JP2020004044A - 認証システム及び認証方法 - Google Patents

Abstract

【課題】登録生体情報の取り扱いのセキュリティ性向上を可能にした認証システム及び認証方法を提供する。【解決手段】データセンター２７のストレージ３７には、車両１において実施される生体認証の解となる登録生体情報Ｄｋが保管される。この登録生体情報Ｄｋは、暗号化されている。生体認証デバイス３０で生体認証を行う場合、データセンター２７から登録生体情報Ｄｋを取得する。このとき、復号部４０は、キー端末２から暗号情報Ｋを取得し、この暗号情報Ｋにより登録生体情報Ｄｋを復号する。生体認証デバイス３０は、センサ部３１で取得した生体情報Ｄｓと、復号された登録生体情報Ｄｋとを用い、生体認証を実行する。【選択図】図１

Description

本発明は、生体情報を用いた認証を行う認証システム及び認証方法に関する。

従来、ユーザから生体情報を取得し、この生体情報の正否を確認することによりユーザ認証を行う認証システムが周知である（特許文献１等参照）。認証に用いる生体情報は、例えば指紋、静脈、網膜等がある。この種の認証システムは、車両のみならず、種々のサービスへの使用が検討されている。

特開２０００−３５２２４５号公報

ところで、生体認証は、ユーザから取得した生体情報と、事前に登録しておいた生体認証（登録生体認証）とを比較する認証態様となっている。このため、事前登録した生体認証情報が更新されないまま長期間使用された状態をとっていると、第三者による生体情報の盗難に晒される可能性が高くなり、セキュリティ性の面で問題があった。

本発明の目的は、登録生体情報の取り扱いのセキュリティ性向上を可能にした認証システム及び認証方法を提供することにある。

前記問題点を解決する認証システムは、ユーザから生体情報を取得し、当該生体情報を用いた認証が成立する場合に作動対象物の作動が許可又は実行される構成であって、前記認証を行う場合に、認証の解として暗号化された登録生体情報を、キー端末に格納されている暗号情報により復号して、前記認証を実施可能にする復号部を備えた。

本構成によれば、生体認証の解として用いられる登録生体情報が暗号化されて保管される。このため、仮に登録生体情報が盗難に遭っても、登録生体情報を復号するのに必要な暗号情報を知らなければ、登録生体情報を使用することができない。よって、登録生体情報の取り扱いのセキュリティ性を向上することが可能となる。

前記認証システムにおいて、認証の解となる前記登録生体情報の登録にあたり、前記キー端末に格納された暗号情報を基に前記登録生体情報を暗号化し、その暗号化登録生体情報をストレージに保存しておく暗号化部を備えることが好ましい。この構成によれば、ユーザが所持を管理するキー端末を利用して登録生体情報を暗号化するので、復元に遭い難い登録生体情報とすることが可能となる。

前記認証システムにおいて、前記キー端末は、前記作動対象物と無線によるＩＤ照合が可能なキーであり、前記作動対象物は、前記キー端末との間のＩＤ照合が成立するとともに、前記生体情報を用いた認証が成立した場合に、作動が許可又は実行されることが好ましい。この構成によれば、ＩＤ照合及び生体認証の両方が成立しないと作動対象物の作動が許可又は実行されないので、作動対象物の不正使用に対するセキュリティ性を確保することが可能となる。

前記認証システムにおいて、前記登録生体情報を復号する前記暗号情報は、その格納先として設けられたメモリにおいてセキュアな領域に格納されていることが好ましい。この構成によれば、暗号情報をメモリから不正に読み出すことができなくなるので、登録生体情報の復号に必要となる暗号情報が盗難され難くなる。よって、登録生体情報の不正取得に対するセキュリティ性を確保するのに有利となる。

前記問題点を解決する認証方法は、ユーザから生体情報を取得し、当該生体情報を用いた認証が成立する場合に作動対象物の作動が許可又は実行される方法であって、前記認証を行う場合に、認証の解として暗号化された登録生体情報を、キー端末に格納されている復号情報により復号して、前記認証を実施可能にする。

本発明によれば、登録生体情報の取り扱いのセキュリティ性を向上することができる。

一実施形態の認証システムの構成図。 登録生体情報を暗号化して保管する際の手順を示すフローチャート。 生体認証の手順を示すフローチャート。

以下、認証システム及び認証方法の一実施形態を図１〜図３に従って説明する。
図１に示すように、車両１は、キー端末２と無線によるＩＤ照合を行って車載装置３の作動を実行又は許可する電子キーシステム４を備える。電子キーシステム４は、車両１からの通信を契機に狭域無線によりＩＤ照合（スマート照合）を実行するキー操作フリーシステムである。車載装置３は、例えばドアロック装置５やエンジン６などがある。キー端末２は、主にキー機能を有した端末、いわゆる電子キー７である。

車両１は、ＩＤ照合を行う照合ＥＣＵ（Electronic Control Unit）１０と、車載電装品の電源を管理するボディＥＣＵ１１と、エンジン６を制御するエンジンＥＣＵ１２とを備える。これらＥＣＵは、車内の通信線１３を介して電気接続されている。通信線１３は、例えばＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）である。照合ＥＣＵ１０のメモリ１４には、車両１に登録された電子キー７の電子キーＩＤと、ＩＤ照合の認証時に使用するキー固有鍵とが登録されている。ボディＥＣＵ１１は、車両ドア１５の施解錠を切り替えるドアロック装置５を制御する。

キー固有鍵を用いた認証は、例えばチャレンジレスポンス認証である。この認証は、公開鍵暗号又は共通鍵暗号のどちらでもよい。公開鍵暗号は、暗号鍵と復号鍵とで異なる鍵情報を用い、復号鍵が秘密鍵となった暗号である。共通鍵暗号は、暗号と復号とで同じ鍵情報を用いる暗号である。

車両１は、車両１における通信を実行する通信部１８を備える。通信部１８は、電子キー７との狭域通信の他に、ネットワーク通信が可能となっている。通信部１８は、電子キー７との通信を、例えばＬＦ（Low Frequency）−ＵＨＦ（Ultra High Frequency）の双方向通信（スマート通信）により実行する。この場合、車両１→電子キー７の通信がＬＦ通信であることが好ましく、電子キー７→車両１の通信がＵＨＦ通信であることが好ましい。

電子キー７は、電子キー７の作動を制御するキー制御部２１と、電子キー７において通信を実行する通信部２２と、データ書き込み及び読み出しが可能なメモリ２３とを備える。通信部２２は、狭域無線を通じて車両１の通信部１８と無線通信を実行する。メモリ２３には、電子キー７が持つ固有の電子キーＩＤ及びキー固有鍵が書き込み保存されている。

車両１は、待機状態の電子キー７を起動させるためにウェイク信号を通信部１８から定期的にＬＦ送信する。電子キー７は、通信部１８から送信されたウェイク信号を受信すると、待機状態から起動状態に切り替わり、車両１にアック信号をＵＨＦ送信する。照合ＥＣＵ１０は、電子キー７から送信されたアック信号を受信して通信の確立を認識すると、ＩＤ照合（スマート照合）を実行する。スマート照合には、電子キー７に登録された電子キーＩＤの正否を確認するキーＩＤ照合や、所定の暗号鍵を用いたチャレンジレスポンス認証等がある。

車両１は、ユーザから取得した生体情報Ｄｓを認証する生体認証機能（認証システム２６）を備える。本例の認証システム２６の認証方式は、生体情報Ｄｓとして指紋情報の正否を認証する指紋認証である。また、生体認証は、車両１（作動対象物２８）の作動を許可又は実行する際に成立が課される１条件である。本例の認証システム２６は、生体認証の解（正解値）である登録生体情報Ｄｋを、電子キー７の暗号情報Ｋにより暗号化してデータセンター２７に保管しておき、生体認証時、この暗号化登録生体情報Ｄｋをデータセンター２７から取得して復号し、生体認証を実行する。

認証システム２６は、車両１において生体認証の処理を実行する生体認証デバイス３０を備える。生体認証デバイス３０は、ユーザの生体情報Ｄｓを取得するセンサ部３１と、センサ部３１で取得した生体情報Ｄｓを認証する処理部３２とを備える。センサ部３１は、車載用の認証システム２６の場合、例えば車両１の運転席に配設されたエンジンスイッチ３３のノブ（図示略）に設けられることが好ましい。この場合、エンジンスイッチ３３のノブの押圧操作時、ノブを押すユーザの指から、押し操作と同時にセンサ部３１でユーザの生体情報Ｄｓ（指紋情報）を取得することができる。処理部３２は、取得した生体情報Ｄｓの正否を確認することにより、生体認証を実行する。

認証システム２６は、生体認証の解となる登録生体情報Ｄｋを暗号化する暗号化部３６を備える。暗号化部３６は、照合ＥＣＵ１０に設けられている。暗号化部３６は、登録生体情報Ｄｋが事前登録されるにあたり、登録生体情報Ｄｋを暗号化する。暗号化部３６は、暗号化された登録生体情報Ｄｋ、すなわち暗号化登録生体情報Ｄｋを、ネットワーク通信を通じてデータセンター２７に送信し、データセンター２７のストレージ３７に格納する。

データセンター２７は、前述のストレージ３７と、データセンター２７の作動を制御するサーバ３８と、データセンター２７においてネットワーク通信を行う通信部３９とを備える。サーバ３８は、車両１から送信された暗号化登録生体情報Ｄｋを通信部３９で受診すると、これをストレージ３７に格納する。また、サーバ３８は、車両１から暗号化登録生体情報送信要求を通信部３９で受信すると、ストレージ３７に格納されている暗号化登録生体情報Ｄｋを、車両１に通知する。

認証システム２６は、暗号化登録生体情報Ｄｋを復号する復号部４０を備える。復号部４０は、照合ＥＣＵ１０に設けられている。復号部４０は、生体認証時、データセンター２７に対し暗号化登録生体情報送信要求をネットワーク送信し、ストレージ３７に格納されている暗号化登録生体情報Ｄｋを取得する。また、復号部４０は、電子キー７のメモリ２３のセキュアな領域４１から暗号情報Ｋを取得し、この暗号情報Ｋを基に、ストレージ３７から取得した暗号化登録生体情報Ｄｋを復号する。

処理部３２は、復号した登録生体情報Ｄｋを基に、生体認証を実行する。本例の処理部３２は、センサ部３１からユーザの生体情報Ｄｓを取得した場合、この生体情報Ｄｓと、取得した復号した登録生体情報Ｄｋとを比較することにより、生体認証を実行する。そして、処理部３２は、生体認証の認証結果を、照合ＥＣＵ１０等の他の車載ＥＣＵに出力する。

次に、図２及び図３を用いて、本実施形態の認証システム２６の作用及び効果について説明する。
［生体認証の解となる生体情報の登録］
まず、図２を用いて、生体認証の解となる登録生体情報Ｄｋをデータセンター２７のストレージ３７に登録する手順を説明する。この登録生体情報Ｄｋの登録（登録モード）は、例えば車両１や電子キー７等において、所定の登録操作が実施された場合に開始される。登録操作は、車両１の場合、車内のカーナビゲーションシステムを操作する態様が想定され、電子キー７の場合、電子キー７に設けられた各種ボタンを規定の順序及び回数で操作する態様が想定される。

ステップ１０１において、暗号化部３６は、認証システム２６が登録生体情報Ｄｋの登録モードに切り替わった場合、電子キー７から暗号情報Ｋを取得する。暗号情報Ｋは、生体認証の解として登録しておく登録生体情報Ｄｋを暗号化するのに必要な情報である。

ここで、例えば暗号方式が暗号と復号とで異なる鍵となる公開鍵暗号の場合、暗号化部３６は、暗号情報Ｋとして「復号鍵」を電子キー７から取得する。復号鍵は、秘密鍵である。この場合、暗号化部３６は、暗号情報Ｋの取得を、電子キーシステム４のハード構成を用いて実施する。ここでは、まず暗号化部３６は、暗号情報Ｋの通知要求（暗号情報通知要求）を、通信部１８からＬＦ電波によって電子キー７に送信する。電子キー７は、車両１から送信された暗号情報通知要求を通信部２２で受信すると、メモリ２３（セキュアな領域４１）に格納されている暗号情報Ｋを読み出し、これを通信部２２からＵＨＦ電波によって送信する。

また、例えば暗号方式が暗号と復号とで同じである共通鍵暗号の場合、暗号化部３６は、暗号情報Ｋとして共通の「暗号鍵」を取得する。この場合も、暗号化部３６は、暗号鍵を電子キー７から取得する。

ステップ１０２において、暗号化部３６は、生体認証の解とすべき登録生体情報Ｄｋを、センサ部３１から取得する。本例の場合、登録生体情報Ｄｋの登録操作開始の旨を音声や表示により通知してセンサ部３１を操作させ、このときにセンサ部３１によって検出されるセンサ出力を、登録生体情報Ｄｋとして取得する。

ステップ１０３において、暗号化部３６は、取得した登録生体情報Ｄｋを、電子キー７から取得した暗号情報Ｋ（復号鍵）で暗号化する。これにより、暗号化部３６は、暗号化登録生体情報Ｄｋを生成する。

ステップ１０４において、暗号化部３６は、暗号化した登録生体情報Ｄｋ（暗号化登録生体情報Ｄｋ）を、ネットワーク通信を通じてデータセンター２７に送信する。本例の場合、データセンター２７のサーバ３８は、車両１から暗号化登録生体情報Ｄｋを受信すると、車両１と対応付けた状態で暗号化登録生体情報Ｄｋをストレージ３７に保管する。これにより、ストレージ３７に保管される暗号化登録生体情報Ｄｋが、車両１と一対一対応で保管される。以上により、事前の暗号化登録生体情報Ｄｋの登録作業が完了する。

［生体認証時の作動］
続いて、図３を用いて、生体認証の具体的な作動の手順について説明する。生体認証は、例えば車両電源の遷移操作（エンジン始動操作）を行う際にユーザに課された認証の場合、エンジン６をかけようとしてブレーキペダルを踏み込んだときにセンサ部３１が起動して、認証の作動が開始される。

ステップ２０１において、復号部４０は、データセンター２７（ストレージ３７）から、暗号化登録生体情報Ｄｋを取得する。本例の場合、復号部４０は、暗号化登録生体情報Ｄｋの送信を要求する暗号化登録生体情報送信要求を、ネットワーク通信を通じてデータセンター２７に送信する。この暗号化登録生体情報送信要求には、例えば車両１の識別情報（車体番号等）や、暗号化登録生体情報Ｄｋの通知を要求するコマンド等が含まれる。サーバ３８は、復号部４０から送信された暗号化登録生体情報要求を受信すると、同要求に含まれる車両１の識別情報から、対応する暗号化登録生体情報Ｄｋを読み出し、これを、ネットワーク通信を通じて車両１に送信する。

ステップ２０２において、復号部４０は、暗号化登録生体情報Ｄｋを復号するのに必要な暗号情報Ｋを取得する。本例の場合、復号部４０は、暗号情報Ｋを車両１に送信することを要求する暗号情報送信要求を、電子キーシステム４の通信網を介して、車両１に登録された電子キー７に対して送信（ＬＦ送信）する。電子キー７は、車両１から送信された暗号情報送信要求を受信すると、メモリ２３（セキュアな領域４１）に登録されている暗号情報Ｋを読み出し、これを通信部２２から電子キーシステム４の通信網を介して送信（ＵＨＦ送信）する。復号部４０は、電子キー７から送信された暗号情報Ｋを通信部１８で受信することにより、暗号情報Ｋを取得する。なお、暗号方式が公開鍵暗号の場合、暗号情報Ｋとして「復号鍵」を取得し、暗号方式が共通鍵暗号の場合、暗号情報Ｋとして「暗号鍵」を取得する。

ステップ２０３において、復号部４０は、データセンター２７から取得した暗号化登録生体情報Ｄｋを、電子キー７から取得した暗号情報Ｋを基に復号する。本例の場合、復号部４０は、暗号情報Ｋとしての復号鍵や暗号鍵により、暗号化登録生体情報Ｄｋを復号する。復号部４０は、復号した登録生体情報Ｄｋを、生体認証デバイス３０（処理部３２）に出力する。

ステップ２０４において、処理部３２は、センサ部３１で検出した生体情報Ｄｓを、認証対象の生体情報Ｄｓとして取得する。すなわち、車両１を操作（エンジン６を始動させたい）したいユーザがエンジンスイッチ３３を操作したときにセンサ部３１で検出した生体情報Ｄｓを、認証対象の生体情報Ｄｓとして取得する。

ステップ２０５において、処理部３２は、認証対象の生体情報Ｄｓと、復号により取得した登録生体情報Ｄｋとを比較し、これらが一致するか否かを判定する。このとき、これらが一致すれば、ステップ２０６に移行し、これらが一致しなければ、ステップ２０８に移行する。

ステップ２０６において、処理部３２は、認証対象の生体情報Ｄｓと、復号後の登録生体情報Ｄｋとが一致すれば、生体認証を成立とする。処理部３２は、生体認証が成立する場合、生体認証成立通知を照合ＥＣＵ１０に出力する。

ステップ２０７において、照合ＥＣＵ１０は、生体認証デバイス３０（処理部３２）から生体認証成立通知を入力することを契機に、サービスの提供、すなわち車両電源の遷移操作（エンジン始動操作）を許可する。例えば、照合ＥＣＵ１０は、車内に位置する電子キー７との間でスマート照合（室内スマート照合）が成立することを確認するとともに、生体認証も成立することを確認すると、車両１の作動を許可又は実行する。よって、例えばブレーキペダルを踏み込み操作しながらエンジンスイッチ３３が押圧操作されると、エンジン６が始動される。

ステップ２０８において、処理部３２は、認証対象の生体情報Ｄｓと、復号後の登録生体情報Ｄｋとが一致しなければ、生体認証を不成立とする。このため、仮に室内スマート照合が成立していても、生体認証が成立しないことによって、エンジン６の始動操作が許可されない。よって、第三者による車両盗難に対するセキュリティ性を確保することが可能となる。

さて、本例の場合、生体認証の解として用いられる登録生体情報Ｄｋが暗号化されて保管される。このため、仮に登録生体情報Ｄｋが盗難に遭っても、登録生体情報Ｄｋを復号するのに必要な暗号情報Ｋを知らなければ、登録生体情報Ｄｋを使用することができない。よって、登録生体情報Ｄｋの取り扱いのセキュリティ性を向上することができる。

認証の解となる登録生体情報Ｄｋの登録にあたり、電子キー７に格納された暗号情報Ｋを基に登録生体情報Ｄｋが暗号化され、その暗号化登録生体情報Ｄｋがストレージ３７に保管される。よって、ユーザが所持を管理する電子キー７を利用して登録生体情報Ｄｋを暗号化するので、復元に遭い難い登録生体情報Ｄｋとすることが可能となる。

電子キー７は、車両１と無線によるＩＤ照合が可能なキーである。また、車両１は、電子キー７との間のＩＤ照合（スマート照合）が成立しつつ、生体認証が成立した場合に、作動が許可又は実行される。よって、ＩＤ照合及び生体認証の両方が成立しないと車両１の作動が許可又は実行されないので、車両１の不正使用に対するセキュリティ性を確保することができる。

登録生体情報Ｄｋを復号する暗号情報Ｋは、その格納先として設けられたメモリ２３においてセキュアな領域４１に格納されている。これにより、暗号情報Ｋをメモリ２３から不正に読み出すことができなくなるので、登録生体情報Ｄｋの復号に必要となる暗号情報Ｋが盗難され難くなる。よって、登録生体情報Ｄｋの不正取得に対するセキュリティ性を確保することができる。

なお、本実施形態は、以下のように変更して実施することができる。本実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。
・暗号化登録生体情報Ｄｋの登録作業は、車両１を介して行われることに限定されない。例えば、キー端末２（電子キー７）をデータセンター２７に直接接続して、暗号化登録生体情報Ｄｋの登録を実施してもよい。

・生体認証の開始は、ブレーキペダルが踏み込まれたときに限定されず、例えば車両ドア１５の開閉を検出してユーザが乗車したときなど、種々のどのタイミングに変更してもよい。

・車両１の識別情報は、例えば車体番号など、車両１（作動対象物２８）を識別できるパラメータであればよい。
・暗号情報Ｋは、暗号化登録生体情報Ｄｋを復号できるものであればよい。

・暗号情報Ｋの保存先は、セキュアな領域４１に限定されず、種々のメモリ領域が適用できる。
・暗号処理や復号処理は、車両１（照合ＥＣＵ１０）で行われることに限らず、例えば電子キー７やデータセンター２７など、他の場所で実施されてもよい。

・暗号化登録生体情報Ｄｋの格納先は、ストレージ３７に限定されず、データ保存が可能な媒体であればよい。
・登録生体情報Ｄｋは、データセンター２７に保管されることに限定されず、他の保管先を採用してもよい。また、登録生体情報Ｄｋは、車両１外に保管されることに限定されず、車両１内の格納先に保管されてもよい。

・電子キーシステム４は、電子キー７を照合できるシステムであれば、種々の態様のシステムに変更可能である。
・電子キーシステム４で使用する電波の周波数や通信方式は、種々の態様のものに適宜変更することができる。

・生体情報Ｄｓは、指紋情報に限定されず、生体認証の種類に応じて、他のパラメータに適宜変更できる。
・作動対象物２８は、車両１に限定されず、他の機器、装置、設備等に変更してもよい。

・キー端末２は、電子キー７に限定されず、キー機能を有している端末であればよい。また、キー端末２は、例えば高機能携帯電話としてもよい。
・認証システム２６は、車載用に限定されず、他の対象物に適用されてもよい。

１…車両、２…キー端末、７…電子キー、２３…メモリ、２６…認証システム、２８…作動対象物、３６…暗号化部、３７…ストレージ、４０…復号部、４１…セキュアな領域、Ｄｓ…生体情報、Ｄｋ…登録生体情報（暗号化登録生体情報）、Ｘ…暗号情報。

Claims (5)

1. ユーザから生体情報を取得し、当該生体情報を用いた認証が成立する場合に作動対象物の作動が許可又は実行される認証システムであって、
   前記認証を行う場合に、認証の解として暗号化された登録生体情報を、キー端末に格納されている暗号情報により復号して、前記認証を実施可能にする復号部を備えた認証システム。
2. 認証の解となる前記登録生体情報の登録にあたり、前記キー端末に格納された暗号情報を基に前記登録生体情報を暗号化し、その暗号化登録生体情報をストレージに保存しておく暗号化部を備える
   請求項１に記載の認証システム。
3. 前記キー端末は、前記作動対象物と無線によるＩＤ照合が可能なキーであり、
   前記作動対象物は、前記キー端末との間のＩＤ照合が成立するとともに、前記生体情報を用いた認証が成立した場合に、作動が許可又は実行される
   請求項１又は２に記載の認証システム。
4. 前記登録生体情報を復号する前記暗号情報は、その格納先として設けられたメモリにおいてセキュアな領域に格納されている
   請求項１〜３のうちいずれか一項に記載の認証システム。
5. ユーザから生体情報を取得し、当該生体情報を用いた認証が成立する場合に作動対象物の作動が許可又は実行される認証方法であって、
   前記認証を行う場合に、認証の解として暗号化された登録生体情報を、キー端末に格納されている復号情報により復号して、前記認証を実施可能にする認証方法。