JP2010505286A - バイオメトリック証明書確認フレームワーク - Google Patents

バイオメトリック証明書確認フレームワーク Download PDF

Info

Publication number
JP2010505286A
JP2010505286A JP2009518201A JP2009518201A JP2010505286A JP 2010505286 A JP2010505286 A JP 2010505286A JP 2009518201 A JP2009518201 A JP 2009518201A JP 2009518201 A JP2009518201 A JP 2009518201A JP 2010505286 A JP2010505286 A JP 2010505286A
Authority
JP
Japan
Prior art keywords
biometric
user
data
client
client computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2009518201A
Other languages
English (en)
Other versions
JP2010505286A5 (ja
Inventor
クロス，ディヴィッド・ビー
リーチ，ポール・ジェイ
シュッツ，クラウス・ユー
ヤング，ロバート・ディー
シャーマン，ネイサン・シー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Corp
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of JP2010505286A publication Critical patent/JP2010505286A/ja
Publication of JP2010505286A5 publication Critical patent/JP2010505286A5/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G06Q20/40145—Biometric identity checks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/067—Network architectures or network communication protocols for network security for supporting key management in a packet data network using one-time keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Software Systems (AREA)
  • Accounting & Taxation (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Collating Specific Patterns (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Measurement Of The Respiration, Hearing Ability, Form, And Blood Characteristics Of Living Organisms (AREA)

Abstract

後に認証システムにアクセスするためのクライアントコンピュータ・システムにおけるバイオメトリック認証システムの使用は、デジタル処理で署名されたバイオメトリックサンプルデータを受け取ること、及び当該データをユーザＩＤ及びＰＩＮと組み合わせることを含む。その後、ユーザ及びバイオメトリックサンプルを認証するために、データのこのパッケージは、バイオメトリック照合サーバに安全に送信される。一旦認証されると、バイオメトリック照合サーバは、当該データパッケージに仮の証明書及び公開／秘密鍵ペアを加えてクライアントコンピュータに返す。その後、クライアントコンピュータは、認証システムにアクセスして続いて安全な資源へのアクセスを獲得するためにこの情報を使用することができる。

Description

本発明は、バイオメトリック証明書確認フレームワークに関する。
対話型のユーザ認証又はネットワーク認証のために使用されるバイオメトリックサンプルは、サンプリングされるたびにそれらが異なるという点で、現在の認証スキームで使用される従来のパスワードや暗号鍵とは異なる。バイオメトリックサンプルはいくつかの理由で暗号鍵資料にとって理想的ではない。バイオメトリックサンプルは強度が制限され、暗号の種（シード）のエントロピーは再生成又は変更され得る。バイオメトリックサンプルは絶対的な値ではない。それらはサンプルであって、１回のサンプリングから次のサンプリングまでに異なることもある。暗号鍵は元のシードから定義された絶対的なものである一方、バイオメトリック認証の測定値は変化する。これらの制限のために、バイオメトリックサンプルは暗号鍵資料にとって最適の選択ではない。
バイオメトリックサンプルは、通常、以前にスキャンされかつ／又は計算された格納されたサンプル（しばしば業界で「テンプレート」と呼ばれる）に対して照合され、格納されたサンプルとの実際の一致が確認される場合、次に、格納された暗号鍵資料はシステムに公開されて、ユーザーログイン・セッションが当該鍵資料を使用して進むことを可能にする。しかし、一致処理及び／又は鍵保管が物理的に安全なサーバ等の安全な（セキュアな）環境の外部で行われる場合、鍵資料及び／又は参照テンプレートは攻撃と開示にさらされる。
ワシントン州レドモンドのマイクロソフト（登録商標）・コーポレーションによって提供される現在のＷｉｎｄｏｗｓ（登録商標）アーキテクチャは、パスワード又はケルベロス／ＰＫＩＮＩＴ認証をサポートするが、認証の通常の部分としてサーバ上でバイオメトリック認証のテンプレートの照合を行うことをサポートしない。今日、バイオメトリック認証のソリューションベンダーによって提供されるソリューションは、典型的には、クライアントマシン上でパスワード又はｘ．５０９ベースの証明書等の従来のログイン証明書を格納し、クライアントＰＣ上にこれまた格納される参照バイオメトリックサンプルに対して有効なテンプレートの一致があった後にそれらを提出する。現在のシステムでは、パスワード、ｘ．５０９ベースの証明書及び参照テンプレートは、それらが物理的に安全なサーバの外部に存在するため、攻撃及び開示にさらされる。
したがって、安全な環境においてバイオメトリック認証を使用するシステム又は方法を提供することが望ましい。本発明はこれら及び他の事項に対処するものである。
ここに述べる事項は、発明の詳細な説明においてさらに以下に述べられる概念の選択を単純化された形式で導入するために提供される。ここに述べる事項は、特許請求の範囲に記載の主題の重要な特徴又は本質的な特徴を識別するようには意図されず、特許請求の範囲に記載の主題の範囲を制限するように使用されることも意図されない。
Ｗｉｎｄｏｗｓ（登録商標）又はアクティブ・ディレクトリベースのドメイン・インフラストラクチャー等の認証システムへのアクセスのためのバイオメトリック認証の使用での進歩は、ユーザからバイオメトリックデータを取得すること及びクライアントコンピュータへユーザＩＤ及びＰＩＮを入力することを含む。クライアントコンピュータは、ユーザのバイオメトリックデータをユーザのためのバイオメトリックデータのテンプレートの組とを照合することができるバイオメトリック照合サーバと安全に通信する。バイオメトリック認証サーバは、ユーザが認証され識別されることを確認することができる。一旦確認されたならば、照合サーバは、クライアントコンピュータに暗号鍵と共に仮の証明書を送信する。仮証明書と鍵はケルベロス認証システムへの即時アクセスを獲得するために使用される。クライアントによる仮証明書のその後の使用は、証明書の期限が切れるため、ケルベロス認証システムへのアクセスが拒絶される結果となる。一旦クライアントコンピュータがケルベロス・システムへのアクセスを獲得すれば、その後、コンピューティング資源の安全な組へのその後のアクセスを得ることができる。
本発明は、安全な認証計算システム環境を用いる場合にうまく機能する。１つのそのような既存の認証システム環境は、ケルベロスとして当業者によく知られている。図１は、典型的なケルベロス・システムのブロック図である。ケルベロスは、安全でないネットワークを介して通信する個人が、安全なやり方で互いに身元を証明することを可能にするコンピュータネットワーク認証プロトコルである。ケルベロスは、盗聴又はリプレーアタックを防ぎ、データの完全を保証する。ケルベロスはユーザとサービスの両方が互いの身元を確認する相互認証を提供する。ケルベロスは、対称鍵暗号に基礎を置き、信頼された第三者を必要とする。
ケルベロスは、認証サーバ（ＡＳ）１０４及びチケット付与サーバ（ＴＧＳ）１０６という２つの機能部を含んでいる。ケルベロスは、ユーザーの身元を証明するための役目をする「チケット」に基づいて機能する。ケルベロスを使用すると、クライアント１０２は、サービスサーバ（ＳＳ）１０８のリソースを使用するためにその身元を証明することができる。ケルベロスは、秘密鍵のデータベースを維持し、ネットワーク上の各エンティティは、クライアントであってもサーバであっても、自身及びケルベロスにのみ既知の秘密鍵を共有する。この鍵についての知識は、エンティティの身元を証明するための役目をする。２つのエンティティ間の通信に対して、ケルベロスは、相互作用を安全にするためにそれらが使用することができるセッション鍵を生成する。
ケルベロス・システムを使用して、クライアントはＡＳ１０４に対して自身を認証し、次に、ＴＧＳ１０６に対して、クライアントがサービスのチケットを受け取ることを許可されていることを示し（及び当該チケットを受け取り）、次に、クライアントがサービスを受けることを承認されたことをＳＳに対して示す。ユーザがクライアント１０２上でユーザ名及びパスワードを入力すると処理が始まる。クライアントは、入力されたパスワードについて一方向ハッシュを実行し、これはクライアントの秘密鍵になる。クライアントは、リンク１１０を介して、ユーザに代わってサービスを要求する平文メッセージをＡＳ１０４に送信する。この点において、秘密鍵もパスワードもＡＳに送られない。
ＡＳ１０４は、クライアント１０２がそのデータベースにあるかどうかチェックする。そのデータベースにある場合、ＡＳはリンク１１０を介してクライアントに以下の２つのメッセージを送り返す：
＊メッセージＡ： ユーザの秘密鍵を使用して暗号化されたクライアント／ＴＧＳセッション鍵
＊メッセージＢ： ＴＧＳの秘密鍵を使用して暗号化された、チケット付与チケット（クライアントＩＤ、クライアント・ネットワーク・アドレス、チケット有効期間及びクライアント／ＴＧＳセッション鍵を含む）。
一旦クライアントがメッセージＡ及びＢを受け取れば、クライアントは、クライアント／ＴＧＳセッション鍵を得るためにメッセージＡを解読する。このセッション鍵はＴＧＳとのさらなる通信に使用される。（注：ＴＧＳの秘密鍵を使用して暗号化されるので、クライアントはメッセージＢを解読することができない。）この点において、クライアント１０２は、ＴＧＳに対して自身を認証するために十分な情報を持っている。
サービスを要求する場合、クライアント１０２はリンク１１２を介してＴＧＳ１０６に以下の２つのメッセージを送信する：
＊メッセージＣ： メッセージＢからのチケット付与チケット及び要求されたサービスのＩＤからなる
＊メッセージＤ： クライアント／ＴＧＳセッション鍵を使用して暗号化された認証コード（authenticator）（クライアントＩＤ及びタイムスタンプからなる）。
メッセージＣ及びＤを受け取ると、ＴＧＳ１０６はクライアント／ＴＧＳセッション鍵を使用してメッセージＤ（認証コード）を解読し、リンク１１２を介してクライアント１０２に以下の２つのメッセージを送信する：
＊メッセージＥ： サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット（client-to-server ticket）、（クライアントＩＤ、クライアント・ネットワーク・アドレス及び有効期間を含む）
＊メッセージＦ： クライアント／ＴＧＳセッション鍵で暗号化されたクライアント／サーバー・セッション鍵。
ＴＧＳ１０６からメッセージＥ及びＦを受け取ると、クライアント１０２は、ＳＳ１０８に対して自身を認証するために十分な情報を持っている。クライアント１０２はリンク１１４を介してＳＳ１０８に接続し、以下の２つのメッセージを送信する：
＊メッセージＧ： サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット、
＊メッセージＨ： クライアントＩＤ及びタイムスタンプを含み、クライアント／サーバー・セッション鍵を使用して暗号化される新しい認証コード。
ＳＳ１０８は、それ自身の秘密鍵を使用してチケットを解読し、クライアントの真の身元及びクライアントのために働く旨を確認するために、リンク１１４を介してクライアント１０２に以下のメッセージを送信する。
＊メッセージＩ： クライアント／サーバー・セッション鍵を使用して暗号化された、クライアントの最近の認証コードに１を加えて得られるタイムスタンプ。
クライアント１０２は、ＳＳ１０８との共有鍵を使用して上記確認を解読し、タイムスタンプが正確に更新されるかどうかチェックする。正確に更新されるものであれば、その後、クライアント１０２は、ＳＳ１０８を信頼することができ、ＳＳ１０８へのサービス要求の発行を開始することができる。その後、ＳＳ１０８はクライアント１０２に対して、要求されたサービスを提供することができる。
本発明は、バイオメトリックサンプリング装置を備えたケルベロス・システムの態様を有利に使用することができる。１つの環境では、バイオメトリックシステムで登録される各ユーザの参照テンプレートを保持する、新しく定義されたバイオメトリック照合サーバに対して、ユーザ名、ドメイン名、ＵＰＮなどのような要求されたユーザ身元、ＰＩＮ／パスワード及び読み手に署名された（reader-signed）暗号のバイオメトリックサンプルが安全に送られる、新しい枠組みが実施され得る。サンプル上の要求された身元、ＰＩＮ／パスワード、署名及び一致がすべて確認される場合、その後、Ｘ．５０９証明書又は対称鍵又はワンタイムパスワードなどの仮の（一時的な）証明書（信任状）が生成され、ユーザに返される。１つの実施例では、代わりの仮証明書を、当業者に知られているように使用することができる。その後、ユーザは認証システムにより自動又は手動の方法でのログインのために証明書を使用してもよい。
この新しい枠組は、上述のような現在のバイオメトリック認証の実施よりも、対話型のユーザ・ログインやネットワーク・ユーザ・ログインに使用される暗号鍵資料のよりよい保護を提供する。新しい枠組の利点は、バイオメトリックサンプリング装置の内部の暗号鍵を、不正使用（tampering）からサンプルを保護するために使用できることを含んでいる。この暗号鍵は、バイオメトリックサンプリング装置の内部の集積回路内に提供されてもよい。バイオメトリック照合サーバ上の鍵は、一時的なログイン証明書の生成のために使用されてもよい。この鍵は物理的に安全なサーバ上に存在し、証明書の作成のためにネットワークによって信頼される。ログインのためにユーザに与えられる証明書は、非常に短時間の間のみ使用可能である。また、この新しい枠組は現在のケルベロス／ＰＫＩＮＩＴ認証構造と互換性をもつ。
図２は本発明の機能の態様を示すブロック図である。ユーザ入力２０２は、クライアントコンピュータ２０６及びバイオメトリックサンプリング装置２０４の両方に提供される。ユーザー入力は、サービスサーバ２１２中のリソースへのアクセスを獲得するべくクライアントにログオンするために、バイオメトリック認証システムにおいて必要である。サーバ２１２にアクセスするために、ユーザーは、バイオメトリック照合サーバ２０８を使用して、バイオメトリックサンプリング装置２０４及びクライアントコンピュータ２０６を介して識別される必要がある。認証システム２１０と共に、ユーザは、その後、ユーザが認証されれば、サービスサーバ２１２を使用することができる。
本発明の態様に関する典型的なシナリオでは、ユーザは、ユーザーＩＤ及びＰＩＮ又はパスワードの入力によりクライアントのアクセスを始めることができる。これは、ユーザー入力２０２の一部を形成する。クライアントコンピュータ２０６は、バイオメトリックサンプルを提示するようにユーザに促すことができる。いくつかのシステムでは、バイオメトリックサンプルは、能動的に収集する代わりに単に受身的に収集されてもよい。バイオメトリックサンプリング装置２０４は、ユーザのバイオメトリックサンプルを収集する。その後、バイオメトリックサンプリング装置２０４は、バイオメトリックサンプルに暗号的に署名し、クライアントコンピュータ・システム２０６へ転送する。暗号の署名はクライアントコンピュータ内での不正使用からバイオメトリックサンプルを保護するために使用される。ディジタル暗号の署名は、サンプルをとったバイオメトリック認証装置に対する発生元認証を確立する。この動作は、既知の発生源から新鮮なサンプルがクライアントに提供されることを証明する。
その後、クライアントコンピュータ２０６は、バイオメトリック照合サーバ２０８に対する安全な接続２２６を確立し、バイオメトリックサンプル情報を転送する。１つの実施例において、セキュア・ソケット・レイヤー（ＳＳＬ）及び／又はトランスポート・レイヤー・セキュリティ（ＴＬＳ）接続は、伝送中の不正使用からサンプルを保護するために、クライアント２０６とバイオメトリック照合サーバ２０８又は他の安全なリンク方法との間でなされる。
クライアント２０６からバイオメトリック認証サーバ２０８へ送られた情報は、デジタル署名、バイオメトリックサンプル、ユーザー入力ＰＩＮ及び／又はパスワード、タイムスタンプ及び／又はワンタイムパスワードを含む。このデータが、バイオメトリック照合サーバ２０８のデータベース中でユーザに関連付けられた参照データと一致する場合、バイオメトリック照合サーバは、暗号の公開／秘密鍵ペア、及びユーザログイン・セッションのためのｘ．５０９証明書等のデジタル証明書を生成する。短時間で有効期限が切れるように、デジタル証明書は短い有効期間で構築される。デジタル証明書と鍵ペアは、バイオメトリック照合コンピュータ２０８からクライアントコンピュータ２０６へ、安全なリンクによって送られる。本発明の１つの態様では、仮の（一時的な）デジタル証明書が、サービス・サーバ２１２リソースにアクセスする際にセキュリティレベルを増加させるために発行される。多くのバイオメトリック認証装置リーダ又はバイオメトリック認証システムが、バイオメトリックリーダ又はクライアントコンピュータに永久的な証明書を格納している。これは、先のアクセスで使用された証明書の提示による違法のアクセスの危険を増加させる。認証システムによって認識される仮の又は一時的な証明書の生成によって、バイオメトリック読み取りの新鮮さ及び証明書の強度は向上させられる。固定期間内に１セットの認証システム証明書より多くを得るために再使用することができないので、有効性において、仮の一時的な証明書はより安全である。１つの実施例では、固定期間は１０分から数時間の時間間隔で固定されてもよい。従って、証明書は、特定の認証セッションの間唯一のものとなる。認証システムに対して割当てられた時間内に仮の証明書を使用しないことは、証明書の期限切れにより認証システムのアクセスの拒絶に帰着する。
一旦鍵と証明書が発行されたならば、クライアント２０６は、例示的な実施例においては、ケルベロスＫＤＣ（鍵配布センター、Key Distribution Center）となる、安全なシステム２１０に対して自身を認証することに進むことができる。一例の認証システムはケルベロス・システムである。１つのケルベロス認証の実施例では、クライアントは、現在のＰＫＩＮＩＴプロトコルを使用して、認証要求として、ケルベロス認証サーバ（図１を参照）に対し、ユーザーＩＤ、証明書及び署名を提示する。ＰＫＩＮＩＴ認証プロトコルが成功する場合、ケルベロス・チケット付与チケット（ＴＧＴ）を含んでいるユーザ・トークンが、ケルベロスベースのネットワークでのその後の使用のためにクライアント２０６に対して発行される。クライアント１０６は、その時に、一時的なＰＫＩ証明書及び鍵又は鍵ペアを廃棄してもよい。クライアント２０６は、その後、さらなるケルベロス・アクセス・プロトコルによってサービスサーバ２１２へのアクセスを自由に獲得することができる。
図３は、認証システムとともにバイオメトリック認証装置を使用する方法３００を示す流れ図である。その処理は、バイオメトリック認証システムを使用するクライアントコンピュータのログインセッションをユーザが開始することによって始まる（ステップ３０２）。１つの実施例では、クライアントコンピュータがバイオメトリックサンプルを提供するようにユーザに促すような、対話型処理に遭遇する。別の実施例においては、バイオメトリックサンプリング装置はサンプルを受動的に収集する。いずれの場合も、クライアントは、ユーザーＩＤ、個人識別番号（ＰＩＮ）、及び／又はパスワードを収集する（ステップ３０４）。いくつかのバイオメトリック認証システムは、ＰＩＮとパスワードの両方を要求してもよく、その一方で他のものはどちらも要求しなくてもよい。しかし、ＰＩＮ及び／又はパスワードを含むことにより、バイオメトリックサンプリングシステムでユーザ証明書を収集する処理に対して一層の権限及び信頼性が加わる。というのは、それがユーザの協力を必要とし、生のデータを示すことができるからである。いくつかのシステムにおいて、ＰｌＮ又はパスワードは、バイオメトリックサンプリング装置によって、及び、遠隔のバイオメトリック照合サーバによって、両方とも局所的に、必要となり得る。
一層のセキュリティ対策として、ユーザから集められたバイオメトリックデータは、デジタル処理で署名される。 バイオメトリックデータのこのデジタル署名は、データを収集するために特定のバイオメトリックサンプリング装置が使用されたことを示す。例えば、クライアントコンピュータによって認識されないバイオメトリック認証装置データが提示される場合、クライアントコンピュータは、使用されるサンプリング装置をクライアントが認識できないことに基づいて、バイオメトリックデータを拒絶することができる。加えて、バイオメトリックサンプルデータの新鮮さを証明するために、タイムスタンプがバイオメトリックサンプルに加えられてもよい。例えば、時間が古くなったデータがクライアントコンピュータに提示される場合、クライアントコンピュータは、古くて不正に提出された可能性があるものであるとして、バイオメトリックデータを拒絶してもよい。さらなる代替として、ワンタイムパスワードが、タイムスタンプとともに又はその代わりに加えられてもよい。タイムスタンプ及び／又はワンタイムパスワードが加えられる例において、デジタル署名は収集されたデータのすべてに適用されてもよい。
ユーザ照明書及びバイオメトリックデータを収集した後に、バイオメトリック照合サーバとの安全なリンクが開拓され、クライアントコンピュータは収集されたデータを安全に送信する（ステップ３０６）。安全なリンクは、クライアントからバイオメトリック照合サーバまで秘密鍵を使用して確立されてもよい。使用される秘密鍵は、当該鍵が安全なトランザクションにおいてクライアントに与えられた場合、バイオメトリック認証サーバに来てもよい。また、秘密鍵は、外部機関により安全に提供することができ、クライアントに付与することができる。その後、クライアントは、署名されたバイオメトリックデータ、ユーザーＩＤ及びＰＩＮ又はパスワード、並びにタイムスタンプ又はワンタイムパスワードを含むデータのページを暗号化するために秘密鍵を使用する。
バイオメトリック認証サーバにおいて、収集されたデータの多くのチェックが行なわれる。ステップ３０８−３１６のチェックが任意の論理的な順序で実行できる。一つの実施例では、バイオメトリックデータ及びユーザ証明書のパッケージは、タイムスタンプ及びワンタイムパスワードのデータとともに、有効性を検査される。ユーザーＩＤはチェックされ、バイオメトリック照合サーバにリストされた許可されたユーザのリストと照合される（ステップ３０８）。このステップでは、バイオメトリック照合サーバは、識別情報と一致するユーザが存在することを確認する。そのようなユーザが存在しなければ、処理３００は失敗し、ユーザ・ログオンは終了する。
パスワード又はＰＩＮ情報がバイオメトリックデータ収集と共に提示された場合、当該情報は、許可されたユーザに属するものとして確認される（ステップ３１０）。前述のように、ユーザＰＩＮ又はパスワード情報の確認が無効の場合、処理３００は失敗し、ユーザ・ログオンは終了する。次に、バイオメトリックデータ自体が照合される（ステップ３１２）。提出されたバイオメトリックデータの比較は、バイオメトリック照合サーバを介して利用可能なバイオメトリックデータの安全なテンプレートに対して好ましくは行なわれる。テンプレート情報は、当業者に既知の任意の安全な手段によって提供されてもよい。バイオメトリック照合が統計的に有意な相関性や一致をもたらさない場合、処理３００は失敗し、ユーザーログインは終了する。
タイムスタンプ又はワンタイムパスワードがバイオメトリックデータ収集の時に提出されたか又は加えられた場合、バイオメトリックデータの別の確認が行なわれてもよい（ステップ３１４）。このタイムスタンプ又はワンタイムパスワードのデータは、得られたバイオメトリックデータが新鮮であり、単にコピーされたり再提出されたものでないことを保証するのに役立つ。１つの実施例では、ワンタイムパスワード又はタイムスタンプは、バイオメトリックサンプリング装置自体、又はクライアントコンピュータによって生成されてもよい。いずれの場合も、タイムスタンプ又はワンタイムパスワードのデータは、最近収集されたサンプルであることを示すものとしてハードウェアにより加えられたバイオメトリックサンプルデータ上のスタンプとして、加えられてもよい。ハードウェアは、タイムスタンプ、ワンタイムパスワード及び／又はデジタル署名を加えるバイオメトリックサンプリング装置内の集積回路に存在してもよい。
バイオメトリックデータの別の確認は、バイオメトリックサンプリング装置によって加えられるデジタル署名が、バイオメトリック認証装置を認証することの確認である（ステップ３１６）。デジタル署名によって示されたバイオメトリックサンプリング装置がクライアントコンピュータに関連付けられたものであることをバイオメトリック照合サーバが認識しない場合、処理３００は失敗し、ユーザーログインは終了する。デジタル署名も、バイオメトリックデータ及びタイムスタンプ及び／又はワンタイムパスワードがサンプリング装置による生成の後に操作されなかったことを確認するために使用することができる。
バイオメトリック照合サーバに与えられた情報のパッケージが受信のための基準のすべてを満たすことが確認されると、次に、鍵及び少なくとも１つの仮（一時的）証明書が生成される（ステップ３１８）。バイオメトリック照合サーバは、クライアントによる使用のための公開／秘密鍵ペアを生成する。公開／秘密鍵ペアは、ＲＳＡ、ＥＣＣ、ＤＨ又は当業者に知られているような他のタイプのもの等の任意の特定の暗号アルゴリズムによっても制限されていない。クライアント及び認証システムと互換性をもつすべての種類の暗号手段は、本発明において使用可能である。同様に、証明書フォーマットはＸ．５０９に制限されていない。フォーマットは、ＸｒＭＬ、ＩＳＯ ＲＥＬ、ＳＡＭＬ又は当業者に既知の他のフォーマットであり得る。クライアント及び認証システムと互換性があれば、すべての種類のデジタル証明書を使用できる。さらに、クライアント、バイオメトリック照合サーバ、認証システム及びサービスサーバ等の機能間の任意の接続において使用される暗号鍵及び方法は対称であっても非対称であってもよい。
バイオメトリックリーダ、走査装置又はサンプリング装置で使用される暗号鍵は製造中に供給されてもよいし、暗号鍵階層（cryptographic key hierarchy）、公開鍵基盤（public key infrastructure）又は他の外部機関を使用して、組織によって供給されてもよい。バイオメトリック照合サーバ上で生成される暗号鍵は、ソフトウェアで生成されてもよいし、ＨＳＭ又はアクセラレータなどのハードウェアデバイスを使用して生成されてもよいし、鍵機関にとって追跡可能な外部の発行元からロードされた、あらかじめ計算された鍵のリストを使用して生成されてもよい。
図３及び処理３００に戻り、鍵及び証明書の生成後、鍵及び証明書がクライアントに与えられる（ステップ３２０）。一般に、バイオメトリック照合サーバにアップロードされる情報はすべて、鍵及び証明書と共に返される。これにより、クライアントは、クライアントコンピュータ上にデータを格納することなく、ユーザ証明書（ユーザーＩＤ、ＰＩＮ、及び／又はパスワード）にクライアントがアクセスすることを可能にする。クライアントがバイオメトリック照合サーバから鍵及び証明書並びに返された証明書を受け取った後、所望のコンピュータ資源にアクセスするために、クライアントは、認証システムに対して、受け取った情報を適用することができる（ステップ３２２）。ここで、本発明の実施例は、認証システムの性質に依存して変化することがあり得る。１つの実施例では、ケルベロス認証プロトコルが使用される。
１つの実施例では、クライアントは、図１に関して上述したようなケルベロス・プロトコルを開始してもよい。プロトコル中の要素として、クライアントは、結局のところ、仮証明書、ユーザーＩＤ、ＰＩＮ及び／又はパスワード、暗号鍵を提示し、保護されたサービスサーバを介したコンピュータリソースへのアクセスが与えられるように、ケルベロス・チケット付与サーバへと当該情報を渡して、サービス・チケットを要求する。他の実施例は、使用される特定の認証サーバの必要によって要求されるような異なるプロトコルを使用してもよい。
図３の方法の１つの代替例において、ユーザＩＤ、ＰＩＮ及び／又はパスワード並びにバイオメトリックサンプルは、バイオメトリック照合サーバに対して送る前に、ハードウェアデバイスによってローカルに最初に確認されてもよい。別の代替例では、データはすべてクライアントによって収集され、サーバに渡され、安全な処理でサーバによってのみ確認されてもよい。
図３の方法の１つの実施例において、バイオメトリック認証サーバへのデータパッケージの送信は（ステップ３０６）、さらにクライアントコンピュータ２０６によって生成された秘密／公開鍵ペアの一部である公開鍵を含んでいる。バイオメトリック認証サーバへデータパッケージ内で送られる公開鍵は、デジタル証明書等の証明書と共にクライアントコンピュータ２０６に送り返される前に、バイオメトリック認証サーバによって認証される（ステップ３２０）。
本発明の１つの実施例において、図２の機能は様々な形式で組み合わせられてもよい。例えば、クライアント２０６及びバイオメトリック照合サーバは組み合わせられてもよいし、又は、認証システム２１０及びクライアントコンピュータは組み合わせられてもよいし、又は、バイオメトリックサンプリング装置２０４及びクライアントコンピュータ２０６は組み合わせられてもよいし、又は、認証サーバ２１０及びバイオメトリック照合サーバ２０８が組み合わせられてもよい。図２の機能的ブロックは様々な方法で組み合わせられてもよいが、結果として得られるシステム２００の全体機能は損なわれない。

例示的なコンピュータ装置
図４及び以下の説明は、媒体記憶装置とインターフェースするのに適したホストコンピュータの簡潔な概説を提供するように意図される。汎用コンピュータが以下に述べられているが、これは単一プロセッサの１つの例に過ぎず、複数のプロセッサを備えたホストコンピュータの実施例は、ネットワーク／バス相互運用性及び相互作用を持っているクライアントのような他のコンピュータ装置で実施されてもよい。
必ずしも必要なわけではないが、本発明の実施例は、装置又はオブジェクト向けのサービスの開発者が使用するために、オペレーティング・システムを介して実施することができ、及び／又はアプリケーション・ソフトウェア内に含ませることができる。ソフトウェアは、クライアント・ワークステーション、サーバ、又はその他の装置などの、１つ又は複数のコンピュータで実行される、プログラム・モジュールなどの、コンピュータ実行可能命令の一般的コンテキストにおいて記述することができる。一般に、プログラム・モジュールは、特定のタスクを実行したり、特定の抽象データ型を実装したりする、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。通常、プログラム・モジュールの機能は、様々な実施形態において、必要に応じて、組み合わせたり分散させたりすることができる。さらに、本発明の様々な実施例が、その他のコンピュータ構成を用いて実行できることは、当業者であれば理解されよう。本発明とともに使用するのに適している可能性のあるその他の周知のコンピューティング・システム、環境、及び／又は構成には、パーソナル・コンピュータ（ＰＣ）、現金自動預け払い機（automated teller machines）、サーバ・コンピュータ、ハンドヘルド又はラップトップ装置、マルチ・プロセッサ・システム、マイクロ・プロセッサ・ベースのシステム、プログラム可能な家庭用電化製品、ネットワークＰＣ 、電気器具、照明、環境制御要素、ミニ・コンピュータ、メインフレーム・コンピュータなど、が含まれるが、これらに限定されるものではない。本発明の実施例は、タスクが通信ネットワーク／バス又はその他のデータ伝送媒体を介して結合された遠隔処理装置で実行される、分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、プログラム・モジュールは、メモリ・ストレージ装置を含む、ローカル・コンピュータ・ストレージ媒体及びリモート・コンピュータ・ストレージ媒体の両方に配置することができ、クライアント・ノードは、サーバ・ノードとして機能することもできる。
図４を参照すると、一例のホスト・コンピュータを実施するための例示的なシステムは、コンピュータ・システム４１０の形態をとる汎用コンピューティング装置を含む。コンピュータ４１０のコンポーネントには、プロセッシング・ユニット４２０、システム・メモリ４３０、及びシステム・メモリを含む様々なシステム・コンポーネントをプロセッシング・ユニット４２０に結合するシステム・バス４２１を含めることができるが、これらに限定されるものではない。システム・バス４２１は、様々なバス・アーキテクチャのいずれかを使用する、メモリ・バス又はメモリ・コントローラ、周辺バス、及びローカル・バスを含む、複数のタイプのバス構造のうちのいずれかとすることができる。
コンピュータ・システム４１０は一般に、様々なコンピュータ可読媒体を含む。コンピュータ可読媒体は、コンピュータ４１０によってアクセス可能な任意の利用可能な媒体とすることができ、揮発性及び不揮発性媒体、着脱可能及び着脱不能媒体を含む。たとえば、コンピュータ可読媒体は、コンピュータ記憶媒体を含み得るが、これらに限定されるものではない。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラム・モジュール、又はその他のデータといった情報を記憶するための任意の方法又は技法によって実装される、揮発性及び不揮発性媒体、着脱可能及び着脱不能媒体を含む。コンピュータ記憶媒体には、ランダム・アクセス・メモリ（ＲＡＭ）、読取専用メモリ（ＲＯＭ）、電気的消却・プログラム可能型読取専用メモリー（ＥＥＰＲＯＭ）、フラッシュ・メモリ、又はその他のメモリ技術、ＣＤＲＯＭ、ＣＤＲＷ、デジタル多用途ディスク（ＤＶＤ）、又はその他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、又はその他の磁気記憶装置、あるいは所望の情報を記憶するのに使用でき、コンピュータ・システム４１０によってアクセス可能なその他の任意の媒体が含まれるが、これらに限定されるものではない。
システム・メモリ４３０は、読取専用メモリ（ＲＯＭ）４３１やランダム・アクセス・メモリ（ＲＡＭ）４３２などの、揮発性及び／又は不揮発性メモリの形態をとるコンピュータ記憶媒体を含む。基本入出力システム（ＢＩＯＳ）４３３は、起動処理中などにコンピュータ・システム４１０内の要素間の情報伝送を助ける基本ルーチンを含み、一般にＲＯＭ４３１に記憶される。ＲＡＭ４３２は一般に、プロセッシング・ユニット４２０が即座にアクセス可能な、及び／又は現在プロセッシング・ユニット４２０上で動作している、データ及び／又はプログラム・モジュールを含む。たとえば、図４には、オペレーティング・システム４３３、アプリケーション・プログラム４３５、その他のプログラム・モジュール４３６、及びプログラム・データ４３７が示されているが、これらに限定されるものではない。
コンピュータ・システム４１０には、他の取外し可能/取外し不能、揮発性/不揮発性のコンピュータ記憶媒体も含めることができる。例としてのみ、図４に、取外し不能の不揮発性磁気媒体から読み取るか書き込むハードディスクドライブ４３１、取外し可能の不揮発性磁気ディスク４５２から読み取るか書き込む磁気ディスクドライブ４５１、及びＣＤ ＲＯＭ、ＣＤＲＷ、ＤＶＤ又は他の光学媒体などの取外し可能不揮発性光ディスク４５６から読み取るか書き込む光ディスクドライブ４５５を示す。例示的な動作環境で使用することができる他の取外し可能/取外し不能、揮発性/不揮発性のコンピュータ記憶媒体には、磁気テープカセット、フラッシュメモリカード、ディジタル多用途ディスク、ディジタルビデオテープ、固体ＲＡＭ、固体ＲＯＭ等が含まれるが、これに制限はされない。ハードディスクドライブ４４１は、通常は、インターフェース４４０などの取外し不能メモリインターフェースを介してシステムバス４２１に接続され、磁気ディスクドライブ４５１及び光ディスクドライブ４５５は、通常は、インターフェース４５０などの取外し可能メモリインターフェースによってシステムバス４２１に接続される。
上記で論じ、図４に示すドライブとそれに関連するコンピュータ記憶媒体は、コンピュータ・システム４１０のコンピュータ可読命令、データ構造、プログラムモジュール、及びその他のデータの記憶を実現する。例えば図４では、ハードディスクドライブ４４１を、オペレーティングシステム４４４、アプリケーションプログラム４４５、その他のプログラムモジュール４４６、及びプログラムデータ４４７を格納するものとして図示している。これらの構成要素は、オペレーティングシステム４４４、アプリケーションプログラム４４５、その他のプログラムモジュール４４６、及びプログラムデータ４４７と同じものでも異なるものでもよいことに留意されたい。ここでは少なくともそれらが異なる複製であることを表すために、オペレーティングシステム４４４、アプリケーションプログラム４４５、その他のプログラムモジュール４４６、及びプログラムデータ４４７に異なる参照符号をつけている。
ユーザは、キーボード４６２と、一般にマウス、トラックボール、あるいはタッチパッドと呼ばれるポインティング装置４６１などの入力装置を介してコンピュータ・システム４１０にコマンドと情報を入力することができる。その他の入力装置(図示せず)には、マイクロフォン、ジョイスティック 、ゲームパッド、サテライトディッシュ、スキャナなどがある。上記及びその他の入力装置は、しばしばシステムバス４２１に結合されたユーザ入力インターフェース４６０を通じてプロセッサ４２０に接続されるが、パラレルポート、ゲームポート、あるいはユニバーサルシリアルバス(ＵＳＢ)など他のインターフェース及びバス構造によって接続することもできる。モニタ４９１又はその他のタイプの表示装置もビデオインターフェース４９０などのインターフェースを介してシステムバス４２１に接続され、ビデオインタフェース４９０はビデオメモリ（図示せず）と通信することができる。コンピュータ・システムはモニタ４９１に加えてスピーカ４９７やプリンタ４９６など他の周辺出力装置も含むことができ、これらの装置は出力周辺インターフェース４９５を介して接続することができる。
コンピュータ・システム４１０は、リモートコンピュータ４８０など１つ又は複数のリモートコンピュータへの論理接続を使用するネットワーク環境あるいは分散環境で動作することができる。リモートコンピュータ４８０は、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピア装置、あるいはその他の共通ネットワークノードでよく、図４にはメモリ記憶装置４８１しか示していないが、通常は上記でコンピュータ・システム４１０に関連して説明した要素のうちの多くあるいはすべてを含む。図４に示す論理接続には、ローカル・エリア・ネットワーク(ＬＡＮ)４７１と広域ネットワーク(ＷＡＮ)４７３が含まれるが、その他のネットワーク/バスも含むことができる。このようなネットワーキング環境は、家庭、オフィス、企業規模のコンピュータネットワーク、イントラネット、及びインターネットなどで一般的なものである。
ＬＡＮネットワーキング環境で使用される時に、コンピュータ・システム４１０は、ネットワークインターフェース又はネットワークアダプタ４７０を介してＬＡＮ４７１に接続される。ＷＡＮネットワーキング環境で使用される場合、コンピュータ・システム４１０に、通常は、インターネットなどのＷＡＮ４７３を介する通信を確立する、モデム４７２又は他の手段が含まれる。内蔵又は外付けとすることができるモデム４７２は、ユーザ入力インターフェース４６０を介して、又は別の適当な機構を介して、システムバス４２１に接続することができる。ネットワーク化された環境では、コンピュータ・システム４１０に関して図示されたプログラムモジュール又はその一部を、リモートメモリストレージデバイスに格納することができる。制限ではなく例として、図４に、メモリデバイス４８１に存在するリモートアプリケーションプログラム４８５を示す。図示のネットワーク接続が、例示的であり、コンピュータの間の通信リンクを確立する他の手段を使用することができることを理解されたい。
様々な分散コンピューティングフレームワークが、パーソナルコンピューティングとインターネットの集束に鑑みて、開発され、また開発されつつある。個人及びビジネスユーザに、アプリケーション及びコンピューティングデバイスに関するシームレスに相互運用可能なウェブ対応インターフェースが与えられ、コンピューティング活動がますますウェブブラウザ指向又はネットワーク指向になる。
例えば、マイクロソフト・コーポレーションから入手可能なＭＩＣＲＯＳＯＦＴ（登録商標）．ＮＥＴ（商標）プラットフォームは、サーバ、ウェブベースのデータ記憶装置のようなビルディングブロック・サービス及びダウンロード可能なデバイス・ソフトウェアを含んでいる。本明細書に記載の典型的な実施例は計算装置上に存在するソフトウェアに関して記述されているが、本発明の実施例の１つ又は複数の部分は、オペレーティング・システム、アプリケーション・プログラム・インターフェース（ＡＰＩ）又はコプロセッサ、ディスプレイ装置及び要求するオブジェクトのうちのいずれの間の「中間物」オブジェクトによって実施されてもよく、その結果．ＮＥＴ（商標）の言語及びサービスのすべてにおいて、また他の分散コンピューティングの枠組みにおいて同様に、サポートされ又はこれらを介してアクセスされることによって動作が行なわれてもよい。
上述のように、本発明の例示的な実施例が様々な計算装置及びネットワーク・アーキテクチャに関して説明されたが、基本的概念は、バイオメトリック証明書の確認スキームを実施することが望ましいあらゆる計算装置又はシステムに適用されてもよい。したがって、本発明の実施例に関して記述された方法とシステムは、様々なアプリケーション及びデバイスに適用されてもよい。例示的なプログラミング言語、名前及び例が様々な選択肢として本明細書において選択されたが、これらの言語、名前及び例は制限するようには意図されない。当業者であれば、本発明の実施例によって達成される同一の、類似の又は同等のシステム及び方法を達成するオブジェクト・コードを提供する多数の方法があることを理解するであろう。
本明細書に記述された様々な技術は、ハードウェアもしくはソフトウェアに関して、又は、適切な場合には両方の組合せと共に実施することができる。したがって、本発明の方法及び装置、又はそのある側面又は部分は、フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭ、ハードドライブ又は他の機械可読の記憶媒体のような有形の媒体に具体化されたプログラムコード（つまり命令）の形式をとってもよく、当該プログラムコードは、コンピュータ等のマシンへロードされてマシンによって実行されると、当該マシンは、本発明を実行するための装置になる。
本発明の態様が様々な図の好ましい実施例に関して記述されたが、他の同様の実施例が使用されてもよく、修正及び追加が本発明の同じ機能を行なうために、ここに記述された実施例に対して、本発明の範囲から逸脱することなくなされてもよいことを理解されたい。更に、ハンドヘルド装置オペレーティング・システム及び他の特定用途のオペレーティング・システムを含む様々なコンピュータ・プラットフォームが、特に無線ネットワーク化されたデバイスの数が増殖し続けるにつれて、考慮されるべきである。したがって、本願にて請求される発明は、どの単一の実施例にも制限されるべきでなく、添付の特許請求の範囲による広さと範囲の中で解釈されるべきである。
従来技術の認証システムを示すブロック図である。 本発明の機能の態様を描く例示的なブロック図である。 本発明の実施例を示す例示的な流れ図である。 例示的なホスト・コンピュータ環境を示すブロック図である。

Claims (20)

  1. 認証システムとともにバイオメトリックサンプリング装置を使用する方法であって、
    クライアントコンピュータ（２０６）によってバイオメトリックサンプルデータを受け取るステップであって、前記サンプルデータは該サンプルデータの起源を確認するデジタル署名を有する、受け取るステップと、
    ユーザ識別（ＩＤ）並びに前記ユーザに関連付けられた個人識別番号（ＰＩＮ）及びパスワードのうち少なくとも１つを受け取るステップと、
    前記バイオメトリックサンプルデータ、前記ＰＩＮ及び前記パスワードのうち少なくとも１つ並びに前記ユーザＩＤを含むデータパッケージを、バイオメトリック照合サーバ（２０８）へ送信するステップ（３０６）と、
    照合サーバ（２０８）において、前記ユーザＩＤが許可されたユーザに関連付けられること（３０８）、前記ユーザＰＩＮ又はパスワードが有効であること、前記サンプルデータは前記許可されたユーザのデータのテンプレートと一致すること（３１２）。及び前記デジタル署名は有効であること（３１６）を確認するステップと、
    前記照合サーバ（２０８）において、仮証明書及び少なくとも１の暗号鍵を生成するステップ（３１８）と、
    前記データパッケージとともに前記仮証明書及び前記少なくとも１つの暗号鍵を前記クライアントコンピュータ（２０６）に送信するステップ（３２０）と、
    前記クライアントコンピュータ（２０６）の外部の資源（２１２）に後にアクセスするために前記仮証明書及び前記少なくとも１つの暗号鍵を使用して、安全な認証システムにアクセスするステップ（２１０）とを含む方法。
  2. クライアントコンピュータによってバイオメトリックサンプルデータを受け取る前記ステップは、バイオメトリックサンプリング装置からサンプルデータ、タイムスタンプ及びデジタル署名を受け取るステップを含む請求項１記載の方法。
  3. データパッケージをバイオメトリック照合サーバへ送信する前記ステップは、安全なリンクを介して前記データパッケージを送信するステップを含み、前記データパッケージは、前記バイオメトリックサンプルデータ、前記ユーザＩＤ及び前記ＰＩＮ又はパスワードを含む請求項１記載の方法。
  4. 前記データパッケージはクライアントが生成した公開鍵をさらに含み、前記照合サーバは、前記クライアントコンピュータに前記仮証明書を送信する前に、前記クライアントが生成した公開鍵を認証する請求項３記載の方法。
  5. 照合サーバにおいて仮証明書及び少なくとも１の暗号鍵を生成する前記ステップは、認証システムと互換性をもつ仮証明書及び公開／秘密鍵ペアを生成するステップを含む請求項１記載の方法。
  6. 前記公開／秘密鍵ペアは前記バイオメトリック照合サーバに安全に提供される請求項５記載の方法。
  7. 前記認証システムはケルベロス認証システムである請求項５記載の方法。
  8. 安全な認証システムにアクセスするステップは、サービスサーバの資源に後にアクセスするために仮の証明書及び公開／秘密鍵ペアを使用してケルベロス・システムにアクセスするステップを含み、前記仮証明書のフォーマットはＸ．５０９、ＸｒＭＬ、ＩＳＯ ＲＥＬ又はＳＡＭＬのうちの１つを含む請求項１記載の方法。
  9. 認証システムにアクセスするコンピュータ・システムであって、
    ユーザ識別子（ＩＤ）のエントリが受け取られる、クライアントコンピュータ（２０６）に対するユーザ・インタフェース（２０２）と、
    前記ユーザのバイオメトリックデータをサンプリングし、サンプリングされたバイオメトリックデータをデジタル署名とともに前記クライアントコンピュータ（２０６）に提供するバイオメトリックサンプリング装置（２０４）と、
    前記バイオメトリックデータ、前記デジタル署名及び前記ユーザＩＤを含むデータパッケージを生成する、前記クライアントコンピュータ（２０６）において動作するプログラムの第１の部分と、
    前記クライアントコンピュータ（２０６）とバイオメトリック照合サーバ（２０８）との間の安全な接続（２２６）であって、前記クライアントコンピュータ（２０６）から前記バイオメトリック照合サーバ（２０８）まで前記データパッケージを転送するために使用される安全な接続と、
    前記データパッケージ内の情報を認証し、前記安全な接続（２２６）を介して、前記認証システム（２１０）にアクセスするための仮証明書及び少なくとも１つの鍵とともに前記データパッケージを返すプログラムと、
    前記認証システム（２１０）にアクセスするための前記仮証明書及び少なくとも１つの鍵を使用する、前記クライアントコンピュータ（２０６）において動作する前記プログラムの第２の部分とを具備するコンピュータ・システム。
  10. バイオメトリックサンプリング装置は、デジタル署名とともに前記サンプリングされたバイオメトリックデータに付随する時間タグをさらに提供する請求項９記載のシステム。
  11. 前記データパッケージは、個人識別番号（ＰＩＮ）及びパスワードの少なくとも１つをさらに含む請求項９記載のシステム。
  12. 前記安全な接続はＳＳＬ／ＴＬＳインターフェースを含む請求項９記載のシステム。
  13. 前記バイオメトリック照合サーバにおける前記プログラムは、前記ユーザーＩＤが有効なユーザーを表すこと、前記バイオメトリックデータが前記ユーザのバイオメトリック認証テンプレートと一致すること、及び前記デジタル署名が有効であることを確認する請求項９記載のシステム。
  14. 前記仮証明書は前記認証システムとの１つの認証セッションに対して有効である請求項９記載のシステム。
  15. 前記認証システムはケルベロス認証システムである請求項１０記載のシステム。
  16. 前記認証システムにアクセスするための前記少なくとも１つのキーは公開／秘密鍵ペアを含む請求項９記載のシステム。
  17. 前記公開／秘密鍵ペアは、外部の鍵機関によって前記バイオメトリック照合サーバに提供される請求項１６記載のシステム。
  18. ケルベロス・タイプの認証システムともにバイオメトリックサンプリング装置を使用する方法を実行するコンピュータ実行可能命令を有するコンピュータ可読媒体であって、前記方法は、
    クライアントコンピュータ（２０６）によってバイオメトリックサンプルデータを受け取るステップであって、前記サンプルデータは、前記サンプルデータの起源を確認するデジタル署名を有する、受け取るステップと、
    ユーザ識別（ＩＤ）並びに前記ユーザに関連付けられた個人識別番号（ＰＩＮ）及びパスワードのうち少なくとも１つを受け取るステップと、
    前記バイオメトリックサンプルデータ並びに前記ＰＩＮ及び前記パスワードのうち少なくとも１つを含むデータパッケージを、バイオメトリック照合サーバ（２０８）へ送信するステップ（３０６）と、
    前記照合サーバ（２０８）において、前記ユーザーＩＤ及びＰＩＮが許可されたユーザに関係付けられること（３０８）、前記サンプルデータが前記許可されたユーザのデータのテンプレートと一致すること（３１２）、及び前記デジタル署名が有効であること（３１６）を確認するステップと、
    前記照合サーバ（２０８）において仮証明書及び公開／秘密鍵ペアを生成するステップと、
    前記データパッケージとともに前記仮証明書及び前記鍵ペアを前記クライアントコンピュータ（２０６）に送信するステップと、
    前記クライアントコンピュータ（２０６）の外部の資源（２１２）に後にアクセスするために、前記仮証明書及び前記鍵ペアを使用して前記ケルベロス・タイプの認証システム（２１０）にアクセスするステップとを含む、コンピュータ可読媒体。
  19. クライアントコンピュータによってバイオメトリックサンプルデータを受け取る前記ステップは、前記サンプルデータ、タイムスタンプ及びワンタイムパスワードのうち少なくとも１つ並びにデジタル署名をバイオメトリックサンプリング装置から受け取るステップを含む請求項１８記載のコンピュータ可読媒体。
  20. ケルベロス・タイプの認証システムにアクセスする前記ステップは、サービスサーバの資源に後にアクセスするために、仮証明書及び公開／秘密鍵ペアを使用してケルベロス・システムにアクセスするステップを含み、前記仮証明書のフォーマットはＸ．５０９、ＸｒＭＬ、ＩＳＯ ＲＥＬ又はＳＡＭＬのうちの１つを含む請求項１８記載のコンピュータ可読媒体。
JP2009518201A 2006-06-27 2007-06-25 バイオメトリック証明書確認フレームワーク Pending JP2010505286A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/477,160 US20100242102A1 (en) 2006-06-27 2006-06-27 Biometric credential verification framework
PCT/US2007/014718 WO2008091277A2 (en) 2006-06-27 2007-06-25 Biometric credential verification framework

Publications (2)

Publication Number Publication Date
JP2010505286A true JP2010505286A (ja) 2010-02-18
JP2010505286A5 JP2010505286A5 (ja) 2010-07-15

Family

ID=39644985

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009518201A Pending JP2010505286A (ja) 2006-06-27 2007-06-25 バイオメトリック証明書確認フレームワーク

Country Status (11)

Country Link
US (1) US20100242102A1 (ja)
EP (1) EP2033359A4 (ja)
JP (1) JP2010505286A (ja)
KR (1) KR20090041365A (ja)
CN (1) CN101479987A (ja)
AU (1) AU2007345313B2 (ja)
CA (1) CA2653615A1 (ja)
MX (1) MX2008015958A (ja)
NO (1) NO20085023L (ja)
RU (1) RU2434340C2 (ja)
WO (1) WO2008091277A2 (ja)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017508194A (ja) * 2013-12-31 2017-03-23 ホヨス ラボス アイピー リミテッド 生体認証プロトコル標準のためのシステムおよび方法
JP2017535837A (ja) * 2014-09-16 2017-11-30 ノック ノック ラブズ， インコーポレイテッド 認証サービスをネットワークアーキテクチャ内に統合するためのシステム及び方法
JP2018107514A (ja) * 2016-12-22 2018-07-05 日本電気株式会社 位置情報保証装置、位置情報保証方法、位置情報保証プログラム、および通信システム
US10366218B2 (en) 2013-03-22 2019-07-30 Nok Nok Labs, Inc. System and method for collecting and utilizing client data for risk assessment during authentication
US10637853B2 (en) 2016-08-05 2020-04-28 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
WO2020121459A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 認証システム、クライアントおよびサーバ
US10769635B2 (en) 2016-08-05 2020-09-08 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10798087B2 (en) 2013-10-29 2020-10-06 Nok Nok Labs, Inc. Apparatus and method for implementing composite authenticators
JP2021520013A (ja) * 2018-08-31 2021-08-12 ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・（シェンチェン） 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体
US11792024B2 (en) 2019-03-29 2023-10-17 Nok Nok Labs, Inc. System and method for efficient challenge-response authentication
US11831409B2 (en) 2018-01-12 2023-11-28 Nok Nok Labs, Inc. System and method for binding verifiable claims
US11868995B2 (en) 2017-11-27 2024-01-09 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
US11929997B2 (en) 2013-03-22 2024-03-12 Nok Nok Labs, Inc. Advanced authentication techniques and applications

Families Citing this family (78)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8387130B2 (en) * 2007-12-10 2013-02-26 Emc Corporation Authenticated service virtualization
FR2958821A1 (fr) * 2007-12-11 2011-10-14 Mediscs Procede d'authentification d'un utilisateur
US8438385B2 (en) * 2008-03-13 2013-05-07 Fujitsu Limited Method and apparatus for identity verification
US8219802B2 (en) 2008-05-07 2012-07-10 International Business Machines Corporation System, method and program product for consolidated authentication
CN101286840B (zh) * 2008-05-29 2014-07-30 西安西电捷通无线网络通信股份有限公司 一种利用公钥密码技术的密钥分配方法及其系统
US7877503B2 (en) * 2008-07-02 2011-01-25 Verizon Patent And Licensing Inc. Method and system for an intercept chain of custody protocol
US20100083000A1 (en) * 2008-09-16 2010-04-01 Validity Sensors, Inc. Fingerprint Sensor Device and System with Verification Token and Methods of Using
CN101447010B (zh) * 2008-12-30 2012-02-22 飞天诚信科技股份有限公司 登录系统及登录方法
US9246908B2 (en) * 2009-01-08 2016-01-26 Red Hat, Inc. Adding biometric identification to the client security infrastructure for an enterprise service bus system
US7690032B1 (en) 2009-05-22 2010-03-30 Daon Holdings Limited Method and system for confirming the identity of a user
US8549601B2 (en) * 2009-11-02 2013-10-01 Authentify Inc. Method for secure user and site authentication
WO2011056906A2 (en) * 2009-11-05 2011-05-12 Vmware, Inc. Single sign on for a remote user session
US9081888B2 (en) 2010-03-31 2015-07-14 Cloudera, Inc. Collecting and aggregating log data with fault tolerance
US9082127B2 (en) 2010-03-31 2015-07-14 Cloudera, Inc. Collecting and aggregating datasets for analysis
US8874526B2 (en) 2010-03-31 2014-10-28 Cloudera, Inc. Dynamically processing an event using an extensible data model
US9319625B2 (en) * 2010-06-25 2016-04-19 Sony Corporation Content transfer system and communication terminal
WO2012112921A2 (en) 2011-02-18 2012-08-23 Creditregistry Corporation Non-repudiation process for credit approval and identity theft prevention
WO2012140871A1 (ja) * 2011-04-12 2012-10-18 パナソニック株式会社 認証システム、情報登録システム、サーバ、プログラム、及び、認証方法
US8762709B2 (en) 2011-05-20 2014-06-24 Lockheed Martin Corporation Cloud computing method and system
US11475105B2 (en) 2011-12-09 2022-10-18 Rightquestion, Llc Authentication translation
US9294452B1 (en) 2011-12-09 2016-03-22 Rightquestion, Llc Authentication translation
US20130159194A1 (en) * 2011-12-14 2013-06-20 Voicetrust Ip Gmbh Systems and methods for authenticating benefit recipients
FR2987529B1 (fr) * 2012-02-27 2014-03-14 Morpho Procede de verification d'identite d'un utilisateur d'un terminal communiquant et systeme associe
US9338008B1 (en) * 2012-04-02 2016-05-10 Cloudera, Inc. System and method for secure release of secret information over a network
RS54229B1 (en) 2012-06-14 2015-12-31 Vlatacom D.O.O. BIOMETRIC ACCESS CONTROL SYSTEM AND PROCEDURE
US9177129B2 (en) * 2012-06-27 2015-11-03 Intel Corporation Devices, systems, and methods for monitoring and asserting trust level using persistent trust log
CN104781823B (zh) * 2012-11-16 2018-08-10 皇家飞利浦有限公司 具有身体耦合通信接口的生物计量系统
US9065593B2 (en) * 2012-11-16 2015-06-23 Nuance Communications, Inc. Securing speech recognition data
US9131369B2 (en) 2013-01-24 2015-09-08 Nuance Communications, Inc. Protection of private information in a client/server automatic speech recognition system
US9342557B2 (en) 2013-03-13 2016-05-17 Cloudera, Inc. Low latency query engine for Apache Hadoop
US9514741B2 (en) 2013-03-13 2016-12-06 Nuance Communications, Inc. Data shredding for speech recognition acoustic model training under data retention restrictions
US9514740B2 (en) 2013-03-13 2016-12-06 Nuance Communications, Inc. Data shredding for speech recognition language model training under data retention restrictions
US9275208B2 (en) * 2013-03-18 2016-03-01 Ford Global Technologies, Llc System for vehicular biometric access and personalization
US20160125416A1 (en) * 2013-05-08 2016-05-05 Acuity Systems, Inc. Authentication system
CN104158791A (zh) * 2013-05-14 2014-11-19 北大方正集团有限公司 一种分布式环境下的安全通信认证方法及系统
US20140343943A1 (en) * 2013-05-14 2014-11-20 Saudi Arabian Oil Company Systems, Computer Medium and Computer-Implemented Methods for Authenticating Users Using Voice Streams
US9515996B1 (en) * 2013-06-28 2016-12-06 EMC IP Holding Company LLC Distributed password-based authentication in a public key cryptography authentication system
EP3611871B1 (en) 2013-09-19 2021-12-08 Intel Corporation Technologies for synchronizing and restoring reference templates
US9934382B2 (en) 2013-10-28 2018-04-03 Cloudera, Inc. Virtual machine image encryption
CN103607282B (zh) * 2013-11-22 2017-03-15 成都卫士通信息产业股份有限公司 一种基于生物特征的身份融合认证方法
CN106576041A (zh) * 2014-06-27 2017-04-19 林建华 客户端与服务器之间相互验证的方法
WO2016014120A1 (en) 2014-07-24 2016-01-28 Hewlett-Packard Development Company, L.P. Device authentication agent
US10122703B2 (en) 2014-09-30 2018-11-06 Citrix Systems, Inc. Federated full domain logon
US10841316B2 (en) 2014-09-30 2020-11-17 Citrix Systems, Inc. Dynamic access control to network resources using federated full domain logon
US9735968B2 (en) * 2014-10-20 2017-08-15 Microsoft Technology Licensing, Llc Trust service for a client device
FR3027753B1 (fr) * 2014-10-28 2021-07-09 Morpho Procede d'authentification d'un utilisateur detenant un certificat biometrique
RU2610696C2 (ru) * 2015-06-05 2017-02-14 Закрытое акционерное общество "Лаборатория Касперского" Система и способ аутентификации пользователя при помощи электронной цифровой подписи пользователя
US11057364B2 (en) * 2015-06-15 2021-07-06 Airwatch Llc Single sign-on for managed mobile devices
US10944738B2 (en) * 2015-06-15 2021-03-09 Airwatch, Llc. Single sign-on for managed mobile devices using kerberos
US10171447B2 (en) 2015-06-15 2019-01-01 Airwatch Llc Single sign-on for unmanaged mobile devices
US10812464B2 (en) 2015-06-15 2020-10-20 Airwatch Llc Single sign-on for managed mobile devices
US10034174B1 (en) * 2015-12-21 2018-07-24 United Services Automobile Association (Usaa) Systems and methods for authenticating a caller using biometric authentication
CN105938526A (zh) * 2016-03-07 2016-09-14 李明 一种身份认证方法及系统
CN105989495A (zh) * 2016-03-07 2016-10-05 李明 一种支付方法及系统
CN107294721B (zh) * 2016-03-30 2019-06-18 阿里巴巴集团控股有限公司 基于生物特征的身份注册、认证的方法和装置
RU2616154C1 (ru) * 2016-06-09 2017-04-12 Максим Вячеславович Бурико Средство, способ и система для осуществления транзакций
KR20180013524A (ko) * 2016-07-29 2018-02-07 삼성전자주식회사 전자 장치 및 전자 장치의 생체 정보 인증 방법
US10325081B2 (en) * 2016-08-18 2019-06-18 Hrb Innovations, Inc. Online identity scoring
US20180083955A1 (en) * 2016-09-19 2018-03-22 Ebay Inc. Multi-session authentication
US10277400B1 (en) 2016-10-20 2019-04-30 Wells Fargo Bank, N.A. Biometric electronic signature tokens
US10528725B2 (en) 2016-11-04 2020-01-07 Microsoft Technology Licensing, Llc IoT security service
US10972456B2 (en) * 2016-11-04 2021-04-06 Microsoft Technology Licensing, Llc IoT device authentication
FR3069078B1 (fr) * 2017-07-11 2020-10-02 Safran Identity & Security Procede de controle d'un individu ou d'un groupe d'individus a un point de controle gere par une autorite de controle
WO2019014775A1 (en) * 2017-07-21 2019-01-24 Bioconnect Inc. BIOMETRIC ACCESS SECURITY PLATFORM
US10637662B2 (en) * 2017-08-28 2020-04-28 International Business Machines Corporation Identity verification using biometric data and non-invertible functions via a blockchain
WO2019112650A1 (en) * 2017-12-08 2019-06-13 Visa International Service Association Server-assisted privacy protecting biometric comparison
US10958640B2 (en) 2018-02-08 2021-03-23 Citrix Systems, Inc. Fast smart card login
GB2574182A (en) * 2018-03-26 2019-12-04 Ssh Communications Security Oyj Authentication in a computer network system
US11509475B2 (en) 2018-06-15 2022-11-22 Proxy, Inc. Method and apparatus for obtaining multiple user credentials
US20200036708A1 (en) * 2018-06-15 2020-01-30 Proxy, Inc. Biometric credential improvement methods and apparatus
US11546728B2 (en) 2018-06-15 2023-01-03 Proxy, Inc. Methods and apparatus for presence sensing reporting
US11109234B2 (en) 2018-06-15 2021-08-31 Proxy, Inc. Reader device with sensor streaming data and methods
US11462095B2 (en) 2018-06-15 2022-10-04 Proxy, Inc. Facility control methods and apparatus
EP3674934A1 (en) * 2018-12-26 2020-07-01 Thales Dis France SA Biometric acquisition system and method
CN110190950B (zh) * 2019-06-11 2021-04-27 飞天诚信科技股份有限公司 一种安全签名的实现方法及装置
US11277373B2 (en) * 2019-07-24 2022-03-15 Lookout, Inc. Security during domain name resolution and browsing
US11296872B2 (en) 2019-11-07 2022-04-05 Micron Technology, Inc. Delegation of cryptographic key to a memory sub-system
US11822686B2 (en) * 2021-08-31 2023-11-21 Mastercard International Incorporated Systems and methods for use in securing backup data files

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002063847A2 (en) * 2001-02-06 2002-08-15 Certicom Corp. Mobile certificate distribution in a public key infrastructure
US20020184217A1 (en) * 2001-04-19 2002-12-05 Bisbee Stephen F. Systems and methods for state-less authentication
JP2003124926A (ja) * 2001-10-15 2003-04-25 Hitachi Ltd 暗号化通信システムにおける認証処理方法及びそのシステム
JP2003281234A (ja) * 2001-12-28 2003-10-03 Docomo Communications Laboratories Usa Inc 異なるアクセス技術を用いるアクセスネットワークが提供するサービスにアクセスするための少額信用貸付証明書
JP2005346120A (ja) * 2002-05-31 2005-12-15 Mitsui & Co Ltd ネットワークマルチアクセス方法およびネットワークマルチアクセス用の生体情報認証機能を備えた電子デバイス
JP2006079537A (ja) * 2004-09-13 2006-03-23 Hitachi Ltd 生体認証装置、生体認証システム及び方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5944824A (en) * 1997-04-30 1999-08-31 Mci Communications Corporation System and method for single sign-on to a plurality of network elements
US6898577B1 (en) * 1999-03-18 2005-05-24 Oracle International Corporation Methods and systems for single sign-on authentication in a multi-vendor e-commerce environment and directory-authenticated bank drafts
US6564104B2 (en) * 1999-12-24 2003-05-13 Medtronic, Inc. Dynamic bandwidth monitor and adjuster for remote communications with a medical device
US7177849B2 (en) * 2000-07-13 2007-02-13 International Business Machines Corporation Method for validating an electronic payment by a credit/debit card
EP1417555A2 (en) * 2001-06-18 2004-05-12 Daon Holdings Limited An electronic data vault providing biometrically protected electronic signatures
US20030140233A1 (en) * 2002-01-22 2003-07-24 Vipin Samar Method and apparatus for facilitating low-cost and scalable digital identification authentication
US7308579B2 (en) * 2002-03-15 2007-12-11 Noel Abela Method and system for internationally providing trusted universal identification over a global communications network
US8296573B2 (en) * 2004-04-06 2012-10-23 International Business Machines Corporation System and method for remote self-enrollment in biometric databases
US7805614B2 (en) * 2004-04-26 2010-09-28 Northrop Grumman Corporation Secure local or remote biometric(s) identity and privilege (BIOTOKEN)
US20060229911A1 (en) * 2005-02-11 2006-10-12 Medcommons, Inc. Personal control of healthcare information and related systems, methods, and devices

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2002063847A2 (en) * 2001-02-06 2002-08-15 Certicom Corp. Mobile certificate distribution in a public key infrastructure
US20020184217A1 (en) * 2001-04-19 2002-12-05 Bisbee Stephen F. Systems and methods for state-less authentication
JP2003124926A (ja) * 2001-10-15 2003-04-25 Hitachi Ltd 暗号化通信システムにおける認証処理方法及びそのシステム
JP2003281234A (ja) * 2001-12-28 2003-10-03 Docomo Communications Laboratories Usa Inc 異なるアクセス技術を用いるアクセスネットワークが提供するサービスにアクセスするための少額信用貸付証明書
JP2005346120A (ja) * 2002-05-31 2005-12-15 Mitsui & Co Ltd ネットワークマルチアクセス方法およびネットワークマルチアクセス用の生体情報認証機能を備えた電子デバイス
JP2006079537A (ja) * 2004-09-13 2006-03-23 Hitachi Ltd 生体認証装置、生体認証システム及び方法

Cited By (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10706132B2 (en) 2013-03-22 2020-07-07 Nok Nok Labs, Inc. System and method for adaptive user authentication
US10776464B2 (en) 2013-03-22 2020-09-15 Nok Nok Labs, Inc. System and method for adaptive application of authentication policies
US11929997B2 (en) 2013-03-22 2024-03-12 Nok Nok Labs, Inc. Advanced authentication techniques and applications
US10366218B2 (en) 2013-03-22 2019-07-30 Nok Nok Labs, Inc. System and method for collecting and utilizing client data for risk assessment during authentication
US10762181B2 (en) 2013-03-22 2020-09-01 Nok Nok Labs, Inc. System and method for user confirmation of online transactions
US10798087B2 (en) 2013-10-29 2020-10-06 Nok Nok Labs, Inc. Apparatus and method for implementing composite authenticators
JP2017508194A (ja) * 2013-12-31 2017-03-23 ホヨス ラボス アイピー リミテッド 生体認証プロトコル標準のためのシステムおよび方法
JP2017535837A (ja) * 2014-09-16 2017-11-30 ノック ノック ラブズ， インコーポレイテッド 認証サービスをネットワークアーキテクチャ内に統合するためのシステム及び方法
US10637853B2 (en) 2016-08-05 2020-04-28 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10769635B2 (en) 2016-08-05 2020-09-08 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
JP2018107514A (ja) * 2016-12-22 2018-07-05 日本電気株式会社 位置情報保証装置、位置情報保証方法、位置情報保証プログラム、および通信システム
US11868995B2 (en) 2017-11-27 2024-01-09 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
US11831409B2 (en) 2018-01-12 2023-11-28 Nok Nok Labs, Inc. System and method for binding verifiable claims
JP2021520013A (ja) * 2018-08-31 2021-08-12 ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・（シェンチェン） 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体
JP7051001B2 (ja) 2018-08-31 2022-04-08 ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・（シェンチェン） 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体
WO2020121459A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 認証システム、クライアントおよびサーバ
JP7235055B2 (ja) 2018-12-12 2023-03-08 日本電気株式会社 認証システム、クライアントおよびサーバ
US11909892B2 (en) 2018-12-12 2024-02-20 Nec Corporation Authentication system, client, and server
JPWO2020121459A1 (ja) * 2018-12-12 2021-10-21 日本電気株式会社 認証システム、クライアントおよびサーバ
US11792024B2 (en) 2019-03-29 2023-10-17 Nok Nok Labs, Inc. System and method for efficient challenge-response authentication

Also Published As

Publication number Publication date
EP2033359A2 (en) 2009-03-11
AU2007345313B2 (en) 2010-12-16
WO2008091277A3 (en) 2008-12-18
KR20090041365A (ko) 2009-04-28
WO2008091277A2 (en) 2008-07-31
RU2434340C2 (ru) 2011-11-20
CA2653615A1 (en) 2008-07-31
NO20085023L (no) 2008-12-12
RU2008152118A (ru) 2010-07-10
CN101479987A (zh) 2009-07-08
US20100242102A1 (en) 2010-09-23
MX2008015958A (es) 2009-03-06
EP2033359A4 (en) 2017-05-31
AU2007345313A1 (en) 2008-07-31

Similar Documents

Publication Publication Date Title
AU2007345313B2 (en) Biometric credential verification framework
US11722301B2 (en) Blockchain ID connect
JP4907895B2 (ja) プライベートデータを露出せずに通信ネットワークを介してパスワードで保護されたプライベートデータを回復する方法およびシステム
RU2638741C2 (ru) Способ и система аутентификации пользователя посредством мобильного устройства с применением сертификатов
RU2297037C2 (ru) Управление защищенной линией связи в динамических сетях
CN111316267B (zh) 使用委托身份的认证
JP4600851B2 (ja) コンピュータシステム間でメッセージを通信するための安全なコンテキストの確立
CN101027676B (zh) 用于可控认证的个人符记和方法
US9544297B2 (en) Method for secured data processing
JP5570610B2 (ja) 遠隔ユーザ・セッションのためのシングル・サインオン
US8438383B2 (en) User authentication system
US20020144119A1 (en) Method and system for network single sign-on using a public key certificate and an associated attribute certificate
TW201507430A (zh) 使用綁定符記的認證及授權
JP2006340178A (ja) 属性証明書検証方法及び装置
CN114008968A (zh) 用于计算环境中的许可授权的系统、方法和存储介质
CN114301617A (zh) 多云应用网关的身份认证方法、装置、计算机设备及介质
CN114760070A (zh) 数字证书颁发方法、数字证书颁发中心和可读存储介质
JP2010086175A (ja) リモートアクセス管理システム及び方法
CN116112242B (zh) 面向电力调控系统的统一安全认证方法及系统
JP6983685B2 (ja) 情報処理システム、クライアント装置、認証認可サーバー、制御方法とそのプログラム
Ahn et al. Towards scalable authentication in health services
CN113918984A (zh) 基于区块链的应用访问方法及系统、存储介质、电子设备
KR20240075095A (ko) 토큰 프로세스 기반 블록체인을 이용한 제로 트러스트 네트워크의 인증 시스템 및 인증 방법
CN113987461A (zh) 身份认证方法、装置和电子设备
JP2024010700A (ja) 証明書発行サーバを備えるネットワークシステムおよび証明書発行方法

Legal Events

Date Code Title Description
A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100527

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20100527

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20120828

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20130222