JP2005513641A - ネットワークで生物測定データを秘密保護して送信および認証する方法および装置 - Google Patents

Abstract

ネットワークで生物測定的データを集め秘密保護して送信する方法および装置は生物測定的データを集めるためのセンサ、好ましくはカメラおよびコード発生ハードウェアおよびソフトウェアを含んでいる。カメラデータはデジタル化され、デジタル化されたカメラデータ、シークレットキー、トランザクショントークンの関数である特有のコードがデジタルファイルに取り付けられる。コードは生物測定的情報を捕捉したセンサ、生物測定的情報が捕捉された時間、またはデータが有効であると考慮される時間間隔、特有のトランザクションコードを識別する。データおよびコードはネットワークによりサーバへ送信され、サーバはコードの生成に必要とされるシークレットキーとトランザクショントークンの固有の知識を使用して、データがコードを再度コンピュータ処理することにより変更されないことを認証する。データが本物であるならば、サーバはデータを使用して生物測定的テンプレートをコンピュータ処理する。この生物測定的テンプレートはその後、ユーザを識別しユーザアクセスを秘密保護されたリソースに与えるために先に規定された生物測定的テンプレートと比較される。生物測定的テンプレートを生成するためのコンポーネントはイメージング装置に含まれる。相互認証システムはサーバとクライアントの両者が本物であることを確認する。システムはオンラインバンキングとインターネットコマーストランザクションで使用されることができる。

Description

本発明は生物測定データの送信、特に秘密保護方法でネットワークによる遠隔位置のサーバへカメラまたは他のセンサからの生物測定データの送信に関する。

本出願は、ここで参考文献とする1999年１月18日出願の米国特許出願第09/232,538号明細書（発明の名称“Method and Apparatus for Securely Transmitting and Authenticating Biometric Data Over a Network”）に対する部分継続出願であり、優先権を主張している。

秘密保護された位置に侵入し、コンピュータシステムを使用し、または財務或いは他のトランザクションを実行しようとする人を識別し、それによってその人がタスクを実行する権利を有することを確認することが必要である多数の状況が発生している。個人を認識または識別するための生物測定として知られている幾つかの方法が存在する。これらの方法には署名の解析、指紋のイメージの獲得および解析、人間の目の網膜の血管パターンのイメージの解析等が含まれている。近年、技術は、各個人に特有で、非接触で目立たない生物測定として多年にわたって安定である非常に詳細なパターンを含んでいる目の虹彩を使用している。この技術はFlomの米国特許第4,641,349号明細書およびDaugmanの米国特許第5,291,560号明細書に記載されている。生物測定的識別システムはタスクを実行しようとするときに識別される人のイメージを採取する。このイメージはその後ある特徴を抽出するように処理される。この処理の結果は米国特許第5,291,560号明細書の場合では虹彩コードであり、さらに一般的な用語では生物測定的テンプレートである。この新しくコンピュータ処理された生物測定的テンプレートはその後、識別を行い、その人がタスクを実行する権利を与えるかそれを拒否するかを定めるために、先にファイルされた生物測定的テンプレートと比較される。

虹彩システムおよび幾つかの指紋システムのような自動化された生物測定的装置による個人のアイデンティティの確認または個人の識別はデジタルイメージング技術に依存している。個人のあり得る特有の特徴の生の生物測定的データは光学系、カメラ、カメラに与えられるシーンを捕捉しデジタル化する電子装置からなるシステムにより得られる。イメージのデジタル表示（即ち生または処理されていないイメージデータ）はその後、生物測定的テンプレートと呼ばれる特定の表示へイメージデータを変換するアルゴリズムによって処理される。生物測定的テンプレートは個人のアイデンティティを確認するため先に記憶されたテンプレートに対するまたは個人を識別するための多数のテンプレートに対する整合に適している。この方法は図１に示されているフローチャートで説明されている。しばしば、生物測定的テンプレートへの変換とその後の整合は、生物的測定データを集めるカメラまたはセンサから離れた位置に位置するコンピュータにより実行される。この遠隔変換および整合は生物学的テンプレートの計算アルゴリズムの完全性がユーザの家庭のコンピュータのような秘密保護されていない位置に分配しないことにより維持されるように行われる。したがって、デジタル化された保護されていない生物測定的データはその後、カメラから遠隔コンピュータへ送信されなければならない。このような送信は電話システムまたはインターネットのような公共キャリアにより直接または専用の伝送ラインによって行われる。

任意の生物測定的システムは、生物測定的テンプレートへの変換とその後の整合の前に、侵入者が生のイメージデータを置換することができるならば詐取される。即ち、マロリーがボブに扮しようとするならば、マロリーは最初にボブの生のイメージデータを捕捉し、それを記憶し、その後、正確な時間に不正のイメージデータを人為的に“注入”し、位置付けることによりターゲットシステムに侵入し、テンプレートの変換と整合は知らぬ間に、カメラの前に現われたのはボブであるという結論になる。このような侵入の可能性は、イメージングシステム（クライアント）が設けられている遠隔端末が、内部ネットワークまたはインターネットによりイメージの変換および整合を行う中央サーバへ送信する場合のように、イメージ捕捉プロセスがテンプレート変換および整合プロセスとは分離されるときに増加する。イメージの不正行為はカメラから“秘密保護された”サーバシステムへの任意の点で行われることができる。サーバシステム自体も侵入される可能性があるが、このシステムに対して侵入が成功する確率は“内部”情報およびアクセスなしには非常に小さい。

侵入者がこのイメージの置換を行うことのできる幾つかの重要な場所が存在する。侵入者はカメラをそのカメラの機能に真似たシステムと置換し、それによって先に記憶されたイメージをシステムの残りの部分に提供する。侵入者はクライアントシステムのホストの内部へのアクセスを獲得し、“本物”のイメージデータを含んでいるメモリまたはフレーム記憶装置の内容を先に記憶されたイメージのメモリ表示と置換する。最終的に侵入者はクライアントシステムとサーバシステムとの間の通信パスに沿ったどこかでアクセスを獲得し、通過しながらイメージを置換する。したがって、イメージの置換または不正行為を防止しながら生物測定学的データを送信できる方法および装置が必要とされている。

本発明者は侵入は人為的または画策されたシーンを使用して行われることは認識している。例えば、侵入者は惑わされていないシステムへ偽の眼を与える。これらは完全に異なるタイプの侵入である。このような脅威に対抗する技術が存在し、このタイプの侵入は本発明の説明には関連しない。むしろ本発明は生物測定的データを含み、イメージの不正行為または置換を阻止するイメージの完全性を維持することを目的とする。

イメージまたはデータの不正行為と権利のないコピーを検出する多くの技術が開発されている。多くのこの労力は著作権の侵害と偽造を防止し検出することに向けられている。最も広く使用されている技術は電子透かしをイメージに適用するか、コード信号を埋設するものである。米国特許第5,768,426号、第5,809,139号、第5,822,432号明細書は、データが普通の観察者には雑音として現われるが、信号またはイメージファイルの所有者により電子透かしまたはコードとして検出されることができるように、予め定められた方法で信号またはイメージファイルへ情報のビットを付加することによりデジタルビデオ信号をマークする方法を開示している。米国特許第5,613,004号明細書はデジタル化されたデータストリームを特別なキーにより符号化するステガノグラフ方法および装置を開示している。この特許明細書はまたコードまたは他の情報がデータストリームにプリペンドまたは添付されることができることを教示している。イメージを電子透かしする別の既知の技術は予め定められたパターンで選択された画素の輝度を変更することである。この方法は米国特許第5,825,892号明細書に開示されている。しかしながら、これらの参考文献には生物測定的データが秘密保護システムまたは位置への権利のないアクセスを防止するために妥協されていないことを確実にすることに関するものはない。

生の生物測定的イメージデータが生物測定的テンプレートの変換前にイメージデータの検出不能な置換または不正行為から秘密保護することは極めて困難である。さらに、イメージが有限の寿命を有するようにイメージデータを符号化することが望ましい。その後、符号化されたイメージは１度より多く（またはｎ回）ユーザを識別するために使用されることができず、および／またはイメージはいくらかの予め定められた時間期間だけ有効にされ、その後これらは認証システムまたはサーバにより無効であると考慮されるので、生物測定的アルゴリズムにより処理されない。さらに、生物測定的認証サーバにはイメージングシステムの特有のＩＤが与えられ、イメージデータをそれに与える。これらの特徴により、認証サーバはトランザクションＩＤ＃ｐｄｑのためカメラＩＤ＃ｘｙｚの前にいるのは本当にボブであることと、捕捉は時間間隔ｔ２−ｔ１内に行われ、イメージは幾つかの他のトランザクションから変更されず再使用されていないことを決定する能力を有する。

例えば、電子コマースアプリケーションでは、各トランザクションに対して、正確に１つのイメージがそのトランザクションに関連される。またクライアントは幾つかの時間ウィンドウ内でイメージをサーバに与えることにおいて失敗するならば、トランザクションは認証されない。これは以前に有効なイメージを後に置換することを防止し、侵入者にタイムアウト期間内に動作する方法を進展させることにより付加的な保護レベルを提供し、これは侵入者のタスクに対してかなりの困難を付加する。

適切なセキュリティを与えるため、送信者（カメラ）と受取人（イメージの認証を行うシステム）によってのみ共有される“秘密保護”が存在しなければならない。この秘密は秘密保護され、またはそうでなければシステム全体のセキュリティは妥協される。カメラと認証サーバ間で共有される“秘密”はデジタル“キー”または幾つかの場合にはキーのペアの形態である。カメラの不正行為防止／応答パッケージングは内部に埋設されたシークレットキーを保護する。サーバのキーは電子ファイヤウォール、物理的なアクセス制御、およびその他の高レベルのセキュリティを感応データへ提供する既知の方法のようなセキュリティ方法により保護される。

近年、オフィスおよび家庭の両者でパーソナルコンピュータの使用が増加している。最初に、これらのコンピュータはワード処理およびデータベースアプリケーションにほぼ専用に使用された。今日のパーソナルコンピュータは電子メールから電子バンキングおよびオンラインコマースへのファイル転送まで広い範囲にわたる種々の通信アクティビティに対して使用されている。したがって、デスクトップコンピュータに接続されることができ、秘密保護されていないネットワークで生物測定的データの秘密保護された送信および受信を確実に行うことができ、それによってこのようなユーザがリクエストしている財務転送またはトランザクションを行う権利が与えられることができるようにユーザが遠隔位置でアイデンティティを確認されることを可能にするシステムが必要とされている。

本発明は、生物測定的データがユーザの識別および確認のために秘密保護されていないネットワークで１つのコンピュータから別のコンピュータへ転送されるクライアント−サーバ方式で使用される生物測定的データの秘密保護送信を行い、およびその後の認証を行うことができるシステムおよび方法を提供する。生物測定的データを集めるためのセンサとして機能するカメラを提供することが好ましい。そのデータは生物測定的データファイルにデジタル化される。コードはそのファイルに適用される。その後、コードを有するファイルは認証サーバシステムへ転送するためにネットワークに出力される。認証サーバシステムはそのコードを生成するのに必要とされる入力データの知識からコードを再度コンピュータ処理することによりデータを有効なものにする。データが認証されるならば、ユーザのアイデンティティの確認に使用するために生物測定的データファイルを生物測定的テンプレートに純化する。

さらに、トークンをカメラまたは他のセンサへ送信する認証サーバ中のトークン発生器を設けることが好ましい。そのトークンは認証サーバへ送信される前にデジタルファイルに供給される。トークンは特有のトランザクションを規定し、生物測定的データをトランザクションへ結合し、したがって後の時間における生物測定的データの使用を防止し、またはデータが無効になるときに関して時間制限を設ける。

転送するためにイメージに適用されるコードはカメラに関連するイメージ、トーク、シークレットキーの関数としてコンピュータ処理される。シークレットキーはイメージ、トークン、コード発生アルゴリズムの知識を有する侵入者が置換または不正行為されたイメージに対して有効なコードを生成できないことを確実にする。シークレットキーは生物測定的データを集めるカメラまたはセンサに特有の通し番号またはその他の識別番号である。このようなコードが使用されるならば、許可されたカメラのリスティングを含んでいる別々のカメラ認証局を与えることができる。認証サーバは新しいイメージが受信される度にカメラ認証局を管理し、それによって送信しているカメラに対応するシークレットキーの知識を有する。カメラ認証局は認証サーバ内に存在する単一のデータベースであってもよく、或いは別のコンピュータ中に存在していてもよい。別々の認証局は２以上の認証サーバがネットワークに接続されているときに有効である。

１実施形態では、生物測定的データを得る装置は生物測定的データから生物測定的テンプレートを生成する手段も含んでいる。データ（テンプレート）が、テンプレート整合動作を行うサーバへのように外部で通信されるならば、データを認証し、データが変更されておらず既知のサーバから来たものであることを確実にする問題が依然として存在する。相互認証手順はサーバとクライアントの両者が真のエンティティであることを確認する。

本発明の他の目的および利点は図面で示されているある本発明の好ましい実施形態の説明から明白になるであろう。

本発明のシステムの好ましい実施形態は図２で示されているようなクライアントサーバシステムで使用される。クライアントシステム１は図面ではホストコンピュータと記載されているパーソナルコンピュータ２からなる。ホストコンピュータ２は任意の市場で入手可能なパーソナルコンピュータまたはビジネスコンピュータであるか、生物測定的イメージファイルが認証サーバへ転送されることを可能にするために生物測定的イメージファイルとモデムまたはネットワーク通信ハードウェアおよびソフトウェアを保持するのに十分なメモリを有する埋設されたプロセッサであることができる。ホストコンピュータへ接続されている別々のイメージングシステム４が存在する。イメージングシステムは生物測定的データをユーザから集めるための関連する光学系または他のセンサを有するカメラ６を含んでいる。典型的に、生物測定的データは後に転送するためその後デジタル化され記憶されるイメージのアナログ表示である。後の処理および転送のためにイメージをデジタル化しその後それをイメージングシステム４へ記憶するデジタル化装置およびメモリまたはフレーム記憶装置を設けることが好ましい。生のイメージデータを秘密保護するために、付加的な電子ハードウェアおよびソフトウェアがデジタルカメラパッケージまたはイメージングシステム中に含まれる。これらの付加的なコンポーネントは、イメージデータがその後、生物測定的認証サーバ10のようなカメラの幾つかの他の外部データ処理エレメントダウンストリームにより壊されていないとして認証され確認されることができる方法で、カメラまたはイメージングシステムを離れる前に、情報をイメージデータ中へ埋設する。セキュリティのために適切にコード化されているイメージのデジタル表示はネットワーク９を横切って認証サーバ10へ転送されるようにイメージングシステムからホストコンピュータ２へ出力される。認証サーバに入り前に、データはファイヤウォール11を通過しなければならない。ネットワークがインターネットまたは別の公共キャリアであるならばファイヤウォールが使用される。クライアントシステムが私設送信線で認証サーバに接続されているならば、ファイヤウォールは必要とされない。

イメージングシステム４を含んでいるパッケージ全体は装置の検出または実際に破壊せずにはパッケージの内部エレメントにアクセスするのが極めて困難であるために不正行為防止にされなければならない。ネットワークで送信される捕捉されたイメージおよびコードの完全性が妥協されていないことを確実にすることが必須である。これは特に大きい値のトランザクションが行われるアプリケーションでは重要である。したがって好ましい実施形態では、イメージングシステム４は望ましくない侵入を検出し、システムを使用できないようにするために使用される不正行為防止パッケージ50に位置される。不正行為防止パッケージは装置を任意に開くことが最終的な破壊を招く点で、受動的である。

代わりに、パッケージングは図３で示されている少なくとも１つのシャシー侵入検出器またはスイッチ51を使用することができる。スイッチ51はアセンブリ中に見られる状態と類似の非機能状態に戻るように（マイクロ制御装置により実行される）制御論理装置44に信号を送る。この非機能状態は基本的に生物測定的データの発生に関するキーソフトウェアルーチンを消去する。またセキュリティまたは暗号化情報を含む特別なバッテリーバックアップラムテーブルも消去する。したがって侵入者がシステムへのアクセスを得るならば、ビデオを注入できず、コードを獲得できず、またはシステムソフトウェアまたはファームウェアを動作できず、それによって侵入を無用にする。それ故、秘密保護されたカメラからの出力後のイメージデータの置換または不正行為はダウンストリームデータ処理により検出可能であり、セキュリティ情報の適用前のイメージデータの置換または不正行為は非常に困難であるか不可能である。

セキュリティ機能はシステムソフトウェアがロードされてエネーブルされた後のみ有効にされる。セキュリティ機能は侵入が検出されるかシステムソフトウェアが特別なプロトコルを使用して再度ロードされるまで効力を有したままである。

イメージングシステム４の本発明の好ましい構造は図３に示され、ここではデータパスは実線で示され、制御信号パスは点線で示されている。光学系41はシーンからＣＣＤカメラ、ＣＭＯＳ装置またはデジタルイメージを生成する他の２次元イメージャであるイメージャへ光を誘導する。したがって、このコンポーネント42をイメージャ＆デジタル化装置として識別する。デジタルイメージはマルチプレクサ45および／またはフレーム記憶メモリ43へ送信される。制御論理装置44はイメージが送信される場所を決定する。フレーム記憶装置43中のイメージは、イメージに与えられるコードを発生するコード発生器48へ送信されるクロップ（切取り）および圧縮されたイメージを生成するために、クロッパ46と圧縮装置47を通って送信される。クロップと圧縮はあるアプリケーションに対して随意選択性であるが、ネットワークを横切って送信される必要があるデータ量を減少できる利点を有し、送信を加速する。暗号化技術はカメラおよび光学系により捕捉されるイメージデータの各フレームのデジタル署名を生成するためにコード発生器内で使用される。この暗号化プロセスは前述の処理エレメントにより実行される。デジタル署名は好ましくは次のもの、即ちフレーム中のイメージデータの各バイト、記憶されカメラ内に隠されている“シークレットキー”、ホストによりカメラの電子系へ入力された随意選択的なデジタル“トークン”を入力として受取る秘密保護ハッシュ関数である。代わりに、トークンは認証サーバから来る。“隠された”または“シークレット”キーは、イメージとトークンとデジタル署名アルゴリズムの知識により侵入者がこのシークレットキーなしでカメラの認証機能を模倣するので必要とされる。

カメラ“キー”はデジタル署名アルゴリズムで使用されるカメラ内に含まれるデータの小さいブロックである。随意選択的に、キーはカメラの特有の識別子である。使用される方式のタイプにしたがって、カメラ“キー”は全ての各カメラに割当てられた任意の値、カメラのバッチの識別子、特有のカメラの識別子、対称署名アルゴリズムの特有のキー、または非対称署名アルゴリズムのキーペアの一方である。認証サーバ10はシークレットキーの演繹的知識をもたなければならない（または非対称アルゴリズムの場合、相補的公共キーの知識をもたなければならない）。したがって、所定のカメラでは、このキーはトランザクション間で変化しないが、異なるカメラは異なるキーを有する。カメラキーが月毎またはその他のベースのように変更できる方式を有することも可能である。この場合、認証サーバまたは幾つかの他の局は現在カメラでキーを使用して暗号化されたクライアントへ新しい暗号化キーを送信することができる。クライアントはこの暗号化されたキーを通信インターフェース49で新しいデータを受信するイメージングシステム４へ送信する。このデータはその後、現在のキーを使用して新しいキーを解読し、後に使用するため新しいキーを記憶するコード発生器48へ送られる。

“トークン”は各およびそれぞれのトランザクションに対して発生されるデータブロックであり、各トークンは特有で、再使用されない。トークンはしたがって任意の特定のトランザクションを識別するために使用されることができる。特有の出力を発生することを確実にすることのできる任意の機能はトークンの発生に使用される。トークンの使用はイメージデータを特別なトランザクションへ結合することによりセキュリティレベルを付加する。

前述したデジタル署名はハッシュ関数として実行されることができる。ハッシュ関数の出力はその入力エレメントよりも小さいデータブロックである。ハッシュ関数の重要な特徴は、同一の入力では、ハッシュ関数の再適用は同一の出力をコンピュータ処理することである。さらに良好なセキュリティハッシュ関数は入力エレメントの任意の変化が出力データブロックの主要な変化を生じる特性を有する。特に、ハッシュ関数がイメージデータで計算されるならば、イメージデータの変化は異なるハッシュ関数出力を生じる。データのデジタル署名はオリジナルデータと共に別のシステム（即ち認証サーバ）へ送信されることができ、受信システムは同一または相補的トークンによりオリジナルデータの署名を計算し、それをデータと共に送信された署名に対してチェックする。署名が一致するならば、データはきわめて高い信頼レベルで変更されていないと仮定されることができる。したがってｘがイメージデータ、ｙがトークン、ｚがシークレットキーの場合、関数ＤＳ（ｘ、ｙ、ｚ）が出力Ｑを発生するならば、幾つかのデータ交換手段によるｘおよびＱと、ｙ、ｚの両者のオリジナル値の知識と、ハッシング関数ＤＳ（ ）では、受取人はＱ’＝ＤＳ（ｘ，ｙ，ｚ）を計算できる。Ｑ＝Ｑ’であるならば、ｘ、ｙ、ｚは変更されておらず、そうでないならば、１以上のデータアイテムが変更されている。実際にハッシュ関数はイメージデータ、随意選択的なトークン、およびシークレットキーの組合わせにおいて計算される。付加されたセキュリティのために、ＤＳ関数は非対称アルゴリズムとして動作でき、この場合１以上の関数パラメータは送信者および受取人側で異なっている（しかし相補的である）。

カメラによりコンピュータ処理されるデジタル署名が認証システムへ返送されることができる多数の方法が存在する。最も直接的な方法は署名をデータへ添付（プリペンド）し、完全なパッケージを認証システムへ返送する方法である。別の技術は署名情報を直接オリジナルイメージデータへ埋設するためにデジタル電子透かし技術を使用することである。これは埋設された署名がイメージ中で消え、ランダム雑音から弁別されることができない方法で実行されることができる。受信システムはイメージからそれを分離するために埋設された署名の復号シーケンスを決定することができ、その後、前述したように認証を実行できる。図４および５は電子透かし技術を示している。各イメージ20は一連のラスター線から構成されている。各ラスター線はさらに画素と呼ばれるエレメントに分割される。各画素は幾つかのビット数により表される。したがってラインはｍビットの深さの一連の画素を含んでいる。電子透かしは典型的に１以上の下位桁ビットの幾つかのこれらのビットを変更することにより適用される。図４に示されているように、デジタル化イメージは電子透かし発生器28を通過される。この装置は図３に示されているコード発生器48であると考える。電子透かし発生器は予め定められたプランにしたがって、イメージに適用されるｎビットの電子透かしデータ26を生成する。このプランは図５で示されており、電子透かしからの１ビット27はオリジナルイメージビット24の選択されたセットからの１ビット25を置換する。電子透かし技術がイメージの認証に使用されるならば、（損失圧縮など）電子透かし後にデータを変更する任意のイメージは認証プロセスにおける確実性を可能にせず、これは高いセキュリティ応用では不所望であることに注意する。トークン方式が使用されるならば、トークンはイメージの捕捉のすぐ前に、サーバ10により発生され、クライアントシステム１に通信される。トークンはカメラ６に送られ、ここでサーバによってのみ保持されるトークンまたは相補的トークンがシークレットキーに加えて適切なイメージの認証に必要とされる方法でイメージ認証アルゴリズムに含まれる。したがって、イメージが妥当としてサーバにより認識されるため、イメージはカメラから出力後、何等かの方法で変更されることはできず、イメージはデジタル署名内に含まれなければならず、トークンはそのトランザクションで有効である。

トークンはサーバにより発生され、サーバにより知られており、各トランザクションはそれに関連する特有のトークンを有し、イメージ署名に埋設されるので、イメージは１つのトランザクションでのみ有効であることが保証され、再使用されることができない。またサーバはトークンを発生し、実効的にイメージ捕捉を開始するので、サーバは若干の時間後にトークンを満了させるクロックを設定できる。実際に、クロックの満了方式はトークンを動作する必要はなく、トランザクションが計時され、クライアントがイメージをサーバへ返送する機会の有限ウィンドウが存在する限り、いくらかの保護が与えられる。イメージおよびトランザクションの追跡がさらに容易であるので、トークンは単にデータを置換することをさらに困難にする。サーバはトークンを発生し、捕捉するコマンドを開始し、タイムアウトクロックを維持する唯一のコンピュータシステムであるので、クライアントとサーバとの間にはクロック同期の必要はない。しかしながら、タイムスタンプはトークンを発生するアルゴリズムに含まれ、またはトークン自体は時間の幾つかの表示である。アルゴリズムにかかわりなく、各トークンの特有性は維持され、またはセキュリティは幾つかの状態で妥協される。

トークン方式の構成の別の可能な変形は、１または複数のキーを使用するデジタル署名アルゴリズムのキーとして機能する特有値の発生を含んでいる。これはトークン発生器が特有であるが有効なキーを発生しなければならないので、トークン発生器が単にデータの特有のブロックを発生する構造とは少し異なっている。これも非対称的なデジタル署名アルゴリズムを使用する能力を提供する。対称アルゴリズムの場合には、ただ１つのトークンまたはキーがクライアント署名とサーバの確認との両者に使用される。非対称アルゴリズムでは、２つのトークンまたはキーが発生される。第１のキーはカメラに送信され、第２または相補的キーはサーバ内に維持される。後者の方法は１つのキーがセキュリティーサーバを離れることがないので付加的なセキュリティを与える。

秘密保護されたイメージ認証を含んでいるイメージ捕捉装置はシステムのハードウェア／ファームウェア／ソフトウェアへ個別化されたキーを含むことにより強化される。１つの可能な方式は特有のカメラの通し番号と共にカメラ中に非対称キーペアを埋設することである。各キーペアは特有であり、発生され、秘密保護設備内で製造時にカメラ中に埋設される。このタイプのシステムは図８に示されている。

図６はどのようにクライアントおよびサーバシステムが共に接続されているかを示している。図６では幾つかのクライアントシステム１ａ、１ｂ乃至１ｎが存在する。各クライアントシステムはホストコンピュータ２およびカメラを含んだ関連するイメージングシステム４を有する。クライアントシステムは多数の認証サーバシステム１０ａ、１０ｂ乃至１0ｎのうちの１つに接続されている。これらのサーバはオンラインバンキングトランザクションを行う他のコンピュータシステムと関連されている。他の認証サーバが他の売主と関連されてもよく、そのサービスまたは商品はネットワーク９を介して購入される。このネットワークはインターネットの可能性が大きいが、電話システムまたは衛星送信システムのような別の公共キャリアであってもよい。選択されたサーバがクライアントの１つからのアクセスのリクエストを受信するとき、キー、公共キー、中央カメラ認証局30のうちの１つに対する問い合わせを送信し、中央カメラ認証局30は全てのカメラの全ての公共キーを保持する。問い合わせはカメラにより報告された通し番号を含んでいる。公共キーは特定のカメラが同一のカメラの内部私有キーを使用してサーバにより受信されたイメージを署名したか否かを決定するために使用される。イメージが私有キーを使用してカメラ内で署名されているので、認証サーバは所定のカメラが問題とするイメージを発生したことを確実に決定するために公共キーを使用することができる。さらに中央カメラ認証局の使用により、個々のカメラは消勢または特定のカメラの記憶された公共キーの変更によって一時的または永久的にディスエーブルされる。この方法で、カメラが妥協されていると考えられるならば、認証局により不正とマークされ、認証は無効にされる。その後、認証サーバはその特定のカメラから任意の“署名された”イメージを検査する能力をもたず、効率的にディスエーブルする。

クライアントとサーバとの間の２つの動作のシナリオは図７および８により示されている。

図７に示されている第１の動作シナリオは認証サーバが“ゲートキーパー”として機能するトランザクションである。認証サーバはデータまたはサービスへのアクセスが許可された個人に対してのみ可能にする。例えばポジティブな識別を行うために生物測定的識別を必要とし高い値の貨幣機能を保護するオンラインバンキングアプリケーションはこのような交換を有する。この方法はトークン交換プロトコルに基づいてトランザクション毎の特有性を実行する方法の使用を示している。この例では、各カメラに埋設されるシークレットキーは全てのカメラに対して同一のキーであり、このシークレットキーは認証サーバにより知られている。

図８に示されている第２の動作シナリオは第１の動作シナリオに類似するトランザクションであるが、各カメラは特有のシークレットキーと特有の通し番号を有する。カメラに埋設された各キーでは、システムが各イメージのソースを識別することを可能にするカメラの“認証局”として動作する中央の秘密保護データベース中に記憶された相補的“公共”キーが存在する。

図７を参照すると、トランザクションはクライアントシステム１がサーバコンピュータ10により保護されているリソースへアクセスをリクエストするときに開始する。例えば、資金を銀行の口座から別の口座へ移動することを可能にする金銭転送スクリーンへアクセスするために人はコンピュータ２を使用しようとする。これは資金を一人の売主の口座へ送ることにより貯蓄預金から当座預金または請求書の支払いへ転送される。認証サーバ10は問い合わせを受信するリクエスト管理装置12を有する。リクエストを受信するとき、認証サーバコンピュータ10は最終的に保護されたリソースへアクセスを行うためにセキュリティトランザクションを開始する。サーバはトランザクションの一部として、特有のトークンまたは特有のトークンのセットを発生し、そのうちの１つはクライアントへ返送される。トークンはトークン発生器13により生成され、ランダム番号発生器、ランダムキー発生器、特有のトランザクション番号、タイムスタンプ、または前述の任意または全ての組合わせの結果として発生される。

クライアントコンピュータはトークンを受信し、それをクライアントコンピュータ２に接続されているイメージングシステム４へ送信する。イメージングシステムはキーアイコンにより示されるシークレットキーを有するカメラ６を含んでいる。カメラはその後、秘密保護イメージを発生するように命令される。カメラはトークンを受取り、イメージを捕捉し、特定のイメージのデジタル署名を与えるためのパラメータとしてイメージ、トークン、カメラのシークレットキーを取るデジタル署名アルゴリズムを使用する。カメラは秘密保護イメージをクライアントコンピュータ２へ出力する。イメージの幾つかの処理を行うかまたは行わないクライアントコンピュータは最終的にネットワーク９でイメージをサーバ10へ送信する。イメージと共に送信されるのはイメージに直接埋設されるか、データパッケージのイメージと共にサーバへ送信されるデジタル署名である。サーバはデータについて同一または相補的なデジタル署名アルゴリズムをコンピュータ処理し、シークレットキーのサーバのコピーと共にトークンまたは相補的トークンの知識をそれぞれ使用することによりイメージに不正が行われていないことをチェックする。これはイメージ認証モジュール15で実行され、ここでコンピュータ処理されたデジタル署名はクライアントからのデジタル署名と比較される。認証モジュールはボックス15に入力されたキーシンボルにより示されるように秘密保護カメラからキーを認識することを可能にする情報を含むか認証サーバシステムの別のコンポーネントからそれを受信する。出力が同一であるならば、受信されたイメージは有効であり、特定のトランザクションに属している。サーバはその後、イメージを受取り、ボックス16により示されているように生物測定的識別を行う。生物測定的識別を通過するとき、クライアントはボックス17として示されている秘密保護されたリソースに対するアクセスを与えられる。トランザクションの記録はサーバシステムによりログされ、サーバシステムはとりわけ、オリジナル、もともとクライアントにより送信された秘密保護されたイメージデータを含んでいる。このデータは必要ならばトランザクションの明白な証拠を与えることができる。

用語ログにより示されるようにトランザクションの各ステップをログすることが好ましい。また、各トランザクションの時間の記録と共にタイムスタンプされたデータのチェックに使用されるクロック18を提供することが好ましい。

第２の例のトランザクションは図８に示されている。第１の例のように、クライアントシステム１はネットワーク９を通して認証サーバシステム10に接続されている。カメラの製造中、公共キー、私有キー、通し番号は秘密保護設備内の各カメラに割当てられる。公共キーと通し番号はカメラ認証局30として動作するサーバコンピュータによりアクセス可能な中央データベースに入力される。私有キーと通し番号はカメラ中にプログラムされる。この私有キーはカメラのシークレットキーである。カメラを含むイメージングシステムはクライアントコンピュータ２に接続され、トランザクションが進行する。

トランザクションはクライアントシステム２がサーバコンピュータ10により保護されるリソースへのアクセスをリクエストするときに開始する。例えば各個人は自分のコンピュータで金銭転送スクリーンをアクセスしようとする。認証サーバコンピュータ10はリクエスト管理装置によりリクエストを受信するとき、保護されたリソースへ最終的にアクセスを行うためにセキュリティトランザクションを開始する。サーバはトランザクションの一部として、トークン発生器13を使用して１または複数のトークンを発生し、そのうちの１つはクライアントシステム１へ返送される。先の例の発生器のように、トークンはランダム番号発生器、ランダムキー発生器、特有のトランザクション番号、タイムスタンプ、または前述の任意または全ての組合わせの結果として発生される。クライアントコンピュータはトークンを受信し、それをカメラへ送信し、その後秘密保護イメージを発生するように命令される。カメラはトークンを受取り、イメージを捕捉し、特定のイメージのデジタル署名を与えるためのパラメータとしてイメージ、トークン、カメラのシークレットキーを取るデジタル署名アルゴリズムを使用する。カメラはカメラの通し番号と共に、秘密保護イメージをクライアントへ出力する。イメージの幾つかの処理を行うかまたは行わないクライアントは最終的にそのイメージをサーバ10へ送信する。イメージと共に送信されるのはイメージに直接埋設されるか、データパッケージのイメージと共にサーバへ送信されるデジタル署名およびカメラの特有の通し番号である。認証サーバはボックス14により示されるようにクライアントにより送信されるデータパッケージからカメラの通し番号を抽出する。この通し番号を中央カメラ認証局30へ送信し、その中央カメラ認証局30はカメラの公共キーを検査する。公共キーは認証サーバへ戻される。モジュール15を使用して、サーバはデータにおいて同一または相補的なデジタル署名アルゴリズムをコンピュータ処理し、カメラの認証局30により与えられるカメラの公共キーと共にトークンまたは相補的トークンをそれぞれ使用することによりイメージに不正が行われていないことをチェックする。アルゴリズムの出力はクライアントからのデジタル署名に対して検査され、出力が同一であるならば、受信されたイメージは有効であり、特定のトランザクションに属しており、通し番号により識別される特定のカメラにより発生されたとして知られる。サーバはその後、イメージを受取り、ボックス16により示されているように生物測定的識別を行う。生物測定的識別を通過するとき、クライアントは秘密保護されたリソース17に対するアクセスを与えられる。トランザクションの記録はサーバシステムによりログされ、サーバシステムはとりわけ、オリジナル、クライアントにより送信された秘密保護されたイメージデータ、および特有のカメラ識別またはキーを含んでいる。このデータは必要ならばトランザクションの明白な証拠を与えることができる。

幾つかの応用では、コードをデータへ添付することはデータは潜在的に幾つかの許可されていない人または組織により観察されるので十分に秘密保護されているとは考えられない。この場合、コードの発生後、クライアントからサーバへ送信される前に、データおよびコードの両者がデータパッケージを暗号化されるように暗号化方式を含むことができる。サーバはその後、データをコードで認証する前に暗号化されたデータパッケージを解読する。当業者はこの目的を実現するために使用される種々のレベルのセキュリティを有する複数の有効な暗号化および解読技術が存在することを認識するであろう。

本発明の特徴にしたがって、生物測定的イメージデータを得る装置はまた生物測定的イメージデータから生物測定的テンプレートを発生するためのコンポーネントを含んでいる。例えば“スマート”カメラまたはその他のイメージング装置は光学系コンポーネントとイメージデジタル化装置だけでなく、生物測定的イメージデータを生物測定的テンプレートへ変換するコンポーネントを具備している。虹彩ベースの生物測定的テンプレートの場合、装置は好ましくはイメージから虹彩のテンプレート変換論理装置を具備し、イメージデータの代わりに、またはそれに加えてテンプレートデータを出力する。テンプレート整合動作を行うサーバのようにテンプレートが外部に通信されるならば、データを認証し、データが変更されておらず、既知の装置または他のソースから来ていることを確実にすることが望ましい。

好ましくは、テンプレート発生の処理はセキュリティコードの発生前に行われる。即ちイメージデータの発生後、生物測定的テンプレートが発生され、その生物測定的テンプレートはデジタル的に署名される。図９はこのような装置の例示的な実施形態のブロック図である。

図９で示されているように、イメージング装置（例えばカメラ）100はケースに収納されるか、そうでなければ不正行為防止パッケージ101内に収納される。イメージング装置100は光学系103、イメージ装置およびデジタル化装置102、イメージプロセッサ104、生物測定的テンプレート発生器105、制御論理装置106、コード発生器107、通信インターフェース108を含んでいる。

イメージング装置100と外部ホスト（図示せず）は通信インターフェース108を通して通信する。外部ホストは例えば生物測定的認証サーバまたは中間ホストであってもよい。通信インターフェース108は生物測定的認証サーバへ直接通信できるか、または中間ホストを通して生物測定的認証サーバと通信することができる。インターフェース108は簡単な通信プロトコルまたは、ＴＣＰ／ＩＰに限定されていないが、このような新型の通信プロトコルをサポートする。

イメージング装置100はボタンを押すかその他の方法で装置100のスイッチを付勢するかそれらに限定されないがその他の方法によって、このような外部コマンドの発生により生物測定的データサンプルを得るように命令される。代わりに、またはさらに追加して、イメージング装置100は通信を開始できる（例えばイメージはオブジェクトの存在の結果として、またはイメージング装置100の前で発生される）。

任意の場合において、特有のトークンのような適切なパラメータおよびコマンド108aは好ましくはインターフェース108を経てイメージング装置100へ送られる。光学系103はイメージを捕捉し、イメージ装置／デジタル化装置102はイメージをデジタル情報へ変換する（デジタル化されたイメージストリーム102a）。イメージプロセッサ104は集められたイメージが生物測定的テンプレートに変換するのに適しているか否かを決定するためにイメージ102aのイメージ解析を行う。イメージプロセッサ104は例えばオブジェクトが本当に虹彩のイメージであるか否かと、それが焦点を結ばれ、適切に照合されるかを決定する。他の決定もまたイメージプロセッサ104により行われることができる。

外部ホストはまた装置内の付加的な制御／通信論理装置と内部記憶装置を使用してイメージ解析を行うことが考察される。

イメージデータがテンプレートの発生に適切であることをイメージプロセッサ104が決定したとき、テンプレート変換104aに適したイメージはテンプレート発生器モジュール105へ転送される。テンプレート発生器モジュール105は、生物測定的テンプレート105aを生成する。テンプレート発生器モジュール105はDaugmanの米国特許第5,291,560号明細書に記載されているように、虹彩イメージを虹彩テンプレートへ変換する。

生物測定的テンプレート105aはその後、コード発生器モジュール107を使用して署名される。コード発生器モジュール107は好ましくは１または複数のキーおよびトークンを使用して署名技術または他のプロセス或いはアルゴリズムを実行し、署名された生物測定的テンプレート107aを発生する。不正行為に対して秘密保護されている署名された生物測定的テンプレート107aは通信インターフェース108を経て外部ホストへ送信される。制御論理装置106は全体的な特性とカメラの論理装置および内部モジュールを制御する。

例示的な装置100は好ましくは秘密保護されたテンプレートを出力し、コマンドパラメータに基づいてイメージまたはテンプレートのいずれかを出力できる装置のような多数の他の実施形態が可能であることに注意すべきである。このような実施形態は本発明の技術的範囲内に含まれる。

図１０は図９に説明されているようにイメージング装置100aを示しているが、図１０で示されているイメージング装置100はコード検査装置／解読装置109、生物測定的整合装置110、デマルチプレクサ(ＤＭＵＸ)111を含んでいる。イメージング装置100aはテンプレートの生成に加えてローカルテンプレート整合をサポートする能力を有する。図１０により示されている本発明では、外部ホストまたはサーバは生物測定的整合用の設備を提供する必要はなく、先に登録されたテンプレートのための記憶装置を提供する必要がある。先に登録されたテンプレートはイメージング装置100aにより発生された新しい候補テンプレートを整合するために使用されてもよい。整合の結果（“テンプレートＡはテンプレートＢに一致”または“テンプレートＡはテンプレートＢに一致しない”）は所望により秘密保護され、それによって侵入者は一致：一致しない結果を変更することができない。

図１０では、生物測定的整合装置110は一致結果110aを生成するために２つの生物測定的サンプルを整合するのに所望の論理装置を含んでいる。一致結果110aは“一致する”即ち比較される２つの生物測定的テンプレートが同一のオブジェクトから来たものであるか同一のものであるか、“一致しない”、即ち２つの生物測定的テンプレートが同一のオブジェクトから来たものではなく、同一のものではないかのいずれか一方である。

イメージング装置100aは通信インターフェース108を介して外部サーバから受信された入来する先に登録されたテンプレートの完全性を解読し検査するためのセキュリティモジュール109も具備している。入来する先に登録されたテンプレートは署名され暗号化されたテンプレート108bとして受信され、確認キー108cを伴うかそれを含んでいる。セキュリティモジュール109はテンプレートのソースを認証する。イメージング装置100aの１実施形態は解読を行うためにイメージング装置100aに埋設された秘密保護私有キーと、送信者の認証を与えるため第３のパーティの認証局により証明された検査のための送信者の公共キー認証（データと共に送信される）を使用する。セキュリティモジュール109は解読され認証され登録されたテンプレート109aを出力する。テンプレート109aと105aは生物測定的整合装置110により比較される。整合結果110aは署名され、署名された整合結果107bを生成する。署名された整合結果107bは通信インターフェース108を介してホスト／サーバへ送信される。

保護パッケージングは論理装置を収納しているので、署名された整合結果107bは非常に秘密保護されることが好ましい。例えば（登録のためのように）イメージング装置100aからの出力のテンプレート発生対整合のためテンプレートのフローを誘導する論理装置は好ましくはＤＭＵＸ111に含まれる。

前述の方法およびシステムは遠隔エンティティへの送信のために生物測定的データを秘密保護することに関する複数の属性を提供する。例えば、生物測定的データをイメージング装置100または100aで署名することにより、データの完全性は維持される。さらに、トークンはデータが再使用されることを防止し、特定のトランザクションへ参照を提供するために使用され、データが特定のタイムウィンドウ内でのみ使用されることを可能にする。最終的に、デジタル証明、認証局、カメラ識別子を使用するような技術は外部サーバがデータがどこから来たか、ソースが知られているか信頼されているか否かを決定することを可能にし、即ちサーバはデータのソースを認証することができる。

付加的な暗号化技術が付加的なレベルのセキュリティを提供するために使用されることが考慮される。例えば、イメージング装置100または100aがホスト／サーバを識別する能力を有し、イメージング装置100または100aが生物測定的データを送信する外部サーバが信頼されていることが知られていることを決定する能力を有することが望ましい。侵入者がその後、例えば生物測定的認証サービスを装い、知られていない目的で生物測定的データを集めることが防止される。さらに、トランザクションのプライバシーが維持されることが所望される。侵入者は例えば生物測定的データが移動する場所を観察することによりその個人についての情報を学習できる。暗号化技術が使用されるならば、転送されているデータは不当な観察者に対して不透明になり、システムのセキュリティ全体を向上する。

図１１は本発明にしたがった暗号化モジュールのブロック図を示している。付加的な暗号化技術を相互の認証を行うためにここで記載されており、即ちサーバはデータが既知の信頼性のあるソースから得られたことを確認でき、またカメラはデータが既知の信頼性のあるサーバへ送信されたことを確認できる。さらに、プロトコルはカメラからサーバへの転送中にデータの内容を曖昧にするために暗号化を随意的に付加することを説明する。この実施形態はただ１つの可能なプロトコルであり、他の異なる技術および特徴が考慮される。

イメージング装置は図１１でエレメント200として示されているように一体化され進歩した暗号化サブシステムを有する。図１１はデジタル署名を生成するコード発生器107のように、説明した機能をサポートするために使用される複数の他のコンポーネントのような、前述の複数のコンポーネントを示している。暗号化サブシステム200は非対称キーペアを発生できるキー発生器113を含んでいる。進歩したハイブリッド（結合された対称および非対称）暗号化方式が使用される１実施形態では、キー発生器113は同様に対称キー発生機能を含んでいる。キー発生器113により生成される私有キー113aは所望により、暗号化サブシステム200からリリースされず、私有キー記憶装置114により記憶される。

公共キー認証は好ましくは記憶装置またはメモリ装置である公共キー証明記憶装置112により記憶される。複数のコンポーネントは本発明にしたがって暗号化動作を行う。暗号化サブシステム200は、サーバ公共キー115aを発生する署名確認装置115、暗号化装置116、デジタル署名を発生するコード発生器107、解読装置118を具備している。制御装置109の制御論理装置はデータ流とサブシステムの論理装置を制御し、通信インターフェース108を通して外部サブシステムと交換する。

図１１に関して説明された装置にしたがって、信頼されている認証局（ＣＡ）が使用される。ＣＡ（図示せず）は非対称キー暗号化および関連する技術を使用する。特に、ＣＡは例えばイメージング装置と生物測定的認証サーバによってそれに提示された公共キーから公共キー証明を発生するために使用される非常に良好に秘密保護された私有キーを有することが考察される。同様に、ＣＡの公共キー証明は非常によく知られ、このキー証明は公共キー証明が本当にＣＡにより署名されたことを検査するために使用されることが想定される。

内部キー記憶装置112、114と署名能力107を有するのに加えて、暗号化サブシステム200を含んでいるイメージング装置は、また技術で知られている方法で非対称のキーペア（公共キーおよび私有キー）を生成するためにキーペア発生器113中に論理装置も含んでいる。さらに、暗号化サブシステム200を含んでいるイメージング装置は公共キーを署名する能力を有する認証局へ新しく発生された公共キーを通知する能力を有することが考慮される。暗号化サブシステム200を含んでいるイメージング装置はその内部記憶装置に新しく署名された証明を再度ロードすることができる。

キーを署名する例示的なプロセスのフロー図は図１２に示されている。ステップ201では、暗号化サブシステム200を含んでいるイメージング装置はキー発生器113内で既知の暗号化キー発生技術を使用して、非対称キーペア113aと113bを発生することができる。私有キー113aはステップ202で内部私有キー記憶装置114に記憶されている。公共キー113bと、イメージング装置（前述の装置100または100a）の識別コードのような随意選択的な他の関連する情報はステップ203でＣＡに送信される。ＣＡにより受信される他の関連する情報はカメラの公共証明108eまたは他のイメージング装置へＣＡにより含まれることができる。カメラの公共証明108eはイメージング装置100、100aを識別し認証するために使用される。カメラの公共証明108eに含まれる例示的なイメージング装置の識別番号はイメージング装置の通し番号、製造業者、証明の満了日、または他の識別コードであってもよい。

ステップ204では、ＣＡはイメージング装置100、100aの公共キー証明108eを発生するためＣＡ私有キーにより公共キー113bおよびイメージング装置100、100aの随意選択的に他の関連情報を署名し、ステップ205で通信インターフェース108を経て公共キー証明108eをイメージング装置100、100aへ戻す。ＣＡはまたＣＡに関連するデータ記憶装置に公共キー証明108eを記憶することができる。ＣＡはまたステップ205でその固有のＣＡ公共キー証明108dを戻す。

ステップ206で、イメージング装置100、100aはその固有の公共キー証明108eと、ＣＡ公共キー証明108dを公共キー証明記憶装置112へ記憶する。

相互認証プロトコルに対して、外部サーバはまた望ましくは非対称キーペアを発生する能力を有する。図１２はサーバキーを署名する例示的なプロセスを示している。ステップ201では、非対称キーペアはサーバにより発生される。サーバはステップ202で内部記憶装置にサーバ私有キーを記憶する。ステップ203で、サーバはサーバ公共キーをＣＡへ送信し、それによってサーバの公共キー証明が発生されることができる。イメージング装置の場合のように、付加的な情報が証明中に含まれることができる。証明は装置の識別と認証に使用される。

ＣＡはステップ204でサーバの公共キー証明を発生するために認証局の私有キーによりサーバの公共キーを署名し、ステップ205で公共キー証明をサーバへ戻す。ＣＡはまた公共キー証明をそのデータベース中に記憶する。ＣＡはまたステップ205で自分のよく知られた公共キー証明を戻す。サーバはその公共キー証明と、ＣＡの公共キー証明をステップ206で記憶する。

秘密保護生物測定的情報の交換が所望でされるとき、クライアントイメージング装置とサーバ交換情報はそれぞれが本当に権限を有するエンティティと通信しているか否かを決定する。このプロセスは図１３のフロー図に示されている。

生物測定的サンプルが暗号化サブシステム200を含むイメージング装置100、100aのようなクライアント装置から所望されるとき、ステップ220で、そのクライアントは（前述したように侵入にリプレイすることの防止に使用される）公共キー証明とトークンを提供するように認証サーバにリクエストする。サーバはステップ221でトークンを発生し、ステップ222でサーバの公共キー証明を検索する。トークンおよび証明はイメージング装置に送信される。ステップ223で、クライアントは暗号化モジュールの署名確認装置115によりサーバの公共キー証明を確認するためＣＡの公共キー証明を使用する。これはＣＡがサーバの公共キーに本当に署名していることを示している。カメラはＣＡを信頼するので、このステップはサーバをカメラに認証する役目を行う。この点で、カメラは安心して生物測定的データを本当に認証されたエンティティへ送信する。カメラがサーバを認証できないならば、生物測定的サンプルが得られることを可能にしない。

ステップ224で、クライアントは生物測定的サンプルを獲得し、ステップ225で、トークン、生物測定的データ、カメラの私有キーを使用して、コード発生器117によりそれに署名する。クライアントはトークン、生物測定的データ、署名、カメラの公共キー証明を含んだデータパッケージを処理する。署名はデータの完全性が交換期間に維持されているか否かを決定する手段として機能する。

この点で、クライアントが署名に加えて暗号化装置116を含んでいるならば、データパッケージはステップ226で、カメラに送信される証明から得られるサーバの公共キーを使用して暗号化される。ステップ227で、データパッケージは通信インターフェース108を通してクライアントからサーバへ戻される。データパッケージが暗号化されるならば、交換のプライバシーは維持される。

ステップ228で、サーバは通信パッケージを受信し、パッケージが暗号化されているならば、サーバはパッケージを解読するためにその私有キーを使用する。サーバはステップ229でＣＡの公共キー証明を使用してクライアントの公共キー証明の妥当性をチェックする。サーバはＣＡを信頼するので、このステップはサーバへクライアントを認証する役目を行う。この点で、サーバはクライアントを識別し、クライアントが本津に権限を有するエンティティであることを知る。サーバは権限のないエンティティからのサンプルを処理しないことを選択し、幾つかの方法で他の介入を知らせる。したがってクライアントとサーバは相互に認証されていると言うことができる。

サーバはステップ230と231で、生物測定的データおよびトークンの署名を確認するためクライアントからの公共キー証明を使用する。これはデータの完全性が維持されていることを試験し、データの署名が確認されるならば、データはどんな方法でも壊されてはならない。ステップ232で、（テンプレート整合動作のような）動作が行われる。

クライアントが解読装置118を含んでいるならば、クライアントはそれに送信されたカメラの公共キーを使用して暗号化されているデータを解読できる。解読装置118はまた生物測定的整合のためイメージング装置100、100aカメラへ送信されたテンプレートを解読するために前述したように使用される。

先に提案した方式の他の可能な変形が存在するが、置換／不正行為に対する生物測定的の確認と識別で使用されるイメージを秘密保護するためのデジタル認証方式を使用する一般的な原理は全体を通して一貫している。

本発明の方法および装置のある好ましい実施形態を示したが、本発明はそれに限定されず、特許請求の範囲の技術的範囲内で種々の形態で実施されることが明白に理解されるべきである。

従来技術で行われるように生物測定的識別を行う基本的なステップを示すフローチャート。 ネットワークで生物測定的データを転送し、本発明のセキュリティシステムを含んでいる生物測定的識別システムのブロック図。 図２で示されている識別システムで使用される本発明の好ましいイメージングシステムの機能ブロック図。 電子透かしプロセスの説明図。 電子透かしプロセスの説明図。 本発明に従ったクライアントサーバネットワークの１実施形態のブロック図。 本発明の方法を使用して行われる１つの演算トランザクションの説明図。 本発明の方法を使用して行われる第２の例の演算トランザクションの説明図。 生物測定的データを得る装置がデータを生物測定的テンプレートに変換するためのコンポーネントを含んでいる例示的な生物測定的識別システムの機能ブロック図。 生物測定的データを得る装置が生物測定的整合を行うためのコンポーネントを含んでいる例示的な生物測定的識別システムの機能ブロック図。 本発明にしたがった例示的な暗号モジュールのブロック図。 クライアントまたはサーバのキーを署名するための例示的なプロセスを示すフロー図。 本発明にしたがった例示的な相互認証手順を示すフロー図。

Claims (20)

1. ネットワークで生物測定的データを収集し送信する装置において、
   生物測定的データを収集するためのセンサと、
   センサに結合され、生物測定的データを生物測定的テンプレートへ変換するための生物測定的テンプレート発生器とを具備している装置。
2. さらに、生物測定的テンプレート発生器に結合され、生物測定的テンプレートをネットワークへ出力する出力インターフェースを具備している請求項１記載の装置。
3. さらに、生物測定的テンプレートに署名するために生物測定的テンプレート発生器に結合されているセキュリティコード発生器を具備している請求項１記載の装置。
4. セキュリティコード発生器はキーとトークンの少なくとも１つを使用して技術を署名技術を実行する請求項３記載の装置。
5. さらに、生物測定的テンプレート発生器に結合され、署名された生物測定的テンプレートをネットワークへ出力する出力インターフェースを具備している請求項３記載の装置。
6. さらに、センサと生物測定的テンプレート発生器との間に結合され、生物測定的データが生物測定的テンプレートの発生に適しているか否かを決定するイメージプロセッサを具備している請求項１記載の装置。
7. さらに、２つの生物測定的テンプレートが一致するか否かを決定し、整合結果を発生するために２つの生物測定的テンプレートを比較する生物測定的整合装置を具備している請求項１記載の装置。
8. 整合結果は署名される請求項７記載の装置。
9. さらに、ネットワークを介して受信された先に登録されている生物測定的テンプレートを解読し確認するためのセキュリティモジュールを具備している請求項１記載の装置。
10. 受信された先に登録されている生物測定的テンプレートは署名され、暗号化され、妥当性検査キーを具備している請求項９記載の方法。
11. 生物測定的データを集めるためのイメージング装置と、
    デジタル署名を発生するためのコード発生器と、
    少なくとも１つのキーを発生するためのキー発生器と、
    キー発生器に結合された私有キー記憶装置と、
    キー発生器に結合された公共キー記憶装置とを具備している暗号化システム。
12. さらに、公共キーを発生するための署名確認検査装置と、
    公共キーを使用してデータを暗号化するための暗号化装置と、
    解読装置を具備している請求項１１記載のシステム。
13. キー発生器は非対称キーペアを生成するための論理装置を具備している請求項１１記載のシステム。
14. 生物測定的データのセキュリティを行う方法において、
    イメージング装置で公共キーと私有キーから構成されているキーペアを発生し、
    私有キーをイメージング装置の記憶装置に記憶し、
    イメージング装置から認証局へ公共キーを送信し、
    認証局でイメージング装置の公共キー証明を発生し、
    認証局で認証局公共キー証明を発生し、
    イメージング装置の公共キー証明と認証局の公共キー証明をイメージング装置へ送信するステップを含んでいる方法。
15. さらに、イメージング装置の公共キー証明と認証局の公共キー証明をイメージング装置の記憶装置に記憶するステップを含んでいる請求項１４記載の方法。
16. 公共キーと私有キーを有する非対称キーペアをサーバで発生し、
    私有キーをサーバの記憶装置に記憶し、
    サーバから認証局へ公共キーを送信し、
    認証局でサーバ公共キー証明を発生し、
    認証局で第２の認証局の公共キー証明を発生し、
    サーバ公共キー証明と第２の認証局の公共キー証明をイメージング装置へ送信するステップをさらに含んでいる請求項１４記載の方法。
17. イメージング装置とサーバとの間で生物測定的情報を交換する方法において、
    イメージング装置でサーバを認証し、
    イメージング装置で生物測定的サンプルを獲得し、
    イメージング装置で生物測定的サンプルを署名し、
    生物測定的サンプル、トークン、署名、イメージング装置の公共キー証明を含むデータパッケージを発生し、
    データパッケージをサーバへ送信し、
    データパッケージをサーバで受信し、
    サーバでイメージング装置を認証し、
    署名とトークンをサーバで確認するステップを含んでいる方法。
18. イメージング装置におけるサーバの認証は、
    サーバの公共キー証明とトークンのリクエストとをイメージング装置からサーバへ送信し、
    サーバでトークンを発生し、
    記憶装置からサーバの公共キー証明を検索し、
    サーバの公共キー証明とトークンとをイメージング装置へ送信し、
    イメージング装置でサーバ公共キー証明を確認するステップを含んでいる請求項１７記載の方法。
19. イメージング装置でのサーバの公共キー証明の確認は認証局の公共キー証明を使用する請求項１８記載の方法。
20. さらに、データパッケージをサーバへ送信する前にサーバの公共キー証明を使用してデータパッケージを暗号化し、データパッケージをサーバで解読する請求項１７記載の方法。

Images