JP2022145793A - 認証サーバ、認証サーバの制御方法及びプログラム - Google Patents

Abstract

【課題】より安心して生体情報による認証を行うことのできる認証サーバを提供する。【解決手段】認証サーバは、利用者登録部と、サービス登録部と、記憶部と、を備える。利用者登録部は、システムにおいて利用者を一意に定める第１のＩＤと、利用者の認証に用いる第１の生体情報を取得する。サービス登録部は、利用者が利用を希望するサービスのサービス提供者から送信された、第１のＩＤとサービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する。サービス登録部は、利用者とサービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、第３のＩＤをサービス提供者に送信する。記憶部は、第１の生体情報、第１のＩＤ、第２のＩＤ及び第３のＩＤを対応付けて記憶する。【選択図】図１

Description

本発明は、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体に関する。

近年、生体情報を利用した各種サービスの普及が始まっている。例えば、空港内で行われる各種手続き（チェックイン、手荷物預け入れ等）やホテルのチェックイン等に顔認証が用いられている。

顔認証を利用したサービスでは、次のような流れで処理が行われる。まず、端末（空港やホテルに設置された端末）が利用客の顔画像を取得し、当該顔画像を特徴付ける特徴量（特徴ベクトル）を生成する。生成された特徴量は、ネットワーク上のサーバに送信される。

サーバは、顔認証によるサービスを受ける利用者の生体情報と個人情報（氏名、住所等）を格納するデータベースを備える。サーバは、端末から照合要求を取得すると、上記データベースを検索（照合）し、端末からの照合要求に対応する生体情報と個人情報を特定する。サーバは、特定した個人情報を端末に送信し、空港等に設置された端末は、取得した個人情報に基づいた業務を行う。

例えば、特許文献１には、民泊サービスシステムにおいて、モバイル端末で撮影した本人映像を利用して宿泊者の本人確認を行い、部屋の鍵の開錠を行う民泊管理サーバが開示されている。

特開２０１８－１０１２３５号公報

特許文献１の図２に例示される構成では、生体情報による認証を行うサーバに、生体情報と紐づけて個人情報が管理されている。このような構成では、万一、サーバのデータベースから情報漏洩が起きた場合に大きな問題が生じうる。とりわけ、顔画像、指紋画像、静脈パターン等の生体情報は終生不変であり情報漏洩が起きたからと言って、変更することのできない情報である。このような生体情報と個人情報の組が第三者に漏洩すると、取り返しのつかない事態を惹起する可能性がある。

上記情報漏洩に対する対策として、個人情報等を暗号化しておくことが考えられる。しかしながら、同じサーバに暗号文を復号する鍵が格納されている場合、当該鍵の流出も同時に発生することも考えられ、根本的な解決策とはなりえない。

本発明は、より安心して生体情報による認証を行うことのできる、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体を提供することを主たる目的とする。

本発明の第１の視点によれば、システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する、利用者登録部と、前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する、サービス登録部と、記憶部と、を備え、前記サービス登録部は、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、前記第３のＩＤを前記サービス提供者に送信し、前記記憶部は、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバが提供される。

本発明の第２の視点によれば、システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する、利用者登録部と、前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する、サービス登録部と、第１の記憶部と、を備え、前記サービス登録部は、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、前記第３のＩＤを前記サービス提供者に送信し、前記第１の記憶部は、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバと、前記利用者から前記第１のＩＤと前記利用者の個人情報を取得する、個人情報取得部と、前記サービス登録要求を前記認証サーバに送信することで、前記第３のＩＤを取得する、サービス登録要求部と、前記利用者の個人情報と前記第３のＩＤを対応付けて記憶する、第２の記憶部と、を備える、管理サーバと、を含む、認証システムが提供される。

本発明の第３の視点によれば、認証サーバにおいて、システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得し、前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を受信し、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成し、前記第３のＩＤを前記サービス提供者に送信し、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバの制御方法が提供される。

本発明の第４の視点によれば、認証サーバに搭載されたコンピュータに、システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する処理と、前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を受信する処理と、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成する処理と、前記第３のＩＤを前記サービス提供者に送信する処理と、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する処理と、を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体が提供される。

本発明の各視点によれば、より安心して生体情報による認証を行うことのできる、認証サーバ、認証システム、認証サーバの制御方法及び記憶媒体が提供される。なお、本発明の効果は上記に限定されない。本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

一実施形態の概要を説明するための図である。 第１の実施形態に係る認証システムの概略構成の一例を示す図である。 第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 第１の実施形態に係る認証サーバの処理構成の一例を示す図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 第１の実施形態に係る認証サーバの利用者登録部の動作を説明するための図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 第１の実施形態に係る管理サーバの処理構成の一例を示す図である。 第１の実施形態に係る管理サーバの個人情報取得部の動作を説明するための図である。 利用者情報データベースの一例を示す図である。 第１の実施形態に係る認証端末の処理構成の一例を示す図である。 第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。 第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。 第２の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。 第２の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 認証情報データベースの一例を示す図である。 第３の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。 第３の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。 利用者情報データベースの一例を示す図である。 認証情報データベースの一例を示す図である。 認証サーバのハードウェア構成の一例を示す図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。また、特段の釈明がない場合には、各図面に記載されたブロックはハードウェア単位の構成ではなく、機能単位の構成を表す。各図におけるブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

一実施形態に係る認証サーバ１００は、利用者登録部１０１と、サービス登録部１０２と、記憶部１０３と、を備える（図１参照）。利用者登録部１０１は、システムにおいて利用者を一意に定める第１のＩＤと、利用者の認証に用いる第１の生体情報を取得する。サービス登録部１０２は、利用者が利用を希望するサービスのサービス提供者から送信された、第１のＩＤとサービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する。サービス登録部１０２は、利用者とサービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、第３のＩＤをサービス提供者に送信する。記憶部１０３は、第１の生体情報、第１のＩＤ、第２のＩＤ及び第３のＩＤを対応付けて記憶する。

認証サーバ１００の記憶部１０３には、利用者の生体情報と各種ＩＤが記憶されているが、利用者の個人情報（例えば、氏名等）は記憶されていない。そのため、万が一、認証サーバ１００から情報漏洩が発生しても、生体情報に対応付けられた個人情報が第三者に知られることはなく、認証システムの参加者（システム利用者、サービス提供者）はより安心して認証サーバ１００による認証を利用できる。なお、サービス提供者は、利用者の個人情報と第３のＩＤを対応付けて記憶しておくことで、認証サーバ１００から取得した第３のＩＤからサービスの提供に必要な個人情報を得ることができる。

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

［システムの構成］
図２は、第１の実施形態に係る認証システムの概略構成の一例を示す図である。図２に示すように、認証システムには、認証センターと複数のサービス提供者が含まれる。

認証システムに参加する各サービス提供者は、生体認証を用いたサービスの提供を行う。サービス提供者により提供されるサービスとして、小売店等での代金決済サービスやホテル等での宿泊サービスが例示される。あるいは、サービス提供者により提供されるサービスは、空港や港における出入国審査等であってもよい。本願開示のサービス提供者は、生体認証を用いて提供できる任意のサービスが提供できればよい。

認証センターには、認証サーバ１０が設置されている。認証サーバ１０は、生体情報を用いた認証の認証局として動作する。認証サーバ１０は、認証センターの敷地に設置されたサーバであってもよいし、クラウド上に設置されたサーバであってもよい。

なお、利用者の生体情報には、例えば、顔、指紋、声紋、静脈、網膜、瞳の虹彩の模様（パターン）といった個人に固有の身体的特徴から計算されるデータ（特徴量）が例示される。あるいは、利用者の生体情報は、顔画像、指紋画像等の画像データであってもよい。利用者の生体情報は、利用者の身体的特徴を情報として含むものであればよい。

認証サーバ１０は、生体認証によるサービスを実現するためのサーバ装置である。認証サーバ１０は、各サービス提供者から送信される「認証要求」を処理し、認証処理の結果をサービス提供者に送信する。

各サービス提供者は、管理サーバと認証端末を有する。

例えば、サービス提供者Ｓ１には、管理サーバ２０と、複数の認証端末３０が設置されている。サービス提供者Ｓ２には、管理サーバ２０と、複数の認証端末３１が設置されている。

以降の説明において、各構成要素を区別する必要がある場合には、ハイフンより右側の符号を用いる。サービス提供者Ｓ１とサービス提供者Ｓ２に含まれる各装置の動作等は同一とすることができるので、以降の説明は、サービス提供者Ｓ１を中心に説明する。

図２に示す各装置は相互に接続されている。例えば、認証サーバ１０と管理サーバ２０は、有線又は無線の通信手段により接続され、相互に通信が可能となるように構成されている。

管理サーバ２０は、サービス提供者の業務全般を制御、管理するサーバである。例えば、サービス提供者が小売店である場合には、管理サーバ２０は、商品の在庫管理等を行う。あるいは、サービス提供者がホテル事業者であれば、管理サーバ２０は、宿泊客の予約情報の管理等を行う。

管理サーバ２０は、上記サービス提供に係る機能に加え、利用者の生体認証に関する制御機能、管理機能を備える。

認証端末３０は、サービス提供者を訪れた利用者（利用客）のインターフェイスとなる装置である。利用者は、認証端末３０を介して種々のサービス提供を受ける。例えば、サービス提供者が小売店である場合には、利用者は、認証端末３０を用いて代金の決済を行う。あるいは、サービス提供者がホテル事業者であれば、利用者は認証端末３０を用いてチェックイン手続きを行う。

図２は例示であって、本願開示の認証システムの構成等を限定する趣旨ではない。例えば、認証センターには２台以上の認証サーバ１０が含まれていてもよい。あるいは、サービス提供者には少なくとも１台以上の認証端末３０が含まれればよい。あるいは、管理サーバ２０と認証端末３０の機能が統合され、当該統合された１台の装置により生体認証を用いたサービスが提供されてもよい。あるいは、各サービス提供者において、図２に示すように１台の管理サーバ２０に複数の認証端末３０が接続されていてもよいし、１台の管理サーバ２０に１台の認証端末３０が接続されていてもよい。

［システムの動作概略］
続いて、第１の実施形態に係る認証システムの概略動作について説明する。

認証システムの動作には、３つのフェーズが含まれる。

第１のフェーズは、利用者のシステム登録を行うフェーズ（利用者登録フェーズ）である。

第２のフェーズは、サービスの登録を行うフェーズ（サービス登録フェーズ）である。

第３のフェーズは、利用者に生体認証を用いたサービスを提供するフェーズ（サービス提供フェーズ）である。

［利用者登録フェーズ］
図３は、第１の実施形態に係る認証システムの利用者登録フェーズにおける動作を説明するための図である。

生体認証を用いたサービスの提供を希望する利用者は、事前に利用者登録を行う。利用者は、認証システムにて利用者自身を特定するための情報（ユーザＩＤ（Identifier）、パスワード（ＰＷ；Pass Word））を決定し、システムに登録する。なお、図３を含む図面において、ユーザＩＤを「ｕＩＤ」と表記する。

また、利用者は、自身の生体情報（例えば、顔画像）をシステムに登録する。利用者は、任意の手段を用いて上記３つの情報（ユーザＩＤ、パスワード、生体情報）をシステムに登録する。例えば、利用者は、上記３つの情報が記載された書類を認証センターに郵送し、認証センターの従業員が上記３つの情報を認証サーバ１０に入力してもよい。あるいは、利用者は、上記３つの情報が格納された、ＵＳＢ（Universal Serial Bus）等の外部記憶装置を認証センターに郵送してもよい。

あるいは、利用者は、所有する端末４０を操作して撮像した自身の顔画像と、ユーザＩＤ、パスワードを認証サーバ１０に入力してもよい。端末４０には、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。

認証サーバ１０は、取得した顔画像から特徴量（複数の特徴量からなる特徴ベクトル）を生成し、当該特徴量とユーザＩＤ、パスワードを対応付けて記憶する。具体的には、認証サーバ１０は、認証情報データベースに新規なエントリを追加し、上記３つの情報を対応付けて記憶する。

このように、利用者登録フェーズにて、システムにおいて利用者を一意に定める第１のＩＤ（例えば、ユーザＩＤ）と利用者の認証に用いられる第１の生体情報がシステムに登録される。なお、第１の実施形態では、システム利用者を一意に定める識別子（第１のＩＤ）としてユーザＩＤとパスワードを用いる例を説明するが、利用者間でユーザＩＤの重複がなければ、上記識別子（第１のＩＤ）としてユーザＩＤを用いることも可能である。

［サービス登録フェーズ］
図４は、第１の実施形態に係る認証システムのサービス登録フェーズにおける動作を説明するための図である。

利用者登録を終えた利用者は、生体認証によりサービスを受けたいサービス提供者を選択し、当該選択したサービス提供者をシステムに登録する。例えば、図２において、利用者がサービス提供者Ｓ１からサービスの提供を希望する場合には、サービス提供者Ｓ１をシステムに登録する。

利用者は、選択したサービス提供者からサービスを受けるために必要な個人情報（例えば、氏名等）をシステムに登録する。上記個人情報としては、氏名、年齢、性別等が例示される。また、利用者は、上記個人情報と併せて、利用者登録フェーズにて決定されたユーザＩＤ、パスワードをシステムに登録する。

なお、本願開示において、個人情報は、利用者（被認証者）の生体情報を含まない情報と定義される。即ち、生体情報及び当該生体情報から生成された特徴量は、本願開示の「個人情報」から除外される。

利用者は、上記３つの情報（個人情報、ユーザＩＤ、パスワード）を任意の手段を用いてサービス提供者に入力する。例えば、利用者は、上記３つの情報を記載した媒体（紙媒体、電子媒体）を、選択したサービス提供者に郵送する。サービス提供者の従業員が上記３つの情報を管理サーバ２０に入力する。利用者は、サービス提供者に設置された認証端末３０を操作して、上記３つの情報を管理サーバ２０に入力してもよい。

あるいは、図４に示すように、利用者は端末４０を操作して上記３つの情報を管理サーバ２０に入力してもよい。この場合、利用者は、サービス提供者が管理、運営するＷＥＢ（ウェブ）ページ上にて上記３つの情報を入力する。

管理サーバ２０は、上記３つの情報（個人情報、ユーザＩＤ、パスワード）を取得すると、認証サーバ１０に対して「サービス登録要求」を送信する。具体的には、管理サーバ２０は、サービス提供者ＩＤ、ユーザＩＤ及びパスワードを含むサービス登録要求を認証サーバ１０に送信する。

サービス提供者ＩＤは、認証システムに含まれるサービス提供者（生体認証を利用する認証基盤に参加している小売店等）を一意に識別するための識別情報である。図２の例では、サービス提供者Ｓ１、Ｓ２のそれぞれに異なるサービス提供者ＩＤが割り当てられている。

なお、サービス提供者ＩＤは、サービス提供者ごとに割り当てられるＩＤであって、サービスごとに割り当てられるＩＤではない。例えば、図２において、サービス提供者Ｓ１とＳ２が同じ種類のサービス（例えば、宿泊サービス）を提供する事業者であっても、経営主体が異なればこれらのサービス提供者には異なるＩＤが割り当てられる。

認証サーバ１０と管理サーバ２０は、任意の方法によりサービス提供者ＩＤを共有する。例えば、サービス提供者が認証基盤に参加する際、認証サーバ１０がサービス提供者ＩＤを生成し、当該生成したサービサーＩＤをサービス提供者に配布（通知）すればよい。図４を含む図面において、サービス提供者ＩＤを「ｓｐＩＤ」と表記する。

サービス登録要求を受信すると、認証サーバ１０は、当該要求に含まれるユーザＩＤとパスワードをキーとして認証情報データベースを検索し、対応する利用者を特定する。その後、認証サーバ１０は、「サービスユーザＩＤ」を生成する。

サービスユーザＩＤは、利用者とサービス提供者の対応関係（組み合わせ）を一意に定める識別情報である。例えば、図２の例では、利用者Ｕ１とサービス提供者Ｓ１の組み合わせから定まるサービスユーザＩＤと、利用者Ｕ１とサービス提供者Ｓ２の組み合わせから定まるサービスユーザＩＤには、それぞれ異なる値が設定される。

認証サーバ１０は、ユーザＩＤ、パスワード、特徴量、サービス提供者ＩＤ、上記生成されたサービスユーザＩＤを対応付けて記憶する。図４を含む図面において、サービスユーザＩＤを「ｓｕＩＤ」と表記する。

認証サーバ１０は、上記生成したサービスユーザＩＤを、サービス登録要求の送信元に送信する。認証サーバ１０は、サービスユーザＩＤを含む応答を管理サーバ２０に送信し、サービスユーザＩＤの払い出しを行う。

管理サーバ２０は、認証サーバ１０から取得したサービスユーザＩＤと利用者の個人情報を対応付けて記憶する。管理サーバ２０は、利用者情報データベースに新規なエントリを追加し、上記情報（個人情報、サービスユーザＩＤ）を格納する。

利用者は、生体認証を用いたサービスの提供を受けたいサービス提供者ごとに上記のような登録動作を繰り返す。換言すれば、利用者は、サービスの提供が不要なサービス提供者についての利用登録を行う必要はない。

このように、サービス登録フェーズにおいて、利用者が利用を希望するサービスのサービス提供者から、第１のＩＤ（例えば、ユーザＩＤ）と第２のＩＤ（例えば、サービス提供者ＩＤ）を含むサービス登録要求が認証サーバ１０に送信される。認証サーバ１０は、当該サービス登録要求を処理する際、利用者とサービス提供者の組み合わせにより一意に定まる第３のＩＤ（例えば、サービスユーザＩＤ）を生成する。認証サーバ１０は、当該第３のＩＤをサービス提供者に送信する。サービス提供者（管理サーバ２０）は、利用者の個人情報と第３のＩＤを対応付けて記憶する。

［サービス提供フェーズ］
図５は、第１の実施形態に係る認証システムのサービス提供フェーズにおける動作を説明するための図である。

サービスの登録（サービス登録フェーズ）を終了した利用者は、サービス提供者を訪問する。利用者は、認証端末３０の前に移動する。

認証端末３０は、面前の利用者から生体情報を取得する。具体的には、認証端末３０は、利用者を撮像し、顔画像を取得する。認証端末３０は、取得した顔画像を管理サーバ２０に送信する。

管理サーバ２０は、取得した顔画像から特徴量を生成する。管理サーバ２０は、当該生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。

認証サーバ１０は、認証要求から特徴量を取り出し、当該取り出した特徴量と認証情報データベースに登録された特徴量を用いた照合処理（１対Ｎ照合；Ｎは正の整数、以下同じ）を実行する。

認証サーバ１０は、照合処理により利用者を特定し、当該特定した利用者に対応付けられている複数のサービスユーザＩＤのうち認証要求に含まれるサービス提供者ＩＤに対応するサービスユーザＩＤを特定する。

認証サーバ１０は、特定したサービスユーザＩＤを認証要求の送信元に送信する。認証サーバ１０は、特定したサービスユーザＩＤを含む応答（認証要求に対する応答）を管理サーバ２０に送信する。

管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、サービスユーザＩＤに対応する個人情報を特定する。サービス提供者（管理サーバ２０、認証端末３０）は、特定された個人情報に基づきサービス（例えば、代金精算、チェックイン手続き等）を利用者に提供する。

このように、サービス提供フェーズにおいて、認証サーバ１０は、サービス提供者から利用者の第２の生体情報と第２のＩＤ（サービス提供者ＩＤ）を含む認証要求を受信する。認証サーバ１０は、第１及び第２の生体情報と第２のＩＤを用いて第３のＩＤ（サービスユーザＩＤ）を特定する。認証サーバ１０は、特定した第３のＩＤをサービス提供者に送信する。管理サーバ２０は、利用者にサービスを提供する際、認証要求を認証サーバ１０に送信することで取得した第３のＩＤを用いて利用者の個人情報を特定する。サービス提供者は、特定された個人情報を用いて利用者にサービスを提供する。

続いて、第１の実施形態に係る認証システムに含まれる各装置の詳細について説明する。

［認証サーバ］
図６は、第１の実施形態に係る認証サーバ１０の処理構成（処理モジュール）の一例を示す図である。図６を参照すると、認証サーバ１０は、通信制御部２０１と、利用者登録部２０２と、データベース管理部２０３と、サービス登録部２０４と、認証部２０５と、記憶部２０６と、を備える。

通信制御部２０１は、他の装置との間の通信を制御する手段である。具体的には、通信制御部２０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部２０１は、管理サーバ２０に向けてデータを送信する。通信制御部２０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部２０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部２０１を介して他の装置とデータの送受信を行う。

利用者登録部２０２は、上述の利用者登録を実現する手段である。利用者登録部２０２は、利用者（生体認証を用いたサービスの提供を希望する利用者；システム利用者）のユーザＩＤ、パスワード、生体情報（顔画像）を取得する。

利用者登録部２０２は、任意の手段を用いて上記３つの情報（ユーザＩＤ、パスワード、生体情報）を取得する。例えば、利用者登録部２０２は、ユーザＩＤ、パスワードを決定するためのＧＵＩ（Graphical User Interface）や入力フォームを端末４０に表示する。例えば、利用者登録部２０２は、図７に示すようなＧＵＩを端末４０に表示する。

利用者登録部２０２は、ＧＵＩ等により取得したユーザＩＤ、パスワードが既に登録されているユーザＩＤ、パスワードと重複していないことを検証する。当該重複が発生していなければ、利用者登録部２０２は、利用者の生体情報を取得するためのＧＵＩを端末４０に表示する。

例えば、利用者登録部２０２は、図８に示すようなＧＵＩを端末４０に表示する。例えば、利用者は、図８に示す「ファイル選択」ボタンを押下し、システムに登録する顔画像の画像データを指定する。指定された顔画像は、プレビュー領域に表示される（図８では選択顔画像として表示されている）。プレビューされた顔画像を登録する際には、利用者は「決定」ボタンを押下する。

利用者登録部２０２は、例えば、図７、図８に示すようなＧＵＩによりユーザＩＤ、パスワード、生体情報（顔画像）を取得すると、顔画像から特徴量（複数の特徴量からなる特徴ベクトル）を生成する。

具体的には、利用者登録部２０２は、取得した顔画像から特徴点を抽出する。なお、特徴点の抽出処理に関しては既存の技術を用いることができるのでその詳細な説明を省略する。例えば、利用者登録部２０２は、顔画像から目、鼻、口等を特徴点として抽出する。その後、利用者登録部２０２は、特徴点それぞれの位置や各特徴点間の距離を特徴量として計算し、複数の特徴量からなる特徴ベクトル（顔画像を特徴づけるベクトル情報）を生成する。

利用者登録部２０２は、ユーザＩＤ、パスワード及び上記生成した特徴量をデータベース管理部２０３に引き渡す。

データベース管理部２０３は、認証情報データベースを管理する手段である。認証情報データベースは、システム利用者を特定する情報（ユーザＩＤ、パスワード）、当該利用者の生体情報（特徴量）、サービス提供者を特定するサービス提供者ＩＤ、各サービスにおいて利用者を特定するサービスユーザＩＤを対応付けて記憶する。

データベース管理部２０３は、利用者登録部２０２から上記３つの情報（ユーザＩＤ、パスワード、特徴量）を取得した場合、認証情報データベースに新規エントリを追加する。例えば、利用者Ｕ１に関する上記３つの情報を取得した場合には、データベース管理部２０３は、図９の最下段に示されるエントリを追加する。なお、利用者登録の段階では、サービス提供者ＩＤやサービスユーザＩＤは生成されていないのでこれらのフィールドには何も設定されない。

サービス登録部２０４は、システム利用者による個別のサービス登録を実現する手段である。サービス登録部２０４は、サービス提供者の管理サーバ２０から取得するサービス登録要求を処理する。

サービス登録部２０４は、取得したサービス登録要求に含まれるユーザＩＤ、パスワードをキーとして認証情報データベースを検索する。サービス登録部２０４は、特定した利用者（ユーザＩＤ、パスワードの組から特定される利用者）のサービス提供者ＩＤフィールドを確認する。

サービス登録部２０４は、サービス提供者ＩＤフィールドに、管理サーバ２０から取得したサービス登録要求に含まれるサービス提供者ＩＤが設定されているか否かを判定する。管理サーバ２０から取得したサービス提供者ＩＤが既にデータベースに登録されていれば、サービス登録部２０４は、その旨を管理サーバ２０に通知する。この場合、認証情報データベースには、利用者が登録しようとしているサービス（サービス提供者）は既に登録されているので、サービス登録部２０４は、サービス登録要求に対する応答として「否定応答」を送信する。

対して、特定された利用者のサービス提供者ＩＤフィールドに、サービス登録要求に含まれるサービス提供者ＩＤが設定されていなければ、サービス登録部２０４は、当該利用者とサービス提供者に対応するサービスユーザＩＤを生成する。

上述のように、サービスユーザＩＤは、利用者とサービス提供者の組み合わせから一意に定まる識別情報である。例えば、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてハッシュ値を計算し、当該計算されたハッシュ値をサービスユーザＩＤとする。具体的には、サービス登録部２０４は、ユーザＩＤ、パスワード及びサービス提供者ＩＤの連結値を計算し、当該計算された連結値のハッシュ値を計算することで、サービスユーザＩＤを生成する。

なお、上記ハッシュ値を用いたサービスユーザＩＤの生成は例示であって、サービスユーザＩＤの生成方法を限定する趣旨ではない。サービスユーザＩＤは、システム利用者とサービス提供者の組み合わせを一意に識別できる情報であればどのような情報であってもよい。例えば、サービス登録部２０４は、サービス登録要求を処理するたびに一意な値を採番しサービスユーザＩＤとしてもよい。

サービスユーザＩＤを生成すると、サービス登録部２０４は、ユーザＩＤ及びパスワードと共に、サービス提供者ＩＤとサービスユーザＩＤをデータベース管理部２０３に引き渡す。データベース管理部２０３は、２つのＩＤ（サービス提供者ＩＤ、サービスユーザＩＤ）を認証情報データベースに登録する。例えば、利用者Ｕ１がサービス提供者Ｓ１についてサービス登録をすると、図１０の最下段に示されるエントリに上記２つのＩＤが追加される。

サービス登録はサービス提供者ごとに行われるため、１人の利用者に複数のサービス提供者、サービスユーザＩＤが設定されることがある。例えば、利用者Ｕ１がサービス提供者Ｓ１、Ｓ２のそれぞれに関してサービス登録を行った場合には、図１１の２行目、３行目のエントリが生成される。なお、利用者Ｕ２がサービス提供者Ｓ１に関してサービス登録を行った場合には、図１１の最下段のエントリが生成される。

図１１等に示す認証情報データベースは例示であって、認証情報データベースが記憶する情報を制限する趣旨ではない。例えば、認証用の特徴量に替えて顔画像が認証情報データベースに登録されていてもよい。即ち、認証の都度、認証情報データベースに登録された顔画像から特徴量が生成されてもよい。

サービス提供者ＩＤ、サービスユーザＩＤが認証情報データベースに登録されると、サービス登録部２０４は、サービス登録要求が正常に処理されたことを管理サーバ２０に通知する。サービス登録部２０４は、サービス登録要求に対する応答として「肯定応答」を送信する。その際、サービス登録部２０４は、サービスユーザＩＤを含む応答を管理サーバ２０に送信する。

認証部２０５は、システム利用者の認証処理を行う手段である。認証部２０５は、サービス提供者の管理サーバ２０から受信する認証要求を処理する。

認証部２０５は、認証要求に含まれる特徴量とサービス提供者ＩＤを取り出す。認証部２０５は、取り出した特徴量とサービス提供者ＩＤをキーとして認証情報データベースを検索し、対応するサービスユーザＩＤを特定する。

認証部２０５は、認証要求から取り出した特徴量を照合側の特徴量、データベースに格納された特徴量を登録側の特徴量にそれぞれ設定し、１対Ｎ照合を実行する。具体的には、認証部２０５は、照合側と複数の登録側それぞれの特徴量との間の類似度を計算する。当該類似度には、カイ二乗距離やユークリッド距離等を用いることができる。なお、距離が離れているほど類似度は低く、距離が近いほど類似度が高い。

認証部２０５は、データベースに登録された複数の特徴量のうち、照合対象の特徴量との間の類似度が所定の値以上、且つ、最も類似度が高い特徴量が存在するか否かを判定する。そのような特徴量が存在する場合、認証部２０５は、上記１対Ｎ照合により特定した利用者に対応付けられている少なくとも１以上のサービス提供者ＩＤのうち、認証要求に含まれるサービス提供者ＩＤに一致するエントリが存在するか否かを判定する。

上記のようなエントリが存在する場合（上記２つの判定に成功した場合）、認証部２０５は、利用者の認証に成功したと判断する。この場合、認証部２０５は、認証要求の送信元である管理サーバ２０に「肯定応答」を送信する。その際、認証部２０５は、特定したエントリのサービスユーザＩＤを含む応答（認証要求に対する応答）を生成し、管理サーバ２０に送信する。

上記２つの判定のうち少なくとも一方の判定に失敗した場合、認証部２０５は、利用者の認証に失敗したと判断する。この場合、認証部２０５は、認証要求の送信元である管理サーバ２０に「否定応答」を送信する。

例えば、図１１の例では、「ＦＶ１」の特徴量と「Ｓ１」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量ＦＶ１により２行目、３行目のエントリ（利用者）が特定され、サービス提供者ＩＤ「Ｓ１」により２行目のエントリが特定される。その結果、上記認証要求は正常に処理され、「Ｕ１Ｓ１」というサービスユーザＩＤを含む肯定応答が、管理サーバ２０に送信される。

対して、「ＦＶ２」の特徴量と「Ｓ２」のサービス提供者ＩＤが認証要求に含まれる場合、特徴量により最下段のエントリが特定されるが、当該エントリのサービス提供者ＩＤは「Ｓ２」ではなく「Ｓ１」であるので、上記認証要求は正常に処理されない。その結果、管理サーバ２０には否定応答が送信される。

記憶部２０６は、認証サーバ１０の動作に必要な情報を記憶する。記憶部２０６には、認証情報データベースが構築される。

［管理サーバ］
図１２は、第１の実施形態に係る管理サーバ２０の処理構成（処理モジュール）の一例を示す図である。図１２を参照すると、管理サーバ２０は、通信制御部３０１と、個人情報取得部３０２と、サービス登録要求部３０３と、データベース管理部３０４と、認証要求部３０５と、記憶部３０６と、を備える。

通信制御部３０１は、他の装置との間の通信を制御する手段である。具体的には、通信制御部３０１は、認証サーバ１０、認証端末３０からデータ（パケット）を受信する。また、通信制御部３０１は、認証サーバ１０、認証端末３０に向けてデータを送信する。通信制御部３０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部３０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部３０１を介して他の装置とデータの送受信を行う。

個人情報取得部３０２は、サービス提供者がサービスを提供する際に必要となる個人情報を取得する手段である。例えば、サービス提供者が「小売店」である場合には、個人情報取得部３０２は、利用者の氏名等に加えて、代金決済に関する情報（例えば、クレジットカードの情報、銀行口座の情報）を取得する。あるいは、サービス提供者が「ホテル事業者」である場合には、個人情報取得部３０２は、氏名等に加え、宿泊に関する予約情報（例えば、宿泊日等）を取得する。

個人情報取得部３０２は、上記氏名等の個人情報に加え、利用者がシステム登録する際に決定したユーザＩＤ、パスワードを取得する。

個人情報取得部３０２は、個人情報、ユーザＩＤ、パスワードを任意の手段を用いて取得する。例えば、個人情報取得部３０２は、上記情報を入力するためのＧＵＩやフォームを端末４０に表示する（図１３参照）。あるいは、図１３に示すような情報が、サービス提供者が管理、運営するＷＥＢページに表示されていてもよい。あるいは、端末４０が、サービス提供者が提供するアプリケーションをダウンロードし、当該アプリケーションにより図１３に示すような表示が行われてもよい。とりわけ、当該ＷＥＢページは、サービス提供者の会員情報を管理するＷＥＢページであってもよい。即ち、各サービス提供者の会員が、自身の会員情報を管理するＷＥＢページにてサービス登録が行われてもよい。

個人情報取得部３０２は、ＧＵＩ等を用いて取得した個人情報、ユーザＩＤ、パスワードをサービス登録要求部３０３に引き渡す。

サービス登録要求部３０３は、認証サーバ１０に対して、利用者のサービス利用に関する登録を要求（依頼）する手段である。

サービス登録要求部３０３は、個人情報取得部３０２から取得した上記３つの情報（個人情報、ユーザＩＤ、パスワード）のうち、ユーザＩＤとパスワードを選択する。サービス登録要求部３０３は、当該選択したユーザＩＤ、パスワードとサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する。

サービス登録要求部３０３は、認証サーバ１０からサービス登録要求に対する応答を取得する。取得した応答が「否定応答」である場合には、サービス登録要求部３０３は、その旨を利用者に通知する。例えば、サービス登録要求部３０３は、サービス登録は既に行われている旨を利用者に通知する。

取得した応答が「肯定応答」である場合には、サービス登録要求部３０３は、サービス登録に成功した旨を利用者に通知する。また、サービス登録要求部３０３は、上記応答に含まれるサービスユーザＩＤと、個人情報取得部３０２から取得した個人情報と、をデータベース管理部３０４に引き渡す。

データベース管理部３０４は、利用者情報データベースを管理する手段である。利用者情報データベースは、サービス提供の対象となっている利用者（システム利用者）の情報を管理するデータベースである。利用者情報データベースは、当該利用者の個人情報（例えば、氏名等）と認証サーバ１０から取得したサービスユーザＩＤを対応付けて記憶する。

データベース管理部３０４は、サービス登録要求部３０３から上記情報（個人情報、サービスユーザＩＤ）を取得すると、利用者情報データベースに新規エントリを追加する。例えば、サービス提供者Ｓ１の管理サーバ２０が、利用者Ｕ１に関する上記情報を取得した場合には、図１４の最下段に示されるエントリが追加される。

認証要求部３０５は、認証サーバ１０に対して利用者の認証を要求する手段である。

認証要求部３０５は、認証端末３０から生体情報（顔画像）を取得すると、当該顔画像から特徴量を生成する。認証要求部３０５は、生成した特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する。

認証サーバ１０からの応答が「否定応答」の場合（認証失敗の場合）には、認証要求部３０５は、その旨を認証端末３０に通知する。

認証サーバ１０からの応答が「肯定応答」の場合（認証成功の場合）には、認証要求部３０５は、認証サーバ１０からの応答に含まれるサービスユーザＩＤを取り出す。認証要求部３０５は、当該サービスユーザＩＤをキーとして利用者情報データベースを検索し、対応するエントリを特定する。

認証要求部３０５は、当該特定したエントリの個人情報フィールドに設定された個人情報を読み出し、認証端末３０に送信する。例えば、図１４の例では、サービスユーザＩＤが「Ｕ１Ｓ１」であれば、最下段の個人情報が認証端末３０に送信される。

記憶部３０６は、管理サーバ２０の動作に必要な情報を記憶する。利用者情報データベースは記憶部３０６に構築される。

［認証端末］
認証端末３０は、利用者から取得した生体情報を管理サーバ２０に送信することで、当該管理サーバ２０から利用者の個人情報を取得する。認証端末３０は、当該取得した個人情報を用いて利用者にサービスを提供する。

図１５は、第１の実施形態に係る認証端末３０の処理構成（処理モジュール）の一例を示す図である。図１５を参照すると、認証端末３０は、通信制御部４０１と、生体情報取得部４０２と、サービス提供部４０３と、メッセージ出力部４０４と、記憶部４０５と、を備える。

通信制御部４０１は、他の装置との間の通信を制御する手段である。具体的には、通信制御部４０１は、管理サーバ２０からデータ（パケット）を受信する。また、通信制御部４０１は、管理サーバ２０に向けてデータを送信する。通信制御部４０１は、他の装置から受信したデータを他の処理モジュールに引き渡す。通信制御部４０１は、他の処理モジュールから取得したデータを他の装置に向けて送信する。このように、他の処理モジュールは、通信制御部４０１を介して他の装置とデータの送受信を行う。

生体情報取得部４０２は、カメラを制御し、利用者の生体情報（顔画像）を取得する手段である。生体情報取得部４０２は、定期的又は所定のタイミングにおいて自装置の前方を撮像する。生体情報取得部４０２は、取得した画像に人の顔画像が含まれるか否かを判定し、顔画像が含まれる場合には取得した画像データから顔画像を抽出する。

なお、生体情報取得部４０２による顔画像の検出処理や顔画像の抽出処理には既存の技術を用いることができるので詳細な説明を省略する。例えば、生体情報取得部４０２は、ＣＮＮ（Convolutional Neural Network）により学習された学習モデルを用いて、画像データの中から顔画像（顔領域）を抽出してもよい。あるいは、生体情報取得部４０２は、テンプレートマッチング等の手法を用いて顔画像を抽出してもよい。

生体情報取得部４０２は、抽出した顔画像をサービス提供部４０３に引き渡す。

サービス提供部４０３は、所定のサービスを利用者に提供する手段である。サービス提供部４０３は、生体情報取得部４０２から取得した顔画像を管理サーバ２０に送信する。管理サーバ２０は、当該顔画像に対応する個人情報（例えば、氏名等）を返信する。サービス提供部４０３は、当該返信された個人情報を用いて、利用者にサービスを提供する。

メッセージ出力部４０４は、利用者に対して種々のメッセージを出力する手段である。例えば、メッセージ出力部４０４は、利用者の認証結果に関するメッセージや、サービス提供に関するメッセージを出力する。メッセージ出力部４０４は、液晶モニタ等の表示デバイスを用いてメッセージを表示してもよいし、スピーカー等の音響機器を用いて音声メッセージを再生してもよい。

記憶部４０５は、認証端末３０の動作に必要な情報を記憶する。

［システムの動作］
続いて、第１の実施形態に係る認証システムの動作について説明する。なお、動作の説明は、サービス登録フェーズとサービス提供フェーズについて行い、利用者登録フェーズに関する説明を省略する。

図１６は、第１の実施形態に係る認証システムのサービス登録フェーズに関する動作の一例を示すシーケンス図である。

管理サーバ２０は、利用者から個人情報（サービスを提供するために必要な情報）、ユーザＩＤ、パスワードを取得する（ステップＳ０１）。

管理サーバ２０は、取得したユーザＩＤ及びパスワードとサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する（ステップＳ０２）。

認証サーバ１０は、取得したユーザＩＤ、パスワード及びサービス提供者ＩＤを用いてサービスユーザＩＤを生成する（ステップＳ０３）。

認証サーバ１０は、サービス提供者ＩＤとサービスユーザＩＤを認証情報データベースに格納する（ステップＳ０４）。

認証サーバ１０は、サービスユーザＩＤを含む応答（サービス登録要求に対する応答）を管理サーバ２０に送信する（ステップＳ０５）。

管理サーバ２０は、ステップＳ０１にて取得した個人情報と、認証サーバ１０から取得したサービスユーザＩＤを対応付けて、利用者情報データベースに格納する（ステップＳ０６）。

図１７は、第１の実施形態に係る認証システムのサービス提供フェーズに関する動作の一例を示すシーケンス図である。サービス提供フェーズ時には既にサービス登録フェーズは終了しているので、認証サーバ１０は、利用者の顔画像から生成された第１の特徴量を第１の生体情報とし記憶している。

認証端末３０は、利用者の顔画像（生体情報）を取得し、当該取得した顔画像を管理サーバ２０に送信する（ステップＳ１１）。

管理サーバ２０は、取得した顔画像から特徴量（第２の特徴量）を生成する（ステップＳ１２）。管理サーバ２０は、当該生成された特徴量を第２の生体情報として取り扱う。

管理サーバ２０は、当該生成された特徴量とサービス提供者ＩＤを含む認証要求を認証サーバ１０に送信する（ステップＳ１３）。

認証サーバ１０は、認証要求に含まれる特徴量とサービス提供者ＩＤを用いた認証処理を実行し、対応するサービスユーザＩＤを特定する（ステップＳ１４）。

認証サーバ１０は、特定したサービスユーザＩＤを含む応答（認証要求に対する応答）を管理サーバ２０に送信する（ステップＳ１５）。

管理サーバ２０は、取得したサービスユーザＩＤを用いて利用者情報データベースを検索し、対応する個人情報を特定する（ステップＳ１６）。

管理サーバ２０は、特定した個人情報を認証端末３０に送信する（ステップＳ１７）。

認証端末３０は、取得した個人情報を用いてサービスを提供する（ステップＳ１８）。

以上のように、第１の実施形態に係る認証システムでは、利用者の生体情報は認証サーバ１０に格納され、サービス提供者は当該生体情報を有していない。利用者の個人情報はサービス提供者が管理、運営する管理サーバ２０に格納され、認証サーバ１０は当該個人情報を有していない。第１の実施形態に係る認証システムは、このように情報を分散配置することで、情報漏洩に対してロバストな認証基盤を提供する。即ち、個人情報と紐づけられていない生体情報（特に、特徴量）は単なる数値の羅列であり犯罪者等にとって価値の低い情報である。したがって、万一、認証サーバ１０から情報漏洩が発生してもその影響は限定的である。このような構成により、認証システムの参加者（サービスの提供を受ける利用者、サービスを提供するサービス提供者）は安心して認証システムを利用できる。

［第２の実施形態］
続いて、第２の実施形態について図面を参照して詳細に説明する。

第１の実施形態では、利用者の認証に用いる生体情報を認証センターに配置し、利用者がサービスを享受する際に必要となる個人情報をサービス提供者に配置する。このような構成とすることで、情報漏洩に対して強い（情報漏洩に対してロバストな）認証システムが構築される。

しかし、第１の実施形態に係る構成では、サービス提供者から個人情報が漏洩する可能性がある。第２の実施形態では、サービス提供者からの情報漏洩に強い認証システムについて説明する。

第２の実施形態に係る認証システムの構成は第１の実施形態と同一とすることができるので図２に相当する説明を省略する。また、第２の実施形態に係る認証サーバ１０、管理サーバ２０、認証端末３０の処理構成も第１の実施形態と同一とすることができるので、その説明を省略する。

以下、第１及び第２の実施形態における相違点を中心に説明する。

第１及び第２の実施形態に係る認証システムでは、サービス登録フェーズとサービス提供フェーズの動作が異なる。

図１８を参照し、第２の実施形態に係るサービス登録フェーズの概略動作について説明する。管理サーバ２０からサービス登録要求を受信すると、認証サーバ１０は、暗号鍵を生成する。生成された暗号鍵は、ユーザＩＤ、パスワード、サービス提供者ＩＤ、サービスユーザＩＤと対応付けられ、認証情報データベースに格納される。認証サーバ１０は、当該生成した暗号鍵をサービスユーザＩＤと共に管理サーバ２０に送信する。管理サーバ２０は、取得した暗号鍵を用いて利用者から取得した個人情報の暗号文Ｅｎｃを生成し、暗号化された個人情報とサービスユーザＩＤと対応付けて記憶する。管理サーバ２０は、平文の個人情報を削除する。

図１９を参照し、第２の実施形態に係るサービス提供フェーズの概略動作について説明する。管理サーバ２０から認証要求を受信すると、認証サーバ１０は、認証情報データベースを検索して対応するサービスユーザＩＤと暗号鍵を特定する。認証サーバ１０は、特定したサービスユーザＩＤと暗号鍵を含む応答（認証要求に対する応答）を管理サーバ２０に送信する。管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報（暗号化された個人情報）を特定する。管理サーバ２０は、当該暗号化された個人情報を認証サーバ１０から取得した暗号鍵を用いて復号する。管理サーバ２０は、平文の個人情報を認証端末３０に送信する。認証端末３０は、当該個人情報を用いてサービスの提供を行う。

続いて、第２の実施形態に係る認証サーバ１０及び管理サーバ２０の詳細動作について説明する。

認証サーバ１０のサービス登録部２０４は、管理サーバ２０からサービス登録要求（ユーザＩＤ、パスワード、サービス提供者ＩＤを含む要求）を受信すると、暗号鍵を生成する。当該暗号鍵は、利用者がサービス提供者に入力した個人情報を暗号化するための鍵であると共に、暗号化された個人情報を復号するための鍵でもある。サービス登録部２０４は、利用者とサービス提供者の組み合わせごとに、上記暗号鍵を生成する。

例えば、サービス登録部２０４は、暗号化と復号を同じ鍵で行うことができる共通鍵を生成する。例えば、サービス登録部２０４は、ユーザＩＤ、パスワード、サービス提供者ＩＤを連結した値のハッシュ値を計算する。サービス登録部２０４は、当該計算したハッシュ値を「種」として使用し、共通鍵を生成する。

ユーザＩＤとパスワードは利用者ごとに異なる値であり、サービス提供者ＩＤはサービス提供者ごとに異なる値である。そのため、これらの値の連結値から計算されたハッシュ値（鍵生成の種）は、利用者とサービス提供者の組み合わせごとに異なる値となる。利用者とサービス提供者の組み合わせごとに生成された「種」から算出された暗号鍵も上記組み合わせに応じて異なる値となる。

サービス登録部２０４は、生成した暗号鍵等をデータベース管理部２０３に引き渡す。

データベース管理部２０３は、取得した暗号鍵を用いて認証情報データベースを更新する。第２の実施形態に係る認証情報データベースは、例えば、図２０に示すように暗号鍵フィールドを有する。

図２０を参照すると、利用者Ｕ１とサービス提供者Ｓ１の組み合わせに対して、暗号鍵Ｋ（Ｕ１Ｓ１）が生成され、利用者Ｕ１とサービス提供者Ｓ２の組み合わせに対して、暗号鍵Ｋ（Ｕ１Ｓ２）が生成される。

サービス登録部２０４は、サービス登録要求に応じて生成された、サービスユーザＩＤと暗号鍵を含む応答をサービス登録要求の送信元に送信する。

管理サーバ２０のサービス登録要求部３０３は、サービス登録要求に対する応答を受信する。サービス登録要求部３０３は、当該応答から暗号鍵を取り出し、利用者の個人情報（例えば、氏名等）を暗号化する。サービス登録要求部３０３は、暗号化された個人情報とサービスユーザＩＤをデータベース管理部３０４に引き渡す。その後、サービス登録要求部３０３は、オリジナルの個人情報（平文の個人情報）と暗号鍵を削除する。

データベース管理部３０４は、暗号化された個人情報とサービスユーザＩＤを含むエントリを利用者情報データベースに追加する。利用者情報データベースは、暗号化された個人情報とサービスユーザＩＤ（第３のＩＤ）を対応付けて記憶する。

認証サーバ１０の認証部２０５は、管理サーバ２０から認証要求（利用者の特徴量、サービス提供者ＩＤを含む認証要求）を受信すると、これらの情報を用いて認証処理を実行する。認証に成功すると、利用者とサービス提供者の組み合わせに対応するサービスユーザＩＤ、暗号鍵が特定される。

認証部２０５は、特定されたサービスユーザＩＤ、暗号鍵を含む応答（認証要求に対する応答）を管理サーバ２０に送信する。

管理サーバ２０の認証要求部３０５は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する個人情報（暗号化された個人情報）を取得する。

認証要求部３０５は、暗号化された個人情報を認証サーバ１０から取得した暗号鍵（共通鍵）を用いて復号する。認証要求部３０５は、平文の個人情報を認証端末３０に送信する。認証要求部３０５は、個人情報の復号に成功すると、認証サーバ１０から取得した暗号鍵を削除（廃棄）する。

なお、認証端末３０は、利用者に対するサービスの提供が終了すると、平文の個人情報を削除するのが望ましい。

以上のように、第２の実施形態に係る、認証サーバ１０は、サービス登録要求に応じて暗号鍵を生成し、当該生成した暗号鍵とサービスユーザＩＤ（第３のＩＤ）を管理サーバ２０に送信する。管理サーバ２０は、取得した暗号鍵を用いて利用者の個人情報を暗号化し、暗号化された個人情報とサービスユーザＩＤを対応付けて記憶する。また、認証サーバ１０は、サービス提供者から利用者の生体情報とサービス提供者ＩＤ（第２のＩＤ）を含む認証要求を受信する。認証サーバ１０は、２つの生体情報とサービス提供者ＩＤを用いてサービスユーザＩＤ（第３のＩＤ）及び暗号鍵を特定する。認証サーバ１０は、特定したサービスユーザＩＤ及び暗号鍵をサービス提供者に送信する。管理サーバ２０は、利用者にサービスを提供する際、認証要求を認証サーバ１０に送信することで取得したサービスユーザＩＤを用いて暗号化された個人情報を特定する。さらに、管理サーバ２０は、暗号化された個人情報を認証サーバ１０から取得した暗号鍵により復号する。復号された個人情報によりサービスが提供される。

上述のように、第２の実施形態では、サービス提供者が保持する個人情報は暗号化されている。暗号化された個人情報が漏洩しても大きな問題は生じない。暗号化された個人情報は復号され、その内容が第三者に知られた際にセキュリティ、プライバシ上の問題となるためである。暗号化された個人情報を復号するための暗号鍵は認証サーバ１０に格納されており、利用者に対するサービス提供の都度、認証サーバ１０から暗号鍵がサービス提供者に渡される。第２の実施形態に係る認証システムのこのような構成により、管理サーバ２０及び認証サーバ１０から情報漏洩が同時に（同時期に）発生する自体は想定しがたい。そのため、暗号化された個人情報が漏洩したとしても暗号鍵が認証センターにより守られていれば、上記情報漏洩は大きな問題とはならない。さらに、管理サーバ２０は個人情報を復号した後に暗号鍵を削除するので、サービス提供者自身も個人情報にアクセスできない。従って、サービス提供者の従業員等による個人情報の不正取得等も防止される。

［第３の実施形態］
続いて、第３の実施形態について図面を参照して詳細に説明する。

第２の実施形態では、サービス提供者が個人情報を暗号化すると共に、暗号文を復号するための暗号鍵を認証サーバ１０が保持する。第２の実施形態では、暗号文と暗号鍵を分離して保持することで、個人情報の漏洩に対して強い認証システムが提供できることを説明した。しかし、情報処理技術の向上等により、管理サーバ２０から情報漏洩した暗号文の暗号が破られる可能性もある。即ち、暗号化された個人情報であってもサービス提供者から情報漏洩することは望ましくない。

第３の実施形態では、認証サーバ１０が暗号化された個人情報を保持し、管理サーバ２０が暗号鍵を保持することによって、個人情報の漏洩に対して強い認証システムを提供することを説明する。

第３の実施形態に係る認証システムの構成は第１の実施形態と同一とすることができるので図２に相当する説明を省略する。また、第３の実施形態に係る認証サーバ１０、管理サーバ２０、認証端末３０の処理構成も第１の実施形態と同一とすることができるので、その説明を省略する。

以下、第１乃至第３の実施形態における相違点を中心に説明する。

第１乃至第３の実施形態に係る認証システムでは、サービス登録フェーズとサービス提供フェーズの動作が異なる。

図２１を参照し、第３の実施形態に係るサービス登録フェーズの概略動作について説明する。認証サーバ１０は、利用者の個人情報を暗号化するための暗号鍵を生成する。生成された暗号鍵は、サービスユーザＩＤと共に管理サーバ２０に送信される。管理サーバ２０は、取得した暗号鍵を用いて個人情報の暗号文を生成し、当該生成された暗号文（図２１に示す暗号文Ｅｎｃ）とサービスユーザＩＤを含む個人情報登録要求を認証サーバ１０に送信する。認証サーバ１０は、サービスユーザＩＤをキーとして認証情報データベースを検索し、対応するエントリを特定する。認証サーバ１０は、特定したエントリに暗号化された個人情報を格納する。なお、管理サーバ２０は、個人情報登録要求の送信後に、平文の個人情報を削除する。また、管理サーバ２０は、認証サーバ１０から取得した暗号鍵とサービスユーザＩＤを対応付けて利用者データベースに格納する。

図２２を参照し、第３の実施形態に係るサービス提供フェーズの概略動作について説明する。認証サーバ１０は、認証要求を受信すると、認証情報データベースを用いて対応するサービスユーザＩＤと暗号化された個人情報を特定する。認証サーバ１０は、特定したサービスユーザＩＤと個人情報を含む応答（認証要求に対する応答）を管理サーバ２０に送信する。管理サーバ２０は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する暗号鍵を特定する。管理サーバ２０は、当該特定した暗号鍵を用いて認証サーバ１０から取得した個人情報を復号する。管理サーバ２０は、平文の個人情報を認証端末３０に送信する。認証端末３０は、当該個人情報を用いてサービスの提供を行う。

続いて、第３の実施形態に係る認証サーバ１０及び管理サーバ２０の詳細動作について説明する。

認証サーバ１０のサービス登録部２０４は、管理サーバ２０からサービス登録要求（ユーザＩＤ、パスワード、サービス提供者ＩＤを含む要求）を受信すると、第２の実施形態で説明した暗号鍵（共通鍵）を生成する。

サービス登録部２０４は、サービス登録要求に応じて生成された、サービスユーザＩＤと暗号鍵を含む応答をサービス登録要求の送信元に送信する。

管理サーバ２０のサービス登録要求部３０３は、サービス登録要求に対する応答を受信する。サービス登録要求部３０３は、当該応答から暗号鍵を取り出し、利用者の個人情報（例えば、氏名等）を暗号化する。サービス登録要求部３０３は、個人情報の暗号化を行った後、平文の個人情報は削除する。

サービス登録要求部３０３は、暗号化された個人情報とサービスユーザＩＤを含む「個人情報登録要求」を生成し、認証サーバ１０に送信する。

また、サービス登録要求部３０３は、認証サーバ１０から取得したサービスユーザＩＤと暗号鍵をデータベース管理部３０４に引き渡す。データベース管理部３０４は、サービスユーザＩＤと暗号鍵を含む新規なエントリを利用者情報データベースに追加する（図２３参照）。図２３に示すように、利用者情報データベースは、サービスユーザＩＤと暗号鍵を対応付けて記憶する。

認証サーバ１０のサービス登録部２０４は、個人情報登録要求を受信する。サービス登録部２０４は、個人情報登録要求をデータベース管理部２０３に引き渡す。

データベース管理部２０３は、個人情報登録要求からサービスユーザＩＤを取り出し、当該ＩＤをキーとして認証情報データベースを検索する。データベース管理部２０３は、特定されたエントリに暗号化された個人情報を格納する。その結果。例えば、図２４に示すような個人情報フィールドを有する認証情報データベースが得られる。認証情報データベースは、利用者の生体情報、ユーザＩＤ等と暗号化された個人情報を対応付けて記憶する。

図２４を参照すると、利用者Ｕ１がサービス提供者Ｓ１に入力した個人情報の暗号文Ｅｎｃ（Ｕ１１）、利用者Ｕ１とサービス提供者Ｓ２に入力した個人情報の暗号文Ｅｎｃ（Ｕ１２）がデータベースに登録される。

認証サーバ１０の認証部２０５は、管理サーバ２０から認証要求（利用者の特徴量、サービス提供者ＩＤを含む認証要求）を受信すると、これらの情報を用いて認証処理を実行する。認証に成功すると、利用者とサービス提供者の組み合わせに対応するサービスユーザＩＤ、暗号化された個人情報が特定される。

認証部２０５は、特定されたサービスユーザＩＤ、暗号化された個人情報を含む応答（認証要求に対する応答）を管理サーバ２０に送信する。

管理サーバ２０の認証要求部３０５は、取得したサービスユーザＩＤをキーとして利用者情報データベースを検索し、対応する暗号鍵を特定する。

認証要求部３０５は、認証サーバ１０から取得した暗号化された個人情報を、暗号鍵を用いて復号する。認証要求部３０５は、平文の個人情報を認証端末３０に送信する。認証要求部３０５は、個人情報の復号に成功すると、認証サーバ１０から取得した暗号化された個人情報を削除（廃棄）する。

以上のように、第３の実施形態に係る認証システムでは、暗号化された個人情報を認証サーバ１０に格納し、個人情報を復号するための暗号鍵を管理サーバ２０に格納する。通常、認証センターに設置された認証サーバ１０には第三者による不正アクセス等に対して強固な対策が施されている。対して、サービス提供者に設置された管理サーバ２０には上記不正アクセス等に対する対策が十分ではない場合も想定される。このように、認証サーバ１０と管理サーバ２０では、セキュリティ強度に違いがあり、セキュリティ強度が高い（情報漏洩が想定し難い）認証サーバ１０に個人情報が格納されている。そのため、管理サーバ２０が暗号化された個人情報を保持する第２の実施形態よりも、暗号化された個人情報が漏洩するリスクが小さい。また、管理サーバ２０は、暗号鍵とサービスユーザＩＤを保持するが、このような情報は第三者に対して何らの有益な情報を与えず、セキュリティ強度に劣る管理サーバ２０から情報漏洩が発生しても問題は生じない。

続いて、認証システムを構成する各装置のハードウェアについて説明する。図２５は、認証サーバ１０のハードウェア構成の一例を示す図である。

認証サーバ１０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図２５に例示する構成を備える。例えば、認証サーバ１０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図２５に示す構成は、認証サーバ１０のハードウェア構成を限定する趣旨ではない。認証サーバ１０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、認証サーバ１０に含まれるプロセッサ３１１等の数も図２５の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が認証サーバ１０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

認証サーバ１０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、管理サーバ２０、認証端末３０等も認証サーバ１０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は認証サーバ１０と相違する点はないので説明を省略する。例えば、認証端末３０は、利用者を撮像するためのカメラを備えていればよい。

認証サーバ１０は、コンピュータを搭載し、当該コンピュータにプログラムを実行させることで認証サーバ１０の機能が実現できる。また、認証サーバ１０は、当該プログラムにより認証サーバの制御方法を実行する。

［変形例］
なお、上記実施形態にて説明した認証システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

上記実施形態では、利用者がユーザＩＤ、パスワードを決定し、当該ユーザＩＤ、パスワードを用いてシステムに登録された利用者（システム利用者）を特定することを説明した。しかし、認証システムが、システム利用者を一意に特定するＩＤ（識別子）を決定してもよい。例えば、利用者登録フェーズにおいて、認証サーバ１０は利用者の生体情報（顔画像、特徴量）を取得する。認証サーバ１０は、当該生体情報に基づき上記ＩＤを生成してもよい。例えば、認証サーバ１０は、顔画像の特徴量からハッシュ値を計算し、当該計算されたハッシュ値を、ユーザＩＤ、パスワードの代わりとして用いてもよい。顔画像の特徴量は利用者ごとに異なり、当該特徴量から生成されたハッシュ値も利用者ごとに異なるため、システム利用者のＩＤとして用いることができる。

上記実施形態では、利用者登録フェーズとサービス登録フェーズが異なるタイミングで実行されることを説明したが、これらのフェーズは実質的に同タイミングにて実行されてもよい。例えば、利用者がサービスの提供を希望するサービス提供者に設置された認証端末３０が用いられ、上記２つの登録フェーズが実行されてもよい。具体的には、利用者は、認証端末３０を用いて利用者登録（生体情報、ユーザＩＤ、パスワードの入力）を行い、その後、連続して、サービス登録（個人情報、ユーザＩＤ、パスワードの入力）を行ってもよい。この場合、認証端末３０は、認証サーバ１０の利用者登録機能（利用者登録部２０２）と管理サーバ２０の個人情報取得機能（個人情報取得部３０２）を備えればよい。

サービス提供者が有する複数の認証端末３０は、同じ敷地や建物等に設置されていなくともよい。サービス提供者が共通すれば、各認証端末３０は空間的に離れて場所に設置されていてもよい。

上記実施形態では、１つのサービス提供者に１つのサービス提供者ＩＤを割り当てることを説明したが、複数のサービス提供者に対して１つのサービス提供者ＩＤが割り当てられてもよい。複数のサービス提供者をグループとしてまとめ、グループごとにサービス提供者ＩＤが発行されてもよい。例えば、サービス提供者Ｓ１とＳ２が連携し、同じサービスを提供するような場合には、これらのサービス提供者Ｓ１、Ｓ２に対して共通のサービス提供者ＩＤが発行されてもよい。

上記実施形態では、管理サーバ２０から認証サーバ１０に「顔画像から生成された特徴量」に係る生体情報が送信される場合について説明した。しかし、管理サーバ２０から認証サーバ１０に「顔画像」に係る生体情報が送信されてもよい。この場合、認証サーバ１０は、取得した顔画像から特徴量を生成し、認証処理（照合処理）を実行すればよい。

上記実施形態では、認証端末３０が顔画像を取得し、管理サーバ２０が当該顔画像から特徴量を生成する場合について説明した。しかし、認証端末３０が顔画像から特徴量を生成し、当該生成した特徴量を管理サーバ２０に送信してもよい。即ち、管理サーバ２０が特徴量の生成を行わなくてもよい。

上記実施形態では、サービス登録フェーズにて、利用者が個人情報の登録の際、ユーザＩＤとパスワードをサービス提供者に入力する場合について説明した（図１３参照）。しかし、当該ユーザＩＤとパスワードに替えて、利用者の生体情報（顔画像）がサービス提供者に入力されてもよい。この場合、管理サーバ２０は、顔画像から生成された特徴量とサービス提供者ＩＤを含むサービス登録要求を認証サーバ１０に送信する。認証サーバ１０は、当該要求に含まれる特徴量と認証情報データベースに登録された特徴量を用いた照合処理を実行し、対応する利用者を特定する。認証サーバ１０は、利用者の特定（認証）に成功した場合に、サービスユーザＩＤを払い出す。このような対応により、利用者がユーザＩＤやパスワードを失念している場合でも、利用者は、容易にサービス登録を行える。あるいは、サービス提供者は、ユーザＩＤとパスワードに加え、利用者の生体情報（顔画像）を取得してもよい。この場合、認証サーバ１０は、ユーザＩＤ、パスワード、生体情報が一致した場合に、サービスユーザＩＤを払い出してもよい（生体情報とパスワードを利用した二要素認証が実行されてもよい）。

サービス提供者は、認証サーバ１０から取得した情報や認証端末３０から取得した情報をキャッシュ（一時的に保持）してもよい。例えば、管理サーバ２０は、認証端末３０から取得した生体情報と当該生体情報に基づく認証の結果（サービスユーザＩＤ）を所定の期間、キャッシュする。管理サーバ２０は、認証端末３０から生体情報を取得した際、最初にキャッシュされたデータを確認し、取得した生体情報にヒットするキャッシュデータが存在すれば、認証要求を、認証サーバ１０を送信しない。管理サーバ２０は、キャッシュデータに含まれるサービスユーザＩＤを用いて個人情報を特定する。あるいは、管理サーバ２０は、生体情報と個人情報の組み合わせをキャッシュしてもよい。あるいは、サービスの種類に応じて、キャッシュされたデータを削除する条件を変更してもよい。例えば、ホテル事業者による宿泊サービスが提供される場合には、管理サーバ２０は、宿泊客の滞在期間が終了したタイミングでキャッシュデータを削除してもよい。

上記実施形態では、認証サーバ１０が暗号鍵を生成する場合について説明したが、管理サーバ２０が暗号鍵を生成してもよい。この場合、第２の実施形態では、管理サーバ２０が暗号鍵を生成し、個人情報を暗号化する。管理サーバ２０は、暗号化された個人情報とサービスユーザＩＤを対応付けて記憶する。その後、管理サーバ２０は、暗号鍵を認証サーバ１０に送信する。認証サーバ１０は、取得した暗号鍵をユーザＩＤ等と対応付けて記憶する。第３の実施形態では、管理サーバ２０は、暗号化した個人情報を認証サーバ１０に送信する。管理サーバ２０は、生成した暗号鍵とサービスユーザＩＤを対応付けて記憶する。認証サーバ１０は、取得した個人情報（個人情報の暗号文）とユーザＩＤ等を対応付けて記憶する。管理サーバ２０は、第２、第３の実施形態にて説明したタイミングにて、オリジナルの個人情報や暗号鍵を削除する。管理サーバ２０が暗号鍵を生成することによって、第３の実施形態の場合には、認証サーバ１０と管理サーバ２０の間の通信回数を削減することができる。

上記実施形態では、個人情報を暗号化する暗号鍵として共通鍵を用いる場合について説明した。しかし、個人情報を暗号化する暗号鍵として「秘密鍵」、「公開鍵」が用いられてもよい。この場合、認証サーバ１０は、秘密鍵をユーザＩＤ等と対応付けて記憶する。また、認証サーバ１０は、公開鍵を管理サーバ２０に配布する。管理サーバ２０は、公開鍵を用いて個人情報を暗号化する。認証サーバ１０は、認証要求を受信すると、サービスユーザＩＤと秘密鍵を管理サーバ２０に送信する。管理サーバ２０は、取得した秘密鍵を用いて個人情報を復号する。

各装置（認証サーバ１０、管理サーバ２０、認証端末３０）間のデータ送受信の形態は特に限定されないが、これら装置間で送受信されるデータは暗号化されていてもよい。これらの装置間では、生体情報が送受信され、当該生体情報を適切に保護するためには、暗号化されたデータが送受信されることが望ましい。

上記説明で用いた流れ図（フローチャート、シーケンス図）では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

上記の実施形態は本願開示の理解を容易にするために詳細に説明したものであり、上記説明したすべての構成が必要であることを意図したものではない。また、複数の実施形態について説明した場合には、各実施形態は単独で用いてもよいし、組み合わせて用いてもよい。例えば、実施形態の構成の一部を他の実施形態の構成に置き換えることや、実施形態の構成に他の実施形態の構成を加えることも可能である。さらに、実施形態の構成の一部について他の構成の追加、削除、置換が可能である。

上記の説明により、本発明の産業上の利用可能性は明らかであるが、本発明は、小売店やホテル業者等の顧客を認証する認証システムなどに好適に適用可能である。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する、利用者登録部と、
前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する、サービス登録部と、
記憶部と、
を備え、
前記サービス登録部は、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、前記第３のＩＤを前記サービス提供者に送信し、
前記記憶部は、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバ。
［付記２］
前記サービス提供者から前記利用者の第２の生体情報と前記第２のＩＤを含む認証要求を受信し、前記第１及び第２の生体情報と前記第２のＩＤを用いて前記第３のＩＤを特定すると共に、前記特定した第３のＩＤを前記サービス提供者に送信する、認証部をさらに備える、付記１に記載の認証サーバ。
［付記３］
前記利用者登録部は、前記利用者のパスワードを取得し、
前記記憶部は、前記第１の生体情報、前記第１のＩＤ、前記パスワード、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、付記１又は２に記載の認証サーバ。
［付記４］
前記サービス登録部は、前記第１のＩＤ、前記パスワード及び前記第２のＩＤを用いてハッシュ値を計算し、前記計算されたハッシュ値を前記第３のＩＤとする、付記３に記載の認証サーバ。
［付記５］
前記第１の生体情報は、前記利用者の顔画像から生成された特徴量である、付記１乃至４のいずれか一に記載の認証サーバ。
［付記６］
システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する、利用者登録部と、
前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を処理する、サービス登録部と、
第１の記憶部と、
を備え、
前記サービス登録部は、前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成すると共に、前記第３のＩＤを前記サービス提供者に送信し、
前記第１の記憶部は、前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバと、
前記利用者から前記第１のＩＤと前記利用者の個人情報を取得する、個人情報取得部と、
前記サービス登録要求を前記認証サーバに送信することで、前記第３のＩＤを取得する、サービス登録要求部と、
前記利用者の個人情報と前記第３のＩＤを対応付けて記憶する、第２の記憶部と、を備える、管理サーバと、
を含む、認証システム。
［付記７］
前記認証サーバは、前記サービス提供者から前記利用者の第２の生体情報と前記第２のＩＤを含む認証要求を受信し、前記第１及び第２の生体情報と前記第２のＩＤを用いて前記第３のＩＤを特定すると共に、前記特定した第３のＩＤを前記サービス提供者に送信する、認証部をさらに備え、
前記管理サーバは、前記利用者にサービスを提供する際、前記認証要求を前記認証サーバに送信することで取得した前記第３のＩＤを用いて前記利用者の個人情報を特定する、認証要求部をさらに備える、付記６に記載の認証システム。
［付記８］
前記利用者から取得した生体情報を前記管理サーバに送信することで、前記管理サーバから前記利用者の個人情報を取得し、前記取得した個人情報を用いて前記利用者にサービスを提供する、認証端末をさらに含む、付記７に記載の認証システム。
［付記９］
前記認証サーバは、前記利用者の顔画像から生成した第１の特徴量を前記第１の生体情報として記憶し、
前記認証端末は、前記利用者の顔画像を前記管理サーバに送信し、
前記管理サーバは、前記顔画像から生成した第２の特徴量を前記第２の生体情報とする、付記８に記載の認証システム。
［付記１０］
前記個人情報は、前記利用者の生体情報を含まない、付記６乃至９のいずれか一に記載の認証システム。
［付記１１］
認証サーバにおいて、
システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得し、
前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を受信し、
前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成し、
前記第３のＩＤを前記サービス提供者に送信し、
前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する、認証サーバの制御方法。
［付記１２］
認証サーバに搭載されたコンピュータに、
システムにおいて利用者を一意に定める第１のＩＤと、前記利用者の認証に用いる第１の生体情報を取得する処理と、
前記利用者が利用を希望するサービスのサービス提供者から送信された、前記第１のＩＤと前記サービス提供者を識別する第２のＩＤを含むサービス登録要求を受信する処理と、
前記利用者と前記サービス提供者の組み合わせにより一意に定まる第３のＩＤを生成する処理と、
前記第３のＩＤを前記サービス提供者に送信する処理と、
前記第１の生体情報、前記第１のＩＤ、前記第２のＩＤ及び前記第３のＩＤを対応付けて記憶する処理と、
を実行させるためのプログラムを記憶する、コンピュータ読取可能な記憶媒体。

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。即ち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得る各種変形、修正を含むことは勿論である。

１０、１００ 認証サーバ
２０ 管理サーバ
３０ 認証端末
４０ 端末
１０１、２０２ 利用者登録部
１０２、２０４ サービス登録部
１０３、２０６、３０６、４０５ 記憶部
２０１、３０１、４０１ 通信制御部
２０３、３０４ データベース（ＤＢ；Data Base）管理部
２０５ 認証部
３０２ 個人情報取得部
３０３ サービス登録要求部
３０５ 認証要求部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス
４０２ 生体情報取得部
４０３ サービス提供部
４０４ メッセージ出力部

Claims (6)

1. 利用者が利用を希望するサービスのサービス提供者から送信された、顔情報と前記サービス提供者を識別するサービス提供者ＩＤを含むサービス登録要求を受信する受信部と、
   前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤ、前記顔情報及び前記サービス提供者ＩＤを対応付けて記憶する記憶部と、
   を備える認証サーバ。
2. 利用者を撮影した撮影顔情報とサービス提供者を識別するサービス提供者ＩＤを含む認証要求を受信する受信部と、
   前記撮影顔情報と事前登録された顔情報の照合結果と前記サービス提供者ＩＤに基づいて、前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤを特定する特定部と、
   前記サービスユーザＩＤを前記サービス提供者に送信する送信部と、
   を備える認証サーバ。
3. 認証サーバにおいて、
   利用者が利用を希望するサービスのサービス提供者から送信された、顔情報と前記サービス提供者を識別するサービス提供者ＩＤを含むサービス登録要求を受信し、
   前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤ、前記顔情報及び前記サービス提供者ＩＤを対応付けて記憶する、認証サーバの制御方法。
4. 認証サーバにおいて、
   利用者を撮影した撮影顔情報とサービス提供者を識別するサービス提供者ＩＤを含む認証要求を受信し、
   前記撮影顔情報と事前登録された顔情報の照合結果と前記サービス提供者ＩＤに基づいて、前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤを特定し、
   前記サービスユーザＩＤを前記サービス提供者に送信する、認証サーバの制御方法。
5. 認証サーバに搭載されたコンピュータに、
   利用者が利用を希望するサービスのサービス提供者から送信された、顔情報と前記サービス提供者を識別するサービス提供者ＩＤを含むサービス登録要求を受信する処理と、
   前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤ、前記顔情報及び前記サービス提供者ＩＤを対応付けて記憶する処理と、
   を実行させるためのプログラム。
6. 認証サーバに搭載されたコンピュータに、
   利用者を撮影した撮影顔情報とサービス提供者を識別するサービス提供者ＩＤを含む認証要求を受信する処理と、
   前記撮影顔情報と事前登録された顔情報の照合結果と前記サービス提供者ＩＤに基づいて、前記顔情報と前記サービス提供者を一意に示すサービスユーザＩＤを特定する処理と、
   前記サービスユーザＩＤを前記サービス提供者に送信する処理と、
   を実行させるためのプログラム。

Images