JP2019508816A - 攻撃耐性生体認証デバイス - Google Patents

Abstract

生体認証デバイスは、生体認証センサ１３０と、生体認証センサ１３０からの出力信号を受信するための処理ユニット１２８と、１つ以上の保護された機能とを備える。生体認証センサ１３０を通して処理ユニット１２８に供給された生体認証データを介した認証ユーザの識別に応答して、デバイスの保護された機能へのアクセスが可能になり、デバイスは、生体認証センサ１３０の出力信号を認証ユーザのための以前の出力信号に基づいて記憶されたデータと比較するように構成される。出力信号が以前の出力信号の１つと同一であると分かった場合には、保護された機能へのアクセスは許可されない。
【選択図】図１

Description

本発明は、不正使用に対する改善された耐性を備えた生体認証デバイス、およびこのような生体認証デバイスを制御するための方法に関する。

指紋認証スマートカードなどの生体認証デバイスは、ますます、より広く使用されるようになっている。生体認証が提案されたスマートカードとしては、例えば、アクセスカード、クレジットカード、デビットカード、プリペイドカード、ポイントカード、身分証明書、暗号カードなどが挙げられる。スマートカードは、例えばＲＦＩＤなどの非接触技術を介して、データを記憶し、ユーザおよび／または外部デバイスと相互作用する機能を備えた電子カードである。これらのカードは、アクセスを可能にしたり、取引などを認証するために、センサと相互作用して情報を伝達することができる。指紋認証などの生体認証を使用する他のデバイスも知られており、これらはコンピュータメモリデバイス、ビルアクセス制御デバイス、軍事技術、車両などを含む。

他のデバイスはまた、例えば車両のキーレスエントリーシステムのためのフォブなどの、制御トークン用にも提案されている生体認証を用いて強化することができる。車両では、リモートキーレスエントリーシステムが、物理的接触なく標準車のキーの機能を実行する。システムはまた、トランクを開ける、エンジンを始動するなどの他の機能を実行することができる。同様の制御トークンは、他のアクセス制御状況、および例えば電気デバイスを作動させるために無線伝送を使用する外部システムとの相互作用を必要とする他の目的のために使用することができる。このようなデバイスについて、生体認証、例えば指紋認証を含めることが提案されている。この場合、制御トークンの一部またはすべての機能は、ユーザの身元が生体認証センサを介して認証された後にのみ利用可能となる。

生体認証センサを用いてさえも、デバイスのセキュリティへの攻撃は依然として可能である。このような攻撃としては、デバイスの完全性への物理的攻撃、およびコンピュータに基づくデバイスの「ハッキング」および／またはデバイスと相互作用する外部システムが挙げられる。いくつかの保護は、デバイスと外部システムとの間の暗号化された通信の使用によって提供することができる。デバイスの内部プロセッサまたはコントローラ間の暗号化されたデータ転送も提案されている。それにもかかわらず、生体認証デバイスのセキュリティへの攻撃に対する耐性を改善する必要性が引き続き残っている。

第１の態様から見ると、本発明は、生体認証センサと、生体認証センサからの出力信号を受信するための処理ユニットと、１つ以上の保護された機能とを含む生体認証デバイスを提供し、生体認証センサを通して処理ユニットに供給された生体認証データを介して認証ユーザの識別に応答して、デバイスの保護された機能へのアクセスが可能にされ、デバイスは、生体認証センサの出力信号を、認証ユーザのための以前の出力信号に基づいて記憶されたデータと比較するように構成され、出力信号が以前の出力信号の１つと同一であることが分かった場合には、保護された機能へのアクセスは許可されない。

このデバイスは、認証経路に挿入された偽の信号の使用から保護されている。認証なくセキュアデバイスにアクセスすることを試みる一般的な方法は、以前のデバイスの使用中に有効な信号を記録し、偽の信号が以前の信号をコピーして偽の信号を認証経路に挿入することによってシステムを攻撃することである。このタイプの攻撃は、「スニファ」攻撃と呼ばれることもある。このような偽の信号は、以前の信号と同一であり、そうでなくても保護された機能へのアクセスを可能にし得る。同一の信号が拒絶されて、センサからの出力信号と以前の出力信号との比較の提案された使用は、生体認証センサからの現実世界の出力信号が、同じユーザを識別する複数の例について決して同一でないという現実化に基づく。ユーザが生体認証のために自分自身をどのようにデバイスに提示するか、および生体認証センサの通常の動作から生じる何らかのノイズなどには、常にいくつかのバリエーションがある。したがって、直観に反して、以前の生体認証測定値と同一である生体認証データを拒絶する必要がある。

上記のように暗号化されたデータを使用することによって生体認証デバイスを保護することはもちろん可能である。しかし、生体認証センサ自体は一般に論理的には暗号化できないため、センサからのデータ信号はプロセッサに到達するまで暗号化され得ない。したがって、これは、センサからの暗号化されていない信号が処理ユニットに渡されるときに潜在的な弱点をもたらす。生体認証デバイスは、もちろん通常、この暗号化されていない信号を伝達する物理的接続へのアクセスを制限するように構成され、そして好ましくは、処理ユニットは、容易にアクセスされ得ない電気的接続を備えた生体認証センサに近接しており、例えばプラスチックなどに封入され得るが、それにもかかわらず、デバイスへの熟練した攻撃が、暗号化されていないデータのための信号経路にアクセスすることができ、それによって出力信号を記録して記録された信号を用いたデバイスの不正使用を許すことは相変わらず可能性がある。同一の信号に対する提案された比較およびチェックは、この可能性を防ぐ。

例示の実施形態では、デバイスは、生体認証センサから処理ユニットに送信された出力信号に由来する信号チェックパラメータを提供するための信号チェックモジュールを含み、信号チェックパラメータは、処理ユニットが生体認証センサからの出力信号と、デバイスに記憶されている多数の過去の信号チェックパラメータとを受信するたびに使用される同じ関数を備えた出力信号の関数として決定され、デバイスは、新たな出力信号が処理ユニットに提示された場合に新たな信号チェックパラメータが決定されるように構成され、新たな信号チェックパラメータは、記憶された信号チェックパラメータと比較され、新たな信号チェックパラメータが、記憶された信号チェックパラメータの１つと同一である場合には、セキュアエレメントの保護された機能へのアクセスは許可されない。

信号チェックパラメータは、同一の出力信号が、デバイスに記憶された多数の以前の信号チェックパラメータとの比較に基づいて、デバイスによって容易に見られることを許す。

この文は、チェックサム型の計算の可能性を優先オプションとして説明する前に、より面倒な比較が使用することができることを明確にする。

出力信号と過去の出力信号との比較は、認証ユーザをチェックするための従来の生体認証比較と同様の方法で行われてもよく、主な違いは、同一または非常に類似した信号に対して一致が見つからないことである。したがって、信号チェックモジュールが使用されると、信号チェックモジュールによって使用される関数は、信号チェックパラメータを備えた従来の生体認証アルゴリズムと類似しており、したがって生体認証用の信頼スコアに等しく、複数の以前に記憶された測定値と比較される。この場合、デバイスは、以前に記録されたパラメータの１つと同一またはあまりにも類似した、すなわち、以前に記録された生体認証データ信号に近すぎる出力データを備えた生体認証試行を拒絶する一方同時に、あまりにも類似してない一致を定義する設定閾値内にある生体認証試行を受諾する。しかし、このプロセスは、複数の記憶された以前の生体認証テンプレートに基づいて生体認証を本質的に実行することを含み得るため、煩雑で潜在的に遅く、偽のネガティブをもたらし得る。これはまた、過去の信号チェックパラメータのための比較的大きな記憶容量を必要とする。

別の例では、好ましい実施形態で使用されるように、出力信号と過去の出力信号との比較は、出力信号および過去の出力信号の単純化された表現に基づいて行われる。信号チェックモジュールが使用されると、信号チェックモジュールによって使用される関数は、信号チェックパラメータとして数値を提供する。これは、大きなメモリ容量の必要性なく、多数の過去の信号チェックパラメータの記憶を可能にする。それはまた、新たな出力信号と古い出力信号との比較が非常に速いことを意味する。信号の単純化された表現は、チェックサム計算に基づくことができ、したがって、信号チェックモジュールは、信号チェックパラメータがチェックサムであるチェックサム計算モジュールであり得る。チェックサムは、生体認証センサからといわれる出力信号が以前の出力信号といつ同一であるかを示すための迅速で効果的なチェックを提供し、したがって、以前の信号の記録に基づく偽の信号である可能性が最も高い。

チェックサムを用いて、処理ユニットに入る信号はチェックサム計算を受ける。このチェックサムは、生体認証の読み取りが行われるたびに記憶される。限定された数のチェックサムがいつでも一時的に記憶され、記憶は、新たな良好な測定値が見つかったとき、すなわちユーザが認証ユーザとして識別されたときに更新され得る。新たな測定値が得られると、新たなチェックサムが以前のチェックサムと比較される。新たなチェックサムが以前のチェックサムと同じであると、これは新たな測定値が偽であることの一応の証拠である。

デバイスの保護された機能は、生体認証のセキュリティを必要とする任意の機能であり得る。これには、１つ以上の、デバイスと外部システムとの間の通信を可能にすること、例えば、非接触通信、一定のタイプのデータを外部システムに送信すること、デバイスの、金融取引に使用されるセキュアエレメントなどのセキュアエレメントへのアクセスを可能にすること、デバイスと外部システムとの間のトランザクションを許可すること、デバイスに記憶されたデータへのアクセスなどを可能にすることが挙げられる。

処理ユニットは、デバイスの制御システムに接続されていてもよいし、デバイスの制御システムの一部であってもよい。別の制御システムがあると、好ましくは、処理ユニットは暗号化されたデータを用いて制御システムと通信する。

セキュアエレメントは、制御システムの一部としてデバイスに含まれていてもよく、および／または、好ましくは、セキュアエレメントと制御システムとの間の暗号化された通信を備えた制御システムに接続されていてもよい。セキュアエレメントは、例えば、銀行カードに使用されるような金融取引のためのセキュアエレメントであってもよい。

制御システムは、生体認証照合アルゴリズムを実行するように構成され得、登録された生体認証データを記憶するためのメモリを含むことができる。デバイスの制御システムは、複数のプロセッサを含むことができる。これは、生体認証センサから信号を受信する処理ユニットを含むことができる。他のプロセッサは、他のデバイスとの通信（例えば、非接触技術を介して）、受信機／送信機の起動および制御、セキュアエレメントの起動および制御など、デバイスの基本機能を制御するための制御プロセッサを含むことができる。種々のプロセッサは、別のハードウェア要素に具体化されてもよく、または単一のハードウェア要素に、もしかすると別のソフトウェアモジュールと共に組み合わされていてもよい。

生体認証センサは、任意の適切な生体測定を用いて、ユーザの身元をチェックしてもよい。例示の実施形態では、指紋認証が使用される。これは、車両キーフォブなどの既存の類似の制御トークンと比べて、制御トークンのサイズを増やすことなく、低電力使用で実施することができる。

したがって、生体認証センサは、指紋センサであってもよい。好ましい実施形態では、制御システムおよび／または処理ユニットは、指紋センサに提示された指の指紋に対する登録プロセスも照合プロセスも実行することが可能であってもよい。

デバイスは、人によって持ち運ばれるように設計されたデバイス、好ましくは便利に持ち運ばれるに十分に小型で軽いデバイスを意味するポータブルデバイスであってもよい。デバイスは、例えば、ポケット、ハンドバッグまたは財布内で持ち運ばれるように構成され得る。デバイスは、指紋認証可能なＲＦＩＤカードなどのスマートカードであってもよい。デバイスは、コンピュータシステムへのアクセスのためのワンタイムパスワードデバイスまたは車両キーレスエントリシステム用フォブなどの、制御トークンの外部のシステムへのアクセスを制御するための制御トークンであってもよい。デバイスはまた、好ましくは、有線の電源に依存しないという意味で携帯可能である。デバイスは、内部電池によって、および／またはＲＦＩＤリーダなどのリーダなどから非接触で収集された電力によって給電されてもよい。

デバイスは、専用のデバイス、すなわち、単一の外部システムまたはネットワークと相互作用するためのデバイス、または、単一のタイプの外部システムまたはネットワークと相互作用するためデバイスであって、他のどんな目的も有しないデバイスであってもよい。したがって、デバイスは、スマートフォンなどの複雑で多機能なデバイスと区別されるべきである。それにもかかわらず、デバイスは、複数の動作モードを有することができ、各々は、同じタイプの外部システムまたはネットワークと相互作用すること、例えば、２つの異なる銀行口座用カードとして動作する能力、またはアクセスカードまたは支払カードとしてＮＦＣデバイスと相互作用する能力を含む。

デバイスがスマートカードであると、スマートカードは、アクセスカード、クレジットカード、デビットカード、プリペイドカード、ポイントカード、身分証明書、暗号カードなどのいずれか１つであってもよい。スマートカードは、好ましくは、８５．４７ｍｍ〜８５．７２ｍｍの幅と、５３．９２ｍｍ〜５４．０３ｍｍの高さとを有する。スマートカードは、０．８４ｍｍ未満、好ましくは約０．７６ｍｍ（例えば±０．０８ｍｍ）の厚さを有していてもよい。より一般的には、スマートカードは、スマートカード用の仕様であるＩＳＯ７８１６に準拠してもよい。

デバイスが制御トークンである場合、例えば車両用のキーレスエントリキーであってもよく、この場合、外部システムは車両および／または点火システムのロック／アクセスシステムであってもよい。外部システムは、より広義には、車両の制御システムであってもよい。制御トークンは、単に認証ユーザの生体認証識別に応答して送信される車両の機能へのアクセスを与える無線周波数信号を備えたマスターキーまたはスマートキーとして機能することができる。あるいは、制御トークンは、デバイスが認証ユーザを識別する場合に、単に送信され得る車両のロック解除のための信号を備えたリモートロック型キーとして機能することができる。この場合、認証ユーザの識別は、従来技術のキーレスエントリタイプのデバイスのロック解除ボタンを押すのと同じ効果を有することができ、車両のロック解除のための信号は、認証ユーザの識別の際に自動的に送信され得るか、または制御トークンが認証ユーザの認証によって起動されたときにボタン押しに応答して送信され得る。

好ましくは、デバイスは、生体認証を介してユーザを識別するために使用されるデータを抽出することが不可能であるように構成される。このタイプのデータをデバイスの外部に送信することは、デバイスのセキュリティに対する最大のリスクの１つと考えられる。

生体認証データをデバイスの外部に伝達する必要性を避けるために、デバイスは自己登録することができてもよい、すなわちデバイスは、生体認証センサを介して生体認証データを得ることによって認証ユーザを登録するように構成することができる。これはまた、同じ幾何学的形状を備えた同じセンサが生体認証のように登録のために使用されるという事実から生じる利点を有する。生体認証データは、異なるデバイス上の異なるセンサが登録のために使用される場合と比べて、このようにしてより一貫して得られる。生体認証、特に指紋では、１つの問題は、最初の登録が専用の登録端末などの１か所で行われ、照合のためのその後の登録が、一致が必要な端末などの別の場所で行われるときに再現可能な結果を得ることが難しいということである。各指紋センサの周りのハウジングの機械的特徴は、複数のセンサのいずれか１つによって読み取られるたびに指を一貫した方法で案内するように慎重に設計されなければならない。指紋が、各々がわずかに異なる多数の異なる端末でスキャンされると、指紋の読み取りにエラーが生じ得る。逆に、同じ指紋センサが毎回使用されると、このようなエラーが生じることが減る可能性がある。

提案されたデバイスによれば、照合スキャンも登録スキャンも、同じ生体認証センサを用いて実行されてもよい。その結果、例えば、ユーザが、登録中に指を指紋センサに横バイアスで提示する傾向があると、照合中もそう行う可能性があるため、スキャンエラーを相殺することができる。

制御システムは、ユーザが生体認証センサを介して生体認証データを登録し、登録中に生成された生体認証データがメモリに記憶される登録モードを有していてもよい。制御システムは、デバイスがユーザに最初に提供されるときにユーザが自分の生体認証データをすぐに登録することができるように登録モードにあってもよい。最初に登録されたユーザは、例えば、識別が確認された後に、デバイスの入力デバイス上の入力を介して、追加されるその後のユーザのための登録モードを後で促す機能が提供され得る。あるいは、またはさらに、デバイスと、製造業者または別の認証法人によって制御される安全な外部システムであり得る安全な外部システムとの間の相互作用などの外部手段を介して制御システムの登録モードを促すことができ得る。

第２の態様から見ると、本発明は、生体認証センサを有する生体認証デバイスを保護するための方法、生体認証センサからの出力信号を受信するための処理ユニット、および１つ以上の保護された機能を備えたセキュアエレメントを提供し、生体認証センサを通して処理ユニットに供給される生体認証データを介して認証ユーザの識別に応答して、デバイスのセキュアエレメントの保護された機能へのアクセスが可能にされ、方法は、認証ユーザとして識別されたユーザから受信された出力信号に基づいてデータを記憶する工程と、新たな出力信号が受信されるときに、生体認証センサの新たな出力信号を記憶されたデータと比較する工程と、出力信号が以前の出力信号の１つと同一であると分かった場合には、セキュアエレメントの保護された機能へのアクセスを可能にしない工程とを含む。

方法は、第１の態様に記載のデバイス上で、および任意に上記他の機能のいずれかを用いて実行されてもよい。方法はまた、新たな出力信号が記憶された出力信号の１つにあまりにも類似している場合、保護された機能へのアクセスを許可しない工程を含むことができる。

例示の実施形態では、デバイスは、生体認証センサから処理ユニットに送信された出力信号に由来する信号チェックパラメータを提供するための信号チェックモジュールを含み、方法は、信号チェックパラメータが、処理ユニットが生体認証センサからの出力信号を受信するたびに使用される同じ関数を備えた出力信号の関数であることを決定する工程と、認証ユーザのための多数の過去の信号チェックパラメータを記憶する工程と、新たな出力信号が処理ユニットに提示される場合には、新たな信号チェックパラメータを決定する工程と、新たな信号チェックパラメータを記憶された信号チェックパラメータと比較する工程と、新たな信号チェックパラメータが記憶された信号チェックパラメータの１つと同一である場合には、セキュアエレメントの保護された機能へのアクセスを可能にしないことを含む。

信号の比較および／または信号チェックモジュールの実施は、上記のようなものであってもよく、したがって、方法は、チェックサムパラメータを使用する工程を含んでもよい。

第３の態様から見ると、本発明は、生体認証センサと、生体認証センサからの出力信号を受信する処理ユニットとを含む生体認証デバイスのためのコンピュータプログラム製品であって、デバイスのセキュアエレメントの保護された機能へのアクセスが、認証ユーザの識別に応答して、生体認証センサを通して処理ユニットに供給された生体認証データを介して可能にされ、コンピュータプログラム製品は、処理ユニット上で実行されると、処理ユニットが、認証ユーザとして識別されたユーザから受信された出力信号に基づいてデータを記憶し、新たな出力信号が受信されるときに、生体認証センサの新たな出力信号を記憶されたデータと比較し、出力信号が以前の出力信号の１つと同一であると分かった場合には、セキュアエレメントの保護された機能へのアクセスを可能にしないように構成する命令を含む。

コンピュータプログラム製品は、第１の態様に記載のデバイスおよびオプションで上記任意の他の機能を備えたデバイス上の実行のためであってもよい。コンピュータプログラム製品は、第２の態様の方法およびオプションで上記任意の他の方法の工程を実行するように処理ユニットを構成してもよい。

本発明のある好ましい実施形態を、例示のみを意図して、添付の図面を参照して、以下に、より詳細に説明する。

指紋スキャナを介する生体認証を組み込んだパッシブＲＦＩＤデバイスのための回路である。 指紋スキャナを組み込んだ外部ハウジングを有するパッシブＲＦＩＤデバイスの第１の実施形態である。 指紋スキャナが積層カード本体から露出されるパッシブＲＦＩＤデバイスの第２の実施形態である。 指紋認証無線制御トークンの概略図である。

好ましい実施形態は、生体認証システム１２０がチェックサム計算モジュール１２９の形態の信号チェックモジュールによって「スニファ」タイプの攻撃から保護される生体認証デバイス１０２の使用に関する。チェックサム計算モジュール１２９は、生体認証システム１２０の生体認証センサ１３０からの出力信号を受信し、これを用いてチェックサムを生成する。多数のチェックサムが記憶され、次いで将来の出力信号からのチェックサムが記憶されたチェックサムと比較される。このようにして、チェックサムは、生体認証センサとデバイスの処理ユニット１２８との間でまったく同じ電気信号の不正使用を示す類似または同一の信号を見つけるために使用される。図１、２および３では、生体認証デバイス１０２は、スマートカードであり、図４では、無線制御トークンである。

これらの例では、スマートカード１０２または制御トークン１０２の機能への完全なアクセスが許可される前に、指紋センサ１３０が生体認証を提供するために使用される。この指紋センサ１３０は、専用処理ユニット１２８も含む指紋認証モジュール１２０の一部として提供される。処理ユニット１２８は、いつユーザの身元が生体認証機能により確認されたかを示すために、生体認証デバイス１０２の他のプロセッサ／コントローラと相互作用する。例えば、処理ユニット１２８は、図１の制御回路１１４または図４の制御モジュール１１３と相互作用し、この通信は暗号化することができる。センサ１３０と処理ユニット１２８との間の通信は、センサ１３０が処理ユニット１２８への出力信号を変更する能力を有していないため、暗号化することができない。

したがって、センサ１３０と処理ユニット１２８との間を通過する信号を記録し、次いで複製することによって、デバイスへの攻撃のリスクが生じる。このようにして、「スニファ」攻撃は、認証ユーザの身元が確認されるときに、生成した信号を記録することができ、次いで、デバイス１０２の生体認証機能により保護された機能に対するアクセスを不正に得る意図でそれらの信号を再生することができる。生体認証デバイス１０２がこのような攻撃に耐えることを可能にするために、処理ユニット１２８は、チェックサム計算モジュール１２９を含む。

センサ１３０から処理ユニット１２８に渡されたデジタル信号は、チェックサム計算モジュール１２９によって実行されるチェックサム計算を受ける。このチェックサムは、生体測定読み取りが認証ユーザから行われるたびに記憶される。一定数のチェックサムが、例えば処理ユニット１２８のメモリに、いつでも一時的に記憶される。チェックサムの最初のセットは、ユーザの登録中に得ることができ、またはデバイス１０２の最初の使用中に集めることができる。新たな生体認証測定値が得られると、チェックサムが以前のそれと比較される。新たな生体認証測定値のためのチェックサムが以前のそれと同じかまたは非常に類似していると、これは新たな生体認証測定値が偽であることを示す一応の証拠である。これは、指紋などの生体認証データは本来非常に変わりやすく「ノイズが多い」ため、ほんの数ビットだけ異なる測定値を生成することはほとんどないからである。チェックサム計算はこれをより鮮やかに示し、結果は、同じ人について異なる測定値の間でまったく異なるはずである。すなわち、同じ指を備えた同じユーザによる２つの指紋認証が、高い信頼度で一致する指紋を生成する場合であっても、チェックサム計算から著しく異なる出力を生成するはずである。

疑いの合理的な確率内で一対の測定値が同じである唯一の方法は、後者の測定値が非生理学的な原因（おそらく、コンピュータなどのデジタルデバイス）によって生成され、本物の指からの測定値の結果ではなかった場合である。

このようにして、２つの測定値が同じチェックサムを生成すると、システムが傷つけられ、適切な措置が取られる可能性が高い。特に、処理ユニット１２８は、認証ユーザがいることを示すべきではなく、代わりに、カードリーダまたは外部システム１０４を介してアラートを送信する工程、および／または生体認証デバイス１０２を無効にする工程を含むセキュリティ手順を始めることができる。

図１は、チェックサム計算モジュール１２９を組み込んだパッシブＲＦＩＤ生体認証デバイス１０２のアーキテクチャを示す。駆動中のＲＦＩＤリーダ１０４は、アンテナ１０６を介して信号を送信する。信号は、典型的には、ＮＸＰ Ｓｅｍｉｃｏｎｄｕｃｔｏｒｓによって製造されたＭＩＦＡＲＥ（登録商標）およびＤＥＳＦｉｒｅ（登録商標）システムについては３．５６ＭＨｚであり得るが、ＨＩＤ Ｇｌｏｂａｌ Ｃｏｒｐ．によって製造された低周波ＰＲＯＸ（登録商標）製品については１２５ｋＨｚであり得る。この信号は、同調コイルおよびコンデンサを含むＲＦＩＤデバイス１０２２のアンテナ１０８によって受信され、次いで、ＲＦＩＤチップ１１０に渡される。受信信号は、ブリッジ整流器１１２によって整流され、整流器１１２のＤＣ出力は、チップ１１０からのメッセージングを制御する制御回路１１４に供給される。

制御回路１１４からのデータ出力は、アンテナ１０８に接続された電界効果トランジスタ１１６に接続されている。トランジスタ１６をオンとオフとにスイッチすることによって、信号をＲＦＩＤデバイス１０２によって送信し、リーダ１０４内の適切な制御回路１１８によって復号することができる。このタイプのシグナリングは、後方散乱変調として知られており、リーダ１０４がそれ自体への戻りメッセージに給電するために使用されるという事実によって特徴づけられる。

本明細書で使用される場合、「パッシブＲＦＩＤデバイス」という用語は、ＲＦＩＤチップ１１０が、例えばＲＦＩＤリーダ１１８によって生成されたＲＦ励起フィールドから収集されたエネルギーによってのみ給電されるＲＦＩＤデバイス１０２を意味すると理解すべきである。すなわち、パッシブＲＦＩＤデバイス１０２は、ＲＦＩＤリーダ１１８に依存して、ブロードキャストのためにその電力を供給する。パッシブＲＦＩＤデバイス１０２は通常、電池を含まないが、電池は回路の補助構成要素に給電するために含まれていてもよい（ただし、ブロードキャストはしない）。このようなデバイスは、しばしば「セミパッシブＲＦＩＤデバイス」と呼ばれる。

同様に、「パッシブフィンガープリント／生体認証エンジン」という用語は、ＲＦ励起フィールドから収集されたエネルギー、例えばＲＦＩＤリーダ１１８によって生成されたＲＦ励起フィールドのみによって給電される指紋／生体認証エンジンを意味すると理解すべきである。

アンテナ１０８は、この構成では、ＲＦＩＤリーダ１０４からのＲＦ信号を受信するように調整される誘導コイルおよびコンデンサを含む同調回路を備える。ＲＦＩＤリーダ１０４によって生成された励起フィールドに曝されると、電圧が誘導されるアンテナ１０８を横切る。

アンテナ１０８は、アンテナ１０８の各端に１つずつ、第１および第２の端部出力線１２２、１２４を有する。アンテナ１０８の出力線は、指紋認証エンジン１２０に接続され、指紋認証エンジン１２０に給電する。この構成では、整流器１２６が設けられ、アンテナ１０８によって受信された交流電圧を整流する。整流された直流電圧は、平滑コンデンサを用いて平滑化され、指紋認証エンジン１２０に供給される。

指紋認証エンジン１２０は、処理ユニット１２８と、チェックサム計算モジュール１２９と、好ましくは、図２および図３に示すエリア指紋センサ１３０とを含む。指紋認証エンジン１２０は受動的であるため、アンテナ１０８からの電圧出力のみによって給電される。処理ユニット１２８は、合理的な時間に生体認証照合を実行することができるように、非常に低電力かつ非常に高速であるように選ばれるマイクロプロセッサを備える。

指紋認証エンジン１２０は、指紋センサ１３０に提示された指または親指をスキャンし、処理ユニット１２８を用いて、スキャンされた指または親指の指紋を、予め記憶された指紋データと比較するように構成される。チェックサム計算モジュール１２９は、指紋センサ１３０が信号を処理ユニット１２８に送信するたびに、チェックサムを生成する。処理ユニット１２８は、指紋センサが認証ユーザを識別するときに得られた過去の出力信号に対する多数のチェックサムを記憶する。これは、例えば、５、１０または２０以上のチェックサムを記憶することを含む。新たな出力信号が受信されると、チェックサム計算モジュール１２９は新たなチェックサムを計算し、処理ユニット１２８はこのチェックサムを記憶されたチェックサムのすべてと比較する。新たなチェックサムが記憶されたチェックサムと同一であると、これは偽の信号を示し、スマートカード１０２の保護された機能へのアクセスは可能にされない。新たなチェックサムが記憶されたチェックサムと異なると、アクセスは、指紋が登録された指紋と一致する場合に、許可され得る。したがって、チェックサムが問題を示さないと、次いで、スキャンされた指紋が予め記憶された指紋データと一致するかどうかについて決定が行われる。好ましい実施形態では、指紋画像を捕捉し、登録された指を正確に認識するために必要な時間は１秒未満である。

一致が決定されると、ＲＦＩＤチップ１１０は、ＲＦＩＤリーダ１０４に信号を送信するよう認証される。図１の構成では、これは、ＲＦＩＤチップ１１０をアンテナ１０８に接続するスイッチ１３２を閉じることによって達成される。ＲＦＩＤチップ１１０は従来型であり、図１に示すＲＦＩＤチップ１０と同様に動作して、トランジスタ１１６をオンオフにスイッチすることによって後方散乱変調を用いてアンテナ１０８を介して信号をブロードキャストする。

図２は、ＲＦＩＤデバイス１０２の例示的なハウジング１３４を示す。図１に示す回路は、指紋センサ１３０のスキャン領域がハウジング１３４から露出されるように、ハウジング１３４内に収容される。図３は、図１に示す回路が、指紋センサ１３０のスキャン領域が積層本体１４０から露出されるようにカード本体１４０内に積層されている代替の実施を示す。

使用に先立って、ＲＦＩＤデバイス１０２のユーザは、最初に、「未使用」の、すなわち、予め登録された生体認証データを何も含まないデバイスに彼の指紋の日付を登録しなければならない。これは、彼の指を指紋センサ１３０に１回以上、好ましくは少なくとも３回、通常は５〜７回提示することによって行うことができる。低電力スワイプ型センサを使用する指紋用の例示的な登録方法は、国際公開２０１４／０６８０９０号に開示されており、当業者は、本明細書に記載のエリア指紋センサ１３０に適合させることができる。

ハウジング１３４またはカード本体１４０は、図２および３に示すＬＥＤ１３６、１３８など、ＲＦＩＤデバイスのユーザとの通信のためのインジケータを含むことができる。登録中、ユーザは、指紋が正しく登録されたかどうかをユーザに伝えるインジケータ１３６、１３８によって案内され得る。ＲＦＩＤデバイス１０２上のＬＥＤ１３６、１３８は、ユーザがＲＦＩＤデバイス１０２で受信した指示と一致する一連のフラッシュを送信することによって、ユーザと通信することができる。

いくつかの提示の後、指紋が登録され、デバイス１０２は、その元のユーザ１０２にのみ永久に応答することができる。

指紋認証では、１つの一般的な問題は、最初の登録が専用の登録端末のような１か所で行われるときに再現可能な結果を得ることが難しく、その後の照合のための登録が、照合が必要な端末などの別の場所で行われることである。各指紋センサ周りのハウジング１３４またはカード本体１４０の機械的特徴は、指を読み取るたびに一貫した方法で案内するように慎重に設計されなければならない。指紋が、各々がわずかに異なる多数の異なる端末でスキャンされると、指紋の読み取りにエラーが生じ得る。逆に、同じ指紋センサが毎回使用されると、このようなエラーが生じる可能性が減る。

上記のように、本デバイス１０２は、オンボードの指紋センサ１３０およびユーザ登録能力を有する指紋認証エンジン１２０を含むため、照合スキャンも登録スキャンも、同じ指紋センサ１３０を用いて実行することができる。その結果、ユーザが登録中に指を横バイアスで提示する傾向があると、照合中もそうする可能性があるから、スキャンエラーを相殺することができる。

したがって、ＲＦＩＤデバイス１０２とともに使用されるすべてのスキャンに対して同じ指紋センサ１３０を使用することにより、登録および照合のエラーが大幅に減り、したがってより再現性のある結果がもたらされる。

現在の構成では、ＲＦＩＤチップ１１０および指紋認証エンジン１２０のための電力は、ＲＦＩＤリーダ１０４によって生成された励起フィールドから収集される。すなわち、ＲＦＩＤデバイス１０２は、パッシブＲＦＩＤデバイスであるため、バッテリを有しないが、代わりに、基本的なＲＦＩＤデバイス２と同様の方法でリーダ１０４から収穫された電力を使用する。

第２のブリッジ整流器１２６からの整流された出力は、指紋認証エンジン１２０に給電するために使用される。しかし、これに必要な電力は、通常のＲＦＩＤデバイス２の構成要素の電力需要と比べて比較的高い。このため、以前、指紋センサ１３０をパッシブＲＦＩＤデバイス１０２に組み込むことができなかった。現在の構成では、ＲＦＩＤリーダ１０４の励起フィールドから収集された電力を用いて指紋センサ１３０に給電するために特別な設計の考慮が使用されている。

指紋認証エンジン１２０に給電しようとするときに生じる１つの問題は、典型的なＲＦＩＤリーダ１０４が、励起信号を着実に放出するのではなく、エネルギーを節約するように、その励起信号をオンオフのパルスにすることである。しばしば、このパルスは、定常放射によって放射された電力の１０％未満の有用エネルギーのデューティサイクルをもたらす。これは、指紋認証エンジン１２０に給電するには不十分である。

ＲＦＩＤリーダ１０４は、識別のために使用される近接カードを定義する国際標準であるＩＳＯ／ＩＥＣ１４４４３およびそれらと通信するための伝送プロトコルに準拠することができる。このようなＲＦＩＤデバイス１０４と通信するとき、ＲＦＩＤデバイス１０２は、下記これらのプロトコルのある特徴を利用して、ＲＦＩＤリーダ１０４からの励起信号を、必要な計算を実行するのに十分長い間連続的にスイッチすることができる。

ＩＳＯ／ＩＥＣ１４４４３−４標準は、近接カードのための伝送プロトコルを定義している。ＩＳＯ／ＩＥＣ１４４４３−４は、近接ＩＣカード（ＰＩＣＣ）、すなわちＲＦＩＤデバイス１０２と近接結合デバイス（ＰＣＤ）、すなわちＲＦＩＤリーダ１０４との間の最初の情報交換を指示し、一部、フレーム待ち時間（ＦＷＴ）をネゴシエートするために使用される。ＦＷＴは、ＰＩＣＣがＰＣＤ伝送フレームの終了後にその応答を開始する最大時間を定義する。ＰＩＣＣは、３０２μｓ〜４．９４９秒の範囲にわたるＦＷＴを要求するように工場で設定され得る。

ＩＳＯ／ＩＥＣ１４４４３−４は、ＰＣＤが、ＰＩＣＣに識別コードの提供を要求するなどのコマンドをＰＩＣＣに送信するとき、ＰＣＤは、ＲＦフィールドを維持し、応答のタイムアウトが生じたと決める前に、ＰＩＣＣからの応答のための少なくとも１つのＦＷＴ時間を待たなければならないと指示する。ＰＩＣＣがＰＣＤから受信したコマンドを処理するためにＦＷＴよりも多くの時間を必要とすると、ＰＩＣＣは待機時間延長（Ｓ（ＷＴＸ））の要求をＰＣＤに送信することができ、ＦＷＴタイマは完全な交渉価値。ＰＣＤは、タイムアウト条件を宣言する前に、別のフルＦＷＴ期間を待つ必要がある。

リセットＦＷＴが満了する前に、ＰＣＤにさらに待ち時間延長（Ｓ（ＷＴＸ））が送信されると、ＦＷＴタイマは再度完全なネゴシエーション値にリセットバックされ、ＰＣＤは、タイムアウト条件を宣言する前に、別のフルＦＷＴ期間を待つ必要がある。

待機時間延長要求を送信するこの方法を用いて、ＲＦフィールドを無期限に維持することができる。この状態が維持されている間、ＰＣＤとＰＩＣＣとの間の通信の進行が停止され、ＲＦフィールドを用いて、スマートカードの通信に典型的には関連づけられていない他のプロセス（指紋の登録や確認など）を駆動するように電力を収集する。

したがって、カードとリーダとの間の慎重に設計されたメッセージングによって、リーダから十分な電力を抽出して認証サイクルを可能にすることができる。この方法の電力収集は、特に指紋が登録されるべきときに、パッシブＲＦＩＤデバイス１０２のパッシブ指紋認証エンジン１２０に給電することの主な問題の１つを克服する。

さらに、この電力収集方法は、より大きい指紋スキャナ１３０、特に処理するのに計算的に集中しにくいデータを出力するエリア指紋スキャナ１３０を使用することを可能にする。

上記のように、ＲＦＩＤデバイス１０２の使用に先立って、デバイス１０２のユーザは、最初に、「未使用の」デバイス１０２に自分自身を登録しなければならない。登録後、ＲＦＩＤデバイス１０２は、このユーザにのみ応答する。したがって、意図されたユーザだけがＲＦＩＤデバイス１０２に指紋を登録することができることが重要である。

新たなクレジットカードまたはチップカードを郵便で受取人のための典型的なセキュリティ対策は、カードを１つの郵送物とカードに関連づけられたＰＩＮで別のものに送ることである。しかし、上記のように、生物測定により認証されたＲＦＩＤデバイス１０２の場合、このプロセスはより複雑である。ＲＦＩＤデバイス１０２の意図された受取人だけがその指紋を登録できることを保証する例示的な方法を下に記載する。

上記のように、ＲＦＩＤデバイス１０２およびＲＦＩＤデバイス１０２に関連する固有のＰＩＮは、別々にユーザに送信される。しかし、ユーザは、指紋をＲＦＩＤデバイス１０２に登録するまで、ＲＦＩＤカード１０２の生体認証の機能性を使用することができない。

ユーザは、非接触でカードを読み取り彼のＲＦＩＤデバイス１０２を端末に提示できるように装備されているＰＯＳ端末に行くように指示される。同時に、彼は彼のＰＩＮをキーパッドを通して端末に入力する。

端末は、入力されたＰＩＮをＲＦＩＤデバイス１０２に送信する。ユーザの指紋がまだＲＦＩＤデバイス１０２に登録されていないため、ＲＦＩＤデバイス１０２は、キーパッド入力をＲＦＩＤデバイス１０２のＰＩＮと比較する。２つが同じであると、カードは登録可能となる。

次いで、カードユーザは、上記の方法を用いて彼の指紋を登録することができる。あるいは、ユーザが自宅で利用可能な適切な電源を有する場合、ユーザは、ＲＦＩＤデバイス１０２を家に持ち帰り、後で生体認証登録手順を行うことができる。

ＲＦＩＤデバイス１０２は、いったん登録されると、ＰＩＮのない指紋を用いて非接触で使用され得るか、または行われる取引の量に応じてＰＩＮだけが使用され得る。

図４は、スマートカード１０２が無線制御トークン１０２と置換され、カードリーダ１０４が外部システムまたはデバイス１０４と置換されている代替の基本アーキテクチャを示す。追加されたチェックサム計算の動作に関して、制御トークン１０２とスマートカード１０２とは同様に動作し、同様に、制御トークン１０２と外部システム１０４との間の相互作用は、スマートカード１０２とカードリーダ１０４との間の相互作用とほぼ同じである。例えば、制御トークン１０２は車両のキーフォブであり得、したがって、外部システム１０４は車両であり得る。車両のキーレスエントリーフォブは、指定された異なるデジタル身元コードを備えた無線周波数を発する。キーのボタンを押したときに送信されるか、または車両への接近に応じて送信されるコードを車両が受信すると、車両はドアロックを開けること、そしてまたオプションで他の機能を可能にすることによって応答する。一部の車両は、従来のリモートキーレスエントリーキーに似ているが、車両に近接している余分な機能を備えた、いわゆるマスターキーまたはスマートキーを有する。マスターキーが車両の近くに存在する場合、車両のいくつかの機能はマスターキーの存在によってのみ有効になる。ドアロックは解放され、トランク／ブーツは解放され、エンジンはダッシュボードまたはセンターコンソールのどこかのボタンを押すだけで始動することができる。制御トークン１０２は、例えば、いずれかのタイプのキーとすることができる。

これらのキーが動作する方法は、典型的には、一意にコード化されたメッセージを周期的に（またはボタン押しに応じて）発信し、車両のＲＦユニットによって受信されるキーのＲＦ送信機を通してである。このメッセージのデューティサイクルは非常に小さいため、キー内のバッテリは常に動いているため長時間続き得る。車両とキーが合うと、上記の機能はアクティブになる。

外部システム１０４は、制御トークン１０２からの送信を受信するためのトランシーバ１０６を含む。外部デバイスは、無線周波数受信機を含むことが必要であり、トランシーバ１０６によって提供されるような送信能力も有することがオプションである。外部システム１０４はまた、トランシーバ１０６と通信するアクセス制御要素１１８を含む。トランシーバ１０６が適切な信号を受信すると、それはアクセス制御要素１１８へのアクセスを許可し、および／またはアクセス制御要素１１８のある機能を作動させる。外部システム１０４が車両である例では、アクセス制御要素１１８は、ドアロック、車両点火システムなどを含み得る。制御トークン１０２は、車両用のキーレスシステムの公知の使用法にしたがって、ユーザが外部システム１０４として機能する車両の機能を作動および／またはアクセスすることを許可することができる。

無線制御トークン１０２は、無線周波数信号を外部システム１０４のトランシーバに送信するためのトランシーバ１０８を含む。無線制御トークン１０２は、無線周波数送信機を含むことが必要であり、トランシーバ１０８によって提供されるような送信能力も有することがオプションである。無線制御トークン１０２は、指紋認証エンジン１２０の形態の制御モジュール１１３および生体認証モジュールをさらに含む。バッテリなどの電源（図示せず）が、トランシーバ１０８、制御モジュール１１３、および指紋認証エンジン１２０に給電するために使用される。

指紋認証エンジン１２０は、処理ユニット１２８と、エリア指紋センサであり得る指紋センサ１３０とを含む。処理ユニット１２８は、合理的な時間内に生体認証照合を実行することができ、電源の寿命を最大にすることができるように、非常に低電力かつ非常に高速であるように選ばれるマイクロプロセッサを備える。処理ユニット１２８は、制御モジュール１１３の一部であってもよく、すなわち一般的なハードウェア上におよび／または一般的なソフトウェア要素を用いて実装されてもよいが、典型的には、別であり、指紋センサ１３０に接続された専用プロセッサである。チェックサム計算モジュールは、上記のように、指紋センサ１３０からの信号をチェックするために処理ユニット１２８に設けられている。

指紋認証エンジン１２０は、指紋センサ１３０に提示された指または親指をスキャンし、スキャンされた指または親指の指紋と記憶された参照指紋データとを、処理ユニット１２８を用いて比較するように構成されている。記憶された参照指紋データは、処理ユニット１２８または制御モジュール１１３内の不揮発性メモリに暗号化された形態で記憶される。チェックサムモジュール１２９は、「スニファ」攻撃で集められたデータを用いて、制御トークン１０２の機能へのアクセスの不正試行を識別するために、センサ出力が記憶された以前の測定値と同一または非常に類似していないことをチェックする。次いで、例えば、指紋テンプレートおよび細目の照合を用いて、スキャンされた指紋が参照指紋データと一致するかどうかの判定が行われる。理想的には、指紋画像の捕捉、チェックサム計算の実行、および登録された指の正確な認識に必要な時間は１秒未満である。

一致が判定されると、指紋認証エンジン１２０は、これを制御モジュール１１３に伝達する。次いで、制御モジュール１１３は、トランシーバ１０８からの無線周波数信号の送信を許可／起動することができる。無線周波数信号は、認証された指紋が指紋認証エンジン１２０によって識別されいなや一定期間連続的に送信され得る。あるいは、制御モジュール１１３は、ボタン押しまたは、いくつかの可能なアクションのどれが必要かを示し得る制御トークン１０２への他の入力など、ユーザからのさらなるアクションを待つことができる。例えば、車両の場合、制御トークン１０２は、車両のドアのロックを解除し、車両のエンジンを始動させるか、あるいは車両のトランク／ブーツを開くことができる。取られるアクションは、ユーザによる制御トークン１０２への入力に依存する。

無線制御トークン１０２と外部システム１０４との両方のためのトランシーバの使用により、外部システム１０４が無線制御トークン１０２と相互作用し、例えば外部システム１０４の状態を返すことが可能になる。この相互作用は、例えば、認証ユーザが識別された後に無線制御トークン１０２がアクティブのままであるべき期間に影響を及ぼすために、種々の形で使用され得る。

使用に先立って、制御トークン１０２の新たなユーザは、最初に、指紋の日付を「未使用」の、すなわち、予め記憶された生体認証データを含まないデバイスに登録しなければならない。一例では、制御トークン１０２は、登録モードで供給されてもよく、制御トークン１０２の最初のユーザは、自分の指紋を自動的に登録することができる。別の例では、登録モードは、認証された外部システム（例えば、製造業者によって操作されるコンピュータシステム）によって開始されなければならない。登録モードでは、指紋認証エンジン１２０を用いて指紋データを集め、指紋テンプレートを形成して制御トークン１０２に記憶する。これは、指を指紋センサ１３０に１回以上、好ましくは少なくとも３回、通常は５〜７回行われ得る。低電力スワイプ型センサを用いて指紋を登録する例示的な方法が、国際公開２０１４／０６８０９０号に開示されており、当業者は、本明細書に記載のエリア指紋センサ１３０に適合させることができる。

制御トークン１０２は、制御トークン１０２のユーザとの通信のためのインジケータ、このようなＬＥＤまたはＬＣＤディスプレイを含む本体１３４、１４０を有することができる。登録中に、指紋が正しく登録されたかどうかをユーザに知らせるインジケータによってユーザを案内することができる。指のいくつかの提示の後、指紋が登録され、次いで、デバイス１０２は、認証ユーザの指紋に応答する。インジケータはまた、ユーザの指紋が認識されるとき、および外部システム１０４のアクセス制御機能１１８へのアクセスが許可されたときをユーザに示すためにその後の認証中に使用されてもよい。

上記のように、制御トークン１０２は、オンボード指紋センサ１３０を有する指紋認証エンジン１２０、およびユーザを登録する能力を含むため、照合スキャンも登録スキャンも、同じ指紋センサ１３０を用いて実行することができる。これにより、上記のようにセキュリティが改善し、スキャンエラーが減る。

制御トークン１０２は、複数のユーザのための指紋データを記憶することができ、その各々は、好都合には、上記のように、制御トークン１０２の指紋認証エンジン１２０によって登録される。複数のユーザの場合、制御モジュール１１３は、最初の登録ユーザを、その後の使用中に、デバイスの登録モードを開始する能力を備えた管理者レベルのユーザとして、例えば、管理者レベルのユーザとしての指紋認証の提示を含むデバイスへの特定の入力を通して記憶するように構成することができる。

制御トークン１０２は、車両用のキーレスエントリーデバイスとして使用されるときは特別な有用性を有するが、他の状況においても使用できることは理解されよう。指紋認証はユーザの生体認証の好ましい方法であるが、指紋センサおよび指紋認証エンジンを、顔認識または網膜スキャンなどの代替の生体認証感知システムで置き換えることによって、上記と同様の線に沿って代替技術を使用および実施することができるとして使用することができる。

Claims (11)

1. 生体認証センサと、前記生体認証センサからの出力信号を受信する処理ユニットと、１つ以上の保護された機能とを備える生体認証デバイスであって、前記デバイスの前記保護された機能へのアクセスが、前記生体認証センサを通して前記処理ユニットに供給された生体認証データを介した認証ユーザの識別に応答して可能にされ、前記デバイスが、前記生体認証センサの前記出力信号を、認証ユーザのための以前の出力信号に基づいて記憶されたデータと比較するように構成され、そして前記出力信号が前記以前の出力信号の１つと同一であることが分かった場合には、前記保護された機能へのアクセスが許可されない、生体認証デバイス。
2. 前記デバイスが、前記生体認証センサから前記処理ユニットに送信された前記出力信号に由来する信号チェックパラメータを提供するためのシグナルチェックモジュールを含み、前記信号チェックパラメータが、前記処理ユニットが前記生体認証センサから出力信号を受信するたびに使用される同じ関数を用いて前記出力信号の関数として決定され、そして新たな出力信号が前記処理ユニットに提示される場合に、新たな信号チェックパラメータが決定され、前記新たな信号チェックパラメータが、前記記憶された信号チェックパラメータと比較され、そして前記新たな信号チェックパラメータが前記記憶された信号チェックパラメータの１つと同一である場合には、セキュアエレメントの前記保護された機能へのアクセスが許可されない、請求項１に記載の生体認証デバイス。
3. 前記信号チェックモジュールがチェックサム計算モジュールであり、前記信号チェックパラメータがチェックサムである、請求項２に記載の生体認証デバイス。
4. １以上の前記保護された機能を提供するセキュアエレメントを含む、請求項１、２または３に記載の生体認証デバイス。
5. 前記セキュアエレメントが金融取引用であり、前記保護された機能の１つが、金融取引を実行する目的で前記セキュアエレメントへのアクセスである、請求項４に記載の生体認証デバイス。
6. 前記生体認証センサが指紋センサである、請求項１〜５のいずれか一項に記載の生体認証デバイス。
7. 前記デバイスが、前記生体認証センサを介して生体認証データを得ることによって、認証ユーザを登録するように構成されている、請求項１〜６のいずれか一項に記載の生体認証デバイス。
8. 前記デバイスがポータブルデバイスである、請求項１に記載の生体認証デバイス。
9. 前記デバイスが単一のタイプの外部システムと相互作用するための専用のデバイスである、請求項１〜８のいずれか一項に記載の生体認証デバイス。
10. 生体認証センサと、前記生体認証センサからの出力信号を受信するための処理ユニットと、１つ以上の保護された機能とを備えたセキュアエレメントとを有する生体認証デバイスを保護するための方法であって、前記デバイスの前記セキュアエレメントの前記保護された機能へのアクセスが、前記生体認証センサを通して前記処理ユニットに供給された生体認証データを介した認証ユーザの識別に応答して可能にされ、前記方法は、認証ユーザとして識別されたユーザから受信された出力信号に基づいてデータを記憶する工程と、新たな出力信号が受信されるときに、前記生体認証センサの前記新たな出力信号を記憶されたデータと比較する工程と、前記出力信号が前記以前の出力信号の１つと同一であると分かった場合には、前記セキュアエレメントの前記保護された機能へのアクセスを可能にしない工程とを含む、方法。
11. 生体認証センサと、前記生体認証センサからの出力信号を受信する処理ユニットとを備えた生体認証デバイスのためのコンピュータプログラム製品であって、前記デバイスの前記セキュアエレメントの前記保護された機能へのアクセスが、前記生体認証センサを通して前記処理ユニットに供給された生体認証データを介した認証ユーザの識別に応答して可能にされ、前記コンピュータプログラム製品は、処理ユニット上で実行されると、前記処理ユニットが、認証ユーザとして識別されたユーザから受信した出力信号に基づいてデータを記憶し、新たな出力信号が受信されたときに、前記生体認証センサの前記新たな出力信号を前記記憶されたデータと比較し、前記出力信号が前記以前の出力信号の１つと同一であると分かった場合には、前記セキュアエレメントの前記保護された機能へのアクセスを可能にしないように構成する命令を含むコンピュータプログラム製品。

Images