JP4819542B2 - 脆弱性検証付きのバイオメトリクス認証システムおよび方法 - Google Patents

Description

ネットワークを介した本人認証において、バイオメトリクス認証を利用したシステムに関する。

ネットワークを介した本人認証において、バイオメトリクス認証を利用したシステムがある。

例えば、ＩＣカードに登録された公開鍵情報と、その情報と関連付けてデジタル署名されたバイオメトリクス情報を利用して、本人認証を行うシステムがある（例えば、特許文献１参照。）
また、アプリケーションが要求する他人受入率や許容リスクなどの安全性レベルを満たすバイオメトリクス認証技術を選択して、アプリケーションのポリシーに沿った本人認証を行う認証サーバおよび装置がある（例えば、特許文献２参照。）。

クライアントとアプリケーションとの間で、アプリケーションがクライアントに求める他人受入率やＩＳＯ１５４０８で規定されている安全性保証レベルなどの認証ポリシーとクライアントのリソースやプライバシーポリシーに沿った認証モデルとをネゴシエーションして、本人認証を行うシステムがある（例えば、特許文献３参照。）。

クライアントに接続された機器の公開鍵情報に基づく機器証明書を利用し、サービスの要求する生体認証レベルに従い、機器で実施されたバイオメトリクス認証処理結果にデジタル署名を行う本人確認システムおよび装置がある（例えば、特許文献４参照。）。

ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）の合意処理中にバイオメトリクス生体情報を暗号化してサーバへ通知し、サーバでの復号化とバイオメトリクス照合により合意書処理の中断を判断する個人認証システムおよびプログラムがある（例えば、特許文献５参照。）。

また、バイオメトリクス認証に関する脆弱性の問題について評価・分析した情報が公開されている（例えば、非特許文献１、非特許文献２、非特許文献３参照。）。

特開２０００−２１５２８０号公報 特開２００３−２５６３６０号公報 特開２００４−３４８３０８号公報 特開２００３−１４３１３６号公報 特開２００３−２２４５６２号公報 日経バイト２００５年４月号，ｐｐ６０−６７，「濡れた指、乾燥した指―指紋認証の実際」 金融庁・第９回偽造キャッシュカード問題に関するスタディグループ，２００５年４月１５日，「金融取引における生体認証について」[平成１８年２月６日検索]インターネット＜ＵＲＬ；ｈｔｔｐ：／／ｗｗｗ．ｆｓａ．ｇｏ．ｊｐ／ｓｉｎｇｉ／ｓｉｎｇｉ＿ｆｃｃｓｇ／ｇａｉｙｏｕ／ｆ−２００５０４１５−ｓｉｎｇｉ＿ｆｃｃｓｇ／０２．ｐｄｆ＞ 電子情報通信学会ユビキタスネットワーク社会におけるバイオメトリクスセキュリティ研究会第１回研究発表会予稿集，２００３年７月２２日２３日，ｐｐ４３−４７，「生体認証における脅威および脆弱性に関する分析」

非特許文献１で述べているように、バイオメトリック認証装置による本人認証では、偽造などによるなりすましによる攻撃の脅威（以後、なりすましの脅威と呼ぶ。）は否定できない。バイオメトリック認証装置は、それぞれの装置の特性によって異なるなりすましの脅威に弱い。このような装置特有の弱点をバイオメトリック認証装置の脆弱性と呼ぶ。脆弱性は、それぞれ対策を検討する際に考慮すべきポイントが異なり、非特許文献２においてカテゴリライズされている。

しかし、脆弱性は、セキュリティ対策技術の有無など、各バイオメトリクス認証装置のハードウェア仕様およびソフトウェア仕様によりレベルや範囲が異なる。また、攻撃者のレベルによっても、レベルや範囲が異なる。

特に、サービスを受ける権限を持つ利用者を本人認証した上でサービスを提供するようなシステムでは、種種雑多なバイオメトリクス認証装置が出回っている環境では、サービス提供者側は、その本人認証を行うバイオメトリクス認証装置特有の脆弱性を使ったなりすましの脅威のレベルについて、適切に判断することができない。

本発明は、上記事情に鑑みてなされたもので、実施したバイオメトリクスによる本人認証に対する攻撃者によるなりすましの脅威のレベルをサービス提供者が適切に判断することを支援するシステムを提供する。

本発明の脆弱性検証付きの本人認証システムでは、各バイオメトリクス製品の脆弱性情報を一元管理するサーバを設け、サービスプロバイダは、クライアントからバイオメトリクス認証を行った装置および環境を特定する情報を受け取り、前記一元管理する脆弱性情報から当該装置の脆弱性情報を取得する。サービスプロバイダは、取得した脆弱性情報を用いて、サービスの可否を判断する。

具体的には、データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システムであって、サービス要求者のバイオメトリクス情報の入力を受け付け、受け付けた前記バイオメトリクス情報を用いて自身のバイオメトリクス認証手段によってバイオメトリクス認証を行うクライアント端末と、サービスを提供するサービスプロバイダと、脆弱性検証サーバと、を備え、前記クライアント端末は、前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、前記脆弱性検証サーバは、バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第１の記憶装置と、前記サービスプロバイダからの前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第１の記憶装置から、前記脆弱性情報を取得し、当該取得した脆弱性情報を前記サービスプロバイダに送信する脆弱性検証手段と、を備え、前記サービスプロバイダは、クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置と、前記処理プロファイルを受信すると、当該処理プロファイルを前記脆弱性検証サーバに送信し、前記脆弱性検証サーバから送信された前記脆弱性情報を受信する脆弱性検証手段と、前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記脆弱性検証サーバから送信された前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するポリシー検証手段と、前記ポリシー検証手段による判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するサービス提供判定手段と、前記サービス提供判定手段で可能と判定した場合、サービスをサービス要求元のクライアント端末に提供するサービス提供手段と、を備えることを特徴とするバイオメトリクス認証システムを提供する。

本発明によれば、実施したバイオメトリクスによる本人認証に対する攻撃者によるなりすまし脅威のレベルをサービス提供者が適切に判断することを支援できる。

＜＜第一の実施形態＞＞
以下に、本発明の実施の形態について、図面を用いて説明する。

図１は、本発明を適用した第一の実施形態の脆弱性検証機能付きバイオメトリクス認証システムのシステム構成図である。

本図に示すように、本実施形態のバイオメトリクス認証システムは、インターネットや無線通信網などのデータ通信網１００と、データ通信網１００に接続された、バイオメトリクス認証機能１２０を持つクライアント端末１１０、予め決められた認証ポリシー１４０に従ってクライアントに対しサービスを提供するサービスプロバイダ１３０、バイオメトリクス認証の仕様ごとに脆弱性の情報のデータベース（脆弱性データベース）１６０を持つ脆弱性検証サーバ１５０、を備える。なお、クライアント端末１１０とサービスプロバイダ１３０との台数は問わない。

次に、各構成の詳細について説明する。図２は、本実施形態のシステムを構成するクライアント端末１１０、サービスプロバイダ１３０、脆弱性検証サーバ１５０それぞれの機能構成図である。

クライアント端末１１０は、バイオメトリクス認証機能１２０と、処理プロファイル作成機能１１２とを備える。

バイオメトリクス認証機能１２０は、サービスプロバイダ１３０から本人認証の要求を受け取ると、ユーザのバイオメトリクス情報を用いて本人認証を行い、その結果を処理プロファイル作成機能１１２に受け渡す。

処理プロファイル作成機能１１２は、バイオメトリクス認証機能１２０による本人認証の結果と、前記バイオメトリクス認証機能１２０を実現するバイオメトリクス装置（バイオメトリクス製品）を特定する情報とから処理プロファイル５００を生成し、本人認証を要求するサービスプロバイダ１３０に送信する。なお、ここで、本人認証の結果が、認証失敗の場合は、処理プロファイル５００を作成することなく、サービス要求を撤回し、処理を終了する。

ここで生成される処理プロファイル５００の一例を図３に示す。本図に示すように、処理プロファル５００には、当該バイオメトリクス装置を一意に指定するＩＤ情報である装置ＩＤ（例えば、製品番号や機器の公開鍵証明書のシリアル番号など。この値により、このバイオメトリクス装置の収集するバイオメトリクス種別も判定できる。）５１０と、当該バイオメトリクス装置の仕様を一意に指定する装置仕様ＩＤ（例えば、型番など）５２０と、当該バイオメトリクス装置のソフトウェアのバージョンであるソフトバージョン５３０と、例えば、コントロール下で運用されているかといったクライアント端末の運用条件５４０と、認証に用いるテンプレートのバージョンやＩＤ情報であるテンプレート情報５５０と、クライアント端末１１０で実行されたバイオメトリクス認証の結果を示す情報（本実施形態では、該当する照合が達成する他人受入率のスコア、あるいは、サービスプロバイダ１３０から達成すべき他人受入率のスコアを認証要求時の受け取っている場合は、当該スコアをクリアしたことを示すＯＫまたはクリアできなかったことを示すＮＧの情報）である照合結果５６０と、これらのデータ５１０〜５６０の情報が改ざんされた情報でないことを検証するための情報（例えば、ＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）やデジタル署名など）であるセキュリティ情報５７０とが記述される。なお、処理プロファイル５００の運用条件５４０として格納される情報は、後述する脆弱性データベース１６０内に登録される運用条件と用語を統一しておくことが望ましい。

脆弱性サーバ１５０は、脆弱性情報収集機能１５１と脆弱性検証機能１５２と脆弱性データベース（ＤＢ）１６０とを備える。

脆弱性情報収集機能１５１は、脆弱性評価機関１７０、ベンダ１８０、テンプレート発行機関１９０から脆弱性情報を収集し、脆弱性ＤＢ１６０に記録する。

脆弱性ＤＢ１６０は、各社のバイオメトリクス装置（バイオメトリクス製品）の装置仕様毎に脆弱性を特定する脆弱性情報を保持する。図４に脆弱性ＤＢ１６０に保持される脆弱性情報の一例を示す。本図に示すように、本実施形態の脆弱性情報は、装置仕様ＩＤ２１０毎に、種別２２０と、範囲２３０と、運用条件２４０と、詐取・偽造の困難さ２５０と、攻撃者レベル２６０とが登録される。

装置仕様ＩＤ２１０としては、本システム内で使用される可能性のある各種のバイオメトリクス認証装置の装置仕様を一意に識別するコード、例えば、当該バイオメトリクス認証機能を搭載した認証機器のハードウェア型番および当該バイオメトリクス認証機能を実現するソフトウェアのバージョン番号などが登録される。

種別２２０としては、バイオメトリクス認証を実行するクライアント端末１１０に係る脆弱性の種別であり、例えば、上述した非特許文献２でカテゴライズした種別（例えば、狼、山羊、偽造受入、他人受入）などが登録される。また、このようなバイオメトリクスに関する脆弱性の他、バイオメトリクス認証機器の耐タンパ性や、暗号情報やテンプレートの漏洩、暗号技術の危殆化、などＩＴ製品としての脆弱性を利用した攻撃についても、カテゴリとして用意し、登録するよう構成してもよい。

範囲２３０としては、脆弱性の影響が及ぶ範囲が登録される。具体的には、範囲２３０には、影響の及ぶ装置ＩＤとソフトウェアバージョンとテンプレートＩＤとが登録される。装置ＩＤのみ、所定の装置ＩＤが登録されている場合、装置仕様ＩＤ２１０で指定された仕様のうち、登録されている装置ＩＤのみに影響が及ぶことを意味する。当該装置ＩＤを有する装置であれば、そのソフトウェアバージョンとテンプレートＩＤは問わない。ソフトウェアバージョン、テンプレートＩＤのみが登録されている場合も同様に、装置仕様ＩＤ２１０で指定された仕様の装置の中で、登録されている項目以外は問わず、登録されている項目で特定されるソフトウェアバージョン、またはテンプレートＩＤを用いている装置にのみ影響が及ぶことを意味する。

例えば、図４の装置仕様ＩＤ２１０がＡ社−００１のバイオメトリクス認証装置の場合、範囲２３０のいずれの項目も登録されていない。この場合は、装置仕様ＩＤ２１０で指定された仕様の製品Ａ社−００１全てに影響が及ぶことを意味する。また、装置仕様ＩＤ２１０がＡ社−００２の装置の場合、装置ＩＤのみが登録されている。この場合、当該装置ＩＤの装置にのみ影響が及ぶ。さらに、装置仕様ＩＤ２１０がＡ社−００３の装置の場合、テンプレートＩＤのみ登録されている。この場合、当該仕様の装置のうち、登録されているテンプレートＩＤを用いている装置のみ影響が及ぶ。さらに、Ａ社−００４の装置の場合、装置ＩＤとテンプレートＩＤとが登録されている。この場合は、当該仕様の装置の中の当該装置ＩＤであって当該テンプレートＩＤを用いている装置にのみ影響が及ぶことを意味する。

なお、範囲２３０と装置仕様ＩＤ２１０とを組み合わせて、影響の及ぶ範囲を特定してもよい。すなわち、装置仕様ＩＤ２１０と範囲２３０内の各項目の登録の有無で範囲を特定する。この場合、登録されていない項目は問わず、登録されている項目を有する装置のみに影響が及ぶことを意味する。例えば、テンプレートＩＤのみ登録されている場合、装置の仕様、装置、ソフトウェアバージョンは問わず、当該テンプレートＩＤを用いる装置であれば、全て影響が及ぶことを意味する。

なお、範囲として、上記のように装置ＩＤ、ソフトウェアバージョン、テンプレートＩＤを具体的に登録せず、例えば、以下の区分を設定するよう構成してもよい。
（範囲１）装置仕様ＩＤ２１０で指定された仕様の製品の全てに適用される。
（範囲２）装置仕様ＩＤ２１０で指定された仕様のうち、別途指定された装置ＩＤのみに適用される。
（範囲３）装置仕様ＩＤ２１０で指定された仕様のうち、別途指定されたテンプレートＩＤのみに適用される。
（範囲４）装置仕様ＩＤ２１０で指定された仕様で、別途指定された装置ＩＤのみ、別途指定されたテンプレートＩＤのみに適用される。
（範囲５）装置仕様ＩＤ２１０の指定には係らず、特定のテンプレート仕様のみに適用される。
（範囲６）装置仕様ＩＤ２１０の指定には係らず、特定のバイオメトリクス手段（例えば、顔画像を利用した認証手段など）のみに適用される。なお、各装置が備えるバイオメトリクス手段の種別は、上述のとおり、装置ＩＤにより判断する。

各範囲に複数のレコードが該当する場合、該当するレコードそれぞれについて、プロバイダ側のポリシーとの合致を検証する。

範囲２３０を具体的に指定しない場合、装置ＩＤ毎に困難さや攻撃者レベルを登録するデータベースおよびテンプレートＩＤ毎に困難さや攻撃者レベルを登録するデータベースを別途脆弱性情報１６０の中に保持する。後述するサービスプロバイダ１３０からの要求に応じて装置仕様ＩＤに従って、範囲２３０のデータも取得し、取得した範囲２３０が、別途指定の装置ＩＤもしくはテンプレートＩＤに限定されると規定されている場合は、別途、装置ＩＤデータベースあるいはテンプレートＩＤデータベースを検索し、受け取ったＩＤが該当する困難さや攻撃者レベルを抽出する。

運用条件２４０としては、脆弱性が顕在化するクライアント端末１１０の運用条件が登録される。本実施形態では、例えば、以下のように区分し、登録する。
（条件１）コントロール下、すなわち、クライアント端末１１０が設置された空間に専任の監視人が存在する運用条件。
（条件２）クライアント端末１１０は公共スペースに設置され、利用者の相互監視環境にある運用条件。
（条件３）コントロールなし、すなわち、クライアント端末は私的スペースにあり、クライアントのみが管理している運用条件。
（条件４）コントロール無関係、すなわち、どのような運用でも無関係。

詐取・偽造の困難さ２５０としては、詐取、偽造などの脆弱性を利用したなりすまし攻撃を実現するために必要なリソースや協力の要否などの条件が登録される。具体的には、例えば、攻撃の前提となるバイオメトリクス情報のキャプチャ装置の入手困難さと協力の有無とを用いてカテゴライズし、登録される。
（レベル５）キャプチャ装置は必要なく、なりすましターゲットの協力なく、例えば、テンプレート情報などからバイオメトリクス情報が入手できる程度の困難さ。
（レベル４）キャプチャ装置は汎用品で、なりすましターゲットの協力なくバイオメトリック情報が入手できる程度の困難さ。
（レベル３）キャプチャ装置は特注品で、なりすましターゲットの協力なくバイオメトリック情報が入手できる程度の困難さ。
（レベル２）キャプチャ装置は汎用品で、なりすましターゲットの協力でバイオメトリック情報が入手できる程度の困難さ。
（レベル１）キャプチャ装置は特注品で、なりすましターゲットの協力でバイオメトリック情報が入手できる程度の困難さ。

攻撃者レベル２６０としては、本装置仕様で本種別の脆弱性を利用して攻撃可能な能力を持った攻撃者の知識レベルが登録される。例えば、登録される攻撃者の有すべき知識レベルとして次のように区分したものが登録される。
（レベル５）専門知識が不要。
（レベル４）大学卒業レベルの知識。
（レベル３）専門家レベルの知識。
（レベル２）装置仕様の設計者レベルの知識。
（レベル１）装置仕様の設計者レベルの知識にさらに運用責任者の秘密情報が必要。
（レベル０）装置仕様の設計者の知識と運用責任者の秘密情報とを併せ持っていても困難。

脆弱性検証機能１５２は、サービスプロバイダ１３０から脆弱性検証の依頼（脆弱性検証依頼）を受信すると、脆弱性検証依頼に含まれる各種情報から脆弱性ＤＢ１６０のデータを参照して脆弱性の検証を行い、検証結果を依頼元のサービスプロバイダ１３０に返信する。

脆弱性検証依頼には、後述するように、脆弱性ＤＢ１６０に記録される各項目、すなわち、装置仕様ＩＤ２１０、装置ＩＤ、ソフトウェアバージョン情報、運用条件２４０と、が含まれる。脆弱性検証機能１５２は、受け取った脆弱性検証依頼の中の装置仕様ＩＤ２１０、装置ＩＤ、ソフトウェアバージョン情報、運用条件２４０をキーに脆弱性ＤＢ１６０を検索し、所定の項目が未登録のレコードも含め、それら全てが合致するレコードを抽出する。そして、当該レコードに登録されている種別２２０、詐取・偽造の困難さ２５０、攻撃者レベル２６０、の情報を取得する。そして、取得した情報を検証結果として依頼元のサービスプロバイダ１３０に返信する。なお、合致するものがない場合は、その旨、依頼元のサービスプロバイダ１３０へ返信する。

なお、上記の説明は、脆弱性ＤＢ１６０および脆弱性検証機能１５２の一例であり、例えば、脆弱性ＤＢ１６０の保持の仕方はこれに限られない。脆弱性検証機能１５２が、サービスプロバイダ１３０から受け取る、クライアント端末のバイオメトリクス認証機能１２０を特定する、装置仕様ＩＤ、装置ＩＤ、ソフトウェアバージョン情報、テンプレートＩＤ、運用条件に応じて、予め保持する脆弱性情報（困難さ、攻撃レベル）を検証結果としてサービスプロバイダ１３０に返信できる構成であればよい。

サービスプロバイダ１３０は、脆弱性検証機能１３１と、ポリシー検証機能１３２と、サービス提供判定機能１３３と、サービス提供機能１３４と、認証ポリシー１４０とを備える。

脆弱性検証機能１３１は、クライアント端末１１０からサービス提供の要求（以後、サービス要求と呼ぶ。）があった場合、本人認証を行うようクライアント端末１１０へ要求する。そして、クライアント端末１００から処理プロファイル５００を受け取ると、その中の装置ＩＤ５１０と、装置仕様ＩＤ５２０と、ソフトバージョン５３０と、テンプレート情報５５０と、運用条件５４０とを用いて脆弱性検証依頼を生成し、脆弱性検証サーバ１５０に送信し、脆弱性検証サーバ１５０から検証結果を受け取る。そして、脆弱性検証機能１３１は、処理プロファイル５００に記載されている運用条件と、脆弱性検証サーバ１５０から送信された検証結果内の種別、詐取・偽造の困難さ、攻撃者レベルの情報とともにポリシー検証機能１３２に提供する。なお、脆弱性検証サーバ１５０から、合致するレコードがない旨の通知を受けた場合は、その旨をサービス提供判定機能１３３に通知する。

ポリシー検証機能１３２は、検証結果から抽出した項目により特定される脆弱性レベルが自身が予め保持している認証ポリシー１４０が許容する脆弱性レベルを満たしているか否かを判別する。ここで、脆弱性レベルとは脆弱性検証サーバ１５０が保持する脆弱性ＤＢ１６０に登録されている各項目を組み合わせた条件である。

ポリシー検証機能１３２は、検証結果から抽出した情報が、認証ポリシー１４０に規定されている脆弱性レベルを満たしている場合、自身が許容する脆弱性レベルを満たしていると判別し、その旨と、処理プロファイル５００から抽出した認証精度３１０（他人受入率）とをサービス提供判定機能１３３に通知する。一方、満たしていない場合は、この時点で処理を終了し、サービス提供を要求してきたクライアント端末１１０に、サービス不能であることを通知する。

ここで、認証ポリシー１４０について説明する。認証ポリシー１４０には、本サービスプロバイダ１３０がサービスを提供するために、クライアント端末１１０において本人認証を行うバイオメトリクス認証機能（バイオメトリクス装置）１２０が満たすべき認証精度と脆弱性レベルの組み合わせとが登録される。本実施形態の認証ポリシー１４０の一例を図５に示す。

本図に示すように、本実施形態の認証ポリシー１４０には、認証に要求する他人受入率を示す認証精度３１０と、脆弱性レベルとが登録される。本実施形態では、脆弱性レベルには、コントロール下での許容できる脆弱性のレベルを示す第一の許容脆弱性レベル３２０として、詐取・偽造の困難さを示す困難さ３２１および攻撃者のレベルを示す攻撃者レベル３２２と、非コントロール下での許容できる脆弱性のレベルを示す第二の許容脆弱性レベル３３０として、詐取・偽造の困難さを示す困難さ３３１および攻撃者のレベルを示す攻撃者レベル３３２と、が登録される。

認証精度３１０は、クライアント端末１１０で、照合結果５６０としてＯＫまたはＮＧを返す構成の場合、上述のようにクライアント端末１１０に認証要求を送信する際に同時に送信される。クライアント端末１１０側では、サーバプロバイダ１３０からの他人受入率の要求レベルとして認証時に本情報を用い、ＯＫかＮＧかを判断し、照合結果５６０とする。

ポリシー検証機能１３２は、脆弱性検証機能１３１から受け取った運用条件に応じて、第一の脆弱性レベル３２０と第二の脆弱性レベル３３０のいずれを確認すればよいかを判別し、脆弱性検証機能１３から受け取った脆弱性レベルを示す困難さおよび攻撃者レベルが、認証ポリシー１４０に格納されているレベルと合致するか否かを判別し、その結果をサービス提供判定機能１３３に通知する。

本実施形態では、具体的に以下の方法で検証する。
（ア）詐取・偽造の困難さのレベルおよび攻撃者のレベルそれぞれが予め定めた許容するレベルより低い。
（イ）詐取・偽造の困難さレベルまたは攻撃者のレベルのいずれかが、予め定めた許容するレベルより低い。
（ウ）詐取・偽造の困難さレベルと攻撃者のレベルの総和（もしくは積）が、予め定めた許容する総和（積）のレベルより小さい。

なお、本実施形態では、サービスプロバイダ１３０毎に上記認証ポリシー１４０を設定し保持する場合を例に挙げているが、サービスプロバイダ１３０が複数のサービスを提供する場合、提供するサービスごとに、認証ポリシー１４０を設定し、保持するよう構成してもよい。これは、サービス毎にその価値によってリスクが変わる可能性があるからである。また、登録される脆弱性レベルは、上記組合せに限られない。いずれか一方でもよいし、脆弱性ＤＢ１６０に保持される情報に応じて設定可能である。

サービス提供判定機能１３３は、ポリシー検証機能１３２から判定結果（満たしている旨の通知）を受け取ると、サービス要求元のクライアント端末１１０から受け取った処理プロファイル５００から照合結果５６０を抽出し、クライアント端末１１０での認証が、認証ポリシー１４０に規定されている認証精度（他人受入率）３１０を満たしているか否かを判別する。なお、サービス提供判定機能１３３は、脆弱性検証機能１３１から合致するデータがない旨の通知を受け取った場合も、クライアント端末１１０での認証が認証精度３１０を満たしているか否かを判別する。

サービス提供判定機能１３３は、要求元のクライアント端末１１０が認証ポリシー１４０に規定されている認証精度３１０で認証が可能な端末であることを確認できた場合、当該クライアント端末１１０にはサービスの提供を受ける権限があるものと判断し、その旨をサービス提供機能１３４に通知する。一方、上記認証ができない端末である場合は、この時点で処理を終了し、要求元のクライアント端末１１０にサービス提供不可である旨を通知する。

サービス提供機能１３４は、サービス提供判定機能１３３から通知を受けると、依頼元のクライアント端末１１０にサービスを提供する。

なお、サービスプロバイダ１３０が複数のサービスを提供可能な場合は、クライアント端末１１０からの要求時に提供を要求するサービスを特定する情報を通知し、サービス提供機能１３４は、通知内容に従って、特定されたサービスを提供する。また、サービスプロバイダ１３０を構成する他の機能は、特定されたサービスに対し、脆弱性等の検証を行う。

以上、本実施形態の脆弱性検証機能付きバイオメトリクス認証システムを構成する各装置の詳細について説明した。各装置は、ＣＰＵ、メモリ、記憶装置を備える一般的な情報処理装置によって実現される。ＣＰＵは、記憶装置に格納されたプログラムをメモリにロードして実行することにより、上記各機能を実現する。

次に、本実施形態の脆弱性検証機能付きバイオメトリクス認証システムにおけるサービス提供依頼から提供までの脆弱性検証処理の概略を説明する。図６は、本システム全体での脆弱性検証処理の概略の処理フローである。本処理は、クライアント端末１１０がサービスプロバイダ１３０にサービス要求を送信することにより開始する。

クライアント端末１１０から、サービスプロバイダ１３０へサービス提供を求めるサービス要求を送信する（ステップ４１０）。

サービスプロバイダ１３０の脆弱性検証機能１３１は、要求元のクライアント端末１１０に本人認証の要求を送信する（ステップ４２０）。

クライアント端末１１０では、本人認証の要求を受け取ると、バイオメトリクス認証機能１２０が、バイオメトリクス装置により本人認証を行い（ステップ４３０）、処理プロファイル生成機能１１２が、その結果に基づいて処理プロファイル５００を生成し、サービスプロバイダ１３０に送信する（ステップ４４０）。

サービスプロバイダ１３０の脆弱性検証機能１３１は、受け取った処理プロファイル５００に従って、脆弱性を検証する脆弱性検証処理を行う（ステップ４５０）。

ポリシー検証機能１３２は、脆弱性検証結果を受け取った場合、依頼元のクライアント端末１１０が、サービスプロバイダ１３０が許容する脆弱性レベルを満たしているか否かを判別する（ステップ４６０、ステップ４７０）。満たしていない場合は、処理を終了する。満たしている場合は、ステップ４８０に処理を進める。

なお、ステップ４５０の後、脆弱性検証結果を受け取らなかった場合は、ステップ４８０に処理を進める。

そして、依頼元のクライアント端末１１０前記脆弱性レベルを満たしていると判断された場合、サービスプロバイダ１３０のサービス提供判定機能１３３は、処理プロファイル内の照合結果５６０から、クライアント端末１１０のサービスの提供を受ける権限の有無を判定する（ステップ４８０）。権限ありと判定した場合は処理をステップ４９０にすすめ、そうでない場合は、処理を終了する。

権限ありと判定された場合、サービスプロバイダ１３０のサービス提供機能１３４は、依頼されたサービスをクライアント端末１１０に提供する（ステップ４９０）。

次に、上記ステップ４５０および４６０における脆弱性検証処理について、その詳細を説明する。本処理は、サービスプロバイダ１３０の脆弱性検証機能１３１が、クライアント端末１１０から処理プロファイル５００を受信することにより開始する。図７は、本実施形態の脆弱性検証処理の処理フローである。

サービスプロバイダ１３０の脆弱性検証機能１３１は、クライアント端末１１０から処理プロファイル５００を受信する（ステップ６１０）と、受信した処理プロファイル５００から装置ＩＤ５１０、装置仕様ＩＤ５２０、ソフトバージョン５３０、テンプレート情報５５０、運用条件５４０を抽出して脆弱性検証依頼として脆弱性検証サーバ１５０に送信する（ステップ６２０）。

脆弱性検証サーバ１５０の脆弱性検証機能１５２は、受け取った情報をキーに脆弱性ＤＢ１６０を検索し、それらの情報に対応づけて保持されている詐取・偽造の困難さ２５０と攻撃者レベル２６０とを抽出する（ステップ６３０）。複数のレコードが該当する場合、全てを抽出する。なお、認証ポリシー１４０に、バイオメトリクスの種類や脆弱性の種別ごとに定義され許容される脆弱性レベルが設定されている場合は、脆弱性検証機能１５２は、種別２２０も併せて取得する。そして、取得した種別２２０の情報を用いて、該当するバイオメトリクスの種類と脆弱性種別とに合致する脆弱性情報の脆弱性レベルが容認可能か判断する。

脆弱性検証サーバ１５０の脆弱性検証機能１５２は、抽出した種別２２０と詐取・偽造の困難さ２５０と攻撃者レベル２６０とをサービスプロバイダ１３０に送信する（ステップ６４０）。

サービスプロバイダ１３０の脆弱性検証機能１３１は、受け取った情報をポリシー検証機能１３２に受け渡す。ポリシー検証機能１３２は、認証ポリシー１４０を参照し、脆弱性検証サーバ１５０から受信した脆弱性レベルが、容認可能か判断することにより脆弱性検証を行い、容認可能と判断した場合は、その旨をサービス提供判定機能１３３に通知する（ステップ６５０）。

なお、上記ステップ４７０およびステップ６５０において、サービスプロバイダ１３０の認証ポリシー１４０を満たさない場合、処理を終了するとして説明したが、処理は本方式に限られない。例えば、
（ア）サービスプロバイダ１３０が複数のサービスを提供可能な場合、検証したクライアントのバイオメトリクス認証機能の脆弱性レベルにて許容可能なリスクのサービスに提供するサービスを変更する。同じサービスであっても、価格帯の低いバージョンを提供するなども考えられる。
（イ）クライアントが要求するサービスが提供可能なレベルにリスクを低減するよう、サービスプロバイダ１３０側で他の認証手段を実施する。例えば、サービス要求者に何らかの方法で連絡をとり、サービス要求者が入力した秘密情報を受け付けるなどである。

以上説明したように、本実施形態によれば、様々な種類や仕様のバイオメトリクス認証製品の脆弱性レベルをサービスプロバイダ（サービス提供者）側で判断することができる。従って、様々な種類や仕様のバイオメトリクス認証製品がネットワークを介して接続されている環境において、クライアント端末で本人認証した上で、サービスを提供するシステムにおいて、所定のセキュリティレベルを維持することができ、リスクを一定の範囲に納めることができる。

例えば、本実施形態のシステムは、ＡＴＭやモバイルバンキング、インターネットショッピング、インターネットチケッティング電子行政サービス予約などで利用することができる。

＜＜第二の実施形態＞＞
次に、本発明を適用した第二の実施形態の脆弱性検証機能付きバイオメトリクス認証システムを説明する。第一の実施形態では、脆弱性検証サーバ１５０を備え、サービスプロバイダ１３０からの要求に応じて、所定のバイオメトリクス認証機能の脆弱性を示す情報をサービスプロバイダ１３０に提供していた。しかし、本実施形態のシステムでは、脆弱性検証サーバ１５０の代わりに、脆弱性情報サーバ８１０を備える。

以下、第一の実施形態と異なる構成についてのみ説明する。図８は、本実施形態の脆弱性情報サーバ８１０と、クライアント端末１１０と、サービスプロバイダ１３０との機能構成図である。

本実施形態の脆弱性情報サーバ８１０は、脆弱性情報収集機能８１１と、脆弱性情報提供機能８１２と、脆弱性データベース（ＤＢ）８６０とを備える。

また、本実施形態のサービスプロバイダ１３０は、第一の実施形態のサービスプロバイダ１３０の機能構成に加え、脆弱性管理機能１３５と、脆弱性データベース（ＤＢ）１４１とを備える。また、脆弱性検証機能１３１の処理も上記構成の変更に伴い、異なる。

本実施形態の脆弱性情報収集機能８１１は、第一の実施形態の脆弱性情報収集機能１５１と同様、脆弱性評価機関１７０、ベンダ１８０、テンプレート発行機関１９０から脆弱性情報を収集し、脆弱性ＤＢ８６０に記録する。ただし、脆弱性ＤＢ８６０を更新した際、更新内容を、脆弱性情報提供機能８１２に通知する。

本実施形態の脆弱性情報提供機能８１２は、脆弱性情報収集機能８１１から脆弱性ＤＢ８６０の更新内容を受け取ると、本システム内の全てのサービスプロバイダ１３０に受け取った情報を脆弱性情報として送信する。

各サービスプロバイダ１３０の脆弱性管理機能１３５は、それぞれのサービスプロバイダ１３０側で保持する脆弱性ＤＢ１４１を管理する。すなわち、脆弱性情報サーバ８１０から受け取った脆弱性情報を脆弱性ＤＢ１４１に反映する。

また、本実施形態の脆弱性検証機能１３１は、クライアント端末１１０からサービス要求があった場合、本人認証を行うようクライアント端末１１０に要求する構成は第一の実施形態と同じである。しかし、本実施形態では、クライアント端末１００から処理プロファイル５００を受け取ると、自身で脆弱性ＤＢ１４１にアクセスし、処理プロファイル５００の中の装置ＩＤ５１０と、装置仕様ＩＤ５２０と、ソフトバージョン５３０と、テンプレート情報５５０と、運用条件５４０とに合致したレコードを検索する。そして、当該レコードの、種別、詐取・偽造の困難さ、攻撃者のレベルを抽出し、ポリシー検証機能１３２に提供する。その他の機能構成、処理は、第一の実施形態と同様である。

なお、脆弱性情報提供機能８１２は、脆弱性ＤＢ８６０が更新されたタイミングで、脆弱性情報を各サービスプロバイダ１３０に提供しているが、提供するタイミングは、これに限られない。

例えば、提供する脆弱性情報の緊急度に応じて、即時に送信するか、定時の更新サービスとして、定期的に送信するかを選択可能な構成としてもよい。また、本機能を、脆弱性情報サーバ８１０のポリシーとして予め登録しておいてもよいし、サービスプロバイダとの契約で選択可能なように構成してもよい。

脆弱情報の緊急度の判断は、例えば、新たに発見された脆弱性の下記の情報に以下のように行う。
（ア）脆弱情報が該当するクライアント端末１１０の数や割合（シェア）が所定数以上の場合、緊急と判断する。
（イ）脆弱情報の攻撃ターゲットとなるテンプレートの数や割合（シェア）が所定数以上の場合、緊急と判断する。
（ウ）脆弱情報による攻撃の容易さ（情報の入手の容易さと偽造攻撃の容易さと攻撃者知識レベルの低さ）が所定レベルより容易であれば、緊急と判断する。
（エ）攻撃に要する見積り時間が所定以下の場合、緊急と判断する。

また、脆弱性情報サーバ８１０からの脆弱性情報を秘匿する必要がある場合もある。この際、次のような手段を取ることが可能である。
（ア）ＳＳＬなどにより脆弱性情報サーバとサービスプロバイダの間を相互認証の上、セッション鍵により秘匿通信を実施し、脆弱性情報を秘匿する。
（イ）ネットワークにて脆弱性情報を送信せず、該当するサービスプロバイダ１３０のみが復号化できる情報で記録した媒体を郵送し、送付する。

以上説明したように、本実施形態によれは、本実施形態によれば、様々な種類や仕様のバイオメトリクス認証製品の脆弱性レベルをサービスプロバイダ（サービス提供者）側で判断することができる。従って、様々な種類や仕様のバイオメトリクス認証製品がネットワークを介して接続されている環境において、クライアント端末で本人認証した上で、サービスを提供するシステムにおいて、所定のセキュリティレベルを維持することができ、リスクを一定の範囲に納めることができる。

上記各実施形態の脆弱性検証付きの本人認証システムでは、仕様の異なる複数のバイオメトリクス製品それぞれの脆弱性の評価結果に基づき、各々のバイオメトリクス製品について脆弱性の指標ごとのデータベースを保持し、バイオメトリクス認証の結果を検証する検証者（サービスプロバイダ）に、該当するバイオメトリクス認証処理の脆弱性の検証結果を提示することができる。

また、上記各実施形態の脆弱性検証付きの本人認証システムの検証者は、バイオメトリクス認証の処理の脆弱性について、運用条件ごとに、各指標の許容条件を認証ポリシーとして持ち、脆弱性検証結果に基づき、クライアントで実行するバイオメトリクス認証が、認証ポリシーに合致した認証処理であったか、判断することができる。

従って、以上の各実施形態によれば、バイオメトリクス認証装置の脆弱性について、バイオメトリクス認証結果を検証する検証者のセキュリティポリシーに従った本人認証が可能となる。新たな脆弱性が発見された場合、適切に該当する脆弱性の範囲や、なりすまし脅威の困難さ、脆弱性を使える攻撃者のレベルについて評価された結果をデータベースに追加・更新することで、常に現状に即した脅威を判断することができ、その上で、サービスの提供を行うことが可能となる。各実施形態によれば、このような仕組みを備えることで、なりすまし脅威に対するリスクを低減することができる。

第一の実施形態の脆弱性検証機能付きバイオメトリクス認証システムのシステム構成図である。 第一の実施形態のシステムを構成する各装置の機能構成図である。 第一の実施形態の処理プロファイルの一例を示す図である。 第一の実施形態の脆弱性ＤＢに保持される脆弱性情報の一例を示す図である。 第一の実施形態の認証ポリシーの一例を示す図である。 第一の実施形態のシステム全体の脆弱性検証処理の概略の処理フローである。 第一の実施形態の脆弱性検証処理の処理フローである。 第二の実施形態のシステムを構成する各装置の機能構成図である。

符号の説明

１００：データ通信網、１１０：クライアント端末、１１２：処理プロファイル作成機能、１２０：バイオメトリクス認証機能、１３０：サービスプロバイダ、１３１：脆弱性検証機能、１３２：ポリシー検証機能、１３３：サービス提供判定機能、１３４：サービス提供機能、１４０：認証ポリシー、１５０：脆弱性検証サーバ、１５１：脆弱性情報収集機能、１５２：脆弱性検証機能、１６０：脆弱性情報データベース、１７０：脆弱性評価機関、１８０：バイオメトリクス製品ベンダ、１９０：テンプレート発行機関

Claims (11)

1. データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システムであって、
   サービス要求者のバイオメトリクス情報の入力を受け付け、受け付けた前記バイオメトリクス情報を用いて自身のバイオメトリクス認証手段によってバイオメトリクス認証を行うクライアント端末と、
   サービスを提供するサービスプロバイダと、
   脆弱性検証サーバと、を備え、
   前記クライアント端末は、
   前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、
   前記脆弱性検証サーバは、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第１の記憶装置と、
   前記サービスプロバイダからの前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第１の記憶装置から、前記脆弱性情報を取得し、当該取得した脆弱性情報を前記サービスプロバイダに送信する脆弱性検証手段と、を備え、
   前記サービスプロバイダは、
   クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置と、
   前記処理プロファイルを受信すると、当該処理プロファイルを前記脆弱性検証サーバに送信し、前記脆弱性検証サーバから送信された前記脆弱性情報を受信する脆弱性検証手段と、
   前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記脆弱性検証サーバから送信された前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するポリシー検証手段と、
   前記ポリシー検証手段による判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するサービス提供判定手段と、
   前記サービス提供判定手段で可能と判定した場合、サービスをサービス要求元のクライアント端末に提供するサービス提供手段と、を備えること
   を特徴とするバイオメトリクス認証システム。
2. 請求項１記載のバイオメトリクス認証システムであって、
   前記脆弱性検証サーバは、
   各クライアント端末に備えられる前記バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末の前記運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける前記脆弱性情報と、を収集し、当該収集した特定情報と運用条件と脆弱性情報とを、前記第１の記憶装置に記憶させる脆弱性情報収集手段、をさらに備えること
   を特徴とするバイオメトリクス認証システム。
3. 請求項１又は２記載のバイオメトリクス認証システムであって、
   前記脆弱性情報は、詐取・偽造の困難さのレベルと攻撃者のレベルとの各々による攻撃の難易度を示し、
   前記サービス提供判定手段は、前記ポリシー検証手段により、前記受信した脆弱性情報の前記詐取・偽造の困難さのレベルと前記攻撃者のレベルとが共に前記認証ポリシーの前記基準を満たしていると判定された場合、サービス提供可能と判定すること
   を特徴とするバイオメトリクス認証システム。
4. 請求項１から３いずれか１項記載のバイオメトリクス認証システムであって、
   前記サービスプロバイダは、複数のサービスを提供可能であり、
   前記サービス提供判定手段は、前記クライアント端末から提供を要求されたサービスを提供することができないと判定した場合、他のサービスの中で、前記脆弱性情報及び前記脆弱性レベルで提供可能なサービスがあるか否かを判定し、
   前記サービス提供手段は、前記サービス提供判定手段で可能と判定したサービスを前記クライアント端末に提供すること
   を特徴とするバイオメトリクス認証システム。
5. データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システムであって、
   サービス要求者のバイオメトリクス情報の入力を受け付け、受け付けた前記バイオメトリクス情報を用いて自身のバイオメトリクス認証手段によってバイオメトリクス認証を行うクライアント端末と、
   サービスを提供するサービスプロバイダと、
   脆弱性検証サーバと、を備え、
   前記クライアント端末は、
   前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、
   前記脆弱性検証サーバは、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第１の記憶装置と、
   前記第１の記憶装置に記憶されている情報が更新された場合、当該更新された情報を前記サービスプロバイダに送信する変更通知手段と、を備え、
   前記サービスプロバイダは、
   クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置と、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第３の記憶装置と、
   前記脆弱性検証サーバからの前記更新された情報を受信すると、前記第３の記憶装置に、当該更新された情報を記憶させる脆弱性情報管理手段と、
   前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第３の記憶装置から、前記脆弱性情報を取得する脆弱性検証手段と、
   前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記取得した前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するポリシー検証手段と、
   前記ポリシー検証手段による判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するサービス提供判定手段と、
   前記サービス提供判定手段で可能と判定した場合、サービスをサービス要求元のクライアント端末に提供するサービス提供手段と、を備えること
   を特徴とするバイオメトリクス認証システム。
6. データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システムにおけるサービス提供可否判定方法であって、
   前記バイオメトリクス認証システムは、クライアント端末と、脆弱性検証サーバと、サービスプロバイダとを備え、
   前記クライアント端末は、
   前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、
   前記脆弱性検証サーバは、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第１の記憶装置、を備え、
   前記サービスプロバイダは、
   クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置、を備え、
   前記サービスプロバイダが、
   前記処理プロファイルを受信すると、当該処理プロファイルを前記脆弱性検証サーバに送信するステップ、を実行し、
   前記脆弱性検証サーバが、
   前記サービスプロバイダからの前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第１の記憶装置から、前記脆弱性情報を取得し、当該取得した脆弱性情報を前記サービスプロバイダに送信するステップ、を実行し、
   前記サービスプロバイダが、
   前記脆弱性検証サーバから送信された脆弱性情報を受信するステップと、
   前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記脆弱性検証サーバから送信された前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するステップと、
   前記判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するステップと、
   前記判定でサービス提供可能と判定した場合、サービスを前記クライアント端末に提供するステップと、を実行すること
   を特徴とするサービス提供可否判定方法。
7. データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システムであって、サービス要求者のバイオメトリクス情報の入力を受け付け、受け付けた前記バイオメトリクス情報を用いて自身のバイオメトリクス認証手段によってバイオメトリクス認証を行うクライアント端末と、サービスを提供するサービスプロバイダと、脆弱性検証サーバと、を備えるバイオメトリクス認証システムにおける、前記サービスプロバイダのコンピュータに実行させるプログラムであって、
   前記クライアント端末は、
   前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、
   前記脆弱性検証サーバは、
   第１の演算装置と、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける脆弱性の程度を示す脆弱性情報と、を記憶する第１の記憶装置とを備え、
   前記サービスプロバイダは、
   第２の演算装置と、
   クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置と、を備え、
   前記プログラムは、
   前記脆弱性検証サーバの前記第１の演算装置を、
   前記サービスプロバイダからの前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第１の記憶装置から、前記脆弱性情報を取得し、当該取得した脆弱性情報を前記サービスプロバイダに送信する脆弱性検証手段、として機能させ、
   前記サービスプロバイダの前記第２の演算装置を、
   前記処理プロファイルを受信すると、当該処理プロファイルを前記脆弱性検証サーバに送信し、前記脆弱性検証サーバから送信された前記脆弱性情報を受信する脆弱性検証手段と、
   前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記脆弱性検証サーバから送信された前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するポリシー検証手段と、
   前記ポリシー検証手段による判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するサービス提供判定手段と、
   前記サービス提供判定手段で可能と判定した場合、サービスをサービス要求元のクライアント端末に提供するサービス提供手段と、
   して機能させるためのプログラム。
8. データ通信網を介してサービス要求者の本人確認を実施した上でサービスを提供するバイオメトリクス認証システム内で前記サービスを提供するサービスプロバイダからの要求に応じてクライアントのバイオメトリクス認証手段の脆弱性の程度を示す脆弱性情報を通知する脆弱性検証サーバであって、
   前記クライアント端末は、
   前記バイオメトリクス認証手段のバイオメトリクス認証手段を特定する情報である特定情報と、当該バイオメトリクス認証手段による認証結果と、自身がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、を含む処理プロファイルを生成し、前記サービスプロバイダに送信する処理プロファイル生成手段、を備え、
   前記サービスプロバイダは、
   クライアント端末のセキュリティコントロールの厳しさによって定まる複数の脆弱性レベルの各々において前記サービスを提供可能とする前記脆弱性情報の基準を示す認証ポリシーを記憶する第２の記憶装置と、
   前記処理プロファイルを受信すると、当該処理プロファイルを前記脆弱性検証サーバに送信し、前記脆弱性検証サーバから送信された前記脆弱性情報を受信する脆弱性検証手段と、
   前記処理プロファイルに含まれる前記運用条件に基づいて、当該処理プロファイルを送信した前記クライアント端末の前記脆弱性レベルを判定し、前記認証ポリシーに基づいて、前記脆弱性検証サーバから送信された前記脆弱性情報が、当該判定した脆弱性レベルにおける前記基準を満たしているか否か判定するポリシー検証手段と、
   前記ポリシー検証手段による判定に基づき、前記処理プロファイルを送信した前記クライアント端末にサービスの提供の可否を判定するサービス提供判定手段と、
   前記サービス提供判定手段で可能と判定した場合、サービスをサービス要求元のクライアント端末に提供するサービス提供手段と、を備え、
   前記脆弱性検証サーバは、
   バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末がどのようなセキュリティコントロール下で運用されているかを示す運用条件と、当該特定情報で特定されるバイオメトリクス認証手段と当該運用条件とにおける前記脆弱性情報と、を記憶する第１の記憶装置と、
   前記サービスプロバイダからの前記処理プロファイルを受信すると、当該処理プロファイルに含まれる前記特定情報及び前記運用条件に基づいて、前記第１の記憶装置から、前記脆弱性情報を取得し、当該取得した脆弱性情報を前記サービスプロバイダに送信する脆弱性検証手段と、を備えること
   を特徴とする脆弱性検証サーバ。
9. 請求項８記載の脆弱性検証サーバであって、
   各クライアント端末に備えられる前記バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末の前記運用条件と、当該運用条件における前記脆弱性情報と、を収集し、当該収集した特定情報と運用条件と脆弱性情報とを、前記第１の記憶装置に記憶させる脆弱性情報収集手段をさらに備えること
   を特徴とする脆弱性検証サーバ。
10. 請求項８または９記載の脆弱性検証サーバであって、
    前記第１の記憶装置には、
    前記バイオメトリクス認証手段の前記特定情報と、当該バイオメトリクス認証手段を備えるクライアント端末の脆弱性の種類である種別と、当該脆弱性の影響が及ぶ範囲と、当該脆弱性が顕在化する前記クライアント端末の前記運用条件と、当該脆弱性の程度を示す脆弱性情報と、が記憶され、
    前記脆弱性情報には、
    当該脆弱性への攻撃を実現するために必要なリソースおよび条件と、
    当該脆弱性を利用して攻撃可能な能力を持った攻撃者の知識レベルと、が含まれること
    を特徴とする脆弱性検証サーバ。
11. 請求項１０記載の脆弱性検証サーバであって、
    前記脆弱性の影響が及ぶ範囲は、前記バイオメトリクス認証手段の装置を特定する情報とソフトウェアを特定する情報とテンプレートを特定する情報とにより特定されること
    を特徴とする脆弱性検証サーバ。

Images