JP2004078523A - Client/server system using intermediating machine - Google Patents

Client/server system using intermediating machine Download PDF

Info

Publication number
JP2004078523A
JP2004078523A JP2002237453A JP2002237453A JP2004078523A JP 2004078523 A JP2004078523 A JP 2004078523A JP 2002237453 A JP2002237453 A JP 2002237453A JP 2002237453 A JP2002237453 A JP 2002237453A JP 2004078523 A JP2004078523 A JP 2004078523A
Authority
JP
Japan
Prior art keywords
client
server
information
registered
intermediary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2002237453A
Other languages
Japanese (ja)
Other versions
JP4409813B2 (en
Inventor
Jun Ikegami
池上　潤
Taku Niizaki
新崎　卓
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2002237453A priority Critical patent/JP4409813B2/en
Publication of JP2004078523A publication Critical patent/JP2004078523A/en
Application granted granted Critical
Publication of JP4409813B2 publication Critical patent/JP4409813B2/en
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To provide a client/server system using an intermediating machine wherein a server is accessed from an unregistered instrument while maintaining conventional robustness. <P>SOLUTION: The invention includes a client 1 having functions for acquiring information of a living organism as an image and for extracting characteristic information of the living organism from the acquired image, a server 2 for performing identity authentication with the information of the living organism and instrument specification information and the intermediating machine 3 for intermediating the client 1 and the server 2. The instrument specification information of the client 1 is not registered in the server and the instrument specification information of the intermediating machine 3 is registered in the server 2 as a registered instrument. The client 1 indirectly requests verification of characteristic information of the living organism via the intermediating machine 3. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は仲介機を用いたクライアントサーバシステムに関する。
近年、携帯電話をはじめとするモバイル機器に指紋等の生体情報を採取する機構を付加して、採取した生体情報から抽出した特徴データを携帯電話等の通信機能を利用してサーバに送信し、サーバ側に予め登録しておいた生体情報と比較して本人認証を行なうクライアントサーバシステムが用いられている。
【０００２】
このようなシステムでは、アクセス数の回数に比例して誤った他人を本人と認識してしまう可能性が高くなるため、携帯電話番号や機種ＩＤを生体情報と共に送信し、予め登録してある携帯電話番号や機種ＩＤと生体情報の双方が一致した場合にのみ本人と認証することで、誤って他人を本人と認識する確率を少なくしている。このようなシステムにおいて、従来のセキュリティを保持しながら、予め登録されていない機器からもサーバにアクセスすることができると都合がよい。
【０００３】
【従来の技術】
複数のクライアントとサーバとが接続され、データの授受を行なうクライアントサーバシステムが知られている。この種のシステムでは、サーバ側での誤認証（他人を受理してしまう危険性）を回避するために、携帯電話等のクライアントから採取した生体情報（例えば指紋特徴データ）をサーバに送ると共に、クライアントを一意に特定できる情報を付加情報として送信し、サーバ側では、予め登録してある生体情報を比較して本人と認証する。そして、生体情報と付加情報の双方が一致した場合に、本人と認識してクライアントに対してアクセスを許可するようになっている。
【０００４】
ここで、クライアントを一意に特定できる情報としては、例えば携帯電話の電話番号や、機種ＩＤ等が考えられる。図３４は従来のクライアントサーバシステムの概念図である。図において、１はクライアント、２は該クライアント１と接続されるサーバである。２ａは該サーバ２と接続され各種データを格納する本人認証情報格納データベース（ＤＢ）である。ここでは、クライアント１として携帯電話が用いられている。このシステムにおけるクライアント１としては、指紋を画像として採取するスキャナ機能が装着されている。
【０００５】
この携帯電話１をクライアントとして指紋画像を採取し、その指紋から指紋特徴データを抽出して指紋特徴データを作成する。このようにして作成した指紋特徴データに、自動的に携帯電話の電話番号を付加してサーバ２に送信する。このようにすれば、自動的に付加情報を作成すれば、ＩＤを手入力するといった煩わしさを回避することができるし、本人の所要物であるということを特定することができる。
【０００６】
一方、サーバ２側では、予めデータベース２ａに登録してある指紋特徴データと携帯電話番号が、送信されてきたデータと一致することを確認し、双方が一致した場合、本人と認証してサーバへのアクセスを許可する。双方が一致しなかった場合には、本人ではないとしてアクセスを不許可する。
【０００７】
生体情報認証は、パスワードのように他人に漏洩することがないので、本人であるかどうかを確認するセキュリティが強められるが、複数の登録指紋データに対して照合用の指紋データで総当たり照合を行なう場合（以降、この方式を１対Ｎ照合方式と記述する）、他人を本人と認識してしまう可能性が高くなる。
【０００８】
この方式のように、携帯電話番号や機器ＩＤを付加情報として二重の認証をすれば、付加情報（ここでは携帯電話番号）をＩＤとして、そのＩＤと結びつく指紋特徴データと送られてきた指紋特徴データを１対１の照合で行なうことができる。このように、１対Ｎ照合において発生しやすい誤認識を抑えることができ、サーバへの不正なアクセスからシステムを守ることができる。
【０００９】
【発明が解決しようとする課題】
前述したように、従来技術でも、サーバへのアクセス時に生体情報による本人認証を用い、更に電話番号等の機種ＩＤを用いることで、他人を本人と誤認識する危険性の低いクライアントサーバシステムを構築することができる。
【００１０】
しかしながら、このようにアクセスを許可するクライアント機種を特定すると、登録機器以外（サーバに登録していない携帯電話等）からサーバにアクセスしようとした場合、指紋が一致してもサーバへのアクセスは許可されない。つまり、登録済みクライアントでなければサーバにアクセスできないという問題が生じる。
【００１１】
従って、例えばクライアントとなりうる複数のモバイル機器を所有しており、どのモバイル機器からもサーバにアクセスしたい場合には、サーバに複数のアカウント（各モバイル機器アクセスアカウント）を持つか、１つの指紋データに対して複数のモバイル機器ＩＤや携帯電話番号で認証処理する必要がある。しかしながら、どちらにしても未登録の機器からはアクセスできない。
【００１２】
また、携帯電話をはじめとするモバイル機器は、機種の買い替えを行なうことが頻繁に行なわれるものであるので、機種を買い替えた際には新しい機種の電話番号や機器ＩＤでサーバにログイン情報を再登録する必要があり、非常に煩わしいという問題があった。
【００１３】
本発明はこのような課題に鑑みてなされたものであって、サーバに登録するクライアント機器は唯一の機種とし、クライアントとなりうる複数のモバイル機器を自己所有している場合でも、従来の堅牢性を維持しながら、未登録機器からサーバへアクセスすることができる仲介機を用いたクライアントサーバシステムを提供することを目的としている。
【００１４】
【課題を解決するための手段】
（１）図１は本発明の原理ブロック図である。図３４と同一のものは、同一の符号を付して示す。図に示すシステムは、クライアントから生体特徴情報と機器特定情報をサーバに送信し、サーバでは予め登録しておいた生体特徴情報及び機器特定情報で本人であることを認識して、本人と特定できたらクライアントに対してアクセスを許可するクライアントサーバシステムを構成している。
【００１５】
図において、１は生体情報を画像として採取する機能と採取した生体画像から生体特徴情報を抽出する機能を持つクライアント、２は生体特徴情報と機器特定情報で本人認証を行なうサーバ、３は前記クライアント１とサーバ２との仲介を行なう仲介機である。４はサーバ２と接続されるデータベースであり、本人認証情報やアクセス許可機器特定情報が登録されている。本発明では、サーバ２に登録するクライアントを唯一のものとし、サーバ２に未登録の機器からはサーバ２に登録済みの機器を中継することで、間接的にサーバにアクセス依頼を行なう。サーバ２に登録したクライアントからサーバ２にアクセスする場合には、従来通り直接アクセスを行なう。
【００１６】
サーバ未登録機器（クライアント）１からは、サーバ登録済み機器（仲介機）３に生体特徴情報と自機種を示す機器特定情報１（例えば電話番号）を送信する（▲１▼）。次に、仲介機３はクライアント１から送られてきた生体特徴情報と機器特定情報（付加情報）に、自機種を表わす機器特定情報２（付加情報）を追加してサーバ２に送信する（▲２▼）。この時、仲介機３からサーバ２へは図２に示す構成の情報が送信される。図２において、１０は未登録機器（クライアント）１の本人認証用生体情報、１１はサーバ未登録機器の機器特定情報（付加情報）、１２はサーバ登録済み機器（仲介機）３の付加情報（機器特定情報）である。
【００１７】
サーバ２は、図２に示す情報を受信すると、サーバ登録済み機器の付加情報１２が示す内容でデータベース４に登録されている生体情報群から照合対象となるデータを特定し、本人認証用生体情報１０と比較する。比較の結果、本人と認証されれば、サーバ未登録機器の付加情報１１が示す機器に対して直接アクセスを許可する。この結果、クライアント１とサーバ２とは直接通信が可能となる（▲３▼）。即ち、クライアント１から生体特徴情報とクライアント付加情報（機器特定情報）を送信し、サーバ２で認証されれば、クライアント１との直接通信が可能となる。
【００１８】
このようにして、サーバ２に未登録の機器１からはサーバ２に登録済みの機器（仲介機）３を介して本人であることを証明し、サーバ２は本人と認証できれば登録されていない機器でもアクセスを許可するようにする。このようにすれば、自己所有のモバイル機器が複数であっても、機器毎のログインアカウントを作成することなく、かつ従来の本人認証の堅牢さを維持しながら、クライアントサーバシステムとしての処理が可能になる。
【００１９】
本発明は、クライアント１から送られる生体情報をサーバ２で照合して、本人と一致されたらアクセス許可を行なうクライアントサーバシステムに関するものである。サーバ２には、仲介機３を識別するＩＤや電話番号等を機器特定情報（付加情報）として登録しておき、サーバ２に登録されていない機器からは、仲介機３を経由して間接的に本人認証を行なう。このような構成をとることにより、サーバ２に未登録の機器からでもサーバ２にアクセスすることを可能とするものである。
【００２０】
なお、本人を認識するためには照合を行なうための生体情報を予め登録しておくことが必要である。そこで、本発明を利用する際には、認証用として入力された生体情報を比較する登録情報は、既にデータベース４への登録が完了していることが前提となる。
（２）請求項２記載の発明は、サーバ未登録クライアントに対してサーバ側で直接アクセスが許可されている場合、サーバ未登録クライアントから生体特徴情報と機器特定情報をサーバに送信し、該サーバで生体特徴情報と機器特定情報で本人認証を行ない、本人と確認された場合、通信を継続することを特徴とする。
【００２１】
このように構成すれば、サーバ未登録クライアントに対してもサーバと通信することが可能となる。
（３）請求項３記載の発明は、前記各装置からデータを送受信する際には、データ全体又はその一部を暗号化することを特徴とする。
【００２２】
このように構成すれば、通信の安全を図ることができる。
（４）請求項４記載の発明は、前記サーバに登録されていないクライアントから仲介機に生体特徴情報とクライアント特定情報を送信する際に、無線方式を用いることを特徴とする。
【００２３】
このように構成すれば、未登録クライアントから仲介機に無線で生体特徴情報とク機器特定情報を送信することができる。
（５）請求項５記載の発明は、前記クライアントがサーバに登録されている場合は、仲介機を経由することなく通常のクライアントサーバシステムとして動作することを特徴とする。
【００２４】
このように構成すれば、クライアントがサーバに登録されている場合には、仲介機を経由することなく、サーバとの間で直接通信をすることが可能となる。
また、この発明において、前記サーバ未登録のクライアントに直接アクセスを許可する場合、提供サービスに特定の制限を設けることを特徴とする。
【００２５】
このように構成すれば、サーバ未登録のクライアントに直接アクセスを許可する場合に、提供サービスに制限を設けることを条件とすることができる。
また、この発明において、前記サーバ未登録のクライアントに直接アクセスを許可する場合、時間制限を設けることを特徴とする。
【００２６】
このように構成すれば、サーバ未登録のクライアントに直接アクセスを許可する場合に時間制限を設けることを条件とすることができる。
また、この発明において、前記仲介機は生体画像から生体特徴情報を抽出する機能を持ち、前記クライアントが該仲介機を介してサーバにアクセスする場合には、クライアントで採取した生体画像を仲介機に送り、該仲介機で生体特徴情報の抽出を行なうことを特徴とする。
【００２７】
このように構成すれば、クライアントからサーバに仲介機を介してアクセスする場合に、生体情報の抽出処理を仲介機に行なわせることができる。
また、この発明において、前記仲介機は生体情報から生体特徴情報を抽出する機能を持ち、前記クライアントからサーバに通信開始のアクセスを行なう場合に、該クライアントで採取した生体画像を前記仲介機に送り、該仲介機で生体特徴情報の抽出を行なって前記クライアントに該生体特徴情報を返送し、該生体特徴情報をクライアントからサーバに送信することを特徴とする。
【００２８】
このように構成すれば、クライアントからサーバにアクセスする場合に、該クライアントの生体特徴情報を仲介機が抽出してクライアントに与え、クライアントからサーバに該生体特徴情報を送信することができる。
【００２９】
また、この発明において、前記クライアントとして携帯可能なモバイル機器を使用することを特徴とする。
このように構成すれば、クライアントとしてモバイル機器を使用することができる。
【００３０】
また、この発明において、前記仲介機として、携帯可能なモバイル機器を使用することを特徴とする。
このように構成すれば、仲介機としてモバイル機器を使用することができる。
【００３１】
また、この発明において、前記仲介機として、パーソナルコンピュータを用いたことを特徴とする。
このように構成すれば、仲介機としてパーソナルコンピュータを使用することで、多様な機能を盛り込むことができる。
【００３２】
また、この発明において、前記サーバでは、生体特徴情報と機器特定情報による本人認証機能を持つと共に、パスワードと機器特定情報による本人認証機能を持つことを特徴とする。
【００３３】
このように構成すれば、生体特徴情報と機器特定情報に加えて、パスワードと機器特定情報とから本人認証を行なうことができる。
【００３４】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態例を詳細に説明する。
図３はクライアントでのデータ作成から仲介機へのデータ送信までの処理を示すフローチャート、図４はクライアントでのデータ作成から仲介機へのデータ送信までの処理を示す装置構成を示すブロック図である。図１と同一のものは、同一の符号を付して示す。先ず、指紋採取部１００で指紋画像を採取する（Ｓ１）。そして、指紋特徴データ抽出部１０１にて、指紋採取部１００で入力れた指紋画像から指紋特徴情報（指紋特徴点）を抽出する（Ｓ２）。
【００３５】
指紋特徴情報の抽出方法は、既に多くの提案がなされており、抽出した特徴情報がサーバ側で照合可能な形式であれば、どのようなものであってもよい。このようにして抽出された指紋特徴情報は、パケットデータ生成部１０２において、付加情報定義部１０３で定義される機器が持つ固有の付加情報（携帯電話番号等）１５と合わせてパケットデータ生成部１０２でパケットデータとして生成され（Ｓ３）、パケットデータ送信部１０４から仲介機３へ送信される（Ｓ４）。
【００３６】
ここで、未登録クライアント１から仲介機３に送信する方式としては、有線のみならず無線で生体特徴情報とクライアント特定情報（機器特定情報）を送信することができる。
【００３７】
また、クライアント１としては、モバイル機器を利用することができる。モバイル機器を利用すれば、携帯可能となる。
図５は仲介機でのデータ受信からサーバへのデータ送信までの処理を示すフローチャート、図６は仲介機でのデータ受信からサーバへのデータ送信までの処理の装置構成を示すブロック図である。
【００３８】
先ず、パケットデータ受信部２００にてクライアント１から送られてきたパケットデータを受信する（Ｓ１）。パケットデータ生成部２０１では、仲介機３が持つ固有のデータ、即ち、サーバ２へ登録済みの機器特定情報（付加情報）１６を加える（Ｓ２）。この付加情報は、中継機付加情報定義部２０２で定義される機器が持つ固有の付加情報である。この時のデータのフォーマットは、図２で示したものになる。このようにして作成されたパケットデータをパケットデータ送信部２０３からサーバ２に送信する（Ｓ３）。
【００３９】
ここで、仲介機３としては、モバイル機器を利用することができる。モバイル機器を利用すれば、携帯可能となる。また、仲介機３としてはパーソナルコンピュータを利用することができる。パーソナルコンピュータを用いれば、多様な機能を盛り込むことができる。
【００４０】
図７はサーバにおける認証処理の流れを示すフローチャート、図８はサーバにおける認証処理の装置構成を示すブロック図である。先ず、パケットデータ受信部３００で仲介機３から送られるパケットデータを受信し（Ｓ１）、パケットデータ分離部３０１で▲１▼生体特徴情報、▲２▼クライアント機器特定情報、▲３▼仲介機機器特定情報の３つの情報に分離する（Ｓ２）。
【００４１】
次に、照合対象生体特徴情報特定部３０２にて本人認証情報格納ＤＢ１８に登録されている複数の生体特徴情報から仲介機特定情報をキーにして照合を行なう生体特徴情報を特定し本人認証情報格納ＤＢ１８から取得する（Ｓ３）。そして、パケットデータ分離部３０１で分離した生体特徴情報と特定した生体特徴情報を生体特徴情報照合部３０３で比較照合する（Ｓ４）。
【００４２】
次に、照合結果判定部３０４で照合が成功したかどうかを判定する（Ｓ５）。照合に成功した場合、パケットデータ分離部３０１で分離した未登録機器特定情報を、直接アクセスを許可する機器としてアクセス許可機器格納ＤＢ１９に書き込む。同時にアクセス許可機器定義ＤＢ１９に書き込む（Ｓ６）。ここで、本人認証情報格納ＤＢ１８とアクセス許可機器格納ＤＢ１９とで図１のデータベース４を構成している。次に、照合結果送信部３０５にて、仲介機３に対して照合に成功したのか失敗したのか、即ちクライアント１に対して直接アクセスを許可するか否かを送信する（Ｓ７）。
【００４３】
図９はクライアント・仲介機・サーバ間の通信の流れの説明図である。クライアント１で生体情報を採取し、生体特徴情報を抽出する（▲１▼）と、クライアント１は生体特徴情報と機器特定情報（機器ＩＤ）Ａを仲介機３に送信する（▲２▼）。次に、仲介機３は、クライアント１から送られてきた生体特徴情報と機器特定情報Ａに自己の機器特定情報Ｂを加えてサーバ３に送信する（▲３▼）。
【００４４】
サーバ３では、登録ＤＢ１８から登録情報を読み出して（▲５▼）照合を行なう（▲４▼）。照合の結果が一致した場合には、アクセス許可ＤＢ１９にその結果を登録する（▲６▼）。次に、サーバ３はアクセスの許可／非許可を示す信号を仲介機３に送信する（▲７▼）。仲介機３はアクセスの許可／非許可をクライアント１に通知する（▲８▼）。
【００４５】
このように、本発明によれば、自己所有のモバイル機器が複数であっても、機器毎のログインアカウントを作成することなく、かつ従来の本人認証に堅牢さを維持しながら、クライアントサーバシステムとしての処理が可能になる。
【００４６】
図１０はクライアントにおけるサーバへのアクセス依頼の流れを示すフローチャートである。装置構成は図４と同じである。即ち、サーバ２へのアクセス依頼の流れと、図４に示すクライアント１から仲介機３への処理の流れと同じである。先ず、指紋採取部１００が指紋画像を採取し（Ｓ１）、指紋特徴データ抽出部１０１が指紋特徴点を抽出する（Ｓ２）。次に、パケットデータ生成部１０２が抽出された指紋特徴点情報に付加情報定義部１０３から与えられるクライアント１の機器特定情報１５を加えてパケットデータを生成する（Ｓ３）。次に、これらデータをサーバ２に送信する（Ｓ４）。
【００４７】
図１１はサーバにおける本人認証と通信開始までの流れを示すフローチャート、図１２はサーバにおける本人認証と通信開始までの装置構成を示すブロック図である。図１２において、図７と同一のものは、同一の符号を付して示す。パケットデータ受信部３００でクライアント１から送られたパケットデータを受信し（Ｓ１）、パケットデータ分離部３０１で、生体特徴情報とクライアント機器特定情報の２つの情報に分離する（Ｓ２）。
【００４８】
次に、アクセス許可機器確認判定部３１０で仲介機３を介したアクセス許可がなされているか否かを確認する。具体的には、アクセス許可機器格納ＤＢ１９からクライアント機器特定情報が定義されているか否かを確認する（Ｓ３）。アクセスが許可されていなければ、アクセス不許可通知部３２０でクライアント１に対してアクセス不許可であることを通知し（Ｓ８）、通信切断部３２２で通信を切断する（Ｓ９）。
【００４９】
アクセスが許可されていれば、照合対象生体特徴情報特定部３０２にてアクセス許可機器の付加情報に結びつく登録生体特徴情報を本人認証情報格納ＤＢ１８からから取得し（Ｓ５）、生体特徴情報照合部３０３で本人認証（照合）を行なう（Ｓ６）。その結果を照合結果判定部３０４で判定する（Ｓ７）。
【００５０】
一致しなければ、照合失敗通知部３２１で照合に失敗したことをクライアント１に通知し（Ｓ８）、通信切断部３２２で通信を切断する（Ｓ９）。一致すれば（即ち本人と確認されれば）、サービス情報送信部３０５でクライアント１に対して情報を送信し（Ｓ１０）、通信を開始する（Ｓ１１）。
【００５１】
このように、本発明によれば、サーバ未登録クライアントに対してもサーバと通信することが可能となる。
図１３は受信パケットデータ内容によりサービスの開始かアクセスの認可を行なう処理の流れを示すフローチャート、図１４は受信パケットデータ内容によりサービスの開始かアクセス認可を行なう処理の装置構成を示すブロック図である。この実施の形態例は、クライアントがサーバに登録されている場合はクライアントの機器特定情報で登録されている生体情報を特定して生体照合を行ない、一致すればクライアントサーバシステムとして通信を開始し、登録されていなければ仲介機を介したアクセス認証を行なうものである。
【００５２】
クライアント１又は仲介機３からのパケットデータをパケットデータ受信部３００で受信すると（Ｓ１）、その受信データはパケットデータ分離部３０１に送られる。そして、該パケットデータ分離部３０１は受信したパケットデータから以下の３つのデータに分離する（Ｓ２）。
▲１▼生体特徴情報
▲２▼クライアント機器特定情報
▲３▼仲介機特定情報
クライアント機器登録確認判定部３２３は、前記▲２▼のデータが本人認証情報格納ＤＢ１８に定義されているかどうかを確認する（Ｓ３）。そして、定義があるかどうかチェックする（Ｓ４）。定義がある場合、照合対象生体特徴情報特定部３０２は、前記▲２▼のデータと結びつく登録指紋特徴情報を本人認証情報格納ＤＢ１８から取得する（Ｓ８）。
【００５３】
一方、定義がなされていない場合、アクセス許可機器確認判定部３１０は、前記▲２▼のデータがアクセス許可機器格納ＤＢ１９に定義されているかどうか確認する（Ｓ５）。そして、定義があるかどうかチェックする（Ｓ６）。定義がある場合、照合対象生体特徴情報特定部３０２は、前記データ▲２▼と結びつく登録指紋特徴情報を本人認証情報格納ＤＢ１８から取得する（Ｓ７）。照合対象生体特定情報特定部３０２は、取得した登録指紋特徴情報を生体特徴情報照合部３０３に送る。該生体特徴情報照合部３０３は、本人認証情報格納ＤＢ１８に記憶されている生体特徴情報とステップＳ１において、分離した生体特徴情報▲１▼とを照合する（Ｓ９）。
【００５４】
照合の結果、照合結果判定部３０４で照合が成功したかどうかチェックする（Ｓ１０）。照合に成功した場合には、サービス情報送信部３０５がサービスデータを送信し（Ｓ１１）、サーバ２とクライアント１との通信が開始される（Ｓ１２）。この処理は、クライアント１がサーバ２に登録されおり、クライアントの機器特定情報で登録されている生体情報を特定して生体照合を行ない、一致したので、クライアントサーバシステムとして、クライアント１とサーバ２間で通信を開始するものである。
【００５５】
ステップＳ１０で照合に失敗した場合には、照合結果判定部３０４は照合失敗通知部３２１にその旨を通知し、該照合失敗通知部３２１はクライアント又は仲介機に照合失敗を通知し（Ｓ１３）、通信切断部３２２は通信を切断する（Ｓ１４）。
【００５６】
ステップＳ６において、データ▲２▼がアクセス許可機器ＤＢ１９に定義されていない場合、クライアント１はサーバ２とは通信することはできない。この場合には、仲介機登録確認判定部３２４は、パケットデータ中の▲３▼のデータ（仲介機特定情報）が本人認証情報格納ＤＢ１８に定義されているかどうかを確認する（Ｓ１５）。そして、定義がされているかどうかを判定する（Ｓ１６）。
【００５７】
仲介機特定情報が本人認証情報格納ＤＢ１８に定義されていなかった場合、ステップＳ１４に進み、通信を切断する。ステップＳ１６において、仲介機特定情報が本人認証情報格納ＤＢ１８に定義されていた場合、照合対象生体特徴情報特定部３０２は、パケットデータの▲３▼データから照合対象とする生体特徴情報を本人認証情報格納ＤＢ１８から取得し（Ｓ１７）、続く生体特徴情報照合部３０３で生体特徴情報の照合を行なう（Ｓ１８）。ここで、照合される生体特徴情報は、クライアント１の生体特徴情報である。つまり、生体特徴情報として予め本人認証情報格納ＤＢ１８に格納されているクライアント１の生体特徴情報とステップＳ２で分離した生体特徴情報の照合が行なわれる。
【００５８】
照合結果判定部３０４は照合に成功したかどうかチェックする（Ｓ１９）。照合に成功した場合には、パケットデータ中の前記▲２▼のクライアント機器付加情報で示される機器を、直接アクセスを許可する機器としてアクセス許可機器ＤＢ１９に登録しする（Ｓ２０）。その後、アクセス許可／不許可を仲介機３へアクセス不許可通知部３２０から送信する（Ｓ２１）。
【００５９】
この実施の形態例によれば、クライアントがサーバに登録されている場合には、仲介機を経由することなく、サーバとの間で直接通信をすることが可能となる。
【００６０】
図１５は本発明を実施する構成例を示すブロック図である。図１４と同一のものは、同一の符号を付して示す。この実施の形態例は、仲介機経由でアクセス許可された機器にサービスの制限をかける場合のシステム構成を示している。
【００６１】
クライアント１からのパケットデータをパケットデータ受信部３００で受信すると、その受信データはパケットデータ分離部３０１に送られる。そして、該パケットデータ分離部３０１は受信したパケットデータから生体特徴情報とクライアント機器特定情報に分離する。分離されたデータは、アクセス許可機器確認判定部３１０に入力される。該アクセス許可機器確認判定部３１０は、アクセス許可機器格納ＤＢ１９を参照して、クライアント機器特定情報が定義されているかどうか確認する。
【００６２】
若し、アクセス許可機器格納ＤＢ１９に当該クライアントの機器特定情報が定義されていない場合には、アクセス許可機器確認判定部３１０の出力は、アクセス不許可通知部３２０に送られる。該アクセス不許可通知部３２０は、クライアント１にアクセス不許可通知を行なうと共に、通信切断部３２２に信号を通知して通信を切断する。
【００６３】
若し、当該クライアントの機器特定情報が定義されている場合には、アクセス許可機器確認判定部３１０は、照合対象生体特徴情報特定部３０２にその旨を通知する。該照合対象生体特徴情報特定部３０２は、パケットデータ分離部３０１で分離された生体特徴情報と、本人認証情報格納ＤＢ１８に記憶されている生体特徴情報を読み出し、生体特徴情報照合部３０３に送り出す。該生体特徴情報照合部３０３は、分離された生体特徴情報と本人認証情報格納ＤＢ１８に記憶されている生体特徴情報との照合を行なう。
【００６４】
照合の結果が一致しない場合、該照合結果判定部３０４は、照合結果通知部３２１にその旨を通知する。該照合失敗通知部３２１は、照合に失敗したことをクライアント１に通知すると共に、通信切断部３２２に切断信号を与え、通信を切断する。
【００６５】
照合の結果が一致した場合には、照合結果判定部３０４はサービス情報送信部３０５にその旨を通知する。該サービス情報送信部３０５がサービスデータを送信し、サーバ２とクライアント１との通信が開始される。この場合において、サービス情報送信部３０５には、提供サービス内容定義部３１３の出力が与えられており、アクセス許可された機器にサービスの内容を定義することができる。即ち、当該クライアント１とサーバ２間の通信において、クライアントへのサービスに制限をかけることができるようになっている。
【００６６】
この実施の形態例によれば、サーバ未登録のクライアント１に直接アクセスを許可する場合に、提供サービスに制限を設けることができる。
図１６はサーバの一実施の形態例を示すブロック図である。図１５と同一のものは、同一の符号を付して示す。図１７はサーバの他の実施の形態例を示すブロック図である。これら装置は、仲介機経由でアクセス許可された機器（クライアント）にアクセス許可時間制限をかける場合の装置構成を説明するブロック図である。
【００６７】
図１６は仲介機３からサーバ２へのアクセス許可依頼を処理するサーバ２の内部構成を示している。仲介機１からのパケットデータをパケットデータ受信部３００が受信すると、続くパケットデータ分離部３０１は受信したデータから生体特徴情報とクライアント機器特定情報に分離する。次に、この分離された情報は照合対象生体特徴情報特定部３０２に送られる。該照合対象生体特徴情報特定部３０２は、本人認証情報格納ＤＢ１８から生体特徴情報を読み出す。
【００６８】
生体特徴情報照合部３０３は、パケットデータ分離部３０１で分離された生体特徴情報と本人認証情報格納ＤＢ１８から読み出した生体特徴情報を照合する。照合結果は、続く照合結果判定部３０４に送られる。照合結果判定部３０４の照合結果は、アクセス許可機器格納ＤＢ１９に与えられる。また、照合結果判定部３０４の判定結果は、照合結果送信部３０５に送られ、該照合結果送信部３０５は、クライアント１に照合結果を返す。
【００６９】
一方、アクセス許可機器格納ＤＢ１９に格納されている該当アクセス許可機器格納部１９から読み出された当該アクセス許可機器特定データは、続くアクセス許可時間定義部３１４に送られる。若し、アクセス許可が得られている場合には、アクセス許可時間定義部３１４は、このアクセス許可時間定義部３１４からアクセス許可時間に制限をかけてサービス情報送信部３０５にデータを送るものである。即ち、当該クライアント１とサーバ２とが通信を行なう場合に、アクセス許可時間定義部３１４から通信時間に制限を受けることになる。
【００７０】
この実施の形態例によれば、サーバ未登録のクライアントに直接アクセスを許可する場合に時間制限を設けることを条件とすることができる。
図１７はサーバの他の実施の形態例を示すブロック図であり、クライアント１からサーバ２へのアクセス時の処理を示している。図１５と同一のものは、同一の符号を付して示す。
【００７１】
クライアント１からのパケットデータはパケットデータ受信部３００に入る。該パケットデータ受信部３００は受信したパケットデータをパケットデータ分離部３０１に与える。該パケットデータ分離部３０１は、受信したパケットデータを生体特徴情報とクライアント機器特定情報に分離する。
【００７２】
アクセス許可機器確認判定部３１０は、アクセス許可機器格納ＤＢ１９を参照してクライアント機器特定条情報が定義されているかどうか判定する。当該クライアント機器特定情報が定義されている場合、アクセス許可機器確認判定部３１０は、生体特徴情報データを照合対象生体特徴情報特定部３０２に与える。クライアント機器特定情報がアクセス許可機器格納ＤＢ１９に格納されていない場合、アクセス許可機器確認判定部３１０はアクセス不許可通知部３２０にその旨を通知し、該アクセス不許可通知部３２０はその旨を通信切断部３２２に通知して通信を切断する。同時に、クライアント１にアクセス不許可通知を行なう。
【００７３】
クライアント機器特定情報がアクセス許可機器格納ＤＢ１９に記憶されていた場合、該照合対象生体特徴情報特定部３０２は、本人認証情報格納ＤＢ１８から生体特徴情報を読み出して生体特徴情報照合部３０３に与える。該生体特徴情報照合部３０３は、生体特徴情報の照合を行なう。この照合結果は、照合結果判定部３０４に送られる。
【００７４】
該照合結果判定部３０４は判定結果が一致しない場合、照合失敗通知部３２１にその旨を通知し、該照合失敗通知部３２１は生体特徴情報の照合失敗をクライアント１に通知すると共に、通信切断部３２２により通信を切断する。
【００７５】
判定結果が一致した場合、照合結果判定部３０４はその旨をアクセス時間経過確認部３１５に通知する。アクセス許可時間定義部３１４は、通信できる時間を決めており、その時間は、アクセス時間経過確認部３１５に通知される。該アクセス時間経過確認部３１５の出力は、サービス情報送信部３０５に与えられ、サービス情報の通信がクライアントとの間で決められた通信時間内で行なわれる。
【００７６】
この実施の形態例によれば、サーバ未登録のクライアントに直接アクセスを許可する場合に時間制限を設けることを条件とすることができる。
図１８はデータ作成から仲介機へデータ送信するまでのクライアントの構成例を示すブロック図である。図１９は仲介機でのデータ作成からサーバへの送信までの仲介機の構成例を示すブロック図である。何れも、生体特徴情報の抽出処理をクライアントで行なうのではなく、クライアント１から仲介機３に画像としての生体情報を送り、仲介機３で生体特徴点抽出を行ない、抽出した特徴点情報とクライアント特定情報とでパケットデータを作成し、サーバ２に送信する装置構成を示している。図１８はクライアント１の装置構成を、図１９は仲介機３の装置構成を示している。
【００７７】
先ず図１８について説明する。指紋採取部１００で指紋を採取する。この指紋情報は続くパケットデータ生成部１１２に送られる。一方、パケットデータ生成部１１２は、付加情報定義部１０３からの機器特定情報（付加情報）が入力されるようになっている。パケットデータ生成部１１２は、指紋情報と機器特定情報（付加情報）とを合わせてパケットデータを生成する。生成されたパケットデータは、続くパケットデータ送信部１０４に入り、該パケットデータ送信部１０４から仲介機３に送信される。
【００７８】
図１９において、パケットデータ受信部２００は、クライアント１からのパケットデータを受信する。受信したパケットデータは、続く指紋特徴データ抽出部１０１で指紋特徴データが抽出される。指紋特徴データと、中継器付加情報定義部２０２の出力は、パケットデータ生成部２１１に入り、パケットデータ化される。パケットデータに変換されたデータは、パケットデータ送信部２０３からサーバ２に送られる。
【００７９】
この実施の形態例によれば、クライアント１からサーバ２に仲介機３を介してアクセスする場合に、生体情報（ここでは指紋情報）の抽出処理を仲介機３に行なわせることができる。
【００８０】
図２０はパケットデータ生成例を示す図である。図に示すように、パケットデータは、パケットデータヘッダ　２０、指紋特徴情報２１及びクライアント特定情報より構成されている。パケットデータヘッダ２０は、パケットデータヘッダ長２０ａ、指紋特徴情報長２０ｂ、クライアント機器特定情報（付加情報）長２０ｃ及び仲介機付加情報長２０ｄより構成されている。これらパケットデータヘッダ２０の各構成要素は、何れも例えば２バイトで構成されるようになっている。
【００８１】
図２１はクライアントで作成するパケットデータを示す図である。パケットデータはパケットヘッダ２３と、生体特徴情報（指紋特徴情報）２４と、電話番号２５より構成されている。ここで、電話番号は機器特定情報に相当する。パケットヘッダ２３は、パケットデータヘッダ長２３ａ、指紋特徴情報長２３ｂ、クライアント機器特定情報（付加情報）長２３ｃ及び仲介機付加情報長２４ｄより構成されている。
【００８２】
図２２は仲介機で作成するパケットデータの例を示す図である。図に示すようにパケットヘッダ２６と、生体特徴情報２７と、携帯電話番号２８、２９より構成されている。パケットヘッダ２６は、パケットデータヘッダ長２６ａ、指紋特徴情報長２６ｂ、クライアント機器特定情報長２７ｃ、仲介機特定情報長２７ｄより構成されている。携帯電話番号２８はクライアントの電話番号であり、電話番号２９は仲介機３の電話番号である。
【００８３】
図２３は本人認証情報格納ＤＢのフィールド構成を示す図である。図に示すように、登録機器情報長３０ａ、登録機器情報３０ｂ、生体特徴情報長３０ｃ及び生体特徴情報３０ｄから構成されている。
【００８４】
図２４はアクセス許可機器格納ＤＢのフィールド構成を示す図である。図に示すように、登録機器情報長３１と、登録機器情報３２と、アクセス許可機器特定情報長３３と、アクセス許可機器特定情報３４より構成されている。
【００８５】
図２５〜図２７は、パケットデータの一部又は全部を暗号化してデータの送受信を行なう場合の装置構成を示す図である。図２５は本発明のクライアントの実施の形態例を示すブロック図である。図４と同一のものは、同一の符号を付して示す。
【００８６】
指紋採取部１００から指紋情報が採取される。採取された指紋情報は、指紋特徴データ抽出部１０１に送られ、該指紋特徴データ抽出部１０１は指紋情報の特徴を抽出する。指紋情報における特徴情報としては、指紋像の山と谷、分岐線等が用いられる。
【００８７】
指紋特徴データ抽出部１０１で抽出された指紋特徴データは、パケットデータ生成部１０２に入力される。該パケットデータ生成部１０２には、付加情報定義部１０３から機器の特定情報が入力され、パケット生成部１０２は指紋特徴情報と機器の特定情報からパケットデータを生成して、パケットデータ暗号化部１５０に送る。パケットデータ送信部１０４は、パケットデータ暗号化部１５０から与えられた暗号データを受信して仲介機３に送信する。
【００８８】
図２６は本発明の仲介機の実施の形態例を示すブロック図である。　図１９と同一のものは、同一の符号を付して示す。図２６は、仲介機３でクライアント１から送られてきた暗号化が施されたデータを解読して仲介機３の特定情報を追加し、再度暗号化してサーバ２に転送する装置を構成している。
【００８９】
パケットデータ受信部２００は、クライアント１から送られてくるパケットデータを受信し、パケットデータ暗号解読部２５０に送る。該パケットデータ暗号解読部２５０は、受信したパケットデータの暗号を解読して生体特徴情報とクライアント機器特定情報を抽出する。パケットデータ暗号解読部２５０で解読されたデータは、パケットデータ生成部２０１に送られる。該パケットデータ生成部２０１には、仲介機付加情報定義部２０２が接続されており、仲介機の特定情報が出力される。
【００９０】
パケットデータ生成部２０１は、受信したデータに仲介機の特定情報を追加したパケットデータを生成する。パケットデータはパケットデータ暗号化部１５０に送られ、該パケットデータ暗号化部１５０で暗号化される。そして、暗号化されたパケットデータは、パケットデータ送信部２０３からサーバ２に送信される。
【００９１】
図２７は本発明のサーバの他の実施の形態例を示すブロック図である。図１６と同一のものは、同一の符号を付して示す。図に示す装置は、サーバ２で仲介機３から送られてきた暗号化が施されたデータを解読して、生体情報照合を行なってアクセスを許可するものである。
【００９２】
仲介機３から送られてきたパケットデータは、パケットデータ受信部３００で受信され、パケットデータ暗号解読部３５０に送られる。該パケットデータ暗号解読部３５０は、受信したパケットデータを解読する。解読されたパケットデータはパケットデータ分離部３０１に与えられ、該パケットデータ分離部３０１は、生体特徴情報とクライアント特定情報と仲介機特定情報に分離する。
【００９３】
この内、照合対象生体特徴情報特定部３０２は、パケットデータ分離部３０１からの生体特徴情報と、本人認証情報格納ＤＢ１８から読み出した生体特徴情報を生体特徴情報照合部３０３に与える。該生体特徴情報照合部３０３は、双方の生体特徴情報を照合する。
【００９４】
照合結果判定部３０４は、照合が一致するかどうか判定する。照合が一致した場合には、アクセス許可機器格納ＤＢ１９に当該クライアントの付加情報を登録した後、照合結果送信部３０５から仲介機３に送信される。
【００９５】
この実施の形態例によれば、暗号化により通信の安全を図ることができる。
図２８は本発明の実施の形態例を示すブロック図である。図において、１はクライアント、２はサーバ、３は仲介機である。クライアント１で画像採取を行ない（▲１▼）、仲介機３に採取した画像を送信する（▲２▼）。該仲介機３は採取した画像から生体特徴情報を抽出する（▲３▼）。抽出された生体特徴情報は、クライアント１に返送される（▲４▼）。クライアント１は、生体特徴情報を得ると、サーバ２に生体特徴情報を送信し（▲５▼）、通信の許可を依頼する。
【００９６】
図２９は本発明のクライアントの実施の形態例を示すブロック図、図３０は本発明の仲介機３の実施の形態例を示すブロック図である。図２８〜図３０は、クライアント１からサーバ２にアクセスして通信を開始する際に、クライアント１で生体特徴情報を抽出するのではなく、採取した生体画像を仲介機３に送り、該仲介機３では受信した生体画像から生体特徴情報を抽出してクライアント１に返送し、クライアント１はその生体特徴情報でパケットデータを作成してサーバ２にアクセスし、通信を行なうシステムを示している。
【００９７】
図２９において、指紋採取部１００は指紋情報を採取する。指紋画像仲介機送信部１８０は仲介機３に指紋画像情報を送信する。仲介機３は送信されてきた指紋情報から指紋の特徴情報を抽出し、指紋特徴データ受信部１８１に送信する。指紋特徴データ受信部１８１は、受信した指紋特徴情報をパケットデータ生成部１１２に与える。該パケットデータ生成部１１２は、受信した指紋特徴情報と付加情報定義部１０３に記憶されている機器特定情報を読み出したものをパケットデータに生成する。そして、パケットデータ送信部１０４からサーバ２に送信する。
【００９８】
図３０において、指紋画像受信部２８０はクライアント１からの指紋情報を受信する。指紋特徴データ抽出部１０１は、受信した指紋情報から指紋特徴データを抽出する。抽出された指紋特徴データは、指紋特徴情報送信部２８１からクライアント１に返送される。
【００９９】
この実施の形態例によれば、クライアント１からサーバ２にアクセスする場合に、該クライアント１の生体特徴情報を仲介機３が抽出してクライアント１に与え、クライアント１からサーバ２に該生体特徴情報（指紋特徴データ）を送信することができる。
【０１００】
図３１は本発明のサーバにおける認証処理の装置構成を示す図である。この実施の形態例は、パケットデータがＩＤとパスワードによる本人認証を要求するものである場合に、ＩＤ（付加情報）とパスワードで本人認証を行なうようにしたものである。図２７と同一のものは、同一の符号を付して示す。図の本人認証情報格納ＤＢ１８には、照合に用いる生体特徴情報と、ＩＤ／パスワードが予め登録されている。
【０１０１】
パケットデータ受信部３００は、仲介機３からのパケットデータを受信すると、パケットデータ分離部３０１にパケットデータを渡す。該パケットデータ分離部３０１は、受信したパケットデータを生体特徴情報と、クライアント機器特定情報と仲介機特定情報と、ＩＤ／パスワードとに分離する。該パケットデータ分離部３０１で分離された情報は、照合種別判定部３８０に送られる。
【０１０２】
該照合種別判定部３８０は、照合対象生体特徴情報特定部３０２に信号を与える。該照合対象生体特徴情報特定部３０２は、送られてきた生体特徴情報と、本人認証情報格納ＤＢ１８に記憶されている生体特徴情報を読み出して生体特徴情報照合部３０３に与える。該生体特徴情報照合部３０３は、双方の生体特徴情報の照合を行なう。照合結果は、照合結果判定部３０４に与えられる。
【０１０３】
一方、照合対象ＩＤパスワード特定部３８２は、本人認証情報格納部１８に格納されているＩＤ／パスワードを読み出し、続くＩＤ／パスワード照合部３８３で双方のＩＤ／パスワードを照合する。該ＩＤ／パスワード照合部３８３による照合結果は、照合結果判定部３０４に通知される。
【０１０４】
照合結果判定部３０４は、生体特徴情報とＩＤ／パスワードの双方とが一致した場合のみ、アクセス許可機器格納ＤＢ１９に当該機器の付加情報を書き込み、照合結果送信部３０５から仲介機３に送信される。
【０１０５】
この実施の形態例によれば、生体特徴情報と機器特定情報に加えて、パスワードと機器特定情報とから本人認証を行なうことができる。
以降に説明する実施の形態例では、生体情報認証の手段として、指紋を用いて説明するが、これらはいずれも指紋認証に限定しているわけではなく、生体情報とは、指紋、声紋、虹彩等さまざまな生体情報を使用することができる。
（第１の具体的実施の形態例）
本発明の第１の具体的実施の形態例として、クライアント１には指紋採取機能付き携帯電話、仲介機３にはＰＤＡ（Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｃｅ：個人の情報を処理・管理してくれるアシスタント機能を持った端末）を用いて、サーバコンピュータへのアクセス許可依頼と通信開始について説明する。
【０１０６】
先ず、クライアント１から仲介機３を通してサーバ２にアクセス許可依頼をする処理を説明する。クライアント１における仲介機３へのアクセス許可依頼の開始は、処理の流れと装置構成は、図３、図４で説明したものと同様である。先ず、クライアント１が持つ指紋採取機能で、指紋を画像として採取する。この際の採取方法は、面型センサで指紋画像を採取する方法や、スイープ型センサとよばれる走査方式で短冊型の複数枚の画像を採取して連結させる方法等が考えられるが、特にその方法を限定するものではない。
【０１０７】
次に、このようにして採取した画像から、指紋が持つ特徴点情報を抽出する。特徴点抽出方法については、既に様々な方法が提案されており、ここでは特にその方法を限定するものではない。但し、特徴点による指紋比較ではなく、画像そのもののマッチングを行なうのであれば、この処理は省略してもかまわない。
【０１０８】
このようにして抽出した指紋特徴点情報（又は指紋画像）に、クライアント１を識別するための情報を付加し、パケットデータを生成する。ここでは、付加情報としては携帯電話の電話番号を使用するものとして説明する。即ち、パケットデータ生成において、採取した指紋画像から抽出した指紋特徴情報に、携帯電話番号を自動的に付加する。
【０１０９】
また、指紋特徴点情報と携帯電話番号だけでパケットデータを生成するのではなく、パケットデータの構成例として、例えば図２０に示すような形式とすることもできる。本実施の形態例では、図２０に示す形式でパケットデータを構成するものとして説明する。
【０１１０】
クライアント特定情報を１１桁の携帯電話番号とし、１桁を１バイトとすると、本実施の形態例のクライアントから仲介機３に送るパケットデータの構成は、図２１に示すようなものとなる。なお、ここでは付加情報である携帯電話番号を１桁１バイトとして説明したが、０〜９までの数字は０．５バイト（４ビット）でも表わすことができるので、特にその格納方式を限定するものではない。指紋特徴情報長には、実際の指紋データのサイズを格納する。クライアント１から仲介機３にパケットデータを送る際には、仲介機の付加情報は存在しないので、仲介機付加情報長は０ｘ００である。こうしてクライアント１で作成したデータを仲介機３に送る。
【０１１１】
次に、クライアント１から送られてきたパケットデータを仲介機とするＰＤＡで受信し、ＰＤＡの機器特定情報、即ち、サーバ２に登録してある登録指紋検索のための情報を付加してサーバ２に送信するまでを説明する。処理の流れと装置構成は、図５、図６で説明したものと同様である。先ず仲介機３のパケットデータ受信部２００で、クライアント１から送信されてきたパケットデータを受信する。
【０１１２】
次に、仲介機３の特定情報を追加する。仲介機３の特定情報については特に限定するものではないが、本実施の形態例では、ＰＤＡにＰＨＳモデムが装着されているものとして、そのＰＨＳ電話番号を特定情報とする。仲介機特定情報を１１桁の電話番号として、１桁を１バイトとすると、本実施の形態例の仲介機３からサーバ２に送るパケットデータの構成は、図２２に示すようなものとなる。図において、２８はクライアント電話番号、２９は仲介機（ＰＨＳ）の電話番号である。
【０１１３】
なお、仲介機特定情報の格納方法についても、前述クライアント特定情報と同様であり、その格納方法を限定するものではない。このようにして、ＰＤＡでは、クライアント１で作成したデータに仲介機３の特定情報を加えて、パケットデータをサーバ２に送信する。
【０１１４】
次に、仲介機３から送られてきたパケットデータをサーバ２で受信し、クライアント１からの直接アクセスを認めて、仲介機３を介してクライアント１に結果を通知するまでの動作を説明する。処理の流れと装置構成は、図７、図８と同様である。
【０１１５】
先ず、サーバ２のパケットデータ受信部３００で、仲介機３から送信されたパケットデータを受信して、パケットヘッダを参照しながらパケットデータを項目毎に分離する。即ち、生体特徴情報、クライアント特定情報、仲介機特定情報である。次に、本人認証情報格納ＤＢ１８のフィールド構成は、例えば図２３に示すようなものであり、複数のレコードが存在しているので、分離した仲介機付加情報とＤＢフィールドの登録機器付加情報が一致する生体特徴情報を生体照合を行なうデータとして特定し、生体特徴情報照合部３０３で生体特徴情報照合を行なう。
【０１１６】
このようにして照合に成功した場合、照合結果判定部３０４はアクセス許可機器格納ＤＢ１９にクライアント１の付加情報を機器特定情報として登録する。アクセス許可機器格納ＤＢ１９のフィールド構成は、例えば図２４に示すようなものとなっている。そして、照合結果判定部３０４は一致した仲介機特定情報と結びつけてアクセス許可機器格納ＤＢ１９に登録する。そして、仲介機３を介してクライアント１に以降のアクセスを許可するか否かを返信する。このようにして、以降のクライアント１からの直接アクセスを待つ。
【０１１７】
次に、ここまでの処理でサーバ２にアクセス許可が与えられたクライアント１から直接サーバ２にアクセスしてクライアントサーバシステムとしての通信を開始するまでの処理を説明する。
【０１１８】
先ず、クライアント１における処理の流れは図１０に示す流れと同様でよい。装置構成は、図４と同様である。前述したアクセス許可依頼と異なるのは、データを送信する先が仲介機３ではなく、サーバ２であるということだけである。パケットデータの生成内容についても、前述のアクセス許可依頼と同様なので、説明は省略する。
【０１１９】
次に、クライアント１から送られてきたパケットデータをサーバ２で受信し、本人認証を行なって通信を開始するまでの処理を説明する。処理の流れと装置構成は、図１１、図１２と同様である。
【０１２０】
先ず、パケットデータ分離部３０１は、クライアント１からのパケットデータを生体特徴情報とクライアント機器特定情報に分離する。そして、前述したアクセス許可機器格納ＤＢ１９から、クライアント機器特定情報をキーにしてアクセス許可機器特定情報フィールドと一致するレコードの登録機器情報を参照する。
【０１２１】
次に、このようにして特定された登録機器情報をキーにして、照合対象生体特定情報特定部３０２は、本人認証情報格納ＤＢ１８から登録機器付加情報が一致するレコードを検索し、照合対象とする登録生体特徴情報を特定する。そして、この２つのデータの照合を行ない、照合成功であれば、サーバ２からクライアント１に提供するサービスメニュー等をサービス情報送信部３０５からクライアント１に通知し、クライアントサーバシステムとしての通信を開始する。
（第２の具体的実施の形態例）
本発明の第２の具体的実施の形態例として、仲介機３とサーバ２とは直接対話を行なわず、クライアント１から仲介機３を利用してアクセス許可依頼を行ない、クライアント１がサーバ２との通信を開始する例を説明する。
【０１２２】
先ず、図３２のように、仲介機３は生体情報照合機能を持ち、仲介機３の内部には予め複数のクライアント機器を所有する利用者の指紋特徴データを保持しているものとする。図３２は仲介機の一実施の形態例を示すブロック図である。クライアント１からは、指紋を画像として採取して特徴点データを抽出して仲介機３に送るのであるが、この流れは前述の第１の具体的実施の形態例と同様であるので、説明は省略する。
【０１２３】
仲介機３では、送られてきた指紋特徴データと、予め仲介機３内部の指紋特徴点データ格納部４０１に登録されている指紋特徴データを生体特徴情報照合部３０３で照合し、一致した場合、サーバ２に対してサーバアクセス＆切断部４０２から電話をかける。この際、サーバ２とは回線が繋がる必要はない。あくまでも、サーバ２側に仲介機３からの着信履歴を残すだけである
次に、仲介機３は、指紋特徴データが一致していれば、照合結果判定部３０４からクライアント１に対して照合成功を知らせる旨を返すと共に、自己の機器特定情報（サーバに登録しているＩＤ）を返す。この時点で、サーバ２には、仲介機３からのアクセスが着信履歴として残り、クライアント１はサーバ２に登録されている仲介機器特定情報を知ることができる。
【０１２４】
次に、クライアント１は、先に仲介機３に送った指紋特徴データと、仲介機３から返された仲介機特定情報を元にパケットデータを作成する。この際のパケットデータを図３３に示す。図３３はクライアントからサーバに送るパケットデータの例を示す図である。該パケットデータは、パケットヘッダ４０、生体特徴情報４１、クライアント特定情報４２及び仲介機特定情報４３から構成されている。パケットヘッダ４０は、パケットデータヘッド長４０ａと、指紋特徴情報長４０ｂと、クライアント付加情報長４０ｃと、仲介機付加情報長４０ｄより構成されている。
【０１２５】
図中のクライアント特定情報４２は、サーバ２では実際には参照しない。仲介機特定情報４３に、前述の仲介機特定情報を指定する。そして、クライアント１は、このパケットデータをサーバ２に送信する。
【０１２６】
次に、サーバ内部の処理について説明する。仲介機３からの着信履歴があった場合、クライアント１からの直接アクセスでも、その仲介機３の着信履歴である電話番号が示す機器特定情報持つパケットデータであれば、ごくわずかな時間だけアクセスを許可する。この場合、装置の構成としては、図１７に示す構成となる。
【０１２７】
即ち、アクセス許可時間定義部３１４には、クライアント機器特定情報ではなく、仲介機特定情報と、そのアクセス許可時間を定義しておく。このようにして、前述のパケットデータがクライアント１から送られてきた場合、サーバ２はそのパケットデータ内の仲介機特定情報と結びつく指紋特徴データを本人認証情報格納ＤＢ１８から参照し、パケットデータ内の指紋特徴データとの比較を行なう。照合成功で、かつ許可時間内のアクセスであれば、サーバ２からクライアント１に提供するサービスメニュー等をサービス情報送信部３０５からクライアント１に送信し、クライアントサーバシステムとしての通信を開始する。
【０１２８】
なお、実施の形態例としてここまで説明した装置毎の認証情報の流れは、特にそのアルゴリズムやＤＢフィールド構成を限定するものではなく、本発明に必要となる処理を示しているにすぎない。例えば、サーバ内部の認証処理においては、図１３に示すように、データがクライアント１から送られてきたものか、或いは仲介機３を介して送られてきたものかを判断して、データを送信してきた機種毎に処理を分岐するような、複合的なアルゴリズムにしてもよいことは言うまでもない。
【０１２９】
以上、説明したように、本発明によれば、サーバ２に登録されていないクライアント機器からサーバにアクセスする際に、予め登録してある仲介機を経由してアクセス許可を依頼し、仲介機の機器特定情報と生体情報認証により本人と認証されれば、サーバに登録していない機器からのアクセスを受け付けるようにして、その後にクライアントからアクセスすれば、クライアント機器がサーバに登録されていなくても、クライアントサーバとしての通信を行なうことができる。また、サーバに登録済みのクライアント機器と、サーバに未登録のクライアント機器で、サービスメニューを分ける等の処理を行なえば、拡張性の高いクライアントサーバシステムを構築することができる。
【０１３０】
（付記１）　クライアントから生体特徴情報と機器特定情報をサーバに送信し、サーバでは予め登録しておいた生体特徴情報及び機器特定情報で本人であることを確認して、本人と特定できたらクライアントに対してアクセスを許可するクライアントサーバシステムにおいて、
生体情報を画像として採取する機能と採取した生体画像から生体特徴情報を抽出する機能を持つクライアントと、
生体特徴情報と機器特定情報で本人認証を行なうサーバと、
前記クライアントと該サーバの仲介を行なう仲介機とを持ち、
前記クライアントの機器特定情報はサーバに登録しないで、該仲介機の機器特定情報を登録機器として前記サーバに登録しておき、
前記クライアントからは仲介機を介して間接的に前記サーバに生体特徴情報照合を依頼し、
前記サーバで、生体特徴情報と前記仲介機の機器特定情報で本人認証を行ない、
本人と確認された場合、前記クライアントの機器特定情報がサーバに登録されていない場合でも、前記クライアントからの直接アクセスを許可することを特徴とする仲介機を用いたクライアントサーバシステム。
【０１３１】
（付記２）　サーバ未登録クライアントに対してサーバ側で直接アクセスが許可されている場合、サーバ未登録クライアントから生体特徴情報と機器特定情報をサーバに送信し、
該サーバで生体特徴情報と機器特定情報で本人認証を行ない、
本人と確認された場合、通信を継続することを特徴とする付記１記載の仲介機を用いたクライアントサーバシステム。
【０１３２】
（付記３）　前記各装置からデータを送受信する際には、データ全体又はその一部を暗号化することを特徴とする付記１又は２の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３３】
（付記４）　前記サーバに登録されていないクライアントから仲介機に生体特徴情報と機器特定情報を送信する際に、無線方式を用いることを特徴とする付記１乃至３の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３４】
（付記５）　前記クライアントがサーバに登録されている場合は、仲介機を経由することなく通常のクライアントサーバシステムとして動作することを特徴とする付記１乃至４の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３５】
（付記６）　前記サーバ未登録のクライアントに直接アクセスを許可する場合、提供サービスに特定の制限を設けることを特徴とする付記１乃至５の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３６】
（付記７）　前記サーバ未登録のクライアントに直接アクセスを許可する場合、時間制限を設けることを特徴とする付記１乃至５の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３７】
（付記８）　前記仲介機は生体画像から生体特徴情報を抽出する機能を持ち、前記クライアントが該仲介機を介してサーバにアクセスする場合には、クライアントで採取した生体画像を仲介機に送り、該仲介機で生体特徴情報の抽出を行なうことを特徴とする付記１乃至５の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３８】
（付記９）　前記仲介機は生体情報から生体特徴情報を抽出する機能を持ち、前記クライアントからサーバに通信開始のアクセスを行なう場合に、該クライアントで採取した生体画像を前記仲介機に送り、該仲介機で生体特徴情報の抽出を行なって前記クライアントに該生体特徴情報を返送し、該生体特徴情報をクライアントからサーバに送信することを特徴とする付記１乃至５の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１３９】
（付記１０）　前記クライアントとして携帯可能なモバイル機器を使用することを特徴とする付記１乃至９の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１４０】
（付記１１）　前記仲介機として、携帯可能なモバイル機器を使用することを特徴とする付記１乃至１０の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１４１】
（付記１２）　前記仲介機として、パーソナルコンピュータを用いたことを特徴とする付記１乃至１０の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１４２】
（付記１３）　前記サーバでは、生体特徴情報と機器特定情報による本人認証機能を持つと共に、パスワードと機器特定情報による本人認証機能を持つことを特徴とする付記１乃至１２の何れかに記載の仲介機を用いたクライアントサーバシステム。
【０１４３】
【発明の効果】
以上説明したように、本発明によれば、以下の効果が得られる。
（１）請求項１記載の発明によれば、サーバには、仲介機を識別するＩＤや電話番号等を付加情報として登録しておき、サーバに登録されていない機器からは、仲介機を経由して間接的に本人認証を行なう。このような構成をとることにより、サーバに未登録の機器からでもサーバにアクセスすることを可能とすることができる。
（２）請求項２記載の発明によれば、サーバ未登録クライアントに対してもサーバと通信することが可能となる。
（３）請求項３記載の発明によれば、通信の安全を図ることができる。
（４）請求項４記載の発明によれば、未登録クライアントから仲介機に無線で生体特徴情報とクライアント特定情報を送信することができる。
（５）請求項５記載の発明によれば、クライアントがサーバに登録されている場合には、仲介機を経由することなく、サーバとの間で直接通信をすることが可能となる。
【０１４４】
このように、本発明によれば、サーバに登録するクライアント機器は唯一の機種とし、クライアントとなりうる複数のモバイル機器を自己所有している場合でも、従来の堅牢性を維持しながら、未登録機器からサーバへアクセスすることができる仲介機を用いたクライアントサーバシステムを提供することができる。
【図面の簡単な説明】
【図１】本発明の原理ブロック図である。
【図２】サーバ受信データの構成を示す図である。
【図３】クライアントでのデータ作成から仲介機へのデータ送信までの処理を示すフローチャートである。
【図４】クライアントでのデータ作成から仲介機へのデータ送信までの処理を示す装置構成を示すブロック図である。
【図５】仲介機でのデータ受信からサーバへのデータ送信までの処理を示すフローチャートである。
【図６】仲介機でのデータ受信からサーバへのデータ送信までの処理の装置構成例を示すブロック図である。
【図７】サーバにおける認証処理の流れを示すフローチャートである。
【図８】サーバにおける認証処理の装置構成を示すブロック図である。
【図９】クライアント・仲介機・サーバ間の通信の流れの説明図である。
【図１０】クライアントにおけるサーバへのアクセス依頼の流れを示すフローチャートである。
【図１１】サーバにおける本人認証と通信開始までの流れを示すフローチャートである。
【図１２】サーバにおける本人認証と通信開始までの装置構成を示すブロック図である。
【図１３】受信パケットデータ内容によりサービスの開始からアクセス認可を行なう処理の流れを示すフローチャートである。
【図１４】受信パケットデータ内容によりサービスの開始かアクセス認可を行なう処理の装置構成を示すブロック図である。
【図１５】本発明を実施する構成例を示すブロック図である。
【図１６】サーバの一実施の形態例を示すブロック図である。
【図１７】サーバの他の実施の形態例を示すブロック図である。
【図１８】データ作成から仲介機へデータ送信するまでのクライアントの構成例を示すブロック図である。
【図１９】仲介機でのデータ作成からサーバへの送信までの仲介機の構成例を示すブロック図である。
【図２０】パケットデータ生成例を示す図である。
【図２１】クライアントで作成するパケットデータを示す図である。
【図２２】仲介機で作成するパケットデータの例を示す図である。
【図２３】本人認証情報格納ＤＢのフィールド構成を示す図である。
【図２４】アクセス許可機器格納ＤＢのフィールド構成を示す図である。
【図２５】本発明のクライアントの実施の形態例を示すブロック図である。
【図２６】本発明の仲介機の実施の形態例を示すブロック図である。
【図２７】本発明のサーバの他の実施の形態例を示すブロック図である。
【図２８】本発明の実施の形態例を示すブロック図である。
【図２９】本発明のクライアントの実施の形態例を示すブロック図である。
【図３０】本発明の仲介機の実施の形態例を示すブロック図である。
【図３１】本発明のサーバにおける認証処理の装置構成を示すブロック図である。
【図３２】仲介機の一実施の形態例を示すブロック図である。
【図３３】クライアントからサーバに送るパケットデータの例を示す図である。
【図３４】従来のクライアントサーバシステムの概念図である。
【符号の説明】
１　クライアント
２　サーバ
３　仲介機
４　データベース[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a client server system using an intermediary machine.
In recent years, a mechanism for collecting biometric information such as a fingerprint is added to a mobile device such as a mobile phone, and feature data extracted from the collected biometric information is transmitted to a server using a communication function such as a mobile phone, A client-server system that performs personal authentication by comparing with biometric information registered in advance on a server side is used.
[0002]
In such a system, there is a high possibility that an erroneous person will be recognized as the person in proportion to the number of accesses, and therefore, the mobile phone number and the model ID are transmitted together with the biometric information, and the registered mobile phone is transmitted. By authenticating the person only when both the telephone number or the model ID and the biometric information match, the probability of erroneously recognizing another person as the person is reduced. In such a system, it is convenient to be able to access the server from a device that is not registered in advance while maintaining the conventional security.
[0003]
[Prior art]
There is known a client-server system in which a plurality of clients and a server are connected and exchange data. In this type of system, biometric information (for example, fingerprint feature data) collected from a client such as a mobile phone is sent to the server in order to avoid erroneous authentication (risk of accepting another person) on the server side. Information that uniquely identifies the client is transmitted as additional information, and the server compares the biometric information registered in advance to authenticate the user. Then, when both the biometric information and the additional information match, the personal information is recognized and the client is permitted access.
[0004]
Here, as information that can uniquely specify a client, for example, a telephone number of a mobile phone, a model ID, and the like can be considered. FIG. 34 is a conceptual diagram of a conventional client server system. In the figure, reference numeral 1 denotes a client, and 2 denotes a server connected to the client 1. 2a is a personal authentication information storage database (DB) connected to the server 2 and storing various data. Here, a mobile phone is used as the client 1. As a client 1 in this system, a scanner function for collecting a fingerprint as an image is mounted.
[0005]
A fingerprint image is collected using the mobile phone 1 as a client, and fingerprint feature data is extracted from the fingerprint to create fingerprint feature data. The phone number of the mobile phone is automatically added to the fingerprint feature data created in this way and transmitted to the server 2. In this way, if the additional information is created automatically, the trouble of manually inputting the ID can be avoided, and it is possible to specify that the ID is required by the user.
[0006]
On the other hand, the server 2 confirms that the fingerprint characteristic data and the mobile phone number registered in the database 2a in advance match the transmitted data. If both match, the server 2 authenticates itself and sends it to the server. Allow access for If the two do not match, the access is denied as not being the principal.
[0007]
Since biometric information authentication does not leak to others like a password, security for confirming the identity of the user is strengthened.However, brute force verification is performed on multiple registered fingerprint data using fingerprint data for verification. When this is performed (hereinafter, this method is referred to as a one-to-N matching method), there is a high possibility that another person will be recognized as the person.
[0008]
If double authentication is performed using the mobile phone number and the device ID as additional information as in this method, the additional information (here, the mobile phone number) is used as the ID, and the fingerprint feature data associated with the ID and the sent fingerprint are transmitted. The feature data can be matched by one-to-one matching. In this manner, erroneous recognition that is likely to occur in one-to-N matching can be suppressed, and the system can be protected from unauthorized access to the server.
[0009]
[Problems to be solved by the invention]
As described above, even in the related art, a client server system with a low risk of erroneously recognizing another person as a person is constructed by using personal identification based on biometric information when accessing a server and using a model ID such as a telephone number. can do.
[0010]
However, when a client model to which access is permitted is specified in this way, if an attempt is made to access the server from a device other than a registered device (such as a mobile phone not registered in the server), access to the server is permitted even if the fingerprints match. Not done. That is, there is a problem that the server cannot be accessed unless the client is a registered client.
[0011]
Therefore, for example, if the user has a plurality of mobile devices that can be clients and wants to access the server from any mobile device, the server has a plurality of accounts (each mobile device access account) or a single fingerprint data. On the other hand, it is necessary to perform authentication processing using a plurality of mobile device IDs and mobile phone numbers. However, in any case, it cannot be accessed from an unregistered device.
[0012]
In addition, mobile devices such as mobile phones are frequently replaced with new ones, so when a new one is replaced, the login information is renewed to the server with the phone number and device ID of the new model. There is a problem that it is necessary to register and it is very troublesome.
[0013]
The present invention has been made in view of such a problem, and the client device to be registered in the server is the only model, and even if the user owns a plurality of mobile devices that can be clients, the conventional robustness is maintained. It is an object of the present invention to provide a client-server system using an intermediary device that can access a server from an unregistered device while maintaining it.
[0014]
[Means for Solving the Problems]
(1) FIG. 1 is a principle block diagram of the present invention. The same components as those in FIG. 34 are denoted by the same reference numerals. The system shown in the figure transmits the biometric characteristic information and the device identification information from the client to the server, and the server recognizes the user by the biometric characteristic information and the device identification information registered in advance, and can identify the user. After that, a client-server system that permits access to the client is configured.
[0015]
In the figure, reference numeral 1 denotes a client having a function of collecting biometric information as an image and a function of extracting biometric feature information from the collected biometric image, 2 a server for performing personal authentication using biometric feature information and device identification information, and 3 a client This is an intermediary machine that mediates between the server 1 and the server 2. Reference numeral 4 denotes a database connected to the server 2, in which personal authentication information and access-permitted device identification information are registered. In the present invention, only one client is registered in the server 2, and an unregistered device in the server 2 relays a device registered in the server 2 to indirectly request an access to the server. When accessing the server 2 from a client registered in the server 2, direct access is performed as before.
[0016]
The server-unregistered device (client) 1 transmits the biometric characteristic information and the device identification information 1 (for example, a telephone number) indicating its model to the server-registered device (intermediary device) 3 ((1)). Next, the intermediary device 3 adds device specifying information 2 (additional information) indicating its own model to the biometric characteristic information and device specifying information (additional information) sent from the client 1 and transmits the information to the server 2 (▲). 2 ▼). At this time, information of the configuration shown in FIG. 2, reference numeral 10 denotes biometric information for personal authentication of an unregistered device (client) 1, reference numeral 11 denotes device identification information (additional information) of a server unregistered device, and reference numeral 12 denotes additional information (server) of a server-registered device (intermediary device) 3. Device specific information).
[0017]
When the server 2 receives the information shown in FIG. 2, the server 2 specifies data to be collated from the group of biometric information registered in the database 4 with the contents indicated by the additional information 12 of the server registered device, and biometric information for personal authentication. Compare with 10. If the user is authenticated as a result of the comparison, direct access is permitted to the device indicated by the additional information 11 of the device not registered in the server. As a result, the client 1 and the server 2 can communicate directly ((3)). That is, if the client 1 transmits the biometric feature information and the client additional information (device identification information) and is authenticated by the server 2, direct communication with the client 1 becomes possible.
[0018]
In this way, the device 1 not registered in the server 2 proves the identity of the user via the device (intermediary device) 3 registered in the server 2, and if the server 2 can authenticate the user, the device 2 is not registered. But allow access. In this way, even if there are multiple mobile devices owned by the user, processing as a client-server system is possible without creating a login account for each device and maintaining the robustness of conventional identity authentication. become.
[0019]
The present invention relates to a client-server system in which biometric information sent from a client 1 is collated by a server 2 and access is permitted if the biometric information matches the user. An ID, a telephone number, and the like for identifying the intermediary device 3 are registered in the server 2 as device identification information (additional information), and devices not registered in the server 2 are indirectly transmitted via the intermediary device 3. The user is authenticated. With such a configuration, it is possible to access the server 2 even from a device that is not registered in the server 2.
[0020]
In order to recognize a person, it is necessary to register biometric information for performing matching in advance. Therefore, when using the present invention, it is premised that registration information for comparing biometric information input for authentication has already been registered in the database 4.
(2) According to the second aspect of the invention, when direct access is permitted to the server unregistered client on the server side, the server unregistered client transmits biometric characteristic information and device identification information to the server, and the server unregisters the server. Personal authentication is performed using the biometric characteristic information and the device identification information, and communication is continued when the user is confirmed as the user.
[0021]
With this configuration, it is possible to communicate with the server even for a server-unregistered client.
(3) The invention described in claim 3 is characterized in that when data is transmitted / received from / to the respective devices, the entire data or a part thereof is encrypted.
[0022]
With this configuration, communication security can be achieved.
(4) The invention according to claim 4 is characterized in that a wireless method is used when transmitting biometric characteristic information and client identification information from a client not registered in the server to the intermediary device.
[0023]
With this configuration, the biometric characteristic information and the device identification information can be transmitted wirelessly from the unregistered client to the intermediary device.
(5) The invention according to claim 5 is characterized in that when the client is registered in a server, the client operates as a normal client-server system without going through an intermediary machine.
[0024]
With this configuration, when the client is registered in the server, it is possible to directly communicate with the server without going through the intermediary device.
Further, in the present invention, when direct access is permitted to the client not registered in the server, a specific restriction is provided on a provided service.
[0025]
With this configuration, when direct access is permitted to a client whose server has not been registered, it is possible to provide a condition for providing a limited service.
Further, in the present invention, when direct access is permitted to the client not registered in the server, a time limit is set.
[0026]
With this configuration, it is possible to set a time limit when permitting direct access to a server-unregistered client.
Further, in the present invention, the intermediary device has a function of extracting biometric characteristic information from a biological image, and when the client accesses a server via the intermediary device, the biometric image collected by the client is transmitted to the intermediary device. And transmitting the biometric feature information by the intermediary machine.
[0027]
With this configuration, when the client accesses the server via the intermediary device, it is possible to cause the intermediary device to perform the biometric information extraction process.
Further, in the present invention, the intermediary device has a function of extracting biometric characteristic information from biometric information, and when performing access to start communication from the client to a server, sends a biometric image collected by the client to the intermediary device. The biometric feature information is extracted by the intermediary device, the biometric feature information is returned to the client, and the biometric feature information is transmitted from the client to the server.
[0028]
With this configuration, when the client accesses the server, the biometric characteristic information of the client can be extracted and provided to the client, and the biometric characteristic information can be transmitted from the client to the server.
[0029]
Further, in the present invention, a portable mobile device is used as the client.
With this configuration, a mobile device can be used as a client.
[0030]
Further, in the present invention, a portable mobile device is used as the intermediary machine.
With this configuration, a mobile device can be used as an intermediary device.
[0031]
Further, in the present invention, a personal computer is used as the intermediary machine.
With such a configuration, various functions can be incorporated by using a personal computer as an intermediary machine.
[0032]
Further, in the present invention, the server has a personal authentication function using biometric characteristic information and device specifying information, and also has a personal authentication function using a password and device specifying information.
[0033]
With this configuration, personal authentication can be performed based on the password and the device identification information in addition to the biometric characteristic information and the device identification information.
[0034]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
FIG. 3 is a flowchart showing processing from data creation at the client to data transmission to the intermediary machine, and FIG. 4 is a block diagram showing an apparatus configuration showing processing from data creation at the client to data transmission to the intermediary machine. . 1 are denoted by the same reference numerals. First, a fingerprint image is collected by the fingerprint collection unit 100 (S1). Then, the fingerprint feature data extraction unit 101 extracts fingerprint feature information (fingerprint feature points) from the fingerprint image input by the fingerprint collection unit 100 (S2).
[0035]
Many methods have been proposed for extracting fingerprint characteristic information, and any method may be used as long as the extracted characteristic information can be collated on the server side. The fingerprint feature information extracted in this manner is combined with the unique additional information (mobile phone number or the like) 15 of the device defined by the additional information definition unit 103 by the packet data generation unit 102 in the packet data generation unit 102. Is generated as packet data (S3), and transmitted from the packet data transmitting unit 104 to the intermediary device 3 (S4).
[0036]
Here, as a method of transmitting from the unregistered client 1 to the intermediary device 3, not only wired but also biometric characteristic information and client identification information (device identification information) can be transmitted wirelessly.
[0037]
In addition, a mobile device can be used as the client 1. With mobile devices, it becomes portable.
FIG. 5 is a flowchart showing a process from data reception at the intermediary device to data transmission to the server, and FIG. 6 is a block diagram showing an apparatus configuration of a process from data reception at the intermediary device to data transmission to the server.
[0038]
First, the packet data receiving unit 200 receives the packet data sent from the client 1 (S1). The packet data generation unit 201 adds the unique data of the intermediary device 3, that is, the device identification information (additional information) 16 registered in the server 2 (S2). This additional information is unique additional information of the device defined by the relay additional information definition unit 202. The format of the data at this time is as shown in FIG. The packet data thus created is transmitted from the packet data transmitting unit 203 to the server 2 (S3).
[0039]
Here, a mobile device can be used as the intermediary device 3. With mobile devices, it becomes portable. Also, a personal computer can be used as the intermediary machine 3. If a personal computer is used, various functions can be incorporated.
[0040]
FIG. 7 is a flowchart showing the flow of the authentication processing in the server, and FIG. 8 is a block diagram showing the device configuration of the authentication processing in the server. First, the packet data receiving unit 300 receives packet data sent from the intermediary device 3 (S1), and the packet data separating unit 301 performs (1) biometric characteristic information, (2) client device specifying information, and (3) intermediary device. It is separated into three pieces of specific information (S2).
[0041]
Next, the biometric feature information specifying unit 302 specifies biometric feature information to be collated using the intermediary machine specifying information as a key from a plurality of biometric feature information registered in the personal authentication information storage DB 18 and stores the personal authentication information. It is obtained from the DB 18 (S3). The biometric feature information separated by the packet data separating unit 301 and the specified biometric feature information are compared and collated by the biometric feature information matching unit 303 (S4).
[0042]
Next, the collation result determination unit 304 determines whether the collation is successful (S5). If the verification is successful, the unregistered device specifying information separated by the packet data separating unit 301 is written into the access-permitted device storage DB 19 as a device to which direct access is permitted. At the same time, it writes to the access permitted device definition DB 19 (S6). Here, the database 4 of FIG. 1 is configured by the personal authentication information storage DB 18 and the access-permitted device storage DB 19. Next, the collation result transmitting unit 305 transmits to the intermediary machine 3 whether collation has succeeded or failed, that is, whether to permit direct access to the client 1 (S7).
[0043]
FIG. 9 is an explanatory diagram of the flow of communication between the client, the intermediary device, and the server. When the client 1 collects the biometric information and extracts the biometric feature information (1), the client 1 transmits the biometric feature information and the device identification information (device ID) A to the intermediary device 3 (2). Next, the intermediary device 3 adds its own device specifying information B to the biometric characteristic information and device specifying information A sent from the client 1 and transmits the result to the server 3 ([3]).
[0044]
The server 3 reads out the registration information from the registration DB 18 (5) and performs the collation (4). If the collation results match, the result is registered in the access permission DB 19 ([6]). Next, the server 3 transmits a signal indicating permission / non-permission of the access to the intermediary device 3 ([7]). The intermediary device 3 notifies the client 1 of access permission / non-permission ([8]).
[0045]
As described above, according to the present invention, even if there are a plurality of mobile devices owned by the user, the client server system can be used as a client server system without creating a login account for each device and maintaining robustness in the conventional personal authentication. Can be processed.
[0046]
FIG. 10 is a flowchart showing a flow of a client's access request to the server. The device configuration is the same as in FIG. That is, the flow of the access request to the server 2 is the same as the flow of the process from the client 1 to the intermediary device 3 shown in FIG. First, the fingerprint collection unit 100 collects a fingerprint image (S1), and the fingerprint feature data extraction unit 101 extracts fingerprint feature points (S2). Next, the packet data generation unit 102 generates packet data by adding the device identification information 15 of the client 1 given from the additional information definition unit 103 to the extracted fingerprint feature point information (S3). Next, these data are transmitted to the server 2 (S4).
[0047]
FIG. 11 is a flowchart showing a flow from personal authentication to communication start in the server, and FIG. 12 is a block diagram showing a device configuration from personal authentication to communication start in the server. 12, the same components as those in FIG. 7 are denoted by the same reference numerals. The packet data sent from the client 1 is received by the packet data receiving unit 300 (S1), and the packet data separating unit 301 separates the packet data into two pieces of information of biometric characteristic information and client device specifying information (S2).
[0048]
Next, the access-permitted device confirmation determination unit 310 confirms whether or not access is permitted via the intermediary device 3. Specifically, it is confirmed whether or not the client device specifying information is defined from the access permitted device storage DB 19 (S3). If the access is not permitted, the access rejection notifying unit 320 notifies the client 1 that the access is not permitted (S8), and the communication disconnecting unit 322 disconnects the communication (S9).
[0049]
If the access is permitted, the biometric feature information identifying unit 302 acquires the registered biometric feature information linked to the additional information of the access-permitted device from the personal authentication information storage DB 18 (S5). Performs personal authentication (verification) (S6). The result is determined by the matching result determination unit 304 (S7).
[0050]
If they do not match, the matching failure notifying unit 321 notifies the client 1 that the matching has failed (S8), and the communication disconnecting unit 322 disconnects the communication (S9). If they match (that is, if the user is confirmed), the service information transmitting unit 305 transmits information to the client 1 (S10) and starts communication (S11).
[0051]
As described above, according to the present invention, it is possible to communicate with a server even for a server-unregistered client.
FIG. 13 is a flowchart showing the flow of processing for starting a service or granting access according to the contents of received packet data, and FIG. 14 is a block diagram showing an apparatus configuration of processing for starting or granting access based on the contents of received packet data. . In this embodiment, when the client is registered in the server, the biometric information registered in the device identification information of the client is specified to perform biometric collation, and when they match, communication is started as a client-server system, If it has not been registered, access authentication via the intermediary machine is performed.
[0052]
When packet data from the client 1 or the intermediary device 3 is received by the packet data receiving unit 300 (S1), the received data is sent to the packet data separating unit 301. Then, the packet data separating unit 301 separates the received packet data into the following three data (S2).
▲ 1 ▼ Biological characteristic information
(2) Client device identification information
(3) Intermediary machine identification information
The client device registration confirmation determination unit 323 confirms whether or not the data of (2) is defined in the personal authentication information storage DB 18 (S3). Then, it is checked whether or not there is a definition (S4). If there is a definition, the verification target biometric characteristic information specifying unit 302 acquires the registered fingerprint characteristic information associated with the data of (2) from the personal authentication information storage DB 18 (S8).
[0053]
On the other hand, if the definition has not been made, the access-permitted-device confirmation determining unit 310 confirms whether the data of (2) is defined in the access-permitted device storage DB 19 (S5). Then, it is checked whether there is a definition (S6). If there is a definition, the verification target biometric characteristic information specifying unit 302 acquires registered fingerprint characteristic information associated with the data (2) from the personal authentication information storage DB 18 (S7). The matching target biometric information specifying unit 302 sends the acquired registered fingerprint feature information to the biometric feature information matching unit 303. The biometric feature information matching unit 303 compares the biometric feature information stored in the personal authentication information storage DB 18 with the biometric feature information (1) separated in step S1 (S9).
[0054]
As a result of the collation, the collation result determination unit 304 checks whether the collation is successful (S10). If the verification is successful, the service information transmitting unit 305 transmits the service data (S11), and communication between the server 2 and the client 1 is started (S12). In this processing, the client 1 is registered in the server 2, the biometric information registered in the device identification information of the client is specified and biometric matching is performed. To start communication.
[0055]
If the collation fails in step S10, the collation result determination unit 304 notifies the collation failure notification unit 321 of the fact, and the collation failure notification unit 321 notifies the client or the intermediary machine of the collation failure (S13). The communication disconnecting unit 322 disconnects the communication (S14).
[0056]
If the data (2) is not defined in the access permitted device DB 19 in step S6, the client 1 cannot communicate with the server 2. In this case, the intermediary machine registration confirmation determining unit 324 checks whether the data (3) (intermediary machine specifying information) in the packet data is defined in the personal authentication information storage DB 18 (S15). Then, it is determined whether or not the definition has been made (S16).
[0057]
If the intermediary machine identification information has not been defined in the personal authentication information storage DB 18, the process proceeds to step S14, and the communication is disconnected. If the intermediary machine identification information is defined in the personal authentication information storage DB 18 in step S16, the verification target biometric characteristic information specifying unit 302 determines the biometric characteristic information to be verified from the data (3) of the packet data. It is obtained from the storage DB 18 (S17), and the biometric feature information matching unit 303 checks the biometric feature information (S18). Here, the biometric feature information to be collated is biometric feature information of the client 1. That is, the biometric feature information of the client 1 stored in advance in the personal authentication information storage DB 18 as the biometric feature information is collated with the biometric feature information separated in step S2.
[0058]
The collation result determination unit 304 checks whether the collation is successful (S19). If the verification is successful, the device indicated by the client device additional information (2) in the packet data is registered in the access permitted device DB 19 as a device to which direct access is permitted (S20). Thereafter, the access permission / non-permission is transmitted from the access denial notifying unit 320 to the intermediary device 3 (S21).
[0059]
According to this embodiment, when the client is registered in the server, it is possible to directly communicate with the server without going through the intermediary machine.
[0060]
FIG. 15 is a block diagram showing a configuration example for implementing the present invention. The same components as those in FIG. 14 are denoted by the same reference numerals. This embodiment shows a system configuration in a case where a service is restricted for a device to which access is permitted via an intermediary device.
[0061]
When the packet data from the client 1 is received by the packet data receiving unit 300, the received data is sent to the packet data separating unit 301. Then, the packet data separating unit 301 separates the received packet data into biometric characteristic information and client device specifying information. The separated data is input to the access permitted device confirmation determination unit 310. The access-permitted device confirmation determination unit 310 refers to the access-permitted device storage DB 19 and checks whether client device identification information is defined.
[0062]
If the device identification information of the client is not defined in the access-permitted device storage DB 19, the output of the access-permitted device confirmation determination unit 310 is sent to the access-disapproval notification unit 320. The access-disapproval notifying unit 320 notifies the client 1 of the access-disapproval and notifies the communication disconnecting unit 322 of a signal to disconnect the communication.
[0063]
If the device identification information of the client is defined, the access-permitted device confirmation determination unit 310 notifies the verification target biometric characteristic information identification unit 302 of that fact. The verification target biometric feature information specifying unit 302 reads the biometric feature information separated by the packet data separation unit 301 and the biometric feature information stored in the personal authentication information storage DB 18, and sends out the biometric feature information to the biometric feature information matching unit 303. The biometric feature information matching unit 303 performs matching between the separated biometric feature information and the biometric feature information stored in the personal authentication information storage DB 18.
[0064]
If the collation results do not match, the collation result determination unit 304 notifies the collation result notification unit 321 of that fact. The matching failure notifying unit 321 notifies the client 1 that the matching has failed, and sends a disconnection signal to the communication disconnecting unit 322 to disconnect the communication.
[0065]
If the collation results match, the collation result determination unit 304 notifies the service information transmission unit 305 of that fact. The service information transmitting unit 305 transmits service data, and communication between the server 2 and the client 1 is started. In this case, the output of the provided service content definition unit 313 is given to the service information transmission unit 305, and the service content can be defined for the device to which access is permitted. That is, in the communication between the client 1 and the server 2, the service to the client can be restricted.
[0066]
According to this embodiment, when direct access is permitted to the client 1 whose server has not been registered, it is possible to limit the provided service.
FIG. 16 is a block diagram showing an embodiment of the server. The same components as those in FIG. 15 are denoted by the same reference numerals. FIG. 17 is a block diagram showing another embodiment of the server. These devices are block diagrams illustrating a device configuration in a case where an access-permitted time limit is imposed on a device (client) to which access is permitted via an intermediary device.
[0067]
FIG. 16 shows an internal configuration of the server 2 that processes an access permission request from the intermediary machine 3 to the server 2. When the packet data receiving unit 300 receives the packet data from the intermediary device 1, the subsequent packet data separating unit 301 separates the received data into biometric characteristic information and client device specifying information. Next, the separated information is sent to the matching target biometric feature information specifying unit 302. The verification target biometric feature information specifying unit 302 reads biometric feature information from the personal authentication information storage DB 18.
[0068]
The biometric feature information matching unit 303 compares the biometric feature information separated by the packet data separating unit 301 with the biometric feature information read from the personal authentication information storage DB 18. The collation result is sent to the subsequent collation result determination unit 304. The collation result of the collation result determination unit 304 is given to the access-permitted device storage DB 19. Further, the result of the determination by the matching result determining unit 304 is sent to the matching result transmitting unit 305, and the matching result transmitting unit 305 returns the matching result to the client 1.
[0069]
On the other hand, the access-permitted device specifying data read from the access-permitted device storage unit 19 stored in the access-permitted device storage DB 19 is sent to the subsequent access permitted time definition unit 314. If the access permission has been obtained, the access permission time definition unit 314 sends data to the service information transmission unit 305 by limiting the access permission time from the access permission time definition unit 314. . That is, when the client 1 and the server 2 communicate with each other, the communication time is restricted by the access permission time definition unit 314.
[0070]
According to this embodiment, when direct access is permitted to a client whose server has not been registered, a condition can be set that a time limit is set.
FIG. 17 is a block diagram showing another embodiment of the server, and shows processing when the client 1 accesses the server 2. The same components as those in FIG. 15 are denoted by the same reference numerals.
[0071]
The packet data from the client 1 enters the packet data receiving unit 300. The packet data receiving section 300 gives the received packet data to the packet data separating section 301. The packet data separating unit 301 separates the received packet data into biometric characteristic information and client device specifying information.
[0072]
The access-permitted-device confirmation determining unit 310 refers to the access-permitted device storage DB 19 and determines whether or not the client device identification information is defined. When the client device specifying information is defined, the access-permitted device confirmation determining unit 310 provides the biometric characteristic information data to the matching target biometric characteristic information specifying unit 302. If the client device specifying information is not stored in the access-permitted device storage DB 19, the access-permitted device confirmation determination unit 310 notifies the access denied notification unit 320 of the fact, and the access denied notification unit 320 communicates the fact. Notification is sent to the disconnecting unit 322 to disconnect the communication. At the same time, the client 1 is notified of access denied.
[0073]
When the client device specifying information is stored in the access-permitted device storage DB 19, the verification target biometric characteristic information specifying unit 302 reads the biometric characteristic information from the personal authentication information storage DB 18 and provides the biometric characteristic information to the biometric characteristic information verification unit 303. The biometric feature information matching unit 303 performs matching of biometric feature information. This collation result is sent to the collation result determination unit 304.
[0074]
If the determination results do not match, the matching result determining unit 304 notifies the matching failure notifying unit 321 of the fact, and the matching failure notifying unit 321 notifies the client 1 of the matching failure of the biometric characteristic information and the communication disconnecting unit. 322 disconnects the communication.
[0075]
If the determination results match, the comparison result determination unit 304 notifies the access time elapse confirmation unit 315 of that fact. The access permission time definition unit 314 determines a communication time, and the time is notified to the access time elapse confirmation unit 315. The output of the access time elapse confirming unit 315 is provided to the service information transmitting unit 305, and the communication of the service information is performed within a communication time determined with the client.
[0076]
According to this embodiment, when direct access is permitted to a client whose server has not been registered, a condition can be set that a time limit is set.
FIG. 18 is a block diagram showing a configuration example of a client from data creation to data transmission to the intermediary machine. FIG. 19 is a block diagram illustrating a configuration example of the intermediary device from data creation in the intermediary device to transmission to the server. In each case, the biometric feature information is not extracted by the client, but the biometric information as an image is sent from the client 1 to the intermediary device 3, and the intermediary device 3 performs the biometric feature point extraction. An apparatus configuration for creating packet data with specific information and transmitting it to the server 2 is shown. FIG. 18 shows the device configuration of the client 1, and FIG. 19 shows the device configuration of the intermediary device 3.
[0077]
First, FIG. 18 will be described. The fingerprint collecting unit 100 collects a fingerprint. This fingerprint information is sent to the subsequent packet data generation unit 112. On the other hand, the packet data generation unit 112 receives device identification information (additional information) from the additional information definition unit 103. The packet data generation unit 112 generates packet data by combining fingerprint information and device identification information (additional information). The generated packet data enters the subsequent packet data transmitting unit 104, and is transmitted from the packet data transmitting unit 104 to the intermediary device 3.
[0078]
In FIG. 19, the packet data receiving unit 200 receives packet data from the client 1. From the received packet data, the fingerprint feature data extraction unit 101 extracts fingerprint feature data. The fingerprint feature data and the output of the repeater additional information definition unit 202 enter a packet data generation unit 211 and are converted into packet data. The data converted to the packet data is sent from the packet data transmitting unit 203 to the server 2.
[0079]
According to this embodiment, when the client 1 accesses the server 2 via the intermediary device 3, it is possible to cause the intermediary device 3 to perform a process of extracting biometric information (here, fingerprint information).
[0080]
FIG. 20 is a diagram illustrating an example of packet data generation. As shown in the figure, the packet data includes a packet data header 20, fingerprint characteristic information 21, and client identification information. The packet data header 20 includes a packet data header length 20a, a fingerprint feature information length 20b, a client device identification information (additional information) length 20c, and a mediation device additional information length 20d. Each of these components of the packet data header 20 is constituted by, for example, 2 bytes.
[0081]
FIG. 21 is a diagram showing packet data created by the client. The packet data includes a packet header 23, biometric characteristic information (fingerprint characteristic information) 24, and a telephone number 25. Here, the telephone number corresponds to the device identification information. The packet header 23 includes a packet data header length 23a, a fingerprint characteristic information length 23b, a client device identification information (additional information) length 23c, and an intermediary device additional information length 24d.
[0082]
FIG. 22 is a diagram showing an example of packet data created by the intermediary machine. As shown in the figure, it is composed of a packet header 26, biometric feature information 27, and mobile phone numbers 28 and 29. The packet header 26 includes a packet data header length 26a, a fingerprint feature information length 26b, a client device identification information length 27c, and an intermediary device identification information length 27d. The mobile telephone number 28 is the telephone number of the client, and the telephone number 29 is the telephone number of the intermediary device 3.
[0083]
FIG. 23 is a diagram showing a field configuration of the personal authentication information storage DB. As shown in the figure, it is composed of a registered device information length 30a, registered device information 30b, biometric feature information length 30c, and biometric feature information 30d.
[0084]
FIG. 24 is a diagram showing the field configuration of the access-permitted device storage DB. As shown in the figure, the information includes a registered device information length 31, registered device information 32, access permitted device specifying information length 33, and access permitted device specifying information 34.
[0085]
FIG. 25 to FIG. 27 are diagrams showing an apparatus configuration in the case of transmitting and receiving data by encrypting a part or all of the packet data. FIG. 25 is a block diagram showing an embodiment of the client of the present invention. The same components as those in FIG. 4 are denoted by the same reference numerals.
[0086]
Fingerprint information is collected from the fingerprint collection unit 100. The collected fingerprint information is sent to the fingerprint feature data extraction unit 101, and the fingerprint feature data extraction unit 101 extracts features of the fingerprint information. As feature information in the fingerprint information, peaks and valleys of a fingerprint image, branch lines, and the like are used.
[0087]
The fingerprint feature data extracted by the fingerprint feature data extraction unit 101 is input to the packet data generation unit 102. The packet data generation unit 102 receives device identification information from the additional information definition unit 103. The packet generation unit 102 generates packet data from the fingerprint characteristic information and the device identification information, and generates a packet data. Send to The packet data transmitting unit 104 receives the encrypted data provided from the packet data encrypting unit 150 and transmits the encrypted data to the intermediary device 3.
[0088]
FIG. 26 is a block diagram showing an embodiment of the intermediary machine of the present invention. The same components as those in FIG. 19 are denoted by the same reference numerals. FIG. 26 shows an apparatus that decrypts the encrypted data sent from the client 1 by the intermediary machine 3, adds the specific information of the intermediary machine 3, encrypts it again, and transfers it to the server 2. I have.
[0089]
The packet data receiving section 200 receives the packet data sent from the client 1 and sends it to the packet data decryption section 250. The packet data decryption unit 250 decrypts the received packet data to extract biometric characteristic information and client device identification information. The data decrypted by the packet data decryption unit 250 is sent to the packet data generation unit 201. An intermediary device additional information defining unit 202 is connected to the packet data generating unit 201, and the specific information of the intermediary device is output.
[0090]
The packet data generation unit 201 generates packet data obtained by adding the specific information of the intermediary device to the received data. The packet data is sent to the packet data encryption unit 150, and is encrypted by the packet data encryption unit 150. Then, the encrypted packet data is transmitted from the packet data transmitting unit 203 to the server 2.
[0091]
FIG. 27 is a block diagram showing another embodiment of the server of the present invention. The same components as those in FIG. 16 are denoted by the same reference numerals. The apparatus shown in FIG. 1 decrypts the encrypted data sent from the intermediary device 3 by the server 2, performs biometric information collation, and permits access.
[0092]
The packet data sent from the intermediary device 3 is received by the packet data receiving unit 300 and sent to the packet data decryption unit 350. The packet data decryption unit 350 decrypts the received packet data. The decrypted packet data is provided to a packet data separation unit 301, which separates the packet data into biometric characteristic information, client identification information, and intermediary device identification information.
[0093]
Among these, the verification target biometric information specifying unit 302 provides the biometric feature information from the packet data separation unit 301 and the biometric feature information read from the personal authentication information storage DB 18 to the biometric feature information matching unit 303. The biometric feature information matching unit 303 checks both biometric feature information.
[0094]
The collation result determination unit 304 determines whether the collation matches. If the collation matches, the additional information of the client is registered in the access-permitted device storage DB 19, and then transmitted from the collation result transmission unit 305 to the intermediary device 3.
[0095]
According to this embodiment, communication can be secured by encryption.
FIG. 28 is a block diagram showing an embodiment of the present invention. In the figure, 1 is a client, 2 is a server, and 3 is an intermediary machine. The client 1 acquires an image (1), and transmits the acquired image to the intermediary device 3 (2). The intermediary device 3 extracts biometric feature information from the collected image ((3)). The extracted biometric feature information is returned to the client 1 ([4]). Upon obtaining the biometric characteristic information, the client 1 transmits the biometric characteristic information to the server 2 ((5)) and requests permission for communication.
[0096]
FIG. 29 is a block diagram showing an embodiment of the client according to the present invention, and FIG. 30 is a block diagram showing an embodiment of the intermediary machine 3 according to the present invention. FIGS. 28 to 30 show that when the client 1 accesses the server 2 to start communication, the client 1 does not extract the biometric feature information, but sends the collected biometric image to the intermediary device 3. Reference numeral 3 denotes a system in which biometric feature information is extracted from the received biometric image and returned to the client 1. The client 1 creates packet data using the biometric feature information, accesses the server 2, and performs communication.
[0097]
In FIG. 29, a fingerprint collecting unit 100 collects fingerprint information. The fingerprint image mediation device transmitting section 180 transmits the fingerprint image information to the mediation device 3. The intermediary device 3 extracts fingerprint characteristic information from the transmitted fingerprint information, and transmits the fingerprint characteristic data to the fingerprint characteristic data receiving unit 181. Fingerprint feature data receiving section 181 gives the received fingerprint feature information to packet data generating section 112. The packet data generation unit 112 generates, as packet data, a readout of the received fingerprint feature information and the device identification information stored in the additional information definition unit 103. Then, the packet data transmitting unit 104 transmits the packet to the server 2.
[0098]
In FIG. 30, a fingerprint image receiving unit 280 receives fingerprint information from the client 1. The fingerprint feature data extraction unit 101 extracts fingerprint feature data from the received fingerprint information. The extracted fingerprint feature data is returned to the client 1 from the fingerprint feature information transmitting unit 281.
[0099]
According to this embodiment, when the client 1 accesses the server 2, the biometric feature information of the client 1 is extracted by the intermediary device 3 and provided to the client 1, and the biometric feature information is transmitted from the client 1 to the server 2. (Fingerprint feature data) can be transmitted.
[0100]
FIG. 31 is a diagram showing the device configuration of the authentication processing in the server of the present invention. In this embodiment, when packet data is a request for personal authentication using an ID and a password, personal authentication is performed using an ID (additional information) and a password. The same components as those in FIG. 27 are denoted by the same reference numerals. In the personal authentication information storage DB 18 shown in the figure, biometric characteristic information used for collation and an ID / password are registered in advance.
[0101]
When receiving the packet data from the intermediary device 3, the packet data receiving unit 300 passes the packet data to the packet data separating unit 301. The packet data separating unit 301 separates the received packet data into biometric characteristic information, client device specifying information, intermediary device specifying information, and ID / password. The information separated by the packet data separation unit 301 is sent to the collation type determination unit 380.
[0102]
The matching type determining unit 380 sends a signal to the matching target biometric feature information specifying unit 302. The verification target biometric feature information specifying unit 302 reads the sent biometric feature information and the biometric feature information stored in the personal authentication information storage DB 18 and provides the biometric feature information to the biometric feature information matching unit 303. The biometric feature information matching unit 303 performs matching between both biometric feature information. The collation result is provided to the collation result determination unit 304.
[0103]
On the other hand, the collation target ID / password specifying unit 382 reads the ID / password stored in the personal authentication information storage unit 18 and collates both ID / passwords with the subsequent ID / password collation unit 383. The collation result by the ID / password collation unit 383 is notified to the collation result determination unit 304.
[0104]
Only when both the biometric characteristic information and the ID / password match, the collation result determination unit 304 writes the additional information of the device in the access-permitted device storage DB 19, and is transmitted from the collation result transmission unit 305 to the intermediary device 3. .
[0105]
According to this embodiment, personal authentication can be performed based on the password and the device identification information in addition to the biometric characteristic information and the device identification information.
In the embodiment described below, a fingerprint is used as a means for biometric information authentication. However, these are not limited to fingerprint authentication, and biometric information includes fingerprint, voiceprint, and iris. Various biological information can be used.
(First Specific Embodiment)
As a first specific embodiment of the present invention, the client 1 has a mobile phone with a fingerprint collection function, and the intermediary device 3 has a PDA (Personal Digital Assistance): an assistant function for processing and managing personal information. A request for access permission to the server computer and the start of communication will be described with reference to FIG.
[0106]
First, processing for requesting access permission from the client 1 to the server 2 through the intermediary device 3 will be described. The process of starting the access permission request to the intermediary device 3 in the client 1 and the device configuration are the same as those described with reference to FIGS. First, a fingerprint is collected as an image by the fingerprint collecting function of the client 1. The sampling method at this time may be a method of collecting a fingerprint image using a surface sensor, or a method of collecting and connecting a plurality of strip-shaped images by a scanning method called a sweep type sensor. It does not limit the method.
[0107]
Next, feature point information of the fingerprint is extracted from the image thus collected. As for the feature point extraction method, various methods have already been proposed, and the method is not particularly limited here. However, this processing may be omitted if the matching of the image itself is performed instead of the fingerprint comparison based on the feature points.
[0108]
Information for identifying the client 1 is added to the fingerprint feature point information (or fingerprint image) extracted in this way to generate packet data. Here, a description will be given assuming that a telephone number of a mobile phone is used as the additional information. That is, in the packet data generation, the mobile phone number is automatically added to the fingerprint feature information extracted from the collected fingerprint image.
[0109]
Further, instead of generating packet data only with the fingerprint feature point information and the mobile phone number, an example of the configuration of the packet data may be a format as shown in FIG. 20, for example. In the present embodiment, description will be made assuming that packet data is configured in the format shown in FIG.
[0110]
Assuming that the client identification information is an 11-digit mobile phone number and one digit is one byte, the configuration of packet data sent from the client to the intermediary device 3 in the present embodiment is as shown in FIG. Here, the mobile phone number, which is the additional information, has been described as one byte and one byte. However, since the numbers from 0 to 9 can be represented by 0.5 bytes (4 bits), the storage method is particularly limited. Not something. The actual fingerprint data size is stored in the fingerprint feature information length. When sending packet data from the client 1 to the intermediary device 3, there is no additional information of the intermediary device, so the additional information length of the intermediary device is 0x00. Thus, the data created by the client 1 is sent to the intermediary machine 3.
[0111]
Next, the packet data sent from the client 1 is received by the PDA serving as an intermediary device, and device identification information of the PDA, that is, information for searching for a registered fingerprint registered in the server 2 is added to the A description will be given up to transmission to. The processing flow and the device configuration are the same as those described with reference to FIGS. First, the packet data receiving unit 200 of the intermediary device 3 receives the packet data transmitted from the client 1.
[0112]
Next, the specific information of the intermediary machine 3 is added. Although the specific information of the intermediary device 3 is not particularly limited, in the present embodiment, it is assumed that a PHS modem is attached to the PDA, and the PHS telephone number is used as the specific information. Assuming that the intermediary device identification information is an 11-digit telephone number and one digit is 1 byte, the configuration of packet data sent from the intermediary device 3 to the server 2 in the present embodiment is as shown in FIG. In the figure, 28 is the client telephone number, and 29 is the telephone number of the intermediary machine (PHS).
[0113]
The method of storing the intermediary machine identification information is the same as that of the above-described client identification information, and does not limit the storage method. In this way, the PDA transmits the packet data to the server 2 by adding the specific information of the intermediary device 3 to the data created by the client 1.
[0114]
Next, the operation of receiving the packet data sent from the intermediary device 3 at the server 2, recognizing the direct access from the client 1, and notifying the client 1 of the result via the intermediary device 3 will be described. The processing flow and the device configuration are the same as those in FIGS.
[0115]
First, the packet data receiving unit 300 of the server 2 receives the packet data transmitted from the intermediary device 3, and separates the packet data for each item while referring to the packet header. That is, they are biometric characteristic information, client specifying information, and intermediary machine specifying information. Next, the field configuration of the personal authentication information storage DB 18 is, for example, as shown in FIG. 23, and since there are a plurality of records, the separated additional device additional information and the registered device additional information in the DB field match. The biometric feature information to be identified is specified as data for performing biometric matching, and the biometric feature information matching unit 303 performs biometric feature information matching.
[0116]
When the verification is successful in this way, the verification result determination unit 304 registers the additional information of the client 1 in the access-permitted device storage DB 19 as device identification information. The field configuration of the access permitted device storage DB 19 is, for example, as shown in FIG. Then, the collation result determination unit 304 registers in the access-permitted device storage DB 19 in association with the matching intermediary device identification information. Then, it returns whether or not subsequent access is permitted to the client 1 via the intermediary machine 3. In this way, it waits for a subsequent direct access from the client 1.
[0117]
Next, a description will be given of processing from the client 1 having been granted access permission to the server 2 in the processing up to this point to directly accessing the server 2 and starting communication as a client-server system.
[0118]
First, the processing flow in the client 1 may be the same as the flow shown in FIG. The device configuration is the same as in FIG. The only difference from the above-described access permission request is that the data transmission destination is not the intermediary device 3 but the server 2. The details of the generation of the packet data are the same as those of the above-described access permission request, and therefore the description is omitted.
[0119]
Next, a description will be given of processing from reception of packet data sent from the client 1 by the server 2, authentication of the user, and start of communication. The processing flow and the device configuration are the same as those in FIGS.
[0120]
First, the packet data separating unit 301 separates packet data from the client 1 into biometric characteristic information and client device specifying information. Then, from the access-permitted device storage DB 19 described above, the registered device information of the record that matches the access-permitted device specifying information field is referenced using the client device specifying information as a key.
[0121]
Next, using the registered device information specified in this way as a key, the verification target biometric information specifying unit 302 searches the personal authentication information storage DB 18 for a record in which the registered device additional information matches, and sets the record as the verification target. Specify the registered biometric feature information. Then, the two data are collated, and if the collation is successful, a service menu or the like provided from the server 2 to the client 1 is notified from the service information transmitting unit 305 to the client 1, and communication as a client-server system is started. .
(Second Specific Embodiment)
As a second specific embodiment of the present invention, the mediation device 3 and the server 2 do not directly interact with each other, but make an access permission request using the mediation device 3 from the client 1. An example of starting the communication will be described.
[0122]
First, as shown in FIG. 32, it is assumed that the intermediary device 3 has a biometric information collating function, and the fingerprint characteristic data of a user who owns a plurality of client devices is held in the intermediary device 3 in advance. FIG. 32 is a block diagram showing an embodiment of the intermediary machine. From the client 1, a fingerprint is collected as an image, and feature point data is extracted and sent to the intermediary device 3. This flow is the same as that of the first specific embodiment, and the description will be omitted. Omitted.
[0123]
In the intermediary device 3, the sent fingerprint feature data is compared with the fingerprint feature data registered in advance in the fingerprint feature point data storage unit 401 in the intermediary device 3 by the biometric feature information matching unit 303. A call is made to the server 2 from the server access & disconnection unit 402. At this time, there is no need to connect a line with the server 2. Only the incoming history from the intermediary machine 3 is left on the server 2 side.
Next, if the fingerprint feature data matches, the intermediary device 3 returns a notification that the collation is successful to the client 1 from the collation result determination unit 304, and registers its own device identification information (registered in the server). ID) is returned. At this point, the access from the intermediary device 3 remains in the server 2 as an incoming call history, and the client 1 can know the intermediary device identification information registered in the server 2.
[0124]
Next, the client 1 creates packet data based on the fingerprint feature data previously sent to the mediation device 3 and the mediation device specifying information returned from the mediation device 3. FIG. 33 shows the packet data at this time. FIG. 33 is a diagram showing an example of packet data sent from the client to the server. The packet data includes a packet header 40, biometric characteristic information 41, client identification information 42, and intermediary device identification information 43. The packet header 40 includes a packet data head length 40a, a fingerprint characteristic information length 40b, a client additional information length 40c, and an intermediary device additional information length 40d.
[0125]
The server 2 does not actually refer to the client identification information 42 in the figure. The above-described intermediary machine specifying information is specified in the intermediary machine specifying information 43. Then, the client 1 transmits the packet data to the server 2.
[0126]
Next, processing inside the server will be described. If there is a call history from the intermediary device 3, even if the client 1 directly accesses the packet data having the device identification information indicated by the telephone number which is the call history of the intermediary device 3, access is allowed for a very short time. I do. In this case, the configuration of the device is as shown in FIG.
[0127]
That is, the access permission time definition unit 314 defines not the client device specification information but the mediation apparatus specification information and the access permission time. In this way, when the above-described packet data is sent from the client 1, the server 2 refers to the fingerprint characteristic data associated with the intermediary device specifying information in the packet data from the personal authentication information storage DB 18, and Compare with fingerprint feature data. If the collation is successful and the access is within the permitted time, a service menu or the like provided from the server 2 to the client 1 is transmitted from the service information transmitting unit 305 to the client 1, and communication as a client server system is started.
[0128]
Note that the flow of authentication information for each device described so far as an embodiment does not particularly limit the algorithm or DB field configuration, but merely indicates the processing required for the present invention. For example, in the authentication process inside the server, as shown in FIG. 13, it is determined whether the data has been sent from the client 1 or the data has been sent via the intermediary machine 3, and the data is transmitted. Needless to say, a complex algorithm may be used to branch the processing for each model.
[0129]
As described above, according to the present invention, when a client device that is not registered in the server 2 accesses the server, it requests access permission via a pre-registered intermediary device, and If the user is authenticated by the device identification information and biometric information authentication, access from a device that is not registered in the server is accepted, and if access is subsequently made from a client, even if the client device is not registered in the server, Communication as a client server can be performed. Further, if processing such as dividing a service menu is performed between a client device registered in the server and a client device not registered in the server, a highly expandable client-server system can be constructed.
[0130]
(Supplementary Note 1) The client transmits the biometric characteristic information and the device specifying information to the server, and the server confirms the identity by using the biometric characteristic information and the device specifying information registered in advance. In a client-server system that allows access to
A client having a function of extracting biological information as an image and a function of extracting biological characteristic information from the collected biological image,
A server for performing personal authentication using biometric characteristic information and device identification information,
Having an intermediary machine that mediates between the client and the server,
The device identification information of the client is not registered in the server, and the device identification information of the mediation device is registered in the server as a registered device,
The client indirectly requests the server for biometric characteristic information collation via an intermediary machine,
The server performs personal authentication with biometric characteristic information and device identification information of the mediation device,
A client-server system using an intermediary machine, wherein when the user is confirmed, even if the device identification information of the client is not registered in the server, direct access from the client is permitted.
[0131]
(Supplementary Note 2) When direct access is permitted to the server unregistered client on the server side, the server unregistered client transmits biometric characteristic information and device identification information to the server,
The server performs personal authentication with biometric characteristic information and device identification information,
A client-server system using an intermediary machine according to claim 1, wherein the communication is continued when the user is confirmed.
[0132]
(Supplementary Note 3) The client-server system using the intermediary machine according to any one of Supplementary Notes 1 and 2, wherein when transmitting / receiving data from / to each of the devices, the entire data or a part thereof is encrypted.
[0133]
(Supplementary note 4) The intermediary machine according to any one of supplementary notes 1 to 3, wherein a wireless method is used when transmitting biometric characteristic information and device specifying information from a client not registered in the server to the intermediary machine. Client-server system using.
[0134]
(Supplementary Note 5) When the client is registered in a server, the client operates as a normal client-server system without passing through an intermediary machine. Client-server system.
[0135]
(Supplementary note 6) The client-server system using an intermediary machine according to any one of Supplementary notes 1 to 5, wherein when direct access is permitted to the client not registered in the server, a specific restriction is provided for a provided service.
[0136]
(Supplementary note 7) The client-server system using an intermediary machine according to any one of Supplementary notes 1 to 5, wherein a time limit is set when direct access is permitted to the server-unregistered client.
[0137]
(Supplementary Note 8) The intermediary device has a function of extracting biometric feature information from a biological image, and when the client accesses a server via the intermediary device, sends the biological image collected by the client to the intermediary device, 6. A client-server system using the mediation device according to any one of supplementary notes 1 to 5, wherein the biometric feature information is extracted by the mediation device.
[0138]
(Supplementary Note 9) The intermediary device has a function of extracting biometric characteristic information from biometric information, and when performing access to start communication from the client to a server, sends a biometric image collected by the client to the intermediary device, 6. The intermediary machine according to claim 1, wherein the biometric feature information is extracted by the intermediary device, the biometric characteristic information is returned to the client, and the biometric characteristic information is transmitted from the client to the server. Client-server system using.
[0139]
(Supplementary Note 10) The client-server system using an intermediary machine according to any one of Supplementary notes 1 to 9, wherein a portable mobile device is used as the client.
[0140]
(Supplementary Note 11) The client server system using the mediation device according to any one of supplementary notes 1 to 10, wherein a portable mobile device is used as the mediation device.
[0141]
(Supplementary Note 12) The client-server system using the mediation device according to any one of supplementary notes 1 to 10, wherein a personal computer is used as the mediation device.
[0142]
(Supplementary Note 13) The server according to any one of Supplementary Notes 1 to 12, wherein the server has an identity authentication function using biometric characteristic information and device identification information, and also has an identity authentication function using a password and device identification information. Client-server system using a computer.
[0143]
【The invention's effect】
As described above, according to the present invention, the following effects can be obtained.
(1) According to the first aspect of the present invention, an ID or a telephone number for identifying an intermediary device is registered in the server as additional information, and devices not registered in the server pass through the intermediary device. And indirectly authenticate the user. By adopting such a configuration, it is possible to access the server even from a device that has not been registered in the server.
(2) According to the second aspect of the invention, it is possible to communicate with the server even for a server unregistered client.
(3) According to the third aspect of the invention, communication security can be achieved.
(4) According to the invention described in claim 4, it is possible to wirelessly transmit the biometric characteristic information and the client specifying information from the unregistered client to the intermediary device.
(5) According to the fifth aspect of the invention, when the client is registered in the server, it is possible to directly communicate with the server without passing through the intermediary machine.
[0144]
As described above, according to the present invention, the client device to be registered in the server is the only model, and even if the user owns a plurality of mobile devices that can be the client, the unregistered device is maintained while maintaining the conventional robustness. A client-server system using an intermediary machine that can access the server from the server.
[Brief description of the drawings]
FIG. 1 is a principle block diagram of the present invention.
FIG. 2 is a diagram showing a configuration of server reception data.
FIG. 3 is a flowchart illustrating a process from data creation in a client to data transmission to an intermediary machine.
FIG. 4 is a block diagram showing an apparatus configuration showing processing from data creation in a client to data transmission to an intermediary machine.
FIG. 5 is a flowchart illustrating a process from data reception at an intermediary device to data transmission to a server.
FIG. 6 is a block diagram illustrating an example of a device configuration of a process from data reception at an intermediary device to data transmission to a server.
FIG. 7 is a flowchart illustrating a flow of an authentication process in the server.
FIG. 8 is a block diagram illustrating a device configuration of an authentication process in a server.
FIG. 9 is an explanatory diagram of a communication flow between a client, an intermediary device, and a server.
FIG. 10 is a flowchart showing a flow of a client access request to a server.
FIG. 11 is a flowchart showing a flow from the server to personal authentication and starting communication.
FIG. 12 is a block diagram showing a device configuration from personal authentication to communication start in a server.
FIG. 13 is a flowchart illustrating a flow of a process of performing access authorization from the start of a service based on received packet data content.
FIG. 14 is a block diagram showing a device configuration of a process for starting a service or granting access according to received packet data content.
FIG. 15 is a block diagram showing a configuration example for implementing the present invention.
FIG. 16 is a block diagram illustrating an embodiment of a server.
FIG. 17 is a block diagram showing another embodiment of the server.
FIG. 18 is a block diagram illustrating a configuration example of a client from data creation to data transmission to an intermediary device.
FIG. 19 is a block diagram illustrating a configuration example of an intermediary device from data creation in the intermediary device to transmission to a server.
FIG. 20 is a diagram illustrating an example of packet data generation.
FIG. 21 is a diagram showing packet data created by a client.
FIG. 22 is a diagram showing an example of packet data created by an intermediary machine.
FIG. 23 is a diagram showing a field configuration of a personal authentication information storage DB.
FIG. 24 is a diagram showing a field configuration of an access-permitted device storage DB.
FIG. 25 is a block diagram illustrating an embodiment of a client according to the present invention.
FIG. 26 is a block diagram illustrating an embodiment of an intermediary machine according to the present invention.
FIG. 27 is a block diagram showing another embodiment of the server of the present invention.
FIG. 28 is a block diagram showing an embodiment of the present invention.
FIG. 29 is a block diagram illustrating an embodiment of a client according to the present invention.
FIG. 30 is a block diagram showing an embodiment of an intermediary machine of the present invention.
FIG. 31 is a block diagram showing an apparatus configuration of an authentication process in the server of the present invention.
FIG. 32 is a block diagram illustrating an embodiment of an intermediary machine.
FIG. 33 is a diagram illustrating an example of packet data transmitted from a client to a server.
FIG. 34 is a conceptual diagram of a conventional client server system.
[Explanation of symbols]
1 client
2 server
3 Intermediary machine
4 Database

Claims (5)

クライアントから生体特徴情報と機器特定情報をサーバに送信し、サーバでは予め登録しておいた生体特徴情報及び機器特定情報で本人であることを確認して、本人と特定できたらクライアントに対してアクセスを許可するクライアントサーバシステムにおいて、
生体情報を画像として採取する機能と採取した生体画像から生体特徴情報を抽出する機能を持つクライアントと、
生体特徴情報と機器特定情報で本人認証を行なうサーバと、
前記クライアントと該サーバの仲介を行なう仲介機とを持ち、
前記クライアントの機器特定情報はサーバに登録しないで、該仲介機の機器特定情報を登録機器として前記サーバに登録しておき、
前記クライアントからは仲介機を介して間接的に前記サーバに生体特徴情報照合を依頼し、
前記サーバで、生体特徴情報と前記仲介機の機器特定情報で本人認証を行ない、
本人と確認された場合、前記クライアントの機器特定情報がサーバに登録されていない場合でも、前記クライアントからの直接アクセスを許可することを特徴とする仲介機を用いたクライアントサーバシステム。The client sends the biometric characteristic information and device identification information to the server, and the server confirms the identity with the biometric characteristic information and device identification information registered in advance, and accesses the client when the client can be identified. In a client-server system that allows
A client having a function of extracting biological information as an image and a function of extracting biological characteristic information from the collected biological image,
A server for performing personal authentication using biometric characteristic information and device identification information,
Having an intermediary machine that mediates between the client and the server,
The device identification information of the client is not registered in the server, and the device identification information of the mediation device is registered in the server as a registered device,
The client indirectly requests the server for biometric characteristic information collation via an intermediary machine,
The server performs personal authentication with biometric characteristic information and device identification information of the mediation device,
A client-server system using an intermediary machine, wherein when the user is confirmed, even if the device identification information of the client is not registered in the server, direct access from the client is permitted. サーバ未登録クライアントに対してサーバ側で直接アクセスが許可されている場合、サーバ未登録クライアントから生体特徴情報と機器特定情報をサーバに送信し、
該サーバで生体特徴情報と機器特定情報で本人認証を行ない、
本人と確認された場合、通信を継続することを特徴とする請求項１記載の仲介機を用いたクライアントサーバシステム。When direct access is permitted on the server side for the server unregistered client, the server unregistered client transmits biometric characteristic information and device identification information to the server,
The server performs personal authentication with biometric characteristic information and device identification information,
2. The client server system using an intermediary machine according to claim 1, wherein communication is continued when the user is confirmed. 前記各装置からデータを送受信する際には、データ全体又はその一部を暗号化することを特徴とする請求項１又は２の何れかに記載の仲介機を用いたクライアントサーバシステム。3. The client server system using an intermediary device according to claim 1, wherein when transmitting / receiving data from / to each device, the entire data or a part thereof is encrypted. 前記サーバに登録されていないクライアントから仲介機に生体特徴情報と機器特定情報を送信する際に、無線方式を用いることを特徴とする請求項１乃至３の何れかに記載の仲介機を用いたクライアントサーバシステム。4. The method according to claim 1, wherein a wireless method is used when transmitting biometric characteristic information and device identification information from a client not registered in the server to the intermediary device. Client server system. 前記クライアントがサーバに登録されている場合は、仲介機を経由することなく通常のクライアントサーバシステムとして動作することを特徴とする請求項１乃至４の何れかに記載の仲介機を用いたクライアントサーバシステム。5. The client server using an intermediary device according to claim 1, wherein when the client is registered in a server, the client operates as a normal client server system without passing through an intermediary device. system.
JP2002237453A 2002-08-16 2002-08-16 Client server system using mediation machine Expired - Fee Related JP4409813B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2002237453A JP4409813B2 (en) 2002-08-16 2002-08-16 Client server system using mediation machine

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2002237453A JP4409813B2 (en) 2002-08-16 2002-08-16 Client server system using mediation machine

Publications (2)

Publication Number Publication Date
JP2004078523A true JP2004078523A (en) 2004-03-11
JP4409813B2 JP4409813B2 (en) 2010-02-03

Family

ID=32021198

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2002237453A Expired - Fee Related JP4409813B2 (en) 2002-08-16 2002-08-16 Client server system using mediation machine

Country Status (1)

Country Link
JP (1) JP4409813B2 (en)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007286984A (en) * 2006-04-18 2007-11-01 Kyocera Mita Corp Method and system for authenticating user of apparatus different from client, and different apparatus
JP2008113428A (en) * 2004-09-17 2008-05-15 Ricoh Co Ltd Communication device, search device, address inquiry method, address search method, address inquiry program, and address search program
US8082323B2 (en) 2006-12-21 2011-12-20 Canon Kabushiki Kaisha Monitoring host apparatus, image forming apparatus, and access control method for access to their web pages
CN115277839A (en) * 2022-06-24 2022-11-01 杭州晶彩数字科技有限公司 Method, system and storage medium based on three-party communication

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008113428A (en) * 2004-09-17 2008-05-15 Ricoh Co Ltd Communication device, search device, address inquiry method, address search method, address inquiry program, and address search program
JP2007286984A (en) * 2006-04-18 2007-11-01 Kyocera Mita Corp Method and system for authenticating user of apparatus different from client, and different apparatus
US8082323B2 (en) 2006-12-21 2011-12-20 Canon Kabushiki Kaisha Monitoring host apparatus, image forming apparatus, and access control method for access to their web pages
CN115277839A (en) * 2022-06-24 2022-11-01 杭州晶彩数字科技有限公司 Method, system and storage medium based on three-party communication
CN115277839B (en) * 2022-06-24 2023-10-24 杭州晶彩数字科技有限公司 Method, system and storage medium based on three-party communication

Also Published As

Publication number Publication date
JP4409813B2 (en) 2010-02-03

Similar Documents

Publication Publication Date Title
EP1489551B1 (en) Biometric authentication system employing various types of biometric data
CN107251477B (en) System and method for securely managing biometric data
US8843760B2 (en) Biometric identification method
US8141141B2 (en) System and method for sequentially processing a biometric sample
US6535978B1 (en) Digital signature providing non-repudiation based on biological indicia
CA2636453C (en) Multisystem biometric token
US20030023882A1 (en) Biometric characteristic security system
JP2004537103A (en) Application specific biometric templates
KR20140054118A (en) Identity authentication device and method thereof
CN101958892A (en) Electronic data protection method, device and system based on face recognition
JP2006209697A (en) Individual authentication system, and authentication device and individual authentication method used for the individual authentication system
JP2009181561A (en) Security management system using biometric authentication
JP2003099404A (en) Identification server device, client device, user identification system using them, and user identification method, its computer program and recording medium having the program recorded thereon
JP4426030B2 (en) Authentication apparatus and method using biometric information
KR100974815B1 (en) System for Authenticating a Living Body Doubly
US20080301800A1 (en) System and method for creating a virtual private network using multi-layered permissions-based access control
WO2011066690A1 (en) Electronic security device for validation adopting biometrics information and using method thereof
JP4409813B2 (en) Client server system using mediation machine
JP2003134107A (en) System, method and program for individual authentication
US10387634B1 (en) System and method for authenticating a person using biometric data
WO2007108397A1 (en) Communication system, server, client terminal device and communicating method
JP2002132733A (en) Electronic equipment, control method therefor, device, method and system for authentication
JP2002041467A (en) Certificate access system
JP2001333059A (en) Authentication system
JP2002366527A (en) Personal identification method

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20050725

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20090108

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090120

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090323

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20090323

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090818

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20091009

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20091009

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20091110

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20091112

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121120

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20121120

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20131120

Year of fee payment: 4

LAPS Cancellation because of no payment of annual fees