JP5127469B2 - サーバ装置、リファレンス保管装置及びリファレンス生成装置 - Google Patents

Description

本発明は、バイオメトリック認証に用いられるサーバ装置、リファレンス保管装置及びリファレンス生成装置に関する。

ネットワークを介した通信やサービスを実現する際に、通信相手を認証することは重要な技術要素とされている。近年、オープンなネットワーク環境の普及や、分散されたサービス・リソースの連携技術の発達に伴い、認証対象もユーザから使用機器端末までに範囲が拡大してきている。

特に、認証対象者が個人である場合に、個人が本人か否かを確認する技術が現在注目されている。通常、認証では認証実行する際に、認証対象者を厳密に識別又は照合することが要件として挙げられる。このとき、認証対象者が個人である場合、個人が本人か否かを厳密に確認する本人確認技術が必要になる。

現在、本人確認を実施する有望な技術として、バイオメトリック認証（生体認証）技術が挙げられる。バイオメトリック認証は、個々人が有する固有の身体的特徴又は特性を事前に登録した生体情報（以下、生体参照情報という）と照合し、本人か否かを確認するための技術である。生体情報としては、指紋や虹彩、網膜、顔、音声、キーストローク、サインなどが利用されている。

バイオメトリック認証は、パスワードなどの既存の認証方法と異なり、忘却や紛失といった心配の無い生体情報を利用することでユーザの負荷を軽減できる。また、生体情報は複製が困難なものを前提としており、ユーザの成り済ましなどの防止策に有効である。

また、現在インターネットに代表されるオープンネットワークが普及し、電子商取引などにおいてネットワーク越しに通信相手を認証する方法としてバイオメトリクスを利用しようとする動きが高まってきている。また、身分証明などの分野でもバイオメトリック認証を利用して、身分証明書の所有者の本人確認を行うことも検討されている。

このような動きに対して、ネットワークを介して生体認証を行う技術として、生体認証向けの認証コンテクストを用いて行う技術が知られている（例えば、特許文献１参照）。 特許文献１には、クライアント側でのバイオメトリック認証に関係するプロセス内容を、生体認証向けの認証コンテクスト（生体認証コンテクスト）情報に纏めて、ネットワーク越しの検証者へ通知する手段が開示されている。

また、バイオメトリック認証をネットワーク上で利用する場合に、非対称暗号方式に基づいた公開鍵基盤（PKI：Public Key Infrastructure）を用いる方法が知られている。例えば、バイオメトリック認証の真正性の基準となるクレデンシャル（認証要素）である生体参照情報（Biometric Reference Data/Information）と、公開鍵証明書とを関連付ける方法が知られている。この生体参照情報は、生の生体情報（Biometric Raw Data/Information）に特徴抽出処理などを施した情報を指し、照合処理の基準情報となるものである。但し、照合アルゴリズムによっては、生の生体情報そのものを生体参照情報とするものもある。既知な代表的技術としては、ＲＦＣ３７３９の非特許文献１などが知られている。非特許文献１は、公開鍵証明書に生体参照情報との関連性を表す情報（生体参照情報のハッシュ値）をオプションとして含めることを規定している。本明細書では、今後、生体参照情報をリファレンス（Reference）と呼ぶこととする。

以上のようなバイオメトリック認証とＰＫＩとの組合せとしては、バイオメトリック認証と、公開鍵証明書を利用したエンティティ認証とをチェイニング（連鎖）させることにより、ネットワーク上での利用者認証（本人確認）を間接的に実施する技術が知られている。

また、リファレンスを生成するための基情報（生の生体情報など）は、個人の身体的特徴といったセンシティブ（機微）な情報であるため、そのプライバシ性についても考慮する必要がある。このため、バイオメトリック認証の処理自体を認証対象者側で実施し、リファレンス等の情報を認証者側に保管しない方法なども考えられている。この方法では、前述したような公開鍵証明書とリファレンスとを関連付けることにより、リファレンスのライフサイクル管理を間接的に実施することが可能である。
特開２００６−１１７６８号公報 "Internet X.509 Public Key Infrastructure: Qualified Certificates Profile "、[online]、［２００７年６月２６日検索］、インターネット＜URL：http://www.ietf.org/rfc/rfc3739.txt＞

以上のようなバイオメトリック認証の技術は、通常は特に問題が無いが、本発明者の検討によれば、リファレンスをバイオメトリック認証システムに登録しなければならないが、任意のクライアント環境からネットワークを介しての登録を行うことができないという不都合がある。

例えば、現在、バイオメトリック認証のリファレンスを登録する方法においては、リファレンスを認証対象者側（利用者）又は検証者側のいずれで管理する場合でも、認証対象者がリファレンスを作成するために検証者の指定する店舗等を訪問し、検証者側が用意したデバイス（生体情報スキャナ等）により生の生体情報を採取する必要がある。

これは、クライアント環境の品質と安全性とを一定水準に保つ必要があるためである。例えば、バイオメトリックの場合、偽造の困難な生体情報を前提とするが、リファレンスを例えばグミなどで偽造する場合などを防がなければならない。そのため、クライアント装置は、可能であればサーバ装置に生体検知結果を通知することが望まれる。また、照合精度を一定水準に維持するため、検証者は、品質の悪いリファレンスの登録を利用者が試みる場合にはその試みを阻止しなければならない。このような理由により、検証者が用意したクライアント環境を利用せざるを得ないと推測される。但し、認証対象者に物理的な移動を強制することになるので、認証対象者の負担を増大させる不都合がある。

なお、検証者が用意したクライアント環境を認証対象者に配布し、クライアント環境で採取したリファレンスをネットワーク経由で送信することも論理的には可能である。しかしながら、検証者が用意したクライアント環境を全ての認証対象者に配付することは、経済的には非現実的である。このため、店舗等の特定の場所にのみ生体情報スキャナ等のデバイスを設置せざるを得ない。

以上のように、バイオメトリック認証の技術においては、リファレンスの登録が必要であるが、任意のクライアント環境からネットワークを介しての登録を行うことができないという不都合がある。

本発明は上記実情を考慮してなされたもので、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスを登録し得るサーバ装置、リファレンス保管装置及びリファレンス生成装置を提供することを目的とする。

第１の発明は、認証対象者のリファレンス情報を生成するリファレンス生成装置に接続されたクライアント装置に通信可能であり、前記認証対象者の所有するリファレンス保管装置に当該認証対象者のリファレンス情報を書き込み可能なサーバ装置であって、前記リファレンス生成装置の秘密情報及び前記サーバ装置本体の秘密鍵が保存された秘密情報保存手段と、アカウントＩＤ毎に、前記認証対象者の身元情報及び認証要素情報を含むアカウント開設情報、前記認証対象者のリファレンス情報、及びリファレンス保証情報の保証情報シリアル番号を互いに関連付けて保存するためのアカウント保存手段と、前記リファレンス生成装置の性能情報及び前記リファレンス情報の精度に対する評価基準を示すポリシー情報が予め保存されたポリシー保存手段と、前記認証対象者のアカウント開設情報と、前記リファレンス生成装置の証明書参照情報、前記リファレンス生成装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス生成装置の秘密鍵に基づく署名を含む生体認証コンテクスト情報と、前記リファレンス情報から前記リファレンス生成装置の秘密情報に基づいて生成された隠蔽化リファレンス情報とを含むアカウント開設要求を前記クライアント装置から受信する手段と、前記受信したアカウント開設情報を前記アカウント保存手段に書き込む手段と、前記生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス生成装置の公開鍵を取得し、この公開鍵に基づいて前記署名を検証する署名検証手段と、前記生体認証コンテクスト情報内の性能情報及び精度に対し、前記ポリシー保存手段内のポリシー情報を満たすか否かを判定するポリシー判定手段と、前記署名検証手段による検証結果が正当を表し、前記ポリシー判定手段による判定結果がポリシー情報を満たすことを表すとき、前記書き込んだアカウント開設情報に対応付けて新たなアカウントＩＤを前記アカウント保存手段に書き込む手段と、前記秘密情報保存手段内の秘密情報に基づいて、前記隠蔽化リファレンス情報からリファレンス情報を復元する手段と、前記生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、前記ポリシー保存手段内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、前記生成した署名と前記署名対象データとからなるリファレンス保証情報を生成する手段と、前記復元したリファレンス情報と、前記保証情報シリアル番号とを前記新たなアカウントＩＤに対応付けて前記アカウント保存手段に書き込む手段と、前記リファレンス情報及び前記保証情報シリアル番号の書き込みの後、当該リファレンス情報及び前記リファレンス保証情報を前記リファレンス保管装置に書き込む手段と、前記リファレンス情報及び前記リファレンス保証情報の書き込みの後、アカウント開設完了を示すアカウント開設応答を前記クライアント装置に送信する手段と、を備えたサーバ装置である。

第２の発明は、認証対象者のリファレンス情報を生成するリファレンス生成装置に接続され且つ前記リファレンス情報をリファレンス保管装置に書き込み可能なクライアント装置に通信可能であり、前記認証対象者のアカウント情報を管理するためのサーバ装置であって、前記サーバ装置本体の秘密鍵が保存された秘密情報保存手段と、アカウントＩＤ毎に、前記認証対象者の身元情報及び認証要素情報を含むアカウント開設情報、前記リファレンス情報の不可逆変換値、及びリファレンス保証情報の保証情報シリアル番号を互いに関連付けて保存するためのアカウント保存手段と、前記リファレンス生成装置の性能情報、前記リファレンス情報の精度及びリファレンス保管装置の性能情報に対する評価基準を示すポリシー情報が予め保存されたポリシー保存手段と、前記認証対象者のアカウント開設情報を前記クライアント装置から受信する手段と、前記受信したアカウント開設情報を新たなアカウントＩＤに関連付けて前記アカウント保存手段に書き込む手段と、前記アカウント開設情報の書き込みの後、アカウント開設完了を示すアカウント開設応答を前記クライアント装置に送信する手段と、前記リファレンス生成装置の証明書参照情報、前記リファレンス生成装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記リファレンス生成装置の証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス生成装置の秘密鍵に基づく第１署名を含む第１生体認証コンテクスト情報と、前記リファレンス保管装置の証明書参照情報、前記リファレンス保管装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記リファレンス保管装置の証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス保管装置の秘密鍵に基づく第２署名を含む第２生体認証コンテクスト情報とを含むリファレンス検証要求を前記クライアント装置から受信する手段と、前記第１生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス生成装置の公開鍵を取得し、この公開鍵に基づいて前記第１署名を検証する第１署名検証手段と、前記第２生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス保管装置の公開鍵を取得し、この公開鍵に基づいて前記第２署名を検証する第２署名検証手段と、前記第１及び第２生体認証コンテクスト情報内の性能情報及び精度に対し、前記ポリシー保存手段内のポリシー情報を満たすか否かを判定するポリシー判定手段と、前記第１及び第２署名検証手段による検証結果がそれぞれ正当を表し、前記ポリシー判定手段による判定結果がポリシー情報を満たすことを表すとき、前記新たなアカウントＩＤに対応付けて前記第１生体認証コンテクスト情報内の不可逆変換値を前記アカウント保存手段に書き込む手段と、前記第１生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、前記ポリシー保存手段内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、前記生成した署名と前記署名対象データとからなるリファレンス保証情報を生成する手段と、前記保証情報シリアル番号を前記新たなアカウントＩＤに対応付けて前記アカウント保存手段に書き込む手段と、前記保証情報シリアル番号の書き込みの後、前記リファレンス保証情報を前記クライアント装置に送信するリファレンス保証情報送信手段と、を備えたサーバ装置である。

第３の発明は、認証対象者のクライアント装置に接続され、前記認証対象者のリファレンス情報を生成するためのリファレンス生成装置であって、前記リファレンス生成装置本体の証明書参照情報及び前記リファレンス生成装置本体の性能情報を予め保存した装置性能情報保存手段と、前記リファレンス生成装置本体の秘密情報及び秘密鍵が保存された秘密情報保存手段と、起動されると、前記認証対象者から生体情報を採取する生体情報採取手段と、前記生体情報からリファレンス情報を作成し、このリファレンス情報と当該リファレンス情報の精度とを送出するリファレンス作成手段と、前記送出されたリファレンス情報の不可逆変換値を生成する不可逆変換手段と、前記送出されたリファレンス情報を前記秘密情報保存手段内の秘密情報に基づいて可逆な方式で隠蔽化することにより、隠蔽化リファレンス情報を生成する隠蔽化手段と、前記装置性能情報保存手段内の証明書参照情報及び性能情報、前記送出されたリファレンスの精度、前記生成された不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、前記生成した署名と前記署名対象データとからなる生体認証コンテクスト情報を生成する手段と、前記生体認証コンテクスト情報及び前記隠蔽化リファレンス情報を前記クライアント装置に送信する手段と、を備えたリファレンス生成装置である。

第４の発明は、認証対象者のクライアント装置に接続され、前記認証対象者のリファレンス情報を生成するためのリファレンス生成装置であって、前記リファレンス生成装置本体の証明書参照情報及び前記リファレンス生成装置本体の性能情報を予め保存した装置性能情報保存手段と、前記リファレンス生成装置本体の秘密鍵が保存された秘密情報保存手段と、起動されると、前記認証対象者から生体情報を採取する生体情報採取手段と、前記生体情報から生体認証情報としてのリファレンス情報を作成し、このリファレンス情報と当該リファレンス情報の精度とを送出するリファレンス作成手段と、前記送出されたリファレンス情報の不可逆変換値を生成する不可逆変換手段と、前記装置性能情報保存手段内の証明書参照情報及び性能情報、前記送出されたリファレンスの精度、前記生成された不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、前記生成した署名と前記署名対象データとからなる生体認証コンテクスト情報を生成する手段と、前記生体認証コンテクスト情報及び前記リファレンス情報を前記クライアント装置に送信する手段と、を備えたリファレンス生成装置である。

（作用）
第１及び第３の発明は、隠蔽化リファレンス情報及び生体認証コンテクスト情報をサーバ装置に送信し、サーバ装置が生体認証コンテクスト情報を検証した後、隠蔽化リファレンス情報から復元したリファレンス情報を登録する構成により、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスをサーバ装置に登録することができる。

第２及び第４の発明は、クライアント装置がリファレンス情報をリファレンス保管装置に書き込み、リファレンス情報の不可逆変換値を含む生体認証コンテクスト情報をサーバ装置に送信し、サーバ装置が生体認証コンテクスト情報を検証した後、リファレンス情報の不可逆変換値を登録し、リファレンス保証情報をクライアント装置に返信する構成により、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスをリファレンス保管装置に登録できる。

以上説明したように本発明によれば、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスを登録できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は本発明の第１の実施形態に係るリファレンス登録システムの構成を示す模式図である。このリファレンス登録システムは、クライアント装置１００、リファレンス生成装置２００、サーバ装置３００及びＩＣカード（リファレンス保管装置）４００を備えている。なお、リファレンス生成装置２００は物理的にクライアント装置１００に内蔵された構成でもよい。リファレンス保管装置の好適な例としては、ＩＣ（集積回路：Integrated Circuit）カードや携帯電話などのように、耐タンパ性を有し、計算能力を持つデバイスであることが望ましい。ここでは、ＩＣカード４００をリファレンス保管装置の例として説明する。

ここで、クライアント装置１００は、ユーザインタフェース部１０１、外部通信部１０２及び登録処理実行部１０３を備えている。

ユーザインタフェース部１０１は、例えばＧＵＩ（グラフィカル・ユーザ・インタフェース）等のように、認証対象者の操作により、各種の情報をクライアント装置１００に入力する機能と、外部通信部１０２又は登録処理実行部１０３から受けた各種の情報をクライアント装置１００から表示出力する機能とをもっている。

外部通信部１０２は、インターネット等のネットワークを介してサーバ装置３００と通信を行う機能をもっている。

登録処理実行部１０３は、ユーザインタフェース部１０１からリファレンス開始要求が入力されると、リファレンス作成要求ＩＤを含むリファレンス作成要求をリファレンス生成装置２００に送る機能と、リファレンス生成装置２００から隠蔽化リファレンス情報、生体認証コンテクスト情報及びリファレンス作成応答ＩＤを含むリファレンス作成応答を受けると、ユーザインタフェース部１０１にリファレンス作成完了を表示出力させる機能と、ユーザインタフェース部１０１から氏名、住所、パスワード等、口座を開設するための口座開設情報が入力されると、この口座開設情報、生体認証コンテクスト情報及び隠蔽化リファレンス情報に口座開設要求ＩＤを付して口座開設要求を作成し、この口座開設要求を外部通信部１０２によりサーバ装置３００に送信する機能と、サーバ装置３００から口座開設応答ＩＤ及び口座開設の合否を含む口座開設応答を外部通信部１０２により受信すると、口座開設の合否をユーザインタフェース部１０１に表示出力させる機能とをもっている。なお、口座開設情報のうち、氏名及び住所を身元情報と呼んでもよく、パスワードを認証要素情報と呼んでもよい。

リファレンス生成装置２００は、装置性能情報保存部２０１、秘密情報保存部２０２、生体情報採取部２０３、リファレンス採取部２０４、不可逆変換部２０５、リファレンス隠蔽化部２０６、生体認証コンテクスト生成部２０７及び登録情報送出部２０８を備えている。

装置性能情報保存部２０１は、生体認証コンテクスト生成部２０７から読出／書込可能な記憶装置であり、リファレンス生成装置２００本体の証明書参照情報及びリファレンス生成装置２００本体の性能情報を予め保存している。証明書参照情報としては、リファレンス生成装置２００本体の公開鍵証明書形式の機器証明書を参照するためのＵＲＩが使用可能となっている。性能情報としては、性能を表す情報に限らず、リファレンス生成装置の安全性、リファレンス情報の不可逆変換アルゴリズム、などの各種情報を含んでもよい。

秘密情報保存部２０２は、生体認証コンテクスト生成部２０７から読出／書込可能な記憶装置であり、リファレンス生成装置２００本体の秘密情報及び秘密鍵を保存している。リファレンス生成装置２００本体の秘密情報としては、例えば共通鍵暗号方式の共通鍵、又は公開鍵暗号方式のサーバ装置３００の公開鍵が使用可能となっている。

生体情報採取部２０３は、生体認証コンテクスト生成部２０７に起動されると、認証対象者から生体情報を採取する機能をもっている。

リファレンス採取部２０４は、生体情報採取部２０３により採取された生体情報からリファレンス情報を作成し、このリファレンス情報をリファレンス隠蔽化部２０６に送出すると共に、リファレンス情報の精度を生体認証コンテクスト生成部２０７に送出する機能をもっている。

不可逆変換部２０５は、生体認証コンテクスト生成部２０７から送出されたリファレンス情報の不可逆変換値を生成し、この不可逆変換値を生体認証コンテクスト生成部２０７に送出する機能をもっている。

リファレンス隠蔽化部２０６は、リファレンス採取部２０４から送出されたリファレンス情報を秘密情報保存部２０２内の秘密情報に基づいて可逆な方式で隠蔽化することにより、隠蔽化リファレンス情報を生成する機能と、この隠蔽化リファレンス情報を登録情報送出部２０８に送出する機能とをもっている。

生体認証コンテクスト生成部２０７は、装置性能情報保存部１０１内の証明書参照情報及び性能情報、リファレンス採取部２０４から送出されたリファレンスの精度、不可逆変換部２０５により生成された不可逆変換値を含む署名対象データに対し、秘密情報保存部２０２内の秘密鍵に基づいて署名を生成する機能と、当該生成した署名と当該署名対象データとからなる生体認証コンテクスト情報を生成する機能と、この生体認証コンテクスト情報を登録情報送出部２０８に送出する機能とをもっている。なお、生体認証コンテクスト情報としては、これに限らず、例えば図２に示す如き、コンテクスト特定情報やチャレンジ情報を含んでもよく、また、署名に代えて、ＭＡＣ（メッセージ認証符号）等の認証子を用いる構成としてもよい。

登録情報送出部２０８は、生体認証コンテクスト生成部２０７から送出された生体認証コンテクスト情報及びリファレンス隠蔽化部２０６から送出された隠蔽化リファレンス情報をクライアント装置１００に送信する機能をもっている。

サーバ装置３００は、秘密情報保存部３０１、アカウント情報保存部３０２、登録処理ポリシー保存部３０３、外部通信部３０４、登録処理部３０５、生体認証コンテクスト検証部３０６、アカウント生成部３０７、リファレンス復元部３０８、リファレンス保証情報生成部３０９及びアカウント関連付け部３１０を備えている。

秘密情報保存部３０１は、リファレンス復元部３０８及びリファレンス保証情報生成部３０９等から読出／書込可能な記憶装置であり、リファレンス生成装置２００の秘密情報及びサーバ装置３００本体の秘密鍵が保存されている。ここで、秘密情報は、隠蔽化リファレンス情報の生成に用いた秘密情報と同一又は対応する情報である。例えば秘密情報が共通鍵の場合、隠蔽化リファレンス情報の生成に用いた秘密情報（共通鍵）と同一の情報である。また、秘密情報が秘密鍵（サーバ装置の秘密鍵）の場合、隠蔽化リファレンス情報の生成に用いた秘密情報（サーバ装置の公開鍵）に対応する情報である。

アカウント情報保存部３０２は、登録処理部３０５、アカウント生成部３０７及びアカウント関連付け部３１０等から読出／書込可能な記憶装置であり、図３に示すように、アカウントＩＤ毎に、認証対象者の身元情報（例、氏名、住所）及び認証要素情報（例、パスワード）を含むアカウント開設情報、認証対象者のリファレンス情報、及びリファレンス保証情報の保証情報シリアル番号を互いに関連付けて保存するためのものである。

登録処理ポリシー保存部３０３は、生体認証コンテクスト検証部３０６等から読出／書込可能な記憶装置であり、少なくともリファレンス生成装置の性能情報及びリファレンス情報の精度に対する評価基準を示すポリシー情報が予め保存されている。

外部通信部３０４は、インターネット等のネットワークを介してクライアント装置１００と通信を行う機能をもっている。ここでは、外部通信部３０４は、例えば、認証対象者のアカウント開設情報と、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値、及びこれら性能情報と精度と不可逆変換値とに対するリファレンス生成装置２００の秘密鍵に基づく署名を含む生体認証コンテクスト情報と、リファレンス情報からリファレンス生成装置２００の秘密情報に基づいて生成された隠蔽化リファレンス情報とを含むアカウント開設要求をクライアント装置１００から受信する機能と、受信したアカウント開設要求を登録処理部３０５に送出する機能と、登録処理部３０５から受けたアカウント開設完了を示すアカウント開設応答をクライアント装置１００に送信する機能とをもっている。

登録処理部３０５は、外部通信部３０４により受信したアカウント開設情報をアカウント情報保存部３０２に書き込む機能と、受信した生体認証コンテクストを生体認証コンテクスト検証部３０６に送出する機能と、生体認証コンテクスト検証部３０６による署名検証結果が正当を表し、ポリシー判定結果がポリシー情報を満たすことを表すとき、書き込んだアカウント開設情報に対応付けてアカウント生成部３０７を制御する機能と、隠蔽化リファレンス情報をリファレンス復元部３０８に送出して当該リファレンス復元部３０８からリファレンス情報を受ける機能と、生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、登録処理ポリシー保存部３０３内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データをリファレンス保証情報生成部３０９に送出して当該リファレンス保証情報生成部３０９から生成した署名と署名対象データとからなるリファレンス保証情報を受ける手段と、リファレンス復元部３０８から受けたリファレンス情報と、リファレンス保証情報内の保証情報シリアル番号と、後述する新たなアカウントＩＤとをアカウント関連付け部３１０に送出する機能と、リファレンス情報及びリファレンス保証情報をＩＣカード４００に書き込む機能と、この書き込みの後、アカウント開設完了を示すアカウント開設応答を外部通信部３０４からクライアント装置１００に送信する機能とをもっている。

生体認証コンテクスト検証部３０６は、登録処理部３０５から受けた生体認証コンテクスト情報内の証明書参照情報に基づいて、リファレンス生成装置２００の公開鍵を取得し、この公開鍵に基づいて生体認証コンテクスト情報内の署名を検証する機能と、生体認証コンテクスト情報内の性能情報及び精度に対し、登録処理ポリシー保存部３０３内のポリシー情報を満たすか否かを判定する機能と、署名検証結果及びポリシー判定結果を登録処理部３０５に送出する機能とをもっている。

アカウント生成部３０７は、登録処理部３０５に制御され、書き込まれたアカウント開設情報に対応付けて新たなアカウントＩＤをアカウント情報保存部３０２に書き込む機能をもっている。

リファレンス復元部３０８は、登録処理部３０５から隠蔽化リファレンス情報を受けると、秘密情報保存部３０１内の秘密情報に基づいて、当該隠蔽化リファレンス情報からリファレンス情報を復元する機能と、復元したリファレンス情報を登録処理部３０５に送出する機能とをもっている。

リファレンス保証情報生成部３０９は、登録処理部から受けた署名対象データに対し、秘密情報保存部３０１内の秘密鍵に基づいて署名を生成する機能と、生成した署名と署名対象データとからなるリファレンス保証情報を生成する機能と、このリファレンス保証情報を登録処理部３０５に送出する機能とをもっている。ここで、リファレンス保証情報としては、例えば、図４に示すようなX.509形式の公開鍵証明書に基づき、図５に示すように、基本領域と、基本領域に対するデジタル署名とからなる形式が使用可能となっている。ここで、基本領域としては、バージョン、シリアル番号、署名アルゴリズム、有効期間、生成者名、不可逆変換アルゴリズム、リファレンスダイジェスト、リファレンス評価結果、リファレンス評価ポリシーなどが適宜使用可能となっている。但し、本実施形態では、少なくともリファレンス情報の不可逆変換値、ポリシー情報、及び新たに生成した保証情報シリアル番号を基本領域に用いるものとしている。

アカウント関連付け部３１０は、登録処理部３０５から受けたリファレンス情報と、保証情報シリアル番号とを新たなアカウントＩＤに関連付けてアカウント情報保存部３０２に書き込む機能をもっている。

ＩＣカード４００は、通信部４０１、制御部４０２、リファレンス保存部４０３、リファレンス保証情報保存部４０４、ＩＣカード秘密情報保存部４０５及び生体認証コンテクスト生成部４０６を備えている。

通信部４０１は、サーバ装置３００等の外部装置と通信を行う機能をもっている。

制御部４０２は、他の各部４０１，４０３〜４０６を制御するものであり、例えば、通信部４０１から受けたリファレンス情報をリファレンス保存部４０３に書き込む機能と、通信部４０１から受けたリファレンス保証情報をリファレンス保証情報保存部４０４に書き込む機能と、通信部４０１から受けた秘密情報又はＩＣカード内で生成した秘密情報をＩＣカード秘密情報保存部４０５に書き込む機能と、生体認証コンテクスト生成部４０６に生体認証コンテクスト情報を生成させる機能と、生体認証コンテクスト生成部４０６から受けた生体認証コンテクスト情報を通信部４０１から出力する機能とをもっている。

リファレンス保存部４０３は、制御部４０２等から読出／書込み可能な記憶装置であり、リファレンス情報を保存する。

リファレンス保証情報保存部４０４は、制御部４０２等から読出／書込み可能な記憶装置であり、リファレンス保証情報を保存する。

ＩＣカード秘密情報保存部４０５は、制御部４０２等から読出／書込み可能な記憶装置であり、ＩＣカードの秘密情報を保存する。

生体認証コンテクスト生成部４０６は、制御部４０２に制御され、リファレンス保証情報保存部４０３内のリファレンスダイジェスト及びリファレンス精度、予め書き込まれたＩＣカード４００の証明書参照情報及びＩＣカード４００の性能情報からなる署名対象データに対し、ＩＣカード秘密情報保存部４０５内の秘密情報に基づいて署名を生成する機能と、生成した署名と署名対象データとからなる生体認証コンテクスト情報を制御部４０２に送出する機能とをもっている。但し、生体認証コンテクスト生成部４０６は、実際の照合処理の際に用いられるため、本実施形態では使用されない。

次に、以上のように構成されたリファレンス登録システムの動作について図６を用いて説明する。ここでは、銀行口座開設の処理を一例に挙げて説明する。またクライアント装置１００は、リファレンス生成装置２００が接続されている例を説明する。

［ステップＳＴ１］ クライアント装置１００においては、認証対象者の操作により、リファレンス開始要求が登録処理実行部１０３に入力される。実際の要求は、ユーザインタフェース部１０１のＧＵＩなどを用いてリファレンスの作成開始を選択することを想定している。

［ステップＳＴ２］ クライアント装置１００においては、登録処理実行部１０３が、例えば図７に示す如き、リファレンス作成要求ＩＤを含むリファレンス作成要求をリファレンス生成装置２００に送る。

［ステップＳＴ３］ リファレンス生成装置２００においては、生体認証コンテクスト生成部２０７がリファレンス作成要求を受信すると、生体情報採取部２０３を起動する。

生体情報採取部２０３は、認証対象者から生の生体情報を採取してリファレンス採取部２０４に送出する。リファレンス採取部２０４は、この生体情報からリファレンス情報を作成し、得られたリファレンス情報をリファレンス隠蔽化部２０６に送出する。また、リファレンス採取部２０４は、作成したリファレンス情報の精度を生体認証コンテキクト生成部２０７に送出する。

生体認証コンテクスト生成部２０７は、このリファレンス情報と、リファレンス情報の精度とを受けると、装置性能情報保存部２０１からバージョン情報、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報を読み出す。また、生体認証コンテクスト生成部２０７は、リファレンス情報を不可逆変換部２０５に送出し、不可逆変換部２０５からリファレンス情報の不可逆変換値を受ける。

生体認証コンテキクト生成部２０７は、これらバージョン情報、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値に対し、リファレンス生成装置２００の秘密鍵に基づく署名生成処理の実行により、署名を生成する。なお、バージョン情報は必須ではなく、省略してもよい。

これにより、生体認証コンテキクト生成部２０７は、バージョン情報、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値及び署名からなる生体認証コンテクスト情報を生成する。この生体認証コンテクスト情報は、生体認証コンテキクト生成部２０７から登録情報送出部２０８に送出される。

［ステップＳＴ４］ 一方、リファレンス隠蔽化部２０６は、このリファレンス情報を秘密情報保存部２０２内の秘密情報に基づいて可逆な方式で隠蔽化し、得られた隠蔽化リファレンス情報を登録情報送出部２０８に送出する。

登録情報送出部２０８は、図８に示すように、この隠蔽化リファレンス情報、生体認証コンテクスト情報及びリファレンス作成応答ＩＤを含むリファレンス作成応答をクライアント装置１００に返信する。

［ステップＳＴ５］ クライアント装置１００は、リファレンス作成応答を受信すると、ユーザインタフェース部１０１のＧＵＩなどで認証対象者にリファレンス情報が作成できたことを通知する。

［ステップＳＴ６］ クライアント装置１００においては、認証対象者のＧＵＩ等の操作により、氏名、住所、パスワード等、口座を開設するための口座開設情報を登録処理実行部１０３に入力する。この入力処理は、例えば検証者が準備するホームページなどの登録用ページにて必要な情報を記入したのち、例えば登録ボタンを押す場合などを想定する。

［ステップＳＴ７］ 登録処理実行部１０３は、図９に示すように、口座開設情報、生体認証コンテクスト情報及び隠蔽化リファレンス情報に口座開設要求ＩＤを付して口座開設要求を作成し、この口座開設要求を外部通信部１０２により送信する。ここで、口座開設要求は隠蔽化されていても良い。

［ステップＳＴ８］ サーバ装置３００においては、外部通信部３０４により口座開設要求を受信すると、登録処理部３０５が口座開設要求内の口座開設情報をアカウント情報保存部３０２に保存すると共に、生体認証コンテクスト情報を生体認証コンテクスト検証部３０６に送出する。

生体認証コンテクスト検証部３０６は、この生体認証コンテクスト情報を、登録処理ポリシー保存部３０３を参照しながら検証する。具体的には、生体認証コンテクスト情報の署名をリファレンス生成装置２００の証明書参照情報に基づいて取得可能な公開鍵により検証する。検証結果が署名の正当性を示すとき、生体認証コンテクスト検証部３０６は、生体認証コンテクスト情報内のリファレンス生成装置２００の性能情報及びリファレンス情報の精度に対し、登録処理ポリシー保存部３０３内のポリシー情報を満たすか否かを判定し、ポリシー情報を満たす場合には、生体認証コンテクスト情報が正当である旨の検証結果を登録処理部３０５に送出する。

登録処理部３０５は、正当である旨の検証結果を受けると、口座開設要求内の口座開設情報をアカウント生成部３０７に送出する。アカウント生成部３０７は、この口座開設情報を示す新たなアカウントＩＤを生成し、アカウント情報保存部３０２内の当該口座開設情報に対応付けてアカウントＩＤをアカウント情報保存部３０２に保存する。

登録処理部３０５は、口座開設要求内の隠蔽化リファレンス情報をリファレンス復元部３０８に送出する。リファレンス復元部３０８は、隠蔽化リファレンス情報に対して秘密情報保存部３０１内の秘密情報に基づいて復元処理を実行することにより、リファレンス情報を復元し、このリファレンス情報を登録処理部３０５に送出する。

また、登録処理部３０５は、バージョン情報、シリアル番号（保証情報シリアル番号）、署名アルゴリズム、有効期間、生成者名、不可逆変換アルゴリズム、リファレンスダイジェスト、リファレンス評価結果、リファレンス評価ポリシーからなる署名対象データをリファレンス保証情報生成部３０９に送出する。なお、リファレンス評価ポリシーは、登録処理ポリシー保存部３０３内のポリシー情報のうち、リファレンス生成装置の性能情報とリファレンス情報の精度との検証に用いたポリシー情報である。また、署名対象データとしては、リファレンス情報を保証する観点から、少なくともリファレンスダイジェスト（不可逆変換値）リファレンス精度及びリファレンス評価ポリシーを含んでいることが好ましく、アカウント情報とリファレンス保証情報とを関連付ける観点から、シリアル番号（保証情報シリアル番号）を含んでいることが好ましい。

リファレンス保証情報生成部３０９は、署名対象データに対し、サーバ装置３００の秘密鍵に基づく署名処理を実行し、署名を生成する。

また、リファレンス保証情報生成部３０９は、これら署名対象データ及び署名からなるリファレンス保証情報を生成する。このリファレンス保証情報は、リファレンス保証情報生成部３０９から登録処理部３０５に送出される。

登録処理部３０５は、リファレンス情報と、リファレンス保証情報内のシリアル番号とをアカウント情報保存部３０２内のアカウント情報に関連付けてアカウント情報保存部３０２に書き込む。

［ステップＳＴ９］ サーバ装置３００においては、登録処理部３０５が、アカウント情報を利用可能なＩＣカード４００を作成する。実際には既存のＩＣカードが利用可能になるようにアクティベートする処理などを行うことを想定している。なお、ＩＣカード４００は、図示しないカード発行装置により予め秘密鍵等の秘密情報がＩＣカード秘密情報保存部４０５に格納されている。

［ステップＳＴ１０］ 登録処理部３０５は、ステップＳＴ９でアクティベートしたＩＣカード４００に対し、図１０に示すように、リファレンス格納要求ＩＤ、リファレンス情報及びレファレンス保証情報からなるリファレンス格納要求をＩＣカード４００に入力する。

［ステップＳＴ１１］ ＩＣカード４００は、この入力されたリファレンス情報をリファレンス保存部４０３に格納し、リファレンス保証情報をリファレンス保証情報保存部４０４に格納する。

［ステップＳＴ１２］ ＩＣカード４００は各情報を格納した後、図１１に示すように、リファレンス格納応答ＩＤを含むリファレンス格納応答をサーバ装置３００に送信する。

［ステップＳＴ１３］ サーバ装置３００においては、登録処理部３０５がこのリファレンス格納応答を受けると、図１２に示すように、口座開設応答ＩＤ及び口座開設の合否を含む口座開設応答をクライアント装置１００に送信する。なお、口座開設の合の場合、口座開設完了としてもよい。

［ステップＳＴ１４］ クライアント装置１００は、口座開設応答を受信すると、ＧＵＩなどで口座が開設できたことを認証対象者に通知する。

［ステップＳＴ１５］ 検証者（サーバ装置３００の管理者）は、ステップＳＴ１１の処理で認証対象者のリファレンス情報及びリファレンス保証情報を格納したＩＣカード４００を認証対象者に送付する。この際、例えば書留など、認証対象者本人が受け取ったことを確認できるような手段を用いて送付することが好ましく、本実施形態ではそのような手段を用いることを想定している。

［ステップＳＴ１６］ 例えば書留によってＩＣカード４００を送付した場合、検証者は認証対象者が受け取ったことを受け取り確認で確認することができる。

上述したように本実施形態によれば、隠蔽化リファレンス情報及び生体認証コンテクスト情報をサーバ装置３００に送信し、サーバ装置３００が生体認証コンテクスト情報を検証した後、隠蔽化リファレンス情報から復元したリファレンス情報を登録する構成により、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスをサーバ装置３００に登録することができる。

詳しくは、任意のクライアント環境でリファレンス情報を採取した場合、このリファレンス情報を取得したリファレンス生成装置２００自体の情報と、取得したリファレンス情報自体とを、ネットワークを介して検証者側のサーバ装置３００に送信する。これにより、リファレンス作成時のクライアント環境の情報を基にその正当性及びリファレンスの精度を検証できるので、バイオメトリック認証の際に用いるリファレンス情報を対面ではなくネットワークを介して登録できる。さらに詳しくは、検証者が持つポリシーを満たしているかどうか、また検証者が満たしてほしい環境下で登録処理が行われているか等、検証者は生体情報がどのような環境で作成したのかネットワークを介して検証できるので、特定の店舗等にユーザが訪問することなく正当な生体情報をネットワークを介して登録することができる。

また、登録時に作成されたリファレンス情報と照合時に作成された生体認証情報を比較検証することで、実際にサービス利用時に行われる照合処理で、登録時とは異なるリファレンスを使っていないか検証できる。また認証対象者の環境で取得されたリファレンス情報は、隠蔽化（例、暗号化）して検証者に送信されるため、リファレンス情報を安全に送信でき、その後の照合時などでは、リファレンス・生体認証情報は認証対象者の環境から外部には流出しないので、それら生体情報が保護される。

上述したように、ネットワークを介してバイオメトリック認証システムに対する安全な登録を実現できる。すなわち、利用者が所有するクライアント装置１００を用いた、ネットワークを介してのバイオメトリック認証システムへのリファレンス情報の登録などの利用が期待できる。また、もし認証対象者が自己の所有するＩＣカード４００を紛失しても、サーバ装置３００に保管しているリファレンス情報を用いてＩＣカード４００を再発行することができるので、再度認証対象者の生体情報を取得して登録処理を行う必要がない。

また、上記ステップにおいて、検証者からリファレンス情報及びその生体認証コンテクスト情報が問題ない場合に、検証者が「ＯＫ」であることをＩＣカード４００に通知し、ＩＣカード４００を「ロック」状態にし、それ以降は、検証者からのコマンドがないとリファレンス情報を更新できないようにする機能があっても良い。この機能により、ＩＣカード４００に格納されているリファレンス情報をむやみに更新させないようにすることができ、また読み取れるクライアント装置を制御できるようにもなるので、使用用途を限定することも可能になる。

また、リファレンス保証情報に含まれる各種情報はリファレンス保証情報に記述されていなくてもＵＲＩなどで参照できる形式であっても良い。このことは以降の実施形態においても同様である。

（第２の実施形態）
図１３は本発明の第２の実施形態に係るリファレンス登録システムの構成を示す模式図であり、図１と同一機能部には同一符号を付してその詳しい説明を省略し、ここでは異なる機能部について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。

すなわち、第２の実施形態は、クライアント装置１００で取得したリファレンス情報自体をサーバ装置３００に送信することなく、リファレンス情報を登録する構成である。

これに伴い、クライアント装置１００は、前述した各部１０１，１０２と、前述した登録処理実行部１０３の機能を一部変更した登録処理実行部１０３’と、新たな登録部１０４とを備えている。

登録処理実行部１０３’は、ユーザインタフェース部１０１から氏名、住所、パスワード等、口座を開設するための口座開設情報が入力されると、この口座開設情報に口座開設要求ＩＤを付した口座開設要求を外部通信部１０２によりサーバ装置３００に送信する機能と、サーバ装置３００から口座開設応答ＩＤ及び口座開設の合否を含む口座開設応答を外部通信部１０２により受信すると、口座開設の合否をユーザインタフェース部１０１に表示出力させる機能と、ユーザインタフェース部１０１からリファレンス格納要求が入力されると、リファレンス作成要求ＩＤを含むリファレンス作成要求をリファレンス生成装置２００に送る機能と、リファレンス生成装置２００から第１生体認証コンテクスト情報、リファレンス情報及びリファレンス作成応答ＩＤを含むリファレンス作成応答を受けると、第１生体認証コンテクスト情報を登録情報受領部１０５に送出する機能と、生体認証コンテクスト検証部１０７から正当を表す検証結果を受けると、リファレンス情報にリファレンス格納要求ＩＤを付したリファレンス格納要求をＩＣカード４００に送信する機能と、ＩＣカード４００から第２生体認証コンテクスト情報及びリファレンス格納応答ＩＤを含むリファレンス格納応答を受けると、ユーザインタフェース部１０１にリファレンス格納完了を表示出力させる機能と、ユーザインタフェース部１０１からリファレンス検証開始要求が入力されると、第１及び第２生体認証コンテクスト情報にリファレンス検証要求ＩＤを付したリファレンス検証要求を外部通信部１０２によりサーバ装置３００に送信する機能と、サーバ装置３００からリファレンス検証応答ＩＤ、検証結果及びリファレンス保証情報を含むリファレンス検証応答を外部通信部１０２により受信すると、リファレンス保証情報をＩＣカードに送信すると共に、検証結果をユーザインタフェース部１０１に表示出力させる機能と、をもっている。

ここで、第１生体認証コンテクスト情報は、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値、及びこれら性能情報と精度と不可逆変換値とに対するリファレンス生成装置２００の秘密鍵に基づく第１署名を含んでいる。

第２生体認証コンテクスト情報は、ＩＣカード４００の証明書参照情報、ＩＣカード４００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値、及びこれら性能情報と精度と不可逆変換値とに対するＩＣカード４００の秘密鍵に基づく第２署名を含んでいる。

登録部１０４は、登録情報受領部１０５、登録処理ポリシー保存部１０６、生体認証コンテクスト検証部１０７及びリファレンス不可逆情報登録部１０８を備えている。

登録情報受領部１０５は、登録処理実行部１０３’から第１生体認証コンテクスト情報を受けると、この第１生体認証コンテクスト情報を保持し、生体認証コンテクスト検証部１０７を起動する機能をもっている。

登録処理ポリシー保存部１０６は、生体認証コンテクスト検証部１０７から読出／書込み可能な記憶装置であり、サーバ装置３００内の登録処理ポリシー保存部３０３と同じポリシー情報を保存している。

生体認証コンテクスト検証部１０７は、登録情報受領部１０５から起動されると、登録処理ポリシー保存部１０６を参照しながら、登録情報受領部１０５内の第１生体認証コンテクスト情報を検証する機能と、検証結果を登録処理実行部１０３’に送出する機能と、検証結果が正当を表すとき、第１生体認証コンテクスト情報内のリファレンス情報の不可逆変換値をリファレンス不可逆情報登録部１０８に書き込む機能とをもっている。

リファレンス不可逆情報登録部１０８は、生体認証コンテクスト検証部１０７から読出／書込み可能な記憶装置であり、第１生体認証コンテクスト情報内の不可逆変換値が書き込まれる。

リファレンス生成装置２００は、図１に示した構成からリファレンス隠蔽化部２０６を省略した構成である。これに伴い、秘密情報保存部２０２、リファレンス採取部２０４及び登録情報送出部２０８に代えて、これらの機能を一部変更した秘密情報保存部２０２’、リファレンス採取部２０４’及び登録情報送出部２０８’を備えている。

秘密情報保存部２０２’は、生体認証コンテクスト生成部２０７から読出／書込可能な記憶装置であり、リファレンス生成装置２００本体の公開鍵暗号方式における秘密鍵を保存している。

リファレンス採取部２０４’は、生体情報採取部２０３により採取された生体情報からリファレンス情報を作成し、このリファレンス情報を登録情報送出部２０８’に送出すると共に、リファレンス情報の精度を生体認証コンテクスト生成部２０７に送出する機能をもっている。

登録情報送出部２０８’は、生体認証コンテクスト生成部２０７から送出された生体認証コンテクスト情報及びリファレンス採取部２０４’から送出されたリファレンス情報をクライアント装置１００に送信する機能をもっている。

サーバ装置３００は、図１に示した構成からリファレンス復元部２０８を省略した構成である。これに伴い、秘密情報保存部３０１、アカウント情報保存部３０２、登録処理ポリシー保存部３０３、登録処理部３０５及び生体認証コンテクスト検証部３０６に代えて、これらの機能を一部変更した秘密情報保存部３０１’、アカウント情報保存部３０２’、登録処理ポリシー保存部３０３’、登録処理部３０５’及び生体認証コンテクスト検証部３０６’を備えている。

秘密情報保存部３０１’は、リファレンス保証情報生成部３０９等から読出／書込可能な記憶装置であり、サーバ装置３００本体の公開鍵暗号方式における秘密鍵が保存されている。

アカウント情報保存部３０２’は、登録処理部３０５’、アカウント生成部３０７及びアカウント関連付け部３１０等から読出／書込可能な記憶装置であり、図１４に示すように、前述したリファレンス情報に代えて、リファレンス情報の不可逆変換値を保存するものである。

登録処理ポリシー保存部３０３’は、生体認証コンテクスト検証部３０６等から読出／書込可能な記憶装置であり、少なくともリファレンス生成装置２００の性能情報、リファレンス情報の精度及びＩＣカード４００の性能情報に対する評価基準を示すポリシー情報が予め保存されている。

登録処理部３０５’は、外部通信部３０４により受信したアカウント開設情報を新たなアカウントＩＤに関連付けてアカウント情報保存部３０２に書き込む機能と、受信した第１及び第２生体認証コンテクストを生体認証コンテクスト検証部３０６’に送出する機能と、生体認証コンテクスト検証部３０６’による署名検証結果が正当を表し、ポリシー判定結果がポリシー情報を満たすことを表すとき、前述した新たなアカウントＩＤと第１生体認証コンテクスト情報内の不可逆変換値とをアカウント関連付け部３１０に送出する機能と、第１生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、登録処理ポリシー保存部３０３内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データをリファレンス保証情報生成部３０９に送出して当該リファレンス保証情報生成部３０９から生成した署名と署名対象データとからなるリファレンス保証情報を受ける手段と、リファレンス保証情報内の保証情報シリアル番号と前述した新たなアカウントＩＤとをアカウント関連付け部３１０に送出する機能と、アカウント関連付け部３１０による保証情報シリアル番号の書き込みの後、リファレンス保証情報を外部通信部３０４からクライアント装置１００に送信する機能とをもっている。

生体認証コンテクスト検証部３０６’は、登録処理部３０５から受けた第１生体認証コンテクスト情報内の証明書参照情報に基づいて、リファレンス生成装置２００の公開鍵を取得し、この公開鍵に基づいて第１生体認証コンテクスト情報内の第１署名を検証する機能と、登録処理部３０５から受けた第２生体認証コンテクスト情報内の証明書参照情報に基づいて、ＩＣカード４００の公開鍵を取得し、この公開鍵に基づいて第２生体認証コンテクスト情報内の第２署名を検証する機能と、第１及び第２生体認証コンテクスト情報内の性能情報及び精度に対し、登録処理ポリシー保存部３０３内のポリシー情報を満たすか否かを判定する機能と、それぞれの署名検証結果及びポリシー判定結果を登録処理部３０５に送出する機能とをもっている。

ＩＣカード４００は、前述した機能を有するものであるが、通信部４０１の通信先がサーバ装置３００の登録処理部３０５ではなく、クライアント装置１００の登録処理実行部１０３’となっている。

次に、以上のように構成されたリファレンス登録システムの動作について図１５を用いて説明する。本実施形態においても、銀行口座開設の処理を想定したもので説明する。またクライアント環境としては、ＩＣカードであるＩＣカード、リファレンスを作成するリファレンス生成装置が分かれているものとする。始めに認証対象者は、検証者に対して口座の開設とリファレンス登録を要求する。このとき認証対象者の身元確認は、運転免許証などの物理的書面・又はインターネットを介して必要な情報を記述することなど、従来の非対面式の本人確認手段を用いて確認する。

［ステップＳＴ２１］ クライアント装置１００においては、認証対象者の操作により、口座開設情報及び口座開設開始要求が登録処理実行部１０３’に入力される。実際の要求は、ユーザインタフェース部１０１のＧＵＩなどを用い、例えばステップＳＴ６と同様に、検証者が準備する生体情報の登録用ホームページで氏名、住所、パスワード等、口座を開設するための口座開設情報を入力した後、登録開始のボタンを押すような場合を想定する。

［ステップＳＴ２２］ 登録処理実行部１０３’は、図１６に示すように、口座開設情報に口座開設要求ＩＤを付した口座開設要求を外部通信部１０２によりサーバ装置３００に送信する。

［ステップＳＴ２３］ サーバ装置３００においては、外部通信部３０４により口座開設要求を受信すると、登録処理部３０５’が口座開設情報を新たなアカウントＩＤに関連付けてアカウント情報保存部３０２に保存する。

そして検証者（サーバ装置３００の管理者）は、そのアカウントに対応するＩＣカード４００を準備する。

［ステップＳＴ２４］ しかる後、サーバ装置３００においては、図１７に示すように、登録処理部３０５’が外部通信部３０４により口座開設応答ＩＤ及び口座開設の合否を含む口座開設応答をクライアント装置１００に送信する。なお、口座開設の合の場合、口座開設完了としてもよい。

［ステップＳＴ２５］ クライアント装置１００は、口座開設応答を受信すると、ＧＵＩなどで口座開設応答を認証対象者に通知する。通知の方法としては、例えばアカウントの作成までが終了したことを示すメッセージが表示されることなどを想定する。

［ステップＳＴ２６］ 検証者は、ステップＳＴ２３で作成したＩＣカード４００を、例えば書留のような、認証対象者本人が正しく受け取ったことを確認できる手段を用いて送付する。このときＩＣカード４００はまだ利用することができず、後述する有効化処理を行った後に初めて利用可能となる。

［ステップＳＴ２７］ ＩＣカード４００を受け取った認証対象者は、例えば書留を用いて送付されていた場合には、受け取ったことを検証者に通知することができる。

［ステップＳＴ２８］ クライアント装置１００においては、認証対象者のユーザインタフェース部１０１の操作により、リファレンス格納開始要求を登録処理実行部１０３’に入力する。この入力処理は、例えばＧＵＩで表示されるリファレンス作成ボタンを選択するような場合を想定する。

［ステップＳＴ２９］ 登録処理実行部１０３’は、登録処理実行部１０３’が、例えば図１８に示す如き、リファレンス作成要求ＩＤを含むリファレンス作成要求をリファレンス生成装置２００に送る。

［ステップＳＴ３０］ リファレンス生成装置２００においては、生体認証コンテクスト生成部２０７がリファレンス作成要求を受信すると、生体情報採取部２０３を起動する。

生体情報採取部２０３は、認証対象者から生の生体情報を採取してリファレンス採取部２０４’に送出する。リファレンス採取部２０４’は、この生体情報から生体認証情報としてのリファレンス情報を作成し、得られたリファレンス情報を登録情報送出部２０８に送出する。また、リファレンス採取部２０４’は、作成したリファレンス情報の精度を生体認証コンテキクト生成部２０７に送出する。

生体認証コンテクスト生成部２０７は、このリファレンス情報と、リファレンス情報の精度とを受けると、ステップＳＴ３と同様にして、バージョン情報、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、リファレンス情報の精度、リファレンス情報の不可逆変換値及び第１署名からなる第１生体認証コンテクスト情報を生成する。この第１生体認証コンテクスト情報は、生体認証コンテキクト生成部２０７から登録情報送出部２０８’に送出される。

［ステップＳＴ３１］ 登録情報送出部２０８’は、図１９に示すように、この第１生体認証コンテクスト情報、リファレンス情報及びリファレンス作成応答ＩＤを含むリファレンス作成応答をクライアント装置１００に送信する。

ここで、クライアント装置１００は、リファレンスの精度がサーバ装置３００に指定されたポリシー情報を満たしているか否か等を登録部１０４により検証する。

具体的には、クライアント装置１００においては、登録処理実行部１０３’が第１生体認証コンテクスト情報を登録情報受領部１０５に送出する。

登録情報受領部１０５は、この第１生体認証コンテクスト情報を保持し、生体認証コンテクスト検証部１０７を起動する。

生体認証コンテクスト検証部１０７は、起動されると、登録処理ポリシー保存部１０６を参照しながら、登録情報受領部１０５内の第１生体認証コンテクスト情報を検証し、検証結果が正当を表すとき、第１生体認証コンテクスト情報内のリファレンス情報の不可逆変換値をリファレンス不可逆情報登録部１０８に書き込む。また、生体認証コンテクスト検証部１０７は、正当か否かによらずに検証結果を登録処理実行部１０３’に送出する。

登録処理実行部１０３’は検証結果が正当を表すとき、次のステップＳＴ３２に進む。

［ステップＳＴ３２］ 登録処理実行部１０３’は、図２０に示すように、リファレンス情報及び第１生体認証コンテクスト情報にリファレンス格納要求ＩＤを付したリファレンス格納要求をＩＣカードに送信する。

［ステップＳＴ３３］ ＩＣカード４００においては、通信部４０１により受信したリファレンス情報を制御部４０２がリファレンス保存部４０３に格納する。

生体認証コンテクスト生成部４０６は、制御部４０２に制御され、第１生体認証コンテクスト情報内のリファレンス情報の精度及びリファレンス情報の不可逆変換値と、予め書き込まれたＩＣカード４００の証明書参照情報及びＩＣカード４００の性能情報とからなる署名対象データに対し、ＩＣカード秘密情報保存部４０５内の秘密情報に基づいて第２署名を生成する。

しかる後、生体認証コンテクスト生成部４０６は、生成した第２署名と署名対象データとからなる第２生体認証コンテクスト情報を制御部４０２に送出する。

［ステップＳＴ３４］ ＩＣカード４００においては、制御部４０２が通信部４０１により、図２１に示すように、第２生体認証コンテクスト情報及びリファレンス格納応答ＩＤを含むリファレンス格納応答をクライアント装置１００に送信する。

［ステップＳＴ３５］ クライアント装置１００においては、登録処理実行部１０３’が、リファレンス格納応答を受信すると、ユーザインタフェース部１０１のＧＵＩ等により、認証対象者に対してリファレンス格納処理が終了したことを通知する。

［ステップＳＴ３６］ クライアント装置１００においては、認証対象者によるユーザインタフェース部１０１の操作により、リファレンス検証開始要求を登録処理実行部１０３’に入力する。これは、例えば生体認証コンテクスト情報を検証者に送信するように促すボタンを選択することを想定する。

［ステップＳＴ３７］ 登録処理実行部１０３’は、図２２に示すように、第１及び第２生体認証コンテクスト情報にリファレンス検証要求ＩＤを付したリファレンス検証要求を外部通信部１０２によりサーバ装置３００に送信する。

［ステップＳＴ３８］ サーバ装置３００においては、外部通信部３０４によりリファレンス検証要求を受信すると、登録処理部３０５’がリファレンス検証要求内の第１及び第２生体認証コンテクスト情報を生体認証コンテクスト検証部３０６’に送出する。

生体認証コンテクスト検証部３０６’は、第１及び第２生体認証コンテクスト情報を、登録処理ポリシー保存部３０３’を参照しながら検証する。具体的には、第１生体認証コンテクスト情報の第１署名をリファレンス生成装置２００の証明書参照情報に基づいて取得可能な公開鍵により検証する。同様に、第２生体認証コンテクスト情報の第２署名をＩＣカード４００の証明書参照情報に基づいて取得可能な公開鍵により検証する。

また、生体認証コンテクスト検証部３０６’は、第１及び第２生体認証コンテクスト情報内のそれぞれの性能情報及びリファレンス情報の精度に対し、登録処理ポリシー保存部３０３内のポリシー情報を満たすか否かを判定する。

しかる後、生体認証コンテクスト検証部３０６’は、第１及び第２署名の検証結果と、ポリシー情報の判定結果とを登録処理部３０５’に送出する。

登録処理部３０５’は、第１及び第２署名の検証結果が正当を表し、ポリシー情報の判定結果がポリシー情報を満たすことを表すとき、ステップＳＴ２３の新たなアカウントＩＤと第１生体認証コンテクスト情報内の不可逆変換値とをアカウント関連付け部３１０を介してアカウント情報保存部３０２’に保存する。

また、登録処理部３０５’は、第１生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、登録処理ポリシー保存部３０３内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データをリファレンス保証情報生成部３０９に送出して当該リファレンス保証情報生成部３０９から生成した署名と署名対象データとからなるリファレンス保証情報を受ける。

登録処理部３０５’は、リファレンス保証情報内の保証情報シリアル番号と前述した新たなアカウントＩＤとをアカウント関連付け部３１０を介してアカウント情報保存部３０２’に保存する。保証情報シリアル番号の書込みの後、アカウントが有効になる。

［ステップＳＴ３９］ サーバ装置３００においては、登録処理部３０５’が外部通信部３０４により、図２３に示すように、各生体認証コンテクスト情報の検証結果、リファレンス保証情報及びリファレンス検証応答ＩＤを含むリファレンス検証応答をクライアント装置１００に送信する。

［ステップＳＴ４０］ クライアント装置１００においては、外部通信部１０２によりリファレンス検証応答を受信すると、登録処理実行部１０３’がリファレンス保証情報をＩＣカード４００に保存するとともに、ＩＣカード４００を有効化し、ＩＣカード４００を利用可能とする。

［ステップＳＴ４１］ その後、登録処理実行部１０３’は、リファレンス検証処理が終了したことを認証対象者に対して、例えばＧＵＩなどで通知する。

上述したように本実施形態によれば、クライアント装置１００がリファレンス情報をＩＣカード４００に書き込み、リファレンス情報の不可逆変換値を含む生体認証コンテクスト情報をサーバ装置３００に送信し、サーバ装置３００が生体認証コンテクスト情報を検証した後、リファレンス情報の不可逆変換値を登録し、リファレンス保証情報をクライアント装置１００に返信する構成により、照合精度を一定水準に維持しつつ、任意のクライアント環境からネットワークを介してリファレンスをＩＣカード４００に登録できる。

詳しくは、任意のクライアント装置１００を用いて、認証対象者の環境で作成されたリファレンス情報をネットワーク上に送出することなく、リファレンス生成に関連する処理内容及び処理装置を検証でき、バイオメトリック認証システムに登録でき、かつ照合時には、登録されたリファレンス情報が用いられているかをサーバ装置３００が検証できる。また別の見方をすると、サーバ装置３００が認めたリファレンス情報がＩＣカード４００に格納されることを確認することができ、そのことをクライアント環境の外部にリファレンス情報を出すことなく実現することができる。従って、第１の実施形態の効果に加え、よりプライバシ面を考慮したリファレンスの登録を期待できる。

補足すると、第１の実施形態に関連して、任意のクライアント環境で採取したリファレンスを、ネットワークを介してバイオメトリック認証システムに登録する場合において、ネットワーク等へリファレンス情報を送出することは、プライバシの観点上好ましくない。一般的に、生の生体情報又はリファレンス情報は、センシティブ（機微）な情報であると考えられ、暗号化等を施していたとしてもユーザの管理下の外に出すことは好ましくなく、利用者の抵抗感を生じさせる要因になると考えられる。よって、ネットワーク等へ直接的に生の生体情報又はリファレンス情報を送出することなく、リファレンス情報の正当性の可否を検証でき、その検証結果に従ってリファレンス情報の登録が可能となるので、第１の実施形態に比べ、より好ましいと考えられる。

上記例では、ＳＴＯＣモデルにおける登録処理を想定したものについて説明したが、ＭＯＣモデル、ＳＯＣモデル、及びＳＴＯＣ、ＭＯＣ、ＳＯＣに含まれないモデルについても同様に処理を行うことは可能である。故に、説明の簡便上、それぞれの場合の組合せとその実施形態については省略している。

また検証者側で、認証対象者のリファレンスが送付したＩＣカードで正しく作成されているか確認する手段として、検証者が発行するＩＣカードが保持している例えば署名用の秘密鍵などで確認することができる。

また、本実施形態では、リファレンス保証情報生成部３０９をサーバ装置３００に含まれているが、例えばもしＩＣカード４００が耐タンパ装置であるという仮定があるなら、ＩＣカード４００内にリファレンス保証情報生成部があり、ＩＣカード４００内でリファレンス保証情報を生成してもよい。

（第３の実施形態）
図２４は本発明の第３の実施形態に係るリファレンス登録システムの構成を示す模式図である。第３の実施形態は、第２の実施形態で作成したリファレンス情報を更新する構成である。

これに伴い、クライアント装置１００においては、登録処理実行部１０３’が前述した機能に加え、更新に関する機能をもっている。

登録処理実行部１０３’は、ユーザインタフェース部１０１からリファレンス更新開始要求を受けると、リファレンス更新要求ＩＤを含むリファレンス更新要求を外部通信部１０２によりサーバ装置３００に送信する機能と、ユーザインタフェース部１０１から照合開始要求を受けると、生体情報取得要求ＩＤを含む生体情報取得要求をリファレンス生成装置２００”に送信する機能と、第１生体認証コンテクスト情報、生体認証情報及び生体情報取得応答ＩＤを含む生体情報取得応答をリファレンス生成装置２００”から受けると、リファレンス取得要求ＩＤを含むリファレンス取得要求をＩＣカード４００に送信する機能と、リファレンス情報、第２生体認証コンテクスト情報及びリファレンス取得応答ＩＤを含むリファレンス取得応答をＩＣカード４００から受けると、生体認証情報、リファレンス情報及び生体情報照合要求ＩＤを含む生体情報照合要求をリファレンス生成装置２００”に送信する機能と、照合結果、第３生体認証コンテクスト情報及び生体情報照合応答ＩＤを含む対象者照合終了応答をリファレンス生成装置２００”から受けると、照合結果、第３生体認証コンテクスト情報及び生体情報照合応答ＩＤを含む対象者照合応答を外部通信部１０２によりサーバ装置３００に送信する機能とをもっている。

リファレンス生成装置２００”は、前述したリファレンス生成装置２００’の機能に加え、生体照合処理部２０９を備えており、これに伴い、装置性能情報保存部２０１及び生体認証コンテクスト生成部２０７の機能が一部変更されている。

ここで、生体照合処理部２０９は、生体情報採取部２０３及びリファレンス採取部２０４’により新たに作成された認証対象者の生体認証情報と、認証対象者のリファレンス情報とをクライアント装置１００から受信すると、当該リファレンス情報と生体認証情報とを照合し、照合結果と照合パラメータとを生体認証コンテクスト生成部２０７に送出する機能をもっている。

装置性能情報保存部２０１は、前述した各情報に加え、生体照合処理部２０９の証明書参照情報及び生体照合処理部２０９の性能情報を予め保存している。

生体認証コンテクスト生成部２０７は、前述した機能に加え、装置性能情報保存部２０１内の証明書参照情報及び性能情報、送出された照合結果と照合パラメータ、当該照合結果と照合パラメータの不可逆変換値を含む署名対象データに対し、秘密情報保存部２０２’内の秘密鍵に基づいて第３署名を生成する機能と、生成した第３署名と署名対象データとからなる第３生体認証コンテクスト情報を生成する機能と、照合結果及び第３生体認証コンテクスト情報をクライアント装置に送信する機能とをもっている。

同様に、サーバ装置３００においては、登録処理ポリシー保存部３０３’、登録処理部３０５’及び生体認証コンテクスト検証部３０６’が前述した機能に加え、更新に関する機能をもっている。

登録処理ポリシー保存部３０３’は、前述したポリシー情報に加え、生体照合処理部２０９の性能情報、照合パラメータ及び照合結果に対する評価基準を示す照合ポリシー情報が予め保存されている。

登録処理部３０５’は、前述した機能に加え、リファレンス更新要求をクライアント装置１００から外部通信部３０４により受信すると、認証対象者照合要求を外部通信部３０４からクライアント装置に送信する機能と、認証対象者照合要求の送信後、第３生体認証コンテクスト情報を含む認証対象者照合応答をクライアント装置１００から外部通信部３０４により受信すると、この第３生体認証コンテクスト情報を生体認証コンテクスト検証部３０６’に送出する機能と、生体認証コンテクスト検証部３０６’による第３署名の検証結果が正当を表し且つ判定結果が照合ポリシー情報を満たすことを表すとき、アカウント情報保存部３０２’における認証対象者のリファレンス情報の不可逆変換値を無効化する機能と、更新用の新たなリファレンス情報の不可逆変換値を含む第１及び第２生体認証コンテクスト情報を送信するように、認証対象者リファレンス更新要求を外部通信部３０４からクライアント装置１００に送信する機能とをもっている。

生体認証コンテクスト検証部３０６’は、前述した機能に加え、登録処理部３０５’から第３生体認証コンテクスト情報を受けると、第３生体認証コンテクスト情報内の証明書参照情報に基づいて、生体照合処理部２０９の公開鍵を取得し、この公開鍵に基づいて第３署名を検証する機能と、第３生体認証コンテクスト情報内の性能情報、照合パラメータ及び照合結果に対し、登録処理ポリシー保存部３０３’内の照合ポリシー情報を満たすか否かを判定する機能と、第３署名の検証結果及び照合ポリシー情報の判定結果を登録処理部３０５’に送出する機能とをもっている。

次に、以上のように構成されたリファレンス登録システムの動作について図２５を用いて説明する。

［ステップＳＴ５１］ クライアント装置１００においては、認証対象者のユーザインタフェース部１０１の操作により、リファレンス更新開始要求を登録処理実行部１０３’に入力する。この処理は、例えばクライアント装置上でＧＵＩなどを用いて表示される、もしくは選択できるものを想定する。

［ステップＳＴ５２］ 登録処理実行部１０３’は、リファレンス更新開始要求を受けると、図２６に示すように、リファレンス更新要求ＩＤを含むリファレンス更新要求を外部通信部１０２によりサーバ装置３００に送信する。

［ステップＳＴ５３］ サーバ装置３００においては、外部通信部３０４によりリファレンス更新要求を受信すると、登録処理部３０５’が、図２７に示すように、認証対象者が本人であることを確認するため、対象者照合要求ＩＤを含む対象者照合要求を外部通信部３０４からクライアント装置１００に送信する。

［ステップＳＴ５４］ クライアント装置１００は、対象者照合要求を受信すると、ユーザインタフェース部１０１のＧＵＩなどで、照合を促されたことを認証対象者に通知する。

［ステップＳＴ５５］ クライアント装置１００では、認証対象者によるユーザインタフェース部１０１の操作により、照合開始要求を登録処理実行部１０３’に入力する。この処理は、例えばＧＵＩで表示された照合開始のボタンを選択することを想定する。

［ステップＳＴ５６］ 登録処理実行部１０３’は、照合開始要求を受けると、図２８に示すように、生体情報取得要求ＩＤを含む生体情報取得要求をリファレンス生成装置２００”に送信する。

［ステップＳＴ５７］ リファレンス生成装置２００”においては、生体認証コンテクスト生成部２０７が生体情報取得要求を受信すると、生体情報採取部２０３を起動する。

生体情報採取部２０３は、認証対象者から生の生体情報を採取してリファレンス採取部２０４’に送出する。リファレンス採取部２０４’は、この生体情報から生体認証情報を作成し、得られた生体認証情報を登録情報送出部２０８に送出する。また、リファレンス採取部２０４’は、作成した生体認証情報の精度を生体認証コンテキクト生成部２０７に送出する。なお、生体認証情報は、リファレンス情報と同一の処理により、生体情報から作成される。すなわち、最初の登録時に作成される情報をリファレンス情報と呼び、登録後の生体認証時に作成される情報を生体認証情報と呼んでいる。

生体認証コンテクスト生成部２０７は、この生体認証情報と、生体認証情報の精度とを受けると、ステップＳＴ３と同様にして、バージョン情報、リファレンス生成装置２００の証明書参照情報、リファレンス生成装置２００の性能情報、生体認証情報の精度、生体認証情報の不可逆変換値及び第１署名からなる第１生体認証コンテクスト情報を生成する。この第１生体認証コンテクスト情報及び生体認証情報は、生体認証コンテキクト生成部２０７から登録情報送出部２０８’に送出される。

［ステップＳＴ５８］ 登録情報送出部２０８’は、図２９に示すように、この第１生体認証コンテクスト情報、生体認証情報及び生体情報取得応答ＩＤを含む生体情報取得応答をクライアント装置１００に送信する。

［ステップＳＴ５９］ クライアント装置１００においては、生体情報取得応答を受信した登録処理実行部１０３’が、図３０に示すように、リファレンス取得要求ＩＤを含むリファレンス取得要求をＩＣカード４００に送信する。

［ステップＳＴ６０］ ＩＣカード４００においては、制御部４０２が通信部４０１によりリファレンス取得要求を受信すると、リファレンス保存部４０３からリファレンス情報を読み出す。

続いて、制御部４０２は、生体認証コンテクスト生成部４０６を起動する。生体認証コンテクスト生成部４０６は、起動されると、リファレンス保証情報保存部４０３内のリファレンスダイジェスト（不可逆変換値）及びリファレンス精度と、予め書き込まれたＩＣカード４００の証明書参照情報及びＩＣカード４００の性能情報とからなる署名対象データに対し、ＩＣカード秘密情報保存部４０５内の秘密情報に基づいて第２署名を生成し、生成した第２署名と署名対象データとからなる第２生体認証コンテクスト情報を制御部４０２に送出する。なお、リファレンス情報の読み出しと、第２生体認証コンテクスト情報の生成との実行順序は任意である。

［ステップＳＴ６１］ ＩＣカード４００においては、制御部４０２が通信部４０１により、図３１に示すように、リファレンス情報、第２生体認証コンテクスト情報及びリファレンス取得応答ＩＤを含むリファレンス取得応答をクライアント装置１００に送信する。

［ステップＳＴ６２］ クライアント装置１００は、リファレンス取得応答を受信した登録処理実行部１０３’が、図３２に示すように、生体認証情報、リファレンス情報及び生体情報照合要求ＩＤを含む生体情報照合要求をリファレンス生成装置２００”に送信する。

［ステップＳＴ６３］ リファレンス生成装置２００においては、生体照合処理部２０９が、受信した生体情報照合要求内のリファレンス情報と生体認証情報とを照合し、両情報の類似度を含む照合結果と、照合パラメータとを生体認証コンテクスト生成部２０７に送出する。

生体認証コンテクスト生成部２０７は、装置性能情報保存部２０１内の証明書参照情報及び性能情報、送出された照合結果と照合パラメータ、当該照合結果と照合パラメータの不可逆変換値を含む署名対象データに対し、秘密情報保存部２０２’内の秘密鍵に基づいて第３署名を生成する。

また、生体認証コンテクスト生成部２０７は、生成した第３署名と署名対象データとからなる第３生体認証コンテクスト情報を生成する。

［ステップＳＴ６４］ 続いて、生体認証コンテクスト生成部２０７は、図３３に示すように、照合結果、第３生体認証コンテクスト情報及び生体情報照合応答ＩＤを含む生体情報照合応答をクライアント装置１００に送信する。

［ステップＳＴ６５］ クライアント装置１００は、生体情報照合応答を受信すると、ユーザインタフェース部１０１により、照合処理が終了した旨を認証対象者に通知する。通知する手段としては、ＧＵＩなどを用いて行うことを想定する。

［ステップＳＴ６６］ クライアント装置１００においては、認証対象者によるユーザインタフェース部１０１の操作により、対象者照合終了応答を登録処理実行部１０３’に入力する。この処理は、照合結果を検証者に通知するように選択することを想定する。

［ステップＳＴ６７］ 登録処理実行部１０３’は、対象者照合終了応答を受信すると、図３４に示すように、照合結果、第３生体認証コンテクスト情報及び生体情報照合応答ＩＤを含む対象者照合応答をサーバ装置３００に送信する。なお、照合結果は、第３生体認証コンテクスト情報に含まれているので、必ずしも送信しなくてもよい。

［ステップＳＴ６８］ サーバ装置３００においては、外部通信部３０４により対象者照合応答を受信すると、登録処理部３０５’が対象者照合応答内の照合結果及び第３生体認証コンテクスト情報を生体認証コンテクスト検証部３０６に送出する。

生体認証コンテクスト検証部３０６’は、照合結果及び第３生体認証コンテクスト情報を受けると、第３生体認証コンテクスト情報内の証明書参照情報に基づいて、生体照合処理部２０９の公開鍵を取得し、この公開鍵に基づいて第３署名を検証する。

また、生体認証コンテクスト検証部３０６’は、第３生体認証コンテクスト情報内の性能情報、照合パラメータ及び照合結果に対し、登録処理ポリシー保存部３０３’内の照合ポリシー情報を満たすか否かを判定し、第３署名の検証結果及び照合ポリシー情報の判定結果を登録処理部３０５’に送出する。

登録処理部３０５’は、この第３署名の検証結果が正当を表し且つ判定結果が照合ポリシー情報を満たすことを表すとき、アカウント情報保存部３０２’における認証対象者のリファレンス情報の不可逆変換値を無効化する。すなわち、登録処理部３０５’は、生体認証コンテクスト検証部３０６により、認証対象者のリファレンス情報を用いて照合処理が行われていること等、照合処理が正しく行われていることを検証し、検証の結果、問題が無ければ、認証対象者に対応するアカウントを無効化し、かつ認証対象者と関連付けているリファレンス情報の不可逆値を無効化する。

［ステップＳＴ６９］ しかる後、登録処理部３０６’は、更新用の新たなリファレンス情報の不可逆変換値を含む第１及び第２生体認証コンテクスト情報を送信するように、図３５に示すように、対象者リファレンス更新要求ＩＤを含む認証対象者リファレンス更新要求を外部通信部３０４からクライアント装置１００に送信する。

［ステップＳＴ７０］ クライアント装置１００は、認証対象者リファレンス更新要求を受信すると、ＧＵＩなどでリファレンス更新の要求を認証対象者に通知する。

［ステップＳＴ７１〜ＳＴ８４］ 以降の処理としては、図３６に示すように、第２の実施形態のステップＳＴ２８乃至ＳＴ４１の処理と同様なステップＳＴ７１〜ＳＴ８４の処理を実行する。

例えば、ステップＳＴ７１〜ＳＴ８４の処理中、ステップＳＴ７１のリファレンス更新開始要求と、ステップＳＴ２８のリファレンス格納開始要求とは、名称は異なるものの、同一の処理を実行している関係にある。

同様に、ステップＳＴ７８のリファレンス更新終了応答と、ステップＳＴ３５のリファレンス格納終了応答との関係も同様である。さらに、ステップＳＴ７９のリファレンス更新終了応答と、ステップＳＴ３６のリファレンス検証開始要求との関係も同様である。

また例えば、ステップＳＴ７９のリファレンス更新終了応答の後、クライアント装置１００は、ステップＳＴ８０にて図３７に示すように、新たな第１及び第２生体認証コンテクスト情報並びに対象者リファレンス更新応答ＩＤを含む対象者リファレンス更新応答をサーバ装置３００に送信している。

また、ステップＳＴ８２のリファレンス更新応答と、ステップＳＴ３９のリファレンス検証応答との関係も同様である。さらに、ステップＳＴ８４のリファレンス更新終了応答と、ステップＳＴ４１のリファレンス検証終了応答との関係も同様である。

以上の処理によって、リファレンス情報を更新することができる。

上述したように本実施形態によれば、第２の実施形態の効果に加え、認証対象者の生体認証の後に、登録しているリファレンス情報を更新することができる。

補足すると、本実施形態は、第２の実施形態に関連して、バイオメトリック認証で利用される特定のリファレンス情報が経年変化等に影響されることから、照合精度の悪化を防止するために定期的な更新が要求される場合を考慮している。この際にも、ネットワーク等へ直接的に生の生体情報又はリファレンス情報を送出せずに、リファレンス情報の正当性の可否を検証でき、その検証結果にしたがって生体情報の更新（再登録）を可能にする手段が望まれる。

本実施形態では、経年変化などにより生体照合の精度が低下した場合や、生体情報の漏洩などによる複製の危険性が高まった場合に、プライバシ面を考慮したネットワークを介してのバイオメトリック認証システムへのリファレンスの更新を期待できる。

（第４の実施形態）
図３８は本発明の第４の実施形態に係るリファレンス登録システムの構成例を示す模式図である。

第４の実施形態は、第２の実施形態の変形例であり、ＩＣカード４００に格納したリファレンス情報をリファレンス保証情報の保存まで無効化し、リファレンス保証情報が保存された後に活性化（利用可能）する形態である。

ここで、クライアント装置１００は、図９に示した構成に加え、暗号鍵保存部１０９を備えている。

暗号鍵保存部１０９は、登録処理実行部１０３’から読出／書込可能な記憶装置であり、サーバ装置３００との間で共有された暗号化鍵を保存している。なお、本実施形態で共有する暗号化鍵は、採用する暗号化方式に依存する。例えば、対称鍵暗号方式を採用した場合には、クライアント装置１００の暗号化鍵と、サーバ装置３００の暗号化鍵とは同一の情報である。非対称鍵暗号方式を採用した場合には、クライアント装置１００の暗号化鍵と、サーバ装置３００の暗号化鍵とは異なる情報となる。例えば、非対称鍵暗号方式を採用するとしたならば、クライアント装置１００の暗号化鍵はサーバ装置３００の公開鍵にあたり、サーバ装置３００の暗号化鍵はサーバ装置３００のみが知りうる秘密鍵にあたる。公開鍵の正当性を保証するならば、公開鍵基盤等を利用して、公開鍵証明書形式等でＩＣカード４００に公開すればよい。

これに伴い、登録処理実行部１０３’は、前述した機能に加え、暗号鍵保存部１０９内の暗号化鍵をＩＣカード４００に入力する機能と、ＩＣカード４００から受けた暗号化活性鍵をサーバ装置３００に送信する機能とをもっている。

サーバ装置３００は、図９に示した構成に加え、秘密情報保存部３１１、活性化鍵復号部３１２及びリファレンス保証情報暗号化部３１３を備えている。

秘密情報保存部３１１は、登録処理部３０５’及び活性化鍵復号部３１２等から読出／書込可能な記憶装置であり、クライアント装置１００との間で共有された暗号化鍵を保存している。

活性化鍵復号部３１２は、登録処理部３０５’から受けた活性化鍵を秘密情報保存部３１１内の暗号化鍵に基づいて復号し、得られた活性化鍵を登録処理部３０５’に送出する機能をもっている。

リファレンス保証情報暗号化部３１３は、活性化鍵及びリファレンス保証情報を登録処理部３０５’から受けると、この活性化鍵により、リファレンス保証情報を暗号化し、得られた暗号化リファレンス保証情報（暗号化された状態のリファレンス保証情報）を登録処理部３０５’に送出する機能をもっている。

これに伴い、登録処理部３０５’は、前述した機能に加え、リファレンス検証要求内の暗号化活性化鍵を活性化鍵復号部３１２に送出する機能と、活性化鍵復号部３１２から受けた活性化鍵と、リファレンス保証情報生成部３０９から受けたリファレンス保証情報とをリファレンス保証情報暗号化部３１３に送出する機能と、リファレンス保証情報暗号化部３１３から受けた暗号化リファレンス保証情報（暗号化された状態のリファレンス保証情報）を外部通信部３０４によりクライアント装置１００に送信する機能とをもっている。

ＩＣカード４００は、図９に示した構成に加え、暗号化鍵保存部４０７、活性化鍵生成部４０８、活性化鍵暗号化部４０９、リファレンス保証情報復号部４１０及びリファレンス活性化部４１１を備えている。

暗号化鍵保存部４０７は、制御部４０２から読出／書込可能な記憶装置であり、クライアント装置１００から入力された暗号化鍵を保存する。

活性化鍵生成部４０８は、制御部４０２に制御され、活性化鍵を生成し、この活性化鍵を制御部４０２に送出する機能をもっている。

活性化鍵暗号化部４０９は、制御部４０２から受けた活性化鍵を暗号化鍵保存部４０７内の暗号化鍵により暗号化し、暗号化活性化鍵を生成して制御部４０２に送出する機能をもっている。

リファレンス保証情報復号部４１０は、制御部４０２から暗号化リファレンス保証情報及び活性化鍵を受けると、活性化鍵に基づいて暗号化リファレンス保証情報を復号し、得られたリファレンス保証情報を制御部４０２に送出する機能をもっている。

リファレンス活性化部４１１は、制御部４０２に制御され、リファレンス保存部４０３内のフラグ情報を有効状態に更新してリファレンス情報を利用可能な状態に活性化する機能をもっている。

これに伴い、リファレンス保存部４０３は、リファレンス情報と有効状態又は無効状態を表すフラグ情報とを互いに関連付けて保存するものとしている。制御部４０２は、前述した機能に加え、各部４０７〜４１１を制御する機能をもっている。

次に、以上のように構成されたリファレンス登録システムの動作について図３９を用いて説明する。始めに、第２の実施形態のステップＳＴ２１〜ＳＴ３１と同一の動作を実行する。ここで、ステップＳＴ３１が終了したとする。

［ステップＳＴ３２ａ］ 登録処理実行部１０３’は、図４０に示すように、暗号化鍵保存部１０９内の暗号化鍵、リファレンス情報及び第１生体認証コンテクスト情報にリファレンス格納要求ＩＤを付したリファレンス格納要求をＩＣカード４００に送信する。

なお、暗号化鍵をＩＣカード４００に送信する場合、好適には、サーバ装置３００の公開鍵証明書等を利用することが望ましい。また、クライアント装置１００は、ディフィー−へルマン鍵共有法（Diffie-Hellman Key Agreement Method）などの任意の鍵共有方式を利用して暗号化鍵をサーバ装置３００と共有してもよい。又は、人間が記憶可能なパスフレーズ等を利用するのであれば、電話応答等の人間系処理で共有してもよく、サーバ装置３００がＷｅｂシステムなどで提供してもよく、共有した暗号化鍵をクライアント装置１００のユーザインタフェース部１０１を介して取得すればよい。

［ステップＳＴ３３ａ−１］ ＩＣカード４００においては、通信部４０１により受信したリファレンス情報を制御部４０２がリファレンス保存部４０３に格納する。このとき、制御部４０２は、当該リファレンス情報と無効状態を表すフラグ情報とをリファレンス保存部４０３に書き込む。また、制御部４０２は、通信部４０１により受信した暗号化鍵を暗号化鍵保存部４０７に格納する。

［ステップＳＴ３３ａ−２］ 活性化鍵生成部４０８は、制御部４０２に制御され、活性化鍵を生成し、この活性化鍵を制御部４０２に送出する。活性化鍵の生成方式としては、セキュリティ的に安全な暗号化方式と鍵長を選択することが望ましい。

制御部４０２は、活性化鍵を一旦、ＩＣカード秘密情報保存部４０５に保存した後、ＩＣカード秘密情報保存部４０５内の活性化鍵を活性化鍵暗号化部４０９に送出する。

活性化鍵暗号化部４０９は、この活性化鍵を暗号化鍵保存部４０７内の暗号化鍵により暗号化し、暗号化活性化鍵を生成して制御部４０２に送出する。

［ステップＳＴ３３ａ−３］ 生体認証コンテクスト生成部４０６は、制御部４０２に制御され、第１生体認証コンテクスト情報内のリファレンス情報の精度及びリファレンス情報の不可逆変換値と、予め書き込まれたＩＣカード４００の証明書参照情報及びＩＣカード４００の性能情報とからなる署名対象データに対し、ＩＣカード秘密情報保存部４０５内の秘密情報に基づいて第２署名を生成する。

しかる後、生体認証コンテクスト生成部４０６は、生成した第２署名と署名対象データとからなる第２生体認証コンテクスト情報を制御部４０２に送出する。

［ステップＳＴ３４ａ］ ＩＣカード４００においては、制御部４０２が通信部４０１により、図４１に示すように、暗号化活性化鍵、第２生体認証コンテクスト情報及びリファレンス格納応答ＩＤを含むリファレンス格納応答をクライアント装置１００に送信する。

［ステップＳＴ３５及びＳＴ３６］ ステップＳＴ３５及びＳＴ３６は、前述した通りに実行される。

［ステップＳＴ３７ａ］ クライアント装置１００においては、登録処理実行部１０３’が、図４２に示すように、暗号化活性化鍵と第１及び第２生体認証コンテクスト情報とにリファレンス検証要求ＩＤを付したリファレンス検証要求を外部通信部１０２によりサーバ装置３００に送信する。

［ステップＳＴ３８ａ−１］ ステップＳＴ３８ａ−１は、ステップＳＴ３８に述べた通りに実行される。

［ステップＳＴ３８ａ−２］ 登録処理部３０５’は、リファレンス検証要求内の暗号化活性化鍵を活性化鍵復号部３１２に送出する。

活性化鍵復号部３１２は、この活性化鍵を秘密情報保存部３１１内の暗号化鍵に基づいて復号し、得られた活性化鍵を登録処理部３０５’に送出する。

登録処理部３０５’は、この活性化鍵及びリファレンス保証情報をリファレンス保証情報暗号化部３１３に送出する。

リファレンス保証情報暗号化部３１３は、この活性化鍵により、リファレンス保証情報を暗号化し、得られた暗号化リファレンス保証情報（暗号化された状態のリファレンス保証情報）を登録処理部３０５’に送出する。

［ステップＳＴ３９ａ］ サーバ装置３００においては、登録処理部３０５’が外部通信部３０４により、図４３に示すように、各生体認証コンテクスト情報の検証結果、暗号化リファレンス保証情報及びリファレンス検証応答ＩＤを含むリファレンス検証応答をクライアント装置１００に送信する。

［ステップＳＴ４０ａ］ クライアント装置１００においては、外部通信部１０２によりリファレンス検証応答を受信すると、登録処理実行部１０３’が暗号化リファレンス保証情報をＩＣカード４００に保存するとともに、ＩＣカード４００を有効化し、ＩＣカード４００を利用可能とする。

具体的には図４４に示すように、ＩＣカード４００においては、暗号化リファレンス保証情報が入力されると（ＳＴ４０ａ−１）、制御部４０２がこの暗号化リファレンス保証情報と、ＩＣカード秘密情報保存部４０５内の活性化鍵とをリファレンス保証情報復号部４１０に送出する。

リファレンス保証情報復号部４１０は、この活性化鍵に基づいて暗号化リファレンス保証情報を復号し（ＳＴ４０ａ−２）、得られたリファレンス保証情報を制御部４０２に送出する。

制御部４０２は、このリファレンス保証情報をリファレンス保証情報保存部４０４に書き込んだ後（ＳＴ４０ａ−３）、リファレンス活性化部４１１を介してリファレンス保存部４０３内のフラグ情報を有効状態に更新してリファレンス情報を利用可能な状態に活性化する（ＳＴ４０ａ−４）。

しかる後、制御部４０２は、処理終了を通信部４０１により、クライアント装置１００に通知する。

［ステップＳＴ４１］ クライアント装置１００においては、処理終了を受けた登録処理実行部１０３’は、リファレンス検証処理が終了したことを認証対象者に対して、例えばＧＵＩなどで通知する。

上述したように本実施形態によれば、第２の実施形態の効果に加え、正式にサーバ装置３００上でリファレンス情報の不可逆変換値が登録されるまでの間、ＩＣカード４００上のリファレンス情報を利用できないように制限することができる。これにより、生体情報の採取又はリファレンス情報から、正式にバイオメトリック認証システムに登録されるまでの間、ＩＣカード４００内のリファレンス情報を不正に利用されることを防止することができる。

なお、本実施形態では、暗号化鍵をクライアント装置１００からＩＣカード４００に入力する場合について説明したが、これに限らず、例えば、暗号化鍵として公開鍵証明書を利用するのであれば、サーバ装置３００又は外部リポジトリなどからＩＣカード４００に入力するなどの実現形態が考えられる。ＩＣカード４００に代えて携帯電話などを用いる場合であれば、携帯電話が実装する任意の通信手段、例えばＯＣＲ（光学読み取り）機能や近接無線通信機能などを介して暗号化鍵を取得してもよい。また、暗号化鍵として人間が記憶可能なパスフレーズ等を利用するのであれば、ユーザインタフェース部１０１を介して、認証対象者等がＩＣカード４００に直接入力してもよい。

また、上記の変形例として、ＩＣカード４００の活性化鍵生成部４０８と活性化鍵暗号化部４０９を、クライアント装置１００上に配備してもよく、その場合ＩＣカード４００の暗号化鍵保存部４０７は活性化鍵を保存する活性化鍵保存部として置き換えてもよい。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係るリファレンス登録システムの構成を示す模式図である。 同実施形態における生体認証コンテクスト情報の構成例を示す図である。 同実施形態におけるアカウント情報の一例を示す図である。 一般的なＸ.５０９証明書のフォーマット図である。 同実施形態におけるリファレンス保証情報の一例を示す図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態におけるリファレンス作成要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス作成応用データフォーマットを示す模式図である。 同実施形態における口座開設要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス格納要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス格納応答データフォーマットを示す模式図である。 同実施形態における口座開設応用データフォーマットを示す模式図である。 本発明の第２の実施形態に係るリファレンス登録システムの構成を示す模式図である。 同実施形態におけるアカウント情報の一例を示す図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態における口座開設要求データフォーマットを示す模式図である。 同実施形態における口座開設応答データフォーマットを示す模式図である。 同実施形態におけるリファレンス作成要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス作成応答データフォーマットを示す模式図である。 同実施形態におけるリファレンス格納要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス格納応答データフォーマットを示す模式図である。 同実施形態におけるリファレンス検証要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス検証応答データフォーマットを示す模式図である。 本発明の第３の実施形態に係るリファレンス登録システムの構成を示す模式図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態におけるリファレンス更新要求データフォーマットを示す模式図である。 同実施形態における対象者照合要求データフォーマットを示す模式図である。 同実施形態における生体情報取得要求データフォーマットを示す模式図である。 同実施形態における生体情報取得応答データフォーマットを示す模式図である。 同実施形態におけるリファレンス取得要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス取得応答データフォーマットを示す模式図である。 同実施形態における生体情報照合要求データフォーマットを示す模式図である。 同実施形態における生体情報照合応答データフォーマットを示す模式図である。 同実施形態における対象者照合応答データフォーマットを示す模式図である。 同実施形態における対象者リファレンス更新要求データフォーマットを示す模式図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態における対象者リファレンス更新応答データフォーマットを示す模式図である。 本発明の第４の実施形態に係るリファレンス登録システムの構成を示す模式図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態におけるリファレンス格納要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス格納応答データフォーマットを示す模式図である。 同実施形態におけるリファレンス検証要求データフォーマットを示す模式図である。 同実施形態におけるリファレンス検証応答データフォーマットを示す模式図である。 同実施形態におけるＩＣカードのリファレンス活性化処理を示すフローチャートである。

符号の説明

１００…クライアント装置、１０１…ユーザインタフェース部、１０２…外部通信部、１０３，１０３’…登録処理実行部、１０４…登録部、１０５…登録情報受領部、１０６…登録処理ポリシー保存部、１０７…生体認証コンテクスト検証部、１０８…リファレンス不可逆情報登録部、１０９…暗号鍵保存部、２００，２００’…リファレンス生成装置、２０１…装置性能情報保存部、２０２，２０２’…秘密情報保存部、２０３…生体情報採取部、２０４，２０４’…リファレンス採取部、２０５…不可逆変換部、２０６…リファレンス隠蔽化部、２０７…生体認証コンテクスト生成部、２０８，２０８’…登録情報送出部、２０９…生体照合処理部、３００…サーバ装置、３０１，３０１’…秘密情報保存部、３０２，３０２’…アカウント情報保存部、３０３，３０３’…登録処理ポリシー保存部、３０４…外部通信部、３０５，３０５’…登録処理部、３０６，３０６’…生体認証コンテクスト検証部、３０７…アカウント生成部、３０８…リファレンス復元部、３０９…リファレンス保証情報生成部、３１０…アカウント関連付け部、３１１…秘密情報保存部、３１２…活性化鍵復号部、３１３…リファレンス保証情報暗号化部、４００…ＩＣカード、４０１…通信部、４０２…制御部、４０３…リファレンス保存部、４０４…リファレンス保証情報保存部、４０５…ＩＣカード秘密情報保存部、４０６…生体認証コンテクスト生成部、４０７…暗号化鍵保存部、４０８…活性化鍵生成部、４０９…活性化鍵暗号化部、４１０…リファレンス保証情報復号部、４１１…リファレンス活性化部４１１。

Claims (8)

1. 認証対象者のリファレンス情報を生成するリファレンス生成装置に接続されたクライアント装置に通信可能であり、前記認証対象者の所有するリファレンス保管装置に当該認証対象者のリファレンス情報を書き込み可能なサーバ装置であって、
   前記リファレンス生成装置の秘密情報及び前記サーバ装置本体の秘密鍵が保存された秘密情報保存手段と、
   アカウントＩＤ毎に、前記認証対象者の身元情報及び認証要素情報を含むアカウント開設情報、前記認証対象者のリファレンス情報、及びリファレンス保証情報の保証情報シリアル番号を互いに関連付けて保存するためのアカウント保存手段と、
   前記リファレンス生成装置の性能情報及び前記リファレンス情報の精度に対する評価基準を示すポリシー情報が予め保存されたポリシー保存手段と、
   前記認証対象者のアカウント開設情報と、前記リファレンス生成装置の証明書参照情報、前記リファレンス生成装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス生成装置の秘密鍵に基づく署名を含む生体認証コンテクスト情報と、前記リファレンス情報から前記リファレンス生成装置の秘密情報に基づいて生成された隠蔽化リファレンス情報とを含むアカウント開設要求を前記クライアント装置から受信する手段と、
   前記受信したアカウント開設情報を前記アカウント保存手段に書き込む手段と、
   前記生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス生成装置の公開鍵を取得し、この公開鍵に基づいて前記署名を検証する署名検証手段と、
   前記生体認証コンテクスト情報内の性能情報及び精度に対し、前記ポリシー保存手段内のポリシー情報を満たすか否かを判定するポリシー判定手段と、
   前記署名検証手段による検証結果が正当を表し、前記ポリシー判定手段による判定結果がポリシー情報を満たすことを表すとき、前記書き込んだアカウント開設情報に対応付けて新たなアカウントＩＤを前記アカウント保存手段に書き込む手段と、
   前記秘密情報保存手段内の秘密情報に基づいて、前記隠蔽化リファレンス情報からリファレンス情報を復元する手段と、
   前記生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、前記ポリシー保存手段内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、
   前記生成した署名と前記署名対象データとからなるリファレンス保証情報を生成する手段と、
   前記復元したリファレンス情報と、前記保証情報シリアル番号とを前記新たなアカウントＩＤに対応付けて前記アカウント保存手段に書き込む手段と、
   前記リファレンス情報及び前記保証情報シリアル番号の書き込みの後、当該リファレンス情報及び前記リファレンス保証情報を前記リファレンス保管装置に書き込む手段と、
   前記リファレンス情報及び前記リファレンス保証情報の書き込みの後、アカウント開設完了を示すアカウント開設応答を前記クライアント装置に送信する手段と、
   を備えたことを特徴とするサーバ装置。
2. 認証対象者のリファレンス情報を生成するリファレンス生成装置に接続され且つ前記リファレンス情報をリファレンス保管装置に書き込み可能なクライアント装置に通信可能であり、前記認証対象者のアカウント情報を管理するためのサーバ装置であって、
   前記サーバ装置本体の秘密鍵が保存された秘密情報保存手段と、
   アカウントＩＤ毎に、前記認証対象者の身元情報及び認証要素情報を含むアカウント開設情報、前記リファレンス情報の不可逆変換値、及びリファレンス保証情報の保証情報シリアル番号を互いに関連付けて保存するためのアカウント保存手段と、
   前記リファレンス生成装置の性能情報、前記リファレンス情報の精度及びリファレンス保管装置の性能情報に対する評価基準を示すポリシー情報が予め保存されたポリシー保存手段と、
   前記認証対象者のアカウント開設情報を前記クライアント装置から受信する手段と、
   前記受信したアカウント開設情報を新たなアカウントＩＤに関連付けて前記アカウント保存手段に書き込む手段と、
   前記アカウント開設情報の書き込みの後、アカウント開設完了を示すアカウント開設応答を前記クライアント装置に送信する手段と、
   前記リファレンス生成装置の証明書参照情報、前記リファレンス生成装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記リファレンス生成装置の証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス生成装置の秘密鍵に基づく第１署名を含む第１生体認証コンテクスト情報と、前記リファレンス保管装置の証明書参照情報、前記リファレンス保管装置の性能情報、前記リファレンス情報の精度、前記リファレンス情報の不可逆変換値、及び前記リファレンス保管装置の証明書参照情報と前記性能情報と前記精度と前記不可逆変換値とに対する前記リファレンス保管装置の秘密鍵に基づく第２署名を含む第２生体認証コンテクスト情報とを含むリファレンス検証要求を前記クライアント装置から受信する手段と、
   前記第１生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス生成装置の公開鍵を取得し、この公開鍵に基づいて前記第１署名を検証する第１署名検証手段と、
   前記第２生体認証コンテクスト情報内の証明書参照情報に基づいて、前記リファレンス保管装置の公開鍵を取得し、この公開鍵に基づいて前記第２署名を検証する第２署名検証手段と、
   前記第１及び第２生体認証コンテクスト情報内の性能情報及び精度に対し、前記ポリシー保存手段内のポリシー情報を満たすか否かを判定するポリシー判定手段と、
   前記第１及び第２署名検証手段による検証結果がそれぞれ正当を表し、前記ポリシー判定手段による判定結果がポリシー情報を満たすことを表すとき、前記新たなアカウントＩＤに対応付けて前記第１生体認証コンテクスト情報内の不可逆変換値を前記アカウント保存手段に書き込む手段と、
   前記第１生体認証コンテクスト情報内の少なくとも不可逆変換値及び精度、前記ポリシー保存手段内のポリシー情報、及び新たに生成した保証情報シリアル番号からなる署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、
   前記生成した署名と前記署名対象データとからなるリファレンス保証情報を生成する手段と、
   前記保証情報シリアル番号を前記新たなアカウントＩＤに対応付けて前記アカウント保存手段に書き込む手段と、
   前記保証情報シリアル番号の書き込みの後、前記リファレンス保証情報を前記クライアント装置に送信するリファレンス保証情報送信手段と、
   を備えたことを特徴とするサーバ装置。
3. 請求項２に記載のサーバ装置において、
   生体照合装置の性能情報、照合パラメータ及び照合結果に対する評価基準を示す照合ポリシー情報が予め保存された照合ポリシー保存手段と、
   リファレンス更新要求を前記クライアント装置から受信すると、認証対象者照合要求を前記クライアント装置に送信する手段と、
   認証対象者照合要求の送信後、前記生体照合装置の証明書参照情報、前記生体照合装置の性能情報、照合結果、照合パラメータ、前記照合結果と照合パラメータとの不可逆変換値、及び前記性能情報と前記精度と前記不可逆変換値とに対する前記生体照合装置の秘密鍵に基づく第３署名を含む第３生体認証コンテクスト情報を含む認証対象者照合応答を前記クライアント装置から受信する手段と、
   前記第３生体認証コンテクスト情報内の証明書参照情報に基づいて、前記生体照合装置の公開鍵を取得し、この公開鍵に基づいて前記第３署名を検証する第３署名検証手段と、
   前記第３生体認証コンテクスト情報内の性能情報、照合パラメータ及び照合結果に対し、前記照合ポリシー保存手段内の照合ポリシー情報を満たすか否かを判定する照合ポリシー判定手段と、
   前記第３署名検証手段による検証結果がそれぞれ正当を表し、前記照合ポリシー判定手段による判定結果が照合ポリシー情報を満たすことを表すとき、前記アカウント保存手段における前記認証対象者のリファレンス情報の不可逆変換値を無効化する手段と、
   更新用の新たなリファレンス情報の不可逆変換値を含む第１及び第２生体認証コンテクスト情報を送信するように、認証対象者リファレンス更新要求を前記クライアント装置に送信する手段と、
   を備えたことを特徴とするサーバ装置。
4. 請求項２に記載のサーバ装置において、
   前記クライアント装置との間で共有された暗号化鍵を保存する暗号化鍵保存手段と、
   前記リファレンス保管装置内の活性化鍵が前記暗号化鍵により暗号化されてなる暗号化活性化鍵を前記リファレンス検証要求が含む場合、当該リファレンス検証要求内の暗号化活性化鍵を前記暗号化鍵で復号することにより、活性化鍵を得る活性化鍵復号手段と、
   前記復号により得られた活性化鍵により、前記リファレンス保証情報を暗号化するリファレンス保証情報暗号化手段とを備えており、
   前記リファレンス保証情報送信手段は、前記暗号化された状態のリファレンス保証情報を前記クライアント装置に送信することを特徴とするサーバ装置。
5. 請求項４に記載のサーバ装置に通信可能なクライアント装置から読出／書込み可能な前記リファレンス保管装置において、
   前記リファレンス保管装置本体の秘密鍵が保存された秘密情報保存手段と、
   前記クライアント装置から入力された前記暗号化鍵を保存する鍵保存手段と、
   前記クライアント装置から入力された前記リファレンス情報と有効状態又は無効状態を表すフラグ情報とを互いに関連付けて保存するためのリファレンス情報保存手段と、
   前記クライアント装置から前記リファレンス情報が入力されると、当該リファレンス情報と前記無効状態を表すフラグ情報とを前記リファレンス情報保存手段に書き込む手段と、
   前記クライアント装置から前記第１生体認証コンテクスト情報が入力されると、予め書き込まれた前記リファレンス保管装置の証明書参照情報及び性能情報、前記入力された第１生体認証コンテクスト情報内のリファレンス情報の精度及びリファレンス情報の不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて第２署名を生成する署名生成手段と、
   前記生成した第２署名と前記署名対象データとからなる第２生体認証コンテクスト情報を生成する手段と、
   活性化鍵を生成する活性化鍵生成手段と、
   前記生成した活性化鍵を前記鍵保存部内の暗号化鍵により暗号化し、暗号化活性化鍵を生成する活性化鍵暗号化手段と、
   前記暗号化活性化鍵及び前記第２生体認証コンテクスト情報を前記クライアント装置に送信する手段と、
   前記クライアント装置から前記暗号化された状態のリファレンス保証情報が入力されると、前記活性化鍵に基づいて当該暗号化された状態のリファレンス保証情報を復号する手段と、
   前記復号により得られたリファレンス保証情報を保存するリファレンス保証情報保存手段と、
   前記リファレンス保証情報が保存された後、前記リファレンス情報保存手段内のフラグ情報を有効状態に更新する手段と、
   を備えたことを特徴とするリファレンス保管装置。
6. 認証対象者のクライアント装置に接続され、前記認証対象者のリファレンス情報を生成するためのリファレンス生成装置であって、
   前記リファレンス生成装置本体の証明書参照情報及び前記リファレンス生成装置本体の性能情報を予め保存した装置性能情報保存手段と、
   前記リファレンス生成装置本体の秘密情報及び秘密鍵が保存された秘密情報保存手段と、
   起動されると、前記認証対象者から生体情報を採取する生体情報採取手段と、
   前記生体情報からリファレンス情報を作成し、このリファレンス情報と当該リファレンス情報の精度とを送出するリファレンス作成手段と、
   前記送出されたリファレンス情報の不可逆変換値を生成する不可逆変換手段と、
   前記送出されたリファレンス情報を前記秘密情報保存手段内の秘密情報に基づいて可逆な方式で隠蔽化することにより、隠蔽化リファレンス情報を生成する隠蔽化手段と、
   前記装置性能情報保存手段内の証明書参照情報及び性能情報、前記送出されたリファレンスの精度、前記生成された不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、
   前記生成した署名と前記署名対象データとからなる生体認証コンテクスト情報を生成する手段と、
   前記生体認証コンテクスト情報及び前記隠蔽化リファレンス情報を前記クライアント装置に送信する手段と、
   を備えたことを特徴とするリファレンス生成装置。
7. 認証対象者のクライアント装置に接続され、前記認証対象者のリファレンス情報を生成するためのリファレンス生成装置であって、
   前記リファレンス生成装置本体の証明書参照情報及び前記リファレンス生成装置本体の性能情報を予め保存した装置性能情報保存手段と、
   前記リファレンス生成装置本体の秘密鍵が保存された秘密情報保存手段と、
   起動されると、前記認証対象者から生体情報を採取する生体情報採取手段と、
   前記生体情報から生体認証情報としてのリファレンス情報を作成し、このリファレンス情報と当該リファレンス情報の精度とを送出するリファレンス作成手段と、
   前記送出されたリファレンス情報の不可逆変換値を生成する不可逆変換手段と、
   前記装置性能情報保存手段内の証明書参照情報及び性能情報、前記送出されたリファレンスの精度、前記生成された不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて署名を生成する署名生成手段と、
   前記生成した署名と前記署名対象データとからなる生体認証コンテクスト情報を生成する手段と、
   前記生体認証コンテクスト情報及び前記リファレンス情報を前記クライアント装置に送信する手段と、
   を備えたことを特徴とするリファレンス生成装置。
8. 請求項７に記載のリファレンス生成装置において、
   前記生体情報採取手段及び前記リファレンス作成手段により新たに作成された前記認証対象者の生体認証情報と、前記認証対象者のリファレンス情報とを前記クライアント装置から受信すると、当該リファレンス情報と生体認証情報とを照合し、照合結果と照合パラメータとを送出する生体照合手段と、
   前記生体照合手段の証明書参照情報及び前記生体照合手段の性能情報を予め保存した照合手段情報保存手段と、
   前記照合手段情報保存手段内の証明書参照情報及び性能情報、前記送出された照合結果と照合パラメータ、当該照合結果と照合パラメータの不可逆変換値を含む署名対象データに対し、前記秘密情報保存手段内の秘密鍵に基づいて第３署名を生成する手段と、
   前記生成した第３署名と前記署名対象データとからなる第３生体認証コンテクスト情報を生成する手段と、
   前記照合結果及び前記第３生体認証コンテクスト情報を前記クライアント装置に送信する手段と、
   を備えたことを特徴とするリファレンス生成装置。

Images