JP2009288936A - 認証システム、及び認証サーバ - Google Patents

Abstract

【課題】生体情報のみで個人認証が可能であり、膨大な情報の中から特定個人の検索を容易する。
【解決手段】生体認証データを保持するサーバと、そのサーバにネットワークで接続しているクライアントで構成されるシステムにおいて、クライアントは生体認証のためのデータ読み取り手段を有し、生体認証データ入力手段から入力された生体認証データを生体認証サーバに転送し、クライアントから送信されてきた生体認証データと１：Ｎ認証を行い、その結果をクライアントに送信するシステムにおいて、一度サーバで認証し本人と同一と判断したとき、サーバはクライアントのＩＰアドレスからアドレスプール単位で生体認証データを一意に特定する識別ＩＤを保持し、以降の認証時はアドレスプール単位に保持する識別ＩＤから生体認証データと１：Ｎ認証を行うことで高速化を特徴とする生体認証システムを提供する。
【選択図】図１

Description

本発明は、認証システム、及び認証サーバに関し、例えば、人間の体の一部である生体の特徴を利用して個人認証する生体認証に関するものである。

近年、さまざまな分野で生体認証技術が注目されている。指紋や静脈のような生体情報は各個人に特有であり、偽造することが困難であることから、個人認証においてセキュリティ性が高いとされており、今後広く一般に普及していくと考えられる。

生体認証の認証方法としては、大きく分けて２つある。１つは、１：１認証で生体情報とは別にＩＤなどの識別情報を入力し、ＩＤから対象者の生体情報を特定した後、特定された生体情報と対象者から取得された生体情報を照合する方法である。もう１つは、１：Ｎ認証で入力は生体情報のみであり、登録された全ての情報と対象者から取得された情報を照合する方法である。また、例えば特許文献１に示されるように、１：Ｎ認証と１：１認証を組み合わせて行う認証方法もある。

特開２００４−１４５６０８号公報

しかしながら、１：Ｎ認証は、対象者を特定するまでの時間が１：１認証よりも必要とする。つまり、１：１認証の場合には、ＩＤによって特定された生体情報と入力された生体情報を照合すれば認証処理は完了するが、１：Ｎ認証の場合には、入力された生体情報とデータベースに登録されている生体情報とを照合する必要があるからである。

従って、例えば、フリーアドレス制のオフィスにおいて社内ネットワークにアクセスする際に生体認証を採用し、生体情報のみの入力である１：Ｎ認証を用いた場合、社員は固定席ではないため、内部的に座席ＩＤをキーにした１：１認証は行えず、検索に時間がかかることが想定される。

その一方、１：Ｎ認証は１：１認証に比べてＩＤを記憶、入力する必要がなく利用者にとって便利であるため、利用者の利便性を考慮すると１：Ｎ認証の方が優れている。

本発明はこのような状況に鑑みてなされたものであり、利用者ＩＤの入力を必要とせず、生体情報のみで認証時間を短縮することのできる生体認証技術を提供するものである。

上記課題を解決するために、本発明による認証システムは、利用者を認証する認証サーバと、ネットワークを介して認証サーバに接続された複数のクライアント端末と、を備えている。そして、それぞれのクライアント端末は、入力された利用者の生体情報を、当該クライアント端末のアドレス情報と共に、認証サーバに送信する。一方、認証サーバは、生体情報とアドレス情報を受信し、受信したアドレス情報が、複数のクライアント端末のアドレス情報でグルーピングし、それぞれのグループにアドレスプールＩＤを割り当てて管理するアドレスプールテーブルにおいてグルーピングされたグループの何れかに属するか判断する。また、認証サーバは、アドレスプールＩＤ毎に、以前に認証が成功したことのある利用者ＩＤを登録するアドレスプール別履歴データベースを含み、受信したアドレス情報が属するグループのアドレスプールＩＤに対応する前記アドレスプール別履歴データベースに登録された利用者ＩＤの生体情報と、受信した生体情報とを照合して認証する。なお、受信したアドレス情報が何れのグループにも属さないと判断された場合、或いは、受信した生体情報がアドレスプール別履歴データベースに登録された利用者に該当しないと判断された場合、受信した生体情報と、全ての利用者の生体情報を登録したテンプレートデータベースとを照合して認証する。これは通常の１：Ｎ認証処理である。

認証サーバは、さらに、受信した生体情報がアドレスプール別履歴データベースに登録された利用者に該当しないと判断された場合であって、受信した生体情報がテンプレートデータベースに登録されていると判断された場合には、受信した生体情報に対応する利用者ＩＤをアドレスプール別履歴データベースに登録する。

さらなる本発明の特徴は、以下本発明を実施するための最良の形態および添付図面によって明らかになるものである。

本発明によれば、個人認証については、個人がＩＤを記憶、入力しなくても生体情報のみを入力として認証が可能となるとともに、膨大な情報の中から特定個人の検索を行う場合でも認証の高速化が可能となる。

本発明は、例えば、認証アクセス時に常に固定のクライアント端末を利用しないが、周辺一帯のクライアントの利用の頻度が高いようなケースにおいて、生体情報（指紋、静脈、声紋、筆跡、手相、アイリス、顔等）のみで個人認証が可能で、かつ膨大な情報の中から特定個人の検索を容易にした生体認証システムを提供に関するものである。

以下、添付図面を参照して本発明の実施形態について説明する。ただし、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。また、各図において共通の構成については同一の参照番号が付されている。

＜認証システムの構成＞
図１は、本発明の実施の形態に係るクライアント・サーバ間の認証システムの概略構成を示す図である。認証システムは、クライアント（コンピュータ）１と、クライアント１に接続された生体センサ２と、認証サーバ４と、を備え、クライアント１と認証サーバ４はネットワーク３を介して接続されている。

クライアント１は、生体センサ２から入力された生体情報（例えば、指紋や手相の２次元画像）を取得する生体情報採取部１１と、生体情報のパターンを抽出する特徴抽出部１２と、抽出した生体情報のパターンを、ネットワーク３を介して認証サーバ４に送信する送受信部１３と、を備えている。生体情報採取部１１では、例えば、ローパスフィルタによるノイズ除去処理、しきい値法による２値化処理、細線化処理などが行われる。また、特徴抽出部１２では、例えば、細線化処理された生体情報の特徴を表す端点や分岐点などが検出され、それらの情報が特徴点として抽出される。特徴点を抽出することにより、指紋情報等の生体情報そのものを認証に用いることがなく、特徴点のデータからは生態情報を復元することは不可能であるので、セキュリティ上安心という利点がある。

認証サーバ４は、データベースとして、認証によりアクセスを許可する全ての生体情報を記憶しているテンプレートデータベース４１（図２参照）と、アクセスを許可する端末のＩＰアドレスをグループ単位で管理するアドレスプールテーブル４２（図３参照）と、アクセスが許可された利用者ＩＤをアドレスプール（グループ）毎に管理・記憶しているアドレスプール別履歴データベース４３（図４参照）と、を備えている。また、認証サーバ４は、クライアント１と情報の送受信を行う送受信部４４と、クライアント１から送信されてきたＩＰアドレスの情報とアドレスプールテーブル４２に基づいて（照合して）アクセス元が何れのアドレスプール（グループ）に属するかを解析するアクセス元解析部４５と、クライアント１から送信されてきた生体情報の特徴点と認証サーバ４に登録されている生体情報の特徴点とを照合する照合部４６と、アドレスプール別履歴データベース４３の内容を更新する履歴更新部４７と、を備えている。なお、各データベースは、認証サーバ４内に存在しなくてもよく、例えば、場所的に離隔的に設置されていても良い。

図２は、テンプレートデータベース４１の構成例を示す図である。テンプレートデータベース４１は、図２に示されるように、利用者の識別ＩＤに対応付けて生体情報（特徴点情報）が管理・記憶されている。テンプレートデータベース４１は、登録されている全利用者のＩＤと生体情報を格納している。よって、認証サーバ４では、従来の１：Ｎ認証を実行することも可能となっている。

図３は、アドレスプールテーブル４２の構成例を示す図である。アドレスプールテーブル４２は、例えば、オフィスのフロアの島単位などに割り当てられるＩＰアドレスの範囲に対しアドレスプールＩＤ割り当てたもので、開始ＩＰアドレスと終了ＩＰアドレスが予め設定されている。クライアント１から生体情報（特徴点情報）と共に送信されてきた端末のＩＰアドレスが何れのグループに属するかが判断されて、アドレスプールＩＤが特定されるようになっている。

図４は、アドレスプール別履歴データベース４３の構成例を示す図である。アドレスプール別履歴データベース４３は、過去認証成功した利用者（従業員）の識別ＩＤをクライアント１のアドレスプールＩＤ単位で管理・記憶している。つまり、アドレスプールＩＤで特定されるクライアント群（図３の開始ＩＰアドレスから終了ＩＰアドレスに含まれる複数の端末装置）を利用して以前に認証が成功した利用者の識別ＩＤが格納されている。例えば、識別ＩＤ＝Ａ‐００１やＢ‐１２３の利用者は、アドレスプールＩＤ＝０に含まれるクライアントを使用して以前に認証が成功している。従って、アドレスプールＩＤ＝０に含まれるクライアントを使用している今回の利用者が、利用者Ａ‐００１やＢ‐１２３・・・に該当するか否かをチェックし、該当すると判断されれば認証処理は簡素化することができる。即ち、この場合、アドレスプール別履歴データベース４３に含まれる利用者の生体情報（特徴点情報）と、今回入力された生体情報（特徴点情報）とを比較して該当するものがあれば、認証成功として処理するのである。

＜具体的認証処理の内容＞
図５は認証サーバ４の認証処理の詳細動作を説明するためのフローチャートである。

まず、送受信部４４は、クライアント１から送信された生体情報（特徴点情報）と共に当該クライアントのＩＰアドレスを受信し、アクセス元解析部４５が当該クライアントのＩＰアドレスを特定する（ステップＳ４０１）。そして、アクセス元解析部４５は、図３のアドレスプールテーブル４２を参照して、特定されたクライアントのＩＰアドレスが該当するアドレスプールＩＤを検索する（ステップＳ４０２）。該当するアドレスプールＩＤがテーブル４２に存在すれば処理はステップＳ４０３に移行し、該当するものが無ければ認証処理は終了する（認証拒否）。この場合、想定していない(管理していない)クライアント端末であるため、排除している。

ステップＳ４０３では、照合部４６が、アドレスプール別履歴データベース４３に登録されている識別ＩＤ順に、図２のテンプレートデータベース４１を参照しながら、対象者の生体情報と１：Ｎ認証を行う。つまり、例えば、当該クライアントがアドレスプールＩＤ＝０に該当する場合、照合部４６は、入力された生体情報（特徴点情報）と、登録されている利用者Ａ‐００１、Ｂ‐１２３・・・の生体情報（特徴点情報）とを照合する。続いて、照合部４６は、ステップＳ４０３の照合の結果、合致するものがあるか否か判断する（ステップＳ４０４）。合致するものがある場合には、認証が成功したとして処理は終了する。合致するものが無い場合には、処理はステップＳ４０５に移行する。

上述のように、アドレスプール別履歴データベース４３に登録されている識別ＩＤ全てと照合しなかった場合、ステップＳ４０５の処理が実行される。ステップＳ４０５では、照合部４６は、１：Ｎ認証を行い、当該クライアントから入力された生体情報（特徴点情報）と、テンプレートデータベース４１の全ての生体情報（特徴点情報）とを照合する。ステップＳ４０５の処理の結果、テンプレートデータベースに登録されている場合には、処理はステップＳ４０７に移行し、登録されていない場合には、認証処理は終了する（ステップＳ４０６）。

ステップＳ４０７では、履歴更新部４７が、当該アドレスプールＩＤのアドレスプール別履歴データベース４３に利用者の識別ＩＤを登録し、認証処理が終了する。これにより、次回の認証処理が効率的に行うことができる。

なお、認証サーバ４は照合結果をもとに認証受理または拒否を送受信部４４からクライアント１に送信する。クライアント１の送受信部１３は認証結果を受信し、図示しない制御部（ＣＰＵ）が図示しない表示部に認証結果を表示する。

＜その他の実現方法＞
本発明は、実施形態の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をシステム或は装置に提供し、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フロッピィ（登録商標）ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、プログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。さらに、記憶媒体から読み出されたプログラムコードが、コンピュータ上のメモリに書きこまれた後、そのプログラムコードの指示に基づき、コンピュータのＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現されるようにしてもよい。

また、実施の形態の機能を実現するソフトウェアのプログラムコードをネットワークを介して配信することにより、それをシステム又は装置のハードディスクやメモリ等の記憶手段又はＣＤ-ＲＷ、ＣＤ-Ｒ等の記憶媒体に格納し、使用時にそのシステム又は装置のコンピュータ(又はＣＰＵやＭＰＵ)が当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしても良い。

本発明の一実施形態による認証システムの概略構成を示す図である。 テンプレートデータベースに格納されているデータ構成図である。 クライアントのアクセス元を特定するために用いるテーブルの構成図である。 認証履歴データベースに格納されているデータ構成図である。 認証サーバの動作を示すフロー図である。

符号の説明

１…クライアント、２…生体センサ、３…ネットワーク、４…認証サーバ、１１…生体情報採取部、１２…特徴抽出部、１３…クライアント送受信部、４１…テンプレートデータベース、４２…アドレスプールテーブル、４３…アドレスプール別履歴データベース、４４…認証サーバ送受信部、４５…アクセス元解析部、４６…照合部、４７…履歴更新部

Claims (5)

1. 利用者を認証する認証サーバと、ネットワークを介して前記認証サーバに接続された複数のクライアント端末と、を備える認証システムであって、
   それぞれのクライアント端末は、入力された利用者の生体情報を、当該クライアント端末のアドレス情報と共に、前記認証サーバに送信する端末側送受信部を有し、
   前記認証サーバは、
   前記生体情報と前記アドレス情報を受信するサーバ側送受信部と、
   前記受信したアドレス情報が、複数のクライアント端末のアドレス情報でグルーピングし、それぞれのグループにアドレスプールＩＤを割り当てて管理するアドレスプールテーブルにおいてグルーピングされたグループの何れかに属するか判断するアクセス元解析部と、
   前記アドレスプールＩＤ毎に、以前に認証が成功したことのある利用者ＩＤを登録するアドレスプール別履歴データベースと、
   前記受信したアドレス情報が属するグループの前記アドレスプールＩＤに対応する前記アドレスプール別履歴データベースに登録された利用者ＩＤの生体情報と、前記受信した生体情報とを照合して認証する照合部と、
   を備えることを特徴とする認証システム。
2. 前記アクセス元解析部によって、前記受信したアドレス情報が何れのグループにも属さないと判断された場合、或いは、前記照合部によって、前記受信した生体情報が前記アドレスプール別履歴データベースに登録された利用者に該当しないと判断された場合、前記照合部は、前記受信した生体情報と、全ての利用者の生体情報を登録したテンプレートデータベースとを照合して認証することを特徴とする請求項１に記載の認証システム。
3. さらに、前記受信した生体情報が前記アドレスプール別履歴データベースに登録された利用者に該当しないと判断された場合であって、前記受信した生体情報が前記テンプレートデータベースに登録されていると判断された場合に、前記受信した生体情報に対応する利用者ＩＤを前記アドレスプール別履歴データベースに登録する履歴更新部を備えることを特徴とする請求項２に記載の認証システム。
4. 生体認証データを保持するサーバと、そのサーバにネットワークで接続しているクライアントで構成され、前記クライアントは生体認証のためのデータ読み取り手段を有し、生体認証データ入力手段から入力された生体認証データを前記生体認証サーバに転送し、前記クライアントから送信されてきた生体認証データと１：Ｎ認証を行い、その結果を前記クライアントに送信する認証システムであって、
   前記生体認証サーバは、以前に認証して本人と同一と判断したとき、前記クライアントのＩＰアドレスからアドレスプール単位で生体認証データを一意に特定する識別ＩＤを保持し、以降の認証時はアドレスプール単位に保持する識別ＩＤから生体認証データと１：Ｎ認証を行うことを特徴とする認証システム。
5. 利用者を認証する認証サーバと、ネットワークを介して複数のクライアント端末と接続され、利用者を認証する認証サーバであって、
   クライアント端末において入力された利用者の生体情報と、当該クライアント端末のアドレス情報とを受信するサーバ側送受信部と、
   前記受信したアドレス情報が、複数のクライアント端末のアドレス情報でグルーピングし、それぞれのグループにアドレスプールＩＤを割り当てて管理するアドレスプールテーブルにおいてグルーピングされたグループの何れかに属するか判断するアクセス元解析部と、
   前記アドレスプールＩＤ毎に、以前に認証が成功したことのある利用者ＩＤを登録するアドレスプール別履歴データベースと、
   前記受信したアドレス情報が属するグループの前記アドレスプールＩＤに対応する前記アドレスプール別履歴データベースに登録された利用者ＩＤの生体情報と、前記受信した生体情報とを照合して認証する照合部と、
   を備えることを特徴とする認証サーバ。

Images