WO2012042775A1 - 生体認証システム、通信端末装置、生体認証装置、および生体認証方法 - Google Patents

生体認証システム、通信端末装置、生体認証装置、および生体認証方法 Download PDF

Info

Publication number
WO2012042775A1
WO2012042775A1 PCT/JP2011/005245 JP2011005245W WO2012042775A1 WO 2012042775 A1 WO2012042775 A1 WO 2012042775A1 JP 2011005245 W JP2011005245 W JP 2011005245W WO 2012042775 A1 WO2012042775 A1 WO 2012042775A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
authentication
biometric
biometric authentication
registration
Prior art date
Application number
PCT/JP2011/005245
Other languages
English (en)
French (fr)
Inventor
康朗 稲富
峰村　淳
充 横堀
伊藤　快
藤松　健
学 井沼
玲 大塚
Original Assignee
パナソニック株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニック株式会社 filed Critical パナソニック株式会社
Priority to EP11828342.3A priority Critical patent/EP2624160B1/en
Priority to JP2012501049A priority patent/JP5859953B2/ja
Priority to US13/822,815 priority patent/US9049191B2/en
Publication of WO2012042775A1 publication Critical patent/WO2012042775A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/04—Masking or blinding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/34—Encoding or coding, e.g. Huffman coding or error correction

Definitions

  • the present invention relates to a biometric authentication system for performing identity verification using biometric information of a person to be authenticated who performs biometric authentication and a communication terminal apparatus possessed by the person to be authenticated, a communication terminal apparatus used in the biometric authentication system, and biometric authentication
  • the present invention relates to a device and a biometric authentication method.
  • Biometric authentication systems that perform personal authentication using biometric information such as irises, fingerprints, veins, and voiceprints are being used in various applications such as data center entry / exit, PC login, and banking transactions.
  • Biometric information is a characteristic of the body and cannot be changed, so it cannot be discarded or updated even if it is leaked. Therefore, in recent years, cancelable biometrics has been proposed as a biometric authentication technique capable of performing biometric authentication while suppressing the risk of leakage of biometric information itself.
  • the registration device In general cancelable biometrics, first, at the time of registration, the registration device generates a conversion template at the time of registration. Specifically, the registration device holds the biometric information feature amount (herein referred to as “registration biometric information”) in a communication terminal device possessed by the biometric information provider himself (hereinafter referred to as “user”). Conversion is performed using secret key information to generate a registration conversion template. The registration device registers the generated registration conversion template in the authentication server.
  • registration biometric information biometric information feature amount
  • the biometric authentication device generates an authentication time conversion template. Specifically, the biometric authentication device uses the key information obtained from the user's communication terminal device as a feature quantity of biometric information acquired from a person who is about to receive biometric authentication (herein referred to as “authentication biometric information”). In the same manner, the authentication time conversion template is generated. Then, the biometric authentication device collates the generated authentication conversion template with the registration conversion template registered in the authentication server.
  • conversion template is used as a generic term for a registration conversion template and an authentication conversion template, or as a phrase indicating either one.
  • the biometric authentication device can perform authentication by collating the conversion templates.
  • the authentication server only needs to manage the conversion template, not the feature amount of the biometric information. Therefore, according to cancelable biometrics, it is possible to avoid the risk of leakage of biological information itself.
  • spoofing attack is when a malicious third party sends a conversion template to an authentication server and impersonates the user to succeed in authentication.
  • the reason why they are similar is as follows.
  • the biometric information at registration which is the base information of the conversion template at registration
  • the biometric information at authentication which is the base information of the authentication conversion template
  • a registration conversion template and an authentication conversion template are generated using the same conversion method and key. Therefore, the registration conversion template and the authentication conversion template are very similar information.
  • a malicious third party obtains one of the conversion templates without obtaining the communication terminal device possessed by the user or the secret key information held in the communication terminal device, and sends it to the biometric authentication device. Authentication can be successful just by typing.
  • Patent Document 1 discloses a technique that can prevent a spoofing attack even when a conversion template leaks.
  • the biometric authentication device At the time of authentication, the biometric authentication device generates a random value and transmits the random value to the communication terminal device in a secret manner. Then, the communication terminal device converts the above key information using this random value and transmits it to the biometric authentication device.
  • the biometric authentication device generates biometric information at the time of authentication using the converted key information, and collates with the conversion template at the time of registration held by the authentication server using the random value described above.
  • Patent Document 1 when an authentication server that manages a conversion template at the time of registration is operated in an open environment with a lower security level than a dedicated network or dedicated server such as the Internet or the cloud, a spoofing attack Risk increases.
  • Patent Document 1 converts biometric information at the time of registration with secret key information held in the communication terminal device, and then registers it in the authentication server as a conversion template at the time of registration. Therefore, when such a technique is operated in an open environment such as the Internet, there is a possibility that a registered conversion template to be managed is illegally acquired due to unauthorized intrusion using a brute force attack by a plurality of computers. Furthermore, if the key information is leaked or if a malicious third party obtains the key information illegally, both the registration conversion template and the key information will be available, and the basic biometric information at the time of registration It becomes easy to restore. If biometric information is restored at the time of registration, a malicious third party can completely impersonate the user. That is, there is a possibility that a malicious third party impersonates the user and passes authentication.
  • An object of the present invention is to provide a biometric authentication system, a communication terminal device, a biometric authentication device, and a biometric authentication method that can prevent a spoofing attack even when the key information held by the communication terminal device and the conversion template at the time of registration leak. Is to provide.
  • the biometric authentication system of the present invention is a biometric authentication system that includes a communication terminal device possessed by a user who receives biometric authentication and a biometric authentication device that performs the biometric authentication, and the communication terminal device is used when the user is registered.
  • a registered information storage unit that holds key information issued in association with biometric information, the held key information, and a first error correction code randomly selected from a predetermined error correction code group; When the error-corrected information is sent from the biometric authentication device, and the error-corrected information and the first error correction that are sent from the biometric authentication device.
  • An authentication parameter extraction unit that calculates an exclusive OR with a code as proved information, and the biometric authentication device acquires biometric information at the time of authentication from a person who wants to receive biometric authentication.
  • An acquisition unit an authentication information acquisition unit that acquires the key confidential information from a communication terminal device possessed by the person; the acquired biometric information during authentication; the acquired key confidential information; and the biometric information during registration
  • the post-error correction information from the exclusive OR of the key information and the registration-time conversion template that is the exclusive OR of the second error correction code randomly selected from the error correction code group.
  • An error correction processing unit to be calculated, and the calculated error-corrected information are sent to the communication terminal device, and used for calculation of the proved information calculated based on the information and the error-corrected information
  • a certification processing unit that performs the biometric authentication based on the degree of coincidence with the second error correction code.
  • the communication terminal device of the present invention is the communication terminal device used in a biometric authentication system including a communication terminal device possessed by a user who receives biometric authentication and the biometric authentication device that performs the biometric authentication, and the registration of the user A registration information storage unit that holds key information issued in association with biometric information, and a first error correction code randomly selected from the held key information and a predetermined error correction code group And the key concealing unit that transmits the calculated key concealment information to the biometric authentication device, and the biometric authentication device when the user tries to receive the biometric authentication
  • a conversion template at the time of registration which is an exclusive OR of the error correction information, and the error-corrected information calculated from the exclusive OR, and the exclusive logic of the acquired error-corrected information and the first error correction code
  • An authentication parameter extraction unit that calculates the sum as proved information,
  • the biometric authentication device of the present invention is the biometric authentication device used in a biometric authentication system including a communication terminal device possessed by a user who receives biometric authentication and the biometric authentication device that performs the biometric authentication.
  • An authentication-time biometric information acquisition unit that acquires authentication-time biometric information from a person to be authenticated, an authentication information acquisition unit that acquires key confidential information from a communication terminal device possessed by the person, and the acquired authentication-time biometric information
  • a registration-time conversion template that is an exclusive OR of the error correction processing unit that calculates error-corrected information from the exclusive-OR, and the calculated information after error correction is the communication terminal device.
  • the biometric authentication method of the present invention is a biometric authentication method used in a biometric authentication system including a communication terminal device possessed by a user who receives biometric authentication and a biometric authentication device that performs the biometric authentication.
  • a step of calculating post-error correction information from the exclusive OR of the registration-time conversion template that is an exclusive OR of and the communication terminal device receives the post-error correction information from the biometric authentication device. And calculating the exclusive OR of the received error-corrected information and the first error-correcting code as proved information, and using the biometric authentication device to obtain the proof information calculated from the proved information Sending to the biometric authentication device, the certification information calculated based on the sent error-corrected information, and the second error-correcting code used to calculate the error-corrected information, And performing the biometric authentication based on the degree of coincidence.
  • the spoofing attack can be prevented.
  • FIG. Block diagram showing a configuration of a registration apparatus according to the first embodiment Block diagram showing the configuration of the communication terminal apparatus according to the first embodiment
  • Block diagram showing a configuration of a biometric authentication apparatus according to the first embodiment The flowchart which shows operation
  • FIG. 3 The figure which shows the outline
  • the block diagram which shows the structure of the communication terminal device which concerns on this Embodiment 3.
  • FIG. The block diagram which shows the structure of the authentication information storage apparatus in this Embodiment 3.
  • the block diagram which shows the structure of the biometrics apparatus which concerns on this Embodiment 3.
  • FIG. The flowchart which shows operation
  • FIG. 1 is a system configuration diagram showing the configuration of the biometric authentication system according to the present embodiment.
  • the biometric authentication system 100 includes a registration device 200, a communication terminal device 300, an authentication information storage device 400, and a biometric authentication device 500.
  • the registration device 200 issues key information k each time it acquires biometric information x at the time of registration from a user who receives biometric authentication at the registration stage. At this time, the registration apparatus 200 randomly selects one of a predetermined error correction code group as an authentication parameter (second error correction code) c.
  • Biometric information is, for example, feature quantities such as iris, fingerprint, vein, voice print, face, and the like.
  • feature amount is an iris feature amount.
  • the registration device 200 calculates the exclusive OR of the biometric information x at registration, the key information k, and the authentication parameter c as a conversion template w at registration. Furthermore, the registration device 200 generates public key information W that is information obtained by concealing the authentication parameter c. Thereafter, the authentication parameter c is deleted, and the registration conversion template w and public key information W (authentication information) are registered in the authentication information storage device 400.
  • the communication terminal device 300 is a device that can communicate with the registration device 200 and the biometric authentication device 500 wirelessly or by wire, and is, for example, a mobile phone possessed by the user.
  • the communication terminal device 300 acquires the key information k issued in association with the biometric information x at the time of registration of the user, and holds this.
  • Communication terminal apparatus 300 randomly selects one of predetermined error correction code groups as a mask value (first error correction code) c ′ in the stage before authentication or in the authentication stage. Then, the communication terminal device 300 calculates the exclusive OR of the key information k and the mask value c ′ as the key confidential information k ′.
  • the communication terminal device 300 performs an exclusive OR of the post-error correction information and the previous mask value c ′. Calculated as proved information c ′ ′′. Then, the communication terminal apparatus 300 transmits information obtained by concealing the calculated proved information c ′ ′′ to the biometric authentication apparatus 500 as proof information Y and z.
  • the authentication information storage device 400 is a device capable of wireless or wired communication between the registration device 200 and the biometric authentication device 500, and is, for example, a server disposed on a network of a bank system.
  • the authentication information storage device 400 stores the registration-time conversion template w and public key information W generated in the registration stage, and holds them until the authentication stage.
  • the biometric authentication device 500 is a device that performs personal authentication (confirmation of whether or not the user is a registered person) based on the user's biometric information, and is, for example, an ATM (Automated Teller Machine) of a bank.
  • the biometric authentication device 500 acquires biometric information x ′ during authentication from a person who wants to undergo biometric authentication (hereinafter referred to as “authenticated person”) in the authentication stage, the communication terminal apparatus possessed by the authenticated person Key secret information k ′ is obtained from the above.
  • the partner who acquires the key concealment information k ′ may include a device that is not the communication terminal device 300 according to the present invention (for example, a communication terminal device possessed by a malicious third party).
  • the biometric authentication device 500 obtains the above-described error-corrected information c from the exclusive OR of the biometric information x ′ during authentication, the key concealment information k ′, and the conversion template w stored during registration in the authentication information storage device 400. '' Is calculated and transmitted to the communication terminal device possessed by the person to be authenticated. Then, the biometric authentication device 500, based on the above-described certification information Y and z and the above-described public key information W returned from the communication terminal device, the above-mentioned proved information c ′ ′′, the authentication parameter c, The match is determined.
  • the biometric authentication system 100 can determine the degree of coincidence between the biometric information at the time of registration and the biometric information at the time of authentication from the coincidence between the proved information c ′ ′′ and the authentication parameter c. Therefore, the biometric authentication system 100 prevents the malicious third party from acquiring the authentication parameter c not only when the registration conversion template w but also when the key information k held by the communication terminal device 300 is further leaked. can do. Further, the biometric authentication system 100 can prevent the biometric information at the time of registration from being restored from the conversion template w at the time of registration and the key information k. Therefore, the biometric authentication system 100 can prevent a spoofing attack.
  • FIG. 2 is a diagram showing an outline of biometric authentication in the biometric authentication system 100.
  • the registration stage the user 610 looks into the camera 620 connected to the registration device 200 and photographs the iris of the pupil. That is, the camera 620 is a biological sensor for acquiring an iris.
  • the registration device 200 randomly selects one code word from a predetermined error correction code group C as the authentication parameter c. . This is expressed, for example, by the following formula (1).
  • the registration device 200 issues key information k and causes the communication terminal device 300 to hold it.
  • the registration apparatus 200 calculates the registration conversion template w and the public key information W using the authentication parameter c. This is expressed by, for example, the following formulas (2) and (3).
  • the symbol g indicates a generation source of a predetermined multiplicative group.
  • i (c) in the expression (3) is an integer value corresponding to the authentication parameter c.
  • biometric information to be registered is a fingerprint
  • a fingerprint sensor (not shown) is used instead of the camera 620.
  • a vein sensor (not shown) is used instead of the camera 620.
  • Z the biometric information to be registered is a voiceprint
  • a voiceprint analyzer (not shown) having a microphone is used instead of the camera 620. In this case, each sensor and analysis device extracts a feature amount from the acquired data, and inputs it to the registration device 200 as biometric information x at the time of registration.
  • the calculated registration conversion template w and public key information W are held in the authentication information storage device 400 and are read out by the biometric authentication device 500 as appropriate.
  • the communication terminal apparatus 300 selects the terminal-side random value (second random value) a as represented by the following formula (4). And the communication terminal device 300 calculates the 1st certification
  • Communication terminal apparatus 300 randomly selects one codeword from a predetermined error correction code group C as mask value c ′, as represented by the following Expression (6). Moreover, the communication terminal device 300 calculates the key concealment information k ′ obtained by concealing the key information k using the mask value c ′ as represented by the following formula (7).
  • the user 610 looks into the camera 630 connected to the biometric authentication device 500 and photographs the iris of the pupil. That is, the camera 630 is a biological sensor for acquiring an iris.
  • the communication terminal device 300 transmits the key concealment information k ′ and the first certification information Y to the biometric authentication device 500.
  • the biometric authentication device 500 receives the captured image data from the camera 630 as the biometric information x ′ at the time of authentication and receives the key confidential information k ′, the biometric authentication device 500 obtains the registration-time conversion template w and the public key information W corresponding to the user 610. Obtained from the authentication information storage device 400.
  • the biometric authentication device 500 performs error correction processing on the exclusive OR of the authentication biometric information x ′, the key confidential information k ′, and the registration conversion template w, and calculates error-corrected information c ′′. To do. This is expressed, for example, by the following formula (8).
  • “Decode” in Expression (8) is a decoding algorithm associated with the error correction code group C.
  • biometric information used for authentication is a fingerprint
  • a fingerprint sensor (not shown) is used instead of the camera 630
  • a vein sensor (Not shown).
  • a voiceprint analyzer (not shown) having a microphone is used instead of the camera 630. In this case, each sensor and analysis device extracts a feature amount from the acquired data and inputs the feature amount to the biometric authentication device 500 as biometric information x ′ during authentication.
  • the biometric authentication device 500 selects the device-side random value (first random value) b as represented by the following formula (9). Then, biometric authentication device 500 transmits device-side random value b and error-corrected information c ′′ to communication terminal device 300.
  • the communication terminal device 300 When receiving the device-side random value b and the error-corrected information c ′′, the communication terminal device 300 calculates the proved information c ′ ′′ as represented by the following formula (10). Then, the communication terminal device 300 calculates the second proof information z using the proved information c ′ ′′ and the device-side random value b as represented by the following equation (11). Then, the communication terminal device 300 transmits the second certification information z to the biometric authentication device 500.
  • the biometric authentication device 500 uses the received first proof information Y and second proof information z to determine whether or not the following expression (12) holds, so that the biometric information at the time of authentication is obtained. It is determined whether it is similar to biometric information at the time of registration.
  • This expression (12) is a logical expression in an authentication protocol based on the zero knowledge proof proposed in Non-Patent Document 1.
  • the biometric authentication device 500 outputs information indicating “Accept” to the operating device 640 (for example, an ATM functional unit) using the biometric authentication result when it is determined that the information matches.
  • the biometric authentication device 500 may output information indicating rejection when it is determined that the information does not match.
  • a detection error usually exists between the biometric information x at registration and the biometric information x ′ at authentication. Therefore, if the authentication biometric information x ′ can be expressed using the detection error e as in the following equation (13), the error-corrected information c ′′ described above is expressed as in the following equation (14). Can be represented.
  • the biometric authentication system 100 can correctly perform biometric authentication depending on whether or not Expression (12) is satisfied.
  • the biometric authentication system 100 can prevent a spoofing attack even when the registration conversion template w and the key information k leak.
  • FIG. 3 is a block diagram showing the configuration of the registration apparatus 200.
  • the registration device 200 includes a biometric information acquisition unit 210 at registration, an ID issuing unit 220, a key issuing unit 230, an authentication parameter generating unit 240, an authentication information generating unit 250, and a registration unit 260.
  • the biometric information acquisition unit 210 at the time of registration acquires biometric information x at the time of registration from the user via a biometric sensor (for example, the camera 620 in FIG. 2) and outputs it to the authentication parameter generation unit 240 at the time of registration.
  • a biometric sensor for example, the camera 620 in FIG. 2
  • the biometric information acquisition unit 210 outputs an information issue instruction to the ID issuing unit 220 and the key issuing unit 230.
  • the ID issuing unit 220 issues an ID information id that is unique for each user, and outputs the ID information id to the registration unit 260.
  • the key issuing unit 230 Each time the information issuing instruction is input, the key issuing unit 230 generates and issues the key information k, and outputs the key information k to the registration unit 260 and the authentication information generating unit 250.
  • the key information k is, for example, a random number having a certain length.
  • the authentication parameter generation unit 240 generates an authentication parameter c each time biometric information x at registration is input (see Expression (1)), and outputs the authentication parameter c and biometric information x at registration to the authentication information generation unit 250. To do.
  • the authentication information generation unit 250 When the registration biometric information x, the corresponding key information k, and the authentication parameter c are input, the authentication information generation unit 250 generates a registration conversion template w and public key information W (formula (2)). And formula (3)). Then, the authentication information generation unit 250 outputs the registration conversion template w and the public key information W to the registration unit 260.
  • the registration unit 260 is connected only to the user's communication terminal device 300 at the time of registration, and is always connected to the authentication information storage device 400.
  • registration unit 260 receives registration-time conversion template w and ID information id, key information k, and public key information W corresponding thereto, first, ID information id and key information k are transmitted to communication terminal device. To 300. Then, the registration unit 260 sets the ID information id, the registration-time conversion template w, and the public key information W as a set and transmits them to the authentication information storage device 400.
  • Such a registration device 200 can acquire biometric information x at the time of registration, register key information k in the communication terminal device 300, and register a conversion template w at registration time and public key information W in the authentication information storage device 400. it can.
  • FIG. 4 is a block diagram showing the configuration of the communication terminal device 300. As shown in FIG. 4
  • the communication terminal apparatus 300 includes a registration information storage unit 310, a mask value generation unit 320, a key concealment unit 330, an authentication parameter extraction unit 340, and a zero knowledge proof unit 350.
  • the registration information storage unit 310 is connected to the registration device 200 only at the time of registration. When receiving the ID information id and the key information k from the registration device 200, the registration information storage unit 310 holds them.
  • the mask value generation unit 320 generates a mask value c ′ (see Expression (6)) and outputs it to the key concealment unit 330.
  • the generation and output of the mask value c ′ is performed using, for example, an instruction input by the biometric authentication device 500 at the time of authentication as a trigger.
  • the key concealment unit 330 connects to the biometric authentication device 500 only at the time of authentication. Each time the mask value c ′ is input, the key concealment unit 330 reads the ID information id and the key information k from the registration information storage unit 310 and generates the key concealment information k ′ (see Expression (7)). Then, the key concealment unit 330 transmits the ID information id and the key concealment information k ′ to the biometric authentication device 500 and outputs the mask value c ′ to the authentication parameter extraction unit 340.
  • the authentication parameter extraction unit 340 connects to the biometric authentication device 500 only at the time of authentication.
  • the key concealing unit 330 Upon receiving the error-corrected information c ′′ and the device-side random value b from the biometric authentication device 500, the key concealing unit 330 generates the proved information c ′ ′′ using the input mask value c ′ ( (Refer Formula (10)). Then, the authentication parameter extraction unit 340 outputs the device-side random value b and the proved information c ′ ′′ to the zero knowledge proof unit 350.
  • the zero knowledge proof unit 350 connects to the biometric authentication device 500 only at the time of authentication.
  • the zero knowledge proof unit 350 selects the terminal-side random value a (see equation (4)), calculates first proof information Y (see equation (5)), and calculates the calculated first proof Information Y is transmitted to biometric authentication device 500.
  • the zero knowledge proof unit 350 calculates the second proof information z (see Expression (11)), 2 proof information z is transmitted to the biometric authentication device 500.
  • Such a communication terminal device 300 can hold the registered ID information id and key information k. And the communication terminal device 300 transmits the key confidential information k ′ concealed by the mask value c ′, the ID information id, and the first certification information Y to the biometric authentication device 500 at the time of biometric authentication. Can do. Also, the communication terminal device 300 can receive the error-corrected information c ′′ and the device-side random value b, and generate and return the second certification information z based on the received information.
  • FIG. 5 is a block diagram showing the configuration of the authentication information storage device 400. As shown in FIG.
  • the authentication information storage device 400 includes an authentication information storage unit 410 and a search unit 420.
  • the authentication information storage unit 410 is always connected to the registration device 200.
  • the authentication information storage unit 410 receives a set of the ID information id, the registration time conversion template w, and the public key information W from the registration device 200, the authentication information storage unit 410 holds the set.
  • the search unit 420 is always connected to the biometric authentication device 500. Each time the ID information id is specified from the biometric authentication device 500, the search unit 420 searches the registration time conversion template w and public key information W paired with the specified ID information id, and the biometric authentication device 500 Reply to
  • Such an authentication information storage device 400 can hold a set of registered ID information id, registration conversion template w, and public key information W in a state that can be read from the biometric authentication device 500 at all times.
  • FIG. 6 is a block diagram showing a configuration of the biometric authentication device 500. As shown in FIG. 6
  • the biometric authentication apparatus 500 includes an authentication biometric information acquisition unit 510, an authentication information acquisition unit 520, an error correction processing unit 530, and a zero knowledge proof processing unit 540.
  • the authentication biometric information acquisition unit 510 acquires the authentication biometric information x ′ from the person to be authenticated via the biometric sensor (for example, the camera 630 in FIG. 2) and outputs the authentication biometric information x ′ to the authentication information acquisition unit 520.
  • the biometric sensor for example, the camera 630 in FIG. 2
  • the authentication information acquisition unit 520 is always connected to the authentication information storage device 400 and is connected to the communication terminal device of the person to be authenticated only at the time of authentication.
  • this communication terminal device includes a device that is not the communication terminal device 300 according to the present invention, it is assumed here that the communication terminal device is connected to the communication terminal device 300 in order to simplify the description.
  • the authentication information acquisition unit 520 receives the ID information id and the key concealment information k ′ from the communication terminal device at the time of authentication, and when the authentication biometric information x ′ is input, the authentication information storage device 400 converts at the time of registration.
  • a template w and public key information W are requested. This request is made by transmitting the received ID information id to the authentication information storage device 400 and specifying it.
  • the authentication information acquisition unit 520 Upon receiving the registration conversion template w and the public key information W, the authentication information acquisition unit 520 performs error correction processing on the authentication biometric information x ′, the registration conversion template w, the public key information W, and the key confidential information k ′. Output to the unit 530.
  • the error correction processing unit 530 When the authentication biometric information x ′, the registration conversion template w, the public key information W, and the key confidential information k ′ are input, the error correction processing unit 530 generates post-error correction information c ′′ (formula ( 8), and output to the zero knowledge proof processing unit 540.
  • the zero knowledge proof processing unit 540 is connected to the communication terminal device 300 only at the time of authentication.
  • the zero knowledge proof processing unit 540 selects the terminal-side random value b (see Equation (9)), the error-corrected information c ′′, and the terminal-side random value b. Is transmitted to the communication terminal device 300.
  • the zero knowledge proof processing unit 540 receives the first proof information Y and the second proof information z from the communication terminal device 300, the zero knowledge proof processing unit 540 determines the success or failure of the authentication based on the zero knowledge proof (formula (12)). reference).
  • Such a biometric authentication device 500 can acquire biometric information x ′ during authentication from the person to be authenticated. Then, the biometric authentication device 500 obtains the corresponding key concealment information k ′, the registration conversion template w, and the public key information W, generates error-corrected information c ′′, and transmits it to the communication terminal device 300. be able to. In addition, the biometric authentication device 500 performs biometric authentication based on the first certification information Y and the second certification information z received from the communication terminal device 300 using the device-side random value b transmitted in the same manner. It can be carried out.
  • the registration device 200, the communication terminal device 300, the authentication information storage device 400, and the biometric authentication device 500 described above are not illustrated, but may be storage media such as a CPU (central processing unit) and a RAM (random access memory). Have each. In this case, each functional unit described above is realized by each CPU executing a control program.
  • FIG. 7 is a flowchart showing the operation of the registration apparatus 200.
  • the biometric information acquisition unit 210 at registration determines whether biometric information x at registration is newly input, that is, whether registration is started.
  • the biometric information acquisition unit 210 during registration proceeds to step S1200 when the biometric information x during registration has not been input (S1100: NO).
  • the biometric information acquisition unit 210 at the time of registration proceeds to step S1300 when the biometric information x at the time of registration is input (S1100: YES).
  • step S1300 the ID issuing unit 220 issues ID information id.
  • step S1400 the key issuing unit 230 issues key information k.
  • step S1500 the authentication parameter production
  • step S1600 the authentication information generation unit 250 generates a registration conversion template w and public key information W from the key information k, the authentication parameter c, and the registration biometric information (formula (2) and formula (3) )reference). In addition, when the registration information conversion template w and the public key information W are generated, the authentication information generation unit 250 deletes the basic authentication parameter c from all the storage media of the registration device 200.
  • step S1700 registration unit 260 transmits ID information id and key information k to communication terminal apparatus 300.
  • step S1800 registration unit 260 transmits the set of ID information id, registration conversion template w, and public key information W to authentication information storage device 400, and proceeds to step S1200.
  • step S1200 the biometric information acquisition unit 210 at the time of registration determines whether the end of the process has been instructed by a user operation or the like. When the biometric information acquisition unit 210 is not instructed to end the process (S1200: NO), the biometric information acquisition unit 210 returns to step S1100. Moreover, the biometric information acquisition part 210 at the time of a registration complete
  • the registration apparatus 200 issues key information k and registers it in the communication terminal apparatus 300, generates a registration conversion template w and public key information W, and stores authentication information. It can be registered in the device 400.
  • FIG. 8 is a flowchart showing the operation of the communication terminal device 300.
  • step S2100 the registration information storage unit 310 determines whether or not the ID information id and the key information k are received from the registration device 200. If the registration information storage unit 310 has not received the ID information id and the key information k (S2100: NO), the process proceeds to step S2200. If the registration information storage unit 310 receives the ID information id and the key information k (S2100: YES), the registration information storage unit 310 proceeds to step S2300.
  • step S2300 the registration information storage unit 310 stores and holds the received ID information id and key information k, and proceeds to step S2200.
  • step S2200 the mask value generation unit 320 determines whether authentication has started. As described above, this determination is performed, for example, by determining whether a predetermined user operation has been performed. If the authentication has not started (S2200: NO), the mask value generation unit 320 proceeds to step S2400. Further, when the authentication is started (S2200: YES), the mask value generation unit 320 proceeds to step S2500.
  • step S2500 the mask value generation unit 320 generates a mask value c ′ (see Expression (6)).
  • step S2600 the key concealment unit 330 generates the key concealment information k ′ from the mask value c ′ and the key information (see Expression (7)), and the biometric authentication device 500 uses the ID information id and the key concealment information k ′.
  • the zero knowledge proof unit 350 selects the terminal-side random value a (see Expression (4)), and generates first proof information Y from the terminal random value a (Expression (5)). For example, each time the ID information id and the key secret information k ′ are transmitted, the zero knowledge proof unit 350 selects the terminal-side random value a and transmits the first proof information Y to the biometric authentication device 500.
  • step S 2700 the authentication parameter extraction unit 340 receives the error-corrected information c ′′ and the device-side random value b from the biometric authentication device 500. Then, the authentication parameter extraction unit 340 generates proved information c ′ ′′ from the mask value c ′ and the error-corrected information c ′′ (see Expression (10)).
  • step S2800 zero knowledge proof unit 350 generates second proof information z from terminal random value a, device random value b, and proved information c ′′ ′ (see Expression (11)). . Then, the zero knowledge proof unit 350 transmits the second proof information z to the biometric authentication device 500, and proceeds to step S2400.
  • step S2400 the mask value generation unit 320 determines whether or not the end of the process is instructed by a user operation or the like.
  • the mask value generation unit 320 returns to step S2200 when the end of the process is not instructed (S2400: NO). Further, when instructed to end the process (S2400: YES), the mask value generation unit 320 ends the series of processes.
  • the communication terminal device 300 can transmit different key concealment information k ′ and first proof information Y to the biometric authentication device 500 each time authentication is performed. Then, the communication terminal device 300 uses the mask value c ′ used for generating the key concealment information k ′ and the error-corrected information c ′′ sent from the biometric authentication device 500 to provide the proved information c ′. '' Can be generated. The communication terminal device 300 conceals the proved information c ′ ′′ using the device-side random value b sent from the biometric authentication device 500 and the terminal-side random value a known only by the communication terminal device 300. The second certification information z can be returned.
  • the authentication information storage unit 410 stores the ID information id, the registration conversion template w, and the public key information W each time it receives from the registration device 200, and holds it thereafter.
  • the search unit 420 sets the registration-time conversion template w and the public key information W that are paired with the designated ID information id. Is returned to the biometric authentication device 500.
  • the authentication information storage device 400 can hold a set of the registered ID information id, the registration conversion template w, and the public key information W.
  • the authentication information storage device 400 can return the registration conversion template w and the public key information W in response to a request from the biometric authentication device 500.
  • FIG. 9 is a flowchart showing the operation of the biometric authentication device 500.
  • step S3100 the authentication biometric information acquisition unit 510 determines whether or not authentication biometric information x ′ is newly input, that is, whether or not authentication is started. If the biometric information at authentication time 510 is not input (S3100: NO), the biometric information acquisition unit 510 proceeds to step S3200. Further, when the biometric information at authentication time 510 is inputted (S3100: YES), the biometric information acquisition unit 510 proceeds to step S3300.
  • step S3300 the authentication information acquisition unit 520 receives the ID information id, the key concealment information k ′, and the first certification information Y from the communication terminal device 300 of the person to be authenticated, and stores the ID information id in the authentication information. Transfer to device 400.
  • step S3400 the authentication information acquisition unit 520 acquires the registration time conversion template w and the public key information W corresponding to the ID information id from the authentication information storage device 400.
  • step S3500 error correction processing section 530 generates error-corrected information c ′′ from biometric information x ′ at authentication, key concealment information k ′, and conversion template w at registration (see Expression (8)). ).
  • step S3600 zero knowledge proof processing unit 540 selects device-side random value b (see equation (9)), and transmits error-corrected information c ′′ and device-side random value b to communication terminal device 300. To do.
  • step S3700 the zero knowledge proof processing unit 540 receives the second proof information z from the communication terminal device 300, and generates a logical expression in the zero knowledge proof protocol from this (see Expression (12)).
  • step S3800 the zero knowledge proof processing unit 540 determines whether or not the authentication is successful based on whether or not the logical expression holds. If the authentication is successful (S3800: YES), the zero knowledge proof processing unit 540 proceeds to step S3900. If the authentication fails (S3800: NO), the zero knowledge proof processing unit 540 proceeds directly to step S3200.
  • step S3900 the zero knowledge proof processing unit 540 performs predetermined processing when authentication is successful, for example, outputs information indicating acceptance to the operating device 640 illustrated in FIG. 2, and the process proceeds to step S3200.
  • step S3200 the biometric information acquisition unit 510 at the time of authentication determines whether the end of the process is instructed by a user operation or the like. If the biometric information acquisition unit 510 for authentication is not instructed to end the process (S3200: NO), the process returns to step S3100. Further, when instructed to end the process (S3200: YES), the biometric information acquisition unit 510 upon authentication ends a series of processes.
  • the biometric authentication device 500 acquires biometric information at the time of authentication, acquires key confidential information k ′ from the communication terminal device 300, and corresponding registration-time conversion template w and disclosure. Key information W can be acquired. Then, the biometric authentication device 500 can transmit the error-corrected information c ′′ and the device-side random value b to the communication terminal device 300. Furthermore, the biometric authentication device 500 determines whether or not the authentication has succeeded based on the first proof information Y received earlier and the second proof information z that conceals the returned proof information c ′ ′′. Can be determined.
  • the authentication parameter c used for registration in the communication terminal device 300 is restored as the proved information c ′ ′′, and the correct authentication parameter c is restored. Authenticate based on whether or not.
  • the biometric authentication system 100 also uses the authentication used at the time of registration in the communication terminal device 300 only when the biometric information at the time of authentication of the registered user and the communication terminal device 300 issued at the time of registration are provided.
  • the parameter c is restored as the proved information c ′ ′′. That is, in the biometric authentication system 100, it is difficult for a malicious third party to obtain the authentication parameter c. Accordingly, the biometric authentication system 100 can prevent the impersonation attack because it is impossible to restore the biometric information x at the time of registration even when both the registration time conversion template w and the key information k are leaked. be able to.
  • the biometric authentication system 100 since the authentication parameter c is restored only in the communication terminal device 300 when the person to be authenticated is a valid user at the time of authentication, the biometric authentication system 100 has a right user and the communication terminal device. The authentication can be successful only when the two of 300 are collected.
  • the authentication information storage device 400 that manages authentication information is operated in an open environment. It becomes possible to do.
  • the authentication information storage device 400 can take the form of a server device provided as a service by a third party. This indicates that it can be implemented on a cloud-type server, and is free from physical and geographical constraints and can be operated at a low cost.
  • the need for robust protection of the biometric authentication device 500 is reduced, and the biometric authentication device 500 can be installed in a public environment exposed to an unspecified number of people, and can also be implemented in consumer devices such as home appliances. Indicates that
  • Embodiment 2 of the present invention is an example in which the terminal-side random value a is transmitted to the biometric authentication device side, and the first certification information Y is calculated on the biometric authentication device side.
  • FIG. 10 is a diagram showing an outline of biometric authentication in the biometric authentication system according to the present embodiment, and corresponds to FIG. 2 of the first embodiment.
  • the biometric authentication system 100a includes a communication terminal device 300a, an authentication information storage device 400a, and a biometric authentication device 500a that are different from the first embodiment.
  • the arrangement of each device is the same as that in the first embodiment.
  • the communication terminal device 300a and the authentication information storage device 400a hold the encryption key K in advance.
  • the communication terminal apparatus 300a calculates random value encryption information E (a) obtained by encrypting the terminal-side random value a as represented by the following equation (17).
  • the communication terminal device 300a transmits the calculated random value encryption information E (a) to the authentication information storage device 400a via the biometric authentication device 500a.
  • K) represents encryption of the random value a by the encryption algorithm AES and the encryption key K.
  • the authentication information storage device 400a decrypts the base terminal-side random value a from the random value encryption information E (a) as represented by the following equation (18). Then, the authentication information storage device 400a calculates the first certification information Y from the decrypted terminal-side random value a (see equation (5)) and transmits it to the biometric authentication device 500a.
  • K) represents the decryption result of the random value encryption information E (a) using the decryption algorithm DEC and the encryption key K.
  • the biometric authentication system 100a can also reduce the possibility of a successful impersonation attack even when the registration conversion template w and the key information k leak. Further, since the first certification information Y is calculated on the biometric authentication device side (the authentication information storage device 400a in this embodiment), the communication terminal device 300 is a low-resource terminal with a slow processing speed. In some cases, the present invention can be applied.
  • FIG. 11 is a block diagram showing a configuration of communication terminal apparatus 300a, and corresponds to FIG. 4 of the first embodiment.
  • the same parts as those in FIG. 4 are denoted by the same reference numerals, and description thereof will be omitted.
  • communication terminal apparatus 300a newly includes random number generation unit 360a, and includes key concealment unit 330a and zero knowledge proof unit 350a different from the key concealment unit and zero knowledge proof unit of the first embodiment. Have.
  • the random number generator 360a selects the terminal-side random value a (see equation (4)), and calculates random value encryption information E (a) using the encryption key K (see equation (17)). Then, the random number generation unit 360a outputs the random value encryption information E (a) to the key concealment unit 330a, and outputs the terminal-side random value a to the zero knowledge proof unit 350a.
  • the key concealment unit 330a transmits the random value encrypted information E (a) to the biometric authentication device 500a together with the ID information id and the key concealment information k ′ at the time of authentication.
  • the zero knowledge proof unit 350a does not generate the terminal-side random value a and the first proof information Y, but uses the terminal-side random value a input from the random number generation unit 360a to generate the second proof information. Only z is calculated and transmitted to the biometric authentication device 500a.
  • FIG. 12 is a block diagram showing the configuration of the authentication information storage device 400a, and corresponds to FIG. 5 of the first embodiment.
  • the same parts as those in FIG. 5 are denoted by the same reference numerals, and description thereof will be omitted.
  • the authentication information storage device 400a newly includes a zero knowledge proof parameter calculation unit 430a, and includes a search unit 420a different from the first embodiment.
  • the search unit 420a performs not only information search in the authentication information storage unit 410 but also information transfer between the biometric authentication device 500a and the zero knowledge proof parameter calculation unit 430a.
  • the zero knowledge proof parameter calculation unit 430a acquires the random value encryption information E (a) sent from the communication terminal device 300a via the biometric authentication device 500a and the search unit 420a. Then, the zero knowledge proof parameter calculation unit 430a uses the encryption key K to decrypt the base terminal side random value a from the random value encryption information E (a) (see Expression (18)), and the first proof The usage information Y is calculated (see formula (5)). Then, the zero knowledge proof parameter calculation unit 430a returns the calculated first proof information Y to the biometric authentication device 500a via the search unit 420a.
  • FIG. 13 is a block diagram showing a configuration of the biometric authentication device 500a, and corresponds to FIG. 6 of the first embodiment.
  • the same parts as those in FIG. 6 are denoted by the same reference numerals, and description thereof will be omitted.
  • the biometric authentication device 500a includes an authentication information acquisition unit 520a, an error correction processing unit 530a, and a zero knowledge proof processing unit 540a different from those in the first embodiment.
  • the authentication information acquisition unit 520a transmits not only the ID information id but also the random value encrypted information E (a) received from the communication terminal device 300a to the authentication information storage device 400a. Then, the authentication information acquisition unit 520a receives not only the registration-time conversion template w and the public key information W but also the returned first certification information Y and outputs it to the error correction processing unit 530a.
  • the error correction processing unit 530a outputs not only the calculated post-error correction information c ′′ but also the input first proof information Y to the zero knowledge proof processing unit 540a.
  • the zero knowledge proof processing unit 540a acquires the first proof information Y from the error correction processing unit 530a, not from the communication terminal device 300a.
  • FIG. 14 is a flowchart showing the operation of the communication terminal device 300a, and corresponds to FIG. 8 of the first embodiment. The same steps as those in FIG. 8 are denoted by the same step numbers, and description thereof will be omitted.
  • step S2510a the random number generation unit 360a selects the terminal-side random value a at the time of authentication (see Expression (4)), and generates random value encryption information E (a) from the terminal-side random value a and the encryption key K. (See equation (17)). Further, the random number generation unit 360a outputs the selected terminal-side random value a to the zero knowledge proof unit 350a.
  • step S2600a key concealment unit 330a generates key concealment information k ′ from mask value c ′ and key information (see Expression (7)), ID information id, key concealment information k ′, and random value encryption.
  • the information E (a) is transmitted to the biometric authentication device 500a.
  • step S2800a the zero knowledge proof unit 350a uses the terminal random value a input from the random number generation unit 360a, the device random value b input from the authentication parameter extraction unit 340, and the proved information c ′ ′′. , Second proof information z is generated (see Expression (11)). Then, the zero knowledge proof unit 350a transmits the generated second proof information z to the biometric authentication device 500, and proceeds to step S2400.
  • the search unit 420a transfers information between the biometric authentication device 500a and the zero knowledge proof parameter calculation unit 430a in parallel with the search process of the registration conversion template w and the public key information W. Specifically, the search unit 420a outputs the random value encryption information E (a) received from the biometric authentication device 500a to the zero knowledge proof parameter calculation unit 430a. In addition, the search unit 420a transmits the first proof information Y input from the zero knowledge proof parameter calculation unit 430a to the biometric authentication device 500a.
  • FIG. 15 is a flowchart showing the operation of the biometric authentication device 500a, and corresponds to FIG. 9 of the first embodiment. The same steps as those in FIG. 9 are denoted by the same step numbers, and description thereof will be omitted.
  • step S3300a the authentication information acquisition unit 520a receives the random value encryption information E (a) together with the ID information id and the key confidential information k ′ from the communication terminal device 300a of the person to be authenticated. Then, the authentication information acquisition unit 520a transfers the received ID information id, key concealment information k ′, and random value encryption information E (a) to the authentication information storage device 400a.
  • step S3400a the authentication information acquisition unit 520a stores the first certification information Y calculated from the random value encryption information E (a) together with the registration conversion template w and the public key information W in the authentication information storage. Acquired from the device 400a.
  • step S3700a the zero knowledge proof processing unit 540a receives only the second proof information z from the communication terminal device 300a and generates a logical expression in the zero knowledge proof protocol (see Expression (12)).
  • the biometric authentication system 100a performs the calculation processing of the first certification information Y on the biometric authentication device 500a side (authentication information storage device 400a). Thereby, biometric authentication system 100a according to the present embodiment can reduce the processing load on communication terminal device 300a as compared with the first embodiment.
  • the third embodiment of the present invention is an example in which the mask value c ′ is further selected on the biometric authentication apparatus side in the second embodiment.
  • FIG. 16 is a diagram showing an outline of biometric authentication in the biometric authentication system according to the third embodiment of the present invention, and corresponds to FIG. 10 of the second embodiment.
  • the biometric authentication system 100b includes a communication terminal device 300b, an authentication information storage device 400b, and a biometric authentication device 500b that are different from the first embodiment.
  • the arrangement of each device is the same as in the second embodiment.
  • the communication terminal device 300b first generates random value encryption information E (a) (see equation (17)) without selecting the mask value c ′ or generating the key concealment information k ′. It transmits to the authentication information storage device 400b via 500b.
  • the authentication information storage device 400b decrypts the base terminal-side random value a from the random value encryption information E (a) (see formula (18)), and calculates the first certification information Y (formula (5)). reference). Furthermore, the authentication information storage device 400b randomly selects the mask value c ′ (see Expression (6)). Then, the authentication information storage device 400b uses the encryption key K to generate mask value encryption information (error correction code encryption information) obtained by encrypting the mask value c ′ as represented by the following equation (19). E (c ′) is calculated. The authentication information storage device 400b transmits the calculated mask value encryption information E (c ′) to the communication terminal device 300b via the biometric authentication device 500b.
  • the communication terminal device 300b decrypts the base mask value c ′ from the mask value encryption information E (c ′) as represented by the following equation (20). Then, the communication terminal device 300b generates key confidential information k ′ from the decrypted mask value c ′ (see Expression (7)) and transmits it to the biometric authentication device 500b.
  • the biometric authentication system 100b according to the present embodiment can further reduce the processing load of the communication terminal device 300b as compared with the second embodiment.
  • FIG. 17 is a block diagram showing a configuration of communication terminal apparatus 300b, and corresponds to FIG. 11 of the second embodiment.
  • the same parts as those in FIG. 11 are denoted by the same reference numerals, and description thereof will be omitted.
  • the communication terminal device 300b does not have the mask value generation unit 320 of the second embodiment, but has a key concealment unit 330b different from the key concealment unit of the second embodiment.
  • the key concealment unit 330b first transmits ID information id and random value encryption information E (a) to the biometric authentication device 500b during authentication.
  • the key concealment unit 330b decrypts the mask value c ′ (see Expression (20)).
  • the key concealment unit 330b generates key concealment information k ′ (see Expression (7)), and transmits the key concealment information k ′ to the biometric authentication device 500b.
  • FIG. 18 is a block diagram illustrating a configuration of the authentication information storage device 400b, and corresponds to FIG. 12 of the second embodiment.
  • the same parts as those in FIG. 12 are denoted by the same reference numerals, and description thereof will be omitted.
  • the authentication information storage device 400b newly includes a mask value generation unit 440b and includes a search unit 420b that is different from the second embodiment.
  • the mask value generation unit 440b selects the mask value c ′ (see Expression (6)), and outputs the mask value encryption information E (c ′) obtained by encrypting the mask value c ′ to the search unit 420b.
  • the selection of the mask value c ′ and the output of the mask value encryption information E (c ′) are performed, for example, using a request for authentication information from the biometric authentication device 500b as a trigger.
  • the search unit 420b performs not only the information search in the authentication information storage unit 410 and the information transfer regarding the zero knowledge proof parameter calculation unit 430a, but also the biometric authentication device for the mask value encrypted information E (c ′) input from the mask value c ′. Transfer to 500b.
  • FIG. 19 is a block diagram showing a configuration of the biometric authentication device 500b, and corresponds to FIG. 13 of the second embodiment.
  • the same parts as those in FIG. 13 are denoted by the same reference numerals, and description thereof will be omitted.
  • the biometric authentication device 500b includes an authentication information acquisition unit 520b that is different from the second embodiment.
  • the authentication information acquisition unit 520b transmits the ID information id and the random value encryption information E (a) to the authentication information storage device 400b. In response to this transmission, the authentication information acquisition unit 520b receives the mask value encrypted information E (c ′) from the authentication information storage device 400b. Then, the authentication information acquisition unit 520b transmits the received mask value encryption information E (c ′) to the communication terminal device 300b. In response to this transmission, the authentication information acquisition unit 520b receives the key concealment information k ′ from the communication terminal device 300b.
  • the authentication information acquisition unit 520b includes the received key concealment information k ′, the registration time conversion template w received from the authentication information storage device 400b, the public key information W, the first certification information Y, and the authentication biometric.
  • the information x ′ is output to the error correction processing unit 530a.
  • FIG. 20 is a flowchart showing the operation of the communication terminal device 300b, and corresponds to FIG. 14 of the second embodiment.
  • the same parts as those in FIG. 14 are denoted by the same reference numerals, and description thereof will be omitted.
  • step S2600b the key concealment unit 330b first transmits only the ID information id and the random value encryption information E (a) to the biometric authentication device 500b.
  • step S2610b the key concealment unit 330b receives the mask value encryption information E (c ′), decrypts the mask value c ′ (see Expression (20)), and generates key concealment information k ′ ( (Refer Formula (7)). Then, the key concealment unit 330b transmits the generated key concealment information k ′ to the biometric authentication device 500b, and proceeds to step S2700.
  • the mask value generation unit 440b selects the mask value c ′ every time the ID information id is received from the biometric authentication device 500b (that is, every time authentication is performed) (see Expression (6)). Then, the mask value generation unit 440b generates mask value encryption information E (c ′) (see Expression (19)) and outputs it to the search unit 420b. In addition, the search unit 420b performs a mask value in parallel with the search process for the registration conversion template w and the public key information W, and the transfer process for the random value encryption information E (a) and the first certification information Y. The encryption information E (c ′) is transferred. Specifically, every time the mask value encryption information E (c ′) is input, the search unit 420b transmits the input mask value encryption information E (c ′) to the biometric authentication device 500b.
  • FIG. 21 is a flowchart showing the operation of the biometric authentication device 500b, and corresponds to FIG. 15 of the second embodiment. The same steps as those in FIG. 15 are denoted by the same step numbers, and description thereof will be omitted.
  • step S3300b the authentication information acquisition unit 520b first receives the ID information id and the random value encryption information E (a) from the communication terminal device 300b. Then, the authentication information acquisition unit 520b transfers the received ID information id and random value encryption information E (a) to the authentication information storage device 400b.
  • step S3400b the authentication information acquisition unit 520b sends the mask value encryption information E (c ′) together with the registration conversion template w, the public key information W, and the first certification information Y to the authentication information storage device. Obtained from 400b. Then, the authentication information acquisition unit 520b transfers the mask value encryption information E (c ′) to the communication terminal device 300b.
  • step S3410b the authentication information acquisition unit 520b receives the key concealment information k ′ generated based on the mask value encryption information E (c ′) from the communication terminal device 300b.
  • the biometric authentication system 100b according to the present embodiment selects the mask value c ′ on the biometric authentication device 500b side (authentication information storage device 400b). Thereby, the biometric authentication system 100b according to the present embodiment can reduce the processing load of the communication terminal device 300a as compared with the second embodiment.
  • the biometric authentication device 500 may acquire the authentication parameter c, receive the proved information c ′ ′′ from the communication terminal device 300, and directly determine whether or not they match.
  • the communication terminal device may be applied to a communication terminal device that does not have a wireless function and is connected to the biometric authentication device 500 by wire.
  • the biometric authentication system 100 specifies the authentication information corresponding to the communication terminal device based on the ID information id, the authentication information corresponding to the communication terminal device may not necessarily be specified. This is because there are cases where the authentication process is performed brute force.
  • two or all of the registration device 200, the authentication information storage device 400, and the biometric authentication device 500 may be arranged as an integrated device.
  • the biometric authentication system, the communication terminal device, the biometric authentication device, and the biometric authentication method according to the present invention can prevent a spoofing attack even when the key information held by the communication terminal device and the registration conversion template leak. It is useful as an authentication system, a communication terminal device, a biometric authentication device, and a biometric authentication method.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Biomedical Technology (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computing Systems (AREA)
  • Collating Specific Patterns (AREA)

Abstract

　鍵情報と登録時変換テンプレートとが漏洩した場合でも成りすまし攻撃を防止することができる生体認証システム。通信端末装置（３００）は、登録時生体情報の鍵情報ｋと所定の誤り訂正符号群の中からランダムに選択されたマスク値ｃ'との排他的論理和である鍵秘匿情報ｋ'を算出し、送られてきた誤り訂正後情報ｃ''とマスク値ｃ'との排他的論理和である被証明情報ｃ'''を算出する。生体認証装置（５００）は、認証時生体情報と、被認証者の通信端末装置（３００）から取得した鍵秘匿情報ｋ'と、登録時生体情報ｘと鍵情報ｋと誤り訂正符号群の中からランダムに選択された認証パラメータｃとの排他的論理和である登録時変換テンプレートｗとの排他的論理和を誤り訂正後情報ｃ''として算出し、これに対応する被証明情報ｃ'''と認証パラメータｃとの一致の度合いに基づいて生体認証を行う。

Description

生体認証システム、通信端末装置、生体認証装置、および生体認証方法
　本発明は、生体認証を行う被認証者の生体情報と被認証者の所持する通信端末装置とを用いて本人確認を行う生体認証システムと、この生体認証システムにおいて用いられる通信端末装置、生体認証装置、および生体認証方法に関する。
　虹彩、指紋、静脈、声紋等の生体情報を用いて個人認証を行う生体認証システムが、データセンター入退室、ＰＣログイン、銀行取引等の各種用途で利用されつつある。
　生体情報は、身体の固有の特徴であり変更が不可能という性質を持つため、漏洩した場合であっても破棄・更新することができない。そのため、近年、生体情報そのものの漏洩のリスクを抑えて生体認証を行うことができる生体認証技術として、キャンセラブルバイオメトリクスが提案されている。
　一般的なキャンセラブルバイオメトリクスでは、まず、登録時に、登録装置は、登録時変換テンプレートを生成する。具体的には、登録装置は、生体情報の特徴量（ここでは「登録時生体情報」という）を、生体情報の提供者本人（以下「ユーザ」という）が所持する通信端末装置に保持された秘密の鍵情報によって変換して、登録時変換テンプレートを生成する。そして、登録装置は、生成された登録時変換テンプレートを、認証サーバに登録しておく。
　一方、認証時に、生体認証装置は、認証時変換テンプレートを生成する。具体的には、生体認証装置は、生体認証を受けようとする人物から取得された生体情報の特徴量（ここでは「認証時生体情報」という）を、ユーザの通信端末装置から取得した鍵情報によって同様に変換して、認証時変換テンプレートを生成する。そして、生体認証装置は、生成された認証時変換テンプレートを、認証サーバに登録された登録時変換テンプレートと照合する。以下、登録時変換テンプレートおよび認証時変換テンプレートの総称、または、いずれか一方を示す語句として、「変換テンプレート」を用いる。
　これにより、生体認証装置は、変換テンプレート同士の照合により認証を行うことができる。また、認証サーバは、生体情報の特徴量ではなく、変換テンプレートを管理するだけでよい。したがって、キャンセラブルバイオメトリクスによれば、生体情報そのものの漏洩リスクを回避することが可能である。
　ところが、この技術では、登録時変換テンプレートもしくは認証時変換テンプレートが漏洩した場合、いわゆる「成りすまし攻撃」が発生するおそれがある。「成りすまし攻撃」とは、悪意の第三者が変換テンプレートを認証サーバに送信し、ユーザになりすまして認証を成功させることである。
　この問題は、登録時変換テンプレートと認証時変換テンプレートとが非常に類似した情報であることに起因する。これらが類似する理由は以下の通りである。登録時変換テンプレートの基の情報である登録時生体情報と、認証時変換テンプレートの基の情報である認証時生体情報とは、同じユーザから取得される情報であるため、非常に類似する。また、この技術では、同一の変換方法および鍵を用いて、登録時変換テンプレートおよび認証時変換テンプレートが生成される。したがって、登録時変換テンプレートと認証時変換テンプレートとは、非常に類似した情報となる。
　したがって、悪意の第三者は、ユーザが所持する通信端末装置、もしくは通信端末装置内に保持する秘密の鍵情報を取得せずとも、いずれかの変換テンプレートを入手し、生体認証装置に対して入力するだけで認証を成功させることができる。
　そこで、変換テンプレートが漏洩した場合でも成りすまし攻撃の防止を可能にする技術が、例えば特許文献１に記載されている。
　特許文献１記載の技術では、認証時に、生体認証装置は、ランダム値を生成し、このランダム値を秘匿に通信端末装置へ送信する。そして、通信端末装置は、上述の鍵情報をこのランダム値を用いて変換し、生体認証装置へ送信する。生体認証装置は、変換後の鍵情報を用いて認証時生体情報を生成し、上述のランダム値を用いて、認証サーバが保持する登録時変換テンプレートとの照合を行う。これにより、特許文献１記載の技術は、登録時変換テンプレートと認証時変換テンプレートとを異なったものにすることができるので、いずれかの変換テンプレートが漏洩したとしても、成りすまし攻撃を防ぐことができる。
特開２００８－９７４３８号公報
C.P.Schnorr, "Efficient signature generation by smart cards," Journal of Cryptology, 4(3), pp. 161-174, 1991
　しかしながら、特許文献１の技術では、登録時変換テンプレートを管理する認証サーバを、インターネットやクラウド等の、専用ネットワークや専用サーバに比べてセキュリティレベルの低いオープンな環境上で運用する場合、成りすまし攻撃のリスクが高くなる。
　理由は以下の通りである。特許文献１の技術は、登録時生体情報を、通信端末装置に保持された秘密の鍵情報で変換した上で、登録時変換テンプレートとして認証サーバに登録する。したがって、かかる技術をインターネット等のオープンな環境上で運用する場合、複数のコンピュータによる総当り攻撃を用いた不正侵入により、管理する登録時変換テンプレートが不正に取得される可能性がある。更に鍵情報が漏洩した場合、または悪意を持った第三者が不正に鍵情報を取得した場合には、登録時変換テンプレートと鍵情報との両方が揃うことになり、基の登録時生体情報を復元することが容易となる。登録時生体情報が復元されれば、悪意の第三者はユーザ本人に完全に成りすますことができる。すなわち、悪意の第三者が、ユーザ本人に成りすまして認証を通過するおそれがある。
　本発明の目的は、通信端末装置が保持する鍵情報と登録時変換テンプレートとが漏洩した場合でも成りすまし攻撃を防止することができる生体認証システム、通信端末装置、生体認証装置、および生体認証方法を提供することである。
　本発明の生体認証システムは、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムであって、前記通信端末装置は、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号との排他的論理和を、鍵秘匿情報として算出する鍵秘匿部と、前記生体認証装置から誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部とを有し、前記生体認証装置は、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から前記誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに基づいて算出された前記被証明情報と、前記誤り訂正後情報の算出に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部とを有する。
　本発明の通信端末装置は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる前記通信端末装置であって、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号との排他的論理和を鍵秘匿情報として算出し、算出した前記鍵秘匿情報を前記生体認証装置へ送信する鍵秘匿部と、前記ユーザが前記生体認証を受けようとする際に前記生体認証装置が取得した認証時生体情報と、送信された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から算出された誤り訂正後情報を取得し、取得した前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、算出された前記被証明情報を秘匿化した情報を、証明用情報として生成し、生成した前記証明用情報を、前記生体認証装置へ送信する証明用情報生成部とを有する。
　本発明の生体認証装置は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる前記生体認証装置であって、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記登録時生体情報に対応付けて発行された鍵情報と誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに対して前記通信端末装置が算出した前記被証明情報と、前記登録時変換テンプレートの生成に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部とを有する。
　本発明の生体認証方法は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる生体認証方法であって、前記通信端末装置が、前記ユーザの登録時生体情報に対応付けて発行された鍵情報と、予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号と、の排他的論理和を、鍵秘匿情報として算出するステップと、前記生体認証装置が、生体認証を受けようとする人物から認証時生体情報を取得し、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得し、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出するステップと、前記通信端末装置が、前記生体認証装置から前記誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出し、前記被証明情報から算出した証明用情報を前記生体認証装置へ送るステップと、前記生体認証装置が、送られた前記誤り訂正後情報に基づいて算出された前記証明用情報と、前記誤り訂正後情報の算出に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行うステップとを有する。
　本発明によれば、通信端末装置が保持する鍵情報と登録時変換テンプレートとが漏洩した場合でも、成りすまし攻撃を防止することができる。
本発明の実施の形態１に係る生体認証システムの構成を示すシステム構成図 本実施の形態１に係る生体認証システムにおける生体認証の概要を示す図 本実施の形態１における登録装置の構成を示すブロック図 本実施の形態１に係る通信端末装置の構成を示すブロック図 本実施の形態１における認証情報格納装置の構成を示すブロック図 本実施の形態１に係る生体認証装置の構成を示すブロック図 本実施の形態１における登録装置の動作を示すフローチャート 本実施の形態１に係る通信端末装置の動作を示すフローチャート 本実施の形態１に係る生体認証装置の動作を示すフローチャート 本発明の実施の形態２に係る生体認証システムにおける生体認証の概要を示す図 本実施の形態２に係る通信端末装置の構成を示すブロック図 本実施の形態２における認証情報格納装置の構成を示すブロック図 本実施の形態２に係る生体認証装置の構成を示すブロック図 本実施の形態２に係る通信端末装置の動作を示すフローチャート 本実施の形態２に係る生体認証装置の動作を示すフローチャート 本発明の実施の形態３に係る生体認証システムにおける生体認証の概要を示す図 本実施の形態３に係る通信端末装置の構成を示すブロック図 本実施の形態３における認証情報格納装置の構成を示すブロック図 本実施の形態３に係る生体認証装置の構成を示すブロック図 本実施の形態３に係る通信端末装置の動作を示すフローチャート 本実施の形態３に係る生体認証装置の動作を示すフローチャート
　以下、本発明の各実施の形態について、図面を参照して詳細に説明する。
　（実施の形態１）
　まず、本発明の実施の形態１に係る生体認証システムのシステム構成について説明する。
　図１は、本実施の形態に係る生体認証システムの構成を示すシステム構成図である。
　図１において、生体認証システム１００は、登録装置２００、通信端末装置３００、認証情報格納装置４００、および生体認証装置５００を有する。
　登録装置２００は、登録段階において、生体認証を受けるユーザから登録時生体情報ｘを取得する毎に、鍵情報ｋを発行する。また、この際、登録装置２００は、予め定められた誤り訂正符号群のうちの１つを、認証パラメータ（第２の誤り訂正符号）ｃとしてランダムに選択する。
　生体情報は、例えば、虹彩、指紋、静脈、声紋、顔等の特徴量である。本実施の形態では、生体情報として虹彩を用いる場合を例として説明する。等の特徴量であり、本実施の形態においては虹彩の特徴量とする。
　登録装置２００は、登録時生体情報ｘと鍵情報ｋと認証パラメータｃとの排他的論理和を、登録時変換テンプレートｗとして算出する。更に、登録装置２００は、認証パラメータｃを秘匿化した情報である公開鍵情報Ｗを生成する。その後、認証パラメータｃは削除され、登録時変換テンプレートｗおよび公開鍵情報Ｗ（認証情報）が認証情報格納装置４００に登録される。
　通信端末装置３００は、登録装置２００および生体認証装置５００との間で無線または有線により通信可能な装置であり、例えば、ユーザが所持する携帯電話機である。通信端末装置３００は、登録段階において、そのユーザの登録時生体情報ｘに対応付けて発行された鍵情報ｋを取得し、これを保持する。そして、通信端末装置３００は、認証前の段階または認証段階において、予め定められた誤り訂正符号群うちの１つをマスク値（第１の誤り訂正符号）ｃ'としてランダムに選択する。そして、通信端末装置３００は、鍵情報ｋとマスク値ｃ'との排他的論理和を、鍵秘匿情報ｋ'として算出する。
　また、通信端末装置３００は、認証段階において、生体認証装置５００から後述の誤り訂正後情報が送られてきた場合に、その誤り訂正後情報と前マスク値ｃ'との排他的論理和を、被証明情報ｃ'''として算出する。そして、通信端末装置３００は、算出された被証明情報ｃ'''を秘匿化した情報を、証明用情報Ｙ、ｚとして、生体認証装置５００へ送信する。
　認証情報格納装置４００は、登録装置２００および生体認証装置５００との間で無線または有線により通信可能な装置であり、例えば、銀行システムのネットワーク上に配置されたサーバである。認証情報格納装置４００は、登録段階において生成された登録時変換テンプレートｗおよび公開鍵情報Ｗを格納し、これらを認証段階まで保持する。
　生体認証装置５００は、ユーザに対して、ユーザの生体情報に基づいて個人認証（登録された本人であるかどうかの確認）を行う装置であり、例えば銀行のＡＴＭ（Automated　Teller　Machine）である。生体認証装置５００は、認証段階において、生体認証を受けようとする人物（以下「被認証者」という）から認証時生体情報ｘ'を取得する毎に、その被認証者が所持する通信端末装置から鍵秘匿情報ｋ'を取得する。なお、鍵秘匿情報ｋ'を取得する相手には、本発明に係る通信端末装置３００ではないもの（例えば悪意の第三者の所持する通信端末装置）も含まれ得る。
　生体認証装置５００は、認証時生体情報ｘ'と、鍵秘匿情報ｋ'と、認証情報格納装置４００に保持された登録時変換テンプレートｗとの排他的論理和から、上述の誤り訂正後情報ｃ''を算出し、被認証者が所持する通信端末装置へ送信する。そして、生体認証装置５００は、通信端末装置から返信されてきた上述の証明用情報Ｙ、ｚと上述の公開鍵情報Ｗとに基づいて、上述の被証明情報ｃ'''と認証パラメータｃとの一致を判定する。
　登録時生体情報と認証時生体情報とが非常に似た情報である場合、被証明情報ｃ'''と認証パラメータｃとは一致する。したがって、このような生体認証システム１００は、被証明情報ｃ'''と認証パラメータｃとの一致から、登録時生体情報と認証時生体情報との一致の度合いを判定することができる。このため、生体認証システム１００は、登録時変換テンプレートｗだけでなく、通信端末装置３００が保持する鍵情報ｋが更に漏洩した場合でも、悪意の第三者には認証パラメータｃが取得されないようにすることができる。また、生体認証システム１００は、登録時変換テンプレートｗと鍵情報ｋとから登録時生体情報の復元ができないようにすることができる。したがって、生体認証システム１００は、成りすまし攻撃を防止することができる。
　ここで、生体認証システム１００における生体認証の概要について説明する。
　図２は、生体認証システム１００における生体認証の概要を示す図である。
　図２に示すように、まず、登録段階において、ユーザ６１０は、登録装置２００に接続されたカメラ６２０を覗き込み、瞳の虹彩を撮影する。カメラ６２０は、つまり、虹彩を取得するための生体センサである。登録装置２００は、撮影された画像のデータを、登録時生体情報ｘとしてカメラ６２０から入力すると、認証パラメータｃとして、予め定められた誤り訂正符号群Ｃから１つの符号語を、ランダムに選択する。これは、例えば、以下の式（１）で表される。また、登録装置２００は、鍵情報ｋを発行し、通信端末装置３００に保持させる。更に、登録装置２００は、認証パラメータｃを用いて、登録時変換テンプレートｗおよび公開鍵情報Ｗをそれぞれ算出する。これは、例えば、以下の式（２）および式（３）で表される。なお、記号ｇは、所定の乗法群の生成元を示す。また、式（３）中のｉ（ｃ）は、認証パラメータｃに対応する整数値である。
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
Figure JPOXMLDOC01-appb-M000003
　なお、登録する生体情報が指紋である場合には、カメラ６２０の代わりに指紋センサ（図示せず）を用い、登録する生体情報が静脈の場合には、カメラ６２０の代わりに静脈センサ（図示せず）を用いる。また、登録する生体情報が声紋である場合には、カメラ６２０の代わりにマイクを具備する声紋分析装置（図示せず）を用いる。この場合、各センサ、分析装置は取得したデータから特徴量を抽出し、登録時生体情報ｘとして登録装置２００へ入力する。
　算出された登録時変換テンプレートｗおよび公開鍵情報Ｗは、認証情報格納装置４００に保持され、適宜、生体認証装置５００によって読み出される。
　そして、認証の前の段階または認証段階において、通信端末装置３００は、以下の式（４）で表されるように、端末側ランダム値（第２のランダム値）ａを選択する。そして、通信端末装置３００は、端末側ランダム値ａを用いて、以下の式（５）で表されるように、第１の証明用情報Ｙを算出する。
Figure JPOXMLDOC01-appb-M000004
Figure JPOXMLDOC01-appb-M000005
　また、通信端末装置３００は、以下の式（６）で表されるように、マスク値ｃ'として、予め定められた誤り訂正符号群Ｃから１つの符号語を、ランダムに選択する。また、通信端末装置３００は、マスク値ｃ’を用いて、以下の式（７）で表されるように、鍵情報ｋを秘匿化した鍵秘匿情報ｋ'を算出する。
Figure JPOXMLDOC01-appb-M000006
Figure JPOXMLDOC01-appb-M000007
　そして、認証段階において、ユーザ６１０は、生体認証装置５００に接続されたカメラ６３０を覗き込み、瞳の虹彩を撮影する。カメラ６３０は、つまり、虹彩を取得するための生体センサである。また、通信端末装置３００は、鍵秘匿情報ｋ'と第１の証明用情報Ｙとを、生体認証装置５００へ送信する。生体認証装置５００は、カメラ６３０から撮影画像のデータを認証時生体情報ｘ'として入力し、鍵秘匿情報ｋ'を受信すると、ユーザ６１０に対応する登録時変換テンプレートｗおよび公開鍵情報Ｗを、認証情報格納装置４００から取得する。そして、生体認証装置５００は、認証時生体情報ｘ'と鍵秘匿情報ｋ'と登録時変換テンプレートｗとの排他的論理和に対して誤り訂正処理を行い、誤り訂正後情報ｃ''を算出する。これは、例えば、以下の式（８）で表される。ここで、式（８）中の「Ｄｅｃｏｄｅ」は、誤り訂正符号群Ｃに付随する復号アルゴリズムである。
Figure JPOXMLDOC01-appb-M000008
　なお、認証に用いる生体情報が指紋である場合には、カメラ６３０の代わりに指紋センサ（図示せず）を用い、認証に用いる生体情報が静脈の場合には、カメラ６３０の代わりに静脈センサ（図示せず）を用いる。また、認証に用いる生体情報が声紋である場合には、カメラ６３０の代わりにマイクを具備する声紋分析装置（図示せず）を用いる。この場合、各センサ、分析装置は取得したデータから特徴量を抽出し、認証時生体情報ｘ’として生体認証装置５００へ入力する。
　そして、生体認証装置５００は、以下の式（９）で表されるように、装置側ランダム値（第１のランダム値）ｂを選択する。そして、生体認証装置５００は、装置側ランダム値ｂおよび誤り訂正後情報ｃ''を、通信端末装置３００へ送信する。
Figure JPOXMLDOC01-appb-M000009
　通信端末装置３００は、装置側ランダム値ｂおよび誤り訂正後情報ｃ''を受信すると、以下の式（１０）で表されるように、被証明情報ｃ'''を算出する。そして、通信端末装置３００は、被証明情報ｃ'''および装置側ランダム値ｂを用いて、以下の式（１１）で表されるように、第２の証明用情報ｚを算出する。そして、通信端末装置３００は、第２の証明用情報ｚを、生体認証装置５００へ送信する。
Figure JPOXMLDOC01-appb-M000010
Figure JPOXMLDOC01-appb-M000011
　生体認証装置５００は、受信した第１の証明用情報Ｙおよび第２の証明用情報ｚを用いて、以下の式（１２）が成立するか否かを判定することにより、認証時生体情報が登録時生体情報と類似するか否かを判定する。この式（１２）は、非特許文献１で提案されたゼロ知識証明を基盤とした認証プロトコルにおける論理式である。
Figure JPOXMLDOC01-appb-M000012
　そして、生体認証装置５００は、生体認証結果を利用する作動装置６４０（例えばＡＴＭの機能部）に対し、情報が一致すると判定した場合には受理（Accept）を示す情報を出力する。また、生体認証装置５００は、情報が一致しないと判定した場合には拒絶（Reject）を示す情報を出力しても良い。
　登録時生体情報ｘと認証時生体情報ｘ'との間には、通常、検出誤差が存在する。したがって、認証時生体情報ｘ'を以下の式（１３）のように検出誤差ｅを用いて表すことができるとすると、上述の誤り訂正後情報ｃ''は以下の式（１４）のように表すことができる。
Figure JPOXMLDOC01-appb-M000013
Figure JPOXMLDOC01-appb-M000014
　ところが、検出誤差ｅは、登録時生体情報ｘと鍵秘匿情報ｋ'と登録時変換テンプレートｗとの排他的論理和に対して非常に小さいため、誤り訂正処理によりｅを排除することができる。したがって、ユーザ本人による生体認証が行われている場合には、上述の式（１０）は、以下の式（１５）のように変形される。
Figure JPOXMLDOC01-appb-M000015
　すなわち、ユーザ本人による生体認証においては、被証明情報ｃ'''は認証パラメータｃと一致する。そして、この場合、上述の式（１２）は、以下の式（１６）のように変形され、必ず成り立つことになる。したがって、生体認証システム１００は、式（１２）が成り立つか否かによって、生体認証を正しく行うことができる。
Figure JPOXMLDOC01-appb-M000016
　このような生体認証によれば、登録時変換テンプレートｗと鍵情報ｋの両方が万が一漏洩した場合でも、認証パラメータｃを取得しなければ、基の登録時生体情報ｘを復元することはできない。また、被証明情報ｃ'''は秘匿されるので、認証パラメータｃが漏洩する危険性は非常に低い。したがって、生体認証システム１００は、登録時変換テンプレートｗと鍵情報ｋとが漏洩した場合でも成りすまし攻撃を防ぐことができる。
　次に、各装置の構成について説明する。なお、以下の各装置のブロック図において、説明の簡便化のため、情報の流れを示す記号や他の装置を記載している。
　まず、登録装置２００の構成について説明する。
　図３は、登録装置２００の構成を示すブロック図である。
　図３において、登録装置２００は、登録時生体情報取得部２１０、ＩＤ発行部２２０、鍵発行部２３０、認証パラメータ生成部２４０、認証情報生成部２５０、および登録部２６０を有する。
　登録時生体情報取得部２１０は、登録時に、生体センサ（例えば図２のカメラ６２０）を介して、ユーザから登録時生体情報ｘを取得し、認証パラメータ生成部２４０へ出力する。また、登録時生体情報取得部２１０は、登録時生体情報ｘを認証パラメータ生成部２４０へ出力する毎に、情報発行の指示を、ＩＤ発行部２２０および鍵発行部２３０へ出力する。
　ＩＤ発行部２２０は、情報発行の指示を入力される毎に、ユーザ毎に一意となるＩＤ情報ｉｄを発行し、登録部２６０へ出力する。
　鍵発行部２３０は、情報発行の指示を入力される毎に、鍵情報ｋを生成して発行し、登録部２６０および認証情報生成部２５０へ出力する。鍵情報ｋは、例えば、一定の長さの乱数である。
　認証パラメータ生成部２４０は、登録時生体情報ｘを入力される毎に、認証パラメータｃを生成し（式（１）参照）、認証パラメータｃおよび登録時生体情報ｘを認証情報生成部２５０へ出力する。
　認証情報生成部２５０は、登録時生体情報ｘと、これに対応する鍵情報ｋおよび認証パラメータｃとを入力されると、登録時変換テンプレートｗおよび公開鍵情報Ｗを生成する（式（２）および式（３）参照）。そして、認証情報生成部２５０は、登録時変換テンプレートｗおよび公開鍵情報Ｗを、登録部２６０へ出力する。
　登録部２６０は、ユーザの通信端末装置３００と登録時にのみ接続し、認証情報格納装置４００と常時接続する。登録部２６０は、登録時変換テンプレートｗと、これに対応するＩＤ情報ｉｄ、鍵情報ｋ、および公開鍵情報Ｗとを入力されると、まず、ＩＤ情報ｉｄおよび鍵情報ｋを、通信端末装置３００へ送信する。そして、登録部２６０は、ＩＤ情報ｉｄと登録時変換テンプレートｗと公開鍵情報Ｗとを組にして、認証情報格納装置４００へ送信する。
　このような登録装置２００は、登録時生体情報ｘを取得し、鍵情報ｋを通信端末装置３００へ登録し、登録時変換テンプレートｗおよび公開鍵情報Ｗを認証情報格納装置４００へ登録することができる。
　次に、通信端末装置３００の構成について説明する。
　図４は、通信端末装置３００の構成を示すブロック図である。
　図４において、通信端末装置３００は、登録情報格納部３１０、マスク値生成部３２０、鍵秘匿部３３０、認証パラメータ抽出部３４０、およびゼロ知識証明部３５０を有する。
　登録情報格納部３１０は、登録装置２００と登録時にのみ接続し、登録装置２００からＩＤ情報ｉｄおよび鍵情報ｋを受信すると、これらを保持する。
　マスク値生成部３２０は、マスク値ｃ'を生成し（式（６）参照）、鍵秘匿部３３０へ出力する。マスク値ｃ'の生成および出力は、例えば、認証時に生体認証装置５００によって入力される指示をトリガとして行われる。
　鍵秘匿部３３０は、認証時にのみ生体認証装置５００に接続する。鍵秘匿部３３０は、マスク値ｃ'を入力される毎に、ＩＤ情報ｉｄおよび鍵情報ｋを登録情報格納部３１０から読み出し、鍵秘匿情報ｋ'を生成する（式（７）参照）。そして、鍵秘匿部３３０は、ＩＤ情報ｉｄおよび鍵秘匿情報ｋ'を生体認証装置５００へ送信し、マスク値ｃ'を認証パラメータ抽出部３４０へ出力する。
　認証パラメータ抽出部３４０は、認証時にのみ生体認証装置５００に接続する。鍵秘匿部３３０は、生体認証装置５００から誤り訂正後情報ｃ''および装置側ランダム値ｂを受信すると、入力されたマスク値ｃ'を用いて、被証明情報ｃ'''を生成する（式（１０）参照）。そして、認証パラメータ抽出部３４０は、装置側ランダム値ｂおよび被証明情報ｃ'''を、ゼロ知識証明部３５０へ出力する。
　ゼロ知識証明部３５０は、認証時にのみ生体認証装置５００に接続する。ゼロ知識証明部３５０は、端末側ランダム値ａを選択し（式（４）参照）、第１の証明用情報Ｙを算出して（式（５）参照）、算出された第１の証明用情報Ｙを生体認証装置５００へ送信する。また、ゼロ知識証明部３５０は、装置側ランダム値ｂおよび被証明情報ｃ'''を入力されると、第２の証明用情報ｚを算出し（式（１１）参照）、算出された第２の証明用情報ｚを生体認証装置５００へ送信する。
　このような通信端末装置３００は、登録されたＩＤ情報ｉｄおよび鍵情報ｋを保持しておくことができる。そして、通信端末装置３００は、生体認証時に、マスク値ｃ'により秘匿化した鍵秘匿情報ｋ'と、ＩＤ情報ｉｄと、第１の証明用情報Ｙとを、生体認証装置５００へ送信することができる。また、通信端末装置３００は、誤り訂正後情報ｃ''および装置側ランダム値ｂを受信し、これに基づいて第２の証明用情報ｚを生成して返信することができる。
　次に、認証情報格納装置４００の構成について説明する。
　図５は、認証情報格納装置４００の構成を示すブロック図である。
　図５において、認証情報格納装置４００は、認証情報格納部４１０および検索部４２０を有する。
　認証情報格納部４１０は、登録装置２００と常時接続する。認証情報格納部４１０は、登録装置２００からＩＤ情報ｉｄと登録時変換テンプレートｗと公開鍵情報Ｗとの組を受信すると、これを保持する。
　検索部４２０は、生体認証装置５００と常時接続する。検索部４２０は、生体認証装置５００からＩＤ情報ｉｄを指定される毎に、指定されたＩＤ情報ｉｄと組となっている登録時変換テンプレートｗおよび公開鍵情報Ｗを検索し、生体認証装置５００へ返信する。
　このような認証情報格納装置４００は、生体認証装置５００から常時読み出し可能な状態で、登録されたＩＤ情報ｉｄと登録時変換テンプレートｗと公開鍵情報Ｗとの組を保持することができる。
　次に、生体認証装置５００の構成について説明する。
　図６は、生体認証装置５００の構成を示すブロック図である。
　図６において、生体認証装置５００は、認証時生体情報取得部５１０、認証情報取得部５２０、誤り訂正処理部５３０、およびゼロ知識証明処理部５４０を有する。
　認証時生体情報取得部５１０は、認証時に、生体センサ（例えば図２のカメラ６３０）を介して、被認証者から認証時生体情報ｘ'を取得し、認証情報取得部５２０へ出力する。
　認証情報取得部５２０は、認証情報格納装置４００と常時接続し、被認証者の通信端末装置と認証時にのみ接続する。なお、この通信端末装置は、本発明に係る通信端末装置３００ではないものを含むが、ここでは、説明の簡便化のため、通信端末装置３００と接続しているものとする。認証情報取得部５２０は、認証時に、通信端末装置からＩＤ情報ｉｄおよび鍵秘匿情報ｋ'を受信し、認証時生体情報ｘ'を入力されると、認証情報格納装置４００に対して登録時変換テンプレートｗおよび公開鍵情報Ｗを要求する。この要求は、認証情報格納装置４００に対し、受信したＩＤ情報ｉｄを送信してこれを指定することにより行われる。認証情報取得部５２０は、登録時変換テンプレートｗおよび公開鍵情報Ｗを受信すると、認証時生体情報ｘ'、登録時変換テンプレートｗ、公開鍵情報Ｗ、および鍵秘匿情報ｋ'を、誤り訂正処理部５３０へ出力する。
　誤り訂正処理部５３０は、認証時生体情報ｘ'、登録時変換テンプレートｗ、公開鍵情報Ｗ、および鍵秘匿情報ｋ'を入力されると、誤り訂正後情報ｃ''を生成し（式（８）参照）、ゼロ知識証明処理部５４０へ出力する。
　ゼロ知識証明処理部５４０は、通信端末装置３００と認証時にのみ接続する。ゼロ知識証明処理部５４０は、誤り訂正後情報ｃ''を入力されると、端末側ランダム値ｂを選択し（式（９）参照）、誤り訂正後情報ｃ''および端末側ランダム値ｂを通信端末装置３００へ送信する。そして、ゼロ知識証明処理部５４０は、通信端末装置３００から第１の証明用情報Ｙおよび第２の証明用情報ｚを受信すると、ゼロ知識証明により、認証の成否を判定する（式（１２）参照）。
　このような生体認証装置５００は、被認証者から認証時生体情報ｘ'を取得することができる。そして、生体認証装置５００は、対応する鍵秘匿情報ｋ'、登録時変換テンプレートｗ、および公開鍵情報Ｗを取得して、誤り訂正後情報ｃ''を生成し、通信端末装置３００へ送信することができる。また、生体認証装置５００は、同様に送信した装置側ランダム値ｂを用いて、通信端末装置３００から受信した第１の証明用情報Ｙおよび第２の証明用情報ｚに基づいて、生体認証を行うことができる。
　なお、以上の登録装置２００、通信端末装置３００、認証情報格納装置４００、および生体認証装置５００は、図示しないが、例えば、ＣＰＵ（central processing unit）及びＲＡＭ（random access memory）等の記憶媒体をそれぞれ有する。この場合、上述の各機能部は、各ＣＰＵが制御プログラムを実行することにより実現される。
　次に、各装置の動作について説明する。
　まず、登録装置２００の動作について説明する。
　図７は、登録装置２００の動作を示すフローチャートである。
　まず、Ｓ１１００において、登録時生体情報取得部２１０は、新たに登録時生体情報ｘを入力されたか否か、つまり、登録が開始されたか否かを判断する。登録時生体情報取得部２１０は、登録時生体情報ｘを入力されていない場合には（Ｓ１１００：ＮＯ）、ステップＳ１２００へ進む。また、登録時生体情報取得部２１０は、登録時生体情報ｘを入力された場合には（Ｓ１１００：ＹＥＳ）、ステップＳ１３００へ進む。
　ステップＳ１３００において、ＩＤ発行部２２０は、ＩＤ情報ｉｄを発行する。
　そして、ステップＳ１４００において、鍵発行部２３０は、鍵情報ｋを発行する。
　そして、ステップＳ１５００において、認証パラメータ生成部２４０は、認証パラメータｃを生成する（式（１）参照）。
　そして、ステップＳ１６００において、認証情報生成部２５０は、鍵情報ｋ、認証パラメータｃ、および登録時生体情報から、登録時変換テンプレートｗおよび公開鍵情報Ｗを生成する（式（２）および式（３）参照）。また、認証情報生成部２５０は、登録時変換テンプレートｗおよび公開鍵情報Ｗを生成すると、基の認証パラメータｃを登録装置２００の全ての記憶媒体から削除する。
　そして、ステップＳ１７００において、登録部２６０は、ＩＤ情報ｉｄおよび鍵情報ｋを、通信端末装置３００へ送信する。
　また、ステップＳ１８００において、登録部２６０は、ＩＤ情報ｉｄ、登録時変換テンプレートｗ、および公開鍵情報Ｗの組を、認証情報格納装置４００へ送信して、ステップＳ１２００へ進む。
　ステップＳ１２００において、登録時生体情報取得部２１０は、ユーザ操作等により処理の終了を指示されたか否か判断する。登録時生体情報取得部２１０は、処理の終了を指示されていない場合には（Ｓ１２００：ＮＯ）、ステップＳ１１００へ戻る。また、登録時生体情報取得部２１０は、処理の終了を指示された場合には（Ｓ１２００：ＹＥＳ）、一連の処理を終了する。
　このような動作により、登録装置２００は、登録が行われる毎に、鍵情報ｋを発行して通信端末装置３００に登録し、登録時変換テンプレートｗおよび公開鍵情報Ｗを生成して認証情報格納装置４００に登録することができる。
　次に、通信端末装置３００の動作について説明する。
　図８は、通信端末装置３００の動作を示すフローチャートである。
　まず、ステップＳ２１００において、登録情報格納部３１０は、登録装置２００からＩＤ情報ｉｄおよび鍵情報ｋを受信したか否かを判断する。登録情報格納部３１０は、ＩＤ情報ｉｄおよび鍵情報ｋを受信していない場合には（Ｓ２１００：ＮＯ）、ステップＳ２２００へ進む。また、登録情報格納部３１０は、ＩＤ情報ｉｄおよび鍵情報ｋを受信した場合には（Ｓ２１００：ＹＥＳ）、ステップＳ２３００へ進む。
　ステップＳ２３００において、登録情報格納部３１０は、受信したＩＤ情報ｉｄおよび鍵情報ｋを格納し、保持して、ステップＳ２２００へ進む。
　ステップＳ２２００において、マスク値生成部３２０は、認証が開始されたか否かを判断する。この判断は、上述の通り、例えば、所定のユーザ操作が行われたか否かを判断することにより行われる。マスク値生成部３２０は、認証が開始されていない場合には（Ｓ２２００：ＮＯ）、ステップＳ２４００へ進む。また、マスク値生成部３２０は、認証が開始された場合には（Ｓ２２００：ＹＥＳ）、ステップＳ２５００へ進む。
　ステップＳ２５００において、マスク値生成部３２０は、マスク値ｃ'を生成する（式（６）参照）。
　そして、ステップＳ２６００において、鍵秘匿部３３０は、マスク値ｃ'および鍵情報から鍵秘匿情報ｋ'を生成し（式（７）参照）、ＩＤ情報ｉｄおよび鍵秘匿情報ｋ'を生体認証装置５００へ送信する。また、ゼロ知識証明部３５０は、端末側ランダム値ａを選択し（式（４）参照）、端末ランダム値ａから、第１の証明用情報Ｙを生成する（式（５））。ゼロ知識証明部３５０は、例えば、ＩＤ情報ｉｄおよび鍵秘匿情報ｋ'が送信される毎に、端末側ランダム値ａを選択して第１の証明用情報Ｙを生体認証装置５００へ送信する。
　そして、ステップＳ２７００において、認証パラメータ抽出部３４０は、生体認証装置５００から誤り訂正後情報ｃ''および装置側ランダム値ｂを受信する。そして、認証パラメータ抽出部３４０は、マスク値ｃ'および誤り訂正後情報ｃ''から、被証明情報ｃ'''を生成する（式（１０）参照）。
　そして、ステップＳ２８００において、ゼロ知識証明部３５０は、端末ランダム値ａ、装置ランダム値ｂ、および被証明情報ｃ'''から、第２の証明用情報ｚを生成する（式（１１）参照）。そして、ゼロ知識証明部３５０は、第２の証明用情報ｚを、生体認証装置５００へ送信して、ステップＳ２４００へ進む。
　ステップＳ２４００において、マスク値生成部３２０は、ユーザ操作等により処理の終了を指示されたか否か判断する。マスク値生成部３２０は、処理の終了を指示されていない場合には（Ｓ２４００：ＮＯ）、ステップＳ２２００へ戻る。また、マスク値生成部３２０は、処理の終了を指示された場合には（Ｓ２４００：ＹＥＳ）、一連の処理を終了する。
　このような動作により、通信端末装置３００は、認証が行われる毎に、毎回異なる鍵秘匿情報ｋ'および第１の証明用情報Ｙを生体認証装置５００へ送信することができる。そして、通信端末装置３００は、鍵秘匿情報ｋ'の生成に用いたマスク値ｃ'と、生体認証装置５００から送られてきた誤り訂正後情報ｃ''とを用いて、被証明情報ｃ'''を生成することができる。そして、通信端末装置３００は、生体認証装置５００から送られてきた装置側ランダム値ｂと、通信端末装置３００のみが知る端末側ランダム値ａとを用いて、被証明情報ｃ'''を秘匿化し第２の証明用情報ｚを返送することができる。
　次に、認証情報格納装置４００の動作について説明する。
　認証情報格納部４１０は、登録装置２００からＩＤ情報ｉｄ、登録時変換テンプレートｗ、および公開鍵情報Ｗの組を受信する毎に、これを格納し、以降保持する。また、これと並行して、検索部４２０は、生体認証装置５００からＩＤ情報ｉｄを指定される毎に、指定されたＩＤ情報ｉｄと組となっている登録時変換テンプレートｗおよび公開鍵情報Ｗを検索し、生体認証装置５００へ返信する。このような動作により、認証情報格納装置４００は、登録されたＩＤ情報ｉｄ、登録時変換テンプレートｗ、および公開鍵情報Ｗの組を保持しておくことができる。そして、認証情報格納装置４００は、生体認証装置５００からの要求に応じて、登録時変換テンプレートｗおよび公開鍵情報Ｗを返送することができる。
　次に、生体認証装置５００の動作について説明する。
　図９は、生体認証装置５００の動作を示すフローチャートである。
　まず、ステップＳ３１００において、認証時生体情報取得部５１０は、新たに認証時生体情報ｘ'を入力されたか否か、つまり、認証が開始されたか否かを判断する。認証時生体情報取得部５１０は、認証時生体情報ｘ'を入力されていない場合には（Ｓ３１００：ＮＯ）、ステップＳ３２００へ進む。また、認証時生体情報取得部５１０は、認証時生体情報ｘ'を入力された場合には（Ｓ３１００：ＹＥＳ）、ステップＳ３３００へ進む。
　ステップＳ３３００において、認証情報取得部５２０は、被認証者の通信端末装置３００から、ＩＤ情報ｉｄ、鍵秘匿情報ｋ'、および第１の証明用情報Ｙを受信し、ＩＤ情報ｉｄを認証情報格納装置４００へ転送する。
　そして、ステップＳ３４００において、認証情報取得部５２０は、ＩＤ情報ｉｄに対応する登録時変換テンプレートｗおよび公開鍵情報Ｗを、認証情報格納装置４００から取得する。
　そして、ステップＳ３５００において、誤り訂正処理部５３０は、認証時生体情報ｘ'、鍵秘匿情報ｋ'、および登録時変換テンプレートｗから、誤り訂正後情報ｃ''を生成する（式（８）参照）。
　そして、ステップＳ３６００において、ゼロ知識証明処理部５４０は、装置側ランダム値ｂを選択し（式（９）参照）、誤り訂正後情報ｃ''および装置側ランダム値ｂを通信端末装置３００へ送信する。
　そして、ステップＳ３７００において、ゼロ知識証明処理部５４０は、通信端末装置３００から第２の証明用情報ｚを受信し、これからゼロ知識証明プロトコルにおける論理式を生成する（式（１２）参照）。
　そして、ステップＳ３８００において、ゼロ知識証明処理部５４０は、論理式が成り立つ否かに基づいて、認証が成功したか否かを判断する。ゼロ知識証明処理部５４０は、認証が成功した場合には（Ｓ３８００：ＹＥＳ）、ステップＳ３９００へ進む。また、ゼロ知識証明処理部５４０は、認証が失敗した場合には（Ｓ３８００：ＮＯ）、そのままステップＳ３２００へ進む。
　ステップＳ３９００において、ゼロ知識証明処理部５４０は、例えば図２に示す作動装置６４０に受理を示す情報を出力する等、認証が成功した場合の所定の処理を行い、ステップＳ３２００へ進む。
　ステップＳ３２００において、認証時生体情報取得部５１０は、ユーザ操作等により処理の終了を指示されたか否か判断する。認証時生体情報取得部５１０は、処理の終了を指示されていない場合には（Ｓ３２００：ＮＯ）、ステップＳ３１００へ戻る。また、認証時生体情報取得部５１０は、処理の終了を指示された場合には（Ｓ３２００：ＹＥＳ）、一連の処理を終了する。
　このような動作により、生体認証装置５００は、認証が行われる毎に、認証時生体情報を取得し、通信端末装置３００から鍵秘匿情報ｋ'を取得し、対応する登録時変換テンプレートｗおよび公開鍵情報Ｗを取得することができる。そして、生体認証装置５００は、誤り訂正後情報ｃ''および装置側ランダム値ｂを通信端末装置３００へ送信することができる。更に、生体認証装置５００は、先に受信した第１の証明用情報Ｙと、返送された被証明情報ｃ'''を秘匿化した第２の証明用情報ｚとに基づいて、認証の成否を判定することができる。
　以上のように、本実施の形態に係る生体認証システム１００は、通信端末装置３００内に登録時に用いた認証パラメータｃが被証明情報ｃ'''として復元され、正しい認証パラメータｃが復元されたか否かに基づいて認証を行う。また、生体認証システム１００は、登録を行ったユーザの認証時生体情報と、登録時に発行された通信端末装置３００との２つが揃った場合にのみ、通信端末装置３００内に登録時に用いた認証パラメータｃが被証明情報ｃ'''として復元される構成となっている。すなわち、生体認証システム１００において、悪意の第３者が認証パラメータｃを取得することは困難である。したがって、生体認証システム１００は、登録時変換テンプレートｗと鍵情報ｋとの両方が漏洩した場合でも、登録時生体情報ｘを復元することを不可能にすることができるため、成りすまし攻撃を防止することができる。
　また、生体認証システム１００は、認証時に、被認証者が正当なユーザである場合に、その通信端末装置３００内にのみ認証パラメータｃが復元されることにあるため、正当なユーザと通信端末装置３００との２つがそろった場合にのみ、認証を成功とすることができる。
　また、生体認証システム１００は、生体情報の特徴量の漏洩リスクや、成りすましによる不正な認証通過のリスクを軽減することができるため、認証情報を管理する認証情報格納装置４００をオープンな環境で運用する事が可能となる。例えば、認証情報格納装置４００は、第三者がサービスとして提供するサーバ装置の形態を取ることができる。このことは、クラウド型のサーバでの実施が可能となることを示し、物理的、地理的束縛から自由になる上、低コストでの運用が可能となることを示す。また、生体認証装置５００を堅牢に守る必要性が低減し、生体認証装置５００を不特定多数の人間に晒される衆人環境に設置可能となること、更には、家電のようなコンシューマ機器でも実装可能となることを示す。
　（実施の形態２）
　本発明の実施の形態２は、端末側ランダム値ａを生体認証装置側へ送信し、生体認証装置側で第１の証明用情報Ｙを算出するようにした例である。
　まず、本実施の形態に係る生体認証システムにおける生体認証の概要について説明する。
　図１０は、本実施の形態に係る生体認証システムにおける生体認証の概要を示す図であり、実施の形態１の図２に対応するものである。
　図１０に示すように、本実施の形態に係る生体認証システム１００ａは、実施の形態１とは異なる通信端末装置３００ａ、認証情報格納装置４００ａ、および生体認証装置５００ａを有する。なお、各装置の配置は、実施の形態１と同様である。
　通信端末装置３００ａおよび認証情報格納装置４００ａは、予め、暗号鍵Ｋを保持している。通信端末装置３００ａは、暗号鍵Ｋを用いて、以下の式（１７）で表されるように、端末側ランダム値ａを暗号化したランダム値暗号化情報Ｅ（ａ）を算出する。そして、通信端末装置３００ａは、算出したランダム値暗号化情報Ｅ（ａ）を、生体認証装置５００ａを介して認証情報格納装置４００ａへ送信する。ここで、ＡＥＳ（ａ｜Ｋ）は、暗号化アルゴリズムＡＥＳおよび暗号鍵Ｋによるランダム値ａの暗号化を表す。 
Figure JPOXMLDOC01-appb-M000017
　認証情報格納装置４００ａは、暗号鍵Ｋを用いて、以下の式（１８）で表されるように、ランダム値暗号化情報Ｅ（ａ）から基の端末側ランダム値ａを復号する。そして、認証情報格納装置４００ａは、復号した端末側ランダム値ａから、第１の証明用情報Ｙを算出して（式（５）参照）、生体認証装置５００ａへ送信する。ここで、ＤＥＣ（Ｅ（ａ）｜Ｋ）は、復号アルゴリズムＤＥＣおよび暗号鍵Ｋによるランダム値暗号化情報Ｅ（ａ）の復号結果を表す。
Figure JPOXMLDOC01-appb-M000018
　以降の処理は、実施の形態１と同様である。したがって、本実施の形態に係る生体認証システム１００ａも、登録時変換テンプレートｗと鍵情報ｋとが漏洩した場合でも、成りすまし攻撃が成功する可能性を低減することができる。また、第１の証明用情報Ｙの算出を生体認証装置側（本実施例では認証情報格納装置４００ａ）にて行うようにしたことにより、通信端末装置３００が処理速度の遅い低リソースな端末である場合にも本発明が適用可能となる。
　次に、各装置の構成のうち、実施の形態１と異なる部分について説明する。
　まず、通信端末装置３００ａの構成について説明する。
　図１１は、通信端末装置３００ａの構成を示すブロック図であり、実施の形態１の図４に対応するものである。図４と同一部分には同一符号を付し、これについての説明を省略する。
　図１１に示すように、通信端末装置３００ａは、新たに乱数生成部３６０ａを有し、実施の形態１の鍵秘匿部およびゼロ知識証明部とは異なる鍵秘匿部３３０ａおよびゼロ知識証明部３５０ａを有する。
　乱数生成部３６０ａは、端末側ランダム値ａを選択し（式（４）参照）、暗号鍵Ｋを用いてランダム値暗号化情報Ｅ（ａ）を算出する（式（１７）参照）する。そして、乱数生成部３６０ａは、ランダム値暗号化情報Ｅ（ａ）を鍵秘匿部３３０ａへ出力し、端末側ランダム値ａをゼロ知識証明部３５０ａへ出力する。
　鍵秘匿部３３０ａは、認証時に、ＩＤ情報ｉｄおよび鍵秘匿情報ｋ'と共に、ランダム値暗号化情報Ｅ（ａ）を、生体認証装置５００ａへ送信する。
　ゼロ知識証明部３５０ａは、端末側ランダム値ａの生成および第１の証明用情報Ｙの生成を行わず、乱数生成部３６０ａから入力された端末側ランダム値ａを用いて第２の証明用情報ｚのみを算出し、生体認証装置５００ａへ送信する。
　次に、認証情報格納装置４００ａの構成について説明する。
　図１２は、認証情報格納装置４００ａの構成を示すブロック図であり、実施の形態１の図５に対応するものである。図５と同一部分には同一符号を付し、これについての説明を省略する。
　図１２に示すように、認証情報格納装置４００ａは、ゼロ知識証明パラメータ計算部４３０ａを新たに有し、実施の形態１とは異なる検索部４２０ａを有する。
　検索部４２０ａは、認証情報格納部４１０における情報検索だけでなく、生体認証装置５００ａとゼロ知識証明パラメータ計算部４３０ａとの間で情報の転送を行う。
　ゼロ知識証明パラメータ計算部４３０ａは、生体認証装置５００ａおよび検索部４２０ａを介して通信端末装置３００ａから送られてきたランダム値暗号化情報Ｅ（ａ）を取得する。そして、ゼロ知識証明パラメータ計算部４３０ａは、暗号鍵Ｋを用いて、ランダム値暗号化情報Ｅ（ａ）から基の端末側ランダム値ａを復号し（式（１８）参照）、第１の証明用情報Ｙを算出する（式（５）参照）。そして、ゼロ知識証明パラメータ計算部４３０ａは、算出した第１の証明用情報Ｙを、検索部４２０ａを介して生体認証装置５００ａへ返信する。
　次に、生体認証装置５００ａの構成について説明する。
　図１３は、生体認証装置５００ａの構成を示すブロック図であり、実施の形態１の図６に対応するものである。図６と同一部分には同一符号を付し、これについての説明を省略する。
　図１３に示すように、生体認証装置５００ａは、実施の形態１とは異なる認証情報取得部５２０ａ、誤り訂正処理部５３０ａ、およびゼロ知識証明処理部５４０ａを有する。
　認証情報取得部５２０ａは、ＩＤ情報ｉｄだけでなく、通信端末装置３００ａから受信したランダム値暗号化情報Ｅ（ａ）を、認証情報格納装置４００ａへ送信する。そして、認証情報取得部５２０ａは、登録時変換テンプレートｗおよび公開鍵情報Ｗだけでなく、返信されてきた第１の証明用情報Ｙを受信し、誤り訂正処理部５３０ａへ出力する。
　誤り訂正処理部５３０ａは、算出した誤り訂正後情報ｃ''だけでなく、入力された第１の証明用情報Ｙを、ゼロ知識証明処理部５４０ａへ出力する。
　ゼロ知識証明処理部５４０ａは、第１の証明用情報Ｙを、通信端末装置３００ａからではなく、誤り訂正処理部５３０ａから取得する。
　次に、各装置の動作のうち、実施の形態１と異なる部分について説明する。
　まず、通信端末装置３００ａの動作について説明する。
　図１４は、通信端末装置３００ａの動作を示すフローチャートであり、実施の形態１の図８に対応するものである。図８と同一部分には同一ステップ番号を付し、これについての説明を省略する。
　乱数生成部３６０ａは、ステップＳ２５１０ａにおいて、認証時に、端末側ランダム値ａを選択し（式（４）参照）、端末側ランダム値ａおよび暗号鍵Ｋからランダム値暗号化情報Ｅ（ａ）を生成する（式（１７）参照）。また、乱数生成部３６０ａは、選択した端末側ランダム値ａを、ゼロ知識証明部３５０ａへ出力する。
　そして、ステップＳ２６００ａにおいて、鍵秘匿部３３０ａは、マスク値ｃ'および鍵情報から鍵秘匿情報ｋ'を生成し（式（７）参照）、ＩＤ情報ｉｄ、鍵秘匿情報ｋ'、およびランダム値暗号化情報Ｅ（ａ）を生体認証装置５００ａへ送信する。
　また、ステップＳ２８００ａにおいて、ゼロ知識証明部３５０ａは、乱数生成部３６０ａから入力された端末ランダム値ａと、認証パラメータ抽出部３４０から入力された装置ランダム値ｂおよび被証明情報ｃ'''とから、第２の証明用情報ｚを生成する（式（１１）参照）。そして、ゼロ知識証明部３５０ａは、生成した第２の証明用情報ｚを生体認証装置５００へ送信して、ステップＳ２４００へ進む。
　次に、認証情報格納装置４００ａの動作について説明する。
　検索部４２０ａは、登録時変換テンプレートｗおよび公開鍵情報Ｗの検索処理と並行して、生体認証装置５００ａとゼロ知識証明パラメータ計算部４３０ａとの間の情報の転送を行う。具体的には、検索部４２０ａは、生体認証装置５００ａから受信したランダム値暗号化情報Ｅ（ａ）を、ゼロ知識証明パラメータ計算部４３０ａへ出力する。また、検索部４２０ａは、ゼロ知識証明パラメータ計算部４３０ａから入力された第１の証明用情報Ｙを、生体認証装置５００ａへ送信する。
　次に、生体認証装置５００ａの動作について説明する。
　図１５は、生体認証装置５００ａの動作を示すフローチャートであり、実施の形態１の図９に対応するものである。図９と同一部分には同一ステップ番号を付し、これについての説明を省略する。
　ステップＳ３３００ａにおいて、認証情報取得部５２０ａは、被認証者の通信端末装置３００ａから、ＩＤ情報ｉｄおよび鍵秘匿情報ｋ'と共に、ランダム値暗号化情報Ｅ（ａ）を受信する。そして、認証情報取得部５２０ａは、受信したＩＤ情報ｉｄ、鍵秘匿情報ｋ'、およびランダム値暗号化情報Ｅ（ａ）を、認証情報格納装置４００ａへ転送する。
　そして、ステップＳ３４００ａにおいて、認証情報取得部５２０ａは、登録時変換テンプレートｗおよび公開鍵情報Ｗと共に、ランダム値暗号化情報Ｅ（ａ）から算出された第１の証明用情報Ｙを、認証情報格納装置４００ａから取得する。
　そして、ステップＳ３７００ａにおいて、ゼロ知識証明処理部５４０ａは、通信端末装置３００ａから第２の証明用情報ｚのみを受信して、ゼロ知識証明プロトコルにおける論理式を生成する（式（１２）参照）。
　このように、本実施の形態に係る生体認証システム１００ａは、第１の証明用情報Ｙの算出処理を生体認証装置５００ａ側（認証情報格納装置４００ａ）において行うようにした。これにより、本実施の形態に係る生体認証システム１００ａは、実施の形態１に比べて、通信端末装置３００ａの処理負荷を軽減することができる。
　（実施の形態３）
　本発明の実施の形態３は、実施の形態２において、更にマスク値ｃ'を生体認証装置側で選択するようにした例である。
　まず、本実施の形態に係る生体認証システムにおける生体認証の概要について説明する。
　図１６は、本発明の実施の形態３に係る生体認証システムにおける生体認証の概要を示す図であり、実施の形態２の図１０に対応するものである。
　図１６に示すように、本実施の形態に係る生体認証システム１００ｂは、実施の形態１とは異なる通信端末装置３００ｂ、認証情報格納装置４００ｂ、および生体認証装置５００ｂを有する。なお、各装置の配置は、実施の形態２と同様である。
　通信端末装置３００ｂは、マスク値ｃ'の選択も鍵秘匿情報ｋ'の生成も行わずに、まず、ランダム値暗号化情報Ｅ（ａ）を生成し（式（１７）参照）、生体認証装置５００ｂを介して認証情報格納装置４００ｂへ送信する。
　認証情報格納装置４００ｂは、ランダム値暗号化情報Ｅ（ａ）から基の端末側ランダム値ａを復号し（式（１８）参照）、第１の証明用情報Ｙを算出する（式（５）参照）。更に、認証情報格納装置４００ｂは、マスク値ｃ'をランダムに選択する（式（６）参照）。そして、認証情報格納装置４００ｂは、暗号鍵Ｋを用いて、以下の式（１９）で表されるように、マスク値ｃ'を暗号化したマスク値暗号化情報（誤り訂正符号暗号化情報）Ｅ（ｃ'）を算出する。認証情報格納装置４００ｂは、算出したマスク値暗号化情報Ｅ（ｃ'）を、生体認証装置５００ｂを介して通信端末装置３００ｂへ送信する。
Figure JPOXMLDOC01-appb-M000019
　通信端末装置３００ｂは、暗号鍵Ｋを用いて、以下の式（２０）で表されるように、マスク値暗号化情報Ｅ（ｃ'）から基のマスク値ｃ'を復号する。そして、通信端末装置３００ｂは、復号したマスク値ｃ'から、鍵秘匿情報ｋ'を生成して（式（７）参照）、生体認証装置５００ｂへ送信する。
Figure JPOXMLDOC01-appb-M000020
　以降の処理は、実施の実施の形態２と同様である。したがって、これにより、本実施の形態に係る生体認証システム１００ｂは、実施の形態２に比べて、更に通信端末装置３００ｂの処理負荷を軽減することができる。
　次に、各装置の構成のうち、実施の形態２と異なる部分について説明する。
　まず、通信端末装置３００ｂの構成について説明する。
　図１７は、通信端末装置３００ｂの構成を示すブロック図であり、実施の形態２の図１１に対応するものである。図１１と同一部分には同一符号を付し、これについての説明を省略する。
　図１７に示すように、通信端末装置３００ｂは、実施の形態２のマスク値生成部３２０を有しておらず、実施の形態２の鍵秘匿部とは異なる鍵秘匿部３３０ｂを有する。
　鍵秘匿部３３０ｂは、認証時に、まず、ＩＤ情報ｉｄおよびランダム値暗号化情報Ｅ（ａ）を、生体認証装置５００ｂへ送信する。鍵秘匿部３３０ｂは、生体認証装置５００ｂからマスク値暗号化情報Ｅ（ｃ'）を受信すると、マスク値ｃ'を復号する（式（２０）参照）。そして、鍵秘匿部３３０ｂは、鍵秘匿情報ｋ'を生成して（式（７）参照）、鍵秘匿情報ｋ'を生体認証装置５００ｂへ送信する。
　次に、認証情報格納装置４００ｂの構成について説明する。
　図１８は、認証情報格納装置４００ｂの構成を示すブロック図であり、実施の形態２の図１２に対応するものである。図１２と同一部分には同一符号を付し、これについての説明を省略する。
　図１８に示すように、認証情報格納装置４００ｂは、マスク値生成部４４０ｂを新たに有し、実施の形態２とは異なる検索部４２０ｂを有する。
　マスク値生成部４４０ｂは、マスク値ｃ'を選択し（式（６）参照）、マスク値ｃ'を暗号化したマスク値暗号化情報Ｅ（ｃ'）を検索部４２０ｂへ出力する。マスク値ｃ'の選択およびマスク値暗号化情報Ｅ（ｃ'）の出力は、例えば、生体認証装置５００ｂからの認証情報の要求をトリガとして行われる。
　検索部４２０ｂは、認証情報格納部４１０における情報検索およびゼロ知識証明パラメータ計算部４３０ａに関する情報転送だけでなく、マスク値ｃ'から入力されたマスク値暗号化情報Ｅ（ｃ'）の生体認証装置５００ｂへの転送を行う。
　次に、生体認証装置５００ｂの構成について説明する。
　図１９は、生体認証装置５００ｂの構成を示すブロック図であり、実施の形態２の図１３に対応するものである。図１３と同一部分には同一符号を付し、これについての説明を省略する。
　図１９に示すように、生体認証装置５００ｂは、実施の形態２とは異なる認証情報取得部５２０ｂを有する。
　認証情報取得部５２０ｂは、ＩＤ情報ｉｄおよびランダム値暗号化情報Ｅ（ａ）を認証情報格納装置４００ｂへ送信する。認証情報取得部５２０ｂは、この送信に対応して、認証情報格納装置４００ｂからマスク値暗号化情報Ｅ（ｃ'）を受信する。そして、認証情報取得部５２０ｂは、受信したマスク値暗号化情報Ｅ（ｃ'）を、通信端末装置３００ｂへ送信する。認証情報取得部５２０ｂは、この送信に対応して、通信端末装置３００ｂから鍵秘匿情報ｋ'を受信する。そして、認証情報取得部５２０ｂは、受信した鍵秘匿情報ｋ'と、認証情報格納装置４００ｂから受信した登録時変換テンプレートｗ、公開鍵情報Ｗ、および第１の証明用情報Ｙと、認証時生体情報ｘ'とを、誤り訂正処理部５３０ａへ出力する。
　次に、各装置の動作のうち、実施の形態２と異なる部分について説明する。
　まず、通信端末装置３００ｂの動作について説明する。
　図２０は、通信端末装置３００ｂの動作を示すフローチャートであり、実施の形態２の図１４に対応するものである。図１４と同一部分には同一符号を付し、これについての説明を省略する。
　鍵秘匿部３３０ｂは、ステップＳ２６００ｂにおいて、ＩＤ情報ｉｄおよびランダム値暗号化情報Ｅ（ａ）のみをまず生体認証装置５００ｂへ送信する。
　そして、ステップＳ２６１０ｂにおいて、鍵秘匿部３３０ｂは、マスク値暗号化情報Ｅ（ｃ'）を受信し、マスク値ｃ'を復号し（式（２０）参照）、鍵秘匿情報ｋ'を生成する（式（７）参照）。そして、鍵秘匿部３３０ｂは、生成した鍵秘匿情報ｋ'を、生体認証装置５００ｂへ送信して、ステップＳ２７００へ進む。
　次に、認証情報格納装置４００ｂの動作について説明する。
　マスク値生成部４４０ｂは、生体認証装置５００ｂからＩＤ情報ｉｄを受信する毎に（つまり認証が行われる毎に）、マスク値ｃ'を選択する（式（６）参照）。そして、マスク値生成部４４０ｂは、マスク値暗号化情報Ｅ（ｃ'）を生成して（式（１９）参照）、検索部４２０ｂへ出力する。また、検索部４２０ｂは、登録時変換テンプレートｗおよび公開鍵情報Ｗの検索処理、並びに、ランダム値暗号化情報Ｅ（ａ）および第１の証明用情報Ｙの転送処理と並行して、マスク値暗号化情報Ｅ（ｃ'）の転送処理を行う。具体的には、検索部４２０ｂは、マスク値暗号化情報Ｅ（ｃ'）を入力される毎に、入力されたマスク値暗号化情報Ｅ（ｃ'）を生体認証装置５００ｂへ送信する。
　次に、生体認証装置５００ｂの動作について説明する。
　図２１は、生体認証装置５００ｂの動作を示すフローチャートであり、実施の形態２の図１５に対応するものである。図１５と同一部分には同一ステップ番号を付し、これについての説明を省略する。
　認証情報取得部５２０ｂは、ステップＳ３３００ｂにおいて、認証情報取得部５２０ｂは、通信端末装置３００ｂから、ＩＤ情報ｉｄおよびランダム値暗号化情報Ｅ（ａ）をまず受信する。そして、認証情報取得部５２０ｂは、受信したＩＤ情報ｉｄおよびランダム値暗号化情報Ｅ（ａ）を、認証情報格納装置４００ｂへ転送する。
　そして、ステップＳ３４００ｂにおいて、認証情報取得部５２０ｂは、登録時変換テンプレートｗ、公開鍵情報Ｗ、および第１の証明用情報Ｙと共に、マスク値暗号化情報Ｅ（ｃ'）を、認証情報格納装置４００ｂから取得する。そして、認証情報取得部５２０ｂは、マスク値暗号化情報Ｅ（ｃ'）を、通信端末装置３００ｂへ転送する。
　そして、ステップＳ３４１０ｂにおいて、認証情報取得部５２０ｂは、通信端末装置３００ｂから、マスク値暗号化情報Ｅ（ｃ'）に基づいて生成された鍵秘匿情報ｋ'を受信する。
　このように、本実施の形態に係る生体認証システム１００ｂは、マスク値ｃ'の選択を生体認証装置５００ｂ側（認証情報格納装置４００ｂ）において行うようにした。これにより、本実施の形態に係る生体認証システム１００ｂは、実施の形態２に比べて、通信端末装置３００ａの処理負荷を軽減することができる。
　なお、以上説明した実施の形態では、ゼロ知識証明を用いて被証明情報ｃ'''を秘匿化したが、必ずしも秘匿化しなくても良い。この場合には、生体認証装置５００は、認証パラメータｃを取得し、通信端末装置３００から被証明情報ｃ'''を受信し、これらが一致するか否かを直接に判定すれば良い。
　また、本発明に係る通信端末装置は、無線機能を有さず有線により生体認証装置５００と接続する通信端末装置に適用しても良い。
　また、生体認証システム１００は、ＩＤ情報ｉｄに基づいて通信端末装置に対応する認証情報を特定するようにしたが、必ずしも通信端末装置に対応する認証情報を特定しなくても良い。これは、総当り的に認証処理を行う場合等もあるためである。
　また、登録装置２００、認証情報格納装置４００、および生体認証装置５００のうち、２つまたは全ては、一体的な装置として配置されても良い。
　２０１０年９月３０日出願の特願２０１０－２２１３７９の日本出願に含まれる明細書、図面および要約書の開示内容は、すべて本願に援用される。
　本発明に係る生体認証システム、通信端末装置、生体認証装置、および生体認証方法は、通信端末装置が保持する鍵情報と登録時変換テンプレートとが漏洩した場合でも成りすまし攻撃を防止することができる生体認証システム、通信端末装置、生体認証装置、および生体認証方法として有用である。
　１００、１００ａ、１００ｂ　生体認証システム
　２００　登録装置
　２１０　登録時生体情報取得部
　２２０　ＩＤ発行部
　２３０　鍵発行部
　２４０　認証パラメータ生成部
　２５０　認証情報生成部
　２６０　登録部
　３００、３００ａ、３００ｂ　通信端末装置
　３１０　登録情報格納部
　３２０　マスク値生成部
　３３０、３３０ａ、３３０ｂ　鍵秘匿部
　３４０　認証パラメータ抽出部
　３５０、３５０ａ　ゼロ知識証明部
　３６０ａ　乱数生成部
　４００、４００ａ、４００ｂ　認証情報格納装置
　４１０　認証情報格納部
　４２０、４２０ａ、４２０ｂ　検索部
　４３０ａ　ゼロ知識証明パラメータ計算部
　４４０ｂ　マスク値生成部
　５００、５００ａ、５００ｂ　生体認証装置
　５１０　認証時生体情報取得部
　５２０、５２０ａ、５２０ｂ　認証情報取得部
　５３０、５３０ａ　誤り訂正処理部
　５４０、５４０ａ　ゼロ知識証明処理部
　６２０、６３０　カメラ
　６４０　作動装置
 

Claims (8)

  1. 　生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムであって、
    　前記通信端末装置は、
    　前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、
    　保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号との排他的論理和を、鍵秘匿情報として算出する鍵秘匿部と、
    　前記生体認証装置から誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、を有し、
    　前記生体認証装置は、
    　生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、
    　前記人物が所持する通信端末装置から前記鍵秘匿情報を取得する認証情報取得部と、
    　取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から前記誤り訂正後情報を算出する誤り訂正処理部と、
    　算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに基づいて算出された前記被証明情報と、前記誤り訂正後情報の算出に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部と、を有する、
    　生体認証システム。
  2. 　前記通信端末装置は、
    　前記被証明情報を秘匿化した情報を、証明用情報として生成する証明用情報生成部、を更に有し、
    　前記証明処理部は、
    　前記人物が所持する前記通信端末装置から前記証明用情報を取得し、取得された前記証明用情報と、前記第２の誤り訂正符号を秘匿化した情報である公開鍵情報と、に基づいて、前記一致の度合いを判定する、
    　請求項１記載の生体認証システム。
  3. 　前記公開鍵情報は、所定の乗法群の生成元を底とし前記第２の誤り訂正符号に対応する整数値を指数とする値であり、
    　前記証明用情報は、前記被証明情報に対応する整数値と前記生体認証装置から通知された第１のランダム値との積と前記通信端末装置のみが知る第２のランダム値との和である第２の証明用情報と、前記乗法群の生成元を底とし前記第２のランダム値を指数とする値である第１の証明用情報と、を含み、
    　前記証明処理部は、
    　前記情報群の生成元を底とし前記第２の証明用情報を指数とする値と、前記公開鍵情報を底とし前記第１のランダム値を指数とする値と前記第１の証明用情報との積とが一致するか否かに基づいて、前記前記生体認証を行う、
    　請求項２記載の生体認証システム。
  4. 　前記鍵秘匿部は、
    　前記第２のランダム値を暗号化した情報であるランダム値暗号化情報を前記生体認証装置へ送信し、
    　前記認証情報取得部は、
    　前記通信端末装置から受信した前記ランダム値暗号化情報に基づいて、前記第１の証明用情報を取得する、
    　請求項３記載の生体認証システム。
  5. 　前記認証情報取得部は、
    　前記通信端末装置から受信した前記ランダム値暗号化情報に基づいて、前記第１の誤り訂正符号を暗号化した情報である誤り訂正符号暗号化情報を取得し、取得した前記誤り訂正符号暗号化情報を前記通信端末装置へ送信し、
    　前記鍵秘匿部は、
    　前記生体認証装置から受信した前記誤り訂正符号暗号化情報に基づいて、前記第１の誤り訂正符号を取得する、
    　請求項４記載の生体認証システム。
  6. 　生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる前記通信端末装置であって、
    　前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、
    　保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号との排他的論理和を鍵秘匿情報として算出し、算出した前記鍵秘匿情報を前記生体認証装置へ送信する鍵秘匿部と、
    　前記ユーザが前記生体認証を受けようとする際に前記生体認証装置が取得した認証時生体情報と、送信された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から算出された誤り訂正後情報を取得し、取得した前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、
    　算出された前記被証明情報を秘匿化した情報を、証明用情報として生成し、生成した前記証明用情報を、前記生体認証装置へ送信する証明用情報生成部と、を有する、
    　通信端末装置。
  7. 　生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる前記生体認証装置であって、
    　生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、
    　前記人物が所持する通信端末装置から鍵秘匿情報を取得する認証情報取得部と、
    　取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記登録時生体情報に対応付けて発行された鍵情報と誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出する誤り訂正処理部と、
    　算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに対して前記通信端末装置が算出した前記被証明情報と、前記登録時変換テンプレートの生成に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部と、を有する、
    　生体認証装置。
  8. 　生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる生体認証方法であって、
    　前記通信端末装置が、前記ユーザの登録時生体情報に対応付けて発行された鍵情報と、予め定められた誤り訂正符号群の中からランダムに選択された第１の誤り訂正符号と、の排他的論理和を、鍵秘匿情報として算出するステップと、
    　前記生体認証装置が、生体認証を受けようとする人物から認証時生体情報を取得し、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得し、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第２の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出するステップと、
    　前記通信端末装置が、前記生体認証装置から前記誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第１の誤り訂正符号との排他的論理和を、被証明情報として算出し、前記被証明情報から算出した証明用情報を前記生体認証装置へ送るステップと、
    　前記生体認証装置が、送られた前記誤り訂正後情報に基づいて算出された前記証明用情報と、前記誤り訂正後情報の算出に用いられた前記第２の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行うステップと、を有する、
    　生体認証方法。
     
PCT/JP2011/005245 2010-09-30 2011-09-16 生体認証システム、通信端末装置、生体認証装置、および生体認証方法 WO2012042775A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP11828342.3A EP2624160B1 (en) 2010-09-30 2011-09-16 Biometric authentication system, communication terminal device, biometric authentication device, and biometric authentication method
JP2012501049A JP5859953B2 (ja) 2010-09-30 2011-09-16 生体認証システム、通信端末装置、生体認証装置、および生体認証方法
US13/822,815 US9049191B2 (en) 2010-09-30 2011-09-16 Biometric authentication system, communication terminal device, biometric authentication device, and biometric authentication method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010221379 2010-09-30
JP2010-221379 2010-09-30

Publications (1)

Publication Number Publication Date
WO2012042775A1 true WO2012042775A1 (ja) 2012-04-05

Family

ID=45892270

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/005245 WO2012042775A1 (ja) 2010-09-30 2011-09-16 生体認証システム、通信端末装置、生体認証装置、および生体認証方法

Country Status (4)

Country Link
US (1) US9049191B2 (ja)
EP (1) EP2624160B1 (ja)
JP (1) JP5859953B2 (ja)
WO (1) WO2012042775A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2874346A4 (en) * 2012-07-13 2016-03-09 Nec Corp SYSTEM, METHOD AND PROGRAM FOR CONTROLLING CODED TEXT
EP3142292A1 (en) 2015-09-11 2017-03-15 Fujitsu Limited Encrypted-data processing method, system, apparatus, and program
JPWO2021053749A1 (ja) * 2019-09-18 2021-03-25
US10985914B2 (en) 2017-03-07 2021-04-20 Fujitsu Limited Key generation device and key generation method

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101874119B1 (ko) * 2012-02-07 2018-07-03 삼성전자주식회사 서버 및 클라이언트 간의 인증 방법, 기계로 읽을 수 있는 저장 매체, 클라이언트 및 서버
JP5988699B2 (ja) * 2012-05-30 2016-09-07 キヤノン株式会社 連携システム、その連携方法、情報処理システム、およびそのプログラム。
US9251396B2 (en) * 2013-01-29 2016-02-02 Diamond Fortress Technologies, Inc. Touchless fingerprinting acquisition and processing application for mobile devices
JP6167667B2 (ja) * 2013-05-23 2017-07-26 富士通株式会社 認証システム、認証方法、認証プログラムおよび認証装置
WO2014192086A1 (ja) * 2013-05-28 2014-12-04 株式会社日立製作所 生体署名システム、署名検証方法、登録端末、署名生成端末および署名検証装置
CN103746980B (zh) * 2013-12-30 2017-02-15 宇龙计算机通信科技(深圳)有限公司 基于格密码的远程生物认证方法及系统
US20190147418A1 (en) * 2014-04-28 2019-05-16 Tecnologia Bancaria S.A. Multibank biometric authentication system applied in automatic teller machines equipped with biometric sensors
BR102014010137A2 (pt) * 2014-04-28 2015-08-25 Tecnologia Bancária S A Sistema de autenticação biométrica multibanco aplicado em terminais de autoatendimento com sensores biométricos
US9438590B2 (en) * 2014-05-23 2016-09-06 Fujitsu Limited Privacy preserving biometric authentication based on error correcting codes
US9660991B2 (en) * 2014-05-25 2017-05-23 Fujitsu Limited Relational encryption
US9577831B2 (en) * 2014-05-25 2017-02-21 Fujitsu Limited Relational encryption
US9503266B2 (en) * 2014-05-25 2016-11-22 Fujitsu Limited Relational encryption
US9608819B1 (en) * 2014-05-25 2017-03-28 Fujitsu Limited Learning parity with noise-based relational encryption for proximity relations
US9674189B1 (en) * 2014-05-25 2017-06-06 Fujitsu Limited Relational encryption
FR3027753B1 (fr) * 2014-10-28 2021-07-09 Morpho Procede d'authentification d'un utilisateur detenant un certificat biometrique
JP5773052B1 (ja) * 2014-11-17 2015-09-02 富士ゼロックス株式会社 情報処理装置およびプログラム
US9967101B2 (en) * 2014-12-04 2018-05-08 Fujitsu Limited Privacy preserving set-based biometric authentication
US9836591B2 (en) * 2014-12-16 2017-12-05 Qualcomm Incorporated Managing latency and power in a heterogeneous distributed biometric authentication hardware
US10033532B2 (en) * 2015-06-20 2018-07-24 Fujitsu Limited Biometric based authenticated key exchange
CN106330850B (zh) * 2015-07-02 2020-01-14 创新先进技术有限公司 一种基于生物特征的安全校验方法及客户端、服务器
US10129028B2 (en) 2015-07-13 2018-11-13 Fujitsu Limited Relational encryption for password verification
US10075301B2 (en) 2015-07-13 2018-09-11 Fujitsu Limited Relational encryption for password verification
KR101736710B1 (ko) * 2015-08-07 2017-05-17 주식회사 슈프리마 생체 정보 관리 방법 및 장치
EP3438904B1 (en) * 2016-03-31 2023-02-15 Nec Corporation Biological data registration support device, biological data registration support system, biological data registration support method, biological data registration support program, recording medium for storing biological data registration support program
WO2017178599A1 (en) * 2016-04-15 2017-10-19 Irdeto B.V. Account access
CN107016271B (zh) * 2017-03-08 2020-03-10 Oppo广东移动通信有限公司 一种数据处理方法及相关设备
JP6712247B2 (ja) * 2017-06-09 2020-06-17 株式会社日立製作所 生体署名システム及び生体署名方法
EP3646212A4 (en) * 2017-06-29 2021-01-20 Visa International Service Association SYSTEM, METHOD AND APPARATUS FOR AUTHENTICATION OF BIOMETRIC ENTRY
WO2019014425A1 (en) 2017-07-13 2019-01-17 Pindrop Security, Inc. SAFE PARTY WITH SEVERAL PARTIES KNOWING NO VOICE IMPRESSIONS
EP3682357B1 (en) * 2017-09-13 2022-03-09 Fingerprint Cards Anacatum IP AB Methods and devices of enabling authentication of a user of a client device over a secure communication channel based on biometric data
KR20190048422A (ko) * 2017-10-31 2019-05-09 삼성에스디에스 주식회사 인증 시스템 및 방법
SE1751451A1 (en) * 2017-11-24 2019-05-25 Fingerprint Cards Ab Biometric template handling
CN110574030B (zh) * 2018-02-13 2021-05-11 指纹卡有限公司 更新生物特征模板保护密钥
US10623403B1 (en) 2018-03-22 2020-04-14 Pindrop Security, Inc. Leveraging multiple audio channels for authentication
US10665244B1 (en) 2018-03-22 2020-05-26 Pindrop Security, Inc. Leveraging multiple audio channels for authentication
US10972275B1 (en) 2018-07-17 2021-04-06 Imageware Systems, Inc. Zero-knowledge, anonymous verification and management using immutable databases such as blockchain
US11005971B2 (en) * 2018-08-02 2021-05-11 Paul Swengler System and method for user device authentication or identity validation without passwords or matching tokens
WO2020040634A1 (en) * 2018-08-23 2020-02-27 Mimos Berhad Integration of biometric and challenge response authentication
FR3096480B1 (fr) * 2019-05-24 2021-04-23 Idemia Identity & Security France Procédé d’authentification forte d’un individu
US20210049588A1 (en) * 2019-08-13 2021-02-18 Mastercard International Incorporated Systems and methods for use in provisioning tokens associated with digital identities
US11496466B2 (en) * 2019-11-15 2022-11-08 Visa International Service Association Using an enrolled biometric dataset to detect adversarial examples in biometrics-based authentication system
KR20210064854A (ko) * 2019-11-26 2021-06-03 삼성전자주식회사 메모리 컨트롤러, 메모리 컨트롤러를 포함하는 스토리지 장치, 및 메모리 컨트롤러의 동작 방법
US20220029987A1 (en) * 2020-07-21 2022-01-27 Royal Bank Of Canada Facial recognition tokenization

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002297551A (ja) * 2001-03-30 2002-10-11 Mitsubishi Electric Corp 認証システム
JP2007328502A (ja) * 2006-06-07 2007-12-20 Hitachi Information & Control Solutions Ltd 生体認証方法及びシステム
JP2008097438A (ja) 2006-10-13 2008-04-24 Hitachi Ltd ユーザ認証システム、認証サーバ、端末、及び耐タンパデバイス

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6038315A (en) * 1997-03-17 2000-03-14 The Regents Of The University Of California Method and system for normalizing biometric variations to authenticate users from a public database and that ensures individual biometric data privacy
US20070038867A1 (en) * 2003-06-02 2007-02-15 Verbauwhede Ingrid M System for biometric signal processing with hardware and software acceleration
FR2896604B1 (fr) * 2006-01-23 2008-12-26 Sagem Defense Securite Procedes de determination d'un identifiant et de verification biometrique et systemes associes
US8417960B2 (en) * 2006-09-06 2013-04-09 Hitachi, Ltd. Method for generating an encryption key using biometrics authentication and restoring the encryption key and personal authentication system
JP4996904B2 (ja) * 2006-10-04 2012-08-08 株式会社日立製作所 生体認証システム、登録端末、認証端末、及び認証サーバ
JP5271669B2 (ja) * 2008-10-31 2013-08-21 株式会社日立製作所 生体認証方法およびシステム
JP5147673B2 (ja) * 2008-12-18 2013-02-20 株式会社日立製作所 生体認証システムおよびその方法
JP5270514B2 (ja) * 2009-10-23 2013-08-21 株式会社日立製作所 生体認証方法及び計算機システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002297551A (ja) * 2001-03-30 2002-10-11 Mitsubishi Electric Corp 認証システム
JP2007328502A (ja) * 2006-06-07 2007-12-20 Hitachi Information & Control Solutions Ltd 生体認証方法及びシステム
JP2008097438A (ja) 2006-10-13 2008-04-24 Hitachi Ltd ユーザ認証システム、認証サーバ、端末、及び耐タンパデバイス

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
C.P.SCHNORR: "Efficient signature generation by smart cards", JOURNAL OF CRYPTOLOGY, vol. 4, no. 3, 1991, pages 161 - 174, XP002006211, DOI: doi:10.1007/BF00196725
KENTA TAKAHASHI ET AL.: "A Protocol for Secure Remote Authentication Using Biometrics", IPSJ JOURNAL, vol. 49, no. 9, 15 September 2008 (2008-09-15), pages 3016 - 3027, XP008170394 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2874346A4 (en) * 2012-07-13 2016-03-09 Nec Corp SYSTEM, METHOD AND PROGRAM FOR CONTROLLING CODED TEXT
US9906363B2 (en) 2012-07-13 2018-02-27 Nec Corporation Encrypted data verification system, method and recording medium
EP3142292A1 (en) 2015-09-11 2017-03-15 Fujitsu Limited Encrypted-data processing method, system, apparatus, and program
US10115323B2 (en) 2015-09-11 2018-10-30 Fujitsu Limited Encrypted-data processing method, system, and apparatus
US10985914B2 (en) 2017-03-07 2021-04-20 Fujitsu Limited Key generation device and key generation method
JPWO2021053749A1 (ja) * 2019-09-18 2021-03-25
WO2021053749A1 (ja) * 2019-09-18 2021-03-25 日本電気株式会社 情報照合システム、クライアント端末、サーバ、情報照合方法、及び情報照合プログラム
JP7294431B2 (ja) 2019-09-18 2023-06-20 日本電気株式会社 情報照合システム、クライアント端末、サーバ、情報照合方法、及び情報照合プログラム

Also Published As

Publication number Publication date
EP2624160A4 (en) 2017-07-19
US20130174243A1 (en) 2013-07-04
EP2624160A1 (en) 2013-08-07
US9049191B2 (en) 2015-06-02
JPWO2012042775A1 (ja) 2014-02-03
EP2624160B1 (en) 2018-12-26
JP5859953B2 (ja) 2016-02-16

Similar Documents

Publication Publication Date Title
JP5859953B2 (ja) 生体認証システム、通信端末装置、生体認証装置、および生体認証方法
KR101666374B1 (ko) 사용자 인증서 발급과 사용자 인증을 위한 방법, 장치 및 컴퓨터 프로그램
Gunasinghe et al. PrivBioMTAuth: Privacy preserving biometrics-based and user centric protocol for user authentication from mobile phones
US9384338B2 (en) Architectures for privacy protection of biometric templates
US20180241558A1 (en) 1:n biometric authentication, encryption, signature system
US9218473B2 (en) Creation and authentication of biometric information
JPWO2007094165A1 (ja) 本人確認システムおよびプログラム、並びに、本人確認方法
JP5104188B2 (ja) サービス提供システム及び通信端末装置
JP2009510644A (ja) 安全な認証のための方法及び構成
JP2008092413A (ja) 生体認証システム、登録端末、認証端末、及び認証サーバ
JP5303407B2 (ja) 生体認証システム、携帯端末、半導体素子、および情報処理サーバ
US10511438B2 (en) Method, system and apparatus using forward-secure cryptography for passcode verification
JP2008526078A (ja) 鍵生成、及び認証の承認に関する方法及び装置
JP2011165102A (ja) 生体認証システムおよび携帯端末
JP7391843B2 (ja) 指紋の２段階の集中的な照合
JP2006155547A (ja) 本人認証システム、端末装置、およびサーバ
JPWO2020121458A1 (ja) 照合システム、クライアントおよびサーバ
JP6151627B2 (ja) 生体認証システム、生体認証方法およびコンピュータプログラム
US12019719B2 (en) Method and electronic device for authenticating a user
JP2001312477A (ja) 認証システム、並びに、認証装置およびその方法
KR101500947B1 (ko) 생체 정보 생성 및 인증
JP2004310202A (ja) 個人認証システムおよび方法
CN109005158B (zh) 基于模糊保险箱的动态手势认证系统的认证方法
WO2021070275A1 (ja) 情報照合システム及び情報照合方法
Kochovski et al. CSCI468/968 Advanced Network Security Multi-Factor Authentication

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2012501049

Country of ref document: JP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11828342

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13822815

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2011828342

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE