JP5470344B2 - バイオメトリック識別技術の利用に基づいたユーザー認証方法及び関連のアーキテクチャー - Google Patents

Description

一般に本発明は安全な認証システムの分野に関する。特に、本発明はバイオメトリック識別技術の利用に基づいたユーザ認証方法及びその関連のアーキテクチャーに関する。

認証とは、金融機関、銀行などのエンティティが、自分自身に対してその顧客又はユーザを識別し検証し、かつその顧客又はユーザに対して自分自身を識別し検証するプロセスである。

認証は、物理的な物（例えばカード及び／又は鍵）、共有の秘密（例えば個人識別番号（ＰＩＮ）及び／又はパスワード）及びバイオメトリック技術（例えば声紋、写真、署名及び／又は指紋）の使用を含む。バイオメトリックタスクは、例えば、識別タスクと検証タスクとからなる。検証タスクは、身元の正当性を主張している人が真に身元の正当性が請求された人か否かを判断する。

識別タスクは、指紋などのバイオメトリック信号が、だれかが既にシステムに登録したものと一致するか否かを判断する。

スマートカードと共に使用するために種々のバイオメトリックスが考えられてきており、例えば指紋、手形、声紋、網膜像、筆跡サンプルなどが挙げられる。

バイオメトリックに基づいたスマートカードの例がＵＳ-Ａ-５，２８０，５２７に示されており、マイクロチップを含んだクレジットカードサイズのトークン（バイオメトリックセキュリティ装置という）が記載されており、マイクロチップの中に許可されたユーザの声のサンプルが記憶されている。口座にアクセスするためには、ユーザはトークンをＡＴＭの指定スロットに挿入してＡＴＭと話さなければならない。ユーザの声とマイクロチップに記憶された声のサンプル登録とが一致していることが分かれば、口座へのアクセスが許可される。

ＵＳ-Ａ-５，２８０，５２７に開示されたシステムは、従来のＰＩＮに基づいたシステムと比較すると、不正アクセスの危険性は小さくなっているが、クレジットカードとその中に搭載されたマイクロチップとが不正に改変し得る限り、このシステムは今日の金融取引においてしばしば要求されるレベルの信頼性とセキュリティを与えない。

またＷＯ-Ａ-０１３９１３４にはセキュリティシステムが開示されており、人の固有のバイオメトリック特徴を表すバイオメトリックデータを検出するバイオメトリックセンサーを有する中央ユニットと、少なくとも１つの携帯式データ記憶媒体と、人のバイオメトリック基準特徴を表すバイオメトリック基準データをシステムに記憶するためのメモリ手段と、許可信号を発生してセンサーにより検出したバイオメトリックデータと基準データとの比較に依存して機能ユニットを制御することができる制御システムとを備える。

この文献で提案されているセキュリティシステムでは、ユーザの真正性を確認するためにセンサーで検出したバイオメトリックデータと比較される基準データは、従来の方法ではデータ記憶媒体にすべてが記憶されてなく、一部はデータ記憶媒体に一部は読取りデバイスに分割されている。データ記憶媒体と読取りデバイスとの組み合わせでのみ、認証に必要な完全な情報を生成する。

この発明はバイオメトリックセンサーが指紋センサーであるとき特に有利である。指紋センサーは指紋の細部の局所分解位置を測定する。この細部は指紋の乳頭線の特異点である。これらは、指紋の乳頭線における終点、分岐又は同様の点としてもよい。局所位置は、基準点からの距離又は基準方向に関係している角度への半径に基づいて求められる。

データ記憶媒体を個人化するために、データ記憶媒体の所有者の指紋が再生され、適当な基準値が半径及び角度について求められる。次にこれらの値はシステムに記憶される。実際的な目的のため、半径基準データはデータ記憶媒体にのみ記憶され、角度基準データは読取りデバイス上にのみ記憶される。別法として、角度基準データはデータ記憶媒体に記憶され、距離基準データは読取りデバイス上に記憶される。

ＵＳ-Ａ-５，２８０，５２７ ＷＯ-Ａ-０１３９１３４

出願人は、使用するバイオメトリック識別技術から独立して安全で且つユーザのプライバシーを保護する、バイオメトリック識別技術の使用に基づいたユーザ認証方法を実現する課題に取り組んだ。

出願人は、認証するユーザの第１のバイオメトリック画像から基準バイオメトリックテンプレートを生成した後、基準バイオメトリックテンプレートを分離可能な第１と第２の基準バイオメトリックテンプレート部分に分割するステップを含むバイオメトリック識別技術の使用に基づいたユーザ認証方法により上記課題を解決できることが分かった。それから第１と第２のバイオメトリック基準テンプレート部分が署名され、暗号化され、異なるメモリに記憶される。

具体的には、バイオメトリック識別技術の使用に基づいたユーザ認証方法は、登録ステップと検証ステップとを含み、前記登録ステップは、
- 認証するユーザの第１のバイオメトリック画像から基準バイオメトリックテンプレートを生成するステップ、
- 前記基準バイオメトリックテンプレートを第１と第２の基準バイオメトリックテンプレート部分に分割するステップ、
- 前記第１と第２の基準バイオメトリックテンプレート部分を暗号化するステップ、及び
- 前記基準バイオメトリックテンプレート部分の各々を異なるメモリに記憶するステップを含む。

本発明の別の側面は、バイオメトリック識別技術の使用に基づいたアーキテクチャーであり、
- 認証するユーザの第１のバイオメトリック画像から基準バイオメトリックテンプレートを生成するための少なくとも１つのデータ登録システムであって、前記基準バイオメトリックテンプレートを身体的に分離可能な第１と第２の基準バイオメトリックテンプレート部分に分割するため及び前記第１と第２の基準バイオメトリックテンプレート部分を暗号化するためにホストコンピュータを備える前記データ登録システム、
- 認証する前記ユーザに関連付けられた少なくとも１つの携帯式データ記憶媒体であって、署名され暗号化された前記第１の基準バイオメトリックテンプレート部分を記憶するためのメモリを備える前記データ記憶媒体、及び
- 署名され暗号化された前記第２の基準バイオメトリックテンプレート部分を記憶するためのメモリを備えた少なくとも１つのデータ検証システム
を備える。

本発明の別の側面は、ユーザ認証アーキテクチャーにより認証すべきユーザに関連付けられた携帯式データ記憶媒体であり、前記データ記憶媒体は、認証する前記ユーザに関連付けられた第１の基準バイオメトリックテンプレート部分を記憶するためのメモリを有するマイクロプロセッサを備え、前記第１の基準バイオメトリックテンプレート部分は署名され暗号化され、前記携帯式データ記憶媒体は、第２の基準バイオメトリックテンプレート部分と認証する前記ユーザに関連付けられたライブテンプレートとを前記ユーザ認証アーキテクチャーから入力として受信するよう適合し、前記第２の基準バイオメトリックテンプレート部分と前記ライブテンプレートは署名され暗号化され、前記マイクロプロセッサは更に、
- 前記第１と第２の基準バイオメトリックテンプレート部分を解読するため及びそれから認証する前記ユーザに関連付けられた前記基準バイオメトリックテンプレートを再構成するための処理ロジック、
- 再構成された前記基準バイオメトリックテンプレートと前記ライブテンプレートとを比較し前記比較の結果を前記ユーザ認証アーキテクチャーに送信するための比較ロジック
を備える。

本発明の別の側面は電子デバイスと認証すべきユーザに関連付けられた携帯式データ記憶媒体とを備えたデータ検証システムであり、前記データ記憶媒体は、認証するユーザに関連付けられた第１の基準バイオメトリックテンプレート部分を記憶するよう適合し、前記第１の基準バイオメトリックテンプレート部分は署名され暗号化され、
前記電子デバイスは、
- 認証するユーザに関連付けられ、前記第１の部分に相補的な、署名され暗号化された第２の基準バイオメトリックテンプレート部分を記憶するよう適合したメモリ、
- ライブテンプレートを生成するための画像取得及び処理デバイス、
を備え、
前記電子デバイスは、前記ライブテンプレートを暗号化し署名し、前記第２の基準バイオメトリックテンプレート部分と前記ライブテンプレートとを前記携帯式データ記憶媒体に送信し、前記データ記憶媒体により実行される前記ライブテンプレートと認証する前記ユーザの基準バイオメトリックテンプレートとの比較の結果に基づいて前記ユーザを認証するよう適合し、前記基準バイオメトリックテンプレートは前記第１と第２の基準バイオメトリックテンプレート部分を用いることにより再構成される。

本発明の別の側面は、少なくとも１つの電子プロセッサのメモリにロード可能なコンピュータプログラムプロダクトであって、プロセッサ上で該プロダクトが実行されるとき本発明によるプロセスを実行するソフトウエアコード部分を含んだものを扱う。この場合、この表現は、本発明によるプロセスを実行するためにコンピュータのネットワークを制御する命令を含んだコンピュータにより読取り可能な手段に等価なものと見るべきである。「少なくとも１つの電子プロセッサ」と述べたのは、明らかに、非集中的な場合に本発明による解決策を実行する可能性を指摘する目的である。

本発明の別の好ましい側面は、従属請求項及び明細書に開示されている。

添付図面に関して非制限的な例として与えられた以下の態様の説明から、本発明の特徴と効果が分かる。

本発明によるユーザ認証アーキテクチャーの概略図である。 本発明によるユーザ認証方法の第１のステップを実行することに関係したフロー図を示す。 本発明によるユーザ認証方法の第２のステップを実行することに関係したフロー図を示す。 基準バイオメトリックテンプレートを３つの部分に分割する例を示す。 テンプレートｔは４個の部分に分割され、そのうちの３個だけが元のテンプレートｔを再構成するのに必要とされる例を示す。

図１では、本発明によるユーザ認証方法がユーザ認証アーキテクチャー１に適用され、該アーキテクチャーはデータ登録システム２、データ検証システム３及び携帯式データ記憶媒体４を含み、この後者のものは認証すべきユーザの所有物である。データ記憶媒体４は実質的に長方形の大きさの基板、例えばアクセスカード、クレジットカード、デビットカード、身分証明書、スマートカード、ＳＩＭカード又は安全なデジタルカードとし得る。いずれにせよ、データ記憶媒体４は、処理ロジック５ａ、比較ロジック５ｂ及びメモリ６を含んだマイクロプロセッサ５を備える。

常に図１に関し、好ましい態様では、データ登録システム２は、認証すべきユーザのバイオメトリックデータを記憶するのに十分なメモリ７ａを有するホストコンピュータ７、例えばパーソナルコンピュータ、業務用コンピュータなどを備える。データ登録システム２はまた、画像取得及び処理デバイス８（ホストコンピュータ７に接続）、及びデータ読取り／書込みデバイス６０（これもホストコンピュータ７に接続されデータ記憶媒体４とのインターフェースを実現する）を含み得る。データ読取り／書込みデバイス６０は、例えば、データ記憶媒体４がスマートカードの場合はスマートカードリーダー、又はデータ記憶媒体４がＳＩＭカードの場合は携帯電話とし得る。

具体的には、画像取得及び処理デバイス８は、認証すべき第１のユーザの例えば顔テンプレートを検出するバイオメトリック型のセンサー９、例えばテレビカメラと、センサー９とホストコンピュータ７の間に接続され、センサー９で検出されたユーザのバイオメトリック画像から基準バイオメトリックテンプレートを生成する画像プロセッサ１０とを含む。

好ましくは、データ登録システム２はデータ検証システム３とは分離したシステムであり、安全な環境に置かれる。

好ましい態様では、データ検証システム３は、認証すべきユーザのバイオメトリックデータを記憶するのに十分なメモリ１１ａを有する電子デバイス１１、例えばパーソナルコンピュータ、パームトップコンピュータ、携帯電話、ハンドヘルドＰＣ、スマートフォン等を備える。

データ検証システム３はまた、電子デバイスに接続された遠隔システムにより管理されたデータベース（公知の種類なので図１では図示せず）と、画像取得及び処理デバイス１２と、データ記憶媒体４とのインターフェースを実現するデータ読取り／書込みデバイス６１とを備え得る。画像取得及び処理デバイス１２とデータ読取り／書込みデバイス６１は両方とも電子デバイス１１に接続される。また、データデバイス６１は、例えば、データ記憶媒体４がスマートカードの場合にはスマートカードリーダー、又はデータ記憶媒体４がＳＩＭカードの場合には携帯電話とし得る。

具体的には、画像取得及び処理デバイス１２は、認証すべきユーザの第２のバイオメトリック画像（顔テンプレート）を検出するバイオメトリック型のセンサー１３、例えばテレビカメラを備える。画像取得及び処理デバイス１２はまた、センサー１３と電子デバイス１１の間に接続され、センサー１３で検出したユーザバイオメトリック画像からライブテンプレートを生成する画像プロセッサ１４を備える。後で詳細に説明するように、電子デバイス１１はまた、データ記憶媒体４により実行される基準バイオメトリックテンプレートとライブテンプレートとの比較操作の結果を読取り解釈することができる処理ロジック（図１では図示せず）を備えることもできる。

以下の説明では、バイオメトリックデータを暗号化及び解読するために、非対称型の暗号アルゴリズム、例えばＲＳＡアルゴリズムを使用するのが好ましいことに留意されたい。特に、これらのアルゴリズムは、データの暗号化と解読のステップにおいて２つの異なる鍵を用いること、及び例えばＲ．Ｈｏｕｓｌｅｙ、Ｉｎｔｅｒｎｅｔ Ｘ．５０９ Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ Ｃｅｒｔｉｆｉｃａｔｅ ａｎｄ ＣＲＬ Ｐｒｏｆｉｌｅ、ＲＦＣ２４５９、１９９９に記載の規格Ｘ．５０９に基づいたＰＫＩ（公開鍵インフラストラクチャー）の存在に基づいている。

以下、図２〜３に示されたフロー図に関して、本発明によるユーザ認証方法を説明する。

好ましい態様では、本発明による方法は、データ登録システム２により実行される登録ステップ２０（図２に示す）と、データ検証システム３及びデータ記憶媒体４により実行される検証ステップ４０（図３に示す）とを含む。

図２において、登録ステップ２０では最初に、データ登録システム２とデータ検証システム３とデータ記憶媒体４との初期化ステップ２１が与えられる。

具体的には、初期化ステップ２１では、
- データ登録システム２に関連付けられた１対の公開鍵ＫＥ_ｐｕｂ及び秘密鍵ＫＥ_ｐｒと、安全な認証機関により発行され秘密鍵で署名され公開鍵を含む関連のデジタル証明書Ｃ_Ｅと、場合によっては同じ認証機関のデジタル証明書Ｃ_ＡＣとをホストコンピュータ７のメモリ７ａに記憶し、
- 認証するユーザに関連付けられた１対の公開鍵ＫＵ_ｐｕｂ及び秘密鍵ＫＵ_ｐｒと、安全な認証機関の秘密鍵で署名され公開鍵ＫＵ_ｐｕｂを含む関連のデジタル証明書Ｃ_ｕと、場合によっては同じ認証機関のデジタル証明書Ｃ_ＡＣとをデータ記憶媒体４のメモリ６に記憶する。別法として、データ記憶媒体４の初期化で、データ記憶媒体４自体の上に前記１対の公開鍵及び秘密鍵ＫＵ_ｐｕｂ、ＫＵ_ｐｒを生成し（オンカード）、公開鍵ＫＵ_ｐｕｂの証明リクエストを安全な認証機関に送信することもできる。初期化プロセスはユーザデジタル証明書Ｃ_ｕをデータ記憶媒体４にインストールし、関連の証明書をデータ登録システム２及びデータ検証システム３に送ることによって終了する。これらすべての操作はマイクロプロセッサ５内で実行できる。そして、
- データ検証システム３に関連付けられた１対の公開鍵ＫＶ_ｐｕｂ及び秘密鍵ＫＶ_ｐｒを含むファイルと、安全な認証機関により発行され秘密鍵で署名され公開鍵ＫＶ_ｐｕｂを含む関連のデジタル証明書Ｃ_Ｖと、場合によっては同じ認証機関のデジタル証明書Ｃ_ＡＣとを電子デバイス１１のメモリ１１ａに記憶する。

登録ステップ２０は次に進み、認証するユーザの第１のバイオメトリック画像をセンサー９により検出する（ブロック２２）。その後、第１のバイオメトリック画像を画像プロセッサ１０に転送し、基準バイオメトリックテンプレートを生成する（ブロック２３）。

それから、基準バイオメトリックテンプレートをホストコンピュータ７のメモリ７ａに記憶する（ブロック２４）。その後、ホストコンピュータ７は後に詳細に説明する分割アルゴリズムを用いて基準バイオメトリックテンプレートを第１と第２の基準バイオメトリックテンプレート部分に分解し（ブロック２５）、それから基準バイオメトリックテンプレートの元のコピーを破壊する（ブロック２６）。

このとき、ホストコンピュータ７はデータ登録システム２の秘密鍵ＫＥ_ｐｒで第１と第２の基準バイオメトリックテンプレート部分に署名し（ブロック２７）、それから認証するユーザの公開鍵ＫＵ_ｐｕｂでこれら２つの部分を暗号化する（ブロック２８）。

その後、ホストコンピュータ７は第１の基準バイオメトリックテンプレート部分をデータ記憶媒体４に転送する（ブロック２９）。ここで、第１の基準バイオメトリックテンプレート部分はメモリ６における保護された領域６ａ（図１中に図示）に記憶される（ブロック３０）。例えば、メモリ領域６ａはＰＩＮにより保護し得る。

本発明の別の態様では、ホストコンピュータ７は第１の基準バイオメトリックテンプレート部分を読取り／書込みデバイス６１に含まれるメモリ、例えば携帯電話メモリ又は任意の個人用処理デバイス（ＰＣ、ＰＤＡ、ハンドヘルドデバイスなど）のメモリに転送できる。

データ登録システム２とデータ記憶媒体４との間の通信は、例えば読取り／書込みデバイス６０中に実装された通信プロトコルにより行なうことができる。読取り／書込みデバイス６０はまた、データ転送をチェックするロジック（アプリケーションプログラム）を備える。

第２の基準バイオメトリックテンプレート部分は電子デバイス１１のメモリ１１ａに転送され記憶される（ブロック３１）。

別法として、第２の基準バイオメトリックテンプレート部分をデータベースに転送し記憶することもできる。

データ登録システム２から電子デバイス１１への、又はデータベースへの第２の基準バイオメトリックテンプレート部分の転送は、ＯＯＢ（“Ｏｕｔ Ｏｆ Ｂａｎｄ”）式の方法を用いることにより行なうことができる。特に、これらの方法では、データはネットワーク中を転送されるのではなく、例えば電話チャネルや従来のメールなどの代替の通信チャネルを用いて転送されることが想定される。

好ましいほどではないが、第２の基準バイオメトリックテンプレート部分の転送は、モデム又は通信ネットワーク、例えばＴＣＰ／ＩＰ又はＧＳＭネットワークを介して行なうことができる。

次に図３では、ユーザがデータ記憶媒体４をデータ読取り／書込みデバイス６１に入れることにより、ユーザアーキテクチャー１の認証を要求すると、検証ステップが開始する（ブロック４０ａ）。この条件下で、データ検証システム３は、認証すべきユーザの第２のバイオメトリック画像をセンサー１３により検出する（ブロック４１）。次に、この第２のバイオメトリック画像は、ライブテンプレートを生成する画像プロセッサ１４に転送される（ブロック４２）。その後、ライブテンプレートは電子デバイス１１に送られ、この電子デバイス１１はそれにデータ検証システム３の秘密鍵ＫＶ_ｐｒで署名し、ユーザの公開鍵ＫＵ_ｐｕｂで暗号化する（ブロック４３）。

その時、電子デバイス１１は、読取り／書込みデバイス６１によってライブテンプレートと第２の基準バイオメトリックテンプレート部分の両方をデータ記憶媒体４に転送するが、この後者のものは、その場所に記憶されていたものか、又はデータベースから取り出したものであり、現在のデータ検証セッションの真正性を保証するために一義的なＮｏｎｃｅ（すなわち暗号スキームにおいて１回だけ使用される偶然の値）を含む（ブロック４４）。この一義的なＮｏｎｃｅもまた暗号化され署名される。この操作は例えばいわゆるリプレイ攻撃（攻撃する人が、認可されたユーザであり、後の認証セッションにおいて当該ユーザに関して以前の肯定的な認証セッションをシステムに再提案する場合の攻撃）からの保護を保証する。

データ検証システム３とデータ記憶媒体４との間の通信は、例えば読取り／書込みデバイス６１中に実装された通信プロトコルにより行なうことができる。読取り／書込みデバイス６１はまた、データ転送をチェックするロジック（アプリケーションプログラム）を備える。

その後、データ記憶媒体４は、それ自身の秘密鍵ＫＵ_ｐｒを用いて第２の基準バイオメトリックテンプレート部分を解読し、データ登録システム２の公開鍵ＫＥ_ｐｕｂを用いることによってその署名をチェックする（ブロック４５）。チェックが成功すると、データ記憶媒体４は、以下で説明するメモリ６に記憶された再構成アルゴリズムに基づき、今解読された第２の基準バイオメトリックテンプレート部分と保護されたメモリ領域６ａに記憶された第１の基準バイオメトリックテンプレート部分とを用いて基準バイオメトリックテンプレートを再構成する（ブロック４６）。

その後、データ記憶媒体４は、それ自身の秘密鍵ＫＵ_ｐｒを用いて、データ検証システム３により送信されたライブテンプレートを解読し、データ検証システム３の公開鍵ＫＶ_ｐｕｂを用いてその署名をチェックする（ブロック４７）。

マイクロプロセッサ５の処理ロジック５ａにより実行される上記チェック操作のすべてが肯定的な結果であれば、データ記憶媒体４は基準バイオメトリックテンプレートとライブテンプレートとの比較操作を実行する（ブロック４８）。

好ましくは、この比較操作は、使用するバイオメトリック識別技術に依存した公知の比較関数を用いるアトミック操作として、マイクロプロセッサ５の比較ロジック５ｂにより実行される。例えば、顔テンプレートでは、比較関数として、プリンシパル・コンポーネント・アナリシス（Eigenfaces）又はローカル・フューチャーズ・アナリシス、又はニューラル・ネットワークス若しくは３Ｄ若しくはウエーブレット・ガボール(Gabor)などの技術において与えられるものが使用できる。

その後、データ記憶媒体４は比較操作の結果をデータ検証システム自身が前に受信した一義的なＮｏｎｃｅと共にデータ検証システム３に転送する（ブロック４９）。

比較操作の結果と一義的なＮｏｎｃｅとは、例えばユーザ秘密鍵ＫＵ_ｐｒで署名されデータ検証システム３の公開鍵ＫＶ_ｐｕｂで暗号化されたメッセージとして送信できる。

この時、電子デバイス１１は、データ記憶媒体４により送信されたメッセージをデータ検証システム３の秘密鍵ＫＶ_ｐｒを用いて解読し、その署名をチェックし、比較操作の結果に基づいて要求サービスへのユーザアクセスを許可又は不許可する（ブロック５０）。

第２の基準バイオメトリックテンプレート部分を記憶するのにデータベースが用いられる場合には、電子デバイス１１と遠隔データベース管理システムとの間の通信を安全にする必要もある。このことは、転送データの完全性及びプライバシーに加えて影響される部分の認証を保証するために、例えば、上述した認証、プライバシー及び否認防止の暗号機構を用いることによって達成できる。

また、遠隔データベース管理システムは、アクセス制御リスト式の（ユーザＩＤとパスワード又はデジタル証明書によるユーザ認証による）アクセス制御方法を用いて、データベースに含まれるデータへの安全なアクセスを保証できる。

好ましくは、データ登録システム２により用いられて基準バイオメトリックテンプレートを基準バイオメトリックテンプレートの２つの部分に分割する分割アルゴリズムは、“秘密共有スキーム”式の暗号技術において用いることのできる秘密分割アルゴリズムである。この場合、秘密はＮ個の部分に分割され、秘密の１つの部分から開始し元のものを再構成できる特性を有するＮ個のエンティティに安全に転送される。このタイプのアルゴリズムは例えばＨ．Ｆｅｉｓｔｅｌの“Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｃｏｄｉｎｇ ｆｏｒ Ｄａｔａ-Ｂａｎｋｉｎｇ Ｐｒｉｖａｃｙ”，ＩＢＭ Ｒｅｓｅａｒｃｈ，ＮｅｗＹｏｒｋ，１９７０に記載されている。

より詳細には、分割アルゴリズムは登録ステップを含み、該登録ステップにおいて、テンプレートｔ（基準バイオメトリックテンプレート）を生成したデータ登録システム２が、テンプレートｔと同じ大きさ（長さ）の乱数ｔ_１（第１の基準バイオメトリックテンプレート部分）を発生する。その後、データ登録システム２はＸＯＲ関数をｔとｔ_１に適用して値ｔ_２（第２の基準バイオメトリックテンプレート部分）を生成する。すなわち、
ｔ ＸＯＲ ｔ_１＝ｔ_２
それから、ｔ_１は保護モード（署名と暗号化を行なう）にてデータ記憶媒体４に記憶され、ｔ_２は保護モード（署名と暗号化を行なう）にてデータ検証システム３又は中央データベースに記憶される。

テンプレートｔをｔ_１とｔ_２から再構成するためにデータ記憶媒体４により用いられる、テンプレートｔについての再構成アルゴリズムは、数学的には上述した分割アルゴリズムの逆関数である。特に、データ記憶媒体４は、ｔ_２を取得した後、ｔ_１とｔ_２の間でＸＯＲを実行してテンプレートｔの元の値を再構成する。すなわち、
ｔ_１ ＸＯＲ ｔ_２＝ｔ
説明したすべての操作が正しく実行されるなら、この技術は安全である。というのは１つの部分、ｔ_１又はｔ_２を所有することにより、テンプレートｔを得ることはできないからである。

上述したユーザ認証方法により得ることのできる利点は次の通りである。

まず最初に、このユーザ認証方法は安全である。というのは、データ記憶媒体４又はデータ検証システム３に侵入しようと試みるハッカーは、基準バイオメトリックテンプレートに遡るのに十分な要素を得ることができないからである。この基準バイオメトリックテンプレートは、一部はデータ記憶媒体４に、一部はデータ検証システム３に記憶されているからである。このようにして、ユーザのプライバシーコンプライアンスと、基準バイオメトリックテンプレートの一部のみの場合にも同じバイオメトリック技術を使用する機会の両方が保証される。実際、基準バイオメトリックテンプレートは使用するバイオメトリック技術に依存した１個の情報である。すなわち、同じバイオメトリック技術を同じ人の画像に適用することにより、元のものに非常に類似した基準バイオメトリックテンプレートが得られる。したがって、全部の基準バイオメトリックテンプレートがハッカーの手に落ちたなら、このハッカーはサービスの許可されたユーザになりすますためにそれを使用し、使用されているバイオメトリック技術を害することができる。また、リバース・エンジニアリング・プロセスにより、ハッカーがバイオメトリック技術で用いているモードに遡って基準バイオメトリックテンプレートを生成することができるということはあり得ることである。このようにして、関連のバイオメトリック技術はもはや安全ではない。

また、本発明によるユーザ認証方法はまた、サービスを提供するオペレータがデータ検証システム３を制御するオンラインサービスへのアクセスのために認証が強制される場合にも有利である。実際、サービスを提供するオペレータは、ユーザの検証に対する制御を維持し続けることができる。というのは、本発明によると、データ記憶媒体４とデータ検証システム３の両方は、否認し得ない安全な方法にて検証ステップを実行する際に協力するからである（セッションの否認防止は、セッション自体に参加したことをユーザが否定することの不可能を意味する）。

また、本発明によるユーザ認証方法により得られる全体的なセキュリティは、基準バイオメトリックテンプレート１１の生成ロジックが、データ記憶媒体４上には存在せず、好ましくはデータ検証システム３とは別のシステムであって安全な環境に置かれたデータ登録システム２上に存在することにより更に高められる。データ記憶媒体４上には、基準バイオメトリックテンプレートを再構成し適当な暗号操作も行なう処理ロジック５ａ、及び基準バイオメトリックテンプレートとライブテンプレートとの間の相関を計算する比較ロジック５ｂのみが存在する。

最後に、ここで説明したユーザ認証方法とその関連のアーキテクチャーに対する多くの変更及び改変を特許請求の範囲に記載の発明の概念の範囲で行なうことができることは明らかである。

例えば、指紋、手形、音声テンプレート、網膜像、筆跡サンプルなどのような顔認識とは異なるバイオメトリック技術を使用できる。

更に、データ登録システム２により用いられる分割アルゴリズムは、その部分ｔ_１，ｔ_２，…，ｔ_ｎのうち任意数ｉ個（ここでｉ＜ｎ）からｔを得ることは不可能である特性により、テンプレートｔをｎ個の部分に分割することができる（ここでｎ＞＝２、（例えばｔ_１，ｔ_２，…，ｔ_ｎ）である）。換言すれば、一緒に組み合わされたすべての部分ｔ_１，ｔ_２，…，ｔ_ｎのみで、元のテンプレートｔを再構成することができる。単一部分の大きさは変わり得る。すなわち、選択した分割アルゴリズムに依存して、それらはテンプレートｔの大きさとは等しくない場合もある。

また、本発明によるユーザ認証方法は例えば下記のような異なるシナリオに適用できる：
- スタンドアロンのシナリオ。このシナリオでは、データ記憶媒体４を備えたユーザによって本発明によるユーザ認証方法が使用されてデータ検証システム３へのアクセス（例えばパーソナルコンピュータ、パームトップ、携帯電話-ＳＩＭへのログイン）を保護する。
- クライアント-サーバーのシナリオ。この場合、クライアントシナリオは、好ましくはＳＩＭカードとして実現されるデータ記憶媒体４とデータ検証システム３のクライアント部分とを含み、一方、サーバーシナリオはデータ検証システム３のサーバー部分を含む。特に、データ検証システム３のサーバー部分は中央サーバー（例えば要求サービスを提供するサーバー）に一致する場合もあり一致しない場合もある。この場合、データ検証システム３のクライアント部分は、認証プロセスにおいて多かれ少なかれ能動的な役割を果たすことができる。例えば、データ検証システム３のクライアント部分は、認証すべきユーザのバイオメトリック画像を検出して、ライブテンプレートの生成を代わりに任せられた中央サーバーにそれを転送する機能を実行できる。それから、中央サーバーはライブテンプレートをデータ検証システム３のクライアント部分に転送する。

別法として、データ検証システム３のクライアント部分はまたライブテンプレートを生成することもできる。

考慮している両方のシナリオにおいて、基準バイオメトリックテンプレートとライブテンプレートとの比較操作がデータ記憶媒体４上で実行され、再構成された基準バイオメトリックテンプレートはデータ記憶媒体４から決して出ない。次にこの操作の結果は安全な方法で（例えば暗号化され署名されて）中央サーバーに転送され、許可か不許可かを決定する。

クライアント-サーバー認証シナリオでは、中央サーバーが認証プロセスにおいて能動的な役割を演じるならば、基準バイオメトリックテンプレートを例えば次の３つの部分に分割できる。すなわち、図４に示されるように、データ記憶媒体４に記憶されたｔ_１と、データ検証システム３のサーバー部分３ａに含まれる中央サーバー１５に記憶されたｔ_２と、データ検証システム３のクライアント部分３ｂに記憶されたｔ_３とである。別法として、基準バイオメトリックテンプレートの部分ｔ_３もまたサーバー部分３ａに記憶できる。テンプレートの再構成及びテンプレートの検証のために、すべてのシステム間の相互作用が必要とされる。

アプリケーションの固有の要求により、上述した構成はまた任意数のシステムに拡張することもでき、その各々は分割された基準バイオメトリックテンプレートの夫々の部分を記憶する。この場合、上述した分割アルゴリズムの拡張バージョンを使用することができる（例えば書籍“Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ”，Ｓｅｃｏｎｄ Ｅｄｉｔｉｏｎ，Ｃｈａｐｔｅｒ ３，７０-７１頁、著者Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ，Ｊｏｈｎ Ｗｉｌｅｙ ａｎｄ Ｓｏｎｓ Ｉｎｃにより刊行を参照のこと）。

具体的には、ｎ個のシステムが含まれる場合には（ｎ＞＝２）、登録ステップにて、元のテンプレートｔと同じ長さを有するｎ-１個のランダムな文字列が生成される。次に、これらのｎ-１個のランダムな文字列は、テンプレートｔとＸＯＲを取り、共有テンプレートのｎ番目のランダム文字列を得る。次にこれらのランダム文字列の各々は夫々のシステムに分配され、その後に元のテンプレートｔは破壊される。検証ステップでは、元のテンプレートｔを再構成するために、これらすべてのランダム文字列が存在しなければならない。

ｎ個のシステム（その各々は元のテンプレートｔの夫々の部分を記憶する）を含む別のシナリオでは、ｍ個のシステム（ｎ＞ｍ＞＝２）のみがテンプレートの再構成及び検証に関わるテンプレート共有スキームを必要とし得る。このタイプの共有スキームは、例えばＳｈａｍｉｒ， “Ｈｏｗ ｔｏ ｓｈａｒｅ ａ ｓｅｃｒｅｔ”，Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，２２（１９７９），ｐｐ．６１２-６１３に記載されている。

より具体的には、（ｍ，ｎ）しきいスキームと称されるこの共有スキームでは、テンプレートｔはｎ個の部分に分割され、そのうちのｍ個だけが元のテンプレートｔを再構成するのに必要とされる。例えば、図５に示されるように、（３，４）しきいスキームにより、データ登録システム２はテンプレートｔをデータ記憶媒体４（ｔ_１）と、例えば中央サーバー１５（ｔ_２）及びバックアップサーバー１６（ｔ_４）を含んだデータ検証システム３のサーバー部分３ａと、データ検証システム３のクライアント部分３ｂ（ｔ_３）とに分割し、それにより、これらのシステムのうち３つだけが、元のテンプレートｔを再構成するのに必要とされる。このようにして、中央サーバー１５が一時的に利用できない場合に（又は攻撃により障害が生じた場合に）、バックアップサーバー１６がテンプレート再構成においてそれに取って代ることができる。

テンプレートの再構成に関与するシステム間で交換される情報の保護についての同じセキュリティの考察が、上述した構成にも有効である。すなわち、転送前に適当な秘密鍵と公開鍵を用いてすべてのテンプレート部分がデジタル的に署名され暗号化される。

更に、上述したシナリオの各々では、システム間でのすべての通信チャネルは、上記説明したものと同様の公開鍵暗号化方法によって保護される。よって、システムにより交換されるすべてのリクエスト／レスポンスメッセージは、適当な秘密鍵と公開鍵を用いて署名され暗号化される。これらのメッセージはまた、リプライ攻撃に対する保護のためにｎｏｎｃｅを含むこともできる。

プライバシーを高めるために、基準バイオメトリックテンプレートとライブテンプレートとの間の比較操作はデータ記憶媒体４上で実行されるが、具体的なアプリケーションの要求に依存して、例えばデータ検証システム３（クライアント部分又はサーバー部分）によりデータ記憶媒体４の外側で実行することもできる。

また、出願人は上述した分散方式にてバイオメトリック基準テンプレートを分割して安全に記憶することにより、テンプレートに向けられた攻撃に対する耐性が高められ、よってユーザのプライバシーが保証されることを強調する。

従来のセキュリティ機構（場合によっては非対称暗号化の使用に基づく）もまた、秘密共有スキームに関与する当事者の真正性と使用される通信チャネルの機密性とを保証するのに用いることができる。

１…ユーザ認証アーキテクチャー
２…データ登録システム
３…データ検証システム
４…データ記憶媒体

Claims (16)

1. バイオメトリックテンプレート登録ステップとバイオメトリック識別技術の使用に基づいたユーザ認証ステップとを含む方法であって、前記バイオメトリックテンプレート登録ステップは、
   - 第１のシステム（２）で、認証するユーザの第１のバイオメトリック画像から基準バイオメトリックテンプレートを生成するステップと、
   - 前記第１のシステム（２）で、秘密共有スキームに基づいた分割アルゴリズムによって、前記基準バイオメトリックテンプレートを第１の基準バイオメトリックテンプレート部分と少なくとも２つの第２の基準バイオメトリックテンプレート部分とに分解するステップであって、前記第１の基準バイオメトリック部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの少なくとも１つとから前記基準バイオメトリックテンプレートを再構成可能なように分割するステップと、
   - 前記第１のシステム（２）で、前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とを暗号化するステップと、
   - 前記第１のシステム（２）で、暗号化された前記第１の基準バイオメトリックテンプレート部分を、前記第１のシステム（２）とは別の、前記ユーザ認証ステップにおいて動作することが可能なデバイス（４）に送るステップ（２９）と、
   - 前記デバイス（４）で、暗号化された前記第１の基準バイオメトリックテンプレート部分をメモリ（６）に記憶するステップ（３０）と、
   - 前記第１のシステム（２）で、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分を、前記第１のシステム（２）とは別の、前記ユーザ認証ステップにおいて動作する第２のシステム（３）に送るステップ（３１）と、
   - 前記第２のシステム（３）で、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分をメモリに記憶するステップ（３１）であって、前記第２のシステムは、第１のサーバと、前記第１のサーバが利用できない場合に利用される少なくとも１つの第２のサーバとを含み、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つは前記第１のサーバのメモリに記憶され、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの残りは前記少なくとも１つの第２のサーバのメモリに記憶される、ステップと
   を含み、前記ユーザ認証ステップは、
   - 前記第２のシステム（３）で、認証する前記ユーザの第２のバイオメトリック画像からライブテンプレートを生成するステップ（４１、４２）と、
   - 前記第２のシステム（３）で、前記ライブテンプレートを暗号化するステップ（４３）と、
   - 前記第２のシステム（３）で、暗号化された前記ライブテンプレートと、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つであって、前記第１のサーバ及び前記少なくとも１つの第２のサーバのうちの利用可能なサーバからのものとを前記デバイス（４）に送るステップ（４４）と、
   - 前記デバイス（４）で、暗号化された前記ライブテンプレートと、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つとを解読するステップと、
   - 前記デバイス（４）で、解読された前記第１の基準バイオメトリックテンプレート部分と解読された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つから前記基準バイオメトリックテンプレートを再構成するステップと、
   - 前記デバイス（４）で、再構成された前記基準バイオメトリックテンプレートを前記ライブテンプレートとユーザ認証のために比較するステップと
   を含むことを特徴とする方法。
2. 前記ユーザ認証ステップは、
   - 前記比較の結果を前記デバイス（４）から前記第２のシステム（３）に送信するステップ（４９）と、
   - 前記第２のシステム（３）で、前記結果に基づいて前記ユーザを認証するか又は認証しないステップ（５０）と
   を含む、請求項１に記載の方法。
3. 前記基準バイオメトリックテンプレートは前記第１のシステム（２）で生成され、前記基準バイオメトリックテンプレートを第１の基準バイオメトリックテンプレート部分と少なくとも２つの第２の基準バイオメトリックテンプレート部分とに分解する前記ステップは、
   - 前記第１のシステム（２）から、生成された前記基準バイオメトリックテンプレートを削除するステップ
   を含む、請求項１に記載の方法。
4. 前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とを暗号化する前記ステップは、
   - 前記第１のシステム（２）にそれぞれ関連付けられた公開鍵（ＫＥ_ｐｕｂ）と秘密鍵（ＫＥ_ｐｒ）である第１と第２の鍵（ＫＥ_ｐｕｂ、ＫＥ_ｐｒ）及び関連のデジタル証明書（Ｃ_Ｅ）を前記第１のシステム（２）のメモリ（７ａ）に記憶するステップ（２１）と、
   - 認証する前記ユーザにそれぞれ関連付けられた公開鍵（ＫＵ_ｐｕｂ）と秘密鍵（ＫＵ_ｐｒ）である第１と第２の鍵（ＫＵ_ｐｕｂ、ＫＵ_ｐｒ）及び関連のデジタル証明書（Ｃ_ｕ）を前記デバイス（４）の前記メモリ（６）に記憶するステップ（２１）と、
   - 前記第１のシステム（２）の前記秘密鍵（ＫＥ_ｐｒ）で前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とに署名するステップ（２７）と、
   - 認証する前記ユーザの前記公開鍵（ＫＵ_ｐｕｂ）で前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とを暗号化するステップ（２８）と
   を含む、請求項１〜３の何れか一項に記載の方法。
5. 暗号化された前記ライブテンプレートと、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つであって、前記第１のサーバ及び前記少なくとも１つの第２のサーバのうちの利用可能なサーバからのものとを前記デバイス（４）に送る前記ステップは、
   - 現在のユーザ認証ステップに関連付けられ、前記現在のユーザ認証ステップの真正性を保証する偶然の値を生成するステップと、
   - 前記偶然の値に署名し暗号化するステップと、
   - 前記偶然の値を前記デバイス（４）に送るステップと
   を含む、請求項１に記載の方法。
6. 前記ライブテンプレートを暗号化する前記ステップは、
   - 前記第２のシステム（３）にそれぞれ関連付けられた公開鍵（ＫＶ_ｐｕｂ）と秘密鍵（ＫＶ_ｐｒ）である第１と第２の鍵（ＫＶ_ｐｕｂ、ＫＶ_ｐｒ）及び関連のデジタル証明書（Ｃ_Ｖ）を前記第２のシステム（３）の前記メモリに記憶するステップと、
   - 前記第２のシステム（３）の前記秘密鍵（ＫＶ_ｐｒ）で前記ライブテンプレートに署名するステップ（４３）と、
   - 認証する前記ユーザの前記公開鍵（ＫＵ_ｐｕｂ）で前記ライブテンプレートを暗号化するステップ（４３）と
   を含む、請求項５に記載の方法。
7. 前記ユーザ認証ステップは、
   - 前記偶然の値の署名と有効性とを解読するステップと、
   - 認証する前記ユーザの前記秘密鍵（ＫＵ_ｐｒ）で、暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つを解読するステップ（４５）と、
   - その署名を検証するステップ（４５）と、
   - 認証する前記ユーザの前記秘密鍵（ＫＵ_ｐｒ）で、暗号化された前記ライブテンプレートを解読するステップ（４７）と、
   - その署名を検証するステップ（４７）と
   を更に含む、請求項５又は６に記載の方法。
8. 前記比較の結果を前記第２のシステム（３）に送信する前記ステップは、
   - 前記結果を含んだメッセージを生成するステップと、
   - 前記メッセージを暗号化するステップと
   を含む、請求項２に記載の方法。
9. 前記バイオメトリック識別技術は、顔認識、指紋、手形、音声テンプレート、網膜像、筆跡サンプルから選択された種類の少なくとも１つのバイオメトリック識別技術を含む、請求項１〜８の何れか一項に記載の方法。
10. 前記デバイス（４）はデータ記憶媒体である、請求項１に記載の方法。
11. バイオメトリック識別技術の使用に基づいたユーザ認証のためのシステムであって、該システムは、
    - 認証するユーザの第１のバイオメトリック画像から基準バイオメトリックテンプレートを生成するためのロジックを備えた第１のシステム（２）であって、
    - 秘密共有スキームに基づいた分割アルゴリズムによって、前記基準バイオメトリックテンプレートを第１の基準バイオメトリックテンプレート部分と少なくとも２つの第２の基準バイオメトリックテンプレート部分とに、前記第１の基準バイオメトリック部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの少なくとも１つとから前記基準バイオメトリックテンプレートを再構成可能なように分解し、
    - 前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とを暗号化し署名し、
    - 暗号化され署名された前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分とを、少なくとも１つの携帯式データ記憶媒体（４）と、少なくとも１つの第２のシステム（３）とにそれぞれ送る
    ように構成されたホストコンピュータを含み、少なくとも１つの前記携帯式データ記憶媒体（４）及び少なくとも１つの前記第２のシステム（３）が、少なくとも前記第１のシステム（１）とは別のものであるように構成された前記第１のシステムを備え、
    少なくとも１つの前記携帯式データ記憶媒体（４）が、認証する前記ユーザに関連付けられ、暗号化され署名された前記第１の基準バイオメトリックテンプレート部分を記憶するためのメモリ（６ａ）を備え、
    少なくとも１つの前記第２のシステム（３）が、
    - 暗号化され署名された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分を記憶するための第１のサーバと及び前記第１のサーバが利用できない場合に利用される少なくとも１つの第２のサーバであって、暗号化され署名された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つは前記第１のサーバのメモリに記憶され、暗号化され署名された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの残りは前記少なくとも１つの第２のサーバのメモリに記憶されるように構成された第１のサーバ及び少なくとも１つの第２のサーバと、
    - 認証される前記ユーザの第２のバイオメトリック画像によりライブテンプレートを生成するための画像取得及び処理デバイス（１２）と
    を備え、
    少なくとも１つの前記第２のシステム（３）が、前記ライブテンプレートを暗号化し署名し、暗号化され署名された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つであって、前記第１のサーバ及び前記少なくとも１つの第２のサーバのうちの利用可能なサーバからのもの、及び、暗号化され署名された前記ライブテンプレートを少なくとも１つの前記携帯式データ記憶媒体（４）に送るように適合し、
    少なくとも１つの前記携帯式データ記憶媒体（４）が、
    - 暗号化された前記第１の基準バイオメトリックテンプレート部分と暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つ及び暗号化された前記ライブテンプレートを解読し、解読された前記第１の基準バイオメトリックテンプレート部分と解読された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つ及び解読された前記ライブテンプレートの署名を検証し、解読され検証された前記第１の基準バイオメトリックテンプレート部分と前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの前記１つから前記基準バイオメトリックテンプレートを再構成するための処理ロジック（５ａ）と、
    - 再構成された前記基準バイオメトリックテンプレートを、検証された前記ライブテンプレートと比較する比較ロジック（５ｂ）と
    を含むマイクロプロセッサ（５）を更に備えたことを特徴とするユーザ認証のためのシステム。
12. 少なくとも１つの前記携帯式データ記憶媒体（４）の前記マイクロプロセッサの前記比較ロジック（５ｂ）が、再構成された前記基準バイオメトリックテンプレートの検証された前記ライブテンプレートとの比較の結果を前記第２のシステム（３）に送信するように構成されたことを特徴とする請求項１１に記載のシステム。
13. 少なくとも１つの前記携帯式データ記憶媒体は、その大きさが実質的に長方形の基板を含む、請求項１１又は１２に記載のシステム。
14. 少なくとも１つの前記携帯式データ記憶媒体はアクセスカード又はクレジットカード又はデビットカード又は身分証明書又はスマートカード又はＳＩＭカードである、請求項１１〜１３の何れか一項に記載のシステム。
15. 前記第２のシステム（３）は、電子デバイス（１１）と認証すべき前記ユーザに関連付けられた前記携帯式データ記憶媒体（４）とを備え、前記携帯式データ記憶媒体は認証する前記ユーザに関連付けられた前記第１の基準バイオメトリックテンプレート部分を記憶するよう適合しており、前記第１の基準バイオメトリックテンプレート部分は署名され暗号化され、
    前記電子デバイス（１１）は、
    - 認証する前記ユーザに関連付けられ、前記第１の基準バイオメトリックテンプレート部分に相補的で署名され暗号化された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分を記憶するよう適合した前記メモリと、
    - 前記ライブテンプレートを生成するための前記画像取得及び処理デバイス（１２）と
    を備え、前記電子デバイス（１１）は、前記ライブテンプレートを署名し暗号化し、暗号化され署名された前記少なくとも２つの第２の基準バイオメトリックテンプレート部分のうちの１つと暗号化され署名された前記ライブテンプレートとを前記携帯式データ記憶媒体に送り、前記携帯式データ記憶媒体により実行される前記ライブテンプレートと認証する前記ユーザの前記基準バイオメトリックテンプレートとの間の比較の結果に基づいて前記ユーザを認証するよう適合し、前記基準バイオメトリックテンプレートは前記第１の基準バイオメトリックテンプレート部分と前記第２の基準バイオメトリックテンプレート部分のうちの１つとを用いることにより再構築されることを特徴とする請求項１１に記載のシステム。
16. 少なくとも１つの電子プロセッサのメモリにロードできる電子プロセッサ用プログラムであって、前記プログラムが前記電子プロセッサにより実行されるとき、請求項１〜１０の何れか一項に記載の方法のステップを実行するためのプログラムコードを含む前記電子プロセッサ用プログラム。

Images