EP1208540A1

EP1208540A1 - Verfahren, vorrichtung und system zur biometrischen authentisierung

Info

Publication number: EP1208540A1
Application number: EP00956278A
Authority: EP
Inventors: Albert MÖDL; Elmar Stephan; Robert Müller
Original assignee: Giesecke and Devrient GmbH
Current assignee: Giesecke and Devrient GmbH
Priority date: 1999-07-30
Filing date: 2000-07-25
Publication date: 2002-05-29
Also published as: AU6828300A; DE19936094C1; WO2001009847A1

Abstract

Es wird ein Verfahren, eine Vorrichtung und ein System zur biometrischen Authentisierung vorgeschlagen, das gegen Replay-Angriffe gesichert ist. Bei der biometrischen Authentisierung wird ein von einer Person präsentiertes biometrisches Merkmal, beispielsweise ein Fingerabdruck oder die persönliche Unterschrift, präsentiert und mit zuvor abgespeicherten Referenzdaten verglichen. Um zu verhindern, dass die biometrischen Daten abgefangen und nochmals für eine unberechtigte Authentisierung verwendet werden, sieht die Erfindung vor, dass eine Authentisierung bei 100 %iger Übereinstimmung oder auch nur bei 99 %iger Übereinstimmung der Daten des präsentierten biometrischen Merkmals mit den gespeicherten Referenzdaten verweigert wird. Denn biometrische Merkmale haben in aller Regel die Eigenschaft, dass sie nicht 100 %ig reproduzierbar erfasst werden können, so dass in solchen Fällen von einem Replay-Angriff ausgegangen werden kann. In einer Ausgestaltung der Erfindung werden die präsentierten biometrischen Merkmale gesammelt und gespeichert und in nachfolgenden Authentisierungsverfahren bei der Prüfung auf Replay-Angriffe berücksichtigt.

Description

Verfahren, Vorrichtung und System zur biometrischen Authentisierung

Die Erfindung betrifft ein Verfahren, sowie eine Vorrichtung und ein System zur biometrischen Authentisierung, insbesondere zur Sicherung der biome- irischen Authentisierung gegen Replay- Angriffe.

Ein Authentisierungsverfahren findet Anwendung, wenn eine Person Zugang zu gesicherten Einrichtungen begehrt. Beispielsweise erfolgt eine Authentisierung regelmäßig mittels eines PIN- Vergleichs, wenn ein Kartenbe- nutzer eine Chipkarte - beispielsweise eine Kreditkarte - in einen Bankautomaten (Terminal) einführt oder wenn eine Person zu zugangsgesicherten Räumlichkeiten Eintritt begehrt. Dazu wird eine gespeicherte PIN mit der vom Kartenbenutzer bzw. von der Eintritt begehrenden Person angegebenen PIN auf Identität überprüft.

Im Falle eines biometrischen Authentisierungsverfahrens wird anstatt einer PIN ein biometrisches Merkmal der Person als Identifikationsmerkmal benutzt. Das biometrische Merkmal kann beispielsweise ein Fingerabdruck sein, soll im Sinne der vorliegenden Erfindung aber auch eine persönliche Unterschrift umfassen. Nachteilhaft bei solchen Authentisierungsverfahren ist, daß ein Angriff auf die Authentisierung möglich ist, wenn die biometrischen Daten, die als Referenzdaten abgespeichert wurden oder die zu einer Authentisierung geführt haben, von nicht autorisierten Dritten abgefangen werden, um sie später erneut für eine unberechtigte Authentisierung zu verwenden. Diese Art des Angriffs wird als Replay- Angriff bezeichnet.

Aufgabe der vorliegenden Erfindung ist es daher, biometrische Authentisierungsverfahren gegen Replay- Angriffe zu sichern. Diese Aufgabe wird erfindungsgemäß durch die Merkmale der nebengeordneten Ansprüche gelöst. In Unteransprüchen sind vorteilhafte Ausgestaltungen der Erfindung angegeben.

Die Erfindung macht sich zunutze, daß den biometrischen Merkmalen in aller Regel gemeinsam ist, daß sie im Gegensatz zur PIN nicht 100% ig reproduzierbar sind, weswegen eine Autorisierung auch bereits schon dann erfolgt, wenn die Übereinstimmung des von der Person präsentierten biometrischen Merkmals mit den gespeicherten Referenzdaten einen vorgegebenen Schwellwert überschreitet. Erfindungsgemäß ist nun vorgesehen, daß die Übereinstimmung nicht über einem (zweiten) vorgegebenen Schwellwert liegen darf, insbesondere nicht 100% und vorzugsweise nicht mehr als 99% betragen darf. Im Falle einer derart großen Übereinstimmung kann nämlich von einem Replay- Angriff ausgegangen werden, und gemäß der Erfindung wird die Authentisierung demzufolge verweigert. Dazu ist eine Vergleich- schaltung vorgesehen, die eine Meldung erzeugt und beispielsweise eine Fehlermeldung ausgegeben, wenn ein Vergleich der Referenzdaten mit den neu erfaßten biometrischen Daten einer Person eine über diesem (zweiten) Schwellwert liegende Übereinstimmung ergibt. Wird die Fehlermeldung ausgegeben, kann es auch vorgesehen sein, den weiteren Betrieb automatisch zu sperren.

Als Beispiel sei der Vergleich zweier Unterschriften von ein und derselben Person genannt. Diese Unterschriften mögen visuell betrachtet deckungs- gleich sein, sie können aber bei einer Auflösung von beispielsweise 500 dpi niemals pixelweise zur Deckung gebracht werden. Bei Berücksichtigung der dynamischen Anteile in der Unterschrift gibt es noch weitere Freiheitsgrade und natürliche Abweichungen. Der für die Erfindung relevante (zweite) Seh well wert von 99% oder 100% wird entweder in einem Terminal oder auf einem separaten Datenträger, insbesondere einer Chipkarte, zusammen mit den Referenzdaten gespeichert.

In einer bevorzugten Ausgestaltung der Erfindung ist vorgesehen, daß die erfaßten biometrischen Daten, die zu einer Authentisierung geführt haben und gegebenenfalls auch diejenigen erfaßten biometrischen Daten, die nicht zur Authentisierung führten, weil sie unterhalb des ersten Schwellwerts la- gen, gesammelt und als Datensätze gespeichert λverden. Vorzugsweise werden diese Datensätze in einem Stapelspeicher oder Schieberegister gespeichert. Bei jedem Authentisierungsvorgang wird dann geprüft, ob die biometrischen Daten des präsentierten biometrischen Merkmals mit einem der gespeicherten Datensätze identisch sind oder gegebenenfalls zu mehr als 99% übereiristimmen. Dann kann von einem Replay- Angriff ausgegangen werden, und die Authentisierung wird von dem Authentisierungssystem verweigert.

In einer weiteren vorteilhaften Ausgestaltung der Erfindung werden anstatt der oder zusätzlich zu den zuletzt von der Chipkarte empfangenen biometrischen Vergleichsdatensätze Hashwerte derselben abgespeichert. Hierzu wird eine Hash-Funktion auf den Vergleichsdatensatz angewandt, welche einen relativ kurzen Hashwert erzeugt. Hash-Funktionen sind an sich bekannt, wobei eine Hash-Funktion eine eindeutige, komprimierende Abbildung auf ein Wort fester Länge ist. Die Hash-Funktion wird in mehreren Runden auf einer blockweisen Partition der Ausgangsdaten abgearbeitet. Das Ergebnis hängt dabei von der gesamten Eingabe ab. Eine Berechnung der Ausgangsdaten aus dem Hashwert ist nicht möglich. Es ist komplexitätstheoretisch schwierig, die Eingabedaten gezielt so zu ändern, daß der Hashwert derselbe bleibt.

Werden ein weiteres Mal Merkmale präsentiert und daraus berechnete Bio- metriedaten in die Karte eingebracht, so wird der Hashwert erneut berechnet. Die Wahrscheinlichkeit, daß zwei biometrische Datensätze denselben Hashwert erzeugen, ist gering, so daß bei Übereinstimmung von einem Replay- Angriff ausgegangen werden muß. Durch die Verwendung der Has- hwerte sind bei der Umsetzung der Erfindung erhebliche Einspa-rungen an Speicherplatz und Verarbeitungszeit möglich. Die Speicherung mehrerer Hashwerte fester Länge in einer Art Schieberegister ist hier einfach, da ein Hashwert üblicherweise nur wenige Bytes Speicherplatz benötigt.

Claims

D -P a t e n t a n s p r ü c h e

1. Verfahren zur Sicherung einer biometrischen Authentisierung gegen Replay- Angriffe, wobei ein Vergleich zwischen als Referenzdaten gespeicherten biometrischen Daten einer Person und erneut erfaßten biometrischen Daten der Person auf Übereinstimmung durchgeführt wird und anhand des Vergleichs eine Authentisierung erfolgt, dadurch gekennzeichnet, daß die Authentisierung verweigert wird, wenn durch den Vergleich eine Überein- stimmung der erneut erfaßten biometrischen Daten mit den gespeicherten Referenzdaten festgestellt wird, die gleich oder größer einem vorgegebenen Schwellwert ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Schwellwert bei 00%iger Übereinstimmung festgelegt wird.

3. Verfahren nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß die bei verschiedenen Au thentisierungs vor gangen erfaßten biometrischen Daten als Datensätze gesammelt und gespeichert werden und die Authentisierung verweigert wird, wenn die erneut erfaßten biometrischen Daten eines aktuellen Authentisierungsvorgangs im Vergleich zu einem der gespeicherten Datensätze eine über dem vorgegebenen Schwellwert liegende Übereinstimmung aufweisen.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß der Schwellwert bei mindestens 99%iger Datenübereinstimmung festgelegt wird.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Referenzdaten und gegebenenfalls die Datensätze auf einem Datenträger, insbesondere einer Chipkarte, gespeichert werden.

6. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Referenzdaten und gegebenenfalls die Datensätze in einer Authenti- sierungsvorrichtung, insbesondere einem Chipkartenterminal, gespeichert werden.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß aus den erneut erfaßten biometrischen Daten ein Hashwert gebildet wird und daß die gespeicherten Referenzdaten ein Hashwert sind.

8. Vorrichtung zur biometrischen Authentisierung, umfassend einen ersten Speicherbereich mit biometrischen Daten als Referenzdaten und eine Vergleichsschaltung, die eine Meldung erzeugt, wenn ein Vergleich der Referenzdaten mit neu erfaßten biometrischen Daten einer Person eine Übereinstimmung ergibt, die gleich oder größer einem gegebenen Schwellwert ist.

9. Vorrichtung nach Anspruch 8, dadurch gekennzeichnet, daß die Vorrichtung ein Datenträger, insbesondere eine Chipkarte, ist.

10. Vorrichtung nach Anspruch 8 oder 9, dadurch gekennzeichnet, daß der Schwell wert auf 100% eingestellt ist.

11. Vorrichtung nach einem der Ansprüche 8 bis 10, gekennzeichnet durch weitere Speicherbereiche, in denen mehrere Datensätze von erneut erfaßten biometrischen Daten gespeichert sind.

12. Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, daß die weiteren Speicherbereiche einen Stapelspeicher bilden.

13. Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, daß die weite- ren Speicherbereiche ein Schieberegister bilden.

14. Vorrichtung nach einem der Ansprüche 8 bis 13, dadurch gekennzeichnet, daß der Schwell wert auf einen Wert > 99% eingestellt ist.

15. Vorrichtung nach einem der Ansprüche 8 bis 14, dadurch gekennzeichnet, daß sich die Vorrichtung bei Vorliegen der Meldung automatisch sperrt.

16. Vorrichtung nach einem der Ansprüche 8 bis 15, dadurch gekennzeichnet, daß die Vorrichtung bei Vorliegen der Meldung eine Fehlermeldung ausgibt.

17. Vorrichtung nach einem der Ansprüche 8 bis 16, dadurch gekennzeichnet, daß im ersten Speicherbereich als Referenzdaten ein aus biometrischen Daten abgeleiteter Hashwert gespeichert ist und daß die Vergleichs- Schaltung aus den neu erfaßten biometrischen Daten einen Hashwert für den Vergleich mit den gespeicherten Referenzdaten bildet.

18. System zur biometrischen Authentisierung, umfassend eine Vorrichtung nach einem der Ansprüche 8 bis 17 und einer Einrichtung zum Erfassen biometrischer Daten einer Person.