JP6430540B2 - 生体認証に基づく携帯型本人確認装置 - Google Patents

Description

安全な通信を確立するための携帯型生体認証装置及びシステム、並びに、当該システムの動作方法に関する。

現在、買い物、銀行の取引、管理業務等の様々な活動においてインターネットが使用されている。このような活動においては、例えば、ユーザの個人情報、銀行のデータ等の機密情報をユーザが送受信する場合があり、認証されていない人物がこのようなデータにアクセスすることを防ぐような信頼できるセキュリティメカニズムを構築することが重要である。
銀行では、ユーザのデータを表示するページにアクセスするには第１の個人アクセスキーと、特定の活動に関連付けられ前もって銀行のサーバからユーザの携帯電話を介してユーザに送信される一つの又は複数のコードと、を組み合わせて要求する、セキュリティメカニズムが広く使用されている。しかしながら、このメカニズムには、ユーザの個人アクセスキーと携帯電話とにアクセスすることができれば、ユーザの認証なしに第三者が取引を行うことができてしまうという欠点が存在する。

したがって、迅速で安全、且つ、単純な態様でインターネットのようなネットワーク内で機密情報データをやりとりすることを可能とするようなセキュリティメカニズムが依然として求められている。国際特許公開広報ＷＯ２０１２／１４０２９１（同出願人）には、生体認証に基づく本人確認のための装置が開示されている。この装置では、取得した生体認証情報をセキュリティが確立されていないネットワークを介して直接伝達しているので、適用できるケースが限られている。

本発明は、機密情報をインターネットを介して送信するのに使用されるセキュリティメカニズムの分野に関する。

本発明は、ユーザが常に携帯するように設計された新規の携帯型生体認証装置であって、ユーザの生体認証に基づく本人確認を可能とし、外部とやり取りされる情報を暗号化／復号化することができる新規の携帯型生体認証装置に関する。

本発明はまた、ドアを開ける制御を行う新規の駆動装置、及び、許可されていない人物が入ることを防ぐ目的で施設へのアクセスを制御する同様な構成に関する。

本発明は更に、上記の携帯型生体認証装置を備えるシステム、携帯型生体認証装置とセキュアな駆動装置とを備えるシステム、及び、これらシステムの動作方法に関する。

本発明は、上記の従来技術の問題を解決する新規の携帯型生体認証装置を提供し、ユーザを間違いなく本人確認できるだけでなく、ユーザの生体認証データを使用してインターネットを介した情報のやり取りを可能とし、暗号化された情報を当該装置が接続先サーバとやり取りするための安全な通信経路を確立できる携帯型生体認証装置を提供する。本発明によれば、装置は、情報を暗号化した後に、様々なセキュリティ要素の開閉のために設計された駆動装置と直接通信を行うことができる。当該装置は、例えば、銀行の電子取引や、立ち入りが規制された区域へのドアを開くためのユーザのＩＤ情報等のセキュリティレベルの高い情報を必要とする活動を実行することを可能にする。

本発明の携帯型生体認証装置は、いわゆる「ゲートウェイ装置」と呼ばれる装置を使用して外部との通信を行うように設計される。ゲートウェイ装置とは、スマートフォン、ラップトップコンピュータ、タブレット、パーソナルコンピュータ等を指し、概して、ユーザがインターネットを介して情報をやりとりすることができる電子装置を指す。本発明の携帯型生体認証装置は、情報を交換したいと望む、又は、許可されていないユーザが侵入することを防ぐべくセキュリティを必要とする構造を開閉することを望むユーザの本人確認を行うのに使用される。加えて、上記の携帯型生体認証装置は、第三者が悪意を持ってアクセスするのを防ぐべく、送信する情報を暗号化する。

本発明の第１の側面は、セキュアな（機密情報対策がなされた）通信を行うための携帯型生体認証装置に関し、当該装置は、生体認証センサ、生体検出手段、物理的なセキュリティ手段、処理装置、セキュアなメモリユニット（ｓｅｃｕｒｅ ｍｅｍｏｒｙ ｕｎｉｔ）、及び、通信ユニットを含む。

ａ）生体認証取得センサ
生体認証取得センサは、ゲートウェイ装置を介してインターネットで機密情報をやり取りしようとするユーザの生体認証データを取得するのに使用される。原理的には、ユーザを一義的に特定することができる任意の種類の生体認証センサを使用することが可能である。例えば、本発明の望ましい実施形態では、生体認証センサはデジタル指紋読み取り装置（ｒｅａｄｅｒ）である。生体認証取得センサは、例えば、親指及び／又は他の指をスワイプさせることで生体認証データを取得してもよく、これは本発明の別の側面である。

生体認証取得センサは、プロセッサと通信可能に接続され、これについては以下に詳細に説明する。取得した生体認証データを処理手段に送信するのに、シリアルプロトコルを使用して通信を行ってもよい。

ｂ）生体検出手段
生体検出手段は、生体認証データを取得すべきユーザが生きているかを判断する一つの又は複数のセンサを備え、ユーザの機密情報を取得するべく又はセキュリティ設備を制御するべく、第三者が例えばプラスチックの型や認証済ユーザの体を切断した部分を使用して不正に認証を行うことを防ぐ。

原理的には、生体検出手段は様々な種類のセンサを備えることができるが、本発明の望ましい実施形態では、当該センサには、脈（パルス）検出器、血中酸素検出器及び神経センサ（ｎｅｕｒａｌ ｓｅｎｓｏｒ）のうちの一つ又は複数が含まれる。

このような特定の場合、上記の生体検出センサは、
ｉ）ユーザの体の光が透過可能な一部分、例えば、指、を通過した光を受光するフォトダイオードと、近赤外ＬＥＤとのセットと、
ｉｉ）心拍数３０回／分〜３００回／分を測定可能とするべく、不要なノイズを取り除くための０．１Ｈｚ〜２０Ｈｚの間の帯域幅を有するフィルタモジュールと、
ｉｉｉ）１００〜１０００の利得を有する信号増幅モジュールと、
ｉｖ）制御及び信号調整ロジックと、を備える。

生体検出手段は、プロセッサと通信可能に接続される。取得した生体認証データを当該処理手段に送信するのに、１２ビットＡ／Ｄコンバータを使用して通信を行ってもよい。

ｃ）物理的なセキュリティコンポーネント
物理的なセキュリティコンポーネントは、典型的には、不正に携帯型生体認証装置に触れた場合に起きる当該携帯型生体認証装置の筐体の変形を検出する複数のマイクロスイッチを備える。これらマイクロスイッチは、携帯型生体認証装置を通常使用する場合には検出されない、筐体をねじる又は曲げるといった動作による動きを検出するとアラームを起動させる。

別の望ましい実施形態では、携帯型生体認証装置は、硬化されたエポキシ樹脂によって完全に充填されており、内部の電子部品を不正に改造することを難しくする。

ｄ）プロセッサ
プロセッサは、生体認証取得センサ、生体検出センサ及び物理的なセキュリティコンポーネントと通信可能に接続され、（ユーザによって入力された又は装置に固有な）扱われるデータ及び／又は生体認証情報（必要に応じて、ユーザから取得した脈拍及び／又は血中酸素濃度及び／又は神経データ）が外部に送信される前に、当該情報（又は少なくとも情報の一部）を暗号化し、入力された情報を復号化するように設計されている。

望ましくは、携帯型生体認証装置は、構成要素の機能が物理的に分離不可能に統合された一つの装置として形成される。例えば、これは一つの集積回路（例えば、特定用途向け集積回路：ＡＳＩＣ）であってもよい。このように一つの集積回路に統合することで、不正な改造を防ぐことができる。

幅広い種類のＩＤ又は身分を証明するものを携帯型生体認証装置で置き換えることができる。例えば、パスポート、身分証明書、免許証、鍵、パスワード、クレジットカード、スワイプ・カード（ｓｗｉｐｅ ｃａｒｄ）、ホログラム、リモートコントローラ、車のキーレスエントリーの携帯機、アクセスコード、電子証明書、遠隔制御、クレジットカード、デジタル証明書、ＰＩＮ番号等、及び、保護されていない生体認証に使用されるものが挙げられ、生体認証に使用されるものとしては、指紋、足型、血管、虹彩、顔認識、音声認識等が挙げられる。

暗号化オペレーションは複雑であるが、要約すると、基本的に以下のような段階を有する。
ｉ）パス・ディスクリプタによって選択された鍵（ｋｅｙ：キー）を判定するために、ランダムな態様で生成される複数の鍵のテーブルのパスシーケンスを生成する。パスシーケンスは時間変化する。
ｉｉ）パス・ディスクリプタの初期状態を規定するランダム・シードを生成する。
ｉｉｉ）前記ランダム・シード及び前記情報に対して暗号化／復号化アルゴリズムを実行する。アルゴリズムは、上記で選択された鍵を使用したビット排他論理和（ｂｉｔｗｉｓｅ ＸＯＲ）演算を含む。

処理手段が備える暗号化オペレーション及び機能手段（ｆｕｎｃｔｉｏｎａｌ ｍｅａｎｓ）について以下に詳細に説明する。上記のオペレーションでは、生体認証データ及び通信で必要なパラメータに対応する一般的なデータの入出力を有する暗号化／復号化ユニットが使用される。上記一般的なデータとは、タイムスタンプやパケット番号が挙げられる。暗号化／復号化ユニットの入出力を、生成されたＭ（非暗号化メッセージ）及び暗号化された後の情報Ｍ’（暗号化済メッセージ）として情報が通過する。上記暗号化／復号化ユニットはまた、中央処理装置（ＣＰＵ）、リアルタイムクロック（ＲＴＣ）及びＲＯＭフラッシュ型の内部メモリを備える。当該内部メモリは、当該メモリのコンテンツへのアクセスを防ぐべく過渡信号変更に関連する電子攻撃をブロックするように安全対策がなされ、その時に使用される上記の鍵のテーブルを保存するように構成されている。

望ましくは、上記の複数の鍵のリスト又はテーブルは、ｍ個のランダムに生成されたｎビットの数によって構成される。鍵のパスシーケンスは、２ｋがｍ以上である（それぞれの段が１ビットの双安定論理回路に対応する）ｋ段の線形帰還シフトレジスタ（ＬＦＳＲ，Ｌｉｎｅａｒ Ｆｅｅｄｂａｃｋ Ｓｈｉｆｔ Ｒｅｇｉｓｔｅｒ）であり、ｊ＝ｌｏｇ２（ｍ）においてブール関数（Ｂｏｏｌｅａｎ ｆｕｎｃｔｉｏｎ）によって規定されるｊ位のフィルタ関数Ｂであって出力する数が１からｍの間であるフィルタ関数Ｂを有する線形帰還シフトレジスタから取得される。上記ＬＦＳＲはｋ次の原始多項式Ａによって規定され、２ｊ＝ｋであることから、暗号化−復号化プロセスにおいて上記複数の鍵のリスト又はテーブルにおける要素の各々についてパスが与えられることが保障される。原子多項式［Ａ０Ａｋ−１］とフィルタ関数［Ｂ０ − Ｂｊ−１］との組み合わせ及び上記鍵のテーブルによって、暗号化システムでは望ましくは隠されたまま保持される上記要素が決定される。

送信すべきデータを暗号化するには、上記コードのセキュリティ特性を得るべく階層的な態様で当該データが構築されていなければならない。より詳細には、パケットのサイズ又は長さは、鍵のテーブルのサイズよりも実質的に小さくなければならない。例えば、鍵のテーブルのサイズがｍ＝１０２４（ワード）である場合、パケットの大きさは５１２ワードよりも大きいサイズｐを有するべきでない。初めに、任意の大きさのオリジナルメッセージＭがｐ個のパケット（Ｐ０，Ｐ１，…，Ｐｐ−２，Ｐｐ−１）からなるグループへと分割されるが、これらはそれぞれ長さＩバイトであり、これは、それぞれが独立して暗号化されて伝送される構造に対応する。同時に、上記のパケットは、長さｑワードで１ワード当たりｎバイトのブロックｂ個（Ｂ０，Ｂ１，…，Ｂｂ−２，Ｂｂ−１）に分割される。

次いで、パケットＰｉのそれぞれに対してヘッダーブロックが生成される。ヘッダーブロックは最初に暗号化されて送信され、ランダム・シード（ＳＬ−ＳＨ）と、システム署名（Ｆ０−Ｆ４）と、パケットの宛先及びサイズ（ＩＧ−ＩＵ；Ｌ０−Ｌ４）と、に関する情報を含み、トランスミッションコントロールブロック（ＴＣＢ）と呼ばれる。パケットＰｉの終わりには、（暗号化される／復号化されるメッセージに対応する）情報のみを含むブロックＢ０，…，Ｂｂ−１に続いて、最後のブロックＢＦが含まれる。最後のブロックＢＦは、伝送エラーをチェックするためのチェックサムタイプの情報及びビットの両方（伝送におけるビット若しくはバイト数の和、又は、情報の損失若しくは変更が起きたならば認識できるようにするファイル）を含む。

ＴＣＢが生成されると、エミッタを同期させる段階が開始される。以下の記述において、ＦＥＥＤは暗号化されたシードを表し、ＴＣＢはトランスミッション・コントロール・ワード（ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｗｏｒｄｓ：ＴＣＢ）の暗号化を表す。また、ＳＥＥＤ［ｉ］，ＦＥＥＤ［ｉ］，ＴＣＢ［ｉ］，ＴＣＢ［ｉ］との表記は、シード、暗号化されたシード、ＴＣＢ、及び、暗号化されたＴＣＢのｉ番目のワードをそれぞれ表す。

シード又は非線形フィルタ生成器のＬＦＳＲの初期状態として使用されるｋビットのランダム数は、リアルタイムクロックＲＴＣを用いて生成される。非線形なフィルタＢ関数を使用して、１からｍの間の一連の準ランダム数（ｓｅｍｉ−ｒａｎｄｏｍ ｎｕｍｂｅｒ）を生成するためにＬＦＳＲの状態が用いられる。当該準ランダム数はテーブルにおける位置を示し、その内容は、ＴＣＢにおけるワードの各々についてＸＯＲ演算をすることにより、ＴＣＢと表記される暗号化されたＴＣＢが生成されると共に、暗号化されていないテキストメッセージのワードの残りの部分を生成する。続いて、シードが長さｎの複数のワードへと分割され、必要に応じて、複数のワードのうちの一つの左側にゼロを加える。そして、Ｂフィルタ関数を使用して予め定められたＴＣＢのｋビットをＬＦＳＲの入力として再び用いることにより、テーブルにおける一連の位置が再び生成され、テーブル内の要素はＸＯＲがシードワードに付加されたものであり、それにより暗号化されたシードが生成される。シードが分割されるワードの数は、ｋ／ｎの整数値と全く同じである。このように、ＴＣＢに一致する最初の暗号化されたメッセージが送信されるが、最初のｋビットは、メッセージを暗号化するのに使用されるシードの暗号化を形成している。

送信されるオリジナルメッセージを暗号化するプロセスは、ＴＣＢを暗号化するプロセスと全く同じである。すなわち、メッセージを構成する複数のワードは、ブロック毎にテーブル内の要素に対してＸＯＲ付加されたものである。テーブル内の要素の位置は、パス・ディスクリプタの初期状態として暗号化されたＴＣＢ内で送信された（非暗号化）シードを使用して、当該パス・ディスクリプタによって決定される。一つのパケットが完成すると当該パケットが送信されて、続くパケットについても同様のプロセスが繰り返される。すなわち、新たなＴＣＢ、シード等が生成されて、メッセージの全てのパケットが完成するまで繰り返される。

無線通信システムの特定の場合、ヘッダーブロック（ＴＣＢ）に先行して、ハードウェアデバイスの同期ワード及び署名ワードが送信される。これらワードは、無線ユニット間の同期に必要となる。残りのプロセスは、上記と同じである。無線通信の場合、有線通信よりもエラーが起きる確率が高いことから、ビット誤り率（ｂｉｔ ｅｒｒｏｒ ｒａｔｉｏ：ＢＥＲ）を改善するために情報の冗長性を生成する前方誤り訂正（ｆｏｒｗａｒｄ ｅｒｒｏｒ ｃｏｒｒｅｃｔｉｏｎ：ＦＥＣ）法が通常使用される。この場合、暗号化されたｑ個のワードからなるブロックのそれぞれは、ｒ個のワードからなる冗長性によってそのサイズが大きくなっている。このワードはＦＥＣアルゴリズムによって自動的に生成され、情報源に対して透過的な態様で送受信される。

受信機が暗号化されたメッセージを受信すると、当該受信機は同期化段階を実行する。このために、ＬＦＳＲの入力としてＴＣＢの所定のｋビットを使用して、テーブル内の一連の位置が生成され、その要素は、ＴＣＢの最初のｋビットに対応するワードにＸＯＲ付加されたものであり、ＴＣＢの残りの部分を復号化するのに使用されるＬＦＳＲシードを提供する。シードが得られると、当該シードをＬＦＳＲの入力として使用し、非線形フィルタ関数Ｂを用いてテーブル内の一連の位置を生成する。これらの要素は、ＴＣＢにおける残りのワードにＸＯＲ付加されたものであり、元のＴＣＢを提供する。

ＴＣＢが取得され適切なチェックが行われると、メッセージを復号化する段階が開始される。この段階は、ブロックごと及びパケットごとに連続して、暗号化段階と完全に対称的な処理が行われ、出力として元のメッセージが生成される。

セキュリティレベルを上げるべく、時間依存の暗号化／復号化を使用することもできる。時間依存暗号化のプロセスは、ＲＴＣで年月日、時分等を読み取り、論理演算を使用してＴビットの大きさの時間依存鍵を生成する。当該時間依存鍵を使用してＸＯＲ演算することにより、シード、非線形フィルタ関数Ｂの出力を変更する。または、ソース情報を鍵のテーブル及び時間依存鍵と同時にＸＯＲ演算することにより当該情報を変更する。

鍵のテーブルの長さが十分であり、（上記の鍵のテーブルのパスを規定する、多項式Ａとフィルタ関数Ｂ）ディスクリプタの選択が適切である場合には、上記の手段によってセキュリティレベルを上げることができる。これは、テーブル及びディスクリプタが秘密である場合、暗号化アルゴリズムが知られてしまったとしても、「しらみつぶし」の攻撃しかできないからである。すなわち、可能性のある全ての鍵のテーブル、パス・ディスクリプタ及びシードを試すという方法に頼らざるおえないからである。このような攻撃は、非常に時間が掛ることから、現在のコンピュータを使用して実行することは不可能である。

特定の例では、中央演算装置（マイクロプロセッサ）がアクセスした機密対策がなされたメモリは、ランダムな態様で生成された８ビットの長さで１０２４個の鍵のリスト又はテーブルを記憶する。マイクロプロセッサは自身のＥＥＰＲＯＭメモリに、１６段のＬＦＳＲ（２１６は、１０２４より大きいのは明らかである）と、当該ＬＦＳＲの最初の１０段の出力を選択する関数によって規定されるフィルタ関数とを記憶し、それによって、０から１０２３までの間の数又は１から１０２４までの間の数である準ランダム数を生成する。上記の１６段の線形フィードバック回路の２０４８通りのうち、原始多項式Ａ＝１＋ｘ＋ｘ２＋ｘ８＋ｘ１３＋ｘ１５＋ｘ１６によって与えられる回路が使用される。

ｅ）機密対策がなされたメモリユニット
機密対策がなされ、処理手段と通信可能に接続されたメモリユニットは、Ｉ２Ｃプロトコルに従って暗号化されてもよい。

ｆ）無線通信ユニット
通信ユニットは、生体認証装置と外部との間の通信を可能として、暗号化された情報が送受信されるのを可能にする。例えば、無線通信ユニットは、以下に説明するようにＢｌｕｅｔｏｏｔｈ（登録商標）ユニットであってもよい。

望ましい実施形態では、本発明に係る携帯型生体認証装置は更に、情報をユーザに対して表示する例えばＬＣＤ画面のような可視化手段を備える。

本発明に係る携帯型生体認証装置は、ユーザが自身の本人確認を提供することを可能にし、非常に高いセキュリティレベルで通信を行うことを可能とし、また、本発明の携帯型生体認証装置内の処理手段に設けられる暗号化／復号化ユニット又は（以下で説明する）生体認証データセンタ手段を有さない人は、送信された情報にアクセス不可能であることを確かにする。

本発明の第２の側面は、ユーザがセキュリティ要素の開閉を可能とするように設計されたセキュアな駆動装置に関する。セキュアな駆動装置は、基本的に、通信ユニット、物理的なセキュリティ手段、処理手段、セキュアなメモリユニット及びアクチュエータを備える。これら構成要素の各々について、以下に詳細に説明する。

ａ）通信ユニット
通信ユニットは、携帯型生体認証装置と暗号化された情報をやりとりするのに使用され、暗号化された情報にはユーザの生体認証データが含まれる。この情報は、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）を使用してやりとりすることができる。加えて、通信ユニットは、インターネットを介した通信のための手段も含む。

ｂ）物理的なセキュリティコンポーネント
物理的なセキュリティ手段は、不正に本発明に係る携帯型生体認証装置に触れた場合に起きる、当該携帯型生体認証装置の筐体の変形を検出する複数のマイクロスイッチを備える。これらマイクロスイッチは、携帯型生体認証装置を通常使用する場合には検出されない、筐体をねじる又は曲げるといった動作による動きを検出するとアラームを起動させる。

また、携帯型生体認証装置の筐体は、硬化されたエポキシ樹脂で完全に充填されており、内部の電子部品を不正に改造することを難しくしている。

ｃ）プロセッサ
処理手段は、携帯型生体認証装置から受信した暗号化された情報を復号化するように設計される。暗号化／復号化アルゴリズムは、上記で携帯型生体認証装置に関して説明したのと同様なアルゴリズムである。

ｄ）セキュアなメモリユニット
処理手段と通信可能に接続されたセキュアなメモリユニットは、Ｉ２Ｃプロトコルに従って暗号化されてもよい。

ｅ）アクチュエータ
受信された情報に含まれるユーザからのコマンドに従って、外部要素を開閉するために、一つ又は複数のアクチュエータが設けられる。例えば、任意の種類の設備へと認証されていない人物がアクセスするのを防ぐべく、ドア、窓又はその他の要素を開閉するためのアクチュエータであって、リレー又はその他の駆動メカニズムであってもよい。

本発明の第３の側面は、セキュアな通信のための生体認証システムに関し、当該システムは基本的に、携帯型生体認証装置、ゲートウェイ装置及び許可済ユーザ生体認証データセンタを備える。これら構成要素の各々について、以下に詳細に説明する。

ａ）携帯型生体認証装置
携帯型生体認証装置は、本明細書で先に説明した装置である。

ｂ）ゲートウェイ装置
ゲートウェイ装置は、インターネット接続を伴う任意の電子装置である。例えば、ゲートウェイ装置は、本発明に係る携帯型生体認証装置を使用したインターネットを介したセキュアなデータ交換のためにアプリケーションがインストールされたラップトップコンピュータである。

ゲートウェイ装置は、携帯型生体認証装置と通信可能に接続されて、ユーザの生体認証データが含まれ得る暗号化された情報を当該携帯型生体認証装置から受信する。

ｃ）許可済ユーザ生体認証データセンタ
データベースは、システムの使用を許可されたユーザの（生体認証）データを収容し、処理手段は、入出力されるメッセージを暗号化／復号化する。

基本的に、生体認証データセンタは、ユーザの生体認証データ、携帯型生体認証装置の固有のＩＤ及び／又はその他の形態のＩＤが含まれ得る暗号化された情報を、ゲートウェイ装置から受信して、当該情報が許可されているユーザに対応するかをチェックする。

必要に応じて、セキュアな通信のための生体認証システムは、本明細書で先に説明したセキュアな駆動装置を備えてもよい。セキュアな駆動装置が存在する場合には、システムがインターネットを介して実行される活動のセキュリティを改善させることができるだけでなく、設備へのアクセスを制御する物理的なセキュリティ要素を許可されたユーザが制御することを可能とする。これについては以下に詳細に説明する。

本発明の第４の側面は、携帯型生体認証装置、ゲートウェイ装置及び許可済ユーザ生体認証データセンタを備え、接続先サーバとインターネットを介したセキュアなオペレーションを実行するシステムの動作方法に関する。方法は基本的に、以下の段階を備える。

１）携帯型生体認証装置がユーザに本人確認を要求する。
２）ユーザが自身の生体認証データを携帯型生体認証装置に入力する。
３）携帯型生体認証装置が前記生体認証データを暗号化して、当該暗号化されたデータを含むメッセージをゲートウェイ装置を介して、生体認証データセンタに送信する。
４）生体認証データセンタは受信したメッセージを復号化して、前記生体認証データが許可されているユーザと一致するかをチェックし、応答をゲートデバイスに送信する。
５）ゲートウェイ装置は、生体認証データセンタから受信した応答に基づいて、接続先サーバへのユーザのアクセスを許可する又は拒否する。

本発明の本側面における望ましい実施形態では、アクセスが許可された場合には、方法は更に以下の段階を備える。

６）ゲートウェイ装置を使用して、ユーザが接続先サーバに送信したいデータを入力する。
７）携帯型生体認証装置は、当該携帯型生体認証装置が取得したユーザからの新規の生体認証データと共に受信したデータを暗号化して、暗号化したメッセージを生成し、当該メッセージをゲートウェイ装置を介して生体認証データセンタに送信する。
８）生体認証データセンタは、受信したメッセージを復号化して、新規に取得された生体認証データが許可されたユーザに一致するかを再びチェックして、一致する場合には、接続先サーバが使用するアルゴリズムに対応するアルゴリズムを使用して、送信すべきデータを再び暗号化する。
９）生体認証データセンタは当該データを、接続先サ―バーに送信する。

望ましくは、携帯型生体認証装置によって暗号化されたメッセージを生成する段階は、送信すべきデータ、ユーザの新たな生体認証データ、タイムスタンプ及びパケット番号をメッセージに含める段階を有する。

別の望ましい実施形態では、携帯型生体認証装置の暗号化段階は、以下の段階を含む。
ｉ）パス・ディスクリプタによって選択された鍵を判定するために、ランダムな態様で生成される複数の鍵からなるテーブルの時間変化するパスシーケンスを生成する。
ｉｉ）パス・ディスクリプタの初期状態を規定するランダム・シードを生成する。
ｉｉｉ）前記ランダム・シード及び前記情報に対して暗号化／復号化アルゴリズムを実行する。アルゴリズムは、上記で選択された鍵を使用したビット排他論理和（ｂｉｔｗｉｓｅ ＸＯＲ）演算を含む。

また、システムがセキュアな駆動装置を備える場合、施設又は設置物へのアクセスを制御するセキュリティ要素を制御することができる。本発明の第５の側面は、上記の方法の主な段階に関する。
１）ユーザが、本人確認を行うべく自身の生体認証データを入力する。
２）携帯型生体認証装置は、セキュリティ要素に対するコマンド及びユーザの生体認証データの両方を含む暗号化されたメッセージを、セキュアな駆動装置へと送信する。
３）セキュアな駆動装置は、メッセージを復号化して、ユーザが許可されているかを確認する。
４）応答が肯定的であった場合には、セキュアな駆動装置はアクチュエータを使用してセキュリティ要素に作用する。

本発明に係る携帯型生体認証装置の最も重要な部分の構成を示した図である。 本発明に係るセキュアな駆動装置の最も重要な部分の構成を示した図である。 インターネットを介した活動を実行するために生体認証装置を用いるシステムの一実施形態における全ての主要要素を概略的に示した図である。 生体認証装置と共に、セキュリティ要素を制御するセキュアな駆動装置を用いるシステムの別の実施形態における全ての主要要素を概略的に示した図である。

最初に、同出願人の先の特許出願ＷＯ２０１２／１４０２９１の開示において構築された現在のシステム関しての一般的な考察を述べる。当該システムは、ユーザを認識可能とする複数の要素を備え、ヒトの生体認証による認識又は認証のための任意の電子装置又はシステムへとこれら要素が組み込まれる。また、環境に対するコード生成デジタル表示をオンラインで行う。

システムユーザが携帯型生体認証装置を使用する時、データは継時的にランダムに符号化されて、前に暗号化された時とは大幅に異なる形態で当該データが符号化されるという特徴を有する。このように符号化されたデータは、遠隔データセンタにおいて認証プロセスが発生するまで有効であり、遠隔データセンタではユーザを一つのサンプル（プライマリ：Ｐｒｉｍａｒｙ）として表すＩＤが付与され、ＩＤのデータはユーザを認証するのに使用される。当該認証は、ほんの数マイクロ秒で実行される。認証プロセスの後は、プライマリ端末からデータセンタへと送信されたデータセットは再利用には不適格である。
従って、ユーザのプライマリＩＤを置き換える又は再利用することはできない。すなわち、プライマリデータで表されたユーザは、真に生きている人間である。言い換えると、プライマリは、所有者の生体組織を利用してコマンドによって生成されたバイオメトリックな本人確認のサンプル（ｓｐｅｃｉｍｅｎ）であり、独立したデータベースゲートウェイによって承認されるまでの期間のみ有効である。同じ生体認証のサンプルはそれぞれ、前回とは異なるように暗号化されて、所有者に対して一度のみアクセス権を与える。所定の期限までのみ、前記アクセス権が使用可能である。所有者によって一回使用された直後であってプライマリがキャプチャされた後に、アクセス権は古いものとなる。そして、システムは同様な（再生された）暗号化を却下する。送信、承認、搭乗手続き、アクセス、許可、受信、取得、支払い、入力、チェックイン、表示等のコマンドをユーザが指をスワイプすることによって実行することにより、当該ユーザが法的に責任を負うことになる。このアクションでは、独立したデータベースゲートウェイが照合を行うまでのみ有効な生体認証のサンプルがユーザの生体組織から生成される。従って、他人がプライマリを使用することは不可能である。このようにプライマリを使用することにより、なりすましを防ぐことができる。

ユーザの識別が曖昧になる場合には、複数の要素を一緒に利用して、所定の態様で動作させる。生物が生きているかの検証と共に、生物からの（生成される）生体認証データを使用して当該生物の遠隔認識を行う方法を提供する。生体認証データは、時間制限のある態様で暗号化されてもよい。別の側面として、生物の遠隔認識を行う装置が提供される。当該装置は、生物から生体認証データを取得するように構成された生体認証データセンサ；前記生体認証データを提供している生物が生きているかを検証するように構成された生体検出センサ；取得された生体認証データと装置に保存されている生体認証データとを比較するように構成されたプロセッサ；及び、前記プロセッサが行った比較結果及び前記生体検出センサが行った生物が生きているかの検証結果に基づいて、時間制限付きの暗号化された信号を送信するように構成された通信インターフェースを備える。

生体データが取得された時に生物が生きているかを、センサを使用して検出することによって確認すると共に、（生物、望ましくは人間、の物理的な特性を表す）生体認証データを使用することは、当該生体認証データが当該データが取得されたその時点の生物の正確な表現であることを意味する。時間制限付の暗号化された信号とすることにより、所定の期間（例えば、生成された時間から、１μｓ、２μｓ、５μｓ、１０μｓ、１００μｓ、１ｍｓ、２ｍｓ、５ｍｓ、１０ｍｓ、１００ｍｓ、１ｓ、２ｓ、５ｓ又は１０ｓ未満）を超えて、生体認証データ又は生体認証データ認識を示す信号が有効となり続けることを防ぐことができる。このように時間制限されたデータを、まねしたり偽造するのは難しい又は不可能である。時間制限付きの暗号化の限られた効力によって、このようなデータのコピーも無効である。

したがって、本方法は、生物の生体組織から電子的に生成され随意に新たに生成されるサンプルを提供し得る。（生きているかの検証チェック及び／又は保存されているデータとの比較により信頼性をチェックすることに続いて）、暗号化された信号がその都度提供される。時間制限付きの暗号化は、信号が（同じ入力データであっても）前回生成されたものとは異なることを意味する。これにより、信号を再利用することが不可能となっている。この方法では、例えば、動物が臭いによって他の存在を遠隔でも認識するのと同様に、プライマリを合成してもよい。

一実施形態において、装置は更に、識別コード（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｃｏｄｅ）を保存するデータ記憶装置を備える。この場合、時間制限付きで暗号化された信号は、保存され識別コードを示す情報を含んでもよい。典型的な、識別コードは、装置に固有のものである。これに加えて又は代えて、装置は、一つの生物に関してのみ生体認証データを保存するように構成されて、当該データを保存された生体認証データとして使用してもよい。時間制限付きの暗号化と共に識別コードを送信することは、ユーザを特定する信号を送信することと等価である。この場合、望ましくは、時間制限付き暗号化された信号は、取得した生体認証データを示す情報を含まない。従って、装置から生体認証データを送信する必要はない。

ある実施形態では、取得した生体認証データは、取得した生体認証データの項目を複数含む。プロセッサは、取得した生体認証データの複数の項目と、一つ又は複数の保存された生体認証データの項目とを比較することにより、取得した生体認証データと保存されている生体認証データとの比較を行ってもよい。例えば、取得した生体認証データの複数の項目のそれぞれを、対応する（様々な）保存された生体認証データの項目と比較してもよい。保存された生体認証データ（又は生体認証データの項目）は固定されていてもよいし、必要に応じて変更されてもよい。例えば、プロセッサは、取得した生体認証データに基づいて、保存されている生体認証データを変更するように構成されてもよい。この場合、取得された生体認証データと保存された生体認証データとの比較を行った後に、保存された生体認証データの変更を行ってもよい。このようにすることにより、例えば、生物の継時的な生体認証データの自然変化に装置を適合させることが可能となる。

生体認証データセンサは、指紋読み取り装置、虹彩スキャナ、及び、神経信号スキャナのうちの一つ又は複数を備えてもよい。生体検出センサは必要に応じて、近赤外波長の発光体及び受信機を備えてもよい。望ましくは、人工のニューラルネットワークに基づくアルゴリズムを使用した生体検出センサ又は手段が提供されてもよい。

プロセッサは、埋め込まれたシリアル番号及び／又は生体認証センサから受信したデータから暗号化された署名を生成可能な信号処理手段を有してもよい、及び／又は、生体検出センサ（及び必要に応じてこれらのデータ項目のみを使用して）を使用してもよい。ついで、（望ましくは、時間制限付き暗号化を可能とする）非線形コード生成ハードウェアに基づく暗号化アルゴリズムを使用して、暗号化データの生成が行われる。

望ましい実施形態では、装置は更に、装置の少なくとも一部分に不正改造がなされていないかをチェックするように構成された、不正改造防止コンポーネントを備える。通信インターフェースは更に、不正改造のチェック結果に基づいて、時間制限付き暗号化信号を送信するように構成されてもよい。必要に応じて、不正改造防止コンポーネントは、装置のねじれ又は装置の改ざんを検出する複数のマイクロスイッチ；及び、装置のハウジングを開けたことを検出するように配置された少なくとも一つの赤外センサのうちの一つ又は複数を備えてもよい。

生体認証データセンサ、生体検出センサ、プロセッサ及び通信インターフェースは、シールされたハウジング内に組み込まれてもよい。ある実施形態では、生体認証データセンサ、生体検出センサ、プロセッサ及び通信インターフェースは、単一の集積回路上に形成されてもよい。この場合、一つのチップによって、前記装置の全ての機能が提供されてもよく、装置が使用するアプリケーションの幅を広げることにつながる。また、単一のチップとすることにより、不正な改ざんを防ぐ一助となる。

別の側面として、生物の遠隔認識を行う方法が提供される。当該方法は、装置を使用して生物から生体認証データを取得する段階と；前記生体認証データを提供している生物が生きているかを前記装置を使用して検証する段階と；取得された生体認証データと前記装置に保存されている生体認証データとを比較する段階と；前記比較の結果及び前記生物が生きているかの検証の結果に基づいて、時間制限付きの暗号化された信号を送信する段階と、を備える。この方法は、上記の装置に関して開示した特徴に対応する更なる段階を備えてもよい。例えば、前記装置は更に識別コードを保存し、時間制限付きの暗号化された信号は、当該保存された識別コードを示す情報を含む。方法は更に、前記装置の少なくとも一部分に不正な改造がなされたかをチェックする段階を備えてもよい。そして、時間制限付きの暗号化された信号を送信する段階を、前記チェックする段階の結果に基づいて実行してもよい。

ある実施形態では、方法は更に、データセンタにおいて時間制限付きの暗号化された信号を受信する段階と、受信した時間制限付きの暗号化された信号の効力の状態を判定する段階と、当該効力の状態を判定する段階に応答して前記データセンタから許可信号を送信する段階とのうちの一つ又は複数を備えてもよい。許可信号は、時間制限付きの暗号化された信号であってもよい。前記効力の状態を判定する段階は望ましくは、前記受信した時間制限付きの暗号化された信号を復号化する段階と、前記時間制限付きの暗号化された信号の期限が切れていないかをチェックする段階と、前記時間制限付きの暗号化された信号に示された情報とデータセンタに保存されているＩＤ情報の詳細とを比較する段階と、のうちの一つ又は複数を備えてもよい。望ましい実施形態では、方法は更に、前記時間制限付きの暗号化された信号を受信する段階の前に、生物のＩＤ情報の詳細をデータセンタに保存する段階を備える。これは、以下に説明するように、入会する時に提供される情報の形態であってもよい。

ある実施形態では、方法は更に、生物から取得された時間制限付きの暗号化された生体認証データを受信する段階と、受信した時間制限付きの暗号化された生体認証データを処理することによって判定を行う段階と、の両方又は一方を備えてもよい。生物が生きているかの検証は、生物から取得した神経信号データの利用を含んでもよい。この場合、任意のデジタル環境、例えば、インターネットにおいて、ユーザのＩＤを表すＩＤ信号（数値ベクトル）を取得した後に、当該ＩＤ信号がセキュアなデータセンタへと送信される。当該データセンタは、処理によって生成されたＩＤを表示する表示システムと、個人のＩＤが認証されたものであり個人を特定するものであるかを判断するべく必要な比較を実行する大容量記憶装置とを備える。

外部のエンティティ又はデータセンタと当該システムを統合するのに必要なロジックは、上記の処理要素及び大容量記憶装置に備わっている。これは、この目的のために特に設計された通信プロトコルを介して達成されてもよい。

上記判断する段階は、受信した時間制限付きの暗号化された生体認証データを復号化する段階を有してもよい。判定する段階のために復号化が使用されても、使用されなくてもよい。また、前記判定する段階は、望ましくは、前記受信した時間制限付きの暗号化された生体認証データの効力の状態を判断する段階と、前記受信した時間制限付きの暗号化された生体認証データが、生物が生きているかの検証と共に生成されたかを判定する段階と、生物を認識するために前記受信した時間制限付きの暗号化された生体認証データとデータベースのデータとを比較する段階と、のうちの一つ又は複数を備えてもよい。上記データを比較する段階は、人工ニューラルネットワークに基づくアルゴリズムを使用してもよい。

データセンタは、任意の装置が送信した生物信号及びＩＤ信号を認証可能である。認証を行うために、データセンタは受信したメッセージを復号化し、第２の暗号化／復号化メッセージを生成する手段を備える。この場合、ランダム・シード及びデジタル情報を含むメッセージの両方は、時間単位で異なる態様に暗号鍵／解読鍵によって暗号化／復号化される。

したがって、このような電子暗号化要素による処理が行われた後に全ての情報パラメータがデータセンタに保存されるようにすることによって、暗号化電子装置の認証なしには、データセンタ内の常駐プロセスによってコンテンツにアクセスすることは不可能となる。

加えて、電子的に外部に対する暗号化がなされていることから、データセンタを管理する完全な権限が与えられているオペレータは情報にアクセスすることができる。

方法は、コンピュータソフトウェア、プログラム可能ロジック又はその他の構成可能な装置の形態で実装されてもよい。上記のような方法に従って動作する生物の遠隔認識を行う装置が提供される。この装置は、取得装置及び／又は認識サーバ（本明細書では、セキュアなデータサーバとも称される）であってもよい。

生体認証読み取りが行われる都度、読み取られたデータは以前に読み取られたデータとは異なる態様で暗号化され、認証データベースによって認証された後にのみ有効となる。これにより、生物が本当に存在しているかを確かめることができる。ハッカーがプライマリを解読するには恐らく何年もかかることになり、上記で説明したような種類のセカンダリＩＤ以外の価値をもたらすことはない。プライマリの効力は、ほんの数マイクロ秒しか持続しないため、所有者が一回使用することができるのがせいぜいであり、アクセスが許可された後にはすでに使用不可となっている。不正な改ざんがなされた又は干渉されたプライマリは拒否されて、使用不可能となる。これは、「生体検出」、「不正改ざん防止」、「ランダム暗号化」及び「既知のハードウェアから既知のハードウェアへの通信」によって達成されてもよい。期限の切れた又は失効したプライマリは拒否されて、使用不可能となる。プライマリがキャプチャされる頃には、当該プライマリはすでに有効期限切れとなっていてもよい。拒否された及び期限切れとなったプライマリは、何人でも使用することができない。従って、オーナーのみが効力を有するプライマリを使用することとなり、なりすましは不可能となる。

本発明の特定の実施形態に係る生体認証装置（１）の一例について、添付の図面を参照して以下に説明する。

図１は、本発明に係る携帯型生体認証装置（１）の一例を示しており、当該デバイスを構成する主要な要素が描かれている。中央処理手段（５）は、外部とやり取りされるメッセージを暗号化／復号化し、前記装置が実行する特定のタスクのそれぞれに対して設計された付随要素のセットと通信を行うことにより、本発明に係る生体認証装置（１）の一般的なオペレーションを制御する。具体的には、ユーザから生体認証データ（典型的には指紋）を取得する生体認証取得手段（２）と、認証が行われるユーザが生きている人間であり現在も生きているかを判断する生体検出手段（３）（典型的には、脈拍検出機及び／又は血中酸素検出機及び／又は神経センサ）と、第三者による携帯型生体認証装置（１））を不正に改ざんすることを防ぐ物理的なセキュリティ手段（４）、セキュアなメモリユニット（６）、無線通信ユニット（７）（典型的には、Ｂｌｕｅｔｏｏｔｈ（登録商標））、及び、ＬＣＤ画面（８）が設けられる。

図２は、本発明に係るセキュアな駆動装置（４０）を概略的に示した図である。このセキュアな駆動装置（４０）は、その他の要素と接続される処理手段（１３）、携帯型生体認証装置（１）とのＢｌｕｅｔｏｏｔｈ（登録商標）による通信及びインターネット通信（例えば、イーサーネットのネットワーク）の両方が可能なように設計された通信ユニット（１１）、物理的な改ざんを防ぐ物理的なセキュリティ手段（１２）、セキュアなメモリユニット（１４）、制御される要素の開閉を行う例えばリレー（ｒｅｌａｙ）等であるアクチュエータ（１５）、及び、上記要素の状態を表示する表示装置（ｉｎｄｉｃａｔｏｒ）（１６）を備える。

例えば、機密情報を銀行のサーバ（１００）とやりとりする銀行の取引のような、インターネットを介したセキュリティ対策の必要なオペレーションを実行する、本発明の一側面に係る携帯型生体認証装置（１）の使用の例について以下に説明する。図３には、上記の目的で使用されるシステムの主要要素が示されている。まず、ユーザは、携帯型生体認証装置（１）を所持しているものとする。携帯型生体認証装置（１）は、望ましくは腕時計の形態であるが、その他の例えばキーホルダ等の形態であってもよい。ユーザはまた、スマートフォン、タブレット、ラップトップコンピュータ、又は、処理能力を有し、インターネット又はイントラネットへの接続が可能な任意の電子装置であってもよい、ゲートウェイ装置（２０）を所持している。

上記方法を実行するべく、ゲートウェイ装置（２０）には、本発明に係る携帯型生体認証装置（１）を使用してデータの安全なやりとりを行うためのアプリケーションがインストールされている必要がある。ユーザがアプリケーションにアクセスする場合、携帯型生体認証装置（１）とゲートウェイ装置（２０）との間で対称鍵ネゴシエーションが確立されて、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）である物理的な通信チャネル又はその他のチャネルが確保される。その他の形態の短距離（又は中距離）無線通信を使用することができ、例えば、無線ＬＡＮ、セルラー無線通信、光通信、又は、同様な受信範囲のモードを使用することができる。

この通信チャネルの論理セキュリティが確立されると、アプリケーションは、セキュアなＢｌｕｅｔｏｏｔｈ（登録商標）チャネルを介してゲートウェイ装置（２０）から、ユーザの携帯型生体認証装置（１）へと本人確認リクエストを送信する。これに応じて、携帯型生体認証装置（１）は、当該装置（１）の特定の領域にユーザの指を置くようにユーザに要求し、生体認証取得手段（２）及び生体検出手段（３）は、関係するデータを取得する。

これらのデータに基づいて、携帯型生体認証装置（１）の処理手段（５）は、ユーザの指が実際に生きている人間に関連付けられるかを判断する。実際に生きている人間のものである場合、取得した生体認証パラメータ、タイムスタンプ及びパケット番号が含まれるメッセージが生成される。次に、処理手段（５）はこのメッセージを暗号化して、ゲートウェイ装置（２０）に送信する。そして、ゲートウェイ装置（２０）は、インターネットを介して暗号化したメッセージを生体認証データセンタ（３０）へと送信する。データセンタには、各携帯型生体認証装置（１）に対応して許可されているユーザそれぞれの生体認証データが保存されている。

生体認証データセンタ（３０）は、アプリケーションにアクセスしようとしている人物が、その特定の携帯型生体認証装置（１）の許可されたユーザであるかについて確認する。実際に許可された人物であると特定された場合には、その旨をインターネットを介してゲートウェイ装置（２０）上のアプリケーションに通達する。そして、ユーザが操作することを契約しているアプリケーションの全てのオプションのブロックを、携帯型生体認証装置（１）を使用して解除する。そして、ユーザは、銀行の取引や、リモートアクセス等を実行する選択肢を持つ状態となる。

これら選択肢の全ては実際にはルートアプリケーション内のマイクロアプリケーションであり、ゲートウェイ装置（２０）内に収容されている。アプリケーションはそれぞれ、固有の国際的な識別番号が付与されている。ユーザは携帯型生体認証装置（１）を使用して操作したいと望む環境を選択し、その操作（例えば、銀行の振込）に必要なデータをゲートウェイ装置（２０）を使用して入力する。次に、ゲートウェイ装置（２０）は、これらのデータを含むメッセージを、暗号化のために携帯型生体認証装置（１）に送信する。暗号化がなされると、上記の操作を確定させるために、携帯型生体認証装置（１）は再びユーザに指紋を使用した本人確認を求める。そして、暗号化されたデータ、暗号化された当該ユーザの指紋に対応する生体認証データ、暗号化されたタイムスタンプ、及び、暗号化されたパケット番号を含むメッセージを生成する。このメッセージがゲートウェイ装置（２０）に戻され、今度は生体認証データセンタ（３０）へと送信される。

生体認証データセンタ（３０）は、ユーザの本人確認が正しいかをチェックする。本人であることが確かめられた場合、データセンタでは上記操作のためのデータが抽出され、当該データが復号化された後で再び暗号化されるが、この時は、トランザクションが実行される最終的な接続先（銀行、政府等）のサーバが使用するアルゴリズムを利用して暗号化が行われる。そして生体認証データセンタ（３０）は、暗号化された操作のデータを含むメッセージをインターネットを介して直接、接続先サーバに送信する、又は、当該接続先サーバに送信するべくゲートウェイ装置（２０）に再送信する。

最後に、生体認証データセンタ（３０）はＯＫメッセージをゲートウェイ装置（２０）へと送信し、ゲートウェイ装置（２０）はＯＫメッセージを携帯型生体認証装置（１）へと再送信して、携帯型生体認証装置（１）は当該メッセージを復号化しＬＣＤ画面（８）上でユーザに対して表示する。

より詳細には、データのやり取り及び通信プロセスは以下の通りに行われる。ここで、ＮｉとはメッセージＭｉの制御番号を表し、サーバとはデータ認証センターである。

ｉ．通信ゲートウェイが、メッセージＭ１をＮ１で、生体認証データの一例である指紋と共に、サーバへと送信する。指紋及びオペレーションがこのメッセージ内で送信され、これらは全て携帯型装置から計算されたものである。
ｉｉ．サーバは、ヘッダＮ１に続く情報内においてＮ２で、メッセージＭ２をゲートウェイへと送信する。携帯型装置を使用して、ゲートウェイはＮ１を取得することから、（サーバの）許可されたカードが指紋を受け取ったことを確認する。
ｉｉｉ．携帯型装置から送信されたメッセージＭ３を、ヘッダＮ２に続く情報内で、ゲートウェイがＮ３でサーバへと送信する。サーバはＮ２を受け取ることから、メッセージＭ１が時間枠内で繰り返されたメッセ―ジではないことを確認する。
ｉｖ．サーバはマッチングを実行して、ゲートウェイにメッセージＭ４をオペレーションの受付ＡＣと共にヘッダに続く情報中でＮ３で送信し、携帯装置が処理を行う。携帯装置がＮ３を回復したことから、オペレーションが受付けられる。携帯装置は、ＬＣＤディスプレイ上にオペレーション受付メッセージを起動する。

そして、前記オペレーションを受け付けたハードウェアは、ゲートウェイ装置（２０）、すなわち、携帯電話、ラップトップコンピュータ等に存在する可能性があり、オペレーションが受け付られたと虚偽の状態を知らせるマルウェア（ｍａｌｗａｒｅ）を回避することができる。

図２に示したのと同様なセキュアな駆動装置が使用される場合には、図４に示されるのと同様なシステムが得られる。この場合、携帯型生体認証装置（１）は、Ｂｌｕｅｔｏｏｔｈ（登録商標）のような無線接続を介して、直接、セキュアな駆動装置（４０）と通信を行う。そして、セキュアな駆動装置（４０）に接続するために携帯型生体認証装置（１）を起動した後で、ユーザは携帯型生体認証装置（１）においてローカルに本人確認を実行し、本人であることが確認されると、ユーザのＩＤデータ、対応するタイムスタンプ及びパケット番号を含むメッセージがセキュアな駆動装置（４０）に送信される。セキュアな駆動装置（４０）は上記の情報を受信して復号化し、前記ユーザが関係するオペレーションを実行する許可を得ているかを、セキュアな内部メモリに照会する。セキュアな駆動装置がインターネット接続を有している場合には、この照会をインターネットを介して遠隔で行うことができ、外部要素をリレー又はその他の駆動機構によって駆動する前に、ユーザが許可を得ているかについてサーバに問い合わせる。セキュアな駆動装置（４０）が上記オペレーションを完了させると、暗号化された応答がユーザに送信される。携帯型生体認証装置（１）は、Ｂｌｕｅｔｏｏｔｈ（登録商標）チャネルを介して上記メッセージを受信し、当該メッセージを復号化してユーザに表示する。

上記には一実施形態及び動作モードが記載されたが、当業者であれば様々な変更及び改良が可能であることは明らかである。例えば、携帯型生体認証装置（１）は、ゲートウェイ装置を必要とすることなく、直接データセンタ（３０）と直接通信を行ってもよい。また、携帯型生体認証装置（１）は、生体認証データを送信しなくてもよく、この場合、別の動作モードで同様なことを達成する。

更なる例として、上記の第１のモードと様々な態様で組み合わせることができる別の動作モードについて以下に説明する。例えば、以下に記載する特徴のそれぞれは、上記の第１の側面に特徴に代えて又は加えて設けられてもよい。装置（１）は、以下の態様でユーザからデータを取得する。最初に、生体検出センサが、生体認証データを提供するユーザが生きているかを確認する。生きていることが確認されたら、不正改ざん防止センサが、不正な改ざんがなされていないかを確認する。改ざんがなされていないことが確認されたら、生体認証データ（例えば、一つ又は複数の指紋）が取得されて、当該生体認証データと、以前に当該ユーザから取得し装置（１）に保存されている生体認証データとを比較する。

装置（１）には、一人のユーザのみの生体認証データが保存されていることが望ましい。この場合、このユーザのために装置をカスタマイズすることができ、他のユーザの身分証明には使用することをできなくすることができる。そして、ユーザと装置間で一対一のマッピングを行うことができる。しかしながら、一人のユーザは、複数の装置（１）を所有することができる。複数の装置を（例えば）、リモートコントローラ、車のキーレスエントリーの携帯機、携帯電話、携帯電話カバー、リストバンド、腕時計、ブレスレット、ベルトのバックル、コンピュータ、通信ケーブル（例えば、ＵＳＢケーブル）、及び／又は、その他の任意の携帯装置に取り付けることができる。

装置（１）に保存される生体認証データは、時間の経過と共に変化する可能性がある。例えば、指紋は時間の経過と共に変化する。従って、装置（１）は、保存されているユーザの生体認証データを変更するように構成されてもよく、これは、学習プロセスと見なされる。生体認証データの変更は通常、すでに保存されているデータと比較することにより当該ユーザの生体認証データが確認された後で行われる。変更は、必ずしもデータの交換を行う必要はなく、すでに保存されている生体認証データへの追加であってもよいし、すでに保存されている生体認証データの一部分のみを置き換えるのでもよい。

典型的には、生体認証データの一つの項目を取得して、これを、保存されている生体認証データの一つの又は複数の項目と比較する。実施形態は、生体認証データの複数の項目（例えば、複数の指紋、又は、少なくとも一つの指紋及び少なくとも一つの虹彩のスキャン等の２つ以上の異なる種類の生体認証データ）の場合を考える。ユーザから取得した生体認証データと、保存されている生体認証データとの比較は、取得された生体認証データの複数の様々な項目間の相関関係に基づいて行われてもよい。

取得した生体認証データが保存されている生体認証データと一致している場合には、次のような通信プロセスがデータセンタで実行される。装置（１）は、望ましくはゲートウェイ装置（２０）を介して行われる通信を開始して、データセンタ（３０）から鍵情報を受信する。この鍵情報は、使用すべきランダム鍵を決定するのに使用され、復号化鍵も提供する。ランダム鍵は、データセンタ（３０）のデータベースに埋め込まれた一連の鍵から選択される。埋め込みシリアル番号は、装置（１）に保存される。シリアル番号は装置各々に固有のものである。上記埋め込みシリアル番号は選択されたランダムキーによって暗号化されて、これにより復号化までの期限が設定される。次に、暗号化された埋め込みシリアル番号はデータセンタ（３０）へと送信される。

データセンタは、認識されたハードウェア装置から受信した信号のみを考慮する。認識されているハードウェア装置であるかを受信信号で確認した後、データセンタにおけるプライマリ認証装置（Ｐｒｉｍａｒｙ ａｕｔｈｅｎｔｉｃａｔｏｒ）が、受信した埋め込みシリアル番号を検証する。プライマリ認証装置は、ユーザの暗号化されたＩＤ、生体認証データ、及び、暗号化されたシリアル番号のうちの一つ又は複数を保存している。望ましくは、これらの全てが関連付けられた態様で保存されている。必要に応じて、これら以外の情報についても保存してもよいし、これらのデータ項目とその他の情報とを関連付けしてもよい。複数のプライマリ認証装置が存在してもよいが、一人のユーザに対するデータは、一つの特定のプライマリ認証装置にのみ保存される。

ユーザのデータが整合性のあるものであると確認されると、プライマリ認証装置はＩＤ信号を生成する。ＩＤ信号は、同じＩＤであるが期限が来る都度、個なる態様で暗号化されたものである。このＩＤ信号は、本人確認を要求するサーバ、例えば、銀行、航空会社、ソーシャルネットワーク又は社会保障性のサーバが、復号化することができる。ＩＤ信号に対しては、ＡＥＳ暗号化を使用することができる。自動車、家、車両、金庫又はその他の保管庫のような閉じたシステムの場合、装置は、単一の集積回路（「プライマリ・レセプタ・チップ」）に実装されてもよい。これらは、一人のユーザに対して予めプログラムすることが可能な小さなディスクであり、認証信号を、例えば、アンロックシステムへと転送することができる。

多くの場合、データセンタ（３０）及びセキュアな駆動装置（４０）は、統合可能である。したがって、ユーザは自身の携帯型生体認証装置（１）を持ち歩き、当該装置は（直接又はゲートウェイ装置（２０）を介して）統合データセンタ（３０）及びセキュアな駆動装置（４０）と通信を行い、受信されたデータに基づいてユーザのアクションが許可されるか又は拒否されるかが決まる。装置又は端末の例（以下に限るものではないが）としては、防犯ドア、銀行の端末、チケット端末又はその他の物品若しくはサービス等が挙げられる。

装置（１）はしたがって、パスポート、身分証明書、（運転免許証を含む）免許証、鍵、パスワード、又は、本明細書で示したようなその他の個人的な書類又は情報項目のような、幅広い身分証明のアイテムに置き換えることができる。

Claims (14)

1. セキュアなオペレーションのための携帯型生体認証装置（１）であって、
   ユーザの生体認証データを取得する生体認証取得センサ（２）と、
   生体認証データが取得される前記ユーザが生きているかを判定する生体検出手段（３）と、
   不正な改ざんの結果生じる前記携帯型生体認証装置の筐体の変形を検出する複数のマイクロスイッチによって構成される物理的なセキュリティコンポーネント（４）と、
   前記生体認証取得センサ（２）、前記生体検出手段（３）及び前記物理的なセキュリティコンポーネント（４）と通信可能に接続されるプロセッサ（５）であって、扱われるデータ及び／又は前記ユーザの前記生体認証データに関して取得された情報を送信する前に暗号化し、外部から入力される情報を復号化するプロセッサ（５）と、
   前記プロセッサ（５）と通信可能に接続されるセキュアなメモリユニット（６）と、
   前記携帯型生体認証装置（１）と前記外部との通信を可能とする無線通信ユニット（７）と、を備える、携帯型生体認証装置（１）。
2. 前記生体検出手段（３）は、脈拍検出器、血中酸素検出器及び神経センサのうちの一つ又は複数を備える、請求項１に記載の携帯型生体認証装置（１）。
3. 前記脈拍検出器及び／又は前記血中酸素検出器は、
   ｉ）近赤外線ＬＥＤ及び受光フォトダイオードのセットと、
   ｉｉ）心拍数３０回／分〜３００回／分を測定可能とするべく、不要なノイズを取り除くために０．１Ｈｚ〜２０Ｈｚの間の波長を有するフィルタモジュールと、
   ｉｉｉ）１００〜１０００の利得を有する信号増幅モジュールと、
   ｉｖ）制御及び信号調整ロジックと、を備える、請求項２に記載の携帯型生体認証装置（１）。
4. 前記物理的なセキュリティコンポーネント（４）は、前記携帯型生体認証装置の前記筐体が、硬化したエポキシ樹脂で完全に充填されている、請求項１から３の何れか一項に記載の携帯型生体認証装置（１）。
5. 前記セキュアなメモリユニット（６）は、Ｉ２Ｃプロトコルを使用して暗号化される、請求項１から４の何れか一項に記載の携帯型生体認証装置（１）。
6. 前記ユーザに情報を表示する可視化コンポーネント（８）を更に備える、請求項１から５の何れか一項に記載の携帯型生体認証装置（１）。
7. 前記携帯型生体認証装置は、腕時計又はキーホルダの形態である、請求項１から６の何れか一項に記載の携帯型生体認証装置（１）。
8. ユーザがセキュリティ要素（２００）の開閉を制御することを可能とするべく、携帯型生体認証装置（１）と通信可能に設計されたセキュアな駆動装置（４０）であって、
   前記携帯型生体認証装置（１）と暗号化された情報をやりとりし、前記暗号化された情報にはユーザの生体認証データが含まれる、通信ユニット（１１）と、
   不正な改ざんの結果生じる前記セキュアな駆動装置（４０）の筐体の変形を検出する複数のマイクロスイッチによって構成される物理的なセキュリティコンポーネント（１２）と、
   前記携帯型生体認証装置から受信した前記暗号化された情報を復号化するように構成されたプロセッサ（１３）と、
   前記プロセッサ（１３）と通信可能に接続されるセキュアなメモリユニット（１４）と、
   前記受信した情報に含まれるユーザからのコマンドに従って、外部要素（２００）を開閉する少なくとも一つのアクチュエータ（１５）と、を備える、セキュアな駆動装置（４０）。
9. セキュアな通信のための生体認証システムであって、
   請求項１から７の何れか一項に記載の携帯型生体認証装置（１）と、
   前記携帯型生体認証装置（１）と通信可能に接続され、ユーザの生体認証データを含む暗号化された情報を、前記携帯型生体認証装置（１）から受信する、ゲートウェイ装置（２０）と、
   前記ゲートウェイ装置（２０）から前記ユーザの前記生体認証データを含む前記暗号化された情報を受信し、前記データが許可されたユーザに対応しているかをチェックする、許可済ユーザ生体認証データセンタ（３０）と、を備える、生体認証システム。
10. 請求項８に記載のセキュアな駆動装置（４０）を更に備え、前記プロセッサ（１３）は、前記暗号化された情報を受信すると、同期化段階を実行する受信機であり、かつ、暗号化段階と完全に対称な復号化処理により、前記暗号化された情報を復号化する、請求項９に記載のセキュアな通信のための生体認証システム。
11. インターネットを介して、セキュアなオペレーションを接続先サーバ（１００）と行うシステムの動作方法であって、
    請求項１から７の何れか一項に記載の携帯型生体認証装置（１）がユーザに本人確認を要求する段階と、
    前記ユーザが自身の生体認証データを前記携帯型生体認証装置（１）に入力する段階と、
    前記携帯型生体認証装置（１）が、ＩＤデータを含む暗号化されたメッセージを、ゲートウェイ装置（２０）を介して生体認証データセンタ（３０）に送信する段階と、
    前記生体認証データセンタ（３０）は受信したメッセージを復号化して、前記ＩＤデータが、許可されているユーザに一致するかをチェックし、応答を前記ゲートウェイ装置（２０）に送信する段階と、
    前記ゲートウェイ装置（２０）が、前記生体認証データセンタ（３０）から受信した前記応答に基づいて、前記接続先サーバ（１００）への前記ユーザのアクセスを許可する又は拒否する段階と、を備える、方法。
12. アクセスが許可された場合、前記ゲートウェイ装置（２０）を使用して、前記ユーザが前記接続先サーバ（１００）に送信すべきデータを入力する段階と、
    前記携帯型生体認証装置（１）が、前記ＩＤデータと共に、受信した前記データを暗号化して、暗号化したメッセージを生成し、当該メッセージを前記ゲートウェイ装置（２０）を介して前記生体認証データセンタ（３０）に送信する段階と、
    前記生体認証データセンタ（３０）は、前記受信したメッセージを復号化して、前記ＩＤデータが許可されたユーザに対応するかを再びチェックし、対応する場合には、前記接続先サーバ（１００）が使用するアルゴリズムに対応するアルゴリズムに従って、送信すべき前記データを再び暗号化する段階と、 前記生体認証データセンタ（３０）は前記送信すべきデータを、前記接続先サ―バ（１００）に送信する段階と、を更に備える、請求項１１に記載の方法。
13. 前記携帯型生体認証装置（１）によって暗号化されたメッセージを生成する段階は、
    前記送信すべきデータ、前記ユーザの新たな生体認証データ、タイムスタンプ及びパケット番号をメッセージに含める段階を有する、請求項１２に記載の方法。
14. セキュリティ要素（２００）を制御するシステムの動作方法であって、
    ユーザが、本人確認を行うべく自身の生体認証データを入力する段階と、
    請求項１から７の何れか一項に記載の携帯型生体認証装置（１）が、セキュリティ要素（２００）に対する制御コマンドを含む暗号化されたメッセージをセキュアな駆動装置（４０）へと送信する段階と、
    前記セキュアな駆動装置（４０）が、前記メッセージを復号化して、前記ユーザが許可されたユーザであるかをチェックする段階と、
    応答が肯定的であった場合には、前記セキュアな駆動装置はアクチュエータを使用して前記セキュリティ要素に作用する段階と、を備える、方法。