JP3943897B2 - 本人確認システム及び装置 - Google Patents
本人確認システム及び装置 Download PDFInfo
- Publication number
- JP3943897B2 JP3943897B2 JP2001333432A JP2001333432A JP3943897B2 JP 3943897 B2 JP3943897 B2 JP 3943897B2 JP 2001333432 A JP2001333432 A JP 2001333432A JP 2001333432 A JP2001333432 A JP 2001333432A JP 3943897 B2 JP3943897 B2 JP 3943897B2
- Authority
- JP
- Japan
- Prior art keywords
- certificate
- user
- biometric
- signature
- biometric authentication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、生体認証方式を用いて本人確認を行なう本人確認システム及び装置に係り、特に、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行し得る本人確認システム及び装置に関する。
【０００２】
【従来の技術】
一般に、本人確認方法の一種として、人間の生体情報に基づく生体認証（バイオメトリクス）方式が広く知られている。
ここで、生体認証方式は、各個人の固有の生体的特徴と、予め登録した各個人の生体情報とを照合することにより、本人か否かを判断する技術である。なお、生体情報は、指紋、虹彩、網膜、顔、音声、キーストローク、サインなどといった広い意味での生体的特徴を情報化（数値化）したものである。
【０００３】
このように、生体認証方式は、パスワード等の既存の認証方法とは異なり、失念や紛失の可能性がない生体的特徴を利用するので、各個人ユーザ（以下、ユーザという）の負荷が軽い本人確認方法となっている。また、生体的特徴は、複製が困難なものを前提とするので、成り済まし攻撃などの防止に有効である。
【０００４】
また現在、インターネットに代表されるオープンネットワークの普及に伴い、電子商取引などのネットワーク通信に生体認証方式を導入することが検討されている。
【０００５】
しかしながら、ネットワーク通信に生体認証方式を導入する場合、ネットワーク上で照合結果や生体情報が盗難や改ざんにあう可能性がある。但し、この可能性は、公開鍵認証基盤（Public Key Infrastructure）やＩＣカード（スマートカード）等のセキュア媒体との組合せにより、減少可能と考えられている。
【０００６】
一方、複数種類の生体認証を組合せて総合的に本人確認を行なう複合生体認証システムにより、一層、高精度の本人確認システムが実現されてきている。
【０００７】
【発明が解決しようとする課題】
しかしながら、以上のような本人確認システムは、閉じた系に適用される現在の場合には特に問題はないが、本発明者の考察によれば、オープンネットワークに適用される近い将来の場合には次のような問題（ａ）〜（ｄ）が生じると予想される。
【０００８】
（ａ） 本人確認システムは、ネットワーク経由で通信相手を認証する場合、本人確認の実行環境（クライアント環境）が本当に安全で、かつ信頼のおける状態であるか否かを知ることが困難である。
【０００９】
すなわち、本人確認システムは、ユーザ毎に異なる生体認証デバイスや照合アルゴリズムに関し、改ざんされたか否か、要求レベル（信頼のおけるレベル）にあるか否か、正当なものか否か等を確認する必要がある。しかしながら、この確認は極めて困難である。
【００１０】
（ｂ） 問題（ａ）に関し、本人確認システムは、要求レベルをユーザ側に伝える場合、要求レベル又はその応答をネットワーク上で盗難や改ざんから保護する必要がある。
【００１１】
例えば、あるサービスを提供するエンティティは、生体認証の際に、提供サービスのセキュリティポリシーを満たす要求レベルをユーザ側に伝え、ユーザ側の生体認証デバイスや照合アルゴリズムが要求レベルを越えている旨を確認するとする。この場合、要求レベル又はその応答はネットワーク上で盗難や改ざんにあわない必要がある。
【００１２】
（ｃ） 本人確認システムの照合アルゴリズムや、照合装置及び読取装置などの生体認証デバイスは、閉じた系で用いることを前提とするため、各メーカ間で接続性がない場合が多い。特に、照合アルゴリズムは、同一の生体的特徴に対し、各メーカ間で互いに異なる生体情報を抽出する場合がある。このため、Ａ社の照合アルゴリズムにより抽出した生体情報は、Ｂ社の照合アルゴリズムの予め登録された生体情報（以下、参照情報ともいう）として利用できない場合が多い。
【００１３】
（ｄ） 上述した問題（ａ）〜（ｃ）を解決する仕組みを有し、オープンネットワークを用いる各ユーザにとって共通に利用可能な認証基盤が必要となる。
【００１４】
本発明は上記実情を考慮してなされたもので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行し得る本人確認システム及び装置を提供することを目的とする。
【００１５】
【課題を解決するための手段】
第１の発明は、生体認証方式により、ユーザが本人である旨を確認するための本人確認システムであって、各ユーザ毎に、公開鍵暗号方式に基づくユーザ証明書及びユーザ秘密鍵を発行するためのユーザ登録局と、各生体認証機器毎に、公開鍵暗号方式に基づく機器証明書及び機器秘密鍵を発行するための機器認証局と、前記機器認証局により発行された機器証明書及び機器秘密鍵が予め格納され、所定の生体認証方式により前記ユーザが本人である旨を確認したとき、得られた本人確認情報に対して前記機器秘密鍵による第１デジタル署名と前記機器証明書とを付与して送信する生体認証機器と、前記ユーザ登録局により発行されたユーザ証明書及びユーザ秘密鍵が予め格納され、前記生体認証機器から送信された本人確認情報、前記第１デジタル署名及び前記機器証明書を受信すると、この第１デジタル署名に対して前記ユーザ秘密鍵による署名処理を施し、得られた第２デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を送信するユーザ署名装置と、前記ユーザ署名装置を着脱自在に保持する媒体保持部を有し、前記生体認証機器に接続されたクライアント装置と、前記クライアント装置にネットワークを介して接続され、前記ユーザ署名装置から送信された第２デジタル署名、本人確認情報、機器証明書及びユーザ証明書を受信すると、前記ユーザ登録局及び前記機器認証局を参照しながら前記ユーザ証明書及び前記機器証明書を検証し、又は前記第２デジタル署名を検証し、前記各証明書と前記第２デジタル署名との検証結果がそれぞれ正当のとき、前記本人確認情報を認証する認証装置と、を備えた本人確認システムである。
【００１６】
ここで、本人確認情報としては、例えば、照合結果及び／又は生体情報が使用可能となっている。また、ユーザ署名装置としては、例えばＩＣカードやスマートカード等といった個人的で携帯可能な装置が使用可能となっている。
【００１７】
このように、生体認証方式による本人確認情報に対し、生体認証機器とユーザ署名装置との二重のデジタル署名を付与するので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行することができる。
【００１８】
第２の発明は、第１の発明において、前記認証装置としては、前記クライアント装置から受けるサービス要求に基づいて、サービスが要求する生体認証レベルを前記クライアント装置に通知する要求レベル通知手段を備えた本人確認システムである。
【００１９】
これにより、第１の発明の作用に加え、得られた本人確認情報がサービス側の要求する生体認証レベル（生体認証方式の照合精度や耐タンパ性の強度など）を満たす旨を保証することができる。
【００２０】
第３の発明は、第２の発明において、前記クライアント装置としては、複数の生体認証機器が接続されているとき、前記各生体認証機器の機器証明書に記述された生体認証評価データを含めて作成された認証機器接続リストに基づいて、前記要求レベルを満たす生体認証方式又は生体認証機器を選択する認証機器選択手段を備えた本人確認システムである。
【００２１】
これにより、第２の発明の作用に加え、使用する生体認証方式を固定せずに、複数の生体認証機器から適切な生体認証方式又は生体認証機器を選択することができる。
【００２２】
第４の発明は、第３の発明において、新規の生体認証機器が前記クライアント装置に接続されたとき、この生体認証機器を追加するように前記認証機器接続リストの内容を動的に変更する動的変更手段を備えた本人確認システムである。
【００２３】
これにより、第３の発明の作用に加え、容易且つ確実に、新規の生体認証機器を追加することができる。
【００２４】
なお、上記各発明は、「システム」という名称で表現したが、これに限らず、全体又は各々の「装置」、「方法」、「プログラム」といった他の名称又はカテゴリーで表現してもよい。
【００２５】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照して説明する。なお、各実施形態で述べる本人確認システムは、ネットワークを介して任意のサービス（ＷＷＷサービス等）を提供するシステムにおいて、サービスへのログオン等の本人確認要求に対し、クライアント装置（パーソナルコンピュータやワークステーションや携帯端末など）において、正当かつ安全な環境下で本人確認されたことをサービス提供側が検証できるものである。ここで、ネットワークの接続回線は、インターネットに代表される汎用のオープンネットワークを想定しているが、ＬＡＮなどのローカルネットワークや専用回線であってもよい。
【００２６】
（第１の実施形態）
図１は本発明の第１の実施形態に係る本人確認システムの構成を示す模式図である。この本人確認システムは、ユーザ登録局１、認定局２、機器認証局３、認証サーバ１０、クライアント装置２０、媒体読取装置３０、セキュア媒体４０及び生体認証デバイス５０を備えている。
【００２７】
ここで、ユーザ登録局１は、ユーザ初期登録を行うものであり、ユーザの登録申請に基づいて、ユーザ証明書（ユーザの公開鍵証明書）及びユーザ秘密鍵（この公開鍵証明書に対応する公開鍵暗号方式の秘密鍵）を発行する機能と、これら発行したユーザ情報をセキュア媒体４０に格納する機能と、発行時に提示された参照情報及び生体認証対応リスト（参照情報に対応する生体認証方式）をセキュア媒体４０に格納する機能と、認証サーバ１０からのアクセスによりユーザ証明書を認証サーバ１０に送信する機能とをもっている。
【００２８】
ここで、参照情報は、図２に示すように、ヘッダ（生体認証対応リスト）と、標準生体情報（例、標準指紋参照情報、標準顔参照情報）と、生体認証方式特有情報（例、指紋認証方式Ａ特有情報、指紋認証方式Ｂ特有情報、顔認証方式Ｃ特有情報）の項目を備えている。
【００２９】
なお、参照情報の例は、生体情報センサで読取った生体情報（指紋認証であれば抽出前の指紋画像）、互いに異なる照合アルゴリズムに対応した特徴抽出処理後のデータ、標準化団体などで規定されたフォーマットに従ったデータ、又はこれらの組合せ等がある。初期登録における参照情報の選択は、ユーザの判断又はシステムの利用形態に依存している。
【００３０】
認定局２は、生体認証デバイス５０の照合精度（本人拒否率や他人受入率、対応率等）や耐タンパ性の強度等を評価し、評価対象の生体認証デバイス５０が満たす生体認証レベルを認定するものであって、具体的には、生体認証デバイス５０の製造者からの申請に基づいて生体認証デバイス５０を認定し、認定内容を機器認証局３に通知する機能をもっている。
【００３１】
ここで、生体認証レベルは、認定対象の生体認証デバイス５０単体が有する総合的性能（安全性能、照合性能等）を示している。
【００３２】
照合精度評価基準は、任意の基準を使用可能であるが、例えば、標準化団体等で規定された標準化された照合精度評価基準を用いることが望ましい。耐タンパ性評価基準についても同様である。
【００３３】
機器認証局３は、認定局２が認定した生体認証デバイス５０に対して機器証明書を発行するものであり、具体的には、認定局２から発行要求又は発行許可を受けたとき、機器証明書（機器の公開鍵証明書）を発行する。なお、機器認証局３は、認定局２と同一の要素（サーバなどの計算機等）内に設けてもよい。なお、各局２，３とは図１に示すように簡単な構成例としてもよいが、これら各局２，３を本システムの本人確認保証基盤として独立させることも可能である。この認定局２と機器認証局３等により構成される本人確認保証基盤の別形態の詳説は後述する。
【００３４】
機器証明書は、図３に一例を示すように、フィールド、バージョン、機器証明書発行対象の公開鍵、機器証明書のシリアル番号、署名アルゴリズム、有効期限、機器証明書発行者、機器証明書発行対象、生体認証デバイス製造者、生体認証デバイス評価基準、生体認証デバイス評価結果、デジタル署名の各項目のデータを備えており、また、安全性などの評価項目を付属させてもよい。
【００３５】
なお、機器証明書は、一般的に普及している公開鍵証明書であるＸ．５０９証明書の形式に沿ったものでもよく、新たに規定した形式でもよい。このときＸ．５０９証明書で規定されていないフィールド項目は、プライベートな拡張領域として定義することで利用可能である。また、図３に示したフィールド項目は一例であり、適宜変形してもよい。生体認証デバイス評価基準は、機器認証局３での認定時に使用した評価基準を示すものである。生体認証デバイス評価結果は、各評価基準に従って評価した結果を示すものであればよく、例えば、評価結果を示すインデックスやＩＤ等でもよい。
【００３６】
認証サーバ１０は、サービスを提供するシステムに属し、図４に示すように、通信部１１、要求応答部１２、証明書検証部１３、レベル照合部１４及び結果検証部１５を備えている。
【００３７】
ここで、通信部１１は、ネットワーク上のクライアント装置２０と、自サーバ１０内の要求応答部１２又は証明書検証部１３との間の通信のためのものである。
【００３８】
要求応答部１２は、クライアント装置２０からネットワーク及び通信部１１を介して受けた要求に対し、レベル要求等の応答をクライアント装置２０宛に通信部１１に送出する機能と、このレベル要求をレベル照合部１４に送出する機能とをもっている。
【００３９】
証明書検証部１３は、クライアント装置２０からネットワーク及び通信部１１を介して受けた照合結果関連データ（機器証明書、ユーザ証明書、照合結果、署名データＳM［ＳD［照合結果］］）に対し、ユーザ登録局１及び機器認定局３を参照しながら、各証明書の正当性を検証し、検証結果が正当なとき、照合関連データをレベル照合部１４に送出する機能をもっている。
【００４０】
ここで、ＳM［ ］は、［かっこ］内のデータ“ＳD［照合結果］”に対するセキュア媒体４０のデジタル署名を意味し、ＳD［照合結果］は、［かっこ］内のデータ“照合結果”に対する生体認証デバイス５０のデジタル署名を意味している。
【００４１】
なお、証明書の正当性の検証処理としては、例えば、各証明書が有効期限内か否か、公開鍵証明書の失効リストであるＣＲＬ（Certificate Revocation List）等により各証明書が失効されたか否か、各証明書のデジタル署名が正当か否か、証明書の信頼パスの各認証局が信頼のおけるものであるか否か等を検証するものである。
【００４２】
レベル照合部１４は、証明書検証部１３から受けた照合結果関連データのうち、機器証明書の評価結果データ（及び／又は評価基準データ）と、要求応答部１２から受けるレベル要求とを照合し、評価結果データがレベル要求を満たすとき、照合結果関連データを結果検証部１５に送出する機能とをもっている。
【００４３】
結果検証部１５は、レベル照合部１４から受けた照合結果関連データのうち、署名データＳM［ＳD［照合結果］］を各証明書に基づいて検証し、照合結果の正当性を検証する機能をもっている。
【００４４】
クライアント装置２０は、図５に示すように、通信部２１及び認証制御プログラム部２２を有し、その他図示しない構成要素（モニタ、マウス、キーボード等）を備えている。
【００４５】
通信部２１は、認証制御プログラム部２２と認証サーバ１０との間の通信を実行するためのものである。
【００４６】
認証制御プログラム部２２は、システム動作時に常駐して動作する認証制御プログラムにより実現され、クライアント装置２０の本人確認処理を制御するための機能部であり、認証サーバ１０へのアクセス時には動作している必要があり、動作していない時は通信インターフェース（ブラウザ等）の呼出し等により起動されるか、ユーザの操作により起動される。なお、認証制御プログラムは、ＯＳ内に含めてもよく、アプリケーションソフトウェアやミドルウェアなどのＯＳ外のプログラムとしてもよい。
【００４７】
具体的には認証制御プログラム部２２は、通信データ制御部２３、生体認証選択部２４及び生体認証デバイス追加削除部２５を備えている。
【００４８】
通信データ制御部２３は、生体認証処理時に、クライアント装置２０と、セキュア媒体４０又は生体認証デバイス５０との間の通信データ（例、参照情報、照合結果、署名データＳM，ＳD）の転送制御を行うものであり、通信データの内容には関与しないものである。
【００４９】
生体認証選択部２４は、セキュア媒体４０から受ける生体認証デバイス接続リストに基づいて、認証サーバ１０から受ける生体認証要求レベルを満たす生体照合アルゴリズム（照合ルーチン）を選択する機能をもっている。
【００５０】
ここで、生体認証デバイス接続リストは、図６に示すように、クライアント装置２０に接続された生体認証デバイス５０毎に、デバイス名、対象生体情報、照合アルゴリズム、製造元及び生体認証レベルが記述されたものである。
【００５１】
生体認証デバイス追加削除部２５は、生体認証デバイス５０の追加／削除の際に、生体認証デバイス接続リスト上での対応する内容を追加／削除するものである。追加の際には、追加接続された生体認証デバイス５０から送信された機器証明書を検証し、正当であるとき、対応するデータを生体認証デバイス接続リストに追加する。削除の際には、生体認証デバイス接続リストから対応するデータを削除する。
【００５２】
媒体読取装置３０は、セキュア媒体４０を着脱可能に保持する機能と、セキュア媒体４０とクライアント装置２０との間のインターフェイスの機能とを有するものである。
【００５３】
セキュア媒体４０は、耐タンパ性を有し、正当なアクセス手段以外による内部情報へのアクセスができないものである。物理的手段による内部情報の不正読取などの攻撃に対しても、内部情報消去などにより内部情報の流出を防止する機能を備えており、例えば耐タンパ機能付ＩＣカードなどが適用可能である。
【００５４】
具体的にはセキュア媒体４０は、図７に示すように、セキュア通信部４１、セキュア媒体制御部４２、個人情報管理部４３、署名生成部４４、署名検証部４５を備えている。
【００５５】
セキュア通信部４１は、セキュア媒体制御部４２と外部との間に設けられ、外部の通信相手の認証と、通信内容の認証と、通信内容の秘匿を主な目的とするものであり、鍵交換処理、通信相手認証処理、データ認証処理、暗号化／復号処理などを含むものである。セキュア通信で自己を証明する情報として、個人情報管理部４３で管理されるユーザ証明書とユーザ秘密鍵を用いてもよい。
【００５６】
セキュア媒体制御部４２は、セキュア通信部４１から受けた通信内容に基づいて、個人情報管理部４３、署名生成部４４、署名検証部４５を個別に制御するものであり、主に、セキュア通信部４１から生体認証デバイス５０からの照合結果、署名データＳD［照合結果］及び機器証明書を受けると、署名データＳD［照合結果］を機器証明書に基づいて署名検証部４５に検証させる機能と、署名検証部４５の検証結果が“正当”のとき、署名データＳD［照合結果］を個人情報管理部４３内のユーザ秘密鍵に基づいて署名生成部４４に署名させる機能と、署名生成部４４により得られた署名データＳM［ＳD［照合結果］］、照合結果、機器証明書及びユーザ証明書を照合結果関連データとして認証サーバ１０宛にセキュア通信部４１に送出する機能とをもっている。
【００５７】
個人情報管理部４３は、セキュア媒体制御部４２から読出／書込可能に、ユーザ秘密鍵、ユーザ証明書及び参照情報を管理するものである。ユーザ証明書は、ユーザ登録局１からユーザに対して発行された公開鍵証明書であり、ユーザ登録局１の秘密鍵によるデジタル署名が付されている。ユーザ秘密鍵は、ユーザ証明書に対応する秘密鍵である。また、認証処理負担の軽減のため、認証サーバ１０の公開鍵証明書又は認証サーバ１０のルート認証局の公開鍵証明書を格納してもよい。
【００５８】
署名生成部４４は、セキュア媒体制御部４２から受けた生体認証デバイスによる照合結果、署名データＳD［照合結果］に対し、ユーザ証明書に対応するユーザ秘密鍵でデジタル署名を行い、得られた二重署名データＳM［ＳD［照合結果］］及び照合結果をセキュア媒体制御部４２に送出するものである。
【００５９】
署名検証部４５は、セキュア媒体制御部４２から受けた生体認証デバイスによる照合結果、署名データＳD［照合結果］及び機器証明書に基づいて、署名データＳD［照合結果］を検証し、検証結果が正当なとき、署名生成部４４による署名を許可するための検証結果“正当”をセキュア媒体制御部４２に送出するものである。
【００６０】
生体認証デバイス５０は、クライアント装置２０に接続され、指紋や虹彩などの生体情報を生体から読取るセンサ機能と読取った生体情報と事前に登録された生体情報とを照合する機能を有したモジュールである。
【００６１】
生体認証デバイス５０は、耐タンパ性を有し、図８に示すように、セキュア通信部５１、生体認証デバイス制御部５２、機器情報管理部５３、読取部５４、照合部５５及び署名生成部５６を備えている。
【００６２】
生体認証デバイス５０は、読取精度や、本人拒否率や他人許容率といった照合精度評価や、耐タンパ性能などの性能を、定められた評価基準に従って認定局２により評価及び認定を受ける。認定を受けた生体認証デバイス５０は、認定局２より認定を受けた証明として生体認証デバイス５０に対する機器証明書（機器の公開鍵証明書）を機器認証局３より発行してもらい、機器証明書に対応する秘密鍵（以下、機器秘密鍵）を生体認証デバイス５０のセキュア領域（機器情報管理部５３）に格納する。
【００６３】
セキュア通信部５１は、通信相手の認証と、通信内容の認証と、通信内容の秘匿を主な目的とするものであり、鍵交換処理、通信相手認証処理、データ認証処理、暗号化／復号処理などを含むものである。セキュア通信で自己を証明する情報として、機器情報管理部５３で管理される機器証明書と機器秘密鍵を用いてもよい。
【００６４】
生体認証デバイス制御部５２は、生体認証デバイス５０内の各機能部５１，５３〜５６の制御を行うものであり、主に、セキュア通信部５１から受けた参照情報を照合部５５に送出する機能と、署名生成部５６から受けた照合結果、署名データＳD［照合結果］及び機器証明書をセキュア通信部５１を介してセキュア媒体４０宛に送信する機能をもっている。
【００６５】
機器情報管理部５３は、機器秘密鍵と、必要ならば機器証明書の管理を行う。すなわち、機器証明書は、所望により外部のディレクトリサーバ等のリポジトリで管理されてもよい。
【００６６】
機器証明書は、図３に示したように、生体認証デバイス５０に対して発行された公開鍵証明書であり、機器認証局３の秘密鍵でデジタル署名が施されたものであり、機器秘密鍵は機器証明書に対応する秘密鍵である。
【００６７】
読取部５４は、生体情報の読取り処理を行い、読取った生体情報を照合部に送出するものである。
【００６８】
照合部５５は、セキュア媒体４０から送出されて生体認証デバイス制御部５２から受けた参照情報（セキュア媒体４０内に事前に登録された生体情報）と、読取部５４で読取った照合情報（読取った生体情報又はこの生体情報に照合アルゴリズム固有の特徴抽出処理などを施した情報）とを照合する生体照合ルーチンにより動作するものであり、照合結果を署名生成部５６に送出する機能をもっている。なお、生体照合ルーチンは、特徴抽出処理などの照合アルゴリズム特有の処理が必要な場合にはそれら特有の処理をも行う。
【００６９】
署名生成部５６は、照合部５５から受けた照合結果に対し、機器情報管理部５３の機器証明書に対応する機器秘密鍵でデジタル署名を施し、得られた署名データＳD［照合結果］、照合結果及び機器証明書を生体認証媒体制御部５２に送出する機能をもっている。
【００７０】
次に、以上のように構成された本人確認システムの動作を説明する。
【００７１】
（生体認証デバイス認定）
図９に示すように、生体認証デバイス製造者（以下、ベンダという）装置４を有するベンダは、認定局２に対し、生体認証デバイス５０又はその仕様書を提示して生体認証デバイス５０の生体認証レベルの認定を依頼する。
【００７２】
認定局２は、この認定依頼に基づいて認定を行ない、発行要求及び機器証明書情報を機器認証局３に提供する。
【００７３】
機器認証局３は、この提供内容に基づいて、機器証明書を発行し、この機器証明書をベンダ４に送信する。
【００７４】
ベンダ４は、この機器証明書を保管すると、各生体認証デバイス５０の機器情報管理部５３にこの機器証明書を格納する。
【００７５】
（ユーザ初期登録）
ユーザは、本人確認システムを利用するサービスを受けるにあたり、ユーザの初期登録をユーザ登録局１に行う。
【００７６】
ユーザ登録局１は、ユーザから登録の申請を受けると、ユーザの身分を照会し（ＳＴ１）、初期登録を許可するか否かを判定し（ＳＴ２）、許可しない場合にはステップＳＴ１に戻るが、初期登録を許可した場合には、ユーザに対してユーザ証明書とユーザ秘密鍵を発行する（ＳＴ３）。このときユーザ証明書の公開鍵基盤は一般的なＰＫＩの枠組みを用いるのが好適である。
【００７７】
このとき同時にユーザは、生体認証方式を選択してこの生体認証方式により生体情報を採取すると（ＳＴ４）、参照情報として生体情報を提示する（ＳＴ５）。
【００７８】
ユーザ登録局１は、この提示内容に基づいて、参照情報に対応する生体認証方式を示した生体認証対応リストを生成し（ＳＴ６）、発行されたユーザ証明書とユーザ秘密鍵、参照情報及び生体認証対応リストをセキュア媒体４０の個人情報管理部５３に格納すると共に（ＳＴ７）、自局１にも登録して処理を終了する。
【００７９】
（本人確認）
クライアント装置２０は、ユーザ操作により、ユーザの本人確認を要するサービスにアクセスする。このとき、サービス側の認証サーバ１０は、クライアント装置２０に対して本人確認要求を送出する。具体的には、サービス側の認証サーバ１０は、クライアント装置２０からサービス要求を受けると、クライアント装置２０の認証制御プログラム部２２に別チャネルでコネクションを確立し、本人確認要求をクライアント装置２０に通知する。
【００８０】
クライアント装置２０は、この本人確認要求に基づいて、認証制御プログラム部２２を呼び出す。認証制御プログラム部２２は、常時起動しているか、又は起動プログラムの呼出しにより起動される。
【００８１】
認証制御プログラム部２２は、図１１に示すように、ユーザが所有するセキュア媒体４０の挿入を要求する画面を表示させ（ＳＴ１１）、セキュア媒体４０が挿入されているか否かを確認する（ＳＴ１２）。
【００８２】
セキュア媒体４０が挿入されていると確認された場合、認証制御プログラム部２２は、セキュア媒体４０と認証サーバ１０との間でのセキュア通信路構築処理を開始する（ＳＴ１３）。
【００８３】
ここでのセキュア通信路構築処理は、セキュア媒体４０と認証サーバ１０との間で信頼のおける通信経路を構築することが目的である。具体例として、相互認証に公開鍵暗号方式に基づくチャレンジアンドレスポンス方式を利用した方法を説明するが、これに限らず、他の手段を用いてもよい。
【００８４】
通信経路の構築は基本的にセキュア通信部４１，１１により行われる。また、相互の公開鍵証明書は互いに保有していることを想定するが、送信メッセージ内に証明書を送信するためのペイロードを設けて送信してもよい。なお、ここで説明する公開鍵暗号方式の公開鍵及び秘密鍵は双方とも暗号化及び復号処理を行えるものとする。
【００８５】
セキュア媒体４０は、セキュア通信路構築処理開始メッセージを受け取ったら、乱数であるチャレンジＣ１を生成して、認証サーバ１０に送信する。
【００８６】
認証サーバ１０では、チャレンジＣ１を自己の秘密鍵ＳｋSにより暗号化してレスポンスＲ１を生成する。
【００８７】
認証サーバ１０はチャレンジＣ２を生成し、レスポンスＲ１とサービスが要求する生体認証レベルと共にユーザの公開鍵（ユーザ証明書）CertUで暗号化し、暗号化データを送信する。
【００８８】
セキュア媒体４０は、この暗号化データをユーザ秘密鍵ＳｋUで復号し、レスポンスＲ１とチャレンジＣ２を得る。レスポンスＲ１を認証サーバ１０の公開鍵CertSで検証し、正当であると判断したらチャレンジＣ２をデータ暗号化用のセッション鍵として共有する。
【００８９】
また同様に、セキュア媒体４０がセッション鍵を生成する例を述べる。
セキュア媒体４０は、セキュア通信路構築処理開始メッセージを受けると、乱数であるチャレンジＣ１を生成して、認証サーバ１０に送信する。
【００９０】
認証サーバ１０では、チャレンジＣ１とサービスが要求する生体認証レベルとを認証サーバ１０の秘密鍵ＳｋSにより暗号化してレスポンスＲ１を生成し、レスポンスＲ１をセキュア媒体４０に送信する。
【００９１】
セキュア媒体４０では、レスポンスＲ１を認証サーバ１０の公開鍵CertSで検証し、正当であると判断したら、チャレンジＣ３を生成し、サーバの公開鍵CertSで暗号化する。暗号化したチャレンジＣ３’とチャレンジＣ１とレスポンスＲ１にユーザ秘密鍵ＳｋUでデジタル署名を施し、暗号化したチャレンジＣ３’と共に認証サーバ１０に送信する。
【００９２】
認証サーバ１０はデジタル署名を検証し、正当であると判断したら、暗号化したチャレンジＣ３’を復号してチャレンジＣ３を得る。チャレンジＣ３をデータ暗号化用のセッション鍵として共有する。
【００９３】
さて、認証制御プログラム部２２は、セキュア通信路構築処理を行い、互いの通信相手が正当であるとの判断によりセキュア通信路が確保されたか否かを判定し（ＳＴ１４）、確保されないときは処理を終了するが、確保されたとき、セキュア媒体４０より生体認証対応リストを受け取る（ＳＴ１５）。
【００９４】
認証制御プログラム部２２の生体認証選択部２４は、サービス側から要求される生体認証レベルと、セキュア媒体４０から受ける図６に示す如き生体認証接続デバイスリストとに基づいて、要求される生体認証レベルを満たす生体照合アルゴリズム（以下、生体照合ルーチンともいう）を選択する（ＳＴ１６）。このときの組合せの母集団は、生体認証レベルと生体認証接続デバイスリストの共通部分から得られる使用可能な生体照合ルーチンである。
【００９５】
ここでの生体認証レベルは、単体又は複数の生体認証デバイス５０を組合せた場合での、総合的な性能レベルを指す。このサービスが要求する生体認証レベルにより、ユーザに提供する権限を制御することができる。つまり、高いセキュリティレベルが要求されるサービスに対しては、より高い生体認証レベルを要求するなどの柔軟な本人確認を行うことが可能である。
【００９６】
認証制御プログラム部２２は、この選択の際に、生体認証レベルを満たすことができる生体照合ルーチンの組合せを決定できるか否かを判定し（ＳＴ１７）、決定できない時には処理を終了するが、決定できる時には、この決定した生体照合ルーチンをセキュア媒体４０に通知する。
【００９７】
セキュア媒体４０は、この生体照合アルゴリズムから生体認証デバイス５０を決定し、このデバイス５０による照合処理に移行する。
【００９８】
照合処理の開始時には図１２に示すように、セキュア媒体４０は、生体認証デバイス５０との間で認証制御プログラム部２２を介して直接セキュア通信路を構築する（ＳＴ２１）。
【００９９】
ここでのセキュア通信路は、デバイス５０・媒体４０間の伝送経路上を保護すると共に、通信相手のデバイスが正当であることを相互に認証することを目的としている。具体的なセキュア通信路構築処理の一例としては、セキュア媒体４０と生体認証デバイス５０は、相互に保有する公開鍵暗号方式の公開鍵（公開鍵証明書）と秘密鍵を利用して行う方法がある。
【０１００】
生体認証デバイス５０は、機器証明書をセキュア媒体４０に送信する。セキュア媒体４０は機器証明書を検証し、正当であれば、共通鍵暗号方式の暗号化鍵（セッション鍵）を生成し、機器証明書で暗号化する。
【０１０１】
このとき、セキュア媒体４０に格納されているユーザ証明書に対応する秘密鍵でデジタル署名をして、ユーザ証明書と共に生体認証デバイス５０に送信する。
【０１０２】
生体認証デバイス５０では、ユーザ証明書とデジタル署名を検証し、暗号化されたセッション鍵を復号する。このセッション鍵をもってセキュア通信のデータ暗号化を行う。
【０１０３】
このとき、セキュア媒体４０と生体認証デバイス５０は、互いの公開鍵証明書を認証する機関（ルート認証局、機器認証局３等）の公開鍵証明書を予め格納していることが望ましく、又は別途リポジトリ等より取得する任意の手段を設けてもよい。なお、セキュア媒体４０と生体認証デバイス５０との間の通信は認証制御プログラム部２２を介して行われるが、図１では図面の都合上その通信経路を省略している。
【０１０４】
セキュア媒体４０は、セキュア通信路が構築されたら（ＳＴ２２）、生体認証デバイス５０に参照情報を送信する。
【０１０５】
生体認証デバイス５０は、参照情報を受信したら、ユーザに生体情報の提示を促す画面を表示させるよう認証制御プログラム部２２に通知する。
【０１０６】
具体的には、指紋照合の場合では「指を読取部に置いてください。」等のメッセージを画面に表示させる。生体情報提示準備が完了したことを確認するには、リターンキー入力や画面のＯＫボタン押下等の手段により確認する。
【０１０７】
生体認証デバイス５０は、生体情報の提示準備が確認できたら、読取部５４により生体情報を読取り、読取った生体情報を照合部５５に渡す。照合部では、照合情報と受信した参照情報とを照合する（ＳＴ２３）。
【０１０８】
照合部５５は、両者の一致／不一致を判定し（ＳＴ２４）、両者が一致すると、機器秘密鍵により照合結果“正当（ＯＫ）”にデジタル署名を施し（ＳＴ２５）、得られた署名データＳD［照合結果］、照合結果及び機器証明書をセキュア媒体４０に送信する。一方、照合部５５は、ステップＳＴ２４の結果、両者が不一致であるとき、認証処理を中止する。
【０１０９】
なお、必要ならば、本人確認情報として認証失敗の旨をセキュア媒体４０及び認証制御プログラム部２２に通知し、「認証失敗しました。」等のメッセージを画面表示する。また、このときの画面表示項目の一例としては、照合成功か失敗かの情報（パーセンテージなどによる照合信頼度を含めてもよい）、及び使用した生体認証方式（生体認証デバイス５０も含む）及び使用した生体認証方式の生体認証レベル（複数利用した場合には総合レベル）などが挙げられる。
【０１１０】
セキュア媒体４０は、署名データＳD［照合結果］を検証し、正当であれば、ユーザ秘密鍵によりデジタル署名を施し、得られた署名データＳM［ＳD［照合結果］に、照合結果、機器証明書及びユーザ証明書を添付した照合結果関連データを認証制御プログラム部２２に送信する。
【０１１１】
認証制御プログラム部２２は、この照合結果関連データを認証サーバ１０に送信する。ここで、照合結果関連データは、共有したセッション鍵により暗号化されているため、セキュア媒体４０と認証サーバ１０以外が内容を知ることは困難である。
【０１１２】
認証サーバ１０においては、証明書検証部１３が、クライアント装置２０からネットワーク及び通信部１１を介して受けた照合結果関連データ（機器証明書、ユーザ証明書、ＳM［ＳD［照合結果］］）に対し、ユーザ登録局１及び機器認定局３を参照しながら、各証明書の正当性を検証し、検証結果が正当なとき、照合関連データをレベル照合部１４に送出する。
【０１１３】
レベル照合部１４は、この照合結果関連データのうち、機器証明書の評価結果データ（及び／又は評価基準データ）と、要求応答部１２から受けるレベル要求とを照合し、評価結果データがレベル要求を満たすとき、照合結果関連データを結果検証部１５に送出する。
【０１１４】
結果検証部１５は、この照合結果関連データのうち、署名データＳM［ＳD［照合結果］］を各証明書に基づいて検証し、照合結果の正当性を検証する。ここで、照合結果が正当であれば、本人確認が完了し、サービス側がクライアント装置２０にサービスを提供する。
【０１１５】
（生体認証デバイス追加）
生体認証デバイス追加削除部２５は、生体認証デバイス５０の追加／削除の際に、生体認証デバイス接続リスト上での対応する内容を追加／削除する。追加の際には、追加接続された生体認証デバイス５０から送信された機器証明書を検証し、正当であるとき、対応するデータを生体認証デバイス接続リストに追加する。削除の際には、生体認証デバイス接続リストから対応するデータを削除する。
【０１１６】
上述したように本実施形態によれば、生体認証方式による照合結果に対し、生体認証デバイス５０とセキュア媒体４０との二重のデジタル署名を付与するので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行することができる。
【０１１７】
すなわち、ネットワークを介した遠隔地において生体認証の照合処理又は読取処理された結果の正当性及び安全な環境下で行われたことを保証することができ、本発明者が考察した問題（ａ）を解決することができる。
【０１１８】
また、認証サーバ１０が、サービスが要求する生体認証レベルをクライアント装置に通知するので、得られた照合結果がサービス側の要求する生体認証レベル（生体認証方式の照合精度や耐タンパ性の強度など）を満たす旨を保証することができ、本発明者が考察した問題（ｂ）を解決することができる。
【０１１９】
但し、生体要求レベルを通知する構成は必須ではなく、最終的に、生体要求レベルを満たす旨が確認されればよい。例えばクライアント装置２０側で最高の生体認証レベルをもつ生体認証デバイス５０を選択して照合結果関連データを認証サーバ１０に送信し、認証サーバ１０側で機器証明書を参照して生体認証レベルを確認する構成としてもよい。
【０１２０】
また、生体認証選択部２４が、複数の生体認証デバイス５０が接続されているとき、各生体認証デバイス５０の機器証明書に記述された生体認証評価データを含めて作成された認証機器接続リストに基づいて、要求レベルを満たす生体認証方式又は生体認証デバイス５０を選択するので、使用する生体認証方式を固定せずに、複数の生体認証デバイス５０から適切な生体認証方式又は生体認証デバイス５０を選択することができる。
【０１２１】
すなわち、使用する生体認証方式を固定することなく、認証サーバ１０又は本人確認システムを利用するサービスが要求する生体認証レベルを満たせば自由な生体認証方式をユーザ又はシステム自身が選択することができる。このため、本発明者が考察した問題（ｃ）を解決することができる。
【０１２２】
また、生体認証デバイス追加削除部２５が、新規の生体認証デバイス５０’がクライアント装置２０に接続されたとき、この生体認証デバイス５０’を追加するように認証機器接続リストの内容を動的に変更するので、容易且つ確実に、新規の生体認証機器を追加することができる。
【０１２３】
これにより、例えば既存の照合アルゴリズムや生体認証デバイスを新規に更新する場合であっても、照合アルゴリズムや生体認証デバイスの増設及び／又は廃棄を容易に行なうことができる。
【０１２４】
また、複合生体認証システムの場合、複数の生体認証方式を扱うため、例えば指紋情報、顔情報、音声情報といった複数の生体情報を予め登録する必要があるが、生体認証デバイス追加削除部２５によれば、これらを容易に登録することができる。
【０１２５】
また、同一の生体認証方式であっても、複数種類の照合アルゴリズムが存在するので、利用する生体情報のフォーマットも複数種類が存在する（例えば同じ指紋でも、異なる照合アルゴリズム間では、異なる指紋情報として登録される）が、生体認証デバイス追加削除部２５によれば、これらを容易に登録することができる。
【０１２６】
また、複数種類の生体認証方式のいずれかを任意に選択する場合、選択した方式により、セキュリティポリシーの要求レベルを満たすか否かが変わる可能性があり、従来の本人確認サービスでは、問題（ａ）で述べたように、要求レベルを満たすか否かを知ることが極めて困難な状況にあるが、本実施形態によれば、前述同様に、ネットワークを介した遠隔地において生体認証の照合処理又は読取処理された結果の正当性及び安全な環境下で行われたことを保証することができる。
【０１２７】
また、ユーザ登録局１や、機器認証局３を設けたので、各ユーザにとって共通に利用可能な認証基盤を実現できるので、本発明者が考察した問題（ｄ）を解決することができる。さらに、ユーザに関するユーザ登録局１側と、生体認証デバイス５０に関する機器認証局３との２つに認証基盤を分けたので、１つの局に過大な負担をかけずに実現することができる。
【０１２８】
なお、本実施形態は、前述した構成に限らず、セキュア媒体４０を省略し、生体認証デバイス５０の処理結果のみを認証サーバ１０に送信する構成に変形してもよい。この場合、認証サーバ１０は、生体認証デバイス５０により読取られた生体情報又はこの生体情報より抽出した情報（照合情報）のみを保証することになる。
【０１２９】
（第２の実施形態）
図１３は本発明の第２の実施形態に係る本人確認システムの構成を示す模式図であり、図１４は同システムの生体認証デバイス及びその周辺構成を示す模式図であり、図１５は同システムの生体照合サーバ及びその周辺構成を示す模式図であって、前述した図面と同様の部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した部分の説明を省略する。
【０１３０】
すなわち、本実施形態は、第１の実施形態の変形例であり、照合機能を持たない読取装置としての生体認証デバイスに適用を図るものであって、具体的には図１４に示すように、照合部５５が省略された生体認証デバイス５０ａと、クライアント装置２０ａに接続されて照合部を有する生体照合サーバ６０とを備えている。
【０１３１】
ここで、生体認証デバイス５０ａは、例えば指紋認証の場合、指紋センサ（静電容量式や光学読取式等）等の読取部５４を有するものの、照合機能を持たない読取装置に対応している。
【０１３２】
生体照合サーバ６０は、図１５に示すように、セキュア通信部６１、ユーザ情報管理部６２、署名検証部６３、照合部６４、署名生成部６５を備えている。
【０１３３】
セキュア通信部６１は、認証制御プログラム部２２を介してセキュア媒体４０との間でセキュア通信路を構築し、セキュア媒体４０とセキュア通信を行なう機能をもっている。
【０１３４】
ユーザ情報管理部６２は、ユーザ証明書、機器証明書、生体照合サーバ証明書、生体照合サーバ秘密鍵、参照情報が予め格納されている。なお、参照情報は、ユーザ情報管理部６２で管理せず、前述同様にセキュア媒体４０の個人情報管理部で管理してもよい。
【０１３５】
署名検証部６３は、セキュア媒体４０からの署名データＳM［ＳD［生体情報］］、生体情報、機器証明書及びユーザ証明書をセキュア通信部６１から受けると、ユーザ情報管理部６２を参照しながら、機器証明書とユーザ証明書とを検証し、正当であれば、各証明書に基づいて、署名データＳM［ＳD［生体情報］］を検証する機能と、検証結果が正当であれば、生体情報を照合部６４に送出する機能をもっている。
【０１３６】
照合部６４は、署名検証部６３から受けた生体情報と、ユーザ情報管理部６２内の参照情報とを照合し、両者が一致すれば、照合結果“正当”を署名生成部６５に送出する機能をもっている。なお、照合部６４は、複数の生体照合ルーチンを備え、機器証明書の内容に対応する照合ルーチンを選択可能となっている。
【０１３７】
署名生成部６５は、照合部６４から受けた照合結果をユーザ情報管理部６２内の生体照合サーバ秘密鍵で署名し、得られた署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書をセキュア通信部６１を介して認証制御プログラム部２２に送出する機能をもっている。
【０１３８】
次に、以上のように構成された本人確認システムの動作を説明する。
（ユーザ初期登録）
ユーザの初期登録は前述同様であるが、ユーザの参照情報を生体照合サーバ６０又はセキュア媒体４０に格納する。
【０１３９】
（本人確認）
生体認証開始までの処理は前述同様であり、異なる手順として生体情報読取処理以降の手順を以下に説明する。
【０１４０】
生体認証デバイス５０ａは、読取った生体情報に機器秘密鍵にてデジタル署名を施し、得られた署名データＳD［生体情報］、生体情報及び機器証明書をセキュア媒体４０に送信する。このとき必要があれば、生体照合ルーチン特有の処理（特徴抽出等）を行ってもよい。
【０１４１】
セキュア媒体４０は、受信した署名データＳD［生体情報］にユーザ秘密鍵にてデジタル署名を施した後、得られた署名データＳM［ＳD［生体情報］］、生体情報、ユーザ証明書及び機器証明書を認証制御プログラム部２２を介して、生体照合サーバに送信する。このとき必要があれば、生体情報に暗号化を施してもよい。
【０１４２】
生体照合サーバ６０においては、図１６に示すように、署名検証部６３が、セキュア媒体４０からの署名データＳM［ＳD［生体情報］］、生体情報、機器証明書及びユーザ証明書をセキュア通信部６１から受けると、ユーザ情報管理部６２を参照しながら、機器証明書とユーザ証明書とを検証し、正当であれば、各証明書に基づいて、署名データＳM［ＳD［生体情報］］を検証する（ＳＴ３１）。
【０１４３】
ここで、署名検証部６３は、署名が正当（ＯＫ）であるか否かを判定し（ＳＴ３２）、検証結果が正当でなければ（ＮＧ）照合処理を拒否して処理を終了するが、検証結果が正当であれば、生体情報を照合部６４に送出する。
【０１４４】
照合部６４は、この生体情報と、ユーザ情報管理部６２内の参照情報とを照合し、両者が一致すれば、照合結果“正当”を署名生成部６５に送出する。
【０１４５】
署名生成部６５は、この照合結果をユーザ情報管理部６２内の生体照合サーバ秘密鍵で署名し、得られた署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書をセキュア通信部６１を介して認証制御プログラム部２２に送出する。
【０１４６】
認証制御プログラム部２２は、この署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書を認証サーバ１０に送信する。但し、認証制御プログラム部２２は、これらのデータをセキュア媒体４０に送信し、セキュア媒体４０の署名処理を介して署名データＳM［ＳS［照合結果］］、照合結果、生体照合サーバ証明書及びユーザ証明書として認証サーバ１０に送信するようにしてもよい。
【０１４７】
認証サーバ１０は、前述同様に、証明書検証部１３、レベル照合部１４及び結果検証部１５がそれぞれクライアント装置２０からの受信内容を確認する。
【０１４８】
上述したように本実施形態によれば、照合機能を持たない生体認証デバイス５０ａを備えた場合であっても、第１の実施形態と同様の効果を得ることができる。
【０１４９】
補足すると、現状の生体認証では、照合機能を有するアプリケーションをパーソナルコンピュータ等のクライアント装置２０に配置し、照合処理をクライアント装置２０内で行うことが多い。
【０１５０】
しかしながら、クライアント装置２０内が安全な環境である旨の保証は困難である。このため、指紋テンプレート等の参照情報を用いる照合機能をクライアント装置２０に配置することは、セキュリティ上、不安がある。
【０１５１】
よって、第１の実施形態の変形として、読取装置としての生体認証デバイス５０ａと、クライアント装置２０外に設置した照合機能を有する生体照合サーバ６０）とによる本人確認システムを実現することは重要な意義がある。
【０１５２】
（第３の実施形態）
図１７は本発明の第３の実施形態に係る本人確認システムの構成を示す模式図であり、図１８は同システムのクライアント装置及びその周辺構成を示す模式図である。
【０１５３】
すなわち、本実施形態は、第１の実施形態の変形例であり、使用可能な生体照合ルーチンがなくても、生体照合ルーチンを動的に取得可能なものであって、具体的には、認証制御プログラム部２２ｂに付加された生体照合ルーチン取得部２６と、クライアント装置２０ｂに接続された生体照合ルーチンＤＢ(database)７０を備えている。
【０１５４】
ここで、生体照合ルーチン取得部２６は、生体認証選択部２４からの取得要求に基づいて、生体照合ルーチンＤＢから生体照合ルーチンを取得し、この生体照合ルーチンを生体認証デバイス５０宛に通信データ制御部２３に送出可能なものである。
【０１５５】
生体照合ルーチンＤＢ７０は、複数の生体照合ルーチンが予め格納されており、生体照合ルーチン取得部２６から通知される検索条件（例、各生体認証デバイス５０の情報、参照情報のデータ形式とデータの種類、生体認証レベル）に基づいて、検索条件に合致する生体照合ルーチンを生体照合ルーチン取得部２６宛に送出する機能をもっている。
【０１５６】
但し、生体認証デバイス５０は、自己の照合部５５が使用可能な生体照合ルーチンを、認定局２による認定時に機器証明書の拡張フィールドなどに記す。例えば、生体照合ルーチンは、対象の生体情報、固有の特徴抽出処理などにより予めカテゴライズされ、照合ルーチンＩＤなどで識別可能といったルールがあることが好ましい。
【０１５７】
次に、以上のように構成された本人確認システムの動作を説明する。
（生体照合ルーチン取得）
いま、図１９に示すように、前述したステップＳＴ１１〜ＳＴ１６までは同様に動作する。続いて、ステップＳＴ１７ｂにおいて、認証制御プログラム部２２の生体認証選択部２４は、生体照合ルーチンを選択する際に、サービスから要求される生体認証レベルを満たすことができる組合せがクライアント装置２０に存在しないと判断した場合、生体照合ルーチン取得部２６に取得要求を出す（ＳＴ１８）。
【０１５８】
生体照合ルーチン取得部２６は、この取得要求により、クライアント装置２０ｂに接続された各生体認証デバイス５０の情報と、セキュア媒体４０に保存されている参照情報のデータ形式とデータの種類等と、要求する生体認証レベルとを生体照合ルーチンＤＢ７０に通知し、条件に合致する生体照合ルーチンを生体照合ルーチンＤＢ７０から取得する。
【０１５９】
取得された生体照合ルーチンは、対応する生体認証デバイス５０に送信される。必要があれば、送信される生体照合ルーチンには生体照合ルーチンＤＢ７０等のデジタル署名を施し、生体認証デバイス５０又は認証制御プログラム部２２で検証してもよい。この場合、生体照合ルーチンＤＢ７０の公開鍵証明書のルートＣＡ公開鍵証明書（又は公開鍵自体）を生体認証デバイス５０に認定時に組み込んでもよい。
【０１６０】
上述したように本実施形態によれば、第１の実施形態の効果に加え、使用可能な生体照合ルーチンがない場合でも、生体照合ルーチン取得部２６が生体照合ルーチンＤＢ７０から生体照合ルーチンを動的に取得することができる。
【０１６１】
なお、本実施形態は、第１の実施形態の変形例に限らず、第２の実施形態の変形例としてもよい。この場合、処理手順は、第２及び第３の実施形態で説明した処理手順に従えばよい。
【０１６２】
（第４の実施形態）
図２０は本発明の第４の実施形態に係る本人認証システムに適用される本人確認保証基盤の構成を示す模式図である。
【０１６３】
すなわち、本実施形態は、第１〜第３の実施形態の変形例であり、認定局２及び機器認証局３という簡単な構成に代えて、認定機関５とベンダ（生体認証デバイス製造者）４ｃとの階層構造をもつ本人確認保証基盤を備えている。
【０１６４】
ここで、認定機関５は、認定局２ｃ及びベンダ認証局６を備えている。
【０１６５】
認定局２ｃは、ベンダ４ｃからの要求により、ベンダ４ｃ及び生体認証デバイス５０を認定すると、発行要求をベンダ認証局５に送出する機能をもっている。
【０１６６】
ベンダ認証局６は、認定局２ｃから受けた発行要求に基づいて、ベンダ４ｃに対してベンダ証明書（ベンダの公開鍵証明書）を発行する機能をもっている。
【０１６７】
ベンダ４ｃは、機器認証局３ｃを備えている。
機器認証局３ｃは、ベンダ認証局６により発行されたベンダ証明書に基づいて、生体認証デバイス５０，５０ａに対して機器証明書を発行し、この機器証明書を生体認証デバイス５０，５０ａに格納する機能をもっている。
【０１６８】
次に、以上のように構成された本人確認保証基盤の動作を説明する。
ベンダ４ｃは、認定局２ｃに対してベンダ証明書の発行を要求する。認定局２ｃはベンダ４ｃに対してベンダ証明書を発行可能か否か判断する。判断基準については、認定局２ｃの運用におけるポリシーに依存し、本実施形態では規定しない。
【０１６９】
認定局２ｃがベンダ証明書を発行可能と判断した場合、ベンダ認証局６に対してベンダ証明書の発行を要求する。このときベンダ４ｃの必要な情報（一般的な公開鍵証明書に記述される情報でよい）を提供する。
【０１７０】
ベンダ認証局６はベンダ４ｃに対してベンダ証明書を発行する。記載する各項目をベンダ認証局６が生成した公開鍵に付随させ、ベンダ認証局６の公開鍵証明書でデジタル署名を施す。ここで、ベンダ証明書の各項目は、Ｘ．５０９証明書で定義されたフィールド項目に準じたものが好適であるが、必要な項目があれば拡張項目を追加してもよい。
【０１７１】
ベンダ４ｃは、前述したような認定局２ｃの認定基準に従い、自己が製造した生体認証デバイス５０を評価し、ベンダ４ｃにより運営される機器認証局３ｃより機器証明書を発行する。但し、機器認証局３ｃはベンダ４ｃが信頼するものであれば、ベンダ４ｃの外部構成要素であってもよい。
【０１７２】
また、機器証明書は図３に示したものと同様であるが、ベンダ証明書によりデジタル署名されている。すなわち機器証明書の証明機関の信頼階層は、認定局２ｃが最上位でありベンダ認証局６が次にくる。
【０１７３】
ベンダ４ｃは発行した機器証明書を製造した生体認証デバイス５０に格納する。このとき発行した機器証明書を認定局２ｃに提出してもよい。
【０１７４】
認定局２ｃは定期的に生体認証デバイス５０に格納された機器証明書を検証することにより、ベンダ４ｃの信頼性を随時監査する。
【０１７５】
このときの機器証明書の検証対象としては、第１の実施形態と同様に証明書自体の正当性検証と、機器証明書の記載項目の検証を行う。記載項目の検証は、機器証明書に記載された生体認証デバイス５０の評価結果と実際の生体認証デバイス５０との整合性等を実際に評価して検証する。
【０１７６】
もし不正であると判断した場合、認証局２ｃは、機器証明書及びベンダ証明書の失効処理を行なう。すなわち、認証局２ｃは、機器証明書及びベンダ証明書を失効リスト（ＣＲＬ、ＡＲＬ（Authority Revocation List）等）に記載する。また、認証サーバ１０等により証明書の失効要求が提示された場合も同様に処理する。
【０１７７】
上述したように本実施形態によれば、認定機関５とベンダ４ｃとの階層構造をもつ本人確認保証基盤を設けた場合であっても、第１〜第３の実施形態の効果を得ることができる。
【０１７８】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１７９】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１８０】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１８１】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
【０１８２】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１８３】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１８４】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１８５】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組合せて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組合せにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１８６】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１８７】
【発明の効果】
以上説明したように本発明によれば、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る本人確認システムの構成を示す模式図
【図２】同実施形態における参照情報を説明するための模式図
【図３】同実施形態における機器証明書を説明するための模式図
【図４】同実施形態における認証サーバ及びその周辺構成を示す模式図
【図５】同実施形態におけるクライアント装置及びその周辺構成を示す模式図
【図６】同実施形態における生体認証デバイス接続リストを説明するための模式図
【図７】同実施形態におけるセキュア媒体及びその周辺構成を示す模式図
【図８】同実施形態における生体認証デバイス及びその周辺構成を示す模式図
【図９】同実施形態における生体認証デバイスの認定動作を説明するための模式図
【図１０】同実施形態におけるユーザ初期登録動作を説明するためのフローチャート
【図１１】同実施形態における本人確認動作を説明するためのフローチャート
【図１２】同実施形態における本人確認動作を説明するためのフローチャート
【図１３】本発明の第２の実施形態に係る本人確認システムの構成を示す模式図
【図１４】同実施形態における生体認証デバイス及びその周辺構成を示す模式図
【図１５】同実施形態における生体照合サーバ及びその周辺構成を示す模式図
【図１６】同実施形態における動作を説明するためのフローチャート
【図１７】本発明の第３の実施形態に係る本人確認システムの構成を示す模式図
【図１８】同実施形態におけるクライアント装置及びその周辺構成を示す模式図
【図１９】同実施形態における照合ルーチン取得動作を説明するためのフローチャート
【図２０】本発明の第４の実施形態に係る本人認証システムに適用される本人確認保証基盤の構成を示す模式図
【符号の説明】
１…ユーザ登録局
２…認定局
３，３ｃ…機器認証局
４、４ｃ…ベンダ
５…ベンダ認証局
１０…認証サーバ
１１，２１…通信部
１２…要求応答部
１３…証明書検証部
１４…レベル照合部
１５…結果検証部
２０，２０ａ，２０ｂ…クライアント装置
２２…認証制御プログラム部
２３…通信データ制御部
２４…生体認証選択部
２５…生体認証デバイス追加削除部
２６…生体照合ルーチン取得部
３０…媒体読取装置
４０…セキュア媒体
４１，５１，６１…セキュア通信部
４２…セキュア媒体制御部
４３…個人情報管理部
４４，５６，６５…署名生成部
４５，６３…署名検証部
５０，５０ａ…生体認証デバイス
５２…生体認証デバイス制御部
５３…機器情報管理部
５４…読取部
５５，６４…照合部
６０…生体照合サーバ
６２…ユーザ情報管理部
７０…生体照合ルーチンＤＢ
【発明の属する技術分野】
本発明は、生体認証方式を用いて本人確認を行なう本人確認システム及び装置に係り、特に、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行し得る本人確認システム及び装置に関する。
【０００２】
【従来の技術】
一般に、本人確認方法の一種として、人間の生体情報に基づく生体認証（バイオメトリクス）方式が広く知られている。
ここで、生体認証方式は、各個人の固有の生体的特徴と、予め登録した各個人の生体情報とを照合することにより、本人か否かを判断する技術である。なお、生体情報は、指紋、虹彩、網膜、顔、音声、キーストローク、サインなどといった広い意味での生体的特徴を情報化（数値化）したものである。
【０００３】
このように、生体認証方式は、パスワード等の既存の認証方法とは異なり、失念や紛失の可能性がない生体的特徴を利用するので、各個人ユーザ（以下、ユーザという）の負荷が軽い本人確認方法となっている。また、生体的特徴は、複製が困難なものを前提とするので、成り済まし攻撃などの防止に有効である。
【０００４】
また現在、インターネットに代表されるオープンネットワークの普及に伴い、電子商取引などのネットワーク通信に生体認証方式を導入することが検討されている。
【０００５】
しかしながら、ネットワーク通信に生体認証方式を導入する場合、ネットワーク上で照合結果や生体情報が盗難や改ざんにあう可能性がある。但し、この可能性は、公開鍵認証基盤（Public Key Infrastructure）やＩＣカード（スマートカード）等のセキュア媒体との組合せにより、減少可能と考えられている。
【０００６】
一方、複数種類の生体認証を組合せて総合的に本人確認を行なう複合生体認証システムにより、一層、高精度の本人確認システムが実現されてきている。
【０００７】
【発明が解決しようとする課題】
しかしながら、以上のような本人確認システムは、閉じた系に適用される現在の場合には特に問題はないが、本発明者の考察によれば、オープンネットワークに適用される近い将来の場合には次のような問題（ａ）〜（ｄ）が生じると予想される。
【０００８】
（ａ） 本人確認システムは、ネットワーク経由で通信相手を認証する場合、本人確認の実行環境（クライアント環境）が本当に安全で、かつ信頼のおける状態であるか否かを知ることが困難である。
【０００９】
すなわち、本人確認システムは、ユーザ毎に異なる生体認証デバイスや照合アルゴリズムに関し、改ざんされたか否か、要求レベル（信頼のおけるレベル）にあるか否か、正当なものか否か等を確認する必要がある。しかしながら、この確認は極めて困難である。
【００１０】
（ｂ） 問題（ａ）に関し、本人確認システムは、要求レベルをユーザ側に伝える場合、要求レベル又はその応答をネットワーク上で盗難や改ざんから保護する必要がある。
【００１１】
例えば、あるサービスを提供するエンティティは、生体認証の際に、提供サービスのセキュリティポリシーを満たす要求レベルをユーザ側に伝え、ユーザ側の生体認証デバイスや照合アルゴリズムが要求レベルを越えている旨を確認するとする。この場合、要求レベル又はその応答はネットワーク上で盗難や改ざんにあわない必要がある。
【００１２】
（ｃ） 本人確認システムの照合アルゴリズムや、照合装置及び読取装置などの生体認証デバイスは、閉じた系で用いることを前提とするため、各メーカ間で接続性がない場合が多い。特に、照合アルゴリズムは、同一の生体的特徴に対し、各メーカ間で互いに異なる生体情報を抽出する場合がある。このため、Ａ社の照合アルゴリズムにより抽出した生体情報は、Ｂ社の照合アルゴリズムの予め登録された生体情報（以下、参照情報ともいう）として利用できない場合が多い。
【００１３】
（ｄ） 上述した問題（ａ）〜（ｃ）を解決する仕組みを有し、オープンネットワークを用いる各ユーザにとって共通に利用可能な認証基盤が必要となる。
【００１４】
本発明は上記実情を考慮してなされたもので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行し得る本人確認システム及び装置を提供することを目的とする。
【００１５】
【課題を解決するための手段】
第１の発明は、生体認証方式により、ユーザが本人である旨を確認するための本人確認システムであって、各ユーザ毎に、公開鍵暗号方式に基づくユーザ証明書及びユーザ秘密鍵を発行するためのユーザ登録局と、各生体認証機器毎に、公開鍵暗号方式に基づく機器証明書及び機器秘密鍵を発行するための機器認証局と、前記機器認証局により発行された機器証明書及び機器秘密鍵が予め格納され、所定の生体認証方式により前記ユーザが本人である旨を確認したとき、得られた本人確認情報に対して前記機器秘密鍵による第１デジタル署名と前記機器証明書とを付与して送信する生体認証機器と、前記ユーザ登録局により発行されたユーザ証明書及びユーザ秘密鍵が予め格納され、前記生体認証機器から送信された本人確認情報、前記第１デジタル署名及び前記機器証明書を受信すると、この第１デジタル署名に対して前記ユーザ秘密鍵による署名処理を施し、得られた第２デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を送信するユーザ署名装置と、前記ユーザ署名装置を着脱自在に保持する媒体保持部を有し、前記生体認証機器に接続されたクライアント装置と、前記クライアント装置にネットワークを介して接続され、前記ユーザ署名装置から送信された第２デジタル署名、本人確認情報、機器証明書及びユーザ証明書を受信すると、前記ユーザ登録局及び前記機器認証局を参照しながら前記ユーザ証明書及び前記機器証明書を検証し、又は前記第２デジタル署名を検証し、前記各証明書と前記第２デジタル署名との検証結果がそれぞれ正当のとき、前記本人確認情報を認証する認証装置と、を備えた本人確認システムである。
【００１６】
ここで、本人確認情報としては、例えば、照合結果及び／又は生体情報が使用可能となっている。また、ユーザ署名装置としては、例えばＩＣカードやスマートカード等といった個人的で携帯可能な装置が使用可能となっている。
【００１７】
このように、生体認証方式による本人確認情報に対し、生体認証機器とユーザ署名装置との二重のデジタル署名を付与するので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行することができる。
【００１８】
第２の発明は、第１の発明において、前記認証装置としては、前記クライアント装置から受けるサービス要求に基づいて、サービスが要求する生体認証レベルを前記クライアント装置に通知する要求レベル通知手段を備えた本人確認システムである。
【００１９】
これにより、第１の発明の作用に加え、得られた本人確認情報がサービス側の要求する生体認証レベル（生体認証方式の照合精度や耐タンパ性の強度など）を満たす旨を保証することができる。
【００２０】
第３の発明は、第２の発明において、前記クライアント装置としては、複数の生体認証機器が接続されているとき、前記各生体認証機器の機器証明書に記述された生体認証評価データを含めて作成された認証機器接続リストに基づいて、前記要求レベルを満たす生体認証方式又は生体認証機器を選択する認証機器選択手段を備えた本人確認システムである。
【００２１】
これにより、第２の発明の作用に加え、使用する生体認証方式を固定せずに、複数の生体認証機器から適切な生体認証方式又は生体認証機器を選択することができる。
【００２２】
第４の発明は、第３の発明において、新規の生体認証機器が前記クライアント装置に接続されたとき、この生体認証機器を追加するように前記認証機器接続リストの内容を動的に変更する動的変更手段を備えた本人確認システムである。
【００２３】
これにより、第３の発明の作用に加え、容易且つ確実に、新規の生体認証機器を追加することができる。
【００２４】
なお、上記各発明は、「システム」という名称で表現したが、これに限らず、全体又は各々の「装置」、「方法」、「プログラム」といった他の名称又はカテゴリーで表現してもよい。
【００２５】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照して説明する。なお、各実施形態で述べる本人確認システムは、ネットワークを介して任意のサービス（ＷＷＷサービス等）を提供するシステムにおいて、サービスへのログオン等の本人確認要求に対し、クライアント装置（パーソナルコンピュータやワークステーションや携帯端末など）において、正当かつ安全な環境下で本人確認されたことをサービス提供側が検証できるものである。ここで、ネットワークの接続回線は、インターネットに代表される汎用のオープンネットワークを想定しているが、ＬＡＮなどのローカルネットワークや専用回線であってもよい。
【００２６】
（第１の実施形態）
図１は本発明の第１の実施形態に係る本人確認システムの構成を示す模式図である。この本人確認システムは、ユーザ登録局１、認定局２、機器認証局３、認証サーバ１０、クライアント装置２０、媒体読取装置３０、セキュア媒体４０及び生体認証デバイス５０を備えている。
【００２７】
ここで、ユーザ登録局１は、ユーザ初期登録を行うものであり、ユーザの登録申請に基づいて、ユーザ証明書（ユーザの公開鍵証明書）及びユーザ秘密鍵（この公開鍵証明書に対応する公開鍵暗号方式の秘密鍵）を発行する機能と、これら発行したユーザ情報をセキュア媒体４０に格納する機能と、発行時に提示された参照情報及び生体認証対応リスト（参照情報に対応する生体認証方式）をセキュア媒体４０に格納する機能と、認証サーバ１０からのアクセスによりユーザ証明書を認証サーバ１０に送信する機能とをもっている。
【００２８】
ここで、参照情報は、図２に示すように、ヘッダ（生体認証対応リスト）と、標準生体情報（例、標準指紋参照情報、標準顔参照情報）と、生体認証方式特有情報（例、指紋認証方式Ａ特有情報、指紋認証方式Ｂ特有情報、顔認証方式Ｃ特有情報）の項目を備えている。
【００２９】
なお、参照情報の例は、生体情報センサで読取った生体情報（指紋認証であれば抽出前の指紋画像）、互いに異なる照合アルゴリズムに対応した特徴抽出処理後のデータ、標準化団体などで規定されたフォーマットに従ったデータ、又はこれらの組合せ等がある。初期登録における参照情報の選択は、ユーザの判断又はシステムの利用形態に依存している。
【００３０】
認定局２は、生体認証デバイス５０の照合精度（本人拒否率や他人受入率、対応率等）や耐タンパ性の強度等を評価し、評価対象の生体認証デバイス５０が満たす生体認証レベルを認定するものであって、具体的には、生体認証デバイス５０の製造者からの申請に基づいて生体認証デバイス５０を認定し、認定内容を機器認証局３に通知する機能をもっている。
【００３１】
ここで、生体認証レベルは、認定対象の生体認証デバイス５０単体が有する総合的性能（安全性能、照合性能等）を示している。
【００３２】
照合精度評価基準は、任意の基準を使用可能であるが、例えば、標準化団体等で規定された標準化された照合精度評価基準を用いることが望ましい。耐タンパ性評価基準についても同様である。
【００３３】
機器認証局３は、認定局２が認定した生体認証デバイス５０に対して機器証明書を発行するものであり、具体的には、認定局２から発行要求又は発行許可を受けたとき、機器証明書（機器の公開鍵証明書）を発行する。なお、機器認証局３は、認定局２と同一の要素（サーバなどの計算機等）内に設けてもよい。なお、各局２，３とは図１に示すように簡単な構成例としてもよいが、これら各局２，３を本システムの本人確認保証基盤として独立させることも可能である。この認定局２と機器認証局３等により構成される本人確認保証基盤の別形態の詳説は後述する。
【００３４】
機器証明書は、図３に一例を示すように、フィールド、バージョン、機器証明書発行対象の公開鍵、機器証明書のシリアル番号、署名アルゴリズム、有効期限、機器証明書発行者、機器証明書発行対象、生体認証デバイス製造者、生体認証デバイス評価基準、生体認証デバイス評価結果、デジタル署名の各項目のデータを備えており、また、安全性などの評価項目を付属させてもよい。
【００３５】
なお、機器証明書は、一般的に普及している公開鍵証明書であるＸ．５０９証明書の形式に沿ったものでもよく、新たに規定した形式でもよい。このときＸ．５０９証明書で規定されていないフィールド項目は、プライベートな拡張領域として定義することで利用可能である。また、図３に示したフィールド項目は一例であり、適宜変形してもよい。生体認証デバイス評価基準は、機器認証局３での認定時に使用した評価基準を示すものである。生体認証デバイス評価結果は、各評価基準に従って評価した結果を示すものであればよく、例えば、評価結果を示すインデックスやＩＤ等でもよい。
【００３６】
認証サーバ１０は、サービスを提供するシステムに属し、図４に示すように、通信部１１、要求応答部１２、証明書検証部１３、レベル照合部１４及び結果検証部１５を備えている。
【００３７】
ここで、通信部１１は、ネットワーク上のクライアント装置２０と、自サーバ１０内の要求応答部１２又は証明書検証部１３との間の通信のためのものである。
【００３８】
要求応答部１２は、クライアント装置２０からネットワーク及び通信部１１を介して受けた要求に対し、レベル要求等の応答をクライアント装置２０宛に通信部１１に送出する機能と、このレベル要求をレベル照合部１４に送出する機能とをもっている。
【００３９】
証明書検証部１３は、クライアント装置２０からネットワーク及び通信部１１を介して受けた照合結果関連データ（機器証明書、ユーザ証明書、照合結果、署名データＳM［ＳD［照合結果］］）に対し、ユーザ登録局１及び機器認定局３を参照しながら、各証明書の正当性を検証し、検証結果が正当なとき、照合関連データをレベル照合部１４に送出する機能をもっている。
【００４０】
ここで、ＳM［ ］は、［かっこ］内のデータ“ＳD［照合結果］”に対するセキュア媒体４０のデジタル署名を意味し、ＳD［照合結果］は、［かっこ］内のデータ“照合結果”に対する生体認証デバイス５０のデジタル署名を意味している。
【００４１】
なお、証明書の正当性の検証処理としては、例えば、各証明書が有効期限内か否か、公開鍵証明書の失効リストであるＣＲＬ（Certificate Revocation List）等により各証明書が失効されたか否か、各証明書のデジタル署名が正当か否か、証明書の信頼パスの各認証局が信頼のおけるものであるか否か等を検証するものである。
【００４２】
レベル照合部１４は、証明書検証部１３から受けた照合結果関連データのうち、機器証明書の評価結果データ（及び／又は評価基準データ）と、要求応答部１２から受けるレベル要求とを照合し、評価結果データがレベル要求を満たすとき、照合結果関連データを結果検証部１５に送出する機能とをもっている。
【００４３】
結果検証部１５は、レベル照合部１４から受けた照合結果関連データのうち、署名データＳM［ＳD［照合結果］］を各証明書に基づいて検証し、照合結果の正当性を検証する機能をもっている。
【００４４】
クライアント装置２０は、図５に示すように、通信部２１及び認証制御プログラム部２２を有し、その他図示しない構成要素（モニタ、マウス、キーボード等）を備えている。
【００４５】
通信部２１は、認証制御プログラム部２２と認証サーバ１０との間の通信を実行するためのものである。
【００４６】
認証制御プログラム部２２は、システム動作時に常駐して動作する認証制御プログラムにより実現され、クライアント装置２０の本人確認処理を制御するための機能部であり、認証サーバ１０へのアクセス時には動作している必要があり、動作していない時は通信インターフェース（ブラウザ等）の呼出し等により起動されるか、ユーザの操作により起動される。なお、認証制御プログラムは、ＯＳ内に含めてもよく、アプリケーションソフトウェアやミドルウェアなどのＯＳ外のプログラムとしてもよい。
【００４７】
具体的には認証制御プログラム部２２は、通信データ制御部２３、生体認証選択部２４及び生体認証デバイス追加削除部２５を備えている。
【００４８】
通信データ制御部２３は、生体認証処理時に、クライアント装置２０と、セキュア媒体４０又は生体認証デバイス５０との間の通信データ（例、参照情報、照合結果、署名データＳM，ＳD）の転送制御を行うものであり、通信データの内容には関与しないものである。
【００４９】
生体認証選択部２４は、セキュア媒体４０から受ける生体認証デバイス接続リストに基づいて、認証サーバ１０から受ける生体認証要求レベルを満たす生体照合アルゴリズム（照合ルーチン）を選択する機能をもっている。
【００５０】
ここで、生体認証デバイス接続リストは、図６に示すように、クライアント装置２０に接続された生体認証デバイス５０毎に、デバイス名、対象生体情報、照合アルゴリズム、製造元及び生体認証レベルが記述されたものである。
【００５１】
生体認証デバイス追加削除部２５は、生体認証デバイス５０の追加／削除の際に、生体認証デバイス接続リスト上での対応する内容を追加／削除するものである。追加の際には、追加接続された生体認証デバイス５０から送信された機器証明書を検証し、正当であるとき、対応するデータを生体認証デバイス接続リストに追加する。削除の際には、生体認証デバイス接続リストから対応するデータを削除する。
【００５２】
媒体読取装置３０は、セキュア媒体４０を着脱可能に保持する機能と、セキュア媒体４０とクライアント装置２０との間のインターフェイスの機能とを有するものである。
【００５３】
セキュア媒体４０は、耐タンパ性を有し、正当なアクセス手段以外による内部情報へのアクセスができないものである。物理的手段による内部情報の不正読取などの攻撃に対しても、内部情報消去などにより内部情報の流出を防止する機能を備えており、例えば耐タンパ機能付ＩＣカードなどが適用可能である。
【００５４】
具体的にはセキュア媒体４０は、図７に示すように、セキュア通信部４１、セキュア媒体制御部４２、個人情報管理部４３、署名生成部４４、署名検証部４５を備えている。
【００５５】
セキュア通信部４１は、セキュア媒体制御部４２と外部との間に設けられ、外部の通信相手の認証と、通信内容の認証と、通信内容の秘匿を主な目的とするものであり、鍵交換処理、通信相手認証処理、データ認証処理、暗号化／復号処理などを含むものである。セキュア通信で自己を証明する情報として、個人情報管理部４３で管理されるユーザ証明書とユーザ秘密鍵を用いてもよい。
【００５６】
セキュア媒体制御部４２は、セキュア通信部４１から受けた通信内容に基づいて、個人情報管理部４３、署名生成部４４、署名検証部４５を個別に制御するものであり、主に、セキュア通信部４１から生体認証デバイス５０からの照合結果、署名データＳD［照合結果］及び機器証明書を受けると、署名データＳD［照合結果］を機器証明書に基づいて署名検証部４５に検証させる機能と、署名検証部４５の検証結果が“正当”のとき、署名データＳD［照合結果］を個人情報管理部４３内のユーザ秘密鍵に基づいて署名生成部４４に署名させる機能と、署名生成部４４により得られた署名データＳM［ＳD［照合結果］］、照合結果、機器証明書及びユーザ証明書を照合結果関連データとして認証サーバ１０宛にセキュア通信部４１に送出する機能とをもっている。
【００５７】
個人情報管理部４３は、セキュア媒体制御部４２から読出／書込可能に、ユーザ秘密鍵、ユーザ証明書及び参照情報を管理するものである。ユーザ証明書は、ユーザ登録局１からユーザに対して発行された公開鍵証明書であり、ユーザ登録局１の秘密鍵によるデジタル署名が付されている。ユーザ秘密鍵は、ユーザ証明書に対応する秘密鍵である。また、認証処理負担の軽減のため、認証サーバ１０の公開鍵証明書又は認証サーバ１０のルート認証局の公開鍵証明書を格納してもよい。
【００５８】
署名生成部４４は、セキュア媒体制御部４２から受けた生体認証デバイスによる照合結果、署名データＳD［照合結果］に対し、ユーザ証明書に対応するユーザ秘密鍵でデジタル署名を行い、得られた二重署名データＳM［ＳD［照合結果］］及び照合結果をセキュア媒体制御部４２に送出するものである。
【００５９】
署名検証部４５は、セキュア媒体制御部４２から受けた生体認証デバイスによる照合結果、署名データＳD［照合結果］及び機器証明書に基づいて、署名データＳD［照合結果］を検証し、検証結果が正当なとき、署名生成部４４による署名を許可するための検証結果“正当”をセキュア媒体制御部４２に送出するものである。
【００６０】
生体認証デバイス５０は、クライアント装置２０に接続され、指紋や虹彩などの生体情報を生体から読取るセンサ機能と読取った生体情報と事前に登録された生体情報とを照合する機能を有したモジュールである。
【００６１】
生体認証デバイス５０は、耐タンパ性を有し、図８に示すように、セキュア通信部５１、生体認証デバイス制御部５２、機器情報管理部５３、読取部５４、照合部５５及び署名生成部５６を備えている。
【００６２】
生体認証デバイス５０は、読取精度や、本人拒否率や他人許容率といった照合精度評価や、耐タンパ性能などの性能を、定められた評価基準に従って認定局２により評価及び認定を受ける。認定を受けた生体認証デバイス５０は、認定局２より認定を受けた証明として生体認証デバイス５０に対する機器証明書（機器の公開鍵証明書）を機器認証局３より発行してもらい、機器証明書に対応する秘密鍵（以下、機器秘密鍵）を生体認証デバイス５０のセキュア領域（機器情報管理部５３）に格納する。
【００６３】
セキュア通信部５１は、通信相手の認証と、通信内容の認証と、通信内容の秘匿を主な目的とするものであり、鍵交換処理、通信相手認証処理、データ認証処理、暗号化／復号処理などを含むものである。セキュア通信で自己を証明する情報として、機器情報管理部５３で管理される機器証明書と機器秘密鍵を用いてもよい。
【００６４】
生体認証デバイス制御部５２は、生体認証デバイス５０内の各機能部５１，５３〜５６の制御を行うものであり、主に、セキュア通信部５１から受けた参照情報を照合部５５に送出する機能と、署名生成部５６から受けた照合結果、署名データＳD［照合結果］及び機器証明書をセキュア通信部５１を介してセキュア媒体４０宛に送信する機能をもっている。
【００６５】
機器情報管理部５３は、機器秘密鍵と、必要ならば機器証明書の管理を行う。すなわち、機器証明書は、所望により外部のディレクトリサーバ等のリポジトリで管理されてもよい。
【００６６】
機器証明書は、図３に示したように、生体認証デバイス５０に対して発行された公開鍵証明書であり、機器認証局３の秘密鍵でデジタル署名が施されたものであり、機器秘密鍵は機器証明書に対応する秘密鍵である。
【００６７】
読取部５４は、生体情報の読取り処理を行い、読取った生体情報を照合部に送出するものである。
【００６８】
照合部５５は、セキュア媒体４０から送出されて生体認証デバイス制御部５２から受けた参照情報（セキュア媒体４０内に事前に登録された生体情報）と、読取部５４で読取った照合情報（読取った生体情報又はこの生体情報に照合アルゴリズム固有の特徴抽出処理などを施した情報）とを照合する生体照合ルーチンにより動作するものであり、照合結果を署名生成部５６に送出する機能をもっている。なお、生体照合ルーチンは、特徴抽出処理などの照合アルゴリズム特有の処理が必要な場合にはそれら特有の処理をも行う。
【００６９】
署名生成部５６は、照合部５５から受けた照合結果に対し、機器情報管理部５３の機器証明書に対応する機器秘密鍵でデジタル署名を施し、得られた署名データＳD［照合結果］、照合結果及び機器証明書を生体認証媒体制御部５２に送出する機能をもっている。
【００７０】
次に、以上のように構成された本人確認システムの動作を説明する。
【００７１】
（生体認証デバイス認定）
図９に示すように、生体認証デバイス製造者（以下、ベンダという）装置４を有するベンダは、認定局２に対し、生体認証デバイス５０又はその仕様書を提示して生体認証デバイス５０の生体認証レベルの認定を依頼する。
【００７２】
認定局２は、この認定依頼に基づいて認定を行ない、発行要求及び機器証明書情報を機器認証局３に提供する。
【００７３】
機器認証局３は、この提供内容に基づいて、機器証明書を発行し、この機器証明書をベンダ４に送信する。
【００７４】
ベンダ４は、この機器証明書を保管すると、各生体認証デバイス５０の機器情報管理部５３にこの機器証明書を格納する。
【００７５】
（ユーザ初期登録）
ユーザは、本人確認システムを利用するサービスを受けるにあたり、ユーザの初期登録をユーザ登録局１に行う。
【００７６】
ユーザ登録局１は、ユーザから登録の申請を受けると、ユーザの身分を照会し（ＳＴ１）、初期登録を許可するか否かを判定し（ＳＴ２）、許可しない場合にはステップＳＴ１に戻るが、初期登録を許可した場合には、ユーザに対してユーザ証明書とユーザ秘密鍵を発行する（ＳＴ３）。このときユーザ証明書の公開鍵基盤は一般的なＰＫＩの枠組みを用いるのが好適である。
【００７７】
このとき同時にユーザは、生体認証方式を選択してこの生体認証方式により生体情報を採取すると（ＳＴ４）、参照情報として生体情報を提示する（ＳＴ５）。
【００７８】
ユーザ登録局１は、この提示内容に基づいて、参照情報に対応する生体認証方式を示した生体認証対応リストを生成し（ＳＴ６）、発行されたユーザ証明書とユーザ秘密鍵、参照情報及び生体認証対応リストをセキュア媒体４０の個人情報管理部５３に格納すると共に（ＳＴ７）、自局１にも登録して処理を終了する。
【００７９】
（本人確認）
クライアント装置２０は、ユーザ操作により、ユーザの本人確認を要するサービスにアクセスする。このとき、サービス側の認証サーバ１０は、クライアント装置２０に対して本人確認要求を送出する。具体的には、サービス側の認証サーバ１０は、クライアント装置２０からサービス要求を受けると、クライアント装置２０の認証制御プログラム部２２に別チャネルでコネクションを確立し、本人確認要求をクライアント装置２０に通知する。
【００８０】
クライアント装置２０は、この本人確認要求に基づいて、認証制御プログラム部２２を呼び出す。認証制御プログラム部２２は、常時起動しているか、又は起動プログラムの呼出しにより起動される。
【００８１】
認証制御プログラム部２２は、図１１に示すように、ユーザが所有するセキュア媒体４０の挿入を要求する画面を表示させ（ＳＴ１１）、セキュア媒体４０が挿入されているか否かを確認する（ＳＴ１２）。
【００８２】
セキュア媒体４０が挿入されていると確認された場合、認証制御プログラム部２２は、セキュア媒体４０と認証サーバ１０との間でのセキュア通信路構築処理を開始する（ＳＴ１３）。
【００８３】
ここでのセキュア通信路構築処理は、セキュア媒体４０と認証サーバ１０との間で信頼のおける通信経路を構築することが目的である。具体例として、相互認証に公開鍵暗号方式に基づくチャレンジアンドレスポンス方式を利用した方法を説明するが、これに限らず、他の手段を用いてもよい。
【００８４】
通信経路の構築は基本的にセキュア通信部４１，１１により行われる。また、相互の公開鍵証明書は互いに保有していることを想定するが、送信メッセージ内に証明書を送信するためのペイロードを設けて送信してもよい。なお、ここで説明する公開鍵暗号方式の公開鍵及び秘密鍵は双方とも暗号化及び復号処理を行えるものとする。
【００８５】
セキュア媒体４０は、セキュア通信路構築処理開始メッセージを受け取ったら、乱数であるチャレンジＣ１を生成して、認証サーバ１０に送信する。
【００８６】
認証サーバ１０では、チャレンジＣ１を自己の秘密鍵ＳｋSにより暗号化してレスポンスＲ１を生成する。
【００８７】
認証サーバ１０はチャレンジＣ２を生成し、レスポンスＲ１とサービスが要求する生体認証レベルと共にユーザの公開鍵（ユーザ証明書）CertUで暗号化し、暗号化データを送信する。
【００８８】
セキュア媒体４０は、この暗号化データをユーザ秘密鍵ＳｋUで復号し、レスポンスＲ１とチャレンジＣ２を得る。レスポンスＲ１を認証サーバ１０の公開鍵CertSで検証し、正当であると判断したらチャレンジＣ２をデータ暗号化用のセッション鍵として共有する。
【００８９】
また同様に、セキュア媒体４０がセッション鍵を生成する例を述べる。
セキュア媒体４０は、セキュア通信路構築処理開始メッセージを受けると、乱数であるチャレンジＣ１を生成して、認証サーバ１０に送信する。
【００９０】
認証サーバ１０では、チャレンジＣ１とサービスが要求する生体認証レベルとを認証サーバ１０の秘密鍵ＳｋSにより暗号化してレスポンスＲ１を生成し、レスポンスＲ１をセキュア媒体４０に送信する。
【００９１】
セキュア媒体４０では、レスポンスＲ１を認証サーバ１０の公開鍵CertSで検証し、正当であると判断したら、チャレンジＣ３を生成し、サーバの公開鍵CertSで暗号化する。暗号化したチャレンジＣ３’とチャレンジＣ１とレスポンスＲ１にユーザ秘密鍵ＳｋUでデジタル署名を施し、暗号化したチャレンジＣ３’と共に認証サーバ１０に送信する。
【００９２】
認証サーバ１０はデジタル署名を検証し、正当であると判断したら、暗号化したチャレンジＣ３’を復号してチャレンジＣ３を得る。チャレンジＣ３をデータ暗号化用のセッション鍵として共有する。
【００９３】
さて、認証制御プログラム部２２は、セキュア通信路構築処理を行い、互いの通信相手が正当であるとの判断によりセキュア通信路が確保されたか否かを判定し（ＳＴ１４）、確保されないときは処理を終了するが、確保されたとき、セキュア媒体４０より生体認証対応リストを受け取る（ＳＴ１５）。
【００９４】
認証制御プログラム部２２の生体認証選択部２４は、サービス側から要求される生体認証レベルと、セキュア媒体４０から受ける図６に示す如き生体認証接続デバイスリストとに基づいて、要求される生体認証レベルを満たす生体照合アルゴリズム（以下、生体照合ルーチンともいう）を選択する（ＳＴ１６）。このときの組合せの母集団は、生体認証レベルと生体認証接続デバイスリストの共通部分から得られる使用可能な生体照合ルーチンである。
【００９５】
ここでの生体認証レベルは、単体又は複数の生体認証デバイス５０を組合せた場合での、総合的な性能レベルを指す。このサービスが要求する生体認証レベルにより、ユーザに提供する権限を制御することができる。つまり、高いセキュリティレベルが要求されるサービスに対しては、より高い生体認証レベルを要求するなどの柔軟な本人確認を行うことが可能である。
【００９６】
認証制御プログラム部２２は、この選択の際に、生体認証レベルを満たすことができる生体照合ルーチンの組合せを決定できるか否かを判定し（ＳＴ１７）、決定できない時には処理を終了するが、決定できる時には、この決定した生体照合ルーチンをセキュア媒体４０に通知する。
【００９７】
セキュア媒体４０は、この生体照合アルゴリズムから生体認証デバイス５０を決定し、このデバイス５０による照合処理に移行する。
【００９８】
照合処理の開始時には図１２に示すように、セキュア媒体４０は、生体認証デバイス５０との間で認証制御プログラム部２２を介して直接セキュア通信路を構築する（ＳＴ２１）。
【００９９】
ここでのセキュア通信路は、デバイス５０・媒体４０間の伝送経路上を保護すると共に、通信相手のデバイスが正当であることを相互に認証することを目的としている。具体的なセキュア通信路構築処理の一例としては、セキュア媒体４０と生体認証デバイス５０は、相互に保有する公開鍵暗号方式の公開鍵（公開鍵証明書）と秘密鍵を利用して行う方法がある。
【０１００】
生体認証デバイス５０は、機器証明書をセキュア媒体４０に送信する。セキュア媒体４０は機器証明書を検証し、正当であれば、共通鍵暗号方式の暗号化鍵（セッション鍵）を生成し、機器証明書で暗号化する。
【０１０１】
このとき、セキュア媒体４０に格納されているユーザ証明書に対応する秘密鍵でデジタル署名をして、ユーザ証明書と共に生体認証デバイス５０に送信する。
【０１０２】
生体認証デバイス５０では、ユーザ証明書とデジタル署名を検証し、暗号化されたセッション鍵を復号する。このセッション鍵をもってセキュア通信のデータ暗号化を行う。
【０１０３】
このとき、セキュア媒体４０と生体認証デバイス５０は、互いの公開鍵証明書を認証する機関（ルート認証局、機器認証局３等）の公開鍵証明書を予め格納していることが望ましく、又は別途リポジトリ等より取得する任意の手段を設けてもよい。なお、セキュア媒体４０と生体認証デバイス５０との間の通信は認証制御プログラム部２２を介して行われるが、図１では図面の都合上その通信経路を省略している。
【０１０４】
セキュア媒体４０は、セキュア通信路が構築されたら（ＳＴ２２）、生体認証デバイス５０に参照情報を送信する。
【０１０５】
生体認証デバイス５０は、参照情報を受信したら、ユーザに生体情報の提示を促す画面を表示させるよう認証制御プログラム部２２に通知する。
【０１０６】
具体的には、指紋照合の場合では「指を読取部に置いてください。」等のメッセージを画面に表示させる。生体情報提示準備が完了したことを確認するには、リターンキー入力や画面のＯＫボタン押下等の手段により確認する。
【０１０７】
生体認証デバイス５０は、生体情報の提示準備が確認できたら、読取部５４により生体情報を読取り、読取った生体情報を照合部５５に渡す。照合部では、照合情報と受信した参照情報とを照合する（ＳＴ２３）。
【０１０８】
照合部５５は、両者の一致／不一致を判定し（ＳＴ２４）、両者が一致すると、機器秘密鍵により照合結果“正当（ＯＫ）”にデジタル署名を施し（ＳＴ２５）、得られた署名データＳD［照合結果］、照合結果及び機器証明書をセキュア媒体４０に送信する。一方、照合部５５は、ステップＳＴ２４の結果、両者が不一致であるとき、認証処理を中止する。
【０１０９】
なお、必要ならば、本人確認情報として認証失敗の旨をセキュア媒体４０及び認証制御プログラム部２２に通知し、「認証失敗しました。」等のメッセージを画面表示する。また、このときの画面表示項目の一例としては、照合成功か失敗かの情報（パーセンテージなどによる照合信頼度を含めてもよい）、及び使用した生体認証方式（生体認証デバイス５０も含む）及び使用した生体認証方式の生体認証レベル（複数利用した場合には総合レベル）などが挙げられる。
【０１１０】
セキュア媒体４０は、署名データＳD［照合結果］を検証し、正当であれば、ユーザ秘密鍵によりデジタル署名を施し、得られた署名データＳM［ＳD［照合結果］に、照合結果、機器証明書及びユーザ証明書を添付した照合結果関連データを認証制御プログラム部２２に送信する。
【０１１１】
認証制御プログラム部２２は、この照合結果関連データを認証サーバ１０に送信する。ここで、照合結果関連データは、共有したセッション鍵により暗号化されているため、セキュア媒体４０と認証サーバ１０以外が内容を知ることは困難である。
【０１１２】
認証サーバ１０においては、証明書検証部１３が、クライアント装置２０からネットワーク及び通信部１１を介して受けた照合結果関連データ（機器証明書、ユーザ証明書、ＳM［ＳD［照合結果］］）に対し、ユーザ登録局１及び機器認定局３を参照しながら、各証明書の正当性を検証し、検証結果が正当なとき、照合関連データをレベル照合部１４に送出する。
【０１１３】
レベル照合部１４は、この照合結果関連データのうち、機器証明書の評価結果データ（及び／又は評価基準データ）と、要求応答部１２から受けるレベル要求とを照合し、評価結果データがレベル要求を満たすとき、照合結果関連データを結果検証部１５に送出する。
【０１１４】
結果検証部１５は、この照合結果関連データのうち、署名データＳM［ＳD［照合結果］］を各証明書に基づいて検証し、照合結果の正当性を検証する。ここで、照合結果が正当であれば、本人確認が完了し、サービス側がクライアント装置２０にサービスを提供する。
【０１１５】
（生体認証デバイス追加）
生体認証デバイス追加削除部２５は、生体認証デバイス５０の追加／削除の際に、生体認証デバイス接続リスト上での対応する内容を追加／削除する。追加の際には、追加接続された生体認証デバイス５０から送信された機器証明書を検証し、正当であるとき、対応するデータを生体認証デバイス接続リストに追加する。削除の際には、生体認証デバイス接続リストから対応するデータを削除する。
【０１１６】
上述したように本実施形態によれば、生体認証方式による照合結果に対し、生体認証デバイス５０とセキュア媒体４０との二重のデジタル署名を付与するので、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行することができる。
【０１１７】
すなわち、ネットワークを介した遠隔地において生体認証の照合処理又は読取処理された結果の正当性及び安全な環境下で行われたことを保証することができ、本発明者が考察した問題（ａ）を解決することができる。
【０１１８】
また、認証サーバ１０が、サービスが要求する生体認証レベルをクライアント装置に通知するので、得られた照合結果がサービス側の要求する生体認証レベル（生体認証方式の照合精度や耐タンパ性の強度など）を満たす旨を保証することができ、本発明者が考察した問題（ｂ）を解決することができる。
【０１１９】
但し、生体要求レベルを通知する構成は必須ではなく、最終的に、生体要求レベルを満たす旨が確認されればよい。例えばクライアント装置２０側で最高の生体認証レベルをもつ生体認証デバイス５０を選択して照合結果関連データを認証サーバ１０に送信し、認証サーバ１０側で機器証明書を参照して生体認証レベルを確認する構成としてもよい。
【０１２０】
また、生体認証選択部２４が、複数の生体認証デバイス５０が接続されているとき、各生体認証デバイス５０の機器証明書に記述された生体認証評価データを含めて作成された認証機器接続リストに基づいて、要求レベルを満たす生体認証方式又は生体認証デバイス５０を選択するので、使用する生体認証方式を固定せずに、複数の生体認証デバイス５０から適切な生体認証方式又は生体認証デバイス５０を選択することができる。
【０１２１】
すなわち、使用する生体認証方式を固定することなく、認証サーバ１０又は本人確認システムを利用するサービスが要求する生体認証レベルを満たせば自由な生体認証方式をユーザ又はシステム自身が選択することができる。このため、本発明者が考察した問題（ｃ）を解決することができる。
【０１２２】
また、生体認証デバイス追加削除部２５が、新規の生体認証デバイス５０’がクライアント装置２０に接続されたとき、この生体認証デバイス５０’を追加するように認証機器接続リストの内容を動的に変更するので、容易且つ確実に、新規の生体認証機器を追加することができる。
【０１２３】
これにより、例えば既存の照合アルゴリズムや生体認証デバイスを新規に更新する場合であっても、照合アルゴリズムや生体認証デバイスの増設及び／又は廃棄を容易に行なうことができる。
【０１２４】
また、複合生体認証システムの場合、複数の生体認証方式を扱うため、例えば指紋情報、顔情報、音声情報といった複数の生体情報を予め登録する必要があるが、生体認証デバイス追加削除部２５によれば、これらを容易に登録することができる。
【０１２５】
また、同一の生体認証方式であっても、複数種類の照合アルゴリズムが存在するので、利用する生体情報のフォーマットも複数種類が存在する（例えば同じ指紋でも、異なる照合アルゴリズム間では、異なる指紋情報として登録される）が、生体認証デバイス追加削除部２５によれば、これらを容易に登録することができる。
【０１２６】
また、複数種類の生体認証方式のいずれかを任意に選択する場合、選択した方式により、セキュリティポリシーの要求レベルを満たすか否かが変わる可能性があり、従来の本人確認サービスでは、問題（ａ）で述べたように、要求レベルを満たすか否かを知ることが極めて困難な状況にあるが、本実施形態によれば、前述同様に、ネットワークを介した遠隔地において生体認証の照合処理又は読取処理された結果の正当性及び安全な環境下で行われたことを保証することができる。
【０１２７】
また、ユーザ登録局１や、機器認証局３を設けたので、各ユーザにとって共通に利用可能な認証基盤を実現できるので、本発明者が考察した問題（ｄ）を解決することができる。さらに、ユーザに関するユーザ登録局１側と、生体認証デバイス５０に関する機器認証局３との２つに認証基盤を分けたので、１つの局に過大な負担をかけずに実現することができる。
【０１２８】
なお、本実施形態は、前述した構成に限らず、セキュア媒体４０を省略し、生体認証デバイス５０の処理結果のみを認証サーバ１０に送信する構成に変形してもよい。この場合、認証サーバ１０は、生体認証デバイス５０により読取られた生体情報又はこの生体情報より抽出した情報（照合情報）のみを保証することになる。
【０１２９】
（第２の実施形態）
図１３は本発明の第２の実施形態に係る本人確認システムの構成を示す模式図であり、図１４は同システムの生体認証デバイス及びその周辺構成を示す模式図であり、図１５は同システムの生体照合サーバ及びその周辺構成を示す模式図であって、前述した図面と同様の部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した部分の説明を省略する。
【０１３０】
すなわち、本実施形態は、第１の実施形態の変形例であり、照合機能を持たない読取装置としての生体認証デバイスに適用を図るものであって、具体的には図１４に示すように、照合部５５が省略された生体認証デバイス５０ａと、クライアント装置２０ａに接続されて照合部を有する生体照合サーバ６０とを備えている。
【０１３１】
ここで、生体認証デバイス５０ａは、例えば指紋認証の場合、指紋センサ（静電容量式や光学読取式等）等の読取部５４を有するものの、照合機能を持たない読取装置に対応している。
【０１３２】
生体照合サーバ６０は、図１５に示すように、セキュア通信部６１、ユーザ情報管理部６２、署名検証部６３、照合部６４、署名生成部６５を備えている。
【０１３３】
セキュア通信部６１は、認証制御プログラム部２２を介してセキュア媒体４０との間でセキュア通信路を構築し、セキュア媒体４０とセキュア通信を行なう機能をもっている。
【０１３４】
ユーザ情報管理部６２は、ユーザ証明書、機器証明書、生体照合サーバ証明書、生体照合サーバ秘密鍵、参照情報が予め格納されている。なお、参照情報は、ユーザ情報管理部６２で管理せず、前述同様にセキュア媒体４０の個人情報管理部で管理してもよい。
【０１３５】
署名検証部６３は、セキュア媒体４０からの署名データＳM［ＳD［生体情報］］、生体情報、機器証明書及びユーザ証明書をセキュア通信部６１から受けると、ユーザ情報管理部６２を参照しながら、機器証明書とユーザ証明書とを検証し、正当であれば、各証明書に基づいて、署名データＳM［ＳD［生体情報］］を検証する機能と、検証結果が正当であれば、生体情報を照合部６４に送出する機能をもっている。
【０１３６】
照合部６４は、署名検証部６３から受けた生体情報と、ユーザ情報管理部６２内の参照情報とを照合し、両者が一致すれば、照合結果“正当”を署名生成部６５に送出する機能をもっている。なお、照合部６４は、複数の生体照合ルーチンを備え、機器証明書の内容に対応する照合ルーチンを選択可能となっている。
【０１３７】
署名生成部６５は、照合部６４から受けた照合結果をユーザ情報管理部６２内の生体照合サーバ秘密鍵で署名し、得られた署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書をセキュア通信部６１を介して認証制御プログラム部２２に送出する機能をもっている。
【０１３８】
次に、以上のように構成された本人確認システムの動作を説明する。
（ユーザ初期登録）
ユーザの初期登録は前述同様であるが、ユーザの参照情報を生体照合サーバ６０又はセキュア媒体４０に格納する。
【０１３９】
（本人確認）
生体認証開始までの処理は前述同様であり、異なる手順として生体情報読取処理以降の手順を以下に説明する。
【０１４０】
生体認証デバイス５０ａは、読取った生体情報に機器秘密鍵にてデジタル署名を施し、得られた署名データＳD［生体情報］、生体情報及び機器証明書をセキュア媒体４０に送信する。このとき必要があれば、生体照合ルーチン特有の処理（特徴抽出等）を行ってもよい。
【０１４１】
セキュア媒体４０は、受信した署名データＳD［生体情報］にユーザ秘密鍵にてデジタル署名を施した後、得られた署名データＳM［ＳD［生体情報］］、生体情報、ユーザ証明書及び機器証明書を認証制御プログラム部２２を介して、生体照合サーバに送信する。このとき必要があれば、生体情報に暗号化を施してもよい。
【０１４２】
生体照合サーバ６０においては、図１６に示すように、署名検証部６３が、セキュア媒体４０からの署名データＳM［ＳD［生体情報］］、生体情報、機器証明書及びユーザ証明書をセキュア通信部６１から受けると、ユーザ情報管理部６２を参照しながら、機器証明書とユーザ証明書とを検証し、正当であれば、各証明書に基づいて、署名データＳM［ＳD［生体情報］］を検証する（ＳＴ３１）。
【０１４３】
ここで、署名検証部６３は、署名が正当（ＯＫ）であるか否かを判定し（ＳＴ３２）、検証結果が正当でなければ（ＮＧ）照合処理を拒否して処理を終了するが、検証結果が正当であれば、生体情報を照合部６４に送出する。
【０１４４】
照合部６４は、この生体情報と、ユーザ情報管理部６２内の参照情報とを照合し、両者が一致すれば、照合結果“正当”を署名生成部６５に送出する。
【０１４５】
署名生成部６５は、この照合結果をユーザ情報管理部６２内の生体照合サーバ秘密鍵で署名し、得られた署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書をセキュア通信部６１を介して認証制御プログラム部２２に送出する。
【０１４６】
認証制御プログラム部２２は、この署名データＳS［照合結果］、照合結果及び生体照合サーバ証明書を認証サーバ１０に送信する。但し、認証制御プログラム部２２は、これらのデータをセキュア媒体４０に送信し、セキュア媒体４０の署名処理を介して署名データＳM［ＳS［照合結果］］、照合結果、生体照合サーバ証明書及びユーザ証明書として認証サーバ１０に送信するようにしてもよい。
【０１４７】
認証サーバ１０は、前述同様に、証明書検証部１３、レベル照合部１４及び結果検証部１５がそれぞれクライアント装置２０からの受信内容を確認する。
【０１４８】
上述したように本実施形態によれば、照合機能を持たない生体認証デバイス５０ａを備えた場合であっても、第１の実施形態と同様の効果を得ることができる。
【０１４９】
補足すると、現状の生体認証では、照合機能を有するアプリケーションをパーソナルコンピュータ等のクライアント装置２０に配置し、照合処理をクライアント装置２０内で行うことが多い。
【０１５０】
しかしながら、クライアント装置２０内が安全な環境である旨の保証は困難である。このため、指紋テンプレート等の参照情報を用いる照合機能をクライアント装置２０に配置することは、セキュリティ上、不安がある。
【０１５１】
よって、第１の実施形態の変形として、読取装置としての生体認証デバイス５０ａと、クライアント装置２０外に設置した照合機能を有する生体照合サーバ６０）とによる本人確認システムを実現することは重要な意義がある。
【０１５２】
（第３の実施形態）
図１７は本発明の第３の実施形態に係る本人確認システムの構成を示す模式図であり、図１８は同システムのクライアント装置及びその周辺構成を示す模式図である。
【０１５３】
すなわち、本実施形態は、第１の実施形態の変形例であり、使用可能な生体照合ルーチンがなくても、生体照合ルーチンを動的に取得可能なものであって、具体的には、認証制御プログラム部２２ｂに付加された生体照合ルーチン取得部２６と、クライアント装置２０ｂに接続された生体照合ルーチンＤＢ(database)７０を備えている。
【０１５４】
ここで、生体照合ルーチン取得部２６は、生体認証選択部２４からの取得要求に基づいて、生体照合ルーチンＤＢから生体照合ルーチンを取得し、この生体照合ルーチンを生体認証デバイス５０宛に通信データ制御部２３に送出可能なものである。
【０１５５】
生体照合ルーチンＤＢ７０は、複数の生体照合ルーチンが予め格納されており、生体照合ルーチン取得部２６から通知される検索条件（例、各生体認証デバイス５０の情報、参照情報のデータ形式とデータの種類、生体認証レベル）に基づいて、検索条件に合致する生体照合ルーチンを生体照合ルーチン取得部２６宛に送出する機能をもっている。
【０１５６】
但し、生体認証デバイス５０は、自己の照合部５５が使用可能な生体照合ルーチンを、認定局２による認定時に機器証明書の拡張フィールドなどに記す。例えば、生体照合ルーチンは、対象の生体情報、固有の特徴抽出処理などにより予めカテゴライズされ、照合ルーチンＩＤなどで識別可能といったルールがあることが好ましい。
【０１５７】
次に、以上のように構成された本人確認システムの動作を説明する。
（生体照合ルーチン取得）
いま、図１９に示すように、前述したステップＳＴ１１〜ＳＴ１６までは同様に動作する。続いて、ステップＳＴ１７ｂにおいて、認証制御プログラム部２２の生体認証選択部２４は、生体照合ルーチンを選択する際に、サービスから要求される生体認証レベルを満たすことができる組合せがクライアント装置２０に存在しないと判断した場合、生体照合ルーチン取得部２６に取得要求を出す（ＳＴ１８）。
【０１５８】
生体照合ルーチン取得部２６は、この取得要求により、クライアント装置２０ｂに接続された各生体認証デバイス５０の情報と、セキュア媒体４０に保存されている参照情報のデータ形式とデータの種類等と、要求する生体認証レベルとを生体照合ルーチンＤＢ７０に通知し、条件に合致する生体照合ルーチンを生体照合ルーチンＤＢ７０から取得する。
【０１５９】
取得された生体照合ルーチンは、対応する生体認証デバイス５０に送信される。必要があれば、送信される生体照合ルーチンには生体照合ルーチンＤＢ７０等のデジタル署名を施し、生体認証デバイス５０又は認証制御プログラム部２２で検証してもよい。この場合、生体照合ルーチンＤＢ７０の公開鍵証明書のルートＣＡ公開鍵証明書（又は公開鍵自体）を生体認証デバイス５０に認定時に組み込んでもよい。
【０１６０】
上述したように本実施形態によれば、第１の実施形態の効果に加え、使用可能な生体照合ルーチンがない場合でも、生体照合ルーチン取得部２６が生体照合ルーチンＤＢ７０から生体照合ルーチンを動的に取得することができる。
【０１６１】
なお、本実施形態は、第１の実施形態の変形例に限らず、第２の実施形態の変形例としてもよい。この場合、処理手順は、第２及び第３の実施形態で説明した処理手順に従えばよい。
【０１６２】
（第４の実施形態）
図２０は本発明の第４の実施形態に係る本人認証システムに適用される本人確認保証基盤の構成を示す模式図である。
【０１６３】
すなわち、本実施形態は、第１〜第３の実施形態の変形例であり、認定局２及び機器認証局３という簡単な構成に代えて、認定機関５とベンダ（生体認証デバイス製造者）４ｃとの階層構造をもつ本人確認保証基盤を備えている。
【０１６４】
ここで、認定機関５は、認定局２ｃ及びベンダ認証局６を備えている。
【０１６５】
認定局２ｃは、ベンダ４ｃからの要求により、ベンダ４ｃ及び生体認証デバイス５０を認定すると、発行要求をベンダ認証局５に送出する機能をもっている。
【０１６６】
ベンダ認証局６は、認定局２ｃから受けた発行要求に基づいて、ベンダ４ｃに対してベンダ証明書（ベンダの公開鍵証明書）を発行する機能をもっている。
【０１６７】
ベンダ４ｃは、機器認証局３ｃを備えている。
機器認証局３ｃは、ベンダ認証局６により発行されたベンダ証明書に基づいて、生体認証デバイス５０，５０ａに対して機器証明書を発行し、この機器証明書を生体認証デバイス５０，５０ａに格納する機能をもっている。
【０１６８】
次に、以上のように構成された本人確認保証基盤の動作を説明する。
ベンダ４ｃは、認定局２ｃに対してベンダ証明書の発行を要求する。認定局２ｃはベンダ４ｃに対してベンダ証明書を発行可能か否か判断する。判断基準については、認定局２ｃの運用におけるポリシーに依存し、本実施形態では規定しない。
【０１６９】
認定局２ｃがベンダ証明書を発行可能と判断した場合、ベンダ認証局６に対してベンダ証明書の発行を要求する。このときベンダ４ｃの必要な情報（一般的な公開鍵証明書に記述される情報でよい）を提供する。
【０１７０】
ベンダ認証局６はベンダ４ｃに対してベンダ証明書を発行する。記載する各項目をベンダ認証局６が生成した公開鍵に付随させ、ベンダ認証局６の公開鍵証明書でデジタル署名を施す。ここで、ベンダ証明書の各項目は、Ｘ．５０９証明書で定義されたフィールド項目に準じたものが好適であるが、必要な項目があれば拡張項目を追加してもよい。
【０１７１】
ベンダ４ｃは、前述したような認定局２ｃの認定基準に従い、自己が製造した生体認証デバイス５０を評価し、ベンダ４ｃにより運営される機器認証局３ｃより機器証明書を発行する。但し、機器認証局３ｃはベンダ４ｃが信頼するものであれば、ベンダ４ｃの外部構成要素であってもよい。
【０１７２】
また、機器証明書は図３に示したものと同様であるが、ベンダ証明書によりデジタル署名されている。すなわち機器証明書の証明機関の信頼階層は、認定局２ｃが最上位でありベンダ認証局６が次にくる。
【０１７３】
ベンダ４ｃは発行した機器証明書を製造した生体認証デバイス５０に格納する。このとき発行した機器証明書を認定局２ｃに提出してもよい。
【０１７４】
認定局２ｃは定期的に生体認証デバイス５０に格納された機器証明書を検証することにより、ベンダ４ｃの信頼性を随時監査する。
【０１７５】
このときの機器証明書の検証対象としては、第１の実施形態と同様に証明書自体の正当性検証と、機器証明書の記載項目の検証を行う。記載項目の検証は、機器証明書に記載された生体認証デバイス５０の評価結果と実際の生体認証デバイス５０との整合性等を実際に評価して検証する。
【０１７６】
もし不正であると判断した場合、認証局２ｃは、機器証明書及びベンダ証明書の失効処理を行なう。すなわち、認証局２ｃは、機器証明書及びベンダ証明書を失効リスト（ＣＲＬ、ＡＲＬ（Authority Revocation List）等）に記載する。また、認証サーバ１０等により証明書の失効要求が提示された場合も同様に処理する。
【０１７７】
上述したように本実施形態によれば、認定機関５とベンダ４ｃとの階層構造をもつ本人確認保証基盤を設けた場合であっても、第１〜第３の実施形態の効果を得ることができる。
【０１７８】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１７９】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１８０】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１８１】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
【０１８２】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１８３】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１８４】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１８５】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組合せて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組合せにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１８６】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１８７】
【発明の効果】
以上説明したように本発明によれば、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る本人確認システムの構成を示す模式図
【図２】同実施形態における参照情報を説明するための模式図
【図３】同実施形態における機器証明書を説明するための模式図
【図４】同実施形態における認証サーバ及びその周辺構成を示す模式図
【図５】同実施形態におけるクライアント装置及びその周辺構成を示す模式図
【図６】同実施形態における生体認証デバイス接続リストを説明するための模式図
【図７】同実施形態におけるセキュア媒体及びその周辺構成を示す模式図
【図８】同実施形態における生体認証デバイス及びその周辺構成を示す模式図
【図９】同実施形態における生体認証デバイスの認定動作を説明するための模式図
【図１０】同実施形態におけるユーザ初期登録動作を説明するためのフローチャート
【図１１】同実施形態における本人確認動作を説明するためのフローチャート
【図１２】同実施形態における本人確認動作を説明するためのフローチャート
【図１３】本発明の第２の実施形態に係る本人確認システムの構成を示す模式図
【図１４】同実施形態における生体認証デバイス及びその周辺構成を示す模式図
【図１５】同実施形態における生体照合サーバ及びその周辺構成を示す模式図
【図１６】同実施形態における動作を説明するためのフローチャート
【図１７】本発明の第３の実施形態に係る本人確認システムの構成を示す模式図
【図１８】同実施形態におけるクライアント装置及びその周辺構成を示す模式図
【図１９】同実施形態における照合ルーチン取得動作を説明するためのフローチャート
【図２０】本発明の第４の実施形態に係る本人認証システムに適用される本人確認保証基盤の構成を示す模式図
【符号の説明】
１…ユーザ登録局
２…認定局
３，３ｃ…機器認証局
４、４ｃ…ベンダ
５…ベンダ認証局
１０…認証サーバ
１１，２１…通信部
１２…要求応答部
１３…証明書検証部
１４…レベル照合部
１５…結果検証部
２０，２０ａ，２０ｂ…クライアント装置
２２…認証制御プログラム部
２３…通信データ制御部
２４…生体認証選択部
２５…生体認証デバイス追加削除部
２６…生体照合ルーチン取得部
３０…媒体読取装置
４０…セキュア媒体
４１，５１，６１…セキュア通信部
４２…セキュア媒体制御部
４３…個人情報管理部
４４，５６，６５…署名生成部
４５，６３…署名検証部
５０，５０ａ…生体認証デバイス
５２…生体認証デバイス制御部
５３…機器情報管理部
５４…読取部
５５，６４…照合部
６０…生体照合サーバ
６２…ユーザ情報管理部
７０…生体照合ルーチンＤＢ
Claims (7)
- 生体認証方式により、ユーザが本人である旨を確認するための本人確認システムであって、
各ユーザ毎に、公開鍵暗号方式に基づくユーザ証明書及びユーザ秘密鍵を発行するためのユーザ登録局と、
各生体認証機器毎に、公開鍵暗号方式に基づく機器証明書及び機器秘密鍵を発行するための機器認証局と、
前記機器認証局により発行された機器証明書及び機器秘密鍵が予め格納され、所定の生体認証方式により前記ユーザが本人である旨を確認したとき、得られた本人確認情報に対して前記機器秘密鍵による第１デジタル署名と前記機器証明書とを付与して送信する生体認証機器と、
前記ユーザ登録局により発行されたユーザ証明書及びユーザ秘密鍵が予め格納され、前記生体認証機器から送信された本人確認情報、前記第１デジタル署名及び前記機器証明書を受信すると、この第１デジタル署名に対して前記ユーザ秘密鍵による署名処理を施し、得られた第２デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を送信するユーザ署名装置と、
前記ユーザ署名装置を着脱自在に保持する媒体保持部を有し、前記生体認証機器に接続されたクライアント装置と、
前記クライアント装置にネットワークを介して接続され、前記ユーザ署名装置から送信された第２デジタル署名、本人確認情報、機器証明書及びユーザ証明書を受信すると、前記ユーザ登録局及び前記機器認証局を参照しながら前記ユーザ証明書及び前記機器証明書を検証し、又は前記第２デジタル署名を検証し、前記各証明書と前記第２デジタル署名との検証結果がそれぞれ正当のとき、前記本人確認情報を認証する認証装置と、
を備えたことを特徴とする本人確認システム。 - 請求項１に記載の本人確認システムにおいて、
前記認証装置は、前記クライアント装置から受けるサービス要求に基づいて、サービスが要求する生体認証レベルを前記クライアント装置に通知する要求レベル通知手段を備えたことを特徴とする本人確認システム。 - 請求項２に記載の本人確認システムにおいて、
前記クライアント装置は、複数の生体認証機器が接続されているとき、前記各生体認証機器の機器証明書に記述された生体認証評価データを含めて作成された認証機器接続リストに基づいて、前記要求レベルを満たす生体認証方式又は生体認証機器を選択する認証機器選択手段を備えたことを特徴とする本人確認システム。 - 請求項３に記載の本人確認システムにおいて、
新規の生体認証機器が前記クライアント装置に接続されたとき、この生体認証機器を追加するように前記認証機器接続リストの内容を動的に変更する動的変更手段を備えたことを特徴とする本人確認システム。 - 生体認証方式によりユーザが本人である旨を確認する本人確認情報に第１デジタル署名を付与して機器証明書と共に送出する生体認証機器と、前記本人確認情報を確認するための認証装置と、前記生体認証機器により得られた本人確認情報をネットワークを介して前記認証装置に送信するためのクライアント装置とを備えた本人確認システムに用いられ、前記クライアント装置の媒体保持部に着脱自在に保持されるユーザ署名装置であって、
予め公開鍵暗号方式に基づくユーザ証明書及びユーザ秘密鍵が格納されたユーザ情報格納手段と、
前記生体認証機器から送信された本人確認情報、前記第１デジタル署名及び前記機器証明書を受信する受信手段と、
前記受信手段により受信された第１デジタル署名を前記機器証明書に基づいて検証する署名検証手段と、
前記署名検証手段による検証結果が正当のとき、この第１デジタル署名に対して前記ユーザ情報格納手段内のユーザ秘密鍵による署名処理を施す署名生成手段と、
前記署名生成手段により得られた第２デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を前記クライアント装置内に送信する送信手段と、
を備えたことを特徴とするユーザ署名装置。 - 生体認証機器により得られた本人確認情報及び前記生体認証機器の機器証明書と、ユーザ証明書と、前記本人確認情報が前記機器証明書に対応する機器秘密鍵及び前記ユーザ証明書に対応するユーザ秘密鍵によりそれぞれ署名処理されてなるデジタル署名とをクライアント装置からネットワークを介して受信したとき、前記本人確認情報を認証するための認証装置であって、
前記デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を受信する受信手段と、
前記受信手段により受信された機器証明書及びユーザ証明書を当該各証明書の発行元と通信しながら検証するための証明書検証手段と、
前記証明書検証手段による検証結果が正当なとき、前記各証明書に基づいて前記デジタル署名を検証する署名検証手段と、
前記署名検証手段による検証結果が正当なとき、前記本人確認情報を認証する本人確認情報認証手段と、
を備えたことを特徴とする認証装置。 - 生体認証方式により、ユーザが本人である旨を確認するための本人確認システムであって、
各ユーザ毎に、公開鍵暗号方式に基づくユーザ証明書及びユーザ秘密鍵を発行するためのユーザ登録局と、
各生体認証機器毎に、公開鍵暗号方式に基づく機器証明書及び機器秘密鍵を発行するための機器認証局と、
前記ユーザ登録局により発行されたユーザ証明書及びユーザ秘密鍵が予め格納され、外部から送信された本人確認情報、前記本人確認情報に対して前記機器秘密鍵による署名処理を施して得られた第１デジタル署名及び前記機器証明書を受信すると、この第１デジタル署名に対して前記ユーザ秘密鍵による署名処理を施し、得られた第２デジタル署名、前記本人確認情報、前記機器証明書及び前記ユーザ証明書を送信するユーザ署名装置と、
前記ユーザ署名装置を着脱自在に保持する媒体保持部を有し、通信機能を備えたクライアント装置と、
前記ユーザ署名装置から送信された第２デジタル署名、本人確認情報、機器証明書及びユーザ証明書を前記クライアント装置を介して受信すると、前記ユーザ登録局及び前記機器認証局を参照しながら前記ユーザ証明書及び前記機器証明書を検証し、又は前記第２デジタル署名を検証し、前記各証明書と前記第２デジタル署名との検証結果がそれぞれ正当のとき、前記本人確認情報を認証する認証装置と、
を備えたことを特徴とする本人確認システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001333432A JP3943897B2 (ja) | 2001-10-30 | 2001-10-30 | 本人確認システム及び装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001333432A JP3943897B2 (ja) | 2001-10-30 | 2001-10-30 | 本人確認システム及び装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003143136A JP2003143136A (ja) | 2003-05-16 |
| JP3943897B2 true JP3943897B2 (ja) | 2007-07-11 |
Family
ID=19148688
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001333432A Expired - Lifetime JP3943897B2 (ja) | 2001-10-30 | 2001-10-30 | 本人確認システム及び装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3943897B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP2397961A2 (en) | 2010-06-21 | 2011-12-21 | Hitachi, Ltd. | Registration method of biologic information, application method of using template and authentication method in biometric authentication |
Families Citing this family (43)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP1636930A4 (en) * | 2003-06-13 | 2010-04-07 | Michael Arnouse | SYSTEM AND METHOD FOR SECURING A NETWORK AND VERIFYING AN ELECTRONIC SIGNATURE |
| CA2529800A1 (en) * | 2003-06-17 | 2004-12-29 | Visa International Service Association | Method and systems for securely exchanging data in an electronic transaction |
| JP2006011768A (ja) * | 2004-06-25 | 2006-01-12 | Toshiba Corp | 認証システム及び装置 |
| JP2006129143A (ja) * | 2004-10-29 | 2006-05-18 | Toppan Printing Co Ltd | 秘密情報送受信システム及び方法、サーバー装置及びプログラム、並びに鍵情報保持装置 |
| JP4704045B2 (ja) * | 2005-01-12 | 2011-06-15 | 株式会社エヌ・ティ・ティ・ドコモ | 通信装置、デジタル署名検証方法およびデジタル署名生成方法 |
| JP4449762B2 (ja) | 2005-01-24 | 2010-04-14 | コニカミノルタビジネステクノロジーズ株式会社 | 人物照合装置、人物照合システム及び人物照合方法 |
| US7810143B2 (en) | 2005-04-22 | 2010-10-05 | Microsoft Corporation | Credential interface |
| JP4684100B2 (ja) * | 2005-12-26 | 2011-05-18 | 株式会社日立製作所 | 認証システムおよび認証方法 |
| US9112705B2 (en) | 2006-02-15 | 2015-08-18 | Nec Corporation | ID system and program, and ID method |
| JP4819542B2 (ja) | 2006-03-24 | 2011-11-24 | 株式会社日立製作所 | 脆弱性検証付きのバイオメトリクス認証システムおよび方法 |
| JP4820342B2 (ja) * | 2007-08-09 | 2011-11-24 | 日本電信電話株式会社 | ユーザ認証方法、ユーザ認証装置、プログラム及び記録媒体 |
| JP5127469B2 (ja) * | 2008-01-11 | 2013-01-23 | 株式会社東芝 | サーバ装置、リファレンス保管装置及びリファレンス生成装置 |
| US9122895B2 (en) | 2008-06-25 | 2015-09-01 | Microsoft Technology Licensing, Llc | Authorization for transient storage devices with multiple authentication silos |
| US8881257B2 (en) | 2010-01-22 | 2014-11-04 | Interdigital Patent Holdings, Inc. | Method and apparatus for trusted federated identity management and data access authorization |
| US8533803B2 (en) * | 2010-02-09 | 2013-09-10 | Interdigital Patent Holdings, Inc. | Method and apparatus for trusted federated identity |
| JP5488113B2 (ja) * | 2010-03-29 | 2014-05-14 | 富士通株式会社 | 不正アクセス検知装置、および、不正アクセス検知方法 |
| US8793499B2 (en) | 2012-01-20 | 2014-07-29 | Lockheed Martin Corporation | Nested digital signatures with constant file size |
| US8955039B2 (en) * | 2012-09-12 | 2015-02-10 | Intel Corporation | Mobile platform with sensor data security |
| EP2939166B1 (en) * | 2012-12-28 | 2020-11-11 | Nok Nok Labs, Inc. | Query system and method to determine authentication capabilities |
| US9172687B2 (en) | 2012-12-28 | 2015-10-27 | Nok Nok Labs, Inc. | Query system and method to determine authentication capabilities |
| JP2014174560A (ja) * | 2013-03-05 | 2014-09-22 | Canon Inc | 情報処理装置及びサーバとその制御方法、プログラム及び記憶媒体 |
| US9305298B2 (en) | 2013-03-22 | 2016-04-05 | Nok Nok Labs, Inc. | System and method for location-based authentication |
| US10270748B2 (en) | 2013-03-22 | 2019-04-23 | Nok Nok Labs, Inc. | Advanced authentication techniques and applications |
| US9887983B2 (en) | 2013-10-29 | 2018-02-06 | Nok Nok Labs, Inc. | Apparatus and method for implementing composite authenticators |
| JP6430689B2 (ja) * | 2013-04-17 | 2018-11-28 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 認証方法、端末およびプログラム |
| US9654469B1 (en) | 2014-05-02 | 2017-05-16 | Nok Nok Labs, Inc. | Web-based user authentication techniques and applications |
| US10637853B2 (en) | 2016-08-05 | 2020-04-28 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
| US10769635B2 (en) | 2016-08-05 | 2020-09-08 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
| JP6717108B2 (ja) | 2016-08-10 | 2020-07-01 | 富士通株式会社 | 情報処理装置、情報処理システム、プログラム及び情報処理方法 |
| JP2018074205A (ja) | 2016-10-24 | 2018-05-10 | 富士通株式会社 | プログラム、情報処理装置、情報処理システム、及び情報処理方法 |
| US10091195B2 (en) | 2016-12-31 | 2018-10-02 | Nok Nok Labs, Inc. | System and method for bootstrapping a user binding |
| US10237070B2 (en) | 2016-12-31 | 2019-03-19 | Nok Nok Labs, Inc. | System and method for sharing keys across authenticators |
| JP6921654B2 (ja) | 2017-06-29 | 2021-08-18 | キヤノン株式会社 | 情報処理装置、方法、及びプログラム |
| JP7123540B2 (ja) | 2017-09-25 | 2022-08-23 | キヤノン株式会社 | 音声情報による入力を受け付ける情報処理端末、方法、その情報処理端末を含むシステム |
| US11868995B2 (en) | 2017-11-27 | 2024-01-09 | Nok Nok Labs, Inc. | Extending a secure key storage for transaction confirmation and cryptocurrency |
| US11831409B2 (en) | 2018-01-12 | 2023-11-28 | Nok Nok Labs, Inc. | System and method for binding verifiable claims |
| KR20210006329A (ko) * | 2018-04-25 | 2021-01-18 | 아이피컴 게엠베하 앤 코. 카게 | 원격 생체 식별 |
| US12041039B2 (en) | 2019-02-28 | 2024-07-16 | Nok Nok Labs, Inc. | System and method for endorsing a new authenticator |
| US11792024B2 (en) | 2019-03-29 | 2023-10-17 | Nok Nok Labs, Inc. | System and method for efficient challenge-response authentication |
| EP4016483A4 (en) * | 2019-08-14 | 2022-08-17 | NEC Corporation | INFORMATION PROCESSING DEVICE, INFORMATION PROCESSING METHOD AND RECORDING MEDIA |
| US12126613B2 (en) | 2021-09-17 | 2024-10-22 | Nok Nok Labs, Inc. | System and method for pre-registration of FIDO authenticators |
| JP2024135280A (ja) * | 2023-03-22 | 2024-10-04 | 株式会社東芝 | 生体認証システム、生体認証装置および生体認証方法 |
| WO2026022993A1 (ja) * | 2024-07-25 | 2026-01-29 | 日本電気株式会社 | 端末、システム、端末の制御方法及び記憶媒体 |
-
2001
- 2001-10-30 JP JP2001333432A patent/JP3943897B2/ja not_active Expired - Lifetime
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP2397961A2 (en) | 2010-06-21 | 2011-12-21 | Hitachi, Ltd. | Registration method of biologic information, application method of using template and authentication method in biometric authentication |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003143136A (ja) | 2003-05-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3943897B2 (ja) | 本人確認システム及び装置 | |
| US8499147B2 (en) | Account management system, root-account management apparatus, derived-account management apparatus, and program | |
| US7941380B2 (en) | Electronic data vault providing biometrically protected electronic signatures | |
| RU2434340C2 (ru) | Инфраструктура верификации биометрических учетных данных | |
| JP4508331B2 (ja) | 認証代行装置、認証代行方法、認証代行サービスシステム、及びコンピュータ読取可能な記録媒体 | |
| JP4374904B2 (ja) | 本人認証システム | |
| US8230483B2 (en) | System, apparatus, program, and method for authentication | |
| US20020049912A1 (en) | Access control method | |
| US20070118758A1 (en) | Processing device, helper data generating device, terminal device, authentication device and biometrics authentication system | |
| US20030126438A1 (en) | ABDS System and Verification Status for Authenticating Entity Access | |
| US20040128508A1 (en) | Method and apparatus for access authentication entity | |
| EP1269425A2 (en) | Secure transaction system | |
| JP2005050308A (ja) | 個人認証デバイスとこのシステムおよび方法 | |
| EP3485600B1 (en) | Method for providing secure digital signatures | |
| JP2003224554A (ja) | 通信接続システム、方法、プログラム及び電子投票システム | |
| JP2005252621A (ja) | 電子証明書作成装置、電子証明書検証装置、電子証明書作成方法、電子証明書作成プログラム、および電子証明書検証プログラム | |
| JP5127469B2 (ja) | サーバ装置、リファレンス保管装置及びリファレンス生成装置 | |
| JP4783992B2 (ja) | 属性証明書管理サーバ、属性証明書管理方法およびそのプログラム | |
| JP2006054748A (ja) | 証明書認証方法、証明書認証側プログラム、証明書利用者側利用者端末プログラム、証明書利用者側管理者端末プログラム、証明書認証側システム、証明書利用者側利用者端末および証明書利用者側管理者端末 | |
| JP2009112015A (ja) | 個人認証デバイスとこのシステムおよび方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041013 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070307 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070403 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070406 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 3943897 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100413 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110413 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130413 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140413 Year of fee payment: 7 |
|
| EXPY | Cancellation because of completion of term |