまたはアルゴリズムの組み合わせが、複数のＦＭＲ値に対応していてもよく、セキュリティレベルを決定する一連の値が存在してもよい。
【０１２８】
例えば、ポリシーがＡであり、バイオメトリックタイプがＢであり、バイオメトリックアルゴリズムがＣであったとき、セキュリティレベルを決定するＦＭＲ値は、１、２、および３である。
【０１２９】
本発明の実施形態を表２で示す。
【表２】
【０１３０】
【０１３１】
【０１３２】
図１１に図示したように、本発明の実施形態におけるバイオメトリックセキュリティレベルのテンプレートを設定するための方法は、以下のステップを含む。
【０１３３】
１１０１：ポリシーを取得する。
【０１３４】
このステップでは、単一モードバイオメトリック認証、「単一モードバイオメトリック認証＋生身のチェック」、複数モードバイオメトリック認証、「複数モードバイオメトリック認証＋生身のチェック」等を含むポリシーを取得する。要求に応じて、ポリシーを拡張してもよい。
【０１３５】
１１０２：バイオメトリックパラメータ情報を取得する。
【０１３６】
このステップにおいて、バイオメトリックパラメータ情報は、バイオメトリックタイプおよび／またはバイオメトリックアルゴリズムおよび／またはＦＭＲ値および／または他の関係パラメータを含む。
【０１３７】
１１０３：セキュリティレベル値を決定する。
【０１３８】
このステップでは、ポリシーに一致している、同じアルゴリズムおよび同じバイオメトリックタイプに対応しているＦＭＲ値、ならびに、ポリシーにしたがって、セキュリティレベル値を決定する。ポリシーの条件が多くあればあるほど、ＦＭＲ値は小さくなり、セキュリティレベルは高くなる。
【０１３９】
１１０４：一意的なパラメータ情報識別子を配布する。
【０１４０】
このステップでは、一意的なパラメータ情報識別子は、バイオメトリックパラメータ情報、ハッシュ値またはセキュリティレベルの暗号化された値を含んでいてもよい。一意的なパラメータ情報識別子は、バイオメトリックパラメータ情報を一意的に識別する他の識別子であってもよい。
【０１４１】
１１０５：バイオメトリックセキュリティレベルのテンプレートを構築する。
【０１４２】
図１２に図示したように、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するデバイスは、
バイオメトリックセキュリティレベルのテンプレートのそれぞれに対する一意的なパラメータ情報識別子を配布するように構成されている配布ユニット１２０１と、
セキュリティレベルの値を決定して、バイオメトリックパラメータ情報と、ユーザによって選択されたポリシーとを取得するように構成されている取得ユニット１２０２と、
一意的なパラメータ情報識別子と、セキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報とにしたがって、バイオメトリックセキュリティレベルのテンプレートを構築するように構成されている構築ユニット１２０３とを備えている。
【０１４３】
バイオメトリックセキュリティレベルの前述したテンプレートに基づいて、バイオメトリック認証のための、図１３に図示したプロセスは、以下のステップを含む。
【０１４４】
１３０１：クライアント側が、パラメータ情報に対する一意的な識別子を認証側に送る。
【０１４５】
このステップでは、クライアント側がパラメータ情報に対する一意的な識別子を認証側に送る方法には、以下のような２つの方法がある。
【０１４６】
１．結び付け方法
バイオメトリックセキュリティレベルのリストは、バイオメトリックオーソリティ機関によって、さまざまなバイオメトリックアルゴリズムを評価することによって獲得された、ポリシーと、バイオメトリックパラメータと、対応するセキュリティレベルとにしたがって発生される。バイオメトリックセキュリティレベルのリストは、複数のバイオメトリックセキュリティテンプレートをある順序で含んでいてもよい。
【０１４７】
本発明のこの実施形態では、バイオメトリックセキュリティレベルのテンプレートは、バイオメトリックセキュリティリレベルとバイオメトリックパラメータ情報とを含んでいてもよい。バイオメトリックセキュリティレベルは、パラメータ情報に対する一意的な識別子と、セキュリティレベルと、ポリシーとを含んでいてもよい。バイオメトリックパラメータ情報は、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲ値または他の関係パラメータとを含んでいてもよい。バイオメトリックセキュリティレベルのテンプレートのフォーマットは、他のフォーマットであってもよいことに留意すべきである。
【０１４８】
２．独立方法
バイオメトリックセキュリティレベルのリストを独立的に使用することは、バイオメトリックセキュリティレベルのリストがバイオメトリックアルゴリズム証明書中に記憶されているのではなく、データベースまたはファイル中に記憶されており、使用されるときに、リストが、データベースまたはファイルから呼び出されることであってもよい。
【０１４９】
パラメータ情報に対する一意的な識別子が属性証明書と結び付けられている場合、呼び出すメカニズムは、結び付けメカニズムと同じである。パラメータ情報に対する一意的な識別子が属性証明書と結び付けられていない場合、各ユーザに対応しているパラメータ情報に対する一意的な識別子は、データベース中に記憶されていてもよい。使用されるときに、パラメータ情報に対する対応する一意的な識別子およびセキュリティレベルは、属性証明書から呼び出される代わりに、データベースまたは第三者から呼び出される。
【０１５０】
１３０２：認証側が、対応するバイオメトリック認証パラメータを問い合わせる。
【０１５１】
このステップでは、パラメータ情報に対する一意的な識別を受け取った後、結び付けメカニズムに基づいて、認証側が、パラメータ情報に対する対応する一意的な識別子と、そのセキュリティレベルと、ポリシーと、バイオメトリックタイプと、バイオメトリックアルゴリズムと、これらのＦＭＲとを、バイオメトリックアルゴリズム証明書中に記憶されているバイオメトリックセキュリティレベルのリストから問い合わせる。
【０１５２】
１３０３：バイオメトリック認証パラメータをクライアント側に送る。
【０１５３】
このステップでは、認証側が、取得したバイオメトリック認証パラメータをクライアント側に送る。
【０１５４】
１３０４：クライアント側が、受け取ったバイオメトリック認証パラメータを処理して、ユーザの収集したバイオメトリック情報を認証側に送る。
【０１５５】
このステップでは、クライアントが、受け取ったバイオメトリック認証パラメータを処理することは、オプション的なプロセスであってもよく、
クライアント側が、受け取ったポリシーを認証し、認証が合格した場合に、結果として生じるプロセスが実行され、認証が不合格であった場合に、結果として生じるプロセスが拒否される。
【０１５６】
１３０５：認証側が、バイオメトリック認証パラメータにしたがって、クライアント側からのユーザのバイオメトリック情報を認証する。
【０１５７】
図１４に図示したように、本発明の実施形態におけるバイオメトリック認証のためのプロセスは、以下のものを含む。
【０１５８】
１４０１：クライアント側が、バイオメトリック証明書および属性証明書を認証側に送る。
【０１５９】
１４０２：認証側が、バイオメトリック証明書および属性証明書を受け取り、バイオメトリック証明書および属性証明書の有効性を認証して、バイオメトリック証明書と属性証明書との間の結び付き関係を解析する。
【０１６０】
１４０３：ユーザの特権、パラメータ情報に対する一意的な識別子、およびセキュリティレベル、あるいは、パラメータを区別できる他の何らかの識別子を取得する。すなわち、属性証明書を解析することによって暗号化する。
【０１６１】
１４０４：バイオメトリック証明書を解析して、ユーザのバイオメトリックテンプレートを獲得する。
【０１６２】
このステップにおいて、ユーザのバイオメトリックのテンプレートが１つよりも多く存在する場合、ユーザの対応するバイオメトリックテンプレートは、バイオメトリックタイプにしたがって選択される。
【０１６３】
１４０５：認証側に記憶されているバイオメトリックアルゴリズム証明書を認証して、解析し、バイオメトリックセキュリティレベルのリストを獲得する。
【０１６４】
１４０６〜１４０７：パラメータ情報に対する一意的な識別子とセキュリティレベルとにしたがって、バイオメトリックセキュリティレベルのリストにおける対応するバイオメトリック認証パラメータをサーチする。
【０１６５】
これらのステップでは、複雑化された値は、「ハッシュ値または暗号化された値ｉ」、「ハッシュ値または暗号化された値ｊ」、「ハッシュ値または暗号化された値ｋ」、「ハッシュ値または暗号化された値ｌ」を含み、ここでは、ハッシュ値および暗号化された値は、互いに異なる。
【０１６６】
これらのステップでは、バイオメトリック認証パラメータは、ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、およびＦＭＲ値（または、しきい値）を含み、これらは、３つの部分、
１．第１部分：ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズムの処理アルゴリズムと、
２．第２部分：ＦＭＲ値と、
３．第３部分：バイオメトリックアルゴリズムの整合アルゴリズムと、に分かれていてもよい。
【０１６７】
これらの３つの部分は、それぞれ、処理するための異なるユニットに送られる。
【０１６８】
１４０８：認証側が、ポリシーをクライアント側に送り、ポリシーを認証するようにクライアント側に要求し、ポリシーに基づく認証が不合格であった場合に、結果的に生じるプロセスが否認される。
【０１６９】
１４０９：ポリシーに基づいた認証が合格した場合に、クライアント側に記憶されている、認証に必要とされるユーザのバイオメトリック情報が存在するか否かを、クライアント側が決定する。存在しなかった場合、入力機器によって、ユーザの対応するバイオメトリック情報をクライアント側に入力するようにユーザに示される。ユーザのバイオメトリック情報を収集した後、クライアント側が、ユーザのバイオメトリック情報を認証側に送る。ユーザのバイオメトリック情報を受け取った後、認証側が、生身のバイオメトリックテンプレートを処理するためのユニットに対して、ユーザのバイオメトリック情報を送る。生身のバイオメトリックテンプレートを処理するためのユニットは、認証側で、またはクライアント側で、または第三者で設定されてもよい。生身のバイオメトリックテンプレートを処理するためのユニットは、生身のバイオメトリックテンプレートを発生させるための前述したユニットに等しいものであってもよい。
【０１７０】
１４１０：生身のバイオメトリックテンプレートを処理するためのユニットが、認証側からのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを獲得する。
【０１７１】
１４１１：生身のバイオメトリックテンプレートを整合するためのユニットが、生身のバイオメトリックテンプレートを、ステップ１４０４において選択されたユーザのバイオメトリックテンプレートと整合し、ステップ１４０４で選択されたユーザのバイオメトリックテンプレートと、ステップ１４０７でサーチされたバイオメトリック認証パラメータとにしたがって、整合スコアを得る。
【０１７２】
１４１２：ＦＭＲ値にしがって、認証が合格するか否かを決定して、認証結果を獲得する。
【０１７３】
この実施形態では、バイオメトリックセキュリティレベルのリストが、バイオメトリックアルゴリズム証明書中に記憶されており、パラメータ情報に対する一意的な識別子は、属性証明書に結び付けられている。バイオメトリックセキュリティレベルのリストがバイオメトリックアルゴリズム証明書中に記憶されていない場合、あるいは、パラメータ情報に対する一意的な識別子が属性証明書と結び付けられていない場合、認証のプロセスは、バイオメトリックセキュリティレベルのリストの位置またはパラメータ情報に対する一意的な識別子の位置が変わる以外、ほとんど変わらないままである。
【０１７４】
図１５に図示したように、バイオメトリック認証のための方法に対応しているバイオメトリック認証のためのシステムは、クライアント側１５０１と、認証側１５０２とを含む。
【０１７５】
クライアント側１５０１は、パラメータ情報に対する一意的な識別子を認証側に送るように構成されている。
【０１７６】
認証側は、パラメータ情報に対する一意的な識別子を、バイオメトリックセキュリティレベルの確立されたリストに対応している識別子と整合することによって、対応するバイオメトリック認証パラメータを問い合わせて、バイオメトリック認証パラメータをクライアント側に送るように構成されている。
【０１７７】
クライアント側１５０１は、認証側から受け取ったバイオメトリック認証パラメータを処理して、ユーザのバイオメトリック情報を認証側１５０２に送る。クライアント側によってバイオメトリック認証パラメータを処理することは、オプションである。認証側は、認証パラメータ内のポリシーをクライアント側に送ってもよい。クライアント側によってポリシーに基づいて実行された認証が合格した場合に、結果として生じるプロセスが認証側によって実行され、ポリシー基づいて実行された認証が不合格した場合に、認証側は実行しない。
【０１７８】
認証側１５０２は、バイオメトリックパラメータにしたがって、ユーザのバイオメトリック情報についてのバイオメトリック認証を実行する。
【０１７９】
クライアント側１５０１は、バイオメトリック情報を読み取るためのユニット１５０１１と、送信ユニット１５０１２とを備えている。
【０１８０】
バイオメトリック情報を読み取るためのユニット１５０１１は、ユーザによって提供されるユーザのバイオメトリック情報を読み取って、送信ユニット１５０１２によって、ユーザのバイオメトリック情報を認証側１５０２に送るように構成されている。
【０１８１】
送信ユニット１５０１２は、ユーザのバイオメトリックテンプレートと、パラメータ情報に対する一意的な識別子を含む属性証明書とを含む、バイオメトリック証明書を認証側１５０２に送るように構成されている。
【０１８２】
送信ユニット１５０１２は、受信ユニット１５０２１と、証明書抽出ユニット１５０２２と、認証処理ユニット１５０２３と、バイオメトリックテンプレートを処理するためのユニット１５０２４と、バイオメトリックテンプレートを整合するためのユニット１５０２５と、決定ユニット１５０２６とを備えている。
【０１８３】
受信ユニット１５０２１は、バイオメトリック証明書および属性証明書を送信ユニット１５０１２から受け取って、バイオメトリック証明書および属性証明書を証明書抽出ユニット１５０２２に送り、ユーザのバイオメトリック情報をクライアント側１５０１から受け取って、ユーザのバイオメトリック情報を認証処理ユニット１５０２３に送るように構成されている。
【０１８４】
証明書抽出ユニット１５０２２は、ユーザのバイオメトリックテンプレートをバイオメトリック証明書から抽出して、バイオメトリックテンプレートを整合するためのユニット１５０２５に対してユーザのバイオメトリックテンプレートを送り、認証処理ユニット１５０２３に対して属性証明書から抽出した結果を送り、認証処理ユニット１５０２３に対してバイオメトリックアルゴリズム証明書から抽出した結果を送るように構成されている。
【０１８５】
認証処理ユニット１５０２３は、バイオメトリックアルゴリズム証明書から抽出した結果にしたがって、ユーザのバイオメトリック情報を受信ユニット１５０２１から取得して、バイオメトリックテンプレートを処理するためのユニット１５０２４に対して、ユーザのバイオメトリック情報を送るように構成されている。
【０１８６】
バイオメトリックテンプレートを処理するためのユニット１５０２４は、認証処理ユニット１５０２３からのユーザのバイオメトリック情報にしたがって、生身のバイオメトリックテンプレートを発生させて、バイオメトリックテンプレートを整合するためのユニット１５０２５に対して、生身のバイオメトリックテンプレートを送るように構成されている。
【０１８７】
バイオメトリックテンプレートを整合するためのユニット１５０２５は、バイオメトリックテンプレートを処理するためのユニット１５０２４からの生身のバイオメトリックテンプレートを、証明書抽出ユニット１５０２２からのユーザのバイオメトリックテンプレートと整合して、整合スコアを得て、整合スコアを決定ユニット１５０２６に送るように構成されている。
【０１８８】
決定ユニット１５０２６は、バイオメトリックテンプレートを整合するためのユニット１５０２５からの整合スコアにしたがって、認証が合格したか否かを決定して、認証の結果を出力するように構成されている。
【０１８９】
本発明の実施形態にしたがった認証のための方法、デバイス、およびシステムを上記でより詳細に説明したが、本発明の実施形態にしたがった方法の理解に役立つように、実施形態の上記の説明を提供したに過ぎない。本発明の精神または範囲を逸脱することなく、本発明の特定のインプリメンテーションおよびアプリケーションにおいて変形が実行可能であることが当業者に正しく認識されるだろう。したがって、明細書は、何らかの方法で、特許請求の範囲で規定したような本発明の範囲を限定するものとして解釈されるべきではない。
【優先権の主張】
【０００１】
本出願は、“識別と特権との組み合わせによる認証のための方法、ユニット、およびシステム”と題され２００６年８月１８日に中国特許庁に出願された中国特許出願第２００６１０１０９８７９．９号と、“バイオメトリックセキュリティレベルのテンプレートを設定するための方法およびデバイス”と題され２００６年１０月３０日に中国特許庁に出願された中国特許出願第２００６１０１３６４９８．Ｘ号と、“認証のための方法およびシステム”と題され２００６年１０月３０日に中国特許庁に出願された中国特許出願第２００６１０１３６４９７．５号とに対する優先権を主張し、これらの出願は、これらのすべての参照によりここに組み込まれている。
【発明の分野】
【０００２】
本発明は、情報セキュリティ技術に関し、特に、認証のための方法、デバイス、およびシステムに関する。
【背景】
【０００３】
インターネットの急速な発展によって、電子商取引は、オンライン銀行およびオンライン取引のような多くの分野で人気を得ている。パスワードによって個人アカウント情報を保護する従来の方法は、明らかに、データのセキュリティを保証するのに十分ではない。近年では、アカウントのインターネット詐欺および盗用が、ますます深刻になっている。したがって、個人情報の保護および認証の、より高いレベルのセキュリティメカニズムを発展させることが必要不可欠である。
【０００４】
パブリックキーインフラストラクチャ（ＰＫＩ）は、いくつかの分野で応用されている。公開することができて、かつ、パブリックキーおよびユーザの他の情報を記憶することができるパブリック証明書は、オーソリティによってユーザに配布される。パブリックキーに対応しているプライベートキーは、ユーザ自身によって保持されている。パブリックキーは、プライベートキーとの関連付けの一意的な関係を有しており、プライベートキーによって推測することはできないが、パブリックキーによって暗号化された情報はプライベートキーによってのみ解読することが可能である。ＰＫＩのこのような特性には、プライベートキーを確認することによって、ユーザが、パブリックキー証明書において宣言されたエンティティであるかどうかを認証者に確認させることができるので、結果的に、ユーザの情報が違法に盗用されないことを保証することができる。
【０００５】
ＰＫＩメカニズムでは、ユーザのプライベートキーを保護することが重要なポイントである。プライベートキーは、大抵、デジタル情報として何らかのハードウェアに置かれる。プライベートキーが紛失した場合、ユーザのパーソナル情報が公表される可能性があることを意味する。
【０００６】
バイオメトリック識別の技術とは、指紋、虹彩等の識別技術のような人間の物理的特徴または行動特徴を使用することによって識別認証が実行される技術のことを言う。近年では、バイオメトリック識別技術は、ますます成熟してきている。インターネットを通して識別が実行されるという特別な状況であるために、バイオメトリック特徴と組み合わせる識別は、一意的で、かつ安定性があるようなバイオメトリック特徴を利用して、情報セキュリティの保証を提供することができる。
【０００７】
個人のバイオメトリック情報を使用して、識別認証を実行することは、情報を保護する効果的な方法である。バイオメトリック情報の特徴と、インターネットによって識別認証を実行するという特別な状況とを考慮して、バイオメトリック情報をＰＫＩと組み合わせることによって、より安全な認証アーキテクチャを形成することができる。
【０００８】
ＰＫＩシステムは、個人識別のためのメカニズムであり、さらに、バイオメトリック特徴が個人識別を確認するための基本的要素であるので、ＰＫＩおよびバイオメトリック特徴の双方を利用することができ、２つの技術のそれぞれの欠点を克服することができる。クライアント側で整合することにより認証するための方法を例として挙げて、詳細なプロセスを図１に示した。認証は、ユーザの収集されたバイオメトリック特徴サンプルを、ユーザによって提供されたバイオメトリック証明書におけるバイオメトリック特徴テンプレートと整合することによって、ユーザの識別の有効性を決定する。
【０００９】
異なるユーザのさまざまな要求に応じて、サービスプロバイダは、特権マネンジメントインフラストラクチャ（ＰＭＩ）を使用して、異なるユーザに対して異なる特権を許可することができる。
【００１０】
ＰＭＩは、属性証明書、属性特権、属性証明書リポジトリ等を組み合わせたものであり、特権および証明書の発生、マネンジメント、記憶、配布、ならびに取り消し機能のうちの任意のものを実現するが、これらに限定されるものではない。
【００１１】
属性証明書（ＡＣ）は、エンティティに対する特権を規定している。デジタル署名を有するデータ構造によって、エンティティと特権とを組み合わせたものが提供される。属性オーソリティによってサインされて管理されているこのようなデータ構造を、属性証明書と呼ぶ。ＡＣは、拡張メカニズムと一連の特別な証明書拡張メカニズムとを含む。図２に示したように、属性証明書のフォーマットは、バージョンと、シリーズ番号と、有効性の期間と、発行者と、署名アルゴリズムおよびこれらの識別子と、ホルダと、発行者の一意的な情報と、属性情報と、拡張情報と、発行者の署名とのうちの任意のものを含む。
【００１２】
ＰＭＩは、情報を保護するための新しいインフラストラクチャを提供し、ＰＫＩとカタログサービスとを密に一体化し、証明書で認定されたユーザに対して特定の特権を体系的に許可するためのメカニズムを確立する。ＰＭＩは、特権マネンジメントのための体系的な定義および記述を提供し、認証サービス中に必要とされる全体的なプロセスを提供する。
【００１３】
識別認証および特権認証は、データセキュリティリには極めて重要なものである。先行技術では、特権認証を実行するときに、サーバが、認証についての要求をユーザから受け取るステップと、サーバが、予め設定された認証ルールにしたがって認証を実行するステップと、認証が合格した場合、サーバが、ユーザに対して、対応する特権を許可するステップとを含む、識別および特権認証を別々に実行することによって、識別および特権認証するための方法が存在する。
【００１４】
識別認証を実行するプロセスは、特権認証のプロセスに類似しているが、何らかの予め設定された認証ルールにしたがってサーバによってその認証が実行される間、２つのタイプの認証は独立して実行される。しかしながら、識別認証を実行するだけでは、あるいは、特権認証を実行するだけでは、認証の正確性を保証することはできない。
【００１５】
先行技術における識別および特権認証のための別の方法は、識別認証を最初に実行することと、識別認証に合格したときに、特権認証を実行することとを含む。
【００１６】
このような技術スキームは、全体的な認証プロセスの厳密性、さらには正確性も高めるかもしれない。しかしながら、このようなプロセスは、何らかの予め設定されたルールのみにしたがって実行されるので、実際の状況にしたがって認証ルールを調整することができず、さらには、認証を動的に実行することができないので、結果として、識別および特権認証のプロセスの柔軟性が限定される。
【概要】
【００１７】
本発明の実施形態では、認証を実現するための方法、デバイス、およびシステムを提供する。
【００１８】
本発明の実施形態は、識別と特権との組み合わせによる認証のための方法を提供し、
クラアイント側に対応している特権セキュリティレベルを取得することと、
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせることと、
前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定することと、
前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行することと、
認証結果を獲得することとを含む。
【００１９】
本発明の別の実施形態は、抽出ユニットと、バイオメトリック処理ユニットと、認証ユニットとを具備する、識別と特権との組み合わせによる認証のためのシステムを提供し、
前記抽出ユニットは、クライアント側に対応している前記特権セキュリティレベルを取得して、前記特権セキュリティレベルを前記バイオメトリック処理ユニットに送るように構成され、
前記バイオメトリック処理ユニットは、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせて、前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定し、前記認証パラメータを前記認証ユニットに送るように構成され、
前記認証ユニットは、前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行するように構成されている。
【００２０】
本発明の別の実施形態は、関連付けユニットと、パラメータ発生ユニットと、生身のバイオメトリックテンプレートを発生させるためのユニットと、バイオメトリック証明書を抽出するためのユニットとを具備するバイオメトリック処理のためのデバイスを提供し、
前記関連付けユニットは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせして、前記識別セキュリティレベルを前記パラメータ発生ユニットに送るように構成され、
前記パラメータ発生ユニットは、前記関連付けユニットから受け取った前記識別セキュリティレベルに対応している認証パラメータを発生させて、前記生身のバイオメトリックテンプレートを発生させるためのユニットに前記パラメータを送るように構成され、
前記生身のバイオメトリックテンプレートを発生させるためのユニットは、前記パラメータ発生ユニットからの前記認証パラメータと、ユーザのバイオメトリック情報とにしたがって、生身のバイオメトリックテンプレートを発生させるように構成され、
前記バイオメトリック証明書を抽出するためのユニットは、受け取ったバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出するように構成されている。
【００２１】
本発明の別の実施形態は、バイオメトリック認証のための方法を提供し、
パラメータ情報に対する一意的な識別子を取得することと、
バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせることと、
ユーザのバイオメトリック情報をクライアント側から受け取ることと、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に基づいてバイオメトリック認証を実行することとを含む。
【００２２】
本発明の別の実施形態は、クライアント側と、認証側とを具備する、バイオメトリック認証のためのシステムを提供し、
前記クライアント側は、パラメータ情報に対する一意的な識別子とユーザのバイオメトリック情報とを前記認証側に送るように構成され、
前記認証側は、前記パラメータ情報に対する一意的な識別子と、前記ユーザのバイオメトリック情報とを前記クライアント側から取得して、バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせて、前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に基づいてバイオメトリック認証を実行するように構成されている。
【００２３】
第１に、識別認証と特権認証とを組み合わせて、アクセスに要求される特権セキュリティレベルと一致する識別セキュリティレベルにしたがって識別認証が実行されるので、実際のシチュエーションにしたがって識別認証のルールを調整することができ、認証のプロセスの柔軟性を向上させることができることと、
第２に、ある整合アルゴリズムにしたがって、生身のバイオメトリックテンプレートを、ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得して、整合スコアをしきい値と比較することによって、認証が合格したか否かが決定されるので、認証の正確性を向上させることとを含む、
本発明の実施形態に関係するいくつかの効果が存在することは、前述した技術スキームから認識することができる。
【図面の簡単な説明】
【００２４】
【図１】図１は、先行技術におけるバイオメトリックテンプレートを使用して、識別認証を実行するためのプロセスのフローチャートである。
【図２】図２は、属性証明書のフォーマットを示している。
【図３】図３は、属性証明書におけるバイオメトリック拡張情報のフォーマットを示している。
【図４】図４は、本発明の実施形態にしたがった、方法のフローチャートである。
【図５】図５は、本発明の実施形態にしたがった、方法の別のフローチャートである。
【図６】図６は、本発明の実施形態にしたがった、システムの構造図である。
【図７】図７は、本発明の実施形態にしたがった、システムの機能を示している図である。
【図８】図８は、本発明の実施形態にしたがった、バイオメトリック処理ユニットの構造図である。
【図９】図９は、本発明の実施形態にしたがった、バイオメトリック処理ユニットの機能を示している図である。
【図１０（ａ）】図１０（ａ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１０（ｂ）】図１０（ｂ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１０（ｃ）】図１０（ｃ）は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートのフォーマットを示している。
【図１１】図１１は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するプロセスのフローチャートである。
【図１２】図１２は、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するためのデバイスの構造図である。
【図１３】図１３は、本発明の実施形態におけるバイオメトリック認証のためのプロセスのフローチャートである。
【図１４】図１４は、図１３に示したプロセスと比較してより詳細な実施形態にしたがった、プロセスのフローチャートである。
【図１５】図１５は、図１３に示したプロセスを実行するためのバイオメトリック認証システムの構造図である。
【詳細な説明】
【００２５】
認証のための方法、システム、およびデバイスを提供する本発明の実施形態では、実際の状況にしたがって認証のためのルールを調整することができるので、認証のためのプロセスの柔軟性を向上させることができる。
【００２６】
バイオメトリック認証を使用するために、若干、ＰＭＩシステムを増補する必要がある。システム上での影響を最小限にするために、拡張項目を属性証明書に追加する。
【００２７】
属性証明書の拡張情報は、主に、証明書のアプリケーションに関係するポリシーを宣言するためのものである。属性証明書の拡張情報は、ベーシック拡張情報、特権取消拡張情報、ルート属性オーソリティ拡張情報、役割拡張情報、および許可拡張情報等を含む。
【００２８】
属性証明書を使用して特権認証を実行するとき、クライアントの識別に基づいて認証を最初に実行する。特権と識別との間の関連付けの関係の正確性を確実にするために、属性証明書とバイオメトリック証明書とを組み合わせる。したがって、バイオメトリック証明書に関連付けられたインデックス情報を属性証明書のバイオメトリック拡張情報に加える。これによって、ベーシック拡張情報内のバイオメトリック拡張が新しくなる。バイオメトリック拡張は、バイオメトリック証明書識別子と呼ばれ、図３に図示している。
【００２９】
図３に図示したように、バイオメトリック証明書識別子は、「バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号」、エンティティ名およびオブジェクトの要約を含み、バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号は、属性証明書のホルダに対応しているバイオメトリック証明書、すなわち、属性証明書のホルダにおける識別認証に必要とされるバイオメトリック証明書、のマークである。属性証明書において識別認証を実行したとき、ホルダの収集されたバイオメトリックデータをバイオメトリック証明書のテンプレートと整合し、認証の結果を獲得する。バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号は双方ともオプションであってもよい。
【００３０】
エンティティ名は、１つ以上の属性証明書ホルダの名前のマークである。エンティティ名がバイオメトリック拡張における項目に過ぎない場合、エンティティ名に含まれるサブジェクト名に対応している何らかのバイオメトリック証明書は、属性証明書のホルダの識別を認証するために使用されてもよい。言い換えると、バイオメトリック証明書のサブジェクト名がエンティティ名に含まれている限り、サブジェクト名は、ホルダの識別を認証するために使用されてもよい。ホルダの何らかのバイオメトリック証明書が認証に合格した場合に、識別認証は合格する。しかしながら、「バイオメトリック証明書発行者およびバイオメトリック証明書シーケンス番号」ならびにエンティティ名の双方の項目が存在する場合、認証を実行する最初の選択肢として、「バイオメトリック証明書発行者およびバイオメトリック証明書シーケンス番号」の項目を選ぶ。
【００３１】
オブジェクトの要約は、属性ホルダのバイオメトリック証明書のシリアル番号、有効性の期間、サブジェクトおよびサブジェクトの一意的な識別、発行者および発行者の一意的な識別子、テンプレートフォーマットの識別子、バイオメトリック特徴テンプレート、ならびに拡張情報を含むパラメータに基づいた計算によって獲得される要約情報であり、属性証明書ホルダの識別を認証するために使用される。ホルダ上で識別認証を実行するとき、要約は、ホルダのバイオメトリック証明書に基づいて獲得される。属性証明書のバイオメトリック拡張におけるオブジェクト要約情報を要約と比較して、同一の属性証明書に一致するバイオメトリック証明書がホルダによって提供された適切なものであるかどうか、識別認証のプロセスがさらに実行される。
【００３２】
関連付けられている属性証明書にしたがってバイオメトリック証明書を確実に探すために、バイオメトリック拡張は、「バイオメトリック証明書発行者およびバイオメトリック証明書シリアル番号」、エンティティ名、ならびにオブジェクトの要約のうちの少なくとも何らかの項目を含む。
【００３３】
バイオメトリックテンプレートを含むＰＫＩパブリックキー証明書を使用して、識別認証を実行する場合、ＰＫＩ証明書に対する属性証明書のインデックスによって、属性証明書とバイオメトリックテンプレートとの間の関連付けの関係を確立することができる。インデックスは、拡張インデックスによって確立されず、属性証明書のホルダによる定義によって確立される。
【００３４】
クライアント側の特権および特権セキュリティレベルは、属性証明書中に含まれる。クライアント側のバイオメトリックテンプレートは、バイオメトリック証明書中に含まれる。識別セキュリティレベルは、バイオメトリックアルゴリズム証明書中に含まれ、それぞれのレベルについて、バイオメトリックテンプレート処理アルゴリズムの対応するパラメータと、整合アルゴリズムパラメータと、しきい値とが存在する。属性証明書における特権セキュリティレベルとバイオメトリックアルゴリズム証明書における識別セキュリティレベルとが関連付けられているので、特権セキュリティレベルの値と識別セキュリティレベルとが関連付けられ、したがって、この方法で、２つの値の間の関連付けによって、特権は識別と関連付けられる。
【００３５】
識別認証を実行するときに、システムは、属性証明書を抽出することによって特権セキュリティレベルを獲得して、特権セキュリティレベルと、バイオメトリックアルゴリズム証明書から抽出された識別セキュリティレベルとを整合することによって、使用するパラメータを決定する。識別セキュリティレベルは、バイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムのパラメータと、しきい値とを含む。
【００３６】
本発明の実施形態では、アプリケーションユニットがクライアント側からアクセス要求を受け取ったときに、アプリケーションユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。アプリケーションユニットは、受け取った属性証明書を認証して、特権セキュリティレベルを獲得し、属性証明書からの特権にアクセスする。アプリケーションユニットは、認証側中に記憶されているバイオメトリックアルゴリズム証明書を抽出して、識別セキュリティレベルを獲得する。アプリケーションユニットは、バイオメトリック処理アルゴリズムのパラメータとしきい値とを決定して、生身のバイオメトリックテンプレートを発生させる。アプリケーションユニットは、クライアント側のバイオメトリック証明書を抽出して、ユーザのバイオメトリックテンプレートを獲得する。アプリケーションユニットは、生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得する。しきいと整合スコアとにしたがって、アプリケーションユニットは、認証が合格したか否かを決定する。認証が合格した場合、アプリケーションユニットは、クライアントからの要求に対する応答を戻す。
【００３７】
図４に図示したように、本発明の実施形態の一般的なプロセスは、以下のステップを含む。
【００３８】
４０１：特権認証を識別認証と関連付ける。
【００３９】
このステップでは、属性証明書の特権セキュリティレベルを、バイオメトリックアルゴリズム証明書の識別セキュリティレベルと関連付けることが、特権認証を識別と関連付ける方法であってもよい。
【００４０】
４０２：特権セキュリティレベルを取得する。
【００４１】
４０３：特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００４２】
このステップでは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせることが、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる方法であってもよい。
【００４３】
４０４：認証のためのパラメータを決定する。
【００４４】
このステップでは、問い合わせた識別セキュリティレベルにしたがって、認証のためのパラメータを決定することが、認証のためのパラメータを決定する方法であってもよい。認証のためのパラメータは、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムのパラメータと、しきい値とを含んでいてもよい。
【００４５】
４０５：ステップ４０４で決定された認証のためのパラメータを使用して、クライアントのバイオメトリックテンプレートを認証する。
【００４６】
４０６：認証結果を発生させる。
【００４７】
図５に図示したように、本発明の実施形態の詳細なプロセスは以下のものを含む。
【００４８】
５０１：特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を確立する。
【００４９】
このステップにおいて、確立された関係情報は、バイオメトリックアルゴリズム証明書中に記憶され、関係情報は、データベース等のような他の位置に記憶されていてもよい。
【００５０】
特権セキュリティレベルと特権セキュリティリとの間の関連付けを確立することによって特権認証を識別認証と関連付けるこの方法に加えて、特権認証を識別認証と関係付ける他の方法が存在してもよい。
【００５１】
５０２：クライアント側が、アプリケーションユニットにアクセス要求を送る。
【００５２】
このステップでは、送信される要求は、アプリケーションユニットにアクセスするために使用されるリソースに適用するためのものであってもよい。
【００５３】
５０３：識別情報を転送するためのユニットを呼び出す。
【００５４】
このステップでは、識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求するために呼び出される。
【００５５】
５０４：バイオメトリック証明書および属性証明書を取得する。
【００５６】
このステップでは、バイオメトリック証明書および属性証明書についての要求をクライアントに送った後、識別情報を転送するためのユニットが、バイオメトリック証明書および属性証明書をクライアント側から受け取る。
【００５７】
５０５：特権セキュリティレベルを取得する。
【００５８】
このステップでは、抽出ユニットが、識別情報を転送するためのユニットによって転送される属性証明書を抽出し、特権セキュリティレベルを獲得する。
【００５９】
５０６：特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００６０】
このステップでは、バイオメトリック処理ユニットが、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせる。
【００６１】
５０７：認証パラメータを決定する。
【００６２】
このステップでは、バイオメトリック処理ユニットが、問い合わせた識別セキュリティレベルにしたがって認証パラメータを決定する。識別セキュリティレベルは、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータと、整合アルゴリズムパラメータと、しきい値とを含む。
【００６３】
５０８：生身のバイオメトリックテンプレートを発生させる。
【００６４】
このステップでは、バイオメトリック処理ユニットが、受け取ったユーザのバイオメトリック情報と、生身のバイオメトリックテンプレート処理アルゴリズムのパラメータとにしたがって、生身のバイオメトリックテンプレートを発生させる。
【００６５】
５０９：ユーザのバイオメトリックテンプレートを取得する。
【００６６】
このステップでは、バイオメトリック処理ユニットが、クライアント側から獲得したバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出する。このステップは、ユーザのバイオメトリック証明書を取得した後または取得する前に実行されてもよい。
【００６７】
５１０：生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合する。
【００６８】
このステップでは、認証ユニットが、生身のバイオメトリックテンプレートをユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得する。整合するさまざまな方法が存在するが、これは限定されるものではない。
【００６９】
５１１：整合スコアがしきい値より大きいか否か、または、しきい値に等しいか否かを決定し、整合スコアが、しきい値より大きいか、または、しきい値に等しい場合に、プロセスはステップ５１２に進み、そうでなければ、プロセスはステップ５１３に進む。
【００７０】
このステップでは、しきい値は、認証パラメータのうちの１つであってもよく、識別セキュリティレベルにしたがって獲得される。
【００７１】
５１２：クライアント側についての認証が合格した場合、プロセスはステップ５１４に進む。
【００７２】
５１３：クライアント側についての認証が不合格であった場合、プロセスはステップ５１４に進む。
【００７３】
５１４：クライアント側に応答を戻す。
【００７４】
このステップでは、認証結果を含む応答をクライアント側に戻す。
【００７５】
本発明の実施形態では、アプリケーションユニットがアクセス要求をクライアント側から受け取ったとき、アプリケーションユニットが、識別情報を転送するためのユニットを呼び出す。識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。そして、抽出ユニットが、属性証明書を抽出し、特権セキュリティレベルを獲得して、特権にアクセスする。
【００７６】
識別情報を転送するためのユニットによって呼び出されたバイオメトリック処理ユニットが、バイオメトリックアルゴリズム証明書を抽出して、識別セキュリティレベルを取得し、識別セキュリティレベルにしたがって、バイオメトリック処理パラメータおよびしきい値を決定して、生身のバイオメトリックテンプレートを発生させる。
【００７７】
バイオメトリック処理ユニットが、クライアント側のバイオメトリック証明書を抽出し、ユーザのバイオメトリックテンプレートを獲得し、生身のバイオメトリックテンプレートとユーザのバイオメトリックテンプレートとを整合して、整合スコアを得る。認証ユニットが、整合スコアとしきい値とにしたがって、識別認証が合格したか否かを決定する。しきい値認証に合格した場合、識別情報を転送するためのユニットが、アプリケーションユニットに特権を戻す。アプリケーションユニットは、要求したリソースをクライアント側に戻す。
【００７８】
クライアント側の特権および特権セキュリティレベルは、属性証明書中に含まれている。ユーザのバイオメトリックテンプレートは、クライアント側のバイオメトリック証明書中に含まれている。特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係は、バイオメトリックアルゴリズム証明書中に含まれている。各特権セキュリティレベルまたは識別セキュリティレベルには、生身のバイオメトリックテンプレート処理アルゴリズムパラメータと整合アルゴリズムパラメータとしきい値とを含む、対応するパラメータがある。
【００７９】
図６に図示したように、本発明の実施形態にしたがったシステムは、アプリケーションユニット６０１と、識別情報を転送するためのユニット６０２と、抽出ユニット６０３と、バイオメトリック情報収集ユニット６０４と、バイオメトリック処理ユニット６０５と、認証ユニット６０６とを備えている。
【００８０】
この実施形態では、クライアント側が、アプリケーションユニット６０１にアクセス要求を送る。アプリケーションユニット６０１は、アクセス要求を受け取った後に、識別情報を転送するためのユニット６０２を呼び出すように構成されている。識別情報を転送するためのユニット６０２は、属性証明書およびバイオメトリック証明書についての要求をクライアント側に送るように構成されている。属性証明書およびバイオメトリック証明書をクライアント側から受け取った後に、識別情報を転送するためのユニット６０２が、抽出ユニット６０３およびバイオメトリック処理ユニット６０５に、属性証明書およびバイオメトリック証明書を送る。抽出ユニット６０３は、特権セキュリティレベルを属性証明書から取得して、特権セキュリティレベルをバイオメトリック処理ユニット６０５に送るように構成されている。
【００８１】
バイオメトリック情報収集するためのユニット６０４は、ユーザのバイオメトリック情報をクライアント側から取得して、ユーザのバイオメトリック情報をバイオメトリック処理ユニット６０５に送るように構成されている。
【００８２】
特権セキュリティレベルを受け取ると、バイオメトリック処理ユニット６０５は、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせるように構成されている。バイオメトリック処理ユニット６０５は、識別セキュリティレベルにしたがって、認証パラメータを決定し、バイオメトリック情報を収集するためのユニット６０４からのユーザのバイオメトリック情報によって、生身のバイオメトリックテンプレートを発生させて、生身のバイオメトリックテンプレートと、クライアントのバイオメトリック証明書におけるクライアントのバイオメトリックテンプレートと、整合アルゴリズムパラメータと、しきい値とを、認証ユニット６０６に送る。
【００８３】
認証ユニット６０６は、クライアントのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合し、識別情報を転送するためのユニット６０２に認証結果を送るように構成されている。
【００８４】
図７に図示したように、本発明の実施形態にしたがったシステムによって実行されるプロセスは、以下のものを含む。
【００８５】
７０１：クライアント側が、アプリケーションユニットにアクセス要求を送る。
【００８６】
７０２：アプリケーションユニットが、識別情報を転送するためのユニットを呼び出す。
【００８７】
７０３：識別情報を転送するためのユニットが、クライアント側からのバイオメトリック証明書および属性証明書を要求する。
【００８８】
７０４：クライアント側が、識別情報を転送するためのユニットにバイオメトリック証明書および属性証明書を送る。
【００８９】
７０５：識別情報を転送するためのユニットが、抽出ユニットを呼び出す。
【００９０】
７０６；識別情報を転送するためのユニットが、バイオメトリック処理ユニットを呼び出す。
【００９１】
７０７：抽出ユニットが、属性証明書の有効性を確認し、特権および特権セキュリティを抽出して、特権セキュリティレベルをバイオメトリック処理ユニットに送る。
【００９２】
７０８：バイオメトリック処理ユニットが、ユーザの対応するバイオメトリック情報を入力するようにクライアント側に要求する。ユーザのバイオメトリック情報をクライアント側から取得した後に、バイオメトリック情報を収集するためのユニットが、対応するソフトウェアモジュールによって、ユーザのバイオメトリック情報をバイオメトリック処理ユニットに送る。
【００９３】
７０９：バイオメトリック処理ユニットが、バイオメトリック情報収集ユニットからのユーザのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを発生させて、バイオメトリック証明書におけるバイオメトリックテンプレートと、生身のバイオメトリックテンプレートとを認証ユニットに送る。
【００９４】
７１０：認証ユニットが、クライアントのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合して、整合スコアを得て、整合スコアおよびしきい値としたがって「容認（Ｙ）」または「否認（Ｎ）」の結果を決定し、識別情報を転送するためのユニットに結果を送る。
【００９５】
７１１：識別情報を転送するためのユニットが、（アクセス）特権を属性証明書から抽出して、アプリケーションユニットに（アクセス）特権を送る。
【００９６】
７１２：アプリケーションユニットプロセスが、（アクセス）特権にしたがって、クライアント側からの要求を処理して、処理結果をクライアント側に送る。
【００９７】
図８に図示したように、本発明のバイオメトリック処理ユニット６０５の実施形態、すなわち、バイオメトリック処理のためのデバイスは、関連付けユニット８０１と、パラメータ発生ユニット８０２と、生身のバイオメトリックテンプレートを発生させるためのユニット８０３と、バイオメトリック証明書を抽出するためのユニット８０４とを備えている。関連付けユニット８０１は、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせて、問い合わせた識別セキュリティレベルをパラメータ発生ユニット８０２に送るように構成されている。
【００９８】
パラメータ発生ユニット８０２は、受け取った識別セキュリティレベルに対応している認証パラメータを発生させて、生身のバイオメトリックテンプレートを発生させるためのユニット８０３に認証パラメータを送るように構成され、生身のバイオメトリックテンプレートを発生させるためのユニット８０３は、認証パラメータによって、生身のバイオメトリックテンプレートを発生させるように構成されている。バイオメトリック証明書を抽出するためのユニット８０４が、ユーザのバイオメトリックテンプレートをバイオメトリック証明書から抽出する。
【００９９】
図９に図示したように、本発明のバイオメトリック処理ユニットの実施形態によって実行されるプロセスは、以下のものを含む。
【０１００】
９０１：特権セキュリティレベルを取得する。
【０１０１】
９０２：関連付けユニットが、特権セキュリティリレベルと識別セキュリティレベルとの間の関連付けの関係を取得して、特権セキュリティレベルに対応している識別セキュリティレベルを問い合わせて、識別セキュリティレベルをパラメータ発生ユニットに送る。
【０１０２】
９０３：バイオメトリック証明書を抽出するためのユニットが、バイオメトリック証明書をクライアント側から抽出して、ユーザのバイオメトリックテンプレートを獲得する。
【０１０３】
９０４：パラメータ発生ユニットが、受け取った識別セキュリティレベルに対応している認証パラメータを発生させる。識別セキュリティレベルは、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータと、しきい値と、整合アルゴリズムパラメータとを含む。
【０１０４】
９０５：パラメータ発生ユニットが、生身のバイオメトリックテンプレートを発生させるためのユニットに対して、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータを送信して、しきい値と、整合アルゴリズムパラメータとを認証ユニットに送る。
【０１０５】
９０６：ユーザの対応するバイオメトリック情報を入力するようにクライアント側に要求する。ユーザのバイオメトリック情報を取得した後に、バイオメトリック情報を収集するためのユニットが、対応するソフトウェアモジュールによって、生身のバイオメトリックテンプレートを発生させるためのユニットにユーザのバイオメトリック情報を送る。
【０１０６】
９０７：生身のバイオメトリックテンプレートを発生させるためのユニットが、ユーザのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを発生させて、生身のバイオメトリックテンプレートを認証ユニットに送る。
【０１０７】
９０８：認証ユニットが、ユーザのバイオメトリックテンプレートを生身のバイオメトリックテンプレートと整合し、整合スコアを得て、整合スコアとしきい値とにしたがって「容認（Ｙ）」または「否認（Ｎ）」の結果を決定し、識別情報を転送するためのユニットに結果を送る。
【０１０８】
認証のための前述の方法と、図８および図９に図示したものとに基づいて、本発明の実施形態は、バイオメトリックセキュリティレベルのテンプレートを提供し、バイオメトリックセキュリティレベルのテンプレートを使用して、バイオメトリック認証を実行するための方法およびシステムとを提供する。
【０１０９】
本発明の実施形態では、バイオメトリックセキュリティレベルのテンプレートは、バイオメトリックセキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報とを含み、このフォーマットを図１０（ａ）、図１０（ｂ）、図１０（ｃ）に図示した。バイオメトリックセキュリティレベルのテンプレートのフォーマットは、図示したものに加えて、他の形態であってもよいことに留意すべきである。
【０１１０】
図１０（ａ）に図示したように、実施形態のバイオメトリックセキュリティレベルのテンプレートは、
バイオメトリックセキュリティレベルと、パラメータ情報に対する一意的な識別子と、セキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報と、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲと、関係パラメータとを含む。
【０１１１】
バイオメトリックセキュリティレベルは、パラメータ情報に対する一意的な識別子とセキュリティレベルとを含んでいてもよい。
【０１１２】
パラメータ情報に対する一意的な識別子は、バイオメトリックパラメータ情報およびセキュリティレベルのハッシュ値等のような、バイオメトリックセキュリティレベルに一意的に対応しているパラメータを区別するように構成されている。この項目は、セキュリティレベルとともに、クライアント側またはあるデータベースに提供されてもよい。この項目は、ハッシュ値またはパラメータ情報の暗号化された値であってもよい。
【０１１３】
セキュリティレベルは、あるポリシーとバイオメトリックパラメータ情報とによって表されるバイオメトリックセキュリティのマークであってもよい。セキュリティレベルを決定する基本は、ポリシーと、同じアルゴリズムに対応している誤整合率の値と、ポリシーに関係する同じバイオメトリックタイプとを含む。
【０１１４】
ポリシーは、単一モードバイオメトリック認証と、「単一モードバイオメトリック認証＋生身のチェック」と、複数モードバイオメトリック認証と、「複数モードバイオメトリック認証＋生身のチェック」等を含んでいてもよい。ポリシーは、要求に応じて拡張されてもよい。
【０１１５】
単一モードバイオメトリック認証は、ある単一のバイオメトリックタイプ、例えば、指紋、虹彩、脈相等を使用して認証を実行することであってもよい。生身のバイオメトリックチェックを実行するとき、生身のバイオメトリック特徴を識別するためのあるデバイスがあってもよい。複数モードバイオメトリック認証は、さまざまな生身を使用して、または、同じ生身の異なるタイプのバイオメトリック特徴を使用して認証を実行することである。
【０１１６】
バイオメトリックパラメータ情報は、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲと、関係パラメータとを含んでいてもよい。
【０１１７】
バイオメトリックタイプは、バイオメトリック認証のために使用されるバイオメトリック特徴のマークであってもよく、指紋、虹彩、顔特徴、ならびに、指紋プラス虹彩等のようなバイオメトリック特徴のさまざまな組み合わせ等を含む。
【０１１８】
バイオメトリックアルゴリズムは、バイオメトリック識別を実行するために使用されるバイオメトリック処理アルゴリズムであってもよく、生身のバイオメトリックテンプレートを処理するためのアルゴリズム、およびバイオメトリックテンプレートを整合するためのアルゴリズム等を含む。
【０１１９】
バイオメトリックアルゴリズムＦＭＲは、あるバイオメトリックアルゴリズムに対応している一連の値であってもよく、これは、誤整合率を表す。ＦＭＲが小さければ小さいほど、バイオメトリックセキュリティリレベルは高くなる。
【０１２０】
要求に応じて、バイオメトリックセキュリティレベルのテンプレートに関係パラメータを加えてもよい。
【０１２１】
前述したフォーマットの観点から、ポリシーと、バイオメトリックパラメータと、セキュリティレベルとを含むバイオメトリックセキュリティレベルのリストは、識別セキュリティレベルを示し、表１として示す。
【表１】
【０１２２】
表１に示したように、バイオメトリックレベルは、上から下に１行毎に高くなる。
【０１２３】
１つの複合項目、すなわち、「ハッシュまたは暗号化された値Ｉ」、「ハッシュまたは暗号化された値ｊ」、「ハッシュまたは暗号化された値ｋ」、および「ハッシュまたは暗号化された値ｌ」を含む、パラメータ情報に対する一意的な識別子がある。
【０１２４】
セキュリティレベルは、ポリシーおよびＦＭＲに関連付けられている。セキュリティレベルを決定する基本は、あるポリシーに関連付けられている、同じアルゴリズムおよび同じバイオメトリックタイプに対応しているＦＭＲ値、ならびに、ポリシーにしたがって、セキュリティレベルの値を決定することであってもよい。ポリシーの条件が多くあればあるほど、ＦＭＲは小さくなり、セキュリティリレベルは高くなる。セキュリティレベルの値をバイオメトリックセキュリティレベルの値に反映させなければならないときに、ＦＭＲ値とセキュリティレベルとの間の関連付けの関係を調整する。
【０１２５】
表１に示したように、ポリシーのセキュリティレベルは、この順序、すなわち、単一モード＜「単一モード＋生身のチェック」＜複数モード＜「複数モード＋生身のチェック」の順序で高くなる。ポリシーの条件が多くあればあるほど、セキュリティレベルは高くなる。
【０１２６】
バイオメトリックアルゴリズム。ポリシーが単一モードであるとき、同じバイオメトリックタイプが、複数のバイオメトリック処理アルゴリズム、例えば、指紋を処理するためのさまざまなアルゴリズムに対応していてもよい。ポリシーが複数モードであるとき、バイオメトリックタイプの同じ組み合わせが、複数のアルゴリズムの組み合わせに対応していてもよい。例えば、「指紋＋虹彩」の組み合わせは、「指紋アルゴリズム１＋虹彩アルゴリズム１」の組み合わせ、あるいは、「指紋アルゴリズム２＋虹彩アルゴリズム２」の組み合わせに相当し得る。
【０１２７】
ＦＭＲ値。それぞれのアルゴリズムまたはアルゴリズムの組み合わせが、複数のＦＭＲ値に対応していてもよく、セキュリティレベルを決定する一連の値が存在してもよい。
【０１２８】
例えば、ポリシーがＡであり、バイオメトリックタイプがＢであり、バイオメトリックアルゴリズムがＣであったとき、セキュリティレベルを決定するＦＭＲ値は、１、２、および３である。
【０１２９】
本発明の実施形態を表２で示す。
【表２】
【０１３０】
【０１３１】
【０１３２】
図１１に図示したように、本発明の実施形態におけるバイオメトリックセキュリティレベルのテンプレートを設定するための方法は、以下のステップを含む。
【０１３３】
１１０１：ポリシーを取得する。
【０１３４】
このステップでは、単一モードバイオメトリック認証、「単一モードバイオメトリック認証＋生身のチェック」、複数モードバイオメトリック認証、「複数モードバイオメトリック認証＋生身のチェック」等を含むポリシーを取得する。要求に応じて、ポリシーを拡張してもよい。
【０１３５】
１１０２：バイオメトリックパラメータ情報を取得する。
【０１３６】
このステップにおいて、バイオメトリックパラメータ情報は、バイオメトリックタイプおよび／またはバイオメトリックアルゴリズムおよび／またはＦＭＲ値および／または他の関係パラメータを含む。
【０１３７】
１１０３：セキュリティレベル値を決定する。
【０１３８】
このステップでは、ポリシーに一致している、同じアルゴリズムおよび同じバイオメトリックタイプに対応しているＦＭＲ値、ならびに、ポリシーにしたがって、セキュリティレベル値を決定する。ポリシーの条件が多くあればあるほど、ＦＭＲ値は小さくなり、セキュリティレベルは高くなる。
【０１３９】
１１０４：一意的なパラメータ情報識別子を配布する。
【０１４０】
このステップでは、一意的なパラメータ情報識別子は、バイオメトリックパラメータ情報、ハッシュ値またはセキュリティレベルの暗号化された値を含んでいてもよい。一意的なパラメータ情報識別子は、バイオメトリックパラメータ情報を一意的に識別する他の識別子であってもよい。
【０１４１】
１１０５：バイオメトリックセキュリティレベルのテンプレートを構築する。
【０１４２】
図１２に図示したように、本発明の実施形態にしたがった、バイオメトリックセキュリティレベルのテンプレートを設定するデバイスは、
バイオメトリックセキュリティレベルのテンプレートのそれぞれに対する一意的なパラメータ情報識別子を配布するように構成されている配布ユニット１２０１と、
セキュリティレベルの値を決定して、バイオメトリックパラメータ情報と、ユーザによって選択されたポリシーとを取得するように構成されている取得ユニット１２０２と、
一意的なパラメータ情報識別子と、セキュリティレベルと、ポリシーと、バイオメトリックパラメータ情報とにしたがって、バイオメトリックセキュリティレベルのテンプレートを構築するように構成されている構築ユニット１２０３とを備えている。
【０１４３】
バイオメトリックセキュリティレベルの前述したテンプレートに基づいて、バイオメトリック認証のための、図１３に図示したプロセスは、以下のステップを含む。
【０１４４】
１３０１：クライアント側が、パラメータ情報に対する一意的な識別子を認証側に送る。
【０１４５】
このステップでは、クライアント側がパラメータ情報に対する一意的な識別子を認証側に送る方法には、以下のような２つの方法がある。
【０１４６】
１．結び付け方法
バイオメトリックセキュリティレベルのリストは、バイオメトリックオーソリティ機関によって、さまざまなバイオメトリックアルゴリズムを評価することによって獲得された、ポリシーと、バイオメトリックパラメータと、対応するセキュリティレベルとにしたがって発生される。バイオメトリックセキュリティレベルのリストは、複数のバイオメトリックセキュリティテンプレートをある順序で含んでいてもよい。
【０１４７】
本発明のこの実施形態では、バイオメトリックセキュリティレベルのテンプレートは、バイオメトリックセキュリティリレベルとバイオメトリックパラメータ情報とを含んでいてもよい。バイオメトリックセキュリティレベルは、パラメータ情報に対する一意的な識別子と、セキュリティレベルと、ポリシーとを含んでいてもよい。バイオメトリックパラメータ情報は、バイオメトリックタイプと、バイオメトリックアルゴリズムと、ＦＭＲ値または他の関係パラメータとを含んでいてもよい。バイオメトリックセキュリティレベルのテンプレートのフォーマットは、他のフォーマットであってもよいことに留意すべきである。
【０１４８】
２．独立方法
バイオメトリックセキュリティレベルのリストを独立的に使用することは、バイオメトリックセキュリティレベルのリストがバイオメトリックアルゴリズム証明書中に記憶されているのではなく、データベースまたはファイル中に記憶されており、使用されるときに、リストが、データベースまたはファイルから呼び出されることであってもよい。
【０１４９】
パラメータ情報に対する一意的な識別子が属性証明書と結び付けられている場合、呼び出すメカニズムは、結び付けメカニズムと同じである。パラメータ情報に対する一意的な識別子が属性証明書と結び付けられていない場合、各ユーザに対応しているパラメータ情報に対する一意的な識別子は、データベース中に記憶されていてもよい。使用されるときに、パラメータ情報に対する対応する一意的な識別子およびセキュリティレベルは、属性証明書から呼び出される代わりに、データベースまたは第三者から呼び出される。
【０１５０】
１３０２：認証側が、対応するバイオメトリック認証パラメータを問い合わせる。
【０１５１】
このステップでは、パラメータ情報に対する一意的な識別を受け取った後、結び付けメカニズムに基づいて、認証側が、パラメータ情報に対する対応する一意的な識別子と、そのセキュリティレベルと、ポリシーと、バイオメトリックタイプと、バイオメトリックアルゴリズムと、これらのＦＭＲとを、バイオメトリックアルゴリズム証明書中に記憶されているバイオメトリックセキュリティレベルのリストから問い合わせる。
【０１５２】
１３０３：バイオメトリック認証パラメータをクライアント側に送る。
【０１５３】
このステップでは、認証側が、取得したバイオメトリック認証パラメータをクライアント側に送る。
【０１５４】
１３０４：クライアント側が、受け取ったバイオメトリック認証パラメータを処理して、ユーザの収集したバイオメトリック情報を認証側に送る。
【０１５５】
このステップでは、クライアントが、受け取ったバイオメトリック認証パラメータを処理することは、オプション的なプロセスであってもよく、
クライアント側が、受け取ったポリシーを認証し、認証が合格した場合に、結果として生じるプロセスが実行され、認証が不合格であった場合に、結果として生じるプロセスが拒否される。
【０１５６】
１３０５：認証側が、バイオメトリック認証パラメータにしたがって、クライアント側からのユーザのバイオメトリック情報を認証する。
【０１５７】
図１４に図示したように、本発明の実施形態におけるバイオメトリック認証のためのプロセスは、以下のものを含む。
【０１５８】
１４０１：クライアント側が、バイオメトリック証明書および属性証明書を認証側に送る。
【０１５９】
１４０２：認証側が、バイオメトリック証明書および属性証明書を受け取り、バイオメトリック証明書および属性証明書の有効性を認証して、バイオメトリック証明書と属性証明書との間の結び付き関係を解析する。
【０１６０】
１４０３：ユーザの特権、パラメータ情報に対する一意的な識別子、およびセキュリティレベル、あるいは、パラメータを区別できる他の何らかの識別子を取得する。すなわち、属性証明書を解析することによって暗号化する。
【０１６１】
１４０４：バイオメトリック証明書を解析して、ユーザのバイオメトリックテンプレートを獲得する。
【０１６２】
このステップにおいて、ユーザのバイオメトリックのテンプレートが１つよりも多く存在する場合、ユーザの対応するバイオメトリックテンプレートは、バイオメトリックタイプにしたがって選択される。
【０１６３】
１４０５：認証側に記憶されているバイオメトリックアルゴリズム証明書を認証して、解析し、バイオメトリックセキュリティレベルのリストを獲得する。
【０１６４】
１４０６〜１４０７：パラメータ情報に対する一意的な識別子とセキュリティレベルとにしたがって、バイオメトリックセキュリティレベルのリストにおける対応するバイオメトリック認証パラメータをサーチする。
【０１６５】
これらのステップでは、複雑化された値は、「ハッシュ値または暗号化された値ｉ」、「ハッシュ値または暗号化された値ｊ」、「ハッシュ値または暗号化された値ｋ」、「ハッシュ値または暗号化された値ｌ」を含み、ここでは、ハッシュ値および暗号化された値は、互いに異なる。
【０１６６】
これらのステップでは、バイオメトリック認証パラメータは、ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、およびＦＭＲ値（または、しきい値）を含み、これらは、３つの部分、
１．第１部分：ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズムの処理アルゴリズムと、
２．第２部分：ＦＭＲ値と、
３．第３部分：バイオメトリックアルゴリズムの整合アルゴリズムと、に分かれていてもよい。
【０１６７】
これらの３つの部分は、それぞれ、処理するための異なるユニットに送られる。
【０１６８】
１４０８：認証側が、ポリシーをクライアント側に送り、ポリシーを認証するようにクライアント側に要求し、ポリシーに基づく認証が不合格であった場合に、結果的に生じるプロセスが否認される。
【０１６９】
１４０９：ポリシーに基づいた認証が合格した場合に、クライアント側に記憶されている、認証に必要とされるユーザのバイオメトリック情報が存在するか否かを、クライアント側が決定する。存在しなかった場合、入力機器によって、ユーザの対応するバイオメトリック情報をクライアント側に入力するようにユーザに示される。ユーザのバイオメトリック情報を収集した後、クライアント側が、ユーザのバイオメトリック情報を認証側に送る。ユーザのバイオメトリック情報を受け取った後、認証側が、生身のバイオメトリックテンプレートを処理するためのユニットに対して、ユーザのバイオメトリック情報を送る。生身のバイオメトリックテンプレートを処理するためのユニットは、認証側で、またはクライアント側で、または第三者で設定されてもよい。生身のバイオメトリックテンプレートを処理するためのユニットは、生身のバイオメトリックテンプレートを発生させるための前述したユニットに等しいものであってもよい。
【０１７０】
１４１０：生身のバイオメトリックテンプレートを処理するためのユニットが、認証側からのバイオメトリック情報を処理して、生身のバイオメトリックテンプレートを獲得する。
【０１７１】
１４１１：生身のバイオメトリックテンプレートを整合するためのユニットが、生身のバイオメトリックテンプレートを、ステップ１４０４において選択されたユーザのバイオメトリックテンプレートと整合し、ステップ１４０４で選択されたユーザのバイオメトリックテンプレートと、ステップ１４０７でサーチされたバイオメトリック認証パラメータとにしたがって、整合スコアを得る。
【０１７２】
１４１２：ＦＭＲ値にしがって、認証が合格するか否かを決定して、認証結果を獲得する。
【０１７３】
この実施形態では、バイオメトリックセキュリティレベルのリストが、バイオメトリックアルゴリズム証明書中に記憶されており、パラメータ情報に対する一意的な識別子は、属性証明書に結び付けられている。バイオメトリックセキュリティレベルのリストがバイオメトリックアルゴリズム証明書中に記憶されていない場合、あるいは、パラメータ情報に対する一意的な識別子が属性証明書と結び付けられていない場合、認証のプロセスは、バイオメトリックセキュリティレベルのリストの位置またはパラメータ情報に対する一意的な識別子の位置が変わる以外、ほとんど変わらないままである。
【０１７４】
図１５に図示したように、バイオメトリック認証のための方法に対応しているバイオメトリック認証のためのシステムは、クライアント側１５０１と、認証側１５０２とを含む。
【０１７５】
クライアント側１５０１は、パラメータ情報に対する一意的な識別子を認証側に送るように構成されている。
【０１７６】
認証側は、パラメータ情報に対する一意的な識別子を、バイオメトリックセキュリティレベルの確立されたリストに対応している識別子と整合することによって、対応するバイオメトリック認証パラメータを問い合わせて、バイオメトリック認証パラメータをクライアント側に送るように構成されている。
【０１７７】
クライアント側１５０１は、認証側から受け取ったバイオメトリック認証パラメータを処理して、ユーザのバイオメトリック情報を認証側１５０２に送る。クライアント側によってバイオメトリック認証パラメータを処理することは、オプションである。認証側は、認証パラメータ内のポリシーをクライアント側に送ってもよい。クライアント側によってポリシーに基づいて実行された認証が合格した場合に、結果として生じるプロセスが認証側によって実行され、ポリシー基づいて実行された認証が不合格した場合に、認証側は実行しない。
【０１７８】
認証側１５０２は、バイオメトリックパラメータにしたがって、ユーザのバイオメトリック情報についてのバイオメトリック認証を実行する。
【０１７９】
クライアント側１５０１は、バイオメトリック情報を読み取るためのユニット１５０１１と、送信ユニット１５０１２とを備えている。
【０１８０】
バイオメトリック情報を読み取るためのユニット１５０１１は、ユーザによって提供されるユーザのバイオメトリック情報を読み取って、送信ユニット１５０１２によって、ユーザのバイオメトリック情報を認証側１５０２に送るように構成されている。
【０１８１】
送信ユニット１５０１２は、ユーザのバイオメトリックテンプレートと、パラメータ情報に対する一意的な識別子を含む属性証明書とを含む、バイオメトリック証明書を認証側１５０２に送るように構成されている。
【０１８２】
送信ユニット１５０１２は、受信ユニット１５０２１と、証明書抽出ユニット１５０２２と、認証処理ユニット１５０２３と、バイオメトリックテンプレートを処理するためのユニット１５０２４と、バイオメトリックテンプレートを整合するためのユニット１５０２５と、決定ユニット１５０２６とを備えている。
【０１８３】
受信ユニット１５０２１は、バイオメトリック証明書および属性証明書を送信ユニット１５０１２から受け取って、バイオメトリック証明書および属性証明書を証明書抽出ユニット１５０２２に送り、ユーザのバイオメトリック情報をクライアント側１５０１から受け取って、ユーザのバイオメトリック情報を認証処理ユニット１５０２３に送るように構成されている。
【０１８４】
証明書抽出ユニット１５０２２は、ユーザのバイオメトリックテンプレートをバイオメトリック証明書から抽出して、バイオメトリックテンプレートを整合するためのユニット１５０２５に対してユーザのバイオメトリックテンプレートを送り、認証処理ユニット１５０２３に対して属性証明書から抽出した結果を送り、認証処理ユニット１５０２３に対してバイオメトリックアルゴリズム証明書から抽出した結果を送るように構成されている。
【０１８５】
認証処理ユニット１５０２３は、バイオメトリックアルゴリズム証明書から抽出した結果にしたがって、ユーザのバイオメトリック情報を受信ユニット１５０２１から取得して、バイオメトリックテンプレートを処理するためのユニット１５０２４に対して、ユーザのバイオメトリック情報を送るように構成されている。
【０１８６】
バイオメトリックテンプレートを処理するためのユニット１５０２４は、認証処理ユニット１５０２３からのユーザのバイオメトリック情報にしたがって、生身のバイオメトリックテンプレートを発生させて、バイオメトリックテンプレートを整合するためのユニット１５０２５に対して、生身のバイオメトリックテンプレートを送るように構成されている。
【０１８７】
バイオメトリックテンプレートを整合するためのユニット１５０２５は、バイオメトリックテンプレートを処理するためのユニット１５０２４からの生身のバイオメトリックテンプレートを、証明書抽出ユニット１５０２２からのユーザのバイオメトリックテンプレートと整合して、整合スコアを得て、整合スコアを決定ユニット１５０２６に送るように構成されている。
【０１８８】
決定ユニット１５０２６は、バイオメトリックテンプレートを整合するためのユニット１５０２５からの整合スコアにしたがって、認証が合格したか否かを決定して、認証の結果を出力するように構成されている。
【０１８９】
本発明の実施形態にしたがった認証のための方法、デバイス、およびシステムを上記でより詳細に説明したが、本発明の実施形態にしたがった方法の理解に役立つように、実施形態の上記の説明を提供したに過ぎない。本発明の精神または範囲を逸脱することなく、本発明の特定のインプリメンテーションおよびアプリケーションにおいて変形が実行可能であることが当業者に正しく認識されるだろう。したがって、明細書は、何らかの方法で、特許請求の範囲で規定したような本発明の範囲を限定するものとして解釈されるべきではない。
【特許請求の範囲】
【請求項１】
識別と特権との組み合わせによる認証のための方法において、
クラアイント側に対応している特権セキュリティレベルを取得することと、
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせることと、
前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定することと、
前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行することと、
認証結果を獲得することとを含む方法。
【請求項２】
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係は、バイオメトリックアルゴリズム証明書中に、または、データベース中に、または、ファイル中に記憶されている、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項３】
前記クライアント側に対応している特権セキュリティレベルを取得することは、
アクセス要求を前記クライアント側から受け取ることと、
バイオメトリック証明書および属性証明書についての要求を前記クライアント側に送ることと、
前記クライアント側から受け取った前記属性証明書から、前記特権セキュリティレベルを取得することとを含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項４】
前記認証パラメータは、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータと、整合アルゴリズムパラメータと、しきい値とを含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項５】
前記認証パラメータを使用して、クライアント側で識別認証を実行することは、
前記クライアント側から受け取った前記バイオメトリック証明書から、ユーザのバイオメトリックテンプレートを取得することと、
前記クライアント側から受け取ったユーザのバイオメトリック情報にしたがって、前記生身のバイオメトリックテンプレートを発生させることと、
前記生身のバイオメトリックテンプレートを前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得することと、
前記整合スコアが前記しきい値より大きい、または、前記しきい値に等しい場合に、前記クライアント側に関する認証が合格したとの結果を発生させることと、
前記整合スコアが前記しきい値より小さい場合に、前記クライアント側に関する認証が不合格したとの結果を発生させることとを含む、請求項４記載の識別と特権との組み合わせによる認証のための方法。
【請求項６】
前記クライアント側に認証結果を送ることをさらに含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項７】
識別と特権との組み合わせによる認証のためのシステムにおいて、
抽出ユニットと、
バイオメトリック処理ユニットと、
認証ユニットとを具備し、
前記抽出ユニットは、クライアント側に対応している前記特権セキュリティレベルを取得して、前記特権セキュリティレベルを前記バイオメトリック処理ユニットに送るように構成され、
前記バイオメトリック処理ユニットは、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせて、前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定し、前記認証パラメータを前記認証ユニットに送るように構成され、
前記認証ユニットは、前記認証パラメータを使用して、前記クライアント側に関する前記識別認証を実行するように構成されているシステム。
【請求項８】
アプリケーションユニットと、
識別情報を転送するためのユニットと、
バイオメトリック情報を収集するためのユニットとをさらに具備し、
前記アプリケーションユニットは、アクセス要求を前記クライアント側から受け取り、前記アクセス要求を前記クライアント側から受け取った後に、前記識別情報を転送するためのユニットを呼び出すように構成され、
前記識別情報を転送するためのユニットは、属性証明書およびバイオメトリック証明書についての要求を前記クライアント側に送り、前記属性証明書および前記バイオメトリック証明書を前記クライアント側から受け取り、前記属性証明書を前記抽出ユニットに送り、前記バイオメトリック証明書を前記認証ユニットに送り、前記バイオメトリック処理ユニットを呼び出すように構成され、
前記バイオメトリック情報を収集するためのユニットは、ユーザのバイオメトリック情報を収集し、前記ユーザのバイオメトリック情報を前記バイオメトリック処理ユニットに送るように構成されている、請求項７記載の識別と特権との組み合わせによる認証のためのシステム。
【請求項９】
バイオメトリック処理のためのデバイスにおいて、
関連付けユニットと、
パラメータ発生ユニットと、
生身のバイオメトリックテンプレートを発生させるためのユニットと、
バイオメトリック証明書を抽出するためのユニットとを具備し、
前記関連付けユニットは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせして、前記識別セキュリティレベルを前記パラメータ発生ユニットに送るように構成され、
前記パラメータ発生ユニットは、前記関連付けユニットから受け取った前記識別セキュリティレベルに対応している認証パラメータを発生させて、前記生身のバイオメトリックテンプレートを発生させるためのユニットに前記パラメータを送るように構成され、
前記生身のバイオメトリックテンプレートを発生させるためのユニットは、前記パラメータ発生ユニットからの前記認証パラメータと、ユーザのバイオメトリック情報とにしたがって、生身のバイオメトリックテンプレートを発生させるように構成され、
前記バイオメトリック証明書を抽出するためのユニットは、受け取ったバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出するように構成されているデバイス。
【請求項１０】
バイオメトリック認証のための方法において、
パラメータ情報に対する一意的な識別子を取得することと、
バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせることと、
ユーザのバイオメトリック情報をクライアント側から受け取ることと、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に関するバイオメトリック認証を実行することとを含む方法。
【請求項１１】
前記パラメータ情報に対する一意的な識別子を取得することは、前記パラメータ情報に対する一意的な識別子を、前記クライアント側からの属性証明書から、または、データベースから、または、第三者から取得することを含む、請求項１０記載のバイオメトリック認証のための方法。
【請求項１２】
前記バイオメトリックセキュリティレベルの確立されたリストは、データベース中に、または、ファイル中に、または、前記認証側におけるバイオメトリック証明書中に記憶されている、請求項１０記載のバイオメトリック認証のための方法。
【請求項１３】
前記バイオメトリックセキュリティレベルのリストは、
前記パラメータ情報に対する一意的な識別子と、セキュリティレベル、ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、または誤整合率を含むパラメータとの間の関連付けの関係と、
ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、または誤整合率を含むバイオメトリック認証パラメータとを含む、請求項１０記載のバイオメトリック認証のための方法。
【請求項１４】
前記バイオメトリック認証パラメータのポリシーを前記クライアント側に送ることと、
ポリシーに基づいて前記クライアント側によって実行された認証が合格した後に、前記ユーザのバイオメトリック情報を前記クライアント側から受け取ることとをさらに含む、請求項１３記載のバイオメトリック認証のための方法。
【請求項１５】
バイオメトリック証明書を前記クライアント側から受け取ることと、
前記バイオメトリック証明書が有効であるか否かを確認することと、
前記バイオメトリック証明書が有効であり、かつ、前記バイオメトリック証明書と前記属性証明書との間で結び付き関係が存在する場合に、ユーザのバイオメトリックテンプレートを前記バイオメトリック証明書から取得することとをさらに含み、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からのユーザのバイオメトリック情報に関するバイオメトリック認証を実行することは、
前記ユーザのバイオメトリック情報と、前記バイオメトリックタイプと、前記バイオメトリックアルゴリズムとにしたがって、生身のバイオメトリックテンプレートを発生させることと、
前記生身のバイオメトリックテンプレートを前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得することと、
ＦＭＲ値にしたがって、整合スコアを評価することと、
認証結果を発生させることとを有する、請求項１３または１４記載のバイオメトリック認証のための方法。
【請求項１６】
認証のためのシステムにおいて、
クライアント側と、
認証側とを具備し、
前記クライアント側は、パラメータ情報に対する一意的な識別子とユーザのバイオメトリック情報とを前記認証側に送るように構成され、
前記認証側は、前記パラメータ情報に対する一意的な識別子と、前記ユーザのバイオメトリック情報とを前記クライアント側から取得して、バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせて、前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に関するバイオメトリック認証を実行するように構成されているシステム。
【請求項１７】
前記認証側は、前記パラメータ情報に対する一意的な識別子に対応している前記認証パラメータを取得した後に、前記認証パラメータ中に含まれているポリシーを前記クライアント側に送るようにさらに構成され、
前記クライアント側は、前記ポリシーに基づいて前記クライアント側によって実行された認証が合格した後に、前記ユーザのバイオメトリック情報を前記認証側に送るようにさらに構成されている、請求項１６記載のバイオメトリック認証のためのシステム。
【請求項１８】
前記クライアント側は、
前記ユーザのバイオメトリックテンプレートを含むバイオメトリック証明書と、前記パラメータ情報に対する一意的な識別子情報を含む前記属性証明書とを前記認証側に送るように構成されている送信ユニットと、
前記ユーザによって提供された前記ユーザのバイオメトリック情報を読み取り、前記送信ユニットを介して、前記ユーザのバイオメトリック情報を前記認証側に送るように構成されている、バイオメトリック情報を読み取るためのユニットとを備える、請求項１６または１７記載のバイオメトリック認証のためのシステム。
【請求項１９】
前記認証側は、
受信ユニットと、
証明書抽出ユニット、
認証処理ユニットと、
バイオメトリックテンプレートを処理するためのユニットと、
バイオメトリックテンプレートを整合するためのユニットと、
決定ユニットとを備え、
前記受信ユニットは、バイオメトリック証明書および属性証明書を前記クライアント側から受け取り、前記バイオメトリック証明書および前記属性証明書を前記証明書抽出ユニットに送り、ユーザのバイオメトリック情報を前記クライアント側から受け取り、前記ユーザのバイオメトリック情報を前記認証処理ユニットに送るように構成され、
前記証明書抽出ユニットは、ユーザのバイオメトリックテンプレートを前記バイオメトリック証明書から抽出し、前記バイオメトリックテンプレートを整合するためのユニットに、前記ユーザのバイオメトリックテンプレートを送り、前記バイオメトリック証明書から抽出した結果を前記認証処理ユニットに送るように構成され、
前記認証処理ユニットは、前記バイオメトリックアルゴリズム証明書から抽出した結果にしたがって、前記ユーザのバイオメトリック情報を前記受信ユニットから獲得し、前記バイオメトリックテンプレートを処理するためのユニットに、前記ユーザのバイオメトリック情報を送るように構成され、
前記バイオメトリックテンプレートを処理するためのユニットは、前記認証処理ユニットからの前記ユーザのバイオメトリック情報にしたがって、生身のバイオメトリックテンプレートを発生させ、バイオメトリックテンプレートを整合するためのユニットに、前記生身のバイオメトリックテンプレートを送るように構成され、
前記バイオメトリックテンプレートを整合するためのユニットは、前記バイオメトリックテンプレートを処理するためのユニットからの前記生身のバイオメトリックテンプレートを、前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得して、前記整合スコアを前記決定ユニットに送るように構成され、
前記決定ユニットは、前記バイオメトリックテンプレートを整合するためのユニットからの前記整合スコアにしたがって、前記認証が合格したか否かを決定し、前記認証の結果を出力するように構成されている、請求項１８記載のバイオメトリック認証のためのシステム。
【請求項１】
識別と特権との組み合わせによる認証のための方法において、
クラアイント側に対応している特権セキュリティレベルを取得することと、
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせることと、
前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定することと、
前記認証パラメータを使用して、前記クライアント側で前記識別認証を実行することと、
認証結果を獲得することとを含む方法。
【請求項２】
前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係は、バイオメトリックアルゴリズム証明書中に、または、データベース中に、または、ファイル中に記憶されている、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項３】
前記クライアント側に対応している特権セキュリティレベルを取得することは、
アクセス要求を前記クライアント側から受け取ることと、
バイオメトリック証明書および属性証明書についての要求を前記クライアント側に送ることと、
前記クライアント側から受け取った前記属性証明書から、前記特権セキュリティレベルを取得することとを含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項４】
前記認証パラメータは、生身のバイオメトリックテンプレートを処理するためのアルゴリズムのパラメータと、整合アルゴリズムパラメータと、しきい値とを含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項５】
前記認証パラメータを使用して、クライアント側で識別認証を実行することは、
前記クライアント側から受け取った前記バイオメトリック証明書から、ユーザのバイオメトリックテンプレートを取得することと、
前記クライアント側から受け取ったユーザのバイオメトリック情報にしたがって、前記生身のバイオメトリックテンプレートを発生させることと、
前記生身のバイオメトリックテンプレートを前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得することと、
前記整合スコアが前記しきい値より大きい、または、前記しきい値に等しい場合に、前記クライアント側に関する認証が合格したとの結果を発生させることと、
前記整合スコアが前記しきい値より小さい場合に、前記クライアント側に関する認証が不合格したとの結果を発生させることとを含む、請求項４記載の識別と特権との組み合わせによる認証のための方法。
【請求項６】
前記クライアント側に認証結果を送ることをさらに含む、請求項１記載の識別と特権との組み合わせによる認証のための方法。
【請求項７】
識別と特権との組み合わせによる認証のためのシステムにおいて、
抽出ユニットと、
バイオメトリック処理ユニットと、
認証ユニットとを具備し、
前記抽出ユニットは、クライアント側に対応している前記特権セキュリティレベルを取得して、前記特権セキュリティレベルを前記バイオメトリック処理ユニットに送るように構成され、
前記バイオメトリック処理ユニットは、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの確立された関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせて、前記識別セキュリティレベルにしたがって、識別認証のための認証パラメータを決定し、前記認証パラメータを前記認証ユニットに送るように構成され、
前記認証ユニットは、前記認証パラメータを使用して、前記クライアント側に関する前記識別認証を実行するように構成されているシステム。
【請求項８】
アプリケーションユニットと、
識別情報を転送するためのユニットと、
バイオメトリック情報を収集するためのユニットとをさらに具備し、
前記アプリケーションユニットは、アクセス要求を前記クライアント側から受け取り、前記アクセス要求を前記クライアント側から受け取った後に、前記識別情報を転送するためのユニットを呼び出すように構成され、
前記識別情報を転送するためのユニットは、属性証明書およびバイオメトリック証明書についての要求を前記クライアント側に送り、前記属性証明書および前記バイオメトリック証明書を前記クライアント側から受け取り、前記属性証明書を前記抽出ユニットに送り、前記バイオメトリック証明書を前記認証ユニットに送り、前記バイオメトリック処理ユニットを呼び出すように構成され、
前記バイオメトリック情報を収集するためのユニットは、ユーザのバイオメトリック情報を収集し、前記ユーザのバイオメトリック情報を前記バイオメトリック処理ユニットに送るように構成されている、請求項７記載の識別と特権との組み合わせによる認証のためのシステム。
【請求項９】
バイオメトリック処理のためのデバイスにおいて、
関連付けユニットと、
パラメータ発生ユニットと、
生身のバイオメトリックテンプレートを発生させるためのユニットと、
バイオメトリック証明書を抽出するためのユニットとを具備し、
前記関連付けユニットは、特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係を取得し、前記特権セキュリティレベルと識別セキュリティレベルとの間の関連付けの関係にしたがって、前記特権セキュリティレベルに対応している前記識別セキュリティレベルを問い合わせして、前記識別セキュリティレベルを前記パラメータ発生ユニットに送るように構成され、
前記パラメータ発生ユニットは、前記関連付けユニットから受け取った前記識別セキュリティレベルに対応している認証パラメータを発生させて、前記生身のバイオメトリックテンプレートを発生させるためのユニットに前記パラメータを送るように構成され、
前記生身のバイオメトリックテンプレートを発生させるためのユニットは、前記パラメータ発生ユニットからの前記認証パラメータと、ユーザのバイオメトリック情報とにしたがって、生身のバイオメトリックテンプレートを発生させるように構成され、
前記バイオメトリック証明書を抽出するためのユニットは、受け取ったバイオメトリック証明書からユーザのバイオメトリックテンプレートを抽出するように構成されているデバイス。
【請求項１０】
バイオメトリック認証のための方法において、
パラメータ情報に対する一意的な識別子を取得することと、
バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせることと、
ユーザのバイオメトリック情報をクライアント側から受け取ることと、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に関するバイオメトリック認証を実行することとを含む方法。
【請求項１１】
前記パラメータ情報に対する一意的な識別子を取得することは、前記パラメータ情報に対する一意的な識別子を、前記クライアント側からの属性証明書から、または、データベースから、または、第三者から取得することを含む、請求項１０記載のバイオメトリック認証のための方法。
【請求項１２】
前記バイオメトリックセキュリティレベルの確立されたリストは、データベース中に、または、ファイル中に、または、前記認証側におけるバイオメトリック証明書中に記憶されている、請求項１０記載のバイオメトリック認証のための方法。
【請求項１３】
前記バイオメトリックセキュリティレベルのリストは、
前記パラメータ情報に対する一意的な識別子と、セキュリティレベル、ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、または誤整合率を含むパラメータとの間の関連付けの関係と、
ポリシー、バイオメトリックタイプ、バイオメトリックアルゴリズム、または誤整合率を含むバイオメトリック認証パラメータとを含む、請求項１０記載のバイオメトリック認証のための方法。
【請求項１４】
前記バイオメトリック認証パラメータのポリシーを前記クライアント側に送ることと、
ポリシーに基づいて前記クライアント側によって実行された認証が合格した後に、前記ユーザのバイオメトリック情報を前記クライアント側から受け取ることとをさらに含む、請求項１３記載のバイオメトリック認証のための方法。
【請求項１５】
バイオメトリック証明書を前記クライアント側から受け取ることと、
前記バイオメトリック証明書が有効であるか否かを確認することと、
前記バイオメトリック証明書が有効であり、かつ、前記バイオメトリック証明書と前記属性証明書との間で結び付き関係が存在する場合に、ユーザのバイオメトリックテンプレートを前記バイオメトリック証明書から取得することとをさらに含み、
前記バイオメトリック認証パラメータにしたがって、前記クライアント側からのユーザのバイオメトリック情報に関するバイオメトリック認証を実行することは、
前記ユーザのバイオメトリック情報と、前記バイオメトリックタイプと、前記バイオメトリックアルゴリズムとにしたがって、生身のバイオメトリックテンプレートを発生させることと、
前記生身のバイオメトリックテンプレートを前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得することと、
ＦＭＲ値にしたがって、整合スコアを評価することと、
認証結果を発生させることとを有する、請求項１３または１４記載のバイオメトリック認証のための方法。
【請求項１６】
認証のためのシステムにおいて、
クライアント側と、
認証側とを具備し、
前記クライアント側は、パラメータ情報に対する一意的な識別子とユーザのバイオメトリック情報とを前記認証側に送るように構成され、
前記認証側は、前記パラメータ情報に対する一意的な識別子と、前記ユーザのバイオメトリック情報とを前記クライアント側から取得して、バイオメトリックセキュリティレベルの確立されたリストにしたがって、前記パラメータ情報に対する一意的な識別子に対応しているバイオメトリック認証パラメータを問い合わせて、前記バイオメトリック認証パラメータにしたがって、前記クライアント側からの前記ユーザのバイオメトリック情報に関するバイオメトリック認証を実行するように構成されているシステム。
【請求項１７】
前記認証側は、前記パラメータ情報に対する一意的な識別子に対応している前記認証パラメータを取得した後に、前記認証パラメータ中に含まれているポリシーを前記クライアント側に送るようにさらに構成され、
前記クライアント側は、前記ポリシーに基づいて前記クライアント側によって実行された認証が合格した後に、前記ユーザのバイオメトリック情報を前記認証側に送るようにさらに構成されている、請求項１６記載のバイオメトリック認証のためのシステム。
【請求項１８】
前記クライアント側は、
前記ユーザのバイオメトリックテンプレートを含むバイオメトリック証明書と、前記パラメータ情報に対する一意的な識別子情報を含む前記属性証明書とを前記認証側に送るように構成されている送信ユニットと、
前記ユーザによって提供された前記ユーザのバイオメトリック情報を読み取り、前記送信ユニットを介して、前記ユーザのバイオメトリック情報を前記認証側に送るように構成されている、バイオメトリック情報を読み取るためのユニットとを備える、請求項１６または１７記載のバイオメトリック認証のためのシステム。
【請求項１９】
前記認証側は、
受信ユニットと、
証明書抽出ユニット、
認証処理ユニットと、
バイオメトリックテンプレートを処理するためのユニットと、
バイオメトリックテンプレートを整合するためのユニットと、
決定ユニットとを備え、
前記受信ユニットは、バイオメトリック証明書および属性証明書を前記クライアント側から受け取り、前記バイオメトリック証明書および前記属性証明書を前記証明書抽出ユニットに送り、ユーザのバイオメトリック情報を前記クライアント側から受け取り、前記ユーザのバイオメトリック情報を前記認証処理ユニットに送るように構成され、
前記証明書抽出ユニットは、ユーザのバイオメトリックテンプレートを前記バイオメトリック証明書から抽出し、前記バイオメトリックテンプレートを整合するためのユニットに、前記ユーザのバイオメトリックテンプレートを送り、前記バイオメトリック証明書から抽出した結果を前記認証処理ユニットに送るように構成され、
前記認証処理ユニットは、前記バイオメトリックアルゴリズム証明書から抽出した結果にしたがって、前記ユーザのバイオメトリック情報を前記受信ユニットから獲得し、前記バイオメトリックテンプレートを処理するためのユニットに、前記ユーザのバイオメトリック情報を送るように構成され、
前記バイオメトリックテンプレートを処理するためのユニットは、前記認証処理ユニットからの前記ユーザのバイオメトリック情報にしたがって、生身のバイオメトリックテンプレートを発生させ、バイオメトリックテンプレートを整合するためのユニットに、前記生身のバイオメトリックテンプレートを送るように構成され、
前記バイオメトリックテンプレートを整合するためのユニットは、前記バイオメトリックテンプレートを処理するためのユニットからの前記生身のバイオメトリックテンプレートを、前記ユーザのバイオメトリックテンプレートと整合し、整合スコアを獲得して、前記整合スコアを前記決定ユニットに送るように構成され、
前記決定ユニットは、前記バイオメトリックテンプレートを整合するためのユニットからの前記整合スコアにしたがって、前記認証が合格したか否かを決定し、前記認証の結果を出力するように構成されている、請求項１８記載のバイオメトリック認証のためのシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０（ａ）】
【図１０（ｂ）】
【図１０（ｃ）】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０（ａ）】
【図１０（ｂ）】
【図１０（ｃ）】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公表番号】特表２０１０−５０１１０３（Ｐ２０１０−５０１１０３Ａ）
【公表日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願番号】特願２００９−５２４８９０（Ｐ２００９−５２４８９０）
【出願日】平成１９年８月１０日（２００７．８．１０）
【国際出願番号】ＰＣＴ／ＣＮ２００７／０７０４４６
【国際公開番号】ＷＯ２００８／０２２５８５
【国際公開日】平成２０年２月２８日（２００８．２．２８）
【出願人】（５０４１６１９８４）ホアウェイ・テクノロジーズ・カンパニー・リミテッド (65)
【Ｆターム（参考）】
【公表日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願日】平成１９年８月１０日（２００７．８．１０）
【国際出願番号】ＰＣＴ／ＣＮ２００７／０７０４４６
【国際公開番号】ＷＯ２００８／０２２５８５
【国際公開日】平成２０年２月２８日（２００８．２．２８）
【出願人】（５０４１６１９８４）ホアウェイ・テクノロジーズ・カンパニー・リミテッド (65)
【Ｆターム（参考）】
[ Back to top ]