WO2022085126A1 - 照合システム、照合方法、及び、コンピュータ可読媒体 - Google Patents

照合システム、照合方法、及び、コンピュータ可読媒体 Download PDF

Info

Publication number
WO2022085126A1
WO2022085126A1 PCT/JP2020/039598 JP2020039598W WO2022085126A1 WO 2022085126 A1 WO2022085126 A1 WO 2022085126A1 JP 2020039598 W JP2020039598 W JP 2020039598W WO 2022085126 A1 WO2022085126 A1 WO 2022085126A1
Authority
WO
WIPO (PCT)
Prior art keywords
concealment
information
key
collation
common
Prior art date
Application number
PCT/JP2020/039598
Other languages
English (en)
French (fr)
Inventor
成泰 奈良
利彦 岡村
寿幸 一色
寛人 田宮
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2022556305A priority Critical patent/JPWO2022085126A5/ja
Priority to PCT/JP2020/039598 priority patent/WO2022085126A1/ja
Priority to US18/031,096 priority patent/US20230370261A1/en
Publication of WO2022085126A1 publication Critical patent/WO2022085126A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response

Definitions

  • the present invention relates to a collation system, a collation method, and a computer-readable medium.
  • Biometric authentication is an example of authentication.
  • Biometric authentication is a method of personal authentication that confirms whether or not the registered person and the person to be authenticated match by collating the biometric information of the registered person with the biometric information of the person to be authenticated.
  • biological information is data extracted from some features related to the body or behavior, or data generated by converting the extracted data. This data is sometimes referred to as a feature quantity.
  • the data stored in advance for biometric authentication including the data generated by the biometric information of the registered person (hereinafter referred to as registration information), is called a template.
  • Patent Document 1 and Patent Document 2 describe an example of an authentication device and an authentication method in which the registered information is not leaked by storing the encrypted registration information as a template in the server.
  • Patent Document 3 describes a collation system that enhances the safety of binary vectors.
  • Patent Document 4 describes an example of an authentication device and an authentication method in which the registered information is not leaked by storing the encrypted registration information as a template in the client.
  • the encrypted registration information By storing the encrypted registration information as a template in the client, it is possible to reduce the damage when data leakage occurs, as compared with the case where it is stored in the server.
  • N authentication there is an authentication format (hereinafter referred to as 1: N authentication) that collates N templates (N is an integer of 1 or more) with the biometric information of the person to be authenticated and confirms that there is no match.
  • N authentication for example, a method of repeating an authentication format (hereinafter referred to as 1: 1 authentication) for collating and confirming one template with the biometric information of the person to be authenticated can be considered.
  • this method has a problem that the communication amount, the calculation amount, and the stored data amount of the client or the server are N times larger than those of 1: 1 authentication, and the larger the value of N, the worse the efficiency.
  • the present disclosure has been made to solve such problems, and an object of the present disclosure is to provide an efficient 1: N authentication verification system, verification method, and computer-readable medium.
  • the collation system includes a common random number generation means for generating a common random number, and an identification information generation means for generating a plurality of identification information unique to each of a plurality of registration information which is biometric information of a plurality of registered persons.
  • the common random number is used to generate a common key common to each of the plurality of registered information
  • the plurality of identification information is used to generate a plurality of unique keys unique to each of the plurality of registered information.
  • the client has a concealment index calculation means for calculating a plurality of concealment indexes representing the degree of closeness between the collation information which is the biometric information of the person to be authenticated and each of the plurality of concealment information.
  • the verification server generates a plurality of indexes obtained by decrypting each of the plurality of concealment indexes using the common key and the plurality of unique keys, and any one of the plurality of indexes is a value within a predetermined range. It has a determination means for authenticating the collation information based on whether or not the above-mentioned collation information is shown.
  • the collation method includes a common random number generation step for generating a common random number, and an identification information generation step for generating a plurality of identification information unique to each of a plurality of registration information which is biometric information of a plurality of registered persons.
  • the common random number is used to generate a common key common to each of the plurality of registered information
  • the plurality of identification information is used to generate a plurality of unique keys unique to each of the plurality of registered information.
  • the concealment index calculation step for calculating a plurality of concealment indexes representing the degree of closeness between the collation information which is information and each of the plurality of concealment information, and the common key and the plurality of unique keys in the verification server.
  • the collation information is described. It includes a determination step for performing authentication.
  • the non-temporary computer-readable medium generates a common random number generation process for generating a common random number and a plurality of identification information unique to each of the plurality of registered information which are biometric information of a plurality of registered persons.
  • the identification information generation process and the common random number are used to generate a common key common to each of the plurality of registered information, and the plurality of identification information is used to generate a plurality of unique unique to each of the plurality of registered information.
  • the concealment index calculation process for calculating a plurality of concealment indexes representing the degree of approximation between the collation information which is the biometric information of the person to be authenticated and each of the plurality of concealment information, and the common key in the verification server.
  • a plurality of indexes obtained by decoding each of the plurality of concealment indexes using the plurality of unique keys are generated, and based on whether or not any of the plurality of indexes shows a value within a predetermined range.
  • a collation program for causing a computer to execute a determination process for authenticating the collation information is stored.
  • This disclosure makes it possible to provide an efficient 1: N authentication collation system, collation method, and computer-readable medium.
  • FIG. It is a block diagram which shows the structural example of the collation system which concerns on Embodiment 1.
  • FIG. It is a block diagram which shows the structural example of the collation system which concerns on Embodiment 2.
  • It is a flowchart which shows the generation operation of the common random number in the collation system shown in FIG. It is a flow chart which shows the operation of the registration process and the authentication process in the collation system shown in FIG.
  • FIG. It is a block diagram which shows the 2nd application example of the collation system shown in FIG.
  • the verification system of the present disclosure is applied to biometric authentication
  • the present invention is not limited to this, and may be applied to authentication and verification processing other than biometric authentication.
  • FIG. 1 is a block diagram showing an outline of the collation system according to the first embodiment.
  • the collation system according to the first embodiment includes a common random number generation unit 111, an ID issuing unit 123, a key generation unit 125, a concealment unit 126, a concealment index calculation unit 134, and a determination unit 144. ..
  • the concealment index calculation unit 134 is provided on the client.
  • the determination unit 144 is provided in the verification server.
  • the common random number generation unit 111 generates a common random number CR when a start signal is input.
  • the ID issuing unit 123 issues an ID (IDentification) for each biometric information (hereinafter referred to as registration information) X of the registered person.
  • the key generation unit 125 generates a concealment key sk_ID unique to each ID using the input common random number CR.
  • the concealment unit 126 conceals the registration information X for each registration information X by the concealment key sk_ID.
  • the concealment unit 126 transmits information concealed from a plurality of registration information Xs (hereinafter referred to as concealment information) to the client as a template.
  • the concealment index calculation unit 134 is used to collate a plurality of templates (that is, concealment information obtained by concealing the registration information X) with the collation information Y (certified to be used for collation with the registration information X). Based on the biometric information of the person), data (hereinafter referred to as a concealment index) that conceals an index that is a value indicating the proximity of each of the plurality of registration information X and the collation information Y is calculated. Send the calculated multiple concealment indicators to the verification server.
  • a concealment index that conceals an index that is a value indicating the proximity of each of the plurality of registration information X and the collation information Y is calculated.
  • the determination unit 144 acquires a plurality of concealment indexes transmitted from the client. Then, the determination unit 144 first generates a plurality of indexes obtained by decoding each of the plurality of concealment indexes using the common key CR and the plurality of concealment keys sk_ID unique to each ID. After that, the determination unit 144 performs 1: N authentication by determining whether or not any of the decrypted indexes is within a predetermined acceptance range. Only when there is one index within the acceptance range, the determination unit 144 transmits the ID and the authentication result information indicating that the authentication was successful (authentication was accepted) to the client. On the other hand, when there is no index within the acceptance range, or when there are a plurality of indexes within the acceptance range, the determination unit 144 transmits the authentication result information indicating that the authentication has failed to the client.
  • the client executes the post-authentication process corresponding to the ID.
  • the device that executes the post-authentication process is not limited to the client, and the device other than the client performs the post-authentication process corresponding to the ID on condition that the authentication result information indicating that the authentication is successful is obtained. May be executed.
  • the collation system according to the first embodiment shares a part of the concealment key used for generating each template, the number of data held by the client is compared with the case where the secret key is not shared. And the number of keys held by the verification server can be reduced, and the number of power multiplications and the amount of communication between the client and the verification server can be reduced. That is, the collation system according to the first embodiment can perform efficient 1: N authentication.
  • the encrypted registration information is saved in the client as a template, so that the damage at the time of data leakage is reduced as compared with the case where it is saved in the server. That is, the collation system according to the first embodiment can perform efficient 1: N authentication while improving the security performance.
  • FIG. 2 is a block diagram showing a configuration example of the collation system 100 according to the second embodiment.
  • the collation system 100 shown in FIG. 2 is a block diagram showing the collation system shown in FIG. 1 in more detail.
  • the collation system 100 includes a common random number generation device 110, a registration information concealment device 120, a concealment index calculation device 130, and a concealment index verification device 140.
  • the biological information may be extracted from the iris, retina, face, blood vessel (vein), palm print, voice print, or a combination thereof in addition to the fingerprint.
  • the biological information may be extracted from other information that can identify the living body other than the above-mentioned example.
  • the common random number generation device 110 includes a common random number generation unit 111 and a common random number storage unit 112.
  • the common random number generator 110 generates a common random number CR.
  • the common random number generation unit 111 generates a common random number CR when a start signal is input.
  • the common random number storage unit 112 stores the common random number CR generated by the common random number generation unit 111.
  • the common random number CR generated by the common random number generation device 110 is used in the registration information concealment device 120.
  • the registration information concealment device 120 includes a registration information input unit 121, a common random number input unit 122, an ID issuing unit 123, a random number generation unit 124, a key generation unit 125, and a concealment unit 126.
  • the registration information input unit 121 accepts the input of the biometric information (hereinafter referred to as registration information) X of the registered person.
  • the registration information input unit 121 may be an input device corresponding to the type of registration information X. For example, when the biometric information extracted from the fingerprint is the registration information X, the registration information input unit 121 reads the fingerprint, extracts a vector to be the biometric information of the registered person from the fingerprint, and uses the vector as the registration information X. It may be an input device that accepts as. Further, the registration information input unit 121 may be an input device in which a vector that becomes the biometric information of the registered person is directly input as the registration information X.
  • the common random number input unit 122 receives the common random number CR from the common random number generator 110.
  • the common random number input unit 122 outputs the received common random number CR to the key generation unit 125.
  • the ID issuing unit 123 issues an ID each time the registration information X is input to the registration information input unit 121.
  • the random number generation unit 124 generates a random number R_ID for each issued ID. It is input to the random number R_ID generated by the random number generation unit 124.
  • the key generation unit 125 generates a concealment key using the common random number CR and the random number R_ID.
  • a digital signature based on a public key cryptosystem is adopted. Therefore, the key generation unit 125 generates a digitally signed public key pk and a private key sk using the common random number CR.
  • the secret key sk is also used as a secret key.
  • the key generation unit 125 generates the common concealment key sk_C using the common random number CR, and also generates the concealment key sk_ID for each registration information X using the common random number CR and the random number R_ID.
  • the key generation unit 125 outputs the secret key sk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X to the concealment unit 126. Further, the key generation unit 125 transmits the public key pk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X to the concealment index verification device 140.
  • the concealment unit 126 conceals the registration information X input to the registration information input unit 121 by using the secret key sk, the common concealment key sk_C, and the concealment key sk_ID corresponding to the registration information X.
  • the secrecy unit 126 transmits the information in which the registration information X is concealed (hereinafter referred to as concealment information) to the concealment index calculation device 130.
  • the common random number input unit 122, the key generation unit 125, and the concealment unit 126 are realized by, for example, a CPU (Central Processing Unit) of a computer that operates according to a client program, and a communication interface of the computer.
  • the CPU reads a client program from a program recording medium such as a computer program storage device, and operates as a common random number input unit 122, a key generation unit 125, and a concealment unit 126 according to the program using a communication interface.
  • the ID issuing unit 123 and the random number generation unit 124 are realized by, for example, a CPU of a computer that operates according to a client program.
  • the CPU may read the client program from the program recording medium as described above, and operate as the ID issuing unit 123 and the random number generation unit 124 according to the program.
  • the concealment index calculation device 130 includes a concealment information receiving unit 131, a concealment information storage unit 132, a collation information input unit 133, a concealment index calculation unit 134, and an output unit 135.
  • the concealment information receiving unit 131 receives the concealment information transmitted from the registration information concealment device 120 and stores it in the concealment information storage unit 132.
  • the confidential information storage unit 132 is a device for storing confidential information.
  • the collation information input unit 133 accepts the input of the biometric information (hereinafter referred to as collation information) Y of the authenticated person used for collation with the registration information X.
  • the collation information input unit 133 may be any input device corresponding to the type of collation information Y. Further, the collation information input unit 133 may be an input device in which a vector that becomes the biometric information of the person to be authenticated is directly input as the collation information Y.
  • the collation system 100 of the present embodiment introduces a challenge-response method in order to prevent an attacker who eavesdrops on the communication between the client and the verification server from impersonating the client.
  • the concealment index verification device 140 transmits a different challenge for each authentication to the concealment index calculation device 130, and the concealment index calculation device 130 responds to a different challenge for each authentication.
  • the value of the response is changed for each authentication by calculating the response including the closeness between the registration information and the collation information.
  • the concealment index calculation unit 134 is based on a plurality of templates (that is, concealment information obtained by concealing the registration information X), collation information Y, and a challenge received from the concealment index verification device 140. Then, data (hereinafter referred to as a concealment index) in which the index, which is a value indicating the closeness of each of the plurality of registration information X and the collation information Y, is concealed is calculated. At this time, the concealment index calculation unit 134 calculates the concealment index without releasing the concealment of the template. The calculated concealment index is transmitted to the concealment index verification device 140.
  • the output unit 135 receives the authentication result information indicating the result of biometric authentication transmitted from the confidentiality index verification device 140. Further, the output unit 135 outputs the received authentication result information to the outside of the concealment index calculation device 130.
  • the concealment information receiving unit 131, the concealment information storage unit 132, and the output unit 135 are realized by, for example, a CPU (Central Processing Unit) of a computer that operates according to a client program, and a communication interface of the computer.
  • the CPU reads a client program from a program recording medium such as a computer program storage device, and uses a communication interface according to the program as a concealment information receiving unit 131, a concealment information storage unit 132, and an output unit 135. It just works.
  • the ID issuing unit 123 and the random number generation unit 124 are realized by, for example, a CPU of a computer that operates according to a program for a registration server.
  • the CPU may read the client program from the program recording medium as described above, and operate as the ID issuing unit 123 and the random number generation unit 124 according to the program.
  • the confidential information storage unit 132 is realized by, for example, a storage device provided in a computer.
  • the concealment index verification device 140 includes a key receiving unit 141, a key storage unit 142, an acceptance range storage unit 143, a determination unit 144, and a challenge generation unit 145.
  • the key receiving unit 141 receives the public key pk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X, which are transmitted from the registration information concealment device 120, and stores them in the key storage unit 142.
  • the key storage unit 142 is a storage device that stores the public key pk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X.
  • the determination unit 144 calculates in the concealment index calculation device 130 using the key (public key PK, common concealment key sk_C, and concealment key sk_ID for each registration information X) stored in the key storage unit 142. It is determined whether or not the index can be obtained from each of the plurality of concealment indexes.
  • the determination unit 144 transmits the challenge generated by the challenge generation unit 145 to the concealment index calculation device 130 before receiving each concealment index from the concealment index calculation device 130.
  • the determination unit 144 can acquire an index from each of the plurality of concealment indexes calculated by the concealment index calculation device 130, the determination unit 144 acquires the index. Next, the determination unit 144 collates with the registered person included in the registration information X by determining whether or not the index obtained from each concealment index is a value within a predetermined acceptance range. It is determined whether or not the authenticated person included in the information Y matches.
  • the predetermined acceptance range is stored in the acceptance range storage unit 143.
  • the determination unit 144 determines that the registered person and the authenticated person match if the index acquired from the concealment index is a value within the acceptance range. Matching the registered person and the authenticated person corresponds to the correspondence between the registration information X and the collation information Y. Further, the determination unit 144 determines that the registered person and the authenticated person do not match if the index acquired from the concealment index is not a value within the acceptance range. The determination unit 144 conceals the ID and the authentication result information indicating that the authentication was successful (authentication was accepted) only when there is one determination result in which the registered person and the authenticated person match. It is transmitted to the index calculation device 130. If there is no matching judgment result between the registered person and the authenticated person, or if there are multiple matching judgment results, the authentication result information indicating that the authentication has failed is transmitted to the concealment index calculation device 130. ..
  • the concealment index calculation device 130 executes the post-authentication processing corresponding to the ID.
  • the device that executes the post-authentication process is not limited to the concealment index calculation device 130, and devices other than the client correspond to the ID on condition that the authentication result information indicating that the authentication is successful is obtained. Post-authentication processing may be executed.
  • the key receiving unit 141, the challenge generation unit 145, and the determination unit 144 are realized by, for example, a CPU (Central Processing Unit) of a computer that operates according to a server program, and a communication interface of the computer.
  • the CPU may read a server program from a program recording medium such as a computer program storage device, and operate as a key receiving unit 141, a challenge generation unit 145, and a determination unit 144 according to the program using a communication interface. ..
  • a CPU Central Processing Unit
  • the key storage unit 142 and the acceptance range storage unit 143 are realized by, for example, a storage device provided in a computer.
  • FIG. 3 is a flowchart showing a common random number generation operation in the collation system 100. The details of the contents already described will be omitted.
  • the common random number generation device 110 generates a common random number CR in the common random number generation unit 111 (step S101). After that, the common random number generation device 110 stores the common random number CR in the common random number storage unit 112 (step S102). After that, the common random number generation device 110 transmits the common random number CR to the common random number input unit 122 of the registration information concealment device 120 (step S103).
  • FIG. 4 is a flowchart showing the operation of the registration process and the authentication process in the collation system 100. The details of the matters already described will be omitted.
  • the registration process is performed. Specifically, first, in the registration information concealment device 120, the registration information X (biological information of the registered person) is input to the registration information input unit 121 (step S201).
  • the common random number input unit 122 receives the common random number CR transmitted from the common random number generator 110 (step S202).
  • the ID issuing unit 123 issues an ID each time the registration information X is input to the registration information input unit 121 (step S203).
  • the random number generation unit 124 generates a random number R_ID for each issued ID (step S204).
  • the key generation unit 125 generates a digitally signed private key sk and public key pk using the common random number CR (step S205). Further, the key generation unit 125 generates the common concealment key sk_C using the common random number CR, and also generates the concealment key sk_ID for each registration information X using the common random number CR and the random number R_ID (step S205).
  • the concealment unit 126 conceals the registration information X input to the registration information input unit 121 by using the secret key sk, the common concealment key sk_C, and the concealment key sk_ID corresponding to the registration information X. , Is output as confidential information (step S206).
  • the concealment unit 126 transmits the concealment information to the concealment information receiving unit 131 of the concealment index calculation device 130 (step S207).
  • the key generation unit 125 transmits the public key pk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X to the key reception unit 141 of the concealment index verification device 140 (step S208). ..
  • the concealment information receiving unit 131 receives the concealment information (step S209).
  • the confidential information storage unit 132 stores the confidential information (step S210).
  • the key receiving unit 141 receives the public key PK, the common concealment key sk_C, and the concealment key sk_ID for each registration information X transmitted from the registration information concealment device 120. (Step S211).
  • the key storage unit 142 stores the public key pk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X (step S212).
  • FIG. 5 is a block diagram showing a first application example of the collation system 100.
  • the registration server is provided with a common random number generation device 110 and a registration information concealment device 120
  • the client is equipped with a concealment index calculation device 130
  • the verification server is equipped with a concealment index verification device 140.
  • the registration server keeps the common random number CR, the secret key sk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X.
  • FIG. 6 is a block diagram showing a second application example of the collation system 100.
  • the client includes a common random number generation device 110, a registration information concealment device 120, and a concealment index calculation device 130
  • the verification server includes a concealment index verification device 140.
  • the common random number CR, the secret key sk, the common concealment key sk_C, and the concealment key sk_ID for each registration information X are deleted from the client.
  • the authentication process is performed. Specifically, first, in the confidentiality index calculation device 130, the collation information Y (biological information of the person to be authenticated) is input to the collation information input unit 133 (step S213).
  • the challenge generation unit 145 generates a challenge (step S214). Further, the challenge generation unit 145 transmits the challenge to the concealment index calculation unit 134 of the concealment index calculation device 130 (step S215).
  • the concealment index calculation unit 134 receives the challenge (step S216).
  • the concealment index calculation unit 134 includes a plurality of templates (confidential information obtained by concealing the registration information X), collation information Y, and a challenge received from the concealment index verification device 140. Based on this, a plurality of concealment indexes are calculated (step S217).
  • the concealment index calculation unit 134 transmits the calculated concealment index to the determination unit 144 of the concealment index verification device 140 (step S218).
  • the determination unit 144 receives a plurality of concealment indexes transmitted from the concealment index calculation device 130 (step S219).
  • the determination unit 144 collates whether or not there is an index within a predetermined acceptance range among the plurality of received concealment indexes with the public key pk, the common concealment key sk_C, and the concealment key sk_ID. , Using a challenge (step S220). Further, the determination unit 144 transmits the collation result to the output unit 135 of the concealment index calculation device 130 (step S221).
  • the output unit 135 receives the collation result (step S222). Next, the output unit 135 outputs the collation result (step S223).
  • the symbol i is assumed to represent 1, ..., N.
  • ⁇ u_i ⁇ u_1, u_2, ..., U_n.
  • N be the number of registration information X input at the time of registration.
  • the symbol j represents 1, ..., N.
  • the Schnorr signature is used.
  • sk ⁇ Z_q (Z_q ⁇ 0,1, ..., q-1 ⁇ , q is a prime number) (Z is a symbol representing the set of all integers).
  • Z_q, g, and G are shared with all devices.
  • the biometric information (that is, registration information) ⁇ X_j ⁇ of N registered persons is input to the registration information input unit 121.
  • the ID issuing unit 123 issues an ID for each biometric information.
  • the common random number generation unit 111 generates a common random number as in the following equations (1) and (2).
  • the random number generation unit 124 generates random numbers as in the following equations (3) and (4).
  • the key generation unit 125 considers R_3 as a private key and generates a public key g ⁇ (R_3). Further, the common random number ⁇ r_i_j ⁇ and the random numbers R_1 and ⁇ R_2_j ⁇ are regarded as the concealment key.
  • the key generation unit 125 inputs the private key and the concealment key into the concealment unit 126. Further, the key generation unit 125 transmits the ID, the public key g ⁇ (R_3), and the concealment keys R_1 and ⁇ R_2_j ⁇ to the key reception unit 141 of the concealment index verification device 140.
  • the key storage unit 142 stores the received ID, public key, and concealment key.
  • the templates will be ⁇ R_1 ⁇ x_i_j + R_2_j ⁇ r_i_j + R3 ⁇ , ⁇ g ⁇ (r_i_j) ⁇ .
  • the concealment unit 126 transmits the ID and the template to the concealment information receiving unit 131 of the concealment index calculation device 130.
  • the confidential information storage unit 132 stores the ID and the template.
  • the collation information Y is input to the collation information input unit 133.
  • the concealment index calculation unit 134 acquires the collation information Y from the collation information input unit 133, and acquires the ID and the template from the concealment information storage unit.
  • the concealment index verification device 140 that has received the ID and ⁇ _1_j generates M, R ⁇ ⁇ RZ_q in the challenge generation unit 145, and uses the public key g ⁇ (R_3) stored in the key storage unit 142. Then, g ⁇ (R ⁇ R_3) is calculated. After that, M, g ⁇ (R / R_3) is transmitted to the concealment index calculation unit 134 of the concealment index calculation device as a challenge.
  • A_j ⁇ _i (R_1, x_i_j + R_2_j, r_i_j + R_3), y_i ...
  • ⁇ _2_j r'_j-A_j ⁇ S ⁇ ⁇ ⁇ (6)
  • ⁇ _3 g ⁇ (R ⁇ R_3 ⁇ y_i) ⁇ ⁇ ⁇ (7)
  • A_j is a value obtained by adding R_2_j times ⁇ r_i ⁇ y_i and R_3 times ⁇ y_i to the value obtained by multiplying the inner product ⁇ X, Y> of X and Y by R_1.
  • the concealment index calculation unit 134 determines ( ⁇ S_j ⁇ , ⁇ _2_j ⁇ , ⁇ _3) as a response including the inner product of the registration information X_j and the collation information Y as the concealment index verification device 140. It is transmitted to the unit 144.
  • (S_j, ⁇ _2_j, ⁇ _3) corresponds to a Schnorr signature using A_j as a private key.
  • the determination unit 144 receives a response from the concealment index calculation unit 134.
  • the determination unit 144 verifies N digital signatures ⁇ S_j, ⁇ _2_j, ⁇ _3 ⁇ using the public key g ⁇ (R_3) stored in the key storage unit 142 together with the ID and the concealment keys R_1 and ⁇ R_2_j ⁇ . do. Specifically, the following equation (8) is calculated.
  • v_j [ ⁇ g ⁇ ( ⁇ _2_j) ⁇ ⁇ ⁇ ( ⁇ _3) ⁇ (S_j ⁇ R_3) ⁇ ⁇ ⁇ ( ⁇ _1_j) ⁇ (S_j ⁇ R_2_j) ⁇ ⁇ (g ⁇ (-r'_j))] ⁇ (-1 / R_1) ⁇ ⁇ ⁇ (8)
  • the determination unit 144 confirms whether or not the calculated v_j is included in ⁇ '. If the value contained in ⁇ 'is not found, or if multiple values are found, authentication result information indicating "authentication failure" is generated.
  • the determination unit 144 If only one value included in ⁇ 'is found, the determination unit 144 generates authentication result information indicating "ID_j is authentication successful".
  • the determination unit 144 transmits the generated authentication result information to the output unit 135 of the concealment index calculation device 130.
  • the output unit 135 that has received the authentication result information outputs the authentication result information.
  • the authentication result information may be directly output from the confidentiality index verification device 140.
  • the Schnorr signature is used in this specific example, but another cryptographically secure digital signature method such as a DSA signature may be used.
  • the Schnorr signature is used.
  • sk ⁇ Z_q (Z_q ⁇ 0,1, ..., q-1 ⁇ , q is a prime number) (Z is a symbol representing the set of all integers).
  • Z_q, g, and G are shared with all devices.
  • the biometric information (that is, registration information) ⁇ X_j ⁇ of N registered persons is input to the registration information input unit 121.
  • the ID issuing unit 123 issues an ID for each biometric information.
  • the common random number generation unit 111 generates a common random number as in the following equations (9) and (10).
  • random number generation unit 124 generates random numbers as in the following equations (11) and (12).
  • the key generation unit 125 considers R_3 as a private key and generates a public key g ⁇ (R_3). Further, the common random number ⁇ r_i_j ⁇ and the random numbers ⁇ R_1_j ⁇ and R_2 are regarded as the concealment key.
  • the key generation unit 125 inputs the private key and the concealment key into the concealment unit 126. Further, the key generation unit 125 transmits the ID, the public key g ⁇ (R_3), the concealment keys ⁇ R_1_j ⁇ , and R_2 to the key reception unit 141 of the concealment index verification device 140.
  • the key storage unit 142 stores the received ID, public key, and concealment key.
  • the templates are ⁇ R_1_j / x_i_j + R_2 / r_i_j + R3 ⁇ and ⁇ g ⁇ (r_i_j) ⁇ .
  • the concealment unit 126 transmits the ID and the template to the concealment information receiving unit 131 of the concealment index calculation device 130.
  • the confidential information storage unit 132 stores the ID and the template.
  • the collation information Y is input to the collation information input unit 133.
  • the concealment index calculation unit 134 acquires the collation information Y from the collation information input unit 133, and acquires the ID and the template from the concealment information storage unit.
  • the concealment index verification device 140 that has received the ID and ⁇ _1_j generates M, R ⁇ ⁇ RZ_q in the challenge generation unit 145, and uses the public key g ⁇ (R_3) stored in the key storage unit 142. Then, g ⁇ (R ⁇ R_3) is calculated. After that, M, g ⁇ (R / R_3) is transmitted to the concealment index calculation unit 134 of the concealment index calculation device as a challenge.
  • A_j is a value obtained by adding R_2 times ⁇ r_i ⁇ y_i and R_3 times ⁇ y_i to the value obtained by multiplying the inner product ⁇ X, Y> of X and Y by R_1_j.
  • the concealment index calculation unit 134 determines ( ⁇ S_j ⁇ , ⁇ _2_j ⁇ , ⁇ _3) as a response including the inner product of the registration information X_j and the collation information Y as the concealment index verification device 140. It is transmitted to the unit 144.
  • (S_j, ⁇ _2_j, ⁇ _3) corresponds to a Schnorr signature using A_j as a private key.
  • the determination unit 144 receives a response from the concealment index calculation unit 134.
  • the determination unit 144 verifies N digital signatures ⁇ S_j, ⁇ _2_j, ⁇ _3 ⁇ using the public key g ⁇ (R_3) stored in the key storage unit 142 together with the ID and the concealment keys ⁇ R_1_j ⁇ and R_2. do. Specifically, the following equation (16) is calculated.
  • v_j [ ⁇ g ⁇ ( ⁇ _2_j) ⁇ ⁇ ⁇ ( ⁇ _3) ⁇ (S_j ⁇ R_3) ⁇ ⁇ ⁇ ( ⁇ _1_j) ⁇ (S_j ⁇ R_2) ⁇ ⁇ (g ⁇ (-r'_j))] ⁇ (-1 / R_1_j) ... (16)
  • the determination unit 144 confirms whether or not the calculated v_j is included in ⁇ '. If the value contained in ⁇ 'is not found, or if multiple values are found, authentication result information indicating "authentication failure" is generated.
  • the determination unit 144 If only one value included in ⁇ 'is found, the determination unit 144 generates authentication result information indicating "ID_j is authentication successful".
  • the determination unit 144 transmits the generated authentication result information to the output unit 135 of the concealment index calculation device 130.
  • the output unit 135 that has received the authentication result information outputs the authentication result information.
  • the authentication result information may be directly output from the confidentiality index verification device 140.
  • the Schnorr signature is used in this specific example, but another cryptographically secure digital signature method such as a DSA signature may be used.
  • the collation system 100 according to the second embodiment shares a part of the concealment key used for generating each template, the data held by the client is compared with the case where the concealment key is not shared.
  • the number and the number of keys held by the verification server can be reduced, and the number of power multiplications and the amount of communication between the client and the verification server can be reduced. That is, the collation system 100 according to the second embodiment can perform efficient 1: N authentication.
  • the encrypted registration information is stored in the client as a template, so that the damage at the time of data leakage is reduced as compared with the case where the encrypted registration information is stored in the server. That is, the collation system 100 according to the second embodiment can perform efficient 1: N authentication while improving the security performance.
  • the collation system 100 can be appropriately changed to a configuration that executes only the registration process.
  • the collation system 100 may be composed of a common random number generation device 110, a registration information concealment device 120, a concealment index calculation device 130a, and a concealment index verification device 140a.
  • the concealment index calculation device 130a is a device corresponding to the concealment index calculation device 130, and has only the concealment information receiving unit 131 and the concealment information storage unit 132.
  • the concealment index verification device 140a is a device corresponding to the concealment index verification device 140, and has only the key receiving unit 141 and the key storage unit 142.
  • the collation system 100 can be appropriately changed to a configuration that executes only the authentication process.
  • the collation system 100 may be composed of a concealment index calculation device 130a and a concealment index verification device 140a.
  • the concealment index calculation device 130a is a device corresponding to the concealment index calculation device 130, and has only the concealment information storage unit 132, the collation information input unit 133, the concealment index calculation unit 134, and the output unit 135. .
  • the concealment index verification device 140a is a device corresponding to the concealment index verification device 140, and has only a key storage unit 142, an acceptance range storage unit 143, a determination unit 144, and a challenge generation unit 145.
  • FIG. 7 is a block diagram showing an outline of a computer that realizes a client and a server to which the collation system according to the first and second embodiments is applied.
  • the computer used as a client and the computer used as a server are separate computers.
  • the computer 1000 includes a CPU 1001, a main storage device 1002, an auxiliary storage device 1003, an interface 1004, and a communication interface 1005.
  • the operation of the computer 1000 that realizes the client is stored in the auxiliary storage device 1003 in the form of a client program.
  • the CPU 1001 reads the client program from the auxiliary storage device 1003, deploys it to the main storage device 1002, and executes the client operation described in the above embodiment and its specific example according to the client program.
  • the operation of the computer 1000 that realizes the server is stored in the auxiliary storage device 1003 in the form of a server program.
  • the CPU 1001 reads the server program from the auxiliary storage device 1003, deploys it to the main storage device 1002, and executes the server operation described in the above embodiment and its specific example according to the server program.
  • Auxiliary storage 1003 is an example of a non-temporary tangible medium.
  • Other examples of non-temporary tangible media include magnetic disks, magneto-optical disks, CD-ROMs (CompactDiskReadOnlyMemory), DVD-ROMs (DigitalVersatileDiskReadOnlyMemory), semiconductors connected via interface 1004. Memory and the like can be mentioned. Further, when the program is distributed to the computer 1000 by the communication line, the distributed computer 1000 may expand the program to the main storage device 1002 and operate according to the program.
  • each component of the client may be realized by a general-purpose or dedicated circuitry, a processor, or a combination thereof. These may be composed of a single chip or may be composed of a plurality of chips connected via a bus. A part or all of each component may be realized by the combination of the circuit or the like and the program described above. This point is the same for the server.
  • Identification information generation means for generating a plurality of identification information unique to each of a plurality of registration information which is biometric information of a plurality of registered persons.
  • a key that uses the common random number to generate a common key common to each of the plurality of registered information, and uses the plurality of identification information to generate a plurality of unique keys unique to each of the plurality of registered information.
  • the means of generation and A concealment means for generating a plurality of concealment information in which each of the plurality of registration information is concealed by using the common key and the plurality of unique keys.
  • the client With the client With the verification server, Equipped with The client It has a concealment index calculation means for calculating a plurality of concealment indexes representing the degree of approximation between the collation information which is the biometric information of the person to be authenticated and each of the plurality of concealment information.
  • the verification server is Whether or not any of the plurality of indexes shows a value within a predetermined range while generating a plurality of indexes obtained by decoding each of the plurality of concealment indexes using the common key and the plurality of unique keys.
  • Each unique key is composed of a private key and a public key.
  • the key generation means transmits the private key of each of the unique keys to the concealment means, and transmits the public key of each of the unique keys to the verification server.
  • the collation system according to Appendix 1 or 2.
  • the verification server is Further provided with a challenge generation means for generating a challenge signal for each collation information and transmitting it to the client.
  • the concealment index calculation means is configured to calculate the plurality of concealment indexes as a response signal corresponding to the challenge signal.
  • the collation system according to any one of Supplementary note 1 to 3.
  • the concealment index calculation means calculates the plurality of concealment indexes by the internal product of the collation information and each of the plurality of concealment information.
  • the collation system according to any one of Supplementary note 1 to 5.
  • At least the identification information generation means, the key generation means, and the concealment means are provided in a registration server different from the client and the verification server.
  • the collation system according to any one of Supplementary note 1 to 6.
  • a concealment index calculation step for calculating a plurality of concealment indexes representing the degree of approximation between the collation information which is the biometric information of the person to be authenticated and each of the plurality of concealment information.
  • the verification server a plurality of indexes obtained by decoding each of the plurality of concealment indexes using the common key and the plurality of unique keys are generated, and any of the plurality of indexes is set to a value within a predetermined range.
  • a determination step for authenticating the collation information based on whether or not it is shown, and A matching method.
  • the concealment index calculation process for calculating a plurality of concealment indexes representing the degree of approximation between the collation information which is the biometric information of the person to be authenticated and each of the plurality of concealment information.
  • the verification server a plurality of indexes obtained by decoding each of the plurality of concealment indexes using the common key and the plurality of unique keys are generated, and any of the plurality of indexes is set to a value within a predetermined range.
  • Judgment processing that authenticates the collation information based on whether or not it is shown, and A non-temporary computer-readable medium containing a collation program that causes the computer to run.

Abstract

照合システム（１００）は、共通乱数を用いて複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、複数の識別情報を用いて複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成手段（１２５）と、共通鍵と複数の固有鍵とを用いて複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化手段（１２６）と、クライアントと、検証サーバと、を備え、クライアントは、照合情報と、複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出手段（１３４）を有し、検証サーバは、共通鍵と複数の固有鍵とを用いて複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、照合情報についての認証を行う判定手段（１４４）を有する。

Description

照合システム、照合方法、及び、コンピュータ可読媒体
　本発明は、照合システム、照合方法、及び、コンピュータ可読媒体に関する。
　認証の一例として、生体認証がある。「生体認証」とは、被登録者の生体情報と、被認証者の生体情報と、を照合することにより、被登録者と被認証者とが一致するか否かを確認する個人認証の手法である。また、「生体情報」とは、身体や行動に関する一部の特徴から抽出されたデータ、または、その抽出されたデータを変換することによって生成されたデータである。このデータは、特徴量と称されることもある。ここで、被登録者の生体情報（以下、登録情報と称す）によって生成されたデータを含む、生体認証のために予め保存されるデータは、テンプレートと呼ばれている。
　クライアント・サーバシステムによって生体認証を行う場合、テンプレートをクライアントに保存する態様と、テンプレートをサーバに保存する態様と、がある。
　特許文献１および特許文献２には、暗号化された登録情報をテンプレートとしてサーバに保存することにより、登録情報が漏えいしない認証装置および認証方法の一例が記載されている。
　また、特許文献３には、二値のベクトルに関して安全性を高める照合システムが記載されている。
　さらに、特許文献４には、暗号化された登録情報をテンプレートとしてクライアントに保存することにより、登録情報が漏洩しない認証装置および認証方法の一例が記載されている。暗号化された登録情報をテンプレートとしてクライアントに保存することにより、サーバに保存する場合よりも、データ漏洩発生時の被害を軽減することができる。
特開２０１１－２１１５９３号公報 特開２００９－１２９２９２号公報 国際公開第２０１８／１１０６０８号 国際公開第２０２０／１２１４５８号
　生体認証では、Ｎ個（Ｎは１以上の整数）のテンプレートと被認証者の生体情報とを照合し、一致するものがないか確認する認証形式（以下、１：Ｎ認証と記す）がある。１：Ｎ認証では、例えば１個のテンプレートと被認証者の生体情報とを照合し確認する認証形式（以下、１：１認証と記す）をＮ回繰り返す方法が考えられる。しかしながら、この方法では、クライアントやサーバの通信量、計算量及び記憶するデータ量が、１：１認証と比べてＮ倍になり、Ｎの値が大きくなるほど効率が悪くなるという課題があった。
　本開示は、このような課題を解決するためになされたものであり、効率的な１：Ｎ認証の照合システム、照合方法、及び、コンピュータ可読媒体を提供することを目的とする。
　本開示にかかる照合システムは、共通乱数を生成する共通乱数生成手段と、複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成手段と、前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成手段と、前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化手段と、クライアントと、検証サーバと、を備え、前記クライアントは、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出手段を有し、前記検証サーバは、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定手段を有する。
　本開示にかかる照合方法は、共通乱数を生成する共通乱数生成ステップと、複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成ステップと、前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成ステップと、前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化ステップと、クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出ステップと、検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定ステップと、を備える。
　本開示にかかる非一時的なコンピュータ可読媒体は、共通乱数を生成する共通乱数生成処理と、複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成処理と、前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成処理と、前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化処理と、クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出処理と、検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定処理と、をコンピュータに実行させる照合プログラムが格納されている。
　本開示により、効率的な１：Ｎ認証の照合システム、照合方法、及び、コンピュータ可読媒体を提供することができる。
実施の形態１に係る照合システムの構成例を示すブロック図である。 実施の形態２に係る照合システムの構成例を示すブロック図である。 図２に示す照合システムにおける共通乱数の生成動作を示すフローチャートである。 図２に示す照合システムにおける登録処理及び認証処理の動作を示すフロー図である。 図２に示す照合システムの第１の適用事例を示すブロック図である。 図２に示す照合システムの第２の適用事例を示すブロック図である。 実施の形態１，２に係る照合システムが適用されたクライアント及びサーバを実現するコンピュータの概略を示すブロック図である。
　以下では、本開示の実施形態について、図面を参照しながら詳細に説明する。各図面において、同一又は対応する要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複説明は省略される。
　なお、以下の説明では、本開示の照合システムが生体認証に適用される場合を例に説明するが、これに限られず、生体認証以外の認証や照合処理に適用されてもよい。
＜実施の形態１＞
　図１は、実施の形態１に係る照合システムの概要を示すブロック図である。
　実施の形態１に係る照合システムは、共通乱数生成部１１１と、ＩＤ発行部１２３と、鍵生成部１２５と、秘匿化部１２６と、秘匿化指標算出部１３４と、判定部１４４と、を備える。なお、秘匿化指標算出部１３４は、クライアントに設けられている。判定部１４４は、検証サーバに設けられている。
　共通乱数生成部１１１は、ｓｔａｒｔ信号が入力されると共通乱数ＣＲを生成する。ＩＤ発行部１２３は、被登録者の生体情報（以下、登録情報と記す）ＸごとにＩＤ（IDentification）を発行する。鍵生成部１２５は、入力された共通乱数ＣＲを用いてＩＤごとに固有の秘匿化鍵ｓｋ＿ＩＤを生成する。秘匿化部１２６は、登録情報Ｘごとに当該登録情報Ｘを秘匿化鍵ｓｋ＿ＩＤによって秘匿化する。秘匿化部１２６は、複数の登録情報Ｘを秘匿化した情報（以下、秘匿化情報と記す）を、テンプレートとして、クライアントに送信する。
　クライアントにおいて、秘匿化指標算出部１３４は、複数のテンプレート（即ち、登録情報Ｘを秘匿化することによって得られた秘匿化情報）と、照合情報Ｙ（登録情報Ｘとの照合に用いられる被認証者の生体情報）と、に基づいて、複数の登録情報Ｘのそれぞれと照合情報Ｙとの近さを示す値である指標を秘匿化したデータ（以下、秘匿化指標と記す）を算出し、算出した複数の秘匿化指標を検証サーバに送信する。
　検証サーバにおいて、判定部１４４は、クライアントから送信された複数の秘匿化指標を取得する。そして、判定部１４４は、まず、共通鍵ＣＲとＩＤ毎に固有の複数の秘匿化鍵ｓｋ＿ＩＤとを用いて複数の秘匿化指標のそれぞれを復号した複数の指標を生成する。その後、判定部１４４は、復号した複数の指標の何れかが、予め定められた受理範囲内の値であるか否かを判定することによって１：Ｎ認証を行う。受理範囲内にある指標が１つ存在した場合のみ、判定部１４４は、ＩＤと、認証に成功した（認証が受理された）ことを示す認証結果情報とを、クライアントに送信する。それに対し、受理範囲内の指標が存在しない場合、又は、受理範囲内にある指標が複数存在する場合、判定部１４４は、認証に失敗したことを示す認証結果情報を、クライアントに送信する。
　例えば、クライアントは、検証サーバから認証に成功したことを示す認証結果情報を受け取った場合、ＩＤに対応する認証後の処理を実行する。但し、認証後の処理を実行する装置は、クライアントに限定されず、認証に成功したことを示す認証結果情報が得られたことを条件に、クライアント以外の装置がＩＤに対応する認証後の処理を実行してもよい。
　このように、実施の形態１に係る照合システムは、各テンプレートの生成に用いられる秘匿化鍵の一部を共通化しているため、共通化していない場合と比較して、クライアントが保持するデータ数及び検証サーバが保持する鍵の数を減少させたり、クライアント及び検証サーバのべき乗算の回数や通信量を減少させたりすることができる。つまり、実施の形態１に係る照合システムは、効率的な１：Ｎ認証を行うことができる。
　なお、実施の形態１に係る照合システムでは、暗号化された登録情報がテンプレートとしてクライアントに保存されるため、サーバに保存される場合よりも、データ漏洩発生時の被害が軽減される。つまり、実施の形態１に係る照合システムは、セキュリティ性能を向上させつつ、効率的な１：Ｎ認証を行うことができる。
＜実施の形態２＞
　図２は、実施の形態２に係る照合システム１００の構成例を示すブロック図である。図２に示す照合システム１００は、図１に示す照合システムをより詳細に示したブロック図である。
　図２に示すように、照合システム１００は、共通乱数生成装置１１０と、登録情報秘匿化装置１２０と、秘匿化指標算出装置１３０と、秘匿化指標検証装置１４０と、を備える。
　なお、本実施形態では、登録情報及び照合情報が共通の次元のベクトルで表されている場合を例にして説明する。また、本実施形態において、生体情報は、指紋以外に虹彩、網膜、顔、血管（静脈）、掌紋、声紋、又はこれらの組み合わせから抽出されてもよい。或いは、生体情報は、上述した例以外の、生体を識別可能な他の情報から抽出されてもよい。
（共通乱数生成装置１１０の構成）
　共通乱数生成装置１１０は、共通乱数生成部１１１と共通乱数記憶部１１２とを備える。共通乱数生成装置１１０は、共通乱数ＣＲを生成する。共通乱数生成部１１１は、ｓｔａｒｔ信号が入力されると共通乱数ＣＲを生成する。共通乱数記憶部１１２は、共通乱数生成部１１１によって生成された共通乱数ＣＲを記憶する。共通乱数生成装置１１０によって生成された共通乱数ＣＲは、登録情報秘匿化装置１２０において用いられる。
（登録情報秘匿化装置１２０の構成）
　登録情報秘匿化装置１２０は、登録情報入力部１２１と、共通乱数入力部１２２と、ＩＤ発行部１２３と、乱数生成部１２４と、鍵生成部１２５と、秘匿化部１２６と、を備える。
　登録情報入力部１２１は、被登録者の生体情報（以下、登録情報と記す）Ｘの入力を受け付ける。登録情報入力部１２１は、登録情報Ｘの種類に応じた入力デバイスであればよい。例えば、指紋から抽出される生体情報を登録情報Ｘとする場合、登録情報入力部１２１は、指紋を読み取り、その指紋から被登録者の生体情報となるベクトルを抽出し、そのベクトルを登録情報Ｘとして受け付ける入力デバイスであってもよい。また、登録情報入力部１２１は、被登録者の生体情報となるベクトルが登録情報Ｘとして直接入力される入力デバイスであってもよい。
　共通乱数入力部１２２は、共通乱数生成装置１１０からの共通乱数ＣＲを受け付ける。共通乱数入力部１２２は、受け付けた共通乱数ＣＲを鍵生成部１２５に出力する。ＩＤ発行部１２３は、登録情報入力部１２１に登録情報Ｘが入力されるごとにＩＤを発行する。乱数生成部１２４は、発行されたＩＤごとに乱数Ｒ＿ＩＤを生成する。乱数生成部１２４によって生成された乱数Ｒ＿ＩＤに入力される。
　鍵生成部１２５は、共通乱数ＣＲと乱数Ｒ＿ＩＤを用いて秘匿化鍵を生成する。ここで、本実施形態には、公開鍵暗号方式に基づくデジタル署名が採用されている。そのため、鍵生成部１２５は、共通乱数ＣＲを用いてデジタル署名の公開鍵ｐｋおよび秘密鍵ｓｋを生成する。なお、秘密鍵ｓｋは秘匿化鍵としても用いられる。また、鍵生成部１２５は、共通乱数ＣＲを用いて共通秘匿化鍵ｓｋ＿Ｃを生成するとともに、共通乱数ＣＲ及び乱数Ｒ＿ＩＤを用いて登録情報Ｘごとに秘匿化鍵ｓｋ＿ＩＤを生成する。鍵生成部１２５は、秘密鍵ｓｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを、秘匿化部１２６に出力する。また、鍵生成部１２５は、公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを、秘匿化指標検証装置１４０に送信する。
　秘匿化部１２６は、登録情報入力部１２１に入力された登録情報Ｘを、秘密鍵ｓｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、当該登録情報Ｘに対応する秘匿化鍵ｓｋ＿ＩＤを用いて秘匿化する。秘匿化部１２６は、登録情報Ｘを秘匿化した情報（以下、秘匿化情報と記す）を、秘匿化指標算出装置１３０に送信する。
　共通乱数入力部１２２、鍵生成部１２５、秘匿化部１２６は、例えば、クライアント用プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体からクライアント用プログラムを読み込み、そのプログラムに従って、通信インタフェースを用いて、共通乱数入力部１２２、鍵生成部１２５、秘匿化部１２６として動作すればよい。また、ＩＤ発行部１２３および乱数生成部１２４は、例えば、クライアント用プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが上記のようにプログラム記録媒体からクライアント用プログラムを読み込み、そのプログラムに従って、ＩＤ発行部１２３および乱数生成部１２４として動作すればよい。
（秘匿化指標算出装置１３０の構成）
　秘匿化指標算出装置１３０は、秘匿化情報受信部１３１と、秘匿化情報記憶部１３２と、照合情報入力部１３３と、秘匿化指標算出部１３４と、出力部１３５と、を備える。
　秘匿化情報受信部１３１は、登録情報秘匿化装置１２０から送信される秘匿化情報を受信し、秘匿化情報記憶部１３２に記憶させる。秘匿化情報記憶部１３２は、秘匿化情報を記憶する装置である。
　照合情報入力部１３３は、登録情報Ｘとの照合に用いられる被認証者の生体情報（以下、照合情報と記す）Ｙの入力を受け付ける。照合情報入力部１３３は、照合情報Ｙの種類に応じた入力デバイスであればよい。また、照合情報入力部１３３は、被認証者の生体情報となるベクトルが照合情報Ｙとして直接入力される入力デバイスであってもよい。
　なお、本実施形態の照合システム１００には、クライアントと検証サーバと間の通信を盗聴する攻撃者によるクライアントへのなりすましを防ぐために、チャレンジ・レスポンス方式が導入されている。具体的には、照合システム１００では、秘匿化指標検証装置１４０が、認証ごとに異なるチャレンジを秘匿化指標算出装置１３０に送信し、秘匿化指標算出装置１３０が、認証ごとに異なるチャレンジに対応し、かつ、登録情報と照合情報との近さを含むレスポンスを計算することで、レスポンスの値が認証ごとに変更されている。それにより、攻撃者がレスポンスの値を盗聴としたとしても、盗聴された値は次の認証において使用不能であり、攻撃者は別のチャレンジに対応するレスポンスを生成できないため、クライアントへのなりすましが防止される。
　秘匿化指標算出部１３４は、複数のテンプレート（即ち、登録情報Ｘを秘匿化することによって得られた秘匿化情報）と、照合情報Ｙと、秘匿化指標検証装置１４０から受け取るチャレンジと、に基づいて、複数の登録情報Ｘのそれぞれと照合情報Ｙとの近さを示す値である指標を秘匿化したデータ（以下、秘匿化指標と記す）を算出する。このとき、秘匿化指標算出部１３４はテンプレートの秘匿化の解除をすることなく、秘匿化指標を算出する。算出された複数の秘匿化指標は、秘匿化指標検証装置１４０に送信される。
　出力部１３５は、秘匿化指標検証装置１４０から送信された、生体認証の結果を示す認証結果情報を受信する。また、出力部１３５は、受信された認証結果情報を秘匿化指標算出装置１３０外に出力する。
　秘匿化情報受信部１３１、秘匿化情報記憶部１３２、出力部１３５は、例えば、クライアント用プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体からクライアント用プログラムを読み込み、そのプログラムに従って、通信インタフェースを用いて、秘匿化情報受信部１３１、秘匿化情報記憶部１３２、出力部１３５として動作すればよい。また、ＩＤ発行部１２３および乱数生成部１２４は、例えば、登録サーバ用プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、ＣＰＵが上記のようにプログラム記録媒体からクライアント用プログラムを読み込み、そのプログラムに従って、ＩＤ発行部１２３および乱数生成部１２４として動作すればよい。
　秘匿化情報記憶部１３２は、例えば、コンピュータが備える記憶装置によって実現される。
（秘匿化指標検証装置１４０の構成）
　秘匿化指標検証装置１４０は、鍵受信部１４１と、鍵記憶部１４２と、受理範囲記憶部１４３と、判定部１４４と、チャレンジ生成部１４５と、を備える。
　鍵受信部１４１は、登録情報秘匿化装置１２０から送信される公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを受信し、鍵記憶部１４２に記憶させる。
　鍵記憶部１４２は、公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを記憶する記憶装置である。
　判定部１４４は、鍵記憶部１４２に記憶されている鍵（公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤ）を用いて、秘匿化指標算出装置１３０において算出された複数の秘匿化指標のそれぞれから指標を取得可能か否かを判定する。
　なお、判定部１４４は、各秘匿化指標を秘匿化指標算出装置１３０から受け取る前に、チャレンジ生成部１４５によって生成されたチャレンジを秘匿化指標算出装置１３０に送信する。
　判定部１４４は、秘匿化指標算出装置１３０において算出された複数の秘匿化指標のそれぞれから指標を取得可能な場合、当該指標を取得する。次いで、判定部１４４は、各秘匿化指標から得られた指標が、予め定められた受理範囲内の値であるか否かを判定することによって、登録情報Ｘに含まれる被登録者と、照合情報Ｙに含まれる被認証者と、が一致するか否かを判定する。なお、予め定められた受理範囲は、受理範囲記憶部１４３に記憶されている。
　例えば、判定部１４４は、秘匿化指標から取得された指標が、受理範囲内の値であるならば、被登録者と被認証者とが一致すると判定する。被登録者と被認証者とが一致することが、登録情報Ｘと照合情報Ｙとが対応することに相当する。また、判定部１４４は、秘匿化指標から取得された指標が、受理範囲内の値でないならば、被登録者と被認証者とが一致しないと判定する。判定部１４４は、被登録者と被認証者とが一致する判定結果が１つ存在した場合のみ、ＩＤと、認証に成功した（認証が受理された）ことを示す認証結果情報とを、秘匿化指標算出装置１３０に送信する。被登録者と被認証者とが一致する判定結果が存在しない、又は、一致する判定結果が複数存在する場合、認証に失敗したことを示す認証結果情報を、秘匿化指標算出装置１３０に送信する。
　例えば、秘匿化指標算出装置１３０は、秘匿化指標検証装置１４０から認証に成功したことを示す認証結果情報を受け取った場合、ＩＤに対応する認証後の処理を実行する。但し、認証後の処理を実行する装置は、秘匿化指標算出装置１３０に限定されず、認証に成功したことを示す認証結果情報が得られたことを条件に、クライアント以外の装置がＩＤに対応する認証後の処理を実行してもよい。
　鍵受信部１４１、チャレンジ生成部１４５、判定部１４４は、例えば、サーバ用プログラムに従って動作するコンピュータのＣＰＵ（Central Processing Unit）、および、そのコンピュータの通信インタフェースによって実現される。例えば、ＣＰＵが、コンピュータのプログラム記憶装置等のプログラム記録媒体からサーバ用プログラムを読み込み、そのプログラムに従って、通信インタフェースを用いて、鍵受信部１４１、チャレンジ生成部１４５、判定部１４４として動作すればよい。
　鍵記憶部１４２、受理範囲記憶部１４３は、例えば、コンピュータが備える記憶装置によって実現される。
（フローチャート）
　続いて、照合システム１００の処理の流れを説明する。
　図３は、照合システム１００における共通乱数の生成動作を示すフローチャートである。なお、既に説明した内容については、詳細な説明を省略する。
　まず、共通乱数生成装置１１０は、共通乱数生成部１１１において共通乱数ＣＲを生成する（ステップＳ１０１）。その後、共通乱数生成装置１１０は、共通乱数記憶部１１２に共通乱数ＣＲを記憶させる（ステップＳ１０２）。その後、共通乱数生成装置１１０は、共通乱数ＣＲを登録情報秘匿化装置１２０の共通乱数入力部１２２に送信する（ステップＳ１０３）。
　図４は、照合システム１００における登録処理及び認証処理の動作を示すフローチャートである。なお、既に説明した事項については、詳細な説明を省略する。
　まず、登録処理が行われる。
　具体的には、まず、登録情報秘匿化装置１２０において、登録情報Ｘ（被登録者の生体情報）が登録情報入力部１２１に入力される（ステップＳ２０１）。
　次いで、共通乱数入力部１２２は、共通乱数生成装置１１０から送信された共通乱数ＣＲを受信する（ステップＳ２０２）。
　次いで、ＩＤ発行部１２３は、登録情報入力部１２１に登録情報Ｘが入力されるごとにＩＤを発行する（ステップＳ２０３）。
　次いで、乱数生成部１２４は、発行されたＩＤごとに乱数Ｒ＿ＩＤを生成する（ステップＳ２０４）。
　次いで、鍵生成部１２５は、共通乱数ＣＲを用いてデジタル署名の秘密鍵ｓｋ及び公開鍵ｐｋを生成する（ステップＳ２０５）。また、鍵生成部１２５は、共通乱数ＣＲを用いて共通秘匿化鍵ｓｋ＿Ｃを生成するとともに、共通乱数ＣＲ及び乱数Ｒ＿ＩＤを用いて登録情報Ｘごとに秘匿化鍵ｓｋ＿ＩＤを生成する（ステップＳ２０５）。
　次いで、秘匿化部１２６は、登録情報入力部１２１に入力された登録情報Ｘを、秘密鍵ｓｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、当該登録情報Ｘに対応する秘匿化鍵ｓｋ＿ＩＤを用いて秘匿化し、秘匿化情報として出力する（ステップＳ２０６）。
　次いで、秘匿化部１２６は、秘匿化情報を秘匿化指標算出装置１３０の秘匿化情報受信部１３１に送信する（ステップＳ２０７）。
　次いで、鍵生成部１２５は、公開鍵ｐｋと、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを、秘匿化指標検証装置１４０の鍵受信部１４１に送信する（ステップＳ２０８）。
　次いで、秘匿化指標算出装置１３０において、秘匿化情報受信部１３１は、秘匿化情報を受信する（ステップＳ２０９）。
　次いで、秘匿化情報記憶部１３２は、秘匿化情報を記憶する（ステップＳ２１０）。
　次いで、秘匿化指標検証装置１４０において、鍵受信部１４１は、登録情報秘匿化装置１２０から送信された公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを受信する（ステップＳ２１１）。
　次いで、鍵記憶部１４２は、公開鍵ｐｋ、共通秘匿化鍵ｓｋ＿Ｃ、及び、登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤを記憶する（ステップＳ２１２）。
　図５は、照合システム１００の第１の適用事例を示すブロック図である。
　図５の例では、登録サーバが共通乱数生成装置１１０及び登録情報秘匿化装置１２０を備え、クライアントが秘匿化指標算出装置１３０を備え、検証サーバが秘匿化指標検証装置１４０を備えている。この場合、登録サーバは、共通乱数ＣＲと秘密鍵ｓｋと共通秘匿化鍵ｓｋ＿Ｃと登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤとを保持し続ける。
　図６は、照合システム１００の第２の適用事例を示すブロック図である。
　図６の例では、クライアントが、共通乱数生成装置１１０と、登録情報秘匿化装置１２０と、秘匿化指標算出装置１３０とを備え、検証サーバが秘匿化指標検証装置１４０を備えている。この場合、登録処理が終了すると、共通乱数ＣＲと秘密鍵ｓｋと共通秘匿化鍵ｓｋ＿Ｃと登録情報Ｘごとの秘匿化鍵ｓｋ＿ＩＤとはクライアントから削除される。
　登録処理の後、認証処理が行われる。
　具体的には、まず、秘匿化指標算出装置１３０において、照合情報Ｙ（被認証者の生体情報）が照合情報入力部１３３に入力される（ステップＳ２１３）。
　次いで、秘匿化指標検証装置１４０において、チャレンジ生成部１４５は、チャレンジを生成する（ステップＳ２１４）。また、チャレンジ生成部１４５は、チャレンジを秘匿化指標算出装置１３０の秘匿化指標算出部１３４に送信する（ステップＳ２１５）。
　次いで、秘匿化指標算出装置１３０において、秘匿化指標算出部１３４は、チャレンジを受信する（ステップＳ２１６）。
　次いで、秘匿化指標算出部１３４は、複数のテンプレート（登録情報Ｘを秘匿化することによって得られた秘匿化情報）と、照合情報Ｙと、秘匿化指標検証装置１４０から受け取ったチャレンジと、に基づいて、複数の秘匿化指標を算出する（ステップＳ２１７）。
　次いで、秘匿化指標算出部１３４は、算出した複数の秘匿化指標を秘匿化指標検証装置１４０の判定部１４４に送信する（ステップＳ２１８）。
　次いで、秘匿化指標検証装置１４０において、判定部１４４は、秘匿化指標算出装置１３０から送信された複数の秘匿化指標を受信する（ステップＳ２１９）。
　次いで、判定部１４４は、受信した複数の秘匿化指標の中に予め定められた受理範囲内の指標があるか否かの照合を、公開鍵ｐｋと、共通秘匿化鍵ｓｋ＿Ｃ、秘匿化鍵ｓｋ＿ＩＤ、チャレンジを用いて行う（ステップＳ２２０）。また、判定部１４４は、秘匿化指標算出装置１３０の出力部１３５に照合結果を送信する（ステップＳ２２１）。
　次いで、秘匿化指標算出装置１３０において、出力部１３５は照合結果を受信する（ステップＳ２２２）。次いで、出力部１３５は、照合結果を出力する（ステップＳ２２３）。
　以下、本実施形態の認証処理の具体例について説明する。
　以下の説明では、登録情報Ｘおよび照合情報Ｙは、いずれもｎ次元のベクトルであるものとする。そして、Ｘの各要素は、Ｘ＝（ｘ＿１，・・・，ｘ＿ｎ）と表され、Ｙの各要素は、Ｙ＝（ｙ＿１，・・・，ｙ＿ｎ）と表されるものとする。また、記号ｉは１，・・・，ｎを表すものとする。例えば、｛ｕ＿ｉ｝＝ｕ＿１，ｕ＿２，・・・，ｕ＿ｎである。さらに登録時に入力される登録情報Ｘの数をＮとする。また、記号ｊは１，・・・，Ｎを表すものとする。
（第１の具体例）
　本具体例では、登録情報Ｘと照合情報Ｙとの近さを示す指標が、登録情報Ｘと照合情報Ｙとの内積である場合を考える。登録情報Ｘと照合情報Ｙとの内積＜Ｘ，Ｙ＞は、Σ（ｘ＿ｉ・ｙ＿ｉ）である。以下では、指標が内積である場合の処理の一例を示す。
　また、本具体例では、Ｓｃｈｎｏｒｒ署名が用いられている。Ｓｃｈｎｏｒｒ署名では、秘密鍵ｓｋと公開鍵ｐｋ＝ｇ＾ｓｋとの組が生成される。なお、ｓｋ∈Ｚ＿ｑ（Ｚ＿ｑ＝｛０，１，・・・，ｑ－１｝、ｑは素数）である（Ｚは整数全体の集合を表す記号）。また、ｇは、位数ｑの群Ｇの生成元である。すなわち、Ｇ＝｛ｇ＿０，ｇ＿１，・・・，ｇ＿ｑ－１｝である。Ｚ＿ｑ、ｇ、およびＧは、全ての装置との間で共有されている。
　さらに、秘匿化指標検証装置１４０に受理範囲Θ＝｛θ＿１，・・・，θ＿ｍ｝が与えられている。秘匿化指標検証装置１４０の受理範囲記憶部１４３は、Θ’＝｛ｇ＾（θ＿１），・・・，ｇ＾（θ＿ｍ）｝を記憶している。なお、Θ’は、Θの各値を指数とするｇのべき乗の集合である。
　以下、Ｓｃｈｎｏｒｒ署名が使用される場合の具体的な登録処理を説明する。
　最初に、Ｎ人の被登録者の生体情報（即ち、登録情報）｛Ｘ＿ｊ｝が、登録情報入力部１２１に入力される。次いで、ＩＤ発行部１２３は生体情報ごとにＩＤを発行する。
次いで、共通乱数生成部１１１は以下の式（１）、式（２）のように共通乱数を生成する。
　Ｒ＿１←＾ＲＺ＿ｑ　・・・（１）
　Ｒ＿３←＾ＲＺ＿ｑ　・・・（２）
　また、乱数生成部１２４は以下の式（３）、式（４）のように乱数を生成する。
　（Ｒ＿２＿１，Ｒ＿２＿２，・・・，Ｒ＿２＿Ｎ）←＾ＲＺ＿ｑ　・・・（３）
　（ｒ＿１＿１，ｒ＿２＿１，・・・，ｒ＿ｎ＿１，ｒ＿１＿２，・・・，ｒ＿ｎ＿Ｎ）←＾ＲＺ＿ｑ　・・・（４）
　次いで、鍵生成部１２５は、Ｒ＿３を秘密鍵とみなし、公開鍵ｇ＾（Ｒ＿３）を生成する。また、共通乱数｛ｒ＿ｉ＿ｊ｝と、乱数Ｒ＿１，｛Ｒ＿２＿ｊ｝と、を秘匿化鍵とみなす。
　鍵生成部１２５は、秘密鍵と秘匿化鍵を秘匿化部１２６に入力する。また、鍵生成部１２５はＩＤと、公開鍵ｇ＾（Ｒ＿３）と、秘匿化鍵Ｒ＿１，｛Ｒ＿２＿ｊ｝を秘匿化指標検証装置１４０の鍵受信部１４１に送信する。
　次いで、鍵記憶部１４２は受信したＩＤ、公開鍵と秘匿化鍵を記憶する。
　次いで、登録情報秘匿化装置１２０の秘匿化部１２６は、入力された秘密鍵と秘匿化鍵、Ｎ個の登録情報｛Ｘ＿ｊ｝を基に、ｉ＝１，２，・・・，ｎとｊ＝１，２，・・・，Ｎに対して、Ｒ＿１・ｘ＿ｉ＿ｊ＋Ｒ＿２＿ｊ・ｒ＿ｉ＋Ｒ＿３、ｇ＾（ｒ＿ｉ＿ｊ）を生成する。以下、テンプレートを｛Ｒ＿１・ｘ＿ｉ＿ｊ＋Ｒ＿２＿ｊ・ｒ＿ｉ＿ｊ＋Ｒ３｝、｛ｇ＾（ｒ＿ｉ＿ｊ）｝とする。
　秘匿化部１２６は、ＩＤとテンプレートを秘匿化指標算出装置１３０の秘匿化情報受信部１３１に送信する。
　次いで、秘匿化情報記憶部１３２は、ＩＤとテンプレートを記憶する。
　次に、Ｓｃｈｎｏｒｒ署名が使用される場合の具体的な認証処理を説明する。
　最初に、照合情報Ｙが照合情報入力部１３３に入力される。秘匿化指標算出部１３４は、照合情報入力部１３３から照合情報Ｙを取得し、秘匿化情報記憶部からＩＤとテンプレートを取得する。
　次いで、秘匿化指標算出部１３４は、σ＿１＿ｊ＝ｇ＾（Σｒ＿ｉ＿ｊ・ｙ＿ｉ）を計算する。その後、秘匿化指標算出部１３４はＩＤと、対応する｛σ＿１＿ｊ｝を秘匿化指標検証装置１４０の判定部１４４に送信する。
　次いで、ＩＤとσ＿１＿ｊを受信した秘匿化指標検証装置１４０は、チャレンジ生成部１４５において、Ｍ，Ｒ←＾ＲＺ＿ｑを生成し、鍵記憶部１４２に記憶されている公開鍵ｇ＾（Ｒ＿３）を用いて、ｇ＾（Ｒ・Ｒ＿３）を計算する。その後、チャレンジとしてＭ，ｇ＾（Ｒ・Ｒ＿３）を秘匿化指標算出装置の秘匿化指標算出部１３４に送信する。
　次いで、秘匿化指標算出部１３４は、Ｓ＿ｊ＝Ｈ（Ｍ，ｇ＾ｒ’＿ｊ）を算出する。なお、Ｈは暗号学的ハッシュ関数である。次いで、秘匿化指標算出部１３４は、入力された照合情報Ｙとテンプレートとを基に、以下の各値を式（５）、式（６）、式（７）から算出する。
　Ａ＿ｊ＝Σ＿ｉ（Ｒ＿１・ｘ＿ｉ＿ｊ＋Ｒ＿２＿ｊ・ｒ＿ｉ＿ｊ＋Ｒ＿３）・ｙ＿ｉ　・・・（５）
　σ＿２＿ｊ＝ｒ’＿ｊ－Ａ＿ｊ・Ｓ　・・・（６）
　σ＿３＝ｇ＾（Ｒ・Ｒ＿３・ｙ＿ｉ）　・・・（７）
　なお、Ａ＿ｊは、ＸとＹの内積＜Ｘ，Ｙ＞がＲ＿１倍された値に、Ｒ＿２＿ｊ倍のΣｒ＿ｉ・ｙ＿ｉとＲ＿３倍のΣｙ＿ｉが加算された値である。各値を算出した後、秘匿化指標算出部１３４は、登録情報Ｘ＿ｊと照合情報Ｙとの内積を含むレスポンスとして、（｛Ｓ＿ｊ｝，｛σ＿２＿ｊ｝，σ＿３）を秘匿化指標検証装置１４０の判定部１４４に送信する。（Ｓ＿ｊ，σ＿２＿ｊ，σ＿３）は、Ａ＿ｊを秘密鍵とするＳｃｈｎｏｒｒ署名に相当する。
　判定部１４４は、秘匿化指標算出部１３４からレスポンスを受信する。判定部１４４は、鍵記憶部１４２にＩＤとともに記憶されている公開鍵ｇ＾（Ｒ＿３）と、秘匿化鍵Ｒ＿１，｛Ｒ＿２＿ｊ｝を用いてＮ個のデジタル署名｛Ｓ＿ｊ，σ＿２＿ｊ，σ＿３｝を検証する。具体的には、以下の式（８）を計算する。
　ｖ＿ｊ＝［｛ｇ＾（σ＿２＿ｊ）｝・｛（σ＿３）＾（Ｓ＿ｊ・Ｒ＿３）｝・｛（σ＿１＿ｊ）＾（Ｓ＿ｊ・Ｒ＿２＿ｊ）｝・（ｇ＾（－ｒ’＿ｊ））］＾（－１／Ｒ＿１）　・・・（８）
　判定部１４４は、計算されたｖ＿ｊがΘ’に含まれるか否かを確認する。Θ’に含まれる値が見つからなかった、もしくは、複数見つかった場合，「認証失敗」を示す認証結果情報を生成する。
　また、Θ’に含まれる値が一つだけ見つかった場合、判定部１４４は、「ＩＤ＿ｊが認証成功」を示す認証結果情報を生成する。
　次いで、判定部１４４は、生成された認証結果情報を秘匿化指標算出装置１３０の出力部１３５に送信する。次いで、認証結果情報を受信した出力部１３５は、認証結果情報を出力する。なお、認証結果情報は、直接秘匿化指標検証装置１４０から出力されてもよい。
　なお、本具体例では、本具体例ではＳｃｈｎｏｒｒ署名が用いられているが、ＤＳＡ署名等の他の暗号学的に安全なデジタル署名方式が用いられてもよい。
（第２の具体例）
　本具体例でも、登録情報Ｘと照合情報Ｙとの近さを示す指標が、登録情報Ｘと照合情報Ｙとの内積である場合を考える。以下では、指標が内積である場合の処理の一例を示す。
　また、本具体例では、Ｓｃｈｎｏｒｒ署名が用いられている。Ｓｃｈｎｏｒｒ署名では、秘密鍵ｓｋと公開鍵ｐｋ＝ｇ＾ｓｋとの組が生成される。なお、ｓｋ∈Ｚ＿ｑ（Ｚ＿ｑ＝｛０，１，・・・，ｑ－１｝、ｑは素数）である（Ｚは整数全体の集合を表す記号）。また、ｇは、位数ｑの群Ｇの生成元である。すなわち、Ｇ＝｛ｇ＿０，ｇ＿１，・・・，ｇ＿ｑ－１｝である。Ｚ＿ｑ、ｇ、およびＧは、全ての装置との間で共有されている。
　さらに、秘匿化指標検証装置１４０に受理範囲Θ＝｛θ＿１，・・・，θ＿ｍ｝が与えられている。秘匿化指標検証装置１４０の受理範囲記憶部１４３は、Θ’＝｛ｇ＾（θ＿１），・・・，ｇ＾（θ＿ｍ）｝を記憶している。なお、Θ’は、Θの各値を指数とするｇのべき乗の集合である。
　以下、Ｓｃｈｎｏｒｒ署名が使用される場合の具体的な登録処理を説明する。
　最初に、Ｎ人の被登録者の生体情報（即ち、登録情報）｛Ｘ＿ｊ｝が、登録情報入力部１２１に入力される。次いで、ＩＤ発行部１２３は生体情報ごとにＩＤを発行する。
次いで、共通乱数生成部１１１は以下の式（９）、式（１０）のように共通乱数を生成する。
　Ｒ＿２←＾ＲＺ＿ｑ　・・・（９）
　Ｒ＿３←＾ＲＺ＿ｑ　・・・（１０）
　また、乱数生成部１２４は以下の式（１１）、式（１２）のように乱数を生成する。
　（Ｒ＿１＿１，Ｒ＿１＿２，・・・，Ｒ＿１＿Ｎ）←＾ＲＺ＿ｑ　・・・（１１）
　（ｒ＿１＿１，ｒ＿２＿１，・・・，ｒ＿ｎ＿１，ｒ＿１＿２，・・・，ｒ＿ｎ＿Ｎ）←＾ＲＺ＿ｑ　・・・（１２）
　次いで、鍵生成部１２５は、Ｒ＿３を秘密鍵とみなし、公開鍵ｇ＾（Ｒ＿３）を生成する。また、共通乱数｛ｒ＿ｉ＿ｊ｝と，乱数｛Ｒ＿１＿ｊ｝，Ｒ＿２を秘匿化鍵とみなす。
　鍵生成部１２５は、秘密鍵と秘匿化鍵を秘匿化部１２６に入力する。また、鍵生成部１２５はＩＤと、公開鍵ｇ＾（Ｒ＿３）と、秘匿化鍵｛Ｒ＿１＿ｊ｝，Ｒ＿２を秘匿化指標検証装置１４０の鍵受信部１４１に送信する。
　次いで、鍵記憶部１４２は受信したＩＤ、公開鍵と秘匿化鍵を記憶する。
　次いで、登録情報秘匿化装置１２０の秘匿化部１２６は、入力された秘密鍵と秘匿化鍵、Ｎ個の生体情報｛Ｘ＿ｊ｝を基に、ｉ＝１，２，・・・，ｎとｊ＝１，２，・・・，Ｎに対して、Ｒ＿１＿ｊ・ｘ＿ｉ＿ｊ＋Ｒ＿２・ｒ＿ｉ＋Ｒ＿３、ｇ＾（ｒ＿ｉ＿ｊ）を生成する。以下、テンプレートを｛Ｒ＿１＿ｊ・ｘ＿ｉ＿ｊ＋Ｒ＿２・ｒ＿ｉ＿ｊ＋Ｒ３｝、｛ｇ＾（ｒ＿ｉ＿ｊ）｝とする。
　秘匿化部１２６は、ＩＤとテンプレートを秘匿化指標算出装置１３０の秘匿化情報受信部１３１に送信する。
　次いで、秘匿化情報記憶部１３２は、ＩＤとテンプレートを記憶する。
　次に、Ｓｃｈｎｏｒｒ署名が使用される場合の具体的な認証処理を説明する。
　最初に、照合情報Ｙが照合情報入力部１３３に入力される。秘匿化指標算出部１３４は、照合情報入力部１３３から照合情報Ｙを取得し、秘匿化情報記憶部からＩＤとテンプレートを取得する。
　次いで、秘匿化指標算出部１３４は、σ＿１＿ｊ＝ｇ＾（Σｒ＿ｉ＿ｊ・ｙ＿ｉ）を計算する。その後、秘匿化指標算出部１３４はＩＤと、対応する｛σ＿１＿ｊ｝を秘匿化指標検証装置１４０の判定部１４４に送信する。
　次いで、ＩＤとσ＿１＿ｊを受信した秘匿化指標検証装置１４０は、チャレンジ生成部１４５において、Ｍ，Ｒ←＾ＲＺ＿ｑを生成し、鍵記憶部１４２に記憶されている公開鍵ｇ＾（Ｒ＿３）を用いて、ｇ＾（Ｒ・Ｒ＿３）を計算する。その後、チャレンジとしてＭ，ｇ＾（Ｒ・Ｒ＿３）を秘匿化指標算出装置の秘匿化指標算出部１３４に送信する。
　次いで、秘匿化指標算出部１３４は、Ｓ＿ｊ＝Ｈ（Ｍ，ｇ＾ｒ’＿ｊ）を算出する。なお、Ｈは暗号学的ハッシュ関数である。次いで、秘匿化指標算出部１３４は、入力された照合情報Ｙとテンプレートとを基に、以下の各値を式（１３）、式（１４）、式（１５）から算出する。
　Ａ＿ｊ＝Σ＿ｉ（Ｒ＿１＿ｊ・ｘ＿ｉ＿ｊ＋Ｒ＿２・ｒ＿ｉ＿ｊ＋Ｒ＿３）・ｙ＿ｉ　・・・（１３）
　σ＿２＿ｊ＝ｒ’＿ｊ－Ａ＿ｊ・Ｓ　・・・（１４）
　σ＿３＝ｇ＾（Ｒ・Ｒ＿３・ｙ＿ｉ）　・・・（１５）
　なお、Ａ＿ｊは、ＸとＹの内積＜Ｘ，Ｙ＞がＲ＿１＿ｊ倍された値に、Ｒ＿２倍のΣｒ＿ｉ・ｙ＿ｉとＲ＿３倍のΣｙ＿ｉが加算された値である。各値を算出した後、秘匿化指標算出部１３４は、登録情報Ｘ＿ｊと照合情報Ｙとの内積を含むレスポンスとして、（｛Ｓ＿ｊ｝，｛σ＿２＿ｊ｝，σ＿３）を秘匿化指標検証装置１４０の判定部１４４に送信する。（Ｓ＿ｊ，σ＿２＿ｊ，σ＿３）は、Ａ＿ｊを秘密鍵とするＳｃｈｎｏｒｒ署名に相当する。
　判定部１４４は、秘匿化指標算出部１３４からレスポンスを受信する。判定部１４４は、鍵記憶部１４２にＩＤとともに記憶されている公開鍵ｇ＾（Ｒ＿３）と、秘匿化鍵｛Ｒ＿１＿ｊ｝，Ｒ＿２を用いてＮ個のデジタル署名｛Ｓ＿ｊ，σ＿２＿ｊ，σ＿３｝を検証する。具体的には、以下の式（１６）を計算する。
　ｖ＿ｊ＝［｛ｇ＾（σ＿２＿ｊ）｝・｛（σ＿３）＾（Ｓ＿ｊ・Ｒ＿３）｝・｛（σ＿１＿ｊ）＾（Ｓ＿ｊ・Ｒ＿２）｝・（ｇ＾（－ｒ’＿ｊ））］＾（－１／Ｒ＿１＿ｊ）　・・・（１６）
　判定部１４４は、計算されたｖ＿ｊがΘ’に含まれるか否かを確認する。Θ’に含まれる値が見つからなかった、もしくは、複数見つかった場合，「認証失敗」を示す認証結果情報を生成する。
　また、Θ’に含まれる値が一つだけ見つかった場合、判定部１４４は、「ＩＤ＿ｊが認証成功」を示す認証結果情報を生成する。
　次いで、判定部１４４は、生成された認証結果情報を秘匿化指標算出装置１３０の出力部１３５に送信する。次いで、認証結果情報を受信した出力部１３５は、認証結果情報を出力する。なお、認証結果情報は、直接秘匿化指標検証装置１４０から出力されてもよい。
　なお、本具体例では、本具体例ではＳｃｈｎｏｒｒ署名が用いられているが、ＤＳＡ署名等の他の暗号学的に安全なデジタル署名方式が用いられてもよい。
　このように、実施の形態２に係る照合システム１００は、各テンプレートの生成に用いられる秘匿化鍵の一部を共通化しているため、共通化していない場合と比較して、クライアントが保持するデータ数及び検証サーバが保持する鍵の数を減少させたり、クライアント及び検証サーバのべき乗算の回数や通信量を減少させたりすることができる。つまり、実施の形態２に係る照合システム１００は、効率的な１：Ｎ認証を行うことができる。
　なお、実施の形態２に係る照合システム１００では、暗号化された登録情報がテンプレートとしてクライアントに保存されるため、サーバに保存される場合よりも、データ漏洩発生時の被害が軽減される。つまり、実施の形態２に係る照合システム１００は、セキュリティ性能を向上させつつ、効率的な１：Ｎ認証を行うことができる。
　なお、照合システム１００は、登録処理のみを実行する構成に適宜変更可能である。例えば、照合システム１００は、共通乱数生成装置１１０と、登録情報秘匿化装置１２０と、秘匿化指標算出装置１３０ａと、秘匿化指標検証装置１４０ａと、によって構成されてもよい。秘匿化指標算出装置１３０ａは、秘匿化指標算出装置１３０に対応する装置であって、秘匿化情報受信部１３１及び秘匿化情報記憶部１３２のみを有する。秘匿化指標検証装置１４０ａは、秘匿化指標検証装置１４０に対応する装置であって、鍵受信部１４１及び鍵記憶部１４２のみを有する。
　また、照合システム１００は、認証処理のみを実行する構成に適宜変更可能である。例えば、照合システム１００は、秘匿化指標算出装置１３０ａと、秘匿化指標検証装置１４０ａと、によって構成されてもよい。秘匿化指標算出装置１３０ａは、秘匿化指標算出装置１３０に対応する装置であって、秘匿化情報記憶部１３２、照合情報入力部１３３、秘匿化指標算出部１３４、及び、出力部１３５のみを有する。秘匿化指標検証装置１４０ａは、秘匿化指標検証装置１４０に対応する装置であって、鍵記憶部１４２、受理範囲記憶部１４３、判定部１４４、及び、チャレンジ生成部１４５のみを有する。
　図７は、実施の形態１，２に係る照合システムが適用されたクライアント及びサーバを実現するコンピュータの概略を示すブロック図である。下、図７を参照して説明するが、クライアントとして用いられるコンピュータと、サーバとして用いられるコンピュータとは、別々のコンピュータである。
　コンピュータ１０００は、ＣＰＵ１００１と、主記憶装置１００２と、補助記憶装置１００３と、インタフェース１００４と、通信インタフェース１００５と、を備える。
　クライアントを実現するコンピュータ１０００の動作は、クライアント用プログラムの形式で補助記憶装置１００３に記憶されている。ＣＰＵ１００１は、そのクライアント用プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、そのクライアント用プログラムに従って、上記の実施形態やその具体例で説明したクライアントの動作を実行する。
　サーバを実現するコンピュータ１０００の動作は、サーバ用プログラムの形式で補助記憶装置１００３に記憶されている。ＣＰＵ１００１は、そのサーバ用プログラムを補助記憶装置１００３から読み出して主記憶装置１００２に展開し、そのサーバ用プログラムに従って、上記の実施形態やその具体例で説明したサーバの動作を実行する。
　補助記憶装置１００３は、一時的でない有形の媒体の例である。一時的でない有形の媒体の他の例として、インタフェース１００４を介して接続される磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ（Compact Disk Read OnlyMemory）、ＤＶＤ－ＲＯＭ（Digital Versatile Disk Read Only Memory）、半導体メモリ等が挙げられる。また、プログラムが通信回線によってコンピュータ１０００に配信される場合、配信を受けたコンピュータ１０００がそのプログラムを主記憶装置１００２に展開し、そのプログラムに従って動作してもよい。
　また、クライアントの各構成要素の一部または全部は、汎用または専用の回路（circuitry）、プロセッサ等やこれらの組み合わせによって実現されてもよい。これらは、単一のチップによって構成されてもよいし、バスを介して接続される複数のチップによって構成されてもよい。各構成要素の一部または全部は、上述した回路等とプログラムとの組み合わせによって実現されてもよい。この点は、サーバに関しても同様である。
　上記の実施の形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　共通乱数を生成する共通乱数生成手段と、
　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成手段と、
　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成手段と、
　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化手段と、
　クライアントと、
　検証サーバと、
　を備え、
　前記クライアントは、
　被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出手段を有し、
　前記検証サーバは、
　前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定手段を有する、
　照合システム。
（付記２）
　前記判定手段は、前記複数の指標の何れか一つが前記所定範囲内の値を示す場合、前記照合情報についての認証を受理する、
　付記１に記載の照合システム。
（付記３）
　各前記固有鍵は、秘密鍵及び公開鍵によって構成され、
　前記鍵生成手段は、各前記固有鍵のうち秘密鍵を前記秘匿化手段に送信し、各前記固有鍵のうち公開鍵を前記検証サーバに送信する、
　付記１又は２に記載の照合システム。
（付記４）
　前記検証サーバは、
　前記照合情報ごとにチャレンジ信号を生成して前記クライアントに送信するチャレンジ生成手段をさらに備え、
　前記クライアントにおいて、
　前記秘匿化指標算出手段は、前記チャレンジ信号に対応するレスポンス信号として前記複数の秘匿化指標を算出するように構成されている、
　付記１～３の何れか一項に記載の照合システム。
（付記５）
　前記照合情報及び前記複数の登録情報は、何れもベクトルによって表される、
　付記１～４の何れか一項に記載の照合システム。
（付記６）
　前記クライアントにおいて、前記秘匿化指標算出手段は、前記照合情報と、前記複数の秘匿化情報のそれぞれと、の内積によって、前記複数の秘匿化指標を算出する、
　付記１～５の何れか一項に記載の照合システム。
（付記７）
　少なくとも前記識別情報生成手段、前記鍵生成手段、及び、前記秘匿化手段は、前記クライアントに設けられている、
　付記１～６の何れか一項に記載の照合システム。
（付記８）
　少なくとも前記識別情報生成手段、前記鍵生成手段、及び、前記秘匿化手段は、前記クライアント及び前記検証サーバとは別の登録サーバに設けられている、
　付記１～６の何れか一項に記載の照合システム。
（付記９）
　共通乱数を生成する共通乱数生成ステップと、
　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成ステップと、
　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成ステップと、
　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化ステップと、
　クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出ステップと、
　検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定ステップと、
　を備えた、照合方法。
（付記１０）
　共通乱数を生成する共通乱数生成処理と、
　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成処理と、
　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成処理と、
　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化処理と、
　クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出処理と、
　検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定処理と、
　をコンピュータに実行させる照合プログラムが格納された非一時的なコンピュータ可読媒体。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　１００　照合システム
　１１０　共通乱数生成装置
　１１１　共通乱数生成部
　１１２　共通乱数記憶部
　１２０　登録情報秘匿化装置
　１２１　登録情報入力部
　１２２　共通乱数入力部
　１２３　ＩＤ発行部
　１２４　乱数生成部
　１２５　鍵生成部
　１２６　秘匿化部
　１３０　秘匿化指標算出装置
　１３１　秘匿化情報受信部
　１３２　秘匿化情報記憶部
　１３３　照合情報入力部
　１３４　秘匿化指標算出部
　１３５　出力部
　１４０　秘匿化指標検証装置
　１４１　鍵受信部
　１４２　鍵記憶部
　１４３　受理範囲記憶部
　１４４　判定部
　１４５　チャレンジ生成部
　１０００　コンピュータ
　１００２　主記憶装置
　１００３　補助記憶装置
　１００４　インタフェース
　１００５　通信インタフェース

Claims (10)

  1. 　共通乱数を生成する共通乱数生成手段と、
    　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成手段と、
    　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成手段と、
    　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化手段と、
    　クライアントと、
    　検証サーバと、
    　を備え、
    　前記クライアントは、
    　被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出手段を有し、
    　前記検証サーバは、
    　前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定手段を有する、
    　照合システム。
  2. 　前記判定手段は、前記複数の指標の何れか一つが前記所定範囲内の値を示す場合、前記照合情報についての認証を受理する、
    　請求項１に記載の照合システム。
  3. 　各前記固有鍵は、秘密鍵及び公開鍵によって構成され、
    　前記鍵生成手段は、各前記固有鍵のうち秘密鍵を前記秘匿化手段に送信し、各前記固有鍵のうち公開鍵を前記検証サーバに送信する、
    　請求項１又は２に記載の照合システム。
  4. 　前記検証サーバは、
    　前記照合情報ごとにチャレンジ信号を生成して前記クライアントに送信するチャレンジ生成手段をさらに備え、
    　前記クライアントにおいて、
    　前記秘匿化指標算出手段は、前記チャレンジ信号に対応するレスポンス信号として前記複数の秘匿化指標を算出するように構成されている、
    　請求項１～３の何れか一項に記載の照合システム。
  5. 　前記照合情報及び前記複数の登録情報は、何れもベクトルによって表される、
    　請求項１～４の何れか一項に記載の照合システム。
  6. 　前記クライアントにおいて、前記秘匿化指標算出手段は、前記照合情報と、前記複数の秘匿化情報のそれぞれと、の内積によって、前記複数の秘匿化指標を算出する、
    　請求項１～５の何れか一項に記載の照合システム。
  7. 　少なくとも前記識別情報生成手段、前記鍵生成手段、及び、前記秘匿化手段は、前記クライアントに設けられている、
    　請求項１～６の何れか一項に記載の照合システム。
  8. 　少なくとも前記識別情報生成手段、前記鍵生成手段、及び、前記秘匿化手段は、前記クライアント及び前記検証サーバとは別の登録サーバに設けられている、
    　請求項１～６の何れか一項に記載の照合システム。
  9. 　共通乱数を生成する共通乱数生成ステップと、
    　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成ステップと、
    　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成ステップと、
    　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化ステップと、
    　クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出ステップと、
    　検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定ステップと、
    　を備えた、照合方法。
  10. 　共通乱数を生成する共通乱数生成処理と、
    　複数の被登録者の生体情報である複数の登録情報のそれぞれに固有の複数の識別情報を生成する識別情報生成処理と、
    　前記共通乱数を用いて前記複数の登録情報のそれぞれに共通の共通鍵を生成すると共に、前記複数の識別情報を用いて前記複数の登録情報のそれぞれに固有の複数の固有鍵を生成する、鍵生成処理と、
    　前記共通鍵と前記複数の固有鍵とを用いて前記複数の登録情報のそれぞれを秘匿化した複数の秘匿化情報を生成する秘匿化処理と、
    　クライアントにおいて、被認証者の生体情報である照合情報と、前記複数の秘匿化情報のそれぞれと、の近似度を表す複数の秘匿化指標を算出する秘匿化指標算出処理と、
    　検証サーバにおいて、前記共通鍵と前記複数の固有鍵とを用いて前記複数の秘匿化指標のそれぞれを復号した複数の指標を生成するとともに、前記複数の指標の何れかが所定範囲内の値を示すか否かに基づいて、前記照合情報についての認証を行う判定処理と、
    　をコンピュータに実行させる照合プログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2020/039598 2020-10-21 2020-10-21 照合システム、照合方法、及び、コンピュータ可読媒体 WO2022085126A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2022556305A JPWO2022085126A5 (ja) 2020-10-21 照合システム、照合方法、及び、照合プログラム
PCT/JP2020/039598 WO2022085126A1 (ja) 2020-10-21 2020-10-21 照合システム、照合方法、及び、コンピュータ可読媒体
US18/031,096 US20230370261A1 (en) 2020-10-21 2020-10-21 Comparison system, comparison method and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/039598 WO2022085126A1 (ja) 2020-10-21 2020-10-21 照合システム、照合方法、及び、コンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2022085126A1 true WO2022085126A1 (ja) 2022-04-28

Family

ID=81289823

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/039598 WO2022085126A1 (ja) 2020-10-21 2020-10-21 照合システム、照合方法、及び、コンピュータ可読媒体

Country Status (2)

Country Link
US (1) US20230370261A1 (ja)
WO (1) WO2022085126A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011052056A1 (ja) * 2009-10-29 2011-05-05 三菱電機株式会社 データ処理装置
JP2017076839A (ja) * 2015-10-13 2017-04-20 富士通株式会社 暗号処理方法、暗号処理装置、および暗号処理プログラム
WO2020121458A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011052056A1 (ja) * 2009-10-29 2011-05-05 三菱電機株式会社 データ処理装置
JP2017076839A (ja) * 2015-10-13 2017-04-20 富士通株式会社 暗号処理方法、暗号処理装置、および暗号処理プログラム
WO2020121458A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ

Also Published As

Publication number Publication date
JPWO2022085126A1 (ja) 2022-04-28
US20230370261A1 (en) 2023-11-16

Similar Documents

Publication Publication Date Title
US11227037B2 (en) Computer system, verification method of confidential information, and computer
JP6504013B2 (ja) 暗号処理方法、暗号処理装置、および暗号処理プログラム
JP6096893B2 (ja) 生体署名システム、登録端末および署名生成端末
US8195951B2 (en) Data processing system for providing authorization keys
CN112926092A (zh) 保护隐私的身份信息存储、身份认证方法及装置
JP5707311B2 (ja) 生体署名システム
US20070118758A1 (en) Processing device, helper data generating device, terminal device, authentication device and biometrics authentication system
WO2020121460A1 (ja) 照合システム、クライアントおよびサーバ
KR20010052105A (ko) 생체 측정 데이터를 이용한 암호키 발생
WO2020245939A1 (ja) 照合システム、クライアントおよびサーバ
JP6451938B2 (ja) 暗号文照合システム、方法、およびプログラム
WO2020121461A1 (ja) 照合システム、クライアントおよびサーバ
JP7060449B2 (ja) 生体認証システム、生体認証方法、及び生体認証プログラム
JP6791263B2 (ja) 暗号文照合システム及び暗号文照合方法
WO2020121458A1 (ja) 照合システム、クライアントおよびサーバ
WO2022085126A1 (ja) 照合システム、照合方法、及び、コンピュータ可読媒体
Saxena et al. A novel digital signature algorithm based on biometric hash
Therar et al. Biometric signature based public key security system
US20240039718A1 (en) Recovery verification system, collation system, recovery verification method, and non-temporary computer readable medium
CN112631552A (zh) 基于不均匀随机源的随机数生成、再生方法及电子装置
WO2021240757A1 (ja) 照合システム、クライアント端末、サーバ装置、照合方法、およびプログラム
Wang et al. Privacy-Preserving Fingerprint Authentication Using DH Key Exchange and Secret Sharing
JP7320101B2 (ja) 計算機システム、サーバ、端末、プログラム、及び情報処理方法
JP7061083B2 (ja) 署名システム、署名方法及びプログラム
Inuma A relation between irreversibility and unlinkability for biometric template protection algorithms

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20958678

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022556305

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20958678

Country of ref document: EP

Kind code of ref document: A1