JPH11143833A

JPH11143833A - 生体データによるユーザ確認システム及びｉｃカード並びに記録媒体

Info

Publication number: JPH11143833A
Application number: JP9313390A
Authority: JP
Inventors: Kouki Yamada; 貢己山田
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1997-11-14
Filing date: 1997-11-14
Publication date: 1999-05-28

Abstract

(57)【要約】【課題】生体データを高い安全性でもってユーザ手元
の管理範囲に置いて守ることができ、ユーザの抵抗感及
び生体データの漏洩危険性を低減する。【解決手段】生体測定を行うセンサ１１、生体データ
を保持する生体データ保持部１２、並びに、センサによ
り測定された測定情報と生体データ保持部内の生体デー
タとを照合するとともに、照合結果より本人と確認され
たときにはその旨の通知を出力する照合計算部１３を備
えた耐タンパー性のセンサモジュール１ａと、通知を受
けると、ユーザ確認がされたことに対応してなされるデ
ータ出力を実行するＩＣカード３ａ，１７，１９と、セ
ンサモジュールとＩＣカードとの間の通信を行う通信手
段２ａとからなる生体データによるユーザ確認システ
ム。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ＩＣカードを利
用したデジタル署名処理や、計算機ソフトウェアの使用
権限確認、あるいはデータ暗号化処理の使用権限確認等
を便利且つ安全に行うための生体データによるユーザ確
認システム及びＩＣカード並びに記録媒体に関する。

【０００２】

【従来の技術】従来からユーザを確認するのにクレジッ
トカードや入退室管理カード等，主に磁気カードが使わ
れている。これに対し、最近、カードの偽造や情報漏洩
を防ぐ効果等を期待して、半導体チップを内蔵した高セ
キュリティで高機能のＩＣカードが使われ始めている。

【０００３】しかしながら、ＩＣカードを利用しても、
紛失や盗難により他人に不正使用されたり、紛失と偽っ
て不正使用することに対して、それを防ぐことが難し
い。

【０００４】ＩＣカードに対応したパスワードを登録す
ることにより不正使用を減らそうとすることが行われて
いるが、パスワードは記憶することが煩わしく、忘れて
しまう危険性や、メモを他人に読まれたりして漏洩する
危険性があり、決して便利であるとは言えない。

【０００５】最近では、指紋や掌型のような生体データ
を測定して本人を確認する技術であるバイオメトリクス
とＩＣカードとを組み合わせて入退室管理やアクセス制
御を行おうとする動きがある。これによって、カードの
紛失、盗難、漏洩、忘却等により生じる各種問題は解決
すると思われる。

【０００６】しかし、一方でパスワードのような自由に
創造できるものではなく唯一無二の自分の身体の情報
（生体データ）がどこかに登録されているということに
対するユーザの抵抗感や、それが漏洩したときにパスワ
ードのような変更が効かないという弱点及び漏洩トラブ
ルに対するユーザの不安感が根強く残っている。したが
って、バイオメトリクスをユーザ確認に用いる場合に
は、上記抵抗感が少なくなるような技術を提案し、ま
た、生体データの漏洩を効果的に防止できるシステムを
構築する必要がある。

【０００７】さらに、通常ＩＣカードを用いないことの
多い計算機ソフトウェアの使用権限確認を行う環境にお
いては、生体データを安全に保持する媒体が無く、バイ
オメトリクスを利用する場合には生体データを計算機の
記憶媒体上に格納するしかない。しかし、この場合には
リバースエンジニアリングによって生体データが漏洩す
る危険性がある。

【０００８】

【発明が解決しようとする課題】上述したように、従来
のＩＣカードとパスワードを併用する技術では、煩わし
さ、忘却あるいは漏洩の危険性といった問題点がある。

【０００９】また、ＩＣカードとバイオメトリクスの併
用では、自分の身体の情報（生体データ）が登録される
ことへの抵抗感や、生体データが第三者へ漏洩する危険
性が残っている。

【００１０】さらに、ＩＣカードを用いない環境におい
てバイオメトリクスを利用して使用権限の確認をする場
合には、生体データを安全に記録する方法が無かった。

【００１１】本発明は、上記事情を考慮してなされたも
ので、生体データを高い安全性でもってユーザ手元の管
理範囲に置いて守ることができ、ひいてはユーザの抵抗
感及び生体データの漏洩危険性を低減することを可能と
し、さらに使用上の煩わしさが少なくユーザ確認の確実
性が高い生体データによるユーザ確認システム及びＩＣ
カード並びに記録媒体を提供することを目的とする。

【００１２】

【課題を解決するための手段】上記課題を解決するため
に、請求項１に対応する発明は、生体測定を行うセン
サ、生体データを保持する生体データ保持部、並びに、
センサにより測定された測定情報と生体データ保持部内
の生体データとを照合するとともに、照合結果より本人
と確認されたときにはその旨の通知を出力する照合計算
部を備えた耐タンパー性のセンサモジュールと、通知を
受けると、ユーザ確認がされたことに対応してなされる
データ出力を実行するＩＣカードと、センサモジュール
とＩＣカードとの間の通信を行う通信手段とからなる生
体データによるユーザ確認システムである。

【００１３】本発明はこのような手段を設けたので、生
体データ保持部内の生体データが耐タンパー性のセンサ
モジュールに保護され、生体データを高い安全性でもっ
て守ることができ、生体データの漏洩危険性を低減する
とともに、さらに使用上の煩わしさを少なくしユーザ本
人確認の確実性を高くすることができる。

【００１４】次に、請求項２に対応する発明は、生体測
定を行うセンサを備えたセンサモジュールと、生体デー
タを保持する生体データ保持部、センサにより測定され
た測定情報と生体データ保持部内の生体データとを照合
するとともに、照合結果より本人と確認されたときには
その旨の通知を出力する照合計算部、並びに、通知を受
けると、ユーザ確認がされたことに対応してなされるデ
ータ出力を実行する演算処理部を備えた耐タンパー性の
ＩＣカードと、センサモジュールとＩＣカードとの間の
通信を行う通信手段とからなる生体データによるユーザ
確認システムである。

【００１５】本発明はこのような手段を設けたので、請
求項１に対応する発明と同様な効果が得られる他、生体
データ保持部を耐タンパー性のＩＣカードに設けたこと
で生体データを高い安全性でもってユーザ手元の管理範
囲に置いて守ることができ、ひいてはユーザの抵抗感を
低減させることができる。

【００１６】次に、請求項３に対応する発明は、生体測
定を行うセンサ、暗号化された生体データを受信しこれ
を復号化する復号部、並びに、センサにより測定された
測定情報と復号化された生体データとを照合するととも
に、照合結果より本人と確認されたときにはその旨の通
知を出力する照合計算部を備えたセンサモジュールと、
暗号化された生体データを保持するとともに、当該暗号
化された生体データを前記センサモジュールに送出する
生体データ保持部、並びに、照合計算部からの通知を受
けると、ユーザ確認がされたことに対応してなされるデ
ータ出力を実行する演算処理部を備えた耐タンパー性の
ＩＣカードと、センサモジュールとＩＣカードとの間の
通信を行う通信手段とからなる生体データによるユーザ
確認システムである。

【００１７】本発明はこのような手段を設けたので、請
求項２に対応する発明と同様な効果を得ることができ
る。

【００１８】また、請求項４に対応する発明は、請求項
３に対応する発明において、センサモジュールに耐タン
パー性を持たせた生体データによるユーザ確認システム
である。

【００１９】本発明はこのような手段を設けたので、請
求項３に対応する発明と同様な効果を得ることができる
他、生体データ等の安全性を一層高めることができる。

【００２０】さらに、請求項５に対応する発明は、生体
測定を行うセンサを備えたセンサモジュールと、暗号化
された生体データを受信しこれを復号化する復号部、並
びに、センサにより測定された測定情報と復号化された
生体データとを照合するとともに、照合結果より本人と
確認されたときにはその旨の通知を出力する照合計算部
を備えたコンピュータと、暗号化された生体データを保
持するとともに、当該暗号化された生体データをコンピ
ュータに送出する生体データ保持部、並びに、照合計算
部からの通知を受けると、ユーザ確認がされたことに対
応してなされるデータ出力を実行する演算処理部を備え
た耐タンパー性のＩＣカードと、センサモジュールとＩ
Ｃカードとコンピュータとの間の通信を行う通信手段と
からなる生体データによるユーザ確認システムである。

【００２１】本発明はこのような手段を設けたので、請
求項２に対応する発明と同様な効果をある程度は得られ
るとともに、簡易にかつ安価なシステムを構築すること
ができる。

【００２２】さらにまた、請求項６に対応する発明は、
請求項１〜５に対応する発明において、ＩＣカードはユ
ーザ本人のデジタル署名を行う署名手段を備え、ユーザ
確認がされたことに対応してなされるデータ出力には、
署名手段によるデジタル署名が含まれる生体データによ
るユーザ確認システムである。

【００２３】本発明はこのような手段を設けたので、請
求項１〜５に対応する発明と同様な効果が得られる他、
ＩＣカードを用いたデジタル署名システムを構築するこ
とができる。

【００２４】一方、請求項７に対応する発明は、生体測
定を行うセンサを備えたセンサモジュールと、ユーザ本
人のログオンパスワードにより暗号化された生体データ
を、ユーザ要求に対応した権限を当該ユーザが有するこ
とを示す情報として保持する生体データ保持部、並び
に、ユーザ要求及びログオンパスワードが入力されたと
きに生体データ保持部の生体データをログオンパスワー
ドにより復号化するとともに、この復号化された生体デ
ータとセンサにより測定された測定情報とを照合し、そ
の照合結果により本人及び権限が確認されたときには、
ユーザ要求を実施すべき旨の通知を出力する照合計算部
を備えたコンピュータと、コンピュータとセンサモジュ
ールとの間の通信を行う通信手段とからなる生体データ
によるユーザ確認システムである。

【００２５】本発明はこのような手段を設けたので、パ
スワードで暗号化された生体データはたとえ単独で漏洩
してもその秘密を守ることができ、かつソフトウェアの
使用権限をも守ることができる。また、バイオメトリク
スを用いたユーザ本人確認及び権限確認がなされるよう
になっているので、使用上の煩わしさを少なくしユーザ
本人確認の確実性を高くすることができる。

【００２６】また、請求項８に対応する発明は、生体測
定を行うセンサと、コンピュータと、ＩＣカードとから
なり、ユーザ確認を行うとともにデータの暗号化処理を
行うユーザ確認システムにおいて、ＩＣカードは、耐タ
ンパー性を有し、かつ、生体データを保持する生体デー
タ保持部、データの暗号化処理におけるその一部処理を
実行する第１の暗号計算部、並びに、第１の暗号計算部
での処理に用いられる暗号鍵を保持する暗号鍵保持部を
少なくとも備えており、コンピュータは、ユーザ確認通
知を受けるとデータの暗号化処理における他の処理を実
行する第２の暗号計算部を少なくとも備えており、さら
に、センサにより測定された測定情報と生体データ保持
部内の生体データとを照合するとともに、照合結果より
本人と確認されたときには第２の暗号計算部にユーザ確
認通知を出力する照合計算手段と、センサとＩＣカード
とコンピュータとの間の通信を行う通信手段とからなる
生体データによるユーザ確認システムである。

【００２７】本発明はこのような手段を設けたので、生
体データ及び暗号鍵が耐タンパー性の高いＩＣカードに
格納され、確実なユーザ本人確認がなされた後に暗号化
処理を実行することができる。また、ＩＣカードとコン
ピュータとで暗号化処理を分担するようにしているの
で、極めて秘匿性の高い暗号化を実現することができ
る。

【００２８】さらに、請求項９に対応する発明は、コン
ピュータに、ユーザ本人のログオンパスワードにより暗
号化された生体データを、ユーザ要求に対応した権限を
当該ユーザが有することを示す情報として保持する生体
データ保持機能と、ユーザ要求及びログオンパスワード
が入力されたときに生体データをログオンパスワードに
より復号化するとともに、この復号化された生体データ
と生体測定された測定情報とを照合し、その照合結果に
より本人及び権限が確認されたときには、ユーザ要求を
実施すべき旨の通知を出力する照合計算機能とを実現さ
せるためのプログラムを記録したコンピュータ読み取り
可能な記録媒体である。

【００２９】本発明はこのような手段を設けたので、請
求項７に記載した生体データによるユーザ確認システム
におけるコンピュータの動作を実現させることができ
る。

【００３０】さらにまた、請求項１０に対応する発明
は、コンピュータに、ユーザ確認通知を受けた場合に
は、データの暗号化処理における一部処理を実行すると
ともに、このデータ暗号化処理における他の処理の処理
結果を外部から受け取り、その処理結果を用いて暗号化
処理を完成させる暗号計算機能と、生体測定された測定
情報とユーザ確認用の生体データとを照合するととも
に、照合結果よりユーザ本人と確認されたときには暗号
計算機能にユーザ確認通知を行う照合計算機能とを実現
させるためのプログラムを記録したコンピュータ読み取
り可能な記録媒体である。

【００３１】本発明はこのような手段を設けたので、請
求項８に記載した生体データによるユーザ確認システム
におけるコンピュータの動作を実現させることができ
る。

【００３２】一方、請求項１１に対応する発明は、暗号
化された生体データを保持するとともに、この暗号化さ
れた生体データを外部装置に出力する生体データ保持手
段と、生体データと生体測定された測定情報とによりユ
ーザ本人と確認された旨の照合結果を外部装置から通知
されると、ユーザ確認がされたことに対応してなされる
データ出力を実行する演算処理手段とを備え、かつ耐タ
ンパー性を有することを特徴とするＩＣカードである。

【００３３】本発明はこのような手段を設けたので、請
求項３又は５に記載した生体データによるユーザ確認シ
ステムにおけるＩＣカードの動作を実現させることがで
きる。

【００３４】次に、請求項１２に対応する発明は、請求
項１１に対応する発明において、外部装置は、生体測定
を行うセンサを有するセンサモジュールであるＩＣカー
ドである。

【００３５】本発明はこのような手段を設けたので、請
求項３又は４に記載した生体データによるユーザ確認シ
ステムにおけるＩＣカードの動作を実現させることがで
きる。

【００３６】また、請求項１３に対応する発明は、請求
項１１に対応する発明において、外部装置は、コンピュ
ータであるＩＣカードである。

【００３７】本発明はこのような手段を設けたので、請
求項５に記載した生体データによるユーザ確認システム
におけるＩＣカードの動作を実現させることができる。

【００３８】さらに、請求項１４に対応する発明は、請
求項１１〜１３に対応する発明において、演算処理手段
はユーザ本人のデジタル署名を行う署名手段を備え、ユ
ーザ確認がされたことに対応してなされるデータ出力に
は、署名手段によるデジタル署名が含まれるＩＣカード
である。

【００３９】本発明はこのような手段を設けたので、請
求項３〜５に対応する発明のうち、さらに請求項６の手
段も有する生体データによるユーザ確認システムにおけ
るＩＣカードの動作を実現させることができる。

【００４０】また、請求項１５に対応する発明は、生体
データを保持するとともに、この生体データを用いてユ
ーザ確認を行う外部装置に生体データを出力する生体デ
ータ保持手段と、データの暗号化処理における一部処理
を暗号鍵を用いて実行するとともに、このデータの暗号
化処理における他の処理を行う外部装置に一部処理の処
理結果を出力する暗号計算手段と、暗号鍵を保持する暗
号鍵保持手段とを備え、かつ耐タンパー性を有するＩＣ
カードである。

【００４１】本発明はこのような手段を設けたので、請
求項８に記載した生体データによるユーザ確認システム
におけるＩＣカードの動作を実現させることができる。

【００４２】

【発明の実施の形態】以下、本発明の実施の形態につい
て説明する。

【００４３】本発明は、すでに述べたように、１）生体
データの漏洩危険性を低減させること、２）自己の生体
データを情報機器を格納することに対するユーザの抵抗
感を低減させること、を目的としており、上記１）、
２）の何れか若しくは両方を実現できる手段を提供する
ものである。

【００４４】特に、発明者らは、生体データによるユー
ザ確認システムの一形態としてのＩＣカード署名システ
ムに、バイオメトリクスを適用させる場合にいかなるシ
ステムを構築すれば上記目的を実現できるかについて種
々検討した。ここで、ＩＣカード署名システムとは、Ｉ
Ｃカード内部のデジタル署名機能を作動させる機能をも
ったＩＣカードを利用し、そのデジタル署名により、機
密情報の電子メールによる送付、インターネット上の買
い物等を実現させるシステムである。このシステムにバ
イオメトリクスを適用させた場合には、指紋等の生体デ
ータについてのセンサ測定情報との照合結果に基づき本
人確認を行い、その上でＩＣカードの上記デジタル署名
機能を作動させることになる。

【００４５】発明者らは、まず、バイオメトリクスを適
用させたＩＣカード署名システム（以下、単にＩＣカー
ド署名システム又はシステムともいう）を構成し得る要
素として４つのモジュール、つまりＩＣカード、センサ
モジュール、コンピュータ（ＰＣ、ＩＣカードリーダ／
ライタ含む）、サーバーについて検討した。次に、ＩＣ
カード署名システムにおいて行われる処理（生体（登
録）データ記録、照合計算）をそれぞれどのモジュール
で行えば本発明の目的を達成できるかについて検討し
た。

【００４６】図１５はバイオメトリクスを適用させたＩ
Ｃカード署名システムにおける構成要素及びその組み合
わせ結果を示す図である。

【００４７】図１５に示す各候補システムのうち、生体
データがユーザの手元には無い中央処理装置に登録され
ることを嫌うユーザが存在することを考慮し、ローカル
な処理によってＩＣカードの所有者確認を行うことを優
先する。そのためサーバーを利用するものは、検討のこ
の時点では除外した。生体データをユーザ手元の管理範
囲に置いて守ることができるシステムであれば、ユーザ
の抵抗感を低減させることができると考えられるからで
ある。ただし、技術成果の結実である発明を解釈するに
当たり、上記ユーザ抵抗感に関し特に問題がない場合に
は、請求項に記載された範囲内であれば、サーバー等を
利用する技術も発明範囲に含まれるものである。

【００４８】次に、同一の端末（センサ、ＰＣ）を不特
定多数で使用可能であること、さらに、同一人物が不特
定の端末で使用可能であることの利便性を考慮し、ＩＣ
カードに生体データを保持するものは候補システムとし
て残した。

【００４９】なお、生体データ保持と照合計算部を一つ
の耐タンパー性のモジュール内（ＩＣカード又はセンサ
モジュール）においたものは候補とした残した。この場
合、生体データ〜照合計算部間の通信が不要となりプロ
トコルが単純になり、セキュリティも高くできるからで
ある。ここで、耐タンパー性とは、内部の物や情報を原
形のまま容易には外部に取り出せないような仕組みを有
した性質のことである。この耐タンパー性を実現するに
は種々の方法が考えられるが、その方法の具体的な例に
ついては後述する。

【００５０】こうして図１５に示すように、多くの組み
合わせの中から特に有効と思われる候補システムを５つ
見出した。なお、同図中、「ＰＩＮ」と記したものは、
ＩＣカードとＰＣ等との間で機器認証を行うための識別
コードであり、署名鍵とは区別している。

【００５１】以下、図１５に示す候補システムに対応し
てなされた発明について第１の実施形態から第５の実施
形態において説明し、さらに、同図に示さない他のシス
テムについて第６の実施形態から第８の実施形態におい
て説明する。

【００５２】（発明の第１の実施の形態）図１は本発明
の第１の実施の形態に係る生体データによるユーザ確認
システムの一例を示す構成図である。

【００５３】このユーザ確認システムは、図１５の候補
システムのうちの耐タンパーモジュール一体型であり、
センサモジュール１ａと、コンピュータ２ａと、ＩＣカ
ード３ａとから構成されている。このシステムでは、セ
ンサモジュール１ａ側で生体データ保持と照合計算を行
い、ＩＣカード３ａ側では署名処理のみを行うセンサモ
ジュール１ａは、センサ１１と、生体データ保持部１２
と、照合処理部１３と、同定文字列格納部１４とから構
成されている。なお、特に図示しないが、このセンサモ
ジュール１ａには、ＣＰＵ、メモリ等が内蔵され、各種
情報処理が実行できるようなっている。

【００５４】ここで、センサ１１は、生体測定として指
紋を測定し電子化情報とする手段であり、生体データ保
持部１２には各ユーザの生体データが格納されている。
また、照合計算部１３は、測定されたセンサ情報と生体
データを照合し、ユーザ本人か否かを判定するととも
に、ユーザ本人であった場合には、その旨の出力を通知
する手段である。なお、本実施形態では、照合処理部１
３は、同定文字列格納部１４の同定文字列（以下単にパ
スワードともいう）をコンピュータ２ａを介してＩＣカ
ード３ａに出力するようになっている。

【００５５】ここで、センサモジュール１ａは、スタン
ドアロン型であり、耐タンパー性を有するものである。
なおスタンドアロン型とは耐タンパーセンサモジュール
内に少なくともセンサ１１と照合計算部１３を持つもの
である。このシステムのセキュリティは、主にセンサモ
ジュール１ａ内の生体データと照合計算部１３の耐タン
パー性によっている。このために、センサモジュール１
ａにおけるセンサ１１以外の各部が１チップのＩＣによ
り構成されている。また、モジュール各構成部分は強固
な筐体に格納され、その蓋が開かないようになってい
る。さらに、強制的に蓋を開けると、生体データ保持部
１２、照合処理部１３及び同定文字列格納部１４が格納
されるＩＣチップ自体が破壊されるような仕組みになっ
ている。本実施形態ではこの筐体を壁に埋め込んで更な
る耐タンパー性を確保している。

【００５６】また、センサ１１以外の各部１２，１３，
１４を１チップのＩＣで構成したこと自体が耐タンパー
性を確保することにつながっている。例えばパスワード
情報を磁気カードに格納した場合、磁気カードにはその
磁気テープ表面に情報がそのまま保持されているので、
情報保持の構造さえわかれば容易に上記パスワード情報
を読み取ることができ、耐タンパー性が低い。これに対
してＩＣチップに情報を格納する場合は、そのチップ端
子からコマンド等を電気信号として入力して初めて情報
が端子から得られることになる。この操作を実行するの
は高い技術が必要であり、その分耐タンパー性が高いと
言える。

【００５７】また、本実施形態の場合、生体データは同
一のＩＣチップ内でのみ使用されるため、外部出力は不
要であり、耐タンパー性を高めるべく生体データの外部
出力はできないように構成されている。

【００５８】なお、本明細書において、耐タンパー性を
有するといった場合には、上記仕組みの何れかあるいは
すべてが組み合わされ、また、その他の考え得る措置が
取られているものである。また、ここでは、センサモジ
ュールの場合で説明したが、ＩＣカード等の場合でも同
様な措置により耐タンパー性を高めることができる。特
に、ＩＣカードの場合は、例えばその筐体を開くと鉄粉
が配線上に飛び散り、保持情報をすべて消失させるよう
な仕組みを設けることも可能である。

【００５９】また、最低限の議論として、単に耐タンパ
ー性があるかないかを考えるときには、例えば保護した
い内容が１つのＩＣチップ内に納められているような場
合には耐タンパー性はあると言えるであろう。

【００６０】次に、コンピュータ２ａには、コマンド出
力部１５と、メッセージ出力部１６とが設けられてい
る。また、コンピュータ２ａにはＩＣカードリーダ＆ラ
イタが含まれ、この点は以下の各実施形態でも同様であ
る。

【００６１】さらにコンピュータ２ａは特に図示しない
が、ブラウザ等の種々のアプリケーションプログラムを
実行することが可能であり、本実施形態ではインターネ
ット４に接続されている。

【００６２】インターネット４では更にバーチャルモー
ルに接続されており、コンピュータ２ａからオンライン
ショッピングができるようになっている。コンピュータ
２ａに示される符号「Ｃ」は演算（デジタル署名処理
等）されたメッセージであるが、後述する本実施形態の
動作例ではバーチャルモールに対する物品購入等の要求
出力を示している。

【００６３】ＩＣカード３ａは、確認処理部１７と、同
定文字列格納部１８と、演算処理部１９と、秘密鍵保持
部２０とを備えており、これら各部を実現するＣＰＵや
メモリ等の資源が１チップのＩＣに納められたものであ
る。

【００６４】確認処理部１７は、センサモジュール１ａ
からの同定文字列をＩＣカード内の同定文字列格納部１
８に格納された同定文字列（パスワード）と比較し、そ
の確認結果を演算処理部１９に通知する。つまり、セン
サモジュール１ａとＩＣカード３ａは、本人が確認され
たか否かの情報をセンサモジュールからＩＣカードへ秘
密裏に伝えるための同定文字列を共有していることにな
る。具体的には、ＩＣカード側の同定文字列はセンサモ
ジュール側の同定文字列と同一であるか、或いは、ちょ
うどＵＮＩＸにおける暗号化パスワードのように、セン
サモジュール側の同定文字列を暗号化したものでもよ
い。要するにセンサモジュールから送られた同定文字列
に対応して唯一のＩＣカード内同定文字列が対応するよ
うになっている。

【００６５】演算処理部１９は、システム使用者がユー
ザ本人であることの確認通知を確認処理部１７から受け
ると、所定の演算処理を実行して、演算されたメッセー
ジＣを出力する。このメッセージは、例えば入室管理上
の扉開メッセージでもよいし、また例えば計算機等の装
置起動命令でもよい。ここで演算処理部１９は具体的な
一例として、秘密鍵保持部２０に格納される秘密鍵を用
いてデジタル署名を行うとともに、メッセージ出力部１
６の情報を元にインターネット上のバーチャルモールに
物品購入要求を演算されたメッセージＣとして出力す
る。

【００６６】次に、以上のように構成された本発明の実
施の形態に係る生体データによるユーザ確認システムの
動作について説明する。

【００６７】上記したように生体データによるユーザ確
認システムは種々の場合に適用できるが、ここでは、イ
ンターネット上のバーチャルモールに物品購入要求を出
力する場合を例にとってその動作例を説明する。

【００６８】図２は本実施形態の動作例を示す流れ図で
ある。

【００６９】この動作例では、自宅や会社でコンピュー
タ２ａとしてのパーソナルコンピュータ（パソコン）を
立ち上げブラウザソフトを起動し、インターネット４さ
らにはバーチャルモールに接続して物品購入をしようと
する場合を想定している。

【００７０】ユーザは、バーチャルモールにおいて商品
及びその購入数量を選択決定し、パソコン上の購入ボタ
ンをクリックする。この操作により図１に示すようにコ
ンピュータ２ａからコマンド１５がセンサモジュール１
ａ及びＩＣカード３ａに出力され、各種指示等の表示が
コンピュータ２ａ上になされる（ＳＴ１）。

【００７１】ここで、ＩＣカード３ａがシステムに未挿
入の場合には、コンピュータ２ａから「ＩＣカードを挿
入してください」とのメッセージが出され、ユーザによ
りＩＣカード３ａが挿入される（ＳＴ２）。なお、カー
ド挿入に伴いコンピュータ２ａから当該カード３ａに物
品購入処理が開始されたことが通知（コマンド１５）さ
れる。

【００７２】次に、ユーザが自分の指をセンサモジュー
ル１ａのセンサ１１に押し当てると、センサ１１による
生体測定が実行される（ＳＴ３）。

【００７３】次に、測定されたセンサ情報はセンサモジ
ュール１ａの照合計算部１３において生体データと照合
され（ＳＴ４）、本人が確認されれば（ＳＴ５）、同定
文字列格納部１４内の同定文字列（パスワード）がＩＣ
カード３ａに出力される（ＳＴ６）。なお、この処理
は、従来システムにおけるパスワードのキー入力に代わ
るものである。また、センサモジュール１ａからＩＣカ
ード３ａへの同定文字列送出において、ハッカーによる
同定文字列の盗聴の危険性を排除するためには、同定文
字列を生で送る代わりに暗号化すればよい。

【００７４】また、ステップＳＴ５において、本人が確
認できない場合には、システム使用者がユーザ本人でな
い旨が表示され、以降の処理は中止される。

【００７５】ＩＣカード３ａの確認処理部１７において
は、受信した同定文字列がカード内の保持された同定文
字列と比較され、システム使用者がユーザ本人であるこ
とが確認される（ＳＴ７）。本人確認がなされればその
旨が演算処理部１９に通知される。

【００７６】本人確認の通知を受けた演算処理部１９に
より、メッセージ出力部１６からの物品購入情報に基づ
いてメッセージＣが作成されるとともに、そのメッセー
ジＣには秘密鍵保持部２０に保持される秘密鍵によりデ
ジタル署名が行われる（ＳＴ８）。

【００７７】こうして作成され演算されたメッセージＣ
は、コンピュータ２ａからインターネット４に出力さ
れ、バーチャルモールでの物品購入が実現されることに
なる。

【００７８】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、生体データ
保持部１２と生体データによる照合を行う照合計算部１
３とを同一のセンサモジュール１ａ内に格納して生体デ
ータがセンサモジュール１ａ外に出力しないようにし、
かつ、センサモジュール１ａ自体に高い耐タンパー性を
持たせたので、生体データの漏洩危険性をほとんど無く
すことができ、ひいてはこれによって自己の生体データ
を情報機器を格納することに対するユーザの抵抗感を低
減させることができる。

【００７９】また、デジタル署名等を行うに際してパス
ワード入力でなく、本人への生体測定に基づきユーザ確
認をするようにしているので、極めて確実性の高い本人
確認を行うことができる。したがって、例えばＩＣカー
ドが紛失したり、盗まれた場合でも第３者による悪用を
防止することができる。

【００８０】さらに、本システムでは、照合計算部１３
による照合ののち、その結果をパスワードを用いて演算
処理部１９に通知するようにしたので、本人を確認して
からデジタル署名するまでの処理を安全に行うことがで
き、極めてセキュリティの高いＩＣカード署名システム
を実現することができる。したがって、例えばＩＣカー
ドを含めたシステム全体が盗まれるようなことがあって
も、盗難者は生体データを得ることも偽のメッセージＣ
を出力することもできない。なお、このような場合に、
秘密鍵や同定文字列が漏洩しないようにＩＣカード３ａ
自体にも高い耐タンパー性が与えられている。

【００８１】また、本実施形態のシステムではバイオメ
トリクスを利用しているので、パスワード等を記憶して
おく必要もなく、パスワード入力の煩わしさやその忘
却、漏洩の危険性のないシステムを提供することができ
る。

【００８２】さらに、本実施形態では、センサ１１、生
体データ保持部１２、照合処理部１３、同定文字列格納
部１４、確認処理部１７、同定文字列格納部１８、演算
処理部１９及び秘密鍵保持部２０の各構成要件を図１に
示すようにセンサモジュール１ａ及びＩＣカード３ａに
配置したので、上記各効果の他、ＩＣカード利用上のメ
リットも得られる。つまり、従来の署名用のＩＣカード
をほとんどそのまま利用することができる。その意味
で、本実施形態は既カード利用型とも言える。指紋照合
処理の採用を念頭に入れた特殊なＩＣカードを発行する
必要がないため、ソフトウェアの変更だけですぐにシス
テムを導入できる。照合計算部１３がＩＣカード３ａ上
にないためＩＣカードへの負荷を小さくできる。

【００８３】なお、上記動作例ではバーチャルモールで
の買い物の場合で説明したが、より具体的には、例えば
ＳＥＴ (Secure Electronic Transaction)の購入要求へ
の導入が考えられる。ＳＥＴは元来磁気カードを念頭に
置いた仕様であるが、実用形態としてはＩＣカード（＋
パスワード）の使用もできる。カード会員による検証と
購入要求における「会員の秘密鍵で署名」の処理に本実
施形態で説明した技術を導入するとその有用性が高まる
と考えられる。

【００８４】また、本実施形態では、生体データとして
指紋を用いたが、本発明はこれに限られるものでなく、
掌型や声紋、網膜、顔写真等、その他種々の生体データ
を用いる場合にも適用することができる。また、センサ
１１とＩＣカード内のデジタル署名機能部分１９，２０
とが分離しているので、使用するセンサ種類の自由度を
大きくすることができる。

【００８５】さらに、本実施形態のシステムでは、セン
サモジュール１ａの生体データ保持部１２に複数の生体
データをできるようにすることで、個人用のシステムと
してだけでなく、多数人が同一システムを使用できるよ
うにすることも可能である。（発明の第２の実施の形態）図３は本発明の第２の実施
の形態に係る生体データによるユーザ確認システムの一
例を示す構成図であり、図１と同一部分には同一符号を
付して説明を省略し、ここでは異なる部分についてのみ
述べる。

【００８６】このユーザ確認システムは、図１５の候補
システムのうちの万能ＩＣカード型であり、センサモジ
ュール１ｂと、コンピュータ２ｂと、ＩＣカード３ｂと
から構成されている。本システムでは、センサモジュー
ル１ｂではセンサ入力情報送信のみ（簡単なスクランブ
ル処理は行う）を行い、ＩＣカード３ｂ側で署名処理に
加えて生体データ保持と照合計算を行う。

【００８７】図３に示す各構成におけるセンサ１１、生
体データ保持部１２、照合処理部１３、確認処理部１
７、演算処理部１９及び秘密鍵保持部２０の機能は第１
の実施形態の図１に示されるものと同様である。ただ
し、その各部の配置場所が異なっている。

【００８８】すなわち、本実施形態では、センサモジュ
ール１ｂにはセンサ１１のみが設けられている。一方、
ＩＣカード１ｂには、生体データ保持部１２、照合処理
部１３、確認処理部１７、演算処理部１９及び秘密鍵保
持部２０が設けられ、これらは同一ＩＣチップ内に構成
される。なお、コンピュータ２ｂの構成は第１実施形態
のコンピュータ２ａと同様である。

【００８９】各部がこのように配置されることからセン
サモジュール１ｂにはそれほど高い耐タンパー性は必要
ないが、ＩＣカード３ｂには高い耐タンパー性が要求さ
れ、第１の実施形態で説明したような手段で耐タンパー
性が確保されている。

【００９０】次に、以上のように構成された本発明の実
施の形態に係る生体データによるユーザ確認システムの
動作について説明する。

【００９１】ここでも第１の実施形態と同様にインター
ネット４上のバーチャルモールへのアクセスを例にとっ
て説明する。

【００９２】図４は本実施形態の動作例を示す流れ図で
ある。

【００９３】同図において、ステップＳＴ１１からＳＴ
１３までの処理は第１の実施形態の図２ステップＳＴ１
からＳＴ３までと同様である。

【００９４】次に、センサモジュール１ｂからは測定さ
れたセンサ情報がＩＣカード３ｂに送出される（ＳＴ１
４）。センサ情報を受け取ったＩＣカード３ｂでは第１
の実施形態のセンサモジュール１ａ内で処理と同様な照
合が実行される（ＳＴ１５）。なお、この照合処理はＩ
Ｃカード３ｂ内のみで行われるので、耐タンパー性を高
めるため、生体データ保持部１２の生体データはＩＣカ
ード３ｂから外部に出力できない構成となっている。

【００９５】照合により本人確認がなされると（ＳＴ１
６）、その確認結果が演算処理部１９に通知され（ＳＴ
１７）、以下第１実施形態と同様に、デジタル署名等行
われ（ＳＴ１８）、演算されたメッセージＣがバーチャ
ルモールへ出力される（ＳＴ１９）。

【００９６】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、照合処理部
１３と生体データ保持部１２を同一のＩＣカード３ｂに
格納するとともに、当該カード３ｂの耐タンパー性を高
くしたので、生体データの漏洩危険性を低減させること
ができるとともに、生体データを高い安全性でもってユ
ーザ手元の管理範囲（ＩＣカード）に置いて守ることが
でき、自己の生体データを情報機器を格納することに対
するユーザの抵抗感を大幅に低減させることができる。
つまり、個人所有するＩＣカードにセンサ以外の主要な
要素がすべて実装されているため、心理的にも安心感が
強い。

【００９７】また、照合計算部１３と演算処理部１９が
同一ＩＣチップ内に構成されるので、本人を確認してか
らデジタル署名するまでの処理を安全に行うことがで
き、極めてセキュリティの高いＩＣカード署名システム
を実現することができる。

【００９８】また、本実施形態のシステムでは、センサ
モジュール側では比較的原始的な信号処理のみを受け持
たせているので、センサモジュール１ｂの負担を小さく
することができる。

【００９９】万能ＩＣカード型は照合装置に対して特別
な要請は無く、どの型の指紋照合装置でも適用可能であ
る。このシステムのセキュリティはもっぱらＩＣカード
の耐タンパー性に基づいており、暗号通信を用いた工夫
は行っていないためシンプルな構造となっている。ＩＣ
カード３ｂに多くの機能（生体データ保持、照合計算
部、署名処理、署名鍵保持、）を持たせたため、ＩＣカ
ード３ｂへの負荷は大きい。したがって、この用途に限
定した専用のＩＣカードを発行するとより効果的なシス
テム運用が可能となる。

【０１００】なお、本実施形態と上記各実施形態との関
係で共通した構成に対応した効果は、本実施形態におい
ても当然にして得られるものであり、上記何れかの実施
形態で説明した効果についてはここでは説明を省略す
る。

【０１０１】（発明の第３の実施の形態）図５は本発明
の第３の実施の形態に係る生体データによるユーザ確認
システムの一例を示す構成図であり、図１と同一部分に
は同一符号を付して説明を省略し、ここでは異なる部分
についてのみ述べる。

【０１０２】このユーザ確認システムは、図１５の候補
システムのうちのＩＣカードにデータ〜センサ計算型で
あり、センサモジュール１ｃと、コンピュータ２ｃと、
ＩＣカード３ｃとから構成されている。本システムで
は、センサモジュール側で照合計算を行い、ＩＣカード
側に生体データを保持する。

【０１０３】センサモジュール１ｃは、スタンドアロン
型であり、センサ１１と、照合計算部１３と、同定文字
列保持部１４と、復号処理部２１と、復号鍵保持部２２
とから構成されている。

【０１０４】また、ＩＣカード３ｃは、確認処理部１７
と、同定文字列保持部１８と、演算処理部１９と、秘密
鍵保持部２０と、暗号化生体データ保持部１２ｂとから
構成されている。ここで、センサモジュール１ｃ及びＩ
Ｃカード３ｃは耐タンパー性の高い構成となっている。

【０１０５】ＩＣカード３ｃにおける暗号化生体データ
保持部１２ｂには、ＩＣカード保持者の生体データが復
号鍵保持部２２に格納される復号鍵で復号できるように
暗号化され保持されている。

【０１０６】また、センサモジュール１ｃの復号処理部
２１は、ＩＣカード３ｃから受け取った暗号化生体デー
タを復号鍵保持部２２に格納される復号鍵で復号して照
合計算部１３に提供するようなっている。

【０１０７】なお、コンピュータ２ｃは、第１の実施形
態と同様に構成される。

【０１０８】このように構成された本発明の実施の形態
に係る生体データによるユーザ確認システムは次に説明
するように動作する。

【０１０９】ここでも第１の実施形態と同様にインター
ネット４上のバーチャルモールへのアクセスを例にとっ
て説明する。

【０１１０】図６は本実施形態の動作例を示す流れ図で
ある。

【０１１１】同図に示す本実施形態の生体データによる
ユーザ確認システムにおいて、コマンド出力（ＳＴ２
１）及びＩＣカード挿入（ＳＴ２２）、並びに、センサ
による生体測定が行われ（ＳＴ２５）、センサモジュー
ルにおけるセンサ情報と生体データの照合された以降の
処理（ＳＴ２６〜ＳＴ３１）は、図２に示す第１の実施
形態の場合（図２：ＳＴ１〜ＳＴ２並びにＳＴ３〜ＳＴ
９）と同様である。したがって、この部分の処理は説明
を省略する。

【０１１２】本実施形態の特徴は、ＩＣカード３ｃに保
持された暗号化生体データがＩＣカード３ｃからセンサ
モジュール１ｃに送出されるとともに（ＳＴ２３）、そ
の生体データがセンサモジュール１ｃ内の復号処理部２
１及び復号鍵保持部２２の復号鍵により復号され（ＳＴ
２４）、ステップＳＴ２６の照合計算に提供されるとこ
ろにある。

【０１１３】本人確認並びにデジタル署名等の処理体系
をこのような構成動作としたことによる効果について以
下に説明する。

【０１１４】本発明の実施の形態に係る生体データによ
るユーザ確認システムは、個人が所有する演算（例えば
デジタル署名）機能付きＩＣカード３ｃに本人の生体デ
ータを保持し、暗号化された生体データを特定の場所に
常置されたセンサモジュール１ｃに送って当該センサモ
ジュール１ｃにて照合計算を行うようにし、さらにセン
サモジュール１ｃ及びＩＣカード３ｃに高い耐タンパー
性を持たせたので、生体データが漏洩したりＩＣカード
が他人に不正に使用されたりすることなく、安全に演算
（例えばデジタル署名）を行うことができる。

【０１１５】また、生体データは暗号化されてＩＣカー
ド３ｃのみに格納されているので、生体データの漏洩危
険性を低減させることができるとともに、生体データを
高い安全性でもってユーザ手元の管理範囲（ＩＣカー
ド）に置いて守ることができ、自己の生体データを情報
機器を格納することに対するユーザの抵抗感を大幅に低
減させることができる。

【０１１６】さらに、本実施形態のシステムは、多くの
バイオメトリクスセンサ（掌型、網膜など）はその大き
さや仕組みからＩＣカード上に実装できないことや、照
合計算をＩＣカードの中で行うには比較的負荷が大きい
ことを考え合わせると、様々な組み合わせの中でも作り
易くバランスの良いシステムとなっている。

【０１１７】しかしながら、照合を行う度に毎回ＩＣカ
ードから個人の生体データをセンサモジュールの照合計
算部１３へ送る必要があるため、セキュリティ保持のた
めに上記した暗号化処理が行われている。図５は、なる
べく簡素でありながら十分なセキュリティを保つことの
できる例として、センサ側に保持された復号鍵によって
暗号化された生体データをＩＣカードに保持するシステ
ムとなっている。ＩＣカード３ｃに生体データがあり、
高いセキュリティが保持される。

【０１１８】したがって、本実施形態のシステムは、不
特定多数で簡単に利用可能、つまり本システムに対応し
た多くの場所（システム）で使用可能であり利便性が高
い。すなわち、ＩＣカードに個人の生体データを持つた
め、一つのシステムを不特定多数で使う場合に適してい
る。ただし、ＩＣカードに生体データを格納する必要が
あるため、署名用に作られたＩＣカードにさらに生体デ
ータ専用のメモリが追加されている。

【０１１９】構造的にはこのメモリと署名処理の部分は
切り分けられるため、第２の実施形態で示した万能ＩＣ
カード型の場合に比べればＩＣカードの設計変更は容易
である。また、照合計算をセンサモジュール１ｃで行う
のでＩＣカード３ｃの負荷も小さく、現実的なシステム
とすることができる。なお、ハッカーによる同定文字列
の盗聴の危険性を排除するためには同定文字列を暗号化
してＩＣカードに送るのが好ましいことは第１の実施形
態と同様である。

【０１２０】また、暗号化生体データは毎回そのまま同
じものをＩＣカード３ｃからセンサモジュール１ｃ側に
送っているが、登録データと全く同一のセンサ情報は受
け付けないという簡単な仕組みを照合計算部１３内に設
けると、より高いセキュリティが保たれる。というのは
通常バイオメトリクスセンサからの情報には誤差があ
り、登録されているデータと全く同一のデータが取得さ
れることは殆ど有り得ないからである。全く同一のデー
タを拒否することにより正規ユーザの使用を妨げること
無く、不正なコピーなどによって登録データ（生体デー
タ）を入手した侵入者の使用を排除できるという効果が
期待される。

【０１２１】なお、本実施形態と上記各実施形態との関
係で共通した構成に対応した効果は、本実施形態におい
ても当然にして得られるものであり、上記何れかの実施
形態で説明した効果についてはここでは説明を省略す
る。

【０１２２】（発明の第４の実施の形態）図７は本発明
の第４の実施の形態に係る生体データによるユーザ確認
システムの一例を示す構成図であり、図１と同一部分に
は同一符号を付して説明を省略し、ここでは異なる部分
についてのみ述べる。

【０１２３】このユーザ確認システムは、図１５の候補
システムのうちのＩＣカードにデータ〜ＰＣ計算型であ
り、センサモジュール１ｄと、コンピュータ２ｄと、Ｉ
Ｃカード３ｄとから構成されている。このシステムで
は、センサモジュール側ではセンサ入力情報送信のみ
（簡単なスクランブル処理は行う）を行い、ＩＣカード
１ｄに生体データを保持し、コンピュータ（ＰＣ）で照
合計算を行う。

【０１２４】本実施形態のユーザ確認システムでは、Ｉ
Ｃカード３ｄ自体は、第３の実施形態のＩＣカード３ｃ
と同様に構成され、センサモジュール１ｄは、第２の実
施形態のセンサモジュール１ｂと同様に構成されてい
る。

【０１２５】また、コンピュータ２ｄには、第１の実施
形態と同様な構成に加え、第３の実施形態のセンサモジ
ュール１ｃにおけるセンサ１１以外の構成部分が照合機
能部２３として設けられている。なお、この照合機能部
２３は、照合計算部１３と、同定文字列保持部１４と、
復号処理部２１と、復号鍵保持部２２とからなってお
り、ＤＬＬ（ダイナミックリンクライブラリ）とし
て構成させることも可能である。なお、ＤＬＬは、コマ
ンドがスタートしたときに初めて呼ばれるプログラムで
ある。

【０１２６】このように構成された本発明の実施の形態
に係る生体データによるユーザ確認システムの動作につ
いて説明する。

【０１２７】図８は本実施形態の動作例を示す流れ図で
ある。

【０１２８】同図に示すように、本実施形態のユーザ確
認システムは、ステップＳＴ４３〜ＳＴ４８の処理がセ
ンサモジュール１ｄでなくコンピュータ２ｄにより若し
くはコンピュータ２ｄに対して行われる点を除けば、図
６に示す第３の実施形態のシステムと同様に動作する。

【０１２９】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、コンピュー
タ２ｄの内部に照合機能部２３を設けるようにしたの
で、ある程度の生体データの漏洩危険性の低減、並び
に、確実性の高い本人確認機能，すなわちＩＣカードが
紛失したり、盗まれた場合でも第３者による悪用の防止
を可能としつつ、これらの機能を簡単なハードウエアで
実現し経済的でかつ現実性の高いシステムとすることが
できる。

【０１３０】なお、本実施形態と上記各実施形態との関
係で共通した構成に対応した効果は、本実施形態におい
ても当然にして得られるものであり、上記何れかの実施
形態で説明した効果についてはここでは説明を省略す
る。

【０１３１】（発明の第５の実施の形態）図９は本発明
の第５の実施の形態に係る生体データによるユーザ確認
システムの一例を示す構成図であり、図１と同一部分に
は同一符号を付して説明を省略し、ここでは異なる部分
についてのみ述べる。

【０１３２】このユーザ確認システムは、図１５の候補
システムのうちのＩＣカード一体型であり、コンピュー
タ２ｅと、ＩＣカード３ｅとから構成されている。

【０１３３】本実施形態のＩＣカード３ｅには、センサ
１１、生体データ保持部１２、照合処理部１３、演算処
理部１９及び秘密鍵保持部２０が設けられており、これ
らの各構成がセンサ１１も含めてＩＣの１チップ内に納
められている。また、生体データは耐タンパー性を高め
るために外部に出力できないように構成されており、Ｉ
Ｃカード３ｅには、耐タンパー性を高めるための上記各
仕組みが設けられている。

【０１３４】なお、コンピュータ２ｅは、アクセス対象
がＩＣカード３ｅのみであることを除けば第１の実施形
態と同様に構成されている。

【０１３５】このように構成された生体データによるユ
ーザ確認システムの動作は、センサ１１自体がＩＣカー
ド２ｅ内に設けられ、ＩＣカード２ｅにて生体測定が行
われセンサ情報の機器間移動がない点を除けば、第２の
実施形態と同様である。

【０１３６】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、第２の実施
形態の構成を有するＩＣカードにさらにセンサ１１を設
けて秘匿性の高い情報は全てＩＣカード３ｅの内部で処
理するようにしたので、第２の実施形態とその構成が共
通する部分について同様な効果が得られる他、暗号通信
を用いた工夫は不要でありシンプルなプロトコル構造と
することができる。また、耐タンパー性自体も高いもの
とすることができる。

【０１３７】（発明の第６の実施の形態）本実施形態
は、計算機ソフトウェアの使用権限を、生体データを利
用したバイオメトリクスによる個人認証で確認するシス
テムである。本システムは、ＩＣカード等の耐タンパー
性の携帯物を使用することなく、また、生体データが漏
洩したり他人に不正に使用されたりすることなく、ソフ
トウエアの使用許可を安全に行うものである。

【０１３８】図１０は本発明の第６の実施の形態に係る
生体データによるユーザ確認システムの一例を示す構成
図であり、図１と同一部分には同一符号を付して説明を
省略し、ここでは異なる部分についてのみ述べる。

【０１３９】このユーザ確認システムは、センサモジュ
ール１ｆとコンピュータ２ｆとから構成されている。

【０１４０】センサモジュール１ｆは、第２実施形態と
同様に構成されており、センサ１１を備えたものであ
る。

【０１４１】コンピュータ２ｆには、照合計算部３１ａ
と、暗号化生体データ保持部３２ａと、スクリーンセー
バー等の起動対象ソフトウエア３４ａが設けられてい
る。

【０１４２】暗号化生体データ保持部３２ａには、各ユ
ーザのログオンパスワードで予め暗号化された各ユーザ
の生体データが保持されている。

【０１４３】照合計算部３１ａは、生体データとセンサ
測定情報により個人認証を行い、使用権限者と確認でき
れば対象ソフトウェア３４ａに起動命令を出力する。

【０１４４】次に、以上のように構成された本発明の実
施の形態に係る生体データによるユーザ確認システムの
動作について説明する。

【０１４５】まず、対象ソフトウェア３４ａを使い始め
る際に、ユーザにより入力装置（図示せず）を介してロ
グオンパスワード３３ａが入力される。

【０１４６】次に照合計算部３１ａにより、対象ソフト
ウエア３４ａの使用権限を有する暗号化生体データが生
体データ保持部３２ａから読み出され、入力ログオンパ
スワード３３ａによる復号化が行われる。

【０１４７】次に、センサモジュール１ｆにおいて生体
測定が行われ、その測定結果がコンピュータ２ｆの照合
計算部３１ａに送信される。なお、この送信データには
簡単なスクランブルがかけられている。

【０１４８】照合計算部３１ａでは、復号化された生体
データと、受信したセンサ情報を照合し、システムを使
用している者が起動対象のソフトウエア３４ａの使用権
限を有するか否かを確認する。なお、ログオンパスワー
ド３３ａ、復号化された生体データ及び受信したセンサ
情報は揮発性メモリ上にのみ記録され、セッション終了
後はこれらの情報は消えるようになっている。

【０１４９】上記照合計算により、ソフトウエア起動の
要求をしている者が正当な使用権限を有するユーザ本人
であると確認されると、照合計算部３１ａによりその旨
が起動対象ソフトウエア３４ａに通知される。これによ
り、起動対象ソフトウエアの起動処理が開始される。

【０１５０】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、ログオンパ
スワード３３ａを入力することにより、当該ログオンパ
スワードで暗号化された生体データが復号され、バイオ
メトリクスを用いたユーザ本人確認及び権限確認がなさ
れるようになっているので、パスワードで暗号化された
生体データはたとえ単独で漏洩してもその秘密を守るこ
とができ、かつソフトウェアの使用権限をも守ることが
できる。

【０１５１】さらに、パスワード等は揮発性メモリ上に
のみ記録され、セッションを終了すると情報は消え去る
ため、何らかの手段でハードディスク等に記録された不
揮発性の情報を読まれることがあってもパスワード情報
等が盗まれることはない。

【０１５２】なお、本実施形態では、ソフトウエア使用
権限の場合で説明したが、本発明はソフトウエア起動の
場合に限られるものでなく、例えば計算機自体の起動や
各種機器の起動についても本実施形態の技術を適用させ
ることができる。

【０１５３】また、例えば本実施形態の技術を用いてユ
ーザ確認及び権限確認をしつつ計算機の起動をした場合
に、そのユーザが使用権限を有するソフトウエアのリス
トを表示し、以降、リスとアップされたソフトウエアの
使用は自由にできるようにしてもよい。このようにすれ
ば、ソフトウエア起動時に一々生体測定をする必要がな
く、ユーザの負担を軽減することができる。

【０１５４】（発明の第７の実施の形態）図１１は本発
明の第７の実施の形態に係る生体データによるユーザ確
認システムの一例を示す構成図であり、図１と同一部分
には同一符号を付して説明を省略し、ここでは異なる部
分についてのみ述べる。

【０１５５】このユーザ確認システムは、センサモジュ
ール１ｇとコンピュータ２ｇとＩＣカード３ｇとから構
成されている。

【０１５６】センサモジュール１ｇは、第２実施形態と
同様に構成されており、センサ１１を備えたものであ
る。

【０１５７】コンピュータ２ｇには、照合計算部３１ｂ
と、起動対象ソフトウエア３４ｂとが設けられている。

【０１５８】ＩＣカード３ｇには、暗号化された生体デ
ータを保持する暗号化生体データ保持部３２ｂと、この
暗号化生体データを復号するための暗号鍵を保持する暗
号鍵保持部３５と、ログオンパスワードを保持するログ
オンパスワード保持部３６とが設けられている。なお、
ＩＣカード３ｇは高い耐タンパー性を有するものであ
る。

【０１５９】コンピュータ２ｇの照合計算部３１ｂは、
生体データ及びセンサ１１の生体測定結果からユーザ本
人を確認し、その結果を起動対象ソフトウエア３４ｂに
通知する。

【０１６０】次に、以上のように構成された本発明の実
施の形態に係る生体データによるユーザ確認システムの
動作について説明する。

【０１６１】まず、ＩＣカード３ｇが挿入されると、起
動対象ソフトウエア３４ｂによりＩＣカード内のログオ
ンパスワードが読み取られ、照合計算部３１に本人確認
の依頼がなされる。

【０１６２】起動対象ソフトウエア３４ｂに依頼された
照合計算部３１ｂによって、生体測定情報がセンサ１１
に要求されるとともに、ＩＣカード３ｇの暗号化生体デ
ータ保持部３２ｂ及び暗号鍵保持部３５から暗号化生体
データ及びその暗号鍵が読み出される。

【０１６３】これらの情報を受け取った照合計算部３１
ｂは暗号化生体データを復号して生体データを取り出す
とともに、センサ１１から生体測定情報を受け取り、両
者を比較照合してユーザ本人か否か確認する。

【０１６４】本人であることが確認されればその旨が起
動対象ソフトウエア３４ｂに通知され、起動対象ソフト
ウエア３４ｂの起動が開始される。

【０１６５】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、ＩＣカード
３ｇをコンピュータ２ｇに挿入するだけで、暗号鍵で暗
号化された生体データが復号され、バイオメトリクスを
用いたユーザ本人確認及び権限確認がなされるようにな
っているので、暗号鍵で暗号化された生体データはたと
え単独で漏洩してもその秘密を守ることができ、かつソ
フトウェアの使用権限をも守ることができる。

【０１６６】さらに、コンピュータにおいて生体データ
等は揮発性メモリ上にのみ記録され、セッションを終了
すると情報は消え去るため、これらの情報が盗まれるこ
とはない。

【０１６７】なお、本実施形態では、ソフトウエア使用
権限の場合で説明したが、本発明はソフトウエア起動の
場合に限られるものでなく、例えば計算機自体の起動や
各種機器の起動についても本実施形態の技術を適用させ
ることができる。

【０１６８】また、例えば本実施形態の技術を用いてユ
ーザ確認及び権限確認をしつつ計算機の起動をした場合
に、そのユーザが使用権限を有するソフトウエアのリス
トを表示し、以降、リスとアップされたソフトウエアの
使用は自由にできるようにしてもよい。このようにすれ
ば、ソフトウエア起動時に一々生体測定をする必要がな
く、ユーザの負担を軽減することができる。

【０１６９】（発明の第８の実施の形態）本実施形態
は、ファイル暗号化用の暗号鍵を記録したＩＣカードに
生体データも記録することにより、暗号処理のセキュリ
ティを高めたファイル暗号化システムとしてのユーザ確
認システムを提供するものである。

【０１７０】図１２は本発明の第８の実施の形態に係る
生体データによるユーザ確認システムの一例を示す構成
図であり、図１と同一部分には同一符号を付して説明を
省略し、ここでは異なる部分についてのみ述べる。

【０１７１】このユーザ確認システムは、センサモジュ
ール１ｈとコンピュータ２ｈとＩＣカード３ｈと二次記
憶装置としてのハードディスク５とから構成されてい
る。

【０１７２】センサモジュール１ｈは、第２実施形態と
同様に構成されており、センサ１１を備えたものであ
る。コンピュータ２ｈには、照合計算部３１ｃと、暗号
化プログラム３７が設られている。また、ＩＣカード３
ｈには、生体データ保持部３２ｃと、暗号計算部３８
と、暗号鍵保持部３９とが設けられている。さらに、ハ
ードディスク５には、暗号若しくは復号対象となる入力
ファイル４０と、暗号若しくは復号結果としての出力フ
ァイル４１とが設けられている。

【０１７３】照合計算部３１ｃは、生体データとセンサ
情報とからユーザ本人を確認し、暗号化プログラム３７
並びに暗号計算部３８にファイル暗号化開始許可の通知
をするようになっている。

【０１７４】暗号化プログラム３７は、入力ファイル４
０を読み込み、その暗号若しくは復号対象情報を暗号計
算部３８と協力して暗号若しくは復号し、その結果を出
力ファイル４１に出力する。

【０１７５】暗号計算部３８は、暗号化プログラム３７
が行う暗号若しくは復号処理の一部を担っており、自身
が行うその暗号若しくは復号処理部分において暗号鍵保
持部３９の暗号鍵を使用する。

【０１７６】なお、ＩＣカード３ｈは高い耐タンパー性
を有するものである。

【０１７７】次に、以上のように構成された本発明の実
施の形態に係る生体データによるユーザ確認システムの
動作について説明する。

【０１７８】図１３は本実施形態の全体動作を示す流れ
図である。

【０１７９】まず、暗号化プログラム３７の起動を開始
する（ＳＴ６１）。暗号化プログラム３７は照合計算部
３１ｃにシステム使用者が本人であるか否かの確認を依
頼する。

【０１８０】次に挿入されたＩＣカード３ｈから生体デ
ータが照合計算部３１ｃに読み取られる（ＳＴ６２）。
なお、特に図示しないが生体データ保持部３２ｃに格納
され送出される生体データは、本実施形態の方法あるい
は第３の実施形態の方法等で暗号化されたものであり、
照合計算部３１ｃにおいて復号化されて用いられる。

【０１８１】次に、センサ１１による生体測定が行わ
れ、センサ情報が照合計算部３１ｃに送出される（ＳＴ
６３）。なお、この送信データには簡単なスクランブル
がかけられている。

【０１８２】次に、照合計算部３１ｃにて生体データと
センサ情報の照合が行われ、システム使用者がユーザ本
人であるか否かの確認がなされる（ＳＴ６４）。なお、
復号化された生体データ及び受信したセンサ情報は揮発
性メモリ上にのみ記録され、セッション終了後はこれら
の情報は消えるようになっている。

【０１８３】上記照合をした結果、本人でなければエラ
ー表示して終了し、本人と確認されれば、その旨の通知
が暗号化プログラム３７及び暗号計算部３８になされる
（ＳＴ６５）。

【０１８４】これによって、暗号化プログラム３７及び
暗号計算部３８の起動が終了し、ファイルの暗号化処理
が開始される（ＳＴ６６）。

【０１８５】すなわち入力ファイル４０が暗号化プログ
ラム３７に読み込まれ（ＳＴ６７）、暗号化若しくは復
号化処理が実行されて（ＳＴ６８）、その結果が出力フ
ァイルに出力され（ＳＴ６９）、一連の処理が終了す
る。

【０１８６】次に、ステップＳＴ６８における暗号化処
理について詳しく説明する。

【０１８７】図１４は本実施形態における暗号化処理を
示す流れ図である。

【０１８８】まず、暗号化プログラム３７において、暗
号化の鍵として乱数が発生され（ＳＴ７１）、当該乱数
を鍵として読み込まれた暗号化対象データ（平文）が暗
号化される（ＳＴ７２）。

【０１８９】この乱数はＩＣカード３ｈ内の暗号計算部
３８に送出され（ＳＴ７３）、この暗号計算部３８にお
いて暗号鍵保持部３９内の暗号鍵により暗号化される
（ＳＴ７４）。

【０１９０】暗号化した乱数は暗号計算部３８によって
コンピュータ２ｈの暗号化プログラム３７に送出される
（ＳＴ７５）。

【０１９１】受信された暗号化乱数は、暗号化プログラ
ム３７によってステップＳＴ７２で平文を暗号化した暗
号文のヘッダとして付加され、全体として一つの暗号文
が構成される（ＳＴ７６）。すなわち、ステップＳＴ７
２で暗号化されたものを暗号文本体とし、ステップＳＴ
７５で暗号化された乱数をヘッダとして暗号文を生成す
る。

【０１９２】こうして生成された暗号文がハードディス
ク５に出力されることになる。

【０１９３】一方、図１３のステップＳＴ６８における
復号化処理は上記暗号化処理の逆の処理が行われること
になる。

【０１９４】すなわちまず、暗号化プログラム３７は、
復号対象の暗号文におけるヘッダのみを暗号計算部３８
に送り、暗号計算部３８ではそのヘッダを暗号鍵保持部
３９内の鍵で復号する。

【０１９５】こうして復号された情報は、復号対象の暗
号文の本文を暗号化するのに用いた鍵としての乱数であ
る。

【０１９６】この取り出された乱数が暗号計算部３８か
ら暗号化プログラム３７に送出される。この乱数を受信
した暗号化プログラム３７は、受信乱数により暗号文本
文を復号し、もとの平文を取り出す。

【０１９７】こうして復号された平文がハードディスク
５に出力されることになる。

【０１９８】上述したように、本発明の実施の形態に係
る生体データによるユーザ確認システムは、生体データ
及び乱数用の暗号鍵を耐タンパー性の高いＩＣカード３
ｈに格納するようにしたので、極めて秘匿性の高い暗号
化処理を確実にユーザ本人確認してから実行することが
できる。

【０１９９】また、本実施形態では乱数を用いた間接的
な暗号化処理を行うようにしたので、暗号化処理と復号
処理を行うたびに異なる乱数が使われ、万一１個の乱数
が解読されても、次回の暗号化処理と復号処理の秘密は
守られ、確実なユーザ確認と高セキュリティと兼ね備え
た暗号化システムを実現することができる。

【０２００】さらに、上記暗号復号処理に使用されるＩ
Ｃカード３ｈ内の暗号鍵はＩＣカード内の暗号計算部３
８でのみ使われ、ＩＣカード３ｈの外部には出ることは
なく、かつ、この暗号鍵は耐タンパー性の高いＩＣカー
ド３ｈ内に格納されているので、暗号の秘匿性をより高
めることができる。

【０２０１】なお、本発明は、上記各実施の形態に限定
されるものでなく、その要旨を逸脱しない範囲で種々に
変形することが可能である。

【０２０２】また、実施形態に記載した手法は、計算機
（コンピュータ）に実行させることができるプログラム
（ソフトウエア手段）として、例えば磁気ディスク（フ
ロッピーディスク、ハードディスク等）、光ディスク
（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒
体に格納し、また通信媒体により伝送して頒布すること
もできる。なお、媒体側に格納されるプログラムには、
計算機に実行させるソフトウエア手段（実行プログラム
のみならずテーブルやデータ構造も含む）を計算機内に
構成させる設定プログラムをも含むものである。本装置
を実現する計算機は、記憶媒体に記録されたプログラム
を読み込み、また場合により設定プログラムによりソフ
トウエア手段を構築し、このソフトウエア手段によって
動作が制御されることにより上述した処理を実行する。

【０２０３】

【発明の効果】以上詳記したように本発明によれば、生
体データを高い安全性でもってユーザ手元の管理範囲に
置いて守ることができ、ひいてはユーザの抵抗感及び生
体データの漏洩危険性を低減することを可能とし、さら
に使用上の煩わしさが少なくユーザ確認の確実性が高い
生体データによるユーザ確認システム及びＩＣカード並
びに記録媒体を提供することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係る生体データに
よるユーザ確認システムの一例を示す構成図。

【図２】同実施形態の動作例を示す流れ図。

【図３】本発明の第２の実施の形態に係る生体データに
よるユーザ確認システムの一例を示す構成図。

【図４】同実施形態の動作例を示す流れ図。

【図５】本発明の第３の実施の形態に係る生体データに
よるユーザ確認システムの一例を示す構成図。

【図６】実施形態の動作例を示す流れ図。

【図７】本発明の第４の実施の形態に係る生体データに
よるユーザ確認システムの一例を示す構成図。

【図８】同実施形態の動作例を示す流れ図。

【図９】本発明の第５の実施の形態に係る生体データに
よるユーザ確認システムの一例を示す構成図。

【図１０】本発明の第６の実施の形態に係る生体データ
によるユーザ確認システムの一例を示す構成図。

【図１１】本発明の第７の実施の形態に係る生体データ
によるユーザ確認システムの一例を示す構成図。

【図１２】本発明の第８の実施の形態に係る生体データ
によるユーザ確認システムの一例を示す構成図。

【図１３】同実施形態の全体動作を示す流れ図。

【図１４】同実施形態における暗号化処理を示す流れ
図。

【図１５】バイオメトリクスを適用させたＩＣカード署
名システムにおける構成要素及びその組み合わせ結果を
示す図。

【符号の説明】

１ａ，１ｂ，１ｃ，１ｄ，１ｆ，１ｇ，１ｈ…センサモ
ジュール２ａ，２ｂ，２ｃ，２ｄ，２ｅ，２ｆ，２ｇ，２ｈ…コ
ンピュータ３ａ，３ｂ，３ｃ，３ｄ，３ｅ，３ｇ，３ｈ…ＩＣカー
ド４…インターネット等５…ハードディスク１１…センサ１２…生体データ保持部１３…照合処理部１４…同定文字列格納部１５…コマンド出力部１６…メッセージ出力部１７…確認処理部１８…同定文字列格納部１９…演算処理部２０…秘密鍵保持部２１…復号処理部２２…復号鍵保持部２３…照合機能部３１ａ…照合計算部３２ａ…暗号化生体データ保持部３４…起動対象ソフトウエア３７…暗号化プログラム３８…暗号計算部３９…暗号鍵保持部４０…入力ファイル４１…出力ファイル

Claims

【特許請求の範囲】

【請求項１】生体測定を行うセンサ、生体データを保
持する生体データ保持部、並びに、前記センサにより測
定された測定情報と前記生体データ保持部内の生体デー
タとを照合するとともに、照合結果より本人と確認され
たときにはその旨の通知を出力する照合計算部を備えた
耐タンパー性のセンサモジュールと、前記通知を受けると、ユーザ確認がされたことに対応し
てなされるデータ出力を実行するＩＣカードと、前記センサモジュールと前記ＩＣカードとの間の通信を
行う通信手段とからなることを特徴とする生体データに
よるユーザ確認システム。
【請求項２】生体測定を行うセンサを備えたセンサモ
ジュールと、生体データを保持する生体データ保持部、前記センサに
より測定された測定情報と前記生体データ保持部内の生
体データとを照合するとともに、照合結果より本人と確
認されたときにはその旨の通知を出力する照合計算部、
並びに、前記通知を受けると、ユーザ確認がされたこと
に対応してなされるデータ出力を実行する演算処理部を
備えた耐タンパー性のＩＣカードと、前記センサモジュールと前記ＩＣカードとの間の通信を
行う通信手段とからなることを特徴とする生体データに
よるユーザ確認システム。
【請求項３】生体測定を行うセンサ、暗号化された生
体データを受信しこれを復号化する復号部、並びに、前
記センサにより測定された測定情報と復号化された前記
生体データとを照合するとともに、照合結果より本人と
確認されたときにはその旨の通知を出力する照合計算部
を備えたセンサモジュールと、前記暗号化された生体データを保持するとともに、当該
暗号化された生体データを前記センサモジュールに送出
する生体データ保持部、並びに、前記照合計算部からの
通知を受けると、ユーザ確認がされたことに対応してな
されるデータ出力を実行する演算処理部を備えた耐タン
パー性のＩＣカードと、前記センサモジュールと前記ＩＣカードとの間の通信を
行う通信手段とからなることを特徴とする生体データに
よるユーザ確認システム。
【請求項４】前記センサモジュールに耐タンパー性を
持たせたことを特徴とする請求項３記載の生体データに
よるユーザ確認システム。
【請求項５】生体測定を行うセンサを備えたセンサモ
ジュールと、暗号化された生体データを受信しこれを復号化する復号
部、並びに、前記センサにより測定された測定情報と復
号化された前記生体データとを照合するとともに、照合
結果より本人と確認されたときにはその旨の通知を出力
する照合計算部を備えたコンピュータと、前記暗号化された生体データを保持するとともに、当該
暗号化された生体データを前記コンピュータに送出する
生体データ保持部、並びに、前記照合計算部からの通知
を受けると、ユーザ確認がされたことに対応してなされ
るデータ出力を実行する演算処理部を備えた耐タンパー
性のＩＣカードと、前記センサモジュールと前記ＩＣカードと前記コンピュ
ータとの間の通信を行う通信手段とからなることを特徴
とする生体データによるユーザ確認システム。
【請求項６】前記ＩＣカードはユーザ本人のデジタル
署名を行う署名手段を備え、前記ユーザ確認がされたこ
とに対応してなされるデータ出力には、前記署名手段に
よるデジタル署名が含まれることを特徴とする請求項１
乃至５のうち何れか１項記載の生体データによるユーザ
確認システム。
【請求項７】生体測定を行うセンサを備えたセンサモ
ジュールと、ユーザ本人のログオンパスワードにより暗号化された生
体データを、ユーザ要求に対応した権限を当該ユーザが
有することを示す情報として保持する生体データ保持
部、並びに、前記ユーザ要求及び前記ログオンパスワー
ドが入力されたときに前記生体データ保持部の生体デー
タを前記ログオンパスワードにより復号化するととも
に、この復号化された生体データと前記センサにより測
定された測定情報とを照合し、その照合結果により本人
及び権限が確認されたときには、前記ユーザ要求を実施
すべき旨の通知を出力する照合計算部を備えたコンピュ
ータと、前記コンピュータと前記センサモジュールとの間の通信
を行う通信手段とからなることを特徴とする生体データ
によるユーザ確認システム。
【請求項８】生体測定を行うセンサと、コンピュータ
と、ＩＣカードとからなり、ユーザ確認を行うとともに
データの暗号化処理を行うユーザ確認システムにおい
て、前記ＩＣカードは、耐タンパー性を有し、かつ、生体デ
ータを保持する生体データ保持部、前記データの暗号化
処理におけるその一部処理を実行する第１の暗号計算
部、並びに、前記第１の暗号計算部での処理に用いられ
る暗号鍵を保持する暗号鍵保持部を少なくとも備えてお
り、前記コンピュータは、ユーザ確認通知を受けると前記デ
ータの暗号化処理における他の処理を実行する第２の暗
号計算部を少なくとも備えており、さらに、前記センサにより測定された測定情報と前記生
体データ保持部内の生体データとを照合するとともに、
照合結果より本人と確認されたときには前記第２の暗号
計算部に前記ユーザ確認通知を出力する照合計算手段
と、前記センサと前記ＩＣカードと前記コンピュータとの間
の通信を行う通信手段とからなることを特徴とする生体
データによるユーザ確認システム。
【請求項９】コンピュータに、ユーザ本人のログオンパスワードにより暗号化された生
体データを、ユーザ要求に対応した権限を当該ユーザが
有することを示す情報として保持する生体データ保持機
能と、前記ユーザ要求及び前記ログオンパスワードが入力され
たときに前記生体データを前記ログオンパスワードによ
り復号化するとともに、この復号化された生体データと
生体測定された測定情報とを照合し、その照合結果によ
り本人及び権限が確認されたときには、前記ユーザ要求
を実施すべき旨の通知を出力する照合計算機能とを実現
させるためのプログラムを記録したコンピュータ読み取
り可能な記録媒体。
【請求項１０】コンピュータに、ユーザ確認通知を受けた場合には、データの暗号化処理
における一部処理を実行するとともに、このデータ暗号
化処理における他の処理の処理結果を外部から受け取
り、その処理結果を前記一部処理が用いて暗号化処理を
完成させる暗号計算機能と、生体測定された測定情報とユーザ確認用の生体データと
を照合するとともに、照合結果よりユーザ本人と確認さ
れたときには前記暗号計算機能に前記ユーザ確認通知を
行う照合計算機能とを実現させるためのプログラムを記
録したコンピュータ読み取り可能な記録媒体。
【請求項１１】暗号化された生体データを保持すると
ともに、この暗号化された生体データを外部装置に出力
する生体データ保持手段と、前記生体データと生体測定された測定情報とによりユー
ザ本人と確認された旨の照合結果を前記外部装置から通
知されると、ユーザ確認がされたことに対応してなされ
るデータ出力を実行する演算処理手段とを備え、かつ耐
タンパー性を有することを特徴とするＩＣカード。
【請求項１２】前記外部装置は、生体測定を行うセン
サを有するセンサモジュールであることを特徴とする請
求項１１記載のＩＣカード。
【請求項１３】前記外部装置は、コンピュータである
ことを特徴とする請求項１１記載のＩＣカード。
【請求項１４】前記演算処理手段はユーザ本人のデジ
タル署名を行う署名手段を備え、前記ユーザ確認がされ
たことに対応してなされるデータ出力には、前記署名手
段によるデジタル署名が含まれることを特徴とする請求
項１１乃至１３のうち何れか１項記載のＩＣカード。
【請求項１５】生体データを保持するとともに、この
生体データを用いてユーザ確認を行う外部装置に前記生
体データを出力する生体データ保持手段と、データの暗号化処理における一部処理を暗号鍵を用いて
実行するとともに、このデータの暗号化処理における他
の処理を行う外部装置に前記一部処理の処理結果を出力
する暗号計算手段と、前記暗号鍵を保持する暗号鍵保持手段とを備え、かつ耐
タンパー性を有することを特徴とするＩＣカード。