JP2015525409A - 高安全性生体認証アクセス制御のためのシステム及び方法 - Google Patents

Abstract

本発明による高安全性生体認証アクセス制御のためのシステム及び方法により、生体認証データ、スマートカード技術及び公開鍵基盤又はその他の対称／非対称な暗号／復号の方法論を使用した、独立型リソース又はネットワークリソースへの高安全性アクセスが可能となる。【選択図】図１

Description

本発明による高安全性生体認証アクセス制御のためのシステム及び方法は、コンピュータ、コンピュータの構成部品、プログラム又はデータを不正行為から保護するための安全設備；販売、賃借、硬貨若しくは紙幣支払い又は払い戻し装置をコード化身分証明カード又はクレジットカードによって解放する（free）又は作動させるために硬貨以外の物体によって作動させられる機構；独立した入り口又は出口登録器；印刷された若しくは手書きの文字を読取る若しくは承認するための、又は例えば指紋のパターンを承認するための、方法又は設備；デジタルマーキング（このようなマーキングの少なくとも１種類は、例えばクレジットカード又は身分証明カードの認証のために使用される）を保持するよう設計された、機械及び少なくとも部品と共に使用するための記録キャリヤ；電子手段を用いた承認のための方法又は設備；導電性マーク、プリント基板又は半導体回路要素を備えた記録キャリヤ、例えばクレジットカード又は身分証明カード；秘匿通信又は秘密通信のための設備に関する。

国際特許分類（ＩＰＣ）によると、本発明は、以下の分類に属する：
Ｇ０６Ｆ ２１／００；
Ｇ０７Ｆ ７／０８；Ｇ０７Ｃ ９／００
Ｇ０６Ｋ ９／００；Ｇ０６Ｋ １９／１０；Ｇ０６Ｋ ９／６２；Ｇ０６Ｋ １９／０６７
Ｈ０４Ｌ ９／００。

本発明による高安全性生体認証アクセス制御のためのシステム及び方法は、独立した又はネットワーク接続されたシステムへの高安全性アクセスのためのシステムの実現という問題を解決する。ここでは、認証されていない人物が、独立した又はネットワーク接続されたリソースに直接的にアクセスできず、また同様に、特別な設備を用いて間接的にアクセスすることもできないことを保証し、認証されたユーザのプライバシーを維持し、その他の悪用を防止する必要がある。保護されているリソースは、コンピュータ、コンピュータネットワーク、これらが記憶しているデータ及びプログラム等の論理リソースであるが、ドア、ゲート又はランプ（ramps）等によって保護されているオフィス、研究室又は建造物といった物理的なリソースでもある。実際、アクセス制御のために、以下のような様々な手段が使用されている：ユーザが知っている手段（パスワード等）；人物が携帯する手段（鍵等）；人物そのものである手段（生体認証特徴等、例えば指紋、虹彩承認、血管の解剖学的構造（レイアウト）、音声等）。アクセス保護のための単純なアプローチは、パスワードによる保護であり、このパスワードは、通常、キーボードを用いて入力され、場合によっては、キーボードは個人識別番号（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ：ＰＩＮ）コードのみを入力するための数字のみのキーボードである。パスワードは、様々な様式で危険にさらされることがあり、この場合、パスワードを保持する人物は誰でもリソースにアクセスできる。人物が携帯するリソースに関しては、最も単純な例は、ロックを開放する物理的な鍵である。一般的な物理鍵が現在でも使用されているものの、安全なアクセス制御のために、トークン等の様々な種類のデジタル鍵又はカードがより多く使用される。鍵がデジタル形態である現在最も安全な技術の１つは、スマートカードの技術である。これらのカードに採用される機構は、更に高いレベルの安全性を提供する。このようにして記録されたデータは、認証されていない方法では変更できず、データの信頼性を検査でき、カードの複製は不可能である。スマートカードは、通常パスワードと共に使用され、この場合、正しいパスワードを入力しなければデータにアクセスできない。このようにして、認証されていない人物がスマートカードを所持している場合にスマートカードの悪用を防止する。実際には、偶然にパスワードが公開されると、悪用及びリソースへの非認証アクセスが可能となる。上述の生体認証特徴は、リソースへのアクセス制御に使用される第３の種類の手段であり、これは単独でも又は上述のその他の手段と組み合わせても使用できる。アクセス制御のために最も広く使用されている生体認証特徴は、指紋である。その他の手段と比較した場合の生体認証特徴の主たる利点は、人物が常にこれを保持していること、及び複製又は偽造が極めて困難であることである。現在、高いレベルの安全性を有する制御には、生体認証特徴が、上述の他の何らかの手段と組み合わせて使用されることが多い。複合手段の実装は複数存在するが、その最高性能を損なういくつかの欠点も存在する。指紋スキャンを備えたスマートカードリーダ等、複合リソースを有するデバイスが存在するが、これらはコンピュータに接続され、デバイス間の全ての通信はコンピュータを経由するため、コンピュータがマルウェアの危険にさらされると、コンピュータに入力される指紋等の悪用が可能となり、認証されたユーザがシステムを使用している間にこれが記憶され、認証されていないユーザによって後に悪用される。安全なアクセス手段はますます洗練され、従って悪用はますます難しくなっているものの、今なお可能である。起こり得る悪用状況の１つは、偽造されたアクセス制御デバイスを設置すること、又はアクセス制御デバイスとシステムの残りの部分との間の通信を偽装することであり、これにより収集した情報を、認証されていないユーザに対して後で使用できる。いくつかのシステムでは、人物に関する基準指紋記録等のデータをサーバに記憶するか、又はこのようなデータを比較目的でサーバに送信でき、これは安全性に関してリスクとなり得る。このリスクを低減するために、高安全性生体認証アクセス制御（ｈｉｇｈ ｓｅｃｕｒｉｔｙ ｂｉｏｍｅｔｒｉｃ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）のためのシステム及び方法を提案する。ここでは、指紋スキャナを用いて、リソースへのアクセスを行おうとするユーザの指紋を検査し、スマートカードは、基準指紋（ｒｅｆｅｒｅｎｃｅ ｆｉｎｇｅｒｐｒｉｎｔ）に対してスキャンした指紋を適合させるための指紋記録（ｆｉｎｇｅｒｐｒｉｎｔ ｒｅｃｏｒｄ）及び実装アルゴリズム、ホストコンピュータと直接通信している上記アルゴリズムを実行する独立したプロセッサユニット及びメモリモジュールを含み、このメモリモジュールには確保されたリソースが記憶され、ユーザはこのメモリモジュールを介して他の確保されたリソースにアクセスする。これらは全て、ホストコンピュータの基準一意ハードウェア識別子（ｒｅｆｅｒｅｎｃｅ ｕｎｉｑｕｅ ｈａｒｄｗａｒｅ ｉｄｅｎｔｉｆｉｅｒ）、システム証明、個人及び公開鍵を記憶するセキュリティモジュールに接続されており、ホストコンピュータの一意ハードウェア識別子(ｕｎｉｑｕｅ ｈａｒｄｗａｒｅ ｉｄｅｎｔｉｆｉｅｒ)は、このセキュリティモジュールに適合されている。このようなシステムを使用する典型的な状況は、政府システム及び行政機関、セキュリティサービス、大企業、巨大なインフラストラクチャ関連対象物であり、独立した及びネットワーク接続された論理リソース及び物理リソースに対する、認証されていないアクセスを防止することが主たる関心事である。

安全なアクセスシステムの需要は長きにわたって存在しており、したがって独立した又はネットワーク接続されたリソースに対する安全なアクセスのための方法について記載した、以下のような多数の特許が存在する：
―米国特許第６２５６７３７Ｂ１は、生体認証デバイスを用いた、リソースへのアクセス制御のためのシステム、方法及びコンピュータプログラムを記載しており、ここでは基準生体認証データがサーバ上に記憶される；
―米国特許第６３１７５４４Ｂ１は、集中型サーバ及び移動体作業ステーションを備えた、分散型移動体識別システムを記載しており、このシステムでは、基準生体認証データがサーバ上に記憶される；
―米国特許第６３２０９７４Ｂ１は、ネットワーク接続された作業ステーションを備えた分散型識別システムを記載しておいる。このシステムでは基準生体認証データを、作業ステーションに記憶した状態に維持する；
―米国特許第６４３４２５９Ｂ１は、物理的入力及びコンピュータネットワークへのユーザの安全なアクセスのための方法論を記載しており、この方法論は、記憶されている生体認証特徴をＰＩＮコードを基に検索することに基づくものである；
―米国特許第６６８１０３４Ｂ１は、指紋の適合のためのシステム及び方法論を記載しており、これは、基準指紋が記憶されたスマートカードの使用を含み、このスマートカードにおいて、マイクロプロセッサが、基準指紋に対してスキャンした指紋を適合させる；
―米国特許第６８５３７３９Ｂ２は、生体認証特徴を使用した本人確認のためのシステムを記載しており、ここではスキャンしたデータと基準データとの間で適合が実行される；
―米国特許第６９２８５４７Ｂ２は、コンピュータネットワーク内でのユーザ認証のシステム及び方法を記載しており、これは生体認証特徴とパスワードとを併用する；
―米国特許第７０２０３０８Ｂ２は、スキャンした生体認証データと基準生体認証データとの間の適合に基づくユーザ認証のための生体認証システムを記載しており、生体認証特徴の適合のために使用する方法論が強調されている；
―米国特許第７２６６２２４Ｂ２は、人物の識別のためのデバイス及び方法並びにパスコントローラを記載しており、顔の画像を生体認証特徴として使用し、これをメモリに記憶された基準画像に対して適合する；
―米国特許第７２９９３６０Ｂ２は、指紋適合のためのシステム及び方法を記載しており、これは基準指紋を保持するスマートカードの利用を含み、マイクロプロセッサを用いて、基準指紋に対してスキャンした指紋を適合させる；
―米国特許第７３３０５７１Ｂ２は、生体認証確認及び指紋に基づく身元登録のためのデバイス及び方法を記載している；
―米国特許第７４５４０４１Ｂ２は、個人承認のためのシステムを記載しており、ここでは人物に関するデータが収集及びアップデートされ、生体認証特徴として顔の画像が使用される；
―米国特許第７７３５７２８Ｂ２は、アクセス制御のためのシステムを記載しており、これはデータストレージリーダ、識別用データ、データベース及び人物の写真を撮影するカメラを含み、データベース内の基準画像に対して上記写真を適合させる；
―米国特許出願第６０１８７３９Ａは、指紋及び顔の画像である生体認証特徴に基づく、人物の識別のための分散型システムを記載している；
―ＰＣＴ特許出願ＷＯ２００５０９３９９３Ａ１は、ユーザから採取した生体認証署名を用いて暗号化された基準データを検査することによる、設備への安全なアクセスのためのデバイス及び方法を記載している；
―米国特許出願第２０１０００１７８５６Ａ１は、安全なコンピュータシステムへの生体認証アクセス制御の方法論を記載しており、ここではユーザに関するデータはサーバ上に記憶される；
―米国特許出願第２０１００２４２１０２Ａ１は、認証のための生体認証識別デバイス及びシステムを使用して、生体認証データを検査する方法を記載しており、ここでは生体認証データは、ＰＩＮコード又はパスワードと併用され、データ検査はサーバ上で行われる；
―米国特許出願第２０１００１３１７６５Ａ１は、ユーザの認証のための方法を記載しており、ここでは公開鍵に基づいて匿名証明が生成される；
―米国特許出願第２０１００２８７３６９Ａ１は、ユーザの生体認証のためのシステム及び方法を記載しており、ここでは生体認証データ及びその他の個人データをデバイス上に記憶し、比較結果にデジタル署名を付与してサーバに送信する；
―米国特許出願第２０１１０１５３４９７Ａ１は、トランザクションの安全な実行のためのシステム及び方法を記載しており、ここでは収集した生体認証特徴をサーバ上の生体認証モジュールに送信し、基準となる生体認証特徴に対して上記特徴を適合させる；
―米国特許出願第２０１２００４２３６９Ａ１は、指紋を用いた識別のためのシステム及び方法を記載しており、ここでは指紋をスキャンするためのモジュールをスマートカードに組み込むことができる；
―米国特許出願第２０１２００５４８４２Ａ１は、スキャンした生体認証特徴と、暗号要素上に保存された基準となる生体認証特徴との間の適合に基づく、安全なアクセス制御のためのシステムを記載しており、ここでは、アクセスのために単回アクセスパスワードが生成され、このパスワードは確認のためにサーバに送信される；
―米国特許出願第２０１２００５４８４２Ａ１は、ホストシステム上でのユーザの安全な識別を記載しており、ここではユーザデータは明示的な形態では存在せず、ＤＥＳ暗号化されており、ＤＥＳ鍵はＰＫＩ暗号化公開鍵を用いて暗号化され、確認（検査）はサーバ上で行われる。

以下の記載において、本発明を簡略化した様式で、可能な実装形態と共に提示する。ここに記載する実装形態は、本発明の主たる原理を説明するために使用されるものであり、後の特許要件によって与えられる保護範囲を限定するために使用されるものではない。

本発明による、高安全性アクセス制御のためのシステム及び方法は、単一のリソース又はネットワーク接続されたリソースへの高安全性アクセスのためのシステムの実装に関する、既に定義した問題を解決し、同時に認証されたユーザのプライバシーを維持し、その他の悪用を防止する。システムにアクセスするために、ユーザは自身のスマートカードを有していなければならず、その信頼性はカードに記憶された証明を用いて確認される。ユーザは、指紋をスキャンし、この指紋を基準指紋に対して適合させることによって識別される。指紋の記録は画像形態であってよいが、リソースが限られているため、及び適合をより迅速に行うために、指紋のテンプレートが使用される場合がある。指紋テンプレートは、指紋の重要な点（特徴点）のみを記憶している。スマートカード上の記録とスマートカードに送信される適合される記録とは、同一の種類のものであり、適合結果は、スマートカードによって支持されることが重要である。スマートカード上のデータをパスワードによって更に保護してよく、ユーザはシステムにログインする度にパスワードを入力する。ユーザの生体認証データの悪用は、指紋等の生体認証データをユーザのスマートカード上のみで記憶及び検査し、このデータがカードを離れないようにすることによって防止される。適合のためにスキャンされた指紋はカードに直接転送され、外部の通信チャネルと接触することは決して無い。スマートカード及びユーザの認証の他に、システムは、ホストコンピュータの一意ハードウェア識別子及びシステムに記憶されたワークステーション証明を検査することにより、システムの複数の部品のうちの幾つかの信頼性を検査する。

このようなシステムの可能な使用例は、論理アクセス制御におけるもの（ここで論理リソースはコンピュータ又はコンピュータネットワークであり、これらコンピュータ又はコンピュータネットワークはこれらが記憶しているデータ及びプログラムを含む）、並びにドア、ゲート又はランプ等によって物理的に保護されている物体及び施設に関する物理アクセス制御におけるものであってよい。このシステムは、対称／非対称な暗号／復号の方法論に基づくものであり、このような方法論の一例は公開鍵基盤（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ：ＰＫＩ）である。

本発明による高安全性生体認証アクセス制御のためのシステム及び方法を添付の図面に示し、これらの図面においては、同一の参照番号はデバイスの同一の要素を表す。

図１は、システムの論理ブロック図である。 図２は、アクセス制御アルゴリズムを示し、図２ａは、ホストコンピュータの一意ハードウェア識別子の制御を実行し、ワークステーション証明を確認する、アクセス制御のためのアルゴリズムの一部を示す。 図２ｂは、任意のパスワード確認を実行し、ユーザ証明を確認する、アクセス制御のためのアルゴリズムの一部を示す。 図２ｃは、指紋確認を実行する、アクセス制御のためのアルゴリズムの一部を示す。 図３は、ワークステーション証明を生成するために使用される、アルゴリズムの一部を示す。 図４は、ワークステーション証明及びシステムの一意ハードウェア識別子の生成のプロセスを示す。 図５は、ユーザ証明を生成するために使用されるシステムを示す。 図６は、ユーザ証明を生成するプロセスを示す。

図１は、本システムの論理ブロック図である。システムをネットワーク接続されたリソース１６０に接続するホストコンピュータ１４０は、システムの必須部品である。リソースは、論理リソース（コンピュータ又はコンピュータネットワーク、特定のデータ又はコンピュータ若しくはコンピュータネットワーク上のプログラム）、並びにドア、ゲート又はランプによって保護されている物体及び施設を含む物理リソースであってよい。論理リソースはホストコンピュータ上に見出されるものであってよく、ネットワークリソースであってよい。ネットワークリソース１６０を使用する場合、ホストコンピュータ１４０を用いてこれらにアクセスする。アクセス制御ブロック１００の中心となる部品は、ＲＡＭ（ランダムアクセスメモリ）、プログラムメモリ及び通信チャネルを備えた処理ユニットである。この部品は多くの異なる方法で実装でき、図１は、処理ユニット、ＲＡＭ、プログラムメモリ及び通信チャネルを統合するマイクロコントローラ１０１を用いた実装を示す。アクセス制御のためのブロック１００の残りは、スマートカードリーダ１０４、指紋スキャナ１０２、セキュリティモジュール１２０、ホストコンピュータインタフェース１０７である。マイクロコントローラは、ホストコンピュータインタフェース１０７を用いてホストコンピュータ１４０と通信し、スマートカードリーダ１０４を用いてユーザのスマートカード１３０と通信する。スマートカードリーダ１０４とユーザのスマートカード１３０との間のインタフェースは、接触式又は非接触式であってよく、どちらの種類のインタフェースもサポートできる。セキュリティモジュール１２０は、ワークステーション証明、ワークステーションのプライベート及び公開鍵、並びにホストコンピュータの一意ハードウェア識別子を記憶するために使用される。セキュリティモジュール１２０は、ワークステーションからの特定のリソースに関して認証されたユーザのリストを記憶するための安全なメモリとして使用できる。これは、ネットワークコンピュータへのアクセスが必要であり、ユーザのアクセス権に関する情報がネットワーク内の他のコンピュータ上にある状況、及びその瞬間において、アクセスされたコンピュータがコンピュータネットワークの残りの部分に接続できない場合（オフラインモード）に有用であり得る。図１では、セキュリティ認証モジュール（Ｓｅｃｕｒｉｔｙ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｍｏｄｕｌｅ：ＳＡＭ）カードリーダ１０３としてのスマートカードリーダ及びＳＡＭカード１２５を使用する、セキュリティモジュール１２０の１つの実装形態が示されている。セキュリティモジュールは、集積回路として実装でき、又はマイクロコントローラ１０１等の何らかの他の集積回路の一部として実装できる。指紋スキャナ１０２は、システムにアクセスするユーザの指紋スキャン１１０のために使用される。指紋スキャナは、指紋センサの形態であってよいが、指紋センサ、プロセッサ及びＲＡＭからなるモジュールの形態であってもよい。スキャンした指紋記録は、カード上に記憶された基準指紋記録と同一種類のものでなければならない。指紋センサは、指紋の画像をキャプチャするため、指紋のテンプレートを使用する場合は、テンプレートへの変換が必要となる。このような変換は、指紋スキャナ１０２がそれ自体の処理ユニットを有している場合は、指紋スキャナ１０２上で実施でき、又は指紋スキャナをスキャナとしてのみ使用する場合はマイクロコントローラ１０１上で実施できる。

ユーザのスマートカード１３０もまたシステムの必須部品であり、ユーザのスマートカード１３０には、基準指紋、カード証明、暗号操作のために使用される公開及びプライベート鍵を含むユーザに関する個人データが記憶されている。ユーザのスマートカードは、それ自体の処理ユニットを有し、これは暗号操作、及びスキャンした指紋に対する基準指紋の適合に使用される。任意に、本システムは、手順を表示するための指示器(indication)１０５、手順の結果を提示するために使用されるディスプレイ１０６、ユーザがデータを入力するために使用されるキーパッド１０８、並びに表示のため及びユーザがデータを入力するために使用される光学タッチスクリーンディスプレイ１０９を有してよい。指示器１０５は、ＬＥＤダイオードからなってよい。キーパッドは、数字のみのもの、数字に特定目的のキーを追加したもの、また英数字キーボードであってもよい。キーボードを用いてパスワードを入力するが、パスワードがＰＩＮ（個人識別番号）コードである場合には数字のキーパッドのみを使用する。ホストコンピュータ１４０がキーボードを有する場合には、ユーザはホストコンピュータ１４０のキーボードを使用してデータを入力してよい。

このような実装形態は、論理リソースに対するアクセス制御に適している。システムの実装は、複数の方法で行うことができる。可能な選択肢のうちの１つは、アクセス制御ブロック１００を、ホストコンピュータ１４０から物理的に分離された（指示器１０５、キーパッド１０８、ディスプレイ１０６及びタッチスクリーンディスプレイ１０９を備える又は備えない）デバイスの形態とすることである。このような実装形態は、論理アクセス制御用途に適切であり、この場合アクセス対象のリソースはホストコンピュータ上にあるか、又はネットワークリソース１６０は、ホストコンピュータを用いてアクセスされる。別の可能な実装は、ホストコンピュータ１４０及びアクセス制御ブロックを単一のデバイス内に統合することである。この実装形態は、リソースが、ドア開閉、又はランプ昇降に関する機構である、物理アクセス制御用途に適している。

図２ａは、一意ハードウェア識別子適合及びワークステーション証明確認を実行する、アクセス制御アルゴリズムの一部を示す。ホストコンピュータの一意ハードウェア識別子の適合（２１０）を用いて、ホストコンピュータ１４０とアクセス制御ブロック１００とのペアリングを制御する。適合手順は、ホストコンピュータがその一意ハードウェア識別子を生成すること（２１１）で開始される。次のステップは、マイクロコントローラ１０１を用いて、上述の一意ハードウェア識別子をホストコンピュータ１４０からセキュリティモジュール１２０へと送信すること（２１２）である。基準一意ハードウェア識別子との適合（２１３）がセキュリティモジュール１２０上で行われる。基準ハードウェア識別子は、初期化手順中にセキュリティモジュール１２０上に記憶される。次のステップは、適合の結果を、マイクロコントローラ１０１を用いてセキュリティモジュール１２０からホストコンピュータ１４０へと送信すること（２１４）である。適合の結果（２１５）が正である場合はプロセスを継続し、適合の結果が負である場合はログインプロセスを終了し、ワークステーションの使用が不可能となる（２３０）。ユーザのアクセス手順が終了されない場合、ワークステーション証明確認が行われる（２２０）。セキュリティモジュール１２０上に記憶されたワークステーション証明を、マイクロコントローラ１０１を用いてセキュリティモジュール１２０からホストコンピュータ１４０へと送信する（２２１）。ホストコンピュータ１４０は証明確認を行い（２２２）、確認の結果が正である場合は、プロセスを継続し、確認の結果が負である場合は、ログインプロセスを終了し、作業ステーションの使用が不可能となる（２３０）。ホストコンピュータ１４０は、複数の方法でワークステーション証明の確認（２２２）を行うことができる。可能な選択肢のうちの１つは、証明を発行した証明発行者（ｃｅｒｔｉｆｉｃａｔｉｏｎ ａｕｔｈｏｒｉｔｙ：ＣＡ）が指名した、ユーザが接続するコンピュータネットワークを用いてホストコンピュータがアクセスできるエンティティにおいて確認を行うことである。代替案は、失効した証明のリストが周期的に更新されるホストコンピュータ１４０において確認手順を行うことである。これらのリストは、コンピュータがコンピュータネットワークに接続できない場合にオフラインモードで使用される。このモードは、コンピュータがコンピュータネットワークに接続できない場合の物理アクセス制御用途において使用できる。一意ハードウェア識別子の確認（２１０）と作業ステーション証明の確認の順序は変更できる。いずれか一方の確認手順が他方の確認手順を制約することはないが、いずれの確認手順の負の結果もログインプロセスを終了させ、ワークステーションの使用を不可能とする。両確認手順の結果が正であれば、システムは、ユーザのスマートカードリーダ１０４にユーザのスマートカードが挿入される（２１４）のを待つ。ユーザのスマートカード１３０が挿入されると、ホストコンピュータ１４０は、セッション鍵をマイクロコントローラ１０１に送信することによってセッション鍵を割り当てることができる（２４２）。このステップは任意であり、このステップを使用する場合、生成される鍵は、上記結果のデジタル署名中に、メッセージに一意性を付与するため及びいずれの悪用を回避するために使用されるため、このステップは安全性の追加の因子となる。

図２ｂは、パスワード確認（２５０）及びユーザの証明の確認（２６０）を示す。パスワード確認は任意であり、これは図示したように、ユーザのスマートカード上のデータが、通常ＰＩＮコードの形態であるパスワードで保護されている場合に使用される。システムは、パスワードの入力（２５１）を必要とし、これは、マイクロコントローラ１０１及びスマートカードリーダ１０４を用いて、キーパッド１０８からユーザのスマートカード１３０に送信される。システムがホストコンピュータ１４１のキーボードを使用する場合、パスワードは、ホストコンピュータ１４０、マイクロコントローラ１０１及びスマートカードリーダ１０４を用いてユーザのスマートカード１３０に送信される。タッチスクリーンディスプレイ１０９を用いてシステムへのデータ入力を行う場合、パスワードは、マイクロコントローラ１０１及びスマートカードリーダ１０４を用いてユーザのスマートカード１３０に送信される。パスワード確認（２５３）がユーザのスマートカード１３０上で行われ、確認手順の結果が正である場合、ユーザはスマートカードコンテンツにアクセスできるよう認証される（２５４）。このステップは、ユーザに関するデータのロックを解除し、スマートカード上の指紋適合アルゴリズムを使用する権利を与える。次のステップは、スマートカード１３０からマイクロコントローラ１０１を介してホストコンピュータ１４０へと適合の結果を送信する（２５５）ことである。適合結果の検査は、ホストコンピュータ上で行われる（２５６）。結果が正である場合、プロセスは継続され、結果が負である場合、セッションは終了され、スマートカードの取り外しが必要となり、新規のセッションを開始するためにスマートカードを新たに挿入する必要がある。ユーザの証明の確認（２６０）が必須である。この手順は、スマートカードリーダ１０４及びマイクロコントローラ１０１を用いて、ＣＡが発行したユーザのスマートカード１３０からホストコンピュータ１４０にユーザ証明を送信する（２６１）ことによって開始される。カード証明の確認（２６２）は、ホストコンピュータ上で行ってもよく、カードを発行したＣＡが指名したエンティティにおいて行ってもよい。このようにして、ユーザのスマートカード１３０の信頼性を検査する。確認結果が正である場合（２６３）、プロセスは継続され、確認結果が負である場合、セッションは終了され、カードの取り外しが必要となり、新規のセッションを開始するためにカードを新たに挿入する必要がある。パスワード確認（２５０）が行われる場合、これら２つの確認の順序を変更してよい。カード証明は、これがパスワードでロックされていても利用可能であり、従って証明確認（２６０）は、パスワード確認（２５０）の前に行うことができる。

図２ｃは、指紋適合手順（２７０）を示す。適合は、指紋スキャナ１０２による指紋スキャン（２７１）によって開始される。次のステップは、マイクロコントローラ及びスマートカードリーダ１０４を用いて、スキャンした指紋を指紋スキャナ１０２からユーザのスマートカード１０３に送信する（２７２）ことである。基準指紋に対するスキャンした指紋の適合（２７３）は、ユーザのスマートカード１３０上で行われる。従って、ユーザのスマートカード１３０上に記憶された基準指紋がカードを離れることは決してない。指紋スキャナ１０２を用いてスキャンした指紋はユーザのスマートカードに送信され、これはアクセス制御ブロック１００を離れることは決してなく、またホストコンピュータ１４０に転送されることも決してない。このようにして、ユーザデータの高い安全性が達成される。ユーザのスマートカード１３０上で行われた、スキャンした指紋に対する基準指紋の適合の後、任意にデジタル署名を適用してよい。この選択肢は、悪用を防止するために使用される。デジタル署名は、ユーザのプライベート鍵を用いてユーザのスマートカード１３０上で行ってよい。署名されるメッセージの一部は、既に割り当てられた（２４２）セッション鍵であってよい。この場合、署名されるメッセージは、適合結果及びセッション鍵からなる。各セッションにおいて、メッセージ及びデジタル署名は異なるものであり、このようにして、過去のメッセージを記録して適合の結果に関わらず正の応答を繰り返す等の悪用を防止する。デジタル署名は、ワークステーションのプライベート鍵を用いてセキュリティモジュール１２０上で行ってよい。この場合、署名されるメッセージにセッション鍵を含めることができる。続くステップは、マイクロコントローラ１０１を用いてスマートカードからホストコンピュータ１４０に適合結果を送信する（２７５）ことである。適合の結果が正である場合、ユーザの身元が確認され、これによってシステムへのアクセス手順が完結する。その後ホストコンピュータ１４０は、リソースへのアクセスの承諾を決定する。

図３では、ステーション証明を生成するために使用されるブロックスキームを示す。システムの構成要素は、ＳＡＭカード１２５として図示されているセキュリティモジュール、及び上述のいずれの形態におけるアクセス制御ブロック１００、ホストコンピュータ１４０及び証明発行者（ＣＡ）３１０であってよい。デジタル証明を用いて、両端間での通信に高い安全性を提供する。証明を送信することにより、証明の所有者は、通信の他端に対して自身の身元を証明する。ＣＡはデジタル証明を発行するエンティティであり、これは両端（信頼された第三者）、即ち証明の所有者及び証明を利用する者に信頼されている。物理アクセス制御の場合であるか論理アクセス制御の場合であるかに関わらず、ホストコンピュータがコンピュータネットワークを介してＣＡに接続されることを含む応用状況では、このプロセスはシステム初期化中に行われ、システムへの最初のログインの前に作業ステーション証明の生成が必要となり、またこれはセキュリティモジュールに記憶される。

図４では、システム初期化プロセス中のワークステーション証明４１０の生成プロセス（４１０）及びシステムの一意ハードウェア識別子の記憶プロセス（４２０）を示す。この図はアクセス制御に先立つ手順を示し、セキュリティモジュール上に記憶された証明及び鍵の起源を説明する。公開鍵とプライベート鍵とのペアの生成（４１１）はセキュリティモジュール１２０上で行われる。プライベート鍵、即ち秘密鍵は、その生成場所（この場合はセキュリティモジュール上）に記憶され、鍵の所有者以外は誰も利用できない。

鍵の所有者は、データ暗号化及びデジタル署名のために自身のプライベート鍵を使用し、このようにして、暗号化されたデータ又は署名されたデータが鍵所有者に由来するものであることを認める。公開鍵はデータ複合に使用され、これは公的に利用可能である。暗号化された又は署名されたメッセージを受け取る側は、復号化のために公開鍵を使用し、このようにして、上記メッセージが鍵の所有者に由来するものであることを確認する。次のステップでは、ホストコンピュータは証明署名要求を生成する（４１２）。次のステップは、マイクロコントローラ１０１を用いてホストコンピュータ１４０からセキュリティモジュール１２０に上記要求を送信する（４１３）ことである。セキュリティモジュールは、既に生成されたプライベート鍵を用いてこの要求にデジタル署名し（４１４）、その後マイクロコントローラ１０１を用いて、署名された要求をホストコンピュータ１４０に送信する（４１５）。ホストコンピュータ１４０は証明発行要求によってＣＡ３１０をアドレス指定する（４１６）。ＣＡ３１０は証明を生成し（４１７）、この証明はホストコンピュータに送信される（４１８）。ホストコンピュータは証明を受け取ると、マイクロコントローラを用いてこの証明をセキュリティモジュール１２０に送信する（４１９）。一意ハードウェア識別子の生成はホストコンピュータ上で行われ（４２１）、これは、ホストコンピュータがそのハードウェアに関する必要な情報を書き込むことによって行われる。これに続いて、マイクロコントローラ１０１を用いてホストコンピュータ１４０からセキュリティモジュール１２０に一意ハードウェア識別子が送信され（４２２）、この一意ハードウェア識別子はセキュリティモジュール上に記憶される（４２３）。

図５は、ユーザの証明を生成するためのブロックスキームを示す。システムの構成要素（parts）は、ユーザのスマートカード１３０、カード製造プロセスで使用されるスマートカードリーダ５１０、カード製造プロセスで使用されるコンピュータ５２０及びＣＡ３１０である。

図６は、ユーザの証明を生成するプロセスを示す。このプロセスは、スマートカードの個人用設定プロセスの前又は上記プロセス中に行われる。本プロセスは、ユーザのスマートカード上での公開鍵及びプライベート鍵の生成（６１１）によって開始される。続いてホストコンピュータは、証明署名要求（Ｃｅｒｔｉｆｉｃａｔｅ Ｓｉｇｎｉｎｇ Ｒｅｑｕｅｓｔ：ＣＳＲ）を生成する（６１２）。その後、製造プロセス中のコンピュータ５２０から製造プロセス中のスマートカードリーダ５１０を通してユーザスマートカード１３０へと上記要求が送信される（６１３）。ユーザスマートカードは、既に生成されたプライベート鍵を用いて上記要求にデジタル署名し（６１４）、この後、署名された要求６１５は、製造プロセス中のスマートカードリーダ５１０を用いて、製造プロセス中のコンピュータ５２０に送信される。コンピュータ５２０は証明署名要求によってＣＡ３１０をアドレス指定する（６１６）。ＣＡ３１０は証明を生成し（６１７）、これを製造プロセス中のコンピュータに送信する（６１８）。コンピュータは証明を受け取ると、スマートカードリーダ５１０を用いてユーザスマートカード１３０に証明を送信する（６１９）。

高安全性生体認証アクセス制御のための上述のシステム及び方法は、認証されたユーザのプライバシーを維持し、その他の起こり得る悪用を防止しながら、独立した又はネットワーク接続されたリソースへの高安全性アクセスのためのシステムの実装を保証する。

Claims (15)

1. 高安全性アクセス制御のためのシステムであって：
   ―前記システムにアクセスしようとするユーザの指紋をスキャンするための指紋スキャナ；
   ―スマートカードリーダであって、前記システムは前記スマートカードリーダを介してユーザスマートカードと通信する、前記スマートカードリーダ；
   ―データメモリ、プログラムメモリ及び通信チャネルを備える処理用プロセッサユニットであって、前記通信チャネルを介して前記指紋スキャナ、前記スマートカードリーダ及びホストコンピュータに接続される、前記プロセッサユニット；
   ―ユーザのスマートカードであって、それ自体のデータ及びプログラムメモリを備える別のプロセッサユニットを含み、前記プログラムメモリにはユーザ証明と、基準指紋に関する記録を含むユーザに関するデータとが記憶され、前記基準指紋に対するスキャンした指紋の適合が行われる、前記ユーザのスマートカード；並びに
   ―保護されたリソースが記憶され、ユーザが前記リソースにアクセスするホストコンピュータであって、他の保護されたリソースへのアクセスのために使用される、前記ホストコンピュータ
   を備え、
   前記ホストコンピュータの基準一意ハードウェア識別子、システム証明、公開鍵及びプライベート鍵に関するデータは、セキュリティモジュールに記憶され、
   前記セキュリティモジュールにおいて、前記基準一意ハードウェア識別子に対する一意ハードウェア識別子の適合が行われる、前記高安全性アクセス制御のためのシステム。
2. 前記ユーザのスマートカードと前記スマートカードリーダとの間の前記通信チャネルは、非接触型である、請求項１に記載の高安全性アクセス制御のためのシステム。
3. 前記システムは、ユーザ宛てのメッセージを表示するために使用される光学ディスプレイを含む、請求項１又は２に記載の高安全性アクセス制御のためのシステム。
4. 前記システムは、前記システムの前記ユーザによるデータ入力に使用されるキーボードを含む、請求項３に記載の高安全性アクセス制御のためのシステム。
5. 前記光学ディスプレイは、データ入力機能を有するタッチスクリーンディスプレイである、請求項３又は４に記載の高安全性アクセス制御のためのシステム。
6. 前記セキュリティモジュールは、前記システムに入ることができるユーザのリストを記憶している、請求項１に記載の高安全性アクセス制御のためのシステム。
7. セキュリティモジュール上に記憶された基準一意ハードウェア識別子に対する、一意ハードウェア識別子の適合を行い、
   システム証明の検査を行い、
   前記２つの検査が成功した場合、更なるユーザ証明確認と、ユーザのスマートカード上に記憶された基準指紋に対するスキャンした指紋の適合とを行う、高安全性生体認証アクセス制御のための方法。
8. ユーザのデータは、パスワードで保護された前記ユーザのスマートカードに記憶され、
   ホストコンピュータの一意ハードウェア識別子及び前記システム証明の検査後に、前記パスワードの検査が必要であり、
   前記パスワードの検査が成功しなかった場合、ユーザアクセスは拒否される、請求項７に記載の高安全性生体認証アクセス制御のための方法。
9. 前記システムにアクセスしようとする前記ユーザの前記スキャンした指紋の、前記ユーザのスマートカード上に記憶された前記基準指紋に対する前記適合の結果に関するメッセージは、転送され、前記ユーザのスマートカードのプライベート鍵でデジタル署名される、請求項７に記載の高安全性生体認証アクセス制御のための方法。
10. 前記システムにアクセスしようとする前記ユーザの前記スキャンした指紋の、前記ユーザのスマートカード上に記憶された前記基準指紋に対する前記適合の結果に関するメッセージは、前記ホストコンピュータに転送され、セキュリティモジュール上に記憶された前記システムのプライベート鍵でデジタル署名される、請求項７に記載の高安全性生体認証アクセス制御のための方法。
11. 前記ホストコンピュータは、前記システムにアクセスしようとする前記ユーザの前記スキャンした指紋の、前記ユーザのスマートカード上に記憶された前記基準指紋に対する前記適合の結果に関するデジタル署名された前記メッセージの一部として使用できるセッション鍵を割り当て、これにより、前記メッセージの一意性及び前記アクセス制御方法の更なる安全性を提供する、請求項９又は１０に記載の高安全性生体認証アクセス制御のための方法。
12. 前記証明確認は、前記ホストコンピュータ上で局所的に行われる、請求項７に記載の高安全性生体認証アクセス制御のための方法。
13. 前記証明確認は、ローカルホストに接続された証明発行者において行われる、請求項７に記載の高安全性生体認証アクセス制御のための方法。
14. 前記システムにアクセスしようとする前記ユーザに関する前記指紋の確認が成功した後、前記ホストコンピュータ上でアクセス許可が行われる、請求項７に記載の高安全性生体認証アクセス制御のための方法。
15. 前記システムにアクセスしようとする前記ユーザに関する前記指紋の確認が成功した後、認証されたアクセスを有するユーザのリストに基づいて、前記システムの前記セキュリティモジュール上でアクセス許可が行われる、請求項７に記載の高安全性生体認証アクセス制御のための方法。