JP2002183095A

JP2002183095A - 個人認証方法

Info

Publication number: JP2002183095A
Application number: JP2000381683A
Authority: JP
Inventors: Isao Furukawa; 勲古川
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-12-11
Filing date: 2000-12-11
Publication date: 2002-06-28
Anticipated expiration: 2020-12-11
Also published as: JP3921942B2

Abstract

(57)【要約】【課題】生体認証は外部から見える特徴を用いるため、
成り済ましの危険性がある。また、ワンタイムパスワー
ドなどのパスワード方式は、パスワード生成器やパスワ
ードそのものを盗まれることによる成り済ましの危険性
がある。【解決手段】前段の認証手段にてワンタイムパスワード
を生成し、後段の認証ではそのパスワードを動的認証に
て入力する。【効果】前段後段各々、及びこれらを単純に組み合わせ
る場合に比べ、格段に精度の高い認証を実現できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、動的認証を伴う生
体認証に関する。

【０００２】

【従来の技術】コンピュータ及び通信技術の発達に伴
い、コンピュータにより人間を介さずに自動的に認証を
する技術の必要性が大きくなってきている。代表的な例
としては電子商取引、オンラインバンキング、Webメー
ルや情報提供などの各種インターネットベースのサービ
スなどが挙げられる。従来は会員証やそれに表示されて
いる顔写真、通帳、印鑑などを目視することにより人間
が認証していたが、これらの用途では遠隔地でコンピュ
ータのみを使ってサービスを提供するので、従来の認証
が使用できない。従ってこれに代わる認証が必要であ
る。

【０００３】最も簡単な認証方法は、ユーザが誰である
かを示すユーザIDと、本人しか知りえないパスワードを
入力させるという方法である。これは、セキュリティが
さほど重要でない、例えばWebメールサービス（ｈｔｔ
ｐ：／／ｗｗｗ．ｈｏｔｍａｉｌ．ｃｏｍなど）などの
サービスでは多用されている。

【０００４】しかし、この単純な方法は多くの問題を抱
えている。まず、インターネットにおける通信はその性
質上傍受が可能であり、ユーザIDやパスワードを盗まれ
る可能性がある。このため、WebブラウザではSSLという
暗号化を行い、ユーザとサービスサイトの間で情報が盗
まれないように工夫をしている。しかし、ユーザIDにし
てもパスワードにしても、人間が手作業で入力するとい
う性質があるため、人間が覚えている必要があるので余
り長い文字列は使用できず、また頻繁に変えるのも難し
い。このため、一回では盗めなくても、長期にわたって
通信を傍受することで類推したり、辞書攻撃したりする
ことによるクラッキングも可能である。

【０００５】この問題に対処するため、SecurID社など
が商品化している、ワンタイムパスワードという仕掛け
が考案されている。これは、ユーザサイドに電卓からキ
ーホルダー程度の大きさのパスワード発生器を用意さ
せ、パスワード発生器とサービスサイトの間で定期的
に、一般的には時間と同期して、一回きりのパスワード
を生成するものである。しかし、これはパスワード生成
器が盗まれた場合役に立たない。現状では、パスワード
生成器の使用に際してパスワードを入力する使用になっ
ているものが多いが、このパスワードは固定、短いとい
う従来の欠点を残したままになっている。

【０００６】また、ICカードなど、複製困難な小型の認
証手段を本人に渡し、この認証手段との間で認証を行う
システムがある。ICカードの内部に入っている暗証番号
は、人間が覚える必要がないため長さの制限がなく、必
要なだけ長くすることも出来、またワンタイムパスワー
ド化も可能である。また、ICカードには、公開暗号鍵が
組み込まれており、ICカード内部で暗号・復号処理を行
うという点で暗号の受け渡しも安全である。しかし、ワ
ンタイムパスワード生成器の問題と同じく、盗難に対す
る耐性は弱い。ICカードの使用に対するパスワードを要
するようにしているものが多いが、これも上記と同等の
問題、即ち固定、短いという従来の欠点を残したままに
なっている。

【０００７】これに対し、近年注目されているのが、生
体情報による認証である。指紋、声紋、虹彩、サイン筆
跡など、本人に極めて特徴的な情報をコンピュータで解
析し、本人かどうかを認証するものである。これは、人
間が覚えるパスワードと異なり極めて情報量が多いの
で、また、指紋入力装置に一体化して暗号化装置を取り
付けること等により、通信路の傍受による解読に強く、
また本人に密接にかかわるものであるのでそのものを置
き忘れて盗まれる心配はないという特徴をもつ。また、
パスワードのように覚えるものがないので、誰にでも使
いやすいことも同様に特徴として挙げられる。

【０００８】生体情報による認証には、指紋や虹彩な
ど、生物としての特徴そのものを利用する静的認証と、
サインの特徴や音声など、何らかの動きの特徴を利用す
る動的認証がある。

【０００９】静的認証は、人間が何も覚えることがない
反面、外から観察できるものを認識するため、成り済ま
しに対して弱いという特徴をもつ。指紋は本人の周りか
らいくらでも採取可能であるし、虹彩は若干難しいもの
の、写真を撮ることにより解析が可能である。従来の技
術では、これに対抗するためのさまざまな手法が考案さ
れている。例えば指紋においては、模造指紋に対応する
ため、静電容量、温度差、静脈流を検知する方法が挙げ
られている。しかし、何れの方法にも回避策が既に確立
しており、高度なシステムでは十分ではない。

【００１０】動的認証は、例えば声紋の場合、声の特徴
の他に、どのような言葉を登録するかによって、更なる
セキュリティの向上が期待できる。つまり、登録する文
言を一種のパスワードとして利用できるため、例えば声
紋の場合、普段ならめったにしゃべらない文言を登録す
ることで、録音による成りすましの可能性を低めること
が可能である。但し、そのパスワードが毎回同じである
と、やはり盗撮や録音による成り済ましの可能性があ
る。パスワードが毎回異なると、例えば声紋の場合、バ
ラバラな録音から音声を継ぎ接ぎしたり音声合成したり
しても不自然になるので、静的認識にパスワードを組み
合わせる場合よりも更に安全である。しかし、毎回異な
るパスワードを覚えることは人間にとって大きな負荷と
なり、実際は難しい。また、毎回変わるパスワードを表
示して発声させる声紋認識も考えられる。但しこの場合
は、パスワードそのものには認証機能はなく、音声の継
ぎ接ぎや音声合成の可能性を低める目的でしか使ってい
ないことになる。

【００１１】生体情報は外部から観察可能な情報である
ので、ユーザIDとパスワードのどちらの性質を備えてい
るかと言えば、どちらかと言えばユーザIDの方であると
考えられる。しかし、従来の技術ではこの両方の機能を
持たせており、成り済ましに対して弱い。従って、パス
ワードに相当する機能を組み合わせるべきである。

【００１２】しかし、生体認証と従来の別の認証を単純
に組み合わせても、例えば生体認証とパスワードを組み
合わせたとしてもどちらも成り済まし可能であり、組み
合わせたことによる耐性の向上はあまり期待できない。
ワンタイムパスワードを利用しても、パスワード生成器
を盗まれた場合の耐性はやはり個別の耐性を上回ること
は出来ない。

【００１３】また、生体データは、もしクラックされた
場合に変更不可能である。指紋を盗まれたからと言って
指紋を取り替えることは出来ない。

【００１４】

【発明が解決しようとする課題】本発明の目的は、上記
従来技術の欠点を解決し、個人認証における精度を向上
させる方法を提供することである。

【００１５】

【課題を解決するための手段】上記目的を達成するため
に、二段階の認証行為を組み合わせることにより成り済
ましの問題に対処する。

【００１６】最終段の認証として動的認証を用い、その
パスワードを前段の認証から生成する。この際、そのパ
スワードは、前段の認証が成功しても失敗しても生成さ
れ、認証が失敗した場合は偽のパスワードが生成され
る。また、認証のためのパスワードはワンタイムパスワ
ードであり、毎回違ったものが生成される。ワンタイム
パスワードの特徴により、前段と後段は特に通信してい
る必要は無いが、認証のときに接続しても構わない。

【００１７】一般的には、前段の認証手段は通常のワン
タイムパスワード生成器とほぼ同じものが使用できる
が、現在市販されているワンタイムパスワード生成器は
数字のみしか生成しない。本発明では動的認証の必要が
あるため、アルファベットや漢字など、より複雑なパス
ワードを生成する必要がある。これは、数字のみでは10
種類しかないため、動的認証のためには十分に複雑では
ないためである。

【００１８】前段は通常のワンタイムパスワードと質的
には同等である。しかし本発明では、そのパスワードを
生体の特徴をもって入力する必要がある。動的認証にお
いてはそのパスワードを毎回変えることにより、録音や
写真等による成り済ましがしにくくなるが、本発明で
は、そのパスワードの生成は前段の認証手段とワンタイ
ムパスワードのアルゴリズムにより連携している。この
ため、後段のみでただ文言を毎回変化させるのとは大き
く異なり、ワンタイムパスワードの機能も果たしている
ことになる。

【００１９】このことより、次のような特徴が生じる。
まず、前段におけるパスワードが正しいかどうかは認証
のどの段階でも分からず、認証に失敗してもどこが間違
っていたのか検証することが出来ない。後段における生
体認識も同等である。最終的に成功したか失敗したかは
勿論分かるが、前段が駄目だったのか後段が駄目だった
のか、両方駄目だったのかは認証のどの段階でも分から
ない。前段と後段が物理的に離れているにもかかわら
ず、一体化したのと同等の安全性が得られる。このた
め、前段の認証は必ずしも高度な認証である必要は必ず
しも無く、例えば単純なパスワードや、指紋などの静的
生体認識で構わない。例えばパスワードの場合、通常で
あれば間違ったパスワードを入れるとその時点で間違っ
ていることがわかってしまうため、攻撃の対象を絞らせ
ることになる。本発明では正しいかどうかが前段からだ
けでは分からないため、前段が破られたことに対する緊
急な保護策の必要性が弱くてよい。

【００２０】更に、認証が成功ないしは失敗した際に、
後段から前段にフィードバックを掛けることで、格段に
セキュリティが高まる。例えば後段の認証が失敗した
際、秘密裡に前段をロックし、全ての入力に対し偽のパ
スワードを返すようにすることが可能になる。この場合
であっても、前段が使えなくなっているかどうかは前段
だけからは分からないという特徴がある。また、認証が
多段階に渡る場合、後段の認証が成功することで次の段
階の認証へのロックを解除することが可能になる。この
際、次の段階の認証は別の認証、例えば次のドアへの認
証で構わない。更に、認証が成功するたびに新しい認証
アルゴリズムを導入したり、秘密鍵を更新したりするこ
とが出来る。

【００２１】以上により、単純に組み合わせた場合に対
し、飛躍的に成り済まし耐性が向上する。また、例え生
体データを盗まれても、ワンタイムパスワードと組み合
わせる必要があるので、盗まれることに対する心理的抵
抗、事実上の耐性の低下を食い止める効果がある。即
ち、前段、後段のいずれのクラックに対しても安全性が
高まる。

【００２２】

【発明の実施の形態】以下、本発明の一実施例を図１に
より説明する。

【００２３】前段の認証としてICカードへのパスワー
ド、後段の認証として指紋を用いる、入室管理システム
を例としてあげる。まず、ユーザが携帯するICカード１
はテンキー２、表示装置３、玄関ロック５のICカードリ
ーダ６と通信するための通信端子４を備える。玄関ロッ
ク５はICカードリーダ６と指紋入力装置７、鍵開閉装置
８、及び全体の制御装置９を備える。

【００２４】まず、ユーザは、ICカードへのパスワード
をテンキー２に入力する。すると、ICカード１は表示装
置３に、指紋の入力順序を表示する。例えば「右人差し
指、左中指、左薬指」と表示する。ICカード１がICカー
ドリーダ６に差し込まれると、制御装置９はどのICカー
ドが差し込まれたのかを認識して、照合すべき指紋とそ
の入力順序を認識する。ユーザはICカード１を玄関ロッ
ク５のICカードリーダ６に差し込み、表示された順序
で、指を指紋入力装置７にあてがう。ここまでのプロセ
スが全て正しければ、制御装置９が鍵開閉装置８を操作
して玄関の鍵が開く。更に、ICカード１と制御装置９
は、次回の指紋入力順序を定め、通信端子４を通じてお
互いに記憶する。

【００２５】ICカード１のパスワードが正しい場合、IC
カード１は正しい指紋入力順序を表示するが、パスワー
ドが間違っている場合は間違った順序を表示する。そし
てICカード１は間違った情報が入力されたことを記憶す
るが、これは表示装置３、通信端子４を幾ら操作しても
引き出せない構造とする。

【００２６】指紋入力装置７に入力される指紋、ないし
はその順序が間違っていた場合、制御装置９はその旨を
ICカードリーダ６、通信端子４を通じてICカード１に知
らせる。正しかった場合も同様に知らせるが、これらの
情報は公開鍵暗号により暗号化するので、外部から、ま
た通信端子４からの傍受では成功だったのか失敗だった
のかは分からない。

【００２７】ICカード１には、通常のキャッシュカード
などと同じように、間違えた回数に応じて機能をロック
する機能が備わっている。但し、使えなくなるのではな
く、今後どのようなパスワードを入力しても必ず間違っ
た指紋入力順序を表示するようになる。この回数は、通
常キャッシュカードに見られるような３回程度よりも緩
くてよい。また、ICカード１へのパスワードに対する失
敗、及び指紋、及び指紋の入力順序に対する失敗のどち
らに対してもこのロック機構は働くものとする。即ちど
ちらで失敗してもその回数をカウントし、制限を越えた
ら機能をロックする。

【００２８】本発明では、どの段階で間違っても、それ
が間違ったかどうかがシステムのどの部分を見ても判ら
ない。まず、ICカード１は分解困難な構造であり、外部
から見えるのは表示装置３、通信端子４のみである。表
示装置３に表示される指紋入力順序は元々ワンタイムパ
スワードであるため、ICカード１へのパスワードが正し
くても間違っていても毎回異なるので判読不能である。
また、通信端子４を通じてICカード１の内部状態を観察
することは不可能であり、ICカードリーダ６と通信端子
４との情報交換は公開鍵暗号で暗号化されており、やは
り解析できない。また、指紋が間違っているかどうか、
指紋の入力順序が間違っているかもやはり制御装置９か
ら感知することはできない。

【００２９】本実施例において一番攻撃に弱いのは、IC
カード１に対するパスワードである。これは固定、短
い、数字のみ、という、一般にパスワードの弱点とされ
るものを全て備えている。また、ICカード１は勿論持ち
歩くので、盗難の危険がある。ところが、本発明では、
それが後段のワンタイムパスワードと結びついているた
め、これらのデメリットが全て無くなっている。即ち、
ICカードには指紋などの生体情報は入っておらず、表示
されるパスワードもワンタイムパスワードであるため、
正しいものか間違ったものかは認識不能である。

【００３０】指紋は、本人の周りからいくらでも採取可
能である。例えば本人が使っていたコーヒーの紙コッ
プ、喫茶店で使った水のグラス、電車の手すりや吊革、
電話、食器、自動販売機のボタン、等に残っている。ま
た、指紋入力装置を騙す手段はいくらでも存在する。例
えば静電容量式の場合は導電性材料を使ったゴム印、血
流を見る方式では薄いゴム印の裏にニセの血流を投影す
る、温度検知式では発熱素子を組み合わせる、等であ
る。従って、指紋単独では、いずれ盗まれ、成り済ましを
される危険性がある。しかし本発明では、両手10本全て
の指紋を盗んだとしても、その入力順序がワンタイムパ
スワードになるため、前段を攻略しなければ意味をなさ
ない。しかしその前段は上記のような理由で例え盗まれ
ても殆ど攻略が不可能である。以上により、本実施例に
おいて不正に入室するには、ICカード、指紋の両方を入
手した上でICカードへのパスワードを攻略する必要があ
るが、後段の認証が指紋入力を伴うため、コンピュータに
よる自動解析が通用せず、毎回指紋を手動で入力すると
いう手間が必要である。このため、不正に入室しようと
する者は玄関先に長時間居続ける必要があり、当然近所
や監視カメラなどから不審に見られるため抑制効果があ
る。

【００３１】また、毎回パスワードを変えるにもかかわ
らず、ユーザは何もおぼえることが無く、且つ生体認証
における生体情報盗難の危険に対しても対抗できている
ことも、本発明のメリットの一つと言える。

【００３２】次に、本発明の、インターネット環境にお
ける応用例を、図２を使って説明する。

【００３３】サーバコンピュータが提供するサービスを
受ける際の認証における応用例である。コンピュータ１
００は、指紋入力装置１０１とペンタブレット１０２、
ディスプレイ１０３を備えている。コンピュータは通信
回線１０４、一般的にはインターネットを通じてサーバ
１０５と接続している。

【００３４】ユーザは、まず指紋入力装置１０１に指紋
を入力する。すると、コンピュータ１００はこれが本人
のものであるかどうかを判断し、アルファベットの羅列
をディスプレイ１０３に表示する。アルファベットの羅
列はワンタイムパスワードとなっており、コンピュータ
１００とサーバ１０５の間で同期している。この場合の
同期は、時計による。即ち、一定の時間毎に双方が同じ
アルゴリズムでパスワードを変える。指紋が本人のもの
である場合は正しい羅列を、間違っている場合は間違っ
た羅列を表示する。ユーザはこのアルファベットの羅列
を筆記体でペンタブレット１０２に入力する。コンピュ
ータ１００は、筆記されたタブレットの筆跡、筆圧の情
報を公開暗号鍵で暗号化した上でサーバ１０５に送る。
サーバはこれらの情報を元に、筆跡が本人のものである
かどうか、及びアルファベットの羅列が正しいものであ
るかを判断し、合格するとログインできる。

【００３５】本実施例では、前段と後段の間が通信回線
でつながっており、通信傍受が可能な点が最初の例と異
なっている。従って、ニセのデータを送ったり辞書攻撃
するなどの方法が可能である。この点を検証する。

【００３６】まず、前段の認証の結果はアルファベット
の羅列である。前段はローカルなコンピュータであり、
一般的に指紋入力装置１０１とコンピュータ１００に内
蔵されている指紋認識ソフトの間は暗号化されているの
で、また指紋入力装置の種類によっては指紋データを指
紋入力装置から出さないで、判定結果のみを知らせるも
のがあるので、コンピュータに対する悪意ある第三者に
よるクラックの可能性は残されているものの、外部に指
紋データが流出する可能性は低い。また、外部から指紋
データを送り込むことは、指紋入力装置１０１からのも
のでないことが暗号化の手法によって容易にわかるた
め、極めて困難である。従って、毎回異なるアルファベ
ットの羅列を回線から入手することは、ほぼ不可能であ
る。

【００３７】次に、筆跡や筆圧は生体情報であり、また
アルファベットを筆記体で羅列することで、単なるパス
ワードとしてだけでなく、文字のつながりの状態を見る
ことによって不自然さを判断することが出来る。その人
の書体、筆跡はその人のメモ等から容易に入手可能であ
るが、筆圧の変化まで入手することは不可能である。ま
た、タブレットの情報を何とか手に入れたとしても、ア
ルファベットは筆記体で書くため線がつながっており、
任意の羅列に対する筆圧の変化は固有であるため、例え
ば文字を分解してつなぎ合せるなどした場合、筆圧や筆
記速度などが自然につながらず途切れてしまうため、偽
者であると分かってしまう。また、その人の筆跡データ
はサーバ１０５が持っており、外に出ることは無い。判
断はあくまでサーバ１０５の中で行われる。従って、例
えば前段の指紋認証をクリアないしは誤魔化して後段の
筆跡判断で失格した場合でも、悪意ある第三者は指紋認
証が失敗したのか筆跡認証が失敗したのかをネットワー
ク上から判断することが出来ない。

【００３８】本実施例におけるワンタイムパスワードの
生成方法は、時刻に同期することとしている。これは、
両者が同じアルゴリズムを持ち、例えば６０秒毎に異な
るパスワードを生成するというものである。各コンピュ
ータの時刻を自動的に修正する方法はＵＮＩＸ（登録商
標）の時代より確立しているＮＴＰと呼ばれるプロトコ
ルがあるため、これで同期する。ＮＴＰは1／100秒以下
の精度を持っているため、ワンタイムパスワードの生成
には十分である。サーバ１０５とコンピュータ１００の
間でパスワードに関する情報が何も流れないため、パス
ワードの情報を通信回線１０４から得ることは不可能で
ある。

【００３９】本実施例では、前段と後段の両方に生体認
証を用いているが、やはり前段の認証は盗難による成り
済ましの可能性が高い静的な指紋認証を用いている。し
かもコンピュータを前提としているので、成り済ましを
装う悪意ある第三者は隠れて試すことが可能であり、前
段が破られる可能性は高い。但し、この場合であっても
通信回線の傍受のみによるクラックは、指紋がネットに
流れないため不可能である。指紋入力装置の公開暗号鍵
を破る、パスワード生成ソフトのタンパレジスタント特
性を破るなどの高度なプログラミング技術が必要であ
り、理論上不可能ではないが事実上は問題ない。またタ
ブレット情報はサーバ１０５と直接公開暗号鍵で暗号化
するので、回線の傍受におけるタブレット情報の入手
は、公開暗号鍵を破る難しさに等しい。従って、本実施
例のクラッキングは事実上不可能である。

【００４０】最後に、本発明の応用分野について考え
る。本発明は、電子的に認証する全ての分野に有効であ
るが、特に成りすまし耐性が高いという特徴を持つの
で、高額なEC、オンラインバンキングなど、金銭や利害
が絡む取引に有用と考えられる。インターネットを経由
するなど、前段と後段が離れていても、十分な体制を発
揮する。

【００４１】

【発明の効果】以上のように、本発明によれば、電子認
証において、単純に生体情報とパスワードを組み合わせ
るなどの場合に比べて、少ない労力で大きな成りすまし
耐性を得られる。

【図面の簡単な説明】

【図１】本発明の、入退室における一実施例を表した図
である。

【図２】本発明の、ネットワーク経由の認証における一
実施例を表した図である。

【符号の説明】

１…ICカード、２…テンキー、３…表示装置、４…通信
端子、５…玄関ロック、６…ICカードリーダ、７…指紋
入力装置、８…鍵開閉装置、９…制御装置、１００…コ
ンピュータ、１０１…指紋入力装置、１０２…タブレッ
ト、１０３…ディスプレイ、１０４…通信回線（インタ
ーネット）、１０５…サーバ。

Claims

【特許請求の範囲】

【請求項１】電子認証において、二段階の認証があ
り、後段の認証は生体認証であり且つ動的認証であり且
つその動的認証において認識させる文言は所望のアルゴ
リズムにより前段の認証手段と同期して毎回異なるワン
タイムパスワードとして機能し、前段の認証において後
段の認証パスワードを提供し、前段の認証に失敗した場
合は偽のパスワードを提供し、後段においては生体認証
とパスワードの両方、及び生体の特徴に伴うパスワード
の付帯情報まで認証を行うことを特徴とする、認証方
法。
【請求項２】請求項１において、生体の特徴に伴うパ
スワードの付帯情報が、以下のいずれかのうち一つない
しは複数であるもの。音声認識における、語間の音声強
度、音質、周波数の急激な変化。筆跡認識における、語
間の途切れ、角度、線の太さの急激な変化。筆圧認識に
おける、語間の途切れ、筆圧の急激な変化。顔認識にお
ける、表情ないしは顔の角度、光線の照射具合の急激な
変化。