JP2020067719A - 属性情報管理システム及び属性情報管理方法 - Google Patents

Abstract

【課題】個人に対応する各種属性情報は発行主体、管理主体がまちまちであるため、そのデータの主体であるべき個人が望む形式で容易にアクセスすることが困難である。【解決手段】サーバ装置と、一つ以上のクライアント装置と、を有する属性情報管理システムであって、いずれかのクライアント装置は、公開鍵と秘密鍵との組を生成し、公開鍵と、入力された利用者の生体情報を一方向性変換によって埋め込んだ秘密鍵とを含む利用者の公開テンプレートを生成して前記サーバ装置に送信し、サーバ装置は、公開テンプレートを保持し、いずれかのクライアント装置は、利用者の属性情報が入力されると、秘密鍵を用いて属性情報に利用者の電子署名を付与し、電子署名が付与された属性情報をサーバ装置に送信し、サーバ装置は、電子署名が付与された属性情報を公開テンプレートと対応付けて保持する。【選択図】図１

Description

本発明は、個人の属性情報の管理に関する。

背景技術として特開２０１４−１７７４６（特許文献１）及びA signature scheme with a fuzzy private key（非特許文献１）がある。特許文献１では、公開鍵及び秘密鍵の登録などに伴う事前の本人確認を不要とし、必要に応じて事後的に確実な本人確認を可能とする電子署名システムが開示されている。非特許文献１では、生体情報のような誤りを含むデータを秘密鍵として署名の生成、検証を行う技術について開示されている。非特許文献１に記載の署名技術はファジー署名と呼ばれている。

特開２０１４−１７７４６号公報

Kenta Takahashi 他、"A signature scheme with a fuzzy private key"、［online］、［平成３０年５月２１日検索］、インターネット＜URL： https://eprint.iacr.org/2017/1188.pdf＞

Society 5.0の実現をめざして産官学で取組みが進められている。Society 5.0では、産業データ、公共データ、個人データから新しい価値を創出し、個人の生活の質的向上及び社会課題の解決をめざしている。個人データの情報利活用に関しては、個人起点の新しいデータ流通構造の創成が提唱されており、個人起点のデータ流通に求められる新しい仕組みとしてデータポータビリティが、データポータビリティを有効に機能させる手段としてパーソナルデータストア及び情報銀行が挙げられている。

データポータビリティが実現された社会においては、個人に起因する行動履歴、経済活動の履歴、健康の履歴などのあらゆる自己情報が集約される。このような正解の実現に向けて、個人が自己の情報を如何に管理するか、プライバシーを如何に守るか、という議論がなされている。これらの議論の中では、データの主体は個人にあり、各事業者が管理する個人に関わるデータは個人が管理し、自由に利用できるべきであるとされている。しかしながら、各事業者が管理するデータはその形式がまちまちであり必ずしも個人が利用したい形ではなく、また、個人がどこにどのデータが保管されているかを把握することは難しい。

本発明はこれらの課題に鑑みてなされたものであり、個人のデータを暗号化してプライバシーを保護可能とし、個人が自らの責任の元で個人データを集中管理できるシステムを提供することを目的とする。

上記の課題の少なくとも一つを解決する本発明の属性情報管理システムは、サーバ装置と、一つ以上のクライアント装置と、を有する属性情報管理システムであって、いずれかの前記クライアント装置は、公開鍵と秘密鍵との組を生成し、前記公開鍵と、入力された利用者の生体情報を一方向性変換によって埋め込んだ前記秘密鍵とを含む前記利用者の公開テンプレートを生成して前記サーバ装置に送信し、前記サーバ装置は、前記利用者の公開テンプレートを保持し、いずれかの前記クライアント装置は、前記利用者の属性情報が入力されると、前記秘密鍵を用いて前記利用者の属性情報に前記利用者の電子署名を付与し、前記利用者の電子署名が付与された前記利用者の属性情報を前記サーバ装置に送信し、前記サーバ装置は、前記利用者の電子署名が付与された前記利用者の属性情報を前記利用者の公開テンプレートと対応付けて保持することを特徴とする。

本発明の一態様によれば、属性情報の主体である個人が自らの責任において安全に属性情報の登録、利用、管理が可能となる。また、個人の属性情報を扱う各事業者は、個人の同意に基づき、集中管理された様々な属性情報の提供を受けることができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明によって明らかにされる。

本実施形態における属性情報管理システムの構成の一例を示すブロック図である。 本実施形態におけるユーザ登録の処理の一例を示すフローチャートである。 本実施形態における属性情報管理システムトップページの一例を示す説明図である。 本実施形態におけるユーザ管理データの一例を示す説明図である。 本実施形態におけるユーザログインの処理の一例を示すフローチャートである。 本実施形態における属性情報管理システムメニュー画面の一例を示す説明図である。 本実施形態における属性情報登録処理の一例を示すフローチャートである。 本実施形態における属性情報登録画面の一例を示す説明図である。 本実施形態における属性情報データの一例を示す説明図である。 本実施形態における属性情報利用処理の一例を示すフローチャートである。 本実施形態における属性情報一覧画面の一例を示す説明図である。 本実施形態における属性情報出力画面の一例を示す説明図である。 本実施形態における利用実績データの一例を示す説明図である。 本実施形態における属性情報検証処理の一例を示すフローチャートである。 本実施形態における属性情報管理システムの処理に用いるデータの一例の説明図である。 本実施形態における属性情報登録処理の別の例を示すフローチャートである。

以下に本発明の実施形態について図面を用いて詳細に説明する。本発明は、個人の属性情報の管理を対象とする。

図１は、本実施形態における属性情報管理システム１５０の構成の一例を示すブロック図である。

属性情報管理システム１５０は、属性情報管理サーバ１００及びクライアント端末１２０を有する。属性情報管理サーバ１００は、属性情報を管理するコンピュータシステムである。属性情報管理サーバ１００は、ネットワーク１４０に接続されクライアント端末１２０と通信可能となっている。

属性情報管理サーバ１００のハードウェア構成は以下の通りである。属性情報管理サーバ１００は、相互に接続された記憶装置１１０、入出力装置（Ｉ／Ｏ）１０１、メモリ１０２、通信装置１０３及びＣＰＵ１０４を備える。入出力装置１０１は、例えばキーボード、マウス又はタッチパネルの少なくともいずれかなどの入力装置と、ディスプレイ装置等の出力装置とで構成される。記憶装置１１０は、例えばハードディスクドライブなどの不揮発性記憶装置で構成される。メモリ１０２は、例えばＲＡＭなどの揮発性記憶装置で構成される。

ＣＰＵ１０４は、記憶装置１１０に保持されるプログラムをメモリ１０２に呼び出してシステム自体の統括制御を行うと共に、各種判定、演算および制御処理を行うプロセッサである。以下の説明において記憶装置１１０に実装された機能が実行する処理は、実際には、記憶装置１１０に格納されたそれらの機能を実現するためのソフトウェアに従ってＣＰＵ１０４が実行する。通信装置１０３は、ネットワーク１４０と接続し、他装置（例えばクライアント端末１２０）との通信を行う。

記憶装置１１０に実装される機能として、ユーザ管理機能１１１、ユーザ認証機能１１２、属性情報登録機能１１３、及び属性情報出力機能１１４がある。また、記憶装置１１０が保持するデータとして、ユーザ管理データ１１５、属性情報データ１１６、及び利用実績データ１１７がある。

クライアント端末１２０は、属性情報管理サーバ１００に接続し、ユーザ登録、属性情報登録、属性情報利用、及び属性情報検証を行うコンピュータシステムである。図１には一つのクライアント端末１２０を示しているが、実際には、属性情報管理システム１５０が複数のクライアント端末を含んでもよい。

例えば、特定のサービスの利用者（ユーザ）に対して、当該サービスの提供者が当該利用者の属性情報の提示を要求する場合がある。このとき、サービス提供者は、所定の検証者によって内容が検証された属性情報を要求する場合がある。例えば要求された属性情報が利用者の病歴である場合、その検証者は医療機関であってもよい。あるいは、要求された属性情報が利用者の学歴である場合、その検証者は利用者が卒業した大学等であってもよい。

このような場合、属性情報管理システム１５０は、利用者が所有するクライアント端末１２０（以下、利用者クライアント端末１２０Ａとも記載する）、サービス提供者が所有するクライアント端末１２０（以下、サービス提供者クライアント端末１２０Ｂとも記載する）、及び、属性情報の検証者が所有するクライアント端末１２０（以下、検証者クライアント端末１２０Ｃとも記載する）を含んでもよい。

クライアント端末１２０のハードウェア構成は属性情報管理サーバ１００と同様である。すなわち、クライアント端末１２０は、相互に接続された記憶装置１３０、入出力装置（Ｉ／Ｏ）１２１、メモリ１２２、通信装置１２３及びＣＰＵ１２４を備える。これらは、それぞれ、記憶装置１１０、入出力装置（Ｉ／Ｏ）１０１、メモリ１０２、通信装置１０３及びＣＰＵ１０４と同様のものであってよい。ただし、記憶装置１３０には下記の機能が実装される。以下の説明において記憶装置１３０に実装された機能が実行する処理は、実際には、記憶装置１３０に格納されたそれらの機能を実現するためのソフトウェアに従ってＣＰＵ１２４が実行する。また、クライアント端末１２０が利用者によって使用される場合、入出力装置１２１は、例えば指紋リーダー又はカメラ等の、生体情報を入力するためのセンサを含んでもよい。

クライアント端末１２０の記憶装置１３０に実装される機能として、公開テンプレート生成機能１３１、生体認証機能１３２、署名生成機能１３３、暗号機能１３４、復号機能１３５、及び署名検証機能１３６がある。本実施例においては、ユーザ管理データ１１５、属性情報データ１１６及び利用実績データ１１７はネットワーク１４０で接続された属性情報管理サーバ１００が集中的に管理する。

図２は、本実施形態におけるユーザ登録の処理の一例を示すフローチャートである。

本実施形態のユーザ登録のフローは、利用者クライアント端末１２０Ａ及び属性情報管理サーバ１００によって処理される。

処理Ｓ２０１では、利用者クライアント端末１２０Ａが属性情報管理サーバ１００にユーザ登録要求を送信する。

図３は、本実施形態における属性情報管理システムトップページ３００の一例を示す説明図である。

本実施形態の属性情報管理システムトップページ３００は、利用者クライアント端末１２０Ａの入出力装置によって表示され、ユーザＩＤフィールド３０１、ログインボタン３０２及びユーザ登録ボタン３０３を含む。

例えば、処理Ｓ２０１において、利用者クライアント端末１２０Ａは、属性情報管理システムトップページ３００のユーザ登録ボタン３０３を押下する操作を受け付けると、属性情報管理サーバ１００にユーザ登録要求を送信してもよい。

処理Ｓ２０２は、属性情報管理サーバ１００のユーザ管理機能１１１によって実行される。処理Ｓ２０２では、属性情報管理サーバ１００は、新規ユーザ登録のために利用者クライアント端末１２０Ａに公開テンプレートを要求する。

処理Ｓ２０３から処理Ｓ２０７は、利用者クライアント端末１２０Ａの公開テンプレート生成機能１３１によって実行される。処理Ｓ２０３では、利用者クライアント端末１２０Ａは、利用者の生体情報を取得する。生体情報の取得は、利用者クライアント端末１２０Ａに付属のカメラなどのセンサを用いても良いし、利用者クライアント端末１２０Ａに外部接続されたセンサなどを用いても良い。

処理Ｓ２０４では、利用者クライアント端末１２０Ａは、取得した生体情報から生体特徴量を抽出する。

処理Ｓ２０５では、利用者クライアント端末１２０Ａは、電子署名アルゴリズムにおける公開鍵と秘密鍵のペアをランダムに生成する。

処理Ｓ２０６では、利用者クライアント端末１２０Ａは、秘密鍵に対して一方向性変換を用いて生体特徴量を埋め込み、公開鍵とセットにして公開テンプレートを生成する。なお、当該一方向性変換としては、非特許文献１に開示されているファジー署名、Ｆｕｚｚｙ Ｅｘｔｒａｃｔｏｒなど、誤りを含むデータを鍵として用いる任意のアルゴリズムを適用することができる。

処理Ｓ２０７では、利用者クライアント端末１２０Ａは、公開テンプレートを属性情報管理サーバ１００に送信する。

処理Ｓ２０８及びＳ２０９は、属性情報管理サーバ１００のユーザ管理機能１１１によって実行される。

処理Ｓ２０８では、属性情報管理サーバ１００は、公開テンプレートの受信を受けて、新規ユーザＩＤを発行する。

処理Ｓ２０９では、属性情報管理サーバ１００は、新規発行したユーザＩＤと公開テンプレートのセットをユーザ管理データ１１５に登録し、新規ユーザＩＤを利用者クライアント端末１２０Ａに送信する。

図４は、本実施形態におけるユーザ管理データ１１５の一例を示す説明図である。

ユーザ管理データ１１５には、ユーザＩＤ４０１及び公開テンプレート４０２が登録される。上記の処理Ｓ２０６で生成され、処理Ｓ２０７で送信された公開テンプレートが公開テンプレート４０２に登録され、それに対応するユーザＩＤ４０１に処理Ｓ２０８で発行されたユーザＩＤが登録される。

処理Ｓ２０９では、利用者クライアント端末１２０Ａは、新規ユーザＩＤを受信し、利用者に対して表示する。例えば、属性情報管理システムトップページ３００のユーザＩＤフィールド３０１に、受信した新規ユーザＩＤが表示されてもよい。

以上の処理によって、属性情報管理サーバ１００にユーザＩＤとユーザの生体情報に由来する公開テンプレートのセットが登録される。以降、ユーザＩＤと公開テンプレートのセットを用いて、属性情報を登録する手順及び利用する手順について述べる。

図５は、本実施形態におけるユーザログインの処理の一例を示すフローチャートである。

本実施形態のユーザログイン処理のフロー（Ｓ５００）は、利用者クライアント端末１２０Ａ及び属性情報管理サーバ１００によって実行される。

処理Ｓ５０１では、利用者クライアント端末１２０Ａが、属性情報管理システムトップページ３００から、ユーザＩＤフィールド３０１へのユーザＩＤの入力とログインボタン３０２を押下する操作とを受け付けることで、属性情報管理サーバ１００にユーザＩＤとログイン要求を送信する。

処理Ｓ５０２は、属性情報管理サーバ１００のユーザ認証機能１１２によって実行される。属性情報管理サーバ１００は、ログイン要求に含まれるユーザＩＤをキーとして当該利用者の公開テンプレートを呼び出す。属性情報管理サーバ１００は、ユーザ認証を受け付ける認証画面（図示省略）を利用者クライアント端末１２０Ａに表示する。

処理Ｓ５０３から処理Ｓ５０６は利用者クライアント端末１２０Ａの生体認証機能１３２によって実行される。

処理Ｓ５０３では、利用者クライアント端末１２０Ａは、利用者の生体情報を取得する。生体情報の取得は、利用者クライアント端末１２０Ａに付属のカメラなどのセンサを用いても良いし、利用者クライアント端末１２０Ａに外部接続するセンサなどを用いても良い。

処理Ｓ５０４では、利用者クライアント端末１２０Ａは、取得した生体情報から生体特徴量を抽出する。

処理Ｓ５０５では、利用者クライアント端末１２０Ａは、前記処理Ｓ５０４で抽出した生体特徴量と属性情報管理サーバ１００から受信した公開テンプレートを用いて、ユーザ認証を行う。具体的には、利用者クライアント端末１２０Ａは、処理Ｓ５０４で抽出された生体特徴量を用いて、公開テンプレートから秘密鍵を抽出する。利用者クライアント端末１２０Ａは、秘密鍵の抽出に成功した（例えば当該公開テンプレートに含まれる公開鍵に対応する正しい秘密鍵が抽出された）場合、ユーザ認証に成功したと判定し、秘密鍵の抽出に失敗した場合、ユーザ認証に失敗したと判定する。

処理Ｓ５０６では、利用者クライアント端末１２０Ａは、ユーザ認証の結果を属性情報管理サーバ１００に送信する。

処理Ｓ５０７は、属性情報管理サーバ１００のユーザ認証機能１１２によって実行される。属性情報管理サーバ１００は、ユーザ認証の結果を受け付け、認証成功の場合は属性情報管理システムメニュー画面６００を表示し、認証失敗の場合は認証に失敗したメッセージを表示して属性情報管理システムトップページ３００を表示する。

以上の処理によって、属性情報管理サーバ１００に登録された利用者の生体情報を用いた認証が完了する。

図６は、本実施形態における属性情報管理システムメニュー画面６００の一例を示す説明図である。

図６に示す属性情報管理システムメニュー画面６００は、利用者クライアント端末１２０Ａの入出力装置１２１によって表示される画面の一例であり、属性情報登録ボタン６０１及び属性情報一覧ボタン６０２を含む。属性情報登録ボタン６０１が操作されると属性情報登録処理（図７）が実行され、属性情報一覧ボタン６０２が操作されると属性情報利用処理（図１０）が実行される。

図７は、本実施形態における属性情報登録処理の一例を示すフローチャートである。

本実施形態の属性情報登録処理のフロー（Ｓ７００）は利用者クライアント端末１２０Ａ及び属性情報管理サーバ１００によって実行される。

処理Ｓ７０１では、利用者クライアント端末１２０Ａが、属性情報管理システムメニュー画面６００から、属性情報登録ボタンを押下する操作を受け付けることで、属性情報管理サーバ１００に属性情報登録要求を送信する。

処理Ｓ７０２では、属性情報管理サーバ１００は、属性情報の登録を受け付ける属性情報登録画面８００を利用者クライアント端末１２０Ａに表示する。

図８は、本実施形態における属性情報登録画面８００の一例を示す説明図である。

属性情報登録画面８００は、属性情報の名称が入力される属性名称フィールド８０１、属性値が入力される属性値フィールド８０２、入力された属性値を暗号化するか否かを示す情報が入力される暗号化チェックボックス８０３、及び、属性情報登録ボタン８０４を含む。

処理Ｓ７０３では、利用者クライアント端末１２０Ａは、利用者から属性情報の名称、値、暗号化の有無の入力を受け付ける。これらの入力は、図８に示した属性名称フィールド８０１、属性値フィールド８０２及び暗号化チェックボックス８０３に対して行われる。このとき、属性情報の名称は例えば、属性情報登録画面８００の属性名称フィールドのプルダウンによって表示された規定の選択肢から選択できても良い。また、登録する属性情報の件数は利用者が任意に増減させることができてもよい。利用者が属性情報登録ボタン８０４を操作すると、そのときの属性名称フィールド８０１、属性値フィールド８０２及び暗号化チェックボックス８０３の内容に応じた登録が行われる。

処理Ｓ７０４では、利用者クライアント端末１２０Ａの署名生成機能１３３は、前述のログインフローＳ５００（図５）にて抽出した秘密鍵を用いて、登録する属性情報に電子署名を付与する処理を行う。また、暗号機能１３４は、属性情報の少なくとも一部を暗号化する必要がある場合は、前述のログインフローＳ５００にて取得した公開テンプレートに含まれる公開鍵を用いて、暗号化が必要な属性情報を暗号化する。これによって安全に属性情報を登録することができる。

処理Ｓ７０５では、利用者クライアント端末１２０Ａは、電子署名あるいは暗号化の処理が施された属性情報を属性情報管理サーバ１００に送信する。

処理Ｓ７０６では、属性情報管理サーバ１００は、ユーザの属性情報を属性情報データ１１６に登録する。

図９は、本実施形態における属性情報データ１１６の一例を示す説明図である。

属性情報データ１１６は、利用者を識別するユーザＩＤ９０１、登録された属性情報を識別する属性情報ＩＤ９０２及び登録された属性情報そのものである属性情報９０３を含む。属性情報９０３は、ユーザＩＤ９０４、属性名称９０５、属性値９０６、登録日時９０７、及びユーザ署名９０８を含む。属性名称９０５及び属性値９０６は、図８の属性名称フィールド８０１及び属性値フィールド８０２に入力されたものであり、登録日時９０７は、属性情報登録ボタン８０４が操作されてこれらが登録された日時である。

ユーザ署名９０８は、当該属性情報９０３を作成したのが利用者本人に相違ないことを証明するためのものであり、例えば、何らかのデータを、当該利用者の秘密鍵で暗号化したデータである。具体的には、ユーザ署名９０８は、公開鍵で暗号化する前の属性情報９０３のユーザ署名９０８以外の部分のハッシュ値を当該ユーザの秘密鍵で暗号化したデータであってもよい。

なお、ユーザＩＤ９０１及びユーザＩＤ９０４は、ユーザ管理データ１１５のユーザＩＤ４０１に対応する。このため、属性情報管理サーバ１００の記憶装置１１０には、同一の利用者の属性情報と公開テンプレートとが当該利用者を識別するユーザＩＤを介して対応付けて保持される。

以上の処理によって、利用者は自身の属性情報に電子署名を付与して属性情報管理サーバ１００に登録することができる。また、利用者は必要に応じて自身の生体情報を用いて属性情報を暗号化して登録することができる。

図１０は、本実施形態における属性情報利用処理の一例を示すフローチャートである。

本実施形態の属性情報利用処理のフロー（Ｓ１０００）は利用者クライアント端末１２０Ａ、サービス提供者クライアント端末１２０Ｂ及び属性情報管理サーバ１００によって実行される。

処理Ｓ１００１では、利用者クライアント端末１２０Ａが、属性情報管理システムメニュー画面６００から、属性情報一覧ボタン６０２を押下する操作を受け付けることで、属性情報管理サーバ１００に属性情報一覧出力要求を送信する。

処理Ｓ１００２では、属性情報管理サーバ１００は、当該利用者の属性情報の一覧を利用者クライアント端末１２０Ａに出力する。利用者クライアント端末１２０Ａは、属性情報管理サーバ１００から受信した一覧を表示する（図１１参照）。

処理Ｓ１００３では、暗号化された属性情報がある場合、復号機能１３５が、ユーザログインフロー５００にて抽出した秘密鍵を用いて属性情報を復号して表示する。

図１１は、本実施形態における属性情報一覧画面１１００の一例を示す説明図である。

属性情報一覧画面１１００には、属性名称１１０２、属性値１１０３、暗号化の有無１１０４、登録日時１１０５のほか、属性情報の検証状況１１０６及び提供状況１１０７が表示される。属性情報の検証状況１１０６は、当該属性情報が検証者によって検証されたか否かを示す情報に加えて、検証された場合には、検証者を識別する情報及び検証日時を示す情報を含んでもよい。また、属性情報の提供状況１１０７は、当該属性情報が提供されたか否かを示す情報に加えて、提供された場合には提供先を識別する情報、提供の目的（すなわち当該属性情報の用途）を示す情報、及び、当該属性情報の出力方法を示す情報を含んでもよい。

図１１に示す属性情報一覧画面１１００は、さらに、出力する属性情報を選択するためのチェックボックス１１０１、属性情報出力ボタン１１０８及び属性情報変更ボタン１１０９を含む。

処理Ｓ１００４では、利用者は、利用者クライアント端末１２０Ａで属性情報の一覧から出力したい属性情報を選択する。例えば、利用者は、出力したい属性情報のチェックボックス１１０１をチェックして、属性情報出力ボタン１１０８を操作する。すると、利用者クライアント端末１２０Ａは、属性情報出力画面１２００を表示する。

図１２は、本実施形態における属性情報出力画面１２００の一例を示す説明図である。

属性情報出力画面１２００は、属性情報１２０１、属性値１２０２、提供先１２０３、用途１２０４、出力方法１２０５及び出力ボタン１２０６を含む。属性情報１２０１及び属性値１２０２には、利用者が図１１の画面上で出力対象として選択した属性情報の属性名称１１０２及び属性値１１０３と同じ内容が表示される。

処理Ｓ１００５では、利用者は、利用者クライアント端末１２０Ａで属性情報の提供先、用途、出力方法を選択し、属性情報管理サーバ１００に出力を要求する。例えば、利用者は、図１２の属性情報出力画面１２００を参照して、属性情報の提供先を識別する情報、属性情報の用途を示す情報及び属性情報の出力方法を指定する情報をそれぞれ提供先１２０３、用途１２０４及び出力方法１２０５として入力して、出力ボタン１２０６を操作してもよい。

属性情報の出力方法は、紙媒体に文字やバーコードを印字、記録媒体に保存、ネットワークを介して送信などの選択肢から選んでもよい。用途は、例えば、属性情報をその内容の検証のために検証者に提供する場合には「検証」が選択され、サービス利用のためにサービス提供者に提供される場合には「サービス利用」が選択される。また、必要に応じて提供先の公開鍵を用いて暗号化の処理を施しても良い。

処理Ｓ１００６では、属性情報管理サーバ１００は、利用者からの要求に基づいて属性情報を利用者クライアント端末１２０Ａに利用者が指定した出力方法でする。

処理Ｓ１００７では、利用者クライアント端末１２０Ａは、利用者がサービス提供を求めるサービス提供者の所有するサービス提供者クライアント端末１２０Ｂに対して属性情報を提供する。この提供は、郵送又は対面などのオフラインの手続きの場合は、システム外で実行される。

処理Ｓ１００８では、サービス提供者は紙媒体、記録媒体又はネットワークなどを介して利用者の属性情報を受け取り、属性情報に付与された電子署名を検証する。サービス提供者クライアント端末１２０Ｂは、属性情報を登録した利用者の電子署名の検証に加え、必要に応じて検証者が付与した電子署名の検証も行う。検証者が付与する署名については後述する（図１４、図１５参照）。これによって、サービス提供者は、当該属性情報が確かに利用者によって登録されたものであることを確認することができ、さらに、検証が行われている場合にはその検証の結果（例えば当該属性情報の内容が正当であること）を知ることができる。

サービス提供者は、例えば、利用者の性別、年齢、所属などの属性情報を受け取り、その属性情報の検証状況に応じたサービスを提供する。

処理Ｓ１００９は、処理Ｓ１００７の後に、利用者クライアント端末１２０Ａによって実行される。処理Ｓ１００９では、利用者クライアント端末１２０Ａは、処理Ｓ１００５にて属性情報管理サーバ１００に要求した属性情報利用の内容を属性情報利用実績として属性情報管理サーバ１００に送信する。このとき利用者クライアント端末１２０Ａは、必要に応じて、サービス提供者からの電子署名を付与しても良い。

処理Ｓ１０１０では、属性情報管理サーバ１００は、処理Ｓ１００９の出力結果を受け付け、それを利用実績データ１１７として保存する。これによって、属性情報を、その利用の実績も含めて集中管理することができる。

図１３は、本実施形態における利用実績データ１１７の一例を示す説明図である。

利用実績データ１１７は、ユーザＩＤ１３０１、属性情報ＩＤ１３０２、提供先１３０３、用途１３０４、出力方法１３０５及び提供日時１３０６を含む。ユーザＩＤ１３０１及び属性情報ＩＤ１３０２は、属性情報データ１１６のユーザＩＤ９０１及び属性情報ＩＤ９０２（図９）に対応する。提供先１３０３、用途１３０４及び出力方法１３０５は、属性情報出力画面１２００を介して入力された提供先１２０３、用途１２０４及び出力方法１２０５に対応する。提供日時１３０６は、属性情報が提供先（例えばサービス提供者又は検証者）に提供された日時を示す。

以上の処理によって、利用者はサービス提供を受けるために必要な属性情報を自らの意思によってサービス提供者に提供することができる。また、サービス提供者は、利用者の生体情報に基づく電子署名を検証することで、利用者の同一性を確認してサービスを提供することができる。

なお、利用者は、属性情報一覧１１００から検証状況や提供状況の詳細を確認できても良い。

図１４は、本実施形態における属性情報検証処理の一例を示すフローチャートである。

本実施形態の属性情報検証処理のフロー（Ｓ１４００）は、検証者クライアント端末１２０Ｃ及び属性情報管理サーバ１００によって実行される。

処理Ｓ１４０１では、検証者は、利用者から検証依頼を受けた属性情報を、検証者クライアント端末１２０Ｃに読み込む。

処理Ｓ１４０２では、検証者クライアント端末１２０Ｃは、属性情報管理サーバ１００に属性情報検証要求を検証対象の属性情報に含まれるユーザＩＤと共に送信する。

処理Ｓ１４０３では、属性情報管理サーバ１００は、ユーザ管理データ１１５から当該利用者の公開テンプレートを呼び出し、それを検証者クライアント端末１２０Ｃに送信する。

処理Ｓ１４０４では、検証者クライアント端末１２０Ｃは、取得した公開テンプレートに含まれる公開鍵を用いて、検証対象の属性情報に含まれる電子署名が正しいことを検証する。検証者は、検証に必要な本人確認書類などを用いて、検証対象の属性情報の内容が正しいことを検証する。

例えば、自動車運転免許証などの本人確認書類を用いて、検証対象の属性情報に含まれる氏名、生年月日、住所が正しい（すなわち本人確認書類に記載されているものと一致する）ことを以て、検証対象の属性情報が検証対象者（すなわち利用者）本人のものであることを確認し、検証対象者が入力した検証対象の属性情報が検証者の管理する検証対象者の属性情報と合っているかを確認する。

本人確認書類が電子化されている場合は、電子化された書類に検証対象者の電子署名を付与することで、属性情報の所有者と本人確認書類の所有者の同一性を保証することができる。

処理Ｓ１４０５では、電子署名および属性情報が正しいことを検証した後、検証者クライアント端末１２０Ｃは、検証対象の属性情報に対して、検証者の秘密鍵を以て検証者の電子署名を付与し、属性情報管理サーバ１００に検証結果を登録する。検証者の電子署名を検証する公開鍵は本発明の外部のシステムで管理しても良い。なお、検証対象者からの要求に基づいて、検証対象者の公開鍵を用いて検証結果を含む属性情報を暗号化しても良い。

処理Ｓ１４０６では、属性情報管理サーバ１００は、当該利用者の当該属性情報に対して、検証者の電子署名付き検証結果を追加して保存する。

図１５は、本実施形態における属性情報管理システム１５０の処理に用いるデータの一例の説明図である。

属性情報９０３の検証を要求する場合、検証に必要な情報は、検証対象の属性情報９０３及び本人確認書類１５０１である。本人確認書類１５０１は例えば自動車運転免許証のコピー等である。図１５には一つの属性情報９０３を示しているが、一人の利用者に関する複数の属性情報９０３の検証が必要となる場合には、それらの複数の属性情報９０３に一つの本人確認書類１５０１が添付されてもよい。これらに基づいて処理Ｓ１４０４の検証が行われる。

処理Ｓ１４０５で作成される検証済みの属性情報１５０２は、検証対象の属性情報９０３に、検証者の識別情報、検証方法、検証結果、検証日時及び検証者の署名等が追加されたものである。これが処理Ｓ１４０６で属性情報データ１１６に登録される。

上記の処理によって、検証対象の属性情報９０３と、その検証結果の情報とを含む検証済みの属性情報１５０２を作成して属性情報管理サーバ１００に保存することができる。この結果、利用者は属性情報管理サーバ１００の属性情報一覧表示から、検証済みの属性情報を自由に利用することが可能となる。

上記の説明では、利用者クライアント端末１２０Ａ、サービス提供者クライアント端末１２０Ｂ及び検証者クライアント端末１２０Ｃをそれぞれ別の装置として説明したが、実際には、これらのいずれか二つ又は全てが同一の装置であってもよいし、また、同一の利用者が複数のクライアント端末１２０を使用してもよい。

例えば、利用者がユーザ登録（図２）を行うために使用するクライアント端末１２０と、その後にログイン（図５）及び属性情報登録（図７）を行うために使用するクライアント端末１２０とが同一であってもよいし、異なるものであってもよい。いずれの場合であっても、利用者は属性情報管理サーバ１００から公開テンプレートを取得するため、自分で秘密鍵を管理する必要がない。これによって利用者の利便性が向上する。

また、公開テンプレートに含まれる秘密鍵は利用者の生体情報によって一方向性変換されているため、利用者の生体情報を持つ者（すなわち利用者自身）以外の者が利用することはできない。このため、安全に属性情報を集中管理することが可能になる。

さらに別の例を示せば、利用者が利用者クライアント端末１２０Ａを使用してユーザ登録を行った後で、サービス提供者クライアント端末１２０Ｂを使用してログイン及び属性情報登録を行ってもよいし、さらに、サービス提供者クライアント端末１２０Ｂを使用して属性情報の内容の検証が行われてもよい。この例について図１６を参照して説明する。

図１６は、本実施形態における属性情報登録処理の別の例を示すフローチャートである。

図５及び図７には、利用者が利用者クライアント端末１２０Ａを使用して属性情報管理サーバ１００にログインし、当該利用者の属性情報を登録する例を示した。これに対して、図１６には、サービス提供者が利用者の属性情報を登録する例を示す。図１６に示す属性情報登録処理は、サービス提供者クライアント端末１２０Ｂ及び属性情報管理サーバ１００によって実行される。

例えば、利用者がサービス提供者の拠点（営業所等）に出向いて、サービスの提供を申し込むときに、その場で必要な属性情報の登録も行うといったケースが想定される。さらに、このとき利用者が属性情報の検証に必要な情報も提供した場合には、サービス提供者がその情報を参照して属性情報の検証も行うことができる。例えば登録すべき属性情報が利用者の氏名、生年月日又は住所等であれば、自動車運転免許証のような本人確認書類に基づいて検証することができる。また、登録すべき属性情報が利用者の学歴である場合には、本人確認書類に加えて、利用者が大学等の卒業証明書を持参していれば、それらに基づいてサービス提供者が属性情報を検証することができる。

以降、サービス提供者と利用者が対面して属性情報を登録する場合を例に説明する。なお、この例において、サービス提供者クライアント端末１２０Ｂは、入出力装置１２１として生体情報を入力するためのセンサを有するか、又はそのようなセンサに接続されている必要がある。

処理Ｓ１６０１では、サービス提供者は、サービス提供者クライアント端末１２０Ｂに利用者のユーザＩＤを入力し、サービス提供者クライアント端末１２０Ｂは、属性情報管理サーバ１００に属性情報登録要求を送信する。

処理Ｓ１６０２では、属性情報管理サーバ１００は、ユーザＩＤをキーとして当該利用者の公開テンプレートを呼び出し、サービス提供者クライアント端末１２０Ｂに送信する。

処理Ｓ１６０３から処理Ｓ１６０５は、サービス提供者クライアント端末１２０Ｂの生体認証機能１３２によって実行される。

処理Ｓ１６０３では、サービス提供者クライアント端末１２０Ｂは、利用者の生体情報を取得する。生体情報の取得は、サービス提供者クライアント端末１２０Ｂに付属のカメラなどのセンサを用いても良いし、サービス提供者クライアント端末１２０Ｂに外部接続するセンサなどを用いても良い。

処理Ｓ１６０４では、サービス提供者クライアント端末１２０Ｂは、取得した生体情報から生体特徴量を抽出する。

処理Ｓ１６０５では、サービス提供者クライアント端末１２０Ｂは、処理Ｓ１６０４で抽出した生体特徴量と属性情報管理サーバ１００から受信した公開テンプレートとを用いて、ユーザ認証を行う。ユーザ認証に成功した場合、サービス提供者クライアント端末１２０Ｂは、生体特徴量を用いて、公開テンプレートから秘密鍵を抽出する。

処理Ｓ１６０６では、サービス提供者クライアント端末１２０Ｂは、サービス提供者からの利用者属性情報の入力を受け付け、処理Ｓ１６０４で抽出した秘密鍵を用いて、入力された属性情報に利用者の電子署名を付与する。

次に、サービス提供者クライアント端末１２０Ｂは、利用者の電子署名が付与された利用者属性情報に対して、サービス提供者の秘密鍵を以て電子署名を付与し、属性情報管理サーバ１００に検証結果を送信する。サービス提供者の電子署名を検証する公開鍵は本発明の外部のシステムで管理しても良い。なお、ユーザからの要求に基づいて、ユーザの公開鍵を用いてユーザ属性情報を暗号化しても良い。

処理Ｓ１６０７では、属性情報管理サーバ１００は、サービス提供者の署名付き属性情報を検証済みの属性情報として保存する。上記のように本人確認書類等を使用してサービス提供者自身が属性情報の検証を行った場合は、サービス提供者が検証者を兼ねることとなり、サービス提供者の署名が図１５の検証済みの属性情報１５０２に含まれる検証者署名に相当する。

以上の処理によって、サービス提供者を検証者としたユーザ属性情報の登録が可能となる。これらの処理によって登録されたユーザ属性は、ユーザによる属性情報の登録処理Ｓ７００で登録された属性情報と同様に、ユーザが任意に利用することができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明のより良い理解のために詳細に説明したのであり、必ずしも説明の全ての構成を備えるものに限定されものではない。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によってハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによってソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

また、制御線及び情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線及び情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

１００ 属性情報管理サーバ
１０１、１２１ Ｉ／Ｏ（入出力装置）
１０２、１２２ メモリ
１０３、１２３ 通信装置
１０４、１２５ ＣＰＵ（演算装置）
１１０、１３０ 記憶装置
１１１ ユーザ管理機能
１１２ ユーザ認証機能
１１３ 属性情報登録機能
１１４ 属性情報出力機能
１１５ ユーザ管理データ
１１６ 属性情報データ
１１７ 利用実績データ
１２０、１２０Ａ、１２０Ｂ、１２０Ｃ クライアント端末
１３１ 公開テンプレート生成機能
１３２ 生体認証機能
１３３ 署名生成機能
１３４ 暗号機能
１３５ 復号機能
１３６ 署名検証機能
１５０ 属性情報管理システム

Claims (10)

1. サーバ装置と、一つ以上のクライアント装置と、を有する属性情報管理システムであって、
   いずれかの前記クライアント装置は、
   公開鍵と秘密鍵との組を生成し、
   前記公開鍵と、入力された利用者の生体情報を一方向性変換によって埋め込んだ前記秘密鍵とを含む前記利用者の公開テンプレートを生成して前記サーバ装置に送信し、
   前記サーバ装置は、前記利用者の公開テンプレートを保持し、
   いずれかの前記クライアント装置は、
   前記利用者の属性情報が入力されると、前記秘密鍵を用いて前記利用者の属性情報に前記利用者の電子署名を付与し、
   前記利用者の電子署名が付与された前記利用者の属性情報を前記サーバ装置に送信し、
   前記サーバ装置は、前記利用者の電子署名が付与された前記利用者の属性情報を前記利用者の公開テンプレートと対応付けて保持することを特徴とする属性情報管理システム。
2. 請求項１に記載の属性情報管理システムであって、
   いずれかの前記クライアント装置は、前記サーバ装置から前記利用者の公開テンプレートを取得し、
   前記利用者の生体情報を取得すると、取得した前記利用者の生体情報を用いて前記利用者の公開テンプレートから前記秘密鍵を抽出し、
   前記利用者の属性情報が入力されると、前記利用者の公開テンプレートから抽出された秘密鍵を用いて前記利用者の属性情報に前記利用者の電子署名を付与することを特徴とする属性情報管理システム。
3. 請求項２に記載の属性情報管理システムであって、
   いずれかの前記クライアント装置は、前記利用者の公開テンプレートから前記公開鍵を抽出し、
   前記利用者の公開テンプレートから抽出された公開鍵を用いて前記利用者の属性情報の少なくとも一部を暗号化し、
   前記少なくとも一部が暗号化され、かつ、前記利用者の電子署名が付与された前記利用者の属性情報を前記サーバ装置に送信することを特徴とする属性情報管理システム。
4. 請求項２に記載の属性情報管理システムであって、
   前記利用者の公開テンプレートを生成して前記サーバ装置に送信するクライアント装置と、前記利用者の属性情報に前記利用者の電子署名を付与して前記サーバ装置に送信するクライアント装置とが同一の装置であることを特徴とする属性情報管理システム。
5. 請求項２に記載の属性情報管理システムであって、
   前記利用者の公開テンプレートを生成して前記サーバ装置に送信するクライアント装置と、前記利用者の属性情報に前記利用者の電子署名を付与して前記サーバ装置に送信するクライアント装置とが異なる装置であることを特徴とする属性情報管理システム。
6. 請求項１に記載の属性情報管理システムであって、
   いずれかの前記クライアント装置は、前記サーバ装置から前記利用者の属性情報を取得して他のクライアント装置に提供し、
   前記他のクライアント装置は、前記利用者の属性情報に付与された前記利用者の電子署名を検証することを特徴とする属性情報管理システム。
7. 請求項６に記載の属性情報管理システムであって、
   いずれかの前記クライアント装置は、
   前記サーバ装置から、指定した形式の前記利用者の属性情報を取得して他のクライアント装置に提供し、
   前記利用者の属性情報の提供先及び形式を示す情報を前記サーバ装置に送信し、
   前記サーバ装置は、前記利用者の属性情報の提供先及び形式を示す情報を、利用実績情報として保持することを特徴とする属性情報管理システム。
8. 請求項１に記載の属性情報管理システムであって、
   前記一つ以上のクライアント装置のうち、前記利用者の属性情報の内容を検証する検証者のクライアント装置は、
   前記サーバ装置から前記利用者の公開テンプレートに含まれる公開鍵を取得し、
   前記取得した公開鍵を用いて前記利用者の属性情報に付与された前記利用者の電子署名を検証し、
   前記利用者の属性情報の内容を検証し、
   前記利用者の属性情報の内容を検証した結果、及び、前記検証者の電子署名を付与した前記利用者の属性情報を前記サーバ装置に送信し、
   前記サーバ装置は、前記利用者の属性情報の内容を検証した結果と、前記検証者の電子署名とを付与した前記利用者の属性情報を、前記利用者の公開テンプレートと対応付けて保持することを特徴とする属性情報管理システム。
9. 請求項８に記載の属性情報管理システムであって、
   いずれかの前記クライアント装置は、前記サーバ装置から前記利用者の属性情報を取得して他のクライアント装置に提供し、
   前記他のクライアント装置は、
   前記利用者の属性情報に付与された前記利用者の電子署名を検証し、
   前記利用者の属性情報に、前記利用者の属性情報の内容を検証した結果と、前記検証者の電子署名とが付与されている場合には、前記検証者の電子署名を検証することを特徴とする属性情報管理システム。
10. サーバ装置と、一つ以上のクライアント装置と、を有する属性情報管理システムが実行する属性情報管理方法であって、
    いずれかの前記クライアント装置が、公開鍵と秘密鍵との組を生成し、前記公開鍵と、入力された利用者の生体情報を一方向性変換によって埋め込んだ前記秘密鍵とを含む前記利用者の公開テンプレートを生成して前記サーバ装置に送信する第１手順と、
    前記サーバ装置が、前記利用者の公開テンプレートを保持する第２手順と、
    いずれかの前記クライアント装置が、前記利用者の属性情報を入力されると、前記秘密鍵を用いて前記利用者の属性情報に前記利用者の電子署名を付与し、前記利用者の電子署名が付与された前記利用者の属性情報を前記サーバ装置に送信する第３手順と、
    前記サーバ装置が、前記利用者の電子署名が付与された前記利用者の属性情報を前記利用者の公開テンプレートと対応付けて保持する第４手順と、を含むことを特徴とする属性情報管理方法。

Images