JPWO2007020942A1 - 本人認証システム、これで用いる端末、認証検証装置、及びプログラム - Google Patents

Abstract

本人認証システムは、ユーザ端末１０側にプロファイル生成部１４、認証検証装置３０側にプロファイル保存部３３及び確認・追試検証部３１を備える。プロファイル生成部１４は、ユーザ端末１０で認証処理が実行された際に、入力生体情報と、登録生体情報と、照合処理内容を再現する情報とをまとめてデータの集合体であるプロファイルＳ１２とする。プロファイル保存部３３は、そのプロファイルＳ１２を認証処理の識別情報と共にユーザ端末１０外で保存する。確認・追試検証部３１は、保存された内容を確認し、照合処理を追試する。これにより、検証が必要な場合にユーザ端末１０での認証処理の妥当性を検証して、サービス事業者装置２０に通知する。こうすることで、サービス事業者側が必要な場合にユーザ端末で行われた認証処理の妥当性を検証できるシステムを提供する。

Description

本発明は、ネットワークを介して本人を確認する本人認証システム、これで用いる端末、認証検証装置、及びプログラムに関し、特にユーザの手元にある端末内で、指紋など個人に特有な生体情報（バイオメトリクス）による照合を行い、ネットワークを介して受け取ったその照合結果をサービス事業者装置において使用する方法およびシステムに関する。

従来の本人認証方法システムの一例が、特許文献１に記載されている。図１７に示すように、この従来の本人認証方法システムは、生体情報入力手段であるセンサ１１１（イメージセンサ）と、登録生体情報を記憶する登録生体情報データベース（ＤＢ）１１２と、２つの生体情報を比較する照合部１１３とを持つユーザ端末１１０（携帯型通信装置）と、インターネットを介してこれと通信しサービス提供可否決定部１２１の決定に基づいて金銭授受などの取引を行うサービス事業者装置１２０（中央処理装置）とから構成されている。

このような構成を有する従来の本人認証システムは、次のように動作する。すなわち、サービスを受けようとするユーザはセンサから生体情報を読み込ませ、これが登録生体情報ＤＢ１１２にあらかじめ記憶された登録生体情報と照合部１１３で比較され、その認証結果がインターネットを介してサービス事業者装置１２０へ送信される。この比較による認証で２つの生体情報が一致と判定された場合には、ユーザ端末１１０から認証は終了しているという情報をサービス事業者装置は受け取り、その結果に基づいてサービス事業者のサービス提供可否決定部１２１は、サービスを提供するべきか否かを決定する。
特開２００２−０３３８２３号公報

この場合の問題点は、ユーザ端末での生体情報による認証結果を利用してサービスの可否を決定するサービス事業者側はその照合結果が一致であったか否かしか知ることができず、その結果の妥当性を検証することができない、ということである。その理由は、照合結果としての一致不一致以外の情報が利用できないためである。これは特に、サービス事業者側のシステムとユーザ端末が異なるベンダから提供され、ユーザ端末での処理の実現の詳細に関する知識をサービス事業者側システム側が持たない場合、さらには、ユーザ端末の処理プログラムが悪意などにより改変されて当初より想定していた動作を行っていない可能性がある場合に、照合処理の妥当性を確認できないことで、より大きな問題となる。

具体的な一例として、サービス事業者が金融機関であり、ベンダＡによって開発されたサービス事業者装置と、別のベンダＢによって開発されたユーザ端末１１０が接続されてシステムが構築・運用されている場合を考える。ユーザ端末１１０のユーザがその認証の仕組みを使ってサービス事業者へ振込処理を依頼する際に、ユーザ端末１１０での認証処理において、入力生体情報と登録生体情報との一致度が高いと判断され、認証処理は成功したとサービス事業者装置へ通知してある振込処理を実行したとして、後にそのユーザが、あの振込処理の依頼者は自分ではなく、他人が自分になりすまして認証処理を成功させたと主張して争うようなケースを考える。その場合、サービス事業者およびサービス事業者装置のベンダはユーザ端末での認証処理について確認・検証することができないため、振込処理の妥当性を証明することができないという問題が生じることになる。

このような問題を生じさせないため、従来は、サービスシステムを構成する際、あらかじめ実装の技術詳細と、それの認証部が実現する認証精度がある高いレベル以上であることが確認できたユーザ端末のみが接続して使用できるようにすることとされている。ここで使用されるユーザ端末は、必然的に同じベンダの端末に限られることとなる。このため、そのようなユーザ端末、すなわち例えばあるベンダの携帯電話端末を保有するユーザしかこのシステムに接続してサービスを受けられないという点が、ユーザ展開上の制約となり、サービスの普及の妨げとなっていた、という問題があった。

本発明の目的は、サービス事業者側が必要な場合にユーザ端末で行われた認証処理の妥当性を検証できるシステムを提供することにある。

上記目的を達成するため、本発明に係る本人認証システムは、サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムであって、前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合手段と、前記データの集合体を保存するデータ保存手段と、前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証手段とを有することを特徴とする。

本発明に係る本人認証システムにおいて、前記データ集合手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にする手段を有し、前記データ保存手段は、前記データ組を保存する手段を有し、前記検証手段は、前記保存手段に保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認する手段を有してもよい。

本発明に係る本人認証システムにおいて、前記データ組を、前記検証が行われる装置でのみ復号化可能に暗号化する暗号化手段をさらに備えてもよい。

本発明に係る本人認証システムにおいて、前記データ集合手段は、前記端末に設けられ、前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、前記データ保存手段は、前記認証検証装置に設けられてもよい。

本発明に係る本人認証システムにおいて、前記データ集合手段は、前記端末に設けられ、前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、前記データ保存手段は、前記サービス事業者装置に設けられてもよい。

本発明に係る本人認証システムにおいて、前記データ集合手段は、前記端末に設けられ、前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、前記データ保存手段は、前記端末に設けられてもよい。

本発明に係る本人認証システムにおいて、前記サービス事業者装置は、前記検証手段による検証結果に基づいて、前記端末へのサービス提供の可否を決定する手段を備えてもよい。

また、本発明に係る端末は、サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末であって、前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合手段を有することを特徴とする。

本発明に係る端末において、前記データ集合手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にする手段を有してもよい。

本発明に係る端末において、前記データ組を内部に保存する手段をさらに有してもよい。

本発明に係る端末において、前記データ組を外部に送信する手段をさらに有してもよい。

また、本発明に係る認証検証装置は、サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末に通信可能に接続される認証検証装置であって、前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめて構成されたデータの集合体を受信する受信手段と、前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証手段とを有することを特徴とする。

本発明に係る認証検証装置において、前記受信手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とを有するデータ組を受信する手段を有し、前記検証手段は、前記データ組を用いて前記生体情報照合の照合処理を実行して再現しその結果を確認する検証手段を有してもよい。

本発明に係る認証検証装置において、前記検証手段は、実行した照合処理の結果と、前記端末で行われた照合処理の結果とを比較する手段を備えてもよい。

本発明に係る認証検証装置において、前記検証手段による検証結果を前記サービス事業者装置に送信する手段をさらに備えてもよい。

また、本発明に係る本人認証方法は、サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムで用いる本人認証方法であって、前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合ステップと、前記データの集合体を保存するデータ保存ステップと、前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証ステップとを有することを特徴とする。

本発明に係る本人認証方法において、前記データ集合ステップは、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にするステップを有し、前記データ保存ステップは、前記データ組を保存するステップを有し、前記検証ステップは、保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認するステップを有してもよい。

さらに、本発明に係るプログラムは、サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムで用いるプログラムであって、前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合ステップと、前記データの集合体を保存するデータ保存ステップと、前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証ステップとをコンピュータに実行させることを特徴とする。

本発明に係るプログラムにおいて、前記データ集合ステップは、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にするステップを有し、前記データ保存ステップは、前記データ組を保存するステップを有し、前記検証ステップは、保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認するステップを有してもよい。

本発明によれば、入力生体情報と、登録生体情報と、照合処理内容を再現可能な情報とをまとめて保存し、検証が必要な場合、これらの情報を用いて照合処理を追試することで認証処理の妥当性を検証することができる。これにより、サービス事業者側が必要な場合にユーザ端末で行われた認証処理の妥当性を検証することができ、その結果をサービス事業者が利用することが可能になる。

本発明の第１の実施の形態に係る本人認証システムの全体構成を示すブロック図である。 生体情報登録時のユーザ端末側の処理を示すフローチャートである。 サービス要求時のユーザ端末側の処理を示すフローチャートである。 サービス要求時のサービス事業者装置側の処理を示すフローチャートである。 プロファイルの具体例を示す図である。 プロファイル生成の詳細を示すフローチャートである。 サービス要求時の認証検証装置側の処理を示すフローチャートである。 検証時のサービス事業者装置側の処理を示すフローチャートである。 検証時の認証検証装置側の処理を示すフローチャートである。 検証処理の詳細を示すフローチャートである。 本発明の第２の実施の形態に係る本人認証システムの全体構成を示すブロック図である。 サービス要求時のユーザ端末側の処理を示すフローチャートである。 サービス要求時のサービス事業者装置側の処理を示すフローチャートである。 検証時のサービス事業者装置側の処理を示すフローチャートである。 検証時の認証検証装置側の処理を示すフローチャートである。 本発明の第３の実施の形態に係る本人認証システムの全体構成を示すブロック図である。 従来技術のシステム構成を示すブロック図である。

符号の説明

１０ ユーザ端末
１１ センサ
１２ 登録生体情報データベース
１３ 照合部
１４ プロファイル生成部
１５ ＶＳＰ用暗号化部
２０ サービス事業者装置
２１ サービス提供可否決定部
２２ 一時保持部
３０ 認証検証装置
３１ 確認・追試認証部
３２ プロファイル書込部
３３ プロファイル保存部
３４ 復号化部
３５ 検証用データベース
４０ 処理プログラム管理機関装置

次に、本発明に係る本人認証システム、これで用いる端末、認証検証装置、及びプログラムを実施するための最良の形態について、図面を参照して詳細に説明する。

（第１の実施の形態）
図１は、本発明の第１の実施の形態の構成を示すブロック図である。

図１を参照すると、本実施の形態による本人認証システムは、サービス事業者（例えば、金融機関、電子商取引事業者等）により提供されるサービスを利用するユーザが所有・保持するユーザ端末１０と、サービスを提供するサービス事業者側に設けられるサービス事業者装置２０と、認証検証装置３０とから構成されている。これら３つの要素１０、２０、３０は、直接接続されていても良いが、インターネットなどのネットワークで仮想的に接続されていても良い。なお、認証検証装置３０は、外部に設けられる処理プログラム管理機関装置４０にも通信可能に接続され、ユーザ端末１２の認証処理で用いられる処理プログラムを入手可能となっている。

ユーザ端末１０は、例えばユーザが使用する携帯電話機やパーソナルコンピュータ機等の通信手段を有するコンピュータ機（ＣＰＵ（Central Processing Unit）、メモリ、各種入出力機器を含む）で構成され、ユーザの指紋又は顔などの生体情報を取り込んでデジタルデータ化する生体情報入力装置としてのセンサ１１を備える。センサ１１は、本人確認に用いる生体情報に応じて適宜選定される。

例えば、生体情報として指紋を用いる場合は、センサ１１としてユーザの指紋の紋様を読み取り可能な指紋センサが適用される。指紋センサには、例えば指の凹凸で生じる電位の差を利用して静電容量を計測して指紋の紋様を読み取る静電容量型半導体センサや、光の反射を利用し、反射光量の大小を電気信号に変換して指紋の紋様を読み取る光学式のセンサ、或いは指に光を照射し、指内で散乱する光を読み取って指紋の紋様を読み取る指内散乱光直接読取方式のセンサ等が知られているが、本実施の形態ではいずれのセンサでも適用可能である。

また、生体情報として顔を用いる場合は、センサ１１としてユーザの顔を撮像可能な固体撮像装置に代表されるイメージセンサが適用される。例えば、イメージセンサには、ＣＣＤ（Charge Coupled Device）転送型構成の固体撮像素子を用いた撮像デバイスや、Ｘ−Ｙアドレス型構成の固体撮像素子を用いた撮像デバイスが知られているが、本実施の形態ではいずれのタイプでも適用可能である。

なお、本実施の形態では、１つのセンサを用いる場合を例示しているが、本発明は必ずしもこれに限らず、複数のセンサ、例えば指紋センサとイメージセンサを組み合わせて用いてもよい。

また、ユーザ端末１０は、機能上、登録生体情報データベース（ＤＢ）（登録生体情報記憶部）１２、照合部１３、及びプロファイル生成部１４を有する。このうち、プロファイル生成部１４は、本発明のデータ集合手段を構成している。

登録生体情報データベース１２は、予めセンサ１１からユーザ端末１０内に入力された正規ユーザの生体情報を所定の内部形式の登録生体情報Ｓ２を構成するデジタルデータ（「テンプレートデータ」とも言う）として記憶する。

照合部１３は、例えばユーザ端末１０を構成するコンピュータ機のＣＰＵが予め設定された照合処理・判定処理用ソフトウェアのプログラムコードを実行することにより実現される。この照合部１３は、ユーザの認証が必要な際にセンサ１１からユーザ端末１０内に入力された入力生体情報Ｓ１と、登録生体情報データベース１２に記憶された登録生体情報Ｓ２との類似度が予め設定された閾値以上であるか否かを評価することで照合処理を行い、その照合結果（認証処理結果）Ｓ１１を、予め定められた形式の出力信号として、サービス事業者装置２０に出力する。

プロファイル生成部１４は、例えばユーザ端末１０を構成するコンピュータ機のＣＰＵが予め設定されたプロファイル生成処理用ソフトウェアのプログラムコードを実行することにより実現される。このプロファイル生成部１４は、認証処理が実行された際にその認証処理のプロファイルＳ１２を生成し、予め定められた形式の出力信号として、認証検証装置３０に出力する。

プロファイルＳ１２とは、実行された認証処理と同等の処理をのちに再現できるために必要な情報を全て含むデータの集合体（データ組）である。これは少なくとも、認証処理に使用された入力生体情報Ｓ１と、登録生体情報Ｓ２と、照合部１３で実行された照合処理のプログラムコード、あるいはそれが別の外部データベースなどに予め登録されているとして、この識別子、さらには実行時の動作環境や実行パラメタを含む（後述参照）。

サービス事業者装置３０は、例えばユーザに対してサービスを提供するサービス事業者が使用するサーバ機等の通信手段を有するコンピュータ機（ＣＰＵ、メモリ、各種入出力機器を含む）で構成され、機能上、サービス提供可否決定部２１を持つ。

サービス提供可否決定部２１は、例えばサービス事業者装置２０を構成するコンピュータ機のＣＰＵが予め設定されたサービス提供可否決定用ソフトウェアのプログラムコードを実行することにより実現される。このサービス提供可否決定部２１は、ユーザ端末１０からの照合結果出力Ｓ１１と、必要に応じて認証検証装置３０から提供される確認・追試検証部３１の出力Ｓ１４とを入力として、生体情報入力を行った当該ユーザへのサービス提供の可否を決定する。

認証検証装置３０は、例えばサーバ機等の通信手段を有するコンピュータ機（ＣＰＵ、メモリ、各種入出力機器を含む）で構成され、機能上、ユーザ端末１０のプロファイル生成部１４から出力されるプロファイルＳ１２を受け取り、そのプロファイルＳ１２をプロファイル保存部３３へ書き込むプロファイル書込部３２と、書き込まれたプロファイルＳ１２を保存するプロファイル保存部３３と、保存されたプロファイルＳ１２を用いて照合処理を実行することにより、ユーザ端末１０で行われた照合処理内容を検証する検証手段としての確認・追試検証部３１とを含む。このうち、プロファイル書込部３２及びプロファイル保存部３３は、本発明のデータ保存手段を構成している。

確認・追試検証部３１は、例えば認証検証装置３０を構成するコンピュータ機のＣＰＵが予め設定された確認・追試検証用ソフトウェアのプログラムコードを実行することにより実現される。

この確認・追試検証部３１は、ユーザ端末での照合部１３と同等の処理が可能な処理環境を持ち、サービス事業者装置２０からの検証要求Ｓ１３を受けた際に、そこに含まれる認証処理の識別子に対応するプロファイルＳ１２をプロファイル保存部３３から読み出し、読み出されたプロファイルＳ１２の中の各データの正当性を確認する。また、この確認・追試検証部３１は、必要に応じ、当該認証処理に使用された入力生体情報と登録生体情報と、照合部１３で実行された照合処理のプログラムコード、あるいはそれが別の外部データベースなどに予め登録されているとしてその識別子、さらには実行時の動作環境や実行パラメタを用い、先に実行された当該認証処理を再現・追試し、その検証結果を信号Ｓ１３として出力する。

次に、本実施の形態の全体の動作について、図１〜図９を参照して詳細に説明する。

図２は、生体情報登録時のユーザ端末１０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばユーザ端末１０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

まず、ユーザ端末１０側では、生体情報登録時の処理動作として、サービス事業者のサービスを利用とするユーザにより、図２のように、自分が所有・保持するユーザ端末１０のセンサ１１を介して、正規ユーザとなるべき自分の生体情報がユーザ端末１０内に入力される（ステップＳｔ１）。入力された生体情報は、ユーザ端末１０で予め決められた内部形式の登録生体情報Ｓ２として、登録生体情報データベース１２に記憶される（ステップＳｔ２）。また一方、ユーザはサービス事業者とサービス契約を結び、サービス要求時に自分であることを証明する端末として当該ユーザ端末１０を使用することを登録する。

図３は、サービス要求時のユーザ端末１０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばユーザ端末１０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

ユーザ端末１０側では、あるユーザがサービスを利用しようとする際、図３のように、そのユーザによりセンサ１１から自分の生体情報が入力されると（ステップＳｔ１１）、照合部１３が、登録生体情報データベース１２に記憶された登録生体情報Ｓ２を読み出し（ステップＳｔ１２）、入力生体情報Ｓ１と登録生体情報Ｓ２との類似度が閾値以上である（一致）か否（不一致）かを評価し（ステップＳｔ１３）、その照合結果（一致、又は、不一致）Ｓ１１をサービス事業者装置２０へ送る（ステップＳｔ１４）。

図４は、サービス要求時のサービス事業者装置２０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばサービス事業者装置２０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

サービス事業者装置２０は、サービス提供可否決定部２１においてこの信号Ｓ１１を受けて（ステップＳｔ２１）、一致である場合に、この要求ユーザが正規ユーザであると判断して、要求に従ってサービスを提供する（ステップＳｔ２２）。

しかし、これだけではユーザ端末１０での生体情報による認証結果を利用してサービスの可否を決定するサービス事業者側は、その照合結果が一致であったか否かしか知ることができず、その結果の妥当性を検証することができない。これを補うため、認証動作が行われかつサービス事業者が必要と認める場合に、以下のようにプロファイルの保存動作が行われる。

すなわち、図３に戻り、ユーザ端末１０は、サービス事業者装置２０から信号Ｓ１５によりプロファイル生成が指示されると、プロファイル生成部１４によりプロファイルＳ１２を生成する（ステップＳｔ１５）。すなわち、プロファイル生成部１４は、実行された認証処理と同等の処理をのちに再現できるために必要な情報として、認証処理に使用された入力生体情報Ｓ１と、登録生体情報Ｓ２と、照合部１３で実行された照合処理のプログラムコード、あるいはそれが別の外部データベースなどに予め登録されているとして、この識別子、さらには実行時の動作環境や実行パラメタを含むデータを一つのデータセットにまとめてプロファイルＳ１２を生成する。次いで、生成されたプロファイルＳ１２を認証検証装置３０に送出する（ステップＳｔ１６）。

図５は、プロファイル生成部１４で生成されるプロファイルＳ１２の具体例を示す。図５の例では、プロファイルＳ１２には、処理実行端末ＩＤ（例：153-682-2451565）、識別処理ＩＤ（例：324654）、実行タイムスタンプ（例：16:34:32, 07/26/2005）、処理プログラム管理機関ＩＤ（例：231）、特徴抽出処理ＩＤ（例：8269）、入力特徴抽出処理ＩＤ（例：8269）、特徴照合処理ＩＤ（例：8288）、特徴照合処理実行閾値（例：1200）、その他の実行パラメタ類、登録生体情報サイズ［バイト］（例：180000）、入力生体情報サイズ［バイト］（例：90000）、登録生体情報（実データ）、入力生体情報（実データ）が含まれる。

図６は、プロファイル生成部１４によるプロファイル生成（図３：ステップＳｔ１５）の詳細を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばユーザ端末１０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

図６において、まず、照合部１３により認証処理（照合処理・判定処理）が実行される（ステップＳｔ１５１）。次いで、サービス事業者装置２０から信号Ｓ１５によりプロファイル生成が指示され、プロファイル保存が必要か否かを判断し（ステップＳｔ１５２）、プロファイル保存が必要である場合、プロファイル生成部１４は、認証処理で用いた各種処理ＩＤ、処理プログラム管理機関ＩＤなど、実行閾値などの実行パラメタ、登録生体情報及び入力生体情報を読み出し（ステップＳｔ１５３〜Ｓｔ１５５）、その他プロファイルＳ１２に必要な値も決定する（ステップＳｔ１５６）。次いで、プロファイル生成部１４は、これら各項目をプロファイルＳ１２内に埋め込み（ステップＳｔ１５７）、電子署名及び暗号化を施し（ステップＳｔ１５８）、プロファイルＳ１２として完成して認証検証装置３０に送出する（ステップＳｔ１５９）。

図７は、サービス要求時の認証検証装置３０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えば認証検証装置３０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

認証検証装置３０は、信号Ｓ１２として出力されたプロファイル情報を受信すると（ステップＳｔ３１）、プロファイル書込部３２に渡し、プロファイル書込部３２により、プロファイル保存部３３に、上記の認識処理を識別する識別子と共に書き込んで記憶させる（ステップＳｔ３２）。

このようにサービス事業がプロファイル生成と保存を指示するのは、例えばユーザが新たな端末をこのシステムに接続した場合や内部的な動作パラメタなどの設定を変更した場合、あるいは新規なユーザが利用した場合、またはその認証と共に要求されるサービスがより重要なものであり、後に検証が必要となる可能性が高いと判断する場合である。これは例えば高額な振り込み要求のように高価な価値の取引が行われる場合である。

以上は、ユーザがサービス事業者にサービスを要求し、必要な認証動作をユーザ端末で行った場合の動作である。一方、サービス事業者が、例えばあるサービス提供の妥当性をのちに検証する必要が生じ、そのためにユーザ端末での認証処理を検証する場合、次のような動作が図８〜図１０のように行われる。

図８は、検証時のサービス事業者装置２０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばサービス事業者装置２０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

まず、サービス事業者装置２０は、認証検証装置３０へ、検証対象となる認証処理の識別子と共に検証要求Ｓ１３を発する（ステップＳｔ５１）。

図９は、検証時の認証検証装置３０側の処理を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えば認証検証装置３０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

認証検証装置３０は、検証要求Ｓ１３を受信すると（ステップＳｔ４１）、確認・追試検証部３１により、そこに含まれる認証処理の識別子に対応するプロファイルをプロファイル保存部３３から読み出す（ステップＳｔ４２）。次いで、確認・追試検証部３１は、読み出されたプロファイルの中の各データの正当性を確認すると共に、必要に応じ、当該認証処理に使用された入力生体情報Ｓ１と、登録生体情報Ｓ２と、照合部１３で実行された照合処理のプログラムコード、あるいはそれが別の外部データベースなどに予め登録されているとしてその識別子、さらには実行時の動作環境や実行パラメタを用い、先に実行された当該認証処理を再現・追試する（ステップＳｔ４３）。

図１０は、確認・追試検証部３１による検証処理（ステップＳｔ４３）の詳細を示すフローチャートである。このフローチャートに対応する動作プログラムは、例えばサービス事業者装置２０を成すコンピュータ機のメモリ（図示しない）に設定され、そのＣＰＵにより実行可能となっている。

図１０において、確認・追試検証部３１は、プロファイルＳ１２を受け取ると、これを復号化して電子署名を確認する（ステップＳｔ４３１）。確認後、確認・追試検証部３１は、復号化されたプロファイルＳ１２から処理プログラム管理機関ＩＤ、処理ＩＤを読み出し（ステップＳｔ４３２）、これらを元にして、処理プログラム管理機関装置４０に問い合わせを出し（ステップＳｔ４３３）、これに応答して処理プログラム管理機関装置４０から送られてくる処理プログラムを入手する（ステップＳｔ４３４）。これと共に、確認・追試検証部３１は、プロファイルＳ１２から実行閾値などの実行パラメタ、登録生体情報、入力生体情報を読み出し（ステップＳｔ４３５〜Ｓｔ４３７）、これらと入手された処理プログラムとを用いて認証プログラムの追試を実行する（ステップＳｔ４３８）。

これにより、認証検証装置３０は、実行した照合処理の結果と、端末での生体情報照合の結果とを比較し、両者が一致するかどうかを確認することで、ユーザ端末１０の処理動作が所望のものであること、また改変されていないことを確認し、その検証結果を信号Ｓ１４として出力する（図１０：ステップＳｔ４３９、図９：ステップＳｔ４３）。

その結果、サービス事業者装置２０は、その検証結果Ｓ１４を受信すると（図８：ステップＳｔ５２）、これを利用し、サービス提供の妥当性（サービス提供の可否決定）を確認・検証し（図８：ステップＳｔ５３）、あるいは他の関係者に証明することが可能となる。

従って、本実施の形態によれば、ユーザ端末１０で認証処理が実行された際に、入力生体情報と、登録生体情報と、照合処理内容を再現する情報とをまとめる手段としてのプロファイル生成部１４と、これを認証処理の識別情報と共にユーザ端末外で保存する手段としてのプロファイル書込部３２及びプロファイル保存部３３と、この内容を確認して照合処理を追試する手段としての確認・追試検証部３１とを備え、検証が必要な場合に認証処理の妥当性を検証するよう動作する。このような構成を採用することで、検証が必要な場合に認証処理の妥当性を検証してサービス事業者に通知可能となっている。

すなわち、本実施の形態によれば、ユーザ端末１０での認証処理の結果を決定する、２つの入力データ、プログラム、動作パラメタなど全ての情報をプロファイルとしてまとめてプロファイル保存部３３に記憶し、必要な場合にそれを読み出して確認・追試ができるため、サービス事業者側が必要な場合にユーザ端末で行われた認証処理の妥当性を検証することが可能となる。

さらに、これによってサービスシステムを構成する際、あらかじめ実装の技術詳細と、それの認証部が実現する認証精度についての情報が十分でないユーザ端末も接続して使用できるようにし、従ってより幅広いベンダの供給するユーザ端末もシステムに接続して利用でき、ひいてはユーザ展開上の制約を取り除き、サービスの普及を促進することも可能となる。

（第２の実施の形態）
次に、本発明の第２の実施の形態について、図面を参照して詳細に説明する。なお、第１の実施の形態と同様の構成要素については、同一符号を付し、その説明を省略又は簡略化する。

図１１は、本実施の形態の構成を示すブロック図である。図１１を参照すると、本実施の形態による本人認証システムは、第１の実施の形態と同様のユーザ端末１０、サービス事業者装置２０、及び認証検証装置３０を有している。第１の実施の形態との相違点は、次の通りである。

１）ユーザ端末１０側に、ＶＳＰ（Verisign Security Procedures：ベリサインセキュリティ手続順則）用暗号化部１５を有する。この暗号化部１５は、プロファイル生成部１４により生成されたプロファイルＳ１２の出力メッセージを認証検証装置３０の公開鍵によって暗号化する。

２）サービス事業者装置２０側に、一時保持部２２を有する。この一時保持部２２は、ユーザ端末１０から送られた暗号化されたプロファイルＳ１２の出力メッセージを記憶・保存し、必要に応じ認証検証装置３０へ送出する。

３）認証検証装置３０側に、前述のプロファイル書込部及びプロファイル保存部に代えて、復号化部３４と、検証用データベース（ＤＢ）３５とを有する。復号化部３４は、サービス事業者装置２０の一時保持部２２から出力される暗号化プロファイル情報８５を自身の秘密鍵で復号化する。検証用データベース３５は、例えば複数のユーザ端末の照合処理プログラムの複製や動作精度に関する登録情報を保持し、確認・追試検証部３１がその動作の際にその情報を参照・利用可能となっている。

その他の構成要素については、第１の実施の形態と同様である。

次に、本実施の形態の全体の動作について、図１１〜図１５を参照して説明する。なお、第１の実施の形態と同様の動作についてはその説明を省略又は簡略化する。

まず、生体情報登録時のユーザ端末１０側の処理は、前述の図２に示すように行われる。

図１２は、サービス要求時のユーザ端末１０側の処理を示すフローチャートである。前述の図３との相違点は、プロファイル生成（ステップＳｔ１５）と、プロファイル情報の送出（ステップＳｔ１６）との間に、暗号化処理（ステップＳｔ１７）が挿入されている点である。この暗号化処理は、暗号化部１５で行われる。すなわち、暗号化部１５は、前述と同様の動作にてプロファイルＳ１２が生成されると、これを認証検証装置３０の公開鍵によって暗号化する。このように暗号化する理由は、ユーザの個人情報である生体情報のサービス事業者への不必要な開示を防ぎ、サービス事業者が他目的に利用したりしないようにである。暗号化されたプロファイルＳ１２のメッセージは、サービス事業者装置２０に出力される。

図１３は、サービス要求時のサービス事業者装置２０側の処理を示すフローチャートである。図１３において、サービス事業者装置２０は、暗号化されたプロファイル情報Ｓ１２を受信すると（ステップＳｔ３３）、一時保持部２２に、上記の認識処理を識別する識別子と共に記憶する（ステップＳｔ３４）。

図１４は、検証時のサービス事業者装置２０側の処理を示すフローチャートである。図１４において、サービス事業者装置２０は、一時保持部２２に記憶されているプロファイル情報群から、検証対象となる認証処理の識別子により認証処理の識別子に対応するプロファイルを読み出し（ステップＳｔ５４）、認証検証装置３０へ送出する（ステップＳｔ５５）。

図１５は、検証時の認証検証装置３０側の処理を示すフローチャートである。図１５において、認証検証装置３０は、送られたプロファイルＳ１２を受信すると（ステップＳｔ４５）、そのメッセージを、復号化部３４により、認証検証装置３０自身の秘密鍵によって復号化する（ステップＳｔ４５）。次いで、確認・追試検証部３１は、復号化されたプロファイル情報を受け取り、検証用データベース３５を参照しながら（ステップＳｔ４７）、前述と同様の確認・追試検証処理（ステップＳｔ４３）を実行する。

従って、本実施の形態によれば、前述した第１の実施の形態と同様の効果に加え、認証検証装置のみが復号可能な暗号化を用いることでユーザの個人情報である生体情報のサービス事業者への不必要な開示を防ぎながら検証動作を実現できる。また、認証検証装置にプロファイル情報を保存する必要がないため、認証検証装置を比較的低コストで実現でき、一方サービス事業者装置では将来検証の必要性が高そうな例えば高価な取引に関係する認証のデータのみを保存しておくなどの方策によって、システム全体の実現コストも引き下げることができる。

（第３の実施の形態）
次に、本発明の第３の実施の形態について、図面を参照して詳細に説明する。なお、第１の実施の形態及び第２の実施の形態と同様の構成要素については、同一符号を付し、その説明を省略又は簡略化する。

図１６は、本実施の形態の構成を示すブロック図である。図１６を参照すると、本実施の形態による本人認証システムは、第１の実施の形態と同様のユーザ端末１０、サービス事業者装置２０、及び認証検証装置３０を有している。第１の実施の形態との相違点は、次の通りである。

１）ユーザ端末１０側に、一時保持部２２を有する。この一時保持部２２は、ユーザ端末１０から送られた暗号化されたプロファイルＳ１２の出力メッセージを記憶・保存し、必要に応じ認証検証装置３０へ送出する。なお、第２の実施の形態では、サービス事業者装置２０側に一時保持部２２が搭載されていたが、本実施の形態では、ユーザ端末１０側に設けている点が相違する。また、第２の実施の形態のＶＳＰ用暗号化部１５は、設けられていない。

２）認証検証装置３０側に、前述のプロファイル書込部及びプロファイル保存部に代えて、検証用データベース３５を有する。この検証用データベース３５は、第２の実施の形態と同様に、例えば複数のユーザ端末の照合処理プログラムの複製や動作精度に関する登録情報を保持しており、確認・追試検証部３１がその動作の際にその情報を参照・利用可能となっている。

その他の構成要素については、第１の実施の形態と同様である。

次に、本実施の形態の全体の動作について説明する。なお、第１の実施の形態と同様の動作についてはその説明を省略又は簡略化する。

まず、サービス要求時に、ユーザ端末１０は、前述と同様に生成されたプロファイルＳ１２を、上記の認識処理を識別する識別子と共に一時保持部２２に記憶する。この際、ユーザ端末１０では、この検証用データの改変などが施されないよう、タイムスタンプ（実行時間情報）などと共に電子署名を付けておくなど、一般的な改変防止の方策をとる。

次いで、検証時に、ユーザ端末１０は、サービス事業者装置２０からの検証要求Ｓ１３を受けると、一時保持部２２に記憶されているプロファイル情報群から、検証対象となる認証処理の識別子により認証処理の識別子に対応するプロファイルＳ１２を読み出し、認証検証装置３０へ送出する。以下、前述と同様に、プロファイルＳ１２を元にして検証用データベース３５を参照しながら、確認・追試検証部３１による確認・追試検証処理が実行される。

従って、本実施の形態によれば、前述した第１の実施の形態と同様の効果に加え、認証検証装置やサービス事業者装置にプロファイル情報を保存する必要がないため、これらを比較的低コストで実現できるという利点がある。

なお、以上の説明では明示的には書かれていないが、一般にメッセージのやりとりにおいては、相手の確認のための相互認証を行い、また内容の秘匿のためにメッセージの暗号化を行い、電子署名を添付するなどのセキュリティ上の方策を採るのが望ましいのはもちろんである。

以上、本発明の各実施の形態を詳細に説明したが、本発明は、代表的に例示した上述の各実施の形態に限定されるものではなく、当業者であれば、特許請求の範囲の記載内容に基づき、本発明の要旨を逸脱しない範囲内で種々の態様に変形、変更することができる。これらの変形例や変更例も本発明の権利範囲に属するものである。

例えば、前述した各実施の形態による本人認証システムを構成する各部の少なくとも一部の機能を、プログラムコードを用いてＣＰＵにより実現させる場合、かかるプログラムコードと、これを記録する記録媒体とは、本発明の範疇に含まれる。この場合のプログラムコードは、オペレーティングシステムや他のアプリケーションソフトウェア等と共同して上記機能が実現される場合は、それらのプログラムコードも含まれる。また、記録媒体としては、ＲＯＭ（Read Only Memory）等の半導体メモリ、ディスク型記録媒体（光ディスク、光磁気ディスク、磁気ディスク等）、テープ型記録媒体（磁気テープ等）、カード型記録媒体（メモリカード等）等、いずれでも用いることができる。また、プログラムコードは、ネットワーク経由でサーバ機等のコンピュータ機からダウンロードして使用する形態のものでも適用可能である。

本発明によれば、例えば携帯電話やパーソナルコンピュータのようなユーザが所有・運用する装置を端末としてインターネット接続により金融サービスや電子モールでの電子商取引を行うといった用途に適用できる。

Claims (19)

1. サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムであって、
   前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合手段と、
   前記データの集合体を保存するデータ保存手段と、
   前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証手段とを有することを特徴とする本人認証システム。
2. 前記データ集合手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にする手段を有し、
   前記データ保存手段は、前記データ組を保存する手段を有し、
   前記検証手段は、前記保存手段に保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認する手段を有することを特徴とする請求項１記載の本人認証システム。
3. 前記データ組を、前記検証が行われる装置でのみ復号化可能に暗号化する暗号化手段をさらに備えたことを特徴とする請求項１記載の本人認証システム。
4. 前記データ集合手段は、前記端末に設けられ、
   前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、
   前記データ保存手段は、前記認証検証装置に設けられることを特徴とする請求項１記載の本人認証システム。
5. 前記データ集合手段は、前記端末に設けられ、
   前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、
   前記データ保存手段は、前記サービス事業者装置に設けられることを特徴とする請求項１記載の本人認証システム。
6. 前記データ集合手段は、前記端末に設けられ、
   前記検証手段は、前記端末に通信可能に接続された認証検証装置に設けられ、
   前記データ保存手段は、前記端末に設けられることを特徴とする請求項１記載の本人認証システム。
7. 前記サービス事業者装置は、前記検証手段による検証結果に基づいて、前記端末へのサービス提供の可否を決定する手段を備えたことを特徴とする請求項１項に記載の本人認証システム。
8. サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末であって、
   前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合手段を有することを特徴とする端末。
9. 前記データ集合手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にする手段を有することを特徴とする請求項８記載の端末。
10. 前記データ組を内部に保存する手段をさらに有することを特徴とする請求項９記載の端末。
11. 前記データ組を外部に送信する手段をさらに有することを特徴とする請求項９記載の端末。
12. サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末に通信可能に接続される認証検証装置であって、
    前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめて構成されたデータの集合体を受信する受信手段と、
    前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証手段とを有することを特徴とする認証検証装置。
13. 前記受信手段は、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とを有するデータ組を受信する手段を有し、
    前記検証手段は、前記データ組を用いて前記生体情報照合の照合処理を実行して再現しその結果を確認する検証手段を有することを特徴とする請求項１２記載の認証検証装置。
14. 前記検証手段は、実行した照合処理の結果と、前記端末で行われた照合処理の結果とを比較する手段を備えたことを特徴とする請求項１２記載の認証検証装置。
15. 前記検証手段による検証結果を前記サービス事業者装置に送信する手段をさらに備えたことを特徴とする請求項１２記載の認証検証装置。
16. サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムで用いる本人認証方法であって、
    前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合ステップと、
    前記データの集合体を保存するデータ保存ステップと、
    前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証ステップとを有することを特徴とする本人認証方法。
17. 前記データ集合ステップは、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にするステップを有し、
    前記データ保存ステップは、前記データ組を保存するステップを有し、
    前記検証ステップは、保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認するステップを有することを特徴とする請求項１６記載の本人認証方法。
18. サービス事業者装置に対しそのサービス提供を要求するために生体情報を入力してその入力生体情報と予め登録された登録生体情報との生体情報照合を行い、その照合結果を前記サービス事業者装置に送信する端末を備えたシステムで用いるプログラムであって、
    前記端末で行われた生体情報照合の照合処理内容を検証するために必要な情報として、前記入力生体情報と、前記登録生体情報と、前記照合処理内容を再現可能な情報とをまとめてデータの集合体とするデータ集合ステップと、
    前記データの集合体を保存するデータ保存ステップと、
    前記データの集合体を用いて前記生体情報照合の照合処理を実行して再現することにより、前記端末の照合処理内容を検証する検証ステップとをコンピュータに実行させることを特徴とするプログラム。
19. 前記データ集合ステップは、前記データの集合体として、前記照合処理で用いられた前記入力生体情報及び前記登録生体情報の照合データと、前記照合処理で用いた照合処理プログラムのコードまたは該照合処理プログラムを特定する識別子と、前記照合処理の実行環境を再現するための情報とをデータ組にするステップを有し、
    前記データ保存ステップは、前記データ組を保存するステップを有し、
    前記検証ステップは、保存されたデータ組を読み出して前記生体情報照合の照合処理を再現してその結果を確認するステップを有することを特徴とする請求項１８記載のプログラム。

Images