認証装置、認証方法、その方法を実現するプログラム、およびそのプログラムを記録した記録媒体
【課題】 認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置および方法を提供する。
【解決手段】 認証装置２００の特定情報通知部Ｍ２０は、ユーザ認証部Ｍ１０から受信したユーザ認証結果情報Ｐ１４をもとに特定情報Ｐ１６を生成し、ユーザ４００に通知する。ユーザ４００は、通知された特定情報Ｐ１６に基づいて、入力データＰ１８を端末３００に入力する。認証装置２００は、入力データ関連情報Ｐ２０を受信すると、入力データ関連情報判断部Ｍ３０が、特定情報Ｐ１６で入力データ関連情報Ｐ２０を復号化する。復号化した結果が、ＩＣカード１００へ送信することが許されるフォーマットの認証成功情報であった場合に、ＩＣカード１００へ復号化済みの認証成功情報Ｐ２４を送信する。
【解決手段】 認証装置２００の特定情報通知部Ｍ２０は、ユーザ認証部Ｍ１０から受信したユーザ認証結果情報Ｐ１４をもとに特定情報Ｐ１６を生成し、ユーザ４００に通知する。ユーザ４００は、通知された特定情報Ｐ１６に基づいて、入力データＰ１８を端末３００に入力する。認証装置２００は、入力データ関連情報Ｐ２０を受信すると、入力データ関連情報判断部Ｍ３０が、特定情報Ｐ１６で入力データ関連情報Ｐ２０を復号化する。復号化した結果が、ＩＣカード１００へ送信することが許されるフォーマットの認証成功情報であった場合に、ＩＣカード１００へ復号化済みの認証成功情報Ｐ２４を送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証装置に関し、特に、２つの装置の間に設けられる認証装置および認証方法に関する。
【背景技術】
【０００２】
近年の情報セキュリティに対する市場の要求の増大に伴い、さまざまなセキュリティ対策システムが商品化されている。特に２００５年４月より日本国内で施行された個人情報保護法に対応するための情報管理システムに対する企業の注目度は高く、各企業が保有する情報の流出の防止は急務の課題となっている。こうした情報管理システムに限らず、さまざまなセキュリティシステムやセキュリティサービスにおいて、必須要件の１つがユーザ認証であり、情報を操作できるユーザ権限を厳密に管理したり、情報の伝達経路をトレースバックできたりすることが重要となっている。こうした時代の背景にも押され、バイオメトリクス（生体）情報を用いたユーザ認証技術が注目されつつある。たとえば、指紋センサを搭載した携帯電話やモバイルＰＣ（Personal Computer）、ＰＤＡ（Personal Data Assistant）といった端末が市場に出回り始めている。
【０００３】
ところで、生体情報に代表されるユーザ認証用データは究極の個人情報であるため、その管理手段としては個人で管理可能で、かつ耐タンパ性を持ったセキュリティデバイスであるＩＣカードやＩＣチップが適している。実際に一部の銀行では、従来の磁気方式によるキャッシュカードに代えて、生体情報を格納したＩＣカードの発行とそのカードに対応した自動現金支払機の運用を開始している。またワールドワイドに見ても、生体情報を格納して本人確認を行なうことができるＩＣチップ内蔵の電子パスポートの試験運用が開始されている。
【０００４】
こうしたセキュリティデバイスは、単なる記憶媒体としての機能だけではなく、正規ユーザだけにセキュリティデバイス内のデータファイルやアプリケーションを利用させることができるアクセスコントロール機能を有する。アクセスコントロール機能を実現するために、セキュリティデバイスはアクセスコントロール状態を内部で管理し、たとえば外部で行なったユーザ認証結果に応じてそのアクセスコントロール状態を変更する必要がある。
【０００５】
一般的なアクセスコントロール状態の変更手法としては、ユーザ認証が必要なサービスを実行する端末において、セキュリティデバイスから読出したユーザ認証用データをもとに、端末上でユーザ認証を行い、認証が成功したことをセキュリティデバイスに通知することで、セキュリティデバイス内部のアクセスコントロール状態を変更し、アクセスコントロールされたファイルやアプリケーションを使用することができる。
【０００６】
また、端末上でユーザ認証を行なう場合、端末側に生体情報を取得するためのセンサデバイスや、ＩＣカードリーダライタを備える構成にすることによるコストや構造上の問題を回避するために、外部周辺機器にその機能を備えるシステムが存在する。
【０００７】
このような、外部周辺機器にセンサデバイスや、ＩＣカードリーダライタを備えることで、端末側からセキュリティデバイスのファイルやアプリケーションを使用することができる技術が、たとえば特開２０００−２１５１７２号公報（特許文献１）および特開２００２−２６９０５５号公報（特許文献２）に開示されている。
【０００８】
特許文献１に開示された認証システムは、情報機器の使用者を認証するシステムであって、登録された使用者であることを特定できる生体情報およびパスワードが格納された個人認証用のカードと、カードに格納された生体情報およびパスワードを読取るカード読取装置と、使用者から生体情報を読取る生体情報読取装置と、カード読取装置から出力される生体情報およびパスワードと、生体情報読取装置から出力される生体情報および情報機器に格納されているパスワードとを照合する照合装置とを含む。
【０００９】
この公報により開示された個人認証システムによると、カード読取装置が個人認証用のカードから読取った生体情報およびパスワードと、生体情報読取装置が使用者から読取った生体情報および情報機器に格納されているパスワードとを照合する照合装置を備えたので、生体情報およびパスワードの双方で個人認証を行なうことができる。これにより、正当な使用者ではない者によるコンピュータの不正使用を防止することができる。その結果、使用者個人の認証を必要とする業務における情報機器の使用管理をより堅牢なセキュリティで実現することができる。
【００１０】
また、特許文献２により開示されたＩＣカードシステムは、ＩＣカードを所持する特定ユーザの生体情報を読取ってユーザ認証を行い、特定ユーザを予め登録された正規ユーザと判断した場合には、認証結果と正規ユーザに対応して予め登録されたユーザ識別番号とを送信し、特定ユーザを正規ユーザではないと判断した場合には、認証結果を送信する生体認証装置と、ＩＣカードから情報を読出し、読出した情報に基づいて特定ユーザにサービスを提供する際、生体認証装置から受信した認証結果が正規ユーザであることを示し、かつ生体認証装置から受信したユーザ識別番号とＩＣカードから読出したカード識別番号とが予め対応付けられて登録されている場合のみ、特定ユーザに対してＩＣカードの利用を許可するサービス提供装置とを含む。
【００１１】
この公報により開示されたＩＣカードシステムによると、ＩＣカードを所持する特定ユーザの生体情報を用いて生体認証装置でユーザ認証を行い、認証結果が正規ユーザであることを示す場合のみ、特定ユーザに対してサービス提供装置におけるＩＣカードの利用を許可するようにしたので、正規ユーザではない第三者が暗号鍵を含む個人情報まで含めてＩＣカードを偽造したとしても、偽造ＩＣカードの使用を拒否することができる。また第三者が正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。これにより、ＩＣカードの不正使用の可能性を低減することができる。また、サービス提供装置において受信した認証結果が正規ユーザであることを示し、かつ受信したユーザ識別番号とＩＣカードから読出したカード識別番号とが予め対応付けられて登録されている場合のみ、特定ユーザに対してサービス提供装置におけるＩＣカードの利用を許可するようにしたので、特定ユーザが予めシステムに登録された正規ユーザで、かつＩＣカードが正規ユーザが所有する正規のＩＣカードである場合のみＩＣカードの使用を許可することができる。したがって、正規ユーザではない第三者が暗号鍵を含む個人情報まで含めてＩＣカードを偽造したとしても、偽造ＩＣカードの使用を拒否することができる。また第三者が正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。さらに正規ユーザが他の正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。したがって、ＩＣカードの不正使用の可能性を低減することができる。
【特許文献１】特開２０００−２１５１７２号公報
【特許文献２】特開２００２−２６９０５５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、特許文献１および特許文献２に開示された認証システムおよびＩＣカードシステムでは、生体情報読取装置および生体認証装置に生体情報を入力したユーザと、個人認証用のカードおよびＩＣカードの正規ユーザとが同一人であることを保証できるが、情報機器およびサービス提供装置のユーザと認証に成功したユーザが同一人であることは保証していない。このため、たとえば、情報機器およびサービス提供装置が、生体情報読取装置および生体認証装置から離れた場所にある場合には、生体情報を入力したユーザが認証に成功してから、情報機器およびサービス提供装置のある場所に移動するまでの時間は、誰でも自由にＩＣカードを利用できてしまう。その結果、認証に成功していないユーザが情報機器およびサービス提供装置から個人認証用のカードおよびＩＣカードの内部に記憶された情報を利用できてしまうという問題がある。
【００１３】
また、特許文献１および特許文献２に開示された認証システムおよびＩＣカードシステムでは、生体情報読取装置および生体認証装置から生体情報や認証結果を受信するための独自の待ち受け状態処理が、情報機器およびサービス提供装置に必要となる。さらに、情報機器およびサービス提供装置と、生体情報読取装置および生体認証装置との互換性を実現するためには、両者の通信プロトコルの標準化が必要となってしまう問題もある。
【００１４】
本発明は、上述の問題点を解決するためになされたものであって、その目的は、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置および方法を提供することである。
【課題を解決するための手段】
【００１５】
第１の発明に係る認証装置は、第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる認証装置であって、第１の装置は、第２の装置のユーザが第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、第２の装置により第１の装置に記憶された情報を利用することができ、第２の装置は、第２の装置に入力された入力データが認証装置で判断された結果に基づいて、認証装置を介して第１の装置に記憶された情報を利用することができ、認証装置は、ユーザ認証用データを第１の装置から取得するための第１の取得手段と、ユーザがユーザ情報を入力するための入力手段と、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証するための認証手段と、正規ユーザであることを特定するための特定情報を正規ユーザに通知するための通知手段と、第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得するための第２の取得手段と、入力データ関連情報と特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断するための判断手段と、入力データ関連情報が特定情報に関連するデータであると判断された場合に、第１の装置に認証成功情報を送信するための送信手段とを含む。
【００１６】
第１の発明によると、認証装置は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置（たとえば、ＩＣカード、ＩＣチップ）の正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。第２の装置（たとえば、ＰＣ、携帯電話）のユーザにより第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、第２の装置のユーザが第２の装置に入力した入力データが、第１の装置の正規ユーザのみに通知される特定情報であったのか否かを判断できる。そのため、第２の装置のユーザが第１の装置の正規ユーザであることを保証できる。また、ユーザが第１の装置の正規ユーザであると認証装置が認証した場合、第２の装置に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが第２の装置に特定情報を入力することで、第２の装置のユーザが第１の装置の正規ユーザであることが認証装置において判断される。このため、第２の装置に認証手段を備える必要がなく、ユーザ情報や認証結果を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。さらに、認証装置は、入力データが特定情報に関連するデータであると判断した場合にのみ第１の装置に認証成功情報を送信する。これにより、第２の装置のユーザが第１の装置の正規ユーザである場合に限り、第２の装置のユーザは、第１の装置に記憶された情報を利用することができる。その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置を提供することができる。
【００１７】
第２の発明に係る認証装置においては、第１の発明の構成に加えて、特定情報は、認証の結果に関連する情報を含む。
【００１８】
第２の発明によると、特定情報は、認証の結果（たとえば本人である確率の高さを示す割合や認証時の環境）に関連した情報を含む。これにより、特定情報は、ユーザ自身が予測できる情報となり、認証時の環境などにより異なった情報となる。そのため、特定情報を、ユーザが予測しやすい特定情報とする一方、毎回異なる情報にして通知することが容易にできる。
【００１９】
第３の発明に係る認証装置においては、第１または第２の発明の構成に加えて、入力データ関連情報は、認証成功情報を、入力データで符号化したデータであり、判断手段は、特定情報で入力データ関連情報を復号化し、認証成功情報として正しく復号できるか否かを判断するための手段を含む。
【００２０】
第３の発明によると、認証装置は、ユーザが第１の装置の正規ユーザである場合、第２の装置から受信する入力データ関連情報を特定情報で復号化することにより、第１の装置を利用するための認証成功情報を取得することができる。これにより、認証装置が第１の装置を利用するための認証成功情報を予め保持していなくても第１の装置に対して認証成功情報を送信できる。そのため、不特定多数のユーザが多様な第１の装置を使用する場合であっても、それぞれに要求される認証成功情報をすべて記憶しておく必要はなく、認証装置を不特定多数のユーザが利用する公共の場などの環境で利用することができる。さらに、特定情報と正しい認証成功情報との両方に関連したデータを第２の装置から認証装置が受信した場合のみ第１の装置を利用できる。そのため、二重の利用制限が課せられることとなり、セキュリティレベルをより高くすることができる。また、正規ユーザであることを保証するために必要な特定情報と、第１の装置を利用するために必要な認証成功情報を第２の装置から認証装置へ同時に送信する。これにより、認証装置と第１の装置との１往復のみの通信により、第１の装置を利用できる。そのため、第２の装置のソフトウェア実装が容易である。
【００２１】
第４の発明に係る認証装置は、第１〜第３の発明のいずれかの発明の構成に加えて、認証成功情報の送信に対する第１の装置からの応答情報を受信し、第１の装置に記憶された情報を利用できる状態であるか否かを確認するための確認手段と、確認の結果を特定情報と対応させて管理するための管理手段とをさらに含む。
【００２２】
第４の発明によると、確認手段は、第１の装置に記憶された情報を利用できる状態であるか否かを確認する。管理手段は、確認の結果を特定情報と対応させて管理する。これにより、第１の装置を利用できる特定情報とそれ以外の特定情報とを別けて管理することができる。
【００２３】
第５の発明に係る認証装置は、第４の発明の構成に加えて、第１の装置を検出するための検出手段をさらに含み、管理手段は、検出手段が第１の装置が検出しなくなった場合に、特定情報を無効にするための手段を含む。
【００２４】
第５の発明によると、管理手段は、検出手段が第１の装置が検出しなくなった場合に、たとえば、第１の装置が物理的に移動して認証装置から利用できない範囲に離れたり、電源供給が停止されたり、通信路が切断されたり、意図的な利用停止操作が行なわれたりなどの要因で、第１の装置と認証装置とが通信できない状態になった場合、特定情報を無効にする。これにより、ユーザが意図的に特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２５】
第６の発明に係る認証装置においては、第４または第５の発明の構成に加えて、管理手段は、確認手段が、応答情報を受信する回数が予め設定された回数を超えても、第１の装置に記憶された情報を利用できる状態であることを確認しない場合、特定情報を無効にするための手段を含む。
【００２６】
第６の発明によると、管理手段は、第１の装置からの応答受信を予め設定された回数を超えても、第１の装置を利用できない場合に、特定情報を無効にする。これにより、第２の装置のユーザが第１の装置の正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２７】
第７の発明に係る認証装置においては、第４〜第６のいずれかの発明の構成に加えて、管理手段は、確認手段が、予め設定された時間を超えても、第１の装置に記憶された情報を利用できる状態であることを確認しない場合、特定情報を無効にするための手段を含む。
【００２８】
第７の発明によると、管理手段は、予め設定された時間を超えても、第１の装置を利用できない場合に、特定情報を無効にする。これにより、第２の装置のユーザが第１の装置の正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２９】
第８の発明に係る認証装置においては、第４〜第７の発明のいずれかの発明の構成に加えて、管理手段は、確認手段が、第１の装置に記憶された情報を利用できる状態であることを確認した場合、予め設定された時間以内であれば、特定情報を無効にしないための手段を含む。
【００３０】
第８の発明によると、管理手段は、第１の装置に記憶された情報を利用できる状態となっても、予め設定された時間以内であれば、特定情報を無効にしない。これにより、第２の装置を再起動したり、再接続したり、認証装置との通信が途切れて再接続したりした場合に、その都度ユーザ認証を行なう必要がない。また、同じユーザが追加で第２の装置とは異なる別の装置から第１の装置を利用する場合に、予め定められた時間内であれば同じ特定情報を使用できる。これにより、それぞれの装置毎にユーザ認証を行なう必要がないようにすることができ、利便性を向上することができる。
【００３１】
第９の発明に係る認証装置においては、第１〜第８の発明のいずれかの発明の構成に加えて、送信手段は、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報を第１の装置に送信する手段を含む。
【００３２】
第９の発明によると、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報を第１の装置に送信する。これにより、複数のユーザ認証方式（たとえば、指紋認証、虹彩認証）に関するユーザ認証用データを備える第１の装置であっても、どの認証方式でユーザ認証が成功したのかが通知される。そのため、第１の装置は、認証方式毎に異なる認証成功情報の検証を行なうことができる。これにより、第１の装置では、認証方式毎に異なる利用権限の管理を行なうことができる。また、複数のユーザに対するユーザ認証用データを備える第１の装置であっても、どのユーザが認証に成功したのか通知されるため、複数の異なるユーザが同じ認証装置を用いて第１の装置に対するユーザ認証を行っても、ユーザ毎の利用権限に応じた範囲で第１の装置を利用することができる。
【００３３】
第１０の発明に係る認証方法は、第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる装置における認証方法であって、第１の装置は、第２の装置のユーザが第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、第２の装置により第１の装置に記憶された情報を利用することができ、第２の装置は、第２の装置に入力された入力データが認証装置で判断された結果に基づいて、認証装置を介して第１の装置に記憶された情報を利用することができ、認証方法は、ユーザ認証用データを第１の装置から取得する第１の取得ステップと、ユーザがユーザ情報を入力する入力ステップと、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証する認証ステップと、正規ユーザであることを特定するための特定情報を正規ユーザに通知する通知ステップと、第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得する第２の取得ステップと、入力データ関連情報と特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する判断ステップと、入力データ関連情報が特定情報に関連するデータであると判断された場合に、第１の装置に認証成功情報を送信する送信ステップとを含む。
【００３４】
第１０の発明によると、認証方法は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。第２の装置のユーザにより第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、第２の装置のユーザが第２の装置に入力した入力データが、第１の装置の正規ユーザのみに通知される特定情報であったのか否かを判断できる。そのため、第２の装置のユーザが第１の装置の正規ユーザであることを保証できる。また、ユーザが第１の装置の正規ユーザであると認証装置が認証した場合、第２の装置に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが第２の装置に特定情報を入力することで、第２の装置のユーザが第１の装置の正規ユーザであることが認証装置において判断される。このため、第２の装置に認証ステップを備える必要がなく、また、認証情報を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。
【００３５】
さらに、認証方法は、入力データが特定情報に関連するデータであると判断した場合にのみ第１の装置に認証成功情報を送信する。これにより、第２の装置のユーザが第１の装置の正規ユーザである場合に、第２の装置のユーザは、第１の装置に記憶された情報を利用することができる。
【００３６】
その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を提供することができる。
【００３７】
第１１の発明に係る認証プログラムは、第１０の発明の認証方法を実現するプログラムである。これにより、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いても、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を実現させることができるプログラムを提供することができる。また、汎用のコンピュータに、本発明の認証方法を実行させることができる。
【００３８】
第１２の発明に係る記録媒体は、第１１の発明の認証プログラムを記録したコンピュータ読取可能な記録媒体である。これにより、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いても、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を実現させることができるプログラムを記録したコンピュータ読取可能な記録媒体を提供することができる。また、記録媒体から汎用のコンピュータに、認証プログラムをインストールすることによって、本発明の認証方法を実行させることができる。
【発明を実施するための最良の形態】
【００３９】
以下、図面を参照しつつ、本発明の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがって、それらについての詳細な説明は繰り返さない。
【００４０】
＜第１の実施の形態＞
図１を参照して、本実施の形態に係るＩＣカード１００、ＩＣカードを利用する端末３００および認証装置２００のハードウェア構成について説明する。
【００４１】
ＩＣカード１００は、通信部１１０と、ＣＰＵ（Central Processing Unit）１２０と、記憶部１３０とから構成される。なお、ＩＣカード１００は、セキュリティデバイスの一例であって、外部から物理的および電気的に解析されないような耐タンパ性を備えていることが望ましい。また本発明では必ずしも認証装置と分離している必要はなく、たとえば認証装置２００や端末３００の筐体の中にＩＣチップとして組込まれていてもよい。ただし認証装置２００や端末３００に組込む場合は、ＩＣカードを検出していない状態と同様な効果を実現するために、外部からのユーザ操作により、電気的に利用を制御できる機能を持つことが望ましい。たとえば、内蔵ＩＣチップ専用の電源スイッチを設ける方法などがある。
【００４２】
通信部１１０は、認証装置２００のＩＣカード通信部２７０との間でデータを交換する通信機能を持った通信モジュールである。有線や端子による接触型通信と、無線による非接触型通信とのどちらでもよい。通信機能を持った通信ソフトウェアであってもよい。なお、国際的に標準化された通信方式としては、ＩＳＯ／ＩＥＣ７８１６やＩＳＯ／ＩＥＣ１４４４３などがある。
【００４３】
ＣＰＵ１２０は、１６ビットや３２ビットなどの比較的小規模なＣＰＵであり、ＩＣカード内部のデータに関するアクセスコントロールや暗号化演算を実行することができる。つまり、ＣＰＵ１２０によりアクセスコントロール状態を満たされた場合に限り、そのユーザの権限に応じて記憶部１３０に記憶されたファイルへのアクセスや記憶されたアプリケーションの実行を行なうことができる。暗号化演算の高速化のために、ＣＰＵ１２０とは別に専用の演算チップを搭載してもよい。
【００４４】
記憶部１３０は、ユーザ認証用の複数のデータを格納することができる十分な容量を持つ不揮発性の半導体メモリ（たとえば、１ＭＢのフラッシュメモリ）である。また、ＣＰＵ１２０の作業用領域として、読書き速度が高速なＲＡＭを備える。記憶部１３０には、ユーザ認証用データと認証成功情報を検証するためのデータとが記憶されている。なお、認証成功情報とは、ＩＣカード１００に対して外部でユーザ認証が成功したことを通知する情報である。認証成功情報が通知されることよりアクセルコントロール状態が変更され、記憶部１３０に記憶されたファイルへのアクセスや記憶されたアプリケーションの実行を行なうことができる。
【００４５】
認証装置２００は、通信部２１０と、ＣＰＵ２２０と、記憶部２３０と、電源部２４０と、特定情報通知部２５０と、ユーザ情報入力部２６０と、ＩＣカード通信部２７０とから構成される。
【００４６】
通信部２１０は、端末３００の通信部３１０との間でデータ通信を行なう通信モジュールである。通信方式は、認証装置２００の利用方法や利用場所に応じて有線でも無線でもよい。有線なら１００Ｂａｓｅ-ＴなどのＬＡＮ、ＲＳ−２３２ＣまたはＵＳＢ（Universal Serial Bus）などがあり、無線なら無線ＬＡＮ、ＵＷＢ（Ultra Wide Band）、BluetoothまたはＩｒＤＡなどがある。いずれの通信方式においても、端末３００以外の装置とも通信される構成であってもよい。たとえば、端末３００であるノートＰＣとデスクトップＰＣとが、１台の認証装置２００に接続される構成でもよい。
【００４７】
通信部２１０と通信部３１０との間の通信プロトコルＸと、ＩＣカード通信部２７０と通信部１１０との間の通信プロトコルＹとが異なる場合、端末３００とＩＣカード１００との間のデータを送受信するため、ＣＰＵ２２０は伝達する内容が等価になるように双方向変換する。たとえば、通信プロトコルＸがＴＣＰ／ＩＰであり、通信プロトコルＹがＩＳＯ／ＩＥＣ７８１６である場合、端末３００からＩＰパケットのデータ部にＩＳＯ／ＩＥＣ７８１６に準拠したＡＰＤＵ（Application Protocol Data Unit）をそのまま包んだパケットを受信し、取出したＡＰＤＵをＩＣカード１００に送信する。
【００４８】
ＣＰＵ２２０は、認証装置２００の各部を制御するための演算素子である。記憶部２３０は、ユーザ認証に成功したユーザを特定するための特定情報などを記憶している。なお、特定情報とは、認証装置２００に認証に必要な情報（たとえば生体情報）を入力したユーザが、ＩＣカード１００の正規ユーザであると認証された場合に、情報を入力したユーザに通知される情報である。
【００４９】
電源部２４０は、認証装置２００に必要な電気を外部から取得し、各部に供給する。特定情報通知部２５０は、特定情報を紙へ印字してユーザに通知する印字モジュールである。なお、視覚的に通知する他の例として液晶やＬＥＤなどの表示モジュール、聴覚的に通知する例としてスピーカや、触覚的に通知する例として振動モジュールであってもよい。別の実現方法として、可搬性のある半導体メモリであるＲＦＩＤ（Radio Frequency Identification）やＵＳＢメモリなどに対する書込みモジュールであってもよい。実施上配慮すべき点は、ユーザ認証を行ったユーザ以外の他人に、できるだけ特定情報が漏洩しないように考慮することである。
【００５０】
ユーザ情報入力部２６０は、ユーザ認証を行なうために、ユーザの生体情報などのユーザ情報を取得するモジュールである。たとえば指紋認証の場合、エリア型のセンサやライン型のセンサなどさまざまな形状のセンサがあり、センシング方式も静電容量式や光学式などがある。ユーザ情報入力部２６０は、認証装置２００に複数備えられていてもよい。
【００５１】
ＩＣカード通信部２７０は、ＩＣカード１００の通信部１１０との間でデータを交換する通信モジュールである。ＩＣカード１００の代わりにＩＣチップを認証装置２００に内蔵する場合は、ＩＣチップ通信インタフェースとなる。またＩＣカードリーダライタ装置のように、認証装置２００の外部機器として接続され、必要なときのみ認証装置２００に接続する場合もある。必要なときのみ認証装置２００に接続する場合のＩＣカードリーダライタと認証装置２００との接続方式は、ＲＳ−２３２ＣやＵＳＢ、ＰＣＭＣＩＡ（Personal Computer Memory Card International Association）カードなどがある。
【００５２】
端末３００は、通信部３１０と、ＣＰＵ３２０と、記憶部３３０と、電源部３４０と、特定情報入力部３５０とから構成される。端末３００は、ＰＣやＰＤＡ、携帯電話、カーナビゲーション装置、テレビ、ホームサーバ、ホームゲートウェイといった民生装置に限らず、ネットワークに接続されるほとんどの装置である。たとえば、マルチファンクションプリンタや、自動改札機、自動販売機なども含まれる。
【００５３】
ＣＰＵ３２０は、端末３００の各部を制御するための演算素子である。記憶部３３０は、ＩＣカード１００を利用するために必要な認証成功情報などを記憶している半導体メモリである。電源部３４０は、端末３００に必要な電気を外部から取得し、各部に供給する。特定情報入力部３５０は、端末３００のユーザが、認証装置２００より通知された特定情報を入力するための入力モジュールである。表示部３６０は、特定情報を表示するための液晶画面であり、必ずしも必須ではない。
【００５４】
図２を参照して、特定情報のテーブルの構成について説明する。なお、特定情報とは、認証装置２００のユーザがＩＣカード１００の正規ユーザであると認証装置２００が判断した場合に、認証装置２００のユーザに通知する情報である。通知を受けた認証装置２００のユーザが、特定情報を端末３００に入力することで、認証装置２００のユーザがＩＣカード１００の正規ユーザと同一人であることが保証される。
【００５５】
照合スコア情報Ｃ１０は、ユーザが認証装置２００でＩＣカード１００の正規ユーザであると認証された場合に出力される値で、単位がパーセントである２桁の数字である。たとえば、ユーザの生体情報が認証に使用される場合、特徴点や特徴量の類似度や一致度によって本人性を数値化し、１００パーセントに近いほど本人である確率が高いことを表わす。本人性を数値化した照合スコア情報Ｃ１０の値は、たとえ正規ユーザであっても、ユーザ情報入力部２６０が生体情報を読取る環境が毎回異なるため、同じ照合スコア情報にならないことが多い。たとえば指紋認証の場合は、指紋の状態（たとえば汚れや汗）や指紋を読取る操作（たとえば置く位置や角度の違い）などが、照合スコア情報Ｃ１０の値が毎回異なる要因となる。よって照合スコア情報Ｃ１０の値を特定情報に用いると、ユーザにわかりやすい数値でかつ比較的容易に特定情報を乱数化することができる。なお、ユーザ認証用データとユーザ情報が、完全に一致した場合、照合スコア情報Ｃ１０が１００パーセントとなる可能性もあるが、これはユーザ認証用データが不正に複製されて使用された可能性が高いため、あえてユーザ認証成功としていないことで、２桁でも十分である。また、複数の認証方式（たとえば指紋認証方式と虹彩認証方式）によりユーザ認証が実施された場合、認証結果は最終的には一つの照合スコアへ統合して判断されるため、照合スコア情報Ｃ１０ではその統合された照合スコアを管理すればよい。
【００５６】
乱数情報Ｃ２０は、特定情報を生成するたびに異なる数字である。図２に示す例では２桁としたが桁数は２桁以外でもよい。乱数情報Ｃ２０は、照合スコア情報Ｃ１０が、７０〜８０パーセント以上であることが予測されるため、予測困難性を持たせる効果と、万一通知する特定情報が現在有効な他の特定情報と重複した場合に、新たに異なる特定情報を生成し直すことができるような効果とを目的として付加される。なお、特定情報は最初から乱数情報Ｃ２０のみで構成されてもよい。
【００５７】
認証環境情報Ｃ３０は、ユーザ認証を行ったユーザなら知っている認証実行時の環境に関する情報を予め決められたルールで数値化したものである。たとえば指紋認証や指静脈認証の場合、どの指を用いたのかが認証環境情報Ｃ３０に該当し、用いた指を指番号として特定情報に含める。他に、虹彩認証ではどちらの目を用いたか、顔認証では表情や装飾品や髪型、音声認証では発声した音節数やイントネーションなどがある。また認証成功までの入力繰返し回数や、複数実行した認証方式の組合せ順序であってもよい。
【００５８】
認証環境情報Ｃ３０は、ユーザに対して特定情報を通知する際に、特定情報に含めて発行しなくてもユーザは端末３００へ入力することが可能である。このため、特定情報の長さを増やすことなく、ユーザの本人性を高める効果がある。つまり、たとえば印刷された特定情報を落として他人に拾われたり表示されたままの特定情報を他人に見られたりすることで特定情報が他人に漏洩したりしても、認証環境情報Ｃ３０が含まれていなければ、他人は容易に悪用することができない。
【００５９】
図３を参照して、認証装置２００が記憶部２３０に管理する特定情報管理リストのテーブルの構成について説明する。特定情報管理リストとは、ユーザ認証により生成される特定情報を記憶部２３０で記憶して管理するリストである。Ｃ１０〜Ｃ３０までは、図２を参照して説明した特定情報そのものである。したがって、それらについての詳細な説明は繰り返さない。
【００６０】
テンプレートＩＤ情報（Ｃ４０）は、認証に成功したテンプレートＩＤである。なお、テンプレートＩＤとは、１枚のＩＣカード１００に複数の認証方式や複数のユーザに対するユーザ認証用データが格納されることを想定し、ＩＣカード１００内でこれらを区別して特定できるように、ユーザ認証用データに関連付けられている情報である。これによりＩＣカード１００から複数のユーザ認証用データを読出してユーザ認証を行った場合に、ユーザ認証に成功したときに照合に使われたテンプレートに対するテンプレートＩＤ情報（Ｃ４０）をＩＣカード１００に送信することで、ＩＣカード１００内で異なる認証方式や異なるユーザ毎に細かくアクセスコントロール状態を設定することができる。なお、１つのファイルにバイオメトリクステンプレート（生体情報にヘッダ情報を付加したデータ）が１つである場合は、テンプレートＩＤの変わりにファイルＩＤを用いてもよい。複数の認証方式でユーザ認証を実施した場合はそれぞれ異なるテンプレートＩＤが通知されるため、テンプレートＩＤ情報（Ｃ４０）の項目に列挙する。
【００６１】
リトライ回数情報Ｃ５０は、ＩＣカード１００に対する認証成功情報の送信に対する応答情報の内容が、検証失敗であった場合に、初期値０から失敗毎に１増加させる項目である。リトライ回数情報Ｃ５０は認証成功情報が予め定められたリトライ回数内で正しく照合されない場合に、特定情報を無効化するために用いる情報である。
【００６２】
管理状態情報Ｃ６０は、複数通知された特定情報の管理状態を示す項目である。具体的には特定情報を通知してから、ＩＣカード１００に認証成功情報を送信するまでを「通知前」、認証成功情報をＩＣカード１００に送信し、ＩＣカードからの検証成功の応答を受けるまでを「通知応答待ち」、検証成功の応答を受けた後からその特定情報が無効化されるまでを「検証完了」とする。
【００６３】
なお「通知応答待ち」状態は、ＩＣカードの通信プロトコルの仕様により、特定情報管理リストには１つ以下しか存在しない。また「検証完了」状態の特定情報を無効化されるまで残す理由は、端末のアプリケーションの再起動時や同じユーザが複数の端末から同じＩＣカードを利用する場合に、毎回ユーザ認証を行なう手間を省くことができるためである。
【００６４】
無効化された特定情報は「無効」とするか、特定情報管理リストから削除してしまってもよい。図３に示す状態は、下から４つ分の特定情報が「無効」状態のまま削除されずに特定情報管理リストに保持されている。
【００６５】
発行日時情報Ｃ７０は、特定情報が発行された日時を年月日時分秒の各数字を続けた形式の時間情報である。特定情報が特定情報管理リストに登録された日時であってもよい。発行日時情報Ｃ７０は特定情報の新旧の比較や、予め決められた期限を越えた場合の無効化処理に用いる。
【００６６】
図４を参照して、認証装置２００の制御ブロックおよびデータの流れについて、ＩＣカード１００、端末３００およびユーザ４００の処理内容およびデータの流れとともに説明する。
【００６７】
ＩＣカード１００の記憶部１３０に記憶されているユーザ認証用データＰ１０は、ユーザの生体情報である。たとえば指紋や指静脈、虹彩、音声（声紋）、顔などの生体認証技術が実用化されており、複数の生体認証に対応した生体情報を格納することもできる。一般的に生体情報は、ユーザ固有の特徴点や特徴量を抽出した後の圧縮されたデータである。またこれらのデータは、認証を効率よく行ったり、複数のユーザや複数の認証アルゴリズムに対するデータを管理しやすくしたりするために格納される生体情報に関してヘッダ情報を付加したバイオメトリクステンプレートとして形成される。国際的に規定されているバイオメトリクステンプレート形式としてＣＢＥＦＦ（Common Biometric Exchange File Format）がある。なお、ユーザ認証用データＰ１０は必ずしも生体情報である必要はなく、ＰＩＮ（Personal Identification Number）であってもよい。
【００６８】
また、図４には記載しないが、認証装置２００が信用できる装置であることを認証した上でのみ、ＩＣカード１００からユーザ認証用データＰ１０を読み出すことができるほうが望ましく、さらにはユーザ認証用データＰ１０は暗号化されて読み出されることが望ましい。
【００６９】
認証装置２００のユーザ認証部Ｍ１０は、ＩＣカード１００からユーザ認証用データＰ１０を取得し、ユーザ情報入力部２６０からユーザ４００のユーザ情報Ｐ１２を取得する。ユーザ情報入力部２６０から入力されたユーザ情報Ｐ１２が生体情報である場合は、予めＩＣカード１００に記録されたユーザ認証用データＰ１０を生成したアルゴリズムと同じアルゴリズムを用いて、ＣＰＵ２２０が特徴点や特徴量を抽出し、ユーザ認証用データＰ１０との照合を行なう。照合したユーザ認証結果情報Ｐ１４は、特定情報通知部Ｍ２０に送信される。ユーザ認証結果情報Ｐ１４には、認証が成功だと判断された一致率度合いである照合スコア情報Ｃ１０や、認証に用いられた状況に関連する情報（たとえば右手人差し指の指紋情報、左目の虹彩情報など）などを示す認証環境情報Ｃ３０、照合されたテンプレートＩＤ情報（Ｃ４０）が含まれる。また、ユーザ認証結果情報Ｐ１４のうち、テンプレートＩＤ（Ｐ１３）のみが、ＩＣカード１００へも送信される。
【００７０】
特定情報通知部Ｍ２０は、ユーザ認証部Ｍ１０から受信したユーザ認証結果情報Ｐ１４をもとに特定情報Ｐ１６を生成し、特定情報通知部２５０からユーザ４００に対して特定情報Ｐ１６を通知する。
【００７１】
ユーザ４００は、通知された特定情報Ｐ１６に基づいて、入力データＰ１８を端末３００の特定情報入力部３５０に入力する。ＩＣカードへの認証成功情報を合わせて入力するようにしてもよい。
【００７２】
端末３００のＣＰＵ３２０は、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０を入力データ関連情報生成部Ｔ１０で生成し、通信部３１０から認証装置２００の通信部２１０へ送信する。
【００７３】
認証装置２００は、入力データ関連情報Ｐ２０を受信すると、入力データ関連情報判断部Ｍ３０が、特定情報通知部Ｍ２０からその時点で有効なすべての特定情報である全有効特定情報Ｐ２２を取得し、その特定情報Ｐ２２で入力データ関連情報Ｐ２０を復号化する。復号化した結果が、ＩＣカード１００へ送信することが許されるフォーマットの認証成功情報であった場合に、ＩＣカード通信部２７０からＩＣカード１００の通信部１１０へ復号化済みの認証成功情報Ｐ２４を送信する。
【００７４】
ＩＣカード１００では、認証成功情報検証部Ｄ１０が、まずユーザ認証部Ｍ１０から、ユーザ認証結果のテンプレートＩＤ（Ｐ１３）を取得し、ＩＣカード内に予め記憶された認証成功情報検証用データＰ２６から、対応する認証成功情報検証用データＰ２６を取得（Ｄ１０（１））し、認証成功情報Ｐ２４の検証を行い、検証結果を応答情報Ｐ２８として認証装置２００へ返信（Ｄ１０（２））する（図１０参照）。
【００７５】
認証成功情報検証用データＰ２６は、ＩＣカード１００の外部でユーザ認証用データＰ１０を用いてユーザ認証が成功した場合に、ＩＣカード１００のアクセスコントロール状態を変えるためにＩＣカード１００に通知される認証成功情報Ｐ２４を検証するためのデータである。テンプレートＩＤ情報（Ｃ４０）に関連付けられて管理されている。つまり、多数ある認証成功情報検証用データＰ２６のうちのテンプレートＩＤ（Ｐ１３）に対応したデータを特定することができる。
【００７６】
応答確認部Ｍ４０は、応答情報Ｐ２８を受信し、端末３００へ転送する。応答情報Ｐ２８を転送する際に、ＩＣカード１００が利用できる状態か否かを判断し、特定情報通知部Ｍ２０へ判断通知情報Ｐ３０を送信する。なお、入力データ関連情報判断部Ｍ３０が、１つの認証成功情報を送信してから、対応する応答確認部Ｍ４０が応答情報Ｐ２８を受信するまでの間は、他の認証成功情報やそれ以外のＩＣカードに対するコマンドは送信しないように制御する必要がある。これはＩＣカード１００が半二重のコマンド・レスポンス通信プロトコルであることによる。
【００７７】
検出部Ｍ５０は、たとえば、ＩＣカード１００が物理的に移動して認証装置２００から利用できない範囲に離れたり、ＩＣカード１００の電源供給が停止されたり、ＩＣカード通信部２７０とＩＣカードの通信部１１０との間の通信路が切断されたり、ユーザによる意図的なＩＣカード１００の利用停止操作が行なわれたりなどの要因で、検出部Ｍ５０がＩＣカード１００を検出しなくなった場合に、ＩＣカード未検出情報Ｐ３２を特定情報通知部Ｍ２０へ送信し、特定情報通知部Ｍ２０で管理している特定情報を全て無効化する。
【００７８】
ここで、端末３００における認証成功情報の符号化方法および端末３００にて符号化された入力データ関連情報Ｐ２０の認証装置２００における復号化方法についての一例を説明する。
【００７９】
認証成功情報は、ＩＣカード１００に対して外部でユーザ認証が成功したことを通知することが目的であり、ＰＩＮ認証で代用することができる。たとえばＩＣカード内で、あるテンプレートＩＤ情報（Ｃ４０）を持つユーザ認証用データＰ１０に対する認証成功情報は、データが０ｘ０１０２０３０４であるＰＩＮ認証と関連付けられていることをユーザ４００は知っていることとする。また認証装置２００で通知された特定情報Ｐ１６が図２に示す例であるとすると、ユーザ４００は端末３００に特定情報として「８６，２５，２」と入力する。さらに認証成功情報としてのＰＩＮを「０１０２０３０４」と入力する。入力されたＰＩＮをＩＣカードに送信するときのＡＰＤＵは、ＩＳＯ／ＩＥＣ７８１６のＶｅｒｉｆｙコマンドの規定に基づき、たとえば「００２００００００４０１０２０３０４」というバイト列になる。
【００８０】
なおＰＩＮは手間を減らすために予め端末３００に設定されていてもよい。端末３００では入力された特定情報Ｐ１６を複数桁の数字「８６２５２」とみなして暗号鍵として扱い、認証成功情報を符合化する。暗号アルゴリズムはＤＥＳやＡＥＳなどがあるが、セキュリティ要件によっては実装の容易さを考慮して単純に排他的論理和（ＸＯＲ）をとったものであってもよい。
【００８１】
認証装置２００では、符合化された認証成功情報を、同じ特定情報Ｐ１６と同じ暗号アルゴリズムを用いて復号化することで上記ＡＰＤＵを取得することができる。暗号化した端末３００と復号化した認証装置２００が同じ暗号鍵である特定情報Ｐ１６を用いていれば、ＡＰＤＵのフォーマットがＩＳＯ／ＩＥＣ７８１６のＶｅｒｉｆｙコマンドの規定を満たすフォーマットに復元できる。これにより、正しい特定情報を持つユーザ４００が端末３００を操作していることを保証できる。
【００８２】
ここまでの実施例では、認証成功情報の内容自身は認証装置２００が関知しないことを想定したが、認証装置２００がＩＣカード１００と同様に認証成功情報を各テンプレートＩＤ情報（Ｃ４０）と関連付けて記憶していてもよい。認証装置２００が認証成功情報を記憶する場合は、端末３００で符号化した認証成功情報は、認証装置２００で復号するのではなく、同様の符号化を行って一致するかどうかを判定することで特定情報Ｐ１６を検証することができるため、端末３００および認証装置２００ともに復号化処理のための部位を備える必要がなくなる。符号化の例としては、特定情報Ｐ１６と認証成功情報との連結したデータをＳＨＡ−１（Secure Hash Algorithm １）のような一方向関数で符号化する方法がある。
【００８３】
このように、認証装置２００は、ユーザ４００に対して特定情報Ｐ１６を通知し、端末３００からＩＣカード１００へ送信される入力データ関連情報Ｐ２０をその特定情報Ｐ１６を用いて判断する。特定情報Ｐ１６のユーザへの通知と、ユーザにより入力される入力データにより、認証装置２００とユーザ４００と端末３００を結びつけ、さらに同じ特定情報Ｐ１６を端末からＩＣカードへの認証成功情報に関連付けることで、ユーザ４００からＩＣカード１００までの信頼連鎖を非常にシンプルな通信プロトコルで実現している特長がある。
【００８４】
図５を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、ユーザ認証部Ｍ１０でユーザ認証を行なう場合に実行される。
【００８５】
ステップ（以下、ステップをＳと略す）１０２にて、ＣＰＵ２２０は、ユーザ認証が成功したか否かを判断する。この判断は、ＩＣカード１００から取得したユーザ認証用データＰ１０と、ユーザ情報入力部２６０から入力されたユーザ情報Ｐ１２とが照合したか否かにより行なわれる。ユーザ認証が成功したと判断されると（Ｓ１０２にてＹＥＳ）、処理はＳ１０４に移される。もしそうでないと（Ｓ１０２にてＮＯ）、処理はＳ１０６に移される。
【００８６】
Ｓ１０４にて、ＣＰＵ２２０は、ＩＣカード１００から取得したユーザ認証用データＰ１０のうちの認証に成功したテンプレートＩＤ（Ｐ１３）を、ＩＣカード１００に、通知するようＩＣカード通信部２７０に指示する。
【００８７】
Ｓ１０６にて、ＣＰＵ２２０は、サービス提供を拒否し、処理を終了させる。
図６を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、特定情報通知部Ｍ２０にて特定情報Ｐ１６を通知する場合に実行される。
【００８８】
Ｓ２０２にて、ＣＰＵ２２０は、ユーザ認証結果情報Ｐ１４を取得するよう特定情報通知部Ｍ２０に指示する。
【００８９】
Ｓ２０４にて、ＣＰＵ２２０は、記憶部２３０に記憶している特定情報管理リストから有効なすべての特定情報を取得するよう指示する。ここで有効な特定情報とは、管理状態情報Ｃ６０が「通知前」または「通知応答待ち」または「検証完了」となっている特定情報である。
【００９０】
Ｓ２０６にて、ＣＰＵ２２０は、Ｓ２０２で取得したユーザ認証結果情報Ｐ１４から、照合スコア情報Ｃ１０を取出し、生成した乱数情報Ｃ２０を連結して特定情報Ｐ１６を生成する。
【００９１】
Ｓ２０８にて、ＣＰＵ２２０は、生成した特定情報Ｐ１６がＳ２０４で取得した有効なすべての特定情報と重複するか否かを判断する。重複すると判断されると（Ｓ２０８にてＹＥＳ）、処理はＳ２０６に戻される。もしそうでないと（Ｓ２０８にてＮＯ）、処理はＳ２１０に移される。
【００９２】
Ｓ２１０にて、ＣＰＵ２２０は、同じテンプレートＩＤ（Ｐ１３）が登録済みか否かを判断する。この判断は、Ｓ２０４で取得した有効なすべての特定情報のテンプレートＩＤ情報（Ｃ４０）のうち、ユーザ認証結果情報Ｐ１４のテンプレートＩＤ（Ｐ１３）と同じものがあるか否かで行なわれる。同じテンプレートＩＤ情報（Ｃ４０）が登録済みと判断されると（Ｓ２１０にてＹＥＳ）、処理はＳＡ０に移される。もしそうでないと（Ｓ２１０にてＮＯ）、処理はＳ２１２に移される。
【００９３】
ＳＡ０にて、ＣＰＵ２２０は、古い特定情報のテンプレートＩＤを指定して無効化処理を行なう。詳細は後述する。
【００９４】
Ｓ２１２にて、ＣＰＵ２２０は、特定情報通知部２５０に特定情報Ｐ１６を通知するよう指示する。
【００９５】
Ｓ２１４にて、ＣＰＵ２２０は、特定情報管理リストのＣ１０からＣ７０までの各項目に、Ｓ２０６で生成した特定情報Ｐ１６に関連する各項目を新たに追加し、リトライ回数情報Ｃ５０を０とし、管理状態情報Ｃ６０を「通知前」に設定して記憶する。
【００９６】
図７を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、入力データ関連情報判断部Ｍ３０にて、入力データＰ１８に関連するデータが特定情報Ｐ１６に関連するデータであるか否かを判断する場合に実行される。
【００９７】
Ｓ３０２にて、ＣＰＵ２２０は、端末３００から符号化された認証完了情報である入力データ関連情報Ｐ２０を受信するよう通信部２１０に指示する。
【００９８】
ＳＡ０にて、ＣＰＵ２２０は、特定情報の管理状態情報Ｃ６０を最新の状況にするために、特定情報の無効化処理を行なう。詳細は後述する。
【００９９】
Ｓ３０４にて、ＣＰＵ２２０は、すべての特定情報を記憶部２３０から取得する。Ｓ３０６にて、ＣＰＵ２２０は、有効な特定情報があるか否かを判断する。この判断は、管理状態情報Ｃ６０が「通知前」、「通知応答待ち」または「検証完了」となっている特定情報があるか否かにより行なわれる。有効な特定情報があると判断されると（Ｓ３０６にてＹＥＳ）、処理はＳ３０８に移される。もしそうでないと（Ｓ３０６にてＮＯ）、処理はＳ３１８に移される。
【０１００】
Ｓ３０８にて、ＣＰＵ２２０は、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０を、まず１つの特定情報Ｐ１６で復号化するよう指示する。
【０１０１】
Ｓ３１０にて、ＣＰＵ２２０は、復号化された認証成功情報が正しいフォーマットか否かを判断する。この判断は、たとえばＩＳＯ／ＩＥＣ７８１６に規定されるＡＰＤＵフォーマットの各フィールドの値の長さ、または各フィールドの値そのものが正しいか否かで行なわれる。正しいフォーマットと判断されると（Ｓ３１０にてＹＥＳ）、処理はＳ３１２に移される。もしそうでないと（Ｓ３１０にてＮＯ）、処理はＳ３１６に移される。
【０１０２】
Ｓ３１２にて、ＣＰＵ２２０は、復号に成功した特定情報Ｐ１６の管理状態情報Ｃ６０を「通知応答待ち」に変更して、特定情報管理リストに記憶する。
【０１０３】
Ｓ３１４にて、ＣＰＵ２２０は、ＩＣカード１００に、復号化した認証成功情報Ｐ２４を送信する。
【０１０４】
Ｓ３１６にて、ＣＰＵ２２０は、有効な特定情報が他にあるか否かを判断する。他にあると判断されると（Ｓ３１６にてＹＥＳ）、処理はＳ３０８に戻される。もしそうでないと（Ｓ３１６にてＮＯ）、処理はＳ３１８に移される。
【０１０５】
Ｓ３１８にて、ＣＰＵ２２０は、端末３００に特定情報の判断に失敗した旨の通知を送信する。
【０１０６】
図８を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、応答確認部Ｍ４０にて、応答情報Ｐ２８を受信した場合に実行される。
【０１０７】
Ｓ４０２にて、ＣＰＵ２２０は、ＩＣカード１００から認証成功情報に対する応答情報Ｐ２８を受信するようＩＣカード通信部２７０に指示する。
【０１０８】
Ｓ４０４にて、ＣＰＵ２２０は、応答情報Ｐ２８の内容が、ＩＣカード１００を利用できる内容であるか否かを判断する。この判断は、たとえばＩＳＯ／ＩＥＣ７８１６の場合はレスポンスＡＰＤＵのＳＷ（Status Word）を確認することで行なわれる。ＩＣカード１００を利用できると判断されると（Ｓ４０４にてＹＥＳ）、処理はＳ４０６に移される。もしそうでないと（Ｓ４０４にてＮＯ）、処理はＳ４１０に移される。
【０１０９】
Ｓ４０６にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報の状態を「検証完了」に変更する。
【０１１０】
Ｓ４０８にて、ＣＰＵ２２０は、応答情報Ｐ２８を端末３００に送信する。Ｓ４１０にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報のリトライ回数情報Ｃ５０を１増加する。
【０１１１】
Ｓ４１２にて、ＣＰＵ２２０は、リトライ回数情報Ｃ５０が予め設定された回数を越えたか否かを判断する。越えたと判断されると（Ｓ４１２にてＹＥＳ）、処理はＳＡ０に移される。もしそうでないと（Ｓ４１２にてＮＯ）、処理はＳ４１４に移される。
【０１１２】
ＳＡ０にて、ＣＰＵ２２０は、特定情報の無効化処理を行なう。詳細は後述する。Ｓ４１４にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報の状態を「通知前」に変更する。
【０１１３】
Ｓ４１６にて、ＣＰＵ２２０は、応答情報Ｐ２８を端末３００へ送信する。Ｓ４１８にて、ＣＰＵ２２０は、特定情報が無効化されたか否かを判断する。無効化されたと判断されると（Ｓ４１８にてＹＥＳ）、処理は終了する。もしそうでないと（Ｓ４１８にてＮＯ）、処理は図７のＢ（Ｓ３０２）に戻される。
【０１１４】
図９を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、特定情報を無効化する場合に実行される。
【０１１５】
ＳＡ０２にて、ＣＰＵ２２０は、有効な特定情報があるか否かを判断する。この判断は、記憶部１３０に記憶された特定情報管理リストの管理状態情報Ｃ６０に「無効」以外のものがあるか否かで行なわれる。有効な特定情報があると判断されると（ＳＡ０２にてＹＥＳ）、処理はＳＡ０４に移される。もしそうでないと（ＳＡ０２にてＮＯ）、処理は終了する。
【０１１６】
ＳＡ０４にて、ＣＰＵ２２０は、有効な特定情報の発行日時情報Ｃ７０を現在日時と比較し、予め定められた時間を越えているか否かをすべての特定情報について判断する。予め定められた時間を越えていると判断されると（ＳＡ０４にてＹＥＳ）、処理はＳＡ０６に移される。もしそうでないと（ＳＡ０４にてＮＯ）、処理はＳＡ１４に移される。
【０１１７】
ＳＡ０６にて、ＣＰＵ２２０は、予め定められた時間を越えている特定情報の管理状態情報Ｃ６０が「検証完了」であるか否かを判断する。「検証完了」であると判断されると（ＳＡ０６にてＹＥＳ）、処理はＳＡ０８に移される。もしそうでないと（ＳＡ０６にてＮＯ）、処理はＳＡ１０に移される。
【０１１８】
ＳＡ０８にて、ＣＰＵ２２０は、「検証完了」状態の特定情報が、予め定められた維持時間を越えているか否かを判断する。越えていると判断されると（ＳＡ０８にてＹＥＳ）、処理はＳＡ１０に移される。もしそうでないと（ＳＡ０８にてＮＯ）、処理はＳＡ１４に移される。
【０１１９】
ＳＡ１０にて、ＣＰＵ２２０は、該当する特定情報を無効化する。
ＳＡ１４にて、ＣＰＵ２２０は、無効化通知があるか否かを判断する。無効化通知は、検出部Ｍ５０により、ＩＣカード１００が検出できなくなったことを表わすＩＣカード未検出情報Ｐ３２が送信された場合や、手動の操作でＩＣカード１００を使用できないように切り替えられた場合に記憶部２３０に記憶される。Ｓ４１２にて、リトライ回数が予め設定された回数を越えたと判断された場合（Ｓ４１２にてＹＥＳ）に、特定情報無効化処理ＳＡ０の実行開始時に通知される。無効化通知があると判断されると（ＳＡ１４にてＹＥＳ）、処理はＳＡ１６に移される。もしそうでないと（ＳＡ１４にてＮＯ）、処理は終了する。
【０１２０】
ＳＡ１６にて、ＣＰＵ２２０は、無効化通知のあった特定情報にテンプレートＩＤ情報（Ｃ４０）の指定があるか否かを判断する。指定があると判断されると（ＳＡ１６にてＹＥＳ）、処理はＳＡ２０に移される。もしそうでないと（ＳＡ１６にてＮＯ）、処理はＳＡ１８に移される。
【０１２１】
ＳＡ１８にて、ＣＰＵ２２０は、すべての特定情報を無効化する。ＳＡ２０にて、ＣＰＵ２２０は、指定されたテンプレートＩＤ情報（Ｃ４０）の特定情報を無効化する。
【０１２２】
なお、ＳＡ０４の予め定められた時間の判定は、絶対的な時間ではなくタイマを用いても良い。また、無効化を行なう場合は、特定情報管理テーブルから特定情報自体を削除してもよい。
【０１２３】
この方法により、たとえば第１のユーザと第２のユーザが同じＩＣカード１００を使用する状況で、第１のユーザの特定情報だけを無効化できるため、第２のユーザの認証処理を妨げることがない。
【０１２４】
図１０を参照して、以上のような構造およびフローチャートに基づく、認証装置２００動作について説明する。
【０１２５】
［ユーザ認証動作］
認証装置２００が、ＩＣカード１００からのユーザ認証用データＰ１０を受信し、ユーザ４００がユーザ情報Ｐ１２を入力すると、ユーザ認証部Ｍ１０にてユーザ認証が行なわれる。ユーザ認証部Ｍ１０にて、ユーザ認証が成功すると（Ｓ１０２にてＹＥＳ）、ＩＣカード１００から取得したユーザ認証用データＰ１０のうちの認証に成功したテンプレートＩＤ（Ｐ１３）が、ＩＣカード１００に通知される（Ｓ１０４）。
【０１２６】
［特定情報通知動作］
特定情報通知部Ｍ２０にて、ユーザ認証結果情報Ｐ１４が取得されると（Ｓ２０２）、記憶部２３０に記憶している特定情報管理リストから有効なすべての特定情報を取得され（Ｓ２０４）、ユーザ認証結果情報Ｐ１４から、照合スコア情報Ｃ１０が取出され、生成した乱数情報Ｃ２０を連結して特定情報Ｐ１６が生成される（Ｓ２０６）。生成した特定情報Ｐ１６が有効なすべての特定情報と重複しない場合（Ｓ２０８にてＮＯ）、ユーザ認証結果情報Ｐ１４のテンプレートＩＤ（Ｐ１３）と同じものがあると（Ｓ２１０にＹＥＳ）、特定情報の無効化処理が行なわれる（ＳＡ０）。特定情報通知部２５０からユーザに特定情報Ｐ１６が通知され（Ｓ２１２）、特定情報管理リストのＣ１０からＣ７０までの各項目に、通知した特定情報Ｐ１６に関連する各項目が新たに追加され、リトライ回数情報Ｃ５０が０とされ、管理状態情報Ｃ６０が「通知前」に設定される。
【０１２７】
［入力データ関連情報判断動作］
端末３００の入力データ関連情報生成部Ｔ１０にて、符号化された認証完了情報である入力データ関連情報Ｐ２０が認証装置２００に受信されると（Ｓ３０２）、入力データ関連情報判断部Ｍ３０にて、特定情報の無効化処理が行なわれる（ＳＡ０）。記憶部２３０からすべての特定情報が取得され（Ｓ３０４）、有効な特定情報があると（Ｓ３０６にてＹＥＳ）、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０が、特定情報Ｐ１６で復号化される（Ｓ３０８）。復号化された認証成功情報が正しいフォーマットであると（Ｓ３１０にてＹＥＳ）、復号に成功した特定情報Ｐ１６の管理状態情報Ｃ６０が「通知応答待ち」に変更され、特定情報管理リストに記憶される（Ｓ３１２）。ＩＣカード１００に、復号化した認証成功情報Ｐ２４が送信される（Ｓ３１４）。
【０１２８】
［応答確認動作］
ＩＣカード１００の認証成功情報検証部Ｄ１０から応答情報Ｐ２８を受信すると（Ｓ４０２）、応答確認部Ｍ４０にて、応答情報Ｐ２８がＩＣカード１００を利用できる内容でない場合（Ｓ４０４にてＮＯ）、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報のリトライ回数情報Ｃ５０が１増加され（Ｓ４１０）、リトライ回数情報Ｃ５０が予め設定された回数を越えた場合（Ｓ４１２にてＹＥＳ）、「通知応答待ち」の特定情報が無効化処理される（ＳＡ０）。応答情報Ｐ２８が端末３００へ送信され（Ｓ４１６）、特定情報が無効化された場合（Ｓ４１８にてＹＥＳ）、動作が終了する。
【０１２９】
［特定情報無効化動作］
有効な特定情報があると（ＳＡ０２にてＹＥＳ）、有効な特定情報の発行日時情報Ｃ７０と現在日時とが比較され、予め定められた時間を越えている場合で（ＳＡ０４にてＹＥＳ）、特定情報の管理状態情報Ｃ６０が「検証完了」でないか（ＳＡ０６にてＮＯ）、「検証完了」状態の特定情報が、予め定められた維持時間を越えている場合（ＳＡ０８にてＹＥＳ）、該当する特定情報を無効化する（ＳＡ１０）。無効化通知があり（ＳＡ１４にてＹＥＳ）、無効化通知のあった特定情報にテンプレートＩＤ情報（Ｃ４０）の指定があると（ＳＡ１６にてＹＥＳ）、指定されたテンプレートＩＤ情報（Ｃ４０）の特定情報が無効化される（ＳＡ２０）。
【０１３０】
以上のようにして、本実施の形態に係る認証装置は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザがＩＣカードの正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。端末のユーザにより端末に入力された入力データに関連する入力データ関連情報を端末から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、端末のユーザが端末に入力した入力データが、ＩＣカードの正規ユーザのみに通知される特定情報であったのか否かを判断できる。
【０１３１】
そのため、端末のユーザがＩＣカードの正規ユーザであることを保証できる。また、ユーザがＩＣカードの正規ユーザであると認証装置が認証した場合、端末に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが端末に特定情報を入力することで、端末のユーザがＩＣカードの正規ユーザであることが認証装置において判断される。このため、端末に認証機能を備える必要がなく、ユーザ情報や認証結果を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。
【０１３２】
さらに、認証装置は、入力データが特定情報に関連するデータであると判断した場合にのみＩＣカードに認証成功情報を送信する。これにより、端末のユーザがＩＣカードの正規ユーザである場合に限り、端末のユーザは、ＩＣカードに記憶された情報を利用することができる。その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置を提供することができる。
【０１３３】
また、特定情報に、認証の結果（たとえば本人である確率の高さを示す割合や認証時の環境）に関連した照合スコア情報を含むこととしたため、特定情報は、ユーザ自身が予測できる情報となり、認証時の環境などにより異なった情報となる。そのため、特定情報を、ユーザ４００にわかりやすい数値でかつ比較的容易に特定情報を乱数化することができる。
【０１３４】
さらに、本実施の形態に係る認証装置は、ユーザがＩＣカードの正規ユーザである場合、端末から受信する入力データ関連情報を特定情報で復号化することにより、ＩＣカードを利用するための認証成功情報を取得することができる。これにより、認証装置がＩＣカードを利用するための認証成功情報を予め保持していなくてもＩＣカードに対して認証成功情報を送信できる。そのため、不特定多数のユーザが多様なＩＣカードを使用する場合であっても、それぞれに要求される認証成功情報をすべて記憶しておく必要はなく、認証装置を不特定多数のユーザが利用する公共の場などの環境で利用することができる。さらに、特定情報と正しい認証成功情報との両方に関連したデータを端末から認証装置が受信した場合のみＩＣカードを利用できる。そのため、二重の利用制限が課せられることとなり、セキュリティレベルをより高くすることができる。また、正規ユーザであることを保証するために必要な特定情報と、ＩＣカードを利用するために必要な認証成功情報を端末から認証装置へ同時に送信する。これにより、認証装置とＩＣカードとの１往復のみの通信により、ＩＣカードを利用できる。そのため、端末のソフトウェア実装が容易である。
【０１３５】
さらに、本実施の形態に係る認証装置は、たとえば、ＩＣカードが物理的に移動して認証装置から利用できない範囲に離れたり、電源供給が停止されたり、通信路が切断されたり、意図的な利用停止操作が行なわれたりなどの要因で、ＩＣカードと認証装置とが通信できない状態になった場合、特定情報を無効にする。これにより、ユーザが意図的に特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【０１３６】
さらに、本実施の形態に係る認証装置は、ＩＣカードからの応答受信を予め設定された回数を超えても、ＩＣカードを利用できない場合に、特定情報を無効にする。これにより、端末のユーザがＩＣカードの正規ユーザでない可能性の高い特定情報を無効化できる。また、予め設定された時間を超えても、ＩＣカードを利用できない場合に、特定情報を無効にする。これにより、端末のユーザがＩＣカードの正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【０１３７】
さらに、本実施の形態に係る認証装置は、ＩＣカードに記憶された情報を利用できる状態となっても、予め設定された時間以内であれば、特定情報を無効にしない。これにより、端末を再起動したり、再接続したり、認証装置との通信が途切れて再接続したりした場合に、その都度ユーザ認証を行なう必要がない。また、同じユーザが追加で端末とは異なる別の装置からＩＣカードを利用する場合に、予め定められた時間内であれば同じ特定情報を使用できる。これにより、それぞれの装置毎にユーザ認証を行なう必要がないようにすることができ、利便性を向上することができる。
【０１３８】
さらに、本実施の形態に係る認証装置は、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報をＩＣカードに送信する。これにより、たとえば指紋認証と虹彩認証との複数のユーザ認証方式に関するユーザ認証用データを備えるＩＣカードであっても、どの認証方式でユーザ認証が成功したのかが通知される。そのため、ＩＣカードは、認証方式毎に異なる認証成功情報の検証を行なうことができる。これにより、ＩＣカードでは、認証方式毎に異なる利用権限の管理を行なうことができる。また、複数のユーザに対するユーザ認証用データを備えるＩＣカードであっても、どのユーザが認証に成功したのか通知されるため、複数の異なるユーザが同じ認証装置を用いてＩＣカードに対するユーザ認証を行っても、ユーザ毎の利用権限に応じた範囲でＩＣカードを利用することができる。
【０１３９】
なお、ＩＣカード１００は同等の機能を持つサーバ装置であってもよい。
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、認証装置２００に供給し、ＣＰＵ２２０が記憶媒体に格納されたプログラムコードを読出し実行することによっても、達成される。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになることは言うまでもない。
【０１４０】
プログラムコードを供給するための記憶媒体としては、たとえば、フロッピディスク、ハードディスク、光ディスク、光磁気ディスク、磁気テープ、不揮発性のメモリカード等を用いることができる。
【０１４１】
また、上記プログラムコードは、通信ネットワークのような伝送媒体を介して、他のコンピュータシステムから記憶部２３０へダウンロードされるものであってもよい。
【０１４２】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１４３】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１４４】
本発明を上記記憶媒体に適用する場合、その記憶媒体には、先に説明したフローチャートに対応するプログラムコードを格納することになる。
【０１４５】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【０１４６】
【図１】本発明の実施の形態に係る認証装置、ＩＣカード、端末、およびこれらを用いたシステムのハードウェア構成図である。
【図２】本発明の実施の形態に係る認証装置の特定情報生成部で生成される特定情報のテーブルの構成図である。
【図３】本発明の実施の形態に係る認証装置の記憶部に記憶される特定情報管理リストのテーブルの構成図である。
【図４】本発明の実施の形態に係る認証装置、ＩＣカードおよび端末の制御ブロック図である。
【図５】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図６】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図７】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図８】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図９】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図１０】本発明の実施の形態に係る認証装置の動作についての説明図である。
【符号の説明】
【０１４７】
１００ ＩＣカード、１１０，２１０，３１０ 通信部、１２０，２２０，３２０ ＣＰＵ、１３０，２３０，３３０ 記憶部、２００ 認証装置、２４０，３４０ 電源部、２５０ 特定情報通知部、２６０ ユーザ情報入力部、２７０ ＩＣカード通信部、３００ 端末、３５０ 特定情報入力部、３６０ 表示部、４００ ユーザ、Ｃ１０ 照合スコア情報、Ｃ２０ 乱数情報、Ｃ３０ 認証環境情報、Ｃ４０ テンプレートＩＤ情報、Ｃ５０ リトライ回数情報、Ｃ６０ 管理状態情報、Ｃ７０ 発行日時情報、Ｄ１０ 認証成功情報検証部、Ｔ１０ 入力データ関連情報生成部、Ｍ１０ ユーザ認証部、Ｍ２０ 特定情報通知部、Ｍ３０ 入力データ関連情報判断部、Ｍ４０ 応答確認部、Ｍ５０ 検出部、Ｐ１０ ユーザ認証用データ、Ｐ１２ ユーザ情報、Ｐ１３ テンプレートＩＤ、Ｐ１４ 認証結果情報、Ｐ１６ 特定情報、Ｐ１８ 入力データ、Ｐ２０ 入力データ関連情報、Ｐ２２ 全有効特定情報、Ｐ２４ 認証成功情報、Ｐ２６ 認証成功情報検証用データ、Ｐ２８ 応答情報、Ｐ３０ 判断通知情報、Ｐ３２ ＩＣカード未検出情報。
【技術分野】
【０００１】
本発明は、認証装置に関し、特に、２つの装置の間に設けられる認証装置および認証方法に関する。
【背景技術】
【０００２】
近年の情報セキュリティに対する市場の要求の増大に伴い、さまざまなセキュリティ対策システムが商品化されている。特に２００５年４月より日本国内で施行された個人情報保護法に対応するための情報管理システムに対する企業の注目度は高く、各企業が保有する情報の流出の防止は急務の課題となっている。こうした情報管理システムに限らず、さまざまなセキュリティシステムやセキュリティサービスにおいて、必須要件の１つがユーザ認証であり、情報を操作できるユーザ権限を厳密に管理したり、情報の伝達経路をトレースバックできたりすることが重要となっている。こうした時代の背景にも押され、バイオメトリクス（生体）情報を用いたユーザ認証技術が注目されつつある。たとえば、指紋センサを搭載した携帯電話やモバイルＰＣ（Personal Computer）、ＰＤＡ（Personal Data Assistant）といった端末が市場に出回り始めている。
【０００３】
ところで、生体情報に代表されるユーザ認証用データは究極の個人情報であるため、その管理手段としては個人で管理可能で、かつ耐タンパ性を持ったセキュリティデバイスであるＩＣカードやＩＣチップが適している。実際に一部の銀行では、従来の磁気方式によるキャッシュカードに代えて、生体情報を格納したＩＣカードの発行とそのカードに対応した自動現金支払機の運用を開始している。またワールドワイドに見ても、生体情報を格納して本人確認を行なうことができるＩＣチップ内蔵の電子パスポートの試験運用が開始されている。
【０００４】
こうしたセキュリティデバイスは、単なる記憶媒体としての機能だけではなく、正規ユーザだけにセキュリティデバイス内のデータファイルやアプリケーションを利用させることができるアクセスコントロール機能を有する。アクセスコントロール機能を実現するために、セキュリティデバイスはアクセスコントロール状態を内部で管理し、たとえば外部で行なったユーザ認証結果に応じてそのアクセスコントロール状態を変更する必要がある。
【０００５】
一般的なアクセスコントロール状態の変更手法としては、ユーザ認証が必要なサービスを実行する端末において、セキュリティデバイスから読出したユーザ認証用データをもとに、端末上でユーザ認証を行い、認証が成功したことをセキュリティデバイスに通知することで、セキュリティデバイス内部のアクセスコントロール状態を変更し、アクセスコントロールされたファイルやアプリケーションを使用することができる。
【０００６】
また、端末上でユーザ認証を行なう場合、端末側に生体情報を取得するためのセンサデバイスや、ＩＣカードリーダライタを備える構成にすることによるコストや構造上の問題を回避するために、外部周辺機器にその機能を備えるシステムが存在する。
【０００７】
このような、外部周辺機器にセンサデバイスや、ＩＣカードリーダライタを備えることで、端末側からセキュリティデバイスのファイルやアプリケーションを使用することができる技術が、たとえば特開２０００−２１５１７２号公報（特許文献１）および特開２００２−２６９０５５号公報（特許文献２）に開示されている。
【０００８】
特許文献１に開示された認証システムは、情報機器の使用者を認証するシステムであって、登録された使用者であることを特定できる生体情報およびパスワードが格納された個人認証用のカードと、カードに格納された生体情報およびパスワードを読取るカード読取装置と、使用者から生体情報を読取る生体情報読取装置と、カード読取装置から出力される生体情報およびパスワードと、生体情報読取装置から出力される生体情報および情報機器に格納されているパスワードとを照合する照合装置とを含む。
【０００９】
この公報により開示された個人認証システムによると、カード読取装置が個人認証用のカードから読取った生体情報およびパスワードと、生体情報読取装置が使用者から読取った生体情報および情報機器に格納されているパスワードとを照合する照合装置を備えたので、生体情報およびパスワードの双方で個人認証を行なうことができる。これにより、正当な使用者ではない者によるコンピュータの不正使用を防止することができる。その結果、使用者個人の認証を必要とする業務における情報機器の使用管理をより堅牢なセキュリティで実現することができる。
【００１０】
また、特許文献２により開示されたＩＣカードシステムは、ＩＣカードを所持する特定ユーザの生体情報を読取ってユーザ認証を行い、特定ユーザを予め登録された正規ユーザと判断した場合には、認証結果と正規ユーザに対応して予め登録されたユーザ識別番号とを送信し、特定ユーザを正規ユーザではないと判断した場合には、認証結果を送信する生体認証装置と、ＩＣカードから情報を読出し、読出した情報に基づいて特定ユーザにサービスを提供する際、生体認証装置から受信した認証結果が正規ユーザであることを示し、かつ生体認証装置から受信したユーザ識別番号とＩＣカードから読出したカード識別番号とが予め対応付けられて登録されている場合のみ、特定ユーザに対してＩＣカードの利用を許可するサービス提供装置とを含む。
【００１１】
この公報により開示されたＩＣカードシステムによると、ＩＣカードを所持する特定ユーザの生体情報を用いて生体認証装置でユーザ認証を行い、認証結果が正規ユーザであることを示す場合のみ、特定ユーザに対してサービス提供装置におけるＩＣカードの利用を許可するようにしたので、正規ユーザではない第三者が暗号鍵を含む個人情報まで含めてＩＣカードを偽造したとしても、偽造ＩＣカードの使用を拒否することができる。また第三者が正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。これにより、ＩＣカードの不正使用の可能性を低減することができる。また、サービス提供装置において受信した認証結果が正規ユーザであることを示し、かつ受信したユーザ識別番号とＩＣカードから読出したカード識別番号とが予め対応付けられて登録されている場合のみ、特定ユーザに対してサービス提供装置におけるＩＣカードの利用を許可するようにしたので、特定ユーザが予めシステムに登録された正規ユーザで、かつＩＣカードが正規ユーザが所有する正規のＩＣカードである場合のみＩＣカードの使用を許可することができる。したがって、正規ユーザではない第三者が暗号鍵を含む個人情報まで含めてＩＣカードを偽造したとしても、偽造ＩＣカードの使用を拒否することができる。また第三者が正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。さらに正規ユーザが他の正規ユーザのＩＣカードを不正に使用しようとしても、ＩＣカードの使用を拒否することができる。したがって、ＩＣカードの不正使用の可能性を低減することができる。
【特許文献１】特開２０００−２１５１７２号公報
【特許文献２】特開２００２−２６９０５５号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、特許文献１および特許文献２に開示された認証システムおよびＩＣカードシステムでは、生体情報読取装置および生体認証装置に生体情報を入力したユーザと、個人認証用のカードおよびＩＣカードの正規ユーザとが同一人であることを保証できるが、情報機器およびサービス提供装置のユーザと認証に成功したユーザが同一人であることは保証していない。このため、たとえば、情報機器およびサービス提供装置が、生体情報読取装置および生体認証装置から離れた場所にある場合には、生体情報を入力したユーザが認証に成功してから、情報機器およびサービス提供装置のある場所に移動するまでの時間は、誰でも自由にＩＣカードを利用できてしまう。その結果、認証に成功していないユーザが情報機器およびサービス提供装置から個人認証用のカードおよびＩＣカードの内部に記憶された情報を利用できてしまうという問題がある。
【００１３】
また、特許文献１および特許文献２に開示された認証システムおよびＩＣカードシステムでは、生体情報読取装置および生体認証装置から生体情報や認証結果を受信するための独自の待ち受け状態処理が、情報機器およびサービス提供装置に必要となる。さらに、情報機器およびサービス提供装置と、生体情報読取装置および生体認証装置との互換性を実現するためには、両者の通信プロトコルの標準化が必要となってしまう問題もある。
【００１４】
本発明は、上述の問題点を解決するためになされたものであって、その目的は、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置および方法を提供することである。
【課題を解決するための手段】
【００１５】
第１の発明に係る認証装置は、第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる認証装置であって、第１の装置は、第２の装置のユーザが第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、第２の装置により第１の装置に記憶された情報を利用することができ、第２の装置は、第２の装置に入力された入力データが認証装置で判断された結果に基づいて、認証装置を介して第１の装置に記憶された情報を利用することができ、認証装置は、ユーザ認証用データを第１の装置から取得するための第１の取得手段と、ユーザがユーザ情報を入力するための入力手段と、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証するための認証手段と、正規ユーザであることを特定するための特定情報を正規ユーザに通知するための通知手段と、第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得するための第２の取得手段と、入力データ関連情報と特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断するための判断手段と、入力データ関連情報が特定情報に関連するデータであると判断された場合に、第１の装置に認証成功情報を送信するための送信手段とを含む。
【００１６】
第１の発明によると、認証装置は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置（たとえば、ＩＣカード、ＩＣチップ）の正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。第２の装置（たとえば、ＰＣ、携帯電話）のユーザにより第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、第２の装置のユーザが第２の装置に入力した入力データが、第１の装置の正規ユーザのみに通知される特定情報であったのか否かを判断できる。そのため、第２の装置のユーザが第１の装置の正規ユーザであることを保証できる。また、ユーザが第１の装置の正規ユーザであると認証装置が認証した場合、第２の装置に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが第２の装置に特定情報を入力することで、第２の装置のユーザが第１の装置の正規ユーザであることが認証装置において判断される。このため、第２の装置に認証手段を備える必要がなく、ユーザ情報や認証結果を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。さらに、認証装置は、入力データが特定情報に関連するデータであると判断した場合にのみ第１の装置に認証成功情報を送信する。これにより、第２の装置のユーザが第１の装置の正規ユーザである場合に限り、第２の装置のユーザは、第１の装置に記憶された情報を利用することができる。その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置を提供することができる。
【００１７】
第２の発明に係る認証装置においては、第１の発明の構成に加えて、特定情報は、認証の結果に関連する情報を含む。
【００１８】
第２の発明によると、特定情報は、認証の結果（たとえば本人である確率の高さを示す割合や認証時の環境）に関連した情報を含む。これにより、特定情報は、ユーザ自身が予測できる情報となり、認証時の環境などにより異なった情報となる。そのため、特定情報を、ユーザが予測しやすい特定情報とする一方、毎回異なる情報にして通知することが容易にできる。
【００１９】
第３の発明に係る認証装置においては、第１または第２の発明の構成に加えて、入力データ関連情報は、認証成功情報を、入力データで符号化したデータであり、判断手段は、特定情報で入力データ関連情報を復号化し、認証成功情報として正しく復号できるか否かを判断するための手段を含む。
【００２０】
第３の発明によると、認証装置は、ユーザが第１の装置の正規ユーザである場合、第２の装置から受信する入力データ関連情報を特定情報で復号化することにより、第１の装置を利用するための認証成功情報を取得することができる。これにより、認証装置が第１の装置を利用するための認証成功情報を予め保持していなくても第１の装置に対して認証成功情報を送信できる。そのため、不特定多数のユーザが多様な第１の装置を使用する場合であっても、それぞれに要求される認証成功情報をすべて記憶しておく必要はなく、認証装置を不特定多数のユーザが利用する公共の場などの環境で利用することができる。さらに、特定情報と正しい認証成功情報との両方に関連したデータを第２の装置から認証装置が受信した場合のみ第１の装置を利用できる。そのため、二重の利用制限が課せられることとなり、セキュリティレベルをより高くすることができる。また、正規ユーザであることを保証するために必要な特定情報と、第１の装置を利用するために必要な認証成功情報を第２の装置から認証装置へ同時に送信する。これにより、認証装置と第１の装置との１往復のみの通信により、第１の装置を利用できる。そのため、第２の装置のソフトウェア実装が容易である。
【００２１】
第４の発明に係る認証装置は、第１〜第３の発明のいずれかの発明の構成に加えて、認証成功情報の送信に対する第１の装置からの応答情報を受信し、第１の装置に記憶された情報を利用できる状態であるか否かを確認するための確認手段と、確認の結果を特定情報と対応させて管理するための管理手段とをさらに含む。
【００２２】
第４の発明によると、確認手段は、第１の装置に記憶された情報を利用できる状態であるか否かを確認する。管理手段は、確認の結果を特定情報と対応させて管理する。これにより、第１の装置を利用できる特定情報とそれ以外の特定情報とを別けて管理することができる。
【００２３】
第５の発明に係る認証装置は、第４の発明の構成に加えて、第１の装置を検出するための検出手段をさらに含み、管理手段は、検出手段が第１の装置が検出しなくなった場合に、特定情報を無効にするための手段を含む。
【００２４】
第５の発明によると、管理手段は、検出手段が第１の装置が検出しなくなった場合に、たとえば、第１の装置が物理的に移動して認証装置から利用できない範囲に離れたり、電源供給が停止されたり、通信路が切断されたり、意図的な利用停止操作が行なわれたりなどの要因で、第１の装置と認証装置とが通信できない状態になった場合、特定情報を無効にする。これにより、ユーザが意図的に特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２５】
第６の発明に係る認証装置においては、第４または第５の発明の構成に加えて、管理手段は、確認手段が、応答情報を受信する回数が予め設定された回数を超えても、第１の装置に記憶された情報を利用できる状態であることを確認しない場合、特定情報を無効にするための手段を含む。
【００２６】
第６の発明によると、管理手段は、第１の装置からの応答受信を予め設定された回数を超えても、第１の装置を利用できない場合に、特定情報を無効にする。これにより、第２の装置のユーザが第１の装置の正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２７】
第７の発明に係る認証装置においては、第４〜第６のいずれかの発明の構成に加えて、管理手段は、確認手段が、予め設定された時間を超えても、第１の装置に記憶された情報を利用できる状態であることを確認しない場合、特定情報を無効にするための手段を含む。
【００２８】
第７の発明によると、管理手段は、予め設定された時間を超えても、第１の装置を利用できない場合に、特定情報を無効にする。これにより、第２の装置のユーザが第１の装置の正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【００２９】
第８の発明に係る認証装置においては、第４〜第７の発明のいずれかの発明の構成に加えて、管理手段は、確認手段が、第１の装置に記憶された情報を利用できる状態であることを確認した場合、予め設定された時間以内であれば、特定情報を無効にしないための手段を含む。
【００３０】
第８の発明によると、管理手段は、第１の装置に記憶された情報を利用できる状態となっても、予め設定された時間以内であれば、特定情報を無効にしない。これにより、第２の装置を再起動したり、再接続したり、認証装置との通信が途切れて再接続したりした場合に、その都度ユーザ認証を行なう必要がない。また、同じユーザが追加で第２の装置とは異なる別の装置から第１の装置を利用する場合に、予め定められた時間内であれば同じ特定情報を使用できる。これにより、それぞれの装置毎にユーザ認証を行なう必要がないようにすることができ、利便性を向上することができる。
【００３１】
第９の発明に係る認証装置においては、第１〜第８の発明のいずれかの発明の構成に加えて、送信手段は、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報を第１の装置に送信する手段を含む。
【００３２】
第９の発明によると、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報を第１の装置に送信する。これにより、複数のユーザ認証方式（たとえば、指紋認証、虹彩認証）に関するユーザ認証用データを備える第１の装置であっても、どの認証方式でユーザ認証が成功したのかが通知される。そのため、第１の装置は、認証方式毎に異なる認証成功情報の検証を行なうことができる。これにより、第１の装置では、認証方式毎に異なる利用権限の管理を行なうことができる。また、複数のユーザに対するユーザ認証用データを備える第１の装置であっても、どのユーザが認証に成功したのか通知されるため、複数の異なるユーザが同じ認証装置を用いて第１の装置に対するユーザ認証を行っても、ユーザ毎の利用権限に応じた範囲で第１の装置を利用することができる。
【００３３】
第１０の発明に係る認証方法は、第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる装置における認証方法であって、第１の装置は、第２の装置のユーザが第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、第２の装置により第１の装置に記憶された情報を利用することができ、第２の装置は、第２の装置に入力された入力データが認証装置で判断された結果に基づいて、認証装置を介して第１の装置に記憶された情報を利用することができ、認証方法は、ユーザ認証用データを第１の装置から取得する第１の取得ステップと、ユーザがユーザ情報を入力する入力ステップと、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証する認証ステップと、正規ユーザであることを特定するための特定情報を正規ユーザに通知する通知ステップと、第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得する第２の取得ステップと、入力データ関連情報と特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する判断ステップと、入力データ関連情報が特定情報に関連するデータであると判断された場合に、第１の装置に認証成功情報を送信する送信ステップとを含む。
【００３４】
第１０の発明によると、認証方法は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザが第１の装置の正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。第２の装置のユーザにより第２の装置に入力された入力データに関連する入力データ関連情報を第２の装置から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、第２の装置のユーザが第２の装置に入力した入力データが、第１の装置の正規ユーザのみに通知される特定情報であったのか否かを判断できる。そのため、第２の装置のユーザが第１の装置の正規ユーザであることを保証できる。また、ユーザが第１の装置の正規ユーザであると認証装置が認証した場合、第２の装置に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが第２の装置に特定情報を入力することで、第２の装置のユーザが第１の装置の正規ユーザであることが認証装置において判断される。このため、第２の装置に認証ステップを備える必要がなく、また、認証情報を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。
【００３５】
さらに、認証方法は、入力データが特定情報に関連するデータであると判断した場合にのみ第１の装置に認証成功情報を送信する。これにより、第２の装置のユーザが第１の装置の正規ユーザである場合に、第２の装置のユーザは、第１の装置に記憶された情報を利用することができる。
【００３６】
その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を提供することができる。
【００３７】
第１１の発明に係る認証プログラムは、第１０の発明の認証方法を実現するプログラムである。これにより、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いても、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を実現させることができるプログラムを提供することができる。また、汎用のコンピュータに、本発明の認証方法を実行させることができる。
【００３８】
第１２の発明に係る記録媒体は、第１１の発明の認証プログラムを記録したコンピュータ読取可能な記録媒体である。これにより、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いても、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる装置の認証方法を実現させることができるプログラムを記録したコンピュータ読取可能な記録媒体を提供することができる。また、記録媒体から汎用のコンピュータに、認証プログラムをインストールすることによって、本発明の認証方法を実行させることができる。
【発明を実施するための最良の形態】
【００３９】
以下、図面を参照しつつ、本発明の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがって、それらについての詳細な説明は繰り返さない。
【００４０】
＜第１の実施の形態＞
図１を参照して、本実施の形態に係るＩＣカード１００、ＩＣカードを利用する端末３００および認証装置２００のハードウェア構成について説明する。
【００４１】
ＩＣカード１００は、通信部１１０と、ＣＰＵ（Central Processing Unit）１２０と、記憶部１３０とから構成される。なお、ＩＣカード１００は、セキュリティデバイスの一例であって、外部から物理的および電気的に解析されないような耐タンパ性を備えていることが望ましい。また本発明では必ずしも認証装置と分離している必要はなく、たとえば認証装置２００や端末３００の筐体の中にＩＣチップとして組込まれていてもよい。ただし認証装置２００や端末３００に組込む場合は、ＩＣカードを検出していない状態と同様な効果を実現するために、外部からのユーザ操作により、電気的に利用を制御できる機能を持つことが望ましい。たとえば、内蔵ＩＣチップ専用の電源スイッチを設ける方法などがある。
【００４２】
通信部１１０は、認証装置２００のＩＣカード通信部２７０との間でデータを交換する通信機能を持った通信モジュールである。有線や端子による接触型通信と、無線による非接触型通信とのどちらでもよい。通信機能を持った通信ソフトウェアであってもよい。なお、国際的に標準化された通信方式としては、ＩＳＯ／ＩＥＣ７８１６やＩＳＯ／ＩＥＣ１４４４３などがある。
【００４３】
ＣＰＵ１２０は、１６ビットや３２ビットなどの比較的小規模なＣＰＵであり、ＩＣカード内部のデータに関するアクセスコントロールや暗号化演算を実行することができる。つまり、ＣＰＵ１２０によりアクセスコントロール状態を満たされた場合に限り、そのユーザの権限に応じて記憶部１３０に記憶されたファイルへのアクセスや記憶されたアプリケーションの実行を行なうことができる。暗号化演算の高速化のために、ＣＰＵ１２０とは別に専用の演算チップを搭載してもよい。
【００４４】
記憶部１３０は、ユーザ認証用の複数のデータを格納することができる十分な容量を持つ不揮発性の半導体メモリ（たとえば、１ＭＢのフラッシュメモリ）である。また、ＣＰＵ１２０の作業用領域として、読書き速度が高速なＲＡＭを備える。記憶部１３０には、ユーザ認証用データと認証成功情報を検証するためのデータとが記憶されている。なお、認証成功情報とは、ＩＣカード１００に対して外部でユーザ認証が成功したことを通知する情報である。認証成功情報が通知されることよりアクセルコントロール状態が変更され、記憶部１３０に記憶されたファイルへのアクセスや記憶されたアプリケーションの実行を行なうことができる。
【００４５】
認証装置２００は、通信部２１０と、ＣＰＵ２２０と、記憶部２３０と、電源部２４０と、特定情報通知部２５０と、ユーザ情報入力部２６０と、ＩＣカード通信部２７０とから構成される。
【００４６】
通信部２１０は、端末３００の通信部３１０との間でデータ通信を行なう通信モジュールである。通信方式は、認証装置２００の利用方法や利用場所に応じて有線でも無線でもよい。有線なら１００Ｂａｓｅ-ＴなどのＬＡＮ、ＲＳ−２３２ＣまたはＵＳＢ（Universal Serial Bus）などがあり、無線なら無線ＬＡＮ、ＵＷＢ（Ultra Wide Band）、BluetoothまたはＩｒＤＡなどがある。いずれの通信方式においても、端末３００以外の装置とも通信される構成であってもよい。たとえば、端末３００であるノートＰＣとデスクトップＰＣとが、１台の認証装置２００に接続される構成でもよい。
【００４７】
通信部２１０と通信部３１０との間の通信プロトコルＸと、ＩＣカード通信部２７０と通信部１１０との間の通信プロトコルＹとが異なる場合、端末３００とＩＣカード１００との間のデータを送受信するため、ＣＰＵ２２０は伝達する内容が等価になるように双方向変換する。たとえば、通信プロトコルＸがＴＣＰ／ＩＰであり、通信プロトコルＹがＩＳＯ／ＩＥＣ７８１６である場合、端末３００からＩＰパケットのデータ部にＩＳＯ／ＩＥＣ７８１６に準拠したＡＰＤＵ（Application Protocol Data Unit）をそのまま包んだパケットを受信し、取出したＡＰＤＵをＩＣカード１００に送信する。
【００４８】
ＣＰＵ２２０は、認証装置２００の各部を制御するための演算素子である。記憶部２３０は、ユーザ認証に成功したユーザを特定するための特定情報などを記憶している。なお、特定情報とは、認証装置２００に認証に必要な情報（たとえば生体情報）を入力したユーザが、ＩＣカード１００の正規ユーザであると認証された場合に、情報を入力したユーザに通知される情報である。
【００４９】
電源部２４０は、認証装置２００に必要な電気を外部から取得し、各部に供給する。特定情報通知部２５０は、特定情報を紙へ印字してユーザに通知する印字モジュールである。なお、視覚的に通知する他の例として液晶やＬＥＤなどの表示モジュール、聴覚的に通知する例としてスピーカや、触覚的に通知する例として振動モジュールであってもよい。別の実現方法として、可搬性のある半導体メモリであるＲＦＩＤ（Radio Frequency Identification）やＵＳＢメモリなどに対する書込みモジュールであってもよい。実施上配慮すべき点は、ユーザ認証を行ったユーザ以外の他人に、できるだけ特定情報が漏洩しないように考慮することである。
【００５０】
ユーザ情報入力部２６０は、ユーザ認証を行なうために、ユーザの生体情報などのユーザ情報を取得するモジュールである。たとえば指紋認証の場合、エリア型のセンサやライン型のセンサなどさまざまな形状のセンサがあり、センシング方式も静電容量式や光学式などがある。ユーザ情報入力部２６０は、認証装置２００に複数備えられていてもよい。
【００５１】
ＩＣカード通信部２７０は、ＩＣカード１００の通信部１１０との間でデータを交換する通信モジュールである。ＩＣカード１００の代わりにＩＣチップを認証装置２００に内蔵する場合は、ＩＣチップ通信インタフェースとなる。またＩＣカードリーダライタ装置のように、認証装置２００の外部機器として接続され、必要なときのみ認証装置２００に接続する場合もある。必要なときのみ認証装置２００に接続する場合のＩＣカードリーダライタと認証装置２００との接続方式は、ＲＳ−２３２ＣやＵＳＢ、ＰＣＭＣＩＡ（Personal Computer Memory Card International Association）カードなどがある。
【００５２】
端末３００は、通信部３１０と、ＣＰＵ３２０と、記憶部３３０と、電源部３４０と、特定情報入力部３５０とから構成される。端末３００は、ＰＣやＰＤＡ、携帯電話、カーナビゲーション装置、テレビ、ホームサーバ、ホームゲートウェイといった民生装置に限らず、ネットワークに接続されるほとんどの装置である。たとえば、マルチファンクションプリンタや、自動改札機、自動販売機なども含まれる。
【００５３】
ＣＰＵ３２０は、端末３００の各部を制御するための演算素子である。記憶部３３０は、ＩＣカード１００を利用するために必要な認証成功情報などを記憶している半導体メモリである。電源部３４０は、端末３００に必要な電気を外部から取得し、各部に供給する。特定情報入力部３５０は、端末３００のユーザが、認証装置２００より通知された特定情報を入力するための入力モジュールである。表示部３６０は、特定情報を表示するための液晶画面であり、必ずしも必須ではない。
【００５４】
図２を参照して、特定情報のテーブルの構成について説明する。なお、特定情報とは、認証装置２００のユーザがＩＣカード１００の正規ユーザであると認証装置２００が判断した場合に、認証装置２００のユーザに通知する情報である。通知を受けた認証装置２００のユーザが、特定情報を端末３００に入力することで、認証装置２００のユーザがＩＣカード１００の正規ユーザと同一人であることが保証される。
【００５５】
照合スコア情報Ｃ１０は、ユーザが認証装置２００でＩＣカード１００の正規ユーザであると認証された場合に出力される値で、単位がパーセントである２桁の数字である。たとえば、ユーザの生体情報が認証に使用される場合、特徴点や特徴量の類似度や一致度によって本人性を数値化し、１００パーセントに近いほど本人である確率が高いことを表わす。本人性を数値化した照合スコア情報Ｃ１０の値は、たとえ正規ユーザであっても、ユーザ情報入力部２６０が生体情報を読取る環境が毎回異なるため、同じ照合スコア情報にならないことが多い。たとえば指紋認証の場合は、指紋の状態（たとえば汚れや汗）や指紋を読取る操作（たとえば置く位置や角度の違い）などが、照合スコア情報Ｃ１０の値が毎回異なる要因となる。よって照合スコア情報Ｃ１０の値を特定情報に用いると、ユーザにわかりやすい数値でかつ比較的容易に特定情報を乱数化することができる。なお、ユーザ認証用データとユーザ情報が、完全に一致した場合、照合スコア情報Ｃ１０が１００パーセントとなる可能性もあるが、これはユーザ認証用データが不正に複製されて使用された可能性が高いため、あえてユーザ認証成功としていないことで、２桁でも十分である。また、複数の認証方式（たとえば指紋認証方式と虹彩認証方式）によりユーザ認証が実施された場合、認証結果は最終的には一つの照合スコアへ統合して判断されるため、照合スコア情報Ｃ１０ではその統合された照合スコアを管理すればよい。
【００５６】
乱数情報Ｃ２０は、特定情報を生成するたびに異なる数字である。図２に示す例では２桁としたが桁数は２桁以外でもよい。乱数情報Ｃ２０は、照合スコア情報Ｃ１０が、７０〜８０パーセント以上であることが予測されるため、予測困難性を持たせる効果と、万一通知する特定情報が現在有効な他の特定情報と重複した場合に、新たに異なる特定情報を生成し直すことができるような効果とを目的として付加される。なお、特定情報は最初から乱数情報Ｃ２０のみで構成されてもよい。
【００５７】
認証環境情報Ｃ３０は、ユーザ認証を行ったユーザなら知っている認証実行時の環境に関する情報を予め決められたルールで数値化したものである。たとえば指紋認証や指静脈認証の場合、どの指を用いたのかが認証環境情報Ｃ３０に該当し、用いた指を指番号として特定情報に含める。他に、虹彩認証ではどちらの目を用いたか、顔認証では表情や装飾品や髪型、音声認証では発声した音節数やイントネーションなどがある。また認証成功までの入力繰返し回数や、複数実行した認証方式の組合せ順序であってもよい。
【００５８】
認証環境情報Ｃ３０は、ユーザに対して特定情報を通知する際に、特定情報に含めて発行しなくてもユーザは端末３００へ入力することが可能である。このため、特定情報の長さを増やすことなく、ユーザの本人性を高める効果がある。つまり、たとえば印刷された特定情報を落として他人に拾われたり表示されたままの特定情報を他人に見られたりすることで特定情報が他人に漏洩したりしても、認証環境情報Ｃ３０が含まれていなければ、他人は容易に悪用することができない。
【００５９】
図３を参照して、認証装置２００が記憶部２３０に管理する特定情報管理リストのテーブルの構成について説明する。特定情報管理リストとは、ユーザ認証により生成される特定情報を記憶部２３０で記憶して管理するリストである。Ｃ１０〜Ｃ３０までは、図２を参照して説明した特定情報そのものである。したがって、それらについての詳細な説明は繰り返さない。
【００６０】
テンプレートＩＤ情報（Ｃ４０）は、認証に成功したテンプレートＩＤである。なお、テンプレートＩＤとは、１枚のＩＣカード１００に複数の認証方式や複数のユーザに対するユーザ認証用データが格納されることを想定し、ＩＣカード１００内でこれらを区別して特定できるように、ユーザ認証用データに関連付けられている情報である。これによりＩＣカード１００から複数のユーザ認証用データを読出してユーザ認証を行った場合に、ユーザ認証に成功したときに照合に使われたテンプレートに対するテンプレートＩＤ情報（Ｃ４０）をＩＣカード１００に送信することで、ＩＣカード１００内で異なる認証方式や異なるユーザ毎に細かくアクセスコントロール状態を設定することができる。なお、１つのファイルにバイオメトリクステンプレート（生体情報にヘッダ情報を付加したデータ）が１つである場合は、テンプレートＩＤの変わりにファイルＩＤを用いてもよい。複数の認証方式でユーザ認証を実施した場合はそれぞれ異なるテンプレートＩＤが通知されるため、テンプレートＩＤ情報（Ｃ４０）の項目に列挙する。
【００６１】
リトライ回数情報Ｃ５０は、ＩＣカード１００に対する認証成功情報の送信に対する応答情報の内容が、検証失敗であった場合に、初期値０から失敗毎に１増加させる項目である。リトライ回数情報Ｃ５０は認証成功情報が予め定められたリトライ回数内で正しく照合されない場合に、特定情報を無効化するために用いる情報である。
【００６２】
管理状態情報Ｃ６０は、複数通知された特定情報の管理状態を示す項目である。具体的には特定情報を通知してから、ＩＣカード１００に認証成功情報を送信するまでを「通知前」、認証成功情報をＩＣカード１００に送信し、ＩＣカードからの検証成功の応答を受けるまでを「通知応答待ち」、検証成功の応答を受けた後からその特定情報が無効化されるまでを「検証完了」とする。
【００６３】
なお「通知応答待ち」状態は、ＩＣカードの通信プロトコルの仕様により、特定情報管理リストには１つ以下しか存在しない。また「検証完了」状態の特定情報を無効化されるまで残す理由は、端末のアプリケーションの再起動時や同じユーザが複数の端末から同じＩＣカードを利用する場合に、毎回ユーザ認証を行なう手間を省くことができるためである。
【００６４】
無効化された特定情報は「無効」とするか、特定情報管理リストから削除してしまってもよい。図３に示す状態は、下から４つ分の特定情報が「無効」状態のまま削除されずに特定情報管理リストに保持されている。
【００６５】
発行日時情報Ｃ７０は、特定情報が発行された日時を年月日時分秒の各数字を続けた形式の時間情報である。特定情報が特定情報管理リストに登録された日時であってもよい。発行日時情報Ｃ７０は特定情報の新旧の比較や、予め決められた期限を越えた場合の無効化処理に用いる。
【００６６】
図４を参照して、認証装置２００の制御ブロックおよびデータの流れについて、ＩＣカード１００、端末３００およびユーザ４００の処理内容およびデータの流れとともに説明する。
【００６７】
ＩＣカード１００の記憶部１３０に記憶されているユーザ認証用データＰ１０は、ユーザの生体情報である。たとえば指紋や指静脈、虹彩、音声（声紋）、顔などの生体認証技術が実用化されており、複数の生体認証に対応した生体情報を格納することもできる。一般的に生体情報は、ユーザ固有の特徴点や特徴量を抽出した後の圧縮されたデータである。またこれらのデータは、認証を効率よく行ったり、複数のユーザや複数の認証アルゴリズムに対するデータを管理しやすくしたりするために格納される生体情報に関してヘッダ情報を付加したバイオメトリクステンプレートとして形成される。国際的に規定されているバイオメトリクステンプレート形式としてＣＢＥＦＦ（Common Biometric Exchange File Format）がある。なお、ユーザ認証用データＰ１０は必ずしも生体情報である必要はなく、ＰＩＮ（Personal Identification Number）であってもよい。
【００６８】
また、図４には記載しないが、認証装置２００が信用できる装置であることを認証した上でのみ、ＩＣカード１００からユーザ認証用データＰ１０を読み出すことができるほうが望ましく、さらにはユーザ認証用データＰ１０は暗号化されて読み出されることが望ましい。
【００６９】
認証装置２００のユーザ認証部Ｍ１０は、ＩＣカード１００からユーザ認証用データＰ１０を取得し、ユーザ情報入力部２６０からユーザ４００のユーザ情報Ｐ１２を取得する。ユーザ情報入力部２６０から入力されたユーザ情報Ｐ１２が生体情報である場合は、予めＩＣカード１００に記録されたユーザ認証用データＰ１０を生成したアルゴリズムと同じアルゴリズムを用いて、ＣＰＵ２２０が特徴点や特徴量を抽出し、ユーザ認証用データＰ１０との照合を行なう。照合したユーザ認証結果情報Ｐ１４は、特定情報通知部Ｍ２０に送信される。ユーザ認証結果情報Ｐ１４には、認証が成功だと判断された一致率度合いである照合スコア情報Ｃ１０や、認証に用いられた状況に関連する情報（たとえば右手人差し指の指紋情報、左目の虹彩情報など）などを示す認証環境情報Ｃ３０、照合されたテンプレートＩＤ情報（Ｃ４０）が含まれる。また、ユーザ認証結果情報Ｐ１４のうち、テンプレートＩＤ（Ｐ１３）のみが、ＩＣカード１００へも送信される。
【００７０】
特定情報通知部Ｍ２０は、ユーザ認証部Ｍ１０から受信したユーザ認証結果情報Ｐ１４をもとに特定情報Ｐ１６を生成し、特定情報通知部２５０からユーザ４００に対して特定情報Ｐ１６を通知する。
【００７１】
ユーザ４００は、通知された特定情報Ｐ１６に基づいて、入力データＰ１８を端末３００の特定情報入力部３５０に入力する。ＩＣカードへの認証成功情報を合わせて入力するようにしてもよい。
【００７２】
端末３００のＣＰＵ３２０は、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０を入力データ関連情報生成部Ｔ１０で生成し、通信部３１０から認証装置２００の通信部２１０へ送信する。
【００７３】
認証装置２００は、入力データ関連情報Ｐ２０を受信すると、入力データ関連情報判断部Ｍ３０が、特定情報通知部Ｍ２０からその時点で有効なすべての特定情報である全有効特定情報Ｐ２２を取得し、その特定情報Ｐ２２で入力データ関連情報Ｐ２０を復号化する。復号化した結果が、ＩＣカード１００へ送信することが許されるフォーマットの認証成功情報であった場合に、ＩＣカード通信部２７０からＩＣカード１００の通信部１１０へ復号化済みの認証成功情報Ｐ２４を送信する。
【００７４】
ＩＣカード１００では、認証成功情報検証部Ｄ１０が、まずユーザ認証部Ｍ１０から、ユーザ認証結果のテンプレートＩＤ（Ｐ１３）を取得し、ＩＣカード内に予め記憶された認証成功情報検証用データＰ２６から、対応する認証成功情報検証用データＰ２６を取得（Ｄ１０（１））し、認証成功情報Ｐ２４の検証を行い、検証結果を応答情報Ｐ２８として認証装置２００へ返信（Ｄ１０（２））する（図１０参照）。
【００７５】
認証成功情報検証用データＰ２６は、ＩＣカード１００の外部でユーザ認証用データＰ１０を用いてユーザ認証が成功した場合に、ＩＣカード１００のアクセスコントロール状態を変えるためにＩＣカード１００に通知される認証成功情報Ｐ２４を検証するためのデータである。テンプレートＩＤ情報（Ｃ４０）に関連付けられて管理されている。つまり、多数ある認証成功情報検証用データＰ２６のうちのテンプレートＩＤ（Ｐ１３）に対応したデータを特定することができる。
【００７６】
応答確認部Ｍ４０は、応答情報Ｐ２８を受信し、端末３００へ転送する。応答情報Ｐ２８を転送する際に、ＩＣカード１００が利用できる状態か否かを判断し、特定情報通知部Ｍ２０へ判断通知情報Ｐ３０を送信する。なお、入力データ関連情報判断部Ｍ３０が、１つの認証成功情報を送信してから、対応する応答確認部Ｍ４０が応答情報Ｐ２８を受信するまでの間は、他の認証成功情報やそれ以外のＩＣカードに対するコマンドは送信しないように制御する必要がある。これはＩＣカード１００が半二重のコマンド・レスポンス通信プロトコルであることによる。
【００７７】
検出部Ｍ５０は、たとえば、ＩＣカード１００が物理的に移動して認証装置２００から利用できない範囲に離れたり、ＩＣカード１００の電源供給が停止されたり、ＩＣカード通信部２７０とＩＣカードの通信部１１０との間の通信路が切断されたり、ユーザによる意図的なＩＣカード１００の利用停止操作が行なわれたりなどの要因で、検出部Ｍ５０がＩＣカード１００を検出しなくなった場合に、ＩＣカード未検出情報Ｐ３２を特定情報通知部Ｍ２０へ送信し、特定情報通知部Ｍ２０で管理している特定情報を全て無効化する。
【００７８】
ここで、端末３００における認証成功情報の符号化方法および端末３００にて符号化された入力データ関連情報Ｐ２０の認証装置２００における復号化方法についての一例を説明する。
【００７９】
認証成功情報は、ＩＣカード１００に対して外部でユーザ認証が成功したことを通知することが目的であり、ＰＩＮ認証で代用することができる。たとえばＩＣカード内で、あるテンプレートＩＤ情報（Ｃ４０）を持つユーザ認証用データＰ１０に対する認証成功情報は、データが０ｘ０１０２０３０４であるＰＩＮ認証と関連付けられていることをユーザ４００は知っていることとする。また認証装置２００で通知された特定情報Ｐ１６が図２に示す例であるとすると、ユーザ４００は端末３００に特定情報として「８６，２５，２」と入力する。さらに認証成功情報としてのＰＩＮを「０１０２０３０４」と入力する。入力されたＰＩＮをＩＣカードに送信するときのＡＰＤＵは、ＩＳＯ／ＩＥＣ７８１６のＶｅｒｉｆｙコマンドの規定に基づき、たとえば「００２００００００４０１０２０３０４」というバイト列になる。
【００８０】
なおＰＩＮは手間を減らすために予め端末３００に設定されていてもよい。端末３００では入力された特定情報Ｐ１６を複数桁の数字「８６２５２」とみなして暗号鍵として扱い、認証成功情報を符合化する。暗号アルゴリズムはＤＥＳやＡＥＳなどがあるが、セキュリティ要件によっては実装の容易さを考慮して単純に排他的論理和（ＸＯＲ）をとったものであってもよい。
【００８１】
認証装置２００では、符合化された認証成功情報を、同じ特定情報Ｐ１６と同じ暗号アルゴリズムを用いて復号化することで上記ＡＰＤＵを取得することができる。暗号化した端末３００と復号化した認証装置２００が同じ暗号鍵である特定情報Ｐ１６を用いていれば、ＡＰＤＵのフォーマットがＩＳＯ／ＩＥＣ７８１６のＶｅｒｉｆｙコマンドの規定を満たすフォーマットに復元できる。これにより、正しい特定情報を持つユーザ４００が端末３００を操作していることを保証できる。
【００８２】
ここまでの実施例では、認証成功情報の内容自身は認証装置２００が関知しないことを想定したが、認証装置２００がＩＣカード１００と同様に認証成功情報を各テンプレートＩＤ情報（Ｃ４０）と関連付けて記憶していてもよい。認証装置２００が認証成功情報を記憶する場合は、端末３００で符号化した認証成功情報は、認証装置２００で復号するのではなく、同様の符号化を行って一致するかどうかを判定することで特定情報Ｐ１６を検証することができるため、端末３００および認証装置２００ともに復号化処理のための部位を備える必要がなくなる。符号化の例としては、特定情報Ｐ１６と認証成功情報との連結したデータをＳＨＡ−１（Secure Hash Algorithm １）のような一方向関数で符号化する方法がある。
【００８３】
このように、認証装置２００は、ユーザ４００に対して特定情報Ｐ１６を通知し、端末３００からＩＣカード１００へ送信される入力データ関連情報Ｐ２０をその特定情報Ｐ１６を用いて判断する。特定情報Ｐ１６のユーザへの通知と、ユーザにより入力される入力データにより、認証装置２００とユーザ４００と端末３００を結びつけ、さらに同じ特定情報Ｐ１６を端末からＩＣカードへの認証成功情報に関連付けることで、ユーザ４００からＩＣカード１００までの信頼連鎖を非常にシンプルな通信プロトコルで実現している特長がある。
【００８４】
図５を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、ユーザ認証部Ｍ１０でユーザ認証を行なう場合に実行される。
【００８５】
ステップ（以下、ステップをＳと略す）１０２にて、ＣＰＵ２２０は、ユーザ認証が成功したか否かを判断する。この判断は、ＩＣカード１００から取得したユーザ認証用データＰ１０と、ユーザ情報入力部２６０から入力されたユーザ情報Ｐ１２とが照合したか否かにより行なわれる。ユーザ認証が成功したと判断されると（Ｓ１０２にてＹＥＳ）、処理はＳ１０４に移される。もしそうでないと（Ｓ１０２にてＮＯ）、処理はＳ１０６に移される。
【００８６】
Ｓ１０４にて、ＣＰＵ２２０は、ＩＣカード１００から取得したユーザ認証用データＰ１０のうちの認証に成功したテンプレートＩＤ（Ｐ１３）を、ＩＣカード１００に、通知するようＩＣカード通信部２７０に指示する。
【００８７】
Ｓ１０６にて、ＣＰＵ２２０は、サービス提供を拒否し、処理を終了させる。
図６を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、特定情報通知部Ｍ２０にて特定情報Ｐ１６を通知する場合に実行される。
【００８８】
Ｓ２０２にて、ＣＰＵ２２０は、ユーザ認証結果情報Ｐ１４を取得するよう特定情報通知部Ｍ２０に指示する。
【００８９】
Ｓ２０４にて、ＣＰＵ２２０は、記憶部２３０に記憶している特定情報管理リストから有効なすべての特定情報を取得するよう指示する。ここで有効な特定情報とは、管理状態情報Ｃ６０が「通知前」または「通知応答待ち」または「検証完了」となっている特定情報である。
【００９０】
Ｓ２０６にて、ＣＰＵ２２０は、Ｓ２０２で取得したユーザ認証結果情報Ｐ１４から、照合スコア情報Ｃ１０を取出し、生成した乱数情報Ｃ２０を連結して特定情報Ｐ１６を生成する。
【００９１】
Ｓ２０８にて、ＣＰＵ２２０は、生成した特定情報Ｐ１６がＳ２０４で取得した有効なすべての特定情報と重複するか否かを判断する。重複すると判断されると（Ｓ２０８にてＹＥＳ）、処理はＳ２０６に戻される。もしそうでないと（Ｓ２０８にてＮＯ）、処理はＳ２１０に移される。
【００９２】
Ｓ２１０にて、ＣＰＵ２２０は、同じテンプレートＩＤ（Ｐ１３）が登録済みか否かを判断する。この判断は、Ｓ２０４で取得した有効なすべての特定情報のテンプレートＩＤ情報（Ｃ４０）のうち、ユーザ認証結果情報Ｐ１４のテンプレートＩＤ（Ｐ１３）と同じものがあるか否かで行なわれる。同じテンプレートＩＤ情報（Ｃ４０）が登録済みと判断されると（Ｓ２１０にてＹＥＳ）、処理はＳＡ０に移される。もしそうでないと（Ｓ２１０にてＮＯ）、処理はＳ２１２に移される。
【００９３】
ＳＡ０にて、ＣＰＵ２２０は、古い特定情報のテンプレートＩＤを指定して無効化処理を行なう。詳細は後述する。
【００９４】
Ｓ２１２にて、ＣＰＵ２２０は、特定情報通知部２５０に特定情報Ｐ１６を通知するよう指示する。
【００９５】
Ｓ２１４にて、ＣＰＵ２２０は、特定情報管理リストのＣ１０からＣ７０までの各項目に、Ｓ２０６で生成した特定情報Ｐ１６に関連する各項目を新たに追加し、リトライ回数情報Ｃ５０を０とし、管理状態情報Ｃ６０を「通知前」に設定して記憶する。
【００９６】
図７を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、入力データ関連情報判断部Ｍ３０にて、入力データＰ１８に関連するデータが特定情報Ｐ１６に関連するデータであるか否かを判断する場合に実行される。
【００９７】
Ｓ３０２にて、ＣＰＵ２２０は、端末３００から符号化された認証完了情報である入力データ関連情報Ｐ２０を受信するよう通信部２１０に指示する。
【００９８】
ＳＡ０にて、ＣＰＵ２２０は、特定情報の管理状態情報Ｃ６０を最新の状況にするために、特定情報の無効化処理を行なう。詳細は後述する。
【００９９】
Ｓ３０４にて、ＣＰＵ２２０は、すべての特定情報を記憶部２３０から取得する。Ｓ３０６にて、ＣＰＵ２２０は、有効な特定情報があるか否かを判断する。この判断は、管理状態情報Ｃ６０が「通知前」、「通知応答待ち」または「検証完了」となっている特定情報があるか否かにより行なわれる。有効な特定情報があると判断されると（Ｓ３０６にてＹＥＳ）、処理はＳ３０８に移される。もしそうでないと（Ｓ３０６にてＮＯ）、処理はＳ３１８に移される。
【０１００】
Ｓ３０８にて、ＣＰＵ２２０は、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０を、まず１つの特定情報Ｐ１６で復号化するよう指示する。
【０１０１】
Ｓ３１０にて、ＣＰＵ２２０は、復号化された認証成功情報が正しいフォーマットか否かを判断する。この判断は、たとえばＩＳＯ／ＩＥＣ７８１６に規定されるＡＰＤＵフォーマットの各フィールドの値の長さ、または各フィールドの値そのものが正しいか否かで行なわれる。正しいフォーマットと判断されると（Ｓ３１０にてＹＥＳ）、処理はＳ３１２に移される。もしそうでないと（Ｓ３１０にてＮＯ）、処理はＳ３１６に移される。
【０１０２】
Ｓ３１２にて、ＣＰＵ２２０は、復号に成功した特定情報Ｐ１６の管理状態情報Ｃ６０を「通知応答待ち」に変更して、特定情報管理リストに記憶する。
【０１０３】
Ｓ３１４にて、ＣＰＵ２２０は、ＩＣカード１００に、復号化した認証成功情報Ｐ２４を送信する。
【０１０４】
Ｓ３１６にて、ＣＰＵ２２０は、有効な特定情報が他にあるか否かを判断する。他にあると判断されると（Ｓ３１６にてＹＥＳ）、処理はＳ３０８に戻される。もしそうでないと（Ｓ３１６にてＮＯ）、処理はＳ３１８に移される。
【０１０５】
Ｓ３１８にて、ＣＰＵ２２０は、端末３００に特定情報の判断に失敗した旨の通知を送信する。
【０１０６】
図８を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、応答確認部Ｍ４０にて、応答情報Ｐ２８を受信した場合に実行される。
【０１０７】
Ｓ４０２にて、ＣＰＵ２２０は、ＩＣカード１００から認証成功情報に対する応答情報Ｐ２８を受信するようＩＣカード通信部２７０に指示する。
【０１０８】
Ｓ４０４にて、ＣＰＵ２２０は、応答情報Ｐ２８の内容が、ＩＣカード１００を利用できる内容であるか否かを判断する。この判断は、たとえばＩＳＯ／ＩＥＣ７８１６の場合はレスポンスＡＰＤＵのＳＷ（Status Word）を確認することで行なわれる。ＩＣカード１００を利用できると判断されると（Ｓ４０４にてＹＥＳ）、処理はＳ４０６に移される。もしそうでないと（Ｓ４０４にてＮＯ）、処理はＳ４１０に移される。
【０１０９】
Ｓ４０６にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報の状態を「検証完了」に変更する。
【０１１０】
Ｓ４０８にて、ＣＰＵ２２０は、応答情報Ｐ２８を端末３００に送信する。Ｓ４１０にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報のリトライ回数情報Ｃ５０を１増加する。
【０１１１】
Ｓ４１２にて、ＣＰＵ２２０は、リトライ回数情報Ｃ５０が予め設定された回数を越えたか否かを判断する。越えたと判断されると（Ｓ４１２にてＹＥＳ）、処理はＳＡ０に移される。もしそうでないと（Ｓ４１２にてＮＯ）、処理はＳ４１４に移される。
【０１１２】
ＳＡ０にて、ＣＰＵ２２０は、特定情報の無効化処理を行なう。詳細は後述する。Ｓ４１４にて、ＣＰＵ２２０は、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報の状態を「通知前」に変更する。
【０１１３】
Ｓ４１６にて、ＣＰＵ２２０は、応答情報Ｐ２８を端末３００へ送信する。Ｓ４１８にて、ＣＰＵ２２０は、特定情報が無効化されたか否かを判断する。無効化されたと判断されると（Ｓ４１８にてＹＥＳ）、処理は終了する。もしそうでないと（Ｓ４１８にてＮＯ）、処理は図７のＢ（Ｓ３０２）に戻される。
【０１１４】
図９を参照して、認証装置２００で実行されるプログラムの制御構造について説明する。このプログラムは、特定情報を無効化する場合に実行される。
【０１１５】
ＳＡ０２にて、ＣＰＵ２２０は、有効な特定情報があるか否かを判断する。この判断は、記憶部１３０に記憶された特定情報管理リストの管理状態情報Ｃ６０に「無効」以外のものがあるか否かで行なわれる。有効な特定情報があると判断されると（ＳＡ０２にてＹＥＳ）、処理はＳＡ０４に移される。もしそうでないと（ＳＡ０２にてＮＯ）、処理は終了する。
【０１１６】
ＳＡ０４にて、ＣＰＵ２２０は、有効な特定情報の発行日時情報Ｃ７０を現在日時と比較し、予め定められた時間を越えているか否かをすべての特定情報について判断する。予め定められた時間を越えていると判断されると（ＳＡ０４にてＹＥＳ）、処理はＳＡ０６に移される。もしそうでないと（ＳＡ０４にてＮＯ）、処理はＳＡ１４に移される。
【０１１７】
ＳＡ０６にて、ＣＰＵ２２０は、予め定められた時間を越えている特定情報の管理状態情報Ｃ６０が「検証完了」であるか否かを判断する。「検証完了」であると判断されると（ＳＡ０６にてＹＥＳ）、処理はＳＡ０８に移される。もしそうでないと（ＳＡ０６にてＮＯ）、処理はＳＡ１０に移される。
【０１１８】
ＳＡ０８にて、ＣＰＵ２２０は、「検証完了」状態の特定情報が、予め定められた維持時間を越えているか否かを判断する。越えていると判断されると（ＳＡ０８にてＹＥＳ）、処理はＳＡ１０に移される。もしそうでないと（ＳＡ０８にてＮＯ）、処理はＳＡ１４に移される。
【０１１９】
ＳＡ１０にて、ＣＰＵ２２０は、該当する特定情報を無効化する。
ＳＡ１４にて、ＣＰＵ２２０は、無効化通知があるか否かを判断する。無効化通知は、検出部Ｍ５０により、ＩＣカード１００が検出できなくなったことを表わすＩＣカード未検出情報Ｐ３２が送信された場合や、手動の操作でＩＣカード１００を使用できないように切り替えられた場合に記憶部２３０に記憶される。Ｓ４１２にて、リトライ回数が予め設定された回数を越えたと判断された場合（Ｓ４１２にてＹＥＳ）に、特定情報無効化処理ＳＡ０の実行開始時に通知される。無効化通知があると判断されると（ＳＡ１４にてＹＥＳ）、処理はＳＡ１６に移される。もしそうでないと（ＳＡ１４にてＮＯ）、処理は終了する。
【０１２０】
ＳＡ１６にて、ＣＰＵ２２０は、無効化通知のあった特定情報にテンプレートＩＤ情報（Ｃ４０）の指定があるか否かを判断する。指定があると判断されると（ＳＡ１６にてＹＥＳ）、処理はＳＡ２０に移される。もしそうでないと（ＳＡ１６にてＮＯ）、処理はＳＡ１８に移される。
【０１２１】
ＳＡ１８にて、ＣＰＵ２２０は、すべての特定情報を無効化する。ＳＡ２０にて、ＣＰＵ２２０は、指定されたテンプレートＩＤ情報（Ｃ４０）の特定情報を無効化する。
【０１２２】
なお、ＳＡ０４の予め定められた時間の判定は、絶対的な時間ではなくタイマを用いても良い。また、無効化を行なう場合は、特定情報管理テーブルから特定情報自体を削除してもよい。
【０１２３】
この方法により、たとえば第１のユーザと第２のユーザが同じＩＣカード１００を使用する状況で、第１のユーザの特定情報だけを無効化できるため、第２のユーザの認証処理を妨げることがない。
【０１２４】
図１０を参照して、以上のような構造およびフローチャートに基づく、認証装置２００動作について説明する。
【０１２５】
［ユーザ認証動作］
認証装置２００が、ＩＣカード１００からのユーザ認証用データＰ１０を受信し、ユーザ４００がユーザ情報Ｐ１２を入力すると、ユーザ認証部Ｍ１０にてユーザ認証が行なわれる。ユーザ認証部Ｍ１０にて、ユーザ認証が成功すると（Ｓ１０２にてＹＥＳ）、ＩＣカード１００から取得したユーザ認証用データＰ１０のうちの認証に成功したテンプレートＩＤ（Ｐ１３）が、ＩＣカード１００に通知される（Ｓ１０４）。
【０１２６】
［特定情報通知動作］
特定情報通知部Ｍ２０にて、ユーザ認証結果情報Ｐ１４が取得されると（Ｓ２０２）、記憶部２３０に記憶している特定情報管理リストから有効なすべての特定情報を取得され（Ｓ２０４）、ユーザ認証結果情報Ｐ１４から、照合スコア情報Ｃ１０が取出され、生成した乱数情報Ｃ２０を連結して特定情報Ｐ１６が生成される（Ｓ２０６）。生成した特定情報Ｐ１６が有効なすべての特定情報と重複しない場合（Ｓ２０８にてＮＯ）、ユーザ認証結果情報Ｐ１４のテンプレートＩＤ（Ｐ１３）と同じものがあると（Ｓ２１０にＹＥＳ）、特定情報の無効化処理が行なわれる（ＳＡ０）。特定情報通知部２５０からユーザに特定情報Ｐ１６が通知され（Ｓ２１２）、特定情報管理リストのＣ１０からＣ７０までの各項目に、通知した特定情報Ｐ１６に関連する各項目が新たに追加され、リトライ回数情報Ｃ５０が０とされ、管理状態情報Ｃ６０が「通知前」に設定される。
【０１２７】
［入力データ関連情報判断動作］
端末３００の入力データ関連情報生成部Ｔ１０にて、符号化された認証完了情報である入力データ関連情報Ｐ２０が認証装置２００に受信されると（Ｓ３０２）、入力データ関連情報判断部Ｍ３０にて、特定情報の無効化処理が行なわれる（ＳＡ０）。記憶部２３０からすべての特定情報が取得され（Ｓ３０４）、有効な特定情報があると（Ｓ３０６にてＹＥＳ）、入力データＰ１８で認証成功情報を符号化した入力データ関連情報Ｐ２０が、特定情報Ｐ１６で復号化される（Ｓ３０８）。復号化された認証成功情報が正しいフォーマットであると（Ｓ３１０にてＹＥＳ）、復号に成功した特定情報Ｐ１６の管理状態情報Ｃ６０が「通知応答待ち」に変更され、特定情報管理リストに記憶される（Ｓ３１２）。ＩＣカード１００に、復号化した認証成功情報Ｐ２４が送信される（Ｓ３１４）。
【０１２８】
［応答確認動作］
ＩＣカード１００の認証成功情報検証部Ｄ１０から応答情報Ｐ２８を受信すると（Ｓ４０２）、応答確認部Ｍ４０にて、応答情報Ｐ２８がＩＣカード１００を利用できる内容でない場合（Ｓ４０４にてＮＯ）、特定情報管理リストの管理状態情報Ｃ６０の「通知応答待ち」となっている特定情報のリトライ回数情報Ｃ５０が１増加され（Ｓ４１０）、リトライ回数情報Ｃ５０が予め設定された回数を越えた場合（Ｓ４１２にてＹＥＳ）、「通知応答待ち」の特定情報が無効化処理される（ＳＡ０）。応答情報Ｐ２８が端末３００へ送信され（Ｓ４１６）、特定情報が無効化された場合（Ｓ４１８にてＹＥＳ）、動作が終了する。
【０１２９】
［特定情報無効化動作］
有効な特定情報があると（ＳＡ０２にてＹＥＳ）、有効な特定情報の発行日時情報Ｃ７０と現在日時とが比較され、予め定められた時間を越えている場合で（ＳＡ０４にてＹＥＳ）、特定情報の管理状態情報Ｃ６０が「検証完了」でないか（ＳＡ０６にてＮＯ）、「検証完了」状態の特定情報が、予め定められた維持時間を越えている場合（ＳＡ０８にてＹＥＳ）、該当する特定情報を無効化する（ＳＡ１０）。無効化通知があり（ＳＡ１４にてＹＥＳ）、無効化通知のあった特定情報にテンプレートＩＤ情報（Ｃ４０）の指定があると（ＳＡ１６にてＹＥＳ）、指定されたテンプレートＩＤ情報（Ｃ４０）の特定情報が無効化される（ＳＡ２０）。
【０１３０】
以上のようにして、本実施の形態に係る認証装置は、ユーザ認証用データとユーザ情報とが認証条件を満足すると、ユーザがＩＣカードの正規ユーザであると認証し、正規ユーザのみに特定情報を通知する。端末のユーザにより端末に入力された入力データに関連する入力データ関連情報を端末から取得し、正規ユーザのみに通知した特定情報とを照合して、入力データが特定情報に関連するデータであるか否かを判断する。この判断により、端末のユーザが端末に入力した入力データが、ＩＣカードの正規ユーザのみに通知される特定情報であったのか否かを判断できる。
【０１３１】
そのため、端末のユーザがＩＣカードの正規ユーザであることを保証できる。また、ユーザがＩＣカードの正規ユーザであると認証装置が認証した場合、端末に認証結果を送信するのではなく、ユーザに特定情報を通知する。ユーザが端末に特定情報を入力することで、端末のユーザがＩＣカードの正規ユーザであることが認証装置において判断される。このため、端末に認証機能を備える必要がなく、ユーザ情報や認証結果を認証装置から受信するための独自の待ち受け状態処理を備える必要もない。
【０１３２】
さらに、認証装置は、入力データが特定情報に関連するデータであると判断した場合にのみＩＣカードに認証成功情報を送信する。これにより、端末のユーザがＩＣカードの正規ユーザである場合に限り、端末のユーザは、ＩＣカードに記憶された情報を利用することができる。その結果、生体情報や認証結果を受信するための独自の待ち受け状態処理を備えていない端末を用いて、認証装置でユーザ認証に成功したユーザと端末ユーザが同一人であることを保証し、ＩＣカードを安全に利用させることができる認証装置を提供することができる。
【０１３３】
また、特定情報に、認証の結果（たとえば本人である確率の高さを示す割合や認証時の環境）に関連した照合スコア情報を含むこととしたため、特定情報は、ユーザ自身が予測できる情報となり、認証時の環境などにより異なった情報となる。そのため、特定情報を、ユーザ４００にわかりやすい数値でかつ比較的容易に特定情報を乱数化することができる。
【０１３４】
さらに、本実施の形態に係る認証装置は、ユーザがＩＣカードの正規ユーザである場合、端末から受信する入力データ関連情報を特定情報で復号化することにより、ＩＣカードを利用するための認証成功情報を取得することができる。これにより、認証装置がＩＣカードを利用するための認証成功情報を予め保持していなくてもＩＣカードに対して認証成功情報を送信できる。そのため、不特定多数のユーザが多様なＩＣカードを使用する場合であっても、それぞれに要求される認証成功情報をすべて記憶しておく必要はなく、認証装置を不特定多数のユーザが利用する公共の場などの環境で利用することができる。さらに、特定情報と正しい認証成功情報との両方に関連したデータを端末から認証装置が受信した場合のみＩＣカードを利用できる。そのため、二重の利用制限が課せられることとなり、セキュリティレベルをより高くすることができる。また、正規ユーザであることを保証するために必要な特定情報と、ＩＣカードを利用するために必要な認証成功情報を端末から認証装置へ同時に送信する。これにより、認証装置とＩＣカードとの１往復のみの通信により、ＩＣカードを利用できる。そのため、端末のソフトウェア実装が容易である。
【０１３５】
さらに、本実施の形態に係る認証装置は、たとえば、ＩＣカードが物理的に移動して認証装置から利用できない範囲に離れたり、電源供給が停止されたり、通信路が切断されたり、意図的な利用停止操作が行なわれたりなどの要因で、ＩＣカードと認証装置とが通信できない状態になった場合、特定情報を無効にする。これにより、ユーザが意図的に特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【０１３６】
さらに、本実施の形態に係る認証装置は、ＩＣカードからの応答受信を予め設定された回数を超えても、ＩＣカードを利用できない場合に、特定情報を無効にする。これにより、端末のユーザがＩＣカードの正規ユーザでない可能性の高い特定情報を無効化できる。また、予め設定された時間を超えても、ＩＣカードを利用できない場合に、特定情報を無効にする。これにより、端末のユーザがＩＣカードの正規ユーザでない可能性の高い特定情報を無効化できる。そのため、よりセキュリティレベルを高めることができるとともに、特定情報の管理に必要な記憶容量を低減できる。
【０１３７】
さらに、本実施の形態に係る認証装置は、ＩＣカードに記憶された情報を利用できる状態となっても、予め設定された時間以内であれば、特定情報を無効にしない。これにより、端末を再起動したり、再接続したり、認証装置との通信が途切れて再接続したりした場合に、その都度ユーザ認証を行なう必要がない。また、同じユーザが追加で端末とは異なる別の装置からＩＣカードを利用する場合に、予め定められた時間内であれば同じ特定情報を使用できる。これにより、それぞれの装置毎にユーザ認証を行なう必要がないようにすることができ、利便性を向上することができる。
【０１３８】
さらに、本実施の形態に係る認証装置は、ユーザ認証用データのうち、認証に成功したユーザ認証用データを識別する情報をＩＣカードに送信する。これにより、たとえば指紋認証と虹彩認証との複数のユーザ認証方式に関するユーザ認証用データを備えるＩＣカードであっても、どの認証方式でユーザ認証が成功したのかが通知される。そのため、ＩＣカードは、認証方式毎に異なる認証成功情報の検証を行なうことができる。これにより、ＩＣカードでは、認証方式毎に異なる利用権限の管理を行なうことができる。また、複数のユーザに対するユーザ認証用データを備えるＩＣカードであっても、どのユーザが認証に成功したのか通知されるため、複数の異なるユーザが同じ認証装置を用いてＩＣカードに対するユーザ認証を行っても、ユーザ毎の利用権限に応じた範囲でＩＣカードを利用することができる。
【０１３９】
なお、ＩＣカード１００は同等の機能を持つサーバ装置であってもよい。
また、本発明の目的は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、認証装置２００に供給し、ＣＰＵ２２０が記憶媒体に格納されたプログラムコードを読出し実行することによっても、達成される。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになることは言うまでもない。
【０１４０】
プログラムコードを供給するための記憶媒体としては、たとえば、フロッピディスク、ハードディスク、光ディスク、光磁気ディスク、磁気テープ、不揮発性のメモリカード等を用いることができる。
【０１４１】
また、上記プログラムコードは、通信ネットワークのような伝送媒体を介して、他のコンピュータシステムから記憶部２３０へダウンロードされるものであってもよい。
【０１４２】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１４３】
さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１４４】
本発明を上記記憶媒体に適用する場合、その記憶媒体には、先に説明したフローチャートに対応するプログラムコードを格納することになる。
【０１４５】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【図面の簡単な説明】
【０１４６】
【図１】本発明の実施の形態に係る認証装置、ＩＣカード、端末、およびこれらを用いたシステムのハードウェア構成図である。
【図２】本発明の実施の形態に係る認証装置の特定情報生成部で生成される特定情報のテーブルの構成図である。
【図３】本発明の実施の形態に係る認証装置の記憶部に記憶される特定情報管理リストのテーブルの構成図である。
【図４】本発明の実施の形態に係る認証装置、ＩＣカードおよび端末の制御ブロック図である。
【図５】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図６】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図７】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図８】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図９】本発明の実施の形態に係る認証装置のＣＰＵで実行されるプログラムの制御構造についての説明図である。
【図１０】本発明の実施の形態に係る認証装置の動作についての説明図である。
【符号の説明】
【０１４７】
１００ ＩＣカード、１１０，２１０，３１０ 通信部、１２０，２２０，３２０ ＣＰＵ、１３０，２３０，３３０ 記憶部、２００ 認証装置、２４０，３４０ 電源部、２５０ 特定情報通知部、２６０ ユーザ情報入力部、２７０ ＩＣカード通信部、３００ 端末、３５０ 特定情報入力部、３６０ 表示部、４００ ユーザ、Ｃ１０ 照合スコア情報、Ｃ２０ 乱数情報、Ｃ３０ 認証環境情報、Ｃ４０ テンプレートＩＤ情報、Ｃ５０ リトライ回数情報、Ｃ６０ 管理状態情報、Ｃ７０ 発行日時情報、Ｄ１０ 認証成功情報検証部、Ｔ１０ 入力データ関連情報生成部、Ｍ１０ ユーザ認証部、Ｍ２０ 特定情報通知部、Ｍ３０ 入力データ関連情報判断部、Ｍ４０ 応答確認部、Ｍ５０ 検出部、Ｐ１０ ユーザ認証用データ、Ｐ１２ ユーザ情報、Ｐ１３ テンプレートＩＤ、Ｐ１４ 認証結果情報、Ｐ１６ 特定情報、Ｐ１８ 入力データ、Ｐ２０ 入力データ関連情報、Ｐ２２ 全有効特定情報、Ｐ２４ 認証成功情報、Ｐ２６ 認証成功情報検証用データ、Ｐ２８ 応答情報、Ｐ３０ 判断通知情報、Ｐ３２ ＩＣカード未検出情報。
【特許請求の範囲】
【請求項１】
第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる認証装置であって、
前記第１の装置は、前記第２の装置のユーザが前記第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、前記第２の装置により前記第１の装置に記憶された情報を利用することができ、
前記第２の装置は、前記第２の装置に入力された入力データが前記認証装置で判断された結果に基づいて、前記認証装置を介して前記第１の装置に記憶された情報を利用することができ、
前記認証装置は、
ユーザ認証用データを前記第１の装置から取得するための第１の取得手段と、
ユーザが、ユーザ情報を入力するための入力手段と、
前記ユーザ認証用データと前記ユーザ情報とが認証条件を満足すると、前記ユーザが前記第１の装置の正規ユーザであると認証するための認証手段と、
前記正規ユーザであることを特定するための特定情報を前記正規ユーザに通知するための通知手段と、
前記第２の装置に入力された入力データに関連する入力データ関連情報を前記第２の装置から取得するための第２の取得手段と、
前記入力データ関連情報と前記特定情報とを照合して、前記入力データが前記特定情報に関連するデータであるか否かを判断するための判断手段と、
前記入力データ関連情報が前記特定情報に関連するデータであると判断された場合に、前記第１の装置に前記認証成功情報を送信するための送信手段とを含む、認証装置。
【請求項２】
前記特定情報は、前記認証の結果に関連する情報を含む、請求項１に記載の認証装置。
【請求項３】
前記入力データ関連情報は、前記認証成功情報を、前記入力データで符号化したデータであり、
前記判断手段は、前記特定情報で前記入力データ関連情報を復号化し、前記認証成功情報として正しく復号できるか否かを判断するための手段を含む、請求項１または２に記載の認証装置。
【請求項４】
前記認証装置は、
前記認証成功情報の送信に対する第１の装置からの応答情報を受信し、前記第１の装置に記憶された情報を利用できる状態であるか否かを確認するための確認手段と、
前記確認の結果を前記特定情報に対応させて管理するための管理手段とをさらに含む、請求項１〜３のいずれかに記載の認証装置。
【請求項５】
前記認証装置は、前記第１の装置を検出するための検出手段をさらに含み、
前記管理手段は、前記検出手段により前記第１の装置が検出しなくなった場合に、前記特定情報を無効にするための手段を含む、請求項４に記載の認証装置。
【請求項６】
前記管理手段は、前記確認手段が、前記応答情報を受信する回数が予め設定された回数を超えても、前記第１の装置に記憶された情報を利用できる状態であることを確認しない場合、前記特定情報を無効にするための手段を含む、請求項４または５に記載の認証装置。
【請求項７】
前記管理手段は、前記確認手段が、予め設定された時間を超えても、前記第１の装置に記憶された情報を利用できる状態であることを確認しない場合、前記特定情報を無効にするための手段を含む、請求項４〜６のいずれかに記載の認証装置。
【請求項８】
前記管理手段は、前記確認手段が、前記第１の装置に記憶された情報を利用できる状態であることを確認した場合、予め設定された時間以内であれば、前記特定情報を無効にしないための手段を含む、請求項４〜７のいずれかに記載の認証装置。
【請求項９】
前記送信手段は、前記ユーザ認証用データのうち、前記認証に成功したユーザ認証用データを識別する情報を前記第１の装置に送信する手段を含む、請求項１〜８のいずれかに記載の認証装置。
【請求項１０】
第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる装置における認証方法であって、
前記第１の装置は、前記第２の装置のユーザが前記第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、前記第２の装置により前記第１の装置に記憶された情報を利用することができ、
前記第２の装置は、前記第２の装置に入力された入力データが前記認証装置で判断された結果に基づいて、前記認証装置を介して前記第１の装置に記憶された情報を利用することができ、
前記認証装置は、
ユーザ認証用データを前記第１の装置から取得する第１の取得ステップと、
ユーザが、ユーザ情報を入力する入力ステップと、
前記ユーザ認証用データと前記ユーザ情報とが認証条件を満足すると、前記ユーザが前記第１の装置の正規ユーザであると認証する認証ステップと、
前記正規ユーザであることを特定するための特定情報を前記正規ユーザに通知する通知ステップと、
前記第２の装置に入力された入力データに関連する入力データ関連情報を前記第２の装置から取得する第２の取得ステップと、
前記入力データ関連情報と前記特定情報とを照合して、前記入力データが前記特定情報に関連するデータであるか否かを判断する判断ステップと、
前記入力データ関連情報が前記特定情報に関連するデータであると判断された場合に、前記第１の装置に前記認証成功情報を送信する送信ステップとを含む、認証方法。
【請求項１１】
請求項１０に記載の認証方法を実現するプログラム。
【請求項１２】
請求項１１に記載の認証プログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１】
第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる認証装置であって、
前記第１の装置は、前記第２の装置のユーザが前記第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、前記第２の装置により前記第１の装置に記憶された情報を利用することができ、
前記第２の装置は、前記第２の装置に入力された入力データが前記認証装置で判断された結果に基づいて、前記認証装置を介して前記第１の装置に記憶された情報を利用することができ、
前記認証装置は、
ユーザ認証用データを前記第１の装置から取得するための第１の取得手段と、
ユーザが、ユーザ情報を入力するための入力手段と、
前記ユーザ認証用データと前記ユーザ情報とが認証条件を満足すると、前記ユーザが前記第１の装置の正規ユーザであると認証するための認証手段と、
前記正規ユーザであることを特定するための特定情報を前記正規ユーザに通知するための通知手段と、
前記第２の装置に入力された入力データに関連する入力データ関連情報を前記第２の装置から取得するための第２の取得手段と、
前記入力データ関連情報と前記特定情報とを照合して、前記入力データが前記特定情報に関連するデータであるか否かを判断するための判断手段と、
前記入力データ関連情報が前記特定情報に関連するデータであると判断された場合に、前記第１の装置に前記認証成功情報を送信するための送信手段とを含む、認証装置。
【請求項２】
前記特定情報は、前記認証の結果に関連する情報を含む、請求項１に記載の認証装置。
【請求項３】
前記入力データ関連情報は、前記認証成功情報を、前記入力データで符号化したデータであり、
前記判断手段は、前記特定情報で前記入力データ関連情報を復号化し、前記認証成功情報として正しく復号できるか否かを判断するための手段を含む、請求項１または２に記載の認証装置。
【請求項４】
前記認証装置は、
前記認証成功情報の送信に対する第１の装置からの応答情報を受信し、前記第１の装置に記憶された情報を利用できる状態であるか否かを確認するための確認手段と、
前記確認の結果を前記特定情報に対応させて管理するための管理手段とをさらに含む、請求項１〜３のいずれかに記載の認証装置。
【請求項５】
前記認証装置は、前記第１の装置を検出するための検出手段をさらに含み、
前記管理手段は、前記検出手段により前記第１の装置が検出しなくなった場合に、前記特定情報を無効にするための手段を含む、請求項４に記載の認証装置。
【請求項６】
前記管理手段は、前記確認手段が、前記応答情報を受信する回数が予め設定された回数を超えても、前記第１の装置に記憶された情報を利用できる状態であることを確認しない場合、前記特定情報を無効にするための手段を含む、請求項４または５に記載の認証装置。
【請求項７】
前記管理手段は、前記確認手段が、予め設定された時間を超えても、前記第１の装置に記憶された情報を利用できる状態であることを確認しない場合、前記特定情報を無効にするための手段を含む、請求項４〜６のいずれかに記載の認証装置。
【請求項８】
前記管理手段は、前記確認手段が、前記第１の装置に記憶された情報を利用できる状態であることを確認した場合、予め設定された時間以内であれば、前記特定情報を無効にしないための手段を含む、請求項４〜７のいずれかに記載の認証装置。
【請求項９】
前記送信手段は、前記ユーザ認証用データのうち、前記認証に成功したユーザ認証用データを識別する情報を前記第１の装置に送信する手段を含む、請求項１〜８のいずれかに記載の認証装置。
【請求項１０】
第１の装置に記憶された情報を第２の装置において利用するために、第１の装置と第２の装置との間に設けられる装置における認証方法であって、
前記第１の装置は、前記第２の装置のユーザが前記第１の装置の正規ユーザであるという認証に成功したことを表わす認証成功情報を受信した場合に、前記第２の装置により前記第１の装置に記憶された情報を利用することができ、
前記第２の装置は、前記第２の装置に入力された入力データが前記認証装置で判断された結果に基づいて、前記認証装置を介して前記第１の装置に記憶された情報を利用することができ、
前記認証装置は、
ユーザ認証用データを前記第１の装置から取得する第１の取得ステップと、
ユーザが、ユーザ情報を入力する入力ステップと、
前記ユーザ認証用データと前記ユーザ情報とが認証条件を満足すると、前記ユーザが前記第１の装置の正規ユーザであると認証する認証ステップと、
前記正規ユーザであることを特定するための特定情報を前記正規ユーザに通知する通知ステップと、
前記第２の装置に入力された入力データに関連する入力データ関連情報を前記第２の装置から取得する第２の取得ステップと、
前記入力データ関連情報と前記特定情報とを照合して、前記入力データが前記特定情報に関連するデータであるか否かを判断する判断ステップと、
前記入力データ関連情報が前記特定情報に関連するデータであると判断された場合に、前記第１の装置に前記認証成功情報を送信する送信ステップとを含む、認証方法。
【請求項１１】
請求項１０に記載の認証方法を実現するプログラム。
【請求項１２】
請求項１１に記載の認証プログラムを記録したコンピュータ読取可能な記録媒体。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００７−１１４９８（Ｐ２００７−１１４９８Ａ）
【公開日】平成１９年１月１８日（２００７．１．１８）
【国際特許分類】
【出願番号】特願２００５−１８８５５９（Ｐ２００５−１８８５５９）
【出願日】平成１７年６月２８日（２００５．６．２８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５０４９）シャープ株式会社 (33,933)
【Ｆターム（参考）】
【公開日】平成１９年１月１８日（２００７．１．１８）
【国際特許分類】
【出願日】平成１７年６月２８日（２００５．６．２８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｂｌｕｅｔｏｏｔｈ
【出願人】（０００００５０４９）シャープ株式会社 (33,933)
【Ｆターム（参考）】
[ Back to top ]