JP2008102876A - 格納方法、その格納方法をコンピュータに実行させることが可能なプログラム、データ管理システム、及び管理装置 - Google Patents

Abstract

【課題】 複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納するデータベース形式において、不正侵入についての対策を可能とする格納方法等を提供する。
【解決手段】 管理システム１は管理装置３と記憶部５とを備え、管理装置３はＢＥＦＦデータ管理サーバ７とＢＳＭＢデータ管理サーバ９とを有し、情報通信ネットワークであって外部ネットワークと通信可能な状態であり、オープン環境に適用される。ＢＳＭＢデータ管理サーバ９は演算部１１を有し、記憶部５は、ＳＢＨ・ＳＢストレージ１３と、ＢＳＭＢストレージ１５と、格納位置マップ・ストレージ１７とを有する。ＣＢＥＦＦデータ管理サーバ７はＳＢＨ・ＳＢストレージ１３にアクセス可能であり、ＢＳＭＢデータ管理サーバ９は、ＢＳＭＢストレージ１５及び格納位置マップ・ストレージ１７にアクセス可能である。
【選択図】 図１

Description

本発明は、格納方法、その格納方法をコンピュータに実行させることが可能なプログラム、データ管理システム、及び管理装置に関し、特に、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法等に関する。

近年、登録者の身体的行動的特徴に基づくバイオメトリック認証（生体認証）が注目されている。日本国内でもすでに一部の金融機関のＡＴＭや管理施設への入室管理、情報システムのアクセス管理や電子パスポートにおいて取り入れられている。このようにバイオメトリック認証は一般社会に急速に普及しつつある。

その一方で高度なプライバシ問題を生じる可能性が指摘されている。すなわち、テンプレートなどの登録情報の中には個人識別の情報だけでなく登録者の性別，健康状態などの副次的かつ高度なプライバシに関する情報を含んでいる場合が多い。また、バイオメトリック情報が漏洩などによって危殆化した場合、パスワードや公開鍵の場合と異なり、登録情報の交換は不可能である。したがってバイオメトリクスの認証情報の取扱には、情報の漏洩防止の観点から十分注意を払う必要がある。

一般のバイオメトリック認証システムにおいて、登録テンプレートは登録者の所持するスマートカードか、集中管理のデータベースに格納される。前者の場合、スマートカードが耐タンパ性を持つため、格納データへの不正アクセスに対する安全性は当該スマートカードのアクセス制御に依拠する。他方、データベースの場合には、アクセス制御や格納データの暗号化によって、テンプレート情報を保護しているが、これはアクセス制御によりデータベースへの不正アクセスを防ぎ、格納データの暗号化によって、漏洩時の不正使用を防止することで、登録テンプレートを保護していると考えることができる。

現在、主としてバイオメトリクスは上述のようにクローズ環境での認証に利用されているが、今後インターネットバンキングなどオープン環境での利用への期待が高まっている。オープン環境用のバイオメトリクスについては、近年システム要件、データ形式の研究（非特許文献１〜４参照）や、国際標準化（非特許文献５、６参照）が進んでいる。

池田竜朗、森尻智昭、才所敏明、"本人確認環境認証方式の提案"、コンピュータセキュリティシンポジウム2002、 pp．337-342、 Oct. 2002. 磯部義明、瀬戸洋一、"PKIとバイオメトリクスを連携した本人認証の課題と要件"、2004年暗号と情報セキュリティシンポジウム、 pp．561-566、 Jan. 2004. Yoshifumi Ueshige、 Kouichi Sakurai、 "A Study on a Framework of Online Biometric Authentication with Verification of Personal Repository"、 The 4th Applied Public Key Infrastructure、 IOS Press、 pp.155-169、 Sep. 2005. Yoshifumi Ueshige、 Kouichi Sakurai、 "A Proposal of One-Time Biometric Authentication"、 The 2006 International Conference on Security & Management (SAM’06)、 pp.78-83、 Jun. 2006. "Authentication Context for Biometrics"、 ISO/IEC WD24761.2, "Baseline document for Telebiometrics System Mechanism"、 ITU-T Q8/SG17、 Apr. 2005

しかしながら、オープン環境用のバイオメトリクスについて、上記ではデータベースのセキュリティについて言及されていない一方、今後、オープン環境用バイオメトリクスにも適用することは大きな時流であり、その場合においては攻撃者がデータベースへ不正侵入した場合を想定しなければならない。

攻撃者がデータベースへ不正侵入した場合には、格納された登録テンプレートの不正使用の問題、またプライバシ保護の問題について対策が必要となる。

ゆえに、本発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納するデータベース形式において、上記不正侵入についての対策を可能とする格納方法、その格納方法をコンピュータに実行させることが可能なプログラム、データ管理システム、及び管理装置を提供することを目的とする。

請求項１に係る発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法であって、演算手段が前記各登録者に対してテンプレート要素データが少なくとも１つ対応しており、前記各登録者に対応するテンプレート要素データを格納すべき格納位置を特定するインデックス情報を演算する第１ステップと、記憶手段が前記第１ステップにより演算されたインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第２ステップとを含み、前記第１ステップでは、前記演算手段が前記複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべく前記インデックス情報を演算することを特徴とするものである。

請求項２に係る発明は、請求項１において、前記テンプレート要素データが格納される記憶領域とは異なる他の記憶領域に記憶手段が前記演算されたインデックス情報を格納する第３のステップを含むものである。

請求項３に係る発明は、請求項１又は２記載の格納方法をコンピュータに実行させることが可能なプログラムである。なお、このプログラムに係る発明をコンピュータが実行することが可能にて記録した記録媒体に係る発明として捉えなおしてもよい。

請求項４に係る発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納してデータを管理するデータ管理システムであって、請求項１記載のインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第１記憶部と、前記第１記憶部とは分離された記憶部であってインデックス情報を格納する第２記憶部と、前記各登録者に対応する前記第１記憶部に記憶されたテンプレート要素データを前記第２記憶部に記憶されたインデックス情報に基づいて管理する管理装置とを備えるものである。

請求項５に係る発明は、外部情報通信ネットワークに直接に接続又は他の管理装置を介して接続した請求項４記載の管理装置である。

本発明によれば、例えばオープン環境用バイオメトリクスにおいても、攻撃者がデータベース等の記憶部へ不正侵入しようとしても、複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべくインデックス情報が演算されて格納される。そのため、複数の登録者のいずれかに対応する複数のテンプレート要素データは連続して格納されていないことになり、格納されたテンプレート要素データの不正使用を防止できるとともに、テンプレート要素データが登録者のそれぞれを識別可能にした固有情報を表すためその漏洩防止の点からプライバシ保護も可能になる。

図１は本発明の実施の形態にかかる管理システムの一例を示した概略ブロック図である。

図１を参照して、管理システム１は、管理装置３と、記憶部５とを備える。管理装置３は情報通信ネットワークであって外部ネットワークと通信可能な状態であり、オープン環境に適用される。管理装置３は、外部ネットワークに直接接続する関係のＣＢＥＦＦデータ管理サーバ７と、ＣＢＥＦＦデータ管理サーバ７と接続関係にあるＢＳＭＢデータ管理サーバ９とを有する。ＢＳＭＢデータ管理サーバ９は、後述する図４に示すインデックス発生アルゴリズムの実行に寄与する演算を行う演算部１１を有する。記憶部５は、ＳＢＨ・ＳＢストレージ１３と、ＢＳＭＢストレージ１５と、格納位置マップ・ストレージ１７とを有する。ＣＢＥＦＦデータ管理サーバ７はＳＢＨ・ＳＢストレージ１３にアクセス可能であり、ＢＳＭＢデータ管理サーバ９は、ＢＳＭＢストレージ１５及び格納位置マップ・ストレージ１７にアクセス可能である。

管理システム１のポイントの概要を説明する。管理システム１は、テンプレートが複数の要素からなる集合であるケースについて、データベース内部での格納場所のインデックスをスクランブルすることによって、登録者ごとにテンプレートを分散格納する方法を実現するものである。「登録テンプレートの個々の要素（以下，テンプレート要素）のバイナリデータ」と「登録者のID情報等のバイナリデータをシード値とする擬似乱数」との結合値に対するハッシュ値を用いて格納場所のインデックスが決定される。

図２はテンプレート要素と格納位置のインデックスの関係を具体的に示す図である。

図２に示すように、テンプレート要素は、Ａさんについて「１」〜「Ｍ」があるとし、Ｂさんについて「１」〜「Ｍ」があるとする。この場合、上記の方法によるインデックスを生成すると、例えば、「ＢさんのテンプレートＭ」に対応する格納インデックスの値は、［（ＢさんのテンプレートＭ）||（Ｂさんの識別番号から生成した擬似乱数）］のハッシュ値となり、それぞれ、「Ａさんのテンプレート１」の格納位置のインデックスは「１０００」、「Ａさんのテンプレート２」の格納位置のインデックスは「１１」、「Ａさんのテンプレート３」の格納位置のインデックスは「５１６７」、「ＡさんのテンプレートＭ」の格納位置のインデックスは「２１９」、「Ｂさんのテンプレート１」の格納位置のインデックスは「２１８」、「Ｂさんのテンプレート２」の格納位置のインデックスは「１０６９８」、「Ｂさんのテンプレート３」の格納位置のインデックスは「８７１４」、「ＢさんのテンプレートＭ」の格納位置のインデックスは「５１７７」のように、同一人物のテンプレート要素が必ずしも連続せず、他の人物のテンプレートが混じってくる。

このように求められたハッシュ値は別途マップとして保存される。隣接する格納場所に同一人物のテンプレート要素が格納されることがないため、マップを入手されなければ、（たとえ、攻撃者がテンプレート要素を不正入手したとしても）登録者のテンプレート全体を再構成することはできない。それゆえに成りすましを防止する効果もある。

さらに、管理システム１の必要性について説明する。

以下、登録テンプレートを格納するデータベースに要求される安全性の要件について説明し、取り扱う脅威、すなわち破られたデータベースの安全性要件を説明し、解決を図るべき問題点を説明する。

登録テンプレートの真正性と可用性を確保するために、データベースが満たすべき安全性の一般的な要件として、「登録時の本人確認」、「データ漏洩の対策」、「データ改ざんへの対策」が挙げられる。

この管理システム１が想定するデータベースの脅威と対策の方針は、「データ漏洩の対策」及び「データ改ざんへの対策」とする。特にデータベース内部に侵入された後、登録テンプレートを不正にコピー、もしくは改ざんされるケースを想定する。一般に不正アクセスによってデータベースの内容が不正コピーされる場合、登録者全てのテンプレートが漏洩することを想定する必要がある。その際、漏洩したデータから登録者本人とテンプレートの関連付けを行うことを困難にしておくことにより、少なくともプライバシ保護が可能と考えられる。また、改ざんの場合、特定登録者のテンプレートに対する改ざんが想定される。このケースも上と同様の措置をとることによって、防止することが可能になると考えられる。

図３はＣＢＥＦＦ（Common Biometric Exchange File Format）を説明するための図である。

ＣＢＥＦＦは、米国ＮＩＳＴ提案の形式に基づき、ＩＳＯ／ＩＥＣ ＪＴＣ１ ＳＣ３７にて国際標準化が進められているものである。その目的はバイオメトリック・ロウデータやテンプレートなどのデータの相互運用性を確保することにある．ＣＢＥＦＦでは利用するバイオメトリクスのモーダルに応じて、そのデータ形式をパトロンフォーマットとして登録しておく必要がある。図３に示すように、ＣＢＥＦＦ１９全体の構成は、データ要素として、ＳＢＨ（Standard Biometric Header）２１と、ＢＳＭＢ（Biometric Specific Memory Block）２３と、ＳＢ（Signature Block）とを有する。ＳＢＨ２１は、バイオメトリクスのフォーマット識別情報、フォーマット提供ベンダの識別情報、セキュリティオプション等からなるヘッダ情報である。ＢＳＭＢ２３は、格納するバイオメトリックデータの本体となる。ＳＢ２５は、署名かＭＡＣ値を用いて完全性を保証するものであり、オプションのブロックである。

次に、テンプレートのデータ形式について説明する。ＢＳＭＢの格納データについてはバイオメトリック認証のモーダルに応じて国際標準化が進められている。

指紋マニューシャについては、下記表にも示されているデータ形式であり、指紋マニューシャのデータは指紋の核、三角州などの特徴点の座標と谷の方向から構成される。表のデータを1要素として、一人当たり最大60個（登録：16個以上，認証：12個以上）の要素を登録可能とすることが求められている。

指紋画像データ、顔画像データ、虹彩画像データというこれらの画像データとしては、例えばＪＰＥＧ方式にて圧縮された情報を用いればよい。画像データが８画素×８ラインの重なりのないブロックに分割され、それぞれのブロックについて２次元ＤＣＴ（離散コサイン変換）係数の系列がランレングスハフマン符号化される。

以下、上記に記載した内容を踏まえて、図１の管理システム１の動作を説明する。

図１に示すように、ここでの管理システム１は、以下のように登録テンプレートの中で個々の要素に分割可能なものを対象としている。

ＣＢＥＦＦデータ管理サーバ７は、一般的なアクセス制御の機能と、認証要求があったときにＢＳＭＢデータ管理サーバ９にテンプレートの再構成および送信の要求を行う。また、ＳＢＨ・ＳＢストレージ１３の格納データとＢＳＭＢデータ管理サーバ９から受信したテンプレートからＣＢＥＦＦ形式のデータを再生する。

ＢＳＭＢデータ管理サーバ９は、ＣＢＥＦＦデータ管理サーバ７からの要求にしたがって、テンプレートの格納、出力を行う。ＢＳＭＢデータ管理サーバ９はＣＢＥＦＦデータ管理サーバ７よりも厳格なアクセスポリシによりアクセス制御される。

ＳＢＨ・ＳＢストレージ１３は、全登録者のＣＢＥＦＦデータのうちＳＢＨとＳＢの部分のデータを格納する。

ＢＳＭＢストレージ１５は、テンプレートの本体を格納する。テンプレート要素は以下に示す手法によって格納位置をスクランブルされており、ＢＳＭＢストレージ１５の格納データから各登録者のテンプレートを再構成することはできない。

上記格納位置をスクランブルするための定義と計算方法を示す。

登録者αの登録テンプレート（ＢＳＭＢ）を第（１）式に示すＴ_αとし、ＳＢＨのバイナリデータをＢ_ＳＢＨα、データベースが持つ秘密値をｓ_ＤＢとする。データベースが持つアルゴリズムＡのハッシュ関数をＨ_Ａ、擬似乱数生成器をＧ_ＰＲＮとする。擬似乱数生成のシード値をｓｅｅｄとし、ｉ番目の系列値をＧ_ＰＲＮ（ｓｅｅｄ，ｉ）とする。また、ｉ番目のテンプレート要素Ｔ_α，ｉの格納位置インデックスをｉｄｘ_α，ｉとする。

テンプレート要素の格納位置インデックスの計算法については以下のとおりである。各Ｔ_α，ｉの格納位置インデックスｉｄｘ_α，ｉはＢ_ＳＢＨα，ｓ_ＤＢをｓｅｅｄとする擬似乱数とＴ_α，ｉを入力とするハッシュ関数Ｈ_Ａの出力値とする。この計算により、テンプレート要素の格納位置はＴ_α，ｉ自身とそれを格納するＣＢＥＦＦデータのヘッダによって撹乱される。Ｂ_ＳＢＨαは登録者によって異なるため、Ｇ_ＰＲＮにより生成される擬似乱数系列も登録者によって大きく異なる。

なお、第（２）式の計算集合である第（３）式に表されるＩＤＸ_αが、登録者αの格納位置マップとされ、データベースの秘密情報として格納される。

格納位置マップ・ストレージ１７は、全登録者のテンプレート要素の格納位置に関するマップ情報ＩＤＸ_αを格納している。

このような概念に基づき、図１に示すように、ＣＢＥＦＦデータ管理サーバ７、ＢＳＭＢデータ管理サーバ９を介して、3箇所にストレージが分散され、各登録者のＣＢＥＦＦデータが格納されている。

図４は図１の管理システム１の主要動作の一つであるインデックス発生とデータ格納処理のアルゴリズムの一例を示した図である。以下、図４に従って、図１のＢＳＭＢデータ管理サーバ９（特に演算部１１）が行う格納位置インデックスｉｄｘ_α，ｉの演算による生成とＩＤＸ_αの格納処理をさらに説明する。

ステップＳ１を開始するために、ＳＴ［ｉ］がストレージのｉ番目のポインタとして、ＩＤＸ_α［ｉ］がユーザαのｉ番目のテンプレートの格納インデックスとして準備される。

ステップＳ１では、テンプレートのヘッダ情報Ｂ_ＳＢＨα、ストレージの秘密値ｓ_ＤＢの入力が行われる。ステップＳ２では、初期値設定が行われ、具体的には、カウンタｉ←０、擬似乱数のｓｅｅｄ値がｓｅｅｄ←Ｂ_ＳＢＨα||ｓ_ＤＢとされる。

ステップＳ３では（ｉ＜Ｎ）、登録者αのテンプレート格納のため、登録者αのテンプレート格納位置のシャッフル計算及び格納処理についてのループが開始される。

ステップＳ４では擬似乱数計算ＰＲＮ←Ｇ_ＰＲＮ（ｓｅｅｄ，ｉ）が行われ、ステップＳ５ではハッシュ関数計算ｉｄｘ_α，ｉ←Ｈ_Ａ（Ｔ_α，ｉ||ＰＲＮ）が行われる。

ステップＳ６では格納インデックスの登録ＩＤＸ_α［ｉ］←ｉｄｘ_α，ｉが行われ、ステップＳ７ではストレージへのテンプレート格納ＳＴ［ＩＤＸ_α［ｉ］］←Ｔ_α，ｉが行われる。

そして、ステップＳ８ではカウンタのインクリメントｉ←ｉ＋１が行われ、ステップＳ９では登録者αのテンプレート登録に関するループ処理が終了する。

次に、上記管理システムの安全性について、格納位置インデックスの計算法、データベースへの不正アクセスへの耐性の観点から説明する。

格納位置インデックスのスクランブルによる安全性については、テンプレート要素の格納位置インデックスの計算に用いるハッシュアルゴリズム、擬似乱数生成アルゴリズムを非公開にすることにより、擬似乱数のシード値が知られても、格納位置を推測することは困難である。したがって、ＢＳＭＢストレージ全体のデータを取得しても、各登録者のテンプレートの再構成は困難であり、成りすましに利用される可能性を低減することができる。

データベースへの侵入に対する安全性については、図１において外部ネットワークと直接接続されているのはＣＢＥＦＦデータ管理サーバ７であり、ＣＢＥＦＦデータ管理サーバ７に侵入されても、ＢＳＭＢデータ管理サーバ９へのアクセスに認証サーバからの情報を含めることにより、テンプレートデータへのアクセスを防止できる。また、ＢＳＭＢデータ管理サーバ９への侵入が行われた場合でも、格納位置マップ・ストレージ１７への不正アクセスを防止できれば、各登録者のテンプレートデータを保護できる。

なお、上記実施の形態では、ＢＳＭＢデータ管理サーバ９が演算部１１を有する形態としたが、ＢＳＭＢデータ管理サーバ９とは分離されたものであってもよく、ＢＳＭＢストレージ１５或いは格納位置マップ・ストレージ１７、その他の新たなシステム構成部分に有するようにしてもよい。

また、上記実施の形態では、オープン環境用のバイオメトリクスを前提にしたものを具体的には示したが、複数の登録者のそれぞれを識別可能にした他の固有情報に関するものでもよい。

なお、上記実施の形態ではＣＢＥＦＦデータ管理サーバ７とＢＳＭＢデータ管理サーバ９とを分離させたが、必ずしも分離させる必要はない。

本発明の実施の形態にかかる管理システムの一例を示した概略ブロック図である。 テンプレート要素と格納位置のインデックスの関係を具体的に示す図である。 ＣＢＥＦＦ（Common Biometric Exchange File Format）を説明するための図である。 図１の管理システム１の主要動作の一つであるインデックス発生とデータ格納処理のアルゴリズムの一例を示した図である。

符号の説明

１ 管理システム
３ 管理装置
５ 記憶部
９ ＢＳＭＢデータ管理サーバ
１１ 演算部
１５ ＢＳＭＢストレージ
１７ 格納位置マップ・ストレージ

Claims (5)

1. 複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法であって、
   前記各登録者に対してテンプレート要素データが少なくとも１つ対応しており、
   演算手段が前記各登録者に対応するテンプレート要素データを格納すべき格納位置を特定するインデックス情報を演算する第１ステップと、
   記憶手段が前記第１ステップにより演算されたインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第２ステップとを含み、
   前記第１ステップでは、
   前記演算手段が前記複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべく前記インデックス情報を演算することを特徴とする、格納方法。
2. 前記テンプレート要素データが格納される記憶領域とは異なる他の記憶領域に記憶手段が前記演算されたインデックス情報を格納する第３のステップを含む、請求項１記載の格納方法。
3. 請求項１又は２記載の格納方法をコンピュータに実行させることが可能なプログラム。
4. 複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納してデータを管理するデータ管理システムであって、
   請求項１記載のインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第１記憶部と、
   前記第１記憶部とは分離された記憶部であってインデックス情報を格納する第２記憶部と、
   前記各登録者に対応する前記第１記憶部に記憶されたテンプレート要素データを前記第２記憶部に記憶されたインデックス情報に基づいて管理する管理装置とを備えた、データ管理システム。
5. 外部情報通信ネットワークに直接に接続又は他の管理装置を介して接続した請求項４記載の管理装置。

Images