JP2024510783A - 簡素化された認証により個人を確認する方法 - Google Patents

Abstract

本発明は、個人の参照生体データが記憶された電子チップを含み、身分証明書の光学読み取りデータを示す自動読み取り領域を表示することのできる支持体上の身分証明書を有する個人を確認する方法に関し、この方法は、本人確認装置（３０）による、（ａ）その個人の生体特徴に関する候補の生体データを取得するステップと、（ｂ）候補の生体データに基づいて、メモリ（２０）から、その個人の生体特徴に対応する参照生体データに関連付けられる光学読み取りデータを取得するステップと、（ｃ）取り出された前記光学読み取りデータを使って、その個人の身分証明書の支持体の電子チップとのセキュア通信チャネルを開くステップとの実行を含む。【選択図】図２

Description

本発明は、個人の参照生体データが記憶された電子チップを含み、身分証明書の光学読み取りデータを提示する自動読み取りゾーンを表示することのできる媒体上の身分証明書を有する個人を確認する方法に関する。本発明は特に、保護された区域又はサービスにアクセスする際、例えば航空機の搭乗エリアに立ち入る際の個人の確認に応用される。

本人確認は、個人が保護された区域又はサービスにアクセスするとき、例えば国境を越える、又は航空機に搭乗するときに必要となることがある。

旅券又は電子ＩＤカード等の電子身分証明書により、生体認証での本人確認を行うことが可能であり、これは個人の生体特徴から得られた生体データを身分証明書に含まれるチップの中に事前に記録された生体データと比較することによる。

このような文書によってセキュリティを高めることが可能となり、これは、その文書の中に含まれる生体データはその文書を発行した公式な機関が保護し、署名でき、それが本人確認中に検証可能なものであるからである。

これらによれば、専用の本人確認装置により個人が自分自身の旅券を扱って本人確認装置に提示して読み取らせることができるようにすることによって、実行される本人確認を自動化できる。

しかしながら、身分証明書の、特に旅券のような冊子の形態の文書の物理的な扱いは、自分の本人確認を受ける個人にとって難しい場合があり得る。

実際、身分証明書の中に含まれる生体データは読み取りが制限されている。それにアクセスするには身分証明書の番号を知る必要があり、これはＭＲＺ（機械可読ゾーン（Ｍａｃｈｉｎｅ－Ｒｅａｄａｂｌｅ Ｚｏｎｅ））とも呼ばれる自動読み取りゾーンに記載されている。このような自動読み取りゾーンは文書の表面の（又は、必要であれば、そのうちの１ページの）、コンピュータにより読み取り可能で、印刷された文字の光認識によって復号化されるように標準化された書式でテキストが印刷されている部分である。

その結果、認証を実行できるようにするためには、個人は文書の中の自動読み取りゾーンのある特定のページを本人確認装置のリーダがそれを読むことのできる特定の方向に提示しなければならない。番号がわかると、それを使ってチップの内容にアクセスできる。

その結果、身分証明書が正しく提示されないと、その個人の認証は失敗し得る。

この物理的な扱いのステップは時間がかかり、例えば空港で長い列ができることになりがちである。さらに、これは個人認証の失敗の割合が高い原因である。

したがって、チェックポイントで持つ人の列を短縮するために、本人確認中に個人を認証するためのこれらの文書の扱いをできるだけ限定することが必要である。

この問題の解決策はすでに提案されている。これは、個人の確認を２つのステップ、すなわち身分証明書の扱いが必要な第一のステップと、身分証明書を扱わずに認証が行われる第二のステップに分けるようにする。

より正確には、第一のステップで、個人は自分の旅券を扱って、それを本人確認装置のリーダの上に正しく位置付け、それが旅券の自動読み取りゾーンを読み取って旅券に含まれる生体データ、この場合は本人顔写真にアクセスする。

番号はこの生体データに関連付けられ、この番号のチケットがその個人に発行される。データの他、番号もデータベースに記録される。

第二のステップでは、個人はチケットを第二の本人確認装置に提示する。この装置は、チケット上に印刷された番号を読み取り、データベースにアクセスして対応する生体データを取り出す。

それと同時に、本人確認装置によって個人の写真が撮影され、この写真がベースから取り出された生体データ（旅券に記憶されているものと合致する）と比較されて、個人の生体認証が行われる。

このようにして、この解決策により、旅券を取り扱う時間のかかるステップを、セキュリティゾーンへの立ち入りを認める認証ステップの上流に移行させて、このステップを待つ人の列を短縮することが可能となる。

しかしながら、この解決策では問題を完全には解決できず、というのも、個人にチケットが発行されるということは、持っているべき文書がさらに増えることになり、それを紛失したり又は取り違えたりする可能性があるからである。さらに、第二のステップでも依然としてこのチケットを取り扱う必要があり、これもまた時間を要し、エラーの原因にもなりかねない。

より最近では、文献、欧州特許第３２４９５６９号明細書では、このプロセスの最適化が提案されている。そのために、各ステップで個人の写真が撮影され、それによって第二のステップで個人の生体特徴に対応する身分証明書番号がデータベースから取り出される。

これによって、個人の生体認証を含む第二のステップにおける身分証明書の、又はさらには追加の文書（チケット）の取り扱いが不要となり、それがこのステップを簡略化し、その通過をスピードアップする。

この解決策は十分に満足できるものの、さらに容易化しながら、それと同時に完全なセキュリティを保持できるようにすることが望ましいであろう。

本発明は、上述の課題を解決することを目的としている。特に、本発明の目的の１つは、個人による文書の取り扱いを最小限にする自動本人確認方法を提案することである。

本発明の他の目的は、認証ステップを実行するのに必要な時間を短縮することである。

本発明の他の目的は、個人にとって実行が容易で実践的な本人確認方法を提案することである。

これに関して、本発明は、個人の参照生体データが記憶された電子チップを含み、身分証明書の光学読み取りデータを示す自動読み取りゾーンを表示することのできる媒体上の身分証明書を有する個人を確認する方法に関し、この方法は、本人確認装置によって、
（ａ）その個人の生体特徴からの候補の生体データを取得するステップと、
（ｂ）候補の生体データから、メモリの中で、その個人の生体特徴に対応する参照生体データに関連付けられる光学読み取りデータを取り出すステップと、
（ｃ）前記取り出された光学読み取りデータを使って、その個人の身分証明書の媒体の電子チップとのセキュア通信チャネルを開くステップと
を実行することを含む。

有利な非限定的特徴によれば：

ステップ（ｃ）は個人の参照生体データを前記電子チップから前記セキュア通信チャネルを介して取り出すことも、又は身分証明書媒体の前記自動読み取りゾーンを読み取ることも含まない。

ステップ（ｃ）は、前記セキュア通信チャネルを介して前記電子チップを認証することを含む。

前記電子チップは、秘密及び公開鍵ペアを記憶し、前記電子チップの前記認証は、アクティブ認証及びハードウェア認証から選択される。

前記電子チップの前記認証は、ナンスの送信に応答して電子チップから受信した電子署名の前記公開鍵を使用した検証を含むアクティブ認証である。

電子チップの前記認証に必要なデータ以外のデータは、前記セキュア通信チャネルを介して送信されない。

前記セキュアチャネルは、前記取り出された光学読み取りデータから得られた鍵を使って、基本アクセス制御ＢＡＣ（Ｂａｓｉｃ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）及び鍵共有利用アクセス制御ＰＡＣＥ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｏｎｎｅｃｔｉｏｎ Ｅｓｔａｂｌｉｓｈｍｅｎｔ）から選択されるプロトコルにしたがって開かれる。

ステップ（ｂ）は、
－メモリに記憶された参照生体データを候補の生体データと比較することと、
－候補の生体データとの類似率が所定の閾値より大きい少なくとも１つの参照生体データに対応する身分証明書の少なくとも１つの光学読み取りデータを選択することと、
を含む。

身分証明書の２つ以上の光学読み取りデータが選択された場合、ステップ（ｃ）は、セキュア通信チャネルが開くまで、選択された各光学読み取りデータについて試行される。

本人確認装置は非接触通信手段を含み、ステップ（ｃ）は、前記媒体を本人確認装置の付近に何れかの向きで置くことによって行われる。

方法は、登録装置によって実行される、前記電子チップから個人の参照生体データを取り出し、自動読み取りゾーンを読み取ることにより身分証明書の光学読み取りデータを取得し、前記リモートメモリ（２０）の中に、個人の参照生体データに関連付けられた身分証明書の光学読み取りデータを記録する事前ステップ（ａ０）を含む。

身分証明書は旅券であり、
－ステップ（ａ０）中、旅券は自動読み取りゾーンのページを開いて登録装置に向かって提示され、身分証明書の光学読み取りデータが取得され、
－ステップ（ｃ）中、旅券は閉じて本人確認装置に向かって提示される。

第二の態様によれば、本発明は、個人の参照生体データが記憶された電子チップを含み、身分証明書の光学読み取りデータを示す自動読み取りゾーンを表示することのできる媒体上の身分証明書を有する個人を確認する装置に関し、この装置は、
（ａ）その個人の生体特徴に関する候補の生体データを取得するステップと、
（ｂ）候補の生体データから、メモリの中で、その個人の生体特徴に対応する参照生体データに関連付けられる光学読み取りデータを取り出すステップと、
（ｃ）前記取り出された光学読み取りデータを使って、その個人の身分証明書の媒体の電子チップとのセキュア通信チャネルを開くステップと
を実行するように構成される。

第三の態様によれば、本発明は個人を確認するためのシステムに関し、これは、
－メモリと、
－第二の態様による本人確認装置と、
－前記電子チップから個人の参照生体データを取り出すステップと、自動読み取りゾーンを読み取ることによって身分証明書から光学読み取りデータを取得するステップと、前記リモートメモリの中に、個人の参照生体データに関連付けられる身分証明書の光学読み取りデータを記録するステップを実行するように構成される登録装置と、
を含む。

第四及び第五の態様によれば、本発明は、個人を確認する第一の態様による方法を実行するコード命令を含むコンピュータプログラム製品と、その上のコンピュータプログラム製品が個人を確認する第一の態様による方法を実行するコード命令を含むコンピュータ可読記憶手段に関する。

本発明のその他の特徴、目的、及び利点は、非限定的な例として提供される下記のような添付の図面に関する以下の詳細な説明からわかるであろう。

本発明による方法を実行するための本人確認システムを概略的に示す。 本発明による本人確認方法の好ましい実施形態の主要ステップを概略的に示す。

本発明の少なくとも１つの実施形態の詳細な説明
アーキテクチャ
図１を参照すると、個人を確認するためのシステム１が示されている。このシステムにより、個人の生体認証を実行して、個人によるセキュリティゾーン又はサービスへのアクセスを許可又は禁止することが可能となる。

本人確認の実行を可能にするために、個人は物理的な、又はデジタル化された身分証明書を有していなければならない。何れの場合も、これらは身分証明書の物理的媒体を有する。

第一の実施形態によれば、身分証明書は旅券若しくはＩＤカード等の物理的文書（すなわち、媒体が文書である）又はＲＦＩＤチップ等の電子チップを含むチップカード（「スマートカード」）であり、そこに個人の生体特徴から得られた少なくとも１つの生体データが記憶される。

身分証明書に含まれる生体データを以下、参照生体データとする（個人についてその場で取得される候補の生体データとは異なる）。

電子チップも同じく、一般的に、実際には身分証明書の媒体に、それが「物理的」であれば印刷される個人の様々な英数字データを記憶し、これらは「視覚データ」と呼ばれ、特に、
・身分証明書の正式な番号
・有効期限
・発行日
・姓
・名
・国籍
・生年月日
・出生地
・性別
・身長
・住所
・その他
から選択される。

各身分証明書はさらに、光学読み取りデータを示す（すなわち、コンピュータに容易に視覚的に伝送されるための）自動読み取りゾーン、例えばＭＲＺ、ＱＲコード、又はＰＤＦ４１７を示す自動読み取りゾーンを有し、これも物理的文書のための媒体に印刷される。文書の自動読み取りゾーンはこの文書を読み取り、識別し、有効性確認を行うために留保される。

一連の情報をコード化する数字データ（一般に、同じく電子チップに記憶される）である光学読み取りデータ及び、特にＩＣＡＯ規格において「ＤＧ１」と呼ばれる前記視覚データの一部（少なくとも身分証明書の少なくとも身分証明書番号、個人の生年月日、及び／又は有効期限、特にそれらの連続）（参照生体データは、「ＤＧ２」と呼ばれ、特定の数の任意選択的情報はＤＧ３～ＤＧ１６と呼ばれる）と、自動読み取りゾーンであり、コンピュータ又は、光学読み取りデータの光学的取得及び抽出を実行し、これを復号化できる何れかの同等の処理ユニットにより読み取り可能なフォーマットの光学読み取りのためのその描写が区別される。換言すれば、光学読み取りデータは光学読み取りゾーンの内容である。

ＭＲＺの場合、光学読み取りデータの表現は文字列であり（そして、その読み取りは光学文字認識を示唆する）、ＱＲコードの場合、それは２Ｄバーコードである。この説明の残りの部分で、ＭＲＺの好ましい例を説明し、幾分不正確であるが、ＭＲＺは対応する光学読み取りデータを指定するために使用される。ＭＲＺはＩＣＡＯ（ＩＣＡＯ ９３０３）により標準化され、これは規格ＩＳＯ／ＣＥＩ ７５０１－１：２００８（及びＩＣＡＯ補遺）に記載されている。

好ましい旅券の場合、この文書は表紙と複数ページを含む冊子の形態で提示され、自動読み取りゾーン（ＭＲＺフォーマット）は小冊子の中の１ページにあり、このゾーンを読み取るには、旅券の正しいページを開いて、正しく位置付ける必要がある。

第二の実施形態によれば、身分証明書はスマートフォン又はスマートウォッチ等のユーザ端末上でデジタル化され、すなわち文書の媒体は前記端末である。しかしながら、実際には、電子チップ（端末のプロセッサと記憶手段、例えばフラッシュメモリ）及び同じデータも見られる。このような端末は好ましくは、非接触通信手段（典型的にはＮＦＣであるが、ＢＬＥ、又はＵＷＢ、及び一般的にはあらゆる近距離無線通信も）含み、旅券の場合のようにＲＦＩＤチップの動作をそのまま再現することが可能である。

物理的な身分証明書との唯一の違いは、「デジタル化された」文書も同じ光学読み取りデータを含む一方で、自動読み取りゾーン（ＭＲＺ、ＱＲコード、又はＰＤＦ４１７としてのその描写）は媒体上に印刷されず、要求に応じて表示され得るだけである、という点である。より正確には、このデータも端末の記憶手段に記憶されて、端末のインタフェース上に表示されることになる。この表示は有利な点として、物理的な身分証明書のもともとの外観を、例えば同等の旅券のページ全体を表示することによって再現する。

すなわち、そのフォーマットにかかわらず、個人の身分証明書の媒体は常に個人の参照生体データを記憶する電子チップを含み、また、身分証明書の光学読み取りデータの視覚的提供が、これが単純に表示されるだけにしろ、又は物理的に媒体上に印刷されるにしろ、可能であると理解されたい。

個人を確認するシステムにより、例えば飛行機に搭乗する前又は国境を越える前に個人を確認することができる。

個人を確認するシステム１は、本人確認装置３０、メモリ２０、及びおそらくは登録装置１０を含む。

本人確認装置３０は、有利な態様として、セキュアアクセスゾーンへの入口に配置される。これは、個人が本人確認できた場合のみ通行を許可されるガントリの形態とすることができる。

登録装置１０は、有利な態様として、おそらくは本人確認装置３０と同じインフラストラクチャ（例えば、同じビル）内に、そこから離して配置されたスタンド等の固定された本人確認用構造である（空港での搭乗前の本人確認の場合、登録装置は本人確認装置と同じ出発ターミナル内に設置できる。しかしながら、本人確認装置のための列の中には置かれず、これら２つの装置を使用する人の流れを分離できるようになっている）が、代替的に、市役所等の公共の建物又は他の何れかの信頼できる機関の中にある。実際に、いずれわかるように、セキュリティが保護されていなければならない登録装置は、最初に一回使用するだけでよく、その後、個人を確認するための本願の方法を何度も実行できる。換言すれば、先行技術による既知の方法とは異なり、本人確認のたびに登録装置を行う必要がない。

登録装置１０は、例えばプロセッサ、マイクロプロセッサ、コントローラ等のコンピュータ１１を含む。

これは、文書の光学読み取りデータの内容を読み取るモジュール１２も含む。モジュール１２は例えば、デジタル写真装置又はデジタルカメラ等、自動読み取りゾーンの画像を取得するのに適したイメージセンサ１３と、文字認識モジュール１４を含むことができる。モジュール１４は、コンピュータ１１により実行可能なソフトウェアアプリケーションとすることができ、又は代替的にハードウェアとすることもできる。これは、例えば本人確認装置が個人の携帯電話若しくはタブレット又はパーソナルコンピュータである場合に当てはまり得て、装置は文字認識を実行するように構成される。代替的に、自動読み取りゾーンの画像は、個人のデバイスがこの機能を持たない場合、リモートで処理することもできる。この場合、モジュール１４は登録装置の他のリモート処理ユニット（図示せず）のコンピュータにより実行可能なソフトウェアアプリケーションとすることができ、すると、登録装置１０はリモート処理ユニットと通信するインタフェースを含み、それに自動読み取りゾーンの画像を送ることができ、そこで文字認識が行われる。

登録装置１０は、身分証明書のチップのリーダ１６をさらに含む。典型的に、身分証明書の媒体に含まれるチップは高周波チップ（例えば、ＲＦＩＤ高周波タグ又はＵＨＦチップ）であるか、又は媒体は非接触通信手段（ＮＦＣ等）を含み、リーダ１６はチップとの無線周波数通信によってリモートでチップの内容を読み取るのに適している。

最後に、登録装置１０は、本人確認システム１のメモリ２０とのリモート通信のためのインタフェース１５を含む。このインタフェースによって、コンピュータ１１はメモリ２０と情報を交換できる。メモリ２０は、有利な態様として、登録装置１０とは離れている。その結果、通信インタフェース１５は好ましくは、イーサネット等のワイヤード通信インタフェース、又はＷｉ－Ｆｉ又はＢｌｕｅｔｏｏｔｈ型若しくは移動電話ネットワーク（ＧＰＲＳ、３Ｇ、４Ｇ、又はその他）等のワイヤレス通信インタフェースと、メモリ２０とのリンクを提供する他の何れかの下流の通信ネットワークとの組合せである。

有利な態様として、ただし任意選択により、登録装置１０は究極的に、キーボード、タッチスクリーン等の情報入力インタフェース１７を含み得る。

本人確認装置３０はコンピュータ３１を含み、これはプロセッサ、マイクロプロセッサ、コントローラでもあり得る。

それに加えて、本人確認装置３０は、個人の生体特徴からの生体データを取得するためのモジュール３２を含む。生体特徴は例えば、顔の形状、個人の１つ以上の指紋、又はさらには個人の１つ以上の虹彩とすることもできる。また、片手又は両手の１本以上の指の静脈網の構造又は指骨若しくは指のそれぞれの大きさとすることもできる。

生体データを取得するためのモジュール３２は、イメージセンサ３３と、生体特徴の画像から生体データを抽出するのに適した画像処理モジュール３４を含む。生体データの抽出は、生体特徴の画像を処理することによって実行され、これは生体特徴の性質に依存する。様々な画像を処理して生体データを抽出する方法は当業者の間で知られている。非限定的な例として、生体データの抽出は指紋の画像からの指紋の細部の抽出を含むことができる。代替的に、これは画像が個人の顔の画像である場合に画像の特定の点又は形状等の抽出を含むことができる。代替的に、畳み込みニューラルネットワークが使用され得る。

本人確認システム１のメモリ２０は、前述のように本人確認装置３０の内臓メモリとすることができる。代替的に、これは本人確認装置３０のメモリから離れたメモリ、有利な態様としてはデータベースとすることができる。この場合、後者はまた、メモリ２０とのリモート通信のためのインタフェースも含む。

最後に、本人確認装置３０は身分証明書のチップのリーダ３６を含む。典型的に、身分証明書の媒体に含まれるチップは高周波チップ（例えば、ＲＦＩＤ高周波タグ又はＵＨＦチップ）であり、又は媒体は非接触通信手段（ＮＦＣ等）を含み、リーダ３６はチップとの無線周波数通信によってリモートでチップの内容を読み取るのに適している。

本人確認装置３０はまた、キーボード、タッチスクリーン等の情報入力インタフェース３７も含むことができる。

システム１は、後述の本人確認方法を実行するのに適している。

登録
図２を参照すると、個人を確認する方法の主なステップが示されている。この方法により、本人確認のためにそこにいる個人がその身分証明書の発行相手である個人に対応することを、その個人から取得したばかりの生体データを文書の中に含まれているチップに記憶された生体認証データと比較することによる生体認証を実行することによって検証できる。

この方法は、有利な態様として、登録装置１０により行われる事前登録ステップ（ａ０）を含む。前述のように、このステップは１回行われるだけでよく、その後、方法はそれを含まずに実行できる。好ましくは、セキュリティのためにそれが再び定期的に、例えば１年に１回、行われることが予想される。

ステップ（ａ０）は、個人の身分証明書に対応するメモリ２０内のエントリを作成することを目的としており、典型的に、その個人のＤＴＣを生成することからなる。ＤＴＣ（Ｄｉｇｉｔａｌ Ｔｒａｖｅｌ Ｃｒｅｄｅｎｔｉａｌｓ）とは、ＩＣＡＯにより認められた形式での身分証明書の仮想形態の容器と理解されたく、特にｈｔｔｐｓ：／／ｗｗｗ．ｉｃａｏ．ｉｎｔ／Ｍｅｅｔｉｎｇｓ／ＴＲＩＰ－Ｓｙｍｐｏｓｉｕｍ－２０１９／ＰｕｂｌｉｓｈｉｎｇＩｍａｇｅｓ／Ｐａｇｅｓ／Ｐｒｅｓｅｎｔａｔｉｏｎｓ／Ｄｉｇｉｔａｌ％２０Ｔｒａｖｅｌ％２０Ｃｒｅｄｅｎｔｉａｌｓ．ｐｄｆの記述を参照のこと。換言すれば、ＤＴＣは身分証明書の上述のデータの全部又は一部、特に光学読み取りデータ（ＤＧ１）及び参照生体データ（ＤＧ２）を含む。それゆえ、ステップ（ａ０）は個人の身分証明書のデジタル化と考えてよい。端末を身分証明書のための媒体として使用することはすでに、ＤＴＣが存在し、端末のメモリにロードされることを示唆しており、それによってステップ（ａ０）は理論上、物理的身分証明書の場合にのみ実行すればよいことになる。

それゆえ、ステップ（ａ０）は、まず個人の参照生体データを前記電子チップから取り出して、自動読み取りゾーンを読み取ることによって身分証明書から光学読み取りデータを取得することを含む。この動作は従来通りであり、従来の方法で（空港の本人確認装置においてよく行われ、人の行列ができる）実行できる。個人は、身分証明書を持って、その文書の自動読み取りゾーンのあるページを、自動読み取りゾーンがセンサ１３の取得ゾーンから見えるようにしてセンサ１３に提示する必要があり、これはセンサがそのゾーンの画像を取得できる位置と向きで提示される。登録装置１０の読み取りモジュール１２は、自動読み取りゾーンの画像を取得し、そのようなゾーンからその文書の光学読み取りデータを抽出する。参照生体データの取り出しは実質的に自動的に実行でき、それは、光学読み取りデータを使ってチップの内容にアクセスし、参照生体データを検出できるからである。

代替的に、個人の、異なる生体特徴に対応する幾つかの生体データが利用可能であり、取り出され得る。例えば、個人の虹彩からの第一の生体データ、顔からの、又は指紋からの第二の生体データ、等である。

すると、登録装置１０は、個人の参照生体データに関連付けられる身分証明書の光学読み取りデータを前記メモリ２０に記録する。非限定的な例として、光学読み取りデータと参照生体データを含むデータがコンピュータ１１により、例えばダブレットの形態で生成され、メモリに記憶されることが可能である。それゆえ、両方のデータはメモリ２０の中で関連付けられる。

身分証明書の光学読み取りデータに関連付けられる幾つかの生体データを記録することにより、この方法は異なるチェックポイントで実行される異なる技術にも適合可能となり、又は方法の中でその後、光学読み取りデータを見つけるために複数の生体データを使用することによって、方法のセキュリティを高めることができる。

有利な態様として、ただし任意選択により、方法のステップ（ａ０）はまた、以下を含む追加データの取得（又は参照生体データの場合のように電子チップからの取り出し）を含み得る：
－個人に関する身分証明データであり、これらのデータは例えば、身分証明書に記載され、本人確認のセキュリティを向上させることのできるデータ（例えば、氏名、生年月日、出生地）と比較することができる、
－その個人を同じ本人確認を通過する個人の集団の中で区別できるようにするデータ。例えば、飛行機への搭乗の場合、データは便番号、航空会社名、目的地及び／又は出発地の空港等を含むことができる。代替的に、国境を越える場合、これは査証番号、本国名等とすることができる、及び／又は、
－例えばＤＧ１４又はＤＧ１５と呼ばれる公開鍵、以下参照。

追加データのこの取得は、有利な態様として、メモリに記録される前に行われ、この場合、個人を区別することのできるデータも同時に記録されて、身分証明書の光学読み取りデータ及びその個人の参照生体データに関連付けられる。

個人の確認方法
本人確認方法自体は本人確認装置３０によって行われる。このステップは、登録（ａ０）とは完全に無関係な方法で行うことができる。

個人は本人確認装置３０の前に行き、生体データ取得モジュール３２に対し、参照生体データをそこから取得したときと同じ生体特徴を提示する。ステップ（ａ）で、この特徴から候補の生体データが取得される。

第二のステップ（ｂ）で、本人確認装置３０はメモリ２０の中で、この候補の生体データから、同じ個人についてそれ以前に記録された文書の光学読み取りデータを取り出す。これを行うために、装置はメモリ２０内で、候補の生体データに対応する、すなわち同じ特徴から得た参照生体データを、候補の生体データとメモリ内に記録された参照生体データを比較することによって探す。２つの生体データ間の類似率が所定の閾値を超えた場合に一致が確定され、これはどのように比較が立証されるか、及び生体特徴の性質に依存する。２つのデータの比較を行う非限定的な例は、データ間の距離（ユークリッド距離、ハミング距離等）を計算することによる。

すると、本人確認装置３０は文書の、生体データと前記閾値を超えて一致する参照生体データの各々に対応する光学読み取りデータを取り出す。本人確認装置３０はそれゆえ、文書の１つ以上の光学読み取りデータを取り出すことができる。

異なる生体特徴に対応する幾つかの参照生体データが登録（ａ０）中に取り出された場合、ステップ（ａ）では同じ特徴について幾つかの候補の生体データが取得され、ステップ（ｂ）のために身分証明書の光学読み取りデータの取り出しに使用され、それによってセキュリティが向上するか、又は１つの生体データ候補が取得されてステップ（ｂ）に使用される。ステップ（ａ）で様々なデータを取得することにより、この場合、この方法と様々な本人確認装置３０との適合性を増大させることができる。

登録（ａ０）中に個人の区別を可能にする追加データが記録されて、第一の生体データ及び文書番号に関連付けられる場合、ステップ（ａ）は追加データの取得をさらに含み得て、その中で個人は登録（ａ０）中と同じ１つ又は複数のデータを再入力する。有利な態様として、これらの追加データが本来的に、それゆえ以前に本人確認装置３０により把握された場合に、例えばその位置からこれらのデータが本人確認装置３０の置かれている空港を示していれば、この入力は不要である。

任意選択による追加データは有利な点として、ステップ（ｂ）で候補の生体データと比較するためのメモリの参照生体データセットを、メモリに記録された、同じ追加データに関連付けられる生体データ（例えば、同じ本国名等）だけを選択することによって限定するために使用される。

これによってステップ（ｂ）の実行速度が高まり、このステップの終了時に得られる文書の光学読み取りデータの数が少なくなる。

すると、方法はメインのステップ（ｃ）を含み、その中で個人は自分の文書を本人確認装置３０のリーダ３６に向けて提示する。このステップ（ｃ）では、本人確認装置３０は、前記取り出された光学読み取りデータを使って、その個人の身分証明書の媒体の電子チップとのセキュア通信チャネルを開くか、少なくとも開こうとする。

要点は、ステップ（ｃ）には前記電子チップから前記セキュア通信チャネルを介して個人の参照生体データを取り出すことも、又は身分証明書の媒体の前記自動読み取りゾーンを読み取ることも含まれないことである。

当初、リーダ３６がやり取りするのは、自動読み取りゾーンではなく、電子チップだけであるため、文書を開いて、又は特定の向きで提示する必要はない。特に、旅券は閉じたまま、どの向きでも提示できる。これには、個人にとって、身分証明書又は、読み取る必要のある読み取りゾーン又はバーコードを有するその他の文書を特別な方法で扱う必要がないため、大幅な時間の短縮がかかわり、この取り扱いに関係する失敗のリスクがなくなる。

しかしながら何よりも、通常であれば、本人確認装置３０は１つ又は複数の光学読み取りデータからそれにより保持される認証生体データを取り出すために、文書のチップの内容を読む必要があり、これには長い時間がかかる。

この場合、候補の生体データに対応する少なくとも１つの参照生体データを識別することができるため、生体認証は事実上、すでに行われており、この認証を検証し（依然として何らかの曖昧さがある場合に個人を一意的に特定して）、その個人が対応する身分証明書を実際に有していることを確認するだけでよい。

ここで、チップからデータを取り出さずに、セキュア通信チャネルを開けることを確認するだけでよく、それはごく短時間で済むため、本人確認装置３０を通過する使用者の流れがさらに加速される。そのうえ、使用者はその媒体をリーダ３６の上に数秒間置いておく必要がなく、リーダの付近で短時間（１秒未満）スワイプすることができ、それゆえ接触と、表面汚染のリスクが減少する。

リーダ３６は、前記取り出した光学読み取りデータをパスワードとして使用してチャネルを開く。ステップ（ｂ）の終了時に幾つかの番号が取り出された場合、リーダは取り出された光学読み取りデータを１つ１つ試し、最終的にその個人の身分証明書に対応するものを見つけることによって通信チャネルを開こうとし、これはチップの内容へのアクセスを許可する。

既知の方法で、前記セキュアチャネルは、前記取り出された光学読み取りデータから得られた鍵を使って、基本アクセス制御ＢＡＣ（Ｂａｓｉｃ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）及び鍵共有利用アクセス制御ＰＡＣＥ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｏｎｎｅｃｔｉｏｎ Ｅｓｔａｂｌｉｓｈｍｅｎｔ）から選択されるプロトコルにしたがって開かれる。特に、前記鍵は優先的に、ＩＣＡＯ規格にしたがって、ＭＲＺ光学読み取りデータについて、身分証明書番号、個人の生年月日、及び身分証明書の有効期限の連続のハッシュである。

媒体が移動端末である場合、ステップ（ｃ）は事実上、ネスト状の２つのチャネルを開くことを含むことができ、すなわちこれらは、端末の非接触通信モジュールとリーダ１６との間の第一の「プロトコル」チャネル（例えば、ＢＬＥチャネル）と、この通信チャネルの中で、「アプリケーション」セキュア通信チャネルが、前記取り出された光学読み取りのデータを使って開かれる。

特に好ましい方法では、ステップ（ｃ）は前記セキュア通信チャネルを介して前記電子チップを認証すること、特にアクティブ認証又はハードウェア認証（「チップ認証」）を含み、言及すべき他の可能性は、これら３つのメカニズムのためのチップ認証マッピングを行うＰＡＣＥ（ＰＡＣＥ－ＣＡＭ）であり、ＩＣＡＯ ９３０３規格パート１１（第６章）を参照されたい。

実際に、セキュアチャネルを開くことによって、その個人が実際に、期待されるデータを含むチップを有する身分証明書媒体を保有していることを確認できるが、それは偽造されている可能性がある。「クローニング」は、もとのチップから読み取られたデータがそこに複写された電子チップを含む偽の媒体を製作（し、典型的に不正な媒体を使用）することによって身分証明書を複製することからなる詐欺行為である。

これを防止するために、もともとの／正式なチップは秘密鍵と公開鍵のペアを記憶しており、秘密鍵は読み取りのためにアクセスできず、公開鍵はアクセスできる（例えば、チップ認証についてはＤＧ１４とされ、アクティブ認証についてはＤＧ１５とされる）。留意すべき点として、この公開鍵はセキュアチャネルを使って取り出すことができ（これは、例えば生体データよりはるかに軽い）、又はＤＴＣの作成中（登録ステップ（ａ０））中に直接取り出しておくことができ、これによって、好ましいことに、電子チップ上のデータを読み取る必要が全くなくなる。それゆえ、チップのクローニングを試みる際に公開鍵をコピーすることはできるが、秘密鍵はコピーできない。

チップ認証は当業者の間でよく知られており、デフィ－ヘルマン鍵共有プロトコルに基づいており、電子チップとの公開鍵の交換（電子チップはそのいわゆる無期公開鍵を提供し、本人確認装置３０はいわゆる短期公開鍵を提供する）と、その後の共通の秘密の生成（電子チップは無期公開鍵に対応するその秘密鍵を使用し、本人確認装置３０は短期公開鍵に対応するその秘密鍵を使用する）及び、最後にこの共通の秘密に基づくセキュアチャネルの暗号鍵の変更（新規のセッションキーが共通の秘密から導き出される）を含む。本人確認装置３０は、この鍵交換（すなわち、各当事者が同じセッション鍵を正しく取得した）の後に身分証明書を「理解」し、その後、身分証明書の電子チップが正しく認証される。

その他のより最近のアクティブ認証の場合、この認証は、それがチャレンジ／レスポンスメカニズムを含むため、アクティブと言われ、前記電子チップの前記アクティブ認証は、ナンスの送信（チャレンジ）に応答して電子チップから受け取った電子署名の前記公開鍵を使用した（本人確認装置３０による）検証を含む。

より詳細には、本人確認装置３０はナンスを生成し、チャネルを介してセキュアチップにそれを送信する。後者はその秘密鍵を使ってその署名を計算し、チップはナンスのハッシュを（暗号化ハッシュ関数で）生成し、その後、秘密鍵を使って、ＲＳＡ等の暗号化関数によりハッシュの暗号化（その他）を行い、署名をレスポンスとして本人確認装置３０に送り返し、それが公開鍵でこれを復号化して、ナンスのハッシュが実際に見つかったことを検証する。

留意すべき点として、メカニズムの一方又は他方の公開鍵自体に政府機関又は身分証明書の発行者の秘密鍵で署名でき、それによって偽の秘密／公開鍵ペアが電子チップ上にないことが確認される。

特に好ましい方法では、電子チップの前記認証に必要なデータ以外のデータは前記セキュア通信チャネルを介して送信されないため、チップに含まれるデータを取り出す必要がないという利点が保持されると理解されたい。

ステップ（ｃ）の（及び特にアクティブ又はハードウェア認証の）結果に応じて、その個人に対してゾーンへのアクセスが許可又は拒否される。

理解すべき点として、ステップ（ｃ）は個人の追加の生体認証を含み得る。このステップは、正式に認証された文書のチップに対応する参照生体データを同じ特徴に関して取得された新しい候補の生体データと比較することを含む。この、他のデータは本人確認装置３０が（又は、他の本人確認装置が）認証だけを目的として取得する第二の生体データとすることができる。これは特に、生体特徴が第一の候補データに対応する参照生体データ以外の参照生体データに対応する場合、或いは複数の本人確認装置がある、例えば空港において国境を越えるときの第一の装置と搭乗時の第二の装置がある場合に当てはまる。

それゆえ、提案されている方法では、繰り返される本人確認プロセスにおける自動読み取りゾーンの読み取りは完全になくなり（使用者は出発地の空港の入口から到着地の空港の出口まで、自動読み取りゾーンを一切提示せずに通ることができる）、さらに、身分証明書媒体の取り扱いがさらに簡略化されるが、これは非接触通信をはるかに単純化できる一方で、前記本人確認中に身分証明書の存在が確認され、前記身分証明書のデータを使って個人を確認できるからである。

Claims (16)

1. 個人の参照生体データが記憶された電子チップを含む身分証明書であって、前記身分証明書の光学読み取りデータを示す自動読み取りゾーンを表示することのできる媒体上の身分証明書を有する前記個人を確認する方法であって、本人確認装置（３０）によって、
   （ａ）前記個人の生体特徴に関する候補の生体データを取得するステップと、
   （ｂ）前記候補の生体データから、メモリ（２０）の中で、前記個人の前記生体特徴に対応する前記参照生体データに関連付けられる光学読み取りデータを取り出すステップと、
   （ｃ）前記取り出された光学読み取りデータを使って、前記個人の身分証明書の前記媒体の前記電子チップとのセキュア通信チャネルを開くステップと
   を実行することを含む方法。
2. ステップ（ｃ）は、前記個人の前記参照生体データを前記電子チップから前記セキュア通信チャネルを介して取り出すことも、又は前記身分証明書媒体の前記自動読み取りゾーンを読み取ることも含まない、請求項１に記載の方法。
3. ステップ（ｃ）は、前記セキュア通信チャネルを介して前記電子チップを認証することを含む、請求項１又は２に記載の方法。
4. 前記電子チップは、秘密及び公開鍵ペアを記憶し、前記電子チップの前記認証は、アクティブ認証及びハードウェア認証から選択される、請求項３に記載の方法。
5. 前記電子チップの前記認証は、ナンスの送信に応答して前記電子チップから受信した電子署名の前記公開鍵を使用した検証を含むアクティブ認証である、請求項４に記載の方法。
6. 前記電子チップの前記認証に必要な前記データ以外のデータは、前記セキュア通信チャネルを介して送信されない、請求項３～５の何れか１項に記載の方法。
7. 前記セキュアチャネルは、前記取り出された光学読み取りデータから得られた鍵を使って、基本アクセス制御ＢＡＣ及び鍵共有利用アクセス制御ＰＡＣＥから選択されるプロトコルにしたがって開かれる、請求項１～６の何れか１項に記載の方法。
8. ステップ（ｂ）は、
   －前記メモリに記憶された参照生体データを前記候補の生体データと比較することと、
   －前記候補の生体データとの類似率が所定の閾値より大きい少なくとも１つの参照生体データに対応する身分証明書の少なくとも１つの光学読み取りデータを選択することと、
   を含む、請求項１～７の何れか１項に記載の方法。
9. 身分証明書の２つ以上の光学読み取りデータが選択された場合、ステップ（ｃ）は、前記セキュア通信チャネルが開くまで、選択された各光学読み取りデータについて試行される、請求項８に記載の方法。
10. 前記本人確認装置（３０）は非接触通信手段を含み、ステップ（ｃ）は、前記媒体を前記本人確認装置（３０）の付近に何れかの向きで置くことによって行われる、請求項１～９の何れか１項に記載の方法。
11. 登録装置（１０）によって実行される、前記電子チップから前記個人の前記参照生体データを取り出し、前記自動読み取りゾーンを読み取ることにより前記身分証明書の前記光学読み取りデータを取得し、前記リモートメモリ（２０）の中に、前記個人の前記参照生体データに関連付けられた前記身分証明書の前記光学読み取りデータを記録する事前ステップ（ａ０）を含む、請求項１～１０の何れか１項に記載の方法。
12. 前記身分証明書は旅券であり、
    －ステップ（ａ０）中、前記旅券は前記自動読み取りゾーン（１０）のページを開いて前記登録装置に向かって提示され、前記身分証明書の前記光学読み取りデータが取得され、
    －ステップ（ｃ）中、前記旅券は閉じて前記本人確認装置（３０）に向かって提示される、
    請求項１１に記載の方法。
13. 個人の参照生体データが記憶された電子チップを含む身分証明書であって、前記身分証明書の光学読み取りデータを示す自動読み取りゾーンを表示することのできる媒体上の身分証明書を有する個人を確認する装置（３０）であって、
    （ａ）前記個人の生体特徴に関する候補の生体データを取得するステップと、
    （ｂ）前記候補の生体データから、メモリ（２０）の中で、前記個人の前記生体特徴に対応する参照生体データに関連付けられる光学読み取りデータを取り出すステップと、
    （ｃ）前記取り出された光学読み取りデータを使って、前記個人の身分証明書の前記媒体の前記電子チップとのセキュア通信チャネルを開くステップと
    を実行するように構成される装置（３０）。
14. 個人を確認するためのシステム（１）であって、
    －メモリ（２０）と、
    －請求項１３に記載の本人確認装置（３０）と、
    －前記電子チップから前記個人の前記参照生体データを取り出すステップと、前記自動読み取りゾーンを読み取ることによって前記身分証明書から前記光学読み取りデータを取得するステップと、前記リモートメモリ（２０）の中に、前記個人の前記参照生体データに関連付けられる前記身分証明書の前記光学読み取りデータを記録するステップとを実行するように構成される登録装置（１０）と、
    を含むシステム（１）。
15. 前記方法がコンピュータ上で実行されたときに、個人を確認するための請求項１～１２の何れか１項に記載の方法を実行するコード命令を含むコンピュータプログラム製品。
16. その上のコンピュータプログラム製品が個人を確認するための請求項１～１２の何れか１項に記載の方法を実行するコード命令を含むコンピュータ可読記憶手段。

Images